JP6434287B2

JP6434287B2 - 車両制御システム

Info

Publication number: JP6434287B2
Application number: JP2014239526A
Authority: JP
Inventors: 良和石井; 欽也藤本
Original assignee: Hitachi Automotive Systems Ltd
Current assignee: Hitachi Astemo Ltd
Priority date: 2014-11-27
Filing date: 2014-11-27
Publication date: 2018-12-05
Anticipated expiration: 2034-11-27
Also published as: JP2016101766A

Description

本発明は、車両制御システムに関する。

車載通信ネットワークでは、自動車に搭載された制御用コンピュータ（車両用制御装置）であるＥＣＵ（ＥｌｅｃｔｒｏｎｉｃＣｏｎｔｒｏｌＵｎｉｔ）が相互に情報通信を行っている（例えば、特許文献１参照）。特許文献１には、車載装置を相互に接続する車載通信ネットワークと該車載通信ネットワークに外部装置を接続するためのコネクタとの間に配置され、前記外部装置と前記車載装置との通信を中継するゲートウェイ装置が記載されている。

特開２０１３−１３５３１１号公報

特許文献１に開示されるような技術では、不正な外部ツールから、正規のツールと同一の識別子（ＩＤ）による通信を行った場合、なりすまし行為をされる恐れがある。例えば、ＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）通信により、同一のＩＤのデータを送信することで、当該ＩＤのデータを受信するＥＣＵに対して不正なデータを送信された場合などに、このような事態が想定される。

一方、エンジン制御装置などの車両用制御装置は、様々な車両用装置を制御している。例えば、エンジン制御装置は、アクセルセンサから出力された信号に基づいて目標スロットル開度を演算し、実スロットル開度が目標スロットル開度になるようにスロットルモータを制御する。車両用制御装置の制御は、車両の走行に影響を与えるため、なりすまし行為による不正な制御を防止することが要請される。

本発明の目的は、不正な制御を未然に防止し、信頼性を向上することができる車両制御システムを提供することにある。

上記目的を達成するために、本発明の一例の車両制御システムは、車両用装置の制御量を演算する第１の演算部と、前記制御量を第１のプロトコルに基づく第１の通信ネットワークを介して第２の制御装置へ送信する第１の送信部と、前記制御量を第２のプロトコルに基づく第２の通信ネットワークを介して前記第２の制御装置へ送信する第２の送信部と、を備える第１の制御装置と、前記第１の送信部から前記制御量を受信する第１の受信部と、前記第２の送信部から前記制御量を受信する第２の受信部と、前記第１の受信部が受信した前記制御量を示す第１の受信値と前記第２の受信部が受信した前記制御量を示す第２の受信値が異なるか否かを判定する第１の判定部と、前記第１の受信値と前記第２の受信値が異なる場合、少なくとも前記第１の受信値を破棄する破棄部と、を備える第２の制御装置と、を含む車両制御システムであって、前記第１の送信部は、所定の周期で前記第１の演算部によって演算された前記制御量を前記第２の制御装置へ送信し、前記第２の制御装置は、前記第１の受信値を受信する周期が前記所定の周期と異なるか否かを判定する第２の判定部をさらに備え、前記破棄部は、前記第１の受信値と前記第２の受信値が同じであり、かつ、前記第１の受信値を受信する周期が前記所定の周期と異なる場合、少なくとも前記第１の受信値を破棄するようにしたものである。

本発明によれば、不正な制御を未然に防止し、信頼性を向上することができる。上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

本発明の第1の実施形態によるエンジン制御装置、ハイブリッド制御装置を含む車両制御システムの構成図である。本発明の第1の実施形態によるエンジン制御装置、ハイブリッド制御装置の構成図である。本発明の第1の実施形態によるエンジン制御装置の処理を示すフローチャートの例である。本発明の第1の実施形態によるハイブリッド制御装置の処理を示すフローチャートの例である。本発明の第２の実施形態によるエンジン制御装置、ハイブリッド制御装置の構成図である。本発明の第２の実施形態によるハイブリッド制御装置の処理を示すフローチャートの例である。本発明の第３の実施形態によるエンジン制御装置、ハイブリッド制御装置の構成図である。本発明の第４の実施形態によるエンジン制御装置、ハイブリッド制御装置の構成図である。

