JP6418185B2 - 車両用画像表示システム - Google Patents

Description

本発明は、複数の画像を表示装置に重畳して表示させる車両用画像表示システムに関する。

特許文献１には、画像処理装置により生成された画像データを送信回路から受信回路にシリアル伝送方式により伝送する画像データの伝送方法（システム）が記載されている。このシステムではまず、受信回路が受信した画像データを受信ピクセルバッファに格納し、送信回路にて画像データに予め設定された誤り検出符号を参照しつつ送信エラーの有無を判定する。そして、エラーがないと判定されたときの画像データを訂正用バッファに保持しておき、エラー発生時には訂正用バッファに保持しておいた画像データを用いて画像データの訂正を行うようにしている。その結果、受信した画像データを表示装置に出力して表示する際の信頼性が高められている。

特開２０１５−１４４３９１号公報

ところで近年は、車両における画像表示の新たな形態として、例えばカーナビゲーションシステムやエージェントシステムが実行する情報系のアプリケーションによる画像データ、及び例えば速度メータ等、車両の走行に直接係わる制御装置が実行する制御系のアプリケーションによる画像データなど、互いに信頼性の異なるオペレーティングシステムの管理下で動作する複数のアプリケーションにより生成される画像データを共通の表示画面に重畳表示する技術も提案されている。しかしこの場合、相対的に信頼性の低い情報系のアプリケーションによる画像データに発生したエラーが相対的に信頼性の高い制御系のアプリケーションによる画像表示に影響を及ぼすようなこともあり、好ましくない。

本発明は、このような実情に鑑みてなされたものであり、その目的は、互いに信頼性の異なるオペレーティングシステムの管理下で動作する複数のアプリケーションにより生成される画像データを重畳表示させるにあたり、相対的に信頼性の高いオペレーティングシステムの管理下で動作するアプリケーションによる画像データを継続して表示することのできる車両用画像表示システムを提供することにある。

上記課題を解決する車両用画像表示システムは、互いに信頼性の異なるオペレーティングシステムの管理下で動作する複数の車載アプリケーションにより生成される画像データを車両に搭載された共通の表示装置に重畳表示させる車両用画像表示システムであって、相対的に信頼性の低いオペレーティングシステムの管理下で動作する車載アプリケーションにより生成される画像データを複数の画像格納部に順に切り替えつつ書き込む画像書込制御部と、前記複数の画像格納部に格納された画像データを順に切り替えつつ読み出す画像読出制御部と、前記画像読出制御部により読み出される画像データと相対的に信頼性の高いオペレーティングシステムの管理下で動作する車載アプリケーションにより生成される画像データとを合成して表示データを生成する表示データ生成部と、前記複数の画像格納部に格納された各画像データのエラーの有無を検出するエラー検出部と、前記エラー検出部によって前記画像データのエラーが検出されたとき、前記画像書込制御部及び前記画像読出制御部による前記画像格納部の切り替えを停止する切替制御部とを備える。

上記構成によれば、相対的に信頼性の低いオペレーティングシステムの管理下で動作する車載アプリケーションにより生成される画像データにエラーが発生したときには画像書込制御部及び画像読出制御部による画像格納部の切り替えが停止する。そして以降はエラーが検出されなかったときの正常な画像データが画像読出制御部により読み出される。そのため、エラーの発生により画像の乱れを生じた画像データが、相対的に信頼性の高いオペレーティングシステムの管理下で動作する車載アプリケーションにより生成される画像データに重畳されることを抑制しつつ、相対的に信頼性の高いオペレーティングシステムの管理下で動作する車載アプリケーションによる画像データを継続して表示することができる。

上記車両用画像表示システムにおいて、前記切替制御部は、前記画像データのエラーが解消されたとき、前記画像書込制御部及び前記画像読出制御部による前記画像格納部の切り替えを再開することが好ましい。

上記構成によれば、相対的に信頼性の低いオペレーティングシステムの管理下で動作する車載アプリケーションにより生成される画像データのエラーが解消されたときには、画像書込制御部及び画像読出制御部による画像格納部の切り替えが再開される。そのため、エラーが検出されなかったときの正常な画像データに連続するかたちで、エラーの解消により正常化した最新の画像データを表示することが可能となる。

上記車両用画像表示システムにおいて、前記エラー検出部はエラー回数を計数するエラーカウンタを有し、前記切替制御部は、前記エラーカウンタの値が所定の値に達したとき、前記相対的に信頼性の低いオペレーティングシステムをリセットすることが好ましい。

