JP2010258635A

JP2010258635A - 制御装置

Info

Publication number: JP2010258635A
Application number: JP2009104705A
Authority: JP
Inventors: Yuki Shimizu; 裕規志水
Original assignee: Denso Ten Ltd
Current assignee: Denso Ten Ltd
Priority date: 2009-04-23
Filing date: 2009-04-23
Publication date: 2010-11-11

Abstract

【課題】自己に発生した異常が自己の属するネットワークへ与える影響を低減すると共に、異常状態からの復帰処理を行える制御装置を提供する。
【解決手段】ゲートウェイＥＣＵ１０は、自装置の異常を検出したことを移行条件として、動作状態を通常状態から休止状態に移行させ、あるいは、前述の移行条件とは異なる移行条件が成立した場合に、動作状態を通常状態から休止状態に移行させる休止状態移行部１０６と、動作状態を休止状態から通常状態へ復帰させる復帰条件が成立すると、動作状態を休止状態から通常状態に移行させる通常状態移行部１０７と、休止状態移行部１０６によって自装置の異常を検出したことを移行条件として休止状態に移行していた場合に、復帰条件とは異なる所定の条件が成立するまで、通常状態移行部１０７による休止状態から通常状態への移行を禁止する禁止部１０８と、を備える。
【選択図】図６

Description

本発明は、制御装置に関する。

一般に、車両等を制御する制御システムでは、複数の制御装置（ＥＣＵ：Electronic Control Unit）が相互に通信ラインで接続されることにより、通信ネットワーク（通信手段）が構築されている。近年は、エンジン停止後にもセキュリティ装置、室内灯、車高調節器等の車両電装品を制御するため、通信ネットワークには、イグニッションスイッチ（以下、ＩＧスイッチと略記する）がオフされた後も動作するＥＣＵも接続されている。ＩＧスイッチがオフされた後も動作するＥＣＵは、電力消費量が高いウェイクアップ状態（通常状態）及び通信データの送受信を停止して電力消費量を抑えるスリープ状態（休止状態）の２つの動作状態を備えている場合が多い。特許文献１〜３には、前述の２つの動作状態を備えるＥＣＵ、又は２つの動作状態を備えるＥＣＵが接続された通信ネットワークにおいて、ウェイクアップ状態及びスリープ状態を切替える技術が開示されている。

特開２００８−１２６７３８号公報特開２００８−２５４５１８号公報特開２００８−２６３３４６号公報

ところで、通信ネットワークに接続されたＥＣＵの１つに異常が発生する場合、異常が発生したＥＣＵが送信したデータを、他のＥＣＵが受信すると誤作動を起こしてしまう場合がある。また、他のＥＣＵが誤作動を起こした結果、通信ネットワーク全体に異常が伝播してしまう場合もある。

このように、通信ネットワークに接続されたＥＣＵに異常が発生した場合に、他のＥＣＵへの異常の伝播を防ぐ方法として、異常が発生したＥＣＵの動作を完全に停止させる方法がある。しかしながら、異常が発生したＥＣＵを完全に停止させてしまうと、ＥＣＵは異常状態から復帰する処理を実行することができない。そこで、他のＥＣＵへの異常の伝播を防ぐと共に、ＥＣＵが異常状態からの復帰処理を実行することができるように、ＥＣＵを通常状態に復帰可能なスリープ状態へ遷移させる方法がある。

しかし、従来のＥＣＵは、スリープ状態にある間にウェイクアップ条件が成立すると、その動作状態をウェイクアップ状態へと移行させる。ここで、ウェイクアップ条件とは、ＥＣＵがスリープ状態にある間に、車両のＩＧスイッチがオンされる、他のＥＣＵからのデータを受信する、又はＥＣＵのスイッチがオンされる等である。
従って、異常が発生したＥＣＵは、スリープ状態へ遷移しても、ウェイクアップ条件が成立するとウェイクアップ状態に切替わり、データ送信等を実行するため、通信ネットワーク全体に異常が伝播する可能性が生じる。

本発明は、上記の事情に鑑みて成されたものであり、自己に発生した異常が自己の属するネットワークへ与える影響を低減すると共に、異常状態からの復帰処理を行える制御装置を提供することを目的とする。

上記目的を達成するために、本発明は、動作状態として、通信手段を介して他の制御装置にデータを送信可能な通常状態と通常状態よりも平均消費電力が低く前記他の制御装置にデータを送信不可能な休止状態とを有する制御装置であって、自装置の異常を検出したことを移行条件として、前記動作状態を、前記通常状態から前記休止状態に移行させる第１の休止状態移行手段と、前記第１の休止状態移行手段における移行条件とは異なる移行条件が成立した場合に、前記動作状態を、前記通常状態から前記休止状態に移行させる第２の休止状態移行手段と、前記動作状態を前記休止状態から前記通常状態へ復帰させる復帰条件が成立すると、前記動作状態を前記休止状態から前記通常状態に移行させる通常状態移行手段と、前記第１の休止状態移行手段によって休止状態に移行していた場合に、前記復帰条件とは異なる所定の条件が成立するまで、前記通常状態移行手段による前記制御装置の前記休止状態から前記通常状態への移行を禁止する禁止手段と、を備える。
本発明は、制御装置に異常が発生した場合には、第１の休止状態移行手段が制御装置の動作状態を休止状態に切替え、復帰条件が成立しても所定の条件が成立するまでは、禁止手段が制御装置の動作状態を通常状態へ移行させることを禁止する。このため、異常が発生した制御装置によって他の制御装置にデータが送信されることにより、制御装置に発生した異常が他の制御装置及び通信手段へ与える影響を低減することができる。

