CN117581212A

CN117581212A - 车载装置以及启动方法

Info

Publication number: CN117581212A
Application number: CN202280046554.8A
Authority: CN
Inventors: 真锅真; 三宅正人; 田内真纪子; 梶冈繁
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2021-07-02
Filing date: 2022-06-30
Publication date: 2024-02-20
Also published as: US20240101054A1; WO2023277159A1; JPWO2023277159A1

Abstract

数据收集装置(2)具备通过第一控制部(11)进行动作的第一单元以及第二单元(100、110)、第二微型计算机(15)。第二微型计算机(15)检测第一单元(100)以及该第二控制部(15)的异常，第一单元(100)检测第二单元(110)的异常。第二微型计算机(15)在第一单元或者第二单元(100、110)的异常检测时，重新启动第一单元以及第二单元(100、110)，在该第二微型计算机(15)的异常检测时，重新启动第一单元以及第二单元(100、110)、该第二控制部(15)。

Description

车载装置以及启动方法

相关申请的交叉引用

本国际申请基于在2021年7月2日在日本专利局申请的日本专利申请第2021-110911号而主张优先权，通过参照将日本专利申请第2021-110911号的全部内容引用于本国际申请。

技术领域

本公开涉及能够访问云的车载装置、该车载装置的启动方法。

背景技术

像专利文献1中记载的那样，公知有车载装置，该车载装置搭载有具有实时性的OS(以后，RTOS)、不具有实时性的通用的OS(以后，GPOS)。

专利文献1：日本特开2020-201762号公报。

然而，发明者的详细研究的结果为，发现如下的课题，为了提高这样的车载装置的可靠性，需要适当地监视GPOS以及RTOS。

发明内容

本公开的一个技术方案提供提高车载装置的可靠性的技术。

本公开的一个技术方案提供一种车载装置，能够经由通信部访问云，其中，具备第一控制部、第一单元、第二单元、第二控制部。第一控制部具有至少一个物理性的核心。第一单元构成为通过第一控制部进行动作，进行与硬件的控制相关的处理。第二单元构成为通过第一控制部进行动作，进行与服务的提供相关的处理。第二控制部构成为根据启动要因的产生，启动第一控制部。第一控制部构成为，若由第二控制部启动，则使第一单元比第二单元先启动。第二控制部构成为检测第一单元的异常和该第二控制部的异常。第一单元构成为检测第二单元的异常。第二控制部构成为，在检测出第一单元或者第二单元的异常的情况下，重新启动第一单元以及第二单元，并且在检测出该第二控制部的异常的情况下，重新启动第一单元以及第二单元、该第二控制部。

根据上述结构，能够良好地检测第一单元以及第二单元、第二控制部中的异常。而且，在检测出第一单元或者第二单元的异常的情况下，重新启动第一单元以及第二单元，在检测出第二控制部的异常的情况下，重新启动第一单元以及第二单元、第二控制部。因此，能够良好地应对第一单元以及第二单元的异常、第二控制部的异常。因此，能够提高车载装置的可靠性。

此外，在上述车载装置中，作为启动方法，也可以提供由第一控制部以及第二控制部进行的步骤。根据这样的启动方法，得到同样的效果。

附图说明

图1是表示移动性IoT***的结构的框图。

图2是表示数据收集装置的结构的框图。

图3是表示数据收集装置的程序的结构的框图。

图4是实现数据收集装置的各功能的程序的框图。

图5是数据收集装置的动作模式的状态迁移图。

图6是启动处理的流程图。

图7是第二微型计算机监视处理的流程图。

图8是第一单元监视处理的流程图。

图9是低电力模式转移处理的流程图。

图10是停止模式转移处理的流程图。

图11是表示将包含数据收集装置的多个ECU搭载于车辆时的连接状态的框图。

图12是表示变形例中的数据收集装置的程序的结构的框图。

具体实施方式

以下，一边参照附图，一边对本公开的实施方式进行说明。

[1.整体的结构]

如图1所示，本实施方式的移动性IoT***1具备：能够经由广域无线通信网NW访问云3的多个数据收集装置2；以及由云3提供的管理中心3a以及服务提供服务器3b。此外，IoT是Internet of Things(物联网)的缩写。

数据收集装置2搭载于车辆，具有与管理中心3a进行数据通信的功能。以后，将搭载有数据收集装置2的车辆记载为本车辆。

管理中心3a管理移动性IoT***1。管理中心3a具有经由广域无线通信网NW，在与多个数据收集装置2以及服务提供服务器3b之间进行数据通信的功能。

服务提供服务器3b例如是用于提供对车辆的运行进行管理的服务的服务器。此外，移动性IoT***1也可以具备服务内容相互不同的多个服务提供服务器。

[2.数据收集装置的结构]

如图2所示，数据收集装置2具备第一微型计算机11、车辆接口(以后，车辆I/F)12、通信部13、存储部14、第二微型计算机15。

第一微型计算机11具备作为物理核心的第一～第三核心21～23、ROM24、RAM25、闪存26、输入输出部27、总线28。

第一微型计算机11的各种功能是通过由第一～第三核心21～23执行储存于非迁移实体记录介质的程序而实现的。在该例中，ROM24以及RAM25相当于储存有程序的非迁移实体记录介质。另外，通过该程序的执行而执行与程序对应的方法。此外，由第一～第三核心21～23实现的功能的一部分或者全部也可以由至少一个IC等硬件实现。

