JP2022088070A - 中継装置 - Google Patents

Abstract

【課題】通信途絶が発生したりした場合でも速やかにフェイルセーフ動作が実行されるようにする。【解決手段】車載機器制御装置４００は、中央コントローラ１０から車載ネットワークＣＮを介して受信された制御信号を出力デバイス５に出力する制御部を備える。制御部は、ソフトウェア構成として、ミドルウェア層４３０と、デバイスドライバ層４４０とを備える。ミドルウェア層４３０は、特定の異常状態が検知された場合に、中央コントローラ１０からの制御信号によらずに、あらかじめ定められた特定信号を前記車載デバイスに出力する異常処理を実行する。【選択図】図３

Description

ここに開示された技術は、車両に搭載される中継装置に関する技術分野に属する。

近年では、国家的に自動運転システムの開発が進められており、車両に備えられたアクチュエータのほぼ全てが電子制御されるようになっている。これらアクチュエータの制御を行う制御装置は、ＡＵＴＯＳＡＲ（AUTomotive Open System ARchitecture）の規格に準拠するソフトウェア構造を有することが多い。

例えば、特許文献１には、ランタイム環境を介して接続された複数のＡＵＴＯＳＡＲソフトウェア要素を有するＡＵＴＯＳＡＲソフトウェアシステムに関し、ＡＵＴＯＳＡＲソフトウェア要素をバイパスする方法が開示されている。また、特許文献２には、ＡＵＴＯＳＡＲに準拠したソフトウェア構造において、通信ネットワークのデータ送信先における設定方法が示されている。

また、車載ネットワーク装置として、車両の各構成要素に対応するＥＣＵ（Electronic Control Unit）によるネットワーク構成を廃して、車両全体の動作を統括するＥＣＵを設け、車体の各所に車両全体の動作を統括するＥＵＣによりセンサやアクチュエータを制御する方法が採用され始めている。

特開２０１２－１３３７８６号公報 特開２０１７－１０５３６２号公報

しかしながら、上記の中央ＥＣＵを中心としたネットワークを構成した場合において、ネットワークの一部が失陥したときに、センサ等からの信号が中央ＥＣＵに送られなかったり、中央ＥＣＵからアクチュエータへの指令等が伝達されない恐れがある。例えば、中央ＥＣＵと、イグニッションスイッチとエンジンコントロールユニット（ＰＣＭ）を接続するネットワークの一部で通信が失陥したときに、エンジンのオフができなくなるおそれがある。

ここに開示された技術は、斯かる点に鑑みてなされたものであり、その目的とするところは、中央コントローラとハブ装置との間の通信途絶や、相対的に緊急性の高い異常検知された場合においても、速やかにフェイルセーフ動作が実行されるようにすることにある。

前記課題を解決するために、ここに開示された技術では、車載ネットワークにおいて、中央コントローラと車載デバイスとの通信を中継する中継装置を対象として、前記中央コントローラから前記車載ネットワークを介して受信された制御信号を前記車載デバイスに出力する制御部を備え、前記制御部は、ソフトウェア構成として、ハードウェア抽象化機能とこれらのデバイスドライバを含むデバイスドライバ層と、前記デバイスドライバ層の上位に設けられ、前記車載ネットワークと前記デバイスドライバ層との間を中継して相互間の通信経路を設定するミドルウェア層と、を有し、前記ミドルウェア層は、前記特定の異常状態が検知された場合に、前記中央コントローラからの制御信号によらずに、あらかじめ定められた特定信号を前記車載デバイスに出力する異常処理を実行する、とした。

この態様によると、ミドルウェア層が、特定の異常状態が検知された場合に、中央コントローラからの制御信号によらずに、あらかじめ定められた特定信号を車載デバイスに出力する異常処理を実行する。これにより、特定の異常状態が検知された場合に、自動的にフェイルセーフ動作が実行されるので、中央コントローラからの処理判断を待つことなく、ただちに出力デバイスに安全方向の動作（フェイルセーフ動作）を実行させることができる。

上記中継装置において、前記ミドルウェア層は、前記中央コントローラから一定期間自機への受信信号が受信されないタイムアウトが発生した場合に、前記特定の異常状態が検知されたとしてもよい。

これにより、車載ネットワークにおいて中央コントローラと中継装置との間の通信が失陥した場合においても、タイムアウトの発生により検知することができる。これにより、中央コントローラと中継装置との間の通信が失陥した場合でも、速やかに安全方向の動作（フェイルセーフ動作）を実行させることができる。

上記中継装置において、前記車載デバイスは、センサデバイスとアクチュエータとを含み、前記制御部は、前記センサデバイスの測定データを前記車載ネットワークに出力し、前記中央コントローラからの前記制御信号を前記アクチュエータに出力し、前記ミドルウェア層は、前記センサデバイスから所定の閾値を逸脱する測定値が入力された場合に、特定の異常状態が検知されたとしてもよい。

これにより、中央コントローラの処理に基づくことなくセンサデバイスでの異常検知に基づく安全方向の動作（フェイルセーフ動作）を実行させることができる。

以上説明したように、ここに開示された技術によると、車載ネットワークの一部途絶のように異常状態が検知された場合に、速やかに安全方向の動作を実行させることができる。

車両制御システムの構成例を示す図である。 中央コントローラの構成例を示すブロック図である。 実施形態の車載機器制御装置の構成例を示す図である。 実施形態の車載機器制御装置の構成例を示す図である。

