JP2016076053A

JP2016076053A - 制御システム

Info

Publication number: JP2016076053A
Application number: JP2014205418A
Authority: JP
Inventors: 裕司奥山; Yuji Okuyama; 松井　俊憲; Toshinori Matsui; 俊憲松井; まどか馬場; Madoka Baba
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2014-10-06
Filing date: 2014-10-06
Publication date: 2016-05-12
Anticipated expiration: 2034-10-06
Also published as: JP5893111B1

Abstract

【課題】シャットダウン状態やスリープ状態から通常動作を開始するまでの時間を短縮することができる制御システムを得る。【解決手段】超音波センサＥＣＵ５４に搭載されたマイコン１０は、レーダＥＣＵ５２またはカメラＥＣＵ５３から送られた起動信号３１を検出し、マイコン１０を起動する起動手段１と、この起動信号３１の妥当性を検証する妥当性検証手段２と、マイコン１０の状態を遷移させる状態管理手段３と、状態管理手段３によるマイコン１０の状態に応じて、制御処理内容を切り替える制御処理手段４とを有し、マイコン１０が停止状態にある場合で、かつ起動信号３１が検出された場合には、妥当性検証手段２による起動信号３１の検証が行われる前に、状態管理手段３は、マイコンの状態を、起動遷移状態を介して通常動作状態に遷移させ、制御処理手段４による通常制御を開始するようにした。【選択図】図３

Description

この発明は、車両に搭載される制御装置の起動と停止に関する状態遷移を行う制御システムに関するものである。

車両には、ＥＣＵ（ＥｌｅｃｔｏｒｏｎｉｃＣｏｎｔｒｏｌＵｎｉｔ）と呼ばれる制御装置が複数搭載されており、そのＥＣＵ間はネットワークで接続されている。
このＥＣＵは、車両に搭載されるバッテリやオルタネータ・モータなどから電力が供給される。近年、車両に搭載されるＥＣＵの数の増加に伴い、ＥＣＵが消費する電力量が増加している。消費電力量が増加すると、オルタネータ・モータなどによる発電量が増加するため、車両の燃費・電費悪化につながる。燃費向上のため、車載品の省電力化が求められるようになり、ＥＣＵにおいても省電力対応が必要になってきている。

ＥＣＵの省電力対応は、さまざまな手法がとられているが、主には起動する必要のないＥＣＵをシャットダウン状態、スリープ状態あるいは、不要な機能を止める縮退動作状態に遷移させる手法がとられている。
シャットダウン状態やスリープ状態のＥＣＵが、通常動作状態に遷移するためには、特許文献１に記載されているように、ウェイクアップ信号をＥＣＵに入力する必要がある。ＥＣＵは、ウェイクアップ信号を検出すると、通常動作状態になるためのシーケンスを実行する。
また、非特許文献１に記載されているように、ＥＣＵはウェイクアップ信号を検出すると、そのウェイクアップ信号が、想定されるウェイクアップ信号であるか否かを判定し、ウェイクアップ信号が想定されるものであれば、通常動作を開始する。ウェイクアップ信号が想定されないものであれば、シャットダウン状態やスリープ状態に遷移する。

また、昨今、車載セキュリティが重要視されている。悪意のあるハッカーなどが、車載ネットワークを介して、シャットダウン状態やスリープ状態のＥＣＵを強制的に起動させる行為が行われることも考えられる。
例えば、セキュリティ対策のないＥＣＵでは、悪意のある機器から送信されたウェイクアップ信号であっても、一般的にはウェイクアップ信号のＩＤや型などが合致していれば、ＥＣＵをシャットダウン状態やスリープ状態から起動して、異常な動作をさせることができる。
そのために、ウェイクアップ信号が正当な対象から送信されたものか否かの認証をする必要性も出てくる。

特開２０１２−０４９８８５号公報（第７〜１１頁、第１図）

ＡＵＴＯＳＡＲＳｐｅｃｉｆｉｃａｔｉｏｎｏｆＥＣＵＳｔａｔｅＭａｎａｇｅｒ

しかしながら、上述の先行技術文献の技術を適用すると、以下のような課題がある。
ＥＣＵが、シャットダウン状態やスリープ状態から通常動作状態になるまでに、ウェイクアップ信号が想定されたものかそうでないものかを判断するための時間が必要であるため、ウェイクアップ信号を検出した直後から通常動作を開始することができない。緊急性の高い動作が要求された場合においては、即座に動作することができないため、車両の挙動に悪影響を与える可能性がある。
また、セキュリティ対策を施したＥＣＵにおいては、シャットダウン状態やスリープ状態から通常動作状態になるまでに、ウェイクアップ信号が正当な対象から送信されたものかそうでないものか認証するための時間が必要であるため、ウェイクアップ信号を検出した直後から通常動作を開始することができないという問題がある。

この発明は、上述のような課題を解決するためになされたものであり、シャットダウン状態やスリープ状態から通常動作を開始するまでの時間を短縮することができる制御システムを得ることを目的とする。