闪存26是能够进行数据改写的非易失性存储器。

输入输出部27是用于在第一微型计算机11的外部与第一～第三核心21～23之间进行数据的输入输出的电路。

总线28将第一～第三核心21～23、ROM24、RAM25、闪存26、以及输入输出部27连接为能够相互进行数据输入输出。

车辆I/F12是输入输出电路，该输入输出电路用于在数据收集装置2与其他的电子控制装置以及传感器等之间进行信号的输入输出。车辆I/F12例如具备电源电压输入端口、通用输入输出端口、CAN通信端口、以太网通信端口、无线LAN通信端口、近距离无线通信端口、GPS通信端口、以及照相机通信端口等。

电源电压输入端口与成为数据收集装置2的电源的本车辆的电池连接，向电源电压输入端口输入电源的电压。

CAN通信端口是用于根据CAN通信协议而进行数据的发送接收的端口。以太网通信端口是用于基于以太网通信协议而进行数据的发送接收的端口。CAN是Controller AreaNetwork(控制器局域网)的的缩写。CAN以及以太网是注册商标。

在CAN通信端口以及以太网通信端口连接有搭载于本车辆的其他的电子控制装置。由此，数据收集装置2能够在与其他的电子控制装置之间进行通信帧的发送接收。

另外，无线LAN通信端口是用于通过无线LAN而进行数据的发送接收的端口。近距离无线通信端口例如是用于通过Bluetooth(注册商标)等近距离无线通信技术而进行数据的发送接收的端口。这些端口能够连接有通信控制装置，数据收集装置2经由与端口连接的通信控制装置，与其他的电子控制装置进行数据的发送接收。

另外，GPS通信端口是供具备GPS的装置连接的端口，数据收集装置2经由GPS通信端口控制GPS。

另外，照相机通信端口是供搭载于本车辆的照相机连接的端口。照相机构成为拍摄本车辆的周边、和/或本车辆内，数据收集装置2经由照相机通信端口控制照相机。

除此之外，在车辆I/F12中的通用输入输出端口例如能够连接有用于进行机械学习的装置或者监视器等这样的各种装置。

通信部13经由通信端口与数据收集装置2连接。通信部13例如通过依据LTE等通信标准的无线通信而访问广域无线通信网NW，经由广域无线通信网NW与云3进行数据通信。

存储部14是用于存储各种数据的存储装置。

第二微型计算机15进行第一微型计算机11的启动以及停止。此外，第二微型计算机15构成为执行具有实时性的处理，与第一微型计算机11相比处理负荷较低。

如图11所示，在本车辆搭载有一个ECU210、多个ECU220、多个ECU230、车外通信装置240、车内通信网250。ECU是Electronic Control Unit(电子控制单元)的缩写。

ECU210通过总括多个ECU220，而实现作为车辆整体取得了协作的控制。

ECU220按照根据车辆中的功能划分出的每个域而设置，主要执行存在于该域内的多个ECU230的控制。各ECU220分别经由单独地设置的下层网络(例如，CAN)而与下属的ECU230连接。ECU220具有统一地管理针对下属的ECU230的访问权限等并进行利用者的认证等的功能。域例如是动力传动***、车身、底盘以及座舱等。

与属于动力传动***的域的ECU220连接的ECU230例如包含控制发动机的ECU230、控制马达的ECU230、以及控制电池的ECU230等。

与属于车身的域的ECU220连接的ECU230例如包含控制空调的ECU230、以及控制车门的ECU230等。

与属于底盘域的ECU220连接的ECU230例如包含控制制动器的ECU230、以及控制转向的ECU230等。

与属于座舱的域的ECU220连接的ECU230例如包含控制仪表以及导航的显示的ECU230、以及控制由车辆的乘员操作的输入装置的ECU230等。

车外通信装置240经由广域无线通信网NW，在与车辆外的通信装置(例如，云服务器)之间进行数据通信。

车内通信网250具备CAN FD和以太网。CANFD是CAN with Flexible Data Rate(具有灵活数据速率的CAN)的缩写。CANFD将ECU210与各ECU220以及车外通信装置240进行总线连接。以太网将ECU210与各ECU220以及车外通信装置240之间单独地连接。

ECU210是以具备CPU210a、ROM210b以及RAM210c等的微型计算机为中心而构成的电子控制装置。微型计算机的各种功能是通过由CPU210a执行储存于非迁移实体记录介质的程序而实现的。在该例中，ROM210b相当于储存有程序的非迁移实体记录介质。另外，通过该程序的执行而执行与程序对应的方法。此外，由CPU210a执行的功能的一部分或者全部也可以由一个或多个IC等以硬件方式构成。另外，构成ECU210的微型计算机的数量可以是一个也可以是多个。

ECU220、ECU230以及车外通信装置240均与ECU210同样，是以具备CPU、ROM以及RAM等的微型计算机为中心而构成的电子控制装置。另外，构成ECU220、ECU230以及车外通信装置240的微型计算机的数量可以是一个也可以是多个。ECU220是总括1个以上的ECU230的ECU，ECU210是总括1个以上的ECU220的ECU、或者是总括包含车外通信装置240的车辆整体的ECU220、230的ECU。

数据收集装置2与ECU210连接为能够在与ECU210之间进行数据通信。即，数据收集装置2经由ECU210接收ECU210、220、230的信息。另外，数据收集装置2将与车辆控制相关的请求发送给ECU210，或者经由ECU210发送给ECU220、230。

[3.程序的结构]

