(57)【特許請求の範囲】
【請求項１】
互いに異なった回路構成を有し、ネットワークを介して相互接続され、連係して各種制御を実行する複数の信号処理装置からなる制御システムにて使用され、回路構成を任意に設定できるよう構成され、前記信号処理装置のいずれかに異常が生じた場合、異常の生じた信号処理装置を対象装置として、該対象装置と同等の機能を実現する回路構成に設定され、該対象装置に成り代わって動作する冗長系信号処理装置であって、
ネットワークに接続された信号処理装置の異常を検出する異常検出手段と、
ダウンロードされたハードウェアデータに従って回路構成が規定されるプログラマブルロジックデバイス（ＰＬＤ）からなる信号処理手段と、
前記複数の信号処理装置に入出力される全ての信号に対応したＩ／Ｆポート群と、
前記異常検出手段により異常が検出された信号処理装置を対象装置として、該対象装置と同等の機能を実現するためのハードウェアデータを、前記信号処理手段にダウンロードするダウンロード制御手段と、
該ダウンロード制御手段によりハードウェアデータがダウンロードされた信号処理手段を起動する起動手段と、
前記信号処理手段にて実現される回路構成に、制御プログラムに従って処理を実行する演算処理部が含まれている場合、該演算処理部の動作に必要な制御プログラムを供給するプログラム供給手段と、
を備えることを特徴とする冗長系信号処理装置。
【請求項２】
前記ネットワークは車内ＬＡＮであり、前記信号処理装置は、車両制御を分担して実行する電子制御ユニット（ＥＣＵ）からなることを特徴とする請求項１記載の冗長系信号処理装置。
【請求項３】
前記ダウンロード制御手段は、
前記ネットワークに接続された各信号処理装置のそれぞれに対応するハードウェアデータが予め記憶されたデータ記憶手段と、
前記異常検出手段での検出結果に従って、前記データ記憶手段に記憶されたハードウェアデータのうち、前記対象装置に対応するハードウェアデータを、前記信号処理手段へのダウンロードのために読み出すデータ読出手段と、
を備えることを特徴とする請求項１又は請求項２記載の冗長系信号処理装置。
【請求項４】
前記プログラム供給手段は、
各信号処理装置のそれぞれに対応する制御プログラムが予め記憶されたプログラム記憶手段と、
前記異常検出手段での検出結果に従って、前記プログラム記憶手段に記憶された制御プログラムのうち、前記対象装置に対応する制御プログラムを前記演算処理部からのアクセスが可能となるよう設定する供給プログラム設定手段と、
を備えることを特徴とする請求項１乃至請求項３いずれか記載の冗長系信号処理装置。
【請求項５】
前記プログラム供給手段は、
前記演算処理部からのアクセスが可能なプログラム記憶手段と、
前記異常検出手段での検出結果に従って、前記対象装置に対応する制御プログラムを前記ネットワークを介して取得し、前記プログラム記憶手段に格納する供給プログラム取得手段と、
を備えることを特徴とする請求項１乃至請求項３いずれか記載の冗長系信号処理装置。
【請求項６】
前記供給プログラム取得手段は、前記対象装置以外の信号処理装置から、該対象装置に対応した制御プログラムを取得することを特徴とする請求項５記載の冗長系信号処理装置。
【請求項７】
前記供給プログラム取得手段は、前記信号処理手段が実現する回路構成に含まれていることを特徴とする請求項５又は請求項６記載の冗長系信号処理装置。
【請求項８】
前記異常検出手段は、各信号処理装置から定期的にネットワーク上に送出され、少なくとも送出元の信号処理装置を識別する識別情報が含まれたハートビート信号を監視することで、各信号処理装置の異常を検出することを特徴とする請求項１ないし請求項７いずれか記載の冗長系信号処理装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、互いに異なった回路構成を有し、ネットワークを介して相互接続され、連係して各種制御を実行する複数の信号処理装置からなる制御システムにて使用される冗長系信号処理装置に関する。
【０００２】
【従来の技術】
