WO2023182021A1 - 車載装置、プログラム、及び情報処理方法 - Google Patents

車載装置、プログラム、及び情報処理方法 Download PDF

Info

Publication number
WO2023182021A1
WO2023182021A1 PCT/JP2023/009484 JP2023009484W WO2023182021A1 WO 2023182021 A1 WO2023182021 A1 WO 2023182021A1 JP 2023009484 W JP2023009484 W JP 2023009484W WO 2023182021 A1 WO2023182021 A1 WO 2023182021A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
ecu
control
load
state
Prior art date
Application number
PCT/JP2023/009484
Other languages
English (en)
French (fr)
Inventor
卓真 山根
Original Assignee
株式会社オートネットワーク技術研究所
住友電装株式会社
住友電気工業株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社オートネットワーク技術研究所, 住友電装株式会社, 住友電気工業株式会社 filed Critical 株式会社オートネットワーク技術研究所
Publication of WO2023182021A1 publication Critical patent/WO2023182021A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60J—WINDOWS, WINDSCREENS, NON-FIXED ROOFS, DOORS, OR SIMILAR DEVICES FOR VEHICLES; REMOVABLE EXTERNAL PROTECTIVE COVERINGS SPECIALLY ADAPTED FOR VEHICLES
    • B60J5/00—Doors
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • E—FIXED CONSTRUCTIONS
    • E05—LOCKS; KEYS; WINDOW OR DOOR FITTINGS; SAFES
    • E05B—LOCKS; ACCESSORIES THEREFOR; HANDCUFFS
    • E05B81/00—Power-actuated vehicle locks
    • E05B81/02—Power-actuated vehicle locks characterised by the type of actuators used
    • E05B81/04—Electrical
    • E—FIXED CONSTRUCTIONS
    • E05—LOCKS; KEYS; WINDOW OR DOOR FITTINGS; SAFES
    • E05B—LOCKS; ACCESSORIES THEREFOR; HANDCUFFS
    • E05B81/00—Power-actuated vehicle locks
    • E05B81/54—Electrical circuits
    • E—FIXED CONSTRUCTIONS
    • E05—LOCKS; KEYS; WINDOW OR DOOR FITTINGS; SAFES
    • E05B—LOCKS; ACCESSORIES THEREFOR; HANDCUFFS
    • E05B81/00—Power-actuated vehicle locks
    • E05B81/54—Electrical circuits
    • E05B81/80—Electrical circuits characterised by the power supply; Emergency power operation

