(57)【要約】  制御装置１は、ネットワークを介して同期状態を他の制御装置との間で相互に送受信する同期状態送受信部７と、ネットワークを介して状態データを他の制御装置との間で相互に送受信する状態データ送受信部４とを備えているため、他の制御装置の同期状態を把握することができ、さらに、故障により再起動が発生した場合にも、同期済みで動作中の他の制御装置から状態データを受信することで、システム全体を停止させることなく、復旧することができる。
2017168750.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介して他の制御装置と同期して動作する多重系システムを構成する制御装置であって、
前記制御装置の制御状態を示す状態データを保存する状態データ記憶部と、
前記状態データ記憶部に保存された前記状態データを前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の状態データを前記ネットワークを介して受信する、状態データ送受信部と、
前記制御装置の前記他の制御装置との同期状態が同期準備か同期完了かを示す同期状態の情報を前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の同期状態の情報を前記ネットワークを介して受信する、同期状態送受信部と、
前記制御装置が起動または再起動するときに、前記制御装置の前記同期状態の情報を同期準備にいったん設定し、前記同期状態送受信部が受信した前記他の制御装置の前記同期状態の情報が同期完了に設定されているか否かを判定し、同期完了に設定されていると判定した場合に、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データを、前記制御装置自身の状態データとして、前記状態データ記憶部に上書きするとともに、前記制御装置の前記同期状態の情報を同期準備から同期完了に更新する、状態同期管理部と
を備えた、制御装置。
【請求項２】
前記状態同期管理部が前記判定において前記他の制御装置の前記同期状態の情報が同期準備に設定されていると判定した場合に、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データと、前記状態データ記憶部に保存された前記状態データとを比較する状態データ比較部
をさらに備え、
前記状態データ比較部の比較の結果、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データと、前記状態データ記憶部に保存された前記状態データとが一致していた場合に、前記状態同期管理部は、前記状態データの前記上書きを行わずに、前記制御装置の前記同期状態の情報を同期準備から同期完了に更新する、
請求項１に記載の制御装置。
【請求項３】
前記制御装置は、予め設定された一定の周期で、通常動作を行うものであって、
前記一定の周期は、
前記同期状態送受信部が前記同期状態の情報を送受信する同期状態送受信期間と、
前記状態データ送受信部が前記状態データを送受信するデータ送受信期間と
から構成されている、
請求項１または２に記載の制御装置。
【請求項４】
前記制御装置及び前記他の制御装置の前記状態データに応じて、あるいは、前記制御装置及び前記他の制御装置の前記同期状態の情報に応じて、前記データ送受信期間を可変長にする、
請求項３に記載の制御装置。
【請求項５】
前記一定の周期内において、前記データ送受信期間の後に、前記同期状態送受信期間が設けられている、
請求項３に記載の制御装置。
【請求項６】
ネットワークを介して他の制御装置と同期して動作する多重系システムを構成する制御装置の復帰処理方法であって、
前記制御装置の前記他の制御装置との同期状態が同期準備か同期完了かを示す同期状態の情報を同期準備に設定する同期解除ステップと、
記憶装置に保存された前記制御装置の制御状態を示す状態データを前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の状態データを前記ネットワークを介して受信する、状態データ送受信ステップと、
前記同期準備に設定した前記同期状態の情報を前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の同期状態の情報を前記ネットワークを介して受信する、同期状態送受信ステップと、
前記同期状態送受信ステップで受信した前記他の制御装置の前記同期状態の情報が同期完了に設定されているか否かを判定する同期状態判定ステップと、
前記同期状態判定ステップで同期完了に設定されていると判定された場合に、前記状態データ送受信ステップで受信した前記他の制御装置の前記状態データを、自身の状態データとして、前記記憶装置に上書きする状態データ更新ステップと、
前記同期状態の情報を同期準備から同期完了に更新する同期復帰ステップと
を備えた、制御装置の復帰処理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、制御装置とその復帰方法に関し、特に、多重系システムを構成する制御装置とその復帰処理方法に関する。
【背景技術】
【０００２】
従来から、車両において用いられる制御装置に関しては、制御装置の故障発生時に備えて、制御装置を２重系にしている。さらに、２重系の演算結果を照合させ、２つの演算結果が異なった場合に、安全に出力が行えるようにフェールセーフ処理を行うシステムも提案されている。【０００３】
例えば特許文献１においては、２つのプロセッサを互いに同期させて動作させる情報処理装置について記載されている。特許文献１においては、２つのプロセッサのいずれかに内部障害が生じ、２つのプロセッサからの出力が不一致となった場合に、どちらのプロセッサで障害が発生したかを特定する。そうして、障害の発生していないプロセッサの内部情報を用いて、かつ、二重化構成で、障害発生時に行っていた処理を継続させる。この動作は、以下の構成により実現している。まず、２つのプロセッサの他に、主記憶手段、および、二重化制御回路を設けている。また、二重化制御回路と２つのプロセッサとを専用の信号線で接続して、２つのプロセッサを同期してリセットさせ、主記憶手段から障害発生前の状態の情報を取り込む。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００２−２４４８７９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ネットワークを介して複数の制御装置を接続して構成した多重系システムにおいて、１つの制御装置で、再起動により復旧できる故障が発生した場合を考える。なお、再起動により復旧できる故障とは、静電気または環境放射線によって発生するソフトエラー等で、ウォッチドックタイマによるリセットにより改めて動作可能となる故障のことである。そのような、再起動により復旧できる故障が発生した場合に、故障が発生していない他の制御装置がフェールオペレーション動作をたとえ継続させたとしても、結果的に、故障が発生していない制御装置と故障が発生した制御装置とを同期させて復旧できることが望ましい。その場合には、システム全体としては動作が停止することがないまま、全ての制御装置が通常動作に戻ることができる。【０００６】
しかしながら、特許文献１は、障害発生前の状態から継続して動作を再開することは可能であるものの、主記憶手段および二重化制御回路といった、プロセッサ以外の他のハードウェアを必要とすることから、コストがかかるという問題点があった。さらに、１つのプロセッサに故障が発生した場合には、全てのプロセッサをリセットする必要があるため、システム全体の動作をいったん停止させなければならないという問題点があった。【０００７】
この発明は、かかる問題点を解決するためになされたものであり、複数の制御装置から構成された制御システムにおいて、１つの制御装置において故障が発生した場合に、システム全体の動作をいったん停止させることなく、かつ、追加のハードウェアを必要とせずに、故障が発生した制御装置を復帰させることが可能な制御システムを実現するための、制御装置およびその復帰処理方法を得ることを目的としている。
【課題を解決するための手段】
【０００８】
