JPH0778004A - 車載マイコンネットワークシステム - Google Patents

Abstract

(57)【要約】 【目的】 ＣＰＵ、センサ、アクチュエータのいずれか
に障害が起きても、他の部分が障害の影響を受けにくく
し、システム全体のダウン可能性を低くする。 【構成】 全てのノードを接続する全体接続伝送路（０
１、０２）と、１部のノードを接続する部分接続伝送路
（０３）と、ノードとしての、制御プログラムを実行す
る実行系ＣＰＵ（１０）と、故障診断と制御プログラム
のバックアップ実行を行う診断系ＣＰＵ（１１）と、１
以上のセンサとアクチュエータを接続し、該センサ及び
アクチュエータの入出力を制御しかつ伝送路との通信を
制御するセンサ・アクチュエータ制御装置（２０〜３
１）を備える。そして、高い信頼性と速い伝送速度を求
められる関連ノードのみを、例えば、エンジン制御に必
要なセンサとアクチュエータを接続したセンサ・アクチ
ュエータ制御装置（３０、３１）と実行系と診断系のＣ
ＰＵ、上記部分接続伝送路に接続するようにしている。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、自動車のマイコン制御
において、車載されている種々のマイコンをネットワー
クで接続した車載マイコンネットワークシステムに関す
る。

【０００２】

【従来の技術】従来技術をまとめた資料として、藤木
他、スイッチ系多重通信技術について、自動車技術、Ｖ
ｏｌ．４３，Ｎｏ．２，１９８９があげられる。従来は
センサおよびアクチュエータとのＩ／Ｏ機能を備えたＣ
ＰＵが２重化されたバス型ネットワークで接続されてい
る。伝送方式はＣＳＭＡ／ＣＤ方式でＡＣＫ応答をもち
いている。信頼性のための機能として、例えばＢＯＳＣ
Ｈ社のＣＡＮ（Ｃｏｎｔｏｒｏｌｌｅｒ Ａｒｅａ Ｎ
ｅｔｗｏｒｋ）では、故障したノードを切り離す機能が
設けられている。

【０００３】

【発明が解決しようとする課題】上記従来技術は、ＣＰ
Ｕとセンサ・アクチュエータが直結しているため、ＣＰ
Ｕが故障した場合はセンサ・アクチュエータが故障して
いなくてもその機能が使用できなくなるという問題があ
る。自動車の制御の場合、走行中に制御システムがダウ
ンしてしまうと、自動車が動かなくなったり、運転を誤
って事故になる可能性が高い。したがって部分的に障害
が発生しても、他の部分が最低限の動作ができる状態
（リンプ・ホーム）でなければならない。従来技術で
は、フェールセーフのためにノードを多重化しようとす
ると、１つのノードに接続されているＣＰＵとセンサ、
アクチュエータを全て多重化することになるので、コス
トが高くなる。本発明の目的は、上記従来技術の問題点
を解決し、関連するＣＰＵ、センサ、アクチュエータの
いずれかに障害が起きても、他の部分が障害の影響を受
けにくくし、システム全体がダウンする可能性を低く
し、高い信頼性を実現することにある。本発明の他の目
的は、ＣＰＵとセンサ・アクチュエータとを伝送路を介
して接続することにより、直結しないようにして相互に
障害の影響を受けにくくし、高い信頼性を実現すること
にある。本発明の他の目的は、送信側で送り先の状態を
意識することなくデータを送出できるようにし、ノード
故障による伝送路のトラフィック異常の発生を押さえ、
高い信頼性を実現し、ノードの増減、仕様変更を容易に
することにある。本発明のさらに他の目的は、より小さ
な単位で多重化できるようにすることにより、拡張性を
良くし、多重化する際のコストを軽減することにある。

