JP6207652B2 - 制御システム - Google Patents

Description

この発明は、車両に搭載される制御装置の起動と停止に関する状態遷移を行う制御システムに関するものである。

車両には、ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）と呼ばれる制御装置が複数搭載されており、そのＥＣＵ間はネットワークで接続されている。このＥＣＵは、車両に搭載されるバッテリやオルタネータ・モータなどから電力が供給される。
近年、車両に搭載されるＥＣＵの数の増加に伴い、ＥＣＵが消費する電力量が増加している。消費電力量が増加すると、オルタネータ・モータなどによる発電量が増加し、車両の燃費・電費悪化につながることになる。そこで、燃費向上のために車載品の省電力化が求められるようになり、ＥＣＵにおいても省電力対応が必要になってきている。

ＥＣＵの省電力対応は、さまざまな手法がとられているが、主には起動する必要のないＥＣＵをシャットダウン状態、スリープ状態、あるいは不要な機能を止める縮退動作状態に遷移させる手法がとられている。
シャットダウン状態やスリープ状態のＥＣＵが、通常動作状態に遷移するためには、例えば、特開２０１２−０４９８８５号公報（特許文献１）に開示されているように、ウェイクアップ信号をＥＣＵに入力する必要がある。ＥＣＵは、ウェイクアップ信号を検出すると、通常動作状態になるためのシーケンスを実行する。

また、例えば、ＡＵＴＯＳＡＲ Ｓｐｅｃｉｆｉｃａｔｉｏｎ ｏｆ ＥＣＵ Ｓｔａｔｅ Ｍａｎａｇｅｒ（非特許文献１）に開示されているように、ＥＣＵはウェイクアップ信号を検出すると、そのウェイクアップ信号が、想定されるウェイクアップ信号であるか否かを判定し、ウェイクアップ信号が想定されるものであれば、通常動作を開始する。ウェイクアップ信号が想定されないものであれば、シャットダウン状態やスリープ状態に遷移する。

また、昨今、車載セキュリティが重要視されている。悪意のあるハッカーなどが、車載ネットワークを介して、シャットダウン状態やスリープ状態のＥＣＵを強制的に起動させる行為が行われることも考えられる。例えば、セキュリティ対策のないＥＣＵでは、悪意のある機器から送信されたウェイクアップ信号であっても、一般的にはウェイクアップ信号のＩＤや型などが合致していれば、ＥＣＵをシャットダウン状態やスリープ状態から起動して、異常な動作をさせることができる。そのために、ウェイクアップ信号が正当な対象から送信されたものか否かの認証をする必要性も出てくる。

特開２０１２−０４９８８５号公報（第７〜１１頁、図１）

ＡＵＴＯＳＡＲ Ｓｐｅｃｉｆｉｃａｔｉｏｎ ｏｆ ＥＣＵ Ｓｔａｔｅ Ｍａｎａｇｅｒ

しかしながら、上記先行技術文献に開示された技術を適用すると、次のような課題がある。即ち、ＥＣＵが、シャットダウン状態やスリープ状態から通常動作状態になるまでに、ウェイクアップ信号が想定されたものか否かを判断するための時間が必要であるため、ウェイクアップ信号を検出した直後から通常動作を開始することができない。緊急性の高い動作が要求された場合においては、即座に動作することができないため、車両の挙動に悪影響を与える可能性がある。

また、セキュリティ対策を施したＥＣＵにおいては、シャットダウン状態やスリープ状態から通常動作状態になるまでに、ウェイクアップ信号が正当な対象から送信されたものか否かを認証するための時間が必要であるため、ウェイクアップ信号を検出した直後から通常動作を開始することができないという問題がある。

このような問題を解決するために、本出願人は、特願２０１４−２０５４１８号（先願発明）により、シャットダウン状態やスリープ状態から通常動作を開始するまでの時間を短縮することができる制御システムを提案している。しかし、この先願発明では、通常動作を開始させるための起動信号をマイコンが正しく検出して通常動作を開始すること、及び通常動作を開始させるために外部から起動信号が正しく出力されること、が保証されておらず、これらの動作に異常が発生している場合は、緊急性の高い動作が要求されても即座に対応することができない課題がある。

この発明は、上記のような課題を解決するためになされたもので、シャットダウン状態やスリープ状態から通常動作を開始するまでの時間を短縮すると共に、通常動作状態に遷移する処理の確実性を向上させることを目的とするものである。

この発明による制御システムは、複数の制御装置が信号線により接続された制御システムであって、上記複数の制御装置のうちの一つである第１の制御装置は、マイコンを搭載し、上記信号線を介して送信される起動信号を検出して上記マイコンを起動する起動手段と、上記起動信号の妥当性を検証する妥当性検証手段と、上記起動信号の検出結果及び上記妥当性検証手段の検証結果のいずれか一方または両方に応じて、上記マイコンの状態を遷移させる状態管理手段と、上記状態管理手段による上記マイコンの状態に応じた制御処理を行う制御処理手段と、を有し、
上記マイコンは、上記制御処理手段による通常制御を行う通常動作状態と、制御処理を停止した停止状態と、上記停止状態から上記通常動作状態に遷移する準備を行うための起動遷移状態と、上記通常動作状態から上記停止状態に遷移する準備を行うための停止遷移状態との各状態へ遷移可能に構成され、
上記第１の制御装置以外の第２の制御装置は、上記起動信号を送信する起動確認信号生成手段と、上記第２の制御装置の周囲状況から上記第１の制御装置が起動を必要とするまでの時間を測定する起動要否判定手段と、上記起動信号の送信周期を所定の周期に調整する周期調整手段と、を備え、上記マイコンが上記停止状態にある場合で、上記起動確認信号生成手段が上記所定の周期で上記起動信号を送信し、上記第１の制御装置で上記起動信号が検出された場合には、上記妥当性検証手段による上記起動信号の検証が行われる前に、上記状態管理手段は、上記マイコンの状態を上記起動遷移状態を介して上記通常動作状態に遷移させ、上記制御処理手段は、通常制御を開始すると共に、上記起動要否判定手段で検出した時間よりも短くなるように、上記周期調整手段が上記所定の周期を調整するものである。