この発明は、ネットワークを介して他の制御装置と同期して動作する多重系システムを構成する制御装置であって、前記制御装置の制御状態を示す状態データを保存する状態データ記憶部と、前記状態データ記憶部に保存された前記状態データを前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の状態データを前記ネットワークを介して受信する、状態データ送受信部と、前記制御装置の前記他の制御装置との同期状態が同期準備か同期完了かを示す同期状態の情報を前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の同期状態の情報を前記ネットワークを介して受信する、同期状態送受信部と、前記制御装置が起動または再起動するときに、前記制御装置の前記同期状態の情報を同期準備にいったん設定し、前記同期状態送受信部が受信した前記他の制御装置の前記同期状態の情報が同期完了に設定されているか否かを判定し、同期完了に設定されていると判定した場合に、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データを、前記制御装置自身の状態データとして、前記状態データ記憶部に上書きするとともに、前記制御装置の前記同期状態の情報を同期準備から同期完了に更新する、状態同期管理部とを備えた、制御装置である。
【発明の効果】
【０００９】
この発明に係る制御装置によれば、他の制御装置の同期状態を把握することができ、さらに、故障により再起動が発生した場合にも、同期済みで動作中の他の制御装置から状態データを受信することができるので、システム全体の動作をいったん停止させることなく、かつ、追加のハードウェアを必要とせずに、故障が発生した制御装置を復帰させることが可能な制御システムを実現することができる。
【図面の簡単な説明】
【００１０】
【図１】この発明の実施の形態１に係る制御システム全体の構成と制御装置のハードウェア構成を示す構成図である。
【図２】この発明の実施の形態１に係る制御装置の内部構成を示すブロック構成図である。
【図３】この発明の実施の形態２に係る動作周期のウィンドウを示す図である。
【図４】この発明の実施の形態１に係る処理の流れを示すフローチャートである。
【図５】この発明の実施の形態４に係る状態遷移を示す図である。
【図６】この発明の実施の形態５に係る動作周期のウィドウを示す図である。
【図７】この発明の実施の形態１に係る動作を示すタイミングチャートである。
【図８】この発明の実施の形態３に係る制御装置のハードウェア構成を示すブロック図である。
【図９】この発明の実施の形態３に係る制御装置のハードウェア構成を示すブロック図である。
【図１０】この発明の実施の形態６に係る制御システム全体の構成と制御装置のハードウェア構成を示す構成図である。
【図１１】この発明の実施の形態６に係る制御システム全体の構成と制御装置のハードウェア構成を示す構成図である。
【図１２】この発明の実施の形態６に係る制御システム全体の構成と制御装置のハードウェア構成を示す構成図である。
【発明を実施するための形態】
【００１１】
実施の形態１．
図１は、本発明の実施の形態１に係る制御システム全体の構成を示す。図１に示すように、本実施の形態に係る制御システムにおいては、複数の制御装置１〜３が、ネットワーク１００を介して接続されている。制御装置１〜３は、互いに同期した状態で動作する。ネットワーク１００は、Ｅｔｈｅｒｎｅｔ（登録商標）、ＦｌｅｘＲａｙ（登録商標）、または、ＴＴＣＡＮ（Ｔｉｍｅ  Ｔｒｉｇｇｅｒｅｄ  ＣＡＮ）等から構成される。なお、図１では、３つの制御装置が記載されているが、制御システム全体が多重系であればよいため、制御装置の個数は２以上であれば、特に制限はない。
【００１２】
制御装置１、制御装置２、および、制御装置３は、構成が同じであるため、制御装置１を用いてハードウェアの構成を説明する。図１に示すように、制御装置１は、プロセッサ３０と、ＲＯＭ３１と、ＲＡＭ３２と、送信装置３３と、受信装置３４と、リセットＩＣ３５とを有している。
【００１３】
ＲＯＭ３１は、制御装置１のプログラムを格納するメモリである。
【００１４】
プロセッサ３０は、ＲＯＭ３１から逐次プログラムを読み出し、読み出したプログラムに従って処理を実行する装置である。
【００１５】
ＲＡＭ３２は、プロセッサ３０で処理するプログラムの実行中に、データを保存するメモリである。
【００１６】
送信装置３３は、プロセッサ３０で処理されたデータをネットワークプロトコルに沿う物理的な信号に変換し、ネットワーク１００上にデータを送信するための装置である。
【００１７】
受信装置３４は、ネットワーク１００上に流れる物理的な信号を受信し、当該信号をプロセッサ３０において解釈可能なデータに変換して、プロセッサ３０に引き渡す装置である。
【００１８】
リセットＩＣ３５は、プロセッサ３０で動作するプログラムが正常に動作しているかどうかを監視し、異常があった場合に、プロセッサ３０をリセットさせる装置である。
【００１９】
図２は、本実施の形態に係る制御装置１の機能ブロック図である。上述したように、制御装置１、制御装置２、および、制御装置３は、構成が同じであるため、ここでも、制御装置１を用いて、内部の機能構成について説明する。図２に示すように、制御装置１は、状態データ送受信部４、状態データ比較部５、状態同期管理部６、同期状態送受信部７、ミドルウェア８、および、ＯＳおよびドライバ１０を備えている。また、ミドルウェア８内には、周期同期制御部９が設けられている。なお、図２において、状態データ送受信部４、状態データ比較部５、状態同期管理部６、同期状態送受信部７、ミドルウェア８、周期同期制御部９、ＯＳおよびドライバ１０は、いずれも、図１のＲＯＭ３１に格納されたプログラムを、ＣＰＵ３０が実行することによって実現される。
【００２０】
ＯＳおよびドライバ１０とミドルウェア８とは、例えば自動車分野でのソフトウェア標準プラットフォームであるＡＵＴＯＳＡＲ（登録商標）を用いる。
【００２１】
ミドルウェア８に設けられた周期同期制御部９は、ミドルウェア８がＡＵＴＯＳＡＲ（登録商標）の場合、ＳｔｂＭ（Ｓｙｎｃｈｒｏｎｉｚｅｄ  Ｔｉｍｅ−Ｂａｓｅ  Ｍａｎａｇｅｒ）に相当する。周期同期制御部９は、ネットワーク１００上のグローバルタイマをベースとしたトリガで、制御装置１〜３間の同期を図るものである。周期同期制御部９は、予め設定されたメイン周期２０（図３参照）毎に、周期同期２５（図３参照）を出力する。
【００２２】
状態データ送受信部４は、制御装置１の振る舞いとして、制御装置１内で管理する車両の制御状態を示す状態データを、図１の送信装置３３と受信装置３４とを介して、他の制御装置２，３と送受信する。なお、ここで言う制御状態を示す状態データとは、例えば、自動運転システム搭載の車両においては、自動運転モード中か手動運転モード中かといった内容、走行中の右左折機能及び合流機能、もしくは、停止の際の駐車機能といった各機能が持つステータス内容、等を意味する。各制御装置１〜３は、自身の状態データをＲＡＭ３２に保存している。
【００２３】
状態データ比較部５は、状態データ送受信部４で得られた制御装置２，３の状態データと、制御装置１内で管理するＲＡＭ３２に保存されている状態データとを比較する。
【００２４】
状態同期管理部６は、制御装置１〜３間において同期が図れた状態から制御装置１が再起動した場合、他の制御装置２，３から得られた状態データを制御装置１の状態データとして制御装置１のＲＡＭ３２に上書きし、制御装置１の状態データを、制御装置２および制御装置３の状態データに一致させる。また、状態同期管理部６は、制御装置１の同期状態を管理する。同期状態とは、制御装置１の制御装置２，３に対する同期の状態が「同期準備」か「同期完了」かを示す情報である。「同期準備」は、制御装置１が、制御装置２，３に対して同期が図れていない状態である。一方、「同期完了」は、制御装置１が、制御装置２，３に対して同期している状態である。同期状態は、状態同期管理部６で管理されるものであるが、ＲＡＭ３２に保存するようにしてもよい。
【００２５】
同期状態送受信部７は、状態同期管理部６によって状態の同期が完了したこと、もしくは、完了していないことを、他の制御装置２，３に通知する。具体的には、状態同期管理部６が管理する同期状態の情報を、図１の送信装置３３と受信装置３４とを介して、他の制御装置２，３と送受信する。
【００２６】
次に、本実施の形態に係る制御装置の処理手順について説明する。上述したように、制御装置１、制御装置２、および、制御装置３は、構成が同じであり、動作も同じであるため、制御装置１を用いて、処理手順について説明する。処理手順の概略としては、制御装置１は、起動または再起動した後に、他の制御装置２，３との間で、同期状態の情報および状態データを送受信し、制御装置１〜３が同期状態になった場合に、通常処理を実行するというものである。
【００２７】
詳細は、図４に示す処理フローを用いて説明する。図４は、制御装置１の処理フローである。図４のフローにおける先頭の「スタート」は、制御装置１の電源ＯＮによる起動、もしくは、故障発生後のウォッチドックタイマ等によるリセット処理の再起動を示す。すなわち、制御装置１の電源がＯＮされたとき、あるいは、制御装置１に故障が発生した後に制御装置１が再起動されたときに、図４のフローの処理が行われる。
