JP6714611B2 - 車両の電子制御システムに冗長性を付与する方法及び装置 - Google Patents

Description

本発明は、電子制御装置が故障した場合、その電子制御装置に接続されたＩ／Ｏユニットを任意の他の電子制御装置に再接続することができる、車両の電子制御システムに冗長性を付与する装置及び方法に関する。この装置及び方法は、特に、様々な異なる電子制御装置が使用される、車両の電子制御システムに適している。しかしながら、この装置及び方法は、据え付けの電子制御システムにも適している。

現代の車両の電子制御システムは、ますます電子システム及びセンサシステムを使用して、車両の機能（function）を制御及び管理する。これらの電子制御システムの大部分は、１つ以上のデータバスを介して相互接続された、複数の電子制御装置によって制御されている。例えば、専用の高速データバスによって相互接続されたエンジンＥＣＵ、トランスミッションＥＣＵ及びインジェクションＥＣＵなど、様々な電子制御装置（ＥＣＵ）を含む専用のパワートレイン制御システムがあり得る。このパワートレイン制御システムは、同様に、メインデータバスを介して車両の電子制御システムと通信することができる。メインデータバスは、車速入力信号及び加速入力信号などの関連する情報をエンジン制御システムに伝達し、冷却水温度又はエンジン回転速度などの関連する信号をエンジン制御システムから伝達する。

他の電子制御装置は、クルーズコントロールシステム、リアカメラシステム又は自動ブレーキシステムの電子制御装置であってもよい。各電子制御装置は、命令を受信してその機能の状態を出力するために、他の電子制御装置と通信することができる。一般的に、電子制御装置は、測定信号をＥＣＵに入力するように構成された複数のセンサと、ＥＣＵによって開始される動作を実行するように構成された複数のアクチュエータと、に接続されている。ＡＢＳシステムでは、センサとしては、例えば、車輪の回転速度を測定する車輪速センサであってもよく、アクチュエータとしては、例えば、車両を制動するためにホイールブレーキのピストンに作用するように構成された油圧制御バルブであってもよい。適切に機能するために、ＡＢＳシステムは、情報を他のＥＣＵに送信し、他のＥＣＵから情報を受信する。

電子制御装置の台数を減らしてコストを削減するために、電子制御装置は、一般的に、様々なセンサ及びアクチュエータに接続され、５〜２０以上の入出力チャネルを持つこと多い。車両における配線を減らして電子制御装置とセンサ及びアクチュエータとの間のインタフェースを簡略化するために、電子制御装置の入力は、通常、バスに基づいている。従って、１つ以上のセンサ及び／又はアクチュエータは、入出力ユニット（Ｉ／Ｏユニット）に接続されている。Ｉ／Ｏユニットは、いくつかの別々の入出力チャネルと、多くの場合、ＬＩＮバス又はＣＡＮバスなどのデータバスを介して、他のＩ／Ｏユニット及び電子制御装置にＩ／Ｏユニットを接続可能にするデータバスインタフェースと、を備えている。従って、電子制御装置は、様々なＩ／Ｏユニットに接続することができる。

電子制御装置は、データバスを介して電子制御装置を通信可能にするトランシーバを備えている。１つのトランシーバは、電子制御装置に接続する各データバスを必要としている。従って、電子制御装置は、複数のＩ／Ｏユニットと通信するように構成された様々なトランシーバを備えてもよい。

図１は、メインデータバス１０１で相互接続された、いくつかの別体の電子制御装置１０２，１０３及び１０４を含む、公知の車両の電子制御システム１００の一部を示している。各ＥＣＵは、車両の特定機能に専念する。一例において、ＥＣＵ１０２は、自動ブレーキシステムの制御装置、ＥＣＵ１０３は、車両モータの制御装置、ＥＣＵ１０４は、インストルメントパネルの制御装置とすることができる。各ＥＣＵは、同様に、直接的か又は第２のデータバスを介してかのいずれかで、様々なセンサ及びアクチュエータに接続されている。図示の例では、ＥＣＵ１０２は、いくつかの車輪速センサ１０５及びブレーキバルブアクチュエータ１０６に直接接続されている。ＥＣＵ１０３は、同様に、エンジンで使用されるセンサ及びアクチュエータに接続する複数のＩ／Ｏユニット１０７に接続され、例えば、エンジンの点火及び燃料噴射を制御する。ＥＣＵ１０４は、例えば、インストルメントクラスタ、オーディオシステム、ナビゲーションシステム、情報システムなどを制御する複数のＩ／Ｏユニット１０８に接続されている。

各ＥＣＵは、メインデータバス１０１を介して他のＥＣＵと情報を交換する。ＥＣＵには、第２のデータバスを介して１つ以上のＩ／Ｏユニットと通信するように構成された、１つ以上のトランシーバが備えられている。各ＥＣＵは、データバスごとに１つのトランシーバを必要とする。従って、図示の例では、ＥＣＵ１０３及び１０４は、それぞれ３つのトランシーバを備えている。第３のデータバスを介して同様に他のＩ／Ｏユニット１０８に接続されるサブＥＣＵ１０９など、Ｉ／ＯユニットをサブＥＣＵとすることも可能である。