上記構成において、本発明は、前記第１の休止状態移行手段によって前記休止状態に移行する場合と、前記第１の休止状態移行手段によって前記休止状態に移行した後に、前記動作状態が前記休止状態から前記通常状態へと移行する場合の少なくとも一方の場合に、初期化処理を実行する初期化手段を備える。
この構成によれば、制御装置に発生した異常が他の制御装置及び通信手段へ与える影響を低減すると共に、通常状態への移行に伴って異常状態からの復帰処理を行うことができる。

上記構成において、前記動作状態が前記休止状態から前記通常状態へと移行する場合とは、前記動作状態が前記休止状態にある際にイグニッションスイッチがオンされる場合であり、前記初期化手段は、前記動作状態が前記通常状態へ移行する際に、前記制御装置に備えられた記憶装置に記憶された情報を初期化することを特徴とする。
この構成によれば、制御装置は、制御装置に発生した異常が他の制御装置及び通信手段へ与える影響を低減すると共に、イグニッションスイッチがオンされてから次にイグニッションスイッチがオンされるまでの間に１回、異常状態からの復帰処理を実行できる。

上記構成において、前記制御装置は、イグニッションスイッチがオフされた後もバッテリから電源の供給を受けて動作を継続することを特徴とする。
この構成によれば、イグニッションスイッチがオフされた後もバッテリから電源の供給を受けて動作を継続する制御装置に異常が発生した場合でも、制御装置に発生した異常が他の制御装置及び通信手段へ与える影響を低減すると共に、異常状態からの復帰処理を行うことができる。

本発明は、動作状態として、通信手段を介して他の制御装置にデータを送信可能な通常状態と通常状態よりも平均消費電力が低く前記他の制御装置にデータを送信不可能な休止状態とを有する制御装置の制御方法であって、自装置の異常を検出したことを移行条件として、前記動作状態を、前記通常状態から前記休止状態に移行させる第１の休止状態移行ステップと、前記第１の休止状態移行ステップにおける移行条件とは異なる移行条件が成立した場合に、前記動作状態を、前記通常状態から前記休止状態に移行させる第２の休止状態移行ステップと、前記動作状態を前記休止状態から前記通常状態へ復帰させる復帰条件が成立すると、前記動作状態を前記休止状態から前記通常状態に移行させる通常状態移行ステップと、前記第１の休止状態移行ステップによって休止状態に移行していた場合に、前記復帰条件とは異なる所定の条件が成立するまで、前記通常状態移行ステップによる前記制御装置の前記休止状態から前記通常状態への移行を禁止する禁止ステップと、を有する。
本発明は、制御装置に異常が発生した場合には、第１の休止状態移行ステップが制御装置の動作状態を休止状態に切替え、復帰条件が成立しても所定の条件が成立するまでは、禁止ステップが制御装置の動作状態を通常状態へ移行させることを禁止する。このため、異常が発生した制御装置によって他の制御装置にデータが送信されることにより、制御装置に発生した異常が他の制御装置及び通信手段へ与える影響を低減することができる。

本発明によれば、自己に発生した異常が自己の属するネットワークへ与える影響を低減すると共に、異常状態からの復帰処理を行える。

車両における通信ネットワークの一例を示す図である。＋Ｂ系ＥＣＵ及びＩＧ系ＥＣＵの動作状態を示すタイムチャートである。本発明を適用していないゲートウェイＥＣＵが実行する処理の一例を示すフローチャートである。本発明を適用していないゲートウェイＥＣＵに異常が発生した場合の、ゲートウェイＥＣＵ、＋Ｂ系ＥＣＵ及びＩＧ系ＥＣＵの動作状態を示すタイムチャートである。本発明を適用したゲートウェイＥＣＵのハードウェア構成の一例を示す図である。ゲートウェイＥＣＵが有する機能の一例を示す機能ブロック図である。通常時にゲートウェイＥＣＵ１０が実行する処理の一例を示すフローチャートである。スリープ時にゲートウェイＥＣＵ１０が所定周期で実行する処理の一例を示すフローチャートである。本発明を適用したゲートウェイＥＣＵに異常が発生した場合の、ゲートウェイＥＣＵ、＋Ｂ系ＥＣＵ及びＩＧ系ＥＣＵの動作状態を示すタイムチャートである。

以下、本発明の最良の実施形態について、添付図面を参照しつつ説明する。

まず、図１を用いて本発明が適用されるゲートウェイＥＣＵを含む通信ネットワークについて説明する。図１は、車両における通信ネットワークの一例を示す図である。
図１に図示する通信ネットワーク１００は、ＣＡＮ（Controller Area Network）を用いた車載ＬＡＮによって構成される。通信ネットワーク１００は、ゲートウェイＥＣＵ１０に通信バス４１〜通信バス４３を接続し、各通信バス上に、＋Ｂ系ＥＣＵ２０Ａ〜２０Ｅ及びＩＧ（IGnition）系ＥＣＵ３０Ａ〜３０Ｄを接続して構成される。車載装置の数が増え高度な制御が実行されるにつれて、ＥＣＵの数も増大する傾向にあるが、通信バスに接続可能なＥＣＵの数には制限がある。また、バスの配線長や通信データの通信量がバスにもたらす負荷を緩和する必要もある。そこで、本実施例では、通信バスを通信バス４１〜４３に分割すると共に通信バス間をゲートウェイＥＣＵ１０により中継している。ゲートウェイＥＣＵ１０が定められた手順で通信データを相互の通信バス間に中継することで、分割された通信バスに接続されたＥＣＵは通信データを共有することができる。
なお、以後、特に区別する必要のない限り、＋Ｂ系ＥＣＵ２０Ａ〜２０Ｅを＋Ｂ系ＥＣＵ２０と記載し、ＩＧ系ＥＣＵ３０Ａ〜３０ＤをＩＧ系ＥＣＵ３０と記載する。

