JP7164483B2 - 電子制御装置、制御システム - Google Patents

Description

本発明は、電子制御装置、および制御システムに関する。

センサが出力するセンサ情報を処理する処理装置が広く知られている。センサ情報をセンサから処理装置に伝送する伝送路に障害が発生する場合があり、センサと処理装置との距離が長い場合には、障害が発生しやすくなる。また処理装置に内蔵されるセンサ情報の受信部でも障害が発生する場合がある。特許文献１には、物理量の変化を検出し、トリガ信号に応じて検出信号を出力する複数のセンサ部と、複数の前記センサ部から前記検出信号を取得可能である複数の制御部と、１つの前記センサ部と、当該センサ部と対応して設けられる１つの前記制御部である対応制御部とを接続するメイン線、および、前記メイン線から分岐し、前記センサ部と前記対応制御部以外の前記制御部とを接続するサブ線を有し、前記センサ部と前記制御部との間で双方向通信可能である複数の信号線と、を備え、前記センサ部には、前記メイン線を経由して前記対応制御部から前記トリガ信号が送信されるセンサ装置が開示されている。

特開２０１８－３２３０８号公報

特許文献１に記載されている発明では、信号の伝送経路の一部や信号の受信部の一部に異常が生じた場合に、信号の受信を継続できない可能性がある。

本発明の第１の態様による電子制御装置は、第１センサ情報を出力する第１センサおよび第２センサ情報を出力する第２センサと接続される電子制御装置であって、前記第１センサと第１主通信路により接続され、前記第２センサと第２副通信路により接続され、前記第１主通信路および前記第２副通信路の少なくとも一方を用いて情報を受信する第１受信部と、前記第１センサと第１副通信路により接続され、前記第２センサと第２主通信路により接続され、前記第１副通信路および前記第２主通信路の少なくとも一方を用いて情報を受信する第２受信部と、前記第１主通信路、前記第２主通信路、前記第１受信部、および前記第２受信部の少なくとも１つの障害を検出する診断部と、前記診断部が障害を検出した前記第１主通信路、前記第２主通信路、前記第１受信部、および前記第２受信部のいずれかを用いることなく、前記第１センサ情報および前記第２センサ情報の受信が可能なように、前記第１受信部および前記第２受信部の少なくとも一方が情報の受信に用いる通信路を切り替える構成変更部とを備える。
本発明の第２の態様による制御システムは、第１センサ情報を出力する第１センサ、第２センサ情報を出力する第２センサ、および前記第１センサおよび前記第２センサと接続される電子制御装置とを含む制御システムであって、前記電子制御装置は、前記第１センサと第１主通信路により接続され、前記第２センサと第２副通信路により接続され、前記第１主通信路および前記第２副通信路の少なくとも一方を用いて情報を受信する第１受信部と、前記第１センサと第１副通信路により接続され、前記第２センサと第２主通信路により接続され、前記第１副通信路および前記第２主通信路の少なくとも一方を用いて情報を受信する第２受信部と、前記第１主通信路、前記第２主通信路、前記第１受信部、および前記第２受信部の少なくとも１つの障害を検出する診断部と、前記診断部が障害を検出した前記第１主通信路、前記第２主通信路、前記第１受信部、および前記第２受信部のいずれかを用いることなく、前記第１センサ情報および前記第２センサ情報の受信が可能なように、前記第１受信部および前記第２受信部の少なくとも一方が情報の受信に用いる通信路を切り替える構成変更部とを備える。

本発明によれば、信号の伝送経路の一部や信号の受信部の一部に異常が生じても、信号の受信を継続できる。

第１の実施の形態における制御システム１の全体構成図 ＥＣＵ２の動作を示すフローチャート 動作例１－１を示す図 動作例１－２を示す図 第２の実施の形態における制御システム１Ａの全体構成図 動作例２－１を示す図 動作例２－２を示す図 第３の実施の形態における制御システム１Ｂの全体構成図 第４の実施の形態における制御システム１Ｃの全体構成図

―第１の実施の形態―
以下、図１～図４を参照して、本発明にかかる電子制御装置であるＥＣＵおよび制御システムの第１の実施の形態を説明する。

（構成）
図１は制御システム１の全体構成図である。制御システム１は、不図示の車両に搭載される。制御システム１は、第１センサ１１と、第２センサ１２と、ＥＣＵ２とを備える。

第１センサ１１および第２センサ１２は、まとめてセンサ群１０とも呼ぶ。第１センサ１１および第２センサ１２は、それぞれが別のセンサ、または同種のセンサであっても両者は異なる個所を測定する。すなわち第１センサ１１および第２センサ１２は冗長構成を目的としたものではない。センサ群１０を構成するセンサの種類は限定されないが、たとえば、カメラ、ミリ波レーダ、ＬＩＤＡＲ（Laser Imaging Detection and Ranging）、超音波センサ、レーザーレンジファインダなどである。ただし本実施の形態では具体的な説明のために、第１センサ１１はカメラ、第２センサ１２はミリ波レーダとする。

第１センサ１１は、センシングして得られた情報、たとえばカメラが撮影して得られた撮影画像をＥＣＵ２に送信する。送信の方式は限定されないが、たとえば第１センサ１１は、センシングして得られた情報をシリアルデータに変換してＥＣＵ２に送信する。この場合は第１センサ１１には、センシングして得られた情報をシリアルデータに変換する送信部が含まれる。以下では、第１センサ１１がＥＣＵ２に送信する情報であってセンシングして得られた情報を「第１センサ情報」と呼ぶ。

第２センサ１２は、センシングして得られた情報、たとえばミリ波レーダが取得した角度ごとの障害物までの距離情報をＥＣＵ２に送信する。送信の方式は限定されないが、たとえば第２センサ１２は、センシングして得られた情報をシリアルデータに変換してＥＣＵ２に送信する。この場合は第２センサ１２には、センシングして得られた情報をシリアルデータに変換する送信部が含まれる。以下では、第２センサ１２がＥＣＵ２に送信する情報であってセンシングして得られた情報を「第２センサ情報」と呼ぶ。また以下では、第１センサ情報と第２センサ情報とをまとめて、「センサ情報」とも呼ぶ。

センサ群１０は、主通信路４および副通信路５によりＥＣＵ２と接続される。主通信路４は、第１主通信路４１と、第２主通信路４２とから構成される。副通信路５は、第１副通信路５１と、第２副通信路５２とから構成される。ＥＣＵ２は後述するように、第１受信部２１および第２受信部２２を備える。第１主通信路４１は、第１センサ１１と第１受信部２１とを接続する。第２主通信路４２は、第２センサ１２と第２受信部２２とを接続する。第１副通信路５１は、第１センサ１１と第２受信部２２とを接続する。第２副通信路５２は、第２センサ１２と第１受信部２１とを接続する。

第１主通信路４１、第２主通信路４２、第１副通信路５１、および第２副通信路５２のそれぞれは独立したケーブルにより構成されてもよいし、複数の通信路が同軸ケーブルに収納されてもよい。たとえば第１主通信路４１および第１副通信路５１が１本の同軸ケーブルにより構成され、その同軸ケーブルのＥＣＵ２側の端部で内部導体と外部導体のそれぞれを第１主通信路４１および第１副通信路５１に接続してもよい。