そのような車両の電子制御システムにおいて起こり得る１つの問題は、１つの電子制御装置が故障、又は、適切に機能しなくなることである。電子制御装置の重要性に応じて、そのような問題を解決する異なる可能性がある。燃料の噴射及び点火を制御するエンジンＥＣＵなどの非常に重要な機能に関して、第１のエンジンＥＣＵが故障すると、その機能を引き継ぐことができる、第２のエンジンＥＣＵが存在してもよい。より適切には、他のＥＣＵが故障したＥＣＵの機能のいくつかを引き継いで、その機能の限定された機能を提供する。一般的に、そのような故障は、車両の故障を招き、車両の電子制御システムが、限定された機能のみが提供される“リンプホーム”状態へと移行する。この場合、例えば、安全運転速度（reduced speed）で車両を走行させることが可能である。故障したＥＣＵによって使用されていたセンサ及びアクチュエータは、故障したＥＣＵの職務（duty）を引き継ぐＥＣＵで有効であることも重要である。従って、重要なセンサ及びアクチュエータを二重にして使用すること、又は、２つの出力を有するセンサ及び２つの入力を有するアクチュエータを備えることが必要な場合がある。リンプホーム状態の限定された機能は、失われた機能を制御するために使用されるセンサの一部又は全部が欠けていることに部分的に起因し、他のＥＣＵがその機能を引き継いでも、いくつかの重要な入力信号が欠けていることになる。この場合、車両は、すべての制御信号が必要でないように制御される。

あまり重要でない電子制御装置が故障すると、その機能が完全に失われるおそれがある。それは、例えば、パワーウインドウを開閉することができない場合である。システムの機能の一部が消失するが、主な機能が引き続いて動作する可能性もある。例えば、ウインドウを開閉することができるが、自動クローズ機能が動作しないなどである。この場合、ウインドウは、ウィンドウボタンを押し下げることによってのみ制御されてもよい。ＡＢＳシステムに関しては、例えば、車両のブレーキが引き続いて動作するが、ＡＢＳ機能が失われるおそれがある。

車両の電子制御システムに冗長性を付与するために、重要な電子制御装置を二重化することは複雑で高価であるため、他の解決策が提案されている。米国特許出願公開第２０１２／０２６５３５９号明細書は、複数のセンサ及びアクチュエータを複数の電子制御装置と通信可能にする再構成可能なインタフェースデバイスを含む、再構成可能なインタフェースレイヤの使用を提案している。各センサ又は各アクチュエータが、複数のインタフェースデバイスに接続され、複数のインタフェースデバイスが、同様に、バスに接続されている。電子制御装置もまた、バスに接続されている。インタフェースデバイスに故障が発生した場合には、他のインタフェースデバイスが、センサ、アクチュエータ及び電子制御装置の間の通信を維持するように再構築することができる。電子制御装置に故障が発生した場合には、インタフェースデバイスが、センサ及びアクチュエータのメッセージトラフィックを、故障した電子制御装置の機能を処理することができる異なる電子制御装置にルーティングするように再構成することができる。

このシステムでは、各センサ及び各アクチュエータは、システムを比較的複雑にする、任意の電子制御装置にルーティングすることができ、広範囲な再構成可能なメッセージテーブルと、広範囲な再構成可能なチャネル使用テーブルと、が必要である。いくつかの解決策では、そのようなシステムは、一歩前進してもよいし、いくらかの冗長性を付与してもよい。しかしながら、まだ改善の余地がある。

従って、本発明の目的は、車両の電子制御システムに冗長性を付与する装置を提供することである。本発明の他の目的は、車両の電子制御システムに冗長性を付与する方法を提供することである。

本発明による課題の解決策は、装置に関する請求項１の特徴部分、及び、方法に関する請求項１２に記載されている。他の請求項は、本発明の装置及び方法の更に有利な展開を含んでいる。

第１のデータバスを介して相互接続された複数の電子制御装置を含み、各電子制御装置が別体の第２のデータバスを介して１つ以上のＩ／Ｏユニットに接続される、車両の電子制御システムに冗長性を付与する装置では、この課題は、第２のデータバスのそれぞれが電子制御装置とＩ／Ｏユニットとの間の通信を可能にする別体のトランシーバを備えると共に、電子制御装置とトランシーバとの間に配置され、各トランシーバを選択した電子制御装置に相互接続するように構成されたプログラマブルスイッチを備えることで解決される。

この装置の第１実施形態によって、この装置は、トランシーバを選択した任意の電子制御装置に接続することを可能にする。各トランシーバは、ＣＡＮバス又はＬＩＮバスなどの適切なデータバスを介して、１つ以上のＩ／Ｏユニットに接続されている。各Ｉ／Ｏユニットは、１つ以上のセンサ及び１つ以上のアクチュエータが接続された、いくつかの入力チャネル及び／又はいくつかの出力チャネルを備えている。
また、米国特許出願公開第２０１３／０２８２２４９号明細書に注意を向けると、制御要素への少なくとも１つのインタフェース、特に、パーキングブレーキ制御スイッチと、電子アクチュエータの少なくとも２つの駆動回路、特に、電子パーキングブレーキアクチュエータと、を備えた、自動車のブレーキシステムの電子制御装置を開示している。米国特許出願公開第２０１３／０２８２２４９号明細書によれば、電子制御装置は、データバスを介して直接相互接続された、２つ又は複数の独立した演算ユニットを備えている。

車両の電子制御システムの通常動作中、各トランシーバは、装置を初期化するとき（装置起動時）に定義されたように、特定の電子制御装置に接続されている。より具体的には、１つのトランシーバを１つの特定の電子制御装置のみに接続することができるが、様々な異なるトランシーバを同じ特定の電子制御装置に接続することができる。電子制御装置へのトランシーバの接続は、各トランシーバを選択した電子制御装置に相互接続する、プログラマブルスイッチによって行われる。プログラマブルスイッチは、電子制御装置が初期化されるときに、各トランシーバが選択した電子制御装置に接続されるように制御されている。