数据收集装置2的第一微型计算机11执行存储于ROM24的程序、加载到RAM25的程序。这些程序具备第一单元100以及第二单元110、固件120(参照图3)。

第一单元100由第一核心21执行，具备实时操作***(以后，RTOS)101、至少一个第一应用102。然而，第一单元100也可以不具备第一应用102。此外，应用是应用程序的缩写。在本实施方式中，作为一例，第一单元100具备多个第一应用102。第一应用102主要进行与硬件的控制相关的处理，由第一应用102执行的处理具有实时性。另外，RTOS101使第一应用102进行动作以能够确保基于第一应用102的处理的实时性。第一应用102例如控制与数据收集装置2连接的照相机(未图示)，或者与和数据收集装置2连接的ECU进行通信，经由该ECU进行对其他的电子控制装置的指示。

第二单元110由第二核心22执行，具备通用操作***(以后，GPOS)111、至少一个第二应用115。此外，在本实施方式中，作为一例，第二单元110具备多个第二应用115。第二应用115主要执行用于对用户提供服务的处理。更详细地说，第二应用115也可以进行用于实现由云3提供的服务的处理，也可以在不与云3协作的情况下进行用于实现所提供的服务的处理。另外，由第二应用115执行的处理不具有实时性。另外，GPOS110是在不确保实时性的情况下使第二应用115进行动作的基本软件。此外，作为GPOS111，例如也可以使用Linux(注册商标)。

另外，GPOS111具备设备驱动器112、库113、以及包114，它们构成GPOS111中的软件资源。此外，设备驱动器112是用于控制第一微型计算机11或者设置于其周边的硬件资源的程序。另外，库113以及包114是用于实现特定的功能的程序。

另外，GPOS111具备容器引擎，在GPOS111中进行动作的全部或者一部分的第二应用115进行容器型虚拟化。而且，进行了容器型虚拟化的第二应用115构成为使用设置于GPOS111的设备驱动器112、库113、以及包114而进行处理。

当然，第二单元110也可以具备未进行容器型虚拟化的第二应用115。而且，这样的第二应用115也可以构成为使用设置于GPOS110的设备驱动器112、库113、以及包114而进行处理。

固件120由第三核心23执行，进行第一微型计算机11的引导处理、第一单元100以及第二单元110的启动以及停止。

另外，第一微型计算机11的RAM25的一部分构成为能够由第一～第三核心21～23访问的共享存储器。而且，第一单元100以及第二单元110与固件120(换言之，第一～第三核心21～23)经由共享存储器以及总线28进行数据的发送接收。

[4.关于功能]

数据收集装置2的第一微型计算机11进行用于提供车辆功能和服务功能的处理(参照图4)。车辆功能主要是与数据收集装置2、以及与数据收集装置2连接的电子控制装置的控制相关的功能。另外，数据收集装置2具有进行用于实现由云3提供的服务的处理的作为边缘的功能。服务功能相当于作为边缘的功能。

车辆功能的一部分由通过RTOS101进行动作的第一应用102实现。除此之外，作为用于实现车辆功能的程序，设置有车辆管理部130。车辆管理部130具备安全管理部131、车辆权限管理部132、车辆用户管理部133、车辆状态管理部134。

安全管理部131提供与车辆的安全相关的功能。具体而言，例如，安全管理部131也可以进行车辆数据等的加密这样的用于防止车辆数据等的篡改的处理。

车辆权限管理部132根据使用数据收集装置2的用户的权限，限制对车辆数据等的访问。

车辆用户管理部133进行使用数据收集装置2的用户的追加以及删除，并且设定用户的权限。

车辆状态管理部134进行RTOS101的启动以及停止，并且管理数据收集装置2的电源。

除此之外，作为用于实现车辆功能的程序，设置有API140、标准化处理部141、车辆数据取得部142、云通信部143、GPS控制部144、影像控制部145、传感器控制部146。

API140提供利用用于实现车辆功能的程序时的接口。API140构成为根据赋予用户的权限，而限制程序的利用。

标准化处理部141将由车辆数据取得部142取得的车辆数据变换为标准的形式，将变换后的车辆数据作为标准化车辆数据而保存于闪存26。

车辆数据取得部142经由车辆I/F12，从搭载于本车辆的电子控制装置取得具有车辆数据的通信帧。此外，车辆数据是表示本车辆的状态的数据。具体地，例如，车速、转向操纵角这样的行驶状态、车型等这样的本车辆的属性、燃料或者本车辆的电池的余量等能够相当于车辆数据。

云通信部143经由通信部13与云3进行通信。

GPS控制部144控制与车辆I/F12连接的GPS，检测本车辆的当前地等。

影像控制部145控制与车辆I/F12连接的照相机，拍摄本车辆的周边或者车内，并且取得拍摄图像数据。

传感器控制部146控制与车辆I/F12连接的传感器(例如，UWB等)，取得基于传感器的检测数据。

此外，安全管理部131、车辆状态管理部134、车辆数据取得部142、影像控制部145、以及传感器控制部146通过RTOS101进行动作，包含于第一单元100。另外，车辆权限管理部132、车辆用户管理部133、云通信部143、以及GPS控制部144通过GPOS111进行动作，这些部位包含于第二单元110。另一方面，API140以及标准化处理部141通过RTOS101和GPOS111进行动作，包含于第一单元100以及第二单元110。

另一方面，服务功能的一部分由通过GPOS111进行动作的第二应用115实现。具体而言，例如，第二应用115也可以使用经由车辆I/F12连接的照相机等传感器来检测可疑者，也可以使用经由车辆I/F12连接的碰撞传感器等来检测本车辆的事故。除此之外，作为用于实现车辆功能的程序，具备服务管理部150、API160、以及车辆数据提供部161。另外，服务管理部150具备安全管理部151、进程管理部152、服务权限管理部153、服务用户管理部154、以及边缘状态管理部155。

