JP6901881B2 - 車両用制御装置 - Google Patents

Description

本発明は、例えば自動車等の車両に用いられる制御装置（車両用制御装置）であって、メイン制御部及びサブ制御部を備えて冗長化された制御装置等に関する。

例えば特許文献１は、駆動装置の制御装置を開示し、その制御装置は、メイン系マイコン及びサブ系マイコンを備え、ＡＤ（Analog-to-Digital）変換モジュール及びＣＡＮ（Controller Area Network）モジュールが冗長化されている。特許文献１の制御装置では、具体的には、入力データを演算する出力演算ソフトがメイン系マイコンのみに格納されている。メイン系ＣＡＮモジュールが異常であり、且つサブ系ＣＡＮモジュールが正常である時に、メイン系マイコンは、ＤＰＲＡＭ（Dual Port RAM）に格納されるサブ系ＣＡＮ入力データを使用し、サブ系ＣＡＮモジュールでの通信を実行することができる。

なお、特許文献１のサブ系マイコン（サブ系駆動装置（ＡＴＣＵ）用制御装置のＣＰＵ）は、サブ系ＣＡＮモジュールの状態（正常又は異常）及びサブ系ＣＡＮ入力データ（入力値）をＤＰＲＡＭに常に書き込むことができる。

特開２０１６−０５５８３２号公報

特許文献１では、メイン系ＣＡＮモジュールの状態及びサブ系ＣＡＮモジュールの状態が例えば同時に正常から異常に変化する時に、メイン系マイコンは、サブ系ＣＡＮモジュールでの通信・実行を試みてしまう。言い換えれば、サブ系ＣＡＮモジュールの異常がＤＰＲＡＭに書き込まれるには時間がかかるので、その書き込み前に、メイン系マイコンは、タイムラグを考慮しないでＤＰＲＡＭを参照し、サブ系ＣＡＮモジュールが正常であることを誤って判定してしまう。

また、特許文献１では、メイン系ＣＡＮモジュールの状態が正常から異常に変化し、且つサブ系ＣＡＮモジュールが異常である時に、フェール処理が実行される。言い換えれば、両方のＣＡＮモジュールが異常である時に、制御の継続性が保たれない。

本発明の１つの目的は、サブ系ＣＡＮモジュール等のサブ通信モジュールの状態を確実に判定可能な車両用制御装置を提供することである。本発明のもう１つの目的は、両方の通信モジュールが故障する状況であっても、車載ネットワーク上の車載装置への制御データの送信を継続可能な車両用制御装置を提供することである。本発明の他の目的は、以下に例示する態様及び最良の実施形態、並びに添付の図面を参照することによって、当業者に明らかになるであろう。

以下に、本発明の概要を容易に理解するために、本発明に従う態様を例示する。

第１の態様において、車載ネットワークに接続されるメイン制御部及びサブ制御部を有する車両用制御装置は、
前記車載ネットワーク上の通信を第１のバスで実行可能な第１のメイン通信モジュールと、
前記車載ネットワーク上の通信を前記第１のバスで実行可能な第１のサブ通信モジュールと、
を備え、
前記第１のメイン通信モジュールが故障していることが判定される時に、前記メイン制御部は、第１の一定時間が経過したか否かを判定し、
前記第１の一定時間が経過した後に、前記メイン制御部は、前記車載ネットワーク上の車載装置への制御データの送信手法を決定する。

第１の態様では、車載ネットワーク（例えばＣＡＮ）上の車載装置への制御データの送信は、第１のメイン通信モジュールが故障していることが判定される時に、直ぐに実行されない。言い換えれば、第１の態様では、第１のメイン通信モジュールが故障していることが判定される時に、第１の一定時間が経過したか否かを判定し、その後に、第１のサブ通信モジュールでの送信を実行するのか、或いは他の通信モジュールでの送信を実行するのかを決定することができる。従って、第１の態様では、第１のサブ通信モジュールの状態を確実に判定することができる。

第１の態様に従属する第２の態様において、
前記第１のメイン通信モジュールが故障していることが判定された時点から前記第１の一定時間が経過した時点までの第１の期間内に、前記第１のサブ通信モジュールが故障していないことが判定される時に、前記車載装置への前記制御データの前記送信手法は、前記第１のメイン通信モジュールでの送信の代わりに前記第１のサブ通信モジュールでの送信によって実現されてもよい。

