JP2009253803A - 情報のフィルタリング方法および車載ゲートウェイ装置 - Google Patents

Abstract

【課題】制御システムとって価値があるデータとして、情報システムからのデータを利用する。
【解決手段】本発明は次のような情報のフィルタリング方法、及びそのフィルタリング方法を用いた車載ゲートウェイ装置である。車載ゲートウェイ装置は、車両システムを構成する情報システムと制御システムとの間に接続する。フィルタリングする情報は、情報システムから制御システムへの情報系データである。フィルタリングは、情報システムからデータ及びこのデータの取得時刻を入力し、制御システムからデータを入力し、入力した取得時刻及び制御システムからのデータを用いて、情報システムからのデータの取得時刻からの有効時間を設定する。設定した有効時間内ならば、情報システムからのデータの制御システムへの送信を可とするものである。
【選択図】図１２

Description

本発明は、情報のフィルタリング方法およびその方法を適用した車両に搭載されるゲートウェイ装置に関する

近年、自動車に対する安全向上の要請が高まっている。現在では、エアバックやＡＢＳ（Ａｎｔｉｌｏｃｋ Ｂｒａｋｅ Ｓｙｓｔｅｍ）などの車両に閉じた予防安全装置の開発ばかりではなく、カーナビゲーション装置などの車載情報系機器から得られる車外の情報を車両制御に活用した情報制御連携による安全技術が導入され始めており、今後はこうした技術の積極的な導入によるドライバの更なる安全向上が期待されている。

情報システムと制御システムは市場で求められている信頼性が異なるため、信頼性の低い情報系機器からの情報により制御に悪影響を及ぼすことを避けなくてはならない。

これに対して、情報システムと制御システムの間でプロトコルの変換を行う車載ゲートウェイ装置が特許文献１に記載されている。

特開2002−016614

特許文献１では情報制御連携において制御システムに悪影響を与えないということは実現できる。しかし、情報システムから得られる情報は車両の状態および情報の利用目的によって使用可能な時間は変化するにもかかわらず、このデータの使用可能期間を動的に変化させないため、情報システムから得られる車外の情報を充分に制御に生かすことができない。特に自動車事故の多くを占める衝突事故において情報システムから得られる障害物情報を十分に利用することができない。

本発明は次のような情報のフィルタリング方法、及びそのフィルタリング方法を用いた車載ゲートウェイ装置である。車載ゲートウェイ装置は、車両システムを構成する情報システムと制御システムとの間に接続する。フィルタリングする情報は、情報システムから制御システムへの情報系データである。フィルタリングは、情報システムからデータ及びこのデータの取得時刻を入力し、制御システムからデータを入力し、入力した取得時刻及び制御システムからのデータを用いて、情報システムからのデータの取得時刻からの有効時間を設定する。設定した有効時間内ならば、情報システムからのデータの制御システムへの送信を可とするものである。

本発明の望ましい他の態様は、制御システムからのデータは車両システムを搭載する車両の状態を表す制御機器からの車両情報であって、車両情報が表す前記車両の状態に応じて、情報システムからのデータの制御システムへの送信を否とする。

本発明の望ましいさらに他の態様は、情報システムからのデータは障害物までの検知距離、取得時刻は障害物の検知時刻、及び車両情報は車両の速度である。この態様において、さらに、車両の速度に応じた空走距離と制動距離とを検知距離から減算したブレーキ開始位置を求め、ブレーキ開始位置までの速度による到達時刻までを有効時間とする。

本発明の望ましいさらに他の態様は、設定した有効時間内ならば、情報システムからのデータの制御システムへの送信を繰り返す。この態様において、さらに、情報システムからの先に入力したデータと同種の新たなデータの入力に応答して、情報システムからの先に入力したデータの制御システムへの送信の繰り返しを停止する。

本発明のさらに他の態様は、車両に搭載され、車両の情報システムと制御システムとに接続した車載ゲートウェイ装置であって、情報システムからのデータ及びそのデータの取得時刻を入力し、入力したデータ及びそのデータの取得時刻の妥当性をチェックする入力診断手段、制御システムからデータを入力し、取得時刻及び制御システムからのデータを用いて、情報システムからのデータの取得時刻からの有効時間を設定し、設定した有効時間内ならば、情報システムからのデータの制御システムへの送信を可とする出力判定手段と、
出力判定手段による情報システムからのデータの前記制御システムへの送信の出力判定手段によるかに応答して、情報システムからのデータを制御システムへ送信する出力抑止手段とを有する。

