特許 7666058 車両の制御システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2025-04-14

(45)【発行日】2025-04-22

(54)【発明の名称】車両の制御システム

(51)【国際特許分類】

   G06F 8/65 20180101AFI20250415BHJP

   B60R 16/02 20060101ALI20250415BHJP

【ＦＩ】

G06F8/65

B60R16/02 660U

【請求項の数】 7

(21)【出願番号】P 2021051733

(22)【出願日】2021-03-25

(65)【公開番号】P2022149527

(43)【公開日】2022-10-07

【審査請求日】2024-02-08

(73)【特許権者】

【識別番号】301065892

【氏名又は名称】株式会社アドヴィックス

(74)【代理人】

【識別番号】100105957

【弁理士】

【氏名又は名称】恩田 誠

(74)【代理人】

【識別番号】100068755

【弁理士】

【氏名又は名称】恩田 博宣

(72)【発明者】

【氏名】川嵜 剛

【審査官】西間木 祐紀

(56)【参考文献】

【文献】特開２０１８－１２０４２２（ＪＰ，Ａ）

【文献】特開２０１９－１８５２１２（ＪＰ，Ａ）

【文献】特開２００５－２０２５０３（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ８／６５

Ｂ６０Ｒ １６／０２

(57)【特許請求の範囲】

【請求項1】

車両を制御する車両の制御システムであって、
第１機能を実行させる第１プログラムを記憶する第１記憶部と、前記第１機能のすべてを代替する代替機能、および第２機能を実行させる第２プログラムを記憶する第２記憶部と、を備え、
前記第１機能を実行できる場合には、前記第１機能および前記第２機能によって前記車両を制御する一方で、前記第１機能を実行できない場合には、前記代替機能および前記第２機能によって前記車両を制御するようになっており、
前記第１記憶部に記憶されている前記第１プログラムを書き換えて更新することができ、
前記車両の運転中に前記第１プログラムを書き換える場合には、前記代替機能および前記第２機能によって前記車両の制御を維持した状態で前記第１プログラムを書き換えるものであり、
前記車両には、該車両の運転者による操作に基づいて当該車両を走行させる手動運転モードと、前記車両を自動走行させる自動運転モードと、が用意されており、
前記自動運転モードで前記車両が制御されている場合には、前記第１プログラムの書換えを禁止する
車両の制御システム。

【請求項2】

前記第１記憶部における前記第１プログラムの書換え中には、前記手動運転モードから前記自動運転モードに切り替えることを禁止する
請求項１に記載の車両の制御システム。

【請求項3】

前記自動運転モードでの前記車両の制御中に前記第１記憶部における前記第１プログラムの書換えが要求された場合には、前記自動運転モードから前記手動運転モードに切り替え、その上で、前記第１プログラムを書き換える
請求項１または請求項２に記載の車両の制御システム。

【請求項4】

前記第１記憶部における前記第１プログラムの書換え中には、前記第２記憶部における前記第２プログラムの書換えを禁止する
請求項１～３のいずれか一項に記載の車両の制御システム。

【請求項5】

前記第１機能および前記第２機能は、前記車両の制動に関する機能である
請求項１～４のいずれか一項に記載の車両の制御システム。

【請求項6】

前記車両の通知装置を制御することができ、
前記第１機能または前記第２機能を実行できない場合には、前記通知装置を制御して異常を通知できるようになっており、
前記第１記憶部における前記第１プログラムの書換え中には、前記異常の通知を禁止する
請求項１～５のいずれか一項に記載の車両の制御システム。

【請求項7】

前記車両の通知装置を制御することができ、
前記第１記憶部における前記第１プログラムの書換え中には、前記通知装置を制御して前記第１プログラムを書換え中であることを通知する
請求項１～６のいずれか一項に記載の車両の制御システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、車両の制御システムに関する。

【背景技術】

【0002】

特許文献１には、車両を制御するプログラムを車両の運転中に書き換えて更新することのできる制御装置が開示されている。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０１７－２０４２２７号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

プログラムの書換え中には、当該プログラムがＣＰＵに実行されることによって実現できる機能が停止される。特許文献１に開示されているように車両の運転中にプログラムが書き換えられることのある制御装置では、プログラムの書換えに伴って機能を停止させる場合にも車両の制御を維持することが求められる。このため、制御装置では、書換えの対象になるプログラムと同一のプログラムを備える代替用の記憶部を搭載することがある。こうした制御装置では、記憶部におけるプログラムの書換えによって機能が停止されている場合には、代替用の記憶部のプログラムをＣＰＵが実行することによって車両の制御が維持される。

【0005】

複数の記憶部がそれぞれ異なるプログラムを備えている場合には、いずれのプログラムが書き換えられる際でも制御を維持しようとすると、制御装置には各記憶部に対応する代替用の記憶部を設けることになる。このような場合には、制御装置が搭載する記憶部の分だけ代替用の記憶部が必要になるという問題があった。

