KR20140036954A

KR20140036954A - 차량 제어 장치 및 차량 제어 시스템

Info

Publication number: KR20140036954A
Application number: KR1020130096560A
Authority: KR
Inventors: 다카히로 이이다; 후미오 나리사와; 도시후미 요시카와; 마사히로 마츠바라; 도오마 야마구치
Original assignee: 히다치 오토모티브 시스템즈 가부시키가이샤
Priority date: 2012-09-18
Filing date: 2013-08-14
Publication date: 2014-03-26
Also published as: DE102013216530A8; CN103676925A; US20140081508A1; DE102013216530A1; JP2014058210A

Abstract

본 발명의 과제는 복수의 통신 메세지에 대한 이상 진단 결과를 사용하여, 송신처의 어플리케이션 또는 컨트롤러의 이상 판정을 행함으로써, 이상 진단의 정밀도나 상세도를 향상시키는 것이다.
차량 탑재 기기를 제어하기 위한 복수의 어플리케이션과, 상기 복수의 어플리케이션끼리의 데이터의 교환이 이루어지는 공통 실효 환경부를 구비한 차량 제어 장치에 있어서, 상기 복수의 어플리케이션이 상기 공통 실행 환경부와 데이터의 교환을 행할 때에, 당해 데이터의 이상 판정을 행하기 위한 통신 보호부와, 상기 통신 보호부에 의한 이상 판정 결과로부터 시스템 이상을 판정하는 시스템 이상 판정부를 구비한다.

Description

차량 제어 장치 및 차량 제어 시스템{AUTOMOTIVE CONTROL UNIT AND AUTOMOTIVE CONTROL SYSTEM}

본 발명은 차량 탑재 기기를 제어하기 위한 차량용 제어 장치에 관한 것이다.

종래, 통신 네트워크를 구비하는 차량 탑재 제어 장치에서는, 외부로부터 수신하는 통신 메세지에 대해 이상 판정이 행해져, 판정 결과에 따른 처리를 행한다. 예를 들어, 특허문헌 1에서는, 통신 제어 회로에서 나타내는 통신 처리부의, 제어 로직부에 있어서 모든 통신 메세지에 대해 이상 판정을 행하여, 통신 메세지에 이상이 있었던 경우에는 통신을 정지하는 기능에 대해 개시가 있다.

또한, 차량 탑재 제어 장치의 소프트웨어 구성 중 하나에, 차량 탑재 기기를 제어하는 개별 기능을 실현하는 계산부를 부품화한 어플리케이션과, 다른 어플리케이션 사이에서 공통적으로 이용되는 기능을 구비하고, 어플리케이션에 정형의 인터페이스를 제공하는 기반 소프트웨어부와, 어플리케이션과 기반 소프트웨어부 사이에 위치하여, 기반 소프트웨어부를 어플리케이션으로부터 가린 후 어플리케이션끼리의 데이터 교환 환경을 제공하는 공통 실행 환경부를 구비한 구성이 있다. 공통 실행 환경부를 구비하면, 어플리케이션의 변경 개소 외로의 영향을 국소화할 수 있으므로, 어플리케이션의 이식이 용이해져, 생산성 향상에 기여한다. 예를 들어, 차량 탑재 소프트웨어의 표준 규격 AUTOSAR(비특허문헌 1)에서는, 소프트웨어 내에 RTE(Run Time Environment)라고 불리는 공통 실행 환경을 준비하여, 전자 제어를 행하기 위한 계산부를 소프트웨어 컴포넌트로서 부품화하고, RTE 상에서 동작시키는 구성이 취해져 있다.

또한, 최근에는 전자 제어 시스템의 안전성을 담보하기 위해 기능 안전 규격으로의 준거가 요구되고 있다. 통신 기능을 기능 안전 규격에 준거시키기 위해서는, 데이터의 교환을 행하는 어플리케이션 사이의 레벨에서 통신 데이터 보호와 검사를 행하여, 통신 데이터의 신뢰성을 향상시키는 것이 요구된다. 이로 인해, 공통 실행 환경을 갖는 소프트웨어를 기능 안전 규격에 대응시키기 위해서는, 메세지마다의 이상 판정을 어플리케이션마다 행하는 구성이 필요해진다.

일본 특허 출원 공개 평8-9471호 공보

AUTOSAR http://www.autosar.org/

특허문헌 1에 기재된 기술에서는, 통신 메세지의 이상 진단은 통신 네트워크와 데이터의 송수신 처리를 행하는 통신 처리부에 의해 행하므로, 복수의 통신 메세지에 관한 이상 진단 결과를 사용한 통신 네트워크를 통한 송신처에 대한 이상 판정을 행하는 것이 가능하다. 그러나, 비특허문헌 1의 기재와 같은 공통 실행 환경을 갖는 소프트웨어 구성에서 어플리케이션끼리의 통신 데이터 보호에 대해서는 각별히 배려가 이루어져 있지 않다. 또한, 단순히 공통 실행 환경상의 각 어플리케이션에 특허문헌 1의 기재와 같은 통신 메세지마다의 이상 판정을 분산 배치하였다고 해도, 복수의 통신 메세지에 대한 이상 판정의 결과를 사용한 시스템 단위, 제어 장치 단위의 이상 판정을 행할 수 없다.

또한, 어플리케이션마다 통신 메세지마다의 이상 판정을 구비해도, 이상 판정의 처리가 어플리케이션의 동작 상태에 영향을 받아, 송신처에 대한 이상 판정을 잘못하는 경우가 있다.

