JP6928613B2 - 自動車における自動車機能の監視および修正 - Google Patents

Description

本発明は、自動車において自動車機能を監視および修正する方法、それに関連する装置及びそれに関連する自動車に関する。

制御機器において、実際に機能不全が確認された場合、それらの故障は、修理工場でのソフトウェア更新により取り除かれるか、或いはそれが不可能な場合、修理工場での制御機器の交換により取り除かれる。しかし、いずれの場合も車両を修理工場に持って行かなければならない。

更に、制御機器または車両機能を新しい状況または変化した状況に適合させることは、実際には修理工場で実施されるソフトウェア更新によってのみ可能である。

また、車両機能ないし車両機能性および制御機器が乗っ取られることが最近起きるようになってきている。このように現れるセキュリティホールも、実際には修理工場での手間のかかるソフトウェア更新によって初めて取り除くことができる。

従って、このような機能不全と障害、或いはこのような危険な事象を速やかに、修理工場を訪問する必要無しに取り除く手段を提供することが望まれている。

本発明の課題は、従来技術で周知の欠点の少なくとも一部を防止するか、或いは少なくとも軽減する手段を提案することである。

この課題は、本発明において、主請求項に基づく方法を用いて、並びに同列の請求項に基づく装置および別の同列の請求項に基づく相応の自動車を用いて解決される。

この場合、主請求項の対象は、自動車において自動車機能を監視および修正する方法に関する。この方法はここで、自動車の機能の異常な挙動を特定する工程と、自動車の機能の異常な挙動をバックエンドに伝送する工程と、このバックエンドから命令を受信する工程であって、この命令が、機能の異常な挙動に対して適切な対応を実行するために自動車において採るべき緊急措置を指示する工程と、この受信した命令に基づき、自動車の機能の異常な挙動の原因である自動車コンポーネントを特定する工程と、適切な対応として、この自動車コンポーネントをダウングレードされたコンフィギュレーション（ｄｅｇｒａｄｉｅｒｔｅ Ｋｏｎｆｉｇｕｒａｔｉｏｎ）（低機能化された環境設定・構成形態）に移行する工程であって、このダウングレードされたコンフィギュレーションが、その自動車コンポーネントのそれまでのコンフィギュレーションよりも制限された機能範囲を有する工程とを有する。このダウングレードされたコンフィギュレーションへの自動車コンポーネントの移行が不可能である場合に、本方法は更に、適切な対応として、この自動車コンポーネントを安全なコンフィギュレーションに移行する工程を有する。その際に、自動車コンポーネントにはこの安全なコンフィギュレーションが保持されている。

本方法の工程は、このとき自動的に実行することができる。

本発明の意味における“異常な挙動”とはここで、所定の挙動から外れた自動車機能の挙動を意味する。この場合、異常な挙動は、然るべき走行状況と、車両機能ないし自動車制御機器との少なくともいずれかに関する保安性（セキュリティ）および／または安全性（セーフティ）に係る危険な事象であり得る。

本発明の意味における“機能”とはここで、自動車コンポーネントにより実行され、自動車の動作を操作するプロセスを意味する。その例は、自動車のハンドル動作、ハイビーム支援機能、車間距離維持等といった支援機能でもよいが、例えば、ナビゲーション、電気式自動シート調整等の機能といった快適性機能でもよい。

本発明の意味における“バックエンド”とはここで、自動車機能ないし自動車制御機器における既知および未知の問題に関して見つけ出されたソリューション（解決策）を提供するサーバーまたはクラウドを意味する。これは、例えば、相応の問題解決策（問題ソリューション）データベースを用いて実現することができる。

本発明の意味における“自動車コンポーネント”とはここで、ハードウェアとしても、ソフトウェアとしても構成できる装置、例えば制御機器ないし制御装置、快適性機能装置および支援システムなどを意味する。このとき、自動車コンポーネントの特定は、例えば制御機器情報に基づき行なうことができる。それは、所定の制御機器の推定を可能とする情報、例えばシリアル番号、製造日、ファームウェア番号等の情報、或いはそれらの情報の組合せといったものである。

本発明の意味における“ダウングレードされたコンフィギュレーション”とはここで、パラメータ修正により対応する自動車コンポーネントの機能ないし機能範囲を制限するコンフィギュレーション（Ｋｏｎｆｉｇｕｒａｔｉｏｎ）（環境設定）を意味する。パラメータ修正とはここで、特に車両機能または自動車制御機器の適切なパラメータの値の変更であるとしてもよい。有利にはこのとき、然るべきパラメータのデフォルト値を一時的に上書きすることができる。即ち、デフォルト値は消去されるのではなく、有利には制御機器自体にバッファリングされる。しかし、デフォルト値のバッファリングは、自動車の別の箇所で、例えば中央コントローラの中央デフォルト値データベースで行なうことも可能である。修正されたパラメータはここでは、例えば所定の制限時間後に再びリセットする、つまりは、改めてデフォルト値で上書きすることができる。このとき、上書きされた値は失われてしまってもよい。その値はしかし、さらに引き続き蓄積された状態で保持することもできる。

本発明の意味における“安全なコンフィギュレーション（安全設定・安全構成形態）”とはここでは、自動車コンポーネントに保存された、例えばＩＳＯ２６２６２及びそれに基づく規格といった有効な安全規格に関して、機能的に安全であると見做されたコンフィギュレーションを意味する。