【０００４】

【課題を解決するための手段】上記目的を達成するた
め、本発明は、自動車内のマイコンをネットワークで接
続する車載マイコンネットワークシステムにおいて、全
てのノードを接続する１以上の全体接続伝送路と、１部
のノードを接続する１以上の部分接続伝送路と、前記ノ
ードの１つであり制御プログラムを実行する実行系ＣＰ
Ｕと、前記ノードの１つであり故障診断と制御プログラ
ムのバックアップ実行を行う診断系ＣＰＵと、前記ノー
ドの１つであり、１以上のセンサと１以上のアクチュエ
ータを接続し、該センサおよびアクチュエータの入出力
を制御しかつ伝送路との通信を制御するセンサ・アクチ
ュエータ制御装置を１以上備え、高い信頼性と速い伝送
速度を求められるノードのみを上記部分接続伝送路に接
続するようにしている。また、実行系ＣＰＵと、診断系
ＣＰＵと、エンジン制御に必要なセンサとアクチュエー
タを接続したセンサ・アクチュエータ制御装置のみを前
記部分接続伝送路に接続するようにしている。また、セ
ンサ・アクチュエータ制御装置は、伝送路との通信を制
御する通信制御モジュールと、障害時にフェールセーフ
制御を行うフェールセーフ制御モジュールと、アクチュ
エータへの出力データとセンサからの入力データの変換
を行うデータ変換モジュールと、データ変換モジュール
からのアクチュエータへのデータの出力制御およびセン
サからデータ変換モジュールへの入力制御を行うＩ／Ｏ
制御モジュールとからなるようにしている。実行系ＣＰ
Ｕは、伝送路との通信を制御する通信制御モジュール
と、受信したデータを入力して制御を実行するための制
御実行手段と、自ノード及び伝送路の故障を診断するた
めの自己診断手段からなり、診断系ＣＰＵは、伝送路と
の通信を制御する通信制御モジュールと、受信したデー
タを入力して制御を実行するための制御実行手段と、シ
ステム全体の障害を検知し対処するための故障診断手段
からなるようにしている。また、センサ・アクチュエー
タ制御装置、実行系ＣＰＵおよび診断系ＣＰＵの通信制
御モジュールは、自ノードに必要なデータの内容コード
を記録した内容コードテーブルが接続され、伝送路にデ
ータを送出するとき前記内容コードテーブルを参照して
データに内容コードを付して送出し、伝送路からデータ
を取り込むとき該データに付された内容コードにより前
記内容コードテーブルを参照して該データを取り込むよ
うにしている。また、センサ・アクチュエータ制御装置
のフェールセーフ制御モジュールは、センサからの入力
データに対応するアクチュエータへの出力データを記録
したデータテーブルが接続され、障害により伝送路から
のデータ転送に異常が発生したとき、センサからの入力
データに基づき前記データテーブルを参照してアクチュ
エータへの出力データを求め、該求めた出力データを前
記データ変換モジュールに出力するようにしている。ま
た、診断系ＣＰＵは、前記受信したデータを入力して制
御を実行するための制御実行手段の出力データを、実行
系ＣＰＵが通常動作しているときには伝送路上に送信せ
ず、実行系ＣＰＵの異常が検出されたときのみ伝送路上
に送信するようにしている。また、診断系ＣＰＵの故障
診断手段は、受信されたデータの発生頻度を測定し、伝
送路、ＣＰＵ、センサ・アクチュエータ制御装置等の故
障を診断するようにしている。

【０００５】

【作用】全体接続伝送路と部分接続伝送路を設けること
により、高い信頼性を要求されるノードが伝送路等の障
害の影響により動作できなくなる確率を軽減することが
できる。実行系と診断系の２つのＣＰＵを設け、診断系
ＣＰＵにも実行系プログラムを配置することにより、実
行系ＣＰＵがダウンした場合も診断系ＣＰＵが動作でき
るので高い信頼性を実現できる。センサおよびアクチュ
エータを直接ＣＰＵに接続するのではなく、センサ・ア
クチュエータ制御装置に接続するようにしたので、より
細かい単位で多重化でき、ＣＰＵ障害の影響を受けに
い。センサ・アクチュエータ制御装置にフェールセーフ
制御モジュールおよびデータテーブルを設けることによ
り、システムの他の部分に障害が発生しても、自律的に
機能できる。伝送路に流れるデータに内容コードを付加
してブロードキャストするようにしたので、仕様変更時
の変更が容易になる。故障診断プログラムは、ブロード
キャストされているデータの発生頻度を計測するので、
故障診断のための特別なデータの送受信を軽減すること
ができる。

【０００６】

【実施例】以下、本発明の実施例を詳細に説明する。図
１は、本実施例の車載マイコンネットワークシステムの
概略構成を示すブロック図である。全てのノード（本実
施例ではネットワークに接続されているハードウェアを
指す）を接続する全体接続伝送路０１、０２、１部のノ
ードを接続する部分接続伝送路０３、センサ・アクチュ
エータ制御装置２０〜３１、実行系ＣＰＵ１０、診断系
ＣＰＵ１１からなる。図１では、バス型伝送路を使用し
ているが、その他、リング型、スター型等、またはそれ
らの組合せでもよい。この構成の中で、エンジン制御に
用いられるセンサ及びアクチュエータを制御するセンサ
・アクチュエータ制御装置３０、３１は同じ構成で、２
重化されたものである。その他でも各ＣＰＵ、センサ・
アクチュエータ制御装置は必要に応じて多重化すること
ができる。図１の構成は、障害時に最低限動作し続けな
ければならない部分を多重化（この場合、多重化にはシ
ードウェアの多重化、伝送路の多重化とがある）してい
るが、これらを多重化しない場合でも、各ノードにおけ
る変更をすることなく動作可能である。

