特開 2024-172958 車載制御装置、制御方法、及び制御プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024172958

(43)【公開日】2024-12-12

(54)【発明の名称】車載制御装置、制御方法、及び制御プログラム

(51)【国際特許分類】

   B60R 16/023 20060101AFI20241205BHJP

【ＦＩ】

B60R16/023 P

【審査請求】未請求

【請求項の数】10

【出願形態】ＯＬ

(21)【出願番号】P 2023091042

(22)【出願日】2023-06-01

(71)【出願人】

【識別番号】395011665

【氏名又は名称】株式会社オートネットワーク技術研究所

(71)【出願人】

【識別番号】000183406

【氏名又は名称】住友電装株式会社

(71)【出願人】

【識別番号】000002130

【氏名又は名称】住友電気工業株式会社

(71)【出願人】

【識別番号】000003207

【氏名又は名称】トヨタ自動車株式会社

(74)【代理人】

【識別番号】110000280

【氏名又は名称】弁理士法人サンクレスト国際特許事務所

(72)【発明者】

【氏名】大津 智弘

(72)【発明者】

【氏名】浦山 博史

(72)【発明者】

【氏名】川内 偉博

(72)【発明者】

【氏名】石塚 秀

(72)【発明者】

【氏名】黒谷 佳伸

(72)【発明者】

【氏名】杉山 和也

(72)【発明者】

【氏名】高石 大介

(72)【発明者】

【氏名】富田 晋伍

(72)【発明者】

【氏名】安藤 博哉

(57)【要約】

【課題】車載装置の異常の誤検知を回避する。
【解決手段】
車載制御装置は、稼働状態とスリープ状態とを切替可能な車載装置とネットワークを介して接続された車載制御装置であって、前記車載装置の異常を検知する異常検知部と、前記車載装置が属するクラスタの状態に基づいて、前記車載装置がスリープ状態であるか否かを判定する判定部と、前記車載装置がスリープ状態である場合、前記異常検知部による異常の検知を無効化する制御部と、を備える。
【選択図】図８

【特許請求の範囲】

【請求項1】

稼働状態とスリープ状態とを切替可能な車載装置とネットワークを介して接続された車載制御装置であって、
前記車載装置の異常を検知する異常検知部と、
前記車載装置が属するクラスタの状態に基づいて、前記車載装置がスリープ状態であるか否かを判定する判定部と、
前記車載装置がスリープ状態である場合、前記異常検知部による異常の検知を無効化する制御部と、
を備える、
車載制御装置。

【請求項2】

前記判定部は、前記車載制御装置が前記クラスタに属する場合、前記車載制御装置が保持する前記クラスタの状態に基づいて、前記車載装置がスリープ状態であるか否かを判定する、
請求項１に記載の車載制御装置。

【請求項3】

前記判定部は、前記車載制御装置が前記クラスタに属しない場合、前記クラスタを制御するために前記ネットワークを伝送される制御メッセージにおいて指定された前記クラスタの状態に基づいて、前記車載装置がスリープ状態であるか否かを判定する、
請求項１に記載の車載制御装置。

【請求項4】

前記車載装置が第１クラスタ及び第２クラスタに属する場合、前記判定部は、前記第１クラスタの状態及び前記第２クラスタの状態に基づいて、前記車載装置がスリープ状態か否かを判定する、
請求項１に記載の車載制御装置。

【請求項5】

前記判定部は、クラスタと車載装置との対応関係を示すテーブルによって、前記車載装置が属するクラスタを特定し、特定された前記クラスタの状態に基づいて、前記車載装置がスリープ状態か否かを判定する、
請求項１に記載の車載制御装置。

【請求項6】

前記クラスタの状態は、動作状態と停止状態とを含み、
前記判定部は、前記クラスタの状態が停止状態である場合に、前記車載装置がスリープ状態であると判定する、
請求項１に記載の車載制御装置。

【請求項7】

前記異常検知部は、前記ネットワークを通じた前記車載装置の通信状態に基づいて、前記車載装置の異常を検知する、
請求項１に記載の車載制御装置。

【請求項8】

前記車載制御装置が前記クラスタに属し、且つ、前記クラスタが前記停止状態である場合に、前記車載制御装置は稼働状態を維持する、
請求項１から請求項７のいずれか１項に記載の車載制御装置。

【請求項9】

稼働状態とスリープ状態とを切替可能な車載装置とネットワークを介して接続された車載制御装置によって用いられる制御方法であって、
前記車載装置が属するクラスタの状態に基づいて、前記車載装置がスリープ状態であるか否かを判定するステップと、
前記車載装置がスリープ状態である場合、前記車載装置の異常を検知する異常検知機能を無効化するステップと、
を含む、
制御方法。

【請求項10】

稼働状態とスリープ状態とを切替可能な車載装置とネットワークを介して接続された車載制御装置によって実行される制御プログラムであって、
コンピュータに、
前記車載装置が属するクラスタの状態に基づいて、前記車載装置がスリープ状態であるか否かを判定するステップと、
前記車載装置がスリープ状態である場合、前記車載装置の異常を検知する異常検知機能を無効化するステップと、
を実行させるための、
制御プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、車載制御装置、制御方法、及び制御プログラムに関する。

【背景技術】

【0002】

車両には、エンジン、トランスミッション等を制御する制御系ＥＣＵ（Electronic Control Unit）、ヘッドライト、パワーウインドウ等を制御するボディ系ＥＣＵ、ナビゲーション装置、マルチメディア機器等の情報系ＥＣＵ等、多種の車載装置が搭載される。

【0003】

従来、各車載装置をネットワークにて接続する車載システムにおいて、車載装置の異常を検知することが行われている（例えば、特許文献１参照）。

【0004】

ところで、近年、車載システムにおいて、例えば機能（サービス）毎に車載装置をＰＮＣ（Partial Network Cluster）と呼ばれるクラスタに分け、サービスの実行に用いられるＰＮＣの車載装置をウェイクアップさせ、その他のＰＮＣの車載装置をスリープさせるパーシャルネットワーク機能が発展してきた。パーシャルネットワーク機能は、ＩＳＯ（International Organization for Standardization） １１８９８－６において規格化されている。

【0005】

ＥＣＵ間では、ネットワークマネジメントメッセージ（ＮＭメッセージ）を用いて、ＰＮＣの要求及び開放情報が送受信される。ＮＭメッセージには、各ＰＮＣの要求又は開放の状態を示すＰＮ（Partial Network）情報が含まれる。要求されたＰＮＣに対応する車載装置はウェイクアップし、開放されたＰＮＣに対応する車載装置はスリープする。

【先行技術文献】

【特許文献】

【0006】

【特許文献1】特開２００３－２７６５２７号公報

【発明の概要】

【発明が解決しようとする課題】

【0007】

スリープ状態の車載装置は通信を行うことができない。このため、スリープ状態の車載装置を異常であると誤検知するおそれがある。

【課題を解決するための手段】

【0008】

本開示の一態様に係る車載制御装置は、稼働状態とスリープ状態とを切替可能な車載装置とネットワークを介して接続された車載制御装置であって、前記車載装置の異常を検知する異常検知部と、前記車載装置が属するクラスタの状態に基づいて、前記車載装置がスリープ状態であるか否かを判定する判定部と、前記車載装置がスリープ状態である場合、前記異常検知部による異常の検知を無効化する制御部と、を備える。

【0009】

本開示は、上記のような特徴的な構成を備える車載制御装置、前記車載制御装置における特徴的な処理をステップとする制御方法、及び前記車載制御装置に特徴的な処理を実行させるための制御プログラムとして実現することができるだけでなく、前記車載制御装置を含む車載システムとして実現したり、前記車載制御装置の一部又は全部を半導体集積回路として実現したりすることができる。

【発明の効果】

【0010】

本開示によれば、スリープ状態の車載装置を異常であると誤検知することを回避することができる。

【図面の簡単な説明】

【0011】

【図1】図１は、第１実施形態に係る車載システムの構成の一例を示すブロック図である。

【図2】図２は、第１実施形態に係る中継ＥＣＵのハードウェア構成の一例を示すブロック図である。

【図3】図３は、第１実施形態に係るＥＣＵのハードウェア構成の一例を示すブロック図である。

【図4】図４は、クラスタテーブルの一例を示す図である。

【図5】図５は、ＮＭメッセージにおけるＰＮ情報の一例を示す図である。

【図6】図６は、車載システムにおけるＮＭメッセージの伝送の一例を示す図である。

【図7】図７は、ＥＣＵの状態遷移図である。

【図8】図８は、第１実施形態に係る中継ＥＣＵの機能の一例を示す機能ブロック図である。

【図9】図９は、異常検知機能の無効化を説明するための図である。

【図10】図１０は、第１実施形態に係る中継ＥＣＵによる異常検知無効化処理の一例を示すフローチャートである。

【図11】図１１は、第１実施形態に係る中継ＥＣＵによる異常検知有効化処理の一例を示すフローチャートである。

【図12】図１２は、第１実施形態に係る車載システムにおける異常検知の無効化の手順の第１例を示すシーケンス図である。

【図13】図１３は、第１実施形態に係る車載システムにおける異常検知の無効化の手順の第２例を示すシーケンス図である。

【図14】図１４は、第２実施形態に係る車載システムの構成の一例を示すブロック図である。

【発明を実施するための形態】

【0012】

＜本開示の実施形態の概要＞
以下、本開示の実施形態の概要を列記して説明する。

【0013】

（１） 本実施形態に係る車載制御装置は、稼働状態とスリープ状態とを切替可能な車載装置とネットワークを介して接続された車載制御装置であって、前記車載装置の異常を検知する異常検知部と、前記車載装置が属するクラスタの状態に基づいて、前記車載装置がスリープ状態であるか否かを判定する判定部と、前記車載装置がスリープ状態である場合、前記異常検知部による異常の検知を無効化する制御部と、を備える。これにより、スリープ状態の車載装置を異常であると誤検知することを回避することができる。

