(57)【要約】【課題】ネットワークに接続された他の電子制御装置を監視する電子制御装置において、他の電子制御装置及び当該電子制御装置の状態に応じた適切な設定で、電子制御装置を監視することができるようにする。【解決手段】電子制御装置は、ネットワークに接続された他の電子制御装置を監視する電子制御装置であって、当該電子制御装置とは異なる前記他の電子制御装置に監視パケットを送信する送信部と、前記監視パケットに応じて前記他の電子制御装置から送信される応答パケットに基づいて、前記他の電子制御装置の状態を推定する推定部と、前記推定部が推定した前記他の電子制御装置の状態と、当該電子制御装置の状態との組合せに応じて選択される監視ポリシに基づいて、前記他の電子制御装置を監視する監視部と、を有する。【選択図】図３Ｂ
2019129336.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続された他の電子制御装置を監視する電子制御装置であって、
当該電子制御装置とは異なる前記他の電子制御装置に監視パケットを送信する送信部と、
前記監視パケットに応じて前記他の電子制御装置から送信される応答パケットに基づいて、前記他の電子制御装置の状態を推定する推定部と、
前記推定部が推定した前記他の電子制御装置の状態と、当該電子制御装置の状態との組合せに応じて選択される監視ポリシに基づいて、前記他の電子制御装置を監視する監視部と、
を有する、電子制御装置。
【請求項２】
前記監視部は、前記推定部が推定した前記他の電子制御装置の状態と、当該電子制御装置の状態との組合せに応じて選択される前記監視ポリシに基づいて、前記送信部による前記監視パケットの送信頻度を決定する、請求項１に記載の電子制御装置。
【請求項３】
前記監視ポリシは、前記他の電子制御装置の状態が、前記他の電子制御装置を監視する必要がない第１の状態である場合、前記他の電子制御装置の監視データの記憶を行わないことを規定する、請求項１又は２に記載の電子制御装置。
【請求項４】
前記第１の状態は、前記他の電子制御装置が、起動前の状態、又は停止中の状態を含む、請求項３に記載の電子制御装置。
【請求項５】
当該電子制御装置は、前記ネットワークにおいて前記他の電子制御装置間の通信を中継する中継装置である、請求項１乃至４のいずれか一項に記載の電子制御装置。
【請求項６】
前記監視ポリシは、当該電子制御装置の状態が、前記他の電子制御装置を監視する必要がない第２の状態である場合、前記他の電子制御装置への前記監視パケットの送信を停止することを規定する、請求項５に記載の電子制御装置。
【請求項７】
前記第２の状態は、当該電子制御装置が前記他の電子制御装置の書き替え用のプログラムを中継するプログラムデータ中継状態、又は当該電子制御装置が当該電子制御装置のプログラムの書き替えを行うプログラム書き替え状態を含む、請求項６に記載の電子制御装置。
【請求項８】
前記監視ポリシは、前記他の電子制御装置の負荷が第１の閾値以上である場合、前記監視パケットの送信頻度を下げることを規定する、請求項１乃至７のいずれか一項に記載の電子制御装置。
【請求項９】
前記推定部は、前記監視パケットに対する前記応答パケットの応答時間、又は前記監視パケットに対する前記応答パケットのパケットロス率により、前記他の電子制御装置の負荷を推定する、請求項１乃至８のいずれか一項に記載の電子制御装置。
【請求項１０】
前記監視ポリシは、当該電子制御装置の負荷が第２の閾値以上である場合、前記監視パケットの送信頻度を下げることを規定する、請求項１乃至９のいずれか一項に記載の電子制御装置。
【請求項１１】
前記ネットワークは、車両に搭載される車載ネットワークであり、
当該電子制御装置は、前記車両を制御する前記他の電子制御装置間の通信を中継する中継装置である、請求項１乃至１０のいずれか一項に記載の電子制御装置。
【請求項１２】
ネットワークに接続された他の電子制御装置を監視する電子制御装置が実行する監視方法であって、
当該電子制御装置が、
前記他の電子制御装置に監視パケットを送信するステップと、
前記監視パケットに応じて前記他の電子制御装置から送信される応答パケットに基づいて、前記他の電子制御装置の状態を推定するステップと、
前記推定するステップで推定した前記他の電子制御装置の状態と、当該電子制御装置の状態との組合せに応じて選択される監視ポリシに基づいて、前記他の電子制御装置を監視するステップと、
を実行する、監視方法。
【請求項１３】
ネットワークに接続された他の電子制御装置を監視する電子制御装置に、
当該電子制御装置とは異なる前記他の電子制御装置に監視パケットを送信するステップと、
前記監視パケットに応じて前記他の電子制御装置から送信される応答パケットに基づいて、前記他の電子制御装置の状態を推定するステップと、
前記推定するステップで推定した前記他の電子制御装置の状態と、当該電子制御装置の状態との組合せに応じて選択される監視ポリシに基づいて、前記他の電子制御装置を監視するステップと、
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電子制御装置、監視方法、及びプログラムに関する。
【背景技術】
【０００２】
ネットワークに接続された情報処理装置に定期的にアクセスして、情報処理装置の障害等の状態を監視する監視装置が知られている。
【０００３】
例えば、定期的にネットワーク資源にアクセスして障害等の状態を監視するネットワーク管理システムにおいて、ネットワークの負荷に応じて管理トラフィックの発生の頻度を自動的に最適化し、処理効率を高める技術が知られている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開平９−２７０７９４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
車載ネットワークに接続された他の電子制御装置を監視する監視システムでは、他の電子制御装置やネットワークの負荷だけではなく、他の電子制御装置を監視する電子制御装置の処理速度や記憶容量等のリソースも限られている場合がある。
【０００６】
このような場合、特許文献１に示されるような従来の技術では、他の電子制御装置を監視する電子制御装置の状態が考慮されていないので、他の電子制御装置及び当該電子制御装置の状態に応じた適切な設定で、電子制御装置を監視することができないという問題がある。
【０００７】
なお、このような課題は、車載ネットワークに限られず、例えば、航空機、船舶等に搭載されるネットワークや、工場等における機器制御用のネットワーク等においても共通に存在する。
【０００８】
本発明の実施の形態は、上記の問題点に鑑みてなされたものであって、ネットワークに接続された他の電子制御装置を監視する電子制御装置において、他の電子制御装置及び当該電子制御装置の状態に応じた適切な設定で、電子制御装置を監視することができるようにする。