安全管理部151进行用于确保数据收集装置2访问云3时的安全的处理。具体而言，安全管理部151例如进行向云3发送的数据的加密、从云3接收到的被加密的数据的解码、用于防止对云3以及数据收集装置2的非法访问的处理等。

进程管理部152是管理在GPOS111中进行动作的进程的程序，进行对这些进程的资源的分配等。

服务权限管理部153根据赋予用户的权限，限制对由云3提供的服务的访问。

服务用户管理部154根据赋予用户的权限，限制对搭载于本车辆的功能的访问。

边缘状态管理部155进行GPOS111的启动以及停止，并且进行与数据收集装置2的电源相关的处理。

API160提供利用用于实现服务功能的程序时的接口。API160构成为根据赋予用户的权限，限制程序的利用。

车辆数据提供部161将保存于闪存26的标准化车辆数据发送给云3。在云3中，基于接收到的标准化车辆数据，通过作为虚拟空间的数字双来再现本车辆的状态。

除此之外，例如也可以在设置于第二应用115、GPOS111的库113或者包114(换言之，第二单元110)设置有图像识别功能。而且，例如，也可以通过该图像识别功能，对由拍摄图像数据取得的拍摄图像数据进行解析，进行可疑者等的检测。

[5.关于动作模式]

作为动作模式，数据收集装置2至少设置有服务执行模式200、低电力模式201、停止模式202、初始设定模式203、维护模式204、开发模式205(参照图5)。此外，在数据收集装置2的动作中，成为停止模式202以外的动作模式。

服务执行模式200处于能够进行数据收集装置2对服务的提供的状态，第一微型计算机11以及第二微型计算机15进行动作。即，在服务执行模式200中，第一单元100以及第二单元110能够进行动作。

低电力模式201是通过使数据收集装置2的一部分的功能停止而抑制数据收集装置2的消耗电力的动作模式。在低电力模式201中，第一微型计算机11中的第一单元100以及第二单元110至少停止。在本实施方式中，作为一例，在低电力模式201中第一微型计算机11停止。另外，在低电力模式201中，第二微型计算机15的至少一部分的功能进行动作。

停止模式202是数据收集装置2的动作停止的状态。当然，在停止模式中，第一微型计算机11以及第二微型计算机15的动作停止。

另外，初始设定模式203是能够进行数据收集装置2的初始设定的动作模式，维护模式204是能够进行数据收集装置2的维护的动作模式。另外，开发模式205是用于在数据收集装置2的开发时，进行例如调试等作业的动作模式。

而且，若在低电力模式201中，产生任一个启动要因，则动作模式转移到服务执行模式200。详细情况后述说明，但在本实施方式中，作为一例，进行了本车辆的驾驶开始操作(例如，将电源开关或者键开关接通的操作)、以及受理来自云3或者其他的电子控制装置的启动指示等成为启动要因。在低电力模式201中，也从电池向数据收集装置2供给电力。因此，数据收集装置2例如能够经由通信部13受理来自云3的指示，另外，能够经由车辆I/F12受理来自传感器、其他的电子控制装置的输入。

另外，若在服务执行模式200中进行本车辆的驾驶停止操作，驾驶停止状态持续预先决定的待机时间，则动作模式转移到低电力模式201。此外，也可以根据来自云3的指示，动作模式转移到低电力模式201。另外，驾驶停止操作例如意味着将本车辆的电源开关或者键开关断开的操作。另外，驾驶停止状态例如意味着将电源开关或者键开关断开的状态。

另外，在低电力模式201中，若本车辆的驾驶停止状态持续预先决定的停止时间(作为一例，12小时左右)，则动作模式转移到停止模式202。除此之外，在低电力模式201中，若即使是停止时间的经过前，电源的电压也低于第一阈值，则动作模式转移到停止模式202。另外，也可以根据来自云3的指示，动作模式转移到停止模式202。

此外，在由于电源的电压低于第一阈值而动作模式从低电力模式201转移到停止模式202的情况下，若电源的电压超过第二阈值，则动作模式也可以从停止模式202转移到低电力模式201。此外，第二阈值也可以为与第一阈值相同的值，也可以为比第一阈值大的值。

另外，在数据收集装置2设置有决定从停止模式202转移的动作模式的设定开关。而且，在停止模式202中，进行本车辆的驾驶开始操作，并且在电源的电压超过第二阈值的情况下，根据设定开关的状态，动作模式转移到服务执行模式200、初始设定模式203、维护模式204、开发模式205中的任一个。

此外，若在初始设定模式203中、在维护模式204中、以及在开发模式205中，针对数据收集装置2进行表示作业的完成的操作，则动作模式转移到停止模式202。

[6.关于动作的监视]

在服务执行模式200中，在通过GPOS111进行动作的进程管理部152中，监视第二应用115的动作。而且，检测出例如失控等异常的第二应用115由进程管理部152重新启动。

另外，如上所述，利用第一微型计算机11的第一核心21进行动作的第一单元100具备具有实时性的RTOS101，利用第二核心22进行动作的第二单元110具备不具有实时性的GPOS111。而且，第二单元110与第一单元100相比处理负荷较大，第一单元100与第二单元110相比可靠性较高。另外，第二微型计算机15执行具有实时性的处理，该处理与由第一单元100、第二单元110各自执行的处理相比负荷较低，可靠性较高。

