(57)【要約】【課題】フェイルセーフ制御装置に関し、通信停止状態に陥る前にフェイルセーフ制御を実施できるようにする。【解決手段】ＣＡＮ＿Ｌ、ＣＡＮ＿Ｈおよび複数の車載機器３１〜３５により構成される通信システムが、通信停止状態になっていることを検知する停止検知手段Ｓ１０と、ＣＡＮ＿ＬおよびＣＡＮ＿Ｈの一方が損傷している場合に、他方を用いて通信を実施する縮退状態になっていることを検知する縮退検知手段Ｓ２０と、通信停止状態が検知されている場合に、車両の機能に制限をかける第２段階フェイルセーフ手段Ｓ１１と、縮退状態が検知されている場合に、第２段階フェイルセーフ手段とは別レベルの内容で車両の機能に制限をかける第１段階フェイルセーフ手段Ｓ２２と、を備える。【選択図】図４
2013258689.tif 000002
【特許請求の範囲】
【請求項１】
２線式差動電圧方式の信号を伝送する２本の信号線（１０、２０）と、前記２本の信号線に接続される複数の車載機器（３１、３２、３３、３４、３５）と、により構成される通信システムに適用され、
前記通信システムが通信停止状態になっていることを検知する停止検知手段（Ｓ１０、Ｓ３０）と、
前記２本の信号線のうち一方の信号線が損傷している場合に、他方の信号線を用いて通信を実施する縮退状態になっていることを検知する縮退検知手段（Ｓ２０、Ｓ４０）と、
前記停止検知手段により前記通信停止状態が検知されている場合に、車両の機能に制限をかける第２段階フェイルセーフ手段（Ｓ１１、Ｓ３１）と、
前記縮退検知手段により前記縮退状態が検知されている場合に、前記第２段階フェイルセーフ手段とは別レベルの内容で車両の機能に制限をかける、或いは前記縮退状態である旨を車両乗員に報知する第１段階フェイルセーフ手段（Ｓ２２、Ｓ２６、Ｓ４１、Ｓ４２）と、
を備えることを特徴とするフェイルセーフ制御装置。
【請求項２】
前記縮退検知手段は、前記２本の信号線の電位レベルに基づき前記縮退状態を検知することを特徴とする請求項１に記載のフェイルセーフ制御装置。
【請求項３】
前記縮退検知手段は、前記通信システムで生じた通信エラーのカウント数に基づき前記縮退状態を検知することを特徴とする請求項１または２に記載のフェイルセーフ制御装置。
【請求項４】
前記第２段階フェイルセーフ手段による制限の内容は、車両の走行を禁止、或いは加速走行を禁止するものであり、
前記第１段階フェイルセーフ手段による制限の内容は、車両走行用駆動源の要求値または出力を所定のガード値にて制限しつつ、車両の走行を許可するものであることを特徴とする請求項１〜３のいずれか１つに記載のフェイルセーフ制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システムの信号線が損傷した場合における、車両のフェイルセーフ制御装置に関する。
【背景技術】
【０００２】
特許文献１には、２線式差動電圧方式の信号を伝送する２本の信号線と、前記２本の信号線に接続される複数の車載機器と、により構成される通信システムが開示されている。この種の通信システムに用いられるプロトコルの具体例としては、ＣＡＮ（Controller Area Network：ＣＡＮは登録商標）が挙げられる。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００３−３０４２６５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ここで、車両に搭載されている上記信号線は、車両の振動等が原因で損傷し、断線や短絡を招くことがある。上述したＣＡＮの場合、１本の信号線が損傷しただけであれば、残りの１本の信号線を用いて通信することが可能であり、２本とも損傷すると完全に通信不可となる。そして、上記特許文献１に記載の通信システムでは、完全に通信不可となった場合に、予備の終端抵抗を用いることで、損傷していない部分の信号線を利用可能に復旧させている。
【０００５】