【課題を解決するための手段】
【０００９】
上記の課題を解決するため、本発明の一実施形態に係る電子制御装置は、ネットワークに接続された他の電子制御装置を監視する電子制御装置であって、当該電子制御装置とは異なる前記他の電子制御装置に監視パケットを送信する送信部と、前記監視パケットに応じて前記他の電子制御装置から送信される応答パケットに基づいて、前記他の電子制御装置の状態を推定する推定部と、前記推定部が推定した前記他の電子制御装置の状態と、当該電子制御装置の状態との組合せに応じて選択される監視ポリシに基づいて、前記他の電子制御装置を監視する監視部と、を有する。
【００１０】
これにより、ネットワークに接続された他の電子制御装置を監視する電子制御装置において、他の電子制御装置及び当該電子制御装置の状態に応じた適切な設定で、電子制御装置を監視することができるようになる。
【００１１】
上述の実施形態において、前記監視部は、前記推定部が推定した前記他の電子制御装置の状態と、当該電子制御装置の状態との組合せに応じて選択される前記監視ポリシに基づいて、前記送信部による前記監視パケットの送信頻度を決定しても良い。
【００１２】
これにより、電子制御装置は、他の電子制御装置及び当該電子制御装置の状態に応じて選択される監視ポリシに基づいて、適切な送信頻度で監視パケットを送信することができるようになる。
【００１３】
上述の実施形態において、前記監視ポリシは、前記他の電子制御装置の状態が、前記他の電子制御装置を監視する必要がない第１の状態である場合、前記他の電子制御装置の監視データの記憶を行わないことを規定するものであって良い。
【００１４】
これにより、電子制御装置は、他の電子制御装置の状態が、他の電子制御装置を監視する必要がない第１の状態である場合、監視データの記憶を行わないので、不要な監視データの記憶を抑制することができる。
【００１５】
上述の実施形態において、前記第１の状態は、前記他の電子制御装置が、起動前の状態、又は停止中の状態を含むものであって良い。
【００１６】
これにより、電子制御装置は、他の電子制御装置の状態が、起動前の状態、又は停止中の状態における、不要な監視データの記憶を抑制することができる。
【００１７】
上述の実施形態において、当該電子制御装置は、前記ネットワークにおいて前記他の電子制御装置間の通信を中継する中継装置であって良い。
【００１８】
これにより、電子制御装置は、ネットワークに接続される外部ツールからの制御による他の電子制御装置、及び当該電子制御装置の状態の変化を把握することが容易になる。
【００１９】
上述の実施形態において、前記監視ポリシは、当該電子制御装置の状態が、前記他の電子制御装置を監視する必要がない第２の状態である場合、前記他の電子制御装置への前記監視パケットの送信を停止することを規定するものであって良い。
【００２０】
これにより、電子制御装置は、当該電子制御装置の状態が、他の電子制御装置を監視する必要がない第２の状態である場合、不要な監視パケットの送信を抑制することができる。
【００２１】
上述の実施形態において、前記第２の状態は、当該電子制御装置が前記他の電子制御装置の書き替え用のプログラムを中継するプログラムデータ中継状態、又は当該電子制御装置が当該電子制御装置のプログラムの書き替えを行うプログラム書き替え状態を含むものであって良い。
【００２２】
これにより、電子制御装置は、プログラムデータ中継状態、又はプログラム書き替え状態における、不要な監視パケットの送信を抑制することができる。
【００２３】
上述の実施形態において、前記監視ポリシは、前記他の電子制御装置の負荷が第１の閾値以上である場合、前記監視パケットの送信頻度を下げることを規定するものであって良い。
【００２４】
これにより、電子制御装置は、他の電子制御装置の負荷が高いとき、他の電子制御装置の応答パケットの送信による負荷を低減させることができる。
【００２５】
上述の実施形態において、前記推定部は、前記監視パケットに対する前記応答パケットの応答時間、又は前記監視パケットに対する前記応答パケットのパケットロス率により、前記他の電子制御装置の負荷を推定しても良い。
【００２６】
これにより、電子制御装置は、ネットワークを介して接続された他の電子制御装置の負荷を推定することができる。
【００２７】
上述の実施形態において、前記監視ポリシは、当該電子制御装置の負荷が第２の閾値以上である場合、前記監視パケットの送信頻度を下げることを規定するものであって良い。
【００２８】
これにより、電子制御装置は、当該電子制御装置の負荷が高いとき、監視パケットの送信頻度を下げることにより、当該電子制御装置の負荷を低減させることができる。
【００２９】
上述の実施形態において、前記ネットワークは、車両に搭載される車載ネットワークであり、当該電子制御装置は、前記車両を制御する前記他の電子制御装置間の通信を中継する中継装置であって良い。
【００３０】
これにより、電子制御装置は、他の電子制御装置の監視パケット、及び応答パケットの送受信処理が無視できない処理負荷となり、他の電子制御装置が実行する車両の制御に影響を与えることを低減させることができる。
【００３１】
また、他の実施形態は、監視方法、及びプログラムにより実現される。
【発明の効果】
【００３２】
本発明の実施の形態によれば、ネットワークに接続された他の電子制御装置を監視する電子制御装置において、他の電子制御装置及び当該電子制御装置の状態に応じた適切な設定で、電子制御装置を監視することができるようになる。
【図面の簡単な説明】
【００３３】
【図１】一実施形態に係る車載ネットワークの構成例を示す図である。
【図２】一実施形態に係る自ＥＣＵ、及び他ＥＣＵのハードウェア構成の例を示す図である。
【図３Ａ】一実施形態に係る自ＥＣＵの機能構成の例を示す図（１）である。
【図３Ｂ】一実施形態に係る自ＥＣＵの機能構成の例を示す図（２）である。
【図４】一実施形態に係る他ＥＣＵの状態、及び自ＥＣＵの状態について説明するための図である。
【図５】一実施形態に係る監視ポリシの例を示す図である。
【図６】一実施形態に係る自ＥＣＵの処理の流れを示すフローチャートである。
【図７】一実施形態に係る監視処理の一例について説明するための図（１）である。
【図８】一実施形態に係る監視処理の一例について説明するための図（２）である。
【図９】一実施形態に係る監視処理の一例について説明するための図（３）である。
【図１０】一実施形態に係る監視処理の別の一例について説明するための図（１）である。
【図１１】一実施形態に係る監視処理の別の一例について説明するための図（２）である。
【図１２】一実施形態に係る監視処理の別の一例について説明するための図（３）である。
【発明を実施するための形態】
【００３４】
以下、図面を参照して発明を実施するための形態について説明する。
【００３５】
