JP2014172503A - 通信システム、電子制御装置及び推定プログラム - Google Patents

Abstract

【課題】互いに異なる通信規格により通信する３つ以上の電子制御装置が接続されるときに、通信途絶原因を誤認することなく推定できるようにした通信システム、通信システムに使用される電子制御装置、及び推定プログラムを提供する。
【解決手段】ＥＣＵは、通信途絶時間カウンタＣｃをカウントアップすることにより計数される通信途絶時間が所定の限度時間（閾値Ｋ２相当時間）を超えるまでの間にデータを再受信しないときには、通信線の断線、又は、通信対象ＥＣＵ自体の異常であると特定する（Ｔ１２）。通信途絶時間が所定の原因要特定最小時間（閾値Ｋ１相当時間）を超え所定の限度時間（閾値Ｋ２相当時間）を超えるまでの間に、通信対象ＥＣＵからデータを再受信したときには、プログラム書換装置により通信対象ＥＣＵのプログラム書換処理が行われたか（Ｔ１６）、又は、通信線の瞬断後の通信復帰である（Ｔ１５）と特定する。
【選択図】図４

Description

本発明は、異なる通信規格により複数通信接続可能な通信システム、電子制御装置及び推定プログラムに関する。

近年、車両制御分野においては電子制御化が推し進められており、エンジン、自動変速機等の様々な車載部品が電子制御装置（以下ＥＣＵ(Electronic Control Unit)と称す）により制御されている。

ＥＣＵは、制御内容毎に機能を分担して複数構成されており、これらのＥＣＵは互いに通信線を通じて連携可能になっている。また、これらのＥＣＵは互いの通信情報を監視し、通信線や通信相手となるＥＣＵが異常動作していないか否かを診断する。また、このＥＣＵは車両外部に任意の通信線を通じて接続されたプログラム書換装置を用いてプログラムを書換えることができる。そして、このリプログラム中には、プログラムが一旦消去されるため、プログラムの書換対象ＥＣＵは定期的な送信処理を停止することになる。

従来、このリプログラム手法として、プログラム書換装置がプログラム書換対象ＥＣＵに通信線を通じて書換プログラムを送信することで当該プログラムを書換える。このとき、プログラム書換装置が書換対象外のＥＣＵに対し異常診断を無効化する命令を送信すると共に定期送信の停止命令を送信する技術が提供されている（例えば、特許文献１参照）。これは、リプログラム中に書換対象ＥＣＵが定期的な送信処理を停止することで、書換対象外ＥＣＵが書換対象ＥＣＵの異常又は通信線の異常と誤認してしまうことを防ぐためである。

特開２００３−１７２１９９号公報

同一車両内に互いに異なる通信規格を用いて通信するＥＣＵが存在している場合には以下に示す課題を生じる。すなわち、例えば車両内にＥＣＵ−Ａ、ＥＣＵ−Ｂ、ＥＣＵ−Ｘの３つのＥＣＵが存在すると仮定する。また、ＥＣＵ−ＡとＥＣＵ−Ｂが第１通信規格により通信可能になっていると仮定し、ＥＣＵ−ＡとＥＣＵ−Ｘとは第２通信規格により通信可能になっており、ＥＣＵ−ＸとＥＣＵ−Ｘのプログラム書換装置は第２通信規格により通信可能となっていると仮定する。

このような場合、ＥＣＵ−Ａ用のプログラム書換装置がＥＣＵ−Ａを書換対象ＥＣＵとしてＥＣＵ−Ａに書換プログラムを送信すると、ＥＣＵ−Ｂには第１通信規格によりＥＣＵ−Ａがリプログラム中である情報を送信すれば、ＥＣＵ−ＢがＥＣＵ−Ａからの定期的な送信処理が停止したとしても、ＥＣＵ−ＢはＥＣＵ−Ａ又は通信線の異常であると誤認することはない。

しかしながら、ＥＣＵ−Ａ用のプログラム書換装置とＥＣＵ−Ｘとは通信規格の都合上、直接通信不能である場合がある。このような場合、ＥＣＵ−Ａがプログラムを書換えられている最中に送信処理を停止すると、ＥＣＵ−Ｘは、ＥＣＵ−Ａの異常又は通信線の異常と誤認してしまう虞がある。

本発明の目的は、互いに異なる通信規格により通信する３つ以上の電子制御装置が接続されるときに、通信途絶原因を誤認することなく当該通信途絶原因を推定できるようにした通信システム、この通信システムに使用される電子制御装置、及び通信途絶原因の推定プログラムを提供することにある。

請求項１記載の発明によれば、第２の電子制御装置の通信部は、プログラム書換装置からのリプログラム要求の有無を確認しリプログラム要求がないときには第１及び／又は第３の電子制御装置とデータ通信する。他方、プログラム書換装置からのリプログラム要求があるときには、リプログラム実行部がプログラム書換装置を用いてリプログラムを実施する。