以下、図面を用いて本発明の第１〜第４の実施形態によるエンジン制御装置及びハイブリッド制御装置の構成及び動作を説明する。
（第１の実施形態）
最初に、図１を用いて、車両制御システムのハードウェア構成を説明する。図１は、本発明の第１の実施形態によるエンジン制御装置６、ハイブリッド制御装置１０を含む車両制御システムの構成図である。

車両制御システムには、燃料の燃焼によってトルクを発生するエンジン１、クラッチ機構２、駆動軸に連結するモータ３、モータを駆動するインバータ（電力変換装置）４、バッテリ５、アクセルセンサ１１、スロットルセンサ１２、スロットルモータ（スロットル装置）１３、インジェクター（燃料噴射装置）１４、点火装置１５および、それらを制御する、エンジン制御装置６、クラッチ制御装置７、モータ制御装置８、バッテリ制御装置９、が搭載される。

さらに、車両制御システムには、これらの制御装置６〜９へ指令を出すハイブリッド制御装置１０が搭載される。各制御装置６〜１０は、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）やＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）等を備えて構成され、あらかじめ定められた制御プログラムにしたがって信号処理を行う。

また、各制御装置は、通信線１００を介して種々の情報を送受信する。通信線１００は、ＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）プロトコルに基づくネットワークを構成する。一方、前記エンジン制御装置６及び前記ハイブリッド制御装置１０は、通信線２００を介して種々の情報を送受信する。通信線２００は、ＬＩＮ（ＬｏｃａｌＩｎｔｅｒｃｏｎｎｅｃｔＮｅｔｗｏｒｋ）プロトコルに基づくネットワークを構成する。

前記エンジン制御装置１は、前記アクセルセンサ１１、前記スロットルセンサ１２からアクセル開度、スロットル開度などの入力に基づき、前記スロットルモータ１３、前記インジェクター１４、前記点火装置１５を制御する。具体的には、目標スロットル開度や燃料噴射量、点火時期などが制御されることにより、運転状態に応じてエンジンの出力が制御される。

前記モータ３は、モータあるいはジェネレータとして機能する。具体的には、モータ３は、加速時にはハイブリッド制御装置１０からの信号に基づいてモータ３として機能し、制動時にはジェネレータとして機能してバッテリ５に回生電力を供給し蓄電する。

すなわち、インバータ４は、モータ制御装置８からの指令に基づきバッテリ５からの直流電力を交流電力に変換し、力行時に交流電力をモータ３に供給する。交流電力によりモータ３の固定子に回転磁界が形成され、モータ３の回転子が回転する。また、インバータ４は、回生時に、モータ制御装置８からの指令に基づきモータ３で発電された交流電力を直流電力に変換し、直流電力をバッテリ５に供給する。この直流電力によりバッテリ５が充電される。

なお、バッテリ５に蓄積された電気エネルギは、モータ３用の電力として用いられるほか、ＤＣ−ＤＣコンバータなどを介してエアコンなどの補機類の電力としても用いられる。

次に、図２を用いて、本発明をエンジン制御装置６、ハイブリッド制御装置１０に適用した場合の構成の一例を説明する。図２は、本発明の第１の実施形態によるエンジン制御装置６、ハイブリッド制御装置１０の構成図である。エンジン制御装置６とハイブリッド制御装置１０はＣＡＮ通信で通信線１００を介して接続され、ＬＩＮ通信で通信線２００を介して接続されている。

エンジン制御装置６は、演算部２０、送信部２１、送信部２２を備えている。演算部２０は、エンジン制御装置６の外部からの値を入力とし演算を行い、送信部２１及び送信部２２に同一の演算結果を出力する。外部からの入力値は、例えば、アクセルセンサ１１からのアクセル開度などである。すなわち、演算部２０は、外部からの入力値に基づいて、車両用装置の制御量（例えば、目標スロットル開度や燃料噴射量、点火時期など）を演算する。