以下、例示的な実施形態について、図面を参照しながら詳細に説明する。

＜車両制御システム＞
図１は車両制御システムの構成例を示す図である。

車両制御システムでは、車両全体の動作を統括する中央コントローラ１０を中心とした車内のネットワーク（以下、車載ネットワークＣＮという）が構成されている。車載ネットワークＣＮの通信方式は特に限定されないが、例えば、ＣＡＮ（Controller Area Network）やイーサネット（登録商標）の通信のプロトコルに準拠したネットワークで構成される。

車両制御システムでは、例えば、車両１を複数のゾーンに分け、各ゾーンにセンサやアクチュエータ等の電子機器（以下、車載機器２０ともいう）を接続するためのハブ装置３０が設けられている。ハブ装置３０は、車載ネットワークＣＮを介して伝送される情報を中継する機能を有する。

図１の例では、ハブ装置３０として、車両１のフロント位置にフロントハブ装置３１、車両の両サイドのドア付近にそれぞれサイドハブ装置３２を配置した例を示す。中央コントローラ１０とフロントハブ装置３１とは、車載ネットワークＣＮを構成する通信ケーブルＣＮ１で接続される。中央コントローラ１０と車両右サイドのサイドハブ装置３２とは、車載ネットワークＣＮを構成する通信ケーブルＣＮ２で接続される。中央コントローラ１０と車両左サイドのサイドハブ装置３２とは、車載ネットワークＣＮを構成する通信ケーブルＣＮ３で接続される。

－車載機器－
車載機器２０は、センサデバイス及び信号受信デバイスを含む入力デバイスと、アクチュエータを含む出力デバイスとを含む。本開示の対象となる入力デバイスおよび出力デバイスは、車両に搭載されうるデバイスであれば、特に限定されない。

具体的な図示は省略するが、入力デバイスは、例えば、車内外環境を撮影するためのカメラ、車外の障害物等を検知するための複数のレーダ、ＧＰＳ（Global Positioning System：）を利用した車両位置センサ、車速センサ、加速度センサ、ヨーレートセンサ等の車両の挙動を検出する車両状態センサ、車両１の乗員の状態を取得する乗員状態センサ、運転者の運転操作を検出する運転操作センサ、キーレスセンサ、人感センサ等を含む。また、入力デバイスは、乗員による操作を検出するスイッチを含む。スイッチは、例えば、乗員が電動ドアを開閉するためのドア開閉スイッチ、電動パワーウィンドウを動作させるためのパワーウィンドウの開閉スイッチ、ウォッシャーレベルスイッチ、フードスイッチ等を含む。

具体的な図示は省略するが、アクチュエータは、駆動系のアクチュエータ、操舵系のアクチュエータ、制動系のアクチュエータなどを含む。駆動系のアクチュエータの例としては、エンジン、トランスミッション、モータが挙げられる。制動系のアクチュエータの例としては、ブレーキが挙げられる。操舵系のアクチュエータの例としては、ステアリングが挙げられる。また、アクチュエータは、例えば、サイドドアをロックするためのドアロック装置、電動でドアを開閉させるドア開閉装置、電動パワーウィンドウを開閉させるウィンドウ開閉装置、前照灯等の点灯を制御する点灯制御装置、エアバック装置、音響装置等を含む。

図１では、入力デバイス４として、フロントハブ装置３１にイグニッションスイッチ４１が接続され、各サイドハブ装置３２に電動パワーウィンドウの開閉スイッチ４２及び電動パワーウィンドウの挟み込みを検知する挟み込み検知部４３が接続された例を示す。挟み込み検知部４３は、センサデバイスの一例である。

また、図１では、出力デバイスとして、フロントハブ装置３１にエンジンコントロールユニット５１（以下、ＰＣＭ５１という）が接続され、各サイドハブ装置３２にウィンドウ開閉装置５３が接続された例を示す。ウィンドウ開閉装置５３は、アクチュエータの一例である。

－中央コントローラ－
図２に示すように、中央コントローラ１０は、ＣＰＵ１００と、メモリ１６０と、接続部１７０とを備える。中央コントローラ１０は、単一のＩＣ（Integrated Circuit）により構成されてもよいし、複数のＩＣにより構成されてもよい。

前述のとおり、中央コントローラ１０は、中継装置としてのハブ装置３０を介して車載機器２０に接続される。なお、中央コントローラ１０に接続されるハブ装置３０の数は特に限定されない。また、中央コントローラ１０と車載機器２０との間に複数のハブ装置３０が介在してもよい。すなわち、中央コントローラ１０と車載機器２０が複数のハブ装置３０を介して接続されてもよい。

〔ＣＰＵ〕
ＣＰＵ１００は、メモリ１６０からプログラムを読み出して実行することにより各種の処理をおこなう。具体的には、例えば、センサ等の入力デバイスで取得されたり、検出されたデータを読み取ったり、諸機能を実現するために各種の演算処理を行ったり、アクチュエータを制御するための制御信号を生成して出力する。ＣＰＵ１００は、マイクロコンピュータ（いわゆるマイコン）で実現されていてもよいし、ＳｏＣ（System-on-Chip）で実現されてもよい。

（ハードウェア）
ＣＰＵ１００は、ハードウェアの構成として、メモリ１６０に格納されたプログラムにしたがって各種の演算処理を実行する演算処理部を備える。

接続部１７０は、複数の通信ポート（図示省略）を有し、前述の車載ネットワークＣＮを構成する通信ケーブルＣＮ１～ＣＮ３が接続可能に構成されている。接続部１７０は、ゾーンＥＣＵ４０との双方向通信のためのフロントエンド回路としての機能を有し、例えば、アナログ／デジタル変換回路やドライバ回路／レシーバ回路等が内蔵される。

