JP5542760B2 - 車載制御装置 - Google Patents

Description

本発明は、車載制御装置に関し、特に協調制御を行うシステムにおいて安全性を確保する車載電子制御装置に関する。

近年、安全性向上の観点から走行安定制御を取入れた自動車が開発されている。これらの自動車は各輪を独立して制御することにより、横滑りやスピンの誘発を抑制することでコーナリング時の走行安定性を確保し、運転者の安全性に貢献する。ところでこのような技術が可能となった背景には、車両内の電子制御装置（以下ＥＣＵと呼称）を車載ネットワークによって協調して制御することにより成立っている。下記特許文献１によれば、走行制御ＥＣＵは各車輪速センサ、車両挙動を検知する慣性センサ、ドライバーによる操作を検知する操舵角センサなど多くのセンサが接続され、さらにエンジン制御ＥＣＵが車載ネットワークを介して接続されている。エンジン制御ＥＣＵはエンジン出力に係る制御情報が送信され、走行制御ＥＣＵはそのエンジン出力に係る制御情報と自ＥＣＵが接続されているセンサ情報を基に各輪のブレーキを制御する。また必要に応じてエンジン制御ＥＣＵに目標値を送信する。また、他の従来技術においては、走行制御ＥＣＵはエンジン制御ＥＣＵのほかにステアリング制御ＥＣＵから送信される制御情報も利用しており、複数のＥＣＵ間で協調制御を行っている。

ところで、複数のＥＣＵ間で協調制御を行う場合、ＥＣＵは制御情報を車載ネットワークに送信し、必要な制御情報を同じく車載ネットワークから受信する。受信したＥＣＵは制御情報に誤りがないかを診断する。

一般的に、受信する制御情報が多いほど診断に対する診断に係る処理は大きくなり、また制御情報の書込み処理も同様に大きくなり、ＥＣＵの処理資源に負担を及ぼす。上記特許文献１では、不要な制御情報の書込みを防止するため送信された制御情報が適正であるか診断の条件によって、制御情報を書き換える手段を備えたＥＣＵが紹介されている。また上記特許文献２では、制御情報の種類に応じてメモリの診断頻度を変える手段が紹介されている。

特開２００７−０１１７３４号公報 特開２００３−３２３３５３号公報 特開２００５−１４５１９７号公報

上記特許文献１に記載の技術については、ＥＣＵのリプログラミングを行う際に不要な制御情報の書込みを防止して、書込み処理に係る負荷を低減するが、ＥＣＵの動作中の診断処理に係る負荷は低減できない。また特許文献２については、メモリに格納された制御情報の種類に応じて診断頻度を変えることにより、安全に係る制御情報はその診断頻度を上げることによって早期に異常を検知することができるものの、ＥＣＵ間等のデータの受け渡しの際の診断については考慮されておらず、また診断処理に係る負荷は低減できない。

本発明は、上記のような課題を解決するためになされたものであり、車載ネットワークで受け渡しされるデータの診断に係る処理負荷を低減しつつ、高い安全性を確保することを目的とする。

上記課題を解決するため複数の車載電子制御装置が接続された車載ネットワークに接続され、前記車載ネットワークを介してデータの送受信を行う車載電子制御装置において、前記車載電子制御装置または前記車載電子制御装置が有する機能に割当てられた安全性レベルに関する情報を格納する第一の記憶部と、前記車載ネットワークに接続された他の車載電子制御装置または該他の車載電子制御装置が有する機能に割当てられた安全性レベルに関する情報を格納する第二の記憶部と、前記車載ネットワークに接続された他の車載電子制御装置から受信したデータについて、前記第一の記憶部と前記第二の記憶部とに格納された情報を比較して診断の内容及び程度を選択し、診断処理を行う診断部と、前記車載電子制御装置または前記車載電子制御装置が有する機能に割当てられた安全性レベルに関する情報を、前記車載ネットワークに送信するデータに付与して送信するデータ送信部と、を有するように構成する。