본 발명은 이와 같은 과제를 감안하여 이루어진 것으로, 본 발명의 목적은 복수의 통신 메세지에 대한 이상 진단 결과를 사용하여, 송신처의 어플리케이션 또는 컨트롤러의 이상 판정을 행함으로써, 이상 진단의 정밀도나 상세도를 향상시키는 데 있다.

상기 과제를 해결하기 위해 본원 발명은, 어플리케이션의 레벨에서, 통신의 이상 판정 결과를 수집하는 기능과, 시스템 단위의 이상 판정을 행하는 기능을 가진 소프트웨어 부품을 실장하여, 어플리케이션마다 메세지의 통신 이상 판정을 행하는 구성이라도, 통신 이상 판정을 수집하여 시스템의 이상을 판정한다.

또한, 어플리케이션의 동작 상태를 사용하여 판정 룰을 바꾼다.

본 발명에 따르면, 공통 실행 환경을 갖는 소프트웨어 구성에 있어서, 각 어플리케이션 사이의 통신 메세지의 보호와, 복수의 통신 메세지에 대한 이상 판정의 결과를 사용한 시스템 단위의 이상 판정이 가능해진다.

또한, 어플리케이션의 동작 상태를 사용하여 판정 룰을 바꿈으로써, 통신 메세지마다 이상 판정의 처리가 개개의 어플리케이션의 동작 상태에 영향을 받아도, 복수의 통신 메세지에 대한 이상 판정을 사용한 상기 이상 판정을 잘못하지 않는다.

도 1은 본 발명을 적용한 차량 탑재 제어 시스템을 나타내는 도면.
도 2a는 본 발명의 소프트웨어 구성을 나타내는 도면.
도 2b는 시스템 상태 판정부의 구성을 나타내는 도면.
도 3a는 통신 메세지를 나타내는 도면.
도 3b는 통지 파라미터와 어플리케이션의 동작 상태의 관계를 나타내는 도면.
도 4는 송신측의 통신 이상 판정부(통신 보호부)의 처리를 나타내는 도면.
도 5는 수신측의 통신 이상 판정부(통신 보호부)의 처리를 나타내는 도면.
도 6은 통신 이상 판정 방법을 나타내는 도면.
도 7a는 어플리케이션 동작 상태 관리부의 처리 플로우.
도 7b는 동작 상태 테이블을 나타내는 도면.
도 8a는 판정 룰 결정부의 처리를 나타내는 도면.
도 8b는 판정 룰 선택 테이블을 나타내는 도면.
도 9a는 상태 판정부의 처리를 나타내는 도면.
도 9b는 어플리케이션이 통상 상태인 경우의 판정 테이블.
도 9c는 어플리케이션의 일부가 휴지 상태인 경우의 판정 테이블.
도 10은 구체화한 어플리케이션의 설명도.
도 11a는 ECU 사이의 통신을 나타내는 도면.
도 11b는 진단 어플리케이션의 판정 테이블을 나타내는 도면.
도 12a는 회생 어플리케이션이 휴지된 경우의 ECU 사이의 통신을 나타내는 도면.
도 12b는 진단 어플리케이션의 전환 후의 판정 테이블을 나타내는 도면.

이후, 본 발명의 실시예에 대해 도면을 사용하여 설명을 행한다.

[실시예 1]

본 발명의 기본적인 구성을 도시한다.

도 1에 본 발명을 적용한 차량 탑재 제어 시스템을 도시한다. 차량 탑재 제어 시스템은, 적어도 2개의 ECU(Electronic Control Unit)(101-1, 101-2, …, 101-n)를 갖고, 이들은 데이터 교환을 위한 통신 네트워크(102)에 접속하여, 서로 데이터의 교환을 행한다. ECU(100)에는 통신 네트워크(102)로부터 데이터를 수신, 혹은 통신 네트워크(102)로 데이터를 송신하기 위한 통신 장치(103)와, 프로그램이 저장된 기억 장치인 ROM(Read Only Memory)(104)과, 이 ROM(104)에 저장된 프로그램을 실행하는 연산 회로인 CPU(Central Processing Unit)(105)와, 소프트웨어의 상태를 기억하는 기억 장치가 되는 RAM(Random Access Memory)(106)과, 센서로부터의 값을 취득하여 제어 대상의 액추에이터로 제어 신호를 출력하는 입출력 장치(107)가 구비되어 있다.

도 2에 본 발명의 소프트웨어 구성을 도시한다. 도 2a는 소프트웨어 전체의 구성을 도시한다. 도 2a는 도 1의 ECU(100)의 ROM(104)상에 기억되고, CPU(105)에 의해 실행된다. 소프트웨어의 상태는 RAM(106)상에 일시적으로 기억된다.

통신 인터페이스부(201)는 통신 네트워크(102)로부터의 통신 메세지를 송수신하는 기능과, 통신 네트워크(102)상에서의 수신처 정보를 부여하고, 통신 데이터를 통신 네트워크(102)상에 있어서의 데이터 포맷(예를 들어, 비트열의 표현 방법)으로 변환하는 기능을 구비한다.

공통 실행 환경부(202)는 동일한 ECU(100)인지 외부의 ECU(100)인지에 상관없이 어플리케이션(203)끼리의 데이터 통신을 관리하여 실행하는 기능이나 어플리케이션(203)의 일부 처리를 기동하는 기능을 구비하고, 어플리케이션으로 데이터 교환을 위한 인터페이스를 제공하여, 어플리케이션(203)의 데이터 통신을 관리한다.