上記構成によれば、画像データのエラーが連続して検出された回数が所定の値に達したときには、相対的に信頼性の低いオペレーティングシステムの管理下で動作する車載アプリケーションの動作に何らかの異常が生じたと判断して当該オペレーティングシステムをリセットする。そのため、相対的に信頼性の低いオペレーティングシステムの管理下で動作する車載アプリケーションによる画像データが長期間に亘って更新されない状況となることが回避される。

上記車両用画像表示システムにおいて、前記切替制御部は、前記オペレーティングシステムのリセットが開始されてからの経過時間を計数するリセットタイマを有し、当該リセットタイマの値が所定の値に達しても前記エラー検出部による画像データのエラーの検出が解消されないとき、前記画像読出制御部による画像データの読み出しを停止することが好ましい。

上記構成によれば、オペレーティングシステムのリセットに比較的長い時間を要するようなときには、同オペレーティングシステムのリセットにより画像データが正常化するまでの間は画像データの読み出しを一時的に停止させる。これにより、情報の鮮度が低くなった画像データが表示装置に出力表示される状況となることが回避される。

上記車両用画像表示システムにおいて、前記画像書込制御部及び前記画像読出制御部は、画像フレーム単位で前記画像格納部の切り替えを行うことが好ましい。
上記構成によれば、画像フレーム単位で画像格納部の切り替えを行うことにより、画像データのエラーの発生を画像フレームごとに緻密に検出することが可能となる。そのため、画像データにエラーが発生したとしても、本来の機能である相対的に信頼性の低いオペレーティングシステムの管理下で動作する車載アプリケーションによる画像データと相対的に信頼性の高い車載アプリケーションによる画像データとの重畳表示を早期に回復することが可能となる。

車両用画像表示システムの一実施の形態の概略構成を示すブロック図。 同実施の形態の車両用画像表示システムの機能構成を示すブロック図。 （ａ）、（ｂ）は正常時の画像データの信号の流れを説明するための図。 （ａ）、（ｂ）はエラー発生時の画像データの信号の流れを説明するための図。 （ａ）、（ｂ）はエラー発生時の画像データの信号の流れを説明するための図。 同実施の形態の車両用画像表示システムが画像表示処理を実行する際の情報の流れを示すシーケンスチャート。 同実施の形態の車両用画像表示システムが画像表示処理を実行する際の情報の流れを示すシーケンスチャート。

以下、車両用画像表示システムの一実施の形態について説明する。
本実施の形態の車両用画像表示システムは、互いに信頼性の異なるオペレーティングシステムの管理下で動作する複数の画像表示アプリケーションにより生成される画像データを車両に搭載された共通の表示装置に重畳表示するものである。このシステムでは、相対的に信頼性の低いオペレーティングシステムの管理下で動作する画像表示アプリケーションにより生成された画像データを２つのフレームメモリに交互に書き込むとともに、これらフレームメモリから画像データを交互に読み出す。ここで、フレームメモリに書き込まれる画像データについてはエラーの有無がその都度検出され、エラーが検出されたときには画像データの書込対象となるフレームメモリの切り替えを停止するとともに、画像データの読出対象となるフレームメモリの切り替えを停止する。これにより、エラーを発生した画像データがフレームメモリから読み出されることはなく、エラーが発生する前の時点で書き込まれた正常な画像データがフレームメモリから読み出される。そして、こうして読み出した正常な画像データを相対的に信頼性の高いオペレーティングシステムの管理下で動作する画像表示アプリケーションにより生成した画像データと合成することにより表示装置に出力表示する表示データを生成する。

はじめに、本実施の形態の車両用画像表示システムの構成について図面を参照して説明する。
図１に示すように、車両ＣＡは、２つのマイクロコンピュータ１００，２００を実装したＥＣＵ３００（電子制御装置）を備えている。第１のマイクロコンピュータ１００は、例えば車両の経路案内に関する画像表示を行うカーナビゲーションシステムや運転者との対話を通じた画像表示による情報提供を行うエージェントシステム等を通じて情報系の画像の表示を制御する。第２のマイクロコンピュータ２００は、例えば速度メータ等、車両の走行に直接係わる制御系の画像の表示を制御する。

各マイクロコンピュータ１００，２００は、ＣＰＵ１１０，２１０、ＲＯＭ１２０，２２０、ＲＡＭ１３０，２３０、Ｉ／Ｏ部１４０，２４０（入出力ポート部）が通信バスＮＷ１，ＮＷ２を介して相互に接続されている。