本発明による教示によって、自動車または自動車の一部の機能障害が発生した場合に、その挙動を認識することができ、バックエンドシステムの助けを借りて、発生した機能障害或いはその機能障害に係る車両機能ないし制御機器に対する適切なソリューション（解決策）を探索することができ、それに続き、発生した機能障害に対する相応しいソリューションを提供できるとの利点が得られる。

従って、別の利点は発生した機能障害に対して即座に適切に対処できることであり、これにより機能障害をくい止めて引き続き自動車の安全な運行が可能になるか、或いは問題のある−つまりは安全でない−車両運行が発生する可能性が防止できるようになる。

ここで、同列の請求項の対象は、自動車において自動車機能を監視および修正する装置に関する。本装置はこのとき、自動車の機能の異常な挙動を特定する機能監視機器と、この自動車の機能の異常な挙動の原因である自動車コンポーネントを特定する特定手段と、この自動車コンポーネントを、ダウングレードされたコンフィギュレーションおよび／または安全なコンフィギュレーションに移行させる修正手段を備え、このダウングレードされたコンフィギュレーションは、その自動車コンポーネントのそれまでのコンフィグレーションよりも制限された機能範囲を有する。その際に、この自動車コンポーネントには安全なコンフィギュレーションが保持されている。自動車コンポーネントの安全なコンフィギュレーションはこのとき、この安全なコンフィギュレーションの不正操作に対して保護されている。本装置はこのとき、本発明の何れかの方法を実施するように構成されている。

本発明による教示によって、自動車または自動車の一部の機能障害が発生した場合に、自動車のための装置がこの挙動を認識することができ、バックエンドシステムの助けを借りて、発生した機能障害或いはその機能障害に係る車両機能ないし制御機器に対する相応しいソリューションを自律的に探索することができ、それに続き、この発生した機能障害に対する相応しいソリューションを提供できるとの利点が得られる。

従って、別の利点は発生した機能障害に対して即座に適切に対処できることであり、これにより機能障害をくい止めて引き続き自動車の安全な運行が可能になるか、或いは問題のある−つまりは安全でない−車両運行が発生する可能性が防止できるようになる。

別の同列の請求項の対象は、ここでは自動車に関する。自動車はこのとき、少なくとも一つの自動車コンポーネントと、自動車の機能の異常な挙動をバックエンドに伝送するとともに、この機能の異常な挙動に関する命令を受信する移動体無線通信機器と、本発明の自動車において自動車機能を監視および修正する装置とを備える。その際に、自動車コンポーネントは、安全なコンフィギュレーションを有し、この安全なコンフィギュレーションは、有利にはこの安全なコンフィギュレーションの不正操作に対して保護されている。本発明の自動車において自動車機能を監視および修正する装置は、本発明の何れかの方法を実施するように構成されている。

本発明による教示によって、自動車または自動車の一部の機能障害が発生した場合に、自動車がこの挙動を認識することができ、バックエンドシステムの助けを借りて、発生した機能障害或いはその機能障害に係る車両機能ないし制御機器に対する相応しいソリューションを自律的に探索することができ、それに続き、発生した機能障害に対する相応しいソリューションを提供できるとの利点が得られる。

従って、別の利点は発生した機能障害に対して即座に適切に対処できることであり、これにより機能障害をくい止めて引き続き自動車の安全な運行が可能になるか、或いは問題のある−つまりは安全でない−車両運行が発生する可能性が防止できるようになる。

別の同列の請求項の対象は、このとき本発明の装置および／または本発明の自動車のためのコンピュータプログラム製品に関し、この装置は、本発明の何れかの方法に従って動作可能である。

本発明による教示によって、本方法を特に効率的かつ自動的に実施できるとの利点が得られる。

ここで、別の同列の請求項の対象は、本発明のコンピュータプログラム製品を有するデータ媒体に関する。

本発明による教示によって、本方法を実施する装置、システムおよび／または自動車に本方法を特に効率的に分配または保持させることができるとの利点が得られる。

以下において本発明の実施形態を詳しく説明する前に、先ずは、本発明がここで述べる構成要素またはここで述べる方法の工程に限定されないことに留意すべきである。更に、ここで使用する技術も、限定を表すのではなく、単に例示する性質を有する。ここで、本明細書および請求項において単数形が使用されている場合、文脈がそのことを明示的に排除しない限り、それぞれ複数形も含まれる。場合によっては有り得る方法の工程は、文脈がそのことを明示的に排除しない限り、自動的に実施することができる。

以下において、本発明の方法の別の実施形態を説明する。

第一の実施形態では、本方法は更に、安全なコンフィギュレーションへの自動車コンポーネントの移行が不可能である場合に、適切な対応として自動車コンポーネントを停止するとの特徴を有する。

この実施形態は、機能障害に係る自動車コンポーネントを安全なコンフィギュレーションに移行できない場合でも、自動車を安全に運行させることが可能な緊急動作を実現できるとの利点を有する。

別の実施形態では、本方法は更に、自動車コンポーネントの停止が成功しない場合に、適切な対応として自動車を安全な状態に移行させるとの特徴を有する。ここで、安全な状態には、安全性および／または保安性に関して自動車の安全な運行が含まれる。

