CN104583017B

CN104583017B - 车载通信系统和车载通信方法

Info

Publication number: CN104583017B
Application number: CN201280075300.5A
Authority: CN
Inventors: 西山博仁; 伊藤益夫; 守田圭佑; 德永雄; 德永雄一; 谷本大辅; 冈村茂; 冈村茂一; 辻浩之; 三村光宏
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2012-08-24
Filing date: 2012-08-24
Publication date: 2016-11-16
Anticipated expiration: 2032-08-24
Also published as: CN104583017A; DE112012006843T5; WO2014030247A1; US20150217706A1; JP5766360B2; JPWO2014030247A1; US9925935B2

Abstract

能够抑制用于控制汽车的设备的控制装置的信号线的量并确保汽车的安全性。车载通信系统(100)具有；输入用DHM(110)，其从输入设备输入设备数据；BCM(120)，其生成用于按照设备数据的值控制输出设备的控制数据；以及输出用DHM(130)，其根据控制数据控制输出设备。输入用DHM(110)使用被双重化的输入控制块、被双重化的输入用共享存储器以及输入用网络控制块(115)构成。BCM(120)使用BCM_网络控制块(121)、为其它用途而被双重化的BCM共享存储器以及被双重化的运算块构成。输出用DHM(130)使用输出用网络控制块(131)、被双重化的输出用共享存储器、被双重化的输出控制块以及匹配电路(136)构成。

Description

车载通信系统和车载通信方法

技术领域

本发明例如涉及用于控制汽车的设备的车载通信系统和车载通信方法。

背景技术

搭载于汽车的车载系统具有被称作BCM(Body Control Module(车身控制模块))的ECU(Electro Control Unit(电子控制单元))。并且，I/O设备(I/O：INPUT/OUTPUT(输入/输出))通过专用的信号线与BCM连接，BCM控制I/O设备。

这样的车载系统存在如下课题：随着作为控制对象的I/O设备的增加，与BCM连接的信号线的量增加。

为了解决该问题，在专利文献1中公开有如下方法：将多个I/O设备各自的信号线收纳到配置于车辆各部的任意一个复用传输装置，通过复用传输路径将这些复用传输装置之间连接起来。

另一方面，要求车载系统具有即使产生系统故障也不引发重大事故的安全性，作为涉及安全性的基准有国际标准化的ISO26262。

现有技术文献

专利文献

专利文献1：日本特开平02-001649号公报

发明内容

发明要解决的课题

本发明的目的在于，例如能够抑制用于控制汽车的设备的控制装置的信号线的量并确保汽车的安全性。

用于解决问题的手段

本发明的车载通信系统具有输入用传输装置、控制装置以及输出用传输装置。

所述输入用传输装置具有：

第一设备数据输入部，其输入从作为输入源的设备而搭载于所述车辆的设备输出的数据作为第一设备数据；

第二设备数据输入部，其输入从所述输入源的设备输出的所述数据作为第二设备数据；以及

输入用发送部，其生成包含所述第一设备数据输入部输入的所述第一设备数据和用于判定通信结果的第一输入用安全通信数据在内的第一输入用传输数据，并且，生成包含所述第二设备数据输入部输入的所述第二设备数据和用于判定通信结果的第二输入用安全通信数据在内的第二输入用传输数据，将所述第一输入用传输数据和所述第二输入用传输数据发送到所述控制装置。

所述控制装置具有：

控制用接收部，其接收从所述输入用传输装置发送的所述第一输入用传输数据和所述第二输入用传输数据；

第一控制用判定部，其根据由所述控制用接收部接收到的所述第一输入用传输数据中包含的所述第一输入用安全通信数据，判定是否正常进行了所述第一输入用传输数据中包含的所述第一设备数据的通信；

第一控制用运算部，其在判定为正常进行了所述第一设备数据的通信的情况下，生成指定基于所述第一设备数据的控制的第一控制数据，在判定为未正常进行所述第一设备数据的通信的情况下，生成指定预先设定的故障保护用的控制的第一控制数据；

第二控制用判定部，其根据由所述控制用接收部接收到的所述第二输入用传输数据中包含的所述第二输入用安全通信数据，判定是否正常进行了所述第二输入用传输数据中包含的所述第二设备数据的通信；

第二控制用运算部，其在判定为正常进行了所述第二设备数据的通信的情况下，生成指定基于所述第二设备数据的控制的第二控制数据，在判定为未正常进行所述第二设备数据的通信的情况下，生成指定所述故障保护用的控制的第二控制数据；以及

控制用发送部，其生成包含由所述第一控制用运算部生成的所述第一控制数据的第一控制用传输数据，并且，生成包含由所述第二控制用运算部生成的所述第二控制数据的第二控制用传输数据，将所述第一控制用传输数据和所述第二控制用传输数据发送到所述输出用传输装置。

所述输出用传输装置具有：

输出用接收部，其接收从所述控制装置发送的所述第一控制用传输数据和所述第二控制用传输数据；以及

设备控制数据输出部，其根据由所述输出用接收部接收到的所述第一控制用传输数据中包含的所述第一控制数据、和由所述输出用接收部接收到的所述第二控制用传输数据中包含的所述第二控制数据，输出用于控制搭载于所述车辆的作为控制对象的设备的设备控制数据。

发明效果

根据本发明，例如能够抑制用于控制汽车的设备的控制装置的信号线的量并确保汽车的安全性。

附图说明

图1是实施方式1的车载通信系统100的结构图。

图2是表示实施方式1的车载通信系统100的车载通信方法的流程图。

图3是表示实施方式1的车载通信系统100的车载通信方法的流程图。

图4是表示实施方式1的车载通信系统100的车载通信方法的流程图。

图5是表示实施方式1的车载通信系统100的车载通信方法的流程图。

图6是表示实施方式1的车载通信系统100的车载通信方法的流程图。

图7是表示实施方式1的车载通信系统100的车载通信方法的流程图。

图8是实施方式1的车载通信系统100的结构的一例的图。

图9是实施方式2的车载通信系统100的结构图。

图10是表示实施方式2的车载通信系统100的车载通信方法的一部分的流程图。

图11是实施方式3的输入用DHM 110的硬件结构图。

图12是实施方式3的BCM 120的硬件结构图。

图13是实施方式4的输入用DHM 110的硬件结构图。

图14是实施方式4的BCM 120的硬件结构图。

图15是实施方式5的输入用DHM 110的硬件结构图。

图16是实施方式5的BCM 120的硬件结构图。

具体实施方式

实施方式1

对抑制用于控制汽车的设备的控制装置的信号线的量并确保汽车的安全性的方式进行说明。

图1是实施方式1的车载通信系统100的结构图。

根据图1说明实施方式1的车载通信系统100的结构。

车载通信系统100(车载通信系统的一例)是搭载于汽车(车辆的一例)的系统。

车载通信系统100具有输入用DHM 110(输入用传输装置的一例)、BCM 120(控制装置的一例)、输出用DHM 130(输出用传输装置的一例)以及确认用DHM 140(反馈用传输装置的一例)。