因此，在服务执行模式200中，第一单元100(具体而言，例如，RTOS101或者第一应用102)监视第二单元110的动作。另外，在服务执行模式200中，第二微型计算机15监视第一单元100的动作。另外，在服务执行模式200中，第二微型计算机15例如通过监视计时器等，监视该第二微型计算机15的动作。

而且，如图5所示，在通过第一单元100检测出第二单元110的异常的情况下(210)，以及在通过第二微型计算机15检测出第一单元100的异常的情况下(211)，将第一单元100以及第二单元110重新启动(213)。另外，在检测出第二微型计算机15的异常的情况下，将第二微型计算机15、第一单元100以及第二单元110重新启动(214)。

[7.关于启动处理]

接下来，使用图6的流程图，对在低电力模式中，根据启动要因的产生而启动第一单元100以及第二单元110，将动作模式设为服务执行模式的启动处理进行说明。

在本实施方式中，作为一例，设置有以下的多个启动要因。

(a)在车辆I/F12中，受理进行了本车辆的驾驶开始操作的内容的通知。

(b)在通信部13中，从云3受理启动指示。

(c)在车辆I/F12中，例如经由CAN、以太网、无线LAN、近距离无线通信等，从其他的电子控制装置受理启动指示。

而且，在产生启动要因的情况下，从车辆I/F12或者通信部13对第二微型计算机15输出启动信号。

另外，除此之外，例如也可以将由与数据收集装置2连接的传感器检测出规定的现象的情况作为启动要因。具体而言，例如，将检测可疑者等物体向本车辆的接近的接近传感器与第二微型计算机15连接，将检测出该接近的接近传感器向第二微型计算机15输出的信号作为启动信号。另外，例如，也可以将检测由于向本车辆的碰撞等而产生的振动的振动传感器与第二微型计算机15连接，将检测出该振动的振动传感器向第二微型计算机15输出的信号作为启动信号。

而且，在低电力模式中，第二微型计算机15定期地监视启动信号的输入的有无，若输入启动信号(S300：是)，则启动第一微型计算机11(S305)。此时，在第一微型计算机11中，根据来自第二微型计算机15的指示来启动固件120，开始引导处理。另外，此时，第二微型计算机15基于启动信号等而判定产生了哪个启动要因，并将判定结果通知给第一微型计算机11。

而且，固件120启动第一单元100。具体而言，固件120启动RTOS110(S310)。此外，作为一例，RTOS110的启动需要大约700ms的时间。然后，RTOS110根据启动要因而选择第一应用102(S315)，将所选择的第一应用102启动(S320)。由此，开始根据启动要因而选择的硬件的控制。此外，固件120也可以在后述的初始化处理(S325)的开始后且该初始化处理的完成前，启动RTOS110。另外，固件120也可以基于所产生的启动要因而判定是否启动RTOS110，在产生了特定的启动要因的情况下，启动RTOS110(换言之，第一单元100)。

固件120在RTOS103的启动后，执行初始化处理(S325)。在初始化处理中，例如进行向GPOS111的内核的主存储器(换言之，RAM25)的加载等这样的第二单元110的初始化。除此之外，在初始化处理中，也可以进行第二核心22的端口的设定等。

若初始化处理完成，则固件120启动第二单元110。具体而言，固件120启动GPOS111(S330)。此外，作为一例，GPOS111的启动需要大约7s的时间。而且，GPOS111根据启动要因而选择第二应用115(S335)，启动所选择的第二应用115(S340)。由此，开始根据启动要因而选择的服务的提供。此外，固件120也可以基于所产生的启动要因而判定是否启动GPOS111，在产生特定的启动要因的情况下，启动GPOS111(换言之，第二单元110)。

而且，动作模式从低电力模式转移到服务执行模式(S345)。

此外，如上所述，在停止模式202中，进行本车辆的驾驶开始操作，并且在电源的电压超过第二阈值的情况下，根据设定开关的状态，动作模式转移到服务执行模式200等，但在该情况下，也通过与启动处理同样的处理而启动第一微型计算机11。

具体而言，在停止模式202中，在电源的电压超过第二阈值的情况下，若进行本车辆的驾驶开始操作，则向第二微型计算机15输入启动信号，第二微型计算机15启动。然后，通过与启动处理同样的处理，启动第一微型计算机11。此外，在该情况下，也可以根据设定开关的状态，选择要启动的应用以及OS。另外，在该情况下，在S345中，根据设定开关的状态，动作模式转移到服务执行模式、初始设定模式、维护模式、开发模式中的任一个。

[8.启动处理的具体例]

如上所述，在数据收集装置2中，在动作模式转移到服务执行模式时，能够根据启动要因而选择要启动的应用以及OS。

具体而言，例如，在数据收集装置2中，能够提供使用智能手机等移动终端进行本车辆的上锁以及开锁的数字密钥服务。而且，在提供数字密钥服务时，数据收集装置2在不与云3协作的情况下，控制搭载于本车辆的装置。

即，在低电力模式中，若通过数字密钥服务从移动终端对数据收集装置2进行本车辆的上锁指示或者开锁指示，则数据收集装置2转移到服务执行模式，执行用于进行本车辆的上锁或者开锁的处理。

在提供数字密钥服务的情况下，上锁指示以及开锁指示成为启动要因。车辆I/F12若从移动终端受理上锁指示或者开锁指示，则向第二微型计算机15输出启动信号，被输入启动信号的第二微型计算机15启动第一微型计算机11。而且，第一微型计算机11的固件120启动RTOS110，GPOS111不启动。另外，RTOS110启动第一应用102中的与数字密钥服务相关的第一应用102，其他的第一应用102不启动。