ＣＰＵ１１０，２１０は、ＲＯＭ１２０，２２０に記憶された各種のプログラムを実行することでマイクロコンピュータ全体の動作を制御する。こうしたプログラムの一種として、第１のマイクロコンピュータ１００のＲＯＭ１２０には情報系の画像表示アプリケーション１２１が記憶される一方で、第２のマイクロコンピュータ２００のＲＯＭ２２０には制御系の画像表示アプリケーション２２１が記憶されている。ＲＡＭ１３０，２３０は、ＲＯＭ１２０，２２０に記憶されたプログラムやデータが展開されるＣＰＵ１１０，２１０の作業メモリとなる。

また、ＲＯＭ１２０，２２０には上述した画像表示アプリケーション１２１，２２１の他、これら画像表示アプリケーション１２１，２２１の動作を管理するＯＳ（オペレーティングシステム）が記憶されている。こうしたＯＳの一種として、第１のマイクロコンピュータ１００のＲＯＭ１２０には、例えばＡＧＬ（Automotive Grade Linux（登録商標：Linux））等、オープンソースであって汎用性が高いものの信頼性は相対的に低い情報系ＯＳ１２２が記憶されている。一方、第２のマイクロコンピュータ２００のＲＯＭ２２０には、装置に特化されていて相対的に信頼性の高いリアルタイムＯＳ２２２が記憶されている。

Ｉ／Ｏ部１４０，２４０は、第１のマイクロコンピュータ１００と第２のマイクロコンピュータ２００との間を接続している。そして、Ｉ／Ｏ部１４０，２４０は、例えば情報系の画像表示アプリケーション１２１が生成した画像データを第１のマイクロコンピュータ１００から第２のマイクロコンピュータ２００に送信する等、マイクロコンピュータ１００，２００同士の各種の情報の中継を行う。また、第２のマイクロコンピュータ２００のＩ／Ｏ部２４０は、例えばヘッドアップディスプレイ装置等、車両の走行時に必要とされる各種の情報を統合して表示する表示装置４００にも接続されている。そして、第２のマイクロコンピュータ２００は、上述のように第１のマイクロコンピュータ１００から送信される情報系の画像データと、第２のマイクロコンピュータ２００が有する画像表示アプリケーション２２１により生成される制御系の画像データとを合成して表示装置４００に出力表示する。

次に、本実施の形態の車両用画像表示システムの機能構成について説明する。
図２に示すように、第１のマイクロコンピュータ１００は、画像表示アプリケーション１２１が生成した情報系の画像データを第２のマイクロコンピュータ２００の画像書込制御部２５０に送信する。このとき、情報系の画像データには、第１のマイクロコンピュータ１００の誤り検出符号生成部１５１が生成した誤り検出符号が付加される。この誤り検出符号とは、画像データのエラーの有無を判定する際に用いられる符号であり、検出方式としては例えばチェックサムデータ方式、パリティビット方式、ＢＣＣ（Block Check Character）方式、ＣＲＣ（Cyclic Redundancy Check）方式等を用いることができる。

画像書込制御部２５０は、画像表示アプリケーション１２１により生成された情報系の画像データを誤り検出符号を付した状態で第１のフレームメモリ２５１及び第２のフレームメモリ２５２に対して画像フレーム毎に交互に書き込む。また、これらフレームメモリ２５１，２５２に書き込まれた画像データは画像読出制御部２５３により画像フレーム毎に交互に読み出されて表示データ生成部２７０に出力される。

また、第２のマイクロコンピュータ２００は、画像表示アプリケーション２２１により生成された制御系の画像データを画像書込制御部２６０に出力し、画像書込制御部２６０からフレームメモリ２６１に書き込む。このとき、上述のように情報系の画像データが書き込まれるフレームメモリ２５１，２５２は複数であるのに対し、制御系の画像データが書き込まれるフレームメモリ２６１は一つのみである。そのため、画像書込制御部２５０は、情報系の画像データとは異なり、制御系の画像データの書込対象となるフレームメモリ２６１の切り替えは実行しない。そして、こうしてフレームメモリ２６１に書き込まれた画像データは画像読出制御部２６２により画像フレーム毎に読み出されて表示データ生成部２７０に出力される。

表示データ生成部２７０は、画像読出制御部２５３から入力される情報系の画像データと、画像読出制御部２６２から入力される制御系の画像データとを合成して表示データを生成する。より詳細には、表示データ生成部２７０は、各々の画像データを平面状の画素データ群に展開して画面レイヤをそれぞれ生成するとともに、それら画面レイヤを層状に重ね合わせることにより表示データを生成する。これにより、画像表示アプリケーション１２１により生成された情報系の画像データと、画像表示アプリケーション２２１により生成された制御系の画像データとが重畳表示された表示データが生成される。そして、こうして生成された表示データが表示データ生成部２７０から表示装置４００に出力表示される。

