JP2018016106A - 通信ネットワーク、被監視ｅｃｕ、監視用ｅｃｕおよび車両 - Google Patents

Abstract

【課題】被監視ＥＣＵの状態を監視用ＥＣＵがより高い信頼性で監視可能な通信ネットワークを提供すること。【解決手段】本開示は、少なくとも被監視ＥＣＵおよび監視用ＥＣＵと、前記被監視ＥＣＵが制御信号を前記監視ＥＣＵに定周期送信する際に用いられる共用伝送路と、前記被監視ＥＣＵが内部状態を示す状態信号を前記監視用ＥＣＵに常時送信する際に用いられる専用伝送路と、を備えた通信ネットワークに向けられる。【選択図】図１

Description

本開示は、まず、被監視ＥＣＵが制御信号を監視用ＥＣＵに共用伝送路を介して定周期送信する通信ネットワークである。また、本開示は、共用伝送路を介して接続された被監視ＥＣＵおよび監視用ＥＣＵに関する。また、本開示は、上記のような通信ネットワーク、被監視ＥＣＵまたは監視用ＥＣＵを備えた車両に関する。

従来、上記のような監視用ＥＣＵとしては、例えば下記特許文献１に記載のように、ＣＡＮプロトコルに基づく通信メッセージが送受信されるネットワークにおいて、通信負荷の監視に要する処理負荷を少なく抑えることのできるネットワーク監視装置がある。

特開２０１４−１５５０６１号公報

しかし、ＣＡＮプロトコル等によれば、監視用ＥＣＵによる被監視ＥＣＵの状態監視は定周期通信により行われる。この場合、被監視ＥＣＵにおける異常発生から、監視用ＥＣＵが異常把握までにタイムラグが生じることが多い。

また、被監視ＥＣＵの通信インタフェイス周辺で異常が発生すると、被監視ＥＣＵとの通信が途絶してしまう。

本開示は、被監視ＥＣＵの状態を監視用ＥＣＵがより高い信頼性で監視可能な通信ネットワークを提供することを目的とする。また、本開示は、被監視ＥＣＵの状態をより高い信頼性で監視可能な監視用ＥＣＵを提供することを目的とする。また、本開示は、上記のような通信ネットワーク、被監視ＥＣＵまたは監視用ＥＣＵを備えた車両を提供することを目的とする。

本開示は、少なくとも被監視ＥＣＵおよび監視用ＥＣＵと、前記被監視ＥＣＵが制御信号を前記監視ＥＣＵに定周期送信する際に用いられる共用伝送路と、前記被監視ＥＣＵが内部状態を示す状態信号を前記監視用ＥＣＵに常時送信する際に用いられる専用伝送路と、を備えた通信ネットワークに向けられる。

本開示は他にも、監視ＥＣＵへの制御信号を共用伝送路により定周期送信可能な被監視ＥＣＵであって、自身が実行するソフトウェアおよび／または通信インタフェイスの異常を検出する異常検出回路と、前記異常検出回路が異常を検出すると、前記被監視ＥＣＵの内部状態を示す値を変更した状態信号を生成して、前記監視用ＥＣＵに常時送信する際に用いられる専用伝送路に送出する信号生成回路と、を備えた被監視ＥＣＵに向けられる。

本開示はさらに他にも、被監視ＥＣＵからの制御信号を共用伝送路により定周期受信可能な監視用ＥＣＵであって、前記被監視ＥＣＵが内部で異常を検出すると、前記被監視ＥＣＵの内部状態を示す値を変更した状態信号を、前記被監視装置が前記監視用ＥＣＵに常時送信する際に用いられる専用伝送路から受信する、少なくとも一つの受信回路と、前記受信回路で受信した状態信号の値が変わると、前記被監視ＥＣＵの内部状態に異常が生じたことを認識するコントローラと、を備えた監視用ＥＣＵに向けられる。

本開示はさらに他にも、上記通信ネットワーク、被監視ＥＣＵおよび監視用ＥＣＵのいずれか一つを備えた車両に向けられる。

本開示によれば、被監視ＥＣＵの状態を監視用ＥＣＵがより高い信頼性で監視可能な通信ネットワークを提供することが出来る。また、本開示は、被監視ＥＣＵの状態をより高い信頼性で監視可能な監視用ＥＣＵを提供することが出来る。また、本開示は、上記のような通信ネットワーク、被監視ＥＣＵまたは監視用ＥＣＵを備えた車両を提供することが出来る。

本開示の各実施形態に係る監視用ＥＣＵおよび被監視ＥＣＵを備えた通信ネットワーク、ならびにこれを備えた車両を示す図 第一実施形態の被監視ＥＣＵ（自動運転用ＥＣＵ）の詳細な構成を示す図 第一実施形態の監視用ＥＣＵの詳細な構成を示す図 第一実施形態の車両駆動用ＥＣＵの詳細な構成を示す図 第二実施形態の被監視ＥＣＵ（自動運転用ＥＣＵ）の詳細な構成を示す図 第二実施形態の監視用ＥＣＵの詳細な構成を示す図 第二実施形態の通信ネットワークにおける処理手順を示すフロー図 第二実施形態の共用伝送路および各専用伝送線路を伝送される信号を示す図 第三実施形態の被監視ＥＣＵ（自動運転用ＥＣＵ）の詳細な構成を示す図 第三実施形態の監視用ＥＣＵの詳細な構成を示す図 第三実施形態の変形例の負荷状態検出部の処理を示す図 第四実施形態の被監視ＥＣＵ（自動運転用ＥＣＵ）の詳細な構成を示す図 第四実施形態の監視用ＥＣＵの詳細な構成を示す図