DHM是“Device Hub Module(设备中心模块)”的略称，BCM是“Body ControlModule(车身控制模块)”的略称。

输入用DHM 110、BCM 120、输出用DHM 130以及确认用DHM 140通过CAN101这样的网络进行通信。

CAN是“Controller Area Network(控制器局域网)”的略称。

但是，也可以将CAN替换成其它规格的网络。

输入用DHM 110和输出用DHM 130通过信号线与搭载于汽车的一个以上的设备连接。

开关102、按钮以及传感器是与输入用DHM 110连接的设备的一例，致动器103、车灯以及发动机是与输出用DHM 130连接的设备的一例。

下面，将与输入用DHM 110连接的各设备称作“输入设备”。并且，将与输出用DHM130连接的各设备称作“输出设备”。

输入用DHM 110是传输从输入设备输出的设备数据的传输装置。

并且，输入用DHM 110是复用传输从作为复用传输对象的输入设备输出的设备数据的复用传输装置。

在图1中，开关102是作为复用传输对象的输入设备的一例。

输入用DHM 110具有输入控制块、输入用共享存储器、输入用网络控制块115(输入用发送部的一例)，输入控制块和输入用共享存储器被双重化。

下面，将被双重化的输入控制块称作“第一输入控制块111(第一设备数据输入部的一例)”、“第二输入控制块112(第二设备数据输入部的一例)”。并且，将被双重化的输入用共享存储器称作“第一输入用共享存储器113(第一输入用存储器的一例)”、“第二输入用共享存储器114(第二输入用存储器的一例)”。

作为复用传输对象的输入设备(例如开关102)与第一输入控制块111和第二输入控制块112分别连接，其它的输入设备与第一输入控制块111和第二输入控制块112中的任意一方连接。

输入用DHM 110的各结构的功能和动作将在后面进行说明。

BCM 120是根据从输入用DHM 110传输的设备数据，传输用于控制作为控制对象的输出设备的控制数据的控制装置。

并且，BCM 120是根据从输入用DHM 110复用传输的各个设备数据，复用传输控制数据的控制装置。

BCM 120具有BCM_网络控制块121(控制用接收部、控制用发送部的一例)、接收用的共享存储器、发送用的共享存储器、确认用的共享存储器以及运算块，接收用的共享存储器、发送用的共享存储器、确认用的共享存储器以及运算块被双重化。

下面，将被双重化的接收用的共享存储器称作“第一BCM共享存储器122r(第一接收用存储器的一例)”、“第二BCM共享存储器123r(第二接收用存储器的一例)”。将被双重化的发送用的共享存储器称作“第三BCM共享存储器122s(第一发送用存储器的一例)”、“第四BCM共享存储器123s(第二发送用存储器的一例)”。将被双重化的确认用的共享存储器称作“第五BCM共享存储器122c(第一确认用存储器的一例)”、“第六BCM共享存储器123c(第二确认用存储器的一例)”。并且，将被双重化的运算块称作“第一运算块124(第一控制用判定部、第一控制用运算部、第一确认用判定部的一例)”、“第二运算块125(第二控制用判定部、第二控制用运算部、第二确认用判定部的一例)”

BCM 120的各结构的功能和动作将在后面进行说明。

输出用DHM 130是接收从BCM 120发送的控制数据，根据接收到的控制数据控制作为控制对象的输出设备的传输装置。

并且，输出用DHM 130是接收从BCM 120复用传输的各个控制数据，根据接收到的各个控制数据控制作为控制对象的输出设备的复用传输装置。

在图1中，致动器103是根据复用传输的各个控制数据而被控制的作为控制对象的输出设备的一例。

输出用DHM 130具有输出用网络控制块131(输出用接收部的一例)、输出用共享存储器、输出控制块以及匹配电路136(匹配输出部的一例)，输出用共享存储器和输出控制块被双重化。

下面，将被双重化的输出用共享存储器称作“第一输出用共享存储器132(第一输出用存储器的一例)”、“第二输出用共享存储器133(第二输出用存储器的一例)”。并且，将被双重化的输出控制块称作“第一输出控制块134(第一输出用判定部、第一输出用运算部的一例)”、“第二输出控制块135(第二输出用判定部、第二输出用运算部的一例)”。

输出用DHM 130的各结构的功能和动作将在后面进行说明。

确认用DHM 140是传输装置，输入从输出用DHM 130向作为控制对象的输出设备输出的控制数据和表示作为控制对象的输出设备的动作状态的状态数据，将输入的控制数据和状态数据传输到BCM 120。

确认用DHM 140具有确认用输入控制块141(反馈用输入部的一例)、确认用共享存储器142(反馈用存储器的一例)、确认用网络控制块143(反馈用发送部的一例)。

确认用DHM 140的各结构的功能和动作将在后面进行说明。

错误显示器109是将输入用DHM 110、BCM 120以及输出用DHM 130的通信错误或者输出设备的控制错误通知给驾驶员的装置。

包含仪表类的仪表盘或者车载导航系统是错误显示器109的一例。

车载通信系统100的各结构从逻辑上(软件上)或者物理上(硬件上)被分开。

在实施方式中，结构图或者流程图中包含的箭头主要表示数据和信号的输入输出。

作为输入用DHM 110、BCM 120以及输出用DHM 130的“～块”而说明的，也可以是“～电路”、“～装置”、“～机器”，还可以是“～部”、“～处理”、“～步骤”。

即，输入用DHM 110、BCM 120以及输出用DHM 130也可以是硬件、软件(程序)、固件或者它们的组合体中的任意一种方式进行安装。

图2～图7是表示实施方式1的车载通信系统100的车载通信方法的流程图。

根据图2～图7说明实施方式1的车载通信系统100的车载通信方法。

下面，在车载通信系统100的车载通信方法的说明中，“输入设备”表示作为复用通信对象的输入设备，“输出设备”表示根据从输入设备输出的设备数据而被控制的作为控制对象的输出设备。

从图2开始说明车载通信系统100的车载通信方法。

在S101中，输入设备向输入用DHM 110输出设备数据。

例如，具有2个接点的按钮开关(图1的开关102)作为输入设备发挥作用。在开关102被按下的期间，开关102输出低电平的信号值作为设备数据。并且，在开关102未被按下时，开关102输出高电平的信号值作为设备数据。

并且，设备数据被输入用DHM 110实施上拉处理。即，在连接开关102和输入用DHM110的信号线断线的情况下，通过上拉处理向输入用DHM 110输入表示高电平的信号值的设备数据。

在S101之后，处理进入S111、S121。

以后，S111～S116以及S121～S126由输入用DHM 110的结构执行。

在S111中，第一输入控制块111按照固定周期访问连接输入设备的输入端口，输入在S101中输出的设备数据。

固定周期指不损害系统整体的实时性的等级的周期。在伴随有驾驶员的操作的情况下，从驾驶员进行输入设备的操作到输出设备被控制为止，允许约100毫秒的延迟。因此，如果是约10毫秒的周期，则是足以作为固定周期的等级。这对于以后叙述的固定周期也是同样的。

在S111之后，处理进入S112。

在S112中，第一输入控制块111根据在S111中输入的设备数据，生成用于确认通信结果的安全通信数据。

安全通信数据是用于检查有无通信故障的数据。表示通信数据的顺序的序列号或者CRC码(CRC：Cyclic Redundancy Check)等误检测码是安全通信数据的一例。

以下，将根据安全通信数据检查有无通信故障的功能称作“安全通信功能”。AUTOSAR的“End-to-End Communication Protection(端到端通信的保护)”是有关安全通信功能的规格的一例。这对于以下叙述的安全通信数据和安全通信功能也是同样的。

在S112之后，处理进入S113。

在S113中，第一输入控制块111将在S111中输入的设备数据和在S112中生成的安全通信数据写入第一输入用共享存储器113。数据的“写入”也可以改读作数据的“存储”(以下相同)。

在S113之后，处理进入S114。

在S114中，输入用网络控制块115按照固定周期访问第一输入用共享存储器113，从第一输入用共享存储器113读出设备数据和安全通信数据。数据的“读出”也可以改读作数据的“取得”(以下相同)。

在S115中，输入用网络控制块115生成包含在S114中读出的设备数据和安全通信数据在内的CAN101用的帧。帧是用规定的格式生成的数据，以便通过网络进行通信(以下相同)。以下，将在S115中生成的帧称作“第一数据用帧”。