当然，还假定开始数字密钥服务以外的其他的服务的提供的指示成为启动要因的情况。而且，在由于这样的启动要因的产生而动作模式从低电力模式转移到服务执行模式的情况下，还假定GPOS111和一部分的第二应用115启动，RTOS110不启动这样的情况。

[9.关于第二微型计算机监视处理]

接下来，在服务执行模式中，使用图7的流程图对第二微型计算机15检测第一单元100以及该第二微型计算机15的异常的第二微型计算机监视处理进行说明。

在本实施方式中，作为一例，通过作为第二微型计算机15的硬件资源的监视计时器来检测第二微型计算机15的异常。当然，第二微型计算机15也可以利用监视计时器以外的方法检测该第二微型计算机15的异常。在检测出第二微型计算机15的异常的情况下(S400：是)，将第二微型计算机15复位，第二微型计算机15重新启动(S405)。

而且，重新启动后的第二微型计算机15将第一微型计算机11(或者，第一核心21以及第二核心22)复位，然后与启动处理的S305～S340同样，启动第一单元100以及第二单元110(S410)。此外，此时，固件120、RTOS101、以及GPOS111也可以将在检测出异常的紧前进行动作的OS以及应用启动。

另一方面，在未由监视计时器检测出异常的情况下(S400：否)，第二微型计算机15定期地判定是否产生了第一单元100的异常(S415)。具体而言，例如也可以从第一单元100对第二微型计算机15定期地进行通知，在没有该通知的情况下，视为第一单元100产生异常。

而且，在产生第一单元100的异常的情况下(S415：是)，与S410同样，将第一微型计算机11(或者，第一核心21以及第二核心22)复位，然后，启动第一单元100以及第二单元110(S420)。而且，本处理结束。

[10.关于第一单元监视处理]

接下来，在服务执行模式中，使用图8的流程图对第一单元100检测第二单元110的异常的第一单元监视处理进行说明。例如通过RTOS101或者第一应用102定期地执行第一单元监视处理。

在S500中，第一单元100判定第二单元110是否产生了异常。具体而言，例如也可以从第二单元110对第一单元100定期地进行通知，在没有该通知的情况下，视为第二单元110产生异常。而且，在得到肯定判定的情况下(S500：是)，转移到S505，在得到否定判定的情况下(S500：否)，结束本处理。

在S505中，第一单元100向第二微型计算机15通知第二单元110的异常。而且，第二微型计算机15将第一微型计算机11(或者，第一核心21以及第二核心22)复位。然后，与启动处理的S305～S350同样，启动第一单元100以及第二单元110，本处理结束。此外，也可以根据第二单元110的异常的状态，取代第一微型计算机11的复位，进行第二单元110的软件复位。

[11.关于低电力模式转移处理]

接下来，在服务执行模式中，使用图9的流程图对由于驾驶停止操作而使动作模式转移到低电力模式的低电力模式转移处理进行说明。此外，在服务执行模式中，定期地执行低电力模式转移处理。

在S600中，第二微型计算机15在经由车辆I/F12检测出驾驶停止操作之后，判定驾驶停止状态是否持续了待机时间。而且，在得到肯定判定的情况下(S600：是)，转移到S605，在得到否定判定的情况下(S600：否)，本处理结束。

在S605中，第二微型计算机15对第一微型计算机11指示停止。而且，在受理了该指示的第一微型计算机11中，首先，第二单元110停止(S610)。具体而言，例如，若进行了该指示，则RTOS101也可以利用GPOS111使执行中的工序停止，然后，例如通过HALT指令，使GPOS111停止。

而且，若GPOS111停止，则RTOS101停止动作(S615)。由此，第一单元100停止，动作模式转移到低电力消耗模式(S620)。

[12.关于停止模式转移处理]

接下来，使用图10的流程图，对在低电力模式中，由于电源的电压降低等而使动作模式转移到停止模式的停止模式转移处理进行说明。此外，在低电力模式中，定期地执行停止模式转移处理。

在S700中，第二微型计算机15判定经由车辆I/F12取得的电源的电压是否低于第一阈值。而且，在得到肯定判定的情况下(S700：是)，转移到S710，在得到否定判定的情况下(S700：否)，转移到S705。

在S705中，第二微型计算机15判定低电力模式是否持续了停止时间。而且，在得到肯定判定的情况下(S705：是)，转移到S710，在得到否定判定的情况下(S705：否)，结束本处理。

在S710中，第二微型计算机15停止动作，动作模式转移到低电力模式(S715)。而且，本处理结束。

[13.变形例]

在变形例的数据收集装置2中，第一微型计算机11具备第一核心21以及第二核心22，不具备第三核心23。另外，作为使第一微型计算机11进行动作的程序，设置有第一单元100以及第二单元110，但不设置固件120(参照图12)。

由固件120进行的处理由第一单元100的RTOS101进行。即，第一微型计算机11的引导处理、第二单元110的启动以及停止由RTOS101进行。此外，这些处理也可以由第一单元100的RTOS101以外的程序进行。

具体而言，在启动处理的S305中，若启动第一微型计算机11，则固件120不启动，在接下来的S310中，伴随着第一微型计算机11的启动，RTOS101启动，开始引导处理。

另外，在启动处理的S325中，RTOS101执行初始化处理。而且，若初始化处理完成，则RTOS101启动第二单元110(具体而言，GPOS111)(S330)。此外，RTOS101也可以基于所产生的启动要因来判定是否启动GPOS111，在产生了特定的启动要因的情况下，启动GPOS111(换言之，第二单元110)。