어플리케이션(203-1, 203-2, …, 203-m)은 자동차나 자동차를 구성하는 컨트롤러의 제어나 진단 처리나 입출력의 관리를 하기 위한 각종 계산을 행하는 기능을 갖고, 본 발명의 구성에는 적어도 1개 이상 구비한다.

통신 보호부(204)는 어플리케이션(203)과 공통 실행 환경부(202) 사이에 위치하여, 어플리케이션(203)이 공통 실행 환경부(202)로 전달하는 데이터에 보호 데이터를 부가하는 기능과, 공통 실행 환경부(202)가 어플리케이션(203)으로 전달하는 데이터의 이상을 진단하는 기능을 갖는다.

시스템 상태 판정부(205)(시스템 이상 판정부)는 통신 보호부(204)가 행하는 보호 데이터의 이상 판정의 결과와, 어플리케이션(203)의 동작 상태를 수집하여, 메세지의 송신처의 어플리케이션 또는 컨트롤러에 대한 이상 판정을 행한다.

로그 기억부(206)는 통신 보호부(204)의 통신 보호 결과나 시스템 상태 판정부(205)의 시스템 상태 판정 결과를 보존할 수 있다. 로그 기억부(206)에 보존 가능한 데이터는 통신 보호 결과나 시스템 상태 판정 결과로 한정되지 않는다.

도 2b에 시스템 상태 판정부(205)의 기능을 도시한다. 어플리케이션 동작 상태 관리부(207)는 각 어플리케이션으로부터 송신되는 어플리케이션 동작 상태 데이터를 공통 실행 환경부(202)로부터 취득하고, 동작 상태 테이블에 정리하여 판정 룰 결정부(208)로 통지한다. 판정 룰 결정부(208)는 어플리케이션 동작 상태 관리부(207)로부터 전달된 각 어플리케이션의 동작 상태를 사용하여, 상태 판정부(209)가 사용하는 판정 룰을 선택하여, 상태 판정부(209)로 통지한다. 상태 판정부(209)에서는 통신 보호부(204)로부터 보내져 온 하나 내지 복수의 통신 이상 판정 결과를 공통 실행 환경부(202)로부터 수취하고, 통신 이상 판정 결과를 사용하여 송신처의 어플리케이션 또는 컨트롤러의 상태를 판정한다.

본 발명에 있어서는, 적어도 송신측에 1개의 수신측에 1개의 통신 보호부가 필요하지만, 반드시 모든 어플리케이션에 구비될 필요는 없다.

도 3에 공통 실행 환경부(202) 위를 흐르는 통신 메세지를 도시한다. 도 3a는 통신 메세지에 포함되는 데이터를 도시하고 있고, 통신 메세지에는 수신처 정보 등을 포함하는 헤더 정보(301)와, 어플리케이션(203)이 작성하여 수신처로 보내지는 어플리케이션 데이터(304)와, 통신 보호부(204)가 계산하는 보호용 데이터가 포함된다. 보호용 데이터에는 어플리케이션 데이터(304)의 비트열로부터 계산되어, 1비트 이상의 값이 반전되었을 때에 검출 가능해지는 오류 검출 부호(302)나, 메세지의 순서를 식별하기 위한 메세지 카운터(303)가 구비된다.

오류 검출 부호(302)는, 예를 들어 8bit CRC가 사용되고, 8bit CRC는 8bit의 데이터 영역에서 나타낼 수 있는 오류 검출 부호이다. 오류 검출 부호는 상기 8bit CRC로 한정되지 않고, 다른 오류 검출 부호, 예를 들어 다른 bit의 CRC나, 체크섬 등을 사용하도록 해도 된다.

메세지 카운터(303)는, 예를 들어 4bit(0∼15에서 순회)로 나타내고, 통신 보호부는 메세지마다의 최신 메세지 카운터의 값을 유지하여, 카운터값을 오류 없이 증가시킨다. 메세지 카운터는 4bit의 값으로 한정되는 것은 아니다.

어플리케이션 데이터(304) 중 하나에, 어플리케이션의 동작 상태에 관한 데이터가 있다. 현재의 어플리케이션의 동작 상태를 수치로 나타내고, 상태가 변화되었을 때 혹은 일정 간격으로 시스템 상태 판정부에 통지한다. 도 3b는 어플리케이션의 동작 상태를 나타내는 수치를 나타낸 데이터 표이다. 통지 파라미터의 하나는 어플리케이션이 통상 동작 중인 것을, 통지 파라미터 0은 어플리케이션이 휴지 상태에 들어간 것을 나타내는 값이다.

본 발명에는 2개 이상의 동작 상태를 필요로 하지만, 어플리케이션의 동작 상태는 3개 이상이어도 된다. 어플리케이션 데이터(304)는 상기에 한정되지 않고, 헤더 정보(301)나 오류 검출 부호(302)나 메세지 카운터(303) 등의 보호용 데이터 이외의 데이터를 나타낸다.

이들 통신 메세지의 사이즈는, 예를 들어 차량 탑재 통신 프로토콜의 하나인 CAN을 사용하면 최대 8byte의 데이터 길이 내에 들어갈 필요가 있다. 메세지의 사이즈 및 사용하는 프로토콜이나 데이터 포맷은 상기에 한정되지 않지만, 설정한 최대 데이터 길이를 상회하지 않는다.

이상이 본 발명의 시스템 구성이 된다. 계속해서 본 발명을 적용한 시스템의 기본적인 행동을 나타낸다.

이하에서는, 송신측이 되는 ECU[100-x(x＝1∼n)]의 소프트웨어에 있어서의 처리를 설명한다.