第１センサ１１および第２センサ１２は、接続される２つの通信経路のうち一方のみにセンサ情報を出力する。第１センサ１１は、起動時には第１主通信路４１を用いて第１受信部２１に第１センサ情報を出力する。そして第１センサ１１は、第１副通信路５１を介してＥＣＵ２から切り替え指示を受信すると、第１副通信路５１を用いて第２受信部２２に第１センサ情報を出力する。第２センサ１２は、起動時には第２主通信路４２を用いて第２受信部２２に第２センサ情報を出力する。そして第２センサ１２は、第２副通信路５２を介してＥＣＵ２から切り替え指示を受信すると、第２副通信路５２を用いて第１受信部２１に第２センサ情報を出力する。

ＥＣＵ２は、電子制御装置（Electronic Control Unit）である。ＥＣＵ２は、第１受信部２１と、第２受信部２２と、書き換え可能な論理回路であるＦＰＧＡ（field-programmable gate array）３とを含んで構成される。ＦＰＧＡ３には、第１処理部３１、第２処理部３２、車両走行制御部３７、診断部３４、構成変更部３５、および制御部３６が含まれる。ＦＰＧＡ３は、プログラマブルデバイス回路の一例であり、ＳＲＡＭ、ＰＲＯＭ、ＥＥＰＲＯＭなどの他のプログラマブルデバイス回路に置き換えてもよい。

第１受信部２１と第２受信部２２のそれぞれは、外部との通信ポートを２つ備える通信モジュールであり、たとえば１つの半導体チップと２つのケーブル接続口により実現される。第１受信部２１および第２受信部２２を実現するハードウエアは個別のものである。そのためたとえば半導体チップの不具合などにより、第１受信部２１は動作を継続しているが第２受信部２２のみ動作が停止していることが起こりえる。

第１受信部２１は、第１主通信路４１により第１センサ１１と接続され、第２副通信路５２により第２センサ１２と接続される。第１受信部２１はセンサ群１０から受信した情報を第１処理部３１に出力する。この際に第１受信部２１は、センサ情報がシリアルデータに変換されていた場合には、受信したシリアルデータをシリアル―パラレル変換して、換言するとデシリアル化して出力する。また第１受信部２１は、診断部３４の要求に応じて第１主通信路４１および第２副通信路５２を流れる信号の情報を提供する。たとえば第１受信部２１は、第１主通信路４１および第２副通信路５２に印可されている電圧値の情報を診断部３４に提供する。

第２受信部２２は、第２主通信路４２により第２センサ１２と接続され、第１副通信路５１により第１センサ１１と接続される。第２受信部２２はセンサ群１０から受信した情報を第２処理部３２に出力する。この際に第２受信部２２は、センサ情報がシリアルデータに変換されていた場合には、受信したシリアルデータをシリアル―パラレル変換して出力する。また第２受信部２２は、診断部３４の要求に応じて第２主通信路４２および第１副通信路５１を流れる信号の情報を提供する。

第１処理部３１および第２処理部３２は概念的なものであり、第１処理部３１および第２処理部３２に構成される回路によりそれぞれの動作が規定される。第１処理部３１および第２処理部３２のそれぞれには、画像処理回路、レーダ処理回路、および統合処理回路のいずれかが構成される。画像処理回路とは、第１センサ１１が出力する第１センサ情報、たとえば撮影画像から車両の制御に必要な情報を抽出する処理を実行する回路である。レーダ処理回路とは、第２センサ１２が出力する第２センサ情報、たとえば距離情報から車両の制御に必要な情報を抽出する処理を実行する回路である。統合処理回路とは、画像処理回路とレーダ処理回路とを統合した回路であり、第１センサ情報および第２センサ情報から車両の制御に必要な情報を抽出する処理を実行する回路である。

ＥＣＵ２の起動時には、第１処理部３１には画像処理回路が構成され、第２処理部３２にはレーダ処理回路が構成される。この構成は構成変更部３５により実現されてもよいし、不図示の機能構成により実現されてもよい。なお以下では、画像処理回路が実行する、第１センサ情報を処理することを「第１処理」とも呼ぶ。レーダ処理回路が実行する、第２センサ情報を処理することを「第２処理」とも呼ぶ。統合処理回路は、第１処理および第２処理を実行するともいえる。

車両走行制御部３７は、第１処理部３１および第２処理部３２の演算結果を用いて車両を制御する。なお車両走行制御部３７が有する走行モードには、少なくとも通常モードと縮退モードが含まれる。縮退モードとは、安全性を重視するモードであり、たとえば縮退モードでは車両は安全に路肩に停車するように制御される。

診断部３４は既知の手法を用いて、第１受信部２１、第２受信部２２、主通信路４、および副通信路５の障害を検出し、構成変更部３５および制御部３６に検出した障害発生個所を伝達する。診断部３４はたとえば、第１受信部２１および第２受信部２２から入力されるセンサデータや、伝送路に印可されている電圧の情報を用いて主通信路４および副通信路５の障害を検出する。診断部３４はたとえば、第１受信部２１および第２受信部２２から所定の期間にわたって信号が出力されない場合に障害が発生したと判断する。なお本実施の形態では、「障害」、「不具合」、および「エラー」を同じ意味で用いる。

構成変更部３５は、診断部３４の診断結果に基づき、第１処理部３１および第２処理部３２の構成を変更する。前述のとおり、ＥＣＵ２の起動直後には第１処理部３１には画像処理回路が構成され、第２処理部３２にはレーダ処理回路が構成されている。構成変更部３５は、診断部３４から第１主通信路４１または第２主通信路４２の障害検出が伝達されると、第１処理部３１にレーダ処理回路を構成し、第２処理部３２に画像処理回路を構成する。

また構成変更部３５は、診断部３４から第１受信部２１の障害検出が伝達されると、第２処理部３２に統合処理回路を構成する。この場合に構成変更部３５は、第１処理部３１の構成を変更しなくてもよいし、第１処理部３１が使用していた論理回路の領域を第２処理部３２に充ててもよい。構成変更部３５は、診断部３４から第２受信部２２の障害検出が伝達されると、第１処理部３１に統合処理回路を構成する。この場合に構成変更部３５は、第２処理部３２の構成を変更しなくてもよいし、第２処理部３２が使用していた論理回路の領域を第１処理部３１に充ててもよい。

制御部３６は、診断部３４の診断結果に基づき、エラーが検出された経路を避けるように、第１受信部２１および第２受信部２２の少なくとも一方に切り替え指示、すなわち動作指令を出力する。以下では、障害が検出されたのが第１主通信路４１、第２主通信路４２、第１受信部２１、および第２受信部２２のそれぞれの場合について、制御部３６の動作を説明する。

制御部３６は、第１主通信路４１に障害が発生した旨を受信すると、第１受信部２１および第２受信部２２に第１センサ１１および第２センサ１２へ切り替え指示を出力させる。ただし第１主通信路４１は障害が発生しているので、第１センサ１１へは第１副通信路５１を介して切り替え指示を出力する。この場合には第２センサ１２への切り替え指示は、第２主通信路４２を介して行われてもよいし、第２副通信路５２を介して行われてもよい。

