JP7383995B2

JP7383995B2 - 通信システム及び通信装置

Info

Publication number: JP7383995B2
Application number: JP2019208688A
Authority: JP
Inventors: 翔加藤
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2019-11-19
Filing date: 2019-11-19
Publication date: 2023-11-21
Anticipated expiration: 2039-11-19
Also published as: JP2021082936A

Description

本開示は、車両に搭載され、複数の通信装置が通信線で互いに接続されている通信システムに関する。

例えば、下記特許文献１には、車両に搭載され通信機能を備える電子制御装置（以下、通信装置）が、車両の制御を行う制御マイコンと、制御マイコンの作動を監視するための該制御マイコンとは別の監視マイコンと、を備える、という技術が提案されている。

特許第４００５４２１号公報

一方、電子制御装置外の装置との通信によって、該電子制御装置の作動を監視するという思想は、無かった。本開示は、電子制御装置外の装置との通信によって、該電子制御装置の作動を監視する技術を提供する。

本開示の１つの局面は、車両に搭載される通信システム（１）である。通信システムは、複数の通信装置（１０、２０）を備える。複数の通信装置は通信線によって互いに通信可能に接続されている。複数の通信装置は、第１の通信装置（１０）と第２の通信装置（２０）とを備える。第１の通信装置は、第１の通信装置の状態を示す少なくとも１種類の状態情報を取得し、取得した状態情報を含む判定情報を生成し、判定情報を第２の通信装置へ出力するように構成された情報生成部（５２）を備える。第２の通信装置は、判定情報を取得し、状態情報であって第１の通信装置が正常であるときの予め定められた正常情報と判定情報に含まれる状態情報とを比較し、第１の通信装置の異常を判定するように構成された監視部（６３）を備える。

本開示の１つの局面によれば、第１の通信装置は、第１の通信装置の外部装置である第２の通信装置との通信によって、第１の通信装置の異常を判定する。第１の通信装置が異常であるか否かを判定する第２の通信装置は、通信システムが予め備える通信装置である。このため、通信システムにおいて構成要素を増加させること無く、簡易な構成で、第１の通信装置が異常であるか否かを監視することができる。

車両制御システムの構成を示すブロック図。車両制御システムにおける各ＥＣＵの機能を示すブロック図。情報生成処理を説明するフローチャート。ＩＴ取得処理を説明するフローチャート。対応情報の例を説明する説明図。監視処理を説明するフローチャート。通信成否判定処理を説明するフローチャート。個別判定処理を説明するフローチャート。異常判定処理を説明するフローチャート。作動を説明するタイミングチャート。変形例１の車載制御システムにおける各ＥＣＵの構成を示すブロック図。変形例２の車載制御システムにおける各ＥＣＵの構成を示すブロック図。変形例３の車載制御システムにおける各ＥＣＵの構成を示すブロック図。

以下、図面を参照しながら、本開示の例示的な実施形態を説明する。なお、本明細書中でいう「一致」とは、厳密な意味での一致に限るものではなく、同様の効果を奏するのであれば厳密に一致でなくてもよい。

［実施形態］
［１．構成］
＜全体構成＞
まず、本実施形態に係る車載制御システム１の構成について、図１を参照して説明する。本実施形態に係る車載制御システム１は、車両に搭載されるシステムである。車載制御システム１は、複数の電子制御装置（以下、ＥＣＵ）を備える。ＥＣＵは、Electronic Control Unitの略である。複数のＥＣＵは、通信線９０によって互いに通信可能に接続される。なお、図１では、３つのＥＣＵが図示されている。但し、車載制御システム１が備えるＥＣＵの数は、これに限定されるものではなく、２以上であり得る。

本実施形態では、通信線９０は複数のＥＣＵに共通の通信線であり、これらの複数のＥＣＵは、例えばＣＡＮ等の通信プロトコルに従って、通信を行う通信装置である。ＣＡＮは、Controller Area Networkの略であり、登録商標である。尚、本開示はこれに限定されるものではない。通信プロトコルはＣＡＮ以外の通信プロトコルであってもよい。また、通信線９０は複数のＥＣＵに共通の通信線でなくてもよく、この場合の通信プロトコルは、例えばイーサネットやそれ以外であってもよい。イーサネットは登録商標である。

車載制御システム１が備える複数のＥＣＵのそれぞれには、車両情報部と制御対象とが通信線によって接続される。車両情報部は車両の状態を検出する各種センサを備える。制御対象は、車両情報部による検出結果に基づいて、ＥＣＵによって制御される対象である。

本実施形態では、車載制御システム１は、エンジンＥＣＵ１０、ドアＥＣＵ２０、ブレーキＥＣＵ３０を複数のＥＣＵとして備える。
エンジンＥＣＵ１０は、車両情報部１１による検出結果に基づいて、制御対象１２の制御を行う。車両情報部１１には、例えば、クランク角を検出するクランク角センサや温度センサ等が含まれ得る。制御対象１２には、例えば、燃料噴射弁を作動させるアクチュエータ等が含まれ得る。

ドアＥＣＵ２０は、車両情報部２１による検出結果に基づいて、制御対象２２の制御を行う。車両情報部２１には、例えば、人によるドアへの接触を検出するタッチセンサ等が含まれ得る。制御対象１２には、例えば、ドアを開閉させるアクチュエータ（以下、ドアアクチュエータ）等が含まれ得る。

ブレーキＥＣＵ３０は、車両情報部３１による検出結果に基づいて、制御対象３２の制御を行う。車両情報部３１には、例えば、ブレーキペダルの開度を検出するブレーキペダルセンサ等が含まれ得る。制御対象３２には、例えば、ブレーキを駆動させるアクチュエータ（以下、ブレーキアクチュエータ）等が含まれ得る。

なお、以下でいう、第１の通信装置とは、後述する情報生成部（例えば、情報生成部５２）を備える通信装置である。一方、第２の通信装置とは、後述する監視部（例えば、監視部６３）を備える通信装置である。本実施形態では、エンジンＥＣＵ１０が第１の通信装置に相当し、ドアＥＣＵ２０が第２の通信装置に相当する。

＜エンジンＥＣＵ１０＞
第１の通信装置としてのエンジンＥＣＵ１０は、ＣＰＵ１０２、ＲＯＭ、ＲＡＭ、及びフラッシュメモリ等の半導体メモリ（以下、メモリ）１０３を含むマイクロコンピュータ（以下、マイコン）１０１を備える。エンジンＥＣＵ１０は、ＣＰＵ１０２が非遷移有形記録媒体に格納されたプログラムを実行することにより、図２に示すような各機能を実現する。本実施形態では、メモリ１０３が、プログラムを格納する非遷移有形記録媒体に該当する。また、このプログラムの実行により、プログラムに対応する方法が実行される。

エンジンＥＣＵ１０は、図２に示すように、制御部５１、情報生成部５２の機能を備える。制御部５１は、車両情報部１１の検出結果に基づいて、制御対象１２としてのエンジンについて種々の制御を行う。

情報生成部５２は、後述する情報生成処理を実行することにより、少なくとも１種類の状態情報を取得し、判定情報を生成し、判定情報を第２の通信装置へ出力する。判定情報とは、取得した少なくとも１種類の状態情報を含む情報である。状態情報とは、第１の通信装置（すなわち、エンジンＥＣＵ１０）の状態を示す情報であって、第１の通信装置の異常を判定するために第２の通信装置によって用いられる。

状態情報は、第１の通信装置の状態を定量的に表す情報であり得る。定量的に表すとは、数値として表すことをいう。具体的には、状態情報には、後述するように、ＴＳ、ＷＤＧ出力、ＩＴ、ＩＤ、割り込み発生回数Ｍ、タスク抜け回数Ｎ等、が含まれ得る。但し、状態情報は、これらに限定されるものではない。状態情報は、第１の通信装置の状態を表す種々の情報であってよい。また、状態情報は、第１の通信装置の状態を表す情報であればよく、第１の通信装置の状態を定量的に表す情報でなくてもよい。

＜ドアＥＣＵ２０＞
第２の通信装置としてのドアＥＣＵ２０は、ＣＰＵ２０２、ＲＯＭ、ＲＡＭ、及びフラッシュメモリ等の半導体メモリ（以下、メモリ）２０３を含むマイクロコンピュータ（以下、マイコン）２０１を備える。ドアＥＣＵ２０は、ＣＰＵ２０２が非遷移有形記録媒体に格納されたプログラムを実行することにより、図２に示すような各機能を実現する。本実施形態では、メモリ２０３が、プログラムを格納する非遷移有形記録媒体に該当する。また、このプログラムの実行により、プログラムに対応する方法が実行される。

ドアＥＣＵ２０は、図２に示すように、制御部６１、監視部６３の機能を備える。制御部６１は、車両情報部２１の検出結果に基づいて、制御対象２２としてのドアアクチュエータについて種々の制御を行う。

監視部６３は、後述する監視処理を実行することにより、第１の通信装置（すなわち、エンジンＥＣＵ１０）から判定情報を取得し、判定情報に含まれる上述の状態情報に基づいて、第１の通信装置の異常を判定する。