この発明に係わる制御システムにおいては、複数の制御装置が信号線により接続された制御システムであって、複数の制御装置のうちの所定の制御装置は、マイコンを搭載し、信号線を介して送信される起動信号を検出してマイコンを起動する起動手段、起動信号の妥当性を検証する妥当性検証手段、起動信号の検出結果及び妥当性検証手段の検証結果のいずれか一方または両方に応じて、マイコンの状態を遷移させる状態管理手段、及びこの状態管理手段によるマイコンの状態に応じた制御処理を行う制御処理手段を有し、マイコンは、制御処理手段による通常制御を行う通常動作状態と、制御処理を停止した停止状態と、停止状態から通常動作状態に遷移する準備を行うための起動遷移状態と、通常動作状態から停止状態に遷移する準備を行うための停止遷移状態との各状態へ遷移可能に構成され、マイコンが停止状態にある場合で、かつ起動信号が検出された場合には、妥当性検証手段による起動信号の検証が行われる前に、状態管理手段は、マイコンの状態を、起動遷移状態を介して通常動作状態に遷移させ、制御処理手段は、通常制御を開始するものである。

この発明によれば、複数の制御装置が信号線により接続された制御システムであって、複数の制御装置のうちの所定の制御装置は、マイコンを搭載し、信号線を介して送信される起動信号を検出してマイコンを起動する起動手段、起動信号の妥当性を検証する妥当性検証手段、起動信号の検出結果及び妥当性検証手段の検証結果のいずれか一方または両方に応じて、マイコンの状態を遷移させる状態管理手段、及びこの状態管理手段によるマイコンの状態に応じた制御処理を行う制御処理手段を有し、マイコンは、制御処理手段による通常制御を行う通常動作状態と、制御処理を停止した停止状態と、停止状態から通常動作状態に遷移する準備を行うための起動遷移状態と、通常動作状態から停止状態に遷移する準備を行うための停止遷移状態との各状態へ遷移可能に構成され、マイコンが停止状態にある場合で、かつ起動信号が検出された場合には、妥当性検証手段による起動信号の検証が行われる前に、状態管理手段は、マイコンの状態を、起動遷移状態を介して通常動作状態に遷移させ、制御処理手段は、通常制御を開始するので、停止状態から通常動作状態に遷移するまでにかかる時間を短縮することができる。

この発明の実施の形態１による制御システムを搭載した車両の通常動作状態を示す車両の模式図である。この発明の実施の形態１による制御システムのネットワーク構成を示すブロック図である。この発明の実施の形態１による制御システムに搭載される超音波センサＥＣＵを示す機能ブロック図である。この発明の実施の形態１による制御システムの通常動作状態への遷移を示すフローチャートである。この発明の実施の形態１による制御システムの通常動作後の妥当性検証を示すフローチャートである。この発明の実施の形態１による制御システムの超音波センサＥＣＵのマイコンの状態遷移を示す図である。この発明の実施の形態２による制御システムに搭載される超音波センサＥＣＵを示す機能ブロック図である。この発明の実施の形態２による制御システムの動作を示すフローチャートである。この発明の実施の形態３による制御システムのソフトウェアモジュールと通常動作状態の関連を示す模式図である。この発明の実施の形態３による制御システムの動作を示すフローチャートである。この発明の実施の形態３による制御システムの超音波センサＥＣＵのマイコンの状態遷移を示す図である。

以下、この発明の制御システムの好適な実施の形態につき、図面を用いて説明する。
なお、以下の各実施の形態では、車両に制御システムが搭載されている場合について説明する。

実施の形態１．
図１は、この発明の実施の形態１による制御システムを搭載した車両の通常動作状態を示す車両の模式図である。
図１において、制御システムが搭載される制御システム搭載車両４１は、車両の数百ｍ前方の状況を検出するレーザレーダと、車両の数十ｍの前方や周辺の状況を検出するステレオカメラと、車両の数ｍ周辺を検出する超音波センサとの各検出機器（周辺監視手段）を備えている。
それぞれの検出範囲として、レーザレーダの検出範囲４４を実線、ステレオカメラの検出範囲４５を点線、超音波センサの検出範囲４６を一点鎖線として図示する。
それぞれの検出機器は、それぞれのＥＣＵに搭載される。通常動作状態においては、それぞれのＥＣＵが動作し、それぞれの検出できる範囲の状況を監視する。周囲には、制御システム搭載車両４１の前方を走行する先行車両４２、制御システム搭載車両４１の近くを走行する第３の車両４３が存在する。
また、図１の各検出機器の配置は一例であり、搭載位置の制約はない。

