[发明专利]共享备用单元和控制系统

说明书

在共享备用ECU(101)中，诊断部(132)诊断多个ECU的异常，该多个ECU为了发挥单独的功能，执行根据功能而不同的程序。加载部(135)从预先存储有多个程序的存储器加载与由诊断部(132)检测到异常的ECU即异常单元执行的程序相同的程序。执行部(131)通过执行由加载部(135)加载的程序，代替异常单元而发挥与异常单元的功能相同的功能。

技术领域

本发明涉及共享备用单元和控制系统。

背景技术

在市售的汽车上搭载的ECU中追加有自我诊断功能。“ECU”是Electronic ControlUnit(电子控制单元)的缩写。故障发生瞬间的数据被存储，在维修时作为参考资料。在向ECU的输入信号发生了异常的情况下，通过将输入信号切换成存储在ECU内的标准值或基准值，能够使车行驶而确保功能安全。当ECU发生异常时，通过将输出切换成基于备用IC的固定信号，能够使车行驶而确保功能安全。“IC”是Integrated Circuit(集成电路)的缩写。

近年来，在国家推进开发的自动驾驶系统中，从防止事故的观点出发，非常重视安全方面的设计。现在的汽车本身就是一个非常复杂的系统。为了确保安全性，已制定出作为汽车用的国际安全标准的ISO 26262。在ISO26262中规定有对功能安全进行系统性管理的框架。在汽车的系统、硬件和软件等级上规定了产品开发过程。在这个框架中，以基于汽车特有的风险的方式规定了风险阶段。用ASIL对系统的结构要素进行了整理。“ASIL”是Automotive Safety Integrity Level(汽车安全完整性等级)的缩写。

关于基于ASIL的功能分类，在非专利文献1中介绍了定位即行情观的例子。例如，转弯功能中的辅助丧失和行驶功能的驱动力丧失是ASIL A以上的比较低的等级。另一方面，停车功能的制动功能丧失和转弯功能的转向锁定被定位在ASIL C以上的重大等级。要求考虑到汽车的各种功能的风险管理的设计。

特别是作为自动驾驶系统，在安装作为控制处理的中枢的ECU时，为了即使一部分硬件发生故障也不会无法控制，与航天火箭和飞行器同样，采用了多重系统的结构。即使多重系统中的1个系统发生故障，只要剩余的1个系统能够正常动作，则ECU就能够继续执行处理。该ECU一般被称作ADAS ECU。“ADAS”是Advanced Driver Assistance System(先进驾驶辅助系统)的缩写。

图15表示自动驾驶系统的多重系统的结构例。图中的2个判断ECU 311是进行自动驾驶的路径判定处理的ECU，构成双重系统。2个判断ECU 311的输出信息由切换器361进行比较。在不一致的情况下判定为故障，发生故障的判断ECU 311被从CAN 711断开。“CAN”是Controller Area Network(控制器区域网络)的缩写。图中的3个控制ECU 211是进行引擎和方向盘的控制的ECU，构成三重系统。3个控制ECU 211的输出信息由切换器261进行比较。在不一致的情况下，按照少数服从多数的方式，将少数的控制ECU 211判定为故障并从CAN711断开。

在自动驾驶系统以外的用途中，汽车也开始搭载多个ECU。近年来，搭载的ECU的数量也有显著的增加倾向。例如，用于环境对策的排气削减及低油耗化的引擎控制、用于应对事故的高度安全功能的气囊控制、行人检测系统和制动辅助功能，以及用于给驾驶员提供方便性的ETC(注册商标)和汽车导航系统等许多新的ECU已经被相继添加。“ETC”是Electronic Toll Collection System(电子收费系统)的缩写。

ECU开始承担重要的功能。但是，如果为了应对故障而单纯地使多个ECU系统多重化，则无法避免硬件成本的大幅增加。

以下，示出作为多重系统的事例而公开的网站信息。