JP2006165884A - データ中継装置，多重通信システム，電子制御ユニット - Google Patents

Abstract

【課題】ゲートウェイ機能に加えてアプリケーション機能を有するデータ中継装置を用いた多重通信システムに特有な課題である、データ中継装置の自己リセット発生時における電子制御ユニットの誤作動、及び中継データ増大時のデータ中継装置におけるアプリケーション機能の低下を解決する。
【解決手段】統合ＥＣＵ（データ中継装置）は、アプリケーション系処理ルーチンの中で実行される異常検出処理の処理結果を取得し（Ｓ４００）、その処理結果が異常ありである場合には（Ｓ４１０：ＹＥＳ）、受信処理の実行を禁止し（Ｓ４２０）、送信バッファに送信待ちデータが存在しないことを確認後（Ｓ４３０）、ネットワークに接続された全てのＥＣＵに対してリセット事前通知を送信し（Ｓ４４０）、その後、自装置全体をリセットするリセット回路に対してリセット指示を送出する（Ｓ４５０）。
【選択図】 図４

Description

本発明は、車両内に形成された複数の通信ネットワークを相互に接続するためのゲートウェイ機能に加え、通信ネットワークを介してデータを送受信することにより予め設定された特定処理を実現するアプリケーション機能を有するデータ中継装置、そのデータ中継装置を用いた多重通信システム、その多重通信システムに接続される電子制御ユニットに関する。

従来より、車両各部を制御するための複数の電子制御ユニット（ＥＣＵ）を、通信ネットワーク（ＬＡＮ）を介して接続し、相互にデータ通信ができるようにした電子制御システムが知られている。

そして、近年では、非常に多くのＥＣＵによって電子制御システムが構成されている。しかし、ＬＡＮに接続されるＥＣＵの数が増大するほど、ＬＡＮ伝送路上での波形なまりが劣化し、伝送遅延の増大やノイズ耐性の低下の原因となるという問題があった。また、ＣＡＮプロトコル等のように伝送路上での衝突検知，再送制御を行っている場合には、伝送路を介して送受信されるデータ（バス負荷）が増大すると、データの衝突，再送が頻発するようになり、伝送遅延が異常に大きくなってしまうという問題もあった。

これに対して、ＬＡＮを複数に分離し、これらＬＡＮ間をゲートウェイを介して接続してなる多重通信システムを構成することにより、個々のＬＡＮにおける接続ＥＣＵの低減やバス負荷の軽減を図り、データ伝送の高速性や信頼性を確保することが行われている（例えば、特許文献１参照。）。
特開平７−４６６６５号公報

ところで、この種の多重通信システムでは、コスト削減等のために、ゲートウェイ機能を独立したＥＣＵにて実現するのではなく、他のアプリケーション機能を実現するためのＥＣＵと一体化させる場合がある。

そして、例えばエンジンＥＣＵ等のように、車両の安全性等に大きく関わる重要な制御を実行するＥＣＵは、自己診断等により異常を検出した場合、深刻な事態に陥る前に自己リセットをかけて再スタートするように構成されたものがあり、このようなＥＣＵとゲートウェイとを一体化させた場合には、次のような問題があった。

即ち、ゲートウェイ機能とアプリケーション機能とをいずれも実現するＥＣＵ（以下「統合ＥＣＵ」と称する。）では、上述したアプリケーション機能によって自己リセットがかかると、当然、ゲートウェイ機能も使用不能となる。従って、統合ＥＣＵの動作が復帰するまでの間、統合ＥＣＵ以外の他のＥＣＵ（以下「アプリＥＣＵ」と称する。）は、自身が接続されたＬＡＮとは異なるＬＡＮに接続されたアプリＥＣＵからのデータを受信できないことになる。

その結果、各アプリＥＣＵは、自身に割り当てられた機能を正常に果たすことが困難になったり、データの送信元となるアプリＥＣＵの動作が異常であるという誤診断（誤ったダイアグ情報の記録）を行ってしまうという問題があった。

また、通常、ゲートウェイ機能に関わる処理（以下「ゲートウェイ関連処理」）は、データの伝送遅延を小さくする必要があることから高い優先度で処理される。
また、ゲートウェイ関連処理による処理負荷は、通信状態に依存するため、何等かの理由で中継を必要とする通信が集中すると、過渡的に非常に重くなることがある。

従って、ゲートウェイ関連処理の処理負荷が重い時には、アプリケーション機能に関わる処理（以下「アプリケーション関連処理」）を実行するための時間を十分に確保できず、本来のアプリケーション機能を損なってしまうという問題があった。