本発明の定義で使用されているように、「現在欠陥のある第１の電子制御装置によって予め提供されていた機能を実行する第２の電子制御装置の能力」という表現は、まだ機能している電子制御装置が現在欠陥のある電子制御装置からどのように機能を引き継ぐことができるかに基づく最もスマートな方法で、Ｉ／Ｏユニットと現在利用可能な電子制御装置とを相互接続する装置の適応性を与えると理解すべきである。従って、１つの電子制御装置が故障した場合、欠陥のある電子制御装置によって予め提供されていた機能は、今欠陥のある電子制御装置によって予め処理されていたＩ／Ｏユニットへ／からの情報をまだ機能している電子制御装置にリダイレクトすることによって、まだ機能している残りの電子制御装置によって処理することができる。しかしながら、リダイレクションは、まだ機能している電子制御装置が、今欠陥のある電子制御装置によって予め処理されていたＩ／Ｏユニットへ／からの情報を処理することができるか否かの決定に基づいている。

言い換えると、プログラマブルスイッチは、第１の電子制御装置からの制御信号がないこと、又は、第２の電子制御装置からの再接続制御信号を受信したことに基づいて、第１の電子制御装置が故障したことを検出したとき、第１の電子制御装置から第２の制御装置へトランシーバを再接続するように構成されている。これは、１つの電子制御装置が故障しているとわかったときに、その電子制御装置に接続された１つ以上のトランシーバが、第１の電子制御装置の職務を引き継ぐことができる、他の電子制御装置に容易に再接続することを示す。「欠陥のある電子制御装置」という表現は、電子制御装置が「不完全に」なった状態、又は、完全に機能が停止した状態を含むことができる理解すべきである。しかしながら、欠陥のある電子制御装置は、いくつかの機能のみが実行され得るが、電子制御装置が完全に故障していない限定モードで機能している可能性もあり得る。

本発明の装置の有利な展開では、第２の電子制御装置は、第１の電子制御装置のすべての機能を実行するように構成されたプログラムコードの完全セットを含んでいる。このようにして、第１の電子制御装置に属する１つ以上のトランシーバが第２の電子制御装置に再接続されるので、第２の電子制御装置が第１の電子制御装置からすべての機能を引き継ぐことができ、第１の電子制御装置のすべてのセンサ及びアクチュエータが第２の電子制御装置で利用可能になるので、第１の電子制御装置によって実行されていたすべての機能が第２の電子制御装置によって実行できるようになる。

本発明の装置の有利な展開では、第２の電子制御装置は、第１の電子制御装置の限定された機能を実行するように構成された、プログラムコードの限定セットを含んでいる。このようにして、第２の電子制御装置は、第１の電子制御装置からいくつかの機能を引き継ぐことができる。第２の電子制御装置に再接続される第１の電子制御装置に属する１つ以上のトランシーバを備えることで、第２の電子制御装置によって実行される第１の電子制御装置の機能を選択することができる。第１の電子制御装置から引き継がれた機能はまた、例えば、第２の電子制御装置がそれ自身の本来の機能に要求される処理能力に応じて、時系列で異なってもよい。

本発明の装置の有利な展開では、車両の電子制御システムの各電子制御装置は、任意の他の電子制御装置の機能を実行するように構成されたプログラムコードを含んでいる。このようにして、１つの電子制御装置が故障した場合、任意の他の電子制御装置が、故障した電子制御装置の機能を引き継ぐことができる。一実施形態における第２の電子制御装置は、装置に対して冗長性を付与するために備えられてもよい。ここでは、第２の電子制御装置は、第１の電子制御装置が故障するまで休止モードにあることで、第２の電子制御装置が、第１の電子制御装置によって予め提供されていた機能を引き継ぐ。装置の更なる冗長性を可能にするために、第１のプログラマブルスイッチが適切に機能している限り、スタンバイモード／休止モードにある第２のプログラマブルスイッチを含むこともできる。

本発明の装置の有利な展開では、各電子制御装置は、任意の他の電子制御装置の限定された機能を実行するように構成されたプログラムコードを含んでいる。このようにして、１つ以上の電子制御装置が故障した場合、限定された機能で車両のリンプホーム機能を提供することが可能である。

第１のデータバスを介して相互接続された複数の電子制御装置を備え、各電子制御装置が、別体の第２のデータバスを介して１つ以上のＩ／Ｏユニットに接続されるように構成され、第２のデータバスのそれぞれが、別体のトランシーバを備えた、車両の電子制御システムに冗長性を付与する方法では、プログラマブルスイッチで選択した電子制御装置に各トランシーバを接続することによって、車両の電子制御システムを初期化するステップと、これによって、電子制御装置とＩ／Ｏユニットとの間の通信を可能にするステップと、が備えられている。

本発明の方法によれば、車両の電子制御システムを初期化するとき、電子制御装置が必要とするＩ／Ｏユニットを、選択した電子制御装置に容易に接続することができる方法が提供される。Ｉ／Ｏユニットは、トランシーバに接続されている。各トランシーバは、プログラマブルスイッチを使用することで、選択した電子制御装置にルーティングされている。プログラマブルスイッチはさらに、例えば、１つの電子制御装置に故障が発生した場合、１つ以上のトランシーバを他の電子制御装置に再接続することを可能にする。このようにして、電子制御装置のすべて又は一部の機能は、他の電子制御装置によって引き継ぐことができる。

