JP2024013979A - 電子制御装置 - Google Patents

Abstract

【課題】システム全体としての処理負荷の増大を抑えつつ、異常発生に対して適切に対処する。【解決手段】電子制御装置２～４は、複数の他の電子制御装置と接続されている。電子制御装置は、複数の他の電子制御装置のうち一つの電子制御装置を監視先として監視する監視部１４ａ～１６ａと、監視先の電子制御装置の異常発生を検知する異常発生検知部１４ｂ～１６ｂと、監視先の電子制御装置の異常発生が検知されると、所定の電子制御装置の監視先を変更する監視先変更部１４ｃ～１６ｃと、を備える。【選択図】図５

Description

本発明は、電子制御装置に関する。

例えば車両に搭載されている車両制御システムは、複数の電子制御装置が車載ネットワークを介して接続されている。例えば特許文献１には、複数の装置の中の何れかの装置の異常発生を検知すると、その異常発生した装置の処理を正常な装置が引き継いで車両制御を継続したり、フェールセーフ処理を実施したりする構成が開示されている。

特開２０１９－１２１０４３号公報

装置の異常発生を検知する構成として、２つの装置間で相互監視する構成がある。しかしながら、例えば３つの装置を監視対象とする構成に上記した２つの装置間で相互監視する構成を採用すると、第１装置と第２装置の組み合わせで相互監視し、第２装置と第３装置の組み合わせで相互監視し、第３装置と第１装置の組み合わせで相互監視することになる。そうなると、一つの装置から他の装置への監視方向が２方向になり、システム全体としての処理負荷が増大する虞がある

本発明は、上記した事情に鑑みてなされたものであり、その目的は、システム全体としての処理負荷の増大を抑えつつ、異常発生に対して適切に対処することができる電子制御装置を提供することにある。

請求項１に記載した発明によれば、監視部（１４ａ～１６ａ，３８ａ～４１ａ）は、複数の他の電子制御装置のうち一つの電子制御装置を監視先として監視する。異常発生検知部（１４ｂ～１６ｂ，３８ｂ～４１ｂ）は、監視先の電子制御装置の異常発生を検知する。監視先変更部（１４ｃ～１６ｃ，３８ｃ～４１ｃ）は、監視先の電子制御装置の異常発生が検知されると、所定の電子制御装置の監視先を変更する。

２つの電子制御装置の組み合わせで相互監視することなく、複数の電子制御装置の個々において通常時の監視方向を１方向とした場合でも、監視先の電子制御装置の異常発生を検知すると、所定の電子制御装置の監視先を変更することで、異常発生に対して適切に対処することができる。これにより、システム全体としての処理負荷の増大を抑えつつ、異常発生に対して適切に対処することができる。

第１実施形態の全体構成を示す機能ブロック図 装置Ａの異常発生時を説明する図 装置Ｂの異常発生時を説明する図 装置Ｃの異常発生時を説明する図 装置Ｃの機能ブロック図 フローチャート 第２実施形態の全体構成を示す機能ブロック図 装置Ｅの異常発生時を説明する図 装置Ｄの機能ブロック図 フローチャート フローチャート

以下、複数の実施形態について図面を参照して説明する。後続する実施形態において、先行する実施形態と共通する部分は説明を省略する。

（第１実施形態）
第１実施形態について図１から図６を参照して説明する。図１に示すように、車両制御システム１は、装置Ａ～Ｃの３個の装置２～４が相互接続されている。車両制御システム１が４個以上の装置から構成され、そのうちの３個の装置が相互接続されている場合にも適用することができる。即ち、車両制御システム１に含まれる装置の個数は３個以上の任意であり、３個の装置が相互接続される関係であれば良い。本実施形態では、装置Ａを主制御装置２とし、装置Ｂを監視装置３とし、装置Ｃを副制御装置４として説明する。

各装置２～４は、電子制御装置（以下、ＥＣＵ（Electronic Control Unit）と称する）から構成されている。各装置２～４は、それぞれ常時有効化されている常時監視ラインと、異常発生時のみ有効化される異常発生時監視ラインとを介して接続されている。主制御装置２と監視装置３とは、常時監視ライン５と異常発生時監視ライン６とを介して接続されている。監視装置３と副制御装置４とは、常時監視ライン７と異常発生時監視ライン８とを介して接続されている。副制御装置４と主制御装置２とは、常時監視ライン９と異常発生時監視ライン１０とを介して接続されている。常時監視ライン５，７，９及び異常発生時監視ライン６，８，１０は、それぞれ有線及び無線の何れであっても良い。

主制御装置２は、通常時において車両制御を実行するＥＣＵである。主制御装置２は、通常時において常時監視ライン５を介して監視装置３を監視し、監視装置３の動作状態を判定して監視装置３の異常発生を検知する。主制御装置２は、監視装置３の異常発生時において異常発生時監視ライン１０を介して副制御装置４を監視し、副制御装置４の動作状態を判定して副制御装置４の異常発生を検知する。

