JP2015140038A - 車載制御装置 - Google Patents

Abstract

【課題】外部装置が汎用外部装置であっても法規モードを確実に実行することができる車載制御装置を提供する。
【解決手段】車載制御装置１００は、外部装置５が法規モードを要求した場合は当該外部装置５が汎用外部装置であっても通信を許可する。これにより、法規モードの通信は可能となり、正規外部装置を持っていなくても修理・確認に必要な情報を汎用外部装置に出力できる。また、意図しないメーカ独自モードの要求を制限することで重要なデータの誤消去を防ぐことができる。
【選択図】図１

Description

本発明は、外部装置からの要求に応じて所定の動作を実行する車載制御装置に関する。

例えば診断ツール（ダイアグテスタ）のような外部装置が車載制御装置に接続された場合に、外部装置が例えば情報センタに登録されたものかを認証する必要がある。このように外部装置が情報センタとの通信接続を制御するための技術として、例えば特許文献１では、外部装置の接続時、外部装置と情報センタとの間でデータ通信により認証すると同時に車両と情報センタでデータ通信を行い、車両に接続された外部装置がサーバに登録されていない場合は不正な外部装置として通信接続を禁止するようにしている。

特開２０１３−１３８３２０号公報

ところで、特許文献１のものは、診断ツールである正規の外部装置（以下、正規外部装置）のみ車載制御装置と通信が可能であり、パソコン、スマートフォン等の汎用の外部装置（以下、汎用外部装置）との通信を禁止することにより全て要求を禁止している。このため、必ず実行することが要求される動作に関する法規モードを汎用外部装置が車載制御装置に要求した場合であっても、車載制御装置が汎用外部装置と通信することはなく、汎用外部装置を使用した車両制御装置の検査に支障を生じる虞がある。

本発明は上記事情に鑑みてなされたもので、その目的は、外部装置が汎用外部装置であっても法規モードを確実に実行することができる車載制御装置を提供することにある。

請求項１の発明によれば、車載制御装置は法規モードの通信は可能であることから、汎用外部装置が法規モードを要求した場合は法規モードを実行可能となる。これにより、正規外部装置を持っていなくても修理・確認等に必要となる法規モードを実行して情報を汎用外部装置に出力したり、意図しないメーカ独自モードの要求を制限することで例えば重要なデータの誤消去を防止したりすることができる。

第１実施形態における車載制御装置を示すブロック図 車載制御装置の動作を示すフローチャート 第２実施形態における車載制御装置のメイン動作を示すフローチャート 車載制御装置によるメーカ独自１回目処理を示すフローチャート 車載制御装置によるメーカ独自２回目処理を示すフローチャート 情報センタの動作を示すフローチャート

（第１実施形態）
以下、本発明の第１実施形態について図１及び図２を参照して説明する。
図１に示すように、エンジンを制御するエンジン制御ＥＣＵ、カーエアコンを制御するエアコン制御ＥＣＵ、ブレーキの作動を制御するブレーキ制御ＥＣＵ等の車載制御装置１００は、車両の状態を検出する各種センサ１からセンサ信号を入力する入力回路１０１、通信入出力回路１０２、マイクロコンピュータ（以下、マイコン。通信制御手段に相当）１０３、マイコン１０３の処理結果を記憶する例えばＥＥＰＲＯＭ、フラッシュメモリ等の不揮発性メモリ１０４（記憶手段に相当）、メインリレー制御回路１０５を備えて構成されている。
各種センサ１は、車載制御装置が例えばエンジンＥＣＵの場合はエンジンパワートレインに設置されており、エアフロメータ、カムポジションセンサ、クランクポジションセンサ、水温センサ、スロットルポジションセンサ、車速センサ等である。

イグニッションスイッチ２からのオン信号、或いは例えば外部からの要求に応じてマイコン１０３から出力されるオン信号はＯＲ回路１０６を介してメインリレー制御回路１０５に出力される。メインリレー制御回路１０５は、オン信号を入力した場合はメインリレー３をオンする、メインリレー３は車両バッテリ４と接続されており、オン状態で車載制御装置１００の電源電圧端子１０７に車両バッテリから給電する。尚、電気自動車のようにイグニッションスイッチ２を有していない車両の場合には、車載制御装置１００に電源を供給するスイッチが対象となる。

通信入出力回路１０２は、外部装置５と第１通信線６を介してデータ通信することで外部装置５とマイコン１０３との間の通信を制御したり、車両位置取得部７及び無線通信機８と第２通信線９を介してデータ通信（ＣＡＮ（Controller Area Network）通信）することで車両位置取得部７及び無線通信機８とマイコン１０３との間の通信を制御したりする。

