制御システム
【課題】一部の制御装置にて障害が発生した場合でも、代替処理を実行してシステム全体の機能を維持してシステム全体の信頼性を向上させることができる制御システムを提供する。
【解決手段】データを入出力する各種センサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…などの各機器は、ＩＯＵ５ａ，５ｂ，５ｃに接続されてＩＯＵ５ａ，５ｂ，５ｃからＣＡＮバス７にてデータを送受信する構成とし、ＣＡＮバス７に接続されて相互にデータを送受信して連携して処理を実行するＥＣＵ３ａ，３ｂ，３ｃのいずれかにて障害が発生した場合、ＧＷ４にて障害発生を検知し、各ＥＣＵ３ａ，３ｂ，３ｃから予め送信されて記憶部４１に記憶してある代替処理用制御プログラム４４ａ，４４ｂ，４４ｃを実行して代替処理を実行する。
【解決手段】データを入出力する各種センサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…などの各機器は、ＩＯＵ５ａ，５ｂ，５ｃに接続されてＩＯＵ５ａ，５ｂ，５ｃからＣＡＮバス７にてデータを送受信する構成とし、ＣＡＮバス７に接続されて相互にデータを送受信して連携して処理を実行するＥＣＵ３ａ，３ｂ，３ｃのいずれかにて障害が発生した場合、ＧＷ４にて障害発生を検知し、各ＥＣＵ３ａ，３ｂ，３ｃから予め送信されて記憶部４１に記憶してある代替処理用制御プログラム４４ａ，４４ｂ，４４ｃを実行して代替処理を実行する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、多数の機器を制御して、全体として多様な機能を実現させる制御システムのフェールセーフ機能に関し、一部の制御装置にて障害が発生した場合でも、代替処理を実行してシステム全体の機能を維持してシステム全体の信頼性をより向上させることができる制御システムに関する。
【背景技術】
【０００２】
近年では、多数の機器を制御して、全体として多様な機能を実現させる制御システムが普及している。機器には夫々制御装置が接続され、更に各制御装置に通信手段を設けて相互にデータを交換させ、個々の制御装置が独立した制御を行なうのではなく、他の制御装置などを介して得られるデータに基づいて自身に対応する制御対象の機器を制御するなど、連携して制御を実行する制御システムが各分野で利用されている。
【０００３】
特に車両の分野では、各種機能に対応するアクチュエータ又はセンサなどの機器が多数車内に配され、各機器を制御する制御装置としてＥＣＵ（Electronic Control Unit）が各々に対応して配されて動作している。車両の制御は機械的制御から電気的制御へ移行しつつあり、更に、制御システムによって実現される機能の特化、実現できる機能の増加及び多様化が進んでいる。これにより、車両に搭載されるアクチュエータ、センサなどの機器が増加し、制御装置の処理は分散される傾向にある。
【０００４】
このように多数の制御装置が連携して各種機能を実現する場合、一部の制御装置にて障害が発生したことにより、システム全体として機能停止状態となる虞がある。特に車両の分野では、システム全体の機能が停止することは必ず回避し、少なくともフェールセーフにてシステム全体の機能を維持し、安全性を保持しながら復旧することが望ましい。
【０００５】
システムの障害発生回避及び高信頼性に関しては、例えば特許文献１に、分散した複数のモジュールのプロセッサによるトランザクション処理に関し、いずれかのモジュールが障害となった場合、他のモジュールにて障害が発生したモジュールのトランザクション処理を代替して再開する発明が開示されている。
【０００６】
特許文献２では、車両制御システムのフェールセーフ機能に関し、自ノードの状態を判定して判定結果を送受信し、障害が発生したノードを特定し、他のノードにてバックアップを行うことを可能とし、各ノードの状態を判定する特定のマスタノードなどを不要とすることができる発明が開示されている。なお、特許文献３では、障害の検出及び復帰の検知については開示されているが、障害発生中のバックアップとしては、主に通信に関してシステムの多重化にて実現されている。
【０００７】
特許文献３では、複数の論理構成要素にて構成される論理回路にて、一部の論理処理部にて障害が発生した場合に、正常な論理構成要素を再構成して予備論理処理部として動作させるか、又は予備の論理処理部を予め用意しておいて予備論理処理部として動作させて自己復旧を可能とする発明が開示されている。これに対して特許文献４では、特許文献３に開示されている発明を車両制御システムに適用するために、論理処理部と全く同一の処理を行わせることなく、最低限の一部の処理を代替して実現できるように構成して、装置の小型化且つ低コスト化を図る発明が開示されている。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開平８−２７８９０９号公報
【特許文献２】特開２００７−１２６１２７号公報
【特許文献３】特開平８−４４５８１号公報
【特許文献４】特開２０００−０８１９９１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
従来の制御システムでは、アクチュエータ又はセンサなどの機器は、アクチュエータを制御する制御装置、センサから取得されるデータを使用して演算処理、制御処理を実行する制御装置に直接的に接続され、他の制御装置へも当該制御装置からネットワークを介してデータが送信される構成とした場合が多い。
【００１０】
この場合、一部の制御装置に障害が発生したとしても物理的な接続を再構成するには、予め配線を二重化しておくなどの物理的な冗長構成が必要であり、配線が多くなるなどの問題となる。特に車両における制御システムでは、高信頼性が望まれると共に、省線化、軽量化も重要な課題であるから、物理的な冗長構成とせずに信頼性が高いシステムが構築されることが望ましい。
【００１１】
本発明は斯かる事情に鑑みてなされたものであり、一部の制御装置にて障害が発生した場合でも、代替処理を実行してシステム全体の機能を維持してシステム全体の信頼性を向上させることができる制御システムを提供することを目的とする。
【課題を解決するための手段】
【００１２】
第１発明に係る制御システムは、データを入出力する複数の機器と、該複数の機器が接続されており、各機器が入出力するデータを送受信する一又は複数の入出力装置と、該入出力装置が接続される通信線と、該通信線に接続されており前記入出力装置から送信される各機器からのデータを使用するか、又は他の装置から送信されるデータを使用して前記入出力装置を介してデータを機器へ与えて機器の動作を制御する制御処理を実行する複数の制御装置とを含む制御システムであって、前記複数の制御装置の内、いずれかの制御装置にて制御処理を実行できない障害発生を検知する障害検知手段と、該障害検知手段が障害発生を検知した場合、障害が発生した制御装置での制御処理を代替実行する代替処理実行手段とを備えることを特徴とする。
【００１３】
第２発明に係る制御システムは、データを入出力する複数の機器と、該複数の機器が接続されており、各機器から入力されるデータを送受信する一又は複数の入出力装置と、該一又は複数の入出力装置が接続される第１の通信線と、前記複数の機器のいずれかからのデータを受信して使用するか、又は他の装置から送信されるデータを使用して前記機器の動作を制御するためのデータを送信する複数の制御装置と、該複数の制御装置が接続される第２の通信線と、第１及び第２の通信線との間でのデータの送受信を中継する中継装置とを含む制御システムであって、前記複数の制御装置の内、いずれかの制御装置にて制御処理を実行できない障害発生を検知する障害検知手段と、該障害検知手段が障害発生を検知した場合、障害が発生した制御装置での制御処理を代替実行する代替処理実行手段とを備えることを特徴とする。
【００１４】
本発明では、データを入出力する複数の機器からのデータは、各機器が接続される入出力装置から通信線へ送信され、各機器を制御するために送信されるデータは入出力装置が通信線から受信して各機器へ与える。つまり、従来は機器を制御するか、又は機器からのデータを使用する制御装置に直接接続されていた機器は、制御装置から分離され入出力装置を介して通信線へ接続される。これにより、機器が正常であっても当該機器を制御する制御装置にて障害発生した場合に、機器からのデータがシステムから断絶される事態を回避できる。しかも、入出力装置にて各機器からのデータを送受信することにより、各機器から任意のタイミングに入出力されるデータの制御装置との間の送受信を入出力装置にて適切なタイミング、適切な精度にて送受信することが可能となる。
複数の機器からのシステムへのデータの送受信と、システムに含まれる制御装置の通信線への接続とを分離することにより、いずれかの制御装置にて障害が発生した場合に、他の手段にて機器とデータを送受信して制御処理を代替可能である。本発明では、システムに含まれる複数の制御装置のいずれかにおける障害発生を検知し、障害発生が検知された場合に代替処理実行手段にて、制御処理を代替実行する。
これにより、本発明では、一部の制御装置にて障害が発生した場合であっても、当該制御装置が関係する機器からのデータを使用できなくなる事態も回避でき、制御装置の代替処理を実行することでシステム全体の機能を維持することが可能である。
【００１５】
本発明では更に、複数の機器が接続される入出力装置が接続される第１の通信線と、各機器を制御するか又は機器からのデータを使用する複数の制御装置が接続される第２の通信線とを分離してもよい。
制御装置の内のいずれかにて障害が発生した場合に、代替処理実行手段にて代替処理が実行され、障害が発生した場合に他の制御装置にて代替実行してシステム全体の機能を維持することが可能である。また、入出力装置が接続される通信線と、制御装置が接続される通信線とを分離して中継装置にて中継する構成とすることにより、通信線間を結ぶ中継装置にて第１及び第２の通信線でのデータの送受信タイミングを更に効率よく調整することが可能となると共に、入出力装置は、代替実行処理を行う手段へのデータの送受信先を認識することなく、中継装置に送受信先の特定を任せることが可能となり、各装置の構成の簡易化、処理負荷の軽減化を図ることも可能である。
【００１６】
第３発明に係る制御システムは、第１又は第２発明における前記複数の制御装置は、自身に障害が発生した場合の代替処理を可能とする代替処理データを前記代替処理実行手段へ予め送信する手段を備え、前記代替処理実行手段は、各制御装置から送信された代替処理データを記録手段に記録する手段を備え、前記障害検知手段が障害発生を検知した場合、障害が発生した制御装置を特定し、特定された制御装置から送信された代替処理データを前記記録手段から読み出して代替処理を実行するようにしてあることを特徴とする。
【００１７】
本発明では、各制御装置が自身に障害が発生した場合の代替処理を可能とする代替処理データ、例えばアプリケーションプログラムの複製、処理を簡易化したプログラムなどを自身の初期化処理時、起動時などに代替処理実行手段へ送信しておき、代替処理実行手段にて各制御装置からの代替処理データを記録しておく。そして、障害が発生してこれを検知した場合に、代替処理実行手段は障害が発生した制御装置から送信されて記録しておいたデータを実行する。システム設計の段階から、代替処理実行手段にて予め各制御装置の代替処理を可能とする代替処理データを登録しておく構成でもよいが、動的に集める構成により、多様なシステム設計に対応させることができる。
なお、各制御装置は、自身にて障害の発生が予見できる場合、当該障害発生を予見した時点で代替処理実行手段へ代替処理データを送信する構成としてもよい。この場合、代替処理実行手段にて記録手段の資源を節約することも可能である。
【００１８】
第４発明に係る制御システムは、第１乃至第３の発明のいずれかにおいて、各機器からのデータ及び機器へ与えられるデータには、データを夫々識別する識別情報が付与されて前記通信線にて送受信されるようにしてあり、前記代替処理実行手段は、制御処理によりデータを通信線へ送信する場合、元の識別情報とは異なる代替処理によるデータであることを示す識別情報を付与して通信線へ送信するようにしてあることを特徴とする。
【００１９】
本発明では、各機器が入出力装置を介して各制御装置と送受信しあうデータには、データを各別に識別するための識別情報が付与されて送受信されるようにしてあり、障害が発生して代替処理実行手段によって代替処理が行なわれることでデータが送信される場合には、当該データには代替処理によって送信されるデータであることを示す識別情報が付与される。これにより、当該データを使用する他の制御装置、各機器、又は入出力装置は、受信したまたは与えられたデータに付与されている識別情報により、代替処理が実行中であることを各自で認識することが可能である。代替処理によって送信されるデータなのか否かを識別できるから、障害が発生していた制御装置が復旧してデータの送信を再開した場合に、当該制御装置が復旧したことを各自が認識することが可能となり、システム全体として復旧への対応を連携して実行することができる。
【００２０】
第５発明に係る制御システムは、第１乃至第４発明のいずれかにおける前記複数の制御装置は夫々、自身の動作状況を示す情報を定期的に通信線へ送信するようにしてあり、前記障害検知手段は、各制御装置から送信される動作状況を示す情報に基づき、障害発生を検知するようにしてあることを特徴とする。
【００２１】
本発明では、各制御装置から定期的に通信線へ送信される各自の動作状況を示す情報に基づき、障害発生が検知される。定期的に送信するようにしてあるから、情報が示す動作状況の内容のみならず、当該情報を送信しない制御装置で障害が発生していると検知することも可能である。同一の通信線に接続されている装置間で各制御装置の動作状況を共有することができ、障害が発生したことの判断を複数の装置にて確実にすることができる。
【００２２】
第６発明に係る制御システムは、第１乃至第４発明のいずれかにおける前記障害検知手段は、各制御装置へ動作状況の問い合わせを送信する手段と、問い合わせへの応答を受信する手段とを備え、各制御装置からの応答に基づき、障害発生を検知するようにしてあることを特徴とする。
【００２３】
本発明では、障害検知手段が各制御装置へ問い合わせを行ない、問い合わせへの応答により各制御装置の動作状況を把握する。応答の内容から判断してもよいし、応答がない制御装置にて障害が発生していると検知することも可能である。これにより、問い合わせへの応答にて適宜必要な時点で動作状況を把握するから、各制御装置における処理負荷、及び通信線における通信負荷をより軽減することを可能とする。
【００２４】
第７発明に係る制御システムは、第５又は第６発明において、前記障害検知手段が障害発生を検知した場合、各制御装置の動作状況の比較に基づき、ハードウェア資源の使用率が他の制御装置よりも低い制御装置を特定する手段と、該手段が特定した制御装置を前記代替処理実行手段として動作させる手段とを備えることを特徴とする。
【００２５】
本発明では、各制御装置の動作状況に基づき、ハードウェア資源の使用率が他よりも低く、動作負荷が軽いか又はリソースに余裕が有る制御装置に代替処理を実行させる。これにより、代替処理を他の装置に実行させてシステム全体の信頼性を向上できると共に、システム全体の処理負荷を均等にして効率化することができる。
【００２６】
第８発明に係る制御システムは、第１乃至第７発明のいずれかにおける前記複数の制御装置は夫々、他の制御装置における障害の発生を検知する手段と、該手段により障害の発生を検知した場合、障害発生通知を通信線へ出力する手段とを備え、前記障害検知手段は、障害の発生を検知した場合、複数の制御装置の内の少なくとも１つの制御装置から障害発生通知を受信したときに、障害が発生したことを確定するようにしてあることを特徴とする。
【００２７】
本発明では、各制御装置は、連携処理のために定期的に交換するデータなどの送受信により、又は上述の発明で相互に送信する動作状況を示す情報に基づき、相互に障害の発生を検知する手段を有して、他の制御装置における障害の発生を検知した場合に更に他の制御装置へ障害発生を通知する。障害検知手段は、各制御装置の動作状況を収集するなどして自身にて障害発生を検知した場合、他の制御装置からも障害発生通知を受信した時に初めて、障害が発生したことを確定する。これにより、誤って障害発生を検知する可能性を低減し、より信頼性を向上させることが可能となる。
【００２８】
第９発明に係る制御システムは、第１乃至第８発明のいずれかにおいて、障害が発生した制御装置による制御処理の復旧を検知する復旧検知手段を更に備え、該復旧検知手段が復旧を検知した場合、前記代替処理実行手段は代替処理を停止するようにしてあることを特徴とする。
【００２９】
本発明では、一部の制御装置に障害が発生したことを検知して代替処理を実行している場合に、当該制御装置が自己復旧機能などにより復旧したときには、これを検知して元のようにシステムが復旧される。これにより、システムの完全な復旧を可能とし、信頼性を向上させることができる。
【００３０】
第１０発明に係る制御システムは、第９発明における前記複数の制御装置は夫々、他の制御装置にて発生した障害の復旧を検知する手段と、該手段により復旧を検知した場合、障害復旧通知を通信線へ出力する手段とを備え、前記復旧検知手段は、障害の復旧を検知した場合、複数の制御装置の内の少なくとも１つの制御装置から障害復旧通知を受信したとき、障害が復旧したことを確定するようにしてあることを特徴とする。
【００３１】
本発明では、復旧検知の際には、各制御装置は、連携処理のために定期的に交換するデータなどの送受信により、又は上述の発明で相互に送信する動作状況を示す情報に基づき、相互に復旧を検知する手段を有して、他の制御装置における障害の復旧を検知した場合に更に他の制御装置へ復旧を通知する。そして復旧検知手段では、自身の検知のみならず、他の制御装置でも復旧が検知されたときに初めて障害が復旧したことを確定する。これにより、誤って障害復旧を検知する可能性を低減し、より信頼性を向上させることが可能となる。
