WO2015083251A1 - 監視装置、制御システム及び監視プログラム - Google Patents

監視装置、制御システム及び監視プログラム Download PDF

Info

Publication number
WO2015083251A1
WO2015083251A1 PCT/JP2013/082554 JP2013082554W WO2015083251A1 WO 2015083251 A1 WO2015083251 A1 WO 2015083251A1 JP 2013082554 W JP2013082554 W JP 2013082554W WO 2015083251 A1 WO2015083251 A1 WO 2015083251A1
Authority
WO
WIPO (PCT)
Prior art keywords
control device
parent
output
child
data
Prior art date
Application number
PCT/JP2013/082554
Other languages
English (en)
French (fr)
Inventor
佑太 和田
徳永　雄一
博仁 西山
伊藤　益夫
達徳 辻村
岡村　茂一
大輔 谷本
糸井　誠
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to JP2015551329A priority Critical patent/JP6147356B2/ja
Priority to CN201380081145.2A priority patent/CN105765543B/zh
Priority to DE112013007664.0T priority patent/DE112013007664T5/de
Priority to PCT/JP2013/082554 priority patent/WO2015083251A1/ja
Priority to US14/917,526 priority patent/US10007570B2/en
Publication of WO2015083251A1 publication Critical patent/WO2015083251A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/079—Root cause analysis, i.e. error or fault diagnosis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G06F11/0739—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function in a data processing system embedded in automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0796—Safety measures, i.e. ensuring safe condition in the event of error, e.g. for controlling element