制御部３６は、第２主通信路４２に障害が発生した旨を受信すると、第１受信部２１および第２受信部２２に第１センサ１１および第２センサ１２へ切り替え指示を出力させる。ただし第２主通信路４２は障害が発生しているので、第２センサ１２へは第２副通信路５２を介して切り替え指示を出力する。この場合には第１センサ１１への切り替え指示は、第１主通信路４１を介して行われてもよいし、第１副通信路５１を介して行われてもよい。

制御部３６は、第１受信部２１に障害が発生した旨を受信すると、第２受信部２２に第１センサ１１へ切り替え指示を出力させる。なお第２センサ１２にはこのまま第２主通信路４２を用いた第２受信部２２への出力を継続させたいので、第２センサ１２には切り替え指示を出力しない。すなわちこの場合には、第２受信部２２が第１センサ１１および第２センサ１２のセンサ情報を受信する。

制御部３６は、第２受信部２２に障害が発生した旨を受信すると、第１受信部２１に第２センサ１２へ切り替え指示を出力させる。なお第１センサ１１にはこのまま第１主通信路４１を用いた第１受信部２１への出力を継続させたいので、第１センサ１１には切り替え指示を出力しない。すなわちこの場合には、第１受信部２１が第１センサ１１および第２センサ１２のセンサ情報を受信する。

なお、診断部３４から構成変更部３５および制御部３６への信号の出力は略同時に行われる。また、構成変更部３５による第１処理部３１および第２処理部３２の再構成と、制御部３６による第１センサ１１および第２センサ１２のセンサ情報の出力経路の切り替えも略同時に行われる。

以下では、第１受信部２１が第１センサ１１から第１主通信路４１を介して第１センサ情報を受信し、かつ第２受信部２２が第２センサ１２から第２主通信路４２を介して第２センサ情報を受信し、第１処理部３１は第１センサ情報を処理する第１処理を実行し、第２処理部３２は第２センサ情報を処理する第２処理を実行する構成を「第１構成」と呼ぶ。また、第１受信部２１が第２センサ１２から第２副通信路５２を介して第２センサ情報を受信し、第２受信部２２が第１センサ１１から第１副通信路５１を介して第１センサ情報を受信し、第１処理部は第２処理を実行し、第２処理部は第１処理を実行する構成を「第２構成」と呼ぶ。

（フローチャート）
図２はＥＣＵ２の動作を示すフローチャートである。ＥＣＵ２は、ＥＣＵ２の起動後は常に以下の処理を実行する。ＥＣＵ２はまずステップＳ６０１において、診断部３４が主通信路４または副通信路５の経路のエラーを検出したか否かを判断する。ＥＣＵ２は、診断部３４が経路のエラーを検出したと判断する場合はステップＳ６０２に進み、診断部３４が経路のエラーを検出していないと判断する場合はステップＳ６０４に進む。

ステップＳ６０２では、診断部３４が制御部３６にエラーの検出箇所を伝達し、制御部３６はエラーが検出された経路を避けるように、第１受信部２１および第２受信部２２の少なくとも一方に切り替え指示を出力する。具体的な動作は前述のとおりである。続くステップＳ６０３では、診断部３４が構成変更部３５にエラーの検出箇所を伝達し、構成変更部３５は第１処理部３１と第２処理部３２の処理内容、すなわち第１処理部３１および第２処理部３２に構成される処理回路を入れ替える。

ステップＳ６０４ではＥＣＵ２は、診断部３４が第１受信部２１または第２受信部２２のエラーを検出したか否かを判断する。ＥＣＵ２は、診断部３４が第１受信部２１または第２受信部２２のエラーを検出したと判断する場合はステップＳ６０５に進み、診断部３４が第１受信部２１および第２受信部２２のいずれのエラーを検出していないと判断する場合はステップＳ６０１に戻る。

ステップＳ６０５では診断部３４が制御部３６にエラーの検出箇所を伝達し、制御部３６はエラーが検出された受信部を使用しないように、第１受信部２１および第２受信部２２の少なくとも一方に切り替え指示を出力する。具体的な動作は前述のとおりである。続くステップＳ６０６では、診断部３４が構成変更部３５にエラーの検出箇所を伝達し、構成変更部３５は動作している受信部に対応する処理部で全処理を実行させるべく、第１処理部３１または第２処理部３２を再構成する。その後ステップＳ６０１に戻る。なおステップＳ６０４を否定判定してステップＳ６０１に戻る際およびステップＳ６０６からステップＳ６０１に戻る際には、所定時間、たとえば１００ｍｓのスリープ動作を行ってもよい。

（動作例）
本実施形態での動作例として、第１主通信路４１が故障した場合の動作例１－１と、第１受信部２１が故障した場合の動作例１－２について、図３～図４を用いて説明する。

（動作例１－１）
図３は、動作例１－１を示す図である。本動作例では、主通信路４のうち、第１主通信路４１が故障した場合の動作例を説明する。図３に第１主通信路４１の故障発生によるセンサごとの通信経路の変更例を示す。図３の上部は第１主通信路４１の故障前におけるデータフローを示し、図３の下部は第１主通信路４１の故障後におけるデータフローを示す。図３の上部に示すように、第１センサ１１が出力する第１センサ情報は、第１主通信路４１、および第１受信部２１を経由して第１処理部３１に到達する。同じく図３の上部に示すように、第２センサ１２が出力する第２センサ情報は、第２主通信路４２、および第２受信部２２を経由して第２処理部３２に到達する。

第１主通信路４１が故障すると、診断部３４が第１受信部２１から受信した信号をもとに故障を検知し、診断部３４が構成変更部３５および制御部３６に第１主通信路４１が故障したことを通知する。第１主通信路４１の故障通知を受信すると、制御部３６は第１センサ１１と第２センサ１２への出力経路の変更指令、および第１処理部３１と第２処理部３２への書き換え指令を出力する。この場合の出力経路の変更指令とは、第１センサ１１は第１副通信路５１を用いて出力し、第２センサ１２は第２副通信路５２を用いて出力するように経路を変更する指令である。この場合の書き換え指令とは、第１処理部３１にレーダ処理回路を構成し、第２処理部３２に画像処理回路を構成する書き換え指令である。

この変更により、第１主通信路４１の故障後には、図３の下部に示すように、第１センサ１１が出力する第１センサ情報は、第１副通信路５１、および第２受信部２２を経由して第２処理部３２に到達する。同じく図３の下部に示すように、第２センサ１２が出力する第２センサ情報は、第２副通信路５２、および第１受信部２１を経由して第１処理部３１に到達する。なお、第１センサ情報は故障の前後を問わず画像処理回路にて処理され、第２センサ情報は故障の前後を問わずレーダ処理回路にて処理される。

以上の動作により、第１主通信路４１が故障した場合でも、ＥＣＵ２は故障前と同様に第１センサ１１および第２センサ１２からのセンサデータを受信することができ、ＥＣＵ２は車両制御を継続することができる。なお第２主通信路４２が故障した場合でも同様に、ＥＣＵ２は車両制御を継続することができる。