（ソフトウェア）
ＣＰＵ１００は、ソフトウェアの構成として、最上位のアプリケーション層１１０と、アプリケーション層１１０の下位にあるランタイム環境１４０と、ランタイム環境１４０の下位にあるデバイスドライバ層１５０とを有する。

ＣＰＵ１００は、いわゆるＡＵＴＯＳＡＲに準拠したソフトウェア構造を採用してもよい。この場合、アプリケーション層１１０は、ＡＵＴＯＳＡＲのアプリケーション層に対応し、例えば、１または複数のＳＷＣ（Software Component）モジュールで構成される。ランタイム環境１４０は、ＡＵＴＯＳＡＲのＲＴＥに相当する。そして、デバイスドライバ層１５０は、ＡＵＴＯＳＡＲのＣｏｍｐｌｅｘ Ｄｒｉｖｅｒ及びＭＣＡＬ（Microcontroller Abstraction Layer）を含むＢＳＷ（Basic Software）に相当する。

《アプリケーション層》
アプリケーション層１１０は、車載機器２０に対する諸機能を実現するためのアプリケーションが実装されている。アプリケーションは、車外環境認識モジュール１１３と、運転操作認識モジュール１１４と、車両挙動推定モジュール１１５と、入力操作認識モジュール１１６と、周辺機器制御モジュール１１７と、走行制御モジュール１２０とを含む。

車外環境認識モジュール１１３は、カメラ、レーダ、位置センサ、車外通信部、及び、車両挙動推定モジュール１１５等の出力に基づいて、車両の外部環境を認識する。運転操作認識モジュール１１４は、運転操作センサの出力に基づいて車両に加えられる運転操作を認識する。車両挙動推定モジュール１１５は、車両状態センサの出力に基づいて車両の挙動（例えば速度や加速度やヨーレートなど）を推定する。

走行制御モジュール１２０は、車外環境認識モジュール１１３、運転操作認識モジュール１１４及び車両挙動推定モジュール１１５等の出力に基づいて、走行制御にかかわる出力デバイス５を制御するための制御信号を出力する。具体的に、走行制御モジュール１２０は、車両１の走行先となる目標経路を生成し、その目標経路に基づいて目標運動を決定し、目標運動を達成するための駆動力と制動力と操舵量である目標駆動力と目標制動力と目標操舵量をそれぞれ導出する。さらに、走行制御モジュール１２０は、決定された目標運動に基づいてアクチュエータを制御するための制御信号を生成して、ランタイム環境１４０に出力する。具体的に、走行制御モジュール１２０は、駆動系のアクチュエータに送信するための目標駆動力を示す駆動指令値、制動系のアクチュエータに送信するための目標制動力を示す制動指令値、及び、操舵系のアクチュエータに送信するための操目標操舵量を示す操舵指令値を生成し、ランタイム環境１４０に出力する。

《ランタイム環境》
ランタイム環境１４０は、アプリケーション層１１０とデバイスドライバ層１５０に実装されたソフトウェアとを抽象化して接続するように構成される。ランタイム環境１４０は、周知構成のものを用いることができる。

《デバイスドライバ層》
デバイスドライバ層１５０には、例えば、オペレーティングシステムや、デバイスドライバが実装される。デバイスドライバは、車載ネットワークＣＮＷの通信プロトコルに準拠した通信ドライバ（図示省略）を含む。例えば、車載ネットワークＣＮがＣＡＮに準拠したネットワークの場合、通信ドライバとしてＣＡＮドライバを設ける。デバイスドライバ層１５０に実装されるソフトウェアは、周知構成のものを用いることができる。

〔メモリ〕
メモリ１６０は、記憶領域として、ＣＰＵ１００を動作させるためのプログラムが記憶されたコード領域と、ＣＰＵ１００での処理結果等のデータを記憶する書き換え可能なデータ領域とを備える。具体的に、コード領域には、前述のアプリケーション、ランタイム環境１４０、オペレーティングシステム及びデバイスドライバを動作させるためのプログラムが格納されている。

－車載機器制御装置－
車載機器制御装置４００は、１または複数のハブ装置３０に搭載される。すなわち、車載機器制御装置４００は、すべてのハブ装置３０に搭載されてもよいし、一部のハブ装置３０に搭載されてもよい。

図３及び図４は、車載機器制御装置４００の構成例を示すブロック図である。車載機器制御装置４００は、例えば、ＣＰＵ４５０（プロセッサ）とメモリ４６０とにより構成される。本実施形態では、図３の車載機器制御装置４００はフロントハブ装置３１に搭載され、図４の車載機器制御装置４００はサイドハブ３２に搭載されているものとする。なお、以下の説明において、図３及び図４において、共通の構成について共通の符号を付しており、重複する説明や個別の説明を省略する場合がある。

〔ＣＰＵ〕
図３及び図４に共通して、ＣＰＵ４５０は、メモリ４６０からプログラム４６２を読み出して実行することにより各種の処理をおこなう。具体的に、ＣＰＵ４５０は、例えば、入力デバイス４からの入力データ（例えば、センサデバイスで検出された検出データ）を読み取って中央コントローラ１０に送信したり、中央コントローラ１０からの信号を受信して出力デバイス５（例えば、アクチュエータ）を制御するための制御信号を生成して出力する。ＣＰＵ４５０は、制御部の一例である。なお、ＣＰＵ４５０の具体的な態様は、特に限定されない。例えば、マイクロコンピュータ（いわゆるマイコン）で実現されていてもよいし、ＳｏＣ（System-on-Chip）で実現されてもよい。