＜ブレーキＥＣＵ３０＞
ブレーキＥＣＵ３０は、ＣＰＵ３０２、ＲＯＭ、ＲＡＭ、及びフラッシュメモリ等の半導体メモリ（以下、メモリ）３０３を含むマイクロコンピュータ（以下、マイコン）３０１を備える。ブレーキＥＣＵ３０は、ＣＰＵ３０２が非遷移有形記録媒体に格納されたプログラムを実行することにより、図２に示すような各機能を実現する。本実施形態では、メモリ３０３が、プログラムを格納する非遷移有形記録媒体に該当する。また、このプログラムの実行により、プログラムに対応する方法が実行される。

ブレーキＥＣＵ３０は、図２に示すように、制御部７１の機能を備える。制御部７１は、車両情報部３１の検出結果に基づいて、制御対象３２としてのブレーキアクチュエータについて種々の制御を行う。

［２．処理］
＜情報生成処理＞
次に、第１の通信装置（すなわち、エンジンＥＣＵ１０の情報生成部５２）が実行する情報生成処理について、図３のフローチャートを用いて説明する。第１の通信装置が備えるマイコン１０１（すなわち、ＣＰＵ１０２）によって、情報生成処理は、予め定められた周期で繰り返し実行される。ＣＰＵ１０２は、Ｓ１１０－Ｓ１６０では複数種類の状態情報を取得し、Ｓ１７０では取得した状態情報を含む判定情報を生成する。なお、取得された状態情報、判定情報は、メモリ１０３に記憶される。

ＣＰＵ１０２は、まずＳ１１０では、タイムスタンプ（以下、ＴＳ）を状態情報として取得する。ＴＳとは、時刻を表す情報であって、本ステップで取得されたＴＳは判定情報が生成された時刻を表すものである。例えば、第１の通信装置が本情報生成処理とは別の処理によって絶対時刻を取得するように構成されていてもよく、ＴＳは絶対時刻で表されてもよい。ただし、本開示はこれに限定されるものではない。ＴＳは、車両制御システム１内で共通して用いられる、時間を表す情報であればよい。

ＣＰＵ１０２は、Ｓ１２０では、ＩＴ取得処理を実行する。ＩＴ取得処理は間隔時間（すなわち、ＩＴ）を決定するための処理である。ＩＴは、Interval Timeの略である。ＩＴとは、第１の通信装置から第２の通信装置（すなわち、ドアＥＣＵ２０）へ判定情報が送信される周期（すなわち、判定情報の送信周期）である。本実施形態では、ＩＴは、第１の通信装置（すなわち、エンジンＥＣＵ１０のＣＰＵ１０２）の負荷（すなわち、処理負荷）が大きいほど大きい値となるように決定される数値である。なお、ＩＴ取得処理については、後述する。

ＣＰＵ１０２は、Ｓ１３０では、ＩＤを取得する。ここでいうＩＤは、判定情報の送信元を特定するための情報である。ＩＤは、所定のビット数で表される。例えば、第１の通信装置がエンジンＥＣＵ１０である本実施形態では、ＩＤは、判定情報の送信元であるエンジンＥＣＵ１０を表す情報であってもよい。また、例えば、ＩＤは、監視される対象である第１の通信装置がエンジンＥＣＵ１０であり、監視する側である第２の通信装置がドアＥＣＵ２０であること、を表す情報であってもよい。但し、ＩＤは、これらの態様に限定されるものではなく、種々の態様で設定され得る。

ＣＰＵ１０２は、Ｓ１４０では、ウォッチドッグ（以下、ＷＤＧ）出力を生成する。マイコン１０１はＷＤＧ機能を備えており、図示しないＷＤＧ回路はＷＤＧパルスの出力に基づいて第１の通信装置（すなわち、エンジンＥＣＵ１０）の制御部５１が正常に動作しているか否かを監視している。

ＷＤＧパルスの出力とは、出力が「Ｈ」であるか「Ｌ」であるかを意味しており、ＷＤＧパルスの出力パタンは予め定められている。例えば、本実施形態では、「Ｈ」、「Ｌ」、「Ｈ」、「Ｌ」のように「Ｈ」と「Ｌ」とが交互となるパタンが、ＷＤＧパルスの出力パタンとして予め定められている。なお、ＷＤＧパルスの出力パタンは、これに限定されるものではなく、任意に設定され得る。ＷＤＧ出力とは、このようなＷＤＧパルスの出力のことをいう。

ＷＤＧパルスは、所定期間（例えば、１ｍｓｅｃ）毎に出力される。例えば、ＷＤＧ出力が、予め定められたＷＤＧパルスの出力パタンと異なる場合、マイコン１０１は異常である可能性がある。換言すれば、マイコン１０１を備える第１の通信装置は異常である可能性がある。

ＣＰＵ１０２は、Ｓ１５０では、割り込み発生回数Ｍを取得する。割り込み発生回数Ｍとは、所定時間内（例えば、１ｍｓｅｃ）に割り込みが発生した回数をいう。割り込みとは、例えば、マイコン１０１と接続されている特定のセンサから所定の信号が入力されることをいう。マイコン１０１はこの割り込みが発生すると予め定められた処理を実行するように構成されている。

エンジンＥＣＵ１０が第１の通信装置である本実施形態では、例えば、クランク角センサが特定のセンサに相当する。そして、予め定められたクランク角を示すクランク角信号が所定の信号に相当する。なお、マイコン１０１において所定時間内に処理可能な割り込み発生回数（以下、最高負荷時割込回数Ｍ_max）は、予め定められている。換言すれば、割り込み発生回数Ｍが最高負荷時割込回数Ｍ_maxを超える場合、マイコン１０１は異常である可能性がある。

ＣＰＵ１０２は、Ｓ１６０では、タスク抜け回数Ｎを取得する。タスク抜け回数Ｎとは、所定時間内（例えば、１ｍｓｅｃ）にタスク抜けが発生した回数をいう。なお、マイコン１０１において所定時間内に許容可能なタスク抜け回数（以下、最高負荷時タスク抜け回数Ｎ_max）は、予め定められている。換言すれば、タスク抜け回数Ｎが最高負荷時タスク抜け回数Ｎ_maxを超える場合、マイコン１０１は異常である可能性がある。

ＣＰＵ１０２は、Ｓ１７０では、判定情報を生成する。判定情報は、Ｓ１１０－Ｓ１６０にて取得した、少なくとも１つの状態情報を含む。本実施形態では、判定情報は、Ｓ１１０－Ｓ１６０にて取得した全ての状態情報を含む。

ＣＰＵ１０２は、Ｓ１８０では、判定情報を含む通信フレームを生成する。例えば、ＣＡＮの通信フレームであってデータフィールドに判定情報を含む通信フレームを生成する。そして、ＣＰＵ１０２は、生成した通信フレームを通信線９０に出力する。以上で、ＣＰＵ１０２は本情報生成処理を終了する。

＜ＩＴ取得処理＞
続いて、ＣＰＵ１０２が、情報生成処理のＳ１２０で実行するＩＴ取得処理について図４に示すフローチャートを用いて説明する。

ＣＰＵ１０２は、Ｓ２１０では、第１の通信装置の負荷情報を取得する。負荷情報とは、第１の通信装置の負荷の大小を定量的に表した情報である。第１の通信装置がエンジンＥＣＵ１０（すなわち、ＣＰＵ１０２）である本実施形態では、ＣＰＵ１０２は、エンジン回転数を負荷情報として取得する。エンジン回転数は、車両情報部１１が備えるクランク角センサの検出値に基づいて算出される。ＣＰＵ１０２は、本情報生成処理とは別処理にてエンジン回転数を算出するように構成されてもよいし、通信線９０を介して他のＥＣＵからエンジン回転数を取得するように構成されてもよい。

ＣＰＵ１０２は、Ｓ２２０では、対応情報を取得する。対応情報とは、負荷情報と、ＩＴ（すなわち、判定情報の送信周期）との対応を示す情報であり、メモリ１０３に予め記憶されている。対応情報では、負荷が大きくなるほどＩＴが長くなるように、負荷情報とＩＴとが対応付けられている。例えば、図５に示す本実施形態の対応情報では、エンジン回転数が大きいほどＩＴが長くなるように、エンジン回転数とＩＴとが対応づけられている。なお、対応情報において、対応づけられるそれぞれのＩＴは、ＷＤＧ信号の出力周期を逓倍した周期と一致するように設定されてもよい。

ＣＰＵ１０２は、Ｓ２３０では、対応情報に基づいて、ＩＴを決定し、本ＩＴ取得処理を終了する。これにより、ＩＴは、第１の通信装置の負荷が大きいほど長くなるように、決定される。

例えば、情報生成処理は、負荷情報に応じたＩＴ毎に起動されてもよい。そして、判定情報を含む通信フレームは、情報生成処理によって、ＩＴ毎に第２の通信装置へ送信される。

＜監視処理＞
第２の通信装置としてのドアＥＣＵ２０が備えるマイコン２０１（すなわちＣＰＵ２０２）が実行する監視処理について、図６に示すフローチャートを用いて説明する。監視処理は、第２の通信装置が通信線９０を介し当該該第２の通信装置宛の判定情報を取得したことをきっかけとして、起動される。

ＣＰＵ２０２は、Ｓ３１０では、判定情報を取得する。
ＣＰＵ２０２は、Ｓ３２０－３４０では、判定情報に含まれる状態情報の種類毎に、正常情報と判定情報に含まれる状態情報とを比較する。ここでいう状態情報は定量的に表される情報であり、正常情報も定量的に表される情報である。正常情報とは、第１の通信装置が正常であるときの状態情報であって、状態情報の種類毎に予め定められた値が設定されている。正常情報は、第２通信装置（すなわち、ドアＥＣＵ２０）のメモリ２０３に予め記憶されている。