本発明のさらに他の態様は、車両に搭載され、車両の情報システムと第1のネットワークを介して接続し、車両の制御システムとに第２のネットワークを介して接続した車載ゲートウェイ装置であって、第1のネットワークを介して入力した情報システムからのデータ及びそのデータの取得時刻、第２のネットワークを介して入力した制御システムからのデータ、及び第２のネットワークを介して制御システムへ送信する制御系データを格納する記憶装置、及び記憶装置に格納された制御システムからのデータ及びそのデータの取得時刻の妥当性をチェックし、取得時刻及び制御システムからのデータを用いて、情報システムからのデータの取得時刻からの有効時間を情報システムからのデータに係る制御系データに設定し、設定した有効時間内ならば、情報システムからのデータに係る制御系データを、第２のネットワークを介して制御システムへ送信するＣＰＵを有する。

本発明によれば、情報システムからのデータの有効時間及び制御システムからのデータとによって、情報システムからのデータをフィルタリングするので、制御システムとって価値があるデータとして、情報システムからのデータを利用することができる。

本発明の実施形態は、車両システムを構成する情報システムと制御システムとの間に接続する車載ゲートウェイ装置に関し、特に車載ゲートウェイ装置において、情報システムから制御システムへの情報系データをフィルタリングする方法である。情報システムからのデータの制御システムでの利用に当たっては、情報システムからのデータがその価値に時間特性を持つ点に注目する。この時間特性は、制御システムから見ると、情報システムからのデータがある時間（期間）は有効であるが、その時間（期間）外においては無効である（価値を持たない、または制御に用いることで悪影響を及ぼす）というものである。本実施形態では、情報システムからのデータの取得時刻を得て、その取得時刻からの有効時間内において制御システムで利用できるようにする。また有効時間内であっても、情報システムからのデータによっては車両状態に応じて利用しなければならない（車両状態によっては利用してはいけない）状況がある。そこで本実施形態では、有効時間と車両状態とによって、情報システムからのデータをフィルタリングする。

なお以下では、情報システムから制御システムへのデータとして分かり易い、衝突防止に関するデータを例に説明するが、降雨や降雪の始まりを知らせるデータ、イグニション・オンして一定時間経過後の外気温を知らせるデータなどがある。降雨や降雪の始まりから時間が経過すると、路面状態に応じた駆動、制動を制御システムが制御できるが、降雨や降雪の始まり直後は路面上に土や誇りが残っている状態であり、制御システムだけでは望ましい制御ができない場合がある。また制御システムが制御対象とする各種制御機器は、各部の温度、熱膨張状態が安定するまで所望の性能を得られない場合があり、一般にエンジンのアイドリング状態の時間を設けることにより、性能安定を図っている。外気温を情報システムから得ることにより、制御システムは制御機器の温度や熱膨張が過渡的な状態であっても所望の性能が得られるように制御し、アイドリング時間を短縮できる。

図１は、車両システムの構成例である。図示するように車両システムは、情報システム１１０と制御システム１２０と両システムをつなぐ車載ゲートウェイ装置１００からなる。

情報システム１１０はカーナビゲーション装置１１２やカメラ１１３などの車載情報系機器とそれらの機器を接続する情報系ネットワーク１１１からなる。すなわち、情報システム１１０は、車外の状況や車外の状況と車両との関係にかかわる情報を処理するシステムである。情報システム１１０内では情報系ネットワーク１１１を介して車載情報系機器間での情報のやりとりが行われ、例えばカメラ１１３から得られる前方障害物の情報を利用してカーナビゲーション装置１１２の画面に警告を表示するといったようなことが行われる。情報系ネットワーク１１１とは、例えば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＩＥＥＥ１３９４、ＭＯＳＴ（Ｍｅｄｉａ Ｏｒｉｅｎｔｅｄ Ｓｙｓｔｅｍｓ Ｔｒａｎｓｐｏｒｔ）などの規格に準じたネットワークである。

制御システム１２０はブレーキ制御をするためのＢＣＭ（Ｂｒａｋｅ Ｃｏｎｔｒｏｌ Ｍｏｄｕｌｅ）１２２やエンジン制御をするためのＥＣＭ（Ｅｎｇｉｎｅ Ｃｏｎｔｒｏｌ Ｍｏｄｕｌｅ）１２３などの車両制御系機器とそれらの機器を接続する制御系ネットワーク１２１からなる。すなわち、制御システム１２０は、各種車載機器からの情報を処理し、車両の駆動、制動、走行などを制御するシステムである。制御システム１２０では制御系ネットワーク１２１を介して車両制御系機器間での情報のやりとりが行われ、例えばＢＣＭ１２２から得られるタイヤのスリップ率の情報を基にＢＣＭ１２２でのブレーキ操作及びＥＣＭ１２３でのエンジン停止操作を行うといったことが行われる。制御系ネットワーク１２１とは例えばＣＡＮ、ＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）、またはＦｌｅｘＲａｙなどの規格に準じたネットワークである。