《ハードウェア》
図３及び図４に共通して、ＣＰＵ４５０は、ハードウェアの構成として、メモリ４６０に格納されたプログラムにしたがって各種の演算処理を実行する演算処理部と、ペリフェラル機能ユニット４８０とを備える。ここでいうペリフェラルとは、中央コントローラ１０及び／またはハブ装置３０と組み合わせて利用される車載機器２０を指すものとする。

ペリフェラル機能ユニット４８０は、ペリフェラル、すなわち、車載機器２０を機能させるための１または複数のペリフェラル機能部４８１を備える。

ペリフェラル機能部４８１には、例えば、アナログデジタルコンバータ４８１ａ（以下、ＡＤＣ４８１ａという）、デジタル入力部４８１ｂ、デジタル出力部４８１ｃ及びＰＷＭ制御部４８１ｄが含まれる。なお、ペリフェラル機能部４８１として、上記の４８１ａ～４８１ｄの一部が搭載されてもよいし、他の構成が含まれていてもよい。なお、以下において、ＡＤＣ４８１ａ、デジタル入力部４８１ｂ、デジタル出力部４８１ｃ及びＰＷＭ制御部４８１ｄの各ペリフェラル機能を特に区別しないで説明する場合、単にペリフェラル機能部４８１と記載する。

ペリフェラル機能部４８１は、それぞれ、複数のチャネルを有する。各チャネルには、車載機器２０の入出力部（例えば、Ｉ／Ｏ接続用のコネクタ）が接続できるように構成されている。図３では、上記チャネルとして、ＡＤＣ４８１ａに入力用のチャネルＣＨａ１，ＣＨａ２、デジタル入力部４８１ｂに入力用のチャネルＣＨｂ１，ＣＨｂ２、デジタル出力部４８１ｃに出力用のチャネルＣＨｃ１，ＣＨｃ２、及び、ＰＷＭ制御部４８１ｄに出力用のチャネルＣＨｃ１，ＣＨｃ２がそれぞれ設けられている例を示している。なお、チャネル数は、２つに限定されず、３つ以上であってもよい。また、単一のペリフェラル機能部４８１に、入力用及び出力用の両方のチャネルが設けられていてもよい。

《ソフトウェア》
図３及び図４に共通して、ＣＰＵ４５０は、ソフトウェアの構成として、ミドルウェア層４３０と、デバイスドライバ層４４０とを有する。なお、本開示の技術は、アプリケーション層がなくても動作が可能であるため、図３及び図４ではアプリケーション層を省いた構成としている。ただし、アプリケーション層を設けてもかまわない。

例えば、ＣＰＵ４５０は、いわゆるＡＵＴＯＳＡＲに準拠したソフトウェア構造を採用してもよい。この場合、デバイスドライバ層４４０及びミドルウェア層４３０は、ＡＵＴＯＳＡＲのＢＳＷ（Basic Software）に相当し、デバイスドライバ層４４０はＡＵＴＯＳＡＲのＭＣＡＬ（Microcontroller Abstraction Layer）に相当する。ミドルウェア層をＣｏｍｐｌｅｘ Ｄｒｉｖｅｒとして実装してもよい。なお、ＣＰＵ４５０にアプリケーション層を実装する場合、例えば、ＡＵＴＯＳＡＲのアプリケーション層に対応させた１または複数のＳＷＣ（Software Component）モジュール構成が採用できる。

デバイスドライバ層４４０には、ミドルウェア層４３０で処理されるソフトウェアのコマンドをハードウェア用のコマンドに変換するデバイスドライバユニット４４１が実装される。

デバイスドライバユニット４４１には、ペリフェラル機能ユニット４８０に含まれるペリフェラル機能部４８１毎のデバイスドライバが実装される。前述のとおり、図３及び図４の例では、ペリフェラル機能部４８１として、ＡＤＣ４８１ａ、デジタル入力部４８１ｂ、デジタル出力部４８１ｃ及びＰＷＭ制御部４８１ｄが含まれる。そこで、デバイスドライバユニット４４１には、ＡＤＣ４８１ａのためのデバイスドライバであるＡＤＣドライバ４４１ａと、デジタル入力部４８１ｂ及びデジタル出力部４８１ｃのためのデバイスドライバであるＤＩＯドライバ４４１ｂと、及びＰＷＭ制御部４８１ｄのためのデバイスドライバであるＰＷＭドライバ４４１ｄとが含まれる。すなわち、ＡＤＣドライバ４４１ａはＡＤＣ４８１ａに接続され、ＤＩＯドライバ４４１ｂはデジタル入力部４８１ｂ及びデジタル出力部４８１ｃに接続され、ＰＷＭドライバ４４１ｄはＰＷＭ制御部４８１ｄに接続される。

また、デバイスドライバユニット４４１には、車載ネットワークＣＮと接続するための通信ドライバ４４１ｅが含まれる。通信ドライバ４４１ｅは、車載ネットワークＣＮの通信プロトコルに準拠したものとなる。例えば、車載ネットワークがＣＡＮの場合、通信ドライバ４４１ｅとしてＣＡＮドライバを設ける。なお、本開示の技術が適用できる車載ネットワークの通信プロトコルは、ＣＡＮに限定されず、例えば、イーサネット等の他の通信プロトコルであってもよい。