本発明に係るＥＣＵによれば、制御情報ごとに診断方法を使い分けすることができ、診断に係る処理負荷の低減を実現することができる。

車載ネットワークシステムの構成を示す。 ＥＣＵ間がネットワーク１００を介して送受信する通信フレーム２００を示す。 診断部５ａの内部構成を示す。 受信データバッファ１５ａを示した図である。 送信元ＥＣＵの情報１６ａを示した図である。 他ＥＣＵの安全性レベル情報１７ａを示した図である。 自ＥＣＵの安全性レベル情報１８ａを示した図である。 安全性レベルに応じた診断情報１９ａを示した図である。 診断パラメータ情報２０ａを示した図である。 診断の実行処理１２ａのフローチャートを示す図である。 診断方法１が属する範囲チェック処理を示したフローチャート図である。 診断方法２に格納されている平均値チェック処理を示したフローチャート図である。 診断部５ａの状態遷移を示した図である。 コンフィグ状態５ａを備える診断部５ａの内部構成を示す。 診断部５ａの内部構成を示す。

近年車両制御システムのソフトウェア規模は飛躍的に増大しており、車両制御システムの安全性を保証するためには、システム開発時やリプログラミング時のチェックだけでは充分でなく、システム動作時の診断処理により安全性を保証する必要がある。

本発明に係るＥＣＵにおいては、ＥＣＵが扱う制御情報に対して求められる安全性のレベル（以下、安全性レベルという）付けを行い、データ受信時の診断処理に用いられる複数の診断方法をその安全性レベルに応じて選択し実行する。

ここで、安全性レベルとは、車両制御システムが機能毎に保証すべき安全性の度合いを表す。近年、車両制御システムが正常に動作し、人間に可能な限り危害を与えないことを保証および説明できることが重要になってきている。具体的には、機能の誤作動等によって人間に危害が及ぶことを防ぐため、その機能ごとに安全性レベルを割当て、その基準を満たすように車両制御システムを開発する必要がある。安全性レベルは、割当てられる機能が正常に動作しないときの被害の大きさ等によって決定される。例えば、ブレーキ装置を制御するＥＣＵや、ステアリング装置を制御するＥＣＵ、車間距離を制御するＥＣＵ等の機能については、異常が生じると重大な車両事故に繋がる虞があるため、高い安全性レベルが付与される。

＜第１の実施の形態＞
以下、図面に従って説明する。

図１に本発明の一実施形態である車載ネットワークシステムの構成を示す。車載ネットワークシステムは電子制御装置（以下ＥＣＵ）１ａおよび１ｂおよび１ｃとネットワーク１００を備える。各ＥＣＵはＲＯＭやＲＡＭ等の記憶手段７ａと、演算手段（ＣＰＵ）８ａとを有する。また、アプリケーション・プログラム２ａとインターフェース３ａとＲＴＯＳ４ａと診断部５ａとネットワーク制御ドライブ６ａが演算手段８ａ上で実行可能となるように、記憶手段７ａにプログラムとして格納されている。

アプリケーション・プログラム２ａはＥＣＵの機能に応じた複数のアプリケーションモジュールとして実装される。インターフェース３ａはインターフェース３ａから上位にあるアプリケーション・プログラム２ａと下位にあるＲＴＯＳ４ａと診断部５ａとネットワーク制御ドライブ６ａの情報のやりとりを仲介する機能を有する。ＲＴＯＳ４ａはアプリケーション・プログラム２ａとインターフェース３ａと診断部５ａとネットワーク制御ドライブ６ａをリアルタイムに実行し管理する機能を有する。診断部５ａはネットワーク１００から受信したデータを診断する機能を有する。ネットワーク制御ドライブ６ａはネットワーク１００から伝達されるデータから受信するデータと受信しないデータを判別し、受信するデータを取得する機能を有する。また、ネットワーク１０００へ送信するデータに対して、後述する通信ＩＤを付与する機能を有する。これらの機能は、演算手段８ａが記憶手段７ａからプログラムを読出し、実行することで実現される。