送信部２１は、演算部２０の演算結果を入力とし、ＩＤ、演算部２０の演算結果などを含むＣＡＮフレームを、通信線１００を介してエンジン制御装置６の外部へ送信する。すなわち、送信部２１は、演算部２０の演算結果をハイブリッド制御装置１０の受信部２３へ送信する。

なお、ＣＡＮ通信では、２本の通信線の電圧差により通信を行うため、外部ノイズの影響を受けにくい。また、ＣＡＮ通信は後述するＬＩＮ通信よりも通信速度が高速である。

一方、送信部２２は、演算部２０の演算結果を入力とし、ＩＤ、演算部２０の演算結果などを含むＬＩＮフレームを、通信線２００を介してエンジン制御装置６の外部へ送信する。すなわち、送信部２２は、演算部２０の演算結果をハイブリッド制御装置１０の受信部２４へ送信する。

なお、ＬＩＮ通信では、１本の通信線で通信を行うため、ＣＡＮ通信に比べて低コストであり、配線スペースが少なくて済む。

ハイブリッド制御装置１０は、受信部２３、受信部２４、演算部２５、診断部２６を備えている。受信部２３は、ハイブリッド制御装置１０の外部からの値を入力としている。すなわち、受信部２３は、エンジン制御装置６の送信部２１から送信された値を、第１の受信値として受信する。

一方、受信部２４は、ハイブリッド制御装置１０の外部からの値を入力としている。すなわち、受信部２４は、エンジン制御装置６の送信部２２から送信された値を、第２の受信値として受信する。演算部２５は、受信部２３が受信した第1の受信値を入力とし、ハイブリッド制御装置１０の外部への出力値（制御用パラメータ）を演算する。外部への出力値は、例えば、モータ制御装置８への目標トルクなどである。

診断部２６は、受信部２３で受信した第１の受信値、受信部２４で受信した第２の受信値を入力とし、両者を比較することで異常判定を行う。異常であると判定した場合、受信部２３からの第１の受信値を破棄するよう演算部２５へ指令を送る。

なお、破棄とは、データを捨てることを意味する。例えば、メモリ等に記憶されたデータを削除したり、メモリ等に記憶されたデータを利用しないようにフラグを設定したりすることがデータの破棄に該当する。つまり、データが利用されないように処理がなされていればよい。

ここで、ハイブリッド制御装置１０（診断部２６）は、受信部２３が受信した制御量を示す第１の受信値と受信部２４が受信した制御量を示す第２の受信値が異なるか否かを判定する判定部として機能する。

また、ハイブリッド制御装置１０（診断部２６、演算部２５）は、第１の受信値と第２の受信値が異なる場合、少なくとも第１の受信値を破棄する破棄部として機能する。

ハイブリッド制御装置１０（演算部２５）は、制御用パラメータをＣＡＮの通信ネットワークを介して他の制御装置（６〜９）に送信するパラメータ送信部として機能する。

モータ制御装置８は、制御用パラメータを受信するパラメータ受信部として機能する。また、モータ制御装置８は、力行時にエンジンをアシストし回生時に発電するモータ３に接続されたインバータ４を、制御用パラメータに応じて制御する制御部として機能する。

次に、図３を用いて、エンジン制御装置６の動作を説明する。図３は、本発明の第１の実施形態によるエンジン制御装置６の処理を示すフローチャートの例である。

ステップＳ１０では、演算部２０は、エンジン制御装置６の外部からの値を入力とし、制御値（制御量）を演算する。ステップＳ１１では、送信部２１は、演算部２０の出力値を入力とし、演算部２０の演算結果（制御値）をハイブリッド制御装置１０の受信部２３へ、ＣＡＮ通信で通信線１００を介して送信する。ステップＳ１２では、送信部２２は、演算部２０の出力値を入力とし、演算部２０の演算結果をハイブリッド制御装置１０の受信部２４へ、ＬＩＮ通信で通信線２００を介して送信する。

