JP6727463B1

JP6727463B1 - 車載制御装置および車載制御システム

Info

Publication number: JP6727463B1
Application number: JP2019568419A
Authority: JP
Inventors: 修一郎千田; 陽介横山
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2019-06-07
Filing date: 2019-06-07
Publication date: 2020-07-22
Anticipated expiration: 2039-06-07
Also published as: CN113891824A; US20220032966A1; CN113891824B; DE112019007286T5; WO2020246031A1; JPWO2020246031A1

Abstract

車載制御装置（１３０）は、複数の運転制御装置（１１０、１２０）のうちの一部でサイバー攻撃が検知された場合に、車載制御システム（１００）の動作状態を通常状態から一部確認状態へ切り替える。前記通常状態は、前記複数の運転制御装置の少なくともいずれかを利用して自動運転を行う動作状態である。前記一部確認状態は、サイバー攻撃が検知されていない正常な運転制御装置の少なくともいずれかを利用して自動運転を行うと共に、サイバー攻撃が検知された運転制御装置のそれぞれのセキュリティを確認する動作状態である。

Description

本発明は、自動運転のための車載システムに関するものである。

車両の自動運転を実現するために、安全性が高い車載制御システムの提供が望まれている。
特許文献１には、車両制御システムが開示されている。
この車両制御システムは、自動運転統合ＥＣＵと自動駐車ＥＣＵとを備える。そして、自動運転統合ＥＣＵが故障した場合には自動駐車ＥＣＵが自動運転統合ＥＣＵの機能を代替する。ＥＣＵはＥｌｅｃｔｒｏｎｉｃＣｏｎｔｒｏｌＵｎｉｔの略称である。

特開２０１７−８１２９０号公報

車載制御システムは電子制御を利用して動作するため、サイバー攻撃に対する安全性の確保が重要である。
特許文献１に開示された車両制御システムでは、故障していなければ自動運転統合ＥＣＵによって自動運転が行われる。自動運転統合ＥＣＵに対するサイバー攻撃は考慮されていない。そのため、故障していない自動運転制御ＥＣＵがサイバー攻撃を受けると、安全性が確保されない可能性がある。

本発明は、サイバー攻撃を考慮して安全性が高い車載制御システムを提供できるようにすることを目的とする。

本発明の車載制御装置は、車両の自動運転を行う車載制御システムに備わる。
前記車載制御システムは、前記車両の自動運転のための複数の運転制御装置を備える。
前記車載制御装置は、
前記複数の運転制御装置のうちの一部でサイバー攻撃が検知された場合に、前記車載制御システムの動作状態を通常状態から一部確認状態へ切り替える通常状態部を備える。
前記通常状態は、前記複数の運転制御装置の少なくともいずれかを利用して自動運転を行う動作状態である。
前記一部確認状態は、サイバー攻撃が検知されていない正常な運転制御装置の少なくともいずれかを利用して自動運転を行うと共に、サイバー攻撃が検知された運転制御装置のそれぞれのセキュリティを確認する動作状態である。

本発明によれば、サイバー攻撃を考慮して安全性が高い車載制御システムを提供することができる。

実施の形態１における車載制御システム１００の構成図。実施の形態１におけるハブＡ１３０（車載制御装置）の切替部の機能構成図。実施の形態１における車載制御方法の状態遷移図。実施の形態１における通常状態（Ｓ１１０）のフローチャート。実施の形態１における一部確認状態（Ｓ１２０）のフローチャート。実施の形態１における一部動作状態（Ｓ１３０）のフローチャート。実施の形態１における縮退確認状態（Ｓ１４０）のフローチャート。実施の形態１における全部確認状態（Ｓ１５０）のフローチャート。実施の形態１における車載制御システム１００の構成例を示す図。実施の形態１における車載制御システム１００の構成例を示す図。実施の形態１における車載制御装置１９０のハードウェア構成図。

実施の形態および図面において、同じ要素または対応する要素には同じ符号を付している。説明した要素と同じ符号が付された要素の説明は適宜に省略または簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。

実施の形態１．
車載制御システム１００について、図１から図１１に基づいて説明する。

＊＊＊構成の説明＊＊＊
図１に基づいて、車載制御システム１００の構成を説明する。
車載制御システム１００は、車両に搭載されるシステムであり、車両の自動運転を制御する。
具体的には、車載制御システム１００は、第１アクチュエータＥＣＵ１５１を介して第１アクチュエータ１６１を制御し、第２アクチュエータＥＣＵ１５２を介して第２アクチュエータ１６２を制御する。

第１アクチュエータＥＣＵ１５１と第２アクチュエータＥＣＵ１５２とのいずれかを特定しない場合、それぞれを「アクチュエータＥＣＵ」と称する。
第１アクチュエータ１６１と第２アクチュエータ１６２とのいずれかを特定しない場合、それぞれを「アクチュエータ」と称する。
アクチュエータは、車両を駆動する機器である。例えば、アクチュエータは、モータ、エンジン、ブレーキまたはステアリングなどである。
アクチュエータＥＣＵは、アクチュエータを制御する装置である。
車載制御システム１００は、１つのアクチュエータを制御してもよいし、３つ以上のアクチュエータを制御してもよい。