以下、上記図面を参照して、本開示の通信ネットワーク、監視用ＥＣＵおよび被監視ＥＣＵ、それらを備えた車両を詳説する。

＜１．第一実施形態＞
＜１−１．通信ネットワークの概略構成＞
図１において、車両Ｖには、例えば、通信ネットワーク１のために、データ伝送用に伝送路Ｎが敷設される。この通信ネットワーク１において、伝送路Ｎには、例えば、被監視ＥＣＵの一例としての自動運転用ＥＣＵ１１と、監視用ＥＣＵ１３と、車両駆動用ＥＣＵ１５（図示は、制動系ＥＣＵのみ）と、が接続される。上記伝送路Ｎは、多くの機器（換言するとノード）により共用される。その観点で、伝送路Ｎを共用伝送路Ｎという場合がある。上記データ伝送方式としては、ＣＡＮやＦｌｅｘＲａｙが例示される。ＣＡＮは、Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋの頭字語である。

また、監視用ＥＣＵ１３は、出力装置１７とデジタル信号線等により接続される。

なお、本開示では図示・説明を省略するが、車両駆動用ＥＣＵとしては、制動系ＥＣＵ以外にも、アクセル系ＥＣＵや操舵系ＥＣＵが例示される。
また、ＥＣＵは、Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔの頭字語であって、電子制御装置とも呼ばれる。

自動運転用ＥＣＵ１１は、車載ナビゲーション装置から経路情報を受け取る。この経路情報は、車両Ｖの出発地から目的地までの経路を、リンクやノードにより表現している。このような経路上には、車両Ｖが停止すべき場所（信号がある交差点や一時停止すべき場所）が複数存在する。車両Ｖが停止すべき場所の一つが起点とされ、その次に停止すべき場所が終点とされる。自動運転用ＥＣＵ１１は、このような経路情報の起点・終点間のそれぞれについて速度プロファイル（目標車速）を導出し保持する。他にも、自動運転用ＥＣＵ１１は、路車間通信装置（図示せず）を介して、起点・終点間それぞれの速度プロファイルを遠隔のサーバ装置から取得することも可能である。

また、自動運転用ＥＣＵ１１は、車両Ｖに搭載されたカメラ、ミリ波レーダおよび超音波センサ等、各種センサ（図示せず）と接続される。自動運転用ＥＣＵ１１は、例えば、各種センサが時系列で出力する画像信号（距離画像信号を含む）に基づき、車両Ｖが走行すべきレーンにおける自車位置を維持するよう、車両Ｖの操舵角を時系列（典型的には周期的）に導出する。自動運転用ＥＣＵ１１はさらに、各種センサの出力信号に基づき、車両Ｖの周辺に存在する障害物の有無に基づき、車両Ｖの制動量を時系列で導出する。自動運転用ＥＣＵ１１は、速度プロファイルや障害物の有無に基づき、車両Ｖのアクセル開度を時系列で導出する。

自動運転用ＥＣＵ１１は、自身が導出した所定の変数を含むと共に、その変数の送信先を指定した制御信号を時系列で生成する。所定の変数がアクセル開度であれば、その送信先は、アクセル系ＥＣＵである。所定の変数が操舵角であれば、その送信先は、操舵系ＥＣＵである。所定の変数が制動量であれば、その送信先は制動系ＥＣＵである。自動運転用ＥＣＵ１１は、自身が生成した制御信号のそれぞれを伝送路Ｎに時系列で送出する。

本開示では、上記の通り、車両駆動用ＥＣＵ１５として、制動系ＥＣＵ、アクセル系ＥＣＵおよび操舵系ＥＣＵが例示される。
制動系ＥＣＵは、伝送路Ｎから、送信先に自身が指定された制御信号を受信して、受信信号に含まれる制動量に基づき、車両Ｖの制動装置を構成するアクチュエータ（バルブ、ブースタユニット、マスターシリンダ等）を制御する。

アクセル系ＥＣＵは、伝送路Ｎから、送信先に自身が指定された制御信号を受信して、受信信号に含まれるアクセル開度に基づき、車両Ｖのスロットルバルブ等のアクチュエータを制御する。

操舵系ＥＣＵは、伝送路Ｎから、送信先に自身が指定された制御信号を受信して、受信信号に含まれる操舵量に基づき、車両Ｖのステアリング機構を構成する操舵アクチュエータを制御する。

出力装置１７は、車両Ｖの運転席の周辺に設けられたディスプレイまたはスピーカである。この出力装置１７は、監視用ＥＣＵ１３からの緊急対応（詳細は後述）に応答して、運転席の着座者に車両Ｖを手動運転するよう促すメッセージをディスプレイ上に表示したり、スピーカから音声出力したりする。出力装置１７は、ディスプレイやスピーカ以外にも、緊急対応（詳細は後述）に応答して発光する発光素子でも構わない。この場合、発光素子の発光により、運転席の着座者に車両Ｖを手動運転するよう促される。

＜１−２．共用伝送路Ｎを介した状態通知・その課題＞
例えば、自動運転用ＥＣＵ１１には、図２に示すように、少なくとも一つのソフトウェア１１１が実装される。ソフトウェア１１１の実行により、自動運転用ＥＣＵ１１のマイコン１１３は、上述のような変数を導出する。また、マイコン１１３は、導出した各変数をデータフィールドに含む制御信号（データフレーム）を生成し、対応する車両駆動用ＥＣＵ１５（図１を参照）に共用伝送路Ｎを通じて定周期で送信している。

しかし、上記ソフトウェア１１１や自動運転用ＥＣＵ１１の通信インタフェイスが正常に動作しなくなることがある。そのために、自動運転用ＥＣＵ１１は、例えばウォッチドッグタイマと呼ばれる異常検出回路１１５，１１７を備えている。この異常検出回路１１５，１１７は、自動運転用ＥＣＵ１１が正常に動作している場合、ソフトウェア１１１を実行するマイコン１１３や、通信インタフェイス１１９により定期的にクリアされる。しかし、これらが異常な状態になると、異常検出回路１１５，１１７は、クリアされなくなるので、ソフトウェア１１１や通信インタフェイス１１９の異常を検出する。