在S116中，输入用网络控制块115将在S115中生成的第一数据用帧通过CAN101发送到BCM120。

在S116之后，处理进入S211(参照图3)。

在S121～S126中，第二输入控制块112和输入用网络控制块115使用第二输入用共享存储器114与S111～S116同样地进行动作。

即，第二输入控制块112输入设备数据(S121)，生成安全通信数据(S122)，将设备数据和安全通信数据写入第二输入用共享存储器114(S123)。

并且，输入用网络控制块115从第二输入用共享存储器114读出设备数据和安全通信数据(S124)，生成包含设备数据和安全通信数据的第二数据用帧(S125)，向BCM120发送第二数据用帧(S126)。在S126之后，处理进入S221。

根据图3说明自S211、S221起的处理。

在图3中，S211～S215以及S221～S225由BCM 120的结构执行。

在S211中，BCM_网络控制块121接收从输入用DHM 110发送的第一数据用帧。

在S211之后，处理进入S212。

在S212中，BCM_网络控制块121将在S211中接收到的第一数据用帧写入第一BCM共享存储器122r。

例如，第一数据用帧和第二数据用帧包含用于识别第一数据用帧和第二数据用帧的识别符(IP地址、识别号等)，BCM_网络控制块121根据该识别符区分第一数据用帧和第二数据用帧。

在S212之后，处理进入S213。

在S213中，第一运算块124按照固定周期访问第一BCM共享存储器122r，从第一BCM共享存储器122r读出第一数据用帧。

在S213之后，处理进入S214。

在S214中，第一运算块124利用安全通信功能判定在第一数据用帧的通信时是否产生了通信异常。

例如，第一运算块124检查第一数据用帧中包含的安全通信数据所表示的序列号或者CRC码。并且，在安全通信数据不是正确的值的情况下，第一运算块124判定为发生了通信异常。这对于以后叙述的安全通信功能也是同样的。

在判定为发生了通信异常的情况下(是)，处理进入S215。

在判定为未发生通信异常的情况下(否)，处理进入S231(参照图4)。

在S215中，第一运算块124向错误显示器109输入用于通知发生了车载通信错误的错误通知数据。

例如，作为错误显示器109发挥作用的仪表盘或者车载导航系统在被输入了错误通知数据时进行以下动作。

仪表盘使错误显示用的灯闪烁。

车载导航系统在显示器显示错误消息，或者用声音输出错误消息。

在S215之后，处理进入S231(参照图4)。

在S221～S225中，BCM_网络控制块121和第二运算块125使用第二BCM共享存储器123r，与S211～S215同样地进行动作。

即，BCM_网络控制块121接收第二数据用帧(S221)，将第二数据用帧写入第二BCM共享存储器123r(S222)。

另外，第二运算块125从第二BCM共享存储器123r读出第二数据用帧(S223)，判定有无发生通信异常(S224)。在判定为发生了通信异常的情况下，第二运算块125向错误显示器109通知错误(S225)。

当在S224中判定为没有发生通信异常的情况下或者在S225之后，处理进入S241。

根据图4说明自S231、S241起的处理。

在图4中，S231～S236以及S241～S246由BCM 120的结构执行。

在S231中，当在S214中判定为发生了通信异常的情况下，第一运算块124生成用于指定故障保护(fail-safe)用的控制的控制数据。

故障保护用的控制是指在发生了故障时进行安全动作的控制。故障保护用的控制是按照每个输出设备预先决定的。例如，第一运算块124生成表示低电平的信号值的控制数据，以便停止输出设备。这对于以后叙述的故障保护用的控制也是同样的。

当在S214中判定为没有发生通信异常的情况下，第一运算块124根据第一数据用帧中包含的设备数据，生成用于指定与设备数据的值对应的控制(以下称作“通常控制”)的控制数据。

例如，第一运算块124将设备数据的值用作控制数据，以便使致动器103(输出设备的一例)按照开关102(输入设备的一例)的操作进行动作。并且，例如第一运算块124生成用于将发动机接通/断开数据或者用于调整车内照明的明亮度的PWM(Pulse WidthModulation(脉宽调试))的数据作为控制数据。这对于以后叙述的与设备数据的值对应的控制也是同样的。

在S231之后，处理进入S232。

在S232中，第一运算块124根据在S231中生成的控制数据生成安全通信数据。

在S233中，第一运算块124将在S231中生成的控制数据和在S232中生成的安全通信数据写入第三BCM共享存储器122s。

在S233之后，处理进入S234。

在S234中，BCM_网络控制块121从第三BCM共享存储器122s读出控制数据和安全通信数据。

在S235中，BCM_网络控制块121生成包含在S234中读出的控制数据和安全通信数据在内的CAN 101用的帧。以下，将在S235中生成的帧称作“第一控制用帧”。

在S236中，BCM_网络控制块121将在S235中生成的第一控制用帧通过CAN 101发送到输出用DHM 130。

在S236之后，处理进入S311(参照图5)。

在S241～S246中，第二运算块125和BCM_网络控制块121使用第四BCM共享存储器123s，与S231～S236同样地进行动作。

即，第二运算块125根据S224的判定结果或者第二数据用帧中包含的设备数据生成控制数据(S241)，生成安全通信数据(S242)，将控制数据和安全通信数据写入第四BCM共享存储器123s(S243)。

并且，BCM_网络控制块121从第四BCM共享存储器123s读出控制数据和安全通信数据(S244)，生成包含控制数据和安全通信数据的第二控制用帧(S245)，向BCM 120发送第二控制用帧(S246)。在S246之后，处理进入S321(参照图5)。

根据图5说明自S311、S321起的处理。

在图5中，S311～S315、S321～S325、S330由输出用DHM 130的结构执行。

在S311中，输出用网络控制块131接收从BCM 120发送的第一控制用帧。

在S312中，输出用网络控制块131将在S311中接收到的第一控制用帧写入第一输出用共享存储器132。

例如，第一数据用帧和第二数据用帧包含用于识别第一控制用帧和第二控制用帧的识别符，输出用网络控制块131根据该识别符区分第一控制用帧和第二控制用帧。

在S312之后，处理进入S313。

在S313中，第一输出控制块134按照固定周期访问第一输出用共享存储器132，从第一输出用共享存储器132读出第一控制用帧。

在S313之后，处理进入S314。

在S314中，第一输出控制块134利用安全通信功能判定在第一控制用帧的通信时是否发生了通信异常。

在S314之后，处理进入S315。

在S315中，当在S314中判定为发生了通信异常的情况下，第一输出控制块134生成用于指定故障保护用的控制的控制数据，将生成的控制数据输入匹配电路136。

当在S314中判定为没有发生通信异常的情况下，第一输出控制块134将第一控制用帧中包含的控制数据输入匹配电路136。

以下，将在S315中输入到匹配电路136的控制数据称作“第一控制输出数据”。

在S315之后，处理进入S330。

在S321～S325中，输出用网络控制块131和第二输出控制块135使用第二输出用共享存储器133，与S311～S315同样地进行动作。

即，输出用网络控制块131接收第二控制用帧(S321)，将第二控制用帧写入第二输出用共享存储器133(S322)。

并且，第二输出控制块135从第二输出用共享存储器133读出第二控制用帧(S323)，判定有无发生通信异常(S324)，根据判定结果或者第二控制用帧中包含的控制数据，将第二控制输出数据输入匹配电路136(S325)。在S325之后，处理进入S330。