図２はネットワーク１００の通信フレーム２００である。通信フレーム２００は通信ＩＤを格納する通信ＩＤ部２０１とデータを格納するデータ部２０２を備える。

以上の構成によりＥＣＵ１ａは、ＥＣＵ１ｂやＥＣＵ１ｃからネットワーク１００を介して送信される通信フレーム２００のうち通信フレーム２００に含まれる通信ＩＤから受信するデータか受信しないデータかをネットワーク制御ドライブ６ａによって判別して受信するデータを取得し、取得されたデータは診断部５ａを介してインターフェース３ａに渡され、インターフェース３ａに渡されたデータはアプリケーション・プログラム２ａにあるアプリケーションモジュールが読込み、制御のために利用される。ＲＴＯＳ４ａは以上の動作をリアルタイムに実行する。なお、ここで言うデータとは、ＥＣＵ間で共有されるデータであり、あるＥＣＵで演算された制御目標値や出力値、センサからの入力値、ＥＣＵやアクチュエータの異常情報等であって良い。

以上、ＥＣＵの動作について概略を説明した。以下、本発明の診断部５ａについて詳細に説明する。

図３は診断部５ａの内部構成を示す。診断部５ａは受信データ記録処理１１ａと診断の実行処理１２ａと診断方法１（１３ａ１）および２（１３ａ２）と故障検知処理１４ａと受信データバッファ１５ａと送信元ＥＣＵの情報１６ａと他ＥＣＵの安全性レベル情報１７ａと自ＥＣＵの安全性レベル情報１８ａと安全性レベルに応じた診断情報１９ａと診断パラメータ情報２０ａとエラーカウント情報２１ａを備える。これらの情報は、図示するように別々の箇所に格納されていてもよいし、同一の記憶手段内に格納されていてもよい。なお説明の簡単化のため、例えば診断方法１では受信データの範囲チェック、診断方法２では受信データの平均値の範囲チェックがされるものとする。

図４は受信データバッファ１５ａを示した図である。受信データバッファ１５ａは各通信ＩＤごとに各受信回数の受信データが格納されている。図４では通信ＩＤ１００の１回目の受信データは５０、２回目の受信データも５０、３回目の受信データも５０で、通信ＩＤ１０１の１回目の受信データは８５、２回目の受信データは８４、３回目の受信データは８３であることを示す。

図５は送信元ＥＣＵの情報１６ａを示した図である。送信元ＥＣＵの情報１６ａは通信ＩＤの送信元ＥＣＵごとに通信ＩＤが格納されている。図５では１０１の通信ＩＤを含む通信フレームはＥＣＵ１ｂから送信されることを示し、１００の通信ＩＤを含む通信フレームはＥＣＵ１ｃから送信されることを示す。

図６は他ＥＣＵの安全性レベル情報１７ａを示した図である。他ＥＣＵの安全性レベル情報１７ａは安全性レベルごとに各ＥＣＵが格納されている。図６では１の安全性レベルにＥＣＵ１ｂが、２の安全性レベルにＥＣＵ１ｃが属していることを示す。このように、ネットワーク１０００を介して送受信されるデータに、送信元ＥＣＵが判別できる通信ＩＤを付与することで、送受信されるデータと安全性レベルの情報とを関連付けることができる。なお、ネットワーク１０００に送信されるデータに対して送信元ＥＣＵを表す情報または安全性レベルを直接表す情報を付与してもよい。

図７は自ＥＣＵの安全性レベル情報１８ａを示した図である。自ＥＣＵの安全性レベル情報１８ａは自ＥＣＵの安全性レベルの属性が格納されている。図６では３の安全性レベルに自ＥＣＵであるＥＣＵ１ａが属していることを示す。ここで格納されている自ＥＣＵの安全性レベル情報１８ａと他ＥＣＵの安全性レベル情報１７ａとを比較することにより、受信データの診断方法を可変することができる。

図８は安全性レベルに応じた診断情報１９ａを示した図である。安全性レベルに応じた診断情報１９ａは安全性レベルごとに実行する診断方法が格納されている。図８では１の安全性レベルでは最初の診断においては診断方法１が、次の診断においては診断方法２が実行され、２の安全性レベルでは最初の診断においては診断方法１が、次の診断においては診断が実行されないことを示す。このように、安全性レベルに基づいて診断方法と回数を可変することで、診断処理の負荷を削減できる。また、診断処理だけでなく、受信データの取得可否について、送信元の安全性レベルに基づいて決定してもよい。