ソフトウェア１１１の異常が検出されると、マイコン１１３は、上記と同様、自動運転用ＥＣＵ１１に異常が生じたことを示す情報をデータフィールドに含む制御信号を生成し、監視用ＥＣＵ１３に共用伝送路Ｎを通じて定周期で送信する。監視用ＥＣＵ１３は、このような制御信号により、自動運転用ＥＣＵ１１の異常を把握すると、例えば、車両Ｖを安全に停止させるべく制御信号を、共用伝送路Ｎを通じて各車両駆動用ＥＣＵ１５に送信する。

上記の通り、自動運転用ＥＣＵ１１は、ソフトウェア１１１の異常を定周期送信により監視用ＥＣＵ１３に通知するため、ソフトウェア１１１の異常の発生から監視用ＥＣＵ１３への通知までにタイムラグが生じる。

また、通信インタフェイス１１９自体に異常が生じた場合には、自動運転用ＥＣＵ１１のマイコン１１３は制御信号を生成はできても、監視用ＥＣＵ１３を送信できない。

＜１−３．専用伝送線路Ｌ１，Ｌ２を介した状態通知＞
上記いずれかの異常を監視用ＥＣＵ１３がいち早く把握できるように、本通信ネットワーク１は、図１に示すように、自動運転用ＥＣＵ１１と監視用ＥＣＵ１３とを個別的に接続する専用伝送線路Ｌ１と、監視用ＥＣＵ１３と各車両駆動用ＥＣＵ１５とを個別的に接続する専用伝送線路Ｌ２と、を備えている。なお、専用伝送線路Ｌ１，Ｌ２は外来ノイズに対する耐性を上げるため、差動信号線路であるとする。

また、自動運転用ＥＣＵ１１において、各異常検出回路１１５，１１７は、正常時には、Ｈｉ，Ｌｏいずれか一方のレベルを有する二値信号を状態信号の一例として継続的に出力するが、異常時には、他方のレベルを有する二値信号を状態信号の一例として継続的に出力する。

また、自動運転用ＥＣＵ１１において、差動信号生成回路１２１には、上記ＨｉレベルおよびＬｏレベルが所定周期で表れるパルス信号と、異常検出回路１１５，１１７の一方からの二値信号とが常時入力される。差動信号生成回路１２１は、入力パルス信号と入力二値信号との論理和を正相信号として、専用伝送線路Ｌ１の一方に出力する。

差動信号生成回路１２１はさらに、入力パルス信号と入力二値信号との排他的論理和を逆相信号として、専用伝送線路Ｌ１の他方に出力する。

このような構成により、自動運転用ＥＣＵ１１は、ソフトウェア１１１または通信インタフェイス１１９の異常を、異常検出回路１１５，１１７が検出すると、論理反転した差動信号を送信することにより自身の異常を即座に監視用ＥＣＵ１３に通知することが出来る。

監視用ＥＣＵ１３では、図３に示すように、差動信号受信回路１３１は、専用伝送線路Ｌ１を介して差動信号を受信した後、受信正相信号から受信逆相信号を減算して差分信号を生成する。この減算により、正相信号および逆相信号に重畳されていた外来ノイズは除去される。監視用ＥＣＵ１３において、マイコン１３３は、ソフトウェア１３５を実行して、差動信号受信回路１３１で生成された差分信号に、所定周期を超えるＨｉレベルの時間区間を検出すると、自動運転用ＥＣＵ１１に異常が発生したと判断し、同様のＨｉレベルの二値信号を差動信号生成回路１３７に出力する。

その後、差動信号生成回路１３７は、上記同様のパルス信号と、マイコン１３３からの二値信号とが常時入力される。差動信号生成回路１３７は、入力パルス信号と入力二値信号との論理和を正相信号として、専用伝送線路Ｌ２の一方に出力する。
差動信号生成回路１３７はさらに、入力パルス信号と入力二値信号との排他的論理和を逆相信号として、専用伝送線路Ｌ２の他方に出力する。

なお、差動信号生成回路１３７は、自身の異常を他のＥＣＵに伝達するために、差動信号生成回路１２１と同様に、上記パルス信号と、異常検出回路１３９，１４１の一方からの二値信号とを常時受信しても良い。ここで、異常検出回路１３９，１４１は、マイコン１３３および通信インタフェイス１４３の異常を検出する。差動信号生成回路１３７は、入力パルス信号と入力二値信号との論理和を正相信号として、専用伝送線路Ｌ１の一方に出力する。

車両駆動用ＥＣＵ１５では、図４に示すように、差動信号受信回路１５１は、専用伝送線路Ｌ２を介して、正相信号および逆相信号を受信した後、これらの差分信号を生成する。車両駆動用ＥＣＵ１５において、マイコン１５３は、ソフトウェア１５５を実行して、差動信号受信回路１５１で生成された差分信号に、所定周期を超えるＨｉレベルの時間区間を検出すると、自動運転用ＥＣＵ１１に異常が発生したと判断し、所定の緊急対応を行う。緊急対応としては下記が例示される。制動系ＥＣＵおよびアクセル系ＥＣＵは、車両Ｖが減速するように、制動装置およびスロットルバルブ等のアクチュエータ１５８を制御する。

なお、車両駆動用ＥＣＵ１５もまた、自身の異常を他のＥＣＵに伝達するために、差動信号生成回路１５７を備えていても良い。差動信号生成回路１５７は、差動信号生成回路１２１と同様に、上記パルス信号と、異常検出回路１５９，１６１の一方からの二値信号とが常時入力されても良い。ここで、異常検出回路１５９，１６１は、マイコン１５３および通信ＩＦ１６３の異常を検出する。差動信号生成回路１５７は、入力パルス信号と入力二値信号との論理和を正相信号として、差動伝送線路の一方に出力する。

