JP7435435B2 - 車両用装置 - Google Patents

Description

本開示は、出力する映像の誤りを検出する車両用装置に関する。

車両に搭載される車両用装置は、安全に関わる処理を実行することがあることから、その作動に正確性が求められる。そのため、例えば特許文献１では、プログラムの実行順序に対して誤り検出を行うことにより、予め決められている実行順序で処理が行われているか否かを確認することが提案されている。

特許第６４３４８４０号

さて、近年の車両用装置では、インスツルメンツパネルに液晶パネルなどの表示装置を設け、速度メータや、エアバッグやブレーキ等の車両機能の故障やシートベルト非着用などを警告するテルテールをフルグラフィックス表示することがある。

その場合、いわゆる機能安全を実現するために、テルテールの表示に関しては、例えば「車両機能が故障により作動しない場合には、乗員がその不作動を認識できるようにテルテールを点灯して告知する」などの安全目標が設定される。そして、車両用装置には、その安全目標を達成できる設計であることが求められる。以下、安全目標をＳＧ(Safety Goal)と称する。

しかしながら、車両用装置から映像を出力する場合には、正しい処理を正しい順序で実行したとしても、その実行結果に基づいて生成された映像が必ずしも正しいものになっていない状況が想定される。

例えば、車両用装置は、一般的に生成する映像の元になる画像を記憶しており、その画像に基づいて映像を生成および出力している。このとき、仮に元になる画像が例えばソフトエラーによって破損してしまった場合には、正しい順序で正しい処理を実行したとしても、破損した画像に基づいて映像が生成されることになる。その結果、例えば警告表示を行うべき状況であるにも関わらず警告が表示されていない状態、すなわち、設定された安全目標を達成できていない状態が発生し得る。

本開示は、上記した事情に鑑みてなされたものであり、その目的は、自身が出力する映像の誤りを検出することができる車両用装置を提供することにある。

上記目的を達成するために、一態様としての車両用装置（１）は、表示装置（６）への表示に関する処理を実行する制御部（１０）と、表示装置に表示する映像を生成する映像処理部（１１）と、映像処理部が生成した映像を表示装置に対して出力する映像出力部（１２）と、映像処理部が生成する映像の元になる画像、および、当該画像に対して予め演算されている誤り検出符号（３０）を記憶している記憶部（４）と、誤り検出符号を演算する演算部（１３）と、映像出力部から出力される映像に対して演算される誤り検出符号と記憶部に記憶されている誤り検出符号とを比較することにより、表示装置に対して出力される映像の誤りを検出する映像誤り検出部（１６）と、を備える。

このような構成としたことにより、車両用装置は、それぞれの誤り検出符号を比較し、両者が一致すれば、出力される映像が元になる画像に基づいて正しく生成されていることを確認できる一方、両者が一致しなければ、出力される映像が元になる画像とは異なっていることを確認できる。また、車両用装置において最も後段側となる映像に対して誤り検出が実施されるため、表示装置に映像を表示する処理においてどの時点で不具合が発生したとしても、その不具合を検出することが可能となる。したがって、自身が出力する映像の誤りを検出することができる。

第１実施形態による車両用装置の構成例を模式的に示す図 テルテール画像の一例を模式的に示す図 メータディスプレイへの表示例を模式的に示す図 ＣＲＣマスタの一例を模式的に示す図 映像表示処理の流れを示す図 映像誤り検出処理の流れを示す図 第２実施形態によるＣＲＣマスタの一例を模式的に示す図 表示領域の表示態様とＣＲＣマスタとの関係を模式的に示す図 第３実施形態による車両用装置の構成例を模式的に示す図

以下、複数の実施形態について説明する。また、各実施形態において実質的に共通する部位には同一符号を付すものとする。

（第１実施形態）
以下、第１実施形態について説明する。図１に示すように、車両用装置１は、ＳｏＣ２、ＲＡＭ３およびＲＯＭ４などを備えている。この車両用装置１は、車両に搭載されている他のＥＣＵ５や表示装置としてのメータディスプレイ６とともに、映像誤り検出システム７を構築している。なお、ＳｏＣはSystem on a Chipの略であり、ＥＣＵはElectronic Control Unitの略である。また、車両用装置１もＥＣＵ５の一種ではあるものの、説明をわかり易くするために、ここでは車両用装置１とＥＣＵ５とを区別している。

ＳｏＣ２は、制御部１０、映像処理部１１、映像出力部１２、ＣＲＣ演算部１３、通信部１４などをパッケージ内に収容した半導体集積回路である。制御部１０は、図示しないプロセッサで構成されており、ＲＡＭ３、ＲＯＭ４、映像処理部１１、映像出力部１２、ＣＲＣ演算部１３、通信部１４に対して内部バス１５を介して接続されている。この制御部１０は、プログラムを実行することによって車両用装置１の全体を制御する。また、制御部１０は、本実施形態に関連して、メータディスプレイ６に映像を出力するための各種ソフトウェア処理を実行する。

この制御部１０には、映像誤り検出部１６がソフトウェアによって実現されている。映像誤り検出部１６は、詳細は後述するが、表示装置に対して出力される映像の誤りを検出する。また、映像誤り検出部１６は、映像出力部１２から出力される映像に対して演算される誤り検出符号とＲＯＭ４に記憶されている誤り検出符号とを比較することにより、メータディスプレイ６に対して出力される映像の誤りを検出する。

ＲＡＭ３は、例えばＤＤＲメモリのような揮発性の記憶装置で実現されている。なお、ＤＤＲはDouble Data Rateの略である。このＲＡＭ３には、制御部１０が実行する処理に関する各種のデータが一時的に記憶されるとともに、詳細は後述するが、テルテールの点灯状態を示すテルテール情報２０、メータディスプレイ６に表示するためのテルテール映像２１およびメータ映像２２などが記憶される。これらテルテール映像２１およびメータ映像２２は、ＲＡＭ３上に予め設けられている描画領域に描画されることで、ＲＡＭ３に格納つまりは記憶される。

ＲＯＭ４は、例えばいわゆるＦｌａｓｈＲＯＭ、ｅＭＭＣ、ＵＦＳなどの不揮発性の記憶装置で実現されている。このＲＯＭ４は、本実施形態における記憶部を構成している。なお、ｅＭＭＣはembedded Multi Media Cardの略であり、ＵＦＳはUniversal Flash Storageの略である。

このＲＯＭ４には、制御部１０が実行するプログラムや、誤り検出符号であるＣＲＣマスタ３０、メータディスプレイ６に表示するテルテール映像２１の元になるテルテール画像３１、メータ映像２２の元になるメータ画像３２などが記憶されている。ＣＲＣマスタ３０は、詳細については後述するが、テルテール画像３１に対して予め演算された誤り検出符号であり、ＲＯＭ４に予め記憶されている。なお、ＣＲＣはCyclic Redundancy Checkの略である。

具体的には、図２に示すように、テルテール画像３１としては、例えばエアバッグ警告画像３１ａ、サイドエアバッグ警告画像３１ｂ、ブレーキ警告画像３１ｃ、ＡＢＳ警告画像３１ｄ、シートベルト非着用警告画像３１ｅなどが記憶されている。ただし、図２に示すテルテール画像３１の数や種類は一例であり、テルテール画像３１は、例えば国土交通省発行の協定規則第１２１号車両の手動操作装置、テルテール及びインジケータの位置及び識別に係る認可に関する統一規定等に準拠したものが用意されている。また、メータ画像３２としては、例えばメータ針３２ａやメータ目盛り３２ｂなどの画像がＲＯＭ４に記憶されている。