【００２８】
スタート後は、制御装置１は、初期化処理を実行する（ステップＳ１）。この初期化処理は、一般的な制御装置で実行される初期化処理と同じである。
【００２９】
次に、状態同期管理部６により、制御装置１の同期状態を「同期準備」に設定する（ステップＳ２）。
【００３０】
次に、同期状態送受信部７が、制御装置１の同期状態を、他の制御装置２，３に送信する（ステップＳ３）。
【００３１】
さらに、状態データ送受信部４が、制御装置１の状態データを、他の制御装置２，３に送信する（ステップＳ４）。
【００３２】
同時に、同期状態送受信部７が、制御装置２と制御装置３の同期状態を受信し（ステップＳ５）、状態データ送受信部４が、制御装置２と制御装置３の状態データを受信する（ステップＳ６）。同期状態および状態データの受信が完了したら、ステップＳ７に進む。一方、受信できない場合には、ステップＳ３に戻る。
【００３３】
ステップＳ７では、状態同期管理部６が、制御装置２と制御装置３の同期状態が「同期準備」か「同期完了」のいずれかであるかを判定する（ステップＳ７）。制御装置２と制御装置３の両方の同期状態が「同期完了」であれば、ステップＳ８に進む。そうでなければ、ステップＳ１３に進む。
【００３４】
ステップＳ１３では、状態データ比較部５が、制御装置２と制御装置３から受信した状態データと、制御装置１のＲＡＭ３２に保存された状態データとを比較する（ステップＳ１３）。
【００３５】
ステップ１３の比較の結果、制御装置２と制御装置３の両方の状態データと制御装置１の状態データとが一致する場合は、状態同期管理部６が、制御装置１の同期状態を「同期完了」に設定する（ステップＳ９）。一方、そうでない場合には、ステップＳ３に戻る。
【００３６】
ステップＳ９で同期状態が「同期完了」に設定された後は、予め設定されたメイン周期２０（図３参照）で、ステップＳ１０〜Ｓ１２の処理を繰り返す。ステップＳ１０〜Ｓ１２の処理は、制御装置１の通常動作である。ステップＳ１０〜Ｓ１２の通常動作について具体的に説明すると、まず、同期状態送受信部７が、制御装置２，３との間で、同期状態を送受信し（ステップＳ１０）、状態データ送受信部４が、制御装置２，３との間で、状態データを送受信し（ステップＳ１１）、プロセッサ３０が通常処理（ステップＳ１２）を実行する。このようにして、ステップＳ１０〜Ｓ１２の処理が、メイン周期２０（図３参照）で繰り返し行われる。
【００３７】
一方、ステップＳ８では、制御装置２もしくは制御装置３から受信した状態データを、状態同期管理部６が、制御装置１のＲＡＭ３２に上書きし（ステップＳ８）、制御装置１の同期状態を「同期完了」に設定する（ステップＳ９）。
【００３８】
ステップＳ９の後は、予め設定されたメイン周期２０（図３参照）で、同期状態送受信部７が同期状態を送受信し（ステップＳ１０）、状態データ送受信部４が状態データを送受信し（ステップＳ１１）、プロセッサ３０が通常処理（Ｓ１２）を繰り返す。
【００３９】
なお、上記のステップＳ７において、制御装置２と制御装置３の同期状態が「同期完了」でない場合は、制御装置２と制御装置３においても一度も同期状態が「同期完了」となっていない場合である。すなわち、制御装置１、制御装置２、および、制御装置３を含むシステム全体の起動の場合に相当する。
【００４０】
逆に、上記のステップＳ７において、制御装置２と制御装置３の同期状態が「同期完了」の場合は、制御装置１、制御装置２、および、制御装置３が、共に、一度「同期完了」となった結果であるため、制御装置２と制御装置３とが正常に動作していて、制御装置１のみが再起動した場合に相当する。
【００４１】
従って、図４のフローは、車両の自動運転システムを例に挙げると、車両のイグニッションをＯＮにする（以下、ＩＧ  ＯＮと呼ぶ）といった、制御装置１、制御装置２、および、制御装置３を含む制御システム全体の起動の場合、および、ＩＧ  ＯＮ後の制御システム動作中において、制御装置２および制御装置３が正常に動作している中、制御装置１のみが、故障発生に起因したリセット処理による再起動を実施した場合、の両方の場合に対応している。
【００４２】
図４のフローの動作については、図７に示すタイミングチャートで説明を補足する。図７において、縦軸は、上から順に、以下の通りとなっている。
制御システムのＯＮ／ＯＦＦ、
制御装置１の故障発生の有／無、リセットのＯＮ／ＯＦＦ、同期状態の同期完了／同期準備、同期状態の送受信の有／無、状態データの送受信の有／無、通常データの送受信の有／無、
制御装置２の故障発生の有／無、リセットのＯＮ／ＯＦＦ、同期状態の同期完了／同期準備、同期状態の送受信の有／無、状態データの送受信の有／無、通常データの送受信の有／無、
制御装置３の故障発生の有／無、リセットのＯＮ／ＯＦＦ、同期状態の同期完了／同期準備、同期状態の送受信の有／無、状態データの送受信の有／無、通常データの送受信の有／無。
また、図７において、横軸は、時間である。
【００４３】
図７に示すように、まず、時刻ｔ１で、制御システムで、ＩＧ  ＯＮが行われると、制御装置１〜３は、同期状態を「同期準備」として起動し、同期状態および状態データの送受信を相互に行う。そうして、状態データが一致した時刻ｔ２の時点で、制御装置１〜３は、同期状態を「同期完了」に設定して、通常動作を開始する。
【００４４】
また、図７に示すように、例えば、時刻ｔ３で、制御装置１において故障が発生したとすると、制御装置１がリセットされる。制御装置１は、リセットと同時に、同期状態を「同期準備」にして、起動する。そうして、制御装置１は、制御装置２と制御装置３との間で、同期状態と状態データを送受信し、制御装置２または制御装置３から受信した状態データを制御装置１のＲＡＭ３２に上書きする。上書きが終了した時刻ｔ４の時点で、制御装置１は、同期状態を「同期完了」として、通常動作を開始する。
【００４５】
以上のように、本実施の形態においては、１つの制御装置で故障が発生した際、故障が発生していない他の制御装置の動作を継続させながら、故障が発生した制御装置を他の制御装置と同期した状態に復旧させるようにしたため、専用ハードウェアを設けることなく、システムとして動作を停止させることなく、全ての制御装置を通常動作に戻すことができる。
【００４６】
以上のように、本実施の形態に係る制御装置１は、ネットワーク１００を介して他の制御装置２，３と同期して動作する多重系システムを構成する制御装置である。制御装置１は、制御装置１の制御状態を示す状態データを保存するＲＡＭ３２（状態データ記憶部）と、ＲＡＭ３２に保存された状態データをネットワーク１００を介して他の制御装置２，３に送信するとともに、他の制御装置２，３から他の制御装置２，３の状態データをネットワーク１００を介して受信する、状態データ送受信部４と、制御装置１の他の制御装置２，３との同期状態が同期準備か同期完了かを示す同期状態の情報をネットワーク１００を介して他の制御装置２，３に送信するとともに、他の制御装置２，３から他の制御装置２，３の同期状態の情報をネットワーク１００を介して受信する、同期状態送受信部７と、制御装置１が起動または再起動するときに、制御装置１の同期状態の情報を同期準備にいったん設定し、同期状態送受信部７が受信した他の制御装置２，３の同期状態の情報が同期完了に設定されているか否かを判定し、同期完了に設定されていると判定した場合に、状態データ送受信部４によって受信した他の制御装置２，３の状態データを、制御装置１自身の状態データとして、ＲＡＭ３２に上書きするとともに、制御装置１の同期状態の情報を同期準備から同期完了に更新する、状態同期管理部６とを備えている。当該構成により、制御装置１は、故障が発生した場合においても、制御システム全体としての動作を停止させることなく、かつ、追加のハードウェアを必要とせずに、他の制御装置２，３と同期した状態での通常動作に復帰することが可能である。
【００４７】
また、本実施の形態に係る制御装置１は、制御装置１が起動または再起動するときに、状態同期管理部６が、他の制御装置２，３の同期状態の情報が同期準備に設定されていると判定した場合には、状態データ送受信部４によって受信した他の制御装置２，３の状態データと、制御装置１のＲＡＭ３２に保存された状態データとを比較する状態データ比較部５をさらに備えている。そうして、状態データ比較部５の比較の結果、状態データ送受信部４によって受信した他の制御装置２，３の状態データと、ＲＡＭ３２に保存された状態データとが一致していた場合に、状態同期管理部６は、状態データのＲＡＭ３２への上書きを行わずに、制御装置１の同期状態の情報を同期準備から同期完了に更新する。これにより、制御装置２〜３の同期状態が同期準備の場合は、制御システムが起動する場合に相当するので、制御装置１〜３は、同期状態を同期準備として起動し、状態データが一致したと確認できたときに、通常動作を開始するので、より早い起動動作を実施することが可能である。
