(57)【特許請求の範囲】
【請求項１】
移動体に搭載された制御システムであって、
前記移動体の周辺を観測し、観測結果を示す観測結果データを送信する観測装置と、
前記観測装置から送信された観測結果データに基づいて制御内容を決定し、決定した制御内容を示す第１の制御データを送信する第１の制御指示装置と、
前記移動体の移動を制御する移動制御装置と、
前記観測装置から送信された観測結果データに基づいて制御内容を決定し、決定した制御内容を示す第２の制御データを送信する第２の制御指示装置が前記制御システムに備わるか否かを判断する中継装置と、を備え、
前記中継装置は、前記第２の制御指示装置が前記制御システムに備えられていないと判断した場合、前記第１の制御指示装置から送信された第１の制御データを前記移動制御装置に中継し、
前記第２の制御指示装置が前記制御システムに備えられていると判断した場合、前記中継装置は、前記第１の制御データに代えて前記第２の制御指示装置から送信された第２の制御データを前記移動制御装置に中継する、
制御システム。
【請求項２】
前記第２の制御指示装置が前記第１の制御指示装置が有さない機能を使用して前記第２の制御データを生成した場合、前記第２の制御指示装置は、前記機能を使用して生成したことを通知する通知データを前記第２の制御データに含め、
前記中継装置は、前記第２の制御データに前記通知データが含まれていない場合、前記第１の制御データと前記第２の制御データを比較し、前記第１の制御データと前記第２の制御データが不一致である場合は異常と判断する、
請求項１に記載の制御システム。
【請求項３】
前記制御システムは、さらに、前記観測結果データに基づいて制御内容を決定し、決定した制御内容を示す第３の制御データを送信する第３の制御指示装置を備え、
前記第３の制御指示装置は、前記第２の制御指示装置が有する機能を有し、
前記中継装置は、前記第２の制御データに前記通知データが含まれている場合、前記第２の制御データと前記第３の制御データを比較し、前記第２の制御データと前記第３の制御データが不一致である場合は異常と判断する、
請求項２に記載の制御システム。
【請求項４】
前記中継装置は、前記第２の制御データに前記通知データが含まれていない場合において前記異常と判断したときは、前記第１の制御データ、前記第２の制御データ、及び前記第３の制御データのうち、多数決で正常と判断した制御データを前記移動制御装置に送信する、
請求項３に記載の制御システム。
【請求項５】
前記第１の制御指示装置及び前記第２の制御指示装置は、自身の異常を診断して、異常を検出した場合には、前記異常を通知する異常通知データを前記中継装置に送信し、
前記中継装置は、前記第２の制御指示装置から異常通知データを受信した場合、前記第２の制御指示装置が前記制御システムに備えられた場合であっても、前記第１の制御データを前記移動制御装置に送信する、
請求項１に記載の制御システム。
【請求項６】
前記制御システムは、さらに、前記中継装置を有するセントラルゲートウェイを備え、
前記観測装置は、前記セントラルゲートウェイを介さずに、前記第１の制御指示装置及び前記第２の制御指示装置に観測結果データを送信する、
請求項１に記載の制御システム。
【請求項７】
前記第１の制御データ及び前記第２の制御データは、ＣＡＮ（Controller Area Network）プロトコルに従ったデータフレームであり、
前記中継装置は、前記第２の制御データのデータフレームのフレームＩＤを、前記第２の制御データのフレームＩＤから、前記第１の制御データのフレームＩＤに変更する、
請求項１に記載の制御システム。
【請求項８】
前記中継装置は、前記フレームＩＤの変更後のデータフレームに基づいてＣＲＣ（Cyclic Redundancy Check）値を算出し、算出したＣＲＣ値を前記フレームＩＤの変更後のデータフレームに設定する、
請求項７に記載の制御システム。
【請求項９】
前記移動体は、自動車であり、
前記第１の制御指示装置及び前記第２の制御指示装置は、前記観測結果データに基づいて認識した、前記自動車の周辺に存在する障害物を回避するように、前記制御内容を決定する、
請求項１に記載の制御システム。
【請求項１０】
移動体内で送受信されるデータを中継する中継装置であって、
前記移動体の周辺の観測結果を示す観測結果データを観測装置から受信し、前記観測結果データに基づいて前記移動体の制御内容を決定する第１の制御指示装置に中継する第１の中継部と、
前記観測結果データに基づいて制御内容を決定し、決定した制御内容を示す第２の制御データを送信する第２の制御指示装置が前記移動体内に備わるか否かを判断する第２の中継部と、を備え、
前記第２の中継部は、前記前記移動体の制御内容を示す第１の制御データを前記第１の制御指示装置から受信し、前記第２の制御指示装置が前記移動体内に備わらないと判断された場合は、前記第１の制御データを前記移動体の移動を制御する移動制御装置に中継し、
前記第２の制御指示装置が前記移動体に備えられていると判断された場合、前記第２の中継部は、前記第１の制御データに代えて前記第２の制御指示装置から送信された前記第２の制御データを前記移動制御装置に中継する、
中継装置。
【請求項１１】
移動体内で実施される制御方法であって、
観測装置が、前記移動体の周辺を観測し、観測結果を示す観測結果データを送信し、
第１の制御指示装置が、前記送信された観測結果データに基づいて前記移動体の制御内容を決定し、決定した制御内容を示す第１の制御データを送信し、
中継装置が、前記観測結果データに基づいて制御内容を決定し、決定した制御内容を示す第２の制御データを送信する第２の制御指示装置が前記移動体内に備わるか否かを判断し、
前記中継装置が、前記第２の制御指示装置が前記移動体内に備わらないと判断された場合は、前記第１の制御指示装置から送信された第１の制御データを移動制御装置に中継し、前記第２の制御指示装置が前記移動体内に備えられていると判断された場合は、前記第１の制御データに代えて前記第２の制御指示装置から送信された第２の制御データを前記移動制御装置に中継し、
前記移動制御装置が、前記第１の制御データ又は前記第２の制御データに基づいて、前記移動体の移動を制御する
制御方法。
【請求項１２】
前記制御システムに前記第２の制御指示装置が備えられていると判断された場合、前記中継装置は、前記第１の制御指示装置と前記第２の制御指示装置との双方に前記観測結果データを送信し、前記第１の制御指示装置から前記第１の制御データを受信し、かつ前記第２の制御指示装置から前記第２の制御データを受信し、前記第１の制御データを破棄して前記第２の制御データを前記移動制御装置に送信する請求項１に記載の制御システム。
【請求項１３】
前記移動体に前記第２の制御指示装置が備えられていると判断された場合、前記第１の中継部は、前記第１の制御指示装置と前記第２の制御指示装置との双方に前記観測結果データを送信し、前記第２の中継部は、前記第１の制御指示装置から前記第１の制御データを受信し、かつ前記第２の制御指示装置から前記第２の制御データを受信し、前記第１の制御データを破棄して前記第２の制御データを前記移動制御装置に送信する請求項１０に記載の中継装置。
【請求項１４】
前記第２の制御データを中継することは、前記第１の制御指示装置と前記第２の制御指示装置との双方に前記観測結果データを送信し、前記第１の制御指示装置から前記第１の制御データを受信し、かつ前記第２の制御指示装置から前記第２の制御データを受信し、前記第１の制御データを破棄して前記第２の制御データを前記移動制御装置に送信することを含む請求項１１に記載の制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、制御システム、中継装置、及び制御方法に関し、例えば複数の装置間でデータを送受信して制御を行う技術に関する。
【背景技術】
【０００２】
近年、交通事故の削減、渋滞の解消・緩和、ドライバーの快適性の向上などが望まれているという社会的背景をもとに、自動運転に向けた運転支援ネットワークシステムが急速に広まってきている。統計データによれば、自動車自身の買い替えサイクルは、約１０年以上と非常に長いサイクルになっている。それに対して、運転支援系のアプリケーションプログラムは、交通事故削減に向けて、各自動車メーカーは非常に力を入れており、自動車の買い替えサイクルより非常に短いサイクルで新たなものが開発され、その時点における最新の自動車に適用されている。
【０００３】
運転支援ネットワークシステム（車載システム）は、車載ネットワークを介して、各ドメイン（各車載機能単位のブロック）同士あるいはＥＣＵ（Electronic Control Unit）同士が連携して動作している。ここで、アクチュエータ制御系のドメイン／ＥＣＵは、一般的に開発スパンが非常に長く、５年、１０年単位である。一方で、運転支援系のドメイン／ＥＣＵの開発スパンは年単位である。そのため、運転支援ネットワークシステムの機能アップデートを目的として、新たな運転支援系のＥＣＵを追加可能とするためには、他のドメイン／ＥＣＵに対して、新たな運転支援系のＥＣＵの追加を想定した仕組みを事前に搭載しておく必要があるが、それは非常に困難である。
【０００４】
このような問題を解決するための技術が、特許文献１に開示されている。特許文献１に開示の通信システムは、特定のＥＣＵのみを送信先とする個別データを、グローバル変更要求に応じて全ＥＣＵを送信先とするグローバルデータに変更する仕組みを事前に各ＥＣＵに搭載することで、ＥＣＵの追加を可能としている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００２−３１４５５８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、特許文献１に開示の技術は、事前に全てのＥＣＵに上述の仕組みを組み込む必要がある。そのため、特許文献１に開示の技術は、システムに対する非常に多くの変更量を伴い、簡易に実施することができないという問題がある。
【０００７】
その他の課題と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。
【課題を解決するための手段】
【０００８】
一実施の形態によれば、制御システムは、観測装置からの観測結果データに基づいて第２の制御データを送信する第２の制御指示装置が制御システムに備えられた場合、中継装置が、観測装置からの観測結果データに基づいて第１の制御指示装置が送信する第１の制御データに代えて第２の制御データを移動制御装置に送信するものである。
【発明の効果】
【０００９】
前記一実施の形態によれば、簡易に機能をアップデートすることができる。
【図面の簡単な説明】
【００１０】
【図１】実施の形態１に係る運転支援ネットワークシステムの構成を示す図である。
【図２】実施の形態１に係るセントラルゲートウェイを介して伝送されるデータのフォーマットの一例を示す図である。
【図３】実施の形態１に係るフィルタリングコントローラの構成を示す図である。
【図４】実施の形態１に係るフィルタリングコントローラのＲＯＭのデータを示す図である。
【図５】実施の形態１に係るフィルタリングコントローラの処理を示すフローチャートである。
【図６】実施の形態１に係る運転支援ネットワークシステムの処理を示すフローチャートである。
【図７】実施の形態１に係る運転支援ＥＣＵの運転支援機能の一例を説明するための図である。
【図８】実施の形態１に係るアドオンＥＣＵの運転支援機能の一例を説明するための図である。
【図９】実施の形態１に係るセントラルゲートウェイを介して伝送されるデータのフォーマットの他の例を示す図である。
【図１０】実施の形態２に係る運転支援ネットワークシステムの処理を示すフローチャートである。
【図１１】実施の形態３に係るフィルタリングコントローラの構成を示す図である。
【図１２】実施の形態３に係るフィルタリングコントローラの処理を示すフローチャートである。
【図１３】実施の形態３に係る運転支援ネットワークシステムの処理を示すフローチャート（１／２）である。
【図１４】実施の形態３に係る運転支援ネットワークシステムの処理を示すフローチャート（２／２）である。
【図１５】実施の形態４に係る運転支援ネットワークシステムの構成を示す図である。
【図１６】実施の形態５に係る知能型ロボットの構成を示す図である。
【図１７】実施の形態６に係る増量警報システムの構成を示す図である。
【図１８】実施の形態７に係るフィルタリングコントローラの構成を示す図である。
【図１９】実施の形態７に係る運転支援ネットワークシステムの処理を示すフローチャートである。
【図２０】実施の形態８に係る運転支援ネットワークシステムの構成を示す図である。
【図２１】実施の形態８に係る運転支援ネットワークシステムの処理を示すフローチャート（１／２）である。
【図２２】実施の形態８に係る運転支援ネットワークシステムの処理を示すフローチャート（２／２）である。
【図２３】実施の形態９に係る運転支援ネットワークシステムの構成を示す図である。
【図２４】実施の形態１０に係る制御システムの構成を示す図である。
【発明を実施するための形態】
【００１１】
以下に図面を参照しながら、本発明の好適な実施形態について説明する。以下の実施形態に示す具体的な数値等は、発明の理解を容易とするための例示にすぎず、特に断る場合を除き、それに限定されるものではない。また、以下の記載及び図面では、説明の明確化のため、当業者にとって自明な事項等については、適宜、省略及び簡略化がなされている。
【００１２】
＜実施の形態１＞
（運転支援ネットワークシステム１の構成）
以下、実施の形態１について説明する。図１を参照して、本実施の形態１に係る運転支援ネットワークシステム１の構成について説明する。図１に示すように、運転支援ネットワークシステム１は、セントラルゲートウェイ２と、運転支援ＥＣＵ１０と、センサー系ドメイン２０と、パワートレイン系ドメイン３０と、シャーシ系ドメイン４０と、アドオンＥＣＵ６０とを有する。また、セントラルゲートウェイ２は、フィルタリングコントローラ５０を有する。本実施の形態１では、運転支援ネットワークシステム１が自動車に搭載された例について説明する。
【００１３】
各ＥＣＵ／ドメイン１０、２０、３０、４０、６０は、ＥＣＵ単位もしくはドメイン単位のバスで、ＣＡＮ（Controller Area Network）、Ｅｔｈｅｒｎｅｔ（登録商標）、ＦｌｅｘＲａｙ等の各種規格（通信プロトコル）のうち、任意の規格を採用することができる。よって、センサー系ドメイン２０内の各ＥＣＵ２０１、２０２と、シャーシ系ドメイン４０内の各ＥＣＵ４０１、４０２と、パワートレイン系ドメイン３０内のＥＣＵ３０１と、運転支援ＥＣＵ１０及びアドオンＥＣＵ６０は、それぞれ、異なるプロトコルによってセントラルゲートウェイ２と接続されていてもよい。セントラルゲートウェイ２は、各ＥＣＵ／ドメイン１０、２０、３０、４０、６０のそれぞれにおけるバスを相互に接続し、必要に応じてプロトコル変換をすることで、各ＥＣＵ／ドメイン１０、２０、３０、４０、６０の間でデータの転送を可能とする。
【００１４】