車載制御システム１００は、第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０とを備える。
第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０とは、互いに異なる実装で実現される等の対策により、同時にサイバー攻撃の影響を受けない。
第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０とのいずれかを特定しない場合、それぞれの「自動運転ＥＣＵ」と称する。
自動運転ＥＣＵは、車両の自動運転のための運転制御情報を出力する装置（運転制御装置）である。
車載制御システム１００は、３つ以上の自動運転ＥＣＵを備えてもよい。

車載制御システム１００は、ハブＡ１３０とハブＢ１４０とを備える。
ハブＡ１３０とハブＢ１４０とのそれぞれが書き替えができないＲＯＭを用いて実現される等の対策により、ハブＡ１３０とハブＢ１４０とのそれぞれに対するサイバー攻撃は困難である。
ハブＡ１３０とハブＢ１４０とのいずれかを特定しない場合、それぞれを「ハブ」と称する。ハブはネットワーク機器である。
自動運転ＥＣＵとハブとを繋ぐ通信ケーブル（通信ネットワーク）に対して改ざん検知などの対策を施すことにより、通信ネットワークに対するサイバー攻撃は困難である。

各ハブは、収集部を備える。収集部は回路、ソフトウェアまたはこれらの組み合わせで実現される。
ハブＡ１３０の収集部は、センサＡ１０１とセンサＢ１０２とからセンサ情報を収集する。ハブＢ１４０の収集部は、センサＣ１０３とセンサＤ１０４とからセンサ情報を収集する。センサＡ１０１とセンサＢ１０２とセンサＣ１０３とセンサＤ１０４とのいずれかを特定しない場合、それぞれを「センサ」と称する。
センサは、車両周辺の状況を検出する機器である。センサ情報は、センサによって得られた情報である。例えば、センサは、他車両などを検知するためのカメラまたはレーザレーダである。

各自動運転ＥＣＵは、認識部と通常演算部と緊急演算部と故障検知部と攻撃検知部とセキュリティ検証部とを備える。これらの要素は回路、ソフトウェアまたはこれらの組み合わせで実現される。
認識部は、収集されたセンサ情報に基づいて、車両周辺の状況を認識する。車両周辺の状況を認識する方法は任意である。
通常演算部は、認識された状況に基づいて、通常時の走行経路（通常経路）を算出する。通常経路を算出する方法は任意である。通常経路を示す情報（通常経路情報）は、車両制御情報として出力される。
緊急演算部は、認識された状況に基づいて、緊急時の走行経路（緊急経路）を算出する。緊急経路を算出する方法は任意である。緊急経路を示す情報（緊急経路情報）は、車両制御情報として出力される。
故障検知部は、自動運転ＥＣＵで発生した故障を検知する。例えば、複数の自動運転ＥＣＵで算出された複数の通常経路を比較し、比較結果に基づいて故障を検知する。故障を検知する方法は任意である。
攻撃検知部は、自動運転ＥＣＵで発生したサイバー攻撃を検知する。サイバー攻撃を検知する方法は任意である。
セキュリティ検証部は、サイバー攻撃が検知された場合にセキュリティ機能の修復を試み、セキュリティが確保されるか否かを判定する。例えば、セキュリティ検証部は、自動運転ＥＣＵを再起動する。そして、セキュリティ検証部は、セキュリティ機能が正常であるか、つまり、セキュリティが確保されたかをセキュアブートによって判定する。セキュリティを確認する方法は任意である。

ハブＡ１３０は、通常経路部と緊急経路部とを備える。通常経路部と緊急経路部とのそれぞれは記憶媒体で実現される。
通常経路部は、通常経路情報を記憶する。
緊急経路部は、緊急経路情報を記憶する。

ハブＡ１３０は、切替部を備え、車載制御装置として機能する。
切替部は、複数の運転制御装置（１１０、１２０）の状況に基づいて、車載制御システム１００の動作状態を切り替える。
切替部は回路、ソフトウェアまたはこれらの組み合わせで実現される。

図２に基づいて、ハブＡ１３０の切替部の構成を説明する。
ハブＡ１３０の切替部は、通常状態部１３１と一部確認状態部１３２と一部動作状態部１３３と縮退確認状態部１３４と全部確認状態部１３５と縮退状態部１３６とを備える。これら要素の機能については後述する。

＊＊＊動作の説明＊＊＊
車載制御システム１００の動作の手順は車載制御方法に相当する。

図３に基づいて、車載制御方法について説明する。
ステップＳ１１０は、車載制御システム１００の動作状態が「通常状態」であるときの処理であり、切替部の通常状態部１３１によって実行される。
「通常状態」は、複数の運転制御装置（１１０、１２０）の全てが正常である場合の動作状態である。正常な運転制御装置は、故障しておらず且つセキュリティが確保されている。
ステップＳ１１０において、通常状態部１３１は、複数の運転制御装置（１１０、１２０）の少なくともいずれかを利用して自動運転を行う。
複数の運転制御装置のうちの一部でサイバー攻撃が検知された場合に、通常状態部１３１は、車載制御システム１００の動作状態を「通常状態」から「一部確認状態」へ切り替える。
複数の運転制御装置のうちの一部で故障が検知された場合に、通常状態部１３１は、車載制御システム１００の動作状態を「通常状態」から「一部動作状態」へ切り替える。