添付図面を参照して、以下に、本発明をより詳細に説明する。

従来技術の車両の電子制御システムの概要を示す。 本発明による車両の電子制御システムの一例を示す。 故障したＥＣＵを有する本発明による車両の電子制御システムの一例を示す。 プログラマブルスイッチの例示的な実装を示す。 車両の電子制御システムに冗長性を付与する本発明の方法の概略的なフローチャートを示す。

以下で説明される更なる展開を伴う本発明の実施形態は、例としてのみ見做されるべきであり、特許請求の範囲によって提供される保護範囲を限定するものではない。この装置は、複数の電子制御ユニットと、複数のセンサ及びアクチュエータと、を含むあらゆる種類の電子制御システムに適しているが、冗長可能性が重要である、複数の専用の電子制御装置を含む非据え置きシステムに特に適している。

図２は、本発明による、車両の電子制御システム２に冗長性を付与する装置１を示す。電子制御システム２は、データバスを介して相互接続された、複数の電子制御装置を備えている。図示の例では、３つの電子制御装置３，４，５が使用されている。しかしながら、車両で使用される通常の電子制御システムにおいては、より多くの電子制御装置が使用されている。図示の例では、電子制御装置は、第１のデータバス１０と相互接続されている。電子制御装置はまた、他のパラレルデータバスを介して接続されてもよい。他のデータバスは、例えば、第１のデータバスが故障又は損傷した場合に冗長性を付与するデータバス、又は、２つの電子制御装置間で高速にデータを送信するために使用される特定の高速データバスであってもよい。

各電子制御装置は、車両の１つ以上の機能に属する特定のタスクを実行するように構成されたプログラムコードを備えている。通常、電子制御装置は、特定の機能を実行して所定セットのセンサ及びアクチュエータを使用する、特定の機能を表現するかこれに対応するようにセットアップされている。これは、エンジンＥＣＵ、ＡＢＳ ＥＣＵ又はインフォテインメントＥＣＵなど、公知の専用電子制御装置と共通している。電子制御システムを初期化するとき、各電子制御装置は、特定かつ所定の機能に割り当てられる。各電子制御装置は、通常では他の電子制御装置に割り当てられた、車両のさらなる機能を実行するように構成されたプログラムコードを更に備えている。電子制御装置に備えられた付加的なプログラムコードは、他の電子制御装置に割り当てられた１つ以上の機能に対応する完全なプログラムコード、又は、特定の機能の一部を実行するように構成された限定されたプログラムコードであってもよい。

図示の例では、第１の電子制御装置３は、機能Ａを実行するプログラムコードを備えると共に、機能Ｂ及びＣに対応するプログラムコードを更に備えている。第２の電子制御装置４は、機能Ｂを実行するプログラムコードを備えると共に、機能Ａ及びＣに対応するプログラムコードを更に備えている。第３の電子制御装置５は、機能Ｃを実行するプログラムコードを備えると共に、機能Ａ及びＢに対応するプログラムコードを更に備えている。初期化するとき、第１の電子制御装置３は、機能Ａを実行するようにセットアップされ、第２の電子制御装置４は、機能Ｂを実行するようにセットアップされ、第３の電子制御装置５は、機能Ｃを実行するようにセットアップされる。他の機能のためのプログラムコードは、休止される。

比較的小さな電子制御システムでは、すべての機能のプログラムコードを複製し、すべての電子制御装置に格納することが可能である。現代の車両などのより複雑な電子制御システムでは、各電子制御装置に少数の機能のためのプログラムコードを格納すると共に、各機能に対応するプログラムコードがいくつかの電子制御装置に格納されるように、各電子制御装置に格納されたプログラムコードを変更するのがより現実的である。特定の機能のために構成された電子制御装置が、他の機能のプログラムコードの限定セットを格納するように、電子制御装置に格納された他の機能のプログラムコードを小さくすることも可能である。

従って、図示の例では、第１の電子制御装置３は、完全な機能Ａを実行するプログラムコードを備えると共に、限定された機能Ｂ及びＣに対応するプログラムコードの限定セットを更に備えている。第２の電子制御装置４は、完全な機能Ｂを実行するプログラムコードを備えると共に、限定された機能Ａ及びＣに対応するプログラムコードの限定セットを更に備えている。第３の電子制御装置５は、完全な機能Ｃを実行するプログラムコードを備えると共に、限定された機能Ａ及びＢに対応するプログラムコードの限定セットを更に備えている。限定された機能のプログラムコードの限定セットはまた、初期化するときに休止される。

必要な記憶容量、プロセッサ能力などに応じて、どの電子制御装置が、どのプログラムコードを格納すべきかと格納されるプログラムコードの大きさとが決定される。いくつかのシステムでは、すべての機能について１つのタイプの電子制御装置のみを使用することが可能であるが、例えば、それが記憶容量、プロセッサ能力、バススピードなどに関連している場合、異なる機能間で要求が異なるため、通常、いくつかの異なる電子制御装置が異なる機能のために使用される。

電子制御システムは、電子制御システムに入力信号を提供するために信号を測定するように構成された多数のセンサと、電子制御システムによって命令された動作を行うように構成された多数のアクチュエータと、を更に備えている。ケーブルの量を減らして柔軟なシステムを提供するために、センサ及びアクチュエータは、いくつかのＩ／Ｏユニットに接続されている。各Ｉ／Ｏユニットは、センサのためのいくつかの入力チャネルと、アクチュエータのためのいくつかの出力チャネルと、を備えている。Ｉ／Ｏユニットの入出力チャネルの数は、異なってもよい。各Ｉ／Ｏユニットには、電子制御装置と通信するように構成されたデータバスインタフェースが更に備えられている。