＜システム構成＞
図１は、一実施形態に係る車載ネットワークの構成例を示す図である。車載ネットワーク１は、例えば、自動車等の車両に搭載され、イーサネット（登録商標）プロトコルで通信を行う車載イーサネット等の通信ネットワークである。図１の例では、車載ネットワーク１には、中継装置として機能する自ＥＣＵ（Electric Control Unit）１００及び他ＥＣＵ１１０と、複数の他ＥＣＵ１２０ａ〜１２０ｊとが接続されている。なお、以下の説明の中で、他ＥＣＵ１１０、及び他ＥＣＵ１２０ａ〜１２０ｊのうち、任意の他ＥＣＵを示す場合、「他ＥＣＵ」を用いる。また、他ＥＣＵ１２０ａ〜１２０ｊのうち、任意の他ＥＣＵを示す場合、「他ＥＣＵ１２０」を用いる。
【００３６】
ここで、「自ＥＣＵ」は、他ＥＣＵに対して監視パケットを定期送信して、その応答パケットを監視することで、他のＥＣＵを監視するＥＣＵ（電子制御装置）を示し、「他ＥＣＵ」は、自ＥＣＵの監視対象となるＥＣＵ（他の電子制御装置）を示すものとする。
【００３７】
自ＥＣＵ（中継装置）１００は、車載ネットワーク１に接続された他ＥＣＵを監視する電子制御装置である。自ＥＣＵ１００は、所定の送信頻度で監視パケットを他ＥＣＵに送信して、監視パケットに応じて他ＥＣＵから送信される応答パケットを監視し、監視データ（ログ）を記憶部に記憶する。記憶部に記憶した監視データは、例えば、車載ネットワーク１に接続された外部ツール１３０等を用いて読出して、他ＥＣＵの故障診断等に用いられる。
【００３８】
図１の例では、車載ネットワーク１に含まれる中継装置の１つが、自ＥＣＵ１００の機能を有しているものとする。ただし、これに限られず、自ＥＣＵ１００の機能は、車載ネットワーク１に接続された、他ＥＣＵやマルチプロトコルゲートウェイ等の他の車載装置が有しているものであっても良い。
【００３９】
他ＥＣＵ（中継装置）１１０は、例えば、スイッチングハブ、ルータ等の中継装置であり、他ＥＣＵ１２０間の通信を中継する。ここでは、中継装置がスイッチングハブであるものとして以下の説明を行う。
【００４０】
イーサネットでは、他ＥＣＵ１２０間で１対１の通信を行うため、複数の他ＥＣＵ１２０間で通信を行う場合、スイッチングハブ等の中継装置が設けられる。スイッチングハブに接続できる他ＥＣＵ１２０の数は、例えば、４個、６個、８個等と、スイッチングハブの種類により決まっているため、それ以上の他ＥＣＵ１２０を接続する場合、追加のスイッチングハブ（例えば、他ＥＣＵ１１０）が設けられる。なお、スイッチングハブは中継装置（自ＥＣＵ１００、他ＥＣＵ１１０）の一例である。中継装置は、例えば、ルータ、リピータ等の他の中継装置であっても良い。
【００４１】
上記の構成において、自ＥＣＵ１００は、他ＥＣＵに対して、所定の送信頻度（送信間隔）で監視パケットを送信して、他ＥＣＵから送信される応答パケットを監視し、監視データを記憶部等に記憶する。
【００４２】
ただし、車載ネットワーク１では、他ＥＣＵ、及び自ＥＣＵ１００の処理速度や、自ＥＣＵ１００が監視データを記憶する記憶部の容量等のリソースが限られている場合がある。
【００４３】
例えば、他ＥＣＵや、自ＥＣＵ１００に搭載されるＣＰＵ（Central Processing Unit）は、一般的なＰＣ（Personal Computer）等の情報端末に搭載されるＣＰＵより、処理能力が低い場合がある。この場合、監視パケット、及び応答パケットの送受信処理が、無視できない処理負荷となり、例えば、他ＥＣＵ１２０が実行する車両の制御に影響を与える恐れがある。
【００４４】
また、自ＥＣＵ１００が監視データを記憶する記憶領域が少ない場合がある。この場合、自ＥＣＵ１００は、大量の監視データを記憶しておくことができないので、例えば、異常が発生した１つの他ＥＣＵの監視データによって、他の他ＥＣＵの監視データが上書きされ、故障診断の妨げになる恐れがある。
【００４５】
従って、自ＥＣＵ１００は、例えば、不要な監視パケットの送信を抑制すると共に、不要な監視データの記憶を抑制することが望ましい。
【００４６】
そこで、本実施形態に係る自ＥＣＵ１００は、他ＥＣＵに監視パケットを送信し、監視パケットに応じて他ＥＣＵが送信する応答パケットに基づいて、他ＥＣＵの状態（動作状態、負荷等）を推定する。また、自ＥＣＵ１００は、推定した他ＥＣＵの状態と、自ＥＣＵ１００の状態（動作状態、負荷等）との組合せに応じて選択される監視ポリシに基づいて、他ＥＣＵを監視する。監視ポリシには、例えば、他ＥＣＵの状態と、自ＥＣＵ１００の状態との組合せに応じた、監視パケットの送信頻度や、監視データの記憶を行うか否か等が規定されている。
【００４７】
好ましくは、監視ポリシには、他ＥＣＵの状態が、他ＥＣＵを監視する必要がない第１の状態（例えば、起動前、停止中、故障中等）である場合、監視データの記憶を行わないこと等が規定されている。これにより、自ＥＣＵ１００は、不要な監視データの記憶を抑制することができる。
【００４８】
好ましくは、監視ポリシには、自ＥＣＵ１００の状態が、他ＥＣＵを監視する必要がない第２の状態（例えば、プログラムデータ中継モード、プログラム書き替えモード等）である場合、監視パケットの送信を停止すること等が規定されている。これにより、自ＥＣＵ１００は、不要な監視パケットの送信を抑制することができる。
【００４９】
好ましくは、監視ポリシには、自ＥＣＵ１００、又は他ＥＣＵの負荷が高い場合、監視パケットの送信頻度を下げること等が規定されている。これにより、自ＥＣＵ１００は、自ＥＣＵ１００、他ＥＣＵ等の監視パケット、及び応答パケットの送受信処理による処理負荷による、他ＥＣＵが実行する車両の制御への影響を低減させることができる。
【００５０】
このように、本実施形態によれば、車載ネットワーク１に接続された他ＥＣＵを監視する自ＥＣＵ１００において、他ＥＣＵ及び自ＥＣＵ１００の状態に応じた適切な設定で、他ＥＣＵを監視することができるようになる。
【００５１】
なお、図１に示す車載ネットワーク１は、本実施形態に係るネットワークの一例である。本実施形態に係るネットワークは、車載ネットワーク１に限られず、例えば、航空機、船舶等に搭載されるネットワークや、工場等における機器制御用のネットワーク等であっても良い。また、自ＥＣＵ１００の機能は、例えば、他ＥＣＵ１１０、他ＥＣＵ１２０等の他の車載装置によって実現されるものであっても良い。
【００５２】
＜ハードウェア構成＞
続いて、本実施形態に係る自ＥＣＵ１００、及び他ＥＣＵ１１０、１２０のハードウェア構成について説明する。
【００５３】
図２は、一実施形態に係る自ＥＣＵ、及び他ＥＣＵのハードウェア構成の例を示す図である。自ＥＣＵ１００、及び他ＥＣＵ１１０、１２０は、一般的なコンピュータの構成を有している。ここでは、自ＥＣＵ１００を例として、以下の説明を行う。
【００５４】