ステップＳ１２０は、車載制御システム１００の動作状態が「一部確認状態」であるときの処理であり、切替部の一部確認状態部１３２によって実行される。
「一部確認状態」は、複数の運転制御装置（１１０、１２０）の一部が正常であり、且つ、複数の運転制御装置の一部でサイバー攻撃が検知された場合の動作状態である。
ステップＳ１２０において、一部確認状態部１３２は、正常な運転制御装置の少なくともいずれかを利用して自動運転を行うと共に、サイバー攻撃が検知された運転制御装置のそれぞれのセキュリティを確認する。
「通常状態」でサイバー攻撃が検知された運転制御装置の全てでセキュリティが確保された場合に、一部確認状態部１３２は、車載制御システム１００の動作状態を「一部確認状態」から「通常状態」へ切り替える。
「通常状態」でサイバー攻撃が検知された運転制御装置の全てでセキュリティが確保されなかった場合に、一部確認状態部１３２は、車載制御システム１００の動作状態を「一部確認状態」から「一部動作状態」へ切り替える。
「一部確認状態」で正常な運転制御装置の全てでサイバー攻撃が検知された場合に、一部確認状態部１３２は、車載制御システム１００の動作状態を「一部確認状態」から「全部確認状態」へ切り替える。
「一部確認状態」で正常な運転制御装置の一部で故障が検知された場合に、一部確認状態部１３２は、車載制御システム１００の動作状態を「一部確認状態」から「一部動作状態」へ切り替える。

ステップＳ１３０は、車載制御システム１００の動作状態が「一部動作状態」であるときの処理であり、一部動作状態部１３３によって実行される。
「一部動作状態」は、複数の運転制御装置（１１０、１２０）の一部が正常であり、且つ、複数の運転制御装置の残りが異常である場合の動作状態である。異常な運転制御装置は、故障しているか、又は、セキュリティ異常が生じている。セキュリティ異常は、セキュリティの確保を試みたがセキュリティを確保できなかった状況である。
ステップＳ１３０において、一部動作状態部１３３は、正常な運転制御装置の少なくともいずれかを利用して自動運転を行う。
「一部動作状態」で正常な運転制御装置の全てでサイバー攻撃が検知された場合に、一部動作状態部１３３は、車載制御システム１００の動作状態を「一部動作状態」から「縮退確認状態」へ切り替える。
「一部動作状態」で正常な運転制御装置の全てで故障が検知された場合に、一部動作状態部１３３は、車載制御システム１００の動作状態を「一部動作状態」から「縮退状態」へ切り替える。

ステップＳ１４０は、車載制御システム１００の動作状態が「縮退確認状態」であるときの処理であり、縮退確認状態部１３４によって実行される。
「縮退確認状態」は、複数の運転制御装置（１１０、１２０）の一部が異常であり、且つ、複数の運転制御装置の残りでサーバ攻撃が検知された場合の動作状態である。
ステップＳ１４０において、縮退確認状態部１３４は、縮退動作を行うと共に、「一部動作状態」でサーバ攻撃が検知された運転制御装置のそれぞれのセキュリティを確認する。
「一部動作状態」でサイバー攻撃が検知された運転制御装置の全てでセキュリティが確保された場合に、縮退確認状態部１３４は、車載制御システム１００の動作状態を「縮退確認状態」から「一部動作状態」へ切り替える。
「一部動作状態」でサイバー攻撃が検知された運転制御装置の全てでセキュリティが確保されなかった場合に、縮退確認状態部１３４は、車載制御システム１００の動作状態を「縮退確認状態」から「縮退状態」へ切り替える。

ステップＳ１５０は、車載制御システム１００の動作状態が「全部確認状態」であるときの処理であり、全部確認状態部１３５によって実行される。
「全部確認状態」は、複数の運転制御装置（１１０、１２０）の全てでサイバー攻撃が検知された場合の動作状態である。
ステップＳ１５０において、全部確認状態部１３５は、縮退動作を行うと共に、複数の運転制御装置（１１０、１２０）のそれぞれのセキュリティを確認する。
複数の運転制御装置の全てでセキュリティが確保された場合に、全部確認状態部１３５は、車載制御システム１００の動作状態を「全部確認状態」から「通常状態」へ切り替える。
複数の運転制御装置の一部でセキュリティが確保されたが複数の運転制御装置の残りでセキュリティが確保されなかった場合に、全部確認状態部１３５は、車載制御システム１００の動作状態を「全部確認状態」から「一部動作状態」へ切り替える。
複数の制御装置の全てでセキュリティが確保されなかった場合に、全部確認状態部１３５は、車載制御システム１００の動作状態を「全部確認状態」から「縮退状態」へ切り替える。

ステップＳ１６０は、車載制御システム１００の動作状態が「縮退状態」であるときの処理であり、縮退状態部１３６によって実行される。
「縮退状態」は、複数の運転制御装置（１１０、１２０）の全てが異常である場合の動作状態である。
ステップＳ１６０において、縮退状態部１３６は縮退動作を行う。縮退動作は予め決められた任意の動作である。

なお、ステップＳ１１０からステップＳ１５０の各状態において、全ての運転制御装置で故障が検知された場合またはその他のシステム異常が検知された場合、車載制御システム１００の動作状態が「縮退状態」へ切り替わる。例えば、センサの異常が発生した場合、または、自動運転ＥＣＵ間で演算結果が一致しない場合、システム異常が検知され、車載制御システム１００の動作状態が「縮退状態」へ切り替わる。