Definitions

  • the present disclosure relates to an in-vehicle device, a program, and an information processing method.
  • This application claims priority based on Japanese Application No. 2022-048726 filed on March 24, 2022, and incorporates all the contents described in the said Japanese application.
  • the wiper drive device of Patent Document 1 includes a vehicle-mounted ECU (body ECU) and is driven by a control program applied to the vehicle-mounted ECU.
  • An in-vehicle device is an in-vehicle device that is communicably connected to an in-vehicle ECU that controls an on-vehicle load that is installed in a vehicle, and is supplied with power from a power supply device that is installed in the vehicle;
  • the vehicle includes a control unit that controls power supply to an on-vehicle ECU, and the control unit replaces the control that the on-vehicle ECU performs on the on-vehicle load depending on the state of the on-vehicle ECU.
  • FIG. 1 is a schematic diagram illustrating a system configuration of an in-vehicle system (power management system) according to a first embodiment
  • FIG. FIG. 2 is a block diagram illustrating the internal configuration of an on-vehicle device (power management ECU).
  • FIG. 2 is an explanatory diagram illustrating a processing flow (sequence) by an on-vehicle device, an on-vehicle ECU, and the like.
  • 3 is a flowchart illustrating processing of a control unit of an in-vehicle device.
  • 2 is a flowchart illustrating a process (failure detection of an on-vehicle load) of a control unit of an on-vehicle ECU.
  • FIG. 2 is a schematic diagram illustrating a system configuration of an in-vehicle system according to a second embodiment (integrated ECU).
  • An object of the present disclosure is to provide an on-vehicle device and the like that can efficiently control an on-vehicle load.
  • An in-vehicle device is an in-vehicle device that is communicably connected to an in-vehicle ECU that controls an on-vehicle load that is installed in a vehicle, and is supplied with power from a power supply device that is installed in the vehicle.
  • the vehicle includes a control section that controls power supply to the on-vehicle ECU, and the control section replaces the control that the on-vehicle ECU performs on the on-vehicle load depending on the state of the on-vehicle ECU.
  • the in-vehicle device is communicably connected to an in-vehicle ECU (individual ECU) that controls an on-vehicle load, and functions as a power management ECU that controls power supply to the in-vehicle ECU.
  • the in-vehicle device and the in-vehicle ECU may be indirectly communicably connected, for example, via a relay device such as a CAN gateway, or the in-vehicle device and the in-vehicle ECU may be connected to the same communication line such as a CAN bus. may be directly communicably connected.
  • the in-vehicle device Since the in-vehicle device is supplied with power from a power supply device mounted on the vehicle, it is activated even when power is not being supplied to the in-vehicle ECU from the power supply device, that is, even when the power of the in-vehicle ECU is off.
  • the on-vehicle device replaces the control that the on-board ECU performs on the on-vehicle load depending on the state of the on-board ECU, so even if the on-board ECU is in a power-off state, it can perform control on the on-board load in place of the on-board ECU. Substitute. This enables redundant control of the on-vehicle load, and enables efficient control of the on-vehicle load.
  • the on-vehicle ECU may turn off the power when a drive request is made to the door lock motor. In this case, there is a delay until the start of driving due to the time required to start up the on-vehicle ECU (startup time). If a delay occurs in controlling an on-vehicle load that requires such immediacy, the time required from a drive request to the start of drive (response time) increases.
  • control unit of the vehicle-mounted device supplied with power from the power supply device takes over the control that the vehicle-mounted ECU performs on the vehicle-mounted load, depending on the state of the vehicle-mounted ECU, such as the power-off state. Therefore, the immediacy required for controlling the on-vehicle load can be ensured without being affected by delays due to the startup time of the on-vehicle ECU.
  • control unit acquires a drive request for the on-vehicle load, and replaces the control that the on-vehicle ECU performs on the on-vehicle load in accordance with the acquired drive request. do.
  • the drive request for the on-vehicle load is made by, for example, detection by a sensor mounted on the vehicle or operation of a switch, and the control unit of the on-vehicle device controls the on-vehicle ECU in response to the drive request. Since this replaces the control performed on the load, it is possible to efficiently control the on-vehicle load.
  • the power supply device and the vehicle-mounted ECU are connected via a first relay, and the power supply device and the vehicle-mounted load are controlled to open and close by the vehicle-mounted ECU.
  • the control unit controls power supply to the in-vehicle ECU by controlling the opening and closing of the first relay, and controls the opening and closing of the second relay.
  • the on-vehicle ECU replaces the control performed on the on-vehicle load.
  • the on-vehicle load is controlled to be driven or stopped by opening and closing (on or off) a second relay provided on an electric wire extending from the power supply device.
  • the opening/closing control of the second relay is performed not only by the on-vehicle ECU but also by the on-vehicle device (control unit), so the on-vehicle ECU and the on-vehicle device can share the processing aspects related to control of the on-vehicle load.
  • the control mechanism for controlling the load can be simplified.
  • redundant control lines are connected to the second relay by extending from each of the vehicle-mounted ECU and the vehicle-mounted device.
  • a control line extending from the on-board ECU and a control line extending from the on-board device are connected to the second relay for controlling the drive of the on-board load. That is, by connecting control lines from two systems to the second relay, a redundant connection configuration can be configured. Thereby, even if one of the control lines becomes disconnected, the other control line can be used to control opening and closing of the second relay.
  • the state of the in-vehicle ECU includes an unactivated state, an activated state, and an activated state
  • the control unit is configured such that the state of the in-vehicle ECU includes the unactivated state. or the starting state, the on-vehicle ECU replaces the control performed on the on-vehicle load.
  • power is supplied from the power supply device to the in-vehicle ECU via the first relay, and opening/closing control of the first relay is performed by the in-vehicle device functioning as the power management ECU.
  • the first relay When the first relay is open (off), power is not supplied to the on-vehicle ECU (power off), and the on-vehicle ECU is in a stopped state (unstarted state) in which it is not started.
  • the in-vehicle device closes (turns on) the first relay, power is supplied to the in-vehicle ECU (power is turned on), and the in-vehicle ECU starts startup processing such as initialization, and transitions to a startup state.
  • the in-vehicle ECU transitions from the booting state to the booted state by completing boot processing such as initialization.
  • the in-vehicle ECU in the activated state starts opening/closing control of the second relay, that is, drive control of the in-vehicle load.
  • the in-vehicle ECU completes the startup process, for example, to start CAN communication (transmission of a CAN message)
  • the in-vehicle device closes (turns on) the first relay and then receives the first CAN message from the in-vehicle ECU.
  • the in-vehicle device recognizes that the in-vehicle ECU has transitioned to the activated state when a predetermined time corresponding to the activation time of the in-vehicle ECU has elapsed after the first relay was closed (turned on). Good too.
  • the control unit of the in-vehicle device determines the state of the in-vehicle ECU, that is, the unstarted state and the starting state, based on the open/close state of the first relay and the first data or signal received from the in-vehicle ECU after the first relay is closed (on). It is possible to efficiently detect (specify) whether the device is in the activated state or the activated state.
  • the control unit of the in-vehicle device may store a detected state of the in-vehicle ECU or a history state regarding state transition in a storage unit.
  • the control unit of the on-board device replaces the control that the on-board ECU performs on the on-board load when the on-board ECU is in an unstarted state or a starting state, depending on the detected state of the on-board ECU.
  • processing is performed to replace the on-vehicle ECU.
  • the control unit of the on-board device does not control the on-board load, so the drive control for the on-board load, that is, the opening/closing control of the second relay, is performed by the on-board device and the on-board ECU. It is possible to prevent duplicate operations. Therefore, it is possible to reliably avoid conflict between the control of the on-vehicle load by the on-vehicle device and the on-vehicle ECU.
  • the in-vehicle ECU when the control unit obtains a permission notification from the in-vehicle ECU to permit alternative control for the in-vehicle load, the in-vehicle ECU performs control on the on-vehicle load. Substitute control.
  • the in-vehicle ECU outputs (sends) a permission notification to the in-vehicle device to permit alternative control of the in-vehicle load, for example, before the power supply to the own ECU is stopped (power off).
  • the permission notification lists one or more on-vehicle loads connected to the on-vehicle ECU, and includes information such as a flag value indicating whether substitution is possible for each on-vehicle load (1: substitution permitted, 0: substitution not possible). It may be something that exists.
  • the control unit of the in-vehicle device stores the permission notification acquired (received) from the in-vehicle ECU in the storage unit.
  • the control unit of the on-vehicle device When substituting the control performed by the on-vehicle ECU on the on-vehicle load, the control unit of the on-vehicle device refers to the storage unit and performs the substituting process only when a permission notification is obtained from the on-board ECU. That is, the control unit of the in-vehicle device does not perform the replacement process if it has not obtained the permission notice from the in-vehicle ECU in advance. Alternatively, the control unit of the in-vehicle device may perform alternative processing only on the in-vehicle load to which information indicating alternative permission is provided in the obtained permission notification.
  • an on-vehicle load connected to an on-vehicle ECU is out of order, or for reasons such as an on-vehicle load for which alternative processing is not appropriate from a security perspective
  • one of the on-vehicle loads can be replaced by an on-vehicle device for alternative processing. It can be set on the in-vehicle ECU side to be excluded. Therefore, for in-vehicle loads that are out of order or for in-vehicle loads for which replacement processing is not appropriate due to other factors such as security, the in-vehicle device is prevented from substituting control of the in-vehicle ECU for the in-vehicle loads. can do.
  • the control unit when the control section is substituted for the control performed by the vehicle-mounted ECU on the vehicle-mounted load, the control unit outputs information indicating the substitution to the vehicle-mounted ECU.
  • the control unit of the on-vehicle device replaces the control of the on-vehicle EC for the on-vehicle load
  • the control unit of the on-vehicle device provides a history based on time information (time stamp) indicating the number of times the on-board EC has been substituted (alternative control number) or the date and time of the substitute, etc.
  • Information (alternative performance information) is output to the in-vehicle ECU.
  • the in-vehicle ECU can grasp the number of times of alternative control by the in-vehicle device up to the present time or in a predetermined period by acquiring the alternative performance information output from the in-vehicle device.
  • the on-vehicle load is driven even though the on-vehicle ECU is not performing drive control.
  • the on-vehicle ECU detects an abnormality with respect to the on-vehicle load, but the abnormality detection substantially corresponds to a false detection.
  • the in-vehicle ECU compares the alternative performance information (alternative control number) output from the in-vehicle device with the number of abnormality detections (anomaly detection number) to determine whether a true abnormality has occurred in the on-vehicle load. It can be determined whether or not.
  • the in-vehicle ECU determines that the on-vehicle load is normal when the number of times of alternative control and the number of times of abnormality detection are the same, and determines that the on-vehicle load is abnormal when the number of times of alternative control and the number of times of abnormality detection are different. It may be something that does.
  • the state of the vehicle-mounted ECU includes a failure state
  • the control unit is configured to control the vehicle-mounted ECU when the vehicle-mounted ECU is in the failure state. Replaces the control performed on
  • the control unit of the in-vehicle device obtains a notification (failure notification) indicating that the in-vehicle ECU is in a failure state by communicating with the in-vehicle ECU or communicating with an integrated ECU having a relay function, etc. , is stored in the storage unit.
  • a notification indicating that the in-vehicle ECU is in a failure state by communicating with the in-vehicle ECU or communicating with an integrated ECU having a relay function, etc.
  • the control unit of the in-vehicle device determines that the in-vehicle ECU is in a failure state and replaces the control that the in-vehicle ECU performs on the on-vehicle load, thereby reducing the redundancy of control over the on-vehicle load. (fail-safe).
  • the vehicle is equipped with an integrated ECU that performs overall control in the vehicle, and is configured as a functional part of the integrated ECU.
  • the integrated ECU is communicably connected to a plurality of in-vehicle ECUs, and performs overall control regarding the vehicle based on information output from each in-vehicle ECU.
  • the integrated ECU is further communicably connected to a verification ECU connected to a touch sensor, etc., and outputs a control signal generated based on the information (sensor detection value) output from the verification ECU to each in-vehicle ECU. There may be.
  • An on-vehicle device that controls power supply to an on-vehicle ECU and substitutes for the control that the on-vehicle ECU performs on the on-vehicle load is included in an integrated ECU, that is, configured as a functional part of the integrated ECU, so that it is installed in a vehicle. The number of parts can be reduced.
  • the integrated ECU is equipped with multiple in-vehicle communication units (CAN transceivers, etc.) and performs relay processing of data sent and received between the in-vehicle ECUs connected to these in-vehicle communication units, the integrated ECU is configured to relay data transmitted and received from these in-vehicle ECUs.
  • the in-vehicle device configured (included) as a functional unit of the integrated ECU can efficiently perform proxy processing according to the state of each in-vehicle ECU.
  • the in-vehicle device is configured to be constantly supplied with power from a power supply device such as a battery mounted on the vehicle, and is always supplied with power from a so-called +B power source.
  • a power supply device such as a battery mounted on the vehicle
  • +B power source a so-called +B power source.
  • In-vehicle devices are constantly supplied with power from the power supply device, but when the vehicle is stopped (IG off state), they enter a power-saving mode that reduces power consumption by, for example, reducing the operating clock (frequency) of the control unit. It may be something that changes.
  • An information processing method includes a computer that is communicably connected to an on-vehicle ECU that controls an on-vehicle load that is mounted on a vehicle, and that is supplied with power from a power supply device that is mounted on the vehicle.
  • a process related to power supply control to the vehicle-mounted ECU is executed, and depending on the state of the vehicle-mounted ECU, the control performed by the vehicle-mounted ECU on the vehicle-mounted load is substituted.
  • a program is configured to provide a computer that is communicably connected to an on-vehicle ECU that controls an on-vehicle load that is mounted on a vehicle, and that is supplied with power from a power supply device that is mounted on the vehicle.
  • a process related to power supply control to the ECU is executed, and depending on the state of the on-vehicle ECU, the control that the on-vehicle ECU performs on the on-vehicle load is substituted.
  • the computer can function as an on-vehicle device that can efficiently control on-vehicle loads.
  • FIG. 1 is a schematic diagram illustrating a system configuration of an in-vehicle system S (power management system) according to a first embodiment.
  • FIG. 2 is a block diagram illustrating the internal configuration of the in-vehicle device 4 (power management ECU).
  • the in-vehicle system S mainly includes an in-vehicle device 4 (power management ECU) that performs power management control (power supply control) for one or more in-vehicle ECUs 2 (individual ECUs) mounted on a vehicle C, and the in-vehicle device 4 and It may include an integrated ECU 1 and a verification ECU 5 that are communicably connected.