【０００７】図２は、自動車の制御に必要な車載マイコ
ンネットワークシステムの最小構成を表す。ここでは、
伝送路を１本とし、エンジン用のセンサ・アクチュエー
タ制御装置は１つとし、ＣＰＵを１つとして診断用のプ
ログラムも１つのＣＰＵ内に配置している。１つのセン
サ・アクチュエータ制御装置に接続するセンサ及びアク
チュエータは、１つの制御対象に必要なものを集めるよ
うにする。例えば、エンジン用のセンサ・アクチュエー
タ制御装置には、エンジン制御に必要なアクセル開度セ
ンサ、排気ガスセンサ等と、燃料噴射装置などのアクチ
ュエータを接続しておく。こうすることによって、後に
述べるセンサ・アクチュエータ制御装置のフェールセー
フ制御が有効となる。

【０００８】図３は、センサ・アクチュエータ制御装置
２０〜３１のモジュール構成を表す。センサ・アクチュ
エータ制御装置は、伝送路（例えば、０１）とのデータ
の送受信をする通信制御モジュール２００、必要に応じ
て自律的に自ノード内のアクチュエータに必要なデータ
を算出するフェールセーフ制御モジュール２０１、セン
サからの入力データをＡ／Ｄ変換等で伝送路に送信でき
る型に変換したり、アクチュエータに出力するデータを
Ｄ／Ａ変換等でアクチュエータに合った型に変換するデ
ータ変換モジュール２０２、センサ及びアクチュエータ
の入出力を制御するＩ／Ｏ制御モジュール２０３、内容
コードテーブル２０４、データテーブル２０５からな
る。２１０、２１１、２１２はアクチゥエータあるいは
センサである。

【０００９】図４は、実行系ＣＰＵ１０のモジュール構
成を表す。実行系ＣＰＵは、通信制御モジュール３０
０、実行系プログラム３０２〜３０５、自己診断モジュ
ール３０６、内容コードテーブル３０１からなる。図５
は、診断系ＣＰＵ１１のモジュール構成を表す。診断系
ＣＰＵは、通信制御モジュール３１０、実行系プログラ
ム３１２〜３１５、故障診断モジュール３１６、内容コ
ードテーブル３１１からなる。診断系ＣＰＵ１１の実行
系プログラム３１２〜３１５は、前記実行系ＣＰＵ１０
の実行系プログラム３０２〜３０５と同じものである。
図２における最小構成の場合は、診断系ＣＰＵはない
が、故障診断モジュール３１６は、実行系ＣＰＵ１０に
配置される。

【００１０】図６は、伝送路に流すデータのフォーマッ
トを表す。伝送路に流れるデータ１００は、データの内
容を表す内容コード１０１（例えば、エンジン回転数と
いうデータに適当な内容コードが与えられ、エンジン温
度というデータには他の適当な内容コードが与えられ
る）、送信元ノードのアドレスを示す送信ノードアドレ
ス１０２、送信したデータの順番を表す通番１０３、デ
ータ１０４から成る。内容コード１０１は、１つのデー
タあるいはその組合せに対して１つが対応づけられる。
通番１０３は、１つのノード内の１つの内容コードに対
応してカウントアップしていく。図７は、内容コードテ
ーブル２０４、３０１、３１１の構成を表す。内容コー
ドテーブルには、内容コード１１０、取り込み要否フラ
グ１１１（例えば、或るセンサ・アクチュエータ制御装
置の内容コードテーブルにおいて、該制御装置が取り込
む必要のあるデータに対しては“１”、必要のないデー
タに対しては“０”が設定される。）、対応ユニット１
１２（プログラム、アクチュエータ、センサ）、送信元
のノードアドレス及び通番１１３からなる各レコードが
格納される。

【００１１】図８は、通信制御モジュール２００、３０
０、３１０の構成を表す。通信制御モジュールは、伝送
路とのデータの送受信を行なうデータ送受信部３２０、
受信データを格納する受信データバッファ３２１、送信
データを格納する送信データバッファ３２２、受信デー
タの取り込み要否を判定し該当する受信データ受渡しバ
ッファに分配する内容コード判定部３２３、送信データ
受け取りバッファ３２６からのデータに内容コードを設
定する内容コード設定部３２４、受信データ受渡しバッ
ファ３２５、送信データ受け取りバッファ３２６からな
る。受信データ受渡しバッファの数は、センサ・アクチ
ュエータ制御装置の場合はアクチュエータの入力データ
の種類の総数、ＣＰＵの場合は、各プログラムの入力デ
ータの種類の総数と同じとなる。送信データ受け取りバ
ッファの数は、センサ・アクチュエータ制御装置の場合
は、センサの出力データの種類の総数、ＣＰＵの場合
は、各プログラムの出力データの種類の総数となる。デ
ータ送受信部は、伝送路からデータを受信すると、受信
データバッファにデータを格納し、送信データバッファ
にデータが格納されている場合は、伝送路にデータを送
信し、該当データを送信データバッファから消去する。

