JP7504222B2 - 車載用制御システム - Google Patents

Description

本願は、車載用制御システムに関するものである。

車両には、ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）と呼ばれる制御装置が複数搭載されており、各ＥＣＵは、有線または無線によって通信が可能なネットワークに接続されている。
有線または無線通信手段および通信網のネットワークが何らかの理由によって異常な状態に陥って、ＥＣＵの制御プログラムが異常な処理を行った場合には車両のユーザが意図しない不利益を被ることになる。

車両の自動操舵の制御の採用に伴い、高度の動作信頼性が求められるようになってきている。この要求に従い、車載用制御システムにおいては、制御における実行状態を監視して、異常な状態を排除する必要がある。

特許文献１においては、車載用電子機器の制御において、車載用電子機器の制御プログラムの実行状態を監視して、制御プログラムに異常な実行状態が検出された場合であっても、車載用電子機器の制御を継続できるようにするため、車載用電子機器の制御装置に接続する実行時間監視タイマ回路と、実行順序監視回路と、設定レジスタと、その他の付属回路などからなるプログラム実行監視専用回路を設け、車載用電子機器の制御プログラムが実行するタスクの実行順序及び／または制御プログラムが実行するタスクの先頭アドレスから終了アドレスまでの実行時間の監視を行い、実行順序及び／または実行時間に異常を検出した場合には、代替的な処理を行うことによって車載用電子機器の制御を継続することを提案している。

特許第６３１１８２７号公報

特許文献１において提案されている技術では、プログラムの実行状態が正常の場合と異常な場合との判別を行うために、正常な場合のプログラムの動作を予め登録しておいて、実行中の動作と登録された動作とを比較して、登録されている動作の中に条件を満たすまたは一致するものがあれば正常、一致するものがなければ異常と判断している。
しかし、車載用の電子機器では、車両の状態の変化に対応してプログラムの実行状態が変化するため、複数の状態における様々な動作を予め登録し、実行中の動作と登録された全ての動作と比較を行うことによって動作の異常の有無の監視が行われていたため、監視が冗長となるという問題があった。

本願は、前述の問題を軽減するためになされたものであって、冗長な監視を抑えることのできる車載用制御システムを提供することを目的とするものである。

本願の車載用制御システムは、システムの運用状態の情報を取得する状態管理部、前記状態管理部によって取得された前記システムの運用状態の情報を記憶する記憶部、複数の制御機能を有する制御部、前記制御部の制御機能と前記制御機能の正常な動作状態との対応関係を定めたリストを保有するリスト管理部、および前記記憶部に記憶された前記運用状態に基づいて前記リスト管理部に保有されている前記リストを選択し、前記リストに定められた制御機能の正常な動作状態と前記制御部の実行状態とを比較して前記制御機能の動作が正常か否かを監視する監視部を備え、前記状態管理部は、前記システム自身の状態に基づいて前記運用状態を決定し、前記リスト管理部は、前記システムの運用状態ごとに監視対象となる前記制御部の前記制御機能と前記制御機能の正常な動作状態との対応関係が定められたリストを保有するとともに、前記監視部は、前記運用状態に基づいて前記リスト管理部に保有されている前記リストを選択し、前記リストに定められた制御機能の正常な動作状態と前記制御部の実行状態とを比較して前記制御機能の動作が全ての条件を満たす場合は正常と判断する、ことを特徴とする。

本願の車載用制御システムによれば、車載用制御システムの置かれている状態に応じて実行状態を比較するリストを選択することによって冗長な監視を抑えることができる。

本願の実施の形態１の車載用制御システムの構成を示すブロック図である。 本願の実施の形態１の制御機能および制御機能の正常な動作状態を定めたリストの説明図である。 本願の実施の形態１の監視処理の手順を示すフロー図である。 本願の実施の形態２の制御装置の構成を示すブロック図である。 本願の実施の形態２の制御機能および制御機能の正常な動作状態を定めたリストの説明図である。 本願の実施の形態２に係る監視処理の手順を示すフロー図である。 実施の形態１および実施の形態２による車載用制御システムのハードウエアの一例を示す構成図である。