  • the integrated ECU 1, verification ECU 5, in-vehicle device 4, and in-vehicle ECU 2 are communicably connected to each other by, for example, a communication line 61 such as a CAN bus.
  • a communication line 61 such as a CAN bus.
  • These plurality of bus-like communication lines 61 constitute a star-like in-vehicle network 6 centered around the integrated ECU 1 having a relay function.
  • An electric wire 71 extending from the power supply device 7 is connected to the integrated ECU 1, verification ECU 5, on-vehicle device 4, on-vehicle ECU 2, and on-vehicle load 3, and power is supplied from the power supply device 7 via the electric wire 71.
  • the integrated ECU 1, the verification ECU 5, and the vehicle-mounted device 4 are configured to be constantly supplied with power from the power supply device 7.
  • the electric wire 71 extending from the power supply device 7 to the vehicle-mounted ECU 2 is provided with a first relay 20 that switches between supplying or stopping (cutting off) electric power.
  • An electric wire 71 extending from the power supply device 7 to the on-vehicle load 3 is provided with a second relay 30 that switches between feeding or stopping (cutting off) electric power.
  • the first relay 20 and the second relay 30 may be, for example, semiconductor switches such as FETs (Field Effect Transistors), or mechanical relays.
  • FETs Field Effect Transistors
  • the on-vehicle ECU 2 controls the on-vehicle load 3 mounted on the vehicle C, and controls the opening and closing of the second relay 30 that supplies and cuts off power to the on-vehicle load 3. In this way, the on-vehicle ECU 2 functions as an individual ECU responsible for drive control of one or more on-vehicle loads 3.
  • a control line 72 is extended from the in-vehicle ECU 2 to the second relay 30, through which a signal for controlling opening and closing of the second relay 30 is transmitted.
  • the in-vehicle device 4 functions as a power management ECU by controlling the opening and closing of the first relay 20 that supplies and cuts off power to the plurality of in-vehicle ECUs 2, for example, in response to a control signal from the integrated ECU 1.
  • a control line 72 is extended from the vehicle-mounted device 4 to the first relay 20 to transmit a signal for controlling opening and closing of the first relay 20 .
  • the on-vehicle device 4 also functions as a control substitute ECU that replaces the control of the on-vehicle load 3 by the on-vehicle ECU 2 by controlling the opening and closing of the second relay 30, which is controlled by the on-vehicle ECU 2. .
  • a control line 72 is extended from the in-vehicle device 4 to the second relay 30 through which a signal for controlling the opening and closing of the second relay 30 is transmitted. That is, two systems of control lines 72 are connected to the second relay 30 by a control line 72 extending from the on-vehicle ECU 2 and a control line 72 extending from the on-vehicle device 4 . The two control lines 72 provide a redundant configuration for the second relay 30.
  • the on-vehicle device 4 and the integrated ECU 1 are configured to be constantly supplied with power from a power supply device 7 such as a battery mounted on the vehicle C, and are constantly supplied with power from a so-called +B power source.
  • a power supply device 7 such as a battery mounted on the vehicle C
  • the on-vehicle load 3 and the on-vehicle ECU 2 that controls the on-vehicle load 3 are connected to the power supply device 7 via a relay such as the first relay 20 or the second relay 30, and the relay is closed (on). If so, power will be supplied.
  • the in-vehicle device 4 and the integrated ECU 1 are configured to be constantly supplied with power from the power supply device 7, but the present invention is not limited thereto.
  • the power supply may be temporarily stopped (power not supplied state) when starting or ending the self-diagnosis process. That is, the in-vehicle device 4 may be any device that has a period in which it is in the power-supplied state (started state) during a period in which the in-vehicle ECU 2 is in the non-power-supplied state.
  • the door lock is driven in response to an operation by an occupant from outside the vehicle even when the vehicle C is stopped. becomes.
  • the in-vehicle ECU 2 that controls the door lock mechanism on-vehicle load 3
  • the time required to start the in-vehicle ECU 2 in response to such a door lock drive request There is a concern that (startup time) may occur as a processing delay.
  • the in-vehicle device 4 which is constantly supplied with power from the power supply device 7, replaces the in-vehicle ECU 2, which is in an unactivated state or an activated state, in response to a drive request.
  • the immediacy or responsiveness required for controlling the on-vehicle load 3 such as the door lock mechanism without being affected by the delay due to the startup time of the on-vehicle ECU 2.
  • the number of on-vehicle loads 3 controlled by the on-vehicle ECU 2 (individual ECU) is one, but the on-vehicle ECU 2 is not limited to this, and the on-vehicle ECU 2 may control a plurality of on-vehicle loads 3. Good too.
  • a control line 72 is extended from the on-vehicle ECU 2 to each of the second relays 30 connected to these on-vehicle loads 3.
  • a control line 72 is also extended from the on-vehicle device 4 that replaces the on-vehicle ECU 2 to each of the second relays 30 connected to these on-vehicle loads 3.
  • control line 72 is extended from the in-vehicle device 4 only to the second relay 30 that is connected to the in-vehicle load 3 whose ASIL (Automotive Safety Integrity Level) is above a predetermined level, and Only the control performed by the in-vehicle ECU 2 on the load 3 may be replaced.
  • ASIL Automotive Safety Integrity Level
  • the control line 72 is extended only to the second relay 30 of the on-vehicle load 3 other than QM (ASIL is A or more), for example.
  • the integrated ECU 1 generates control signals based on data transmitted from various ECUs such as a verification ECU 5, an in-vehicle ECU 2 (individual ECU, control ECU), and an in-vehicle device 4 (power management ECU, control substitute ECU). It outputs control signals to a corresponding ECU, and is, for example, a central control device such as a vehicle computer.
  • the integrated ECU 1 includes a control section, a storage section, an input/output I/F, and an in-vehicle communication section like the on-vehicle device 4 described later.
  • the integrated ECU 1 includes a plurality of in-vehicle communication units, and has a relay function that relays data transmitted and received via communication lines 61 connected to each of these in-vehicle communication units, such as a CAN gateway, a layer 2 Ethernet switch, Or it functions as a layer 3 ether switch.
  • a relay function that relays data transmitted and received via communication lines 61 connected to each of these in-vehicle communication units, such as a CAN gateway, a layer 2 Ethernet switch, Or it functions as a layer 3 ether switch.
  • the verification ECU 5 like the integrated ECU 1 and the in-vehicle device 4, is constantly supplied with power from the power supply device 7, and is connected to a sensor 51 such as a touch sensor and an RF antenna, for example.
  • the verification ECU 5 includes a verification processing unit that performs contact detection with, for example, a doorknob, and performs a process of verifying a signal from a smart key received by an RF antenna in response to the detection. If the result of the verification process is positive, the verification ECU 5 outputs information to the integrated ECU 1 for requesting a drive for the on-vehicle load 3 such as a door lock mechanism (door lock motor), for example.
  • the verification ECU 5 includes a control section, a storage section, an input/output I/F, and an in-vehicle communication section, similar to the in-vehicle device 4 described later.
  • the in-vehicle device 4 includes a control section 41, a storage section 42, an input/output I/F 43, and an in-vehicle communication section 44, and starts (powers on) or stops (powers off) according to a control signal transmitted from the integrated ECU 1. It controls the opening and closing of the first relay 20 connected to the vehicle-mounted device 4 (vehicle-mounted device 4 that is subject to power supply control), and functions as a power management ECU. Further, the on-vehicle device 4 functions as a control substitute ECU that substitutes for the control that the on-vehicle ECU 2 performs on the on-vehicle load 3 when the on-vehicle device 4 is in an unactivated state or an activated state.
  • the control unit 41 is composed of a CPU (Central Processing Unit), an MPU (Micro Processing Unit), etc., and reads out and executes a program P (program product) and data stored in advance in the storage unit 42 to perform various operations.
  • the control processing and arithmetic processing are performed.
  • the control unit 41 is not limited to a software processing unit such as a CPU that performs software processing, but also includes a hardware processing unit that performs various control processing and arithmetic processing using hardware processing such as FPGA, ASIC, or SOC. It may be.
  • the storage unit 42 is composed of a volatile memory element such as a RAM (Random Access Memory), or a nonvolatile memory element such as a ROM (Read Only Memory), an EEPROM (Electrically Erasable Programmable ROM), or a flash memory.
  • a program P (program product) and data referred to during processing are stored in advance.
  • the program P (program product) stored in the storage unit 42 may be a program P (program product) read from a recording medium readable by the in-vehicle device 4 .
  • the program P (program product) may be downloaded from an external computer (not shown) connected to a communication network (not shown) and stored in the storage unit 42 .
  • the input/output I/F 43 is a communication interface for outputting signals to the first relay 20 and the second relay 30 via the control line 72.
  • the first relay 20 and the second relay 30 are FETs, the PWM signal etc. input to the gate terminals of the FETs are outputted via the input/output I/F 43.
  • the in-vehicle communication unit 44 is an input/output interface (CAN transceiver, Ethernet PHY) using, for example, CAN (Control Area Network), CAN-FD, or Ethernet (registered trademark) communication protocol, and the control unit 41 is It communicates with the integrated ECU 1 and the like connected to the in-vehicle network 6 via the in-vehicle communication section 44 .
  • CAN transceiver Ethernet PHY
  • Ethernet registered trademark
  • the on-vehicle ECU 2 (individual ECU) includes a control section 21, a storage section 22, an input/output I/F 23, and an in-vehicle communication section 24 similarly to the on-vehicle device 4.
  • the on-vehicle ECU 2 controls the opening and closing of the second relay 30 connected via the control line 72 in response to a control signal (drive request) from the integrated ECU 1, thereby driving the on-vehicle load 3 that is the target of the drive request. Take control.
  • the in-vehicle ECU 2 performs abnormality detection on the in-vehicle load 3 that is the target of the drive control, and stores in the storage unit 22 the number of times the abnormality has been detected.
  • the on-vehicle load 3 is, for example, an actuator such as a door lock mechanism (door lock motor) that includes driving parts such as a motor.
  • the on-vehicle load 3 is connected to the power supply device 7 via an electric wire 71, and the second relay 30 is provided on the electric wire 71.
  • the on-vehicle load 3 is driven or stopped by controlling the opening and closing of the second relay 30 by the on-vehicle ECU 2 or the on-vehicle device 4 .
  • the onboard load 3 includes various sensors such as LiDAR (Light Detection and Ranging), light sensors, CMOS cameras, and infrared sensors, switches such as door SW (switch), lamp SW, lamps, door opening/closing devices, motor devices, etc. It may also include an actuator.
  • the power supply device 7 is, for example, a lead battery that outputs a voltage of 12V (+B).
  • the power supply device 7 may include a DC/DC converter or a regulator that steps down the voltage output from a high voltage battery such as a lithium ion battery or an alternator to a predetermined voltage such as 12V.
  • FIG. 3 is an explanatory diagram illustrating the flow (sequence) of processing by the in-vehicle device 4, in-vehicle ECU 2, etc.
  • the integrated ECU 1, the in-vehicle ECU 2 (individual ECU), and the in-vehicle device 4 (power management ECU) included in the in-vehicle system S are communicably connected via the in-vehicle network 6, and perform the following processes in conjunction with each other.
  • the in-vehicle ECU 2 outputs a permission notification regarding redundant control (S01).
  • the in-vehicle ECU 2 acquires (receives) a control signal (a drive request for the on-vehicle load 3) output (transmitted) from the integrated ECU 1, and in response to the drive request, the in-vehicle ECU 2 It performs drive control of the on-vehicle load 3 connected to the ECU 2 itself.
  • the on-vehicle ECU 2 controls opening and closing of a second relay 30 provided on an electric wire 71 extending from the power supply device 7 to the on-vehicle load 3.
  • the in-vehicle ECU 2 when the in-vehicle ECU 2 acquires data indicating that the vehicle C is in a sleep state, such as an IG off signal, from the integrated ECU 1, or periodically, the in-vehicle ECU 2 outputs a permission notification regarding redundant control to the in-vehicle device 4.
  • the permission notification is a notification that allows the in-vehicle device 4 to substitute the control that the own ECU (in-vehicle ECU 2 itself) performs on the in-vehicle load 3 .
  • the in-vehicle ECU 2 When the in-vehicle ECU 2 performs drive control of a plurality of in-vehicle loads 3, the plurality of in-vehicle loads 3 are listed in the permission notification, and a flag value indicating whether substitution is possible for each in-vehicle load 3 (1: substitution permission, 0: It may also include information such as ⁇ no substitution allowed''.
  • the in-vehicle ECU 2 sends a permission notification in the in-vehicle load 3 that is controlled by its own ECU (in-vehicle ECU 2 itself), such as in the in-vehicle load 3 that is in failure, or in the in-vehicle load 3 for which alternative processing is not appropriate from a security perspective. is not output.
  • a permission notification in the in-vehicle load 3 that is controlled by its own ECU (in-vehicle ECU 2 itself), such as in the in-vehicle load 3 that is in failure, or in the in-vehicle load 3 for which alternative processing is not appropriate from a security perspective. is not output.
  • the in-vehicle device 4 acquires the permission notification sent from the in-vehicle ECU 2 (S02).
  • the in-vehicle device 4 acquires the permission notification transmitted from the in-vehicle ECU 2 and stores the acquired permission notification in the storage unit 42 .
  • the in-vehicle device 4 associates the identification information of the in-vehicle device 4 that is the sender with each permission notification acquired from each in-vehicle ECU 2, and stores it. It may be stored in the section 42. Further, when storing the permission notification, the in-vehicle device 4 may store it in association with time information indicating the date and time (time stamp) when the permission notification was obtained.
  • the in-vehicle device 4 may aggregate each of the permission notifications acquired from the plurality of in-vehicle ECUs 2 in this way and store them in the storage unit 42, for example, in a table format (permission notification management table).
  • the permission notification management table aggregates the presence or absence of permission for each of the on-board loads 3 controlled by each on-board ECU 2, and by updating and managing the information to be the latest information, the on-board device 4 can It is possible to efficiently manage whether or not each of the loads 3 can be substituted.
  • the in-vehicle device 4 may store in the storage unit 42 the permission notification management table including state information indicating whether the in-vehicle ECU 2 is out of order.
  • the in-vehicle device 4 puts the in-vehicle ECU 2 into a non-power supply state (power off) (S03). For example, when the in-vehicle device 4 acquires an IG off signal or a stop signal for stopping the in-vehicle ECU 2 (power off state) from the integrated ECU 1, the in-vehicle device 4 puts the in-vehicle ECU 2 in a non-power state (power off).
  • the on-vehicle device 4 opens (turns off) the first relay 20 provided on the electric wire 71 extending from the power supply device 7 to the on-vehicle ECU 2.
  • the power supply to the in-vehicle ECU 2 is stopped (cut off), and the in-vehicle ECU 2 is in a non-power supply state (power off), that is, a stopped state in which it is not started (not started). state). Since the on-vehicle device 4 is always connected to the power supply device 7 and is constantly supplied with power from the power supply device 7 (constant power supply), it maintains the activated state even if the vehicle C is in the sleep state.
  • the verification ECU 5 outputs the verification result for the detection value detected by the sensor 51 such as a touch sensor to the integrated ECU 1 (S04). Like the on-vehicle device 4 or the integrated ECU 1, the verification ECU 5 is also constantly supplied with power from the power supply device 7 (constant power supply), so it maintains the activated state even if the vehicle C is in the sleep state.
  • the verification ECU 5 is connected to a sensor 51 such as a touch sensor and an RF antenna, and performs a process of, for example, detecting contact with a doorknob, etc., and verifying a signal from the smart key received by the RF antenna in response to the detection. I do.