송신측 ECU에서의 처리는, 어플리케이션(203)이 송신하고 싶은 어플리케이션 데이터(304)를 작성하여, 통신 보호부(204)에서 보호 데이터를 부여하고, 공통 실행 환경부(202)를 통해, 통신 인터페이스부(201)에서 헤더 정보(301)를 부여하고, 통신 메세지를 통신 네트워크(102)로 송신한다.

도 4는 통신 보호부(204)의 송신 시의 처리 플로우를 도시하고 있다.

우선, 스텝 401에 있어서, 통신 보호부(204)는 어플리케이션으로부터 송신 요구가 있는 송신 데이터와 수신처 어플리케이션 정보를 나타내는 데이터를 수취한다.

다음에, 스텝 402에 있어서, 유지하고 있던 메세지 카운터(303)의 전회값으로부터 하나 늘린 것을, 다음 메세지 카운터(303)로서 계산하고, 계산된 메세지 카운터(303)를 어플리케이션 데이터(304)와 함께 통신 메세지로 저장한다.

다음에, 스텝 403에 있어서, 어플리케이션 데이터(304)와 메세지 카운터(303)가 저장된 통신 메세지에 대해 오류 검출 부호(302)로서 8bit CRC를 계산하여, CRC의 값을 통신 메세지로 저장한다.

다음에, 스텝 404에 있어서, 통신 메세지와 수신처 어플리케이션 정보를 공통 실행 환경부(202)로 전달함으로써 데이터를 송신한다.

통신 메세지와 수신처 어플리케이션 정보를 수취한 공통 실행 환경부(202)는 통신 메세지의 수신처 어플리케이션 정보를 기초로 설정된 테이블 정보로부터 수신처 ECU 정보를 부여하여, 통신 인터페이스부(201)로 보낸다. 통신 인터페이스부(201)는 통신 네트워크(102)로 데이터를 송신한다.

수신측이 되는 ECU[100-X(X＝1∼n)]의 소프트웨어에 있어서의 수신 처리에 대해 나타낸다.

수신측 ECU[100-X(X＝1∼n)]의 통신 인터페이스부(201)는 데이터를 수신하여, 공통 실행 환경부(202)로 수신 데이터를 전달한다. 공통 실행 환경부(202)는 수신처 어플리케이션 정보를 기초로 통신 보호부(204-1∼m)의 하나로 수신 데이터를 전달한다.

도 5에 통신 보호부(204)의 수신 시의 처리 플로우를 도시한다. 우선, 스텝 501에 있어서, 공통 실행 환경부로부터 자신을 수신처로 한 통신 메세지를 수취한다.

다음에, 스텝 502에 있어서, 통신 메세지(401)에 부여된 부여 데이터를 확인하여, 이상 판정을 행한다. 이상 판정 방법 및 처리 플로우에 대해서는 도 6을 사용하여 설명한다.

다음에, 스텝 503에 있어서, 스텝 502에서 확인한 결과, 이상이 없는 경우에는 스텝 505로, 이상이 있는 경우에는 스텝 504로 이동한다.

다음에, 스텝 504에서는, 이상이 없었던 통신 데이터를 어플리케이션으로 전달한다.

다음에, 스텝 505에서는, 이상 판정의 결과를 시스템 상태 판정부(205)로 전달하기 위해, 이상 판정 결과를, 시스템 상태 판정부를 수신처로 하여 공통 실행 환경부로 전달한다.

도 6에 스텝 502에서 행하는 통신 이상 판정 방법의 처리 플로우를 도시한다.

우선, 스텝 601에 있어서, 통신 메세지에 저장된 CRC 등의 오류 검출 부호와, 오류 검출 부호 이외의 메세지 영역으로부터 계산된 값을 비교하여, 동등하면 데이터가 정상이라고 하여 스텝 602로, 동등하지 않으면 데이터에 이상이 있다고 하여 스텝 603으로 이동한다.

다음에, 스텝 602에 있어서, 메세지 카운터가 이상인지를 판정한다. 메세지 카운터의 이상은 수신측 통신 보호부에 기억되어 있는 전회값과의 비교에 의해 행한다. 전회값과 동일한 값이었던 경우나, 카운터의 순서가 잘못되었던 경우, 이상이 있었다고 하여 스텝 604로, 이상이 없는 경우에는 스텝 605로 이동한다.

스텝 603에서는, 판정 결과를, 오류 정정 부호에 이상이 있었다고 하여, 이상으로 한다.

스텝 604에서는, 판정 결과를, 메세지 카운터에 이상이 있었다고 하여, 이상으로 한다.

스텝 605에서는, 판정 결과를, 이상이 없었다고 하여 정상으로 한다. 이상 판정 방법 및 판정 결과는 상기 플로우로 한정되는 것은 아니다. 시스템 상태 판정부에 통지되는 통신 메세지마다의 판정 결과이면 된다. 예를 들어, CRC 등에 의한 오류 검출과, 메세지 카운터를 사용한 이상 판정을 각각 단독으로 행해도 된다.

계속해서, 수신측이 되는 ECU(100에 상당)의 소프트웨어의 동작을 설명한다.

어플리케이션[203-M(M＝1∼m)]은 자신의 동작 상태를 시스템 상태 판정부(205)로 통지한다. 어플리케이션(203)은 자신의 동작 상태를 어플리케이션 데이터(304)로 하고, 수신처 어플리케이션을 시스템 상태 판정부(205)로 하여 공통 실행 환경부(202)로 전달한다. 공통 실행 환경부(202)는 수신처 어플리케이션 정보를 기초로 시스템 상태 판정부(205)로 수신 데이터를 전달한다.