これらの画像は、映像処理部１１によって処理される。具体的には、映像処理部１１は、制御部１０からの指令を受けて、記憶部に記憶されているテルテール画像３１やメータ画像３２を読み出した後、ＲＡＭ３上に設定されている描画領域にテルテール映像２１やメータ映像２２として描画する。本実施形態では、ＲＯＭ４に記憶されていて、映像を生成するためのパーツとなるものを画像と称し、それらのパーツをメータディスプレイ６に表示するために大きさや位置を調整して描画領域に再描画したものを映像と称している。

描画領域に描画されたテルテール映像２１とメータ映像２２は、映像出力部１２によってメータディスプレイ６に対して出力される。具体的には、映像出力部１２は、制御部１０からの指令を受けて、ＲＡＭ３上の描画領域に描画されたテルテール映像２１とメータ映像２２を読み出し、それらを合成した合成映像を生成してメータディスプレイ６に対して出力する。

この合成映像は、映像信号に変換された後、映像ケーブル１７を介してメータディスプレイ６に送信されて表示される。つまり、映像出力部１２から出力される合成映像は、車両用装置１において最も後段側で処理されることになる。そして、後述するように、ＣＲＣ演算部１３は、この合成映像に対してＣＲＣ演算を実施する。以下、映像出力部１２から出力される合成映像を、単に映像出力部１２から出力される映像とも称する。

なお、これら映像処理部１１および映像出力部１２は、本実施形態ではＳｏＣ２が内蔵しているＧＰＵやＩＰＵを利用しているが、映像処理部１１と映像出力部１２とを同一モジュールで構成とすることもできる。なお、ＧＰＵはGraphics Processing Unitの略であり、ＩＰＵはImage Processing Unitの略である。

ＣＲＣ演算部１３は、入力されたデータに対してＣＲＣ演算を実施するものであり、本実施形態に関連して、映像出力部１２から出力された映像、すなわち、映像出力部１２が合成した合成画像に対するＣＲＣ演算も実施する。このＣＲＣ演算部１３は、誤り検出符号を演算する演算部を構成している。

通信部１４は、ＳｏＣ２と外部の装置との間の通信を行う。本実施形態の場合、通信部１４は、車載ネットワーク１８を介してＥＣＵ５から、図１にＳＴＳとして示す車両ステータスを受信可能な構成となっている。この車両ステータスは、車両の状態を特定可能な情報を含むものであり、テルテールを点灯するか否かを示すテルテール情報２０や、車両の速度やエンジン回転数などのメータディスプレイ６への表示に必要となる情報が含まれている。また、車両ステータスは、制御部１０の処理によってＲＡＭ３に記憶される。

ただし、通信部１４は、車両ステータスを必要な間隔で通信可能な帯域を有するものであればその構成は問わず、例えばＣＡＮ、ＬＩＮなどの調歩同期式通信を採用することができる。また、ＳｏＣ２に外付けでＣＡＮやＬＩＮ用の通信回路を接続し、その間をＳＰＩ、Ｉ２Ｃ、ＲＳ２３２Ｃなどの通信方式で接続する構成とすることもできる。なお、ＣＡＮはController Area Networkの略であり、ＬＩＮはLocal Interconnect Networkの略であり、ＳＰＩはSerial Peripheral Interfaceの略であり、Ｉ２ＣはInter-Integrated Circuitの略である。

ＥＣＵ５は、車両の機能に関する各種の制御を行うものであり、図１には説明の簡略化のために１つのみ示しているが、実際には複数個が車両に搭載されている。ＥＣＵ５としては、例えばエアバッグ制御用、エンジン制御用、ブレーキ制御用、パワーステアリング制御用、充電制御用、トランスミッション制御用などがある。本実施形態の場合、ＥＣＵ５は、テルテールを点灯すべき車両の状態であるか否かを特定できる車両ステータスを取得して車両用装置１に送信可能に構成されている。

メータディスプレイ６は、例えば液晶表示器や有機ＥＬ表示器で構成されており、インスツルメンツパネルの概ね運転者の正面となる位置に設けられている。メータディスプレイ６は、車両用装置１と映像ケーブル１７で接続されており、車両用装置１の映像出力部１２から出力された映像が表示される。以下、テルテール映像２１やメータ映像２２を合成して出力される合成映像においては、つまりは、メータディスプレイに表示される映像においては、単にテルテールとも称する。

このメータディスプレイ６には、図３に示すように、速度メータ４０や現在時刻４１、エアバッグやブレーキといった車両機能の故障を警告したりシートベルト非着用を警告したりする複数のテルテールが表示される。なお、図３は一例であり、回転数メータや他の情報が表示される構成であってもよい。

表示されるテルテールは、表示領域（Ｒ）内の予め定められている位置に、テルテールの種類ごとに予め定められた所定の位置に、警告用に定められている所定以上の大きさ且つ所定の色でフルグラフィックス表示される。図３の場合、表示領域（Ｒ）には８個の表示位置Ｈ１～表示位置Ｈ８が設定されており、各表示位置には個別のテルテールが予め割り当てられている。そして、各テルテールは、車両の状態に応じて予め設定された表示態様となるように点灯状態または消灯状態が設定される。なお、テルテールを表示する位置や数は一例である。

例えば、図３に示す表示例：警告なしでは、テルテールを点灯すべき不具合が検知されておらず警告が不要であることから、各表示位置においてテルテールは消灯状態になっている。一方、図３に示す表示例：警告ありでは、エアバッグおよびサイドエアバッグに不具合が検出されており、それらを警告する必要があることから、エアバッグの不具合を警告するテルテール映像２１ａが予め定められている例えば表示位置（Ｈ１）に点灯状態で表示され、サイドエアバッグの不具合を警告するテルテール映像２１ｂが予め割り当てられている例えば表示位置（Ｈ２）に点灯状態で表示されている。

ここで、点灯状態とは、警告用に定められている色や大きさでテルテールがメータディスプレイ６に表示されている状態を意味し、消灯状態とは、テルテールをメータディスプレイ６に表示しない状態、および、点灯状態とは異なる態様でメータディスプレイ６に表示されている状態を含んでいる。より平易に言えば、点灯状態とは警告をするために法規等により予め定められた表示態様で表示されている状態であり、消灯状態とは、非警告表示すなわち警告表示とは異なる表示態様で表示されている状態を意味している。

そのため、例えばテルテールが表示される位置を把握できる程度に例えば外縁だけがうっすらと表示されている状態や、警告用に定められている色とは異なる例えば薄い白やグレーなどの色で表示されている状態、あるいは、不具合が生じていないことを示す色で表示されている状態も消灯状態に含まれる。また、このようにテルテールを消灯状態で表示する場合には、点灯状態のテルテール画像３１と消灯状態のテルテール画像３１とを予めＲＯＭ４に記憶しておき、車両の状態に応じて選択することで実現できる。