以下、本願に係る車載用制御システムの実施の形態について、図面を用いて説明する。なお、各実施の形態において、同一もしくは相当する部分は同一符号で示し、重複する説明は省略する。

実施の形態１．
車載用制御システムとしてＡＤＡＳ（Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ Ａｓｓｉｓｔａｎｃｅ Ｓｙｓｔｅｍ）制御装置を例として取り上げて説明する。

図１は、実施の形態１に係るＡＤＡＳ制御装置の構成の一例を示した図である。ＡＤＡＳ制御装置１００は、状態管理部１１０、記憶部１１１、監視部１１２、リスト管理部１１３、制御部１１４を備えている。また、リスト管理部１１３は、リスト（リストＡ１２０、リストＢ１２１、リストＣ１２２）を備えている。制御部１１４は、制御機能として、ＥＰＳ（Ｅｌｅｃｔｒｉｃ Ｐｏｗｅｒ Ｓｔｅｅｒｉｎｇ）制御機能１３０、ブレーキ制御機能１３１、自己診断機能１３２を備えている。なお、図１に示す構成は一例であり、状態管理部１１０、記憶部１１１、監視部１１２、リスト管理部１１３および制御部１１４を備えていれば、必ずしも図１に示したものと同じでなくてもよい。

以下、ＡＤＡＳ制御装置１００の各構成とその機能について説明する。
状態管理部１１０は、ＡＤＡＳ制御装置１００の置かれている状態（運用状態）を数値によって表現して、状態に応じた数値を取得し、記憶部１１１に取得した値を書き込む。すなわち、ＡＤＡＳ制御装置１００は、例えばＥＣＵであり、ＡＤＡＳ制御装置１００の置かれている状態とは、例えば初期化中、動作中、故障中、診断中などの状態である。
したがって、状態管理部１１０は、車載用制御システム（ＡＤＡＳ制御装置１００）の状態に基づいて運用状態を決定するということになる。

記憶部１１１は、状態管理部１１０が取得したＡＤＡＳ制御装置１００の置かれている状態を示す値を記憶し、新たな値が書き込まれるまで記憶を継続して保持する。
監視部１１２は、記憶部１１１に記憶されているＡＤＡＳ制御装置１００の置かれている状態に基づいて、リスト管理部１１３から参照するリスト（リストＡ１２０、リストＢ１２１、リストＣ１２２）を選択する。また、監視部１１２は、ＡＤＡＳ制御装置１００の制御部１１４において実行中の機能（ＥＰＳ制御機能１３０、ブレーキ制御機能１３１、自己診断機能１３２）および機能の動作に関連する情報を取得し、参照しているリスト内の条件を満たす機能および動作が行われているかを比較する。比較対象とする主な要素は、例えば機能の実行時間、実行順序、予め定めた期間における実行回数である。

リスト管理部１１３は、状態ごとに対応した複数のリスト（リストＡ１２０、リストＢ１２１、リストＣ１２２）を保有しており、監視部１１２からの要求に従って、リストを提供する。保有しているリストの分割単位としては、状態管理部１１０で取得される状態としてもよいし、あるいは機能単位でリストを分割し監視部１１２が状態ごとに複数のリストを参照するようにしてもよい。

図２を用いて、本実施の形態１に係るリスト管理部１１３が保有する複数のリスト（リストＡ１２０、リストＢ１２１、リストＣ１２２）の構成について説明する。
図２に示すように、リストＡ１２０、リストＢ１２１、リストＣ１２２には、監視対象となる制御部１１４の制御機能（ＥＰＳ制御機能１３０、ブレーキ制御機能１３１、自己診断機能１３２）および制御機能の正常な動作が記載されている。

リストＡ１２０、リストＢ１２１、リストＣ１２２には、制御機能の動作状態が正常であるとの判断要素に、正常な場合の「制御機能」、「実行時間の閾値」、「実行順序」、予め定めた期間における「実行回数の閾値」などの項目が設定されている。これらの項目は任意であり、プログラムの動作を特定できる項目であれば、その他の項目でも構わない。