なお、情報系の画像データについては、各フレームメモリ２５１，２５２に書き込まれた画像データのエラーの有無が当該画像データに付された誤り検出符号を参照しつつエラー検出部２５４により検出される。エラー検出部２５４は、各フレームメモリ２５１，２５２に画像フレーム単位で画像データが書き込まれる毎に画像データのエラーの有無を随時監視している。そして、エラー検出部２５４は、画像データのエラーを検出したときにはその検出信号を切替制御部２５５に出力する。切替制御部２５５は、エラー検出部２５４から検出信号が入力されたときには、画像書込制御部２５０による画像データの書込対象となるフレームメモリ２５１，２５２を固定するとともに、画像読出制御部２５３による画像データの読出対象となるフレームメモリ２５１，２５２を固定する。すなわち、切替制御部２５５は、エラー検出部２５４によって画像データのエラーが検出されたときには、画像書込制御部２５０及び画像読出制御部２５３によるフレームメモリ２５１，２５２の切り替えを停止する。また、切替制御部２５５は、エラー検出部２５４による画像データのエラーの検出が解消されたときには、画像書込制御部２５０及び画像読出制御部２５３によるフレームメモリ２５１，２５２の切り替えを再開する。

具体的には、図３（ａ）に示すように、画像データにエラーが発生していない正常時には、情報系の画像データとしてＮ番目の画像フレームが第１のマイクロコンピュータ１００から第２のマイクロコンピュータ２００に入力されると、当該画像フレームは第１のフレームメモリ２５１に書き込まれる。その一方で、第２のフレームメモリ２５２からは１ステップ前の時点での画像フレームである（Ｎ−１）番目の画像フレームが読み出されて画面レイヤＧＡを構成する。そして、この画面レイヤＧＡがフレームメモリ２６１から読み出された制御系の画像データから構成される画面レイヤＧＢと層状に重ね合わされた表示データが表示装置４００に出力表示される。

続いて、図３（ｂ）に示すように、情報系の画像データとして（Ｎ＋１）番目の画像フレームが第１のマイクロコンピュータ１００から第２のマイクロコンピュータ２００に入力されると、当該画像フレームは第２のフレームメモリ２５２に書き込まれる。その一方で、第１のフレームメモリ２５１からは先の図３（ａ）に示したように１ステップ前の時点での画像フレームであるＮ番目の画像フレームが読み出されて表示装置４００に出力表示される画面レイヤＧＡを構成する。

そして以降は、図３（ａ）及び図３（ｂ）に示したように、画像データの書込及び読出の対象となるフレームメモリ２５１，２５２が交互に切り替えられつつ、制御系の画像データと合成された表示データが表示装置４００に出力表示される。

これに対し、図４（ａ）に示すように、情報系の画像データにエラーが発生した時点では、エラーの発生したＮ番目の画像フレームが第１のフレームメモリ２５１に書き込まれる。その一方で、第２のフレームメモリ２５２からは１ステップ前の時点での正常の画像フレームである（Ｎ−１）番目の画像フレームが読み出されて表示装置４００に出力表示される画面レイヤＧＡを構成する。このとき、第１のフレームメモリ２５１に書き込まれた画像フレームのエラーが検出される。これにより、画像データのエラーが解消されるまでの間は、それ以降における画像フレームの書込対象が第１のフレームメモリ２５１に固定されるとともに、画像フレームの読出対象が第２のフレームメモリ２５２に固定される。

続いて、図４（ｂ）に示すように、情報系の画像データとして（Ｎ＋１）番目の画像フレームが第１のマイクロコンピュータ１００から第２のマイクロコンピュータ２００に入力されると、当該画像フレームは先の図４（ａ）に示したように１ステップ前の時点での画像フレームであるＮ番目の画像フレームが書き込まれている第１のフレームメモリ２５１に書換更新される。その一方で、第２のフレームメモリ２５２からは先の図４（ａ）に示した時点よりも１ステップ前の時点であって画像データにエラーが発生する前の時点での正常な画像フレームである（Ｎ−１）番目の画像フレームが読み出されて表示装置４００に出力表示される画面レイヤＧＡを構成する。なお、図４（ｂ）に示した例では、書換更新される画像フレームについてもエラーの発生が継続されている。そのため、画像データの書込対象が依然として第１のフレームメモリ２５１に固定されるとともに、画像データの読出対象も依然として第２のフレームメモリ２５２に固定される。