  • the verification ECU 5 outputs information for issuing a drive request to the door lock mechanism (door lock motor) to the integrated ECU 1, for example.
  • the integrated ECU 1 outputs a drive request for the on-vehicle load 3 according to the verification result output from the verification ECU 5 (S05).
  • the integrated ECU 1 generates a control signal (drive request) based on the information output from the verification ECU 5 and outputs the drive request to the in-vehicle device 4.
  • the integrated ECU 1 may output the drive request using multicast or broadcast. By using multicast or the like in this way, when the in-vehicle ECU 2 is in the activated state, not only the in-vehicle device 4 but also the in-vehicle ECU 2 acquires (receives) the drive request.
  • the in-vehicle device 4 acquires the drive request output from the integrated ECU 1 (S06).
  • the in-vehicle device 4 acquires the drive request output from the integrated ECU 1 and stores the acquired drive request in the storage section 42 .
  • the drive request output from the integrated ECU 1 includes, for example, identification information (load ID) for identifying the target on-vehicle load 3, and identification information (ECUID) for the on-vehicle ECU 2 that performs drive control of the on-vehicle load 3. included or associated with.
  • load ID identification information
  • EUID identification information
  • the in-vehicle device 4 can specify the in-vehicle ECU 2 and the in-vehicle load 3 to be substituted by referring to the drive request.
  • the in-vehicle device 4 puts the in-vehicle ECU 2 into a power supply state (power on) (S07).
  • the in-vehicle device 4 puts the specified in-vehicle ECU 2 into a power supply state (power on) based on the drive request.
  • the on-vehicle device 4 closes (turns on) the first relay 20 .
  • the first relay 20 is closed (turned on)
  • power supply to the in-vehicle ECU 2 is started, the in-vehicle ECU 2 starts startup processing such as initialization, and transitions to a startup state.
  • the in-vehicle device 4 starts processing to replace the control that the in-vehicle ECU 2 performs on the in-vehicle load 3 based on the permission notice that has already been obtained (S08).
  • the in-vehicle device 4 starts processing to replace the control that the in-vehicle ECU 2 performs on the in-vehicle load 3 based on the permission notice already acquired and stored in the storage unit 42 of the in-vehicle device 4 .
  • the on-vehicle device 4 performs opening/closing control of a second relay 30 provided on an electric wire 71 extending from the power supply device 7 to the on-vehicle load 3 to be subjected to alternative processing. Thereby, the vehicle load 3 starts driving in accordance with the drive request.
  • the in-vehicle device 4 stores history information (alternative performance information) in the storage unit 42 based on time information (time stamp) indicating the number of times the substitution was performed (alternative control number) or the date and time of the substitution.
  • time information time stamp
  • the in-vehicle device 4 has not obtained the permission notification for the in-vehicle load 3, it does not perform the replacement process.
  • the in-vehicle device 4 when the in-vehicle device 4 acquires information from the integrated ECU 1 indicating that the in-vehicle ECU 2 is out of order (failure state), the in-vehicle device 4 starts processing to replace the control that the in-vehicle ECU 2 performs on the in-vehicle load 3. There may be. In this way, when the on-vehicle ECU 2 is out of order, the on-vehicle device 4 may start processing to replace the control that the on-vehicle ECU 2 performs on the on-vehicle load 3 even if the permission notification has not been obtained.
  • the in-vehicle ECU 2 starts communication with the in-vehicle device 4 (S09). After the in-vehicle ECU 2 completes startup processing such as initialization, it starts communicating with the in-vehicle device 4 and the integrated ECU 1.
  • the in-vehicle device 4 determines that the in-vehicle ECU 2 is in the activated state based on the communication data acquired from the in-vehicle ECU 2 (S10). After the in-vehicle device 4 closes (turns on) the first relay 20 connected to the target in-vehicle ECU 2, the in-vehicle ECU 2 is activated by acquiring communication data such as the first CAN message from the in-vehicle ECU 2. It is determined that the condition is the same.
  • the in-vehicle device 4 ends the process of replacing the in-vehicle ECU 2 (S11). After determining that the on-vehicle ECU 2 is in the activated state, the on-vehicle device 4 ends (cancels) the process of substituting the control that the on-vehicle ECU 2 performs on the on-vehicle load 3 . That is, the on-vehicle device 4 does not perform alternative control on the on-vehicle load 3 when the on-vehicle ECU 2 is in the activated state. Thereby, it is possible to prevent conflict between the control of the on-vehicle load 3 by the on-vehicle device 4 and the on-vehicle ECU 2.
  • the onboard ECU 2 starts controlling the onboard load 3 (S12).
  • the control of the on-vehicle load 3 is replaced by the on-vehicle device 4 through this process, the on-vehicle load 3 is driven even though the drive control by the on-vehicle ECU 2 is not performed.
  • the on-vehicle load 3 is driven by the alternative processing of the on-vehicle device 4, the on-vehicle ECU 2 attempting to start control of the on-vehicle load 3 assumes that the on-vehicle load 3 has been driven due to a malfunction, etc., and detects that an abnormality has occurred in the on-vehicle load 3. (abnormality detection).
  • the in-vehicle ECU 2 obtains the number of times of alternative control outputted from the on-vehicle device 4, and compares the number of times of alternative control with the number of times an abnormality has been detected (the number of times an abnormality has been detected). By doing so, it is determined whether a true abnormality has occurred in the on-vehicle load 3.
  • the on-vehicle ECU 2 determines that the on-vehicle load 3 is normal when the number of times of alternative control and the number of times of abnormality detection are the same, and when the number of times of alternative control and the number of times of abnormality detection are different, the on-vehicle load 3 is determined to be abnormal (failure). (confirmed). Thereby, it is possible to avoid erroneously detecting the driving of the on-vehicle load 3 by the alternative processing of the on-vehicle device 4 as an abnormality of the on-vehicle load 3.
  • the on-vehicle ECU 2 may start controlling the on-vehicle load 3 after determining that the on-vehicle load 3 is normal.
  • FIG. 4 is a flowchart illustrating the processing of the control unit 41 of the in-vehicle device 4.
  • the on-vehicle device 4 power management ECU
  • the on-vehicle device 4 regularly performs the following processing, for example, when the vehicle C is in a stopped state (IG switch is on) or in a starting state (IG switch is on).
  • the control unit 41 of the on-vehicle device 4 determines whether a drive request for the on-vehicle load 3 has been acquired (S101).
  • the integrated ECU 1 generates a control signal (drive request) based on the information output from the verification ECU 5, for example, and outputs it to the in-vehicle device 4.
  • the control unit 41 of the in-vehicle device 4 performs a process of waiting for a drive request output from the integrated ECU 1, and when a drive request is output from the integrated ECU 1, acquires the drive request. If a drive request has not been acquired (S101: NO), the control unit 41 of the in-vehicle device 4 performs a loop process to execute the process of S101 again.
  • the control unit 41 of the on-board device 4 determines whether the on-board ECU 2 is out of order (S102). Failure information indicating whether each of the in-vehicle ECUs 2 connected to the in-vehicle network 6 is out of order is stored and updated in the integrated ECU 1 through constant communication between the in-vehicle ECUs 2 and the integrated ECU 1, and is centrally managed. has been done.
  • the control unit 41 of the on-vehicle device 4 has acquired information indicating that the on-vehicle ECU 2 is out of order (failure state) from the integrated ECU 1, the control unit 41 determines that the on-board ECU 2 is out of order.
  • the control unit 41 of the in-vehicle device 4 may determine whether the in-vehicle ECU 2 is out of order based on the results of previous communication such as polling with the in-vehicle ECU 2.
  • the control unit 41 of the in-vehicle device 4 determines whether the in-vehicle ECU 2 is in an unactivated state (power off) (S1021).
  • the control unit 41 of the in-vehicle device 4 determines whether the in-vehicle ECU 2 is in an unactivated state (power off) based on whether a signal is transmitted via the control line 72 to the first relay 20 that controls power supply to the in-vehicle ECU 2. It is determined whether the power is on (power is on).
  • the storage unit 42 of the in-vehicle device 4 stores a control log of opening/closing control (on-off control) for the first relay 20 of the in-vehicle ECU 2, and based on the control log, the in-vehicle ECU 2 is in an unstarted state (power supply It may also be possible to determine whether the power is on (power is on).
  • the control unit 41 of the in-vehicle device 4 starts the in-vehicle ECU 2 (S1022).
  • the control unit 41 of the in-vehicle device 4 starts the in-vehicle ECU 2 by closing (turning on) the first relay 20 connected to the in-vehicle ECU 2.
  • the control unit 41 of the in-vehicle device 4 determines whether the in-vehicle ECU 2 is in an activated state (S1023). If the in-vehicle ECU 2 is not in an unactivated state (power off), that is, if the control unit 41 of the in-vehicle device 4 has already closed (turned on) the first relay 20 connected to the in-vehicle ECU 2, the control unit 41 closes (turns on) the first relay 20. After turning on, the on-vehicle ECU 2 determines whether or not it is in the starting state based on whether communication data such as the first CAN message has been acquired from the on-vehicle ECU 2.
  • the in-vehicle ECU 2 determines that the in-vehicle ECU 2 is, for example, in the process of initialization processing and is in the starting state.
  • the control unit 41 of the in-vehicle device 4 acquires the first communication data
  • the in-vehicle ECU 2 determines that the in-vehicle ECU 2 is not in a starting state, that is, in a starting state.
  • the control unit 41 of the in-vehicle device 4 determines whether redundant control is permitted (S1024).
  • the control unit 41 of the in-vehicle device 4 determines whether permission (permission notification) for redundant control has been obtained from the in-vehicle ECU 2.
  • the in-vehicle ECU 2 when the in-vehicle ECU 2 acquires data indicating that the vehicle C is in a sleep state, such as an IG off signal, from the integrated ECU 1, or periodically, the in-vehicle ECU 2 outputs a permission notification regarding redundant control to the in-vehicle device 4. .
  • the control unit 41 of the in-vehicle device 4 acquires the permission notification transmitted from the in-vehicle ECU 2, and stores the acquired permission notification in the storage unit 42 of the in-vehicle device 4. Therefore, the control unit 41 of the vehicle-mounted device 4 determines whether permission for redundant control (permission notification) has been obtained in advance from the vehicle-mounted ECU 2 by referring to the storage unit 42 of the vehicle-mounted device 4.
  • the control unit 41 of the onboard device 4 substitutes the control that the onboard ECU 2 performs on the onboard load 3. (S103).
  • permission for redundant control is granted (obtaining a permission notification) or when the onboard ECU 2 is in a failure state
  • the control unit 41 of the onboard device 4 controls the opening and closing of the second relay 30 of the onboard load 3 that is the target of the drive request. By doing so, the control performed by the on-vehicle ECU 2 on the on-vehicle load 3 is replaced.
  • the control unit 41 of the vehicle-mounted device 4 stores the number of times the vehicle-mounted ECU 2 substitutes control for the vehicle-mounted load 3 (S104).
  • the control unit 41 of the on-vehicle device 4 replaces the control of the on-vehicle EC for the on-vehicle load 3
  • the control unit 41 generates history information (time stamp) based on the number of times the on-vehicle EC has been substituted (alternative control number) or time information (time stamp) indicating the date and time of the substitute.
  • alternative performance information is stored in the storage unit 42 of the in-vehicle device 4.
  • the control unit 41 of the in-vehicle device 4 outputs (transmits) information regarding the number of times of substitution (the number of times of substitute control) to the in-vehicle ECU 2.
  • FIG. 5 is a flowchart illustrating the processing (failure detection of the on-vehicle load 3) of the control unit 21 of the on-vehicle ECU 2.
  • the in-vehicle ECU 2 (individual ECU) regularly performs the following processing, for example, when the vehicle C is in a starting state (IG switch is on).
  • the control unit 21 of the on-vehicle ECU 2 determines whether an abnormality with respect to the on-vehicle load 3 has been detected (T101). For example, after completing the initialization process performed at startup, the control unit 21 of the in-vehicle ECU 2 outputs a test signal to the second relay 30 connected to the in-vehicle load 3 to be driven. Attempt to detect abnormality in load 3. The control unit 21 of the on-vehicle ECU 2 may detect whether there is an abnormality in the on-vehicle load 3 based on the output result of the test signal.
  • T101 If no abnormality with respect to the on-vehicle load 3 is detected (T101: NO), a loop process is performed to execute the process of T101 again. If no abnormality with respect to the on-vehicle load 3 is detected, the control unit 21 of the on-vehicle ECU 2 may determine that the on-vehicle load 3 is normal, and may store the determination result in the storage unit 22 of the on-vehicle ECU 2. .
  • the control unit 21 of the on-vehicle ECU 2 stores the number of times the abnormality has been detected (the number of abnormality detections) (T102).
  • the control unit 21 of the on-vehicle ECU 2 stores the number of times the abnormality has been detected up to the present time or within a predetermined period (abnormality detection number) in the storage unit 22 of the on-vehicle ECU 2.
  • the control unit 21 of the in-vehicle ECU 2 acquires the number of alternative control times from the in-vehicle device 4 (T103).
  • the control unit 21 of the in-vehicle ECU 2 acquires information from the in-vehicle device 4 regarding the number of times the in-vehicle device 4 has substituted for the target in-vehicle load 3, that is, the number of times the in-vehicle device 4 has substituted for the in-vehicle load 3 corresponding to the number of abnormality detections (substitution control number).
  • the control unit 21 of the in-vehicle ECU 2 stores the obtained number of times of alternative control in the storage unit 22 of the in-vehicle ECU 2.
  • the control unit 21 of the in-vehicle ECU 2 determines whether the number of abnormality detections and the number of alternative controls match (T104). If it is determined that they match (T104: YES), the control unit 21 of the on-vehicle ECU 2 determines that the on-vehicle load 3 is normal (T105). If it is determined that they do not match (T104: NO), the control unit 21 of the on-vehicle ECU 2 determines that the on-vehicle load 3 is abnormal (failure confirmed) (T1041). In the present embodiment, the failure is determined based on the determination result of whether the number of times of abnormality detection and the number of alternative controls match, but the present invention is not limited to this. The failure may be confirmed by communicating with the vehicle and receiving a notification from the vehicle-mounted device 4 as to the presence or absence of alternative control (control taking over).
  • FIG. 6 is a schematic diagram illustrating the system configuration of the in-vehicle system S according to the second embodiment (integrated ECU 1).
  • the in-vehicle device 4 that functions as a power management ECU and a control alternative ECU is included in the integrated ECU 1.
  • the in-vehicle device 4 may be configured as a functional part of the integrated ECU 1.
  • a control line 72 extends from the integrated ECU 1 including the on-vehicle device 4 to each of the first relay 20 and the second relay 30.
  • the integrated ECU 1 including the on-vehicle device 4 controls the power supply to the on-vehicle ECU 2 by controlling the opening and closing of the first relay 20, and controls the opening and closing of the second relay 30 so that the on-vehicle ECU 2 controls the on-vehicle load. It replaces the control performed for 3.
  • the integrated ECU 1 generates a drive request for the on-vehicle load 3 based on communication with the verification ECU 5, and also aggregates failure information indicating whether the on-vehicle ECU 2 is out of order. Furthermore, the integrated ECU 1 also takes on the functions related to power management and alternative control performed by the on-vehicle device 4, so that it can efficiently perform proxy processing according to the state of each on-vehicle ECU 2.
  • In-vehicle system (power management system) 1 Integrated ECU 2 In-vehicle ECU (individual ECU, control ECU) 20 First relay 21 Control section 22 Storage section 23 Input/output I/F 24 In-vehicle communication section 3 On-vehicle load 30 Second relay 4 On-vehicle device (power management ECU, control alternative ECU) 41 Control unit 42 Storage unit 43 Input/output I/F 44 In-vehicle communication section 5 Verification ECU 51 sensor 6 in-vehicle network 61 communication line 7 power supply device 71 electric wire 72 control line

