JP2024066187A - Ｓｄｎネットワークシステム、及びｓｄｎサブコントローラ - Google Patents

Abstract

【課題】ＳＤＮコントローラが異常状態であることを信頼度高く判定する。【解決手段】ステップＳ７１では、ＳＤＮコントローラは、生存通知処理を実行する。生存通知処理では、ＳＤＮコントローラは、ＳＤＮサブコントローラへ第１生存通知Ｓ１を送信する。生存通知処理では、ＳＤＮコントローラは、ＳＤＮスイッチへ第２生存通知Ｓ２を送信する。ステップＳ９３では、ＳＤＮスイッチは、切り替え要求処理を行う。切り替え要求処理では、ＳＤＮスイッチは、第１規定期間に第２生存通知Ｓ２を受信できないことを条件として、ＳＤＮサブコントローラへ、通信設定の制御主体の切り替えを要求することを示す切り替え要求Ｄ１を送信する。ステップＳ８４では、ＳＤＮサブコントローラは、第１規定期間に第１生存通知を受信できないこと、及び切り替え要求Ｄ１を受信したことを条件として、通信設定の制御を開始する切り替え処理を実行する。【選択図】図４

Description

本発明は、ＳＤＮネットワークシステム、及びＳＤＮサブコントローラに関する。

特許文献１には、ネットワークの通信設定を変更可能な、ＳＤＮ（Ｓｏｆｔｗａｒｅ Ｄｅｆｉｎｅｄ Ｎｅｔｗｏｒｋ）ネットワークシステムが記載されている。ＳＤＮネットワークシステムは、複数のＳＤＮスイッチと、各ＳＤＮスイッチの設定を変更するＳＤＮコントローラと、を備えている。

特開２０１７－１６９０４４号公報

特許文献１に記載のＳＤＮネットワークシステムでは、ＳＤＮコントローラが異常状態となることで、ＳＤＮネットワークシステムの通信ができなくなる虞がある。そこで、ＳＤＮコントローラの異常状態を信頼度高く判定できる技術が求められる。

上記課題を解決するため、本発明の一態様は、ＳＤＮスイッチと、前記ＳＤＮスイッチの通信設定を制御するＳＤＮコントローラと、前記ＳＤＮスイッチの前記通信設定を制御可能なＳＤＮサブコントローラと、を備える車両のＳＤＮネットワークシステムであって、前記ＳＤＮコントローラは、前記ＳＤＮスイッチ及び前記ＳＤＮサブコントローラへ、自身が正常に機能していることを示す生存通知を送信する生存通知処理を実行し、前記ＳＤＮスイッチは、予め定められた規定期間に前記生存通知を受信できないことを条件として、前記ＳＤＮサブコントローラへ、前記通信設定の制御主体の切り替えを要求することを示す切り替え要求を送信する切り替え要求処理を実行し、前記ＳＤＮサブコントローラは、前記規定期間に前記生存通知を受信できないこと、及び前記切り替え要求を受信したことを条件として、前記通信設定の制御を開始する切り替え処理を実行するＳＤＮネットワークシステムである。

上記課題を解決するため、本発明の一態様は、ＳＤＮスイッチの通信設定を制御するＳＤＮコントローラに代わって、前記ＳＤＮスイッチの前記通信設定を制御可能なＳＤＮサブコントローラであって、前記ＳＤＮコントローラから自身が正常であることを示す生存通知を受信できないこと、及び前記ＳＤＮスイッチから前記通信設定の制御主体の切り替えを要求することを示す切り替え要求を受信したことを条件として、前記通信設定の制御を開始する切り替え処理を実行するＳＤＮサブコントローラである。

上記各構成によれば、ＳＤＮサブコントローラは、ＳＤＮコントローラが異常状態となったことを、ＳＤＮスイッチとの通信及びＳＤＮコントローラとの通信の両者によって把握している。よって、ＳＤＮコントローラが異常状態であることを信頼度高く判定できる。そして、ＳＤＮコントローラが異常状態となったとしても、ＳＤＮサブコントローラによって、ＳＤＮスイッチの通信設定を制御できる。

図１は、通信システムを示す概略図である。 図２は、車両制御装置を示す概略図である。 図３は、ＯＴＡによる更新プログラムの一連の処理の流れを示す図である。 図４は、制御主体の切り替えのための一連の処理の流れを示す図である。 図５は、制御主体の切り替えのための信号の流れを示す図である。

（一実施形態）
以下、ＳＤＮネットワークシステムの一実施形態について、説明する。以下では、ＳＤＮネットワークシステムを有する車両とサーバとを含んだ通信システムについて、図面を参照して説明する。

＜通信システムの概要＞
図１に示すように、通信システム１０は、複数の車両２０と、サーバ３０と、を備えている。各車両２０は、車両制御装置２１と、通信装置２２と、操作端末２３と、を有している。車両制御装置２１は、車両２０の各装置を制御する。車両制御装置２１の詳細については、後述する。

通信装置２２は、サーバ３０と、外部通信回線網４０を介して接続している。外部通信回線網４０は、例えば携帯電話回線網などの無線通信回線網である。そのため、車両２０とサーバ３０とは、外部通信回線網４０を介して、互いに情報通信が可能である。

操作端末２３は、車両２０のユーザによって操作される端末である。操作端末２３は、例えば、タッチディスプレイである。操作端末２３は、車両制御装置２１から入力された情報を示す画像を表示する。また、操作端末２３は、ユーザによって操作されることによって示される情報を車両制御装置２１へ入力する。