＋Ｂ系ＥＣＵ２０は、ＩＧスイッチをオフした後も動作を継続するＥＣＵであり、動作状態としてウェイクアップ状態とスリープ状態とを有する。ここで、スリープ状態におけるＥＣＵの動作は設計によるが、本実施例では、例えば、ＥＣＵが備えるＣＰＵのクロックをウェイクアップ状態に比べ低速（例えば１０〜２０分の１）にすることと定義する。スリープ状態ではＣＰＵのクロックが遅いため、ウェイクアップ状態では実行できる処理が処理不能となったり、あるいは、本来の処理能力を発揮できなかったりする。本実施例では、ゲートウェイＥＣＵ１０は、ウェイクアップ状態ではデータの送信処理を実行できるが、スリープ状態ではデータの送信処理を実行できないものとする。ただし、クロックが低速でもＣＰＵと共に他の周辺デバイスは作動可能であるため、ゲートウェイＥＣＵ１０は、後述するウェイクアップ条件のマスク処理、ウェイクアップ条件の判定処理等を実行できる。
ＩＧ系ＥＣＵ３０は、ＩＧスイッチをオンすると動作し、ＩＧスイッチをオフすると完全停止するＥＣＵである。なお、ゲートウェイＥＣＵ１０は、＋Ｂ系ＥＣＵの一つである。

通信バス４１と、通信バス４１に接続された＋Ｂ系ＥＣＵ２０Ａ、ＩＧ系ＥＣＵ３０Ａ、及びＩＧ系ＥＣＵ３０Ｂとは、例えば、エンジン制御等のためのエンジン・パワートレン系ネットワークを構成する。なお、エンジン・パワートレン系ネットワークでは、ＡＢＳ（Anti-lock Brake System）ＥＣＵ、ＥＣＴ（Electronic Control Transmission）ＥＣＵ、ＥＦＩ（Electric Fuel Injection）ＥＣＵ等が通信バスに接続される。

通信バス４２と、通信バス４２に接続された＋Ｂ系ＥＣＵ２０Ｂ〜２０Ｃとは、例えば、ヘッドランプ制御等のためのボディ系ネットワークを構成する。なお、ボディ系ネットワークでは、例えば、セキュリティＥＣＵ、ウィンカＥＣＵ、ワイパＥＣＵ、ライトＥＣＵ等が通信バスに接続される。

通信バス４３と、通信バス４３に接続された＋Ｂ系ＥＣＵ２０Ｄ〜２０Ｅ及びＩＧ系ＥＣＵ３０Ｃ〜３０Ｄとは、例えば、メータパネル制御等のためのテレマティクス系ネットワークを構成する。なお、テレマティクス系ネットワークでは、メータＥＣＵ等が通信バスに接続される。

各通信バスと、通信バスに接続された＋Ｂ系ＥＣＵ２０及びＩＧ系ＥＣＵ３０とが構成するネットワークは、上述のものに限定されない。例えば、他のネットワークとしては、エアバック制御等のための安全系ネットワーク、ナビゲーションシステム制御等のための情報系ネットワーク等がある。

ゲートウェイＥＣＵ１０は、上述した通信バス４１〜４３、＋Ｂ系ＥＣＵ２０及びＩＧ系ＥＣＵ３０で構成されるネットワーク間のデータ通信を中継する。上述したエンジン・パワートレン系ネットワーク、ボディ系ネットワーク、テレマティクス系ネットワークでは、それぞれの制御に要求される仕様に適した通信プロトコルが採用される。よって、異なる系のネットワーク間では、ゲートウェイＥＣＵ１０がデータ通信を中継することにより相互にデータが共有される。

次に、図２を用いて、通常時（異常が発生していない時）における、＋Ｂ系ＥＣＵ２０（ゲートウェイＥＣＵ１０を含む）及びＩＧ系ＥＣＵ３０の動作について説明する。図２は、＋Ｂ系ＥＣＵ及びＩＧ系ＥＣＵの動作状態を示すタイムチャートである。

＋Ｂ系ＥＣＵ２０及びＩＧ系ＥＣＵ３０は、ＩＧスイッチがオン（ＩＧ＝ＯＮ）されると（Ａ）、起動する。そして、＋Ｂ系ＥＣＵ２０及びＩＧ系ＥＣＵ３０は、それぞれ動作を開始する。
ＩＧスイッチがオフ（ＩＧ＝ＯＦＦ）されると（Ｂ）、ＩＧ系ＥＣＵ３０は動作を完全に停止する。一方、＋Ｂ系ＥＣＵ２０は、ＩＧスイッチがオフされても、バッテリから電源の供給を受け、動作を継続する。