運転支援ＥＣＵ１０は、自車周辺の観測結果に基づいて自車の制御内容を決定し、決定した制御内容に従って自車を制御する。具体的には、運転支援ＥＣＵ１０は、センサー系ドメイン２０における観測結果に基づいて自車の制御内容を決定し、決定した制御内容で自車を制御するようにパワートレイン系ドメイン３０及びシャーシ系ドメイン４０に指示をする。これにより、運転支援ＥＣＵ１０は、例えば、自車の前方に障害物を認識した場合には、その障害物を回避するように自車を制御して、運転者自身による運転を支援する。なお、運転支援ＥＣＵ１０は、このようなプリクラッシュセーフティシステムとしての制御に限られず、各種自動運転における制御を実施するようにしてもよい。
【００１５】
センサー系ドメイン２０は、フロントカメラＥＣＵ２０１と、レーダーＥＣＵ２０２とを有する。フロントカメラＥＣＵ２０１は、フロントカメラ２１１と接続される。レーダーＥＣＵ２０２は、レーダー２２１と接続されている。
【００１６】
フロントカメラＥＣＵ２０１は、フロントカメラ２１１による撮像結果に基づいて自車の周辺の障害物を検出し、その検出結果を運転支援ＥＣＵ１０に通知する。具体的には、フロントカメラＥＣＵ２０１は、フロントカメラ２１１から受信した画像データに基づいて、自車の周辺の障害物を検出し、検出した障害物を示すオブジェクトデータを生成する。すなわち、フロントカメラＥＣＵ２０１は、画像データ（ＲＡＷデータ）に対して一次処理を施して、より簡易かつ少ないデータ量で障害物を示すオブジェクトデータに加工する。例えば、このオブジェクトデータは、検出した障害物の位置、大きさ、及び種別（車・歩行者・自転車など）などを、検出した障害物毎に一覧で示すデータとしてもよい。フロントカメラＥＣＵ２０１は、生成したオブジェクトデータを、セントラルゲートウェイ２を介して運転支援ＥＣＵ１０にセンサーデータとして送信する。
【００１７】
フロントカメラ２１１は、自車の周辺を撮像する。フロントカメラ２１１は、この撮像動作により、自車の周辺の画像を示す画像データを生成し、フロントカメラＥＣＵ２０１に送信する。フロントカメラ２１１は、典型的には、自車の前方を向くように自車に設置されている。
【００１８】
レーダーＥＣＵ２０２は、レーダー２２１による自車の周辺の障害物までの距離計測データに基づいて算出距離データを算出し、その算出距離データを運転支援ＥＣＵ１０に通知する。具体的には、レーダーＥＣＵ２０２は、レーダー２２１から受信した計測距離データに基づいて、自車から障害物までの距離を算出し、算出した障害物までの距離を示す算出距離データを生成する。すなわち、レーダーＥＣＵ２０２は、計測距離データ（ＲＡＷデータ）に対して一次処理を施して、より簡易かつ少ないデータ量で障害物までの距離を示す算出距離データを生成する。
【００１９】
例えば、この算出距離データは、距離計測データよりも大きい粒度で障害物までの距離を示すポイントクラウドデータ（障害物を３次元点群で示すデータ）としてもよい。レーダーＥＣＵ２０２は、例えば、ポイントクラウドデータにおいて、歩行者のように小さな障害物については小さな粒度の点群で示すが、自動車のようにそれよりも大きな障害物についてはそれよりも大きな粒度の点群で示す。よって、運転支援ＥＵＣ１０は、例えば、小さな粒度の点群で示された物体は歩行者とし、大きな粒度の点群で示された物体は自動車として、ポイントクラウドデータにおいて障害物を示す点群の粒度に応じて、障害物の種別を識別するようにしてもよい。また、ポイントクラウドデータは、障害物の各点までの距離として、その障害物の表面形状を特定することができる。よって、運転支援ＥＵＣ１０は、ポイントクラウドデータデータに基づいて特定される障害物の表面形状に基づいて障害物の種別を識別するようにしてもよい。
【００２０】
また、例えば、この算出距離データは、自車の前方の自動車までの距離のみを示した車間距離データとしてもよい。車間距離データは、計測距離データから自車の前方の自動車が存在し得る範囲を切り出したデータとしてもよく、レーダーＥＣＵ２０２がフロントカメラＥＣＵ２０１からオブジェクトデータを取得するようにして、オブジェクトデータが示す自車の前方の自動車（障害物）までの距離のみを示すデータとしてもよい。レーダーＥＣＵ２０２は、生成した算出距離データを、セントラルゲートウェイ２を介して運転支援ＥＣＵ１０にセンサーデータとして送信する。
【００２１】
レーダー２２１は、例えば光波（赤外線を含む）および電波（ミリ波を含む）などの電磁波によって、自車の周辺の障害物までの距離を計測する。レーダー２２１は、計測した障害物までの距離を示す計測距離データを生成し、レーダーＥＣＵ２０２に送信する。レーダー２２１は、典型的には、前方を向くように自車に設置されている。
【００２２】
運転支援ＥＣＵ１０は、センサー系ドメイン２０における観測結果として、これらのセンサーデータを受信し、自車の制御内容を決定する。そして、運転支援ＥＣＵ１０は、決定した自車の制御内容を示す制御データを生成し、セントラルゲートウェイ２を介してパワートレイン系ドメイン３０及びシャーシ系ドメイン４０に送信する。
【００２３】
パワートレイン系ドメイン３０は、エンジン系制御ＥＣＵ３０１を有する。エンジン系制御ＥＣＵ３０１は、エンジン３１１と接続されている。パワートレイン系ドメイン３０は、運転支援ＥＣＵ１０から受信した制御データをエンジン系制御ＥＣＵ３０１に送信する。
【００２４】
エンジン系制御ＥＣＵ３０１は、パワートレイン系ドメイン３０からの制御データに応じて、エンジン３１１を制御する。具体的には、エンジン系制御ＥＣＵ３０１は、例えば、運転支援ＥＣＵ１０から受信した制御データに基づいて、エンジン３１１の燃料噴射量、点火時期制御、可変バルブタイミング等を制御する。
【００２５】
シャーシ系ドメイン４０は、ステアリング系制御ＥＣＵ４０１と、アクセル系制御ＥＣＵ４０２とを有する。ステアリング系制御ＥＣＵ４０１は、ステアリング４１１と接続されている。アクセル系制御ＥＣＵ４０２は、アクセル４２１及びブレーキ４２２と接続されている。シャーシ系ドメイン４０は、運転支援ＥＣＵ１０から受信した制御データをステアリング系制御ＥＣＵ４０１とアクセル制御系ＥＣＵ４０２に送信する。
【００２６】
ステアリング系制御ＥＣＵ４０１は、シャーシ系ドメイン４０からの制御データに応じて、ステアリング４１１を制御する。具体的には、ステアリング系制御ＥＣＵ４０１は、例えば、運転支援ＥＣＵ１０から受信した制御データに基づいて、ステアリング４１１の切れ角を制御する。
【００２７】
アクセル系制御ＥＣＵ４０２は、シャーシ系ドメイン４０からの制御データに応じて、アクセル４２１及びブレーキ４２２を制御する。具体的には、アクセル系制御ＥＣＵ４０２は、例えば、運転支援ＥＣＵ１０から受信した制御データに基づいて、ブレーキ４２２のブレーキ油圧を制御する。また、アクセス系制御ＥＣＵ４０２は、例えば、運転支援ＥＣＵ１０から受信した制御データに基づいて、アクセル４２１のスロットル弁を制御する。すなわち、本実施の形態１では、アクセル４２１が電子スロットルである例について説明する。
【００２８】
セントラルゲートウェイ２は、フィルタリングコントローラ５０を有する。フィルタリングコントローラ５０は、センサー系ドメイン２０から運転支援ＥＣＵ１０に送信されるセンサーデータを中継する。また、フィルタリングコントローラ５０は、運転支援ＥＣＵ１０からパワートレイン系ドメイン３０及びシャーシ系ドメイン４０に送信される制御データを中継する役割を果たす。
【００２９】
アドオンＥＣＵ６０は、運転支援ＥＣＵ１０に対して機能追加（機能拡張）がされた運転支援ＥＣＵに相当する。よって、アドオンＥＣＵ６０も、運転支援ＥＣＵ１０と同様に、センサー系ドメイン２０から送信されたセンサーデータに基づいて制御データを生成し、生成した制御データをパワートレイン系ドメイン３０及びシャーシ系ドメイン４０に送信することで、自車を制御することが可能である。
【００３０】
ここで、アドオンＥＣＵ６０は、運転支援ネットワークシステム１に追加で実装される。運転支援ネットワークシステム１は、運転支援ネットワークシステム１にアドオンＥＣＵ６０が実装された場合、運転支援ＥＣＵ１０に代えてアドオンＥＣＵ６０を利用して自車の制御を実行する。言い換えると、運転支援ネットワークシステム１にアドオンＥＣＵ６０が実装された場合、運転支援ＥＣＵ１０が無効化され、アドオンＥＣＵ６０が有効化される。これにより、運転支援ネットワークシステム１に対してアドオンＥＣＵ６０を追加で実装することで、運転支援ネットワークシステム１の運転支援機能をアップデートすることを可能としている。
【００３１】
また、運転支援ＥＣＵ１０に代替したアドオンＥＣＵ６０による自車の制御は、フィルタリングコントローラ５０によるデータの転送制御によって実現される。具体的には、運転支援ＥＣＵ１０とアドオンＥＣＵ６０のうち、アドオンＥＣＵ６０から送信された制御データのみをパワートレイン系ドメイン３０及びシャーシ系ドメイン４０に伝送する。すなわち、フィルタリングコントローラ５０は、運転支援ＥＣＵ１０から送信された制御データを破棄することで、その制御データに代えてアドオンＥＣＵ６０から送信された制御データをパワートレイン系ドメイン３０及びシャーシ系ドメイン４０に送信する。これによれば、制御データによる自車の制御がアドオンＥＣＵ６０のみから実施されることになる。以下、パワートレイン系ドメイン３０及びシャーシ系ドメイン４０を、総じて「制御系ドメイン３０、４０」とも言う。
【００３２】
（データフレームのフレームフォーマット）
続いて、図２を参照して、本実施の形態１に係るセントラルゲートウェイ２内を伝送されるデータ（センサーデータ及び制御データ等）のフォーマットについて説明する。こここで、本実施の形態１では、セントラルゲートウェイ２内でフィルタリングコントローラ５０が中継するデータが、ＣＡＮプロトコルに従ったデータフレームである例について説明する。このデータフレームは、図２に示すフレームフォーマットとなる。なお、このＣＡＮプロトコルにおけるフレームフォーマットは、一般的であるため、データフレームのうち、本実施の形態の処理に関連するフィールドについて説明し、他のフィールドについては説明を省略する。
【００３３】
データフレームは、図２に示すように、ＩＤフィールドと、コントロールフィールドと、データフィールドと、ＣＲＣフィールドとを含んでいる。
【００３４】
ＩＤフィールドは、データフレームにおいて、フレームＩＤを示すデータが含まれる部分である。フレームＩＤは、データの種類毎もしくはＥＣＵ毎に一意に決定された情報である。ＣＡＮプロトコルでは、各ＥＣＵは、他の全てのＥＣＵに対してデータフレームをブロードキャストで送信する。各ＥＣＵは、受信したデータフレームに含まれるフレームＩＤが、自身が処理対象とするフレームＩＤである場合、そのデータフレームに基づいて処理を実行する。
【００３５】
例えば、センサー系ドメイン２０の各ＥＣＵ２０１、２０２は、センサーデータのフレームＩＤをＩＤフィールドに含め、かつセンサーデータをデータフィールドに含めたデータフレームを送信する。なお、厳密には、フロントカメラＥＣＵ２０１が送信するオブジェクトデータと、レーダーＥＣＵ２０２が送信する算出距離データとで、異なるフレームＩＤが設定される。運転支援ＥＣＵ１０及びアドオンＥＣＵ６０は、センサーデータのフレームＩＤを、自身が処理対象とするデータフレームのフレームＩＤとして予め認識している。よって、運転支援ＥＣＵ１０及びアドオンＥＣＵ６０は、受信したデータフレームのフレームＩＤが、センサーデータのフレームＩＤである場合、そのデータフレームに含まれるセンサーデータに基づいて、自車の制御内容を決定する処理を実行する。一方で、制御系ドメイン３０、４０は、センサーデータのフレームＩＤを、自身が処理対象とするデータフレームのフレームＩＤとして認識していない。よって、制御系ドメイン３０、４０は、受信したデータフレームのフレームＩＤが、センサーデータのフレームＩＤである場合、そのデータフレームを無視し、センサーデータに基づいた処理は実行しない。
【００３６】
また、例えば、運転支援ＥＣＵ１０及びアドオンＥＣＵ６０は、制御データのフレームＩＤをＩＤフィールドに含め、かつ制御データをデータフィールドに含めたデータフレームを送信する。なお、厳密には、運転支援ＥＣＵ１０が送信する制御データと、アドオンＥＣＵ６０が送信する制御データとで、異なるフレームＩＤが設定される。すなわち、同一種類のデータであっても送信元のＥＣＵが異なる場合には、異なるＥＣＵから送信されたことを区別可能とするために、異なるフレームＩＤを付与するようにしてもよい。よって、本実施の形態１では、フレームＩＤが、データを送信するＥＣＵとそのデータの種類と組み合わせ毎に異なる場合について説明する。制御系ドメイン３０、４０の各ＥＣＵ３０１、４０１、４０２は、運転支援ＥＣＵ１０からの制御データのフレームＩＤを、自身が処理対象とするデータフレームのフレームＩＤとして予め認識している。よって、制御系ドメイン３０、４０の各ＥＣＵ３０１、４０１、４０２は、受信したデータフレームのフレームＩＤが、運転支援ＥＣＵ１０からの制御データのフレームＩＤである場合、そのデータフレームに含まれる制御データに基づいて、自車を制御する処理を実行する。一方で、センサー系ドメイン２０の各ＥＣＵ２０１、２０２は、受信したデータフレームのフレームＩＤが、制御データのフレームＩＤである場合、そのデータフレームに含まれる制御データに基づいた処理は実行しない。
【００３７】
上述の通り、各ＥＣＵは、自身が処理対象とすべきデータを識別し、そのデータに基づいて処理を実行することができる。ここで、上述したように、制御系ドメイン３０、４０の各ＥＣＵ３０１、４０１、４０２は、運転支援ＥＣＵ１０からの制御データのフレームＩＤは、自身が処理対象とするデータフレームのフレームＩＤとして認識しているが、後から実装されるアドオンＥＣＵ６０からの制御データのフレームＩＤは、自身が処理対象とするデータフレームのフレームＩＤとして認識していない。
【００３８】
しかしながら、上述したように、制御系ドメイン３０、４０の各ＥＣＵ３０１、４０１、４０２において、後々のアドオンＥＣＵ６０の追加を想定した仕組みを搭載しておくことは非常に困難である。これに対して、本実施の形態１では、後述のフィルタリングコントローラ５０における仕組みによって、データフレームを制御することで、運転支援ＥＣＵ１０の無効化と、アドオンＥＣＵ６０の有効化を実現する。
【００３９】
コントロールフィールドは、次に続くデータフィールドの長さを示すデータが含まれる部分である。
【００４０】
ＣＲＣフィールドは、データフレームにおいて、誤り検出を行うためのＣＲＣ（Cyclic Redundancy Check）値が含まれる部分である。ＣＲＣ値は、データフレームを送信するＥＣＵによって、ＩＤフィールドとデータフィールドとを含む複数のフィールドのデータに基づいて算出・設定される。これにより、データフレームを受信したＥＣＵにおいて、そのデータフレームからＣＲＣ値を算出し、データフレームに含まれるＣＲＣ値と比較することで、データのエラーを検出可能としている。
【００４１】
（フィルタリングコントローラ５０の構成）
続いて、図３を参照して、本実施の形態１に係るフィルタリングコントローラ５０の構成について説明する。図３に示すようにフィルタリングコントローラ５０は、フレームキャプチャー５０１と、フレームＩＤ再設定部５０２と、ＣＲＣエンコーダ５０３と、ＣＰＵ（Central Processing Unit）５０４と、ＲＯＭ（Read Only Memory）５１０とを有する。