しかしながら、このように復旧させても、損傷した箇所によっては車両の走行ができなくなる場合があり、この場合には車両を修理場へ自走搬入できなくなる。そのため、通信不可になってから復旧させるのではなく、損傷の兆候を初期段階で検知して、通信不可となる前にフェイルセーフ制御を実施することが望ましい。
【０００６】
本発明は、上記問題を鑑みてなされたもので、その目的は、通信停止状態に陥る兆候を初期段階で検知してフェイルセーフ制御を実施できるようにした、フェイルセーフ制御装置を提供することにある。
【課題を解決するための手段】
【０００７】
上記目的を達成する発明は以下の点を特徴とする。すなわち、２線式差動電圧方式の信号を伝送する２本の信号線と、前記２本の信号線に接続される複数の車載機器と、により構成される通信システムに適用され、前記通信システムが通信停止状態になっていることを検知する停止検知手段と、前記２本の信号線のうち一方の信号線が損傷している場合に、他方の信号線を用いて通信を実施する縮退状態になっていることを検知する縮退検知手段と、前記停止検知手段により前記通信停止状態が検知されている場合に、車両の機能に制限をかける第２段階フェイルセーフ手段と、前記縮退検知手段により前記縮退状態が検知されている場合に、前記第２段階フェイルセーフ手段とは別レベルの内容で車両の機能に制限をかける、或いは前記縮退状態である旨を車両乗員に報知する第１段階フェイルセーフ手段と、を備えることを特徴とする。
【０００８】
ここで、２線式差動電圧方式の通信システムの場合、１本の信号線が損傷しただけであれば、残りの１本の信号線を用いて通信することが可能な場合がある。但し、このような縮退状態のままでは、いずれ残りの１本も損傷して通信不可の状態に陥る蓋然性が高い。このことは、縮退状態は通信不可状態の予兆であることを意味する。
【０００９】
この点に着目し、上記発明では、縮退状態になっていることを検知する縮退検知手段を備え、縮退状態を検知すると、第２段階フェイルセーフ手段による通信停止時のフェイルセーフとは別レベルの内容で、第１段階フェイルセーフ手段により車両の機能に制限をかける、或いは縮退状態である旨を車両乗員に報知する。そのため、通信停止状態に陥る前に、第１段階フェイルセーフ手段によるフェイルセーフ制御が実施されるので、車両を修理場へ自走搬入させることが促されるようになる。
【図面の簡単な説明】
【００１０】
【図１】本発明のフェイルセーフ制御装置が適用された、通信システムを示す図。
【図２】本発明にかかる縮退検知手段において、通信エラーカウント数に基づく検知の例を説明する図。
【図３】本発明にかかる縮退検知手段において、電位レベルに基づく検知の例を説明する図。
【図４】本発明にかかるフェイルセーフ制御の一例を示すフローチャート。
【図５】本発明にかかるフェイルセーフ制御の一例を示すフローチャート。
【図６】本発明の一実施形態において、フェイルセーフ制御装置の各機能を示すブロック図。
【発明を実施するための形態】
【００１１】
以下、本発明にかかるフェイルセーフ制御装置の一実施形態について、図面を参照しつつ説明する。
【００１２】
図１に示す通信システムは車両に搭載されたものであり、低電位側の信号線１０（以下、ＣＡＮ＿Ｌと記載）と、高電位側の信号線２０（ＣＡＮ＿Ｈと記載）と、図示しない終端抵抗と、各種の車載機器３１、３２、３３、３４、３５と、を備えて構成されている。
【００１３】
車載機器の具体例を以下に列挙する。車載機器３１は、車両に搭載された内燃機関の作動を制御するエンジンＥＣＵ（Electronic Control Unit）である。車載機器３２は、エンジン出力の回転速度を変速する変速機の作動を制御するトランスミッションＥＣＵである。車載機器３３は、前方を走行する車両と自車両との車間距離を感知して、ブレーキ作動やエンジン出力を自動制御する車間感知ＥＣＵである。車載機器３４は、車速等の車両運転状態を表示するメータの作動を制御するメータＥＣＵである。車載機器３５は、車輪ロックを回避させるべくブレーキ作動を制御するＡＢＳＥＣＵ（Antilock Brake System：ＡＢＳは登録商標）である。