＋Ｂ系ＥＣＵ２０のうちいずれかのＥＣＵは、イグニッションオフ後に実行すべき処理を実行し終えると、スリープ状態の開始を合図する所定のフレームデータを送信する（Ｃ）。所定のフレームデータが送信されてから所定時間を経過してもデータの受信が無い場合、＋Ｂ系ＥＣＵ２０はスリープ状態に遷移する（Ｄ）。
そして、次にＩＧスイッチがオンされるまで（Ｅ）、＋Ｂ系ＥＣＵ２０はスリープ状態を継続し、ＩＧ系ＥＣＵ３０は完全停止状態を継続する。
ＩＧスイッチがオンされると（Ｅ）、＋Ｂ系ＥＣＵ２０及びＩＧ系ＥＣＵ３０は再び起動し、動作を開始する。

次に、図３を用いて、本発明を適用していないゲートウェイＥＣＵ１０が実行する処理について説明する。図３は、本発明を適用していないゲートウェイＥＣＵが実行する処理の一例を示すフローチャートである。

ゲートウェイＥＣＵ１０は、まず、所定の初期化処理を実行する（ステップＳ１）。ここで、ゲートウェイＥＣＵ１０は、ＩＧスイッチがオンされた場合、ハードウェアリセットから復帰した場合、又はウェイクアップ条件が成立して動作状態がスリープ状態からウェイクアップ状態に移行した場合に初期化処理を実行する。なお、初期化処理とは、ゲートウェイＥＣＵ１０が動作を開始できる状態になるように、後述するＲＡＭ１０２及びＲＯＭ１０４等に記憶されているデータの初期化を行うことである。ゲートウェイＥＣＵ１０に異常が発生し、ＲＯＭ１０２及びＲＯＭ１０４に異常なデータが記憶されていても、この初期化処理によって異常なデータを消去することが可能である。

ゲートウェイＥＣＵ１０は、初期化処理が終わると、動作を開始する（ステップＳ２）。ゲートウェイＥＣＵ１０は、動作中、ゲートウェイＥＣＵ１０に異常が発生しているか否か判定する（ステップＳ３）。

ゲートウェイＥＣＵ１０は、ゲートウェイＥＣＵ１０に異常が発生していない場合（ステップＳ３／ＮＯ）、動作を継続し、ステップＳ３の処理を繰返し実行することで、異常が発生しているか否かを監視する。一方、ゲートウェイＥＣＵ１０に異常が発生している場合（ステップＳ３／ＹＥＳ）、ゲートウェイＥＣＵ１０は、スリープ状態に遷移する（ステップＳ４）。

ゲートウェイＥＣＵ１０は、スリープ状態において、ウェイクアップ条件が成立したか否か判定する（ステップＳ５）。ゲートウェイＥＣＵ１０は、ウェイクアップ条件が成立していない場合（ステップＳ５／ＮＯ）、ウェイクアップ条件が成立するまで、スリープ状態を継続し、ステップＳ５の処理を実行する。一方、ゲートウェイＥＣＵ１０は、ウェイクアップ条件が成立した場合（ステップＳ５／ＹＥＳ）、動作状態をウェイクアップ状態へと移行させ（ステップＳ６）、本処理を終了する。

図３において説明した処理を実行するゲートウェイＥＣＵ１０に異常が発生した場合の、ゲートウェイＥＣＵ１０、＋Ｂ系ＥＣＵ２０及びＩＧ系ＥＣＵ３０の動作について説明する。図４は、本発明を適用していないゲートウェイＥＣＵに異常が発生した場合の、ゲートウェイＥＣＵ、＋Ｂ系ＥＣＵ及びＩＧ系ＥＣＵの動作状態を示すタイムチャートである。

ゲートウェイＥＣＵ１０、＋Ｂ系ＥＣＵ２０及びＩＧ系ＥＣＵ３０は、ＩＧスイッチがオンされると（Ａ）、起動する。そして、ゲートウェイＥＣＵ１０、＋Ｂ系ＥＣＵ２０及びＩＧ系ＥＣＵ３０は、それぞれ動作を開始する。
ゲートウェイＥＣＵ１０は、異常が発生すると（Ｂ）、動作状態をスリープ状態に移行させる。一方、＋Ｂ系ＥＣＵ２０及びＩＧ系ＥＣＵ３０は動作を継続する。

＋Ｂ系ＥＣＵ２０及びＩＧ系ＥＣＵ３０がデータを送信すると（Ｃ）、データの送信によって通信バスの電位レベルが変化するため、ゲートウェイＥＣＵ１０は電位レベルの変化を検出して、動作状態をウェイクアップ状態に移行させる。つまり、この場合、＋Ｂ系ＥＣＵ２０及びＩＧ系ＥＣＵ３０によるデータの送信が、ゲートウェイＥＣＵ１０のウェイクアップ条件となっている。

ゲートウェイＥＣＵ１０は、動作状態がスリープ状態からウェイクアップ状態に移行すると、初期化処理を実行する。しかし、ゲートウェイＥＣＵ１０は、初期化処理を行っても、異常状態から復帰できない場合もある。ゲートウェイＥＣＵ１０は、異常状態から復帰できなかった場合、再度、スリープ状態へと遷移する（Ｄ）。