例えば、アプリケーションがエンジン制御である場合には、エンジンの制御性を損ない、ドライブフィーリングやエミッションを悪化させてしまうのである。
そこで本発明は、ゲートウェイ機能に加えてアプリケーション機能を有するデータ中継装置を用いた多重通信システムに特有な問題、即ち、データ中継装置の自己リセット発生時における電子制御ユニットの誤作動、及び中継データ増大時のデータ中継装置におけるアプリケーション機能の低下を解決することを目的とする。

上記目的を達成するためになされた第一発明のデータ中継装置は、車両内に形成された複数の通信ネットワークを相互に接続するゲートウェイ機能に加え、通信ネットワークを介してデータを送受信することにより予め設定された特定処理を実現するアプリケーション機能を有している。

そして、異常検出手段が、アプリケーション機能の異常を検出すると、リセット制御手段が、通信ネットワークに接続された電子制御ユニット（ＥＣＵ）に対してリセット事前通知を送信後、リセット回路に対してリセット指令を出力することにより、自装置全体をリセットする。

このように、本発明のデータ中継装置によれば、自己リセットをかける時には、実際にリセットする前にリセット事前通知を送信するようにされている。このため、通信ネットワークに接続された電子制御ユニットは、データ中継装置を介して受信されるべきデータが途絶した場合に、その原因が、送信元の異常によるものか、データ中継装置の自己リセットによるものかを特定することができ、その特定された原因に応じた適切な処理（例えば、フェールセーフ処理やダイアグ情報の記録）を実行することができる。

なお、リセット事前通知は、例えば、通信ネットワークを介して送信することが考えられる。但し、この場合、バス負荷の状態によって、各電子制御ユニットにリセット事前通知が送達されるまでの遅延時間が異なったものとなり、場合によっては、リセット事前通知の送達前にデータ中継装置が自己リセットをかけてしまう可能性がある。これを防止するには、リセット事前通知を送信してから実際にリセットをかけるまでの待機時間を十分に確保すればよいが、この待機時間が長くなるほどデータ中継装置を使用できない時間、即ち、通信ネットワークを利用した機能を最大限に活用することのできない時間が長くなってしまう。

そこで、リセット制御手段は、リセット事前通知を、通信ネットワークとは異なる専用線を用いて送信するようにすることが望ましい。
この場合、通信ネットワークに接続された電子制御ユニットに対してリセット事前通知の送達を、確実かつ速やかに行うことができ、自己リセットによるデータ中継装置の使用不能期間を必要最小限に抑えることができる。

ところで、電子制御ユニットは、データ中継装置を介して受信されるべきデータ（中継データ）を、データ中継装置のリセット中には受信することができないため、その間は、最後に受信したデータに基づいて中継データ途絶時の処理（フェールセーフ処理等）を実行することになる。

そこで、リセット制御手段は、ゲートウェイ機能により中継されるべき中継データが送信待ち状態で存在する場合、この中継データの送信終了後にリセット事前通知を送信するように構成することが望ましい。

この場合、電子制御ユニットは、データ中継装置がリセットした状況において入手可能な最新の中継データを取得することになるため、データ中継装置が送信待ちの中継データをそのまま廃棄してしまう場合と比較して、電子制御ユニットが中継データ途絶時に実行する処理の処理精度を向上させることができる。

ところで、データ中継装置が、アプリケーション機能に関わる処理の少なくとも一部と、ゲートウェイ機能に関わる処理と、異常検出手段及びリセット制御手段としての処理とを同一のＣＰＵが実行するように構成されている場合、使用率算出手段が、そのＣＰＵの使用率を求め、ゲートウェイ関連処理抑制手段が、その求めた使用率が予め設定された上限使用率を超える場合に、そのＣＰＵにおけるゲートウェイ機能に関わる処理（ゲートウェイ関連処理）の実行を抑制するように構成してもよい。

この場合、ゲートウェイ関連処理の実行のために、アプリケーション機能に関わる処理（アプリケーション関連処理）の実行に影響が及んでしまい、例えば、アプリケーションがエンジン制御等、車両制御の基本的な処理である場合には、ドライブフィーリングやエミッションを損なってしまうこと等を防止することができる。

そして、ゲートウェイ関連処理の実行を抑制する方法として、具体的には、例えば、ゲートウェイ機能によって中継されるべき中継データを適宜破棄する等して、中継データの中継周期を低周期化するようにすればよい。

また、ゲートウェイ処理抑制手段は、予め指定されたデータについてのみ、中継周期の低周期化を実行するように構成することが望ましい。なお、予め指定されたデータとは、例えば、走行の安全性に関わる制御等に使用される重要なデータ以外であることが望ましい。

ところで、上述した使用率算出手段及びゲートウェイ関連処理抑制手段と、異常検出手段及びリセット制御手段とは、両者が併用されていてもよいし、併用されていなくてもよい。

