JP6277943B2 - 車両用運転支援装置 - Google Patents

Description

本発明は、車両用運転支援装置に関する。

従来、車両の運転支援を実行する車両用運転支援装置が知られている（例えば、特許文献１参照）。上記した特許文献１記載の運転支援装置は、複数の制御装置又はセンサに通信バスを介して接続される電子制御ユニットを備えている。この電子制御ユニットは、制御装置又はセンサから通信バスを介して供給される情報（例えば、車速情報や車間距離情報など）に基づいて運転支援制御（例えば、衝突防止制御などの制御）を実行する。

特開２０１１−１３１７６２号公報

上記の如き運転支援装置において、運転支援制御の有用性を高めるためには、複数の制御装置又はセンサの何れかに信号途絶や故障判定閾値超えなどの故障が生じても、故障が生じていない残りの制御装置又はセンサからの情報のみで運転支援制御を継続してバックアップできることが好ましい。しかし、バックアップにより故障が生じていない制御装置又はセンサからの情報のみで運転支援制御が実行される場合は、すべての情報で運転支援制御が実行される場合に比べて、外部インタフェースを介して通信バス上の情報が攻撃された場合の耐性が低下するので、その運転支援制御の系をよりセキュアに保つことが必要である。

本発明は、上述の点に鑑みてなされたものであり、制御装置又はセンサが故障した場合に、運転支援制御をよりセキュアに保ちつつ継続することが可能な車両用運転支援装置を提供することを目的とする。

本発明の一態様は、外部機器と外部インタフェースを介して接続可能でありかつ複数の制御装置又はセンサのうち少なくとも一つが接続される車内通信インフラに接続され、複数の前記制御装置又はセンサから供給される情報に基づいて自車両の運転支援制御を実行する運転支援装置であって、前記制御装置又はセンサに故障が生じているか否かを判別する故障判別部と、前記故障判別部により前記制御装置又はセンサに故障が生じていると判別され、かつ、前記車内通信インフラを介して接続される前記制御装置又はセンサに故障が生じていないものが含まれる場合に、故障が生じていない前記制御装置又はセンサから供給される情報に基づいて前記運転支援制御の実行を継続すると共に、前記車内通信インフラを経由した情報授受のセキュリティガードレベルを、前記故障判別部により前記制御装置又はセンサに故障が生じていないと判別される場合に比して上げる故障時対応部と、を備える車両用運転支援装置である。

本発明によれば、制御装置又はセンサが故障した場合に、運転支援制御をよりセキュアに保ちつつ継続することができる。

本実施例の車両用運転支援装置を含む車載システムの構成図である。 本実施例の車載システムの一例を表した図である。 本実施例の車両用運転支援装置において実行される制御ルーチンの一例のフローチャートである。 本実施例におけるバックアップ手段の起動状態と情報セキュリティのガードレベルとの関係を表した図である。 本発明の変形例におけるバックアップ手段の起動状態と情報セキュリティのガードレベルとの関係を表した図である。

以下、図面を用いて、本発明に係る車両用運転支援装置の具体的な実施の形態について説明する。

図１は、本実施例の車両用運転支援装置１０を含む車載システム１２の構成図を示す。本実施例の車載システム１２は、車両用運転支援装置１０を構成する電子制御ユニット（以下、ＥＣＵ−Ａ１０と称す。）と、他の装置を構成する電子制御ユニット（以下、ＥＣＵ−Ｂ１４と称す。）と、センサ１６と、アクチュエータ１８と、ゲートウェイ装置２０と、外部インタフェース２２と、を含む、車両に搭載されたシステムである。

ＥＣＵ−Ａ１０及びＥＣＵ‐Ｂ１４はそれぞれ、マイクロコンピュータを主体に構成されており、中央演算処理装置（ＣＰＵ）やＲＡＭ，ＲＯＭなどを有している。ＥＣＵ−Ａ１０は、自車両の運転を支援する制御（以下、運転支援制御と称す。）を実行する装置である。ＥＣＵ−Ａ１０は、例えば電動パワーステアリングを実現するための制御を実行するＥＰＳ−ＥＣＵやエコラン制御を実行するエコランＥＣＵなどである。また、ＥＣＵ−Ｂ１４は、少なくともＥＣＵ−Ａ１０が運転支援制御を実行するうえで必要な情報を生成することが可能な装置である。ＥＣＵ−Ｂ１４は、例えば、ＥＣＵ−Ａ１０が上記のＥＰＳ−ＥＣＵである場合はステアリングの自動操舵を含む自車両の駐車を支援する駐車アシスト制御を実行するＩＰＡ−ＥＣＵなどであり、或いは、ＥＣＵ−Ａ１０が上記のエコランＥＣＵである場合はエンジン制御を実行するエンジンＥＣＵやブレーキ制御を実行するブレーキＥＣＵなどである。

