JP5766360B2

JP5766360B2 - 車載通信システムおよび車載通信方法

Info

Publication number: JP5766360B2
Application number: JP2014531463A
Authority: JP
Inventors: 博仁西山; 伊藤　益夫; 益夫伊藤; 圭佑守田; 徳永　雄一; 雄一徳永; 大輔谷本; 岡村　茂一; 茂一岡村; 辻　浩之; 浩之辻; 光宏三村
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2012-08-24
Filing date: 2012-08-24
Publication date: 2015-08-19
Anticipated expiration: 2032-08-24
Also published as: JPWO2014030247A1; US9925935B2; CN104583017A; US20150217706A1; DE112012006843T5; CN104583017B; WO2014030247A1

Description

本発明は、例えば、自動車のデバイスを制御するための車載通信システムおよび車載通信方法に関するものである。

自動車に搭載される車載システムは、ＢＣＭ（ＢｏｄｙＣｏｎｔｒｏｌＭｏｄｕｌｅ）と呼ばれるＥＣＵ（ＥｌｅｃｔｒｏＣｏｎｔｒｏｌＵｎｉｔ）を備える。そして、Ｉ／Ｏデバイス（Ｉ／Ｏ：ＩＮＰＵＴ／ＯＵＴＰＵＴ）が専用の信号線でＢＣＭに接続され、ＢＣＭがＩ／Ｏデバイスを制御する。
このような車載システムには、制御対象のＩ／Ｏデバイスの増加に伴って、ＢＣＭに接続する信号線の量が増加する、という課題がある。

この課題を解決するために、特許文献１には、複数のＩ／Ｏデバイスそれぞれの信号線を車両各部に配置されたいずれかの多重伝送装置に収容し、これらの多重伝送装置間を多重伝送路で接続する方法が開示されている。

一方で、車載システムには、システム障害が発生しても重大な事故を引き起こさないための安全性が求められており、安全性に関する基準としてＩＳＯ２６２６２が国際標準化されている。

特開平０２−００１６４９号公報

本発明は、例えば、自動車のデバイスを制御するための制御装置の信号線の量を抑えると共に自動車の安全性を確保することができるようにすることを目的とする。

本発明の車載通信システムは、入力用伝送装置と制御装置と出力用伝送装置とを備える。
前記入力用伝送装置は、
入力元のデバイスとして前記車両に搭載されるデバイスから出力されるデータを第一のデバイスデータとして入力する第一のデバイスデータ入力部と、
前記入力元のデバイスから出力される前記データを第二のデバイスデータとして入力する第二のデバイスデータ入力部と、
前記第一のデバイスデータ入力部が入力した前記第一のデバイスデータと通信結果を判定するための第一の入力用安全通信データとを含む第一の入力用伝送データを生成すると共に、前記第二のデバイスデータ入力部が入力した前記第二のデバイスデータと通信結果を判定するための第二の入力用安全通信データとを含む第二の入力用伝送データを生成し、前記第一の入力用伝送データと前記第二の入力用伝送データとを前記制御装置へ送信する入力用送信部とを備える。
前記制御装置は、
前記入力用伝送装置から送信される前記第一の入力用伝送データと前記第二の入力用伝送データとを受信する制御用受信部と、
前記制御用受信部によって受信された前記第一の入力用伝送データに含まれる前記第一の入力用安全通信データに基づいて、前記第一の入力用伝送データに含まれる前記第一のデバイスデータの通信が正常に行われたか否かを判定する第一の制御用判定部と、
前記第一のデバイスデータの通信が正常に行われたと判定された場合、前記第一のデバイスデータに基づいた制御を指定する第一の制御データを生成し、前記第一のデバイスデータの通信が正常に行われなかったと判定された場合、予め定められるフェールセーフ用の制御を指定する第一の制御データを生成する第一の制御用演算部と、
前記制御用受信部によって受信された前記第二の入力用伝送データに含まれる前記第二の入力用安全通信データに基づいて、前記第二の入力用伝送データに含まれる前記第二のデバイスデータの通信が正常に行われたか否かを判定する第二の制御用判定部と、
前記第二のデバイスデータの通信が正常に行われたと判定された場合、前記第二のデバイスデータに基づいた制御を指定する第二の制御データを生成し、前記第二のデバイスデータの通信が正常に行われなかったと判定された場合、前記フェールセーフ用の制御を指定する第二の制御データを生成する第二の制御用演算部と、
前記第一の制御用演算部によって生成された前記第一の制御データを含む第一の制御用伝送データを生成すると共に、前記第二の制御用演算部によって生成された前記第二の制御データを含む第二の制御用伝送データを生成し、前記第一の制御用伝送データと前記第二の制御用伝送データとを前記出力用伝送装置へ送信する制御用送信部とを備える。
前記出力用伝送装置は、
前記制御装置から送信される前記第一の制御用伝送データと前記第二の制御用伝送データとを受信する出力用受信部と、
前記出力用受信部によって受信された前記第一の制御用伝送データに含まれる前記第一の制御データと前記出力用受信部によって受信された前記第二の制御用伝送データに含まれる前記第二の制御データとに基づいて、前記車両に搭載される制御対象のデバイスを制御するためのデバイス制御データを出力するデバイス制御データ出力部とを備える。

本発明によれば、例えば、自動車のデバイスを制御するための制御装置の信号線の量を抑えると共に自動車の安全性を確保することができる。

実施の形態１における車載通信システム１００の構成図。実施の形態１における車載通信システム１００の車載通信方法を示すフローチャート。実施の形態１における車載通信システム１００の車載通信方法を示すフローチャート。実施の形態１における車載通信システム１００の車載通信方法を示すフローチャート。実施の形態１における車載通信システム１００の車載通信方法を示すフローチャート。実施の形態１における車載通信システム１００の車載通信方法を示すフローチャート。実施の形態１における車載通信システム１００の車載通信方法を示すフローチャート。実施の形態１における車載通信システム１００の構成の一例を示す図。実施の形態２における車載通信システム１００の構成図。実施の形態２における車載通信システム１００の車載通信方法の一部を示すフローチャート。実施の形態３における入力用ＤＨＭ１１０のハードウェア構成図。実施の形態３におけるＢＣＭ１２０のハードウェア構成図。実施の形態４における入力用ＤＨＭ１１０のハードウェア構成図。実施の形態４におけるＢＣＭ１２０のハードウェア構成図。実施の形態５における入力用ＤＨＭ１１０のハードウェア構成図。実施の形態５におけるＢＣＭ１２０のハードウェア構成図。

実施の形態１．
自動車のデバイスを制御するための制御装置の信号線の量を抑えると共に自動車の安全性を確保する形態について説明する。

図１は、実施の形態１における車載通信システム１００の構成図である。
実施の形態１における車載通信システム１００の構成について、図１に基づいて説明する。

車載通信システム１００（車載通信システムの一例）は、自動車（車両の一例）に搭載されるシステムである。

車載通信システム１００は、入力用ＤＨＭ１１０（入力用伝送装置の一例）、ＢＣＭ１２０（制御装置の一例）、出力用ＤＨＭ１３０（出力用伝送装置の一例）および確認用ＤＨＭ１４０（フィードバック用伝送装置の一例）を備える。
ＤＨＭは「ＤｅｖｉｃｅＨｕｂＭｏｄｕｌｅ」の略であり、ＢＣＭは「ＢｏｄｙＣｏｎｔｒｏｌＭｏｄｕｌｅ」の略である。

入力用ＤＨＭ１１０、ＢＣＭ１２０、出力用ＤＨＭ１３０および確認用ＤＨＭ１４０は、ＣＡＮ１０１というネットワークを介して通信を行う。
ＣＡＮは「ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ」の略である。
但し、ＣＡＮをその他の規格のネットワークに置き換えても構わない。

入力用ＤＨＭ１１０および出力用ＤＨＭ１３０には、自動車に搭載される１つ以上のデバイスが信号線を介して接続される。
スイッチ１０２、ボタンおよびセンサは入力用ＤＨＭ１１０に接続されるデバイスの一例であり、アクチュエータ１０３、ライトおよびモータは出力用ＤＨＭ１３０に接続されるデバイスの一例である。
以下、入力用ＤＨＭ１１０に接続される各デバイスを「入力デバイス」という。また、出力用ＤＨＭ１３０に接続される各デバイスを「出力デバイス」という。

入力用ＤＨＭ１１０は、入力デバイスから出力されるデバイスデータを伝送する伝送装置である。
また、入力用ＤＨＭ１１０は、多重伝送の対象となる入力デバイスから出力されるデバイスデータを多重化して伝送する多重伝送装置である。
図１において、スイッチ１０２は多重伝送の対象となる入力デバイスの一例である。

入力用ＤＨＭ１１０は入力制御ブロックと入力用共有メモリと入力用ＮＷ制御ブロック１１５（入力用送信部の一例）とを備え、入力制御ブロックおよび入力用共有メモリは二重化されている。
以下、二重化された入力制御ブロックを「第一の入力制御ブロック１１１（第一のデバイスデータ入力部の一例）」「第二の入力制御ブロック１１２（第二のデバイスデータ入力部の一例）」と呼ぶ。また、二重化された入力用共有メモリを「第一の入力用共有メモリ１１３（第一の入力用メモリの一例）」「第二の入力用共有メモリ１１４（第二の入力用メモリの一例）」と呼ぶ。

多重伝送の対象となる入力デバイス（例えば、スイッチ１０２）は第一の入力制御ブロック１１１と第二の入力制御ブロック１１２とのそれぞれに接続し、その他の入力デバイスは第一の入力制御ブロック１１１と第二の入力制御ブロック１１２とのいずれか一方に接続する。

入力用ＤＨＭ１１０の各構成の機能および動作については後述する。

ＢＣＭ１２０は、入力用ＤＨＭ１１０から伝送されるデバイスデータに基づいて、制御対象の出力デバイスを制御するための制御データを伝送する制御装置である。
また、ＢＣＭ１２０は、入力用ＤＨＭ１１０から多重伝送される各デバイスデータに基づいて制御データを多重伝送する制御装置である。