外部装置５は例えば正規の診断ツール（正規外部装置に相当）で、車載制御装置１００を車両に搭載した状態で例えば不揮発性メモリ１０４に記憶されているダイアグコードを対話形式でデータ通信可能となっている。つまり、マイコン１０３は、外部装置５からのコマンドに応じて不揮発性メモリ１０４からダイアグコードを読出して外部装置５に出力する。

一方、第１通信線６には、外部装置５として例えばパソコン、スマートフォン等（汎用外部装置に相当）を接続可能となっている。
車両位置取得部７は現在の車両位置を認識するための情報を得る装置で、ＧＰＳ受信機、加速度センサ、ジャイロセンサなどから構成されている。自車位置を取得する手段としては、これらすべてを備える必要はなく、例えばＧＰＳ受信機だけで構成することもできるし、外部から車両位置情報を受信することで認識する構成を採用することも可能である。

無線通信機８は例えばＤＣＭ（Data Communication Module）と称されるもので、例えば移動体通信網及びインターネット等の通信ネットワーク１０を介して情報センタ２００との間で通信（所謂テレマティクス通信）を行うことでテレマティクスサービスにて提供される各種の情報及びサービスを受けることができるようになっている。車両のユーザは、会員登録することによって、情報センタ２００からの各種のテレマティクスサービスを受けることができる。テレマティクスサービスとしては、交通情報の配信、エアバッグ作動時や盗難時等の緊急通報、店舗検索のアドバイス情報等である。

外部装置５としては正規外部装置と汎用外部装置がある。正規外部装置は車載制御装置１００に登録された外部装置で、外部装置固有の識別情報（以下、正規外部装置ＩＤ）が車載制御装置１００に登録されている。マイコン１０３は、外部装置５から要求があった場合は、外部装置５から外部装置ＩＤを読取って認証することにより当該外部装置５との通信を許可する。

マイコン１０３は、車載制御装置１００としての周知の動作に加えて外部装置５からの要求に応じて動作するようになっている。外部装置５からの要求としては、法規モードとメーカ独自モードがある。法規モードは修理・確認に必要な情報を出力したり、情報を消去したりするためのモードで、パワートレインデータ出力機能やパワートレインダイアグ情報消去機能等がある。この法規モードは、車載制御装置１００が必ず実行することが要求されるモードである。一方、メーカ独自モードは、各メーカが独自に設定して車載制御装置１００に対して要求するモードで、ＥＥＰＲＯＭ書換機能や強制駆動機能等がある。マイコン１０３は、外部装置５が不揮発性メモリ１０４に登録（記憶）されている正規外部装置の場合は、法規モード或いはメーカ独自モードに拘わらずに外部装置５との通信を許可する。これに対して、後述するように外部装置５が汎用外部装置の場合は、法規モードは外部装置５との通信を許可し、メーカ独自モードは外部装置５との通信を制限する。

さて、例えば車両の不具合のためにユーザが車両をディーラに持込むと、ディーラの作業者は診断ツールを第１通信線６に接続し、車載制御装置１００に対して対話形式で各種要求することにより故障診断を行う。ここで、ディーラが診断ツールを所有していない場合は診断機能アプリケーションが搭載された例えばパソコン、スマートフォン等の汎用外部装置を第１通信線６に接続する。この診断機能アプリケーションは、汎用外部装置が正規外部装置と同一の診断動作を実行するためのものである。

マイコン１０３は、外部装置５からの各種要求に応じて動作する。この場合、マイコン１０３は、外部装置５からの要求が法規モードかメーカ独自モードか、或いは外部装置５が正規外部装置か汎用外部装置かによって外部装置５との通信の許可／抑制する通信制御動作を実行する。

以下、マイコン１０３による外部装置５との通信制御動作について説明する。マイコン１０３は、図２に示すように、外部装置５から要求があったときは（Ｓ１０１：ＹＥＳ）、そのモードが法規モードかメーカ独自モードかを判断する（Ｓ１０２）。法規モードの場合は（Ｓ１０２：法規モード）、外部装置５の種類に拘わらず通信許可／制限の判断は実施することなく外部装置５との通信を許可する（Ｓ１０６）。これに対して、メーカ独自モードの場合は（Ｓ１０２：メーカ独自モード）、正規外部装置が接続されたかを判断する。具体的には、外部装置５から暗号化された外部装置ＩＤを受信し（Ｓ１０３）、外部装置ＩＤを受信できたかを判断する（Ｓ１０４）。外部装置ＩＤを正常に受信できた場合は（Ｓ１０４：ＹＥＳ）、外部装置ＩＤが不揮発性メモリ１０４に登録されているかを判断し（Ｓ１０５）、登録されていない場合は（Ｓ１０５：ＮＯ）、外部装置５との通信を制限し（Ｓ１０７）、登録されている場合は（Ｓ１０５：ＹＥＳ）、外部装置５との通信を許可する（Ｓ１０６）。
以上のようにして、ディーラの作業者は、汎用外部装置を用いて車載制御装置１００に対して所望の法規モードを要求して実行させることができる。