図２は、この発明の実施の形態１による制御システムのネットワーク構成を示すブロック図である。
図２において、レーザレーダの検出値はレーダＥＣＵ５２で、ステレオカメラの検出値はカメラＥＣＵ５３で、超音波センサの検出値は超音波センサＥＣＵ５４で処理される。各ＥＣＵは共通の信号線２１で接続されて、各ＥＣＵの情報をゲートウェイであるＡＤＡＳ−ＥＣＵ５１に集約する。
また、各ＥＣＵ間においても、それぞれデータの送受信を行う。ＡＤＡＳ−ＥＣＵ５１は集約された情報から、ブレーキ要否、自動操舵による回避要否を判断し、ブレーキを行うブレーキＥＣＵ５５、または操舵を行うステアリングＥＣＵ５６に指示を出す。
これらの手段を用いて、制御システム搭載車両４１は、事故の危険回避、被害軽減を行うことが可能である。
なお、レーダＥＣＵ５２、カメラＥＣＵ５３及び超音波センサＥＣＵ５４をまとめて、周辺検出ＥＣＵと称する。

また、車両の省電力化を目的として、各ＥＣＵは車両の置かれる状況に応じて、通常動作状態と停止状態（スリープ状態またはシャットダウン状態）を切り替えることができる。
例えば、周囲に車両がなく、レーダＥＣＵ５２で検出できる範囲のみにおいて先行車両４２が存在する場合や、カメラＥＣＵ５３が第３の車両４３を捉えてはいるが、衝突の恐れがない場合などは、これらの車両が接近するまでは、超音波センサＥＣＵ５４を停止状態（スリープ状態またはシャットダウン状態）にすることができる。
また、他の車両がまったく検出されない場合においても、超音波センサＥＣＵ５４は、停止状態（スリープ状態またはシャットダウン状態）とすることができる。
逆に、近接する車両があり、衝突の危険性が高くなってきた場合や、カメラＥＣＵ５３で他の車両を捉えられなくなった場合は、超音波センサＥＣＵ５４の動作は不可欠である。
なお、レーザレーダやカメラを数多く搭載することが対策として考えられるが、それらは超音波センサと比較すると高価であり、数を多く搭載できないため、測定範囲は狭いが安価な超音波センサＥＣＵ５４などを駆使することが求められる。

次に、レーダＥＣＵ５２とカメラＥＣＵ５３の動作について説明する。
超音波センサＥＣＵ５４（所定の制御装置）が停止状態（スリープ状態またはシャットダウン状態）から通常動作状態に遷移する際は、カメラＥＣＵ５３またはレーダＥＣＵ５２（他の制御装置）が常に通常動作状態である。
この状況を利用して、カメラＥＣＵ５３またはレーダＥＣＵ５２は、停止状態（スリープ状態またはシャットダウン状態）から通常動作状態に遷移させるための起動信号３１を、ＣＡＮ信号として出力する機能を備える。

図３は、この発明の実施の形態１による制御システムに搭載される超音波センサＥＣＵを示す機能ブロック図である。
図３において、２１、５２〜５４は図２におけるものと同一のものである。
超音波センサＥＣＵ５４は、マイコン１０を搭載しており、マイコン１０は、外部から送信される起動信号３１を取得してマイコンを起動する起動手段１と、取得した起動信号３１があらかじめ設定された起動信号か否かを判定し、さらに起動信号３１が正当な権限を与えられた相手から取得したものかどうかを判定する妥当性検証手段２と、起動信号３１および妥当性検証手段２の結果からマイコン１０の状態遷移を行うかどうかを判定し、実際に状態遷移を行う状態管理手段３と、状態管理手段３の結果に応じた制御処理を実行する制御処理手段４を備える。

図６は、この発明の実施の形態１による制御システムの超音波センサＥＣＵのマイコンの状態遷移を示す図である。
図６において、超音波センサＥＣＵ５４のマイコン１０は、少なくとも停止状態（スリープ状態またはシャットダウン状態）、通常動作状態、停止状態（スリープ状態またはシャットダウン状態）から通常動作状態に遷移する準備を行う起動遷移状態、通常動作状態から停止状態（スリープ状態またはシャットダウン状態）に遷移する準備を行う停止遷移状態の４つの状態を備えている。図６では、停止状態、起動遷移状態、通常動作状態、停止遷移状態の各状態に、それぞれ信号を受けて遷移する様子が示されている。

次に、超音波センサＥＣＵ５４のマイコン１０の動作について、図６を用いて説明する。
超音波センサＥＣＵ５４の動作が不要と判断した場合は、停止状態（スリープ状態またはシャットダウン状態）に遷移する。逆に他のＥＣＵが超音波センサＥＣＵ５４の動作が必要と判断した場合は、起動信号３１を超音波センサＥＣＵ５４に送信し、マイコン１０
は通常動作状態に遷移する。それらの中間状態として、起動遷移状態では、通常動作状態での通常制御における処理のために必要なソフトウェアモジュールの初期化処理や再初期化処理を行う。
また、停止遷移状態では、停止状態（スリープまたはシャットダウン状態）にするために、通常制御などマイコンの動作を停止する処理を行う。