次に、第二発明の多重通信システムは、少なくとも異常検出手段及びリセット制御手段を備えた上述のデータ中継装置により相互に接続された複数の通信ネットワークからなる。

このように構成された本発明の多重通信システムによれば、第一発明のデータ中継装置が用いられているため、これと使用した場合と同様の効果を得ることができる。
次に、第三発明は、第二発明の多重通信システムに接続される電子制御ユニットであり、データ中継装置からリセット事前通知を受信した場合、その後、該データ中継装置のリセットが解除されるまでの間、該データ中継装置を介して受信されるべきデータに対するフェールセーフ処理を実施する。

つまり、本発明の電子制御ユニットによれば、データ中継装置を介して受信されるべきデータを受信できないことによって誤作動してしまうことが確実に防止され、必要最低限の信頼性を確保することができる。

また、第四発明は、第二発明の多重通信システムに接続される電子制御ユニットであり、多重通信システムを介して繰り返し受信されるべき反復データが、予め設定された許容期間以上の間受信できなかった場合、途絶ダイアグ記録手段が、その旨を通信途絶ダイアグ情報として記録する。また、途絶ダイアグ禁止手段は、データ中継装置からリセット事前通知を受信した場合、その後、データ中継装置のリセットが解除されるまでの間、前記反復データのうちデータ中継装置を介して受信されるべきものについては、途絶ダイアグ記録手段による通信途絶ダイアグ情報の記録を禁止する。

つまり、本発明の電子制御ユニットによれば、データ中継装置のリセットが原因で途絶した反復データについての通信途絶ダイアグ情報の記録が禁止されるため、不要なダイアグ情報が記録されてしまうことを防止することができる。

以下に本発明の実施形態を図面と共に説明する。
図１は、本発明が適用された実施形態の車載多重通信システムの構成を表すブロック図である。

図１に示すように、本実施例の車載多重通信システムは、車両の走行制御に関わる電子制御ユニット（制御系ＥＣＵ）が接続される制御系ネットワーク１と、走行制御以外の車体制御や各種情報提供等に関わる電子制御ユニット（ボディ系ＥＣＵ）が接続されるボディ系ネットワーク２と、両ネットワーク１，２間の通信を仲介して、両ネットワーク１，２と共に車載ＬＡＮを構成するためのゲートウェイ機能、及びエンジンの始動・停止や、燃料噴射量，点火時期の制御等を実行する、いわゆるエンジンＥＣＵとしての機能（以下「アプリケーション機能」とも称する。）を有する電子制御ユニット（以下「統合ＥＣＵ」と称する。）３と、統合ＥＣＵ３がネットワーク１，２に接続された全てのＥＣＵに対して、後述するリセット事前通知を送信するための専用線４とを備えている。

なお、制御系ネットワーク１に接続される制御系ＥＣＵは、例えば、車両の姿勢制御や制動制御を行うブレーキＥＣＵ１１、ステアリング操作時に発生させるアシスト力を制御するステアリングＥＣＵ１２、自動変速機を制御するトランスミッションＥＣＵ１３、ショックアブソーバの減衰力やスプリングのばね定数などを制御するサスペンションＥＣＵ１４等である。

一方、ボディ系ネットワーク２に接続されるボディ系ＥＣＵは、エアコンを制御するエアコンＥＣＵ２１、コントロールパネルに設けられた表示部等に車両の各種状態を表示する制御をメータＥＣＵ２２、ドアの施錠，解錠を制御するドアＥＣＵ２３、現在位置周辺の地図表示，経路設定，経路案内等を行うナビゲーションＥＣＵ２４等である。

そして、これら両ネットワーク１，２に接続される各ＥＣＵｉｊ（ｉ＝１，２、ｊ＝１，２，…）は、いずれも同様の構成を有しており、ＣＰＵ４１、通信制御回路（ＬＡＮＣ）４３、Ｉ／Ｏ回路４５の他、図示しないメモリや周辺回路を備えている。但し、周辺回路は、そのＥＣＵｉｊに割り当てられた機能を果たすために必要な各種回路からなり、ＥＣＵｉｊ毎に異なった構成を有している。

そして、各ＥＣＵｉｊでは、メモリに記憶されたプログラム及びデータ、通信制御回路４３を介して他のＥＣＵｉｊとの間で送受信されるデータ、Ｉ／Ｏ回路４５に接続された専用線４を介して統合ＥＣＵ３から受信するリセット事前通知、周辺回路との間で入出力されるデータに基づいて、ＣＰＵ４１が各種処理を実行する。これにより、各ＥＣＵｉｊは、それぞれに割り当てられた機能を、他のＥＣＵｉｊや統合ＥＣＵ３のアプリケーション機能と連係して実現するようにされている。