Definitions

  • This invention relates to a technique for monitoring the operation of a control device.
  • a control device composed of a microcomputer or the like is given as a part in charge of controlling each function of an automobile. In order to comply with the functional safety standard, it is necessary to take sufficient safety measures for the control device to prove that the failure risk is sufficiently reduced.
  • Patent Documents 1 and 2 describe the safety measures for the control device.
  • Patent Document 1 describes mounting a control device and a control device that monitors the control device as a control device for vehicle control.
  • Patent Document 2 describes that a control device is monitored by a monitoring device to which a lock step technique between virtual CPUs is applied. In patent document 2, it is set as the structure which detects abnormality of a control apparatus by determining the validity of the input-output information of a control apparatus.
  • An object of the present invention is to implement a monitoring function of a control device without adding an additional component to the control device.
  • the monitoring device includes: A monitoring device that monitors the operation of the parent control device in a control system comprising a parent control device and a child control device that controls a device according to the control of the parent control device; A diagnostic data storage unit for storing diagnostic data for diagnosing the operation of the parent control device; An information acquisition unit for acquiring communication data between the parent control device and the child control device; And a diagnostic unit configured to diagnose the operation of the parent control device based on the diagnostic data stored in the diagnostic data storage unit and the communication data acquired by the information acquisition unit.
  • the monitoring device diagnoses an abnormality of the parent control device based on communication data between the parent control device and the child control device when the control device is configured by the parent control device and the child control device. . Therefore, it is possible to monitor the abnormality of the parent control device without providing an additional component such as a control line connection port in the parent control device.
  • FIG. 1 is a configuration diagram of an in-vehicle network system 100 according to Embodiment 1.
  • FIG. 1 is a configuration diagram of a parent control device 10 according to a first embodiment.
  • 1 is a configuration diagram of a child control device 20 according to Embodiment 1.
  • FIG. FIG. 3 shows a normal operation of the in-vehicle network system 100 according to the first embodiment.
  • FIG. 2 is a configuration diagram of a monitoring device 70 according to the first embodiment. The figure which shows the monitoring operation
  • FIG. FIG. 4 is a configuration diagram of a monitoring device 70 according to a second embodiment.
  • FIG. 3 is a state transition diagram of the parent control device 10.
  • FIG. 1 is a configuration diagram of an in-vehicle network system 100 according to the first embodiment.
  • the in-vehicle network system 100 includes a parent control device 10, a plurality of child control devices 20 (child control devices 20a to 20c in FIG. 1), and an in-vehicle network 30 that connects the parent control device 10 and each child control device 20.
  • an input device 40 and an output device 50 (an example of a device) to be controlled, and an input / output signal line 60 that connects the child control device 20 to the input device 40 and the output device 50.
  • At least one of the child control devices 20 (the child control device 20a in FIG. 1) is a monitoring device 70 that monitors the operation of the parent control device 10. In the following description, when simply described as the child control device 20, it means the child control device 20 that is not the monitoring device 70.
  • the input device 40 is, for example, a sensor device (such as an optical sensor) or a switch (such as a headlamp switch).
  • the output device 50 is, for example, a driving device (wiper, power window, etc.) or a light emitting device (headlamp, room light, etc.).
  • FIG. 2 is a configuration diagram of the parent control apparatus 10 according to the first embodiment.
  • the parent control device 10 includes a communication unit 11, an information synchronization management unit 12, and an input / output information calculation unit 13.
  • the communication unit 11 transmits and receives communication data to and from the child control device 20 through the in-vehicle network 30.
  • the information synchronization management unit 12 periodically acquires and stores input information of the input device 40 connected to the in-vehicle network system 100. Further, the information synchronization management unit 12 outputs the output information calculated by the input / output information calculation unit 13 with respect to the input information to the child control device 20.
  • the input / output information calculation unit 13 refers to the input information stored in the information synchronization management unit 12 and calculates the output information according to a predetermined input / output rule.
  • a predetermined input / output rule for example, a rule that “when the headlamp switch is turned on, the output to the headlamp relay is turned on”, or “a voltage x times the reading value of the optical sensor is output to the indoor lamp”.
  • the rule that the output voltage is zV or more is conceivable.
  • FIG. 3 is a configuration diagram of the child control device 20 according to the first embodiment.
  • the child control device 20 includes a communication unit 21, an information synchronization unit 22, and an input / output device control unit 23.
  • the communication unit 21 transmits and receives communication data to and from the parent control device 10 through the in-vehicle network 30.
  • the information synchronization unit 22 transmits the input information of the input device 40 connected to the child control device 20 to the parent control device 10 according to the request of the parent control device 10.
  • the input / output device control unit 23 outputs output information to the output device 50 connected to the child control device 20 in accordance with a request from the parent control device 10.
  • the in-vehicle network 30 connects the parent control device 10 and each child control device 20.
  • the in-vehicle network 30 does not have a one-to-one connection between the parent control device 10 and each child control device 20, but a signal transmitted from a certain device is received by the parent control device 10 and all the child control devices 20.
  • a bus network For example, in FIG. 1, when the parent control device 10 transmits a signal to a certain child control device 20, any child control device 20 can receive the signal.
  • An example of a bus-type network often used in the in-vehicle network 30 is CAN (Controller Area Network).
  • the in-vehicle network 30 in any child control device 20, input information of the input device 40 transmitted from the other child control device 20 to the parent control device 10, or the parent control device 10 receives the other child control device 20.
  • the output information sent to can be received.
  • FIG. 4 is a diagram illustrating a normal operation of the in-vehicle network system 100 according to the first embodiment.
  • the parent control device 10 controls the input device 40 and the output device 50 connected to the child control device 20 through the in-vehicle network 30.
  • the operations of S010 to S110 are periodically repeated.
  • the information synchronization management unit 12 of the parent control device 10 transmits a request for input information of the input device 40 connected to each child control device 20 through the communication unit 11 (S010).
  • the request transmitted in S010 is transmitted to each child control device 20 through the in-vehicle network 30 (S020).
  • the information synchronization unit 22 of each child control device 20 inquires of the input / output device control unit 23 about input information of the connected input device 40 (S030).
  • the input / output device control unit 23 of each child control device 20 returns the input information of the connected input device 40 to the information synchronization unit 22 (S040).
  • the information synchronization unit 22 of each child control device 20 transmits the input information of the input device 40 to the parent control device 10 through the communication unit 21 (S050).
  • the input information transmitted in S050 is transmitted to the parent control device 10 through the in-vehicle network 30 (S060).
  • the information synchronization management unit 12 of the parent control device 10 integrates the input information of each input device 40 transmitted from each child control device 20 and transmits it to the input / output information calculation unit 13 (S070).
  • the input / output information calculation unit 13 of the parent control device 10 calculates the output information from the transmitted input information according to an input / output rule defined in advance (S080).
  • the information synchronization management unit 12 of the parent control device 10 transmits the output information calculated in S080 to each child control device 20 through the communication unit 11 (S090).
  • the output information transmitted in S090 is transmitted to each child control device 20 through the in-vehicle network 30 (S100).
  • the information synchronization unit 22 of each child control device 20 transmits the output information transmitted in S100 to the input / output device control unit 23, and causes the input / output device control unit 23 to control the output device 50 (S110).
  • the parent control device 10 generates output information based on the input information connected from the child control device 20, and the child control device 20 performs output control.
  • a hardware failure may occur randomly in the parent control device 10. Therefore, an error may occur in the calculation of output information in S080. If there is an error in the calculation of the output information in S080, it will affect the control of the output device 50 in S110. As a result, there is a possibility that the output device 50 malfunctions and the safety of passengers and surrounding humans is impaired. Therefore, in the first embodiment, one of the child control devices 20 is used as the monitoring device 70, and the communication in the in-vehicle network 30 is monitored to monitor the control calculation error of the parent control device 10.
  • FIG. 5 is a configuration diagram of the monitoring device 70 according to the first embodiment.
  • the monitoring device 70 further includes an information acquisition unit 71, an information storage unit 72, a diagnosis unit 73, and a diagnosis data storage unit 74 in addition to the components of the child control device 20.
  • the information synchronization unit 22 and the input / output device control unit 23 are omitted.
  • the information acquisition unit 71 acquires (intercepts) communication data that flows through the in-vehicle network 30 and is necessary for evaluating the validity of the input / output rules. For example, it is assumed that there is an input / output rule A that “when the headlamp switch is turned on, the output to the headlamp relay is turned on”. At this time, in FIG. 1, the communication data necessary for evaluating the validity of input / output includes the headlamp switch input information transmitted from the child control device 20 to the parent control device 10, and the child control device 10 from the child control device 10. And output information to the headlamp relay transmitted to the control device 20.
  • the information storage unit 72 stores communication data necessary for evaluating the validity of the input / output rules in a storage device.
  • the information storage unit 72 stores “information about whether the headlamp switch input is ON or OFF” and “information about whether the output to the headlamp relay is ON or OFF”. Keep it.
  • the diagnosis unit 73 evaluates the validity of the input / output rules. If the input / output rule is A, the diagnosis unit 73 determines whether or not the output to the headlamp relay is ON when the headlamp switch is turned ON. If the output to the headlamp relay is not ON even though the headlamp switch is ON, the diagnosis unit 73 determines that the validity of input / output is not satisfied.
  • the diagnostic data storage unit 74 is a storage device that stores input / output rules.
  • the diagnostic data storage unit 74 stores various input / output rules such as the input / output rule A.
  • the diagnostic data storage unit 74 may store a table indicating the relationship between input information and output information as an input / output rule, or store a logical expression or equation indicating the relationship between input information and output information as an input / output rule. May be.
  • the monitoring device 70 may be connected to the input device 40 and the output device 50 similarly to the child control device 20.
  • FIG. 6 is a diagram illustrating a monitoring operation of the in-vehicle network system 100 according to the first embodiment.
  • the monitoring operation is executed when the normal operation (S010 to S110) shown in FIG. 4 is performed. Therefore, in FIG. 6, the monitoring operation is shown in a form added to the normal operation shown in FIG. 4.
  • the information acquisition unit 71 of the monitoring device 70 acquires input information transmitted from the child control device 20 in S050 and flowing through the in-vehicle network 30 in S060 (S061). Since input information is output to a bus-type network, it can be easily acquired.
  • the information storage unit 72 of the monitoring device 70 stores the input information acquired in S061 (S062).
  • the information acquisition unit 71 of the monitoring device 70 acquires output information transmitted from the parent control device 10 in S090 and flowing through the in-vehicle network 30 in S100 (S101).
  • the information storage unit 72 of the monitoring device 70 stores the output information acquired in S101 (S102).
  • the diagnosis unit 73 of the monitoring device 70 evaluates the relationship between the input information stored in S062 and the output information stored in S102 based on the input / output rules stored in the diagnosis data storage unit 74 (S103). Thereby, it can be detected that the parent control device 10 has made an erroneous operation in S080.