この発明によれば、停止状態から通常動作状態に遷移するまでにかかる時間を短縮することができ、かつ、その通常動作状態に遷移する処理の確実性を追加の機構部品なしに向上できる。

この発明の実施の形態１による制御システムを搭載した車両の通常動作状態を示す車両模式図である。 この発明の実施の形態１による制御システムのネットワーク構成を示すブロック図である。 この発明の実施の形態１による制御システムに搭載される超音波センサＥＣＵの機能を説明するブロック図である。 この発明の実施の形態１による制御システムの超音波センサＥＣＵのマイコンの状態遷移を示す図である。 この発明の実施の形態１による制御システムの通常動作状態への遷移を示すフローチャートである。 この発明の実施の形態１による制御システムの監視処理を示すフローチャートである。 この発明の実施の形態１による制御システムの通常動作後の妥当性検証を示すフローチャートである。 この発明の実施の形態１による制御システムの周期調整手段の機能を示す模式図である。 この発明の実施の形態２による制御システムに搭載される超音波センサＥＣＵの機能を説明するブロック図である。 この発明の実施の形態２による制御システムの動作を示すフローチャートである。 この発明の実施の形態３による制御システムのソフトウェアモジュールと通常動作状態の関連を示す模式図である。 この発明の実施の形態３による制御システムの超音波センサＥＣＵのマイコンの状態遷移を示す図である。 この発明の実施の形態３による制御システムの動作を示すフローチャートである。

以下、この発明による制御システムの好適な実施の形態について図面を参照して詳細に説明する。なお、以下の各実施の形態では、車両に制御システムが搭載されている場合について説明する。

実施の形態１．
図１は、この発明の実施の形態１による制御システムを搭載した車両の通常動作状態を示す車両模式図である。
図１において、制御システムが搭載された制御システム搭載車両４１は、車両の数百ｍ前方の状況を検出するレーザレーダと、車両の数十ｍの前方や周辺の状況を検出するステレオカメラと、車両の数ｍ周辺を検出する超音波センサの各検出機器、即ち、周辺監視手段（何れも図示せず。）を備えている。それぞれの検出機器の検出範囲として、レーザレーダの検出範囲４４を実線、ステレオカメラの検出範囲４５を点線、超音波センサの検出範囲４６を一点鎖線として図示する。

それぞれの検出機器はそれぞれのＥＣＵに搭載され、通常動作状態においては、それぞれのＥＣＵが動作し、それぞれの検出できる範囲の状況を監視する。周囲には、制御システム搭載車両４１の前方を走行する先行車両４２、制御システム搭載車両４１の近くを走行する第３の車両４３が存在する。なお、図１に示す各検出機器の配置は一例であって、搭載位置の制約はない。

図２は、実施の形態１による制御システムのネットワーク構成を示すブロック図である。
図２において、レーザレーダの検出値はレーダＥＣＵ５２で、ステレオカメラの検出値はカメラＥＣＵ５３で、超音波センサの検出値は超音波センサＥＣＵ５４でそれぞれ処理される。各ＥＣＵは共通の信号線２１で接続されて、各ＥＣＵの情報をゲートウェイであるＡＤＡＳ−ＥＣＵ５１に集約する。

また、各ＥＣＵ間においても、それぞれデータの送受信を行う。ＡＤＡＳ−ＥＣＵ５１は集約された情報から、ブレーキ要否、自動操舵による回避要否を判断し、ブレーキを行うブレーキＥＣＵ５５、又は操舵を行うステアリングＥＣＵ５６に指示を出す。これらの手段を用いて、制御システム搭載車両４１は、事故の危険回避、被害軽減を行うことが可能である。なお、レーダＥＣＵ５２、カメラＥＣＵ５３及び超音波センサＥＣＵ５４をまとめて、周辺検出ＥＣＵと称する。

また、車両の省電力化を目的として、各ＥＣＵは車両の置かれる状況に応じて、通常動作状態と停止状態（スリープ状態又はシャットダウン状態を言う。以下、同様）を切替えることができる。例えば、周囲に車両がなく、レーダＥＣＵ５２で検出できる範囲のみにおいて先行車両４２が存在する場合や、カメラＥＣＵ５３が第３の車両４３を捉えてはいるが、衝突の恐れがない場合などは、これらの車両が接近するまでは、超音波センサＥＣＵ５４を停止状態にすることができる。

また、他の車両がまったく検出されない場合においても、超音波センサＥＣＵ５４は、停止状態とすることができる。逆に、近接する車両があり、衝突の危険性が高くなってきた場合や、カメラＥＣＵ５３で他の車両を捉えられなくなった場合は、超音波センサＥＣＵ５４の動作は不可欠である。なお、レーザレーダやカメラを数多く搭載することが対策として考えられるが、それらは超音波センサと比較すると高価であって、数を多く搭載できないため、測定範囲は狭いが安価な超音波センサＥＣＵ５４などを駆使することが求められる。

