JP7471756B2

JP7471756B2 - 車両システム

Info

Publication number: JP7471756B2
Application number: JP2021127905A
Authority: JP
Inventors: 信裕杉山; 曜 ▲柳▼田; 直己木須; 勝美佐藤; 宏武池
Original assignee: Yazaki Corp
Current assignee: Yazaki Corp
Priority date: 2021-08-04
Filing date: 2021-08-04
Publication date: 2024-04-22
Anticipated expiration: 2041-08-04
Also published as: WO2023013337A1; DE112022003755T5; CN117615939A; JP2023022863A

Description

本発明は、車両システムに関する。

従来、車両システムとして、例えば、特許文献１には、異なる安全度が設定される複数のソフトウェアを用いて車両を制御する車両制御装置が記載されている。この車両制御装置は、例えば、異なる安全度が設定される複数のソフトウェアと、複数のソフトウェアの安全度に対応して複数に区分され、ソフトウェアにより演算されるデータを記憶する安全度対応記憶領域と、安全度の高いソフトウェアによって演算されたデータを安全度の低いソフトウェアのアクセス用に記憶する共有記憶領域と、ソフトウェアの安全度に応じて、同一のデータを参照する際のアクセス先の記憶領域を切り換える切換部とを備え、複数のソフトウェアは、同一のデータを参照するために切換部を呼び出す関数を含む。この構成により、車両制御装置は、ソフトウェアがアクセスする記憶領域が変更される場合にメモリ管理ユニットのようなハードウェアを用いなくても、ソフトウェアの関数によって切換部を呼び出して同一のデータを参照することができるので、ソフトウェアの再利用性を高めることができる。

特開２０１５－９９５１７号公報

ところで、上述の特許文献１に記載の車両制御装置は、例えば、同一の車両制御装置の中に安全度が異なるソフトウェアを混在させているので、安全度が高いソフトウェアに装置の性能を合わせる必要があり、この結果、安全度が低いソフトウェアを実行する際には過剰な性能となるおそれがある。

そこで、本発明は、上記に鑑みてなされたものであって、安全性を確保するシステムを適正に構築することができる車両システムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係る車両システムは、車両に搭載され、実現する機能に対してそれぞれ予め定められたレベルの安全基準が設定された複数の機器と、前記機器に対して前記安全基準に関する処理を実行可能な制御部と、を備え、前記制御部は、前記安全基準の前記レベル毎に割り当てられた複数の単一レベル用制御部を含み、各前記単一レベル用制御部は、実現する機能に対して、前記割り当てられたレベルの前記安全基準が設定された前記機器が接続され且つ異なるレベルの前記安全基準が設定された前記機器が接続されず、接続された前記機器に対して前記割り当てられたレベルに応じた前記安全基準に関する処理を実行することを特徴とする。

本発明に係る車両システムは、複数のレベルの安全基準に関する処理を実行する必要がなく、これにより従来のようにレベルが高い安全基準の処理に複数の単一レベル用制御部の性能を合わせる必要がなく、複数の単一レベル用制御部に過剰な性能を備えることを回避でき、この結果、安全性を確保するシステムを適正に構築することができる。

図１は、実施形態に係る車両システムの構成例を示す概略図である。図２は、実施形態に係る車両システムの構成例を示すブロック図である。図３は、実施形態に係る車両の機能と車両安全基準との関係を示す図である。図４は、実施形態に係るＡＳＩＬ－Ａのソフトウェアの構成例を示す図である。図５は、実施形態に係るＡＳＩＬ－Ｂのソフトウェアの構成例を示す図である。図６は、実施形態に係るＡＳＩＬ－Ｃのソフトウェアの構成例を示す図である。図７は、実施形態に係るＡＳＩＬ－Ｄのソフトウェアの構成例を示す図である。図８は、車両システムの動作例を示すフローチャートである。図９は、変形例に係る車両システムの構成例を示すブロック図である。

本発明を実施するための形態（実施形態）につき、図面を参照しつつ詳細に説明する。以下の実施形態に記載した内容により本発明が限定されるものではない。また、以下に記載した構成要素には、当業者が容易に想定できるもの、実質的に同一のものが含まれる。更に、以下に記載した構成は適宜組み合わせることが可能である。また、本発明の要旨を逸脱しない範囲で構成の種々の省略、置換又は変更を行うことができる。
〔実施形態〕

図面を参照しながら実施形態に係る車両システム１について説明する。車両システム１は、車両Ｖに設けられ、当該車両Ｖに搭載された複数の機器Ｅを制御部（後述する各ＥＣＵ３１～３６）によって制御するものである。ここで、車両Ｖに搭載された機器Ｅ、及び、制御部は、図１に示すように、ドメインに応じて複数の制御系統Ｄ（Ｄ１～Ｄ５）に区分けされている。ここで、ドメインとは、車両Ｖを制御する系統を表すものであり、例えば、制御系統を区別するために車両Ｖの機能ごとに任意に割り振られた情報である。制御系統Ｄ１は、エンジン（モータ）で発生した回転エネルギーを効率よく駆動輪に伝えるための装置類を表すパワートレイン系（パワトレ系）を表すものである。制御系統Ｄ２は、ＡＤＡＳ（ＡｄｖａｎｃｅｄＤｒｉｖｅｒ-ＡｓｓｉｓｔａｎｃｅＳｙｓｔｅｍｓ；先進運転支援システム）又は自動運転系を表すものである。ここで、ＡＤＡＳは、各種センサーを用いて車両Ｖの周囲の状況を把握し、運転者の運転操作を支援するものである。制御系統Ｄ３は、サスペンション、ステアリング等を含むシャーシ系を表すものである。制御系統Ｄ４は、ＨＭＩ（ＨｕｍａｎＭａｃｈｉｎｅＩｎｔｅｒｆａｃｅ）／ＭＭ（ＭｕｌｔｉＭｅｄｉａ）系を表すものである。ここで、ＨＭＩは、運転者等のユーザに対して必要な情報を提供するものである。ＭＭは、エンターテインメント等のマルチメディア系を表すものである。制御系統Ｄ５は、ヘッドライト、バックライト等を含むボディ系を表すものである。