情報システム１１０の車載情報系機器と制御システム１２０の車両制御機器の間では情報系ネットワーク１１１と車載ゲートウェイ装置１００、制御系ネットワーク１２１を介してデータのやり取りが行われ、安全向上のための車両制御に生かされている。例えば車載情報系機器のカメラ１１３から得られる、前方の歩行者の検知のデータを基に自動的にブレーキ操作がなされる情報制御連携の機能の場合、まずカメラ１１３が前方の歩行者を検知するとそのデータが情報系ネットワーク１１１に出力される。歩行者検知のデータは情報系ネットワーク１１１を経由して車載ゲートウェイ装置１００に入力される。車載ゲートウェイ装置１００からは制御系ネットワーク１２１に出力され、最終的に制御システム１２０の車両制御系機器であるＢＣＭ１２２に到達しブレーキの自動操作がなされる。車両システム全体ではこのようなデータの流れとなる。

図２は、図１で述べた車載ゲートウェイ装置１００のソフトウェア構成を示したものである。車載ゲートウェイ装置１００は情報システム１１０から入力されたデータが正しいかを診断するための入力診断部２０１と、前記入力データを予め設定された条件にしたがって制御システム１２０に送信して良いか否かを判定する出力判定部２０２と、入力診断部２０１を通過したデータを前記出力判定部２０２の条件が成立しないかぎり制御システム１２０に送信しない出力抑止部２０３と、出力判定に必要な車両情報を収集する車両情報収集部２０５と、収集された車両情報を蓄積する車両情報データベース２０４とを有する。

入力診断部２０１の診断は情報系データ２１０の破損チェックや値の妥当性チェックを行う。前者の破損チェックには、例えばチェックサムやＣＲＣチェックなどのチェックコードを用いる。また後者の妥当性チェックは、例えば予め入力される情報系データ２１０に対して上下限値などの閾値を設定しておき、閾値との関係をチェックする。入力診断部２０１のチェックにより、カーナビゲーション装置１１２やカメラ１１３などの車載情報系機器及び情報系ネットワーク１１１の誤動作や雑音などによる誤った情報系データ２１０の車載ゲートウェイ装置１００への入力を排除できる。

出力抑止部２０３は入力診断部２０１から受け取った情報系データ２１０を保存し、出力判定部２０２から条件成立の通知に応じて、指定された情報系データ２１０を１つのデータセットとした制御系データ２２０として制御システム１２０に送信する。情報系データ２１０は出力抑止部２０３において同じ種類の情報系データ２１０が新しく入力されるまで保存される。

本実施例では出力判定部２０２からの条件成立通知は必ず受け付けるが、予め出力判定部２０２からの条件成立通知を受付けない条件を設定しておき、その条件下では制御システム１２０にまったく情報システム１１０からの情報を送信しないようにしても良い。出力抑止部２０３が出力判定部２０２からの条件成立通知を受付けない条件として、例えばイグニション・オン後一定時間は条件成立通知を受付けないという条件があげられる。このようにイグニション・オン後一定時間は出力判定部２０２からの条件成立通知を受付けないと設定すると、イグニション・オン後の制御システム１２０の制御系機器の電源立ち上げが行われていて電圧も安定していない時に情報システム１１０から情報が送信されることで制御系機器の動作に異常を発生し車両制御に悪影響を与えることを防ぐことができる。また、例えば一度条件成立通知を受付けると一定時間条件成立通知を受付けないという条件もあげられる。このように一度条件成立通知を受付けると一定時間条件成立通知を受付けないと設定すると、連続処理の要求によって車両制御系機器の処理負荷が増大するのを防ぐことができる。

出力判定部２０２では衝突防止の情報制御連携機能に必要な情報系データ２１０の有効時間を設定し、有効時間内であるかを判定し、また車両情報が一定の条件を満たしているかを判定する。有効時間の設定は車両速度と障害物までの距離を用いて予め決めたアルゴリズムにしたがって決定される。車両情報が一定の条件を満たしているとは、情報系データ２１０を制御システム１２０に送信しても良い車両状態を示していることである。

車両情報とは制御システム１２０から入力される車両情報２３０によって得られるもので、例えばワイパーのＯＮ／ＯＦＦ情報やフォグランプのＯＮ／ＯＦＦ情報、タイヤのスリップ率などがあげられる。判定のための車両状態の条件も情報制御連携機能とその機能に対応する車両情報の条件を示した表に予め設定される。例えば歩行者検知という情報制御連携機能では、雨天でなく霧もでていないということを判断するために車両情報としてワイパーＯＮ／ＯＦＦ情報がＯＦＦでありまたフォグランプＯＮ／ＯＦＦ情報がＯＦＦであるという条件が設定された表である。