次に、超音波センサＥＣＵ５４のマイコン１０の起動手段１の動作について説明する。
起動手段１は、マイコン１０の外部から送信される停止状態（スリープ状態またはシャットダウン状態）から通常動作状態への遷移要求を含んだ起動信号３１を検出する。起動信号３１を検出すると、マイコン１０が起動し、起動信号３１が何であるかを、状態管理手段３および妥当性検証手段２に送信する。
本実施の形態１では、ＣＡＮ信号としたが、この限りでなく、信号でＥＣＵが起動できるものであれば、ＦｌｅｘＲａｙ、Ｅｔｈｅｒｎｅｔ（登録商標）での通信信号、あるいはデジタル信号などでもよい。

次に、超音波センサＥＣＵ５４のマイコン１０の妥当性検証手段２の動作について説明する。
妥当性検証手段２は、起動手段１が出力した結果を基に、起動信号３１があらかじめ設定されたものか否かを判定し、さらにその起動信号３１が正当な権限を与えられた相手から取得したものかどうかを判定する。
起動信号３１があらかじめ設定された起動信号であるかどうかの判断は、取得したＣＡＮ信号（ＩＤまたはメッセージ構成）を確認することにより行う。
さらに、起動信号３１が正当な権限を与えられた相手から取得したものかどうかの判断は、起動信号３１がＣＡＮ信号であれば、メッセージに重畳される特定ノードから送信されたことを表す識別ビットを解析・認証することにより行う。
なお、本実施の形態１では、識別ビットとしたが、この限りでなく正当な権限を与えられた相手から取得したものであることを保障できる手段であればどのような手段でも構わない。
また、妥当性検証手段２の結果は、状態管理手段３に送信する。

次に、超音波センサＥＣＵ５４のマイコン１０の状態管理手段３の動作について説明する。
状態管理手段３は、起動手段１および妥当性検証手段２の結果を受けて、停止状態（スリープ状態またはシャットダウン状態）から通常動作状態に遷移するか否かを判定し、その結果、状態遷移を実施する。遷移したマイコン１０の状態は、制御処理手段４に送信する。
このとき、状態管理手段３は、起動手段１の出力のみを受けて、停止状態（スリープ状態またはシャットダウン状態）から通常動作状態への状態遷移を行うことも、起動手段１および妥当性検証手段２の両方の結果を受けて状態遷移を行うことも可能である。

次に、超音波センサＥＣＵ５４のマイコン１０の制御処理手段４の動作について説明する。
制御処理手段４は、状態管理手段３が管理するマイコンの状態に応じた処理を実行する。

次に、このような構成を持つ実施の形態１による制御システムの通常動作状態への遷移の処理について、図４のフローチャートに従って説明する。
Ｓ４０１では、レーダＥＣＵ５２とカメラＥＣＵ５３が、自車周辺に他の車両がない（Ｙｅｓ）か否（Ｎｏ）か、また他の車両があっても衝突の可能性がない位置で捉えている（Ｙｅｓ）か否（Ｎｏ）かの判断を行う。このとき、周辺検出ＥＣＵ（超音波センサＥＣＵ５４、カメラＥＣＵ５３、レーダＥＣＵ５２）は、通常動作状態で動作しているものとする。
両方の判断結果がＹｅｓとなった場合のみ、Ｙｅｓの分岐処理を実行する。

Ｓ４０２−１では、Ｓ４０１での結果がＹｅｓの場合、超音波センサＥＣＵ５４のマイコン１０を停止状態に遷移させる。
Ｓ４０２−２では、Ｓ４０１での結果がＮｏの場合、超音波センサＥＣＵ５４を含む全周辺検出ＥＣＵは、通常動作状態のままとする。近接する車両がある場合は、超音波センサＥＣＵ５４も通常動作状態のままとすることで、検出精度を維持しておく。

Ｓ４０３では、レーダＥＣＵ５２とカメラＥＣＵ５３が、自車に近接する車両がある（Ｙｅｓ）か否（Ｎｏ）かの判断を行う。近接する車両がある場合は、接触の恐れがあるかどうかを超音波センサＥＣＵ５４で即座に判断を行う必要がある。
また、カメラＥＣＵ５３で、自車周辺の他の車両が接触しないことを確認できなくなった（Ｙｅｓ）か否（Ｎｏ）かも判断を行う必要がある。
これらの判断結果の１つでもＹｅｓとなれば、Ｙｅｓの分岐処理を実行する。

Ｓ４０４では、Ｓ４０３でＹｅｓとなった場合は、自車との衝突の可能性が生じてくるため、超音波センサＥＣＵ５４を起動し、通常動作を行わせるためにカメラＥＣＵ５３またはレーダＥＣＵ５２が、超音波センサＥＣＵ５４に起動信号３１をＣＡＮ信号で送信する。

Ｓ４０５では、超音波センサＥＣＵ５４の起動手段１が、カメラＥＣＵ５３またはレーダＥＣＵ５２からのＣＡＮ信号による起動信号３１を検出し、超音波センサＥＣＵ５４のマイコン１０が起動し、起動後、起動信号３１を取得したことを状態管理手段３に送信する。