Landscapes

  • Engineering & Computer Science (AREA)
  • Mechanical Engineering (AREA)
  • Electric Propulsion And Braking For Vehicles (AREA)

Abstract

車載装置は、車両に搭載される車載負荷の制御を行う車載ＥＣＵと通信可能に接続され、前記車両に搭載される電源装置から給電される車載装置であって、前記車載ＥＣＵへの給電制御を行う制御部を備え、前記制御部は、前記車載ＥＣＵの状態に応じて、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替する。

Description

車載装置、プログラム、及び情報処理方法
　本開示は、車載装置、プログラム、及び情報処理方法に関する。
　本出願は、２０２２年３月２４日出願の日本出願第２０２２－０４８７２６号に基づく優先権を主張し、前記日本出願に記載された全ての記載内容を援用するものである。
　車両には、例えば、ワイパー駆動装置、車両の内外の灯火装置、ドアロック装置、パワーウインドウ等のボディ系の装置の制御を統括して行う車載ＥＣＵであるボディＥＣＵが搭載されている（例えば特許文献１）。特許文献１のワイパー駆動装置は、車載ＥＣＵ（ボデーＥＣＵ）を含み、車載ＥＣＵに適用されている制御プログラムにより駆動される。
特開２０１７－２２４９２６号公報
　本開示の一態様に係る車載装置は、車両に搭載される車載負荷の制御を行う車載ＥＣＵと通信可能に接続され、前記車両に搭載される電源装置から給電される車載装置であって、前記車載ＥＣＵへの給電制御を行う制御部を備え、前記制御部は、前記車載ＥＣＵの状態に応じて、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替する。
実施形態１に係る車載システム（電源管理システム）のシステム構成を例示する模式図である。 車載装置（電源管理ＥＣＵ）の内部構成を例示するブロック図である。 車載装置及び車載ＥＣＵ等による処理の流れ（シーケンス）を例示する説明図である。 車載装置の制御部の処理を例示するフローチャートである。 車載ＥＣＵの制御部の処理（車載負荷の故障検出）を例示するフローチャートである。 実施形態２（統合ＥＣＵ）に係る車載システムのシステム構成を例示する模式図である。
［本開示が解決しようとする課題］
　特許文献１の車両に搭載される駆動装置及び車載ＥＣＵにおいては、ボディ系装置（車載負荷）それぞれに対する電源管理等に関する制御を効率的に行う点については考慮されていない。
　本開示は、車載負荷に対する制御を効率的に行うことができる車載装置等を提供することを目的とする。
［本開示の効果］
　本開示の一態様によれば、車載負荷に対する制御を効率的に行う車載装置等を提供することができる。
［本開示の実施形態の説明］
　最初に本開示の実施態様を列挙して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。
（１）本開示の一態様に係る車載装置は、車両に搭載される車載負荷の制御を行う車載ＥＣＵと通信可能に接続され、前記車両に搭載される電源装置から給電される車載装置であって、前記車載ＥＣＵへの給電制御を行う制御部を備え、前記制御部は、前記車載ＥＣＵの状態に応じて、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替する。
　本態様にあたっては、車載装置は、車載負荷の制御を行う車載ＥＣＵ（個別ＥＣＵ）と通信可能に接続され、当該車載ＥＣＵへの給電制御を行う電源管理ＥＣＵとして機能する。車載装置と車載ＥＣＵとは、例えばＣＡＮゲートウェイ等の中継装置を介して、間接的に通信可能に接続されものであってよく、又は車載装置と車載ＥＣＵとが同じＣＡＮバス等の通信線に接続され、直接的に通信可能に接続されものであってもよい。車載装置は、車両に搭載される電源装置から給電されているため、電源装置から車載ＥＣＵに対し給電がされていない場合、すなわち車載ＥＣＵの電源がオフの状態においても、起動している。車載装置は、車載ＥＣＵの状態に応じて、車載ＥＣＵが車載負荷に対し行う制御を代替するため、例えば車載ＥＣＵが電源オフの状態であっても、車載ＥＣＵに代わって、車載負荷に対する制御を代替する。これにより車載負荷に対する冗長制御を可能とし、当該車載負荷に対する制御を効率的に行うことができる。特に、車載負荷が例えばドアロック機構（ドアロックモータ）等の即時性又は即応性を要求されるものであり、当該ドアロックモータに対する駆動要求が行われた際に車載ＥＣＵが電源オフとなっている場合、車載ＥＣＵの起動に要する時間（起動時間）によって、駆動開始までの遅延が発生する。このような即時性等を要求される車載負荷に対する制御にて遅延が発生した場合、駆動要求から駆動開始までの所要時間（レスポンスタイム）が増加するものとなる。これに対し、電源装置から給電される車載装置の制御部は、電源オフ状態等の車載ＥＣＵの状態に応じて、車載ＥＣＵが車載負荷に対し行う制御を代替する。従って、車載ＥＣＵの起動時間による遅延の影響を受けることなく、車載負荷に対する制御にて要求される即時性等を担保することができる。
（２）本開示の一態様に係る車載装置は、前記制御部は、前記車載負荷に対する駆動要求を取得し、取得した駆動要求に応じて、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替する。
　本態様にあたっては、車載負荷に対する駆動要求は、例えば、車両に搭載されるセンサによる検出又はスイッチの操作等により行われるところ、車載装置の制御部は、当該駆動要求に応じて、車載ＥＣＵが車載負荷に対し行う制御を代替するため、車載負荷に対する制御を効率的に行うことができる。
（３）本開示の一態様に係る車載装置は、前記電源装置と前記車載ＥＣＵとは第１リレーを介して接続され、前記電源装置と前記車載負荷とは、前記車載ＥＣＵにて開閉制御される第２リレーを介して接続され、前記制御部は、前記第１リレーの開閉制御を行うことにより、前記車載ＥＣＵへの給電制御を行い、前記第２リレーの開閉制御を行うことにより、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替する。
　本態様にあたっては、車載負荷は、電源装置から延設される電線に設けられた第２リレーが開閉（オン又はオフ）されることにより、駆動又は停止等による駆動制御が行われる。第２リレーの開閉制御は、車載ＥＣＵのみならず、車載装置（制御部）によっても行われるため、車載ＥＣＵと車載装置とにおいて、車載負荷に対する制御に関する処理態様を共通化することができ、車載負荷の制御を行うための制御機構を簡素化することができる。
（４）本開示の一態様に係る車載装置は、前記第２リレーには、前記車載ＥＣＵ及び前記車載装置それぞれから延設されることにより冗長化された制御線が接続される。
　本態様にあたっては、車載負荷の駆動制御を行うための第２リレーには、車載ＥＣＵから延設された制御線と、車載装置から延設された制御線とが、接続される。すなわち、第２リレーには、２つの系統による制御線が接続されることにより、冗長化された接続形態を構成することができる。これにより、万が一、いずれかの制御線が不通となった場合であっても、他方の制御線を用いて、第２リレーの開閉制御を行うことができる。
（５）本開示の一態様に係る車載装置は、前記車載ＥＣＵの状態は、未起動状態、起動中状態、及び起動済状態を含み、前記制御部は、前記車載ＥＣＵの状態が前記未起動状態又は前記起動中状態の際、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替する。
　本態様にあたっては、車載ＥＣＵに対する電源装置からの給電は、第１リレーを介して行われ、当該第１リレーの開閉制御は、電源管理ＥＣＵとして機能する車載装置によって行われる。第１リレーが開（オフ）の状態においては、車載ＥＣＵに対する給電は行われず（電源オフ）、車載ＥＣＵは未起動となる停止状態（未起動状態）となる。車載装置が第１リレーを閉（オン）にすることにより、車載ＥＣＵに対する給電（電源オン）が行われ、車載ＥＣＵは初期化等の起動処理を開始し、起動中状態に遷移する。車載ＥＣＵは初期化等の起動処理を完了することにより、起動中状態から起動済状態に遷移する。起動済状態の車載ＥＣＵは、第２リレーの開閉制御、すなわち車載負荷の駆動制御を開始する。車載ＥＣＵは起動処理を完了した際、例えばＣＡＮ通信（ＣＡＮメッセージの送信）を開始するため、車載装置は、第１リレーを閉（オン）にした後、車載ＥＣＵから最初のＣＡＮメッセージを受信することにより、車載ＥＣＵが起動済状態に遷移したことを検出（認識）することができる。又は、車載装置は、第１リレーを閉（オン）にした後、車載ＥＣＵの起動時間に相当する所定の時間が経過した際、車載ＥＣＵが起動済状態に遷移したと認識するものであってもよい。車載装置の制御部は、第１リレーの開閉状態、及び閉（オン）にした後、車載ＥＣＵから最初に受信したデータ又は信号等に基づき、車載ＥＣＵの状態、すなわち未起動状態、起動中状態、又は起動済状態のいずれの状態であるかを効率的に検出（特定）することができる。車載装置の制御部は、検出した車載ＥＣＵの状態、又は状態遷移に関する履歴状態を記憶部に記憶するものであってもよい。車載装置の制御部は、検出した車載ＥＣＵの状態に応じて、車載ＥＣＵが未起動状態又は起動中状態の際、車載ＥＣＵが車載負荷に対し行う制御を代替するものであり、すなわち車載ＥＣＵが車載負荷（第２リレー）の制御を行えない期間にて、車載ＥＣＵを代替する処理を行う。これにより、車載ＥＣＵが起動済状態の場合、車載装置の制御部は、車載負荷に対する制御を行わないため、車載負荷に対する駆動制御、すなわち第２リレーに対する開閉制御が、車載装置と車載ＥＣＵとにより重複して行われることを防止することができる。従って、車載装置と車載ＥＣＵとによる車載負荷に対する制御が衝突（コンフリクト）することを、確実に回避することができる。
（６）本開示の一態様に係る車載装置は、前記制御部は、前記車載ＥＣＵから前記車載負荷に対する制御の代替を許可する許可通知を取得した場合、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替する。
　本態様にあたっては、車載ＥＣＵは、例えば、自ＥＣＵへの給電が停止（電源オフ）される前に、車載装置に対し、車載負荷に対する制御の代替を許可する許可通知を出力（送信）する。許可通知には、当該車載ＥＣＵに接続される１つ以上の車載負荷が列挙され、各車載負荷に対する代替可否を示すフラグ値（１：代替許可、０：代替不可）等の情報が記載されているものであってもよい。車載装置の制御部は、車載ＥＣＵから取得（受信）した許可通知を記憶部に記憶する。車載装置の制御部は、車載ＥＣＵが車載負荷に対し行う制御を代替する際、記憶部を参照することにより、車載ＥＣＵから許可通知を取得した場合のみ、当該代替する処理を行う。すなわち、車載装置の制御部は、事前に車載ＥＣＵから許可通知を取得していない場合、代替する処理を行わない。又は、車載装置の制御部は、取得した許可通知において、代替許可を示す情報が付与されている車載負荷に対してのみ、代替処理を行うものであってもよい。これにより、車載ＥＣＵに接続される車載負荷が故障中の場合、又はセキュリティの観点から代替処理が行われることが適切でない車載負荷等の理由により、いずれかの車載負荷を車載装置による代替処理の対象外とすることを、車載ＥＣＵ側にて設定することができる。従って、故障中の車載負荷、又はセキュリティ等の他の要因により、代替処理が行われることが適切でない車載負荷に対し、車載装置が、当該車載負荷に対する車載ＥＣＵの制御を代替することを、防止することができる。
（７）本開示の一態様に係る車載装置は、前記制御部は、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替した際、代替した旨を示す情報を前記車載ＥＣＵに出力する。
　本態様にあたっては、車載装置の制御部は、車載負荷に対する車載ＥＣの制御を代替した際、例えば、代替した回数（代替制御回数）、又は代替した日時等を示す時点情報（タイムスタンプ）による履歴情報（代替実績情報）を車載ＥＣＵに出力する。車載ＥＣＵは、車載装置から出力された代替実績情報を取得することにより、現時点までの、又は所定期間における車載装置による代替制御回数等を把握することができる。車載装置による代替処理が行われると、車載ＥＣＵによる駆動制御が行われていないにもかかわらず、車載負荷は駆動するものとなる。このような代替処理による車載負荷の駆動に対し、車載ＥＣＵは、当該車載負荷に対する異常検知を行うものとなるが、当該異常検知は、実質的には誤検知に相当するものである。これに対し、車載ＥＣＵは、車載装置から出力された代替実績情報（代替制御回数）と、異常検知した回数（異常検知回数）とを対比することにより、車載負荷において真の異常が発生したか否かを判定することができる。例えば、車載ＥＣＵは、代替制御回数と異常検知回数とが同じである場合、車載負荷は正常であると判定し、代替制御回数と異常検知回数とが異なる場合、車載負荷は異常であると判定するものであってもよい。
（８）本開示の一態様に係る車載装置は、前記車載ＥＣＵの状態は、故障状態を含み、前記制御部は、前記車載ＥＣＵの状態が前記故障状態の際、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替する。
　本態様にあたっては、車載装置の制御部は、車載ＥＣＵと通信し、又は中継機能を有する統合ＥＣＵ等と通信することにより、車載ＥＣＵが故障状態である旨を示す通知（故障通知）を取得し、記憶部に記憶する。車載装置の制御部は、当該故障通知を取得することにより、車載ＥＣＵの状態が故障状態であると判定し、当該車載ＥＣＵが車載負荷に対し行う制御を代替するため、車載負荷に対する制御の冗長化（フェールセーフ）を図ることができる。車載ＥＣＵに接続される車載負荷それぞれに対し、例えばＡＳＩＬ（Automotive Safety Integrity Level）等に応じた機能安全要求が行われるところ、車載ＥＣＵが故障した場合であっても、車載装置は、当該故障した車載ＥＣＵを代替して、車載負荷に対する制御を行うため、車両制御全般における耐障害性を担保することができる。
（９）本開示の一態様に係る車載装置は、前記車両には、前記車両における全体制御を行う統合ＥＣＵが搭載されており、前記統合ＥＣＵの機能部として構成される。
　本態様にあたっては、統合ＥＣＵは、複数の車載ＥＣＵと通信可能に接続され、各車載ＥＣＵから出力される情報に基づき、車両に関する全体制御を行う。統合ＥＣＵは、更にタッチセンサ等に接続される照合ＥＣＵと通信可能に接続され、当該照合ＥＣＵから出力された情報（センサ検出値）に基づき生成した制御信号を、各車載ＥＣＵに出力するものであってもよい。車載ＥＣＵへの給電制御を行うと共に当該車載ＥＣＵが車載負荷に対し行う制御を代替する車載装置を、統合ＥＣＵに含ませる、すなわち統合ＥＣＵの一機能部として構成することにより、車両に搭載される部品点数の削減を図ることができる。統合ＥＣＵが複数の車内通信部（ＣＡＮトランシーバ等）を備え、これら車内通信部に接続される車載ＥＣＵ間にて送受信されるデータの中継処理を行う場合、統合ＥＣＵは、これら車載ＥＣＵから送信されるデータの有無等に基づき、各車載ＥＣＵの状態を効率的に把握することができる。これにより、統合ＥＣＵの機能部として構成される（含まれる）車載装置は、各車載ＥＣＵの状態に応じた代理処理を効率的に行うことができる。
（１０）本開示の一態様に係る車載装置は、前記電源装置からの給電は、常時行われる。
　本態様にあたっては、車載装置は、車両に搭載されるバッテリ等の電源装置から常時給電される構成となっており、所謂＋Ｂ電源による電力が常に供給される。これにより、車両が停止中（ＩＧオフ状態）であっても、車載装置には電源装置から電力が供給され、車載装置は起動している状態（起動済み状態）を維持することができ、初期化処理等の起動に要する遅延を発生させることなく、入力された信号に対する処理を行うことができる。このように車載装置を電源装置から常時給電される構成とすることにより、当該車載装置が起動している積算時間は、車載ＥＣＵが起動している積算時間よりも長いものとなる。車載装置は、電源装置から常時給電されるにあたり、車両が停止中（ＩＧオフ状態）においては、例えば、制御部の動作クロック（周波数）を低減させることにより消費電力を低下させた省電力モードに遷移するものであってもよい。