【００３２】
第１１発明に係る制御システムは、第２発明において、前記代替処理実行手段は、前記中継装置が備えることを特徴とする。
【００３３】
第１２発明に係る制御システムは、第２発明において、前記障害検知手段は、前記中継装置が備えることを特徴とする。
【００３４】
本発明では、制御システムにおいて一部の制御装置にて障害が発生した場合に当該制御装置の制御処理を代替して実行する手段、又はいずれかの制御装置における障害発生を検知する障害検知手段若しくは復旧検知手段は、夫々専用の装置が通信線に接続されて実現されても、特定の制御装置で実現されても、機器が直接的に接続される入出力装置で実現されても、あるいは異なる通信線間におけるデータの送受信を中継する中継装置で実現されてもよい。
【００３５】
ただし、中継装置はデータの中継の要否を判断して中継する所謂ゲートウェイ機能により、全データを送受信して各データを必要とする各制御装置、又はデータを必要とする各機器が接続されている入出力装置へ必要に応じて送信する機能を有することになるから、中継装置にて実現することにより、他の制御装置などで実現するよりも、制御装置の負荷を軽減することができるなど効率化を図ることができる。
また、中継装置は、各制御装置、及び入出力装置がデータを必要とするタイミングで、必要とするデータのみを送信するために、接続されている全ての通信線に送信されるデータを一旦データベース化して記録してから、データベースから各データを送信する構成が想定できる。この場合、多くのデータを記録していることから、より柔軟な条件で障害の発生を検知でき、各制御装置の動作状況を把握できる。また、記録のためのリソースを他の装置よりも備えているから代替処理データを多く記録することもでき、最低限の構成にて実現するためには、中継装置にて実現されることが望ましい。
【発明の効果】
【００３６】
本発明による場合、アクチュエータ、センサなどの各機器と、センサから出力されるデータに基づいてアクチュエータに制御データを与えて制御する制御装置とを含む制御システムで、各機器からのデータのシステムへの入力を、各制御装置を経由せずに入出力装置を介する構成として一部の制御装置にて障害が発生したとしても、各機器のシステムからの離脱を回避することができ、更に当該データを使用する制御処理を他の特定の制御装置、中継装置、又は入出力装置などの装置にて代替して実行し、システム全体の機能を維持することができる。これにより、システム全体の信頼性を向上させることができる。
【００３７】
本発明の制御システムを、車両の運転制御に関わる車載制御システムに適用することで、通信し合う連携処理により、車載制御システムにおいて、より高い安全性、信頼性を実現することができる。
【図面の簡単な説明】
【００３８】
【図１】実施の形態１における車載制御システムの構成を示す構成図である。
【図２】実施の形態１の車載制御システムを構成するＥＣＵ及びＧＷの内部構成、並びに各装置の接続を簡略化して示すブロック図である。
【図３】実施の形態１のＥＣＵ及びＧＷによる代替処理データの送受信処理の一例を示すフローチャートである。
【図４】実施の形態１のＧＷの制御部により実行される処理手順の一例を示すフローチャートである。
【図５】実施の形態１における車載制御システムにて送受信されるデータに付与されるＩＤの内容例を示す説明図である。
【図６】実施の形態１におけるＧＷによる障害検知処理の手順の一例を示すフローチャートである。
【図７】実施の形態１におけるＧＷによる復旧検知処理の手順の一例を示すフローチャートである。
【図８】実施の形態２におけるＧＷの制御部及びいずれかのＥＣＵにより実行される処理手順の一例を示すフローチャートである。
【図９】実施の形態３の車載制御システムを構成するＥＣＵ、ＧＷ、ＩＯＵの接続構成を示すブロック図である。
【発明を実施するための形態】
【００３９】
以下、本発明をその実施の形態を示す図面に基づいて具体的に説明する。なお、以下に示す実施の形態では、車両に搭載されている多数のアクチュエータ、センサ及びＥＣＵを含む車載制御システムに、本発明に係る制御システムを適用した例を挙げて説明する。
【００４０】
（実施の形態１）
図１は、実施の形態１における車載制御システムの構成を示す構成図である。実施の形態１における車載制御システムは、車両の前部に搭載された温度センサ若しくはカメラ、タイヤの軸に取り付けられる車輪速センサ、又はヨーレートセンサなどの各種センサ１ａ，１ｂ，１ｃ，１ｄ，１ｅ，１ｆ，１ｇ，１ｈと、ブレーキ、ヘッドライト、ドアロックなどの各種アクチュエータ２ａ，２ｂ，２ｃ，２ｄと、各種センサ１ａ，１ｂ，…から得られるデータに基づいてアクチュエータ２ａ，２ｂ，…の動作を制御するＥＣＵ３ａ，３ｂ，３ｃと、異なるネットワーク間でのデータの送受信を中継するＧＷ（Gate Way）４とを含み、更に、各種センサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…の入出力をネットワークへ送受信するＩＯＵ（Input-Output Unit：入出力ユニット）５ａ，５ｂ，５ｃとを含む。
【００４１】
各種センサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…は夫々、信号線６，６，…によりＩＯＵ５ａ，５ｂ，…に接続されている。センサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…はＩＯＵ５ａ，５ｂ，５ｃに夫々、ジカ線を介した接続、又はＬＩＮ（Local Interconnect Network）により通信が可能な構成としてもよい。
【００４２】
ＥＣＵ３ａ，３ｂ，３ｃ、ＧＷ４、及びＩＯＵ５ａ，５ｂ，５ｃは夫々、ＣＡＮ（Controller Area Network）バス７に接続されており、相互に制御用のデータを送受信する。実施の形態１ではＥＣＵ３ａ，３ｂ，３ｃ、ＧＷ４、及びＩＯＵ５ａ，５ｂ，５ｃ間の接続形態はバス型、通信のプロトコルはＣＡＮとする。しかしながら、接続形態はスター型、ディジーチェーン型などでもよく、通信のプロトコルも他の通信プロトコルでよい。
【００４３】
ＩＯＵ５ａ，５ｂ，５ｃには夫々、車両内で近傍に配置されているセンサ１ａ，１ｂ，…とアクチュエータ２ａ，２ｂ，…とが接続されている。いずれのセンサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…を同一のＩＯＵ５ａ（又はＩＯＵ５ｂ，５ｃ）に接続するかは、物理的距離に基づいて設計されている。図１に示す例では、車両前部の左部分の３つのセンサ１ａ，１ｂ，１ｃと、１つのアクチュエータ２ａとが近くに配されているので１台のＩＯＵ５ａに接続されている。車両前部の右部分の３つのセンサ１ｄ，１ｅ，１ｆと、１つのアクチュエータ２ｂとが同一のＩＯＵ５ｂに接続され、車両後部の２つのセンサ１ｇ，１ｈと、２つのアクチュエータ２ｃ，２ｄとが同一のＩＯＵ５ｃに接続されている。センサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…が、それらからのデータを使用するか、又は制御するかなどの処理を行なうＥＣＵ３ａ，３ｂ，３ｃに各々直接的に接続される構成でなく、近傍に配置されるＩＯＵ５ａ，５ｂ，５ｃに接続されて、ＩＯＵ５ａ，５ｂ，５ｃによりＥＣＵとの間の入出力が集約される。
【００４４】
例えば、以下の説明では、ＥＣＵ３ａはセンサ１ａ，１ｄからのデータを使用し、アクチュエータ２ａ，２ｂの動作を制御すべく制御データを送信するが、センサ１ａ，１ｄ及びアクチュエータ２ａ，２ｂはいずれも、ＥＣＵ３ａに直接的に接続されるのではない。また、センサ１ａ，１ｄ、アクチュエータ２ａ，２ｂは夫々、別のＩＯＵ５ａ，５ｂに接続されている。また、ＥＣＵ３ｂは、車両の前後部に夫々配置されているセンサ１ｂ，１ｆ，１ｈからのデータを使用し、アクチュエータ２ｃ，２ｄの動作を制御すべく制御データを送信する。この場合も、センサ１ｂ，１ｆ，１ｈ、アクチュエータ２ｃ，２ｄはいずれもＥＣＵ３ｂに直接的に接続される構成ではない。
【００４５】
そして、後述するように実施の形態１では、ＥＣＵ３ａ，３ｂ，３ｃのいずれかにて障害が発生した場合、当該障害が発生したＥＣＵが使用していたデータを使用して障害が発生していたＥＣＵが実行していた処理を他の装置が肩代わりして実行する。実施の形態１では、肩代わり即ち代替処理はＧＷ４が行なう。
【００４６】
このような構成により、ＥＣＵ３ａ，３ｂ，３ｃのいずれかにて障害が発生した場合に、当該障害が発生したＥＣＵにて実行していた処理が続行されると共に、障害が発生したＥＣＵにて使用していたセンサ１ａ，１ｂ，…からの情報が使用できなくなる事態、又は制御されていたアクチュエータ２ａ，２ｂ，…が制御されなくなる事態を回避できる。
【００４７】
比較として例えば、センサ１ａ，１ｂ，…又はアクチュエータ２ａ，２ｂ，…が直接的にこれらを使用するＥＣＵ３ａ，３ｂ，３ｃに接続される構成とした場合、ＥＣＵ３ａ，３ｂ，３ｃのいずれかにて障害が発生したときには、当該ＥＣＵにて実行されていた処理が停止すると共に、当該ＥＣＵに接続されていたセンサ１ａ，１ｂ，…又はアクチュエータ２ａ，２ｂ，…を他のＥＣＵからも利用できなくなる。
【００４８】
また、ＩＯＵ５ａ，５ｂ，５ｃを用いる構成は、機能的には接続されることが望ましいが物理的に距離が遠いセンサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…とＥＣＵ３ａ，３ｂ，３ｃとの間を信号線６，６，…にて接続するよりも、信号線６，６，…の長さも比較的短くて済む点、省線化に効果的である。特に、図１中の車両前部の左部分及び右部分などは、センサ１ａ，１ｂ，…などの機器の数が多く、省線化の効果が顕著に現れる。
【００４９】
図２は、実施の形態１の車載制御システムを構成するＥＣＵ３ａ及びＧＷ４の内部構成、並びに各装置の接続を簡略化して示すブロック図である。センサ１ａ，１ｂ，…からのセンサが検知した測定値などの情報、及びアクチュエータ２ａ，２ｂ，…からの制御状態を示す情報は、各々から周期的に出力されるようにしてある。そして、ＩＯＵ５ａ，５ｂ，５ｃは、各センサ１ａ，１ｂ，…からデータ、又はアクチュエータ２ａ，２ｂ，…からのデータを周期的にＣＡＮバス７へ送信する。ＧＷ４も、他のＣＡＮバス７（図２では図示せず）を介して図示しない他のセンサから出力された測定値などのデータを周期的にＣＡＮバス７へ送信するようにしてある。これにより、各アクチュエータ２ａ，２ｂ，…を制御するＥＣＵ３ａ，３ｂでは、常時的に最新の内容のデータを取得することができる。
【００５０】
ＥＣＵ３ａは、制御部３０ａと、記憶部３１ａと、通信部３２ａとを備える。ＥＣＵ３ｂ，３ｃの内部構成はＥＣＵ３ａの内部構成と同様であるので、詳細な説明は省略する。
【００５１】
制御部３０ａには、ＣＰＵ（Central Processing Unit）を利用する。記憶部３１ａには、フラッシュメモリ、ＥＥＰＲＯＭ（Electrically Erasable and Programmable Read Only Memory）などの不揮発性メモリが用いられ、制御部３０ａが読み出して実行する制御プログラム３３ａが記憶されている。
【００５２】
通信部３２ａは、ＣＡＮバス７を介した通信を実現する。即ち実施の形態１では通信部３２ａはＣＡＮプロトコルに準じ、ＣＡＮコントローラ及びＣＡＮトランシーバを含む。制御部３０ａは、通信部３２ａによりＣＡＮバス７を介して他のＥＣＵ３ｂ，３ｃ、ＧＷ４、及びＩＯＵ５ａ，５ｂ，５ｃとのデータの送受信が可能である。ＣＡＮバス７を介して送受信されるデータには夫々、データの内容に対応する「ＣＡＮＩＤ」（以下単にＩＤという）が付与されており、各ＥＣＵ３ａ，３ｂ，３ｃは、自身宛のデータに付与されているＩＤを予め記憶部３１ａ，３１ｂ，３１ｃなどに記憶しており、自身宛以外のデータは受信しないようにしてもよい。
【００５３】
なお、ＥＣＵ３ａにおける制御部３０ａ、記憶部３１ａ及び通信部３２ａの一部（コントローラ）は、マイクロコンピュータとして構成されてもよい。
【００５４】
このように構成されるＥＣＵ３ａの制御部３０ａは、制御プログラム３３ａに基づき、センサ１ａ，１ｄからのデータがＩＯＵ５ａ，５ｂから送信された場合にこれを受信する処理、受信したデータを用いて演算を行なう処理、演算結果によって得られるデータを他のＥＣＵ３ｂ，３ｃで用いられるようにＣＡＮバス７へ送信する処理、又はアクチュエータ２ａ，２ｂの動作を制御すべく通信部３２ａによりＣＡＮバス７へ送信する処理など、車載制御システムを構成する制御装置としての処理を行なう。
【００５５】
ＥＣＵ３ａの制御部３０ａは、上述の処理に加え、自身に障害が発生した場合にＧＷ４における代替処理を可能とするための代替処理データをＧＷ４へ送信しておく。代替処理データは具体的には、制御プログラム３３ａの複製、制御プログラム３３ａの簡易版などである。特有の参照テーブルなどを含んでもよい。
【００５６】
また、制御部３０ａは、定期的に自身の動作状況を示す情報を、通信部３２ａを介してデータとしてＣＡＮバス７へ送信する。なお、ＧＷ４から送信される動作状況の問い合わせメッセージを受信した場合に、当該メッセージへの応答として自身の動作状況を示す情報を送信するようにしてもよい。
【００５７】
また、ＥＣＵ３ａは制御部３０ａの処理により、他のＥＣＵ３ｂ，３ｃにおける障害の発生を検知する。ＥＣＵ３ａ，３ｂ，３ｃは相互に障害の発生を検知した場合、当該障害が発生したＥＣＵを識別する情報を含めて障害発生通知をＣＡＮバス７へ送信する。障害発生通知がＣＡＮバス７へ送信されることにより、他のＥＣＵ３ｃ、ＧＷ４及びＩＯＵ５ａ，５ｂ，５ｃにて障害発生を認識することが可能である。
【００５８】
障害発生検知については、ＩＯＵ５ａ，５ｂ，５ｃでも検知してもよい。ＩＯＵ５ａ，５ｂ，５ｃは、自身に接続されているアクチュエータ２ａ，２ｂ，…を制御するためにＥＣＵ３ａ，３ｂ，３ｃのいずれかから周期的に送信されるべき制御データを受信できない場合、制御データの送信元のＥＣＵにて障害が発生していると検知し、障害発生を他へ通知する。なお、ＩＯＵ５ａ，５ｂ，５ｃは、センサ１ａ，１ｂ，…から定期的に出力されるべきデータが出力されない場合、当該センサにて障害が発生したと検知し、障害発生を通知してもよい。
【００５９】
また、ＥＣＵ３ａは、自己診断及び自己修復機能により、障害が発生したとしても復旧が可能な場合には復旧する。具体的には例えば、制御部３０ａは、一のプロセスを実行することによりＣＰＵの使用率が所定の比率以上となるなどの暴走状態となった場合、自身にリセット信号を入力させる。ＥＣＵ３ａの制御部３０ａは、復旧した後は上述のように制御プログラム３３ａに基づく車載制御システムを構成する制御装置としての処理を実行すると共に、動作状況を示す情報の定期的送信なども再開する。
【００６０】
復旧についても、ＥＣＵ３ａの制御部３０ａは、他のＥＣＵ３ｂ，３ｃにて障害が発生した後に復旧した場合にこれを検知する。制御部３０ａは、復旧を検知した場合、復旧したＥＣＵを識別する情報を含めて復旧通知をＣＡＮバス７へ送信する。復旧通知がＣＡＮバス７へ送信されることにより、他のＥＣＵ３ｃ、ＧＷ４及びＩＯＵ５ａ，５ｂ，５ｃにて復旧を認識することが可能である。
【００６１】
ＧＷ４は、制御部４０と、記憶部４１と、通信部４２とを備える。制御部４０には、ＣＰＵを利用する。記憶部４１には、フラッシュメモリ、ＥＥＰＲＯＭなどのメモリが用いられ、制御部４０が読み出してゲートウェイ機能を実現すべく実行する制御プログラム４３のみならず、ＥＣＵ３ａ，３ｂ，３ｃの肩代わりとして代替処理を実行するための代替処理用制御プログラム４４ａ，４４ｂ，４４ｃが記憶されている。代替処理を実行するためのデータは制御部４０が実行する制御プログラムに限らず、特有のテーブル、制御データなどでもよい。なお、代替処理用制御プログラム４４ａ，４４ｂ，４４ｃは、ＧＷ４が備えるＤＲＡＭ（Dynamic Random Access Memory）又はＳＲＡＭ（Static Random Access Memory）などを用いた一時記憶部に一時的に記憶される構成でもよい。
【００６２】
通信部４２は、ＣＡＮバス７を介したＣＡＮプロトコルに準じた通信を実現する。ＣＡＮコントローラ及びＣＡＮトランシーバを用いる。制御部４０は、通信部４２によりＣＡＮバスを介してＥＣＵ３ａ，３ｂ，３ｃ、及びＩＯＵ５ａ，５ｂ，５ｃとのデータの送受信が可能である。
【００６３】
ＧＷ４は、複数の異なるＣＡＮバス７に接続されており、ＣＡＮバス７，７間のデータの送受信を中継するため、記憶部４１に記憶されている制御プログラム４３に基づき、通信部４２にて受信できるデータ、即ちＣＡＮバス７に送信されたデータを全て監視する。ＧＷ４は、受信するデータに付与されているデータのＩＤと、中継の要否と、中継先との対応を記憶部４１に記憶しておき、各データの中継の要否を判断して必要な場合に中継する所謂ゲートウェイ機能を発揮する。
【００６４】
このように構成されるＧＷ４の制御部４０は、ゲートウェイ機能に加えて、各ＥＣＵ３ａ，３ｂ，３ｃから代替処理を実現するために送信される代替処理データを受信した場合、記憶部４１に記憶しておく。具体的には、例えば制御部４０は、各ＥＣＵ３ａ，３ｂ，３ｃから代替処理データとして送信される夫々の制御プログラムの複製を受信し、図２に示しているように、代替処理用制御プログラム４４ａ，４４ｂ，４４ｃとして夫々記憶しておく。制御部４０は、代替処理データの送信元のＥＣＵ３ａ，３ｂ，３ｃを識別する情報と、記憶部４１に記憶した各代替処理データとの対応を記憶しておく。ＥＣＵ３ａ，３ｂ，３ｃのいずれかにて障害が発生した場合、制御部４０は当該ＥＣＵを特定し、記憶部４１に記憶してある対応に基づき、代替処理データを読み出して代替処理を実行する。