第２の態様では、第１のメイン通信モジュールが故障していることが判定された時点から第１の一定時間が経過した時点までの第１の期間を利用して、第１のサブ通信モジュールが正常であることを確実に判定した後に、第１のサブ通信モジュールでの送信が実行されて、車載ネットワーク上の車載装置への制御データの送信を実現することができる。言い換えれば、第２の態様では、第１の期間内に第１のサブ通信モジュールの非故障が確認されない限り、第１のサブ通信モジュールの故障を想定し、第１のサブ通信モジュールでの送信は、実行されない。

第２の態様に従属する第３の態様において、車両用制御装置は、
前記車載ネットワークとは異なる経路上の通信を実行可能な第２のメイン通信モジュールと、
前記異なる経路上の通信を実行可能な第２のサブ通信モジュールと、
を更に備えてもよく、
前記サブ制御部は、前記第１のサブ通信モジュールが故障しているか否かを定期的に判定してもよく、
前記第１のサブ通信モジュールが故障していないことが前記サブ制御部によって判定される時に、前記第２のサブ通信モジュールは、非故障データを前記第２のメイン通信モジュールに送信してもよく、
前記第２のメイン通信モジュールが前記非故障データを受信する時に、前記メイン制御部は、前記第２のメイン通信モジュールが故障していないことを判定してもよい。

第３の態様では、サブ制御部が第１のサブ通信モジュールの故障／非故障を定期的に判定し、その判定結果を異なる経路（例えばＳＰＩ）でメイン制御部に伝えることができる。

第１〜第３の態様の何れか１つの態様に従属する第４の態様において、車両用制御装置
前記車載ネットワーク上の通信を前記第１のバスと異なる他のバスで実行可能な他のメイン通信モジュールを
更に備えてもよく、
前記第１の期間内に、前記第１のサブ通信モジュールが故障していることが判定される時に、前記車載装置への前記制御データの前記送信手法は、前記第１のメイン通信モジュールでの送信の代わりに前記他のメイン通信モジュールでの送信によって実現されてもよい。

第４の態様では、車載ネットワークは複数のバス（第１のバスを含む）で構成され、第１のメイン通信モジュールが故障していることが判定される時に、第１の一定時間が経過したか否かを判定し、その後に、第１のサブ通信モジュールの故障に基づき、他のバスを利用可能な他の通信モジュールでの送信を実行することを決定することができる。従って、第４の態様では、第１のメイン通信モジュール及び第１のサブ通信モジュールの両方が故障する状況であっても、車載ネットワーク上の車載装置への制御データの送信を継続することができる。

第４の態様に従属する第５の態様において、
前記車載ネットワーク上の前記車載装置への前記制御データの送信が、前記第１のメイン通信モジュールの代わりに前記他のメイン通信モジュールによって実行される時に、前記制御データは、前記車載装置の動作を縮退させる縮退データであってもよい。

第５の態様では、第１のメイン通信モジュール及び第１のサブ通信モジュールの両方が故障する時に、メイン制御部は、他のメイン通信モジュールで車載装置に縮退データを送信することができる。従って、第５の態様では、メイン制御部は、車載装置の動作を縮退させるために必要な制御データ（動的な縮退データ）の送信を継続することができる。

第１〜第５の態様の何れか１つの態様に従属する第６の態様において、
前記第１のメイン通信モジュールが故障していないことが判定され、且つ前記第１のサブ通信モジュールが故障していることが判定される時に、前記メイン制御部は、第２の一定時間が経過したか否かを判定してもよく、
前記第２の一定時間が経過した後に、前記第１のメイン通信モジュールが故障していないことが再び判定される時に、前記車載装置の動作を縮退させる縮退データの送信は、前記第１のメイン通信モジュールによって実行されてもよい。

第６の態様では、第１のサブ通信モジュールが故障していることが判定される時に、第２の一定時間が経過したか否かを判定し、その後に、第１のメイン通信モジュールでの送信を実行するのか、或いは他の通信モジュールでの送信を実行するのかを決定することができる。従って、第６の態様では、第１のサブ通信モジュールが故障していることが判定された時点から第２の一定時間が経過した時点までの例えば第２の期間を利用して、第１のメイン通信モジュールが正常であることを確実に判定した後に、第１のメイン通信モジュールでの送信が実行されて、車載ネットワーク上の車載装置への縮退データの送信を実現することができる。

第４の態様に、又は、第４の態様に従属する第５又は第６の態様に、従属する第７の態様において、
前記第１のメイン通信モジュールが故障していないことが判定され、且つ前記第１のサブ通信モジュールが故障していることが判定される時に、前記メイン制御部は、第２の一定時間が経過したか否かを判定してもよく、
前記第２の一定時間の間に、前記第１のメイン通信モジュールが故障していることが判定される時に、前記車載装置の動作を縮退させる縮退データの送信は、前記他のメイン通信モジュールによって実行されてもよい。