  • the diagnosis unit 73 of the monitoring device 70 notifies the parent control device 10 and each child control device 20 that the input / output rule has been deviated ( S104). At this time, the diagnosis unit 73 requests the input / output device control unit 23 to control the input device 40 and the output device 50 to a specific fail-safe state as necessary (S105). As the fail-safe state, for example, the headlight is turned on, and the wiper is turned on. For example, the diagnosis unit 73 transmits a specific signal to the in-vehicle network 30, or transmits a signal through a dedicated reset signal line, etc. 10 and each child control device 20. In FIG. 6, it is assumed that a specific signal is transmitted to the in-vehicle network 30.
  • S061 to S062 and S101 to S105 described as the monitoring operation do not affect the normal operation performed by the parent control device 10 and the child control device 20, and the parent control device 10 does not need any special function or hardware. . Therefore, in the in-vehicle network system 100 according to the first embodiment, it is possible to monitor the abnormality of the parent control device 10 without providing the parent control device 10 with an additional component such as a control line connection port.
  • the input / output rules are not limited to the one-to-one relationship as in the input / output rule A, but are a many-to-many relationship with respect to the input device 40 and the output device 50 connected to the child control device 20. Also good.
  • the input / output rules may be defined only for safety-related rules that, if not satisfied, could endanger human lives or property.
  • Embodiment 2 the monitoring device 70 only monitors the communication data of the in-vehicle network 30. For this reason, an abnormality can be detected only when output information is actually calculated in the parent control device 10. Therefore, if the monitoring device 70 has already failed when the parent control device 10 has failed, control safety cannot be ensured. Therefore, in the second embodiment, test data is transmitted from the monitoring device 70 to the parent control device 10 at an arbitrary timing, and calculation of desired output information is generated even when it is not actually required, so that the parent control device 10 Diagnose. This increases the possibility that a failure of the parent control device 10 can be detected before the monitoring device 70 fails. In the second embodiment, description of the same parts as those of the first embodiment will be omitted, and different parts from the first embodiment will be described.
  • FIG. 7 is a configuration diagram of the child control device 20 according to the second embodiment.
  • the child control device 20 further includes a notification processing unit 24 in addition to the components of the child control device 20 according to the first embodiment shown in FIG.
  • the notification processing unit 24 receives information indicating the start and end of diagnosis performed by the monitoring device 70 at an arbitrary timing from the monitoring device 70.
  • the notification processing unit 24 When the notification processing unit 24 receives information indicating the start of diagnosis, the notification processing unit 24 invalidates the process for the input / output device control unit 23. In addition, when the notification processing unit 24 receives information indicating the end of diagnosis, the notification processing unit 24 validates the process for the input / output device control unit 23. When the process is invalidated, the input / output device control unit 23 holds output information at the time of invalidation or holds safe output information.
  • FIG. 8 is a configuration diagram of the monitoring device 70 according to the second embodiment.
  • the monitoring device 70 includes a notification unit 75 and a test data transmission unit 76 in addition to the components of the monitoring device 70 according to the first embodiment shown in FIG.
  • the notification unit 75 transmits information indicating the start and end of diagnosis performed at an arbitrary timing to the child control device 20 through the in-vehicle network 30.
  • the test data transmission unit 76 transmits test data simulating input information transmitted from the child control device 20 to the parent control device 10 to the parent control device 10 through the in-vehicle network 30.
  • the test data transmission unit 76 transmits the input information in the input / output rules stored in the diagnostic data storage unit 74 as test data.
  • the test data transmission unit 76 may transmit test data simulating input information transmitted by one child control device 20, or may simultaneously transmit test data simulating input information transmitted by a plurality of child control devices 20. May be.
  • FIG. 9 is a diagram illustrating a diagnostic operation of the in-vehicle network system 100 according to the second embodiment.
  • the monitoring device 70 starts the diagnosis operation at an arbitrary timing.
  • the notification unit 75 of the monitoring device 70 notifies each child control device 20 of a signal indicating the start of diagnosis through the communication unit 21 (S200). Note that even if the parent control device 10 receives this notification, the operation of the parent control device 10 does not change at all.
  • the notification transmitted in S200 is transmitted to each child control device 20 through the in-vehicle network 30 (S210).
  • the notification processing unit 24 of each child control device 20 receives the notification transmitted in S210 and sets the input / output device control unit 23 to ignore the output information from the parent control device 10 (S220). . That is, each child control device 20 does not perform control based on the output information in S110 in the normal operation shown in FIG.
  • the test data transmission unit 76 of the monitoring device 70 extracts the input information in the input / output rules stored in the diagnostic data storage unit 74 as test data, and the information storage unit 72 stores the extracted test data (S230).
  • the test data transmission unit 76 transmits the test data extracted in S230 to the parent control device 10 through the in-vehicle network 30 (S240).
  • the test data transmitted in S240 is transmitted to the parent control device 10 through the in-vehicle network 30 (S250).
  • the information synchronization management unit 12 of the parent control device 10 integrates the input information using the device test data transmitted in S250 as input information, and transmits it to the input / output information calculation unit 13 (S260).
  • the input / output information calculation unit 13 of the parent control device 10 calculates the output information from the input information transmitted in S250 according to the input / output rules defined in advance, as in S080 in the normal operation shown in FIG. S270).
  • the information synchronization management unit 12 of the parent control device 10 transmits the output information generated in S270 to each child control device 20 through the communication unit 11 in the same manner as S090 in the normal operation illustrated in FIG. 4 (S280).
  • the output information transmitted in S280 is transmitted to each child control device 20 through the in-vehicle network 30 (S290).
  • the information synchronization unit 22 of each child control device 20 transmits the output information transmitted in S290 to the input / output device control unit 23 (S300). However, since the input / output device controller 23 is set to ignore the output information in S220, the input / output device controller 23 does not perform control based on the transmitted output information.
  • the information acquisition unit 71 of the monitoring device 70 acquires the output information transmitted from the parent control device 10 in S280 and flowing through the in-vehicle network 30 in S290, similarly to S101 in the monitoring operation shown in FIG. 6 (S310).
  • the information storage unit 72 of the monitoring device 70 stores the output information acquired in S310 (S320).
  • the diagnosis unit 73 of the monitoring device 70 uses the test data stored in S230 as input information, and evaluates the relationship between the input information and the output information stored in S320 according to the input / output rules stored in the diagnosis data storage unit 74 ( S330). Thereby, it can be detected that the parent control device 10 has made an erroneous calculation in S270.
  • the diagnosis unit 73 of the monitoring device 70 determines that the input / output rule has been deviated, as in S104 in the monitoring operation shown in FIG. 10 and each child control device 20 (S340). At this time, the diagnosis unit 73 requests the input / output device control unit 23 to control the input device 40 and the output device 50 to a specific fail-safe state as necessary (S350). The diagnosis unit 73 may notify the driver with light or sound when the vehicle is in a safe situation.
  • the monitoring device 70 repeats S230-S350 as necessary.
  • the notification unit 75 transmits information indicating the completion of the diagnosis to each child control device 20. Thereafter, the normal operation shown in FIG. 4 is executed.
  • an abnormality of the parent control device 10 can be detected except when the output information is actually calculated in the parent control device 10. Therefore, there is a high possibility that a failure of the parent control device 10 can be detected before the monitoring device 70 fails.
  • the diagnostic operation may be performed at an arbitrary timing as described above.
  • the safety risk can be more effectively reduced by performing the diagnosis when the vehicle body and the driver are in a safe state, such as when the engine is started.
  • test data may be configured based on input information of a plurality of cycles. Thus, specifically, diagnosis corresponding to the state transition of the parent control device 10 can be performed.
  • the parent control device 10 performs the state transition shown in FIG. That is, the state transitions to the state T by the input information A from the child control device 20 in the state S, and the state transitions from the input information B from the child control device 20 in the state T.
  • the input / output rules shown in FIG. 11 are given.
  • FIG. 11 shows a rule that the input / output rule of rule number 1 outputs output information O if there is input information A in state S.
  • the monitoring device 70 may transmit the input information A as test data and evaluate whether the output information O is output from the parent control device 10.
  • the parent control device 10 transitions to the state T. Therefore, next, the monitoring device 70 transmits the input information B, causes the parent control device 10 to transition to the state S, the monitoring device 70 transmits the input information B as test data, and the output information P is Evaluate what is output.
  • the monitoring device 70 is the monitoring device 70.
  • the monitoring device 70 may be provided separately from the child control device 20.
  • an external connector 80 may be provided in the in-vehicle network 30 and an external device 90 serving as the monitoring device 70 may be connected to the external connector 80.
  • the degree of freedom in hardware selection is increased. Therefore, for example, it is possible to increase the capacity of a storage device that stores input / output rules and store a large number of input / output rules. As a result, more detailed diagnosis is possible.
  • the monitoring and diagnosis of the control device has been described using the in-vehicle network system 100 as an example. However, not only the in-vehicle network system 100 but also other devices and systems can similarly monitor and diagnose the control device.
  • FIG. 14 is a diagram illustrating an example of a hardware configuration of the parent control device 10, the child control device 20, the monitoring device 70, and the external device 90 described in the first and second embodiments.
  • the parent control device 10, the child control device 20, the monitoring device 70, and the external device 90 are computers, and each element of the parent control device 10, the child control device 20, the monitoring device 70, and the external device 90 can be realized by a program.
  • the hardware configuration of the parent control device 10, the child control device 20, the monitoring device 70, and the external device 90 includes an arithmetic device 901, an external storage device 902, a main storage device 903, a communication device 904, and an input / output device 905 on the bus. It is connected.
  • the computing device 901 is a CPU (Central Processing Unit) that executes a program.
  • the external storage device 902 is, for example, a ROM (Read Only Memory), a flash memory, a hard disk device, or the like.
  • the main storage device 903 is, for example, a RAM (Random Access Memory).
  • the communication device 904 is, for example, a communication board.
  • the input / output device 905 is, for example, a mouse, a keyboard, a display device, or the like.
  • the program is normally stored in the external storage device 902, and is loaded into the main storage device 903 and sequentially read into the arithmetic device 901 and executed.
  • the program includes a communication unit 11, an information synchronization management unit 12, an input / output information calculation unit 13, a communication unit 21, an information synchronization unit 22, an input / output device control unit 23, a notification processing unit 24, an information acquisition unit 71, and an information storage unit 72.
  • an operating system is also stored in the external storage device 902.
  • At least a part of the OS is loaded into the main storage device 903, and the arithmetic device 901 executes the above program while executing the OS.
  • Information, data, signal values, and variable values indicating the results of the processing described as “determination” are stored in the main memory 903 as files.
  • FIG. 14 is merely an example of the hardware configuration of each device, and the hardware configuration of each device is not limited to the configuration illustrated in FIG. 14 and may be other configurations.
  • 100 in-vehicle network system 10 parent control device, 11 communication unit, 12 information synchronization management unit, 13 input / output information calculation unit, 20 child control device, 21 communication unit, 22 information synchronization unit, 23 input / output device control unit, 24 notification Processing unit, 30 in-vehicle network, 40 input device, 50 output device, 60 input / output signal line, 70 monitoring device, 71 information acquisition unit, 72 information storage unit, 73 diagnostic unit, 74 diagnostic data storage unit, 75 notification unit, 76 Test data transmission unit.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • Small-Scale Networks (AREA)
  • Testing And Monitoring For Control Systems (AREA)
  • Computer And Data Communications (AREA)