車両情報収集部２０５では制御システム１２０から入力されるワイパーＯＮ／ＯＦＦ情報やフォグランプＯＮ／ＯＦＦ情報、スリップ率、車両速度などの車両情報を収集し、車両情報データベース２０４に常に最新の車両情報を格納しておくようにする。

図３（Ａ）は車載ゲートウェイ装置１００のハードウェア構成例である。図３（Ａ）は演算装置であるＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３０１と揮発性の記憶装置であるＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）３０２、プログラムやデータを格納する不揮発性の記憶装置であるＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）３０３と内部バス３０６、情報系ネットワーク１１１を介してデータの送受信を行う第１の通信部３０４、制御系ネットワーク１２１を介してデータの送受信を行う第２の通信部３０５を有する構成をとっている。

前述の入力診断部２０１と、出力判定部２０２、出力抑止部２０３、車両情報収集部２０５は演算処理を、ＲＯＭ３０３に格納されている命令コードをＣＰＵ３０１が実行することで実現する。ＲＡＭ３０２は、情報システム１１０からの情報系データ２１０、制御システム１２０からの車両情報２３０、その他更新の必要がある管理テーブルなどを格納する領域を有する。ＲＯＭ３０３は車載ゲートウェイ装置１００のプログラムやプログラムが必要とするデータの初期値、その他書き換えの必要がないデータなどを予め格納している。

図３（Ａ）において演算処理は一つのＣＰＵ３０１で行われ、プログラムはＲＯＭ３０３上に格納されているが、より信頼性を高めるために、冗長性を持たせても良い。たとえば、ＣＰＵ３０１やＲＯＭ３０３を複数にして、要素冗長のスタンバイシステムを構成しても良い。ＣＰＵ３０１、ＲＡＭ３０２及びＲＯＭ３０３の組を持つ基板を複数設け、システム冗長のスタンバイシステムを構成しても良い。

また、高性能化のために、ＣＰＵ３０１、ＲＡＭ３０２及びＲＯＭ３０３の組を持つ基板を複数設け、入力診断部２０１、出力判定部２０２、出力抑止部２０３、車両情報収集部２０５の処理を異なる基板に分散させ、負荷分散を図っても良い。例えばＣＰＵ、ＲＡＭ、ＲＯＭをもつ２つの基板を準備し、第一の基板に情報システムとつながる第一の通信部を設け、第二の基板に制御システムとつながる第二の通信部を設け、第一の基板と第二の基板は外部バスで接続し、第一の基板上で入力診断部２０１と出力判定部２０２、車両情報収集部２０５の演算処理を実行し、第二の基板上で出力抑止部２０３の演算処理を実行する負荷分散システムを構成しても良い。

図３（Ｂ）のようにＣＰＵ３０１、ＲＡＭ３０２、ＲＯＭ３０３、及び第一の通信部３０４を備えた基板３１１と第二の通信部３０５とＲＯＭ３０８を備えた基板３１２を設け、基板３１１のＲＯＭ３０３に入力診断部２０１と出力判定部２０２、車両情報収集部２０５を格納し、基板３１２のＲＯＭ３０８に出力抑止部２０３を格納しても良い。この場合、ＣＰＵ３０１による演算処理は、ＲＯＭ３０３及びＲＯＭ３０８に跨って格納されたプログラムを実行することになるが、この場合、出力抑止部２０３のプログラムをＲＯＭ３０８に格納しているので、出力抑止部２０３のプログラムの内容を書き換えるとき又は出力抑止部２０３以外のプログラムの内容を書き換えるとき（プログラムの保守のとき）、ＲＯＭ３０３及びＲＯＭ３０８の一方を書き換えればよく、保守性が向上する。

図４は情報系データ２１０の構成例である。情報系データ２１０は情報系データ２１０の種類を識別するための情報系データＩＤ４０１と、情報系機器からの制御要求４０２、制御要求４０２の発生時刻のタイムスタンプ４０３からなる。例えばカメラ１１３から出力される前方歩行者までの距離の情報であれば、情報系データＩＤ４０１にはカメラ１１３から出力される前方歩行者までの距離であると一意に決まるＩＤを設定し、制御要求４０２には前方歩行者までの距離が１００ｍであれば１００という値を設定し、タイムスタンプ４０３にはカメラ１１３が前方歩行者までの距離を取得した時刻のタイムスタンプを設定することになる。