【００４２】
フレームキャプチャー５０１は、セントラルゲートウェイ２内を伝送されるデータフレームのうち、所望のフレームＩＤを含むデータフレームを取得してフレームＩＤ再設定部５０２に渡す、もしくは破棄する。フレームキャプチャー５０１は、それ以外のデータフレームは、フレームＩＤ再設定部５０２、ＣＲＣエンコーダ５０３を経由させずに送信先に向けてそのまま伝送する。
【００４３】
フレームＩＤ再設定部５０２は、フレームキャプチャー５０１から渡されたデータフレームのフレームＩＤを変更する。
【００４４】
ＣＲＣエンコーダ５０３は、フレームＩＤ再設定部５０２によってフレームＩＤを変更したデータフレームに基づいて、ＣＲＣ値を算出する。ＣＲＣエンコーダ５０３は、データフレームに含まれるＣＲＣ値を、算出したＣＲＣ値に変更する。そして、ＣＲＣ値を変更いたデータフレームを送信先に向けて伝送する。これにより、フレームＩＤ変更後のデータフレームに応じたＣＲＣ値がデータフレームに設定される。これにより、フレームＩＤが変更されることによるデータエラーの誤検出を防止することができる。
【００４５】
ＣＰＵ５０４は、フィルタリングコントローラ５０における各部５０１〜５０３を統括的に制御する。例えば、運転支援ネットワークシステム１にアドオンＥＣＵ６０が実装されている場合、ＣＰＵ５０４は、セントラルゲートウェイ２内を伝送されるデータフレームのうち、取得するデータフレームのフレームＩＤをフレームキャプチャー５０１に通知する。また、運転支援ネットワークシステム１にアドオンＥＣＵ６０が実装されている場合、ＣＰＵ５０４は、データフレームに再設定するフレームＩＤをフレームＩＤ再設定部５０２に通知する。
【００４６】
ＲＯＭ５１０は、ＣＰＵ５０４が通知するフレームＩＤを示すフレームＩＤデータが予め格納される。このフレームＩＤデータは、運転支援ネットワークシステム１の運用開始前にＲＯＭ５１０に格納するようにしてもよく、アドオンＥＣＵ６０の追加実装時にＲＯＭ５１０に書き込むようにしてもよい。また、このフレームＩＤデータは、アドオンＥＣＵ６０の追加実装時又は運転支援ネットワークシステム１の起動時（例えば自車のイグニッション電源投入時）に、ＣＰＵ５０４がアドオンＥＣＵ６０から読み取ってＲＯＭ５１０に格納するようにしてもよい。この場合、好ましくは、このフレームＩＤデータは、暗号化されてアドオンＥＣＵ６０からフィルタリングコントローラ５０のＣＰＵ５０４に送信されるようにするとよい。そのようにすることで、セキュリティを向上することができる。
【００４７】
続いて、図４を参照して、上述のＲＯＭ５１０に格納されるフレームＩＤデータについて説明する。図４に示すように、ＲＯＭ５１０は、フレームＩＤデータ５１１〜５１３が格納される。
【００４８】
フレームＩＤデータ５１１は、フィルタリングコントローラ５０でフレームＩＤを再設定するために取得するデータフレームのフレームＩＤを示すデータである。図４に示すように、フレームＩＤデータ５１１は、アドオンＥＣＵ６０から送信される制御データのフレームＩＤを示している。ＣＰＵ５０４は、運転支援ネットワークシステム１にアドオンＥＣＵ６０が実装されている場合には、フレームＩＤデータ５１１をＲＯＭ５１０から取得し、フレームキャプチャー５０１に送信する。これにより、フレームキャプチャー５０１は、ＣＰＵ５０４から送信されたフレームＩＤデータ５１１が示すフレームＩＤを、取得してフレームＩＤ再設定部５０２に渡すデータフレームのフレームＩＤとして認識する。
【００４９】
フレームＩＤデータ５１２は、フィルタリングコントローラ５０で破棄するために取得するデータフレームのフレームＩＤを示すデータである。図４に示すように、フレームＩＤデータ５１２は、運転支援ＥＣＵ１０から送信される制御データのフレームＩＤを示している。ＣＰＵ５０４は、運転支援ネットワークシステム１にアドオンＥＣＵ６０が実装されている場合には、フレームＩＤデータ５１２をＲＯＭ５１０から取得し、フレームキャプチャー５０１に送信する。これにより、フレームキャプチャー５０１は、ＣＰＵ５０４から送信されたフレームＩＤデータ５１２が示すフレームＩＤを、取得して破棄するデータフレームのフレームＩＤとして認識する。
【００５０】
フレームＩＤデータ５１３は、フィルタリングコントローラ５０でフレームＩＤを再設定する際に、データフレームに新たに設定するフレームＩＤを示すデータである。図４に示すように、フレームＩＤデータ５１３は、運転支援ＥＣＵ１０から送信される制御データのフレームＩＤを示している。ＣＰＵ５０４は、運転支援ネットワークシステム１にアドオンＥＣＵ６０が実装されている場合には、フレームＩＤデータ５１３をＲＯＭ５１０から取得し、フレームＩＤ再設定部５０２に送信する。これにより、フレームＩＤ再設定部５０２は、ＣＰＵ５０４から送信されたフレームＩＤデータ５１３が示すフレームＩＤを、フレームキャプチャー５０１によって取得されたデータフレームに対して新たに設定するフレームＩＤとして認識する。
【００５１】
なお、これら以外のデータフレームは、フィルタリングコントローラ５０からそのまま送信先に向けて出力する。ここで、ＣＰＵ５０４は、例えば運転支援ネットワークシステム１の起動時に、フレームＩＤデータ５１１〜５１３をＲＯＭ５１０から取得し、フレームキャプチャー５０１及びフレームＩＤ再設定部５０２に送信する。
【００５２】
ここで、上述したように、フレームＩＤは、データの種類に異なる値となるが、以下、説明の簡略化のため、運転支援ＥＣＵ１０から送信される制御データのフレームＩＤを「運転支援ＥＣＵ１０のフレームＩＤ」とも呼び、アドオンＥＣＵ６０から送信される制御データのフレームＩＤを「アドオンＥＣＵ６０のフレームＩＤ」とも呼ぶ。
【００５３】
（フィルタリングコントローラ５０の処理）
続いて、図５を参照して、実施の形態１に係るフィルタリングコントローラ５０の処理について説明する。
【００５４】
フレームキャプチャー５０１は、セントラルゲートウェイ２を流れるデータフレームのうち、フレームＩＤ再設定対象のデータフレームのフレームＩＤを含むデータフレームを取得する（Ｓ１）。すなわち、フレームキャプチャー５０１は、ＣＰＵ５０４から送信されたフレームＩＤデータ５１１が示すフレームＩＤを示すデータフレームを取得する。言い換えると、フレームキャプチャー５０１は、アドオンＥＣＵ６０のフレームＩＤを示すデータフレームを取得する。そして、フレームキャプチャー５０１は、そのデータフレームを、フレームＩＤ再設定部５０２に送信する。
【００５５】
なお、フレームキャプチャー５０１は、セントラルゲートウェイ２を流れるデータフレームのうち、破棄対象のデータフレームのフレームＩＤを含むデータフレームも取得する。すなわち、フレームキャプチャー５０１は、ＣＰＵ５０４から送信されたフレームＩＤデータ５１２が示すフレームＩＤを示すデータフレームを取得する（Ｓ１）。言い換えると、フレームキャプチャー５０１は、運転支援ＥＣＵ１０のフレームＩＤを示すデータフレームを取得する。そして、フレームキャプチャー５０１は、そのデータフレームは破棄する。
【００５６】
フレームＩＤ再設定部５０２は、フレームキャプチャー５０１から送信されたデータフレームのフレームＩＤを再設定する（Ｓ２）。すなわち、フレームＩＤ再設定部５０２は、ＣＰＵ５０４から送信されたフレームＩＤデータ５１３が示すフレームＩＤを、データフレームに設定する。言い換えると、フレームＩＤ再設定部５０２は、データフレームに含まれるフレームＩＤを、アドオンＥＣＵ６０のフレームＩＤから、運転支援ＥＣＵ１０のフレームＩＤに変更する。ＣＲＣエンコーダ５０３は、フレームＩＤ再設定部５０２がフレームＩＤを再設定したデータフレームのＣＲＣ値を算出し、そのデータフレームに設定する（Ｓ３）。
【００５７】
これによれば、運転支援ネットワークシステム１にアドオンＥＣＵ６０が実装された場合には、運転支援ＥＣＵ１０から送信される制御データに代えて、アドオンＥＣＵ６０から送信される制御データを制御系ドメイン３０、４０に伝送することができる。また、その制御データのデータフレームにおいて、フレームＩＤを運転支援ＥＣＵ１０からのフレームＩＤに変更しているため、制御系ドメイン３０、４０に対してアドオンＥＣＵ６０からの制御データを、擬似的に運転支援ＥＣＵ１０からの制御データと認識させて処理対象とさせることができる。すなわち、これによれば、運転支援ネットワークシステム１に対して、アドオンＥＣＵ６０を追加実装するのみで、運転支援ＥＣＵ１０の無効化と、アドオンＥＣＵ６０の有効化を実現することができる。
【００５８】
（運転支援ネットワークシステム１の処理）
続いて、図６を参照して、実施の形態１に係る運転支援ネットワークシステム１の処理について説明する。
【００５９】
フィルタリングコントローラ５０は、アドオンＥＣＵ６０がネットワークゲートウェイ２に接続されているか否かを判断する（Ｓ１１）。ここでの判断は、単純にアドオンＥＣＵ６０がネットワークゲートウェイ２に物理的に接続されているか否かだけを判断するようにしてもよいが、これに限られない。それに加えて、フィルタリングコントローラ５０が、アドオンＥＣＵ６０から認証情報を受信することで認証を行い、アドオンＥＣＵ６０の正当性が確認できた場合に接続されたと判断するようにしてもよい。
【００６０】
例えば、フィルタリングコントローラ５０が有するＲＯＭ５１０に、アドオンＥＣＵ６０の認証情報の期待値を予め格納しておく。この期待値は、運転支援ネットワークシステム１の運用開始前にＲＯＭ５１０に格納するようにしてもよく、アドオンＥＣＵ６０の追加実装時にＲＯＭ５１０に書き込むようにしてもよい。この認証情報は、例えば、各ＥＣＵに一意に割り当てられた識別子（ＩＤ）を示す情報である。フィルタリングコントローラ５０は、アドオンＥＣＵ６０から送信された認証情報と、ＲＯＭ５１０に格納された期待値とを比較する。フィルタリングコントローラ５０は、認証情報と期待値とが一致する場合は、アドオンＥＣＵ６０が正当であると判断し、認証情報と期待値とが不一致である場合には、アドオンＥＣＵ６０が正当でないと判断する。
【００６１】
アドオンＥＣＵ６０がネットワークゲートウェイ２に接続されていないと判断した場合（Ｓ１１：Ｎｏ）、フィルタリングコントローラ５０は、センサー系ドメイン２０から送信されたセンサーデータを運転支援ＥＣＵ１０に送信する（Ｓ１２）。運転支援ＥＣＵ１０は、センサー系ドメイン２０からフィルタリングコントローラ５０を介して送信されたセンサーデータに基づいて制御データを算出する（Ｓ１３）。運転支援ＥＣＵ１０は、生成した制御データを制御系ドメイン３０、４０に送信する（Ｓ１４）。この制御データは、フィルタリングコントローラ５０を中継されるが、フィルタリングコントローラ５０は、制御データをそのまま制御系ドメイン３０、４０に送信する。
【００６２】
アドオンＥＣＵ６０がフィルタリングコントローラ５０に接続されていると判断した場合（Ｓ１１：Ｙｅｓ）、フィルタリングコントローラ５０は、センサー系ドメイン２０から送信されたセンサーデータを運転支援ＥＣＵ１０とアドオンＥＣＵ６０の両方に送信する（Ｓ１５）。アドオンＥＣＵ６０は、センサー系ドメイン２０からフィルタリングコントローラ５０を介して送信されたセンサーデータに基づいて制御データを算出する（Ｓ１６）。運転支援ＥＣＵ１０も、ステップＳ１３と同様に、センサー系ドメイン２０からフィルタリングコントローラ５０を介して送信されたセンサーデータに基づいて制御データを算出する（Ｓ１７）。
【００６３】
運転支援ＥＣＵ１０及びアドオンＥＣＵ６０は、算出した制御データをフィルタリングコントローラ５０に送信する（Ｓ１８）。フィルタリングコントローラ５０は、運転支援ＥＣＵ１０から送信された制御データは破棄し、アドオンＥＣＵ６０からの制御データを運転支援ＥＣＵ１０からの制御データとして、制御系ドメイン３０、４０に送信する（Ｓ１９）。
【００６４】
以上に説明した処理によれば、アドオンＥＣＵ６０を接続するだけで、運転支援ＥＣＵ１０の運転支援機能に代えて、機能拡張されたアドオンＥＣＵ６０の運転支援機能により自車を制御することが可能となる。
【００６５】
（運転支援機能の一例）
続いて、図７及び図８を参照して、運転支援ＥＣＵ１０の運転支援機能とアドオンＥＣＵ６０の運転支援機能の一例について説明する。以下、運転支援ＥＣＵ１０は、その運転支援機能として、自車が一定速度以下の場合に作動する衝突予知緊急自動ブレーキシステムを搭載し、アドオンＥＣＵ６０が、運転支援機能として、自車が一定速度以下の場合に作動する衝突予知緊急自動ブレーキシステムに加え、ステアリング操作も自動で行う機能を搭載している例について説明する。
【００６６】
まず、図７を参照して、運転支援ＥＣＵ１０の運転支援機能の一例について説明する。運転支援ＥＣＵ１０は、センサーデータに基づいて、自車が走行を継続すると、自車の前方の障害物（図７の例では自車の前方を走行する自動車）に衝突する可能性があるか否かを判断する。具体的には、運転支援ＥＣＵ１０は、自車と障害物との距離が閾値以下である場合は衝突の可能性があると判断し、自車と障害物との距離が閾値よりも大きい場合は衝突の可能性がないと判断する。この閾値は、予め任意に定めた値である。運転支援ＥＣＵ１０は、衝突の可能性がないと判断した場合、手動運転モードでの運転者の操作による自車の制御を維持する。一方、運転支援ＥＣＵ１０は、衝突の可能性があると判断した場合、自動運転モードに切り替える。すなわち、自車の制御権を運転者から運転支援ネットワークシステム１に移す。そして、運転支援ＥＣＵ１０は、自車の制御内容として緊急ブレーキを決定する。すなわち、運転支援ＥＣＵ１０は、緊急ブレーキをかける制御内容を示す制御データを生成し、制御系ドメイン３０、４０に送信する。
【００６７】
次に、図８を参照して、アドオンＥＣＵ６０の運転支援機能の一例について説明する。アドオンＥＣＵ６０も、センサーデータに基づいて、自車が走行を継続すると、自車の前方の障害物（図８の例では、自車の前方を走行する自動車、及び自車の前方を横断する自転車）に衝突する可能性があるか否かを判断する。この判断については、図７を参照して上述した通りであるため、詳細な説明は省略する。すなわち、アドオンＥＣＵ６０は、運転支援ＥＣＵ１０に機能拡張がなされており、衝突の可能性があるか否かに応じて、運転支援ＥＣＵ１０と同様に自動運転モードに切り替える機能を備えているため、図７に示す事例でも同様に緊急ブレーキをかけて障害物との衝突を回避することが可能である。
【００６８】
ここで、アドオンＥＣＵ６０は、さらに、追加機能として、ステアリング操作の要否も判断する。この機能により、例えば、図８に示すように、自車との距離が閾値以下の障害物のうち、自車の進行方向右側に存在する障害物がある場合、アドオンＥＣＵ６０は、ステアリング操作が必要と判断し、自車の制御内容として左側への迂回を決定する。すなわち、アドオンＥＣＵ６０は、自車の進行方向を基準として、障害物が存在する側とは反対側への自車の迂回を決定することができる。よって、アドオンＥＣＵ６０は、ステアリングを左に切りながら緊急ブレーキをかける制御内容を示す制御データを生成し、制御系ドメイン３０、４０に送信する。
【００６９】
