JP5310138B2 - 車両制御システム - Google Patents

Description

本発明は、車両に搭載された制御対象の挙動を制御する車両制御システムに関する。

車両に搭載された制御対象の挙動を、制御対象の機能で分類された機能ドメイン毎、ならびに機能ドメインよりも詳細な機能で分類されたサブドメイン毎に制御する車両制御システムが知られている（例えば、特許文献１参照。）。

このような車両制御システムにおいては、複数のドメインで共有するセンサ情報、制御対象に対する診断結果等を共有情報として共有することがある。この場合、共有情報を格納する共有領域を設け、共有情報の識別子（ＩＤ）、共有領域における共有情報の位置およびデータ長等を車両制御システムの設計時に設定しておくことにより、複数のドメインが共有領域において情報を共有することができる。

特開２００１−２３９９０１号公報

しかしながら、制御対象、あるいは制御対象の挙動を制御する制御装置の追加、バージョン変更、削除等により車両構成に変更が発生し、共有情報の識別子、共有領域における共有情報の位置およびデータ長等の共有情報に関する設定に変更が生じることがある。

このように、車両構成の変更に伴い共有情報に関する設定に変更が生じると、変更される共有情報を利用する各制御装置において、車両制御システムの設計時に設定されていた共有情報に関する制御処理を再度設定して変更する必要がある。その結果、共有情報の変更に伴う制御処理の変更量が増加するという問題がある。

本発明は、上記問題を解決するためになされたものであり、共有情報の変更に伴う制御処理の変更量を極力低減する車両制御システムを提供することを目的とする。

請求項１に記載の発明によると、車両に搭載された制御対象の機能で分類された機能ドメイン毎に制御対象の挙動を制御する機能ドメイン制御手段と、機能ドメインにおいて、機能ドメインよりも詳細な機能で分類されたサブドメイン毎に制御対象の挙動を制御するサブドメイン制御手段と、機能ドメイン内で機能ドメイン制御手段とサブドメイン制御手段とが通信するためのローカル通信手段と、ローカル通信手段を介して機能ドメイン制御手段およびサブドメイン制御手段が情報を共有する情報共有領域を有する情報共有手段と、機能ドメイン制御手段およびサブドメイン制御手段による情報共有領域における情報の共有を車両構成に基づいて管理する情報管理手段と、を備えている。

このように、情報共有領域における情報の共有を車両構成に基づいて情報管理手段が統合して管理するので、車両構成の変更に伴い共有情報の設定が変更になっても、機能ドメイン制御手段およびサブドメイン制御手段は、情報管理手段からの指示により共有情報の設定の変更に対応することができる。

これにより、車両構成の変更に伴い共有情報の設定が変更される場合に、機能ドメイン制御手段およびサブドメイン制御手段において、共有情報に関する制御処理の変更量を極力低減できる。
ところで、車載ソフトウェアの量的拡大および複雑化に伴い、車載ソフトウェアの標準化が求められている。そこで、車両、電子制御装置（ＥＣＵ：Electronic Control Unit
）等の製造に関わる企業によって構成される協会、例えばＡＵＴＯＳＡＲ(Automotive Open System Architecture)により、車載ソフトウェアを標準化し、異なる車両において、共通のソフトウェアを使用することが検討されている。ＡＵＴＯＳＡＲでは、車載ソフトウェアの標準化のうち、ソフトウェア間の通信をＶＦＢ(Virtual Functional Bus)により標準化している。これにより、異なる車両において、車両の構成および通信ハードウェアの違いを意識することなく、標準化された共通の通信仕様によりソフトウェア間で通信できる。
しかしながら、ＡＵＴＯＳＡＲが提供するＶＦＢにおいては、ソフトウェア間の通信が標準化されているために、機能ドメイン制御手段内およびサブドメイン制御手段内における通信と、ローカル通信手段における通信と、グローバル通信手段における通信とのような階層化は意識されておらず、共通の通信仕様で通信が行われる。その結果、複数階層の同一階層および異なる階層間での通信、例えば、ローカル通信手段における通信と、グローバル通信手段における通信と、グローバル通信手段とローカル通信手段との通信との区別ができないので、アプリケーションレベルで同一階層および異なる階層間での通信を区別して処理することが困難である。
そこで、請求項１に記載の発明によると、機能ドメイン制御手段およびサブドメイン制御手段に実装されたソフトウェア間の通信はＡＵＴＯＳＡＲが提供するＶＦＢ上で設定されており、ＶＦＢ上での通信を、機能ドメイン制御手段内およびサブドメイン制御手段内における通信と、ローカル通信手段における通信と、グローバル通信手段における通信
との三階層構造とし、三階層構造の同一階層および異なる階層間での通信仕様がＶＦＢ上でそれぞれ設定されている。
これにより、車載ソフトウェアの作成者は、ＶＦＢ上において、三階層構造の同一階層および異なる階層間でそれぞれ設定された通信仕様に基づき、同一階層および異なる階層間における通信を区別して、ソフトウェア間の通信処理を作成できる。もちろん、車載ソフトウェアの作成者は、車両の構成および通信ハードウェアの違いを意識することなく、設定された通信仕様に基づき、ソフトウェア間の通信処理を作成できる。

請求項２に記載の発明によると、車両に搭載された制御対象の機能で分類された機能ドメイン毎に制御対象の挙動を制御する複数の機能ドメイン制御手段と、機能ドメインにおいて、機能ドメインよりも詳細な機能で分類されたサブドメイン毎に制御対象の挙動を制御するサブドメイン制御手段と、機能ドメイン内で機能ドメイン制御手段とサブドメイン制御手段とが通信するためのローカル通信手段と、複数の機能ドメインの間で通信するためのグローバル通信手段と、グローバル通信手段を介し、異なる機能ドメインの機能ドメイン制御手段およびサブドメイン制御手段が情報を共有する情報共有領域を有する情報共有手段と、機能ドメイン制御手段およびサブドメイン制御手段による情報共有領域への共有情報の設定を車両構成に基づいて管理する情報管理手段と、を備えている。

このように、異なる機能ドメインの機能ドメイン制御手段およびサブドメイン制御手段が、グローバル通信手段を介して情報共有手段の情報共有領域において情報を共有する場合にも、機能ドメイン制御手段とサブドメイン制御手段による情報共有領域への共有情報の設定を情報管理手段が統合して管理する。

これにより、車両構成の変更に伴い共有情報の設定が変更になっても、機能ドメイン制御手段およびサブドメイン制御手段は、情報管理手段からの指示により共有情報の設定の変更に対応することができる。

その結果、車両構成の変更に伴い共有情報の設定が変更される場合に、機能ドメイン制御手段およびサブドメイン制御手段において、共有情報に関する制御処理の変更量を極力低減できる。

また、請求項１および２に記載の発明によると、機能ドメイン制御手段およびサブドメイン制御手段において、車両構成の変更に伴い共有情報の設定が変更される場合に、共有情報に関する制御処理の変更量を極力低減できるので、機能ドメイン制御手段およびサブドメイン制御手段による制御処理において、同じアルゴリズムが長く使用される。

これにより、機能ドメイン制御手段およびサブドメイン制御手段による制御処理のアルゴリズムの問題点が解決される機会が増えるので、アルゴリズムの信頼性が向上する。
請求項３に記載の発明によると、情報共有手段は、機能ドメイン内の機能ドメイン制御手段とサブドメイン制御手段とが通信するためのローカルな通信手段、ならびに機能ドメインが複数設けられている場合には複数の機能ドメイン間で通信するためのグローバルな通信手段であり、情報共有領域は通信手段で通信される通信フレームである。

通信手段で情報を通信するために通信フレームを情報共有領域とすることにより、新たに情報共有手段を設ける必要がない。その結果、情報共有手段を設けるために製造コストが増加することを防止できる。

さらに、例えばメモリ装置で共有情報を共有する場合には、メモリ装置に共有情報を書き込むステップと、共有情報が書き込まれたことを通信で通知するステップと、メモリ装置に書き込まれた共有情報を通信手段を介して機能ドメイン制御手段またはサブドメイン制御手段が読み出すステップとが必要である。

これに対し、通信フレームを情報共有領域とすれば、共有情報が書き込まれた通信フレームを送信すれば、機能ドメイン制御手段およびサブドメイン制御手段の中で共有情報が必要な制御手段が通信フレームを受信すればよいので、共有情報のリアルタイム性が向上する。また、通信フレームを情報共有領域とすることにより、情報を共有するメモリ装置に異常が発生して情報共有が不能になることを防止できる。