「実行時間の閾値」は、機能の実行を開始してから終了するまでの時間を実行時間とし、実行時間に加えて、優先度の高い機能の割り込みによって発生する処理の遅延等を考慮して設計者あるいは学習アルゴリズムにより設定される。また、同じ機能であったとしても、車両の置かれている状態に応じて、実行されない処理を含んでいる場合、あるいは処理の遅延が許されない場合において、設定される実行時間の閾値は変化する。例えばＥＰＳ制御機能において、制御機能が動作中の状態では、自動操舵の処理が行われる。しかし、故障中の状態では、システムに操舵を任せるのは危険なため、自動操舵の処理を停止し、ドライバによる手動操舵に切り替えることが行われる。この場合、故障中と動作中では、自動操舵処理の有無によって実行時間が変化することになる。

「実行順序」は、機能内で実行される処理の順序とし、例えば、実行される関数の順序であってもよいし、実行される命令のアドレスの順序であってもよい。また、同じ機能であったとしても、特定の状態でのみ実行される処理を含んでいる場合あるいは状態に応じて実行される処理の順序が変化する場合などにおいて、設定される実行順序は変化する。例えば、自己診断機能において、動作中の状態では、自己診断機能より車両の制御に関する機能が優先される。そのため、リソース使用量の大きい処理あるいは処理負荷の大きい処理については、動作中の状態では実行されず、診断中の状態でのみ実行される。この場合、動作中と診断中では、実行順序が変化する。

予め定めた期間における「実行回数の閾値」は、周期的に起動される制御機能において、予め定めた期間中に最低限実行される回数を設定するものである。また、同じ制御機能であったとしても、状態に応じて、周期的な起動でなくなる場合あるいは制御機能の優先度の変化により、起動するタイミングが変化する場合などにおいて、予め定めた期間における実行回数の閾値は変化する。例えば、自己診断機能において、動作中あるいは故障中の状態では、周期起動で最低限の処理が実行されているため、予め定めた期間における実行回数を監視することで、制御機能が正しく起動しているかを監視する。しかし、診断中の状態では、外部から診断ツールを接続し、診断ツールから送信される診断実行の信号をトリガーとして機能を実行するため、予め定めた期間における実行回数は監視できないことになる。

図２に示すように、リスト管理部１１３に記憶されているリストの分割単位を状態管理部１１０で取得される状態に対応させて、車両の状態が動作中の場合、監視部１１２はリスト管理部１１３からリストＡ１２０を参照し、リストＡ１２０に記載されている制御機能およびこれらの制御機能の動作のみを監視する。

制御部１１４は、ＡＤＡＳ制御装置１００を制御するための複数の制御機能（ＥＰＳ制御機能１３０、ブレーキ制御機能１３１、自己診断機能１３２）を備えている。

次に、実施の形態１に係るＡＤＡＳ制御装置１００の監視処理の一連の手順について、図３を用いて説明する。
図３において、ステップＳ２０１において、状態管理部１１０は、ＡＤＡＳ制御装置１００の置かれている状態を示す値を取得する。値を取得するタイミングは、予め定めた周期で取得してもよいし、あるいは状態が変化する都度取得してもよい。

続いて、ステップＳ２０２において、状態管理部１１０は、ステップＳ２０１において取得した状態を示す値を記憶部１１１に書き込む。記憶部１１１は、状態管理部１１０が新たに状態を示す値を取得し書き込むまで、書き込まれた値を記憶する。

ステップＳ２０３において、監視部１１２は、記憶部１１１に記憶されている状態に基づいて、リスト管理部１１３から参照するリスト（リストＡ１２０、リストＢ１２１、リストＣ１２２）を選択する。具体的には、図２において、記憶部１１１に動作中の状態を示す値が記憶されている場合、監視部１１２はリストＡ１２０を参照する。

続いて、ステップＳ２０４において、監視部１１２は、制御部１１４から実行中の制御機能（ＥＰＳ制御機能１３０、ブレーキ制御機能１３１、自己診断機能１３２）および制御機能の動作に関連する情報を取得する。

