JP7666884B2

JP7666884B2 - 車両システム

Info

Publication number: JP7666884B2
Application number: JP2021156244A
Authority: JP
Inventors: 信裕杉山; 曜 ▲柳▼田
Original assignee: Yazaki Corp
Current assignee: Yazaki Corp
Priority date: 2021-09-27
Filing date: 2021-09-27
Publication date: 2025-04-22
Anticipated expiration: 2041-09-27
Also published as: WO2023048274A1; US12447917B2; JP2023047373A; DE112022004735T5; US20240190372A1; CN117940321A

Description

本発明は、車両システムに関する。

従来、車両システムとして、例えば、特許文献１には、異なる安全度が設定される複数のソフトウェアを用いて車両を制御する車両制御装置が記載されている。この車両制御装置は、例えば、異なる安全度が設定される複数のソフトウェアと、複数のソフトウェアの安全度に対応して複数に区分され、ソフトウェアにより演算されるデータを記憶する安全度対応記憶領域と、安全度の高いソフトウェアによって演算されたデータを安全度の低いソフトウェアのアクセス用に記憶する共有記憶領域と、ソフトウェアの安全度に応じて、同一のデータを参照する際のアクセス先の記憶領域を切り換える切換部とを備え、複数のソフトウェアは、同一のデータを参照するために切換部を呼び出す関数を含む。この構成により、車両制御装置は、ソフトウェアがアクセスする記憶領域が変更される場合にメモリ管理ユニットのようなハードウェアを用いなくても、ソフトウェアの関数によって切換部を呼び出して同一のデータを参照することができるので、ソフトウェアの再利用性を高めることができる。

特開２０１５－９９５１７号公報

ところで、上述の特許文献１に記載の車両制御装置は、例えば、同一の車両制御装置の中に安全度が異なるソフトウェアを混在させているので、安全度が高いソフトウェアに装置の性能を合わせる必要があり、この結果、安全度が低いソフトウェアを実行する際には過剰な性能となるおそれがある。

そこで、本発明は、上記に鑑みてなされたものであって、安全性を確保するシステムを適正に構築することができる車両システムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係る車両システムは、車両に搭載され、実現する機能に対してそれぞれ予め定められたレベルの安全基準が設定された複数の機器と、それぞれが制御系統ごとに区分けされた前記機器を制御する複数の機器制御部と、前記複数の機器に対して前記安全基準に関する確認処理を実行可能な中央制御部と、前記機器からの前記確認処理に係る入力信号、及び、前記中央制御部からの前記確認処理に係る出力信号を、前記複数の機器制御部と前記中央制御部との間で中継する中継部と、を備え、前記中央制御部は、前記安全基準の前記レベル毎に割り当てられ、前記割り当てられたレベルに応じた前記確認処理を前記機器に対して実行可能である複数の単一レベル用制御部を含み、前記中継部は、前記複数の機器制御部から送信される前記機器からの前記入力信号を、当該機器の機能に対応した前記レベルが割り当てられた前記単一レベル用制御部に振り分けて送信し、且つ、前記複数の単一レベル用制御部から送信される前記単一レベル用制御部からの前記出力信号を、前記確認処理の対象となった前記機器からの前記入力信号を送信した前記機器制御部に振り分けて送信することを特徴とする。

本発明に係る車両システムは、複数のレベルの安全基準に関する処理を実行する必要がなく、これにより、従来のように同一のシステムの中に複数レベルの安全基準がある場合に、レベルの高い安全基準の処理を、レベルの低い安全基準の処理を行うものに対しても適用する必要がなくなり、過剰性能を与えずにすむので、安全性を確保するシステムを適正に構築することができる。

図１は、実施形態に係る車両システムの構成例を示す概略図である。図２は、実施形態に係る車両システムの構成例を示すブロック図である。図３は、実施形態に係るゾーンＥＣＵの構成例を示すブロック図である。図４は、実施形態に係る車両の機能と車両安全基準との関係を示す図である。図５は、実施形態に係るＡＳＩＬ－Ａのソフトウェアの構成例を示す図である。図６は、実施形態に係るＡＳＩＬ－Ｂのソフトウェアの構成例を示す図である。図７は、実施形態に係るＡＳＩＬ－Ｃのソフトウェアの構成例を示す図である。図８は、実施形態に係るＡＳＩＬ－Ｄのソフトウェアの構成例を示す図である。図９は、実施形態に係る入力信号のフレームの構成例を示す図である。図１０は、実施形態に係るレベル統合フレームの構成例を示す図である。図１１は、実施形態に係る出力信号のフレームの構成例を示す図である。図１２は、実施形態に係る送信先統合フレームの構成例を示す図である。図１３は、実施形態に係るフレームの通信例を示す図である。図１４は、実施形態に係る車両システムの動作例を示すフローチャートである。図１５は、実施形態の第１変形例に係る車両システムの構成例を示す概略図である。図１６は、実施形態の第２変形例に係る車両システムの構成例を示す概略図である。

本発明を実施するための形態（実施形態）につき、図面を参照しつつ詳細に説明する。以下の実施形態に記載した内容により本発明が限定されるものではない。また、以下に記載した構成要素には、当業者が容易に想定できるもの、実質的に同一のものが含まれる。更に、以下に記載した構成は適宜組み合わせることが可能である。また、本発明の要旨を逸脱しない範囲で構成の種々の省略、置換又は変更を行うことができる。

〔実施形態〕
図面を参照しながら実施形態に係る車両システム１について説明する。車両システム１は、車両Ｖに設けられ、当該車両Ｖに搭載された複数の機器Ｅを制御するものである。複数の機器Ｅは、制御系統ごとに区分けされている。複数の制御系統には、例えば、エンジン（モータ）で発生した回転エネルギーを効率よく駆動輪に伝えるための装置類を表すパワートレイン系（パワトレ系）を表す制御系統や、スペンション、ステアリング等を含むシャーシ系を表す制御系統、ＡＤＡＳ（ＡｄｖａｎｃｅｄＤｒｉｖｅｒ-ＡｓｓｉｓｔａｎｃｅＳｙｓｔｅｍｓ；先進運転支援システム）又は自動運転系を表す制御系統、バックライト等を含むボディ系を表す制御系統等がある。なお、ＡＤＡＳとは、各種センサーを用いて車両Ｖの周囲の状況を把握し、運転者の運転操作を支援するものである。複数の機器Ｅは、図１に示すように、車両ＶのエリアＤ（「ゾーン」とも称する。）ごとに区分けされて設けられている。ここで、エリアＤとは、車両Ｖにおける一定の範囲を示すものであり、当該車両Ｖは、複数のエリアＤ（例えば、第１エリアＤ１～第４エリアＤ４）に区分けされている。

各エリアＤには、複数の機器Ｅが設けられており、複数の機器Ｅは、予め定められたレベルの安全基準（自動車安全水準）、すなわちＡＳＩＬ（ＡｕｔｏｍｏｔｉｖｅＳａｆｅｔｙＩｎｔｅｇｒｉｔｙＬｅｖｅｌ）が設定された機能を実現するものである。つまり、ＡＳＩＬは、車両Ｖの機能ごとに設定されており、複数の機器Ｅは、ＡＳＩＬが設定された機能を実現する。ここで、ＡＳＩＬとは、ＩＳＯ２６２６２規格で定義された車両Ｖの安全基準を表すものであり、安全基準のレベルに応じてＡＳＩＬ－Ａ～ＡＳＩＬ－Ｄの４段階を含む。ＡＳＩＬは、ＡＳＩＬ－ＡからＡＳＩＬ－Ｄに向けて安全基準のレベルが高くなる。すなわち、ＡＳＩＬ－Ｄが最も安全基準のレベルが高く、ＡＳＩＬ－Ｃが安全基準のレベルが２番目に高く、ＡＳＩＬ－Ｂが安全基準のレベルが３番目に高く、ＡＳＩＬ－Ａが最も安全基準のレベルが低い。車両システム１は、ＡＳＩＬが定められた機能を実現する各機器Ｅを制御するものであり、以下、車両システム１について詳細に説明する。

車両システム１は、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓｃｏｎｔｒｏｌｕｎｉｔ）１０と、複数の機器Ｅと、機器制御部２０と、中央制御部としてセントラルＥＣＵ３０と、中継部としてのネットワーク分岐部４０とを備える。

ＴＣＵ１０は、車両Ｖの外部に設けられた外部装置と通信可能な無線通信機器である。ＴＣＵ１０は、アンテナを介して車両Ｖと当該車両Ｖの外部装置とを無線により接続し、車両Ｖと当該車両Ｖの外部装置との間で信号の送受信を行う。ＴＣＵ１０は、例えば、広域無線、狭域無線等、種々の方式の無線通信により外部装置と無線通信する。ＴＣＵ１０は、ネットワーク分岐部４０に接続され、外部装置から受信した信号をネットワーク分岐部４０に出力する。また、ＴＣＵ１０は、ネットワーク分岐部４０から出力された信号を外部装置に送信する。

複数の機器Ｅは、車両Ｖに搭載され、当該車両Ｖを制御する各種処理を実行するものであり、上述したように、車両ＶのエリアＤごとに区分けされて設けられている。各エリアＤには、それぞれ異なる制御系統の機器Ｅが混在している。各エリアＤには、例えば、パワートレイン系（パワトレ系）の機器Ｅ、シャーシ系の機器Ｅ、ＡＤＡＳ又は自動運転系の機器Ｅ、ボディ系の機器Ｅ等のうち少なくとも１つが含まれる。

機器制御部２０は、複数の機器Ｅを制御するものであり、複数のゾーンＥＣＵ２１～２４を含んで構成される。複数のゾーンＥＣＵ２１～２４は、エリアＤごとに区分けされて設けられている。