自ＥＣＵ１００は、例えば、ＣＰＵ２０１、ＲＡＭ（Random Access Memory）２０２、ストレージデバイス２０３、外部接続Ｉ／Ｆ（Interface）２０４、通信Ｉ／Ｆ２０５ａ、２０５ｂ、・・・、及びシステムバス２０６等を有する。なお、以下の説明の中で、通信Ｉ／Ｆ２０５ａ、２０５ｂ、・・・のうち、任意の通信Ｉ／Ｆを示す場合、「通信Ｉ／Ｆ２０５」を用いる。また、通信Ｉ／Ｆ２０５は、自ＥＣＵ１００に設けられた複数のネットワークポートに対して、それぞれ設けられる。
【００５５】
ＣＰＵ２０１は、ストレージデバイス２０３等に格納されたプログラムやデータ等をＲＡＭ２０２上に読み出し、処理を実行することにより、自ＥＣＵ１００の各機能を実現する演算装置である。ＲＡＭ２０２は、ＣＰＵ２０１のワークエリア等として用いられる揮発性のメモリである。ストレージデバイス２０３は、例えば、ＯＳ（Operating System）、プログラム、及び監視データ等を記憶する不揮発性のメモリである。
【００５６】
外部接続Ｉ／Ｆ２０４は、自ＥＣＵ１００に外部機器を接続するためのインタフェースである。外部機器には、例えば、各種の記憶媒体や、外部ツール１３０等が含まれ得る。なお、外部ツール１３０は、通信Ｉ／Ｆ２０５に接続されるものであっても良い。
【００５７】
通信Ｉ／Ｆ２０５は、自ＥＣＵ１００を、他ＥＣＵ、又は外部ツール１３０等のネットワーク機器に接続するネットワークポートである。システムバス２０６は、上記の各構成要素に共通に接続され、例えば、アドレス信号、データ信号、各種の制御信号等を伝達する。
【００５８】
他ＥＣＵ１２０、及び他ＥＣＵ１１０のハードウェア構成は、自ＥＣＵ１００と同様で良い。なお、他ＥＣＵ１２０は、通信Ｉ／Ｆ２０５を１つ備える構成としても良い。また、他ＥＣＵ１２０は、表示部、入力部、又は音声出力部等をさらに備えていても良い。
【００５９】
＜機能構成＞
続いて、自ＥＣＵ１００の機能構成について説明する。図３Ａ、３Ｂは、一実施形態に係る自ＥＣＵ１００の機能構成の例を示す図である。初めに、図３Ａを参照して、各機能構成の説明を行う。
【００６０】
自ＥＣＵ１００は、例えば、監視パケット送信部３０１、応答パケット受信部３０２、他ＥＣＵ状態推定部３０３、自ＥＣＵ状態推定部３０４、監視ポリシ決定部３０５、他ＥＣＵ監視部３０６、監視データ管理部３０７、中継部３０８、外部ツール接続部３０９、及び記憶部３１０等を有する。
【００６１】
自ＥＣＵ１００は、例えば、図２のストレージデバイスに記憶された所定のプログラムを、ＣＰＵ２０１で実行することにより、上記の各機能構成を実現している。なお、上記の各機能構成のうち、少なくとも一部は、ハードウェアによって実現されるものであっても良い。
【００６２】
監視パケット送信部（送信部）３０１は、監視対象となる他ＥＣＵに監視パケットを送信する。例えば、監視パケット送信部３０１は、所定の送信頻度（送信間隔）で、監視対象となる他ＥＣＵに監視パケットを送信する。
【００６３】
好ましくは、監視パケット送信部３０１は、後述する監視ポリシ決定部３０５が選択した監視ポリシに従った送信頻度で監視パケットを送信する。
【００６４】
応答パケット受信部３０２は、監視パケット送信部３０１が送信した監視パケットに応じて、他ＥＣＵから送信される応答パケットを受信する。
【００６５】
なお、一例として、監視パケット、応答パケットの送受信には、一般的な「ｐｉｎｇ」を用いることができる。ｐｉｎｇでは、ＩＣＭＰ（Internet Control Message Protocol）の「ｅｃｈｏ ｒｅｑｕｅｓｔ」パケット（監視パケットの一例）を監視対象に送信する。また、監視対象から送信される「ｅｃｈｏ ｒｅｐｌｙ」パケット（応答パケットの一例）の受信の有無により、監視対象の接続の有無を確認することができる。また、「ｅｃｈｏ ｒｅｑｕｅｓｔ」パケットを送信してから、「ｅｃｈｏ ｒｅｐｌｙ」パケットを受信するまでの時間により、監視対象の応答時間等を確認することもできる。
【００６６】
他ＥＣＵ状態推定部（推定部）３０３は、監視パケット送信部３０１が送信した監視パケットに対して、他ＥＣＵが送信する応答パケットに基づいて、他ＥＣＵの状態（動作状態、負荷等）を推定する。他ＥＣＵ状態推定部３０３は、例えば、動作状態推定部３１３、及び負荷推定部３２３を含む。
【００６７】
動作状態推定部３１３は、監視パケット送信部３０１が送信した監視パケットに対して、他ＥＣＵが送信する応答パケットに基づいて、他ＥＣＵの動作状態を推定する。他ＥＣＵの動作状態には、例えば、図４（ａ）に示すように、「停止中」、「起動前」、「正常動作中」、及び「故障中」等が含まれる。
【００６８】
「停止中」は、車両電源（イグニッション電源等）がオフの状態である。「停止中」は、自ＥＣＵ１００は他ＥＣＵを監視する必要がない。
【００６９】
「起動前」は、例えば、車両電源がオンしてから、自ＥＣＵ１００が監視データの記憶を無効にして監視パケットを送信し、他ＥＣＵから応答パケットを初めて受信するまでの状態である。「起動前」も、ＥＣＵ１００は他ＥＣＵを監視する必要がない。
【００７０】
なお、「停止中」、及び「起動前」の動作状態は、自ＥＣＵ１００が他ＥＣＵを監視する必要がない第１の状態の一例である。
【００７１】
「正常動作中」は、例えば、車両電源をオンしてから、自ＥＣＵ１００が他ＥＣＵから応答パケットを初めて受信した後の状態であり、かつ故障中でない状態である。「正常動作中」の他ＥＣＵは、自ＥＣＵ１００による監視対象となり、監視パケットの送信が行われる。
【００７２】
「故障中」は、例えば、車両電源をオンしてから、自ＥＣＵ１００が他ＥＣＵから応答パケットを初めて受信した後の状態であり、かつ他ＥＣＵの負荷が閾値以上である状態である。一例として、動作状態推定部３１３は、監視パケットの送信を開始した状態であり、かつ応答パケットを所定の回数以上受信できない状態又は応答パケットのロス率が閾値以上である状態を、「故障中」と推定する。
【００７３】
負荷推定部３２３は、監視パケット送信部３０１が送信した監視パケットに対して、他ＥＣＵが送信する応答パケットに基づいて、他ＥＣＵの負荷を推定する。例えば、負荷推定部３２３は、図４（ｂ）に示されるように、「監視応答時間」、又は「監視パケットロス率」等により、他ＥＣＵの負荷を推定する。
【００７４】
「監視応答時間」は、監視パケット送信部３０１が他ＥＣＵに監視パケットを送信した送信時刻と、監視パケットに応じて他ＥＣＵが送信した応答パケットを、応答パケット受信部３０２が受信した受信時刻との差である。例えば、負荷推定部３２３は、「監視応答時間」が閾値以上である場合、他ＥＣＵの負荷が高いと推定する。
【００７５】
「監視パケットロス率」は、監視パケット送信部３０１が他ＥＣＵに監視パケットを送信した後、所定の時間内に応答パケットを受信できなかった比率である。例えば、負荷推定部３２３は、「監視パケットロス率」が閾値（第1の閾値）以上である場合、他ＥＣＵの負荷が高いと推定する。なお、「監視応答時間」の閾値、及び「監視パケットロス率」の閾値は、他ＥＣＵの負荷が高いと判断するために用いられる第１の閾値の一例である。