Ｓ４０６では、状態管理手段３が、起動手段１の出力結果のみを受けて、マイコン状態を停止状態から起動遷移状態に遷移させる。

Ｓ４０７では、制御処理手段４が、状態管理手段３からの状態遷移通知を受けて、起動遷移状態での制御処理であるソフトウェアモジュールの初期化を実行する。

Ｓ４０８では、状態管理手段３が、制御処理手段４からのソフトウェアモジュールの初期化完了通知（図６の通常動作準備完了）を受信したのち、マイコン状態を起動遷移状態から通常動作状態に遷移させる。

Ｓ４０９では、制御処理手段４が、状態管理手段３からの状態遷移通知を受けて、通常動作状態での制御処理である通常制御を実行開始する。

上述のようにすることで、停止状態のＥＣＵへの起動信号３１が想定されたものか否かの検証処理や認証処理を省くことができ、停止状態（スリープ状態またはシャットダウン状態）から通常動作を開始するまでの時間を短縮することができる。
つまり、突然、先行車両４２が急減速した場合や、第３の車両４３が死角などから現れた場合でも、超音波センサＥＣＵ５４が緊急的に通常動作を開始することができるため、自車と他の車両が衝突する可能性を低くできる。または、衝突被害を軽減できる。

次に、上述のような構成を持つ実施の形態１の制御システムが、通常動作後、妥当性検証を実行する処理について、図５のフローチャートを用いて説明する。
マイコン１０の妥当性検証手段２は、起動手段１の出力を受けた後、時間Ｔ_ＤＥＴ（起動時間）の計測を開始し、所定時間Ｔ_ＶＬＤ経過したかどうかを判定する機能を備えており、所定時間Ｔ_ＶＬＤ経過すると、妥当性検証手段２の処理を実行し、状態管理手段３に結果を出力する。
所定時間Ｔ_ＶＬＤは、起動信号３１の受信から、超音波センサＥＣＵ５４が通常動作状態で取得したセンサ値をＡＤＡＳ−ＥＣＵ５１に出力し、ＡＤＡＳ−ＥＣＵ５１がブレーキＥＣＵ５５およびステアリングＥＣＵ５６への動作要否を判定するまでの時間とする。

Ｓ５０１では、図４のＳ４０９以降、妥当性検証手段２において、Ｔ_ＤＥＴ＞Ｔ_ＶＬＤとなるかどうかを判定する。本条件が成立しない限り、Ｓ５０１の処理をループする。不等式が成立した（Ｙｅｓの）場合は、次のＳ５０２の処理を実行する。

Ｓ５０２では、起動信号３１があらかじめ設定された起動信号であるか否か（妥当かそうでないか）を判定するため、取得したＣＡＮ信号のＩＤを確認する。

Ｓ５０３では、Ｓ５０２で起動信号３１の妥当性を確認できた場合、さらに、起動信号３１が正当な権限を与えられた相手から取得した（認証成功）ものか否（認証失敗）かの認証を行う。具体的には、メッセージに特定ノードから送信されたことを表す識別ビットがあるかどうかを解析する。

Ｓ５０４−１では、Ｓ５０３で起動信号３１の認証が成功した場合、超音波センサＥＣＵ５４は、通常動作を継続するため、状態管理手段３は状態遷移を行わず、通常動作状態継続を指示する。

Ｓ５０５−１では、制御処理手段４が、状態管理手段３から受信した通常動作継続通知を受けて、通常制御を継続する。

Ｓ５０４−２では、Ｓ５０２で起動信号３１が妥当でない、またはＳ５０３で起動信号３１の認証失敗となった場合、状態管理手段３は、通常動作状態から停止遷移状態に遷移する。

Ｓ５０５−２では、制御処理手段４は、状態管理手段３からの状態遷移通知を受けて、実行している通常制御を停止させる。

Ｓ５０６では、状態管理手段３が、制御処理手段４からの通常制御停止通知（図６の停止準備完了）を受けて、マイコン状態を停止遷移状態から停止状態に遷移させる。

実施の形態１によれば、こうすることで、停止状態から通常動作状態へ遷移し、緊急的に通常制御を実行しつつ、超音波センサＥＣＵ５４を起動した起動信号３１が正しいか否かを判定することができる。
すなわち、起動信号３１に対する検証処理や認証処理を省くことで、シャットダウン状態やスリープ状態から通常動作を開始するまでの時間を短縮することができる。
また、超音波センサＥＣＵ５４を起動した起動信号３１が正しくない場合は、超音波センサＥＣＵ５４を停止状態に遷移させることができるため、不要な通常制御を最小限に抑えることができる。
また、起動信号３１に対する想定されたものかの検証処理や認証処理を、通常制御開始後に行うことで、誤った起動信号や不正な起動信号の介入を防ぐ効果もある。

なお、本実施の形態１においては、制御システム搭載車両４１の他に２つ車両が存在しているが、本実施の形態１の特徴を実施できるような構成であれば、存在する車両の数や位置については、この限りではない。