ゾーンＥＣＵ２１は、第１エリアＤ１に設けられており、パワトレ系の機器Ｅ、シャーシ系の機器Ｅ、ＡＤＡＳ又は自動運転系の機器Ｅ、ボディ系の機器Ｅ等のうち少なくとも１つの機器Ｅが接続され、それぞれ異なる制御系統の機器Ｅが混在して接続されている。ゾーンＥＣＵ２１は、例えば、図３に示すように、Ｉ／Ｆ２０ａと、ＣＰＵ２０ｂと、Ｉ／Ｏ２０ｃとを備える。

Ｉ／Ｆ２０ａは、接続ケーブルのコネクタ形状を規定し、さらに、信号のフォーマット、通信のプロトコル、信号の処理手順等を規定するものである。Ｉ／Ｆ２０ａは、ＣＰＵ２０ｂ及びネットワーク分岐部４０に接続され、ＣＰＵ２０ｂから出力された信号をネットワーク分岐部４０に出力する。また、Ｉ／Ｆ２０ａは、ネットワーク分岐部４０から出力された信号をＣＰＵ２０ｂに出力する。

ＣＰＵ２０ｂは、複数の機器Ｅを制御するものである。ＣＰＵ２０ｂは、Ｉ／Ｏ２０ｃ及びＩ／Ｆ２０ａに接続され、Ｉ／Ｏ２０ｃを介して機器Ｅから出力された信号をＩ／Ｆ２０ａに出力する。また、ＣＰＵ２０ｂは、Ｉ／Ｆ２０ａから出力された信号に基づいて、Ｉ／Ｏ２０ｃを介して機器Ｅを制御する。

Ｉ／Ｏ２０ｃは、信号を入力及び出力可能な入出力回路である。Ｉ／Ｏ２０ｃは、Ｉ／Ｏ２１１ｃと、Ｉ／Ｏ２１２ｃと、Ｉ／Ｏ２１３ｃと、Ｉ／Ｏ２１４ｃとを含んで構成される。Ｉ／Ｏ２１１ｃ～Ｉ／Ｏ２１４ｃは、それぞれ異なるＡＳＩＬが設定された機能を実現する機器Ｅが接続される。具体的には、Ｉ／Ｏ２１１ｃは、ＡＳＩＬ－Ａが設定された機能を実現する機器Ｅが接続され、Ｉ／Ｏ２１２ｃは、ＡＳＩＬ－Ｂが設定された機能を実現する機器Ｅが接続され、Ｉ／Ｏ２１３ｃは、ＡＳＩＬ－Ｃが設定された機能を実現する機器Ｅが接続され、Ｉ／Ｏ２１４ｃは、ＡＳＩＬ－Ｄが設定された機能を実現する機器Ｅが接続される。Ｉ／Ｏ２１１ｃ～Ｉ／Ｏ２１４ｃは、複数の機器Ｅ及びＣＰＵ２０ｂに接続され、複数の機器Ｅから出力された信号をＣＰＵ２０ｂに出力する。また、Ｉ／Ｏ２１１ｃ～Ｉ／Ｏ２１４ｃは、ＣＰＵ２０ｂから出力される信号を複数の機器Ｅに出力する。上述のように構成されたゾーンＥＣＵ２１は、機器Ｅからの入力信号Ｓ１を、ネットワーク分岐部４０に送信する。また、ゾーンＥＣＵ２１は、ネットワーク分岐部４０から送信された出力信号Ｓ４に基づいて、機器Ｅを制御する。

ゾーンＥＣＵ２２は、第２エリアＤ２に設けられており、パワトレ系の機器Ｅ、シャーシ系の機器Ｅ、ＡＤＡＳ又は自動運転系の機器Ｅ、ボディ系の機器Ｅ等のうち少なくとも１つの機器Ｅが接続され、それぞれ異なる制御系統の機器Ｅが混在して接続されている。ゾーンＥＣＵ２２は、例えば、図３に示すように、Ｉ／Ｆ２０ａと、ＣＰＵ２０ｂと、Ｉ／Ｏ２０ｃとを備える。なお、Ｉ／Ｆ２０ａ、ＣＰＵ２０ｂ、及び、Ｉ／Ｏ２０ｃの具体的な構成は、上記ゾーンＥＣＵ２１で説明したので、ここでは省略する。ゾーンＥＣＵ２２は、機器Ｅからの入力信号Ｓ１を、ネットワーク分岐部４０に送信する。また、ゾーンＥＣＵ２２は、ネットワーク分岐部４０から送信された出力信号Ｓ４に基づいて、機器Ｅを制御する。

ゾーンＥＣＵ２３は、第３エリアＤ３に設けられており、パワトレ系の機器Ｅ、シャーシ系の機器Ｅ、ＡＤＡＳ又は自動運転系の機器Ｅ、ボディ系の機器Ｅ等のうち少なくとも１つの機器Ｅが接続され、それぞれ異なる制御系統の機器Ｅが混在して接続されている。ゾーンＥＣＵ２３は、例えば、図３に示すように、Ｉ／Ｆ２０ａと、ＣＰＵ２０ｂと、Ｉ／Ｏ２０ｃとを備える。なお、Ｉ／Ｆ２０ａ、ＣＰＵ２０ｂ、及び、Ｉ／Ｏ２０ｃの具体的な構成は、上記ゾーンＥＣＵ２１で説明したので、ここでは省略する。ゾーンＥＣＵ２３は、機器Ｅからの入力信号Ｓ１を、ネットワーク分岐部４０に送信する。また、ゾーンＥＣＵ２３は、ネットワーク分岐部４０から送信された出力信号Ｓ４に基づいて、機器Ｅを制御する。

ゾーンＥＣＵ２４は、第４エリアＤ４に設けられており、パワトレ系の機器Ｅ、シャーシ系の機器Ｅ、ＡＤＡＳ又は自動運転系の機器Ｅ、ボディ系の機器Ｅ等のうち少なくとも１つの機器Ｅが接続され、それぞれ異なる制御系統の機器Ｅが混在して接続されている。ゾーンＥＣＵ２４は、例えば、図３に示すように、Ｉ／Ｆ２０ａと、ＣＰＵ２０ｂと、Ｉ／Ｏ２０ｃとを備える。なお、Ｉ／Ｆ２０ａ、ＣＰＵ２０ｂ、及び、Ｉ／Ｏ２０ｃの具体的な構成は、上記ゾーンＥＣＵ２１で説明したので、ここでは省略する。ゾーンＥＣＵ２４は、機器Ｅからの入力信号Ｓ１を、ネットワーク分岐部４０に送信する。また、ゾーンＥＣＵ２４は、ネットワーク分岐部４０から送信された出力信号Ｓ４に基づいて、機器Ｅを制御する。

次に、セントラルＥＣＵ３０について説明する。セントラルＥＣＵ３０は、複数の機器Ｅに対して安全基準（ＡＳＩＬ）に関する確認処理を含み、適切な制御を実行するものである。セントラルＥＣＵ３０は、安全基準のレベル毎に１つずつ割り当てられ、割り当てられたレベルに応じた確認処理を機器Ｅに対して実行可能である複数のＥＣＵを含んで構成される。具体的には、セントラルＥＣＵ３０は、複数のＥＣＵとして、ＡＳＩＬ－Ａ用ＥＣＵ３１と、ＡＳＩＬ－Ｂ用ＥＣＵ３２と、ＡＳＩＬ－Ｃ用ＥＣＵ３３と、ＡＳＩＬ－Ｄ用ＥＣＵ３４とを含んで構成される。

ＡＳＩＬ－Ａ用ＥＣＵ３１は、複数の機器Ｅに対してＡＳＩＬ―Ａに関する確認処理を含み、適切な制御を実行するもので、個々のＥＣＵを統合した統合ＥＣＵである。ＡＳＩＬ－Ａ用ＥＣＵ３１は、ＣＰＵ、記憶部を構成するＲＯＭ、ＲＡＭ及びインターフェースを含む周知のマイクロコンピュータを主体とする電子回路を含んで構成される。ＡＳＩＬ－Ａ用ＥＣＵ３１は、ＡＳＩＬの中で最も安全基準のレベルが低いＡＳＩＬ－Ａが設定された機能を実現する機器Ｅからの入力信号Ｓ２（後述するレベル統合フレームＦ２１）に含まれるデータに対して、ＡＳＩＬ―Ａに関する確認処理を実行する。ＡＳＩＬ－Ａが設定された機能には、例えば、図４に示すように、ナビゲーション機能、バックライトを点灯する機能等が含まれる。ＡＳＩＬ－Ａ用ＥＣＵ３１は、ナビゲーション機能、バックライトを点灯する機能等を実現する機器Ｅからの入力信号Ｓ２に含まれるデータに対して、当該ＡＳＩＬ－Ａ用ＥＣＵ３１に割り当てられた安全基準のレベル（ＡＳＩＬ－Ａ）に応じた確認処理を実行する。ＡＳＩＬ－Ａ用ＥＣＵ３１は、例えば、図５に示すように、ＡＳＩＬ－Ａに応じた確認処理として、入出力データのチェックを含むエラー検出Ｂ２を実行する。ＡＳＩＬ－Ａ用ＥＣＵ３１は、通常の処理（例えば、ナビゲーション処理、バックライト点灯処理）を実行するソフトウェアＢ１に対して、エラー検出Ｂ２を実行して入出力データを確認する。ＡＳＩＬ－Ａ用ＥＣＵ３１は、確認結果が正常である場合、その旨を表す出力信号Ｓ３をネットワーク分岐部４０に送信し、確認結果が異常である場合、その旨を表す出力信号Ｓ３をネットワーク分岐部４０に送信する。