従来より、車両制御を行う電子制御ユニット（ＥＣＵ）等、装置の故障が直ちに安全性の低下につながるおそれがあり、高い信頼性が要求される装置では、装置を２重化する等して冗長性のある構成とすることが行われている。  即ち、装置を２重化すれば、一方（現用系）が故障しても、他方（冗長系）に切り替えることにより、装置が停止してしまうことを防止している。
【０００３】
ところで、車両に搭載されるＥＣＵには、図１０に示すように、エンジン制御ＥＣＵ１０２，ステアリング制御ＥＣＵ１０４，ブレーキ制御ＥＣＵ１０６，エアコン制御ＥＣＵ１０８の他、トランスミッション制御ＥＣＵ，サスペンション制御ＥＣＵなどといった非常に多くの種類があり、しかもこれらのＥＣＵはネットワークを介して相互接続され、いわゆる車内ＬＡＮを構成している。
【０００４】
そして、各ＥＣＵは、それぞれが異なった機能を有しており、互いに連係して車両制御を行っている。従って、これらのＥＣＵのうち一つでも故障すると、他のＥＣＵも影響を受けてしまうため、全てのＥＣＵが冗長性のある構成を有していることが望ましい。
【０００５】
【発明が解決しようとする課題】
しかし、上述したように車両には多くのＥＣＵが搭載されているため、これら全てのＥＣＵを２重化することは、スペース的にも、重量的にも、コスト的にも非常に困難であるという問題があった。
【０００６】
また、複数のＥＣＵが同時に故障する可能性は低いため、全てのＥＣＵを２重化した場合、全く使用されることのない冗長系を多数持つことにもなり、装置構成に無駄が多いという問題もあった。
本発明は、上記問題点を解決するために、互いに異なった回路構成を有し、ネットワークを介して相互接続され、連係して各種制御を実行する複数の信号処理装置からなる制御システムにおいて、全ての信号処理装置を２重化することなく、全ての信号処理装置に冗長性を持たせ、高い信頼性を得ることができるようにすることを目的とする。
【０００７】
【課題を解決するための手段】
上記目的を達成するための発明である請求項１記載の冗長系信号処理装置は、互いに異なった回路構成を有し、ネットワークを介して相互接続され、連係して各種制御を実行する複数の信号処理装置からなる制御システムに接続して使用される。
【０００８】
そして、信号処理装置のいずれかに異常が生じた場合、異常が生じた信号処理装置を対象装置として、この対象装置と同等の機能を実現するような回路構成に設定された冗長系信号処理装置が、その対象装置に成り代わって動作する。
このように、本発明の冗長系信号処理装置が接続された制御システムによれば、冗長系信号処理装置が、どの信号処理装置にも成り代わることが可能であるため、全ての信号処理装置を２重化することなく、全ての信号処理装置に冗長性を持たせることができ、必要最小限の構成の追加で、高い信頼性を得ることができる。
【０００９】
なお、冗長系信号処理装置は、制御システム内に一つだけ設けてもよいが、ネットワークに接続される信号処理装置の数が多い場合には、制御システム内に複数設けるようにしてもよい。また、冗長系信号処理装置を複数設けた場合には、どの信号処理装置にも成り代われるものを複数備えてもよいが、信号処理装置をグループ分けして、各グループ毎に一つ或いは複数の信号処理装置を設けるようにしてもよい。例えば、入出力される信号線が共通する信号処理装置でグループを構成すれば、冗長系信号処理装置は、各グループ毎に異なった構成となるが、各冗長系信号処理装置の装置構成を簡易化できる。また、物理的に近い位置にある信号処理装置でグループを構成すれば、冗長系に切り替わる前後で、各種信号の遅延が大きく変化することがなく、厳しいタイミングで信号処理を実行している場合にも、信頼性が低下してしまうことを防止できる。
【００１０】
また、請求項１記載の冗長系信号処理装置は、複数の信号処理装置に入出力される全ての信号に対応したＩ／Ｆポート群と、ダウンロードされたハードウェアデータ（コンフィグレーションデータともいう）に従って回路構成が規定されるプログラマブルロジックデバイス（ＰＬＤ）からなる信号処理手段とを備えている。そして、異常検出手段が、ネットワークに接続された信号処理装置の異常を検出すると、異常が検出された信号処理装置を対象装置として、ダウンロード制御手段が、対象装置と同等の機能を実現するためのハードウェアデータを信号処理手段にダウンロードし、そのハードウェアデータがダウンロードされた信号処理手段を起動手段が起動する。また、信号処理手段にて実現される回路構成に、制御プログラムに従って処理を実行する演算処理部が含まれている場合、プログラム供給手段が、演算処理部の動作に必要な制御プログラムを供給する。