図示は省略するが、サーバ３０は、ＣＰＵとＲＯＭとを有している。サーバ３０のＣＰＵは、ＲＯＭに記憶されたプログラムを実行する。これにより、サーバ３０は、車両２０に向けて、キャンペーン情報及び配信パッケージを送信する。

＜車両制御装置の概要＞
図２に示すように、車両制御装置２１は、マスタＥＣＵ２１Ａと、複数の物理ＥＣＵ２１Ｂと、を備えている。そして、マスタＥＣＵ２１Ａと各物理ＥＣＵ２１Ｂとは、通信回線によって接続されている。図示は省略するが、マスタＥＣＵ２１Ａ及び各物理ＥＣＵ２１Ｂは、いずれもＣＰＵとＲＯＭとを有している。そして、これらのＥＣＵは、ＲＯＭに記憶されたプログラムを実行する。物理ＥＣＵ２１Ｂは、各物理ＥＣＵ２１Ｂに接続されているハード機器を制御する。ハード機器は、例えば、エンジン、ブレーキ、モータ、などである。

マスタＥＣＵ２１Ａは、ＳＤＮネットワークシステム５０を有している。ＳＤＮネットワークシステム５０は、ＳＤＮコントローラ５１と、ＳＤＮサブコントローラ５２と、複数のＳＤＮスイッチ５３と、を備えている。

ＳＤＮコントローラ５１は、各ＳＤＮスイッチ５３の通信設定を制御する。具体的には、ＳＤＮコントローラ５１は、ＳＤＮネットワークシステム５０のネットワーク上での、データ通信経路を定めている。ＳＤＮコントローラ５１は、例えば新たな物理ＥＣＵ２１Ｂが接続されたときなどに、改めてデータ通信経路を定める。つまり、ＳＤＮコントローラ５１は、通信設定を動的に制御する。また、ＳＤＮコントローラ５１は、データ通信経路を示す経路情報等を各ＳＤＮスイッチ５３へ送信する。これにより、ＳＤＮコントローラ５１は、各ＳＤＮスイッチ５３の通信設定を一元的に管理する。また、ＳＤＮコントローラ５１は、ＳＤＮスイッチ５３が転送すべきデータを送信する。

ＳＤＮサブコントローラ５２は、ＳＤＮコントローラ５１と同じように、各ＳＤＮスイッチ５３の通信設定を制御可能である。そして、ＳＤＮサブコントローラ５２は、ＳＤＮコントローラ５１の代わりにＳＤＮネットワークシステム５０のネットワーク上での、データ通信経路を制御可能である。なお、ＳＤＮサブコントローラ５２は、ＳＤＮコントローラ５１と同種の装置であってもよいし、通信設定の制御機能に加えて他の機能を持つ装置であってもよい。

ＳＤＮスイッチ５３は、ＳＤＮネットワークシステム５０のネットワーク上でデータ転送を行う。具体的には、ＳＤＮコントローラ５１から受信した経路情報に基づいて、自身のフローテーブル内に記憶したデータ転送のためのルールを更新する。そして、ＳＤＮスイッチ５３は、更新したルールに基づいて、ＳＤＮコントローラ５１から受信したデータを、適切な物理ＥＣＵ２１Ｂに転送する。

また、ＳＤＮコントローラ５１は、車両２０の外部のサーバ３０から更新ソフトウェアをダウンロードするダウンロード処理を実行可能である。そして、ＳＤＮコントローラ５１は、ダウンロード処理でダウンロードした更新ソフトウェアをインストール及びアクティベートする。これら一連の処理により、ＳＤＮコントローラ５１は、新たな更新ソフトウェアを実行可能となる。

＜ＯＴＡについての一連の処理について＞
サーバ３０は、車両２０の通信装置２２へキャンペーン情報を送信する。車両２０の通信装置２２がキャンペーン情報を受信すると、通信装置２２は、キャンペーン情報を車両制御装置２１に出力する。車両制御装置２１は、キャンペーン情報が入力されると、ＯＴＡ（Ｏｖｅｒ Ｔｈｅ Ａｉｒ）による更新プログラムを実行する。なお、キャンペーン情報は、市場の車両２０に対してソフトウェア更新を行うイベントを示す情報である。

図３に示すように、車両制御装置２１は、ＯＴＡによる更新プログラムの一連の処理を開始すると、先ず、ステップＳ１１の処理を行う。ステップＳ１１では、車両制御装置２１は、車両２０のユーザに対して、更新ソフトウェアのインストールの承認を要求する。具体的には、車両制御装置２１は、操作端末２３に、インストールをしてもよいか否かを示すインストール承諾メッセージを出力する。インストール承諾メッセージは、例えば、「新しいソフトウェアを適用しますか？」というメッセージである。その後、車両制御装置２１は、処理をステップＳ１２へ進める。

一方で、操作端末２３は、車両制御装置２１からインストール承諾メッセージが入力された後、ユーザによって承諾を示す操作がされると、インストール承諾処理プログラムを実行する。操作端末２３は、インストール承諾処理プログラムを開始すると、ステップＳ３０を行う。ステップＳ３０では、操作端末２３は、インストール承諾処理を実行する。インストール承諾処理では、操作端末２３は、車両制御装置２１へユーザの承諾を示す情報を出力する。これにより、操作端末２３は、インストール承諾処理プログラムを終了する。