第７の態様では、第１のサブ通信モジュールが故障していることが判定された後に、第２の一定時間の間に、第１のメイン通信モジュールが故障していることが判定される時に、他のバスを利用可能な他の通信モジュールでの送信を実行することを決定することができる。従って、第７の態様では、第１のメイン通信モジュール及び第１のサブ通信モジュールの両方が故障する状況であっても、車載ネットワーク上の車載装置への制御データの送信を継続することができる。

当業者は、例示した本発明に従う態様が、本発明の精神を逸脱することなく、さらに変更され得ることを容易に理解できるであろう。

本発明に従う車両用制御装置の構成例を示す。 縮退データを送信するメイン制御装置の動作例を示すフローチャート図を示す。 縮退データを送信するサブ制御装置の動作例を示すフローチャート図を示す。

以下に説明する最良の実施形態は、本発明を容易に理解するために用いられている。従って、当業者は、本発明が、以下に説明される実施形態によって不当に限定されないことを留意すべきである。

図１は、本発明に従う車両用制御装置の構成例を示す。図１には図示されていないが、自動車等の車両は、典型的には、多くのＥＣＵ（Electronic Control Unit）を備え、それらのＥＣＵは、例えばＣＡＮ等の車載ネットワークに接続されている。また、それらのＥＣＵは、図示されない各種のアクチュエータを制御し、車両の走行を実現することができる。図１に示される車両用制御装置は、それらのＥＣＵの中の１つのＥＣＵ、又はそれらのＥＣＵを統括する統括ＥＣＵであり、車両用制御装置は、例えば２線式差動電圧方式のＣＡＮ通信を実行可能なＣＡＮ（広義には、車載ネットワーク）に接続されるメイン制御部１２及びサブ制御部２２を有する。メイン制御部１２及びサブ制御部２２のそれぞれは、典型的には、例えばＣＰＵ等の演算部を備えている。

図１において、メイン制御部１２は、例えばＣＡＮ通信モジュール等の第１のメイン通信モジュール１４−１（車載ネットワークモジュール）でＣＡＮ上の通信を実行し、通常の動作として、車載ネットワーク上のＥＣＵ（広義には、車載装置）に制御データを送信することができる。他方、サブ制御部２２は、通常の動作として、車載ネットワーク上のＥＣＵに制御データを送信しない。メイン制御部１２やメイン側のＣＡＮ通信モジュールが故障する場合に、サブ制御部２２は、例外又は緊急の動作として、第１のサブ通信モジュール２４−１（具体的には、サブ側のＣＡＮ通信モジュール）で車載ネットワーク上のＥＣＵに制御データを送信可能である。このように冗長化されたメイン側及びサブ側のＣＡＮ通信モジュールが車両用制御装置に設けられている。

図１の車両用制御装置は、具体的には、メイン制御装置１０及びサブ制御装置２０を備え、メイン制御装置１０及びサブ制御装置２０の各々は、例えばＳＰＩ（Serial Peripheral Interface）等のＣＡＮとは異なる経路上の通信（メイン・サブ間通信）を実行可能なＳＰＩ通信モジュールを有している。第２のメイン通信モジュール１６（具体的には、メイン側のＳＰＩ通信モジュール）は、第１のメイン通信モジュール１４（メイン側のＣＡＮ通信モジュール）の故障／非故障等を第２のサブ通信モジュール２６（具体的には、サブ側のＳＰＩ通信モジュール）に伝えることができる。同様に、第２のサブ通信モジュール２６（具体的には、サブ側のＳＰＩ通信モジュール）は、第１のサブ通信モジュール２４（サブ側のＣＡＮ通信モジュール）の故障／非故障等を第１のメイン通信モジュール１６（具体的には、メイン側のＳＰＩ通信モジュール）に伝えることができる。