ＣＰＵ２０２は、まずＳ３２０では、後述する通信成否判定処理を実行する。比較される状態情報は、ＴＳ、詳しくは最新の判定情報に含まれるＴＳと直近の過去の判定情報に含まれるＴＳとの時間間隔、である。

ＣＰＵ２０２は、Ｓ３３０では、後述する個別判定処理を実行する。比較される状態情報は、ＷＤＧ出力、割り込み発生回数Ｍ、タスク抜け回数Ｎである。
ＣＰＵ２０２は、Ｓ３４０では、後述する異常判定処理を実行する。ＣＰＵ２０２は、Ｓ３４０では、Ｓ３２０－Ｓ３３０による４種類の状態情報と正常情報との比較の結果に基づいて、第１の通信装置の異常を判定する。Ｓ３４０では、第１の通信装置の異常についての判定結果を含む通信フレームが生成される。

ＣＰＵ２０２は、Ｓ３５０では、Ｓ３４０にて生成される通信フレームを、通信線９０を介して送信する。通信フレームには、後述する回復指示が含まれ得る。また、通信フレームには、第１の通信装置の異常についての判定結果が含まれ得る。そして、ＣＰＵ２０２は、以上で本監視処理を終了する。なお、以下でいう監視情報とは、回復指示と判定結果とを含む通信フレームをいう。

＜通信成否判定処理＞
次に、ＣＰＵ２０２が監視処理のＳ３２０で実行する通信成否判定処理を、図７に示すフローチャートを用いて説明する。

ＣＰＵ２０２は、Ｓ４１０では、判定情報に含まれている、ＴＳ及びＩＴを取得する。
ＣＰＵ２０２は、Ｓ４２０では、判定情報出力間隔Ｐを算出する。判定情報出力間隔Ｐとは、第１の通信装置から判定情報が出力された時間間隔をいう。具体的には、判定情報出力間隔Ｐは、今回受信した判定情報に含まれるＴＳと、前回受信した判定情報に含まれる過去のＴＳ（以下、ＰＴＳ）と、の差として算出される。ＰＴＳは、後述するようにメモリ２０３に記憶されている。

このように第１の通信装置にて取得されたＴＳに基づいて判定情報出力間隔Ｐを算出することにより、通信線９０による遅延等に関係無く、第１の通信装置における判定情報の送信周期（すなわち、ＩＴ）が推定される。

ＣＰＵ２０２は、Ｓ４３０では、判定情報出力間隔ＰがＩＴの所定範囲内に一致するか否かを判定する。例えば、ＣＰＵ２０２は、判定情報出力間隔ＰがＩＴ－α≦Ｐ≦ＩＴ＋αであるか否か、を判定する。αは、ＩＴとＰとが一致しているとみなされる程度の任意の値に設定され得る。ＩＴとは、上述のように、第１の通信装置にて予め設定された判定情報の送信周期である。

つまり、ＣＰＵ２０２は、判定情報出力間隔ＰがＩＴの所定範囲内に一致している場合に、第１の通信装置から設定通りの送信周期で判定情報が送信されており、第１の通信装置において判定情報の送信周期は正常である、と判定する。ＣＰＵ２０２は、判定情報出力間隔ＰがＩＴの所定範囲内に一致する場合に処理をＳ４５０へ移行させ、判定情報出力間隔ＰがＩＴの所定範囲内に一致しない場合に処理をＳ４４０へ移行させる。

ＣＰＵ２０２は、Ｓ４４０では、第１の評価値ＪＩＣを１つカウントアップし、処理をＳ４４０へ移行させる。第１の評価値ＪＩＣとは、第１の通信装置の異常を評価するための数値である。第１の評価値ＪＩＣは、判定情報に含まれる状態情報が正常でない（すなわち、異常である）と判定される毎に、予め定められた加算値が加算されて新たな第１の評価値ＪＩＣとして算出される。つまり、加算値とは、判定情報に含まれる状態情報が正常でないと判定される毎に、新たな第１の評価値ＪＩＣを生成するために、既に算出されている第１の評価値ＪＩＣに加算される値であり、例えば本実施形態では１である。但し、加算値は任意に設定され得る。

ＣＰＵ２０２は、Ｓ４５０では、Ｓ４５０ではＳ４１０にて取得したＴＳをＰＴＳとしてメモリ２０３に記憶する。ＣＰＵ２０２は、以上で本通信成否判定処理を終了する。
このように、通信成否判定処理では、判定情報に含まれるＴＳに基づいて算出される判定情報出力間隔Ｐを状態情報とし、該判定情報出力間隔Ｐを正常情報であるＩＴと比較して、第１の評価値ＪＩＣを算出する。換言すれば、通信成否判定処理では、ＴＳを状態情報として、ＰＴＳにＩＴを加算した値を正常情報として、これらを比較することにより、これらが一致する場合に状態情報であるＴＳが正常であると判定している、といえる。

＜個別判定処理＞
次に、ＣＰＵ２０２が監視処理のＳ３３０で実行する個別判定処理を、図８に示すフローチャートを用いて説明する。

ＣＰＵ２０２は、Ｓ５１０では、判定情報に含まれる状態情報であるＷＤＧ出力を取得する。
ＣＰＵ２０２は、Ｓ５２０では、ＷＤＧ出力が正常であるか否かを判定する。第１の通信装置におけるＷＤＧパルスの出力パタンは、予め第２の通信装置のメモリ２０３に正常情報として記憶されている。また、メモリ２０３には、判定情報を受信したときの過去のＷＤＧ出力が判定情報を受信する毎に継続して記憶されている。

ＣＰＵ２０２は、過去のＷＤＧ出力に基づいて、新たに受信したＷＤＧ出力（すなわち、「Ｈ」又は「Ｌ」）が、正常情報としてのパタンから推測される出力（すなわち、「Ｈ」又は「Ｌ」）に一致する場合に、ＷＤＧ出力が正常であると判定する。ＣＰＵ２０２は、判定結果をメモリ２０３に記憶する。なお、本ステップでは、メモリ２０３には、新たな判定結果が過去の判定結果とともに記憶される。

ＣＰＵ２０２は、ＷＤＧ出力が正常でないと判定された場合に処理をＳ５３０へ移行させ、ＷＤＧ出力が正常であると判定された場合に処理をＳ５４０へ移行させる。
ＣＰＵ２０２は、Ｓ５３０では、第１の評価値ＪＩＣを１つカウントアップし、処理をＳ５７０へ移行させる。

ＣＰＵ２０２は、Ｓ５４０－５６０では、状態情報毎に、正常連続回数を検出する。正常連続回数とは、同一種類の状態情報が正常であると連続して判定された回数である。そして、ＣＰＵ２０２は、正常連続回数が予め定められた回数閾値以上である場合に、第１の評価値ＪＩＣから予め定められた減算値を減算して新たな第１の評価値ＪＩＣを算出する。

これは、過去に第１の評価値ＪＩＣが加算されていても、その後に正常であると連続して判定された場合には、該過去の第１の評価値ＪＩＣの加算はノイズ等の影響による一時的なものであり、第１の通信装置の異常ではないと考えるためである。本実施形態では、回数閾値は３であり、減算値は１である。但し、回数閾値及び減算値は、任意に設定され得る。なお、正常連続回数は、状態情報が異常であると判定された場合にリセットされる。

ＣＰＵ２０２は、まずＳ５４０では、新たな判定結果とメモリ２０３に記憶されている過去の判定結果とに基づいて、状態情報であるＷＤＧ出力が正常であると連続して判定された回数（すなわち、正常連続回数）が回数閾値以上であるか否かを判定する。ＣＰＵ２０２は、ＷＤＧ出力の正常連続回数をカウントしている。ＣＰＵ２０２は、正常連続回数が回数閾値以上である場合に処理をＳ５５０へ移行させ、正常連続回数が回数閾値未満である場合に処理をＳ５７０へ移行させる。

ＣＰＵ２０２は、Ｓ５５０では、第１の評価値ＪＩＣが１以上であるか否かを判定する。本ステップは、第１の評価値ＪＩＣが負の値とならないようにするための処理である。ＣＰＵ２０２は、第１の評価値ＪＩＣが１以上である場合に処理をＳ５６０へ移行させ、第１の評価値ＪＩＣが１未満（すなわち、０）である場合に処理をＳ５７０へ移行させる。

ＣＰＵ２０２は、Ｓ５６０では、第１の評価値ＪＩＣを１つカウントダウンし、処理をＳ５７０へ移行させる。
ＣＰＵ２０２は、Ｓ５７０－Ｓ６２０では、状態情報である割り込み発生回数Ｍについて上述と同様の判定を行い、Ｓ６３０－Ｓ６８０では、状態情報であるタスク抜け回数Ｎについて上述と同様の判定を行う。