ステップＳ１２では、車両制御装置２１は、承諾されたか否かを判定する。車両制御装置２１は、操作端末２３からユーザの承諾を示す情報が入力されたか否かによって、承諾されたか否かを判定する。操作端末２３からユーザの承諾を示す情報が入力されていないとき（Ｓ１２：ＮＯ）、車両制御装置２１は、ステップＳ１２の処理を繰り返す。一方で、操作端末２３からユーザの承諾を示す情報が入力されたとき（Ｓ１２：ＹＥＳ）、車両制御装置２１は、処理をステップＳ１３へ進める。

ステップＳ１３では、車両制御装置２１は、配信パッケージ送信要求処理を行う。配信パッケージ送信要求処理では、車両制御装置２１は、通信装置２２を介してサーバ３０へ、配信パッケージを要求することを示す情報を送信する。その後、車両制御装置２１は、処理をステップＳ１４へ進める。

一方で、サーバ３０は、通信装置２２から配信パッケージを要求することを示す情報が入力されると、配信パッケージ送信プログラムを実行する。サーバ３０は、配信パッケージ送信プログラムを開始すると、ステップＳ４０を行う。ステップＳ４０では、車両制御装置２１は、配信パッケージを通信装置２２へ送信する。これにより、サーバ３０は、配信パッケージ送信プログラムを終了する。

ステップＳ１４では、車両制御装置２１は、通信装置２２が配信パッケージをダウンロードしたか否かを判定する。通信装置２２が配信パッケージをダウンロードしていないとき（Ｓ１４：ＮＯ）、車両制御装置２１は、ステップＳ１４の処理を繰り返す。一方で、通信装置２２が配信パッケージをダウンロードしたとき（Ｓ１４：ＹＥＳ）、車両制御装置２１は、処理をステップＳ１５へ進める。

ステップＳ１５では、車両制御装置２１は、通信装置２２がダウンロードした配信パッケージをインストールする。なお、配信パッケージとは、サーバ３０から車両２０に１度に転送する一連のデータセットである。配信パッケージは、更新ソフトウェアの本体の他に、ＨＭＩ（Ｈｕｍａｎ Ｍａｃｈｉｎｅ Ｉｎｔｅｒｆａｃｅ）の表示情報、パッケージ情報、セキュリティ情報等を含んでいる。さらに、配信パッケージは、ＳＤＮネットワークシステム５０のネットワーク情報を含んでいる。すなわち、配信パッケージは、各ＳＤＮコントローラ５１の通信設定を含んでいる。そして、車両制御装置２１が配信パッケージをダウンロードする際に、ＳＤＮコントローラ５１は、配信パッケージ中の各ＳＤＮスイッチ５３の通信設定をダウンロード処理する。また、車両制御装置２１が配信パッケージ中の更新ソフトウェアをインストールする際に、ＳＤＮコントローラ５１は、配信パッケージ中の各ＳＤＮスイッチ５３の通信設定をインストールする。その後、車両制御装置２１は、処理をステップＳ１６へ進める。

ステップＳ１６では、車両制御装置２１は、車両２０のユーザに対して、インストールした更新ソフトウェアのアクティベートの承諾を要求する。具体的には、車両制御装置２１は、操作端末２３に、アクティベートをしてもよいか否かを示すアクティベート承諾メッセージを出力する。アクティベート承諾メッセージは、例えば、「更新時間はおよそＸＸ分程度ですが、その間は再始動が行えません。よろしいですか？」というメッセージである。その後、車両制御装置２１は、処理をステップＳ１７へ進める。

一方で、操作端末２３は、車両制御装置２１からアクティベート承諾メッセージが入力された後、ユーザによって承諾を示す操作がされると、アクティベート承諾処理プログラムを実行する。操作端末２３は、アクティベート承諾処理プログラムを開始すると、ステップＳ５０を行う。ステップＳ５０では、操作端末２３は、アクティベート承諾処理を実行する。アクティベート承諾処理では、操作端末２３は、車両制御装置２１へユーザの承諾を示す情報を出力する。これにより、操作端末２３は、アクティベート承諾処理プログラムを終了する。

ステップＳ１７では、車両制御装置２１は、承諾されたか否かを判定する。車両制御装置２１は、操作端末２３からユーザの承諾を示す情報が入力されたか否かによって、承諾されたか否かを判定する。操作端末２３からユーザの承諾を示す情報が入力されていないとき（Ｓ１７：ＮＯ）、車両制御装置２１は、ステップＳ１７の処理を繰り返す。一方で、操作端末２３からユーザの承諾を示す情報が入力されたとき（Ｓ１７：ＹＥＳ）、車両制御装置２１は、処理をステップＳ１８へ進める。

ステップＳ１８では、車両制御装置２１は、インストールした更新ソフトウェアをアクティベートする。これにより、車両制御装置２１は、アクティベートした更新ソフトウェアの情報に基づいて、車両２０の制御を可能な状態となる。また、車両制御装置２１が更新ソフトウェアをアクティベートした際に、ＳＤＮコントローラ５１は、各ＳＤＮスイッチ５３の新しい通信設定をアクティベートする。その後、車両制御装置２１は、処理をステップＳ１９へ進める。

ステップＳ１９では、車両制御装置２１は、更新完了処理を行う。更新完了処理では、車両制御装置２１は、操作端末２３に、今回のキャンペーン情報に基づくソフトウェアの更新が完了したことを示す情報を出力する。具体的には、車両制御装置２１は、操作端末２３に、ソフトウェアの更新が完了したことを示す更新完了メッセージを出力する。更新完了メッセージは、例えば、「新しいソフトウェアへの更新が完了しました」というメッセージである。その後、車両制御装置２１は、処理をステップＳ２０へ進める。