各制御系統Ｄ１～Ｄ５には、複数の機器Ｅが設けられており、複数の機器Ｅは、予め定められたレベルの安全基準（自動車安全水準）、すなわちＡＳＩＬ（ＡｕｔｏｍｏｔｉｖｅＳａｆｅｔｙＩｎｔｅｇｒｉｔｙＬｅｖｅｌ）が設定された機能を実現するものである。つまり、ＡＳＩＬは、車両Ｖの機能ごとに設定されており、複数の機器Ｅは、ＡＳＩＬが設定された機能を実現する。ここで、ＡＳＩＬとは、ＩＳＯ２６２６２規格で定義された車両Ｖの安全基準を表すものであり、安全基準のレベルに応じてＡＳＩＬ－Ａ～ＡＳＩＬ－Ｄの４段階を含む。ＡＳＩＬは、ＡＳＩＬ－ＡからＡＳＩＬ－Ｄに向けて安全基準のレベルが高くなる。すなわち、ＡＳＩＬ－Ｄが最も安全基準のレベルが高く、ＡＳＩＬ－Ｃが安全基準のレベルが２番目に高く、ＡＳＩＬ－Ｂが安全基準のレベルが３番目に高く、ＡＳＩＬ－Ａが最も安全基準のレベルが低い。車両システム１は、それぞれの制御系統Ｄにおいて、ＡＳＩＬが定められた機能を実現する各機器Ｅを制御するものであり、以下、車両システム１について詳細に説明する。

車両システム１は、通信制御部としてのＴＣＵ（Ｔｅｌｅｍａｔｉｃｓｃｏｎｔｒｏｌｕｎｉｔ）１０と、信号振分部としてのセントラルゲートウェイ２０と、複数の機器Ｅと、制御部として、ＡＳＩＬ－Ａ用ＥＣＵ３１、ＡＳＩＬ－Ｂ用ＥＣＵ３２、ＡＳＩＬ－Ｃ用ＥＣＵ３３、ＡＳＩＬ－Ｄ用ＥＣＵ３４、ＡＳＩＬ－Ａ＋α用ＥＣＵ３５、複数レベル用ＥＣＵ３６とを備える。

ＴＣＵ１０は、車両Ｖの外部に設けられた外部装置と通信可能な無線通信機器である。ＴＣＵ１０は、アンテナを介して車両Ｖと当該車両Ｖの外部装置とを無線により接続し、車両Ｖと当該車両Ｖの外部装置との間で信号の送受信を行う。ＴＣＵ１０は、例えば、広域無線、狭域無線等、種々の方式の無線通信により外部装置と無線通信する。ＴＣＵ１０は、セントラルゲートウェイ２０に接続され、外部装置から受信した信号をセントラルゲートウェイ２０に出力する。また、ＴＣＵ１０は、セントラルゲートウェイ２０から出力された信号を外部装置に送信する。

セントラルゲートウェイ２０は、信号をプロトコル変換して変換後の信号を転送するものである。セントラルゲートウェイ２０は、図２に示すように、プロトコル変換部２１と、転送部２２とを備える。

プロトコル変換部２１は、通信のプロトコルを変換するものであり、ＴＣＵ１０及び転送部２２に接続されている。プロトコル変換部２１は、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）のプロトコルをＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）のプロトコルに変換し、また、ＣＡＮのプロトコルをＥｔｈｅｒｎｅｔ（登録商標）のプロトコルに変換する。プロトコル変換部２１は、例えば、ＴＣＵ１０から出力されたＥｔｈｅｒｎｅｔ（登録商標）信号をＣＡＮ信号に変換し、変換後のＣＡＮ信号を転送部２２に出力する。また、プロトコル変換部２１は、転送部２２から出力されたＣＡＮ信号をＥｔｈｅｒｎｅｔ（登録商標）信号に変換し、変換後のＥｔｈｅｒｎｅｔ（登録商標）信号をＴＣＵ１０に出力する。なお、プロトコル変換部２１は、Ｅｔｈｅｒｎｅｔ（登録商標）のプロトコルをＣＡＮ－ＦＤ（ＣＡＮｗｉｔｈＦｌｅｘｉｂｌｅＤａｔａＲａｔｅ）のプロトコルに変換してもよい。