すなわち、ＣＰＵ２０２は、Ｓ５７０では、判定情報に含まれる状態情報である割り込み発生回数Ｍを取得する。
ＣＰＵ２０２は、Ｓ５８０では、割り込み発生回数Ｍが正常であるか否かを判定する。ＣＰＵ２０２は、状態情報である割り込み発生回数Ｍと正常情報（すなわち、正常情報の上限値）である最高負荷時割込回数Ｍ_maxとを比較し、割り込み発生回数Ｍが最高負荷時割込回数Ｍ_max以下である場合に、割り込み発生回数Ｍが正常であると判定する。ＣＰＵ２０２は、判定結果をメモリ２０３に記憶する。ＣＰＵ２０２は、割り込み発生回数Ｍが正常でない場合に処理をＳ５９０へ移行させ、割り込み発生回数Ｍが正常である場合に処理をＳ６００へ移行させる。

ＣＰＵ２０２は、Ｓ５９０では、第１の評価値ＪＩＣを１つカウントアップし、処理をＳ６３０へ移行させる。
ＣＰＵ２０２は、Ｓ６００では、メモリ２０３に記憶されている判定結果に基づいて、正常連続回数が回数閾値以上であるか否かを判定する。ここでいう正常連続回数とは、状態情報である割り込み発生回数Ｍが正常であると連続して判定された回数である。ＣＰＵ２０２は、割り込み発生回数Ｍの正常連続回数をカウントしている。ＣＰＵ２０２は、割り込み発生回数Ｍの正常連続回数が回数閾値以上である場合に処理をＳ６１０へ移行させ、該正常連続回数が回数閾値未満である場合に処理をＳ６３０へ移行させる。

ＣＰＵ２０２は、Ｓ６１０では、第１の評価値ＪＩＣが１以上であるか否かを判定する。ＣＰＵ２０２は、第１の評価値ＪＩＣが１以上である場合に処理をＳ６２０へ移行させ、第１の評価値ＪＩＣが１未満である場合に処理をＳ６３０へ移行させる。

ＣＰＵ２０２は、Ｓ６２０では、第１の評価値ＪＩＣを１つカウントダウンし、処理をＳ６３０へ移行させる。
ＣＰＵ２０２は、Ｓ６３０では、判定情報に含まれる状態情報であるタスク抜け回数Ｎを取得する。

ＣＰＵ２０２は、Ｓ６４０では、タスク抜け回数Ｎが正常であるか否かを判定する。ＣＰＵ２０２は、状態情報であるタスク抜け回数Ｎと正常情報（すなわち、正常情報の上限値）である最高負荷時タスク抜け回数Ｎ_maxとを比較する。ＣＰＵ２０２は、タスク抜け回数Ｎが最高負荷時タスク抜け回数Ｎ_max以下である場合に、タスク抜け回数Ｎが正常であると判定する。ＣＰＵ２０２は、判定結果をメモリ２０３に記憶する。ＣＰＵ２０２は、タスク抜け回数Ｎが正常でない場合に処理をＳ６５０へ移行させ、タスク抜け回数Ｎが正常である場合に処理をＳ６６０へ移行させる。

ＣＰＵ２０２は、Ｓ６５０では、第１の評価値ＪＩＣを１つカウントアップし、以上で本処理を終了する。
ＣＰＵ２０２は、Ｓ６６０では、メモリ２０３に記憶されている判定結果に基づいて、状態情報であるタスク抜け回数Ｎの正常連続回数が回数閾値以上であるか否かを判定する。ここでいう正常連続回数とは、状態情報であるタスク抜け回数Ｎが正常であると連続して判定された回数である。ＣＰＵ２０２は、タスク抜け回数Ｎの正常連続回数をカウントしている。ＣＰＵ２０２は、タスク抜け回数Ｎの正常連続回数が回数閾値以上である場合に処理をＳ６７０へ移行させ、該正常連続回数が回数閾値未満である場合に本処理を終了する。

ＣＰＵ２０２は、Ｓ６７０では、第１の評価値ＪＩＣが１以上であるか否かを判定する。ＣＰＵ２０２は、第１の評価値ＪＩＣが１以上である場合に処理をＳ６８０へ移行させ、第１の評価値ＪＩＣが１未満である場合に、本処理を終了する。

ＣＰＵ２０２は、Ｓ６８０では、第１の評価値ＪＩＣを１つカウントダウンする。ＣＰＵ２０２は、以上で本処理を終了する。
＜異常判定処理＞
次に、ＣＰＵ２０２が監視処理のＳ３４０で実行する異常判定処理を、図９に示すフローチャートを用いて説明する。ＣＰＵ２０２は、監視処理のＳ３２０－Ｓ３３０（すなわち、上述の通信成否処理及び個別判定処理）にて生成された第１の評価値ＪＩＣの大きさに基づいて、第１の通信装置の異常を判定する。

ＣＰＵ２０２は、本異常判定処理では、第１の評価値ＪＩＣが予め定められた評価閾値以上である場合に、第２の評価値ＡＣＣに予め定められた所定値を加算して新たな第２の評価値ＡＣＣを生成する。そして、ＣＰＵ２０２は、第２の評価値ＡＣＣの大きさに基づいて第１の通信装置の異常を判定する。

評価閾値とは、第１の評価値ＪＩＣに基づいて、第１の通信装置に何らかの異常が生じていると推測される状態と、ノイズ等の影響により一時的に状態情報に異常が生じていると推測される状態と、を区別するための閾値である。第２の評価値ＡＣＣとは、第１の評価値ＪＩＣが評価閾値以上となる状態がどの程度継続しているかを表す数値であって、第１の通信装置に生じていると推測される異常の大きさ（すなわち、異常の程度）を表すための数値である。第２の評価値ＡＣＣが大きいほど、つまり第１の評価値ＪＩＣが評価閾値以上となる状態が長いほど、第１の通信装置の異常の程度が大きいと判定される。

ＣＰＵ２０２は、まずＳ７１０では、生成された第１の評価値ＪＩＣを取得する。
ＣＰＵ２０２は、Ｓ７２０では、第１の評価値ＪＩＣが予め定められた評価閾値以上であるか否かを判定する。評価閾値は、例えば本実施形態では３であり、メモリ２０３に予め記憶されている。但し、評価閾値は任意に設定され得る。

ＣＰＵ２０２は、第１の評価値ＪＩＣが評価閾値以上であると判定された場合に、処理をＳ７３０へ移行させ、第１の評価値ＪＩＣが評価閾値未満であると判定された場合に、処理をＳ７４０へ移行させる。

ＣＰＵ２０２は、Ｓ７３０では、第２の評価値ＡＣＣを１つカウントアップし、処理をＳ７４０へ移行させる。
ＣＰＵ２０２は、Ｓ７４０では、第２の評価値ＡＣＣが第１の異常閾値以上であるか否かを判定する。ここで、ＣＰＵ２０２は、第２の評価値ＡＣＣが第１の異常閾値未満である場合に、第１の通信装置が正常であると判定して、処理をＳ７５０へ移行させる。一方、ＣＰＵ２０２は、第２の評価値ＡＣＣが第１の異常閾値以上である場合に、第１の通信装置に何らかの異常が生じていると判定して、処理をＳ７７０へ移行させる。

第１の異常閾値とは、第２の評価値ＡＣＣに基づいて、第１の通信装置が正常であると推定される状態と、第１の通信装置に何らかの異常が生じていると推定される状態と、を区別するための閾値である。例えば本実施形態では、第１の異常閾値は１であり、メモリ２０３に予め記憶されている。但し、第１の異常閾値は任意に設定され得る。

ＣＰＵ２０２は、第１の通信装置が正常であると判定されて移行するＳ７５０では、回復指示を設定する。回復指示とは、第１の通信装置の異常を回復するための指示であって、第２の通信装置から第１の通信装置へ送信される指示である。本ステップでは、第１の通信装置は正常であると判定されているため、ＣＰＵ２０２は、回復指示に「指示無し」を設定する。「指示無し」を設定することは、回復指示を行わないことに相当する。

ＣＰＵ２０２は、Ｓ７６０では第１の通信装置を送信先とする通信フレームを生成する。通信フレームには、Ｓ７５０で設定された回復指示と、第１の通信装置が正常であると判定された判定結果とが含まれる。そして、ＣＰＵ２０２は、以上で本異常判定処理を終了する。

ＣＰＵ２０２は、第２の評価値ＡＣＣが第１の異常閾値以上である場合に移行するＳ７７０―Ｓ８３０では、第２の評価値ＡＣＣの大きさに応じて、第１の通信装置の異常の程度を判定し、第１の通信装置の異常を回復するための回復指示を決定する。

ＣＰＵ２０２は、まずＳ７７０では、第２の評価値ＡＣＣが第１の異常閾値以上且つ第２の異常閾値未満であるか否かを判定する。ここで、ＣＰＵ２０２は、第２の評価値ＡＣＣが第１の異常閾値異常且つ第２の異常閾値未満である場合に、第１の通信装置が軽度の異常であると判定して、処理をＳ７８０へ移行させる。一方、ＣＰＵ２０２は、第２の評価値ＡＣＣが第２の異常閾値以上である場合に、第１の通信装置に重度の異常が生じている状態であると判定して、処理をＳ８００へ移行させる。

第２の異常閾値とは、第２の評価値ＡＣＣに基づいて、第１の通信装置において、軽度な異常が生じている状態と、重度な異常が生じている状態と、を区別するための閾値である。つまり、第２の異常閾値は、第１の通信装置の異常の程度を推定するための数値である。例えば本実施形態では、第２の異常閾値は３であり、メモリ２０３に予め記憶されている。但し、第２の異常閾値は任意に設定され得る。