【００７６】
このように、他ＥＣＵ状態推定部３０３は、監視パケット送信部３０１が送信した監視パケットに対して他ＥＣＵが送信する応答パケットに基づいて、他ＥＣＵの動作状態、及び他ＥＣＵの負荷等を推定する。
【００７７】
自ＥＣＵ状態推定部３０４は、自ＥＣＵ１００の状態（動作状態、負荷等）を管理する。自ＥＣＵ状態推定部３０４は、例えば、動作状態管理部３１４、及び負荷算出部３２４を含む。
【００７８】
動作状態管理部３１４は、自ＥＣＵ１００の動作状態を管理する。自ＥＣＵ１００の動作状態には、例えば、図４（ｃ）に示されるように、「停止中」、「起動前」、「動作中」が含まれる。また、「動作中」には、「工場モード」、「プログラムデータ中継モード」、「プログラム書き替えモード」、「通常動作モード」等が含まれる。
【００７９】
「停止中」は、車両電源がオフの状態である。「起動前」は、車両電源がオンしてから、自ＥＣＵ１００が監視パケットを送信するまでの状態である。「動作中」は、車両電源がオンして、自ＥＣＵ１００が監視パケットを送信中の状態である。
【００８０】
「工場モード」は、例えば、車両を製造する工場等において設定される動作状態であり、車載ネットワーク１が工場モードで動作している状態である。動作状態管理部３１４は、例えば、ストレージデバイス２０３等に記憶された工場モードフラグがオンに設定されている場合、自ＥＣＵ１００の動作状態が「工場モード」であると判断する。
【００８１】
「プログラムデータ中継モード」は、自ＥＣＵ１００が、他ＥＣＵの書き替え用のプログラムを中継している状態である。動作状態管理部３１４は、例えば、図４（ｃ）に示されるように、工場モードフラグが「オフ」であり、かつ制御信号の電位が「Ｈｉｇｈ」である状態で、外部ツール１３０から、プログラムデータの中継を指示された場合、自ＥＣＵ１００の動作状態が「プログラムデータ中継モード」であると判断する。この場合、他ＥＣＵはプログラムの書き換えを行っているので、自ＥＣＵ１００は、他ＥＣＵを監視する必要がないと考えられる。
【００８２】
ここで、制御信号は、自ＥＣＵ１００に外部ツール１３０が接続されていることを検知するための信号である。制御信号の電位は、外部ツール１３０が接続されている場合、「Ｈｉｇｈ」レベルとなり、外部ツール１３０が接続されていない場合「Ｌｏｗ」レベルとなる。
【００８３】
「プログラム書き替えモード」は、自ＥＣＵ１００が、自装置のプログラムの書き換え、又はプログラムの書き換えの準備を行っている動作状態である。動作状態管理部３１４は、例えば、図４（ｃ）に示されるように、工場モードフラグが「オフ」であり、かつ制御信号の電位が「Ｈｉｇｈ」である状態で、外部ツール１３０から、プログラムの書き替えを指示された場合、自ＥＣＵ１００の動作状態が「プログラム書き替え中継モード」であると判断する。この場合、自ＥＣＵ１００は、プログラムの書き換えを行うため、他ＥＣＵ１２０を監視する必要がない、又は監視することが困難と考えられる。
【００８４】
なお、「プログラムデータ中継モード（プログラムデータ中継状態）」、及び「プログラム書き替えモード（プログラム書き替え状態）」は、自ＥＣＵ１００が、他ＥＣＵを監視する必要がない第２の状態の一例である。
【００８５】
「通常動作モード」は、車両電源をオンしてから、自ＥＣＵ１００が監視パケットを送信中であり、かつ他のいずれの状態でもない状態（自ＥＣＵ１００が通常に動作している状態）である。動作状態管理部３１４は、例えば、図４（ｃ）に示されるように、工場モードフラグが「オフ」に設定されており、かつ制御信号の電位が「Ｌｏｗ」である場合、自ＥＣＵ１００の動作状態が「通常動作中」であると判断する。
【００８６】
負荷算出部３２４は、自ＥＣＵ１００の負荷を算出する。例えば、負荷算出部３２４は、図４（ｄ）に示されるように、自ＥＣＵ１００の「ＣＰＵ負荷」、「メモリ使用率」、「ネットワーク帯域使用率」等を算出する。
【００８７】
「ＣＰＵ負荷」は、自ＥＣＵ１００のＣＰＵ２０１の負荷を示す情報であり、例えば、ＣＰＵの使用率等によって表される。自ＥＣＵ１００は、例えば、「ＣＰＵ負荷」が閾値（第２の閾値）以上である場合、自ＥＣＵ１００の負荷が高いと判断することができる。
【００８８】
「メモリ使用率」は、自ＥＣＵ１００のメモリ（例えば、ＲＡＭ２０２）の記憶容量に対する、使用中の記憶容量の比率等によって表される。自ＥＣＵ１００は、例えば、「メモリ使用率」が閾値（第２の閾値）以上である場合、自ＥＣＵ１００の負荷が高いと判断することができる。
【００８９】
「ネットワーク帯域使用率」は、自ＥＣＵ１００の使用中のネットワーク帯域を示す情報である。自ＥＣＵ１００は、例えば、「ネットワーク帯域使用率」が閾値（第２の閾値）以上である場合、自ＥＣＵ１００の負荷が高いと判断される。なお、「ＣＰＵ負荷」、「メモリ使用率」、及び「ネットワーク帯域使用率」の閾値は、自ＥＣＵ１００の負荷が高いと判断するために用いられる第２の閾値の一例である。
【００９０】
このように、自ＥＣＵ状態推定部３０４は、自ＥＣＵ１００の動作状態、及び自ＥＣＵ１００の負荷等を管理する。
【００９１】
監視ポリシ決定部３０５は、他ＥＣＵ状態推定部３０３が推定した他ＥＣＵの状態と、自ＥＣＵ状態推定部３０４が管理する自ＥＣＵ１００の状態との組合せに応じた監視ポリシを選択する。
【００９２】
図５は、一実施形態に係る監視ポリシの例を示す図である。図５に示されるように、監視ポリシ３１７には、自ＥＣＵの状態（動作状態、負荷）と、他ＥＣＵの状態（動作状態、負荷）に対応付けて、監視ポリシ（監視パケットの送信頻度、監視データの記憶等）が、予め設定されている。監視ポリシ決定部３０５は、この監視ポリシ３１７を用いて、自ＥＣＵ１００の状態と、他ＥＣＵの状態との組合せに応じて、監視ポリシを選択する。
【００９３】
例えば、自ＥＣＵ１００の状態が「通常動作モード」、自ＥＣＵ１００の負荷が「閾値未満」、他ＥＣＵの状態が「停止中」、であるものとする。この場合、監視ポリシ決定部３０５は、図５に示す監視ポリシ３１７から、監視パケットの送信頻度を「送信停止」とし、監視データの記憶を「無効」とする監視ポリシを選択する。
【００９４】
また、自ＥＣＵ１００の動作状態が「通常動作モード」、自ＥＣＵ１００の負荷が「閾値以上」、他ＥＣＵの状態が「正常動作中」であるものとする。この場合、監視ポリシ決定部３０５は、図５に示す監視ポリシ３１７から、監視パケットの送信頻度を「規定頻度以下」とし、監視データの記憶を「無効」とする監視ポリシを選択する。
【００９５】