ＥＣＵ−Ａ１０とＥＣＵ−Ｂ１４とは、通信インフラ２４を介して互いに接続されている。通信インフラ２４は、車内に設けられた例えばＣＡＮ（Controller Area Network）などの車内ＬＡＮ（Local Area Network）であって、端末間で情報の授受を行うことが可能となるように構成されている。ＥＣＵ−Ａ１０とＥＣＵ−Ｂ１４とは、相互に通信インフラ２４を介して情報を授受することが可能である。特に、ＥＣＵ−Ｂ１４は、ＥＣＵ−Ａ１０の実行する運転支援制御に必要な生成した情報を通信インフラ２４を介してＥＣＵ−Ａ１０へ供給することが可能である。ＥＣＵ−Ａ１０は、ＥＣＵ―Ｂ１４から供給される情報を取得することができる。

通信インフラ２４には、ゲートウェイ装置２０が接続されている。ゲートウェイ装置２０には、外部機器が接続され得る外部インタフェース２２が設けられている。この外部機器は、ナビゲーション装置や外部診断装置などであって、少なくとも外部インタフェースを介して通信インフラ２４に接続されて、その通信インフラ２４に接続するＥＣＵ１０，１２を含む各種装置との間で情報の授受を行うことが可能な機器である。ゲートウェイ装置２０は、通信インフラ２４側と外部機器との間で授受される情報を中継する装置である。通信インフラ２４は、ゲートウェイ装置２０及び外部インタフェース２２を介して外部機器と接続可能なグローバルな通信バスである。以下、通信インフラ２４をグローバル通信インフラ２４と称す。

ＥＣＵ−Ａ１０には、通信インフラ２６を介してセンサ１６が接続されている。センサ１６は、少なくともＥＣＵ−Ａ１０が運転支援制御を実行するうえで必要な情報を生成することが可能なセンサであって、例えば、ＥＣＵ−Ａ１０が上記のＥＰＳ−ＥＣＵである場合はステアリングに生じているトルクに応じたトルク信号を出力するステアリングトルクセンサなどである。

通信インフラ２６は、車内に設けられた例えばＬＩＮ（Local Interconnect Network）などの車内ＬＡＮやジカ線などであって、センサ１６からＥＣＵ−Ａ１０への情報供給が可能となるように構成されている。通信インフラ２６は、グローバル通信インフラ２４とは異なり、外部機器と接続することが不可能なローカルな通信バスである。以下、通信インフラ２６をローカル通信インフラ２６と称す。ローカル通信インフラ２６は、グローバル通信インフラ２４から分離されているので、そのグローバル通信インフラ２４に比べてセキュアである。センサ１６の出力する信号は、ローカル通信インフラ２６を介してＥＣＵ−Ａ１０に供給される。ＥＣＵ−Ａ１０は、センサ１６から供給される信号に基づいて、その信号が示す情報を取得することができる。

ＥＣＵ−Ａ１０には、また、アクチュエータ１８が接続されている。アクチュエータ１８は、運転支援制御を実現するために用いられるモータやバルブなどの物理機構である。ＥＣＵ−Ａ１０は、センサ１６からローカル通信インフラ２６を介して取得した情報、及び、ＥＣＵ−Ｂ１４からグローバル通信インフラ２４を介して取得した情報に基づいて、アクチュエータ１８を用いて自車両の運転支援制御を実行する。アクチュエータ１８は、ＥＣＵ−Ａ１０からの指令に従って作動される。

以下、図２〜図４を参照して、本実施例のＥＣＵ−Ａ１０において実行される制御について説明する。

図２は、本実施例の車載システム１２の一例を表した図を示す。図３は、本実施例のＥＣＵ−Ａ１０において実行される制御ルーチンの一例のフローチャートを示す。尚、この制御ルーチンは、所定周期ごとに繰り返し実行されるルーチンである。また、図４は、本実施例におけるバックアップ手段の起動状態と情報セキュリティのガードレベルとの関係を表した図を示す。