ＩＧスイッチがオフされると（Ｅ）、ＩＧ系ＥＣＵ３０は完全に停止する。しかし、＋Ｂ系ＥＣＵ２０は、ＩＧスイッチがオフされても動作を継続しているため、データを送信する場合がある。＋Ｂ系ＥＣＵ２０がデータを送信すると（Ｆ）、データの送信によって通信バスの電位レベルが変化するため、ゲートウェイＥＣＵ１０は電位レベルの変化を検出して、再び、動作状態をウェイクアップ状態に移行させる。そして、ゲートウェイＥＣＵ１０は、再び初期化処理を実行する。この、ゲートウェイＥＣＵ１０のウェイクアップ状態→スリープ状態→ウェイクアップ状態の繰返しは、＋Ｂ系ＥＣＵ２０がスリープ状態になるまで続けられる。

この結果、ゲートウェイＥＣＵ１０に異常が発生した後に、ゲートウェイＥＣＵ１０の動作状態がウェイクアップ状態となっている期間（Ｃ〜Ｅ）、（Ｆ〜Ｇ）には、ゲートウェイＥＣＵ１０から誤ったデータが送信される可能性がある。つまり、ゲートウェイＥＣＵ１０に発生した異常が、通信ネットワーク１００全体に伝播する可能性がある。
また、ゲートウェイＥＣＵ１０は、ウェイクアップ状態及びスリープ状態に移行する場合に、所定のフレームデータを送信する。従って、ゲートウェイＥＣＵ１０が図５に示すようなウェイクアップ状態とスリープ状態とを繰り返すことにより、通信バス４１〜４３に送信されるデータ量が増えて、通信バス４１〜４３の負荷が上昇してしまう。

次に、図５〜図９を用いて、上述した問題を解決する、本発明を適用したゲートウェイＥＣＵについて説明する。

図５は、本発明を適用したゲートウェイＥＣＵのハードウェア構成の一例を示す図である。
ゲートウェイＥＣＵ１０は、入出力部１０１、ＲＡＭ（Random Access Memory）１０２、中央処理装置（ＣＰＵ：Central Processing Unit）１０３及びＲＯＭ（Read Only Memory）１０４を備える。入出力部１０１は、信号の入出力を行う。ＲＯＭ１０４には、自己の異常を検出するプログラムや自己の動作状態をスリープ状態に移行させるプログラムなどが格納される。ＣＰＵ１０３は、ＲＯＭ１０４に格納されたプログラムを読み込んで実行する。ＲＡＭ１０２は、プログラムを実行する際に使用される一時的なデータを保存する。
また、ＲＯＭ１０４に格納されたプログラムのＣＰＵ１０３による演算によって、図６に示す休止状態移行部１０６、通常状態移行部１０７、禁止部１０８が実現される。

次に、図６を用いて、ゲートウェイＥＣＵ１０において、上述したＣＰＵ１０３などのハードウェアとＲＯＭ１０４に格納されたプログラムとの協働によって実現される機能の一例について説明する。図６は、ゲートウェイＥＣＵが有する機能の一例を示す機能ブロック図である。

ゲートウェイＥＣＵ１０は、異常判定部１０５、休止状態移行部（第１の休止状態移行手段及び第２の休止状態移行手段）１０６、通常状態移行部（通常状態移行手段）１０７、禁止部（禁止手段）１０８、及び初期化部（初期化手段）１０９を備える。
異常判定部１０５は、ゲートウェイＥＣＵ１０に異常が発生しているかを判定する。例えば、異常判定部１０５は、ゲートウェイＥＣＵ１０のＲＯＭ１０４、ＲＡＭ１０４、及びフレーム転送装置に異常が発生しているか否かを判定する。ここで、フレーム転送装置とは、通信バス４１〜４３のいずれかから受信したデータを、ＲＯＭ１０４に記憶された宛先マップに従って、別の通信バスへ転送する装置である。異常判定部１０５は、例えば、ＲＯＭ１０４のチェックサム値を計算することによって、ゲートウェイＥＣＵ１０のＲＯＭ１０４に異常が発生しているか否かを判定できる。また、異常判定部１０５は、例えば、ＲＡＭ１０２の書き込み値と読み出し値とを比較して、ゲートウェイＥＣＵ１０のＲＡＭ１０２に異常が発生しているか否かを判定できる。
異常判定部１０５は、ゲートウェイＥＣＵ１０に異常が発生していると判定すると、異常の発生を休止状態移行部１０６に通知する。

休止状態移行部１０６は、異常判定部１０５から、ゲートウェイＥＣＵ１０に異常が発生した旨の通知を受信すると、ゲートウェイＥＣＵ１０の動作状態をウェイクアップ状態からスリープ状態へ移行させる。動作状態がスリープ状態となったゲートウェイＥＣＵ１０は、データの送信を実行できなくなる。
また、休止状態移行部１０６は、動作状態をスリープ状態に移行させるスリープ条件が成立した場合にも、ゲートウェイＥＣＵ１０の動作状態をスリープ状態に移行させる。ここで、スリープ条件とは、例えば、通信バス４１〜４３を介して、＋Ｂ系ＥＣＵ２０及びＩＧ系ＥＣＵ３０から通信データを所定時間受信しない場合等をいう。

通常状態移行部１０７は、ウェイクアップ条件が成立すると、ゲートウェイＥＣＵ１０をスリープ状態からウェイクアップ状態へ移行させる。前述したように、ウェイクアップ条件とは、ゲートウェイＥＣＵ１０がスリープ状態にある間に、車両のＩＧスイッチがオンされる、又は、他のＥＣＵからのデータを受信する、又はＥＣＵのスイッチがオンされる等をいう。通常状態移行部１０７は、ゲートウェイＥＣＵ１０の動作状態と、通信バス４１〜４３から入力される信号及びデータに基づいて、ウェイクアップ条件が成立したか否か判定できる。
しかし、通常状態移行部１０７は、後述する禁止部１０８によって、ゲートウェイＥＣＵ１０をスリープ状態からウェイクアップ状態に移行させることを禁止されている場合には、移行を行わない。