ステップＳ２０５において、監視部１１２は、ステップＳ２０３において選択したリストとステップＳ２０４において取得した実行中の制御機能および制御機能の動作に関連する情報を比較することで、実行中の制御機能が正常か異常かを判定する。具体的には、まず取得した実行中の制御機能が参照中のリスト内に記載されているか比較する。実行中の制御機能がリスト内に記載されている場合、実行中の制御機能の動作とリスト内の制御機能の正常な動作とを比較し、全ての条件を満たす場合は正常、一つの項目でも条件を満たさない場合は異常と判定する。

ステップＳ２０５において、実行中の制御機能を正常と判定した場合（異常無）、監視処理を繰り返す。
ステップＳ２０５において、実行中の制御機能を異常と判定した場合（異常有）、監視処理を終了する。監視処理終了後、監視処理において参照したリストを用いて、異常検知時のＡＤＡＳ制御装置１００の状態の情報、異常と判定された制御機能の情報および動作の情報を、異常検知後の処置を行う機能あるいはモジュールなどに渡してもよい。

このように、本実施の形態１に係る車載用制御システムによれば、ＡＤＡＳ制御装置１００の状態に応じた車載用制御システムの制御機能および動作を監視することができる。
さらに、ＡＤＡＳ制御装置１００の状態に応じて、監視が必要な制御機能のみを監視することができるため、冗長な監視を抑えることができる。

さらに、ＡＤＡＳ制御装置１００の状態に応じて動作が変化する制御機能に対して、制御機能の正常な動作を状態ごとに定めることができるため、閾値の許容範囲が広がるのを抑え、制御機能の正常な動作をより厳密に定めることができ、セキュリティ耐性を向上させることができる。

さらに、異常検知時のＡＤＡＳ制御装置１００の状態の情報、異常と判定された制御機能の情報および動作の情報から、異常発生箇所および異常波及箇所を特定することできる。また、特定した情報を利用することで、異常検知後の処置および分析に繋ぐことができる。

実施の形態２．
次に、実施の形態２に係るＡＤＡＳ制御装置について、図４から図６までに基づいて説明する。

図４は、実施の形態２に係るＡＤＡＳ制御装置の構成の一例を示した図である。ＡＤＡＳ制御装置１００は、外部制御装置１０１のＥＰＳ制御装置１０１－１およびエンジン制御装置１０１－２とそれぞれ車載ネットワーク１０２を通して繋がっている。車載ネットワーク１０２は、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）、Ｅｔｈｅｒｎｅｔ等が考えられるが、これに限るものではない。また、ネットワークアーキテクチャについても、図４に示す構成は一例であり、ＡＤＡＳ制御装置１００と外部制御装置１０１が装置の情報を伝達できる通信線で接続されていれば、どのような形態でも構わない。

また、ＡＤＡＳ制御装置１００は、図１に示したと同じ構成である。
ＡＤＡＳ制御装置１００は、状態管理部１１０、記憶部１１１、監視部１１２、リスト管理部１１３、制御部１１４を備えて構成されている。また、状態管理部１１０は、リストＡ１２０、リストＢ１２１、リストＣ１２２を備えており、制御部１１４は、ＥＰＳ制御機能１３０、ブレーキ制御機能１３１、自己診断機能１３２を備えて構成されている。なお、図１および図４に示す構成は一例であり、状態管理部１１０と記憶部１１１と監視部１１２とリスト管理部１１３と制御部１１４を備えており、一つ以上の外部制御装置１０１と車載ネットワーク１０２を通して繋がっていれば、必ずしも図１および図４の通りでなくてもよい。

本実施の形態２においては、ＡＤＡＳ制御装置１００が、外部制御装置１０１のＥＰＳ制御装置１０１－１およびエンジン制御装置１０１－２と車載ネットワーク１０２を通して繋がっている点が、実施の形態１と異なる。外部制御装置１０１は、例えばＥＣＵでもよいし、あるいはセンシング機能を有する装置であってもよい。