【００１１】
このように、本発明の冗長系信号処理装置では、信号処理手段としてＰＬＤを用いているため、対象装置に対応するハードウェアデータをダウンロードするだけで、信号処理手段の回路構成を、対象装置と同等の機能を実現するように簡単に設定できる。しかも、ＰＬＤを用いることにより、対応すべき信号処理装置の数が増加しても、ハードウェアデータを増やすだけで簡単に対応することができ、制御システムの構成の変更（信号処理装置の増減や変更）に対して、極めて柔軟に対応することができる。
【００１２】
なお、ＰＬＤには、フィールドプログラマブルゲートアレー（ＦＰＧＡ）やフィールドプログラマブルロジックアレー（ＦＰＬＡ）が含まれるものとする。
ＰＬＤは、ハードウェアデータの書込が一度だけしか許容されないものでもよいが、繰り返し書き替えることのできるものが好ましい。この場合、例えば故障した信号処理装置を修理した後に、ＰＬＤを無機能状態に戻すことにより、ＰＬＤを取り替えることなく冗長系処理装置を繰り返し使用することが可能となる。
【００１３】
なお、本発明の冗長系信号処理装置を接続して使用する制御システムは、例えば、請求項２記載のように、ネットワークが車内ＬＡＮ、信号処理装置が車両制御を分担して実行する電子制御ユニット（ＥＣＵ）からなるものであってもよい。
【００１４】
そして、ダウンロード制御手段は、例えば請求項３記載のように、データ記憶手段に、各信号処理装置のそれぞれに対応するハードウェアデータを予め記憶させておき、データ読出手段が、異常検出手段での検出結果に従って、データ記憶手段に記憶されたハードウェアデータのうち、対象装置に対応するハードウェアデータを読み出し、このようにしてデータ記憶手段から読み出せれたハードウェアデータを、信号処理手段にダウンロードするように構成することができる。
【００１５】
また、プログラム供給手段は、例えば請求項４記載のように、プログラム記憶手段に、各信号処理装置のそれぞれに対応する制御プログラムを予め記憶させておき、供給プログラム選択手段が、異常検出手段での検出結果に従って、プログラム記憶手段に記憶された制御プログラムのうち、対象装置に対応する制御プログラムを演算処理部からのアクセスが可能となるよう設定するように構成することができる。
【００１６】
また、プログラム供給手段は、例えば請求項５記載のように、供給プログラム取得手段が、異常検出手段での検出結果に従って、対象装置に対応する制御プログラムをネットワークを介して取得し、演算処理部からのアクセスが可能なプログラム記憶手段に格納するように構成してもよい。
【００１７】
この場合、プログラム記憶手段は、一つの信号処理装置についての制御プログラムを格納できる容量を備えていればよく装置を小型化できる。
また、このようにネットワークを介して制御プログラムを取得する場合、請求項６記載のように、プログラム取得手段は、対象装置以外の信号処理装置から、対象装置に対応した制御プログラムを取得することが好ましい。これは、異常が検出された信号処理装置（即ち対象装置）が、制御プログラムの送出を正常に行うことができるとは限らないためである。従って、この場合、全ての信号処理装置は、自装置用の制御プログラムの他に、冗長系信号処理装置に送信する他の信号処理装置の制御プログラムを互いに重複することのないように一つずつ持つようにすればよい。
【００１８】
また、プログラム取得手段は、請求項７記載のように、信号処理手段が実現する回路構成に含まれていてもよい。この場合、プログラム取得手段のために、信号処理手段以外の専用のハードウェアを設ける必要がなく、冗長系信号処理装置の構成を簡易化できる。
【００１９】