そして次に、図５（ａ）に示すように、情報系の画像データとして（Ｎ＋２）番目の画像フレームが第１のマイクロコンピュータ１００から第２のマイクロコンピュータ２００に入力されると、当該画像フレームは先の図４（ｂ）に示したように１ステップ前の時点での画像フレームである（Ｎ＋１）番目の画像フレームが書き込まれている第１のフレームメモリ２５１に書換更新される。その一方で、第２のフレームメモリ２５２からは先の図４（ａ）に示した時点よりも１ステップ前の時点であって画像データにエラーが発生する前の時点での正常な画像フレームである（Ｎ−１）番目の画像フレームが読み出されて表示装置４００に出力表示される画面レイヤＧＡを構成する。なお、図５（ａ）に示した例では、書換更新された画像フレームについてはエラーの発生が解消されている。そのため、画像データの書込対象となるフレームメモリ２５１の固定が解除されるとともに、画像データの読出対象となるフレームメモリ２５２の固定も解除される。

続いて、図５（ｂ）に示すように、情報系の画像データとして（Ｎ＋３）番目の画像フレームが第１のマイクロコンピュータ１００から第２のマイクロコンピュータ２００に入力されると、当該画像フレームは第２のフレームメモリ２５２に書き込まれる。その一方で、第１のフレームメモリ２５１からは先の図５（ａ）に示したように１ステップ前の時点であってエラーが解消された最新の画像フレームである（Ｎ＋２）番目の画像フレームが読み出されて表示装置４００に出力表示される画面レイヤＧＡを構成する。

そして以降は、図３（ａ）及び図３（ｂ）に示したように、画像データの書込及び読出の対象となるフレームメモリ２５１，２５２が交互に切り替えられつつ、制御系の画像データと合成された表示データが表示装置４００に出力表示される。

また、図２に示すように、エラー検出部２５４は、画像データのエラー回数を計数するエラーカウンタ２５４Ａを有している。そして、エラー検出部２５４は、画像データのエラーを最初に検出した後、画像表示アプリケーション１２１から送信される最新の画像データが画像書込制御部２５０によりフレームメモリ２５１，２５２に書換更新される毎に、当該更新後の画像データのエラーの有無を検出し、エラーを検出する毎にエラーカウンタ２５４Ａの値を累積加算していく。すなわち、エラー検出部２５４のエラーカウンタ２５４Ａの値は、画像データのエラーが発生してからの経過時間を表している。そして、エラー検出部２５４は、エラーカウンタ２５４Ａの値が所定の値に達した時点で、画像データのエラーの原因が一時的な画像データの伝送エラー等ではなく、画像表示アプリケーション１２１の動作異常に起因するものであると判断して警告信号を切替制御部２５５に出力する。

切替制御部２５５は、エラー検出部２５４から警告信号が入力されると、リセット指示部２５６に駆動信号を出力する。これにより、リセット指示部２５６から第１のマイクロコンピュータ１００にリセット指令が送信されて情報系ＯＳ１２２のリセット動作が開始する。こうして情報系ＯＳ１２２のリセット動作が開始されると、画像表示アプリケーション１２１も初期化されて正常な画像データが再び第１のマイクロコンピュータ１００から第２のマイクロコンピュータ２００に入力される。そして、正常な画像データがエラーを発生していた画像データに書換更新されると、エラー検出部２５４による画像データのエラーの検出は解消される。これにより、切替制御部２５５は、画像書込制御部２５０及び画像読出制御部２５３によるフレームメモリ２５１，２５２の切り替えの停止を解除する。このとき、エラー検出部２５４は、エラーカウンタ２５４Ａの値の初期化を併せて行う。そして以降、切替制御部２５５は、エラー検出部２５４により新たな画像データのエラーが検出されるまでの間は、画像データの書込対象及び読出対象となるフレームメモリ２５１，２５２の切り替えを画像フレーム毎に交互に行う。

なお、切替制御部２５５は、情報系ＯＳ１２２のリセット動作を開始してからの経過時間を計数するリセットタイマ２５５Ａを有している。そして、切替制御部２５５は、リセット指示部２５６に駆動信号を出力した時点を開始点として、リセットタイマ２５５Ａの値を時間の経過とともに累積加算していく。このとき、切替制御部２５５は、画像表示アプリケーション１２２の初期化に伴ってエラー検出部２５４による画像データのエラーの検出が解消された時点で、リセットタイマ２５５Ａのカウントを停止して「０」にリセットする。すなわち、切替制御部２５５のリセットタイマ２５５Ａの値は、情報系ＯＳ１２２のリセット動作に要する時間を表している。そして、切替制御部２５５は、リセットタイマ２５５Ａの値が所定の値に達した時点で、情報系ＯＳ１２２のリセット動作に比較的長い時間を要すると判断し、エラー検出部２５４による画像データのエラーの検出が解消されるまでの間は、画像読出制御部２５３によるフレームメモリ２５１，２５２からの画像データの読み出しを一時的に停止させる。これにより、情報の鮮度が低くなった画像データが画像読出制御部２５３から表示装置４００に出力表示される状況となることが回避される。