【００６５】
ＧＷ４の制御部４０は更に、ゲートウェイ機能に加えて、ＥＣＵ３ａ，３ｂ，３ｃのいずれかにおける障害の発生を検知する。具体的には、ＧＷ４の制御部４０は、上述のＥＣＵ３ａ，３ｂ，３ｃから定期的に送信される動作状況を示す情報を通信部４２にて受信する。そして制御部４０は、受信の有無又は受信した情報が示す動作状況の内容によって、ＥＣＵ３ａ，３ｂ，３ｃの夫々における動作状況を認識し、障害が発生しているか否かを判断する。
【００６６】
更に制御部４０は障害発生の検知とは逆に、ＥＣＵ３ａ，３ｂ，３ｃのいずれかで障害が発生した後の復旧を検知する。制御部４０は、ＥＣＵ３ａ，３ｂ，３ｃから定期的に送信される動作状況を示す情報の受信の有無、又は受信した情報が示す動作状況の内容によって、ＥＣＵ３ａ，３ｂ，３ｃの動作状況を認識し、障害が復旧しているか否かを判断する。
【００６７】
以下、ＥＣＵ３ａ，３ｂ，３ｃ及びＧＷ４による代替処理データの送受信処理、障害発生検知の処理、及び代替処理の実行過程を、フローチャートを参照して説明する。
【００６８】
図３は、実施の形態１のＥＣＵ３ａ，３ｂ，３ｃ及びＧＷ４による代替処理データの送受信処理の一例を示すフローチャートである。図３では、ＥＣＵ３ｂ，３ｃによる処理はＥＣＵ３ａによる処理と同様であるため図示を省略する。
【００６９】
ＥＣＵ３ａの制御部３０ａは、自身に障害が発生した場合に備えて代替処理データを通信部３２ａにより送信する（ステップＳ１１）。ＥＣＵ３ａにより代替処理データを送信しておくタイミングは、ＥＣＵ３ａの初期化時、最初の起動時、車両の組み立て工程にて車載制御システム全体の点検時など、物理的な接続関係が確定した時点が好ましい。
【００７０】
ＧＷ４の制御部４０は、通信部４２によりＣＡＮバス７を監視し、代替処理データを受信したか否かを判断する（ステップＳ１２）。制御部４０は、代替処理データを受信していないと判断した場合（Ｓ１２：ＮＯ）、処理をステップＳ１２へ戻し、ＥＣＵ３ａからの代替処理データを受信するまで待機する。
【００７１】
制御部４０は、代替処理データを受信したと判断した場合（Ｓ１２：ＹＥＳ）、受信した代替処理データを代替処理用制御プログラム４４ａとして記憶部４１に記憶する（ステップＳ１３）。制御部４０は、記憶した代替処理データと、代替処理データの送信元のＥＣＵ３ａとの対応を記憶しておく（ステップＳ１４）。なお、ＧＷ４は必ずしも全てのＥＣＵ３ａ，３ｂ，３ｃから代替処理データを受信して記憶しておく必要はない。
【００７２】
また、制御部４０は、初期的な処理として、後述の障害発生又は復旧検知の確認をさせるＥＣＵ（例えばＥＣＵ３ａ）を決定し、ＥＣＵの識別情報を登録しておく（ステップＳ１５）。
【００７３】
このように、車載制御システムの物理的な接続関係が確定している時点で、ＥＣＵ３ａ，３ｂ，３ｃから代替処理データを受信して記憶しておくことにより、多様なシステム設計に対応して障害発生時の代替処理を実行することができる。なお、図３のフローチャートに示す処理の内、ＧＷ４側のステップＳ１２〜Ｓ１４の処理を常時一定時間毎に実行しており、ＥＣＵ３ａ，３ｂ，３ｃは、自身の障害の発生が予見できたタイミングでステップＳ１１の処理を実行する構成としてもよい。この場合、予めＧＷ４の記憶部４１に多数の代替処理データ（本実施の形態では代替処理用制御プログラム）を記憶しておかずともよく、記憶部４１の記憶容量を節約できる。
【００７４】
図４は、実施の形態１のＧＷ４の制御部４０により実行される処理手順の一例を示すフローチャートである。
【００７５】
制御部４０は、通常のゲートウェイ機能を発揮する処理を実行し（ステップＳ２１）、当該通常処理中に定期的に、後述する障害発生検知処理を実行する（ステップＳ２２）。そして制御部４０は、当該処理により障害発生を検知したか否かを判断する（ステップＳ２３）。制御部４０は、障害発生を検知していないと判断した場合（Ｓ２３：ＮＯ）、処理をステップＳ２１へ戻して通常処理に戻る。
【００７６】
制御部４０は、障害発生検知処理により障害発生を検知したと判断した場合（Ｓ２３：ＹＥＳ）、障害が発生したＥＣＵを特定し（ステップＳ２４）、特定したＥＣＵから送信されて記憶部４１に記憶してある代替処理データを読み出し（ステップＳ２５）、実行する（ステップＳ２６）。このとき、制御部４０は、自身のゲートウェイ機能を発揮する通常の処理も継続して実行する。
【００７７】
次に制御部４０は、障害が発生したＥＣＵの復旧検知処理を実行し（ステップＳ２７）、当該処理により障害復旧を検知したか否かを判断する（ステップＳ２８）。制御部４０は、障害復旧を検知していないと判断した場合（Ｓ２８：ＮＯ）、処理をステップＳ２６へ戻して代替処理データの実行を続行し、その中で復旧検知処理を実行する。
【００７８】
制御部４０は、復旧検知処理により障害復旧を検知したと判断した場合（Ｓ２８：ＹＥＳ）、障害が復旧したＥＣＵに対応する代替処理データの実行を停止し（ステップＳ２９）、処理を終了する。
【００７９】
これにより、車載制御システムにおいてＥＣＵ３ａにて障害が発生した場合であっても、ＧＷ４がＥＣＵ３ａで実行されていた処理を肩代わりするので、車載制御システムの機能は維持される。ＥＣＵ３ａが自身の処理のために使用していたセンサ１ａからのデータは、ＩＯＵ５ａを介してＣＡＮバス７へ送信されるので、ＧＷ４はこれを依然として利用できる。ＥＣＵ３ａに障害が発生したことによって、センサ１ａからのデータを取得できず、代替処理を十分に行なえなかった従来の構成と比較して、より確実にシステムの機能を維持することができ、信頼性が向上する。
【００８０】
なお、ここでＧＷ４の制御部４０は、ＥＣＵ３ａの代替処理を実行することによってＣＡＮバス７へ、ＥＣＵ３ａが送信していたデータを送信する場合、当該データに付与するＩＤは、代替処理用のＩＤを付与する。
【００８１】
図５は、実施の形態１における車載制御システムにて送受信されるデータに付与されるＩＤの内容例を示す説明図である。ＥＣＵ３ａ，３ｂ，３ｃ、ＧＷ４及びＩＯＵ５ａ，５ｂ，５ｃでは、図５の説明図に示すようなデータの内容とＩＤとの対応を記憶しておき、各データを識別する。
【００８２】
図５には、ＩＤ「０１０」が付与されるデータは「Ａ」で識別されるＥＣＵ３ａを送信元とし、例えば送信周期は２０ｍｓｅｃであり、代替処理が実行される場合にはＩＤは「０１１」が付与されて送信されることが示されている。また、ＩＤ「０２０」が付与されるデータは「Ｃ」で識別されるＥＣＵ３ｃを送信元とし、例えば送信周期は２００ｍｓｅｃであるが、代替処理が実行される場合にはＩＤは「０２１」が付与され、しかも送信周期は４００ｍｓｅｃで送信されることが示されている。このように、代替処理の実行の場合は、送信されるデータの精度が１６ビットから８ビットに低下すること、送信周期が長くなることなどが許容されるとする。
【００８３】
また、図５に示す内容例では、「Ｂ」で識別されるＥＣＵ３ｂが送信元であるデータに付与されているＩＤは「１００」であり、ＥＣＵ３ｂにて障害が発生した場合の代替処理用のＩＤは「１０１」であることが示されている。例えば、ＥＣＵ３ｂから送信されるデータを使用するＥＣＵ３ａの制御部３０ａは、ＩＤが「１００」であるデータを受信する。制御部３０ａは、ＥＣＵ３ｂにて障害が発生してＩＤが「１００」であるデータを受信できなくなった後に、ＩＤが「１０１」のデータがＣＡＮバス７へ送信された場合、これを代替処理の実行によって送信されたデータであると認識し、受信して使用する。後にＥＣＵ３ｂの障害が復旧して、ＥＣＵ３ｂが再度自身の処理によりＩＤが「１００」であるデータの送信を開始した場合、ＥＣＵ３ａの制御部３０ａは、ＣＡＮバス７からＩＤが「１００」のデータを通信部３２ａにより受信し、ＥＣＵ３ｂが復旧したことを検知し、以後は代替処理によって送信されるＩＤが「１０１」のデータは使用しない。
【００８４】
このように、正常時のＩＤと代替処理用のＩＤとを識別可能とすることにより、各データを用いるＥＣＵ３ａ，３ｂ，３ｃ、ＧＷ４及びＩＯＵ５ａ，５ｂ，５ｃにて障害発生及び復旧を各自で認識することが可能となり、システム全体で障害及び復旧への対応を連携して迅速に実行することができる。
【００８５】
次に、障害検知処理及び復旧検知処理の詳細について説明する。図６は、実施の形態１におけるＧＷ４による障害検知処理の手順の一例を示すフローチャートである。図６のフローチャートに示す処理手順は、図４のフローチャートに示したステップＳ２２の障害発生検知処理の詳細に対応する。なお、以下の説明ではＥＣＵ３ａ，３ｂ，３ｃ側の通知処理の例としてＥＣＵ３ａの処理を挙げて説明するが、ＥＣＵ３ｂ，３ｃの処理も同様であるから詳細な説明は省略する。
【００８６】
ＥＣＵ３ａの制御部３０ａは、通常の処理を実行するが（ステップＳ３１）、上述のように、動作状況を示す情報を一定周期にて定期的に取得してデータとして通信部３２ａにより送信する（ステップＳ３２）。このとき、動作状況を示す情報は、例えばＣＰＵ、メモリ、通信などの各資源の使用率である。メモリの空き容量を含めてもよい。
【００８７】
そしてＥＣＵ３ａの制御部３０ａは、他のＥＣＵ３ｂ，３ｃにて障害を検知したか否かを判断する（ステップＳ３３）。制御部３０ａは、通信部３２ａにより送受信するデータに基づき、他のＥＣＵ３ｂ，３ｃの障害を検知できる。例えば、ＥＣＵ３ａは、ＥＣＵ３ｂにおける演算によって求められ、周期的にＣＡＮバス７へ送信されるデータを使用する場合、当該データがＥＣＵ３ｂから送信されない場合にＥＣＵ３ｂにて障害が発生したと検知する。また、制御部３０ａは、データに含まれる数値情報が所定の正常範囲外である場合に、障害が発生したと検知してもよいし、正常範囲外の数値情報が所定の回数Ｎ回以上連続した場合に初めて、障害が発生したと検知してもよい。
【００８８】
ＥＣＵ３ａの制御部３０ａは、他のＥＣＵ３ｂ，３ｃの障害を検知しないと判断した場合（Ｓ３３：ＮＯ）、処理をステップＳ３１へ戻して通常の処理を実行し続け、一定周期が到来する都度に動作状況を示す情報の送信を繰り返す。制御部３０ａは、障害を検知したと判断した場合（Ｓ３３：ＹＥＳ）、障害の発生を他へ通知する（ステップＳ３４）。具体的には、制御部３０ａは、障害が発生したＥＣＵ（例えばＥＣＵ３ｂ）を特定し、特定したＥＣＵ３ｂの識別情報を含めて、障害発生通知用のＩＤを付与したデータを通信部３２ａによりＣＡＮバス７へ送信する。これにより、ＧＷ４、他のＥＣＵ３ｃ、及びＩＯＵ５ａ，５ｂ，５ｃが障害発生を認識することが可能である。
【００８９】
これに対し、ＧＷ４の制御部４０は、通信部４１によりＥＣＵ３ａ，３ｂ，３ｃから定期的に送信されるべき動作状況を示す情報を受信する（ステップＳ４１）。制御部４０は、受信する情報に基づきＥＣＵ３ａ，３ｂ，３ｃのいずれかで障害が発生しているか否かを判断する（ステップＳ４２）。詳細には、制御部４０は、定期的に送信されるべき動作状況を示す情報を、あるＥＣＵから所定の周期に相当する時間を超過して受信できない場合、当該ＥＣＵにて障害が発生したと判断する。また、制御部４０は、各ＥＣＵ３ａ，３ｂ，３ｃの動作状況を示す情報に基づき、ＣＰＵの使用率が所定の比率以上である場合に、障害が発生したと判断してもよいし、メモリの空き領域が所定値未満である場合に障害が発生したと判断してもよい。
【００９０】
制御部４０は、ステップＳ４２にて障害が発生したと判断した場合（Ｓ４２：ＹＥＳ）、制御部４０のみの判断では確定せず、図３のフローチャートに示した初期的処理にて決定した障害発生検知のＥＣＵへ、障害が発生したと認識しているか否かを問い合わせる（ステップＳ４３）。制御部４０は、当該ＥＣＵからの応答の有無を判断し（ステップＳ４４）、応答無と判断した場合は（Ｓ４４：ＮＯ）ステップＳ４４へ処理を戻して応答が有るまで待機する。このとき、所定の待機時間の上限を超過しても応答が無い場合は、処理を終了する。このとき、当該障害発生検知のＥＣＵにて障害が発生したと判断することができる。また、応答の有無の判断回数に上限を設け、制御部４０は、上限回数を超過した場合には処理を終了する。このときも該障害発生検知のＥＣＵにて障害が発生したと判断する。
【００９１】
制御部４０は、応答有りと判断した場合（Ｓ４４：ＹＥＳ）、応答の内容に基づき、障害の発生が障害発生検知のＥＣＵでも確認されているか否かを判断する（ステップＳ４５）。制御部４０は、障害発生が確認されていない場合は（Ｓ４５：ＮＯ）、障害発生検知処理を終了して、処理を図４のフローチャートのステップＳ２２へ戻す。このとき、ＧＷ４の判断にて障害発生を検知したが、未確定の状態となる。後述の処理により障害発生検知のＥＣＵを含む各ＥＣＵ３ａ，３ｂ，３ｃでも障害発生が確認されていると判断するまで、未確定となる。
【００９２】
制御部４０は、ステップＳ４５にて障害の発生が障害発生検知のＥＣＵでも確認されていると判断した場合（Ｓ４５：ＹＥＳ）、障害発生を確定し（ステップＳ４６）、障害発生検知処理を終了して処理を図４のフローチャートのステップＳ２２へ戻す。このとき、障害発生が確定されているので、ステップＳ２２では障害が発生したと判断される。
【００９３】
更に制御部４０は、各ＥＣＵ３ａ，３ｂ，３ｃ又はＩＯＵ５ａ，５ｂ，５ｃから送信される障害発生通知の受信により、障害発生を検知してもよい。そこでステップＳ４２にて、制御部４０は、受信した動作状況を示す情報からは障害が発生していないと判断した場合（Ｓ４２：ＮＯ）、他の装置から障害発生通知を複数受信したか否かを判断する（ステップＳ４７）。制御部４０は、障害発生通知を複数から受信していないと判断した場合（Ｓ４７：ＮＯ）、そのまま障害発生検知処理を終了して、処理を図４のフローチャートのステップＳ２３へ戻す。
【００９４】
制御部４０は、障害発生通知を複数から受信したと判断した場合（Ｓ４７：ＹＥＳ）、障害発生を確定し（Ｓ４６）、障害発生検知処理を終了して、処理を図４のフローチャートのステップＳ２３へ戻す。
【００９５】
なおステップＳ４７の処理は、より確実性を向上させるために複数から障害発生通知を受信したか否かを判断する構成としたが、障害発生通知を外部から１つでも受信した場合には障害発生を確定する構成としてもよい。また、外部から障害発生通知を１つでも受信した場合（Ｓ４７：ＹＥＳ）、障害発生を一時的に記憶しておき、再度障害発生検知処理を実行して各ＥＣＵ３ａ，３ｂ，３ｃからの動作状況を示す情報に基づき、障害発生を確認し、このとき確認できた場合はステップＳ４３〜４５の処理をスキップして障害発生を確定させる（Ｓ４６）構成としてもよい。
【００９６】
図７は、実施の形態１におけるＧＷ４による復旧検知処理の手順の一例を示すフローチャートである。図７のフローチャートに示す処理手順は、図４のフローチャートに示したステップＳ２７の復旧検知処理の詳細に対応する。なお、以下の説明ではＥＣＵ３ａ，３ｂ，３ｃ側の通知処理の例としてＥＣＵ３ａの処理を挙げて説明するが、ＥＣＵ３ｂ，３ｃの処理も同様であるから詳細な説明は省略する。
【００９７】
ＥＣＵ３ａの制御部３０ａは、自身の通常の動作を実行すると共に（ステップＳ５１）、自身の動作状況を示す情報を一定周期にて通信部３２ａにより送信する（ステップＳ５２）。図６のフローチャートのステップＳ３１と同一である。
【００９８】
そして制御部３０ａは、他のＥＣＵ３ｂ，３ｃにて障害が復旧したか否かを判断する（ステップＳ５３）。制御部３０ａは、ＥＣＵ３ｂからの送信が停止していたデータが、再度ＣＡＮバス７に送信され、通信部３２ａにて正常に受信できた場合、ＥＣＵ３ｂの障害が復旧したと検知する。制御部３０ａは、データに含まれる数値情報が所定の正常範囲内である場合に、障害が復旧したことを検知してもよいし、また、所定の回数Ｎ回以上、正常範囲内の数値情報が得られた場合に初めて、障害が復旧したことを検知してもよい。
【００９９】
制御部３０ａは、他のＥＣＵ３ｂ，３ｃの復旧を検知しないと判断した場合（Ｓ５３：ＮＯ）、処理をステップＳ５１へ戻して通常の処理を実行し続け、一定周期が到来していれば動作状況を示す情報の送信を行なう。制御部３０ａは、復旧を検知したと判断した場合（Ｓ５３：ＹＥＳ）、障害の復旧を他へ通知する（ステップＳ５４）。具体的には、復旧したＥＣＵ３ｂの識別情報を含めて、障害復旧通知用のＩＤを付与したデータを通信部３２ａによりＣＡＮバス７へ送信する。これにより、ＧＷ４、他のＥＣＵ３ｃ、及びＩＯＵ５ａ，５ｂ，５ｃが障害復旧を認識することが可能である。
【０１００】
これに対し、ＧＷ４の制御部４０は、通信部４１によりＥＣＵ３ａ，３ｂ，３ｃから定期的に送信されるべき動作状況を示す情報を受信する（ステップＳ６１、なおＳ４１と同様の処理）。制御部４０は、受信する情報に基づき障害が発生したＥＣＵが復旧しているか否かを判断する（ステップＳ６２）。詳細には、制御部４０は、障害が発生していたＥＣＵからの動作状況を示す情報の受信が再開された場合は、当該ＥＣＵにおける障害が復旧したと判断する。また、制御部４０は、各ＥＣＵ３ａ，３ｂ，３ｃの動作状況を示す情報に基づき、ＣＰＵの使用率が所定の比率未満である場合に障害が復旧したと判断してもよいし、メモリの空き領域が所定値以上である場合に障害が復旧したと判断してもよい。
【０１０１】
制御部４０は、ステップＳ６２にて障害が復旧したと判断した場合（Ｓ６２：ＹＥＳ）、制御部４０のみの判断では確定せず、図３のフローチャートに示した初期的処理にて決定した障害発生検知のＥＣＵへ、障害が復旧したと認識しているか否かを問い合わせる（ステップＳ６３）。制御部４０は、当該ＥＣＵからの応答の有無を判断し（ステップＳ６４）、応答無と判断した場合は（Ｓ６４：ＮＯ）ステップＳ６４へ処理を戻して応答が有るまで待機する。このとき、所定の待機時間の上限を超過しても応答が無い場合は、復旧検知処理を終了する。このとき、当該障害発生検知のＥＣＵにて障害が発生しており、復旧していないと判断することができる。また、応答の有無の判断回数に上限を設け、制御部４０は、上限回数を超過した場合には処理を終了する。このときも該障害発生検知のＥＣＵにて未だ障害が発生しており、復旧していないと判断する。