図９は診断パラメータ情報２０ａを示した図である。診断パラメータ情報２０ａは診断方法と通信ＩＤごとの上限値と下限値が格納されている。図９では１の診断方法でかつ１００の通信ＩＤの場合、上限値は１００で下限値は０であること、１の診断方法でかつ１０１の通信ＩＤの場合、上限値は９０で下限値は１０であること、２の診断方法でかつ１０１の通信ＩＤの場合、上限値は８０で下限値は２０であることを示す。このように、安全性レベル毎に保証されるべきデータの値の範囲を可変し、診断処理を行うことができる。

次に本発明の基本的な動作例を以下説明する。図３において主体となるのは、診断の実行処理１２ａと診断方法１および２と受信データバッファ１５ａと送信元ＥＣＵの情報１６ａと他ＥＣＵの安全性レベル情報１７ａと自ＥＣＵの安全性レベル情報１８ａと安全性レベルに応じた診断情報１９ａと診断パラメータ情報２０ａとエラーカウント情報２１ａであり、図１０の診断の実行処理１２ａのフローチャートを用いて説明する。

図１０は診断の実行処理１２ａのフローチャートを示す図である。以下、図１０の各ステップについて説明する。
（ステップＳ１１）
ステップＳ１１は、受信データバッファ１５ａから通信ＩＤを読込む。
（ステップＳ１２）
ステップＳ１２は、通信ＩＤと送信元ＥＣＵの情報１６ａに基づいて、データ送信元のＥＣＵを特定し、他ＥＣＵの安全性レベル情報１７ａから送信先ＥＣＵの安全性レベルを読込む。
（ステップＳ１３）
ステップＳ１３は、自ＥＣＵの安全性レベル情報１８ａから自ＥＣＵの安全性レベルを読込む。
（ステップＳ１４）
ステップＳ１４は、送信元ＥＣＵの安全性レベルと自ＥＣＵの安全性レベルを比較し、送信元ＥＣＵの安全性レベルが自ＥＣＵの安全性レベルより低ければステップＳ１５を実行する。送信元ＥＣＵの安全性レベルが自ＥＣＵの安全性レベルより低くなければ、処理を終了する。
（ステップＳ１５）
ステップＳ１５は、送信元ＥＣＵの安全性レベルから安全性レベルに応じた診断情報１９ａを読込む。診断情報１９ａは安全性レベルごとに実行する診断方法が格納されているため、本ステップで入力される安全性レベルによって選択的に診断が実行されることとなる。
（ステップＳ１６）
ステップＳ１６は、当該安全性レベルに応じた最初の診断方法を実行する。
（ステップＳ１７）
ステップＳ１７は、当該安全性レベルに応じた次の診断方法が有るか判定し、有る場合はステップＳ１８を実行する。無い場合は処理を終了する。
（ステップＳ１８）
ステップＳ１８は、当該安全性レベルに応じた次の診断方法を実行し、ステップＳ１７に戻る。

次に上記診断の実行処理１２ａに用いられる診断方法１および診断方法２に属する診断方法の例を以下説明する。

図１１は診断方法１が属する範囲チェック処理を示したフローチャート図である。以下、図１１の各ステップについて説明する。
（ステップＳ２１）
ステップＳ２１は、通信ＩＤを読込む。
（ステップＳ２２）
ステップＳ２２は、通信ＩＤに基づいて診断パラメータ情報２０ａにある上限値と下限値を読込む。
（ステップＳ２３）
ステップＳ２３は、通信ＩＤの当該データを読込む。
（ステップＳ２４）
ステップＳ２４は、当該データがステップＳ２２から読込んだ上限値と下限値の範囲に収まっているか判定する。収まっていれば、ステップＳ２５を実行し、収まっていなければ、ステップＳ２６を実行する。
（ステップＳ２５）
ステップＳ２５は、エラーカウント情報２１ａにあるエラーカウントを０にし、処理を終了する。
（ステップＳ２６）
ステップＳ２６は、エラーカウント情報２１ａにあるエラーカウントをインクリメントし、処理を終了する。

