特開 2024-48457 制御装置、制御方法、及び、記憶媒体

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024048457

(43)【公開日】2024-04-09

(54)【発明の名称】制御装置、制御方法、及び、記憶媒体

(51)【国際特許分類】

   G06F 11/36 20060101AFI20240402BHJP

   B60R 16/02 20060101ALI20240402BHJP

   G06F 11/30 20060101ALI20240402BHJP

【ＦＩ】

G06F11/36 168

B60R16/02 660W

G06F11/30 140D

【審査請求】有

【請求項の数】7

【出願形態】ＯＬ

(21)【出願番号】P 2022154375

(22)【出願日】2022-09-28

(71)【出願人】

【識別番号】000005326

【氏名又は名称】本田技研工業株式会社

(74)【代理人】

【識別番号】110001081

【氏名又は名称】弁理士法人クシブチ国際特許事務所

(72)【発明者】

【氏名】加藤 久浩

【テーマコード（参考）】

5B042

【Ｆターム（参考）】

5B042GB08

5B042HH11

5B042HH48

5B042MA08

5B042MA14

(57)【要約】

【課題】車両機器を制御するソフトウェアの検証を、車載機器本来の機能に影響を与えることなく実行可能とする。
【解決手段】プログラムを実行することによって、車両に搭載されたデバイスを制御する制御装置であって、プログラムを記憶する記憶部と、プロセッサと、を備え、プロセッサは、記憶部に記憶されたプログラムの実行を開始した後で、プログラムを部分的に実行して検証する検証動作を実行可能であり、プロセッサの負荷の状態に応じて、検証動作の実行態様を変更する、制御装置。
【選択図】図２

【特許請求の範囲】

【請求項1】

プログラムを実行することによって、車両に搭載されたデバイスを制御する制御装置であって、
前記プログラムを記憶する記憶部と、
プロセッサと、を備え、
前記プロセッサは、前記記憶部に記憶された前記プログラムの実行を開始した後で、前記プログラムを部分的に実行して検証する検証動作を実行可能であり、
前記プロセッサの負荷の状態に応じて、前記検証動作の実行態様を変更する、制御装置。

【請求項2】

前記プロセッサは、前記車両の走行状態に基づき前記プロセッサの負荷の状態を判定し、判定結果に応じて前記検証動作の実行態様を変更する、請求項１に記載の制御装置。

【請求項3】

前記プロセッサは、前記プログラムに関係する前記車両の機能と、前記車両の走行状態とに基づいて前記プロセッサの負荷の状態を判定し、判定結果に応じて前記検証動作の実行態様を変更する、請求項１に記載の制御装置。

【請求項4】

前記プロセッサは前記車両の走行制御に関係する前記プログラムを実行し、
前記検証動作の実行頻度を、第１頻度、および、前記第１頻度より低い第２頻度に設定可能であり、
前記車両の速度が第１速度以上であるときに前記検証動作の実行頻度を前記第２頻度とし、前記車両の速度が第２速度以下であるときに前記検証動作の実行頻度を前記第１頻度とする、請求項１に記載の制御装置。

【請求項5】

前記プロセッサは、前記車両にユーザが昇降する際に動作する装備品に関係する前記プログラムを実行し、
前記検証動作の実行頻度を、第３頻度、および、前記第３頻度より高い第４頻度に設定可能であり、
前記車両の速度が第１速度以上であるときに前記検証動作の実行頻度を前記第４頻度とし、前記車両の速度が第２速度以下であるときに前記検証動作の実行頻度を前記第３頻度とする、請求項１から請求項３のいずれかに記載の制御装置。

【請求項6】

記憶部とプロセッサとを備える制御装置によって前記記憶部に記憶されたプログラムを実行することにより、車両に搭載されたデバイスを制御する制御方法であって、
前記プロセッサにより、
前記記憶部に記憶された前記プログラムの実行を開始した後で、前記プログラムを部分的に実行して検証する検証動作を実行し、
前記検証動作の実行態様を前記プロセッサの負荷の状態に応じて変更する、制御方法。

【請求項7】

記憶部とプロセッサとを備え、車両に搭載されたデバイスを制御する制御装置が実行する制御プログラムを格納した記憶媒体であって、
前記プロセッサにより、
前記プロセッサが前記記憶部に記憶されたプログラムの実行を開始した後で、前記プログラムを部分的に実行して検証する検証動作を実行可能とし、
前記プロセッサの負荷の状態に応じて、前記検証動作の実行態様を変更させる制御プログラムを格納した、記憶媒体。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、制御装置、制御方法、及び、記憶媒体に関する。

【背景技術】

【0002】

近年、交通の安全性の向上や車両における居住性の向上を目的として、車両に搭載されるソフトウェアの機能が進化している。そして、ソフトウェアの機能の進化に伴って、プログラムの構造が複雑化しているため、ソフトウェアの挙動が正常であることを検証する手段が必要とされている。例えば、特許文献１には、車載制御プログラムを実行し、実行内容をモニタリングするための手法が開示されている。特許文献１の手法は、車載制御プログラムの実行内容をモニタリングする処理がＣＰＵの処理負荷となり、本来実行すべき制御プログラムが正しく動作しなくなるという課題を解決するため、プログラムの実行時データの作成または送信を、ＣＰＵを介さずにＤＭＡ転送により実行する。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０１８－４１１３０号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

特許文献１はＣＰＵが処理するデータをＤＭＡ転送する技術を車載制御プログラムに適用したものであり、適用可能なハードウェア及びソフトウェア構造に制限があった。このため、ソフトウェアに基づく制御を実行している間は、制御に支障を来さないようにするため、ソフトウェアの検証を行う機会が制限されるという課題があった。
本発明はかかる背景に鑑みてなされたものであり、車両機器を制御するソフトウェアを検証する機会を増やし、延いては持続可能な輸送システムの発展に寄与することを目的とする。

【課題を解決するための手段】

【0005】

本発明の一態様は、プログラムを実行することによって、車両に搭載されたデバイスを制御する制御装置であって、前記プログラムを記憶する記憶部と、プロセッサと、を備え、前記プロセッサは、前記記憶部に記憶された前記プログラムの実行を開始した後で、前記プログラムを部分的に実行して検証する検証動作を実行可能であり、前記プロセッサの負荷の状態に応じて、前記検証動作の実行態様を変更する、制御装置である。
本発明の他の態様によると、前記プロセッサは、前記車両の走行状態に基づき前記プロセッサの負荷の状態を判定し、判定結果に応じて前記検証動作の実行態様を変更する。
本発明の他の態様によると、前記プロセッサは、前記プログラムに関係する前記車両の機能と、前記車両の走行状態とに基づいて前記プロセッサの負荷の状態を判定し、判定結果に応じて前記検証動作の実行態様を変更する。
本発明の他の態様によると、前記プロセッサは前記車両の走行制御に関係する前記プログラムを実行し、前記検証動作の実行頻度を、第１頻度、および、前記第１頻度より低い第２頻度に設定可能であり、前記車両の速度が第１速度以上であるときに前記検証動作の実行頻度を前記第２頻度とし、前記車両の速度が第２速度以下であるときに前記検証動作の実行頻度を前記第１頻度とする。
本発明の他の態様によると、前記プロセッサは、前記車両にユーザが昇降する際に動作する装備品に関係する前記プログラムを実行し、前記検証動作の実行頻度を、第３頻度、および、前記第３頻度より高い第４頻度に設定可能であり、前記車両の速度が第１速度以上であるときに前記検証動作の実行頻度を前記第４頻度とし、前記車両の速度が第２速度以下であるときに前記検証動作の実行頻度を前記第３頻度とする。