ところで、異常検出手段は、例えば請求項８記載のように、各信号処理装置から定期的にネットワーク上に送出され、少なくとも送出元の信号処理装置を識別する識別情報が含まれたハートビート信号を監視することで、信号処理装置の異常を検出するように構成することができる。
【００２０】
【発明の実施の形態】
以下に本発明の実施形態を図面と共に説明する。
［第１実施形態］
図１は、本発明が適用された制御システムの概略構成図である。
【００２１】
本実施形態の制御システムは、図１に示すように、ＴＣＰ／ＩＰプロトコルを用いて通信を行うバス状伝送路からなるネットワーク（以下「車内ＬＡＮ」という）を介して、信号処理装置としてのエンジン制御ＥＣＵ２，ステアリング制御ＥＣＵ４，ブレーキ制御ＥＣＵ６，エアコン制御ＥＣＵ８（以下、総称する場合「現用系ＥＣＵ」という）が相互接続されているのに加えて、これら現用系ＥＣＵ２，４，６，８のいずれの代用としても使用可能な冗長系信号処理装置としての冗長系ＥＣＵ１０が接続されている。
【００２２】
なお、現用系ＥＣＵとしては、上述したもの以外に、例えば、トランスミッション制御ＥＣＵ，サスペンション制御ＥＣＵ等、多くのものがあるが、ここでは説明や図面を簡単にして理解を容易にするために、上述の４個のＥＣＵのみが車内ＬＡＮに接続されているものとする。
【００２３】
現用系ＥＣＵ２，４，６，８は、それぞれがセンサからの入力信号や、制御対象となるアクチュエータへの出力信号等を入出力するための信号線が設けられており、これら入力信号や、車内ＬＡＮを介した他のＥＣＵとの通信により得られる各種情報に基づいて、それぞれが決められた制御を分担して実行するように構成されている。なお、各現用系ＥＣＵ２，４，６，８には、それぞれ固有のＩＰ番号が付与されており、車内ＬＡＮを介した通信では、このＩＰ番号により送信元ＥＣＵや送信先ＥＣＵの識別を行うようにされている。
【００２４】
また、現用系ＥＣＵ２，４，６，８は、いずれも定期的（例えば１００ｍｓ）にハートビート信号を、バス上に送出するように構成されている。ここで、ハートビート信号は、図２に示すように、送信元ＥＣＵを識別するための識別情報（本実施形態ではＩＰ番号）、フレームがハートビート信号であることを示すための識別コード、各ＥＣＵ２，４，６，８にてそれぞれ独立に付与され、ハートビート信号の送出毎にインクリメントされる出力カウント値とからなる。
【００２５】
つまり、このハートビート信号の出力カウント値を、ＥＣＵ識別情報に従って各ＥＣＵ２，４，６，８毎に監視することにより、各ＥＣＵ２，４，６，８が正常に動作しているか否かを個別に判断することが可能となる。
次に、冗長系ＥＣＵ１０は、図３に示すように、現用系ＥＣＵ２，４，６，８に配線されている全ての入出力信号線が配線され、これら信号線のそれぞれに対応して設けられたデジタル入力Ｉ／Ｆ（インタフェース），デジタル出力Ｉ／Ｆ，アナログ入力Ｉ／Ｆ，アナログ出力Ｉ／Ｆ，シリアル入力Ｉ／Ｆ，シリアル出力Ｉ／Ｆ等からなるＩ／Ｆポート群１２と、ダウンロードされるハードウェア（ＨＷ）データに従って回路構成が規定されるフィールドプログラマブルゲートアレー（ＦＰＧＡ）からなる信号処理手段としての信号処理部１４と、信号処理部１４にダウンロードするハードウェアデータが格納されたデータ記憶手段としてのデータＲＯＭ群１６と、データＲＯＭ群１６を構成するデータＲＯＭ１６ａ〜１６ｄのうち、選択信号Ｓｄに従って指定されたデータＲＯＭからハードウェアデータを読み出して、信号処理部１４にダウンロードするデータ読出手段としてのダウンロード制御部１８と、信号処理部１４の一部としてＦＰＧＡ上に構成されるＣＰＵを動作させるための制御プログラムが格納されたプログラム記憶手段としてのプログラムＲＯＭ群２０と、プログラムＲＯＭ群２０を構成するプログラムＲＯＭ２０ａ〜２０ｄのうち、選択信号Ｓｐに従って指定されたプログラムＲＯＭを、信号処理部１４のＣＰＵからアクセス可能となるように設定する供給プログラム設定手段としてのＲＯＭ切替スイッチ２２と、バス上のハートビート信号を監視して、いずれかの現用系ＥＣＵの異常を検出した場合に、異常のある現用系ＥＣＵ（以下「対象ＥＣＵ」という）特定し、その対象ＥＣＵに対応する選択信号Ｓｄ，Ｓｐを生成すると共に、選択信号Ｓｄを受けたダウンロード制御部１８によってハードウェアデータがダウンロードされた信号処理部１４に対してリセット信号Ｒを出力することにより、信号処理部１４を起動する監視制御部２４と、当該冗長系ＥＣＵ１０の各部への電源供給を行う電源部２８とを備えている。