図５は制御系データ２２０の構成例である。制御系データ２２０は情報制御連携機能を識別するための情報制御連携機能ＩＤ４１１と情報制御連携に必要な制御要求４１２、情報制御連携に使用しても良い有効時間４１３からなる。衝突回避の際は、この制御要求４１２には情報システムから入力される前方障害物との距離を設定したり、単に前方の障害物を検知したという情報を設定する。

図６は衝突回避のための情報制御連携に必要な情報系データ２１０を設定するための出力設定テーブル５００の構成例である。出力設定テーブル５００は衝突回避のための情報制御連携機能の名前を表す情報制御連携機能名５０１と、情報制御連携の機能を識別するための情報制御連携ＩＤ５０２と、必要な情報系データを示す出力設定部５０３の欄を有する。図６の例では出力設定部５０３の情報系データＩＤはそれぞれ＃１はカメラ１１３による前方歩行者までの距離を表し、＃２はカメラ１１３による前方障害物までの距離を表し、＃３はカーナビゲーション装置１１２による前方カーブまでの距離を表している。

出力設定テーブル５００は、情報系データ２１０が入力されたときに、どの衝突回避のための情報制御連携機能が利用されるかを調べるために用いられる。例えば情報系データＩＤ＃１のカメラ１１３による前方歩行者までの距離の情報が情報システム１１０から車載ゲートウェイ装置１００に入力された場合、この出力設定テーブル５００を参照して、情報制御連携機能は情報制御連携機能ＩＤ５０２が＃１０の歩行者検知であると認識する。

出力設定テーブル５００は車両にどのような衝突回避のための情報制御連携機能を持たせるかを決めた段階で情報制御連携機能の要件から設定される。車両に新たに衝突回避のための情報制御連携機能を追加する場合は出力設定テーブル５００に新たな情報制御連携機能を追加する。

図７は出力抑止部２０３での情報系データ２１０の管理をするためのバッファ管理テーブル５１０の構成例である。バッファ管理テーブル５１０は情報系データ２１０の種類を識別するための情報系データＩＤ５１１と、情報系データが有効時間内で存在するかを示すデータ有無部５１２、保存されている情報系データ２１０が取得された時刻を示す取得時間部５１３、情報系データ２１０の制御要求４０２が保存されているバッファ上のアドレスを示すアドレス部５１４の欄を有する。図７の例では３つの情報系データ２１０を示しており、ここで示す情報系データ２１０の情報系データＩＤ５１１は図６の出力設定テーブル５００の情報系データＩＤ５０３と対応するものである。

バッファ管理テーブル５１０は、情報系データ２１０が入力されたとき、出力判定部２０２で衝突回避のための情報制御連携機能に必要な制御要求４０２が存在しているかを確認するとき、制御システム１２０にデータを出力するときに必要な制御要求４０２を取得するときに用いられる。情報系データ２１０が入力されたとき、該当する情報系データＩＤ５１１の行に関してデータ有無部５１２に１を設定し、取得時間部５１３に情報系データ２１０の取得時間部４０３の内容を設定し、アドレス部５１４に制御要求４０２を保存したバッファのアドレスを設定する。

図８は、出力判定部２０２で用いる車両情報判定テーブル６００の構成例である。車両情報判定テーブル６００は、衝突回避のための情報制御連携の機能の名前を表す情報制御連携機能名６０１と、情報制御連携の機能を識別するための情報制御連携機能ＩＤ６０２と、データの送信を許可するために必要な車両情報の条件を設定した条件設定部６０３の欄を有する。図８の例では条件設定部６０３の車両情報ＩＤはそれぞれ車両情報ＩＤ＃１はワイパーのＯｎ／Ｏｆｆ情報を表し、車両情報ＩＤ＃２はフォグランプのＯｎ／Ｏｆｆ情報を表す。

車両情報判定テーブル６００は出力判定部２０２で車両情報に基づく条件が成立するかどうかを判定するときに参照される。例えば、条件が成立するか判定をしたい情報制御連携機能が情報制御連携機能ＩＤ６０２の値が＃１０の歩行者検知である場合、該当する行の条件設定部６０３より条件はワイパーＯｆｆとフォグランプＯｆｆであることがわかる。この場合の条件設定部６０３は、「歩行者検知」では雨や霧でのカメラ１１３の誤認識による車両制御への悪影響を防ぐために、ワイパーＯｆｆ、フォグランプＯｆｆを車両情報の条件としている。

車両情報判定テーブル６００は車両にどのような衝突回避のための情報制御連携機能をもたせるかを決めた段階で情報制御連携機能の要件から設定される。車両に情報制御連携機能を追加する場合は車両情報判定テーブル６００に新たに情報制御連携機能を追加する。

