WO2021024716A1 - 車載中継装置、コンピュータプログラム及び故障判定方法 - Google Patents

車載中継装置、コンピュータプログラム及び故障判定方法 Download PDF

Info

Publication number
WO2021024716A1
WO2021024716A1 PCT/JP2020/027409 JP2020027409W WO2021024716A1 WO 2021024716 A1 WO2021024716 A1 WO 2021024716A1 JP 2020027409 W JP2020027409 W JP 2020027409W WO 2021024716 A1 WO2021024716 A1 WO 2021024716A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
input
ecu
output
controlled device
Prior art date
Application number
PCT/JP2020/027409
Other languages
English (en)
French (fr)
Inventor
航二 渡邉
Original Assignee
株式会社オートネットワーク技術研究所
住友電装株式会社
住友電気工業株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社オートネットワーク技術研究所, 住友電装株式会社, 住友電気工業株式会社 filed Critical 株式会社オートネットワーク技術研究所
Publication of WO2021024716A1 publication Critical patent/WO2021024716A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04B—TRANSMISSION
    • H04B3/00—Line transmission systems
    • H04B3/02—Details
    • H04B3/36—Repeater circuits
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks

Definitions

  • the present disclosure relates to an in-vehicle relay device, a computer program, and a failure determination method that relay data from a control device mounted on a vehicle to a controlled device and determine the presence or absence of a failure of the controlled device.
  • ECUs Electronic Control Units
  • Each ECU communicates with other ECUs to exchange information and performs each process. Therefore, as the number of ECUs in the vehicle increases, the amount of communication lines in the vehicle provided for the ECU to communicate increases, the weight of the vehicle increases, and the space for arranging the communication lines in the vehicle decreases. doing.
  • Patent Document 1 the vehicle is divided into a plurality of regions, a plurality of functional ECUs are connected to the relay ECU by the first network for each region, and a plurality of relay ECUs are connected by the second network. The system is described.
  • the present disclosure has been made in view of such circumstances, and an object thereof is to provide an in-vehicle relay device, a computer program, and a failure determination method capable of determining the presence or absence of a failure of a controlled device. There is.
  • the in-vehicle relay device includes a relay processing unit that inputs data received from the control device to the controlled device and transmits the data output by the controlled device to the control device or another controlled device.
  • a determination unit for determining the presence or absence of a failure of the controlled device is provided based on the correspondence between the data input to the controlled device and the operation result of the controlled device in response to the input of the data.
  • the present application can be realized not only as a device such as an in-vehicle relay device provided with such a characteristic processing unit, but also as a communication method in which the characteristic processing is a step, or the step is executed on a computer. It can be realized as a computer program to make it. It can be realized as a semiconductor integrated circuit that realizes a part or all of these devices, or can be realized as another device or system including these devices.
  • the in-vehicle relay device is a relay that inputs data received from the control device to the controlled device and transmits the data output by the controlled device to the control device or another controlled device.
  • a determination unit that determines whether or not there is a failure of the controlled device based on the correspondence between the processing unit, the data input to the controlled device, and the operation result of the controlled device in response to the input of the data. To be equipped.
  • the in-vehicle relay device relays the input / output of data between the control device and the controlled device.
  • the in-vehicle relay device monitors the input / output of data to the controlled device, and based on the correspondence between the data input to the controlled device and the operation result of the controlled device in response to this, the presence or absence of a failure of the controlled device. To judge. As a result, it can be expected that the presence or absence of failure of the controlled device can be accurately determined in the in-vehicle relay device that relays data to the controlled device.
  • the determination unit determines whether or not the controlled device has a failure based on the correspondence between the data input to the controlled device and the data output by the controlled device in response to the input of the data. It is preferable to judge.
  • the in-vehicle relay device determines whether or not the controlled device has a failure based on the correspondence between the input data to the controlled device and the output data from the controlled device output in response to the input data. judge. As a result, the in-vehicle relay device can determine the presence or absence of a failure by monitoring the data input / output to the controlled device.
  • a detection unit for detecting the amount of electric energy supplied to the controlled device is provided, and the determination unit operates the data input to the controlled device and the controlled device in response to the input of the data. It is preferable to determine the presence or absence of a failure of the controlled device based on the correspondence relationship of the electric energy detected by the detection unit at that time.
  • the in-vehicle relay device detects the amount of power supplied to the controlled device, and corresponds to the input data to the controlled device and the amount of power when the controlled device operates in response to the input data. Based on the relationship, it is determined whether or not the controlled device has a failure. As a result, when the controlled device that operates according to the input data consumes excessive power or the power consumption is excessively small, the in-vehicle relay device determines whether or not the controlled device has a failure. be able to.
  • the computer program inputs the data received from the control device to the controlled device to the computer, and transmits the data output by the controlled device to the control device or another controlled device. Then, based on the correspondence between the data input to the controlled device and the operation result of the controlled device in response to the input of the data, a process of determining the presence or absence of a failure of the controlled device is executed.
  • the data received from the control device is input to the controlled device, and the data output by the controlled device is transmitted to the control device or another controlled device.
  • the presence or absence of a failure of the controlled device is determined based on the correspondence between the data input to the controlled device and the operation result of the controlled device in response to the input of the data.
  • FIG. 1 is a schematic diagram for explaining an outline of an in-vehicle communication system according to the present embodiment.
  • the in-vehicle communication system according to the present embodiment includes a first relay device 10, a plurality of second relay devices 20, a wireless communication device 30, and a plurality of ECUs 40 mounted on the vehicle 1.
  • the vertical direction of FIG. 1 is the front-rear direction of the vehicle 1, and the left-right direction of FIG. 1 is the left-right direction of the vehicle 1.
  • the number of devices included in the in-vehicle communication system, the number of communication lines, the connection mode of the devices, the network configuration, and the like are not limited to those shown in the drawings.
  • the in-vehicle communication system is a star-shaped network in which a plurality of second relay devices 20 and one wireless communication device 30 are connected to one first relay device 10 via a communication line 2, respectively. It is a system that adopts the configuration.
  • communication between the first relay device 10 and the second relay device 20 and the wireless communication device 30 via the communication line 2 is performed according to the communication standard of Ethernet (registered trademark).
  • the first relay device 10 performs a process of relaying data transmission / reception between a plurality of second relay devices 20 and a wireless communication device, that is, data transmission / reception between a plurality of communication lines 2 connected to the first relay device 10.
  • the first relay device 10 and the second relay device 20 perform communication according to the Ethernet communication standard, but the present invention is not limited to this.
  • various communication standards such as CAN (Controller Area Network), CAN-FD (CAN with Flexible Data-rate), and FlexRay can be adopted.
  • the first relay device 10 is mounted in the center of the vehicle 1, and the second relay device 20 is the right front portion, the right center portion, the right rear portion, the left front portion, and the left center portion of the vehicle 1. It is mounted in 6 places on the left rear and 6 places respectively.
  • One or a plurality of ECUs 40 arranged in the vicinity thereof are connected to each second relay device 20 via a communication line 3. That is, in the in-vehicle communication system according to the present embodiment, a plurality of ECUs 40 are grouped based on the mounting position in the vehicle 1, and a plurality of ECUs 40 in the group are connected to one second relay device 20.
  • the plurality of second relay devices 20 are connected to the first relay device 10, and the first relay device 10 performs communication between groups.
  • the grouping of the plurality of ECUs 40 is not limited to the mounting position in the vehicle 1, and may be performed according to various conditions such as for each function of the device or for each communication speed.
  • the second relay device 20 and the plurality of ECUs 40 are connected via a common communication line 3 to form a bus-type network. Communication between the second relay device 20 and the ECU 40 via the communication line 3 is performed according to the CAN communication standard.
  • the communication line 3 is called a CAN bus, and several to a dozen or more ECUs 40 can be connected to the communication line 3.
  • FIG. 1 a configuration in which the ECU 40 is connected only to the second relay device 20 mounted on the right rear portion of the vehicle 1 via the communication line 3 is shown, but this is for the purpose of simplifying the drawing. It is a thing. In reality, one or more communication lines 3 are connected to the other second relay device 20, and one or more ECUs 40 are connected via the communication lines 3.
  • the second relay device 20 and the ECU 40 communicate according to the CAN communication standard, but the present invention is not limited to this.
  • various communication standards such as Ethernet, CAN-FD, and FlexRay can be adopted.
  • the second relay device 20 relays the data transmitted by the ECU 40 connected to one communication line 3 to the other communication line 3 and also to the communication line 2.
  • the second relay device 20 may determine the relay destination of this data based on, for example, the identification information attached to the received data, so-called CANID.
  • the second relay device 20 stores in advance information such as a table in which the CANID attached to the data and the communication line of the relay destination are associated with each other.
  • the wireless communication device 30 transmits / receives data to / from the server device 50 existing outside the vehicle 1 by performing communication using, for example, a mobile phone communication network or a wireless network such as a wireless LAN (Local Area Network). It can be carried out.
  • the wireless communication device 30 is connected to the first relay device 10 via the communication line 2, and the first relay device 10 transmits / receives data between the wireless communication device 30 and the second relay device 20. Relay.
  • each ECU 40 mounted on the vehicle 1 transmits / receives data to / from the server device 50 outside the vehicle 1 via the wireless communication device 30, the first relay device 10, and the second relay device 20. be able to.
  • the ECU 40 includes, for example, an ECU that controls the operation of the engine of the vehicle 1, an ECU that controls the lock / unlock of the door, an ECU that controls the on / off of the light, an ECU that controls the operation of the airbag, and ABS (Antilock).
  • Various ECUs such as an ECU that controls the operation of the Brake System) may be included.
  • the ECU 40 is mentioned as various devices mounted on the vehicle 1, but the in-vehicle device is not limited to the ECU, and may be various other devices.
  • FIG. 2 is a schematic diagram for explaining an outline of the failure determination method according to the present embodiment.
  • FIG. 2 shows a configuration in which one first relay device 10, one second relay device 20, and one ECU 40 are extracted as a part of the in-vehicle communication system shown in FIG.
  • the first relay device 10 and the second relay device 20 are connected via the communication line 2
  • the second relay device 20 and the ECU 40 are connected via the communication line 3.
  • the second relay device 20 relays data transmission / reception (input / output) between the first relay device 10 and the ECU 40.
  • the first relay device 10 is regarded as a control device
  • the ECU 40 is regarded as a controlled device
  • the first relay device 10 gives input data related to control to the ECU 40, and performs operations and processes according to the input data. The result will be described as assuming that the ECU 40 responds to the first relay device 10 as output data.
  • the first relay device 10 does not directly control the ECU 40, but the first relay device 10 relays data to another device that controls the ECU 40.
  • the data output by the ECU 40 includes not only the data transmitted as a response to the first relay device 10 but also the data transmitted to other devices such as the ECU 40 mounted on the vehicle 1. .. That is, the input source device for inputting data to the ECU 40 may be various devices mounted on the vehicle 1, and similarly, the output destination device for outputting data to the ECU 40 may be various devices mounted on the vehicle 1. It may be a device. Further, the device of the input source for inputting data to the ECU 40 and the device of the transmission destination of the data output by the ECU 40 in response to the data may be different devices.
  • the second relay device 20 relays the input data and the output data between the first relay device 10 and the ECU 40. Further, the second relay device 20 according to the present embodiment performs a process of determining the presence or absence of a failure of the ECU 40 based on the relationship between the input data to the ECU 40 and the output data from the ECU 40.
  • the second relay device 20 determines whether the input data from the first relay device 10 to the ECU 40 is a normal value, an abnormal value, or a fail-safe value. Similarly, the second relay device 20 determines whether the output data from the ECU 40 to the first relay device 10 is a normal value, an abnormal value, or a fail-safe value. In addition, in the present embodiment, the input data and the output data are repeatedly given to the second relay device 20 at a predetermined cycle.
  • the second relay device 20 uses a timeout determination time obtained by adding a certain grace period to a predetermined cycle of input data and output data, and even if the timeout determination time elapses from the previous input / output of data, the next data If there is no input / output, it is determined whether the state is "no data".
  • a normal value indicates that the data is within the specified numerical range, and an abnormal value indicates that the data is outside this numerical range.
  • the fail-safe value is a specific value to be transmitted when the device that transmits the input data detects its own abnormality or the like.
  • the second relay device 20 determines whether the input data to the ECU 40 is a normal value, an abnormal value, a fail-safe value or no data, and whether the output data from the ECU 40 is a normal value, an abnormal value, a fail-safe value or no data. It is determined whether or not there is a failure of the ECU 40 according to the correspondence relationship with which one.