本発明の意味における“安全な運行”とはここで、自動車の走行動作および／または車両運行の安全性および／または保安性の観点において機能的に安全な運行を意味する。

本発明の意味における“安全性（セーフティ）に係る”とはここで、ＩＳＯ２６２６２及びそれに基づく規格といった有効な安全規格に関して関連があることを意味する。

本発明の意味における“保安性（セキュリティ）に係る”とはここで、アクセス保護、侵入に対する保護、データ改竄および／またはデータ不正操作と制御機器の不正操作等に対する保護に関して関連があることを意味する。

本発明の意味における“危険な事象に対する安全な状態”とはここで、制御すべき安全性に係る機能／システム／モジュールと、場合によってはそれらと繋がった別の安全性に係る機能／システム／モジュールとに関して、それらから身体および生命の是認できないリスクが生じ得ない、然るべき走行状況および／または車両機能ないし自動車制御機器の状態を意味するとしてよい。

この実施形態は、安全性および／または保安性に係る自動車の危険な機能障害に対処するとともに、運行中の自動車が機能的に安全な状態に留まることを保証できるとの利点を有する。

別の実施形態では、本方法は更に、安全な状態への自動車の移行が不可能である場合に、適切な対応として、自動車の走行動作を停止するとの特徴を有する。

この実施形態は、取り除くことができない自動車コンポーネントの機能障害が存在する自動車に関して、その自動車を安全でない状態で運行させることを防止できるとの利点を有する。

別の実施形態では、本方法は更に、自動車の走行動作の停止が、自動車の安全性関連に関して安全確実に行なわれるとの特徴を有する。

この実施形態は、自動車の停止を無事故で実施できるとの利点を有する。

別の実施形態では、本方法は更に、自動車において成功裏にとられた緊急措置として、実施された適切な対応をバックエンドに伝送するとの特徴を有する。

この実施形態は、自動車に伝送される命令に対する品質保証が可能になるとの利点を有する。

別の利点は、実施された適切な対応をバックエンドに記録できることで、それに基づく別のソリューションの可能性を見つけ出すことができるか、或いは伝送された命令を更に発展させて、その命令を継続的に改善できることである。

別の実施形態では、本方法は更に、機能の異常な挙動を将来的に排除および／阻止するために自動車でとるべき永続的な措置を指示するパッチを異常訂正命令としてバックエンドから受信する工程を有する。

この実施形態は、異常な挙動の新たな発生の阻止、或いはその異常な挙動の新たな発生時に自動車の機能の機能的に安全な動作を可能にできるように、機能障害または機能の異常な挙動に対して、一時的なソリューションからさらに恒久的な修正を提供できるとの利点を有する。

別の実施形態では、本方法は更に、有利には受信した命令に基づき、自動車の機能の異常な挙動に同じように見舞われている別の自動車コンポーネントを特定する工程と、自動車コンポーネントを修正するためのさらなる工程をこの別の自動車コンポーネントに適切に適用する工程とを有する。

本発明の意味における“自動車コンポーネントを修正するためのさらなる工程をこの別の自動車コンポーネントに適切に適用する”とはここで、自動車コンポーネントの異常な挙動を除去および／または訂正するための前述した実施形態における方法の一部をこの別の自動車コンポーネントにも適用できることを意味する。

この実施形態は、別の関連する機能の異常な挙動に対するソリューションを提供できるとの利点を有する。

別の実施形態では、本方法は更に、別の自動車に、その別の自動車において採るべき目下の及び／又は予防的な緊急措置に関する命令として、実施された適切な対応を伝送する工程を有する。

この実施形態は、別の自動車がその時点で未だ異常な挙動に関連していない場合でも、それらの自動車が異常な挙動に対して準備または事前に調整できるとの利点を有する。

別の実施形態では、本方法は更に、実施された適切な対応の、別の自動車への伝送が自動車から行なわれるとの特徴を有する。

この実施形態は、異常な挙動に関連する自動車そのものが、別の複数の自動車に然るべく準備をさせることができるとの利点を有する。

別の実施形態では、本方法は更に、実施された適切な対応の、別の自動車への伝送がバックエンドから行なわれるとの特徴を有する。

この実施形態は、バックエンドが、異常な挙動に関連する自動車から情報を得た後、別の自動車に然るべく準備をするように命令を出すことができるとの利点を有する。

別の実施形態では、本方法は更に、自動車の機能の異常な挙動の特定がバックエンド、自動車の乗員および自動車独自のルーチンの中の一つ以上によって確認可能であるとの特徴を有する。

この実施形態は、異常な挙動の発生が複数の特定主体によって確認できるとの利点を有する。それによって、異常な挙動の発見速度を上げることができる。それによって、異常の最初の発生からその発見までの時間を低減することができ、それにより自動車の安全・保安性または自動車の信頼性を向上することができる。

別の実施形態では、本方法は更に、バックエンドが自動車外部の認証された権限を有するとの特徴を有する。

この実施形態は、ここで提案する発明が悪用される可能性、例えば、そのような異常な挙動を送り込むのに使用するために悪用される可能性を完全に防止できない場合でも、少なくとも低減はできるとの利点を有する。

別の実施形態では、本方法は更に、如何なる判断基準に基づき適切な対応を再び解除できるかという指示を命令が有しているとの特徴を有する。

そのような判断基準は、時間に制約されたものでもよいが、機能の状態や自動車の状態といった所定の状態であって、そのような判断基準が存在するときには実施すべき修正を解除することにしている所定の状態とすることもできる。