図３は、実施の形態１による制御システムに搭載される超音波センサＥＣＵの機能を説明するブロック図である。図３において、信号線２１、レーダＥＣＵ５２、カメラＥＣＵ５３、超音波センサＥＣＵ５４は図２におけるものと同一のものである。
超音波センサＥＣＵ５４は、マイコン１０を搭載しており、マイコン１０は、外部から送信される起動信号３１を取得してマイコン１０を起動する起動手段１と、取得した起動信号３１があらかじめ設定された起動信号か否かを判定し、さらに起動信号３１が正当な権限を与えられた相手から取得したものかどうかを判定する妥当性検証手段２と、起動信号３１及び妥当性検証手段２の結果からマイコン１０の状態遷移を行うかどうかを判定し、実際に状態遷移を行う状態管理手段３と、状態管理手段３の結果に応じた制御処理を実行する制御処理手段４を備えている。なお、符号３３は、起動信号３１のように起動を行わない起動確認疑似信号を示している。

図４は、超音波センサＥＣＵ５４のマイコン１０の状態遷移を示す図である。
図４において、超音波センサＥＣＵ５４のマイコン１０は、少なくとも停止状態、通常動作状態、停止状態から通常動作状態に遷移する準備を行う起動遷移状態、通常動作状態から停止状態に遷移する準備を行う停止遷移状態の４つの状態を備えている。図４では、停止状態、起動遷移状態、通常動作状態、停止遷移状態の各状態に、それぞれ信号を受けて遷移する様子が示されている。

図４を用いてマイコン１０の動作について説明する。制御システム搭載車両４１に搭載される超音波センサＥＣＵ５４は、図３に示すように、マイコン１０を搭載しており、マイコン１０は少なくとも停止状態、通常動作状態、停止状態から通常動作状態に遷移する準備を行う起動遷移状態、通常動作状態から停止状態に遷移する準備を行う停止遷移状態の４つの状態を備えている。
超音波センサＥＣＵ５４の動作が不要と判断した場合は、停止状態に遷移する。逆に、他のＥＣＵが超音波センサＥＣＵ５４の動作が必要と判断した場合は、起動信号３１を超音波センサＥＣＵ５４に送信し、マイコン１０は通常動作状態に遷移する。それらの中間状態として、起動遷移状態では、通常動作状態での通常制御における処理のために必要なソフトウェアモジュールの初期化処理や再初期化処理を行う。また、停止遷移状態では、停止状態にするために、通常制御などマイコンの動作を停止する処理を行う。

次に、図３の説明に戻ってマイコン１０の起動手段１の動作について説明する。
起動手段１は、マイコン１０の外部から送信される停止状態から通常動作状態への遷移要求を含んだ起動信号３１を検出する。起動信号３１を検出するとマイコン１０が起動し、マイコン１０は起動信号３１が何であるかを判断するため、状態管理手段３及び妥当性検証手段２に起動信号３１を送信する。
本実施の形態１では、ＣＡＮ信号としているが、この限りでなく、信号で超音波センサＥＣＵ５４が起動できるものであれば、自動車などの車載ネットワークに用いられるＦｌｅｘＲａｙ（登録商標）、あるいはＥｔｈｅｒｎｅｔ（登録商標）での通信信号、あるいはデジタル信号などでもよい。

次に、マイコン１０の妥当性検証手段２の動作について説明する。
妥当性検証手段２は、起動手段１が出力した結果を基に、起動信号３１があらかじめ設定されたものか否かを判定し、さらにその起動信号３１が正当な権限を与えられた相手から取得したものかどうかを判定する。起動信号３１があらかじめ設定された起動信号であるかどうかの判断は、取得したＣＡＮ信号（ＩＤ又はメッセージ構成）を確認することにより行う。さらに、起動信号３１が正当な権限を与えられた相手から取得したものかどうかの判断は、起動信号３１がＣＡＮ信号であれば、メッセージに重畳される特定ノードから送信されたことを表す識別ビットを解析・認証することにより行う。
なお、本実施の形態１では、識別ビットとしたが、この限りでなく正当な権限を与えられた相手から取得したものであることを保障できる手段であればどのような手段でも構わない。また、妥当性検証手段２の結果は、状態管理手段３に送信される。

次に、マイコン１０の状態管理手段３の動作について説明する。
状態管理手段３は、起動手段１及び妥当性検証手段２の結果を受けて、停止状態から通常動作状態に遷移するか否かを判定し、その結果、状態遷移を実施する。遷移したマイコン１０の状態は、制御処理手段４に送信される。このとき、状態管理手段３は、起動手段１の出力のみを受けて、停止状態から通常動作状態への状態遷移を行うことも、起動手段１及び妥当性検証手段２の両方の結果を受けて状態遷移を行うことも可能である。

次に、マイコン１０の制御処理手段４の動作について説明する。
制御処理手段４は、状態管理手段３が管理するマイコン１０の状態に応じた処理を実行する。

次に、レーダＥＣＵ５２とカメラＥＣＵ５３の動作について説明する。
第１の制御装置である超音波センサＥＣＵ５４が停止状態から通常動作状態に遷移する際は、第２の制御装置であるカメラＥＣＵ５３又はレーダＥＣＵ５２が常に通常動作状態である。
この状況を利用して、カメラＥＣＵ５３又はレーダＥＣＵ５２は、停止状態から通常動作状態に遷移させるための起動信号３１を、ＣＡＮ信号として出力する機能を備えている。また、起動確認疑似信号生成手段３６を備えており、起動信号３１のように起動を行わない所定の周期の起動確認疑似信号３３も送信可能である。

また、レーダＥＣＵ５２又はカメラＥＣＵ５３は、起動確認信号生成手段３５から、起動信号３１を周期的に超音波センサＥＣＵ５４に送信する機能を持つ。周期の決定方法は、マイコン１０のＨＷ異常、ないしは信号線２１の異常などのランダム・ハードウェア故障が発生する故障率を基に算出する。具体的には、周期は故障率の時間経過加算分が目標故障率となるまでの時間以内とする。その理由として故障率は、その機構が正常に動作していることを確認することにより、それまでに経過した時間はリセットされ、故障率が見かけ上、下げられる。つまり、目標故障率までに正しく動作することをチェックすることにより、故障は発生しないと考えられる。