以下に、車載制御方法における具体的な処理手順を説明する。
図４に基づいて、通常状態（Ｓ１１０）の処理手順を説明する。
第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０との両方が正常であると仮定する。

ステップＳ１１１において、通常状態部１３１は、ハブＡ１３０、すなわち、車載制御装置が正常に起動したか検証する。例えば、通常状態部１３１は、セキュアブートによって検証する。検証方法は任意である。
ハブＡ１３０（車載制御装置）が正常に起動した場合、処理はステップＳ１１２に進む。
ハブＡ１３０（車載制御装置）が正常に起動しなかった場合、自動運転機能が停止し、処理は終了する。

ステップＳ１１２において、通常状態部１３１は自動運転を行う。
例えば、通常状態部１３１は、第１自動運転ＥＣＵ１１０の通常経路情報をアクチュエータＥＣＵに入力することにより、アクチュエータを制御する。その結果、車両が通常経路を走行する。

ステップＳ１１３において、通常状態部１３１は、第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０とのいずれかで故障が検知されたか判定する。
具体的には、第１自動運転ＥＣＵ１１０の故障検知部から故障検知が通知された場合に、通常状態部１３１は、第１自動運転ＥＣＵ１１０で故障が検知されたと判定する。また、第２自動運転ＥＣＵ１２０の故障検知部から故障検知が通知された場合に、通常状態部１３１は、第２自動運転ＥＣＵ１２０で故障が検知されたと判定する。
第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０とのいずれかで故障が検知された場合、通常状態部１３１は一部動作状態部１３３を呼び出す。その後、一部動作状態部１３３によって一部動作状態（Ｓ１３０）の処理が実行される。
第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０とのいずれでも故障が検知されなかった場合、処理はステップＳ１１４に進む。

ステップＳ１１４において、通常状態部１３１は、第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０とのいずれかでサイバー攻撃が検知されたか判定する。
具体的には、第１自動運転ＥＣＵ１１０の攻撃検知部から攻撃検知が通知された場合に、通常状態部１３１は、第１自動運転ＥＣＵ１１０でサイバー攻撃が検知されたと判定する。また、第２自動運転ＥＣＵ１２０の攻撃検知部から攻撃検知が通知された場合に、通常状態部１３１は、第２自動運転ＥＣＵ１２０でサイバー攻撃が検知されたと判定する。
第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０とのいずれかでサイバー攻撃が検知された場合、通常状態部１３１は一部確認状態部１３２を呼び出す。その後、一部確認状態部１３２によって一部確認状態（Ｓ１２０）の処理が実行される。
第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０とのいずれでもサイバー攻撃が検知されなかった場合、処理はステップＳ１１２に進む。

図５に基づいて、一部確認状態（Ｓ１２０）の処理手順を説明する。
第１自動運転ＥＣＵ１１０が正常であり、且つ、第２自動運転ＥＣＵ１２０でサイバー攻撃が検知されたと仮定する。

ステップＳ１２１において、一部確認状態部１３２は自動運転を行う。
具体的には、一部確認状態部１３２は、第１自動運転ＥＣＵ１１０の通常経路情報をアクチュエータＥＣＵに入力することにより、アクチュエータを制御する。その結果、車両が通常経路を走行する。

ステップＳ１２２において、一部確認状態部１３２は、第２自動運転ＥＣＵ１２０のセキュリティを確認する。
具体的には、第２自動運転ＥＣＵ１２０のセキュリティ検証部からセキュリティ確保が通知された場合に、一部確認状態部１３２は、第２自動運転ＥＣＵ１２０のセキュリティが確保されたと判定する。
第２自動運転ＥＣＵ１２０のセキュリティが確保された場合、一部確認状態部１３２は通常状態部１３１を呼び出す。その後、通常状態部１３１によって通常状態（Ｓ１１０）の処理が実行される。
第２自動運転ＥＣＵ１２０のセキュリティが確保されていない場合、処理はステップＳ１２３に進む。

ステップＳ１２３において、一部確認状態部１３２は、第１自動運転ＥＣＵ１１０でサイバー攻撃が検知されたか判定する。
具体的には、第１自動運転ＥＣＵ１１０の攻撃検知部から攻撃検知が通知された場合に、一部確認状態部１３２は、第１自動運転ＥＣＵ１１０でサイバー攻撃が検知されたと判定する。
第１自動運転ＥＣＵ１１０でサイバー攻撃が検知された場合、一部確認状態部１３２は全部確認状態部１３５を呼び出す。その後、全部確認状態部１３５によって全部確認状態（Ｓ１５０）の処理が実行される。

ステップＳ１２４において、一部確認状態部１３２は、第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０とのいずれかで故障が検知されたか判定する。
具体的には、第１自動運転ＥＣＵ１１０の故障検知部から故障検知が通知された場合に、一部確認状態部１３２は、第１自動運転ＥＣＵ１１０で故障が検知されたと判定する。また、第２自動運転ＥＣＵ１２０の故障検知部から故障検知が通知された場合に、一部確認状態部１３２は、第２自動運転ＥＣＵ１２０で故障が検知されたと判定する。
第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０とのいずれかで故障が検知された場合、一部確認状態部１３２は一部動作状態部１３３を呼び出す。その後、一部動作状態部１３３によって一部動作状態（Ｓ１３０）の処理が実行される。
第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０とのいずれでも故障が検知されていない場合、処理はステップＳ１２５に進む。