次に、統合ＥＣＵ３は、ＣＰＵ３１，３２、通信制御回路３３，３４、Ｉ／Ｏ回路３５、リセット回路３６、タイマ３７の他、図示しないメモリや周辺回路からなる。
このうち、一方の通信制御回路３３は制御系ネットワーク１、他方の通信制御回路３４はボディ系ネットワーク２に接続され、また、Ｉ／Ｏ回路３５は専用線４に接続されている。そして、これら通信制御回路３３，３４、Ｉ／Ｏ回路３５は、リセット回路３６、タイマ３７と共に、いずれもＣＰＵ３１によって制御されるように構成されている。

なお、リセット回路３６は、ＣＰＵ３１からのリセット指令を受けると、統合ＥＣＵ３全体をハードウェア的にリセットするように構成されている。また、タイマ３７は、ＣＰＵ３１からの指令に従って始動，停止する自走カウンタからなり、後述するゲートウェイ関連処理の処理時間を測定するためのＧＷ処理時間測定タイマ、及びアプリケーション関連処理の処理時間を測定するためのＡＰ処理時間測定タイマの２種類が用意されている。

また、周辺回路は、エンジンＥＣＵとしての機能を果たすために必要な各種回路からなり、ＣＰＵ３２によって制御されるように構成されている。また、メモリは、ＣＰＵ３１，３２のそれぞれに設けられ、更に、ＣＰＵ３１，３２同士は、互いのデータを共有することが可能なように構成されている。

そして、統合ＥＣＵの通信制御回路３３，３４、及びＥＣＵｉｊの通信制御回路４３は、伝送路上におけるデータの衝突検知や再送制御を実行するＣＡＮプロトコルにより通信を行うように構成されている。また、ネットワーク１，２を介して送受信されるデータには、ＣＡＮプロトコルによって定められた伝送路上での優先度とは異なる高負荷時優先度が設定されており、この高負荷時優先度の高いデータを、以下では、高負荷時優先データ、それ以外のデータを高負荷時非優先データと称する。

このように構成された統合ＥＣＵ３において、ＣＰＵ３１は、メモリに記憶されたプログラム及びデータに従って各種処理を実行する。具体的には、通信制御回路３３，３４を制御してゲートウェイ機能を実現するための処理（ゲートウェイ関連処理）、アプリケーション機能を実現，監視するための処理（アプリケーション関連処理）の一部、タイマ３７を用いてＣＰＵ３１の負荷を監視する負荷監視処理、アプリケーション関連処理にてアプリケーション機能（ＣＰＵ３２や周辺回路の動作）の異常が検出されると、リセット事前通知やリセット指令を生成する異常監視処理等を実行する。

一方、ＣＰＵ３２は、メモリに記憶されたプログラム及びデータ、ＣＰＵ３１及び通信制御回路３３，３４を介して他のＥＣＵｉｊとの間で送受信されるデータ、周辺回路との間で入出力されるデータに基づいて、エンジンＥＣＵとしての機能（アプリケーション機能）を実現するための処理（アプリケーション関連処理）を実行する。

以下、本発明の主要部に関わる統合ＥＣＵ３のＣＰＵ３１、及びＥＣＵｉｊのＣＰＵ４１が実行する処理について説明する。
まず、図２は、統合ＥＣＵ３のＣＰＵ３１が実行するゲートウェイ関連処理の一つである受信処理の内容を示すフローチャートである。

なお、本処理は、通信制御回路３３又は３４に設けられた受信バッファに、ネットワーク１，２から取り込んだデータが格納されている場合に繰り返し起動される。但し、受信バッファには、ＥＣＵｉｊからネットワーク１，２に送出された全てのデータが格納されるものとする。

図２に示すように、本処理が起動すると、ＧＷ処理時間測定タイマを始動させる（Ｓ１００）。そして、受信バッファに格納されたデータが、他方のネットワークに中継すべき中継データであるか否かを判断し（Ｓ１１０）、中継データでなければ、そのデータを破棄する（Ｓ１８０）。

一方、受信バッファに格納されたデータが中継データであれば（Ｓ１１０：ＹＥＳ）、その中継データが高負荷時優先データであるか否かを判断する（Ｓ１２０）。そして、中継データが高負荷時優先データであれば（Ｓ１２０：ＹＥＳ）、その中継データ（高負荷時優先データ）を、受信した側とは異なる側の通信制御回路３３又は３４の送信バッファに転送する（Ｓ１７０）。

なお、送信バッファに転送されたデータは、通信制御回路３３又は３４によって送信元のＥＣＵｉｊが接続されたネットワークとは異なる、受信先のＥＣＵｉｊが接続されたネットワークに送出される。