また、本実施の形態１においては、制御システム搭載車両４１の前方や周辺検出に使う機器をレーザレーダ、ステレオカメラ、超音波センサとしたが、車両の前方や周辺を検出できる機器であれば、この限りではない。

また、本実施の形態１においては、Ｔ_ＶＬＤの時間設定方法はこの限りでなく、通常制御を行った後、実施されるように設定するのであれば、どのような方法でも構わない。

また、本実施の形態１においては、周辺検出に関するＥＣＵについて説明を行ったが、スリープ状態（またはシャットダウン状態）から、通常動作までの時間を短くする必要があるＥＣＵであれば、この限りではない。

実施の形態２．
図７は、この発明の実施の形態２による制御システムに搭載される超音波センサＥＣＵを示す機能ブロック図である。
図７において、１〜４、１０、２１、３１、５２〜５４は図３におけるものと同一のものである。図７では、超音波センサＥＣＵ５４は、実施の形態１の機能に加えて、信号線２１を介して、レーダＥＣＵ５２またはカメラＥＣＵ５３に、スリープ状態から通常動作状態に遷移したことを示すＥＣＵ動作確認信号３２を送信するようになっている。
また、レーダＥＣＵ５２またはカメラＥＣＵ５３は、実施の形態１の機能に加えて、信号線２１を介して、超音波センサＥＣＵ５４に、通常動作状態からスリープ状態に遷移することを禁止する信号（停止状態への遷移禁止信号）を送信する機能と、所定時間内に超音波センサＥＣＵ５４から受信したＥＣＵ動作確認信号３２がセットされた回数を数える計数手段を備えている。

次に、このような構成を持つ実施の形態２の制御システムの処理について、図８のフローチャートに従って説明する。
Ｓ７０１では、レーダＥＣＵ５２やカメラＥＣＵ５３が、計数手段によりカウントした回数Ｎ_ＯＰを１インクリメントする。
なお、Ｓ７０１より前の処理は、図４におけるＳ４０７までと同様の処理であるため、その説明を省略する。

Ｓ７０２では、レーダＥＣＵ５２やカメラＥＣＵ５３において、計数手段によってカウントしたＥＣＵ動作確認信号３２の回数Ｎ_ＯＰとあらかじめ設定した回数Ｎ_ＴＨ（所定回数）とを比較し、Ｎ_ＯＰ＜Ｎ_ＴＨである（Ｙｅｓ）か否（Ｎｏ）かを判定する。Ｙｅｓの場合、Ｓ７０３の処理を実行する。Ｎｏの場合、Ｓ７０９の処理を実行する。
ここで、Ｎ_ＴＨは、自身またはその周辺に位置するＥＣＵなどが通常動作状態に発生し得るノイズなどの誤動作で起動される回数を基に決定する。仮に他のＥＣＵ異常や、起動検出に関するハードウェア故障によりノイズが増大した場合などは、誤って起動される回数が多くなるはずである。

Ｓ７０３〜Ｓ７０８は、図５のＳ５０１〜Ｓ５０６と同様の処理であるため、その説明を省略する。

Ｓ７０９では、レーダＥＣＵ５２またはカメラＥＣＵ５３が、超音波センサＥＣＵ５４に対して、これ以降、通常動作状態から停止状態に遷移することが無いように、信号線２１を介して遷移禁止指示を送信する。

Ｓ７１０では、レーダＥＣＵ５２またはカメラＥＣＵ５３から受信した指示に応じて、超音波センサＥＣＵ５４の状態管理手段３は、以降に停止状態に遷移しないようにする。

実施の形態２によれば、こうすることにより、他のＥＣＵ異常の場合や、起動信号３１を検出するためのマイコン１０外部の回路が故障している場合などに、必要なタイミングで、超音波センサＥＣＵ５４を起動することができなくなってしまうことを解決することができる。
また、誤ったタイミングで発生し得る起動信号３１により、超音波センサＥＣＵ５４がスリープ状態（またはシャットダウン状態）から通常動作状態へ遷移することも防ぐことができる。

実施の形態３．
この発明の実施の形態３における制御システムに搭載される超音波センサＥＣＵの機能ブロック図は、図３におけるものと同様である。
図９は、この発明の実施の形態３による制御システムのソフトウェアモジュールと通常動作状態の関連を示す模式図である。
図９において、実施の形態３のマイコン１０を構成するソフトウェアモジュールは、ダイアグ（故障診断など）関連、ＭＣＵ（クロックの設定など）関連、ドライバ（アナログ／デジタル入出力や通信など）関連、ＥＥＰＲＯＭ関連、通信（ネットワークマネジメント、ＰＤＵ（ＰｒｏｔｏｃｏｌＤａｔａＵｎｉｔ）の管理など）関連である。
図９では、これらと、通常動作状態での通常制御における遷移直後処理、及び妥当性検証の処理実行後に行う定常処理との関連を線で示している。