そして、ＲＯＭ４に記憶されているテルテール画像３１に対しては、予めＣＲＣ演算により誤り検出符号が求められ、ＣＲＣマスタ３０としてＲＯＭ４に記憶されている。本実施形態の場合、ＲＯＭ４には、図４に示すように個別のテルテール画像３１に対して予め演算された誤り検出符号である複数のＣＲＣマスタ３０が記憶されている。なお、テルテール画像３１は例えば開発用コンピュータで生成されてＲＯＭ４に記憶されることになるが、ＣＲＣマスタ３０は、ＲＯＭ４に記憶される前のテルテール画像３１に対して予め演算されたものである。

このＣＲＣマスタ３０には、例えばエアバッグ警告画像３１ａに対して演算されたＣＲＣマスタ３０ａ、サイドエアバッグ警告画像３１ｂに対して演算されたＣＲＣマスタ３０ｂ、ブレーキ警告画像３１ｃに対して演算されたＣＲＣマスタ３０ｃ、ＡＢＳ警告画像３１ｄに対して演算されたＣＲＣマスタ３０ｄ、シートベルト非着用警告画像３１ｅに対して演算されたＣＲＣマスタ３０ｅなどが記憶されている。

これらのＣＲＣマスタ３０は、元になるテルテール画像３１にそれぞれ対応付けられた状態で記憶されている。なお、図４には示していないものの、実際には、必要とされる他のテルテール画像３１に対して演算されたＣＲＣマスタ３０も、元になるテルテール画像３１にそれぞれ対応付けられた状態で記憶されている。

そして、実際の車両の状態に対応するＣＲＣマスタ３０と、実際に出力されるテルテール映像２１に対する誤り検出符号とを比較することにより、出力される映像の正しさが検証される。換言すると、ＣＲＣマスタ３０を用いることにより、テルテールが正しく表示されているか否か、および、各テルテールの表示状態が車両ステータスと一致しているか否かを検証することが可能になる。

次に、上記した構成の作用について説明する。
前述のように、エアバッグやブレーキ等の車両機能の故障やシートベルト非着用などを警告するテルテールをフルグラフィックス表示する場合には、例えば国際規格ＩＳＯ２６２６２に適合したいわゆる機能安全を実現できるように、発生し得る不具合による影響を回避あるいは軽減するための安全目標が設定される。

このＩＳＯ２６２６２では不具合つまりはハザードを評価する指標としてＡＳＩＬが提案されている。ＡＳＩＬでは、過酷度、ハザードの発生頻度、回避可能性等に基づいてクラス分けがなされており、各クラスに見合った設計レベルでの開発が要求されている。なお、ＡＳＩＬは、（Automotive Safety Integrity Level）の略である。

そして、車両用装置１には、安全目標を達成できる設計になっていることが求められている。具体的には、本実施形態の車両用装置１に用いられているＳｏＣ２は、必要とされるＡＳＩＬのクラスに対応したデバイスが選定されている。以下、安全目標をＳＧ(Safety Goal)と称し、ＳＧを達成できている状態をＳＧ非侵害、ＳＧを達成できてない状態をＳＧ侵害と称する。

ここで、ＳＧの例としては、本実施形態のようにテルテールをフルグラフィックス表示する場合であれば、例えば「車両機能が故障により作動しない場合には、乗員がその不作動を認識できるようにテルテールを点灯して告知する」ことが挙げられる。この場合、ＳＧ侵害となる状態の例としては、速度メータ等が表示されていてメータディスプレイ６の表示が正常に動作しているように見えているものの、テルテールが点灯状態となるべき時に消灯状態になっている状態や、テルテールが消灯状態となるべき時に点灯状態になっている状態が挙げられる。

しかし、車両用装置１から映像を出力する場合、正しい処理を正しい順序で実行したとしても、その実行結果に基づいて生成された映像が必ずしも正しいものになっていない状況が想定される。換言すると、ノイズの影響を受ける可能性があると一般的に考えられている映像ケーブル１７等の伝送経路に映像を出力する前の時点で、映像に誤りが発生している状況が想定される。

具体的には、車両用装置１は、生成する映像の元になる画像をＲＯＭ４に記憶しており、その画像に基づいて映像を生成および出力する。このとき、仮に元になる画像が例えばソフトエラーによって破損してしまった場合には、正しい処理を正しい順序で実行したとしても、破損した画像に基づいた映像が生成されることになる。すなわち、実行結果に基づいて生成された映像が正しいものになっていない状況が発生することになる。

その結果、例えばテルテールを点灯状態で表示すべき状況であるにも関わらず表示されなかったり、テルテールを表示すべきでない状況であるにも関わらず表示されてしまったり、表示すべきテルテールとは異なるテルテールが表示されてしまったりするなどのＳＧ侵害が発生し得る。

そこで、車両用装置１は、図５に示す表示処理と図６に示す映像誤り検出処理とを実行することにより、自身が出力する映像におけるＳＧ侵害となり得る誤りを検出している。なお、以下に説明する各処理は制御部１０や制御部１０、映像処理部１１、映像出力部１２、ＣＲＣ演算部１３、通信部１４によって実行されるものの、説明の簡略化のために、ここでは車両用装置１を主体にして説明する。

車両用装置１は、図５に示す表示処理において、まずＥＣＵ５から車両ステータスを取得し（Ｓ１０１）、取得した車両ステータスに含まれているテルテール情報２０をＲＡＭ３に記憶する（Ｓ１０２）。このとき、車両用装置１は、メータ映像２２を生成するために車速やエンジン回転数などの車両情報も車両ステータスから取得して記憶している。これらの処理は、制御部１０および通信部１４によって行われる。

続いて、車両用装置１は、テルテール情報２０に基づいて、ＲＯＭ４からテルテール画像３１を読み出し（Ｓ１０３）、ＲＡＭ３上にテルテール映像２１を生成する（Ｓ１０４）。このとき、車両用装置１内では、制御部１０から映像処理部１１に対してテルテール映像２１を生成する指示が与えられ、指示を受け取った映像処理部１１がＲＯＭ４からテルテール画像３１を読み出し、テルテール情報２０に基づいて各テルテールの点灯状態または消灯状態を設定し、ＲＡＭ３上の描画領域に所定の大きさ且つ所定の色で描画することでテルテール映像２１が生成される。

なお、ＲＡＭ３上には、メータ映像２２を描画するための描画領域やメータ映像２２を描画するための描画領域が、いわゆるレイヤー構造のように個別に設けられている。また、ステップＳ１０３、Ｓ１０４の処理と、後述するステップＳ１０５、Ｓ１０６の処理とは順不同あるいは同時に指示することができる。

また、車両用装置１は、車両情報に基づいて、ＲＯＭ４からメータ画像３２を読み出して（Ｓ１０５）、ＲＡＭ３上にメータ映像２２を生成する（Ｓ１０６）。このとき、車両用装置１内では、制御部１０から映像処理部１１に対してメータ映像２２を生成する指示が与えられ、指示を受け取った映像処理部１１がＲＯＭ４からメータ針３２ａやメータ目盛り３２ｂの画像を読み出して、車両情報に基づいて針の向きなどを設定して、ＲＡＭ３上の描画領域に描画することでメータ映像２２が生成される。

続いて、車両用装置１は、各映像を合成して合成映像を生成し（Ｓ１０７）、表示装置に対して出力するとともに（Ｓ１０８）、合成映像に対してＣＲＣ演算を実施する（Ｓ１０９）。以下、映像出力部１２から出力された映像に対してＣＲＣ演算部１３により演算された誤り検出符号を、便宜的にＨＷ－ＣＲＣと称する。なお、ＨＷはhardwareの略である。