また、周期の決定方法は、故障率を用いた決め方に限らず、マイコン１０の目標省電力量を達成するために、所定時間以内に何回起きるかといった指標を活用することも可能である。

さらに、カメラＥＣＵ５３又はレーダＥＣＵ５２は、起動確認疑似信号生成手段３６から、起動以外の信号３３を周期的に送信する機能も持つ。周期の決定方法は、起動信号３１の周期の決定方法と同じである。

そのほか、カメラＥＣＵ５３又はレーダＥＣＵ５２は、起動確認信号生成手段３５が送信する起動信号３１と、起動確認疑似信号生成手段３６が送信する起動以外の信号３３の周期を調整することができる周期調整手段３７と、超音波センサＥＣＵ５４が起動する必要があるタイミングを、そのほかのＥＣＵ状態や車両状況を基に判断する起動要否判定手段３８を備えている。

次に、このような構成を持つ実施の形態１による制御システムの通常動作状態への遷移の処理について、図５のフローチャートに従って説明する。
図５において、先ず、Ｓ１０１では、レーダＥＣＵ５２とカメラＥＣＵ５３が、自車周辺に他の車両がない（Ｙｅｓ）か否（Ｎｏ）か、また他の車両があっても衝突の可能性がない位置で捉えている（Ｙｅｓ）か否（Ｎｏ）かの判断を行う。両方の判断結果がＹｅｓとなった場合のみ、Ｙｅｓの分岐処理を実行する。なお、このとき、周辺検出ＥＣＵ（超音波センサＥＣＵ５４、カメラＥＣＵ５３、レーダＥＣＵ５２）は、通常動作状態で動作しているものとする。

Ｓ１０２−１では、Ｓ１０１での結果がＹｅｓの場合、超音波センサＥＣＵ５４のマイコン１０を停止状態に遷移させて、Ｓ１９９に遷移する。
Ｓ１０２−２では、Ｓ１０１での結果がＮｏの場合、超音波センサＥＣＵ５４を含む全ての周辺検出ＥＣＵは、通常動作状態のままとする。近接する車両がある場合は、超音波センサＥＣＵ５４も通常動作状態のままとすることで、検出精度を維持しておく。

Ｓ１９９では、超音波センサＥＣＵ５４の起動処理を含むマイコンが正常に動作しているかどうか監視処理を通じて確認する。確認方法は、図６（ａ）のフローチャートに示すＳ１９０−１、又は図６（ｂ）のフローチャートに示すＳ１９０−２を実施し、処理が完了したらＳ１０３に遷移する。

図６（ａ）のＳ１９０−１では、レーダＥＣＵ５２とカメラＥＣＵ５３がとらえている車両が近くに存在せず、他車との接触の可能性が限りなく小さい場合はＹｅｓとしてＳ１９１−１に遷移し、そうでない場合はこの監視処理を終了する。

Ｓ１９１−１では、意図的に超音波センサＥＣＵ５４を起動させるため、レーダＥＣＵ５２とカメラＥＣＵ５３が周期的に起動信号を送信する。

Ｓ１９２−１では、起動信号によりマイコン１０の初期化等を実施して再起動を行い、Ｓ１９３−１では、起動信号により超音波センサＥＣＵ５４の状態管理手段３が起動遷移状態に遷移する。そして、Ｓ１９４−１では、起動遷移状態に遷移した後、停止遷移状態に遷移する。

図６（ｂ）のＳ１９０−２では、Ｓ１９０−１と同様であるため、機能詳細の説明は省略するが、Ｓ１９１−２では、レーダＥＣＵ５２とカメラＥＣＵ５３が周期的に起動疑似信号を送信する。そして、Ｓ１９２−２では、通常動作状態への起動動作が行われないことを確認したら、超音波センサＥＣＵ５４は、レーダＥＣＵ５２とカメラＥＣＵ５３に起動動作が行われないことを伝達し、Ｓ１０３に遷移する。

図５に戻り、Ｓ１０３では、レーダＥＣＵ５２とカメラＥＣＵ５３が、自車に近接する車両がある（Ｙｅｓ）か否（Ｎｏ）かの判断を行う。近接する車両がある場合は、接触の恐れがあるかどうかを超音波センサＥＣＵ５４で即座に判断を行う必要がある。また、カメラＥＣＵ５３で、自車周辺の他の車両が接触しないことを確認できなくなった（Ｙｅｓ）か否（Ｎｏ）かも判断を行う必要がある。これらの判断結果の１つでもＹｅｓとなれば、Ｙｅｓの分岐処理を実行する。

Ｓ１０４では、Ｓ１０３でＹｅｓとなった場合は、自車との衝突の可能性が生じてくるため、超音波センサＥＣＵ５４を起動し、通常動作を行わせるためにカメラＥＣＵ５３又はレーダＥＣＵ５２が、超音波センサＥＣＵ５４に起動信号３１をＣＡＮ信号で送信する。

Ｓ１０５では、超音波センサＥＣＵ５４の起動手段１が、カメラＥＣＵ５３又はレーダＥＣＵ５２からのＣＡＮ信号による起動信号３１を検出し、超音波センサＥＣＵ５４のマイコン１０が起動し、マイコン１０の起動後に起動信号３１を取得したことを状態管理手段３に送信する。