ＢＣＭ１２０はＢＣＭ＿ＮＷ制御ブロック１２１（制御用受信部、制御用送信部の一例）と受信用の共有メモリと送信用の共有メモリと確認用の共有メモリと演算ブロックとを備え、受信用の共有メモリ、送信用の共有メモリ、確認用の共有メモリおよび演算ブロックは二重化されている。
以下、二重化した受信用の共有メモリを「第一のＢＣＭ共有メモリ１２２ｒ（第一の受信用メモリの一例）」「第二のＢＣＭ共有メモリ１２３ｒ（第二の受信用メモリの一例）」と呼ぶ。二重化した送信用の共有メモリを「第三のＢＣＭ共有メモリ１２２ｓ（第一の送信用メモリの一例）」「第四のＢＣＭ共有メモリ１２３ｓ（第二の送信用メモリの一例）」と呼ぶ。二重化した確認用の共有メモリを「第五のＢＣＭ共有メモリ１２２ｃ（第一の確認用メモリの一例）」「第六のＢＣＭ共有メモリ１２３ｃ（第二の確認用メモリの一例）」と呼ぶ。また、二重化した演算ブロックを「第一の演算ブロック１２４（第一の制御用判定部、第一の制御用演算部、第一の確認用判定部の一例）」「第二の演算ブロック１２５（第二の制御用判定部、第二の制御用演算部、第二の確認用判定部の一例）」と呼ぶ。
ＢＣＭ１２０の各構成の機能および動作については後述する。

出力用ＤＨＭ１３０は、ＢＣＭ１２０から送信される制御データを受信し、受信した制御データに基づいて制御対象の出力デバイスを制御する伝送装置である。
また、出力用ＤＨＭ１３０は、ＢＣＭ１２０から多重伝送される各制御データを受信し、受信した各制御データに基づいて制御対象の出力デバイスを制御する多重伝送装置である。
図１において、アクチュエータ１０３は多重伝送された各制御データに基づいて制御される制御対象の出力デバイスの一例である。

出力用ＤＨＭ１３０は出力用ＮＷ制御ブロック１３１（出力用受信部の一例）と出力用共有メモリと出力制御ブロックと突合せ回路１３６（突合せ回路の一例）とを備え、出力用共有メモリおよび出力制御ブロックは二重化されている。
以下、二重化した出力用共有メモリを「第一の出力用共有メモリ１３２（第一の出力用メモリの一例）」「第二の出力用共有メモリ１３３（第二の出力用メモリの一例）」と呼ぶ。また、二重化した出力制御ブロックを「第一の出力制御ブロック１３４（第一の出力用判定部、第一の出力用演算部の一例）」「第二の出力制御ブロック１３５（第二の出力用判定部、第二の出力用演算部の一例）」と呼ぶ。
出力用ＤＨＭ１３０の各構成の機能および動作については後述する。

確認用ＤＨＭ１４０は、出力用ＤＨＭ１３０から制御対象の出力デバイスへ出力される制御データと制御対象の出力デバイスの動作状態を示す状態データとを入力し、入力した制御データと状態データとをＢＣＭ１２０へ伝送する伝送装置である。

確認用ＤＨＭ１４０は、確認用入力制御ブロック１４１（フィードバック用伝送装置の一例）と確認用共有メモリ１４２（フィードバック用メモリの一例）と確認用ＮＷ制御ブロック１４３（フィードバック用送信部の一例）とを備える。
確認用ＤＨＭ１４０の各構成の機能および動作については後述する。

エラー表示器１０９は、入力用ＤＨＭ１１０、ＢＣＭ１２０および出力用ＤＨＭ１３０の通信エラー、または出力デバイスの制御エラーを運転者に知らせる装置である。
計器類を含んだインストルメントパネル、またはカーナビゲーションシステムはエラー表示器１０９の一例である。

車載通信システム１００の各構成は、論理的（ソフトウェア的）または物理的（ハードウェア的）に分離されている。

実施の形態において構成図またはフローチャートに含まれる矢印は主にデータや信号の入出力を示す。
入力用ＤＨＭ１１０、ＢＣＭ１２０および出力用ＤＨＭ１３０の「〜ブロック」として説明するものは「〜回路」「〜装置」「〜機器」であってもよく、また「〜部」「〜処理」「〜ステップ」であってもよい。
つまり、入力用ＤＨＭ１１０、ＢＣＭ１２０および出力用ＤＨＭ１３０は、ハードウェア、ソフトウェア（プログラム）、ファームウェアまたはこれらの組み合わせのいずれで実装されても構わない。

図２から図７は、実施の形態１における車載通信システム１００の車載通信方法を示すフローチャートである。
実施の形態１における車載通信システム１００の車載通信方法について、図２から図７に基づいて説明する。

以下、車載通信システム１００の車載通信方法の説明において、「入力デバイス」は多重通信の対象となる入力デバイスを意味し、「出力デバイス」は入力デバイスから出力されるデバイスデータに基づいて制御される制御対象の出力デバイスを意味する。

車載通信システム１００の車載通信方法について図２から説明を始める。

Ｓ１０１において、入力デバイスはデバイスデータを入力用ＤＨＭ１１０へ出力する。
例えば、２つの接点を有するプッシュ・スイッチ（図１のスイッチ１０２）が入力デバイスとして機能する。スイッチ１０２が押されている間、スイッチ１０２はＬｏｗの信号値をデバイスデータとして出力する。また、スイッチ１０２が押されていないとき、スイッチ１０２はＨｉｇｈの信号値をデバイスデータとして出力する。
また、デバイスデータは入力用ＤＨＭ１１０によってプルアップ処理される。つまり、スイッチ１０２と入力用ＤＨＭ１１０とを接続する信号線が断線している場合、プルアップ処理によって、入力用ＤＨＭ１１０にはＨｉｇｈの信号値を示すデバイスデータが入力される。
Ｓ１０１の後、処理はＳ１１１およびＳ１２１に進む。
以下、Ｓ１１１からＳ１１６およびＳ１２１からＳ１２６は、入力用ＤＨＭ１１０の構成によって実行される。

Ｓ１１１において、第一の入力制御ブロック１１１は、入力デバイスが接続される入力ポートに一定周期でアクセスし、Ｓ１０１で出力されたデバイスデータを入力する。
一定周期とは、システム全体のリアルタイム性を損なわないレベルの周期である。運転者の操作を伴う場合、運転者によって入力デバイスの操作が行われてから出力デバイスが制御されるまで、１００ミリ秒程度の遅延が許容される。したがって、１０ミリ秒程度の周期であれば、一定周期として十分なレベルである。以下で述べる一定周期についても同様である。
Ｓ１１１の後、処理はＳ１１２に進む。

Ｓ１１２において、第一の入力制御ブロック１１１は、Ｓ１１１で入力したデバイスデータに基づいて、通信結果を確認するための安全通信データを生成する。
安全通信データとは、通信障害の有無を検査するためのデータである。通信データの順番を示すシーケンス番号、またはＣＲＣコード（ＣＲＣ：ＣｙｃｌｉｃＲｅｄｕｎｄａｎｃｙＣｈｅｃｋ）などの誤り検出符号は、安全通信データの一例である。
以下、安全通信データに基づいて通信障害の有無を検査する機能を「安全通信機能」という。ＡＵＴＯＳＡＲの“Ｅｎｄ−ｔｏ−ＥｎｄＣｏｍｍｕｎｉｃａｔｉｏｎＰｒｏｔｅｃｔｉｏｎ”は、安全通信機能に関する規格の一例である。以下で述べる安全通信データおよび安全通信機能についても同様である。
Ｓ１１２の後、処理はＳ１１３に進む。

Ｓ１１３において、第一の入力制御ブロック１１１は、Ｓ１１１で入力したデバイスデータとＳ１１２で生成した安全通信データとを第一の入力用共有メモリ１１３に書き込む。データの「書き込み」はデータの「記憶」と読み替えてもよい（以下同様）。
Ｓ１１３の後、処理はＳ１１４に進む。

Ｓ１１４において、入力用ＮＷ制御ブロック１１５は、第一の入力用共有メモリ１１３に一定周期でアクセスし、第一の入力用共有メモリ１１３からデバイスデータと安全通信データとを読み出す。データの「読み出し」はデータの「取得」と読み替えてもよい（以下同様）。
Ｓ１１５において、入力用ＮＷ制御ブロック１１５は、Ｓ１１４で読み出したデバイスデータと安全通信データとを含めて、ＣＡＮ１０１用のフレームを生成する。フレームは、ネットワークを介して通信するために所定のフォーマットで生成されるデータである（以下同様）。以下、Ｓ１１５で生成したフレームを「第一のデータ用フレーム」という。
Ｓ１１６において、入力用ＮＷ制御ブロック１１５は、Ｓ１１５で生成した第一のデータ用フレームをＣＡＮ１０１を介してＢＣＭ１２０へ送信する。
Ｓ１１６の後、処理はＳ２１１（図３参照）に進む。

Ｓ１２１からＳ１２６において、第二の入力制御ブロック１１２および入力用ＮＷ制御ブロック１１５は、第二の入力用共有メモリ１１４を用いて、Ｓ１１１からＳ１１６と同様に動作する。
つまり、第二の入力制御ブロック１１２はデバイスデータを入力し（Ｓ１２１）、安全通信データを生成し（Ｓ１２２）、デバイスデータと安全通信データとを第二の入力用共有メモリ１１４に書き込む（Ｓ１２３）。
また、入力用ＮＷ制御ブロック１１５は第二の入力用共有メモリ１１４からデバイスデータと安全通信データとを読み出し（Ｓ１２４）、デバイスデータと安全通信データとを含む第二のデータ用フレームを生成し（Ｓ１２５）、第二のデータ用フレームをＢＣＭ１２０へ送信する（Ｓ１２６）。Ｓ１２６の後、処理はＳ２２１に進む。

Ｓ２１１およびＳ２２１以降の処理について図３に基づいて説明する。
図３において、Ｓ２１１からＳ２１５およびＳ２２１からＳ２２５は、ＢＣＭ１２０の構成によって実行される。

Ｓ２１１において、ＢＣＭ＿ＮＷ制御ブロック１２１は、入力用ＤＨＭ１１０から送信される第一のデータ用フレームを受信する。
Ｓ２１１の後、処理はＳ２１２に進む。

Ｓ２１２において、ＢＣＭ＿ＮＷ制御ブロック１２１は、Ｓ２１１で受信した第一のデータ用フレームを第一のＢＣＭ共有メモリ１２２ｒに書き込む。
例えば、第一・第二の各データ用フレームは第一のデータ用フレームと第二のデータ用フレームとを識別する識別子（ＩＰアドレス、識別番号など）を含み、ＢＣＭ＿ＮＷ制御ブロック１２１はこの識別子に基づいて第一のデータ用フレームと第二のデータ用フレームとを区別する。
Ｓ２１２の後、処理はＳ２１３に進む。