【課題を解決するための手段】

【0006】

上記課題を解決するための車両の制御システムは、車両を制御する車両の制御システムであって、第１機能を実行させる第１プログラムを記憶する第１記憶部と、前記第１機能のすべてを代替する代替機能、および第２機能を実行させる第２プログラムを記憶する第２記憶部と、を備え、前記第１機能を実行できる場合には、前記第１機能および前記第２機能によって前記車両を制御する一方で、前記第１機能を実行できない場合には、前記代替機能および前記第２機能によって前記車両を制御するようになっており、前記第１記憶部に記憶されている前記第１プログラムを書き換えて更新することができ、前記車両の運転中に前記第１プログラムを書き換える場合には、前記代替機能および前記第２機能によって前記車両の制御を維持した状態で前記第１プログラムを書き換えることをその要旨とする。

【0007】

上記構成では、第１プログラムが実行されることによって実現される第１機能と、第２プログラムが実行されることによって実現される第２機能と、による車両の制御が行われる。また、第１プログラムの書換え中でも、代替機能および第２機能によって車両の制御を維持することができる。

【0008】

さらに、上記構成では、代替機能は、第２プログラムの実行によって実現される。第２プログラムは、第１機能とともに車両を制御するための第２機能を実現するプログラムである。すなわち、制御システムでは、第１プログラムの書換えに伴って停止される第１機能を代替するためだけのプログラムを記憶した記憶部を別途設けることなく、第１プログラムの書換え中に車両の制御を維持することができる。

【図面の簡単な説明】

【0009】

【図1】車両の制御システムの一実施形態を示すブロック図。

【図2】同制御システムにおける記憶部の記憶領域を示す模式図。

【図3】同制御システムにおける記憶部の記憶領域を示す模式図。

【図4】同制御システムがプログラムを書き換える際に実行する処理の流れを示すフローチャート。

【図5】制御システムの変更例を示すブロック図。

【発明を実施するための形態】

【0010】

以下、車両の制御システムの一実施形態について、図１～図４を参照して説明する。
図１は、車両８０と、制御システム１０と、サーバ９１と、を示す。制御システム１０は、車両８０に搭載されている車両の制御システムである。制御システム１０とサーバ９１との間では、ネットワーク９２を介した無線通信によって情報の送受信が可能である。サーバ９１は、制御システム１０の機能を更新するためのプログラムを制御システム１０に供給することができる。制御システム１０は、サーバ９１から受信したプログラムを用いて、自身のプログラムを書き換えて更新することができる。すなわち、制御システム１０は、ＯＴＡ（Over The Air）によるプログラムの更新に対応している。以下では、サーバ９１から受信する新しいプログラムのことを更新プログラムという。なお、更新プログラムは、新しいプログラムそのものでもよいし、古いプログラムと新しいプログラムとの差分でもよい。

【0011】

〈車両〉
図１に示すように、車両８０は、通信装置８１を備えている。通信装置８１は、制御システム１０に接続されている。通信装置８１は、ネットワーク９２に接続することができる。通信装置８１を介して制御システム１０とサーバ９１との間で情報を送受信することができる。

【0012】

車両８０は、通知装置８２を備えていてもよい。通知装置８２は、車両８０の運転者に対する通知を行うことができる。通知装置８２は、たとえば、文字および図等を表示可能なディスプレイ装置である。通知装置８２は、点灯または消灯が可能な表示灯でもよい。通知装置８２は、音を出力可能なスピーカ装置でもよい。

【0013】

車両８０は、制動装置７０を備えている。制動装置７０の一例は、液圧式の摩擦制動装置である。制動装置７０は、車両８０の各車輪に対応して設けられている制動機構を備えている。制動機構は、ホイールシリンダを備えている。制動機構は、ホイールシリンダ内の液圧であるＷＣ圧に応じた摩擦制動力を車輪に付与することができる。

【0014】

制動装置７０は、液圧発生装置７１および制動アクチュエータ７２を備えていてもよい。車両８０は、運転者による操作が可能な制動操作部材８３を備えている。液圧発生装置７１は、制動操作部材８３の操作に応じた液圧を発生させることができる。制動アクチュエータ７２は、各制動機構におけるＷＣ圧を個別に調整することができる。

【0015】

車両８０は、各種センサを備えている。各種センサからの検出信号は、たとえば、制御システム１０に入力される。図１には、各種センサの一例として、制動操作部材８３の操作量を検出することのできるブレーキセンサ８４を図示している。

【0016】

車両８０は、駆動装置および操舵装置を備えている。駆動装置は、車両８０が備える車輪のうち駆動輪に駆動力を出力する動力源である。駆動装置の一例は、内燃機関である。駆動装置としては、モータジェネレータを採用することもできる。操舵装置は、車輪のうち操舵輪の角度を変えることができる。

【0017】

車両８０には、手動運転モードおよび自動運転モードが用意されている。手動運転モードは、車両８０の運転者による操作に基づいて車両８０を走行させる運転モードである。自動運転モードは、車両８０を自動走行させる運転モードである。

【0018】

〈制御システムの構成〉
図１に示すように、制御システム１０は、複数の制御部を備えている。制御システム１０では、各制御部が互いに通信可能に接続されている。制御システム１０は、第１制御部１１を備えている。制御システム１０は、第２制御部２１を備えている。制御システム１０は、第３制御部３１を備えていてもよい。第１制御部１１、第２制御部２１および第３制御部３１は、制動装置７０を制御する制動制御部を構成している。図２に示すように、第１制御部１１は、上流制御システム１０Ｕを構成している。第２制御部２１は、下流制御システム１０Ｄを構成している。ここで、下流制御システム１０Ｄは、上流制御システム１０Ｕよりも高機能である。下流制御システム１０Ｄは、上流制御システム１０Ｕの機能を代替可能である。一方、上流制御システム１０Ｕは、下流制御システム１０Ｄの機能の一部しか代替できない。