また、出力装置１７は、監視用ＥＣＵ１３からデジタル信号線より別途、緊急対応の要求を受けると、運転席の着座者に車両Ｖを手動運転するよう促す。

＜１−４．専用伝送線路Ｌ１，Ｌ２を介した状態通知の作用・効果＞
上記の通り、被監視ＥＣＵとしての自動運転用ＥＣＵ１１は、図２に示すソフトウェア１１１や通信インタフェイス１１９の異常が生じるとすぐに、異常が生じたことを差動信号により差動信号線路（専用伝送線路）Ｌ１を介して監視用ＥＣＵ１３に通知することが出来る。

監視用ＥＣＵ１３では、図３に示すように、マイコン１３３は、差動信号受信回路１３１で生成された差分信号に、所定周期を超えるＨｉレベルの時間区間を検出すると、自動運転用ＥＣＵ１１に異常が発生したと判断し、同じ時間の間、Ｈｉレベルの二値信号を差動信号生成回路１３７に出力する。

車両駆動用ＥＣＵ１５では、図４に示すように、マイコン１５３は、差動信号受信回路１５１からの差分信号に、所定周期を超えるＨｉレベルの時間区間を検出すると、自動運転用ＥＣＵ１１に異常が発生したと判断し、車両Ｖを減速させるべく所定の緊急対応を行う。

上記のような専用伝送線路Ｌ１，Ｌ２を介した状態通知を通信ネットワーク１に導入することで、ＣＡＮの定周期通信で生じうるタイムラグであって、自動運転用ＥＣＵ１１における異常発生から、監視用ＥＣＵ１３が異常把握までにタイムラグを最小限とすることが出来る。

また、従来、被監視ＥＣＵ１１の通信インタフェイス１１９で異常が発生した場合には、被監視ＥＣＵ１１との通信が途絶してしまうことがあった。しかし、上記のような専用伝送線路Ｌ１，Ｌ２を介した状態通知を通信ネットワーク１に導入することで、このような異常も監視用ＥＣＵ１３は把握することが出来る。

このように、本実施形態に係る通信ネットワーク１によれば、監視用ＥＣＵ１１は、被監視ＥＣＵ１１の状態をより高い信頼性で監視可能となる。

＜１−５．付記＞
なお、上記実施形態のように、被監視ＥＣＵ１１等は、内部に異常が生じていない場合、差動伝送路Ｌ１等に常時パルス信号を送出することになる。よって、監視用ＥＣＵ１３等において、差動伝送路Ｌ１の一方および他方に生じうる天絡および地絡を検出することが出来る。

＜２．第二実施形態＞
＜２−１．被監視ＥＣＵと監視用ＥＣＵの構成・処理＞
第１−２欄で説明した異常の双方を監視用ＥＣＵ１３がいち早く把握できるように、第二実施形態に係る通信ネットワーク１は、図１に示すように、自動運転用ＥＣＵ１１と監視用ＥＣＵ１３とを個別的に接続する専用伝送線路Ｌ１と、監視用ＥＣＵ１３と各車両駆動用ＥＣＵ１５とを個別的に接続する専用伝送線路Ｌ２と、を備えている。ここで、専用伝送線路Ｌ１，Ｌ２はそれぞれ、例えば二本一対の線（以下、対線という）である。

以下、図５〜図８を参照して、第二実施形態に係る通信ネットワーク１について詳説する。

図５に示すように、本実施形態の自動運転用ＥＣＵ１１は、第一実施形態のそれと比較して、差動信号生成回路１２１の代わりに、ソフト異常パルス生成回路２１１およびハード異常パルス生成回路２１３を備える点で相違する。それ以外に両実施形態の自動運転用ＥＣＵ１１にハード構成面での相違点は無いので、図５において、図２の構成に相当するものには同一参照符号を付け、それぞれの説明を省略する。

ソフト異常パルス生成回路２１１には、第一実施形態と同様のパルス信号と、異常検出回路１１５からの二値信号とが常時入力される。ソフト異常パルス生成回路２１１は、入力パルス信号と入力二値信号との排他的論理和信号を、専用伝送線路Ｌ１の一方に出力する。この処理により、ソフトウェア１１１の動作に異常が生じた場合には、パルス操作がなされることになる（図７のステップＳ００１，Ｓ００３）。

ハード異常パルス生成回路２１３には、第一実施形態と同様のパルス信号と、異常検出回路１１７からの二値信号とが常時入力される。ハード異常パルス生成回路２１３は、入力パルス信号と入力二値信号との論理和信号を、専用伝送線路Ｌ１の他方に出力する。この処理により、通信インタフェイス１１９に異常が生じた場合には、パルス操作がなされることになる（図７のステップＳ００５，Ｓ００７）。

このような構成により、自動運転用ＥＣＵ１１は、ソフトウェア１１１および通信インタフェイス１１９の異常を即座に監視用ＥＣＵ１３に通知することが出来る。

また、図６に示すように、本実施形態の監視用ＥＣＵ１３は、第一実施形態のそれと比較すると、差動信号受信回路１３１の代わりに、ソフト異常パルス受信回路２３１およびハード異常パルス受信回路２３３を備える点で相違する。それ以外に両実施形態の監視用ＥＣＵ１３にハード構成面での相違点は無いので、図６において、図３の構成に相当するものには同一参照符号を付け、それぞれの説明を省略する。

ソフト異常パルス受信回路２３１およびハード異常パルス受信回路２３３は、専用伝送線路Ｌ１の一方および他方から排他的論理和信号および論理和信号を受信して、マイコン１３３に渡す（図７のステップＳ００９，Ｓ０１１）。