Ｓ２１３において、第一の演算ブロック１２４は、第一のＢＣＭ共有メモリ１２２ｒに一定周期でアクセスし、第一のＢＣＭ共有メモリ１２２ｒから第一のデータ用フレームを読み出す。
Ｓ２１３の後、処理はＳ２１４に進む。

Ｓ２１４において、第一の演算ブロック１２４は、安全通信機能により、第一のデータ用フレームの通信の際に通信異常が発生したか否かを判定する。
例えば、第一の演算ブロック１２４は、第一のデータ用フレームに含まれる安全通信データが示すシーケンス番号またはＣＲＣコードをチェックする。そして、安全通信データが正しい値でない場合、第一の演算ブロック１２４は通信異常が発生したと判定する。以降で述べる安全通信機能についても同様である。
通信異常が発生したと判定した場合（ＹＥＳ）、処理はＳ２１５に進む。
通信異常が発生しなかったと判定した場合（ＮＯ）、処理はＳ２３１（図４参照）に進む。

Ｓ２１５において、第一の演算ブロック１２４は、車載通信のエラーが発生したことを通知するためのエラー通知データをエラー表示器１０９に入力する。
例えば、エラー表示器１０９として機能するインストルメントパネルまたはカーナビゲーションシステムは、エラー通知データが入力された際に以下のように動作する。
インストルメントパネルは、エラー表示用のランプを点滅させる。
カーナビゲーションシステムは、エラーメッセージをディスプレイに表示し、または、エラーメッセージを音声出力する。
Ｓ２１５の後、処理はＳ２３１（図４参照）に進む。

Ｓ２２１からＳ２２５において、ＢＣＭ＿ＮＷ制御ブロック１２１および第二の演算ブロック１２５は、第二のＢＣＭ共有メモリ１２３ｒを用いて、Ｓ２１１からＳ２１５と同様に動作する。
つまり、ＢＣＭ＿ＮＷ制御ブロック１２１は第二のデータ用フレームを受信し（Ｓ２２１）、第二のデータ用フレームを第二のＢＣＭ共有メモリ１２３ｒに書き込む（Ｓ２２２）。
また、第二の演算ブロック１２５は第二のＢＣＭ共有メモリ１２３ｒから第二のデータ用フレームを読み出し（Ｓ２２３）、通信異常の発生の有無を判定する（Ｓ２２４）。通信異常が発生したと判定した場合、第二の演算ブロック１２５はエラー表示器１０９にエラーを通知する（Ｓ２２５）。
Ｓ２２４で通信異常が発生しなかったと判定された場合又はＳ２２５の後、処理はＳ２４１に進む。

Ｓ２３１およびＳ２４１以降の処理について図４に基づいて説明する。
図４において、Ｓ２３１からＳ２３６およびＳ２４１からＳ２４６は、ＢＣＭ１２０の構成によって実行される。

Ｓ２３１において、第一の演算ブロック１２４は、Ｓ２１４で通信異常が発生したと判定した場合、フェールセーフ用の制御を指定する制御データを生成する。
フェールセーフ用の制御とは、障害が発生したときに安全な動作を行わせる制御である。フェールセーフ用の制御は、出力デバイス毎に予め定めておく。例えば、第一の演算ブロック１２４は、出力デバイスを停止するためにＬｏｗの信号値を示す制御データを生成する。以降で述べるフェールセーフ用の制御についても同様である。
Ｓ２１４で通信異常が発生しなかったと判定した場合、第一の演算ブロック１２４は、第一のデータ用フレームに含まれるデバイスデータに基づいて、デバイスデータの値に応じた制御（以下、「通常制御」という）を指定する制御データを生成する。
例えば、第一の演算ブロック１２４は、スイッチ１０２（入力デバイスの一例）の操作に応じてアクチュエータ１０３（出力デバイスの一例）を動作させるため、デバイスデータの値を制御データとして用いる。また例えば、第一の演算ブロック１２４は、モータをＯＮ／ＯＦＦするためのデータ、または車内の照明の明るさを調整するためのＰＷＭ（ＰｕｌｓｅＷｉｄｔｈＭｏｄｕｌａｔｉｏｎ）のデータを制御データとして生成する。以降で述べるデバイスデータの値に応じた制御についても同様である。
Ｓ２３１の後、処理はＳ２３２に進む。

Ｓ２３２において、第一の演算ブロック１２４は、Ｓ２３１で生成した制御データに基づいて安全通信データを生成する。
Ｓ２３３において、第一の演算ブロック１２４は、Ｓ２３１で生成した制御データとＳ２３２で生成した安全通信データとを第三のＢＣＭ共有メモリ１２２ｓに書き込む。
Ｓ２３３の後、処理はＳ２３４に進む。

Ｓ２３４において、ＢＣＭ＿ＮＷ制御ブロック１２１は、第三のＢＣＭ共有メモリ１２２ｓから制御データと安全通信データとを読み出す。
Ｓ２３５において、ＢＣＭ＿ＮＷ制御ブロック１２１は、Ｓ２３４で読み出した制御データと安全通信データとを含めて、ＣＡＮ１０１用のフレームを生成する。以下、Ｓ２３５で生成したフレームを「第一の制御用フレーム」という。
Ｓ２３６において、ＢＣＭ＿ＮＷ制御ブロック１２１は、Ｓ２３５で生成した第一の制御用フレームをＣＡＮ１０１を介して出力用ＤＨＭ１３０へ送信する。
Ｓ２３６の後、処理はＳ３１１（図５参照）に進む。

Ｓ２４１からＳ２４６において、第二の演算ブロック１２５およびＢＣＭ＿ＮＷ制御ブロック１２１は、第四のＢＣＭ共有メモリ１２３ｓを用いて、Ｓ２３１からＳ２３６と同様に動作する。
つまり、第二の演算ブロック１２５はＳ２２４の判定結果または第二のデータ用フレームに含まれるデバイスデータに基づいて制御データを生成し（Ｓ２４１）、安全通信データを生成し（Ｓ２４２）、制御データと安全通信データとを第四のＢＣＭ共有メモリ１２３ｓに書き込む（Ｓ２４３）。
また、ＢＣＭ＿ＮＷ制御ブロック１２１は第四のＢＣＭ共有メモリ１２３ｓから制御データと安全通信データとを読み出し（Ｓ２４４）、制御データと安全通信データとを含む第二の制御用フレームを生成し（Ｓ２４５）、第二の制御用フレームをＢＣＭ１２０へ送信する（Ｓ２４６）。Ｓ２４６の後、処理はＳ３２１（図５参照）に進む。

Ｓ３１１およびＳ３２１以降の処理について図５に基づいて説明する。
図５において、Ｓ３１１からＳ３１５、Ｓ３２１からＳ３２５およびＳ３３０は、出力用ＤＨＭ１３０の構成によって実行される。

Ｓ３１１において、出力用ＮＷ制御ブロック１３１は、ＢＣＭ１２０から送信された第一の制御用フレームを受信する。
Ｓ３１２において、出力用ＮＷ制御ブロック１３１は、Ｓ３１１で受信した第一の制御用フレームを第一の出力用共有メモリ１３２に書き込む。
例えば、第一・第二の各制御用フレームは第一の制御用フレームと第二の制御用フレームとを識別する識別子を含み、出力用ＮＷ制御ブロック１３１はこの識別子に基づいて第一の制御用フレームと第二の制御用フレームとを区別する。
Ｓ３１２の後、処理はＳ３１３に進む。

Ｓ３１３において、第一の出力制御ブロック１３４は、第一の出力用共有メモリ１３２に一定周期でアクセスし、第一の出力用共有メモリ１３２から第一の制御用フレームを読み出す。
Ｓ３１３の後、処理はＳ３１４に進む。

Ｓ３１４において、第一の出力制御ブロック１３４は、安全通信機能により、第一の制御用フレームの通信の際に通信異常が発生したか否かを判定する。
Ｓ３１４の後、処理はＳ３１５に進む。

Ｓ３１５において、第一の出力制御ブロック１３４は、Ｓ３１４で通信異常が発生したと判定した場合、フェールセーフ用の制御を指定する制御データを生成し、生成した制御データを突合せ回路１３６に入力する。
Ｓ３１４で通信異常が発生しなかったと判定した場合、第一の出力制御ブロック１３４は、第一の制御用フレームに含まれる制御データを突合せ回路１３６に入力する。
以下、Ｓ３１５で突合せ回路１３６に出力する制御データを「第一の制御出力データ」という。
Ｓ３１５の後、処理はＳ３３０に進む。

Ｓ３２１からＳ３２５において、出力用ＮＷ制御ブロック１３１および第二の出力制御ブロック１３５は、第二の出力用共有メモリ１３３を用いて、Ｓ３１１からＳ３１５と同様に動作する。
つまり、出力用ＮＷ制御ブロック１３１は第二の制御用フレームを受信し（Ｓ３２１）、第二の制御用フレームを第二の出力用共有メモリ１３３に書き込む（Ｓ３２２）。
また、第二の出力制御ブロック１３５は第二の出力用共有メモリ１３３から第二の制御用フレームを読み出し（Ｓ３２３）、通信異常の発生の有無を判定し（Ｓ３２４）、判定結果または第二の制御用フレームに含まれる制御データに基づいて第二の制御出力データを突合せ回路１３６に入力する（Ｓ３２５）。Ｓ３２５の後、処理はＳ３３０に進む。

Ｓ３３０において、突合せ回路１３６は、Ｓ３１５で入力された第一の制御出力データとＳ３２５で入力された第二の制御出力データとに基づいて、出力デバイスを制御するためのデバイス制御データを出力デバイスに入力する。
例えば、突合せ回路１３６は、以下のようなデバイス制御データを出力デバイスに入力する。
第一の制御出力データと第二の制御出力データとの両方が同じ値を示す場合、突合せ回路１３６は、その値をデバイス制御データとして出力デバイスに入力する。
第一の制御出力データと第二の制御出力データとが互いに異なる値を示す場合、突合せ回路１３６は、フェールセーフ用の制御を示すデバイス制御データを出力デバイスに入力する。
これにより、二重化された通信の少なくとも一方の系で異常が発生した場合、突合せ回路１３６はフェールセーフ用の動作を出力デバイスに行わせることができる。
例えば、突合せ回路１３６は、単純なＮＯＲ回路で構成することができる。
Ｓ３３０の後、処理はＳ３４０に進む。