なお、自車の制御内容を決定するパラメータとして、（１）自車と障害物との距離と、（２）自車の進行方向を基準とした障害物の位置とを利用する例について説明したが、これに限られない。自車の制御内容を決定するパラメータとして、この他に、（３）障害物数、（４）自車の速度、及び（５）障害物の移動方向などを利用するようにしてもよい。すなわち、上記（１）〜（５）のパラメータのうち、任意の１以上を利用するようにしてもよい。
【００７０】
例えば、（３）を利用する場合には、自車との距離が閾値以下である障害物数が所定数以上である場合に自動運転モードに切り替えて緊急ブレーキ等を実施し、自車との距離が閾値以下である障害物数が所定数未満である場合には手動運転モードを維持するようにしてもよい。
【００７１】
また、例えば、（４）を利用する場合には、自車と障害物の距離と、自車の速度に基づいて、自車が障害物に到達するまでの時間を算出し、その時間が閾値以下である場合に自動運転モードに切り替えて緊急ブレーキ等を実施し、その時間が閾値よりも大きい場合には手動運転モードを維持するようにしてもよい。
【００７２】
また、例えば、（５）を利用する場合には、障害物が自車に近づいている場合に自動運転モードに切り替えて緊急ブレーキ等を実施し、障害物が自車から遠ざかっている場合には手動運転モードを維持するようにしてもよい。また、この場合には、さらに、障害物の速度も利用して、自車と障害物の距離と、自車および障害物の速度に基づいて、自車が障害物に到達するまでの時間を算出し、その時間が閾値以下である場合に自動運転モードに切り替えて緊急ブレーキ等を実施し、その時間が閾値よりも大きい場合には手動運転モードを維持するようにしてもよい。
【００７３】
また、障害物を回避する度合い（例えばブレーキの加減又はステアリングの切り具合）は、段階的に変更するようにしてもよい。例えば、自車と障害物の距離と、ブレーキの加減とを対応付けたテーブルを運転支援ＥＣＵ１０及びアドオンＥＣＵ６０が有するＲＯＭに予め格納しておく。このテーブルは、自車と障害物の距離が短くなるに従って、より強いブレーキの加減を示す情報である。そして、運転支援ＥＣＵ１０及びアドオンＥＣＵ６０は、そのテーブルに基づいて、自車と障害物の距離からブレーキの加減を決定する。
【００７４】
（実施の形態１の変形例）
以上の説明では、セントラルゲートウェイ２内のデータの伝送に用いられる通信プロトコルとして、ＣＡＮプロトコルを採用した場合について説明したが、通信プロトコルは、これに限られない。例えば、セントラルゲートウェイ２内でデータがフィルタリングコントローラ５０を中継される際の通信プロトコルとして、ＴＣＰ／ＩＰプロトコルを採用するようにしてよい。この場合、データフレームは、図９に示すフレームフォーマットとなる。なお、このＴＣＰ／ＩＰプロトコルにおけるフレームフォーマットは、一般的であるため、データフレームのうち、本実施の形態の処理に関連するフィールドについて説明し、他のフィールドについては説明を省略する。
【００７５】
この場合、データフレームは、図９に示すように、宛先アドレスフィールドと、送信元アドレスフィールドと、データフィールドと、ＦＣＳ（Frame Check Sequence）フィールドとを含んでいる。
【００７６】
この場合、フィルタリングコントローラ５０のＲＯＭ５１０には、取得するデータフレームに含まれる制御データのフレームＩＤデータに代えて、取得するデータフレームの送信元アドレスを示すアドレスデータが格納されることになる。すなわち、上述のＲＯＭ５１０には、破棄するために取得するデータフレームの送信元アドレスとして、運転支援ＥＣＵ１０のアドレスデータが予め格納され、フレームＩＤを再設定するために取得するデータフレームの送信元アドレスとして、アドオンＥＣＵ６０のアドレスデータが予め格納される。そして、ＣＰＵ５０４は、これらのアドレスデータをＲＯＭ５１０から取得してフレームキャプチャー５０１に送信する。これにより、フレームキャプチャー５０１は、運転支援ＥＣＵ１０からの制御データを含むデータフレームは破棄し、アドオンＥＣＵ６０からの制御データを含むデータフレームをフレームＩＤ再設定部５０２に送信する。
【００７７】
また、上述のＲＯＭ５１０には、データフレームに再設定するフレームＩＤを示すフレームＩＤデータに代えて、データフレームに再設定する送信元アドレスを示すアドレスデータが格納されることになる。そして、ＣＰＵ５０４は、このアドレスデータをフレームＩＤ再設定部５０２に送信する。これにより、フレームＩＤ再設定部５０２は、アドオンＥＣＵ６０から送信された制御データを含むデータフレームの送信元アドレスを、擬似的にアドオンＥＣＵ６０のアドレスから運転支援ＥＣＵ１０のアドレスに変更する。よって、この場合は、フレームＩＤ再設定部５０２は、アドレス再設定部として動作する。
【００７８】
なお、センサー系ドメイン２０からのセンサーデータのデータフレームの宛先アドレスは運転支援ＥＣＵ１０を示すものとなっているが、アドオンＥＣＵ６０は自らに対するデータフレームであると読み替えて取得することが可能である。また、このセンサー系ドメイン２０からのセンサーデータは、アドオンＥＣＵ６０に送信されるものについては、フィルタリングコントローラ５０が、そのデータフレームの宛先アドレスを、アドオンＥＣＵ６０を示すように再設定するようにしてもよい。この宛先アドレスのアドオンＥＣＵ６０のアドレスへの再設定は、実施の形態２で後述する方法と同様に実施するようにすればよい。
【００７９】
また、ＣＲＣエンコーダ５０３は、送信元アドレスを変更したデータフレームに基づいて、ＣＲＣ値を算出する。ＣＲＣエンコーダ５０３は、データフレームのＦＣＳフィールドに設定されるＣＲＣ値を、新たに算出したＣＲＣ値に変更する。なお、ＣＲＣ値は、宛先アドレスフィールド、送信元アドレスフィールド、及びデータフィールドを含む複数のフィールドのデータに基づいて算出される。
【００８０】
上述の通り、本実施の形態１によれば、運転支援ネットワークシステム１にアドオンＥＣＵ６０を搭載するのみで、アドオンＥＣＵ６０に搭載される高度な運転支援機能を提供することができる。また、セントラルゲートウェイ２の内部に搭載するフィルタリングコントローラ５０により、あたかも既存の運転支援ＥＣＵ１０が指示を発行しているかのように制御を行うことにより、他のドメイン２０、３０、４０、他のＥＣＵ２０１、３０１、４０１、４０２、パワートレイン系及びシャーシ系の各制御対象装置（エンジン３１１、ステアリング４１１、アクセル４２１、及びブレーキ４２２等）に対する変更を極力抑え、既存システムに多大な影響を与えることなく動作させることができる。
【００８１】
＜実施の形態２＞
続いて、実施の形態２について説明する。以下、実施の形態１と同様の内容については、同一の符号を付す等して、適宜省略しながら説明する。
【００８２】
実施の形態１では、運転支援ＥＣＵ１０を無効化するとともにアドオンＥＣＵ６０を有効化する方法として、運転支援ＥＣＵ１０とアドオンＥＣＵ６０の両方にセンサーデータを送信し、アドオンＥＣＵ６０のみのデータを制御系ドメイン３０、４０に送信する方法について説明したが、これに限られない。
【００８３】
本実施の形態２では、運転支援ＥＣＵ１０を無効化するとともにアドオンＥＣＵ６０を有効化する他の方法として、アドオンＥＣＵ６０のみにセンサーデータを送信する方法について説明する。
【００８４】
（実施の形態２に係る運転支援ネットワークシステム１の構成）
本実施の形態２に係る運転支援ネットワークシステム１の構成は、図１を参照して説明した実施の形態１に係る運転支援ネットワークシステム１の構成と同様であるため、説明を省略する。なお、本実施の形態２でも、セントラルゲートウェイ２内の伝送が、ＣＡＮプロトコルによって行われるものとして説明する。
【００８５】
（実施の形態２に係るフィルタリングコントローラ５０の構成）
本実施の形態２に係るフィルタリングコントローラ５０の構成は、図３を参照して説明した実施の形態１に係るフィルタリングコントローラ５０の構成と同様である。しかしながら、実施の形態２に係るフィルタリングコントローラ５０は、以下の点で、実施の形態１に係るフィルタリングコントローラ５０とその動作が異なる。
【００８６】
フレームキャプチャー５０１は、センサー系ドメイン２０から送信されたセンサーデータを含むデータフレームを取得する。そして、フレームキャプチャー５０１は、取得したデータフレームを、運転支援ＥＣＵ１０には送信せず、運転支援ＥＣＵ１０に代えてアドオンＥＣＵ６０に送信する。このため、本実施の形態２では、センサーデータに関しては、図１に示したようにフィルタリングコントローラ５０の出力は個別に（運転支援ＥＣＵ１０とアドオンＥＣＵ６０とに）分かれることになる。これによれば、センサーデータに基づいた制御データの算出がアドオンＥＣＵ６０のみで実施されることになる。そのため、自車の制御がアドオンＥＣＵ６０のみから実施されることになる。
【００８７】
よって、ＣＰＵ５０４は、センサー系ドメイン２０からのセンサーデータのフレームＩＤも、運転支援ＥＣＵ１０への送信を抑止するために取得するデータフレームのフレームＩＤとして、フレームキャプチャー５０１に通知する。すなわち、フィルタリングコントローラ５０が有するＲＯＭ５１０には、運転支援ＥＣＵ１０には送信せず、アドオンＥＣＵ６０に送信するために取得するデータフレームのフレームＩＤとして、センサー系ドメイン２０からのセンサーデータであることを示すフレームＩＤデータが予め格納される。ここで、センサーデータのフレームＩＤとしては、フロントカメラＥＣＵ２０１からのオブジェクトデータのフレームＩＤと、レーダーＥＣＵ２０２からの算出距離データのフレームＩＤの２種類がある。これにより、フレームキャプチャー５０１が、ＣＰＵ５０４によってＲＯＭ５１０から取得されて送信されたフレームＩＤデータに基づいて、センサー系ドメイン２０からのセンサーデータを、運転支援ＥＣＵ１０には送信せず、アドオンＥＣＵ６０に送信することとなる。
【００８８】
また、これによれば、センサーデータに基づいた制御データは、運転支援ＥＣＵ１０からは送信されなくなるため、フレームキャプチャー５０１が、運転支援ＥＣＵ１０から取得した制御データを破棄する処理が不要となる。実施の形態２の変形例として、ＣＰＵ５０４が、運転支援ＥＣＵ１０のフレームＩＤを、破棄するデータフレームのフレームＩＤとしてフレームキャプチャー５０１に通知しないようにしてもよい。
【００８９】
これによれば、運転支援ネットワークシステム１にアドオンＥＣＵ６０が実装されている場合には、センサー系ドメイン２０から送信されるセンサーデータを、運転支援ＥＣＵ１０に代えて、アドオンＥＣＵ６０に伝送することができる。よって、運転支援ＥＣＵ１０を無効化し、アドオンＥＣＵ６０を有効化して、アドオンＥＣＵ６０のみから送信される制御データを制御系ドメイン３０、４０に伝送することができる。
【００９０】
（実施の形態２に係る運転支援ネットワークシステム１の処理）
続いて、図１０を参照して、実施の形態２に係る運転支援ネットワークシステム１の処理について説明する。
【００９１】
図１０に示す処理は、図６を参照して説明した実施の形態１における処理と比較して、ステップＳ１１でＹｅｓの場合に、ステップＳ１５に代えてステップＳ２１を有する点、ステップＳ１７を有さない点、ステップＳ１８、Ｓ１９に代えてステップＳ２２、Ｓ２３を有する点が異なる。
【００９２】
アドオンＥＣＵ６０がフィルタリングコントローラ５０に接続されていると判断した場合（Ｓ１１：Ｙｅｓ）、フィルタリングコントローラ５０は、センサー系ドメイン２０から送信されたセンサーデータを運転支援ＥＣＵ１０には送信せず、アドオンＥＣＵ６０に送信する（Ｓ２１）。
【００９３】
ステップＳ１６の実行後、アドオンＥＣＵ６０は、算出した制御データをフィルタリングコントローラ５０に送信する（Ｓ２２）。すなわち、実施の形態１におけるステップＳ１８と比較して、運転支援ＥＣＵ１０が制御データを送信しない点が異なる。フィルタリングコントローラ５０は、アドオンＥＣＵ６０からの制御データを運転支援ＥＣＵ１０からの制御データとして、制御系ドメイン３０、４０に送信する（Ｓ２３）。すなわち、実施の形態１におけるステップＳ１９と比較して、運転支援ＥＣＵ１０から制御データが送信されないため、フィルタリングコントローラ５０が運転支援ＥＣＵ１０から送信された制御データを取得して破棄しない点が異なる。
【００９４】
なお、実施の形態２においても、実施の形態１と同様に、セントラルゲートウェイ２内のデータの伝送に用いられる通信プロトコルとして、ＣＡＮプロトコル以外のものを採用してもよい。
【００９５】
例えば、ＴＣＰ／ＩＰプロトコルを採用した場合には、上述のＲＯＭ５１０には、取得して運転支援ＥＣＵ１０への送信を抑止するデータフレームの送信元アドレスとして、センサー系ドメイン２０の各ＥＣＵ２０１、２０２のアドレスデータも予め格納される。そして、ＣＰＵ５０４は、これらのアドレスデータをフレームキャプチャー５０１に送信する。これにより、フレームキャプチャー５０１は、ＣＰＵ５０４から送信されたアドレスデータに基づいて、センサー系ドメイン２０の各ＥＣＵ２０１、２０２のセンサーデータを取得する。
【００９６】
また、上述のＲＯＭ５１０には、センサーデータのデータフレームに再設定する宛先アドレスを示すアドレスデータも格納されることになる。この宛先アドレスは、アドオンＥＣＵ６０のアドレスとなる。そして、ＣＰＵ５０４は、このアドレスデータをフレームＩＤ再設定部５０２に送信する。これにより、フレームＩＤ再設定部５０２は、フレームキャプチャー５０１が取得したセンサーデータのデータフレームにおいて宛先アドレスを、運転支援ＥＣＵ１０のアドレスから、アドオンＥＣＵ６０のアドレスに変更する。これによれば、センサーデータは、運転支援ＥＣＵ１０へは送信されず、アドオンＥＣＵ６０のみに送信される。よって、この場合は、フレームＩＤ再設定部５０２は、アドレス再設定部として動作する。
【００９７】
以上に説明したように、本実施の形態２によれば、実施の形態１と同様に、運転支援ネットワークシステム１全体の変更量を極力低減することができ、かつ高度な運転支援機能へのアップデートを実現することができる。
【００９８】
＜実施の形態３＞
続いて、実施の形態３について説明する。以下、実施の形態１と同様の内容については、同一の符号を付す等して、適宜省略しながら説明する。
【００９９】
実施の形態１では、運転支援ＥＣＵ１０からの制御データを単に破棄し、アドオンＥＣＵ６０のみのデータを制御系ドメイン３０、４０に送信するようにしていたが、本実施の形態３では、運転支援ＥＣＵ１０からの制御データを有効活用することで、より安全性を向上したシステムを実現する。具体的には、本実施の形態３では、運転支援ＥＣＵ１０とアドオンＥＣＵ６０の組み合わせを冗長化システム構成として捉え、故障診断を実施する。
【０１００】
（実施の形態３に係る運転支援ネットワークシステム１の構成）
本実施の形態３に係る運転支援ネットワークシステム１の構成は、図１を参照して説明した実施の形態１に係る運転支援ネットワークシステム１の構成と同様である。しかしながら、本実施の形態３に係る運転支援ネットワークシステム１は、以下の点で、実施の形態１に係る運転支援ネットワークシステム１とその動作が異なる。なお、本実施の形態３でも、セントラルゲートウェイ２内の伝送が、ＣＡＮプロトコルによって行われるものとして説明する。
【０１０１】