転送部２２は、信号を転送するものであり、プロトコル変換部２１及び各制御系統ＤのＥＣＵ（例えば、ＡＳＩＬ－Ｂ用ＥＣＵ３２等）に接続されている。転送部２２は、プロトコル変換部２１から出力されたＣＡＮ信号を各制御系統ＤのＥＣＵ（例えば、ＡＳＩＬ－Ｂ用ＥＣＵ３２等）に転送する（振り分ける）。また、転送部２２は、各制御系統ＤのＥＣＵ（例えば、ＡＳＩＬ－Ｂ用ＥＣＵ３２等）から出力されたＣＡＮ信号をプロトコル変換部２１に出力する。また、転送部２２は、各ＥＣＵ３１～３６の間で信号を転送し、転送部２２を介して各ＥＣＵ３１～３６の間で通信可能である。なお、各ＥＣＵ３１～３６は、転送部２２を介さずに直接接続され、各ＥＣＵ３１～３６の間で直接、通信可能でもあり、これにより冗長性を確保できる。

複数の機器Ｅは、車両Ｖを制御する各種処理を実行するものであり、各制御系統Ｄ１～Ｄ５に設けられている。複数の機器Ｅは、安全基準のレベル（ＡＳＩＬ－Ａ～ＡＳＩＬ－Ｄ）が設定された機能を実現する機器Ｅと、安全基準のレベル（ＡＳＩＬ－Ａ～ＡＳＩＬ－Ｄ）が設定されていない機能を実現する機器Ｅとを含む。

ＡＳＩＬ－Ａ用ＥＣＵ３１は、機器Ｅに対して安全基準に関する処理を含み、適切な制御を実行するもので、個々のＥＣＵを統合した統合ＥＣＵである。ＡＳＩＬ－Ａ用ＥＣＵ３１は、ＣＰＵ、記憶部を構成するＲＯＭ、ＲＡＭ及びインターフェースを含む周知のマイクロコンピュータを主体とする電子回路を含んで構成される。ＡＳＩＬ－Ａ用ＥＣＵ３１は、ＡＳＩＬの中で最も安全基準のレベルが低いＡＳＩＬ－Ａが定められた機能を実現する機器Ｅに対して安全基準に関する処理を実行する。ＡＳＩＬ－Ａ用ＥＣＵ３１は、割り当てられたレベルの安全基準（ＡＳＩＬ－Ａ）が設定された機能を実現する機器Ｅが電線を介して接続され、且つ、異なるレベルの安全基準（ＡＳＩＬ－Ｂ、ＡＳＩＬ－Ｃ、ＡＳＩＬ－Ｄ）が設定された機能を実現する機器Ｅが接続されない。ＡＳＩＬ－Ａが設定された機能には、例えば、図３に示すように、ナビゲーション機能、バックライトを点灯する機能等が含まれる。ＡＳＩＬ－Ａ用ＥＣＵ３１は、例えば、これらのナビゲーション機能、バックライトを点灯する機能を実現する機器Ｅが接続され、且つ、ナビゲーション機能、バックライトを点灯する機能とは異なるレベルの安全基準が設定された機能を実現する機器Ｅが接続されない。ＡＳＩＬ－Ａ用ＥＣＵ３１は、接続された機器Ｅに対して割り当てられた安全基準のレベル（ＡＳＩＬ－Ａ）に応じた安全基準に関する処理を実行する。ＡＳＩＬ－Ａ用ＥＣＵ３１は、例えば、図４に示すように、ＡＳＩＬ－Ａに応じた安全基準に関する処理として、入出力データのチェックを含むエラー検出Ｂ２を実行する。ＡＳＩＬ－Ａ用ＥＣＵ３１は、通常の処理（例えば、ナビゲーション処理、バックライト点灯処理）を実行するソフトウェアＢ１に対して、エラー検出Ｂ２を実行して入出力データをチェックする。ＡＳＩＬ－Ａ用ＥＣＵ３１は、入出力データが異常である場合、その旨を外部ＥＣＵ（図示省略）等に出力してもよい。

ＡＳＩＬ－Ｂ用ＥＣＵ３２は、機器Ｅに対して安全基準に関する処理を含み、適切な制御を実行するもので、個々のＥＣＵを統合した統合ＥＣＵである。ＡＳＩＬ－Ｂ用ＥＣＵ３２は、ＣＰＵ、記憶部を構成するＲＯＭ、ＲＡＭ及びインターフェースを含む周知のマイクロコンピュータを主体とする電子回路を含んで構成される。一般的には、ＡＳＩＬ－Ａ用ＥＣＵ３２は、ＡＳＩＬ－Ａ用ＥＣＵ３１よりも高性能（ＣＰＵのクロック数が高い）である。ＡＳＩＬ－Ｂ用ＥＣＵ３２は、ＡＳＩＬの中で３番目に安全基準のレベルが高いＡＳＩＬ－Ｂが定められた機能を実現する機器Ｅに対して安全基準に関する処理を実行する。ＡＳＩＬ－Ｂ用ＥＣＵ３２は、割り当てられたレベルの安全基準（ＡＳＩＬ－Ｂ）が設定された機能を実現する機器Ｅが電線を介して接続され、且つ、異なるレベルの安全基準（ＡＳＩＬ－Ａ、ＡＳＩＬ－Ｃ、ＡＳＩＬ－Ｄ）が設定された機能を実現する機器Ｅが接続されない。ＡＳＩＬ－Ｂが設定された機能には、例えば、図３に示すように、リアビューカメラ機能、後退運転を支援する機能等が含まれる。ＡＳＩＬ－Ｂ用ＥＣＵ３２は、例えば、これらのリアビューカメラ機能、後退運転を支援する機能を実現する機器Ｅが接続され、且つ、リアビューカメラ機能、後退運転を支援する機能とは異なるレベルの安全基準が設定された機能を実現する機器Ｅが接続されない。ＡＳＩＬ－Ｂ用ＥＣＵ３２は、接続された機器Ｅに対して割り当てられた安全基準のレベル（ＡＳＩＬ－Ｂ）に応じた安全基準に関する処理を実行する。ＡＳＩＬ－Ｂ用ＥＣＵ３２は、例えば、図５に示すように、ＡＳＩＬ－Ｂに応じた安全基準に関する処理として、入出力データのチェック及びデータ妥当性チェックを含むエラー検出Ｂ２を実行する。ＡＳＩＬ－Ｂ用ＥＣＵ３２は、通常の処理（例えば、リアビューカメラ機能、後退運転を支援する機能）を実行するソフトウェアＢ１に対して、エラー検出Ｂ２を実行して入出力データをチェックし且つデータの妥当性をチェックする。ＡＳＩＬ－Ｂ用ＥＣＵ３２は、入出力データが異常である場合、又は、データが妥当でない場合、その旨を外部ＥＣＵ等に出力してもよい。