マイコン１０は、シャットダウン状態（停止状態）から通常動作状態に遷移するときに、通常動作状態で実行する処理に関係するソフトウェアモジュールを初期化する初期化処理手段（初期化手段）を備える。
一般的に、ソフトウェアモジュールを初期化しなければ、それに関係する処理は実行できない。また、本実施の形態３においては、通常動作状態における処理を２つに分割する。シャットダウン状態から起動した直後に行う遷移直後処理と、妥当性検証手段２の処理実行後に行う定常処理である。

図１１は、この発明の実施の形態３による制御システムの超音波センサＥＣＵのマイコンの状態遷移を示す図である。
図１１において、超音波センサＥＣＵ５４のマイコン１０は、少なくとも停止状態（スリープ状態またはシャットダウン状態）、通常動作状態、停止状態（スリープ状態またはシャットダウン状態）から通常動作状態に遷移する準備を行う起動遷移状態、通常動作状態から停止状態（スリープ状態またはシャットダウン状態）に遷移する準備を行う停止遷移状態の４つの状態を備えている。図１１では、停止状態、起動遷移状態、通常動作状態、停止遷移状態の各状態に、それぞれ信号を受けて遷移する様子が示されている。図６に比べ、通常動作状態から起動遷移状態への遷移も追加されている。
図１１では、実施の形態１の図６に比べ、起動遷移状態と通常動作状態の遷移条件に変更を加えている。起動遷移状態から通常動作状態への遷移条件として、遷移直後処理に関する初期化完了または定常処理に関する初期化完了が条件となる。また、通常動作状態から起動遷移状態への遷移条件は、遷移直後処理が実行完了したこと、および通常動作状態における初期化が未完了であることが条件である。

次に、遷移直後処理とソフトウェアモジュールとの関連について説明する。
超音波センサＥＣＵ５４の遷移直後処理は、超音波センサの信号をＡＤＡＳ−ＥＣＵ５１やレーダＥＣＵ５２やカメラＥＣＵ５３に、送信できるデータに変換して送信することである。
これらに必要となるソフトウェアモジュールは、超音波センサに異常がないかどうかを確認するダイアグ関連と、他のＥＣＵに起動状態を送信するための通信関連と、動作するためのクロック設定などを行うＭｃｕ関連と、超音波センサに出力するパルスを生成するタイマなどのドライバ関連である。これらのソフトウェアモジュールの初期化が必要となる。
一方、ＥＥＰＲＯＭ関連のソフトウェアモジュールは、故障発生時に書込むことが考えられるが、通常動作を行う際に、故障を確認したとしても、ＥＥＰＲＯＭにすぐ書込む必要はないため、この初期化はこの段階では必要ない。

次に、定常処理とソフトウェアモジュールとの関連について、図９を用いて説明する。
超音波センサＥＣＵ５４の定常処理は、遷移直後処理に加えて、他の処理のアイドル時間などにＥＥＰＲＯＭに書きこむ処理が追加される。これらに必要となるソフトウェアモジュールは、遷移直後処理においては必要としていなかったＥＥＰＲＯＭ関連である。つまり、定常処理において、はじめてＥＥＰＲＯＭ関連の初期化が必要となってくる。

次に、これらの機能を備えた実施の形態２の制御システムの動作について、図１０のフローチャートに従って説明する。
Ｓ９０１は図４のＳ４０５、Ｓ９０２は図４のＳ４０６とそれぞれ同様の処理であるので、その説明を省略する。
Ｓ９０１よりも前の処理は、図４のＳ４０１〜Ｓ４０４と同様の処理であるので、これもその説明を省略する。

Ｓ９０３では、制御処理手段４が備える初期化処理手段が、遷移直後処理に関するソフトウェア（ＳＷ）モジュールのみを初期化する。

Ｓ９０４では、状態管理手段３が、マイコン１０の状態を起動遷移状態から通常動作状態に遷移させる。

Ｓ９０５では、制御処理手段４が、遷移直後処理を実行する。これにより、ＡＤＡＳ−ＥＣＵ５１を含むＥＣＵに超音波センサＥＣＵ５４の情報が送信されることとなる。

Ｓ９０６は図５のＳ５０２、Ｓ９０７は図５のＳ５０３、Ｓ９０８−２は図５のＳ５０４−２、Ｓ９１０−２は図５のＳ５０６と、それぞれ同様の処理であり、その説明を省略する。

Ｓ９０８−１では、状態管理手段３が、通常動作状態から起動遷移状態に遷移させて、ソフトウェアモジュールの初期化が行えるようにする。

Ｓ９０９−１では、制御処理手段４の備える初期化処理手段が、定常処理に関するソフトウェア（ＳＷ）モジュールを初期化する。

Ｓ９１０−１では、状態管理手段３が、定常処理に関する初期化処理完了通知を受信した場合、起動遷移状態から通常動作状態に遷移させて、通常動作が実行できるようにする。

Ｓ９１１では、Ｓ９０９−１で初期化したソフトウェアモジュールに関連する定常処理を、制御処理手段４が実行する。

Ｓ９０９−２では、制御処理手段４が、実行中の遷移直後処理を停止し、処理を行わないようにし、停止できる準備を完了させる。

実施の形態３によれば、ソフトウェアモジュールを分割し、それぞれ必要なタイミングで初期化するようにしたので、停止状態から緊急的に必要とされる通常動作までの時間を短くすることができる。