ＣＰＵ２０２は、第１の通信装置が軽度の異常であると判定されて移行するＳ７７０では、回復指示を設定する。本ステップではリフレッシュ指示が回復指示として設定される。リフレッシュ指示とは、第１の通信装置（すなわち、エンジンＥＣＵ１０）のマイコン１０１をリフレッシュするための指示である。

ＣＰＵ２０２は、Ｓ７９０では第１の通信装置を送信先とする通信フレームを生成する。通信フレームには、Ｓ７８０で設定された回復指示が含まれる。また、通信フレームには、第１の通信装置が軽度の異常であると判定された判定結果が含まれる。そして、ＣＰＵ２０２は、以上で本異常判定処理を終了する。

ＣＰＵ２０２は、第１の通信装置が重度の異常であると判定されて移行するＳ８００では、回復指示を設定する。本ステップではリセット指示が回復指示として設定される。リセット指示とは、第１の通信装置（すなわち、エンジンＥＣＵ１０）のマイコン１０１をリセットするための指示である。

ＣＰＵ２０２は、Ｓ８１０では第１の通信装置を送信先とする通信フレームを生成する。通信フレームには、Ｓ８００で設定された回復指示が含まれる。また、通信フレームには、第１の通信装置が重度の異常であると判定された判定結果が含まれる。

ＣＰＵ２０２は、Ｓ８２０では、第２の評価値ＡＣＣを初期化する。すなわち、第２の評価値ＡＣＣを０に設定する。
ＣＰＵ２０２は、Ｓ８３０では、第１の評価値ＪＩＣを初期化する。すなわち、第１の評価値ＪＩＣを０に設定する。そして、ＣＰＵ２０２は、以上で本異常判定処理を終了する。

＜作動＞
上述のように構成される車載制御システム１の作動を、図１０を用いて説明する。なお、図１０では、ＩＴは１ｍｓｅｃに設定されているものとする。また、図１０では、第２の通信装置において判定情報が正常な周期（すなわち、ＩＴに一致）で受信されている例を示す。

時刻ｔ₀では、第１の評価値ＪＩＣ及び第２の評価値ＡＣＣは０である。
時刻ｔ₁では、状態情報としてのＷＤＧ出力は、「Ｈ」で正常である。割り込み発生回数Ｍは、正常値の上限値である最高負荷時割り込み回数Ｍ_max未満であり正常である。タスク抜け回数Ｎは、正常値の上限値である最高負荷時タスク抜け回数Ｎ_maxを超えており、タスク抜け回数Ｎは異常と判定されるため、第１の評価値ＪＩＣは加算値（すなわち、１）加算されて１となる。第２の評価値ＡＣＣは０である。

時刻ｔ₂では、状態情報としてのＷＤＧ出力は、「Ｌ」であり正常である。割り込み発生回数ＭはＭ_maxを超えており、割り込み発生回数Ｍは異常と判定されるため、第１の評価値ＪＩＣは１加算されて２となる。タスク抜け回数ＮはＮ_max未満であり正常である。第２の評価値ＡＣＣは０である。

時刻ｔ₃では、状態情報としてのＷＤＧ出力は、「Ｈ」で正常である。割り込み発生回数ＭはＭ_max未満で正常である。タスク抜け回数ＮはＮ_max未満であり正常である。ここでは、ＷＤＧ出力が回数閾値以上連続して正常であると判定されているので、第１の評価値ＪＩＣは減算値（すなわち、１）減算されて１となる。第２の評価値ＡＣＣは０である。

時刻ｔ₄では、状態情報としてのＷＤＧ出力は、「Ｈ」で異常であり、第１の評価値ＪＩＣは１加算されて２となる。割り込み発生回数ＭはＭ_max未満で正常である。タスク抜け回数ＮはＮ_maxを超えており異常と判定されるため、第１の評価値ＪＩＣは１加算されて３となる。そして、第１の評価値ＪＩＣが評価閾値（すなわち、３）以上となったため、第２の評価値ＡＣＣが所定値（すなわち、１）加算されて１となる。第２の評価値ＡＣＣは第１の異常閾値である１以上であり第２の異常閾値である３未満である。

これにより、第２の通信装置（すなわち、ドアＥＣＵ２０）は、第１の通信装置（すなわち、エンジンＥＣＵ１０）を、軽度の異常が生じている状態であると判定する。第２の通信装置は、リフレッシュ指示を回復指示として、該回復指示と判定結果とを含む通信フレームを第１の通信装置へ送信する。これにより、第１の通信装置はリフレッシュされる。

時刻ｔ₅では、状態情報としてのＷＤＧ出力は、「Ｌ」で異常であり、第１の評価値ＪＩＣは１加算されて４となる。割り込み発生回数ＭはＭ_max未満であり正常である。ここで、割り込み発生回数Ｍは、回数閾値（すなわち、３）以上連続して正常であると判定されているので、第１の評価値ＪＩＣは１減算されて３となる。タスク抜け回数ＮはＮ_max未満であり正常である。そして、第１の評価値ＪＩＣが評価閾値（すなわち、３）以上となったため、第２の評価値ＡＣＣが１加算されて２となる。第２の評価値ＡＣＣは第１の異常閾値である１以上であり第２の異常閾値である３未満である。

時刻ｔ₆では、状態情報としてのＷＤＧ出力は、「Ｌ」で正常である。割り込み発生回数ＭはＭ_maxを超えており異常と判定され、第１の評価値ＪＩＣは１加算されて４となる。タスク抜け回数ＮはＮ_max未満であり正常である。そして、第１の評価値ＪＩＣが評価閾値（すなわち、３）以上となったため、第２の評価値ＡＣＣが１加算されて３となる。第２の評価値ＡＣＣは第２の異常閾値である３以上となる。

これにより、第２の通信装置（すなわち、ドアＥＣＵ２０）は、第１の通信装置（すなわち、エンジンＥＣＵ１０）を、重度の異常が生じている状態であると判定する。第２の通信装置は、リセット指示を回復指示として、該回復指示と判定結果とを含む通信フレームを第１の通信装置へ送信する。これにより、第１の通信装置はリセットされる。そして、第１の評価値ＪＩＣ、第２の評価値ＡＣＣは、初期化される。

［３．効果］
以上詳述した実施形態によれば、以下の効果を奏する。
（１）第１の通信装置としてのエンジンＥＣＵ１０が備える情報生成部５２は、少なくとも１種類の状態情報を取得し、Ｓ１７０では、取得した状態情報を含む判定情報を生成し、Ｓ１８０では、生成した判定情報を第２の通信装置へ出力する。第２の通信装置としてのドアＥＣＵ２０が備える監視部６３は、判定情報に含まれる状態情報と第１の通信装置が正常であるときの状態情報である正常情報とを比較し、第１の通信装置の異常を判定する。

これにより、第１の通信装置は、第１の通信装置の外部装置である第２の通信装置との通信によって、第１の通信装置の異常を判定する。第１の通信装置が異常であるか否かを判定する第２の通信装置は、新たに設けられた制御装置ではなく、車載制御システム１が予め備えるＥＣＵである。つまり、車載制御システム１において構成要素を増加させること無く、簡素な構成で、第１の通信装置が異常であるか否かを監視することができる。

（２）監視部６３は、Ｓ３２０－Ｓ３３０では、判定情報に含まれる状態情報の種類毎に、正常情報と状態情報とを比較し、Ｓ３４０では、第１の通信装置の異常を判定する。本実施形態では複数種類の状態情報を用いる。したがって、１つの状態情報を用いる場合よりも、第１の通信装置の異常を判定する精度を向上させることができる。

また、状態情報が定量的に表され、正常情報が定量的に表さ、監視部６３は、これらの定量的に表される状態情報と正常情報との比較によって第１の通信装置の異常を判定してもよい。数値としての状態情報と数値としての正常情報との比較に基づいて判定が行われるので、判定する閾値が明確になり、第１の通信装置の異常を判定する精度を向上させることができる。

（３）監視部６３は、Ｓ４４０、Ｓ５３０、Ｓ５９０、Ｓ６５０では、判定情報に含まれる状態情報が異常であると判定される毎に、第１の評価値ＪＩＣに予め定められた加算値を加算して新たな第１の評価値ＪＩＣを生成する。監視部６３は、第１の評価値ＪＩＣの大きさに基づいて第１の通信装置の異常を判定する。

これにより、仮に複数の状態情報のうちのいずれかが一時的に正確でない状態を示す場合であっても、状態情報が異常と判定された数である第１の評価値ＪＩＣに基づいて第１の通信装置の異常が判定される。従って、ノイズ等による一時的な影響が抑制され、第１の通信装置の異常を判定する精度及び信頼度を向上させることができる。

（４）監視部６３は、Ｓ４４０、Ｓ５３０、Ｓ５９０、Ｓ６５０では、同一種類の状態情報が正常であると連続して判定された正常連続回数が予め定められた回数閾値以上である場合に、新たな第１の評価値ＪＩＣを生成する。ここでは、上述の第１の評価値ＪＩＣから予め定められた減算値が減算され、新たな第１の評価値ＪＩＣが生成される。これにより、ノイズ等による一時的な影響が抑制され、第１の通信装置の異常を判定する精度及び信頼度を向上させることができる。