통신 보호부[204-M(M＝1∼m)]는 이상 판정의 결과를 정상인지 이상인지에 상관없이, 공통 실행 환경부(202)를 통해 시스템 상태 판정부(205)로 통지한다. 이상 판정 결과는 어플리케이션 데이터(304)로 하고, 수신처 어플리케이션을 시스템 상태 판정부(205)로 하여 공통 실행 환경부(202)로 전달한다. 공통 실행 환경부(202)는 수신처 어플리케이션 정보를 기초로 시스템 상태 판정부(205)로 수신 데이터를 전달한다.

시스템 상태 판정부(205)에 있어서, 어플리케이션 상태 관리부(207)는 어플리케이션[203-M(M＝1∼m)]의 상태 데이터를 수집, 관리하여, 판정 룰 결정부(208)로 어플리케이션의 동작 상태를 통지한다.

판정 룰 결정부(208)는 어플리케이션의 동작 상태를 사용하여, 상태 판정부(209)에서 사용하는 상태 판정 룰을 결정하여, 상태 판정 룰의 정보를 상태 판정부(209)로 통지한다.

상태 판정부(209)는 통신 보호부(204-M)의 이상 판정 결과와 판정 룰 결정부(208)에 의해 통지된 판정 룰에 따라서 송신처의 어플리케이션 또는 컨트롤러의 상태를 판정한다.

도 7에 어플리케이션 동작 상태 관리부(207)의 처리를 도시한다.

도 7a는 어플리케이션 동작 상태 관리부(207)의 처리 플로우를 도시하고 있고, 도 7b는 어플리케이션 동작 상태 관리부(207)에서 취급하는, 각 어플리케이션의 동작 상태를 기록한 동작 상태 테이블을 나타낸다.

도 7a를 사용하여 어플리케이션 동작 상태 관리부(207)의 처리를 도시한다.

우선, 스텝 701에 있어서, 수신 처리를 행하여 공통 실행 환경부(202)로부터 각 어플리케이션의 동작 상태 데이터를 수신한다.

다음에, 스텝 702에 있어서, 수신한 어플리케이션의 동작 상태 데이터를, 동작 상태 테이블로 저장한다. 도 7b에 도시한 바와 같이, 동작 상태 테이블에는 각 어플리케이션(203)에 일의적으로 대응한 관리 번호와 어플리케이션의 동작 상태값을 저장하는 영역이 존재한다. 스텝 702에서는 동작 상태 데이터의 값을 대응하는 어플리케이션의 동작 상태값으로 보존한다.

다음에, 스텝 703에 있어서, 동작 상태 테이블을 판정 룰 결정부(208)로 전달한다.

도 8에 판정 룰 결정부(208)의 처리를 도시한다. 도 8a는 판정 룰 결정부(208)의 처리 플로우를 도시하고 있고, 도 8b는 판정 룰을 결정할 때에 사용하는 판정 룰 선택 테이블을 도시한다.

도 8a를 사용하여 판정 룰 결정부의 처리를 도시한다.

우선, 스텝 801에 있어서, 어플리케이션 동작 상태 관리부(207)로부터 동작 상태 관리 테이블을 수취한다.

다음에, 스텝 802에 있어서 동작 상태 관리 테이블의 정보와 판정 룰 선택 테이블의 정보를 사용하여, 현재의 어플리케이션의 상황에 적합한 판정 룰을 결정한다. 도 8b에 도시한 바와 같이, 판정 룰 선택 테이블은 각 어플리케이션의 동작 상태의 조합으로부터, 판정 룰을 선택하기 위한 것이다.

다음에, 스텝 803에 있어서, 스텝 802에서 결정된 판정 룰 정보를, 상태 판정부(209)로 전달한다.

도 9에 상태 판정부(209)의 처리를 도시한다.

도 9a는 상태 판정부(209)의 처리 플로우를 도시하고, 도 9b, 도 9c는 상태 판정부에서 사용하는 판정 룰 테이블을 도시한다.

도 9a를 사용하여 판정 룰 결정부의 처리를 도시한다.

우선, 스텝 901에 있어서, 수신 처리를 행하여, 공통 실행 환경부(202)로부터, 각 메세지의 이상 판정 결과를 수신한다.

다음에, 스텝 902에 있어서, 판정 룰 결정부(208)로부터 판정 룰 정보를 수취한다.

다음에, 스텝 903에 있어서, 판정 룰 정보로부터, 판정 룰 테이블을 결정한다. 도 9b, 도 9c에 도시한 바와 같이, 판정 룰 테이블에는 메세지의 이상 판정 결과의 조합으로부터, 상태 판정의 결과를 도출하기 위한 것이다. 도 9b는 도 8b에 있어서, 각 어플리케이션이 통상 상태인 경우의 판정 룰을 도시하고 있고, 메세지 A, B의 이상 판정의 결과의 조합분의 판정 룰을 갖는다. 도 9c는 도 8b에 있어서, 어플리케이션 B가 휴지 상태에 있었던 경우의 판정 테이블이고 메세지 A의 이상 판정 결과만을 사용하여 판정 결과를 유도하고 있다.

다음에 스텝 904에 있어서, 스텝 903에 있어서 결정한 판정 테이블과 스텝 901에 의해 수신한 통신 이상 판정 결과를 사용하여, 시스템 상태를 판정한다.