ステップＳ１２５において、一部確認状態部１３２は、セキュリティの確認がタイムアウトしたか判定する。
具体的には、一部確認状態部１３２は、一部確認状態（Ｓ１２０）の処理の開始から経過した時間が確認待ち時間を超えたか判定する。確認待ち時間は、セキュリティを確認するための時間として予め決められた時間（例えば、２秒）である。
セキュリティの確認がタイムアウトした場合、一部確認状態部１３２は一部動作状態部１３３を呼び出す。その後、一部動作状態部１３３によって一部動作状態（Ｓ１３０）の処理が実行される。
セキュリティの確認がタイムアウトしていない場合、処理はステップＳ１２１に進む。

図６に基づいて、一部動作状態（Ｓ１３０）の処理手順を説明する。
第１自動運転ＥＣＵ１１０が正常であり、且つ、第２自動運転ＥＣＵ１２０が異常であると仮定する。

ステップＳ１３１において、一部動作状態部１３３は自動運転を行う。
具体的には、一部動作状態部１３３は、第１自動運転ＥＣＵ１１０の通常経路情報をアクチュエータＥＣＵに入力することにより、アクチュエータを制御する。その結果、車両が通常経路を走行する。

ステップＳ１３２において、一部動作状態部１３３は、第１自動運転ＥＣＵ１１０で故障が検知されたか判定する。
具体的には、第１自動運転ＥＣＵ１１０の故障検知部から故障検知が通知された場合に、一部動作状態部１３３は、第１自動運転ＥＣＵ１１０で故障が検知されたと判定する。
第１自動運転ＥＣＵ１１０で故障が検知された場合、一部動作状態部１３３は縮退状態部１３６を呼び出す。その後、縮退状態部１３６によって縮退状態（Ｓ１６０）の処理が実行される。
第１自動運転ＥＣＵ１１０で故障が検知されていない場合、処理はステップＳ１３３に進む。

ステップＳ１３３において、一部動作状態部１３３は、第１自動運転ＥＣＵ１１０でサイバー攻撃が検知されたか判定する。
具体的には、第１自動運転ＥＣＵ１１０の攻撃検知部から攻撃検知が通知された場合に、一部動作状態部１３３は、第１自動運転ＥＣＵ１１０でサイバー攻撃が検知されたと判定する。
第１自動運転ＥＣＵ１１０でサイバー攻撃が検知された場合、一部動作状態部１３３は縮退確認状態部１３４を呼び出す。その後、縮退確認状態部１３４によって縮退確認状態（Ｓ１４０）の処理が実行される。
第１自動運転ＥＣＵ１１０でサイバー攻撃が検知されていない場合、処理はステップＳ１３１に進む。

図７に基づいて、縮退確認状態（Ｓ１４０）の処理手順を説明する。
第１自動運転ＥＣＵ１１０でサイバー攻撃が検知され、且つ、第２自動運転ＥＣＵ１２０が故障であると仮定する。

ステップＳ１４１において、縮退確認状態部１３４は縮退動作を行う。
具体的には、縮退確認状態部１３４は、第１自動運転ＥＣＵ１１０の正常時の緊急経路情報をアクチュエータＥＣＵに入力することによって、アクチュエータを制御する。その結果、車両が緊急経路を走行する。

ステップＳ１４２において、縮退確認状態部１３４は、第１自動運転ＥＣＵ１１０のセキュリティを確認する。
具体的には、第１自動運転ＥＣＵ１１０のセキュリティ検証部からセキュリティ確保が通知された場合に、縮退確認状態部１３４は、第１自動運転ＥＣＵ１１０のセキュリティが確保されたと判定する。
第１自動運転ＥＣＵ１１０のセキュリティが確保された場合、縮退確認状態部１３４は一部動作状態部１３３を呼び出す。その後、一部動作状態部１３３によって一部動作状態（Ｓ１３０）の処理が実行される。
第１自動運転ＥＣＵ１１０のセキュリティが確保されていない場合、処理はステップＳ１４３に進む。

ステップＳ１４３において、縮退確認状態部１３４は、第１自動運転ＥＣＵ１１０で故障が検知されたか判定する。
具体的には、第１自動運転ＥＣＵ１１０の故障検知部から故障検知が通知された場合に、縮退確認状態部１３４は、第１自動運転ＥＣＵ１１０で故障が検知されたと判定する。
第１自動運転ＥＣＵ１１０で故障が検知された場合、縮退確認状態部１３４は縮退状態部１３６を呼び出す。その後、縮退状態部１３６によって縮退状態（Ｓ１６０）の処理が実行される。
第１自動運転ＥＣＵ１１０で故障が検知されていない場合、処理はステップＳ１４４に進む。

ステップＳ１４４において、縮退確認状態部１３４は、セキュリティの確認がタイムアウトしたか判定する。
具体的には、縮退確認状態部１３４は、縮退確認状態（Ｓ１４０）の処理の開始から経過した時間が確認待ち時間を超えたか判定する。確認待ち時間は、セキュリティを確認するための時間として予め決められた時間（例えば、２秒）である。
セキュリティの確認がタイムアウトした場合、縮退確認状態部１３４は縮退状態部１３６を呼び出す。その後、縮退状態部１３６によって縮退状態（Ｓ１６０）の処理が実行される。
セキュリティの確認がタイムアウトしていない場合、処理はステップＳ１４１に進む。