また、中継データが高負荷優先データでなければ（Ｓ１２０：ＮＯ）、後述する負荷監視処理で設定される高負荷フラグＨＬＦを参照することで、ＣＰＵ３１が高負荷状態（ＨＬＦ＝１）であるか否かを判断する（Ｓ１３０）。そして、ＣＰＵ３１が高負荷状態でなければ、その中継データに関する前回転送フラグＰＴＦを０に設定し（Ｓ１４０）、その中継データ（高負荷時非優先データ）を、受信した側とは異なる側の通信制御回路３３又は３４の送信バッファに転送する（Ｓ１７０）。

また、ＣＰＵ３１が高負荷状態であれば、その中継データに関する前回転送フラグＰＴＦを反転させ（Ｓ１５０）、反転後の前回転送フラグが１、即ち、前回転送が行われていれば、その中継データを破棄し（Ｓ１８０）、一方、反転後の前回転送フラグが０、即ち、前回転送が行われていなければ、その中継データを受信した側とは異なる側の通信制御回路３３又は３４の送信バッファに転送する（Ｓ１７０）。

そして、Ｓ１７０におけるデータの転送、又はＳ１８０におけるデータの破棄が行われると、ＧＷ処理時間測定タイマを停止させて（Ｓ１９０）、本処理を終了する。
つまり、ＣＰＵ３１が高負荷状態にない時には、全ての中継データを中継し、ＣＰＵ３１が高負荷状態にある時には、高負荷時優先データについては全て中継し、高負荷時非優先データについては１回毎に中継と破棄を繰り返すことで、中継周期が２倍となるようにしている。また、ＧＷ処理時間測定タイマには、本処理の処理時間が累積されるようにしている。

なお高負荷時非優先データとして、例えば、ステアリングＥＣＵ１２が、パワステアリングの制御値を補正する制御を実行する際に用いるエアコンＥＣＵ２１からのＡ／ＣＳＷ信号等がある。即ち、Ａ／ＣＳＷ信号は、頻繁に変化するケースは少ないため、その中継周期が低周期化されても問題が生じる可能性が極めて低いためである。一方、中継周期を低周期化すると、車両のドライブフィーリングやエミッションを大きく低下させてしまうおそれがあるデータは、高負荷時優先データとする必要がある。

次に、図３（ａ）は、統合ＥＣＵ３のＣＰＵ３１が実行するアプリケーション関連処理に属するアプリケーション系処理ルーチンの一般的な形式を示すフローチャートである。なお、本処理は、必要に応じて適宜起動される。

図３（ａ）に示すように、本処理が起動すると、まず、ＡＰ処理時間測定タイマを始動させ（Ｓ２００）、当該処理ルーチンに割り当てられた処理を実行する（Ｓ２１０）。その処理が終了すると、ＡＰ処理時間測定タイマを停止させ（Ｓ２２０）、本処理を終了する。

なお、Ｓ２１０にて実行される処理は、様々なものがあるが、少なくとも、ＣＰＵ３２や周辺回路の異常を検出する異常検出処理が含まれている。
そして、この異常検出処理として、具体的には、例えば、ＣＰＵ３２が各種入力データに基づいて燃料噴射時期，燃料噴射量，スロットル開度等の制御を実施している場合、ＣＰＵ３１は、その制御量を算出する際に用いるものと同じ入力データをＣＰＵ３２から取得して、ＣＰＵ３２と同様に、制御量を算出し、その算出結果（ＣＰＵ３１での算出結果）を、ＣＰＵ３２での算出結果と比較することで異常を検出する処理等がある。

次に、図３（ｂ）は、統合ＥＣＵ３のＣＰＵ３１が実行する負荷監視処理の内容を示すフローチャートである。なお、本処理は、予め設定された監視時間間隔Ｔｒ毎に繰り返し実行される。

図３（ｂ）に示すように、本処理が起動すると、監視時間間隔ＴｒとＡＰ処理時間測定タイマでの測定結果Ｔａとに基づいて、アプリケーション関連処理に基づくＣＰＵ３１の負荷（アプリケーション負荷）Ｌａ（＝Ｔａ／Ｔｒ）を算出する（Ｓ３００）と共に、監視時間間隔Ｔｒと、ＧＷ処理時間測定タイマでの測定結果Ｔｇとに基づいて、ゲートウェイ関連処理に基づくＣＰＵ３１の負荷（ゲートウェイ負荷）Ｌｇ（＝Ｔｇ／Ｔｒ）を算出し（Ｓ３１０）、これらアプリケーション負荷Ｌａとゲートウェイ負荷Ｌｇの合計負荷Ｌａ＋Ｌｇが、予め設定された負荷しきい値Ｌ１以上であるか否かを判断する（Ｓ３２０）。

そして、合計負荷Ｌａ＋Ｌｇが負荷しきい値Ｌ１以上であれば、高負荷フラグＨＬＦを１に設定し（Ｓ３３０）、一方、合計負荷Ｌａ＋Ｌｇが負荷しきい値Ｌ１よりりいさければ、高負荷フラグＨＬＦを０に設定する（Ｓ３４０）。