第１の電子制御装置の計数部は、第２の電子制御装置とデータ通信しているときには通信途絶の時間を計数せず、当該第２の電子制御装置とのデータ通信が途絶えたときに第２の電子制御装置からの通信途絶の時間を計数開始する。推定部は計数部により計数される通信途絶時間が所定の限度時間を超えるまでの間に第２の電子制御装置からデータを再受信するか否かに応じて第２の電子制御装置との間の通信途絶原因を推定する。これにより通信途絶原因を誤認することなく当該通信途絶原因を推定できる。

本発明の一実施形態において、プログラム書換処理時の接続形態を概略的に示す電気的構成図 電子制御装置の内部の電気的構成を概略的に示すブロック図 第２の電子制御装置の処理の流れを概略的に示すフローチャート 第１の電子制御装置の処理の流れを概略的に示すフローチャート 処理の流れを概略的に示すタイミングチャート（その１） 処理の流れを概略的に示すタイミングチャート（その２） 処理の流れを概略的に示すタイミングチャート（その３）

以下、通信システム、および、電子制御装置の一実施形態を説明する。
図１に示すように、本実施形態が対象とする車両用のＥＣＵ１〜３（但し１はＥＣＵ−Ａ、２はＥＣＵ−Ｂ、３はＥＣＵ−Ｘ）は車両４に搭載されており、ＥＣＵ１およびＥＣＵ２は第１通信規格Ｃ１（例えばＫＷＰ２０００（ＩＳＯ１４２３０に準拠した車両内通信における国際標準規格のうちの一つ））の通信線を通じて互いにデータ通信可能になっている。ＥＣＵ１はＥＣＵ２と互いに定期的に通信処理する。

他方、ＥＣＵ３およびＥＣＵ１は第２通信規格Ｃ２（例えばＣＡＮ（Controller Area Networkの略称でISO11988に準拠した車両内通信における国際標準規格のうちの一つ））の通信線を通じて互いにデータ通信可能になっている。

これらのＥＣＵ１〜３はそれぞれマイクロコンピュータ１０（以下マイコンと略す：図２にはＥＣＵ１、３の例を図示）を備えている。そして、これらのＥＣＵ１〜３は車両に関する制御を個別に行うＥＣＵである。

図１に示すように、ＥＣＵ３は車外のプログラム書換装置５に接続することで通信規格Ｃ２によりプログラムを受信しリプログラムできる。またＥＣＵ１及び２は、車外のプログラム書換装置６と接続することで通信規格Ｃ１によりプログラムを受信しリプログラムできる。

図２はＥＣＵ３及び１の内部構成を概略的に示している。ＥＣＵ３及び１は、ほぼ同様の構成を備えているため図２には同一符号を付している。ＥＣＵ３は、マイコン１０と、マイコン１０などの電気的要素に電源を供給する電源回路１１と、通信先ユニット１２（例えば他のＥＣＵ１及びプログラム書換装置５など）と通信を実施するための通信ＩＣ１３と、電源供給が停止しても演算結果を不揮発的に記憶するＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）１４と、を備える。ＥＣＵ１は、マイコン１０と、電源回路１１と、例えば他のＥＣＵ２、３及びプログラム書換装置６と通信するための通信ＩＣ１３と、電源供給が停止しても演算結果を不揮発的に記憶するＥＥＰＲＯＭ１４とを備える。

マイコン１０は、制御プログラムを記憶するＲＯＭ１５と、ＲＯＭ１５に記憶されたプログラムを実行するＣＰＵ１６と、このＣＰＵ１６により実行されるプログラムの演算結果を一時的に記憶するＲＡＭ１７と、を備える。また、ＥＣＵ２はＥＣＵ３又は１とほぼ同様の電気的構成となっている。各ＥＣＵ１〜３のマイコン１０は、リセットカウンタＣｐＡ、ＣｐＢ、ＣｐＸを内蔵しており、ＥＥＰＲＯＭ１４にはそれぞれリセットカウンタＣｐＡ、ＣｐＢ、ＣｐＸの格納領域が確保されている。

図３はＥＣＵ１が実行する処理内容を示し、図４はＥＣＵ３が実行する処理内容を示す。すなわち、図３に示す処理内容がＥＣＵ１のＲＯＭ１５にプログラムとして記憶されており、図４に示す処理内容がＥＣＵ３のＲＯＭ１５にプログラムとして記憶されている。

ここで、ＥＣＵ１をリプログラム対象ＥＣＵとして説明を行う。すなわち、ＥＣＵ３がリプログラム対象ＥＣＵ１と異なる通信規格Ｃ２の通信ＩＣ１３を備えるＥＣＵとなっている。