本実施例において、ＥＣＵ−Ａ１０は、センサ１６の系統すなわちローカル通信インフラ２６を介して接続されるセンサ１６に故障が生じているか否かを判別する機能を有している。このセンサ１６の故障は、例えば、ローカル通信インフラ２６を介して供給される信号が途絶することや、その信号が故障判定用に設定された閾値を超えること、その信号が異常値を示すこと、などを含む。

ＥＣＵ−Ａ１０は、車両のパワースイッチ又はイグニションスイッチのオン中、上記機能を用いてセンサ１６に上記の故障が生じているか否かの判別を行う（ステップ１００）。その結果、センサ１６に故障が生じていないと判別した場合は、後述のバックアップ手段を起動させることなく、通常どおり、そのセンサ１６からのローカル通信インフラ２６を介した信号に基づく情報と、ＥＣＵ−Ｂ１４からのグローバル通信インフラ２４を介した情報と、に基づいて、自車両の運転支援制御を実行する（ステップ１１０）。

この通常の運転支援制御の実行中すなわちセンサ１６の非故障時は、ＥＣＵ−Ａ１０がグローバル通信インフラ２４を介して情報を受信する際、その情報授受のセキュリティガードレベルが"Ｌｏｗ"に設定されて、ＥＣＵ−Ｂ１４がグローバル通信インフラ２４に対して送信する情報の中に含まれる認証子が使用されない。このため、ＥＣＵ−Ａ１０がグローバル通信インフラ２４を介してＥＣＵ−Ｂ１４からの情報を受信して上記の運転支援制御を実行するうえでその情報に含まれる認証子の認証を行わないので、処理負荷の軽減を図ることができる。

また、仮に、情報授受のセキュリティガードレベルが"Ｌｏｗ"に設定されているときに外部から外部インタフェース２２を介した攻撃（図１や図２に破線矢印で示す方向への攻撃）が行われると、グローバル通信インフラ２４に流れる情報が書き換えられ易くなり、運転支援制御が乗っ取られるおそれがある。尚、この「攻撃」とは、グローバル通信インフラ２４に流れる情報の完全性や可用性に関わる改ざんやなりすまし，ＤｏＳ（Denial of Service attack）などである。しかし、かかる事態が生じても、ローカル通信インフラ２６を介したセンサ１６からの情報に基づいて運転支援制御が実行されるので、すなわち、センサ１６からの情報がセキュリティガード信号として使えるので、外部インタフェース２２を介した外部からの攻撃に対する耐性は確保される。

例えば、図２に示す如く、ＥＣＵ−Ａ１０が上記のＥＰＳ−ＥＣＵ１０ａであり、ＥＣＵ−Ｂ１４が上記のＩＰＡ−ＥＣＵ１４ａであり、センサ１６がステアリングトルクセンサ１６ａであり、かつ、アクチュエータ１８がＥＰＳモータ１８ａである構成では、ステアリングトルクセンサ１６ａに故障が生じていないと判別された場合、ＥＰＳ−ＥＣＵ１０ａは、ステアリングトルクセンサ１６ａから供給されるトルク信号に基づくトルク値と、ＩＰＡ−ＥＣＵ１４ａから供給されるＩＰＡ制御信号と、に基づいて、ＥＰＳモータ１８ａを用いた運転支援制御を実行する。

具体的には、ＩＰＡ−ＥＣＵ１４ａは、車体後部に取り付けられたカメラの映像と、自車両のステアリング操舵角や車速などの車両状態と、に基づいて、目標駐車位置へ自車両を駐車させるために必要な自車両の目標操舵角などを示す信号（ＩＰＡ制御信号）を生成すると共に、その生成したＩＰＡ制御信号をグローバル通信インフラ２４を介してＥＰＳ−ＥＣＵ１０ａへ供給する。