監視装置３は、監視機能を有するＥＣＵである。監視装置３は、通常時において常時監視ライン７を介して副制御装置４を監視し、副制御装置４の動作状態を判定して副制御装置４の異常発生を検知する。監視装置３は、副制御装置４の異常発生時において異常発生時監視ライン６を介して主制御装置２を監視し、主制御装置２の動作状態を判定して主制御装置２の異常発生を検知する。

副制御装置４は、主制御装置２の異常発生時において当該主制御装置２の代替として退避走行制御を実行するＥＣＵである。副制御装置４は、通常時において常時監視ライン９を介して主制御装置２を監視し、主制御装置２の動作状態を判定して主制御装置２の異常発生を検知する。副制御装置４は、主制御装置２の異常発生時において異常発生時監視ライン８を介して監視装置３を監視し、監視装置３の動作状態を判定して監視装置３の異常発生を検知する。

各装置２～４は、通常時において図１の時計回り方向の一つの装置を監視先として監視する。図１において常時監視ライン５，７，９の矢印は、それぞれ通常時の監視方向を示している。各装置２～４における通常時の監視方法は、監視先の装置の動作状態が正常であるか否かを判定可能であればどのような方法を用いても良く、例えば装置間での演算結果の一致確認やウォッチドッグタイマ確認等の周知の方法を採用することができる。又、各装置２～４は、詳しくは後述するように異常発生時において図１の反時計回り方向の一つの装置を監視先として監視する。図１において異常発生時監視ライン６，８，１０の矢印は、それぞれ異常発生時の監視方向を示している。各装置２～４における異常発生時の監視方法も、監視先の装置の動作状態が正常であるか否かを判定可能であれば、どのような方法を用いても良く、例えば装置間での演算結果の一致確認やウォッチドッグタイマ確認等の周知の方法を採用することができる。

各装置２～４間は、常時監視ライン５，７，９及び異常発生時監視ライン６，８，１０とは別に、異常発生の検知を示す異常発生検知や異常発生の確定を示す異常発生確定を通知するためのデータ通信線が接続されている。主制御装置２と監視装置３とは、データ通信線１１を介して接続されている。監視装置３と副制御装置４とは、データ通信線１２を介して接続されている。副制御装置４と主制御装置２とは、データ通信線１３を介して接続されている。データ通信線１１～１３も、それぞれ有線及び無線の何れであっても良い。

主制御装置２の異常発生時について図２を参照して説明する。主制御装置２において異常が発生し（ｔ１）、副制御装置４は、主制御装置２の異常発生を検知すると（ｔ２）、主制御装置２の代替として退避走行制御を実行し（ｔ３）、異常発生検知をデータ通信線１２を介して監視装置３へ通知する（ｔ４）。監視装置３は、副制御装置４から異常発生検知が通知されると、異常発生時監視ライン６を一時的に有効化し、主制御装置２の動作状態を判定して主制御装置２の異常発生を確認し、異常発生確認結果をデータ通信線１２を介して副制御装置４へ通知する。

副制御装置４は、監視装置３から異常発生確認結果が通知されると、その通知された異常発生確認結果に基づいて異常発生の確定又は未確定を選択する。副制御装置４は、監視装置３からの異常発生確認結果により主制御装置２の異常発生が監視装置３でも検知されたことを確認すると、主制御装置２の異常発生を確定する（ｔ５）。副制御装置４は、主制御装置２の異常発生を確定すると、異常発生確定をデータ通信線１２を介して監視装置３へ通知し（ｔ６）、異常発生時監視ライン８を有効化し、主制御装置２に代わって監視装置３の監視を実施する（ｔ７）。

監視装置３の異常発生時について図３を参照して説明する。監視装置３において異常が発生し（ｔ１１）、主制御装置２は、監視装置３の異常発生を検知すると（ｔ１２）、異常発生検知をデータ通信線１３を介して副制御装置４へ通知する（ｔ１３）。副制御装置４は、主制御装置２から異常発生検知が通知されると、異常発生時監視ライン８を一時的に有効化し、監視装置３の動作状態を判定して監視装置３の異常発生を確認し、異常発生確認結果をデータ通信線１３を介して主制御装置２へ通知する。

主制御装置２は、副制御装置４から異常発生確認結果が通知されると、その通知された異常発生確認結果に基づいて異常発生の確定又は未確定を選択する。主制御装置２は、副制御装置４からの異常発生確認結果により監視装置３の異常発生が副制御装置４でも検知されたことを確認すると、監視装置３の異常発生を確定する（ｔ１４）。主制御装置２は、監視装置３の異常発生を確定すると、異常発生確定をデータ通信線１３を介して副制御装置４へ通知し（ｔ１５）、異常発生時監視ライン１０を有効化し、監視装置３に代わって副制御装置４の監視を実施する（ｔ１６）。