図８に基づいて、全部確認状態（Ｓ１５０）の処理手順を説明する。
第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０との両方でサイバー攻撃が検知されたと仮定する。

ステップＳ１５１において、全部確認状態部１３５は縮退動作を行う。
具体的には、全部確認状態部１３５は、第１自動運転ＥＣＵ１１０の正常時の緊急経路情報をアクチュエータＥＣＵに入力することによって、アクチュエータを制御する。その結果、車両が緊急経路を走行する。

ステップＳ１５２において、全部確認状態部１３５は、第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０とのいずれかで故障が検知されたか判定する。
具体的には、第１自動運転ＥＣＵ１１０の故障検知部から故障検知が通知された場合に、全部確認状態部１３５は、第１自動運転ＥＣＵ１１０で故障が検知されたと判定する。また、第２自動運転ＥＣＵ１２０の故障検知部から故障検知が通知された場合に、全部確認状態部１３５は、第２自動運転ＥＣＵ１２０で故障が検知されたと判定する。
第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０とのいずれかで故障が検知された場合、全部確認状態部１３５は縮退確認状態部１３４を呼び出す。その後、縮退確認状態部１３４によって縮退確認状態（Ｓ１４０）が実行される。
第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０との両方で故障が検知されていない場合、全部確認状態部１３５が第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０とのそれぞれのセキュリティの確認を開始し、処理はステップＳ１５３に進む。

ステップＳ１５３において、全部確認状態部１３５は、セキュリティの確認がタイムアウトしたか判定する。
具体的には、全部確認状態部１３５は、全部確認状態（Ｓ１５０）の処理の開始から経過した時間が確認待ち時間を超えたか判定する。確認待ち時間は、セキュリティを確認するための時間として予め決められた時間（例えば、２秒）である。
セキュリティの確認がタイムアウトした場合、処理はステップＳ１５４に進む。
セキュリティの確認がタイムアウトしていない場合、処理はステップＳ１５１に進む。

ステップＳ１５４において、全部確認状態部１３５は、第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０とのそれぞれのセキュリティを確認する。
具体的には、第１自動運転ＥＣＵ１１０のセキュリティ検証部からセキュリティ確保が通知された場合に、全部確認状態部１３５は、第１自動運転ＥＣＵ１１０のセキュリティが確保されたと判定する。また、第２自動運転ＥＣＵ１２０のセキュリティ検証部からセキュリティ確保が通知された場合に、全部確認状態部１３５は、第２自動運転ＥＣＵ１２０のセキュリティが確保されたと判定する。
第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０との両方でセキュリティが確保された場合、全部確認状態部１３５は通常状態部１３１を呼び出す。その後、通常状態部１３１によって通常状態（Ｓ１１０）の処理が実行される。
第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０とのいずれかでセキュリティが確保された場合、全部確認状態部１３５は一部動作状態部１３３を呼び出す。その後、一部動作状態部１３３によって一部動作状態（Ｓ１３０）を処理が実行される。
第１自動運転ＥＣＵ１１０と第２自動運転ＥＣＵ１２０とのいずれもセキュリティが確保されなかった場合、全部確認状態部１３５は縮退状態部１３６を呼び出す。その後、縮退状態部１３６によって縮退状態（Ｓ１６０）が実行される。

縮退状態（Ｓ１６０）の処理を説明する。
縮退状態部１３６は縮退動作を行う。具体的には、縮退状態部１３６は、第１自動運転ＥＣＵ１１０の正常時の緊急経路情報をアクチュエータＥＣＵに入力することによって、アクチュエータを制御する。その結果、車両が緊急経路を走行する。

＊＊＊実施例の説明＊＊＊
図９に基づいて、車載制御システム１００の実施例を説明する。
車載制御システム１００は、アクチュエータＥＣＵ１５０を備えてもよい。
アクチュエータＥＣＵ１５０は、ハブＡ１３０と第１アクチュエータＥＣＵ１５１と第２アクチュエータＥＣＵ１５２とを代替する。
アクチュエータＥＣＵ１５０は、ハブＡ１３０の代わりに、車載制御装置として機能する。

各自動運転ＥＣＵは、運転制御情報の代わりにアクチュエータ制御信号をアクチュエータＥＣＵ１５０に入力してもよい。また、切替部が、運転制御情報をアクチュエータ制御信号に変換してもよい。アクチュエータ制御信号をアクチュエータ用の制御信号である。

図１０に基づいて、車載制御システム１００の実施例を説明する。センサについては図示を省略する。
車載制御システム１００は、ＳｏＣ２００で実現されてもよい。「ＳｏＣ」はＳｙｓｔｅｍＯｎａＣｈｉｐの略称である。
ＳｏＣ２００は、第１プロセッサ２１０と第２プロセッサ２２０と第３プロセッサ２３０とを備える。各プロセッサは、例えば、ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ（ＣＰＵ）である。
第１プロセッサ２１０は第１自動運転ＥＣＵ１１０を代替し、第２プロセッサ２２０は第２自動運転ＥＣＵ１２０を代替する。
第１プロセッサ２１０と第２プロセッサ２２０とのそれぞれは、自動運転ＥＣＵの代わりに、運転制御装置として機能する。
第３プロセッサ２３０は、ハブＡ１３０の代わり、車載制御装置として機能する。