請求項４に記載の発明によると、情報管理手段は前記通信手段による通信を管理する通信マスタ手段として機能し、通信マスタ手段は、機能ドメイン制御手段およびサブドメイン制御手段の少なくともいずれかが送信する通信情報から共有情報を選択し、選択した共有情報を通信フレームに設定して送信する。

これにより、通信マスタ手段が共有情報を選択してから通信フレームに共有情報を設定して送信するまでに時間遅れは生じるものの、通信マスタ手段は、機能ドメイン制御手段およびサブドメイン制御手段がばらばらに送信する通信情報から漏れることなく共有情報を選択して送信できる。

請求項５に記載の発明によると、情報管理手段は前記通信手段による通信を管理する通信マスタ手段として機能し、機能ドメイン制御手段およびサブドメイン制御手段の少なくともいずれかは、共有情報を送信するとき、通信マスタ手段が管理する順番にしたがって通信マスタ手段が作成する通信フレームに共有情報を順次設定する。

これにより、共有情報を送信するために情報領域が空の通信フレームを通信マスタ手段が送信すると、機能ドメイン制御およびサブドメイン制御手段は通信マスタ手段が管理する順番にしたがって共有情報を通信フレームに順次設定する。その結果、共有情報のリアルタイム性が向上する。

ただし、請求項５に記載の発明のように、通信マスタ手段が送信した通信フレームに機能ドメイン制御およびサブドメイン制御手段が共有情報を順次設定する方式では、通信フレームに設定された情報のエラー検出コードを算出する場合、通信フレームに全ての共有情報が設定されてからエラー検出コードの算出までに時間的な余裕がないために、エラー検出コードの算出が困難な場合がある。

そこで、請求項６に記載の発明によると、通信マスタ手段は、共有情報とエラー検出コードとの間にダミーデータを設定する。
これにより、通信フレームに全ての共有情報が設定されてから、エラー検出コードを算出するためにダミーデータ分の時間を確保できるので、エラー検出コードの算出が間に合わなくなることを防止できる。

尚、請求項６に記載の発明においては、通信マスタ手段は共有情報とエラー検出コードとの間にダミーデータを設定するものの、エラー検出コードの算出は、通信マスタ手段に限らず他の算出手段が行ってもよい。

請求項７に記載の発明によると、通信手段による通信を管理する通信マスタ手段が、通信フレームに設定された情報のエラー検出コードを算出し、通信フレームの共有情報の後にエラー検出コードを設定する。

これにより、受信した通信フレームのデータに基づいて通信マスタ手段以外の他の算出手段がエラー検出コードを算出する場合に比べ、少なくとも通信フレームにおいて共有情報の前に自身が設定した正しいデータに基づいて、通信マスタ手段はエラー検出コードを算出できる。その結果、正しいエラー検出コードが算出される可能性が高くなる。

請求項８に記載の発明によると、通信フレームに設定されたエラー検出コードが正しい
か否かを検証する検証手段を備える。
これにより、エラー検出コードが誤っていると検証手段が判定すると、例えば共有情報の再送信等の適切なフェイルセーフ処理を実施できる。

請求項１０に記載の発明によると、検証手段は、エラー検出コードが誤っていると判定すると、エラー検出コードが誤っている通信フレームの送信を遮断する。
これにより、エラー検出コードが誤っていることを送信者および受信者が即時に知ることができる。その結果、エラー検出コードの誤りに気付かずにエラー検出コードが誤っていた共有情報に基づいて後続の通信処理または制御処理が実行されることを即時に防止できる。

ところで、前述した請求項５または６に記載の発明のように、機能ドメイン制御およびサブドメイン制御手段の少なくともいずれかが、通信マスタ手段が管理する順番にしたがって通信マスタ手段が作成する通信フレームに共有情報を順次設定する場合、通信マスタ手段のノードの周辺だけにノイズが発生し、通信マスタ手段が誤ったデータを受信することが考えられる。この場合、通信マスタ手段がエラー検出コードを算出すると、誤った受信データに基づいてエラー検出コードを算出するので、エラー検出コードは誤ったコードになる。このとき、通信マスタ手段とは別のノードの周辺にノイズが発生しておらず正しい情報を受信している場合に別のノードにおいてエラー検出コードを算出すれば、通信マスタ手段の通信異常を検出できる。しかしながら、通信マスタ手段は、別のノードから通信マスタ手段の通信異常を通知されない限り、自身の誤ったエラー検出コードの送信を検出できない。

そこで、請求項１０に記載の発明によると、通信マスタ手段とともに通信フレームに設定された情報のエラー検出コードを算出するコード算出手段を備え、通信マスタ手段とコード算出手段とは、それぞれ算出したエラー検出コードの一部を共有情報の後に設定してエラー検出コードを完成させる。

これにより、通信マスタ手段は、通信マスタ手段以外のコード算出手段が算出するエラー検出コードの一部を受信し、通信マスタ手段自身が算出したエラー検出コードと比較することができる。これにより、通信マスタ手段は、自身が作成したエラー検出コードとコード算出手段が算出したエラー検出コードの一部とが一致しない場合には、エラー検出コードの異常を検出できる。この場合、通信マスタ手段は、共有情報の再送信を機能ドメイン制御およびサブドメイン制御手段に通知して共有情報の再送信を実施する等の適切なフェイルセーフ処理を実施できる。

請求項１１に記載の発明によると、通信マスタ手段は、通信エラーの発生時に通信フレームを再送信するとき、最初に通信エラーとなった通信フレームを送信したときの時刻を共有情報として通信フレームに設定する。

これにより、最初に通信エラーとなった通信の時刻に遡って、正常に送信された通信フレームを受信した受信者が共有情報を処理できる。例えば、水温が所定温度以上になってからの経過時間で制御対象の挙動を診断する場合、正常に受信した共有情報から、通信エラーとはなったが最初に水温が所定温度以上になった時刻を知ることができる。その結果、水温が最初に所定温度以上になった時刻に遡って経過時間をカウントし、制御対象の挙動を診断できる。

請求項１２に記載の発明によると、通信マスタ手段の異常時に、通信マスタ手段の代わりに通信手段による通信を管理するサブマスタ手段を備える。
これにより、通信マスタ手段に異常が発生しても、サブマスタ手段により通信手段の管
理を継続できる。

請求項１３に記載の発明によると、通信調停手段は、ローカル通信手段においてサブドメイン制御手段によるグローバル通信手段への通信開始要求を検出すると、ローカル通信手段においてグローバル通信手段への通信開始要求を検出された通信の優先順位が、所定の優先順位よりも高く、かつグローバル通信手段において通信開始要求を検出された他の通信の優先順位よりも高い場合、ローカル通信手段において通信開始要求を検出されたグローバル通信手段への通信を許可する。

これにより、ローカル通信手段においてグローバル通信手段への通信開始要求を検出された通信の優先順位が、所定の優先順位よりも高く、かつグローバル通信手段において通信開始要求を検出された他の通信の優先順位よりも高い場合には、先にグローバル通信手段に通信開始を要求している他の通信よりも優先して、ローカル通信手段からグローバル通信手段への通信を速やかに開始できる。

請求項１４に記載の発明によると、通信調停手段は、グローバル通信手段において通信が行われている途中でローカル通信手段においてグローバル通信手段への通信開始要求を検出すると、グローバル通信手段で実行中の通信が終了してから、ローカル通信手段において通信開始要求を検出されたグローバル通信手段への通信を許可する。

これにより、グローバル通信手段において現在実行中の通信よりも優先順位の高いローカル通信手段からグローバル通信手段への通信開始要求があっても、グローバル通信手段において実行中の通信を中断せずに完了させることができる。その結果、グローバル通信手段において実行中の通信よりも優先順位の高いローカル通信手段からグローバル通信手段への通信は待機させられるものの、実行中の通信を中断して再試行するために増大する通信処理の負荷を低減できる。

請求項１５に記載の発明によると、情報管理手段は、データと、機能ドメイン制御手段およびサブドメイン制御手段による制御処理の開始タイミングと、制御処理の同期タイミングと、の少なくともいずれかを共有情報として情報共有領域に設定する。

データ以外にも、機能ドメイン制御手段およびサブドメイン制御手段による制御処理の開始タイミングと同期タイミングとの少なくともいずれかを共有情報とすることにより、個別に制御処理の開始タイミング、同期タイミングを通知する場合に比べ、複数の機能ドメイン制御手段およびサブドメイン制御手段による制御処理の開始、同期が容易になる。

請求項１６に記載の発明によると、情報共有手段は機能ドメイン制御手段が有するメモリ装置であり、情報共有領域はメモリ装置に設けられた共有領域である。
情報共有手段として既存のメモリ装置を使用できるので、新たに情報共有手段を設ける必要がない。その結果、情報共有手段を設けるために製造コストが増加することを防止できる。