【0019】

各制御部の構成について説明する。図１に示すように、第１制御部１１は、第１演算部１２および第１記憶部１３を備えている。第２制御部２１は、第２演算部２２、第２α記憶部２３および第２β記憶部２４を備えている。第３制御部３１は、第３演算部３２および第３記憶部３３を備えている。

【0020】

各記憶部１３、２３、２４、３３は、ＤＲＡＭおよびＳＲＡＭ等の揮発性メモリを備えている。各記憶部１３、２３、２４、３３は、フラッシュメモリおよびＥＥＰＲＯＭ等の書換えが可能な不揮発性メモリを備えている。不揮発性メモリには、車両８０を制御する機能を実現させるプログラムが記憶されている。

【0021】

各演算部１２、２２、３２は、メモリに格納されたプログラムを実行することができる。たとえば、第１演算部１２は、第１記憶部１３の不揮発性メモリに記憶されているプログラムを読み出して実行することができる。第２演算部２２は、第２α記憶部２３および第２β記憶部２４の不揮発性メモリに記憶されているプログラムを読み出して実行することができる。第３演算部３２は、第３記憶部３３の不揮発性メモリに記憶されているプログラムを読み出して実行することができる。第１演算部１２、第２演算部２２および第３演算部３２の一例は、ＣＰＵである。第１演算部１２、第２演算部２２および第３演算部３２としては、ＧＰＵ等を採用することもできる。各演算部１２、２２、３２は、複数のプロセッサコアによって構成されていてもよい。各演算部１２、２２、３２は、一つのプロセッサコアによって構成されていてもよい。

【0022】

制御システム１０は、統合制御部４０を備えていてもよい。統合制御部４０は、第１制御部１１および第２制御部２１を制御して車両８０を制御させるプログラムを実行することができる。統合制御部４０は、第１制御部１１および第２制御部２１のそれぞれに記憶されているプログラムを書き換えて更新するプログラムを実行することができる。統合制御部４０は、第３制御部３１を制御して車両８０を制御させるプログラムを実行することもできる。統合制御部４０は、第３制御部３１に記憶されているプログラムを書き換えて更新するプログラムを実行することもできる。統合制御部４０の機能は、複数の制御部のうち少なくとも一つの制御部が備えていてもよい。この場合には、統合制御部４０を省略することもできる。たとえば、統合制御部４０は、ＲＯＭおよびＲＡＭを備えている。たとえば、統合制御部４０は、ＲＯＭに記憶されているプログラムを実行することができるＣＰＵを備えている。

【0023】

制御システム１０は、その他の制御部を備えていてもよい。その他の制御部としては、駆動装置を制御する駆動制御部、操舵装置を制御する操舵制御部、および、自動運転モードを実行する自動運転制御部等を挙げることができる。駆動制御部、操舵制御部および自動運転制御部は、制御システム１０とは別の制御システムに設けられていてもよい。自動運転制御部は、自動運転モードでは、各制御部を制御して車両８０を自動走行させることができる。

【0024】

〈制御プログラム〉
図２を用いて、各記憶部１３、２３、２４に記憶されているプログラムについて説明する。図２では、記憶部における不揮発性メモリの記憶領域を模式的に示している。第１記憶部１３には、第１プログラムＰＧ１が記憶されている。第２α記憶部２３には、第２プログラムＰＧ２が記憶されている。第２β記憶部２４には、第２α記憶部２３に記憶されているプログラムと同様の第２プログラムＰＧ２が記憶されている。あるいは、第２α記憶部２３に記憶されている第２プログラムＰＧ２、および、第２β記憶部２４に記憶されている第２プログラムＰＧ２のうち一方のプログラムが最新バージョンであり、他方のプログラムが一つ前のバージョンであってもよい。

【0025】

第１記憶部１３に記憶されている第１プログラムＰＧ１が実行されると、第１機能Ａが実現される。第１機能Ａは、制動操作部材８３の操作に応じて液圧発生装置７１を作動させる機能である。すなわち、第１機能Ａは、車両８０の制動に関する機能である。

【0026】

第２α記憶部２３に記憶されている第２プログラムＰＧ２が実行されると、代替機能Ａ´および第２機能Ｂが実現される。代替機能Ａ´は、第１機能Ａに替わって液圧発生装置７１を作動させることができる機能である。代替機能Ａ´の一例は、第１機能Ａと同一の機能である。代替機能Ａ´は、第１機能Ａのすべてを代替できるのであれば、必ずしも第１機能Ａと同一でなくてもよい。第２機能Ｂは、制動アクチュエータ７２を作動させる機能である。第２機能Ｂは、自動運転モードが実行されている場合に、制動アクチュエータ７２を作動させて車両８０を自動で制動させる機能を含んでいる。すなわち、代替機能Ａ´および第２機能Ｂは、車両８０の制動に関する機能である。第２機能Ｂは、第１機能Ａまたは代替機能Ａ´と比較して多くの機能を含んでいる。また、第２β記憶部２４に記憶されている第２プログラムＰＧ２の実行によっても、代替機能Ａ´および第２機能Ｂを実現できる。