次に、本実施の形態の車両用画像表示システムの動作について、特に情報系の画像データと制御系の画像データとを重畳表示する画像表示処理の処理の流れについて図６及び図７に示すシーケンスチャートを参照しつつ説明する。なお、図６は、エラー検出部２５４におけるエラーカウンタ２５４Ａの値が所定の値に到達する前の時点で画像データのエラーが解消されるときのシーケンスチャートの一例を示し、図７は、画像データのエラーが解消されないままエラー検出部２５４におけるエラーカウンタ２５４Ａの値が所定の値に到達するときのシーケンスチャートの一例を示している。

図６に示すように、この画像表示処理ではまず、画像表示アプリケーション１２１の起動に伴って情報系の画像データが生成されて画像書込制御部２５０に入力される。画像書込制御部２５０は、入力された画像データを第１のフレームメモリ２５１及び第２のフレームメモリ２５２に対して画像フレーム毎に交互に書き込む。また、画像読出制御部２５３は、これらフレームメモリ２５１，２５２に書き込まれた画像データを画像フレーム毎に交互に読み出す。

ここで、画像書込制御部２５０が第１のフレームメモリ２５１に書き込んだ画像データにエラーが発生すると、当該エラーがエラー検出部２５４により検出されてエラー検出部２５４から切替制御部２５５に検出信号が出力される。そして、切替制御部２５５は、エラー検出部２５４から検出信号が入力されたことをトリガとして画像書込制御部２５０及び画像読出制御部２５３に対して制御変更指令を送信する。すると、画像書込制御部２５０が画像データの書込対象となるフレームメモリを第１のフレームメモリ２５１に固定するとともに、画像読出制御部２５３が画像データの読出対象となるフレームメモリを第２のフレームメモリ２５２に固定する。

そして、第１のフレームメモリ２５１に書換更新される画像データのエラーが解消されるまでの間、エラー検出部２５４による画像データのエラーの検出が継続される。このとき、エラー検出部２５４は、画像データのエラーを検出する毎にエラーカウンタ２５４Ａの値を累積加算していく。なお、図６に示す例では、上述のようにエラー検出部２５４におけるエラーカウンタ２５４Ａの値が所定の値に到達する前の時点で第１のフレームメモリ２５１に書換更新される画像データのエラーが解消されている。こうして画像データのエラーが解消されると、エラー検出部２５４による画像データのエラーの検出も自ずと解消される。その結果、切替制御部２５５は、画像書込制御部２５０及び画像書込制御部２５０に対して制御変更指令を送信する。

そして以降、画像書込制御部２５０は、画像データの書込対象となるフレームメモリの固定を解除し、画像表示アプリケーション１２１から入力される最新の画像データを第１のフレームメモリ２５１及び第２のフレームメモリ２５２に対して画像フレーム毎に交互に書き込む。また、画像読出制御部２５３も、画像データの読出対象となるフレームメモリの固定を解除し、これらフレームメモリ２５１，２５２に書き込まれた画像データを画像フレーム毎に交互に読み出す。

これに対し、図７に示す例では、上述のように画像データのエラーが解消されないままエラー検出部２５４におけるエラーカウンタ２５４Ａの値が所定の値に到達している。こうしてエラー検出部２５４におけるエラーカウンタ２５４Ａの値が所定の値に到達すると、エラー検出部２５４が切替制御部２５５に対して警告信号を出力する。そして、切替制御部２５５は、エラー検出部２５４からの警告信号の入力をトリガとしてリセット指示部２５６に対して駆動信号を出力する。これにより、リセット指示部２５６から情報系ＯＳ１２２にリセット指令が送信されて情報系ＯＳ１２２及び画像表示アプリケーション１２１の再起動が開始される。

なお、切替制御部２５５は、リセット指示部２５６への駆動信号の出力と同時にリセットタイマ２５５Ａのカウントを開始する。そして、リセットタイマ２５５Ａの値が所定の値に到達すると、画像読出制御部２５３に対して制御変更指令を送信する。これにより、画像読出制御部２５３は、第２のフレームメモリ２５２からの画像データの読み出しを一時的に停止する。

そして以降、画像表示アプリケーション１２１の再起動に伴って第１のフレームメモリ２５１に書換更新される画像データのエラーが解消されると、画像書込制御部２５０は、画像表示アプリケーション１２１から入力される最新の画像データを第１のフレームメモリ２５１及び第２のフレームメモリ２５２に対して画像フレーム毎に交互に書き込む。また、画像読出制御部２５３は、これらフレームメモリ２５１，２５２に書き込まれた画像データを画像フレーム毎に交互に読み出す。