また、監視用ＥＣＵ１３には、ソフトウェア１３５の代わりに、ソフトウェア２３５が格納されている。マイコン１３３は、ソフトウェア２３５を実行して、受け取った排他的論理和信号に、ソフトウェア２３５等に予め規定されたオーバーフロー時間以上、Ｌｏレベルが続く時間区間を検出すると、自動運転用ＥＣＵ１１のソフトウェア１１１に異常が発生したと判断し、例えばＨｉレベルの二値信号を差動信号生成回路１３７に出力する（図７のステップＳ０１３）。

また、マイコン１３３は、受け取った論理和信号に、上記オーバーフロー時間以上、Ｈｉレベルが続く時間区間を検出すると、自動運転用ＥＣＵ１１の通信インタフェイス１１９に異常が発生したと判断し、例えばＨｉレベルの二値信号を差動信号生成回路１３７に出力する（図７のステップＳ０１５）。

差動信号生成回路１３７は、第一実施形態で説明した差動信号を生成して、専用伝送線路Ｌ２に出力する。上記の処理により、ソフトウェア１１１や通信インタフェイス１１９に異常が生じた場合には、パルス操作がなされることになる（図７のステップＳ０１７）。車両駆動用ＥＣＵ１５は、第一実施形態で説明した通り、監視用ＥＣＵ１３から差動信号に応答して、所定の緊急対応を行う（図７のステップＳ０１９）。

再度、図５を参照する。マイコン１３３は、緊急対応のために差動信号を専用伝送線路Ｌ２に送出した後、自動運転用ＥＣＵ１１のソフトウェア１１１に異常が発生したのか、通信インタフェイス１１９に異常が発生したのかを判断する（図７のステップＳ０２１）。

ソフトウェア異常の場合、従来と同様、ＣＡＮ等のデータ伝送方式で定義されたエラーフレームが共用伝送路Ｎを介して定周期通信で監視用ＥＣＵ１３に送信されてくる。監視用ＥＣＵ１３は、受け取ったエラーフレームを車両駆動用ＥＣＵ１５に転送する。車両駆動用ＥＣＵ１５は、エラーフレームの受信時には下記の安全制御を実施する（図７のステップＳ０２３，Ｓ０２５）。なお、この時の監視用ＥＣＵ１３および車両駆動用ＥＣＵ１５の処理は従来通りでよいため、本実施形態では詳細な説明を控える。

それに対し、マイコン１３３は、通信インタフェイス１１９の異常の場合、その旨を示し予め定められたパルスパターンを差動信号生成回路１３７に出力する。差動信号生成回路１３７は、入力パルスパターンに基づき差動信号を生成して、専用伝送線路Ｌ２に出力する。車両駆動用ＥＣＵ１５は、所定の緊急対応よりも詳細で安全な制御を行う（図７のステップＳ０２７，Ｓ０２５）。このような安全制御としては下記が例示される。制動系ＥＣＵおよびアクセル系ＥＣＵは、車両Ｖを停止させるように、制動装置およびスロットルバルブ等のアクチュエータ１５８を制御する。また、操舵系ＥＣＵは、例えば、車両Ｖを路肩に寄せるように、車両Ｖの操舵アクチュエータを制御する。

＜２−２．第二実施形態の作用・効果＞
上記の通り、被監視ＥＣＵとしての自動運転用ＥＣＵ１１は、図５に示すソフトウェア１１１や通信インタフェイス１１９の異常が生じるとすぐに、異常が生じたことを専用伝送線路Ｌ１を通じて監視用ＥＣＵ１３に通知することが出来る（図８の上下段，時刻ｔ１を参照）。

監視用ＥＣＵ１３では、図６等に示すように、マイコン１３３は、受け取った排他的論理和信号および論理和信号に、オーバーフロー時間を超えるＨｉレベル区間およびＬｏレベル区間を検出すると、自動運転用ＥＣＵ１１に異常が発生したと判断し、Ｈｉレベルの二値信号を差動信号生成回路１３７に出力する。その結果、専用伝送線路Ｌ２には、時刻ｔ１とほぼ同時期に、Ｈｉレベルの二値信号が送出される（図８の上下段，時刻ｔ１を参照）

車両駆動用ＥＣＵ１５において、マイコン１５３は、専用伝送線路Ｌ２からの差動信号に基づき自動運転用ＥＣＵ１１に異常が発生したと判断すると、車両Ｖを減速させるべく所定の緊急対応を行う（図８の時刻ｔ２）。

上記のような専用伝送線路Ｌ１，Ｌ２を介した状態通知を通信ネットワーク１に導入することで、被監視ＥＣＵ１１における異常発生から監視用ＥＣＵ１３が異常把握までにタイムラグを最小限とすることが出来る。

また、被監視ＥＣＵ１１の通信インタフェイス１１９で異常が発生した場合に関しても上記のような専用伝送線路Ｌ１，Ｌ２を介した状態通知を通信ネットワーク１に導入することで、このような異常も監視用ＥＣＵ１３は把握することが出来る。

このように、本実施形態に係る通信ネットワーク１によれば、監視用ＥＣＵ１１は、被監視ＥＣＵ１１の状態をより高い信頼性で監視可能となる。

また、本実施形態では、監視用ＥＣＵ１３は、ソフトウェア１１１の動作に異常が生じている場合等、所定のパルスパターンに基づく差動信号を専用伝送線路Ｌ２に送出することで、多様な情報（例えば、自動運転用ＥＣＵ１１の通信インタフェイス１１９に異常が生じていること）を車両駆動用ＥＣＵ１５に送ることが可能になる（図８の上段，時刻ｔ３を参照）。ソフトウェア１１１の動作に異常が生じている場合等、このようなパルスパターンに基づき、車両駆動用ＥＣＵ１５は、前述の安全制御を行う（図８の上段，時刻ｔ４を参照）