請求項１７に記載の発明によると、機能ドメイン制御手段およびサブドメイン制御手段が実行する制御処理に共通する共通処理を実行し、機能ドメイン制御手段およびサブドメイン制御手段を構成する処理装置とは異なる共通処理装置に情報管理手段は設けられている。

このように、共通処理装置は機能ドメイン制御手段およびサブドメイン制御手段を構成する処理装置とは異なる構成であるから、機能ドメイン制御手段およびサブドメイン制御手段のハードウェアおよびソフトウェアの変更の影響を受けることなく、機能ドメイン制御手段およびサブドメイン制御手段による情報共有領域への共有情報の設定を、車両構成に基づいて共通処理装置に設けた情報管理手段が管理できる。

尚、本発明に備わる複数の手段の各機能は、構成自体で機能が特定されるハードウェア資源、プログラムにより機能が特定されるハードウェア資源、またはそれらの組み合わせにより実現される。また、これら複数の手段の各機能は、各々が物理的に互いに独立したハードウェア資源で実現されるものに限定されない。

第１実施形態の車両制御システムを示すブロック図。 第１実施形態の通信フレームによる共有情報の設定例を示す構成図。 第１実施形態の通信フレームによる共有情報の他の設定例を示す構成図。 情報共有ルーチン１を示すフローチャート。 本実施形態のＶＦＢへの適用例を示す模式図。 第２実施形態の通信フレームによる共有情報の設定例を示す構成図。 第２実施形態の通信フレームによる共有情報の他の設定例を示す構成図。 情報共有ルーチン２を示すフローチャート。 第３実施形態の通信フレームによる共有情報の設定例を示す構成図。 第３実施形態の通信フレームによる共有情報の他の設定例を示す構成図。 第４実施形態の通信フレームによる共有情報の設定例を示す構成図。 第５実施形態の通信フレームによる共有情報の設定例を示す構成図。 第６実施形態の車両制御システムを示すブロック図。 共有メモリの構成を示す模式図。 情報共有ルーチン３を示すフローチャート。 第７実施形態の車両制御システムを示すブロック図。 第８実施形態の車両制御システムを示すブロック図。

以下、本発明の実施の形態を図に基づいて説明する。
［第１実施形態］
本発明の第１実施形態による車両制御システムを図１に示す。

（車両制御システム１０）
車両制御システム１０は、パワートレイン(Power Train)ＥＣＵ２０、シャーシ(Chassis)ＥＣＵ３０、ボディ(Body)ＥＣＵ４０、インフォテインメント(Infotainment)ＥＣＵ５０、サブドメインＥＣＵ６０、６２、６４、６６等から構成されている。パワートレインＥＣＵ２０、シャーシＥＣＵ３０、ボディＥＣＵ４０、インフォテインメントＥＣＵ５０は、それぞれ車両に搭載されている制御対象の機能、言い換えれば車両における制御対象の役割に応じて分類された機能ドメインであるパワートレインドメイン、シャーシドメイン、ボディドメイン、インフォテインメントドメイン毎に、実装した制御プログラムにより制御対象の挙動を制御するための制御処理を実行する機能ドメインＥＣＵである。

各機能ドメインは、制御対象の機能に応じて機能ドメインよりも詳細なサブドメインに分類されている。そして、各機能ドメインにおいて、サブドメインＥＣＵ６０、６２、６４、６６は、実装した制御プログラムによりサブドメイン毎に制御対象の挙動を制御する。

パワートレインＥＣＵ２０とシャーシＥＣＵ３０とボディＥＣＵ４０とインフォテインメントＥＣＵ５０とは、例えばＦｌｅｘＲａｙ（Daimler Chrysler社の登録商標）によるグローバルネットワーク３００により互いに通信可能に接続されている。また、各機能ドメインＥＣＵとそのサブドメインＥＣＵとは、例えばＣＡＮ（Controller Area Network）、ＭＯＳＴ(Media Oriented Systems Transport)等によるローカルネットワーク３１０により互いに通信可能に接続されている。グローバルネットワーク３００とローカルネットワーク３１０とは、同じ通信仕様のネットワークでもよい。

尚、機能ドメインの分類は上記に限るものではなく、機能ドメインに含まれる制御対象も種々の組み合わせが考えられる。また、すべての制御対象を機能ドメインに分類する必要はなく、一部の制御対象だけを機能ドメインに統合してもよい。

パワートレインＥＣＵ２０は、制御対象であるインジェクタ、変速機等の挙動をパワートレインドメイン単位で統合して制御する。パワートレインＥＣＵ２０には、通信調停手段２２、情報管理手段２４が設けられている。

シャーシＥＣＵ３０は、制御対象であるステアリング、ブレーキ等の挙動をシャーシドメイン単位で統合して制御する。シャーシＥＣＵ３０には、通信調停手段３２が設けられている。

ボディＥＣＵ４０は、制御対象である空調、ドア等の挙動をボディドメイン単位で統合して制御する。ボディＥＣＵ４０には、通信調停手段４２が設けられている。
インフォテインメントＥＣＵ５０は、制御対象であるオーディオ装置、ナビゲーション装置等の挙動をインフォテインメントドメイン単位で統合して制御する。インフォテインメントＥＣＵ５０には、通信調停手段５２が設けられている。

サブドメインＥＣＵ６０、６２、６４、６６は、各機能ドメインを構成するサブドメインの制御対象の挙動を、例えば高圧ポンプの吐出量、各車輪のブレーキ、ステアリング、各ドア、ＣＤプレイヤー毎に個別に制御する。

各機能ドメインＥＣＵおよびサブドメインＥＣＵは、図示しないＣＰＵ、ＲＯＭ、ＲＡＭ、フラッシュメモリおよび通信インタフェース等からなるマイクロコンピュータ（以下、「マイコン」とも言う。）により主に構成されている。

図１に示す車両制御システム１０では、グローバルネットワーク３００およびローカルネットワーク３１０において通信に使用される通信フレーム３２０により、同じ機能ドメイン内および異なる機能ドメイン間の複数の機能ドメインＥＣＵおよびサブドメインＥＣＵが共有情報を共有する。この通信フレーム３２０による情報共有を実現するため、第１実施形態では、パワートレインＥＣＵ２０が、グローバルネットワーク３００およびローカルネットワーク３１０における通信を管理する通信マスタ装置１００（図２、図３参照。）として機能する。通信マスタ装置１００としてのパワートレインＥＣＵ２０には、情報管理手段２４が設けられている。

図２に、車内ネットワークとしてＣＡＮによる共有情報の設定例を示し、図３に、ＣＡＮの代わりにＦｌｅｘＲａｙによる共有情報の設定例を示す。ＣＡＮおよびＦｌｅｘＲａｙの通信フレームの構成については公知であるから説明を省略する。

次に、ＲＯＭまたはフラッシュメモリに記憶されている制御プログラムを実行することにより、パワートレインＥＣＵ２０および各機能ドメインＥＣＵが実行する機能ついて説明する。

（通信調停手段）
通信調停手段２２、３２、４２、５２の機能は実質的に同じであるから、パワートレインドメインの通信調停手段２２を例にして通信調停手段による通信調停処理ついて説明する。

通信調停手段２２は、ローカルネットワーク３１０とグローバルネットワーク３００との間の通信を調停する。パワートレインドメインのサブドメインＥＣＵ６０によるローカルネットワーク３１０からグローバルネットワーク３００への通信開始要求を通信調停手段２２が検出すると、通信調停手段２２は、パワートレインドメインのローカルネットワーク３１０においてグローバルネットワーク３００への通信開始要求を検出された通信の優先順位が、所定の優先順位よりも高く、かつグローバルネットワーク３００において通信開始要求を検出された他の通信よりも優先順位が高い場合、パワートレインドメインのローカルネットワーク３１０からグローバルネットワーク３００への通信を許可する。

これにより、パワートレインドメインにおいて通信開始要求を検出されたサブドメインＥＣＵ６０によるグローバルネットワーク３００への通信が即時に開始される。
パワートレインドメインのサブドメインＥＣＵ６０による通信が、例えば他の機能ドメインであるシャーシドメインのサブドメインＥＣＵ６６が必要とするものである場合、シャーシＥＣＵ３０の通信調停手段３２は、パワートレインドメインのサブドメインＥＣＵ６０による通信の優先順位を上げて、グローバルネットワーク３００からシャーシドメインのローカルネットワーク３１０に送信してもよい。