（１１）本開示の一態様に係る情報処理方法は、車両に搭載される車載負荷の制御を行う車載ＥＣＵと通信可能に接続され、前記車両に搭載される電源装置から給電されるコンピュータに、前記車載ＥＣＵへの給電制御に関する処理を実行し、前記車載ＥＣＵの状態に応じて、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替する。
　本態様にあたっては、コンピュータを、車載負荷に対する制御を効率的に行うことができる車載装置として機能させる情報処理方法を提供することができる。
（１２）本開示の一態様に係るプログラムは、車両に搭載される車載負荷の制御を行う車載ＥＣＵと通信可能に接続され、前記車両に搭載される電源装置から給電されるコンピュータに、前記車載ＥＣＵへの給電制御に関する処理を実行し、前記車載ＥＣＵの状態に応じて、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替する。
　本態様にあたっては、コンピュータを、車載負荷に対する制御を効率的に行うことができる車載装置として機能させることができる。
［本開示の実施形態の詳細］
　本開示をその実施の形態を示す図面に基づいて具体的に説明する。本開示の実施形態に係る車載システムＳを、以下に図面を参照しつつ説明する。なお、本開示はこれらの例示に限定されるものではなく、請求の範囲によって示され、請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。
（実施形態１）
　以下、実施の形態について図面に基づいて説明する。図１は、実施形態１に係る車載システムＳ（電源管理システム）のシステム構成を例示する模式図である。図２は、車載装置４（電源管理ＥＣＵ）の内部構成を例示するブロック図である。車載システムＳは、車両Ｃに搭載される１つ以上の車載ＥＣＵ２（個別ＥＣＵ）の電源管理に関する制御（給電制御）を行う車載装置４（電源管理ＥＣＵ）を主たる装置とし、当該車載装置４と通信可能に接続される統合ＥＣＵ１及び照合ＥＣＵ５を含むものであってもよい。
　統合ＥＣＵ１、照合ＥＣＵ５、車載装置４、及び車載ＥＣＵ２（個別ＥＣＵ）は、例えば、ＣＡＮバス等の通信線６１によって、相互に通信可能に接続される。これら複数のバス状の通信線６１によって、中継機能を有する統合ＥＣＵ１を中心としたスター状の車載ネットワーク６が構成される。
　統合ＥＣＵ１、照合ＥＣＵ５、車載装置４、車載ＥＣＵ２、及び車載負荷３に対し、電源装置７から延設される電線７１が接続され、当該電線７１を介して電源装置７からの電力が供給される。統合ＥＣＵ１、照合ＥＣＵ５及び車載装置４には、電源装置７からの電力が常時給電されるように構成されている。
　電源装置７から車載ＥＣＵ２に延設される電線７１には、電力の給電又は停止（遮断）を切り替える第１リレー２０が設けられている。電源装置７から車載負荷３に延設される電線７１には、電力の給電又は停止（遮断）を切り替える第２リレー３０が設けられている。第１リレー２０及び第２リレー３０は、例えばＦＥＴ（Field Effect Transistor）等の半導体スイッチ、又はメカリレーであってもよい。第１リレー２０及び第２リレー３０がＦＥＴである場合、車載ＥＣＵ２及び車載装置４から延設される制御線７２は、ＦＥＴのゲート端子に接続される。
　車載ＥＣＵ２は、車両Ｃに搭載される車載負荷３の制御を行い、当該車載負荷３に対する電力の供給及び遮断を行う第２リレー３０の開閉制御を行う。このように車載ＥＣＵ２は、１つ以上の車載負荷３の駆動制御を担う個別ＥＣＵとして機能する。車載ＥＣＵ２から第２リレー３０に対し、当該第２リレー３０の開閉を制御するための信号が送信される制御線７２が延設されている。
　車載装置４は、例えば統合ＥＣＵ１からの制御信号に応じて、これら複数の車載ＥＣＵ２に対する電力の供給及び遮断を行う第１リレー２０の開閉制御を行うことにより、電源管理ＥＣＵとして機能する。車載装置４から第１リレー２０に対し、当該第１リレー２０の開閉を制御するための信号が送信される制御線７２が延設されている。
　車載装置４は、更に、車載ＥＣＵ２が開閉制御を行う第２リレー３０に対しても、開閉制御を行うことにより、当該車載ＥＣＵ２による車載負荷３に対する制御を代替する制御代替ＥＣＵとしても、機能する。
　車載装置４から第２リレー３０に対し、当該第２リレー３０の開閉を制御するための信号が送信される制御線７２が延設されている。すなわち、第２リレー３０に対し、車載ＥＣＵ２から延設される制御線７２と、車載装置４から延設される制御線７２とにより、２系統の制御線７２が接続される。当該２系統の制御線７２によって、第２リレー３０に対する冗長化構成が設けられる。
　車載装置４及び統合ＥＣＵ１は、車両Ｃに搭載されるバッテリ等の電源装置７から常時給電される構成となっており、所謂＋Ｂ電源による電力が常に供給される。これに対し、車載負荷３及び当該車載負荷３を制御する車載ＥＣＵ２は、第１リレー２０又は第２リレー３０等のリレーを介して電源装置７に接続されており、当該リレーが閉（オン）となった場合、給電される。本実施形態において、車載装置４及び統合ＥＣＵ１は、電源装置７から常時給電される構成であるとしたがこれに限定されず、例えば、バッテリの交換時又は、これら装置における初期化処理又はダイアグ（自己診断）処理を開始又は終了する際に一時的に給電が停止（非給電状態）されるものであってもよい。すなわち、車載装置４は、車載ＥＣＵ２が非給電状態である期間において、給電状態（起動済み状態）となる期間を有するものであればよい。
　各種の車載負荷３において、例えば、ドアロックモータ等の駆動部品を含むドアロック機構においては、車両Ｃが停止中の場合においても、車外からの乗員の操作に応じてドアロックの駆動を行うものとなる。ドアロック機構（車載負荷３）を制御する車載ＥＣＵ２が停止中（非給電状態）、すなわち未起動状態である場合、このようなドアロックの駆動要求に対し、車載ＥＣＵ２を起動するために要する時間（起動時間）が処理遅延として発生することが懸念される。これに対し、本実施形態においては、電源装置７から常時給電される車載装置４が、駆動要求に応じて、未起動状態又は起動中状態である車載ＥＣＵ２を代替する。これにより、車載ＥＣＵ２の起動時間による遅延の影響を受けることなく、ドアロック機構等の車載負荷３に対する制御にて要求される即時性又は即応性を担保することができる。
　本実施形態において、車載ＥＣＵ２（個別ＥＣＵ）が制御を担う車載負荷３は１つと記載しているが、これに限定されず、車載ＥＣＵ２は、複数の車載負荷３の制御を行うものであってもよい。この場合、車載ＥＣＵ２から、これら車載負荷３に接続される第２リレー３０それぞれに対し、制御線７２が延設される。当該車載ＥＣＵ２を代替する車載装置４からも、これら車載負荷３に接続される第２リレー３０それぞれに対し、制御線７２が延設されるものとなる。又は、車載装置４からは、例えばＡＳＩＬ（Automotive Safety Integrity Level）が所定以上の車載負荷３に接続される第２リレー３０に対してのみ制御線７２が延設され、これらＡＳＩＬが所定以上の車載負荷３に対し車載ＥＣＵ２が行う制御のみを、代替するものであってもよい。全ての車載負荷３に対し車載装置４から制御線７２が延設される場合と比較して、例えばＱＭ以外（ＡＳＩＬがＡ以上）の車載負荷３の第２リレー３０に対してのみ制御線７２を延設することにより、部品点数の削減及び車両Ｃ重量の低減を図りつつ、車両Ｃの安全性要件への対応を拡充することができる。
　統合ＥＣＵ１は、照合ＥＣＵ５、車載ＥＣＵ２（個別ＥＣＵ、制御ＥＣＵ）、及び車載装置４（電源管理ＥＣＵ、制御代替ＥＣＵ）等の各種ＥＣＵから送信されるデータに基づき制御信号を生成し、当該生成した制御信号を対応するＥＣＵに出力するものであり、例えばヴィークルコンピュータ等の中央制御装置である。統合ＥＣＵ１は、後述する車載装置４と同様に制御部、記憶部、入出力Ｉ／Ｆ及び車内通信部を含む。統合ＥＣＵ１は、複数の車内通信部を備え、これら車内通信部それぞれに接続される通信線６１を介して送受信されるデータを中継する中継機能を有し、例えば、ＣＡＮゲートウェイ、レイヤー２イーサスイッチ、又はレイヤー３イーサスイッチとして機能する。
　照合ＥＣＵ５は、統合ＥＣＵ１及び車載装置４と同様に電源装置７から常時給電され、例えばタッチセンサ等のセンサ５１及びＲＦアンテナが接続される。照合ＥＣＵ５は、例えば、ドアノブ等に対する接触検知を行い、当該検知に応じて、ＲＦアンテナにて受信したスマートキーからのシグナルを照合する処理を行う照合処理部を備える。照合ＥＣＵ５は、照合処理の結果が肯定的である場合、例えばドアロック機構（ドアロックモータ）等の車載負荷３に対する駆動要求を行うための情報を統合ＥＣＵ１に出力する。照合ＥＣＵ５は、後述する車載装置４と同様に制御部、記憶部、入出力Ｉ／Ｆ及び車内通信部を含む。
　車載装置４は、制御部４１、記憶部４２、入出力Ｉ／Ｆ４３及び車内通信部４４を備え、統合ＥＣＵ１から送信される制御信号に応じて、起動（電源オン）又は停止（電源オフ）する車載装置４（給電制御の対象となる車載装置４）に接続される第１リレー２０の開閉制御を行うものであり、電源管理ＥＣＵとして機能する。更に車載装置４は、車載装置４が未起動状態又は起動中状態である場合、当該車載ＥＣＵ２が車載負荷３に対し行う制御を代替する制御代替ＥＣＵとして機能する。
　制御部４１は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等により構成してあり、記憶部４２に予め記憶されたプログラムＰ（プログラム製品）及びデータを読み出して実行することにより、種々の制御処理及び演算処理等を行うようにしてある。制御部４１は、ＣＰＵ等のソフトウェア処理を行うソフトウェア処理部のみに限定されず、ＦＰＧＡ、ＡＳＩＣ又はＳＯＣ等のハードウェア処理にて種々の制御処理及び演算処理等を行うハードウェア処理部を含むものであってもよい。
　記憶部４２は、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してあり、プログラムＰ（プログラム製品）及び処理時に参照するデータが予め記憶してある。記憶部４２に記憶されたプログラムＰ（プログラム製品）は、車載装置４が読み取り可能な記録媒体から読み出されたプログラムＰ（プログラム製品）を記憶したものであってもよい。また、図示しない通信網に接続されている図示しない外部コンピュータからプログラムＰ（プログラム製品）をダウンロードし、記憶部４２に記憶させたものであってもよい。
　入出力Ｉ／Ｆ４３は、第１リレー２０及び第２リレー３０に対し、制御線７２を介して信号を出力するための通信インターフェイスである。第１リレー２０及び第２リレー３０がＦＥＴである場合、ＦＥＴのゲート端子に入力されるＰＷＭ信号等が、入出力Ｉ／Ｆ４３を介して出力される。
　車内通信部４４は、例えばＣＡＮ（Control Area Network）、ＣＡＮ－ＦＤ、又はイーサネット（Ethernet／登録商標）の通信プロトコルを用いた入出力インターフェイス（ＣＡＮトランシーバ、イーサネットＰＨＹ）であり、制御部４１は、車内通信部４４を介して車載ネットワーク６に接続されている統合ＥＣＵ１等と相互に通信する。
　車載ＥＣＵ２（個別ＥＣＵ）は、車載装置４と同様に制御部２１、記憶部２２、入出力Ｉ／Ｆ２３及び車内通信部２４を含む。車載ＥＣＵ２は、統合ＥＣＵ１からの制御信号（駆動要求）に応じて、制御線７２を介して接続される第２リレー３０を開閉制御することのより、駆動要求の対象となる車載負荷３の駆動制御を行う。詳細は後述するが、車載ＥＣＵ２は、当該駆動制御の対象となる車載負荷３に対する異常検出を行い、当該異常検出した回数等を記憶部２２に記憶する。
　車載負荷３は、例えば、モータ等の駆動部品を含むドアロック機構（ドアロックモータ）等のアクチュエータである。車載負荷３は、電線７１を介して電源装置７と接続され、当該電線７１には第２リレー３０が設けられている。車載負荷３は、車載ＥＣＵ２又は車載装置４による第２リレー３０の開閉制御により、駆動又は停止等の駆動制御が行われる。車載負荷３は、ＬｉＤＡＲ（Light Detection and Ranging）、ライトセンサ、ＣＭＯＳカメラ、赤外線センサ等の各種のセンサ及び、ドアＳＷ（スイッチ）、ランプＳＷ等のスイッチ、ランプ、ドア開閉装置、モータ装置等のアクチュエータを含むものであってもよい。
　電源装置７は、例えば１２Ｖ（＋Ｂ）の電圧を出力する鉛バッテリである。又は、電源装置７は、リチウムイオンバッテリ等の高圧バッテリ又はオルタネータから出力された電圧を、例えば１２Ｖ等の所定の電圧に降圧するＤＣＤＣコンバータで又はレギュレータを含むものであってもよい。
　図３は、車載装置４及び車載ＥＣＵ２等による処理の流れ（シーケンス）を例示する説明図である。車載システムＳに含まれる統合ＥＣＵ１、車載ＥＣＵ２（個別ＥＣＵ）及び車載装置４（電源管理ＥＣＵ）は、車載ネットワーク６により通信可能に接続され、互いに連関して以下の処理を行う。
　車載ＥＣＵ２は、冗長制御に関する許可通知を出力する（Ｓ０１）。車両Ｃが起動状態にある際、車載ＥＣＵ２は、統合ＥＣＵ１から出力（送信）される制御信号（車載負荷３に対する駆動要求）を取得（受信）し、当該駆動要求に応じて、自ＥＣＵ（車載ＥＣＵ２自身）に接続されている車載負荷３の駆動制御を行う。当該車載負荷３の駆動制御を行うにあたり、車載ＥＣＵ２は、電源装置７から車載負荷３に延設された電線７１に設けられた第２リレー３０の開閉制御を行う。
　車載ＥＣＵ２は、例えば、統合ＥＣＵ１からＩＧオフ信号等、車両Ｃが停止（Ｓｌｅｅｐ）状態になる旨を示すデータを取得した場合、又は定期的に、冗長制御に関する許可通知を車載装置４に出力する。当該許可通知は、車載装置４に対し、自ＥＣＵ（車載ＥＣＵ２自身）が車載負荷３に対し行う制御を代替することを許可する通知である。車載ＥＣＵ２が、複数の車載負荷３の駆動制御を行う場合、許可通知には、これら複数の車載負荷３が列挙され、各車載負荷３に対する代替可否を示すフラグ値（１：代替許可、０：代替不可）等の情報が記載されているものであってもよい。
　車載ＥＣＵ２は、自ＥＣＵ（車載ＥＣＵ２自身）が制御を行う車載負荷３において、故障中の車載負荷３、又はセキュリティの観点から代替処理が行われることが適切でない車載負荷３等においては、許可通知を出力しない。これにより、いずれかの車載負荷３を車載装置４による代替処理の対象外とすることを、車載ＥＣＵ２側にて設定することができ、代替処理が行われることが適切でない車載負荷３に対し、車載装置４が制御を代替することを防止することができる。
　車載装置４は、車載ＥＣＵ２から送信された許可通知を取得する（Ｓ０２）。車載装置４は、車載ＥＣＵ２から送信された許可通知を取得し、当該取得した許可通知を記憶部４２に記憶する。車載装置４が、複数の車載ＥＣＵ２に対し代理する処理を行う場合、車載装置４は、各車載ＥＣＵ２から取得した許可通知それぞれに対し、送信元となる車載装置４の識別情報を関連付けて、記憶部４２に記憶するものであってもよい。更に、車載装置４は、許可通知を記憶するにあたり、当該許可通知を取得した日時（タイムスタンプ）等を示す時点情報を関連付けて、記憶するものであってもよい。
　車載装置４は、このように複数の車載ＥＣＵ２から取得した許可通知それぞれを集約し、例えばテーブル形式（許可通知管理テーブル）にて、記憶部４２に記憶するものであってもよい。このように許可通知管理テーブルにて、各車載ＥＣＵ２にて制御される車載負荷３それぞれに対する許可の有無を集約し、最新情報となるように更新して管理することにより、車載装置４は、車載負荷３それぞれに対する代替の可否を効率的に管理することができる。車載装置４は、当該許可通知管理テーブルにおいて、車載ＥＣＵ２が故障中であるか否かを示す状態情報についても含めて、記憶部４２に記憶するものであってもよい。
　車載装置４は、車載ＥＣＵ２を非給電状態（電源オフ）にする（Ｓ０３）。車載装置４は、例えば、ＩＧオフ信号又は車載ＥＣＵ２を停止（非給電状態）させる停止信号等を、統合ＥＣＵ１から取得した場合、車載ＥＣＵ２を非給電状態（電源オフ）にする。車載ＥＣＵ２を非給電状態にするにあたり、車載装置４は、電源装置７から車載ＥＣＵ２に延設された電線７１に設けられた第１リレー２０を開（オフ）にする。第１リレー２０が開（オフ）にされることにより、車載ＥＣＵ２への給電は停止し（遮断され）、車載ＥＣＵ２は、非給電状態（電源オフ）、すなわち未起動となる停止状態（未起動状態）となる。車載装置４は電源装置７と常時接続され、電源装置７からの電力が常時供給（常時給電）されるため、車両Ｃが停止（Ｓｌｅｅｐ）状態であっても、起動状態を維持する。