【０１０２】
制御部４０は、応答有りと判断した場合（Ｓ６４：ＹＥＳ）、応答の内容に基づき、障害の復旧が障害発生検知のＥＣＵでも確認されているか否かを判断する（ステップＳ６５）。制御部４０は、障害復旧が確認されていない場合は（Ｓ６５：ＮＯ）、復旧検知処理を終了して、処理を図４のフローチャートのステップＳ２８へ戻す。このとき、ＧＷ４の判断にて復旧を検知したが、未確定の状態となる。後述の処理により障害発生検知のＥＣＵを含む各ＥＣＵ３ａ，３ｂ，３ｃでも復旧が確認されていると判断するまで、未確定となる。
【０１０３】
制御部４０は、ステップＳ６５にて障害の復旧が障害発生検知のＥＣＵでも確認されていると判断した場合（Ｓ６５：ＹＥＳ）、障害復旧を確定し（ステップＳ６６）、復旧検知処理を終了して処理を図４のフローチャートのステップＳ２８へ戻す。このとき、障害復旧が確定されているので、ステップＳ２８では障害が復旧したと判断される。
【０１０４】
更に制御部４０は、各ＥＣＵ３ａ，３ｂ，３ｃ又はＩＯＵ５ａ，５ｂ，５ｃから送信される障害復旧通知の受信により、障害復旧を検知してもよい。そこでステップＳ６２にて、制御部４０は、受信した動作状況を示す情報からは障害が復旧していないと判断した場合（Ｓ６２：ＮＯ）、他の装置から障害復旧通知を複数受信したか否かを判断する（ステップＳ６７）。制御部４０は、障害復旧通知を複数から受信していないと判断した場合（Ｓ６７：ＮＯ）、そのまま復旧検知処理を終了して、処理を図４のフローチャートのステップＳ２８へ戻す。
【０１０５】
制御部４０は、障害復旧通知を複数から受信したと判断した場合（Ｓ６７：ＹＥＳ）、障害復旧を確定し（Ｓ６６）、復旧検知処理を終了して、処理を図４のフローチャートのステップＳ２８へ戻す。
【０１０６】
ステップＳ６７の処理は、より確実性を向上させるために複数から障害復旧通知を受信したか否かを判断する構成としたが、障害復旧通知を外部から１つでも受信した場合には障害復旧を確定する構成としてもよい。また、外部から障害復旧通知を１つでも受信した場合（Ｓ６７：ＹＥＳ）、障害復旧を一時的に記憶しておき、再度復旧検知処理を実行して各ＥＣＵ３ａ，３ｂ，３ｃからの動作状況を示す情報に基づき、障害復旧を確認し、このとき確認できた場合はステップＳ６３〜Ｓ６５の処理をスキップして障害復旧を確定させる（Ｓ６６）構成としてもよい。
【０１０７】
このように、ＧＷ４の制御部４０は、自身の処理により障害発生を検知した場合、及び障害復旧を検知した場合でも、障害発生検知のＥＣＵとして特定したＥＣＵでも認識しているかが確認されたとき、又は、他のＥＣＵ３ａ，３ｂ，３ｃ、ＩＯＵ５ａ，５ｂ，５ｃなどの装置から通知がされたときに初めて、障害が発生したこと、障害が復旧したことを確定させる。これにより、誤って障害発生又は障害復旧を検知する可能性を低減し、より信頼性を向上させることができる。
【０１０８】
なお、実施の形態１では、上述のように障害発生検知処理、及び復旧検知処理にて、確定処理を含む構成としたが、本発明はこれに限らず、ステップＳ４３〜Ｓ４７、及びステップＳ６３〜Ｓ６７の処理を省略し、ＧＷ４の制御部４０が単独で動作状況に基づいて障害発生、又は障害復旧を検知する構成としてもよい。
【０１０９】
（実施の形態２）
実施の形態１では、代替処理をＧＷ４にて実行する構成とした。これに対し、実施の形態２では、ＧＷ４は障害発生を検知した場合、自身を含めて障害が発生したＥＣＵ以外の装置の内で処理負荷が比較的に軽い装置を特定し、当該装置にて代替処理を実行させる構成とする。
【０１１０】
実施の形態２における車載制御システムのハードウェア的な構成は、実施の形態１における構成と同様であり、ＧＷ４の代替処理の手順が相違する。したがって、実施の形態１と共通する構成については同一の符号を付して詳細な説明を省略し、相違する代替処理の手順について、以下説明する。
【０１１１】
図８は、実施の形態２におけるＧＷ４の制御部４０及びいずれかのＥＣＵ３ａ，３ｂ，３ｃにより実行される処理手順の一例を示すフローチャートである。なお、図８のフローチャートに示す処理手順の内、実施の形態１における図４のフローチャートに示した処理手順と共通する手順については、同一のステップ番号を付して詳細な説明を省略する。
【０１１２】
ＧＷ４の制御部４０は、障害が発生したと判断した場合に（Ｓ２３：ＹＥＳ）、障害が発生したＥＣＵ（例えばＥＣＵ３ｂ）を特定すると（Ｓ２４）、各ＥＣＵ３ａ，３ｃから定期的に送信される動作状況を示す情報に基づき、ＥＣＵ３ａ，３ｃ及び自身の動作状況を比較する（ステップＳ７１）。制御部４０は、比較に基づき、資源の使用率が他よりも低い装置を、代替処理を実行させる装置として特定する（ステップＳ７２）。具体的には、制御部４０は、ＣＰＵの使用率が最も低い装置、又はメモリの空き容量が最も多い装置などを、代替処理を実行させる装置として特定する。制御部４０は、ステップＳ２４にて特定した障害が発生したＥＣＵの代替処理データを読み出し（Ｓ２５）、ステップＳ７２にて特定した装置へ送信する（ステップＳ７３）。
【０１１３】
なお、制御部４０は、障害が復旧したと判断した場合（Ｓ２８：ＹＥＳ）、ステップＳ７２にて特定した装置へ代替処理データ実行の停止を指示する（ステップＳ７４）。
【０１１４】
代替処理を実行する装置として特定されたＥＣＵ３ａ，３ｃのいずれか（以下、ＥＣＵ３ａとして説明する）では、制御部３０ａがＧＷ４から送信された代替処理データを通信部３２ａにより受信し（ステップＳ７５）、図示しないＤＲＡＭ、ＳＲＡＭなどの一時記憶部に記憶し（ステップＳ７６）、実行する（ステップＳ７７）。
【０１１５】
代替処理を実行する装置として特定されたＥＣＵ３ａの制御部３０ａは、ＧＷ４からの停止指示を受信したか否か、又は自身の検知処理によって障害が発生していたＥＣＵ３ｂの復旧を検知したか否かを判断する（ステップＳ７８）。制御部３０ａは、停止指示を受信せず、且つ復旧を検知していないと判断した場合（Ｓ７８：ＮＯ）、処理をステップＳ７７へ戻して代替処理データの実行を続行する。このとき、制御部３０ａは、自身の通常処理も継続して実行している。制御部３０ａは、停止指示を受信するか、又は復旧を検知したと判断した場合（Ｓ７８：ＹＥＳ）、代替処理データの実行を停止し（ステップＳ７９）、一時記憶部に記憶した代替処理データを消去し（ステップＳ８０）、処理を終了する。
【０１１６】
実施の形態２で、ＥＣＵ３ａがＥＣＵ３ｂの代替処理を実行する場合、ＥＣＵ３ｂ宛にＩＯＵ５ａ，５ｂ，５ｃから送信されていたデータは、ＥＣＵ３ａにて受信されるように変更しなければならない。このとき、ＩＯＵ５ａ，５ｂ，５ｃは障害発生前と同様にデータをＣＡＮバス７へ送信し、ＥＣＵ３ａが代替処理データと共に受信すべきデータのＩＤのリストを受信して記憶しておき、必要なデータを受信する。また、ＩＯＵ５ａ，５ｂ，５ｃが、データの宛先を明示的にＩＤで示してデータを送信する場合、ＩＯＵ５ａ，５ｂ，５ｃはＧＷ４からの通知を受けるか、又は、自身の処理にて障害の発生を検知し、代替処理の実行を開始したＥＣＵ３ａを特定する機能を備え、障害が発生して代替処理が実行されるために宛先を変更すべきことを認識して、障害の発生を検知した場合に代替処理を実行する装置へデータを送信するようにしてもよい。
【０１１７】
実施の形態２に示したように、障害が発生した時点で動作ハードウェア資源の使用率が他よりも低い装置に代替処理を実行させることにより、システム全体の機能を維持して信頼性を向上させることができると共に、システム全体の処理負荷を均等にして効率化させることができる。
【０１１８】
（実施の形態３）
実施の形態１では、センサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…などの各機器が接続されるＩＯＵ５ａ，５ｂ，５ｃは、ＥＣＵ３ａ，３ｂ，３ｃが接続されるＣＡＮバス７で同一のネットワーク内に接続される構成とした。これに対し、実施の形態３では、ＩＯＵ５ａ，５ｂ，５ｃが接続されるネットワークと、ＥＣＵ３ａ，３ｂ，３ｃ群が接続されるネットワークとが分離される構成とする。
【０１１９】
実施の形態３における車載制御システムは、システムを構成するセンサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…などの各機器、各機器が接続されるＩＯＵ５ａ，５ｂ，５ｃ、ＥＣＵ３ａ，３ｂ，３ｃ、及びＧＷ４夫々の内部構成は実施の形態１と同様である。したがって、共通する構成については同一の符号を付して詳細な説明を省略する。
【０１２０】
図９は、実施の形態３の車載制御システムを構成するセンサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…などの各機器、ＥＣＵ３ａ，３ｂ，３ｃ、ＧＷ４、及びＩＯＵ５ａ，５ｂ，５ｃの接続構成を示すブロック図である。
【０１２１】
図９に示すように、実施の形態３における車載制御システムでは、各種センサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…は夫々、信号線６，６，…によりＩＯＵ５ａ，５ｂ，５ｃに接続されている。ＩＯＵ５ａ，５ｂ，５ｃは第１のネットワーク８を介してＧＷ４に接続されている。ＧＷ４には、第１のネットワーク８とは異なる第２のネットワーク９が接続されており、第２のネットワーク９を介してＥＣＵ３ａ，３ｂ，３ｃが相互にデータを送受信するように構成される。
【０１２２】
第１のネットワーク８及び第２のネットワーク９の通信プロトコルはいずれも限定されない。第１のネットワーク８では、ＩＯＵ５ａ，５ｂ，５ｃが多重化通信にて相互にデータを送受信可能な構成でもよいし、ＩＯＵ５ａ，５ｂ，５ｃが夫々、個別にＧＷ４に接続して１対１でデータを送受信する構成でもよい。また、第１のネットワーク８と第２のネットワーク９とは、通信プロトコルは同じでもよい。
【０１２３】
実施の形態１同様に、センサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…はＩＯＵ５ａ，５ｂ，５ｃに夫々、ＬＩＮにより通信が可能な構成としてもよい。
【０１２４】
ＥＣＵ３ａ，３ｂ，３ｃ及びＧＷ４による代替処理データの送受信処理、代替処理の実行手順、ＧＷ４による障害検知処理、復旧検知処理は、実施の形態３のように２つの異なるネットワーク８，９を含む構成でも図３乃至図７のフローチャートに示した夫々の処理手順によって実現できる。実施の形態３では、ＩＯＵ５ａ，５ｂ，５ｃはＥＣＵ３ａ，３ｂ，３ｃにおける障害発生及び復旧を各自で検知することは困難である。しかしながら、ＧＷ４が必ず中継する構成とするから、ＩＯＵ５ａ，５ｂ，５ｃがいずれかのＥＣＵ３ａ，３ｂ，３ｃへ宛先を指定してデータを送信する場合、障害の発生又は復旧を認識しなくとも、ＧＷ４の制御部４０にて代替処理を行なうためにそのまま使用すればよい。また、資源に余裕があるいずれかのＥＣＵ３ａ，３ｂ，３ｃにて代替処理を実行する構成の場合も、ＧＷ４の制御部４０が、代替処理を実行している装置を特定してデータの宛先を変えて中継することによって問題なく代替処理が実行される。なお、代替処理実行中は、ＧＷ４からＩＯＵ５ａ，５ｂ，５ｃへデータを送信する際に、代替処理用のＩＤを付与して送信することにより、ＩＯＵ５ａ，５ｂ，５ｃにて代替処理実行中であることを認識することは可能である。
【０１２５】
このように、実施の形態３では、２つの異なるネットワーク８，９にＩＯＵ５ａ，５ｂ，５ｃとＥＣＵ３ａ，３ｂ，３ｃとを夫々接続する構成により、ＩＯＵ５ａ，５ｂ，５ｃはＥＣＵ３ａ，３ｂ，３ｃにおける障害の発生の有無に関わらず、処理を実行できる。ＩＯＵ５ａ，５ｂ，５ｃはデータの送受信先を特に特定する必要がなく、ＩＯＵ５ａ，５ｂ，５ｃにおける処理負荷を軽減化することが可能である。
【０１２６】
実施の形態１乃至３では、ＥＣＵ３ａ，３ｂ，３ｃ、ＧＷ４及びＩＯＵ５ａ，５ｂ，５ｃは、ＣＡＮバス７等のネットワークに接続される構成とした。ただし、通信線を介した有線通信のみならず、無線による通信によっても障害検知処理及び代替処理等の同等の発明を実現できる。
【０１２７】
なお、開示された実施の形態は、全ての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上述の説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。
【符号の説明】
【０１２８】
１ａ，１ｂ，１ｃ，１ｄ，１ｅ，１ｆ，１ｇ，１ｈ センサ（機器）
２ａ，２ｂ，２ｃ，２ｄ アクチュエータ（機器）
３ａ，３ｂ，３ｃ ＥＣＵ（制御装置、障害検知手段、代替処理実行手段）
３１ａ，３１ｂ，３１ｃ 記憶部
４ ＧＷ（中継装置、障害検知手段、代替処理実行手段）
４１ 記憶部（記憶手段）
４４ａ，４４ｂ，４４ｃ 代替処理用制御プログラム（代替処理データ）
５ａ，５ｂ，５ｃ ＩＯＵ（入出力装置）
７ ＣＡＮバス（通信線）
８ 第１のネットワーク（第１の通信線）
９ 第２のネットワーク（第２の通信線）
【技術分野】
【０００１】
本発明は、多数の機器を制御して、全体として多様な機能を実現させる制御システムのフェールセーフ機能に関し、一部の制御装置にて障害が発生した場合でも、代替処理を実行してシステム全体の機能を維持してシステム全体の信頼性をより向上させることができる制御システムに関する。
【背景技術】
【０００２】
近年では、多数の機器を制御して、全体として多様な機能を実現させる制御システムが普及している。機器には夫々制御装置が接続され、更に各制御装置に通信手段を設けて相互にデータを交換させ、個々の制御装置が独立した制御を行なうのではなく、他の制御装置などを介して得られるデータに基づいて自身に対応する制御対象の機器を制御するなど、連携して制御を実行する制御システムが各分野で利用されている。
【０００３】
特に車両の分野では、各種機能に対応するアクチュエータ又はセンサなどの機器が多数車内に配され、各機器を制御する制御装置としてＥＣＵ（Electronic Control Unit）が各々に対応して配されて動作している。車両の制御は機械的制御から電気的制御へ移行しつつあり、更に、制御システムによって実現される機能の特化、実現できる機能の増加及び多様化が進んでいる。これにより、車両に搭載されるアクチュエータ、センサなどの機器が増加し、制御装置の処理は分散される傾向にある。
【０００４】
このように多数の制御装置が連携して各種機能を実現する場合、一部の制御装置にて障害が発生したことにより、システム全体として機能停止状態となる虞がある。特に車両の分野では、システム全体の機能が停止することは必ず回避し、少なくともフェールセーフにてシステム全体の機能を維持し、安全性を保持しながら復旧することが望ましい。
【０００５】
システムの障害発生回避及び高信頼性に関しては、例えば特許文献１に、分散した複数のモジュールのプロセッサによるトランザクション処理に関し、いずれかのモジュールが障害となった場合、他のモジュールにて障害が発生したモジュールのトランザクション処理を代替して再開する発明が開示されている。
【０００６】
特許文献２では、車両制御システムのフェールセーフ機能に関し、自ノードの状態を判定して判定結果を送受信し、障害が発生したノードを特定し、他のノードにてバックアップを行うことを可能とし、各ノードの状態を判定する特定のマスタノードなどを不要とすることができる発明が開示されている。なお、特許文献３では、障害の検出及び復帰の検知については開示されているが、障害発生中のバックアップとしては、主に通信に関してシステムの多重化にて実現されている。
【０００７】
特許文献３では、複数の論理構成要素にて構成される論理回路にて、一部の論理処理部にて障害が発生した場合に、正常な論理構成要素を再構成して予備論理処理部として動作させるか、又は予備の論理処理部を予め用意しておいて予備論理処理部として動作させて自己復旧を可能とする発明が開示されている。これに対して特許文献４では、特許文献３に開示されている発明を車両制御システムに適用するために、論理処理部と全く同一の処理を行わせることなく、最低限の一部の処理を代替して実現できるように構成して、装置の小型化且つ低コスト化を図る発明が開示されている。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開平８−２７８９０９号公報
【特許文献２】特開２００７−１２６１２７号公報
【特許文献３】特開平８−４４５８１号公報
【特許文献４】特開２０００−０８１９９１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
従来の制御システムでは、アクチュエータ又はセンサなどの機器は、アクチュエータを制御する制御装置、センサから取得されるデータを使用して演算処理、制御処理を実行する制御装置に直接的に接続され、他の制御装置へも当該制御装置からネットワークを介してデータが送信される構成とした場合が多い。
【００１０】
この場合、一部の制御装置に障害が発生したとしても物理的な接続を再構成するには、予め配線を二重化しておくなどの物理的な冗長構成が必要であり、配線が多くなるなどの問題となる。特に車両における制御システムでは、高信頼性が望まれると共に、省線化、軽量化も重要な課題であるから、物理的な冗長構成とせずに信頼性が高いシステムが構築されることが望ましい。
【００１１】
本発明は斯かる事情に鑑みてなされたものであり、一部の制御装置にて障害が発生した場合でも、代替処理を実行してシステム全体の機能を維持してシステム全体の信頼性を向上させることができる制御システムを提供することを目的とする。
【課題を解決するための手段】
【００１２】