【００１４】
ＣＡＮ＿Ｌ１０およびＣＡＮ＿Ｈ２０は、共通する被覆材およびシールド材（図示せず）の内部に収容されて１本のバスケーブルを構成している。そして、図３（ｂ）に示すように、ＣＡＮ＿Ｌ１０は１．６Ｖ〜２．５Ｖの信号（Ｌ信号）を伝送する信号線であり、ＣＡＮ＿Ｈ２０は２．５Ｖ〜３．４Ｖの信号（Ｈ信号）を伝送する信号線である。
【００１５】
各々の車載機器３１〜３５は、以下に説明する２線式差動電圧方式のプロトコル（例えばＣＡＮ）に従って通信を行う。すなわち、Ｌ信号とＨ信号の電位差（差動電圧値）が所定の閾値未満であればＬｏｗレベル「０」、閾値以上であればＨｉｇｈレベル「１」と判別して、ＣＡＮ通信を行う。したがって、差動電圧値が０ＶであればＬｏｗレベルのリセッシブ信号、１．８ＶであればＨｉｇｈレベルのドミナント信号と判別される。
【００１６】
図２に示すように、エンジンＥＣＵ３１は、通信エラーが生じる毎にエラーカウンター値をカウントアップし、正常に通信が為される毎にエラーカウンター値をカウントダウンする。通信エラーの具体例としては、周知のＣＲＣチェックエラー、フォームチェックエラー、ＡＣＫエラー、ビットエラー、スタッフエラー等が挙げられる。
【００１７】
これらの通信エラーが生じる原因としては、先述したバスケーブルの損傷が挙げられる。例えば、バスケーブルに外部部材が接触し、車両の振動で外部部材がバスケーブルの被覆材を損傷させ、その後、ＣＡＮ＿Ｌ１０およびＣＡＮ＿Ｈ２０の一方を損傷させ、その後さらに、ＣＡＮ＿Ｌ１０およびＣＡＮ＿Ｈ２０の他方を損傷させることが想定される。つまり、ＣＡＮ＿Ｌ１０およびＣＡＮ＿Ｈ２０の両方が同時に通信不可になるケースは少なく、バスケーブルの損傷が進行するにつれ、先ずは一方が正常に信号を伝送できなくなり、その後に他方が正常に信号を伝送できなくなるケースが多い。
【００１８】
また、上述の如く損傷する具体例としては、以下に説明するＧＮＤショート、＋Ｂショート、オープンの状態に陥ることが挙げられる。すなわち、「ＧＮＤショート」では、ＣＡＮ＿Ｌ１０またはＣＡＮ＿Ｈ２０がグランドと同電位の外部部材と接触して、Ｌ信号またはＨ信号がグランド電位０Ｖで固定される。「＋Ｂショート」では、ＣＡＮ＿Ｌ１０またはＣＡＮ＿Ｈ２０が電源と同電位の外部部材と接触して、Ｌ信号またはＨ信号が電源５Ｖで固定される。「オープン」では、ＣＡＮ＿Ｌ１０またはＣＡＮ＿Ｈ２０が断線して、Ｌ信号またはＨ信号が不定値で変動する。
【００１９】
図３（ａ）は、ＣＡＮ＿Ｌ１０およびＣＡＮ＿Ｈ２０の一方が、上述したＧＮＤショート、＋Ｂショート、オープンのいずれかの状態になった場合の組み合わせを示す表であり、その組み合わせによっては、バスケーブルによる車載機器３１〜３５間の通信が可能である。
【００２０】
具体的には、図３（ａ）中の（４）に示すようにＣＡＮ＿Ｌ１０がＧＮＤショートになった場合には、図３（ｃ）の如くＬ信号が０Ｖで固定されるものの、正常なＨ信号に応じて差動電圧値は２．５Ｖと３．４Ｖに変化する。よって、Ｌｏｗレベル「０」とＨｉｇｈレベル「１」との判別か可能になり、ひいては通信が可能となる。
【００２１】
また、図３（ａ）中の（５）に示すようにＣＡＮ＿Ｈ２０が＋Ｂショートになった場合には、図３（ｄ）の如くＨ信号が５Ｖで固定されるものの、正常なＬ信号に応じて差動電圧値は２．５Ｖと３．４Ｖに変化する。よって、Ｌｏｗレベル「０」とＨｉｇｈレベル「１」との判別が可能になり、ひいては通信が可能となる。
【００２２】
ちなみに、図３（ａ）中の（３）に示すようにＣＡＮ＿Ｈ２０がＧＮＤショートになった場合には、図３（ｅ）の如くＨ信号が０Ｖで固定されるので、正常なＬ信号に応じて差動電圧値は−２．５Ｖと−１．６Ｖに変化する。すると、差動電圧値が正常範囲を超えた値となり、Ｌｏｗレベル「０」とＨｉｇｈレベル「１」との判別かできなくなるので、通信不可となる。