副制御装置４の異常発生時について図４を参照して説明する。副制御装置４において異常が発生し（ｔ２１）、監視装置３は、副制御装置４の異常発生を検知すると（ｔ２２）、異常発生検知をデータ通信線１１を介して主制御装置２へ通知する（ｔ２３）。主制御装置２は、監視装置３から異常発生検知が通知されると、異常発生時監視ライン１０を一時的に有効化し、副制御装置４の動作状態を判定して副制御装置４の異常発生を確認し、異常発生確認結果をデータ通信線１１を介して監視装置３へ通知する。

監視装置３は、主制御装置２から異常発生確認結果が通知されると、その通知された異常発生確認結果に基づいて異常発生の確定又は未確定を選択する。監視装置３は、主制御装置２からの異常発生確認結果により副制御装置４の異常発生が主制御装置２でも検知されたことを確認すると、副制御装置４の異常発生を確定する（ｔ２４）。監視装置３は、副制御装置４の異常発生を確定すると、異常発生確定をデータ通信線１１を介して主制御装置２へ通知し（ｔ２５）、異常発生時監視ライン６を有効化し、副制御装置４に代わって主制御装置４の監視を実施する（ｔ２６）。

図５に示すように、各装置２～４は、それぞれ制御部１４～１６を備える。各制御部１４～１６は、それぞれＣＰＵ、ＲＯＭ、ＲＡＭ、Ｉ／Ｏ及びこれらの構成を接続するバスライン等を含むマイコンを主体として構成されている。各制御部１４～１６は、それぞれ予め記憶されているプログラムをＣＰＵで実行することによるソフトウェア処理、専用の電子回路によるハードウェア処理による制御を実行し、各装置２～４の動作を制御する。

制御部１４は、機能毎に、監視部１４ａと、異常発生検知部１４ｂと、監視先変更部１４ｃとを備える。監視部１４ａは、監視装置３を常時監視ライン５を介して監視する。異常発生検知部１４ｂは、監視装置３の動作状態を判定して監視装置３の異常発生を検知する。異常発生検知部１４ｂは、例えば主制御装置２と監視装置３との間での演算結果の不一致やウォッチドッグタイマのタイムアウト等を判定すると、監視装置３の異常発生を検知する。

監視先変更部１４ｃは、監視装置３の異常発生が異常発生検知部１４ｂにより検知されると、異常発生検知をデータ通信線１３を介して副制御装置４へ通知する。副制御装置４は、主制御装置２から異常発生検知が通知されると、異常発生時監視ライン８を一時的に有効化し、監視装置３に対する異常発生確認を実施し、異常発生確認結果をデータ通信線１３を介して主制御装置２へ通知する。監視先変更部１４ｃは、副制御装置４から異常発生確認結果が通知され、その通知された異常発生確認結果により監視装置３の異常発生を確定すると、異常発生確定をデータ通信線１３を介して副制御装置４へ通知する。監視先変更部１４ｃは、異常発生時監視ライン１０を有効化し、監視先を監視装置３から副制御装置４へ変更し、監視装置３に代わって副制御装置４の監視を実施する。

制御部１５は、機能毎に、監視部１５ａと、異常発生検知部１５ｂと、監視先変更部１５ｃとを備える。監視部１５ａは、副制御装置４を常時監視ライン７を介して監視する。異常発生検知部１５ｂは、副制御装置４の動作状態を判定して副制御装置４の異常発生を検知する。異常発生検知部１５ｂは、例えば監視装置３と副制御装置４との間での演算結果の不一致やウォッチドッグタイマのタイムアウト等を判定すると、副制御装置４の異常発生を検知する。

監視先変更部１５ｃは、副制御装置４の異常発生が異常発生検知部１５ｂにより検知されると、異常発生検知をデータ通信線１１を介して主制御装置２へ通知する。主制御装置２は、監視装置３から異常発生検知が通知されると、異常発生時監視ライン１０を一時的に有効化し、副制御装置４に対する異常発生確認を実施し、異常発生確認結果をデータ通信線１１を介して監視装置３へ通知する。監視先変更部１５ｃは、主制御装置２から異常発生確認結果が通知され、その通知された異常発生確認結果により副制御装置４の異常発生を確定すると、異常発生確定をデータ通信線１１を介して主制御装置２へ通知する。監視先変更部１５ｃは、異常発生時監視ライン６を有効化し、監視先を副制御装置４から主制御装置２へ変更し、副制御装置４に代わって主制御装置２の監視を実施する。

制御部１６は、機能毎に、監視部１６ａと、異常発生検知部１６ｂと、監視先変更部１６ｃとを備える。監視部１６ａは、主制御装置２を常時監視ライン９を介して監視する。異常発生検知部１６ｂは、主制御装置２の動作状態を判定して主制御装置２の異常発生を検知する。異常発生検知部１６ｂは、例えば副制御装置４と主制御装置２との間での演算結果の不一致やウォッチドッグタイマのタイムアウト等を判定すると、主制御装置２の異常発生を検知する。