第１発明に係る制御システムは、データを入出力する複数の機器と、該複数の機器が接続されており、各機器が入出力するデータを送受信する一又は複数の入出力装置と、該入出力装置が接続される通信線と、該通信線に接続されており前記入出力装置から送信される各機器からのデータを使用するか、又は他の装置から送信されるデータを使用して前記入出力装置を介してデータを機器へ与えて機器の動作を制御する制御処理を実行する複数の制御装置とを含む制御システムであって、前記複数の制御装置の内、いずれかの制御装置にて制御処理を実行できない障害発生を検知する障害検知手段と、該障害検知手段が障害発生を検知した場合、障害が発生した制御装置での制御処理を代替実行する代替処理実行手段とを備えることを特徴とする。
【００１３】
第２発明に係る制御システムは、データを入出力する複数の機器と、該複数の機器が接続されており、各機器から入力されるデータを送受信する一又は複数の入出力装置と、該一又は複数の入出力装置が接続される第１の通信線と、前記複数の機器のいずれかからのデータを受信して使用するか、又は他の装置から送信されるデータを使用して前記機器の動作を制御するためのデータを送信する複数の制御装置と、該複数の制御装置が接続される第２の通信線と、第１及び第２の通信線との間でのデータの送受信を中継する中継装置とを含む制御システムであって、前記複数の制御装置の内、いずれかの制御装置にて制御処理を実行できない障害発生を検知する障害検知手段と、該障害検知手段が障害発生を検知した場合、障害が発生した制御装置での制御処理を代替実行する代替処理実行手段とを備えることを特徴とする。
【００１４】
本発明では、データを入出力する複数の機器からのデータは、各機器が接続される入出力装置から通信線へ送信され、各機器を制御するために送信されるデータは入出力装置が通信線から受信して各機器へ与える。つまり、従来は機器を制御するか、又は機器からのデータを使用する制御装置に直接接続されていた機器は、制御装置から分離され入出力装置を介して通信線へ接続される。これにより、機器が正常であっても当該機器を制御する制御装置にて障害発生した場合に、機器からのデータがシステムから断絶される事態を回避できる。しかも、入出力装置にて各機器からのデータを送受信することにより、各機器から任意のタイミングに入出力されるデータの制御装置との間の送受信を入出力装置にて適切なタイミング、適切な精度にて送受信することが可能となる。
複数の機器からのシステムへのデータの送受信と、システムに含まれる制御装置の通信線への接続とを分離することにより、いずれかの制御装置にて障害が発生した場合に、他の手段にて機器とデータを送受信して制御処理を代替可能である。本発明では、システムに含まれる複数の制御装置のいずれかにおける障害発生を検知し、障害発生が検知された場合に代替処理実行手段にて、制御処理を代替実行する。
これにより、本発明では、一部の制御装置にて障害が発生した場合であっても、当該制御装置が関係する機器からのデータを使用できなくなる事態も回避でき、制御装置の代替処理を実行することでシステム全体の機能を維持することが可能である。
【００１５】
本発明では更に、複数の機器が接続される入出力装置が接続される第１の通信線と、各機器を制御するか又は機器からのデータを使用する複数の制御装置が接続される第２の通信線とを分離してもよい。
制御装置の内のいずれかにて障害が発生した場合に、代替処理実行手段にて代替処理が実行され、障害が発生した場合に他の制御装置にて代替実行してシステム全体の機能を維持することが可能である。また、入出力装置が接続される通信線と、制御装置が接続される通信線とを分離して中継装置にて中継する構成とすることにより、通信線間を結ぶ中継装置にて第１及び第２の通信線でのデータの送受信タイミングを更に効率よく調整することが可能となると共に、入出力装置は、代替実行処理を行う手段へのデータの送受信先を認識することなく、中継装置に送受信先の特定を任せることが可能となり、各装置の構成の簡易化、処理負荷の軽減化を図ることも可能である。
【００１６】
第３発明に係る制御システムは、第１又は第２発明における前記複数の制御装置は、自身に障害が発生した場合の代替処理を可能とする代替処理データを前記代替処理実行手段へ予め送信する手段を備え、前記代替処理実行手段は、各制御装置から送信された代替処理データを記録手段に記録する手段を備え、前記障害検知手段が障害発生を検知した場合、障害が発生した制御装置を特定し、特定された制御装置から送信された代替処理データを前記記録手段から読み出して代替処理を実行するようにしてあることを特徴とする。
【００１７】
本発明では、各制御装置が自身に障害が発生した場合の代替処理を可能とする代替処理データ、例えばアプリケーションプログラムの複製、処理を簡易化したプログラムなどを自身の初期化処理時、起動時などに代替処理実行手段へ送信しておき、代替処理実行手段にて各制御装置からの代替処理データを記録しておく。そして、障害が発生してこれを検知した場合に、代替処理実行手段は障害が発生した制御装置から送信されて記録しておいたデータを実行する。システム設計の段階から、代替処理実行手段にて予め各制御装置の代替処理を可能とする代替処理データを登録しておく構成でもよいが、動的に集める構成により、多様なシステム設計に対応させることができる。
なお、各制御装置は、自身にて障害の発生が予見できる場合、当該障害発生を予見した時点で代替処理実行手段へ代替処理データを送信する構成としてもよい。この場合、代替処理実行手段にて記録手段の資源を節約することも可能である。
【００１８】
第４発明に係る制御システムは、第１乃至第３の発明のいずれかにおいて、各機器からのデータ及び機器へ与えられるデータには、データを夫々識別する識別情報が付与されて前記通信線にて送受信されるようにしてあり、前記代替処理実行手段は、制御処理によりデータを通信線へ送信する場合、元の識別情報とは異なる代替処理によるデータであることを示す識別情報を付与して通信線へ送信するようにしてあることを特徴とする。
【００１９】
本発明では、各機器が入出力装置を介して各制御装置と送受信しあうデータには、データを各別に識別するための識別情報が付与されて送受信されるようにしてあり、障害が発生して代替処理実行手段によって代替処理が行なわれることでデータが送信される場合には、当該データには代替処理によって送信されるデータであることを示す識別情報が付与される。これにより、当該データを使用する他の制御装置、各機器、又は入出力装置は、受信したまたは与えられたデータに付与されている識別情報により、代替処理が実行中であることを各自で認識することが可能である。代替処理によって送信されるデータなのか否かを識別できるから、障害が発生していた制御装置が復旧してデータの送信を再開した場合に、当該制御装置が復旧したことを各自が認識することが可能となり、システム全体として復旧への対応を連携して実行することができる。
【００２０】
第５発明に係る制御システムは、第１乃至第４発明のいずれかにおける前記複数の制御装置は夫々、自身の動作状況を示す情報を定期的に通信線へ送信するようにしてあり、前記障害検知手段は、各制御装置から送信される動作状況を示す情報に基づき、障害発生を検知するようにしてあることを特徴とする。
【００２１】
本発明では、各制御装置から定期的に通信線へ送信される各自の動作状況を示す情報に基づき、障害発生が検知される。定期的に送信するようにしてあるから、情報が示す動作状況の内容のみならず、当該情報を送信しない制御装置で障害が発生していると検知することも可能である。同一の通信線に接続されている装置間で各制御装置の動作状況を共有することができ、障害が発生したことの判断を複数の装置にて確実にすることができる。
【００２２】
第６発明に係る制御システムは、第１乃至第４発明のいずれかにおける前記障害検知手段は、各制御装置へ動作状況の問い合わせを送信する手段と、問い合わせへの応答を受信する手段とを備え、各制御装置からの応答に基づき、障害発生を検知するようにしてあることを特徴とする。
【００２３】
本発明では、障害検知手段が各制御装置へ問い合わせを行ない、問い合わせへの応答により各制御装置の動作状況を把握する。応答の内容から判断してもよいし、応答がない制御装置にて障害が発生していると検知することも可能である。これにより、問い合わせへの応答にて適宜必要な時点で動作状況を把握するから、各制御装置における処理負荷、及び通信線における通信負荷をより軽減することを可能とする。
【００２４】
第７発明に係る制御システムは、第５又は第６発明において、前記障害検知手段が障害発生を検知した場合、各制御装置の動作状況の比較に基づき、ハードウェア資源の使用率が他の制御装置よりも低い制御装置を特定する手段と、該手段が特定した制御装置を前記代替処理実行手段として動作させる手段とを備えることを特徴とする。
【００２５】
本発明では、各制御装置の動作状況に基づき、ハードウェア資源の使用率が他よりも低く、動作負荷が軽いか又はリソースに余裕が有る制御装置に代替処理を実行させる。これにより、代替処理を他の装置に実行させてシステム全体の信頼性を向上できると共に、システム全体の処理負荷を均等にして効率化することができる。
【００２６】
第８発明に係る制御システムは、第１乃至第７発明のいずれかにおける前記複数の制御装置は夫々、他の制御装置における障害の発生を検知する手段と、該手段により障害の発生を検知した場合、障害発生通知を通信線へ出力する手段とを備え、前記障害検知手段は、障害の発生を検知した場合、複数の制御装置の内の少なくとも１つの制御装置から障害発生通知を受信したときに、障害が発生したことを確定するようにしてあることを特徴とする。
【００２７】
本発明では、各制御装置は、連携処理のために定期的に交換するデータなどの送受信により、又は上述の発明で相互に送信する動作状況を示す情報に基づき、相互に障害の発生を検知する手段を有して、他の制御装置における障害の発生を検知した場合に更に他の制御装置へ障害発生を通知する。障害検知手段は、各制御装置の動作状況を収集するなどして自身にて障害発生を検知した場合、他の制御装置からも障害発生通知を受信した時に初めて、障害が発生したことを確定する。これにより、誤って障害発生を検知する可能性を低減し、より信頼性を向上させることが可能となる。
【００２８】
第９発明に係る制御システムは、第１乃至第８発明のいずれかにおいて、障害が発生した制御装置による制御処理の復旧を検知する復旧検知手段を更に備え、該復旧検知手段が復旧を検知した場合、前記代替処理実行手段は代替処理を停止するようにしてあることを特徴とする。
【００２９】
本発明では、一部の制御装置に障害が発生したことを検知して代替処理を実行している場合に、当該制御装置が自己復旧機能などにより復旧したときには、これを検知して元のようにシステムが復旧される。これにより、システムの完全な復旧を可能とし、信頼性を向上させることができる。
【００３０】
第１０発明に係る制御システムは、第９発明における前記複数の制御装置は夫々、他の制御装置にて発生した障害の復旧を検知する手段と、該手段により復旧を検知した場合、障害復旧通知を通信線へ出力する手段とを備え、前記復旧検知手段は、障害の復旧を検知した場合、複数の制御装置の内の少なくとも１つの制御装置から障害復旧通知を受信したとき、障害が復旧したことを確定するようにしてあることを特徴とする。
【００３１】
本発明では、復旧検知の際には、各制御装置は、連携処理のために定期的に交換するデータなどの送受信により、又は上述の発明で相互に送信する動作状況を示す情報に基づき、相互に復旧を検知する手段を有して、他の制御装置における障害の復旧を検知した場合に更に他の制御装置へ復旧を通知する。そして復旧検知手段では、自身の検知のみならず、他の制御装置でも復旧が検知されたときに初めて障害が復旧したことを確定する。これにより、誤って障害復旧を検知する可能性を低減し、より信頼性を向上させることが可能となる。
【００３２】
第１１発明に係る制御システムは、第２発明において、前記代替処理実行手段は、前記中継装置が備えることを特徴とする。
【００３３】
第１２発明に係る制御システムは、第２発明において、前記障害検知手段は、前記中継装置が備えることを特徴とする。
【００３４】
本発明では、制御システムにおいて一部の制御装置にて障害が発生した場合に当該制御装置の制御処理を代替して実行する手段、又はいずれかの制御装置における障害発生を検知する障害検知手段若しくは復旧検知手段は、夫々専用の装置が通信線に接続されて実現されても、特定の制御装置で実現されても、機器が直接的に接続される入出力装置で実現されても、あるいは異なる通信線間におけるデータの送受信を中継する中継装置で実現されてもよい。
【００３５】
ただし、中継装置はデータの中継の要否を判断して中継する所謂ゲートウェイ機能により、全データを送受信して各データを必要とする各制御装置、又はデータを必要とする各機器が接続されている入出力装置へ必要に応じて送信する機能を有することになるから、中継装置にて実現することにより、他の制御装置などで実現するよりも、制御装置の負荷を軽減することができるなど効率化を図ることができる。
また、中継装置は、各制御装置、及び入出力装置がデータを必要とするタイミングで、必要とするデータのみを送信するために、接続されている全ての通信線に送信されるデータを一旦データベース化して記録してから、データベースから各データを送信する構成が想定できる。この場合、多くのデータを記録していることから、より柔軟な条件で障害の発生を検知でき、各制御装置の動作状況を把握できる。また、記録のためのリソースを他の装置よりも備えているから代替処理データを多く記録することもでき、最低限の構成にて実現するためには、中継装置にて実現されることが望ましい。
【発明の効果】
【００３６】
本発明による場合、アクチュエータ、センサなどの各機器と、センサから出力されるデータに基づいてアクチュエータに制御データを与えて制御する制御装置とを含む制御システムで、各機器からのデータのシステムへの入力を、各制御装置を経由せずに入出力装置を介する構成として一部の制御装置にて障害が発生したとしても、各機器のシステムからの離脱を回避することができ、更に当該データを使用する制御処理を他の特定の制御装置、中継装置、又は入出力装置などの装置にて代替して実行し、システム全体の機能を維持することができる。これにより、システム全体の信頼性を向上させることができる。
【００３７】
本発明の制御システムを、車両の運転制御に関わる車載制御システムに適用することで、通信し合う連携処理により、車載制御システムにおいて、より高い安全性、信頼性を実現することができる。
【図面の簡単な説明】
【００３８】
【図１】実施の形態１における車載制御システムの構成を示す構成図である。
【図２】実施の形態１の車載制御システムを構成するＥＣＵ及びＧＷの内部構成、並びに各装置の接続を簡略化して示すブロック図である。
【図３】実施の形態１のＥＣＵ及びＧＷによる代替処理データの送受信処理の一例を示すフローチャートである。
【図４】実施の形態１のＧＷの制御部により実行される処理手順の一例を示すフローチャートである。
【図５】実施の形態１における車載制御システムにて送受信されるデータに付与されるＩＤの内容例を示す説明図である。
【図６】実施の形態１におけるＧＷによる障害検知処理の手順の一例を示すフローチャートである。
【図７】実施の形態１におけるＧＷによる復旧検知処理の手順の一例を示すフローチャートである。
【図８】実施の形態２におけるＧＷの制御部及びいずれかのＥＣＵにより実行される処理手順の一例を示すフローチャートである。
【図９】実施の形態３の車載制御システムを構成するＥＣＵ、ＧＷ、ＩＯＵの接続構成を示すブロック図である。
【発明を実施するための形態】
【００３９】
以下、本発明をその実施の形態を示す図面に基づいて具体的に説明する。なお、以下に示す実施の形態では、車両に搭載されている多数のアクチュエータ、センサ及びＥＣＵを含む車載制御システムに、本発明に係る制御システムを適用した例を挙げて説明する。
【００４０】
（実施の形態１）
図１は、実施の形態１における車載制御システムの構成を示す構成図である。実施の形態１における車載制御システムは、車両の前部に搭載された温度センサ若しくはカメラ、タイヤの軸に取り付けられる車輪速センサ、又はヨーレートセンサなどの各種センサ１ａ，１ｂ，１ｃ，１ｄ，１ｅ，１ｆ，１ｇ，１ｈと、ブレーキ、ヘッドライト、ドアロックなどの各種アクチュエータ２ａ，２ｂ，２ｃ，２ｄと、各種センサ１ａ，１ｂ，…から得られるデータに基づいてアクチュエータ２ａ，２ｂ，…の動作を制御するＥＣＵ３ａ，３ｂ，３ｃと、異なるネットワーク間でのデータの送受信を中継するＧＷ（Gate Way）４とを含み、更に、各種センサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…の入出力をネットワークへ送受信するＩＯＵ（Input-Output Unit：入出力ユニット）５ａ，５ｂ，５ｃとを含む。
【００４１】
各種センサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…は夫々、信号線６，６，…によりＩＯＵ５ａ，５ｂ，…に接続されている。センサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…はＩＯＵ５ａ，５ｂ，５ｃに夫々、ジカ線を介した接続、又はＬＩＮ（Local Interconnect Network）により通信が可能な構成としてもよい。
【００４２】
ＥＣＵ３ａ，３ｂ，３ｃ、ＧＷ４、及びＩＯＵ５ａ，５ｂ，５ｃは夫々、ＣＡＮ（Controller Area Network）バス７に接続されており、相互に制御用のデータを送受信する。実施の形態１ではＥＣＵ３ａ，３ｂ，３ｃ、ＧＷ４、及びＩＯＵ５ａ，５ｂ，５ｃ間の接続形態はバス型、通信のプロトコルはＣＡＮとする。しかしながら、接続形態はスター型、ディジーチェーン型などでもよく、通信のプロトコルも他の通信プロトコルでよい。