ＥＰＳ−ＥＣＵ１０ａは、ＩＰＡ−ＥＣＵ１４ａからグローバル通信インフラ２４を介して供給されるＩＰＡ制御信号を受信する。但し、ＥＰＳ−ＥＣＵ１０ａは、ステアリングトルクセンサ１６ａの非故障判定時、このＩＰＡ制御信号の受信に際しての情報授受のセキュリティガードレベルを"Ｌｏｗ"に設定して、そのＩＰＡ制御信号の中に含まれる認証子を使用しない。そして、ＥＰＳ−ＥＣＵ１０ａは、その受信したＩＰＡ制御信号に従って、自車両に発生させるべき目標の操舵角などを実現するようにＥＰＳモータ１８ａに対して制御指令を発する。ＥＰＳモータ１８ａは、ＥＰＳ−ＥＣＵ１０ａからの制御指令に従って駆動される。この場合、自車両は、ＥＰＳモータ１８ａの駆動により自動操舵される。

かかる処理によれば、ステアリングトルクセンサ１６ａの非故障時、ＥＰＳ−ＥＣＵ１０ａが実行する自車両の運転支援制御として、ＩＰＡ−ＥＣＵ１４ａからのＩＰＡ制御信号に基づいて目標駐車位置へ自車両を駐車させる駐車支援制御を行うことができる。また、この駐車支援制御の実行中は、情報授受のセキュリティガードレベルが"Ｌｏｗ"に設定されて、ＩＰＡ制御信号の中に含まれる認証子が使用されないので、その駐車支援制御を大きな処理負荷をかけることなく実現することができる。

また、ＥＰＳ−ＥＣＵ１０ａは、ステアリングトルクセンサ１６ａの非故障判定時は、上記の駐車支援制御の実行中、ステアリングトルクセンサ１６ａからのトルク信号に基づいて、自車両の運転者がステアリングホイールに触れてそのステアリングホイールを操作する意図があるか否かを判別する。その結果、例えばトルク信号が所定閾値未満のトルクを示すものである場合はその意図がないと判別し、一方、トルク信号が所定閾値以上のトルクを示すものである場合はその意図があると判別する（介入操舵判定）。そして、ステアリングホイールの操作意図があると判別した場合は、運転者に実行中の駐車支援制御に介入して自車両を操舵させる意図がある「介入あり」として、この駐車支援制御の実行を停止する介入制御を実行する。この場合、自車両は、駐車支援制御の実行を停止して、運転者のステアリングホイールの操作により操舵される。

かかる処理によれば、ステアリングトルクセンサ１６ａの非故障時、ＥＰＳ−ＥＣＵ１０ａが実行する自車両の運転支援制御として、ステアリングトルクセンサ１６ａからのトルク信号に基づいて介入操舵判定を行うことで、上記の駐車支援制御を停止させるか否かを判定する介入制御を行うことができる。このため、駐車支援制御を実行するうえで、外部インタフェース２２を介した外部からの攻撃に対する耐性を確保することができる。

また、ＥＣＵ−Ａ１０は、上記ステップ１００においてセンサ１６に故障が生じていると判別した場合は、そのセンサ１６からの情報を用いることなく運転支援制御を継続させるバックアップ手段を起動させる（ステップ１２０）。

具体的には、ＥＣＵ−Ａ１０は、センサ１６に故障が生じていると判別すると、まず、グローバル通信インフラ２４を介してゲートウェイ装置２０に対して外部インタフェース２２をグローバル通信インフラ２４から分離するように指令を発する。ゲートウェイ装置２０は、ＥＣＵ−Ａ１０からかかる指令を受信すると、外部インタフェース２２をグローバル通信インフラ２４から分離させる。かかる分離が行われると、外部機器から外部インタフェース２２を介してグローバル通信インフラ２４への情報の供給が遮断されるので、グローバル通信インフラ２４がセキュアに保たれる。

次に、ＥＣＵ−Ａ１０は、ＥＣＵ−Ｂ１４の系統すなわちグローバル通信インフラ２４を介して接続されるＥＣＵ−Ｂ１４に故障が生じているか否かを判別する。このＥＣＵ−Ｂ１４の故障は、例えば、ＩＰＡ制御信号が途絶することや故障判定用に設定された閾値を超えること、異常値を示すこと、などを含む。その結果、ＥＣＵ−Ｂ１４に故障が生じていると判別する場合は、上記のバックアップ手段を起動させない一方、ＥＣＵ−Ｂ１４に故障が生じていないと判別する場合は、上記のバックアップ手段を起動させる判定を行う。

