特許 7708083 車両制御システム、及び異常診断方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2025-07-07

(45)【発行日】2025-07-15

(54)【発明の名称】車両制御システム、及び異常診断方法

(51)【国際特許分類】

   H04L 7/00 20060101AFI20250708BHJP

【ＦＩ】

H04L7/00 990

【請求項の数】 5

(21)【出願番号】P 2022196320

(22)【出願日】2022-12-08

(65)【公開番号】P2024082459

(43)【公開日】2024-06-20

【審査請求日】2024-07-24

(73)【特許権者】

【識別番号】000003207

【氏名又は名称】トヨタ自動車株式会社

(74)【代理人】

【識別番号】100105957

【弁理士】

【氏名又は名称】恩田 誠

(74)【代理人】

【識別番号】100068755

【弁理士】

【氏名又は名称】恩田 博宣

(72)【発明者】

【氏名】太田 宙志

(72)【発明者】

【氏名】山崎 康広

(72)【発明者】

【氏名】林 健一郎

【審査官】北村 智彦

(56)【参考文献】

【文献】特表２０２０－５２６０５１（ＪＰ，Ａ）

【文献】特開２０２１－１０６３２８（ＪＰ，Ａ）

【文献】特開２０１６－０３４０６５（ＪＰ，Ａ）

【文献】特許第７１２３２２８（ＪＰ，Ｂ１）

【文献】国際公開第２０２１／２０４３４２（ＷＯ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ７／００

ＩＥＥＥ Ｘｐｌｏｒｅ

(57)【特許請求の範囲】

【請求項1】

基準になる第１時刻情報を出力するマスタ電子制御ユニットと、前記マスタ電子制御ユニットとネットワークを介して接続された複数のスレーブ電子制御ユニットと、を備え、前記マスタ電子制御ユニット及び前記複数のスレーブ電子制御ユニットを連携させて車両を制御する車両制御システムであり、
前記第１時刻情報と、前記スレーブ電子制御ユニットにおける時刻情報である第２時刻情報との同期異常が生じているか否かを判定する異常診断部を備え、
前記スレーブ電子制御ユニットが、
前記マスタ電子制御ユニットと前記スレーブ電子制御ユニットとの間で信号を送受信させて、前記マスタ電子制御ユニットから第１信号を前記スレーブ電子制御ユニットに送信したときの前記第１時刻情報である第１時刻と、前記第１信号を前記スレーブ電子制御ユニットが受信したときの前記第２時刻情報である第２時刻と、前記第１信号を受信したことに応じて前記スレーブ電子制御ユニットから前記マスタ電子制御ユニットに第２信号を送信したときの前記第２時刻情報である第３時刻と、前記第２信号を前記マスタ電子制御ユニットが受信したときの前記第１時刻情報である第４時刻と、前記第２信号を受信したことに応じて前記マスタ電子制御ユニットから前記スレーブ電子制御ユニットに第３信号を送信したときの前記第１時刻情報である第５時刻と、前記第３信号を前記スレーブ電子制御ユニットが受信したときの前記第２時刻情報である第６時刻と、を取得することと、
前記第３時刻と、前記第４時刻と、前記第５時刻と、前記第６時刻と、に基づいて前記マスタ電子制御ユニットと前記スレーブ電子制御ユニットとの間での伝送の遅延時間を算出することと、を実行し、
前記異常診断部が、
前記第１時刻から前回取得した前記第１時刻を引いた差である前記マスタ電子制御ユニットにおける処理の周期と、前記第２時刻から前回取得した前記第２時刻を引いた差である前記スレーブ電子制御ユニットにおける処理の周期と、に基づいて、前記マスタ電子制御ユニットにおけるクロック周期と前記スレーブ電子制御ユニットにおけるクロック周期との乖離である周期ずれの有無を判定することと、
前記周期ずれが無いと判定した場合にのみ、前記第２時刻から前記遅延時間を引いた差と、前記第１時刻と、に基づいて、オフセットずれの有無を判定することと、
前記周期ずれが有ると判定した場合又は前記オフセットずれが有ると判定した場合に、前記同期異常が生じていると判定することと、を実行する
車両制御システム。

【請求項2】

前記スレーブ電子制御ユニットが、前記第６時刻から前記第３時刻を引いた第１の差から前記第５時刻から前記第４時刻を引いた第２の差を引いた差を２で割った商を前記遅延時間として算出する
請求項１に記載の車両制御システム。

【請求項3】

前記異常診断部が、前記第１時刻から前回取得した前記第１時刻を引いた差である前記マスタ電子制御ユニットにおける処理の周期と、前記第２時刻から前回取得した前記第２時刻を引いた差である前記スレーブ電子制御ユニットにおける処理の周期との乖離が既定水準以上である場合に、前記周期ずれが有ると判定する
請求項１に記載の車両制御システム。

【請求項4】

前記異常診断部が、前記第２時刻から前記遅延時間を引いた差と、前記第１時刻との乖離が既定水準以上であるときに前記オフセットずれが有ると判定する
請求項１に記載の車両制御システム。