このとき、車両用装置１は、合成映像のうちテルテール映像２１が表示されている領域に対してＣＲＣ演算を実施する。つまり、車両用装置１は、メータディスプレイ６に例えば速度メータ等の他の情報が表示される場合において、誤り検出の対象となる範囲を絞り込んでいる。

そして、車両用装置１は、映像誤り検出処理を実施する（Ｓ１１０）。この映像誤り検出処理は、映像誤り検出部１６によって実行される。なお、本実施形態では、車両用装置１のハードウェア設計がそもそも高品質であることに加えて、ソフトエラーに起因する不具合が現実的に発生する確率が稀であることに鑑みて、映像を表示することを優先し、その後に映像誤り検出処理を実施することで映像の検証を行っている。ただし、まず合成映像に対して映像誤り検出処理を実施してその正しさを検証した後、検証された状態の合成映像を出力する構成とすることもできる。

車両用装置１は、図６に示す映像誤り検出処理において、ＲＯＭ４のテルテール画像３１に対してＣＲＣ演算を実施する（Ｓ２０１）。このとき、車両用装置１は、テルテール情報２０に基づいて必要なテルテール画像３１を特定し、特定したテルテール画像３１をＲＯＭ４から読み出してＣＲＣ演算を実施する。つまり、本実施形態では、誤りを検出する際の基準となる誤り検出符号を、ＲＡＭ３に記憶するのではなく、予めＲＯＭ４に記憶している。以下、ＲＯＭ４から読み出したテルテール画像３１に対してＣＲＣ演算部１３により演算された誤り検出符号を、便宜的にＳＷ－ＣＲＣと称する。なお、ＳＷはSoftwareの略である。

そして、車両用装置１は、取得したＳＷ－ＣＲＣを対応する画像用のＣＲＣマスタ３０と比較し、両者が一致するか否かを判定する（Ｓ２０２）。つまり、車両用装置１は、ＳＷ－ＣＲＣと、そのＳＷ－ＣＲＣを演算したテルテール画像３１に対応付けられているＣＲＣマスタ３０をＲＯＭ４から読み出して、両者を比較している。このようにＳＷ－ＣＲＣとＣＲＣマスタ３０とを比較することにより、ＲＯＭ４から読み出されたテルテール画像３１、および、ＣＲＣマスタ３０の双方の正しさを検証することができる。

すなわち、ＳＷ－ＣＲＣとＣＲＣマスタ３０とが一致すれば、ＲＯＭ４に記憶されているテルテール画像３１とＣＲＣマスタ３０とが正しいものであること、つまりは、それらを用いたテルテール映像２１の検証結果の信頼性が担保される。

一方、ＳＷ－ＣＲＣとＣＲＣマスタ３０とが一致しなければ、テルテール画像３１またはＣＲＣマスタ３０のうち少なくとも一方に誤りがあること、つまりは、生成されたテルテール映像２１の正しさを検証できない状態であることを把握できる。この場合、例えばテルテール映像２１に誤りは無く、ＣＲＣマスタ３０が誤っており、生成されたテルテール映像２１が正しい場合も想定されるものの、その正しさを検証することができないことから、車両用装置１はＳＧ侵害と判定している。

そのため、車両用装置１は、ＳＷ－ＣＲＣとＣＲＣマスタ３０とが一致しない場合には（Ｓ２０２：ＮＯ）、ＳＧ侵害と判定して（Ｓ２０５）、表示態様を安全サイドに移行する（Ｓ２０６）。本実施形態では、車両用装置１は、自身をリセットすることにより、または、メータディスプレイ６への映像の出力を停止することにより、表示態様を安全サイドに移行する。つまり、車両用装置１は、誤ったテルテールの表示が行われないようにすることで、ＳＧ侵害を回避している。

なお、車両用装置１がリセットされた場合や映像の出力が停止された場合、メータディスプレイ６に何も表示されない状態になるものの、その状態は明らかに何らかの故障や異常が発生した状態出ることを把握でき、停車する等の対応を取ることができるようになる。この場合、誤った映像がわずかに表示されたとしても、その表示が継続されること、つまりは、誤った映像が表示され続けることを抑制する構成も含まれる。

つまり、本実施形態では、例えばエアバッグに異常が発生しているにも関わらすその不具合が警告されないといったＳＧ侵害の状態に比べれば、メータディスプレイ６に何も表示されない状態のほうがより安全サイドになるという考え方に基づいている。ただし、この安全サイドに移行する構成は一例であり、ＳＧ侵害の状態を抑制できるのであれば、他の構成とすることができる。

これに対して、車両用装置１は、ＳＷ－ＣＲＣとＣＲＣマスタ３０とが一致する場合には（Ｓ２０２：ＹＥＳ）、テルテール情報２０に基づいて、正しさが検証されたＣＲＣマスタ３０と取得したＨＷ－ＣＲＣとを比較し（Ｓ２０３）、ＣＲＣマスタ３０とＳＷ－ＣＲＣとが一致するかを判定する（Ｓ２０４）。なお、図示は省略するが、このとき、車両用装置１は、各テルテールについてそれぞれＣＲＣマスタ３０とＳＷ－ＣＲＣとを比較することで、出力される映像の表示内容と車両の状態とを比較している。つまり、車両用装置１は、出力される映像の表示内容と車両の状態とが一致しない誤りを検出している。

そして、車両用装置１は、いずれかのテルテールについて比較結果が一致しなかった場合には（Ｓ２０４：ＮＯ）、ＳＧ侵害と判定して（Ｓ２０５）、表示態様を安全サイドに移行する（Ｓ２０６）。これは、比較結果が一致しないのは、例えばＲＡＭ３に格納されたテルテール画像３１が破損し、その破損したテルテール画像３１に基づいて生成されたことによってテルテール映像２１が誤っている状態、あるいは、テルテールが車両ステータスに沿った状態で表示されていない状態になっていると考えられるためである。

なお、ＲＯＭ４に記憶されているテルテール画像３１が破損した場合には、破損した画像に基づいて生成される映像のＨＷ－ＣＲＣがＣＲＣマスタ３０と一致しなくなるため、同様に映像の誤りを検出することができる。つまり、出力される映像におけるテルテールの表示態様と車両の状態とを比較することによっても誤りを検出することができる。

一方、車両用装置１は、各テルテールについて比較結果がそれぞれ一致する場合には（Ｓ２０４：ＹＥＳ）、正しいテルテール映像２１が生成されており、且つ、各テルテールが車両ステータスに沿った状態で表示されていることから、ＳＧ侵害ではないと判定してリターンする。この場合、合成映像がＳＧを満たした状態となっていることが担保されることになる。

そして、映像誤り処理からリターンすると、車両用装置１は、図５に示すように表示処理を終了する。なお、ここでは説明のために処理を終了する流れを示しているが、実際には、所定の映像更新タイミングになったことや車両ステータスが取得されたことに基づいて表示処理が繰り返される、あるいは、次の更新を待機することになる。

このように、車両用装置１は、映像出力部１２から出力される合成映像、すなわち、自身において最も後段側で処理されるデータに対して映像誤り検出処理を実施することにより、ＳＧ侵害になり得る誤りを検出するとともに、自身が出力する映像の正しさを検証している。