【0014】

（２） 上記（１）において、前記判定部は、前記車載制御装置が前記クラスタに属する場合、前記車載制御装置が保持する前記クラスタの状態に基づいて、前記車載装置がスリープ状態であるか否かを判定してもよい。これにより、車載制御装置が車載装置と同じクラスタに属する場合に、車載装置が稼働状態であるかスリープ状態であるかを判定することができる。

【0015】

（３） 上記（１）において、前記判定部は、前記車載制御装置が前記クラスタに属しない場合、前記クラスタを制御するために前記ネットワークを伝送される制御メッセージにおいて指定された前記クラスタの状態に基づいて、前記車載装置がスリープ状態であるか否かを判定してもよい。これにより、車載制御装置が車載装置と同じクラスタに属しない場合に、車載装置が稼働状態であるかスリープ状態であるかを判定することができる。

【0016】

（４） 上記（１）から（３）のいずれか１つにおいて、前記車載装置が第１クラスタ及び第２クラスタに属する場合、前記判定部は、前記第１クラスタの状態及び前記第２クラスタの状態に基づいて、前記車載装置がスリープ状態か否かを判定してもよい。これにより、車載装置が第１クラスタ及び第２クラスタに属する場合に、車載装置が稼働状態であるかスリープ状態であるかを判定することができる。

【0017】

（５） 上記（１）から（４）のいずれか１つにおいて、前記判定部は、クラスタと車載装置との対応関係を示すテーブルによって、前記車載装置が属するクラスタを特定し、特定された前記クラスタの状態に基づいて、前記車載装置がスリープ状態か否かを判定してもよい。これにより、車載装置がどのクラスタに属するかをテーブルによって簡便に特定することができる。

【0018】

（６） 上記（１）から（５）のいずれか１つにおいて、前記クラスタの状態は、動作状態と停止状態とを含み、前記判定部は、前記クラスタの状態が停止状態である場合に、前記車載装置がスリープ状態であると判定してもよい。これにより、クラスタの状態によって、車載装置がスリープ状態であると正確に判定することができる。

【0019】

（７） 上記（１）から（６）のいずれか１つにおいて、前記異常検知部は、前記ネットワークを通じた前記車載装置の通信状態に基づいて、前記車載装置の異常を検知してもよい。これにより、車載装置がスリープ状態である場合に、異常検知部を無効化することにより、通信状態に基づく車載装置の異常の誤検知を回避することができる。

【0020】

（８） 上記（１）から（７）のいずれか１つにおいて、前記車載制御装置が前記クラスタに属し、且つ、前記クラスタが前記停止状態である場合に、前記車載制御装置は稼働状態を維持してもよい。これにより、車載制御装置がスリープ状態になることにより、車載装置の異常を検知できなくなることを回避することができる。

【0021】

（９） 本実施形態に係る制御方法は、稼働状態とスリープ状態とを切替可能な車載装置とネットワークを介して接続された車載制御装置によって用いられる制御方法であって、前記車載装置が属するクラスタの状態に基づいて、前記車載装置がスリープ状態であるか否かを判定するステップと、前記車載装置がスリープ状態である場合、前記車載装置の異常を検知する異常検知機能を無効化するステップと、を含む。これにより、スリープ状態の車載装置を異常であると誤検知することを回避することができる。

【0022】

（１０） 本実施形態に係る制御プログラムは、稼働状態とスリープ状態とを切替可能な車載装置とネットワークを介して接続された車載制御装置によって実行される制御プログラムであって、コンピュータに、前記車載装置が属するクラスタの状態に基づいて、前記車載装置がスリープ状態であるか否かを判定するステップと、前記車載装置がスリープ状態である場合、前記車載装置の異常を検知する異常検知機能を無効化するステップと、を実行させる。これにより、スリープ状態の車載装置を異常であると誤検知することを回避することができる。

【0023】

＜本開示の実施形態の詳細＞
以下、図面を参照しつつ、本発明の実施形態の詳細を説明する。なお、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

【0024】

［第１実施形態］
［１－１．車載システム］
図１は、第１実施形態に係る車載システムの構成の一例を示すブロック図である。車載システム１０は、車両に搭載される。

【0025】

第１実施形態に係る車載システム１０は、中継ＥＣＵ１００と、ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄとを含む。車載システム１０は、中継ＥＣＵ１００，ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄ，…及びそれらを繋ぐ通信線１１Ａ，１１Ｂ，１１Ｃ，１１Ｄ，１２によって構成される車載ネットワークである。以下の説明では、通信線１１Ａ，１１Ｂ，１１Ｃ，１１Ｄを総称して「通信線１１」ということがある。

【0026】

複数のＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄは、車両の各部に配置される。ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄは、車両の各部のハードウェアを個別に制御したり、車両の各部のハードウェアの状態を監視したりする。例えば、ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄは、制御系、ボディ系、情報系のＥＣＵである。なお、以下の説明では、ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄを総称して「ＥＣＵ２００」ということがある。

【0027】

中継ＥＣＵ１００は、ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄのそれぞれと通信線１１Ａ，１１Ｂ，１１Ｃ，１１Ｄと接続されている。すなわち、中継ＥＣＵ１００とＥＣＵ２００Ａとが通信線１１Ａによって接続される。中継ＥＣＵ１００とＥＣＵ２００Ｂとが通信線１１Ｂによって接続される。中継ＥＣＵ１００とＥＣＵ２００Ｃとが通信線１１Ｃによって接続される。中継ＥＣＵ１００とＥＣＵ２００Ｄとが通信線１１Ｄによって接続される。

【0028】

中継ＥＣＵ１００からは通信線１２が延びている。中継ＥＣＵ１００は、通信線１２を介して図示しない車載装置（例えば、中継ＥＣＵ又はＥＣＵ）と接続されている。

【0029】

通信線１１Ａ，１１Ｂ，１１Ｃ，１１Ｄ，１２のそれぞれは、イーサネットケーブル（「Ｅｔｈｅｒｎｅｔ」は登録商標）である。中継ＥＣＵ１００は、ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄのそれぞれは、イーサネットによる通信機能を有する。

【0030】

中継ＥＣＵ１００は、ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄ（及びその他のＥＣＵ）の間の通信を中継する。すなわち、中継ＥＣＵ１００は、ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄの間でイーサネットフレーム（メッセージ）を中継する。例えば、中継ＥＣＵ１００は、レイヤ２スイッチ及びレイヤ３スイッチのすくなくとも１つのイーサネットスイッチとして機能する。これにより、ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄは相互に通信することができる。

【0031】

ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄのそれぞれは、通信線１１Ａ，１１Ｂ，１１Ｃ，１１Ｄに接続された通信Ｉ／Ｆ２１０を備える。通信Ｉ／Ｆ２１０は、パーシャルネットワーク機能に対応するＩ／Ｆである。中継ＥＣＵ１００は、通信線１１Ａに接続された通信Ｉ／Ｆ１１０Ａと、通信線１１Ｂに接続された通信Ｉ／Ｆ１１０Ｂと、通信線１１Ｃに接続された通信Ｉ／Ｆ１１０Ｃと、通信線１１Ｄに接続された通信Ｉ／Ｆ１１０Ｄと、通信線１２に接続された通信Ｉ／Ｆ１１０Ｅとを備える。通信Ｉ／Ｆ１１０Ａ，１１０Ｂ，１１０Ｃ，１１０Ｄは、パーシャルネットワーク機能に対応するＩ／Ｆである。

【0032】

中継ＥＣＵ１００，ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄは、パーシャルネットワーク機能に対応した通信プロトコルを使用する。第１実施形態では、通信プロトコルはイーサネットである。

【0033】

中継ＥＣＵ１００，ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄは、パーシャルネットワーク用のＮＭメッセージを送受信することができる。ＮＭメッセージは、ＰＮＣの要求又は開放を指定するメッセージである。ＮＭメッセージは、定期的に送信されるＵＤＰ（User Datagram Protocol）パケットである。ＮＭメッセージにおいて要求が指定されたＰＮＣに属するＥＣＵ２００（ノード）は、ウェイクアップする。ＮＭメッセージにおいて開放が指定されたＰＮＣに属するノードは、スリープする。ここで、スリープとは、ＥＣＵ２００が一部の機能以外の機能を一時的に停止し、節電状態で待機することを意味する。ウェイクアップとは、スリープ状態のＥＣＵ２００が稼働状態へ移行することを意味する。稼働状態とは、ＥＣＵ２００の全機能が動作することを意味する。