Abstract

　車載ネットワークシステム（１００）では、親制御装置（１０）と子制御装置（２０）とにより制御装置が構成される。車載ネットワークシステム（１００）では、親制御装置（１０）と子制御装置（２０）とを繋ぐ車載ネットワーク（３０）を流れる、親制御装置（１０）と子制御装置（２０）との通信データを、監視装置（７０）が取得する。そして、監視装置（７０）が、取得した通信データと、記憶装置に記憶された診断データとに基づき親制御装置（１０）の異常を診断する。

Description

監視装置、制御システム及び監視プログラム
　この発明は、制御装置の動作の監視技術に関する。
　自動車の分野では、ユーザーの安全志向に対応するため、高機能化が進んできた。近年普及しつつある、自動ブレーキ機能、プリクラッシュセーフティ機能等が、その一例である。一方、このような機能は複数の入出力が複雑に関係する機能であるので、その機能の異常により、逆に安全性が損なわれることも考えられる。そこで、自動車の安全性を機能的に担保し、そのことを証明するための機能安全規格ＩＳＯ２６２６２が２０１１年１１月に策定された。
　自動車の各機能の制御を担当する部品としてマイクロコンピュータ等で構成される制御装置が上げられる。前記機能安全規格の対応のため、制御装置にも十分な安全方策を施し、故障リスクが十分に低減されていることを証明する必要がある。
　制御装置の安全方策について特許文献１，２に記載がある。
　特許文献１には、車両制御用の制御装置として、制御装置と、その制御装置を監視する制御装置とを搭載することについて記載されている。
　特許文献２には、仮想ＣＰＵ間でのロックステップ技術を適用した監視装置により制御装置を監視することについて記載されている。特許文献２では、制御装置の入出力情報の妥当性を判定することで制御装置の異常を検出する構成としている。
特開２０１２－６０８４２号公報 特開２０１３－２５５７０号公報
　しかしながら、特許文献１，２に記載された方策では、制御装置に制御線の接続口等、安全方策のための追加構成要素が必要になるという課題がある。
　この発明は、制御装置に追加構成要素を持たせずに、制御装置の監視機能を実装することを目的とする。
　この発明に係る監視装置は、
　親制御装置と、前記親制御装置の制御に従いデバイスを制御する子制御装置とを備える制御システムにおける前記親制御装置の動作を監視する監視装置であり、
　前記親制御装置の動作を診断するための診断データを記憶する診断データ記憶部と、
　前記親制御装置と前記子制御装置との間の通信データを取得する情報取得部と、
　前記診断データ記憶部が記憶した診断データと、前記情報取得部が取得した通信データとに基づき、前記親制御装置の動作を診断する診断部と
を備えることを特徴とする。
　この発明に係る監視装置は、親制御装置と子制御装置とにより制御装置が構成されている場合に、親制御装置と子制御装置との間の通信データに基づき親制御装置の異常を診断する。そのため、親制御装置に制御線の接続口等の追加構成要素を設けることなく、親制御装置の異常を監視することができる。
実施の形態１に係る車載ネットワークシステム１００の構成図。 実施の形態１に係る親制御装置１０の構成図。 実施の形態１に係る子制御装置２０の構成図。 実施の形態１に係る車載ネットワークシステム１００の通常動作を示す図。 実施の形態１に係る監視装置７０の構成図。 実施の形態１に係る車載ネットワークシステム１００の監視動作を示す図。 実施の形態２に係る子制御装置２０の構成図。 実施の形態２に係る監視装置７０の構成図。 実施の形態２に係る車載ネットワークシステム１００の診断動作を示す図。 親制御装置１０の状態遷移図。 図１０に対応した入出力規則を示す図。 テストデータの送信順序を示す図。 車載ネットワークシステム１００の図１とは異なる構成図。 実施の形態１，２に示した親制御装置１０、子制御装置２０、監視装置７０、外部機器９０のハードウェア構成の例を示す図。
　実施の形態１．
　図１は、実施の形態１に係る車載ネットワークシステム１００の構成図である。
　車載ネットワークシステム１００は、親制御装置１０と、複数の子制御装置２０（図１では、子制御装置２０ａ～２０ｃ）と、親制御装置１０と各子制御装置２０とを接続する車載ネットワーク３０と、制御対象となる入力機器４０及び出力機器５０（デバイスの一例）と、子制御装置２０と入力機器４０及び出力機器５０とを接続する入出力信号線６０とを備える。
　子制御装置２０のうちの少なくとも１つ（図１では、子制御装置２０ａ）を、親制御装置１０の動作を監視する監視装置７０とする。以下の説明では、単に子制御装置２０と記載した場合には、監視装置７０でない子制御装置２０を意味するものとする。
　入力機器４０は、例えば、センサデバイス（光センサ等）やスイッチ（ヘッドランプスイッチ等）である。また、出力機器５０は、例えば、駆動デバイス（ワイパー、パワーウインドウ等）や発光デバイス（ヘッドランプ、室内灯等）である。
　図２は、実施の形態１に係る親制御装置１０の構成図である。
　親制御装置１０は、通信部１１、情報同期管理部１２、入出力情報演算部１３を備える。
　通信部１１は、車載ネットワーク３０を通じて子制御装置２０と通信データを送受信する。
　情報同期管理部１２は、車載ネットワークシステム１００に接続されている入力機器４０の入力情報を定期的に取得し、保存する。また、情報同期管理部１２は、入出力情報演算部１３が入力情報に対して演算した出力情報を子制御装置２０に出力する。
　入出力情報演算部１３は、情報同期管理部１２に保存された入力情報を参照し、予め決められた入出力規則に従って、出力情報を演算する。入出力規則としては、例えば、「ヘッドランプのスイッチがＯＮになったらヘッドランプリレーへの出力をＯＮにする。」という規則や、「光センサの読み取り値のｘ倍の電圧を室内灯へ出力する。但し、出力する電圧はｚＶ以上とする。」という規則が考えられる。
　図３は、実施の形態１に係る子制御装置２０の構成図である。
　子制御装置２０は、通信部２１、情報同期部２２、入出力機器制御部２３を備える。
　通信部２１は、車載ネットワーク３０を通じて親制御装置１０と通信データを送受信する。
　情報同期部２２は、子制御装置２０に接続されている入力機器４０の入力情報を、親制御装置１０の要求に従い、親制御装置１０に送信する。
　入出力機器制御部２３は、子制御装置２０に接続されている出力機器５０に対して、親制御装置１０の要求に従い出力情報を出力する。
　車載ネットワーク３０は、親制御装置１０と各子制御装置２０とを接続する。車載ネットワーク３０は、親制御装置１０と各子制御装置２０とを１対１接続するものではなく、ある装置から送信された信号が親制御装置１０と全ての子制御装置２０とに受信されるバス型ネットワークであるものとする。例えば、図１において、親制御装置１０がある子制御装置２０に信号を送信したとき、どの子制御装置２０でも受信可能であるものとする。車載ネットワーク３０でよく用いられるバス型ネットワークの例としてはＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）が上げられる。
　この車載ネットワーク３０の構成によれば、どの子制御装置２０でも、他の子制御装置２０が親制御装置１０へ送信した入力機器４０の入力情報や、親制御装置１０が他の子制御装置２０へ送信した出力情報が受信可能となる。
　図４は、実施の形態１に係る車載ネットワークシステム１００の通常動作を示す図である。
　通常時には、親制御装置１０は、子制御装置２０に接続された入力機器４０及び出力機器５０を、車載ネットワーク３０を通じて制御する。本動作では、Ｓ０１０～Ｓ１１０の動作が周期的に繰り返される。
　まず、親制御装置１０の情報同期管理部１２は、通信部１１を通じて、各子制御装置２０に接続されている入力機器４０の入力情報の要求を送信する（Ｓ０１０）。車載ネットワーク３０を通じて、Ｓ０１０で送信された要求が各子制御装置２０に伝達される（Ｓ０２０）。各子制御装置２０の情報同期部２２は、入出力機器制御部２３に、接続されている入力機器４０の入力情報を問い合わせる（Ｓ０３０）。
　各子制御装置２０の入出力機器制御部２３は、接続されている入力機器４０の入力情報を情報同期部２２に返答する（Ｓ０４０）。各子制御装置２０の情報同期部２２は、通信部２１を通じて、親制御装置１０に入力機器４０の入力情報を送信する（Ｓ０５０）。車載ネットワーク３０を通じて、Ｓ０５０で送信された入力情報が、親制御装置１０に伝達される（Ｓ０６０）。親制御装置１０の情報同期管理部１２は、各子制御装置２０から送信された各入力機器４０の入力情報を統合して、入出力情報演算部１３に伝達する（Ｓ０７０）。
　親制御装置１０の入出力情報演算部１３は、伝達された入力情報から、事前に規定された入出力規則に従って、出力情報を演算する（Ｓ０８０）。親制御装置１０の情報同期管理部１２は、Ｓ０８０で演算された出力情報を、通信部１１を通じて各子制御装置２０に送信する（Ｓ０９０）。車載ネットワーク３０を通じて、Ｓ０９０で送信された出力情報が各子制御装置２０に伝達される（Ｓ１００）。各子制御装置２０の情報同期部２２は、入出力機器制御部２３にＳ１００で伝達された出力情報を伝達し、入出力機器制御部２３に出力機器５０を制御させる（Ｓ１１０）。