以上説明した車両用装置１によれば、次のような効果を得ることができる。
車両用装置１は、表示装置への表示に関する処理を実行する制御部１０と、表示装置に表示する映像を生成する映像処理部１１と、映像処理部１１が生成した映像を表示装置に対して出力する映像出力部１２と、映像処理部１１が生成する映像の元になる画像およびその画像に対して予め演算された誤り検出符号を記憶している記憶部と、誤り検出符号を演算する演算部と、映像出力部１２から出力される映像に対して演算される誤り検出符号と記憶部に記憶されている誤り検出符号とを比較することにより、表示装置に対して出力される映像の誤りを検出する映像誤り検出部１６と、を備えている。

これにより、車両用装置１は、自身から出力する映像が元になる画像に基づいて正しく生成されていることを検証でき、映像の誤りを検出することができる。このとき、車両用装置１は、映像出力部１２から出力される合成映像、すなわち、自身において最も後段側で処理されるデータに対して誤り検出を実施することから、自身の内部のいずれにおいて故障が生じたとしても、その故障に基づく映像の誤りを検出することができる。

また、車両用装置１は、元になる画像に対して演算された誤り検出符号を予め記憶部に記憶しており、記憶部に記憶されている誤り検出符号と、映像出力部１２から出力される映像に対して演算された誤り検出符号とを比較することにより、記憶部に記憶されている元になる画像および記憶部に予め記憶されている誤り検出符号の双方の正しさを検証する。

これにより、予め記憶部に記憶されていて、映像の誤りを検出する際の基準となる画像と誤り検出符号との双方について、その正しさを検証することができる。そして、正しいことが検証された誤り検出符号を用いて映像の誤りを検出することにより、検出結果の信頼性をより向上させることができる。

また、誤りを検出する際の基準となる誤り検出符号をＲＯＭ４に記憶していることから、テルテール画像３１に基づいて演算した誤り検出符号をＲＡＭ３に記憶しておく構成と比べて、誤り検出符号そのものが破損することによって映像の誤り検出ができなくなる恐れを低減することができる。

また、車両用装置１は、車両の状態に応じて表示態様が予め定められているテルテールを含む映像の誤りを検出する。これにより、例えば警告表示を行うべき状況であるにも関わらず警告が表示されていない状態、すなわち、ＳＧ侵害になり得る誤りを抑制することができ、車両の安全性および信頼性をより向上させることができる。

また、車両用装置１は、出力される映像におけるテルテールの表示態様と車両の状態とを比較することにより、出力される映像の表示内容と車両の状態とが一致しない誤りを検出する。これにより、単に映像の誤りを検出するのではなく、映像の表示内容が車両の状態に一致していないという誤りを検出することができ、ＳＧ侵害になり得る誤りを抑制することができ、車両の安全性および信頼性をより向上させることができる。

また、車両用装置１は、映像出力部１２から出力される映像において、テルテールが表示される領域に対して演算される誤り検出符号と比較することにより、誤りを検出する。これにより、メータディスプレイ６に例えば速度メータ等の他の情報が表示される場合であっても、誤り検出の対象となる範囲を絞り込むことにより、より高速かつ迅速に処理することができる。

また、車両用装置１は、映像の誤りを検出した場合、誤った映像が表示装置に表示されることを抑制する。これにより、車両機能に不具合が発生しているにも関わらすその不具合が警告されないといったＳＧ侵害の状態になることを抑制できる。この場合、誤った映像がわずかに表示されたとしても、その表示が継続されること、つまりは、誤った映像が表示され続けることを抑制する構成も含んでいる。

（第２実施形態）
以下、第２実施形態について説明する。第２実施形態では、映像の誤りを検出するためのＣＲＣマスタ３０の構成が第１実施形態と異なっている。ただし、車両用装置１の主たる構成および誤りを検出する処理の流れは共通するので、図１から図６も参照しながら説明する。

本実施形態の車両用装置１は、図７に示すように、ＲＯＭ４には、テルテール画像３１用のＣＲＣマスタに加えて、テルテールの表示領域（Ｒ）の全体に対して演算された誤り検出符号であるＣＲＣマスタ３０が記憶されている。以下、表示領域（Ｒ）の全体に対して演算されたＣＲＣマスタ３０を、便宜的に領域用のＣＲＣマスタ３０とも称し、テルテール画像３１に対して演算されたＣＲＣマスタ３０を画像用のＣＲＣマスタ３０とも称する。

本実施形態の場合、図８に示すように、表示領域（Ｒ）には８個のテルテールの表示位置Ｈ１～表示位置Ｈ８が設定されている。このとき、各テルテールは車両の状態に応じて点灯状態または消灯状態が設定されるため、表示領域（Ｒ）における各テルテールの表示態様の組み合わせの数は、２＾８＝２５６個になる。そのため、ＲＯＭ４には、領域用のＣＲＣマスタ３０が２５６個記憶されている。

これらの領域用のＣＲＣマスタ３０は、各表示位置にテルテールが点灯状態または消灯状態で正しく表示されている映像を、その組み合わせの数だけ事前に準備し、準備したそれぞれの映像の表示領域（Ｒ）に対してＣＲＣ演算を実施することによって求められている。

例えば、ＣＲＣマスタ３０ｆは、図８に全消灯として示すように、全ての表示位置（Ｈ１～Ｈ８）のテルテールが消灯状態になっている状態に対応している。なお、図８では、テルテールが点灯状態にあることを、ハッチングにて模式的に示している。同様に、ＣＲＣマスタ３０ｇは、表示位置（Ｈ１）のテルテールが点灯状態であり、他の表示位置（Ｈ２～Ｈ８）が消灯状態となっている状態に対応している。

また、ＣＲＣマスタ３０ｈは、表示位置（Ｈ２）のテルテールが点灯状態であり、他の表示位置（Ｈ１、Ｈ３～Ｈ８）が消灯状態となっている状態に対応している。また、ＣＲＣマスタ３０ｉは、２つの表示位置（Ｈ１、Ｈ２）のテルテールが点灯状態であり、他の表示位置（Ｈ３～Ｈ８）が消灯状態となっている状態に対応している。また、ＣＲＣマスタ３０ｊは、全ての表示位置（Ｈ１～Ｈ８）のテルテールが消灯状態となっている状態に対応している。なお、図７、図８には図示を省略しているが、他の組み合わせの領域用のＣＲＣマスタ３０も記憶されている。

そして、車両用装置１は、映像誤りを検出する際、図６に示すようにステップＳ２０１においてＳＷ－ＣＲＣを取得し、取得したＳＷ－ＣＲＣと対応する画像用のＣＲＣマスタ３０とを比較して（Ｓ２０２）両者が一致した場合には（Ｓ２０２：ＹＥＳ）、出力される合成映像のうち複数の表示位置（Ｈ１～Ｈ８）が含まれている表示領域（Ｒ）全体に対してＣＲＣ演算を行うことで、表示領域（Ｒ）に対するＨＷ－ＣＲＣを取得する。その後、車両用装置１は、ステップＳ２０４において、取得した表示領域（Ｒ）のＨＷ－ＣＲＣとテルテール情報２０に基づいて特定される領域用のＣＲＣマスタ３０とを比較する。

つまり、本実施形態では、車両用装置１は、テルテールの表示状態の誤りを個別に検出するのではなく、表示領域（Ｒ）の表示内容の誤りを一括して検出している。より平易に言えば、車両用装置１は、テルテールそのものの誤りと、テルテール情報２０との不一致つまりは点灯状態および消灯状態の誤りとを、一括して検出している。