【００１２】図９は、内容コード判定部の動作フローチ
ャートである。内容コード判定部は、受信データバッフ
ァにデータがあるか否か判定し（４０１）、データがな
い時はスタートに戻る。受信データバッファにデータが
ある時は、１つデータを取り出し（４０２）、内容コー
ドテーブルの内容から受信したデータの内容コードが登
録された内容コードであるか判定する（４０３）。登録
されていない場合は、スタートに戻り、登録されていた
場合は、送信元ノードアドレスと通番からすでに受信し
たデータかどうかを判定する（４０４）。これは、伝送
路が多重化されていると、それぞれの伝送路から同じデ
ータが受信されることになるので、送信する際にデータ
の特定ができるように送信元のノードアドレスと、その
内容コード対応に通番をつけておくことにより、同じデ
ータかどうかを判定することができる。ノードアドレス
は各アドレス固有のもので２箇所以上に同じアドレスが
つけられることはないので、同じ機能を持った、すなわ
ち同じ内容コードのデータを送信する複数のノードを区
別することができる。また、１つの内容コードに対して
１つの通番を設けることによって、複数の伝送路で送信
時間にずれが発生しても、遅れて受信したデータをはじ
くことができる。また、さらに遅れが生じ、最新のデー
タより古いデータを受信する場合が考えられるが、常に
内容コードテーブルに最新のデータの通番を記録してお
くことによって、それより古い通番のデータをはじくこ
とができる。既受信データであった場合はスタートに戻
る。次に、既受信データでなかった場合に、該当する受
信データ受渡しバッファにデータを格納する（４０
５）。

【００１３】図１０は、内容コード設定部のフローチャ
ートである。以下の４１２から４１６のステップを送信
データ受け取りバッファの数分繰り返す（４１１）。送
信データ受け取りバッファにデータがあると（４１
２）、１つデータを取り出し（４１３）、内容コードテ
ーブルより対応するデータの内容コードと通番を参照し
て、内容コードを付加し、通番を１つカウントアップし
て付加し、さらに自ノードのノードアドレスを付加し
（４１４）、ｓｅｎｄｆｌａｇが１のときは(４１５)、
送信データバッファに格納し（４１６）、１でないとき
は、格納しない。ｓｅｎｄｆｌａｇは通信制御モジュー
ルのレジスタにセットしておく。ｓｅｎｄｆｌａｇは、
診断系ＣＰＵ以外のノードでは常時１に設定する。診断
系ＣＰＵでは、通常は０に設定しおき、診断系ＣＰＵの
実行系プログラム３１２〜３１５の処理結果は外部に出
力せず、実行系ＣＰＵの障害が検出された場合に１に設
定し、上記処理結果を外部に出力する。このようにする
と、診断系ＣＰＵの実行系プログラムの出力データを実
行系ＣＰＵの障害時のみに送信するように制御できる。
センサ・アクチュエータ制御装置の通信制御モジュー
ル、およびＣＰＵの通信制御モジュールは、同一の動作
をするので、内容コードテーブルと通信制御モジュール
をＩＣ化し、センサ・アクチュエータ制御装置とＣＰＵ
に接続して使用することも可能である。これにより、生
産性、コストパフォーマンスを向上させることができ
る。

【００１４】図１１は、フェールセーフ制御モジュール
の構成を表す。フェールセーフ制御モジュールは、デー
タ取り込部２２０、データテーブル参照部２２１、デー
タ出力バッファ２２２のセットを図８の受信データ受渡
しバッファ数分だけ持ち、データ渡し部２２３、データ
入力バッファ２２４のセットを図８の送信データ受け取
りバッファ数分だけ持っている。そして、データ出力バ
ッファ２２２の出力データとデータ入力バッファ２２４
の入力データが互いに関連している上記２つのセットか
らなる組が複数存在する。データ取り込部２２０は、通
信制御モジュールからデータを入力するのと同時に、デ
ータの入力される頻度を計測し、伝送路またはＣＰＵの
障害を検知する。図１２は、データ取り込部のフローチ
ャートである。初めに受信データ受渡しバッファ３２５
にデータがある時は（４２１）、１データを取り込み
（４２２）、現在時刻Ｔ０をレジスタにセットし（４２
３）、データをデータ出力バッファに格納し（４２
４）、ステップ４２１に戻る。ステップ４２１でデータ
がない場合は、現在時刻Ｔ１をレジスタにセットし（４
２５）、Ｔ１とＴ０の差が一定値Ｔｃより大きいときは
（４２６）、データテーブル参照部を起動させる（４２
７）。Ｔｃより差が大きくない時は、ステップ４２１に
戻る。データテーブル参照部を起動した後は、受信デー
タ受渡しバッファにデータがあるかどうか監視し（４２
８）、データが入ってきたらデータテーブル参照部を終
了させ（４２９）、ステップ４２１に戻る。このよう
に、受信データ受渡しバッファにデータが入らない時間
を計測することによって、フェールセーフの必要がある
かどうかを判断し、データテーブル参照部を起動させる
かを判断することができる。このようにすることによ
り、障害が発生してデータが送られなくなったとき、セ
ンサ出力によりデータテーブルを参照して、アクチュエ
ータへの出力信号を生成することができ、アクチュエー
タへのデータ転送停止を回避することができる。