Ｓ１０６では、状態管理手段３が、起動手段１の出力結果のみを受けて、マイコン状態を停止状態から起動遷移状態に遷移させる。

Ｓ１０７では、制御処理手段４が、状態管理手段３からの状態遷移通知を受けて、起動遷移状態での制御処理であるソフトウェアモジュールの初期化を実行する。

Ｓ１０８では、状態管理手段３が、制御処理手段４からのソフトウェアモジュールの初期化完了通知（図４の通常動作準備完了）を受信したのち、マイコン状態を起動遷移状態から通常動作状態に遷移させる。

Ｓ１０９では、制御処理手段４が、状態管理手段３からの状態遷移通知を受けて、通常動作状態での制御処理である通常制御を実行開始する。

なお、Ｓ１０３で判断結果でＮｏの場合、又はＳ１０２−２で、超音波センサＥＣＵ５４を含む全ての周辺検出ＥＣＵが、通常動作状態のままの場合は、Ｓ１１０で状態管理手段３は、マイコン状態を通常動作状態から停止遷移状態に遷移させる。

上述のようにすることで、超音波センサＥＣＵ５４の起動検出手段１が正常に動作することを保証しつつ、停止状態の超音波センサＥＣＵ５４への起動信号３１が想定されたものか否かの検証処理や認証処理を省くことができ、停止状態から通常動作を開始するまでの時間を短縮することができる。
つまり、突然、先行車両４２が急減速した場合や、第３の車両４３が死角などから現れた場合でも、確実に超音波センサＥＣＵ５４が緊急的に通常動作を開始することができるため、自車と他の車両が衝突する可能性を低くできる。又は、衝突被害を軽減できる。

次に、上述のような構成を持つ実施の形態１の制御システムが、通常動作後、妥当性検証を実行する処理について、図７のフローチャートを用いて説明する。
マイコン１０の妥当性検証手段２は、起動手段１の出力を受けた後、時間ＴＤＥＴ（起動時間）の計測を開始し、所定時間ＴＶＬＤ経過したかどうかを判定する機能を備えており、所定時間ＴＶＬＤ経過すると、妥当性検証手段２の処理を実行し、状態管理手段３に結果を出力する。
所定時間ＴＶＬＤは、起動信号３１の受信から、超音波センサＥＣＵ５４が通常動作状態で取得したセンサ値をＡＤＡＳ−ＥＣＵ５１に出力し、ＡＤＡＳ−ＥＣＵ５１がブレーキＥＣＵ５５及びステアリングＥＣＵ５６への動作要否を判定するまでの時間とする。

Ｓ２０１では、図５のＳ１０９以降、妥当性検証手段２において、ＴＤＥＴ＞ＴＶＬＤとなるかどうかを判定する。本条件が成立しない限り、Ｓ２０１の処理をループする。不等式が成立（Ｙｅｓ）した場合は、次のＳ２０２の処理を実行する。

Ｓ２０２では、起動信号３１があらかじめ設定された起動信号であるか否か（妥当かそうでないか）を判定するため、取得したＣＡＮ信号のＩＤを確認する。

Ｓ２０３では、Ｓ２０２で起動信号３１の妥当性を確認できた場合、さらに、起動信号３１が正当な権限を与えられた相手から取得した（認証成功）ものか否（認証失敗）かの認証を行う。具体的には、メッセージに特定ノードから送信されたことを表す識別ビットがあるかどうかを解析する。

Ｓ２０４−１では、Ｓ２０３で起動信号３１の認証が成功した場合、超音波センサＥＣＵ５４は、通常動作を継続するため、状態管理手段３は状態遷移を行わず、通常動作状態継続を指示する。

Ｓ２０５−１では、制御処理手段４が、状態管理手段３から受信した通常動作継続通知を受けて、通常制御を継続する。

Ｓ２０４−２では、Ｓ２０２で起動信号３１が妥当でないと判断された場合、又はＳ２０３で起動信号３１の認証失敗となった場合、状態管理手段３は、通常動作状態から停止遷移状態に遷移する。

Ｓ２０５−２では、制御処理手段４は、状態管理手段３からの状態遷移通知を受けて、実行している通常制御を停止させる。

Ｓ２０６では、状態管理手段３が、制御処理手段４からの通常制御停止通知（図４の停止準備完了）を受けて、マイコン状態を停止遷移状態から停止状態に遷移させる。

次に、レーダＥＣＵ５２とカメラＥＣＵ５３が備える周期調整手段３７と起動要否判定手段３８の機能について図８に沿って説明する。
起動要否判定手段３８は、自車以外の他車を認識できている状態で、車両の状況（例えば相対車速、天候、交通状況）を鑑みて、他車に衝突するまでの時間を導出する。導出した時間に沿って、起動信号３１や起動以外の信号３３を送信する現在の設定周期と、他車に衝突する恐れのある時間の関係性から、他車に衝突する恐れのある時間が、ｎ回目からｎ＋１回目の間に位置する場合は、周期調整手段３７にて周期を短くして、衝突の恐れがある時間より前に監視処理を働かせる。

実施の形態１の制御システムのようにすることで、超音波センサＥＣＵ５４の起動検出手段１や妥当性検証手段２が故障して動作しないといった事象を防ぎつつ、停止状態から通常動作状態へ遷移し、緊急的に通常制御を実行しつつ、超音波センサＥＣＵ５４を起動した起動信号３１が正しいか否かを判定することができる。

また、超音波センサＥＣＵ５４を起動した起動信号３１が正しくない場合は、超音波センサＥＣＵ５４を停止状態に遷移させることができるため、不要な通常制御を最小限に抑えることができる。

また、起動信号３１に対する想定されたものかの検証処理や認証処理を、通常制御開始後に行うことで、誤った起動信号や不正な起動信号の介入を防ぐ効果もある。

また、周期調整手段３７により、適当なタイミングで周期を調整することで、マイコンの起動が必要なタイミングの前に、マイコン１０の通常動作への遷移を確認できるため、緊急動作が必要にもかかわらず、マイコン１０が故障して緊急動作できないといった事象を防ぐことができる。