　以上のように、Ｓ０１０～Ｓ１１０において、子制御装置２０から接続された入力情報に基づき、親制御装置１０が出力情報を生成し、子制御装置２０が出力制御を行う。
　ここで、親制御装置１０にはランダムにハードウェア故障が起こり得る。そのため、Ｓ０８０における出力情報の演算に誤りが生じる可能性がある。Ｓ０８０における出力情報の演算に誤りがあると、Ｓ１１０における出力機器５０の制御に影響する。その結果、出力機器５０が誤動作し、乗員や周囲の人間の安全性を損なう可能性がある。そこで、実施の形態１では、子制御装置２０のうちの１つを監視装置７０とし、車載ネットワーク３０における通信を監視することにより、親制御装置１０の制御演算の誤りを監視する。
　図５は、実施の形態１に係る監視装置７０の構成図である。
　監視装置７０は、子制御装置２０の構成要素に加え、さらに、情報取得部７１、情報保存部７２、診断部７３、診断データ記憶部７４を備える。なお、図５では、情報同期部２２と入出力機器制御部２３とは省略している。
　情報取得部７１は、車載ネットワーク３０を流れる通信データであって、入出力規則の妥当性の評価に必要な通信データを取得（傍受）する。
　例えば、「ヘッドランプのスイッチがＯＮになったらヘッドランプリレーへの出力をＯＮにする」という入出力規則Ａがあるとする。このとき、図１において入出力の妥当性の評価に必要な通信データとは、子制御装置２０から親制御装置１０に対して送信されるヘッドランプスイッチの入力情報と、親制御装置１０から子制御装置２０に対して送信されるヘッドランプリレーへの出力情報とである。
　情報保存部７２は、入出力規則の妥当性の評価に必要な通信データを記憶装置に保存しておく。
　前記入出力規則Ａであれば、情報保存部７２は、「ヘッドランプのスイッチの入力がＯＮかＯＦＦかという情報」と、「ヘッドランプリレーへの出力がＯＮかＯＦＦかという情報」とを保存しておく。
　診断部７３は、入出力規則の妥当性の評価を行う。
　前記入出力規則Ａであれば、診断部７３は、ヘッドランプスイッチがＯＮになったときに、ヘッドランプリレーへの出力がＯＮか否かを判定する。仮にヘッドランプスイッチがＯＮであるのにもかかわらず、ヘッドランプリレーへの出力がＯＮになっていない場合には、診断部７３は、入出力の妥当性が満たされていないと判定する。
　診断データ記憶部７４は、入出力規則を記憶した記憶装置である。
　診断データ記憶部７４には、前記入出力規則Ａ等の様々な入出力規則が記憶されている。診断データ記憶部７４は、入力情報と出力情報との関係を示すテーブルを入出力規則として記憶してもよいし、入力情報と出力情報との関係を示す論理式や方程式を入出力規則として記憶してもよい。
　なお、監視装置７０は、子制御装置２０と同様に、入力機器４０及び出力機器５０が接続されていてもよい。
　図６は、実施の形態１に係る車載ネットワークシステム１００の監視動作を示す図である。
　監視動作は、図４に示す通常動作（Ｓ０１０～Ｓ１１０）が行われている際に実行される。そこで、図６では、図４に示す通常動作に追記する形で、監視動作を示している。
　まず、監視装置７０の情報取得部７１は、Ｓ０５０で子制御装置２０から送信され、Ｓ０６０で車載ネットワーク３０を流れる入力情報を取得する（Ｓ０６１）。入力情報は、バス型のネットワークに出力されるため、容易に取得が可能である。監視装置７０の情報保存部７２は、Ｓ０６１で取得した入力情報を保存する（Ｓ０６２）。
　また、監視装置７０の情報取得部７１は、Ｓ０９０で親制御装置１０から送信され、Ｓ１００で車載ネットワーク３０を流れる出力情報を取得する（Ｓ１０１）。監視装置７０の情報保存部７２は、Ｓ１０１で取得した出力情報を保存する（Ｓ１０２）。
　監視装置７０の診断部７３は、Ｓ０６２で保存した入力情報と、Ｓ１０２で保存した出力情報との関係を、診断データ記憶部７４が記憶した入出力規則により評価する（Ｓ１０３）。これにより、親制御装置１０がＳ０８０において誤演算を行ったということを検出できる。
　Ｓ１０３で入出力規則を逸脱したと評価された場合には、監視装置７０の診断部７３は、入出力規則を逸脱していることを親制御装置１０と各子制御装置２０とに伝達する（Ｓ１０４）。この際、診断部７３は、必要に応じて、入出力機器制御部２３に対し、入力機器４０及び出力機器５０を特定のフェイルセーフ状態に制御することを要求する（Ｓ１０５）。フェイルセーフ状態としては、例えば、ヘッドライトを点灯状態にすることや、ワイパーを動作状態にすること等が上げられる。
　例えば、診断部７３は、車載ネットワーク３０に特定の信号を送信すること、あるいは、専用に設けたリセット信号線を通して信号を送信すること等により、入出力規則を逸脱していることを親制御装置１０と各子制御装置２０とに伝達する。図６では、車載ネットワーク３０に特定の信号が送信されると仮定している。
　監視動作として説明したＳ０６１－Ｓ０６２、Ｓ１０１－Ｓ１０５は、親制御装置１０と子制御装置２０とにより行われる通常動作に何ら影響を及ぼさないし、親制御装置１０に特別な機能やハードウェアも必要ない。
　したがって、実施の形態１に係る車載ネットワークシステム１００では、親制御装置１０に制御線の接続口等の追加構成要素を設けることなく、親制御装置１０の異常を監視することができる。
　なお、上述した通り、Ｓ０１０－Ｓ１１０までの通常動作は周期的に行われる。そこで、複数周期にわたる入力情報と出力情報との関係を、入出力規則により評価してもよい。
　また、入出力規則は、前記入出力規則Ａのように１対１の関係だけにとどまらず、子制御装置２０に接続される入力機器４０及び出力機器５０に関して、多対多の関係であってもよい。
　また、入出力規則は、満たされなかった場合に、人命や財産に危険が及ぶような安全に関する規則だけ規定してもよい。
　実施の形態２．
　実施の形態１では、監視装置７０は、車載ネットワーク３０の通信データを監視しているだけであった。そのため、実際に親制御装置１０において出力情報の演算が発生したときにしか異常を検出できなかった。したがって、親制御装置１０が故障しているときに、監視装置７０が既に故障していた場合には、制御の安全性を確保できない。
　そこで、実施の形態２では、監視装置７０から、任意のタイミングでテストデータを親制御装置１０に送信し、実際に必要としてないときでも、所望の出力情報の演算を発生させ、親制御装置１０の診断を行う。これにより、監視装置７０が故障する前に、親制御装置１０の故障を検出できる可能性が高くなる。
　実施の形態２では、実施の形態１と同じ部分については説明を省略し、実施の形態１と異なる部分について説明する。
　図７は、実施の形態２に係る子制御装置２０の構成図である。
　子制御装置２０は、図３に示す実施の形態１に係る子制御装置２０の構成要素に加え、さらに、通知処理部２４を備える。
　通知処理部２４は、監視装置７０が任意のタイミングに行う診断の開始及び終了を示す情報を監視装置７０から受信する。
　通知処理部２４は、診断の開始を示す情報を受信した場合には、入出力機器制御部２３に対して処理の無効化を行う。また、通知処理部２４は、診断の終了を示す情報を受信した場合には、入出力機器制御部２３に対して処理の有効化を行う。なお、入出力機器制御部２３は、処理が無効化されると、無効化された時点における出力情報を保持する、あるいは、安全な出力情報を保持する。
　図８は、実施の形態２に係る監視装置７０の構成図である。
　監視装置７０は、図５に示す実施の形態１に係る監視装置７０の構成要素に加え、さらに、通知部７５、テストデータ送信部７６を備える。
　通知部７５は、任意のタイミングに行う診断の開始及び終了を示す情報を、車載ネットワーク３０を通じて子制御装置２０に送信する。
　テストデータ送信部７６は、子制御装置２０が親制御装置１０に送信する入力情報を模擬したテストデータを、車載ネットワーク３０を通じて親制御装置１０に送信する。テストデータ送信部７６は、診断データ記憶部７４が記憶した入出力規則における入力情報をテストデータとして送信する。
　テストデータ送信部７６は、１つの子制御装置２０が送信する入力情報を模擬したテストデータを送信してもよいし、複数の子制御装置２０が送信する入力情報を模擬したテストデータを同時に送信してもよい。
　図９は、実施の形態２に係る車載ネットワークシステム１００の診断動作を示す図である。
　診断動作は、監視装置７０が任意のタイミングに開始する。
　まず、監視装置７０の通知部７５は、通信部２１を通じて、診断開始を示す信号を各子制御装置２０に通知する（Ｓ２００）。なお、この通知を親制御装置１０が受信しても、親制御装置１０の動作は何ら変わりないものとする。車載ネットワーク３０を通じて、Ｓ２００で送信された通知が各子制御装置２０に伝達される（Ｓ２１０）。各子制御装置２０の通知処理部２４は、Ｓ２１０で送信された通知を受信し、入出力機器制御部２３に対して、親制御装置１０からの出力情報を無視するように設定する（Ｓ２２０）。すなわち、各子制御装置２０は、図４に示す通常動作におけるＳ１１０で出力情報に基づく制御を実施しないようにする。