【0006】

本発明の他の態様は、記憶部とプロセッサとを備える制御装置によって前記記憶部に記憶されたプログラムを実行することにより、車両に搭載されたデバイスを制御する制御方法であって、前記プロセッサにより、前記記憶部に記憶された前記プログラムの実行を開始した後で、前記プログラムを部分的に実行して検証する検証動作を実行し、前記検証動作の実行態様を前記プロセッサの負荷の状態に応じて変更する、制御方法である。

【0007】

本発明の他の態様は、記憶部とプロセッサとを備え、車両に搭載されたデバイスを制御する制御装置が実行する制御プログラムを格納した記憶媒体であって、前記プロセッサにより、前記プロセッサが前記記憶部に記憶されたプログラムの実行を開始した後で、前記プログラムを部分的に実行して検証する検証動作を実行可能とし、前記プロセッサの負荷の状態に応じて、前記検証動作の実行態様を変更させる制御プログラムを格納した、記憶媒体である。

【発明の効果】

【0008】

上記構成によれば、車両に搭載されたデバイスを制御する制御装置において、デバイスの制御に対する影響を抑えながら、デバイスを制御するプログラムの検証を行うことができるので、プログラムの検証を行う機会を増やすことができる。このため、プログラムの動作の安定化や不適切なプログラムの挙動の防止等を実現でき、延いては持続可能な輸送システムの発展への寄与を実現できる。

【図面の簡単な説明】

【0009】

【図1】車両制御システムを示す図。

【図2】車両制御システムの要部の構成例を示すブロック図。

【図3】車両の動作状態を示す状態遷移図。

【図4】ＥＣＵの動作例を示すシーケンス図。

【図5】車両制御システムの動作例を示す説明図。

【図6】ＥＣＵの動作例を示すフローチャート。

【発明を実施するための形態】

【0010】

図１は、車両制御システム１を示す図である。車両制御システム１は、車両Ｖに搭載され、車両Ｖの全般的な制御および情報処理を行うセントラルＥＣＵ２を備えている。セントラルＥＣＵ２は、通信ライン４ａ、４ｂ、４ｃを含む通信ラインに接続される。セントラルＥＣＵ２は、これらの通信ライン間における通信データの授受を管理するゲートウェイの機能を実現する。セントラルＥＣＵ２には、例えば、移動通信システムの通信規格に準拠する無線装置である不図示のＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）が接続されてもよい。セントラルＥＣＵ２は、ＴＣＵの通信機能を利用して、例えばＯＴＡ（Ｏｖｅｒ Ｔｈｅ Ａｉｒ）管理を実行する。ＯＴＡ管理は、車両Ｖが備える車載装置の更新プログラムを車外のサーバからダウンロードする処理、及び、ダウンロードした更新プログラムを車載装置に適用する処理に関する制御を含む。

【0011】

通信ライン４ａ、４ｂ、及び４ｃには、それぞれ、第１ゲートウェイＥＣＵ２０ａ、第２ゲートウェイＥＣＵ２０ｂ、及び第３ゲートウェイＥＣＵ２０ｃが接続されている。第１ゲートウェイＥＣＵ２０ａ、第２ゲートウェイＥＣＵ２０ｂ、及び第３ゲートウェイＥＣＵ２０ｃに接続されるＥＣＵの数や種類に制限はなく、本実施形態では一つの構成例を示す。この例では、第１ゲートウェイＥＣＵ２０ａには、ＥＣＵ３０ａ、３０ｂ、３０ｃが接続されている。第２ゲートウェイＥＣＵ２０ｂには、ＥＣＵ３０ｄ、３０ｅ、３０ｆが接続されている。また、第３ゲートウェイＥＣＵ２０ｃには、ＥＣＵ３０ｇ、３０ｈ、３０ｉが接続されている。

【0012】

以下、第１ゲートウェイＥＣＵ２０ａ、第２ゲートウェイＥＣＵ２０ｂ、及び第３ゲートウェイＥＣＵ２０ｃを総称してゲートウェイＥＣＵ２０ともいい、ＥＣＵ３０ａ－３０ｉを総称してＥＣＵ３０ともいう。

【0013】

ゲートウェイＥＣＵ２０には、それぞれ、車両Ｖの車体空間の同じ区画内に配された複数のＥＣＵ３０、または同じ区画内に配されたデバイスの動作を制御する複数のＥＣＵ３０が接続されている。ここで、デバイスは、モータ等の機器、センサ、その他の装置を含む。

【0014】

なお、セントラルＥＣＵ２には、ゲートウェイＥＣＵ２０に加えて、他の制御装置やデバイスが接続され得る。そのような制御装置やデバイスには、ＩＣＢ（Ｉｎｆｏｔａｉｎｍｅｎｔ Ｃｏｎｔｒｏｌ Ｂｏｘ）、スピーカ、マイクロホンと、メーターパネル、ステアリングスイッチ、ＧＮＳＳ（ＧＮＳＳ；Ｇｌｏｂａｌ Ｎａｖｉｇａｔｉｏｎ Ｓａｔｅｌｌｉｔｅ Ｓｙｓｔｅｍ）センサ、タッチパネルなどが含まれ得る。

【0015】

通信ライン４ａ、４ｂ、及び４ｃは、本実施形態では、例えば、ＣＡＮ通信規格に準拠した通信を行うＣＡＮバスで構成される。以下、通信ライン４ａ、４ｂ、及び４ｃを総称して通信ライン４ともいうものとする。

【0016】

通信ライン４に接続されたゲートウェイＥＣＵ２０は、従来技術に従い、送信するデータを、ＣＡＮ通信規格に従って一つのフレームにより又は複数のフレームの列として、通信ライン４へ送出する。ＣＡＮ通信規格に従い、送出される各フレームには識別コード（ＩＤ）が含まれており、フレームを受信した各ゲートウェイＥＣＵ２０は、そのフレームに含まれるＩＤに基づいて、当該フレームが自身に宛てて送信されたフレームであるか否かを判断する。

【0017】

第１ゲートウェイＥＣＵ２０ａ、第２ゲートウェイＥＣＵ２０ｂ、及び、第３ゲートウェイＥＣＵ２０ｃに接続されるＥＣＵ３０の種類や機能に特に制限はない。本実施形態では、車両制御システム１が、ＥＣＵ３０ａ、３０ｂ、３０ｃを含む走行系ＥＣＵ４１と、ＥＣＵ３０ｄ、３０ｅ、３０ｆを含むボディ系ＥＣＵ４２とを有する。走行系ＥＣＵ４１とボディ系ＥＣＵ４２との区別は、車両Ｖの機能に相当する。

【0018】

走行系ＥＣＵ４１に含まれるＥＣＵ３０は、車両Ｖの走行に関わるデバイスを制御するＥＣＵ３０である。例えば、走行系ＥＣＵ４１に含まれるＥＣＵ３０は、車両Ｖを走行させる走行用モータ、車両Ｖの駆動源としての内燃機関、アクセルやブレーキなどの操縦器、ＶＳＡ装置（ＶＳＡ；Ｖｅｈｉｃｌｅ Ｓｔａｂｉｌｉｔｙ Ａｓｉｓｔ）等を制御する。走行系ＥＣＵ４１は、車両Ｖの運転を支援する運転支援機能や自律運転機能に関わるＥＣＵ３０を含んでもよい。この種のＥＣＵ３０として、例えば、ＡＤＡＳ－ＥＣＵ（ＡＤＡＳ；Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ－Ａｓｓｉｓｔａｃｅ Ｓｙｓｔｅｍ）が挙げられる。