このような構成によっても、車両用装置１は、自身から出力する映像が元になる画像に基づいて正しく生成されていることを検証でき、映像の誤りを検出することができるなど、第１実施形態と同様の効果を得ることができる。

また、本実施形態のように表示領域（Ｒ）に対して一括して誤り検出を行うことにより、テルテール映像２１そのものの誤り、ならびに、テルテールの点灯状態および消灯状態の誤りを一括して検出することができ、迅速に誤り検出を実施することができる。

また、表示領域（Ｒ）に対して一括して誤り検出を行う場合であっても、仮にテルテール画像３１またはＣＲＣマスタ３０のうち少なくとも一方に誤りがあっても、生成されたテルテール映像２１と領域用のＣＲＣマスタ３０とを比較することによって最終的には誤りを検出することができる。

（第３実施形態）
以下、第３実施形態について説明する。第３実施形態では、複数の半導体装置を用いている点において第１実施形態と異なっている。ただし、各機能部の構成や誤りを検出する処理の流れは共通するので、それらについては同一符号を付して説明するものとする。

図９に示すように、本実施形態の車両用装置１０１は、第１の半導体装置としてのＳｏＣ１０２と、第２の半導体装置としてのμＣ１０３とを備えている。ＳｏＣ１０２は、基本的には第１実施形態のＳｏＣ２と共通するものの、映像誤り検出部１６は備えていない。また、ＳｏＣに接続されているＲＯＭ４には、ＣＲＣマスタ３０が記憶されていない。このＲＯＭ４は、第１の半導体装置側の記憶部を構成している。

μＣ１０３は、いわゆるマイコンであり、内蔵プロセッサ１１０、内蔵ＲＡＭ１１１、内蔵ＲＯＭ１１２、第１通信部１１３および第２通信部１１４などを備えている。なお、μＣは、マイクロコンピュータの略称である。これらＳｏＣ１０２、μＣ１０３などにより、映像誤り検出システム７が構築されている。

内蔵プロセッサ１１０は、図示しないＣＰＵで構成されており、内蔵ＲＡＭ１１１、内蔵ＲＯＭ１１２、第１通信部１１３および第２通信部１１４と内部バス１１５で接続されている。また、内蔵プロセッサ１１０は、プログラムを実行することにより、映像誤り検出部１６の少なくとも一部の機能をソフトウェアで実現している。なお、映像誤り検出部１６は、第１実施形態と共通する機能を有しており、表示装置に対して出力される映像の誤りを検出するものである。

また、内蔵プロセッサ１１０は、誤りが検出された際にＳｏＣ１０２をリセットするＲＳＴ信号を出力する。このＲＳＴ信号は、例えばＧＰＩＯにより出力する構成等を採用することができる。なお、ＲＳＴはresetの略であり、ＧＰＩＯはGeneral-Purpose Input/Outputの略である。

内蔵ＲＡＭ１１１は、μＣに内蔵された揮発性の記憶装置で実現されており、内蔵プロセッサ１１０が実行する処理に関する各種のデータ、ＥＣＵ５から受信したテルテール情報２０を含む車両ステータス、および、本実施形態に関連してＳｏＣ１０２から受信したＨＷ－ＣＲＣなどを一時的に記憶する。

内蔵ＲＯＭ１１２は、例えばいわゆるＦｌａｓｈＲＯＭ、ｅＭＭＣ、ＵＦＳなどの不揮発性の記憶装置で実現されており、μＣで実行するプログラムや、本実施形態に関連してＣＲＣマスタ３０を記憶している。内蔵ＲＯＭ１１２は、第２の半導体装置側の記憶部を構成する。

第１通信部１１３は、μＣ１０３とＳｏＣ１０２との間の通信を行うものである。この第１通信部１１３は、内蔵プロセッサ１１０からの指令を受けて、車両ステータスのＳｏＣ１０２への伝送や、ＳｏＣ１０２からのＨＷ－ＣＲＣの受信を行う。なお、第１通信部１１３は、車両ステータスやＨＷ－ＣＲＣを必要な間隔で通信可能な帯域があれば、使用される通信方式は問わないが、例えばＣＡＮ、ＬＩＮ、ＳＰＩ、Ｉ２Ｃ、ＲＳ２３２Ｃなどの通信方式を採用することができる。

第２通信部１１４は、車載ネットワーク１８を介してＥＣＵ５との間で通信を行うものである。なお、第２通信部１１４は、車両ステータスを必要な間隔で通信可能な帯域を有するものであればその構成は問わず、例えばＣＡＮ、ＬＩＮ、ＳＰＩ、Ｉ２Ｃ、ＲＳ２３２Ｃなどの通信方式を採用することができる。つまり、本実施形態では、車両用装置１０１に予め搭載されている通信用の半導体装置を利用する構成としている。これにより、ハードウェア構成が過度に複雑化することを抑制できる。

ここで、ＳｏＣ１０２とμＣ１０３とを設ける技術的意義について説明する。前述のように、ＩＳＯ２６２６２ではハザードを評価する指標としてＡＳＩＬが提案されており、そのＡＳＩＬのクラスに適合するための設計レベルによる開発が要求されている。そして、第１実施形態では、表示装置に出力される映像についてＳＧを満たすために、ＡＳＩＬのクラスに対応したデバイスをＳｏＣ１０２に選定している。

しかし、ＳｏＣ１０２のように画像処理用の機能部やＣＲＣ演算用の機能部を内蔵している半導体装置は、その種類が比較的限定されるとともに、ＡＳＩＬに対応したデバイスになるとその選択肢がさらに限定されてしまう。また、選択肢が限定されるということは、コストの上昇を招くことになる。

その一方で、μＣ１０３のように画像処理に関する機能部やＣＲＣ演算に関する機能部を備えておらず、機能がある程度限定されているデバイスは、要求されるＡＳＩＬのクラスに対応したものであっても、ＳｏＣ１０２に比べるとその種類が豊富であり、選択肢が多く、且つ、ＳｏＣ１０２に比べて比較的安価であることが多くなっている。

そこで、本実施形態では、μＣ１０３については要求されるＡＳＩＬのクラス、例えばＡＳＩＬ－Ｂに対応したものを採用し、ＳＧを達成するための主たる機能部分をμＣ１０３が担当する構成とすることにより、ＳｏＣ１０２単体については要求されるクラスに対して低いＡＳＩＬ－Ａ未満のクラスのものであっても、車両用装置１０１全体としてＳＧを達成できる構成としている。

具体的には、本実施形態の車両用装置１０１は、ＳｏＣ１０２とμＣ１０３とを通信可能に接続するとともに、制御部１０、映像処理部１１、映像出力部１２および演算部をＳｏＣ１０２に設け、映像誤り検出部１６をμＣ１０３に設けている。そして、車両用装置１０１は、ＳｏＣ１０２とμＣ１０３とを連携して作動させることにより、映像の誤りを検出している。

映像の誤りを検出する処理の全体的な流れは第１実施形態と共通するため詳細な説明は省略するが、車両用装置１０１では、μＣ１０３がＥＣＵ５から車両ステータスを受信すると、ＳｏＣ１０２への送信に適した形にデータ列を変更し、第１通信部１１３を介してデータ列をＳｏＣ１０２に送信するとともに、ＣＲＣマスタ３０との比較に備えて車両ステータスを内蔵ＲＡＭ１１１に記憶する。