（動作例１－２）
図４は、動作例１－２を示す図である。本動作例では、主通信路４のうち、第１受信部２１が故障した場合の動作例を説明する。図４に第１受信部２１の故障発生によるセンサごとの通信経路の変更例を示す。図４の上部は第１受信部２１の故障前におけるデータフローを示し、図４の下部は第１受信部２１の故障後におけるデータフローを示す。図４の上部は図３の上部と同様なので説明を省略する。

第１受信部２１が故障すると、診断部３４が第１受信部２１から受信した信号をもとに故障を検知し、診断部３４が構成変更部３５および制御部３６に第１受信部２１が故障したことを通知する。第１受信部２１の故障通知を受信すると、制御部３６は第１センサ１１への出力経路の変更指令および第２処理部３２への書き換え指令を出力する。この場合の出力経路の変更指令とは、第１センサ１１は第１副通信路５１を用いて出力するように経路を変更する指令である。この場合の書き換え指令とは、第２処理部３２に統合処理回路を構成する書き換え指令である。

この変更により、第１受信部２１の故障後には、図４の下部に示すように、第１センサ１１が出力する第１センサ情報は、第１副通信路５１および第２受信部２２を経由して第２処理部３２に到達する。同じく図４の下部に示すように、第２センサ１２が出力する第２センサ情報は、第２主通信路４２および第２受信部２２を経由して第２処理部３２に到達する。すなわち第１受信部２１の故障後には、第１センサ情報および第２センサ情報は、第２処理部３２に構成された統合処理回路にて処理される。

以上の動作により、主通信路４における第１受信部２１が故障した場合でも、ＥＣＵ２は故障前と同様に、第１センサ１１および第２センサ１２からのセンサデータを受信することができ、ＥＣＵ２は車両制御を継続することができる。なお第２受信部２２が故障した場合でも同様に、ＥＣＵ２は車両制御を継続することができる。

上述した第１の実施の形態によれば、次の作用効果が得られる。
（１）電子制御装置であるＥＣＵ２は、第１センサ情報を出力する第１センサ１１および第２センサ情報を出力する第２センサ１２と接続される。ＥＣＵ２は、第１センサ１１と第１主通信路４１により接続され、第２センサ１２と第２副通信路５２により接続され、第１主通信路４１および第２副通信路５２の少なくとも一方を用いて情報を受信する第１受信部２１と、第１センサ１１と第１副通信路５１により接続され、第２センサ１２と第２主通信路４２により接続され、第１副通信路５１および第２主通信路４２の少なくとも一方を用いて情報を受信する第２受信部２２と、第１主通信路４１、第２主通信路４２、第１受信部２１、および第２受信部２２の少なくとも１つの障害を検出する診断部３４と、診断部３４が障害を検出した第１主通信路４１、第２主通信路４２、第１受信部２１、および第２受信部２２のいずれかを用いることなく、第１センサ情報および第２センサ情報の受信が可能なように、第１受信部２１および第２受信部２２の少なくとも一方が情報の受信に用いる通信路を切り替える制御部３６とを備える。そのため、センサ信号の伝送経路の一部や信号の受信部の一部に異常が生じても、センサ信号の受信を継続できる。具体的には、第１主通信路４１、第２主通信路４２、第１副通信路５１、第２副通信路５２、第１受信部２１、および第２受信部２２のいずれに異常が生じても、第１センサ情報および第２センサ情報の受信を継続できる。

（２）診断部３４は、第１主通信路４１の障害を検出する。制御部３６は、第１受信部２１が第１センサ１１から第１主通信路４１を介して第１センサ情報を受信し、かつ第２受信部２２が第２センサ１２から第２主通信路４２を介して第２センサ情報を受信している場合において、診断部３４が第１主通信路４１に障害を検出すると、第１受信部２１が第２センサ１２から第２副通信路５２を介して第２センサ情報を受信し、かつ第２受信部２２が第１センサ１１から第１副通信路５１を介して第１センサ情報を受信するように通信路を切り替える。そのため、動作例１－１で示したように第１主通信路４１が故障した場合でも、ＥＣＵ２は故障前と同様に第１センサ１１および第２センサ１２からのセンサデータを受信することができる。また、具体的な動作例としては記載していないが第２主通信路４２が故障した場合でも同様に、第１センサ１１および第２センサ１２からのセンサデータを受信することができる。

（３）診断部３４は、第１受信部２１の障害を検出し、第１受信部２１が第１センサ１１から第１主通信路４１を介して第１センサ情報を受信し、かつ第２受信部２２が第２センサ１２から第２主通信路４２を介して第２センサ情報を受信している場合において、診断部３４が第１受信部２１に障害を検出すると、第２受信部２２が第１副通信路５１および第２主通信路４２を介して第１センサ情報および第２センサ情報を受信するように通信路を切り替える制御部３６を備える。そのため、動作例１－２で示したように主通信路４における第１受信部２１が故障した場合でも、ＥＣＵ２は故障前と同様に、第１センサ１１および第２センサ１２からのセンサデータを受信することができる。また、具体的な動作例としては記載していないが第２受信部２２が故障した場合でも同様に、第１センサ１１および第２センサ１２からのセンサデータを受信することができる。

（４）ＥＣＵ２は、第１受信部２１が受信した情報を処理する第１処理部３１と、第２受信部２２が受信した情報を処理する第２処理部３２とを備える。第１処理部３１および第２処理部３２は書き換え可能な論理回路であるＦＰＧＡ３により実現される。構成変更部３５は、診断部３４が検出した障害に基づき、第１処理部３１および第２処理部３２の少なくとも一方を書き換える。そのため、高速な演算が可能なＦＰＧＡ３を利用しつつ、信号の伝送経路の一部や信号の受信部の一部に異常が生じても、信号の受信および信号の処理を継続できる。

（５）診断部３４は、第１主通信路４１の障害を検出可能である。構成変更部３５は、第１構成と第２構成とを変更可能である。前述のとおり、第１構成とは、第１受信部２１が第１センサ１１から第１主通信路４１を介して第１センサ情報を受信し、かつ第２受信部２２が第２センサ１２から第２主通信路４２を介して第２センサ情報を受信し、第１処理部３１は第１センサ情報を処理する第１処理を実行し、第２処理部３２は第２センサ情報を処理する第２処理を実行する構成である。前述のとおり、第２構成とは、第１受信部２１が第２センサ１２から第２副通信路５２を介して第２センサ情報を受信し、第２受信部２２が第１センサ１１から第１副通信路５１を介して第１センサ情報を受信し、第１処理部３１は第２処理を実行し、第２処理部３２は第１処理を実行する構成である。構成変更部３５および制御部３６は、第１構成の場合に診断部３４が第１主通信路４１に障害を検出すると、第２構成に変更する。そのため高速な演算が可能なＦＰＧＡ３を利用しつつ、信号の伝送経路の一部に異常が生じても、信号の受信および信号の処理を継続できる。