デバイスドライバは、ハードウェア依存性のあるソフトウェアである。一般的に、デバイスドライバ層４４０には、ハードウェアに依存しないソフトウェア（例えば、オペレーティングシステム等）も実装されるが、本願発明との関連性が低いので、本実施形態では、図示及び説明を省略している。

ミドルウェア層４３０は、上位側に設けられた（例えば、アプリケーション層がある場合、そのアプリケーション層と接続するための）１または複数の第１通信パケット４３１と、デバイスドライバとデータをやり取りするための１または複数の第２通信パケット４３２と、車載ネットワークＣＮとデータをやり取りするための外部通信パケット４３３と含むルーティングモジュール４３４が実装される。

ここでは、第１通信パケット４３１として、ＩＯ＿１，ＩＯ＿２，…ＩＯ＿Ｘ（Ｘは自然数）が実装されている例を示す。また、第２通信パケット４３２として、（１）ＡＤＣドライバ４４１ａとデータをやり取りするためのＡＤＣ＿１，ＡＤＣ＿２，…ＡＤＣ＿Ｌ（Ｌは自然数）、（２）ＤＩＯドライバ４４１ｂとデータをやり取りするためのＤＩ＿１，ＤＩ＿２，…ＤＩ＿Ｍ（Ｍは自然数）及びＤＯ＿１，ＤＯ＿２，…ＤＯ＿Ｎ（Ｎは自然数）、（３）ＰＷＭドライバ４４１ｄとデータをやり取りするためのＰＷＭ＿１，ＰＷＭ＿２，…ＰＷＮ＿Ｑ（Ｑは自然数）が実装されている。外部通信パケット４３３として、ＳＩＧ＿Ａ，ＳＩＧ＿Ｂ，ＳＩＧ＿Ｃが実装されている。なお、以下の説明では、便宜上、外部通信パケットＳＩＧ＿Ａ，ＳＩＧ＿Ｂ，ＳＩＧ＿Ｃをまとめて、外部通信パケット４３３という場合がある。

ここで、外部通信パケット４３３は、車載ネットワークＣＮにデータを転送するために、車載ネットワークＣＮに適合するようなパケット構成になっている。例えば、車載ネットワークＣＮがＣＡＮの場合、外部通信パケット４３３は、通信ドライバ４４１ｅを介して、中央コントローラ１０や他のハブ装置３０との間で、ＣＡＮ通信プロトコルに準拠した通信ができるように構成されている。より具体的には、外部通信パケット４３３には、例えば、ＣＡＮ通信の「標準フォーマット」または「拡張フォーマット」のデータフレームを作成するために、入力デバイス４から取得したデータのサイズ調整処理や、形式変換等のデータ加工処理が施されて格納される。また、外部通信パケット４３３では、ＣＡＮバスを介して信号を受信した場合に、そのデータフレームから、出力デバイス５を動作させるために必要な情報を取り出すデータ取得処理をして、第１通信パケット４３１に伝送する。上記のサイズ調整処理、データ加工処理及び／又はデータ取得処理は、それぞれ、例えば、後述するコード領域４６１で定義されていてもよいし、後述するデータ領域４６５において、書き換え可能な形式等で保存されていてもよい。

また、具体的に図示はしないが、以下の接続関係がある。

通信パケットＡＤＣ＿１はＡＤＣ４８１ａのチャネルＣＨａ１に、通信パケットＡＤＣ＿２はＡＤＣ４８１ａのチャネルＣＨａ２にそれぞれ接続される。通信パケットＤＩ＿１はデジタル入力部４８１ｂのチャネルＣＨｂ１に、通信パケットＤＩ＿２はデジタル入力部４８１ｂのチャネルＣＨｂ２にそれぞれ接続される。通信パケットＤＯ＿１はデジタル出力部４８１ｃのチャネルＣＨｃ１に、通信パケットＤＯ＿２はデジタル出力部４８１ｃのチャネルＣＨｃ２にそれぞれ接続される。通信パケットＰＷＭ＿１はＰＷＭ制御部４８１ｄのチャネルＣＨｄ１に、通信パケットＰＷＭ＿２はＰＷＭ制御部４８１ｄのチャネルＣＨｄ２にそれぞれ接続される。

ルーティングモジュール４３４は、マッピングモジュールに基づいて、ルーティングモジュール４３４内の通信パケット同士の通信経路を生成する。個別の通信経路の生成例については、後ほど説明する。

なお、図示しないが、アプリケーション層を設ける場合に、そのアプリケーション層とルーティングモジュール４３４との間に、ランタイム環境（ＲＴＥ）が実装されていてもよい。ランタイム環境は、アプリケーション層とデバイスドライバ層４４０に実装されたソフトウェアとを抽象化して接続するように構成される。

〔メモリ〕
図３及び図４に共通して、メモリ４６０は、記憶領域として、ＣＰＵ４５０を動作させるためのプログラム４６２が記憶されたコード領域４６１と、ＣＰＵ４５０での処理結果及びマッピングモジュール４６６及び判定モジュール４６８等のデータが記憶された書き換え可能なデータ領域４６５とを備える。

《コード領域》
コード領域４６１には、例えば、車載機器制御装置４００の設計段階において、あらかじめ作成されたプログラム４６２がコンパイルされて実装されている。例えば、図３のコード領域４６１には、フロントハブ装置３１におけるルーティングモジュール４３４の基本的な枠組みや、デバイスドライバユニット４４１の各ドライバを構成するプログラム４６２が格納されている。同様に、例えば、図４のコード領域４６１には、サイドハブ装置３２におけるルーティングモジュール４３４の基本的な枠組みや、デバイスドライバユニット４４１の各ドライバを構成するプログラム４６２が格納されている。なお、ハブ装置３０にアプリケーション層を設ける場合、コード領域４６１には、そのアプリケーション層のアプリケーションを動作させるためのプログラムが格納される。