なお、実施の形態３では、全ソフトウェアモジュールのうち、初期化のタイミングを変更するモジュールをＥＥＰＲＯＭ関連としたが、これに限らず、遷移直後処理から定常処理で必要なソフトウェアモジュールが追加となる場合に適用可能である。

なお、本発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。

１起動手段、２妥当性検証手段、３状態管理手段、４制御処理手段、
１０マイコン、２１信号線、３１起動信号、３２ＥＣＵ動作確認信号、
４１制御システム搭載車両、４２先行車両、４３第３の車両、
４４レーザレーダの検出範囲、４５ステレオカメラの検出範囲、
４６超音波センサの検出範囲、５１ＡＤＡＳ−ＥＣＵ、５２レーダＥＣＵ、
５３カメラＥＣＵ、５４超音波センサＥＣＵ、５５ブレーキＥＣＵ、
５６ステアリングＥＣＵ。

Claims

複数の制御装置が信号線により接続された制御システムであって、
上記複数の制御装置のうちの所定の制御装置は、
マイコンを搭載し、
上記信号線を介して送信される起動信号を検出して上記マイコンを起動する起動手段、
上記起動信号の妥当性を検証する妥当性検証手段、
上記起動信号の検出結果及び上記妥当性検証手段の検証結果のいずれか一方または両方に応じて、上記マイコンの状態を遷移させる状態管理手段、
及びこの状態管理手段による上記マイコンの状態に応じた制御処理を行う制御処理手段を有し、
上記マイコンは、上記制御処理手段による通常制御を行う通常動作状態と、制御処理を停止した停止状態と、上記停止状態から上記通常動作状態に遷移する準備を行うための起動遷移状態と、上記通常動作状態から上記停止状態に遷移する準備を行うための停止遷移状態との各状態へ遷移可能に構成され、
上記マイコンが上記停止状態にある場合で、かつ上記起動信号が検出された場合には、上記妥当性検証手段による上記起動信号の検証が行われる前に、上記状態管理手段は、上記マイコンの状態を、上記起動遷移状態を介して上記通常動作状態に遷移させ、
上記制御処理手段は、通常制御を開始することを特徴とする制御システム。
上記妥当性検証手段は、
上記起動手段から上記起動信号を受信するとともに、この受信からの時間を計測し、
計測された時間が予め決められた所定時間を超えた場合に、上記起動信号の妥当性を検証することを特徴とする請求項１に記載の制御システム。
上記状態管理手段は、
上記妥当性検証手段による上記起動信号の妥当性の検証に失敗した場合には、上記マイコンを上記停止遷移状態にして上記制御処理手段による上記通常制御を停止させた後、上記マイコンの状態を上記停止状態に遷移させることを特徴とする請求項１または請求項２に記載の制御システム。
上記所定の制御装置以外の少なくとも一つの他の制御装置は、
上記所定の制御装置が上記通常動作状態に遷移した回数を計数する計数手段を備え、
上記計数手段による計数回数が所定回数以上となった場合に、上記停止状態に遷移することなく、上記通常動作状態を継続するように上記所定の制御装置に指示し、
上記所定の制御装置は、上記指示の受信後は上記通常制御を停止しないことを特徴とする請求項１から請求項３のいずれか一項に記載の制御システム。
上記制御処理手段は、
上記制御処理に関係する複数のソフトウェアモジュールを有するとともに、
上記起動遷移状態で上記ソフトウェアモジュールを初期化処理する初期化手段を備え、
上記通常動作状態における制御処理は、上記通常動作状態への遷移直後に実行する遷移直後処理と、上記通常動作状態への遷移直後に実行しなくてもよい定常処理とにより構成され、
上記起動信号を受けて上記起動遷移状態に遷移したときは、上記遷移直後処理に関係するソフトウェアモジュールのみを初期化し、
上記通常動作状態に遷移して、上記初期化したソフトウェアモジュールにより上記遷移直後処理を実行したのち、
上記妥当性検証手段により起動信号の妥当性が検証された場合、
上記遷移直後処理に関係するソフトウェアモジュール以外のソフトウェアモジュールの初期化を実施した後に、上記定常処理を実施することを特徴とする請求項１から請求項４のいずれか一項に記載の制御システム。
上記複数の制御装置は、車両に搭載され、それぞれ、上記車両の周囲を走行する他車両の状況を監視する周辺監視手段を制御するように構成され、
上記所定の制御装置のマイコンが停止状態で、他の制御装置が上記車両の周囲を走行する他車両の状況を監視している場合において、上記他の制御装置が上記他車両の監視ができなくなった場合に、上記他の制御装置は、上記起動信号を上記所定の制御装置に送信することを特徴とする請求項１から請求項５のいずれか一項に記載の制御システム。