【００４３】
ＩＯＵ５ａ，５ｂ，５ｃには夫々、車両内で近傍に配置されているセンサ１ａ，１ｂ，…とアクチュエータ２ａ，２ｂ，…とが接続されている。いずれのセンサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…を同一のＩＯＵ５ａ（又はＩＯＵ５ｂ，５ｃ）に接続するかは、物理的距離に基づいて設計されている。図１に示す例では、車両前部の左部分の３つのセンサ１ａ，１ｂ，１ｃと、１つのアクチュエータ２ａとが近くに配されているので１台のＩＯＵ５ａに接続されている。車両前部の右部分の３つのセンサ１ｄ，１ｅ，１ｆと、１つのアクチュエータ２ｂとが同一のＩＯＵ５ｂに接続され、車両後部の２つのセンサ１ｇ，１ｈと、２つのアクチュエータ２ｃ，２ｄとが同一のＩＯＵ５ｃに接続されている。センサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…が、それらからのデータを使用するか、又は制御するかなどの処理を行なうＥＣＵ３ａ，３ｂ，３ｃに各々直接的に接続される構成でなく、近傍に配置されるＩＯＵ５ａ，５ｂ，５ｃに接続されて、ＩＯＵ５ａ，５ｂ，５ｃによりＥＣＵとの間の入出力が集約される。
【００４４】
例えば、以下の説明では、ＥＣＵ３ａはセンサ１ａ，１ｄからのデータを使用し、アクチュエータ２ａ，２ｂの動作を制御すべく制御データを送信するが、センサ１ａ，１ｄ及びアクチュエータ２ａ，２ｂはいずれも、ＥＣＵ３ａに直接的に接続されるのではない。また、センサ１ａ，１ｄ、アクチュエータ２ａ，２ｂは夫々、別のＩＯＵ５ａ，５ｂに接続されている。また、ＥＣＵ３ｂは、車両の前後部に夫々配置されているセンサ１ｂ，１ｆ，１ｈからのデータを使用し、アクチュエータ２ｃ，２ｄの動作を制御すべく制御データを送信する。この場合も、センサ１ｂ，１ｆ，１ｈ、アクチュエータ２ｃ，２ｄはいずれもＥＣＵ３ｂに直接的に接続される構成ではない。
【００４５】
そして、後述するように実施の形態１では、ＥＣＵ３ａ，３ｂ，３ｃのいずれかにて障害が発生した場合、当該障害が発生したＥＣＵが使用していたデータを使用して障害が発生していたＥＣＵが実行していた処理を他の装置が肩代わりして実行する。実施の形態１では、肩代わり即ち代替処理はＧＷ４が行なう。
【００４６】
このような構成により、ＥＣＵ３ａ，３ｂ，３ｃのいずれかにて障害が発生した場合に、当該障害が発生したＥＣＵにて実行していた処理が続行されると共に、障害が発生したＥＣＵにて使用していたセンサ１ａ，１ｂ，…からの情報が使用できなくなる事態、又は制御されていたアクチュエータ２ａ，２ｂ，…が制御されなくなる事態を回避できる。
【００４７】
比較として例えば、センサ１ａ，１ｂ，…又はアクチュエータ２ａ，２ｂ，…が直接的にこれらを使用するＥＣＵ３ａ，３ｂ，３ｃに接続される構成とした場合、ＥＣＵ３ａ，３ｂ，３ｃのいずれかにて障害が発生したときには、当該ＥＣＵにて実行されていた処理が停止すると共に、当該ＥＣＵに接続されていたセンサ１ａ，１ｂ，…又はアクチュエータ２ａ，２ｂ，…を他のＥＣＵからも利用できなくなる。
【００４８】
また、ＩＯＵ５ａ，５ｂ，５ｃを用いる構成は、機能的には接続されることが望ましいが物理的に距離が遠いセンサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…とＥＣＵ３ａ，３ｂ，３ｃとの間を信号線６，６，…にて接続するよりも、信号線６，６，…の長さも比較的短くて済む点、省線化に効果的である。特に、図１中の車両前部の左部分及び右部分などは、センサ１ａ，１ｂ，…などの機器の数が多く、省線化の効果が顕著に現れる。
【００４９】
図２は、実施の形態１の車載制御システムを構成するＥＣＵ３ａ及びＧＷ４の内部構成、並びに各装置の接続を簡略化して示すブロック図である。センサ１ａ，１ｂ，…からのセンサが検知した測定値などの情報、及びアクチュエータ２ａ，２ｂ，…からの制御状態を示す情報は、各々から周期的に出力されるようにしてある。そして、ＩＯＵ５ａ，５ｂ，５ｃは、各センサ１ａ，１ｂ，…からデータ、又はアクチュエータ２ａ，２ｂ，…からのデータを周期的にＣＡＮバス７へ送信する。ＧＷ４も、他のＣＡＮバス７（図２では図示せず）を介して図示しない他のセンサから出力された測定値などのデータを周期的にＣＡＮバス７へ送信するようにしてある。これにより、各アクチュエータ２ａ，２ｂ，…を制御するＥＣＵ３ａ，３ｂでは、常時的に最新の内容のデータを取得することができる。
【００５０】
ＥＣＵ３ａは、制御部３０ａと、記憶部３１ａと、通信部３２ａとを備える。ＥＣＵ３ｂ，３ｃの内部構成はＥＣＵ３ａの内部構成と同様であるので、詳細な説明は省略する。
【００５１】
制御部３０ａには、ＣＰＵ（Central Processing Unit）を利用する。記憶部３１ａには、フラッシュメモリ、ＥＥＰＲＯＭ（Electrically Erasable and Programmable Read Only Memory）などの不揮発性メモリが用いられ、制御部３０ａが読み出して実行する制御プログラム３３ａが記憶されている。
【００５２】
通信部３２ａは、ＣＡＮバス７を介した通信を実現する。即ち実施の形態１では通信部３２ａはＣＡＮプロトコルに準じ、ＣＡＮコントローラ及びＣＡＮトランシーバを含む。制御部３０ａは、通信部３２ａによりＣＡＮバス７を介して他のＥＣＵ３ｂ，３ｃ、ＧＷ４、及びＩＯＵ５ａ，５ｂ，５ｃとのデータの送受信が可能である。ＣＡＮバス７を介して送受信されるデータには夫々、データの内容に対応する「ＣＡＮＩＤ」（以下単にＩＤという）が付与されており、各ＥＣＵ３ａ，３ｂ，３ｃは、自身宛のデータに付与されているＩＤを予め記憶部３１ａ，３１ｂ，３１ｃなどに記憶しており、自身宛以外のデータは受信しないようにしてもよい。
【００５３】
なお、ＥＣＵ３ａにおける制御部３０ａ、記憶部３１ａ及び通信部３２ａの一部（コントローラ）は、マイクロコンピュータとして構成されてもよい。
【００５４】
このように構成されるＥＣＵ３ａの制御部３０ａは、制御プログラム３３ａに基づき、センサ１ａ，１ｄからのデータがＩＯＵ５ａ，５ｂから送信された場合にこれを受信する処理、受信したデータを用いて演算を行なう処理、演算結果によって得られるデータを他のＥＣＵ３ｂ，３ｃで用いられるようにＣＡＮバス７へ送信する処理、又はアクチュエータ２ａ，２ｂの動作を制御すべく通信部３２ａによりＣＡＮバス７へ送信する処理など、車載制御システムを構成する制御装置としての処理を行なう。
【００５５】
ＥＣＵ３ａの制御部３０ａは、上述の処理に加え、自身に障害が発生した場合にＧＷ４における代替処理を可能とするための代替処理データをＧＷ４へ送信しておく。代替処理データは具体的には、制御プログラム３３ａの複製、制御プログラム３３ａの簡易版などである。特有の参照テーブルなどを含んでもよい。
【００５６】
また、制御部３０ａは、定期的に自身の動作状況を示す情報を、通信部３２ａを介してデータとしてＣＡＮバス７へ送信する。なお、ＧＷ４から送信される動作状況の問い合わせメッセージを受信した場合に、当該メッセージへの応答として自身の動作状況を示す情報を送信するようにしてもよい。
【００５７】
また、ＥＣＵ３ａは制御部３０ａの処理により、他のＥＣＵ３ｂ，３ｃにおける障害の発生を検知する。ＥＣＵ３ａ，３ｂ，３ｃは相互に障害の発生を検知した場合、当該障害が発生したＥＣＵを識別する情報を含めて障害発生通知をＣＡＮバス７へ送信する。障害発生通知がＣＡＮバス７へ送信されることにより、他のＥＣＵ３ｃ、ＧＷ４及びＩＯＵ５ａ，５ｂ，５ｃにて障害発生を認識することが可能である。
【００５８】
障害発生検知については、ＩＯＵ５ａ，５ｂ，５ｃでも検知してもよい。ＩＯＵ５ａ，５ｂ，５ｃは、自身に接続されているアクチュエータ２ａ，２ｂ，…を制御するためにＥＣＵ３ａ，３ｂ，３ｃのいずれかから周期的に送信されるべき制御データを受信できない場合、制御データの送信元のＥＣＵにて障害が発生していると検知し、障害発生を他へ通知する。なお、ＩＯＵ５ａ，５ｂ，５ｃは、センサ１ａ，１ｂ，…から定期的に出力されるべきデータが出力されない場合、当該センサにて障害が発生したと検知し、障害発生を通知してもよい。
【００５９】
また、ＥＣＵ３ａは、自己診断及び自己修復機能により、障害が発生したとしても復旧が可能な場合には復旧する。具体的には例えば、制御部３０ａは、一のプロセスを実行することによりＣＰＵの使用率が所定の比率以上となるなどの暴走状態となった場合、自身にリセット信号を入力させる。ＥＣＵ３ａの制御部３０ａは、復旧した後は上述のように制御プログラム３３ａに基づく車載制御システムを構成する制御装置としての処理を実行すると共に、動作状況を示す情報の定期的送信なども再開する。
【００６０】
復旧についても、ＥＣＵ３ａの制御部３０ａは、他のＥＣＵ３ｂ，３ｃにて障害が発生した後に復旧した場合にこれを検知する。制御部３０ａは、復旧を検知した場合、復旧したＥＣＵを識別する情報を含めて復旧通知をＣＡＮバス７へ送信する。復旧通知がＣＡＮバス７へ送信されることにより、他のＥＣＵ３ｃ、ＧＷ４及びＩＯＵ５ａ，５ｂ，５ｃにて復旧を認識することが可能である。
【００６１】
ＧＷ４は、制御部４０と、記憶部４１と、通信部４２とを備える。制御部４０には、ＣＰＵを利用する。記憶部４１には、フラッシュメモリ、ＥＥＰＲＯＭなどのメモリが用いられ、制御部４０が読み出してゲートウェイ機能を実現すべく実行する制御プログラム４３のみならず、ＥＣＵ３ａ，３ｂ，３ｃの肩代わりとして代替処理を実行するための代替処理用制御プログラム４４ａ，４４ｂ，４４ｃが記憶されている。代替処理を実行するためのデータは制御部４０が実行する制御プログラムに限らず、特有のテーブル、制御データなどでもよい。なお、代替処理用制御プログラム４４ａ，４４ｂ，４４ｃは、ＧＷ４が備えるＤＲＡＭ（Dynamic Random Access Memory）又はＳＲＡＭ（Static Random Access Memory）などを用いた一時記憶部に一時的に記憶される構成でもよい。
【００６２】
通信部４２は、ＣＡＮバス７を介したＣＡＮプロトコルに準じた通信を実現する。ＣＡＮコントローラ及びＣＡＮトランシーバを用いる。制御部４０は、通信部４２によりＣＡＮバスを介してＥＣＵ３ａ，３ｂ，３ｃ、及びＩＯＵ５ａ，５ｂ，５ｃとのデータの送受信が可能である。
【００６３】
ＧＷ４は、複数の異なるＣＡＮバス７に接続されており、ＣＡＮバス７，７間のデータの送受信を中継するため、記憶部４１に記憶されている制御プログラム４３に基づき、通信部４２にて受信できるデータ、即ちＣＡＮバス７に送信されたデータを全て監視する。ＧＷ４は、受信するデータに付与されているデータのＩＤと、中継の要否と、中継先との対応を記憶部４１に記憶しておき、各データの中継の要否を判断して必要な場合に中継する所謂ゲートウェイ機能を発揮する。
【００６４】
このように構成されるＧＷ４の制御部４０は、ゲートウェイ機能に加えて、各ＥＣＵ３ａ，３ｂ，３ｃから代替処理を実現するために送信される代替処理データを受信した場合、記憶部４１に記憶しておく。具体的には、例えば制御部４０は、各ＥＣＵ３ａ，３ｂ，３ｃから代替処理データとして送信される夫々の制御プログラムの複製を受信し、図２に示しているように、代替処理用制御プログラム４４ａ，４４ｂ，４４ｃとして夫々記憶しておく。制御部４０は、代替処理データの送信元のＥＣＵ３ａ，３ｂ，３ｃを識別する情報と、記憶部４１に記憶した各代替処理データとの対応を記憶しておく。ＥＣＵ３ａ，３ｂ，３ｃのいずれかにて障害が発生した場合、制御部４０は当該ＥＣＵを特定し、記憶部４１に記憶してある対応に基づき、代替処理データを読み出して代替処理を実行する。
【００６５】
ＧＷ４の制御部４０は更に、ゲートウェイ機能に加えて、ＥＣＵ３ａ，３ｂ，３ｃのいずれかにおける障害の発生を検知する。具体的には、ＧＷ４の制御部４０は、上述のＥＣＵ３ａ，３ｂ，３ｃから定期的に送信される動作状況を示す情報を通信部４２にて受信する。そして制御部４０は、受信の有無又は受信した情報が示す動作状況の内容によって、ＥＣＵ３ａ，３ｂ，３ｃの夫々における動作状況を認識し、障害が発生しているか否かを判断する。
【００６６】
更に制御部４０は障害発生の検知とは逆に、ＥＣＵ３ａ，３ｂ，３ｃのいずれかで障害が発生した後の復旧を検知する。制御部４０は、ＥＣＵ３ａ，３ｂ，３ｃから定期的に送信される動作状況を示す情報の受信の有無、又は受信した情報が示す動作状況の内容によって、ＥＣＵ３ａ，３ｂ，３ｃの動作状況を認識し、障害が復旧しているか否かを判断する。
【００６７】
以下、ＥＣＵ３ａ，３ｂ，３ｃ及びＧＷ４による代替処理データの送受信処理、障害発生検知の処理、及び代替処理の実行過程を、フローチャートを参照して説明する。
【００６８】
図３は、実施の形態１のＥＣＵ３ａ，３ｂ，３ｃ及びＧＷ４による代替処理データの送受信処理の一例を示すフローチャートである。図３では、ＥＣＵ３ｂ，３ｃによる処理はＥＣＵ３ａによる処理と同様であるため図示を省略する。
【００６９】
ＥＣＵ３ａの制御部３０ａは、自身に障害が発生した場合に備えて代替処理データを通信部３２ａにより送信する（ステップＳ１１）。ＥＣＵ３ａにより代替処理データを送信しておくタイミングは、ＥＣＵ３ａの初期化時、最初の起動時、車両の組み立て工程にて車載制御システム全体の点検時など、物理的な接続関係が確定した時点が好ましい。
【００７０】
ＧＷ４の制御部４０は、通信部４２によりＣＡＮバス７を監視し、代替処理データを受信したか否かを判断する（ステップＳ１２）。制御部４０は、代替処理データを受信していないと判断した場合（Ｓ１２：ＮＯ）、処理をステップＳ１２へ戻し、ＥＣＵ３ａからの代替処理データを受信するまで待機する。
【００７１】
制御部４０は、代替処理データを受信したと判断した場合（Ｓ１２：ＹＥＳ）、受信した代替処理データを代替処理用制御プログラム４４ａとして記憶部４１に記憶する（ステップＳ１３）。制御部４０は、記憶した代替処理データと、代替処理データの送信元のＥＣＵ３ａとの対応を記憶しておく（ステップＳ１４）。なお、ＧＷ４は必ずしも全てのＥＣＵ３ａ，３ｂ，３ｃから代替処理データを受信して記憶しておく必要はない。
【００７２】
また、制御部４０は、初期的な処理として、後述の障害発生又は復旧検知の確認をさせるＥＣＵ（例えばＥＣＵ３ａ）を決定し、ＥＣＵの識別情報を登録しておく（ステップＳ１５）。
【００７３】
このように、車載制御システムの物理的な接続関係が確定している時点で、ＥＣＵ３ａ，３ｂ，３ｃから代替処理データを受信して記憶しておくことにより、多様なシステム設計に対応して障害発生時の代替処理を実行することができる。なお、図３のフローチャートに示す処理の内、ＧＷ４側のステップＳ１２〜Ｓ１４の処理を常時一定時間毎に実行しており、ＥＣＵ３ａ，３ｂ，３ｃは、自身の障害の発生が予見できたタイミングでステップＳ１１の処理を実行する構成としてもよい。この場合、予めＧＷ４の記憶部４１に多数の代替処理データ（本実施の形態では代替処理用制御プログラム）を記憶しておかずともよく、記憶部４１の記憶容量を節約できる。
【００７４】
図４は、実施の形態１のＧＷ４の制御部４０により実行される処理手順の一例を示すフローチャートである。
【００７５】
制御部４０は、通常のゲートウェイ機能を発揮する処理を実行し（ステップＳ２１）、当該通常処理中に定期的に、後述する障害発生検知処理を実行する（ステップＳ２２）。そして制御部４０は、当該処理により障害発生を検知したか否かを判断する（ステップＳ２３）。制御部４０は、障害発生を検知していないと判断した場合（Ｓ２３：ＮＯ）、処理をステップＳ２１へ戻して通常処理に戻る。
【００７６】
制御部４０は、障害発生検知処理により障害発生を検知したと判断した場合（Ｓ２３：ＹＥＳ）、障害が発生したＥＣＵを特定し（ステップＳ２４）、特定したＥＣＵから送信されて記憶部４１に記憶してある代替処理データを読み出し（ステップＳ２５）、実行する（ステップＳ２６）。このとき、制御部４０は、自身のゲートウェイ機能を発揮する通常の処理も継続して実行する。
【００７７】
次に制御部４０は、障害が発生したＥＣＵの復旧検知処理を実行し（ステップＳ２７）、当該処理により障害復旧を検知したか否かを判断する（ステップＳ２８）。制御部４０は、障害復旧を検知していないと判断した場合（Ｓ２８：ＮＯ）、処理をステップＳ２６へ戻して代替処理データの実行を続行し、その中で復旧検知処理を実行する。
【００７８】
制御部４０は、復旧検知処理により障害復旧を検知したと判断した場合（Ｓ２８：ＹＥＳ）、障害が復旧したＥＣＵに対応する代替処理データの実行を停止し（ステップＳ２９）、処理を終了する。
【００７９】
これにより、車載制御システムにおいてＥＣＵ３ａにて障害が発生した場合であっても、ＧＷ４がＥＣＵ３ａで実行されていた処理を肩代わりするので、車載制御システムの機能は維持される。ＥＣＵ３ａが自身の処理のために使用していたセンサ１ａからのデータは、ＩＯＵ５ａを介してＣＡＮバス７へ送信されるので、ＧＷ４はこれを依然として利用できる。ＥＣＵ３ａに障害が発生したことによって、センサ１ａからのデータを取得できず、代替処理を十分に行なえなかった従来の構成と比較して、より確実にシステムの機能を維持することができ、信頼性が向上する。
【００８０】
なお、ここでＧＷ４の制御部４０は、ＥＣＵ３ａの代替処理を実行することによってＣＡＮバス７へ、ＥＣＵ３ａが送信していたデータを送信する場合、当該データに付与するＩＤは、代替処理用のＩＤを付与する。
【００８１】
図５は、実施の形態１における車載制御システムにて送受信されるデータに付与されるＩＤの内容例を示す説明図である。ＥＣＵ３ａ，３ｂ，３ｃ、ＧＷ４及びＩＯＵ５ａ，５ｂ，５ｃでは、図５の説明図に示すようなデータの内容とＩＤとの対応を記憶しておき、各データを識別する。
【００８２】