このとき、図３に示すように、イグニッションスイッチ（ＩＧ）がオンされると（Ｓ０）、ＥＣＵ１のマイコン１０はこのキー切換を検出し、ＥＥＰＲＯＭ１４に不揮発的に記憶されたリセットカウンタＣｐＡを読出しＲＡＭ１７にコピーする（Ｓ１）。そして、ＥＣＵ１のマイコン１０はリセットカウンタＣｐＡをインクリメントし（Ｓ２）、ＥＥＰＲＯＭ１４に再度上書きする（Ｓ３）。

そして、ＥＣＵ１のマイコン１０は、プログラム書換装置６からのリプログラム要求の有無を確認する（Ｓ４）。プログラム書換装置６からのリプログラムの要求が有ると（Ｓ５：ＹＥＳ）、ＥＣＵ１のマイコン１０はプログラムを書換え、その後リセットし（Ｓ６）、ステップＳ１に移行する。ＥＣＵ１のマイコン１０はプログラム書換装置６からのリプログラム要求がないときには（Ｓ５：ＮＯ）、通信先ＥＣＵ（この場合ＥＣＵ２又はＥＣＵ３）とデータ通信等を実施する（Ｓ７）。

このとき、ＥＣＵ１のマイコン１０はリセットカウンタＣｐＡの値も通信先ＥＣＵ（ＥＣＵ２又はＥＣＵ３）に送信する。ＥＣＵ１のマイコン１０は、これらのステップＳ４〜Ｓ７の処理をイグニッションスイッチ（ＩＧ）がオフされる（Ｓ８：ＹＥＳ）まで繰り返す。

他方、図４に示すように、ＥＣＵ３のマイコン１０は、ＥＥＰＲＯＭ１４に記憶されたリセットカウンタＣｐＸを読出しＲＡＭ１７にコピーし（Ｔ１）、このリセットカウンタＣｐＸをインクリメントして（Ｔ２）、再度ＥＥＰＲＯＭ１４に記憶させる（Ｔ３）。そして、ＥＣＵ３のマイコン１０は、ＥＣＵ１と相互通信処理を行い、ＥＣＵ１からの受信データの有無を確認する（Ｔ４）。この際、ＥＣＵ３のマイコン１０は、ＥＣＵ１のリセットカウンタＣｐＡの受信データの有無も確認する。

ＥＣＵ３のマイコン１０は、ステップＴ５において、ＥＣＵ１から受信データが無いと判定したときにステップＴ６に移行し、受信データを有ると判定したときにステップＴ７に移行する。

ＥＣＵ３のマイコン１０は受信データが有ると判定すると（Ｔ５：ＹＥＳ）、仮異常状態Ｓｔ＝＝１であるか否か判定する（Ｔ７）。当初は異常状態Ｓｔが初期値０（＝異常なし）であるため、ステップＴ７ではＮＯと判定され、通常状態を示す異常状態Ｓｔ＝０に設定すると共に、通信途絶時間カウンタＣｃ＝０に設定し（Ｔ１３）、ステップＴ１０に移行しイグニッションスイッチがオフされていなければ（Ｔ１０：ＮＯ）、通常状態又は仮異常状態（Ｓｔ＝＝０ｏｒ１）であることを条件として（Ｔ１０ａ：ＹＥＳ）、ステップＴ４に戻って処理を繰り返す。

ＥＣＵ３のマイコン１０は、ステップＴ５において受信データが無いと判定すると（Ｔ５：ＮＯ）、通信途絶時間カウンタＣｃをインクリメントし（Ｔ６）、通信途絶時間カウンタＣｃを仮異常判定閾値Ｋ１と比較しＣｃ＞Ｋ１を満たすか判定する（Ｔ８）。この閾値Ｋ１は、通信途絶の原因特定を必要とする最小時間（原因要特定最小時間に相当）に相当する閾値であり、この閾値Ｋ１を超えると、何らかの異常又はリプログラム処理による通信途絶であることを特定（推定）できる。

すなわち、ＥＣＵ３のマイコン１０は、通常状態又は仮異常状態を超える異常であるかを判定する。ＥＣＵ３のマイコン１０は、通信途絶時間カウンタＣｃ＞閾値Ｋ１を満たすときにはステップＴ９に移行し、満たさないときには（Ｔ８：ＮＯ）ステップＴ１０に移行し、イグニッションスイッチがオフされるまでステップＴ１０ａを通じてステップＴ４から処理を繰り返す。