図１のＣＡＮは、例えば３つのバス（ＢＵＳ１、ＢＵＳ２及びＢＵＳ３）で構成され、第１のメイン通信モジュール１４−１及び第１のサブ通信モジュール２４−１は、ＣＡＮ上の通信を第１のバスＢＵＳ１で実行可能である。メイン制御装置１０及びサブ制御装置２０は、他の通信モジュール（１４−２、１４−３、２４−２及び２４−３）を有し、他のメイン通信モジュール１４−２，１４−３及び他のサブ通信モジュール２４−２，２４−３は、ＣＡＮ上の通信を第１のバスＢＵＳ１と異なる他のバス（第２のバスＢＵＳ２及び第３のバスＢＵＳ３）で実行可能である。車両の種類によっては、ＣＡＮは、２つのバス（ＢＵＳ１及びＢＵＳ２又はＢＵＳ３）を含んでもよく、４つ以上のバス（ＢＵＳ１、ＢＵＳ２、ＢＵＳ３及び図示されないＢＵＳ）を含んでもよい。

図２及び図３は、それぞれ、縮退データを送信するメイン制御装置１０（メイン側の第１のＣＡＮ通信モジュール）及びサブ制御装置２０（サブ側の第１のＣＡＮ通信モジュール）の動作例を示すフローチャート図を示す。なお、例えば図１の第１のメイン通信モジュール１４−１（メイン側の第１のＣＡＮ通信モジュール）は、通常の動作として、例えば第１のバスＢＵＳ１上の例えば第１のＥＣＵ（広義には、車載装置）に制御データを送信する一方（図２に図示せず）、第１のサブ通信モジュール２４−１（サブ側の第１のＣＡＮ通信モジュール）は、通常の動作として、例えば第１のバスＢＵＳ１上の例えば第１のＥＣＵに制御データを送信しない。メイン側の第１のＣＡＮ通信モジュールが故障する時に、サブ側の第１のＣＡＮ通信モジュールが故障しない場合に限って（図２のステップＳＴ０１，ＳＴ０３，ＳＴ０４，ＳＴ０５及び図３のステップＳＴ２１，２２参照）、サブ側の第１のＣＡＮ通信モジュールは、例外又は緊急の動作として、第１のＥＣＵに制御データ（具体的には、図３のステップＳＴ２３の縮退データ）を送信可能である。

また、第１のＥＣＵは、例えば第２のバスＢＵＳ２にも接続され、第２のバスＢＵＳ２上の例えば第２のＥＣＵには、通常の動作として、他のメイン通信モジュール１４−２（メイン側の第２のＣＡＮ通信モジュール）によって制御データが送信される（図２に図示せず）。メイン側の第１のＣＡＮ通信モジュールが故障し、サブ側の第１のＣＡＮ通信モジュールも故障する時に（図２のステップＳＴ０３，ＳＴ０６参照）、メイン側の例えば第２のＣＡＮ通信モジュールは、例外又は緊急の動作として、第１のＥＣＵに制御データ（具体的には、図２のステップＳＴ０７の縮退データ）を送信可能である。

なお、第１のＥＣＵは、例えば第３のバスＢＵＳ３にも接続されてもよく、第３のバスＢＵＳ３上の例えば第３のＥＣＵには、通常の動作として、他のメイン通信モジュール１４−３（メイン側の第３のＣＡＮ通信モジュール）によって制御データが送信される（図２に図示せず）。第１のＥＣＵが第３のＢＵＳ３に接続される時に、図２のステップＳＴ０７において、メイン側の例えば第３のＣＡＮ通信モジュールは、例外又は緊急の動作として、第１のＥＣＵに縮退データを送信してもよい。

図２のステップＳＴ０１において、メイン制御装置１０のメイン制御部１２は、第１のメイン通信モジュール１４−１に対応するメイン側の例えば第１のＣＡＮ通信モジュールが故障しているか否かを判定する。メイン制御部１２は、例えばＣＡＮコントローラを含み、ＣＡＮ通信モジュールは、例えばＣＡＮトランシーバであり、ＣＡＮコントローラは、ＣＡＮトランシーバの故障を検出又は診断することができる。ここで、ＣＡＮコントローラは、ＣＡＮトランシーバの故障と第１のバスＢＵＳ１の故障とを区別できず、言い換えれば、ＣＡＮトランシーバの故障は、第１のバスＢＵＳ１の故障を含んでいる。なお、メイン制御部１２は、メイン側の例えば第２及び第３のＣＡＮ通信モジュールが故障しているか否かを判定することができ、図２において、メイン側の例えば第２、第３等の他のＣＡＮ通信モジュール（及び第２のバスＢＵＳ２、第３のバスＢＵＳ３等の他のバス）が故障していないことを前提とする。