【0019】

ボディ系ＥＣＵ４２に含まれるＥＣＵ３０は、車両Ｖの車体に装着された装備品のうち、車両Ｖの走行に直接関与しないデバイスを制御する。詳細には、これらのデバイスは、車両Ｖの走行状態を変化させるデバイスに該当しないものを含み、車両Ｖの走行に必要なデバイスを含んでもよい。例えば、ボディ系ＥＣＵ４２に含まれるＥＣＵ３０は、バッテリ、ヘッドランプ等の灯体、車両Ｖにユーザが昇降する際に動作する装備品、温度センサ、車外カメラ、車室内カメラ等を制御する。車両Ｖにユーザが昇降する際に動作する装備品とは、例えば、ドアやリアゲート、及び、これらに付属するセンサであり、具体的には、ドアウィンドウを駆動するウィンドウモータ、ドアロック機構を駆動するアクチュエータ、ドアを動作させるモータ、ドアロックセンサ、ドア開閉センサが挙げられる。また、ボディ系ＥＣＵ４２に含まれるＥＣＵ３０は、車両Ｖにおけるインフォテイメント機能に関するデバイスを制御するＥＣＵ３０や、インフォテイメント機能を実行するＥＣＵ３０を含んでもよい。インフォテイメント機能としては、音楽再生、ラジオ放送やテレビ放送の受信および視聴、インターネット等のネットワークを利用して配信される音楽や映像の再生、ビデオゲームの実行等に関する機能が挙げられる。

【0020】

走行系ＥＣＵ４１及びボディ系ＥＣＵ４２のほか、車両制御システム１に含まれるＥＣＵ３０は、ＭＰＵ（Ｍａｐ Ｐｏｓｉｔｉｏｎｉｎｇ Ｕｎｉｔ）、ＭＶＣ－ＥＣＵ（ＭＶＣ；Ｍｕｌｔｉ Ｖｉｅｗ Ｃａｍｅｒａ）、ＰＫＳ－ＥＣＵ（ＰＫＳ；Ｐａｒｋｉｎｇ Ｓｕｐｐｏｒｔ）、及びその他の、車両Ｖが備える種々のデバイスやセンサの動作を制御するＥＣＵを含み得る。

【0021】

図１の構成は一例である。例えば、走行系ＥＣＵ４１に含まれるＥＣＵ３０が、第１ゲートウェイＥＣＵ２０ａ、第２ゲートウェイＥＣＵ２０ｂ、及び、第３ゲートウェイＥＣＵ２０ｃに分散して接続される構成であってもよい。また、第１ゲートウェイＥＣＵ２０ａに走行系ＥＣＵ４１以外のＥＣＵ３０が接続されてもよい。このことはボディ系ＥＣＵ４２に含まれるＥＣＵ３０についても同様である。

【0022】

図２は、車両制御システム１の要部の構成例を示すブロック図であり、第２ゲートウェイＥＣＵ２０ｂと、第２ゲートウェイＥＣＵ２０ｂに接続されるＥＣＵ３０ｄの構成を示す。ＥＣＵ３０ｄは、ボディ系ＥＣＵ４２に属するＥＣＵ３０である。

【0023】

ＥＣＵ３０ｄは、プロセッサ３１、及び、メモリ３２を備える。プロセッサ３１は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＭＣＵ（Ｍｉｃｒｏ Ｃｏｎｔｒｏｌｌｅｒ Ｕｎｉｔ）、或いは、ＭＰＵ（Ｍｉｃｒｏ Ｐｒｏｃｅｓｓｏｒ Ｕｎｉｔ）により構成される。メモリ３２は、プロセッサ３１が実行するプログラム、及び、プロセッサ３１により処理されるデータを不揮発的に記憶する。メモリ３２は、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）で構成される。メモリ３２は、プログラム及びデータを一時的に記憶するためのワークエリアを形成するＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）を備えてもよい。本開示において、ＥＣＵ３０ｄは、制御装置の一例に対応する。ＥＣＵ３０ｄは、プロセッサ３１、及びメモリ３２を一体に備える集積回路で構成されてもよい。また、ＥＣＵ３０ｄは、プロセッサ３１、メモリ３２、及びその他の回路のそれぞれを独立したハードウェアとして備える構成であってもよい。メモリ３２は、記憶部の一例に対応する。

【0024】

メモリ３２は、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）６１、アプリＡ６２、及び、アプリＢ６３を記憶する。ＯＳ６１は、プロセッサ３１が実行する基本制御プログラムである。プロセッサ３１がＯＳ６１を実行することにより、ＥＣＵ３０ｄの基本的な機能が実現され、さらに、プロセッサ３１がアプリケーションプログラムを実行するためのプラットフォームが構成される。

【0025】

アプリＡ６２及びアプリＢ６３は、ＥＣＵ３０ｄが実行するアプリケーションプログラムの一例である。ＥＣＵ３０ｄが実行するアプリケーションプログラムは、アプリＡ６２及びアプリＢ６３に限定されない。ＥＣＵ３０ｄは、３以上のアプリケーションプログラムを実行可能であってもよい。また、アプリＡ６２及びアプリＢ６３は、１つのアプリケーションプログラムに含まれるプログラムモジュールであってもよい。

【0026】

プロセッサ３１は、実行部５１、及び、検証部５２を有する。これらは、例えばプロセッサ３１がＯＳ６１を実行することにより実現される機能部である。実行部５１は、アプリＡ６２、及び、アプリＢ６３を実行する。実行部５１がアプリＡ６２及びアプリＢ６３のいずれか、或いは両方を実行することにより、ＥＣＵ３０ｄは、ＥＣＵ３０ｄに接続されたデバイスを制御することが可能となる。

【0027】

検証部５２は、アプリＡ６２、及び、アプリＢ６３が正常に動作するか否かを検証する。検証部５２が検証を行うことにより、アプリＡ６２及びアプリＢ６３が不完全な状態でＥＣＵ３０ｄにインストールされている場合、データ等の破損によりアプリＡ６２及びアプリＢ６３が正常に実行されない場合、及び、アプリＡ６２及びアプリＢ６３に不適切な改変が施されている場合に、これらを発見できる。

【0028】

後述するように、検証部５２は、実行部５１がアプリＡ６２を実行する前にアプリＡ６２の検証を行う。この場合、実行部５１は、アプリＡ６２を検証用の環境、例えば検証用の仮想マシンにより実行し、アプリＡ６２を起動および動作させる。実行部５１は、実行中のアプリＡ６２の挙動やアプリＡ６２の処理結果を、正常な動作と比較することにより、アプリＡ６２が正常に動作するか否かを判定する。同様に、検証部５２は、実行部５１がアプリＢ６３を実行する前に、アプリＢ６３の検証を行う。