一方で、操作端末２３は、車両制御装置２１から更新完了メッセージが入力された後、ユーザによって確認を示す操作がされると、確認処理プログラムを実行する。操作端末２３は、確認処理プログラムを開始すると、ステップＳ６０を行う。ステップＳ６０では、操作端末２３は、確認処理を実行する。確認処理では、操作端末２３は、車両制御装置２１へ、ユーザが確認したことを示す情報を出力する。これにより、操作端末２３は、確認処理プログラムを終了する。

ステップＳ２０では、車両制御装置２１は、確認されたか否かを判定する。車両制御装置２１は、操作端末２３からユーザが確認したことを示す情報が入力されたか否かによって、確認されたか否かを判定する。操作端末２３からユーザが確認したことを示す情報が入力されていないとき（Ｓ２０：ＮＯ）、車両制御装置２１は、ステップＳ２０の処理を繰り返す。一方で、操作端末２３からユーザが確認したことを示す情報が入力されたとき（Ｓ２０：ＹＥＳ）、車両制御装置２１は、一連の処理を終了する。

＜制御主体の切り替えについて＞
上述したように、車両制御装置２１がキャンペーン情報に基づく更新ソフトウェアをアクティベートしたときに、ＳＤＮコントローラ５１が各ＳＤＮスイッチ５３の通信設定を更新する。そして、ＳＤＮコントローラ５１が各ＳＤＮスイッチ５３の通信設定を更新したときに、車両制御装置２１は、ＲＯＭに記憶されたＳＤＮコントローラ用切り替えプログラムを実行する。

図４に示すように、車両制御装置２１がＳＤＮコントローラ用切り替えプログラムを開始すると、ＳＤＮコントローラ５１は、ステップＳ７１を行う。ステップＳ７１では、ＳＤＮコントローラ５１は、生存通知処理を行う。生存通知処理では、ＳＤＮコントローラ５１は、ＳＤＮスイッチ５３及びＳＤＮサブコントローラ５２へ、自身が正常に機能していることを示す生存通知を送信する。

なお、図５に示すように、これらの生存通知を送信先に基づき区別するときは、ＳＤＮサブコントローラ５２へ送る生存通知を第１生存通知Ｓ１とし、ＳＤＮスイッチ５３へ送る生存通知を第２生存通知Ｓ２とする。

ＳＤＮコントローラ５１は、ＳＤＮサブコントローラ５２に第１生存通知Ｓ１を、ＳＤＮスイッチ５３に第２生存通知Ｓ２を送ると、生存通知処理を終了する。また、このとき、ＳＤＮコントローラ５１は、ＳＤＮネットワークシステム５０におけるすべてのＳＤＮスイッチ５３へ第２生存通知Ｓ２を送信する。

また、上述したように、車両制御装置２１がキャンペーン情報に基づく更新ソフトウェアをアクティベートしたときに、車両制御装置２１は、ＲＯＭに記憶されたＳＤＮサブコントローラ用切り替えプログラムを実行する。

図４に示すように、車両制御装置２１がＳＤＮサブコントローラ用切り替えプログラムを開始すると、ＳＤＮサブコントローラ５２は、先ずステップＳ８１の処理を実行する。ステップＳ８１では、ＳＤＮサブコントローラ５２は、サブ生存通知処理を実行する。サブ生存通知処理では、ＳＤＮサブコントローラ５２は、ＳＤＮスイッチ５３へ、自身が正常に機能していることを示す生存通知を送信する。その後、ＳＤＮサブコントローラ５２は、処理をステップＳ８２へ進める。

なお、図５に示すように、上述した生存通知処理における第１生存通知Ｓ１及び第２生存通知Ｓ２と区別するときには、ＳＤＮサブコントローラ５２からＳＤＮスイッチ５３へ送る生存通知を第３生存通知Ｓ３とする。

ステップＳ８２では、ＳＤＮサブコントローラ５２は、第１生存通知Ｓ１を受信したか否かを判定する。具体的には、ＳＤＮサブコントローラ５２は、車両制御装置２１がキャンペーン情報に基づく更新ソフトウェアをアクティベートしたタイミングから予め定められた第１規定期間だけ、第１生存通知Ｓ１の受信をするために待機する。つまり、ＳＤＮサブコントローラ５２は、ＳＤＮコントローラ５１が生存通知処理を実行したタイミングから第１規定期間だけ、第１生存通知Ｓ１の受信をするために待機する。そして、第１規定期間に、第１生存通知Ｓ１を受信したとき（Ｓ８２：ＹＥＳ）、ＳＤＮサブコントローラ５２は、今回の一連の処理を終了する。一方で、第１生存通知Ｓ１を第１規定期間に、第１生存通知Ｓ１を受信できなかったとき（Ｓ８２：ＮＯ）、ＳＤＮサブコントローラ５２は、処理をステップＳ８３へ進める。

ところで、車両制御装置２１がキャンペーン情報に基づく更新ソフトウェアをアクティベートしたときに、車両制御装置２１は、ＲＯＭに記憶されたＳＤＮスイッチ用切り替えプログラムを実行する。