ＥＣＵ３のマイコン１０は、ステップＴ９の処理段階では、リプログラムによる通信途絶であるか、瞬断による通信途絶であるか、断線による通信途絶であるか、を分別して判定することが不可能であるため、この時点では仮異常と判定する。ＥＣＵ３のマイコン１０は仮異常と判定すると仮異常状態Ｓｔ＝１に設定する（Ｔ９）。

次に、ＥＣＵ３のマイコン１０は、通信途絶時間カウンタＣｃを本異常判定閾値Ｋ２と比較しＣｃ＞Ｋ２を満たすか判定する（Ｔ１１）。ＥＣＵ３のマイコン１０は、通信途絶時間カウンタＣｃ＞Ｋ２を満たすときには、断線、又は、通信対象ＥＣＵ１の内部異常であると判断し本異常と判定する。ＥＣＵ３のマイコン１０は本異常と判定すると本異常状態Ｓｔ＝３に設定する（Ｔ１２）。

他方、ステップＴ１１において、通信途絶時間カウンタＣｃ＞本異常判定閾値Ｋ２の条件を満たさないと判定したときには、ステップＴ１０に移行し、イグニッションスイッチがオフされるまでステップＴ１０ａを通じてステップＴ４から処理を繰り返す。

その後、ＥＣＵ３のマイコン１０はステップＴ４から処理を繰り返すものの、ＥＣＵ１から受信データを再受信できなければ、再度ステップＴ６、Ｔ８、Ｔ９、Ｔ１１、Ｔ１２の処理を繰り返し、通信途絶時間カウンタＣｃが順次インクリメントされ、時間が経過するにつれ、異常状態Ｓｔ＝０→Ｓｔ＝１→Ｓｔ＝３に順次変更されることになる。

さらに、ＥＣＵ３のマイコン１０はステップＴ４から処理を繰り返し、ＥＣＵ１からデータを再受信すると、仮異常状態Ｓｔ＝１であるか否か判定する（Ｔ７）。ここでは、通信途絶時間カウンタＣｃの値が仮異常判定閾値Ｋ１を超え、本異常判定閾値Ｋ２以下であるときに仮異常状態Ｓｔ＝１となっていると仮定する。

このとき、ＥＣＵ３のマイコン１０はステップＴ１４に移行し、ＥＣＵ３のリセットカウンタＣｐＸとＥＣＵ１のリセットカウンタＣｐＡとを比較する。すなわちＥＣＵ１とＥＣＵ３のリセット回数を比較する。

ＥＣＵ３のマイコン１０は、リセットカウンタＣｐＡがＣｐＸと一致したときには（Ｔ１４：ＹＥＳ）、ＥＣＵ１がリプログラムされリセットされていないにも関わらず異常が生じていると判断して、この結果通信途絶したと判定し、瞬断等の一時的な通信途絶からの復帰であると特定する。この場合、本異常と確定し本異常状態Ｓｔ＝２とし、ステップＴ１０に移行する。

他方、ＥＣＵ３のマイコン１０は、リセットカウンタＣｐＡがＣｐＸと一致しない場合には（Ｔ１４：ＮＯ）、ＥＣＵ１がユーザのキー操作以外の要因に応じてリセットされたものと推定でき、通信途絶期間の経過直後に仮異常状態Ｓｔ＝１となっていることから、ＥＣＵ１がプログラムを書換えられた後リセットされたものであると推定できる。このとき、ＥＣＵ３のマイコン１０はＳｔ＝０（通常状態）に復帰させ、通信途絶時間カウンタＣｃを初期化（＝０）とし、ステップＴ１０に移行する。

以下、図５〜図７を参照しながら動作の一例を説明する。図５はＥＣＵ１のリプログラム処理時の動作、図６は一時的な通信途絶時の動作、図７は完全断線時の動作、をそれぞれタイミングチャートにより示している。

＜プログラム書換装置がＥＣＵ１（ＥＣＵ−Ａ）をリプログラムするときの処理動作＞
ＥＣＵ１内ではイグニッションスイッチがオンされた（Ｓ１）後、ステップＳ１〜Ｓ３の処理が行われると、異常状態Ｓｔ＝０（通常状態）、通信途絶時間カウンタＣｃ＝０、リセットカウンタＣｐＡ＝１に設定される（図５の（１）（２）のタイミング参照）。

ＥＣＵ３内では、イグニッションスイッチがオンされた後にステップＴ１〜Ｔ３の処理が行われると、Ｓｔ＝０（通常状態）、通信途絶時間カウンタＣｃ＝０、リセットカウンタＣｐＡ＝１、リセットカウンタＣｐＸ＝１に設定される（図５の（１）（２）のタイミング参照）。

初期状態ではイグニッションスイッチがオンされていると、ＥＣＵ１及び２は通信規格Ｃ１の通信線を通じて定期的に互いに通信し、ＥＣＵ１及び３は通信規格Ｃ２の通信線を通じて定期的に互いに通信する（図５の（１）（２）のタイミング参照）。