【0029】

検証部５２は、実行部５１がアプリＡ６２またはアプリＢ６３を実行中に、アプリＡ６２及びアプリＢ６３のいずれかの検証を行うことが可能である。この場合、検証部５２は、実行部５１の動作中にバックグラウンドで動作し、アプリＡ６２またはアプリＢ６３の検証を行う。プロセッサ３１は、実行部５１によるアプリＡ６２またはアプリＢ６３の実行と、検証部５２のバックグラウンド処理とを実行する。例えば、プロセッサ３１は、実行部５１がプロセッサ３１の処理を占有していない時間に検証部５２によるバックグラウンド処理を行う。

【0030】

検証部５２は、実行部５１の動作中にバックグラウンド処理によりアプリＡ６２の検証を行う場合に、アプリＡ６２の一部を検証用の環境により実行する。同様に、検証部５２は、実行部５１の動作中にバックグラウンド処理によりアプリＢ６３の検証を行う場合に、アプリＢ６３の一部を検証用の環境により実行する。

【0031】

アプリＡ６２は、複数の領域に分割することができる。例えば、アプリＡ６２は、検証部５２によって、図２に示す領域Ａ１、Ａ２、Ａ３、…、Ａ（Ｘ－１）、ＡＸに分割される。アプリＡ６２は、領域Ａ１－ＡＸを分割可能な構成であってもよい。具体的には、領域Ａ１－ＡＸは、個別に検証部５２が実行可能なモジュールであってもよい。或いは、アプリＡ６２が複数のプログラムの集合により構成され、領域Ａ１－ＡＸが個々に実行可能なプログラムであってもよい。また、アプリＡ６２が一体のプログラムとして構成され、検証部５２が、アプリＡ６２を領域Ａ１－ＡＸに分割してもよい。

【0032】

アプリＡ６２と同様に、アプリＢ６３は、複数の領域に分割することができる。例えば、アプリＢ６３は、検証部５２によって、図２に示す領域Ｂ１、Ｂ２、Ｂ３、…、Ｂ（Ｘ－１）、ＢＸに分割される。アプリＢ６３は、領域Ｂ１－ＢＸを分割可能な構成であってもよい。具体的には、領域Ｂ１－ＢＸは、個別に検証部５２が実行可能なモジュールであってもよい。或いは、アプリＢ６３が複数のプログラムの集合により構成され、領域Ｂ１－ＢＸが個々に実行可能なプログラムであってもよい。また、アプリＢ６３が一体のプログラムとして構成され、検証部５２が、アプリＢ６３を領域Ｂ１－ＢＸに分割してもよい。

【0033】

図２に示すＥＣＵ３０ｄの構成は一例であるが、車両制御システム１が備えるＥＣＵ３０のうち、ＥＣＵ３０ｄ以外のＥＣＵ３０も、ＥＣＵ３０ｄと同様に構成される。車両制御システム１が備えるＥＣＵ３０のうち、少なくとも走行系ＥＣＵ４１に含まれる各々のＥＣＵ３０、及び、ボディ系ＥＣＵ４２に含まれる各々のＥＣＵ３０は、ＥＣＵ３０ｄと同様に、実行部５１及び検証部５２を備える。これらのＥＣＵ３０は、アプリＡ６２またはアプリＢ６３と同様に、分割可能なアプリケーションプログラムを有し、アプリケーションプログラムを実行中に、検証部５２によってアプリケーションプログラムを分割して検証することが可能である。各々のＥＣＵ３０が実行するアプリケーションプログラムの数や種類は制限されず、ＥＣＵ３０の使用や機能に応じて適宜に変更可能である。

【0034】

ＥＣＵ３０は、制御装置の一例に対応し、プログラムをプロセッサ３１によって実行する。走行系ＥＣＵ４１に属するＥＣＵ３０は、車両Ｖの走行制御に関係するプログラムを実行する制御装置の一例であり、ボディ系ＥＣＵ４２に属するＥＣＵ３０は、車両Ｖにユーザが昇降する際に動作する装備品に関係するプログラムを実行する制御装置の一例である。

【0035】

図３は、車両Ｖの動作状態を示す状態遷移図である。
図３に示す状態Ｓ１－Ｓ５は、車両Ｖの動作状態を示す。電源オフ状態Ｓ１は、車両制御システム１の電源がオフであり、車両Ｖの駆動源が停止している状態である。電源オフ状態Ｓ１は、例えば、車両Ｖが駐車されており、運転者等のユーザが車両Ｖの近傍にいない状態である。

【0036】

電源オフ状態Ｓ１において、車両Ｖのドアロックを解除する操作等が行われると、車両制御システム１が起動し、Ｗａｋｅ状態Ｓ２に移行する。Ｗａｋｅ状態Ｓ２では、車両制御システム１の各部の動作の初期化と起動が行われる。例えば、セントラルＥＣＵ２及びゲートウェイＥＣＵ２０は、Ｗａｋｅ状態Ｓ２において、車両制御システム１を構成する複数のＥＣＵ３０と、各々のＥＣＵ３０に接続されたデバイスの状態の検出を実行する。また、例えば、ＥＣＵ３０ｄは、Ｗａｋｅ状態Ｓ２においてＯＳ６１を実行し、プロセッサ３１によりＥＣＵ３０ｄの各部を制御可能な状態となる。車両制御システム１のセントラルＥＣＵ２、ゲートウェイＥＣＵ２０、及び、車両制御システム１の起動に関わるＥＣＵ３０の起動が完了した後、車両制御システム１は、停車状態Ｓ３に移行可能となる。

【0037】

停車状態Ｓ３、走行可能状態Ｓ４、及び、走行状態Ｓ５は、車両Ｖの駆動源を動作させることが可能な状態である。これらの状態をまとめてＩＧ＿ＯＮ状態Ｓ１０と呼ぶ。Ｗａｋｅ状態Ｓ２において車両Ｖの駆動源を始動させる操作が行われることをトリガーとして、車両制御システム１は、停車状態Ｓ３に移行する。この操作は、例えば、ＳＳＳＷ（Ｓｔａｒｔ Ｓｔｏｐ ＳＷｉｔｃｈ）によりイグニッションをオンにする操作（ＩＧ＿ＯＮ操作）である。

【0038】

車両Ｖが駆動源として内燃機関を有する車両である場合、停車状態Ｓ３において、内燃機関が動作しているか、或いは、内燃機関を速やかに始動できる状態である。車両Ｖが駆動源としてモータを有する車両である場合、停車状態Ｓ３において、車両Ｖは、モータを回転させることが可能な状態であり、例えば、インバータからモータへの給電が可能な状態である。停車状態Ｓ３において、車両Ｖは走行していない。例えば、車両Ｖのトランスミッションの状態、すなわちシフトポジションはＰレンジである。

【0039】

停車状態Ｓ３において、車両Ｖの駆動源を停止させる操作が行われると、車両Ｖは電源オフ状態Ｓ１に移行する。この操作は、例えば、ＳＳＳＷにより車両Ｖのイグニッションをオフにする操作（ＩＧ＿ＯＦＦ操作）である。

【0040】

停車状態Ｓ３において、車両Ｖが走行を行うための操作が行われると、車両Ｖは走行可能状態Ｓ４に移行する。走行可能状態Ｓ４は、ユーザのアクセルペダル等の操作により車両Ｖが走行を開始可能な状態である。走行可能状態Ｓ４において、車両ＶのシフトポジションはＰレンジ以外であり、車両Ｖを前進または後退させることが可能な状態である。例えば、停車状態Ｓ３において車両ＶのシフトポジションをＰレンジから他のレンジに切り替える操作が行われると、車両Ｖは走行可能状態Ｓ４に移行する。
また、走行可能状態Ｓ４において、車両ＶのシフトポジションをＰレンジに切り替える操作が行われると、車両Ｖは停車状態Ｓ３に移行する。