車両制御装置２１がＳＤＮスイッチ用切り替えプログラムを開始すると、ＳＤＮスイッチ５３は、先ずステップＳ９１の処理を実行する。なお、以下の処理は、全てのＳＤＮスイッチ５３で並行して実行される。ステップＳ９１では、ＳＤＮスイッチ５３は、第２生存通知Ｓ２を受信したか否かを判定する。具体的には、ＳＤＮスイッチ５３は、車両制御装置２１がキャンペーン情報に基づく更新ソフトウェアをアクティベートしたタイミングから第１規定期間だけ、第２生存通知Ｓ２の受信をするために待機する。つまり、ＳＤＮスイッチ５３は、ＳＤＮコントローラ５１が生存通知処理を実行したタイミングから第１規定期間だけ、第２生存通知Ｓ２の受信をするために待機する。そして、第１規定期間に、第２生存通知Ｓ２を受信したとき（Ｓ９１：ＹＥＳ）、ＳＤＮスイッチ５３は、今回の一連の処理を終了する。一方で、第２生存通知Ｓ２を第１規定期間に、第２生存通知Ｓ２を受信できなかったとき（Ｓ９１：ＮＯ）、ＳＤＮスイッチ５３は、処理をステップＳ９２へ進める。

ステップＳ９２では、ＳＤＮスイッチ５３は、第３生存通知Ｓ３を受信したか否かを判定する。具体的には、ＳＤＮスイッチ５３は、車両制御装置２１がキャンペーン情報に基づく更新ソフトウェアをアクティベートしたタイミングから第２規定期間だけ、第３生存通知Ｓ３の受信をするために待機する。第２規定期間は、例えば、上述した第１規定期間と同期間である。そして、第２規定期間に、第３生存通知Ｓ３を受信しなかったとき（Ｓ９２：ＮＯ）、ＳＤＮスイッチ５３は、今回の一連の処理を終了する。一方で、第２規定期間に、第３生存通知Ｓ３を受信したとき（Ｓ９２：ＹＥＳ）、ＳＤＮスイッチ５３は、処理をステップＳ９３へ進める。

ステップＳ９３では、ＳＤＮスイッチ５３は、切り替え要求処理を行う。切り替え要求処理では、ＳＤＮスイッチ５３は、ＳＤＮサブコントローラ５２へ、自身の通信設定の制御主体の切り替えを要求することを示す切り替え要求Ｄ１を送信する。その後、ＳＤＮスイッチ５３は、今回の一連の処理を終了する。

一方で、ＳＤＮサブコントローラ５２は、ステップＳ８２の処理の後、ステップＳ８３の処理を実行している。ＳＤＮサブコントローラ５２は、ステップＳ８３では、過半数の切り替え要求Ｄ１を受信したか否かを判定する。具体的には、ＳＤＮサブコントローラ５２は、ステップＳ８２の処理の後、予め定められた第３規定期間だけ、切り替え要求Ｄ１を受信するために待機する。そして、ＳＤＮサブコントローラ５２は、第３規定期間に受信した切り替え要求Ｄ１の数を算出する。次に、ＳＤＮサブコントローラ５２は、受信した切り替え要求Ｄ１の数と、ＳＤＮネットワークシステム５０のＳＤＮスイッチ５３の数と、を比較する。そして、ＳＤＮサブコントローラ５２は、受信した切り替え要求Ｄ１の数がＳＤＮスイッチ５３の過半数であるか否かを判定する。

このようにして、過半数の切り替え要求Ｄ１を受信していないと判定したとき（Ｓ８３：ＮＯ）、ＳＤＮサブコントローラ５２は、今回の一連の処理を終了する。一方で、過半数の切り替え要求Ｄ１を受信していると判定したとき（Ｓ８３：ＹＥＳ）、処理をステップＳ８４へ進める。

ステップＳ８４では、ＳＤＮサブコントローラ５２は、切り替え処理を行う。切り替え処理では、ＳＤＮサブコントローラ５２は、ＳＤＮスイッチ５３の通信設定の制御を開始する。つまり、ＳＤＮサブコントローラ５２は、第１規定期間に第２生存通知Ｓ２を受信できないこと、及び切り替え要求Ｄ１を受信したことを条件として、切り替え処理を実行する。特に、本実施形態では、切り替え処理によって、ＳＤＮサブコントローラ５２は、ＳＤＮコントローラ５１に代わって、すべてのＳＤＮスイッチ５３の通信設定の制御主体となる。また、ＳＤＮサブコントローラ５２がＳＤＮスイッチ５３の通信設定の制御を開始すると、ＳＤＮスイッチ５３は、ＳＤＮコントローラ５１からの制御を受け付けなくなる。その後、ＳＤＮサブコントローラ５２は、一連の処理を終了する。

（実施形態の作用）
上記実施形態によれば、ＳＤＮネットワークシステム５０において、ＳＤＮコントローラ５１が、ＳＤＮスイッチ５３の通信設定を制御している。しかし、ＯＴＡによる更新ソフトウェアをアクティベートしたときに、設定等が変化することにより、ＳＤＮコントローラ５１が正常に機能できなくなる状態、すなわち異常状態となり得る。このようなタイミングの際に、ＳＤＮネットワークシステム５０において、条件を満たしたときに、制御主体がＳＤＮサブコントローラ５２に切り替わる。

（実施形態の効果）
（１）上記実施形態によれば、ＳＤＮサブコントローラ５２は、第１規定期間に第２生存通知Ｓ２を受信できないこと、及び切り替え要求Ｄ１を受信したことを条件として、切り替え処理を実行する。そのため、ＳＤＮサブコントローラ５２は、ＳＤＮコントローラ５１が正常に機能しなくなったことを、ＳＤＮスイッチ５３との通信及びＳＤＮコントローラ５１との通信の両者によって把握している。よって、ＳＤＮコントローラ５１が正常に機能しなくなったことを信頼度高く判定できる。そして、ＳＤＮコントローラ５１が異常状態となったとても、ＳＤＮサブコントローラ５２によってＳＤＮネットワークシステム５０を制御できる。