ＡＳＩＬ－Ｂ用ＥＣＵ３２は、複数の機器Ｅに対してＡＳＩＬ―Ｂに関する確認処理を含み、適切な制御を実行するもので、個々のＥＣＵを統合した統合ＥＣＵである。ＡＳＩＬ－Ｂ用ＥＣＵ３２は、ＣＰＵ、記憶部を構成するＲＯＭ、ＲＡＭ及びインターフェースを含む周知のマイクロコンピュータを主体とする電子回路を含んで構成される。一般的には、ＡＳＩＬ－Ｂ用ＥＣＵ３２は、ＡＳＩＬ－Ａ用ＥＣＵ３１よりも高性能（ＣＰＵのクロック数が高い）である。ＡＳＩＬ－Ｂ用ＥＣＵ３２は、ＡＳＩＬの中で３番目に安全基準のレベルが高いＡＳＩＬ－Ｂが設定された機能を実現する機器Ｅからの入力信号Ｓ２（後述するレベル統合フレームＦ２２）に含まれるデータに対して、ＡＳＩＬ―Ｂに関する確認処理を実行する。ＡＳＩＬ－Ｂが設定された機能には、例えば、図４に示すように、リアビューカメラ機能、後退運転を支援する機能等が含まれる。ＡＳＩＬ－Ｂ用ＥＣＵ３２は、リアビューカメラ機能、後退運転を支援する機能等を実現する機器Ｅからの入力信号Ｓ２に含まれるデータに対して、当該ＡＳＩＬ－Ｂ用ＥＣＵ３２に割り当てられた安全基準のレベル（ＡＳＩＬ－Ｂ）に応じた確認処理を実行する。ＡＳＩＬ－Ｂ用ＥＣＵ３２は、例えば、図６に示すように、ＡＳＩＬ－Ｂに応じた確認処理として、入出力データのチェック及びデータ妥当性チェックを含むエラー検出Ｂ２を実行する。ＡＳＩＬ－Ｂ用ＥＣＵ３２は、通常の処理（例えば、リアビューカメラ機能、後退運転を支援する機能）を実行するソフトウェアＢ１に対して、エラー検出Ｂ２を実行して入出力データをチェックし且つデータの妥当性をチェックする。ＡＳＩＬ－Ｂ用ＥＣＵ３２は、確認結果が正常である場合、その旨を表す出力信号Ｓ３をネットワーク分岐部４０に送信し、確認結果が異常である場合、その旨を表す出力信号Ｓ３をネットワーク分岐部４０に送信する。

ＡＳＩＬ－Ｃ用ＥＣＵ３３は、複数の機器Ｅに対してＡＳＩＬ―Ｃに関する確認処理を含み、適切な制御を実行するもので、個々のＥＣＵを統合した統合ＥＣＵである。ＡＳＩＬ－Ｃ用ＥＣＵ３３は、ＣＰＵ、記憶部を構成するＲＯＭ、ＲＡＭ及びインターフェースを含む周知のマイクロコンピュータを主体とする電子回路を含んで構成される。一般的には、ＡＳＩＬ－Ｃ用ＥＣＵ３３は、ＡＳＩＬ－Ｂ用ＥＣＵ３２よりも高性能（ＣＰＵのクロック数が高い）である。ＡＳＩＬ－Ｃ用ＥＣＵ３３は、ＡＳＩＬの中で２番目に安全基準のレベルが高いＡＳＩＬ－Ｃが設定された機能を実現する機器Ｅからの入力信号Ｓ２（後述するレベル統合フレームＦ２３）に含まれるデータに対して、ＡＳＩＬ―Ｃに関する確認処理を実行する。ＡＳＩＬ－Ｃが設定された機能には、例えば、図４に示すように、車車間通信機能、路車間通信機能等が含まれる。ＡＳＩＬ－Ｃ用ＥＣＵ３３は、車車間通信機能、路車間通信機能等を実現する機器Ｅからの入力信号Ｓ２に含まれるデータに対して、当該ＡＳＩＬ－Ｃ用ＥＣＵ３３に割り当てられた安全基準のレベル（ＡＳＩＬ－Ｃ）に応じた確認処理を実行する。ＡＳＩＬ－Ｃ用ＥＣＵ３３は、例えば、図７に示すように、ＡＳＩＬ－Ｃに応じた確認処理として、入出力データのチェック、データ妥当性チェック、及び外部モニタリングを含むエラー検出Ｂ２を実行し、さらに、エラー表示、縮退機能を含むエラー処理Ｂ３を実行する。ＡＳＩＬ－Ｃ用ＥＣＵ３３は、通常の処理（例えば、車車間通信機能、路車間通信機能）を実行するソフトウェアＢ１に対して、エラー検出Ｂ２を実行して入出力データのチェック、データ妥当性チェック、及び外部モニタリングをチェックし、確認結果が正常である場合、その旨を表す出力信号Ｓ３をネットワーク分岐部４０に送信し、確認結果が異常である場合、エラー処理Ｂ３を実行してエラー表示や縮退運転を実行する旨を表す出力信号Ｓ３をネットワーク分岐部４０に送信する。

ＡＳＩＬ－Ｄ用ＥＣＵ３４は、複数の機器Ｅに対してＡＳＩＬ―Ｄに関する確認処理を含み、適切な制御を実行するもので、個々のＥＣＵを統合した統合ＥＣＵである。ＡＳＩＬ－Ｄ用ＥＣＵ３４は、ＣＰＵ、記憶部を構成するＲＯＭ、ＲＡＭ及びインターフェースを含む周知のマイクロコンピュータを主体とする電子回路を含んで構成される。一般的には、ＡＳＩＬ－Ｄ用ＥＣＵ３４は、ＡＳＩＬ－Ｃ用ＥＣＵ３３よりも高性能（ＣＰＵのクロック数が高い）である。ＡＳＩＬ－Ｄ用ＥＣＵ３４は、ＡＳＩＬの中で最も安全基準のレベルが高いＡＳＩＬ－Ｄが設定された機能を実現する機器Ｅからの入力信号Ｓ２（後述するレベル統合フレームＦ２４）に含まれるデータに対して、ＡＳＩＬ―Ｄに関する確認処理を実行する。ＡＳＩＬ－Ｄが設定された機能には、例えば、図４に示すように、アンチロックブレーキ機能、電動パワーステアリング機能等が含まれる。ＡＳＩＬ－Ｄ用ＥＣＵ３４は、アンチロックブレーキ機能、電動パワーステアリング機能等を実現する機器Ｅからの入力信号Ｓ２に含まれるデータに対して、当該ＡＳＩＬ－Ｄ用ＥＣＵ３４に割り当てられた安全基準のレベル（ＡＳＩＬ－Ｄ）に応じた確認処理を実行する。ＡＳＩＬ－Ｄ用ＥＣＵ３４は、例えば、図８に示すように、ＡＳＩＬ－Ｄに応じた確認処理として、入出力データのチェック、データ妥当性チェック、外部モニタリング、制御フロー監視、ソフトウェア冗長を含むエラー検出Ｂ２を実行し、さらに、エラー表示、縮退機能、並列の冗長処理を含むエラー処理Ｂ３を実行する。ＡＳＩＬ－Ｄ用ＥＣＵ３４は、通常の処理（例えば、アンチロックブレーキ機能、電動パワーステアリング機能）を実行するソフトウェアＢ１に対して、エラー検出Ｂ２を実行して入出力データのチェック、データ妥当性チェック、外部モニタリング、制御フロー監視、ソフトウェア冗長をチェックし、確認結果が正常である場合、その旨を表す出力信号Ｓ３をネットワーク分岐部４０に送信し、確認結果が異常である場合、エラー処理Ｂ３を実行してエラー表示、縮退運転、並列の冗長処理を実行する旨を表す出力信号Ｓ３をネットワーク分岐部４０に送信する。

次に、それぞれの安全基準に応じた確認処理の構成について説明する。レベルが相対的に高い安全基準に関する処理は、レベルが相対的に低い安全基準に関する処理を少なくとも一部を含む。例えば、レベルが最も高い安全基準（ＡＳＩＬ－Ｄ）に関する処理（エラー検出Ｂ２、エラー処理Ｂ３）は、図５～図８に示すように、レベルが相対的に低い安全基準（ＡＳＩＬ－Ａ、ＡＳＩＬ－Ｂ、ＡＳＩＬ－Ｃ）に関する処理（エラー検出Ｂ２、エラー処理Ｂ３）を全て含む。また、レベルが２番目に高い安全基準（ＡＳＩＬ－Ｃ）に関する処理（エラー検出Ｂ２、エラー処理Ｂ３）は、図５～図７に示すように、レベルが相対的に低い安全基準（ＡＳＩＬ－Ａ、ＡＳＩＬ－Ｂ）に関する処理（エラー検出Ｂ２）を全て含む。また、レベルが３番目に高い安全基準（ＡＳＩＬ－Ｂ）に関する処理（エラー検出Ｂ２）は、図５、図６に示すように、レベルが相対的に低い安全基準（ＡＳＩＬ－Ａ）に関する処理（エラー検出Ｂ２）を全て含む。

次に、ネットワーク分岐部４０について説明する。ネットワーク分岐部４０は、機器制御部２０（複数のゾーンＥＣＵ２１～２４）とセントラルＥＣＵ３０との間で信号を中継するものである。ネットワーク分岐部４０は、例えば、機器制御部２０から送信される機器Ｅからの確認処理に係る入力信号Ｓ１、及び、セントラルＥＣＵ３０から送信されるセントラルＥＣＵ３０からの確認処理に係る出力信号Ｓ３を、機器制御部２０とセントラルＥＣＵ３０との間で中継する。ネットワーク分岐部４０は、信号統合部４１と、信号振分部４２とを含んで構成される。