図１２は診断方法２に格納されている平均値チェック処理を示したフローチャート図である。以下、図１２の各ステップについて説明する。
（ステップＳ３１）
ステップＳ３１は、通信ＩＤと当該データと当該データの受信回数を受信データバッファから読込む。
（ステップＳ３２）
ステップＳ３２は、通信ＩＤのデータの平均値を算出する。
（ステップＳ３３）
ステップＳ３３は、通信ＩＤに基づいて診断パラメータ情報２０ａにある上限値と下限値を読込む。
（ステップＳ３４）
ステップＳ３４は、当該データの平均値がステップＳ３３にて読込んだ上限値と下限値の範囲に収まっているか判定する。収まっていればステップＳ３５を実行し、収まっていなければステップＳ３６を実行する。
（ステップＳ３５）
ステップＳ３５は、エラーカウント情報２１ａにあるエラーカウントを０にし、処理を終了する。
（ステップＳ３６）
ステップＳ３６は、エラーカウント情報２１ａにあるエラーカウントをインクリメントし、処理を終了する。

以上の構成によれば１００の通信ＩＤに付属するデータは１の安全性レベルに基づいて診断方法１の範囲チェックがなされ、エラーカウントは０となる。他方１０１の通信ＩＤに付属するデータは２の安全性レベルに基づいて診断方法１と診断方法２のチェックがなされ、結果的に診断方法２によってエラーカウントがインクリメントされる。図１３は受信データバッファ１５ａに格納されている１００と１０１の通信ＩＤの受信データを用いた実行した時のエラーカウント情報２１ａを示した図である。１００の通信ＩＤのエラーカウントは０であり、１０１の通信ＩＤのエラーカウントは１であることを示している。

故障検知処理１４ａはエラーカウント情報２１ａに記録している結果から正常か故障かを判定する機能を有する。これにより図１のアプリケーション・プログラム２ａはインターフェース３ａを介して送信元ＥＣＵが正常であるか故障であるかを検知することができる。

本実施例ではネットワーク１００に接続されているＥＣＵに対し安全性レベルを定義した。異なる実施例として安全性レベルを機能、アプリケーション・プログラム２ａ、アプリケーション・プログラム２ａに属するアプリケーションモジュール、通信ＩＤ毎に対し定義してもよい。例えば、あるＥＣＵ中の異なるアプリケーションモジュールで演算され、ＥＣＵ外部へ送信される複数データについて、それぞれ異なる安全性レベルが付与され、受信側のＥＣＵはデータ送信側のＥＣＵに付与された安全性レベルではなく、アプリケーションモジュール毎に付与された安全性レベルに基づいて診断処理を可変してよい。また、同一ＥＣＵ内でも、安全性レベルが異なるアプリケーションモジュール同士でデータの授受が行われる場合に、送信側アプリケーションモジュールの安全性レベルに基づいて受信側で診断内容を可変して良い。この場合は、ネットワーク１００を介したデータのやり取りではなく、メモリパーティッション間や複数メモリ間でのデータのやり取りとなる。

本実施例の発明によれば、データ送信元ＥＣＵの安全性レベルに基づいて、受信データの診断内容・程度を可変するため、診断の処理負荷を削減できる。例えば、高い安全性レベルのＥＣＵから低い安全性レベルのＥＣＵへデータが送信される場合は、安全性が保証されたデータが送信されるため、診断の必要性は少ない。また、同じ安全性レベルのＥＣＵ同士でデータを送信される場合も、安全性が保証されたデータが送信されるため、同様に診断の必要性は少ない。また、低い安全性レベルのＥＣＵから高い安全性レベルのＥＣＵへデータが送信される場合は、診断処理を行うことなくデータを取得しないようにすることもできる。このように、ＥＣＵの安全性レベルに基づいて、受信データの診断処理を省くことができる。

また、一般に各ＥＣＵに搭載されるソフトウェアは異なる開発主体によって作成されるため、それぞれのソフトウェアの品質が異なる場合がある。本実施例の発明によれば、各ＥＣＵに搭載されるソフトウェアが保証するデータの安全性が各々異なる場合でも、各ＥＣＵの機能毎に求められる安全性レベルに基づいて受信データの診断処理を可変するため、各ＥＣＵに搭載されるソフトウェアの品質にばらつきの影響を吸収できる。また、新たなＥＣＵや機能の追加や統合を行い易い、既存のソフトウェア資産の再利用性が向上するといった利点がある。