在S330中，匹配电路136根据在S315中输入的第一控制输出数据和在S325中输入的第二控制输出数据，向输出设备输入用于控制输出设备的设备控制数据。

例如，匹配电路136向输出设备输入如下所示的设备控制数据。

在第一控制输出数据和第二控制输出数据双方表示相同值的情况下，匹配电路136将该值作为设备控制数据输入到输出设备。

在第一控制输出数据和第二控制输出数据表示彼此不同的值的情况下，匹配电路136将表示故障保护用的控制的设备控制数据输入到输出设备。

由此，当在被双重化的通信的至少一个系统中发生了异常的情况下，匹配电路136能够使输出设备进行故障保护用的动作。

例如，匹配电路136能够用单纯的NOR电路构成。

在S330之后，处理进入S340。

在S340中，输出设备按照在S330中输入的设备控制数据进行动作。

例如，在设备控制数据是指示执行动作的值的情况下，作为输出设备发挥作用的致动器103执行动作。即，致动器103使发动机等规定的设备进行动作。

另外，在设备控制数据是指示停止动作的值的情况下，作为输出设备发挥作用的致动器103停止动作。即，致动器103使发动机等规定的设备停止。

在S340之后，处理进入S411(参照图6)。

根据图6说明自S411起的处理。

在图6中，S411～S416由确认用DHM 140的结构执行。

在S411中，确认用输入控制块141输入在S330中从匹配电路136输出并输入到输出设备的设备控制数据。

并且，确认用输入控制块141向在S340中按照设备控制数据进行动作的致动器103请求表示致动器103的动作状态的设备状态数据，从致动器103输入设备状态数据。

但是，确认用输入控制块141也可以输入设备控制数据和设备状态数据中的任意一方。

以下，将在S411中输入的设备控制数据和设备状态数据称作“反馈数据”。

在S411之后，处理进入S412。

在S412中，确认用输入控制块141根据在S411中输入的反馈数据生成安全通信数据。

在S413中，确认用输入控制块141将在S411中输入的反馈数据和在S412中生成的安全通信数据写入确认用共享存储器142。

在S413之后，处理进入S414。

在S414中，确认用网络控制块143按照固定周期访问确认用共享存储器142，从确认用共享存储器142读出反馈数据和安全通信数据。

在S415中，确认用网络控制块143生成包含在S414中读出的反馈数据和安全通信数据在内的CAN 101用的帧。以下，将在S415中生成的帧称作“确认用帧”。

在S416中，确认用网络控制块143将在S415中生成的确认用帧通过CAN 101发送到BCM 120。例如，确认用网络控制块143组播发送确认用帧，以便将确认用帧存储到BCM 120的第五BCM共享存储器122c和第六BCM共享存储器123c。但是，确认用网络控制块143也可以单播发送存储在第五BCM共享存储器122c中的第一确认用帧和存储在第六BCM共享存储器123c中的第二确认用帧。

在S416之后，处理进入S511(参照图7)。

根据图7说明自S511起的处理。

在图7中，S511～S533由BCM 120的结构执行。

在S511中，BCM_网络控制块121接收从确认用DHM 140发送的确认用帧。

在S512中，BCM_网络控制块121将在S511中接收到的确认用帧写入第五BCM共享存储器122c和第六BCM共享存储器123c。

在S512之后，处理进入S521、S531。

在S521中，第一运算块124按照固定周期访问第五BCM共享存储器122c，从第五BCM共享存储器122c读出确认用帧。

在S521之后，处理进入S522。

在S522中，第一运算块124对在S521中从第五BCM共享存储器122c读出的确认用帧中包含的反馈数据与在S233(参照图4)中写入第三BCM共享存储器122s的控制数据进行比较。并且，第一运算块124根据比较结果判定输出设备是否被正确控制。

例如，在设备控制数据(反馈数据的一例)和控制数据相同、而且设备状态数据(反馈数据的一例)表示的动作和对应于控制数据的动作相同的情况下，第一运算块124判定为输出设备被正确控制。在除此以外的情况下，第一运算块124判定为输出设备未被正确控制。

在判定为输出设备被正确控制的情况下(是)，车载通信方法的一系列处理结束。

在判定为输出设备未被正确控制的情况下(否)，处理进入S523。

在S523中，第一运算块124向错误显示器109输入用于通知发生了输出设备的控制错误的错误通知数据。

错误显示器109的动作与S215(参照图3)相同。

通过S523，车载通信方法的一系列处理结束。

在S531～S533中，第二运算块125使用第六BCM共享存储器123c与S521～S523同样地进行动作。

即，第二运算块125从第六BCM共享存储器123c读出确认用帧(S531)，对确认用帧中包含的设备控制数据和S243的控制数据进行比较，判定输出设备是否被正确控制(S532)。并且，在判定为输出设备未被正确控制的情况下，第二运算块125向错误显示器109通知错误(S533)。

反复执行根据图2～图7说明的车载通信方法。

根据实施方式1，车载通信系统100即使在发生故障或者误动作引起的单一故障时，也能够通过故障保护控制来确保较高的安全性。

即，除了在原理上不可避免的匹配电路136或者输出设备的故障以外，车载通信系统100在任何结构要素发生故障时，都能够对输出设备进行故障保护控制。

在实施方式1中，说明了将输入用DHM 110、BCM 120或者输出用DHM 130的输入、运算或者输出用的控制块以及存储器双重化的方式。但是，也可以将这些结构三重化以上而多重化。并且，也可以不多重化被双重化的结构中的至少任意一方，而是构成为一个块或者存储器。

另外，也可以将输入用DHM 110、BCM 120或者输出用DHM 130各自的网络控制块多重化。

另外，还可以将确认用DHM 140的各结构多重化。但是，由于确认用DHM 140构成为用于在输出设备被控制后确认输出设备是否被正确控制，因而可认为即使不将确认用DHM140的各结构双重化，对安全性也没有影响。

图8是表示实施方式1的车载通信系统100的结构的一例的图。

图8所示的DHM 150是将输入用DHM 110、输出用DHM 130以及确认用DHM140合并成一个的装置。但是，第一输入控制块111和第一输入用共享存储器113还具有确认用输入控制块141和确认用共享存储器142的功能。

车载通信系统100也可以如图8所示，由一个DHM 150构成输入用DHM 110、输出用DHM 130以及确认用DHM 140。

并且，也可以由一个装置构成输入用DHM 110、BCM 120、输出用DHM 130以及确认用DHM 140中的任意一种组合。

在实施方式1中，例如说明了如下所述的车载通信系统(车载通信系统100)。将在实施方式1中说明的结构中对应的结构的标号和名称记述在括弧内。

车载通信系统100具有输入用传输装置(输入用DHM 110)、控制装置(BCM 120)以及输出用传输装置(输出用DHM 130)。

所述输入用传输装置具有第一设备数据输入部(第一输入控制块111)、第二设备数据输入部(第二输入控制块112)、输入用发送部(输入用网络控制块115)。

第一设备数据输入部输入从作为输入源的设备而搭载于所述车辆的设备(输入设备)输出的数据作为第一设备数据。

第二设备数据输入部输入从所述输入源的设备输出的所述数据作为第二设备数据。

输入用发送部生成包含所述第一设备数据输入部输入的所述第一设备数据和用于判定通信结果的第一输入用安全通信数据在内的第一输入用传输数据(第一数据用帧)。输入用发送部生成包含所述第二设备数据输入部输入的所述第二设备数据和用于判定通信结果的第二输入用安全通信数据在内的第二输入用传输数据(第二数据用帧)。输入用发送部向所述控制装置发送所述第一输入用传输数据和所述第二输入用传输数据。

所述控制装置具有控制用接收部(BCM_网络控制块121)、第一控制用判定部(第一运算块124)、第一控制用运算部(第一运算块124)、第二控制用判定部(第二运算块125)、第二控制用运算部(第二运算块125)、控制用发送部(BCM_网络控制块121)。