시스템 상태 판정부에 의해 판정된 상태 판정 결과를 사용하여, 이상 시에 입출력 회로(107)를 통해 이상을 조종자나 정비자에게 통지하는 경고등 등의 외부 기기로 보내지는 신호의 작성이나, 상태 판정 결과를 로그 기억부(206)로 보존함으로써 고장의 조사를 행할 때에 사용할 수 있다. 상태 판정 결과의 이용 방법은 상기에 한정되지 않고, 다양한 이용 방법이 있어도 된다.

상기 구성에 의해, AUTOSAR과 기능 안전에 대응한 소프트웨어라도, 통신의 이상 판정 결과를 사용하여 어플리케이션/컨트롤러 단위의 진단이 가능해진다. 또한, 어플리케이션 동작 상태를 사용함으로써 판정 결과가 잘못되는 일 없이, 진단 가능하다.

이상이 본 발명을 적용한 차량 탑재 제어 장치의 일반적인 구성과 행동이 된다.

다음에, 본 발명을 적용한 차량 탑재 제어 시스템의 하나의 실시예로서 어플리케이션(203)을 구체화한 것을, 도 10을 사용하여 도시한다. 도 10은 어느 2개의 ECU의 어플리케이션 사이의 데이터 플로우를 나타내고, 간단하게 하기 위해 통신 보호부(204)는 어플리케이션(203)에 포함되어 있다고 하여, 생략하고 있다.

ECU(1001)는 도 1 등에 있어서의 ECU(100)에 상당하고, 소프트웨어에 브레이크 제어를 위한 계산을 실행시키는 기능을 갖는다. 또한, ECU(1001)는 외부 출력의 수단으로서 경고등을 갖고, 이상 로그를 보존 가능한 기억부를 갖고 있다.

ECU(1002)는 본 발명에 있어서의 ECU(100)에 상당하고, 소프트웨어에 모터 제어를 위한 계산과, 배터리 관리를 행하는 기능을 갖는다.

진단 어플리케이션(1003)은 도 2의 시스템 상태 판정부(205)에 상당하고, ECU(1001)에 포함되는 어플리케이션이고, ECU(1001) 내의 어플리케이션의 동작 모드와 이상 판정 결과를 수집하여, 경고등의 점등 및 기억부로 로그를 보존한다.

제어 모드 관리 어플리케이션(1004)은 시스템 상태 판정부(205)의 어플리케이션 상태 관리부(207)의 기능과, 통신 보호부(204)를 갖는, ECU(1001)에 포함되는 어플리케이션이고, ECU(1002)로부터의 구동 모터 이상 플래그의 ON/OFF에 따라서, ECU(1001)의 브레이크 제어 어플리케이션(1005)과 회생 어플리케이션(1006)에 대해, 회생 브레이크를 실행할지 여부의 지시를 나타내는 회생 유무 데이터를 송신한다.

브레이크 제어 어플리케이션(1005)은 어플리케이션(203)에 상당하고 통신 보호부(204)를 갖는, ECU(1001)에 포함되는 어플리케이션이고, 브레이크 페달의 스트로크 센서를 A/D 변환으로 도입하여 스텝핑량 데이터로 하는 기능을 갖고, 제어 모드 관리 어플리케이션(1004)으로부터의 회생 유무 통지에 따라서, 회생 있음이면, 브레이크 페달 어플리케이션(1007)으로부터 통지되는 스텝핑량과 회생 어플리케이션(1006)으로부터 통지되는 목표 제동력에 따라서, 브레이크의 제동력을 계산하는 기능을 갖고, 회생 없음이면, 브레이크 페달 어플리케이션(1007)으로부터 통지되는 스텝핑량에 따라서 브레이크의 제동력을 계산하여, 브레이크를 제어한다.

회생 어플리케이션(1006)은 어플리케이션(203)에 상당하고 통신 보호부(204)를 갖는, ECU(1001)에 포함되는 어플리케이션이고, 모터를 발전기로서 이용했을 때의 회전 저항을 이용한 회생 브레이크에 관하여, 그 제동력을 계산하는 기능을 갖고 있고, 브레이크 페달 어플리케이션(1007)의 스텝핑량에 따라서, 브레이크 제어 어플리케이션(1005)으로 회생 브레이크를 병용했을 때의 목표 제동력을 통지한다. 또한, 제어 모드 관리 어플리케이션으로부터의 회생 유무 통지가 회생 없음이었던 경우, 회생 있음이 통지될 때까지 동작을 휴지한다.

브레이크 페달 어플리케이션(1007)은 어플리케이션(203)에 상당하고 통신 보호부(204)를 갖는 ECU(1001)에 포함되는 어플리케이션이고, 운전수가 조작한 브레이크 페달의 스텝핑량을 취득하여, 회생 어플리케이션(1006)과 브레이크 제어 어플리케이션(1005)에 통지한다.

구동 모터 제어 어플리케이션(1008)은 어플리케이션(203)에 상당하고 통신 보호부(204)를 갖는 ECU(1002)에 포함되는 어플리케이션이고, 현재의 모터의 전류값을 계측하고, 계측한 전류값으로부터 모터의 구동력을 계산하여, PWM 신호로서 모터로 출력한다. 또한, 전류값으로부터 현재의 모터의 구동에 이상이 없는지를 판정하여, 이상이 있었을 때에는 ECU(1001)의 제어 관리 모드 어플리케이션(1004)에 통지한다.

배터리 관리 어플리케이션(1009)은 어플리케이션(203)에 상당하고 통신 보호부(204)를 갖는 ECU(1002)에 포함되는 어플리케이션이고, 배터리의 전압과 전류값으로부터 배터리 잔량을 계산하여, ECU(1001)의 회생 어플리케이션(1006)으로 통지한다.