信号統合部４１は、複数の信号において、当該信号を構成する各フレームに含まれるデータを統合した統合フレームを生成するものである。信号統合部４１は、例えば、複数のゾーンＥＣＵ２１～２４から送信される機器Ｅからの入力信号Ｓ１を構成する複数の入力フレームＦ１に含まれるデータから、レベル毎に抽出したデータを、当該レベル毎に統合して当該レベル毎のレベル統合フレームＦ２を生成する。ここで、機器Ｅからの入力信号Ｓ１を構成する複数の入力フレームＦ１は、図９に示すように、複数のデータ領域を含んで構成されている。具体的には、入力フレームＦ１は、フレームのスタートを表す「フレームスタート」、送信元の識別子を表す「送信元ＩＤ：ゾーンＥＣＵ〇〇」、送信元の識別子を表す「送信先ＩＤ：ネットワーク分岐部」、ＡＳＩＬ－Ａ～ＡＳＩＬ－Ｄまでのデータ領域を表す「ＡＳＩＬ－Ａ」、「ＡＳＩＬ－Ｂ」、「ＡＳＩＬ－Ｃ」、「ＡＳＩＬ－Ｄ」、エラー検出及び訂正領域を表す「エラー検出・訂正領域」、フレームのエンドを表す「フレームエンド」を表すデータ領域を含んで構成される。上記「ＡＳＩＬ－Ａ」のデータ領域には、ＡＳＩＬ－Ａが設定された機能を実現する機器Ｅからのデータが保存され、「ＡＳＩＬ－Ｂ」のデータ領域には、ＡＳＩＬ－Ｂが設定された機能を実現する機器Ｅからのデータが保存され、「ＡＳＩＬ－Ｃ」のデータ領域には、ＡＳＩＬ－Ｃが設定された機能を実現する機器Ｅからのデータが保存され、「ＡＳＩＬ－Ｄ」のデータ領域には、ＡＳＩＬ－Ｄが設定された機能を実現する機器Ｅからのデータが保存される。なお、図９では、４つの入力フレームＦ１（Ｆ１１～Ｆ１４）を図示しており、それぞれの入力フレームＦ１は、ゾーンＥＣＵ２１～２４の各々から送信されるフレームに対応している。例えば、送信元ＩＤがゾーンＥＣＵ２１である入力フレームＦ１１は、ゾーンＥＣＵ２１から送信されるフレームに対応し、送信元ＩＤがゾーンＥＣＵ２２である入力フレームＦ１２は、ゾーンＥＣＵ２２から送信されるフレームに対応し、送信元ＩＤがゾーンＥＣＵ２３である入力フレームＦ１３は、ゾーンＥＣＵ２３から送信されるフレームに対応し、送信元ＩＤがゾーンＥＣＵ２４である入力フレームＦ１４は、ゾーンＥＣＵ２４から送信されるフレームに対応している。

信号統合部４１は、複数のゾーンＥＣＵ２１～２４から送信される複数の入力フレームＦ１（Ｆ１１～Ｆ１４）に含まれるデータ領域から、安全基準のレベル（ＡＳＩＬ－Ａ～ＡＳＩＬ－Ｄ）毎にデータを抽出する。そして、信号統合部４１は、安全基準のレベル毎に抽出したデータを、当該レベル毎に統合して当該レベル毎のレベル統合フレームＦ２（Ｆ２１～Ｆ２４）を生成する。ここで、レベル統合フレームＦ２は、図１０に示すように、複数のデータ領域を含んで構成されている。具体的には、レベル統合フレームＦ２は、フレームのスタートを表す「フレームスタート」、送信元の識別子を表す「送信元ＩＤ：ネットワーク分岐部」、送信先の識別子を表す「送信先ＩＤ：ＡＳＩＬ－〇用ＥＣＵ〇〇」、ゾーンＥＣＵ２１～ゾーンＥＣＵ２４までのデータ領域を表す「ゾーンＥＣＵ２１」、「ゾーンＥＣＵ２２」、「ゾーンＥＣＵ２３」、「ゾーンＥＣＵ２４」、エラー検出及び訂正領域を表す「エラー検出・訂正領域」、フレームのエンドを表す「フレームエンド」を表すデータ領域を含んで構成される。

信号統合部４１は、例えば、図９に示す４つの入力フレームＦ１（Ｆ１１～Ｆ１４）において、ＡＳＩＬ－Ａのデータ領域に含まれるデータ、ＡＳＩＬ－Ｂのデータ領域に含まれるデータ、ＡＳＩＬ－Ｃのデータ領域に含まれるデータ、ＡＳＩＬ－Ｄのデータ領域に含まれるデータを安全基準のレベル毎に区別して抽出する。そして、信号統合部４１は、安全基準のレベル（ＡＳＩＬ－Ａ～ＡＳＩＬ－Ｄ）毎に抽出したデータを、図１０に示すように、同じレベル毎に統合して当該レベル毎のレベル統合フレームＦ２（Ｆ２１～Ｆ２４）を生成する。

信号統合部４１は、例えば、図９に示す４つの入力フレームＦ１（Ｆ１１～Ｆ１４）において、ＡＳＩＬ－Ａのデータ領域に含まれる全てのデータを、送信先ＩＤをＡＳＩＬ－Ａ用ＥＣＵ３１とするレベル統合フレームＦ２１に統合（集約）する。このとき、信号統合部４１は、各ゾーンＥＣＵ２１～２４から送信されたＡＳＩＬ－Ａのデータを、レベル統合フレームＦ２１におけるゾーンＥＣＵ２１～２４毎に区分けされたデータ領域において、対応するデータ領域にそれぞれ格納する。信号統合部４１は、例えば、ゾーンＥＣＵ２１から送信されたＡＳＩＬ－Ａのデータを、レベル統合フレームＦ２１（送信先ＩＤ：ＡＳＩＬ－Ａ用ＥＣＵ３１）におけるゾーンＥＣＵ２１に区分けされたデータ領域に格納し、ゾーンＥＣＵ２２から送信されたＡＳＩＬ－Ａのデータを、レベル統合フレームＦ２１におけるゾーンＥＣＵ２２に区分けされたデータ領域に格納し、ゾーンＥＣＵ２３から送信されたＡＳＩＬ－Ａのデータを、レベル統合フレームＦ２１におけるゾーンＥＣＵ２３に区分けされたデータ領域に格納し、ゾーンＥＣＵ２４から送信されたＡＳＩＬ－Ａのデータを、レベル統合フレームＦ２１におけるゾーンＥＣＵ２４に区分けされたデータ領域に格納する。

また、信号統合部４１は、例えば、図９に示す４つの入力フレームＦ１（Ｆ１１～Ｆ１４）において、ＡＳＩＬ－Ｂのデータ領域に含まれる全てのデータを、送信先ＩＤをＡＳＩＬ－Ｂ用ＥＣＵ３２とするレベル統合フレームＦ２２に統合（集約）する。このとき、信号統合部４１は、例えば、ゾーンＥＣＵ２１から送信されたＡＳＩＬ－Ｂのデータを、レベル統合フレームＦ２２（送信先ＩＤ：ＡＳＩＬ－Ｂ用ＥＣＵ３２）におけるゾーンＥＣＵ２１に区分けされたデータ領域に格納し、ゾーンＥＣＵ２２から送信されたＡＳＩＬ－Ｂのデータを、レベル統合フレームＦ２２におけるゾーンＥＣＵ２２に区分けされたデータ領域に格納し、ゾーンＥＣＵ２３から送信されたＡＳＩＬ－Ｂのデータを、レベル統合フレームＦ２２におけるゾーンＥＣＵ２３に区分けされたデータ領域に格納し、ゾーンＥＣＵ２４から送信されたＡＳＩＬ－Ｂのデータを、レベル統合フレームＦ２２におけるゾーンＥＣＵ２４に区分けされたデータ領域に格納する。

また、信号統合部４１は、例えば、図９に示す４つの入力フレームＦ１（Ｆ１１～Ｆ１４）において、ＡＳＩＬ－Ｃのデータ領域に含まれる全てのデータを、送信先ＩＤをＡＳＩＬ－Ｃ用ＥＣＵ３３とするレベル統合フレームＦ２３に統合（集約）する。このとき、信号統合部４１は、例えば、ゾーンＥＣＵ２１から送信されたＡＳＩＬ－Ｃのデータを、レベル統合フレームＦ２３（送信先ＩＤ：ＡＳＩＬ－Ｃ用ＥＣＵ３３）におけるゾーンＥＣＵ２１に区分けされたデータ領域に格納し、ゾーンＥＣＵ２２から送信されたＡＳＩＬ－Ｃのデータを、レベル統合フレームＦ２３におけるゾーンＥＣＵ２２に区分けされたデータ領域に格納し、ゾーンＥＣＵ２３から送信されたＡＳＩＬ－Ｃのデータを、レベル統合フレームＦ２３におけるゾーンＥＣＵ２３に区分けされたデータ領域に格納し、ゾーンＥＣＵ２４から送信されたＡＳＩＬ－Ｃのデータを、レベル統合フレームＦ２３におけるゾーンＥＣＵ２４に区分けされたデータ領域に格納する。

また、信号統合部４１は、例えば、図９に示す４つの入力フレームＦ１（Ｆ１１～Ｆ１４）において、ＡＳＩＬ－Ｄのデータ領域に含まれる全てのデータを、送信先ＩＤをＡＳＩＬ－Ｄ用ＥＣＵ３４とするレベル統合フレームＦ２４に統合（集約）する。このとき、信号統合部４１は、例えば、ゾーンＥＣＵ２１から送信されたＡＳＩＬ－Ｄのデータを、レベル統合フレームＦ２４（送信先ＩＤ：ＡＳＩＬ－Ｄ用ＥＣＵ３４）におけるゾーンＥＣＵ２１に区分けされたデータ領域に格納し、ゾーンＥＣＵ２２から送信されたＡＳＩＬ－Ｄのデータを、レベル統合フレームＦ２４におけるゾーンＥＣＵ２２に区分けされたデータ領域に格納し、ゾーンＥＣＵ２３から送信されたＡＳＩＬ－Ｄのデータを、レベル統合フレームＦ２４におけるゾーンＥＣＵ２３に区分けされたデータ領域に格納し、ゾーンＥＣＵ２４から送信されたＡＳＩＬ－Ｄのデータを、レベル統合フレームＦ２４におけるゾーンＥＣＵ２４に区分けされたデータ領域に格納する。

このように、信号統合部４１は、複数のゾーンＥＣＵ２１～２４から送信される機器Ｅからの入力信号Ｓ１を構成する複数の入力フレームＦ１に含まれるデータから、レベル（ＡＳＩＬ－Ａ～ＡＳＩＬ－Ｄ）毎に抽出したデータを、当該レベル毎に統合して当該レベル毎のレベル統合フレームＦ２（Ｆ２１～Ｆ２４）を生成する。