【請求項5】

基準になる第１時刻情報を出力するマスタ電子制御ユニットと、前記マスタ電子制御ユニットとネットワークを介して接続された複数のスレーブ電子制御ユニットと、異常診断部と、を備え、前記マスタ電子制御ユニット及び前記複数のスレーブ電子制御ユニットを連携させて車両を制御する車両制御システムにおいて、前記第１時刻情報と、前記スレーブ電子制御ユニットにおける時刻情報である第２時刻情報との同期異常が生じているか否かを、前記異常診断部が判定する異常診断方法であり、
前記マスタ電子制御ユニットと前記スレーブ電子制御ユニットとの間で信号を送受信させて、前記マスタ電子制御ユニットから第１信号を前記スレーブ電子制御ユニットに送信したときの前記第１時刻情報である第１時刻と、前記第１信号を前記スレーブ電子制御ユニットが受信したときの前記第２時刻情報である第２時刻と、前記第１信号を受信したことに応じて前記スレーブ電子制御ユニットから前記マスタ電子制御ユニットに第２信号を送信したときの前記第２時刻情報である第３時刻と、前記第２信号を前記マスタ電子制御ユニットが受信したときの前記第１時刻情報である第４時刻と、前記第２信号を受信したことに応じて前記マスタ電子制御ユニットから前記スレーブ電子制御ユニットに第３信号を送信したときの前記第１時刻情報である第５時刻と、前記第３信号を前記スレーブ電子制御ユニットが受信したときの前記第２時刻情報である第６時刻と、を、前記スレーブ電子制御ユニットが取得するステップと、
前記第３時刻と、前記第４時刻と、前記第５時刻と、前記第６時刻と、に基づいて前記マスタ電子制御ユニットと前記スレーブ電子制御ユニットとの間での伝送の遅延時間を前記スレーブ電子制御ユニットが算出するステップと、
前記第１時刻から前回取得した前記第１時刻を引いた差である前記マスタ電子制御ユニットにおける処理の周期と、前記第２時刻から前回取得した前記第２時刻を引いた差である前記スレーブ電子制御ユニットにおける処理の周期と、に基づいて、前記マスタ電子制御ユニットにおけるクロック周期と前記スレーブ電子制御ユニットにおけるクロック周期との乖離である前記周期ずれの有無を、前記異常診断部が判定するステップと、
前記周期ずれが無いと判定した場合にのみ、前記第２時刻から前記遅延時間を引いた差と、前記第１時刻と、に基づいて、オフセットずれの有無を、前記異常診断部が判定するステップと、
前記周期ずれが有ると判定した場合又は前記オフセットずれが有ると判定した場合に、前記同期異常が生じていると、前記異常診断部が判定するステップと、を含む
異常診断方法。

【発明の詳細な説明】

【技術分野】

【0001】

この発明は車両制御システム、及び異常診断方法に関するものである。

【背景技術】

【0002】

特許文献１には、ネットワークを介して接続された複数の機器における時刻情報のずれを検出する異常検出装置が開示されている。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２００７－２２６３８９号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

車両制御システムでは、複数の電子制御ユニットが、ネットワークにより相互に接続されている。車両制御システムにおいては、各電子制御ユニットを連携させることによって高度な車両制御が実現されている。そのため、車両制御システムは、各電子制御ユニット間の時刻情報の同期に異常が生じていないかを監視する必要がある。こうした同期異常を判定するための処理は、車両制御の処理と並行して繰り返し実行される。そのため、処理負荷をできるだけ低くすることが望まれている。

【課題を解決するための手段】

【0005】

以下、上記課題を解決するための手段及びその作用効果について記載する。
上記課題を解決するための車両制御システムは、基準になる第１時刻情報を出力するマスタ電子制御ユニットと、前記マスタ電子制御ユニットとネットワークを介して接続された複数のスレーブ電子制御ユニットと、を備えている。この車両制御システムは、前記マスタ電子制御ユニット及び前記複数のスレーブ電子制御ユニットを連携させて車両を制御する。この車両制御システムは、前記第１時刻情報と、前記スレーブ電子制御ユニットにおける時刻情報である第２時刻情報との同期異常が生じているか否かを判定する異常診断部を備えている。車両制御システムは、前記マスタ電子制御ユニットと前記スレーブ電子制御ユニットとの間で信号を送受信させて、前記マスタ電子制御ユニットから第１信号を前記スレーブ電子制御ユニットに送信したときの前記第１時刻情報である第１時刻と、前記第１信号を前記スレーブ電子制御ユニットが受信したときの前記第２時刻情報である第２時刻と、前記第１信号を受信したことに応じて前記スレーブ電子制御ユニットから前記マスタ電子制御ユニットに第２信号を送信したときの前記第２時刻情報である第３時刻と、前記第２信号を前記マスタ電子制御ユニットが受信したときの前記第１時刻情報である第４時刻と、前記第２信号を受信したことに応じて前記マスタ電子制御ユニットから前記スレーブ電子制御ユニットに第３信号を送信したときの前記第１時刻情報である第５時刻と、前記第３信号を前記スレーブ電子制御ユニットが受信したときの前記第２時刻情報である第６時刻と、を取得すること、を実行する。また、車両制御システムは、前記第３時刻と、前記第４時刻と、前記第５時刻と、前記第６時刻と、に基づいて前記マスタ電子制御ユニットと前記スレーブ電子制御ユニットとの間での伝送の遅延時間を算出すること、を実行する。また、異常診断部は、前記第１時刻から前回取得した前記第１時刻を引いた差である前記マスタ電子制御ユニットにおける処理の周期と、前記第２時刻から前回取得した前記第２時刻を引いた差である前記スレーブ電子制御ユニットにおける処理の周期と、に基づいて、前記マスタ電子制御ユニットにおけるクロック周期と前記スレーブ電子制御ユニットにおけるクロック周期との乖離である周期ずれの有無を判定すること、を実行する。また、異常診断部は、前記周期ずれが無いと判定した場合に、前記第２時刻から前記遅延時間を引いた差と、前記第１時刻と、に基づいて、オフセットずれの有無を判定すること、を実行する。また、異常診断部は、前記周期ずれが有ると判定した場合又は前記オフセットずれが有ると判定した場合に、前記同期異常が生じていると判定すること、を実行する。