図９は出力判定部２０２において、入力データ２１０の有効時間を設定するための衝突回避距離テーブル７００の構成例である。衝突回避距離テーブル７００は、車両速度（ｋｍ/ｈｒ）を表す車両速度部７０１、車両速度に対応する制動距離（ｍ）を表す制動距離部７０２、車両速度に対応する空走距離（ｍ）を表す空走距離部７０３の欄を有する。本実施例においては速度と制動距離・空走距離の対応を表で求めるようにしているが、これは速度の関数として数式を用いても良い。

図１０は衝突回避のための情報制御連携機能を利用するために有効時間を設定する場合を表している。情報システム１１０から入力したデータの有効時間t（sec）（７１０）は、図１０のように得られた車両速度をv（ｍ/ｓ）（７１１）、障害物との距離（検知距離）をL（ｍ）（７１２）、車両速度vでの制動距離をL1（７１３）、車両速度vでの空走距離をL2（７１４）として、この衝突回避距離テーブル７００からvに対応する制動距離と空走距離を取得し、障害物との衝突を回避するための、障害物の検知時刻（検知距離の取得時刻）からブレーキ（制動）開始位置までの時間として、
t =(L − L1 − L2)/v
と設定する。
例えば、前方歩行者との距離が１００ｍ、車両速度が時速８０ｋｍ（秒速２２ｍ）であれば、衝突回避距離テーブル７００を参照すると、制動距離は３６ｍ、空走距離は３３．３ｍであるので、有効時間は
（１００−３６−３３．３）/２２＝１．４秒
となる。

図１１に車載ゲートウェイ装置１００の処理フローを示す。まず、入力診断部２０１が情報システム１１０から情報系データ２１０を受信する（８０１）。入力診断部２０１では情報系データ２１０に対し閾値チェックなどの妥当性チェックを行ったり、チェックサムやＣＲＣチェックを用いてデータ破損のチェックを行うことで正しいデータかを診断する。入力診断部２０１での診断の結果、正しくないデータと診断された場合はデータは破棄され処理を終える。入力診断部２０１での診断の結果、正しいデータと判定された場合は出力抑止部２０３へ処理を移す（８０２）。出力抑止部２０３では入力された情報系データ２１０の情報系データＩＤ４０１を基にバッファ管理テーブル５１０を更新し、出力判定部２０２に処理を移す（８０３）。出力判定部２０２では障害物までの距離と速度を基に有効時間を設定し、データがまだ有効であるかを判定する。さらに車両情報判定テーブル６００を参照して制御システム１２０にデータを送信する条件が成立しているか判定する。制御システム１２０へのデータ送信の条件が成立であった場合は条件成立を出力抑止部２０３に伝達する（８０４）。出力判定部２０２より制御システム１２０へのデータ送信の条件成立を伝えられた出力抑止部２０３は条件が成立した情報制御連携機能の情報制御連携機能ＩＤ５０２を基に出力設定テーブル５００とバッファ管理テーブル５１０を用いて必要な制御要求４０２を取得し、取得した制御要求４０２と有効時間７１０を併せて制御系データ２２０を作成する。作成した制御系データ２２０を制御システム１２０へ送信し、処理を終了する（８０５）。

図１２に出力判定部２０２の処理フローを示す。出力抑止部２０３から処理を移されると、新しく入力された情報系データ２１０の情報系データＩＤ４０１を取得する（９０１）。出力設定テーブル５００を参照して、新しく入力された情報系データ２１０を利用する情報制御連携機能の情報制御連携機能ＩＤ５０２を取得する（９０２）。次に車両情報がデータ送信の条件を満たしているか車両情報判定テーブル６００を参照して判定する。条件を満たしていない場合は処理を終了し、満たしている場合は次の処理に進む（９０３）。車両速度と障害物までの距離から衝突回避距離テーブル７００を参照して有効時間を設定する（９０４）。有効時間内であるかどうか判定し、有効時間外の場合は処理を終了し、有効時間内の場合は次の処理に進む（９０５）。この有効時間および条件成立通知を出力抑止部２０３に伝え、処理を終了する（９０６）。図示していないが、出力判定部２０２は有効時間内において、条件成立通知後に条件不成立の状態に変化したことを検知した場合は、条件が不成立になったことを出力抑止部２０３に通知する。

なお出力抑止部２０３は、作成した制御系データ２２０を制御システム１２０へ送信し、その後、作成した制御系データ２２０を有効時間内において周期的に制御システム１２０へ送信する。この周期的な送信は、制御系データ２２０の送信に対する車両情報の変化に伴う出力判定部２０２からの条件不成立の通知、または出力抑止部２０３に保存されている情報系データ２１０が新たな同種の情報系データ２１０の入力により更新されることに応じて停止する。