【0027】

第２プログラムＰＧ２は、第１プログラムＰＧ１と比較して規模の大きいプログラムである。第２プログラムＰＧ２は、第１プログラムＰＧ１と比較して記憶部の記憶領域を多く占有する。

【0028】

制御システム１０では、第２α記憶部２３が「前記第１機能のすべてを代替する代替機能、および第２機能を実行させる第２プログラムを記憶する第２記憶部」に対応する。第２β記憶部２４も「前記第１機能のすべてを代替する代替機能、および第２機能を実行させる第２プログラムを記憶する第２記憶部」の一つである。

【0029】

〈制動装置の制御〉
図２を用いて、制御システム１０による制動装置７０の制御について説明する。制御システム１０は、冗長構成によって制動装置７０を制御することができる。制御システム１０は、上流制御システム１０Ｕによって実行される第１機能Ａと、下流制御システム１０Ｄによって実行される第２機能Ｂと、によって制動装置７０を制御することができる。

【0030】

図２に示す例では、上流制御システム１０Ｕを構成する第１制御部１１において第１プログラムＰＧ１が実行中である。これによって、第１機能Ａが実行されている。さらに、下流制御システム１０Ｄを構成する第２制御部２１において第２プログラムＰＧ２が実行中である。これによって、第２機能Ｂが実行されている。

【0031】

ここで、仮に上流制御システム１０Ｕに異常が発生して第１機能Ａを実行できない場合について説明する。制御システム１０では、上流制御システム１０Ｕに異常が発生した場合には、下流制御システム１０Ｄにおける第２制御部２１が代替機能Ａ´を実行することによって第１機能Ａを代替することができる。

【0032】

このように制御システム１０は、第１機能Ａを実行できる場合には、第１機能Ａおよび第２機能Ｂによって車両８０の制動装置７０を制御する。一方で、制御システム１０は、第１機能Ａを実行できない場合には、代替機能Ａ´および第２機能Ｂによって車両８０の制動装置７０を制御する。第１機能Ａを実行できない場合に代替機能Ａ´および第２機能Ｂによって制動装置７０の制御を維持することを、下流制御システム１０Ｄによる代替制御という。

【0033】

なお、図２には、第２α記憶部２３に記憶されている第２プログラムＰＧ２が読み出されて実行されている例を示している。一方で、第２β記憶部２４に記憶されている第２プログラムＰＧ２は読み出されておらず、第２β記憶部２４は待機中である。すなわち、第２制御部２１では、第２β記憶部２４に記憶されている第２プログラムＰＧ２が実行されていない。図２に示す例に対して、制御システム１０では、第２β記憶部２４に記憶されている第２プログラムＰＧ２を実行して、第２α記憶部２３を待機させることもできる。たとえば、第２β記憶部２４に記憶されている第２プログラムＰＧ２が最新バージョンのプログラムである場合には、当該第２プログラムＰＧ２を実行してもよい。

【0034】

仮に下流制御システム１０Ｄに異常が発生した場合について説明する。制御システム１０では、下流制御システム１０Ｄを構成する制御部のうち第２プログラムＰＧ２を実行中である制御部に異常が発生した場合には、上流制御システム１０Ｕによって実行される第１機能Ａを必要に応じて用いることができる。これによって、車両８０の安全性を確保することができる。

【0035】

〈通知処理〉
制御システム１０は、図１に示す通知装置８２を制御する機能を備えていてもよい。通知装置８２を制御することによって車両８０の運転者等に通知をすることを通知処理という。たとえば、通知処理を行うためのプログラムは、統合制御部４０が実行することができる。通知処理を行うためのプログラムは、第１制御部１１、第２制御部２１または第３制御部３１が実行してもよい。

【0036】

通知処理の一例は、制御部に異常が生じていることを通知する異常通知処理である。たとえば、第１機能Ａを実行できない場合には、上流制御システム１０Ｕを構成する第１制御部１１に異常が発生していることを通知できる。たとえば、第２機能Ｂを実行できない場合には、下流制御システム１０Ｄを構成する第２制御部２１に異常が発生していることを通知できる。また、たとえば、異常が発生している制御部がいずれの制御部であるかを特定できる情報を含まない異常通知を行うこともできる。

【0037】

異常通知処理では、たとえば、異常を示す表示灯が点灯されることによって異常が通知される。また、たとえば、異常を示す情報がディスプレイ装置に表示されることによって異常が通知される。また、たとえば、異常を示す通知音がスピーカ装置から出力されることによって異常が通知される。

【0038】

通知処理の一例は、制御部のプログラムを書換え中であることを通知する更新通知処理である。たとえば、第１プログラムＰＧ１または第２プログラムＰＧ２を書換え中であることを通知することができる。また、たとえば、書換え中であるプログラムを特定できる情報を含まない更新通知を行うこともできる。