Ｉ／Ｏユニットは、データバスを介して、電子制御装置と通信する。好ましくは、いくつかのＩ／Ｏユニットは、同じデータバスを介して通信する。従来技術の解決策では、電子制御装置には、データバスと電子制御装置との間のインタフェースとして動作する少なくとも１つのトランシーバが備えられている。本発明の解決策では、トランシーバは、データバスインタフェースとして動作する別体のデバイスであって、電子制御装置に直接接続されていない。その代わりに、プログラマブルスイッチ１６が、トランシーバを電子制御装置に接続するために使用される。

図示の例では、センサ及びアクチュエータは、Ｉ／Ｏユニット１５に接続されている。Ｉ／Ｏユニットは、第２のデータバスを介して、トランシーバに接続されている。データバス１１は、３つのＩ／Ｏユニットをトランシーバ６に接続し、データバス１２は、３つのＩ／Ｏユニットをトランシーバ７に接続し、データバス１３は、３つのＩ／Ｏユニットをトランシーバ８に接続し、データバス１４は、３つのＩ／Ｏユニットをトランシーバ９に接続している。いくらかの冗長性を付与するために、第２のデータバスを二重化し、システムが２つのパラレルデータバスを使用することももちろん可能である。２つのパラレルデータバスに関して、各トランシーバは、２つのデータバス接続を備えている。第２のデータバスは、好ましくは、ＣＡＮバス又はＬＩＮバスであるが、他のバスタイプも可能である。

プログラマブルスイッチ１６は、電子制御システムを初期化するときに、選択された数のトランシーバを所定の電子制御装置に接続するように構成されている。プログラマブルスイッチは、各接続がトランシーバと接続するように構成された双方向の接続ではあるもののここでは入力側と呼ばれるトランシーバ側と、各接続が電子制御装置と接続するように構成された双方向の接続ではあるもののここでは出力側と呼ばれる電子制御装置側とを備えると電気的には見なされる。プログラマブルスイッチには、各トランシータへの１つの入力接続と、各電子制御装置への１つの出力接続と、が備えられている。

図示の例では、プログラマブルスイッチ１６には、トランシーバ６に接続されるスイッチ入力１７と、トランシーバ７に接続されるスイッチ入力１８と、トランシーバ８に接続されるスイッチ入力１９と、トランシーバ９に接続されるスイッチ入力２０と、が備えられている。プログラマブルスイッチには、電子制御装置３に接続されるスイッチ出力２１と、電子制御装置４に接続されるスイッチ出力２２と、電子制御装置５に接続されるスイッチ出力２３と、が更に備えられている。

プログラマブルスイッチには、各接続が電子制御装置に接続されるように構成された双方向の接続ではあるもののここでは制御入力と呼ばれる、各電子制御装置に対して１つの制御接続が更に備えられている。図示の例では、プログラマブルスイッチには、電子制御装置３に接続される制御入力２４と、電子制御装置４に接続される制御入力２５と、電子制御装置５に接続される制御入力２６と、が更に備えられている。

プログラマブルスイッチは、各トランシーバを１つの電子制御装置に接続するように構成されている。トランシーバは、単一の電子制御装置にのみ接続することができるが、複数のトランシーバを１つの電子制御装置に接続することができる。ここでは、プログラマブルスイッチ１６は、トランシーバ６を電子制御装置３に接続し、トランシーバ７を電子制御装置４に接続し、トランシーバ８を電子制御装置４に接続し、トランシーバ９を電子制御装置５に接続する。このようにして、データバス１１に接続されたＩ／Ｏユニットが電子制御装置３にルーティングされ、データバス１２及び１３に接続されたＩ／Ｏユニットが電子制御装置４にルーティングされ、データバス１４に接続されたＩ／Ｏユニットが電子制御装置５にルーティングされる。

システムが初めてセットアップされて初期化されたとき、例えば、車両が製造されたとき、プログラマブルスイッチは、各トランシーバを選択された電子制御装置に接続するようにセットアップされる。このようにして、特定の機能に属するセンサ及びアクチュエータは、その機能を担当している電子制御装置に接続される。電子制御システムは、この構成で、公知の通常の電子制御システムとして機能する。

電子制御装置が何らかの原因で故障したり正常に動作しなくなり始めると、電子制御装置は、確実な方法でその機能を実行できなくなってしまう。電子制御装置が完全に故障すると、機能が消滅し、電子制御装置が正常に動作しないと、機能が破損（corrupted）されてしまう。この機能が重要であれば、車両が奇妙な挙動を始めたり完全に停止してしまう。

本発明の装置では、プログラマブルスイッチは、このように、故障した電子制御装置から、その機能のためのセンサ及びアクチュエータを使用することによって、故障した電子制御装置の機能を実行し続けることができる他の電子制御装置へと、１つ以上のトランシーバを再接続することができる。

図３に示す例では、第１の電子制御装置３が故障していると仮定する。第１の電子制御装置３が、データバス１１を介して接続されたセンサ及びアクチュエータを使用することによって機能Ａを実行していたため、機能Ａをもはや実行することができない。システムは、例えば、各電子制御装置から出力されるハートビート信号を監視することによって、第１の電子制御装置３が故障していることを検出することができる。この場合、各電子制御装置は、他の電子制御装置によって監視されるメインデータバスにハートビート信号を送出する。特定の電子制御装置のハートビート信号が失われたり不完全であれば、この電子制御装置が故障していると決定される。どのハートビート信号が失われているかに応じて、選択された他の電子制御装置は、故障した電子制御装置の職務を引き継ぎ始める。