以下、ＡＤＡＳ制御装置１００の各構成要素とその機能について、実施の形態１と異なる点を簡単に説明する。
状態管理部１１０は、ＡＤＡＳ制御装置１００の持つ状態を示す値に加えて、車載ネットワーク１０２を経由して、ＥＰＳ制御装置１０１－１とエンジン制御装置１０１－２のセンサー値あるいは故障情報等を取得する。センサー値は、例えば車速、操舵角、エンジン回転数などである。

状態管理部１１０は、取得した値および情報に基づいて、現在の車両の状態に対応した値を決定し、記憶部１１１に現在の車両の状態を示す値を書き込む。車両の状態は、例えば停車中、通常走行中、縮退走行中、診断中などである。

記憶部１１１は、状態管理部１１０が決定した現在の車両の状態を示す値を記憶し、新たな値が書き込まれるまで記憶を継続して維持する。また、予め定めた期間中に車両の状態が変化し、状態管理部１１０が前とは異なる新たな状態を決定した場合、状態変化前の値を上書きせず、状態変化前の値と併せて新たな状態を示す値を予め定めた期間における状態遷移として記憶する。

予め定めた期間は、その期間における状態遷移によって、状態管理部１１０で決定した車両の状態に違いが生じるような範囲で設定する。例えば、現在の車両の状態が停車中と決定された場合において、直前の状態が通常走行中であるか縮退走行中であるかで、必要な制御機能およびそれに応じて必要となる監視が異なるため、同じ停車中であってもそれぞれ異なる車両の状態とみなす。

監視部１１２は、記憶部１１１に記憶されている状態に基づいて、リスト管理部１１３から参照するリスト（リストＡ１２０、リストＢ１２１、リストＣ１２２）を選択する。監視部１１２は、記憶部１１１が記憶する現在の車両の状態に基づいてリストを選択してもよいし、あるいは予め定めた期間における状態遷移に基づいて選択してもよい。

リスト管理部１１３は、複数のリスト（リストＡ１２０、リストＢ１２１、リストＣ１２２）を記憶しており、監視部１１２からの要求に従って、リストを提供する。記憶されているリストの分割単位としては、記憶部１１１に記憶されている現在の車両の状態、あるいは予め定めた期間における状態遷移に基づく車両の状態、あるいは機能単位でリストを分割し、車両の状態ごとに複数のリストを参照させるようにしてもよい。

図５を用いて、本実施の形態２に係るリスト管理部１１３が記憶する複数のリスト（リストＡ１２０、リストＢ１２１、リストＣ１２２）の構成について説明する。
図５に示すように、リストＡ１２０、リストＢ１２１、リストＣ１２２は、記憶部１１１に記憶されている状態あるいは予め定めた期間における状態遷移において、監視対象となる制御部１１４の機能（ＥＰＳ制御機能１３０、ブレーキ制御機能１３１、自己診断機能１３２）および機能の正常な動作が記載されている。図５のリストＡ１２０、リストＢ１２１、リストＣ１２２は一例であり、必ずしも図５の通りでなくてもよい。

図５に示すように、記憶部１１１に記憶されている現在の車両の状態が停車中であり、過去の予め定めた期間における変化前の状態が通常走行中であった場合、監視部１１２はリスト管理部１１３からリストＢ１２１を参照し、リストＢ１２１に記載されている機能およびこれらの機能の動作のみを監視する。

次に、実施の形態２に係るＡＤＡＳ制御装置１００の監視処理の一連の流れについて、図６を用いて説明する。
図６において、ステップＳ２０１において、状態管理部１１０は、ＡＤＡＳ制御装置１００の持つ状態を示す値を取得する。値を取得するタイミングは、予め定めた周期で取得してもよいし、あるいは状態が変化する都度取得してもよい。

続いて、ステップＳ３０１において、ＥＰＳ制御装置１０１－１およびエンジン制御装置１０１－２は、車載ネットワーク１０２を経由して自身のセンサー値あるいは故障情報等をＡＤＡＳ制御装置１００に送信し、ＡＤＡＳ制御装置１００はこれを受信する。
ステップＳ３０２において、状態管理部１１０は、ステップＳ２０１において取得した状態を示す値とステップＳ３０１において受信したＥＰＳ制御装置１０１－１およびエンジン制御装置１０１－２からの通信データ（センサー値あるいは故障情報等）に基づいて、現在の車両の状態を決定する。