図５の（３）のタイミングにおいて、プログラム書換装置６がＥＣＵ２に対し診断停止／定期送信停止要求を行い、図５の（４）の期間中にプログラム書換装置６がＥＣＵ１にリプログラムデータを通信規格Ｃ１の通信線を通じて送信する。

すると、ＥＣＵ１及び２間の通信線にはプログラム書換装置６による書換用のリプログラムデータのみが与えられる。図５の（５）の期間中には、ＥＣＵ３のみがＥＣＵ１に通信規格Ｃ２の通信線を通じてデータ送信できる（図５の（３）〜（５）のタイミング参照）。

図５の（３）〜（４）の期間中には、ＥＣＵ１はプログラム書換処理を行っているため、ＥＣＵ１はＥＣＵ３との間で通信が途絶える。ＥＣＵ３は、ＥＣＵ１に定期的に送信処理を行うものの（図５の（５）期間参照）、ＥＣＵ１からデータを受信できないため、ＥＣＵ３はステップＴ５において受信データが無いと判定する。そして、ＥＣＵ３のマイコン１０は、通信途絶時間カウンタＣｃを順次インクリメントし、仮異常判定閾値Ｋ１を超えると異常状態Ｓｔ＝１となり仮異常状態と判定される。

その後、ＥＣＵ１のリプログラムが完了するとＥＣＵ１がリセットされる。するとＥＣＵ１は、図３のステップＳ６、Ｓ１〜Ｓ３の処理を行うため、ＥＥＰＲＯＭ１４に記憶されたリセットカウンタＣｐＡがインクリメントされる。ＥＣＵ１はリセットされた後、通信規格Ｃ２の通信線上でＥＣＵ３との間でデータ通信を再開できるため、ＥＣＵ１のマイコン１０は、ステップＳ７においてリセットカウンタＣｐＡをＥＣＵ３に送信する。

ＥＣＵ３内では、図４のステップＴ４、Ｔ５、Ｔ７、Ｔ１４、Ｔ１６、Ｔ１０の処理を行い、リセットカウンタＣｐＡとＣｐＸとが互いに異なることをトリガとしてリプログラムによる通信途絶であると特定して正常復帰する。すなわち、ＥＣＵ３は、これらの一連の処理を受けて、ステップＴ５で再受信データ有りと判定するため、通信途絶時間カウンタＣｃのカウントアップを停止すると共に、ステップＴ１６において通信途絶時間カウンタＣｃを０に初期化する。

他方、プログラム書換装置６は、ＥＣＵ１のリプログラムを完了すると、ＥＣＵ２に診断停止／定期送信停止の解除要求を発行する（図５の（６）のタイミング参照）。すると、通信規格Ｃ１の通信線上では、ＥＣＵ１とＥＣＵ２とが互いにデータ通信を再開できる（図５の（７）のタイミング参照）。また、通信規格Ｃ２の通信線上では、ＥＣＵ１とＥＣＵ３とが互いにデータ通信を再開できる（図５の（８）のタイミング参照）。このようにして通常の通信動作に復帰できる。

＜一時的な通信途絶時の動作＞
以下では、図６を参照し、本実施形態に示した動作プログラムを適用すれば、ＥＣＵ１とＥＣＵ３とを接続する通信規格Ｃ２の通信線が何らかの影響により一時的に通信途絶（瞬断）した時においても確実に異常検出できることを説明する。

ＥＣＵ１内では、イグニッションスイッチがオンされた後にステップＳ１〜Ｓ３の処理が行われると、Ｓｔ＝０（通常状態）、通信途絶時間カウンタＣｃ＝０、リセットカウンタＣｐＡ＝１に設定される（図６の（１１）（１２）のタイミング参照）。

ＥＣＵ３内では、イグニッションスイッチがオンされた後にステップＴ１〜Ｔ３の処理が行われると、異常状態Ｓｔ＝０（通常状態）、通信途絶時間カウンタＣｃ＝０、リセットカウンタＣｐＡ＝１、リセットカウンタＣｐＸ＝１に設定される（図６の（１１）（１２）のタイミング参照）。

初期状態では、イグニッションスイッチがオンされると、ＥＣＵ１とＥＣＵ２とは通信規格Ｃ１の通信線を通じて定期的に互いに通信し、ＥＣＵ１とＥＣＵ３とは通信規格Ｃ２の通信線を通じて定期的に互いに通信する（図６の（１１）（１２）のタイミング参照）。