ＡＳＩＬ－Ｃ用ＥＣＵ３３は、機器Ｅに対して安全基準に関する処理を含み、適切な制御を実行するもので、個々のＥＣＵを統合した統合ＥＣＵである。ＡＳＩＬ－Ｃ用ＥＣＵ３３は、ＣＰＵ、記憶部を構成するＲＯＭ、ＲＡＭ及びインターフェースを含む周知のマイクロコンピュータを主体とする電子回路を含んで構成される。一般的には、ＡＳＩＬ－Ｃ用ＥＣＵ３３は、ＡＳＩＬ－Ｂ用ＥＣＵ３２よりも高性能（ＣＰＵのクロック数が高い）である。ＡＳＩＬ－Ｃ用ＥＣＵ３３は、ＡＳＩＬの中で２番目に安全基準のレベルが高いＡＳＩＬ－Ｃが定められた機能を実現する機器Ｅに対して安全基準に関する処理を実行する。ＡＳＩＬ－Ｃ用ＥＣＵ３３は、割り当てられたレベルの安全基準（ＡＳＩＬ－Ｃ）が設定された機能を実現する機器Ｅが電線を介して接続され、且つ、異なるレベルの安全基準（ＡＳＩＬ－Ａ、ＡＳＩＬ－Ｂ、ＡＳＩＬ－Ｄ）が設定された機能を実現する機器Ｅが接続されない。ＡＳＩＬ－Ｃが設定された機能には、例えば、図３に示すように、車車間通信機能、路車間通信機能等が含まれる。ＡＳＩＬ－Ｃ用ＥＣＵ３３は、例えば、これらの車車間通信機能、路車間通信機能を実現する機器Ｅが接続され、且つ、車車間通信機能、路車間通信機能とは異なるレベルの安全基準が設定された機能を実現する機器Ｅが接続されない。ＡＳＩＬ－Ｃ用ＥＣＵ３３は、接続された機器Ｅに対して割り当てられた安全基準のレベル（ＡＳＩＬ－Ｃ）に応じた安全基準に関する処理を実行する。ＡＳＩＬ－Ｃ用ＥＣＵ３３は、例えば、図６に示すように、ＡＳＩＬ－Ｃに応じた安全基準に関する処理として、入出力データのチェック、データ妥当性チェック、及び外部モニタリングを含むエラー検出Ｂ２を実行し、さらに、エラー表示、縮退機能を含むエラー処理Ｂ３を実行する。ＡＳＩＬ－Ｃ用ＥＣＵ３３は、通常の処理（例えば、車車間通信機能、路車間通信機能）を実行するソフトウェアＢ１に対して、エラー検出Ｂ２を実行して入出力データのチェック、データ妥当性チェック、及び外部モニタリングをチェックしてエラーを検出した場合、エラー処理Ｂ３を実行してエラー表示や縮退運転を実行する。