図示の例では、第２の電子制御装置４が、第１の電子制御装置３から職務を引き継ぐ。第２の電子制御装置は、プログラマブルスイッチの制御入力２５に制御信号を送り、プログラマブルスイッチに命令して、トランシーバ６を第２の電子制御装置４に再接続する。従って、プログラマブルスイッチは、トランシーバ６を第２の電子制御装置４に再接続する。機能Ａに必要なセンサ及びアクチュエータは、ここで、第２の電子制御装置４に接続される。同時に、第２の電子制御装置４に格納された機能Ａに対応するプログラムコードが起動され、第２の電子制御装置４が、機能Ａもまた実行することができる。

機能Ａ及び機能Ｂの大きさに応じて、第２の電子制御装置によって、完全な機能Ａが実行されてもよい。第２の電子制御装置が、限定された機能Ａのみを実行することも可能である。第２の電子制御装置の処理能力が限定された機能Ａ及び完全な機能Ｂの両方を実行することができない場合には、機能Ａ及び機能Ｂの両方を小さくすることも可能である。

図示の例では、すべての電子制御装置は、すべての機能を実行するプログラムコードを備えている。しかしながら、車両は、通常、２０〜４０以上の電子制御装置を備えているため、電子制御装置が引き継ぐ機能数を制限することが好ましい。様々な機能の大きさに応じて、電子制御装置は、少なくとも１つの付加的な機能を実行するプログラムコードを格納し、３〜５の異なる機能数が有利である。

電子制御装置に２つより多い異なる機能を同時に実行させることも可能である。従って、図示の例では、電子制御装置３及び４の両方が故障していれば、第３の電子制御装置５に完全な又は限定された、機能Ａ、機能Ｂ及び機能Ｃをすべて実行させることが可能である。しかしながら、各電子制御装置に１つの付加的な機能を引き継ぎさせることが好ましい。２つの電子制御装置が故障した場合には、２つの異なる電子制御装置にそれぞれ１つの機能を引き継ぎさせることが好ましい。

図４は、本発明の概念によって提供される、プログラマブルスイッチ１６の例示的な実装を提示する。図４に図示する実施形態では、プログラマブルスイッチ１６は、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）を使用して実装され、第２のバスを介してＩ／Ｏユニット１５との間で送信される信号の非同期処理を可能にする。プログラマブルスイッチ１６は、例えば、装置１の異なるトランシーバ６，７，８及び９並びに電子制御装置３，４及び５からの信号を（可能であれば非同期に）受信／供給するように構成された、第１の接続ハンドラ４０を備えて実装されてもよい。第１の接続ハンドラ４０は、同様に、接続テーブル４４及び第２の接続ハンドラ４６と通信する接続セレクタ４２によって制御される。第２の接続ハンドラ４６は、例えば、電子制御装置３，４及び５の現在の動作モードを示すハートビート信号を含む、電子制御装置３，４及び５からの前述した制御信号を受信するように構成されている。

従って、電子制御装置３，４及び５から受信した制御信号に基づいて、第２の接続ハンドラ４６は、通常モード動作中に、トランシーバがどのように電子制御装置に接続され、電子制御装置３，４及び５の１つが故障した場合、トランシーバがどのように再接続されるかについて、接続テーブル４４に格納された情報を再検討する。利用可能な情報は、同様に、第１の接続ハンドラ４０を制御する接続セレクタ４２への入力信号として使用される。

装置１の有利な実装では、電子制御装置３，４及び５並びにプログラマブルスイッチ１６は、トランシーバ６，７，８及び９を使用して、第２のデータバス１１，１２，１３及び１４への接続を可能にする、専用のケーブルインタフェースを有するハウジング内に配置されている。従って、１つの共通形のハウジング及びケーブルインタフェースは、異なるタイプの車両のために使用され得る。即ち、「外部」から見た機能は、実際には、ハウジング内に含まれるものとは独立したものとなる。このタイプの実装は、異なるタイプの車両に関する異なるタイプのケーブルインタフェース及び異なる取付構成に頼らざるを得ない複雑さを大幅に軽減する。また、異なるタイプの車両について、異なるレベルの冗長性を付与する必要があるかもしれない。例えば、手動で操作される車両は、自律車両（又は半自律車両）と同じレベルの冗長性を必要としない。従って、同じハウジング／ケーブルインタフェースを使用することができる一方、例えば、利用可能な電子制御装置の数を含むハードウエア仕様が、異なる車両タイプごとに異なってもよい。

異なる車両タイプごとに、装置の初期化が異なってもよい。例えば、手動の車両について、第１の電子制御装置が故障した場合、第２の電子制御装置が第１の電子制御装置によって予め提供されていた機能の選択された部分のみを処理することを示す、限定された冗長性のみが提供される。反対に、自律車両の場合、第２の電子制御装置が第１の電子制御装置によって通常提供されるすべての機能を処理可能なように構成され、第１の電子制御装置が適切に機能する限り、第２の電子制御装置がスタンバイ／休止モードのままでいるように初期化されてもよい。第１の電子制御装置が故障した場合、第２の電子制御装置が起動して、第１の電子制御装置によって予め処理されていたすべての機能を処理する。

この装置を実装する上記のモジュール式の実施形態では、例えば、欠陥のある第１の電子制御装置を交換するために、サービスパーソナルがハウジングと相互作用するだけでよいように、あらゆるサービスオペレーションが単純化される。電子制御装置は、好ましくは、一般的には他の回路を含む、制御カードのいくつかの形態で配置されることが理解されるべきである。制御カードには、可能であれば、制御カードがハウジングに備えられたスロットに嵌合可能にする手段が備えられてもよい。