　監視装置７０のテストデータ送信部７６は、診断データ記憶部７４が記憶した入出力規則における入力情報をテストデータとして抽出し、情報保存部７２は抽出されたテストデータを保存する（Ｓ２３０）。テストデータ送信部７６は、Ｓ２３０で抽出したテストデータを、車載ネットワーク３０を通じて親制御装置１０に送信する（Ｓ２４０）。車載ネットワーク３０を通じて、Ｓ２４０で送信されたテストデータが親制御装置１０に伝達される（Ｓ２５０）。
　親制御装置１０の情報同期管理部１２は、Ｓ２５０で伝達された機器のテストデータを入力情報として、入力情報を統合して、入出力情報演算部１３に伝達する（Ｓ２６０）。
　親制御装置１０の入出力情報演算部１３は、図４に示す通常動作におけるＳ０８０と同様に、Ｓ２５０で伝達された入力情報から、事前に規定された入出力規則に従って、出力情報を演算する（Ｓ２７０）。親制御装置１０の情報同期管理部１２は、図４に示す通常動作におけるＳ０９０と同様に、Ｓ２７０で生成された出力情報を、通信部１１を通じて各子制御装置２０に送信する（Ｓ２８０）。車載ネットワーク３０を通じて、Ｓ２８０で送信された出力情報が各子制御装置２０に伝達される（Ｓ２９０）。各子制御装置２０の情報同期部２２は、入出力機器制御部２３にＳ２９０で伝達された出力情報を伝達する（Ｓ３００）。しかし、入出力機器制御部２３は、Ｓ２２０で出力情報を無視するように設定されているため、伝達された出力情報に基づく制御を実施しない。
　監視装置７０の情報取得部７１は、図６に示す監視動作におけるＳ１０１と同様に、Ｓ２８０で親制御装置１０から送信され、Ｓ２９０で車載ネットワーク３０を流れる出力情報を取得する（Ｓ３１０）。監視装置７０の情報保存部７２は、Ｓ３１０で取得した出力情報を保存する（Ｓ３２０）。
　監視装置７０の診断部７３は、Ｓ２３０で保存したテストデータを入力情報とし、入力情報と、Ｓ３２０で保存した出力情報との関係を、診断データ記憶部７４が記憶した入出力規則により評価する（Ｓ３３０）。これにより、親制御装置１０がＳ２７０において誤演算を行ったということを検出できる。
　Ｓ３３０で入出力規則を逸脱したと評価された場合には、図６に示す監視動作におけるＳ１０４と同様に、監視装置７０の診断部７３は、入出力規則を逸脱していることを親制御装置１０と各子制御装置２０とに伝達する（Ｓ３４０）。この際、診断部７３は、必要に応じて、入出力機器制御部２３に対し、入力機器４０及び出力機器５０を特定のフェイルセーフ状態に制御することを要求する（Ｓ３５０）。また、診断部７３は、自動車が安全な状況にある場合には、ドライバーに光や音で通知してもよい。
　監視装置７０は、必要なだけＳ２３０－Ｓ３５０を繰り返す。そして、全ての診断が終了すると、通知部７５は、診断の終了を示す情報を各子制御装置２０に送信する。その後は、図４に示す通常動作が実行される。
　以上のように、実施の形態２に係る車載ネットワークシステム１００では、実際に親制御装置１０において出力情報の演算が発生したとき以外に、親制御装置１０の異常を検出できる。したがって、監視装置７０が故障する前に、親制御装置１０の故障を検出できる可能性が高くなる。
　なお、診断動作は、上述した通り、任意のタイミングで行われてもよい。しかし、エンジン起動時等、車体及びドライバーが安全な状態にあるときに診断を行うことで、より効果的に安全上のリスクを低減することができる。
　また、テストデータを複数周期の入力情報に基づくように構成してもよい。これにより具体的には、親制御装置１０の状態遷移に対応した診断を行うことができる。
　例えば、親制御装置１０が図１０に示す状態遷移を行うものとする。つまり、状態Ｓのときには子制御装置２０からの入力情報Ａにより状態Ｔに遷移し、状態Ｔのときには子制御装置２０からの入力情報Ｂより状態Ｓに遷移するものとする。
　このとき、図１１に示す入出力規則が与えられているものする。例えば、図１１は、規則番号１の入出力規則は、状態Ｓのときに入力情報Ａがあれば、出力情報Ｏが出力される、という規則を表している。
　ここで、規則番号１の入出力規則の診断を行うことを考える。この場合、上述したように、監視装置７０は、入力情報Ａをテストデータとして送信し、親制御装置１０から出力情報Ｏが出力されるか評価すればよい。しかし、規則番号１の入出力規則に続いて、規則番号２の入出力規則を診断しようとすると、うまく診断できない。すなわち、規則番号１の入出力規則の診断において親制御装置１０が状態Ｓから状態Ｔに遷移してしまうため、規則番号２の入出力規則の診断が行える状態Ｓではなくなってしまう。したがって、規則番号２の入出力規則を診断しようとして、入力情報Ｂを与えても期待すべき出力情報Ｐではなく、規則番号４に従い出力情報Ｏが出力されてしまう。
　そこで、図１２に示す順序でテストデータを送信して評価を行う。つまり、まず、親制御装置１０が状態Ｓのときに、監視装置７０はテストデータとして入力情報Ａを送信して、出力情報Ｏが出力されることを評価する。すると、入力情報Ａが送信されたため、親制御装置１０が状態Ｔに遷移する。そこで、次に、監視装置７０は入力情報Ｂを送信して、親制御装置１０を状態Ｓに遷移させた上で、監視装置７０はテストデータとして入力情報Ｂを送信して、出力情報Ｐが出力されることを評価する。
　また、上記説明では、子制御装置２０のうちの少なくとも１つを監視装置７０とした。しかし、子制御装置２０とは別に監視装置７０を設けてもよい。例えば、図１３に示すように、車載ネットワーク３０に外部コネクタ８０を設け、外部コネクタ８０に監視装置７０となる外部機器９０を接続してもよい。
　監視装置７０を外部機器９０によって実現することにより、ハードウェア選定の自由度が高くなる。そのため、例えば、入出力規則を記憶する記憶装置の容量を大きくして、多数の入出力規則を記憶すること等も可能である。その結果、より詳細な診断が可能となる。
　また、上記説明では、車載ネットワークシステム１００を例として、制御装置の監視及び診断を行うことを説明した。しかし、車載ネットワークシステム１００に限らず、他の装置やシステムにおいても、同様に制御装置の監視及び診断を行うことは可能である。
　図１４は、実施の形態１，２に示した親制御装置１０、子制御装置２０、監視装置７０、外部機器９０のハードウェア構成の例を示す図である。
　親制御装置１０、子制御装置２０、監視装置７０、外部機器９０はコンピュータであり、親制御装置１０、子制御装置２０、監視装置７０、外部機器９０の各要素をプログラムで実現することができる。
　親制御装置１０、子制御装置２０、監視装置７０、外部機器９０のハードウェア構成としては、バスに、演算装置９０１、外部記憶装置９０２、主記憶装置９０３、通信装置９０４、入出力装置９０５が接続されている。
　演算装置９０１は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）等である。外部記憶装置９０２は、例えばＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）やフラッシュメモリ、ハードディスク装置等である。主記憶装置９０３は、例えばＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）等である。通信装置９０４は、例えば通信ボード等である。入出力装置９０５は、例えばマウス、キーボード、ディスプレイ装置等である。
　プログラムは、通常は外部記憶装置９０２に記憶されており、主記憶装置９０３にロードされた状態で、順次演算装置９０１に読み込まれ、実行される。
　プログラムは、通信部１１、情報同期管理部１２、入出力情報演算部１３、通信部２１、情報同期部２２、入出力機器制御部２３、通知処理部２４、情報取得部７１、情報保存部７２、診断部７３、診断データ記憶部７４、通知部７５、テストデータ送信部７６として説明している機能を実現するプログラムである。
　更に、外部記憶装置９０２にはオペレーティングシステム（ＯＳ）も記憶されており、ＯＳの少なくとも一部が主記憶装置９０３にロードされ、演算装置９０１はＯＳを実行しながら、上記プログラムを実行する。
　また、実施の形態１，２の説明において、「～の送信」、「～の受信」、「～の取得」、「～の保存」、「～の出力」、「～の演算」、「～の判定」等として説明している処理の結果を示す情報やデータや信号値や変数値が主記憶装置９０３にファイルとして記憶されている。
　なお、図１４の構成は、あくまでも各装置のハードウェア構成の一例を示すものであり、各装置のハードウェア構成は図１４に記載の構成に限らず、他の構成であってもよい。
　１００　車載ネットワークシステム、１０　親制御装置、１１　通信部、１２　情報同期管理部、１３　入出力情報演算部、２０　子制御装置、２１　通信部、２２　情報同期部、２３　入出力機器制御部、２４　通知処理部、３０　車載ネットワーク、４０　入力機器、５０　出力機器、６０　入出力信号線、７０　監視装置、７１　情報取得部、７２　情報保存部、７３　診断部、７４　診断データ記憶部、７５　通知部、７６　テストデータ送信部。