【0039】

更新通知処理では、たとえば、プログラムを書換え中であることを示す表示灯が点灯されることによって更新が通知される。また、たとえば、プログラムを書換え中であることを示す情報がディスプレイ装置に表示されることによって更新が通知される。また、たとえば、プログラムを書換え中であることを示す通知音がスピーカ装置から出力されることによって更新が通知される。

【0040】

その他の通知処理としては、更新プログラムをサーバ９１から受信したことを通知する処理を行ってもよい。また、プログラムの更新が完了したことを通知する処理を行うこともできる。また、プログラムの書換え中に通知する処理として、書換えに伴って停止する機能を通知する処理を行うこともできる。

【0041】

〈プログラムの更新〉
図３および図４を用いて、制御プログラムを書き換えて更新する際の処理について説明する。ここでは、車両８０の運転中に、第１記憶部１３に記憶されている第１プログラムＰＧ１を書き換える例を説明する。プログラムを書き換える際には、当該プログラムの実行によって実現される機能は停止される。すなわち、第１プログラムＰＧ１を書き換える場合には、第１機能Ａが停止される。

【0042】

制御システム１０では、上流制御システム１０Ｕにおける第１プログラムＰＧ１を書き換える際には、図３に示すように、下流制御システム１０Ｄを構成する一つの制御部によって代替機能Ａ´および第２機能Ｂを行う。図３に示す例では、第２制御部２１によって第２α記憶部２３に記憶されている第２プログラムＰＧ２が実行中である。すなわち、第２α記憶部２３に記憶されている第２プログラムＰＧ２の実行によって、代替機能Ａ´および第２機能Ｂが行われている。

【0043】

このように制御システム１０は、車両８０の運転中に第１プログラムＰＧ１を書き換える場合には、代替機能Ａ´および第２機能Ｂによって車両８０の制御を維持した状態で第１プログラムＰＧ１を書き換えることができる。

【0044】

また、制御システム１０では、下流制御システム１０Ｄにおける第２プログラムＰＧ２を書き換える際には、第２α記憶部２３および第２β記憶部２４のうち第２演算部２２によってプログラムが読み出されていない方の記憶部を書換えの対象とする。具体的な例を挙げると、第２α記憶部２３に最新バージョンの第２プログラムＰＧ２が記憶されており、第２演算部２２が当該第２プログラムＰＧ２を読み出して実行中である場合には、第２β記憶部２４が書換えの対象となる。すなわち、第２α記憶部２３における第２プログラムＰＧ２が実行中の場合には、待機中である第２β記憶部２４が書換えの対象となる。このように、制御システム１０では、第２プログラムＰＧ２を記憶する二つの記憶部を第２制御部２１が有することによって、車両８０の制御を維持した状態で第２プログラムＰＧ２を書き換えることができる。

【0045】

図４は、制御プログラムを書き換えて更新する際の処理の流れを示す。本処理ルーチンは、所定の周期毎に繰り返し実行される。図４に示す処理を実行するためのプログラムである書換えプログラムは、たとえば、統合制御部４０のＲＯＭに記憶されている。図４に示す処理は、統合制御部４０のＣＰＵがＲＯＭに記憶された書換えプログラムを実行することによって実現できる。

【0046】

本処理ルーチンが開始されると、まずステップＳ１０１では、制御システム１０は、サーバ９１から更新プログラムを受信しているか否かを判定する。更新プログラムを受信していない場合には（Ｓ１０１：ＮＯ）、制御システム１０は、本処理ルーチンを一旦終了する。一方で、更新プログラムを受信している場合には（Ｓ１０１：ＹＥＳ）、制御システム１０は、処理をステップＳ１０２に移行する。

【0047】

ステップＳ１０２では、制御システム１０は、上流制御システム１０Ｕのプログラムが書換対象であるか否かを判定する。サーバ９１から受信した更新プログラムが新しい第１プログラムＰＧ１である場合には、上流制御システム１０Ｕのプログラムが書換対象である。一方で、更新プログラムが新しい第２プログラムＰＧ２である場合には、上流制御システム１０Ｕのプログラムが書換対象ではなく、下流制御システム１０Ｄのプログラムが書換対象である。上流制御システム１０Ｕのプログラムが書換対象である場合には（Ｓ１０２：ＹＥＳ）、制御システム１０は、処理をステップＳ１０３に移行する。

【0048】

ステップＳ１０３では、制御システム１０は、車両８０の運転モードが手動運転モードであるか否かを判定する。運転モードが手動運転モードではない場合、すなわち自動運転モードである場合には（Ｓ１０３：ＮＯ）、制御システム１０は、本処理ルーチンを一旦終了する。

【0049】

一方で、運転モードが手動運転モードである場合、すなわち自動運転モードではない場合には（Ｓ１０３：ＹＥＳ）、制御システム１０は、処理をステップＳ１０４に移行する。

【0050】

ステップＳ１０４では、制御システム１０は、下流制御システム１０Ｄにおけるプログラムの書換えを禁止する。この結果として、サーバ９１から新しい第２プログラムＰＧ２を受信したとしても、下流制御システム１０Ｄにおけるプログラムの書換えが行われることがなくなる。下流制御システム１０Ｄにおけるプログラムの書換えを禁止すると、制御システム１０は、処理をステップＳ１０５に移行する。