ＡＳＩＬ－Ｄ用ＥＣＵ３４は、機器Ｅに対して安全基準に関する処理を含み、適切な制御を実行するもので、個々のＥＣＵを統合した統合ＥＣＵである。ＡＳＩＬ－Ｄ用ＥＣＵ３４は、ＣＰＵ、記憶部を構成するＲＯＭ、ＲＡＭ及びインターフェースを含む周知のマイクロコンピュータを主体とする電子回路を含んで構成される。一般的には、ＡＳＩＬ－Ｄ用ＥＣＵ３４は、ＡＳＩＬ－Ｃ用ＥＣＵ３３よりも高性能（ＣＰＵのクロック数が高い）である。ＡＳＩＬ－Ｄ用ＥＣＵ３４は、ＡＳＩＬの中で最も安全基準のレベルが高いＡＳＩＬ－Ｄが定められた機能を実現する機器Ｅに対して安全基準に関する処理を実行する。ＡＳＩＬ－Ｄ用ＥＣＵ３４は、割り当てられたレベルの安全基準（ＡＳＩＬ－Ｄ）が設定された機能を実現する機器Ｅが電線を介して接続され、且つ、異なるレベルの安全基準（ＡＳＩＬ－Ａ、ＡＳＩＬ－Ｂ、ＡＳＩＬ－Ｃ）が設定された機能を実現する機器Ｅが接続されない。ＡＳＩＬ－Ｄが設定された機能には、例えば、図３に示すように、アンチロックブレーキ機能、電動パワーステアリング機能等が含まれる。ＡＳＩＬ－Ｄ用ＥＣＵ３４は、例えば、これらのアンチロックブレーキ機能、電動パワーステアリング機能を実現する機器Ｅが接続され、且つ、アンチロックブレーキ機能、電動パワーステアリング機能とは異なるレベルの安全基準が設定された機能を実現する機器Ｅが接続されない。ＡＳＩＬ－Ｄ用ＥＣＵ３４は、接続された機器Ｅに対して割り当てられた安全基準のレベル（ＡＳＩＬ－Ｄ）に応じた安全基準に関する処理を実行する。ＡＳＩＬ－Ｄ用ＥＣＵ３４は、例えば、図７に示すように、ＡＳＩＬ－Ｄに応じた安全基準に関する処理として、入出力データのチェック、データ妥当性チェック、外部モニタリング、制御フロー監視、ソフトウェア冗長を含むエラー検出Ｂ２を実行し、さらに、エラー表示、縮退機能、並列の冗長処理を含むエラー処理Ｂ３を実行する。ＡＳＩＬ－Ｄ用ＥＣＵ３４は、通常の処理（例えば、アンチロックブレーキ機能、電動パワーステアリング機能）を実行するソフトウェアＢ１に対して、エラー検出Ｂ２を実行して入出力データのチェック、データ妥当性チェック、外部モニタリング、制御フロー監視、ソフトウェア冗長をチェックしてエラーを検出した場合、エラー処理Ｂ３を実行してエラー表示、縮退運転、並列の冗長処理を実行する。

ＡＳＩＬ－Ａ＋α用ＥＣＵ３５は、機器Ｅに対して安全基準に関する処理を含み、適切な制御を実行するもので、個々のＥＣＵを統合した統合ＥＣＵである。ＡＳＩＬ－Ａ＋α用ＥＣＵ３５は、ＣＰＵ、記憶部を構成するＲＯＭ、ＲＡＭ及びインターフェースを含む周知のマイクロコンピュータを主体とする電子回路を含んで構成される。ＡＳＩＬ－Ａ＋α用ＥＣＵ３５は、ＡＳＩＬの中で最も安全基準のレベルが低いＡＳＩＬ－Ａが定められた機能を実現する機器Ｅに対して安全基準に関する処理を実行し、また、ＡＳＩＬが定められていない機能を実現する機器Ｅに対しても処理を実行するものである。ＡＳＩＬ－Ａ＋α用ＥＣＵ３５は、割り当てられたレベルの安全基準（ＡＳＩＬ－Ａ）が設定された機能を実現する機器Ｅや、ＡＳＩＬ－Ａが定められていない機能を実現する機器Ｅが電線を介して接続される。ＡＳＩＬ－Ａ＋α用ＥＣＵ３５は、接続されたＡＳＩＬ－Ａの機器Ｅに対して割り当てられた安全基準のレベル（ＡＳＩＬ－Ａ）に応じた安全基準に関する処理を実行し、ＡＳＩＬが定められていない機能を実現する機器Ｅに対して安全基準に関する処理を実行しない。ＡＳＩＬ－Ａ＋α用ＥＣＵ３５は、例えば、図４に示すように、ＡＳＩＬ－Ａに応じた安全基準に関する処理として、入出力データのチェックを含むエラー検出Ｂ２を実行する。ＡＳＩＬ－Ａ＋α用ＥＣＵ３５は、通常の処理（例えば、ナビゲーション処理、バックライト点灯処理）を実行するソフトウェアＢ１に対して、エラー検出Ｂ２を実行して入出力データをチェックする。ＡＳＩＬ－Ａ＋α用ＥＣＵ３５は、入出力データが異常である場合、その旨を外部ＥＣＵ（図示省略）等に出力してもよい。

複数レベル用ＥＣＵ３６は、機器Ｅに対して安全基準に関する処理を含み、適切な制御を実行するもので、ＣＰＵ、記憶部を構成するＲＯＭ、ＲＡＭ及びインターフェースを含む周知のマイクロコンピュータを主体とする電子回路を含んで構成される。複数レベル用ＥＣＵ３６は、異なるレベルの安全基準が定められた機能を実現する機器Ｅに対して安全基準に関する処理を実行する。複数レベル用ＥＣＵ３６は、異なるレベルの安全基準（ＡＳＩＬ－Ａ、ＡＳＩＬ－Ｂ、ＡＳＩＬ－Ｃ、ＡＳＩＬ－Ｄ）が設定された機能を実現する機器Ｅがそれぞれ電線を介して接続される。複数レベル用ＥＣＵ３６は、例えば、異なる２つのレベルの安全基準（例えば、ＡＳＩＬ－Ａ、ＡＳＩＬ－Ｂ）や、異なる３つのレベルの安全基準（例えば、ＡＳＩＬ－Ａ、ＡＳＩＬ－Ｂ、ＡＳＩＬ－Ｃ）、異なる４つのレベルの安全基準（例えば、ＡＳＩＬ－Ａ、ＡＳＩＬ－Ｂ、ＡＳＩＬ－Ｃ、ＡＳＩＬ－Ｄ）が設定された機能を実現する機器Ｅがそれぞれ電線を介して接続される。複数レベル用ＥＣＵ３６は、異なるレベルに応じた安全基準（ＡＳＩＬ－Ａ、ＡＳＩＬ－Ｂ、ＡＳＩＬ－Ｃ、ＡＳＩＬ－Ｄ）に関する処理を実行する。