禁止部１０８は、所定の条件が成立するまで、通常状態移行部１０７が、ゲートウェイＥＣＵ１０をスリープ状態からウェイクアップ状態へ移行させることを禁止する。ここで、所定の条件とは、異常が発生した後、次にＩＧスイッチがオンされるまでゲートウェイＥＣＵ１０のウェイクアップ条件が成立しないことである。すなわち、ＩＧ系ＥＣＵ３０が完全停止し、かつ＋Ｂ系ＥＣＵ２０がスリープ状態になることである。
従って、禁止部１０８は、ＩＧスイッチがオフされ、かつ、スリープ開始を合図する特定のフレームが送信されてから所定の時間が経過しても、通信バス４１〜４３からデータを入力しない場合に、所定の条件が成立したと判定できる。ここで、所定の時間とは、スリープ開始を合図する特定のフレームが送信されてから、通信バス４１〜４３にデータが流れなければ、通信ネットワーク１００全体がスリープ状態へ遷移する時間であり、例えば、１５００ｍｓである。

初期化部１０９は、ゲートウェイＥＣＵ１０に異常が発生してゲートウェイＥＣＵ１０がスリープ状態に移行する場合、または、異常の発生によってスリープ状態へ移行したゲートウェイＥＣＵ１０の動作状態がウェイクアップ状態へ移行した場合に、初期化処理を実行する。初期化部１０９は、初期化処理を実行する条件が成立したか否かを、休止状態移行部１０６及び通常状態移行部１０７から信号を入力することによって判定できる。

次に、図７を用いて、通常時にゲートウェイＥＣＵ１０が実行する処理について説明する。図７は、ゲートウェイＥＣＵ１０が通常時に実行する処理の一例を示すフローチャートである。ここで、通常時に実行する処理とは、ゲートウェイＥＣＵ１０に搭載されたマイコン（不図示）の電源がＯＮになった際に行われる処理のことをいう。マイコン（不図示）の電源がＯＮになる場合とは、マイコンにバッテリが接続された場合、マイコンがリセット状態から復帰した場合が挙げられる。
ゲートウェイＥＣＵ１０は、まず、初期化処理を実行する（ステップＳ１１）。ゲートウェイＥＣＵ１０が行う初期化処理の内容は、図３のステップＳ１において説明したので、説明を省略する。

次に、ゲートウェイＥＣＵ１０は、異常フラグがＯＮであるか否か判定する（ステップＳ１２）。ゲートウェイＥＣＵ１０は、異常フラグがＯＦＦの場合（ステップＳ１２／ＮＯ）、動作を開始する（ステップＳ１３）。

ゲートウェイＥＣＵ１０は、動作中、スリープ状態への移行条件が成立したか否かを判定する（ステップＳ１４）。ゲートウェイＥＣＵ１０は、スリープ状態への移行条件が成立していない場合（ステップＳ１４／ＮＯ）、ゲートウェイＥＣＵ１０に異常が発生しているか否かを判定する（ステップＳ１５）。一方、ゲートウェイＥＣＵ１０は、スリープ状態への移行条件が成立している場合（ステップＳ１４／ＹＥＳ）、動作状態をスリープ状態に移行させる（ステップＳ１８）。本ステップによって移行したスリープ状態は、異常フラグがＯＮされていないため、ウェイクアップ条件が成立すればウェイクアップ条件に移行する通常のスリープ状態となる。

ゲートウェイＥＣＵ１０は、ゲートウェイＥＣＵ１０に異常が発生している場合（ステップＳ１５／ＹＥＳ）、ゲートウェイＥＣＵ１０に異常が発生していることを表す異常フラグをＯＮにする（ステップＳ１６）。一方、ゲートウェイＥＣＵ１０に異常が発生していない場合、ゲートウェイＥＣＵ１０は、ステップＳ１３からステップＳ１５までの処理を繰り返し実行する。

次に、ゲートウェイＥＣＵ１０は、電源をリセットすることによって、ハードウェアリセットを実行する（ステップＳ１７）。そして、ゲートウェイＥＣＵ１０は、本処理を終了する。

ゲートウェイＥＣＵ１０は、異常フラグがＯＮの場合（ステップＳ１２／ＹＥＳ）、動作状態をスリープ状態に移行させ（ステップＳ１７）、本処理を終了する。ここで、異常フラグがＯＮであるとは、ゲートウェイＥＣＵ１０に異常が発生して、ゲートウェイＥＣＵ１０がステップＳ１６にて異常フラグをＯＮにしたということである。

次に、図８を用いて、ゲートウェイＥＣＵ１０がスリープ状態において所定周期で実行する処理について説明する。図８は、スリープ時にゲートウェイＥＣＵ１０が所定周期で実行する処理の一例を示すフローチャートである。
まず、ゲートウェイＥＣＵ１０は、異常フラグがＯＮか否か判定する（ステップＳ２１）。