ＳｏＣ１０２は、データ列を受信すると、図５に示す表示処理を実行し、データ列から車両ステータスを取得し（Ｓ１０１）、テルテール情報２０を含む車両ステータスをＲＡＭ３に記憶する（Ｓ１０２）。そして、ＳｏＣ１０２は、テルテール画像３１を読み出してテルテール映像２１を生成するとともに（Ｓ１０３、Ｓ１０４）、メータ画像３２を読み出してメータ映像２２を生成する（Ｓ１０５、Ｓ１０６）。

続いて、ＳｏＣ１０２は、各映像を合成し（Ｓ１０７）、合成映像を出力し（Ｓ１０８）、合成映像に対してＣＲＣ演算を実施してＨＷ－ＣＲＣを取得した後に（Ｓ１０９）、映像誤り検出処理を実行する（Ｓ１１０）。なお、映像誤り検出処理を先に実行し、正しいことが検証された合成映像を出力する処理の流れとすることができる。

ＳｏＣ１０２は、図６に示す映像誤り検出処理を実行し、ＲＯＭ４のテルテール画像３１に対してＣＲＣ演算を実施して、ＳＷ－ＣＲＣを取得する（Ｓ２０１）。

ＳＷ－ＣＲＣを取得すると、Ｓｏｃ１０２は、ＳＷ－ＣＲＣと対応するＣＲＣマスタ３０と比較して両者が一致するか否かを判定する（Ｓ２０２）。このようにＳＷ－ＣＲＣとＣＲＣマスタ３０とを比較することにより、ＲＯＭ４から読み出されたテルテール画像３１、および、内蔵ＲＯＭ１１２に記憶されているＣＲＣマスタ３０の双方の正しさを検証でき、それらを用いたテルテール映像２１の検証結果の信頼性が担保される。

そして、仮にＳＷ－ＣＲＣとＣＲＣマスタ３０とが一致しなければ、テルテール画像３１またはＣＲＣマスタ３０のうち少なくとも一方に誤りがあること、つまりは、生成されたテルテール映像２１の正しさを検証できない状態であることを把握できる。

そのため、ＳｏＣ１０２は、ＳＷ－ＣＲＣとＣＲＣマスタ３０とが一致しない場合には（Ｓ２０２：ＮＯ）、ＳＧ侵害と判定して（Ｓ２０５）、表示態様を安全サイドに移行する（Ｓ２０６）。

この場合、ＳｏＣ１０２は、第１実施形態と同様に自身をリセットしたりメータディスプレイ６への映像の出力の停止を指示したりすることによって表示態様を安全サイドに移行する構成とすることができる。これにより、誤ったテルテールの表示が行われないようにすることが可能となり、ＳＧ侵害を回避することができる。ただし、この安全サイドに移行する構成は一例であり、ＳＧ侵害の状態を抑制できるのであれば、他の構成とすることができる。

一方、ＳｏＣ１０２は、ＳＷ－ＣＲＣとＣＲＣマスタ３０とが一致する場合には（Ｓ２０２：ＹＥＳ）、ステップＳ１０９で取得したＨＷ－ＣＲＣをμＣ１０３に送信して、正しさが検証されたＣＲＣマスタ３０とＨＷ－ＣＲＣとの比較をμＣ１０３に実施させる。そして、μＣ１０３は、ＣＲＣマスタ３０と受信したＨＷ－ＣＲＣとをテルテール情報２０に基づいて比較し（Ｓ２０３）、ＣＲＣマスタ３０とＳＷ－ＣＲＣとが一致するかを判定する（Ｓ２０４）。このとき、μＣ１０３は、第１実施形態で説明したように個別のテルテール画像３１に対して予め演算された画像用のＣＲＣマスタ３０と一致するか否かを判定したり、第２実施形態で説明したように表示領域（Ｒ）に対して予め演算された領域用のＣＲＣマスタ３０と一致するか否かを判定したりすることができる。

そして、μＣ１０３は、いずれかのテルテールについて比較結果が一致しなかった場合には（Ｓ２０４：ＮＯ）、ＳＧ侵害と判定して（Ｓ２０５）、表示態様を安全サイドに移行する（Ｓ２０６）。これは、比較結果が一致しないのは、例えばＲＡＭ３に格納されたテルテール画像３１が破損し、その破損したテルテール画像３１に基づいて生成されたことによってテルテール映像２１が誤っている状態、あるいは、テルテールが車両ステータスに沿った状態で表示されていない状態になっていると考えられるためである。本実施形態では、μＣ１０３は、ＳｏＣ１０２に対してＲＳＴ信号を出力することにより、ＳｏＣ１０２をリセットしてメータディスプレイ６への表示を停止させることにより、表示態様を安全サイドに移行している。

なお、ＲＯＭ４に記憶されているテルテール画像３１が破損した場合には、破損した画像に基づいて生成される映像のＨＷ－ＣＲＣがＣＲＣマスタ３０と一致しなくなるため、同様に映像の誤りを検出することができる。つまり、出力される映像におけるテルテールの表示態様と車両の状態とを比較することによっても誤りを検出することができる。

一方、μＣ１０３は、各テルテールについて比較結果がそれぞれ一致する場合には（Ｓ２０４：ＹＥＳ）、正しいテルテール映像２１が生成されており、且つ、各テルテールが車両ステータスに沿った状態で表示されていることから、ＳＧ侵害ではないと判定してリターンする。この場合、合成映像がＳＧを満たした状態となっていることが担保されることになる。

映像誤り処理からリターンすると、つまりは、ＳＧ侵害ではない状態になっていると、ＳｏＣ１０２は、図５に示すように表示処理を終了する。なお、ここでは説明のために処理を終了する流れを示しているが、実際には、所定の映像更新タイミングになったことや車両ステータスが取得されたことに基づいて表示処理が繰り返される、あるいは、次の更新を待機することになる。

このように、車両用装置１０１では、ＳｏＣ１０２とμＣ１０３とを設け、それらを連携して作動させることにより、自身において最も後段側で処理されることになる映像出力部１２から出力される合成映像に対して映像誤り検出処理を実施し、ＳＧ侵害になり得る誤りを検出するとともに車両用装置１０１から出力する映像の正しさを検証している。

以上説明した車両用装置１０１によれば、次のような効果を得ることができる。
車両用装置１０１は、第１の半導体装置としてのＳｏＣ１０２と、第１の半導体装置よりも機能が限定されている第２の半導体装置としてのμＣ１０３とを備えている。そして、車両用装置１０１は、第１の半導体装置と第２の半導体装置とを通信可能に接続し、制御部１０、映像処理部１１、映像出力部１２および演算部を第１の半導体装置に設け、映像誤り検出部１６の少なくとも一部の機能を第２の半導体装置に設けるとともに、第１の半導体装置と第２の半導体装置とを連携して作動させることにより映像の誤りを検出する。

このような構成とすることにより、車両用装置１０１全体としてＳＧを達成できる構成としつつも、映像を処理するために相対的に高機能にならざるを得ないＳｏＣ１０２について選択肢を広げることができる。また、選択肢が広がることから、相対的に安価なものを使用することが可能となる。

一方、μＣ１０３については、機能がある程度限定されていることから、要求されるＡＳＩＬのクラスに対応したものであっても、ＳｏＣ１０２に比べて種類が豊富であり、選択肢が多く、且つ、ＳｏＣ１０２に比べて比較的安価なものを採用することができる。
したがって、車両用装置１０１全体としてＳＧを達成できるとともに、コストが過度に増加することを抑制できる。