【0034】

［１－２．中継ＥＣＵの構成］
以下、中継ＥＣＵ１００のハードウェア構成について説明する。中継ＥＣＵ１００は、「車載制御装置」の一例である。

【0035】

図２は、第１実施形態に係る中継ＥＣＵのハードウェア構成の一例を示すブロック図である。中継ＥＣＵ１００は、マイクロコントローラ１１５と、通信Ｉ／Ｆ１１０Ａ，１１０Ｂ，１１０Ｃ，１１０Ｄとを含む。

【0036】

マイクロコントローラ１１５は、例えば１チップの半導体集積回路であり、プロセッサ１０１と、不揮発性メモリ１０２と、揮発性メモリ１０３と、周辺回路１０４と、入出力インタフェース（Ｉ／Ｏ）１０５とを含む。

【0037】

揮発性メモリ１０３は、例えばＳＲＡＭ（Static Random Access Memory）、ＤＲＡＭ（Dynamic Random Access Memory）等の半導体メモリである。不揮発性メモリ１０２は、例えばフラッシュメモリ、ＲＯＭ（Read Only Memory）、ＥＰＲＯＭ（Erasable Programmable Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）等の半導体メモリである。

【0038】

プロセッサ１０１は、例えばＣＰＵ（Central Processing Unit）である。ただし、プロセッサ１０１は、ＣＰＵに限られない。プロセッサ１０１は、ＧＰＵ（Graphics Processing Unit）であってもよい。プロセッサ１０１は、コンピュータプログラムを実行可能に構成される。ただしプロセッサ１０１は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）を一部に含んでもよいし、ＦＰＧＡ（Field Programmable Gate Array）等のプログラマブルロジックデバイスを一部に含んでもよい。

【0039】

不揮発性メモリ１０２には、コンピュータプログラムである異常検知プログラム１０６、制御プログラム１０７、並びに異常検知プログラム１０６及び制御プログラム１０７それぞれの実行に使用されるデータが格納される。異常検知プログラム１０６及び制御プログラム１０７は、フラッシュメモリ、ＲＯＭ、ＣＤ－ＲＯＭなどの記録媒体に記憶させることができる。プロセッサ１０１は、異常検知プログラム１０６によって、ＥＣＵ２００に生じた異常を検知することができる。プロセッサ１０１は、制御プログラム１０７によって、異常検知プログラム１０６による異常の誤検知を回避することができる。

【0040】

不揮発性メモリ１０２には、クラスタテーブル１０８が格納される。クラスタテーブル１０８については後述する。

【0041】

周辺回路１０４は、マイクロコントローラ１１５に種々の機能を実現させるための回路である。例えば、周辺回路１０４は、汎用入出力ポート（ＧＰＩＯ）、アナログ／デジタル変換器、タイマ、シリアル通信等の回路を含む。シリアル通信回路は、例えば、ＵＡＲＴ（Universal Asynchronous Receiver/Transmitter）、Ｉ２Ｃ（Inter-Integrated Circuit）、ＳＰＩ（serial peripheral interface）等の規格に準拠している。

【0042】

Ｉ／Ｏ１０５は、通信Ｉ／Ｆ１１０Ａ，１１０Ｂ，１１０Ｃ，１１０Ｄに接続されている。Ｉ／Ｏ１０５は、通信Ｉ／Ｆ１１０Ａ，１１０Ｂ，１１０Ｃ，１１０Ｄとの入出力に使用されるポートである。

【0043】

通信Ｉ／Ｆ１１０Ａ，１１０Ｂ，１１０Ｃ，１１０Ｄは、イーサネットに準拠した通信インタフェースである。上述したように、通信Ｉ／Ｆ１１０Ａ，１１０Ｂ，１１０Ｃ，１１０Ｄは、パーシャルネットワーク機能に対応したＩ／Ｆである。

【0044】

通信Ｉ／Ｆ１１０Ａは、ＰＨＹ１１１Ａを含む。通信Ｉ／Ｆ１１０Ｂは、ＰＨＹ１１１Ｂを含む。通信Ｉ／Ｆ１１０Ｃは、ＰＨＹ１１１Ｃを含む。通信Ｉ／Ｆ１１０Ｄは、ＰＨＹ１１１Ｄを含む。

【0045】

ＰＨＹ１１１Ａは、通信線１１Ａに接続されている。ＰＨＹ１１１Ｂは、通信線１１Ｂに接続されている。ＰＨＹ１１１Ｃは、通信線１１Ｃに接続されている。ＰＨＹ１１１Ｄは、通信線１１Ｄに接続されている。

【0046】

ＰＨＹ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄは、通信線１１Ａ，１１Ｂ，１１Ｃ，１１Ｄから受信したアナログ信号をデジタル信号へ変換する。ＰＨＹ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄは、デジタル信号をアナログ信号へ変換し、変換後のアナログ信号を通信線１１Ａ，１１Ｂ，１１Ｃ，１１Ｄへ送出する。

【0047】

ＰＨＹ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄは、パーシャルネットワーク機能に対応しており、ＮＭメッセージにおいてウェイクアップ対象として指定されたＰＮＣ及びスリープ対象として指定されたＰＮＣを解釈することができる。

【0048】

通信Ｉ／Ｆ１１０Ａ，１１０Ｂ，１１０Ｃ，１１０Ｄは、送受信するフレーム（メッセージ）の処理を実行するための図示しない処理回路を含む。

【0049】

［１－３．ＥＣＵの構成］
以下、ＥＣＵ２００のハードウェア構成について説明する。ＥＣＵ２００は、「車載装置」の一例である。

【0050】

図３は、第１実施形態に係るＥＣＵのハードウェア構成の一例を示すブロック図である。ＥＣＵ２００は、マイクロコントローラ２２０と、通信Ｉ／Ｆ２１０とを含む。

【0051】

マイクロコントローラ２２０は、上述した中継ＥＣＵ１００のマイクロコントローラ１１５と同じ構成を有する。つまり、マイクロコントローラ２２０は、プロセッサ２０１と、不揮発性メモリ２０２と、揮発性メモリ２０３と、周辺回路２０４と、Ｉ／Ｏ２０５とを含む。

【0052】

不揮発性メモリ２０２には、コンピュータプログラムであるアプリケーションプログラム（以下、「ＡＰＰ」ともいう）２０６及びＡＰＰ２０６の実行に使用されるデータが格納される。ＡＰＰ２０６は、フラッシュメモリ、ＲＯＭ、ＣＤ－ＲＯＭなどの記録媒体に記憶させることができる。プロセッサ２０１は、ＡＰＰ２０６によって、ＥＣＵとしてのサービスを提供するための機能を実行することができる。

【0053】

周辺回路２０４は、例えば、ＵＡＲＴ、Ｉ２Ｃ、ＳＰＩ等の規格に準拠したシリアル通信回路を含む。周辺回路２０４の当該シリアル通信回路は、ＥＣＵ２００の制御対象のデバイス又はセンサに接続されており、センサから出力された信号を受信したり、制御対象へ制御信号を送信したりすることができる。

【0054】

Ｉ／Ｏ２０５は、通信Ｉ／Ｆ２１０に接続されている。Ｉ／Ｏ２０５は、通信Ｉ／Ｆ２１０との入出力に使用されるポートである。

【0055】

通信Ｉ／Ｆ２１０は、イーサネットに準拠した通信インタフェースである。上述したように、通信Ｉ／Ｆ２１０は、パーシャルネットワーク機能に対応したＩ／Ｆである。

【0056】

通信Ｉ／Ｆ２１０は、ＰＨＹ２１１を含む。

【0057】

ＰＨＹ２１１は、通信線１１に接続されている。すなわち、ＥＣＵ２００ＡのＰＨＹ２１１は、通信線１１Ａに接続されている。ＥＣＵ２００ＢのＰＨＹ２１１は、通信線１１Ｂに接続されている。ＥＣＵ２００ＣのＰＨＹ２１１は、通信線１１Ｃに接続されている。ＥＣＵ２００ＤのＰＨＹ２１１は、通信線１１Ｄに接続されている。

【0058】

ＰＨＹ２１１は、通信線１１から受信したアナログ信号をデジタル信号へ変換する。ＰＨＹ２１１は、デジタル信号をアナログ信号へ変換し、変換後のアナログ信号を通信線１１へ送出する。

【0059】

通信Ｉ／Ｆ２１０は、送受信するフレーム（メッセージ）の処理を実行するための図示しない処理回路を含む。

【0060】

通信Ｉ／Ｆ２１０は、パーシャルネットワーク機能に対応している。上述した処理回路又はプロセッサ２０１は、ＮＭメッセージにおいてウェイクアップ対象として指定されたＰＮＣ及びスリープ対象として指定されたＰＮＣを解釈することができる。

【0061】

［１－４．ＰＮＣ］
ＰＮＣについて説明する。中継ＥＣＵ１００，ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄ（及びその他のＥＣＵ）のそれぞれは、少なくとも１個のＰＮＣに属している。中継ＥＣＵ１００の不揮発性メモリ１０２は、中継ＥＣＵ１００，ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄと、中継ＥＣＵ１００，ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄのそれぞれが属するＰＮＣとを紐付けたクラスタテーブル１０８を格納する（図２参照）。

【0062】

ＰＮＣは、例えば、ユーザに提供されるサービス毎に定められてもよい。サービスは、１つ又は複数のＥＣＵによって実行される。

【0063】

複数のＥＣＵによって実行されるサービスの例として、ヘッドライトのオートハイビーム制御、オートクルーズ走行、ドアロック解除、エアコンの遠隔制御、盗難防止アラーム通知、電気自動車における走行用バッテリ（高圧バッテリ）の充電、走行用バッテリから補機バッテリ（低圧バッテリ）への充電等がある。