次に、信号統合部４１が、ＡＳＩＬ用ＥＣＵ３１～３４から送信される出力信号Ｓ３を構成する複数のフレームに含まれるデータを統合する例について説明する。信号統合部４１は、例えば、複数のＡＳＩＬ用ＥＣＵ３１～３４から送信されるＡＳＩＬ用ＥＣＵ３１～３４からの出力信号Ｓ３を構成する複数の出力フレームＦ３に含まれるデータから、送信先となるゾーンＥＣＵ２１～２４毎に抽出したデータを、当該送信先となるゾーンＥＣＵ２１～２４毎に統合して当該送信先となるゾーンＥＣＵ２１～２４毎の送信先統合フレームＦ４を生成する。ここで、送信先となるゾーンＥＣＵ２１～２４とは、確認処理の対象となった機器Ｅからの入力信号Ｓ１を送信したゾーンＥＣＵ２１～２４である。

ＡＳＩＬ用ＥＣＵ３１～３４からの出力信号Ｓ３を構成する複数の出力フレームＦ３（Ｆ３１～Ｆ３４）は、図１１に示すように、複数のデータ領域を含んで構成されている。具体的には、それぞれの出力フレームＦ３は、フレームのスタートを表す「フレームスタート」、送信元の識別子を表す「送信元ＩＤ：ＡＳＩＬ－〇用ＥＣＵ〇〇」、送信元の識別子を表す「送信先ＩＤ：ネットワーク分岐部」、ゾーンＥＣＵ２１～ゾーンＥＣＵ２４までのデータ領域を表す「ゾーンＥＣＵ２１」、「ゾーンＥＣＵ２２」、「ゾーンＥＣＵ２３」、「ゾーンＥＣＵ２４」、エラー検出及び訂正領域を表す「エラー検出・訂正領域」、フレームのエンドを表す「フレームエンド」を表すデータ領域を含んで構成される。上記「ゾーンＥＣＵ２１」のデータ領域には、送信先がゾーンＥＣＵ２１であるデータが保存され、上記「ゾーンＥＣＵ２２」のデータ領域には、送信先がゾーンＥＣＵ２２であるデータが保存され、上記「ゾーンＥＣＵ２３」のデータ領域には、送信先がゾーンＥＣＵ２３であるデータが保存され、上記「ゾーンＥＣＵ２４」のデータ領域には、送信先がゾーンＥＣＵ２４であるデータが保存される。なお、図１１では、４つの出力フレームＦ３（Ｆ３１～Ｆ３４）を図示しており、それぞれの出力フレームＦ３（Ｆ３１～Ｆ３４）は、ＡＳＩＬ用ＥＣＵ３１～３４の各々から送信されるフレームに対応している。例えば、送信元ＩＤがＡＳＩＬ－Ａ用ＥＣＵ３１である出力フレームＦ３１は、ＡＳＩＬ－Ａ用ＥＣＵ３１から送信されるフレームに対応し、送信元ＩＤがＡＳＩＬ－Ｂ用ＥＣＵ３２である出力フレームＦ３２は、ＡＳＩＬ－Ｂ用ＥＣＵ３２から送信されるフレームに対応し、送信元ＩＤがＡＳＩＬ－Ｃ用ＥＣＵ３３である出力フレームＦ３３は、ＡＳＩＬ－Ｃ用ＥＣＵ３３から送信されるフレームに対応し、送信元ＩＤがＡＳＩＬ－Ｄ用ＥＣＵ３４である出力フレームＦ３４は、ＡＳＩＬ－Ｄ用ＥＣＵ３４から送信されるフレームに対応している。

信号統合部４１は、複数のＡＳＩＬ用ＥＣＵ３１～３４から送信される複数の出力フレームＦ３（Ｆ３１～Ｆ３４）に含まれるデータ領域から、ゾーンＥＣＵ２１～２４毎にデータを抽出する。そして、信号統合部４１は、抽出したデータを、当該ゾーンＥＣＵ２１～２４毎に統合して当該ゾーンＥＣＵ２１～２４毎の送信先統合フレームＦ４（Ｆ４１～Ｆ４４）を生成する。ここで、送信先統合フレームＦ４（Ｆ４１～Ｆ４４）は、図１２に示すように、複数のデータ領域を含んで構成されている。具体的には、送信先統合フレームＦ４は、フレームのスタートを表す「フレームスタート」、送信元の識別子を表す「送信元ＩＤ：ネットワーク分岐部」、送信先の識別子を表す「送信先ＩＤ：ゾーンＥＣＵ〇〇」、ＡＳＩＬ－Ａ～ＡＳＩＬ－Ｄまでのデータ領域を表す「ＡＳＩＬ－Ａ」、「ＡＳＩＬ－Ｂ」、「ＡＳＩＬ－Ｃ」、「ＡＳＩＬ－Ｄ」、エラー検出及び訂正領域を表す「エラー検出・訂正領域」、フレームのエンドを表す「フレームエンド」を表すデータ領域を含んで構成される。

信号統合部４１は、例えば、図１１に示す４つの出力フレームＦ３（Ｆ３１～Ｆ３４）において、ゾーンＥＣＵ２１のデータ領域に含まれるデータ、ゾーンＥＣＵ２２のデータ領域に含まれるデータ、ゾーンＥＣＵ２３のデータ領域に含まれるデータ、ゾーンＥＣＵ２４のデータ領域に含まれるデータをゾーンＥＣＵ２１～２４毎に区別して抽出する。そして、信号統合部４１は、ゾーンＥＣＵ２１～２４毎に抽出したデータを、図１２に示すように、同じ送信先毎に統合して当該送信先毎の送信先統合フレームＦ４（Ｆ４１～Ｆ４４）を生成する。

信号統合部４１は、例えば、図１１に示す４つの出力フレームＦ３（Ｆ３１～Ｆ３４）において、ゾーンＥＣＵ２１のデータ領域に含まれる全てのデータを、送信先ＩＤをゾーンＥＣＵ２１とする送信先統合フレームＦ４１に統合（集約）する。このとき、信号統合部４１は、各ＡＳＩＬ用ＥＣＵ３１～３４から送信されたゾーンＥＣＵ２１宛てのデータを、送信先統合フレームＦ４１におけるＡＳＩＬ－Ａ～ＡＳＩＬ－Ｄ毎に区分けされたデータ領域において、対応するデータ領域にそれぞれ格納する。信号統合部４１は、例えば、ＡＳＩＬ－Ａ用ＥＣＵ３１から送信されたゾーンＥＣＵ２１のデータを、送信先統合フレームＦ４１（送信先ＩＤ：ゾーンＥＣＵ２１）におけるＡＳＩＬ－Ａに区分けされたデータ領域に格納し、ＡＳＩＬ－Ｂ用ＥＣＵ３２から送信されたゾーンＥＣＵ２１のデータを、送信先統合フレームＦ４１におけるＡＳＩＬ－Ｂに区分けされたデータ領域に格納し、ＡＳＩＬ－Ｃ用ＥＣＵ３３から送信されたゾーンＥＣＵ２１のデータを、送信先統合フレームＦ４１におけるＡＳＩＬ－Ｃに区分けされたデータ領域に格納し、ＡＳＩＬ－Ｄ用ＥＣＵ３４から送信されたゾーンＥＣＵ２１のデータを、送信先統合フレームＦ４１におけるＡＳＩＬ－Ｄに区分けされたデータ領域に格納する。

また、信号統合部４１は、例えば、図１１に示す４つの出力フレームＦ３（Ｆ３１～Ｆ３４）において、ゾーンＥＣＵ２２のデータ領域に含まれる全てのデータを、送信先ＩＤをゾーンＥＣＵ２２とする送信先統合フレームＦ４２に統合（集約）する。このとき、信号統合部４１は、各ＡＳＩＬ用ＥＣＵ３１～３４から送信されたゾーンＥＣＵ２２宛てのデータを、送信先統合フレームＦ４２におけるＡＳＩＬ－Ａ～ＡＳＩＬ－Ｄ毎に区分けされたデータ領域において、対応するデータ領域にそれぞれ格納する。信号統合部４１は、例えば、ＡＳＩＬ－Ａ用ＥＣＵ３１から送信されたゾーンＥＣＵ２２のデータを、送信先統合フレームＦ４２（送信先ＩＤ：ゾーンＥＣＵ２２）におけるＡＳＩＬ－Ａに区分けされたデータ領域に格納し、ＡＳＩＬ－Ｂ用ＥＣＵ３２から送信されたゾーンＥＣＵ２２のデータを、送信先統合フレームＦ４２におけるＡＳＩＬ－Ｂに区分けされたデータ領域に格納し、ＡＳＩＬ－Ｃ用ＥＣＵ３３から送信されたゾーンＥＣＵ２２のデータを、送信先統合フレームＦ４２におけるＡＳＩＬ－Ｃに区分けされたデータ領域に格納し、ＡＳＩＬ－Ｄ用ＥＣＵ３４から送信されたゾーンＥＣＵ２２のデータを、送信先統合フレームＦ４２におけるＡＳＩＬ－Ｄに区分けされたデータ領域に格納する。

また、信号統合部４１は、例えば、図１１に示す４つの出力フレームＦ３（Ｆ３１～Ｆ３４）において、ゾーンＥＣＵ２３のデータ領域に含まれる全てのデータを、送信先ＩＤをゾーンＥＣＵ２３とする送信先統合フレームＦ４３に統合（集約）する。このとき、信号統合部４１は、各ＡＳＩＬ用ＥＣＵ３１～３４から送信されたゾーンＥＣＵ２３宛てのデータを、送信先統合フレームＦ４３におけるＡＳＩＬ－Ａ～ＡＳＩＬ－Ｄ毎に区分けされたデータ領域において、対応するデータ領域にそれぞれ格納する。信号統合部４１は、例えば、ＡＳＩＬ－Ａ用ＥＣＵ３１から送信されたゾーンＥＣＵ２３のデータを、送信先統合フレームＦ４３（送信先ＩＤ：ゾーンＥＣＵ２３）におけるＡＳＩＬ－Ａに区分けされたデータ領域に格納し、ＡＳＩＬ－Ｂ用ＥＣＵ３２から送信されたゾーンＥＣＵ２３のデータを、送信先統合フレームＦ４３におけるＡＳＩＬ－Ｂに区分けされたデータ領域に格納し、ＡＳＩＬ－Ｃ用ＥＣＵ３３から送信されたゾーンＥＣＵ２３のデータを、送信先統合フレームＦ４３におけるＡＳＩＬ－Ｃに区分けされたデータ領域に格納し、ＡＳＩＬ－Ｄ用ＥＣＵ３４から送信されたゾーンＥＣＵ２３のデータを、送信先統合フレームＦ４３におけるＡＳＩＬ－Ｄに区分けされたデータ領域に格納する。