ＥＣＵ−Ａ１０は、上記の如くバックアップ手段を起動させる判定を行った場合すなわちセンサ１６に故障が生じていると判別しかつＥＣＵ−Ｂ１４に故障が生じていないと判別した場合は、バックアップ手段の起動として、ＥＣＵ−Ｂ１４からのグローバル通信インフラ２４を介した情報に基づいて、自車両の運転支援制御を実行する。

このバックアップの運転支援制御の実行中すなわちセンサ１６の故障時は、ＥＣＵ−Ａ１０がグローバル通信インフラ２４を介して情報を受信する際の情報授受のセキュリティガードレベルが"Ｈｉ"に設定されて、ＥＣＵ−Ｂ１４がグローバル通信インフラ２４に対して送信する情報の中に含まれる認証子が使用される。このため、ＥＣＵ−Ａ１０がグローバル通信インフラ２４を介してＥＣＵ−Ｂ１４からの情報を受信して上記の運転支援制御を実行することができる。また、その運転支援制御を実行するうえでその情報に含まれる認証子の認証を行うので、グローバル通信インフラ２４に流れる情報を書換え難くなり、外部インタフェース２２を介した外部からの攻撃に対する耐性を向上させることができ、運転支援制御を乗っ取りし難くなる。

尚、上記の如く認証子の使用が開始された後は、ＥＣＵ−Ａ１０は、グローバル通信インフラ２４を介してゲートウェイ装置２０に対して外部インタフェース２２とグローバル通信インフラ２４との接続を許可するように指令を発することとしてもよい。この場合、ＥＣＵ−Ａ１０又はＥＣＵ−Ｂ１４は、外部インタフェース２２を介して外部機器と通信することが可能となる。

例えば、図２に示す如き構成では、ステアリングトルクセンサ１６ａに故障が生じていると判別された場合、ＥＰＳ−ＥＣＵ１０ａは、ＩＰＡ−ＥＣＵ１４ａから供給されるＩＰＡ制御信号に基づいて、ＥＰＳモータ１８ａを用いた運転支援制御を実行する。

具体的には、ＥＰＳ−ＥＣＵ１０ａは、ＩＰＡ−ＥＣＵ１４ａからグローバル通信インフラ２４を介して供給されるＩＰＡ制御信号を受信する。但し、ＥＰＳ−ＥＣＵ１０ａは、ステアリングトルクセンサ１６ａの故障判定時、このＩＰＡ制御信号の受信に際しての情報授受のセキュリティガードレベルを"Ｈｉ"に設定して、そのＩＰＡ制御信号の中に含まれる認証子を使用する。そして、ＥＰＳ−ＥＣＵ１０ａは、グローバル通信インフラ２４を介して受信した信号からＩＰＡ制御信号に含まれるべき認証子を認証できる場合は、通常どおり、その受信信号から抽出されるＩＰＡ制御信号に従って、自車両に発生させるべき目標の操舵角などを実現するようにＥＰＳモータ１８ａに対して制御指令を発する。ＥＰＳモータ１８ａは、ＥＰＳ−ＥＣＵ１０ａからの制御指令に従って駆動される。この場合、自車両は、ＥＰＳモータ１８ａの駆動により自動操舵される。

一方、ＥＰＳ−ＥＣＵ１０ａは、グローバル通信インフラ２４を介して受信した信号からＩＰＡ制御信号に含まれるべき認証子を認証できない場合は、ＥＰＳモータ１８ａへの制御指令を発せず、自動操舵を行わない。但し、この場合、自車両は、運転者のステアリング操作により操舵されることが可能である。

かかる処理によれば、ステアリングトルクセンサ１６ａの故障時も、ＥＰＳ−ＥＣＵ１０ａが実行する自車両の運転支援制御として、ＩＰＡ−ＥＣＵ１４ａからのＩＰＡ制御信号に基づいて目標駐車位置へ自車両を駐車させる駐車支援制御を継続して行うことができる。また、この駐車支援制御の実行中は、情報授受のセキュリティガードレベルが"Ｈｉ"に設定されて、ＩＰＡ制御信号の中に含まれる認証子が使用されるので、外部から外部インタフェース２２を介したグローバル通信インフラ２４への攻撃に対する耐性を向上させることができ、運転支援制御としての駐車支援制御をセキュアに保つことができる。