次に、図４を用いて、ハイブリッド制御装置１０の動作を説明する。図４は、本発明の第１の実施形態によるハイブリッド制御装置１０の処理を示すフローチャートの例である。

ステップＳ２０では、受信部２３は、エンジン制御装置６の送信部２１から第１の受信値を受信する。ステップＳ２１では、受信部２４は、エンジン制御装置６の送信部２２から第２の受信値を受信する。ステップＳ２２では、診断部２６は、受信部２３で受信した第１の受信値と、受信部２４で受信した第２の受信値を比較する。比較結果が異なる場合、ステップＳ２３に処理を進める。比較結果が同一の場合、ステップＳ２３を行わずに処理を進める（終了）。ステップＳ２３では、診断部２６は、エンジン制御装置６の送信部２１から受信した第１の受信値を破棄する。

つまり、エンジン制御装置６から同一の値を異なるプロトコルで受信し、受信した値に差異がある場合、診断部２６は、受信した値を異常と判断し破棄する。

上記の方法により、不正な外部ツールから送信された不正なデータを受信した場合に、受信したデータが不正であることを検知し破棄することが可能となる。

ここで、ハイブリッド制御装置１０（診断部２６）は、第１の受信値及び第２の受信値が同一の場合、受信した値がエンジン制御装置６からの正常な値であると判定し、第１の受信値及び第２の受信値に差異がある場合、異常な値と判定する判定部として機能する。

上記実施形態では、受信したデータが不正であると判定した場合に破棄する例を説明したが、これに限定せず、例えば不正なデータを検知したことを運転者に通知する構成に本発明を適用しても良い。

上記実施形態では、通信装置が２つある例を説明したが、これに限定せず、通信装置が３つ以上の構成に本発明を適用しても良い。

上記実施形態では、通信装置がＣＡＮ通信、ＬＩＮ通信の例を説明したが、これに限定せず、通信装置が例えば、ＦｌｅｘＲａｙ、ＭＯＳＴ（ＭｅｄｉａＯｒｉｅｎｔｅｄＳｙｓｔｅｍｓＴｒａｎｓｐｏｒｔ）、ＰＬＣ（ＰｏｗｅｒＬｉｎｅＣｏｍｍｕｎｉｃａｔｉｏｎ）など異なるプロトコルの構成に本発明を適用しても良い。

上記実施形態では、通信装置が有線の例を説明したが、これに限定せず、通信装置が無線である構成に本発明を適用しても良い。

以上説明したように、本実施形態によれば、ハイブリッド制御装置１０に対する不正なデータ送信を的確に検知、遮断し、不正な制御を防止しつつ、信頼性の向上を実現できる。

更に、本実施形態によれば、既存のネットワーク構成を使用して不正なデータ送信を的確に検知、遮断が可能であり、ゲートウェイＥＣＵ等の装置を新たに追加する方法より安価に実現できる。

更に、本実施形態によれば、制御量の書き換えを的確に検知、遮断が可能であり、急発進、急加速、急ブレーキをといった第三者による不正な制御を未然に防止することができる。また、ＥＣＵに書き込まれた制御プログラムの不正な書き換えを、的確に検知、遮断が可能である。

なお、第三者による不正な制御では、第１の受信値は、ハイブリッド制御装置１０が制御する装置の制御量の書き換えを示す値や、ハイブリッド制御装置１０が実行するプログラムの書き換えを示す値となる。

（第２の実施形態）
次に、図５を用いて、本発明をエンジン制御装置６、ハイブリッド制御装置１０に適用した場合の構成の一例を説明する。図５は、本発明の第２の実施形態によるエンジン制御装置６、ハイブリッド制御装置１０の構成図である。

なお、図５において、図２に示された装置と同一の符号の装置については、同一の機能を有するため、説明を省略する。

エンジン制御装置６は、図２のエンジン制御装置６の構成要素の他に制御機能部２７を備えている。

制御機能部２７は、ハイブリッド制御装置１０の制御機能部２８からの信号に基づいて、エンジン制御装置６の外部へ信号を出力する。例えば、スロットルモータ１３へのスロットル開度を出力値とする。