  • the second relay device 20 stores in advance a determination table in which these correspondence relationships and the presence / absence of failure of the ECU 40 are associated with each other, and determines the presence / absence of failure using this determination table.
  • FIG. 3 is a block diagram showing the configuration of the second relay device 20 according to the present embodiment.
  • the second relay device 20 includes a processing unit (processor) 21, a storage unit (storage) 22, a first communication unit (transceiver) 23, and two second communication units (transceivers) 24. It is composed of.
  • the processing unit 21 is configured by using an arithmetic processing unit such as a CPU (Central Processing Unit) or an MPU (Micro-Processing Unit).
  • the processing unit 21 can perform various processes by reading and executing the program stored in the storage unit 22.
  • the processing unit 21 reads and executes the program 22a stored in the storage unit 22 to relay a message between the communication lines 2 and 3 and to determine whether or not the ECU 40 has a failure. And so on.
  • the storage unit 22 is configured by using a non-volatile memory element such as a flash memory or an EEPROM (Electrically Erasable Programmable Read Only Memory).
  • the storage unit 22 stores various programs executed by the processing unit 21 and various data required for processing by the processing unit 21.
  • the storage unit 22 includes a program 22a executed by the processing unit 21, a relay table 22b for determining a data relay destination in the relay process, and a determination table 22c for determining a failure of the ECU 40. I remember.
  • the program 22a may be written in the storage unit 22 at the manufacturing stage of the second relay device 20, for example, and the second relay device 20 may acquire what is distributed by a remote server device or the like by communication.
  • the second relay device 20 may read the program recorded on the recording medium 99 such as a memory card or an optical disk and store it in the storage unit 22.
  • the writing device reads the program recorded on the recording medium 99. It may be written in the storage unit 22 of the second relay device 20.
  • the program 22a may be provided in the form of distribution via the network, or may be provided in the form recorded on the recording medium 99.
  • the relay table 22b is a table used to determine the relay destination of the received data.
  • identification information such as CANID attached to data and identification information for identifying communication lines 2 and 3 to be relay destinations are stored in association with each other.
  • the determination table 22c is a table used by the second relay device 20 to determine whether or not the ECU 40 has a failure.
  • the determination table 22c is a table in which the presence or absence of failure of the ECU 40 is determined with respect to the correspondence between the input data to the ECU 40 and the output data from the ECU.
  • the second relay device 20 determines whether the input data to the ECU 40 is a normal value, an abnormal value, a fail-safe value, or no data, and the output data from the ECU 40 is a normal value, an abnormal value, or a fail-safe value.
  • the details of the determination table 22c will be described later.
  • the communication line 2 is connected to the first communication unit 23, and the first communication unit 23 communicates with the first relay device 10 via the communication line 2.
  • the first communication unit 23 transmits / receives data according to the Ethernet communication standard.
  • the first communication unit 23 may be configured by using, for example, an Ethernet PHY (PHYsical layer) IC (Integrated Circuit).
  • the first communication unit 23 shall perform communication according to the Ethernet communication standard, but is not limited to this, and may perform communication according to a communication standard such as CAN, CAN-FD or FlexRay. Good.
  • the first communication unit 23 transmits data by outputting the data given from the processing unit 21 as an electric signal to the communication line 2.
  • the first communication unit 23 converts the electric signal on the communication line 2 into digital data by sampling and acquiring the potential of the communication line 2, and gives the converted data to the processing unit 21 as received data.
  • the second relay device 20 includes two second communication units 24.
  • Each second communication unit 24 is connected to a communication line 3 and communicates with one or more ECUs 40 via the communication line 3.
  • the second communication unit 24 transmits / receives data according to the CAN communication standard.
  • the second communication unit 24 may be configured by using, for example, an IC of a CAN controller.
  • the second communication unit 24 shall perform communication according to the communication standard of CAN, but is not limited to this, and may perform communication according to a communication standard such as Ethernet, CAN-FD or FlexRay. Good.
  • the second communication unit 24 transmits data by outputting the data given from the processing unit 21 as an electric signal to the communication line 3.
  • the second communication unit 24 converts the electric signal on the communication line 3 into digital data by sampling and acquiring the potential of the communication line 3, and gives the converted data to the processing unit 21 as received data.
  • the second communication unit 24 performs an arbitration process for defining a transmission right to any one of the devices when a plurality of devices simultaneously transmit data to the communication line 3.
  • the processing unit 21 reads out and executes the program 22a stored in the storage unit 22, so that the relay processing unit 21a, the input determination unit 21b, the output determination unit 21c, and the failure determination are executed.
  • the unit 21d, the failure notification unit 21e, and the like are realized in the processing unit 21 as software-like functional blocks.
  • the relay processing unit 21a relays the data by transmitting the data received by either the first communication unit 23 or the second communication unit 24 from another first communication unit 23 or the second communication unit 24. Perform processing.
  • the relay processing unit 21a acquires the CANID attached to the received data, refers to the relay table 22b of the storage unit 22, and checks the transmission destination associated with the CANID in the relay table 22b.
  • the relay processing unit 21a gives data to the first communication unit 23 or the second communication unit 24 of the transmission destination specified in the relay table 22b, and transmits this data to the first communication unit 23 or the second communication unit 24. Let me do it.
  • the input determination unit 21b determines whether the data relayed to the ECU 40 to be determined for failure, that is, the input data to the ECU 40 is a normal value, an abnormal value, a fail-safe value, or no data. The input determination unit 21b can determine whether or not this data is a fail-safe value based on whether or not the value of the data relayed to the ECU 40 is a specific value. The input determination unit 21b can determine whether the data is a normal value or an abnormal value based on whether the value of the data is within a predetermined range.
  • the input determination unit 21b sends data to the ECU 40 according to whether or not the data to be relayed to the ECU 40 in a predetermined cycle is given from the first relay device 10 within the timeout determination time obtained by adding a constant standby time to the predetermined cycle. It is possible to determine the presence or absence of input data.
  • the output determination unit 21c determines whether the data from the ECU 40 that is the target of the failure determination, that is, the output data of the ECU 40 is a normal value, an abnormal value, a fail-safe value, or no data.
  • the output determination unit 21c can determine whether or not this data is a fail-safe value based on whether or not the value of the data from the ECU 40 is a specific value.
  • the output determination unit 21c can determine whether the data is a normal value or an abnormal value based on whether the value of the data is within a predetermined range.
  • the output determination unit 21c has output data from the ECU 40 depending on whether or not the data to be output in the predetermined cycle is given by the ECU 40 within the timeout determination time obtained by adding a constant standby time to the predetermined cycle. None can be determined.
  • the failure determination unit 21d refers to the determination table 22c stored in the storage unit 22 based on the determination result of the input data by the input determination unit 21b and the determination result of the output data by the output determination unit 21c. Performs a process of determining whether or not is out of order.
  • the failure notification unit 21e can notify the first relay device 10 when the failure determination unit 21d determines that the ECU 40 is out of order.
  • the first relay device 10 that has received the notification of the failure of the ECU 40 can transmit the notification to the device that transmits the input data to the ECU 40. Further, the device that transmits the input data receives the notification relayed by the first relay device 10, for example, recording the notification content, controlling the stop of the ECU 40 in which the failure has occurred, or investigating the detailed failure content.
  • the first relay device 10 may notify the failure of the ECU 40 to the server device 50 outside the vehicle 1 via the wireless communication device 30.
  • FIG. 4 is a schematic diagram showing an example of the input / output correspondence relationship in the normal state of the ECU 40 according to the present embodiment.
  • the input data input by the second relay device 20 to the ECU 40 is classified into five types: normal input value 1, normal input value 2, input fail-safe value, abnormal input value, or no input.
  • the input normal value 1 and the input normal value 2 are both input data having normal values, but the range of the values is different.
  • the input fail-safe value is data transmitted in response to an abnormality or the like of the device that transmits the input data, and is a predetermined specific value.
  • the input abnormal value is a value other than the above-mentioned input normal value 1, input normal value 2, and input fail-safe value. No input is a case where the input data to be input in a predetermined cycle cannot be received by the second relay device 20 even after the timeout determination time obtained by adding a constant waiting time to the predetermined cycle.
  • the normal ECU 40 which is not out of order, outputs the output data of the output normal value 1 for the input normal value 1, and outputs the output data of the output normal value 2 for the input normal value 2.
  • the ECU 40 in the normal state outputs the output data of the output fail-safe value.
  • the output normal value 1 and the output normal value 2 are both output data having normal values, but the range of the values is different.
  • the output fail-safe value is data to be output when the ECU 40 cannot output a normal value due to its own failure or an abnormality of another device, and is a predetermined specific value.
  • the output data of the ECU 40 includes an output abnormal value and no output as the data output when the ECU 40 is abnormal.
  • the output abnormal value is a value other than the above-mentioned output normal value 1, output normal value 2, and output fail-safe value. No output is a case where the ECU 40 does not output the output data that should be output in the predetermined cycle even after the timeout determination time obtained by adding a constant standby time to the predetermined cycle.
  • the determination table 22c stored in the storage unit 22 by the second relay device 20 is a table in which the input data to the ECU 40, the output data from the ECU 40, and the presence / absence of failure of the ECU 40 are stored in association with each other.
  • the ECU 40 is normal (not out of order).
  • the output fail-safe value, the output abnormal value, or no output the ECU 40 is considered to have a failure.
  • the ECU 40 when the input data is the input normal value 2 and the output data is the output normal value 2, the ECU 40 is normal (not out of order). On the other hand, when the input data is the input normal value 2 and the output data is the output normal value 1, the output fail-safe value, the output abnormal value, or no output, the ECU 40 is considered to have a failure.
  • the ECU 40 when the input data has an input fail-safe value and the output data has an output fail-safe value, the ECU 40 is normal (not out of order). On the other hand, when the input data is an input fail-safe value and the output data is an output normal value 1, an output normal value 2, an output abnormal value or no output, the ECU 40 is considered to have a failure.
  • the ECU 40 when the input data is an input abnormal value and the output data is an output fail-safe value, the ECU 40 is normal (not out of order). On the other hand, when the input data is an input abnormal value and the output data is an output normal value 1, an output normal value 2, an output abnormal value or no output, the ECU 40 is considered to have a failure.
  • the ECU 40 when the input data is no input and the output data is an output fail-safe value, the ECU 40 is normal (not out of order). On the other hand, when the input data has no input and the output data has an output normal value 1, an output normal value 2, an output abnormal value or no output, the ECU 40 is considered to have a failure.
  • the second relay device 20 acquires the input data to the ECU 40 received from the first relay device 10 and the output data output by the ECU 40 in response to the input data.
  • the second relay device 20 determines whether the acquired input data is an input normal value 1, an input normal value 2, an input fail-safe value, an input abnormal value, or no input.
  • the second relay device 20 determines whether the acquired output data is an output normal value 1, an output normal value 2, an output fail-safe value, an output abnormal value, or no output.
  • the second relay device 20 can refer to the determination table 22c based on the determination results of the input data and the output data, and determine whether or not there is a failure of the ECU 40.
  • FIG. 7 is a flowchart showing a procedure of failure determination processing performed by the second relay device 20 according to the present embodiment.
  • the input determination unit 21b of the processing unit 21 of the second relay device 20 according to the present embodiment acquires the input data to be relayed to the ECU 40 to be determined (step S1).
  • the input determination unit 21b determines whether the acquired input data is an input normal value 1, an input normal value 2, an input fail-safe value, an input abnormal value, or no input (step S2).
  • the output determination unit 21c of the processing unit 21 acquires the output data output by the ECU 40 according to the input data (step S3).
  • the output determination unit 21c determines whether the acquired output data is an output normal value 1, an output normal value 2, an output fail-safe value, an output abnormal value, or no output (step S4).
  • the failure determination unit 21d of the processing unit 21 refers to the determination table 22c stored in the storage unit 22 (step S5).
  • the failure determination unit 21d obtains from the determination table 22c whether or not there is a failure corresponding to the input data determined in step S2 and the output data determined in step S4, thereby determining whether or not the ECU 40 has failed.
  • Determine step S6.
  • the processing unit 21 returns the processing to step S1 and repeats the same processing for the subsequent input data and output data.
  • the failure notification unit 21e of the processing unit 21 notifies the first relay device 10 or the like that the ECU 40 is out of order (step S7).
  • the processing unit 21 stores information regarding the failure of the ECU 40 in the storage unit 22 (step S8).
  • the processing unit 21 performs a process of shutting off the device determined to have failed (step S9), and ends the process.