その後、ＡＰ処理時間測定タイマ、及びＧＷ処理時間測定タイマのカウント値をリセットして（Ｓ３５０）、本処理を終了する。
つまり、ＡＰ処理時間測定タイマ、及びＧＷ処理時間測定タイマからは、監視時間間隔Ｔｒの間に実行されたアプリケーション関連処理、及ゲートウェイ関連処理の処理時間の累積値Ｔａ，Ｔｇが得られ、その累積値Ｔａ，Ｔｇと監視時間間隔Ｔｒとに基づいてＣＰＵ３１の負荷状態を判定するようにされている。

なお、負荷しきい値Ｌ１は、アプリケーション機能の低下（抜け）が生じることのない合計負荷Ｌａ＋Ｌｇの最大値に設定すればよい。
次に、図４は、統合ＥＣＵ３のＣＰＵ３１が実行する異常監視処理の内容を示すフローチャートである。なお、本処理は、予め設定された時間間隔毎に繰り返し実行される。

図４に示すように、本処理が起動すると、アプリケーション系処理ルーチンの中で実行される異常検出処理の処理結果を取得し（Ｓ４００）、その処理結果が異常ありであるか否かを判断する（Ｓ４１０）。

そして、異常なしであれば、そのまま本処理を終了する。一方、異常ありであれば、受信処理（図２参照）の実行を禁止し（Ｓ４２０）、通信制御回路３３，３４の送信バッファに送信待ちデータが存在するか否かを判断し（Ｓ４３０）、送信待ちデータが存在する場合には、これがすべて送信されるまで待機する。

Ｓ４３０にて、送信バッファに送信待ちデータが存在しないと判定されると、Ｉ／Ｏ回路３５（即ち専用線４）を介してリセット事前通知をネットワーク１，２に接続された全てのＥＣＵｉｊに送信（Ｓ４４０）した後、リセット回路３６に対するリセット指示を送出して（Ｓ４５０）、本処理を終了する。

次に、図５は、ＥＣＵｉｊのＣＰＵ４１が実行するメイン処理の内容を示すフローチャートである。
図５に示すように、本処理が起動すると、まず、Ｉ／Ｏ回路４５（即ち専用線４）を介してリセット事前通知を受信したか否かを判断し（Ｓ５００）、リセット事前通知を受信していれば、ＧＷリセット中フラグＲＦを１に設定して（Ｓ５１０）、Ｓ５００に戻る。

一方、リセット事前通知を受信していなければ、通信制御回路４３を介してデータを受信したか否かを判断する（Ｓ５２０）。そして、データを受信している場合には、受信データの送信元が同一ネットワークに接続されたＥＣＵｉｊであるか否か、即ち受信データが統合ＥＣＵ３を介して受信された中継データであるか否かを判断し（Ｓ５３０）、中継データではない場合は、その受信データに対する通常処理を行って（Ｓ５６０）、Ｓ５００に戻る。

また、受信データが中継データである場合、ＧＷリセット中フラグＲＦが１に設定されているか否かを判断し（Ｓ５４０）、ＧＷリセット中フラグＲＦが１に設定されている場合には、これを０に設定（Ｓ５５０）した後Ｓ５６０に移行し、ＧＷリセット中フラグＲＦが０に設定されている場合には、そのままＳ５６０に移行して、受信データに対する通常処理を実行（Ｓ５６０）してＳ５００に戻る。

先のＳ５２０にて、データを受信していないと判定された場合は、ＧＷリセット中フラグＲＦが１に設定されているか否かを判断し（Ｓ５７０）、ＧＷリセット中フラグＲＦが１に設定されている場合は、統合ＥＣＵ３の自己リセット中には受信不能となる中継データに対するフェールセーフ処理を実行する（Ｓ５８０）。一方、ＧＷリセット中フラグＲＦが０に設定されている場合は、自ＥＣＵｉｊにて受信されるべき中継データのうち、予め設定された許容時間以上の間受信できなかったもの（途絶データ）の有無を検出する中継データ途絶検出処理を実行する（Ｓ５９０）。

Ｓ５８０，５９０の処理が終了すると、自ＥＣＵｉｊと同じネットワークに接続された他のＥＣＵｉｊからのデータ（以下「非中継データ」と称する。）のうち、予め設定された許容時間以上の間受信できなかったもの（途絶データ）の有無を検出する非中継データ途絶検出処理を実行する（Ｓ６００）。

そして、Ｓ５９０及びＳ６００にて途絶データが検出されたか否かを判断し（Ｓ６１０）、検出されていなければ、そのままＳ５００に戻り、途絶データが検出されていれば、その途絶データについて、通信途絶ダイアグ情報の記録を行う（Ｓ６２０）と共に、その途絶データに対するフェールセーフ処理を実行して（Ｓ６３０）、Ｓ５００に戻る。