도 11을 사용하여, ECU(1001)의 진단 어플리케이션(1003)이 ECU(1002)의 상태를 판정하는 처리를 도시한다. 도 11a는 도 10으로부터 ECU(1002)와 ECU(1001)의 데이터 통신 부분을 뽑아낸 것이 된다.

구동 모터 제어 어플리케이션(1008)으로부터 송신되는 구동 모터 이상 플래그의 통신 데이터는 제어 모드 어플리케이션(1004)의 이상 판정부(204)에 의해 이상 판정이 행해져, 이상 판정의 결과가 진단 어플리케이션(1003)으로 통지된다.

배터리 관리 어플리케이션(1009)으로부터 송신되는 배터리 잔량의 통신 데이터는 회생 어플리케이션(1006)의 통신 보호부(204)에 의해 이상 판정이 행해져, 이상 판정의 결과가 진단 어플리케이션(1003)으로 통지된다.

진단 어플리케이션은 이상 판정의 결과로부터 ECU(1002)의 동작 상태를 판정하여, 이상으로 판정한 경우, 경고등의 점등을 위한 처리를 행한다. 시스템 상태 판정은 로그로서 로그 기억부(206)에 기억된다. 적절하게, 경고 등의 점등 이외에도, 페일 세이프 처리나 이상 상태에 따른 차량 탑재 기기의 제어를 행해도 된다.

도 11b는 진단 어플리케이션(1003)에서 행해지는 시스템 상태 판정의 판정 룰을 나타낸 데이터 테이블이 된다. 2개의 송신 데이터의 이상 판정 결과의 조합으로부터, ECU(1002)의 동작 상태를 판정한다.

이 구성에서는 제어 모드 관리 어플리케이션(1004)과의 통신에 의해, 회생 어플리케이션(1006)이 휴지하는 경우가 있다. 이때, 진단 어플리케이션(1003)은 이상 판정에 사용하는 송신 데이터의 하나인 배터리 잔량의 통신 데이터에 관한 이상 판정 결과를 얻을 수 없어, 정상적인 상태 판정을 행할 수 없다. 예를 들어, 회생 어플리케이션(1006)이 휴지 상태에 있을 때, 배터리 관리 어플리케이션(1009)이 이상이라고 오판정해 버리는 것이 생각된다. 또한, 예를 들어 구동 모터 이상 플래그 및 배터리 잔량의 어떤 통신 데이터이든 이상일 때에 ECU(1002) 전체에 이상이 발생하고 있다고 판단하는 경우에 있어서, 구동 모터 제어 어플리케이션(1008)에 이상이 발생하고, 또한 회생 어플리케이션(1006)이 휴지 상태일 때, 구동 모터 제어 어플리케이션(1008)만이 이상인 것인지, ECU(1002) 전체가 이상인 것인지 구별할 수 없다.

따라서, 제어 모드 관리 어플리케이션(1004)은 구동 모터 제어 어플리케이션(1008)으로부터 구동 모터 이상 플래그를 수취하면, 브레이크 제어 어플리케이션(1005)과 회생 어플리케이션(1006)으로 회생 없음으로 하여 회생 유무 통지를 송신한다.

또한, 회생 어플리케이션(1006)은 회생 없음의 통지를 수신하면 동작 상태를 통상으로부터 휴지로 전환한다. 휴지로 전환했을 때에, 진단 어플리케이션(1003)에 휴지 상태로 이행한 것을 어플리케이션의 동작 상태 정보로서 통지한다.

진단 어플리케이션(1003)은 회생 어플리케이션(1006)으로부터 휴지 상태로 이행한 것을 어플리케이션의 동작 상태 데이터로서 수취하면, 진단 어플리케이션(1003) 내의 어플리케이션 상태 관리부(207)에 해당하는 기능에 의해, 어플리케이션의 동작 상태 테이블[도 7b에 상당함]을 갱신한다. 또한, 판정 룰 결정부(208)에 해당하는 기능에 의해, 어플리케이션의 동작 상태를 기초로 상태 판정 룰을 도 11b의 1101로부터 도 12b의 1201로 전환함으로써, 회생 어플리케이션(1006)이 휴지한 상태에서도 정상적으로 상태 판정을 계속할 수 있다.

반대로, 진단 어플리케이션(1003)은 회생 어플리케이션(1006)으로부터 휴지 상태로부터 복귀한 것을 어플리케이션의 동작 상태 데이터로서 수취하면, 어플리케이션의 동작 상태를 기초로 상태 판정 룰을 도 12b의 1201로부터 도 11b의 1101로 다시 전환하도록 하면 된다.

도 12를 사용하여, 회생 어플리케이션(1006)이 동작을 휴지했을 때의 ECU(1002)의 동작 상태의 판정 방법을 도시한다. 도 12a에서는 회생 어플리케이션(1006)이 동작을 휴지하므로, 배터리 관리 어플리케이션(1009)의 통신 데이터 배터리 잔량의 수신 처리 및 통신 이상 판정이 행해지지 않는다. 그로 인해, 진단 어플리케이션(1003)에는 제어 모드 관리 어플리케이션(1004)의 이상 판정 결과가 보내지게 된다.

도 12b에서는 통지되어 있던 회생 어플리케이션(1006)의 어플리케이션 상태 통지로부터 회생 어플리케이션(1006)의 통신 이상 판정을 사용하지 않는 이상 판정 테이블(1201)로 변경하고 있고, 구동 모터 이상 플래그의 통신 이상 결과만으로 ECU(1002)의 상태를 판정한다.