メイン側の例えば第１のＣＡＮ通信モジュールが故障していることが判定される時に、メイン制御部１２は、一定時間（第１の一定時間）が経過したか否かを判定することができる（図２のステップＳＴ０２参照）。メイン制御部１２は、例えば第１のバスＢＵＳ１上の例えば第１のＥＣＵへの縮退データの送信手法を決定するために、一定時間(第１の一定時間)の間にメイン制御部１２は、第１のサブ通信モジュール２４−１に対応するサブ側の例えば第１のＣＡＮ通信モジュールが故障しているか否かをサブ側からの通知で判定することができる（図２のステップＳＴ０３参照）。

図２のステップＳＴ０３において、具体的には、メイン制御部１２は、サブ側の例えば第１のＣＡＮ通信モジュールの故障を表す故障データが存在しているか否かを判定することができる。より具体的には、メイン制御部１２は、第２のメイン通信モジュール１６に対応するメイン側の例えばＳＰＩ通信モジュールが故障データの通知を受信しているか否かを判定することができる。図３のステップＳＴ２１において、サブ制御装置２０のサブ制御部２２は、第１のサブ通信モジュール２４−１に対応するサブ側の例えば第１のＣＡＮ通信モジュールが故障しているか否かを判定することができる。サブ側の例えば第１のＣＡＮ通信モジュールが故障する時に、サブ制御部２２は、第２のサブ通信モジュール２６に対応するサブ側の例えばＳＰＩ通信モジュールで、故障データを送信又は通知することができる（図３のステップＳＴ２４参照）。

好ましくは、サブ制御部２２は、サブ側の例えば第１のＣＡＮ通信モジュールが故障しているか否かを定期的に判定することができる。第１のＣＡＮ通信モジュールが故障していないことがサブ制御部２２によって判定される時に、図３のステップＳＴ２２を実行する前に又は実行した後に、サブ側のＳＰＩ通信モジュールは、サブ側の例えば第１のＣＡＮ通信モジュールの非故障をメイン側のＳＰＩ通信モジュールに伝えることができる（図３に図示せず）。図２のステップＳＴ０３において、好ましくは、メイン側のＳＰＩ通信モジュールがサブ側の例えば第１のＣＡＮ通信モジュールの非故障データの通知を受信する時に、メイン制御部１２は、ステップＳＴ０４，ＳＴ０５を実行する。他方、メイン側のＳＰＩ通信モジュールがサブ側の例えば第１のＣＡＮ通信モジュールの故障データの通知を受信する時に、メイン制御部１２は、ステップＳＴ０６，ＳＴ０７を実行する。

メイン制御部１２は、図２のステップＳＴ０２を実行するので、例えばステップＳＴ０７での縮退データの送信は、メイン側の例えば第１のＣＡＮ通信モジュールが故障していることが判定される時に、直ぐに実行されない。言い換えれば、図１の車両用制御装置では、メイン側の例えば第１のＣＡＮ通信モジュールが故障していることが判定される時に、一定時間（第１の一定時間）が経過したか否かを判定し（ステップＳＴ０２）、その後に、メイン側の他のＣＡＮ通信モジュールでの送信を実行するのか（ステップＳＴ０７）、或いはサブ側の例えば第１のＣＡＮ通信モジュールでの送信を実行するのか（図３のステップＳＴ２３）を決定することができる。

メイン側の例えば第１のＣＡＮ通信モジュールが故障していることが判定された時点から一定時間（第１の一定時間）が経過した時点までの期間（第１の期間）内に、サブ側の例えば第１のＣＡＮ通信モジュールが故障していないことが判定される時に、好ましくは、非故障データの受信によってサブ側の例えば第１のＣＡＮ通信モジュールが故障していないことが判定される時に、メイン側の第１のＣＡＮ通信モジュールが単独で故障しているので（図２のステップＳＴ０４）、メイン側のＳＰＩ通信モジュールは、メイン側の例えば第１のＣＡＮ通信モジュールの故障（具体的には、縮退動作指示）をサブ側のＳＰＩ通信モジュールに伝えることができる（図２のステップＳＴ０５）。

ここで、一定時間（第１の一定時間）は、サブ制御装置２０での故障データ又は非故障データの生成に要する通常の検知時間とサブ制御装置２０での送信データ（故障データ又は非故障データ）の送信からメイン制御装置１０での受信データ（故障データ又は非故障データ）の受信までに要する通常の通知時間に基づき、例えば、一定時間（第１の一定時間）は、通常の検知時間にその最大の許容時間を追加した時間と通常の通知時間にその最大の許容時間を追加した時間との加算することによって設定される。