この実施形態は、実施すべき修正を再び解除するか或いは元に戻す手段が設けられているとの利点を有する。それは、特に、異常な挙動が単に一時的なものであることが明らかな場合にはじめて可能であるとしてもよい。

別の実施形態では、本方法は更に、自動車の機能の異常な挙動が自動車または自動車コンポーネントのハッキングを示しているとの特徴を有する。

ハッキングはこのとき、データ不正操作または制御機器の不正操作によって、例えば、ワイヤレスソリューションを用いた自動車外からの所謂ハッキング攻撃によって行なわれる可能性がある。

この実施形態は、自動車の不正外部操作ないし自動車の自動車機能の不正外部操作に出来る限り速く対処できることで、不正外部操作（乗っ取り）（Ｋｏｍｐｒｏｍｉｔｔｉｅｒｅｎ）をくい止めることができるようになるとの利点を有する。

別の実施形態では、本方法は更に、機能の異常な挙動が、自動車の機能的に安全な運行を危険に晒すのに当てはまっているとの特徴を有する。

この実施形態は、車両の危険に係る機能に対して、然るべき修正手段および介入手段を提供または実施できるとの利点を有する。

別の実施形態では、本方法は更に、自動車コンポーネントの安全なコンフィギュレーションが、その安全なコンフィギュレーションの不正操作に対して保護されているとの特徴を有する。

この実施形態は、特にハッキングに対して保護された、自動車機能に対するフォールバックオプション（Ｒuｃｋｆａｌｌｏｐｔｉｏｎ）を設けることができるとの利点を有する。

従って、本発明は、自動車の異常な挙動に対処するとともに予防措置を提供および実施できることが可能となるため、そのような異常な挙動を捕捉でき、それにより、自動車がそのような場合に自動車の引き続き機能的に安全な運行を提供できるようになる。そのため、自動車（すなわち組み込まれた相応の部分を含む。）、運転者および具体的な走行状況に対してアレンジされた固有の機能パラメータ設定をバックエンドで生成して、車両にロードすることが可能であり、そのパラメータ設定は更に、バックエンドからの追加情報を考慮することができる。

これらの機能に関して、デフォルトパラメータ設定が車両に保存されており、その設定は、必要に応じて、制限された機能性だけを可能にする。極端な場合、それは、問題解決策としての適正なパラメータデータセットが入手可能になるまでの機能の無効化を意味するのでもよい。

そして、然るべき関連する車両特性において、異常な挙動として解釈できる危険な事象が確認された場合に、然るべきパラメータデータセットが探索されて用意され、そのデータセットは、例えば、パラメータ情報として、然るべき制御機器ないし然るべき機能の、然るべき機能パラメータ設定ないし機能制限を含むか、或いは完全な機能有効化許可（Ｆｕｎｋｔｉｏｎｓａｋｔｉｖｉｅｒｕｎｇｓｆｒｅｉｇａｂｅ）を含まないことが可能である。

そのため、機能ないし制御機器の一部領域が異常な挙動を示したら、それらの一部領域、つまり細部をバックエンドによって無効化および／または修正することができる。

特に、発生した自動車の故障や機能不全を除去することができる。

自動車のハッキングの場合、特に効果的に介入することができるので、そのハッキングの影響に対しても、そのハッキング自体に対しても有効に対抗することができる。

従って、船構造における水の侵入に対して区画化された“隔壁システム”と同様に、自動車において、安全性および保安性に係る緊急な問題の発生時に影響を受け易い車両範囲を動的に隔離することに関して、次の措置を提案する。

これは、バックエンドまたは車両において監視アルゴリズムにより安全性または保安性の問題が認識された場合に、安全・保安機構がコーディネートされて構築されるように車両の安全・保安制御ユニットを用いて実現することができる。

そのような安全・保安機構の幾つかの例は、以下の通りである。
Ａ）所定または全ての、アプリケーション情報、信号および診断情報に関する、例えば所定の情報タイプないしＩＤのブロック、受信機、送信機、バスに関するゲートウェイテーブルの（何処のバスから何処のバスに、或いは何処の制御機器から何処の制御機器にルーティングするのかのルーティング・ルールを用いた）適合化
Ｂ）例えば所定の情報タイプを変換しないといった、イーサネット／ＩＰ等のスイッチコンフィギュレーションとルータコンフィギュレーションの変更
Ｃ）一つのバスから別のバスに、或いは一つの（ＳＧとも呼ばれる）制御機器から別のＳＧに単位時間当たり最大限変換される情報の適合化（所謂サービス妨害防衛）
Ｄ）スイッチまたはゲートウェイにおける所定の発信者または受信者の情報のブロック
Ｅ）所定の制御機器および／またはセンサー／アクチュエータの完全無効化（例えば、無電流にスイッチング、ブートローダーへの置換、全出力情報のブロック、ＬＩＮバスの無効化、ＬＩＮセンサー／アクチュエータの無効化を用いる。）
Ｆ）所定の機能の無効化または恒久的なダウングレード
Ｇ）所定のバス端子の物理的な無効化