【００１５】図１３は、データテーブル参照部のフロー
チャートである。初めに、データ取り込部から終了命令
が出されている時は（４３１）終了し（４３６）、出さ
れていない時はデータ入力バッファにデータがあるかど
うか調べる（４３２）。データがなければステップ４３
１に戻り、あるときは、１つのデータを取り出し（４３
３）、データテーブルより出力データを参照し（４３
４）、データ出力バッファに格納する（４３５）。図１
３では、１つのデータ入力バッファを見ているが、出力
データによっては、必要に応じて複数のデータ入力バッ
ファからデータを取り出し、出力データをデータテーブ
ルから参照する。デ−タテ−ブル２０５には、他ノ−ド
からデ−タが受信できなくなった際、すなわち、伝送路
または他ノ−ドの故障の際に、自ノ−ド内のデ−タのみ
でアクチュエ−タが動作できるために必要なデ−タが書
かれている。例えば、自センサ・アクチュエ−タ制御装
置に、アクセル開度センサと空気量制御アクチュエ−タ
が接続されているとする。デ−タテ−ブル２０５には、
アクセル開度と空気量の関係を表す表を記載しておき、
アクセル開度から空気量を求められるようにしておく。
システム正常時には、アクセル開度センサの入力値以外
に、他ノ−ドのセンサの入力値等も総合して実行系ＣＰ
Ｕの実行系プログラムに入力され、処理され、空気量制
御アクチュエ−タへの出力値が伝送路を介して送られて
くる。しかし、伝送路や他ノ−ドの故障により、空気量
制御アクチュエ−タへの出力値が受信できなくなった場
合、アクセル開度センサ入力値のみから、デ−タテ−ブ
ルに予めセットされていた出力値を求めて空気量制御ア
クチュエ−タに出力する。上記例では、アクチュエ−タ
に対し、１つのセンサの入力が用いられているが、自セ
ンサ・アクチュエ−タ制御装置に複数のセンサが接続さ
れていれば、複数センサの入力を用いることも可能であ
る。また、アクチュエ−タ出力に関係のあるセンサが自
センサ・アクチュエ−タに接続されていない場合は、ア
クチュエ−タに一定値を出力させるようにする。フェー
ルセーフ制御モジュールのデータ渡し部は、データ入力
バッファにデータが入ると、通信制御モジュールの送信
データ受け取りバッファに渡す。これは、データテーブ
ル参照部が起動されているかどうかに係わらず、同じ動
作をする。

【００１６】センサ・アクチュエータ制御装置のデータ
変換モジュール２０２は、フェールセーフ制御モジュー
ルのデータ出力バッファにデータが入っていれば、対応
するアクチュエータに応じた出力フォーマットにデータ
を変換し、Ｉ／Ｏ制御モジュールにデータを渡す。ま
た、Ｉ／Ｏ制御モジュールからセンサの出力データが渡
されると、伝送路に送信可能なデータの型に変換し、対
応するデータ入力バッファにデータを格納する。実行系
ＣＰＵにおける自己診断モジュールは、実行系ＣＰＵ内
の実行系プログラムの動作状況を監視し、異常が検出さ
れた場合は、異常の場所・状態などのメッセージを他ノ
ードにブロードキャストする。

【００１７】図１４は、診断系ＣＰＵの故障診断プログ
ラム内に置かれるデータ頻度テーブルのフォーマットを
表す。データ頻度テーブル３５０は、ノードアドレス３
５１、内容コード３５２、伝送路３５３、最新通番３５
４、最新受信時刻３５５、前受診時刻３５６、受信間隔
最小値３５７、受信間隔最大値３５８、正常／異常フラ
グ３５９の各項目からなる。ノードアドレス３５１には
伝送路に接続されている全てのノードのアドレスを、内
容コード３５２には、該当ノードから送信される全ての
内容コードを、伝送路３５３には該当ノードが接続され
た全ての伝送路を、受信間隔最小値３５６と受信間隔最
大値３５７には受信間隔の許容範囲をあらかじめ記録し
ておく。診断系ＣＰＵで受信されたデータは、全て故障
診断プログラムに取り込まれ、該当レコードに受信した
データの通番が最新通番に、１つ前に受信した時刻が前
受信時刻に、受信した時刻が最新受信時刻に記録され
る。