＜第２の実施の形態＞
第１の実施の形態では他ＥＣＵの安全性レベル情報を備えている場合の動作例を示した。以下、第２の実施の形態では他ＥＣＵの安全性レベル情報を備えていない場合について説明する。図１３は診断部５ａの状態遷移を示した図である。診断部５ａは通信確立の状態５２ａのもとコンフィグ状態５３ａとノーマル状態５４ａが備わっている。電源オン状態５１ａになった直後、ネットワーク制御ドライブ６ａは車載ネットワークの通信を確立するため、通信プロトコルに従った通信確立処理を行う。通信確立を遷移条件５５ａに診断部５ａは電源オン状態５１ａになってから通信確立の状態５２ａへ遷移する。通信確立の状態５２ａにおいては、自ＥＣＵと他ＥＣＵの間でネットワーク１００を介してデータのやり取りが可能となる。通信が確立されると、他ＥＣＵの安全性レベル情報を送受信するコンフィグ状態５３ａに遷移する。コンフィグ状態５ａにおいて他ＥＣＵの安全性レベル情報を全て取得する遷移条件によって、ノーマル状態５４ａに遷移する。ここでノーマル状態５４ａでは他ＥＣＵの安全性レベル情報１７ａに他ＥＣＵの安全性レベルが格納されていることになるため、＜第１の実施の形態＞において説明した動作が可能となる。具体的には、通信フレーム２００内に安全性レベルを直接表す情報を付与せず、通信ＩＤを付与することができる。

以下コンフィグ状態５３ａを備える本発明の診断部５ａについて説明する。図１４はコンフィグ状態５ａを備える診断部５ａの内部構成を示す。また診断部５ａは、図１５に示すように、送信データ処理３１ａと受信データ記録処理１１ａと診断の実行処理１２ａと診断方法１および２と故障検知処理１４ａと受信データバッファ１５ａと送信元ＥＣＵの情報１６ａと他ＥＣＵの安全性レベル情報１７ａと自ＥＣＵの安全性レベル情報１８ａと安全性レベルに応じた診断情報１９ａと診断パラメータ情報２０ａとエラーカウント情報２１ａを備える。診断の実行処理１２ａは、送信データ処理３１ａに自ＥＣＵの自ＥＣＵの安全性レベル情報１８ａに格納されている自ＥＣＵの安全性レベルを渡す。送信データ処理３１ａは渡された自ＥＣＵの安全性レベルをネットワーク制御ドライブ６ａによって送信する。ネットワーク制御ドライブ６ａはネットワーク１００を介して他ＥＣＵから送信される通信フレーム２００の通信ＩＤに基づいて、自ＥＣＵが受信すべき通信フレーム２００であるかを判別し、受信すべき通信フレームであれば受信する。受信データ記録処理では、受信した通信フレームの通信ＩＤに従ってデータを格納する。診断の実行処理１２ａは受信データバッファ１５ａに格納されている通信ＩＤから送信元ＥＣＵの情報１６ａを読込み、送信元ＥＣＵを特定し、他ＥＣＵの安全性レベル情報１７ａに特定した送信元ＥＣＵに基づいて受信データバッファ１５ａに格納されている安全性レベルを記憶する。また診断の実行処理１２ａは他ＥＣＵの安全性レベル情報を全て取得すれば、それを通知し、ノーマル状態５４ａに遷移させる。なお、コンフィグ状態５３ａからノーマル状態５４ａへ遷移する条件は、他ＥＣＵの安全性レベル情報を少なくとも１つ記憶した場合としてもよい。

以上の構成によれば、予め他ＥＣＵの安全性レベル情報を備えていなくとも、通信確立以降＜第２の実施の形態＞にある動作をすれば、自ＥＣＵが他ＥＣＵの安全性レベル情報を備えることができる。