以上説明したように、本実施の形態によれば、以下に示す効果を得ることができる。
（１）切替制御部２５５は、相対的に信頼性の低い情報系ＯＳ１２２の管理下で動作する画像表示アプリケーション１２１により生成される画像データにエラーが発生し、当該エラーがエラー検出部２５４によって検出されたとき、画像書込制御部２５０及び画像読出制御部２５３によるフレームメモリ２５１，２５２の切り替えを停止するようにしている。これにより、エラーが検出されなかったときの正常な画像データが画像読出制御部２５３により読み出される。そのため、エラーの発生により画像の乱れを生じた画像データが、相対的に信頼性の高いリアルタイムＯＳ２２２の管理下で動作する画像表示アプリケーション２２１により生成される画像データに重畳されることを抑制しつつ、当該画像表示アプリケーション２２１により生成される画像データを継続して表示することができる。

（２）切替制御部２５５は、画像データのエラーが解消されたとき、画像書込制御部２５０及び画像読出制御部２５３によるフレームメモリ２５１，２５２の切り替えを再開するようにしている。これにより、エラーが検出されなかったときの正常な画像データに連続するかたちで、エラーの解消により正常化した最新の画像データを表示装置４００に出力表示することができる。

（３）切替制御部２５５は、エラー検出部２５４におけるエラーカウンタ２５４Ａの値が所定の値に達したとき、相対的に信頼性の低い情報系ＯＳ１２２をリセットするようにしている。これにより、情報系ＯＳ１２２の管理下で動作する画像表示アプリケーション１２１の動作に何らかの異常が生じて当該画像表示アプリケーション１２１による画像データが長期間に亘って更新されない状況となることを回避できる。

（４）切替制御部２５５は、リセットタイマ２５５Ａの値が所定の値に達してもエラー検出部２５４による画像データのエラーの検出が解消されないとき、画像読出制御部２５３による相対的に信頼性の低い画像表示アプリケーション１２１により生成される画像データの読み出しを停止するようにしている。すなわち、情報系ＯＳ１２２のリセットに比較的長い時間を要するようなときには、画像表示アプリケーション１２１の初期化により画像データが正常化するまでの間は画像データの読み出しを一時的に停止するようにしている。これにより、情報の鮮度が低くなった画像データが表示装置４００に出力表示される状況となることを回避できる。

（５）画像書込制御部２５０及び画像読出制御部２５３は、画像フレーム単位でフレームメモリ２５１，２５２の切り替えを行うようにしている。これにより、画像データのエラーの発生を画像フレームごとに緻密に検出することが可能となる。そのため、画像データにエラーが発生したとしても、本来の機能である相対的に信頼性の低い情報系ＯＳ１２２の管理下で動作する画像表示アプリケーション１２１による情報系の画像データと相対的に信頼性の高いリアルタイムＯＳ２２２の管理下で動作する画像表示アプリケーション２２１による制御系の画像データとの重畳表示を早期に回復することが可能となる。

（６）相対的に信頼性の高いリアルタイムＯＳ２２２の管理下で各種のプログラムを動作させる第２のマイクロコンピュータ２００が画像書込制御部２５０として機能するようにしている。これにより、相対的に信頼性の低い情報系ＯＳ１２２の管理下で各種のプログラムを動作させる第１のマイクロコンピュータ１００が画像書込制御部として機能する場合と比較して、画像データの書込対象となるフレームメモリの切り替えをより一層高い信頼性をもって実行することが可能となる。

（７）切替制御部２５５は、エラー検出部２５４におけるエラーカウンタ２５４Ａの値が所定の値に到達する前の時点で画像データのエラーが解消されたとき、情報系ＯＳ１２２のリセットを行うことなく、画像書込制御部２５０及び画像読出制御部２５３によるフレームメモリ２５１，２５２の切り替えを再開するようにしている。これにより、情報系ＯＳ１２２のリセット動作の実行頻度が抑えられるため、高いリアルタイム性をもって表示装置４００を通じた画像データの出力表示を行うことが可能となる。

なお、上記実施の形態は、以下のような形態にて実施することもできる。
・上記実施の形態においては、画像読出制御部２５３及び画像書込制御部２５０は、画像フレーム単位でフレームメモリ２５１，２５２の切り替えを行うようにした。これに代えて、画像読出制御部２５３及び画像書込制御部２５０は、複数の画像フレームを単位としてフレームメモリ２５１，２５２の切り替えを行うようにしてもよい。