【0051】

ステップＳ１０５では、制御システム１０は、制動装置７０の制御を下流制御システム１０Ｄによる代替制御に移行する。具体的には、制御システム１０は、第１機能Ａを停止させる。さらに、制御システム１０は、下流制御システム１０Ｄを構成する第２制御部２１によって代替機能Ａ´および第２機能Ｂを実行させる。その後、制御システム１０は、処理をステップＳ１０６に移行する。

【0052】

ステップＳ１０６では、制御システム１０は、車両８０の運転モードを手動運転モードから自動運転モードに切り替えることを禁止する。すなわち、手動運転モードが継続されるようになる。その後、制御システム１０は、処理をステップＳ１０７に移行する。

【0053】

ステップＳ１０７では、制御システム１０は、通知処理を最適化する。たとえば、制御システム１０は、異常通知処理を禁止して更新通知処理を行う。制御システム１０は、異常通知処理の禁止のみを行ってもよい。その後、制御システム１０は、処理をステップＳ１０８に移行する。

【0054】

ステップＳ１０８では、制御システム１０は、上流制御システム１０Ｕにおけるプログラムの書換えを実行する。すなわち、第１制御部１１における第１プログラムＰＧ１を書き換える。その後、制御システム１０は、本処理ルーチンを終了する。

【0055】

第１プログラムＰＧ１の書換えが完了すると、制御システム１０が再起動されるまで第１制御部１１は、待機状態とされる。制御システム１０が再起動されるまでは、下流制御システム１０Ｄによる代替制御が継続される。制御システム１０の再起動後には、第１プログラムＰＧ１の更新が完了して新たな第１プログラムＰＧ１が実行される。これに伴い、制御システム１０は、代替制御を終了する。すなわち、第１機能Ａおよび第２機能Ｂによって制動装置７０が制御されるようになる。さらに、制御システム１０の再起動後には、制御システム１０は、下流制御システム１０Ｄにおけるプログラムの書換え禁止を解除する。また、制御システム１０は、自動運転モードへの切り替え禁止を解除する。さらに、制御システム１０は、異常通知処理の禁止を解除する。また、制御システム１０は、更新通知処理を終了する。

【0056】

ステップＳ１０２の処理において、下流制御システム１０Ｄのプログラムが書換対象である場合には（Ｓ１０２：ＮＯ）、制御システム１０は、処理をステップＳ１０９に移行する。

【0057】

ステップＳ１０９では、制御システム１０は、下流制御システム１０Ｄにおけるプログラムの書換えを実行する。すなわち、第２α記憶部２３および第２β記憶部２４のうち待機中である方の記憶部における第２プログラムＰＧ２を書き換える。その後、制御システム１０は、本処理ルーチンを終了する。第２プログラムＰＧ２の書換えが完了すると、書換えの対象である記憶部は、制御システム１０が再起動されるまで待機状態とされる。制御システム１０の再起動後には、第２プログラムＰＧ２の更新が完了して新たな第２プログラムＰＧ２が実行される。これに伴い、制御システム１０は、第２α記憶部２３および第２β記憶部２４のうち古い第２プログラムＰＧ２を備える方の記憶部を待機させる。

【0058】

〈作用および効果〉
本実施形態の作用および効果について説明する。
制御システム１０では、第１プログラムＰＧ１が実行されることによって実現される第１機能Ａと、第２プログラムＰＧ２が実行されることによって実現される第２機能Ｂと、による車両８０の制御が行われる。また、第１プログラムＰＧ１の書換え中でも、代替機能Ａ´および第２機能Ｂによって車両８０の制御を維持することができる。

【0059】

さらに、制御システム１０では、代替機能Ａ´は、第２プログラムＰＧ２の実行によって実現される。第２プログラムＰＧ２は、第１機能Ａとともに車両８０の制動装置７０を制御するための第２機能Ｂを実現するプログラムである。すなわち、制御システム１０では、第１プログラムＰＧ１の書換えに伴って停止される第１機能Ａを代替するためだけのプログラムを記憶した記憶部を別途設けることなく、第１プログラムＰＧ１の書換え中に車両８０の制御を維持することができる。

【0060】

車両８０のように自動運転モードが用意されているような車両では、車両を制御する機能が多重化されるようになっている。機能の多重化に伴って、プログラムが記憶された記憶部が多く搭載されることがある。制御システム１０によれば、すべての記憶部に対してそれぞれの機能を代替するためだけのプログラムを記憶した記憶部を必ずしも設けなくても、プログラムの書換え中に車両８０の制御を維持することができる。制御システム１０では、すべての記憶部に対してそれぞれの機能を代替するためだけのプログラムを記憶した記憶部を設けるような場合と比較して、記憶部を削減することができる。

【0061】

制御システム１０のように上流制御システム１０Ｕおよび下流制御システム１０Ｄによる制御を行う構成では、下流制御システム１０Ｄによる代替制御の実行中は、冗長性が低くなる。ここで、代替制御の実行中における車両８０の運転モードが手動運転モードであれば、運転者による操作によって冗長性を確保することができる。一方で、自動運転モードで車両８０が制御されている場合には運転者による操作が期待できない。このため、自動運転モードで車両８０が制御されている場合に代替制御が実行されると、冗長性が確保できなくなる。