これにより、パワートレインドメインのサブドメインＥＣＵ６０からグローバルネットワーク３００に送信された情報を、シャーシドメインのローカルネットワーク３１０に優先して送信できる。その結果、異なる機能ドメインのサブドメインＥＣＵ間の通信遅れを極力低減できる。

尚、通信調停手段２２は、グローバルネットワーク３００において通信が行われている場合には、パワートレインドメインのサブドメインＥＣＵ６０によるローカルネットワーク３１０からグローバルネットワーク３００への通信開始要求を検出しても、グローバルネットワーク３００において実行中の通信が終了するまで、サブドメインＥＣＵ６０によるローカルネットワーク３１０からグローバルネットワーク３００への通信開始要求を待機させる。

そして、通信調停手段２２は、グローバルネットワーク３００において実行中の通信が終了すると、パワートレインドメインのローカルネットワーク３１０からグローバルネットワーク３００への通信を許可する。そして、待機していたパワートレインドメインのサブドメインＥＣＵ６０によるグローバルネットワーク３００への通信が開始される。

これにより、グローバルネットワーク３００において現在実行中の通信よりも優先順位の高いローカルネットワーク３１０からグローバルネットワーク３００への通信開始要求があっても、グローバルネットワーク３００において実行中の通信を中断せずに完了させることができる。

その結果、実行中の通信よりも優先順位の高いローカルネットワーク３１０からグローバルネットワーク３００への通信は待機させられるものの、実行中の通信を中断して再試行するために増大する通信処理の負荷を低減できる。ただし、最優先の通信開始要求が発生した場合は、例外として、グローバルネットワーク３００において実行中の通信を中断させてもよい。

（情報管理手段２４）
パワートレインＥＣＵ２０に設けた情報管理手段２４は、どの機能ドメインＥＣＵおよびサブドメインＥＣＵからの共有情報を、通信フレーム３２０のどこに、どのデータ長で設定するか等の共有情報に関する設定を管理する。そして、車両構成に変更があると、グローバルネットワーク３００およびローカルネットワーク３１０を介して車両構成の変更情報を取得し、変更情報に基づいて、共有情報に関する設定を管理する。

（情報共有ルーチン１）
次に、第１実施形態における通信フレーム３２０による情報共有を実行する情報共有ルーチン１について説明する。図４に、情報共有ルーチン１のフローチャートを示す。情報共有ルーチン１はＣＡＮおよびＦｌｅｘＲａｙのいずれにも適用できる。図４の情報共有ルーチン１は常時実行される。

Ｓ４００において通信マスタ装置１００は、グローバルネットワーク３００およびローカルネットワーク３１０を介して、オプション品が追加されているか、何れかのＥＣＵの制御プログラムのバージョンが更新されているか等、車両構成に変更があるかを判定する。車両構成に変更がない場合（Ｓ４００：Ｎｏ）、通信マスタ装置１００はＳ４０４に処理を移行する。

車両構成に変更がある場合（Ｓ４００：Ｙｅｓ）、Ｓ４０２において通信マスタ装置１００は、車両構成の変更に基づいて、通信フレーム３２０における共有情報に関する設定を変更する。

Ｓ４０４において通信マスタ装置１００は、共有情報の送信条件が成立したか否かを判定する。例えば、通信マスタ装置１００は、送信条件として、水温が所定温度以上になったか否かを判定する。送信条件が成立しない場合（Ｓ４０４：Ｎｏ）、通信マスタ装置１００は本ルーチンを終了する。

送信条件が成立すると（Ｓ４０４：Ｙｅｓ）、Ｓ４０６において通信マスタ装置１００は、各機能ドメインＥＣＵおよびサブドメインＥＣＵから送信される通信情報から共有情報を選択して取得する。共有情報を送信する機能ドメインＥＣＵおよびサブドメインＥＣＵは、水温が所定温度以上になっていることを水温情報を送信する通信フレームから検出して所定の共有情報を送信するか、あるいは水温が所定温度以上になっていることを検出した通信マスタ装置１００からの要求により所定の共有情報を送信する。

通信マスタ装置１００は、共有情報として、例えば水温が所定温度以上になったときのエンジン回転数およびアクセル開度情報が必要な場合には、エンジン回転数センサとアクセル開度センサのセンサ信号を送信するサブドメインＥＣＵからエンジン回転数とアクセル開度とを共有情報として取得する。

通信マスタ装置１００は、Ｓ４０８において、水温とエンジン回転数とアクセル開度とからなる共有情報のＣＲＣ(Cyclic Redundancy Check)コードを算出し、Ｓ４１０において、図２または図３に示すように、ＣＡＮ、ＦｌｅｘＲａｙ等の通信仕様に合わせて通信フレームに水温とエンジン回転数とアクセル開度とからなる共有情報とＣＲＣコードとを設定して送信する。尚、通信フレーム３２０に設定される共有情報は、１個でも複数でもよい。ＣＲＣコードの算出は、通信マスタ装置１００に限らず、他の機能ドメインＥＣＵまたはサブドメインＥＣＵが行ってもよい。

サブドメインＥＣＵ１１０、あるいは図２および図３において図示しない通信マスタ装置１００以外の機能ドメインＥＣＵは、通信マスタ装置１００が送信した通信フレームの情報に基づいてＣＲＣコードを通信マスタ装置１００とともに算出する。そして、サブドメインＥＣＵ１１０または通信マスタ装置１００以外の機能ドメインＥＣＵは、自身が算出しているＣＲＣコードと通信フレーム３２０のＣＲＣコードとを比較し、異常であれば（Ｓ４１２：Ｙｅｓ）、Ｓ４１４において、現在の通信フレームによる送信を強制的に遮断する。これにより、ＣＲＣコードが誤っていることを通信マスタ装置１００および受信ノードが即時に知ることができる。その結果、ＣＲＣコードの誤りに気付かずにＣＲＣコードが誤っていた共有情報に基づいて後続の通信または制御処理が実行されることを即時に防止する等の適切なフェイルセーフ処理を実施できる。

ＣＲＣコードの異常時に通信フレームの送信を遮断する場合、以下の方式により通信を無効にすることが考えられる。
（１）ＣＲＣコードの送信途中でＣＲＣコードの異常を通信マスタ装置１００以外の機能ドメインＥＣＵが検出すると、異常を検出した機能ドメインＥＣＵが残りのＣＲＣコードに、全て「Ｌｏｗ」、または「Ｈｉｇｈ」の異常値を設定する。ＣＡＮおよびＦｌｅｘＲａｙの両方で使用できる。
（２）通信途中の通信よりも優先順位の高いＩＤを送信する。ＣＡＮにおいて使用できる。
（３）エラーフレームを送信する。ＣＡＮにおいて使用できる。

サブドメインＥＣＵ１１０または機能ドメインＥＣＵは、通信マスタ装置１００が送信したＣＲＣコードの異常を検出した場合、通信を即座に遮断せずに他の適切なフェイルセーフ処理を指示してもよい。

ＣＲＣコードが正常の場合（Ｓ４１２：Ｎｏ）、送信された通信フレームは、共有情報を必要とするＥＣＵが受信し、共有情報を取得する。通信フレームの共有情報を他の機能ドメインのＥＣＵが必要とする場合、本実施形態において通信マスタ装置１００として機能するパワートレインＥＣＵ２０は、前述した通信調停手段２２によるローカルネットワーク３１０からグローバルネットワーク３００への通信調停処理に基づいて、ローカルネットワーク３１０からグローバルネットワーク３００への通信を調停する。

共有情報としては、前述したように、例えば、水温が所定温度以上のときの水温とエンジン回転数とアクセル開度とが考えられる。通信マスタ装置１００が送信する通信フレームの情報が水温とエンジン回転数とアクセル開度とからなる所定の共有情報であることは、ＣＡＮであれば識別子（ＩＤ）フィールドで示すことができる。ＦｌｅｘＲａｙであれば、通信マスタ装置１００に複数のフレームＩＤを割り当てておき、該当するフレームＩＤで水温とエンジン回転数とアクセル開度とからなる共有情報であることを示してもよいし、フレームＩＤとペイロードセグメントの先頭データとの組み合わせにより、水温とエンジン回転数とアクセル開度とからなる共有情報であることを示してもよい。

また、共有情報として、複数の機能ドメインＥＣＵおよびサブドメインＥＣＵ１１０が共有すべき制御処理の開始タイミング、同期タイミングを通信フレームに設定してもよい。

共有情報を構成する個々の情報が複数の機能ドメインのサブドメインＥＣＵから送信される場合、機能ドメインＥＣＵである通信マスタ装置１００は、異なる機能ドメインのサブドメインＥＣＵが送信する情報を、該当する機能ドメインの機能ドメインＥＣＵを介して受信することができる。