（６）診断部３４は、第１受信部２１の障害を検出可能である。診断部３４が第１受信部２１の障害を検出する前は、第１受信部２１が第１センサ１１から第１主通信路４１を介して第１センサ情報を受信し、かつ第２受信部２２が第２センサ１２から第２主通信路４２を介して第２センサ情報を受信しており、さらに第１処理部３１は第１センサ情報を処理する第１処理を実行し、第２処理部３２は第２センサ情報を処理する第２処理を実行する。構成変更部３５および制御部３６は、診断部３４が第１受信部２１に障害を検出すると、第２受信部２２が第１副通信路５１および第２主通信路４２を介して第１センサ情報および第２センサ情報を受信するように通信路を切り替え、さらに、第２処理部３２が第１処理および第２処理を実行するように論理回路を書き換える。そのため高速な演算が可能なＦＰＧＡ３を利用しつつ、信号の受信部の一部に異常が生じても、信号の受信および信号の処理を継続できる。

（変形例１）
第１受信部２１および第２受信部２２は共通するハードウエアにより実現されてもよい。たとえば１つの半導体チップと４つのケーブル接続口により第１受信部２１および第２受信部２２が実現されてもよい。本変形例によれば低コストにＥＣＵ２を実現できる。ただし本変形例では、同一の半導体チップにより実現されているので、第１受信部２１および第２受信部２２の一方のみが故障することは想定されない。そのため上述した動作例１－１は本変形例でも実現可能であるが、動作例１－２は本変形例では実現ができない。

（変形例２）
車両走行制御部３７、診断部３４、構成変更部３５、および制御部３６は、ＦＰＧＡ３により実現されなくてもよい。たとえば車両走行制御部３７、診断部３４、構成変更部３５、および制御部３６は、ＡＳＩＣ（application specific integrated circuit、特定用途向け集積回路）により実現されてもよいし、中央演算装置であるＣＰＵがＲＯＭに格納されるプログラムをＲＡＭに展開して実行することで実現してもよい。また車両走行制御部３７はＥＣＵ２に含まれなくてもよい。

（変形例３）
構成変更部３５は、第１主通信路４１に障害が検出された際に、第１処理部３１および第２処理部３２の再構成を行う代わりに次のように信号線を再構成してもよい。ただし本変形例における制御部３６の動作は第１の実施の形態と同様である。本変形例では構成変更部３５は、第１主通信路４１に障害が検出されると、第２受信部２２が受信した第１センサ情報が第１処理部３１に伝達されるように信号線を再構成し、かつ第１受信部２１が受信した第２センサ情報が第２処理部３２に伝達されるように信号線を再構成する。

本変形例によれば次の作用効果が得られる。第１処理部３１および第２処理部３２を再構成するよりも、信号線を再構成するほうが再構成が必要な領域が狭いため、再構成に要する時間を短くすることができる。

（変形例４）
第１センサ１１および第２センサ１２の少なくとも一方は、常に２つの通信経路にセンサ情報を出力してもよい。この場合には、制御部３６は常に２つの通信経路にセンサ情報を出力しているセンサには、動作指令を出力しなくてよい。

（変形例５）
第１処理部３１、第２処理部３２、および構成変更部３５がプログラムの実行により実現されてもよい。たとえばＥＣＵ２がＣＰＵ、ＲＯＭ、およびＲＡＭを備え、ＲＯＭに格納されたプログラムをＲＡＭに展開してＣＰＵが実行することにより第１処理部３１、第２処理部３２、および構成変更部３５を実現してもよい。この場合には、第１処理と第２処理のそれぞれがプログラム本体、またはプログラム内の関数に相当する。構成変更部３５は、第１受信部２１が受信した情報と第２受信部２２が受信した情報を、それぞれどちらの関数に入力するかを決定するプログラムまたは関数に相当する。

なお第１処理部３１、第２処理部３２、および構成変更部３５だけでなく第１の実施の形態ではＦＰＧＡ３により実現されると説明した全ての機能構成がプログラムにより実現されてもよい。

（変形例６）
制御部３６は、車両走行制御部３７に走行モードを指定可能であってもよい。この場合に制御部３６は、診断部３４が第１受信部２１または第２受信部２２に障害を検出すると、車両の走行制御モードを安全性を重視する縮退モードに設定する。なお、診断部３４が第１受信部２１または第２受信部２２に障害を検出することは、構成変更部３５によって第１処理部３１および第２処理部３２のいずれか一方が、第１処理および第２処理の両方を実行するように論理回路を書き換えられことと同義である。

本変形例によれば次の作用効果が得られる。
（７）ＥＣＵ２は車両に搭載され、車両の走行制御モードを設定する制御部３６を備える。制御部３６は、構成変更部３５によって第２処理部３２が第１処理および第２処理を実行するようにＦＰＧＡ３が書き換えられると、車両の走行制御モードを安全性を重視する縮退モードに設定する。第２受信部２２だけを使って第１情報と第２情報を受信する場合は、第１受信部２１および第２受信部２２を使って第１情報と第２情報を受信する場合よりも受信可能なデータ量が減少する可能性がある。そのため得られるセンサ情報のデータ量が減少する可能性に考慮して、車両走行制御部３７の走行制御モードを縮退モードに設定することで安全性を向上することができる。

―第２の実施の形態―
図５～図７を参照して、本発明にかかる電子制御装置であるＥＣＵおよび制御システムの第２の実施の形態を説明する。以下の説明では、第１の実施の形態と同じ構成要素には同じ符号を付して相違点を主に説明する。特に説明しない点については、第１の実施の形態と同じである。本実施の形態では、主に、３つのセンサの情報を処理する点で、第１の実施の形態と異なる。

図５は第２の実施の形態における制御システム１Ａの全体構成図である。制御システム１Ａは、第１の実施の形態における制御システム１に、第３センサ１３、第３受信部２３、および第３処理部３３が追加されている。本実施の形態では、センサ群１０Ａは第１センサ１１、第２センサ１２、および第３センサから構成される。図１と同じ要素には同じ符号を付してあり、動作が同じなので説明を省略する。なお制御システム１Ａは、４つ以上のセンサからセンサ情報を取得してもよい。

第３センサ１３はセンサ群１０Ａに含まれる。第３センサ１３の種類は特に限定されないが、たとえばカメラ、ミリ波レーダ、ＬＩＤＡＲ、超音波センサ、レーザーレンジファインダなどである。ただし本実施の形態では具体的な説明のために、第３センサ１３は超音波センサとする。

第３センサ１３は、センシングして得られた情報、たとえばカメラが撮影して得られた撮影画像をＥＣＵ２に送信する。送信の方式は限定されないが、たとえば第３センサ１３は、センシングして得られた情報をシリアルデータに変換してＥＣＵ２に送信する。この場合は第３センサ１３には、センシングして得られた情報をシリアルデータに変換する送信部が含まれる。以下では、第３センサ１３がＥＣＵ２に送信する情報であってセンシングして得られた情報を「第３センサ情報」と呼ぶ。

センサ群１０Ａは、主通信路４Ａおよび副通信路５ＡによりＥＣＵ２と接続される。主通信路４Ａは、第１主通信路４１Ａと、第２主通信路４２Ａと、第３主通信路４３Ａとから構成される。副通信路５Ａは、第１副通信路５１Ａと、第２副通信路５２Ａと、第３副通信路５３Ａとから構成される。ＥＣＵ２は、第１受信部２１、第２受信部２２、および第３受信部２３を備える。第１主通信路４１Ａは、第１センサ１１と第１受信部２１とを接続する。第２主通信路４２Ａは、第２センサ１２と第２受信部２２とを接続する。第３主通信路４３Ａは、第３センサ１３と第３受信部２３とを接続する。第１副通信路５１Ａは、第１センサ１１と第２受信部２２とを接続する。第２副通信路５２Ａは、第２センサ１２と第３受信部２３とを接続する。第３副通信路５３Ａは、第３センサ１３と第１受信部２１とを接続する。