【0041】

走行可能状態Ｓ４は、車両Ｖが完全に停止している状態のほか、車両Ｖが移動している状態を含んでもよい。例えば、車両Ｖの速度が、停止していると見なせる程度の低速である場合を含んでもよい。一例として、本実施形態の走行可能状態Ｓ４は、車両Ｖが前進方向または後退方向に走行している状態であって、車両Ｖの速度が低速である状態を含む。
走行状態Ｓ５は、車両Ｖが走行している状態である。

【0042】

本実施形態では、走行可能状態Ｓ４において車両Ｖの速度が第１速度以上となった場合に、車両Ｖは走行状態Ｓ５に移行する。また、走行状態Ｓ５において、車両Ｖの速度が第２速度以下となった場合に、車両Ｖは走行状態Ｓ５から走行可能状態Ｓ４に移行する。第１速度は、例えば、１０ｋｍ／時であり、第２速度は、例えば、５ｋｍ／時である。第１速度及び第２速度は、車両Ｖが走行可能状態Ｓ４であるか走行状態Ｓ５であるかを判定する閾値である。第１速度と第２速度とは同一であってもよい。第２速度を第１速度より低い値にすると、動作状態の頻繁な変更を避けることができ、好ましい。

【0043】

車両制御システム１においては、例えば、セントラルＥＣＵ２が車両Ｖの動作状態を監視および判定する。また、ＥＣＵ３０は、セントラルＥＣＵ２から車両Ｖの動作状態、または、動作状態の変化を取得することにより、車両Ｖの動作状態を特定できる。また、ＥＣＵ３０は、セントラルＥＣＵ２から車両Ｖの速度等の情報を取得することにより、車両Ｖの動作状態を判定してもよい。

【0044】

図４は、ＥＣＵ３０の動作例を示すシーケンス図であり、ＥＣＵ３０が起動するときの動作を示す。図４（ａ）のステップＳＴ１１－ＳＴ１４は実行部５１の動作を示し、図４（ｂ）のステップＳＴ２１－ＳＴ２６は検証部５２の動作を示す。図４に示す動作例では、ＥＣＵ３０の起動後にアプリＡ６２が実行され、続いて、アプリＢ６３が実行される。

【0045】

実行部５１及び検証部５２は、ＥＣＵ３０の起動により動作を開始する（ステップＳＴ１１、ＳＴ２１）。実行部５１は、ＯＳ６１を実行することによりアプリＡ６２及びアプリＢ６３を起動する準備を行う（ステップＳＴ１２）。ここで、実行部５１が検証部５２に対して検証要求を行い、この検証要求に応じて検証部５２はアプリＡ６２の検証を実行する（ステップＳＴ２２）。ステップＳＴ２２で、検証部５２は、アプリＡ６２の全体を、領域Ａ１－ＡＸを分割しない状態で、検証する。この検証を全体検証と呼ぶ。

【0046】

検証部５２は、アプリＡ６２の全体検証が完了すると、実行部５１に対して検証完了通知を行う。実行部５１は検証部５２から検証完了通知を受け取ると、アプリＡ６２を実行する（ステップＳＴ１３）。続いて、実行部５１が検証部５２に対し、アプリＢ６３の検証要求を行うと、検証部５２はアプリＢ６３の全体検証を行う（ステップＳＴ２３）。アプリＢ６３の全体検証が完了した後、検証部５２は実行部５１に検証完了通知を行い、この検証完了通知に基づき、実行部５１はアプリＢ６３を実行する（ステップＳＴ１４）。

【0047】

ステップＳＴ１１－ＳＴ１４及びステップＳＴ２１－ＳＴ２４では、検証部５２がアプリＡ６２及びアプリＢ６３の検証を実行し、検証が済んだ後に実行部５１がアプリＡ６２及びアプリＢ６３を実行する。この動作例では、ＥＣＵ３０の起動時に、ＥＣＵ３０が実行するアプリケーションプログラムの全体を実行する検査が行われる。

【0048】

車両制御システム１では、検証部５２が、実行部５１によるアプリケーションプログラムの実行中に、アプリケーションプログラムを検証する。この検証は、アプリケーションプログラムを領域毎に、検証用の環境で実行する態様で行われる。検証部５２は、アプリＡ６２及びアプリＢ６３の全体検証が完了した後、ＢＧ（ＢａｃｋＧｒｏｕｎｄ）検証処理を開始する（ステップＳＴ２４）。ＢＧ検証処理において、検証部５２は、検証の対象であるアプリケーションプログラムの領域を選択し（ステップＳＴ２５）、選択した領域の検証を行う（ステップＳＴ２６）。

【0049】

検証部５２は、ＢＧ検証処理で、ステップＳＴ２５－ＳＴ２６の処理を、例えばアプリＡ６２の領域Ａ１－ＡＸ、及び、アプリＢ６３の領域Ｂ１－ＢＸのそれぞれに対して、順に実行する。検証部５２のＢＧ検証処理は、実行部５１の動作のバックグラウンドで、アプリケーションプログラムの領域毎に実行される。すなわち、検証部５２は、ステップＳＴ２４－ＳＴ２５の動作を、領域毎に繰り返し実行する。

【0050】

ＢＧ検証処理のために用いられるリソースの大きさは、ＢＧ検証処理の実行周期により異なる。ＢＧ検証処理を短周期で、すなわち高頻度で行う場合、ＢＧ検証処理のために用いられるリソースは大きい。ＥＣＵ３０は、検証部５２によるＢＧ検証処理が、実行部５１がアプリケーションプログラムを実行するためのリソースに過度の影響を与えないように、ＢＧ検証処理の実行態様を変更する。ＢＧ検証処理の実行態様としては、ＢＧ検証処理の実行周期、実行頻度、１回のＢＧ検証処理で検証する領域の数及び大きさ、検証の方法等が挙げられる。本実施形態では、ＥＣＵ３０がＢＧ検証処理の実行周期を変更すること、及び、この周期の変更によってＢＧ検証処理の実行頻度を変更する例を、ＢＧ検証処理の実行態様を変更することの一例として説明する。ＢＧ検証処理は、検証動作の一例に対応する。

【0051】

図５は、車両制御システム１の動作例を示す説明図である。詳細には、図５は、横軸を時間軸とするタイミングチャートであり、図５（ａ）は車両制御システム１の電源の状態を示し、図５（ｂ）は車両Ｖの動作状態を示す。図５（ｃ）は走行系ＥＣＵ４１に属するＥＣＵ３０が実行するＢＧ検証処理の実行状態を示し、図５（ｄ）はボディ系ＥＣＵ４２に属するＥＣＵ３０が実行するＢＧ検証処理の実行状態を示す。

【0052】

図５には、車両Ｖが停車状態Ｓ３、走行可能状態Ｓ４、及び走行状態Ｓ５を遷移する間のＢＧ検証処理の実行状態を示す。車両Ｖの動作状態は、期間ＴＥ１で停車状態Ｓ３であり、期間ＴＥ２で走行可能状態Ｓ４であり、期間ＴＥ３で走行状態Ｓ５であり、期間ＴＥ４で走行可能状態Ｓ４であり、期間ＴＥ５で停車状態Ｓ３である。期間ＴＥ１－ＴＥ５において車両制御システム１の電源状態はＩＧ＿ＯＮ状態Ｓ１０である。