【００２６】
なおデータＲＯＭ群１６を構成するデータＲＯＭ１６ａ〜１６ｄには、エンジン制御（Ｅ制御）ＥＣＵ２，ステアリング制御（Ｓ制御）ＥＣＵ４，ブレーキ制御（Ｂ制御）ＥＣＵ６、エアコン制御（Ｅ制御）ＥＣＵ８に対応して、各ＥＣＵと同等の機能を信号処理部１４にて実現するためのハードウェアデータがそれぞれ格納されている。
【００２７】
また、プログラムＲＯＭ群２０を構成するプログラムＲＯＭ２０ａ〜２０ｄにも、同様に、各ＥＣＵ２，４，６，８に設けられたＣＰＵが使用するものと同じ制御プログラムがそれぞれ格納されている。
ここでは、ハードウェアデータ及び制御プログラムが、いずれも各ＥＣＵ２，４，６，８毎にそれぞれ異なっているが、例えば、ハードウェアデータが共通で、制御プログラムのみが異なっているものがあってもよい。その場合、データＲＯＭ群１６を構成するデータＲＯＭの数を減らすことが可能となる。
【００２８】
次に、監視制御部２４は、ハートビート信号を監視することにより、現用系ＥＣＵの異常を検出する異常検出手段としての異常検出部２５と、異常検出部２５にて異常が検出された場合に、その検出結果に応じて信号処理部１４の設定及び起動を行う設定制御部２６とからなる。
【００２９】
このうち、異常検出部２５は、車内ＬＡＮに接続された現用系ＥＣＵ２，４，６，８のそれぞれに対応して、これと同数（本実施形態では４個）のカウンタを備えており、ハートビート信号を受信する毎に、受信したハートビート信号のＥＣＵ識別情報にて識別されるＥＣＵに対応したカウンタの値と、そのハートビート信号の出力カウント値とを比較する。そして、両者が一致している場合には、カウンタをインクリメントして次の受信に備え、一方、両者が一致していない（値の抜けや同一値の連続）か、決められた一定期間（例えば２００ｍｓ）以上カウンタがインクリメントされなかった場合に、そのカウンタに対応するＥＣＵに異常が発生したものとして、設定制御部２６に通知する。
【００３０】
ここで、設定制御部２６が実行する処理を、図４に示すフローチャートに沿って説明する。
本処理が起動すると、まず、異常検出部２５にて現用系ＥＣＵの異常が検出されたか否かを判断し（Ｓ１１０）、異常が検出されていなければ、検出されるまで待機する。そして、現用系ＥＣＵの異常が検出されると、異常が検出されたＥＣＵを対象ＥＣＵとして、この対象ＥＣＵに対応する選択信号Ｓｄを出力することにより、ダウンロード制御部１８に、対象ＥＣＵに対応するハードウェアデータの信号処理部１４へのダウンロードを実行させる（Ｓ１２０）。なお、ＦＰＧＡは、ダウンロードが終了するまでの間、ダウンロードに関連しない全ての入出力端子がハイインピーダンスとなるようにされており、ダウンロード中に、ＦＰＧＡの入出力端子に接続された信号線を介して、他の構成部分（現用系ＥＣＵ，センサ，アクチュエータ等）に悪影響を与えることがないようにされている。
【００３１】
続けて、上述の対象ＥＣＵに対応する選択信号Ｓｐを出力することにより、ＲＯＭ切替スイッチ２２を、対象ＥＣＵに対応する制御プログラムが信号処理部１４からアクセス可能となるように設定する（Ｓ１３０）。
そして、信号処理部１４へのハードウェアデータのダウンロードと、信号処理部１４からのアクセスを可能とする制御プログラムの設定とが完了すると、信号処理部１４に対してリセット信号Ｒを出力することにより、ハードウェアデータのダウンロードによって、対象ＥＣＵと同等の機能を有するように設定された信号処理部１４を起動して（Ｓ１４０）、本処理を終了する。なお、リセット信号Ｒは、信号処理部１４を起動するだけでなく、対象ＥＣＵをバスから切り離すための信号として用いてもよい。
【００３２】