ハイブリッド制御装置１０は、図２のハイブリッド制御装置１０の構成要素の他に制御機能部２８を備えている。

診断部２９は、受信部２３で受信した第１の受信値、受信部２４で受信した第２の受信値を入力とし、両者を比較することで異常判定を行う。異常であると判定した場合、診断部２９は、受信部２３からの第１の受信値を破棄するよう演算部２５へ指令を送り、フェイルセーフ機能を作動させるため、制御機能部２８へ制御信号を出力し、制御機能部２８に接続されたアクチュエータをフェイルセーフ動作させる。

制御機能部２８は、診断部２６からの信号に基づいて、ハイブリッド制御装置１０の外部へ信号を出力する。

次に、図６を用いて、ハイブリッド制御装置１０の動作を説明する。図６は、本発明の第２の実施形態によるハイブリッド制御装置１０の処理を示すフローチャートの例である。

なお、図６において、図４に示されたステップと同一の符号のステップについては、同一の動作をするため、説明を省略する。

なお、ステップＳ２２は診断部２９の処理である。

ステップＳ２４では、診断部２９は、ＮＧカウンタの値を１増やす。ＮＧカウンタとは、エンジン制御装置６の送信部２１から受信した第１の受信値と、エンジン制御装置６の送信部２２から受信した第２の受信値に差異がある状態の継続回数を計測するものである。

ステップＳ２５は、受信部２３で受信した第１の受信値と、受信部２４で受信した第２の受信値を比較した結果が同一の場合（ステップＳ２２；Ｎｏ）に進むステップであり、診断部２９は、ＮＧカウンタの値を０にする。

ステップＳ２６では、診断部２９は、ＮＧカウンタの値が所定値以上か判定する。所定値以上であれば、ステップＳ２７に処理を進める。所定値未満であれば、ステップＳ２７を行わずに処理を進める（終了）。ステップＳ２７では、制御機能部２８は、フェイルセーフ機能を作動させる。

ステップＳ２６で用いる所定値は、例えば５である。この場合、診断部２９は、第１の受信値と第２の受信値に差異がある状態が５回以上継続するとフェイルセーフ機能を作動させる。

つまり、診断部２９は、エンジン制御装置６から同一の値を異なるプロトコルで受信し、受信した値に差異がある場合、受信した値を異常と判断し破棄する。さらに、受信した値に差異がある状態が所定回数継続した場合、フェイルセーフ機能を作動させる。

上記の方法により、不正な外部ツールから送信された不正なデータを受信した場合に、受信したデータが不正であることを検知、破棄し、フェイルセーフ機能を作動させることが可能となる。

ここで、ハイブリッド制御装置１０（診断部２９）は、第１の受信値と第２の受信値が異なると判定された状態が継続した回数を計数する計数部として機能する。また、ハイブリッド制御装置１０（診断部２９、演算部２５）は、計数された回数が所定の閾値以上の場合、少なくとも第１の受信値を破棄する破棄部として機能する。

ハイブリッド制御装置１０（診断部２９）は、この回数が閾値以上の場合、ハイブリッド制御装置１０に不正な値が送られており異常と判定する判定部として機能する。

ハイブリッド制御装置１０（制御機能部２８）は、診断部２９が異常であると判定した場合、車両用制御装置（モータ制御装置、バッテリ制御装置など）を制御し、車両用装置（モータなど）を停止させる制御部として機能する（フェイルセーフ機能）。

すなわち、ハイブリッド制御装置１０（制御機能部２８）は、第１の受信値と第２の受信値が異なる場合、車両の駆動源（モータ３）を停止させるように車両用装置（モータ制御装置）を制御する制御部として機能する。

詳細には、制御機能部２８は、ハイブリッド制御装置１０が受信したデータが正常でない（異常）と判定された場合、車両の駆動源としてのモータを停止させるように車両用制御装置（バッテリ制御装置９、モータ制御装置８など）を制御した後、車両用装置を停止させる。

具体的には、制御機能部２８は、バッテリ制御装置９へ制御信号を出力する。バッテリ制御装置９は、バッテリ５に対して、駆動軸が過剰に動作しないようにモータへの通電をカットさせる。これにより、モータは停止する。