上記の機構は、車両の中央のゲートウェイまたは分散されたゲートウェイにおいて実施することができる。

上記の機構は、その作用に関して個別的に、或いは予め規定された組合せによっても防護することができ、必要に応じて、安全性／保安性に関して認証することができる。

更に、予め規定された順序の所定の組合せを車両に配備することができる。

また、ここで挙げた機構に関する“安全・保安性最大”のコンフィギュレーション（例えばゲートウェイテーブル、通電等）を自動車に保存することができ、それらは、車両の安全・保安性を最大にするとともに、攻撃の的／残存リスクを最小限にする。更に、例えば制御機器やバスなどの部分システムに関する検疫機構を緊急に形成することができる。

そのようなコンフィギュレーションの作動開始は、ここで例示した作動開始機構によって行なうことができる。

上記の機構は、有効化されると、選択により所定の車両状態または機能状態でのみ動作可能となる。例えば、走行時だけ動作可能だが、停止状態では動作可能ではなく、インターネットアクセス時だけ動作可能だが、車両のオフライン動作状態では動作可能ではない。

そして、上記の機構の組合せの選択は、所定の車両状態または機能状態に基づき行なわれる。

上記の方法は、例えば、中央スイッチ間の中央ゲートウェイで実現することができる。

上記の機構または方法は、コマンドによって作動開始することができるか、或いはバックエンドからの−、或いは車両における−、或いは車両の使用者自身の−コンフィギュレーションの事前設定、例えば（ＨＭＩとも呼ばれる）ヒューマン・マシン・インタフェースまたはＵＳＢスティックを介したコンフィギュレーションの事前設定によっても作動開始することができる。ＨＭＩ入力は、例えば車両製造業者などのサービス提供業者から顧客に、例えば個人宛に、手紙により、電話により、或いはＵＳＢダウンロードにより伝送される相応に長く、従って安全な特定の“秘密コード”を必要条件にすることができる。

しかし、上記の機構は、安全・保安制御ユニットによる自発的な作動開始を防止する作動許可コマンドが一定期間内に繰り返し実行されない場合に、自発的に作動開始することもできる。作動許可コマンドはこのとき、バックエンドを介して、或いはバックエンドとのデータ接続が行なえない場合には、スマートフォン／ＵＳＢスティック／顧客の車両キー／ＱＲコード／バーコード／数字入力／移動体無線／ＳＭＳを介して実行することができる。

例：車両内の監視システムが、システムをためらい無く使用できるとの情報を、７日以内毎にバックエンド／スマートフォン／ＵＳＢスティック／車両キーのデータメモリ／ＱＲコード／（例えば、車両との接続部を備えたスマートフォンにより、或いは車両のカメラにより読取可能な）バーコード／移動体無線／ＳＭＳ／数字入力から得られない場合に、安全な状態をとるために上記の機構を然るべく作動開始する。バックエンドはこのとき、必要に応じて装備、ハードウェア−ソフトウェアのバージョン、実際の国・地域、顧客の振る舞い等に応じて車両毎に然るべき作動許可コードを生成することができる。

また、車両が保安性／安全性のテーマに係るのか否かを特定するとともに作動許可キーを算出するための車両データを車両が用意する機構をさらに提供することができる。オンライン接続を構築できない場合、それは、車両の使用者のスマートフォン、ＵＳＢスティック／車両の使用者の車両キー／ＱＲコード／バーコード／スマートフォンおよび／またはヘッドユニットでのコードの表示等を介して行うこともできる。そして、このコードは、車両外のコンピュータからバックエンドにおいて入力されなければならない。

上記の機構は、場合によっては、２要素認証によって作動開始することができ、例えば、二つの独立した技術経路を介して作動開始または作動許可コードを受信した場合にのみ、作動開始または自発的な作動開始の無効化を実行することができる。

この場合、作動開始が実行されたというフィードバックを車両の使用者に行なうことができる。車両の使用者による確認を行なうこともできる。また、作動許可コードが更新されない場合に、自発的な作動開始が直ぐにでも実施されるとの通報を行なうこともできる。

更に、“安全・保安制御ユニット”と独立して、安全・保安制御ユニットによる安全・保安コンフィギュレーションが成功したのか否かを調べる検査ユニットを車両に配備することができる。これは、例えば、試験情報等の送信で機能／制御機器が無効化されているかどうかバスにおいて監視（ｌａｕｓｃｈｅｎ）することによって行なうことができる。

この場合、検査ユニットは、特に保証／認証／保護された形態で実現することができる。

また、安全・保安コンフィギュレーションが成功裏に実行されたのかどうかの検査ユニットの応答をバックエンド宛てに行なうことができる。

また、“安全・保安制御ユニット”と“付加検査ユニット”の相互検査を、例えばアライブ（Ａｌｉｖｅ）、行動検査、署名／ＣＲＣ／指紋／証明書によって実施することができる。この場合、相互検査が失敗した場合の非常措置、例えば、バックエンドの通報、安全・保安措置（例えば、安全・保安性最大の設定実施など）の無効化または有効化などを提供することができる。

また、制御機器と機能のエラー通知および通報態様と署名のサイクリックな検査をこの付加検査ユニットにより実施することができる。ここでも、検証が上手くいかない場合に、非常措置を採ることができる。この場合、判定される区画は、安全性または保安性のＩＳＯ２６２６２に関して認証するとの意味において設けることができる。