（２）上記実施形態によれば、ＳＤＮサブコントローラ５２は、第２生存通知Ｓ２を受信できないこと、及びＳＤＮスイッチ５３の過半数から切り替え要求Ｄ１を受信したことを条件として、切り替え処理を実行する。このように過半数のＳＤＮスイッチ５３から切り替え要求Ｄ１が送信されている状況であれば、特定のＳＤＮスイッチ５３に異常が生じていてそのＳＤＮスイッチ５３から誤って切り替え要求Ｄ１が送信されているという状況は考えにくい。つまり、過半数のＳＤＮスイッチ５３から切り替え要求Ｄ１が送信されているのならば、ＳＤＮコントローラ５１に異常が生じている可能性が極めて高い。そのため、上記の切り替え処理によれば、ＳＤＮスイッチ５３の制御主体が、無用にＳＤＮサブコントローラ５２に切り替わってしまうことを防げる。

（３）上記実施形態によれば、ＳＤＮコントローラ５１は、ＯＴＡによる更新ソフトウェアをアクティベートしたときに、生存通知処理を実行する。よって、ＳＤＮネットワークシステム５０では、通信設定が更新された後の早いタイミングで、制御主体の切り替えに関する一連の処理が開始される。したがって、通信設定が更新されることでＳＤＮコントローラ５１が異常状態になったときに制御主体が切り替わるまでの時間が長くなることを防げる。

（４）上記実施形態によれば、ＳＤＮスイッチ５３は、第３生存通知Ｓ３を受信したことを条件として、切り替え要求処理を行っている。つまり、ＳＤＮスイッチ５３は、ＳＤＮサブコントローラ５２が正常に機能しているときに、切り替え要求Ｄ１を送信する。よって、ＳＤＮスイッチ５３の制御主体が異常状態のＳＤＮサブコントローラ５２に切り替わることを防止することができる。

（その他の実施形態）
上記実施形態は、以下のように変更して実施することができる。上記実施形態及び以下の変更例は、技術的に矛盾しない範囲で互いに組み合わせて実施することができる。

＜制御主体の切り替えについて＞
・上記実施形態では、ＳＤＮサブコントローラ５２は、切り替え処理を実行するための条件として、過半数のＳＤＮスイッチ５３から切り替え要求Ｄ１を受信したことを条件としていたが、これに限られない。例えば、ＳＤＮサブコントローラ５２は、予め定められた規定数以上のＳＤＮスイッチ５３から切り替え要求Ｄ１を受信したことを条件として、切り替え処理を実行してもよい。このとき、規定数は、ＳＤＮスイッチ５３の半数に限られない。具体的には、ＳＤＮスイッチ５３の数が１０個であるときに、規定数が２個であってもよい。

・また例えば、生存通知処理で、ＳＤＮコントローラ５１は、ＳＤＮサブコントローラ５２へ、第２生存通知Ｓ２とは別に、ＳＤＮコントローラ５１が制御中のＳＤＮスイッチ５３の数である制御スイッチ数を示す情報を送信する。この場合、ＳＤＮサブコントローラ５２は、以下の３つの条件を満たしたとき、切り替え処理を実行してもよい。１つ目の条件は、第１規定期間に第２生存通知Ｓ２を受信できないこと、である。２つ目の条件は、少なくとも１つのＳＤＮスイッチ５３から切り替え要求Ｄ１を受信したこと、である。３つ目の条件は、制御スイッチ数がＳＤＮスイッチ５３の全数よりも小さい値である予め定められた規定数よりも小さいこと、である。規定数は、例えば、ＳＤＮスイッチ５３の半数である。この場合、複数のＳＤＮスイッチ５３のうち、ＳＤＮコントローラ５１が制御中のＳＤＮスイッチ５３の数が、規定数より小さいことを条件に、ＳＤＮサブコントローラ５２が切り替え処理を実行する。つまり、ＳＤＮコントローラ５１が、複数のＳＤＮスイッチ５３のうちの半数未満しか制御できていないときに、ＳＤＮサブコントローラ５２が制御を開始する。したがって、ＳＤＮコントローラ５１が一部のＳＤＮスイッチ５３しか制御できないような異常状態を、信頼性高く判定できる。そして、このような異常状態の場合に、制御主体をＳＤＮサブコントローラ５２へ切り替えることができる。

・また例えば、生存通知処理で、ＳＤＮコントローラ５１は、ＳＤＮサブコントローラ５２へ、ＳＤＮコントローラ５１が制御中のＳＤＮスイッチ５３を特定するＩＤを示す情報を送信する。この場合、ＳＤＮサブコントローラ５２は、以下の３つの条件を満たしたとき、切り替え処理を実行してもよい。１つ目の条件は、第１規定期間に第２生存通知Ｓ２を受信できないこと、である。２つ目の条件は、切り替え要求Ｄ１を受信したこと、である。３杖目の条件は、受信した切り替え要求Ｄ１を送信したＳＤＮスイッチ５３のＩＤが、受信したＩＤを示す情報の中に含まれていないこと、である。これらの条件によれば、ＳＤＮスイッチ５３が切り替え要求Ｄ１を送信し、且つＳＤＮコントローラ５１が当該ＳＤＮスイッチ５３を制御していないときに、ＳＤＮサブコントローラ５２は、切り替え処理を実行する。つまり、ＳＤＮサブコントローラ５２は、ＳＤＮコントローラ５１が制御できていないＳＤＮスイッチ５３からの切り替え要求Ｄ１によって、切り替え処理を実行する。そのため、ＳＤＮコントローラ５１が制御できていないと認識し、且つＳＤＮスイッチ５３が制御されていないと認識しているときに、ＳＤＮサブコントローラ５２は、切り替え処理を実行する。よって、より信頼性高くＳＤＮコントローラ５１が正常に機能していないと判定できる。