【００２３】
以下、上述の如く損傷してＬ信号およびＨ信号の一方が異常値になっているものの、他方の信号を用いて通信している（４）（５）の状態を「縮退状態」と記載する。また、Ｌ信号およびＨ信号の少なくとも一方が異常値になっていることが原因で通信不可となっている（１）（２）（３）（６）の状態を「通信停止状態」と記載する。
【００２４】
ＣＡＮ＿Ｌ１０およびＣＡＮ＿Ｈ２０の一方が損傷して縮退状態になると、通信可能ではあるものの、このような縮退状態のままでは、いずれ残りの一方も損傷して通信不可の状態に陥る蓋然性が高い。このことは、縮退状態は通信不可状態の予兆であることを意味する。
【００２５】
この点に着目し、本実施形態では、通信不可状態に陥った場合には車両の走行を禁止する等の第２段階フェイルセーフを実施するが、その通信不可状態に陥る前に縮退状態を検知した場合には、第２段階フェイルセーフよりは緩い条件の第１段階フェイルセーフを実施する。第１段階フェイルセーフでは、例えば車両の機能に制限をかけつつ走行を許可する。或いは、縮退状態になっている旨を車両乗員に報知する。
【００２６】
例えば、図２に示すようにエラーカウンター値が第１閾値ＴＨ１以上になった場合に、縮退状態とみなしてｆａｉｌ１フラグをオンに設定し、第１段階のフェイルセーフ（第１段階フェイルセーフ）を実施する。そして、エラーカウンター値が第２閾値ＴＨ２以上になった場合に、通信不可状態とみなしてｆａｉｌ２フラグをオンに設定し、第２段階のフェイルセーフ（第２段階フェイルセーフ）を実施する。なお、第２閾値ＴＨ２は第１閾値ＴＨ１よりも高い値に設定されている。
【００２７】
さらに、図３に示すＬ信号およびＨ信号の電位レベルを検出し、これらの値が（４）（５）のケースになっていれば、縮退状態とみなしてｆａｉｌ１フラグをオンに設定し、第１段階のフェイルセーフ（第１段階フェイルセーフ）を実施する。そして、（４）（５）のケース以外で、０Ｖまたは５Ｖで固定されている場合、或いは、所定の値になっていない場合には、通信不可状態とみなしてｆａｉｌ２フラグをオンに設定し、第２段階のフェイルセーフ（第２段階フェイルセーフ）を実施する。
【００２８】
要するに、本実施形態に係るフェイルセーフ制御装置は、図３に示す電位レベルに基づき縮退状態を検知する手段（第１縮退検知手段）と、図２に示すエラーカウンター値に基づき縮退状態を検知する手段（第２縮退検知手段）と、を備える。そして、少なくとも一方の手段により縮退状態が検知されれば、第１段階フェイルセーフを実施する。
【００２９】
図４は、エンジンＥＣＵ３１がトルク制御を実施するにあたり、第２段階フェイルセーフおよび第１段階フェイルセーフを実施する手順を示すフローチャートである。先ず、図４のステップＳ１０（停止検知手段）およびステップＳ２０（縮退検知手段）において、先述したｆａｉｌ１フラグおよびｆａｉｌ２のいずれかがオンに設定されているか否かを判定する。
【００３０】
ｆａｉｌ２がオンに設定されていると判定された場合（Ｓ１０：ＹＥＳ）、次のステップＳ１１（第２段階フェイルセーフ手段）に進み、第２段階のフェイルセーフを実施する。具体的には、運転者によるアクセルペダル踏み込み量、つまり運転者が要求するエンジン出力（トルク要求値）とは無関係に、トルク要求値を予め設定しておいた所定値に固定する。つまり、車両の加速走行を禁止する。なお、前記所定値は、例えばエンジンのアイドル運転に相当する値に設定すればよい。或いは、第２段階のフェイルセーフでは、エンジンの作動を強制的に停止させてもよいし、加速にかぎらず走行自体を禁止するようにしてもよい。
【００３１】
ｆａｉｌ１がオンに設定されていると判定された場合（Ｓ２０：ＹＥＳ）、次のステップＳ２１において、運転者によるアクセルペダル踏み込み量（トルク要求値）が、予め設定しておいた所定の値（以下、ＭＡＸ値と記載）以上であるか否かを判定する。トルク要求値＜ＭＡＸ値であれば（Ｓ２１：ＮＯ）、次のステップＳ２３において、運転者によるトルク要求値に基づきエンジン出力を制御する。