【0064】

ヘッドライトのオートハイビーム制御は、ヘッドライトを制御するヘッドライトＥＣＵと、車両走行用のＥＣＵ（エンジンＥＣＵ、ブレーキＥＣＵ等）とによって実行される。このため、ヘッドライトＥＣＵと車両走行用のＥＣＵとは同じＰＮＣに属する。

【0065】

オートクルーズ走行は、ＡＤＡＳ（Advanced Driver-Assistance Systems）ＥＣＵと、レーダの検知結果を処理し、車両外部の物体を検知するレーダＥＣＵと、車両走行用のＥＣＵとによって実行される。このため、ＡＤＡＳ ＥＣＵとレーダＥＣＵと車両走行用のＥＣＵとは同じＰＮＣに属する。

【0066】

ドアロック解除は、例えば、車両のボディの可動部（ドアロック、パワーウインドウ、ドアミラー等）を制御するボディＥＣＵと、スマートキー（キーフォブ）から送信されるコードを認証する認証ＥＣＵとによって実行される。このため、ボディＥＣＵと認証ＥＣＵとは同じＰＮＣに属する。

【0067】

エアコンの遠隔制御は、例えば、エアコンを制御するエアコンＥＣＵと、エンジンを制御するエンジンＥＣＵとによって実行される。このため、エアコンＥＣＵとエンジンＥＣＵとは同じＰＮＣに属する。

【0068】

盗難防止アラーム通知は、例えば、警報を発するアラームＥＣＵと、車外の装置（例えば、警備会社のサーバ）と通信する車外通信ＥＣＵとによって実行される。このため、アラームＥＣＵと車外通信ＥＣＵとは同じＰＮＣに属する。

【0069】

走行用バッテリの充電は、例えば、走行用バッテリ及び補機バッテリの充電を制御する充電ＥＣＵと、走行用バッテリを管理するバッテリ管理ＥＣＵとによって実行される。このため、充電ＥＣＵとバッテリ管理ＥＣＵとは同じＰＮＣに属する。

【0070】

補機バッテリの充電は、充電ＥＣＵと、バッテリ管理ＥＣＵと、走行用バッテリから出力される直流電圧を変換するＤＣ／ＤＣコンバータを制御する電力変換ＥＣＵとによって実行される。このため、充電ＥＣＵと、バッテリ管理ＥＣＵと、電力変換ＥＣＵとは同じＰＮＣに属する。

【0071】

１つのＥＣＵによって実行されるサービスもある。したがって、１つのＥＣＵのみを含むＰＮＣも設定可能である。１つのＥＣＵによって実行されるサービスの例として、ワイパー駆動、ステアリングの自動調整、シートの自動調整等がある。

【0072】

ワイパー駆動は、ワイパーを制御するワイパーＥＣＵによって実行される。このため、ワイパーＥＣＵのみが、１つのＰＮＣに属する。

【0073】

ステアリングの自動調整は、パワーステアリングを制御するパワステＥＣＵによって実行される。このため、パワステＥＣＵのみが、１つのＰＮＣに属する。

【0074】

シートの自動調整は、パワーシートを制御するシートＥＣＵによって実行される。このため、シートＥＣＵのみが、１つのＰＮＣに属する。

【0075】

図４は、クラスタテーブルの一例を示す図である。図４に示すクラスタテーブル１０８では、２個のＰＮＣ１及びＰＮＣ２に、中継ＥＣＵ１００，ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００ＤのうちのどのＥＣＵが属しているかを示している。なお、図４におけるＰＮＣ数は例示であり、３個以上のＰＮＣが用意されてもよいし。１個のＰＮＣが用意されてもよい。テーブル中において、「１」はその行のＰＮＣに中継ＥＣＵ１００，ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄのうちの対応するＥＣＵが属していることを示し、「０」はその行のＰＮＣに中継ＥＣＵ１００，ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄのうちの対応するＥＣＵが属していないことを示している。

【0076】

例えば、ＰＮＣ１には、中継ＥＣＵ１００，ＥＣＵ２００Ａ，２００Ｂ，２００Ｃが属している。ＰＮＣ２には、中継ＥＣＵ１００，ＥＣＵ２００Ａ，２００Ｄが属している。

【0077】

クラスタテーブル１０８は、不揮発性メモリ１０２に予め記憶された静的な情報である。ただし、クラスタテーブル１０８は、例えば中継ＥＣＵ１００において中継されるＮＭメッセージに基づいて動的に作成されてもよい。

【0078】

［１－５．ＥＣＵの状態］
ＥＣＵ２００の状態には、稼働状態及びスリープ状態が含まれる。稼働状態は、ＥＣＵ２００が稼働している状態であり、制御対象を制御し、中継ＥＣＵ１００及び他のＥＣＵ２００と通信することが可能な状態である。スリープ状態は、通信Ｉ／Ｆ２１０の一部の機能を除いてＥＣＵ２００が停止した状態である。

【0079】

ＮＭメッセージには、ＰＮ情報が含まれる。ＰＮ情報は、ＰＮＣ毎に要求（Requested）又は開放（Released）の指定が含まれる。要求は、ＰＮＣのウェイクアップに対応する。すなわち、ＮＭメッセージにおいて要求が指定されたＰＮＣは、ウェイクアップ対象のＰＮＣである。開放は、ＰＮＣのスリープに対応する。すなわち、ＮＭメッセージにおいて開放が指定されたＰＮＣは、スリープ対象のＰＮＣである。

【0080】

図５は、ＮＭメッセージにおけるＰＮ情報の一例を示す図である。図５の例では、ＰＮＣ１に対して「要求」が指定され、ＰＮＣ２に対して「開放」が指定され、ＰＮＣ３に対して「開放」が指定され、ＰＮＣ４に対して「要求」が指定されている。すなわち、ＰＮＣ１に属するＥＣＵ２００はウェイクアップ対象であり、ＰＮＣ２に属するＥＣＵ２００はスリープ対象であり、ＰＮＣ３に属するＥＣＵ２００はスリープ対象であり、ＰＮＣ４に属するＥＣＵ２００はウェイクアップ対象である。

【0081】

ＮＭメッセージの送信元のＥＣＵ２００は、ＮＭメッセージをブロードキャストする。これにより、ネットワークに接続された全てのＥＣＵ２００にＮＭメッセージが送信される。ただし、ＮＭメッセージは、送信対象のＥＣＵ２００へユニキャスト又はマルチキャストされてもよい。

【0082】

図６は、車載システムにおけるＮＭメッセージの伝送の一例を示す図である。図６において、「ＰＮＣ１」の文字を囲む四角形の枠は、ＰＮＣ１に対して「要求」が指定されたＮＭメッセージを示す。「ＰＮＣ２」の文字を囲む四角形の枠は、ＰＮＣ２に対して「要求」が指定されたＮＭメッセージを示す。

【0083】

ＥＣＵ２００Ｃは、ＰＮＣ１に対して要求が指定されたＮＭメッセージ（以下、「第１メッセージ」ともいう）を送信する。中継ＥＣＵ１００は、第１メッセージを受信すると、各ポートから第１メッセージを送出する。これにより、ＥＣＵ２００Ａ，２００Ｂ，２００Ｄに第１メッセージが送信される。なお、ここではＮＭメッセージがブロードキャストされる場合を説明している。ＮＭメッセージがユニキャスト又はマルチキャストされる場合、ＰＮＣ１に属するＥＣＵ２００Ａに接続されたポートのみから第１メッセージが送出される。

【0084】

ＥＣＵ２００Ｄは、ＰＮＣ２に対して要求が指定されたＮＭメッセージ（以下、「第２メッセージ」ともいう）を送信する。中継ＥＣＵ１００は、第２メッセージを受信すると、各ポートから第２メッセージを送出する。これにより、ＥＣＵ２００Ａ，２００Ｂ，２００Ｃに第２メッセージが送信される。ＮＭメッセージがユニキャスト又はマルチキャストされる場合、ＰＮＣ２に属するＥＣＵ２００Ａ及びＥＣＵ２００Ｂのそれぞれに接続された各ポートのみから第２メッセージが送出される。

【0085】

図７は、ＥＣＵの状態遷移図である。スリープ状態のＥＣＵ２００は、ＮＭメッセージを受信することができる。すなわち、ＥＣＵ２００の通信Ｉ／Ｆ２１０は、スリープ状態であってもＮＭメッセージを受信する機能を有する。通信Ｉ／Ｆ２１０は、ＮＭメッセージを受信すると、ＮＭメッセージに含まれるＰＮ情報を参照し、ＥＣＵ２００が属するＰＮＣに対して要求（ウェイクアップ）が指定されているか否かを判定する。