また、オプション品等の追加により共有情報が追加される場合には、例えばＣＡＮの場合、以下のようにして共有情報の設定を変更して共有情報を追加することが考えられる。
（１）通信フレームにおいて既存の共有情報用のＩＤを使用し、コントロールフィールドのＤＬＣ(Data Length Field)において、例えばオプション品が搭載されない場合はＤＬＣ＝１とし、オプション品の追加により共有情報が追加される場合には、ＤＬＣ＝２とする。これにより、データフィールドの２バイト目のデータが有効となり、オプション品の追加に伴って追加される共有情報を設定できる。
（２）追加されるオプション品が純正品であり、追加される可能性があるオプション品が分かっている場合には、追加されるオプション品のために予め共有情報用のＩＤを割り当てておく。そして、該当するオプション品が追加されると、対応するＩＤが割り当てられる。
（３）オプション品が追加されると、リモートフレームによりオプション品側から通信マスタ装置１００にＩＤとデータフィールドにおけるデータ位置の割り振りを要求する。通信マスタ装置１００は、未使用のＩＤから他のオプション品のために割り当てられていないＩＤを共有情報用として割り当てる。これにより、追加されると予測されていないオプション品に対しても、ＩＤを割り当てて共有情報を追加できる。

上記の（１）〜（３）のように、通信マスタ装置１００が通信フレームにおけるデータ長の変更、共有情報用のＩＤの設定を行うことにより、機能ドメインＥＣＵおよびサブドメインＥＣＵは共有情報が追加されたことを知ることができる。

ただし、オプション品が搭載可能な製品ではない場合、例えば登録されていない製造会社の製品の場合には、ＩＤを割り当てる前に、搭載自体を拒否することが望ましい。
ＦｌｅｘＲａｙの場合は、上記の（１）、（２）と同様な方式でオプション品の追加に伴って共有情報を追加できる。ただし、ＦｌｅｘＲａｙにはＣＡＮのリモートフレームに相当する通信フレームは存在しない。そこで、オプション品側がスタティックセグメンで割り当てられたスロット、あるいはダイナミックセグメントにおけるスロットで、共有情報用のＩＤとデータ位置の割り当てを要求してもよい。

ところで、本実施形態の機能ドメインＥＣＵおよびサブドメインＥＣＵに実装されている制御プログラム（ソフトウェア）間の通信を、ＡＵＴＯＳＡＲが提供するＶＦＢ上で設定する場合、以下のように実現することが望ましい。

ＶＦＢにおいては、ソフトウェア間の通信は標準化されているものの、機能ドメインＥＣＵ内およびサブドメインＥＣＵ内における通信と、ローカルネットワーク３１０における通信と、グローバルネットワーク３００における通信とのような階層化は意識されていない。

そこで、本実施形態では、図５に示すように、機能ドメインＥＣＵおよびサブドメインＥＣＵに実装されたソフトウェア間の通信はＡＵＴＯＳＡＲが提供するＶＦＢ上で設定されており、ＶＦＢ上における通信を、機能ドメインＥＣＵ内およびサブドメインＥＣＵ内における通信と、ローカルネットワーク３１０における通信と、グローバルネットワーク３００における通信との三階層構造とし、三階層構造の同一階層および異なる階層間での通信仕様をＶＦＢ上で設定している。

これにより、車載ソフトウェアの作成者は、ＶＦＢ上において設定された三階層構造の通信仕様に基づき、同一階層および異なる階層間における通信を区別して、ソフトウェア間の通信処理を作成できる。この場合、車載ソフトウェアの作成者は、ＶＦＢ上で設定された通信仕様に基づき、車両の構成および通信ハードウェアの違いを意識することなくソフトウェア間の通信処理を作成できる。

本実施形態では、グローバルネットワーク３００およびローカルネットワーク３１０は本発明の情報共有手段に相当し、通信フレーム３２０は情報共有領域に相当する。
このように、グローバルネットワーク３００およびローカルネットワーク３１０を情報共有手段として通信フレーム３２０に共有情報を設定することにより、通信マスタ装置１００が共有情報を設定して送信すると、共有情報を必要なＥＣＵが共有情報を受信することにより共有情報を取得できる。したがって、共有情報のリアルタイム性が向上する。

また、情報を共有するために情報共有手段を新たに設ける必要がないので、製造コストを低減できる。
また、グローバルネットワーク３００およびローカルネットワーク３１０が異常となり通信が不能になる確率は低いと考えられる。したがって、グローバルネットワーク３００およびローカルネットワーク３１０を情報共有手段とすることにより、情報共有が妨げられることを極力低減できる。

本実施形態では、パワートレインＥＣＵ２０、シャーシＥＣＵ３０、ボディＥＣＵ４０、インフォテインメントＥＣＵ５０は本発明の機能ドメイン制御手段に相当し、サブドメインＥＣＵ６０、６２、６４、６６、１１０はサブドメイン制御手段に相当する。また、通信マスタ装置１００としても機能するパワートレインＥＣＵ２０において、情報管理手段２４は本発明の通信マスタ手段に相当する。また、通信マスタ装置１００が送信したＣＲＣコードの異常を検出するサブドメインＥＣＵ１１０または機能ドメインＥＣＵは、本発明の検証手段に相当する。また、図４のＳ４００〜Ｓ４１０は本発明の情報管理手段および通信マスタ手段が実施する機能に相当し、Ｓ４１２およびＳ４１４は検証手段が実施する機能に相当する。また、本実施形態では、ＣＲＣコードは本発明のエラー検出コードに相当する。

［第２実施形態］
本発明の第２実施形態を図６および図７に示す。第１実施形態と実質的に同一構成部分には同一符号を付す。

図６はＣＡＮによる通信フレームを示し、図７はＦｌｅｘＲａｙによる通信フレームを示している。第２実施形態では、通信マスタ装置１００ではなく、共有情報を送信するサブドメインＥＣＵ１１０自身が、通信マスタ装置１００が管理する設定順序に従って通信フレームに共有情報を設定する。

（情報共有ルーチン２）
次に、第２実施形態における通信フレームによる情報共有を実行する情報共有ルーチン２について説明する。

図８に、第２実施形態の通信フレームによる情報共有ルーチン２のフローチャートを示す。情報共有ルーチン２はＣＡＮおよびＦｌｅｘＲａｙのいずれにも適用できる。図８の情報共有ルーチン２は常時実行される。

Ｓ４２０において通信マスタ装置１００は、グローバルネットワーク３００およびローカルネットワーク３１０を介して、オプション品が追加されているか、何れかのＥＣＵの制御プログラムのバージョンが更新されているか等、車両構成に変更があるかを判定する。車両構成に変更がない場合（Ｓ４２０：Ｎｏ）、通信マスタ装置１００はＳ４２４に処理を移行する。

車両構成に変更がある場合（Ｓ４２０：Ｙｅｓ）、Ｓ４２２において通信マスタ装置１００は、車両構成の変更に基づいて、通信フレーム３２０における共有情報に関する設定を変更する。

Ｓ４２４において通信マスタ装置１００は、共有情報の送信条件が成立したか否かを判定する。例えば、通信マスタ装置１００は、送信条件として、水温が所定温度以上になったか否かを判定する。送信条件が成立しない場合（Ｓ４２４：Ｎｏ）、通信マスタ装置１００は本ルーチンを終了する。

送信条件が成立すると（Ｓ４２４：Ｙｅｓ）、Ｓ４２６において通信マスタ装置１００は、図６および図７に示すように、データフィールドの前までの情報を通信フレームに設定して送信する。

通信マスタ装置１００は、前述したように、送信した通信フレームが所定の共有情報であることを、ＣＡＮであればＩＤフィールドで示し、ＦｌｅｘＲａｙであれば、フレームＩＤ、またはフレームＩＤとデータペイロードセグメントの先頭データとの組み合わせにより示す。

Ｓ４２８においてサブドメインＥＣＵ１１０は、通信マスタ装置１００が送信した通信フレーム３２０が所定の共有情報を送信するフレームであれば、通信マスタ装置１００が管理する設定順序にしたがってデータフィールドに共有情報を順次設定する。通信マスタ装置１００が送信した通信フレーム３２０に、機能ドメインＥＣＵが共有情報を設定してもよい。各サブドメインＥＣＵ１１０は、例えば、水温、ならびに、水温が所定温度以上になったときのエンジン回転数およびアクセル開度情報を、図６または図７に示すように、順次データフィールドに設定する。ただし、通信フレーム３２０のデータフィールドに共有情報を順次設定する場合、送信遅延を考慮して、同じ通信フレームに共有情報を設定できる機能ドメインＥＣＵおよびサブドメインＥＣＵ１１０は、限られた長さ範囲内でネットワークバスに接続しているものに限られることもある。