その後、ＥＣＵ１及び３を接続する通信線が瞬断し、一時的な通信途絶を生じたと仮定する（図６の（１３）のタイミング参照）。このとき、ＥＣＵ１とＥＣＵ２とは互いにデータ通信可能であるものの、ＥＣＵ１とＥＣＵ３とは通信不能となり、例えばＥＣＵ３からの送信データのみ通信線上に電信される（図６の（１４）の期間参照）。

このとき、ＥＣＵ３は、ＥＣＵ１の送信データを受信できないため、図４のステップＴ５でＮＯと判定し、続いてステップＴ６の処理を行うことにより通信途絶時間カウンタＣｃをカウントアップし続ける。

そして、ＥＣＵ３のマイコン１０は、通信途絶時間カウンタＣｃがステップＴ８において仮異常判定閾値Ｋ１を超えたときに異常状態Ｓｔ＝１とし仮異常状態と見做す（図４のＴ９：図６の（１５）のタイミング参照）。その後、ＥＣＵ１とＥＣＵ３とを接続する通信線による通信が復旧したと仮定する（図６の（１６）のタイミング参照）。すると、ＥＣＵ１はＥＣＵ３との通信線に送信データを送信することができ、ＥＣＵ３はこのデータを受信できる。

ＥＣＵ１はＥＣＵ３との間の通信線にデータを送出できるものの、ＥＣＵ１はリプログラム後のリセット処理が行われていないため、リセットカウンタＣｐＡは１のままＥＥＰＲＯＭ１４に保持されている。すなわち、このリセットカウンタＣｐＡの値がＥＣＵ３に送信されることになる。ＥＣＵ３のＣＰＵ１０は、このリセットカウンタＣｐＡの値とＣｐＸとを比較しても同一であるため、ステップＴ１５において瞬断後の通信復帰と見做し本異常と確定する。これにより、瞬断異常（本異常）である旨を特定できる。

＜完全断線時の動作＞
以下では、図７を参照し、本実施形態に示した動作プログラムを適用すれば、ＥＣＵ１とＥＣＵ３とを接続する通信線が何らかの影響により完全に通信途絶した時においても異常を検出できることを説明する。

ＥＣＵ１内では、イグニッションスイッチがオンされた後にステップＳ１〜Ｓ３の処理が行われると、Ｓｔ＝０（通常状態）、通信途絶時間カウンタＣｃ＝０、リセットカウンタＣｐＡ＝１に設定される（図７の（２１）（２２）のタイミング参照）。

ＥＣＵ３内では、イグニッションスイッチがオンされた後にステップＴ１〜Ｔ３の処理が行われると、Ｓｔ＝０（通常状態）、通信途絶時間カウンタＣｃ＝０、リセットカウンタＣｐＡ＝１、リセットカウンタＣｐＸ＝１に設定される（図７の（２１）（２２）のタイミング参照）。

初期状態ではイグニッションスイッチがオンされていると、ＥＣＵ１とＥＣＵ２とは通信規格Ｃ１の通信線を通じて定期的に互いに通信し、ＥＣＵ−ＡとＥＣＵ−Ｘとは通信規格Ｃ２の通信線を通じて定期的に互いに通信する（図７の（２１）（２２）のタイミング参照）。

その後、ＥＣＵ１とＥＣＵ３とを接続する通信線が完全に遮断され、完全な通信途絶を生じたと仮定する（図７の（２３）のタイミング参照）。このとき、ＥＣＵ１とＥＣＵ２とを接続する通信線上ではＥＣＵ１とＥＣＵ２とは互いにデータ通信可能であるものの、ＥＣＵ１とＥＣＵ３とは通信不能となり、例えばＥＣＵ３からの送信データのみ通信線上に電信される。

このとき、ＥＣＵ３は、ＥＣＵ１からの送信データを受信できないため、図４のステップＴ５でＮＯと判定し、続いてステップＴ６の処理を行うことにより通信途絶時間カウンタＣｃをカウントアップし続ける。そして、ＥＣＵ３のマイコン１０は、通信途絶時間カウンタＣｃがステップＴ８において仮異常判定閾値Ｋ１を超えたときに異常状態Ｓｔ＝１に設定し仮異常状態と見做す（図４のＴ９：図７の（２４）のタイミング参照）。

その後も、通信線は途切れたまま回復することなく通信復旧しないと、ＥＣＵ３は、ＥＣＵ１からデータを受信できない。このため、ＥＣＵ３のマイコン１０は、さらに通信途絶時間カウンタＣｃをカウントアップし続ける。そして、ＥＣＵ３のマイコン１０は、通信途絶時間カウンタＣｃがステップＴ１１において本異常判定閾値Ｋ２を超えたときに異常状態Ｓｔ＝３とし本異常状態と確定する（図４のＴ１２：図７の（２５）のタイミング参照）。