このような実施形態によれば、次のような効果を奏することができる。
車載制御装置１００は、外部装置５が法規モードを要求した場合は当該外部装置５が汎用外部装置であっても通信を許可するようにしたので、法規モードの通信は可能となり、正規外部装置を持っていなくても修理・確認に必要な情報を汎用外部装置に出力したり、意図しないメーカ独自モードの要求を制限することで重要なデータの誤消去を防止したりすることができる。
外部装置５を車載制御装置１００に接続した場合に車載制御装置１００が外部装置５を認証するため、作業中に外部装置５を外すことが多いディーラなどの利便性がよい。

（第２実施形態）
次に本発明の第２実施形態について図１、図３から図６を参照して説明する。この第２実施形態は情報センタ２００にて外部装置５を認証することを特徴とする。つまり、情報センタ２００は上述したようにテレマティクスサービスを行うものであるが、本実施形態では、正規外部装置ＩＤをサーバ２０１に登録しておき、外部装置５から要求があった場合に外部装置５から外部装置ＩＤを読取って認証することにより外部装置５との通信を許可する認証機能を有する。

車載制御装置１００のマイコン１０３は、図３に示すように、外部装置５から要求があった場合は（Ｓ２０１：ＹＥＳ）、モードが法規モードかメーカ独自モードかを判断する（Ｓ２０２）。法規モードの場合は（Ｓ２０２：法規モード）、外部装置５との通信を許可し（Ｓ２０６）、メーカ独自モードの場合は（Ｓ２０２：メーカ独自モード）、その要求が１回目かを判断する（Ｓ２０３）。１回目とは、ディーラに持込まれた車両に正規外部装置或いは汎用外部装置が接続されてから初めてという意味である。このような判断は、外部装置５からメーカ独自モード要求があった日時を記憶し、メーカ独自モード要求が当日において最初か否かを判断することで可能となる。

マイコン１０３は、メーカ独自モード要求が１回目の場合は（Ｓ２０３：ＹＥＳ）、メーカ独自モード要求１回目処理を実行する（Ｓ２０４）。即ち、図４に示すように、外部装置５から暗号化された外部装置ＩＤを受信するように動作する（Ｓ３０１）。車載制御装置１００に汎用外部装置が接続されている場合は、汎用外部装置から外部装置ＩＤを正常に受信できない場合がある。このように外部装置ＩＤが受信できないということは当該外部装置５は外部装置ＩＤが登録されていない汎用外部装置であると判断できる。従って、情報センタ２００への通信処理は不要であるとして、情報センタ２００と通信することなく外部装置５との通信を制限し（Ｓ３０８）、外部装置５との通信許可履歴無を不揮発性メモリ１０４に保存する（Ｓ３０９）。一方、外部装置５から外部装置ＩＤを受信できた場合は（Ｓ３０２：ＹＥＳ）、情報センタ２００に暗号化した外部装置ＩＤを送信する（Ｓ３０３）。

情報センタ２００のサーバ２０１は、図６に示すように、車載制御装置１００から外部装置ＩＤを受信した場合は（Ｓ５０１：ＹＥＳ）、サーバ２０１に登録されている正規外部装置ＩＤと車載制御装置１００から受信した外部装置ＩＤとを比較して一致するかを判断する（Ｓ５０２）。一致しない場合は（Ｓ５０２：ＮＯ）、車載制御装置１００に通信制限を通知し（Ｓ５０４）、一致した場合は（Ｓ５０２：ＹＥＳ）、通信許可を通知する（Ｓ５０３）。

車載制御装置１００のマイコン１０３は、図４に示すように、情報センタ２００から通信許可／通信制限を受信したかを判断しており（Ｓ３０４）、通信制限を受信した場合は（Ｓ３０５：ＮＯ）、外部装置５との通信を制限し（Ｓ３０８）、外部装置５との通信許可履歴無を不揮発性メモリ１０４に保存する（Ｓ３０９）。一方、通信許可を受信した場合は（Ｓ３０５：ＹＥＳ）、外部装置５との通信を許可し（Ｓ３０６）、外部装置５との通信許可履歴有を不揮発性メモリ１０４に保存する（Ｓ３０７）。