＊＊＊実施の形態１の効果＊＊＊
実施の形態１により、サイバー攻撃が検知されていない正常な運転制御装置を利用して車両の自動運転を行うことができる。したがって、車載制御システム１００の安全性を高めることができる。
さらに、サイバー攻撃が検知された運転制御装置でセキュリティが確保された場合には、その運転制御装置を利用して車両の自動運転を行うことができる。つまり、車載制御システム１００は、サイバー攻撃を受けても、すぐには縮退動作に遷移せず、自動運転動作を継続する。そのため、自動運転を継続できる時間を延ばし、メンテナンス頻度を下げることができる。そして、車載制御システム１００の可用性を高めることができる。

＊＊＊実施の形態１の補足＊＊＊
図１１に基づいて、車載制御装置１９０のハードウェア構成を説明する。
車載制御装置１９０は、車載制御システム１００に備わる車載制御装置である。
車載制御装置１９０は処理回路１９１と入出力インタフェース１９２とを備える。
処理回路１９１は、切替部、通常経路部および緊急経路部を実現するハードウェアである。
処理回路１９１は、専用のハードウェアであってもよいし、メモリに格納されるプログラムを実行するプロセッサであってもよい。

処理回路１９１が専用のハードウェアである場合、処理回路１９１は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡまたはこれらの組み合わせである。
ＡＳＩＣは、ＡｐｐｌｉｃａｔｉｏｎＳｐｅｃｉｆｉｃＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔの略称である。
ＦＰＧＡは、ＦｉｅｌｄＰｒｏｇｒａｍｍａｂｌｅＧａｔｅＡｒｒａｙの略称である。

車載制御装置１９０は、処理回路１９１を代替する複数の処理回路を備えてもよい。複数の処理回路は、処理回路１９１の役割を分担する。

入出力インタフェース１９２は、運転制御情報などを入出力するためのポートである。

車載制御装置１９０において、一部の機能が専用のハードウェアで実現されて、残りの機能がソフトウェアまたはファームウェアで実現されてもよい。

このように、処理回路１９１はハードウェア、ソフトウェア、ファームウェアまたはこれらの組み合わせで実現することができる。

実施の形態は、好ましい形態の例示であり、本発明の技術的範囲を制限することを意図するものではない。実施の形態は、部分的に実施してもよいし、他の形態と組み合わせて実施してもよい。フローチャート等を用いて説明した手順は、適宜に変更してもよい。

車載制御システム１００の要素である「部」は、「処理」または「工程」と読み替えてもよい。

１００車載制御システム、１０１センサＡ、１０２センサＢ、１０３センサＣ、１０４センサＤ、１１０第１自動運転ＥＣＵ、１２０第２自動運転ＥＣＵ、１３０ハブＡ、１３１通常状態部、１３２一部確認状態部、１３３一部動作状態部、１３４縮退確認状態部、１３５全部確認状態部、１３６縮退状態部、１４０ハブＢ、１５０アクチュエータＥＣＵ、１５１第１アクチュエータＥＣＵ、１５２第２アクチュエータＥＣＵ、１６１第１アクチュエータ、１６２第２アクチュエータ、１９０車載制御装置、１９１処理回路、１９２入出力インタフェース、２００ＳｏＣ、２１０第１プロセッサ、２２０第２プロセッサ、２３０第３プロセッサ。