その後、通信復旧しなければ、ＥＣＵ３のマイコン１０は、図４のＴ４、Ｔ５、Ｔ６、Ｔ８、Ｔ９、Ｔ１１、Ｔ１２の処理を繰り返すため、本異常を確定できる。これにより、断線、又は、通信対象ＥＣＵ１の内部異常（本異常）である旨を確定できる。なお、ＥＣＵ３のＣＰＵ１０は、一旦断線又はＥＣＵ１の内部異常である旨を確定すると（Ｔ１２）、イグニッションスイッチがオフされる（Ｔ１０：ＹＥＳ）まで、ステップＴ１０ａ，Ｔ１０の処理を繰り返し、ステップＴ４の処理に戻ることはなく、したがってこの本異常確定（Ｓｔ＝＝３）の内容がクリアされることはない。

以上説明したように、本実施形態によれば次のような作用効果を奏する。ＥＣＵ３のマイコン１０は、通信途絶時間カウンタＣｃの値に応じた通信途絶時間が所定の限度時間（閾値Ｋ２相当）を超えるまでの間に再受信するか否かに応じて通信途絶原因を推定している。このため、通信途絶原因を誤認することなく当該通信途絶原因を推定できる。

ＥＣＵ３のマイコン１０は、通信途絶時間カウンタＣｃをカウントアップすることにより計数される通信途絶時間が所定の限度時間（閾値Ｋ２相当時間）を超えるまでの間に、通信ＩＣ１３を通じてデータを再受信しないときには、ＥＣＵ３のマイコン１０は通信規格Ｃ２の通信線の断線、又は、ＥＣＵ１自体の異常であると特定する。このため通信途絶原因を絞り込むことができる。

ＥＣＵ３のマイコン１０は、通信途絶時間カウンタＣｃをカウントアップすることにより計数される通信途絶時間が所定の原因要特定最小時間（閾値Ｋ１相当時間）を超え所定の限度時間（閾値Ｋ２相当時間）を超えるまでの間に、通信ＩＣ１３を通じてＥＣＵ１からデータを再受信したときには、プログラム書換装置６によりＥＣＵ１のプログラム書換処理が行われたか、又は、第１通信規格Ｃ１の瞬断後の通信復帰であると特定する。このため、通信途絶原因を絞りこむことができる。

ＥＣＵ３のマイコン１０は、ＥＣＵ１から送信されるリセットカウンタＣｐＡのリセット回数とＥＣＵ３のＥＥＰＲＯＭ１４に記憶されたリセットカウンタＣｐＸのリセット回数とを照合することで、ＥＣＵ１のプログラム書換処理が行われたか、第１通信規格Ｃ１の通信線の瞬断後に通信復帰したか、の何れであるか特定する。このため、通信途絶原因をより詳細に特定できる。

ＥＣＵ３のマイコン１０は、ＥＣＵ１から送信されるリセットカウンタＣｐＡのリセット回数とＥＣＵ３のＥＥＰＲＯＭ１４に記憶されたリセットカウンタＣｐＸのリセット回数とが同値のときには、イグニッションスイッチがオンされたときにリセットカウンタＣｐＡがカウントされたものと断定し第１通信規格Ｃ１の通信線の瞬断後に通信復帰したと特定し、異なるときにはプログラム書換装置６によりＥＣＵ１のプログラム書換処理が行われたと特定する。このため、通信途絶原因をより詳細に正確に特定できる。このように処理することで、通信途絶原因がリプログラム時の通信途絶のときには、異常が存在することを特定しないようにできる。

図面中、１はＥＣＵ−Ａ（第２の電子制御装置）、２はＥＣＵ−Ｂ（第３の電子制御装置）、３はＥＣＵ−Ｘ（第１の電子制御装置）、６はプログラム書換装置、１０はマイクロコンピュータ（推定部、計数部、リセット回数送信指示部）、１３は通信部、１４は記憶部、を示す。

Claims (7)