  • the second relay device 20 can shut off the ECU 40 from the network in the vehicle 1 by stopping the operation of the ECU 40 determined to have failed. Steps S7 to S9 of this flowchart do not necessarily have to be performed.
  • FIG. 8 is a flowchart showing a procedure of data determination processing performed by the second relay device 20 according to the present embodiment.
  • This data determination process is a process performed on the input data and the output data in steps S2 and S4 of the failure determination process shown in FIG. 7, respectively.
  • the discrimination between the input normal values 1 and 2 and the output normal values 1 and 2 is omitted for the normal values of the data.
  • the processing unit 21 of the second relay device 20 determines the presence / absence of input data to the ECU 40 or output data from the ECU 40 (step S21). When there is no data (S21: NO), the processing unit 21 determines whether or not a predetermined timeout determination time has elapsed since the previous data acquisition (step S22). When the time-out determination time has elapsed (S22: YES), the processing unit 21 determines that there is no data for the input data to the ECU 40 or the output data from the ECU 40 (step S23), and ends the process. If the time-out determination time has not elapsed (S22: NO), the processing unit 21 returns the processing to step S21.
  • the processing unit 21 acquires the value included in this data (step S24) and determines whether or not the acquired value is a specific value (step S25). When the data is a specific value (S25: YES), the processing unit 21 determines that the input data to the ECU 40 or the output data from the ECU 40 is a fail-safe value (step S26), and ends the process.
  • the processing unit 21 determines whether or not the data value is within a predetermined range (step S27). When the value is within the predetermined range (S27: YES), the processing unit 21 determines that the input data to the ECU 40 or the output data from the ECU 40 is a normal value (step S28), and ends the process. If the value is not within the predetermined range (S27: NO), the processing unit 21 determines that the input data to the ECU 40 or the output data from the ECU 40 is an abnormal value (step S29), and ends the process.
  • the second relay device 20 relays the input / output of data between the first relay device 10 and the ECU 40.
  • the second relay device 20 determines whether or not there is a failure of the ECU 40 based on the correspondence between the input data to the ECU 40 and the output data indicating the behavior of the ECU 40 according to the input data.
  • the second relay device 20 can be expected to accurately determine the presence or absence of failure of the ECU 40 by monitoring the input / output of data to the ECU 40.
  • the data input / output to the ECU 40 is a normal value, an abnormal value, a fail-safe value, or no data.
  • the second relay device 20 determines whether the input data to the ECU 40 is a normal value, an abnormal value, a fail-safe value or no data, and whether the output data from the ECU 40 is a normal value, an abnormal value, a fail-safe value or no data.
  • the presence or absence of a failure of the ECU 40 is determined by using the determination table 22c in which the presence or absence of a failure is determined according to the correspondence relationship with which one.
  • the second relay device 20 sets the determination table 22c by combining the determination result of which value the input data to the ECU 40 is and the determination result of which value the output data from the ECU 40 is. With reference to this, it is possible to easily determine whether or not the ECU 40 is out of order.
  • the input / output data for the ECU 40 is classified into four types of normal value, abnormal value, fail-safe value, or no data to determine the failure, but the data classification is limited to these four types. Instead, it may be further classified into another kind of value.
  • the number of classifications of input / output data may be 3 or less.
  • the name for the classification of input / output data need not be normal value, abnormal value, fail-safe value or no data.
  • a name such as a normal value or an abnormal value may not be given to the four types of classification, and for example, one of the four types of classification substantially corresponds to a fail-safe value. May be good.
  • the normal values are classified into two types, a normal value 1 and a normal value 2, but the present invention is not limited to this, and only one type or three or more types may be classified.
  • the input data and the output data include a fail-safe value, but the present invention is not limited to this.
  • the presence or absence of failure of the ECU 40 with respect to the correspondence between the input data and the output data in the determination table 22c shown in FIGS. 5 and 6 is an example, and is not limited to this.
  • FIG. 9 is a schematic diagram showing an example of the input / output correspondence relationship in the normal state of the ECU 40 according to the modified example.
  • the input data input to the ECU 40 by the second relay device 20 is classified into five types: normal input value 1, normal input value 2, input fail-safe value, abnormal input value, or no input.
  • the ECU 40 outputs the output data of the output normal value 1 with respect to the input normal value 1, and outputs the output data of the output normal value 2 with respect to the input normal value 2.
  • the ECU 40 uses one or more values included in the output normal value 1 as a fail-safe value.
  • the ECU 40 outputs a normal output value 1 for an input fail-safe value, an input abnormal value, and no input.
  • the output normal values 1 and 2 are both output data having normal values, but the range of the values is different.
  • 10 and 11 are schematic views showing an example of the determination table 22c according to the modified example.
  • the ECU 40 when the input data has the input normal value 1 and the output data has the output normal value 1, the ECU 40 is normal (not out of order).
  • the input data is the input normal value 1 and the output data is the output normal value 2, the output abnormal value or no output, the ECU 40 is considered to have a failure.
  • the ECU 40 when the input data is the input normal value 2 and the output data is the output normal value 2, the ECU 40 is normal (not out of order). On the other hand, when the input data is the input normal value 2 and the output data is the output normal value 1, the output abnormal value or no output, the ECU 40 is considered to have a failure.
  • the ECU 40 when the input data has an input fail-safe value and the output data has an output normal value of 1, the ECU 40 is normal (not failed). On the other hand, when the input data is an input fail-safe value and the output data is an output normal value 2, an output abnormal value or no output, the ECU 40 is considered to have a failure.
  • the ECU 40 when the input data is an input abnormal value and the output data is an output normal value 1, the ECU 40 is normal (not out of order). On the other hand, when the input data is an input abnormal value and the output data is an output normal value 2, an output abnormal value or no output, the ECU 40 is considered to have a failure.
  • the ECU 40 when the input data is no input and the output data is the output normal value 1, the ECU 40 is normal (not out of order). On the other hand, when the input data has no input and the output data has an output normal value 2, an output abnormal value or no output, the ECU 40 is considered to have a failure.
  • the second relay device 20 acquires the input data to the ECU 40 received from the first relay device 10 and the output data output by the ECU 40 in response to the input data.
  • the second relay device 20 determines whether the acquired input data is an input normal value 1, an input normal value 2, an input fail-safe value, an input abnormal value, or no input.
  • the second relay device 20 determines whether the acquired output data is an output normal value 1, an output normal value 2, an output abnormal value, or no output.
  • the second relay device 20 can refer to the determination table 22c based on the determination results of the input data and the output data, and determine whether or not there is a failure of the ECU 40.
  • the input fail-safe value is included in the input data, but the input fail-safe value may not be included in the input data.
  • the presence or absence of failure of the ECU 40 with respect to the correspondence between the input data and the output data in the determination table 22c shown in FIGS. 10 and 11 is an example, and is not limited to this.
  • FIG. 12 is a block diagram showing the configuration of the second relay device 20 according to the second embodiment.
  • the second relay device 20 according to the second embodiment has a function of controlling the power supply to the ECU 40. Therefore, the second relay device 20 according to the second embodiment further includes a power supply unit 25.
  • the power supply unit 25 is connected to, for example, the battery of the vehicle 1 (or another device that supplies power from the battery to the second relay device 20) via the power line 4, and the communication line 3 is connected to the second relay device 20. It is connected to the ECU 40 connected via the power line 5 via the power line 5.
  • the power supply unit 25 supplies the power supplied from the battery to each part of the second relay device 20, and also supplies the power to the ECU 40 via the power line 4.
  • the power supply unit 25 can switch between supplying and not supplying electric power to the ECU 40 in accordance with a control command or the like from the processing unit 21.
  • the power supply unit 25 detects the amount of electric power supplied to the ECU 40 and notifies the processing unit 21 of the detected electric power amount.
  • the second relay device 20 determines the presence or absence of a failure of the ECU 40 based on the correspondence relationship between the input data to the ECU 40 and the amount of power supplied to the ECU 40 when operating in response to the input data. .. Therefore, in the second relay device 20 according to the second embodiment, the power determination unit 21f is provided in the processing unit 21 instead of the output determination unit 21c.
  • the power determination unit 21f determines whether the amount of power supplied to the ECU 40 detected by the power supply unit 25 is normal power amount, abnormal power amount, or no power supply.
  • the failure determination unit 21d refers to the determination table 22c of the storage unit 22 based on the determination result of the input determination unit 21b and the determination result of the power determination unit 21f, and determines whether or not the ECU 40 has a failure.
  • FIG. 13 is a schematic diagram showing an example of the correspondence relationship between the input data and the electric energy in the normal state of the ECU 40 according to the second embodiment.
  • the input data input by the second relay device 20 to the ECU 40 is classified into five types: normal input value 1, normal input value 2, input fail-safe value, abnormal input value, or no input.
  • normal input value 1 normal input value 1
  • normal input value 2 input fail-safe value 2
  • abnormal input value abnormal input value
  • the normal electric energy 1 is a state in which the electric power supply amount is extremely small, and is an electric power supply amount (sleep value) in a state in which the ECU 40 is not operating, that is, a state such as a so-called sleep mode or a standby mode.
  • the normal electric power amount 2 is a normal electric power supply amount that can be obtained while the ECU 40 is operating. Further, the electric power to the ECU 40 includes an abnormal electric power as the electric energy supplied when the ECU 40 is abnormal.
  • the abnormal electric energy is an electric energy that is not included in the range of the normal electric energy 1 and 2.
  • the determination table 22c stored in the storage unit 22 by the second relay device 20 according to the second embodiment.
  • the input data to the ECU 40, the amount of electric energy supplied to the ECU 40, and the presence or absence of failure of the ECU 40 are associated with each other. It is a stored table.
  • the ECU 40 is normal (not out of order).
  • the ECU 40 is considered to have a failure.
  • the ECU 40 when the input data is the input normal value 2 and the electric energy is the normal electric energy 2, the ECU 40 is normal (not out of order). On the other hand, when the input data is the input normal value 2 and the electric energy is the normal electric energy 1 or the abnormal electric energy, the ECU 40 is considered to have a failure.
  • the ECU 40 when the input data has an input fail-safe value and the electric energy is the normal electric energy 1, the ECU 40 is normal (not out of order). On the other hand, when the input data is an input fail-safe value and the electric energy is the normal electric energy 2 or the abnormal electric energy, the ECU 40 is considered to have a failure.
  • the ECU 40 when the input data is an input abnormal value and the electric power amount is the normal electric energy amount 1 value, the ECU 40 is normal (not failed). On the other hand, when the input data is an input abnormal value and the electric energy is the normal electric energy 2 or the abnormal electric energy, the ECU 40 is considered to have a failure.
  • the ECU 40 when the input data is no input and the electric energy is the normal electric energy 1, the ECU 40 is normal (not out of order). On the other hand, when the input data is no input and the electric energy is the normal electric energy 2 or the abnormal electric energy, the ECU 40 is considered to have a failure.
  • the second relay device 20 acquires the input data to the ECU 40 received from the first relay device 10 and the amount of electric power supplied when the ECU 40 operates in response to the input data.
  • the second relay device 20 determines whether the acquired input data is an input normal value 1, an input normal value 2, an input fail-safe value, an input abnormal value, or no input.
  • the second relay device 20 determines whether the acquired electric energy is the normal electric energy 1, the normal electric energy 2, or the abnormal electric energy.
  • the second relay device 20 can determine whether or not there is a failure of the ECU 40 by referring to the determination table 22c based on the input data and the determination result of the electric energy amount.
  • the second relay device 20 detects the amount of electric power supplied to the ECU 40, and the input data to the ECU 40 and the electric power when the ECU 40 operates in response to the input data to the ECU 40.
  • the presence or absence of failure of the ECU 40 is determined based on the correspondence with the amount.
  • the second relay device 20 can determine whether or not the ECU 40 has a failure when the ECU 40 that operates according to the input data consumes an excessive amount of power or the power consumption is excessively small. ..
  • the input data includes the input fail-safe value, but the input data does not have to include the input fail-safe value.
  • the presence or absence of failure of the ECU 40 with respect to the correspondence between the input data and the electric energy in the determination table 22c shown in FIGS. 14 and 15 is an example, and is not limited to this.
  • Each device in the in-vehicle communication system includes a computer including a microprocessor, ROM, RAM, and the like.
  • An arithmetic processing unit such as a microprocessor reads a computer program including a part or all of each step of a sequence diagram or a flowchart as shown in FIGS. 7 and 8 from a storage unit such as a ROM or a RAM and executes the program. You can.
  • the computer programs of these plurality of devices can be installed from an external server device or the like.
  • the computer programs of these plurality of devices are distributed in a state of being stored in a recording medium such as a CD-ROM, a DVD-ROM, or a semiconductor memory, respectively.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mechanical Engineering (AREA)
  • Small-Scale Networks (AREA)
  • Cable Transmission Systems, Equalization Of Radio And Reduction Of Echo (AREA)