【0086】

ＮＭメッセージにＰＮＣの要求が指定されている場合、ＥＣＵ２００はウェイクアップする。これにより、ＥＣＵ２００の状態がスリープ状態から稼働状態へ遷移する。

【0087】

稼働状態のＥＣＵ２００が、自装置が属するＰＮＣの要求が指定されたＮＭメッセージを受信した場合、ＥＣＵ２００は稼働状態を維持する。

【0088】

稼働状態のＥＣＵ２００が、一定期間、自装置が属するＰＮＣの要求が指定されたＮＭメッセージを受信しなかった場合、ＥＣＵ２００は稼働状態からスリープ状態へ遷移する。すなわち、稼働状態のＥＣＵ２００が、一定期間、自装置が属するＰＮＣの開放が指定されたＮＭメッセージしか受信しなかった場合、又は、ＮＭメッセージを受信しなかった場合には、ＥＣＵ２００は稼働状態からスリープ状態へ遷移する。

【0089】

図６に戻り、ＥＣＵ２００Ａ及び２００Ｂがスリープ状態であるとする。なお、ＮＭメッセージの送信元であるＥＣＵ２００Ｃ，２００Ｄは稼働状態である。ＮＭメッセージを中継する中継ＥＣＵ１００も稼働状態である。

【0090】

図４に示すように、ＰＮＣ１には、中継ＥＣＵ１００，ＥＣＵ２００Ａ，２００Ｃが属し、ＰＮＣ２には、中継ＥＣＵ１００，ＥＣＵ２００Ａ，２００Ｂ，２００Ｄが属しているとする。

【0091】

ＥＣＵ２００Ａは、ＰＮＣ１に対して「要求」が指定された第１メッセージを受信すると、ウェイクアップする。これにより、ＥＣＵ２００Ａの状態がスリープ状態から稼働状態に遷移する。ＥＣＵ２００Ａは、第１メッセージを受信した場合、ＰＮＣ１の状態が「動作状態」であると判断し、ＰＮＣ１が動作状態であることを示す情報を保持する（例えば、不揮発性メモリ２０２に記憶する）。ここで、ＥＣＵ２００Ａは、ＰＮＣ２が停止状態であることを示す情報も保持している。

【0092】

一方、ＰＮＣ１に属しないＥＣＵ２００Ｂは、第１メッセージを受信しても、スリープ状態を維持する。

【0093】

ＥＣＵ２００Ａは、ＰＮＣ２に対して「要求」が指定された第２メッセージを受信した場合、既に稼働状態であるため稼働状態を維持する。ＥＣＵ２００Ａは、第２メッセージを受信した場合、ＰＮＣ２の状態が「動作状態」であると判断し、ＰＮＣ２が動作状態であることを示す情報を保持する。すなわち、ＥＣＵ２００Ａは、例えば不揮発性メモリ２０２に記憶しているＰＮＣ２が停止状態であることを示す情報を、ＰＮＣ２が動作状態であることを示す情報に書き換える。

【0094】

一方、ＰＮＣ２に属するＥＣＵ２００Ｂは、第２メッセージを受信すると、ウェイクアップする。これにより、ＥＣＵ２００Ｂの状態がスリープ状態から稼働状態に遷移する。ＥＣＵ２００Ｂは、第２メッセージを受信した場合、ＰＮＣ２の状態が「動作状態」であると判断し、ＰＮＣ２が動作状態であることを示す情報を保持する。

【0095】

例えば、ＥＣＵ２００Ｃが第１メッセージを送信しなくなった場合、ＥＣＵ２００Ａは、内蔵するタイマによって第１メッセージを受信しなくなってからの経過時間を測定し、測定した経過時間が一定期間に達したか否かを判定する。ＥＣＵ２００Ａは、一定期間第１メッセージを受信しない場合に、ＰＮＣ１が停止状態であると判断し、ＰＮＣ１が停止状態であることを示す情報を保持する。すなわち、ＥＣＵ２００Ａは、例えば不揮発性メモリ２０２に記憶しているＰＮＣ１が動作状態であることを示す情報を、ＰＮＣ１が停止状態であることを示す情報に書き換える。

【0096】

一方、ＰＮＣ１に属しないＥＣＵ２００Ｂは、第１メッセージを一定期間受信しなくても、稼働状態を維持する。

【0097】

ＥＣＵ２００Ｄが第２メッセージを送信しなくなった場合、ＥＣＵ２００Ａは、内蔵するタイマによって第２メッセージを受信しなくなってからの経過時間を測定し、測定した経過時間が一定期間に達したか否かを判定する。ＥＣＵ２００Ａは、一定期間第２メッセージを受信しない場合に、ＰＮＣ２が停止状態であると判断し、ＰＮＣ２が停止状態であることを示す情報を保持する。すなわち、ＥＣＵ２００Ａは、例えば不揮発性メモリ２０２に記憶しているＰＮＣ２が動作状態であることを示す情報を、ＰＮＣ２が停止状態であることを示す情報に書き換える。

【0098】

ＥＣＵ２００Ａが属するＰＮＣ１及びＰＮＣ２の両方が停止状態となったため、ＥＣＵ２００Ａはスリープする。

【0099】

ＥＣＵ２００Ｂは、内蔵するタイマによって第２メッセージを受信しなくなってからの経過時間を測定し、測定した経過時間が一定期間に達したか否かを判定する。ＥＣＵ２００Ｂは、一定期間第２メッセージを受信しない場合に、ＰＮＣ２が停止状態であると判断し、ＰＮＣ２が停止状態であることを示す情報を保持する。

【0100】

ＥＣＵ２００Ｂが属するＰＮＣはＰＮＣ２だけであり、ＰＮＣ２が停止状態となったため、ＥＣＵ２００Ｂはスリープする。

【0101】

［１－６．中継ＥＣＵの機能］
図８は、第１実施形態に係る中継ＥＣＵの機能の一例を示す機能ブロック図である。

【0102】

中継ＥＣＵ１００は、異常検知部１２０と、判定部１２１と、制御部１２２との各機能を有する。異常検知部１２０は、プロセッサ１０１が異常検知プログラム１０６を実行することにより実現される。判定部１２１及び制御部１２２は、プロセッサ１０１が制御プログラム１０７を実行することにより実現される。

【0103】

異常検知部１２０は、ＥＣＵ２００の異常を検知する。例えば、異常検知部１２０は、ネットワークを通じたＥＣＵ２００の通信状態に基づいて、ＥＣＵ２００の異常を検知する。

【0104】

具体的な一例では、異常検知部１２０は、通信Ｉ／Ｆ１１０Ａ，１１０Ｂ，１１０Ｃ，１１０Ｄそれぞれのリンク状態を監視する。異常検知部１２０は、通信Ｉ／Ｆ１１０Ａ，１１０Ｂ，１１０Ｃ，１１０Ｄにおいて、リンクアップ状態の通信Ｉ／Ｆに対応するＥＣＵ２００は正常であると判断する。異常検知部１２０は、通信Ｉ／Ｆ１１０Ａ，１１０Ｂ，１１０Ｃ，１１０Ｄにおいて、リンクダウン状態となった通信Ｉ／Ｆを検知することによって、この通信Ｉ／Ｆに対応するＥＣＵ２００の異常を検知する。例えば、通信Ｉ／Ｆ１１０Ａがリンクダウン状態である場合、異常検知部１２０は、ＥＣＵ２００Ａの異常を検知する。

【0105】

他の例では、異常検知部１２０は、特定のメッセージ（以下、「異常検知メッセージ」ともいう）を各通信Ｉ／Ｆ１１０Ａ，１１０Ｂ，１１０Ｃ，１１０Ｄから送出する。ＥＣＵ２００は、異常検知メッセージを受信すると、応答メッセージ（Ａｃｋ）を返す。異常検知部１２０は、Ａｃｋを受信した場合に、Ａｃｋを受信したポート（通信Ｉ／Ｆ）に対応するＥＣＵ２００は正常であると判断する。異常検知部１２０は、通信Ｉ／Ｆ１１０Ａ，１１０Ｂ，１１０Ｃ，１１０Ｄにおいて、Ａｃｋを受信しない通信Ｉ／Ｆを検知することによって、この通信Ｉ／Ｆに対応するＥＣＵ２００の異常を検知する。例えば、通信Ｉ／Ｆ１１０ＡがＡｃｋを受信しない場合、異常検知部１２０は、ＥＣＵ２００Ａの異常を検知する。

【0106】

上記の異常検知メッセージは、ＩＣＭＰ（Internet Control Message Protocol）のｅｃｈｏ ｒｅｑｕｅｓｔであり、応答メッセージはｅｃｈｏ ｒｅｐｌｙであってもよい。

【0107】

判定部１２１は、ＥＣＵ２００が属するＰＮＣの状態に基づいて、ＥＣＵ２００がスリープ状態であるか否かを判定する。すなわち、判定部１２１は、ＰＮＣが動作状態であるか停止状態であるかによって、ＥＣＵ２００がスリープ状態であるか否かを判定する。さらに具体的には、判定部１２１は、特定のＰＮＣが動作状態である場合、当該ＰＮＣに属するＥＣＵ２００が稼働状態であると判定する。判定部１２１は、特定のＰＮＣが停止状態である場合、当該ＰＮＣに属するＥＣＵ２００がスリープ状態であると判定する。

【0108】

具体的な一例では、判定部１２１は、中継ＥＣＵ１００が特定のＰＮＣに属する場合、中継ＥＣＵ１００が保持する当該ＰＮＣの状態情報に基づいて、ＥＣＵ２００がスリープ状態であるか否かを判定する。