【0053】

走行系ＥＣＵ４１に属するＥＣＵ３０は、車両Ｖの駆動や制動に関する処理を行う。このため、車両Ｖが走行している間は、実行部５１の機能に関するプロセッサ３１の処理負荷が高い。このため、走行状態Ｓ５においては、検証部５２がＢＧ検証処理を実行する頻度を低くすると、プロセッサ３１の過負荷を抑えることができ、好ましい。これに対し、車両Ｖが走行していない状態、すなわち停車状態Ｓ３及び走行可能状態Ｓ４において、走行系ＥＣＵ４１に属するＥＣＵ３０が、実行部５１による処理を実行する頻度は低い。このため、停車状態Ｓ３及び走行可能状態Ｓ４におけるプロセッサ３１の処理負荷には余裕がある。従って、停車状態Ｓ３及び走行可能状態Ｓ４において検証部５２が高頻度でＢＧ検証処理を行っても、プロセッサ３１が過負荷となる可能性は非常に低い。

【0054】

一方、ボディ系ＥＣＵ４２に属するＥＣＵ３０は、車両Ｖのドア等に関する処理を行う。このため、車両Ｖが停車している間は、実行部５１の機能に関するプロセッサ３１の処理負荷が高い。このため、停車状態Ｓ３及び走行可能状態Ｓ４においては、検証部５２がＢＧ検証処理を実行する頻度を低くすると、プロセッサ３１の過負荷を抑えることができ、好ましい。これに対し、車両Ｖが走行している状態において、ボディ系ＥＣＵ４２に属するＥＣＵ３０が、実行部５１による処理を実行する頻度は低い。このため、走行状態Ｓ５におけるプロセッサ３１の処理負荷には余裕がある。従って、走行状態Ｓ５において検証部５２が高頻度でＢＧ検証処理を行っても、プロセッサ３１が過負荷となる可能性は非常に低い。

【0055】

本実施形態では、走行系ＥＣＵ４１に属するＥＣＵ３０が、停車状態Ｓ３及び走行可能状態Ｓ４においてＢＧ検証処理を実行する頻度を高くし、走行状態Ｓ５においてＢＧ検証処理を実行する頻度を低くする。また、ボディ系ＥＣＵ４２に属するＥＣＵ３０が、停車状態Ｓ３及び走行可能状態Ｓ４においてＢＧ検証処理を実行する頻度を低くし、走行状態Ｓ５でＢＧ検証処理を実行する頻度を高くする。これにより、プロセッサ３１が過負荷となる事態を回避しながら、必要な頻度でアプリＡ６２及びアプリＢ６３の検証を実行できる。

【0056】

具体的には、図５（ｃ）に示すように、走行系ＥＣＵ４１に属するＥＣＵ３０は、期間ＴＥ１及び期間ＴＥ２において周期ｔ１でＢＧ検証処理を実行する。車両Ｖが走行状態Ｓ５に移行した場合、すなわち期間ＴＥ３で、ＥＣＵ３０は、ＢＧ検証処理の周期を周期ｔ２に変更する。周期ｔ２は周期ｔ１に比べて長い周期である。このため、期間ＴＥ１、ＴＥ２におけるＢＧ検証処理の実行頻度に比べて、期間ＴＥ３におけるＢＧ検証処理の実行頻度は低い。また、期間ＴＥ４、ＴＥ５において、ＥＣＵ３０はＢＧ検証処理を実行する周期を、周期ｔ１とする。期間ＴＥ４、ＴＥ５では、車両Ｖの速度が第２速度以下となり、車両Ｖが走行可能状態Ｓ４または停車状態Ｓ３に移行するので、ＢＧ検証処理の実行頻度が高められる。

【0057】

また、図５（ｄ）に示すように、ボディ系ＥＣＵ４２に属するＥＣＵ３０は、期間ＴＥ１及び期間ＴＥ２において周期ｔ３でＢＧ検証処理を実行する。車両Ｖが走行状態Ｓ５に移行した場合、すなわち期間ＴＥ３で、ＥＣＵ３０は、ＢＧ検証処理の周期を周期ｔ４に変更する。周期ｔ４は周期ｔ３に比べて短い周期である。このため、期間ＴＥ１、ＴＥ２におけるＢＧ検証処理の実行頻度に比べて、期間ＴＥ３におけるＢＧ検証処理の実行頻度は高い。また、期間ＴＥ４、ＴＥ５において、ＥＣＵ３０はＢＧ検証処理を実行する周期を、周期ｔ３とする。期間ＴＥ４、ＴＥ５では、車両Ｖの速度が第２速度以下となり、車両Ｖが走行可能状態Ｓ４または停車状態Ｓ３に移行するので、ＢＧ検証処理の実行頻度が低くなる。

【0058】

このように、ＥＣＵ３０は、車両Ｖの走行状態に対応して、ＢＧ検証処理の実行周期を変更することによって、ＢＧ検証処理の実行頻度を変更する。ＢＧ検証処理の実行周期の変更は、ＥＣＵ３０が行ってもよいし、セントラルＥＣＵ２或いはゲートウェイＥＣＵ２０がＥＣＵ３０に対して、実行周期の変更を指示してもよい。本実施形態では、ＥＣＵ３０がＢＧ検証処理の実行周期を変更する例を、図６を参照して説明する。

【0059】

図６は、ＥＣＵ３０の動作例を示すフローチャートである。図６には、検証部５２が、ＢＧ検証処理を開始した後に、ＢＧ検証処理の実行頻度を変更する動作を示す。ステップＳＴ３１－ＳＴ３６の動作は、例えば、検証部５２が実行する。

【0060】

まず、走行系ＥＣＵ４１に属するＥＣＵ３０の動作を説明する。

【0061】

ＥＣＵ３０は、ステップＳＴ２４（図４）でＢＧ検証処理を開始した後、ＢＧ検証処理の実行周期を第１周期に設定する（ステップＳＴ３１）。第１周期は、図５の例では周期ｔ１である。ステップＳＴ３１の処理によって、ＢＧ検証処理の実行頻度が第１頻度に設定される。

【0062】

ＥＣＵ３０は、車両Ｖの車速が第１速度以上であるか否かを判定する（ステップＳＴ３２）。ステップＳＴ３２で、ＥＣＵ３０は、例えばセントラルＥＣＵ２から車両Ｖの速度に関する情報を取得することにより判定を行う。図６の処理を開始する時点で、車両Ｖは停車状態Ｓ３または走行可能状態Ｓ４である。ステップＳＴ３２の判定は、車両Ｖの動作状態が走行可能状態Ｓ４から走行状態Ｓ５に移行したか否かの判定である。

【0063】

車両Ｖの車速が第１速度以上でないと判定した場合（ステップＳＴ３２；ＮＯ）、ＥＣＵ３０は、車両制御システム１がイグニッションオフの状態に移行したか否かを判定する（ステップＳＴ３３）。ステップＳＴ３３の判定は、車両制御システム１がＩＧ＿ＯＮ状態Ｓ１０から電源オフ状態Ｓ１に移行したか否かの判定である。車両制御システム１がイグニッションオフの状態に移行したと判定した場合（ステップＳ３３；ＹＥＳ）、ＥＣＵ３０は本処理を終了する。車両制御システム１がイグニッションオフの状態に移行していないと判定した場合（ステップＳ３３；ＮＯ）、ＥＣＵ３０はステップＳＴ３２に戻る。