Abstract

被制御装置の故障の有無を判定することができる車載中継装置、コンピュータプログラム及び故障判定方法を提供する。　本実施の形態に係る車載中継装置は、制御装置から受信したデータを被制御装置へ入力し、且つ、前記被制御装置が出力したデータを前記制御装置又は他の被制御装置へ送信する中継処理部と、前記被制御装置へ入力したデータ、及び、当該データの入力に応じた前記被制御装置の動作結果の対応関係に基づいて、前記被制御装置の故障の有無を判定する判定部とを備える。前記判定部は、前記被制御装置へ入力したデータ、及び、当該データの入力に応じて前記被制御装置が出力したデータの対応関係に基づいて、前記被制御装置の故障の有無を判定してもよい。

Description

車載中継装置、コンピュータプログラム及び故障判定方法
　本開示は、車両に搭載された制御装置から被制御装置へのデータを中継すると共に、被制御装置の故障の有無を判定する車載中継装置、コンピュータプログラム及び故障判定方法に関する。
　近年、車両に搭載されるＥＣＵ（Electronic Control Unit）は増加する傾向にある。各ＥＣＵは、他のＥＣＵとの間で通信を行って情報を交換し、各々の処理を行っている。このため、車両内のＥＣＵの増加に伴って、ＥＣＵが通信を行うために設けられる車両内の通信線の量が増加し、車両の重量の増加及び車両内の通信線を配するスペースが減少している。
　特許文献１においては、車両内を複数の領域に分け、領域毎に複数の機能ＥＣＵを第１ネットワークにて中継ＥＣＵに接続し、複数の中継ＥＣＵを第２ネットワークにて接続した構成の車両制御システムが記載されている。
特開２０１５－６７１８７号公報
　車両に搭載される各種の装置については、故障又は異常等を速やかに検出して対応することが望まれる。
　本開示は、斯かる事情に鑑みてなされたものであって、その目的とするところは、被制御装置の故障の有無を判定することができる車載中継装置、コンピュータプログラム及び故障判定方法を提供することにある。
　本態様に係る車載中継装置は、制御装置から受信したデータを被制御装置へ入力し、且つ、前記被制御装置が出力したデータを前記制御装置又は他の被制御装置へ送信する中継処理部と、前記被制御装置へ入力したデータ、及び、当該データの入力に応じた前記被制御装置の動作結果の対応関係に基づいて、前記被制御装置の故障の有無を判定する判定部とを備える。
　本願は、このような特徴的な処理部を備える車載中継装置等の装置として実現することができるだけでなく、かかる特徴的な処理をステップとする通信方法として実現したり、かかるステップをコンピュータに実行させるためのコンピュータプログラムとして実現したりすることができる。これらの装置の一部又は全部を実現する半導体集積回路として実現したり、これらの装置を含むその他の装置又はシステムとして実現したりすることができる。
　上記によれば、被制御装置の故障の有無を判定することが可能となる。
本実施の形態に係る車載通信システムの概要を説明するための模式図である。 本実施の形態に係る故障判定方法の概要を説明するための模式図である。 本実施の形態に係る第２中継装置の構成を示すブロック図である。 本実施の形態に係るＥＣＵの正常時における入出力の対応関係の一例を示す模式図である。 本実施の形態に係る判定テーブルの一例を示す模式図である。 本実施の形態に係る判定テーブルの一例を示す模式図である。 本実施の形態に係る第２中継装置が行う故障判定処理の手順を示すフローチャートである。 本実施の形態に係る第２中継装置が行うデータ判定処理の手順を示すフローチャートである。 変形例に係るＥＣＵの正常時における入出力の対応関係の一例を示す模式図である。 変形例に係る判定テーブルの一例を示す模式図である。 変形例に係る判定テーブルの一例を示す模式図である。 実施の形態２に係る第２中継装置の構成を示すブロック図である。 実施の形態２に係るＥＣＵの正常時における入力データと電力量との対応関係の一例を示す模式図である。 実施の形態２に係る判定テーブルの一例を示す模式図である。 実施の形態２に係る判定テーブルの一例を示す模式図である。
［本開示の実施の形態の説明］
　最初に本開示の実施態様を列記して説明する。以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。
（１）本態様に係る車載中継装置は、制御装置から受信したデータを被制御装置へ入力し、且つ、前記被制御装置が出力したデータを前記制御装置又は他の被制御装置へ送信する中継処理部と、前記被制御装置へ入力したデータ、及び、当該データの入力に応じた前記被制御装置の動作結果の対応関係に基づいて、前記被制御装置の故障の有無を判定する判定部とを備える。
　本態様にあっては、制御装置及び被制御装置の間のデータの入出力を車載中継装置が中継する。車載中継装置は、被制御装置に対するデータの入出力を監視し、被制御装置へ入力したデータと、これに応じた被制御装置の動作結果の対応関係に基づいて、被制御装置の故障の有無を判定する。これにより、被制御装置に対するデータの中継を行う車載中継装置において被制御装置の故障の有無を精度よく判定することが期待できる。
（２）前記判定部は、前記被制御装置へ入力したデータ、及び、当該データの入力に応じて前記被制御装置が出力したデータの対応関係に基づいて、前記被制御装置の故障の有無を判定することが好ましい。
　本態様にあっては、被制御装置への入力データと、これに応じて出力される被制御装置からの出力データとの対応関係に基づいて、車載中継装置が被制御装置の故障の有無を判定する。これにより車載中継装置は、被制御装置に対して入出力するデータの監視により故障の有無を判定することができる。
（３）前記被制御装置へ供給される電力量を検知する検知部を備え、前記判定部は、前記被制御装置へ入力したデータ、及び、当該データの入力に応じて前記被制御装置が動作した際に前記検知部が検知した電力量の対応関係に基づいて、前記被制御装置の故障の有無を判定することが好ましい。
　本態様にあっては、車載中継装置が被制御装置へ供給される電力量を検知し、被制御装置への入力データと、これに応じて被制御装置が動作した際の電力量との対応関係に基づいて、被制御装置の故障の有無を判定する。これにより、入力データに応じて動作した被制御装置にて過大な電力が消費されている場合又は電力消費量が過度に少ない場合等に、車載中継装置が被制御装置の故障の有無を判定することができる。
（４）本態様に係るコンピュータプログラムは、コンピュータに、制御装置から受信したデータを被制御装置へ入力し、且つ、前記被制御装置が出力したデータを前記制御装置又は他の被制御装置へ送信し、前記被制御装置へ入力したデータ、及び、当該データの入力に応じた前記被制御装置の動作結果の対応関係に基づいて、前記被制御装置の故障の有無を判定する処理を実行させる。
　本態様にあっては、態様（１）と同様に、被制御装置の故障の有無を精度よく判定することが期待できる。
（５）本態様に係る故障判定方法は、制御装置から受信したデータを被制御装置へ入力し、且つ、前記被制御装置が出力したデータを前記制御装置又は他の被制御装置へ送信し、前記被制御装置へ入力したデータ、及び、当該データの入力に応じた前記被制御装置の動作結果の対応関係に基づいて、前記被制御装置の故障の有無を判定する。
　本態様にあっては、態様（１）と同様に、被制御装置の故障の有無を精度よく判定することが期待できる。
［本開示の実施形態の詳細］
　本開示の実施形態に係る車載中継装置の具体例を、以下に図面を参照しつつ説明する。本開示はこれらの例示に限定されるものではなく、請求の範囲によって示され、請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。
＜システム概要＞
　図１は、本実施の形態に係る車載通信システムの概要を説明するための模式図である。本実施の形態に係る車載通信システムは、車両１に搭載された第１中継装置１０、複数の第２中継装置２０、無線通信装置３０及び複数のＥＣＵ４０を備えて構成されている。図１の上下方向が車両１の前後方向であり、図１の左右方向が車両１の左右方向である。車載通信システムに含まれる装置の数、通信線の数、装置の接続態様及びネットワークの構成等は、図示のものに限らない。
　本実施の形態に係る車載通信システムは、１つの第１中継装置１０に対して複数の第２中継装置２０及び１つの無線通信装置３０がそれぞれ通信線２を介して接続されたスター型のネットワーク構成が採用されたシステムである。本実施の形態においては、通信線２を介する第１中継装置１０と第２中継装置２０及び無線通信装置３０との間の通信は、イーサネット（登録商標）の通信規格に従って行われる。第１中継装置１０は、複数の第２中継装置２０及び無線通信装置の間のデータ送受信、即ち自身に接続された複数の通信線２の間のデータ送受信を中継する処理を行う。なお本実施の形態においては第１中継装置１０及び第２中継装置２０がイーサネットの通信規格に従って通信を行うものとするが、これに限るものではない。第１中継装置１０及び第２中継装置２０の通信は、例えばＣＡＮ（Controller Area Network）、ＣＡＮ－ＦＤ（CAN with Flexible Data-rate）又はＦｌｅｘＲａｙ等の種々の通信規格が採用され得る。
　本実施の形態に係る車載通信システムでは、第１中継装置１０が車両１の中央に搭載され、第２中継装置２０が車両１の右前部、右中央部、右後部、左前部、左中央部及び左後部の６ヵ所にそれぞれ搭載されている。各第２中継装置２０には、その近傍に配された一又は複数のＥＣＵ４０が通信線３を介して接続されている。即ち本実施の形態に係る車載通信システムでは、車両１における搭載位置に基づいて複数のＥＣＵ４０がグループ化され、グループ内の複数のＥＣＵ４０が１つの第２中継装置２０に接続されている。複数の第２中継装置２０は第１中継装置１０に接続され、グループ間の通信を第１中継装置１０が行う。なお複数のＥＣＵ４０のグループ分けは、車両１における搭載位置に限らず、例えば装置の機能毎又は通信速度毎等のように種々の条件に従って行われてよい。
　本実施の形態において第２中継装置２０と複数のＥＣＵ４０とは、共通の通信線３を介して接続され、バス型のネットワークを構成している。通信線３を介する第２中継装置２０及びＥＣＵ４０の間の通信は、ＣＡＮの通信規格に従って行われる。通信線３は、ＣＡＮバスと呼ばれ、数個から十数個程度のＥＣＵ４０が接続され得る。図１においては、車両１の右後部に搭載された第２中継装置２０にのみＥＣＵ４０が通信線３を介して接続された構成が図示されているが、これは図の簡略化を目的としたものである。実際には、他の第２中継装置２０にも一又は複数の通信線３が接続され、一又は複数のＥＣＵ４０が通信線３を介して接続される。なお本実施の形態においては第２中継装置２０及びＥＣＵ４０がＣＡＮの通信規格に従って通信を行うものとするが、これに限るものではない。第２中継装置２０及びＥＣＵ４０の通信は、例えばイーサネット、ＣＡＮ－ＦＤ又はＦｌｅｘＲａｙ等の種々の通信規格が採用され得る。
　本例では、右後部の第２中継装置２０には２つの通信線３が接続され、一方の通信線３には２つのＥＣＵ４０が接続され、他方の通信線３には１つのＥＣＵ４０が接続されている。この第２中継装置２０は、一方の通信線３に接続されたＥＣＵ４０が送信したデータを、他方の通信線３へ中継すると共に、通信線２へ中継する。第２中継装置２０は、例えば受信したデータに付された識別情報、いわゆるＣＡＮＩＤに基づいて、このデータの中継先を決定してもよい。この場合、第２中継装置２０は、データに付されるＣＡＮＩＤと、中継先の通信線とを対応付けたテーブル等の情報を予め記憶している。