また、本実施形態の車両用装置１０１によっても、自身から出力する映像が元になる画像に基づいて正しく生成されていることを検証でき、映像の誤りを検出することができるなど、第１実施形態と同様の効果を得ることができる。

また、本実施形態の車両用装置１０１によっても、表示領域（Ｒ）に対して一括して誤り検出を行う構成とすることにより、テルテール映像２１そのものの誤りとテルテールの点灯状態および消灯状態の誤りとを一括して検出することができ、誤り検出を迅速に行うことができるなど、第２実施形態と同様の効果を得ることができる。

また、実施形態では、ＳｏＣ１０２側でＳＷ－ＣＲＣの演算とＣＲＣマスタ３０との比較を行う構成を例示したが、μＣ１０３側でそれらの処理を行う構成とすることができる。つまり、μＣ１０３に、映像誤り検出部１６の機能のうち、実施形態で例示したＨＷ－ＣＲＣと比較する以外の機能、または、全部の機能を設ける構成とすることができる。その場合、μＣ１０３からＳｏＣ１０２に対してＣＲＣ演算や比較の実施を指示し、その演算結果や比較結果を受け取る構成とすることができる。あるいは、μＣ１０３からＣＲＣ演算部１３を利用可能に構成し、μＣ１０３がＣＲＣ演算部１３に対してＳＷ－ＣＲＣの演算を実行させる構成とすることもできる。

また、上記した各実施形態の構成は、例えば以下のように変形、拡張あるいは組み合わせることができる。
実施形態では１つの表示領域（Ｒ）が設定されている構成を例示したが、複数の表示領域が設定されている構成に適用することもできる。その場合、実施形態と同様に各表示領域に対して演算した誤り検出符号と比較することにより映像の誤りを検出する構成とすることができる。また、個別の表示位置に対して誤り検出符号を演算した誤り検出符号と比較する処理を例えばテルテールの数分繰り返して映像の誤りを検出する構成とすることができる。

また、複数の表示領域を対象として予めマスタとなる誤り検出符号を求めてＲＯＭ４に記憶しておき、出力される映像の複数の表示領域に対して演算した誤り検出符号と比較することにより映像の誤りを検出する構成とすることができる。

実施形態ではメータディスプレイ６への表示に対する映像誤りを検出する構成に適用した例を示したが、例えばナビゲーション画面を表示する他のディスプレイへの表示に対する映像誤りを検出する構成に適用することができる。また、例えばテルテール専用のディスプレイへの表示に対する映像誤りを検出する構成に適用することもできる。

実施形態では誤り検出符号の演算にＣＲＣ演算を用いる構成を例示したが、入力されたデータの同一性を確認することができるものであれば、例えばＭＤ５、ＳＨＡ－１、ＳＨＡ－２などの他の手法を用いることができる。演算部は、実施形態で例示したＣＲＣ演算部１３に限らず、誤り検出符号を演算可能な他の構成とすることができる。なお、ＭＤ５は、Message Digest algorithm 5の略であり、ＳＨＡはSecure Hash Algorithmの略である。

実施形態では一回の誤り検出結果に基づいてＳＧ侵害を判定する処理の流れを例示したが、冗長化として複数回の検出結果に基づいてＳＧ侵害を判定する処理の流れとすることができる。

実施形態では主としてソフトアエラーについて説明したが、システマティック故障の検出に利用することができる。すなわち、例えば誤ったテルテール画像３１がＲＯＭ４に記憶されていた場合やテルテール画像３１そのものに誤りがあった場合には、誤ったＨＷ－ＣＲＣが常に演算されることになることから、ＲＯＭ４に誤って別の画像や破損した画像を記憶したなどのシステマティック故障を検出することができる。

本開示は、実施例に準拠して記述されたが、本開示は当該実施例や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、さらには、それらに一要素のみ、それ以上、あるいはそれ以下、を含む他の組み合わせや形態をも、本開示の範疇や思想範囲に含まれるものである。

本開示に記載の制御部及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリを構成することによって提供された専用コンピュータにより、実現されてもよい。あるいは、本開示に記載の制御部及びその手法は、一つ以上の専用ハードウェア論理回路によってプロセッサを構成することによって提供された専用コンピュータにより、実現されてもよい。もしくは、本開示に記載の制御部及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリと一つ以上のハードウェア論理回路によって構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されていてもよい。

図面中、１は車両用装置、２はＳｏＣ、４はＲＯＭ（記憶部）、６はメータディスプレイ（表示装置）、１０は制御部、１１は映像処理部、１２は映像出力部、１３はＣＲＣ演算部、１６は映像誤り検出部、２１はテルテール映像、３１はテルテール画像、３３はＣＲＣマスタ（誤り検出符号）、１０１は車両用装置、１０２はＳｏＣ（第１の半導体装置）、１０３はμＣ（第２の半導体装置）、１１２は内蔵ＲＯＭ（記憶部）を示す。

Claims (7)

1. 表示装置（６）への表示に関する処理を実行する制御部（１０）と、
   前記表示装置に表示する映像を生成する映像処理部（１１）と、
   前記映像処理部が生成した映像を前記表示装置に対して出力する映像出力部（１２）と、
   前記映像処理部が生成する映像の元になる画像、および、当該画像に対して予め演算されている誤り検出符号（３０）を記憶している記憶部（４）と、
   誤り検出符号を演算する演算部（１３）と、
   前記映像出力部から出力される映像に対して演算される誤り検出符号と、前記記憶部に記憶されている誤り検出符号（３０）と、を比較することにより、前記表示装置に対して出力される映像の誤りを検出する映像誤り検出部（１６）と、
   を備える車両用装置。
2. 前記映像誤り検出部は、前記記憶部に記憶されている画像に対して演算した誤り検出符号と、前記記憶部に記憶されている誤り検出符号とを比較することにより、記憶部に記憶されている画像および誤り検出符号の双方の正しさを検証する請求項１記載の車両用装置。
3. 前記映像誤り検出部は、車両の状態に応じて表示態様が予め定められているテルテールを含む映像の誤りを検出する請求項１または２記載の車両用装置。
4. 前記映像誤り検出部は、出力される映像の表示内容と車両の状態とが一致しない誤りを検出する請求項１から３のいずれか一項記載の車両用装置。
5. 前記映像誤り検出部は、前記映像出力部から出力される映像において、テルテールが表示される領域に対して演算される誤り検出符号と比較することにより、誤りを検出する請求項３または４記載の車両用装置。
6. 第１の半導体装置（１０２）と、
   前記第１の半導体装置よりも機能が限定されている第２の半導体装置（１０２）と、を備え、
   前記第１の半導体装置と前記第２の半導体装置とを通信可能に接続するとともに、前記制御部、前記映像処理部、前記映像出力部および前記演算部の機能を前記第１の半導体装置に設け、前記誤り検出部の少なくとも一部の機能を前記第２の半導体装置に設け、
   前記第１の半導体装置と前記第２の半導体装置とを連携して作動させることにより映像の誤りを検出する請求項１から５のいずれか一項記載の車両用装置。
7. 前記誤り検出部は、映像の誤りを検出した場合、誤った映像が前記表示装置に表示されることを抑制する請求項１から６のいずれか一項記載の車両用装置。

Images