【0062】

この点、制御システム１０によれば、自動運転モードで車両８０が制御されている場合には、図４に示す処理ルーチンが終了される（Ｓ１０３：ＮＯ）。すなわち、第１プログラムＰＧ１の書換えが禁止される。さらに、制御システム１０では、第１記憶部１３における第１プログラムＰＧ１の書換え中には、手動運転モードから自動運転モードに切り替えることが禁止される（Ｓ１０６）。すなわち、車両８０の運転モードが自動運転モードである場合には、第１プログラムＰＧ１の書換えが行われることがなく、書換えに伴う代替制御が行われることがない。これによって、冗長性の低下を避けることができる。

【0063】

制御システム１０では、第１機能Ａは、たとえば、制動操作部材８３の操作に応じて液圧発生装置７１を作動させる機能である。第２機能Ｂは、たとえば、車両８０の走行状態に応じて各車輪に発生させる制動力を個別に調整するように制動アクチュエータ７２を作動させる機能である。第１機能Ａは、第２機能Ｂと比較すると複雑ではない。このため、第１機能Ａを代替できる代替機能Ａ´を実現することのできる第２プログラムＰＧ２の規模が大きくなることを軽減できる。

【0064】

プログラムの書換え中には、当該プログラムを実行することによって実現される機能が停止される。この場合の停止は、異常の発生によるものではないため、プログラムの書換えに伴って異常が通知されることは好ましくない。そこで、制御システム１０では、第１記憶部１３における第１プログラムＰＧ１の書換え中には、異常の通知が禁止される（Ｓ１０７）。これによって、誤った異常通知が行われることを抑制できる。

【0065】

制御システム１０によれば、第１記憶部１３における第１プログラムＰＧ１の書換え中には、通知装置８２を制御して第１プログラムＰＧ１を書換え中であることを通知することができる（Ｓ１０７）。

【0066】

制御システム１０では、第２α記憶部２３および第２β記憶部２４を備える第２制御部２１によって下流制御システム１０Ｄを構成している。このため、第２α記憶部２３および第２β記憶部２４のうち一方の記憶部における第２プログラムＰＧ２を書換え中であっても、他方の記憶部に記憶されている第２プログラムＰＧ２を第２演算部２２が実行することによって車両８０の制御を継続することができる。

【0067】

（変更例）
本実施形態は、以下のように変更して実施することができる。本実施形態および以下の変更例は、技術的に矛盾しない範囲で互いに組み合わせて実施することができる。

【0068】

・図４に示すステップＳ１０３の処理において、車両８０の運転モードが自動運転モードである場合に（Ｓ１０３：ＮＯ）、自動運転モードから手動運転モードへの切り替えを要求して、その後に処理ルーチンを一旦終了するようにしてもよい。この処理による要求によって運転モードが手動運転モードに切り替わると、ステップＳ１０３の処理が再び実行される場合にはステップＳ１０４以降に処理が進められるようになる。この結果として、上流制御システム１０Ｕの書換えを実行することができるようになる。すなわち、第１プログラムＰＧ１を書き換えることができる。

【0069】

上記処理によれば、自動運転モードでの車両８０の制御中に第１記憶部１３における第１プログラムＰＧ１の書換えが要求された場合には、自動運転モードから手動運転モードに切り替え、その上で、第１プログラムＰＧ１を書き換えることができる。

【0070】

・制御システム１０における各制御部は、自身の状態を示す信号を他の制御部に対して送信してもよい。状態を示す信号の一例は、制御部におけるプログラムを書換え中であることを示す信号である。状態を示す信号の一例は、制御部がプログラムを実行中であることを示す信号である。状態を示す信号の一例は、制御部が待機中であることを示す信号である。状態を示す信号の一例は、制御部が正常に動作していることを示す信号である。当該信号が送信されていない場合には、制御部に異常が発生していると判断することができる。状態を示す信号の一例として、制御部に異常が発生していることを示す信号を送信してもよい。

【0071】

・制御システム１０における各制御部は、統合制御部４０によって制御されるのではなく、各制御部が他の制御部に対して送信する信号に基づいて各制御部による判断で制御システムの状態を切り換えてもよい。たとえば、第１制御部１１に異常が発生していることが第２制御部２１に伝わった場合に、下流制御システム１０Ｄによる代替制御を行うようにしてもよい。

【0072】

・上記実施形態では、下流制御システム１０Ｄにおける第２プログラムＰＧ２の書換え中でも下流制御システム１０Ｄの機能を維持できるように、第２プログラムＰＧ２を記憶する二つの記憶部を備えている第２制御部２１を例示した。制御システムとしては、第２制御部２１が一つの記憶部を有するものであってもよい。制御システムがこうした構成であっても、上記実施形態と同様に、第１プログラムＰＧ１の書換え中に代替制御によって車両８０の制御を維持することができる。ただし、上記構成のように第２制御部２１が一つの記憶部しか有していない場合では、第２制御部２１の第２プログラムＰＧ２を書き換える際には、下流制御システム１０Ｄの機能が維持できなくなる。すなわち、代替機能Ａ´が実行できなくなる。このため、代替制御が必要な状況では、第２制御部２１における第２プログラムＰＧ２の書換えを禁止することが望ましい。たとえば、第１制御部１１における第１プログラムＰＧ１の書換えによって上流制御システム１０Ｕの第１機能Ａが停止する場合には、第２プログラムＰＧ２の書換えを禁止するとよい。