データフィールドに共有情報が設定されると（Ｓ４３０：Ｙｅｓ）、通信マスタ装置１００は、Ｓ４３２において、通信フレーム３２０に設定された情報のＣＲＣコードを算出し、Ｓ４３４において、ＣＲＣコードを含む残りの通信フレームを送信する。ＣＲＣコードの算出は、通信マスタ装置１００に限らず、他の機能ドメインＥＣＵまたはサブドメインＥＣＵが行ってもよい。

第２実施形態では、通信マスタ装置１００が一旦全ての共有情報を集約するのではなく、通信マスタ装置１００が送信する所定の共有情報の通信フレーム３２０に、該当するサブドメインＥＣＵ１１０が共有情報を順次設定するので、共有情報のリアルタイム性が向上する。

ここで、第２実施形態のように、共有情報を送信するＥＣＵ自身が、通信マスタ装置１００が管理する設定順序に従って通信フレームに共有情報を設定し、共有情報の直後にＣＲＣコードが設定される場合、最後に共有情報を設定したＥＣＵがＣＲＣコードを算出することが望ましい。

これは、最後に共有情報を設定したＥＣＵ以外のＥＣＵの場合、最後の共有情報を受信してからしかＣＲＣコードを算出できないので、ＣＲＣコードの算出が時間的に困難になることがあるからである。最後に共有情報を設定したＥＣＵの場合には、最後に設定される共有情報を既に知っているので、最後の共有情報を含んだ通信フレームのデータに基づいてＣＲＣを算出する時間的な余裕がある。

一方、図６および図７に示すように、通信マスタ装置１００がＣＲＣコードを算出して共有情報の直後に設定する場合、時間的にＣＲＣコードを算出することが困難な場合もある。しかし、通信マスタ装置１００以外の他のＥＣＵがＣＲＣコードを算出する場合に比べ、少なくとも通信フレーム３２０において共有情報の前に自身が設定した正しいデータに基づいて、通信マスタ装置１００はＣＲＣコードを算出できる。したがって、通信マスタ装置１００がＣＲＣコードを算出することにより、正しいＣＲＣコードが算出される可能性は高くなる。

第２実施形態では、図８のＳ４２０〜Ｓ４３４は本発明の情報管理手段および通信マスタ手段が実施する機能に相当する。
［第３実施形態］
本発明の第３実施形態を図９および図１０に示す。第２実施形態と実質的に同一構成部分には同一符号を付す。

図９はＣＡＮによる通信フレームを示し、図１０はＦｌｅｘＲａｙによる通信フレームを示している。第３実施形態では、通信マスタ装置１００は、図９または図１０に示すように、第２実施形態においてサブドメインＥＣＵにより共有情報が順次設定される場合、データフィールドとＣＲＣコードとの間にダミーデータ(Dummy Data)を設定する。これにより、通信マスタ装置１００は、ダミーデータが送信されている間にＣＲＣコードを算出できる。

［第４実施形態］
本発明の第４実施形態をＣＡＮによる通信フレームを例にして図１１に示す。第２実施形態と実質的に同一構成部分には同一符号を付す。

第４実施形態では、第２実施形態において、各サブドメインＥＣＵ１１０によりデータフィールドに共有情報が順次設定されると、通信マスタ装置１００といずれかのサブドメインＥＣＵ１１０との両方が、通信フレーム３２０に設定された情報のＣＲＣコードを算出する。そして、例えば１５ビットのＣＲＣコードの前半の８ビットをサブドメインＥＣＵ１１０が設定し、後半の７ビットを通信マスタ装置１００が設定する。ＣＲＣコードより後の残りの通信フレームは通信マスタ装置１００が送信する。

このように、通信マスタ装置１００とサブドメインＥＣＵ１１０とでＣＲＣコードを分担して設定する理由を以下に述べる。
各サブドメインＥＣＵ１１０がデータフィールドに共有情報を順次設定する場合、通信マスタ装置１００の通信ラインの周辺だけにノイズが発生し、通信マスタ装置１００が誤ったデータを受信することが考えられる。この場合、通信マスタ装置１００は、誤った受信データに基づいてＣＲＣコードを算出するので、ＣＲＣコードは誤ったコードになる。

この場合、通信マスタ装置１００以外のサブドメインＥＣＵ１１０の周辺にノイズが発生しておらず正しい情報を受信していると、サブドメインＥＣＵ１１０において正しいＣＲＣコードを算出できる。そして、通信マスタ装置１００と分担してサブドメインＥＣＵ１１０がＣＲＣコードを設定すれば、通信マスタ装置１００は、通信マスタ装置１００以外のサブドメインＥＣＵ１１０が算出したＣＲＣコードの一部を受信し、通信マスタ装置１００自身が算出したＣＲＣコードと比較することができる。

これにより、通信マスタ装置１００は、自身が作成したＣＲＣコードとサブドメインＥＣＵ１１０が算出したＣＲＣコードの一部とが一致しない場合には、自身のＣＲＣコードの異常を検出できる。この場合、通信マスタ装置１００は、共有情報の再送信をサブドメインＥＣＵ１１０に通知して共有情報の再送信を実施する等の適切なフェイルセーフ処理を実施できる。

このように、通信エラーの発生により共有情報を再送信する場合、通信マスタ装置１００は、共有情報の最終データとして、通信エラーが最初に発生したときの時刻を設定することが望ましい。これにより、最初に通信エラーとなった通信に遡って、正常に通信フレームを受信した受信ノードが共有情報を処理できる。

例えば、水温が所定温度以上になってからの経過時間で制御対象の挙動を診断する場合、正常に受信した共有情報から、最初に水温が所定温度以上になった時刻を知ることができる。その結果、水温が最初に所定温度以上になった時刻に遡って経過時間をカウントできる。

本実施形態では、ＣＲＣコードを通信マスタ装置１００と分担して設定するサブドメインＥＣＵ１１０は本発明のコード算出手段に相当する。
［第５実施形態］
本発明の第５実施形態をＣＡＮによる通信フレームを例にして図１２に示す。第４実施形態と実質的に同一構成部分には同一符号を付す。

第４実施形態で述べた通信マスタ装置１００によるＣＲＣコードの異常が繰り返される場合、サブドメインＥＣＵ１１０のいずれかが、通信マスタ装置１００に代わり通信マスタ装置１００の機能を実行する。これにより、通信マスタ装置１００に異常が発生しても、サブドメインＥＣＵ１１０のいずれかがにより通信の管理を継続できる。

本実施形態では、通信マスタ装置１００に代わって通信マスタ装置１００の機能を実行するサブドメインＥＣＵ１１０は本発明のサブマスタ手段に相当する。
［第６実施形態］
本発明の第６実施形態による車両制御システムを図１３に示す。

車両制御システム７０のパワートレインＥＣＵ２０には、通信調停手段２２、情報管理手段２４および共有メモリ２６が設けられている。共有メモリ２６は、例えばＲＡＭまたはフラッシュメモリで構成されている。第６実施形態では、第１実施形態〜第５実施形態の通信フレームに代えて共有メモリ２６により共有情報を共有する。

（共有メモリ２６）
図１４に示すように、パワートレインＥＣＵ２０に設けた共有メモリ２６には、例えば、センサ信号、診断情報、ナビゲーション情報の中で、複数の機能ドメインＥＣＵおよびサブドメインＥＣＵが共有する共有情報が、共有領域の所定位置に設定されている。共有メモリ２６に設定される情報は情報管理手段２４が管理する。

また、共有メモリ２６には、複数の機能ドメインＥＣＵおよびサブドメインＥＣＵが共有すべき制御処理の開始タイミング、同期タイミングが設定されている。このように、センサ信号等のデータ以外にも、制御処理の開始タイミング、同期タイミングを共有情報として共有メモリ２６に設定することにより、個別に制御処理の開始タイミング、同期タイミングを通知する場合に比べ、複数の機能ドメインＥＣＵおよびサブドメインＥＣＵによる制御処理の開始、同期が容易になる。

車両制御システム１０の構成に変更があり、共有情報が追加される場合には、共有メモリ２６の空き領域に追加の共有情報が設定される。
（情報共有ルーチン３）
次に、情報共有ルーチン３による共有メモリ２６における情報共有について説明する。図１５に、情報共有ルーチン３のフローチャートを示す。図１５の情報共有ルーチン３は常時実行される。