診断部３４は既知の手法を用いて、第１受信部２１、第２受信部２２、第３受信部２３、主通信路４Ａ、および副通信路５Ａの障害を検出し、構成変更部３５および制御部３６に検出した障害発生個所を伝達する。本実施の形態では、制御部３６は第３受信部２３にも動作指令を出力する。本実施の形態ではＦＰＧＡ３には、第３処理部３３も構成される。

第３受信部２３は、外部との通信ポートを２つ備える通信モジュールであり、たとえば１つの半導体チップと２つのケーブル接続口により実現される。第１受信部２１、第２受信部２２および第３受信部２３を実現するハードウエアは個別のものである。そのためたとえば半導体チップの不具合などにより、第１受信部２１と第３受信部２３は動作を継続しているが第２受信部２２のみ動作が停止していることが起こりえる。

第１処理部３１、第２処理部３２、および第３処理部３３は概念的なものであり、第１処理部３１、第２処理部３２、および第３処理部３３に構成される回路によりそれぞれの動作が規定される。第１処理部３１、第２処理部３２、および第３処理部３３のそれぞれには、画像処理回路、レーダ処理回路、ソナー処理回路、統合処理回路、レーダソナー回路、およびソナー画像回路のいずれかが構成される。画像処理回路およびレーダ処理回路は第１の実施の形態で説明したとおりである。

ソナー処理回路とは、第３センサ１３が出力する第３センサ情報、たとえば超音波センサの出力から車両の制御に必要な情報を抽出する処理を実行する回路である。レーダソナー回路とはレーダ処理回路とソナー処理回路とを結合した回路であり、第２センサ情報および第３センサ情報から車両の制御に必要な情報を抽出する処理を実行する回路である。ソナー画像回路とはソナー処理回路と画像処理回路とを結合した回路であり、第３センサ情報および第１センサ情報から車両の制御に必要な情報を抽出する処理を実行する回路である。

ＥＣＵ２の起動時には、第１処理部３１には画像処理回路が構成され、第２処理部３２にはレーダ処理回路が構成され、第３処理部３３にはソナー処理回路が構成される。なお以下では、ソナー処理回路が実行する、第３センサ情報を処理することを「第３処理」とも呼ぶ。

車両走行制御部３７は、第１処理部３１、第２処理部３２および第３処理部３３の演算結果を用いて車両を制御する。

構成変更部３５は、診断部３４の診断結果に基づき、第１処理部３１、第２処理部３２、および第３処理部３３の構成を変更する。構成変更部３５は、診断部３４から第１主通信路４１、第２主通信路４２、および第３主通信路４３のいずれかの障害検出が伝達されると、第１処理部３１にソナー処理回路を構成し、第２処理部３２に画像処理回路を構成し、第３処理部３３にレーダ処理回路を構成する。

構成変更部３５は、診断部３４から第１受信部２１の障害検出が伝達されると、第２処理部３２に統合処理回路を構成する。この場合に構成変更部３５は、第１処理部３１の構成を変更しなくてもよいし、第１処理部３１が使用していた論理回路の領域を第２処理部３２に充ててもよい。構成変更部３５は、診断部３４から第２受信部２２の障害検出が伝達されると、第３処理部３３にレーダソナー回路を構成する。この場合に構成変更部３５は、第２処理部３２の構成を変更しなくてもよいし、第２処理部３２が使用していた論理回路の領域を第３処理部３３に充ててもよい。構成変更部３５は、診断部３４から第３受信部２３の障害検出が伝達されると、第１処理部３１にソナー画像回路を構成する。この場合に構成変更部３５は、第３処理部３３の構成を変更しなくてもよいし、第３処理部３３が使用していた論理回路の領域を第１処理部３１に充ててもよい。

（動作例）
本実施形態での動作例として、第１主通信路４１が故障した場合の動作例２－１と、第１受信部２１が故障した場合の動作例２－２について、図６～図７を用いて説明する。

（動作例２－１）
図６は、動作例２－１を示す図である。本動作例では、主通信路４のうち、第１主通信路４１が故障した場合の動作例を説明する。図６にセンサごとの第１主通信路４１故障時の通信経路の変更例を示す。図６の上部は第１主通信路４１の故障前のデータフローを示し、図６の下部は第１主通信路４１の故障後のデータフローを示す。図６の上部に示すように、第１センサ１１が出力する第１センサ情報は、第１主通信路４１Ａ、および第１受信部２１を経由して第１処理部３１に到達する。

同じく図６の上部に示すように、第２センサ１２が出力する第２センサ情報は、第２主通信路４２Ａ、および第２受信部２２を経由して第２処理部３２に到達する。また同じく図６の上部に示すように、第３センサ１３が出力する第３センサ情報は、第３主通信路４３Ａ、および第３受信部２３を経由して第３処理部３３に到達する。

第１主通信路４１が故障すると、診断部３４が第１受信部２１から受信した信号をもとに故障を検知し、診断部３４が構成変更部３５および制御部３６に第１主通信路４１が故障したことを通知する。第１主通信路４１の故障通知を受信すると、制御部３６は第１センサ１１、第２センサ１２、および第３センサ１３への出力経路の変更指令および第１処理部３１、第２処理部３２、および第３処理部３３への書き換え指令を出力する。

この場合の出力経路の変更指令とは、第１センサ１１は第１副通信路５１Ａを用いて出力し、第２センサ１２は第２副通信路５２Ａを用いて出力し、第３センサ１３は第３副通信路５３Ａを用いて出力するように経路を変更する指令である。この場合の書き換え指令とは、第１処理部３１にソナー処理回路を構成し、第２処理部３２に画像処理回路を構成し、第３処理部３３にレーダ処理回路を構成する書き換え指令である。

この変更により、第１主通信路４１の故障後には、図６の下部に示すように、第１センサ１１が出力する第１センサ情報は、第１副通信路５１Ａ、および第２受信部２２を経由して第２処理部３２に到達する。同じく図６の下部に示すように、第２センサ１２が出力する第２センサ情報は、第２副通信路５２Ａ、および第３受信部２３を経由して第３処理部３３に到達する。また同じく図６の下部に示すように、第３センサ１３が出力する第３センサ情報は、第３副通信路５３Ａ、および第１受信部２１を経由して第１処理部３１に到達する。

以上の動作により、第１主通信路４１が故障した場合でも、故障前と同様、第１センサ１１、第２センサ１２、および第３センサ１３からのセンサデータを受信することができ、ＥＣＵ２は車両制御を継続することができる。なお第２主通信路４２や第３主通信路４３が故障した場合でも同様に、ＥＣＵ２は車両制御を継続することができる。

（動作例２－２）
図７は、動作例２－２を示す図である。本動作例では、主通信路４Ａのうち、第１受信部２１が故障した場合の動作例を説明する。図７にセンサごとの第１受信部２１故障時の主通信路４Ａの変更例を示す。図７の上部は第１受信部２１の故障前のデータフローを示し、図７の下部は第１受信部２１の故障後のデータフローを示す。図７の上部は図６の上部と同様なので説明を省略する。