【００１８】図１５は、故障診断プログラムの診断部分
のフローチャートである。データ頻度テーブルのレコー
ド数分、以下４５２から４５６の動作を繰り返す（４５
１）。正常／異常フラグに０をセットし（４５２）、最
新受信時刻と前受信時刻の差が受信間隔最小値より小さ
いと（４５３）、正常／異常フラグに２をセットし（４
５４）、小さくない時はステップ４５５へ進む。現在時
刻と最新受信時刻の差が受信間隔最大値より大きい時は
（４５５）、正常／異常フラグを１にセットし（４５
６）、ループの初めに戻り、大きくない時はループの初
めに戻る。ループが終了すると、正常／異常フラグの値
を全体的に調べる。１つのノードアドレスに対応する正
常／異常フラグが全て１の時は（４５７）、そのノード
が故障と判断し（４５８）、そのノードが実行系ＣＰＵ
の時は、診断系ＣＰＵの通信制御モジュールのｓｅｎｄ
ｆｌａｇを１にセットし、異常処理を行なう（４６
１）。１ノード内の１内容コードに対応する正常／異常
フラグが１の場合は、該当プログラムまたはセンサが故
障していると判断し（４６３）、異常処理する（４６
４）。同一ノードの同一内容コードで、１つの伝送路の
正常／異常フラグが１の場合は（４６５）、該当伝送路
が異常と判断し（４６６）、異常処理をする（４６
７）。また、正常／異常フラグが２の場合は（４６
８）、該当ノードが暴走していると判断して該当アドレ
スにリセット命令を送信し（４６９）、該当ノードを動
作停止させる。

【００１９】実行系ＣＰＵ、診断系ＣＰＵの実行系プロ
グラムは、起動に必要な入力データが受信データ受渡し
バッファにそろったときに起動されるようにした方法
と、または、実行系プログラムは一定周期で起動され、
入力データは過去に受信した最新のデータを用いる方法
がある。前者の方法では、各センサの出力データを時系
列的に正しい順番で処理することができるが、伝送路の
トラフィックの混雑等による制御の遅れが生じやすい。
これに対し、後者の方法では、各実行系プログラムは一
定周期で起動されるので、制御の遅れは防ぐことはでき
るが、入力データが複数種類ある場合、１つのデータの
受信が遅れると、古いデータを使用することになるの
で、他の入力データとの整合性が問題となる。どちらの
方法を採用するかは実行系プログラムの性質によって決
定することが望ましい。実行系プログラムのデータの整
合性が重視されるときは、前者を、実行系プログラムの
出力データが規則的に送信されることが重視されるとき
は、後者を選ぶ。どちらの起動方法も可能にしておき、
個々の実行系プログラム毎に起動方法を決定することも
考えられる。

【００２０】

【発明の効果】全体接続伝送路と部分接続伝送路を設け
たので、各ノードの要求される信頼性によってフレキシ
ブルに接続することができる。これにより、部分接続伝
送路に接続されたノードは他のノードの障害の影響を受
けにくくなり、システム全体がダウンする可能性が低く
できる。実行系と診断系の２つのＣＰＵを設けたので、
実行系ＣＰＵが故障した場合にも、診断系ＣＰＵが代替
して動作することができるようになり、信頼性が向上し
た。また、診断系の実行系プログラムの出力は、実行系
ＣＰＵの障害時のみに伝送路に出力するようにしたの
で、トラフィックの混雑を防ぐことができる。センサ・
アクチュエータ制御装置を設け、ＣＰＵとセンサ、アク
チュエータを切り離して伝送路に接続することにより、
相互に障害の影響をうけにくくできる。また、高信頼性
を要求される、例えばエンジン制御に必要なセンサ・ア
クチュエータ制御装置を多重化することもでき、従来技
術のようなＣＰＵに直接センサやアクチュエータを接続
して多重化する場合に比べてコストを低減でき、かつ、
フレキシブルな接続による高信頼性を実現できる。セン
サ・アクチュエータ制御装置にフェールセーフ制御モジ
ュールを設け、伝送路等の障害の際にも、自律的に出力
データを算出できるようにしたので、リンプ・ホームを
実現できる。各ノードから伝送路に送られるデータに、
データの内容を示す内容コードを付けてブロードキャス
トするようにしたので、送信側で送り先の状態を意識す
る必要がなくなり、ノードの故障による伝送路のトラフ
ィックの異常が発生しなくなり、さらに、ノードの増減
などの拡張を容易にすることができる。故障診断プログ
ラムは、伝送路上に流れるデータの発生頻度を監視し故
障を診断するので、故障診断のためのデータを伝送路上
に流す必要がなく、伝送路のトラフィックに影響を及ぼ
さずに故障診断を可能にできる。