【0109】

図４の例において、中継ＥＣＵ１００はＰＮＣ１に属している。したがって、中継ＥＣＵ１００は、上述したようにＰＮＣ１の状態（動作状態又は停止状態）を示す状態情報を保持している。判定部１２１は、中継ＥＣＵ１００が保持する状態情報に基づいて、ＰＮＣ１に属するＥＣＵ２００Ａ、２００Ｃの状態を判定する。すなわち、ＰＮＣ１が動作状態である場合、判定部１２１は、ＥＣＵ２００Ａ，２００Ｃが稼働状態であると判定する。ＰＮＣ１が停止状態である場合、判定部１２１は、ＥＣＵ２００Ａ，２００Ｃがスリープ状態であると判定する。

【0110】

図８に戻り、他の具体的な一例では、判定部１２１は、中継ＥＣＵ１００が特定のＰＮＣに属しない場合、ＮＭメッセージにおいて指定されたＰＮＣの状態に基づいて、ＥＣＵ２００がスリープ状態であるか否かを判定する。すなわち、判定部１２１は、ＮＭメッセージにおいて特定のＰＮＣに対して「要求（動作状態）」が指定されているか「開放（停止状態）」が指定されているかに基づいて、当該ＰＮＣに属するＥＣＵ２００が稼働状態であるかスリープ状態であるかを判定する。

【0111】

さらに詳しくは、判定部１２１は、ＮＭメッセージにおいて特定のＰＮＣに対して「要求」が指定されている場合、当該ＰＮＣに属するＥＣＵ２００が稼働状態であると判定する。判定部１２１は、特定のＰＮＣに対して「要求」が指定されているＮＭメッセージを一定期間以上受信していない場合、当該ＰＮＣに属するＥＣＵ２００がスリープ状態であると判定する。

【0112】

図４の例において、中継ＥＣＵ１００はＰＮＣ２に属していない。判定部１２１は、ＮＭメッセージにおいてＰＮＣ２に対して指定されている状態を参照し、この状態に基づいて、ＰＮＣ２に属するＥＣＵ２００Ａ、２００Ｂ，２００Ｄの状態を判定する。すなわち、ＮＭメッセージにおいてＰＮＣ２に対して「要求」が指定されている場合、判定部１２１は、ＥＣＵ２００Ａ，２００Ｂ，２００Ｄが稼働状態であると判定する。ＰＮＣ２に対して「要求」が指定されているＮＭメッセージを一定期間以上受信していない場合、判定部１２１は、ＥＣＵ２００Ａ，２００Ｂ，２００Ｄがスリープ状態であると判定する。

【0113】

図８に戻り、ＥＣＵ２００が第１ＰＮＣ及び第２ＰＮＣに属する場合、例えば、判定部１２１は、第１ＰＮＣの状態及び第２ＰＮＣの状態に基づいて、ＥＣＵ２００がスリープ状態か否かを判定する。具体的には、判定部１２１は、第１ＰＮＣ及び第２ＰＮＣの少なくとも１つが動作状態である場合、第１ＰＮＣ及び第２ＰＮＣの両方に属するＥＣＵ２００が稼働状態であると判定する。判定部１２１は、第１ＰＮＣ及び第２ＰＮＣの両方が停止状態である場合、第１ＰＮＣ及び第２ＰＮＣの両方に属するＥＣＵ２００がスリープ状態であると判定する。

【0114】

図４の例では、ＥＣＵ２００Ａは、ＰＮＣ１及びＰＮＣ２の両方に属している。判定部１２１は、ＰＮＣ１及びＰＮＣ２の少なくとも１つが稼働状態である場合、ＥＣＵ２００Ａが稼働状態であると判定する。判定部１２１は、ＰＮＣ１及びＰＮＣ２の両方が停止状態である場合、ＥＣＵ２００Ａがスリープ状態であると判定する。

【0115】

図８に戻り、例えば、判定部１２１は、クラスタテーブル１０８によって、ＥＣＵ２００が属するＰＮＣを特定する。判定部１２１は、特定されたＰＮＣの状態に基づいて、ＥＣＵ２００がスリープ状態か否かを判定する。具体的には、判定部１２１は、図４に示すクラスタテーブル１０８を参照することにより、ＥＣＵ２００ＡがＰＮＣ１及びＰＮＣ２に属することを特定する。同様に、判定部１２１は、クラスタテーブル１０８を参照することにより、ＥＣＵ２００ＢがＰＮＣ２に属することを特定する。判定部１２１は、クラスタテーブル１０８を参照することにより、ＥＣＵ２００ＣがＰＮＣ１に属することを特定する。判定部１２１は、クラスタテーブル１０８を参照することにより、ＥＣＵ２００ＤがＰＮＣ２に属することを特定する。

【0116】

ここで、中継ＥＣＵ１００はＰＮＣ１に属している。ＰＮＣ１に属するＥＣＵ２００Ｃは、ＰＮＣ１が停止状態である場合、すなわち、ＰＮＣ１に対して「要求」が指定されたＮＭメッセージを一定期間以上受信しない場合、スリープ状態である。一方、中継ＥＣＵ１００は、ＰＮＣ１が停止状態であってもスリープせず、稼働状態を維持する。これにより、中継ＥＣＵ１００がスリープすることにより、ＥＣＵ２００の異常を検知できなくなることを回避することができる。

【0117】

制御部１２２は、ＥＣＵ２００がスリープ状態である場合、異常検知部１２０による異常の検知を無効化する。具体的には、制御部１２２は、１つのＥＣＵ２００（以下、着目するＥＣＵを「対象ＥＣＵ」ともいう）に関する異常検知機能が有効である場合において、対象ＥＣＵ２００がスリープ状態であるときには、対象ＥＣＵ２００に関する異常検知機能を無効化する。制御部１２２は、対象ＥＣＵ２００に関する異常検知機能が無効である場合において、対象ＥＣＵ２００が稼働状態であるときには、対象ＥＣＵ２００に関する異常検知機能を有効化する。

【0118】

図９は、異常検知機能の無効化を説明するための図である。例えば、ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄのそれぞれに関する異常検知機能が全て有効である場合を考える。ここで、ＰＮＣ２が停止状態となった場合、ＰＮＣ２に属するＥＣＵ２００Ｂ及び２００Ｄがスリープする。このため、判定部１２１は、ＥＣＵ２００Ｂ及び２００Ｄがスリープ状態であると判定する。

【0119】

制御部１２２は、ＥＣＵ２００Ｂに関する異常検知機能を無効化する。同様に、制御部１２２は、ＥＣＵ２００Ｄに関する異常検知機能を無効化する。これにより、ＥＣＵ２００Ｂ及び２００Ｄにおける異常の誤検知が回避される。

【0120】

ここで、ＰＮＣ２が動作状態となった場合、ＰＮＣ２に属するＥＣＵ２００Ｂ及び２００Ｄがウェイクアップする。このため、判定部１２１は、ＥＣＵ２００Ｂ及び２００Ｄが稼働状態であると判定する。

【0121】

制御部１２２は、ＥＣＵ２００Ｂに関する異常検知機能を有効化する。同様に、制御部１２２は、ＥＣＵ２００Ｄに関する異常検知機能を有効化する。これにより、ＥＣＵ２００Ｂ及び２００Ｄにおける異常検知が再開される。

【0122】

［１－７．中継ＥＣＵの動作］
次に、第１実施形態に係る中継ＥＣＵ１００の動作について説明する。

【0123】

プロセッサ１０１は、制御プログラム１０７により、以下のような異常検知無効化処理及び異常検知有効化処理を実行することができる。

【0124】

図１０は、第１実施形態に係る中継ＥＣＵによる異常検知無効化処理の一例を示すフローチャートである。

【0125】

プロセッサ１０１は、各ＥＣＵ２００を対象ＥＣＵに決定する。異常検知無効化処理は、対象ＥＣＵ毎に実行される。さらに具体的には、異常検知無効化処理は、異常検知機能が有効である対象ＥＣＵに対して実行される。すなわち、異常検知機能が有効である各対象ＥＣＵの異常検知無効化処理は並列して実行される。

【0126】

プロセッサ１０１は、クラスタテーブル１０８を参照し、対象ＥＣＵ２００が属するＰＮＣを特定する（ステップＳ１０１）。

【0127】

次にプロセッサ１０１は、特定したＰＮＣに中継ＥＣＵ１００が属しているか否かを判定する（ステップＳ１０２）。

【0128】

特定したＰＮＣに中継ＥＣＵ１００が属している場合（ステップＳ１０２においてＹＥＳ）、プロセッサ１０１は、中継ＥＣＵ１００が保持するＰＮＣの状態に基づいて、対象ＥＣＵ２００の状態を判断する（ステップＳ１０３）。すなわち、プロセッサ１０１は、中継ＥＣＵ１００が保持するＰＮＣの状態が動作状態である場合、対象ＥＣＵ２００が稼働状態であると判断する。一方、プロセッサ１０１は、中継ＥＣＵ１００が保持するＰＮＣの状態が停止状態である場合、対象ＥＣＵ２００がスリープ状態であると判断する。