（５）監視部６３は、Ｓ７３０では、Ｓ７２０にて第１の評価値ＪＩＣが評価閾値以上であると判定された場合に、第２の評価値ＡＣＣに予め定められた所定値を加算して新たな第２の評価値ＡＣＣを生成する。監視部６３は、Ｓ７４０では、第２の評価値が第１の異常閾値以上である場合に、第１の通信装置が異常であると判定する。

つまり、監視部６３は、第１の評価値ＪＩＣが評価閾値以上であると判定された状態が少なくとも第１の異常閾値ぶん連続する場合に、第１の通信装置に何らかの異常が生じていると判定する。従って、ノイズ等による一時的な影響が更に抑制され、第１の通信装置の異常を判定する精度及び信頼度をより向上させることができる。

（６）監視部６３は、Ｓ７８０、Ｓ８００では、第２の評価値ＡＣＣが前記第１の異常閾値以上である場合に、前記第２の評価値ＡＣＣの大きさに応じて、第１の通信装置の異常を回復するための回復指示を決定する。これにより、異常の継続の程度によって、その程度に応じた回復指示を決定することができる。回復指示は第１の通信装置へのリフレッシュ指示であってもよいし、異常がより継続する場合には、回復指示は第１の通信装置へのリセット指示であってもよい。

（７）情報生成部５２によって生成される判定情報には、時刻情報（すなわち、ＴＳ）が含まれる。ＴＳは判定情報が生成された時刻を表す。これにより、第１の通信装置の外部装置である第２の通信装置は、通信線９０による遅延等に関係無く、第１の通信装置にて取得されたＴＳに基づいて判定情報出力間隔Ｐを算出することができる。つまり、第２の通信装置は、通信線９０による遅延等に関係無く、第１の通信装置における判定情報の送信周期（すなわち、ＩＴ）を精度良く推定することができる。

（８）情報生成部５２によって生成される判定情報には、判定情報の送信周期（すなわち、ＩＴ）が状態情報として含まれる。これにより、第２の通信装置において特定される、ＴＳに基づく判定情報出力間隔Ｐと、第１の通信装置にて予め設定されている送信周期であるＩＴと、の比較を行うことができる。

（９）監視部６３は、判定情報に含まれるＴＳに基づいて算出される判定情報出力間隔Ｐと、判定情報に含まれるＩＴとを比較し、第１の通信装置の異常を判定する。これにより、例えば、判定情報出力間隔ＰとＩＴとが一致する場合に第１の通信装置が正常であると判定し、一致しない場合に第１の通信装置に異常が生じていると判定することが可能となる。

また、仮に第１の通信装置においてＩＴが変更されたとしても、第２の通信装置は、受信した判定情報に含まれるＩＴによって、第１の通信装置における直近のＩＴを認識することができる。つまり、第２の通信装置は、判定情報出力間隔Ｐが変更前のＩＴに一致しなくても、判定情報出力間隔Ｐが新たに受信した判定情報に含まれる変更後のＩＴに一致する場合は、判定情報出力間隔Ｐが正常であると判定することができる。

つまり、第２の通信装置は、判定情報出力間隔Ｐの変化を、第１の通信装置による意図的な変更であるのか、第１の通信装置の異常による変化であるのか、を区別することができるので、第１の通信装置の異常を精度よく判定することができる。

（１０）情報生成部５２は、Ｓ３２０では、第１の通信装置の負荷の大小を定量的に示す負荷情報に基づいて判定情報の送信周期（すなわち、ＩＴ）を決定する。情報生成部５２は、判定情報の送信周期を、第１の通信装置の負荷が大きいほど長くなるように決定する。負荷情報は、第１の通信装置がエンジンＥＣＵ１０である上述の実施形態では、例えば、エンジン回転数である。

情報生成部５２は、エンジン回転数とＩＴとを対応づけた対応情報を取得し、対応情報に基づいてエンジン回転数に対応するＩＴを特定し、特定したＩＴで判定情報を送信してもよい。対応情報とは、負荷情報と負荷情報の大きさに応じたＩＴとを対応づけた予め定められた情報であって、負荷が高いほどＩＴが長くなるように対応づけられた情報である。

これにより、第１の通信装置であるエンジンＥＣＵ１０では、負荷大きいときはＩＴが大きい値に設定される。このため、エンジンＥＣＵ１０は、エンジンＥＣＵ１０の処理能力を、判定情報を送信すること以外に費やすことができる。つまり、第１の通信装置の処理能力を効率良く利用することができる。

なお、上述の実施形態では、車載制御システム１が通信システムに相当し、エンジンＥＣＵ１０及びドアＥＣＵ２０が複数の通信装置に相当し、エンジンＥＣＵ１０が第１の通信装置に相当し、ドアＥＣＵ２０が第２の通信装置に相当する。また、監視部６３が、判定実行部、種類別判定部、加算部に相当する。Ｓ３４０が判定実行部としての処理に相当し、Ｓ４３０、Ｓ５２０、Ｓ５８０、Ｓ６４０が種類別判定部としての処理に相当し、Ｓ４４０、Ｓ５３０、Ｓ５９０、Ｓ６５０が加算部としての処理に相当する。判定情報出力間隔Ｐが判定情報の送信間隔に相当し、ＴＳが時刻情報に相当し、ＩＴが第１の通信装置にて決定された、判定情報の送信周期に相当する。

［４．変形例］
以下に、車載制御システム１の変形例を示す。
＜変形例１＞
車載制御システム１では、エンジンＥＣＵ１０は第１の通信装置であり、ドアＥＣＵ２０は第２の通信装置であった。これに対して、図１１に示す変形例１の車載制御システム２では、エンジンＥＣＵ１０が第１の通信装置であり、エンジンＥＣＵ１０及びブレーキＥＣＵ３０の両方が第２の通信装置であってもよい。

つまり、エンジンＥＣＵ１０は、上述の実施形態と同様に、制御部５１と情報生成部５２とを備える。情報生成部５２は、情報生成処理を実行し、第２の通信装置としてのドアＥＣＵ２０及びブレーキＥＣＵ３０の両方に、判定情報を送信する。第２の通信装置としてのドアＥＣＵ２０は、上述の実施形態と同様に、制御部６１と監視部６３を備える。もう１つの第２の通信装置としてのブレーキＥＣＵ３０は、制御部７１と監視部７３とを備える。監視部７３は、監視部６３と同様に構成される。

これにより、第１の通信装置としてのエンジンＥＣＵ１０の異常の有無を、複数の第２の通信装置（すなわち、ドアＥＣＵ２０、ブレーキＥＣＵ３０）によって、監視することができる。つまり、車載制御システム２は、第１の通信装置としてのエンジンＥＣＵ１０についての異常の判定結果及び回復指示（すなわち、監視情報）を得るための構成を冗長構成で備えることができる。

ここで、複数の第２の通信装置としてのドアＥＣＵ２０及びブレーキＥＣＵ３０は、判定情報を受信する毎に、監視処理を実行するように構成されてもよい。エンジンＥＣＵ１０は、ドアＥＣＵ２０及びブレーキＥＣＵ３０の両方から監視情報を受信し、両方の監視情報に含まれる判定結果が一致した場合にのみ該判定結果が真であるとして回復指示に従った動作を行うように構成されてもよい。これにより、ドアＥＣＵ２０又はブレーキＥＣＵ３０による誤判定に伴う回復指示に従ってエンジンＥＣＵ１０が動作すること、が抑制される。

なお、複数の第２の通信装置としてのドアＥＣＵ２０及びブレーキＥＣＵ３０は、予め定められた周期（例えば、１００ｍｓｅｃ毎等）で、交互に、監視処理を実行するように構成されてもよい。これにより、ドアＥＣＵ２０及びブレーキＥＣＵ３０の処理負荷を軽減することができる。また、仮に、ドアＥＣＵ２０及びブレーキＥＣＵ３０のうちの一方が故障した場合には、エンジンＥＣＵ１０の異常の判定を継続することができる。

＜変形例２＞
図１２に示す変形例２の車載制御システム３では、エンジンＥＣＵ１０は第１の通信装置であり、ドアＥＣＵ２０はエンジンＥＣＵ１０にとっての第２の通信装置である。更に、ドアＥＣＵ２０は第１の通信装置であり、エンジンＥＣＵ１０はドアＥＣＵ２０にとっての第２の通信装置はである。

つまり、エンジンＥＣＵ１０は、制御部５１と情報生成部５２とに加えて、更に監視部５３を備える。監視部５３は、監視部６３と同様に構成される。但し、監視部５３は、監視処理を実行し、第１の通信装置としてのドアＥＣＵ２０から送信された判定情報に基づいて、第１の通信装置としてのドアＥＣＵ２０の異常を判定する。

また、ドアＥＣＵ２０は、制御部６１と監視部６３とに加えて、更に情報生成部６２を備える。情報生成部６２は情報生成部５２と同様に構成される。但し、情報生成部６２は、情報生成処理を実行し、判定情報をエンジンＥＣＵ１０へ送信する。

これにより、車載制御システム３では、ドアＥＣＵ２０によってエンジンＥＣＵ１０の異常を判定することに加えて、エンジンＥＣＵ１０によってドアＥＣＵ２０の異常を判定することができる。つまり、互いに監視し合うことができる。