　照合ＥＣＵ５は、タッチセンサ等のセンサ５１にて検出した検出値に対する照合結果を統合ＥＣＵ１に出力する（Ｓ０４）。照合ＥＣＵ５も、車載装置４又は統合ＥＣＵ１と同様に電源装置７からの電力が常時供給（常時給電）されるため、車両Ｃが停止（Ｓｌｅｅｐ）状態であっても、起動状態を維持する。照合ＥＣＵ５には、例えばタッチセンサ等のセンサ５１及びＲＦアンテナが接続され、例えば、ドアノブ等に対する接触検知を行い、当該検知に応じて、ＲＦアンテナにて受信したスマートキーからのシグナルを照合する処理を行う。照合ＥＣＵ５は、照合処理の結果が肯定的である場合、例えばドアロック機構（ドアロックモータ）に対する駆動要求を行うための情報を統合ＥＣＵ１に出力する。
　統合ＥＣＵ１は、照合ＥＣＵ５から出力された照合結果に応じて、車載負荷３の駆動要求を出力する（Ｓ０５）。統合ＥＣＵ１は、照合ＥＣＵ５から出力された情報に基づき制御信号（駆動要求）を生成し、当該駆動要求を車載装置４に出力する。統合ＥＣＵ１は、駆動要求を車載装置４に出力する際、マルチキャスト又はブロードキャストを用いて出力するものであってもよい。このようにマルチキャスト等を用いることにより、車載ＥＣＵ２が起動済み状態である場合は、車載装置４のみならず、車載ＥＣＵ２も駆動要求を取得（受信）するものとなる。
　車載装置４は、統合ＥＣＵ１から出力された駆動要求を取得する（Ｓ０６）。車載装置４は、統合ＥＣＵ１から出力された駆動要求を取得し、取得した駆動要求を記憶部４２に記憶する。統合ＥＣＵ１から出力された駆動要求には、例えば、対象となる車載負荷３を特定するための識別情報（負荷ＩＤ）、及び当該車載負荷３の駆動制御を行う車載ＥＣＵ２を識別情報（ＥＣＵＩＤ）が含まれ、又は関連付けられている。車載装置４は、駆動要求を参照することにより、代替対象となる車載ＥＣＵ２及び車載負荷３を特定することができる。
　車載装置４は、車載ＥＣＵ２を給電状態（電源オン）にする（Ｓ０７）。車載装置４は、駆動要求に基づき特定した車載ＥＣＵ２を給電状態（電源オン）にする。車載ＥＣＵ２を給電状態（電源オン）にするにあたり、車載装置４は、第１リレー２０を閉（オン）にする。第１リレー２０が閉（オン）にされることにより、車載ＥＣＵ２への給電は開始され、車載ＥＣＵ２は初期化等の起動処理を開始し、起動中状態に遷移する。
　車載装置４は、既に取得している許可通知に基づき、車載ＥＣＵ２が車載負荷３に対し行う制御を代替する処理を開始する（Ｓ０８）。車載装置４は、既に取得し、車載装置４の記憶部４２に記憶されている許可通知に基づき、車載ＥＣＵ２が車載負荷３に対し行う制御を、代替する処理を開始する。車載装置４は、電源装置７から、代替処理の対象となる車載負荷３に延設された電線７１に設けられた第２リレー３０の開閉制御を行う。これにより、当該車載負荷３は、駆動要求に応じた駆動を開始する。車載装置４は、このような代替制御を行った場合、代替した回数（代替制御回数）、又は代替した日時等を示す時点情報（タイムスタンプ）による履歴情報（代替実績情報）を記憶部４２に記憶する。車載装置４は、当該車載負荷３に対する許可通知を取得していない場合、代替する処理を実行しない。
　又は、車載装置４は、統合ＥＣＵ１から車載ＥＣＵ２が故障中（故障状態）である旨を示す情報を取得した場合、車載ＥＣＵ２が車載負荷３に対し行う制御を、代替する処理を開始するものであってもよい。このように車載ＥＣＵ２が故障中の場合、車載装置４は、許可通知を取得していなくても、車載ＥＣＵ２が車載負荷３に対し行う制御を代替する処理を開始するものであってもよい。
　車載ＥＣＵ２は、車載装置４との通信を開始する（Ｓ０９）。車載ＥＣＵ２は、初期化等の起動処理を完了した後、車載装置４及び統合ＥＣＵ１との通信を開始する。
　車載装置４は、車載ＥＣＵ２から取得した通信データに基づき、車載ＥＣＵ２は起動済状態であると判定する（Ｓ１０）。車載装置４は、対象となる車載ＥＣＵ２に接続される第１リレー２０を閉（オン）にした後、当該車載ＥＣＵ２から最初のＣＡＮメッセージ等の通信データを取得することにより、車載ＥＣＵ２は起動済状態であると判定する。
　車載装置４は、車載ＥＣＵ２を代替する処理を終了する（Ｓ１１）。車載装置４は、車載ＥＣＵ２は起動済状態であると判定した後、当該車載ＥＣＵ２が車載負荷３に対し行う制御を代替する処理を終了（中止）する。すなわち、車載装置４は、車載ＥＣＵ２が起動済状態である場合、車載負荷３に対する代替制御を実行しない。これにより、車載装置４と車載ＥＣＵ２とによる車載負荷３に対する制御が衝突（コンフリクト）することを防止することができる。
　車載ＥＣＵ２は、車載負荷３に対する制御を開始する（Ｓ１２）。本処理によって、車載負荷３に対する制御が車載装置４によって代替された場合、車載ＥＣＵ２による駆動制御が行われていないにもかかわらず、車載負荷３は駆動するものとなる。車載装置４の代替処理による車載負荷３の駆動に対し、当該車載負荷３に対する制御を開始しようとする車載ＥＣＵ２は、車載負荷３が誤動作等により駆動したものとして、車載負荷３において異常が発生したと判定（異常検知）するものとなる。そこで、車載ＥＣＵ２は、車載負荷３に対する制御を開始するにあたり、車載装置４から出力される代替制御回数等を取得し、当該代替制御回数と、異常検知した回数（異常検知回数）とを対比することにより、車載負荷３において真の異常が発生したか否かを判定する。
　車載ＥＣＵ２は、例えば、代替制御回数と異常検知回数とが同じである場合、車載負荷３は正常であると判定し、代替制御回数と異常検知回数とが異なる場合、車載負荷３は異常（故障確定）であると判定する。これにより、車載装置４の代替処理による車載負荷３の駆動を、車載負荷３の異常として誤検知することを回避することができる。車載ＥＣＵ２は、車載負荷３は正常であると判定した後、車載負荷３に対する制御を開始するものであってもよい。
　図４は、車載装置４の制御部４１の処理を例示するフローチャートである。車載装置４（電源管理ＥＣＵ）は、例えば車両Ｃが停止状態（ＩＧスイッチが）、又は起動状態（ＩＧスイッチがオン）において、定常的に以下の処理を行う。
　車載装置４の制御部４１は、車載負荷３に対する駆動要求を取得したか否かを判定する（Ｓ１０１）。統合ＥＣＵ１は、例えば照合ＥＣＵ５から出力された情報に基づき制御信号（駆動要求）を生成し、車載装置４に出力する。車載装置４の制御部４１は、統合ＥＣＵ１から出力される駆動要求を待ち受ける処理を行っており、統合ＥＣＵ１から駆動要求が出力された場合、当該駆動要求を取得する。駆動要求を取得していない場合（Ｓ１０１：ＮＯ）、車載装置４の制御部４１は、再度Ｓ１０１の処理を実行すべく、ループ処理を行う。
　駆動要求を取得した場合（Ｓ１０１：ＹＥＳ）、車載装置４の制御部４１は、車載ＥＣＵ２は故障中であるか否かを判定する（Ｓ１０２）。車載ネットワーク６に接続される車載ＥＣＵ２それぞれが故障中であるか否を示す故障情報は、これら車載ＥＣＵ２と統合ＥＣＵ１とが常時通信することにより、統合ＥＣＵ１に集約されて保存及び更新され、一元管理されている。車載装置４の制御部４１は、統合ＥＣＵ１から車載ＥＣＵ２が故障中（故障状態）である旨を示す情報を取得している場合、車載ＥＣＵ２は故障中であると判定する。又は、車載装置４の制御部４１は、以前に行った車載ＥＣＵ２とのポーリング等の通信結果等に基づき、車載ＥＣＵ２は故障中であるか否かを判定するものであってもよい。
　車載ＥＣＵ２が故障状態でない場合（Ｓ１０２：ＮＯ）、車載装置４の制御部４１は、車載ＥＣＵ２は未起動状態（電源オフ）であるか否かを判定する（Ｓ１０２１）。車載装置４の制御部４１は、車載ＥＣＵ２の給電制御を行う第１リレー２０に対し、制御線７２を介して信号を送信しているか否かに基づき、車載ＥＣＵ２は未起動状態（電源オフ）あるか否か（電源オン）であるかを判定する。又は、車載装置４の記憶部４２には、当該車載ＥＣＵ２の第１リレー２０に対する開閉制御（オンオフ制御）の制御ログが記憶されており、当該制御ログに基づき、車載ＥＣＵ２が未起動状態（電源オフ）あるか否か（電源オン）であるかを判定するものであってもよい。
　車載ＥＣＵ２が未起動状態（電源オフ）である場合（Ｓ１０２１：ＹＥＳ）、車載装置４の制御部４１は、車載ＥＣＵ２を起動する（Ｓ１０２２）。車載ＥＣＵ２が未起動状態（電源オフ）である場合、車載装置４の制御部４１は、車載ＥＣＵ２に接続された第１リレー２０を閉（オン）にすることにより、車載ＥＣＵ２を起動する。
　車載ＥＣＵ２が未起動状態（電源オフ）でない場合（Ｓ１０２１：ＮＯ）、車載装置４の制御部４１は、車載ＥＣＵ２は起動中状態であるか否かを判定する（Ｓ１０２３）。車載ＥＣＵ２が未起動状態（電源オフ）でない場合、すなわち、車載装置４の制御部４１は、既に車載ＥＣＵ２に接続された第１リレー２０を閉（オン）にしている場合、第１リレー２０を閉（オン）にした後、当該車載ＥＣＵ２から最初のＣＡＮメッセージ等の通信データを取得したか否かに基づき、車載ＥＣＵ２は起動中状態であるか否かを判定する。
　車載装置４の制御部４１は、当該最初の通信データを取得していない場合、車載ＥＣＵ２は、例えば初期化処理を行っている際中であり、起動中状態であると判定する。車載装置４の制御部４１は、当該最初の通信データを取得した場合、車載ＥＣＵ２は、起動中状態でない、すなわち起動済み状態であると判定する。
　車載ＥＣＵ２が起動中状態である場合（Ｓ１０２３：ＹＥＳ）、又はＳ１０２２の処理の実行後、車載装置４の制御部４１は、冗長制御の許可があるか否かを判定する（Ｓ１０２４）。車載ＥＣＵ２が起動中状態である場合、又は車載ＥＣＵ２を起動した直後、車載装置４の制御部４１は、車載ＥＣＵ２から冗長制御の許可（許可通知）を取得しているか否かを判定する。
　車載ＥＣＵ２は、例えば、統合ＥＣＵ１からＩＧオフ信号等、車両Ｃが停止（Ｓｌｅｅｐ）状態になる旨を示すデータを取得した場合、又は定期的に、冗長制御に関する許可通知を車載装置４に出力する。車載装置４の制御部４１は、車載ＥＣＵ２から送信された許可通知を取得し、当該取得した許可通知を車載装置４の記憶部４２に記憶する。従って、車載装置４の制御部４１は、車載装置４の記憶部４２を参照することにより、車載ＥＣＵ２から冗長制御の許可（許可通知）を事前に取得しているか否かを判定する。
　冗長制御の許可がある場合（Ｓ１０２４：ＹＥＳ）、又は車載ＥＣＵ２が故障状態である場合（Ｓ１０２：ＹＥＳ）、車載装置４の制御部４１は、車載ＥＣＵ２が車載負荷３に対し行う制御を代替する（Ｓ１０３）。冗長制御の許可（許可通知を取得）がある場合、又は車載ＥＣＵ２が故障状態である場合、車載装置４の制御部４１は、駆動要求の対象となる車載負荷３の第２リレー３０を開閉制御することにより、車載ＥＣＵ２が車載負荷３に対し行う制御を代替する。
　車載装置４の制御部４１は、車載ＥＣＵ２が車載負荷３に対し行う制御を代替した回数を記憶する（Ｓ１０４）。車載装置４の制御部４１は、車載負荷３に対する車載ＥＣの制御を代替した際、例えば、代替した回数（代替制御回数）、又は代替した日時等を示す時点情報（タイムスタンプ）による履歴情報（代替実績情報）を車載装置４の記憶部４２に記憶する。車載装置４の制御部４１は、代替した回数（代替制御回数）に関する情報を、車載ＥＣＵ２に出力（送信）する。
　冗長制御の許可がない場合（Ｓ１０２４：ＮＯ）、車載ＥＣＵ２が起動中状態でない場合（Ｓ１０２３：ＮＯ）すなわち起動済状態である場合、又はＳ１０４の処理の実行後、車載装置４の制御部４１は、本フローにおける一連の処理を終了する。又は、車載装置４の制御部４１は、冗長制御の許可がない場合（Ｓ１０２４：ＮＯ）、車載ＥＣＵ２が起動中状態でない場合（Ｓ１０２３：ＮＯ）、又はＳ１０４の処理の実行後、再度Ｓ１０１からの処理を実行すべく、ループ処理を行うものであってもよい。
　図５は、車載ＥＣＵ２の制御部２１の処理（車載負荷３の故障検出）を例示するフローチャートである。車載ＥＣＵ２（個別ＥＣＵ）は、例えば車両Ｃが起動状態（ＩＧスイッチがオン）において、定常的に以下の処理を行う。
　車載ＥＣＵ２の制御部２１は、車載負荷３に対する異常を検出したか否かを判定する（Ｔ１０１）。車載ＥＣＵ２の制御部２１は、例えば、起動時に行う初期化処理を終了した後、駆動対象となる車載負荷３に接続される第２リレー３０に対しテスト用の信号を出力することにより、当該車載負荷３における異常の検出を試みる。車載ＥＣＵ２の制御部２１は、当該テスト用の信号の出力結果に基づき、車載負荷３における異常の有無を検出するものであってもよい。
　車載負荷３に対する異常を検出しなかった場合（Ｔ１０１：ＮＯ）、再度、Ｔ１０１の処理を実行すべく、ループ処理を行う。車載負荷３に対する異常を検出しなかった場合、車載ＥＣＵ２の制御部２１は、車載負荷３は正常であると判定し、当該判定結果を車載ＥＣＵ２の記憶部２２に記憶するものであってもよい。
　車載負荷３に対する異常を検出した場合（Ｔ１０１：ＹＥＳ）、車載ＥＣＵ２の制御部２１は、異常を検出した回数（異常検知回数）を記憶する（Ｔ１０２）。車載負荷３に対する異常を検出した場合、車載ＥＣＵ２の制御部２１は、現時点までの、又は所定期間内において異常を検出した回数（異常検知回数）を車載ＥＣＵ２の記憶部２２に記憶する。
　車載ＥＣＵ２の制御部２１は、車載装置４から代替制御回数を取得する（Ｔ１０３）。車載ＥＣＵ２の制御部２１は、対象となる車載負荷３、すなわち異常検知回数に対応する車載負荷３に対し車載装置４が代替した回数（代替制御回数）に関する情報を、車載装置４から取得する。車載ＥＣＵ２の制御部２１は、取得した代替制御回数を車載ＥＣＵ２の記憶部２２に記憶する。
　車載ＥＣＵ２の制御部２１は、異常検知回数と代替制御回数とが一致するか否かを判定する（Ｔ１０４）。一致すると判定した場合（Ｔ１０４：ＹＥＳ）、車載ＥＣＵ２の制御部２１は、車載負荷３は正常であると判定する（Ｔ１０５）。一致しないと判定した場合（Ｔ１０４：ＮＯ）、車載ＥＣＵ２の制御部２１は、車載負荷３は異常（故障確定）であると判定する（Ｔ１０４１）。本実施形態において、異常検知回数と代替制御回数とが一致するか否かの判定結果に基づき故障確定を行うとしたが、これに限定されず、車載ＥＣＵ２の制御部２１は、車載装置４と通信し、車載装置４から代替制御（制御肩代わり）の有無の通知を受け取ることにより故障確定を行うものであってもよい。
（実施形態２）
　図６は、実施形態２（統合ＥＣＵ１）に係る車載システムＳのシステム構成を例示する模式図である。本実施形態においては、電源管理ＥＣＵ及び制御代替ＥＣＵとして機能する車載装置４は、統合ＥＣＵ１に含まれる。車載装置４が統合ＥＣＵ１に含まれるにあたり、当該車載装置４は、統合ＥＣＵ１の一機能部として構成されるものであってもよい。車載装置４を含む統合ＥＣＵ１からは、第１リレー２０及び第２リレー３０それぞれに対し、制御線７２が延設される。車載装置４を含む統合ＥＣＵ１は、実施形態１と同様に、第１リレー２０を開閉制御することにより車載ＥＣＵ２に対する給電制御を行い、第２リレー３０を開閉制御することにより当該車載ＥＣＵ２が車載負荷３に対し行う制御を代替する。
　統合ＥＣＵ１は、照合ＥＣＵ５との通信に基づき、車載負荷３の駆動要求を生成すると共に、車載ＥＣＵ２が故障中であるかを示す故障情報を集約する。その上で、統合ＥＣＵ１は、車載装置４が行う電源管理及び代替制御に関する機能についても担うことにより、各車載ＥＣＵ２の状態に応じた代理処理を効率的に行うことができる。
　今回開示された実施形態は全ての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、請求の範囲によって示され、請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。
　Ｃ　車両　
　Ｓ　車載システム（電源管理システム）
　１　統合ＥＣＵ
　２　車載ＥＣＵ（個別ＥＣＵ、制御ＥＣＵ）
　２０　第１リレー
　２１　制御部
　２２　記憶部
　２３　入出力Ｉ／Ｆ
　２４　車内通信部
　３　車載負荷
　３０　第２リレー
　４　車載装置（電源管理ＥＣＵ、制御代替ＥＣＵ）
　４１　制御部
　４２　記憶部
　４３　入出力Ｉ／Ｆ
　４４　車内通信部
　５　照合ＥＣＵ
　５１　センサ
　６　車載ネットワーク
　６１　通信線
　７　電源装置
　７１　電線
　７２　制御線
 