続いて、ステップＳ３０３において、状態管理部１１０は、ステップＳ３０２において決定した現在の車両の状態を記憶部１１１に書き込む。記憶部１１１は、状態管理部１１０が新たに状態を示す値を取得し書き込むまで、書き込まれた値を記憶する。または、予め定めた期間中に新たな状態を取得し書き込む場合、状態変化前の値を上書きせず、状態変化前の値と併せて新たな状態を示す値を予め定めた期間における状態遷移として記憶する。現在の車両の状態だけでなく、運用状態の過去の予め定めた期間における状態遷移も記憶する点が、図３のステップＳ２０２と異なる。

ステップＳ３０４において、監視部１１２は、記憶部１１１に記憶されている状態に基づいて、リスト管理部１１３から参照するリスト（リストＡ１２０、リストＢ１２１、リストＣ１２２）を選択する。具体的には、図５において、記憶部１１１に停車中の状態を示す値が記憶されており、また、予め定めた期間における直前の状態として通常走行中の状態を示す値が記憶されている場合、監視部１１２はリストＢ１２１を参照する。現在の車両の状態だけでなく、運用状態の過去の予め定めた期間における状態遷移にも基づいて参照するリストを選択している点が、図３のステップＳ２０３と異なる。

続いて、ステップＳ２０４において、監視部１１２は、制御部１１４から実行中の制御機能（ＥＰＳ制御機能１３０、ブレーキ制御機能１３１、自己診断機能１３２）および制御機能の動作に関連する情報を取得する。

ステップＳ２０５において、監視部１１２は、ステップＳ３０４において選択したリストとステップＳ２０４において取得した実行中の制御機能および制御機能の動作に関連する情報を比較することで、実行中の制御機能が正常か異常かを判定する。具体的には、まず取得した実行中の制御機能が参照中のリスト内に記載されているか比較する。実行中の制御機能がリスト内に記載されている場合、実行中の制御機能の動作とリスト内の制御機能の正常な動作を比較し、全ての条件を満たす場合は正常、一項目でも条件を満たさない場合は異常と判定する。

ステップＳ２０５において、実行中の制御機能を正常と判定した場合（異常無）、監視処理を繰り返す。
ステップＳ２０５において、実行中の制御機能を異常と判定した場合（異常有）、監視処理を終了する。監視処理終了後、監視処理において参照したリストを用いて、異常検知時の車両の状態、状態遷移、異常と判定された制御機能および動作の情報を、異常検知後の処置を行う機能あるいはモジュールなどに渡してもよい。

このように、本実施の形態２に係る車載制御装置によれば、車両の状態に応じた車載制御装置の制御機能および制御機能の動作を監視することができる。
さらに、現在の車両の状態だけでなく、運用状態の過去の予め定めた期間における状態遷移を考慮して車両の状態を定めるため、より詳細に車両の状態を定めることができる。

また、車両の状態に応じて、監視が必要な制御機能のみを監視することができるため、冗長な監視を抑えることができる。
さらに、車両の状態に応じて動作が変化する制御機能に対して、制御機能の正常な動作を状態ごとに定めることができるため、閾値の許容範囲が広がるのを抑え、制御機能の正常な動作をより厳密に定めることができ、セキュリティ耐性を向上させることができる。

さらに、異常検知時の車両の状態、状態遷移、異常と判定された制御機能および動作から、異常発生箇所および異常波及箇所を特定することができる。また、特定した情報を利用することで、異常検知後の処置および分析に繋ぐことができる。

なお、ＡＤＡＳ制御装置１００は、ハードウエアの一例を図７に示すように、プロセッサ４００と記憶装置４０１から構成される。記憶装置は図示していないが、ランダムアクセスメモリ等の揮発性記憶装置と、フラッシュメモリ等の不揮発性の補助記憶装置とを具備する。また、フラッシュメモリの代わりにハードディスクの補助記憶装置を具備してもよい。プロセッサ４００は、記憶装置４０１から入力されたプログラムを実行する。この場合、補助記憶装置から揮発性記憶装置を介してプロセッサ４００にプログラムが入力される。また、プロセッサ４００は、演算結果等のデータを記憶装置４０１の揮発性記憶装置に出力してもよいし、揮発性記憶装置を介して補助記憶装置にデータを保存してもよい。