従って、本実施例の車両用運転支援装置１０であるＥＣＵ−Ａ１０によれば、センサ１６（ステアリングトルクセンサ１６ａ）が故障した場合に、運転支援制御（駐車支援制御）をよりセキュアに保ちつつ継続することが可能である。

尚、上記の実施例においては、ＥＣＵ−Ａ１０及びＥＰＳ−ＥＣＵ１０ａが特許請求の範囲に記載した「車両用運転支援装置」に、ＥＣＵ−Ｂ１４及びＩＰＡ−ＥＣＵ１４ａが特許請求の範囲に記載した「制御装置」に、センサ１６及びステアリングトルクセンサ１６ａが特許請求の範囲に記載した「センサ」に、グローバル通信インフラ２４が特許請求の範囲に記載した「車内通信インフラ」に、ＥＣＵ−Ａ１０及びＥＰＳ−ＥＣＵ１０ａが図３に示すルーチン中ステップ１００の処理を実行することが特許請求の範囲に記載した「故障判別部」に、ＥＣＵ−Ａ１０及びＥＰＳ−ＥＣＵ１０ａがステップ１２０の処理を実行することが特許請求の範囲に記載した「故障時対応部」に、それぞれ相当している。

ところで、上記の実施例においては、車両用運転支援装置であるＥＣＵ−Ａ１０に、制御装置又はセンサとして、センサ１６及びＥＣＵ−Ｂ１４の２つの対象が接続される。しかし、本発明はこれに限定されるものではなく、制御装置又はセンサとして３つ以上の対象がＥＣＵ−Ａ１０に接続されるものであってもよい。

また、上記の実施例においては、ＥＣＵ−Ａ１０とＥＣＵ−Ｂ１４とを接続させるグローバル通信インフラ２４に外部インタフェース２２が接続され得る。しかし、本発明はこれに限定されるものではなく、外部インタフェース２２がＥＣＵ−Ａ１０に直接に接続されるものであってもよい。

また、上記の実施例においては、センサ１６が故障した場合、グローバル通信インフラ２４を介した情報に基づく運転支援制御を実行するうえでの情報授受のセキュリティガードレベルを"Ｈｉ"に設定し、そのセキュリティガードレベルの"Ｈｉ"として、ＥＣＵ−Ｂ１４がグローバル通信インフラ２４に対して送信する情報の中に含まれる認証子をＥＣＵ−Ａ１０での受信や運転支援制御の実行に使用することとしている。しかし、本発明はこれに限定されるものではなく、上記した情報授受のセキュリティガードレベルの"Ｈｉ"として、ＥＣＵ−Ｂ１４がグローバル通信インフラ２４に対して送信する情報の中に署名や証明書を含め、ＥＣＵ−Ａ１０がグローバル通信インフラ２４からの情報受信や運転支援制御の実行にその署名や証明書を使用することとしてもよい。或いは、それらの認証子や署名，証明書の暗号強度を高くし或いは鍵長を長くすることとしてもよい。また、上記した情報授受のセキュリティガードレベルの"Ｈｉ"として、上記した項目のうち複数を行うものであってもよい。

また、上記の実施例においては、車両用運転支援装置であるＥＣＵ―Ａ１０に、ローカル通信インフラ２６を介して接続するセンサ１６に故障が生じているか否かを判別させ、運転支援制御のバックアップ手段を起動させるか否かを決定させることとしている。しかし、本発明はこれに限定されるものではなく、ＥＣＵ−Ａ１０に、ローカル通信インフラを介して接続する他のＥＣＵに故障が生じているか否かを判別させ、運転支援制御のバックアップ手段を起動させるか否かを決定させることとしてもよい。

また、上記の実施例においては、センサ１６に故障が生じているか否かに応じて、バックアップ手段を起動と停止とに制御することとし、情報授受のセキュリティガードレベルを"Ｈｉ"と"Ｌｏ"とに２段階で切り替えることとしている。しかし、本発明はこれに限定されるものではなく、図５に示す如く、センサ１６の故障レベルや複数の対象それぞれの故障有無に応じて、バックアップ手段の起動を複数に分けることとし、情報授受のセキュリティガードレベルを３段階以上のレベルで切り替えることとしてもよい。この場合、ＥＣＵ−Ａ１０がグローバル通信インフラ２４からの情報受信や運転支援制御の実行に用いる情報授受のセキュリティガードレベルとして、ＥＣＵ−Ｂ１４がグローバル通信インフラ２４に対して送信する情報の中に含まれる認証子や署名，証明書などを複数組み合わせることとすればよい。