Claims (6)

  1. 　親制御装置と、前記親制御装置の制御に従いデバイスを制御する子制御装置とを備える制御システムにおける前記親制御装置の動作を監視する監視装置であり、
    　前記親制御装置の動作を診断するための診断データを記憶する診断データ記憶部と、
    　前記親制御装置と前記子制御装置との間の通信データを取得する情報取得部と、
    　前記診断データ記憶部が記憶した診断データと、前記情報取得部が取得した通信データとに基づき、前記親制御装置の動作を診断する診断部と
    を備えることを特徴とする監視装置。
  2. 　前記親制御装置は、前記子制御装置からの入力データに対して、出力データを演算し、演算した出力データを前記子制御装置へ出力し、
    　前記子制御装置は、前記親制御装置から出力された出力データに基づき、前記デバイスを制御し、
    　前記診断データ記憶部は、入力データと出力データとの対応関係を前記診断データとして記憶し、
    　前記情報取得部は、前記子制御装置から前記親制御装置へ送信された入力データと、前記親制御装置から前記子制御装置へ送信された出力データとを取得し、
    　前記診断部は、前記情報取得部が取得した入力データと出力データとが、前記対応関係を満たすか否かを判定することにより、前記親制御装置の動作を診断する
    ことを特徴とする請求項１に記載の監視装置。
  3. 　前記監視装置は、さらに、
    　前記親制御装置にテストデータを送信するテストデータ送信部
    を備え、
    　前記親制御装置は、前記テストデータ送信部が送信したテストデータを前記子制御装置からの入力データとして、出力データを演算し、演算した出力データを前記子制御装置へ出力し、
    　前記情報取得部は、前記親制御装置から前記子制御装置へ送信された出力データを取得し、
    　前記診断部は、前記テストデータと、前記情報取得部が取得した出力データとが、前記対応関係を満たすか否かを判定することにより、前記親制御装置の動作を診断する
    ことを特徴とする請求項２に記載の監視装置。
  4. 　前記監視装置は、さらに、
    　前記テストデータ送信部が前記テストデータを送信する場合に、一時的に前記出力データに基づき前記デバイスを制御しないように前記子制御装置へ通知する通知部
    を備える特徴とする請求項３に記載の監視装置。
  5. 　親制御装置と、前記親制御装置の制御に従いデバイスを制御する子制御装置と、前記親制御装置の動作を監視する監視装置とを備える制御システムであり、
    　前記監視装置は、
    　前記親制御装置の動作を診断するための診断データを記憶する診断データ記憶部と、
    　前記親制御装置と前記子制御装置との間の通信データを取得する情報取得部と、
    　前記診断データ記憶部が記憶した診断データと、前記情報取得部が取得した通信データとに基づき、前記親制御装置の動作を診断する診断部と
    を備えることを特徴とする制御システム。
  6. 　親制御装置と、前記親制御装置の制御に従いデバイスを制御する子制御装置とを備える制御システムにおける前記親制御装置の動作を監視する監視プログラムであり、
    　前記親制御装置と前記子制御装置との間の通信データを取得する情報取得処理と、
    　記憶装置に記憶された診断データであって、前記親制御装置の動作を診断するための診断データと、前記情報取得処理で取得した通信データとに基づき、前記親制御装置の動作を診断する診断処理と
    をコンピュータに実行させることを特徴とする監視プログラム。
PCT/JP2013/082554 2013-12-04 2013-12-04 監視装置、制御システム及び監視プログラム WO2015083251A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2015551329A JP6147356B2 (ja) 2013-12-04 2013-12-04 監視装置、制御システム及び監視プログラム
CN201380081145.2A CN105765543B (zh) 2013-12-04 2013-12-04 监视装置以及控制系统
DE112013007664.0T DE112013007664T5 (de) 2013-12-04 2013-12-04 Überwachungseinheit, Steuersystem und Überwachungsprogramm
PCT/JP2013/082554 WO2015083251A1 (ja) 2013-12-04 2013-12-04 監視装置、制御システム及び監視プログラム
US14/917,526 US10007570B2 (en) 2013-12-04 2013-12-04 Monitoring unit, control system, and computer readable medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2013/082554 WO2015083251A1 (ja) 2013-12-04 2013-12-04 監視装置、制御システム及び監視プログラム