　無線通信装置３０は、例えば携帯電話通信網又は無線ＬＡＮ（Local Area Network）等の無線ネットワークを利用した通信を行うことにより、車両１の外部に存在するサーバ装置５０との間でデータの送受信を行うことができる。上述のように無線通信装置３０は通信線２を介して第１中継装置１０に接続されており、第１中継装置１０は無線通信装置３０と第２中継装置２０との間でデータの送受信を中継する。これにより、車両１に搭載された各ＥＣＵ４０は、無線通信装置３０、第１中継装置１０及び第２中継装置２０を介して、車両１の外部のサーバ装置５０との間でデータの送受信を行うことができる。
　ＥＣＵ４０は、例えば車両１のエンジンの動作を制御するＥＣＵ、ドアのロック／アンロックを制御するＥＣＵ、ライトの点灯／消灯を制御するＥＣＵ、エアバッグの動作を制御するＥＣＵ、及び、ＡＢＳ（Antilock Brake System）の動作を制御するＥＣＵ等の種々のＥＣＵが含まれ得る。本実施の形態においては、車両１に搭載される種々の装置としてＥＣＵ４０を挙げるが、車載の装置はＥＣＵに限るものではなく、その他の種々の装置であってよい。
　図２は、本実施の形態に係る故障判定方法の概要を説明するための模式図である。図２には、図１に示した車載通信システムの一部分として、１つの第１中継装置１０と、１つの第２中継装置２０と、１つのＥＣＵ４０とを抜き出した構成を示してある。第１中継装置１０及び第２中継装置２０は通信線２を介して接続され、第２中継装置２０及びＥＣＵ４０は通信線３を介して接続されている。第２中継装置２０は、第１中継装置１０及びＥＣＵ４０の間でデータの送受信（入出力）を中継する。
　以下においては、第１中継装置１０を制御装置とみなし、ＥＣＵ４０を被制御装置とみなし、第１中継装置１０が制御に関する入力データをＥＣＵ４０へ与え、この入力データに応じて動作及び処理等を行った結果をＥＣＵ４０が出力データとして第１中継装置１０へ応答するものとして説明を行う。
　ただし実際には、第１中継装置１０がＥＣＵ４０を直接的に制御するのではなく、ＥＣＵ４０を制御する他の装置に対して第１中継装置１０がデータの中継を行っている。また実際には、ＥＣＵ４０が出力するデータは、第１中継装置１０に対する応答として送信されるもののみでなく、車両１に搭載された他のＥＣＵ４０等の装置に対して送信されるものも含まれる。即ち、ＥＣＵ４０に対してデータを入力する入力元の装置は車両１に搭載された種々の装置であってよく、同様にＥＣＵ４０がデータを出力する出力先の装置は車両１に搭載された種々の装置であってよい。更には、ＥＣＵ４０へデータを入力する入力元の装置と、このデータに応じてＥＣＵ４０が出力するデータの送信先の装置とは、異なる装置であってもよい。
　本実施の形態において第２中継装置２０は、第１中継装置１０及びＥＣＵ４０の間でこの入力データ及び出力データの中継を行うものとする。更に、本実施の形態に係る第２中継装置２０は、ＥＣＵ４０への入力データと、ＥＣＵ４０からの出力データとの関係に基づいて、ＥＣＵ４０の故障の有無を判定する処理を行う。
　本実施の形態において第２中継装置２０は、第１中継装置１０からＥＣＵ４０への入力データが正常値、異常値若しくはフェールセーフ値のいずれであるかを判定する。同様に第２中継装置２０は、ＥＣＵ４０から第１中継装置１０への出力データが正常値、異常値若しくはフェールセーフ値のいずれであるかを判定する。加えて、本実施の形態において入力データ及び出力データは所定周期で繰り返し第２中継装置２０へ与えられるものとする。第２中継装置２０は、入力データ及び出力データの所定周期に対して一定の猶予期間を加えたタイムアウト判定時間を用い、前回のデータの入出力からタイムアウト判定時間が経過しても次のデータの入出力がない場合、「データなし」の状態であるかを判定する。正常値はデータが定められた数値範囲内であること、異常値はこの数値範囲外であることを示す。フェールセーフ値は、入力データの送信元の装置が自身の異常等を検知した場合に送信する特定の値である。
　第２中継装置２０は、ＥＣＵ４０への入力データが正常値、異常値、フェールセーフ値又はデータなしのいずれであるかと、ＥＣＵ４０からの出力データが正常値、異常値、フェールセーフ値又はデータなしのいずれであるかとの対応関係に応じて、ＥＣＵ４０の故障の有無を判定する。第２中継装置２０は、これらの対応関係と、ＥＣＵ４０の故障の有無とが対応付けられた判定テーブルを予め記憶し、この判定テーブルを用いて故障の有無を判定する。
＜装置構成＞
　図３は、本実施の形態に係る第２中継装置２０の構成を示すブロック図である。本実施の形態に係る第２中継装置２０は、処理部（プロセッサ）２１、記憶部（ストレージ）２２、第１通信部（トランシーバ）２３、及び、２つの第２通信部（トランシーバ）２４を備えて構成されている。処理部２１は、例えばＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro-Processing Unit）等の演算処理装置を用いて構成されている。処理部２１は、記憶部２２に記憶されたプログラムを読み出して実行することにより、種々の処理を行うことができる。本実施の形態において処理部２１は、記憶部２２に記憶されたプログラム２２ａを読み出して実行することにより、通信線２，３の間のメッセージを中継する処理及びＥＣＵ４０の故障の有無を判定する処理等を行う。
　記憶部２２は、例えばフラッシュメモリ又はＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）等の不揮発性のメモリ素子を用いて構成されている。記憶部２２は、処理部２１が実行する各種のプログラム、及び、処理部２１の処理に必要な各種のデータを記憶する。本実施の形態において記憶部２２は、処理部２１が実行するプログラム２２ａと、中継処理においてデータの中継先を決定するための中継テーブル２２ｂと、ＥＣＵ４０の故障判定を行うための判定テーブル２２ｃとを記憶している。
　プログラム２２ａは、例えば第２中継装置２０の製造段階において記憶部２２に書き込まれてもよく、例えば遠隔のサーバ装置などが配信するものを第２中継装置２０が通信にて取得してもよく、例えばメモリカード又は光ディスク等の記録媒体９９に記録されたプログラムを第２中継装置２０が読み出して記憶部２２に記憶してもよく、例えば記録媒体９９に記録されたものを書込装置が読み出して第２中継装置２０の記憶部２２に書き込んでもよい。プログラム２２ａは、ネットワークを介した配信の態様で提供されてもよく、記録媒体９９に記録された態様で提供されてもよい。
　中継テーブル２２ｂは、受信したデータの中継先を決定するために用いられるテーブルである。中継テーブル２２ｂには、例えばデータに付されるＣＡＮＩＤ等の識別情報と、中継先となる通信線２，３を識別する識別情報が対応付けて記憶されている。
　判定テーブル２２ｃは、第２中継装置２０がＥＣＵ４０の故障の有無を判定する際に用いるテーブルである。判定テーブル２２ｃには、ＥＣＵ４０への入力データと、ＥＣＵからの出力データとの対応関係に対して、ＥＣＵ４０の故障の有無が定められたテーブルである。第２中継装置２０は、ＥＣＵ４０への入力データが正常値、異常値、フェールセーフ値又はデータなしのいずれであるかの判定結果と、ＥＣＵ４０からの出力データが正常値、異常値、フェールセーフ値又はデータなしのいずれであるかの判定結果とに基づいて判定テーブル２２ｃを参照することにより、このＥＣＵ４０が故障しているか否かを判定することができる。判定テーブル２２ｃの詳細については後述する。
　第１通信部２３は、通信線２が接続され、通信線２を介した第１中継装置１０との通信を行う。本実施の形態において第１通信部２３は、イーサネットの通信規格に従うデータの送受信を行う。第１通信部２３は、例えばイーサネットＰＨＹ（PHYsical layer）のＩＣ（Integrated Circuit）を用いて構成され得る。なお本実施の形態において第１通信部２３はイーサネットの通信規格に従って通信を行うものとするが、これに限るものではなく、例えばＣＡＮ、ＣＡＮ－ＦＤ又はＦｌｅｘＲａｙ等の通信規格に従って通信を行ってもよい。第１通信部２３は、処理部２１から与えられたデータを電気信号として通信線２へ出力することによりデータ送信を行う。第１通信部２３は、通信線２の電位をサンプリングして取得することにより、通信線２上の電気信号をデジタルデータに変換し、変換したデータを受信データとして処理部２１へ与える。
　本実施の形態に係る第２中継装置２０は、２つの第２通信部２４を備えている。各第２通信部２４は、通信線３が接続され、通信線３を介して一又は複数のＥＣＵ４０との通信を行う。本実施の形態において第２通信部２４は、ＣＡＮの通信規格に従うデータの送受信を行う。第２通信部２４は、例えばＣＡＮコントローラのＩＣを用いて構成され得る。なお本実施の形態において第２通信部２４はＣＡＮの通信規格に従って通信を行うものとするが、これに限るものではなく、例えばイーサネット、ＣＡＮ－ＦＤ又はＦｌｅｘＲａｙ等の通信規格に従って通信を行ってもよい。第２通信部２４は、処理部２１から与えられたデータを電気信号として通信線３へ出力することによりデータ送信を行う。第２通信部２４は、通信線３の電位をサンプリングして取得することにより、通信線３上の電気信号をデジタルデータに変換し、変換したデータを受信データとして処理部２１へ与える。第２通信部２４は、通信線３に対して複数の装置が同時的にデータを送信した場合に、いずれか１つの装置に送信権利を画定するためのアービトレーション処理を行う。
　本実施の形態に第２中継装置２０は、記憶部２２に記憶されたプログラム２２ａを処理部２１が読み出して実行することにより、中継処理部２１ａ、入力判定部２１ｂ、出力判定部２１ｃ、故障判定部２１ｄ及び故障通知部２１ｅ等が処理部２１にソフトウェア的な機能ブロックとして実現される。中継処理部２１ａは、第１通信部２３又は第２通信部２４のいずれかにて受信したデータを、別の第１通信部２３又は第２通信部２４から送信することで、データを中継する処理を行う。中継処理部２１ａは、受信したデータに付されたＣＡＮＩＤを取得して記憶部２２の中継テーブル２２ｂを参照し、中継テーブル２２ｂにてＣＡＮＩＤに対応付けられた送信先を調べる。中継処理部２１ａは、中継テーブル２２ｂにて指定された送信先の第１通信部２３又は第２通信部２４へデータを与え、第１通信部２３又は第２通信部２４にこのデータの送信を行わせる。
　入力判定部２１ｂは、故障判定の対象となるＥＣＵ４０に対して中継するデータ、即ちＥＣＵ４０への入力データが、正常値、異常値、フェールセーフ値又はデータなしのいずれであるかを判定する。入力判定部２１ｂは、ＥＣＵ４０へ中継するデータの値が特定の値であるか否かに基づいて、このデータがフェールセーフ値であるか否かを判定することができる。入力判定部２１ｂは、データの値が所定範囲内であるか否かに基づいて、このデータが正常値であるか異常値であるかを判定することができる。入力判定部２１ｂは、所定周期でＥＣＵ４０へ中継すべきデータが、所定周期に一定の待機時間を加えたタイムアウト判定時間内に第１中継装置１０から与えられたか否かに応じて、ＥＣＵ４０への入力データのあり又はなしを判定することができる。
　出力判定部２１ｃは、故障判定の対象となるＥＣＵ４０からのデータ、即ちＥＣＵ４０の出力データが、正常値、異常値、フェールセーフ値又はデータなしのいずれであるかを判定する。出力判定部２１ｃは、ＥＣＵ４０からのデータの値が特定の値であるか否かに基づいて、このデータがフェールセーフ値であるか否かを判定することができる。出力判定部２１ｃは、データの値が所定範囲内であるか否かに基づいて、このデータが正常値であるか異常値であるかを判定することができる。出力判定部２１ｃは、所定周期で出力されるべきデータが、所定周期に一定の待機時間を加えたタイムアウト判定時間内にＥＣＵ４０から与えられたか否かに応じて、ＥＣＵ４０からの出力データのあり又はなしを判定することができる。