具体的には、エンジンＥＣＵ１０又はドアＥＣＵ２０は、自装置による異常の診断結果（例えば、ＷＤＧパルスに基づく診断結果）と、監視情報に含まれる自装置の判定結果と、を比較することが可能となる。ここで、例えば、自装置による異常の診断結果と監視情報に含まれる自装置の判定結果とが異なる場合は、自装置及び自装置を第１の通信装置としたときの第２の通信装置のうちいずれかのマイコンに異常が生じている可能性があること、を検出することができる。

＜変形例３＞
図１３に示す変形例３の車載制御システム４では、エンジンＥＣＵ１０は第１の通信装置であり、ドアＥＣＵ２０は第２の通信装置である。更に、ドアＥＣＵ２０は第１の通信装置であり、ブレーキＥＣＵ３０は第２の通信装置である。

つまり、ドアＥＣＵ２０は、制御部６１と監視部６３とに加えて、更に情報生成部６２を備える。情報生成部６２は情報生成部５２と同様に構成される。但し、情報生成部６２は、情報生成処理を実行し、判定情報をブレーキＥＣＵ３０へ送信する。

また、ブレーキＥＣＵ３０は、制御部７１に加えて、更に監視部７３を備える。監視部７３は、監視部６３と同様に構成される。但し、監視部７３は、監視処理を実行し、第１の通信装置としてのドアＥＣＵ２０から送信された判定情報に基づいて、第１の通信装置としてのドアＥＣＵ２０の異常を判定する。

これにより、車載制御システム４では、ドアＥＣＵ２０によってエンジンＥＣＵ１０の異常を判定することに加えて、ブレーキＥＣＵ３０によってドアＥＣＵ２０の異常を判定することができる。また、車載制御システム４では、エンジンＥＣＵ１０の異常を監視するドアＥＣＵ２０の異常、を監視するブレーキＥＣＵ３０を備える。これにより。ブレーキＥＣＵ３０によってドアＥＣＵ２０が正常であると判定された場合は、ドアＥＣＵ２０によるエンジンＥＣＵ１０の異常の判定結果が正常であること、を保証することができる。

なお、更に、ブレーキＥＣＵ３０を図示しない他のＥＣＵに監視させることも可能である。
［５．他の実施形態］
以上、本開示の実施形態について説明したが、本開示は上述の実施形態に限定されることなく、種々変形して実施することができる。

（１）上記実施形態では、監視部６３は、複数の状態情報の種類毎に状態情報が正常であるか否かを判定し、異常である場合に第１の評価値ＪＩＣを加算し、更に第１の評価値ＪＩＣに基づく第２の評価値ＡＣＣを用いて、第１の通信装置が異常であることを決定した。但し、本開示はこれに限定されるものではない。

例えば、監視部６３は、取得する複数の状態情報のうち少なくとも１種類の状態情報について異常であると判定した時点で、第１の通信装置が異常であると決定するように構成されてもよい。又は、監視部６３は、取得する複数の状態情報のうち全ての状態情報について異常であると判定した時点で、第１の通信装置が異常であると決定するように構成されてもよい。

（２）上述の実施形態では、監視部６３は、同一種類の状態情報が正常であると連続して判定された正常連続回数を検出し、正常連続回数が回数閾値以上である場合に、第１の評価値ＪＩＣから減算値を減算して新たな第１の評価値ＪＩＣを生成した。但し、本開示はこれに限定されるものではない。例えば、監視部６３は、複数の状態情報のうち所定数（例えば、３）以上の状態情報が正常である場合に、第１の評価値ＪＩＣから減算値を減算して新たな第１の評価値ＪＩＣを生成するように構成されてもよい。例えば、図８に、ＷＤＧ出力、割り込み発生回数Ｍ、及びタスク抜け回数Ｎといった３つ状態情報が全て正常である場合に、Ｓ６５０の後であって且つＳ６８０の後に、第１の評価値ＪＩＣから減算値を減算する処理が追加されてもよい。これにより、ノイズ等による一時的な影響を更に抑制することができる。

（３）本開示に記載のエンジンＥＣＵ１０、ドアＥＣＵ２０、ドアＥＣＵ２０は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリを構成することによって提供された専用コンピュータにより、実現されてもよい。あるいは、本開示に記載のエンジンＥＣＵ１０、ドアＥＣＵ２０、ドアＥＣＵ２０及びその手法は、一つ以上の専用ハードウェア論理回路によってプロセッサを構成することによって提供された専用コンピュータにより、実現されてもよい。もしくは、本開示に記載のエンジンＥＣＵ１０、ドアＥＣＵ２０、ドアＥＣＵ２０及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリと一つ以上のハードウェア論理回路によって構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されてもよい。エンジンＥＣＵ１０、ドアＥＣＵ２０、ドアＥＣＵ２０に含まれる各部の機能を実現する手法には、必ずしもソフトウェアが含まれている必要はなく、その全部の機能が、一つあるいは複数のハードウェアを用いて実現されてもよい。

（４）上記実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしてもよい。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしてもよい。また、上記実施形態の構成の一部を省略してもよい。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加又は置換してもよい。

（５）上述したエンジンＥＣＵ１０、ドアＥＣＵ２０、ドアＥＣＵ２０の他、車載制御システム１－４、マイコン１０１、２０１、３０１、ＣＰＵ１０２、２０２、３０２、当該エンジンＥＣＵ１０、ドアＥＣＵ２０、ドアＥＣＵ２０を機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移有形記録媒体、監視方法など、種々の形態で本開示を実現することもできる。