なお、データＲＯＭ群１６，ダウンロード制御部１８及びＳ１２０がダウンロード制御手段に相当し、プログラムＲＯＭ群２０，ＲＯＭ切替スイッチ２２及びＳ１３０がプログラム供給手段に相当し、Ｓ１４０が起動手段に相当する。
上述のように構成された冗長系ＥＣＵ１０では、例えば、異常が検出された対象ＥＣＵが、エンジン制御ＥＣＵ２である場合、図５に示すように、ダウンロード制御部１８によって、データＲＯＭ１６ａに格納されたエンジン制御用ハードウェアデータが、信号処理部１４を構成するＦＰＧＡにダウンロードされる。すると、ＦＰＧＡ上に、Ｉ／Ｆポート群１２を介して入出力される信号のうち、エンジン制御ＥＣＵ２にて使用されているものと同じ信号のみを有効とするポート、ポートを介して入力される信号をデジタル値に変換するＡ／Ｄ変換器、ポートを介して出力される信号をアナログ値に変換するＤ／Ａ変換器等の他、ＣＰＵ，ＲＡＭ，バスステートコントローラ，ＤＭＡコントローラ，割込コントローラ，タイマ等が構成され、エンジン制御ＥＣＵと同等の機能を有する回路構成が実現される。
【００３３】
またこの時、ＲＯＭ切替スイッチ２２によって、プログラムＲＯＭ２０ａが信号処理部１４からのアクセス可能とされることにより、信号処理部１４にリセット信号Ｒが入力されると、信号処理部１４を構成するＣＰＵは、プログラムＲＯＭ２０ａに格納されたエンジン制御用の制御プログラムに従って処理を実行する。これにより、冗長系ＥＣＵ１０は、異常が検出されたエンジン制御ＥＣＵ２に成り代わって、エンジン制御ＥＣＵとしての機能を果たすことになる。
【００３４】
なお、図６は、異常が検出された対象ＥＣＵが、エアコン制御ＥＣＵ８である場合の状態を表しており、ダウンロード制御部１８によって、データＲＯＭ１６ｄに格納されたエアコン制御用ハードウェアデータが、信号処理部１４を構成するＦＰＧＡにダウンロードされることにより、ＦＰＧＡ上に、ポート，ＣＰＵ，ＲＡＭ，バスコントローラ，シリアル制御回路（ＳＣＩ），割込コントローラ等からなり、エアコン制御ＥＣＵ８と同等の機能を有する回路構成が実現される。
【００３５】
またこの時、ＲＯＭ切替スイッチ２２によって、プログラムＲＯＭ２０ｄが信号処理部１４からのアクセス可能とされることにより、信号処理部１４にリセット信号Ｒが入力されると、信号処理部１４を構成するＣＰＵは、プログラムＲＯＭ２０ｄに格納されたエアコン制御用の制御プログラムに従って処理を実行する。これにより、冗長系ＥＣＵ１０は、異常が検出されたエアコン制御ＥＣＵ８に成り代わって、エアコン制御ＥＣＵとしての機能を果たすことになる。
【００３６】
ここでは、エンジン制御ＥＣＵ２及びエアコン制御ＥＣＵ８が対象ＥＣＵとなった場合についてのみ示したが、他のＥＣＵ４，６が対象ＥＣＵとなった場合も全く同様である。
以上詳述したように、本実施形態の制御システムでは、現用系ＥＣＵ２，４，６，８のいずれの代用も可能な冗長系ＥＣＵ１０を備えており、現用系ＥＣＵ２，４，６，８のいずれかの異常が検出された場合には、冗長系ＥＣＵ１０が、異常の検出された対象ＥＣＵに成り代わって動作するようにされている。
【００３７】
従って、本実施形態の制御システムによれば、全ての現用系ＥＣＵ２，４，６，８を２重化することなく、全ての現用系ＥＣＵ２，４，６，８に冗長性を持たせることができ、単一の冗長系ＥＣＵ１０という必要最小限の構成の追加で、高い信頼性を得ることができる。
【００３８】
しかも、本実施形態では、冗長系ＥＣＵ１０の信号処理部１４を、ＦＰＧＡを用いて構成し、ハードウェアデータをダウンロードすることにより、信号処理部１４の回路構成を、任意に且つ簡単に設定できるようにされている。
［第２実施形態］
次に、第２実施形態について説明する。
【００３９】
図７に示すように、本実施形態の制御システムでは、第１実施形態と同様に、現用系ＥＣＵ２ａ，４ａ，６ａ，８ａと、冗長系ＥＣＵ１０ａとが車内ＬＡＮを介して接続されている。
このうち、現用系ＥＣＵ２ａ，４ａ，６ａ，８ａは、エンジン制御ＥＣＵ２ａにステアリング制御ＥＣＵ用の制御プログラム、ステアリング制御ＥＣＵ４ａにエンジン制御ＥＣＵ用の制御プログラム、ブレーキ制御ＥＣＵ６ａにエアコン制御ＥＣＵ用の制御プログラム、エアコン制御ＥＣＵ８ａにブレーキ制御ＥＣＵ用の制御プログラムがそれぞれ搭載され、車内ＬＡＮを構成するバスを介して、冗長系ＥＣＵ１０ａからの要求に応じた制御プログラムの提供が可能なように構成されている以外は、第１実施形態のものと全く同様に構成されている。