　故障判定部２１ｄは、入力判定部２１ｂによる入力データの判定結果と、出力判定部２１ｃによる出力データの判定結果とに基づいて、記憶部２２に記憶された判定テーブル２２ｃを参照することにより、ＥＣＵ４０が故障しているか否かを判定する処理を行う。
　故障通知部２１ｅは、故障判定部２１ｄによりＥＣＵ４０が故障していると判定された場合に、第１中継装置１０への通知を行うことができる。ＥＣＵ４０の故障の通知を受信した第１中継装置１０は、このＥＣＵ４０への入力データの送信元の装置に対して通知を送信することができる。更に、入力データの送信元の装置は、第１中継装置１０にて中継された通知を受信し、例えば通知内容の記録、故障が生じたＥＣＵ４０の停止制御、又は、詳細な故障内容の調査等の種々の処理を行うことができる。第１中継装置１０は、ＥＣＵ４０の故障を、無線通信装置３０を介して車両１の外部のサーバ装置５０へ通知してもよい。
＜故障判定処理＞
　図４は、本実施の形態に係るＥＣＵ４０の正常時における入出力の対応関係の一例を示す模式図である。本例においては、第２中継装置２０がＥＣＵ４０へ入力する入力データは、入力正常値１、入力正常値２、入力フェールセーフ値、入力異常値又は入力なしの５つに分類される。入力正常値１及び入力正常値２は、いずれも正常な値を持つ入力データであるが、その値の範囲が異なるものとする。入力フェールセーフ値は、入力データの送信元の装置の異常等に応じて送信されるデータであり、予め定められた特定値である。入力異常値は、上記の入力正常値１、入力正常値２及び入力フェールセーフ値以外の値である。入力なしは、所定周期で入力されるべき入力データについて、所定周期に一定の待機時間を加えたタイムアウト判定時間を過ぎても第２中継装置２０にて入力データが受信できない場合である。
　故障していない正常時のＥＣＵ４０は、入力正常値１に対して出力正常値１の出力データを出力し、入力正常値２に対して出力正常値２の出力データを出力する。入力フェールセーフ値、入力異常値及び入力なしに対して、正常時のＥＣＵ４０は、出力フェールセーフ値の出力データを出力する。出力正常値１及び出力正常値２は、いずれも正常な値を持つ出力データであるが、その値の範囲が異なるものとする。出力フェールセーフ値は、ＥＣＵ４０が自身の故障又は他の装置の異常等により正常値を出力することができない場合に出力するデータであり、予め定められた特定値である。ＥＣＵ４０の出力データには、ＥＣＵ４０の異常時に出力されるデータとして、出力異常値及び出力なしが含まれる。出力異常値は、上記の出力正常値１、出力正常値２及び出力フェールセーフ値以外の値である。出力なしは、所定周期で出力されるべき出力データについて、所定周期に一定の待機時間を加えたタイムアウト判定時間を過ぎてもＥＣＵ４０が出力データを出力しない場合である。
　図５及び図６は、本実施の形態に係る判定テーブル２２ｃの一例を示す模式図である。第２中継装置２０が記憶部２２に記憶している判定テーブル２２ｃは、ＥＣＵ４０への入力データと、ＥＣＵ４０からの出力データと、ＥＣＵ４０の故障の有無とが対応付けて記憶されたテーブルである。本例においては、入力データが入力正常値１であり、且つ、出力データが出力正常値１である場合に、ＥＣＵ４０は正常である（故障していない）。これに対して、入力データが入力正常値１であり、且つ、出力データが出力正常値２、出力フェールセーフ値、出力異常値又は出力なしである場合、ＥＣＵ４０は故障ありとされる。
　本例においては、入力データが入力正常値２であり、且つ、出力データが出力正常値２である場合に、ＥＣＵ４０は正常である（故障していない）。これに対して、入力データが入力正常値２であり、且つ、出力データが出力正常値１、出力フェールセーフ値、出力異常値又は出力なしである場合、ＥＣＵ４０は故障ありとされる。
　本例においては、入力データが入力フェールセーフ値であり、且つ、出力データが出力フェールセーフ値である場合に、ＥＣＵ４０は正常である（故障していない）。これに対して、入力データが入力フェールセーフ値であり、且つ、出力データが出力正常値１、出力正常値２、出力異常値又は出力なしである場合、ＥＣＵ４０は故障ありとされる。
　本例においては、入力データが入力異常値であり、且つ、出力データが出力フェールセーフ値である場合に、ＥＣＵ４０は正常である（故障していない）。これに対して、入力データが入力異常値であり、且つ、出力データが出力正常値１、出力正常値２、出力異常値又は出力なしである場合、ＥＣＵ４０は故障ありとされる。
　本例においては、入力データが入力なしであり、且つ、出力データが出力フェールセーフ値である場合に、ＥＣＵ４０は正常である（故障していない）。これに対して、入力データが入力なしであり、且つ、出力データが出力正常値１、出力正常値２、出力異常値又は出力なしである場合、ＥＣＵ４０は故障ありとされる。
　第２中継装置２０は、第１中継装置１０から受信したＥＣＵ４０への入力データと、この入力データに応じてＥＣＵ４０が出力した出力データとを取得する。第２中継装置２０は、取得した入力データが入力正常値１、入力正常値２、入力フェールセーフ値、入力異常値又は入力なしのいずれであるかを判定する。同様に、第２中継装置２０は、取得した出力データが出力正常値１、出力正常値２、出力フェールセーフ値、出力異常値又は出力なしのいずれであるかを判定する。第２中継装置２０は、入力データ及び出力データの判定結果に基づいて判定テーブル２２ｃを参照し、ＥＣＵ４０の故障の有無を判定することができる。
　図７は、本実施の形態に係る第２中継装置２０が行う故障判定処理の手順を示すフローチャートである。本実施の形態に係る第２中継装置２０の処理部２１の入力判定部２１ｂは、判定対象のＥＣＵ４０に対して中継する入力データを取得する（ステップＳ１）。入力判定部２１ｂは、取得した入力データが入力正常値１、入力正常値２、入力フェールセーフ値、入力異常値又は入力なしのいずれであるかを判定する（ステップＳ２）。処理部２１の出力判定部２１ｃは、入力データに応じてＥＣＵ４０が出力する出力データを取得する（ステップＳ３）。出力判定部２１ｃは、取得した出力データが出力正常値１、出力正常値２、出力フェールセーフ値、出力異常値又は出力なしのいずれであるかを判定する（ステップＳ４）。
　入力データ及び出力データのそれぞれの判定を終えた後、処理部２１の故障判定部２１ｄは、記憶部２２に記憶している判定テーブル２２ｃを参照する（ステップＳ５）。故障判定部２１ｄは、ステップＳ２にて判定した入力データと、ステップＳ４にて判定した出力データとに対応する故障の有無を判定テーブル２２ｃから取得することにより、ＥＣＵ４０が故障しているか否かを判定する（ステップＳ６）。ＥＣＵ４０が故障していないと判定した場合（Ｓ６：ＮＯ）、処理部２１はステップＳ１へ処理を戻し、以降の入力データ及び出力データについて同様の処理を繰り返し行う。
　ＥＣＵ４０が故障していると判定した場合（Ｓ６：ＹＥＳ）、処理部２１の故障通知部２１ｅは、ＥＣＵ４０が故障している旨を第１中継装置１０等へ通知する（ステップＳ７）。処理部２１は、ＥＣＵ４０の故障に関する情報を記憶部２２に記憶する（ステップＳ８）。処理部２１は、故障したと判定した装置を遮断する処理を行い（ステップＳ９）、処理を終了する。例えば第２中継装置２０は、故障したと判定したＥＣＵ４０の動作を停止させることで、ＥＣＵ４０を車両１内のネットワークから遮断することができる。本フローチャートのステップＳ７～Ｓ９は、必ずしも行われる必要はない。
　図８は、本実施の形態に係る第２中継装置２０が行うデータ判定処理の手順を示すフローチャートである。このデータ判定処理は、図７に示した故障判定処理のステップＳ２及びＳ４において、入力データ及び出力データに対してそれぞれ行われる処理である。ただし本フローチャートでは、データの正常値について、入力正常値１，２及び出力正常値１，２の判別は省略している。
　本実施の形態に係る第２中継装置２０の処理部２１は、ＥＣＵ４０への入力データ又はＥＣＵ４０からの出力データの有無を判定する（ステップＳ２１）。データがない場合（Ｓ２１：ＮＯ）、処理部２１は、前回のデータ取得から所定のタイムアウト判定時間が経過したか否かを判定する（ステップＳ２２）。タイムアウト判定時間が経過した場合（Ｓ２２：ＹＥＳ）、処理部２１は、ＥＣＵ４０への入力データ又はＥＣＵ４０からの出力データについて、データなしと判定し（ステップＳ２３）、処理を終了する。タイムアウト判定時間が経過していない場合（Ｓ２２：ＮＯ）、処理部２１は、ステップＳ２１へ処理を戻す。
　データがある場合（Ｓ２１：ＹＥＳ）、処理部２１は、このデータに含まれる値を取得し（ステップＳ２４）、取得した値が特定の値であるか否かを判定する（ステップＳ２５）。データが特定の値である場合（Ｓ２５：ＹＥＳ）、処理部２１は、ＥＣＵ４０への入力データ又はＥＣＵ４０からの出力データについて、フェールセーフ値と判定し（ステップＳ２６）、処理を終了する。
　データの値が特定の値ではない場合（Ｓ２５：ＮＯ）、処理部２１は、データの値が所定範囲内であるか否かを判定する（ステップＳ２７）。値が所定範囲内である場合（Ｓ２７：ＹＥＳ）、処理部２１は、ＥＣＵ４０への入力データ又はＥＣＵ４０からの出力データについて、正常値と判定し（ステップＳ２８）、処理を終了する。値が所定範囲内でない場合（Ｓ２７：ＮＯ）、処理部２１は、ＥＣＵ４０への入力データ又はＥＣＵ４０からの出力データについて、異常値と判定し（ステップＳ２９）、処理を終了する。
＜まとめ＞
　本実施の形態に係る車載通信システムでは、第１中継装置１０及びＥＣＵ４０の間のデータの入出力を第２中継装置２０が中継する。第２中継装置２０は、ＥＣＵ４０への入力データと、これに応じたＥＣＵ４０の挙動を示す出力データとの対応関係に基づいて、ＥＣＵ４０の故障の有無を判定する。これにより第２中継装置２０は、ＥＣＵ４０に対するデータの入出力を監視することで、ＥＣＵ４０の故障の有無を精度よく判定することが期待できる。
　本実施の形態に係る車載通信システムでは、ＥＣＵ４０に対して入出力されるデータが正常値、異常値、フェールセーフ値又はデータなしのいずれであるかが判定される。第２中継装置２０は、ＥＣＵ４０への入力データが正常値、異常値、フェールセーフ値又はデータなしのいずれであるかと、ＥＣＵ４０からの出力データが正常値、異常値、フェールセーフ値又はデータなしのいずれであるかとの対応関係に応じて故障の有無が定められた判定テーブル２２ｃを用いて、ＥＣＵ４０の故障の有無を判定する。これにより第２中継装置２０は、ＥＣＵ４０への入力データがいずれの値であるかの判定結果と、ＥＣＵ４０からの出力データがいずれの値であるかの判定結果との組み合わせにより、判定テーブル２２ｃを参照して容易にＥＣＵ４０の故障の有無を判定することができる。
　本実施の形態においては、ＥＣＵ４０に対する入出力データを正常値、異常値、フェールセーフ値又はデータなしの４種に分類して故障を判定しているが、データの分類はこの４種に限るものではなく、更に別種の値に分類してもよい。入出力データの分類数は３種以下であってもよい。入出力データの分類に対する名称は正常値、異常値、フェールセーフ値又はデータなしである必要はない。例えば入出力データの分類を区別するために２ビットのデータが割り当てられ、入出力データを４種に分類可能である場合、この４種の全てが正常値として扱われてもよい。このような場合、例えば４種の分類に対して正常値又は異常値等の名称が付されていなくてよく、例えば４種の分類の１つが実質的にフェールセーフ値に相当するものであってもよい。