アドオンＥＣＵ６０は、センサーデータに基づいて自車の制御内容を決定するときに、そのセンサーデータに基づいて、既存機能で対応するか、既存機能では対応することができず追加機能で対応するか判断する。ここで、既存機能は、運転支援ＥＣＵ１０の運転支援機能とアドオンＥＣＵ６０の運転支援機能に組み込まれている機能である。一方、追加機能は、アドオンＥＣＵ６０の運転支援機能のみに組み込まれており、運転支援ＥＣＵ１０の運転支援機能には組み込まれていない機能である。
【０１０２】
ここで、運転支援ＥＣＵ１０の運転支援機能も、アドオンＥＣＵ６０の運転支援機能も、図７及び図８を参照して説明した実施の形態１におけるものと同様であるものとする。この場合、アドオンＥＣＵ６０は、図７に示す例では、自車の制御内容として緊急ブレーキを決定し、図８に示す例では、自車の制御内容としてステアリングをきりながらの緊急ブレーキを決定する。一方で、運転支援ＥＣＵ１０は、その運転支援機能において、アドオンＥＣＵ６０のように、追加機能であるステアリングの制御はサポートしていない。そのため、運転支援ＥＣＵ１０は、図７に示す例でも、図８に示す例でも、自車の制御内容として緊急ブレーキを決定する。すなわち、運転支援ＥＣＵ１０とアドオンＥＣＵ６０とで、図７に示す例では、決定する自車の制御内容は一致するが、図８に示す例では、決定する自車の制御内容は不一致となる。
【０１０３】
よって、例えば、アドオンＥＣＵ６０は、決定した自車の制御内容においてステアリング操作がなくブレーキ操作のみがある場合は、既存機能で対応すると判断し、決定した自車の制御内容においてステアリング操作がありブレーキ操作もある場合は、既存機能で対応することができず追加機能で対応すると判断する。そして、アドオンＥＣＵ６０は、その判断結果として、既存機能で対応するか、追加機能で対応するかを示す判断結果データを、制御データを含むデータフレームのデータフィールドに設定する。これによって、フィルタリングコントローラ５０において、既存機能で対応するか、追加機能で対応するかを認識可能としている。
【０１０４】
本実施の形態３では、これにより、既存機能で対応すると判断された場合に、フィルタリングコントローラ５０において、運転支援ＥＣＵ１０からの制御データと、アドオンＥＣＵ６０からの制御データを比較することで、その正当性を確認することを可能としている。この場合は、それらの制御データが一致することが期待されるからである。
【０１０５】
（実施の形態３に係るフィルタリングコントローラ５０の構成）
続いて、図１１を参照して、本実施の形態３に係るフィルタリングコントローラ５０の構成について説明する。図１１に示すように、フィルタリングコントローラ５０は、図３を参照して説明した実施の形態１に係るフィルタリングコントローラ５０と比較して、さらに、フレームルーティング部５０５と、故障診断モジュール５０６とを有する。
【０１０６】
フレームキャプチャー５０１は、運転支援ＥＣＵ１０からの制御データを含むデータフレームと、アドオンＥＣＵ６０からの制御データを含むデータフレームとを取得するが、本実施の形態３では、運転支援ＥＣＵ１０からのデータフレームを破棄せず、それらのデータフレームの両方をフレームルーティング部５０５に送信する。よって、本実施の形態３では、運転支援ＥＣＵ１０からの制御データのフレームＩＤを示すフレームＩＤデータを、破棄せずに比較に利用するフレームＩＤとして、フィルタリングコントローラ５０のＲＯＭ５１０に格納する。
【０１０７】
フレームルーティング部５０５は、既存機能で対応する（アドオンＥＣＵ６０からの制御データが既存機能で算出された制御データである）か、追加機能で対応する（アドオンＥＣＵ６０からの制御データが追加機能で算出された制御データである）かを判断する。既存機能で対応すると判断した場合、フレームルーティング部５０５は、運転支援ＥＣＵ１０からのデータフレームと、アドオンＥＣＵ６０からのデータフレームの両方を故障診断モジュール５０６に送信する。
【０１０８】
具体的には、フレームルーティング部５０５は、上述したように制御データとともにデータフレームに含まれる判断結果データに基づいて判断することができる。上述したように、アドオンＥＣＵ６０は、既存機能で対応するか、追加機能で対応するかを判断し、どちらの機能で制御データを算出したかを、判断結果データに設定している。ここで、アドオンＥＣＵ６０は、センサー系ドメイン２０から得られたセンサーデータに基づいて、制御データを算出するタイミングで、既存機能で対応するか追加機能で対応するかの判断を行い、その判断結果を判断結果データに設定する。そして、フレームルーティング部５０５は、その判断結果データを読み取ることで、既存機能で対応するか、追加機能で対応するかの判断を行うことができる。
【０１０９】
故障診断モジュール５０６は、フレームルーティング部５０５から送信されたデータフレームに含まれる制御データを比較し、その制御内容に差異がないかどうかを判断する。よって、運転支援ＥＣＵ１０によって既存機能で算出された制御データと、アドオンＥＣＵ６０によって既存機能で算出された制御データとが比較されることになる。そのため、運転支援ＥＣＵ１０及びアドオンＥＣＵ６０に故障などが無く、両者の制御データが正常である場合には、両者の制御データが一致することになる。
【０１１０】
ここで、比較すべき制御データの特定は、例えば、制御データがコマンドベースのデータである場合には、同一種類のコマンドを示す制御データを比較すべき制御データとして特定することで実施することができる。この場合、制御データは、コマンドのパラメータとして、例えば、ブレーキ４２２のブレーキ油圧の制御トルク量、又はステアリング４１１の切れ角等を示す。よって、この場合、故障診断モジュール５０６は、制御データの比較として、コマンドのパラメータを比較することになる。
【０１１１】
（フィルタリングコントローラ５０の処理）
続いて、図１２を参照して、実施の形態３に係るフィルタリングコントローラ５０の処理について説明する。
【０１１２】
図１２に示す処理は、図５を参照して説明した実施の形態１における処理と比較して、ステップＳ１に代えてステップＳ４を有する点、ステップＳ４の後に、さらに、ステップＳ５、Ｓ６を有する点が異なる。
【０１１３】
ステップＳ４の処理は、実施の形態１に係るステップＳ１の処理と比較して、さらに、運転支援ＥＣＵ１０からの制御データのフレームＩＤも、破棄しない取得対象のデータフレームのフレームＩＤとして定義されている点が異なる。よって、フレームキャプチャー５０１は、運転支援ＥＣＵ１０からの制御データと、アドオンＥＣＵ６０からの制御データについて、そのデータフレームを取得して、フレームルーティング部５０５に出力する。
【０１１４】
フレームルーティング部５０５は、既存機能で対応するか、追加機能で対応するかを判断する（Ｓ５）。追加機能で対応する場合（Ｓ５：Ｎｏ）、フレームルーティング部５０５は、アドオンＥＣＵ６０からのデータフレーム（運転支援ＥＣＵ１０からのデータフレームも）を故障診断モジュール５０６には出力せず、アドオンＥＣＵ６０からのデータフレームをフレームＩＤ再設定部５０２に出力する。以降は、実施の形態１と同様に、アドオンＥＣＵ６０からの制御データは、フレームＩＤとＣＲＣ値が変更されて、運転支援ＥＣＵ１０からの制御データとして制御系ドメイン３０、４０に送信される。
【０１１５】
一方、既存機能で対応する場合（Ｓ５：Ｙｅｓ）、フレームルーティング部５０５は、運転支援ＥＣＵ１０からのデータフレームと、アドオンＥＣＵ６０からのデータフレームの両方を故障診断モジュール５０６に出力する。
【０１１６】
故障診断モジュール５０６は、フレームルーティング部５０５から出力されたデータフレームに含まれる制御データを比較することで故障診断を実施する（Ｓ６）。故障診断モジュール５０６は、フレームルーティング部５０５から送信された制御データを比較し、その制御内容に差異がないかどうかを判断する。なお、厳密には、データフレームのデータフィールドに含まれる制御データが比較される。運転支援ＥＣＵ１０によって既存機能で算出された制御データと、アドオンＥＣＵ６０によって既存機能で算出された制御データとが比較されることになる。そのため、運転支援ＥＣＵ１０及びアドオンＥＣＵ６０に故障などが無く、両者の制御データが正常である場合には、両者の制御データが一致することになる。
【０１１７】
制御データが一致すると判断した場合、故障診断モジュール５０６は、アドオンＥＣＵ６０からのデータフレームをフレームＩＤ再設定部５０２に出力する。以降は、実施の形態１と同様に、アドオンＥＣＵ６０からのデータフレームは、フレームＩＤとＣＲＣ値が変更されて、運転支援ＥＣＵ１０からの制御データとして制御系ドメイン３０、４０に送信される。
【０１１８】
一方、制御データが一致しない場合、運転支援ＥＣＵ１０の故障、アドオンＥＣＵ６０の故障、又は故障診断モジュール５０６までの伝送経路の故障が発生しており、少なくとも一方の制御データが異常になっていると考えられる。そのため、この場合は、どちらの制御データが正しいか特定することができないため、フィルタリングコントローラ５０は、運転者にエラーを通知し、運転支援ネットワークシステム１に故障が発生していることを知らせるとともに、自車の制御権を運転者に移す。
【０１１９】
ここで、運転者へのエラーの通知（出力）は、任意の出力装置によって行うようにしてよい。出力装置は、例えば、表示装置、音声出力装置、又はそれらの組み合わせである。表示装置は、例えば、エラー通知内容を示す画像を表示する表示パネルであってもよく、エラー通知に対応するＬＥＤ（Light Emitting Diode）であってもよい。音声出力装置は、例えば、エラー通知の音声又は警告音などを出力するスピーカーである。フィルタリングコントローラ５０は、制御データが一致しない場合、出力装置によってエラーを出力する。
【０１２０】
（実施の形態３に係る運転支援ネットワークシステム１の処理）
続いて、図１３及び図１４を参照して、実施の形態３に係る運転支援ネットワークシステム１の処理について説明する。
【０１２１】
図１３に示す処理は、図６を参照して説明した実施の形態１における処理と比較して、ステップＳ１５の後に、ステップＳ１６に代えてステップＳ３１〜Ｓ３４を有する点、ステップＳ１８の後に、さらに、ステップＳ３５〜Ｓ３７を有する点が異なる。
【０１２２】
ステップＳ１５の後、アドオンＥＣＵ６０は、既存機能で対応するか、追加機能で対応するを判断する（Ｓ３１）。追加機能で対応する場合（Ｓ３１：Ｙｅｓ）、アドオンＥＣＵ６０は、センサー系ドメイン２０からフィルタリングコントローラ５０を介して送信されたセンサーデータに基づいて、追加機能により制御データを算出するとともに、そのデータフレームのデータフィールドに、追加機能で対応することを示す判断結果データを設定する（Ｓ３２、Ｓ３３）。一方、既存機能で対応すると判断した場合（Ｓ３１：Ｎｏ）、アドオンＥＣＵ６０は、センサー系ドメイン２０からフィルタリングコントローラ５０を介して送信されたセンサーデータに基づいて、既存機能により制御データを算出する（Ｓ３４）。なお、ステップＳ３２、Ｓ３４における制御データの算出の処理を区別して記載しているが、両ステップは、実質的に、実施の形態１におけるステップＳ１６と同様となる。
【０１２３】
ステップＳ１８の後、フィルタリングコントローラ５０は、既存機能で対応するか、追加機能で対応するを判断する（Ｓ３５）。すなわち、フィルタリングコントローラ５０は、制御データのデータフレームに含まれる判断結果データが、追加機能で対応することを示している場合は、追加機能で対応すると判断し、そうでない場合は、既存機能で対応すると判断する。
【０１２４】
既存機能で対応すると判断した場合（Ｓ３５：Ｎｏ）、フィルタリングコントローラ５０は、運転支援ＥＣＵ１０及びアドオンＥＣＵ６０のいずれかが故障しているか否かを判断する（Ｓ３６）。すなわち、フィルタリングコントローラ５０は、アドオンＥＣＵ６０からの制御データと、運転支援ＥＣＵ１０からの制御データを比較し、それらの制御データが一致しない場合には、運転支援ＥＣＵ１０及びアドオンＥＣＵ６０のいずれかの故障が発生していると判断する。運転支援ＥＣＵ１０及びアドオンＥＣＵ６０のいずれかの故障が発生していると判断した場合（Ｓ３６：Ｙｅｓ）、フィルタリングコントローラ５０は、運転者に対してエラーを通知するデータを外部の出力装置に送信する（Ｓ３７）。
【０１２５】
一方、追加機能で対応すると判断した場合（Ｓ３５：Ｙｅｓ）、及び、運転支援ＥＣＵ１０及びアドオンＥＣＵ６０のいずれの故障も発生していないと判断した場合（Ｓ３６：Ｎｏ）、フィルタリングコントローラ５０は、アドオンＥＣＵ６０からの制御データを運転支援ＥＣＵ１０からの制御データとして、制御系ドメイン３０、４０に送信する（Ｓ１９）。
【０１２６】
以上に説明したように、本実施の形態３では、運転支援ネットワークシステム１のフィルタリングコントローラ５０にさらにフレームルーティング部５０５及び故障診断モジュール５０６を設け、運転支援系のＥＣＵを冗長化することで、それらの出力比較による故障診断を実現している。これによれば、運転支援系のＥＣＵの故障検出を可能とし、運転者にエラーを通知することができるため、システムレベルでの機能安全性を向上させることができる。
【０１２７】
＜実施の形態４＞
続いて、実施の形態４について図１５を用いて説明する。以下、実施の形態１と同様の内容については、同一の符号を付す等して、適宜省略しながら説明する。なお、本実施の形態４は、実施の形態１に基づいて構築したものとして説明するが、それに限らず、実施の形態３に基づいて構築することも可能である。
【０１２８】
実施の形態１は、センサーデータをセントラルゲートウェイ２を介して運転支援ＥＣＵ１０及びアドオンＥＣＵ６０に送信するようにしていたが、実施の形態４では、センサーデータをセントラルゲートウェイ２を介さずに運転支援ＥＣＵ１０及びアドオンＥＣＵ６０に送信する。ここで、センサーデータをＲＡＷデータのままセントラルゲートウェイ２を介して送信してしまうと、そのデータ量が膨大であるため、セントラルゲートウェイ２内のトラフィックを増大させ、バス帯域の破綻を引き起こしてしまう。そのため、一次処理を施したセンサーデータ（や算出距離データ）をセントラルゲートウェイ２を介して送信するようにするものの、一定のバス帯域を占有してしまうことは避けられない。それに対して、このようにセンサーデータをセントラルゲートウェイ２を介さずに直接的に運転支援ＥＣＵ１０及びアドオンＥＣＵ６０に送信するようにすることで、そのような事態を回避することができる。
【０１２９】
（実施の形態４に係る運転支援ネットワークシステム１の構成）
図１５を参照して、本実施の形態４に係る運転支援ネットワークシステム１の構成について説明する。図１５に示すように、本実施の形態４に係る運転支援ネットワークシステム１は、図１を参照して説明した実施の形態１に係る運転支援ネットワークシステム１と比較して、センサー系ドメイン２０（フロントカメラＥＣＵ２０１及びレーダーＥＣＵ２０２）に代えて、フロントカメラモジュール２１０及びレーダーモジュール２２０を有している。
【０１３０】
フロントカメラモジュール２１０と、運転支援ＥＣＵ１０及びアドオンＥＣＵ６０のそれぞれとは、例えば、ＬＶＤＳ（Low Voltage Differential Signaling）又はＥｔｈｅｒｎｅｔ（登録商標） ＡＶＢ等の通信規格に従って接続される。レーダーモジュール２２０と、運転支援ＥＣＵ１０及びアドオンＥＣＵ６０のそれぞれとは、例えば、ＳＰＩ（Serial Peripheral Interface）等の通信規格に従って接続される。