図５は、車両の電子制御システムに冗長性を付与する概略的なフローチャートを示している。電子制御システムは、第１のデータバスを介して相互接続された複数の電子制御装置を備えている。各電子制御装置は、別体の第２のデータバスを介して１つ以上のＩ／Ｏユニットに接続されるように構成されている。第２のデータバスのそれぞれには、別体のトランシーバが備えられている。

ステップ２００では、システムが初期化され、プログラムコードが電子制御装置に格納される。各電子制御装置では、少なくとも２つの異なる機能を実行するように構成されたプログラムコードが格納される。第１の機能のプログラムコードが起動され、１つ以上の付加的な機能のプログラムコードが休止状態で格納される。

ステップ２１０では、各トランシーバが、プログラムスイッチを用いて、選択された電子制御装置に接続される。プログラマブルスイッチが初期化され、各トランシーバを所定の電子制御装置に接続する。このようにして、各電子制御装置は、第２のデータバスを介して、所定のセンサ及びアクチュエータと通信可能になる。センサ及びアクチュエータは、１つ以上のＩ／Ｏユニットに接続される。

ステップ２２０では、すべての電子制御装置が適切に動作しているかを判定する。これは、様々な方法で判定することができる。一例では、各電子制御装置が第１のデータバスに上記ハートビート信号を送出し、他の電子制御装置がこのハートビート信号を監視する。システムが適切に機能していれば、この方法は、すべての電子制御装置が適切に動作しているかを判定し続ける。電子制御装置の故障が検出された、即ち、電子制御装置からのハートビート信号が失われたならば、この方法は、ステップ２３０に進む。

ステップ２３０では、プログラマブルスイッチは、故障した電子制御装置に属する１つ以上のトランシーバを選択された電子制御装置に再接続する。同時に、故障した電子制御装置に対応する休止プログラムコードが、選択された電子制御装置で起動される。このようにして、選択された電子制御装置は、故障した電子制御装置のセンサ及びアクチュエータに接続され、選択された電子制御装置は、故障した電子制御装置の機能を実行することが可能になる。選択された電子制御装置によって実行される故障した電子制御装置の機能は、完全な機能でもよいし、限定された機能であってもよい。

ステップ２４０では、エラーメッセージが発行される。エラーメッセージは、例えば、電子制御装置が故障していること、及び、どの電子制御装置が故障しているかを示すことができる。エラーメッセージはまた、運転者に、限定された機能があり点検が必要であることも示してもよい。それほど重要でない機能については、エラーメッセージをデータテーブルに発行すれば十分であり、それは次の定期的な車両点検で読み出される。

そして、本方法はステップ２２０に進み、再接続された電子制御装置のセットが適切に動作しているかを判定する。

本発明は、上述した実施形態に限定されると見做されるものではなく、特許請求の範囲内で可能な、いくつかの付加的な変形及び修正が可能である。

１ 装置
２ 電子制御システム
３ 電子制御装置
４ 電子制御装置
５ 電子制御装置
６ トランシーバ
７ トランシーバ
８ トランシーバ
９ トランシーバ
１０ 第１のデータバス
１１ 第２のデータバス
１２ 第２のデータバス
１３ 第２のデータバス
１４ 第２のデータバス
１５ Ｉ／Ｏユニット
１６ プログラマブルスイッチ
１７ スイッチ入力
１８ スイッチ入力
１９ スイッチ入力
２０ スイッチ入力
２１ スイッチ出力
２２ スイッチ出力
２３ スイッチ出力
２４ 制御入力
２５ 制御入力
２６ 制御入力
１００ 電子制御システム
１０１ メインデータバス
１０２ 電子制御装置
１０３ 電子制御装置
１０４ 電子制御装置
１０５ センサ
１０６ アクチュエータ
１０７ Ｉ／Ｏユニット
１０８ Ｉ／Ｏユニット
１０９ サブＥＣＵ

Claims (12)