控制用接收部接收从所述输入用传输装置发送的所述第一输入用传输数据和所述第二输入用传输数据。

第一控制用判定部根据由所述控制用接收部接收到的所述第一输入用传输数据中包含的所述第一输入用安全通信数据，判定是否正常进行了所述第一输入用传输数据中包含的所述第一设备数据的通信。

在判定为正常进行了所述第一设备数据的通信的情况下，第一控制用运算部生成指定基于所述第一设备数据的控制的第一控制数据。在判定为未正常进行所述第一设备数据的通信的情况下，第一控制用运算部生成指定预先设定的故障保护用的控制的第一控制数据。

第二控制用判定部根据由所述控制用接收部接收到的所述第二输入用传输数据中包含的所述第二输入用安全通信数据，判定是否正常进行了所述第二输入用传输数据中包含的所述第二设备数据的通信。

在判定为正常进行了所述第二设备数据的通信的情况下，第二控制用运算部生成指定基于所述第二设备数据的控制的第二控制数据。在判定为未正常进行所述第二设备数据的通信的情况下，第二控制用运算部生成指定所述故障保护用的控制的第二控制数据。

控制用发送部生成包含由所述第一控制用运算部生成的所述第一控制数据的第一控制用传输数据(第一控制用帧)。控制用发送部生成包含由所述第二控制用运算部生成的所述第二控制数据的第二控制用传输数据(第二控制用帧)。控制用发送部将所述第一控制用传输数据和所述第二控制用传输数据发送到所述输出用传输装置。

所述输出用传输装置具有输出用接收部(输出用网络控制块131)和设备控制数据输出部(标号“132”～“136”)。

输出用接收部接收从所述控制装置发送的所述第一控制用传输数据和所述第二控制用传输数据。

设备控制数据输出部根据由所述输出用接收部接收到的所述第一控制用传输数据中包含的所述第一控制数据、和由所述输出用接收部接收到的所述第二控制用传输数据中包含的所述第二控制数据，输出用于控制搭载于所述车辆的作为控制对象的设备(输出设备)的设备控制数据。

所述设备控制数据输出部具有第一输出用判定部(第一输出控制块134)、第一输出用运算部(第一输出控制块134)、第二输出用判定部(第二输出控制块135)、第二输出用运算部(第二输出控制块135)、匹配输出部(匹配电路136)。

第一输出用判定部根据由所述输出用接收部接收到的所述第一控制用传输数据中包含的所述第一控制用安全通信数据，判定是否正常进行了所述第一控制用传输数据中包含的第一控制数据的通信。

在判定为正常进行了所述第一控制数据的通信的情况下，第一输出用运算部输出所述第一控制数据作为第一输出数据。在判定为未正常进行所述第一控制数据的通信的情况下，第一输出用运算部输出指定预先设定的故障保护用的控制的第一输出数据。

第二输出用判定部根据由所述输出用接收部接收到的所述第二控制用传输数据中包含的所述第二控制用安全通信数据，判定是否正常进行了所述第二控制用传输数据中包含的第二控制数据的通信。

在判定为正常进行了所述第二控制数据的通信的情况下，第二输出用判定部输出所述第二控制数据作为第二输出数据。在判定为未正常进行所述第二控制数据的通信的情况下，第二输出用判定部输出指定预先设定的故障保护用的控制的第二输出数据。

匹配输出部输入由所述第一输出用运算部输出的所述第一输出数据和由所述第二输出用运算部输出的所述第二输出数据，根据所述第一输出数据和所述第二输出数据，输出所述设备控制数据。

所述车载通信系统具有反馈用传输装置(确认用DHM 140)。

所述反馈用传输装置具有反馈用输入部(确认用输入控制块141)和反馈用发送部(确认用网络控制块143)。

反馈用输入部输入从所述输出用传输装置输出的所述设备控制数据、从根据所述设备控制数据进行动作的所述作为控制对象的设备作为设备状态数据而输出的数据中的至少任意一个数据，作为反馈数据，该设备状态数据表示所述作为控制对象的设备的动作状态。

反馈用发送部将所述反馈用输入部输入的所述反馈数据发送到所述控制装置。

所述控制装置具有第一确认用判定部(第一运算块124)。

所述控制用接收部接收从所述反馈用传输装置发送的所述反馈数据。

所述第一确认用判定部根据由所述控制用接收部接收到的所述反馈数据，判定是否进行了由所述第一控制数据指定的控制。

所述第一确认用判定部在判定为未进行由所述第一控制数据指定的控制的情况下，输出用于通知发生了故障的故障通知数据(错误通知数据)。

所述控制装置具有第二确认用判定部(第二运算块125)。

所述第二确认用判定部根据由所述控制用接收部接收到的所述反馈数据，判定是否进行了由所述第二控制数据指定的控制。

所述第二确认用判定部在判定为未进行由所述第二控制数据指定的控制的情况下，输出所述故障通知数据。

实施方式2

对BCM 120的第一运算块124和第二运算块125比较彼此生成的控制数据的方式进行说明。

下面，主要说明与实施方式1不同的事项。省略说明的事项与实施方式1相同。

图9是实施方式2的车载通信系统100的结构图。

根据图9说明实施方式2的车载通信系统100的结构。

车载通信系统100的输入用DHM 110、输出用DHM 130以及确认用DHM 140的结构，与在实施方式1中说明的结构(参照图1)相同。

车载通信系统100的BCM 120除了在实施方式1中说明的结构以外，还具有第七BCM共享存储器122R和第八BCM共享存储器123R。

第七BCM共享存储器122R和第八BCM共享存储器123R是用于第一运算块124和第二运算块125比较彼此的控制数据的参照用存储器。

车载通信系统100的车载通信方法与实施方式1相同(参照图2～图7)。但是，BCM120的一部分处理不同。

图10是表示实施方式2的车载通信系统100的车载通信方法的一部分的流程图。并且，图10是对在实施方式1中说明的图4追加S251～S256而成的流程图。

根据图10说明与实施方式1不同的BCM 120的处理(S251～S256)。

S231～S233、S241～S243是在实施方式1中说明的处理(参照图4)。

在S233之后，处理进入S251。并且，在S243之后，处理进入S254。

在S251中，BCM_网络控制块121将在S233中写入第三BCM共享存储器122s的控制数据复制到第八BCM共享存储器123R。

在S251之后，处理进入S252。

在S252中，第二运算块125从第八BCM共享存储器123R读出控制数据，对读出的控制数据与在S243中写入第四BCM共享存储器123s的控制数据进行比较。即，第二运算块125对自身生成的控制数据与第一运算块124生成的控制数据进行比较。

在控制数据表示相同值的情况下(是)，处理进入S244。

在控制数据表示不同值的情况下(否)，处理进入S253。

在S253中，第二运算块125判定在S243中写入第四BCM共享存储器123s的控制数据是否是指定与设备数据对应的通常控制的控制数据。

在该控制数据是指定通常控制的控制数据的情况下，第二运算块125生成指定故障保护用的控制的控制数据，将生成的控制数据覆盖写入第四BCM共享存储器123s。即，第二运算块125将通常控制用的控制数据变更成故障保护用的控制数据。并且，第二运算块125向错误显示器109通知错误(与图3的S225同样)。

在S253之后，处理进入S244。S244～S246是在实施方式1中说明的处理(参照图4)。

S254～S256是在第一运算块124侧与S251～S253同样地进行的处理。

即，BCM_网络控制块121将写入第四BCM共享存储器123s的控制数据复制到第七BCM共享存储器122R(S254)，第一运算块124对自身生成的控制数据与第二运算块125生成的控制数据进行比较(S255)。在控制数据不同的情况下，第一运算块124根据需要将控制数据变更成故障保护用，并且向错误显示器109通知错误(S256)。在S256之后，处理进入S234。S234～S236是在实施方式1中说明的处理(参照图4)。