なお、自動運転用ＥＣＵ１１の通信インタフェイス１１９に異常が生じている場合等、ＣＡＮ等のデータ伝送方式で定義されたエラーフレームが共用伝送路Ｎを介して定周期通信で伝送される。車両駆動用ＥＣＵ１５は、受信したエラーフレームに基づき前述の安全制御を行う（図８の下段，時刻ｔ４を参照）。

＜３．第三実施形態＞
＜３−１．被監視ＥＣＵと監視用ＥＣＵの構成・処理＞
第三実施形態に係る通信ネットワークは、第１−２欄で説明した異常の双方を監視用ＥＣＵ１３が把握できるように、図１に示すように、自動運転用ＥＣＵ１１と監視用ＥＣＵ１３とを個別的に接続する専用伝送路（対線）Ｌ１と、監視用ＥＣＵ１３と各車両駆動用ＥＣＵ１５とを個別的に接続する専用伝送線路（対線）Ｌ２と、を備えている。

図９に示すように、本実施形態の自動運転用ＥＣＵ１１は、第一実施形態との比較において、差動信号生成回路１２１の代わりに、ソフト異常パルス合成回路３１１およびハード異常パルス生成回路３１３を備える点で相違する。それ以外に両実施形態の自動運転用ＥＣＵ１１にハード構成面での相違点は無いので、図９において、図２の構成に相当するものには同一参照符号を付け、それぞれの説明を省略する。

被監視ＥＣＵ１１はまず、少なくとも一つのソフトウェア１１１を実行する少なくとも一つのマイコン１１３を備えている。マイコン１１３は、各ソフトウェア１１１を実行することで、機能安全を監視すべき機能を実現する。このような機能安全を監視すべき機能としては、第一実施形態で挙げた車両Ｖの操舵角、アクセル開度および制動量を導出する機能が例示される。

各ソフトウェア１１１の動作は異常検出回路１１５により監視される。各異常検出回路１１５は、ソフトウェア１１１の動作に異常を検出すると、Ｈｉレベルの二値信号を出力し、そうでない場合には、Ｌｏレベルの二値信号を出力する。ここで、監視対象のソフトウェアそれぞれの処理周期や処理時間は互いに異なるため、異常検出回路１１５（即ち、ウォッチドッグタイマー）によるオーバーフロー検出時間は、異常通知のためには最短化される必要がある。従って、各異常検出回路１１５には、対応するソフトウェア１１１毎に最短となるオーバーフロー検出時間が設定されることが好ましい。この場合、異常検出回路１１５は、設定されたオーバーフロー検出時間の間に、与えられたタスクが終了している間、Ｌｏレベルの二値信号を出力するが、与えられたタスクが終了しない場合、Ｈｉレベルの二値信号に切り替えて出力する。

ソフト異常パルス合成回路３１１には、前述と同様のパルス信号と、各異常検出回路１１５からの二値信号とが常時入力される。ソフト異常パルス合成回路３１１は、信号生成回路の他の一例であり、入力パルス信号と入力二値信号のそれぞれとの排他的論理和を生成することで、入力二値信号をネゲート化する。このような排他的論理和信号は、専用伝送線路Ｌ１の一方に出力される。

前述同様、被監視ＥＣＵ１１には、共用伝送路Ｎとの通信インタフェイス１１９が備わっている。通信インタフェイス１１９は、前述の異常検出回路１１７により監視される。異常検出回路１１７は、通信インタフェイス１１９に異常を検出すると、上記と同様の二値信号を出力する。

ハード異常パルス生成回路３１３には、前述のパルス信号と、異常検出回路１１７からの二値信号とが常時入力される。ハード異常パルス生成回路３１３は、入力パルス信号と入力二値信号との論理和信号を生成して、専用伝送線路Ｌ１の他方に出力する。

被監視ＥＣＵ１１に異常が生じていない場合、所定周期のパルスを有する正相信号および逆相信号から構成される差動信号が専用伝送線路Ｌ１上を伝送されることとなる。

上記のような被監視ＥＣＵ１１に対し、監視用ＥＣＵ１３は、大略的に、ソフト異常パルス受信回路３３１と、ハード異常パルス受信回路３３３と、ソフトウェア３３５を実行するマイコン１３３と、を備えている。

ソフト異常パルス受信回路３３１およびハード異常パルス受信回路３３３は、専用伝送線路Ｌ１の一方および他方から排他的論理和信号および論理和信号を受信して、マイコン１３３に出力する。

マイコン１３３は、ソフトウェア３３５を実行することで、ソフト正常確認部３３９、負荷状態検出部３４１、ハード正常確認部３４３および判定部３４５として機能する。

ソフト正常確認部３３９は、ソフト異常受信回路３３１からの排他的論理和信号が所定周期のパルス信号である場合に、被監視ＥＣＵ１１の各ソフトウェア１１１が正常に動作していると判断する。ソフト正常確認部３３９は、正常という判断結果を得た場合、その判断結果を判定部３４５に渡し、そうでない場合には、排他的論理和信号を負荷状態検出部３４１に渡す。

負荷状態検出部３４１は、受け取った排他的論理和信号に、ソフトウェア３３５で規定したオーバーフロー時間未満のＬｏレベルの時間区間を検出すると、自動運転用ＥＣＵ１１側でのソフトウェア３３５の動作が一時的に過負荷になったことを車両駆動用ＥＣＵ１５に警告を発すると判断する。

上記に対し、負荷状態検出部３４１は、このＬｏレベル区間が、上記オーバーフロー時間以上の場合、自動運転用ＥＣＵ１１に異常が生じていることを車両駆動用ＥＣＵ１５に通知すると判断する。
負荷状態検出部３４１は、上記二種の判断結果（即ち、警告、異常）を判定部３４５に渡す。