また、上記の実施例においては、センサ１６が故障した場合、情報授受のセキュリティガードレベルを"Ｈｉ"に設定した後に、ゲートウェイ装置２０による外部インタフェース２２の分離を解除することとしている。しかし、本発明はこれに限定されるものではなく、情報授受のセキュリティガードレベルを"Ｈｉ"に設定した後に、ゲートウェイ装置２０による外部インタフェース２２の分離を継続することとしてもよい。また、情報授受のセキュリティガードレベルの"Ｈｉ"として、ゲートウェイ装置２０による外部インタフェース２２の分離を含めることとしてもよい。

例えば、情報授受のセキュリティガードレベルが変更される際、その変更を示す情報がＥＣＵ−Ａ１０からグローバル通信インフラ２４を介してＥＣＵ−Ｂ１４へ通知されることがある。この通知情報が外部から外部インタフェース２２を介した攻撃に利用されると、ＥＣＵ−Ａ１０とＥＣＵ−Ｂ１４との間で同じロジックを使用しない期間に一時的に通信が不成立（ＤｏＳ）となるおそれがある。かかる通信の脆弱性を回避して外部からの攻撃を避けるためには、ゲートウェイ装置２０による外部インタフェース２２の分離を情報セキュリティのガードレベルの"Ｈｉ"として設定するのが有効である。

更に、上記の実施例においては、運転支援制御の一例として、図２に示す如く、ＥＣＵ−Ａ１０が上記のＥＰＳ−ＥＣＵ１０ａであり、ＥＣＵ−Ｂ１４が上記のＩＰＡ−ＥＣＵ１４ａであり、センサ１６がステアリングトルクセンサ１６ａであり、かつ、アクチュエータ１８がＥＰＳモータ１８ａである構成に適用される、ＥＰＳを用いた駐車支援制御及び介入制御を挙げた。しかし、本発明はこれに限定されるものではなく、ＥＣＵ−Ａ１０がエコランＥＣＵであり、ＥＣＵ−Ｂ１４がエンジンＥＣＵ又はブレーキＥＣＵであり、センサ１６がエンジンフード開閉センサであり、かつ、アクチュエータ１８がエンジン又はブレーキである構成に適用されるエコラン制御を、運転支援制御の一例として挙げることとしてもよい。

１０ 車両用運転支援装置（ＥＣＵ−Ａ）
１０ａ ＥＰＳ−ＥＣＵ
１２ 車載システム
１４ ＥＣＵ−Ｂ
１４ａ ＩＰＡ−ＥＣＵ
１６ センサ
１６ａ ステアリングトルクセンサ
１８ アクチュエータ
１８ａ ＥＰＳモータ
２０ ゲートウェイ装置
２２ 外部インタフェース
２４ グローバル通信インフラ
２６ ローカル通信インフラ

Claims (2)

1. 外部機器と外部インタフェースを介して接続可能でありかつ複数の制御装置又はセンサのうち少なくとも一つが接続される車内通信インフラに接続され、複数の前記制御装置又はセンサから供給される情報に基づいて自車両の運転支援制御を実行する運転支援装置であって、
   前記制御装置又はセンサに故障が生じているか否かを判別する故障判別部と、
   前記故障判別部により前記制御装置又はセンサに故障が生じていると判別され、かつ、前記車内通信インフラを介して接続される前記制御装置又はセンサに故障が生じていないものが含まれる場合に、故障が生じていない前記制御装置又はセンサから供給される情報に基づいて前記運転支援制御の実行を継続すると共に、前記車内通信インフラを経由した情報授受のセキュリティガードレベルを、前記故障判別部により前記制御装置又はセンサに故障が生じていないと判別される場合に比して上げる故障時対応部と、
   を備えることを特徴とする車両用運転支援装置。
2. 前記故障時対応部は、前記情報授受の際に認証子の認証を行うこと又は前記外部インタフェースと前記車内通信インフラとを分離させることにより、前記セキュリティガードレベルを上げることを特徴とする請求項１記載の車両用運転支援装置。

Images