向错误显示器109的错误通知也可以由第一运算块124和第二运算块125中预先设定的运算块进行。

在实施方式2中，说明了BCM 120的第一运算块124和第二运算块125比较彼此生成的控制数据的方式。

在各自的控制数据不同的情况下，在从输入(输入用DHM 110)到运算(BCM120)的被双重化的任意一个部分发生了异常。即，根据实施方式2，能够提高异常部位的确定精度。

实施方式2也可以是如下所述的方式。

在S251、S255中，BCM_网络控制块121将安全通信数据与控制数据一起复制。

在S252、S254中，各运算块除了判定控制数据是否相同以外，还使用安全通信数据，利用安全通信功能检查控制数据是否发生了异常。

在控制数据发生了异常的情况下，在S253、S256中，各运算块根据需要进行控制数据的变更和错误通知。

在利用安全通信功能检测出控制数据异常的情况下，在进行了控制数据的复制的BCM_网络控制块121或者进行了控制数据的写入的运算块发生了异常。即，根据该方式，能够进一步提高异常部位的确定精度。

实施方式3

对使用多个微型计算机(以下称作“微机”)对在实施方式1、2中说明的输入用DHM110、BCM 120以及输出用DHM 130的结构进行多重化的方式进行说明。

图11是实施方式3的输入用DHM 110的硬件结构图。

根据图11说明实施方式3的输入用DHM 110的硬件结构。

输入用DHM 110具有第一微机201A和第二微机201B。

第一微机201A和第二微机201B具有CPU内核211、存储器212、CAN控制器213以及端口控制器214。它们通过总线219(内部总线)相互连接。

CPU内核211是实现程序的执行、其它硬件的控制等的处理装置。CPU内核211也简称作CPU(Central Processing Unit)。

存储器212是存储数据的存储装置。

CAN控制器213是用于通过CAN 101进行数据通信的硬件。

端口控制器214是用于与设备之间进行输入输出的硬件。

第一微机201A的CPU内核211、存储器212以及端口控制器214作为输入用DHM 110的第一输入控制块111发挥作用。

第一微机201A的存储器212作为输入用DHM 110的第一输入用共享存储器113发挥作用。

第一微机201A的CPU内核211、存储器212以及CAN控制器213作为输入用DHM 110的输入用网络控制块115发挥作用。

第二微机201B的CPU内核211、存储器212以及端口控制器214作为输入用DHM 110的第二输入控制块112发挥作用。

第二微机201B的存储器212作为输入用DHM 110的第二输入用共享存储器114发挥作用。

第二微机201B的CPU内核211、存储器212以及CAN控制器213作为输入用DHM 110的输入用网络控制块115发挥作用。

关于输出用DHM 130，与输入用DHM 110同样使用2个微机进行安装。

图12是实施方式3的BCM 120的硬件结构图。

根据图12说明实施方式3的BCM 120的硬件结构。

BCM 120具有第一微机202A和第二微机202B。

第一微机202A和第二微机202B具有CPU内核211、存储器212、CAN控制器213以及错误通知接口215。它们通过总线219(内部总线)相互连接。

错误通知接口215是具有用于向错误显示器109进行错误通知的接口(I/F)的硬件。

第一微机202A的CPU内核211、存储器212以及CAN控制器213作为BCM 120的BCM_网络控制块121发挥作用。

第一微机202A的存储器212作为第一BCM共享存储器122r、第三BCM共享存储器122s以及第五BCM共享存储器122c发挥作用。

第一微机202A的CPU内核211、存储器212以及错误通知接口215作为BCM 120的第一运算块124发挥作用。

第二微机202B的CPU内核211、存储器212以及CAN控制器213作为BCM 120的BCM_网络控制块121发挥作用。

第二微机202B的存储器212作为第二BCM共享存储器123r、第四BCM共享存储器123s以及第六BCM共享存储器123c发挥作用。

第二微机202B的CPU内核211、存储器212以及错误通知接口215作为BCM 120的第二运算块125发挥作用。

通过构成为使用独立的微机使如在图11、图12中说明的那样被双重化的各个系统在物理上分离，能够使一个系统的故障不影响到另一方系统。

生成供给到微机的电源的电路或者供给时钟的石英振荡器在其自身发生故障时不能进行通信，因而通信对象能够利用安全通信功能检测异常。因此，不需要对各个系统设置这些电路，只要在一个系统中具备即可。

实施方式4

对使用一个微机对在实施方式1、2中说明的输入用DHM 110、BCM 120以及输出用DHM 130的结构进行多重化的方式进行说明。

图13是实施方式4的输入用DHM 110的硬件结构图。

根据图13说明实施方式4的输入用DHM 110的硬件结构。

输入用DHM 110具有微机201。

微机201具有CPU内核211、存储器212、CAN控制器213、第一端口控制器214A以及第二端口控制器214B。它们通过总线219(内部总线)相互连接。各硬件与实施方式3相同。

CPU内核211、存储器212以及第一端口控制器214A作为输入用DHM 110的第一输入控制块111发挥作用。

CPU内核211、存储器212以及第二端口控制器214B作为输入用DHM 110的第二输入控制块112发挥作用。

第一输入控制块111和第二输入控制块112通过多任务环境下独立的任务来实现，而且利用存储器保护功能保护各个任务利用的存储器212的存储器空间。通过这样在逻辑上将结构分开，即使控制第一系统和第二系统中的任意一个系统的程序失控，其影响也不会波及到另一个系统。

端口控制器由在第一系统和第二系统中独立的硬件构成。这是因为用一个硬件实现2个系统的端口控制器，将会产生因内部总线的接口部分发生故障而导致输入输出被固定这样的故障，有可能在2个系统中输入输出错误的值。通过在物理上将端口控制器双重化，能够防止这种情况。

存储器212作为输入用DHM 110的第一输入用共享存储器113和第二输入用共享存储器114发挥作用。

第一输入用共享存储器113和第二输入用共享存储器114作为第一系统和第二系统的各个任务管理的共享存储器来实现，保护各共享存储器使得各系统的任务不能访问彼此的共享存储器。

CPU内核211、存储器212以及CAN控制器213作为输入用DHM 110的输入用网络控制块115发挥作用。

关于输出用DHM 130，与输入用DHM 110同样使用一个微机进行安装。

图14是实施方式4的BCM 120的硬件结构图。

根据图14说明实施方式4的BCM 120的硬件结构。

BCM 120具有微机201。

微机201具有CPU内核211、存储器212、CAN控制器213、第一错误通知接口215A以及第二错误通知接口215B。它们通过总线219(内部总线)相互连接。各硬件与实施方式3相同。

CPU内核211、存储器212以及CAN控制器213作为BCM 120的BCM_网络控制块121发挥作用。

存储器212作为第一BCM共享存储器122r、第三BCM共享存储器122s以及第五BCM共享存储器122c发挥作用。

与在图13中说明的输入用DHM 110同样，各共享存储器由各系统的任务进行管理，保护各共享存储器使得各系统的任务不能访问彼此的共享存储器。

CPU内核211、存储器212以及第一错误通知接口215A作为BCM 120的第一运算块124发挥作用。

CPU内核211、存储器212以及第二错误通知接口215B作为BCM 120的第二运算块125发挥作用。

与在图13中说明的输入用DHM 110的输入控制块同样，各运算块的存储器空间在逻辑上被双重化。并且，与输入用DHM 110的端口控制器同样，错误通知接口在物理上被双重化。