監視先変更部１６ｃは、主制御装置２の異常発生が異常発生検知部１６ｂにより検知されると、異常発生検知をデータ通信線１２を介して監視装置３へ通知する。監視装置３は、副制御装置４から異常発生検知が通知されると、異常発生時監視ライン６を一時的に有効化し、主制御装置２に対する異常発生確認を実施し、異常発生確認結果をデータ通信線１２を介して副制御装置４へ通知する。監視先変更部１６ｃは、監視装置３から異常発生確認結果が通知され、その通知された異常発生確認結果により主制御装置２の異常発生を確定すると、異常発生確定をデータ通信線１２を介して監視装置３へ通知する。監視先変更部１６ｃは、異常発生時監視ライン８を有効化し、監視先を主制御装置２から監視装置３へ変更し、主制御装置２に代わって監視装置３の監視を実施する。

次に、上記した構成の作用について図６を参照して説明する。ここでは、副制御装置４の制御部１６が主制御装置２の異常発生を検知する場合について説明する。図４に示したように、副制御装置４が主制御装置２の異常発生を検知する場合は、通常時の監視先である主制御装置２が第２装置（第２電子制御装置に相当する）として機能し、主制御装置２の通常時の監視先である監視装置３が第１装置（第１電子制御装置に相当する）として機能する。図２に示したように、主制御装置２が監視装置３の異常発生を検知する場合については、通常時の監視先である監視装置３が第２装置として機能し、監視装置３の通常時の監視先である副制御装置４が第１装置として機能する。図３に示したように、監視装置３が副制御装置４の異常発生を検知する場合については、通常時の監視先である副制御装置４が第２装置として機能し、副制御装置４の通常時の監視先である主制御装置２が第１装置として機能する。

副制御装置４において、制御部１６は、監視中処理を所定周期で実施する。制御部１６は、監視中処理の開始条件が成立すると、監視中処理を開始し、第２装置の異常発生を検知したか否かを判定する（Ｓ１）。制御部１６は、第２装置の異常発生を検知していないと判定すると（Ｓ１：ＮＯ）、第１装置の異常発生検知が第２装置から通知されたか否かを判定する（Ｓ２）。制御部１６は、第１装置の異常発生検知が第２装置から通知されていないと判定すると（Ｓ２：ＮＯ）、第１装置の異常発生確定が第２装置から通知されたか否かを判定する（Ｓ３）。制御部１６は、第１装置の異常発生確定が第２装置から通知されていないと判定すると（Ｓ３：ＮＯ）、監視中処理を終了し、次の監視中処理の開始条件の成立を待機する。

制御部１６は、第２装置の異常発生を検知したと判定すると（Ｓ１：ＹＥＳ）、第２装置の異常発生検知を第１装置へ通知し（Ｓ４）、第１装置からの異常発生確認結果の通知を待機する（Ｓ５）。制御部１６は、第１装置から異常発生確認結果が通知されなかった、又は第１装置から異常発生確認結果が通知されたが、その通知された異常発生確認結果により第２装置の異常発生が確認されなかったと判定すると（Ｓ５：ＮＯ）、第２装置の異常発生を確定せずに監視中処理を終了し、次の監視中処理の開始条件の成立を待機する。

一方、制御部１６は、第１装置から異常発生確認結果が通知され、その通知された異常発生確認結果により第２装置の異常発生が確認されたと判定すると（Ｓ５：ＹＥＳ）、第２装置の異常発生を確定し、第２装置の異常発生確定を第１装置へ通知する（Ｓ６）。制御部１６は、該当する異常発生時監視ラインを有効化し、第１装置への監視を有効化し（Ｓ７）、監視中処理を終了し、次の監視中処理の開始条件の成立を待機する。

又、制御部１６は、第１装置の異常発生検知が第２装置から通知されたと判定すると（Ｓ２：ＹＥＳ）、該当する異常発生時監視ラインを一時的に有効化し、第１装置への監視を一時的に有効化し、第１装置の異常発生を確認し（Ｓ８）、第１装置の異常発生確認結果を第２装置へ通知する（Ｓ９）。

又、制御部１６は、第１装置の異常発生確定が第２装置から通知されたと判定すると（Ｓ３：ＹＥＳ）、第２装置からの監視状態へ移行し（Ｓ１０）、監視中処理を終了し、次の監視中処理の開始条件の成立を待機する。