【0129】

特定したＰＮＣに中継ＥＣＵ１００が属していない場合（ステップＳ１０２においてＮＯ）、プロセッサ１０１は、中継ＥＣＵ１００が受信したＮＭメッセージを参照する。プロセッサ１０１は、ＮＭメッセージにおいて指定されたＰＮＣの状態に基づいて、対象ＥＣＵ２００の状態を判断する（ステップＳ１０４）。すなわち、プロセッサ１０１は、中継ＥＣＵ１００が受信したＮＭメッセージにおいて、特定されたＰＮＣに対して「要求」が指定されている場合、対象ＥＣＵ２００が稼働状態であると判断する。一方、プロセッサ１０１は、特定されたＰＮＣに対して「要求」が指定されているＮＭメッセージが一定期間以上中継ＥＣＵ１００によって受信されていない場合、対象ＥＣＵ２００がスリープ状態であると判断する。

【0130】

プロセッサ１０１は、ステップＳ１０３又はＳ１０４において対象ＥＣＵ２００がスリープ状態であると判断されたか、稼働状態であると判断されたかを判定する（ステップＳ１０５）。

【0131】

対象ＥＣＵ２００が稼働状態であると判断された場合（ステップＳ１０５においてＮＯ）、異常検知無効化処理は終了する。すなわち、この場合、対象ＥＣＵ２００に関する異常検知機能の有効状態が維持される。

【0132】

対象ＥＣＵ２００がスリープ状態であると判断された場合（ステップＳ１０５においてＹＥＳ）、プロセッサ１０１は、対象ＥＣＵ２００に関する異常検知機能を無効化する（ステップＳ１０６）。以上で、異常検知無効化処理は終了する。

【0133】

図１１は、第１実施形態に係る中継ＥＣＵによる異常検知有効化処理の一例を示すフローチャートである。

【0134】

異常検知有効化処理は、対象ＥＣＵ毎に実行される。さらに具体的には、異常検知有効化処理は、異常検知機能が無効である対象ＥＣＵに対して実行される。すなわち、異常検知機能が無効である各対象ＥＣＵの異常検知有効化処理は並列して実行される。

【0135】

プロセッサ１０１は、クラスタテーブル１０８を参照し、対象ＥＣＵ２００が属するＰＮＣを特定する（ステップＳ２０１）。

【0136】

次にプロセッサ１０１は、特定したＰＮＣに中継ＥＣＵ１００が属しているか否かを判定する（ステップＳ２０２）。

【0137】

特定したＰＮＣに中継ＥＣＵ１００が属している場合（ステップＳ２０２においてＹＥＳ）、プロセッサ１０１は、中継ＥＣＵ１００が保持するＰＮＣの状態に基づいて、対象ＥＣＵ２００の状態を判断する（ステップＳ２０３）。ステップＳ２０３は、ステップＳ１０３と同じ処理である。

【0138】

特定したＰＮＣに中継ＥＣＵ１００が属していない場合（ステップＳ２０２においてＮＯ）、プロセッサ１０１は、中継ＥＣＵ１００が受信したＮＭメッセージを参照する。プロセッサ１０１は、ＮＭメッセージにおいて指定されたＰＮＣの状態に基づいて、対象ＥＣＵ２００の状態を判断する（ステップＳ２０４）。ステップＳ２０４は、ステップＳ１０４と同じ処理である。

【0139】

プロセッサ１０１は、ステップＳ２０３又はＳ２０４において対象ＥＣＵ２００がスリープ状態であると判断されたか、稼働状態であると判断されたかを判定する（ステップＳ２０５）。

【0140】

対象ＥＣＵ２００がスリープ状態であると判断された場合（ステップＳ２０５においてＮＯ）、異常検知有効化処理は終了する。すなわち、この場合、対象ＥＣＵ２００に関する異常検知機能の無効状態が維持される。

【0141】

対象ＥＣＵ２００が稼働状態であると判断された場合（ステップＳ２０５においてＹＥＳ）、プロセッサ１０１は、対象ＥＣＵ２００に関する異常検知機能を有効化する（ステップＳ２０６）。以上で、異常検知有効化処理は終了する。

【0142】

図１２は、第１実施形態に係る車載システムにおける異常検知の無効化の手順の第１例を示すシーケンス図である。

【0143】

図１２には、ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄが稼働状態である場合において、ＥＣＵ２００ＤがＰＮＣ２に対して「要求」を指定したＮＭメッセージを送信する例を示している。この例において、ＰＮＣ１に対して「要求」を指定したＮＭメッセージはいずれのＥＣＵ２００からも送信されない。

【0144】

ＥＣＵ２００Ｄは、ＰＮＣ２に対して「要求」を指定したＮＭメッセージを送信する（ステップＳ１１）。ＮＭメッセージはブロードキャストメッセージであり、中継ＥＣＵ１００，ＥＣＵ２００Ａ，２００Ｂ，２００Ｃのそれぞれに送信される。

【0145】

ＰＮＣ２に属するＥＣＵ２００Ａ，２００Ｂは、受信したＮＭメッセージにおいてＰＮＣ２に対する「要求」が指定されているため、稼働状態を維持する。ＮＭメッセージの送信元のＥＣＵ２００Ｄもまた、稼働状態を維持する。

【0146】

ＥＣＵ２００Ｄから送信されたＮＭメッセージでは、ＰＮＣ１に対して「開放」が指定されている。ＰＮＣ１に属するＥＣＵ２００Ｃは、ＰＮＣ１に対して「要求」が指定されているＮＭメッセージを一定期間以上受信しない。したがって、ＥＣＵ２００Ｃは、スリープする（ステップＳ１２）。

【0147】

中継ＥＣＵ１００もまたＰＮＣ１に属しているため、本来であればスリープの対象である。しかし、中継ＥＣＵ１００は異常検知無効化処理を実行する必要があるため、ＮＭメッセージにおけるＰＮ情報とは無関係に、稼働状態を維持する。

【0148】

中継ＥＣＵ１００は、ＰＮＣ１に対して「要求」が指定されているＮＭメッセージを一定期間以上受信しない。このため、中継ＥＣＵ１００のプロセッサ１０１は、ＰＮＣ１の状態が「停止状態」であると判断し、保持しているＰＮＣ１の状態情報を「動作状態」から「停止状態」へ遷移させる（ステップＳ１３）。

【0149】

プロセッサ１０１は、クラスタテーブル１０８を参照し、ＰＮＣ１に属するＥＣＵがＥＣＵ２００Ｃであると特定する。プロセッサ１０１は、特定したＥＣＵ２００Ｃの状態が「スリープ状態」であると判定する（ステップＳ１４）。

【0150】

プロセッサ１０１は、スリープ状態であると判定したＥＣＵ２００Ｃに関する異常検知機能を無効化する（ステップＳ１５）。

【0151】

稼働状態のＥＣＵ２００Ａ，２００Ｂ，２００Ｄに関する異常検知機能は有効である。したがって、中継ＥＣＵ１００は、ＥＣＵ２００Ａ，２００Ｂ，２００Ｄへ異常検知メッセージを送信する（ステップＳ１６，Ｓ１７，Ｓ１８）。ＥＣＵ２００Ａ，２００Ｂ，２００Ｄは、異常検知メッセージに対する応答を中継ＥＣＵ１００へ送信する（ステップＳ１９，Ｓ２０，Ｓ２１）。

【0152】

一方、中継ＥＣＵ１００は、異常検知機能が無効であるＥＣＵ２００Ｃに対しては、異常検知メッセージを送信しない。これにより、ＥＣＵ２００Ｃの異常の誤検知を回避することができる。

【0153】

図１３は、第１実施形態に係る車載システムにおける異常検知の無効化の手順の第２例を示すシーケンス図である。

【0154】

図１３には、ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄが稼働状態である場合において、ＥＣＵ２００ＣがＰＮＣ１に対して「要求」を指定したＮＭメッセージを送信する例を示している。この例において、ＰＮＣ２に対して「要求」を指定したＮＭメッセージはいずれのＥＣＵ２００からも送信されない。

【0155】

ＥＣＵ２００Ｃは、ＰＮＣ１に対して「要求」を指定したＮＭメッセージを送信する（ステップＳ２１）。ＮＭメッセージはブロードキャストメッセージであり、中継ＥＣＵ１００，ＥＣＵ２００Ａ，２００Ｂ，２００Ｃのそれぞれに送信される。

【0156】

ＰＮＣ１に属するＥＣＵ２００Ａは、受信したＮＭメッセージにおいてＰＮＣ１に対する「要求」が指定されているため、稼働状態を維持する。ＮＭメッセージの送信元のＥＣＵ２００Ｃもまた、稼働状態を維持する。

【0157】

中継ＥＣＵ１００もまたＰＮＣ１に属している。しかし、中継ＥＣＵ１００は異常検知無効化処理を実行する必要があるため、ＮＭメッセージにおけるＰＮ情報とは無関係に、稼働状態を維持する。

【0158】

ＥＣＵ２００Ｃから送信されたＮＭメッセージでは、ＰＮＣ２に対して「開放」が指定されている。ＰＮＣ２に属するＥＣＵ２００Ｂ，２００Ｄは、ＰＮＣ２に対して「要求」が指定されているＮＭメッセージを一定期間以上受信しない。したがって、ＥＣＵ２００Ｂ，２００Ｄは、スリープする（ステップＳ２２，Ｓ２３）。

【0159】

中継ＥＣＵ１００は、ＰＮＣ２に対して「要求」が指定されているＮＭメッセージを一定期間以上受信しない。このため、中継ＥＣＵ１００のプロセッサ１０１は、ＰＮＣ２の状態が「停止状態」であると判断する（ステップＳ２４）。