《データ領域》
前述のとおり、データ領域４６５には、マッピングモジュール４６６及び判定モジュール４６８を含むデータが格納されている。

マッピングモジュール４６６は、第１通信パケット４３１、第２通信パケット４３２及び／又は外部通信パケット４３３の相互間の接続関係を規定するモジュールである。

マッピングモジュール４６６は、特定の異常状態が確認されていない通常動作（以下「通常動作」という）中の処理（以下「通常処理」という）として、入力デバイス４から第２通信パケット４３２介して入力された入力データを、外部通信パケット４３３を介して通信ドライバ４４１ｅに出力する。また、中継処理において、中央コントローラ１０や他のハブ装置３０から外部通信パケット４３３を介して受信した受信データを、第２通信パケット４３２を介して、その受信データで制御する出力デバイス５が接続されたデバイスドライバユニット４４１に出力する。

一方で、マッピングモジュール４６６は、特定の異常状態が発見された場合における処理（以下「異常処理」という）として、あらかじめ定められた特定信号を、その特定信号での制御対象となる出力デバイス５が接続されたデバイスドライバユニット４４１に出力する。この異常処理は、中央コントローラ１０や他のハブ装置３０からの受信データの有無にかかわらず実行される。

なお、特定の異常状態の内容については、特に限定されない。例えば、特定の異常状態として、中央コントローラ１０からハブ装置３０までの通信経路が途絶されるといったように、中央コントローラ１０との間で何らかの通信異常が発生することが例示される。また、入力デバイス４からの入力データが特定の閾値をオーバーするというように、入力デバイス４からの入力データに基づいて特定の異常状態が発見される場合がある。

〔車載機器制御装置の動作例（１）〕
次に、図３を用いて、車載機器制御装置４００の動作の一例を説明する。前述のとおり、図３の車載機器制御装置４００はフロントハブ装置３１に搭載されているものとする。

なお、本動作例において、フロントハブ装置３１の外部通信パケット４３３は、車載ネットワークＣＮを介して、中央コントローラ１０との間で通信パケットを送受信できるように構成されている。

ここで、フロントハブ装置３１では、所定の一定期間に中央コントローラ１０から特定の受信信号が受信されない、いわゆるタイムアウト時に、外部通信パケットＳＩＧ＿Ｃにタイムアウト値として、オン制御信号及びオフ制御信号と異なる値（例えば、「２」）が設定されるものとする。

なお、外部通信パケット４３３を用いた双方向通信（相互間のデータの送受信）については、周知技術が適用できる。具体的に、例えば、車載ネットワークをＣＡＮ通信とする場合、（１）データの有無にかかわらず通信パケットを周期的に送信すること、または、（２）所定のトリガに応じて通信パケットを送信することが行われる。外部通信パケット４３３は、上記（１），（２）の両方に対応することができ、そのようなパケット通信に対応可能な構成になっている。

まず、図３のフロントハブ装置３１において、イグニッションスイッチ４１がオン／オフされた際の処理について説明する。なお、イグニッションスイッチ４１がオンされると中央コントローラ１０から「１（オン制御信号）」が入力され、イグニッションスイッチ４１がオフされると中央コントローラ１０から「０（オフ制御信号）」が入力されるものとする。

通常動作において、運転者によってイグニッションスイッチ４１がオン操作されたとする。そうすると、フロントハブ装置３１では、そのオン操作信号が、デジタル入力部４８１ｂを介してＤＩＯドライバ４４１ｂに入力され、通信パケットＤＩ＿１としてルーティングモジュール４３４に送信される。

そうすると、マッピングモジュール４６６が適用され、通信パケットＩＯ＿１を介して外部通信パケットＳＩＧ＿Ａに送信される。外部通信パケットＳＩＧ＿Ａは、通信ドライバ４４１ｅを介して中央コントローラ１０の接続部１７０に送信される。

中央コントローラ１０において、フロントハブ装置３１からイグニッションスイッチ４１のオン操作信号が受信されると、入力操作認識モジュール１１６に入力される。中央コントローラ１０では、オン操作信号が示す操作情報に基づいて、ＰＣＭ５１をオン制御するためのオン制御信号を通信ケーブルＣＮ１に出力する。

フロントハブ装置３１において、ＰＣＭ５１のオン制御信号が受信されると、そのオン制御信号は、通信ドライバ４４１ｅを介して通信パケットＳＩＧ＿Ｃに格納され、マッピングモジュール４６６が適用される。ここで、前述のとおり、オン制御信号として「１」が入力されるので、異常判定モジュールでは「ＴＲＵＥ」判定となる。そうすると、通信パケットＳＩＧ＿Ｃは通信パケットＩＯ＿３を介して通信パケットＤＯ＿１に送信される。その後、通信パケットＤＯ＿１は、ＤＩＯドライバ４４１ｂ及びデジタル出力部４８１ｃのチャネルＣＨｃ１を介して、ＰＣＭ５１に出力される。ＰＣＭ５１では、オン制御信号が受信されると、エンジンの始動処理が実行される。