次に、各制御系統Ｄ１～Ｄ５に含まれる複数のＥＣＵ３１～３４について説明する。車両Ｖの各制御系統Ｄ１～Ｄ５は、各制御系統Ｄ１～Ｄ５に含まれる機器Ｅが実現する機能の安全基準（ＡＳＩＬ）のレベルに応じて、ＡＳＩＬ－Ａ用ＥＣＵ３１、ＡＳＩＬ－Ｂ用ＥＣＵ３２、ＡＳＩＬ－Ｃ用ＥＣＵ３３、及びＡＳＩＬ－Ｄ用ＥＣＵ３４の少なくとも１つを含む。例えば、パワトレ系を表す制御系統Ｄ１は、図１に示すように、制御系統Ｄ１に含まれる機器Ｅが実現する機能の安全基準のレベル（ＡＳＩＬ－Ｃ、ＡＳＩＬ－Ｄ）に応じて、ＡＳＩＬ－Ｃ用ＥＣＵ３３及びＡＳＩＬ－Ｄ用ＥＣＵ３４を含む。ＡＤＡＳ／自動運転系を表す制御系統Ｄ２は、制御系統Ｄ２に含まれる機器Ｅが実現する機能の安全基準のレベル（ＡＳＩＬ－Ｃ、ＡＳＩＬ－Ｄ）に応じて、ＡＳＩＬ－Ｃ用ＥＣＵ３３及びＡＳＩＬ－Ｄ用ＥＣＵ３４を含む。シャーシ系を表す制御系統Ｄ３は、制御系統Ｄ３に含まれる機器Ｅが実現する機能の安全基準のレベル（ＡＳＩＬ－Ｃ、ＡＳＩＬ－Ｄ）に応じて、ＡＳＩＬ－Ｃ用ＥＣＵ３３及びＡＳＩＬ－Ｄ用ＥＣＵ３４を含む。ＨＭＩ／ＭＭを表す制御系統Ｄ４は、制御系統Ｄ４に含まれる機器Ｅが実現する機能の安全基準のレベル（ＡＳＩＬ－Ａ、ＡＳＩＬ－Ｂ）に応じて、ＡＳＩＬ－Ａ用ＥＣＵ３１及びＡＳＩＬ－Ｂ用ＥＣＵ３２を含む。ボディ系を表す制御系統Ｄ５は、制御系統Ｄ５に含まれる機器Ｅが実現する機能の安全基準のレベル（ＡＳＩＬ－Ａ、ＡＳＩＬ－Ｂ）に応じて、ＡＳＩＬ－Ａ用ＥＣＵ３１及びＡＳＩＬ－Ｂ用ＥＣＵ３２を含む。そして、各ＥＣＵ３１～３４は、各制御系統Ｄ１～Ｄ５において、割り当てられたレベルの安全基準が設定された機能を実現する機器Ｅが接続され、且つ、異なるレベルの安全基準が設定された機能を実現する機器Ｅが接続されず、接続された機器Ｅに対して割り当てられたレベルに応じた安全基準に関する処理（エラー検出Ｂ２、エラー処理Ｂ３）を実行する。なお、図１に示す車両システム１の構成は、図３に示す車両システム１の構成の一部を示している。

次に、それぞれの安全基準に関する処理の構成について説明する。レベルが相対的に高い安全基準に関する処理は、レベルが相対的に低い安全基準に関する処理を少なくとも一部を含む。例えば、レベルが最も高い安全基準（ＡＳＩＬ－Ｄ）に関する処理（エラー検出Ｂ２、エラー処理Ｂ３）は、図４～図７に示すように、レベルが相対的に低い安全基準（ＡＳＩＬ－Ａ、ＡＳＩＬ－Ｂ、ＡＳＩＬ－Ｃ）に関する処理（エラー検出Ｂ２、エラー処理Ｂ３）を全て含む。

次に、車両システム１の動作例について説明する。図８は、車両システム１の動作例を示すフローチャートである。車両システム１において、各ＥＣＵ３１～３６は、機器Ｅから出力された信号を入力する（ステップＳ１）。次に、各ＥＣＵ３１～３６は、機器Ｅから入力した信号に安全基準（ＡＳＩＬ）を示すデータが設定されているか否かを判定する（ステップＳ２）。各ＥＣＵ３１～３６は、機器Ｅから入力した信号に安全基準（ＡＳＩＬ）を示すデータが設定されている場合（ステップＳ２；Ｙｅｓ）、エラー検出Ｂ２を実行する（ステップＳ３）。各ＥＣＵ３１～３６は、例えば、通常の処理を実行するソフトウェアＢ１に対して、エラー検出Ｂ２を実行して入出力データのチェック等を実行する。次に、各ＥＣＵ３１～３６は、エラーを検出したか否かを判定する（ステップＳ４）。ＡＳＩＬ－Ａ用ＥＣＵ３１及びＡＳＩＬ－Ｂ用ＥＣＵ３２は、エラーを検出した場合（ステップＳ４；Ｙｅｓ）、安全基準のレベルがＡＳＩＬ－Ｃ又はＡＳＩＬ－Ｄではないので（ステップＳ５；Ｎｏ）、処理を終了する。一方で、ＡＳＩＬ－Ｃ用ＥＣＵ３３及びＡＳＩＬ－Ｄ用ＥＣＵ３４は、エラーを検出した場合（ステップＳ４；Ｙｅｓ）、安全基準のレベルがＡＳＩＬ－Ｃ又はＡＳＩＬ－Ｄであるので（ステップＳ５；Ｙｅｓ）、エラー処理Ｂ３を実行する。例えば、ＡＳＩＬ－Ｃ用ＥＣＵ３３は、エラー処理Ｂ３としてエラー表示や縮退運転を実行する（ステップＳ６）。なお、上述のステップＳ２で、各ＥＣＵ３１～３６は、機器Ｅから入力した信号に安全基準（ＡＳＩＬ）を示すデータが設定されていない場合（ステップＳ２；Ｎｏ）、処理を終了する。上述のステップＳ４で、各ＥＣＵ３１～３６は、エラーを検出しない場合（ステップＳ４；Ｎｏ）。処理を終了する。