また、信号統合部４１は、例えば、図１１に示す４つの出力フレームＦ３（Ｆ３１～Ｆ３４）において、ゾーンＥＣＵ２４のデータ領域に含まれる全てのデータを、送信先ＩＤをゾーンＥＣＵ２４とする送信先統合フレームＦ４４に統合（集約）する。このとき、信号統合部４１は、各ＡＳＩＬ用ＥＣＵ３１～３４から送信されたゾーンＥＣＵ２４宛てのデータを、送信先統合フレームＦ４４におけるＡＳＩＬ－Ａ～ＡＳＩＬ－Ｄ毎に区分けされたデータ領域において、対応するデータ領域にそれぞれ格納する。信号統合部４１は、例えば、ＡＳＩＬ－Ａ用ＥＣＵ３１から送信されたゾーンＥＣＵ２４のデータを、送信先統合フレームＦ４４（送信先ＩＤ：ゾーンＥＣＵ２４）におけるＡＳＩＬ－Ａに区分けされたデータ領域に格納し、ＡＳＩＬ－Ｂ用ＥＣＵ３２から送信されたゾーンＥＣＵ２４のデータを、送信先統合フレームＦ４４におけるＡＳＩＬ－Ｂに区分けされたデータ領域に格納し、ＡＳＩＬ－Ｃ用ＥＣＵ３３から送信されたゾーンＥＣＵ２４のデータを、送信先統合フレームＦ４４におけるＡＳＩＬ－Ｃに区分けされたデータ領域に格納し、ＡＳＩＬ－Ｄ用ＥＣＵ３４から送信されたゾーンＥＣＵ２４のデータを、送信先統合フレームＦ４４におけるＡＳＩＬ－Ｄに区分けされたデータ領域に格納する。

このように、信号統合部４１は、複数のＡＳＩＬ用ＥＣＵ３１～３４から送信されるＡＳＩＬ用ＥＣＵ３１～３４からの出力信号Ｓ３を構成する複数の出力フレームＦ３に含まれるデータから、送信先となるゾーンＥＣＵ２１～２４毎に抽出したデータを、当該送信先となるゾーンＥＣＵ２１～２４毎に統合して当該送信先となるゾーンＥＣＵ２１～２４毎の送信先統合フレームＦ４を生成する。

次に、信号振分部４２について説明する。信号振分部４２は、信号を送信先に応じて振り分けて送信するものである。信号振分部４２は、例えば、複数のゾーンＥＣＵ２１～２４から送信される機器Ｅからの入力信号Ｓ１を、当該機器Ｅの機能に対応したレベルが割り当てられたＡＳＩＬ用ＥＣＵ３１～３４に振り分けて送信する。この例では、信号振分部４２は、入力信号Ｓ１に基づいて信号統合部４１によって生成した各レベル統合フレームＦ２（Ｆ２１～Ｆ２４）を、対応するレベルが割り当てられたＡＳＩＬ用ＥＣＵ３１～３４にそれぞれ振り分けて送信する。信号振分部４２は、例えば、信号統合部４１によって生成したレベル統合フレームＦ２１（送信先ＩＤ：ＡＳＩＬ－Ａ用ＥＣＵ３１）を、安全基準に関する確認処理としてＡＳＩＬ－Ａが割り当てられたＡＳＩＬ－Ａ用ＥＣＵ３１に振り分けて送信する。信号振分部４２は、信号統合部４１によって生成したレベル統合フレームＦ２２（送信先ＩＤ：ＡＳＩＬ－Ｂ用ＥＣＵ３２）を、安全基準に関する確認処理としてＡＳＩＬ－Ｂが割り当てられたＡＳＩＬ－Ｂ用ＥＣＵ３２に振り分けて送信する。信号振分部４２は、信号統合部４１によって生成したレベル統合フレームＦ２３（送信先ＩＤ：ＡＳＩＬ－Ｃ用ＥＣＵ３３）を、安全基準に関する確認処理としてＡＳＩＬ－Ｃが割り当てられたＡＳＩＬ－Ｃ用ＥＣＵ３３に振り分けて送信する。信号振分部４２は、信号統合部４１によって生成したレベル統合フレームＦ２４（送信先ＩＤ：ＡＳＩＬ－Ｄ用ＥＣＵ３４）を、安全基準に関する確認処理としてＡＳＩＬ－Ｄが割り当てられたＡＳＩＬ－Ｄ用ＥＣＵ３４に振り分けて送信する。そして、信号振分部４２は、レベル統合フレームＦ２１～Ｆ２４を送信する際に、割り当てられたレベルが相対的に低いＡＳＩＬ用ＥＣＵ３１、３２に対する入力信号Ｓ１、すなわち入力信号Ｓ１に基づくレベル統合フレームＦ２１、Ｆ２２よりも、割り当てられたレベルが相対的に高いＡＳＩＬ用ＥＣＵ３３、３４に対する入力信号Ｓ１、すなわち入力信号Ｓ１に基づくレベル統合フレームＦ２３、Ｆ２４を優先して送信する。

また、信号振分部４２は、ＡＳＩＬ用ＥＣＵ３１～３４から送信されるＡＳＩＬ用ＥＣＵ３１～３４からの出力信号Ｓ３を、確認処理の対象となった機器Ｅからの入力信号Ｓ１を送信したゾーンＥＣＵ２１～２４に振り分けて送信する。この例では、信号振分部４２は、信号統合部４１によって生成した各送信先統合フレームＦ４（Ｆ４１～Ｆ４４）を、対応する送信先となるゾーンＥＣＵ２１～２４にそれぞれ振り分けて送信する。信号振分部４２は、例えば、信号統合部４１によって生成した送信先統合フレームＦ４１（送信先ＩＤ：ゾーンＥＣＵ２１）を、確認処理の対象となった機器Ｅからの入力信号Ｓ１を送信したゾーンＥＣＵ２１に振り分けて送信する。信号振分部４２は、信号統合部４１によって生成した送信先統合フレームＦ４２（送信先ＩＤ：ゾーンＥＣＵ２２）を、確認処理の対象となった機器Ｅからの入力信号Ｓ１を送信したゾーンＥＣＵ２２に振り分けて送信する。信号振分部４２は、信号統合部４１によって生成した送信先統合フレームＦ４３（送信先ＩＤ：ゾーンＥＣＵ２３）を、確認処理の対象となった機器Ｅからの入力信号Ｓ１を送信したゾーンＥＣＵ２３に振り分けて送信する。信号振分部４２は、信号統合部４１によって生成した送信先統合フレームＦ４４（送信先ＩＤ：ゾーンＥＣＵ２４）を、確認処理の対象となった機器Ｅからの入力信号Ｓ１を送信したゾーンＥＣＵ２４に振り分けて送信する。

各ゾーンＥＣＵ２１～２４は、信号振分部４２から送信された各送信先統合フレームＦ４１～４４に基づいて、それぞれに接続された機器Ｅを制御する。例えば、ゾーンＥＣＵ２１は、送信先統合フレームＦ４１のデータ領域に格納されたデータ（安全基準のレベル、すなわちＡＳＩＬ－Ａ～ＡＳＩＬ－Ｄに応じた確認処理結果）に基づいて、当該ゾーンＥＣＵ２１に接続された機器Ｅ、すなわちＡＳＩＬ－Ａ～ＡＳＩＬ－Ｄが設定された機能を実現する機器Ｅを制御する。ゾーンＥＣＵ２２は、送信先統合フレームＦ４２のデータ領域に格納されたデータ（安全基準のレベルに応じた確認処理結果）に基づいて、当該ゾーンＥＣＵ２２に接続された機器Ｅを制御する。ゾーンＥＣＵ２３は、送信先統合フレームＦ４３のデータ領域に格納されたデータ（安全基準のレベルに応じた確認処理結果）に基づいて、当該ゾーンＥＣＵ２３に接続された機器Ｅを制御する。ゾーンＥＣＵ２４は、送信先統合フレームＦ４４のデータ領域に格納されたデータ（安全基準のレベルに応じた確認処理結果）に基づいて、当該ゾーンＥＣＵ２４に接続された機器Ｅを制御する。