　本実施の形態においては、正常値について正常値１及び正常値２の２種に分類したが、これに限るものではなく、１種のみ又は３種以上に分類してもよい。本実施の形態においては、入力データ及び出力データにフェールセーフ値を含むが、これに限るものではない。図５及び図６に示した判定テーブル２２ｃにおける入力データ及び出力データの対応関係に対するＥＣＵ４０の故障の有無は一例であって、これに限るものではない。
（変形例）
　変形例に係る車載通信システムでは、ＥＣＵ４０がフェールセーフ機能により特定値をフェールセーフ値として出力するのではなく、正常値とみなされる値をフェールセーフ値として出力する。図９は、変形例に係るＥＣＵ４０の正常時における入出力の対応関係の一例を示す模式図である。変形例においては、第２中継装置２０がＥＣＵ４０へ入力する入力データは、入力正常値１、入力正常値２、入力フェールセーフ値、入力異常値又は入力なしの５つに分類される。これに対して、変形例に係るＥＣＵ４０は、入力正常値１に対して出力正常値１の出力データを出力し、入力正常値２に対して出力正常値２の出力データを出力する。なおＥＣＵ４０は、出力正常値１に含まれる一又は複数の値を、フェールセーフ値として用いる。ＥＣＵ４０は、入力フェールセーフ値、入力異常値及び入力なしに対して出力正常値１を出力する。出力正常値１及び２は、いずれも正常な値を持つ出力データであるが、その値の範囲が異なるものとする。
　図１０及び図１１は、変形例に係る判定テーブル２２ｃの一例を示す模式図である。変形例においては、入力データが入力正常値１であり、且つ、出力データが出力正常値１である場合に、ＥＣＵ４０は正常である（故障していない）。これに対して、入力データが入力正常値１であり、且つ、出力データが出力正常値２、出力異常値又は出力なしである場合、ＥＣＵ４０は故障ありとされる。
　変形例においては、入力データが入力正常値２であり、且つ、出力データが出力正常値２である場合に、ＥＣＵ４０は正常である（故障していない）。これに対して、入力データが入力正常値２であり、且つ、出力データが出力正常値１、出力異常値又は出力なしである場合、ＥＣＵ４０は故障ありとされる。
　変形例においては、入力データが入力フェールセーフ値であり、且つ、出力データが出力正常値１である場合に、ＥＣＵ４０は正常である（故障していない）。これに対して、入力データが入力フェールセーフ値であり、且つ、出力データが出力正常値２、出力異常値又は出力なしである場合、ＥＣＵ４０は故障ありとされる。
　変形例においては、入力データが入力異常値であり、且つ、出力データが出力正常値１である場合に、ＥＣＵ４０は正常である（故障していない）。これに対して、入力データが入力異常値であり、且つ、出力データが出力正常値２、出力異常値又は出力なしである場合、ＥＣＵ４０は故障ありとされる。
　変形例においては、入力データが入力なしであり、且つ、出力データが出力正常値１である場合に、ＥＣＵ４０は正常である（故障していない）。これに対して、入力データが入力なしであり、且つ、出力データが出力正常値２、出力異常値又は出力なしである場合、ＥＣＵ４０は故障ありとされる。
　変形例に係る第２中継装置２０は、第１中継装置１０から受信したＥＣＵ４０への入力データと、この入力データに応じてＥＣＵ４０が出力した出力データとを取得する。第２中継装置２０は、取得した入力データが入力正常値１、入力正常値２、入力フェールセーフ値、入力異常値又は入力なしのいずれであるかを判定する。第２中継装置２０は、取得した出力データが出力正常値１、出力正常値２、出力異常値又は出力なしのいずれであるかを判定する。第２中継装置２０は、入力データ及び出力データの判定結果に基づいて判定テーブル２２ｃを参照し、ＥＣＵ４０の故障の有無を判定することができる。
　変形例においては入力データに入力フェールセーフ値を含むが、入力データについても入力フェールセーフ値を含まなくてもよい。図１０及び図１１に示した判定テーブル２２ｃにおける入力データ及び出力データの対応関係に対するＥＣＵ４０の故障の有無は一例であって、これに限るものではない。
＜実施の形態２＞
　図１２は、実施の形態２に係る第２中継装置２０の構成を示すブロック図である。実施の形態２に係る第２中継装置２０は、ＥＣＵ４０に対する電力供給の制御を行う機能を備えている。このため、実施の形態２に係る第２中継装置２０は、電力供給部２５を更に備えている。電力供給部２５は、例えば車両１のバッテリ（又はバッテリからの電力を第２中継装置２０へ供給する他の装置）と電力線４を介して接続されると共に、第２中継装置２０に通信線３を介して接続されたＥＣＵ４０と電力線５を介して接続されている。電力供給部２５は、バッテリから供給される電力を第２中継装置２０の各部へ供給すると共に、電力線４を介してＥＣＵ４０へ電力を供給する。電力供給部２５は、処理部２１からの制御命令等に従って、ＥＣＵ４０に対する電力の供給及び非供給を切り替えることができる。電力供給部２５は、ＥＣＵ４０へ供給する電力の電力量を検知し、検知した電力量を処理部２１へ通知する。
　実施の形態２に係る第２中継装置２０は、ＥＣＵ４０への入力データと、これに応じて動作した際のＥＣＵ４０への供給電力量との対応関係に基づいて、ＥＣＵ４０の故障の有無を判定する。このため、実施の形態２に係る第２中継装置２０は、出力判定部２１ｃに代えて、電力判定部２１ｆが処理部２１に設けられている。電力判定部２１ｆは、電力供給部２５が検知したＥＣＵ４０への供給電力量について、正常電力量、異常電力量又は電力供給なしのいずれであるかを判定する。故障判定部２１ｄは、入力判定部２１ｂの判定結果と、電力判定部２１ｆの判定結果とに基づいて記憶部２２の判定テーブル２２ｃを参照し、ＥＣＵ４０の故障の有無を判定する。
　図１３は、実施の形態２に係るＥＣＵ４０の正常時における入力データと電力量との対応関係の一例を示す模式図である。本例においては、第２中継装置２０がＥＣＵ４０へ入力する入力データは、入力正常値１、入力正常値２、入力フェールセーフ値、入力異常値又は入力なしの５つに分類される。正常時のＥＣＵ４０へは、入力正常値１に対して正常電力量１の電力が供給され、入力正常値２に対して正常電力量２の電力が供給される。ＥＣＵ４０へは、入力フェールセーフ値、入力異常値及び入力なしに対して正常電力量１の電力が供給される。正常電力量１は、電力供給量が極めて少ない状態であり、ＥＣＵ４０が動作していない状態、いわゆるスリープモード又はスタンバイモード等の状態での電力供給量（スリープ値）である。正常電力量２は、ＥＣＵ４０が動作している状態で取り得る正常な電力供給量である。またＥＣＵ４０への電力量には、ＥＣＵ４０の異常時に供給される電力量として、異常電力量が含まれる。異常電力量は、正常電力量１，２の範囲に含まれない電力量である。
　図１４及び図１５は、実施の形態２に係る判定テーブル２２ｃの一例を示す模式図である。実施の形態２に係る第２中継装置２０が記憶部２２に記憶している判定テーブル２２ｃは、ＥＣＵ４０への入力データと、ＥＣＵ４０へ供給される電力量と、ＥＣＵ４０の故障の有無とが対応付けて記憶されたテーブルである。本例においては、入力データが入力正常値１であり、且つ、電力量が正常電力量１である場合に、ＥＣＵ４０は正常である（故障していない）。これに対して、入力データが入力正常値１であり、且つ、電力量が正常電力量２又は異常電力量である場合、ＥＣＵ４０は故障ありとされる。
　実施の形態２においては、入力データが入力正常値２であり、且つ、電力量が正常電力量２である場合に、ＥＣＵ４０は正常である（故障していない）。これに対して、入力データが入力正常値２であり、且つ、電力量が正常電力量１又は異常電力量である場合、ＥＣＵ４０は故障ありとされる。
　実施の形態２においては、入力データが入力フェールセーフ値であり、且つ、電力量が正常電力量１である場合に、ＥＣＵ４０は正常である（故障していない）。これに対して、入力データが入力フェールセーフ値であり、且つ、電力量が正常電力量２又は異常電力量である場合、ＥＣＵ４０は故障ありとされる。
　実施の形態２においては、入力データが入力異常値であり、且つ、電力量が正常電力量１値である場合に、ＥＣＵ４０は正常である（故障していない）。これに対して、入力データが入力異常値であり、且つ、電力量が正常電力量２又は異常電力量である場合、ＥＣＵ４０は故障ありとされる。
　実施の形態２においては、入力データが入力なしであり、且つ、電力量が正常電力量１である場合に、ＥＣＵ４０は正常である（故障していない）。これに対して、入力データが入力なしであり、且つ、電力量が正常電力量２又は異常電力量である場合、ＥＣＵ４０は故障ありとされる。
　実施の形態２に係る第２中継装置２０は、第１中継装置１０から受信したＥＣＵ４０への入力データと、この入力データに応じてＥＣＵ４０が動作した際に供給される電力量とを取得する。第２中継装置２０は、取得した入力データが入力正常値１、入力正常値２、入力フェールセーフ値、入力異常値又は入力なしのいずれであるかを判定する。第２中継装置２０は、取得した電力量が正常電力量１、正常電力量２又は異常電力量のいずれであるかを判定する。第２中継装置２０は、入力データ及び電力量の判定結果に基づいて判定テーブル２２ｃを参照し、ＥＣＵ４０の故障の有無を判定することができる。
　以上の構成の実施の形態２に係る車載通信システムでは、第２中継装置２０がＥＣＵ４０へ供給される電力量を検知し、ＥＣＵ４０への入力データと、これに応じてＥＣＵ４０が動作した際の電力量との対応関係に基づいて、ＥＣＵ４０の故障の有無を判定する。これにより、入力データに応じて動作したＥＣＵ４０にて過大な電力が消費されている場合又は電力消費が過度に少ない場合等に、第２中継装置２０がＥＣＵ４０の故障の有無を判定することができる。
　実施の形態２においては、入力データに入力フェールセーフ値を含むが、入力データに入力フェールセーフ値を含まなくてもよい。図１４及び図１５に示した判定テーブル２２ｃにおける入力データ及び電力量の対応関係に対するＥＣＵ４０の故障の有無は一例であって、これに限るものではない。
　実施の形態２に係る車載通信システムのその他の構成は、実施の形態１に係る車載通信システムと同様であるため、同様の箇所には同じ符号を付し、詳細な説明を省略する。
　車載通信システムにおける各装置は、マイクロプロセッサ、ＲＯＭ及びＲＡＭ等を含んで構成されるコンピュータを備える。マイクロプロセッサ等の演算処理部は、図７及び図８に示すような、シーケンス図又はフローチャートの各ステップの一部又は全部を含むコンピュータプログラムを、ＲＯＭ、ＲＡＭ等の記憶部からそれぞれ読み出して実行してよい。これら複数の装置のコンピュータプログラムは、それぞれ、外部のサーバ装置等からインストールすることができる。これら複数の装置のコンピュータプログラムは、それぞれ、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、半導体メモリ等の記録媒体に格納された状態で流通する。
　今回開示された実施形態はすべての点で例示であって、制限的なものではないと考えられるべきである。本開示の範囲は、上記した意味ではなく、請求の範囲によって示され、請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。
　１　車両
　２　通信線
　３　通信線
　４　電力線
　５　電力線
　１０　第１中継装置（制御装置）
　２０　第２中継装置（車載中継装置）
　２１　処理部
　２１ａ　中継処理部
　２１ｂ　入力判定部
　２１ｃ　出力判定部
　２１ｄ　故障判定部（判定部）
　２１ｅ　故障通知部
　２１ｆ　電力判定部（検知部）
　２２　記憶部
　２２ａ　プログラム
　２２ｂ　中継テーブル
　２２ｃ　判定テーブル
　２３　第１通信部
　２４　第２通信部
　２５　電力供給部
　３０　無線通信装置
　４０　ＥＣＵ（被制御装置）
　５０　サーバ装置
　９９　記録媒体
 