以上のように、実施形態に係る車両システム１は、複数の機器Ｅと、制御部とを備える。複数の機器Ｅは、車両Ｖに搭載され、それぞれに予め定められたレベルの安全基準が設定された機能を実現するものである。制御部は、機器Ｅに対して安全基準に関する処理を実行可能なものであり、安全基準のレベル毎に割り当てられた複数のＥＣＵ３１～３４を含む。複数のＥＣＵ３１～３４は、実現する機能に対して、割り当てられたレベルの安全基準が設定された機器Ｅが接続され、且つ、異なるレベルの安全基準が設定された機器Ｅが接続されず、接続された機器Ｅに対して割り当てられたレベルに応じた安全基準に関する処理を実行する。

この構成により、車両システム１は、複数のＥＣＵ３１～３４が割り当てられたレベルに応じた安全基準に関する処理を実行するので、複数のレベルの安全基準に関する処理を実行する必要がなく、これにより従来のようにレベルが高い安全基準の処理に複数のＥＣＵ３１～３４の性能を合わせる必要がなく、複数のＥＣＵ３１～３４に過剰な性能を備えることを回避できる。これにより、車両システム１は、システム構築に要する工数を削減することができ、製造コストを抑制することができる。この結果、車両システム１は、安全性を確保するシステムを適正に構築することができる。

車両システム１において、機器Ｅ及び複数のＥＣＵ３１～３４は、ドメインに応じて複数の制御系統Ｄに区分けされている。各制御系統Ｄは、少なくとも１つのＥＣＵ３１～３４を含む。この構成により、車両システム１は、各制御系統Ｄ１～Ｄ５において、それぞれの制御系統Ｄ１～Ｄ５ごとに複数のＥＣＵを統合し、かつ安全基準のレベルごとに対応した統合ＥＣＵを設けることができるので、安全性を確保するシステムを適正に構築することができる。

車両システム１は、ＴＣＵ１０と、セントラルゲートウェイ２０とをさらに備える。ＴＣＵ１０は、車両Ｖの外部に設けられた外部装置と通信可能なものである。セントラルゲートウェイ２０は、ＴＣＵ１０で受信した信号を複数のＥＣＵ３１～３４に振り分け、且つ、複数のＥＣＵ３１～３４から出力された信号をＴＣＵ１０に出力する。この構成により、車両システム１は、安全基準とは独立してＴＣＵ１０を設けることができる。

車両システム１は、レベルが相対的に高い安全基準に関する処理は、レベルが相対的に低い安全基準に関する処理を少なくとも一部含む。この構成により、車両システム１は、安全基準に関する処理を一部、共通化することができ、工数を削減できる。また、車両システム１は、安全基準に関する処理を一部、共通化しても、個別の安全基準のレベルに応じた安全基準に関する処理を実行し、異なる安全基準のレベルに応じた安全基準に関する処理を実行ないので、安全基準が低い処理に生じた不具合が、安全基準が高い処理にも影響を及ぼすことを回避できる。この結果、車両システム１は、安全性を確保するシステムを適正に構築することができる。

車両システム１は、実現する機能に対して、異なるレベルの安全基準が設定された機器Ｅが接続され、接続された機器Ｅに対して異なるレベルに応じた安全基準に関する処理を実行する複数レベル用制御部３６を含む。この構成により、車両システム１は、様々なシステムの態様に適応することができる。
〔変形例〕

次に、実施形態の変形例について説明する。なお、変形例では、実施形態と同等の構成要素には同じ符号を付し、その詳細な説明を省略する。図９は、変形例に係る車両システム１の構成例を示すブロック図である。変形例に係る車両システム１は、セントラルゲートウェイ２０の変わりにスイッチングハブ２０Ａを備える点で実施形態に係る車両システム１とは異なる。