生成供给到微机的电源的电路或者供给时钟的石英振荡器与实施方式3同样，不需要对各个系统设置，只要在一个系统中具备即可。

根据实施方式4，能够用一个微机构建安全性较高的系统。并且，能够实现低成本且灵活性良好的系统构建。

实施方式5

对使用硬件引擎构成在实施方式1、2中说明的输入用DHM 110、BCM 120以及输出用DHM 130的方式进行说明。

硬件引擎是将多个硬件组合而得到的装置。LSI(Large Scale Integration：大规模集成电路)是硬件引擎的一例。

图15是实施方式5的输入用DHM 110的硬件结构图。

根据图15说明实施方式5的输入用DHM 110的硬件结构。

输入用DHM 110具有第一端口控制器214A、第二端口控制器214B、第一安全通信处理电路216A、第二安全通信处理电路216B、第一存储器212A、第二存储器212B以及CAN控制器213。

安全通信处理电路是用于进行安全通信数据的生成以及安全通信功能的异常发生判定的电路。其它的硬件与实施方式3相同。

第一端口控制器214A和第一安全通信处理电路216A作为输入用DHM 110的第一输入控制块111发挥作用。

第二端口控制器214B和第二安全通信处理电路216B作为输入用DHM 110的第二输入控制块112发挥作用。

第一存储器212A作为输入用DHM 110的第一输入用共享存储器113发挥作用。

第二存储器212B作为输入用DHM 110的第二输入用共享存储器114发挥作用。

CAN控制器213作为输入用DHM 110的输入用网络控制块115发挥作用。

关于输出用DHM 130，与输入用DHM 110同样进行安装。

图16是实施方式5的BCM 120的硬件结构图。

根据图16说明实施方式5的BCM 120的硬件结构。

BCM 120具有CAN控制器213、第一存储器212A、第二存储器212B、第一安全通信处理电路216A、第二安全通信处理电路216B、第一运算电路217A、第二运算电路217B、第一错误通知接口215A以及第二错误通知接口215B。

安全通信处理电路是用于进行安全通信数据的生成以及安全通信功能的异常发生判定的电路。错误通知接口是具有用于与错误显示器109通信的接口(I/F)的电路。其它的硬件与实施方式3相同。

CAN控制器213作为BCM 120的BCM_网络控制块121发挥作用。

第一存储器212A作为BCM 120的第一BCM共享存储器122r、第三BCM共享存储器122s以及第五BCM共享存储器122c发挥作用。

第二存储器212B作为BCM 120的第二BCM共享存储器123r、第四BCM共享存储器123s以及第六BCM共享存储器123c发挥作用。

第一安全通信处理电路216A、第一运算电路217A以及第一错误通知接口215A作为BCM 120的第一运算块124发挥作用。

第二安全通信处理电路216B、第二运算电路217B以及第二错误通知接口215B作为BCM 120的第二运算块125发挥作用。

根据实施方式5，能够用非常简单的电路(例如一个LSI)实现输入用DHM 110、BCM120以及输出用DHM 130。因此，能够以非常低的成本构建安全性较高的系统。

各实施方式也可以在不矛盾的范围内适当组合方式的一部分或者全部。

标号说明

100车载通信系统；101CAN；102开关；103致动器；109错误显示器；110输入用DHM；111第一输入控制块；112第二输入控制块；113第一输入用共享存储器；114第二输入用共享存储器；115输入用网络控制块；120BCM；121BCM_网络控制块；122r第一BCM共享存储器；122s第三BCM共享存储器；122c第五BCM共享存储器；122R第七BCM共享存储器；123r第二BCM共享存储器；123s第四BCM共享存储器；123c第六BCM共享存储器；123R第八BCM共享存储器；124第一运算块；125第二运算块；130输出用DHM；131输出用网络控制块；132第一输出用共享存储器；133第二输出用共享存储器；134第一输出控制块；135第二输出控制块；136匹配电路；140确认用DHM；141确认用输入控制块；142确认用共享存储器；143确认用网络控制块；150DHM；151DHM_网络控制块；201微机；201A第一微机；201B第二微机；202A第一微机；202B第二微机；211CPU内核；212存储器；212A第一存储器；212B第二存储器；213CAN控制器；214端口控制器；214A第一端口控制器；214B第二端口控制器；215错误通知接口；215A第一错误通知接口；215B第二错误通知接口；216A第一安全通信处理电路；216B第二安全通信处理电路；217A第一运算电路；217B第二运算电路；219总线。

Claims

1.一种车载通信系统，其特征在于，

该车载通信系统具有输入用传输装置、控制装置以及输出用传输装置，

所述输入用传输装置具有：

第一设备数据输入部，其输入从搭载于车辆的设备输出的数据作为第一设备数据；

第二设备数据输入部，其输入所述从搭载于车辆的设备输出的数据作为第二设备数据；以及

输入用发送部，其发送包含所述第一设备数据和第一输入用安全通信数据的第一输入用传输数据、以及包含所述第二设备数据和第二输入用安全通信数据的第二输入用传输数据，

所述控制装置具有：

第一控制用判定部，其使用所述第一输入用传输数据中包含的所述第一输入用安全通信数据，判定是否正常进行了所述第一设备数据的通信；

第一控制用运算部，其在所述第一设备数据的通信正常的情况下，指定基于所述第一设备数据的控制而生成第一控制数据；

第二控制用判定部，其使用所述第二输入用传输数据中包含的所述第二输入用安全通信数据，判定是否正常进行了所述第二设备数据的通信；

第二控制用运算部，其在所述第二设备数据的通信正常的情况下，指定基于所述第二设备数据的控制而生成第二控制数据；以及

控制用发送部，其发送包含所述第一控制数据的第一控制用传输数据以及包含所述第二控制数据的第二控制用传输数据，

所述输出用传输装置具有：

输出用接收部，其接收所述第一控制用传输数据和所述第二控制用传输数据；以及

设备控制数据输出部，其根据所述第一控制数据和所述第二控制数据，输出用于控制搭载于所述车辆的作为控制对象的设备的设备控制数据。

2.根据权利要求1所述的车载通信系统，其特征在于，

所述控制装置具有控制用接收部，该控制用接收部接收所述第一输入用传输数据和所述第二输入用传输数据，

在所述第一设备数据的通信不正常的情况下，所述第一控制用运算部指定故障保护用的控制而生成所述第一控制数据，

在所述第二设备数据的通信不正常的情况下，所述第二控制用运算部指定所述故障保护用的控制而生成所述第二控制数据，

所述第一控制用传输数据包含所述第一控制数据和第一控制用安全通信数据，

所述第二控制用传输数据包含所述第二控制数据和第二控制用安全通信数据，

所述输出用传输装置的所述设备控制数据输出部具有：

第一输出用判定部，其根据所述第一控制用安全通信数据，判定是否正常进行了所述第一控制数据的通信；

第一输出用运算部，其在所述第一控制数据的通信正常的情况下，指定所述第一控制数据而输出第一输出数据，在所述第一控制数据的通信不正常的情况下，指定故障保护用的控制而输出第一输出数据；

第二输出用判定部，其根据所述第二控制用安全通信数据，判定是否正常进行了所述第二控制数据的通信；

第二输出用运算部，其在所述第二控制数据的通信正常的情况下，指定所述第二控制数据而输出第二输出数据，在所述第二控制数据的通信不正常的情况下，指定所述故障保护用的控制而输出第二输出数据；以及

匹配输出部，其根据所述第一输出数据和所述第二输出数据输出所述设备控制数据。

3.根据权利要求2所述的车载通信系统，其特征在于，

在所述第一输出数据和所述第二输出数据中的至少任意一个数据是指定所述故障保护用的控制的数据的情况下，所述匹配输出部输出指定所述故障保护用的控制的数据作为所述设备控制数据。