ハード正常確認部３４３は、専用伝送線路Ｌ１の他方からの論理和信号が所定周期のパルス信号である場合に、被監視ＥＣＵ１１の通信インタフェイス１１９が正常に動作していると判断するが、そうでない場合、通信インタフェイス１１９に異常が発生したと判断する。このような判断結果（即ち、正常、異常）をハード正常確認部３４３は判定部３４５に渡す。

判定部３４５は、負荷状態検出部３４１またはハード正常確認部３４３から、異常という判断結果を受け取るとすぐに、車両駆動用ＥＣＵ１５に所定の緊急対応を行わせるために、Ｈｉレベルの二値信号を差動信号生成回路１３７に出力する。これ以降の処理・動作は、第一実施形態または第二実施形態で説明したのと同様であるため、その説明を省略する。

それに対し、判定部３４５は、負荷状態検出部３４１から、警告という判断結果を受け取った場合には、前述の通り、エラーフレームが定周期通信で監視用ＥＣＵ１３に送信されるため、例えば、監視用ＥＣＵ１３に何も通知しなくとも良いし、所定の緊急対応を行わせても良い。

＜３−２．第三実施形態の作用・効果＞
上記の通り、本実施形態に係る専用伝送線路Ｌ１，Ｌ２を用いた状態通知であっても、第１−４欄等で記載の通り、被監視ＥＣＵ１１の状態をより高い信頼性で監視可能となる。

＜３−３．変形例＞
第三実施形態では、負荷状態検出部３４１は、ソフトウェア３３５で規定されたオーバーフロー時間に基づき、自動運転用ＥＣＵ１１の負荷状態を検出していた。しかし、このような処理に代えて、負荷状態検出部３４１は、下記のような処理を行っても構わない。即ち、本変形例の負荷状態検出部３４１は、ソフト異常パルス受信回路３３１およびハード異常受信回路３３３から排他的論理和信号および論理和信号を受け取る。

ここで、ハード異常はソフト異常よりも起こりにくいので、論理和信号は、所定周期のパルス信号である可能性が高い。そこで、負荷状態検出部３４１は、周期的に、排他的論理和信号と論理和信号との排他的論理和を演算した後、演算結果のパルス幅を導出する。負荷状態検出部３４１はさらに、今回導出したパルス幅から前回導出したパルス幅を減算し、その結果得られた差分値を積算する。

この積算値は、図１１上段に示すように、自動運転用ＥＣＵ１１側のソフトウェア１１１の動作が常時正常であれば、常時ゼロである。しかし、この積算値は、自動運転用ＥＣＵ１１側のソフトウェア１１１の動作に負荷がかかり続けると増加する（図１１中段，下段を参照）。逆に、負荷が減少すると、積算値も減少する。負荷状態検出部３４１は、予め定められた閾値を積算値が超えると、その旨を判定部３４５に渡す。

判定部３４５は、積算値が閾値を超えると、車両駆動用ＥＣＵ１５に緊急対応（前述）を行わせるために、Ｈｉレベルの二値信号を差動信号生成回路１３７に出力する。これにより、図１１中段に示すように、積算値が減少すれば、監視用ＥＣＵ１３は引き続き処理を続ける。それに対し、負荷状態検出部３４１は、緊急対応後、一定時間経過してもなお積算値が閾値を超えた状態が続くと、その旨を判定部３４５に渡す。

判定部３４５は、緊急対応後も積算値が閾値を超えていると、ソフトウェア１１１に異常が生じているとして、車両駆動用ＥＣＵ１５に安全制御（前述）を行わせるために、Ｈｉレベルの二値信号を差動信号生成回路１３７に再び出力する（図１１下段を参照）。

＜４．第四実施形態＞
＜４−１．被監視ＥＣＵと監視用ＥＣＵの構成・処理＞
第四実施形態に係る通信ネットワークは、第１−２欄で説明した異常の双方を監視用ＥＣＵ１３が把握できるように、既に説明した通り、自動運転用ＥＣＵ１１と監視用ＥＣＵ１３とを個別的に接続する専用伝送路（対線）Ｌ１と、監視用ＥＣＵ１３と各車両駆動用ＥＣＵ１５とを個別的に接続する専用伝送線路（対線）Ｌ２と、を備えている。

図１２に示すように、本実施形態の自動運転用ＥＣＵ１１は、第三実施形態との比較において、異常検出回路１１５およびソフト異常パルス合成回路３１１の代わりに、ソフトウェア１１１に対応して設けられたカウンタ４１１、平均値回路４１３およびＰＷＭ信号生成回路４１５を備える点で相違する。それ以外に両実施形態の自動運転用ＥＣＵ１１にハード構成面での相違点は無いので、図１２において、図９の構成に相当するものには同一参照符号を付け、それぞれの説明を省略する。

各カウンタ４１１は、対応するソフトウェア１１１の処理周期に対する実処理時間の比率を計測する。平均値回路４１３は、全カウンタ４１１から得られる比率の平均値（以下、平均比率という）を計算する。ＰＷＭ信号生成回路４１５は、オフデューティー比が平均値回路４１３で得られた平均比率となるＰＷＭ信号を生成して、専用伝送線路Ｌ１の一方に出力する。

上記のような被監視ＥＣＵ１１に対し、監視用ＥＣＵ１３は、図１３に示すように、第三実施形態との比較において、ソフト異常パルス受信回路３３１に代えてＰＷＭ受信回路４３１を備える点と、マイコン１３３がソフトウェア３３５の代わりにソフトウェア４３３を実行する点とで異なる。それ以外に両実施形態の監視用ＥＣＵ１３にハード構成面での相違点は無いので、図１３において、図１０の構成に相当するものには同一参照符号を付け、それぞれの説明を省略する。