以上に説明したように第１実施形態によれば、次に示す作用効果を得ることができる。副制御装置４において、主制御装置２の異常発生を検知して確定すると、副制御装置４の監視先を主制御装置２から監視装置３へ変更し、主制御装置２に代わって副制御装置４が監視装置３を監視するようにした。主制御装置２が監視装置３の異常発生を検知して確定する場合も各装置２～４の動作が入れ替わるだけで同様であり、主制御装置２において、監視装置３の異常発生を検知して確定すると、監視先を監視装置３から副制御装置４へ変更し、監視装置３に代わって副制御装置４を監視するようにした。監視装置３が副制御装置４の異常発生を検知して確定する場合も各装置２～４の動作が入れ替わるだけで同様であり、監視装置３において、副制御装置４の異常発生を検知すると、監視先を副制御装置４から主制御装置２へ変更し、副制御装置４に代わって主制御装置２を監視するようにした。

２つの装置の組み合わせで相互監視することなく、複数の装置２～４の個々において通常時の監視方向を１方向とした場合でも、監視先の装置の異常発生を検知すると、所定の装置の監視先を変更することで、異常発生に対して適切に対処することができる。これにより、システム全体としての処理負荷の増大を抑えつつ、異常発生に対して適切に対処することができる。

副制御装置４において、主制御装置２の異常発生を検知すると、異常発生の検知を示す異常発生検知を監視装置３へ通知するようにした。異常発生検知を監視装置３へ通知することで、異常発生検知の通知に応じた動作を監視装置３に実施させることができる。即ち、監視装置３において、異常発生時監視ライン６を一時的に有効化させ、異常発生時監視ライン６を介して主制御装置２を監視させ、主制御装置２の動作状態を判定させて主制御装置２の異常発生を確認させることができる。主制御装置２が異常発生検知を副制御装置４へ通知する場合、監視装置３が異常発生検知を主制御装置２へ通知する場合も同様である。

副制御装置４において、主制御装置２の異常発生を監視装置３により確認すると、主制御装置２の異常発生を確定し、異常発生の確定を示す異常発生確定を監視装置３へ通知するようにした。異常発生確定を監視装置３へ通知することで、異常発生確定の通知に応じた動作を監視装置３に実施させることができる。即ち、異常発生時監視ライン８を有効化させ、主制御装置２に代わって監視装置３を監視することができる。主制御装置２が異常発生確定を副制御装置４へ通知する場合、監視装置３が異常発生確定を主制御装置２へ通知する場合も同様である。

（第２実施形態）
第２実施形態について図７から図１１を参照して説明する。前述した第１実施形態は、装置Ａ～Ｃの３個の装置が相互接続されていたが、第２実施形態では、図７に示すように、車両制御システム２１は、装置Ｄ～Ｇの４個の装置２２～２５が相互接続されている。この場合も、車両制御システム２１が５個以上の装置から構成され、そのうちの４個の装置が相互接続されている場合にも適用することができる。本実施形態では、装置Ｄを装置２２とし、装置Ｅを装置２３とし、装置Ｆを装置２４とし、装置Ｇを装置２５として説明する。

各装置２２～２５は、それぞれ常時有効化されている常時監視ラインと、異常発生時のみ有効化される異常発生時監視ラインとを介して接続されている。即ち、装置２２と装置２３３とは、常時監視ライン２６と異常発生時監視ライン２７とを介して接続されている。装置２３と装置２４とは、常時監視ライン２８と異常発生時監視ライン２９とを介して接続されている。装置２４と装置２５とは、常時監視ライン３０と異常発生時監視ライン３１とを介して接続されている。装置２５と装置２２とは、常時監視ライン３２と異常発生時監視ライン３３とを介して接続されている。更に、装置２２と装置２４とは、異常発生時監視ライン３４，３６を介して接続されている。装置２３と装置２５とは、異常発生時監視ライン３５，３７を介して接続されている。又、各装置２２～２５間は、第１実施形態と同様に、常時監視ライン２６，２８，３０，３２及び異常発生時監視ライン２７，２９，３１，３３～３７とは別に、異常発生の検知を示す異常発生検知や異常発生の確定を示す異常発生確定を通知するためのデータ通信線（図示せず）が接続されている。

各装置２２～２５は、通常時において図７の時計回り方向の一つの装置を監視先として監視する。図７において常時監視ライン２６，２８，３０，３２の矢印は、それぞれ通常時の監視方向を示している。又、各装置２２～２５は、詳しくは後述するように異常発生時において図７の反時計回り方向の一つの装置又は対角方向の一つの装置を監視先として監視する。図７において異常発生時監視ライン２７，２９，３１，３３～３７の矢印は、それぞれ異常発生時の監視方向を示している。

装置２２は、装置２３の異常発生の検知時には、図８に示すように動作する。装置２３において異常が発生し（ｔ３１）、装置２２は、装置２３の異常発生を検知すると（ｔ３２）、異常発生検知をデータ通信線を介して装置２４，２５の両方へ通知する（ｔ３３）。装置２４，２５は、それぞれ装置２２から異常発生検知が通知されると、異常発生時監視ライン２９，３７を一時的に有効化し、装置２３の動作状態を判定して装置２３の異常発生を確認し、異常発生確認結果をデータ通信線を介して装置２２へ通知する。