図５には、ＩＤ「０１０」が付与されるデータは「Ａ」で識別されるＥＣＵ３ａを送信元とし、例えば送信周期は２０ｍｓｅｃであり、代替処理が実行される場合にはＩＤは「０１１」が付与されて送信されることが示されている。また、ＩＤ「０２０」が付与されるデータは「Ｃ」で識別されるＥＣＵ３ｃを送信元とし、例えば送信周期は２００ｍｓｅｃであるが、代替処理が実行される場合にはＩＤは「０２１」が付与され、しかも送信周期は４００ｍｓｅｃで送信されることが示されている。このように、代替処理の実行の場合は、送信されるデータの精度が１６ビットから８ビットに低下すること、送信周期が長くなることなどが許容されるとする。
【００８３】
また、図５に示す内容例では、「Ｂ」で識別されるＥＣＵ３ｂが送信元であるデータに付与されているＩＤは「１００」であり、ＥＣＵ３ｂにて障害が発生した場合の代替処理用のＩＤは「１０１」であることが示されている。例えば、ＥＣＵ３ｂから送信されるデータを使用するＥＣＵ３ａの制御部３０ａは、ＩＤが「１００」であるデータを受信する。制御部３０ａは、ＥＣＵ３ｂにて障害が発生してＩＤが「１００」であるデータを受信できなくなった後に、ＩＤが「１０１」のデータがＣＡＮバス７へ送信された場合、これを代替処理の実行によって送信されたデータであると認識し、受信して使用する。後にＥＣＵ３ｂの障害が復旧して、ＥＣＵ３ｂが再度自身の処理によりＩＤが「１００」であるデータの送信を開始した場合、ＥＣＵ３ａの制御部３０ａは、ＣＡＮバス７からＩＤが「１００」のデータを通信部３２ａにより受信し、ＥＣＵ３ｂが復旧したことを検知し、以後は代替処理によって送信されるＩＤが「１０１」のデータは使用しない。
【００８４】
このように、正常時のＩＤと代替処理用のＩＤとを識別可能とすることにより、各データを用いるＥＣＵ３ａ，３ｂ，３ｃ、ＧＷ４及びＩＯＵ５ａ，５ｂ，５ｃにて障害発生及び復旧を各自で認識することが可能となり、システム全体で障害及び復旧への対応を連携して迅速に実行することができる。
【００８５】
次に、障害検知処理及び復旧検知処理の詳細について説明する。図６は、実施の形態１におけるＧＷ４による障害検知処理の手順の一例を示すフローチャートである。図６のフローチャートに示す処理手順は、図４のフローチャートに示したステップＳ２２の障害発生検知処理の詳細に対応する。なお、以下の説明ではＥＣＵ３ａ，３ｂ，３ｃ側の通知処理の例としてＥＣＵ３ａの処理を挙げて説明するが、ＥＣＵ３ｂ，３ｃの処理も同様であるから詳細な説明は省略する。
【００８６】
ＥＣＵ３ａの制御部３０ａは、通常の処理を実行するが（ステップＳ３１）、上述のように、動作状況を示す情報を一定周期にて定期的に取得してデータとして通信部３２ａにより送信する（ステップＳ３２）。このとき、動作状況を示す情報は、例えばＣＰＵ、メモリ、通信などの各資源の使用率である。メモリの空き容量を含めてもよい。
【００８７】
そしてＥＣＵ３ａの制御部３０ａは、他のＥＣＵ３ｂ，３ｃにて障害を検知したか否かを判断する（ステップＳ３３）。制御部３０ａは、通信部３２ａにより送受信するデータに基づき、他のＥＣＵ３ｂ，３ｃの障害を検知できる。例えば、ＥＣＵ３ａは、ＥＣＵ３ｂにおける演算によって求められ、周期的にＣＡＮバス７へ送信されるデータを使用する場合、当該データがＥＣＵ３ｂから送信されない場合にＥＣＵ３ｂにて障害が発生したと検知する。また、制御部３０ａは、データに含まれる数値情報が所定の正常範囲外である場合に、障害が発生したと検知してもよいし、正常範囲外の数値情報が所定の回数Ｎ回以上連続した場合に初めて、障害が発生したと検知してもよい。
【００８８】
ＥＣＵ３ａの制御部３０ａは、他のＥＣＵ３ｂ，３ｃの障害を検知しないと判断した場合（Ｓ３３：ＮＯ）、処理をステップＳ３１へ戻して通常の処理を実行し続け、一定周期が到来する都度に動作状況を示す情報の送信を繰り返す。制御部３０ａは、障害を検知したと判断した場合（Ｓ３３：ＹＥＳ）、障害の発生を他へ通知する（ステップＳ３４）。具体的には、制御部３０ａは、障害が発生したＥＣＵ（例えばＥＣＵ３ｂ）を特定し、特定したＥＣＵ３ｂの識別情報を含めて、障害発生通知用のＩＤを付与したデータを通信部３２ａによりＣＡＮバス７へ送信する。これにより、ＧＷ４、他のＥＣＵ３ｃ、及びＩＯＵ５ａ，５ｂ，５ｃが障害発生を認識することが可能である。
【００８９】
これに対し、ＧＷ４の制御部４０は、通信部４１によりＥＣＵ３ａ，３ｂ，３ｃから定期的に送信されるべき動作状況を示す情報を受信する（ステップＳ４１）。制御部４０は、受信する情報に基づきＥＣＵ３ａ，３ｂ，３ｃのいずれかで障害が発生しているか否かを判断する（ステップＳ４２）。詳細には、制御部４０は、定期的に送信されるべき動作状況を示す情報を、あるＥＣＵから所定の周期に相当する時間を超過して受信できない場合、当該ＥＣＵにて障害が発生したと判断する。また、制御部４０は、各ＥＣＵ３ａ，３ｂ，３ｃの動作状況を示す情報に基づき、ＣＰＵの使用率が所定の比率以上である場合に、障害が発生したと判断してもよいし、メモリの空き領域が所定値未満である場合に障害が発生したと判断してもよい。
【００９０】
制御部４０は、ステップＳ４２にて障害が発生したと判断した場合（Ｓ４２：ＹＥＳ）、制御部４０のみの判断では確定せず、図３のフローチャートに示した初期的処理にて決定した障害発生検知のＥＣＵへ、障害が発生したと認識しているか否かを問い合わせる（ステップＳ４３）。制御部４０は、当該ＥＣＵからの応答の有無を判断し（ステップＳ４４）、応答無と判断した場合は（Ｓ４４：ＮＯ）ステップＳ４４へ処理を戻して応答が有るまで待機する。このとき、所定の待機時間の上限を超過しても応答が無い場合は、処理を終了する。このとき、当該障害発生検知のＥＣＵにて障害が発生したと判断することができる。また、応答の有無の判断回数に上限を設け、制御部４０は、上限回数を超過した場合には処理を終了する。このときも該障害発生検知のＥＣＵにて障害が発生したと判断する。
【００９１】
制御部４０は、応答有りと判断した場合（Ｓ４４：ＹＥＳ）、応答の内容に基づき、障害の発生が障害発生検知のＥＣＵでも確認されているか否かを判断する（ステップＳ４５）。制御部４０は、障害発生が確認されていない場合は（Ｓ４５：ＮＯ）、障害発生検知処理を終了して、処理を図４のフローチャートのステップＳ２２へ戻す。このとき、ＧＷ４の判断にて障害発生を検知したが、未確定の状態となる。後述の処理により障害発生検知のＥＣＵを含む各ＥＣＵ３ａ，３ｂ，３ｃでも障害発生が確認されていると判断するまで、未確定となる。
【００９２】
制御部４０は、ステップＳ４５にて障害の発生が障害発生検知のＥＣＵでも確認されていると判断した場合（Ｓ４５：ＹＥＳ）、障害発生を確定し（ステップＳ４６）、障害発生検知処理を終了して処理を図４のフローチャートのステップＳ２２へ戻す。このとき、障害発生が確定されているので、ステップＳ２２では障害が発生したと判断される。
【００９３】
更に制御部４０は、各ＥＣＵ３ａ，３ｂ，３ｃ又はＩＯＵ５ａ，５ｂ，５ｃから送信される障害発生通知の受信により、障害発生を検知してもよい。そこでステップＳ４２にて、制御部４０は、受信した動作状況を示す情報からは障害が発生していないと判断した場合（Ｓ４２：ＮＯ）、他の装置から障害発生通知を複数受信したか否かを判断する（ステップＳ４７）。制御部４０は、障害発生通知を複数から受信していないと判断した場合（Ｓ４７：ＮＯ）、そのまま障害発生検知処理を終了して、処理を図４のフローチャートのステップＳ２３へ戻す。
【００９４】
制御部４０は、障害発生通知を複数から受信したと判断した場合（Ｓ４７：ＹＥＳ）、障害発生を確定し（Ｓ４６）、障害発生検知処理を終了して、処理を図４のフローチャートのステップＳ２３へ戻す。
【００９５】
なおステップＳ４７の処理は、より確実性を向上させるために複数から障害発生通知を受信したか否かを判断する構成としたが、障害発生通知を外部から１つでも受信した場合には障害発生を確定する構成としてもよい。また、外部から障害発生通知を１つでも受信した場合（Ｓ４７：ＹＥＳ）、障害発生を一時的に記憶しておき、再度障害発生検知処理を実行して各ＥＣＵ３ａ，３ｂ，３ｃからの動作状況を示す情報に基づき、障害発生を確認し、このとき確認できた場合はステップＳ４３〜４５の処理をスキップして障害発生を確定させる（Ｓ４６）構成としてもよい。
【００９６】
図７は、実施の形態１におけるＧＷ４による復旧検知処理の手順の一例を示すフローチャートである。図７のフローチャートに示す処理手順は、図４のフローチャートに示したステップＳ２７の復旧検知処理の詳細に対応する。なお、以下の説明ではＥＣＵ３ａ，３ｂ，３ｃ側の通知処理の例としてＥＣＵ３ａの処理を挙げて説明するが、ＥＣＵ３ｂ，３ｃの処理も同様であるから詳細な説明は省略する。
【００９７】
ＥＣＵ３ａの制御部３０ａは、自身の通常の動作を実行すると共に（ステップＳ５１）、自身の動作状況を示す情報を一定周期にて通信部３２ａにより送信する（ステップＳ５２）。図６のフローチャートのステップＳ３１と同一である。
【００９８】
そして制御部３０ａは、他のＥＣＵ３ｂ，３ｃにて障害が復旧したか否かを判断する（ステップＳ５３）。制御部３０ａは、ＥＣＵ３ｂからの送信が停止していたデータが、再度ＣＡＮバス７に送信され、通信部３２ａにて正常に受信できた場合、ＥＣＵ３ｂの障害が復旧したと検知する。制御部３０ａは、データに含まれる数値情報が所定の正常範囲内である場合に、障害が復旧したことを検知してもよいし、また、所定の回数Ｎ回以上、正常範囲内の数値情報が得られた場合に初めて、障害が復旧したことを検知してもよい。
【００９９】
制御部３０ａは、他のＥＣＵ３ｂ，３ｃの復旧を検知しないと判断した場合（Ｓ５３：ＮＯ）、処理をステップＳ５１へ戻して通常の処理を実行し続け、一定周期が到来していれば動作状況を示す情報の送信を行なう。制御部３０ａは、復旧を検知したと判断した場合（Ｓ５３：ＹＥＳ）、障害の復旧を他へ通知する（ステップＳ５４）。具体的には、復旧したＥＣＵ３ｂの識別情報を含めて、障害復旧通知用のＩＤを付与したデータを通信部３２ａによりＣＡＮバス７へ送信する。これにより、ＧＷ４、他のＥＣＵ３ｃ、及びＩＯＵ５ａ，５ｂ，５ｃが障害復旧を認識することが可能である。
【０１００】
これに対し、ＧＷ４の制御部４０は、通信部４１によりＥＣＵ３ａ，３ｂ，３ｃから定期的に送信されるべき動作状況を示す情報を受信する（ステップＳ６１、なおＳ４１と同様の処理）。制御部４０は、受信する情報に基づき障害が発生したＥＣＵが復旧しているか否かを判断する（ステップＳ６２）。詳細には、制御部４０は、障害が発生していたＥＣＵからの動作状況を示す情報の受信が再開された場合は、当該ＥＣＵにおける障害が復旧したと判断する。また、制御部４０は、各ＥＣＵ３ａ，３ｂ，３ｃの動作状況を示す情報に基づき、ＣＰＵの使用率が所定の比率未満である場合に障害が復旧したと判断してもよいし、メモリの空き領域が所定値以上である場合に障害が復旧したと判断してもよい。
【０１０１】
制御部４０は、ステップＳ６２にて障害が復旧したと判断した場合（Ｓ６２：ＹＥＳ）、制御部４０のみの判断では確定せず、図３のフローチャートに示した初期的処理にて決定した障害発生検知のＥＣＵへ、障害が復旧したと認識しているか否かを問い合わせる（ステップＳ６３）。制御部４０は、当該ＥＣＵからの応答の有無を判断し（ステップＳ６４）、応答無と判断した場合は（Ｓ６４：ＮＯ）ステップＳ６４へ処理を戻して応答が有るまで待機する。このとき、所定の待機時間の上限を超過しても応答が無い場合は、復旧検知処理を終了する。このとき、当該障害発生検知のＥＣＵにて障害が発生しており、復旧していないと判断することができる。また、応答の有無の判断回数に上限を設け、制御部４０は、上限回数を超過した場合には処理を終了する。このときも該障害発生検知のＥＣＵにて未だ障害が発生しており、復旧していないと判断する。
【０１０２】
制御部４０は、応答有りと判断した場合（Ｓ６４：ＹＥＳ）、応答の内容に基づき、障害の復旧が障害発生検知のＥＣＵでも確認されているか否かを判断する（ステップＳ６５）。制御部４０は、障害復旧が確認されていない場合は（Ｓ６５：ＮＯ）、復旧検知処理を終了して、処理を図４のフローチャートのステップＳ２８へ戻す。このとき、ＧＷ４の判断にて復旧を検知したが、未確定の状態となる。後述の処理により障害発生検知のＥＣＵを含む各ＥＣＵ３ａ，３ｂ，３ｃでも復旧が確認されていると判断するまで、未確定となる。
【０１０３】
制御部４０は、ステップＳ６５にて障害の復旧が障害発生検知のＥＣＵでも確認されていると判断した場合（Ｓ６５：ＹＥＳ）、障害復旧を確定し（ステップＳ６６）、復旧検知処理を終了して処理を図４のフローチャートのステップＳ２８へ戻す。このとき、障害復旧が確定されているので、ステップＳ２８では障害が復旧したと判断される。
【０１０４】
更に制御部４０は、各ＥＣＵ３ａ，３ｂ，３ｃ又はＩＯＵ５ａ，５ｂ，５ｃから送信される障害復旧通知の受信により、障害復旧を検知してもよい。そこでステップＳ６２にて、制御部４０は、受信した動作状況を示す情報からは障害が復旧していないと判断した場合（Ｓ６２：ＮＯ）、他の装置から障害復旧通知を複数受信したか否かを判断する（ステップＳ６７）。制御部４０は、障害復旧通知を複数から受信していないと判断した場合（Ｓ６７：ＮＯ）、そのまま復旧検知処理を終了して、処理を図４のフローチャートのステップＳ２８へ戻す。
【０１０５】
制御部４０は、障害復旧通知を複数から受信したと判断した場合（Ｓ６７：ＹＥＳ）、障害復旧を確定し（Ｓ６６）、復旧検知処理を終了して、処理を図４のフローチャートのステップＳ２８へ戻す。
【０１０６】
ステップＳ６７の処理は、より確実性を向上させるために複数から障害復旧通知を受信したか否かを判断する構成としたが、障害復旧通知を外部から１つでも受信した場合には障害復旧を確定する構成としてもよい。また、外部から障害復旧通知を１つでも受信した場合（Ｓ６７：ＹＥＳ）、障害復旧を一時的に記憶しておき、再度復旧検知処理を実行して各ＥＣＵ３ａ，３ｂ，３ｃからの動作状況を示す情報に基づき、障害復旧を確認し、このとき確認できた場合はステップＳ６３〜Ｓ６５の処理をスキップして障害復旧を確定させる（Ｓ６６）構成としてもよい。
【０１０７】
このように、ＧＷ４の制御部４０は、自身の処理により障害発生を検知した場合、及び障害復旧を検知した場合でも、障害発生検知のＥＣＵとして特定したＥＣＵでも認識しているかが確認されたとき、又は、他のＥＣＵ３ａ，３ｂ，３ｃ、ＩＯＵ５ａ，５ｂ，５ｃなどの装置から通知がされたときに初めて、障害が発生したこと、障害が復旧したことを確定させる。これにより、誤って障害発生又は障害復旧を検知する可能性を低減し、より信頼性を向上させることができる。
【０１０８】
なお、実施の形態１では、上述のように障害発生検知処理、及び復旧検知処理にて、確定処理を含む構成としたが、本発明はこれに限らず、ステップＳ４３〜Ｓ４７、及びステップＳ６３〜Ｓ６７の処理を省略し、ＧＷ４の制御部４０が単独で動作状況に基づいて障害発生、又は障害復旧を検知する構成としてもよい。
【０１０９】
（実施の形態２）
実施の形態１では、代替処理をＧＷ４にて実行する構成とした。これに対し、実施の形態２では、ＧＷ４は障害発生を検知した場合、自身を含めて障害が発生したＥＣＵ以外の装置の内で処理負荷が比較的に軽い装置を特定し、当該装置にて代替処理を実行させる構成とする。
【０１１０】
実施の形態２における車載制御システムのハードウェア的な構成は、実施の形態１における構成と同様であり、ＧＷ４の代替処理の手順が相違する。したがって、実施の形態１と共通する構成については同一の符号を付して詳細な説明を省略し、相違する代替処理の手順について、以下説明する。
【０１１１】
図８は、実施の形態２におけるＧＷ４の制御部４０及びいずれかのＥＣＵ３ａ，３ｂ，３ｃにより実行される処理手順の一例を示すフローチャートである。なお、図８のフローチャートに示す処理手順の内、実施の形態１における図４のフローチャートに示した処理手順と共通する手順については、同一のステップ番号を付して詳細な説明を省略する。
【０１１２】
ＧＷ４の制御部４０は、障害が発生したと判断した場合に（Ｓ２３：ＹＥＳ）、障害が発生したＥＣＵ（例えばＥＣＵ３ｂ）を特定すると（Ｓ２４）、各ＥＣＵ３ａ，３ｃから定期的に送信される動作状況を示す情報に基づき、ＥＣＵ３ａ，３ｃ及び自身の動作状況を比較する（ステップＳ７１）。制御部４０は、比較に基づき、資源の使用率が他よりも低い装置を、代替処理を実行させる装置として特定する（ステップＳ７２）。具体的には、制御部４０は、ＣＰＵの使用率が最も低い装置、又はメモリの空き容量が最も多い装置などを、代替処理を実行させる装置として特定する。制御部４０は、ステップＳ２４にて特定した障害が発生したＥＣＵの代替処理データを読み出し（Ｓ２５）、ステップＳ７２にて特定した装置へ送信する（ステップＳ７３）。
【０１１３】
なお、制御部４０は、障害が復旧したと判断した場合（Ｓ２８：ＹＥＳ）、ステップＳ７２にて特定した装置へ代替処理データ実行の停止を指示する（ステップＳ７４）。
【０１１４】
代替処理を実行する装置として特定されたＥＣＵ３ａ，３ｃのいずれか（以下、ＥＣＵ３ａとして説明する）では、制御部３０ａがＧＷ４から送信された代替処理データを通信部３２ａにより受信し（ステップＳ７５）、図示しないＤＲＡＭ、ＳＲＡＭなどの一時記憶部に記憶し（ステップＳ７６）、実行する（ステップＳ７７）。
【０１１５】
代替処理を実行する装置として特定されたＥＣＵ３ａの制御部３０ａは、ＧＷ４からの停止指示を受信したか否か、又は自身の検知処理によって障害が発生していたＥＣＵ３ｂの復旧を検知したか否かを判断する（ステップＳ７８）。制御部３０ａは、停止指示を受信せず、且つ復旧を検知していないと判断した場合（Ｓ７８：ＮＯ）、処理をステップＳ７７へ戻して代替処理データの実行を続行する。このとき、制御部３０ａは、自身の通常処理も継続して実行している。制御部３０ａは、停止指示を受信するか、又は復旧を検知したと判断した場合（Ｓ７８：ＹＥＳ）、代替処理データの実行を停止し（ステップＳ７９）、一時記憶部に記憶した代替処理データを消去し（ステップＳ８０）、処理を終了する。