【０１３１】
フロントカメラモジュール２１０は、フロントカメラ２１１が生成した画像データを運転支援ＥＣＵ１０及びアドオンＥＣＵ６０に送信する。レーダーモジュール２２０は、レーダー２２１が生成した計測距離データを運転支援ＥＣＵ１０及びアドオンＥＣＵ６０に送信する。すなわち、本実施の形態４では、センサーデータとして、ＲＡＷデータが運転支援ＥＣＵ１０及びアドオンＥＣＵ６０に送信される。
【０１３２】
運転支援ＥＣＵ１０及びアドオンＥＣＵ６０は、フロントカメラモジュール２１０及びレーダーモジュール２２０から送信されたＲＡＷデータに基づいて、自車の制御内容を決定する。
【０１３３】
（実施の形態４に係る運転支援ネットワークシステム１の処理）
なお、本実施の形態４に係る運転支援ネットワークシステム１の処理については、図６を参照して説明した実施の形態１に係る運転支援ネットワークシステム１の処理と同様であるため、説明を省略する。
【０１３４】
昨今、画像認識アルゴリズム及びセンサーＦｕｓｉｏｎ技術は、日進月歩の進化を遂げているため、アドオンＥＣＵ６０において、より新しい画像認識アルゴリズム及びセンサーＦｕｓｉｏｎ技術を採用することで、高度な運転支援機能を提供することができる。
【０１３５】
上述の本実施の形態４によれば、画像認識アルゴリズム及びセンサーＦｕｓｉｏｎ技術の進化に追従しやすいシステムを構築することができる。例えば、実施の形態１に係る運転支援ネットワークシステム１のように、フロントカメラＥＣＵ２０１及びレーダーＥＣＵ２０２を搭載して一次処理を施した場合、画像認識アルゴリズム及びセンサーＦｕｓｉｏｎ技術の進化に応じて、運転支援ＥＣＵ１０及びアドオンＥＣＵ６０のみならず、フロントカメラＥＣＵ２０１及びレーダーＥＣＵ２０２の一次処理も変更する必要がある。それに対して、本実施の形態４によれば、より新しい画像認識アルゴリズム及びセンサーＦｕｓｉｏｎ技術を採用したアドオンＥＣＵ６０を実装するのみで、画像認識アルゴリズム及びセンサーＦｕｓｉｏｎ技術の進化に対応することができる。
【０１３６】
（実施の形態４の変形例）
以上の説明では、フロントカメラモジュール２１０及びレーダーモジュール２２０からＲＡＷデータを運転支援ＥＣＵ１０及びアドオンＥＣＵ６０に送信する場合について説明したが、これに限られない。例えば、フロントカメラモジュール２１０及びレーダーモジュール２２０は、フロントカメラＥＣＵ２０１及びレーダーＥＣＵ２０２と同様に、画像データ及び計測距離データに対して一次処理を施し、オブジェクトデータ及び算出距離データを運転支援ＥＣＵ１０及びアドオンＥＣＵ６０に送信するようにしてもよい。
【０１３７】
また、この場合であっても、フロントカメラモジュール２１０及びレーダーモジュール２２０は、フロントカメラＥＣＵ２０１及びレーダーＥＣＵ２０２と全く同様のオブジェクトデータ及び算出距離データを生成することには限られない。フロントカメラモジュール２１０及びレーダーモジュール２２０は、オブジェクトデータ及び算出距離データとして、それよりもＲＡＷデータに近い中間的なデータを生成するようにしてもよい。例えば、画像データとオブジェクトデータの中間データとして、ステレオカメラから得られる視差データ、又はフローベクトル情報（オプティカルフロー）などを生成するようにしてもよい。
【０１３８】
＜実施の形態５＞
続いて、実施の形態５について説明する。以下、実施の形態１と同様の内容については、同一の符号を付す等して、適宜省略しながら説明する。なお、本実施の形態５は、実施の形態１に基づいて構築したものとして説明するが、それに限らず、実施の形態２〜４のいずれかに基づいて構築することも可能である。
【０１３９】
これまでの実施の形態１〜４で説明した内容は、セントラルゲートウェイ構成、かつ、「認知、判断、制御」が基本動作となっているシステムであれば、車載システム以外にも適用することが可能である。本実施の形態５では、一つ目の適用例として、上述の内容を知能型ロボット３に対して適用した場合について説明する。知能型ロボット３の基本構成は、「認知、判断、制御」の構成となり、車載向けの運転支援ネットワークシステム１の基本構成と同じである。
【０１４０】
（実施の形態５に係る知能型ロボット３の構成）
図１６を参照して、本実施の形態５に係る知能型ロボット３の構成について説明する。図１６に示すように、本実施の形態５に係る知能型ロボット３は、セントラルゲートウェイ２と、行動制御ＥＣＵ１１と、センサー部２１と、アクチュエータ制御部３１と、フィルタリングコントローラ５０と、アドオンＥＣＵ６１とを有する。
【０１４１】
行動制御ＥＣＵ１１は、実施の形態１に係る運転支援ＥＣＵ１０と比較して、センサーデータに基づいて自動車の制御データを算出するのではなく、知能型ロボット３の各アクチュエータ３２１〜３２３の制御内容を示す制御データを算出する点が異なる。行動制御ＥＣＵ１１は、生成した制御データを、セントラルゲートウェイ２（フィルタリングコントローラ５０）を介してアクチュエータ制御部３１に送信する。
【０１４２】
センサー部２１は、カメラ２３１と、マイクロフォン（以下、「マイク」とも言う）２３２と、各種センサー２３３とを有する。センサー部２１は、カメラ２３１、マイク２３２、及び各種センサー２３３から送信されたデータに一次処理を施して、セントラルゲートウェイ２（フィルタリングコントローラ５０）を介して行動制御ＥＣＵ１１及びアドオンＥＣＵ６１にセンサーデータとして送信する。
【０１４３】
カメラ２３１は、知能型ロボット３の周辺を撮像する。カメラ２３１は、知能型ロボット３の周辺を撮像することで、知能型ロボット３の周辺の画像を示す画像データを生成し、センサー部２１に送信する。
【０１４４】
マイク２３２は、知能型ロボット３の周辺の音声の入力を受ける。マイク２３２は、入力された音声を示す音声データを生成し、センサー部２１に送信する。
【０１４５】
各種センサー２３３は、その他の知能型ロボット３に対する内容を検出する。すなわち、画像及び音声以外の任意の内容を検出する少なくとも１つのセンサーを知能型ロボット３に備えるようにしてよい。例えば、各種センサー２３３として、知能型ロボット３の周辺の障害物との距離を計測するレーダーを知能型ロボット３に備えるようにしてもよく、知能型ロボット３の各アクチュエータ３２１〜３２３の回転角度を検出するロータリーエンコーダを知能型ロボット３に備えるようにしてもよい。各種センサー２３３は、検出した内容を示すデータを生成し、センサー部２１に送信する。
【０１４６】
アクチュエータ制御部３１は、頭部アクチュエータ３２１と、腕部アクチュエータ３２２と、脚部アクチュエータ３２３とを有する。アクチュエータ制御部３１は、行動制御ＥＣＵ１１及びアドオンＥＣＵ６１から送信された制御データに基づいて、各アクチュエータ３２１〜３２３を制御する。
【０１４７】
頭部アクチュエータ３２１は、知能型ロボット３の頭部に備えられたアクチュエータである。アクチュエータ制御部３１が頭部アクチュエータ３２１を駆動することで、知能型ロボット３の頭部の向きを変更する。
【０１４８】
腕部アクチュエータ３２２は、知能型ロボット３の腕部に備えられたアクチュエータである。アクチュエータ制御部３１が腕部アクチュエータ３２２を駆動することで、知能型ロボット３の腕部が動作する。これにより、例えば、知能型ロボット３が周辺の物体を把持・持ち運び可能とする。知能型ロボット３は、例えば、腕部アクチュエータ３２２を、腕部の関節毎に備える。
【０１４９】
脚部アクチュエータ３２３は、知能型ロボット３の脚部に備えられたアクチュエータである。アクチュエータ制御部３１が脚部アクチュエータ３２３を駆動することで、知能型ロボット３が歩行する。知能型ロボット３は、例えば、脚部アクチュエータ３２３を、脚部の関節毎に備える。また、脚部アクチュエータ３２３は、これに限られない。例えば、知能型ロボット３は、歩行ロボットではなく、車輪によって走行するロボットであってもよい。この場合、脚部アクチュエータ３２３は、その車輪を回転駆動するアクチュエータとなる。
【０１５０】
アドオンＥＣＵ６１は、実施の形態１に係るアドオンＥＣＵ６０と比較して、センサーデータに基づいて自動車の制御データを算出するのではなく、知能型ロボット３の各アクチュエータ３２１〜３２３の制御内容を示す制御データを算出する点が異なる。アドオンＥＣＵ６１は、生成した制御データを、セントラルゲートウェイ２（フィルタリングコントローラ５０）を介してアクチュエータ制御部３１に送信する。
【０１５１】
（実施の形態５に係る知能型ロボット３の処理）
なお、本実施の形態５に係る知能型ロボット３の処理については、図６を参照して説明した実施の形態１に係る運転支援ネットワークシステム１の処理と同様であるため、説明を省略する。すなわち、実施の形態１に係る運転支援ネットワークシステム１の処理において、運転支援ＥＣＵ１０は行動制御ＥＣＵ１１に置き換えられ、アドオンＥＣＵ６０はアドオンＥＣＵ６１に置き換えられる。
【０１５２】
行動制御ＥＣＵ１１は、人間で言うところの脳の部分に相当し、非常に高い演算性能を備えるようにしておくことで、より高度な制御を行うことが可能である。この演算性能は、半導体のプロセスの進化、周波数の高速化に比例するため、非常に進化が早い。しかしながら、センサー部２１及びアクチュエータ制御部３１は、行動制御ＥＣＵ１１と比較して、その進化スピードが遅い。このような背景から、最初に作成した知能型ロボット３に対して、より高度な動作をさせるためには、高い演算性能を有する行動制御ＥＣＵ１１が必要となる。
【０１５３】
それに対して、以上に説明した本実施の形態５によれば、アドオン型の行動制御ＥＣＵであるアドオンＥＣＵ６１として、高い演算性能を有し、新機能を搭載した行動制御ＥＣＵを追加的に搭載することで、他のブロックの制御内容を変更せずに、既存の行動制御ＥＣＵ１１に代えてアドオンＥＣＵ６１によって知能型ロボット３を制御することができる。したがって、知能型ロボット３の機能向上を実現することができる。
【０１５４】
このように、実施の形態１〜４に係るシステム１の適用対象は、自動車のみに限られず、例えば自動車、ロボット、及び倒立二輪車等のように、システム１からの制御に応じて移動する移動体に適用することができる。
【０１５５】
＜実施の形態６＞
続いて、実施の形態６について説明する。以下、実施の形態１と同様の内容については、同一の符号を付す等して、適宜省略しながら説明する。なお、本実施の形態６は、実施の形態１に基づいて構築したものとして説明するが、それに限らず、実施の形態２〜４のいずれかに基づいて構築することも可能である。
【０１５６】
本実施の形態６では、車載システム以外への二つ目の適用例として、クラウドビジネスにおける「Internet of Things」に対して適用した場合について説明する。「Internet of Things」も、「認知、判断、制御」が基本動作となっているからである。また、本実施の形態６では、「Internet of Things」の具体例として、川の増量警報システム４について説明する。
【０１５７】
ゲリラ豪雨などで山間部に大量の雨が降った場合、山間部からの雨が集まり川に流れ込み、川の水位が急激に上昇することで、川の河口付近で遊んでいる人たちに危険がおよぶことがある。増量警報システム４は、この急激な川の水位上昇及び雨量を、山間部及び川に設置されたセンサーのデータから判断して、川の水位を予測する。もし、危険な水位上昇が見込まれる場合は、河口付近に設置されている警報装置を作動させる。これにより、河口付近にいる人たちが安全に避難することができる。
【０１５８】
（実施の形態６に係る増量警報システム４の構成）
図１７を参照して、本実施の形態６に係る増量警報システム４の構成について説明する。図１７に示すように、本実施の形態６に係る増量警報システム４は、ゲートウェイ５と、既存警報予測判断装置１２と、センサー２２と、水位増量警報装置３２と、アドオン警報予測判断装置６２とを有する。
【０１５９】
ゲートウェイ５は、フィルタリングコントローラ５０を有しており、実施の形態１に係るセントラルゲートウェイ２と同様に動作する。ただし、本実施の形態６では、センサー２２及び水位増量警報装置３２が接続される第１のネットワークと、既存警報予測判断装置１２及びアドオン警報予測判断装置６２が接続される第２のネットワークとの間で送受信されるデータを中継するゲートウェイが該当する。例えば、第１のネットワークはインターネットであり、第２のネットワークはＬＡＮ（Local Area Network）である。
【０１６０】
既存警報予測判断装置１２は、実施の形態１に係る運転支援ＥＣＵ１０と比較して、センサーデータに基づいて自動車の制御データを算出するのではなく、センサー２２からのセンサーデータに基づいて水位増量警報装置３２の制御内容を示す制御データを算出する点が異なる。既存警報予測判断装置１２は、生成した制御データを、ゲートウェイ５（フィルタリングコントローラ５０）を介して水位増量警報装置３２に送信する。既存警報予測判断装置１２は、例えば、サーバ又はスーパーコンピュータである。
【０１６１】
センサー２２は、雨量を計測する雨量センサー又は川の水位を計測する水位センサーである。センサー２２は、計測した雨量を示す雨量データ又は計測した川の水位を示す水位データを生成し、センサーデータとしてゲートウェイ５（フィルタリングコントローラ５０）を介して既存警報予測判断装置１２及びアドオン警報予測判断装置６２に送信する。
【０１６２】
水位増量警報装置３２は、既存警報予測判断装置１２及びアドオン警報予測判断装置６２から送信された制御データに基づいて、河川の利用者に対して危険を通知する。水位増量警報装置３２は、例えば、サイレン、電光掲示板、及び回転灯の少なくとも１つを有し、それによって河川の利用者に対して危険を通知する。水位増量警報装置３２がサイレンを有する場合、制御データは、サイレンの鳴動作動を指示するデータとなる。水位増量警報装置３２が電光掲示板を有する場合、制御データは、電光掲示板への表示を指示するデータとなる。この場合、制御データには、電光掲示版に表示する文字のデータを含んでいてもよい。水位増量警報装置３２が回転灯を有する場合、制御データは、回転灯の作動を指示するデータとなる。
【０１６３】
アドオン警報予測判断装置６２は、実施の形態１に係るアドオンＥＣＵ６０と比較して、センサーデータに基づいて自動車の制御データを算出するのではなく、センサー２２からのセンサーデータに基づいて水位増量警報装置３２の制御内容を示す制御データを算出する点が異なる。アドオン警報予測判断装置６２は、生成した制御データを、ゲートウェイ５（フィルタリングコントローラ５０）を介して水位増量警報装置３２に送信する。アドオン警報予測判断装置６２は、例えば、サーバ又はスーパーコンピュータである。
【０１６４】
（実施の形態６に係る増量警報システム４の処理）
なお、本実施の形態６に係る増量警報システム４の処理については、図６を参照して説明した実施の形態１に係る運転支援ネットワークシステム１の処理と同様であるため、説明を省略する。すなわち、実施の形態１に係る運転支援ネットワークシステム１の処理において、運転支援ＥＣＵ１０は既存警報予測判断装置１２に置き換えられ、アドオンＥＣＵ６０は、アドオン警報予測判断装置６２に置き換えられる。