装置２２は、装置２４，２５から異常発生確認結果が通知されると、その通知された異常発生確認結果に基づいて異常発生の確定又は未確定を選択する。この場合、装置２２は、異常発生確認結果の通知元が複数であるので、異常発生の確定又は未確定を以下のように選択する。

本実施形態のように４個の装置が相互接続される関係にある場合には上記したように２個の装置２４，２５から異常発生確認結果が通知されることになるので、２つの異常発生確認結果が一致する場合と一致しない場合とがあり得る。装置２２は、装置２４，２５の両方からの異常発生確認結果が異常発生の確認で一致する場合には装置２３の異常発生を確定する。装置２２は、装置２４，２５からの両方の異常発生確認結果が異常発生の未確認で一致する場合には装置２３の異常発生を確定しない。

装置２２は、装置２４，２５からの一方の異常発生確認結果が異常発生の確認を示し、他方の異常発生確認結果が異常発生の未確認を示し、２つの異常発生確認結果が異常発生の確認と未確認で一致しない場合には例えばシステムの設計事項の要件として何れかを選択する。システムの設計事項の要件として両方の異常発生の確認を要件とすれば、装置２２は、２つの異常発生確認結果が異常発生の確認と未確認で一致しない場合には装置２３の異常発生を確定しない。システムの設計事項の要件として少なくとも何れか一方だけの異常発生の確認を要件とすれば、装置２２は、２つの異常発生確認結果が異常発生の確認と未確認で一致しない場合でも装置２３の異常発生を確定する。

装置２２は、装置２４，２５からの異常発生確認結果により装置２３の異常発生を確定する（ｔ３４）。装置２２は、異常発生確定をデータ通信線を介して装置２５へ通知する（ｔ３５）。装置２５は、装置２２から異常発生確定が通知されると、異常発生時監視ライン３１を有効化し、装置２３に代わって装置２４の監視を実施する（ｔ２６）。

尚、以上は、４個の装置が相互接続される関係にあり、２つの異常発生確認結果が通知される場合を説明したが、例えば５個の装置が相互接続される関係にある場合には、３つの異常発生確認結果が通知されることになるので、システムの設計事項の要件として多数決を採用することができる。即ち、２つ以上の異常発生確認結果が異常発生の確認を示し、異常発生の確認を示す異常発生確認結果の通知数が異常発生の未確認を示す異常発生確認結果の通知を上回れば、検知対象の装置の異常発生を確定する。一方、２つ以上の異常発生確認結果が異常発生の未確認を示し、異常発生の未確認を示す異常発生確認結果の通知数が異常発生の確認を示す異常発生確認結果の通知を上回れば、検知対象の装置の異常発生を確定しない。

即ち、異常発生確認結果の通知数が奇数の場合には、システムの設計事項の要件として多数決を採用することができる。異常発生確認結果の通知数が偶数の場合には、そのうちの１つの異常発生確認結果を除外し、判定に採用する異常発生確認結果の通知数を奇数に変更した上で多数決を採用することができる。又、検知対象の装置の異常発生を確定する要件として、異常発生確認結果の通知数が奇数であるか偶数であるかに関係なく、全ての異常発生確認結果が異常発生の確認を示すことを要件としても良いし、少なくとも一つ以上の異常発生確認結果が異常発生の確認を示すことを要件としても良い。

又、判定に採用する装置の個数に制限を付与したり、各装置から通知される異常発生確認結果に優先度を付与したりしても良い。例えば異常発生確認結果の通知数が奇数であるか偶数であるかに関係なく、優先度が最上位の装置からの異常発生確認結果を採用し、他の装置からの異常発生確認結果を破棄しても良い。例えば全ての装置からの異常発生確認結果を対象として多数決を採用するのでなく、優先度が上位の幾つかの装置からの異常発生確認結果を対象として多数決を採用しても良い。

図９に示すように、各装置２２～２５は、それぞれ制御部３８～４１を備える。制御部３８～４１は、第１実施形態で説明した制御部１４～１６と同様に、機能毎に、監視部３８ａ～４１ａと、異常発生検知部３８ｂ～４１ｂと、監視先変更部３８ｃ～４１ｃとを備える。これ以降、装置２２の制御部３８について説明するが、装置２３の制御部３９、装置２４の制御部４０、装置２５の制御部４１も同等の機能を有する。

次に、上記した構成の作用について図１０から図１１を参照して説明する。ここでは、装置２２の制御部３８が装置２３の異常発生を検知する場合について説明する。図９に示したように、装置２４が装置２３の異常発生を検知する場合は、通常時の監視先である装置２３が第２装置（第２電子制御装置に相当する）として機能し、装置２３の通常時の監視先である装置２４が第１装置（第１電子制御装置に相当する）として機能し、装置２３の異常発生検知及び異常発生確定の通知先である装置２５が第３装置（第３電子制御装置に相当する）として機能する。