１車載制御システム、１０エンジンＥＣＵ、２０ドアＥＣＵ、１０１マイコン、２０１マイコン。

Claims

車両に搭載される通信システム（１）であって、
前記通信システムは、通信線によって互いに通信可能に接続されている複数の通信装置（１０、２０）を備え、
前記複数の通信装置は、第１の通信装置（１０）と第２の通信装置（２０）とを備え、
前記第１の通信装置は、
前記第１の通信装置の状態を示す少なくとも１種類の状態情報を取得し、取得した前記状態情報を含む判定情報を生成し、前記判定情報を前記第２の通信装置へ出力するように構成された情報生成部（５２）
を備え、
前記第２の通信装置は、
前記判定情報を取得し、前記状態情報であって前記第１の通信装置が正常であるときの予め定められた正常情報と前記判定情報に含まれる前記状態情報とを比較し、前記第１の通信装置の異常を判定するように構成された監視部（６３）
を備え、
前記監視部は、
前記判定情報を受信し、前記判定情報に含まれる前記状態情報の種類毎に、前記正常情報と前記状態情報とを比較して、前記判定情報に含まれる前記状態情報が異常であるか否かを判定するように構成された種類別判定部（Ｓ４３０、Ｓ５２０、Ｓ５８０、Ｓ６４０）と、
前記種類別判定部によって、前記判定情報に含まれる前記状態情報が異常であると判定される毎に、前記第１の通信装置の異常を評価するための数値である第１の評価値に予め定められた加算値を加算して新たな前記第１の評価値を生成するように構成された加算部（Ｓ４４０、Ｓ５３０、Ｓ５９０、Ｓ６５０）と、
前記加算部によって生成された前記第１の評価値の大きさに基づいて前記第１の通信装置の異常を判定するように構成された判定実行部（Ｓ３４０）と、
を備え、
前記加算部は、前記種類別判定部によって同一種類の前記状態情報が正常であると連続して判定された正常連続回数を検出し、前記正常連続回数が予め定められた回数閾値以上である場合に、前記第１の評価値から予め定められた減算値を減算して新たな前記第１の評価値を生成する
通信システム。
請求項１に記載の通信システムであって、
前記判定実行部は、前記加算部によって生成された前記第１の評価値を取得し、前記第１の評価値が予め定められた評価閾値以上であるか否かを判定し、前記第１の評価値が前記評価閾値以上であると判定された場合に、前記第１の通信装置の異常の大きさを表すための数値である第２の評価値に予め定められた所定値を加算して新たな前記第２の評価値を生成し、前記第２の評価値が予め定められた第１の異常閾値以上である場合に、前記第１の通信装置が異常であると判定する
通信システム。
車両に搭載される通信システム（１）であって、
前記通信システムは、通信線によって互いに通信可能に接続されている複数の通信装置（１０、２０）を備え、
前記複数の通信装置は、第１の通信装置（１０）と第２の通信装置（２０）とを備え、
前記第１の通信装置は、
前記第１の通信装置の状態を示す少なくとも１種類の状態情報を取得し、取得した前記状態情報を含む判定情報を生成し、前記判定情報を前記第２の通信装置へ出力するように構成された情報生成部（５２）
を備え、
前記第２の通信装置は、
前記判定情報を取得し、前記状態情報であって前記第１の通信装置が正常であるときの予め定められた正常情報と前記判定情報に含まれる前記状態情報とを比較し、前記第１の通信装置の異常を判定するように構成された監視部（６３）
を備え、
前記監視部は、
前記判定情報を受信し、前記判定情報に含まれる前記状態情報の種類毎に、前記正常情報と前記状態情報とを比較して、前記判定情報に含まれる前記状態情報が異常であるか否かを判定するように構成された種類別判定部（Ｓ４３０、Ｓ５２０、Ｓ５８０、Ｓ６４０）と、
前記種類別判定部によって、前記判定情報に含まれる前記状態情報が異常であると判定される毎に、前記第１の通信装置の異常を評価するための数値である第１の評価値に予め定められた加算値を加算して新たな前記第１の評価値を生成するように構成された加算部（Ｓ４４０、Ｓ５３０、Ｓ５９０、Ｓ６５０）と、
前記加算部によって生成された前記第１の評価値の大きさに基づいて前記第１の通信装置の異常を判定するように構成された判定実行部（Ｓ３４０）と、
を備え、
前記判定実行部は、前記加算部によって生成された前記第１の評価値を取得し、前記第１の評価値が予め定められた評価閾値以上であるか否かを判定し、前記第１の評価値が前記評価閾値以上であると判定された場合に、前記第１の通信装置の異常の大きさを表すための数値である第２の評価値に予め定められた所定値を加算して新たな前記第２の評価値を生成し、前記第２の評価値が予め定められた第１の異常閾値以上である場合に、前記第１の通信装置が異常であると判定する
通信システム。
請求項２又は請求項３に記載の通信システムであって、
前記判定実行部は、前記第２の評価値が前記第１の異常閾値以上である場合に、前記第２の評価値の大きさに応じて、前記第１の通信装置の異常を回復するための回復指示を決定し、決定した前記回復指示を前記第１の通信装置に送信する
通信システム。
請求項１から請求項４のいずれか一項に記載の通信システムであって、
前記第１の通信装置では、
前記情報生成部は、前記判定情報であって前記判定情報が生成されるときの時刻を表す時刻情報を含む前記判定情報、を生成する
通信システム。
請求項５に記載の通信システムであって、
前記第１の通信装置では、
前記情報生成部は、前記判定情報の送信周期を前記状態情報として含む前記判定情報を前記送信周期で出力する
通信システム。
車両に搭載される通信システム（１）であって、
前記通信システムは、通信線によって互いに通信可能に接続されている複数の通信装置（１０、２０）を備え、
前記複数の通信装置は、第１の通信装置（１０）と第２の通信装置（２０）とを備え、
前記第１の通信装置は、
前記第１の通信装置の状態を示す少なくとも１種類の状態情報を取得し、取得した前記状態情報を含む判定情報を生成し、前記判定情報を前記第２の通信装置へ出力するように構成された情報生成部（５２）
を備え、
前記第２の通信装置は、
前記判定情報を取得し、前記状態情報であって前記第１の通信装置が正常であるときの予め定められた正常情報と前記判定情報に含まれる前記状態情報とを比較し、前記第１の通信装置の異常を判定するように構成された監視部（６３）
を備え、
前記第１の通信装置では、
前記情報生成部は、前記判定情報であって前記判定情報が生成されるときの時刻を表す時刻情報を含み、且つ、前記判定情報の送信周期を前記状態情報として含む前記判定情報を前記送信周期で出力する
通信システム。
請求項７に記載の通信システムでは、
前記監視部は、
前記判定情報を受信し、前記判定情報に含まれる前記状態情報の種類毎に、前記正常情報と前記状態情報とを比較して、前記判定情報に含まれる前記状態情報が異常であるか否かを判定するように構成された種類別判定部（Ｓ４３０、Ｓ５２０、Ｓ５８０、Ｓ６４０）と、
前記種類別判定部によって、前記判定情報に含まれる前記状態情報が異常であると判定される毎に、前記第１の通信装置の異常を評価するための数値である第１の評価値に予め定められた加算値を加算して新たな前記第１の評価値を生成するように構成された加算部（Ｓ４４０、Ｓ５３０、Ｓ５９０、Ｓ６５０）と、
前記加算部によって生成された前記第１の評価値の大きさに基づいて前記第１の通信装置の異常を判定するように構成された判定実行部（Ｓ３４０）と、
を備える通信システム。
請求項６から請求項８までのいずれか一項に記載の通信システムであって、
前記第２の通信装置では、
前記監視部は、
前記判定情報に含まれる前記送信周期を前記正常情報とし、前記第１の通信装置から連続して送信された２つの前記判定情報に含まれる時刻情報に基づいて算出される前記判定情報の送信間隔を前記状態情報とし、前記正常情報と前記状態情報を比較し、前記正常情報と前記状態情報とが一致するか否かに基づいて、前記第１の通信装置の異常を判定する
通信システム。
請求項６から請求項９までのいずれか一項に記載の通信システムであって、
前記情報生成部は、前記第１の通信装置の負荷の大小を定量的に示す負荷情報に基づいて前記判定情報の送信周期を前記負荷が大きいほど長くなるように決定する
通信システム。
請求項１から請求項１０までのいずれか一項に記載の通信システムであって、
前記第２の通信装置では、
前記監視部は、前記判定情報に含まれる前記状態情報の種類毎に、前記正常情報と前記状態情報とを比較して、前記第１の通信装置の異常を判定する
通信システム。
車両に搭載され、第１の通信装置（１０）であって前記第１の通信装置の状態を示す少なくとも１種類の状態情報を取得して前記状態情報を含む判定情報を生成し前記判定情報を第２の通信装置へ出力するように構成された情報生成部（５２）を備える前記第１の通信装置と通信線によって互いに通信可能に接続されている前記第２の通信装置（２０）であって、
前記判定情報を取得し、前記状態情報であって前記第１の通信装置が正常であるときの予め定められた正常情報と前記判定情報に含まれる前記状態情報とを比較し、前記第１の通信装置の異常を判定するように構成された監視部（６３）
を備え、
前記監視部は、
前記判定情報を受信し、前記判定情報に含まれる前記状態情報の種類毎に、前記正常情報と前記状態情報とを比較して、前記判定情報に含まれる前記状態情報が異常であるか否かを判定するように構成された種類別判定部（Ｓ４３０、Ｓ５２０、Ｓ５８０、Ｓ６４０）と、
前記種類別判定部によって、前記判定情報に含まれる前記状態情報が異常であると判定される毎に、前記第１の通信装置の異常を評価するための数値である第１の評価値に予め定められた加算値を加算して新たな前記第１の評価値を生成するように構成された加算部（Ｓ４４０、Ｓ５３０、Ｓ５９０、Ｓ６５０）と、
前記加算部によって生成された前記第１の評価値の大きさに基づいて前記第１の通信装置の異常を判定するように構成された判定実行部（Ｓ３４０）と、
を備え、
前記加算部は、前記種類別判定部によって同一種類の前記状態情報が正常であると連続して判定された正常連続回数を検出し、前記正常連続回数が予め定められた回数閾値以上である場合に、前記第１の評価値から予め定められた減算値を減算して新たな前記第１の評価値を生成する
第２の通信装置。
車両に搭載され、第１の通信装置（１０）であって前記第１の通信装置の状態を示す少なくとも１種類の状態情報を取得して前記状態情報を含む判定情報を生成し前記判定情報を第２の通信装置へ出力するように構成された情報生成部（５２）を備える前記第１の通信装置と通信線によって互いに通信可能に接続されている前記第２の通信装置（２０）であって、
前記判定情報を取得し、前記状態情報であって前記第１の通信装置が正常であるときの予め定められた正常情報と前記判定情報に含まれる前記状態情報とを比較し、前記第１の通信装置の異常を判定するように構成された監視部（６３）
を備え、
前記監視部は、
前記判定情報を受信し、前記判定情報に含まれる前記状態情報の種類毎に、前記正常情報と前記状態情報とを比較して、前記判定情報に含まれる前記状態情報が異常であるか否かを判定するように構成された種類別判定部（Ｓ４３０、Ｓ５２０、Ｓ５８０、Ｓ６４０）と、
前記種類別判定部によって、前記判定情報に含まれる前記状態情報が異常であると判定される毎に、前記第１の通信装置の異常を評価するための数値である第１の評価値に予め定められた加算値を加算して新たな前記第１の評価値を生成するように構成された加算部（Ｓ４４０、Ｓ５３０、Ｓ５９０、Ｓ６５０）と、
前記加算部によって生成された前記第１の評価値の大きさに基づいて前記第１の通信装置の異常を判定するように構成された判定実行部（Ｓ３４０）と、
を備え、
前記判定実行部は、前記加算部によって生成された前記第１の評価値を取得し、前記第１の評価値が予め定められた評価閾値以上であるか否かを判定し、前記第１の評価値が前記評価閾値以上であると判定された場合に、前記第１の通信装置の異常の大きさを表すための数値である第２の評価値に予め定められた所定値を加算して新たな前記第２の評価値を生成し、前記第２の評価値が予め定められた第１の異常閾値以上である場合に、前記第１の通信装置が異常であると判定する
第２の通信装置。
車両に搭載される第１の通信装置（１０）であって、前記第１の通信装置の状態を示す少なくとも１種類の状態情報を含み前記第１の通信装置から出力される判定情報を取得して前記状態情報であって前記第１の通信装置が正常であるときの予め定められた正常情報と前記判定情報に含まれる前記状態情報とを比較し前記第１の通信装置の異常を判定するように構成された監視部（６３）を備える第２の通信装置と通信線によって互いに通信可能に接続されている前記第１の通信装置において、
前記第１の通信装置の状態を示す少なくとも１種類の前記状態情報を取得し、取得した前記状態情報を含む前記判定情報を生成し、前記判定情報を前記第２の通信装置へ出力するように構成された情報生成部（５２）
を備え、
前記情報生成部は、前記判定情報であって前記判定情報が生成されるときの時刻を表す時刻情報を含み、且つ、前記判定情報の送信周期を前記状態情報として含む前記判定情報を生成し、前記送信周期で出力する
第１の通信装置。