Ｓ４４０においてパワートレインＥＣＵ２０は、グローバルネットワーク３００およびローカルネットワーク３１０を介して、オプション品が追加されているか、何れかのＥＣＵの制御プログラムのバージョンが更新されているか等、車両構成に変更があるかを判定する。車両構成に変更がない場合（Ｓ４４０：Ｎｏ）、パワートレインＥＣＵ２０はＳ４４４に処理を移行する。

車両構成に変更がある場合（Ｓ４４０：Ｙｅｓ）、Ｓ４４２においてパワートレインＥＣＵ２０は、車両構成の変更に基づいて、共有メモリ２６における共有情報に関する設定を変更する。

Ｓ４４４においてパワートレインＥＣＵ２０は、共有情報の取得条件が成立したか否かを判定する。例えば、パワートレインＥＣＵ２０は、取得条件として、水温が所定温度以上になったか否かを判定する。取得条件が成立しない場合（Ｓ４４４：Ｎｏ）、パワートレインＥＣＵ２０は本ルーチンを終了する。

取得条件が成立すると（Ｓ４４４：Ｙｅｓ）、Ｓ４４６においてパワートレインＥＣＵ２０は、各機能ドメインＥＣＵおよびサブドメインＥＣＵから送信される通信情報から共有情報を選択して取得する。例えば、パワートレインＥＣＵ２０は、水温が所定温度以上になったときのエンジン回転数およびアクセル開度が必要な場合には、水温センサのセンサ信号を送信するサブドメインＥＣＵの送信情報から水温が所定温度以上になっていることを検出すると、エンジン回転数センサとアクセル開度センサのセンサ信号の送信を該当するサブドメインＥＣＵに要求し、エンジン回転数とアクセル開度とを共有情報として取得する。

Ｓ４４８においてパワートレインＥＣＵ２０は、水温とエンジン回転数とアクセル開度とからなる共有情報を共有メモリ２６に書き込む。そして、Ｓ４５０においてパワートレインＥＣＵ２０は、水温とエンジン回転数とアクセル開度とからなる共有情報を共有メモリ２６に書き込んだことを、グローバルネットワーク３００およびローカルネットワーク３１０を介して、同じ機能ドメイン内のサブドメインＥＣＵ、ならびに異なる機能ドメインの機能ドメインＥＣＵおよびサブドメインＥＣＵに通知する。

この場合、車両構成の変更に伴い追加になった共有情報が共有メモリ２６に書き込まれると、書き込みとともに共有情報が追加になったことが通知される。
パワートレインドメインと異なる機能ドメインの機能ドメインＥＣＵは、パワートレインＥＣＵ２０がグローバルネットワーク３００に送信した共有情報の書き込み通知を受信して、共有情報の書き込みを知ることができる。

異なる機能ドメインのサブドメインＥＣＵに共有情報の書き込みを通知する場合には、異なる機能ドメインのローカルネットワーク３１０において通信中でなければ、グローバルネットワーク３００からローカルネットワーク３１０に共有情報の書き込みが即時に通知される。ローカルネットワーク３１０において通信中であれば、異なる機能ドメインの通信調停手段は、ローカルネットワーク３１０において実行中の通信を強制的に遮断して共有情報の書き込みをローカルネットワーク３１０に通知するか、実行中の通信が終了するまで、共有情報の書き込みの通知を待機させる。

パワートレインＥＣＵ２０から共有メモリ２６への共有情報の書き込みが通知されると、共有情報を必要とする機能ドメインＥＣＵおよびサブドメインＥＣＵが共有メモリ２６を参照する。

本実施形態では、共有メモリ２６は本発明の情報共有手段としてのメモリ装置に相当し、共有メモリ２６の記憶領域は情報共有領域に相当する。また、本実施形態では、図１５のＳ４４０〜Ｓ４５０は、本発明の情報管理手段が実施する機能に相当する。

［第７実施形態］
本発明の第７実施形態を図１６に示す。第６実施形態と実質的に同一構成部分には同一符号を付す。

第７実施形態の車両制御システム８０においては、複数の機能ドメインＥＣＵおよびサブドメインＥＣＵが共有する共有情報を、パワートレインＥＣＵ２０の共有メモリ２６と、シャーシＥＣＵ３０の共有メモリ３４の２箇所で記憶している。共有メモリ２６と共有メモリ３４との内容は同じである。したがって、共有情報の削除、更新、新規追加等の変更がある場合、共有メモリ２６および共有メモリ３４の両方が同様に変更される。これにより、一方の共有メモリに異常が発生しても、他方の共有メモリで共有情報を共有できる。

本実施形態では、共有メモリ３４は本発明の情報共有手段としてのメモリ装置に相当する。
［第８実施形態］
本発明の第８実施形態を図１７に示す。第６実施形態と実質的に同一構成部分には同一符号を付す。

第８実施形態の車両制御システム９０では、複数の機能ドメインＥＣＵおよびサブドメインＥＣＵが共有する共有情報を、イントラボックス１２０の共有メモリ１２２に記憶している。共有メモリ１２２は、例えばＲＡＭまたはフラッシュメモリで構成されている。そして、イントラボックス１２０に設けた情報管理手段１２４は、どの機能ドメインＥＣＵおよびサブドメインＥＣＵから共有情報として何を取得し、共有メモリ１２２のどこに設定するかを管理する。

イントラボックス１２０は、処理装置として、機能ドメインＥＣＵおよびサブドメインＥＣＵとは異なるマイコンにより構成されており、機能ドメインＥＣＵおよびサブドメインＥＣＵが制御対象に対して実行する制御処理に共通する共通処理を実行する。イントラボックス１２０が実行する共通処理としては、例えば、電力管理処理、機能ドメインＥＣＵおよびサブドメインＥＣＵの制御処理が正常であるか異常であるかを判定し、必要であれば制御処理を補正する監査処理、ＣＰＵおよびメモリ等の資源管理処理などである。

共有メモリ１２２における共有情報の書き込み、通知、参照の手順は、前述した図１５の情報共有ルーチン３において、パワートレインＥＣＵ２０をイントラボックス１２０に、共有メモリ２６を共有メモリ１２２に置き換えればよい。

本実施形態では、共通処理を実行するイントラボックス１２０が機能ドメインＥＣＵおよびサブドメインＥＣＵとは異なる処理装置で構成されているので、機能ドメインＥＣＵおよびサブドメインＥＣＵにおけるハードウェアおよびソフトウェアの変更による影響を受けることなく、イントラボックス１２０の共有メモリ１２２において、情報管理手段１２４の管理により情報を共有できる。

本実施形態では、イントラボックス１２０は本発明の共通処理装置に相当し、共有メモリ１２２は情報共有手段としてのメモリ装置に相当する。
以上説明した上記実施形態では、グローバルネットワーク３００およびローカルネットワーク３１０または共有メモリを情報共有手段とし、情報管理手段が、機能ドメインＥＣＵおよびサブドメインＥＣＵによる情報共有領域への共有情報の設定を管理している。

これにより、車両構成の変更に伴い共有情報の設定が変更になっても、機能ドメインＥＣＵおよびサブドメインＥＣＵは、情報管理手段からの指示により共有情報の設定の変更に対応することができる。その結果、車両構成の変更に伴い共有情報の設定が変更される場合に、機能ドメインＥＣＵおよびサブドメインＥＣＵにおいて、共有情報に関する制御処理の変更量を極力低減できる。

また、機能ドメインＥＣＵおよびサブドメインＥＣＵにおいて、車両構成の変更に伴う共有情報に関する制御処理の変更量を極力低減できるので、機能ドメインＥＣＵおよびサブドメインＥＣＵによる制御処理において、同じアルゴリズムが長く使用される。これにより、機能ドメインＥＣＵおよびサブドメインＥＣＵによる制御処理のアルゴリズムの問題点が解決される機会が増えるので、アルゴリズムの信頼性が向上する。

［他の実施形態］
上記実施形態では、情報共有手段として、グローバルネットワーク３００およびローカルネットワーク３１０または共有メモリのいずれかを使用した。これに対し、グローバルネットワーク３００およびローカルネットワーク３１０と共有メモリとの両方を情報共有手段としてもよい。

また、グローバルネットワーク３００およびローカルネットワーク３１０として、ＣＡＮ、ＦｌｅｘＲａｙ、ＭＯＳＴ以外にも、他の通信仕様のネットワークが採用されることはもちろん可能である。そして、ＣＲＣコードに限らず、通信仕様に応じてエラー検出コードは設定される。

上記実施形態では、グローバルネットワーク３００およびローカルネットワーク３１０を介し、通信フレームまたは共有メモリ等の情報共有手段の情報共有領域において異なる機能ドメインの間で情報を共有した。これに対し、一つの機能ドメイン内の機能ドメインＥＣＵとサブドメインＥＣＵとだけで、ローカルネットワーク３１０を介して、通信フレームまたは共有メモリ等の情報共有手段の情報共有領域において情報を共有してもよい。