ＰＷＭ受信回路４３１は、専用伝送線路Ｌ１の一方からＰＷＭ信号を受信して、マイコン１３３に出力する。

マイコン１３３は、ソフトウェア４３３を実行することで、ソフト正常確認部４３５、負荷状態検出部４３７、ハード正常確認部４３９および判定部４４１として機能する。

ソフト正常確認部４３５は、ＰＷＭ受信回路４３１からのＰＷＭ信号のオフデューティー比が例えば７０％以下の数値範囲内であれば、被監視ＥＣＵ１１の各ソフトウェア１１１が正常に動作していると判断する。ソフト正常確認部４３５は、正常という判断結果を得た場合、その判断結果を判定部４４１に渡し、そうでない場合には、ＰＷＭ信号を負荷状態検出部４３７に渡す。

負荷状態検出部４３７は、受け取ったＰＷＭ信号のオフデューティー比が例えば７０％超１００％未満の数値範囲内であれば、被監視ＥＣＵ１１のいずれかのソフトウェア４３３の動作が過負荷になったとして、車両駆動用ＥＣＵ１５に警告を発すると判断する。上記に対し、負荷状態検出部４３７は、例えば１００％であれば（即ちＬｏで固定であれば）、自動運転用ＥＣＵ１１のソフトウェア４３３の動作に異常が生じていることを車両駆動用ＥＣＵ１５に通知すると判断する。負荷状態検出部４３７は、上記二種の判断結果（即ち、警告、異常）を判定部４４１に渡す。

判定部４４１は、負荷状態検出部４３７から異常という判断結果を受け取るとすぐに、車両駆動用ＥＣＵ１５に所定の緊急対応を行わせるために、Ｈｉレベルの二値信号を差動信号生成回路１３７に出力する。これ以降の処理・動作は、第一実施形態または第二実施形態で説明したのと同様であるため、その説明を省略する。

それに対し、判定部４４１は、負荷状態検出部４３７から、警告という判断結果を受け取った場合には、前述の通り、エラーフレームが定周期通信で監視用ＥＣＵ１３に送信されるため、例えば、監視用ＥＣＵ１３に何も通知しなくとも良いし、所定の緊急対応を行わせても良い。

本開示に係る通信ネットワーク、監視用ＥＣＵおよび車両は、被監視ＥＣＵの状態をより高い信頼性で監視可能であり、乗用車や商用車等に好適である。

Ｖ 車両
１ 通信ネットワーク
１１ 自動運転用ＥＣＵ
１３ 監視用ＥＣＵ
１５ 車両駆動用ＥＣＵ
Ｎ 共用伝送路
Ｌ１，Ｌ２ 専用伝送線路

Claims (8)

1. 少なくとも被監視ＥＣＵおよび監視用ＥＣＵと、
   前記被監視ＥＣＵが制御信号を前記監視ＥＣＵに定周期送信する際に用いられる共用伝送路と、
   前記被監視ＥＣＵが内部状態を示す状態信号を前記監視用ＥＣＵに常時送信する際に用いられる専用伝送路と、を備えた通信ネットワーク。
2. 監視ＥＣＵへの制御信号を共用伝送路により定周期送信可能な被監視ＥＣＵであって、
   自身が実行するソフトウェアおよび／または通信インタフェイスの異常を検出する異常検出回路と、
   前記異常検出回路が異常を検出すると、前記被監視ＥＣＵの内部状態を示す値を変更した状態信号を生成して、前記監視用ＥＣＵに常時送信する際に用いられる専用伝送路に送出する信号生成回路と、を備えた被監視ＥＣＵ。
3. 前記ソフトウェアは、マイコンにより実行されることで、機能安全の監視対象となる機能を実現し、
   前記異常検出回路は、前記ソフトウェアのオーバーフロー検出時間内にタスクが終了しない場合、前記ソフトウェアの異常を検出する、請求項２に記載の被監視ＥＣＵ。
4. 前記異常検出回路は、前記ソフトウェアの処理周期に対する実処理時間の比率を計測するカウンタであって、
   前記異常検出回路は、前記カウンタの比率を示すデューティ比のＰＷＭ信号を生成するＰＷＭ信号生成回路である、請求項２に記載の被監視ＥＣＵ。
5. 被監視ＥＣＵからの制御信号を共用伝送路により定周期受信可能な監視用ＥＣＵであって、
   前記被監視ＥＣＵが内部で異常を検出すると、前記被監視ＥＣＵの内部状態を示す値を変更した状態信号を、前記被監視装置が前記監視用ＥＣＵに常時送信する際に用いられる専用伝送路から受信する、少なくとも一つの受信回路と、
   前記受信回路で受信した状態信号の値が変わると、前記被監視ＥＣＵの内部状態に異常が生じたことを認識するコントローラと、を備えた監視用ＥＣＵ。
6. 前記受信回路で受信した状態信号の値が変わったことを示す信号を生成して、別のＥＣＵに常時送信する際に用いられる別の専用伝送路に送出する信号生成回路をさらに備えた、請求項５に記載の監視用ＥＣＵ。
7. 前記コントローラは、
   前記受信回路で受信した状態信号に基づき、前記被監視ＥＣＵで実行されるソフトウェアが正常に動作していることを確認するソフト正常確認部と、
   前記ソフトウェアが正常に動作していない時、前記ソフトウェアの動作負荷を検出する負荷状態検出部と、
   前記受信回路で受信した状態信号に基づき、前記被監視ＥＣＵの通信インタフェイスが正常に動作していることを確認するハード正常確認部と、を含む、請求項５に記載の監視用ＥＣＵ。
8. 請求項１に記載の通信ネットワーク、請求項２に記載の被監視ＥＣＵおよび請求項５に記載の監視ＥＣＵのいずれか一つを備えた車両。
   

Images