なお、Ｓ５８０，Ｓ６３０におけるフェールセーフ処理は、例えば、受信すべきデータがオンオフ信号である場合、いずれか安全側の信号レベルであるものとして処理を実行したり、受信すべきデータが連続的な値を持つ場合、最後に受信されたデータそのもの又はそのデータに基づく推測値を用いて処理を実行するように構成すればよい。

以上説明したように、本実施形態の多重通信ネットワークシステムにおいて、統合ＥＣＵ３では、主としてゲートウェイ機能を実現するＣＰＵ３１が、主としてアプリケーション機能を実現するＣＰＵ３２の動作を監視し、ＣＰＵ３２の異常が検出された場合、リセット回路３６にリセット指示を出して自己リセットをかける前に、両ネットワーク１，２に接続された全てのＥＣＵｉｊに対してリセット事前通知を送信するようにされている。

そして、リセット事前通知を受信したＥＣＵｉｊでは、その後、中継データを受信するまでの間（ＧＷリセット中フラグＲＦが１に設定されている間）、中継データについては途絶検出処理の代わりにフェールセーフ処理を実行するようにされている。

つまり、ＥＣＵｉｊでは、中継データが途絶した場合に、その原因が送信元ＥＣＵｉｊの異常によるものか、統合ＥＣＵ３の自己リセットによるものかを識別することができ、その特定された原因に応じた適切な処理（統合ＥＣＵ３の自己リセット時に途絶する中継データに対するフェールセーフ処理やダイアグ情報の記録の禁止など）を実行することができる。

また、本実施形態において、統合ＥＣＵ３のＣＰＵ３１は、送信待ちの中継データが無いことを確認してからリセット事前通知の送信を行うようにされている。このため、ＥＣＵｉｊには、統合ＥＣＵ３の自己リセット前に、より最新の中継データを取得することができるため、そのリセット中に実行するフェールセーフ処理の制御性，信頼性を向上させることができる。

また、本実施形態において、統合ＥＣＵ３では、ＣＰＵ３１におけるアプリケーション負荷Ｌａとゲートウェイ負荷Ｌｇとの合計負荷Ｌａ＋Ｌｇが、負荷しきい値Ｌ１を超えるような場合には、中継データのうち、高負荷時非優先データの中継周期を低下させることで、ゲートウェイ負荷Ｌｇを抑制するようにされている。

従って、ＣＰＵ３１では、重要なアプリケーション機能（ここではエンジン制御）を、漏れなく処理することができ、アプリケーション機能によって実現される制御の安全性，信頼性を確保することができる。

なお、本実施形態において、リセット回路３６がリセット回路、Ｓ２１０にて実行される異常検出処理が異常検出手段、Ｓ４００〜Ｓ４５０がリセット制御手段、Ｓ３００〜Ｓ３５０が使用率算出手段、Ｓ１１０〜Ｓ１８０がゲートウェイ関連処理抑制手段、Ｓ５９０〜Ｓ６２０が途絶ダイアグ記録手段、Ｓ５７０が途絶ダイアグ禁止手段に相当する。

以上、本発明の一実施形態について説明したが、本発明は上記実施形態に限定されるものではなく、本発明の要旨を逸脱しない範囲において、様々な態様にて実施することが可能である。

例えば、上記実施形態では、中継データを、高負荷時優先データと高負荷時非優先データの２段階に分類したが、これを３段階以上に分類し、優先度の低いデータほど中継周期が長くなるように構成してもよい。

また、上記実施形態では、負荷状態を高負荷か否かの２段階に区分したが、これを３段階以上に区分して、負荷の度合いが重くなるほど、低周期化させるデータの種類を増加させるように構成してもよい。

また、上記実施形態では、専用線４を用いて各ＥＣＵｉｊに対してリセット事前通知を送信しているが、ネットワーク１，２を介して送信するように構成してもよい。
上記実施形態では、統合ＥＣＵ３がリセット中であることを示すＧＷリセット中フラグＲＦを、中継データの受信によって０クリアするようにされているが、統合ＥＣＵ３が専用線４又はネットワーク１，２を介して各ＥＣＵｉｊにリセット解除通知を送信するように構成し、このリセット解除通知の受信によって、ＧＷリセット中フラグＲＦを０クリアするように構成してもよい。

実施形態の車載多重通信システムの全体構成を示すブロック図。 統合ＥＣＵが実行する受信処理の内容を示すフローチャート。 統合ＥＣＵが実行するアプリケーション系処理ルーチン、及び負荷監視処理の内容を示すフローチャート。 統合ＥＣＵが実行する異常監視処理の内容を示すフローチャート。 統合ＥＣＵ以外のＥＣＵが実行するメイン処理の内容を示すフローチャート。