ゲートウェイＥＣＵ１０は、異常フラグがＯＦＦの場合（ステップＳ２１／ＮＯ）、ウェイクアップ条件が成立したか否か判定する（ステップＳ２２）。そして、ウェイクアップ条件が成立した場合（ステップＳ２２／ＹＥＳ）、ゲートウェイＥＣＵ１０は、動作状態をウェイクアップ状態に移行させる（ステップＳ２３）。一方、ウェイクアップ条件が成立していない場合（ステップＳ２２／ＮＯ）、ゲートウェイＥＣＵ１０は本処理を終了する。

ゲートウェイＥＣＵ１０は、異常フラグがＯＮの場合（ステップＳ２１／ＹＥＳ）、ＩＧスイッチがオフされ、かつ、スリープ開始を合図する所定のフレームデータを＋Ｂ系ＥＣＵ２０が送信してから、所定の時間データを受信していないか否かを判定する（ステップＳ２４）。

ゲートウェイＥＣＵ１０は、ステップＳ２４の判定がＮＯの場合、本処理を終了するため、スリープ状態が継続される。従って、異常フラグがＯＮになっているゲートウェイＥＣＵ１０は、ステップＳ２４の判定がＹＥＳになるまで、ウェイクアップ状態への移行を禁止された強制スリープ状態となる。このステップＳ２４によって、ゲートウェイＥＣＵ１０に発生した異常が、通信ネットワーク１００全体に伝播するのを抑制することができる。

ゲートウェイＥＣＵ１０は、ステップＳ２４の判定がＹＥＳの場合、異常フラグをＯＦＦにし（ステップＳ２５）、ウェイクアップ条件が成立したか否かを判定する（ステップＳ２２）。

ゲートウェイＥＣＵ１０は、ウェイクアップ条件が成立していない場合（ステップＳ２２／ＮＯ）、本処理を終了する。一方、ゲートウェイＥＣＵ１０は、ウェイクアップ条件が成立した場合（ステップＳ２２／ＹＥＳ）、動作状態をウェイクアップ状態に移行させる（ステップＳ２３）。そして、ゲートウェイＥＣＵ１０は、本処理を終了する。

次に、図９を用いて、本発明を適用したゲートウェイＥＣＵ１０に異常が発生した場合の、ゲートウェイＥＣＵ１０、＋Ｂ系ＥＣＵ２０及びＩＧ系ＥＣＵ３０の動作について説明する。図４は、本発明を適用したゲートウェイＥＣＵに異常が発生した場合の、ゲートウェイＥＣＵ、＋Ｂ系ＥＣＵ及びＩＧ系ＥＣＵの動作状態を示すタイムチャートである。

ゲートウェイＥＣＵ１０、＋Ｂ系ＥＣＵ２０及びＩＧ系ＥＣＵ３０は、ＩＧスイッチがオフされると（Ａ）、起動する。そして、ゲートウェイＥＣＵ１０、＋Ｂ系ＥＣＵ２０及びＩＧ系ＥＣＵ３０は、それぞれ動作を開始する。
ゲートウェイＥＣＵ１０は、異常が発生すると（Ｂ）、動作状態をスリープ状態に移行させる。一方、＋Ｂ系ＥＣＵ２０及びＩＧ系ＥＣＵ３０は動作を継続する。

本発明が適用されるゲートウェイＥＣＵ１０は、ウェイクアップ条件が成立しても、禁止部１０８によってスリープ状態からウェイクアップ状態への移行が禁止される。従って、異常発生後に、＋Ｂ系ＥＣＵ２０が動作を継続し、データの送信を行っても、ゲートウェイＥＣＵ１０の動作状態はウェイクアップ状態に移行されない。つまり、ゲートウェイＥＣＵ１０は、ウェイクアップ条件がマスクされた強制スリープ状態となる。

＋Ｂ系ＥＣＵ２０のうちいずれかのＥＣＵは、イグニッションオフ後に実行すべき処理を実行し終えると、スリープ開始を合図する所定のフレームデータを送信する（Ｃ）。所定のフレームデータが送信されてから所定時間を経過してもデータの受信が無い場合、＋Ｂ系ＥＣＵ２０はスリープ状態に遷移する（Ｄ）。ゲートウェイＥＣＵ１０は、＋Ｂ系ＥＣＵ２０が所定フレームデータを送信してから所定時間を経過してもデータの受信が無い場合、ウェイクアップ条件が成立すればウェイクアップ状態に移行しスリープ状態となる。つまり、ゲートウェイＥＣＵ１０の動作状態は、禁止部１０８によってウェイクアップ状態への移行を禁止された強制スリープ状態から、ウェイクアップ条件が成立すればウェイクアップ状態へ移行する通常のスリープ状態となる。

そして、次にＩＧスイッチがオンされるまで（Ｄ）、ゲートウェイＥＣＵ１０及び＋Ｂ系ＥＣＵ２０はスリープ状態を継続し、ＩＧ系ＥＣＵ３０は完全停止状態を継続する。ＩＧスイッチがオンされると（Ｄ）、ゲートウェイＥＣＵ１０、＋Ｂ系ＥＣＵ２０及びＩＧ系ＥＣＵ３０は再び起動し、動作を開始する。
ゲートウェイＥＣＵ１０は、ＩＧスイッチのオンに伴う初期化処理によって、異常状態から復帰する機会を得ることができる。

図９から、ゲートウェイＥＣＵ１０は、異常が発生した場合に、強制スリープ状態に入るので、通信ネットワーク１００に異常が伝播するのを抑制できる。また、ゲートウェイＥＣＵ１０は、ＩＧスイッチがオンされてから、次のＩＧスイッチがオンされるまでに、１回は異常状態からの復帰処理を実行できる。