・上記実施の形態においては、切替制御部２５５は、リセットタイマ２５５Ａの値が所定の値に達してもエラー検出部２５４による画像データのエラーの検出が解消されないときには、画像読出制御部２５３によるフレームメモリ２５１，２５２からの画像データの読み出しを一時的に停止するようにした。ただし、情報系の画像データが時間の経過に関わらず情報の鮮度が低下しにくい画像データであれば、画像表示アプリケーション１２１のリセットが開始されてからの経過時間を計数するためのリセットタイマ２５５Ａを省略するようにしてもよい。この場合、画像読出制御部２５３は、画像表示アプリケーション１２１のリセット動作が完了するまでの間、情報系の画像データを継続して読み出すこととなる。

・上記実施の形態においては、切替制御部２５５は、エラー検出部２５４におけるエラーカウンタ２５４Ａの値が所定の値に到達する前の時点で画像データのエラーが解消されたとき、情報系ＯＳ１２２のリセットを行うことなく、画像書込制御部２５０及び画像読出制御部２５３によるフレームメモリ２５１，２５２の切り替えを再開するようにした。これに代えて、切替制御部２５５は、エラー検出部２５４において画像データのエラーが検出された時点で情報系ＯＳ１２２のリセットを直ちに開始し、情報系ＯＳ１２２のリセット動作が完了した時点で画像書込制御部２５０及び画像読出制御部２５３によるフレームメモリ２５１，２５２の切り替えを再開するようにしてもよい。

・上記実施の形態においては、情報系の画像データを書き込むフレームメモリ２５１，２５２の個数が２つである場合を例に挙げて説明した。ただし、フレームメモリの個数は複数であればよく、３つ以上であってもよい。

・上記実施の形態においては、第１のマイクロコンピュータ１００及び第２のマイクロコンピュータ２００を共通のＥＣＵ３００に実装するようにした。これに代えて、これらマイクロコンピュータ１００，２００を別々のＥＣＵに実装するようにしてもよい。

・上記実施の形態においては、重畳表示される画像データの組み合わせとして、情報系の画像データと制御系の画像データとを重畳表示するようにした。ただし、重畳表示される画像データの組み合わせはこれに限られない。要は、互いに信頼性の異なるオペレーティングシステムの管理下で動作する複数の画像表示アプリケーションにより生成される画像データの組み合わせであればよい。

１００…第１のマイクロコンピュータ、１１０…ＣＰＵ、１２０…ＲＯＭ、１２１…画像表示アプリケーション、１２２…情報系ＯＳ、１３０…ＲＡＭ、１４０…Ｉ／Ｏ部、２００…第２のマイクロコンピュータ、２１０…ＣＰＵ、２２０…ＲＯＭ、２２１…画像表示アプリケーション、２２２…リアルタイムＯＳ、２３０…ＲＡＭ、２４０…Ｉ／Ｏ部、３００…ＥＣＵ、４００…表示装置、ＣＡ…車両、ＮＷ１，ＮＷ２…通信バス。

Claims (2)

1. 互いに信頼性の異なるオペレーティングシステムの管理下で動作する複数の車載アプリケーションにより生成される画像データを車両に搭載された共通の表示装置に重畳表示させる車両用画像表示システムであって、
   相対的に信頼性の低いオペレーティングシステムの管理下で動作する車載アプリケーションにより生成される画像データを複数の画像格納部に順に切り替えつつ書き込む画像書込制御部と、
   前記複数の画像格納部に格納された画像データを順に切り替えつつ読み出す画像読出制御部と、
   前記画像読出制御部により読み出される画像データと相対的に信頼性の高いオペレーティングシステムの管理下で動作する車載アプリケーションにより生成される画像データとを合成して表示データを生成する表示データ生成部と、
   前記複数の画像格納部に格納された各画像データのエラーの有無を検出するエラー検出部と、
   前記エラー検出部によって前記画像データのエラーが検出されたとき、前記画像書込制御部及び前記画像読出制御部による前記画像格納部の切り替えを停止する切替制御部とを備え、
   前記エラー検出部はエラー回数を計数するエラーカウンタを有し、
   前記切替制御部は、前記オペレーティングシステムのリセットが開始されてからの経過時間を計数するリセットタイマを有し、
   前記切替制御部は、前記エラーカウンタの値が所定の値に達したとき、前記相対的に信頼性の低いオペレーティングシステムをリセットし、前記リセットタイマの値が所定の値に達しても前記エラー検出部による画像データのエラーの検出が解消されないとき、前記画像読出制御部による画像データの読み出しを停止する
   ことを特徴とする車両用画像表示システム。
2. 前記画像書込制御部及び前記画像読出制御部は、画像フレーム単位で前記画像格納部の切り替えを行う
   請求項１に記載の車両用画像表示システム。