【図面の簡単な説明】

【図１】車載マイコンネットワークシステムの概略構成
を示すブロック図である。

【図２】車載マイコンネットワークシステムの最小構成
を示すブロック図である。

【図３】センサ・アクチュエータ制御装置のモジュール
構成を示す図である。

【図４】実行系ＣＰＵのモジュール構成を示す図であ
る。

【図５】診断系ＣＰＵのモジュール構成を示す図であ
る。

【図６】伝送路に流すデータのフォーマットを示す図で
ある。

【図７】内容コードテーブルの構成を示す図である。

【図８】通信制御モジュールの構成を示す図である。

【図９】内容コード判定部のフローチャートを示す図で
ある。

【図１０】内容コード設定部のフローチャートを示す図
である。

【図１１】フェールセーフ制御モジュールの構成を示す
図である。

【図１２】データ取り込部のフローチャートを示す図で
ある。

【図１３】データテーブル参照部のフローチャートを示
す図である。

【図１４】データ瀕度テーブルのフォーマットを示す図
である。

【図１５】故障診断プログラムの診断部分のフローチャ
ートを示す図である。

【符号の説明】

０１、０２ 全体接続伝送路 ０３ 部分接続伝送路 １０ 実行系ＣＰＵ １１ 診断系ＣＰＵ ２０〜３１ センサ・アクチュエータ制御装置 ２００、３００、３１０ 通信制御モジュール ２０４、３０１、３１１ 内容コードテーブル ２０１ フェールセーフ制御モジュール ２０２ データ変換モジュール ２０３ Ｉ／Ｏ制御モジュール ２０５ データテーブル ２１０、２１１、２１２ アクチュエータまたはセンサ ３０２〜３０５、３１２〜３１５ 実行系プログラム ３０６ 自己診断モジュール ３１６ 故障診断モジュール

───────────────────────────────────────────────────── フロントページの続き (72)発明者 岡崎 剛己 神奈川県川崎市幸区鹿島田890番地の12株 式会社日立製作所情報システム開発本部内 (72)発明者 高橋 信補 神奈川県川崎市麻生区王禅寺1099番地 株 式会社日立製作所システム開発研究所内 (72)発明者 岡 美江 神奈川県川崎市幸区鹿島田890番地の12株 式会社日立製作所情報システム開発本部内

Claims (17)