【００４８】
実施の形態２．
図３は、本発明の実施の形態２による動作周期のウィンドウを示す図である。図３においては、制御装置１、制御装置２、および、制御装置３の動作周期を示している。各制御装置１〜３においては、周期同期制御部９から得られる周期同期２５を起点にして、メイン周期２０が起動される。周期同期制御部９は、上述したように、ネットワーク１００上のグローバルタイマをベースとしたトリガで、周期同期２５を発生させる。そのような周期同期制御部９によって各制御装置１〜３はそれぞれ同期制御されているため、結果として、制御装置１〜３の各メイン周期２０は、互いに同期することになる。
【００４９】
また、図３に示されるように、メイン周期２０は、状態同期用ウィンドウ２１と通常処理ウィンドウ２２とで構成される。通常処理ウィンドウ２２は、一般的なアプリケーション等の通常処理が実行される時間帯のウィンドウである。また、状態同期用ウィンドウ２１は、データ送受信ウィンドウ２４と同期状態送受信ウィンドウ２３に分けられる。データ送受信ウィンドウ２４は、状態データ送受信部４が、状態データを送受信するためのウィンドウである。同期状態送受信ウィンドウ２３は、同期状態送受信部７が、同期状態を送受信するためのウィンドウである。データ送受信ウィンドウ２４および同期状態送受信ウィンドウ２３における各制御装置１〜３の送受信の方法としては、各ウィンドウ内をさらに時間分割して制御装置毎に時間を割り当てて用いても良いし、ウィンドウの先頭のタイミングで各制御装置がデータを送信し優先度ベースで処理させても良い。
【００５０】
以上のように、本実施の形態においては、同期のための動作を、通常の動作と区分することで、正常に動作している制御装置の通常処理に対して影響を与えず、システムのリアルタイム性を保つことができる。
【００５１】
実施の形態３．
本実施の形態においては、上記の実施の形態１と比較して、図４のステップＳ９の後の処理が異なる。具体的に説明すると、本実施の形態においては、実施の形態１における図４の同期状態を同期完了とした（ステップＳ９）後、つまりは、制御装置１、制御装置２、制御装置３が同期した状態で、通常動作を実行している期間に、送受信される状態データを状態データ比較部５が引き続きチェックする。
【００５２】
制御装置１の通常動作中において、状態データ比較部５は、制御装置１の状態データと、制御装置２と制御装置３から受信した状態データとを比較する。制御装置２の状態データと制御装置３の状態データとが一致しており、制御装置１の状態データのみが異なる場合、状態同期管理部６は、ＲＡＭ３２に、制御装置２または制御装置３から得られた状態データを上書きして動作を続ける。状態データの上書きに関しては、状態データの何らかの不一致を条件としても良いし、不一致の内容があらかじめ定められた条件を逸脱する場合を条件としても良い。
【００５３】
また、制御装置１の状態データの不一致が所定の条件を超えて発生した場合は、制御装置１に故障が発生していると想定し、リセットによる再起動をかけても良い。リセットをかけるのは制御装置１自身でも良い。
【００５４】
また、制御装置１〜３を、図８に示す構成にしてもよい。図８においては、制御装置１のプロセッサ３０が、制御装置２のリセットＩＣ３５に接続されている。同様に、制御装置２のプロセッサ３０が、制御装置１のリセットＩＣ３５に接続されている。制御装置３については記載していないが、同様に、制御装置３のプロセッサ３０が、他の制御装置のリセットＩＣ３５に接続されている。これにより、制御装置１以外の他の制御装置２，３が、制御装置１のリセットＩＣ３５を制御することができる。そのため、制御装置２および制御装置３が、制御装置１の状態データが制御装置２，３の状態データと不一致であることを認識した場合に、制御装置１をリセットして再起動しても良い。
【００５５】
さらには、制御装置１〜３を、図９に示す構成にしてもよい。図９においては、制御装置１〜３が接続されているネットワーク１００に、第４の制御装置である制御装置５０が接続されている。制御装置５０は、制御装置１〜３の同期状態および状態データを監視する。図９において、制御装置５０が、制御装置１〜３のうち、制御装置１の状態データが制御装置２と制御装置３の状態データと不一致であることを検出した場合に、制御装置５０が、ネットワーク１００を介して、制御装置１に対してリセットのコマンドを送信して制御装置１に再起動をかけるように指示するようにしてもよい。あるいは、図８と同様に、制御装置５０のプロセッサ３０を制御装置１のリセットＩＣ３５に接続して、制御装置５０のプロセッサ３０が制御装置１のリセットＩＣ３５を制御できるようにし、制御装置５０により、制御装置１をリセットしても良い。
【００５６】
以上のように、本実施の形態においては、通常動作中においても、データ送受信ウィンドウ２４を用いて状態データを送受信し、状態データをチェックできるようにした。このように、データ送受信ウィンドウ２４は、通常動作中の軽微な故障に対する復旧にも有効であり、さらには、相互判定による故障判断として利用することもできる。
【００５７】
実施の形態４．
上記の実施の形態１および実施の形態２の構成において、同期状態送受信ウィンドウ２３に流通する同期状態に応じて、データ送受信ウィンドウ２４は可変長にすることができる。
【００５８】
これは、図５に示す状態遷移図を例に挙げて説明する。例えば、実施の形態１の構成を例にして説明すれば、制御装置１〜３を含む制御システム全体の起動の場合には、基本的な状態データのチェックのみとする。そうすることで、状態データのデータ量は少なくなる。なお、この時、同期状態送受信ウィンドウ２３では、全ての制御装置１〜３において、同期状態として「同期準備」が送信されている（ステップＳ３０）。
【００５９】
一方、全ての制御装置１〜３が同期完了した後（ステップＳ３１）、制御装置２と制御装置３が正常に動作しながら、制御装置１のみが再起動する場合を考える。その場合には制御装置１の再起動のために、基本的な状態データに加え、制御システムの状態を継承するために、それまで動作していた制御装置２及び制御装置３で生成された状態データが必要となる。当該状態データとしては、起動時に比べて、長い状態データが必要となる。なお、この時、同期状態送受信ウィンドウ２３では、制御装置２と制御装置３とは、同期状態として「同期完了」を送信している（ステップＳ３２）。
【００６０】
このように、制御システム全体の起動時においては、制御装置２，３が送信する状態データは短くすることができるが、再起動時においては長い状態データが必要となる。また、起動時においては、同期状態送受信ウィンドウ２３に流通する同期状態は「同期準備」であり、再起動時においては「同期完了」である。従って、これらを纏めると、同期状態が「同期準備」のときは状態データは短く、同期状態が「同期完了」のときは状態データは長くなる。従って、同期状態送受信ウィンドウ２３に流通する同期状態に応じて、状態遷移の管理を行えば、データ送受信ウィンドウ２４は可変長にすることができる。すなわち、同期状態が「同期準備」のときはデータ送受信ウィンドウ２４を短く、同期状態が「同期完了」のときはデータ送受信ウィンドウ２４を長くする。
【００６１】
また、実施の形態２においては、制御装置１〜３が送受信する状態データは、各制御装置１〜３内でパラメータとして用いるプログラム内の変数そのものであっても良いが、各制御装置１〜３内でパラメータとして用いるプログラム内の変数に対する巡回冗長検査（ＣＲＣ）用のデータとしても良い。図４のステップＳ９で同期状態を「同期完了」とした後、すなわち、制御装置１、制御装置２、制御装置３が同期した状態で、通常動作を実行している期間は、状態データを巡回冗長検査用のデータとして用いる。制御装置１で巡回冗長検査用のデータに不一致があった場合は、同期状態を「同期準備」にして、同期状態送受信ウィンドウ２３を用いて「同期準備」を送信する。同期状態送受信ウィンドウ２３で「同期準備」を受信した制御装置２と制御装置３は、自身のＲＡＭ３２に保存されている状態データを、巡回冗長検査用のデータから制御装置内でパラメータとして用いるプログラム内の変数に切り替えて、データ送受信ウィンドウ２４で送信する。状態データを巡回冗長検査用のデータとして用いる場合は、データ送受信ウィンドウ２４を短く、状態データを制御装置内でパラメータとして用いるプログラム内の変数として用いる場合は、データ送受信ウィンドウ２４を長くする。
【００６２】
さらに、実施の形態２における状態データを故障判断として使用しない場合は、制御装置１、制御装置２、制御装置３が同期した状態で通常動作を実行している期間においては、データ送受信ウィンドウ２４は省略しても良い。データ送受信ウィンドウ２４を省略した場合でも、同期状態送受信ウィンドウ２３にて制御装置１、制御装置２、制御装置３のいずれかが同期準備を送信した場合は、データ送受信ウィンドウ２４は復活させる。