次に、各フレームの通信例について説明する。図１３は、実施形態に係る各フレームの通信例を示す図である。ネットワーク分岐部４０の信号統合部４１は、上り通信において、各ゾーンＥＣＵ２１～２４からそれぞれ送信される各入力フレームＦ１１～Ｆ１４を受信する。信号統合部４１は、予め定められた一定周期で受信した各入力フレームＦ１１～Ｆ１４に含まれるデータから、レベル毎に抽出したデータを、当該レベル毎に統合して当該レベル毎のレベル統合フレームＦ２１～Ｆ２４を生成する。なお、この例では、信号統合部４１は、図１３に示すように、予め定められた一定周期で、４つの入力フレームＦ１１～Ｆ１４を受信しているが、例えば、予め定められた一定周期で、３つの入力フレームＦ１１～Ｆ１３しか受信していない場合、当該３つの入力フレームＦ１１～Ｆ１３に含まれるデータから、レベル毎に抽出したデータを、当該レベル毎に統合して当該レベル毎のレベル統合フレームＦ２１～Ｆ２４を生成してもよい。次に、信号振分部４２は、信号統合部４１によって生成した各レベル統合フレームＦ２１～Ｆ２４を、対応するレベルが割り当てられたＡＳＩＬ用ＥＣＵ３１～３４にそれぞれ振り分けて送信する。このとき、信号振分部４２は、レベル統合フレームＦ２１～Ｆ２４を送信する際に、割り当てられたレベルが相対的に低いＡＳＩＬ用ＥＣＵ３１、３２に送信するレベル統合フレームＦ２１、Ｆ２２よりも、割り当てられたレベルが相対的に高いＡＳＩＬ用ＥＣＵ３３、３４に送信するレベル統合フレームＦ２３、Ｆ２４を優先して送信する。例えば、信号振分部４２は、割り当てられたレベルが最も高いＡＳＩＬ－Ｄ用ＥＣＵ３４に送信するレベル統合フレームＦ２４から順番に送信する。具体的には、信号振分部４２は、割り当てられたレベルが最も高いＡＳＩＬ－Ｄ用ＥＣＵ３４に送信するレベル統合フレームＦ２４を最初に送信し、次に、割り当てられたレベルが２番目に高いＡＳＩＬ－Ｃ用ＥＣＵ３３に送信するレベル統合フレームＦ２３を２番目に送信し、その次に、割り当てられたレベルが３番目に高いＡＳＩＬ－Ｂ用ＥＣＵ３２に送信するレベル統合フレームＦ２２を３番目に送信し、最後に、割り当てられたレベルが最も低いＡＳＩＬ－Ａ用ＥＣＵ３１に送信するレベル統合フレームＦ２１を送信する。なお、信号振分部４２は、割り当てられたレベルが最も高いＡＳＩＬ－Ｄ用ＥＣＵ３４に送信するレベル統合フレームＦ２４から順番に送信する例について説明したが、これに限定されない。

信号統合部４１は、下り通信において、各ＡＳＩＬ用ＥＣＵ３１～３４からそれぞれ送信される各出力フレームＦ３１～Ｆ３４を受信する。信号統合部４１は、予め定められた一定周期で受信した各出力フレームＦ３１～Ｆ３４に含まれるデータから、送信先となるゾーンＥＣＵ２１～２４毎に抽出したデータを、当該ゾーンＥＣＵ２１～２４毎に統合して当該ゾーンＥＣＵ２１～２４毎の送信先統合フレームＦ４１～Ｆ４４を生成する。なお、この例では、信号統合部４１は、図１３に示すように、予め定められた一定周期で、４つの出力フレームＦ３１～Ｆ３４を受信しているが、例えば、予め定められた一定周期で、３つの出力フレームＦ３１～Ｆ３４しか受信していない場合、当該３つの出力フレームＦ３１～Ｆ３４に含まれるデータから、送信先となるゾーンＥＣＵ２１～２４毎に抽出したデータを、当該ゾーンＥＣＵ２１～２４毎に統合して当該ゾーンＥＣＵ２１～２４毎の送信先統合フレームＦ４１～Ｆ４４を生成してもよい。次に、信号振分部４２は、信号統合部４１によって生成した各送信先統合フレームＦ４１～Ｆ４４を、対応する送信先となるゾーンＥＣＵ２１～２４にそれぞれ振り分けて送信する。このように、車両システム１は、レベル統合フレームＦ２及び送信先統合フレームＦ４を用いることにより、これらの統合フレームを用いない場合と比較して、フレーム数を半分にすることができ、通信量が増加することを抑制することができる。

次に、車両システム１の動作例について説明する。図１４は、実施形態に係る車両システム１の動作例を示すフローチャートである。車両システム１において、ゾーンＥＣＵ２１～２４は、各機器Ｅからの入力信号Ｓ１を構成する入力フレームＦ１（Ｆ１１～Ｆ１４）をネットワーク分岐部４０に送信する（ステップＳＴ１）。次に、ネットワーク分岐部４０の信号統合部４１は、複数の入力フレームＦ１に含まれるデータから、レベル毎に抽出したデータを統合して、レベル統合フレームＦ２を生成する（ステップＳＴ２）。信号統合部４１は、例えば、複数のゾーンＥＣＵ２１～２４から送信される複数の入力フレームＦ１（Ｆ１１～Ｆ１４）に含まれるデータ領域から、安全基準のレベル（ＡＳＩＬ－Ａ～ＡＳＩＬ－Ｄ）毎にデータを抽出する。そして、信号統合部４１は、安全基準のレベル毎に抽出したデータを、当該レベル毎に統合して当該レベル毎のレベル統合フレームＦ２（Ｆ２１～Ｆ２４）を生成する。次に、ＡＳＩＬ用ＥＣＵ３１～３４は、レベル統合フレームＦ２（Ｆ２１～Ｆ２４）に含まれるデータに対して安全基準に関する確認処理を実行する（ステップＳＴ３）。例えば、ＡＳＩＬ－Ａ用ＥＣＵ３１は、レベル統合フレームＦ２１のデータ領域に含まれるデータに対して、ＡＳＩＬ―Ａに関する確認処理を実行する。同様に、ＡＳＩＬ－Ｂ用ＥＣＵ３２は、レベル統合フレームＦ２２のデータ領域に含まれるデータに対して、ＡＳＩＬ―Ｂに関する確認処理を実行し、ＡＳＩＬ－Ｃ用ＥＣＵ３３は、レベル統合フレームＦ２３のデータ領域に含まれるデータに対して、ＡＳＩＬ―Ｃに関する確認処理を実行し、ＡＳＩＬ－Ｄ用ＥＣＵ３４は、レベル統合フレームＦ２４のデータ領域に含まれるデータに対して、ＡＳＩＬ―Ｄに関する確認処理を実行する。次に、ＡＳＩＬ用ＥＣＵ３１～３４は、確認処理結果を含む出力フレームＦ３（Ｆ３１～Ｆ３４）をネットワーク分岐部４０に送信する（ステップＳＴ４）。次に、信号統合部４１は、複数の出力フレームＦ３に含まれるデータから、送信先毎に抽出したデータを統合して、送信先統合フレームＦ４を生成する（ステップＳＴ５）。信号統合部４１は、例えば、ＡＳＩＬ用ＥＣＵ３１～３４の各々から送信される各出力フレームＦ３１～Ｆ３４に含まれるデータから、送信先となるゾーンＥＣＵ２１～２４毎に抽出したデータを、当該送信先となるゾーンＥＣＵ２１～２４毎に統合して当該送信先となるゾーンＥＣＵ２１～２４毎の送信先統合フレームＦ４１～Ｆ４４を生成する。次に、ゾーンＥＣＵ２１～２４は、送信先統合フレームＦ４のデータに基づいて各機器Ｅを制御する（ステップＳＴ６）。例えば、ゾーンＥＣＵ２１は、ネットワーク分岐部４０から送信された送信先統合フレームＦ４１のデータ領域に含まれるデータに基づいて、パワトレ系の機器Ｅを制御する。ゾーンＥＣＵ２１は、例えば、ネットワーク分岐部４０から送信された送信先統合フレームＦ４１のデータ領域に含まれる確認結果のデータが正常を表す場合、パワトレ系の機器Ｅを通常運転する。一方で、ゾーンＥＣＵ２１は、ネットワーク分岐部４０から送信された送信先統合フレームＦ４１のデータ領域に含まれる確認結果のデータが異常を表す場合、パワトレ系の機器Ｅに対してエラー表示や縮退運転を実行する。

以上のように、実施形態に係る車両システム１は、複数の機器Ｅと、複数のゾーンＥＣＵ２１～２４と、セントラルＥＣＵ３０と、ネットワーク分岐部４０とを備える。複数の機器Ｅは、車両Ｖに搭載され、実現する機能に対してそれぞれ予め定められたレベルの安全基準が設定されている。複数のゾーンＥＣＵ２１～２４は、それぞれが制御系統ごとに区分けされた機器Ｅを制御する。セントラルＥＣＵ３０は、複数の機器Ｅに対して安全基準に関する確認処理を実行可能なものである。ネットワーク分岐部４０は、機器Ｅからの確認処理に係る入力信号Ｓ１、及び、セントラルＥＣＵ３０からの確認処理に係る出力信号Ｓ３を、複数のゾーンＥＣＵ２１～２４とセントラルＥＣＵ３０との間で中継する。ここで、セントラルＥＣＵ３０は、安全基準のレベル毎に割り当てられ、割り当てられたレベルに応じた確認処理を機器Ｅに対して実行可能であるＡＳＩＬ用ＥＣＵ３１～３４を含む。ネットワーク分岐部４０は、複数のゾーンＥＣＵ２１～２４から送信される機器Ｅからの入力信号Ｓ１を、当該機器Ｅの機能に対応したレベルが割り当てられたＡＳＩＬ用ＥＣＵ３１～３４に振り分けて送信し、且つ、ＡＳＩＬ用ＥＣＵ３１～３４から送信されるＡＳＩＬ用ＥＣＵ３１～３４からの出力信号Ｓ３を、確認処理の対象となった機器Ｅからの入力信号Ｓ１を送信したゾーンＥＣＵ２１～２４に振り分けて送信する。

この構成により、車両Ｖシステム１は、ＡＳＩＬ用ＥＣＵ３１～３４が複数のレベルの安全基準に関する処理を実行する必要がなく、従来のように同一のシステムの中に複数レベルの安全基準がある場合に、レベルの高い安全基準の処理を、レベルの低い安全基準の処理を行うものに対しても適用する必要がなくなり、ＡＳＩＬ用ＥＣＵ３１～３４に過剰な性能を備えることを回避できる。これにより、車両システム１は、システム構築に要する工数を削減することができ、開発コストを抑制することができる。また、車両システム１は、セントラルＥＣＵ３０のＡＳＩＬ用ＥＣＵ３１～３４が安全基準のレベル毎に１つずつ割り当てられるので、セントラルＥＣＵ３０を安全基準のレベル数に応じて集約することができる。この結果、車両システム１は、安全性を確保するシステムを適正に構築することができる。