１ａ、１ｂ、１ｃ 電子制御装置（ＥＣＵ）
２ａ アプリケーション・プログラム
３ａ インターフェース
４ａ ＲＴＯＳ
５ａ 診断部
６ａ ネットワーク制御ドライブ
１１ａ 受信データ記録処理
１２ａ 診断の実行処理
１３ａ１ 診断方法１
１３ａ２ 診断方法２
１４ａ 故障検知処理
１５ａ 受信データバッファ
１６ａ 送信元ＥＣＵの情報
１７ａ 他ＥＣＵの安全性レベル情報
１８ａ 自ＥＣＵの安全性レベル情報
１９ａ 安全性レベルに応じた診断情報
２０ａ 診断パラメータ情報
２１ａ エラーカウント情報
２２ａ、２３ａ、２４ａ、２５ａ、２６ａ、２７ａ、２８ａ、２９ａ、３０ａ、３２ａ、３３ａ パス
３１ａ 送信データ処理
５１ａ 電源オン状態
５２ａ 通信確立の状態
５３ａ コンフィグ状態
５４ａ ノーマル状態
５５ａ、５６ａ、５７ａ 遷移条件
２００ 通信フレーム
２０１ 通信ＩＤ部
２０２ データ部
１０００ ネットワーク

Claims (9)

1. 複数の車載電子制御装置が接続された車載ネットワークに接続され、前記車載ネットワークを介してデータの送受信を行う車載電子制御装置において、
   前記車載ネットワークに送信するデータに、データ送信元を表す通信ＩＤを付与するＩＤ付与部と、
   前記車載電子制御装置または前記車載電子制御装置が有する機能に割当てられた安全性レベルに関する情報を格納する第一の記憶部と、
   前記車載ネットワークに接続された複数の車載電子制御装置と、前記通信ＩＤとを対応付ける情報を格納する第二の記憶部と、
   前記車載ネットワークに接続された他の車載電子制御装置または該他の車載電子制御装置が有する機能と安全性レベルとを対応付ける情報を格納する第三の記憶部と、
   前記車載ネットワークに接続された他の車載電子制御装置から受信したデータについて、前記第一の記憶部と前記第二の記憶部と前記第三の記憶部に格納された情報に基づいて診断の内容及び程度を選択し、診断処理を行う診断部と、
   を有することを特徴とする車載電子制御装置。
2. 請求項１に記載の車載電子制御装置であって、
   前記電子制御装置は、前記車載ネットワークに接続された他の車載電子制御装置から受信した、安全性レベルに関する情報を含んだデータ通信フレームを記録する受信データ記録処理部を有することを特徴とする車載電子制御装置。
3. 請求項２に記載の車載電子制御装置であって、
   前記車載ネットワークの通信確立後に、
   安全性レベルを含んだ通信フレームを送受信するコンフィグ状態に遷移し、
   前記通信フレームに含まれる安全性レベルを少なくとも１つ記憶した後に、
   前記コンフィグ状態から安全性レベルを含まない通信フレームを送受信するノーマル状態に遷移することを特徴とする車載電子制御装置。
4. 請求項１に記載の車載電子制御装置であって、
   前記車載ネットワークに接続された他の車載電子制御装置または該他の車載電子制御装置が有する機能と安全性レベルとを対応付ける情報を、前記車載ネットワークの通信確立後に前記車載ネットワークから取得し、前記第三の記憶部へ格納することを特徴とする車載電子制御装置。
5. 請求項１から４のいずれか一項に記載の車載電子制御装置であって、
   前記診断の程度には、前記車載ネットワークに接続された他の車載電子制御装置から受信したデータについて診断処理を行わずにデータを取得しない場合が含まれていることを特徴とする車載電子制御装置。
6. 請求項１から５のいずれか一項に記載の車載電子制御装置であって、
   前記診断の程度には、受信したデータの診断回数が含まれていることを特徴とする車載電子制御装置。
7. 請求項１から６のいずれか一項に記載の車載電子制御装置であって、
   前記診断の内容には、受信したデータの正常性を診断するための閾値の範囲が含まれていることを特徴とする車載電子制御装置。
8. 請求項１から７のいずれか一項に記載の車載電子制御装置であって、
   前記安全性レベルは、割当てられる機能が正常に動作しないときの被害の大きさによって決定されることを特徴とする車載電子制御装置。
9. 請求項１に記載の車載電子制御装置を少なくとも一つ備えた車両制御システム。