さらに、自ＥＣＵ１００の動作状態が「プログラムデータ中継モード」、又は「プログラム書き替えモード」であるものとする。この場合、監視ポリシ決定部３０５は、図５に示す監視ポリシ３１７から、監視パケットの送信頻度を「送信停止」とし、監視データの記憶を「無効」とする監視ポリシを選択する。
【００９６】
他ＥＣＵ監視部３０６は、他ＥＣＵ状態推定部３０３の負荷推定部３２３が推定した、他ＥＣＵの負荷を用いて、他ＥＣＵの異常判定を行う。一例として、他ＥＣＵ監視部３０６は、所定の回数以上、応答パケットを受信できない他ＥＣＵを異常ＥＣＵと判定する。また、他ＥＣＵ監視部３０６は、異常ＥＣＵと判定された他ＥＣＵ１２０を特定する情報、異常と判定された時刻（異常判定時刻）、及び応答パケットを受信できない状態の継続時間（応答パケット未受信時間）等を含む監視結果を、監視データ管理部３０７に通知する。
【００９７】
監視データ管理部３０７は、記憶部３１０に記憶される監視データ３２７を管理する。例えば、監視データ管理部３０７は、他ＥＣＵ監視部３０６から通知された監視結果を、監視ポリシに基づいて、監視データ３２７に記憶する。また、監視データ管理部３０７は、例えば、外部ツール１３０からの要求に応じて、記憶部３１０に記憶した監視データ３２７を、外部ツール１３０に出力する。
【００９８】
記憶部３１０は、例えば、図２のＣＰＵ２０１で実行されるプログラム、及びストレージデバイス２０３等によって実現され、前述した監視ポリシ３１７、監視データ３２７等を記憶する。
【００９９】
中継部３０８は、他ＥＣＵ間の通信を中継する中継装置としての機能を実行する。なお、自ＥＣＵ１００が中継装置以外のＥＣＵである場合、自ＥＣＵ１００は、中継部３０８を有していなくても良い。
【０１００】
外部ツール接続部３０９は、例えば、自ＥＣＵ１００に接続される外部ツール１３０の認証を行い、認証に成功した外部ツール１３０の車載ネットワーク１への接続を許可する。
【０１０１】
（情報の流れ）
次に、図３Ｂを用いて、各機能構成間の情報の流れについて説明する。
【０１０２】
自ＥＣＵ状態推定部３０４は、車両電源のオン／オフと、外部ツール接続部３０９から取得した制御信号及び工場モードフラグとにより、自ＥＣＵ１００の動作状態を推定すると共に、自ＥＣＵ１００の負荷を推定する。また、自ＥＣＵ状態推定部３０４は、推定した自ＥＣＵの状態（動作状態、負荷）を監視ポリシ決定部３０５に通知する。
【０１０３】
他ＥＣＵ状態推定部３０３は、応答パケット受信部３０２が受信した応答パケットと、車両電源のオン／オフとに基づいて、他ＥＣＵの負荷と、他のＥＣＵの動作状態を推定する。また、他ＥＣＵ状態推定部３０３は、推定した他のＥＣＵの負荷と、他ＥＣＵの動作状態とを監視ポリシ決定部３０５に通知し、推定した他のＥＣＵの負荷を他ＥＣＵ監視部３０６に通知する。
【０１０４】
監視ポリシ決定部３０５は、自ＥＣＵ状態推定部３０４から通知された自ＥＣＵ１００の状態（動作状態、負荷）と、他ＥＣＵ状態推定部３０３から通知された他ＥＣＵの状態（動作状態、負荷）との組合せに応じて、監視ポリシを選択する。また、監視ポリシ決定部３０５は、選択した監視ポリシに従って、監視パケットの送信頻度を監視パケット送信部３０１に通知すると共に、監視データの記憶の有効／無効を監視データ管理部３０７に通知する。
【０１０５】
他ＥＣＵ監視部３０６は、上記の監視ポリシ決定部３０５の処理と並行して、他ＥＣＵ状態推定部３０３から通知された他ＥＣＵの負荷に基づいて、他ＥＣＵの異常判定を行う。例えば、他ＥＣＵ監視部３０６は、所定の回数以上、応答パケットを受信できない他ＥＣＵを異常ＥＣＵと判定し、異常ＥＣＵと判定された他ＥＣＵ１２０を特定する情報、異常判定時刻、及び応答パケット未受信時間を、監視データ管理部３０７に通知する。
【０１０６】
監視データ管理部３０７は、監視ポリシ決定部３０５によって選択された監視ポリシに従って、監視データの記憶が有効である場合、他ＥＣＵ監視部３０６から通知された、情報を記憶部３１０に記憶する。
【０１０７】
＜処理の流れ＞
続いて、本実施形態に係る自ＥＣＵ１００による監視方法の処理の流れについて説明する。
【０１０８】
（自ＥＣＵの処理）
図６は、一実施形態に係る自ＥＣＵの処理の流れを示すフローチャートである。自ＥＣＵ１００は、例えば、車載ネットワーク１に接続された他ＥＣＵの各々に対して、図６に示す処理を繰り返し実行する。
【０１０９】
ステップＳ６０１において、自ＥＣＵ１００の監視パケット送信部３０１は、他ＥＣＵに監視パケットを所定の送信頻度（送信間隔）で送信する。
【０１１０】
ステップＳ６０２において、自ＥＣＵ１００の応答パケット受信部３０２は、監視パケット送信部３０１が送信した監視パケットに応じて、他ＥＣＵが送信する応答パケットを受信する。
【０１１１】
ステップＳ６０３において、自ＥＣＵ１００の自ＥＣＵ状態推定部３０４は、自ＥＣＵ１００の状態（動作状態、及び負荷）を推定する。例えば、自ＥＣＵ状態推定部３０４は、動作状態管理部３１４を用いて、自ＥＣＵ１００の動作状態を取得すると共に、負荷算出部３２４を用いて、自ＥＣＵ１００の負荷（「ＣＰＵ負荷」、「メモリ使用率」、「ネットワーク帯域使用率」等）を算出する。
【０１１２】
ステップＳ６０４において、自ＥＣＵ１００の他ＥＣＵ状態推定部３０３は、ステップＳ６０３の処理と並行して、応答パケット受信部３０２が受信した応答パケットにより、他ＥＣＵ１２０の状態（動作状態、及び負荷）を推定する。例えば、他ＥＣＵ状態推定部３０３は、動作状態推定部３１３を用いて、他ＥＣＵ１２０の動作状態を推定すると共に、負荷推定部３２３を用いて、他ＥＣＵの負荷を推定する。
【０１１３】
ステップＳ６０５において、自ＥＣＵ１００の監視ポリシ決定部３０５は、他ＥＣＵ状態推定部３０３が推定した他ＥＣＵの状態と、自ＥＣＵ状態推定部３０４が推定した自ＥＣＵ１００の状態との組合せに対応する監視ポリシを選択する。例えば、監視ポリシ決定部３０５は、図５に示すような監視ポリシ３１７から、他ＥＣＵの状態（動作状態、負荷等）と、自ＥＣＵ１００の状態（動作状態、負荷等）とに対応する監視ポリシを取得する。
【０１１４】
ステップＳ６０６において、監視ポリシ決定部３０５は、取得した監視ポリシに従って、監視パケット送信部３０１が送信する監視パケットの送信頻度を決定し、設定する。例えば、取得した監視ポリシにおいて、監視パケットの送信頻度が「規定頻度以下」である場合、監視ポリシ決定部３０５は、監視パケット送信部３０１が他ＥＣＵに送信する監視パケットの送信頻度を、規定の送信頻度より低く設定する。また、取得した監視ポリシにおいて、監視パケットの送信頻度が「送信停止」である場合、監視ポリシ決定部３０５は、監視パケット送信部３０１が他ＥＣＵに送信する監視パケットの送信を停止させる。
【０１１５】