第１受信部２１が故障すると、診断部３４が故障を検知し、診断部３４が構成変更部３５および制御部３６に第１受信部２１が故障したことを通知する。第１受信部２１の故障通知を受信すると、制御部３６は第１センサ１１への出力経路の変更指令および第２処理部３２への書き換え指令を出力する。この変更により、第１受信部２１の故障後には、図７の下部に示すように変更される。具体的な変更内容は、第１の実施の形態における動作例１－２と同様なので説明を省略する。

以上の動作により、第１受信部２１が故障した場合でも、故障前と同様、第１センサ１１、第２センサ１２、および第３センサ１３からのセンサデータを受信することができ、ＥＣＵ２は車両制御を継続することができる。なお第２受信部２２や第３受信部２３が故障した場合でも、同様の処理によりＥＣＵ２は車両制御を継続することができる。

上述した第２の実施の形態によれば、ＥＣＵ２に接続されるセンサが３以上の場合でも第１の実施の形態と同様の作用効果が得られる。

―第３の実施の形態―
図８を参照して、本発明にかかる電子制御装置であるＥＣＵおよび制御システムの第３の実施の形態を説明する。以下の説明では、第１の実施の形態と同じ構成要素には同じ符号を付して相違点を主に説明する。特に説明しない点については、第１の実施の形態と同じである。本実施の形態では、主に、外部からトリガ信号を受けて動作する点で、第１の実施の形態と異なる。

図８は第３の実施の形態における制御システム１Ｂの全体構成図である。制御システム１Ｂは、外部からトリガ信号が入力される。トリガ信号６は、構成変更部３５および制御部３６に入力される。構成変更部３５および制御部３６は、第１の実施の形態において説明したように診断部３４の出力に基づき動作するが、本実施の形態ではさらにトリガ信号６が入力された場合に後述する処理を行う。

トリガ信号６は、不図示のトリガ信号生成回路がＥＣＵ２の起動を検知すると生成する。ただしトリガ信号生成回路は、ＥＣＵ２Ｂを搭載する車両の始動時、たとえばイグニッションスイッチがオンにされたタイミングでトリガ信号６を生成してもよい。またトリガ信号生成回路は、タイマにより一定の時間ごと、たとえば１時間ごとにトリガ信号６を生成してもよい。

構成変更部３５は、トリガ信号６が入力されると、第１処理部３１と第２処理部３２のそれぞれに構成された論理回路を入れ替える。たとえば第１処理部３１に画像処理回路が構成され、第２処理部３２にレーダ処理回路が構成されている場合にトリガ信号６が構成変更部３５に入力されると、構成変更部３５は次の処理を行う。すなわち構成変更部３５は、第１処理部３１にレーダ処理回路を構成し、第２処理部３２に画像処理回路を構成する。

制御部３６は、トリガ信号６が入力されると、第１センサ１１および第２センサ１２にセンサ情報の出力経路を変更させる。たとえば第１センサ１１が第１主通信路４１を介して第１センサ情報を出力し第２センサ１２が第２主通信路４２を介して第２センサ情報を出力している場合において、制御部３６にトリガ信号が入力されると制御部３６は次の処理を行う。すなわち制御部３６は、第１センサ１１に第１副通信路５１を介して第１センサ情報を出力させ、第２センサ１２に第２副通信路５２を介して第２センサ情報を出力させる。

上述した第３の実施の形態によれば、次の作用効果が得られる。
（８）診断部３４は、第１副通信路５１の障害を検出可能である。制御部３６および構成変更部３５は、第１構成の場合に診断部３４が第１副通信路５１に障害を検出すると、第１構成に変更する。制御部３６および構成変更部３５は、外部からトリガ信号が入力されるたびに第１構成と第２構成とを切り替える。このように定期的に主通信路４と副通信路５の切り替えを実施することにより、主通信路４だけでなく副通信路５も定期的に診断可能となり、故障切り替え時の多重障害を防止し、更なる高信頼化を実現できる。

―第４の実施の形態―
図９を参照して、本発明にかかる電子制御装置であるＥＣＵおよび制御システムの第４の実施の形態を説明する。以下の説明では、第１の実施の形態と同じ構成要素には同じ符号を付して相違点を主に説明する。特に説明しない点については、第１の実施の形態と同じである。本実施の形態では、主に、２つの通信路を１つの物理ケーブルで実現する点で、第１の実施の形態と異なる。

図９は第４の実施の形態における制御システム１Ｃの全体構成図である。制御システム１Ｃでは、第１センサ１１とＥＣＵ２は第１差動ケーブル７１により接続され、第２センサ１２とＥＣＵ２は第２差動ケーブル７２により接続される。第１差動ケーブル７１および第２差動ケーブル７２は差動伝送に用いられることを目的として製作された差動ケーブルである。第１差動ケーブル７１は第１１信号線７１１と第１２信号線７１２とを含む。第２差動ケーブル７２は第２１信号線７２１と第２２信号線７２２とを含む。第１差動ケーブル７１および第２差動ケーブル７２の信号は、それぞれ図示しないＥＣＵ２との接続部でＥＣＵ２に受信された後、ＥＣＵ２の基板配線上でそれぞれ２つの信号として分けられて第１受信部２１および第２受信部２２に入力される。

第１１信号線７１１は第１センサ１１と第１受信部２１とを接続するので、第１の実施の形態における第１主通信路４１に相当する。第１２信号線７１２は第１センサ１１と第２受信部２２とを接続するので、第１の実施の形態における第１副通信路５１に相当する。第２１信号線７２１は第２センサ１２と第２受信部２２とを接続するので、第１の実施の形態における第２主通信路４２に相当する。第２２信号線７２２は第２センサ１２と第１受信部２１とを接続するので、第１の実施の形態における第２副通信路５２に相当する。

本実施の形態におけるＥＣＵ２の動作は第１の実施の形態と同様なので説明を省略する。

本実施形態では、このような形態で差動ケーブルを利用することにより、第１の実施の形態では独立した２本のケーブルで実現していた第１主通信路４１および第１副通信路５１を、１本のケーブルで実現できる。したがって、第１の実施の形態と比較して利用するケーブルの本数を半分に減らすことができる。

上述した各実施の形態および変形例において、機能ブロックの構成は一例に過ぎない。別々の機能ブロックとして示したいくつかの機能構成を一体に構成してもよいし、１つの機能ブロック図で表した構成を２以上の機能に分割してもよい。また各機能ブロックが有する機能の一部を他の機能ブロックが備える構成としてもよい。

上述した各実施の形態および変形例は、それぞれ組み合わせてもよい。上記では、種々の実施の形態および変形例を説明したが、本発明はこれらの内容に限定されるものではない。本発明の技術的思想の範囲内で考えられるその他の態様も本発明の範囲内に含まれる。