換言すれば、ハイブリッド制御装置１０（制御機能部２８）は、第１の受信値と前記第２の受信値が異なる場合、モータ３（電動機）を停止させるようにインバータ４（電力変換装置）を制御する制御部として機能する。

エンジン制御装置６（制御機能部２７）は、制御機能部２８からの信号に基づき、診断部２９が異常であると判定した場合、車両用装置（スロットル装置、燃料噴射装置、点火装置など）を停止させる制御部として機能する（フェイルセーフ機能）。

すなわち、エンジン制御装置６（制御機能部２７）は、第１の受信値と第２の受信値が異なる場合、エンジンを停止させるように車両用装置（スロットル装置、燃料噴射装置、点火装置）を制御する制御部として機能する。

詳細には、制御機能部２７は、ハイブリッド制御装置１０が受信したデータが正常でないと判定された場合、車両の駆動源としてのエンジンを停止させるように車両用装置（スロットル装置、燃料噴射装置、点火装置など）を制御した後、車両用装置を停止させる。

具体的には、スロットル装置は、スロットルバルブを閉じるように制御された後、作動を停止する。燃料噴射装置は、燃料噴射弁を閉じるように制御された後、作動を停止する。点火装置は、点火しない状態に制御された後、作動を停止する。これにより、エンジンは停止する。

上記実施形態では、エンジン制御装置６とハイブリッド制御装置１０の両方に、フェイルセーフ機能を実施する制御機能部を有する構成の例を説明したが、これに限定せず、いずれか片方にのみ制御機能部を有する構成においても、本発明を適用しても良い。

以上説明したように、本実施形態によれば、ハイブリッド制御装置１０に対する不正なデータ送信を的確に検知、遮断し、不正な制御を防止しつつ、信頼性の向上を実現できる。また、制御機能部２７、２８のいずれかにより、ハイブリッド制御装置１０に対する不正なデータ送信が継続した場合、フェイルセーフが実行される。そのため、信頼性の向上が強化される。

（第１の変形例）
診断部２９（判定部）は、単に、第１の受信値と第２の受信値との差異がある場合、ハイブリッド制御装置１０に不正な値が送られており異常と判定し、フェイルセーフ機能の実施を制御機能部２８に要求してもよい。

本変形例によれば、ＮＧカウンタを設ける必要がない。

（第２の変形例）
診断部２９（判定部）は、第１の受信値の受信周期が規定の周期と差異がある場合、ハイブリッド制御装置１０に不正な値が送られており異常と判定し、フェイルセーフ機能の実施を制御機能部２８に要求しても良い。例えば、１００ｍｓ周期で受信する値を、前回の受信から５０ｍｓ後に受信した場合に異常と判定する。

ここで、送信部２１は、所定の周期で第１の演算部によって演算された制御量をハイブリッド制御装置１０へ送信する。また、ハイブリッド制御装置１０（診断部２９、演算部２５）は、第１の受信値と第２の受信値が同じであり、かつ、第１の受信値を受信する周期が所定の周期と異なる場合、少なくとも第１の受信値を破棄する破棄部として機能する。

本変形例によれば、第１の受信値と第２の受信値とが同一であっても、第１の受信値の受信周期が規定の周期と差異がある場合、診断部２９は異常と判定する。これにより、通信の信頼性が向上する。

（第３の変形例）
診断部２９（判定部）は、第１の受信値をあらかじめ規定した状況以外で受信した場合、ハイブリッド制御装置１０に不正な値が送られており異常と判定し、フェイルセーフ機能の実施を制御機能部２８に要求しても良い。例えば、エンジン始動直後の数ｍｓ間のみ受信する値を、エンジン始動してから数分後に受信した場合に異常と判定する。

ここで、ハイブリッド制御装置１０は、第１の受信値があらかじめ規定された状況で受信されたか否かを判定する判定部として機能する。また、ハイブリッド制御装置１０（診断部２９、演算部２５）は、第１の受信値と第２の受信値が同じであり、かつ、第１の受信値があらかじめ規定された状況で受信されない場合、少なくとも第１の受信値を破棄する破棄部として機能する。