【0006】

また、上記課題を解決するための異常診断方法は、基準になる第１時刻情報を出力するマスタ電子制御ユニットと、前記マスタ電子制御ユニットとネットワークを介して接続された複数のスレーブ電子制御ユニットと、異常診断部と、を備え、前記マスタ電子制御ユニット及び前記複数のスレーブ電子制御ユニットを連携させて車両を制御する車両制御システムにおいて、前記第１時刻情報と、前記スレーブ電子制御ユニットにおける時刻情報である第２時刻情報との同期異常が生じているか否かを、前記異常診断部が判定する異常診断方法である。

【0007】

この異常診断方法は、前記マスタ電子制御ユニットと前記スレーブ電子制御ユニットとの間で信号を送受信させて、前記マスタ電子制御ユニットから第１信号を前記スレーブ電子制御ユニットに送信したときの前記第１時刻情報である第１時刻と、前記第１信号を前記スレーブ電子制御ユニットが受信したときの前記第２時刻情報である第２時刻と、前記第１信号を受信したことに応じて前記スレーブ電子制御ユニットから前記マスタ電子制御ユニットに第２信号を送信したときの前記第２時刻情報である第３時刻と、前記第２信号を前記マスタ電子制御ユニットが受信したときの前記第１時刻情報である第４時刻と、前記第２信号を受信したことに応じて前記マスタ電子制御ユニットから前記スレーブ電子制御ユニットに第３信号を送信したときの前記第１時刻情報である第５時刻と、前記第３信号を前記スレーブ電子制御ユニットが受信したときの前記第２時刻情報である第６時刻と、を取得するステップを含んでいる。また、この異常診断方法は、前記第３時刻と、前記第４時刻と、前記第５時刻と、前記第６時刻と、に基づいて前記マスタ電子制御ユニットと前記スレーブ電子制御ユニットとの間での伝送の遅延時間を、前記スレーブ電子制御ユニットが算出するステップを含む。また、この異常診断方法は、前記第１時刻から前回取得した前記第１時刻を引いた差である前記マスタ電子制御ユニットにおける処理の周期と、前記第２時刻から前回取得した前記第２時刻を引いた差である前記スレーブ電子制御ユニットにおける処理の周期と、に基づいて、前記マスタ電子制御ユニットにおけるクロック周期と前記スレーブ電子制御ユニットにおけるクロック周期との乖離である周期ずれの有無を、前記異常診断部が判定するステップを含む。また、この異常診断方法は、前記周期ずれが無いと判定した場合に、前記第２時刻から前記遅延時間を引いた差と、前記第１時刻と、に基づいて、オフセットずれの有無を、前記異常診断部が判定するステップを含む。また、この異常診断方法は、前記周期ずれが有ると判定した場合又は前記オフセットずれが有ると判定した場合に、前記同期異常が生じていると、前記異常診断部が判定するステップを含む。

【0008】

上記の車両制御システムは、周期ずれの影響を考慮せずにオフセットずれの判定を行うことができる。したがって、演算が容易になる。そのため、上記の車両制御システムによれば、同期異常が生じているか否かを判定するための処理負荷を抑制できる。

【0009】

また、上記の異常診断方法によれば、同期異常が生じているか否かを判定するための処理負荷を同様に抑制できる。

【図面の簡単な説明】

【0010】

【図1】図１は、車両制御システムの一実施形態についてその概略構成を示すブロック図である。

【図2】図２は、バリデータＥＣＵが実行する異常診断にかかる信号のやり取りを示すシーケンス図である。

【図3】図３は、バリデータＥＣＵが実行する異常診断ルーチンにおける処理の流れを示すフローチャートである。

【図4】図４は、マスタＥＣＵ及び各スレーブＥＣＵと、バリデータＥＣＵとの間での通信に用いるフレームフォーマットを示す模式図である。

【図5】図５は、車両制御システムの変更例を示すブロック図である。

【図6】図６は、車両制御システムの別の変更例を示すブロック図である。

【発明を実施するための形態】

【0011】

以下、車両制御システムの一実施形態について、図１～図４を参照して説明する。図１は、自動車などの車両に搭載される車両制御システム１００の構成を概略的に示している。

【0012】

＜車両制御システム１００の構成＞
図１に示すように、車両制御システム１００は、複数の電子制御ユニットをネットワークにより相互に接続して構成されている。なお、以下では、電子制御ユニットをＥＣＵと称する。車両制御システム１００におけるネットワークは、例えば、イーサネット（登録商標）である。