Ｓ３４０において、出力デバイスは、Ｓ３３０で入力されたデバイス制御データに従って動作する。
例えば、デバイス制御データが動作の実行を指示する値である場合、出力デバイスとして機能するアクチュエータ１０３は動作を実行する。つまり、モータなどの所定のデバイスをアクチュエータ１０３が動作させる。
また、デバイス制御データが動作の停止を指示する値である場合、出力デバイスとして機能するアクチュエータ１０３は動作を停止する。つまり、モータなどの所定のデバイスをアクチュエータ１０３が停止させる。
Ｓ３４０の後、処理はＳ４１１（図６参照）に進む。

Ｓ４１１以降の処理について図６に基づいて説明する。
図６において、Ｓ４１１からＳ４１６は、確認用ＤＨＭ１４０の構成によって実行される。

Ｓ４１１において、確認用入力制御ブロック１４１は、Ｓ３３０で突合せ回路１３６から出力されて出力デバイスに入力されるデバイス制御データを入力する。
また、確認用入力制御ブロック１４１は、Ｓ３４０でデバイス制御データに従って動作するアクチュエータ１０３に対してアクチュエータ１０３の動作状態を示すデバイス状態データを要求し、アクチュエータ１０３からデバイス状態データを入力する。
但し、確認用入力制御ブロック１４１は、デバイス制御データとデバイス状態データとのいずれか一方を入力してもよい。
以下、Ｓ４１１で入力したデバイス制御データおよびデバイス状態データを「フィードバックデータ」という。
Ｓ４１１の後、処理はＳ４１２に進む。

Ｓ４１２において、確認用入力制御ブロック１４１は、Ｓ４１１で入力したフィードバックデータに基づいて安全通信データを生成する。
Ｓ４１３において、確認用入力制御ブロック１４１は、Ｓ４１１で入力したフィードバックデータとＳ４１２で生成した安全通信データとを確認用共有メモリ１４２に書き込む。
Ｓ４１３の後、処理はＳ４１４に進む。

Ｓ４１４において、確認用ＮＷ制御ブロック１４３は、一定周期で確認用共有メモリ１４２にアクセスし、確認用共有メモリ１４２からフィードバックデータと安全通信データとを読み出す。
Ｓ４１５において、確認用ＮＷ制御ブロック１４３は、Ｓ４１４で読み出したフィードバックデータと安全通信データとを含めて、ＣＡＮ１０１用のフレームを生成する。以下、Ｓ４１５で生成したフレームを「確認用フレーム」という。
Ｓ４１６において、確認用ＮＷ制御ブロック１４３は、Ｓ４１５で生成した確認用フレームをＣＡＮ１０１を介してＢＣＭ１２０へ送信する。例えば、確認用ＮＷ制御ブロック１４３は、確認用フレームをＢＣＭ１２０の第五のＢＣＭ共有メモリ１２２ｃおよび第六のＢＣＭ共有メモリ１２３ｃに記憶させるため、確認用フレームをマルチキャストで送信する。但し、確認用ＮＷ制御ブロック１４３は、第五のＢＣＭ共有メモリ１２２ｃに記憶させる第一の確認用フレームと第六のＢＣＭ共有メモリ１２３ｃに記憶させる第二の確認用フレームとをユニキャストで送信しても構わない。
Ｓ４１６の後、処理はＳ５１１（図７参照）に進む。

Ｓ５１１以降の処理について図７に基づいて説明する。
図７において、Ｓ５１１からＳ５３３は、ＢＣＭ１２０の構成によって実行される。

Ｓ５１１において、ＢＣＭ＿ＮＷ制御ブロック１２１は、確認用ＤＨＭ１４０から送信される確認用フレームを受信する。
Ｓ５１２において、ＢＣＭ＿ＮＷ制御ブロック１２１は、Ｓ５１１で受信した確認用フレームを第五のＢＣＭ共有メモリ１２２ｃと第六のＢＣＭ共有メモリ１２３ｃとに書き込む。
Ｓ５１２の後、処理はＳ５２１およびＳ５３１に進む。

Ｓ５２１において、第一の演算ブロック１２４は、一定周期で第五のＢＣＭ共有メモリ１２２ｃにアクセスし、第五のＢＣＭ共有メモリ１２２ｃから確認用フレームを読み出す。
Ｓ５２１の後、処理はＳ５２２に進む。

Ｓ５２２において、第一の演算ブロック１２４は、Ｓ５２１で第五のＢＣＭ共有メモリ１２２ｃから読み出した確認用フレームに含まれるフィードバックデータとＳ２３３（図４参照）で第三のＢＣＭ共有メモリ１２２ｓに書き込んだ制御データとを比較する。そして、第一の演算ブロック１２４は、比較結果に基づいて、出力デバイスが正しく制御されているか否かを判定する。
例えば、デバイス制御データ（フィードバックデータの一例）と制御データとが同じであり、且つ、デバイス状態データ（フィードバックデータの一例）が示す動作と制御データに対応する動作とが同じである場合、第一の演算ブロック１２４は、出力デバイスが正しく制御されていると判定する。それ以外の場合、第一の演算ブロック１２４は、出力デバイスが正しく制御されていないと判定する。
出力デバイスが正しく制御されていると判定した場合（ＹＥＳ）、車載通信方法の一連の処理が終了する。
出力デバイスが正しく制御されていないと判定した場合（ＮＯ）、処理はＳ５２３に進む。

Ｓ５２３において、第一の演算ブロック１２４は、出力デバイスの制御エラーが発生したことを通知するためのエラー通知データをエラー表示器１０９に入力する。
エラー表示器１０９の動作は、Ｓ２１５（図３参照）と同様である。
Ｓ５２３により、車載通信方法の一連の処理が終了する。

Ｓ５３１からＳ５３３において、第二の演算ブロック１２５は、第六のＢＣＭ共有メモリ１２３ｃを用いて、Ｓ５２１からＳ５２３と同様に動作する。

つまり、第二の演算ブロック１２５は第六のＢＣＭ共有メモリ１２３ｃから確認用フレームを読み出し（Ｓ５３１）、確認用フレームに含まれるデバイス制御データとＳ２４３の制御データとを比較して出力デバイスが正しく制御されているか否かを判定する（Ｓ５３２）。そして、出力デバイスが正しく制御されていないと判定した場合、第二の演算ブロック１２５はエラー表示器１０９にエラーを通知する（Ｓ５３３）。

図２から図７に基づいて説明した車載通信方法は繰り返し実行される。

実施の形態１により、車載通信システム１００は、故障もしくは誤動作による単一障害が発生しても、フェールセーフ制御によって高い安全性を確保することができる。
つまり、車載通信システム１００は、原理的に回避不可能な突合せ回路１３６または出力デバイスの障害を除いて、いずれの構成要素で障害が発生しても出力デバイスをフェールセーフ制御することができる。

実施の形態１において、入力用ＤＨＭ１１０、ＢＣＭ１２０または出力用ＤＨＭ１３０の入力、演算または出力用の制御ブロックおよびメモリを二重化する形態について説明した。但し、これらの構成を三重化以上で多重化しても構わない。また、二重化されている構成の少なくともいずれかを多重化せずに１つのブロックまたはメモリで構成しても構わない。
また、入力用ＤＨＭ１１０、ＢＣＭ１２０または出力用ＤＨＭ１３０の各ＮＷ制御ブロックを多重化しても構わない。
さらに、確認用ＤＨＭ１４０の各構成を多重化しても構わない。但し、確認用ＤＨＭ１４０は出力デバイスが制御された後に出力デバイスが正しく制御されているか否かを確認するための構成であるため、確認用ＤＨＭ１４０の各構成を二重化しなくても安全性に影響はないものと考えられる。

図８は、実施の形態１における車載通信システム１００の構成の一例を示す図である。
図８に示すＤＨＭ１５０は、入力用ＤＨＭ１１０、出力用ＤＨＭ１３０および確認用ＤＨＭ１４０を一つにまとめた装置である。但し、第一の入力制御ブロック１１１および第一の入力用共有メモリ１１３は、確認用入力制御ブロック１４１および確認用共有メモリ１４２の機能も備える。
車載通信システム１００は、図８に示すように、入力用ＤＨＭ１１０、出力用ＤＨＭ１３０および確認用ＤＨＭ１４０を一つのＤＨＭ１５０で構成しても構わない。
また、入力用ＤＨＭ１１０、ＢＣＭ１２０、出力用ＤＨＭ１３０および確認用ＤＨＭ１４０のいずれかの組み合わせを一つの装置で構成しても構わない。