イグニッションスイッチ４１のオフ制御の場合についても、上記のイグニッションスイッチ４１のオン制御の場合と同様の処理が実行される。具体的に、イグニッションスイッチ４１がオフ操作されると、オン操作の場合と同様にして、フロントハブ装置３１から中央コントローラ１０にオフ操作信号が送信される。中央コントローラ１０では、オフ操作信号を受信すると、ＰＣＭ５１をオン制御するためのオフ制御信号を通信ケーブルＣＮ１に出力する。フロントハブ装置３１では、前述のとおり、オフ制御信号として「０」が入力されので、異常判定モジュールでは「ＴＲＵＥ」判定となる。そうすると、外部通信パケットＳＩＧ＿Ｃは通信パケットＩＯ＿３を介して通信パケットＤＯ＿１に送信され、ＰＣＭ５１に出力される。ＰＣＭ５１では、オフ制御信号が受信されると、エンジンの停止処理が実行される。

このように、通常動作では、フロントハブ装置３１に接続されたイグニッションスイッチ４１のオン／オフ操作信号が、中央コントローラ１０に送信され、中央コントローラ１０の制御に基づいてエンジンの始動／停止処理が実行される。

ここで、特定の異常状態として、エンジンの動作中に、中央コントローラ１０とフロントハブ装置３１との間を接続する通信ケーブルＣＮ１が途絶したものとする。そうすると、イグニッションスイッチ４１のオフ操作信号が中央コントローラ１０に送信されなくなる。そして、所定の時間が経過してタイムアウトになると、外部通信パケットＳＩＧ＿Ｃに、タイムアウト値「２」が設定される。

そうすると、異常判定モジュールにおいて、「ＦＡＵＬＴ」判定となり、中央コントローラ１０からの制御信号によらずに、すなわち、中央コントローラ１０からの制御信号の入力なしに、オフ制御信号を示すフェイルセーフ値としての「０」（エンジン停止指示信号）が外部通信パケットＳＩＧ＿Ｃに設定される。この外部通信パケットＳＩＧ＿Ｃは、通信パケットＩＯ＿３を介して通信パケットＤＯ＿１に送信され、ＰＣＭ５１に出力される。そして、ＰＣＭ５１では、中央コントローラ１０からオフ制御信号が受信された場合と同様に、エンジンの停止処理が実行される。

以上のように、本実施形態によると、中央コントローラ１０とハブ装置３０との間において、通信途絶が発生した場合においても、中央コントローラ１０の処理に基づくことなく異常検知（ここでは、タイムアウト）に基づくフェイルセーフ動作が実行されるようになっている。これにより、中央コントローラ１０とハブ装置３０との間の通信や、ハブ装置３０間の通信が途絶した場合でも、速やかに安全方向の動作が実行され、主要機能が喪失されるのを防ぐことができる。さらに、データ領域の変更のみでフェイルセーフ処理が設定できるようにしているので、ソフトウェアの設計工程及び検証工程を簡素化することができ、ソフトウェアの開発工数を大幅に低減することができる。

〔車載機器制御装置の動作例（２）〕
次に、図４を用いて、車載機器制御装置４００の動作の他の例を説明する。前述のとおり、図４の車載機器制御装置４００はサイドハブ装置３２に搭載されているものとする。

なお、本動作例において、サイドハブ装置３２の外部通信パケット４３３は、車載ネットワークＣＮを介して、中央コントローラ１０との間で通信パケットを送受信できるように構成されている。

まず、図４のサイドハブ装置３２において、電動ウィンドウの開閉スイッチ４２が操作された際の処理について説明する。なお、開閉スイッチ４２の操作に応じて、中央コントローラ１０からウィンドウ開閉装置５３の開閉制御信号が入力されるものとする。また、ここでは、初期状態として、電動ウィンドウは開状態にあるものとする。

通常動作において、運転者によって開閉スイッチ４２の閉操作がされたとする。そうすると、サイドハブ装置３２では、その閉操作信号がデジタル入力部４８１ｂを介してＤＩＯドライバ４４１ｂに入力され、通信パケットＤＩ＿２としてルーティングモジュール４３４に送信される。

そうすると、マッピングモジュール４６６が適用され、通信パケットＩＯ＿２を介して外部通信パケットＳＩＧ＿Ｂに送信される。外部通信パケットＳＩＧ＿Ｂは、通信ドライバ４４１ｅを介して中央コントローラ１０の接続部１７０に送信される。

中央コントローラ１０において、サイドハブ装置３２から電動ウィンドウの閉操作信号が受信されると、入力操作認識モジュール１１６に入力される。中央コントローラ１０では、閉操作信号が示す操作情報に基づいて、電動ウィンドウを閉制御するための閉制御信号を通信ケーブルＣＮ１に出力する。

サイドハブ装置３２において、電動ウィンドウの閉制御信号が受信されると、その閉制御信号は、通信ドライバ４４１ｅを介して外部通信パケットＳＩＧ＿Ｃに格納され、マッピングモジュール４６６が適用される。ここでは、異常判定がされていない、すなわち異常判定モジュールで「ＴＲＵＥ」判定となり、外部通信パケットＳＩＧ＿Ｃは通信パケットＩＯ＿３を介して通信パケットＤＯ＿１に送信される。その後、通信パケットＤＯ＿１は、ＤＩＯドライバ４４１ｂ及びデジタル出力部４８１ｃのチャネルＣＨｃ１を介して、ウィンドウ開閉装置５３に出力される。ウィンドウ開閉装置５３では、閉制御信号が受信されると、電動ウィンドウの閉動作処理が実行される。

挟み込み検知部４３では、電動ウィンドウの開閉動作に伴う電動ウィンドウへの挟み込みがないかどうかを検知している。挟み込み検知部４３での検知結果は、ＡＤＣ４８１ａを介してＡＤＣドライバ４４１ａに入力され、通信パケットＡＤＣ＿１としてルーティングモジュール４３４に送信される。