なお、一定時間（第１の一定時間）は、典型的には固定時間であるが、メイン制御部１２は、故障データ又は非故障データの受信に応じて固定時間を例えばゼロに設定又はリセットすることによって動的な時間である一定時間（第１の一定時間）を生成してもよい。言い換えれば、メイン制御部１２は、典型的には、固定時間が経過した後に、縮退データの送信手法を決定するが、縮退データの送信手法は、メイン側の例えば第１のＣＡＮ通信モジュールが故障していることが判定された後であって、故障データの受信に応じて直ぐに決定されてもよい。

図３のステップＳＴ２１において、サブ側の例えば第１のＣＡＮ通信モジュールが故障していない時に、サブ制御装置２０は、サブ側のＳＰＩ通信モジュールで、メイン側の例えば第１のＣＡＮ通信モジュールの故障（具体的には、図２のステップＳＴ０５での縮退動作指示）を受けているか否かを判定することができる（図３のステップＳＴ２２）。従って、サブ制御装置２０は、縮退動作指示の受信に応じて直ぐに、サブ側の例えば第１のＣＡＮ通信モジュールを起動して、例えば第１のバスＢＵＳ１上の例えば第１のＥＣＵへの縮退データの送信を実行することができる（ステップＳＴ２３）。

ところで、図１のメイン制御装置１０がＣＡＮ上の複数のＥＣＵ（第１のＥＣＵを含む）を制御又は統括する時に、メイン制御装置１０の役割は、大きい。１例として、メイン制御装置１０が例えば複数のＥＣＵを制御しながら車両の自動走行を実現する時に、メイン側の例えば第１のＣＡＮ通信モジュールの故障に応じて、サブ制御装置２０は、通常の自動走行から、例えば待避自動走行（自動走行停止を含む）等の例外又は緊急の自動走行に移行することができる。言い換えれば、メイン側の例えば第１のＣＡＮ通信モジュールが故障している時に、サブ制御装置２０は、例えば複数のＥＣＵにそれらの動作を縮退させる縮退データを送信することができる。

例えば第１のＥＣＵへの縮退データを送信する時に、サブ制御部２２は、例えば例外又は緊急の自動走行に必要な縮退動作用制御出力値をリアルタイムに計算し、その縮退動作用制御出力を含む送信データ（動的な縮退データ）をサブ側の例えば第１のＣＡＮ通信モジュールから送信する（図３のステップＳＴ２３参照）。これにより、例えば車両の例外又は緊急の自動走行が実現される。

図２のステップＳＴ０３において、メイン側の例えば第１のＣＡＮ通信モジュールが故障し、且つサブ側の例えば第１のＣＡＮ通信モジュールも故障する時に、第１のバスＢＵＳ１が故障しているので（ステップＳＴ０６参照）、メイン制御部１２は、例えば例外又は緊急の自動走行に必要な縮退動作用制御出力値をリアルタイムに計算し、その縮退動作用制御出力を含む送信データ（動的な縮退データ）をメイン側の例えば第２のＣＡＮ通信モジュールから送信する（ステップＳＴ０７参照）。これにより、例えば車両の例外又は緊急の自動走行が実現される。

なお、第１のバスＢＵＳ１が故障又は断線する時に、両方のＣＡＮトランシーバが実際には故障していない状況であっても、メイン側の例えば第１のＣＡＮ通信モジュールの故障及びサブ側の例えば第１のＣＡＮ通信モジュールの故障の両方が検出又は診断される。逆に言えば、両方の故障が判定される時に、メイン制御部１２は、第１のバスＢＵＳ１の故障を推定することができる。従って、ステップＳＴ０７を実行する時に、言い換えれば、ステップＳＴ０６で第１のバスＢＵＳ１が故障する時に、メイン制御部１２は、第１のバスＢＵＳ１上の第１のＥＣＵ以外の他のＥＣＵ（例えば第２のＥＣＵ、第３のＥＣＵ等）が第１のバスＢＵＳ１以外の他のバス（例えば第２のＢＵＳ２、第３のＢＵＳ３等）にも接続されているか否かを判定することができる。その後、他のバスにも接続されている他のＥＣＵには、その他のバスを介して縮退データが送信される。言い換えれば、ステップＳＴ０７を実行する時に、メイン制御部１２は、可能な限りの又は最適な縮退データを送信することができる。