実施の形態１において、例えば、以下のような車載通信システム（車載通信システム１００）について説明した。実施の形態１で説明した構成のうち対応する構成の符号および名称を括弧内に記す。
車載通信システム１００は、入力用伝送装置（入力用ＤＨＭ１１０）と制御装置（ＢＣＭ１２０）と出力用伝送装置（出力用ＤＨＭ１３０）とを備える。
前記入力用伝送装置は、第一のデバイスデータ入力部（第一の入力制御ブロック１１１）と、第二のデバイスデータ入力部（第二の入力制御ブロック１１２）と、入力用送信部（入力用ＮＷ制御ブロック１１５）とを備える。
第一のデバイスデータ入力部は、入力元のデバイスとして前記車両に搭載されるデバイス（入力デバイス）から出力されるデータを第一のデバイスデータとして入力する。
第二のデバイスデータ入力部は、前記入力元のデバイスから出力される前記データを第二のデバイスデータとして入力する。
入力用送信部は、前記第一のデバイスデータ入力部が入力した前記第一のデバイスデータと通信結果を判定するための第一の入力用安全通信データとを含む第一の入力用伝送データ（第一のデータ用フレーム）を生成する。入力用送信部は、前記第二のデバイスデータ入力部が入力した前記第二のデバイスデータと通信結果を判定するための第二の入力用安全通信データとを含む第二の入力用伝送データ（第二のデータ用フレーム）を生成する。入力用送信部は、前記第一の入力用伝送データと前記第二の入力用伝送データとを前記制御装置へ送信する。
前記制御装置は、制御用受信部（ＢＣＭ＿ＮＷ制御ブロック１２１）と、第一の制御用判定部（第一の演算ブロック１２４）と、第一の制御用演算部（第一の演算ブロック１２４）と、第二の制御用判定部（第二の演算ブロック１２５）と、第二の制御用演算部（第二の演算ブロック１２５）と、制御用送信部（ＢＣＭ＿ＮＷ制御ブロック１２１）とを備える。
制御用受信部は、前記入力用伝送装置から送信される前記第一の入力用伝送データと前記第二の入力用伝送データとを受信する。
第一の制御用判定部は、前記制御用受信部によって受信された前記第一の入力用伝送データに含まれる前記第一の入力用安全通信データに基づいて、前記第一の入力用伝送データに含まれる前記第一のデバイスデータの通信が正常に行われたか否かを判定する。
前記第一のデバイスデータの通信が正常に行われたと判定された場合、第一の制御用演算部は、前記第一のデバイスデータに基づいた制御を指定する第一の制御データを生成する。前記第一のデバイスデータの通信が正常に行われなかったと判定された場合、第一の制御用演算部は、予め定められるフェールセーフ用の制御を指定する第一の制御データを生成する。
第二の制御用判定部は、前記制御用受信部によって受信された前記第二の入力用伝送データに含まれる前記第二の入力用安全通信データに基づいて、前記第二の入力用伝送データに含まれる前記第二のデバイスデータの通信が正常に行われたか否かを判定する。
前記第二のデバイスデータの通信が正常に行われたと判定された場合、第二の制御用演算部は、前記第二のデバイスデータに基づいた制御を指定する第二の制御データを生成する。前記第二のデバイスデータの通信が正常に行われなかったと判定された場合、第二の制御用演算部は、前記フェールセーフ用の制御を指定する第二の制御データを生成する。
制御用送信部は、前記第一の制御用演算部によって生成された前記第一の制御データを含む第一の制御用伝送データ（第一の制御用フレーム）を生成する。制御用送信部は、前記第二の制御用演算部によって生成された前記第二の制御データを含む第二の制御用伝送データ（第二の制御用フレーム）を生成する。制御用送信部は、前記第一の制御用伝送データと前記第二の制御用伝送データとを前記出力用伝送装置へ送信する。
前記出力用伝送装置は、出力用受信部（出力用ＮＷ制御ブロック１３１）と、デバイス制御データ出力部（符号「１３２」から「１３６」）とを備える。
出力用受信部は、前記制御装置から送信される前記第一の制御用伝送データと前記第二の制御用伝送データとを受信する。
デバイス制御データ出力部は、前記出力用受信部によって受信された前記第一の制御用伝送データに含まれる前記第一の制御データと前記出力用受信部によって受信された前記第二の制御用伝送データに含まれる前記第二の制御データとに基づいて、前記車両に搭載される制御対象のデバイス（出力デバイス）を制御するためのデバイス制御データを出力する。

前記デバイス制御データ出力部は、第一の出力用判定部（第一の出力制御ブロック１３４）と、第一の出力用演算部（第一の出力制御ブロック１３４）と、第二の出力用判定部（第二の出力制御ブロック１３５）と、第二の出力用演算部（第二の出力制御ブロック１３５）と、突合せ出力部（突合せ回路１３６）とを備える。
第一の出力用判定部は、前記出力用受信部によって受信された前記第一の制御用伝送データに含まれる前記第一の制御用安全通信データに基づいて、前記第一の制御用伝送データに含まれる第一の制御データの通信が正常に行われたか否かを判定する。
前記第一の制御データの通信が正常に行われたと判定された場合、第一の出力用演算部は、前記第一の制御データを第一の出力データとして出力する。前記第一の制御データの通信が正常に行われなかったと判定された場合、第一の出力用演算部は、予め定められるフェールセーフ用の制御を指定する第一の出力データを出力する。
第二の出力用判定部は、前記出力用受信部によって受信された前記第二の制御用伝送データに含まれる前記第二の制御用安全通信データに基づいて、前記第二の制御用伝送データに含まれる第二の制御データの通信が正常に行われたか否かを判定する。
前記第二の制御データの通信が正常に行われたと判定された場合、第二の出力用判定部は、前記第二の制御データを第二の出力データとして出力する。前記第二の制御データの通信が正常に行われなかったと判定された場合、第二の出力用判定部は、前記フェールセーフ用の制御を指定する第二の出力データを出力する。
突合せ出力部は、前記第一の出力用演算部によって出力された前記第一の出力データと前記第二の出力用演算部によって出力された前記第二の出力データとを入力し、前記第一の出力データと前記第二の出力データとに基づいて前記デバイス制御データを出力する。

前記車載通信システムは、フィードバック用伝送装置（確認用ＤＨＭ１４０）を備える。
前記フィードバック用伝送装置は、フィードバック用入力部（確認用入力制御ブロック１４１）と、フィードバック用送信部（確認用ＮＷ制御ブロック１４３）とを備える。
フィードバック用入力部は、前記出力用伝送装置から出力される前記デバイス制御データと、前記デバイス制御データに基づいて動作する前記制御対象のデバイスから前記制御対象のデバイスの動作状態を表すデバイス状態データとして出力されるデータとの少なくともいずれかをフィードバックデータとして入力する。
フィードバック用送信部は、前記フィードバック用入力部が入力した前記フィードバックデータを前記制御装置へ送信する。

前記制御装置は、第一の確認用判定部（第一の演算ブロック１２４）を備える。
前記制御用受信部は、前記フィードバック用伝送装置から送信される前記フィードバックデータを受信する。
前記第一の確認用判定部は、前記制御用受信部によって受信された前記フィードバックデータに基づいて、前記第一の制御データによって指定された制御が行われたか否かを判定する。
前記第一の確認用判定部は、前記第一の制御データによって指定された制御が行われなかったと判定した場合、障害が発生したことを通知するための障害通知データ（エラー通知データ）を出力する。

前記制御装置は、第二の確認用判定部（第二の演算ブロック１２５）を備える。
前記第二の確認用判定部は、前記制御用受信部によって受信された前記フィードバックデータに基づいて、前記第二の制御データによって指定された制御が行われたか否かを判定する。
前記第二の確認用判定部は、前記第二の制御データによって指定された制御が行われなかったと判定した場合、前記障害通知データを出力する。

実施の形態２．
ＢＣＭ１２０の第一の演算ブロック１２４および第二の演算ブロック１２５が互いに生成した制御データを比較する形態について説明する。
以下、実施の形態１と異なる事項について主に説明する。説明を省略する事項については実施の形態１と同様である。

図９は、実施の形態２における車載通信システム１００の構成図である。
実施の形態２における車載通信システム１００の構成について、図９に基づいて説明する。

車載通信システム１００の入力用ＤＨＭ１１０、出力用ＤＨＭ１３０および確認用ＤＨＭ１４０の構成は、実施の形態１で説明した構成（図１参照）と同じである。
車載通信システム１００のＢＣＭ１２０は、実施の形態１で説明した構成に加えて、第七のＢＣＭ共有メモリ１２２Ｒおよび第八のＢＣＭ共有メモリ１２３Ｒを備える。
第七のＢＣＭ共有メモリ１２２Ｒおよび第八のＢＣＭ共有メモリ１２３Ｒは、第一の演算ブロック１２４および第二の演算ブロック１２５が互いの制御データを比較するための参照用メモリである。

車載通信システム１００の車載通信方法は、実施の形態１と同様である（図２から図７参照）。但し、ＢＣＭ１２０の処理の一部が異なる。

図１０は、実施の形態２における車載通信システム１００の車載通信方法の一部を示すフローチャートである。また、図１０は、実施の形態１で説明した図４にＳ２５１からＳ２５６を加えたフローチャートである。
実施の形態１と異なるＢＣＭ１２０の処理（Ｓ２５１からＳ２５６）について、図１０に基づいて説明する。

Ｓ２３１からＳ２３３およびＳ２４１からＳ２４３は、実施の形態１で説明した処理である（図４参照）。
Ｓ２３３の後、処理はＳ２５１に進む。また、Ｓ２４３の後、処理はＳ２５４に進む。

Ｓ２５１において、ＢＣＭ＿ＮＷ制御ブロック１２１は、Ｓ２３３で第三のＢＣＭ共有メモリ１２２ｓに書き込まれた制御データを第八のＢＣＭ共有メモリ１２３Ｒにコピーする。
Ｓ２５１の後、Ｓ２５２に進む。

Ｓ２５２において、第二の演算ブロック１２５は、第八のＢＣＭ共有メモリ１２３Ｒから制御データを読み出し、読み出した制御データとＳ２４３で第四のＢＣＭ共有メモリ１２３ｓに書き込んだ制御データとを比較する。つまり、第二の演算ブロック１２５は、自分が生成した制御データと第一の演算ブロック１２４が生成した制御データとを比較する。
制御データが同じ値を示す場合（ＹＥＳ）、処理はＳ２４４に進む。
制御データが異なる値を示す場合（ＮＯ）、処理はＳ２５３に進む。

Ｓ２５３において、第二の演算ブロック１２５は、Ｓ２４３で第四のＢＣＭ共有メモリ１２３ｓに書き込んだ制御データが、デバイスデータに応じた通常制御を指定する制御データであるか否かを判定する。
当該制御データが通常制御を指定する制御データである場合、第二の演算ブロック１２５は、フェールセーフ用の制御を指定する制御データを生成し、生成した制御データを第四のＢＣＭ共有メモリ１２３ｓに上書きする。つまり、第二の演算ブロック１２５は、通常制御用の制御データをフェールセーフ用の制御データに変更する。また、第二の演算ブロック１２５は、エラー表示器１０９にエラーを通知する（図３のＳ２２５と同様）。
Ｓ２５３の後、処理はＳ２４４に進む。Ｓ２４４からＳ２４６は実施の形態１で説明した処理である（図４参照）。

Ｓ２５４からＳ２５６は、第一の演算ブロック１２４側でＳ２５１からＳ２５３と同様に行う処理である。
つまり、ＢＣＭ＿ＮＷ制御ブロック１２１は第四のＢＣＭ共有メモリ１２３ｓに書き込まれた制御データを第七のＢＣＭ共有メモリ１２２Ｒにコピーし（Ｓ２５４）、第一の演算ブロック１２４は自己が生成した制御データと第二の演算ブロック１２５が生成した制御データとを比較する（Ｓ２５５）。制御データが異なる場合、第一の演算ブロック１２４は必要に応じて制御データをフェールセーフ用に変更し、またエラー表示器１０９にエラーを通知する（Ｓ２５６）。Ｓ２５６の後、処理はＳ２３４に進む。Ｓ２３４からＳ２３６は実施の形態１で説明した処理である（図４参照）。