そうすると、マッピングモジュール４６６が適用され、通信パケットＩＯ＿１を介して外部通信パケットＳＩＧ＿Ａに送信される。外部通信パケットＳＩＧ＿Ａは、通信ドライバ４４１ｅを介して中央コントローラ１０の接続部１７０に送信される。

ここで、挟み込み検知部４３での検知データに異常があった場合のように、人の安全にかかわるような相対的に優先度の高い特定の異常状態が検知された場合を想定する。このような場合に、中央コントローラ１０に検知データを送信し、中央コントローラ１０内で判定して、その判定結果に基づく制御信号を受信してから制御をするというのでは、処理が間に合わない場合がある。

そこで、本実施形態では、特定の異常状態が検知された場合として、例えば、あらかじめ設定された特定のセンサデバイスから所定の閾値を逸脱する測定値が入力された場合に、特定の異常状態が検知されたとして、中央コントローラ１０からの制御信号によらずに、あらかじめ定められた特定信号を車載機器２０に出力する異常処理を実行するようにしている。

例えば、ウィンドウ開閉装置５３が中央コントローラ１０からの制御を受けて、電動ウィンドウを閉動作させている途中で、挟み込み検知部４３から所定の閾値ＰＴＨを超える値が検知される、すなわち、挟み込みが検知されたとする。

そうすると、異常判定モジュールにおいて、「ＦＡＵＬＴ」判定となり、中央コントローラからの制御信号によらずに、電動ウィンドウのフェイルセーフ設定としての「開制御指示」を示す「ＯＰＥＮ」がＳＩＧ＿Ｃに設定される。この外部通信パケットＳＩＧ＿Ｃは、通信パケットＩＯ＿３を介して通信パケットＤＯ＿１に送信され、ウィンドウ開閉装置５３に出力される。そして、ウィンドウ開閉装置５３では、中央コントローラ１０から電動ウィンドウの開制御信号が受信された場合と同様に、電動ウィンドウの開動作処理が実行される。

以上のように、本実施形態によると、ハブ装置３０に接続されたアクチュエータにおいて、中央コントローラ１０の処理に基づくことなく異常検知（ここでは、挟み込み）に基づく安全方向の動作（フェイルセーフ動作）が実行されるようになっている。これにより、センサデバイスからの入力データを中央コントローラ１０で判断して処理を行うのでは間に合わないような処理についても、所定のフェイルセーフ動作を実行させることができる。すなわち、電動ウィンドウの挟み込みに対して、ウィンドウを開操作させるという安全方向の動作を速やかに実行させることができる。さらに、データ領域の変更のみでフェイルセーフ処理が設定できるようにしているので、ソフトウェアの設計工程及び検証工程を簡素化することができ、ソフトウェアの開発工数を大幅に低減することができる。

ここに開示された技術は、前述の実施形態に限られるものではなく、請求の範囲の主旨を逸脱しない範囲で代用が可能である。また、前述の実施形態は単なる例示に過ぎず、本開示の範囲を限定的に解釈してはならない。本開示の範囲は請求の範囲によって定義され、請求の範囲の均等範囲に属する変形や変更は、全て本開示の範囲内のものである。

例えば、車載機器制御装置の動作例（２）では、異常判定モジュールは、単一のセンサデバイスからの入力情報に基づいて単一のアクチュエータについてのフェイルセーフ処理を行うようにしたが、これに限定されない。例えば、複数のセンサデバイスからの入力情報に基づいて、単一または複数のアクチュエータのフェイルセーフ処理を実行させるようにしてもよい。

ここに開示された技術は、中央コントローラを主導にした車両制御を構成する場合において非常に有用である。

２０ 車載機器（車載デバイス）
３０ ハブ装置（制御部）
４００ 車載機器制御装置（中継装置）
４３０ ミドルウェア層
４４０ デバイスドライバ層
ＣＮ 車載ネットワーク

Claims (3)

1. 車載ネットワークにおいて、中央コントローラと車載デバイスとの通信を中継する中継装置であって、
   前記中央コントローラから前記車載ネットワークを介して受信された制御信号を前記車載デバイスに出力する制御部を備え、
   前記制御部は、ソフトウェア構成として、
   ハードウェア抽象化機能とこれらのデバイスドライバを含むデバイスドライバ層と、
   前記デバイスドライバ層の上位に設けられ、前記車載ネットワークと前記デバイスドライバ層との間を中継して相互間の通信経路を設定するミドルウェア層と、を有し、
   前記ミドルウェア層は、
   特定の異常状態が検知された場合に、前記中央コントローラから受信される制御信号によらずに、あらかじめ定められた特定信号を前記車載デバイスに出力する異常処理を実行する、ことを特徴とする中継装置。
2. 請求項１に記載の中継装置において、
   前記ミドルウェア層は、前記中央コントローラから一定期間自機への受信信号が受信されないタイムアウトが発生した場合に、前記特定の異常状態が検知されたとする、ことを特徴とする中継装置。
3. 請求項１に記載の中継装置において、
   前記車載デバイスは、センサデバイスとアクチュエータとを含み、
   前記制御部は、前記センサデバイスの測定データを前記車載ネットワークに出力し、前記中央コントローラからの前記制御信号を前記アクチュエータに出力し、
   前記ミドルウェア層は、前記センサデバイスから所定の閾値を逸脱する測定値が入力された場合に、前記特定の異常状態が検知されたとする、ことを特徴とする中継装置。

Images