1. それぞれプログラムが記憶され互いに第１通信規格により通信可能な第１及び第２の電子制御装置（３及び１）と、前記第２の電子制御装置（１）と第２通信規格により通信可能な第３の電子制御装置（２）と、を備え、プログラム書換装置（６）が前記第１通信規格により前記第２の電子制御装置（１）のプログラムを書換可能で且つ前記第１の電子制御装置（３）との間で直接通信不能な通信システムにおいて、
   前記第２の電子制御装置（１）は、
   前記プログラム書換装置（６）からのリプログラム要求の有無を確認しリプログラム要求がないときには前記第１及び／又は第３の電子制御装置（３及び／又は２）とデータ通信する通信部（１３）を備え、前記プログラム書換装置（６）からのリプログラム要求があるときには前記プログラム書換装置（６）によりリプログラムを実施するように構成されたものであり、
   前記第１の電子制御装置（３）は、
   前記第２の電子制御装置（１）とデータ通信する通信部（１３）と、
   前記通信部（１３）により互いにデータ通信しているときには通信途絶の時間を計数せず、当該第２の電子制御装置（１）とのデータ通信が途絶えたときに前記第２の電子制御装置（１）からの通信途絶の時間を計数する計数部（１０）と、
   前記計数部（１６）により計数される通信途絶時間が所定の限度時間を超えるまでの間に前記通信部（１３）が前記第２の電子制御装置（１）からデータを再受信するか否かに応じて前記第２の電子制御装置（１）との通信途絶原因を推定する推定部（１０）と、を備えることを特徴とする通信システム。
2. 請求項１記載の通信システムにおいて、
   前記第１の電子制御装置（３）の推定部（１０）は、前記計数部（１０）により計数される通信途絶時間が所定の限度時間を超えるまでの間に、前記通信部（１３）が前記第２の電子制御装置（１）からデータを再受信しないときには、前記第１通信規格の通信線の断線、又は、前記第２の電子制御装置（１）自体の異常であると特定することを特徴とする通信システム。
3. 請求項１または２記載の通信システムにおいて、
   前記第１の電子制御装置（３）の推定部（１０）は、前記計数部（１０）により計数される通信途絶時間が所定の原因要特定最小時間を超え所定の限度時間を超えるまでの間に、前記通信部（１３）が前記第２の電子制御装置（１）からデータを再受信したときには、前記プログラム書換装置（６）により前記第２の電子制御装置（１）のプログラム書換処理が行われたか、又は、前記第１通信規格の瞬断後の通信復帰であると特定することを特徴とする通信システム。
4. 請求項３記載の通信システムにおいて、
   前記第１及び第２の電子制御装置（３及び１）は共に、前記プログラム書換装置（５又は６）による書換不能な記憶領域に、リセット時に回数がカウントされたリセット回数を記憶する記憶部（１４）を備え、
   前記第２の電子制御装置（１）は、
   前記プログラム書換装置（６）によりリプログラムが実施された後前記第２の電子制御装置（１）をリセットするリセット部（１０）と、前記第１の電子制御装置（３）との間でデータ通信するときに前記記憶部（１４）のリセット回数を送信指示するリセット回数送信指示部（１０）と、を備え、
   前記第１の電子制御装置（３）は、
   前記計数部により計数される通信途絶時間が所定の限度時間を超えるまでの間に、前記通信部が前記第２の電子制御装置（１）からデータを再受信するときには、前記第２の電子制御装置（１）のリセット回数送信指示部（１０）により送信指示されるリセット回数を再受信データに含んで受信するように構成され、
   前記推定部（１０）は、前記再受信データに含まれるリセット回数と前記第１の電子制御装置（３）の記憶部（１４）に記憶されたリセット回数とを照合することで、前記プログラム書換装置（６）により前記第２の電子制御装置（１）のプログラム書換処理が行われたか、前記第１通信規格の通信線の瞬断後に通信復帰したか、の何れであるか特定することを特徴とする通信システム。
5. 請求項４記載の通信システムにおいて、
   前記第１及び第２の電子制御装置（３及び１）の記憶部（１４）は共にイグニッションスイッチがオンされた時にリセットカウンタ（ＣｐＸ、ＣｐＡ）のリセット回数が共に同じ値だけカウントされて記憶するものであり、
   前記第１の電子制御装置（３）の推定部（１０）は、
   前記再受信データに含まれるリセット回数と前記第１の電子制御装置（３）の記憶部（１４）に記憶されたリセット回数とが同値のときには前記イグニッションスイッチがオンされたときにリセット回数がカウントされたものと断定して前記第１通信規格の通信線の瞬断後に通信復帰したと特定し、異なるときには前記プログラム書換装置（６）により前記第２の電子制御装置（１）のプログラム書換処理が行われたと特定することを特徴とする通信システム。
6. 請求項１〜５の何れか一項に記載の通信システムの第１の電子制御装置（３）を備えることを特徴とする電子制御装置。
7. 請求項１〜５の何れか一項に記載の通信システムの第１の電子制御装置（３）に、
   第２の電子制御装置（１）と通信部（１３）によりデータ通信しているときには通信途絶の時間を計数せず、当該第２の電子制御装置（１）とのデータ通信が途絶えたときに前記第２の電子制御装置（１）からの通信途絶の時間を計数する手順と、
   計数される通信途絶時間が所定の限度時間を超えるまでの間に通信部（１３）が前記第２の電子制御装置（１）からデータを再受信するか否かに応じて前記第２の電子制御装置（１）との通信途絶原因を推定する手順と、
   を実行させることを特徴とする通信途絶原因の推定プログラム。

Images