なお、本実施の形態１においては、制御システム搭載車両４１の他に２つ車両が存在しているが、本実施の形態１の特徴を実施できるような構成であれば、存在する車両の数や位置については、この限りではない。

また、本実施の形態１においては、制御システム搭載車両４１の前方や周辺検出に使う機器をレーザレーダ、ステレオカメラ、超音波センサとしたが、車両の前方や周辺を検出できる機器であれば、この限りではない。

また、本実施の形態１におけるＴＶＬＤの時間設定方法はこの限りでなく、通常制御を行った後、実施されるように設定するのであれば、どのような方法でも構わない。

また、本実施の形態１においては、周辺検出に関するＥＣＵについて説明を行ったが、スリープ状態（又はシャットダウン状態）から、通常動作までの時間を短くする必要があるＥＣＵであれば、この限りではない。

また、本実施の形態１においては、周期調整手段３７は、これらのＥＣＵに限らず、信号線２１上で接続されるＥＣＵで、他車と衝突する恐れがあることを判別できるＥＣＵであれば、どのＥＣＵに機能を盛り込んでもよい。

実施の形態２．
次に、この発明の実施の形態２による制御システムについて説明する。
図９は、実施の形態２による制御システムに搭載される超音波センサＥＣＵの機能を説明するブロック図である。
実施の形態２による制御システムは、超音波センサＥＣＵ５４が、実施の形態１の機能に加えて、信号線２１を介して、レーダＥＣＵ５２又はカメラＥＣＵ５３に、スリープ状態から通常動作状態に遷移したことを示すＥＣＵ動作確認信号３２を送信するようになっている。また、レーダＥＣＵ５２又はカメラＥＣＵ５３は、実施の形態１の機能に加えて、信号線２１を介して、超音波センサＥＣＵ５４に、通常動作状態からスリープ状態に遷移することを禁止する信号（停止状態への遷移禁止信号）３４を送信する機能と、所定時間内に超音波センサＥＣＵ５４から受信したＥＣＵ動作確認信号３２がセットされた回数を数える計数手段４０を備えている。なお、その他の構成については、実施の形態１と同様であり、同一符号を付して説明を省略する。

次に、このような構成を持つ実施の形態２の制御システムの処理について、図１０のフローチャートに従って説明する。
図１０において、先ず、Ｓ３０１では、レーダＥＣＵ５２やカメラＥＣＵ５３が、計数手段４０によりカウントした回数ＮＯＰを１インクリメントする。なお、Ｓ３０１より前の処理は、図５におけるＳ１０７までと同様の処理であるため、その説明を省略する。

Ｓ３０２では、レーダＥＣＵ５２やカメラＥＣＵ５３において、計数手段４０によってカウントしたＥＣＵ動作確認信号３２の回数ＮＯＰとあらかじめ設定した回数ＮＴＨ（所定回数）とを比較し、ＮＯＰ＜ＮＴＨである（Ｙｅｓ）か否（Ｎｏ）かを判定する。Ｙｅｓの場合はＳ３０３の処理を実行し、Ｎｏの場合はＳ３０９の処理を実行する。
ここで、ＮＴＨは、自身又はその周辺に位置するＥＣＵなどが通常動作状態に発生し得るノイズなどの誤動作で起動される回数を基に決定する。仮に、他のＥＣＵ異常や、起動検出に関するハードウェア故障によりノイズが増大した場合などは、誤って起動される回数が多くなるはずである。

Ｓ３０３〜Ｓ３０８については、図７のＳ２０１〜Ｓ２０６と同様の処理であるため、その説明を省略する。

Ｓ３０９では、レーダＥＣＵ５２又はカメラＥＣＵ５３が、超音波センサＥＣＵ５４に対して、これ以降、通常動作状態から停止状態に遷移することが無いように、信号線２１を介して遷移禁止信号３４を送信し、遷移禁止指示を行う。

Ｓ３１０では、レーダＥＣＵ５２又はカメラＥＣＵ５３から受信した指示に応じて、超音波センサＥＣＵ５４の状態管理手段３は、以降に停止状態に遷移しないようにする。

実施の形態２による制御システムによれば、以上のようにすることにより、他のＥＣＵ異常の場合や、起動信号３１を検出するためのマイコン１０の外部の回路が故障している場合などに、必要なタイミングで、超音波センサＥＣＵ５４を起動することができなくなってしまうことを解決することができる。また、誤ったタイミングで発生し得る起動信号３１により、超音波センサＥＣＵ５４がスリープ状態（又はシャットダウン状態）から通常動作状態へ遷移することも防ぐことができる。

実施の形態３．
次に、この発明の実施の形態３による制御システムについて説明する。
実施の形態３における制御システムに搭載される超音波センサＥＣＵの機能ブロック図は、図３におけるものと同様である。
図１１は、実施の形態３による制御システムのソフトウェアモジュールと通常動作状態の関連を示す模式図である。
図１１において、マイコン１０を構成するソフトウェアモジュールは、ダイアグ（故障診断など）関連、ＭＣＵ（クロックの設定など）関連、ドライバ（アナログ／デジタル入出力や通信など）関連、ＥＥＰＲＯＭ関連、通信（ネットワークマネジメント、ＰＤＵ（Ｐｒｏｔｏｃｏｌ Ｄａｔａ Ｕｎｉｔ）の管理など）関連である。
図１１では、これらと、通常動作状態での通常制御における遷移直後処理、及び妥当性検証の処理実行後に行う定常処理との関連を線で示している。