本実施形態によれば、衝突回避処理のサービス性は向上する。例えば、カメラが１／３ｓ周期で定期的に前方歩行者の検知情報を送信するとする。この場合カメラから入力されるデータの有効時間は入力頻度から１／３ｓで一定とする。今、時速８０ｋｍ（秒速２２ｍ）で走っているときにカメラが前方１００ｍに歩行者を検知し、その後ネットワークの情報システムのネットワーク障害によりカメラからの情報が途絶えてしまったとする。この場合、通常は情報システム１１０からデータが入力されなくなるため、制御システム１２０にデータが送信されなくなり、歩行者回避のための制御は働かず、そのまま衝突する可能性がある。本実施形態の場合、有効時間は時速８０ｋｍでの制動距離、空走距離から
（１００−３６−３３．３）/２２＝１．４秒
となり、１．４秒間常に（周期的に）制御システム１２０に衝突の危険性がある警告を情報システム１１０が流し続けることができ、この警告により制御システム１２０が車両を減速させると安全に歩行者との衝突を回避することができるようになる。制御システム１２０は警告の認識に応答して車両を減速させるので、車両情報としての車両速度が低下し、低下した車両速度を判別した出力判定部２０２からの条件不成立の通知により、周期的な警告が停止する。

このように本実施形態により、車載ゲートウェイ装置１００は誤ったデータが情報システム１１０から入力されても入力診断手段によりデータの正しさを判断するため制御システム１２０に送信されることはなく、情報システム１１０に異常が発生しても出力抑止手段により、条件成立が通知されない限り情報システム１１０のデータが制御システム１２０に送信されることはないため、制御システム１２０に異常が伝播することはなく、情報制御連携時の車両制御への悪影響を防ぐことができる。また出力判定手段において情報システム１１０から入力される障害物までの距離のデータに対し車両速度を用いて衝突回避の処理が意味をなす有効時間を設定するため、制御システム１２０は、情報システム１１０からのデータの有効期間内において、そのデータを用いることができる。

車両システムの構成例である。 車載ゲートウェイ装置のソフトウェア構成である。 車載ゲートウェイ装置のハードウェア構成である。 情報系データの構成例である。 制御系データの構成例である。 出力設定テーブルの構成例である。 バッファ管理テーブルの構成例である。 車両情報判定テーブルの構成例である。 衝突回避距離テーブルの構成例である。 衝突回避のための情報制御連携機能を利用するために有効時間を設定する場合を説明する図である。 車載ゲートウェイ装置の処理フローである。 出力判定部の処理フローである。

符号の説明

100:車載ゲートウェイ装置、110:情報システム、111：情報系ネットワーク、112:カーナビゲーション装置、113:カメラ、120:制御システム、121：制御系ネットワーク、122:ＢＣＭ、123: ＥＣＭ、201：入力診断部、202:出力判定部、203:出力抑止部、204:車両情報データベース、205：車両情報収集部、210: 情報系データ、220: 制御系データ、230：車両情報、301: 制御系データ、302: ＲＡＭ、303：ＲＯＭ、304: 第１の通信部、305: 第２の通信部。

Claims (18)