（第４の変形例）
診断部２９（計数部）は、単に、差異があった回数を計数してもよい。この場合、診断部２９（判定部）は、この回数が閾値未満の場合、受信した値がエンジン制御装置６からの正常な値であると判定し、この回数が閾値以上の場合、ハイブリッド制御装置１０に不正な値が送られており異常と判定する。閾値は、例えば５であり、この場合第１の受信値と第２の受信値に差異がある状態が、継続かは問わず５回以上発生すると、診断部２９（判定部）は、フェイルセーフ機能を作動させる。

本変形例によれば、第１の実施形態と比較して、第１の受信値が異常であると判定される感度を高めることができる。

（第３の実施形態）
次に、図７を用いて、図５の制御機能部２８が無い構成の一例を説明する。図７は、本発明の第３の実施形態によるエンジン制御装置６、ハイブリッド制御装置１０の構成図である。

なお、図７において、図５に示された装置と同一の符号の装置については、同一の機能を有するため、説明を省略する。

本実施形態によれば、ハイブリッド制御装置１０に対する不正なデータ送信を的確に検知、遮断し、不正な制御を防止しつつ、信頼性の向上を実現できる。また、制御機能部２７により、ハイブリッド制御装置１０に対する不正なデータ送信が継続した場合、フェイルセーフが実行される。そのため、信頼性の向上が強化される。

本実施形態によれば、フェイルセーフによりエンジン１が停止される。

（第４の実施形態）
次に、図８を用いて、図５の制御機能部２７が無い構成の一例を説明する。図８は、本発明の第４の実施形態によるエンジン制御装置６、ハイブリッド制御装置１０の構成図である。

なお、図８において、図５に示された装置と同一の符号の装置については、同一の機能を有するため、説明を省略する。

本実施形態によれば、フェイルセーフによりモータ３が停止される。

上記第１〜第４の実施形態では、エンジン制御装置、ハイブリッド制御装置の例を説明したが、例えばモータ制御装置、バッテリ制御装置、クラッチ制御装置等、別の制御装置で実現してもよい。

なお、本発明は上記した実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。

上記実施形態では、第１の受信値と第２の受信値が異なる場合、第１の受信値のみを破棄しているが、第１の受信値と第２の受信値を破棄してもよい。

上記実施形態では、第１の受信値と第２の受信値が同じ場合、第１の受信値を制御に利用しているが、第２の受信値を用いても良い。

また、上記の各構成、機能、処理部等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（ＳｏｌｉｄＳｔａｔｅＤｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

１…エンジン
２…クラッチ機構
３…モータ
４…インバータ（電力変換装置）
５…バッテリ
６…エンジン制御装置
７…クラッチ制御装置
８…モータ制御装置
９…バッテリ制御装置
１０…ハイブリッド制御装置
１１…アクセルセンサ
１２…スロットルセンサ
１３…スロットルモータ（スロットル装置）
１４…インジェクター（燃料噴射装置）
１５…点火装置
２０…演算部
２１…送信部
２２…送信部
２３…受信部
２４…受信部
２５…演算部
２６…診断部
２７…制御機能部
２８…制御機能部
２９…診断部
１００…多重通信線
２００…通信線