【0013】

図１では、複数のＥＣＵとして、マスタＥＣＵ１０と、複数のスレーブＥＣＵ２０と、バリデータＥＣＵ３０と、を示している。各ＥＣＵは、それぞれプロセッサと、メモリとを備えている。メモリは、プロセッサが実行するプログラムを格納したメモリと、データを一時的に記憶するメモリと、を含んでいる。車両制御システム１００は、ネットワークを介して接続されたこれらの複数のＥＣＵを連携させて高度な車両制御を実現する。そのため、車両制御システム１００は、各ＥＣＵ間の時刻情報の同期に異常が生じていないかを監視する必要がある。こうした同期異常を判定するための処理は、車両制御の処理と並行して繰り返し実行される。

【0014】

図１に示すように、車両制御システム１００におけるネットワークは、スイッチＥＣＵ４０とバス５０によって構成されている。マスタＥＣＵ１０、各スレーブＥＣＵ２０、及びバリデータＥＣＵ３０は、バス５０を介してそれぞれがスイッチＥＣＵ４０に接続されている。

【0015】

マスタＥＣＵ１０は、基準となる第１時刻情報を出力する。各スレーブＥＣＵ２０は、バス５０を介してスイッチＥＣＵ４０に接続されている。各スレーブＥＣＵ２０は、マスタＥＣＵ１０との信号のやり取りを通じて時刻情報を取得してネットワークにおける伝送の遅延時間ｐＤｅｌａｙを算出する。そして、遅延時間ｐＤｅｌａｙを用いて時刻同期を行った第２時刻情報を出力する。なお、遅延時間ｐＤｅｌａｙの算出については、後述する。

【0016】

各スレーブＥＣＵ２０は、車両の各種の機能を実現するＥＣＵである。例えば、スレーブＥＣＵ２０は、エンジンを制御するエンジンＥＣＵである。スレーブＥＣＵ２０は、モータジェネレータを制御するモータジェネレータＥＣＵである。スレーブＥＣＵ２０はブレーキを制御するブレーキＥＣＵである。スレーブＥＣＵ２０はカーナビゲーションシステムを制御するマルチメディアＥＣＵである。スレーブＥＣＵ２０は先進運転支援を実現する運転支援ＥＣＵである。スレーブＥＣＵ２０はドライブレコーダを制御するドライブレコーダＥＣＵである。

【0017】

バリデータＥＣＵ３０は、マスタＥＣＵ１０における第１時刻情報とスレーブＥＣＵ２０における第２時刻情報との同期異常が生じているか否かを判定する異常診断部として機能する。

【0018】

＜同期異常の診断＞
車両制御システム１００では、マスタＥＣＵ１０とスレーブＥＣＵ２０との間で定期的に信号のやり取りを行って、それぞれが、信号を送信したときと、信号を受信したときの時刻情報を取得する。そして、バリデータＥＣＵ３０が定期的に第１時刻情報と第２時刻情報との同期異常が生じているか否かを判定する。

【0019】

＜異常診断にかかる信号のやり取りの流れ＞
図２は、同期異常が生じているか否かを判定する異常診断にかかる各ＥＣＵの間での信号のやり取りの流れを示すシーケンス図である。車両制御システム１００は、稼働中に、車両の制御にかかる処理と並行して、定期的にこのシーケンスを実行して同期異常の有無を判定する異常診断を実行する。なお、このシーケンスは、バリデータＥＣＵ３０及びマスタＥＣＵ１０と、複数のスレーブＥＣＵ２０の各々と、によって実行される。

【0020】

図２に示すように、このシーケンスでは、まず、マスタＥＣＵ１０が第１信号ＳｙｎｃをスレーブＥＣＵ２０に送信する。マスタＥＣＵ１０は、第１信号Ｓｙｎｃを送信したときの第１時刻情報を第１時刻ｔ＿１として取得する。上述したように第１時刻情報は、車両制御及び時刻同期における基準となる時刻情報である。そして、第１時刻情報は、マスタＥＣＵ１０が計時している時刻情報である。第１信号Ｓｙｎｃを受信したスレーブＥＣＵ２０は、第１信号Ｓｙｎｃを受信したときの第２時刻情報を第２時刻ｔ＿２として取得する。なお、第２時刻情報は、スレーブＥＣＵ２０で計時している時刻情報である。

【0021】

また、マスタＥＣＵ１０は、第１信号ＳｙｎｃをスレーブＥＣＵ２０に送信すると、第４信号ＦｏＵｐをスレーブＥＣＵ２０に送信する。ここでは、第１時刻ｔ＿１のタイムスタンプが、第４信号ＦｏＵｐとして送信される。第４信号ＦｏＵｐを受信することにより、スレーブＥＣＵ２０は第１時刻ｔ＿１の情報を取得する。

【0022】

第１信号Ｓｙｎｃを受信すると、スレーブＥＣＵ２０は、第２信号ＲｅｑをマスタＥＣＵ１０に送信する。スレーブＥＣＵ２０は、第２信号Ｒｅｑを送信したときの第２時刻情報を第３時刻ｔ＿３として取得する。第２信号Ｒｅｑを受信したマスタＥＣＵ１０は、第２信号Ｒｅｑを受信したときの第１時刻情報を第４時刻ｔ＿４として取得する。