ディーラの作業員が汎用外部装置に対する操作よりメーカ独自モードを再度要求すると、車載制御装置１００は、図３に示すように、２回目のメーカ独自モードであると判断し（Ｓ２０２：メーカ独自モード、Ｓ２０３：ＮＯ）、メーカ独自モード要求２回目処理を実行する（Ｓ２０５）。

車載制御装置１００は、メーカ独自モード要求２回目処理を実行する場合は、図５に示すように、外部装置５から通信許可解除要求があるかを判断する（Ｓ４０１）。通信許可解除要求が無い場合は（Ｓ４０１：ＮＯ）、外部装置５から暗号化された外部装置ＩＤを受信するように動作し（Ｓ４０２）、外部装置ＩＤを受信できなかったときは（Ｓ４０３：ＮＯ）、外部装置５との通信を制限し（Ｓ４０７）、外部装置５との通信許可履歴無を不揮発性メモリ１０４に保存する（Ｓ４０８）。

一方、外部装置ＩＤを受信できたときは（Ｓ４０３：ＹＥＳ）、通信許可履歴が有り、且つ所定条件を満たしているかを判断する（Ｓ４０４）。所定条件とは、前回の通信許可履歴有を保存してから所定時間以内のことである。尚、所定条件としては、前回の通信許可履歴有を保存してからイグニッションスイッチ２のＯＮ／ＯＦＦ回数（電源投入回数に相当）が所定回数以内であること、或いは現在の車両位置が前回の通信許可履歴有を保存したときの車両位置と同一であること等でもよい。

通信許可履歴が無いか、或いは所定条件を満たしていない場合は（Ｓ４０４：ＮＯ）、外部装置５との通信を制限し（Ｓ４０７）、外部装置５との通信履歴無を不揮発性メモリ１０４に保存する（Ｓ４０８）。つまり、通信許可履歴が有っても所定時間を超えた場合、或いは所定時間以内であっても通信許可履歴が無い場合は、外部装置５との通信を制限するのである。

一方、通信許可履歴が有り、且つ所定条件を満たしている場合は（Ｓ４０４：ＹＥＳ）、外部装置５との通信を許可し（Ｓ４０５）、外部装置５との通信許可履歴有を不揮発性メモリ１０４に保存する（Ｓ４０６）。つまり、ディーラでは作業上、何回もモード要求するため、１度認証できた外部装置５は、２回目以降の認証を省いて通信を許可することで、要求の度に情報センタ２００へ通信することが無くなり利便性向上に繋がる。この場合、所定条件を満たしているという制約を加えることで、意図しない外部装置５の使用を回避することができ、第三者に外部装置５を持ち出された場合であっても許可を無効化できる。

ディーラの作業員は、作業を終了する場合は、外部装置５に対して通信許可解除を指令する。すると、外部装置５から車載制御装置１００に対して通信許可解除が要求されるので、マイコン１０３は、通信許可解除指令を要求されたときは（Ｓ４０１：ＹＥＳ）、外部装置５との通信履歴無を不揮発性メモリ１０４に保存する（Ｓ４０９）。これにより、外部装置５が第三者に不正に接続された場合のセキュリティを高めることができる。

このような実施形態によれば、次のような効果を奏することができる。
情報センタ２００のサーバ２０１にて正規外部装置ＩＤのデータベースを持つことで、車両に繋がっている外部装置５が正規外部装置なのか汎用外部装置なのかをメーカ側独自で判断できる。

ディーラで通信許可を解除できることで、意図せずに認証許可状態が不用意に継続してしまうことを防止できる。
外部装置５を車載制御装置１００に接続した場合に情報センタ２００が外部装置５を認証するため、作業中に外部装置５を外すことが多いディーラなどの利便性がよい。
正規／汎用外部装置の判断するために外部装置５と情報センタ２００、車載制御装置１００と情報センタ２００の２系統で通信する構成に比較して、外部装置５と接続するまでの時間を大幅に短縮することできる。

（その他の実施形態）
本発明は、上記実施形態に限定されることなく、次のように変形または拡張したり、各変形例を上記実施形態と組合せたり、各変形例を組合せるようにしてもよい。

本実施形態では、外部装置５からメーカ独自モード要求があったときに、外部装置５が正規外部装置か汎用外部装置かを判断するようにしたが、外部装置５からのメーカ独自モード要求前、例えば外部装置５との通信開始時に外部装置５が正規外部装置か汎用外部装置かを判断するようにしてもよい。このように外部装置５と車載制御装置１００の通信開始時に正規／汎用を判断することでモード要求以外の意図しない通信に対してセキュリティを高めることができる。