【０１６５】
増量警報システム４では、センサーデータをモデル化し、解析・学習を行いながら、次に発生する現象を予測・判断して、制御を行う形態とすることもできる。この場合、増量警報システム４において、解析、学習、予測、判断を行う部分は、重要な機能となり、非常に高度な演算能力が求められる。それに対して、本実施の形態６によれば、高度な演算性能を搭載した最新のサーバ又はスーパーコンピュータをアドオン警報予測判断装置６２として追加することで、既存部分（データ収集、命令、制御を実施する部分）の変更を伴わず、増量警報システム４の機能向上を実現することができる。
【０１６６】
例えば、既存警報予測判断装置１２のハードウェアの制限から、新たな水位予測判断アルゴリズムを考案しても、演算処理が間に合わず迅速に処理をすることができない場合であっても、既存警報予測判断装置１２よりも高い演算処理能力を有するアドオン警報予測判断装置６２を追加することにより、既存部分に影響を与えることなく、機能のアップグレードが可能となる。
【０１６７】
また、本実施の形態６では、アドオン警報予測判断装置６２が自身の故障を検出した場合、故障をフィルタリングコントローラ５０に通知するようにしてもよい。そして、フィルタリングコントローラ５０は、アドオン警報予測判断装置６２から故障が通知された場合、アドオン警報予測判断装置６２を無効化して、既存警報予測判断装置１２を有効化するようにしてもよい。このように、フィルタリングコントローラ５０がアドオン警報予測判断装置６２の故障状態をモニターするようにしてもよい。
【０１６８】
なお、上述の説明では、既存警報予測判断装置１２及びアドオン警報予測判断装置６２がＬＡＮに設置されたものとして説明したが、これに限られない。例えば、既存警報予測判断装置１２及びアドオン警報予測判断装置６２のそれぞれは、個々の筐体ではなく、ブレードサーバに組み込まれたブレード（ボード型サーバ）としてもよい。また、ゲートウェイ５と別筐体とすることにも限られず、ゲートウェイ５に組み込まれたブレード（ボード型サーバ）としてもよい。
【０１６９】
＜実施の形態７＞
続いて、実施の形態７について説明する。以下、実施の形態３と同様の内容については、同一の符号を付す等して、適宜省略しながら説明する。なお、本実施の形態７は、実施の形態３に基づいて構築したものとして説明するが、それに限らず、実施の形態４〜６のいずれかに基づいて構築することも可能である。
【０１７０】
本実施の形態７では、運転支援ＥＣＵ１０及びアドオンＥＣＵ６０にＯＢＤ（On-Board-Diagnostics）が搭載されている場合に、その機能を有効利用する形態について説明する。実施の形態３では、フィルタリングコントローラ５０が制御データを比較することで故障を検出し、それに応じた処理を実施するようにしていたが、本実施の形態６では、運転支援ＥＣＵ１０及びアドオンＥＣＵ６０からのＯＢＤの結果に応じて処理を実施する。
【０１７１】
（実施の形態７に係る運転支援ネットワークシステム１の構成）
本実施の形態７に係る運転支援ネットワークシステム１の構成は、実施の形態３に係る運転支援ネットワークシステム１の構成と同様である。しかしながら、本実施の形態７に係る運転支援ネットワークシステム１は、以下の点で、実施の形態３に係る運転支援ネットワークシステム１とその動作が異なる。
【０１７２】
運転支援ＥＣＵ１０及びアドオンＥＣＵ６０は、それぞれ、ＯＢＤ機能を有する。すなわち、運転支援ＥＣＵ１０及びアドオンＥＣＵ６０は、自己故障診断機能を有しており、自身の故障診断を行う。なお、この故障診断は、運転支援ＥＣＵ１０及びアドオンＥＣＵ６０における故障を検出することができるのであれば、どのような項目を診断するようにしてもよい。例えば、運転支援ＥＣＵ１０及びアドオンＥＣＵ６０は、電圧異常及びクロック異常などの各種異常のうち、どのような異常を検出するようにしてもよい。運転支援ＥＣＵ１０及びアドオンＥＣＵ６０は、自身の故障を検出した場合、自身の故障を通知する故障通知データをフィルタリングコントローラ５０に送信する。
【０１７３】
（実施の形態７に係るフィルタリングコントローラ５０の構成）
続いて、図１８を参照して、本実施の形態７に係るフィルタリングコントローラ５０の構成について説明する。図１８に示すように、フィルタリングコントローラ５０は、図１１を参照して説明した実施の形態３に係るフィルタリングコントローラ５０と比較して、故障診断モジュール５０６を有していない。
【０１７４】
フレームキャプチャー５０１は、運転支援ＥＣＵ１０及びアドオンＥＣＵ６０から送信された故障通知データを取得する。フレームルーティング部５０５は、フレームキャプチャー５０１によって故障通知データが取得された場合、その故障通知データを送信した運転支援ＥＣＵ１０又はアドオンＥＣＵ６０からの制御データの伝送を抑止するとともに、運転者にエラーを通知する。エラーの通知方法については、実施の形態３と同様であるため、説明を省略する。
【０１７５】
（実施の形態７に係る運転支援ネットワークシステム１の処理）
続いて、図１９を参照して、実施の形態７に係る運転支援ネットワークシステム１の処理について説明する。
【０１７６】
図１９に示す処理は、図１３および図１４を参照して説明した実施の形態３における処理と比較して、ステップＳ１５の後に、ステップＳ３１〜３４に代えてステップＳ１６を有する点、ステップＳ１８の後に、さらに、ステップＳ３５、３６に代えてステップＳ４１〜Ｓ４３を有する点が異なる。
【０１７７】
ステップＳ１８の後、フィルタリングコントローラ５０は、アドオンＥＣＵ６０から故障通知データを受信しているか否かを判断する（Ｓ４１）。アドオンＥＣＵ６０から故障通知データを受信していない場合（Ｓ４１：Ｎｏ）、ステップＳ１９が実行される。一方、アドオンＥＣＵ６０から故障通知データを受信している場合（Ｓ４１：Ｙｅｓ）、フィルタリングコントローラ５０は、運転支援ＥＣＵ１０から故障通知データを受信しているか否かを判断する（Ｓ４２）。
【０１７８】
運転支援ＥＣＵ１０から故障通知データを受信していない場合（Ｓ４２：Ｎｏ）、フィルタリングコントローラ５０は、アドオンＥＣＵ６０からの制御データを破棄し、運転支援ＥＣＵ１０からの制御データを、制御系ドメイン３０、４０に送信する（Ｓ４３）。この場合、フレームＩＤ再設定部５０２によるフレームＩＤの再設定は、実施してもデータフレームのフレームＩＤは変わらないため問題ないが、好ましくは、余分な処理の実行を無くすため実施しないようにするとよい。運転支援ＥＣＵ１０から故障通知データを受信している場合（Ｓ４２：Ｙｅｓ）、ステップＳ３７が実行される。なお、ステップＳ４３において運転支援ＥＣＵ１０からの制御データを制御系ドメイン３０、４０に送信する場合も、運転支援ＥＣＵ１０により制御は継続可能であるが、アドオンＥＣＵ６０からは故障が通知されているため、ステップＳ３７と同様にエラーを通知するようにしてもよい。
【０１７９】
以上に説明したように、本実施の形態７では、ＯＢＤの結果に基づいて、どのＥＣＵが故障したかを特定することができるため、最低限の継続動作を実現することができる。
【０１８０】
＜実施の形態８＞
続いて、実施の形態８について説明する。以下、実施の形態３と同様の内容については、同一の符号を付す等して、適宜省略しながら説明する。なお、本実施の形態８は、実施の形態３に基づいて構築したものとして説明するが、それに限らず、実施の形態４〜６のいずれかに基づいて構築することも可能である。
【０１８１】
実施の形態３では、運転支援ネットワークシステム１がアドオンＥＣＵを１つだけ備える例について説明したが、複数のアドオンＥＣＵを有するようにしてもよい。本実施の形態８では、複数のアドオンＥＣＵを有する例について説明する。
【０１８２】
（実施の形態８に係る運転支援ネットワークシステム１の構成）
図２０を参照して、本実施の形態８に係る運転支援ネットワークシステム１の構成について説明する。図２０に示すように、本実施の形態３に係る運転支援ネットワークシステム１は、実施の形態３に係る運転支援ネットワークシステム１と比較して、さらに、アドオンＥＣＵ７０を有している。アドオンＥＣＵ７０は、その構成及び動作がアドオンＥＣＵ６０と全く同一の運転支援ＥＣＵである。
【０１８３】
よって、本実施の形態８では、センサー系ドメイン２０からのセンサーデータは、運転支援ＥＣＵ１０とアドオンＥＣＵ６０に加えて、アドオンＥＣＵ７０にも送信される。アドオンＥＣＵ７０は、センサーデータに基づいて生成した制御データを、フィルタリングコントローラ５０を介してパワートレイン系ドメイン３０及びシャーシ系ドメイン４０に送信する。
【０１８４】
（実施の形態８に係るフィルタリングコントローラ５０の構成）
本実施の形態８に係るフィルタリングコントローラ５０の構成は、実施の形態３に係るフィルタリングコントローラ５０の構成と同様である。しかしながら、実施の形態８に係るフィルタリングコントローラ５０は、以下の点で、実施の形態３に係るフィルタリングコントローラ５０とその動作が異なる。
【０１８５】
フレームキャプチャー５０１は、実施の形態３に係るフレームキャプチャー５０１と比較して、運転支援ＥＣＵ１０からの制御データを含むデータフレームと、アドオンＥＣＵ６０からの制御データを含むデータフレームとに加えて、さらに、アドオンＥＣＵ７０からの制御データを含むデータフレームも取得し、フレームルーティング部５０５に送信する。
【０１８６】
よって、ＣＰＵ５０４は、故障診断におけるデータ比較に利用するために取得するデータフレームのフレームＩＤとして、アドオンＥＣＵ７０からの制御データのフレームＩＤも、フレームキャプチャー５０１に通知する。すなわち、フィルタリングコントローラ５０が有するＲＯＭ５１０には、アドオンＥＣＵ７０からの制御データであることを示すフレームＩＤデータも、比較に利用するデータフレームのフレームＩＤとして、予め格納される。これにより、フレームキャプチャー５０１は、ＣＰＵ５０４によってＲＯＭ５１０から取得されて送信されたフレームＩＤデータに基づいて、アドオンＥＣＵ７０からのデータフレームも取得して、フレームルーティング部５０５に送信する。
【０１８７】
フレームルーティング部５０５は、アドオンＥＣＵ６０、７０からのデータフレームに含まれる判断結果データによって、追加機能で対応すると判断した場合、アドオンＥＣＵ６０からのデータフレームと、アドオンＥＣＵ７０からのデータフレームを故障診断モジュール５０６に送信する。一方、アドオンＥＣＵ６０、７０からのデータフレームに含まれる判断結果データによって、既存機能で対応すると判断した場合、フレームルーティング部５０５は、運転支援ＥＣＵ１０からのデータフレームと、アドオンＥＣＵ６０からのデータフレームと、アドオンＥＣＵ７０からのデータフレームの全てを故障診断モジュール５０６に送信する。なお、フレームルーティング部５０５は、アドオンＥＣＵ６０、７０からのデータフレームのうち、いずれか一方に含まれる判断結果データのみを参照して、追加機能で対応するか、既存機能で対応するかを判断するようにしてもよい。
【０１８８】
故障診断モジュール５０６は、フレームルーティング部５０５から送信されたデータフレームに含まれる制御データを比較する。よって、アドオンＥＣＵ６０、７０からの制御データが、追加機能で算出された制御データである場合、故障診断モジュール５０６は、アドオンＥＣＵ６０からの制御データと、アドオンＥＣＵ７０からの制御データの比較を実施する。制御データが一致する場合、故障診断モジュール５０６は、アドオンＥＣＵ６０からのデータフレームと、アドオンＥＣＵ７０からのデータフレームのうち、いずれか一方をフレームＩＤ再設定部５０２に送信する。制御データが一致しない場合、運転者にエラーを通知する。エラーの通知方法については、実施の形態３と同様であるため、説明を省略する。
【０１８９】
一方、アドオンＥＣＵ６０、７０からの制御データが、既存機能で決定された制御データである場合、故障診断モジュール５０６は、運転支援ＥＣＵ１０からの制御データと、アドオンＥＣＵ６０からの制御データと、アドオンＥＣＵ７０からの制御データの三者比較を実施する。制御データが一致する場合、故障診断モジュール５０６は、アドオンＥＣＵ６０からのデータフレームと、アドオンＥＣＵ７０からのデータフレームのうち、いずれかをフレームＩＤ再設定部５０２に送信する。制御データのいずれか二者に不一致がある場合、故障診断モジュール５０６は、三者比較によって故障していないと特定した二者のデータフレームのうち、いずれか一方をフレームＩＤ再設定部５０２に送信する。すなわち、これにより、多数決によって正常であると判断された制御データが送信先に送信されることになる。
【０１９０】
（実施の形態８に係る運転支援ネットワークシステム１の処理）
続いて、図２１及び図２２を参照して、実施の形態８に係る運転支援ネットワークシステム１の処理について説明する。
【０１９１】
図２１及び図２２に示す処理は、図１３及び図１４を参照して説明した実施の形態３における処理と比較して、ステップＳ３５の後に、ステップＳ１９、Ｓ３６〜Ｓ３７に代えてステップＳ１９、Ｓ３７、Ｓ５１〜Ｓ５３を有する点が異なる。
【０１９２】
追加機能で対応すると判断した場合（Ｓ３５：Ｙｅｓ）、フィルタリングコントローラ５０は、アドオンＥＣＵ６０及びアドオンＥＣＵ７０のいずれかの故障が発生しているか否かを判断する（Ｓ５１）。すなわち、フィルタリングコントローラ５０は、アドオンＥＣＵ６０からの制御データと、アドオンＥＣＵ７０からの制御データを比較し、それらの制御データが一致しない場合には、アドオンＥＣＵ６０及びアドオンＥＣＵ７０のいずれかの故障が発生していると判断する。アドオンＥＣＵ６０及びアドオンＥＣＵ７０のいずれかの故障が発生していると判断した場合（Ｓ５１：Ｙｅｓ）、フィルタリングコントローラ５０は、運転者に対してエラーを通知する（Ｓ３７）。
【０１９３】
既存機能で対応すると判断した場合（Ｓ３５：Ｎｏ）、フィルタリングコントローラ５０は、運転支援ＥＣＵ１０、アドオンＥＣＵ６０、及びアドオンＥＣＵ７０のいずれかが故障しているか否かを判断する（Ｓ５２）。すなわち、フィルタリングコントローラ５０は、アドオンＥＣＵ６０からの制御データと、アドオンＥＣＵ７０からの制御データと、運転支援ＥＣＵ１０からの制御データを比較し、いずれか２つの制御データが一致しない場合には、故障が発生していると判断する。故障が発生していると判断した場合（Ｓ５２：Ｙｅｓ）、三者比較によって故障していないと特定した二つの制御データのうち、いずれか一方を制御系ドメイン３０、４０に送信する。
【０１９４】
一方、故障が発生していないと判断した場合（Ｓ５１：Ｎｏ、Ｓ５２：Ｎｏ）、フィルタリングコントローラ５０は、アドオンＥＣＵ６０、７０のいずれか一方からの制御データを運転支援ＥＣＵ１０からの制御データとして、制御系ドメイン３０、４０に送信する（Ｓ１９）。
【０１９５】
以上に説明したように、本実施の形態８によれば、運転支援ＥＣＵ１０とアドオンＥＣＵ６０、７０全てに実装された既存機能だけでなく、アドオンＥＣＵ６０、７０だけに実装された追加機能に関しても、運転支援機能の冗長化を実現することで、それらの出力比較による故障診断を実現している。これによれば、システムレベルでの機能安全性を、より向上させることができる。