Claims (12)

  1. 　車両に搭載される車載負荷の制御を行う車載ＥＣＵと通信可能に接続され、前記車両に搭載される電源装置から給電される車載装置であって、
    　前記車載ＥＣＵへの給電制御を行う制御部を備え、
    　前記制御部は、
    　前記車載ＥＣＵの状態に応じて、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替する
    　車載装置。
  2. 　前記制御部は、
    　前記車載負荷に対する駆動要求を取得し、
    　取得した駆動要求に応じて、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替する
    　請求項１に記載の車載装置。
  3. 　前記電源装置と前記車載ＥＣＵとは第１リレーを介して接続され、
    　前記電源装置と前記車載負荷とは、前記車載ＥＣＵにて開閉制御される第２リレーを介して接続され、
    　前記制御部は、
    　前記第１リレーの開閉制御を行うことにより、前記車載ＥＣＵへの給電制御を行い、
    　前記第２リレーの開閉制御を行うことにより、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替する
    　請求項１又は請求項２に記載の車載装置。
  4. 　前記第２リレーには、前記車載ＥＣＵ及び前記車載装置それぞれから延設されることにより冗長化された制御線が接続される
    　請求項３に記載の車載装置。
  5. 　前記車載ＥＣＵの状態は、未起動状態、起動中状態、及び起動済状態を含み、
    　前記制御部は、前記車載ＥＣＵの状態が前記未起動状態又は前記起動中状態の際、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替する
    　請求項１から請求項４のいずれか１項に記載の車載装置。
  6. 　前記制御部は、
    　前記車載ＥＣＵから前記車載負荷に対する制御の代替を許可する許可通知を取得した場合、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替する
    　請求項１から請求項５のいずれか１項に記載の車載装置。
  7. 　前記制御部は、
    　前記車載ＥＣＵが前記車載負荷に対し行う制御を代替した際、代替した旨を示す情報を前記車載ＥＣＵに出力する
    　請求項１から請求項６のいずれか１項に記載の車載装置。
  8. 　前記車載ＥＣＵの状態は、故障状態を含み、
    　前記制御部は、前記車載ＥＣＵの状態が前記故障状態の際、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替する
    　請求項１から請求項７のいずれか１項に記載の車載装置。
  9. 　前記車両には、前記車両における全体制御を行う統合ＥＣＵが搭載されており、
    　前記統合ＥＣＵの機能部として構成される
    　請求項１から請求項８のいずれか１項に記載の車載装置。
  10. 　前記電源装置からの給電は、常時行われる
    　請求項１から請求項９のいずれか１項に記載の車載装置。
  11. 　車両に搭載される車載負荷の制御を行う車載ＥＣＵと通信可能に接続され、前記車両に搭載される電源装置から給電されるコンピュータに、
    　前記車載ＥＣＵへの給電制御に関する処理を実行し、
    　前記車載ＥＣＵの状態に応じて、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替する
    　処理を実行させる情報処理方法。
  12. 　車両に搭載される車載負荷の制御を行う車載ＥＣＵと通信可能に接続され、前記車両に搭載される電源装置から給電されるコンピュータに、
    　前記車載ＥＣＵへの給電制御に関する処理を実行し、
    　前記車載ＥＣＵの状態に応じて、前記車載ＥＣＵが前記車載負荷に対し行う制御を代替する
    　処理を実行させるプログラム。
     
PCT/JP2023/009484 2022-03-24 2023-03-13 車載装置、プログラム、及び情報処理方法 WO2023182021A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2022-048726 2022-03-24
JP2022048726A JP2023142056A (ja) 2022-03-24 2022-03-24 車載装置、プログラム、及び情報処理方法

Publications (1)

Publication Number Publication Date
WO2023182021A1 true WO2023182021A1 (ja) 2023-09-28

Family

ID=88101394

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2023/009484 WO2023182021A1 (ja) 2022-03-24 2023-03-13 車載装置、プログラム、及び情報処理方法

Country Status (2)

Country Link
JP (1) JP2023142056A (ja)
WO (1) WO2023182021A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009132366A (ja) * 2007-11-05 2009-06-18 Autonetworks Technologies Ltd 車両用スイッチ制御装置
JP2010137656A (ja) * 2008-12-10 2010-06-24 Toyota Motor Corp 車両用電子制御システム
JP2012158272A (ja) * 2011-02-02 2012-08-23 Kanto Auto Works Ltd 車両用電子制御システム
JP2018072920A (ja) * 2016-10-25 2018-05-10 株式会社オートネットワーク技術研究所 車載機器判定システム及び情報収集装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009132366A (ja) * 2007-11-05 2009-06-18 Autonetworks Technologies Ltd 車両用スイッチ制御装置
JP2010137656A (ja) * 2008-12-10 2010-06-24 Toyota Motor Corp 車両用電子制御システム
JP2012158272A (ja) * 2011-02-02 2012-08-23 Kanto Auto Works Ltd 車両用電子制御システム
JP2018072920A (ja) * 2016-10-25 2018-05-10 株式会社オートネットワーク技術研究所 車載機器判定システム及び情報収集装置

Also Published As

Publication number Publication date
JP2023142056A (ja) 2023-10-05

Similar Documents

Publication Publication Date Title
JP4525762B2 (ja) 車両用電子制御装置
US10850685B2 (en) Onboard relay device, information processing method, storage medium storing program, relay device, and information processing system
EP2757742B1 (en) On-vehicle gateway apparatus and communication system for vehicle
KR101393539B1 (ko) 자동차 통합 네트워크 시스템
JP6417249B2 (ja) 車両用制御装置及び車両用制御システム
US10988091B2 (en) Erase-replace OTA smart power strategy
US6847864B2 (en) Vehicular communications system initializing abnormal control unit
CN112703706B (zh) 中继装置系统及中继装置
US20190379218A1 (en) System and method for avoiding depleted battery in a parked vehicle
CN107428297B (zh) 车辆用控制装置及其控制方法
KR20200056838A (ko) 차량의 통신 시스템 및 그 제어방법
WO2023182021A1 (ja) 車載装置、プログラム、及び情報処理方法
JP2010064722A (ja) 車両用動作監視システム
KR101618118B1 (ko) 외부장치를 이용한 차체제어모듈 제어 시스템 및 그 방법
US20150377204A1 (en) Vehicular electronic control unit
WO2021193154A1 (ja) 車載ｅｃｕ、プログラム及び情報処理方法
WO2022102385A1 (ja) 車載ｅｃｕ、プログラム及び情報処理方法
WO2022264762A1 (ja) 車載装置、情報処理方法及びプログラム
KR20170105348A (ko) 차량의 차체 제어 모듈 제어 방법 및 장치, 그를 이용한 차량 제어 시스템
JP7279591B2 (ja) 車両用ネットワークシステム
WO2021192961A1 (ja) 車載中継装置、情報処理方法及びプログラム
JP6120171B2 (ja) 電子制御装置
WO2024048328A1 (ja) 車載装置、プログラム及び情報処理方法
WO2024090224A1 (ja) 更新管理装置、車載システム、制御方法及びコンピュータプログラム
WO2024070572A1 (ja) 車載装置、情報処理方法及び車載システム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 23772751

Country of ref document: EP

Kind code of ref document: A1