エラー表示器１０９へのエラー通知は、第一の演算ブロック１２４と第二の演算ブロック１２５とのうち、予め定められた方の演算ブロックが行っても構わない。

実施の形態２において、ＢＣＭ１２０の第一の演算ブロック１２４および第二の演算ブロック１２５が互いに生成した制御データを比較する形態について説明した。
それぞれの制御データが異なる場合、入力（入力用ＤＨＭ１１０）から演算（ＢＣＭ１２０）までの二重化されたいずれかの部分で異常が発生したことになる。つまり、実施の形態２により、異常箇所の特定精度を向上させることができる。

実施の形態２は、以下のような形態であっても構わない。
Ｓ２５１およびＳ２５４において、ＢＣＭ＿ＮＷ制御ブロック１２１は制御データと共に安全通信データをコピーする。
Ｓ２５２およびＳ２５４において、各演算ブロックは、制御データが同じであるか否かの判定とは別に、制御データに異常が発生しているか否かを安全通信データを用いて安全通信機能によってチェックする。
制御データに異常が発生している場合、Ｓ２５３およびＳ２５６において、各演算ブロックは、必要に応じて制御データの変更およびエラー通知を行う。
安全通信機能によって制御データの異常を検出した場合、制御データのコピーを行ったＢＣＭ＿ＮＷ制御ブロック１２１、または制御データの書き込みを行った演算ブロックで異常が発生したことになる。つまり、この形態により、異常箇所の特定精度をより向上させることができる。

実施の形態３．
実施の形態１および２で説明した入力用ＤＨＭ１１０、ＢＣＭ１２０および出力用ＤＨＭ１３０の構成を複数のマイクロコンピュータ（以下、「マイコン」という）を用いて多重化する形態について説明する。

図１１は、実施の形態３における入力用ＤＨＭ１１０のハードウェア構成図である。
実施の形態３における入力用ＤＨＭ１１０のハードウェア構成について、図１１に基づいて説明する。

入力用ＤＨＭ１１０は、第一のマイコン２０１Ａおよび第二のマイコン２０１Ｂを備える。
第一のマイコン２０１Ａおよび第二のマイコン２０２Ｂは、ＣＰＵコア２１１、メモリ２１２、ＣＡＮコントローラ２１３およびポートコントローラ２１４を備える。これらはバス２１９（内部バス）を介して互いに接続している。

ＣＰＵコア２１１は、プログラムの実行、他のハードウェアの制御などを行う処理装置である。ＣＰＵコア２１１は、単に、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）ともいう。
メモリ２１２は、データを記憶する記憶装置である。
ＣＡＮコントローラ２１３は、ＣＡＮ１０１を介してデータ通信を行うためのハードウェアである。
ポートコントローラ２１４は、デバイスとの間で入出力を行うためのハードウェアである。

第一のマイコン２０１ＡのＣＰＵコア２１１、メモリ２１２およびポートコントローラ２１４は、入力用ＤＨＭ１１０の第一の入力制御ブロック１１１として機能する。
第一のマイコン２０１Ａのメモリ２１２は、入力用ＤＨＭ１１０の第一の入力用共有メモリ１１３として機能する。
第一のマイコン２０１ＡのＣＰＵコア２１１、メモリ２１２およびＣＡＮコントローラ２１３は、入力用ＤＨＭ１１０の入力用ＮＷ制御ブロック１１５として機能する。

第二のマイコン２０１ＢのＣＰＵコア２１１、メモリ２１２およびポートコントローラ２１４は、入力用ＤＨＭ１１０の第二の入力制御ブロック１１２として機能する。
第二のマイコン２０１Ｂのメモリ２１２は、入力用ＤＨＭ１１０の第二の入力用共有メモリ１１４として機能する。
第二のマイコン２０１ＢのＣＰＵコア２１１、メモリ２１２およびＣＡＮコントローラ２１３は、入力用ＤＨＭ１１０の入力用ＮＷ制御ブロック１１５として機能する。

出力用ＤＨＭ１３０についても、入力用ＤＨＭ１１０と同様に、２つのマイコンを用いて実装する。

図１２は、実施の形態３におけるＢＣＭ１２０のハードウェア構成図である。
実施の形態３におけるＢＣＭ１２０のハードウェア構成について、図１２に基づいて説明する。

ＢＣＭ１２０は、第一のマイコン２０２Ａおよび第二のマイコン２０２Ｂを備える。
第一のマイコン２０２Ａおよび第二のマイコン２０２Ｂは、ＣＰＵコア２１１、メモリ２１２、ＣＡＮコントローラ２１３およびエラー通知Ｉ／Ｆ２１５を備える。これらはバス２１９（内部バス）を介して互いに接続している。
エラー通知Ｉ／Ｆ２１５は、エラー表示器１０９にエラー通知を行うためのインタフェース（Ｉ／Ｆ）を備えたハードウェアである。

第一のマイコン２０２ＡのＣＰＵコア２１１、メモリ２１２およびＣＡＮコントローラ２１３は、ＢＣＭ１２０のＢＣＭ＿ＮＷ制御ブロック１２１として機能する。
第一のマイコン２０２Ａのメモリ２１２は、第一のＢＣＭ共有メモリ１２２ｒ、第三のＢＣＭ共有メモリ１２２ｓおよび第五のＢＣＭ共有メモリ１２２ｃとして機能する。
第一のマイコン２０２ＡのＣＰＵコア２１１、メモリ２１２およびエラー通知Ｉ／Ｆ２１５は、ＢＣＭ１２０の第一の演算ブロック１２４として機能する。

第二のマイコン２０２ＢのＣＰＵコア２１１、メモリ２１２およびＣＡＮコントローラ２１３は、ＢＣＭ１２０のＢＣＭ＿ＮＷ制御ブロック１２１として機能する。
第二のマイコン２０２Ｂのメモリ２１２は、第二のＢＣＭ共有メモリ１２３ｒ、第四のＢＣＭ共有メモリ１２３ｓおよび第六のＢＣＭ共有メモリ１２３ｃとして機能する。
第二のマイコン２０２ＢのＣＰＵコア２１１、メモリ２１２およびエラー通知Ｉ／Ｆ２１５は、ＢＣＭ１２０の第二の演算ブロック１２５として機能する。

図１１および図１２で説明したように二重化した各々の系を独立したマイコンを用いて物理的に分離された構成にすることで、片方の系の障害がもう一方の系に影響しないようにすることができる。

マイコンに供給する電源を生成する回路またはクロックを供給する水晶発振器は、それ自体が故障すると通信が不能になるため、通信相手が安全通信機能により異常を検出することができる。このため、これらの回路はそれぞれの系毎に付与する必要がなく、１系統だけ備えればよい。

実施の形態４．
実施の形態１および２で説明した入力用ＤＨＭ１１０、ＢＣＭ１２０および出力用ＤＨＭ１３０の構成を１つのマイコンを用いて多重化する形態について説明する。

図１３は、実施の形態４における入力用ＤＨＭ１１０のハードウェア構成図である。
実施の形態４における入力用ＤＨＭ１１０のハードウェア構成について、図１３に基づいて説明する。

入力用ＤＨＭ１１０はマイコン２０１を備える。
マイコン２０１は、ＣＰＵコア２１１、メモリ２１２、ＣＡＮコントローラ２１３、第一のポートコントローラ２１４Ａおよび第二のポートコントローラ２１４Ｂを備える。これらはバス２１９（内部バス）を介して互いに接続している。各ハードウェアは実施の形態３と同様である。

ＣＰＵコア２１１、メモリ２１２および第一のポートコントローラ２１４Ａは、入力用ＤＨＭ１１０の第一の入力制御ブロック１１１として機能する。
ＣＰＵコア２１１、メモリ２１２および第二のポートコントローラ２１４Ｂは、入力用ＤＨＭ１１０の第二の入力制御ブロック１１２として機能する。
第一の入力制御ブロック１１１および第二の入力制御ブロック１１２はマルチタスク環境における独立したタスクで実現し、かつ、それぞれのタスクが利用するメモリ２１２のメモリ空間はメモリ保護機能で保護する。このようにして構成を論理的に分離することにより、第一の系と第二の系とのいずれかの系を制御するプログラムが暴走しても、もう一方の系に影響が及ばないようにすることができる。
ポートコントローラは、第一の系と第二の系とにおいて独立したハードウェアで構成する。両方の系のポートコントローラを一つのハードウェアで実現し、内部バスのインタフェース部分が故障して入出力が固定されてしまうような故障が発生してしまうと、両方の系で誤った値が入出力される可能性があるためである。ポートコントローラを物理的に二重化することにより、このような事象を防ぐことができる。

メモリ２１２は、入力用ＤＨＭ１１０の第一の入力用共有メモリ１１３および第二の入力用共有メモリ１１４として機能する。
第一の入力用共有メモリ１１３および第二の入力用共有メモリ１１４は第一の系と第二の系との各タスクが管理する共有メモリとして実現し、各系のタスクが互いの共有メモリにアクセスすることができないように各共有メモリを保護する。

ＣＰＵコア２１１、メモリ２１２およびＣＡＮコントローラ２１３は、入力用ＤＨＭ１１０の入力用ＮＷ制御ブロック１１５として機能する。

出力用ＤＨＭ１３０についても、入力用ＤＨＭ１１０と同様に、１つのマイコンを用いて実装する。

図１４は、実施の形態４におけるＢＣＭ１２０のハードウェア構成図である。
実施の形態４におけるＢＣＭ１２０のハードウェア構成について、図１４に基づいて説明する。

ＢＣＭ１２０はマイコン２０１を備える。
マイコン２０１は、ＣＰＵコア２１１、メモリ２１２、ＣＡＮコントローラ２１３、第一のエラー通知Ｉ／Ｆ２１５Ａおよび第二のエラー通知Ｉ／Ｆ２１５Ｂを備える。これらはバス２１９（内部バス）を介して互いに接続している。各ハードウェアは実施の形態３と同様である。