第２実施形態において、外部装置ＩＤを受信できたかに代えて、外部装置５のツールバージョンが最新かを判断するようにしてもよい。これは、ディーラでは常に最新の外部装置バージョンを使用しており、最新でない場合は正規外部装置ではないと判断できるためである。この場合、ディーラの正規外部装置が古いバージョンの場合は意図しない動作を防ぐために正規外部装置でないと判断する。
第２実施形態のステップＳ４０４において、所定条件を省略し、通信許可履歴有かのみを判断するようにしてもよい。

図面中、５は外部装置、１００は車載制御装置、１０３はマイコン（通信制御手段）、１０４は不揮発性メモリ（記憶手段）、２００は情報センタである。

Claims (12)

1. 外部装置（５）から所定の動作を実行することが要求された場合に当該外部装置が登録されている正規の外部装置（以下、正規外部装置）のときは、必ず実行することが要求される動作に関する法規モード或いはメーカが独自に設定した動作に関するメーカ独自モードに拘わらず正規外部装置と通信を許可する通信制御手段（１０３）を備えた車載制御装置（１００）において、
   前記通信制御手段は、外部装置からメーカ独自モードが要求された場合に当該外部装置が正規外部装置以外の汎用の外部装置（以下、汎用外部装置）であったときは当該汎用外部装置との接続を制限し、法規モードが要求された場合は外部装置が汎用外部装置であっても当該汎用外部装置との接続を許可することを特徴とする車載制御装置。
2. 外部装置が正規外部装置の場合は正規外部装置固有の識別情報が当該正規外部装置に記憶されており、
   前記通信制御手段は、正規外部装置固有の識別情報が記憶された記憶手段（１０４）を備え、外部装置から受信した識別情報が前記記憶手段に記憶されていた場合は当該外部装置は正規外部装置であると判断し、登録されていない場合は当該外部装置は汎用外部装置であると判断することを特徴とする請求項１記載の車載制御装置。
3. 前記通信制御手段は、外部装置から所定の動作を要求された場合は情報センタ（２００）と通信し、外部装置が情報センタに登録されている場合は当該外部装置は正規外部装置であると判断し、登録されていない場合は当該外部装置は汎用外部装置であると判断することを特徴とする請求項１記載の車載制御装置。
4. 外部装置が正規外部装置の場合は当該正規外部装置固有の識別情報が当該正規外部装置及び情報センタに記憶されており、
   前記通信制御手段は、外部装置から受信した識別情報が情報センタに登録されていた場合は当該外部装置は正規外部装置であると判断し、登録されていない場合は当該外部装置は汎用外部装置であると判断することを特徴とする請求項３記載の車載制御装置。
5. 前記通信制御手段は、外部装置から識別情報を受信できない場合は当該外部装置は汎用外部装置であると判断して情報センタとの通信を制限することを特徴とする請求項４記載の車載制御装置。
6. 外部装置が正規外部装置の場合は、識別情報として外部装置バージョン情報が記憶されており、
   前記通信制御手段は、外部装置から受信した外部装置バージョン情報が最新の場合は当該外部装置は正規外部装置であると判断し、最新でない場合は当該外部装置は汎用外部装置であると判断することを特徴とする請求項４又は５記載の車載制御装置。
7. 前記通信制御手段は、外部装置を情報センタで認証した場合は通信許可履歴無に代えて通信許可履歴有を前記記憶手段に記憶し、２回目以降の通信時に前記記憶手段に通信許可履歴有が記憶されていた場合は、情報センタと通信することなく外部装置との通信を許可することを特徴とする請求項３から６の何れか一項に記載の車載制御装置。
8. 前記通信制御手段は、外部装置との通信を許可する場合は前回の通信許可から所定時間以内であることを条件とすることを特徴とする請求項７記載の車載制御装置。
9. 前記通信制御手段は、外部装置との通信を許可する場合は前回の通信許可からの電源投入回数が所定回数以内であることを条件とすることを特徴とする請求項７記載の車載制御装置。
10. 前記通信制御手段は、外部装置との通信を許可する場合は車両位置が前回の通信許可時と同一であることを条件とすることを特徴とする請求項７記載の車載制御装置。
11. 前記通信制御手段は、外部装置から通信許可解除が要求された場合は、前記記憶手段に記憶されている通信許可履歴有に代えて通信許可履歴無を記憶することを特徴とする請求項７から１０の何れか一項に記載の車載制御装置。
12. 前記通信制御手段は、外部装置から要求されるのに先立って当該外部装置が正規外部装置か汎用外部装置かを判断することを特徴とする請求項１から１１の何れか一項に記載の車載制御装置。

Images