以上の説明から明らかなように、本実施例によれば、ネットワークＥＣＵ１０は、自己に発生した異常が自己の属するネットワークへ与える影響を低減すると共に、異常状態からの復帰処理を行うことができる。
また、異常が発生したゲートウェイＥＣＵ１０は、ウェイクアップ状態とスリープ状態とを繰り返さないので、不要なフレームデータの送信によって、通信バスの負荷が上昇するのを抑制できる。
また、異常が発生したゲートウェイＥＣＵ１０は、次にＩＧスイッチがオンされるまで、起動しないので、消費電力を抑えることができる。また、消費電力を抑えることによって、バッテリ上がりの抑制につながる。
さらに、異常が発生したゲートウェイＥＣＵ１０は、データの送信を停止するため、他のＥＣＵにゲートウェイＥＣＵ１０の異常を通知できる。つまり、他のＥＣＵは、ゲートウェイＥＣＵ１０からデータを所定時間受信しなければ、ゲートウェイＥＣＵ１０が故障したと判定できる。

以上、本発明の好ましい実施の形態について詳述したが、本発明に係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
本実施例では、ゲートウェイＥＣＵ１０に本発明を適用したが、本発明の適用対象はゲートウェイＥＣＵ１０に限られるものではなく、＋Ｂ系ＥＣＵ２０に対しても適用できる。

ゲートウェイＥＣＵ１０が実行するプログラムは、磁気ディスクや光ディスク、半導体メモリ、その他の記録媒体に格納して配布したり、ネットワークを介して配信したりすることにより提供できる。
更に、ＣＰＵ１０３がＲＯＭ１０４に記憶されたプログラムを読み出して、ＣＰＵ１０３により実行して実現するソフトウェア処理の一部又は全部をハードウェアにて実現しても良い。

１０…ゲートウェイＥＣＵ
２０、２０Ａ〜２０Ｅ…＋Ｂ系ＥＣＵ
３０、３０Ａ〜３０Ｄ…ＩＧ系ＥＣＵ
４１〜４３…通信バス
１００…通信ネットワーク
１０１…入出力部
１０２…ＲＡＭ
１０３…ＣＰＵ
１０４…ＲＯＭ
１０５…異常判定部
１０６…休止状態移行部
１０７…通常状態移行部
１０８…禁止部
１０９…初期化部

Claims

動作状態として、通信手段を介して他の制御装置にデータを送信可能な通常状態と通常状態よりも平均消費電力が低く前記他の制御装置にデータを送信不可能な休止状態とを有する制御装置であって、
自装置の異常を検出したことを移行条件として、前記動作状態を、前記通常状態から前記休止状態に移行させる第１の休止状態移行手段と、
前記第１の休止状態移行手段における移行条件とは異なる移行条件が成立した場合に、前記動作状態を、前記通常状態から前記休止状態に移行させる第２の休止状態移行手段と、
前記動作状態を前記休止状態から前記通常状態へ復帰させる復帰条件が成立すると、前記動作状態を前記休止状態から前記通常状態に移行させる通常状態移行手段と、
前記第１の休止状態移行手段によって休止状態に移行していた場合に、前記復帰条件とは異なる所定の条件が成立するまで、前記通常状態移行手段による前記制御装置の前記休止状態から前記通常状態への移行を禁止する禁止手段と、
を備えることを特徴とする制御装置。
前記第１の休止状態移行手段によって前記休止状態に移行する場合と、前記第１の休止状態移行手段によって前記休止状態に移行した後に、前記動作状態が前記休止状態から前記通常状態へと移行する場合の少なくとも一方の場合に、初期化処理を実行する初期化手段を備えることを特徴とする請求項１に記載の制御装置。
前記動作状態が前記休止状態から前記通常状態へと移行する場合とは、前記動作状態が前記休止状態にある際にイグニッションスイッチがオンされる場合であり、
前記初期化手段は、前記動作状態が前記通常状態へ移行する際に、前記制御装置に備えられた記憶装置に記憶された情報を初期化することを特徴とする請求項２に記載の制御装置。
前記制御装置は、イグニッションスイッチがオフされた後もバッテリから電源の供給を受けて動作を継続することを特徴とする請求項１から３のいずれか１項に記載の制御装置。
動作状態として、通信手段を介して他の制御装置にデータを送信可能な通常状態と通常状態よりも平均消費電力が低く前記他の制御装置にデータを送信不可能な休止状態とを有する制御装置の制御方法であって、
自装置の異常を検出したことを移行条件として、前記動作状態を、前記通常状態から前記休止状態に移行させる第１の休止状態移行ステップと、
前記第１の休止状態移行ステップにおける移行条件とは異なる移行条件が成立した場合に、前記動作状態を、前記通常状態から前記休止状態に移行させる第２の休止状態移行ステップと、
前記動作状態を前記休止状態から前記通常状態へ復帰させる復帰条件が成立すると、前記動作状態を前記休止状態から前記通常状態に移行させる通常状態移行ステップと、
前記第１の休止状態移行ステップによって休止状態に移行していた場合に、前記復帰条件とは異なる所定の条件が成立するまで、前記通常状態移行ステップによる前記制御装置の前記休止状態から前記通常状態への移行を禁止する禁止ステップと、
を有することを特徴とする制御方法。