マイコン１０は、シャットダウン状態（停止状態）から通常動作状態に遷移するときに、通常動作状態で実行する処理に関係するソフトウェアモジュールを初期化する初期化処理手段（初期化手段）を備える。
一般的に、ソフトウェアモジュールを初期化しなければ、それに関係する処理は実行できない。また、本実施の形態３においては、通常動作状態における処理を２つに分割する
。シャットダウン状態から起動した直後に行う遷移直後処理と、妥当性検証手段２の処理実行後に行う定常処理である。

図１２は、実施の形態３による制御システムの超音波センサＥＣＵのマイコンの状態遷移を示す図である。
図１２において、超音波センサＥＣＵ５４のマイコン１０は、少なくとも停止状態、通常動作状態、停止状態から通常動作状態に遷移する準備を行う起動遷移状態、通常動作状態から停止状態に遷移する準備を行う停止遷移状態の４つの状態を備えている。図１２では、停止状態、起動遷移状態、通常動作状態、停止遷移状態の各状態に、それぞれ信号を受けて遷移する様子が示されている。実施の形態１の図４に比べ、通常動作状態から起動遷移状態への遷移も追加されている。

図１２では、実施の形態１の図４に比べ、起動遷移状態と通常動作状態の遷移条件に変更を加えている。起動遷移状態から通常動作状態への遷移条件として、遷移直後処理に関する初期化完了又は定常処理に関する初期化完了が条件となる。また、通常動作状態から起動遷移状態への遷移条件は、遷移直後処理が実行完了したこと、及び通常動作状態における初期化が未完了であることが条件である。

次に、遷移直後処理とソフトウェアモジュールとの関連について説明する。
超音波センサＥＣＵ５４の遷移直後処理は、超音波センサの信号をＡＤＡＳ−ＥＣＵ５１やレーダＥＣＵ５２やカメラＥＣＵ５３に、送信できるデータに変換して送信することである。
これらに必要となるソフトウェアモジュールは、超音波センサに異常がないかどうかを確認するダイアグ関連と、他のＥＣＵに起動状態を送信するための通信関連と、動作するためのクロック設定などを行うＭｃｕ関連と、超音波センサに出力するパルスを生成するタイマなどのドライバ関連である。これらのソフトウェアモジュールの初期化が必要となる。
一方、ＥＥＰＲＯＭ関連のソフトウェアモジュールは、故障発生時に書込むことが考えられるが、通常動作を行う際に、故障を確認したとしても、ＥＥＰＲＯＭにすぐ書込む必要はないため、この初期化はこの段階では必要ない。

次に、定常処理とソフトウェアモジュールとの関連について、図１１を用いて説明する。超音波センサＥＣＵ５４の定常処理は、遷移直後処理に加えて、他の処理のアイドル時間などにＥＥＰＲＯＭに書きこむ処理が追加される。これらに必要となるソフトウェアモジュールは、遷移直後処理においては必要としていなかったＥＥＰＲＯＭ関連である。つまり、定常処理において、はじめてＥＥＰＲＯＭ関連の初期化が必要となってくる。

次に、これらの機能を備えた実施の形態３による制御システムの動作について、図１３のフローチャートに従って説明する。
図１３において、先ず、Ｓ４０１は図５のＳ１０５、Ｓ４０２は図５のＳ１０６とそれぞれ同様の処理であるので、その説明を省略する。また、Ｓ４０１よりも前の処理は、図５のＳ１０１、Ｓ１０２−１、Ｓ１０２−２、Ｓ１９９、Ｓ１０３、Ｓ１０４と同様の処理であるので、これもその説明を省略する。

次に、Ｓ４０３では、制御処理手段４が備える初期化処理手段が、遷移直後処理に関するソフトウェア（ＳＷ）モジュールのみを初期化する。

Ｓ４０４では、状態管理手段３が、マイコン１０の状態を起動遷移状態から通常動作状態に遷移させる。

Ｓ４０５では、制御処理手段４が、遷移直後処理を実行する。これにより、ＡＤＡＳ−ＥＣＵ５１を含むＥＣＵに超音波センサＥＣＵ５４の情報が送信されることとなる。

Ｓ４０６は図７のＳ２０２、Ｓ４０７は図７のＳ２０３、Ｓ４０８−２は図７のＳ２０４−２、Ｓ４１０−２は図７のＳ２０６と、それぞれ同様の処理であり、その説明を省略する。

Ｓ４０８−１では、状態管理手段３が、通常動作状態から起動遷移状態に遷移させて、ソフトウェアモジュールの初期化が行えるようにする。

Ｓ４０９−１では、制御処理手段４の備える初期化処理手段が、定常処理に関するソフトウェア（ＳＷ）モジュールを初期化する。

Ｓ４１０−１では、状態管理手段３が、定常処理に関する初期化処理完了通知を受信した場合、起動遷移状態から通常動作状態に遷移させて、通常動作が実行できるようにする。

Ｓ４１１では、Ｓ４０９−１で初期化したソフトウェアモジュールに関連する定常処理を、制御処理手段４が実行する。

Ｓ４０９−２では、制御処理手段４が、実行中の遷移直後処理を停止し、処理を行わないようにし、停止できる準備を完了させる。

上述のように、実施の形態３によれば、ソフトウェアモジュールを分割し、それぞれ必要なタイミングで初期化するようにしたので、停止状態から緊急的に必要とされる通常動作までの時間を短くすることができる。

なお、実施の形態３では、全ソフトウェアモジュールのうち、初期化のタイミングを変更するモジュールをＥＥＰＲＯＭ関連としたが、これに限らず、遷移直後処理から定常処理で必要なソフトウェアモジュールが追加となる場合に適用可能である。