本願は、様々な例示的な実施の形態及び実施例が記載されているが、１つ、または複数の実施の形態に記載された様々な特徴、態様、及び機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。従って、例示されていない無数の変形例が、本願明細書に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合、さらには、少なくとも１つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれるものとする。

１００ ＡＤＡＳ制御装置、１０１ 外部制御装置、１０１－１ ＥＰＳ制御装置、１０１－２ エンジン制御装置、１０２ 車載ネットワーク、１１０ 状態管理部、１１１ 記憶部、１１２ 監視部、１１３ リスト管理部、１１４ 制御部、１２０ リストＡ、１２１ リストＢ、１２２ リストＣ、１３０ ＥＰＳ制御機能、１３１ ブレーキ制御機能、１３２ 自己診断機能、４００ プロセッサ、４０１ 記憶装置

Claims (9)

1. システムの運用状態の情報を取得する状態管理部、前記状態管理部によって取得された前記システムの運用状態の情報を記憶する記憶部、複数の制御機能を有する制御部、前記制御部の制御機能と前記制御機能の正常な動作状態との対応関係が定められたリストを保有するリスト管理部、および前記記憶部に記憶された前記運用状態に基づいて前記リスト管理部に保有されている前記リストを選択し、前記リストに定められた制御機能の正常な動作状態と前記制御部の実行状態とを比較して前記制御機能の動作が正常か否かを監視する監視部を備え、
   前記状態管理部は、前記システム自身の状態に基づいて前記運用状態を決定し、
   前記リスト管理部は、前記システムの運用状態ごとに監視対象となる前記制御部の前記制御機能と前記制御機能の正常な動作状態との対応関係が定められたリストを保有するとともに、
   前記監視部は、前記運用状態に基づいて前記リスト管理部に保有されている前記リストを選択し、前記リストに定められた制御機能の正常な動作状態と前記制御部の実行状態とを比較して前記制御機能の動作が全ての条件を満たす場合は正常と判断する、ことを特徴とする車載用制御システム。
2. 前記リストには、前記制御機能の動作状態が正常であるとの判断要素に、前記制御機能の実行時間の閾値が設定されていることを特徴とする請求項１に記載の車載用制御システム。
3. 前記リストには、前記制御機能の動作状態が正常であるとの判断要素に、正常な場合の前記制御機能の実行順序が含められていることを特徴とする請求項１または２に記載の車載用制御システム。
4. 前記リストには、前記制御機能の動作状態が正常であるとの判断要素に、正常な場合の前記制御機能の予め定めた期間における実行回数の閾値が含められていることを特徴とする請求項１から３のいずれか１項に記載の車載用制御システム。
5. 前記状態管理部は、少なくとも動作中及び診断中を含む前記システム自身の状態に基づいて前記運用状態を決定し、
   前記制御部は、前記制御機能として自己診断機能を含む、ことを特徴とする請求項１から４のいずれか１項に記載の車載用制御システム。
6. 前記システムは車両に搭載され、前記状態管理部で取得される運用状態は車両の状態を含むことを特徴とする請求項１から５のいずれか１項に記載の車載用制御システム。
7. 前記状態管理部は、前記制御部とは異なる外部制御装置から通信データを取得し、前記通信データを用いて、前記運用状態を決定することを特徴とする請求項６に記載の車載用制御システム。
8. 前記記憶部は、前記状態管理部で取得された運用状態と前記運用状態の過去の予め定めた期間における状態遷移を記憶することを特徴とする請求項７に記載の車載用制御システム。
9. 前記監視部は、前記運用状態の過去の予め定めた期間における状態遷移に基づいて前記リストを選択することを特徴とする請求項８に記載の車載用制御システム。

Images