【0160】

プロセッサ１０１は、クラスタテーブル１０８を参照し、ＰＮＣ２に属するＥＣＵがＥＣＵ２００Ｂ，２００Ｄであると特定する。プロセッサ１０１は、特定したＥＣＵ２００Ｂ，２００Ｄの状態が「スリープ状態」であると判定する（ステップＳ２５）。

【0161】

プロセッサ１０１は、スリープ状態であると判定したＥＣＵ２００Ｂ，２００Ｄに関する異常検知機能を無効化する（ステップＳ２６）。

【0162】

稼働状態のＥＣＵ２００Ａ，２００Ｃに関する異常検知機能は有効である。したがって、中継ＥＣＵ１００は、ＥＣＵ２００Ａ，２００Ｃへ異常検知メッセージを送信する（ステップＳ２７，Ｓ２８）。ＥＣＵ２００Ａ，２００Ｃは、異常検知メッセージに対する応答を中継ＥＣＵ１００へ送信する（ステップＳ２９，Ｓ３０）。

【0163】

一方、中継ＥＣＵ１００は、異常検知機能が無効であるＥＣＵ２００Ｂ，２００Ｄに対しては、異常検知メッセージを送信しない。これにより、ＥＣＵ２００Ｂ，２００Ｄの異常の誤検知を回避することができる。

【0164】

［２．第２実施形態］
上記の第１実施形態では、中継ＥＣＵ１００はイーサネットスイッチであった。しかし、中継ＥＣＵはイーサネットスイッチに限られない。例えば、中継ＥＣＵは、ＣＡＮ（Controller Area Network）メッセージを中継する中継装置であってもよい。

【0165】

図１４は、第２実施形態に係る車載システムの構成の一例を示すブロック図である。

【0166】

車載システム２０は、中継ＥＣＵ３００と、ＥＣＵ４００Ａ，４００Ｂ，４００Ｃ，４００Ｄを含む。車載システム２０は、中継ＥＣＵ３００，ＥＣＵ４００Ａ，４００Ｂ，４００Ｃ，４００Ｄ及びそれらを繋ぐ通信バス２１Ａ，２１Ｂによって構成される車載ネットワークである。すなわち、車載システム２０は、バス型のネットワークトポロジを有するＣＡＮネットワークである。

【0167】

具体的には、ＥＣＵ４００Ａ，４００Ｂは通信バス２１Ａに接続されている。ＥＣＵ４００Ｃ，４００Ｄは通信バス２１Ｂに接続されている。中継ＥＣＵ３００は、通信バス２１Ａ，２１Ｂのそれぞれに接続されている。中継ＥＣＵ３００からは通信バス２２が延びている。中継ＥＣＵ３００は、通信バス２２を介して図示しない車載装置（例えば、中継ＥＣＵ又はＥＣＵ）と接続されている。

【0168】

中継ＥＣＵ３００及びＥＣＵ４００Ａ，４００Ｂ，４００Ｃ，４００Ｄのそれぞれは、ＣＡＮに準拠した通信Ｉ／Ｆを備える。中継ＥＣＵ３００は、ＥＣＵ４００Ａ，４００Ｂと、ＥＣＵ４００Ｃ，４００Ｄとの間の通信を中継する。すなわち、中継ＥＣＵ３００は、ＥＣＵ２００Ａ，２００Ｂと、ＥＣＵ２００Ｃ，２００Ｄとの間でＣＡＮフレーム（メッセージ）を中継する。

【0169】

中継ＥＣＵ３００，ＥＣＵ４００Ａ，４００Ｂ，４００Ｃ，４００Ｄは、パーシャルネットワーク用のＮＭメッセージを送受信することができる。ＮＭメッセージは、定期的に送信されるＣＡＮフレームである。

【0170】

本変形例では、中継ＥＣＵ３００は、異常検知メッセージであるＣＡＮメッセージを各通信バス２１Ａ，２１Ｂに送信する。ＥＣＵ４００Ａ，４００Ｂ，４００Ｃ，４００Ｄは、異常検知メッセージを受信すると、応答メッセージを通信バス２１Ａ，２１Ｂに送出する。例えば、応答メッセージには、送信元のＥＣＵ４００Ａ，４０Ｂ，４００Ｃ，４００ＤのＣＡＮ ＩＤが含まれる。中継ＥＣＵ３００は、応答メッセージを受信することで、ＣＡＮ ＩＤによって特定される送信元のＥＣＵ４００Ａ，４０Ｂ，４００Ｃ，４００Ｄが正常であると判断する。ＥＣＵ４００Ａ，４０Ｂ，４００Ｃ，４００Ｄのうち、応答メッセージを送信しないＥＣＵが存在する場合、中継ＥＣＵ３００は、応答メッセージを送信しないＥＣＵの異常を検知する。

【0171】

中継ＥＣＵ３００は、ＥＣＵ４００Ａ，４００Ｂ，４００Ｃ，４００Ｄのそれぞれがスリープ状態であるか否かを判定する。中継ＥＣＵ３００は、スリープ状態であると判定したＥＣＵに関する異常検知機能を無効化する。異常検知機能の無効化及び有効化については、上述した第１実施形態と同様である。

【0172】

［３．変形例］
上述した第１実施形態及び第２実施形態では、ＥＣＵ間の通信を中継する中継ＥＣＵ１００，３００が異常検知機能を有し、ＥＣＵがスリープ状態である場合に当該スリープ状態のＥＣＵについての異常検知機能を無効化したが、これに限定されない。例えば１つの通信バスに接続されたＥＣＵが、同じ通信バスに接続されているＥＣＵに関する異常検知機能を有し、同じ通信バスに接続されているＥＣＵがスリープ状態である場合に当該スリープ状態のＥＣＵについての異常検知機能を無効化してもよい。

【0173】

例えば、ＥＣＵ２００Ｂが異常検知機能を有する装置（車載制御装置）である場合を考える。ＥＣＵ２００Ｂは、同じ通信バス４００Ａに接続されたＥＣＵ２００Ａの異常を検知することができる。ここで、図４を参照し、ＥＣＵ２００ＢはＰＮＣ２に属しており、ＰＮＣ１には属していない。ＥＣＵ２００Ｄも同様に、ＰＮＣ２に属しており、ＰＮＣ１に属していない。ＥＣＵ２００Ｄは、ＰＮＣ２が停止状態である場合、すなわち、ＰＮＣ２に対して「要求」が指定されたＮＭメッセージを一定期間以上受信しない場合、スリープ状態である。一方、ＥＣＵ２００Ｂは、ＰＮＣ２が停止状態であってもスリープせず、稼働状態を維持する。これにより、ＥＣＵ２００Ｂがスリープすることにより、ＥＣＵ２００Ａの異常を検知できなくなることを回避することができる。なお、車載制御装置となり得るのはＥＣＵ２００Ｂだけでなく、ＥＣＵ２００Ａ，２００Ｃ，２００Ｄが異常検知機能を有する車載制御装置であってもよい。ＥＣＵ２００Ａ，２００Ｂ，２００Ｃ，２００Ｄが車載制御装置である場合、中継ＥＣＵ３００は、異常検知機能を有しない車載装置となり得る。

【0174】

第１実施形態ではイーサネットに準拠した車載ネットワークにおける異常検知及びその無効化について述べ、第２実施形態ではＣＡＮに準拠した車載ネットワークにおける異常検知及びその無効化について述べたが、これらに限定されない。パーシャルネットワークに対応している通信プロトコルであれば、イーサネット及びＣＡＮ以外の通信プロトコルを用いてもよい。例えば、ＦｌｅｘＲａｙに準拠した車載ネットワークにおいて、ＥＣＵの異常検知及びその無効化を実現してもよい。

【0175】

［４．補記］
今回開示された実施の形態はすべての点で例示であって、制限的ではない。本発明の権利範囲は、上述の実施形態ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味及びその範囲内でのすべての変更が含まれる。

【符号の説明】

【0176】

１０，２０ 車載システム
１１Ａ，１１Ｂ，１１Ｃ，１１Ｄ，１２ 通信線
１００，３００ 中継ＥＣＵ（車載制御装置，車載装置）
１０１ プロセッサ
１０２ 不揮発性メモリ
１０３ 揮発性メモリ
１０４ 周辺回路
１０５ 入出力インタフェース（Ｉ／Ｏ）
１０６ 異常検知プログラム
１０７ 制御プログラム
１０８ クラスタテーブル
１１０Ａ，１１０Ｂ，１１０Ｃ，１１０Ｄ 通信インタフェース（通信Ｉ／Ｆ）
１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄ ＰＨＹ
１１５ マイクロコントローラ
１２０ 異常検知部
１２１ 判定部
１２２ 制御部
２００，２００Ａ，２００Ｂ，２００Ｃ，２００Ｄ ＥＣＵ（車載装置）
２０１ プロセッサ
２０２ 不揮発性メモリ
２０３ 揮発性メモリ
２０４ 周辺回路
２０５ 入出力インタフェース（Ｉ／Ｏ）
２０６ アプリケーションプログラム（ＡＰＰ）
２２０ マイクロコントローラ
２１Ａ，２１Ｂ，２２ 通信バス
４００Ａ，４００Ｂ，４００Ｃ，４００Ｄ ＥＣＵ（車載装置，車載制御装置）

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】