１、１Ａ、１Ｂ、１Ｃ…制御システム
２…ＥＣＵ
３…ＦＰＧＡ
４…主通信路
５…副通信路
６…トリガ信号
１０、１０Ａ…センサ群
１１…第１センサ
１２…第２センサ
１３…第３センサ
２１…第１受信部
２２…第２受信部
２３…第３受信部
３１…第２処理部
３１…第１処理部
３２…第２処理部
３３…第３処理部
３４…診断部
３５…構成変更部
３６…制御部
３７…車両走行制御部
４１…第１主通信路
４２…第２主通信路
４３…第３主通信路
５１…第１副通信路
５２…第２副通信路
７１…第１差動ケーブル
７２…第２差動ケーブル

Claims (9)

1. 第１センサ情報を出力する第１センサおよび第２センサ情報を出力する第２センサと接続される電子制御装置であって、
   前記第１センサと第１主通信路により接続され、前記第２センサと第２副通信路により接続され、前記第１主通信路および前記第２副通信路の少なくとも一方を用いて情報を受信する第１受信部と、
   前記第１センサと第１副通信路により接続され、前記第２センサと第２主通信路により接続され、前記第１副通信路および前記第２主通信路の少なくとも一方を用いて情報を受信する第２受信部と、
   前記第１主通信路、前記第２主通信路、前記第１受信部、および前記第２受信部の少なくとも１つの障害を検出する診断部と、
   前記診断部が障害を検出した前記第１主通信路、前記第２主通信路、前記第１受信部、および前記第２受信部のいずれかを用いることなく、前記第１センサ情報および前記第２センサ情報の受信が可能なように、前記第１受信部および前記第２受信部の少なくとも一方が情報の受信に用いる通信路を切り替える制御部とを備える電子制御装置。
2. 請求項１に記載の電子制御装置において、
   前記診断部は、前記第１主通信路の障害を検出し、
   前記制御部は、
   前記第１受信部が前記第１センサから前記第１主通信路を介して前記第１センサ情報を受信し、かつ前記第２受信部が前記第２センサから前記第２主通信路を介して前記第２センサ情報を受信している場合において、前記診断部が前記第１主通信路に障害を検出すると、
   前記第１受信部が前記第２センサから前記第２副通信路を介して前記第２センサ情報を受信し、かつ前記第２受信部が前記第１センサから前記第１副通信路を介して前記第１センサ情報を受信するように通信路を切り替える電子制御装置。
3. 請求項１に記載の電子制御装置において、
   前記診断部は、前記第１受信部の障害を検出し、
   前記制御部は、
   前記第１受信部が前記第１センサから前記第１主通信路を介して前記第１センサ情報を受信し、かつ前記第２受信部が前記第２センサから前記第２主通信路を介して前記第２センサ情報を受信している場合において、前記診断部が前記第１受信部に障害を検出すると、
   前記第２受信部が前記第１副通信路および前記第２主通信路を介して前記第１センサ情報および前記第２センサ情報を受信するように通信路を切り替える電子制御装置。
4. 請求項１に記載の電子制御装置において、
   前記第１受信部が受信した情報を処理する第１処理部と、
   前記第２受信部が受信した情報を処理する第２処理部と、をさらに備え、
   前記第１処理部および前記第２処理部は書き換え可能な論理回路により実現され、
   前記診断部が検出した障害に基づき、前記第１処理部および前記第２処理部の少なくとも一方を書き換える構成変更部をさらに備える電子制御装置。
5. 請求項４に記載の電子制御装置において、
   前記診断部は、前記第１主通信路の障害を検出可能であり、
   前記制御部および前記構成変更部は、第１構成と第２構成とを変更可能であり、
   前記第１構成とは、前記第１受信部が前記第１センサから前記第１主通信路を介して前記第１センサ情報を受信し、かつ前記第２受信部が前記第２センサから前記第２主通信路
   を介して前記第２センサ情報を受信し、前記第１処理部は前記第１センサ情報を処理する第１処理を実行し、前記第２処理部は前記第２センサ情報を処理する第２処理を実行する構成であり、
   前記第２構成とは、前記第１受信部が前記第２センサから前記第２副通信路を介して前記第２センサ情報を受信し、前記第２受信部が前記第１センサから前記第１副通信路を介して前記第１センサ情報を受信し、前記第１処理部は前記第２処理を実行し、前記第２処理部は前記第１処理を実行する構成であり、
   前記制御部および前記構成変更部は、前記第１構成の場合に前記診断部が前記第１主通信路に障害を検出すると、前記第２構成に変更する電子制御装置。
6. 請求項５に記載の電子制御装置において、
   前記診断部は、前記第１副通信路の障害をさらに検出可能であり、
   前記制御部および前記構成変更部は、前記第１構成の場合に前記診断部が前記第１副通信路に障害を検出すると、前記第２構成に変更し、
   前記制御部および前記構成変更部は、外部からトリガ信号が入力されるたびに、または前記電子制御装置が起動するたびに前記第１構成と前記第２構成とを切り替える電子制御装置。
7. 請求項４に記載の電子制御装置において、
   前記診断部は、前記第１受信部の障害を検出可能であり、
   前記診断部が前記第１受信部の障害を検出する前は、前記第１受信部が前記第１センサから前記第１主通信路を介して前記第１センサ情報を受信し、かつ前記第２受信部が前記第２センサから前記第２主通信路を介して前記第２センサ情報を受信しており、さらに前記第１処理部は前記第１センサ情報を処理する第１処理を実行し、前記第２処理部は前記第２センサ情報を処理する第２処理を実行し、
   前記構成変更部は、前記診断部が前記第１受信部に障害を検出すると、
   前記第２受信部が前記第１副通信路および前記第２主通信路を介して前記第１センサ情報および前記第２センサ情報を受信するように通信路を切り替え、さらに、
   前記第２処理部が前記第１処理および前記第２処理を実行するように前記論理回路を書き換える電子制御装置。
8. 請求項７に記載の電子制御装置において、
   前記電子制御装置は車両に搭載され、
   前記車両の走行制御モードを設定するモード制御部をさらに備え、
   前記モード制御部は、前記構成変更部によって前記第２処理部が前記第１処理および前記第２処理を実行するように前記論理回路が書き換えられると、前記車両の走行制御モードを安全性を重視する縮退モードに設定する電子制御装置。
9. 第１センサ情報を出力する第１センサ、第２センサ情報を出力する第２センサ、および前記第１センサおよび前記第２センサと接続される電子制御装置とを含む制御システムであって、
   前記電子制御装置は、
   前記第１センサと第１主通信路により接続され、前記第２センサと第２副通信路により接続され、前記第１主通信路および前記第２副通信路の少なくとも一方を用いて情報を受信する第１受信部と、
   前記第１センサと第１副通信路により接続され、前記第２センサと第２主通信路により接続され、前記第１副通信路および前記第２主通信路の少なくとも一方を用いて情報を受信する第２受信部と、
   前記第１主通信路、前記第２主通信路、前記第１受信部、および前記第２受信部の少なくとも１つの障害を検出する診断部と、
   前記診断部が障害を検出した前記第１主通信路、前記第２主通信路、前記第１受信部、および前記第２受信部のいずれかを用いることなく、前記第１センサ情報および前記第２センサ情報の受信が可能なように、前記第１受信部および前記第２受信部の少なくとも一方が情報の受信に用いる通信路を切り替える構成変更部とを備える制御システム。
   

Images