Publications (1)

Publication Number Publication Date
WO2015083251A1 true WO2015083251A1 (ja) 2015-06-11

Family

ID=53273047

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2013/082554 WO2015083251A1 (ja) 2013-12-04 2013-12-04 監視装置、制御システム及び監視プログラム

Country Status (5)

Country Link
US (1) US10007570B2 (ja)
JP (1) JP6147356B2 (ja)
CN (1) CN105765543B (ja)
DE (1) DE112013007664T5 (ja)
WO (1) WO2015083251A1 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017087793A (ja) * 2015-11-04 2017-05-25 株式会社デンソー 異常診断システム及び異常診断装置
JP2019519853A (ja) * 2016-04-12 2019-07-11 ガードノックス・サイバー・テクノロジーズ・リミテッドＧｕａｒｄＫｎｏｘ Ｃｙｂｅｒ Ｔｅｃｈｎｏｌｏｇｉｅｓ Ｌｔｄ． セキュアロックダウンを実装するように構成された関連装置を有する特別にプログラムされたコンピューティングシステムおよびその使用方法
CN112486796A (zh) * 2020-12-30 2021-03-12 智道网联科技(北京)有限公司 一种采集车载智能终端信息的方法和装置
US11084495B2 (en) 2018-01-17 2021-08-10 Panasonic Intellectual Property Management Co., Ltd. Monitoring apparatus, monitoring method, and program

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101575547B1 (ko) * 2014-12-09 2015-12-22 현대오트론 주식회사 캔 통신 시스템의 에러 분산감지 방법 및 캔 통신 시스템
JP6438991B2 (ja) * 2017-03-14 2018-12-19 株式会社Ｓｕｂａｒｕ 車両用制御装置
EP4045373A4 (en) * 2019-10-16 2023-11-15 LHP, Inc. VEHICLE SECURITY MONITORING SYSTEM

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007003219A (ja) * 2005-06-21 2007-01-11 Nissan Motor Co Ltd 電子制御システムの試験装置及び試験方法
JP2007067812A (ja) * 2005-08-31 2007-03-15 Fujitsu Ten Ltd フレーム監視装置
JP2012245938A (ja) * 2011-05-30 2012-12-13 Denso Corp 車載電子制御装置および運転情報記憶システム

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3842466B2 (ja) * 1998-11-20 2006-11-08 富士重工業株式会社 ハイブリッド車の制御装置
JP2007165996A (ja) * 2005-12-09 2007-06-28 Hitachi Industrial Equipment Systems Co Ltd 監視装置
JP4525762B2 (ja) 2008-02-04 2010-08-18 株式会社デンソー 車両用電子制御装置
JP5094777B2 (ja) 2009-04-07 2012-12-12 日立オートモティブシステムズ株式会社 車載用電子制御装置
CN102782655B (zh) 2010-03-18 2015-03-04 丰田自动车株式会社 微机相互监视系统及微机相互监视方法
JP2012006535A (ja) 2010-06-28 2012-01-12 Autonetworks Technologies Ltd 車載電子制御装置
JP5246230B2 (ja) 2010-09-13 2013-07-24 株式会社デンソー 車両用電子制御装置
JP5541246B2 (ja) 2011-07-21 2014-07-09 株式会社デンソー 電子制御ユニット

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007003219A (ja) * 2005-06-21 2007-01-11 Nissan Motor Co Ltd 電子制御システムの試験装置及び試験方法
JP2007067812A (ja) * 2005-08-31 2007-03-15 Fujitsu Ten Ltd フレーム監視装置
JP2012245938A (ja) * 2011-05-30 2012-12-13 Denso Corp 車載電子制御装置および運転情報記憶システム

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017087793A (ja) * 2015-11-04 2017-05-25 株式会社デンソー 異常診断システム及び異常診断装置
JP2019519853A (ja) * 2016-04-12 2019-07-11 ガードノックス・サイバー・テクノロジーズ・リミテッドＧｕａｒｄＫｎｏｘ Ｃｙｂｅｒ Ｔｅｃｈｎｏｌｏｇｉｅｓ Ｌｔｄ． セキュアロックダウンを実装するように構成された関連装置を有する特別にプログラムされたコンピューティングシステムおよびその使用方法
US11084495B2 (en) 2018-01-17 2021-08-10 Panasonic Intellectual Property Management Co., Ltd. Monitoring apparatus, monitoring method, and program
CN112486796A (zh) * 2020-12-30 2021-03-12 智道网联科技(北京)有限公司 一种采集车载智能终端信息的方法和装置
CN112486796B (zh) * 2020-12-30 2023-07-11 智道网联科技(北京)有限公司 一种采集车载智能终端信息的方法和装置

Also Published As

Publication number Publication date
CN105765543B (zh) 2018-11-06
DE112013007664T5 (de) 2016-09-01
JPWO2015083251A1 (ja) 2017-03-16
US10007570B2 (en) 2018-06-26
US20160217023A1 (en) 2016-07-28
JP6147356B2 (ja) 2017-06-14
CN105765543A (zh) 2016-07-13

Similar Documents

Publication Publication Date Title
JP6147356B2 (ja) 監視装置、制御システム及び監視プログラム
US20220319255A1 (en) Layered electrical architecture for vehicle diagnostics
US8996927B2 (en) Electronic control device with watchdog timer and processing unit to diagnose malfunction of watchdog timer
US9058419B2 (en) System and method for verifying the integrity of a safety-critical vehicle control system
US9081699B2 (en) Relay device
JP6922072B2 (ja) 異常診断システム及び異常診断方法
JP2018518857A (ja) 車両の電子制御システムに冗長性を付与する方法及び装置
US10216550B2 (en) Technologies for fast boot with adaptive memory pre-training
JP2010113388A (ja) 処理結果を照合する比較器を有するマルチコアマイコン
KR102529916B1 (ko) 가상머신 기반 차량 제어 검증 시스템 및 방법
JP2011022934A (ja) 電子制御ユニット、異常検出方法
EP1712424B1 (en) Vehicle control apparatus
JP5680514B2 (ja) 自己診断機能を備えたコンピュータ、ソフトウェア作成方法、およびソフトウェア作成装置
CN115384535B (zh) 一种车辆功能安全监控系统及方法
JP6345447B2 (ja) 自動車用電子制御装置
CN106970550B (zh) 车辆子系统通信仲裁
Großmann et al. Efficient application of multi-core processors as substitute of the E-Gas (Etc) monitoring concept
JP4820679B2 (ja) 車両用電子制御装置
KR101826779B1 (ko) Asic의 제어 로직의 진단 장치 및 방법
CN113711209A (zh) 电子控制装置
WO2022113155A1 (ja) 車載用制御システム
JP2024047214A (ja) 制御装置
JP2024018616A (ja) 車両制御システム
CN115743001A (zh) 车辆控制方法、装置、电子设备、存储介质及程序产品
US20140052950A1 (en) System controlling apparatus, information processing system, and controlling method of system controlling apparatus

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13898505

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2015551329

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 14917526

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 112013007664

Country of ref document: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13898505

Country of ref document: EP

Kind code of ref document: A1