例えば車両のリモートソフトウェア更新機能、ＨＡＦ機能、制御機器の機能の故障認識などの個々の機能の観点からも、安全・保安制御ユニットおよび付加検査ユニットによっても、バックエンド側からも、コンフィギュレーションを実施および有効化するための変更態様を提供または用意することができる。

以下に本発明を図面に基づき詳しく説明する。

本発明の一つの実施形態による提案方法の概略図である。 本発明の別の実施形態による提案方法の概略図である。 本発明の別の実施形態による提案方法の概略図である。 本発明の別の実施形態による提案方法の概略図である。 本発明の別の実施形態による提案方法の概略図である。 本発明の別の実施形態による提案方法の概略図である。 本発明の別の実施形態による提案方法の概略図である。 本発明の別の実施形態による提案方法の概略図である。 本発明の別の実施形態による提案装置の概略図である。 本発明の別の実施形態による提案自動車の概略図である。

図１は、本発明の一つの実施形態による提案方法の概略図を示している。

図１はここで、自動車１００における自動車機能の監視および修正方法の概略を図示している。本例では、この方法は、自動車１００の機能１１０の異常な挙動１１２を特定する工程１０と、自動車１００の機能１１０の異常な挙動１１２をバックエンド２００に伝送する工程２０と、バックエンド２００から命令２３０を受信する工程３０であって、命令２３０が、機能１１０の異常な挙動１１２に対して適切な対応を実行するために、自動車１００において採るべき緊急措置を指示する工程３０と、受信した命令２３０に基づき、自動車１００の機能１１０の異常な挙動１１２の原因である自動車コンポーネント１４０を特定する工程４０と、適切な対応として、自動車コンポーネント１４０をダウングレードされたコンフィギュレーション（低機能化された環境設定）に移行する工程５０であって、このダウングレードされたコンフィギュレーションが、その自動車コンポーネントのそれまでのコンフィギュレーションよりも制限された機能範囲を有する工程５０とを有する。このダウングレードされたコンフィギュレーションへの自動車コンポーネント１４０の移行５０が不可能である場合に、本方法は更に、適切な対応として、自動車コンポーネント１４０を安全なコンフィギュレーションに移行する工程５２を有し、その際に、自動車コンポーネント１４０にはこの安全なコンフィギュレーションが保持されている。

図２は、本発明の別の実施形態による提案方法の概略を図示している。

図２は、図１について更に発展させた方法の概略図を図示している。従って、図１に関して前に述べたことは、図２にも有効である。

図２は、図１に基づく方法を図示しており、この方法は更に、安全なコンフィギュレーションへの自動車コンポーネント１４０の移行５２が不可能である場合に、適切な対応として、その自動車コンポーネント１４０を停止する工程５４を有する。

図３は、本発明の別の実施形態による提案方法の概略を図示している。

ここで、図３は、図１および図２について更に発展させた方法の概略を図示している。従って、図１および図２に関して前に述べたことは、図３にも有効である。

図３は、図２に基づく方法を図示しており、この方法は更に、自動車コンポーネント１４０の停止５４が成功しなかった場合に、適切な対応として、その自動車コンポーネント１４０を安全な状態に移行する工程５６を有し、この安全な状態には、安全性および／または保安性に関して自動車１００の安全な運行が含まれる。

図４は、本発明の別の実施形態による提案方法の概略を図示している。

ここで、図４は、図１〜図３について更に発展させた方法の概略を図示している。従って、図１〜図３に関して前に述べたことは、図４にも有効である。

図４は、図３に基づく方法を図示しており、この方法は更に、安全な状態への自動車コンポーネント１４０の移行５６が不可能である場合に、適切な対応として、自動車の走行状態を停止する工程５８を有する。

図５は、本発明の別の実施形態による提案方法の概略を図示している。

ここで、図５は、図１〜図４について更に発展させた方法の概略図を図示している。従って、図１〜図４に関して前に述べたことは、図５にも有効である。

図５は、図４に基づく方法を図示しており、この方法は更に、自動車１００において成功裏に採られた緊急措置として実施された適切な対応をバックエンド２００に伝送する工程６０を有する。

図６は、本発明の別の実施形態による提案方法の概略を図示している。

ここで、図６は、図１について更に発展させた方法の概略を図示している。従って、図１に関して前に述べたことは、図６にも有効である。

図６は、図１に基づく方法を図示しており、この方法は更に、機能１１０の異常な挙動１１２を将来的に排除および／または阻止するために自動車１００でとるべき永続的な措置を指示するパッチを異常訂正命令としてバックエンド２００から受信する工程７０を有する。

図７は、本発明の別の実施形態による提案方法の概略図を図示している。

ここで、図７は、図１について更に発展させた方法の概略図を図示している。従って、図１に関して前に述べたことは、図７にも有効である。

図７は、図１に基づく方法を図示しており、この方法は更に、有利には受信した命令２３０に基づき、自動車１００の機能１１０の異常な挙動１１２に同じように見舞われている別の自動車コンポーネント１４２を特定する工程４２と、自動車コンポーネント１４０を修正するためのさらなる工程５０，５２，５４，５６，５８，６０，７０をこの別の自動車コンポーネント１４２に適切に適用する工程とを有する。