상기 구성에 의해, 공통 실행 환경부상에서 어플리케이션이 개별적으로 동작하는 소프트웨어라도, 통신의 이상 판정 결과를 사용하여 어플리케이션 및 컨트롤러 단위의 진단이 가능해진다. 예를 들어, 1개의 컨트롤러가 복수의 통신 메세지를 송신하는 경우, 일부의 통신 메세지에만 이상이 검출되면, 송신처 컨트롤러는 일부의 어플리케이션의 이상 등, 부분적인 이상이라고 판정할 수 있다. 또한 전체 통신 메세지에 이상이 판정되면, 송신처 컨트롤러는 완전히 이상이라고 판정할 수 있다.

또한, 개개의 어플리케이션 동작 상태에 의해 진단 결과가 잘못되는 일 없이 진단 가능해진다. 이상 진단 후, 진단 결과를 사용하여 경고등의 점등을 지시하는 신호를 작성하여, 입출력 회로(107)를 통해 경고등으로 송부함으로써 경고등에 점등의 지령을 내거나, 혹은 진단 결과를 로그 기억부로 보존하여 이상 이유의 조사에 사용할 수 있다.

101 : ECU
102 : 통신 네트워크
202 : 공통 실행 환경부
203 : 어플리케이션
204 : 통신 보호부
205 : 시스템 상태 판정부
206 : 로그 기억부
207 : 어플리케이션 동작 상태 관리부
208 : 판정 룰 결정부
209 : 상태 판정부

Claims

복수의 차량 제어 장치가 통신 버스를 통해 접속되어 서로 데이터 통신을 행하는 차량 탑재 시스템에 사용되고,
차량 탑재 기기를 제어하기 위한 연산 처리를 실행하는 연산 처리 장치와, 상기 연산 처리 장치에 처리되는 프로그램을 저장하는 기억 장치를 구비하고,
상기 프로그램은 차량 탑재 기기를 제어하기 위한 복수의 어플리케이션과, 상기 복수의 어플리케이션끼리의 데이터의 교환이 이루어지는 공통 실효 환경부를 구비한 차량 제어 장치에 있어서,
상기 프로그램은 상기 복수의 어플리케이션이 상기 공통 실행 환경부와 데이터의 교환을 행할 때에, 당해 데이터의 이상 판정을 행하기 위한 통신 보호부와, 상기 통신 보호부에 의한 이상 판정 결과로부터 시스템 이상을 판정하는 시스템 이상 판정부를 구비하고, 상기 시스템 이상 판정부의 판정 결과에 기초하여, 로그의 출력, 상기 기억 장치로의 로그의 기억, 또는 상기 차량 탑재 기기의 제어 중 적어도 하나를 실행하는 것을 특징으로 하는, 차량 제어 장치.
제1항에 있어서, 상기 시스템 이상 판정부는 상기 복수의 어플리케이션의 동작 상태를 취득하는 어플리케이션 동작 상태 관리부와, 당해 동작 상태로부터 시스템 이상을 판정하는 룰을 전환하는 판정 룰 결정부와, 상기 판정 룰 결정부에 의해 전환된 룰에 기초하여 시스템 이상의 판정을 행하는 상태 판정부를 구비하는 것을 특징으로 하는, 차량 제어 장치.
제2항에 있어서, 상기 동작 상태는 상기 복수의 어플리케이션의 휴지 상태를 포함하는 것을 특징으로 하는, 차량 제어 장치.
제2항에 있어서, 상기 통신 보호부는 오류 검출 부호 또는 메세지 카운터 중 적어도 하나를 사용하는 것을 특징으로 하는, 차량 제어 장치.
제2항에 있어서, 상기 통신 보호부가 이상 판정을 행하는 데이터는 상기 통신 버스를 통해, 상기 복수의 차량 제어 장치 중 다른 차량 제어 장치로부터 수신한 데이터인 것을 특징으로 하는, 차량 제어 장치.
복수의 차량 제어 장치와, 상기 복수의 차량 제어 장치 사이에서 서로 데이터 통신을 행하기 위한 통신 버스를 구비하고, 상기 복수의 차량 제어 장치 각각은 차량 탑재 기기를 제어하기 위한 연산 처리를 실행하는 연산 처리 장치와, 상기 연산 처리 장치에 처리되는 프로그램을 저장하는 기억 장치를 구비하고,
상기 프로그램은 차량 탑재 기기를 제어하기 위한 복수의 어플리케이션과, 상기 복수의 어플리케이션끼리의 데이터의 교환이 이루어지는 공통 실효 환경부를 구비하는 차량 제어 시스템에 있어서,
상기 프로그램은 상기 복수의 어플리케이션이 상기 공통 실행 환경부와 데이터의 교환을 행할 때에, 당해 데이터의 이상 판정을 행하기 위한 통신 보호부와, 상기 통신 보호부에 의한 이상 판정 결과로부터 시스템 이상을 판정하는 시스템 이상 판정부를 구비하고,
상기 시스템 이상 판정부는 상기 복수의 어플리케이션의 동작 상태를 취득하는 어플리케이션 동작 상태 관리부와, 당해 동작 상태로부터 시스템 이상을 판정하는 룰을 전환하는 판정 룰 결정부와, 상기 판정 룰 결정부에 의해 전환된 룰에 기초하여 시스템 이상의 판정을 행하는 상태 판정부를 구비하는 것을 특징으로 하는, 차량 제어 시스템.