【００６３】
以上の通り、本実施の形態においては、同期状態または状態データに応じて、データ送受信ウィンドウ２４を可変長にすることで、制御装置１、制御装置２、制御装置３が一斉に起動する期間、あるいは、制御装置１、制御装置２、制御装置３が同期した状態で通常動作を実行している期間は、状態同期用ウィンドウ２１が短くなり、その分、通常処理ウィンドウ２２を長くとることができるので、各制御装置の時間的な資源を有効に使用することができる。
【００６４】
実施の形態５．
図６は、本発明の実施の形態５による動作周期のウィンドウを示す図である。図３と図６との違いは、図６においては、状態同期用ウィンドウ２１内において、同期状態送受信ウィンドウ２３とデータ送受信ウィンドウ２４との順序が、図３の逆になっている。すなわち、図６においては、データ送受信ウィンドウ２４が先に設けられ、同期状態送受信ウィンドウ２３が後に設けられている。
【００６５】
上記の実施の形態１では、状態同期管理部６にて、制御装置１の同期状態を同期完了に設定（ステップＳ９）した後、次のメイン周期２０から、同期状態送受信部７が、同期状態送受信ウィンドウ２３を用いて同期状態を送信し（ステップＳ１０）、通常処理（Ｓ１２）を開始している。しかしながら、本実施の形態においては、データ送受信ウィンドウ２４を先に設けて後に同期状態送受信ウィンドウ２３を設けることで、そのメイン周期２０から通常処理（ステップＳ１２）の実行が可能となるため、より早い復旧が望まれるシステムにおいて有効となる。
【００６６】
以上のように、本実施の形態においては、メイン周期２０内において、データ送受信ウィンドウ２４の後に、同期状態送受信ウィンドウ２３が設けられているようにしたので、そのメイン周期２０から通常処理の実行が可能となるため、より早く復旧させることができる。
【００６７】
実施の形態６．
この発明の実施の形態６では、上記の実施の形態１〜５で説明した構成及び方法を適用した具体的な制御システムの一例について説明する。
【００６８】
図１０に、本実施の形態に係る制御システムの一例を示す。図１０に示す制御システムは、車両に搭載されている。制御システムにおいては、複数の統合制御ＥＣＵ６１〜６３が、ネットワーク１００を介して接続されている。統合制御ＥＣＵ６１〜６３は、上記の実施の形態１〜５で説明した制御装置１〜３に相当する。なお、ネットワーク１００は、車両内に設けられたネットワークである。
【００６９】
また、図１０に示すように、ネットワーク１００には、さらに、認知判断ＥＣＵ６０と、パワートレイン系ＥＣＵ６４と、ブレーキＥＣＵ６５と、ステアリングＥＣＵ６６とが接続されている。
【００７０】
パワートレイン系ＥＣＵ６４は、車両の駆動力を生成するエンジンおよびモータを制御する。
【００７１】
ブレーキＥＣＵ６５は、ブレーキアクチュエータを制御する。
【００７２】
ステアリングＥＣＵ６６は、パワーステアリングを制御する。
【００７３】
認知判断ＥＣＵ６０は、自動運転のために、車両の周辺状況を認知し、走行経路を判断する。
【００７４】
統合制御ＥＣＵ６１、統合制御ＥＣＵ６２、および、統合制御ＥＣＵ６３は、認知判断ＥＣＵ６０が決定した走行経路を実現するために、パワートレイン系ＥＣＵ６４、ブレーキＥＣＵ６５、および、ステアリングＥＣＵ６６を統合的に制御する。
【００７５】
図１０に示す制御システムは、統合制御機能に対するフェールオペレーションを実現するために、統合制御機能に対する多重系を目的に、統合制御ＥＣＵ６１、統合制御ＥＣＵ６２、および、統合制御ＥＣＵ６３を設けている。各統合制御ＥＣＵ６１〜６３は、それぞれ、実施の形態１で説明したプロセッサ３０、ＲＯＭ３１、ＲＡＭ３２、送信装置３３、受信装置３４、及び、リセットＩＣ３５を搭載している。また、ＲＯＭ３１は、状態データ送受信部４、状態データ比較部５、状態同期管理部６、同期状態送受信部７、周期同期制御部９のプログラムを格納する。また、図８で示したように、図１０の各統合制御ＥＣＵのプロセッサ３０とリセットＩＣ３５を接続してよい。
図１０の統合制御ＥＣＵ６１〜６３の動作は、前述の実施の形態１〜５で示した制御装置１〜３の動作と同じである。
【００７６】
このようにすることで、１つの統合制御ＥＣＵ、例えば統合制御ＥＣＵ６１が、故障の状態に陥っても、他の統合制御ＥＣＵ、すなわち、統合制御ＥＣＵ６２および統合制御ＥＣＵ６３で動作を継続させながら、その間に、統合制御ＥＣＵ６１は統合制御ＥＣＵ６２および統合制御ＥＣＵ６３の持つ状態データを取得して統合制御ＥＣＵ６２および統合制御ＥＣＵ６３と同期して再開させることが可能である。
【００７７】
なお、図１０では、統合制御ＥＣＵ６１、統合制御ＥＣＵ６２、統合制御ＥＣＵ６３に対する多重系を示したが、多重系での構成はこれに限らず、他のＥＣＵでも可能であり、図１０で言えば、認知判断ＥＣＵ６０、パワートレイン系ＥＣＵ６４、ブレーキＥＣＵ６５、ステアリングＥＣＵ６６をそれぞれ多重系にしても良い。
【００７８】
図１１は、本実施の形態に係る制御システムの他の例を示す。
図１１は、図１０の構成に、実施の形態３で示した第４の制御装置として、認知判断ＥＣＵ６０を付加した構成例を示している。
【００７９】
認知判断ＥＣＵ６０は、プロセッサ３０、ＲＯＭ３１、ＲＡＭ３２、送信装置３３、受信装置３４を搭載し、ＲＯＭ３１には、状態データ送受信部４、状態データ比較部５、状態同期管理部６、同期状態送受信部７、および、周期同期制御部９のプログラムを格納する。また、図９で示したように、図１１の認知判断ＥＣＵ６０のプロセッサ３０と各統合制御ＥＣＵのリセットＩＣ３５を接続しても良い。
図１１の統合制御ＥＣＵ６０〜６３の動作は、前述の実施の形態１〜５で示した制御装置１〜３の動作と同じである。
【００８０】
図１１において、認知判断ＥＣＵ６０が、統合制御ＥＣＵ６１、統合制御ＥＣＵ６２、統合制御ＥＣＵ６３のうち、例えば統合制御ＥＣＵ６１の状態データが統合制御ＥＣＵ６２と統合制御ＥＣＵ６３の状態データと不一致であることを検出した場合に、認知判断ＥＣＵ６０からネットワーク１００を介して統合制御ＥＣＵ６１に対してリセットのコマンドを送信して統合制御ＥＣＵ６１に再起動をかける、もしくは、認知判断ＥＣＵ６０から統合制御ＥＣＵ６１のリセットＩＣ３５によって統合制御ＥＣＵ６１をリセットさせることが可能となる。なお、図１１では、第４の制御装置として認知判断ＥＣＵ６０を付加した構成例を示したが、第４の制御装置は認知判断ＥＣＵ６０に限らず他のＥＣＵでも良く、図１１で言えば、第４の制御装置は、パワートレイン系ＥＣＵ６４、ブレーキＥＣＵ６５、ステアリングＥＣＵ６６でも良い。
【００８１】
制御システムによって求められるフェールセーフ及びフェールオペレーションは、制御システムの種類によって異なるため、必要に応じて、制御システムの構成を、図１２の構成例にしてもよい。図１２では、統合制御ＥＣＵ６１、パワートレイン系ＥＣＵ６４、ステアリングＥＣＵ６６に、プロセッサ３０、ＲＯＭ３１、ＲＡＭ３２、送信装置３３、受信装置３４を搭載し、ＲＯＭ３１には、状態データ送受信部４、状態データ比較部５、状態同期管理部６、同期状態送受信部７、及び、周期同期制御部９のプログラムを格納している。
図１２の統合制御ＥＣＵ６１，６４，６６の動作は、前述の実施の形態１〜５で示した制御装置１〜３の動作と同じである。
【００８２】
このようにすることで、本実施の形態においては、個別のＥＣＵ内に閉じた状態データのみならずＥＣＵ間のレベルで状態データを共有した同期、もしくは、ＥＣＵ間での相互判定による故障判断の実現が可能となる。
【００８３】
なお、図１２では、統合制御ＥＣＵ６１、パワートレイン系ＥＣＵ６４、ステアリングＥＣＵ６６の組み合わせの構成を示したが、組み合わせの構成はこれに限らず、他のＥＣＵを用いた構成が可能であり、図１２で言えば、認知判断ＥＣＵ６０、ブレーキＥＣＵ６５を組み合わせた構成でも良い。
【００８４】
以上のように、本実施の形態においても、上記の実施の形態１〜５と同様の効果を得ることができる。
【図１】
2017168750.tif 000003
【図２】
2017168750.tif 000004
【図３】
2017168750.tif 000005
【図４】
2017168750.tif 000006
【図５】
2017168750.tif 000007
【図６】
2017168750.tif 000008
【図７】
2017168750.tif 000009
【図８】
2017168750.tif 000010
【図９】
2017168750.tif 000011
【図１０】
2017168750.tif 000012