【0023】

第２信号Ｒｅｑを受信すると、マスタＥＣＵ１０は、第３信号ＲｅｓｐをスレーブＥＣＵ２０に送信する。マスタＥＣＵ１０は、第３信号Ｒｅｓｐを送信したときの第１時刻情報を第５時刻ｔ＿５として取得する。第３信号Ｒｅｓｐを受信したスレーブＥＣＵ２０は、第３信号Ｒｅｓｐを受信したときの第２時刻情報を第６時刻として取得する。

【0024】

第３信号ＲｅｓｐをスレーブＥＣＵ２０に送信すると、マスタＥＣＵ１０はスレーブＥＣＵ２０に第５信号ＲｅｓｐＦｏＵｐを送信する。ここでは、第４時刻ｔ＿４のタイムスタンプ及び第５時刻ｔ＿５のタイムスタンプが、第５信号ＲｅｓｐＦｏＵｐとして送信される。第５信号ＲｅｓｐＦｏＵｐを受信することにより、スレーブＥＣＵ２０は第４時刻ｔ＿４の情報及び第５時刻ｔ＿５の情報を取得する。

【0025】

第６時刻ｔ＿６を取得するとともに、第５信号ＲｅｓｐＦｏＵｐを受信したスレーブＥＣＵ２０は、遅延時間ｐＤｅｌａｙを算出する。遅延時間ｐＤｅｌａｙは、マスタＥＣＵ１０とスレーブＥＣＵ２０との間での信号の伝送遅延の時間である。スレーブＥＣＵ２０は、第３時刻ｔ＿３と、第４時刻ｔ＿４と、第５時刻ｔ＿５と、第６時刻ｔ＿６と、に基づいて遅延時間ｐＤｅｌａｙを算出する。具体的には、遅延時間ｐＤｅｌａｙの算出処理において、スレーブＥＣＵ２０は、第６時刻ｔ＿６から第３時刻ｔ＿３を引いた差である第１の差を算出する。また、スレーブＥＣＵ２０は、第５時刻ｔ＿５から第４時刻ｔ＿４を引いた差である第２の差を算出する。そして、スレーブＥＣＵ２０は、第１の差から第２の差を引いた差を２で割った商を算出する。この商が、遅延時間ｐＤｅｌａｙである。

【0026】

第５信号ＲｅｓｐＦｏＵｐをスレーブＥＣＵ２０に送信したマスタＥＣＵ１０は、バリデータＥＣＵ３０にマスタタイミングレコードメッセージＭＴＲＭを送信する。マスタタイミングレコードメッセージＭＴＲＭには、送信した第１信号ＳｙｎｃのシーケンスＩＤ、第１時刻ｔ＿１のタイムスタンプ、第４時刻ｔ＿４のタイムスタンプ、及び第５時刻ｔ＿５のタイムスタンプが含まれている。また、マスタタイミングレコードメッセージＭＴＲＭには、マスタＥＣＵ１０が正常に稼働しているか否かを示す自己診断ステータスも含まれている。

【0027】

遅延時間ｐＤｅｌａｙを算出したスレーブＥＣＵ２０は、バリデータＥＣＵ３０にスレーブタイミングレコードメッセージＳＴＲＭを送信する。スレーブタイミングレコードメッセージＳＴＲＭには、スレーブＥＣＵ２０のＩＤ、受信した第１信号ＳｙｎｃのシーケンスＩＤ、受信した第４信号ＦｏＵｐのシーケンスＩＤ、及び受信した第５信号ＲｅｓｐＦｏＵｐのシーケンスＩＤが含まれている。また、スレーブタイミングレコードメッセージＳＴＲＭには、第２時刻ｔ＿２のタイムスタンプ、第３時刻ｔ＿３のタイムスタンプ、及び第６時刻ｔ＿６のタイムスタンプが含まれている。さらに、スレーブタイミングレコードメッセージＳＴＲＭには、遅延時間ｐＤｅｌａｙの値と、スレーブＥＣＵ２０が正常に稼働しているか否かを示す自己診断ステータスと、が含まれている。

【0028】

マスタタイミングレコードメッセージＭＴＲＭ、及びスレーブタイミングレコードメッセージＳＴＲＭを受信したバリデータＥＣＵ３０は、異常診断ルーチンＲ１０を実行する。

【0029】

＜異常診断ルーチン＞
図３に示すように、異常診断ルーチンＲ１０を開始すると、バリデータＥＣＵ３０は、まず、ステップＳ１００の処理において、周期ずれを算出する。具体的には、バリデータＥＣＵ３０は、今回実行しているシーケンスにおいて取得した第１時刻ｔ＿１から前回実行したシーケンスにおいて取得した第１時刻ｔ＿１を引いた第３の差を算出する。この第３の差は、マスタＥＣＵ１０における処理の周期に相当する。また、バリデータＥＣＵ３０は、今回実行しているシーケンスにおいて取得した第２時刻ｔ＿２から前回実行したシーケンスにおいて取得した第２時刻ｔ＿２を引いた第４の差を算出する。この第４の差はスレーブＥＣＵ２０における処理の周期に相当する。そして、バリデータＥＣＵ３０は、第３の差から第４の差を引いた差の絶対値を算出する。この絶対値が周期ずれに相当する値である。