符号の説明

１…制御系ネットワーク、２…ボディ系ネットワーク、３…統合ＥＣＵ、４…専用線、１１…ブレーキＥＣＵ、１２…ステアリングＥＣＵ、１３…トランスミッションＥＣＵ、１４…サスペンションＥＣＵ、２１…エアコンＥＣＵ、２２…メータＥＣＵ、２３…ドアＥＣＵ、２４…ナビゲーションＥＣＵ、３１，３２，４１…ＣＰＵ、３３，３４，４３…通信制御回路、３５，４５…Ｉ／Ｏ回路、３６…リセット回路、３７…タイマ、４３…通信制御回路。

Claims (10)

1. 車両内に形成された複数の通信ネットワークを相互に接続するゲートウェイ機能に加え、前記通信ネットワークを介してデータを送受信することにより予め設定された特定処理を実現するアプリケーション機能を有するデータ中継装置において、
   リセット指令に従って自装置全体をリセットするリセット回路と、
   前記アプリケーション機能の異常を検出する異常検出手段と、
   該異常検出手段にて異常が検出されると、前記通信ネットワークに接続された他装置に対してリセット事前通知を送信後、前記リセット回路に対して前記リセット指令を出力するリセット制御手段と、
   を備えることを特徴とするデータ中継装置。
2. 前記リセット制御手段は、前記リセット事前通知を、前記通信ネットワークとは異なる専用線を用いて送信することを特徴とする請求項１に記載のデータ中継装置。
3. 前記リセット制御手段は、前記ゲートウェイ機能により中継されるべき中継データが送信待ち状態で存在する場合、該中継データの送信終了後に前記リセット事前通知を送信することを特徴とする請求項１又は２に記載のデータ中継装置。
4. 前記アプリケーション機能に関わる処理の少なくとも一部と、前記ゲートウェイ機能に関わる処理と、前記異常検出手段及び前記リセット制御手段としての処理とを同一のＣＰＵが実行するように構成されていると共に、
   前記ＣＰＵの使用率を求める使用率算出手段と、
   該使用率算出手段にて求めた使用率が、予め設定された上限使用率を超える場合に、前記ＣＰＵにおける前記ゲートウェイ機能に関わる処理の実行を抑制するゲートウェイ関連処理抑制手段と、
   を備えることを特徴とする請求項１〜３のいずれかに記載のデータ中継装置。
5. 前記ゲートウェイ処理抑制手段は、前記ゲートウェイ機能に関わる処理の実行を、前記ゲートウェイ機能によって中継されるべき中継データの中継周期を低周期化することで抑制することを特徴とする請求項４に記載のデータ中継装置。
6. 前記ゲートウェイ処理抑制手段は、予め指定されたデータについてのみ、中継周期の低周期化を行うことを特徴とする請求項５に記載のデータ中継装置。
7. 車両内に形成された複数の通信ネットワークを相互に接続するゲートウェイ機能に加え、前記通信ネットワークを介してデータを送受信することにより予め設定された特定処理を実現するアプリケーション機能を有し、前記アプリケーション機能に関わる処理の少なくとも一部と、前記ゲートウェイ機能に関わる処理とを同一のＣＰＵが実行するように構成されたデータ中継装置において、
   前記ＣＰＵの使用率を求める使用率算出手段と、
   該使用率算出手段にて求めた使用率が、予め設定された上限使用率を超える場合に、前記ゲートウェイ機能に関わる処理の実行を抑制するゲートウェイ処理抑制手段と、
   を備えることを特徴とするデータ中継装置。
8. 請求項１〜６のいずれかに記載のデータ中継装置により相互に接続された複数の通信ネットワークからなる多重通信システム。
9. 請求項８に記載の多重通信システムに接続される電子制御ユニットであって、
   前記データ中継装置から前記リセット事前通知を受信した場合、その後、該データ中継装置のリセットが解除されるまでの間、該データ中継装置を介して受信されるべきデータに対するフェールセーフ処理を実施することを特徴とする電子制御ユニット。
10. 請求項８に記載の多重通信システムに接続される電子制御ユニットであって、
    前記多重通信システムを介して繰り返し受信されるべき反復データが、予め設定された許容期間以上の間受信できなかった場合、その旨を通信途絶ダイアグ情報として記録する途絶ダイアグ記録手段と、
    前記データ中継装置から前記リセット事前通知を受信した場合、その後、該データ中継装置のリセットが解除されるまでの間、前記反復データのうち前記データ中継装置を介して受信されるべきものについては、前記途絶ダイアグ記録手段による前記通信途絶ダイアグ情報の記録を禁止する途絶ダイアグ禁止手段と、
    を備えることを特徴とする電子制御ユニット。
    

Images