スイッチングハブ２０Ａは、信号を転送するものであり、スイッチ２１Ａを備える。スイッチ２１Ａは、ＴＣＵ１０及び各制御系統ＤのＥＣＵ（例えば、ＡＳＩＬ－Ａ＋α用ＥＣＵ３５等）に接続されている。スイッチ２１Ａは、ＴＣＵ１０から出力されたＥｔｈｅｒｎｅｔ（登録商標）信号を各制御系統ＤのＥＣＵ（例えば、ＡＳＩＬ－Ｂ用ＥＣＵ３２等）に転送する（振り分ける）。また、スイッチ２１Ａは、各制御系統ＤのＥＣＵ（例えば、ＡＳＩＬ－Ｂ用ＥＣＵ３２等）から出力されたＥｔｈｅｒｎｅｔ（登録商標）信号をＴＣＵ１０に出力する。また、スイッチ２１Ａは、各ＥＣＵ３１～３６の間で信号を転送し、スイッチ２１Ａを介して各ＥＣＵ３１～３６の間で通信可能である。このように、変形例に係る車両システム１は、セントラルゲートウェイ２０の変わりにスイッチングハブ２０Ａを備えるものである。

なお、上記説明では、複数の制御系統Ｄは、制御系統Ｄ１～Ｄ５の５つに区分けされる例について説明したが、これに限定されず、その他の個数に区分けされてもよい。

安全基準は、ＩＳＯ２６２６２規格で定義されたＡＳＩＬについて説明したが、これに限定されず、その他の基準であってもよい。

各ＥＣＵ３１～３６は、図２に示すように、ＥＣＵ毎に設けられてもよいし、基板毎（例えば、ＡＳＩＬ－Ａ用基板３１Ａ、ＡＳＩＬ－Ｂ用基板３２Ａ）に設けられてもよいし、マイコン毎（ＡＳＩＬ－Ａ用マイコン３１Ｂ、ＡＳＩＬ－Ｂ用マイコン３２Ｂ）に設けられてもよい。

機器Ｅ及び複数のＥＣＵ３１～３４は、ドメインに応じて複数の制御系統Ｄに区分けされ、各制御系統Ｄは、少なくとも１つのＥＣＵ３１～３４を含む例について説明したが、これに限定されず、例えば、機器Ｅ及び複数のＥＣＵ３１～３４は、車両Ｖにおける一定の範囲を示すエリアに応じて複数の制御系統Ｄに区分けされ、各制御系統Ｄは、少なくとも１つのＥＣＵ３１～３４を含むように構成してもよい。

車両システム１は、ＴＣＵ１０と、セントラルゲートウェイ２０とをさらに備える例について説明したが、これに限定されず、ＴＣＵ１０とセントラルゲートウェイ２０とを備えなくてもよい。

レベルが相対的に高い安全基準に関する処理は、レベルが相対的に低い安全基準に関する処理を少なくとも一部含む例について説明したが、これに限定されず、その他の方法で安全基準に関する処理を構成してもよい。

車両システム１は、複数レベル用制御部３６を含む例について説明したが、これに限定されず、複数レベル用制御部３６を含まなくてもよい。

１車両システム
１０ＴＣＵ（通信制御部）
２０セントラルゲートウェイ（信号振分部）
３１ＡＳＩＬ－Ａ用ＥＣＵ（制御部、単一レベル用制御部）
３２ＡＳＩＬ－Ｂ用ＥＣＵ（制御部、単一レベル用制御部）
３３ＡＳＩＬ－Ｃ用ＥＣＵ（制御部、単一レベル用制御部）
３４ＡＳＩＬ－Ｄ用ＥＣＵ（制御部、単一レベル用制御部）
３６複数レベル用制御部
Ｄ、Ｄ１～Ｄ５制御系統
Ｅ複数の機器
Ｖ車両

Claims

車両に搭載され、実現する機能に対してそれぞれ予め定められたレベルの安全基準が設定された複数の機器と、
前記機器に対して前記安全基準に関する処理を実行可能な制御部と、を備え、
前記制御部は、前記安全基準の前記レベル毎に割り当てられた複数の単一レベル用制御部を含み、
各前記単一レベル用制御部は、ＣＰＵを含んで構成されており、実現する機能に対して、前記割り当てられたレベルの前記安全基準が設定された前記機器が接続され且つ異なるレベルの前記安全基準が設定された前記機器が接続されず、複数のレベルの前記安全基準に関する処理を実行せずに、接続された前記機器に対して前記割り当てられたレベルに応じた前記安全基準に関する処理を実行し、
前記安全基準の前記レベルが相対的に高い前記単一レベル用制御部を構成するＣＰＵのクロック数は、前記安全基準の前記レベルが相対的に低い前記単一レベル用制御部を構成するＣＰＵのクロック数よりも高いことを特徴とする車両システム。
前記機器及び前記制御部は、ドメインに応じて複数の制御系統に区分けされ、
各前記制御系統は、少なくとも１つの前記単一レベル用制御部を含む請求項１に記載の車両システム。
前記車両の外部に設けられた外部装置と通信可能な通信制御部と、
前記通信制御部で受信した信号を前記複数の単一レベル用制御部に振り分け、且つ、前記複数の単一レベル用制御部から出力された信号を前記通信制御部に出力する信号振分部と、をさらに備える請求項１又は２に記載の車両システム。
前記レベルが相対的に高い前記安全基準に関する処理は、前記レベルが相対的に低い前記安全基準に関する処理を少なくとも一部含む請求項１～３のいずれか１項に記載の車両システム。
前記制御部は、実現する機能に対して、異なる前記レベルの前記安全基準が設定された前記機器が接続され、接続された前記機器に対して前記異なるレベルに応じた前記安全基準に関する処理を実行する複数レベル用制御部を含む請求項１～４のいずれか１項に記載の車両システム。