【図１１】
2017168750.tif 000013
【図１２】
2017168750.tif 000014
【手続補正書】
【提出日】平成29年4月12日(2017.4.12)
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００８
【補正方法】変更
【補正の内容】
【０００８】
この発明は、車両に搭載され、ネットワークを介して他の制御装置と同期して動作する多重系システムを構成する制御装置であって、前記制御装置の制御状態を示す状態データを保存する状態データ記憶部と、前記状態データ記憶部に保存された前記状態データを前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の状態データを前記ネットワークを介して受信する、状態データ送受信部と、前記制御装置の前記他の制御装置との同期状態が同期準備か同期完了かを示す同期状態の情報を前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の同期状態の情報を前記ネットワークを介して受信する、同期状態送受信部と、前記制御装置が正常に動作しているか否かを監視し、異常があった場合に前記制御装置を再起動させる動作監視部と、前記制御装置が起動または再起動するときに、前記制御装置の前記同期状態の情報を同期準備にいったん設定し、前記同期状態送受信部が受信した前記他の制御装置の前記同期状態の情報が同期完了に設定されているか否かを判定し、同期完了に設定されていると判定した場合に、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データを、前記制御装置自身の状態データとして、前記状態データ記憶部に上書きするとともに、前記制御装置の前記同期状態の情報を同期準備から同期完了に更新する、状態同期管理部とを備えた、制御装置である。
【手続補正３】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
車両に搭載され、ネットワークを介して他の制御装置と同期して動作する多重系システムを構成する制御装置であって、
前記制御装置の制御状態を示す状態データを保存する状態データ記憶部と、
前記状態データ記憶部に保存された前記状態データを前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の状態データを前記ネットワークを介して受信する、状態データ送受信部と、
前記制御装置の前記他の制御装置との同期状態が同期準備か同期完了かを示す同期状態の情報を前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の同期状態の情報を前記ネットワークを介して受信する、同期状態送受信部と、
前記制御装置が正常に動作しているか否かを監視し、異常があった場合に前記制御装置を再起動させる動作監視部と、
前記制御装置が起動または再起動するときに、前記制御装置の前記同期状態の情報を同期準備にいったん設定し、前記同期状態送受信部が受信した前記他の制御装置の前記同期状態の情報が同期完了に設定されているか否かを判定し、同期完了に設定されていると判定した場合に、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データを、前記制御装置自身の状態データとして、前記状態データ記憶部に上書きするとともに、前記制御装置の前記同期状態の情報を同期準備から同期完了に更新する、状態同期管理部と
を備えた、制御装置。
【請求項２】
前記状態同期管理部が前記判定において前記他の制御装置の前記同期状態の情報が同期準備に設定されていると判定した場合に、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データと、前記状態データ記憶部に保存された前記状態データとを比較する状態データ比較部
をさらに備え、
前記状態データ比較部の比較の結果、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データと、前記状態データ記憶部に保存された前記状態データとが一致していた場合に、前記状態同期管理部は、前記状態データの前記上書きを行わずに、前記制御装置の前記同期状態の情報を同期準備から同期完了に更新する、
請求項１に記載の制御装置。
【請求項３】
前記制御装置は、予め設定された一定の周期で、通常動作を行うものであって、
前記一定の周期は、
前記同期状態送受信部が前記同期状態の情報を送受信する同期状態送受信期間と、
前記状態データ送受信部が前記状態データを送受信するデータ送受信期間と
から構成されている、
請求項１または２に記載の制御装置。
【請求項４】
前記制御装置及び前記他の制御装置の前記状態データに応じて、あるいは、前記制御装置及び前記他の制御装置の前記同期状態の情報に応じて、前記データ送受信期間を可変長にする、
請求項３に記載の制御装置。
【請求項５】
前記一定の周期内において、前記データ送受信期間の後に、前記同期状態送受信期間が設けられている、
請求項３に記載の制御装置。
【請求項６】
前記制御装置と前記他の制御装置とは異なる制御を行うものである、
請求項１から５までのいずれか１項に記載の制御装置。
【請求項７】
車両に搭載され、ネットワークを介して他の制御装置と同期して動作する多重系システムを構成する制御装置と、前記制御装置が正常に動作しているか否かを監視し、異常があった場合に前記制御装置を再起動させる動作監視装置とを備える制御システムであって、
前記制御装置は、
前記制御装置の制御状態を示す状態データを保存する状態データ記憶部と、
前記状態データ記憶部に保存された前記状態データを前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の状態データを前記ネットワークを介して受信する、状態データ送受信部と、
前記制御装置の前記他の制御装置との同期状態が同期準備か同期完了かを示す同期状態の情報を前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の同期状態の情報を前記ネットワークを介して受信する、同期状態送受信部と、
前記制御装置が起動または再起動するときに、前記制御装置の前記同期状態の情報を同期準備にいったん設定し、前記同期状態送受信部が受信した前記他の制御装置の前記同期状態の情報が同期完了に設定されているか否かを判定し、同期完了に設定されていると判定した場合に、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データを、前記制御装置自身の状態データとして、前記状態データ記憶部に上書きするとともに、前記制御装置の前記同期状態の情報を同期準備から同期完了に更新する、状態同期管理部と
を備えた、
制御システム。
【請求項８】
車両に搭載され、ネットワークを介して他の制御装置と同期して動作する多重系システムを構成する制御装置において、再起動が実施された場合の復帰処理方法であって、
前記制御装置の前記他の制御装置との同期状態が同期準備か同期完了かを示す同期状態の情報を同期準備に設定する同期解除ステップと、
記憶装置に保存された前記制御装置の制御状態を示す状態データを前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の状態データを前記ネットワークを介して受信する、状態データ送受信ステップと、
前記同期準備に設定した前記同期状態の情報を前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の同期状態の情報を前記ネットワークを介して受信する、同期状態送受信ステップと、
前記同期状態送受信ステップで受信した前記他の制御装置の前記同期状態の情報が同期完了に設定されているか否かを判定する同期状態判定ステップと、
前記同期状態判定ステップで同期完了に設定されていると判定された場合に、前記状態データ送受信ステップで受信した前記他の制御装置の前記状態データを、自身の状態データとして、前記記憶装置に上書きする状態データ更新ステップと、
前記同期状態の情報を同期準備から同期完了に更新する同期復帰ステップと
を備えた、制御装置の復帰処理方法。
【手続補正書】
【提出日】平成29年7月10日(2017.7.10)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】０００８
【補正方法】変更
【補正の内容】
【０００８】