1. 車両システムを構成する情報システムと制御システムとの間に接続する車載ゲートウェイ装置における、前記情報システムから前記制御システムへの情報系データをフィルタリングするフィルタリング方法であって、
   前記情報システムから第１のデータ及び前記第１のデータの取得時刻を入力し、
   前記制御システムから第２のデータを入力し、前記取得時刻及び前記第２のデータを用いて、前記第１のデータの前記取得時刻からの有効時間を設定し、
   前記設定した有効時間内ならば、前記第１のデータの前記制御システムへの送信を可とすることを特徴とするフィルタリング方法。
2. 前記第２のデータは前記車両システムを搭載する車両の状態を表す制御機器からの車両情報であって、前記車両情報が表す前記車両の状態に応じて、前記第１のデータの前記制御システムへの送信を否とすることを特徴とする請求項１記載のフィルタリング方法。
3. 前記第１のデータは障害物までの検知距離、前記取得時刻は前記障害物の検知時刻、及び前記第２のデータは前記車両システムを搭載する車両の速度であることを特徴とする請求項２記載のフィルタリング方法。
4. 前記車両の前記速度に応じた空走距離と制動距離とを前記検知距離から減算したブレーキ開始位置を求め、前記ブレーキ開始位置までの前記速度による到達時刻までを前記有効時間とすることを特徴とする請求項３記載のフィルタリング方法。
5. 前記設定した有効時間内ならば、前記第１のデータの前記制御システムへの送信を繰り返すことを特徴とする請求項２及び請求項３のいずれか１項記載のフィルタリング方法。
6. 前記情報システムからの前記第１のデータと同種の新たなデータの入力に応答して、前記第１のデータの前記制御システムへの送信の繰り返しを停止することを特徴とする請求項５記載のフィルタリング方法。
7. 車両に搭載され、前記車両の情報システムと制御システムとに接続し、
   前記情報システムから第１のデータ及び前記第１のデータの取得時刻を入力し、該入力した前記第１のデータ及び前記第１のデータの取得時刻の妥当性をチェックする入力診断手段と、
   前記制御システムから第２のデータを入力し、前記取得時刻及び前記第２のデータを用いて、前記第１のデータの前記取得時刻からの有効時間を設定し、前記設定した有効時間内ならば、前記第１のデータの前記制御システムへの送信を可とする出力判定手段と、
   前記出力判定手段からの前記第１のデータの前記制御システムへの送信の可に応答して、前記第１のデータを前記制御システムへ送信する出力抑止手段とを有することを特徴とする車載ゲートウェイ装置。
8. 前記第２のデータは前記車両システムを搭載する車両の状態を表す制御機器からの車両情報であって、前記車両情報が表す前記車両の状態に応じて、前記出力判定手段は前記第１のデータの前記制御システムへの送信を否とすることを特徴とする請求項７記載の車載ゲートウェイ装置。
9. 前記第１のデータは障害物までの検知距離、前記取得時刻は前記障害物の検知時刻、及び前記第２のデータは前記車両システムを搭載する車両の速度であることを特徴とする請求項８記載の車載ゲートウェイ装置。
10. 前記出力判定手段は、前記車両の前記速度に応じた空走距離と制動距離とを前記検知距離から減算したブレーキ開始位置を求め、前記ブレーキ開始位置までの前記速度による到達時刻までを前記有効時間とすることを特徴とする請求項９記載の車載ゲートウェイ装置。
11. 前記出力抑止手段は、前記設定した有効時間内ならば、前記第１のデータの前記制御システムへの送信を繰り返すことを特徴とする請求項８及び請求項９のいずれか１項記載の車載ゲートウェイ装置。
12. 前記入力診断手段による前記情報システムからの前記第１のデータと同種の新たなデータの入力に応答して、前記出力抑止手段は、前記第１のデータの前記制御システムへの送信の繰り返しを停止することを特徴とする請求項11記載の車載ゲートウェイ装置。
13. 車両に搭載され、前記車両の情報システムと第1のネットワークを介して接続し、前記車両の制御システムとに第２のネットワークを介して接続し、
    前記第1のネットワークを介して入力した前記情報システムからの第１のデータ及び前記第１のデータの取得時刻、前記第２のネットワークを介して入力した前記制御システムからの第２のデータ、及び前記第２のネットワークを介して前記制御システムへ送信する制御系データを格納する記憶装置、及び
    前記記憶装置に格納された前記第１のデータ及び前記第１のデータの取得時刻の妥当性をチェックし、前記取得時刻及び前記第２のデータを用いて、前記第１のデータの前記取得時刻からの有効時間を前記第１のデータに係る前記制御系データに設定し、前記設定した有効時間内ならば、前記第１のデータに係る前記制御系データを、前記第２のネットワークを介して前記制御システムへ送信するＣＰＵを有することを特徴とする車載ゲートウェイ装置。
14. 前記第２のデータは前記車両システムを搭載する車両の状態を表す制御機器からの車両情報であって、前記車両情報が表す前記車両の状態に応じて、前記ＣＰＵは前記第１のデータに係る前記制御系データの前記制御システムへの送信を否とすることを特徴とする請求項13記載の車載ゲートウェイ装置。
15. 前記第１のデータは障害物までの検知距離、前記取得時刻は前記障害物の検知時刻、及び前記第２のデータは前記車両システムを搭載する車両の速度であることを特徴とする請求項14記載の車載ゲートウェイ装置。
16. 前記ＣＰＵは、前記車両の前記速度に応じた空走距離と制動距離とを前記検知距離から減算したブレーキ開始位置を求め、前記ブレーキ開始位置までの前記速度による到達時刻までを前記有効時間とすることを特徴とする請求項15記載の車載ゲートウェイ装置。
17. 前記ＣＰＵは、前記設定した有効時間内ならば、前記第１のデータに係る前記制御系データの前記制御システムへの、前記第２のネットワークを介した送信を繰り返すことを特徴とする請求項14及び請求項15のいずれか１項記載の車載ゲートウェイ装置。
18. 前記第1のネットワークを介して入力した前記情報システムからの前記第１のデータと同種の新たなデータの入力に応答して、前記ＣＰＵは、前記第１のデータに係る前記制御系データの前記制御システムへの送信の繰り返しを停止することを特徴とする請求項17記載の車載ゲートウェイ装置。

Images