[14.效果]

根据上述实施方式，起到以下的效果。

(1)根据上述实施方式，第一单元100中的处理与第二单元110的处理相比负荷较低，可靠性较高。另外，第二微型计算机15中的处理与第一单元100中的处理相比负荷较低，可靠性较高。而且，第二单元110的异常由第一单元100检测，第一单元100的异常由第二微型计算机15检测。另外，第二微型计算机15的异常由第二微型计算机15自身检测。因此，能够良好地检测第一单元100以及第二单元110与第二微型计算机15中的异常。

而且，在检测出第一单元100或者第二单元110的异常的情况下，重新启动第一单元100以及第二单元110，在检测出第二微型计算机15的异常的情况下，重新启动第一单元100以及第二单元110、第二微型计算机15。因此，能够良好地应对第一单元100以及第二单元110的异常、第二微型计算机15的异常。因此，能够提高数据收集装置2的可靠性。

(2)另外，若第一微型计算机11由第二微型计算机15启动，则固件120在启动RTOS101之后，启动GPOS111。因此，能够适当地启动RTOS101以及GPOS111。

(3)另一方面，在变形例中，在第一微型计算机11未设置固件120，若第一微型计算机11由第二微型计算机15启动，则启动RTOS101，RTOS101启动GPOS111。在具有这样的结构的情况下，也能够适当地启动RTOS101以及GPOS111。

(4)另外，作为数据收集装置2的启动要因之一，设置有来自云3的启动指示。因此，数据收集装置2的便利性提高。

(5)另外，在低电力模式中，若产生启动要因，则在第一微型计算机11中，将进行与硬件的控制相关的处理的第一单元100启动，然后，将进行与服务的提出相关的处理的第二单元110启动。因此，在数据收集装置2的启动时，能够尽早开始数据收集装置2中的服务的提供所需要的数据的收集。因此，在数据收集装置2的启动后，能够提供基于更早地收集到的数据的服务。

(6)另外，作为数据收集装置2的动作模式，设置有服务执行模式200、低电力模式201、停止模式202。而且，根据启动要因的产生、或者本车辆的驾驶停止操作等，动作模式发生变化。因此，能够适当地进行数据收集装置2的启动以及停止。

(7)另外，在停止模式202中，若进行驾驶开始操作，则不经由低电力模式201，动作模式转移到服务执行模式200。因此，能够迅速地开始服务的提供。

(8)另外，在第一单元100中，至少进行用于收集与本车辆相关的信息、和/或经由搭载于本车辆的传感器而检测出的信息的处理。另外，第二单元110至少进行图像识别处理。因此，能够对第一单元100、第二单元110中的各个单元适当地分配处理。

(9)在服务执行模式中，在根据驾驶停止操作将动作模式转移到低电力模式时，在第一微型计算机11中，首先，第二单元110停止动作，然后，第一单元100停止动作。具体而言，在第二单元110的停止时，RTOS101在利用GPOS111使执行中的工序停止之后，停止GPOS111。因此，能够抑制不需要的数据残留于加载有第二单元110的主存储器。另外，通过第二单元110的停止，能够抑制对第二单元110中的储存器(例如，闪存26，存储部14等)的访问被中断，由此，抑制储存器的破坏。

(10)另外，在第二单元110中，进行了容器型虚拟化的第二应用115使用GPOS111的软件资源进行处理。因此，能够抑制该第二应用115的数据尺寸，并且能够减少使该第二应用115进行动作时的第二核心22的负荷。另外，能够使用利用该第二应用115验证品质的软件资源，因此可靠性提高。

(11)另外，在作为低电力模式的数据收集装置2的启动时，根据启动要因而选择被启动的第一应用102以及第二应用115。因此，能够避免不需要的应用的启动，能够根据启动要因的产生而迅速地开始所需要的服务的提供。

(12)并且，在作为低电力模式的数据收集装置2的启动时，根据启动要因而选择要启动的单元。因此，能够避免不需要的单元的启动，能够根据启动要因的产生而迅速地开始所需要的服务的提供。

[15.其他的实施方式]

以上，对本公开的实施方式进行了说明，但本公开不限于上述的实施方式，能够各种变形地实施。

(1)在上述实施方式中，数据收集装置2的第一微型计算机11具备第一核心～第三核心21～23。然而，第一微型计算机11中的物理性的核心的数量并不局限于三个，能够适当地决定。具体而言，例如，也可以设置使固件120进行动作的核心，并且构建虚拟机环境，通过一个或者三个以上的核心，使RTOS101和GPOS111进行动作。另外，例如，也可以构建虚拟机环境，通过二个以下或者三个以上的核心，使固件120、RTOS101、GPOS111进行动作。在具有这样的结构的情况下，也与上述实施方式同样，能够进行第一单元100以及第二单元110的启动以及停止。

(2)也可以通过多个构成要素实现上述实施方式中的一个构成要素所具有的多个功能，或者通过多个构成要素实现一个构成要素所具有的一个功能。另外，也可以通过一个构成要素实现多个构成要素所具有的多个功能，或者通过一个构成要素实现由多个构成要素实现的一个功能。另外，也可以省略上述实施方式的结构的一部分。另外，也可以相对于其他的上述实施方式的结构附加或者置换上述实施方式的结构的至少一部分。

(3)除了上述的数据收集装置2以外，还能够以用于使计算机作为数据收集装置2的第一微型计算机11以及第二微型计算机15发挥功能的程序、记录了该程序的半导体存储器等非迁移实体记录介质、由该程序实现的方法等各种方式实现本公开。另外，例如，还能够以由数据收集装置2实现的方法、由第一微型计算机11和/或第二微型计算机15实现的方法、数据收集装置2的启动方法等各种方式实现本公开。