Claims (5)

  1. 　制御装置から受信したデータを被制御装置へ入力し、且つ、前記被制御装置が出力したデータを前記制御装置又は他の被制御装置へ送信する中継処理部と、
    　前記被制御装置へ入力したデータ、及び、当該データの入力に応じた前記被制御装置の動作結果の対応関係に基づいて、前記被制御装置の故障の有無を判定する判定部と
    　を備える車載中継装置。
  2. 　前記判定部は、前記被制御装置へ入力したデータ、及び、当該データの入力に応じて前記被制御装置が出力したデータの対応関係に基づいて、前記被制御装置の故障の有無を判定する、請求項１に記載の車載中継装置。
  3. 　前記被制御装置へ供給される電力量を検知する検知部を備え、
    　前記判定部は、前記被制御装置へ入力したデータ、及び、当該データの入力に応じて前記被制御装置が動作した際に前記検知部が検知した電力量の対応関係に基づいて、前記被制御装置の故障の有無を判定する、請求項１又は請求項２に記載の車載中継装置。
  4. 　コンピュータに、
    　制御装置から受信したデータを被制御装置へ入力し、且つ、前記被制御装置が出力したデータを前記制御装置又は他の被制御装置へ送信し、
    　前記被制御装置へ入力したデータ、及び、当該データの入力に応じた前記被制御装置の動作結果の対応関係に基づいて、前記被制御装置の故障の有無を判定する
    　処理を実行させる、コンピュータプログラム。
  5. 　制御装置から受信したデータを被制御装置へ入力し、且つ、前記被制御装置が出力したデータを前記制御装置又は他の被制御装置へ送信し、
    　前記被制御装置へ入力したデータ、及び、当該データの入力に応じた前記被制御装置の動作結果の対応関係に基づいて、前記被制御装置の故障の有無を判定する
    　故障判定方法。
     
PCT/JP2020/027409 2019-08-02 2020-07-14 車載中継装置、コンピュータプログラム及び故障判定方法 WO2021024716A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019143161A JP2021024404A (ja) 2019-08-02 2019-08-02 車載中継装置、コンピュータプログラム及び故障判定方法
JP2019-143161 2019-08-02

Publications (1)

Publication Number Publication Date
WO2021024716A1 true WO2021024716A1 (ja) 2021-02-11

Family

ID=74502620

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/027409 WO2021024716A1 (ja) 2019-08-02 2020-07-14 車載中継装置、コンピュータプログラム及び故障判定方法

Country Status (2)

Country Link
JP (1) JP2021024404A (ja)
WO (1) WO2021024716A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003019931A (ja) * 2001-07-06 2003-01-21 Denso Corp 故障診断システム、車両管理装置、サーバ装置、及び検査診断プログラム
JP2014031077A (ja) * 2012-08-02 2014-02-20 Toyota Motor Corp 車両動作検証システム
JP2016055673A (ja) * 2014-09-05 2016-04-21 株式会社デンソー 故障診断装置、および電子制御装置
JP2018078432A (ja) * 2016-11-09 2018-05-17 Ｎｅｃプラットフォームズ株式会社 給電装置、受電装置および給電方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003019931A (ja) * 2001-07-06 2003-01-21 Denso Corp 故障診断システム、車両管理装置、サーバ装置、及び検査診断プログラム
JP2014031077A (ja) * 2012-08-02 2014-02-20 Toyota Motor Corp 車両動作検証システム
JP2016055673A (ja) * 2014-09-05 2016-04-21 株式会社デンソー 故障診断装置、および電子制御装置
JP2018078432A (ja) * 2016-11-09 2018-05-17 Ｎｅｃプラットフォームズ株式会社 給電装置、受電装置および給電方法

Also Published As

Publication number Publication date
JP2021024404A (ja) 2021-02-22

Similar Documents

Publication Publication Date Title
CN105700510B (zh) Can通信系统的错误分散检测方法及can通信系统
CN110116752A (zh) 基于冗余结构控制车辆的装置和方法
US9515906B2 (en) Transceiver integrated circuit device and method of operation thereof
US8150578B2 (en) Vehicle electronic system and vehicle
JP5286659B2 (ja) 車載装置中継システム、車載装置中継方法及び中継装置
JP2014072673A (ja) 中継装置
JP2015199444A (ja) 電子制御装置
JP5019983B2 (ja) 車載通信システム、中継装置及び通信方法
JP2019220770A (ja) 電子制御装置、監視方法、プログラム及びゲートウェイ装置
WO2019235231A1 (ja) 車載制御装置、制御プログラム及び制御方法
CN110533947A (zh) 交通工具的控制系统、方法、电子设备和计算机存储介质
KR101362718B1 (ko) 연속적 소프트웨어 리셋이 발생하는 전자 제어 장치에서의 고장 진단 방법
JP6973120B2 (ja) なりすまし検出装置、検出方法、およびコンピュータプログラム
WO2021024716A1 (ja) 車載中継装置、コンピュータプログラム及び故障判定方法
JP2009302783A (ja) 通信ネットワークの故障検知方法及び故障検知システム
WO2013084205A1 (en) Self -learning automotive data logger identifying automotive messages transmitted over a can bus connecting automotive electronic control units
JP5900198B2 (ja) 通信システム、中継装置及び通信装置
WO2019193963A1 (ja) 車載通信システム、車載通信装置、通信プログラム及び通信方法
US20200204397A1 (en) Relay apparatus, relay method and relay program
JP7415364B2 (ja) 車載中継装置、コンピュータプログラム及び故障判定方法
JP2020093707A (ja) 電子制御装置
JP4172461B2 (ja) ノード診断システム
JP2009005160A (ja) エラー発生装置
JP7521482B2 (ja) 車載機器診断装置、車載機器診断装置を備える車両、車載機器診断方法及びプログラム
WO2023195342A1 (ja) 車載装置、車載システム、制御方法及びコンピュータプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20849972

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20849972

Country of ref document: EP

Kind code of ref document: A1