【０１１６】
実施の形態２で、ＥＣＵ３ａがＥＣＵ３ｂの代替処理を実行する場合、ＥＣＵ３ｂ宛にＩＯＵ５ａ，５ｂ，５ｃから送信されていたデータは、ＥＣＵ３ａにて受信されるように変更しなければならない。このとき、ＩＯＵ５ａ，５ｂ，５ｃは障害発生前と同様にデータをＣＡＮバス７へ送信し、ＥＣＵ３ａが代替処理データと共に受信すべきデータのＩＤのリストを受信して記憶しておき、必要なデータを受信する。また、ＩＯＵ５ａ，５ｂ，５ｃが、データの宛先を明示的にＩＤで示してデータを送信する場合、ＩＯＵ５ａ，５ｂ，５ｃはＧＷ４からの通知を受けるか、又は、自身の処理にて障害の発生を検知し、代替処理の実行を開始したＥＣＵ３ａを特定する機能を備え、障害が発生して代替処理が実行されるために宛先を変更すべきことを認識して、障害の発生を検知した場合に代替処理を実行する装置へデータを送信するようにしてもよい。
【０１１７】
実施の形態２に示したように、障害が発生した時点で動作ハードウェア資源の使用率が他よりも低い装置に代替処理を実行させることにより、システム全体の機能を維持して信頼性を向上させることができると共に、システム全体の処理負荷を均等にして効率化させることができる。
【０１１８】
（実施の形態３）
実施の形態１では、センサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…などの各機器が接続されるＩＯＵ５ａ，５ｂ，５ｃは、ＥＣＵ３ａ，３ｂ，３ｃが接続されるＣＡＮバス７で同一のネットワーク内に接続される構成とした。これに対し、実施の形態３では、ＩＯＵ５ａ，５ｂ，５ｃが接続されるネットワークと、ＥＣＵ３ａ，３ｂ，３ｃ群が接続されるネットワークとが分離される構成とする。
【０１１９】
実施の形態３における車載制御システムは、システムを構成するセンサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…などの各機器、各機器が接続されるＩＯＵ５ａ，５ｂ，５ｃ、ＥＣＵ３ａ，３ｂ，３ｃ、及びＧＷ４夫々の内部構成は実施の形態１と同様である。したがって、共通する構成については同一の符号を付して詳細な説明を省略する。
【０１２０】
図９は、実施の形態３の車載制御システムを構成するセンサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…などの各機器、ＥＣＵ３ａ，３ｂ，３ｃ、ＧＷ４、及びＩＯＵ５ａ，５ｂ，５ｃの接続構成を示すブロック図である。
【０１２１】
図９に示すように、実施の形態３における車載制御システムでは、各種センサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…は夫々、信号線６，６，…によりＩＯＵ５ａ，５ｂ，５ｃに接続されている。ＩＯＵ５ａ，５ｂ，５ｃは第１のネットワーク８を介してＧＷ４に接続されている。ＧＷ４には、第１のネットワーク８とは異なる第２のネットワーク９が接続されており、第２のネットワーク９を介してＥＣＵ３ａ，３ｂ，３ｃが相互にデータを送受信するように構成される。
【０１２２】
第１のネットワーク８及び第２のネットワーク９の通信プロトコルはいずれも限定されない。第１のネットワーク８では、ＩＯＵ５ａ，５ｂ，５ｃが多重化通信にて相互にデータを送受信可能な構成でもよいし、ＩＯＵ５ａ，５ｂ，５ｃが夫々、個別にＧＷ４に接続して１対１でデータを送受信する構成でもよい。また、第１のネットワーク８と第２のネットワーク９とは、通信プロトコルは同じでもよい。
【０１２３】
実施の形態１同様に、センサ１ａ，１ｂ，…及びアクチュエータ２ａ，２ｂ，…はＩＯＵ５ａ，５ｂ，５ｃに夫々、ＬＩＮにより通信が可能な構成としてもよい。
【０１２４】
ＥＣＵ３ａ，３ｂ，３ｃ及びＧＷ４による代替処理データの送受信処理、代替処理の実行手順、ＧＷ４による障害検知処理、復旧検知処理は、実施の形態３のように２つの異なるネットワーク８，９を含む構成でも図３乃至図７のフローチャートに示した夫々の処理手順によって実現できる。実施の形態３では、ＩＯＵ５ａ，５ｂ，５ｃはＥＣＵ３ａ，３ｂ，３ｃにおける障害発生及び復旧を各自で検知することは困難である。しかしながら、ＧＷ４が必ず中継する構成とするから、ＩＯＵ５ａ，５ｂ，５ｃがいずれかのＥＣＵ３ａ，３ｂ，３ｃへ宛先を指定してデータを送信する場合、障害の発生又は復旧を認識しなくとも、ＧＷ４の制御部４０にて代替処理を行なうためにそのまま使用すればよい。また、資源に余裕があるいずれかのＥＣＵ３ａ，３ｂ，３ｃにて代替処理を実行する構成の場合も、ＧＷ４の制御部４０が、代替処理を実行している装置を特定してデータの宛先を変えて中継することによって問題なく代替処理が実行される。なお、代替処理実行中は、ＧＷ４からＩＯＵ５ａ，５ｂ，５ｃへデータを送信する際に、代替処理用のＩＤを付与して送信することにより、ＩＯＵ５ａ，５ｂ，５ｃにて代替処理実行中であることを認識することは可能である。
【０１２５】
このように、実施の形態３では、２つの異なるネットワーク８，９にＩＯＵ５ａ，５ｂ，５ｃとＥＣＵ３ａ，３ｂ，３ｃとを夫々接続する構成により、ＩＯＵ５ａ，５ｂ，５ｃはＥＣＵ３ａ，３ｂ，３ｃにおける障害の発生の有無に関わらず、処理を実行できる。ＩＯＵ５ａ，５ｂ，５ｃはデータの送受信先を特に特定する必要がなく、ＩＯＵ５ａ，５ｂ，５ｃにおける処理負荷を軽減化することが可能である。
【０１２６】
実施の形態１乃至３では、ＥＣＵ３ａ，３ｂ，３ｃ、ＧＷ４及びＩＯＵ５ａ，５ｂ，５ｃは、ＣＡＮバス７等のネットワークに接続される構成とした。ただし、通信線を介した有線通信のみならず、無線による通信によっても障害検知処理及び代替処理等の同等の発明を実現できる。
【０１２７】
なお、開示された実施の形態は、全ての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上述の説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。
【符号の説明】
【０１２８】
１ａ，１ｂ，１ｃ，１ｄ，１ｅ，１ｆ，１ｇ，１ｈ センサ（機器）
２ａ，２ｂ，２ｃ，２ｄ アクチュエータ（機器）
３ａ，３ｂ，３ｃ ＥＣＵ（制御装置、障害検知手段、代替処理実行手段）
３１ａ，３１ｂ，３１ｃ 記憶部
４ ＧＷ（中継装置、障害検知手段、代替処理実行手段）
４１ 記憶部（記憶手段）
４４ａ，４４ｂ，４４ｃ 代替処理用制御プログラム（代替処理データ）
５ａ，５ｂ，５ｃ ＩＯＵ（入出力装置）
７ ＣＡＮバス（通信線）
８ 第１のネットワーク（第１の通信線）
９ 第２のネットワーク（第２の通信線）
【特許請求の範囲】
【請求項１】
データを入出力する複数の機器と、該複数の機器が接続されており、各機器が入出力するデータを送受信する一又は複数の入出力装置と、該入出力装置が接続される通信線と、該通信線に接続されており前記入出力装置から送信される各機器からのデータを使用するか、又は他の装置から送信されるデータを使用して前記入出力装置を介してデータを機器へ与えて機器の動作を制御する制御処理を実行する複数の制御装置とを含む制御システムであって、
前記複数の制御装置の内、いずれかの制御装置にて制御処理を実行できない障害発生を検知する障害検知手段と、
該障害検知手段が障害発生を検知した場合、障害が発生した制御装置での制御処理を代替実行する代替処理実行手段と
を備えることを特徴とする制御システム。
【請求項２】
データを入出力する複数の機器と、該複数の機器が接続されており、各機器から入力されるデータを送受信する一又は複数の入出力装置と、該一又は複数の入出力装置が接続される第１の通信線と、前記複数の機器のいずれかからのデータを受信して使用するか、又は他の装置から送信されるデータを使用して前記機器の動作を制御するためのデータを送信する複数の制御装置と、該複数の制御装置が接続される第２の通信線と、第１及び第２の通信線との間でのデータの送受信を中継する中継装置とを含む制御システムであって、
前記複数の制御装置の内、いずれかの制御装置にて制御処理を実行できない障害発生を検知する障害検知手段と、
該障害検知手段が障害発生を検知した場合、障害が発生した制御装置での制御処理を代替実行する代替処理実行手段と
を備えることを特徴とする制御システム。
【請求項３】
前記複数の制御装置は、自身に障害が発生した場合の代替処理を可能とする代替処理データを前記代替処理実行手段へ予め送信する手段を備え、
前記代替処理実行手段は、
各制御装置から送信された代替処理データを記録手段に記録する手段を備え、
前記障害検知手段が障害発生を検知した場合、障害が発生した制御装置を特定し、特定された制御装置から送信された代替処理データを前記記録手段から読み出して代替処理を実行するようにしてあること
を特徴とする請求項１又は２に記載の制御システム。
【請求項４】
各機器からのデータ及び機器へ与えられるデータには、データを夫々識別する識別情報が付与されて前記通信線にて送受信されるようにしてあり、
前記代替処理実行手段は、制御処理によりデータを通信線へ送信する場合、元の識別情報とは異なる代替処理によるデータであることを示す識別情報を付与して通信線へ送信するようにしてあること
を特徴とする請求項１乃至３のいずれかに記載の制御システム。
【請求項５】
前記複数の制御装置は夫々、自身の動作状況を示す情報を定期的に通信線へ送信するようにしてあり、
前記障害検知手段は、各制御装置から送信される動作状況を示す情報に基づき、障害発生を検知するようにしてあること
を特徴とする請求項１乃至４のいずれかに記載の制御システム。
【請求項６】
前記障害検知手段は、
各制御装置へ動作状況の問い合わせを送信する手段と、
問い合わせへの応答を受信する手段と
を備え、
各制御装置からの応答に基づき、障害発生を検知するようにしてあること
を特徴とする請求項１乃至４のいずれかに記載の制御システム。
【請求項７】
前記障害検知手段が障害発生を検知した場合、各制御装置の動作状況の比較に基づき、ハードウェア資源の使用率が他の制御装置よりも低い制御装置を特定する手段と、
該手段が特定した制御装置を前記代替処理実行手段として動作させる手段と
を備えることを特徴とする請求項５又は６に記載の制御システム。
【請求項８】
前記複数の制御装置は夫々、
他の制御装置における障害の発生を検知する手段と、
該手段により障害の発生を検知した場合、障害発生通知を通信線へ出力する手段と
を備え、
前記障害検知手段は、障害の発生を検知した場合、複数の制御装置の内の少なくとも１つの制御装置から障害発生通知を受信したときに、障害が発生したことを確定するようにしてあること
を特徴とする請求項１乃至７のいずれかに記載の制御システム。
【請求項９】
障害が発生した制御装置による制御処理の復旧を検知する復旧検知手段を更に備え、
該復旧検知手段が復旧を検知した場合、前記代替処理実行手段は代替処理を停止するようにしてあること
を特徴とする請求項１乃至８のいずれかに記載の制御システム。
【請求項１０】
前記複数の制御装置は夫々、
他の制御装置にて発生した障害の復旧を検知する手段と、
該手段により復旧を検知した場合、障害復旧通知を通信線へ出力する手段と
を備え、
前記復旧検知手段は、障害の復旧を検知した場合、複数の制御装置の内の少なくとも１つの制御装置から障害復旧通知を受信したとき、障害が復旧したことを確定するようにしてあること
を特徴とする請求項９に記載の制御システム。
【請求項１１】
前記代替処理実行手段は、前記中継装置が備えること
を特徴とする請求項２に記載の制御システム。
【請求項１２】
前記障害検知手段は、前記中継装置が備えること
を特徴とする請求項２に記載の制御システム。
【請求項１】
データを入出力する複数の機器と、該複数の機器が接続されており、各機器が入出力するデータを送受信する一又は複数の入出力装置と、該入出力装置が接続される通信線と、該通信線に接続されており前記入出力装置から送信される各機器からのデータを使用するか、又は他の装置から送信されるデータを使用して前記入出力装置を介してデータを機器へ与えて機器の動作を制御する制御処理を実行する複数の制御装置とを含む制御システムであって、
前記複数の制御装置の内、いずれかの制御装置にて制御処理を実行できない障害発生を検知する障害検知手段と、
該障害検知手段が障害発生を検知した場合、障害が発生した制御装置での制御処理を代替実行する代替処理実行手段と
を備えることを特徴とする制御システム。
【請求項２】
データを入出力する複数の機器と、該複数の機器が接続されており、各機器から入力されるデータを送受信する一又は複数の入出力装置と、該一又は複数の入出力装置が接続される第１の通信線と、前記複数の機器のいずれかからのデータを受信して使用するか、又は他の装置から送信されるデータを使用して前記機器の動作を制御するためのデータを送信する複数の制御装置と、該複数の制御装置が接続される第２の通信線と、第１及び第２の通信線との間でのデータの送受信を中継する中継装置とを含む制御システムであって、
前記複数の制御装置の内、いずれかの制御装置にて制御処理を実行できない障害発生を検知する障害検知手段と、
該障害検知手段が障害発生を検知した場合、障害が発生した制御装置での制御処理を代替実行する代替処理実行手段と
を備えることを特徴とする制御システム。
【請求項３】
前記複数の制御装置は、自身に障害が発生した場合の代替処理を可能とする代替処理データを前記代替処理実行手段へ予め送信する手段を備え、
前記代替処理実行手段は、
各制御装置から送信された代替処理データを記録手段に記録する手段を備え、
前記障害検知手段が障害発生を検知した場合、障害が発生した制御装置を特定し、特定された制御装置から送信された代替処理データを前記記録手段から読み出して代替処理を実行するようにしてあること
を特徴とする請求項１又は２に記載の制御システム。
【請求項４】
各機器からのデータ及び機器へ与えられるデータには、データを夫々識別する識別情報が付与されて前記通信線にて送受信されるようにしてあり、
前記代替処理実行手段は、制御処理によりデータを通信線へ送信する場合、元の識別情報とは異なる代替処理によるデータであることを示す識別情報を付与して通信線へ送信するようにしてあること
を特徴とする請求項１乃至３のいずれかに記載の制御システム。
【請求項５】
前記複数の制御装置は夫々、自身の動作状況を示す情報を定期的に通信線へ送信するようにしてあり、
前記障害検知手段は、各制御装置から送信される動作状況を示す情報に基づき、障害発生を検知するようにしてあること
を特徴とする請求項１乃至４のいずれかに記載の制御システム。
【請求項６】
前記障害検知手段は、
各制御装置へ動作状況の問い合わせを送信する手段と、
問い合わせへの応答を受信する手段と
を備え、
各制御装置からの応答に基づき、障害発生を検知するようにしてあること
を特徴とする請求項１乃至４のいずれかに記載の制御システム。
【請求項７】
前記障害検知手段が障害発生を検知した場合、各制御装置の動作状況の比較に基づき、ハードウェア資源の使用率が他の制御装置よりも低い制御装置を特定する手段と、
該手段が特定した制御装置を前記代替処理実行手段として動作させる手段と
を備えることを特徴とする請求項５又は６に記載の制御システム。
【請求項８】
前記複数の制御装置は夫々、
他の制御装置における障害の発生を検知する手段と、
該手段により障害の発生を検知した場合、障害発生通知を通信線へ出力する手段と
を備え、
前記障害検知手段は、障害の発生を検知した場合、複数の制御装置の内の少なくとも１つの制御装置から障害発生通知を受信したときに、障害が発生したことを確定するようにしてあること
を特徴とする請求項１乃至７のいずれかに記載の制御システム。
【請求項９】
障害が発生した制御装置による制御処理の復旧を検知する復旧検知手段を更に備え、
該復旧検知手段が復旧を検知した場合、前記代替処理実行手段は代替処理を停止するようにしてあること
を特徴とする請求項１乃至８のいずれかに記載の制御システム。
【請求項１０】
前記複数の制御装置は夫々、
他の制御装置にて発生した障害の復旧を検知する手段と、
該手段により復旧を検知した場合、障害復旧通知を通信線へ出力する手段と
を備え、
前記復旧検知手段は、障害の復旧を検知した場合、複数の制御装置の内の少なくとも１つの制御装置から障害復旧通知を受信したとき、障害が復旧したことを確定するようにしてあること
を特徴とする請求項９に記載の制御システム。
【請求項１１】
前記代替処理実行手段は、前記中継装置が備えること
を特徴とする請求項２に記載の制御システム。
【請求項１２】
前記障害検知手段は、前記中継装置が備えること
を特徴とする請求項２に記載の制御システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２０１１−３９７０２（Ｐ２０１１−３９７０２Ａ）
【公開日】平成２３年２月２４日（２０１１．２．２４）
【国際特許分類】
【出願番号】特願２００９−１８５１３４（Ｐ２００９−１８５１３４）
【出願日】平成２１年８月７日（２００９．８．７）
【出願人】（３９５０１１６６５）株式会社オートネットワーク技術研究所 (2,668)
【出願人】（０００１８３４０６）住友電装株式会社 (6,135)
【出願人】（０００００２１３０）住友電気工業株式会社 (12,747)
【Ｆターム（参考）】
【公開日】平成２３年２月２４日（２０１１．２．２４）
【国際特許分類】
【出願日】平成２１年８月７日（２００９．８．７）
【出願人】（３９５０１１６６５）株式会社オートネットワーク技術研究所 (2,668)
【出願人】（０００１８３４０６）住友電装株式会社 (6,135)
【出願人】（０００００２１３０）住友電気工業株式会社 (12,747)
【Ｆターム（参考）】
[ Back to top ]