4.根据权利要求1所述的车载通信系统，其特征在于，

所述第一控制用判定部在判定为未正常进行所述第一输入用传输数据的通信的情况下，输出用于通知发生了故障的通信故障数据，

所述第二控制用判定部在判定为未正常进行所述第二输入用传输数据的通信的情况下，输出所述通信故障数据。

5.根据权利要求1所述的车载通信系统，其特征在于，

所述输入用传输装置具有第一输入用存储器和第二输入用存储器，

所述第一设备数据输入部将所输入的所述第一设备数据写入到所述第一输入用存储器，

所述第二设备数据输入部将所输入的所述第二设备数据写入到所述第二输入用存储器，

所述输入用发送部从所述第一输入用存储器读出所述第一设备数据，发送包含所读出的所述第一设备数据的数据作为所述第一输入用传输数据，并且，从所述第二输入用存储器读出所述第二设备数据，发送包含所读出的所述第二设备数据的数据作为所述第二输入用传输数据。

6.根据权利要求1所述的车载通信系统，其特征在于，

所述控制装置具有被写入所述第一输入用传输数据的第一接收用存储器和被写入所述第二输入用传输数据的第二接收用存储器，

所述第一控制用判定部从所述第一接收用存储器读出所述第一输入用传输数据，根据所读出的所述第一输入用传输数据判定是否正常进行了所述第一输入用传输数据的通信，

所述第二控制用判定部从所述第二接收用存储器读出所述第二输入用传输数据，根据所读出的所述第二输入用传输数据判定是否正常进行了所述第二输入用传输数据的通信。

7.根据权利要求1所述的车载通信系统，其特征在于，

所述控制装置具有第一发送用存储器和第二发送用存储器，

所述第一控制用运算部将所生成的所述第一控制数据写入到所述第一发送用存储器，

所述第二控制用运算部将所生成的所述第二控制数据写入到所述第二发送用存储器，

所述控制用发送部从所述第一发送用存储器读出所述第一控制数据，发送包含所读出的所述第一控制数据的数据作为所述第一控制用传输数据，从所述第二发送用存储器读出所述第二控制数据，发送包含所读出的所述第二控制数据的数据作为所述第二控制用传输数据。

8.根据权利要求1所述的车载通信系统，其特征在于，

所述输出用传输装置具有第一输出用存储器和第二输出用存储器，

所述输出用接收部将接收到的所述第一控制用传输数据写入到所述第一输出用存储器，并且，将接收到的所述第二控制用传输数据写入到所述第二输出用存储器，

所述设备控制数据输出部从所述第一输出用存储器读出所述第一控制用传输数据，并且，从所述第二输出用存储器读出所述第二控制用传输数据，根据所读出的所述第一控制用传输数据和所述第二控制用传输数据，输出所述设备控制数据。

9.根据权利要求1所述的车载通信系统，其特征在于，

所述车载通信系统具有反馈用传输装置，

所述反馈用传输装置具有：

反馈用输入部，其输入从所述输出用传输装置输出的所述设备控制数据、从根据所述设备控制数据进行动作的所述作为控制对象的设备作为设备状态数据输出的数据中的至少任意一个数据，作为反馈数据，其中，所述设备状态数据表示所述作为控制对象的设备的动作状态；以及

反馈用发送部，其将所述反馈用输入部输入的所述反馈数据发送到所述控制装置。

10.根据权利要求9所述的车载通信系统，其特征在于，

所述控制装置具有第一确认用判定部，

所述第一确认用判定部根据从所述反馈用传输装置发送的所述反馈数据，判定是否进行了由所述第一控制数据指定的控制，

所述第一确认用判定部在判定为没有进行由所述第一控制数据指定的控制的情况下，输出用于通知发生了故障的故障通知数据。

11.根据权利要求10所述的车载通信系统，其特征在于，

所述控制装置具有第二确认用判定部，

所述第二确认用判定部根据所述反馈数据，判定是否进行了由所述第二控制数据指定的控制，

所述第二确认用判定部在判定为没有进行由所述第二控制数据指定的控制的情况下，输出所述故障通知数据。

12.根据权利要求1所述的车载通信系统，其特征在于，

所述第一控制用运算部比较所述第一控制数据和所述第二控制数据，在所述第一控制数据和所述第二控制数据不同的情况下进行错误处理。

13.根据权利要求1所述的车载通信系统，其特征在于，

所述输入用传输装置具有：输入用的第一微型计算机，其作为所述第一设备数据输入部发挥作用；以及输入用的第二微型计算机，其作为所述第二设备数据输入部发挥作用，

所述控制装置具有：控制用的第一微型计算机，其作为所述第一控制用判定部和所述第一控制用运算部发挥作用；以及控制用的第二微型计算机，其作为所述第二控制用判定部和所述第二控制用运算部发挥作用。

14.根据权利要求1所述的车载通信系统，其特征在于，

所述输入用传输装置具有输入用的微型计算机，该输入用的微型计算机作为所述第一设备数据输入部、所述第二设备数据输入部以及所述输入用发送部发挥作用，

所述控制装置具有控制用的微型计算机，该控制用的微型计算机作为所述第一控制用判定部、所述第一控制用运算部、所述第二控制用判定部、所述第二控制用运算部以及所述控制用发送部发挥作用，

所述输出用传输装置具有输出用的微型计算机，该输出用的微型计算机作为所述输出用接收部和所述设备控制数据输出部发挥作用。

15.根据权利要求1所述的车载通信系统，其特征在于，

所述输入用传输装置具有：第一设备数据输入电路，其作为所述第一设备数据输入部发挥作用；第二设备数据输入电路，其作为所述第二设备数据输入部发挥作用；以及输入用发送电路，其作为所述输入用发送部发挥作用，

所述控制装置具有：第一控制用判定电路，其作为所述第一控制用判定部发挥作用；第一控制用运算电路，其作为所述第一控制用运算部发挥作用；第二控制用判定电路，其作为所述第二控制用判定部发挥作用；第二控制用运算电路，其作为所述第二控制用运算部发挥作用；以及控制用发送电路，其作为所述控制用发送部发挥作用，

所述输出用传输装置具有：输出用接收电路，其作为所述输出用接收部发挥作用；以及设备控制数据输出电路，其作为所述设备控制数据输出部发挥作用。

16.一种车载通信方法，其特征在于，

搭载于车辆的输入用传输装置的第一设备数据输入部输入从搭载于所述车辆的设备输出的数据作为第一设备数据，

所述输入用传输装置的第二设备数据输入部输入所述从搭载于所述车辆的设备输出的数据作为第二设备数据，

所述输入用传输装置的输入用发送部将包含所述第一设备数据和第一输入用安全通信数据的第一输入用传输数据、以及包含所述第二设备数据和第二输入用安全通信数据的第二输入用传输数据发送到搭载于所述车辆的控制装置，

所述控制装置的第一控制用判定部使用所述第一输入用传输数据中包含的所述第一输入用安全通信数据，判定是否正常进行了所述第一设备数据的通信，

所述控制装置的第一控制用运算部在所述第一设备数据的通信正常的情况下，指定基于所述第一设备数据的控制而生成第一控制数据，

所述控制装置的第二控制用判定部使用所述第二输入用传输数据中包含的所述第二输入用安全通信数据，判定是否正常进行了所述第二设备数据的通信，

所述控制装置的第二控制用运算部在所述第二设备数据的通信正常的情况下，指定基于所述第二设备数据的控制而生成第二控制数据，

所述控制装置的控制用发送部将包含所述第一控制数据的第一控制用传输数据以及包含所述第二控制数据的第二控制用传输数据发送到搭载于所述车辆的输出用传输装置，

所述输出用传输装置的输出用接收部接收所述第一控制用传输数据和所述第二控制用传输数据，

所述输出用传输装置的设备控制数据输出部根据所述第一控制数据和所述第二控制数据，输出用于控制搭载于所述车辆的作为控制对象的设备的设备控制数据。