この発明は、車両に搭載され、ネットワークを介して他の制御装置と同期して動作する多重系システムを構成する制御装置であって、前記制御装置の制御状態を示す状態データを保存する状態データ記憶部と、前記状態データ記憶部に保存された前記状態データを前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の状態データを前記ネットワークを介して受信する、状態データ送受信部と、前記制御装置の前記他の制御装置との同期状態が同期準備か同期完了かを示す同期状態の情報を前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の同期状態の情報を前記ネットワークを介して受信する、同期状態送受信部と、前記制御装置が正常に動作しているか否かを監視し、異常があった場合に前記制御装置を再起動させる動作監視部と、前記制御装置が再起動するときに、前記制御装置の前記同期状態の情報を同期準備にいったん設定し、前記同期状態送受信部が受信した前記他の制御装置の前記同期状態の情報が同期完了に設定されているか否かを判定し、同期完了に設定されていると判定した場合に、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データを、前記制御装置自身の状態データとして、前記状態データ記憶部に上書きするとともに、前記制御装置の前記同期状態の情報を同期準備から同期完了に更新する、状態同期管理部とを備えた、制御装置である。
【手続補正２】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
車両に搭載され、ネットワークを介して他の制御装置と同期して動作する多重系システムを構成する制御装置であって、
前記制御装置の制御状態を示す状態データを保存する状態データ記憶部と、
前記状態データ記憶部に保存された前記状態データを前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の状態データを前記ネットワークを介して受信する、状態データ送受信部と、
前記制御装置の前記他の制御装置との同期状態が同期準備か同期完了かを示す同期状態の情報を前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の同期状態の情報を前記ネットワークを介して受信する、同期状態送受信部と、
前記制御装置が正常に動作しているか否かを監視し、異常があった場合に前記制御装置を再起動させる動作監視部と、
前記制御装置が再起動するときに、前記制御装置の前記同期状態の情報を同期準備にいったん設定し、前記同期状態送受信部が受信した前記他の制御装置の前記同期状態の情報が同期完了に設定されているか否かを判定し、同期完了に設定されていると判定した場合に、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データを、前記制御装置自身の状態データとして、前記状態データ記憶部に上書きするとともに、前記制御装置の前記同期状態の情報を同期準備から同期完了に更新する、状態同期管理部と
を備えた、制御装置。
【請求項２】
前記状態同期管理部が前記判定において前記他の制御装置の前記同期状態の情報が同期準備に設定されていると判定した場合に、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データと、前記状態データ記憶部に保存された前記状態データとを比較する状態データ比較部
をさらに備え、
前記状態データ比較部の比較の結果、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データと、前記状態データ記憶部に保存された前記状態データとが一致していた場合に、前記状態同期管理部は、前記状態データの前記上書きを行わずに、前記制御装置の前記同期状態の情報を同期準備から同期完了に更新する、
請求項１に記載の制御装置。
【請求項３】
前記制御装置は、予め設定された一定の周期で、通常動作を行うものであって、
前記一定の周期は、
前記同期状態送受信部が前記同期状態の情報を送受信する同期状態送受信期間と、
前記状態データ送受信部が前記状態データを送受信するデータ送受信期間と
から構成されている、
請求項１または２に記載の制御装置。
【請求項４】
前記制御装置及び前記他の制御装置の前記状態データに応じて、あるいは、前記制御装置及び前記他の制御装置の前記同期状態の情報に応じて、前記データ送受信期間を可変長にする、
請求項３に記載の制御装置。
【請求項５】
前記一定の周期内において、前記データ送受信期間の後に、前記同期状態送受信期間が設けられている、
請求項３に記載の制御装置。
【請求項６】
前記制御装置と前記他の制御装置とは異なる制御を行うものである、
請求項１から５までのいずれか１項に記載の制御装置。
【請求項７】
車両に搭載され、ネットワークを介して他の制御装置と同期して動作する多重系システムを構成する制御装置と、前記制御装置が正常に動作しているか否かを監視し、異常があった場合に前記制御装置を再起動させる動作監視装置とを備える制御システムであって、
前記制御装置は、
前記制御装置の制御状態を示す状態データを保存する状態データ記憶部と、
前記状態データ記憶部に保存された前記状態データを前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の状態データを前記ネットワークを介して受信する、状態データ送受信部と、
前記制御装置の前記他の制御装置との同期状態が同期準備か同期完了かを示す同期状態の情報を前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の同期状態の情報を前記ネットワークを介して受信する、同期状態送受信部と、
前記制御装置が再起動するときに、前記制御装置の前記同期状態の情報を同期準備にいったん設定し、前記同期状態送受信部が受信した前記他の制御装置の前記同期状態の情報が同期完了に設定されているか否かを判定し、同期完了に設定されていると判定した場合に、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データを、前記制御装置自身の状態データとして、前記状態データ記憶部に上書きするとともに、前記制御装置の前記同期状態の情報を同期準備から同期完了に更新する、状態同期管理部と
を備えた、
制御システム。
【請求項８】
車両に搭載され、ネットワークを介して他の制御装置と同期して動作する多重系システムを構成する制御装置において、再起動が実施された場合の復帰処理方法であって、
前記制御装置の前記他の制御装置との同期状態が同期準備か同期完了かを示す同期状態の情報を同期準備に設定する同期解除ステップと、
記憶装置に保存された前記制御装置の制御状態を示す状態データを前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の状態データを前記ネットワークを介して受信する、状態データ送受信ステップと、
前記同期準備に設定した前記同期状態の情報を前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の同期状態の情報を前記ネットワークを介して受信する、同期状態送受信ステップと、
前記同期状態送受信ステップで受信した前記他の制御装置の前記同期状態の情報が同期完了に設定されているか否かを判定する同期状態判定ステップと、
前記同期状態判定ステップで同期完了に設定されていると判定された場合に、前記状態データ送受信ステップで受信した前記他の制御装置の前記状態データを、自身の状態データとして、前記記憶装置に上書きする状態データ更新ステップと、
前記同期状態の情報を同期準備から同期完了に更新する同期復帰ステップと
を備えた、制御装置の復帰処理方法。
【手続補正書】
【提出日】平成29年9月25日(2017.9.25)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
車両に搭載され、ネットワークを介して他の制御装置と同期して動作する多重系システムを構成する制御装置であって、
前記制御装置の制御状態を示す状態データを保存する状態データ記憶部と、
前記状態データ記憶部に保存された前記状態データを前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の状態データを前記ネットワークを介して受信する、状態データ送受信部と、
前記制御装置の前記他の制御装置との同期状態が同期準備か同期完了かを示す同期状態の情報を前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の同期状態の情報を前記ネットワークを介して受信する、同期状態送受信部と、
前記制御装置が正常に動作しているか否かを監視し、異常があった場合に前記制御装置を再起動させる動作監視部と、