車両システム１において、ネットワーク分岐部４０は、複数のゾーンＥＣＵ２１～２４から送信される機器Ｅからの入力信号Ｓ１を構成する複数の入力フレームＦ１に含まれるデータから、レベル毎に抽出したデータを、当該レベル毎に統合して当該レベル毎のレベル統合フレームＦ２を生成し、生成した各レベル統合フレームＦ２を、対応するレベルが割り当てられたＡＳＩＬ用ＥＣＵ３１～３４にそれぞれ振り分けて送信する。また、ネットワーク分岐部４０は、ＡＳＩＬ用ＥＣＵ３１～３４から送信されるＡＳＩＬ用ＥＣＵ３１～３４からの出力信号Ｓ３を構成する複数の出力フレームＦ３に含まれるデータから、送信先となるゾーンＥＣＵ２１～２４毎に抽出したデータを、当該送信先となるゾーンＥＣＵ２１～２４毎に統合して当該送信先となるゾーンＥＣＵ２１～２４毎の送信先統合フレームＦ４を生成し、生成した各送信先統合フレームＦ４を、対応する送信先となるゾーンＥＣＵ２１～２４にそれぞれ振り分けて送信する。この構成により、車両システム１は、フレームを統合することにより、フレーム数を削減することができるので、通信ネットワークにおいて通信量が増加することを抑制することができる。

車両システム１において、ネットワーク分岐部４０は、割り当てられた安全基準のレベルが相対的に低いＡＳＩＬ用ＥＣＵ３１、３２に対する入力信号Ｓ１よりも、割り当てられた安全基準のレベルが相対的に高いＡＳＩＬ用ＥＣＵ３３、３４に対する入力信号Ｓ１を優先して送信する。この構成により、車両システム１は、例えば、アンチロックブレーキ機能、電動パワーステアリング機能等の安全基準のレベルが相対的に高い確認処理を優先して実施することができるので、これらの安全基準のレベルが相対的に高い機能を実現する機器Ｅに対して、確認処理の結果を迅速に送信することができる。これにより、車両システム１は、アンチロックブレーキ機能、電動パワーステアリング機能等の相対的に重要度の高い機器Ｅを素早く動作させることができる。

車両システム１において、レベルが相対的に高い安全基準に関する処理は、レベルが相対的に低い安全基準に関する処理を少なくとも一部含む。この構成により、車両システム１は、安全基準に関する処理を一部、共通化することができ、工数を削減できる。また、車両システム１は、安全基準に関する処理を一部、共通化しても、個別の安全基準のレベルに応じた安全基準に関する処理を実行し、異なる安全基準のレベルに応じた安全基準に関する処理を実行しないので、安全基準が低い処理に生じた不具合が、安全基準が高い処理にも影響を及ぼすことを回避できる。この結果、車両システム１は、安全性を確保するシステムを適正に構築することができる。

〔変形例〕
次に、実施形態の変形例について説明する。なお、変形例では、実施形態と同等の構成要素には同じ符号を付し、その詳細な説明を省略する。

セントラルＥＣＵ３０は、図２に示すように、ＥＣＵ毎（ＡＳＩＬ－Ａ用ＥＣＵ３１、ＡＳＩＬ－Ｂ用ＥＣＵ３２、ＡＳＩＬ－Ｃ用ＥＣＵ３３、ＡＳＩＬ－Ｄ用ＥＣＵ３４）に設けられてもよいし、セントラルＥＣＵ３０Ａは、図１５に示すように、基板毎（ＡＳＩＬ－Ａ用基板３１Ａ、ＡＳＩＬ－Ｂ用基板３２Ａ、ＡＳＩＬ－Ｃ用基板３３Ａ、ＡＳＩＬ－Ｄ用基板３４Ａ）に設けられてもよいし、セントラルＥＣＵ３０Ｂは、図１６に示すように、ＣＰＵ（マイコン）毎（ＡＳＩＬ－Ａ用マイコン３１Ｂ、ＡＳＩＬ－Ｂ用マイコン３２Ｂ、ＡＳＩＬ－Ｃ用マイコン３３Ｂ、ＡＳＩＬ－Ｄ用マイコン３４Ｂ）に設けられてもよい。なお、セントラルＥＣＵ３０Ａは、ネットワーク分岐部４０及び各基板のＣＰＵに接続される通信Ｉ／Ｆ回路３５Ａが設けられ、セントラルＥＣＵ３０Ｂは、ネットワーク分岐部４０及び各ＣＰＵに接続される通信Ｉ／Ｆ回路３５Ｂが設けられている。

ネットワーク分岐部４０は、安全基準のレベル毎に統合したレベル統合フレームＦ２を生成し、また、送信先となるゾーンＥＣＵ２１～２４毎に統合した送信先統合フレームＦ４を生成してフレームを統合してフレームを振り分けて送信する例について説明したが、これに限定されず、フレームを統合せずにフレームを個別に振り分けて送信してもよい。

ネットワーク分岐部４０は、割り当てられた安全基準のレベルが相対的に低いＡＳＩＬ用ＥＣＵ３１、３２に対する入力信号Ｓ１よりも、割り当てられた安全基準のレベルが相対的に高いＡＳＩＬ用ＥＣＵ３３、３４に対する入力信号Ｓ１を優先して送信する例について説明したが、このような安全基準のレベルに基づく優先送信をせずに、送信してもよい。

レベルが相対的に高い安全基準に関する処理は、レベルが相対的に低い安全基準に関する処理を少なくとも一部含む例について説明したが、これに限定されず、その他の方法で安全基準に関する処理を構成してもよい。

複数のエリアＤは、４つに区分けされる例について説明したが、これに限定されず、その他の個数に区分けされてもよい。

複数の機器制御部２０は、典型的には、エリア・ゾーンごとに区分けされるが、エリア・ゾーンごとの区分けはあくまでも一例であり、例えば、車両Ｖを制御する系統を表すドメインごとに設けられてもよい。複数の機器制御部２０をドメインごとに設ける場合、各機器制御部２０に接続される複数の機器Ｅは、それぞれが同じドメイン（制御系統）の機器Ｅである。

安全基準は、ＩＳＯ２６２６２規格で定義されたＡＳＩＬについて説明したが、これに限定されず、その他の基準であってもよい。

Ｉ／Ｏ２１１ｃ～Ｉ／Ｏ２１４ｃは、それぞれ異なるＡＳＩＬが設定された機能を実現する機器Ｅが接続される例について説明したが、これに限定されず、例えば、Ｉ／Ｏ２１１ｃ～Ｉ／Ｏ２１４ｃの中の機器Ｅに異なるＡＳＩＬが混在してもよい。例えば、Ｉ／Ｏ２１１ｃは、ＡＳＩＬ－Ａ～ＡＳＩＬ－Ｄの機器Ｅが混在して接続されてもよい。

１車両システム
２０複数の機器制御部
３０セントラルＥＣＵ（中央制御部）
３１ＡＳＩＬ－Ａ用ＥＣＵ（単一レベル用制御部）
３２ＡＳＩＬ－Ｂ用ＥＣＵ（単一レベル用制御部）
３３ＡＳＩＬ－Ｃ用ＥＣＵ（単一レベル用制御部）
３４ＡＳＩＬ－Ｄ用ＥＣＵ（単一レベル用制御部）
４０ネットワーク分岐部（中継部）
Ｅ複数の機器
Ｆ１入力フレーム（フレーム）
Ｆ２レベル統合フレーム
Ｆ３出力フレーム（フレーム）
Ｆ４送信先統合フレーム
Ｓ１入力信号
Ｓ３出力信号
Ｖ車両

Claims

車両に搭載され、実現する機能に対してそれぞれ予め定められたレベルの安全基準が設定された複数の機器と、
それぞれが制御系統ごとに区分けされた前記機器を制御する複数の機器制御部と、
前記複数の機器に対して前記安全基準に関する確認処理を実行可能な中央制御部と、
前記機器からの前記確認処理に係る入力信号、及び、前記中央制御部からの前記確認処理に係る出力信号を、前記複数の機器制御部と前記中央制御部との間で中継する中継部と、を備え、
前記中央制御部は、前記安全基準の前記レベル毎に割り当てられ、前記割り当てられたレベルに応じた前記確認処理を前記機器に対して実行可能である複数の単一レベル用制御部を含み、
前記中継部は、前記複数の機器制御部から送信される前記機器からの前記入力信号を、当該機器の機能に対応した前記レベルが割り当てられた前記単一レベル用制御部に振り分けて送信し、且つ、前記複数の単一レベル用制御部から送信される前記単一レベル用制御部からの前記出力信号を、前記確認処理の対象となった前記機器からの前記入力信号を送信した前記機器制御部に振り分けて送信することを特徴とする車両システム。
前記中継部は、前記複数の機器制御部から送信される前記機器からの前記入力信号を構成する複数のフレームに含まれるデータから、前記レベル毎に抽出したデータを、当該レベル毎に統合して当該レベル毎のレベル統合フレームを生成し、生成した各前記レベル統合フレームを、対応する前記レベルが割り当てられた前記単一レベル用制御部にそれぞれ振り分けて送信し、かつ、前記複数の単一レベル用制御部から送信される前記単一レベル用制御部からの前記出力信号を構成する複数のフレームに含まれるデータから、送信先となる前記機器制御部毎に抽出したデータを、当該送信先となる前記機器制御部毎に統合して当該送信先となる前記機器制御部毎の送信先統合フレームを生成し、生成した各前記送信先統合フレームを、対応する前記送信先となる前記機器制御部にそれぞれ振り分けて送信する、
請求項１に記載の車両システム。
前記中継部は、前記割り当てられたレベルが相対的に低い前記単一レベル用制御部に対する前記入力信号よりも、前記割り当てられたレベルが相対的に高い前記単一レベル用制御部に対する前記入力信号を優先して送信する請求項１又は２に記載の車両システム。
前記レベルが相対的に高い前記安全基準に関する処理は、前記レベルが相対的に低い前記安全基準に関する処理を少なくとも一部含む請求項１～３のいずれか１項に記載の車両システム。