【0030】

こうして周期ずれを算出すると、バリデータＥＣＵ３０は、処理をステップＳ１１０へと進める。そして、ステップＳ１１０の処理において、バリデータＥＣＵ３０は、周期ずれの有無を判定する。具体的には、バリデータＥＣＵ３０は、算出した絶対値の値が閾値以上である場合に周期ずれがあると判定する。この閾値は、絶対値の値がこの閾値以上であることに基づいて周期ずれが有ると判定するための値である。この閾値の大きさは周期ずれの大きさとして許容できる範囲に基づいて設定する。

【0031】

バリデータＥＣＵ３０は、周期ずれが有ると判定した場合、すなわち、周期ずれ診断の結果が異常であることを示すものである場合（ステップＳ１１０：ＮＯ）には、処理をステップＳ１６０へと進める。この場合には、バリデータＥＣＵ３０は、同期異常が生じていると判定して、ステップＳ１６０の処理において、マスタＥＣＵ１０及び各スレーブＥＣＵ２０に同期異常が生じていることを通知する。バリデータＥＣＵ３０は、図２に示すように、この異常診断ルーチンＲ１０においてマスタＥＣＵ１０及び各スレーブＥＣＵ２０に通知メッセージＮＭを送信する。通知メッセージＮＭは、バリデータＥＣＵ３０による異常診断の結果を通知するメッセージである。通知メッセージＮＭには、マスタＥＣＵ１０の状態を示す情報、各スレーブＥＣＵ２０との間の同期異常の有無の情報が含まれている。すなわち、ステップＳ１６０の処理において、バリデータＥＣＵ３０は、マスタＥＣＵ１０と当該スレーブＥＣＵ２０との間に同期異常が生じていることを示す情報を含めた通知メッセージＮＭをマスタＥＣＵ１０及び各スレーブＥＣＵ２０に送信する。

【0032】

一方で、バリデータＥＣＵ３０は、周期ずれが無いと判定した場合、すなわち、周期ずれ診断の結果が正常であることを示すものである場合（ステップＳ１１０：ＹＥＳ）には、処理をステップＳ１３０へと進める。そして、バリデータＥＣＵ３０は、ステップＳ１３０の処理において、第１時刻情報と第２時刻情報とのオフセットを算出する。具体的には、バリデータＥＣＵ３０は、第２時刻ｔ＿２から遅延時間ｐＤｅｌａｙを引いた第５の差を算出する。そして、バリデータＥＣＵ３０は、第１時刻ｔ＿１からこの第５の差を引いた差の絶対値を算出する。この絶対値がオフセットである。

【0033】

こうしてオフセットを算出すると、バリデータＥＣＵ３０は、処理をステップＳ１４０へと進める。そして、ステップＳ１４０の処理において、バリデータＥＣＵ３０は、オフセットずれの有無を判定する。具体的には、バリデータＥＣＵ３０は、算出したオフセットの値が閾値以上である場合にオフセットずれが有ると判定する。この閾値は、オフセットの値がこの閾値以上であることに基づいてオフセットずれが有ると判定するための値である。この閾値の大きさはオフセットずれの大きさとして許容できる範囲に基づいて設定する。

【0034】

バリデータＥＣＵ３０は、オフセットずれが有ると判定した場合、すなわち、オフセットずれ診断の結果が異常であることを示すものである場合（ステップＳ１４０：ＮＯ）には、処理をステップＳ１６０へと進める。この場合にも、バリデータＥＣＵ３０は、同期異常が生じていると判定して、ステップＳ１６０の処理において、マスタＥＣＵ１０及び各スレーブＥＣＵ２０に同期異常が生じていることを通知する。すなわち、バリデータＥＣＵ３０は、マスタＥＣＵ１０と当該スレーブＥＣＵ２０との間に同期異常が生じていることを示す情報を含めた通知メッセージＮＭをマスタＥＣＵ１０及び各スレーブＥＣＵ２０に送信する。

【0035】

一方で、バリデータＥＣＵ３０は、オフセットずれが無いと判定した場合、すなわち、オフセットずれ診断の結果が正常であることを示すものである場合（ステップＳ１４０：ＹＥＳ）には、処理をステップＳ１５０へと進める。この場合には、バリデータＥＣＵ３０は、同期異常が生じていないと判定して、ステップＳ１５０の処理において、マスタＥＣＵ１０及び各スレーブＥＣＵ２０に同期異常が生じていないことを通知する。すなわち、バリデータＥＣＵ３０は、マスタＥＣＵ１０と当該スレーブＥＣＵ２０との間に同期異常が生じていないことを示す情報を含めた通知メッセージＮＭをマスタＥＣＵ１０及び各スレーブＥＣＵ２０に送信する。

【0036】

こうしてステップＳ１５０の処理又はステップＳ１６０の処理を通じて通知メッセージＮＭをマスタＥＣＵ１０及び各スレーブＥＣＵ２０に送信すると、バリデータＥＣＵ３０はこのルーチンを一旦終了させる。