なお、この発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。

１ 起動手段、２ 妥当性検証手段、３ 状態管理手段、４ 制御処理手段、１０ マイコン、２１ 信号線、３１ 起動信号、３２ ＥＣＵ動作確認信号、３３ 起動確認疑似信号、３４ 遷移禁止信号、３５ 起動確認信号生成手段、３６ 起動確認疑似信号生成手段、３７ 周期調整手段、３８ 起動要否判定手段、４０ 計数手段、４１ 制御システム搭載車両、４２ 先行車両、４３ 第３の車両、４４ レーザレーダの検出範囲、４５ ステレオカメラの検出範囲、４６ 超音波センサの検出範囲、５１ ＡＤＡＳ−ＥＣＵ、５２ レーダＥＣＵ、５３ カメラＥＣＵ、５４ 超音波センサＥＣＵ、５５ ブレーキＥＣＵ、５６ ステアリングＥＣＵ

Claims (7)

1. 複数の制御装置が信号線により接続された制御システムであって、
   上記複数の制御装置のうちの一つである第１の制御装置は、
   マイコンを搭載し、
   上記信号線を介して送信される起動信号を検出して上記マイコンを起動する起動手段と、
   上記起動信号の妥当性を検証する妥当性検証手段と、
   上記起動信号の検出結果及び上記妥当性検証手段の検証結果のいずれか一方または両方に応じて、上記マイコンの状態を遷移させる状態管理手段と、
   上記状態管理手段による上記マイコンの状態に応じた制御処理を行う制御処理手段と、を有し、
   上記マイコンは、上記制御処理手段による通常制御を行う通常動作状態と、制御処理を停止した停止状態と、上記停止状態から上記通常動作状態に遷移する準備を行うための起動遷移状態と、上記通常動作状態から上記停止状態に遷移する準備を行うための停止遷移状態との各状態へ遷移可能に構成され、
   上記第１の制御装置以外の第２の制御装置は、
   上記起動信号を送信する起動確認信号生成手段と、
   上記第２の制御装置の周囲状況から上記第１の制御装置が起動を必要とするまでの時間を測定する起動要否判定手段と、
   上記起動信号の送信周期を所定の周期に調整する周期調整手段と、を備え、
   上記マイコンが上記停止状態にある場合で、上記起動確認信号生成手段が上記所定の周期で上記起動信号を送信し、上記第１の制御装置で上記起動信号が検出された場合には、上記妥当性検証手段による上記起動信号の検証が行われる前に、上記状態管理手段は、上記マイコンの状態を上記起動遷移状態を介して上記通常動作状態に遷移させ、上記制御処理手段は、通常制御を開始すると共に、
   上記起動要否判定手段で検出した時間よりも短くなるように、上記周期調整手段が上記所定の周期を調整することを特徴とする制御システム。
2. 上記第２の制御装置は、
   上記起動信号以外の信号を送信できる起動確認疑似信号生成手段を備え、
   上記第１の制御装置の上記マイコンが上記停止状態にある場合で、上記起動確認疑似信号生成手段が所定の周期で上記起動信号以外の信号を送信し、
   上記第１の制御装置で上記起動信号以外の信号が検出された場合に、上記マイコンの状態を変更しないことを特徴とする請求項１に記載の制御システム。
3. 上記妥当性検証手段は、
   上記起動手段から上記起動信号を受信するとともに、この受信からの時間を計測し、
   計測された時間が予め決められた所定時間を超えた場合に、上記起動信号の妥当性を検証することを特徴とする請求項１または２に記載の制御システム。
4. 上記状態管理手段は、
   上記妥当性検証手段による上記起動信号の妥当性の検証に失敗した場合には、上記マイコンを上記停止遷移状態にして上記制御処理手段による上記通常制御を停止させた後、上記マイコンの状態を上記停止状態に遷移させることを特徴とする請求項１から３の何れか一項に記載の制御システム。
5. 上記第１の制御装置以外の少なくとも一つの他の制御装置は、
   上記第１の制御装置が上記通常動作状態に遷移した回数を計数する計数手段を備え、
   上記計数手段による計数回数が所定回数以上となった場合に、上記停止状態に遷移することなく、上記通常動作状態を継続するように上記第１の制御装置に指示し、
   上記第１の制御装置は、上記指示の受信後は上記通常制御を停止しないことを特徴とする請求項１から４の何れか一項に記載の制御システム。
6. 上記制御処理手段は、
   上記制御処理に関係する複数のソフトウェアモジュールを有するとともに、
   上記起動遷移状態で上記ソフトウェアモジュールを初期化処理する初期化手段を備え、
   上記通常動作状態における制御処理は、上記通常動作状態への遷移直後に実行する遷移直後処理と、上記通常動作状態への遷移直後に実行しなくてもよい定常処理とにより構成され、
   上記起動信号を受けて上記起動遷移状態に遷移したときは、上記遷移直後処理に関係するソフトウェアモジュールのみを初期化し、
   上記通常動作状態に遷移して、上記初期化したソフトウェアモジュールにより上記遷移直後処理を実行した後に、上記妥当性検証手段により起動信号の妥当性が検証された場合、
   上記遷移直後処理に関係するソフトウェアモジュール以外のソフトウェアモジュールの初期化を実施し、上記定常処理を実施することを特徴とする請求項１から５の何れか一項に記載の制御システム。
7. 上記複数の制御装置は、車両に搭載され、それぞれ、上記車両の周囲を走行する他車両の状況を監視する周辺監視手段を制御するように構成され、
   上記第１の制御装置のマイコンが停止状態で、他の制御装置が上記車両の周囲を走行する他車両の状況を監視している場合において、上記他の制御装置が上記他車両の監視ができなくなった場合に、上記他の制御装置は、上記起動信号を上記第１の制御装置に送信することを特徴とする請求項１から６の何れか一項に記載の制御システム。

Images