図２のステップＳＴ０４では、メイン側の例えば第１のＣＡＮ通信モジュールだけの故障が判定されているので、両方の故障が判定されておらず、片方の故障が判定されている。言い換えれば、サブ側の例えば第１のＣＡＮ通信モジュールの非故障が判定されているので、第１のバスＢＵＳ１は、故障していない。従って、メイン側のＣＡＮコントローラの診断結果とサブ側のＣＡＮコントローラの診断結果とを利用したステップＳＴ０４では、メイン制御部１２は、第１のバスＢＵＳ１の故障とメイン側のＣＡＮトランシーバの故障とを区別することができ、メイン側のＣＡＮトランシーバが故障していることを判定することができる。

図２のステップＳＴ０１において、メイン側の例えば第１のＣＡＮ通信モジュールの非故障が判定される時に、メイン制御部１２は、サブ側の例えば第１のＣＡＮ通信モジュールが故障しているか否かを判定する（ステップＳＴ０８参照）。ステップＳＴ０８において、図３のステップＳＴ２４でのサブ側の例えば第１のＣＡＮ通信モジュールの故障データの受信に応じて、メイン制御部１２は、ステップＳＴ０９を実行することができる。ステップＳＴ０９では、サブ側の例えば第１のＣＡＮ通信モジュールだけの故障が判定されているが、メイン制御部１２は、メイン側の例えば第１のＣＡＮ通信モジュールの非故障を確実に判定するために、一定時間（第２の一定時間）が経過したか否かを判定することができる。

サブ側の例えば第１のＣＡＮ通信モジュールが故障していることが判定された時点から一定時間（第２の一定時間）が経過した時点までの期間（第２の期間）内に、メイン側の例えば第１のＣＡＮ通信モジュールが故障していないことが再び判定される時に（ステップＳＴ１１）、メイン制御部１２は、例えば第１のバスＢＵＳ１上の例えば第１のＥＣＵへの縮退データの送信を実行することができる（ステップＳＴ１２）。

ここで、一定時間（第２の一定時間）は、メイン制御装置１０での故障データ又は非故障データの生成に要する通常の検知時間に基づき、例えば、一定時間（第２の一定時間）は、通常の検知時間にその最大の許容時間を追加した時間によって設定される。

なお、一定時間（第２の一定時間）は、典型的には固定時間であるが、メイン制御部１２は、メイン側の故障データ又は非故障データの生成に応じて固定時間を例えばゼロに設定又はリセットすることによって動的な時間である一定時間（第２の一定時間）を生成してもよい。言い換えれば、メイン制御部１２は、典型的には、固定時間が経過した後に、縮退データの送信手法を決定するが、縮退データの送信手法は、サブ側の例えば第１のＣＡＮ通信モジュールが故障していることが判定された後であって、メイン側の故障データの生成に応じて直ぐに決定されてもよい。

サブ側の例えば第１のＣＡＮ通信モジュールが故障していることが判定された時点から一定時間（第２の一定時間）が経過した時点までの期間（第２の期間）内に、メイン側の例えば第１のＣＡＮ通信モジュールが故障していることが判定される時に、メイン制御部１２は、ステップＳＴ０７を実行することができる。

サブ制御部２２は、サブ側の例えば第１のＣＡＮ通信モジュールが故障しているか否かを定期的に判定することができ、メイン制御部１２も、メイン側の例えば第１のＣＡＮ通信モジュールが故障しているか否かを定期的に判定することができる。１例として、両者は、同時に又は同期してＣＡＮ通信モジュールの故障又は非故障を判定してもよい。

本発明は、上述の例示的な実施形態に限定されず、また、当業者は、上述の例示的な実施形態を特許請求の範囲に含まれる範囲まで、容易に変更することができるであろう。

１０・・・メイン制御装置、１２・・・メイン制御部、１４−１，１４−２，１４−３・・・第１のメイン通信モジュール（例えばＣＡＮ通信モジュール）、１６・・・第２のメイン通信モジュール（例えばＳＰＩ通信モジュール）、２０・・・サブ制御装置、２２・・・サブ制御部、２４−１，２４−２，２４−３・・・第１のサブ通信モジュール（例えばＣＡＮ通信モジュール）、２６・・・第２のサブ通信モジュール（例えばＳＰＩ通信モジュール）。

Claims (5)