【００４０】
一方、冗長系ＥＣＵ１０ａは、信号処理部１４を構成するＣＰＵに制御プログラムを供給するための構成が第１実施形態のものとは異なっているだけであるため、この構成が相異する部分を中心に説明する。
即ち、本実施形態における冗長系ＥＣＵ１０ａは、図８に示すように、プログラムＲＯＭ群２０及びＲＯＭ切替スイッチ２２に代わりに、後述する起動用プログラムが格納された起動ＲＯＭ３０と、制御プログラムが格納されるプログラムＲＡＭ３２とが設けられている。これら起動ＲＯＭ３０とプログラムＲＡＭ３２とは、いずれも信号処理部１４を構成するＣＰＵからのアクセスが可能なように構成されている。
【００４１】
また、データＲＯＭ群１６を構成する各データＲＯＭ１６ａ〜１６ｄには、第１実施形態と同様の回路構成を実現するためのハードウェアデータに加えて、車内ＬＡＮを介して他のＥＣＵから制御プログラムを取得するために必要な回路（例えば要求フレームの生成回路）を信号処理部１４を構成するＦＰＧＡ上に実現するためのハードウェアデータが組み込まれている。
【００４２】
次に、監視制御部２４は、上述の構成の変更に応じて設定制御部２６ａでの処理が図４に示すフローチャートからＳ１３０を省略したものに変更されており、この設定制御部２６ａが実行する処理を、図９（ａ）に示すフローチャートに沿って説明する。
【００４３】
即ち、本処理が起動すると、まず、異常検出部２５にて現用系ＥＣＵの異常が検出されたか否かを判断し（Ｓ２１０）、異常が検出されていなければ、検出されるまで待機する。そして、現用系ＥＣＵの異常が検出されると、異常が検出されたＥＣＵを対象ＥＣＵとして、この対象ＥＣＵに対応する選択信号Ｓｄを出力することにより、ダウンロード制御部１８に、対象ＥＣＵに対応するハードウェアデータの信号処理部１４へのダウンロードを実行させる（Ｓ２２０）。
【００４４】
そして、信号処理部１４へのハードウェアデータのダウンロードが完了すると、信号処理部１４に対してリセット信号Ｒを出力することにより、ハードウェアデータのダウンロードによって、対象ＥＣＵと同等の機能を有するように設定された信号処理部１４を起動して（Ｓ２３０）、本処理を終了する。なお、リセット信号Ｒは、信号処理部１４を起動するだけでなく、対象ＥＣＵをバスから切り離すための信号として用いてもよい。
【００４５】
このように、ハードウェアデータがダウンロードされた信号処理部１４では、リセット信号Ｒが入力されると、ＦＰＧＡ上に構成されたＣＰＵは、最初に起動ＲＯＭ３０に格納された起動用プログラムに従って処理を実行する。
この起動用プログラムの処理内容を、図９（ｂ）に示すフローチャートに沿って説明する。
【００４６】
本処理が起動すると、まず、車内ＬＡＮを介して、対象ＥＣＵの制御プログラムを保有しているＥＣＵに対し制御プログラムの提供要求を出力し、提供された制御プログラムを、プログラムＲＡＭ３２に格納する（Ｓ３１０）。例えば、対象ＥＣＵがブレーキ制御ＥＣＵ６である場合、エアコン制御ＥＣＵ８に対して制御プログラムの提供要求を出力する（図７参照）。
【００４７】
次に、このようにしてプログラムＲＡＭ３２に格納された対象ＥＣＵの制御プログラムを起動して（Ｓ３２０）、本処理を終了する。
これにより、冗長系ＥＣＵ１０ａは、異常が検出された対象ＥＣＵに成り代わって、対象ＥＣＵとしての機能を果たすことになる。
【００４８】
なお、本実施形態において、プログラムＲＡＭ３２がプログラム記憶手段、ＦＰＧＡ上に構成された他のＥＣＵから制御プログラムを取得するための回路及びＳ３１０が供給プログラム取得手段に相当する。
以上詳述したように、本実施形態の制御システムでは、現用系ＥＣＵ２ａ，４ａ，６ａ，８ａのいずれの代用も可能な冗長系ＥＣＵ１０ａを備えており、現用系ＥＣＵ２ａ，４ａ，６ａ，８ａのいずれかの異常が検出された場合には、冗長系ＥＣＵ１０ａが、異常の検出された対象ＥＣＵに成り代わって動作するようにされており、また、冗長系ＥＣＵ１０ａはＦＰＧＡを用いて構成されている。