Claims

車両の自動運転を行う車載制御システムに備わる車載制御装置であって、
前記車載制御システムは、前記車両の自動運転のための複数の運転制御装置を備え、
前記車載制御装置は、
前記複数の運転制御装置のうちの一部でサイバー攻撃が検知された場合に、前記車載制御システムの動作状態を通常状態から一部確認状態へ切り替える通常状態部と、
前記通常状態でサイバー攻撃が検知された運転制御装置の全てでセキュリティが確保された場合に、前記車載制御システムの動作状態を前記一部確認状態から前記通常状態へ切り替え、前記通常状態でサイバー攻撃が検知された運転制御装置の全てでセキュリティが確保されなかった場合に、前記車載制御システムの動作状態を前記一部確認状態から一部動作状態へ切り替える一部確認状態部と、を備え、
前記通常状態は、前記複数の運転制御装置の少なくともいずれかを利用して自動運転を行う動作状態であり、
前記一部確認状態は、サイバー攻撃が検知されていない正常な運転制御装置の少なくともいずれかを利用して自動運転を行うと共に、サイバー攻撃が検知された運転制御装置のそれぞれのセキュリティを確認する動作状態であり、
前記一部動作状態は、前記正常な運転制御装置の少なくともいずれかを利用して自動運転を行う動作状態である
車載制御装置。
前記一部動作状態で前記正常な運転制御装置の全てでサイバー攻撃が検知された場合に、前記車載制御システムの動作状態を前記一部動作状態から縮退確認状態へ切り替える一部動作状態部を備え、
前記縮退確認状態は、縮退動作を行うと共に、前記一部動作状態でサイバー攻撃が検知された運転制御装置のそれぞれのセキュリティを確認する動作状態である
請求項１に記載の車載制御装置。
前記一部動作状態でサイバー攻撃が検知された運転制御装置の少なくともいずれかでセキュリティが確保された場合に、前記車載制御システムの動作状態を前記縮退確認状態から前記一部動作状態へ切り替える縮退確認状態部を備える
請求項２に記載の車載制御装置。
前記縮退確認状態部は、前記一部動作状態でサイバー攻撃が検知された運転制御装置の全てでセキュリティが確保されなかった場合に、前記車載制御システムの動作状態を前記縮退確認状態から縮退状態へ切り替え、
前記縮退状態は、縮退動作を行う動作状態である
請求項３に記載の車載制御装置。
車両の自動運転を行う車載制御システムに備わる車載制御装置であって、
前記車載制御システムは、前記車両の自動運転のための複数の運転制御装置を備え、
前記車載制御装置は、
前記複数の運転制御装置のうちの一部でサイバー攻撃が検知された場合に、前記車載制御システムの動作状態を通常状態から一部確認状態へ切り替える通常状態部と、
前記通常状態でサイバー攻撃が検知された運転制御装置の全てでセキュリティが確保された場合に、前記車載制御システムの動作状態を前記一部確認状態から前記通常状態へ切り替え、前記一部確認状態で、サイバー攻撃が検知されていない正常な運転制御装置の全てでサイバー攻撃が検知された場合に、前記車載制御システムの動作状態を前記一部確認状態から全部確認状態へ切り替える一部確認状態部と、
前記複数の運転制御装置の全てでセキュリティが確保された場合に、前記車載制御システムの動作状態を前記全部確認状態から前記通常状態へ切り替え、前記複数の運転制御装置の全てでセキュリティが確保されなかった場合に、前記車載制御システムの動作状態を前記全部確認状態から縮退状態へ切り替える全部確認状態部と、を備え、
前記通常状態は、前記複数の運転制御装置の少なくともいずれかを利用して自動運転を行う動作状態であり、
前記一部確認状態は、前記正常な運転制御装置の少なくともいずれかを利用して自動運転を行うと共に、サイバー攻撃が検知された運転制御装置のそれぞれのセキュリティを確認する動作状態であり、
前記全部確認状態は、縮退動作を行うと共に、前記複数の運転制御装置のそれぞれのセキュリティを確認する動作状態であり、
前記縮退状態は、縮退動作を行う動作状態である
車載制御装置。
車両の自動運転を行う車載制御システムに備わる車載制御装置であって、
前記車載制御システムは、前記車両の自動運転のための複数の運転制御装置を備え、
前記車載制御装置は、
前記複数の運転制御装置のうちの一部でサイバー攻撃が検知された場合に、前記車載制御システムの動作状態を通常状態から一部確認状態へ切り替える通常状態部と、
前記通常状態でサイバー攻撃が検知された運転制御装置の全てでセキュリティが確保された場合に、前記車載制御システムの動作状態を前記一部確認状態から前記通常状態へ切り替え、前記一部確認状態で、サイバー攻撃が検知されていない正常な運転制御装置の全てでサイバー攻撃が検知された場合に、前記車載制御システムの動作状態を前記一部確認状態から全部確認状態へ切り替える一部確認状態部と、
前記複数の運転制御装置の全てでセキュリティが確保された場合に、前記車載制御システムの動作状態を前記全部確認状態から前記通常状態へ切り替え、前記複数の運転制御装置の少なくともいずれかでセキュリティが確保された場合に、前記車載制御システムの動作状態を前記全部確認状態から一部動作状態へ切り替える全部確認状態部と、を備え、
前記通常状態は、前記複数の運転制御装置の少なくともいずれかを利用して自動運転を行う動作状態であり、
前記一部確認状態は、前記正常な運転制御装置の少なくともいずれかを利用して自動運転を行うと共に、サイバー攻撃が検知された運転制御装置のそれぞれのセキュリティを確認する動作状態であり、
前記全部確認状態は、縮退動作を行うと共に、前記複数の運転制御装置のそれぞれのセキュリティを確認する動作状態であり、
前記一部動作状態は、前記全部確認状態でセキュリティが確保された運転制御装置の少なくともいずれかを利用して自動運転を行う動作状態である
車載制御装置。
前記全部確認状態でセキュリティが確保された運転制御装置の全てでサイバー攻撃が検知された場合に、前記車載制御システムの動作状態を前記一部動作状態から縮退確認状態へ切り替える一部動作状態部を備え、
前記縮退確認状態は、縮退動作を行うと共に、前記一部動作状態でサイバー攻撃が検知された運転制御装置のそれぞれのセキュリティを確認する動作状態である
請求項６に記載の車載制御装置。
前記一部動作状態でサイバー攻撃が検知された運転制御装置の全てでセキュリティが確保された場合に、前記車載制御システムの動作状態を前記縮退確認状態から前記一部動作状態へ切り替える縮退確認状態部を備える
請求項７に記載の車載制御装置。
前記縮退確認状態部は、前記一部動作状態でサイバー攻撃が検知された運転制御装置の全てでセキュリティが確保されなかった場合に、前記車載制御システムの動作状態を前記縮退確認状態から縮退状態へ切り替え、
前記縮退状態は、縮退動作を行う動作状態である
請求項８に記載の車載制御装置。
請求項１から請求項９のいずれか１項に記載の車載制御装置と、
車両の自動運転のための複数の運転制御装置と、
を備える車載制御システム。