Claims

車両用装置の制御量を演算する第１の演算部と、
前記制御量を第１のプロトコルに基づく第１の通信ネットワークを介して第２の制御装置へ送信する第１の送信部と、
前記制御量を第２のプロトコルに基づく第２の通信ネットワークを介して前記第２の制御装置へ送信する第２の送信部と、を備える第１の制御装置と、
前記第１の送信部から前記制御量を受信する第１の受信部と、
前記第２の送信部から前記制御量を受信する第２の受信部と、
前記第１の受信部が受信した前記制御量を示す第１の受信値と前記第２の受信部が受信した前記制御量を示す第２の受信値が異なるか否かを判定する第１の判定部と、
前記第１の受信値と前記第２の受信値が異なる場合、少なくとも前記第１の受信値を破棄する破棄部と、を備える第２の制御装置と、を含む車両制御システムであって、
前記第１の送信部は、
所定の周期で前記第１の演算部によって演算された前記制御量を前記第２の制御装置へ送信し、
前記第２の制御装置は、
前記第１の受信値を受信する周期が前記所定の周期と異なるか否かを判定する第２の判定部をさらに備え、
前記破棄部は、
前記第１の受信値と前記第２の受信値が同じであり、かつ、前記第１の受信値を受信する周期が前記所定の周期と異なる場合、少なくとも前記第１の受信値を破棄する
ことを特徴とする車両制御システム。
車両用装置の制御量を演算する第１の演算部と、
前記制御量を第１のプロトコルに基づく第１の通信ネットワークを介して第２の制御装置へ送信する第１の送信部と、
前記制御量を第２のプロトコルに基づく第２の通信ネットワークを介して前記第２の制御装置へ送信する第２の送信部と、を備える第１の制御装置と、
前記第１の送信部から前記制御量を受信する第１の受信部と、
前記第２の送信部から前記制御量を受信する第２の受信部と、
前記第１の受信部が受信した前記制御量を示す第１の受信値と前記第２の受信部が受信した前記制御量を示す第２の受信値が異なるか否かを判定する第１の判定部と、
前記第１の受信値と前記第２の受信値が異なる場合、少なくとも前記第１の受信値を破棄する破棄部と、を備える第２の制御装置と、を含む車両制御システムであって、
前記第２の制御装置は、
前記第１の受信値があらかじめ規定された状況で受信されたか否かを判定する第３の判定部をさらに備え、
前記破棄部は、
前記第１の受信値と前記第２の受信値が同じであり、かつ、前記第１の受信値があらかじめ規定された状況で受信されない場合、少なくとも前記第１の受信値を破棄する
ことを特徴とする車両制御システム。
請求項１又は２に記載の車両制御システムであって、
前記第２の制御装置は、
前記第１の受信値と前記第２の受信値が異なると判定された回数を計数する計数部をさらに備え、
前記破棄部は、
計数された前記回数が所定の閾値以上の場合、少なくとも前記第１の受信値を破棄する
ことを特徴とする車両制御システム。
請求項３に記載の車両制御システムであって、
前記計数部は、
前記第１の受信値と前記第２の受信値が異なると判定された状態が継続した回数を計数する
ことを特徴とする車両制御システム。
請求項１又は２に記載の車両制御システムであって、
前記第１の制御装置は、
前記第１の受信値と前記第２の受信値が異なる場合、車両の駆動源を停止させるように前記車両用装置を制御する第１制御部をさらに備える
ことを特徴とする車両制御システム。
請求項１又は２に記載の車両制御システムであって、
前記第１の受信値は、
前記第２の制御装置が制御する装置の制御量の書き換えを示す値である
ことを特徴とする車両制御システム。
請求項１又は２に記載の車両制御システムであって、
前記第１の受信値は、
前記第２の制御装置が実行するプログラムの書き換えを示す値である
ことを特徴とする車両制御システム。
請求項１又は２に記載の車両制御システムであって、
第３の制御装置をさらに含み、
前記車両用装置は、
スロットル装置、燃料噴射装置、又は点火装置であり、
前記第２の制御装置は、
前記第１の受信値に基づいて制御用パラメータを演算する第２の演算部と、
前記制御用パラメータを前記第１の通信ネットワークを介して前記第３の制御装置に送信するパラメータ送信部をさらに備え、
前記第３の制御装置は、
前記制御用パラメータを受信するパラメータ受信部と、
力行時にエンジンをアシストし回生時に発電する電動機に接続された電力変換装置を、前記制御用パラメータに応じて制御する第２制御部と、を備える
ことを特徴とする車両制御システム。
請求項８に記載の車両制御システムであって、
前記第１の制御装置は、
前記第１の受信値と前記第２の受信値が異なる場合、エンジンを停止させるように前記車両用装置を制御する第３制御部をさらに備え、
前記第２制御部は、
前記第１の受信値と前記第２の受信値が異なる場合、前記電動機を停止させるように前記電力変換装置を制御する
ことを特徴とする車両制御システム。