ステップＳ６０７において、自ＥＣＵ１００の他ＥＣＵ監視部３０６は、ステップＳ６０５、Ｓ６０６の処理と並行して、他ＥＣＵ状態推定部３０３から通知された他ＥＣＵの負荷に基づいて、他ＥＣＵの異常判定を実行する。例えば、他ＥＣＵ監視部３０６は、所定の回数以上、応答パケットを受信できない他ＥＣＵを異常ＥＣＵと判定し、異常ＥＣＵと判定された他ＥＣＵ１２０を特定する情報、異常判定時刻、及び応答パケット未受信時間を、監視データ管理部３０７に通知する。
【０１１６】
ステップＳ６０８において、自ＥＣＵ１００の監視データ管理部３０７は、監視ポリシ決定部３０５が選択した監視ポリシに従って、監視データの記憶を行うか否かを判断する。例えば、監視ポリシ決定部３０５が選択した監視ポリシにおいて、監視データの記憶が「有効」である場合、監視データ管理部３０７は、監視データの記憶を行うと判断し、処理をステップＳ６０９に移行させる。一方、取得した監視ポリシにおいて、監視データの記憶が「無効」である場合、他ＥＣＵ監視部３０６は、監視データの記憶を行わないと判断し、処理を終了させる。
【０１１７】
ステップＳ６０９に移行すると、監視データ管理部３０７は、異常ＥＣＵと判定された他ＥＣＵを特定する情報、異常判定時刻、及び応答パケット未受信時間等を含む監視結果を、記憶部３１０の監視データ３２７に記憶する。
【０１１８】
上記の処理により、自ＥＣＵ１００は、他ＥＣＵ及び自ＥＣＵ１００の状態に応じた適切な設定で、他ＥＣＵを監視することができるようになる。
【０１１９】
（自ＥＣＵの状態が通常動作モード時の監視処理の例）
図７〜９は、一実施形態に係る監視処理の一例について説明するための図である。この図は、例えば、図６に示す監視処理による具体的な動作の一例を示している。なお、ここでは、図８に示すように、図３Ｂに示す構成のうちの一部を用いて処理を行うものとする。例えば、図８の例では、図３Ｂに示される外部ツール接続部３０９が省略されている。また、図９の例では、自ＥＣＵ状態推定部３０４による、自ＥＣＵの負荷の算出が省略されている。
【０１２０】
ここでは、図９（ａ）に示すように、自ＥＣＵの動作状態には、「停止中」、「起動前」、及び「通常動作モード」３つの動作状態があるものとする。また、他ＥＣＵの動作状態は、図４（ａ）に示すように、「停止中」、「起動前」、「正常動作中」、及び「故障中」の４つの動作状態があるものとする。さらに、記憶部３１０には、図９（ｂ）に示すような監視ポリシ３１７が記憶されているものとする。
【０１２１】
この状態で、図７に示すように、時間ｔ１１において車両電源がオンされると、図８の自ＥＣＵ状態推定部３０４は、自ＥＣＵの動作状態が「起動前」であると推定し、他ＥＣＵ状態推定部は、他ＥＣＵの動作状態が「起動前」であると推定する。このとき、図８の監視ポリシ決定部３０５は、自ＥＣＵ１００の状態が「起動前」なので、図９（ｂ）に示す監視ポリシ３１７より、監視パケットの送信頻度を「送信停止」、監視データの記憶を「無効」とする監視ポリシを選択する。
【０１２２】
続いて、図７の時間ｔ１２において、自ＥＣＵ１００が、「通常動作モード」に移行すると、図８の自ＥＣＵ状態推定部３０４は、自ＥＣＵの動作状態が「通常動作モード」であると推定し、他ＥＣＵ状態推定部３０３は、他ＥＣＵの動作状態が「起動前」であると推定する。このとき、監視ポリシ決定部３０５は、自ＥＣＵ１００の状態が「通常動作モード」であり、他ＥＣＵの状態が「起動前」なので、監視ポリシ３１７より、監視パケットの送信頻度を「規定頻度」、監視データの記憶を「無効」とする監視ポリシを選択する。これにより、図８の監視パケット送信部３０１は、規定の送信頻度で監視パケットの送信を開始する。
【０１２３】
また、図７の時間ｔ１３において、図８の応答パケット受信部３０２が、他ＥＣＵからの応答パケットを受信すると、図８の自ＥＣＵ状態推定部３０４は、自ＥＣＵの動作状態が「通常動作モード」であると推定し、他ＥＣＵ状態推定部３０３は、他ＥＣＵの動作状態が「正常動作中」であると推定する。このとき、監視ポリシ決定部３０５は、自ＥＣＵ１００の状態が「通常動作モード」であり、他ＥＣＵの状態が「正常動作中」なので、監視ポリシ３１７より、監視パケットの送信頻度を「規定頻度」、監視データの記憶を「無効」とする監視ポリシを選択する。
【０１２４】
さらに、図７の時間ｔ１４において、図８の応答パケット受信部３０２が、他ＥＣＵからの応答パケットを受信できなくなると、図８の自ＥＣＵ状態推定部３０４は、自ＥＣＵの動作状態が「通常動作モード」であると推定し、他ＥＣＵ状態推定部３０３は、他ＥＣＵの動作状態が「故障中」であると推定する。このとき、監視ポリシ決定部３０５は、自ＥＣＵ１００の状態が「通常動作モード」であり、他ＥＣＵの状態が「故障中」なので、監視ポリシ３１７より、監視パケットの送信頻度を「規定頻度」、監視データの記憶を「有効」とする監視ポリシを選択する。これにより、図８の監視データ管理部３０７は、異常ＥＣＵを特定する情報、異常判定時刻、応答パケット未受信時間等を記憶部３１０に記憶する。
【０１２５】
図７の時間ｔ１５において、図８の応答パケット受信部３０２が、他ＥＣＵからの応答パケットを受信できるようになると、図８の自ＥＣＵ状態推定部３０４は、自ＥＣＵの動作状態が「通常動作モード」であると推定し、他ＥＣＵ状態推定部３０３は、他ＥＣＵの動作状態が「正常動作中」であると推定する。このとき、監視ポリシ決定部３０５は、自ＥＣＵ１００の状態が「通常動作モード」であり、他ＥＣＵの状態が「正常動作中」なので、監視ポリシ３１７より、監視パケットの送信頻度を「規定頻度」、監視データの記憶を「無効」とする監視ポリシを再び選択する。
【０１２６】
図７の時間ｔ１６において、車両電源がオフされると、図８の自ＥＣＵ状態推定部３０４は、自ＥＣＵの動作状態が「停止中」であると推定し、他ＥＣＵ状態推定部は、他ＥＣＵの動作状態が「停止中」であると推定する。このとき、図８の監視ポリシ決定部３０５は、自ＥＣＵ１００の状態が「停止中」なので、図９（ｂ）に示す監視ポリシ３１７より、監視パケットの送信頻度を「送信停止」、監視データの記憶を「無効」とする監視ポリシを選択する。
【０１２７】
このように、自ＥＣＵ１００は、通常動作モードで動作しているとき、他のＥＣＵの動作状態が「故障中」であることが検知されると、他のＥＣＵの故障情報を記憶部３１０に記憶することができる。
【０１２８】
（自ＥＣＵの状態がプログラムデータ中継モード時の監視処理の例）
図１０〜１２は、一実施形態に係る監視処理の別の一例について説明するための図である。この図は、例えば、図６に示す監視処理による具体的な動作の一例を示している。なお、ここでは、図１２に示すように、図３Ｂに示す構成のうちの一部を用いて処理を行うものとする。例えば、図１２の例では、自ＥＣＵ状態推定部３０４による、自ＥＣＵの負荷の算出が省略されている。
【０１２９】