ＣＰＵコア２１１、メモリ２１２およびＣＡＮコントローラ２１３は、ＢＣＭ１２０のＢＣＭ＿ＮＷ制御ブロック１２１として機能する。

メモリ２１２は、第一のＢＣＭ共有メモリ１２２ｒ、第三のＢＣＭ共有メモリ１２２ｓおよび第五のＢＣＭ共有メモリ１２２ｃとして機能する。
図１３で説明した入力用ＤＨＭ１１０と同様に、各共有メモリは各系のタスクによって管理し、各系のタスクが互いの共有メモリにアクセスすることができないように各共有メモリを保護する。

ＣＰＵコア２１１、メモリ２１２および第一のエラー通知Ｉ／Ｆ２１５Ａは、ＢＣＭ１２０の第一の演算ブロック１２４として機能する。
ＣＰＵコア２１１、メモリ２１２および第二のエラー通知Ｉ／Ｆ２１５Ｂは、ＢＣＭ１２０の第二の演算ブロック１２５として機能する。
図１３で説明した入力用ＤＨＭ１１０の入力制御ブロックと同様に、各演算ブロックのメモリ空間は論理的に二重化する。また、入力用ＤＨＭ１１０のポートコントローラと同様に、エラー通知Ｉ／Ｆは物理的に二重化する。

マイコンに供給する電源を生成する回路またはクロックを供給する水晶発振器は、実施の形態３と同様、それぞれの系毎に付与する必要がなく、１系統だけ備えればよい。

実施の形態４により、１石のマイコンで安全性の高いシステムを構築することができる。また、低コストで柔軟性に優れたシステム構築を実現することができる。

実施の形態５．
実施の形態１および２で説明した入力用ＤＨＭ１１０、ＢＣＭ１２０および出力用ＤＨＭ１３０をハードウェア・エンジンを用いて構成する形態について説明する。
ハードウェア・エンジンとは、複数のハードウェアを組み合わせた装置である。ＬＳＩ（ＬａｒｇｅＳｃａｌｅＩｎｔｅｇｒａｔｉｏｎ）は、ハードウェア・エンジンの一例である。

図１５は、実施の形態５における入力用ＤＨＭ１１０のハードウェア構成図である。
実施の形態５における入力用ＤＨＭ１１０のハードウェア構成について、図１５に基づいて説明する。

入力用ＤＨＭ１１０は、第一のポートコントローラ２１４Ａ、第二のポートコントローラ２１４Ｂ、第一の安全通信処理回路２１６Ａ、第二の安全通信処理回路２１６Ｂ、第一のメモリ２１２Ａ、第二のメモリ２１２ＢおよびＣＡＮコントローラ２１３を備える。
安全通信処理回路は、安全通信データの生成および安全通信機能による異常発生の判定を行うための回路である。その他のハードウェアについては実施の形態３と同様である。

第一のポートコントローラ２１４Ａおよび第一の安全通信処理回路２１６Ａは、入力用ＤＨＭ１１０の第一の入力制御ブロック１１１として機能する。
第二のポートコントローラ２１４Ｂおよび第二の安全通信処理回路２１６Ｂは、入力用ＤＨＭ１１０の第二の入力制御ブロック１１２として機能する。

第一のメモリ２１２Ａは入力用ＤＨＭ１１０の第一の入力用共有メモリ１１３として機能する。
第二のメモリ２１２Ｂは入力用ＤＨＭ１１０の第二の入力用共有メモリ１１４として機能する。

ＣＡＮコントローラ２１３は入力用ＤＨＭ１１０の入力用ＮＷ制御ブロック１１５として機能する。

出力用ＤＨＭ１３０についても、入力用ＤＨＭ１１０と同様に実装する。

図１６は、実施の形態５におけるＢＣＭ１２０のハードウェア構成図である。
実施の形態５におけるＢＣＭ１２０のハードウェア構成について、図１６に基づいて説明する。

ＢＣＭ１２０は、ＣＡＮコントローラ２１３、第一のメモリ２１２Ａ、第二のメモリ２１２Ｂ、第一の安全通信処理回路２１６Ａ、第二の安全通信処理回路２１６Ｂ、第一の演算回路２１７Ａ、第二の演算回路２１７Ｂ、第一のエラー通知Ｉ／Ｆ２１５Ａおよび第二のエラー通知Ｉ／Ｆ２１５Ｂを備える。
安全通信処理回路は、安全通信データの生成および安全通信機能による異常発生の判定を行うための回路である。エラー表示器Ｉ／Ｆは、エラー表示器１０９と通信するためのインタフェース（Ｉ／Ｆ）を備える回路である。その他のハードウェアについては実施の形態３と同様である。

ＣＡＮコントローラ２１３は、ＢＣＭ１２０のＢＣＭ＿ＮＷ制御ブロック１２１として機能する。

第一のメモリ２１２Ａは、ＢＣＭ１２０の第一のＢＣＭ共有メモリ１２２ｒ、第三のＢＣＭ共有メモリ１２２ｓおよび第五のＢＣＭ共有メモリ１２２ｃとして機能する。
第二のメモリ２１２Ｂは、ＢＣＭ１２０の第二のＢＣＭ共有メモリ１２３ｒ、第四のＢＣＭ共有メモリ１２３ｓおよび第六のＢＣＭ共有メモリ１２３ｃとして機能する。

第一の安全通信処理回路２１６Ａ、第一の演算回路２１７Ａおよび第一のエラー通知Ｉ／Ｆ２１５Ａは、ＢＣＭ１２０の第一の演算ブロック１２４として機能する。
第二の安全通信処理回路２１６Ｂ、第二の演算回路２１７Ｂおよび第二のエラー通知Ｉ／Ｆ２１５Ｂは、ＢＣＭ１２０の第二の演算ブロック１２５として機能する。

実施の形態５により、入力用ＤＨＭ１１０、ＢＣＭ１２０および出力用ＤＨＭ１３０を非常に単純な回路（例えば、１石のＬＳＩ）で実現できる。そのため、非常に低コストで安全性の高いシステム構築することができる。

各実施の形態は、矛盾の無い範囲で形態の一部または全部を適宜に組み合わせても構わない。

１００車載通信システム、１０１ＣＡＮ、１０２スイッチ、１０３アクチュエータ、１０９エラー表示器、１１０入力用ＤＨＭ、１１１第一の入力制御ブロック、１１２第二の入力制御ブロック、１１３第一の入力用共有メモリ、１１４第二の入力用共有メモリ、１１５入力用ＮＷ制御ブロック、１２０ＢＣＭ、１２１ＢＣＭ＿ＮＷ制御ブロック、１２２ｒ第一のＢＣＭ共有メモリ、１２２ｓ第三のＢＣＭ共有メモリ、１２２ｃ第五のＢＣＭ共有メモリ、１２２Ｒ第七のＢＣＭ共有メモリ、１２３ｒ第二のＢＣＭ共有メモリ、１２３ｓ第四のＢＣＭ共有メモリ、１２３ｃ第六のＢＣＭ共有メモリ、１２３Ｒ第八のＢＣＭ共有メモリ、１２４第一の演算ブロック、１２５第二の演算ブロック、１３０出力用ＤＨＭ、１３１出力用ＮＷ制御ブロック、１３２第一の出力用共有メモリ、１３３第二の出力用共有メモリ、１３４第一の出力制御ブロック、１３５第二の出力制御ブロック、１３６突合せ回路、１４０確認用ＤＨＭ、１４１確認用入力制御ブロック、１４２確認用共有メモリ、１４３確認用ＮＷ制御ブロック、１５０ＤＨＭ、１５１ＤＨＭ＿ＮＷ制御ブロック、２０１マイコン、２０１Ａ第一のマイコン、２０１Ｂ第二のマイコン、２０２Ａ第一のマイコン、２０２Ｂ第二のマイコン、２１１ＣＰＵコア、２１２メモリ、２１２Ａ第一のメモリ、２１２Ｂ第二のメモリ、２１３ＣＡＮコントローラ、２１４ポートコントローラ、２１４Ａ第一のポートコントローラ、２１４Ｂ第二のポートコントローラ、２１５エラー通知Ｉ／Ｆ、２１５Ａ第一のエラー通知Ｉ／Ｆ、２１５Ｂ第二のエラー通知Ｉ／Ｆ、２１６Ａ第一の安全通信処理回路、２１６Ｂ第二の安全通信処理回路、２１７Ａ第一の演算回路、２１７Ｂ第二の演算回路、２１９バス。