【００３２】
一方、トルク要求値≧ＭＡＸ値であれば（Ｓ２１：ＹＥＳ）、次のステップＳ２２（第１段階フェイルセーフ手段）に進み、第１段階のフェイルセーフを実施する。具体的には、トルク要求値を予め設定しておいたＭＡＸ値に制限してエンジン出力を制御する。つまり、エンジン出力がＭＡＸ値を超えないように制限しつつ、ＭＡＸ値を超えない範囲であれば、車両の加速走行を許可する。要するに、第２段階フェイルセーフ手段では、第１段階フェイルセーフ手段に比べて、車両の機能に制限をかける度合いを大きくしている。
【００３３】
続くステップＳ２４では、アクセルペダルを踏み込んでトルクを要求する操作が所定時間Ｔｔｈ以上継続して為されたか否かを判定する。トルク要求時間が≧Ｔｔｈであれば（Ｓ２４：ＹＥＳ）、続くステップＳ２５において、ステップＳ２２で用いるＭＡＸ値を低下させて、エンジン出力の制限を厳しくする。続くステップＳ２６（第１段階フェイルセーフ手段）では、警告ランプを点灯させたり、警告ブザーを鳴らしたりする等により、縮退状態である旨を車両乗員に報知する。
【００３４】
図５は、車間感知ＥＣＵ３３が以下に説明する車間センサ制御を実施するにあたり、第２段階フェイルセーフおよび第１段階フェイルセーフを実施する手順を示すフローチャートである。車間センサ制御とは、車間センサにより検出された前方走行車両と自車両との車間距離に応じて、自車両のエンジン出力や制動力を自動制御するものである。例えば、車間感知ＥＣＵ３３は、上記車間距離が設定値になるよう、エンジン出力の目標値を算出し、その目標値をエンジンＥＣＵ３１へ送信する。エンジンＥＣＵ３１は、受信した目標値に基づきエンジン出力を制御する。
【００３５】
先ず、図５のステップＳ３０（停止検知手段）およびステップＳ４０（縮退検知手段）において、先述したｆａｉｌ１フラグおよびｆａｉｌ２のいずれかがオンに設定されているか否かを判定する。
【００３６】
ｆａｉｌ２がオンに設定されていると判定された場合（Ｓ３０：ＹＥＳ）、続くステップＳ３１（第２段階フェイルセーフ手段）において、上述した車間センサ制御を停止させる、といった第２段階のフェイルセーフを実施する。一方、ｆａｉｌ１がオンに設定されていると判定された場合（Ｓ４０：ＹＥＳ）、続くステップＳ４１（第１段階フェイルセーフ手段）において、車間センサにより検出された車間距離を短くするように補正し、その補正値に基づく車間センサ制御の実施を許可する。そして、次のステップＳ４２（第１段階フェイルセーフ手段）では、警告ランプを点灯させたり、警告ブザーを鳴らしたりする等により、縮退状態である旨を車両乗員に報知する。
【００３７】
図６に示すように、フェイルセーフ制御装置として機能するエンジンＥＣＵ３１は、停止検知装置Ｍ１および縮退検知手段Ｍ２の機能を備えていると言える。これらの検知手段Ｍ１、Ｍ２は、共通する評価手段Ｍ３を備える。評価装置Ｍ３は、信号線１０、２０による通信状態を評価するものであり、具体的には、上述した縮退状態および通信停止状態のいずれかに陥っているか否かを判定する。
【００３８】
評価装置Ｍ３は、電圧検出器Ｍ４およびエラー検出器Ｍ５を備える。これらの検出器Ｍ４、Ｍ５は、信号線１０、２０に接続されている。電圧検出器Ｍ４は、Ｌ信号およびＨ信号の電位レベルを検出する。エラー検出器Ｍ５は、通信エラーの有無を検出し、先述したエラーカウンター値を算出して更新する。
【００３９】
評価装置Ｍ３は、図３を用いて先述した通り、電圧検出器Ｍ４により検出された電位レベルに基づき、図３（４）（５）に示す縮退状態、または図３（１）（２）（３）（６）に示す通信停止状態に陥っているか否かを判定する。また、評価装置Ｍ３は、図２を用いて先述した通り、エラー検出器Ｍ５により検出されたエラーカウンター値と閾値ＴＨ１、ＴＨ２との比較に基づき、縮退状態または通信停止状態に陥っているか否かを判定する。評価装置Ｍ３は、縮退状態と判定した場合にはｆａｉｌ１フラグをオンに設定し、通信停止状態と判定した場合にはｆａｉｌ２フラグをオンに設定する。