本発明の機能ドメイン制御手段、サブドメイン制御手段、グローバル通信手段、ローカル通信手段、通信調停手段、検証手段、コード算出手段、通信マスタ手段、サブマスタ手段の機能は、プログラムにより機能が特定されるハードウェア、回路等の構成自体で機能が特定されるハードウェア、またはそれらの組み合わせにより適宜実現される。

このように、本発明は、上記実施形態に限定されるものではなく、その要旨を逸脱しない範囲で種々の実施形態に適用可能である。

１０、７０、８０、９０：車両制御システム、２０：パワートレインＥＣＵ（機能ドメイン制御手段）、２２、３２、４２、５２：通信調停手段、２４：情報管理手段（通信マスタ手段）、２６、３４、１２２：共有メモリ（情報共有手段）、３０：シャーシＥＣＵ（機能ドメイン制御手段）、４０：ボディＥＣＵ（機能ドメイン制御手段）、５０：インフォテインメントＥＣＵ（機能ドメイン制御手段）、６０、６２、６４、６６：サブドメインＥＣＵ（サブドメイン制御手段）、１００：通信マスタ装置（通信マスタ手段）、１１０：サブドメインＥＣＵ（サブドメイン制御手段、サブマスタ手段、コード算出手段、検証手段）、１２０：イントラボックス（共通処理装置）、３００：グローバルネットワーク（グローバル通信手段）、３１０：ローカルネットワーク（ローカル通信手段）、３２０：通信フレーム（情報共有手段）

Claims (17)

1. 車両に搭載された制御対象の挙動を制御する車両制御システムにおいて、
   前記制御対象の機能で分類された機能ドメイン毎に前記制御対象の挙動を制御する機能ドメイン制御手段と、
   前記機能ドメインにおいて、前記機能ドメインよりも詳細な機能で分類されたサブドメイン毎に前記制御対象の挙動を制御するサブドメイン制御手段と、
   前記機能ドメイン内で前記機能ドメイン制御手段と前記サブドメイン制御手段とが通信するためのローカル通信手段と、
   前記ローカル通信手段を介して前記機能ドメイン制御手段および前記サブドメイン制御手段が情報を共有する情報共有領域を有する情報共有手段と、
   前記機能ドメイン制御手段および前記サブドメイン制御手段による前記情報共有領域における情報の共有を車両構成に基づいて管理する情報管理手段と、
   を備え、
   前記機能ドメインが複数設けられており、複数の前記機能ドメインの間で通信するためのグローバル通信手段を備える場合、前記機能ドメイン制御手段および前記サブドメイン制御手段に実装されたソフトウェア間の通信はＡＵＴＯＳＡＲ(Automotive Open System Architecture)が提供するＶＦＢ(Virtual Functional Bus)上で設定されており、前記ＶＦＢ上での通信を、前記機能ドメイン制御手段内および前記サブドメイン制御手段内における通信と、前記ローカル通信手段における通信と、前記グローバル通信手段における通信との三階層構造とし、前記三階層構造の同一階層および異なる階層間での通信仕様が前記ＶＦＢ上でそれぞれ設定されている、
   ことを特徴とする車両制御システム。
2. 複数の前記機能ドメインの間で通信するためのグローバル通信手段を備え、
   前記グローバル通信手段を介し、異なる前記機能ドメインの前記機能ドメイン制御手段および前記サブドメイン制御手段が前記情報共有領域の情報を共有する、
   ことを特徴とする請求項１に記載の車両制御システム。
3. 前記情報共有手段は、前記機能ドメイン内の前記機能ドメイン制御手段と前記サブドメイン制御手段とが通信するためのローカルな通信手段、ならびに前記機能ドメインが複数設けられている場合には複数の前記機能ドメインの間で通信するためのグローバルな通信手段であり、前記情報共有領域は前記通信手段で通信される通信フレームであることを特徴とする請求項１または２に記載の車両制御システム。
4. 前記情報管理手段は前記通信手段による通信を管理する通信マスタ手段として機能し、
   前記通信マスタ手段は、前記機能ドメイン制御手段および前記サブドメイン制御手段の少なくともいずれかが送信する通信情報から共有情報を選択し、選択した前記共有情報を前記通信フレームに設定して送信する、
   ことを特徴とする請求項３に記載の車両制御システム。
5. 前記情報管理手段は前記通信手段による通信を管理する通信マスタ手段として機能し、
   前記機能ドメイン制御手段および前記サブドメイン制御手段の少なくともいずれかは、共有情報を送信するとき、前記通信マスタ手段が管理する順番にしたがって前記通信マス
   タ手段が作成する前記通信フレームに前記共有情報を順次設定する、
   ことを特徴とする請求項３に記載の車両制御システム。
6. 前記通信フレームにおいて、前記共有情報の後に前記通信フレームに設定された情報のエラー検出コードが設定され、
   前記通信マスタ手段は、前記共有情報と前記エラー検出コードとの間にダミーデータを設定する、
   ことを特徴とする請求項５に記載の車両制御システム。
7. 前記通信マスタ手段は、前記通信フレームに設定された情報のエラー検出コードを算出し、前記通信フレームの前記共有情報の後に前記エラー検出コードを設定することを特徴とする請求項４から６のいずれか一項に記載の車両制御システム。
8. 前記通信フレームに設定された前記エラー検出コードが正しいか否かを検証する検証手段を備えることを特徴とする請求項６または７に記載の車両制御システム。
9. 前記検証手段は、前記エラー検出コードが誤っていると判定すると、前記エラー検出コードが誤っている前記通信フレームの送信を遮断することを特徴とする請求項８に記載の車両制御システム。
10. 前記通信マスタ手段とともに前記通信フレームに設定された情報のエラー検出コードを算出するコード算出手段を備え、前記通信マスタ手段と前記コード算出手段とは、それぞれ算出した前記エラー検出コードの一部を前記共有情報の後に設定して前記エラー検出コードを完成させることを特徴とする請求項５または６に記載の車両制御システム。
11. 前記通信マスタ手段は、通信エラーの発生時に前記通信フレームを再送信するとき、最初に通信エラーとなった前記通信フレームを送信したときの時刻を前記共有情報として前記通信フレームに設定することを特徴とする請求項４から１０のいずれか一項に記載の車両制御システム。
12. 前記通信マスタ手段の異常時に、前記通信マスタ手段の代わりに前記通信手段による通信を管理するサブマスタ手段を備えることを特徴とする請求項４から１１のいずれか一項に記載の車両制御システム。
13. 前記機能ドメインが複数設けられており、複数の前記機能ドメインの間で通信するためのグローバル通信手段を備える場合、
    前記ローカル通信手段において前記サブドメイン制御手段による前記グローバル通信手段への通信開始要求を検出すると、前記ローカル通信手段において前記グローバル通信手段への通信開始要求を検出された通信の優先順位が、所定の優先順位よりも高く、かつ前記グローバル通信手段において通信開始要求を検出された他の通信の優先順位よりも高い場合、前記ローカル通信手段において通信開始要求を検出された前記グローバル通信手段への通信を許可する通信調停手段を備えることを特徴とする請求項１から１２のいずれか一項に記載の車両制御システム。
14. 前記通信調停手段は、前記グローバル通信手段において通信が行われている途中で前記ローカル通信手段において前記グローバル通信手段への通信開始要求を検出すると、前記グローバル通信手段で実行中の通信が終了してから、前記ローカル通信手段において通信開始要求を検出された前記グローバル通信手段への通信を許可することを特徴とする請求項１３に記載の車両制御システム。
15. 前記情報管理手段は、データと、前記機能ドメイン制御手段および前記サブドメイン制御手段による制御処理の開始タイミングと、前記制御処理の同期タイミングとの少なくともいずれかを共有情報として前記情報共有領域に設定することを特徴とする請求項１から１４のいずれか一項に記載の車両制御システム。
16. 前記情報共有手段は前記機能ドメイン制御手段が有するメモリ装置であり、前記情報共有領域は前記メモリ装置に設けられた共有領域であることを特徴とする請求項１から１５のいずれか一項に記載の車両制御システム。
17. 前記機能ドメイン制御手段および前記サブドメイン制御手段が実行する制御処理に共通する共通処理を実行し、前記機能ドメイン制御手段および前記サブドメイン制御手段を構成する処理装置とは異なる共通処理装置を備え、前記情報管理手段は前記共通処理装置に設けられていることを特徴とする請求項１から１６のいずれか一項に記載の車両制御システム。

Images