図８は、本発明の別の実施形態による提案方法の概略を図示している。

ここで、図８は、図１について更に発展させた方法の概略を図示している。従って、図１に関して前に述べたことは、図８にも有効である。

図８は、図１に基づく方法を図示しており、この方法は更に、別の自動車３００に、その別の自動車３００において採るべき目下のおよび／または予防的な緊急措置に関する命令２３０として、実施された適切な対応を伝送する工程８０を有する。

図９は、本発明の別の実施形態による提案装置の概略を図示している。

ここで、図９は、自動車１００において自動車機能を監視および修正する提案装置４００の概略を図示している。この装置４００は、本例では、自動車１００の機能１１０の異常な挙動１１２を特定１０する機能監視機器４１０と、自動車１００の機能１１０の異常な挙動１１２の原因である自動車コンポーネント１４０を特定４０する特定手段４４０と、この自動車コンポーネント１４０をダウングレードされたコンフィギュレーションおよび／または安全なコンフィギュレーションに移行５０，５２させる修正手段４５０とを備えている。ここで、ダウングレードされたコンフィギュレーションは、その自動車コンポーネントのそれまでのコンフィギュレーションよりも制限された機能範囲を有する。自動車コンポーネント１４０には安全なコンフィギュレーションが保持されている。自動車コンポーネント１４０の安全なコンフィギュレーションはこのとき、この安全なコンフィギュレーションの不正操作に対して保護されている。この装置４００はこのとき、本発明の何れかの方法を実施するように構成されている。

図１０は、本発明の一つの実施形態による提案自動車の概略を図示している。

ここで、図１０は、自動車１００の概略を図示し、当該自動車１００は、少なくとも一つの自動車コンポーネント１４０と、自動車１００の機能１１０の異常な挙動１１２をバックエンド２００に伝送２０するとともに、この機能１１０の異常な挙動１１２に関する命令２３０を受信３０する移動体無線通信機器１２０と、本発明の自動車１００において自動車機能を監視および修正する装置４００とを備える。その際に、自動車コンポーネント１４０は、安全なコンフィギュレーションを有し、この安全なコンフィギュレーションは、有利にはこの安全なコンフィギュレーションの不正操作に対して保護されている。

本発明の自動車機能を監視および修正する装置４００はここで、自動車１００における機能１１０の適切な監視と、自動車１００における必要な場合の適切な修正とを実施できるようにするために、移動体無線通信機器１２０と通信する。

本発明の思想は、以下の通り要約することができる。車両の所定の機能ないし制御機器に関して、それらの機能のために存在するパラメータセットが、車両またはそれに付属する機能により始動されるバックエンドまたはサーバーへの問い合わせによって変更できることを可能にする方法、それに関する装置および自動車が提供される。特に、その変更は、一時的に行なうこともできる。それは、自動車の機能の異常な挙動が確認された場合に行なわれる。

車両においては、そこに保存された機能ないし制御機器用パラメータは、それに対応する機能ないし制御機器用パラメータセットの言わばデフォルト値のようなものと見做される。これらのパラメータセットは、ここで提案する発明に基づき、問題データベースに相応の問題解決策が要求され、それが伝送されることによって必要に応じて変更することができるが、そこには、然るべき制御機器の対応するパラメータの相応のデフォルトパラメータ値の回避策としての然るべきパラメータ情報が含まれる。この場合、危険な事象、即ち異常な挙動の問題解決策に関する適切なパラメータまたはパラメータセットの有効性は、場合によっては、前段階において保証または認証することができる。

即ち、自動車または自動車の然るべき装置は、自発的にバックエンドとのオンライン接続を構築して、バックエンドから、バックエンドで特定／算出された最適なパラメータ設定をパラメータ情報として取り出して、その最適なパラメータ値によりデフォルト値を上書きする。上書きはこのとき、特に、一時的に行なうことができ、そのためデフォルト値は消去されない。

一時的な値にはこのとき判断基準を基本条件として付与できるので、そのような判断基準が満たされれば、これらの機能は最早バックエンドからの一時的な値によってパラメータ設定されるのではなく、デフォルト値によって改めてパラメータ設定されることになる。

このように装備された機能又はこのように装備された制御機器、例えばドライバ支援機能の“自動ハイビーム”などは、異常な挙動が発生した場合に、バックエンドにおける問い合わせとして然るべきメッセージを発出し、対応する機能に適したパラメータ設定が返送される。そのようなパラメータ設定はこのとき、自動ハイビームを例にすれば、例えば値“０”が間違って“１”に変換されたことで遮光するかわり対向車に向けて照明を当ててしまう異常な挙動に注目し、これを訂正することができるであろう。

１０ 自動車機能の異常な挙動の特定
２０ バックエンドへの自動車機能の異常な挙動の伝送
３０ バックエンドからの命令の受信
４０ 自動車コンポーネントの特定
５０ ダウングレードされたコンフィギュレーションへの自動車コンポーネントの移行
５２ 安全なコンフィギュレーションへの自動車コンポーネントの移行
５４ 自動車コンポーネントの停止
５６ 安全な状態への自動車の移行
５８ 自動車の走行動作の停止
６０ バックエンドへの実施された適切な対応の伝送
７０ バックエンドからのパッチの受信
８０ 別の自動車への実施された適切な対応の伝送
１００ 自動車
１１０ 自動車の機能
１１２ 自動車の機能の異常な挙動
１２０ 移動体無線通信機器
１４０ 自動車コンポーネント
１４２ 別の自動車コンポーネント
２００ バックエンド
２３０ 命令
３００ 別の自動車
４００ 本装置
４１０ 機能監視機器
４４０ 特定手段
４５０ 修正手段