・また、上述した変更例のように、生存通知処理において、生存信号とは別に信号を送信する場合、ＳＤＮサブコントローラ５２は、前回の生存通知処理において受信した信号を基に、制御スイッチ数又はＩＤを特定してもよい。ＳＤＮコントローラ５１が異常状態となる場合、第１生存通知Ｓ１をＳＤＮサブコントローラ５２に送信できないのみではなく、このような信号もＳＤＮサブコントローラ５２に送信できなくなることもあり得る。このような場合であっても、上述した変更例のような条件のときに切り替え処理ができる。

・また例えば、第２生存通知Ｓ２を受信できないこと、及び１つでも切り替え要求Ｄ１を受信したことを条件として、切り替え処理を実行してもよい。つまり、受信した切り替え要求Ｄ１の数、切り替え要求Ｄ１を送信したＳＤＮコントローラ５１のＩＤなどを、切り替え処理の実行条件にしなくてもよい。

・上記実施形態では、ＳＤＮスイッチ５３は、第３生存通知Ｓ３を受信していることを条件として、切り替え要求処理を実行しているが、第３生存通知Ｓ３に拘わらず、切り替え要求処理を行ってもよい。この場合、ＳＤＮサブコントローラ５２は、サブ生存通知処理を行わなくてもよい。

・上記実施形態では、ＳＤＮサブコントローラ５２が切り替え処理を実行すると、すべてのＳＤＮスイッチ５３の制御主体がＳＤＮサブコントローラ５２となったが、これに限られない。例えば、ＳＤＮスイッチ５３のうち、切り替え要求Ｄ１を送信したＳＤＮスイッチ５３の制御主体のみが、ＳＤＮサブコントローラ５２に切り替わってもよい。また例えば、ＳＤＮサブコントローラ５２は、複数のＳＤＮスイッチ５３のそれぞれと、切り替え要求Ｄ１をやり取りしてもよい。つまり、切り替え要求Ｄ１にＳＤＮスイッチ５３自身固有のＩＤを示す情報を紐づけて、ＳＤＮスイッチ５３は、切り替え要求処理を行う。この場合、ＳＤＮサブコントローラ５２は、切り替え要求Ｄ１を受信したときに、当該切り替え要求Ｄ１に紐づいたＩＤを持つＳＤＮスイッチ５３のみを対象として、切り替え処理を実行してもよい。

・また例えば、ＳＤＮスイッチ５３は、切り替え要求Ｄ１を受信したとき、第２生存通知Ｓ２を受信していないことを条件として、制御主体をＳＤＮサブコントローラ５２へ切り替えることを許可してもよい。

＜制御主体の切り替えの一連の処理を始めるタイミングについて＞
・ＳＤＮコントローラ５１がＳＤＮコントローラ用切り替えプログラムの実行を開始するタイミングは、ＯＴＡによるソフトウェアの更新を契機とするタイミングに限られない。例えば、ＳＤＮコントローラ５１は、車両２０の電源がオン状態となったときに、生存通知処理を実行してもよい。車両２０の電源がオフ状態の際に、ハード機器が新たに接続されたり、変更されたりされる可能性がある。そのため、車両２０の電源がオン状態となったときに、ＳＤＮコントローラ用切り替えプログラムを実行することで、車両２０の走行前にＳＤＮスイッチ５３の制御主体を変更し得る。

・また例えば、ＳＤＮコントローラ５１は、車両２０が備える電子制御装置を駆動可能な状態に切り替えるための信号を受信したときに、生存通知処理を実行してもよい。電子制御装置は、例えば、物理ＥＣＵ２１Ｂである。物理ＥＣＵ２１Ｂは、車両２０の出荷時には、駆動不可能な状態とされているものの、車両２０の出庫後に、追加費用の支払い等によって、ディーラ等によって駆動可能な状態に切り替えられることがある。このようなときには、新たに物理ＥＣＵ２１Ｂを駆動させることによって通信設定が変更される場合がある。よって、ディーラなどから物理ＥＣＵ２１Ｂを駆動可能な状態に切り替えるための信号を受信したときに、ＳＤＮコントローラ５１は、ＳＤＮコントローラ用切り替えプログラムを実行する。これにより、新たな物理ＥＣＵ２１Ｂが起床されたときに、ＳＤＮスイッチ５３の制御主体を変更し得る。なお、電子制御装置を駆動可能な状態に切り替えるための信号は、例えばウェイクアップ信号等と呼称されることもある。

・また例えば、ＳＤＮコントローラ５１は、新たなハード機器が車両制御装置２１に接続されたことを検知したときに、生存通知処理を実行してもよい。
・また例えば、ＳＤＮコントローラ５１は、予め定められた頻度で定期的に生存通知処理を実行してもよい。定期的に生存通知処理を実行することで、定期的にＳＤＮコントローラ５１が正常に機能しているか否かを検知できる。頻度は、例えば１時間に１回などと定められる。

＜その他＞
・車両２０は、通信システム１０を構成するものに限られない。上述した変更例のように、車両２０がＯＴＡによるソフトウェアの更新の際に限られず、車両制御装置２１は各切り替えプログラムを実行すればよい。