【0073】

・上記実施形態では、下流制御システム１０Ｄを構成する第２制御部２１によって代替機能Ａ´を実行する例を示した。たとえば、代替機能Ａ´を実現できる第２プログラムＰＧ２が第３記憶部３３にも記憶されている場合には、第２制御部２１および第３制御部３１によって下流制御システム１０Ｄを構成することもできる。この構成では、第２制御部２１が備える記憶部は一つでもよい。この構成では、次のように下流制御システム１０Ｄにおいて代替機能Ａ´が実行される。たとえば、第１制御部１１における第１プログラムＰＧ１の書換えによって上流制御システム１０Ｕの第１機能Ａが停止する場合には、第２制御部２１および第３制御部３１のうちいずれか一方の制御部が第２プログラムＰＧ２を実行することができる。たとえば、下流制御システム１０Ｄを構成する第２制御部２１および第３制御部３１のうち一方の制御部においてプログラムを書換え中である場合、すなわち一方の制御部で代替機能Ａ´を実行できない場合には、他方の制御部が代替機能Ａ´を実行する。

【0074】

・上記実施形態では、第１制御部１１が第１記憶部１３を備え、第２制御部２１が第２α記憶部２３および第２β記憶部２４を備えている例を示した。これに限らず、制御システムは、図５に示す構成でもよい。

【0075】

図５に示す制御システム１１０は、第１記憶部１１３、第２記憶部１２３および第３記憶部１３３を有する制御部１１１を備えている。制御部１１１は、さらに演算部１１２を備えている。第１記憶部１１３には、第１プログラムＰＧ１が記憶されている。第２記憶部１２３および第３記憶部１３３には、第２プログラムＰＧ２が記憶されている。

【0076】

演算部１１２は、第１プログラムＰＧ１および第２プログラムＰＧ２を実行することができる。演算部１１２は、第１機能Ａを実行できる場合には、第１機能Ａおよび第２機能Ｂによって車両を制御する一方で、第１機能Ａを実行できない場合には、代替機能Ａ´および第２機能Ｂによって車両を制御することができる。演算部１１２は、第１記憶部１１３に記憶されている第１プログラムＰＧ１を書き換えて更新することができる。演算部１１２は、第２記憶部１２３および第３記憶部１３３に記憶されている第２プログラムＰＧ２を書き換えて更新することができる。演算部１１２は、車両の運転中に第１プログラムＰＧ１を書き換える場合には、代替機能Ａ´および第２機能Ｂによって車両の制御を維持した状態で第１プログラムＰＧ１を書き換えることができる。

【0077】

制御システム１１０では、第２記憶部１２３が「前記第１機能のすべてを代替する代替機能、および第２機能を実行させる第２プログラムを記憶する第２記憶部」に対応する。第３記憶部１３３も「前記第１機能のすべてを代替する代替機能、および第２機能を実行させる第２プログラムを記憶する第２記憶部」に対応する。

【0078】

こうした制御システム１１０においても、上記実施形態における制御システム１０と同様に、第１プログラムＰＧ１の書換え中に代替制御によって車両８０の制御を維持することができる。また、第２記憶部１２３および第３記憶部１３３のうち一方の記憶部における第２プログラムＰＧ２を書換え中であっても、他方の記憶部に記憶されている第２プログラムＰＧ２の実行によって車両の制御を継続することができる。

【0079】

・上記実施形態における制御システムの構成は一例である。車両８０の運転中にプログラムを書き換えることができる制御システムであれば、構成の変更が可能である。たとえば、記憶部および演算部を備える各制御部は、一つ以上のハードウェア回路によって構成されていてもよい。ハードウェア回路の一例は、ＦＰＧＡ（Field Programmable Gate Array）である。また、各制御部は、各種処理のうち一部の処理をコンピュータプログラムに従って実行するプロセッサと、各種処理のうち残りの処理を実行するハードウェア回路と、を備えていてもよい。

【0080】

・演算部は、プロセッサコアに加えて専用のメモリ等をさらに備えていてもよい。
・上記実施形態では、制御システム１０による制動装置７０の制御を例示したが、これに限らない。第１機能Ａおよび第２機能Ｂは、車両８０を制御する機能であればよく、車両８０の制動に関する機能でなくてもよい。

【0081】

・上記実施形態では、車両８０の運転中にプログラムを書き換える例を説明した。制御システム１０では、車両８０のスタートスイッチがオフにされるタイミングでプログラムを書き換えることも可能である。

【符号の説明】

【0082】

１０…制御システム
１０Ｕ…上流制御システム
１０Ｄ…下流制御システム
１１…第１制御部
１２…第１演算部
１３…第１記憶部
２１…第２制御部
２２…第２演算部
２３…第２α記憶部
２４…第２β記憶部
３１…第３制御部
３２…第３演算部
３３…第３記憶部
７０…制動装置
７１…液圧発生装置
７２…制動アクチュエータ
８０…車両
８２…通知装置
９１…サーバ
９２…ネットワーク

【図1】

【図2】

【図3】

【図4】

【図5】