1. 第１のデータバス（１０）を介して相互接続された少なくとも第１及び第２の電子制御装置（３，４，５）と、
   別体の第２のデータバス（１１，１２，１３，１４）を介して１つ以上のＩ／Ｏユニット（１５）にそれぞれ接続された少なくとも第１及び第２のトランシーバ（６，７，８，９）と、
   前記電子制御装置（３，４，５）と前記トランシーバ（６，７，８，９）との間に配置され、前記第１及び前記第２の電子制御装置（３，４，５）を前記第１及び前記第２のトランシーバ（６，７，８，９）に選択的に相互接続するように構成されたプログラマブルスイッチ（１６）と、を備え、
   前記第１の電子制御装置（３）は機能Ａを実行するように構成され、前記第２の電子制御装置は機能Ｂを実行するように構成され、前記機能Ａは前記機能Ｂとは異なり、
   前記プログラマブルスイッチ（１６）は、初期化されて前記第１及び前記第２の電子制御装置（３，４，５）を前記第１及び前記第２のトランシーバ（６，７，８，９）にそれぞれ相互接続して、前記電子制御装置と前記Ｉ／Ｏユニットとの間の通信を可能にし、
   前記プログラマブルスイッチ（１６）によって提供されるさらなる選択的な再接続は、前記第１及び前記第２の電子制御装置（３，４，５）の各故障状態と、現在欠陥のある第１の電子制御装置（３）によって予め提供されていた機能を実行する第２の電子制御装置（４）の能力と、に基づいて、前記第１及び前記第２の電子制御装置（３，４，５）によって制御される、車両の電子制御システム（２）に冗長性を付与する装置（１）であって、
   前記第１及び前記第２の電子制御装置（３，４，５）の前記各故障状態は、前記第１及び前記第２の電子制御装置（３，４，５）のそれぞれから受信した制御信号に基づくものであり、前記第１の電子制御装置（３）からの制御信号が失われたことは、前記第１の電子制御装置（３）の故障を示すと共に、前記プログラマブルスイッチによって前記第１のトランシーバ（６）を前記第２の電子制御装置（４）に相互接続するために使用され、前記第２の電子制御装置（４）は、どの電子制御装置（３，４，５）からの制御信号が失われたかに応じて、予め休止されていた機能Ｂに対応するプログラムコードを起動することで、前記第１の電子制御装置（３）によって予め提供されていた前記機能Ａの少なくとも選択された一部を実行するように構成された、
   ことを特徴とする装置。
2. 前記第２の電子制御装置（４）は、前記第１の電子制御装置（３）のすべての機能を実行するように構成された、プログラムコードの完全セットを備えている、
   ことを特徴とする請求項１に記載の装置。
3. 前記第２の電子制御装置（４）は、前記第１の電子制御装置（３）の限定された機能を実行するように構成された、プログラムコードの限定セットを備えている、
   ことを特徴とする請求項１又は請求項２に記載の装置。
4. 前記Ｉ／Ｏユニット（１５）は、ＣＡＮバス又はＬＩＮバスを介して前記トランシーバ（６，７，８，９）に接続された、
   ことを特徴とする請求項１〜請求項３のいずれか１つに記載の装置。
5. 前記第１及び前記第２のトランシーバ（６，７，８，９）及び前記プログラマブルスイッチ（１６）は、１つの電子コンポーネントに統合された、
   ことを特徴とする請求項１〜請求項４のいずれか１つに記載の装置。
6. 前記各電子制御装置（３，４，５）は、任意の前記電子制御装置（３，４，５）の機能を実行するように構成されたプログラムコードを備えた、
   ことを特徴とする請求項１〜請求項５のいずれか１つに記載の装置。
7. 前記各電子制御装置（３，４，５）は、任意の前記電子制御装置（３，４，５）の限定された機能を実行するように構成されたプログラムコードを備えた、
   ことを特徴とする請求項１〜請求項５のいずれか１つに記載の装置。
8. 前記電子制御装置（３，４，５）は、所定数の電子制御装置（３，４，５）の機能を実行するように構成されたプログラムコードを備えた、
   ことを特徴とする請求項１〜請求項５のいずれか１つに記載の装置。
9. 前記プログラマブルスイッチ（１６）は、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）を備えた、
   ことを特徴とする請求項１〜請求項８のいずれか１つに記載の装置。
10. 請求項１〜請求項９のいずれか１つの記載の装置を備えた車両。
11. 第１のデータバス（１０）を介して相互接続された少なくとも第１及び第２の電子制御装置（３，４，５）と、
    別体の第２のデータバス（１１，１２，１３，１４）を介して１つ以上のＩ／Ｏユニット（１５）にそれぞれ接続された少なくとも第１及び第２のトランシーバ（６，７，８，９）と、
    前記電子制御装置（３，４，５）と前記トランシーバ（６，７，８，９）との間に配置され、前記第１及び前記第２の電子制御装置（３，４，５）を前記第１及び第２のトランシーバ（６，７，８，９）に選択的に相互接続するように構成されたプログラマブルスイッチ（１６）と、を備え、
    前記第１の電子制御装置（３）は機能Ａを実行するように構成され、前記第２の電子制御装置は機能Ｂを実行するように構成され、前記機能Ａは前記機能Ｂとは異なり、
    前記プログラマブルスイッチが、前記第１及び前記第２の電子制御装置（３，４，５）によって制御される、車両の電子制御システム（２）に冗長性を付与する方法であって、
    前記第１及び前記第２の電子制御装置（３，４，５）を前記第１及び前記第２のトランシーバ（６，７，８，９）にそれぞれ相互接続することによって、前記車両の電子制御システムを初期化して、電子制御装置とＩ／Ｏユニットとの間の通信を可能にするステップと、
    前記第１及び前記第２の電子制御装置（３，４，５）の各故障状態と、現在欠陥のある第１の電子制御装置（３）によって予め提供されていた機能を実行する前記第２の電子制御装置（４）の能力と、に基づいて、前記第１のトランシーバを前記第２の電子制御装置に選択的に再接続するステップと、
    を備え、
    前記第１及び前記第２の電子制御装置（３，４，５）の前記各故障状態は、前記第１及び前記第２の電子制御装置（３，４，５）のそれぞれから受信した制御信号に基づくものであり、前記第１の電子制御装置（３）からの制御信号が失われたことは、前記第１の電子制御装置（３）の故障を示すと共に、前記プログラマブルスイッチによって前記第１のトランシーバ（６）を前記第２の電子制御装置（４）に相互接続するために使用され、前記第２の電子制御装置（４）は、どの電子制御装置（３，４，５）からの制御信号が失われたかに応じて、予め休止されていた機能Ｂに対応するプログラムコードを起動することで、前記第１の電子制御装置（３）によって予め提供されていた前記機能Ａの少なくとも選択された一部を実行するように構成された、
    ことを特徴とする方法。
12. コンピュータで実行されたとき、請求項１１に記載のすべてのステップを実行する、プログラムコード手段を備えたコンピュータプログラム。