[16.语句的对应关系]

数据收集装置2相当于车载装置的一例，数据收集装置2的第一微型计算机11相当于控制部的一例，第二微型计算机15相当于第二控制部的一例。

Claims

1.一种车载装置(2)，能够经由通信部(13)访问云(3)，其中，具备：

第一控制部(11)，具有至少一个物理性的核心(21～23)；

第一单元(100)，构成为通过所述第一控制部进行动作，进行与硬件的控制相关的处理；

第二单元(110)，构成为通过所述第一控制部进行动作，进行与服务的提供相关的处理；以及

第二控制部(15)，构成为根据启动要因的产生，启动所述第一控制部，

所述第一控制部构成为，若由所述第二控制部启动，则使所述第一单元比所述第二单元先启动，

所述第二控制部构成为检测所述第一单元的异常和该第二控制部的异常，

所述第一单元构成为检测所述第二单元的异常，

所述第二控制部构成为，在检测出所述第一单元或者第二单元的异常的情况下，重新启动所述第一单元以及第二单元，并且在检测出该第二控制部的异常的情况下，重新启动所述第一单元以及第二单元、该第二控制部。

2.根据权利要求1所述的车载装置，其中，

还具备通过所述第一控制部进行动作的固件(120)，

所述第一单元具有第一OS(101)，

所述第二单元具有第二OS(111)，

所述固件构成为，若所述第一控制部由所述第二控制部启动，则在启动所述第一OS之后，启动所述第二OS。

3.根据权利要求1所述的车载装置，其中，

所述第一单元具有第一OS(101)，

所述第二单元具有第二OS(111)，

所述第一OS构成为，若所述第一控制部由所述第二控制部启动，则启动所述第二OS。

4.根据权利要求1至3中任一项所述的车载装置，其中，

作为所述启动要因，至少设置有利用所述通信部从所述云的启动指示的接收。

5.根据权利要求1至4中任一项所述的车载装置，其中，

作为所述车载装置的动作模式，至少设置有：服务执行模式(200)，所述第一单元以及第二单元能够进行动作并且所述第二控制部进行动作；低电力模式(201)，所述第一单元以及第二单元停止并且所述第二控制部的至少一部分的功能进行动作；以及停止模式(202)，所述第一单元以及第二单元和所述第二控制部停止，

在所述服务执行模式中，若所述第一单元以及第二单元由于所述车辆的驾驶停止操作而停止动作，则所述动作模式转移到所述低电力模式，

在所述低电力模式中，若根据所述启动要因的产生而所述第一单元以及第二单元启动，则所述动作模式转移到所述服务执行模式，

在所述低电力模式中，若所述车载装置的电源的电压降低则所述第二控制部停止动作，所述动作模式转移到所述停止模式。

6.根据权利要求5所述的车载装置，其中，

在所述停止模式中，若所述电源的电压超过预先决定的阈值，并且进行了所述车辆的驾驶开始操作，则所述第二控制部开始动作，并且启动所述第一控制部，转移到所述服务执行模式。

7.根据权利要求1至6中任一项所述的车载装置，其中，

所述第一单元至少进行用于收集与所述车辆相关的信息、和/或经由搭载于所述车辆的传感器而检测出的信息的处理，

所述第二单元至少进行图像识别处理。

8.根据权利要求1至7中任一项所述的车载装置，其中，

所述第二控制部在所述服务执行模式中，由于所述车辆的驾驶停止操作而对所述第一控制部指示停止，

所述第一控制部在所述服务执行模式中，若由所述第二控制部指示所述停止，则停止所述第二单元，之后，停止所述第一单元。

9.根据权利要求1至8中任一项所述的车载装置，其中，

所述第二单元具有进行了容器型虚拟化的至少一个应用(115)、使所述至少一个应用进行动作的OS(111)，

所述至少一个应用构成为，使用设置于所述OS的软件资源(112～114)进行处理。

10.根据权利要求1至9中任一项所述的车载装置，其中，

所述第一单元具有至少一个第一应用(102)，

所述第二单元具有至少一个第二应用(115)，

所述第二控制部根据多个所述启动要因中的任一个启动要因的产生而启动所述第一控制部，

所述第一单元构成为，若由所述第一控制部启动，则启动与所产生的所述启动要因对应的所述第一应用，

所述第二单元构成为，若由所述第一控制部启动，则启动与所产生的所述启动要因对应的所述第二应用。

11.根据权利要求1至10中任一项所述的车载装置，其中，

所述第一控制部构成为，根据所产生的所述启动要因，分别启动所述第一单元以及第二单元。

12.一种车载装置(2)的启动方法，该车载装置(2)能够经由通信部(13)访问云(3)，其中，

所述车载装置具备：

第一控制部(11)，具有至少一个物理性的核心(21～23)；

第二控制部(15)，

所述第二控制部根据启动要因的产生，而启动所述第一控制部，

所述第一控制部若由所述第二控制部启动，则在启动所述第一单元之后，启动所述第二单元，

所述第二控制部检测所述第一单元的异常、该第二控制部的异常，

所述第一单元检测所述第二单元的异常，

所述第二控制部在检测出所述第一单元或者第二单元的异常的情况下，重新启动所述第一单元以及第二单元，并且在检测出该第二控制部的异常的情况下，重新启动所述第一单元以及第二单元、该第二控制部。