Claims

車両に搭載されるデバイスから出力されるデータを第一のデバイスデータとして入力する第一のデバイスデータ入力部と、
前記データを第二のデバイスデータとして入力する第二のデバイスデータ入力部と、
前記第一のデバイスデータと第一の入力用安全通信データとを含む第一の入力用伝送データと、前記第二のデバイスデータと第二の入力用安全通信データとを含む第二の入力用伝送データと、を送信する入力用送信部と、を備える入力用伝送装置と、
前記第一の入力用伝送データに含まれる前記第一の入力用安全通信データを用いて、前記第一のデバイスデータの通信が正常に行われたか否かを判定する第一の制御用判定部と、
前記第一のデバイスデータの通信が正常の場合、前記第一のデバイスデータに基づいた制御を指定して第一の制御データを生成する第一の制御用演算部と、
前記第二の入力用伝送データに含まれる前記第二の入力用安全通信データを用いて、前記第二のデバイスデータの通信が正常に行われたか否かを判定する第二の制御用判定部と、
前記第二のデバイスデータの通信が正常の場合、前記第二のデバイスデータに基づいた制御を指定して第二の制御データを生成する第二の制御用演算部と、
前記第一の制御データを含む第一の制御用伝送データと、前記第二の制御データを含む第二の制御用伝送データとを送信する制御用送信部と、を備える制御装置と、
前記第一の制御用伝送データと前記第二の制御用伝送データとを受信する出力用受信部と、
前記第一の制御データと前記第二の制御データとに基づいて、前記車両に搭載される制御対象のデバイスを制御するためのデバイス制御データを出力するデバイス制御データ出力部と、を備える出力用伝送装置と、
を備えることを特徴とする車載通信システム。
前記制御装置は、
前記第一の入力用伝送データと前記第二の入力用伝送データとを受信する制御用受信部を備え、
前記第一の制御用演算部は、前記第一のデバイスデータの通信が正常ではない場合、フェールセーフ用の制御を指定して前記第一の制御データを生成し、
前記第二の制御用演算部は、前記第二のデバイスデータの通信が正常ではない場合、前記フェールセーフ用の制御を指定して前記第二の制御データを生成し、
前記第一の制御用伝送データは、前記第一の制御データと第一の制御用安全通信データとを含み、
前記第二の制御用伝送データは、前記第二の制御データと第二の制御用安全通信データとを含み、
前記出力用伝送装置の前記デバイス制御データ出力部は、
前記第一の制御用安全通信データに基づいて、前記第一の制御データの通信が正常に行われたか否かを判定する第一の出力用判定部と、
前記第一の制御データの通信が正常の場合、前記第一の制御データを指定して第一の出力データを出力し、前記第一の制御データの通信が正常ではない場合、フェールセーフ用の制御を指定して第一の出力データを出力する第一の出力用演算部と、
前記第二の制御用安全通信データに基づいて、前記第二の制御データの通信が正常に行われたか否かを判定する第二の出力用判定部と、
前記第二の制御データの通信が正常の場合、前記第二の制御データを指定して第二の出力データを出力し、前記第二の制御データの通信が正常ではない場合、前記フェールセーフ用の制御を指定して第二の出力データを出力する第二の出力用演算部と、
前記第一の出力データと前記第二の出力データとに基づいて前記デバイス制御データを出力する突合せ出力部とを備える
ことを特徴とする請求項１記載の車載通信システム。
前記突合せ出力部は、前記第一の出力データと前記第二の出力データとの少なくともいずれかのデータが前記フェールセーフ用の制御を指定するデータである場合、前記フェールセーフ用の制御を指定するデータを前記デバイス制御データとして出力する
ことを特徴とする請求項２記載の車載通信システム。
前記第一の制御用判定部は、前記第一の入力用伝送データの通信が正常に行われなかったと判定した場合、障害が発生したことを通知するための通信障害データを出力し、
前記第二の制御用判定部は、前記第二の入力用伝送データの通信が正常に行われなかったと判定した場合、前記通信障害データを出力する
ことを特徴とする請求項１から請求項３いずれかに記載の車載通信システム。
前記入力用伝送装置は、第一の入力用メモリと、第二の入力用メモリとを備え、
前記第一のデバイスデータ入力部は、入力した前記第一のデバイスデータを前記第一の入力用メモリへ書き込み、
前記第二のデバイスデータ入力部は、入力した前記第二のデバイスデータを前記第二の入力用メモリへ書き込み、
前記入力用送信部は、前記第一の入力用メモリから前記第一のデバイスデータを読み出し、読み出した前記第一のデバイスデータを含むデータを前記第一の入力用伝送データとして送信し、前記第二の入力用メモリから前記第二のデバイスデータを読み出し、読み出した前記第二のデバイスデータを含むデータを前記第二の入力用伝送データとして送信する
ことを特徴とする請求項１から請求項４いずれかに記載の車載通信システム。
前記制御装置は、前記第一の入力用伝送データが書き込まれる第一の受信用メモリと、前記第二の入力用伝送データが書き込まれる第二の受信用メモリとを備え、
前記第一の制御用判定部は、前記第一の受信用メモリから前記第一の入力用伝送データを読み出し、読み出した前記第一の入力用伝送データに基づいて前記第一の入力用伝送データの通信が正常に行われたか否かを判定し、
前記第二の制御用判定部は、前記第二の受信用メモリから前記第二の入力用伝送データを読み出し、読み出した前記第二の入力用伝送データに基づいて前記第二の入力用伝送データの通信が正常に行われたか否かを判定する
ことを特徴とする請求項１から請求項５いずれかに記載の車載通信システム。
前記制御装置は、第一の送信用メモリと、第二の送信用メモリとを備え、
前記第一の制御用演算部は、生成した前記第一の制御データを前記第一の送信用メモリに書き込み、
前記第二の制御用演算部は、生成した前記第二の制御データを前記第二の送信用メモリに書き込み、
前記制御用送信部は、前記第一の送信用メモリから前記第一の制御データを読み出し、読み出した前記第一の制御データを含んだデータを前記第一の制御用伝送データとして送信し、前記第二の送信用メモリから前記第二の制御データを読み出し、読み出した前記第二の制御データを含んだデータを前記第二の制御用伝送データとして送信する
ことを特徴とする請求項１から請求項６いずれかに記載の車載通信システム。
前記出力用伝送装置は、第一の出力用メモリと、第二の出力用メモリとを備え、
前記出力用受信部は、受信した前記第一の制御用伝送データを前記第一の出力用メモリに書き込むと共に、受信した前記第二の制御用伝送データを前記第二の出力用メモリに書き込み、
前記デバイス制御データ出力部は、前記第一の出力用メモリから前記第一の制御用伝送データを読み出すと共に、前記第二の出力用メモリから前記第二の制御用伝送データを読み出し、読み出した前記第一の制御用伝送データと前記第二の制御用伝送データとに基づいて前記デバイス制御データを出力する
ことを特徴とする請求項１から請求項７いずれかに記載の車載通信システム。
前記車載通信システムは、フィードバック用伝送装置を備え、
前記フィードバック用伝送装置は、
前記出力用伝送装置から出力される前記デバイス制御データと、前記デバイス制御データに基づいて動作する前記制御対象のデバイスから前記制御対象のデバイスの動作状態を表すデバイス状態データとして出力されるデータとの少なくともいずれかをフィードバックデータとして入力するフィードバック用入力部と、
前記フィードバック用入力部が入力した前記フィードバックデータを前記制御装置へ送信するフィードバック用送信部とを備える
ことを特徴とする請求項１から請求項８いずれかに記載の車載通信システム。
前記制御装置は、第一の確認用判定部を備え、
前記第一の確認用判定部は、前記フィードバック用伝送装置から送信される前記フィードバックデータに基づいて、前記第一の制御データによって指定された制御が行われたか否かを判定し、
前記第一の確認用判定部は、前記第一の制御データによって指定された制御が行われなかったと判定した場合、障害が発生したことを通知するための障害通知データを出力する
ことを特徴とする請求項９記載の車載通信システム。
前記制御装置は、第二の確認用判定部を備え、
前記第二の確認用判定部は、前記フィードバックデータに基づいて、前記第二の制御データによって指定された制御が行われたか否かを判定し、
前記第二の確認用判定部は、前記第二の制御データによって指定された制御が行われなかったと判定した場合、前記障害通知データを出力する
ことを特徴とする請求項１０記載の車載通信システム。
前記第一の制御用演算部は、前記第一の制御データと前記第二の制御データとを比較し、前記第一の制御データと前記第二の制御データとが異なる場合、エラー処理を行う
ことを特徴とする請求項１から請求項１１いずれかに記載の車載通信システム。
前記入力用伝送装置は、前記第一のデバイスデータ入力部として機能する入力用の第一のマイクロコンピュータと、前記第二のデバイスデータ入力部として機能する入力用の第二のマイクロコンピュータとを備え、
前記制御装置は、前記第一の制御用判定部および前記第一の制御用演算部として機能する制御用の第一のマイクロコンピュータと、前記第二の制御用判定部および前記第二の制御用演算部として機能する制御用の第二のマイクロコンピュータとを備える
ことを特徴とする請求項１から請求項１２いずれかに記載の車載通信システム。
前記入力用伝送装置は、前記第一のデバイスデータ入力部、前記第二のデバイスデータ入力部および前記入力用送信部として機能する入力用のマイクロコンピュータを備え、
前記制御装置は、前記第一の制御用判定部、前記第一の制御用演算部、前記第二の制御用判定部、前記第二の制御用演算部および前記制御用送信部として機能する制御用のマイクロコンピュータを備え、
前記出力用伝送装置は、前記出力用受信部および前記デバイス制御データ出力部として機能する出力用のマイクロコンピュータを備える
ことを特徴とする請求項１から請求項１２いずれかに記載の車載通信システム。
前記入力用伝送装置は、前記第一のデバイスデータ入力部として機能する第一のデバイスデータ入力回路と、前記第二のデバイスデータ入力部として機能する第二のデバイスデータ入力回路と、前記入力用送信部として機能する入力用送信回路とを備え、
前記制御装置は、前記第一の制御用判定部として機能する第一の制御用判定回路と、前記第一の制御用演算部として機能する第一の制御用演算回路と、前記第二の制御用判定部として機能する第二の制御用判定回路と、前記第二の制御用演算部として機能する第二の制御用演算回路と、前記制御用送信部として機能する制御用送信回路とを備え、
前記出力用伝送装置は、前記出力用受信部として機能する出力用受信回路と、前記デバイス制御データ出力部として機能するデバイス制御データ出力回路とを備える
ことを特徴とする請求項１から請求項１２いずれかに記載の車載通信システム。
車両に搭載される入力用伝送装置の第一のデバイスデータ入力部が、前記車両に搭載されるデバイスから出力されるデータを第一のデバイスデータとして入力し、
前記入力用伝送装置の第二のデバイスデータ入力部が、前記データを第二のデバイスデータとして入力し、
前記入力用伝送装置の入力用送信部が、前記第一のデバイスデータと第一の入力用安全通信データとを含む第一の入力用伝送データと、前記第二のデバイスデータと第二の入力用安全通信データとを含む第二の入力用伝送データとを前記車両に搭載される制御装置へ送信し、
前記制御装置の第一の制御用判定部が、前記第一の入力用伝送データに含まれる前記第一の入力用安全通信データを用いて、前記第一のデバイスデータの通信が正常に行われたか否かを判定し、
前記制御装置の第一の制御用演算部が、前記第一のデバイスデータの通信が正常の場合、前記第一のデバイスデータに基づいた制御を指定して第一の制御データを生成し、
前記制御装置の第二の制御用判定部が、前記第二の入力用伝送データに含まれる前記第二の入力用安全通信データを用いて、前記第二のデバイスデータの通信が正常に行われたか否かを判定し、
前記制御装置の第二の制御用演算部が、前記第二のデバイスデータの通信が正常の場合、前記第二のデバイスデータに基づいた制御を指定して第二の制御データを生成し、
前記制御装置の制御用送信部が、前記第一の制御データを含む第一の制御用伝送データと、前記第二の制御データを含む第二の制御用伝送データとを前記車両に搭載される出力用伝送装置へ送信し、
前記出力用伝送装置の出力用受信部が、前記第一の制御用伝送データと前記第二の制御用伝送データとを受信し、
前記出力用伝送装置のデバイス制御データ出力部が、前記第一の制御データと前記第二の制御データとに基づいて、前記車両に搭載される制御対象のデバイスを制御するためのデバイス制御データを出力する
ことを特徴とする車載通信方法。