【0037】

車両制御システム１００では、このように、図２に示したシーケンスを繰り返し実行することによって同期異常の有無を監視している。
＜フレームフォーマット＞
図４は、バリデータＥＣＵ３０とマスタＥＣＵ１０との間でのデータ通信、及びバリデータＥＣＵ３０と各スレーブＥＣＵ２０との間でのデータ通信、に用いられるフレーム２００のフォーマットを模式的に示している。マスタタイミングレコードメッセージＭＴＲＭ、スレーブタイミングレコードメッセージＳＴＲＭ、及び通知メッセージＮＭは、このフォーマットに従ったフレーム２００によって送信される。

【0038】

図４に示すように、フレーム２００は、第１フィールド６０と、第２フィールド７０とを含んでいる。第１フィールド６０には、ＩＰアドレス、ＵＤＰヘッダなどの情報が格納される。第２フィールド７０は、ＰＤＵヘッダ７１とＰＤＵペイロード７５に分けられる。さらに、ＰＤＵペイロード７５は、共通フィールド７６と、個別フィールド７７に分けられる。

【0039】

マスタタイミングレコードメッセージＭＴＲＭは、個別フィールド７７に、送信した第１信号ＳｙｎｃのシーケンスＩＤ、第１時刻ｔ＿１のタイムスタンプ、第４時刻ｔ＿４のタイムスタンプ、及び第５時刻ｔ＿５のタイムスタンプを格納したフレーム２００である。

【0040】

スレーブタイミングレコードメッセージＳＴＲＭは、個別フィールド７７に、以下の情報を格納したフレーム２００である。
・スレーブＥＣＵ２０のＩＤ、受信した第１信号ＳｙｎｃのシーケンスＩＤ、第４信号ＦｏＵｐのシーケンスＩＤ、及び第５信号ＲｅｓｐＦｏＵｐのシーケンスＩＤ。

【0041】

・第２時刻ｔ＿２のタイムスタンプ、第３時刻ｔ＿３のタイムスタンプ、及び第６時刻ｔ＿６のタイムスタンプ。
・遅延時間ｐＤｅｌａｙの値と、スレーブＥＣＵ２０が正常に稼働しているか否かを示す自己診断ステータス。

【0042】

そして、通知メッセージＮＭは、個別フィールド７７に、マスタＥＣＵ１０の状態を示す情報、各スレーブＥＣＵ２０との間の同期異常の有無の情報を格納したフレーム２００である。

【0043】

＜本実施形態の作用＞
同期異常は、周期ずれとオフセットずれが重なって生じることがある。なお、周期ずれはマスタＥＣＵ１０におけるクロック周期とスレーブＥＣＵ２０におけるクロック周期との乖離である。そして、オフセットずれは、クロック周期が揃っていても生じる第１時刻情報と第２時刻情報とのオフセットである。すなわち、オフセットずれは、クロック周期のずれを除いた、マスタＥＣＵ１０における処理の実行タイミングと、スレーブＥＣＵ２０における処理の実行タイミングとのずれである。

【0044】

上記の車両制御システム１００では、バリデータＥＣＵ３０は、周期ずれが無いと判定した上で、第２時刻ｔ＿２から遅延時間ｐＤｅｌａｙを引いた第５の差を用いてオフセットずれの有無を判定している。第２時刻ｔ＿２から遅延時間ｐＤｅｌａｙを引いた第５差は、周期ずれ及びオフセットずれのいずれもが無く同期異常が生じていない場合には、第１時刻ｔ＿１と等しい値になるはずである。

【0045】

バリデータＥＣＵ３０は、周期ずれが無いと判定した上で、第５の差と、第１時刻ｔ＿１とに基づいてオフセットずれの有無を判定する。すなわち、この演算方法であれば、オフセットずれの有無の判定において、周期ずれの影響を考慮する必要がない。

【0046】

このように、車両制御システム１００は、周期ずれの有無の判定を先に実行し、周期ずれが無いことを判定した上で、オフセットずれの有無を判定する。そして、バリデータＥＣＵ３０は、周期ずれが有ると判定した場合又はオフセットずれが有ると判定した場合に、同期異常が生じていると判定する。

【0047】

＜本実施形態の効果＞
（１）車両制御システム１００は、周期ずれの影響を考慮せずにオフセットずれの判定を行うことができる。したがって、演算が容易になる。そのため、車両制御システム１００によれば、同期異常が生じているか否かを判定するための処理負荷を抑制できる。

【0048】

（２）図２に示したように、車両制御システム１００は、マスタＥＣＵ１０とスレーブＥＣＵ２０との間で信号を送受信させて、第１時刻ｔ＿１～第６時刻ｔ＿６を取得するステップを実行する。そして、スレーブＥＣＵ２０は、第３時刻ｔ＿３と、第４時刻ｔ＿４と、第５時刻ｔ＿５と、第６時刻ｔ＿６と、に基づいてマスタＥＣＵ１０とスレーブＥＣＵ２０との間での伝送の遅延時間ｐＤｅｌａｙを算出するステップを実行する。

【0049】

バリデータＥＣＵ３０は、第３の差と、第４の差と、に基づいて、マスタＥＣＵ１０におけるクロック周期とスレーブＥＣＵ２０におけるクロック周期との乖離である周期ずれの有無を、判定するステップを実行する（ステップＳ１１０）。

【0050】

そして、バリデータＥＣＵ３０は、周期ずれが無いと判定した場合（ステップＳ１２０：ＹＥＳ）に、第５の差と、第１時刻ｔ＿１と、に基づいて、オフセットずれの有無を判定するステップを実行する（ステップＳ１４０）。