【0064】

車両Ｖの車速が第１速度以上であると判定した場合（ステップＳＴ３２；ＹＥＳ）、ＥＣＵ３０は、ＥＣＵ３０は、ＢＧ検証処理の実行周期を第２周期に設定する（ステップＳＴ３４）。第２周期は、図５の例では周期ｔ２である。周期ｔ２は周期ｔ１より長い周期であるため、ステップＳＴ３４の処理によって、ＢＧ検証処理の実行頻度が、第１頻度より低い第２頻度に設定される。

【0065】

その後、ＥＣＵ３０は、車両Ｖの車速が第２速度以下であるか否かを判定する（ステップＳＴ３５）。ステップＳＴ３５で、ＥＣＵ３０は、例えばセントラルＥＣＵ２から車両Ｖの速度に関する情報を取得することにより判定を行う。ステップＳＴ３５の判定は、車両Ｖの動作状態が走行状態Ｓ５から走行可能状態Ｓ４に移行したか否かの判定である。

【0066】

車両Ｖの車速が第２速度以下でないと判定した場合（ステップＳＴ３５；ＮＯ）、ＥＣＵ３０は、車両制御システム１がイグニッションオフの状態に移行したか否かを判定する（ステップＳＴ３６）。ステップＳＴ３６の判定は、車両制御システム１がＩＧ＿ＯＮ状態Ｓ１０から電源オフ状態Ｓ１に移行したか否かの判定である。車両制御システム１がイグニッションオフの状態に移行したと判定した場合（ステップＳ３６；ＹＥＳ）、ＥＣＵ３０は本処理を終了する。車両制御システム１がイグニッションオフの状態に移行していないと判定した場合（ステップＳ３６；ＮＯ）、ＥＣＵ３０はステップＳＴ３５に戻る。

【0067】

車両Ｖの車速が第２速度以下であると判定した場合（ステップＳＴ３５；ＹＥＳ）、ＥＣＵ３０は、ステップＳＴ３１に移行して、ＢＧ検証処理の実行周期を第１周期に設定する。

【0068】

続いて、ボディ系ＥＣＵ４２に属するＥＣＵ３０の動作を説明する。
ボディ系ＥＣＵ４２に属するＥＣＵ３０は、走行系ＥＣＵ４１に属するＥＣＵ３０と同様に、図６に示した動作を実行する。この場合、ＥＣＵ３０は、ステップＳＴ３１でＢＧ検証処理の実行周期を第３周期に設定する。第３周期は、図５の例では周期ｔ３である。このステップＳＴ３１の処理によって、ＢＧ検証処理の実行頻度が第３頻度に設定される。また、ＥＣＵ３０は、ステップＳＴ３４でＢＧ検証処理の実行周期を第４周期に設定する。第４周期は、図５の例では周期ｔ４である。このステップＳＴ３４の処理によって、ＢＧ検証処理の実行頻度が第４頻度に設定される。第３周期は第４周期よりも長い。従って、第３頻度は第４頻度よりも低い頻度である。

【0069】

このように、ＥＣＵ３０は、車両Ｖが走行状態Ｓ５である場合と、車両Ｖが停車状態Ｓ３または走行可能状態Ｓ４である場合とで、ＢＧ検証処理の実行頻度を変更する。すなわち、走行系ＥＣＵ４１に属するＥＣＵ３０は、車両Ｖが停車状態Ｓ３または走行可能状態Ｓ４である場合は第１頻度でＢＧ検証処理を実行し、車両Ｖが走行状態Ｓ５である場合は第１頻度より低い第２頻度でＢＧ検証処理を実行する。ボディ系ＥＣＵ４２に属するＥＣＵ３０は、車両Ｖが停車状態Ｓ３または走行可能状態Ｓ４である場合は第３頻度でＢＧ検証処理を実行し、車両Ｖが走行状態Ｓ５である場合は第３頻度より高い第４頻度でＢＧ検証処理を実行する。これにより、ＥＣＵ３０が実行する車両Ｖの機能に対応して、プロセッサ３１の過負荷を招かないように、プロセッサ３１が実行するアプリケーションプログラムの検証を実行できる。

【0070】

図６の動作において、ＥＣＵ３０は、ステップＳＴ３２、ＳＴ３５で車両Ｖの速度を判定することによって、車両Ｖの動作状態が走行状態Ｓ５であるか、或いは、停車状態Ｓ３または走行可能状態Ｓ４であるかを判定する。走行系ＥＣＵ４１に属するＥＣＵ３０のプロセッサ３１は走行状態Ｓ５において負荷が大きく、ボディ系ＥＣＵ４２に属するＥＣＵ３０のプロセッサ３１は走行状態Ｓ５以外の動作状態で負荷が大きいことは上述した通りである。従って、ステップＳＴ３２、ＳＴ３５の判定は、車両Ｖの走行状態を判定し、車両Ｖの走行状態に基づきプロセッサ３１の負荷の状態を判定することに対応する。

【0071】

また、各々のＥＣＵ３０は、走行系ＥＣＵ４１に属するＥＣＵ３０か、ボディ系ＥＣＵ４２に属するＥＣＵ３０かが決まっている。このため、ステップＳＴ３２、ＳＴ３５でＥＣＵ３０が行う判定は、ＥＣＵ３０に関係する車両Ｖの機能と、車両Ｖの走行状態とに基づいてプロセッサ３１の負荷の状態を判定することに対応する。

【0072】

上記実施形態は本発明を適用した一具体例を示すものであり、発明が適用される形態を限定するものではない。

【0073】

上記実施形態では、ＥＣＵ３０が車両Ｖの速度を判定する例を図６に示したが、これは一例である。例えば、セントラルＥＣＵ２またはゲートウェイＥＣＵ２０が、車両Ｖの動作状態が停車状態Ｓ３、走行可能状態Ｓ４、及び走行状態Ｓ５のいずれであるかを判定し、判定結果をＥＣＵ３０に出力してもよい。

【0074】

上記実施形態では、検証部５２によって、プロセッサ３１が実行するアプリケーションプログラムについて、全体検証、及び、ＢＧ検証処理を実行する例を説明した。検証部５２が検証するプログラムは、アプリケーションプログラムに限定されない。例えば、ＯＳ６１、或いは、その他の制御プログラムを対象として、検証部５２によりＢＧ検証処理を実行してもよい。

【0075】

また、図５には、期間ＴＥ１及び期間ＴＥ２におけるＢＧ検証処理の実行頻度と、期間ＴＥ４及び期間ＴＥ５におけるＢＧ検証処理の実行頻度とが同一である例を示したが、これは一例である。例えば、期間ＴＥ１及び期間ＴＥ２におけるＢＧ検証処理の実行頻度と、期間ＴＥ４及び期間ＴＥ５におけるＢＧ検証処理の実行頻度とが異なっていてもよい。また、期間ＴＥ１と期間ＴＥ２とでＢＧ検証処理の実行頻度を異なる頻度としてもよく、期間ＴＥ４と期間ＴＥ５とでＢＧ検証処理の実行頻度を異なる頻度としてもよい。

【0076】

図１及び図２は、本願発明の理解を容易にするために、車両制御システム１の各装置の機能構成を、主な処理内容により区分して示した概略構成を示す図であり、装置の構成を限定するものではない。図４及び図６に示した各処理は、１つのプログラムにより実行されてもよいし、複数のプログラムにより実行されてもよい。