【特許請求の範囲】
1. 【請求項１】 自動車内のマイコンをネットワークで接
   続する車載マイコンネットワークシステムにおいて、 全てのノードを接続する１以上の全体接続伝送路と、１
   部のノードを接続する１以上の部分接続伝送路と、 前記ノードの１つであり制御プログラムを実行する実行
   系ＣＰＵと、前記ノードの１つであり故障診断と制御プ
   ログラムのバックアップ実行を行う診断系ＣＰＵと、 前記ノードの１つであり、１以上のセンサと１以上のア
   クチュエータを接続し、該センサおよびアクチュエータ
   の入出力を制御しかつ前記伝送路との通信を制御するセ
   ンサ・アクチュエータ制御装置を１以上備え、 高い信頼性と速い伝送速度を求められるノードのみを上
   記部分接続伝送路に接続することを特徴とする車載マイ
   コンネットワークシステム。
2. 【請求項２】 請求項１記載の車載マイコンネットワー
   クシステムにおいて、 前記実行系ＣＰＵと、前記診断
   系ＣＰＵと、エンジン制御に必要なセンサとアクチュエ
   ータを接続した前記センサ・アクチュエータ制御装置の
   みを前記部分接続伝送路に接続することを特徴とする車
   載マイコンネットワークシステム。
3. 【請求項３】 請求項１記載の車載マイコンネットワー
   クシステムにおいて、 各ノードを求められる信頼性に応じて多重化することを
   特徴とする車載マイコンネットワークシステム。
4. 【請求項４】 請求項２記載の車載マイコンネットワー
   クシステムにおいて、 前記エンジン制御に必要なセンサとアクチュエータを接
   続したセンサ・アクチュエータ制御装置を多重化するこ
   とを特徴とする車載マイコンネットワークシステム。
5. 【請求項５】 請求項１記載の車載マイコンネットワー
   クシステムにおいて、 前記センサ・アクチュエータ制御装置は、伝送路との通
   信を制御する通信制御モジュールと、障害時にフェール
   セーフ制御を行うフェールセーフ制御モジュールと、ア
   クチュエータへの出力データとセンサからの入力データ
   の変換を行うデータ変換モジュールと、データ変換モジ
   ュールからのアクチュエータへのデータの出力制御およ
   びセンサからデータ変換モジュールへの入力制御を行う
   Ｉ／Ｏ制御モジュールとからなることを特徴とする車載
   マイコンネットワークシステム。
6. 【請求項６】 請求項１記載の車載マイコンネットワー
   クシステムにおいて、 前記実行系ＣＰＵは、伝送路との通信を制御する通信制
   御モジュールと、受信したデータを入力して制御を実行
   するための制御実行手段と、自ノード及び伝送路の故障
   を診断するための自己診断手段からなることを特徴とす
   る車載マイコンネットワークシステム。
7. 【請求項７】 請求項１記載の車載マイコンネットワー
   クシステムにおいて、 前記診断系ＣＰＵは、伝送路との通信を制御する通信制
   御モジュールと、受信したデータを入力して制御を実行
   するための制御実行手段と、システム全体の障害を検知
   し対処するための故障診断手段からなることを特徴とす
   る車載マイコンネットワークシステム。
8. 【請求項８】 請求項５または請求項６または請求項７
   記載の車載マイコンネットワークシステムにおいて、 前記通信制御モジュールは、自ノードに必要なデータの
   内容コードを記録した内容コードテーブルが接続され、
   伝送路にデータを送出するとき前記内容コードテーブル
   を参照してデータに内容コードを付して送出し、伝送路
   からデータを取り込むとき該データに付された内容コー
   ドにより前記内容コードテーブルを参照して該データを
   取り込むことを特徴とする車載マイコンネットワークシ
   ステム。
9. 【請求項９】 請求項８記載の車載マイコンネットワー
   クシステムにおいて、 前記通信制御モジュールおよび内容コードテーブルの部
   分を一体化し１つのＩＣとしたことを特徴とする車載マ
   イコンネットワークシステム。
10. 【請求項１０】 請求項５記載の車載マイコンネットワ
    ークシステムにおいて、 前記フェールセーフ制御モジュールは、センサからの入
    力データに対応するアクチュエータへの出力データを記
    録したデータテーブルが接続され、障害により伝送路か
    らのデータ転送に異常が発生したとき、センサからの入
    力データに基づき前記データテーブルを参照してアクチ
    ュエータへの出力データを求め、該求めた出力データを
    前記データ変換モジュールに出力するようにしたことを
    特徴とする車載マイコンネットワークシステム。
11. 【請求項１１】 請求項６記載の車載マイコンネットワ
    ークシステムにおいて、 前記実行系ＣＰＵは、前記制御実行手段による処理に必
    要な最新データが揃った場合に該当制御実行手段を起動
    することを特徴とする車載マイコンネットワークシステ
    ム。
12. 【請求項１２】 請求項６記載の車載マイコンネットワ
    ークシステムにおいて、 前記実行系ＣＰＵは、前記制御実行手段による処理を一
    定周期ごとに起動し、入力データは起動時に受信されて
    いた最新のものを使用することを特徴とする車載マイコ
    ンネットワークシステム。
13. 【請求項１３】 請求項７記載の車載マイコンネットワ
    ークシステムにおいて、 前記診断系ＣＰＵは、前記制御実行手段の出力データ
    を、実行系ＣＰＵが通常動作しているときには伝送路上
    に送信せず、実行系ＣＰＵの異常が検出されたときのみ
    伝送路上に送信することを特徴とする車載マイコンネッ
    トワークシステム。
14. 【請求項１４】 請求項７記載の車載マイコンネットワ
    ークシステムにおいて、 前記故障診断手段は、診断結果を他ノードに報知し、必
    要に応じて他ノードへのリセット命令を送信することを
    特徴とする車載マイコンネットワークシステム。
15. 【請求項１５】 請求項７記載の車載マイコンネットワ
    ークシステムにおいて、 前記故障診断手段は、受信されたデータの発生頻度を測
    定し、伝送路、ＣＰＵ、センサ・アクチュエータ制御装
    置等の故障を診断することを特徴とする車載マイコンネ
    ットワークシステム。
16. 【請求項１６】 請求項７記載の車載マイコンネットワ
    ークシステムにおいて、 前記診断系ＣＰＵは、前記制御実行手段による処理に必
    要な最新データが揃った場合に該当制御実行手段を起動
    することを特徴とする車載マイコンネットワークシステ
    ム。
17. 【請求項１７】 請求項７記載の車載マイコンネットワ
    ークシステムにおいて、 前記診断系ＣＰＵは、前記制御実行手段による処理を一
    定周期ごとに起動し、入力データは起動時に受信されて
    いた最新のものを使用することを特徴とする車載マイコ
    ンネットワークシステム。