装置２２において、制御部３８は、監視中処理を所定周期で実施する。制御部３８は、監視中処理の開始条件が成立すると、監視中処理を開始し、第２装置の異常発生を検知したか否かを判定する（Ｓ１１）。制御部３８は、第２装置の異常発生を検知していないと判定すると（Ｓ１１：ＮＯ）、第３装置の異常発生検知が第１装置から通知されたか否かを判定する（Ｓ１２）。制御部３８は、第３装置の異常発生検知が第１装置から通知されていないと判定すると（Ｓ１２：ＮＯ）、第３装置の異常発生確定が第１装置から通知されたか否かを判定する（Ｓ１３）。制御部３８は、第３装置の異常発生確定が第１装置から通知されていないと判定すると（Ｓ１３：ＮＯ）、第１装置の異常発生検知が第２装置から通知されたか否かを判定する（Ｓ１４）。制御部３８は、第１装置の異常発生検知が第２装置から通知されていないと判定すると（Ｓ１４：ＮＯ）、第１装置の異常発生確定が第２装置から通知されたか否かを判定する（Ｓ１５）。制御部３８は、第１装置の異常発生確定が第２装置から通知されていないと判定すると（Ｓ１５：ＮＯ）、監視中処理を終了し、次の監視中処理の開始条件の成立を待機する。

制御部３８は、第２装置の異常発生を検知したと判定すると（Ｓ１１：ＹＥＳ）、第２装置の異常発生検知を第１装置及び第３装置へ通知し（Ｓ１６）、第１装置及び第３装置からの異常発生確認結果の通知を待機する（Ｓ１７）。制御部３８は、第１装置及び第３装置の少なくとも何れかから異常発生確認結果が通知されなかった、又は第１装置及び第３装置の両方から異常発生確認結果が通知されたが、その通知された異常発生確認結果により第２装置の異常発生が確認されなかったと判定すると（Ｓ１７：ＮＯ）、第２装置の異常発生を確定せずに監視中処理を終了し、次の監視中処理の開始条件の成立を待機する。

一方、制御部３８は、第１装置及び第３装置の両方から異常発生確認結果が通知され、その通知された異常発生確認結果により第３装置の異常発生が確認されたと判定すると（Ｓ１７：ＹＥＳ）、第２装置の異常発生を確定し、第２装置の異常発生確定を第３装置へ通知し（Ｓ１８）、第３装置から第１装置への監視機能を有効化し（Ｓ１９）、監視中処理を終了し、次の監視中処理の開始条件の成立を待機する。

又、制御部３８は、第３装置の異常発生検知が第１装置から通知されたと判定すると（Ｓ１２：ＹＥＳ）、該当する異常発生時監視ラインを一時的に有効化し、第３装置への監視を一時的に有効化し、第３装置の異常発生を確認し（Ｓ２０）、第３装置の異常発生確認結果を第１装置へ通知する（Ｓ２１）。制御部３８は、第３装置の異常発生確定が第１装置から通知されたと判定すると（Ｓ１３：ＹＥＳ）、第１装置からの監視状態へ移行し（Ｓ２２）、監視中処理を終了し、次の監視中処理の開始条件の成立を待機する。

又、制御部３８は、第１装置の異常発生検知が第２装置から通知されたと判定すると（Ｓ１４：ＹＥＳ）、該当する異常発生時監視ラインを一時的に有効化し、第１装置への監視を一時的に有効化し、第１装置の異常発生を確認し（Ｓ２３）、第１装置の異常発生確認結果を第２装置へ通知する（Ｓ２４）。制御部３８は、第１装置の異常発生確定が第２装置から通知されたと判定すると（Ｓ１５：ＹＥＳ）、第２装置からの監視状態へ移行し（Ｓ２５）、監視中処理を終了し、次の監視中処理の開始条件の成立を待機する。

以上に説明したように第２実施形態によれば、次に示す作用効果を得ることができる。装置２２において、装置２３の異常発生を検知して確定すると、装置２５の監視先を装置２２から装置２４へ変更し、装置２３に代わって装置２５が装置２４を監視するようにした。この場合も、２つの装置の組み合わせで相互監視することなく、複数の装置２２～２５の個々において通常時の監視方向を１方向とした場合でも、監視先の装置の異常発生を検知すると、所定の装置の監視先を変更することで、異常発生に対して適切に対処することができる。これにより、システム全体としての処理負荷の増大を抑えつつ、異常発生に対して適切に対処することができる。

装置２２が装置２３の異常発生を検知して確定する場合について説明したが、装置２３が装置２４の異常発生を検知して確定する場合、装置２４が装置２５の異常発生を検知して確定する場合、装置２５が装置２２の異常発生を検知して確定する場合も、各装置２２～２５の動作が入れ替わるだけで同様の作用効果を得ることができる。