【0051】

そして、バリデータＥＣＵ３０は、周期ずれが有ると判定した場合（ステップＳ１１０：ＮＯ）又はオフセットずれが有ると判定した場合（ステップＳ１４０：ＮＯ）に、同期異常が生じていると判定するステップを実行する（ステップＳ１６０）。

【0052】

こうした異常診断方法によれば、（１）に記載したように同期異常が生じているか否かを判定するための処理負荷を抑制できる。
（３）スレーブＥＣＵ２０は、第６時刻ｔ＿６から第３時刻ｔ＿３を引いた第１の差と、第５時刻ｔ＿５から第４時刻ｔ＿４を引いた第２の差と、を算出する。そして、スレーブＥＣＵ２０は、第１の差から第２の差を引いた差を２で割った商を遅延時間ｐＤｅｌａｙとして算出している。車両制御システム１００は、こうして遅延時間ｐＤｅｌａｙを算出できる。

【0053】

（４）バリデータＥＣＵ３０は、第３の差から第４の差を引いた差の絶対値が閾値以上である場合に周期ずれが有ると判定する。これにより、バリデータＥＣＵ３０は、第１時刻ｔ＿１から前回取得した第１時刻ｔ＿１を引いた第３の差と、第２時刻ｔ＿２から前回取得した第２時刻ｔ＿２を引いた第４の差との乖離が既定水準以上である場合に、周期ずれが有ると判定できる。

【0054】

（５）スレーブＥＣＵ２０が、第１時刻ｔ＿１から第５の差を引いた差の絶対値が閾値以上である場合にオフセットずれが有ると判定する。これにより、バリデータＥＣＵ３０は、第２時刻ｔ＿２から遅延時間ｐＤｅｌａｙを引いた第５の差と、第１時刻ｔ＿１との乖離が既定水準以上であるときにオフセットずれが有ると判定できる。

【0055】

＜変更例＞
本実施形態は、以下のように変更して実施できる。本実施形態及び以下の変更例は、技術的に矛盾しない範囲で互いに組み合わせて実施できる。

【0056】

・上記の実施形態では、マスタＥＣＵ１０、各スレーブＥＣＵ２０、及びバリデータＥＣＵ３０がバス５０を介してスイッチＥＣＵ４０に接続されている例を示した。車両制御システム１００の構成は、こうした構成に限らない。

【0057】

例えば、図５に示すように、車両制御システム１００は、マスタＥＣＵ１０が、タイムマスタ部１１と、スイッチ部１４とを備えている構成であってもよい。タイムマスタ部１１は、例えば、マスタＥＣＵ１０上に構成された仮想マシンであり、上記の実施形態におけるマスタＥＣＵ１０と同様に機能する機能部である。また、スイッチ部１４は、マスタＥＣＵ１０上に構成された仮想マシンであり、上記の実施形態におけるスイッチＥＣＵ４０と同様に機能する機能部である。

【0058】

また、図６に示すように、車両制御システム１００は、マスタＥＣＵ１０が、タイムマスタ部１１と、スイッチ部１４と、バリデータ部１３とを備えている構成であってもよい。バリデータ部１３は、例えば、マスタＥＣＵ１０上に構成された仮想マシンであり、上記の実施形態におけるバリデータＥＣＵ３０と同様に機能する機能部である。

【0059】

これらの構成を採用した場合にも、上記実施形態と同様の効果を得ることができる。
・上記の実施形態では、第３の差から第４の差を引いた差の絶対値が閾値以上であることに基づいて周期ずれが有ると判定する例を示した。これに対して周期ずれの判定方法は、マスタＥＣＵ１０における処理の周期と、スレーブＥＣＵ２０における処理の周期との乖離が既定水準以上である場合に、周期ずれが有ると判定するものであればよい。そのため、周期ずれの判定方法は、上記の実施形態において例示した方法に限定されない。例えば、第３の差と第４の差との比の値が、１．０を中心にした許容範囲に収まっていないことに基づいて周期ずれが有ると判定する方法を採用することもできる。

【0060】

・上記の実施形態では、第１時刻ｔ＿１から第５の差を引いた差の絶対値が閾値以上である事に基づいてオフセットずれが有ると判定する例を示した。これに対してオフセットずれの判定方法は、第２時刻ｔ＿２から遅延時間ｐＤｅｌａｙを引いた第５の差と、第１時刻ｔ＿１との乖離が既定水準以上であるときにオフセットずれが有ると判定するものであればよい。そのため、オフセットずれの判定方法は、上記の実施形態において例示した方法に限定されない。例えば、第１時刻ｔ＿１と第５の差との比の値が１．０を中心にした許容範囲に収まっていないことに基づいてオフセットずれが有ると判定する方法を採用することもできる。

【符号の説明】

【0061】

１０…マスタＥＣＵ、１１…タイムマスタ部、１３…バリデータ部、１４…スイッチ部、２０…スレーブＥＣＵ、３０…バリデータＥＣＵ、６０…第１フィールド、７０…第２フィールド、７１…ＰＤＵヘッダ、７５…ＰＤＵペイロード、７６…共通フィールド、７７…個別フィールド、１００…車両制御システム、２００…フレーム

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】