【０１９６】
＜実施の形態９＞
続いて、実施の形態９について説明する。以下、実施の形態３と同様の内容については、同一の符号を付す等して、適宜省略しながら説明する。なお、本実施の形態９は、実施の形態３に基づいて構築したものとして説明するが、それに限らず、実施の形態４〜８のいずれかに基づいて構築することも可能である。
【０１９７】
これまでに説明した実施の形態では、セントラルゲートウェイ２がフィルタリングコントローラ５０の機能を全て有する例について説明したが、その一部をアドオンＥＣＵ６０が有するようにしてもよい。本実施の形態９では、その形態について説明する。
【０１９８】
（実施の形態９に係る運転支援ネットワークシステム１の構成）
図２３を参照して、本実施の形態９に係る運転支援ネットワークシステム１の構成について説明する。図２３に示すように、本実施の形態９に係る運転支援ネットワークシステム１は、図１と同様の実施の形態３に係る運転支援ネットワークシステム１と比較して、セントラルゲートウェイ２が、フィルタリングコントローラ５０全体は有しておらず、そのうちのフレームキャプチャー５０１を有している点が異なる。また、アドオンＥＣＵ６０が、フレームＩＤ再設定部５０２、ＣＲＣエンコーダ５０３、ＣＰＵ５０４、フレームルーティング部５０５、故障診断モジュール５０６、ＲＯＭ５１０、及びアドオン機能部６０１を有している点が異なる。
【０１９９】
フレームキャプチャー５０１は、実施の形態３に係るフレームキャプチャー５０１と比較して、アドオンＥＣＵ６０から送信された制御データを含むデータフレームは取得せず、運転支援ＥＣＵ１０から送信された制御データを含むデータフレームを取得し、フレームルーティング部５０５に送信する。これは、例えば、実施の形態３と同様に、セントラルゲートウェイ２が、運転支援ＥＣＵ１０のフレームＩＤを示すフレームＩＤデータが格納されたＲＯＭ（図示せず）と、ＣＰＵ（図示せず）とを有するようにし、ＣＰＵが運転支援ＥＣＵ１０のフレームＩＤをフレームキャプチャー５０１に通知して、フレームキャプチャー５０１が運転支援ＥＣＵ１０からの制御データを取得可能とすればよい。なお、フレームキャプチャー５０１は、アドオンＥＣＵ６０がセントラルゲートウェイ２（フレームキャプチャー５０１）に接続されていない場合は、運転支援ＥＣＵ１０からのデータフレームは取得せず、そのまま送信先に伝送する。
【０２００】
また、図２３では、アドオンＥＣＵ６０がセンサーデータに基づいて制御データを生成する部分として、アドオン機能部６０１を明示している。アドオン機能部６０１は、生成した制御データを含むデータフレームをフレームルーティング部５０５に送信する。フレームルーティング部５０５以降の処理については、実施の形態３と同様となる。よって、本実施の形態９では、アドオンＥＣＵ６０から送信されたデータフレームは、フレームキャプチャー５０１を経由しないため、フレームキャプチャー５０１は、アドオンＥＣＵ６０からのデータフレームを取得する必要がない。また、ＲＯＭ５１０には、フレームＩＤデータ５１１〜５１２のうち、データフレームに新たに設定するフレームＩＤを示すフレームＩＤデータ５１３のみが格納されるようにしてもよい。
【０２０１】
（実施の形態９に係る運転支援ネットワークシステム１の処理）
なお、本実施の形態９に係る運転支援ネットワークシステム１の処理については、図１３及び図１４を参照して説明した実施の形態３に係る運転支援ネットワークシステム１の処理と同様であるため、説明を省略する。ただし、ステップＳ１８において、運転支援ＥＣＵ１０とアドオンＥＣＵ６０（アドオン機能部６０１）からの制御データが、フィルタリングコントローラ５０ではなく、フレームルーティング部５０５に送信される点が異なる。
【０２０２】
以上に説明したように、本実施の形態９によれば、フィルタリングコントローラ５０に必要な構成要素の多くをアドオンＥＣＵ６０で実現している。これによれば、既存のセントラルゲートウェイの変更量を抑えることができる。
【０２０３】
＜実施の形態１０＞
ここで、図２４を参照して、上述の実施の形態１〜９から抽出される一実施の形態について実施の形態１０として説明する。図２４に示すように、実施の形態１０に係る制御システム９は、第１の制御指示装置９１と、観測装置９２と、移動制御装置９３と、第２の制御指示装置９４と、中継装置９５とを有する。制御システム９は、移動体に搭載されたシステムである。
【０２０４】
第１の制御指示装置９１は、観測装置から送信された観測結果データに基づいて制御内容を決定し、決定した制御内容を示す第１の制御データを送信する。第１の制御指示装置９１は、運転支援ＥＣＵ１０、行動制御ＥＣＵ１１、及び既存警報予測判断装置１２に対応する。
【０２０５】
観測装置９２は、移動体の周辺を観測し、観測結果を示す観測結果データを送信する。観測装置９２は、センサー系ドメイン２０（フロントカメラＥＣＵ２０１及びレーダーＥＣＵ２０２）、フロントカメラモジュール２１０、レーダーモジュール２２０、センサー部２１（カメラ２３１、マイク２３２、各種センサー２３３）、及びセンサー２２に対応する。
【０２０６】
移動制御装置９３は、移動体の移動を制御する。移動制御装置９３は、パワートレイン系ドメイン３０（エンジン系制御ＥＣＵ３０１）、シャーシ系ドメイン４０（ステアリング系制御ＥＣＵ４０１及びアクセル系制御ＥＣＵ４０２）、アクチュエータ制御部３１（頭部アクチュエータ３２１、腕部アクチュエータ３２２、脚部アクチュエータ３２３）、及び水位増量警報装置３２に対応する。
【０２０７】
第２の制御指示装置９４は、観測結果データに基づいて制御内容を決定し、決定した制御内容を示す第２の制御データを送信する。第２の制御指示装置９４は、アドオンＥＣＵ６０、アドオンＥＣＵ６１、アドオン警報予測判断装置６２、及びアドオンＥＣＵ７０に対応する。
【０２０８】
第１の態様として、中継装置９５は、第１の制御指示装置９１から送信された第１の制御データを移動制御装置９３に中継する。そして、中継装置９５は、第２の制御指示装置９４が制御システム９に備えられた場合、第１の制御データに代えて第２の制御データを移動制御装置９３に送信する。中継装置９５は、フィルタリングコントローラ５０に対応する。
【０２０９】
第２の態様として、中継装置９５は、観測装置９２から送信された観測結果データを第１の制御指示装置９１に中継する。そして、中継装置９５は、第２の制御指示装置９４が制御システム９に備えられた場合、第１の制御指示装置９１に代えて第２の制御指示装置９４に前記観測結果データを送信する。中継装置９５は、フィルタリングコントローラ５０に対応する。
【０２１０】
以上に説明した実施の形態によれば、観測装置９２及び移動制御装置９３に第２の制御指示装置９４の追加を想定した仕組みを事前に作りこむ必要なく、制御システム９に第２の制御指示装置９４を追加するのみで、第１の制御指示装置９１に代えて第２の制御指示装置９４による制御を実施することができる。よって、事前に各周辺装置９２、９３を変更することなく、第１の制御指示装置９１に機能追加された第２の制御指示装置９４を制御システム９に実装することができるため、簡易に機能をアップデートすることができる。
【０２１１】
以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は既に述べた実施の形態に限定されるものではなく、その要旨を逸脱しない範囲において種々の変更が可能であることはいうまでもない。
【０２１２】
フィルタリングコントローラ５０において、フレームＩＤデータ又はアドレスデータが格納される記憶部は、上述したＲＯＭ５１０に限られない。例えば、記憶部は、上述のＲＯＭ５１０（例えばフラッシュＲＯＭ）、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）、及びハードディスク等の不揮発性記憶装置のうち、任意のものを含んで構成されるようにしてもよい。
【０２１３】
また、実施の形態３では、ステップＳ３６において、運転支援ＥＣＵ１０からの制御データと、アドオンＥＣＵ６０からの制御データが一致した場合、アドオンＥＣＵ６０からの制御データを送信先に送信するようにしているが、これに限られない。例えば、運転支援ＥＣＵ１０からの制御データを送信先に送信するようにしてよい。これは、実施の形態８のステップＳ５２において、全ての制御データが一致する場合も同様である。
【０２１４】
また、実施の形態１〜９では、フロントカメラ２１１及びレーダー２２１が前方に向けて１つだけ設置される場合について説明したが、これに限られない。さらに、フロントカメラ２１１及びレーダー２２１を、自動車又はロボット３の側方及び後方に向けて設置するようにしてもよい。
【０２１５】
上記実施の形態１〜９の一部又は全部は、以下の付記のようにも記載され得る。
【０２１６】
（付記１）
移動体に搭載された制御システムであって、
前記移動体の周辺を観測し、観測結果を示す観測結果データを送信する観測装置と、
前記観測装置から送信された観測結果データに基づいて制御内容を決定し、決定した制御内容を示す第１の制御データを送信する第１の制御指示装置と、
前記移動体の移動を制御する移動制御装置と、
前記観測装置から送信された観測結果データを前記第１の制御指示装置に中継する中継装置と、を備え、
前記観測結果データに基づいて制御内容を決定し、決定した制御内容を示す第２の制御データを送信する第２の制御指示装置が前記制御システムに備えられた場合、前記中継装置は、前記第１の制御指示装置に代えて前記第２の制御指示装置に前記観測結果データを送信する、
制御システム。
【０２１７】
（付記２）
前記第１の制御データ及び前記第２の制御データは、ＣＡＮプロトコルに従ったデータフレームであり、
前記中継装置は、さらに、前記第２の制御指示装置から送信された第２の制御データを前記移動制御装置に中継するとともに、前記第２の制御データのデータフレームのフレームＩＤを、前記第２の制御データのフレームＩＤから、前記第１の制御データのフレームＩＤに変更する、
付記１に記載の制御システム。
【０２１８】
（付記３）
前記中継装置は、前記フレームＩＤの変更後のデータフレームに基づいてＣＲＣ値を算出し、算出したＣＲＣ値を前記フレームＩＤの変更後のデータフレームに設定する、
付記２に記載の制御システム。
【０２１９】
（付記４）
前記移動体は、自動車であり、
前記第１の制御指示装置及び前記第２の制御指示装置は、前記自動車の周辺に存在する障害部を回避するように、前記制御内容を決定する、
付記３に記載の制御システム。
【０２２０】
（付記５）
移動体内で送受信されるデータを中継する中継装置であって、
前記移動体の周辺の観測結果を示す観測結果データを観測装置から受信し、前記観測結果データに基づいて前記移動体の制御内容を決定する第１の制御指示装置に中継する第１の中継部と、
前記移動体の制御内容を示す第１の制御データを前記第１の制御指示装置から受信し、前記移動体の移動を制御する移動制御装置に中継する第２の中継部と、を備え、
前記中継された観測結果データに基づいて制御内容を決定し、決定した制御内容を示す第２の制御データを送信する第２の制御指示装置が前記移動体に備えられた場合、前記第１の中継部は、前記第１の制御指示装置に代えて前記第２の制御指示装置に前記観測結果データを送信する、
中継装置。
【０２２１】
（付記６）
移動体内で実施される制御方法であって、
観測装置が、前記移動体の周辺を観測し、観測結果を示す観測結果データを送信する第１の送信ステップと、
前記観測装置から送信された観測結果データを第１の制御指示装置に中継する中継ステップと、
前記第１の制御指示装置が、前記送信された観測結果データに基づいて前記移動体の制御内容を決定し、決定した制御内容を示す第１の制御データを送信する第２の送信ステップと、
移動制御装置が、前記送信された制御データに基づいて、前記移動体の移動を制御する制御ステップと、を備え、
前記中継ステップでは、前記観測結果データに基づいて制御内容を決定し、決定した制御内容を示す第２の制御データを送信する第２の制御指示装置が前記移動体に備えられた場合、前記第１の制御指示装置に代えて前記第２の制御指示装置に前記観測結果データを送信する、
制御方法。
【符号の説明】
【０２２２】
１  運転支援ネットワークシステム
２  セントラルゲートウェイ
３  知能型ロボット
４  増量警報システム
５  ゲートウェイ
９  制御システム
１０  運転支援ＥＣＵ
１１  行動制御ＥＣＵ
１２  既存警報予測判断装置
２０  センサー系ドメイン
２１  センサー部
２２  センサー
３０  パワートレイン系ドメイン
３１  アクチュエータ制御部
３２  水位増量警報装置
４０  シャーシ系ドメイン
５０  フィルタリングコントローラ
６０、６１、７０  アドオンＥＣＵ
６２  アドオン警報予測判断装置
９１  第１の制御指示装置
９２  観測装置
９３  移動制御装置
９４  第２の制御指示装置
９５  中継装置
２０１  フロントカメラＥＣＵ
２０２  レーダーＥＣＵ
２１０  フロントカメラモジュール
２１１  フロントカメラ
２２０  レーダーモジュール
２２１  レーダー
２３１  カメラ
２３２  マイク
２３３  各種センサー
３０１  エンジン系制御ＥＣＵ
３１１  エンジン
３２１  頭部アクチュエータ
３２２  腕部アクチュエータ
３２３  脚部アクチュエータ
４０１  ステアリング系制御ＥＣＵ
４０２  アクセル系制御ＥＣＵ
４１１  ステアリング
４２１  アクセル
４２２  ブレーキ
５０１  フレームキャプチャー
５０２  フレームＩＤ再設定部
５０３  ＣＲＣエンコーダ
５０４  ＣＰＵ
５０５  フレームルーティング部
５０６  故障診断モジュール
５１０  ＲＯＭ
５１１、５１２、５１３  フレームＩＤデータ
６０１  アドオン機能部
【図１】
0006408832.tif 000002
【図２】
0006408832.tif 000003
【図３】
0006408832.tif 000004
【図４】
0006408832.tif 000005
【図５】
0006408832.tif 000006
【図６】
0006408832.tif 000007
【図７】
0006408832.tif 000008
【図８】
0006408832.tif 000009
【図９】
0006408832.tif 000010
【図１０】
0006408832.tif 000011
【図１１】
0006408832.tif 000012
【図１２】
0006408832.tif 000013
【図１３】
0006408832.tif 000014
【図１４】
0006408832.tif 000015
【図１５】
0006408832.tif 000016
【図１６】
0006408832.tif 000017
【図１７】
0006408832.tif 000018
【図１８】
0006408832.tif 000019
【図１９】
0006408832.tif 000020
【図２０】
0006408832.tif 000021
【図２１】
0006408832.tif 000022
【図２２】
0006408832.tif 000023
【図２３】
0006408832.tif 000024
【図２４】
0006408832.tif 000025