（その他の実施形態）
本開示は、実施例に準拠して記述されたが、当該実施例や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、更には、それらに一要素のみ、それ以上、或いはそれ以下を含む他の組み合わせや形態をも、本開示の範疇や思想範囲に入るものである。

車両制御システムに含まれる複数の装置が相互監視する構成について例示したが、例えば一つの装置に含まれる複数のマイコンやＩＣが相互監視する構成に適用しても良い。又、別々の装置に含まれる複数のマイコンやＩＣが相互監視する構成に適用しても良い。例えば装置Ａに含まれるマイコンＡ、装置Ｂに含まれるマイコンＢ、装置Ｃに含まれるマイコンＣが相互監視する構成に適用しても良い。

本開示に記載の制御部及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリを構成することにより提供された専用コンピュータにより実現されても良い。或いは、本開示に記載の制御部及びその手法は、一つ以上の専用ハードウェア論理回路によりプロセッサを構成することにより提供された専用コンピュータにより実現されても良い。若しくは、本開示に記載の制御部及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリと一つ以上のハードウェア論理回路により構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより実現されても良い。又、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されていても良い。

図面中、１は車両制御システム、２は主制御装置（電子制御装置）、３は監視装置（電子制御装置）、４は副制御装置（電子制御装置）、１４～１６は制御部、１４ａ～１６ａは監視部、１４ｂ～１６ｂは異常発生検知部、１４ｃ～１６ｃは監視先変更部、２１は車両制御システム、２２～２５は装置（電子制御装置）、３８～４１は制御部、３８ａ～４１ａは監視部、３８ｂ～４１ｂは異常発生検知部、３８ｃ～４１ｃは監視先変更部である。

Claims (8)

1. 複数の他の電子制御装置と接続されている電子制御装置であって、
   前記複数の他の電子制御装置のうち一つの電子制御装置を監視先として監視する監視部（１４ａ～１６ａ，３８ａ～４１ａ）と、
   監視先の電子制御装置の異常発生を検知する異常発生検知部（１４ｂ～１６ｂ，３８ｂ～４１ｂ）と、
   監視先の電子制御装置の異常発生が検知されると、所定の電子制御装置の監視先を変更する監視先変更部（１４ｃ～１６ｃ，３８ｃ～４１ｃ）と、を備える電子制御装置。
2. 前記複数の他の電子制御装置は、第１電子制御装置と、通常時において前記第１電子制御装置を監視先として監視する第２電子制御装置とを含み、
   前記監視部は、通常時において前記第２電子制御装置を監視先として監視し、
   前記監視先変更部は、前記第２電子制御装置の異常発生が検知されると、異常発生の検知対象となった前記第２電子制御装置の通常時の監視先である前記第１電子制御装置を、電子制御装置の新たな監視先とするように変更する請求項１に記載した電子制御装置。
3. 前記監視先変更部は、前記第２電子制御装置の異常発生が検知されると、前記第２電子制御装置の異常発生の検知を示す異常発生検知を前記第１電子制御装置へ通知する請求項２に記載した電子制御装置。
4. 前記第１電子制御装置は、異常発生確定が通知されると、監視先を前記第２電子制御装置へ変更するように構成され、
   前記監視先変更部は、前記第２電子制御装置の異常発生を確定すると、前記第２電子制御装置の異常発生の確定を示す前記異常発生確定を前記第１電子制御装置へ通知する請求項２又は３に記載した電子制御装置。
5. 前記複数の他の電子制御装置は、第１電子制御装置と、通常時において前記第１電子制御装置を監視先として監視する第２電子制御装置と、１つ以上の第３電子制御装置とを含み、
   前記監視部は、通常時において前記第２電子制御装置を監視先として監視し、
   前記監視先変更部は、前記第２電子制御装置の異常発生が検知されると、異常発生の検知対象となった前記第２電子制御装置の監視先である前記第１電子制御装置を、前記第３電子制御装置の新たな監視先とするように変更する請求項１に記載した電子制御装置。
6. 前記監視先変更部は、前記第２電子制御装置の異常発生が検知されると、前記第２電子制御装置の異常発生の検知を示す異常発生検知を前記第１電子制御装置及び前記第３電子制御装置へ通知する請求項５に記載した電子制御装置。
7. 前記３電子制御装置は、異常発生確定が通知されると、監視先を前記第２電子制御装置へ変更するように構成され、
   前記監視先変更部は、前記第２電子制御装置の異常発生を確定すると、前記第２電子制御装置の異常発生の確定を示す前記異常発生確定を前記第３電子制御装置へ通知する請求項５又は６に記載した電子制御装置。
8. 前記監視先変更部は、前記第１電子制御装置及び前記第３電子制御装置から通知される２つ以上の異常発生確認結果の多数決により前記第２電子制御装置の異常発生を確定する請求項７に記載した電子制御装置。

Images