前記制御装置が再起動するときに、前記制御装置の前記同期状態の情報を同期準備にいったん設定し、前記同期状態送受信部が受信した前記他の制御装置の前記同期状態の情報が同期完了に設定されているか否かを判定し、同期完了に設定されていると判定した場合に、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データを、前記制御装置自身の状態データとして、前記状態データ記憶部に上書きするとともに、前記制御装置の前記同期状態の情報を同期準備から同期完了に更新する、状態同期管理部と
を備えた、制御装置。
【請求項２】
車両に搭載され、ネットワークを介して他の制御装置と同期して動作する多重系システムを構成する制御装置であって、
前記制御装置の制御状態を示す状態データを保存する状態データ記憶部と、
前記状態データ記憶部に保存された前記状態データを前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の状態データを前記ネットワークを介して受信する、状態データ送受信部と、
前記制御装置の前記他の制御装置との同期状態が同期準備か同期完了かを示す同期状態の情報を前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の同期状態の情報を前記ネットワークを介して受信する、同期状態送受信部と、
前記制御装置が正常に動作しているか否かを監視し、異常があった場合に前記制御装置を再起動させる動作監視部と、
前記制御装置が起動または再起動するときに、前記制御装置の前記同期状態の情報を同期準備にいったん設定し、前記同期状態送受信部が受信した前記他の制御装置の前記同期状態の情報が同期完了に設定されているか同期準備に設定されているかを判定し、前記判定において同期完了に設定されていると判定した場合には、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データを、前記制御装置自身の状態データとして、前記状態データ記憶部に上書きするとともに、前記制御装置の前記同期状態の情報を同期準備から同期完了に更新し、前記判定において同期準備に設定されていると判定した場合には、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データと、前記状態データ記憶部に保存された前記状態データとが一致していれば、前記状態データの前記上書きを行わずに、前記制御装置の前記同期状態の情報を同期準備から同期完了に更新し、一致していなければ、前記制御装置の前記同期状態の情報を同期準備に設定したまま、前記判定の処理を繰り返す、状態同期管理部と
を備えた、制御装置。
【請求項３】
前記制御装置は、予め設定された一定の周期で、通常動作を行うものであって、
前記一定の周期は、
前記同期状態送受信部が前記同期状態の情報を送受信する同期状態送受信期間と、
前記状態データ送受信部が前記状態データを送受信するデータ送受信期間と
から構成されている、
請求項１または２に記載の制御装置。
【請求項４】
前記制御装置及び前記他の制御装置の前記状態データに応じて、あるいは、前記制御装置及び前記他の制御装置の前記同期状態の情報に応じて、前記データ送受信期間を可変長にする、
請求項３に記載の制御装置。
【請求項５】
前記一定の周期内において、前記データ送受信期間の後に、前記同期状態送受信期間が設けられている、
請求項３に記載の制御装置。
【請求項６】
前記制御装置と前記他の制御装置とは異なる制御を行うものである、
請求項１から５までのいずれか１項に記載の制御装置。
【請求項７】
車両に搭載され、ネットワークを介して他の制御装置と同期して動作する多重系システムを構成する制御装置と、前記制御装置が正常に動作しているか否かを監視し、異常があった場合に前記制御装置を再起動させる動作監視装置とを備える制御システムであって、
前記制御装置は、
前記制御装置の制御状態を示す状態データを保存する状態データ記憶部と、
前記状態データ記憶部に保存された前記状態データを前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の状態データを前記ネットワークを介して受信する、状態データ送受信部と、
前記制御装置の前記他の制御装置との同期状態が同期準備か同期完了かを示す同期状態の情報を前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の同期状態の情報を前記ネットワークを介して受信する、同期状態送受信部と、
前記制御装置が再起動するときに、前記制御装置の前記同期状態の情報を同期準備にいったん設定し、前記同期状態送受信部が受信した前記他の制御装置の前記同期状態の情報が同期完了に設定されているか否かを判定し、同期完了に設定されていると判定した場合に、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データを、前記制御装置自身の状態データとして、前記状態データ記憶部に上書きするとともに、前記制御装置の前記同期状態の情報を同期準備から同期完了に更新する、状態同期管理部と
を備えた、
制御システム。
【請求項８】
車両に搭載され、ネットワークを介して他の制御装置と同期して動作する多重系システムを構成する制御装置と、前記制御装置が正常に動作しているか否かを監視し、異常があった場合に前記制御装置を再起動させる動作監視装置とを備える制御システムであって、
前記制御装置は、
前記制御装置の制御状態を示す状態データを保存する状態データ記憶部と、
前記状態データ記憶部に保存された前記状態データを前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の状態データを前記ネットワークを介して受信する、状態データ送受信部と、
前記制御装置の前記他の制御装置との同期状態が同期準備か同期完了かを示す同期状態の情報を前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の同期状態の情報を前記ネットワークを介して受信する、同期状態送受信部と、
前記制御装置が起動または再起動するときに、前記制御装置の前記同期状態の情報を同期準備にいったん設定し、前記同期状態送受信部が受信した前記他の制御装置の前記同期状態の情報が同期完了に設定されているか同期準備に設定されているかを判定し、前記判定において同期完了に設定されていると判定した場合には、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データを、前記制御装置自身の状態データとして、前記状態データ記憶部に上書きするとともに、前記制御装置の前記同期状態の情報を同期準備から同期完了に更新し、前記判定において同期準備に設定されていると判定した場合には、前記状態データ送受信部によって受信した前記他の制御装置の前記状態データと、前記状態データ記憶部に保存された前記状態データとが一致していれば、前記状態データの前記上書きを行わずに、前記制御装置の前記同期状態の情報を同期準備から同期完了に更新し、一致していなければ、前記制御装置の前記同期状態の情報を同期準備に設定したまま、前記判定の処理を繰り返す、状態同期管理部と
を備えた、
制御システム。
【請求項９】
車両に搭載され、ネットワークを介して他の制御装置と同期して動作する多重系システムを構成する制御装置において、再起動が実施された場合の復帰処理方法であって、
前記制御装置の前記他の制御装置との同期状態が同期準備か同期完了かを示す同期状態の情報を同期準備に設定する同期解除ステップと、
記憶装置に保存された前記制御装置の制御状態を示す状態データを前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の状態データを前記ネットワークを介して受信する、状態データ送受信ステップと、
前記同期準備に設定した前記同期状態の情報を前記ネットワークを介して前記他の制御装置に送信するとともに、前記他の制御装置から前記他の制御装置の同期状態の情報を前記ネットワークを介して受信する、同期状態送受信ステップと、
前記同期状態送受信ステップで受信した前記他の制御装置の前記同期状態の情報が同期完了に設定されているか否かを判定する同期状態判定ステップと、
前記同期状態判定ステップで同期完了に設定されていると判定された場合に、前記状態データ送受信ステップで受信した前記他の制御装置の前記状態データを、自身の状態データとして、前記記憶装置に上書きする状態データ更新ステップと、
前記同期状態の情報を同期準備から同期完了に更新する同期復帰ステップと
を備えた、制御装置の復帰処理方法。
【国際調査報告】
2017168750.tif 000015
2017168750.tif 000016