【００４０】
停止検知手段Ｍ１は、図４および図５のステップＳ１０、Ｓ３０に係るフラグ判定の機能、および評価装置Ｍ３の機能をエンジンＥＣＵ３１が発揮することで実現される。そして、停止検知手段Ｍ１によりｆａｉｌ２フラグがオンであると判定されると、図４および図５のステップＳ１１、Ｓ３１に係る第２段階フェイルセーフが実施される。
【００４１】
縮退検知手段Ｍ２は、図４および図５のステップＳ２０、Ｓ４０に係るフラグ判定の機能、および評価装置Ｍ３の機能をエンジンＥＣＵ３１が発揮することで実現される。そして、縮退検知手段Ｍ２によりｆａｉｌ１フラグがオンであると判定されると、図４および図５のステップＳ２２、Ｓ２６、Ｓ４１、Ｓ４２に係る第１段階フェイルセーフが実施される。
【００４２】
以上により、本実施形態によれば、縮退状態を検知すると、通信停止時の第２段階フェイルセーフより緩い内容の第１段階フェイルセーフを実施して、車両の機能に制限をかけ（Ｓ２２、Ｓ４１）、縮退状態である旨を車両乗員に報知する（Ｓ２６、Ｓ４２）。そのため、通信停止状態に陥る前に、第１段階フェイルセーフにより車両の走行が許可された状態で、運転者は縮退状態の異常を認知するので、車両を修理場へ自走搬入させることが促されるようになる。よって、第１段階フェイルセーフを実施することなく第２段階フェイルセーフを実施した場合には車両を修理場へ自走搬入できなくなる、といった懸念を解消できる。
【００４３】
さらに本実施形態によれば、ＣＡＮ＿Ｌ１０およびＣＡＮ＿Ｈ２０の電位レベルに基づき、図３に例示する如く縮退状態を検知する。また、通信システムで生じた通信エラーのカウント数に基づき、図２に例示する如く縮退状態を検知する。そのため、縮退状態に陥ったことを高精度で検知できる。
【００４４】
さらに、本実施形態にかかる第２段階フェイルセーフでは、車両の走行を禁止、或いは加速走行を禁止するので、通信不可状態のまま走行、或いは加速走行することを回避できる。また、本実施形態にかかる第１段階フェイルセーフでは、エンジン出力所定のガード値（ＭＡＸ値）にて制限しつつ車両の走行を許可するので、縮退状態にしつつ、車両を修理場へ自走搬入させることを可能にできる。
【００４５】
（他の実施形態）
本発明は上記実施形態の記載内容に限定されず、以下のように変更して実施してもよい。また、各実施形態の特徴的構成をそれぞれ任意に組み合わせるようにしてもよい。
【００４６】
・上記実施形態では、通信システムとしてＣＡＮを示したが、２本の信号線に所定の信号電圧を加圧して信号線間の差動電圧により通信する制御手段を有する通信システムであれば、本発明を適用することが可能である。例えば、ＣＡＮに代えてＦｌｅｘＲａｙ（登録商標）を用いれば、ＣＡＮよりも高速で多重通信することができる。また、カーナビゲーション装置、オーディオ装置および電話など、データ量の多い装置を制御するＥＣＵ間の通信には、ＭＯＳＴ（Media Oriented System Transport）や、ＧＶＩＦ（Gigabit Video InterFace）、ＬＶＤＳ（Low Voltage Differential Signaling）等を用いることもできる。
【００４７】
・上記実施形態では、本発明にかかる第２段階フェイルセーフおよび第１段階フェイルセーフを、トルク制御および車間センサ制御に適用させているが、これらの制御の他にも、ＡＢＳＥＣＵ３５によるブレーキ制御や、エアバッグの作動の制御等が、第２段階フェイルセーフおよび第１段階フェイルセーフの適用例として挙げられる。
【００４８】
・図４および図５の例では、トルク制御および車間センサ制御に制限をかける第１段階フェイルセーフと、縮退状態である旨を車両乗員に報知する第１段階フェイルセーフとの両方を実施しているが、一方のみを実施するようにしてもよい。
【００４９】