【0077】

また、車両Ｖは、例えば四輪自動車であるが、車両Ｖの種類は特に制限されず、大型自動車、商用車、二輪車、三輪車等であってもよい。その他、車両制御システム１における各部の構成は任意に変更可能である。

【0078】

ＥＣＵ３０が有するＯＳ６１、アプリＡ６２、アプリＢ６３、及びその他のプログラムの一部または全部は、例えば、コンピュータによって読み取り可能な、非一時的な、記憶媒体あるいは記録媒体に記録しておくことも可能である。この場合、本発明は、コンピュータプログラムを記録した非一時的な記憶媒体として実現される。具体的には、上記プログラムを、車両制御システム１を構成するコンピュータであるセントラルＥＣＵ２、ゲートウェイＥＣＵ２０、或いはＥＣＵ３０によって読み取り可能に記憶した記憶媒体として実現できる。記憶媒体としては、磁気的記憶媒体、光学的記憶媒体又は半導体メモリーデバイスを用いることができ、車両制御システム１に固定されるものであってもよいし、車両制御システム１から着脱可能であってもよい。

【0079】

上記実施形態は、以下の構成をサポートする。

【0080】

（構成１）プログラムを実行することによって、車両に搭載されたデバイスを制御する制御装置であって、前記プログラムを記憶する記憶部と、プロセッサと、を備え、前記プロセッサは、前記記憶部に記憶された前記プログラムの実行を開始した後で、前記プログラムを部分的に実行して検証する検証動作を実行可能であり、前記プロセッサの負荷の状態に応じて、前記検証動作の実行態様を変更する、制御装置。
構成１の制御装置によれば、車両に搭載されたデバイスを制御する制御装置において、デバイスの制御に対する影響を抑えながら、デバイスを制御するプログラムの検証を行うことができるので、プログラムの検証を行う機会を増やすことができる。このため、プログラムの動作の安定化や不適切なプログラムの挙動の防止等を実現でき、延いては持続可能な輸送システムの発展への寄与を実現できる。

【0081】

（構成２）前記プロセッサは、前記車両の走行状態に基づき前記プロセッサの負荷の状態を判定し、判定結果に応じて前記検証動作の実行態様を変更する、構成１に記載の制御装置。
構成２の制御装置によれば、車両の走行状態に基づいてプログラムの検証の態様を変更するので、検証動作がプロセッサの過負荷の要因とならないように、プログラムを検証できる。

【0082】

（構成３）前記プロセッサは、前記プログラムに関係する前記車両の機能と、前記車両の走行状態とに基づいて前記プロセッサの負荷の状態を判定し、判定結果に応じて前記検証動作の実行態様を変更する、構成１または構成２に記載の制御装置。
構成３の制御装置によれば、プログラムに関係する車両の機能と車両の走行状態とに基づいてプログラムの検証の態様を変更するので、検証動作がプロセッサの過負荷の要因とならないように、プログラムを検証できる。

【0083】

（構成４）前記プロセッサは前記車両の走行制御に関係する前記プログラムを実行し、前記検証動作の実行頻度を、第１頻度、および、前記第１頻度より低い第２頻度に設定可能であり、前記車両の速度が第１速度以上であるときに前記検証動作の実行頻度を前記第２頻度とし、前記車両の速度が第２速度以下であるときに前記検証動作の実行頻度を前記第１頻度とする、構成１から構成３のいずれかに記載の制御装置。
構成４の制御装置によれば、車両の走行制御に関係するプログラムを実行する制御装置が、車両が走行する状態では検証動作の実行頻度を低くし、車両が走行していないか低速で走行している状態では検証動作の実行頻度を高くする。これにより、プログラムによる車両の走行制御の負荷が高い状態では検証動作の実行頻度を低くすることにより、プロセッサの過負荷を防止でき、車両の走行制御の負荷が低い状態では検証動作の実行頻度を高くして、検証の機会を増やすことができる。

【0084】

（構成５）前記プロセッサは、前記車両にユーザが昇降する際に動作する装備品に関係する前記プログラムを実行し、前記検証動作の実行頻度を、第３頻度、および、前記第３頻度より高い第４頻度に設定可能であり、前記車両の速度が第１速度以上であるときに前記検証動作の実行頻度を前記第４頻度とし、前記車両の速度が第２速度以下であるときに前記検証動作の実行頻度を前記第３頻度とする、構成１から構成３のいずれかに記載の制御装置。
構成５の制御装置によれば、車両にユーザが昇降する際に動作する装備品に関係するプログラムを実行する制御装置が、車両が走行する状態では検証動作の実行頻度を高くし、車両が走行していないか低速で走行している状態では検証動作の実行頻度を低くする。これにより、車両にユーザが昇降する際に動作する装備品が使用される可能性が高い状態では検証動作の実行頻度を低くすることにより、プロセッサの過負荷を防止でき、装備品が使用される可能性が低い状態では検証動作の実行頻度を高くして、検証の機会を増やすことができる。

【0085】

（構成６）記憶部とプロセッサとを備える制御装置によって前記記憶部に記憶されたプログラムを実行することにより、車両に搭載されたデバイスを制御する制御方法であって、前記プロセッサにより、前記記憶部に記憶された前記プログラムの実行を開始した後で、前記プログラムを部分的に実行して検証する検証動作を実行し、前記検証動作の実行態様を前記プロセッサの負荷の状態に応じて変更する、制御方法。
構成６の制御方法によれば、車両に搭載されたデバイスを制御する制御装置により、デバイスの制御に対する影響を抑えながら、デバイスを制御するプログラムの検証を行うことができるので、プログラムの検証を行う機会を増やすことができる。このため、プログラムの動作の安定化や不適切なプログラムの挙動の防止等を実現でき、延いては持続可能な輸送システムの発展への寄与を実現できる。

【0086】

（構成７）記憶部とプロセッサとを備え、車両に搭載されたデバイスを制御する制御装置が実行する制御プログラムを格納した記憶媒体であって、前記プロセッサにより、前記プロセッサが前記記憶部に記憶されたプログラムの実行を開始した後で、前記プログラムを部分的に実行して検証する検証動作を実行可能とし、前記プロセッサの負荷の状態に応じて、前記検証動作の実行態様を変更させる制御プログラムを格納した、記憶媒体。
構成７の記憶媒体が格納したプログラムによれば、車両に搭載されたデバイスの制御に対する影響を抑えながら、デバイスを制御するプログラムの検証を行うことができるので、プログラムの検証を行う機会を増やすことができる。このため、プログラムの動作の安定化や不適切なプログラムの挙動の防止等を実現でき、延いては持続可能な輸送システムの発展への寄与を実現できる。

【符号の説明】

【0087】

１…車両制御システム、２…セントラルＥＣＵ、４、４ａ－４ｃ…通信ライン、２０…ゲートウェイＥＣＵ、２０ａ…第１ゲートウェイＥＣＵ、２０ｂ…第２ゲートウェイＥＣＵ、２０ｃ…第３ゲートウェイＥＣＵ、３０、３０ａ－３０ｉ…ＥＣＵ（制御装置）、３１…プロセッサ、３２…メモリ（記憶部）、４１…走行系ＥＣＵ（制御装置）、４２…ボディ系ＥＣＵ（制御装置）、５１…実行部、５２…検証部、６１…ＯＳ、６２…アプリＡ、６３…アプリＢ、Ｖ…車両。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】