・車両制御装置２１は、コンピュータプログラム（ソフトウェア）に従って各種処理を実行する１つ以上のプロセッサを含む回路（ｃｉｒｃｕｉｔｒｙ）として構成してもよい。なお、車両制御装置２１は、各種処理のうち少なくとも一部の処理を実行する、特定用途向け集積回路（ＡＳＩＣ）等の１つ以上の専用のハードウェア回路、又はそれらの組み合わせを含む回路として構成してもよい。プロセッサは、ＣＰＵ及び、ＲＡＭ並びにＲＯＭ等のメモリを含む。メモリは、処理をＣＰＵに実行させるように構成されたプログラムコード又は指令を格納している。メモリすなわちコンピュータ可読媒体は、汎用又は専用のコンピュータでアクセスできるあらゆる利用可能な媒体を含む。

１０…通信システム
２０…車両
２１…車両制御装置
２１Ａ…マスタＥＣＵ
２１Ｂ…物理ＥＣＵ
２２…通信装置
２３…操作端末
３０…サーバ
５０…ＳＤＮネットワークシステム
５１…ＳＤＮコントローラ
５２…ＳＤＮサブコントローラ
５３…ＳＤＮスイッチ

Claims (9)

1. ＳＤＮスイッチと、前記ＳＤＮスイッチの通信設定を制御するＳＤＮコントローラと、前記ＳＤＮスイッチの前記通信設定を制御可能なＳＤＮサブコントローラと、を備える車両のＳＤＮネットワークシステムであって、
   前記ＳＤＮコントローラは、前記ＳＤＮスイッチ及び前記ＳＤＮサブコントローラへ、自身が正常に機能していることを示す生存通知を送信する生存通知処理を実行し、
   前記ＳＤＮスイッチは、予め定められた規定期間に前記生存通知を受信できないことを条件として、前記ＳＤＮサブコントローラへ、前記通信設定の制御主体の切り替えを要求することを示す切り替え要求を送信する切り替え要求処理を実行し、
   前記ＳＤＮサブコントローラは、前記規定期間に前記生存通知を受信できないこと、及び前記切り替え要求を受信したことを条件として、前記通信設定の制御を開始する切り替え処理を実行する
   ＳＤＮネットワークシステム。
2. 複数の前記ＳＤＮスイッチを備えており、
   前記ＳＤＮコントローラは、前記生存通知処理では、前記ＳＤＮサブコントローラへ、前記生存通知とは別に、当該ＳＤＮコントローラが制御中の前記ＳＤＮスイッチの数である制御スイッチ数を示す情報を送信し、
   前記ＳＤＮサブコントローラは、前記規定期間に前記生存通知を受信できないこと、少なくとも１つの前記ＳＤＮスイッチから前記切り替え要求を受信したこと、及び前記制御スイッチ数が前記ＳＤＮスイッチの全数よりも小さい値である予め定められた規定数よりも小さいことを条件として、前記切り替え処理を実行する
   請求項１に記載のＳＤＮネットワークシステム。
3. 複数の前記ＳＤＮスイッチを備えており、
   前記ＳＤＮコントローラは、前記生存通知処理では、前記生存通知とは別に、前記ＳＤＮサブコントローラへ、当該ＳＤＮコントローラが制御中の前記ＳＤＮスイッチを特定するＩＤを示す情報を送信し、
   前記ＳＤＮサブコントローラは、前記規定期間に前記生存通知を受信できないこと、前記切り替え要求を受信したこと、及び受信した前記切り替え要求を送信した前記ＳＤＮスイッチの前記ＩＤが、受信した前記ＩＤを示す情報の中に含まれていないこと、を条件として、前記切り替え処理を実行する
   請求項１に記載のＳＤＮネットワークシステム。
4. 複数の前記ＳＤＮスイッチを備えており、
   前記ＳＤＮサブコントローラは、前記規定期間に前記生存通知を受信できないこと、及び過半数の前記ＳＤＮスイッチから前記切り替え要求を受信したことを条件として、前記切り替え処理を実行する
   請求項１に記載のＳＤＮネットワークシステム。
5. 前記ＳＤＮコントローラは、前記車両の電源がオン状態となったときに、前記生存通知処理を実行する
   請求項１～請求項４のいずれか１項に記載のＳＤＮネットワークシステム。
6. 前記ＳＤＮコントローラは、前記車両が備える電子制御装置を駆動可能な状態に切り替えるための信号を受信したときに、前記生存通知処理を実行する
   請求項１～請求項４のいずれか１項に記載のＳＤＮネットワークシステム。
7. 前記ＳＤＮコントローラは、前記車両の外部のサーバから更新ソフトウェアをダウンロードするダウンロード処理を実行可能であり、
   前記ＳＤＮコントローラは、前記ダウンロード処理でダウンロードした前記更新ソフトウェアをアクティベートしたときに、前記生存通知処理を実行する
   請求項１～請求項４のいずれか１項に記載のＳＤＮネットワークシステム。
8. 前記ＳＤＮコントローラは、予め定められた頻度で定期的に前記生存通知処理を実行する
   請求項１～請求項４のいずれか１項に記載のＳＤＮネットワークシステム。
9. ＳＤＮスイッチの通信設定を制御するＳＤＮコントローラに代わって、前記ＳＤＮスイッチの前記通信設定を制御可能なＳＤＮサブコントローラであって、
   前記ＳＤＮコントローラから自身が正常であることを示す生存通知を受信できないこと、及び前記ＳＤＮスイッチから前記通信設定の制御主体の切り替えを要求することを示す切り替え要求を受信したことを条件として、前記通信設定の制御を開始する切り替え処理を実行する
   ＳＤＮサブコントローラ。

Images