【００４９】
従って、本実施形態の制御システムによれば、第１実施形態の制御システムと同様の効果を得ることができる。
しかも、本実施形態では、冗長系ＥＣＵ１０ａに実行させる制御プログラムを、現用系ＥＣＵ２ａ，４ａ，６ａ，８ａが分担して保有し、冗長系ＥＣＵ１０ａからの要求に応じて、制御プログラムを提供するようにされている。
【００５０】
このため、冗長系ＥＣＵ１０ａでは、第１実施形態のものと比較して、制御プログラムの格納のために必要なメモリ容量を大幅に削減でき、装置を安価に構成できる。
［他の実施形態］
以上本発明の実施形態について説明したが、本発明は上記実施形態に限定されるものではなく、本発明の要旨を逸脱しない範囲において様々な態様にて実施することが可能である。
【００５１】
例えば、上記実施形態では、冗長系ＥＣＵ１０，１０ａは、全てのＥＣＵに対応できるように、全ての信号に対応したＩ／Ｆポート群１２が用意されているが、このＩ／Ｆポート群１２も信号処理部１４を構成するＦＰＧＡ上に実現することが可能である場合には、Ｉ／Ｆポート群１２を設けることなく、必要な信号線の配線のみを行っておけばよい。
【００５２】
また、上記実施形態では、制御システム内に冗長系ＥＣＵ１０，１０ａを一つだけ設けたが、現用系ＥＣＵが多数ある場合には、制御システム内に冗長系ＥＣＵ１０，１０ａを複数設けるようにしてもよい。
また、このように冗長系ＥＣＵ１０，１０ａを複数設けた場合には、現用系ＥＣＵをグループ分けして、各グループ毎に冗長系ＥＣＵ１０，１０ａを一個或いは複数個ずつ設けるようにしてもよい。その場合、配線される信号が共通するもの毎にＥＣＵのグループ分けをすれば、冗長系のＥＣＵを小型化でき、また、物理的に近いもの同士でＥＣＵのグループ分けをすれば、信号の遅延が問題になることを防止できる。
【図面の簡単な説明】
【図１】  第１実施形態の制御システムの全体構成図である。
【図２】  ハートビート信号の構成を示す説明図である。
【図３】  第１実施形態における冗長系ＥＣＵの構成を表すブロック図である。
【図４】  設定制御部が実行する処理の内容を表すフローチャートである。
【図５】  エンジン制御ＥＣＵに異常が発生した場合の冗長系ＥＣＵの設定状態を表す説明図である。
【図６】  エアコン制御ＥＣＵに異常が発生した場合の冗長系ＥＣＵの設定状態を表す説明図である。
【図７】  第２実施形態の制御システムの全体構成図である。
【図８】  第２実施形態における冗長系ＥＣＵの構成を表すブロック図である。
【図９】  設定制御部が実行する処理の内容、及び起動用プログラムの処理の内容を表すフローチャートである。
【図１０】  従来の制御システムの問題点を示すための説明図である。
【符号の説明】
２，２ａ…エンジン制御ＥＣＵ    ４，４ａ…ステアリング制御ＥＣＵ
６，６ａ…ブレーキ制御ＥＣＵ    ８，８ａ…エアコン制御ＥＣＵ
１０，１０ａ…冗長系ＥＣＵ    １２…Ｉ／Ｆポート群    １４…信号処理部
１６…データＲＯＭ群          １６ａ〜１６ｄ…データＲＯＭ
１８…ダウンロード制御部                ２０…プログラムＲＯＭ群
２０ａ〜２０ｄ…プログラムＲＯＭ        ２２…ＲＯＭ切替スイッチ
２４…監視制御部    ２５…異常検出部    ２６，２６ａ…設定制御部
２８…電源部        ３０…起動ＲＯＭ    ３２…プログラムＲＡＭ
【図１】
0003864747.tif 000002
【図２】
0003864747.tif 000003
【図３】
0003864747.tif 000004
【図４】
0003864747.tif 000005
【図５】
0003864747.tif 000006
【図６】
0003864747.tif 000007
【図７】
0003864747.tif 000008
【図８】
0003864747.tif 000009
【図９】
0003864747.tif 000010
【図１０】
0003864747.tif 000011