1. 車載ネットワークに接続されるメイン制御部及びサブ制御部を有する車両用制御装置であって、
   前記車載ネットワーク上の通信を第１のバスで実行可能な第１のメイン通信モジュールと、
   前記車載ネットワーク上の通信を前記第１のバスで実行可能な第１のサブ通信モジュールと、
   を備え、
   前記第１のメイン通信モジュールが故障していることが判定される時に、前記メイン制御部は、前記第１のサブ通信モジュールの故障を判断するための第１の一定時間が経過したか否かを判定し、
   前記第１の一定時間が経過した後に、前記メイン制御部は、前記車載ネットワーク上の車載装置への制御データの送信手法を決定し、
   前記第１のメイン通信モジュールが故障していることが判定された時点から前記第１の一定時間が経過した時点までの第１の期間内に、前記第１のサブ通信モジュールが故障していないことが判定される時に、前記車載装置への前記制御データの前記送信手法は、前記第１のメイン通信モジュールでの送信の代わりに前記第１のサブ通信モジュールでの送信によって実現され、
   前記車載ネットワークとは異なる経路上の通信を実行可能な第２のメイン通信モジュールと、
   前記異なる経路上の通信を実行可能な第２のサブ通信モジュールと、
   を更に備え、
   前記サブ制御部は、前記第１のサブ通信モジュールが故障しているか否かを定期的に判定し、
   前記第１のサブ通信モジュールが故障していないことが前記サブ制御部によって判定される時に、前記第２のサブ通信モジュールは、非故障データを前記第２のメイン通信モジュールに送信し、
   前記第２のメイン通信モジュールが前記非故障データを受信する時に、前記メイン制御部は、前記第２のメイン通信モジュールが故障していないことを判定することを特徴とする車両用制御装置。
2. 車載ネットワークに接続されるメイン制御部及びサブ制御部を有する車両用制御装置であって、
   前記車載ネットワーク上の通信を第１のバスで実行可能な第１のメイン通信モジュールと、
   前記車載ネットワーク上の通信を前記第１のバスで実行可能な第１のサブ通信モジュールと、
   を備え、
   前記第１のメイン通信モジュールが故障していることが判定される時に、前記メイン制御部は、前記第１のサブ通信モジュールの故障を判断するための第１の一定時間が経過したか否かを判定し、
   前記第１の一定時間が経過した後に、前記メイン制御部は、前記車載ネットワーク上の車載装置への制御データの送信手法を決定し、
   前記車載ネットワーク上の通信を前記第１のバスと異なる他のバスで実行可能な他のメイン通信モジュールを
   更に備え、
   前記第１の期間内に、前記第１のサブ通信モジュールが故障していることが判定される時に、前記車載装置への前記制御データの前記送信手法は、前記第１のメイン通信モジュールでの送信の代わりに前記他のメイン通信モジュールでの送信によって実現されることを特徴とする車両用制御装置。
3. 前記車載ネットワーク上の前記車載装置への前記制御データの送信が、前記第１のメイン通信モジュールの代わりに前記他のメイン通信モジュールによって実行される時に、前記制御データは、前記車載装置の動作を縮退させる縮退データであることを特徴とする請求項２に記載の車両用制御装置。
4. 前記第１のメイン通信モジュールが故障していないことが判定され、且つ前記第１のサブ通信モジュールが故障していることが判定される時に、前記メイン制御部は、前記第１のメイン通信モジュールの故障を判断するための第２の一定時間が経過したか否かを判定し、
   前記第２の一定時間の間に、前記第１のメイン通信モジュールが故障していることが判定される時に、前記車載装置の動作を縮退させる縮退データの送信は、前記他のメイン通信モジュールによって実行されることを特徴とする請求項２又は３に記載の車両用制御装置。
5. 車載ネットワークに接続されるメイン制御部及びサブ制御部を有する車両用制御装置であって、
   前記車載ネットワーク上の通信を第１のバスで実行可能な第１のメイン通信モジュールと、
   前記車載ネットワーク上の通信を前記第１のバスで実行可能な第１のサブ通信モジュールと、
   を備え、
   前記第１のメイン通信モジュールが故障していることが判定される時に、前記メイン制御部は、前記第１のサブ通信モジュールの故障を判断するための第１の一定時間が経過したか否かを判定し、
   前記第１の一定時間が経過した後に、前記メイン制御部は、前記車載ネットワーク上の車載装置への制御データの送信手法を決定し、
   前記第１のメイン通信モジュールが故障していないことが判定され、且つ前記第１のサブ通信モジュールが故障していることが判定される時に、前記メイン制御部は、前記第１のメイン通信モジュールの故障を判断するための第２の一定時間が経過したか否かを判定し、
   前記第２の一定時間が経過した後に、前記第１のメイン通信モジュールが故障していないことが再び判定される時に、前記車載装置の動作を縮退させる縮退データの送信は、前記第１のメイン通信モジュールによって実行されることを特徴とする車両用制御装置。

Images