・図４の例では、第２段階フェイルセーフおよび第１段階フェイルセーフにおいて、エンジン（車両走行用駆動源）の出力に制限をかけているが、車両走行用駆動源が電動モータである場合には、その電動モータの出力に制限をかけるようにすればよい。
【００５０】
・上記実施形態にかかる第１段階フェイルセーフでは、エンジン出力がガード値を超えないように制限しており、ガード値を超えない場合には制限をかけない。これに対し、ガード値を超えるか否かの判定に拘わらずエンジン出力を所定割合だけ低下させることで、エンジン出力を所定のガード値にて制限するように第１段階フェイルセーフを実施してもよい。
【００５１】
・上記実施形態にかかる第１段階フェイルセーフにおいて、アクセルペダル踏込量等のエンジンＥＣＵ３１への入力値（要求値）を所定のガード値にて制限することで、エンジン出力を所定のガード値にて制限してもよいし、要求値に基づき算出される制御指令値（例えば燃料噴射弁等のアクチュエータに対する制御指令値）を、所定のガード値にて制限してもよい。
【００５２】
・上記実施形態では、停止検知手段、縮退検知手段、第１段階フェイルセーフ手段および第２段階フェイルセーフ手段は、エンジンＥＣＵ３１により実現されている。つまり、エンジンＥＣＵ３１をフェイルセーフ制御装置として機能させている。これに対し、複数の車載機器３１〜３５のうちエンジンＥＣＵ３１以外の車載機器（ＥＣＵ）をフェイルセーフ制御装置として機能させてもよい。
【００５３】
但し、第１段階フェイルセーフ手段または第２段階フェイルセーフ手段が車両の走行出力の機能に制限をかけるものである場合には、走行出力を制御するＥＣＵ（つまりエンジンＥＣＵ３１や走行モータを制御するＥＣＵ）をフェイルセーフ制御装置として機能させることが望ましい。これによれば、通信停止状態を検知した場合、或いは縮退状態を検知した場合に、迅速かつ確実に走行出力の機能に制限をかけることができる。
【００５４】
・上記実施形態では、第１縮退検知手段および第２縮退検知手段の少なくとも一方の検知手段により縮退状態が検知されれば、第１段階フェイルセーフを実施する。これに対し、両方の検知手段により縮退状態が検知されたことを条件として、第１段階フェイルセーフを実施するようにしてもよい。
【００５５】
・上記実施形態では、図６に示す電圧検出器Ｍ４とエラー検出器Ｍ５の両方を備える。これに対し、これらの検出器Ｍ４、Ｍ５の一方を廃止してもよい。なお、電圧検出器Ｍ４に基づき縮退状態を検知する場合には、エラー検出器Ｍ５による通信エラーカウント数に基づき検知する場合に比べて、縮退状態に陥ったことを迅速に検知できる。一方、通信エラーカウント数に基づき縮退状態を検知する場合には、電位レベルを検出するセンサを設けることなく縮退状態に陥ったことを検知できる。
【００５６】
・上記実施形態では、第１段階軽度フェイルセーフ手段により車両の機能に制限をかける具体例として、エンジン出力の制限、および車間センサ制御の禁止を挙げた。この他の具体例としては、ブレーキ制御により車速を制限することや、ナビゲート装置による走行経路案内機能に制限をかけること等が挙げられる。
【符号の説明】
【００５７】
１０…ＣＡＮ＿Ｈ（信号線）、２０…ＣＡＮ＿Ｌ（信号線）、３１…エンジンＥＣＵ（車載機器）、３２…トランスミッションＥＣＵ（車載機器）、３３…車間感知ＥＣＵ（車載機器）、３４…メータＥＣＵ（車載機器）、３５…ＡＢＳＥＣＵ（車載機器）、Ｓ１０、Ｓ３０…停止検知手段、Ｓ１１、Ｓ３１…第２段階フェイルセーフ手段、Ｓ２０、Ｓ４０…縮退検知手段、Ｓ２２、Ｓ２６、Ｓ４１、Ｓ４２…第１段階フェイルセーフ手段。
【図１】
2013258689.tif 000003
【図２】
2013258689.tif 000004
【図３】
2013258689.tif 000005
【図４】
2013258689.tif 000006
【図５】
2013258689.tif 000007
【図６】
2013258689.tif 000008