ここでは、図１２（ａ）に示すように、自ＥＣＵの状態には、「停止中」、「起動前」、「プログラムデータ中継モード」、及び「通常動作モード」の４つの動作状態があるものとする。また、他ＥＣＵの動作状態は、図４（ａ）に示すように、「停止中」、「起動前」、「正常動作中」、及び「故障中」の４つの動作状態があるものとする。さらに、記憶部３１０には、図１２（ｂ）に示すような監視ポリシ３１７が記憶されているものとする。
【０１３０】
この状態で、図１０に示すように、時間ｔ２１において車両電源がオンされると、図１１の自ＥＣＵ状態推定部３０４は、自ＥＣＵの動作状態が「起動前」であると推定し、他ＥＣＵ状態推定部は、他ＥＣＵの動作状態が「起動前」であると推定する。このとき、図１１の監視ポリシ決定部３０５は、自ＥＣＵ１００の状態が「起動前」なので、図１２（ｂ）に示す監視ポリシ３１７より、監視パケットの送信頻度を「送信停止」、監視データの記憶を「無効」とする監視ポリシを選択する。
【０１３１】
続いて、図１０の時間ｔ２２において、自ＥＣＵ１００が、「通常動作モード」であると推定し、他ＥＣＵ状態推定部３０３は、他ＥＣＵの動作状態が「起動前」であると推定する。このとき、監視ポリシ決定部３０５は、自ＥＣＵ１００の状態が「通常動作モード」であり、他ＥＣＵの状態が「起動前」なので、監視ポリシ３１７より、監視パケットの送信頻度を「規定頻度」、監視データの記憶を「無効」とする監視ポリシを選択する。これにより、図１１の監視パケット送信部３０１は、規定の送信頻度で監視パケットの送信を開始する。
【０１３２】
また、図１０の時間ｔ２３において、図１１の応答パケット受信部３０２が、他ＥＣＵからの応答パケットを受信すると、図１１の自ＥＣＵ状態推定部３０４は、自ＥＣＵの動作状態が「通常動作モード」であると推定し、他ＥＣＵ状態推定部３０３は、他ＥＣＵの動作状態が「正常動作中」であると推定する。このとき、監視ポリシ決定部３０５は、自ＥＣＵ１００の状態が「通常動作モード」であり、他ＥＣＵの状態が「正常動作中」なので、監視ポリシ３１７より、監視パケットの送信頻度を「規定頻度」、監視データの記憶を「無効」とする監視ポリシを選択する。
【０１３３】
さらに、図１０の時間ｔ２４において、図１１の応答パケット受信部３０２が、他ＥＣＵからの応答パケットを受信できなくなると、図１１の自ＥＣＵ状態推定部３０４は、自ＥＣＵの動作状態が「通常動作モード」であると推定し、他ＥＣＵ状態推定部３０３は、他ＥＣＵの動作状態が「故障中」であると推定する。このとき、監視ポリシ決定部３０５は、自ＥＣＵ１００の状態が「通常動作モード」であり、他ＥＣＵの状態が「故障中」なので、監視ポリシ３１７より、監視パケットの送信頻度を「規定頻度」、監視データの記憶を「有効」とする監視ポリシを選択する。これにより、図１１の監視データ管理部３０７は、異常ＥＣＵを特定する情報、異常判定時刻、応答パケット未受信時間等を記憶部３１０に記憶する。
【０１３４】
図１０の時間ｔ２５において、図１１の外部ツール接続部３０９が受け付けたプログラムデータ中継フラグがオンに変化すると、図１１の自ＥＣＵ状態推定部３０４は、自ＥＣＵの動作状態が「プログラムデータ中継モード」であると推定し、他ＥＣＵ状態推定部３０３は、他ＥＣＵの動作状態が「故障中」であると推定する。このとき、監視ポリシ決定部３０５は、自ＥＣＵ１００の状態が「プログラムデータ中継モード」なので、監視ポリシ３１７より、監視パケットの送信頻度を「送信停止」、監視データの記憶を「無効」とする監視ポリシを選択する。
【０１３５】
図１０の時間ｔ２６において、図１１の外部ツール接続部３０９が受け付けたプログラムデータ中継フラグがオフに変化すると、図１１の自ＥＣＵ状態推定部３０４は、自ＥＣＵの動作状態が「通常動作モード」であると推定し、他ＥＣＵ状態推定部３０３は、他ＥＣＵの動作状態が「故障中」であると推定する。このとき、監視ポリシ決定部３０５は、自ＥＣＵ１００の状態が「通常動作モード」であり、他ＥＣＵの状態が「故障中」なので、監視ポリシ３１７より、監視パケットの送信頻度を「規定頻度」、監視データの記憶を「有効」とする監視ポリシを選択する。これにより、図１１の監視データ管理部３０７は、異常ＥＣＵを特定する情報、異常判定時刻、応答パケット未受信時間等を記憶部３１０に記憶する。
【０１３６】
図１０の時間ｔ２７において、車両電源がオフされると、図１１の自ＥＣＵ状態推定部３０４は、自ＥＣＵの動作状態が「停止中」であると推定し、他ＥＣＵ状態推定部は、他ＥＣＵの動作状態が「停止中」であると推定する。このとき、図１１の監視ポリシ決定部３０５は、自ＥＣＵ１００の状態が「停止中」なので、図１３（ｂ）に示す監視ポリシ３１７より、監視パケットの送信頻度を「送信停止」、監視データの記憶を「無効」とする監視ポリシを選択する。
【０１３７】
このように、自ＥＣＵ１００は、プログラムデータ中継モードで動作しているとき、他のＥＣＵの動作状態が「故障中」であっても、監視パケットの送信頻度、及び監視データの記憶処理を中止する。
【０１３８】
このように、本実施形態によれば、車載ネットワーク１に接続された他ＥＣＵを監視する自ＥＣＵ１００において、他ＥＣＵ１２０及び自ＥＣＵ１００の状態に応じた適切な設定で、他ＥＣＵを監視することができるようになる。
【０１３９】
以上、本発明の実施形態について説明したが、本発明は上記の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、様々な変形や変更が可能である。
【０１４０】
例えば、図４（ｃ）に示した自ＥＣＵ１００の動作状態は一例である。自ＥＣＵ１００の動作状態には、例えば、外部ツール１３０が接続された状態を示す「ツール接続モード」や、外部ツール１３０による他ＥＣＵの診断中の状態を示す「診断モード」等の様々な動作状態が含まれていても良い。
【符号の説明】
【０１４１】
１          車載ネットワーク
１００      自ＥＣＵ（中継装置、電子制御装置）
１１０      他ＥＣＵ（中継装置、他の電子制御装置）
１２０      他ＥＣＵ（他の電子制御装置）
３０１      監視パケット送信部（送信部）
３０３      他ＥＣＵ状態推定部（推定部）
３０６      他ＥＣＵ監視部（監視部）
３１７      監視ポリシ
【図１】
2019129336.tif 000003
【図２】
2019129336.tif 000004
【図３Ａ】
2019129336.tif 000005
【図３Ｂ】
2019129336.tif 000006
【図４】
2019129336.tif 000007
【図５】
2019129336.tif 000008
【図６】
2019129336.tif 000009
【図７】
2019129336.tif 000010
【図８】
2019129336.tif 000011
【図９】
2019129336.tif 000012
【図１０】
2019129336.tif 000013
【図１１】
2019129336.tif 000014
【図１２】
2019129336.tif 000015