Claims (21)

1. 自動車（１００）において自動車機能を監視および修正する方法において、
   自動車コンポーネント（１４０）により実行され、自動車（１００）の動作を操作するプロセスである自動車（１００）の機能（１１０）の異常な挙動（１１２）を特定する工程（１０）と、
   自動車（１００）の機能（１１０）の特定された異常な挙動（１１２）をバックエンド（２００）に伝送する工程（２０）と、
   バックエンド（２００）において、機能障害或いはその機能障害に係る車両機能ないし制御機器に対する適切なソリューションが探索され、機能障害に対する相応しいソリューションが用意される工程と、
   バックエンド（２００）から命令（２３０）を受信する工程（３０）であって、この命令（２３０）が、機能（１１０）の異常な挙動（１１２）に対して適切な対応を実行するために、自動車（１００）において採るべき緊急措置を指示する工程と、
   受信した命令（２３０）に基づき、自動車（１００）の機能（１１０）の異常な挙動（１１２）の原因である自動車コンポーネント（１４０）を、その機能を実行する自動車コンポーネント（１４０）の中から特定する工程（４０）と、
   適切な対応として、自動車（１００）の機能（１１０）の異常な挙動（１１２）の原因であると特定された自動車コンポーネント（１４０）をダウングレードされたコンフィギュレーションに移行する工程（５０）であって、ダウングレードされたコンフィギュレーションが、その自動車コンポーネントのそれまでのコンフィギュレーションよりも制限された機能範囲を有する工程と、
   ダウングレードされたコンフィギュレーションへの自動車コンポーネント（１４０）の移行（５０）が不可能である場合に、
   適切な対応として、自動車コンポーネント（１４０）を安全なコンフィギュレーションに移行し、自動車コンポーネント（１４０）には、この安全なコンフィギュレーションが保持されている工程（５２）と、
   を有する方法。
2. 安全なコンフィギュレーションへの自動車コンポーネント（１４０）の移行（５２）が不可能である場合に、適切な対応として、その自動車コンポーネント（１４０）を停止する工程（５４）を更に有する請求項１に記載の方法。
3. 自動車コンポーネント（１４０）の停止（５４）が成功しなかった場合に、適切な対応として、自動車（１００）を安全な状態に移行する工程（５６）を更に有し、この安全な状態には、安全性および／または保安性に関して自動車（１００）の安全な運行が含まれる請求項２に記載の方法。
4. 安全な状態への自動車（１００）の移行（５６）が不可能である場合に、適切な対応として、自動車（１００）の走行動作を停止する工程（５８）を更に有する請求項３に記載の方法。
5. 自動車（１００）の走行動作の停止（５８）が、自動車（１００）の安全性に関して安全に行なわれる請求項４に記載の方法。
6. 自動車（１００）において成功裏に採られた緊急措置として実施された適切な対応をバックエンド（２００）に伝送する工程（６０）を更に有する請求項１から５までのいずれか一つに記載の方法。
7. 機能（１１０）の異常な挙動（１１２）を将来的に排除および／または阻止するために自動車（１００）でとるべき永続的な措置を指示するパッチを異常訂正命令としてバックエンド（２００）から受信する工程（７０）を更に有する請求項１から６までのいずれか一つに記載の方法。
8. 有利には受信した命令（２３０）に基づき、自動車（１００）の機能（１１０）の異常な挙動（１１２）に同じように見舞われている別の自動車コンポーネント（１４２）を特定する工程（４２）と、
   自動車コンポーネント（１４０）を修正するためのさらなる工程（５０，５２，５４，５６，５８，６０，７０）をこの別の自動車コンポーネント（１４２）に適切に適用する工程と、
   を更に有する請求項１から７までのいずれか一つに記載の方法。
9. 別の自動車（３００）に対して、その別の自動車（３００）において採るべき実際の緊急措置および／または予防的な緊急措置に関する命令（２３０）として、実施した適切な対応を伝送する工程（８０）を更に有する請求項１から８までのいずれか一つに記載の方法。
10. 実施した適切な対応の、別の自動車（３００）への伝送（８０）が自動車（１００）から行なわれる請求項９に記載の方法。
11. 実施した適切な対応の、別の自動車（３００）への伝送（８０）がバックエンド（２００）から行なわれる請求項９又は１０に記載の方法。
12. 自動車（１００）の機能（１１０）の異常な挙動（１１２）の特定（１０）が、バックエンド（２００）、自動車の乗員および自動車独自のルーチンの中の一つ以上によって確認可能である請求項１から１１までのいずれか一つに記載の方法。
13. バックエンド（２００）が、自動車外部の認証された権限を有する請求項１から１２までのいずれか一つに記載の方法。
14. 命令（２３０）が、如何なる判断基準に基づき適切な対応を再び解除できるかとの指示を有する請求項１から１３までのいずれか一つに記載の方法。
15. 自動車（１００）の機能（１１０）の異常な挙動（１１２）が、自動車（１００）または自動車コンポーネント（１４０）のハッキングを示している請求項１から１４までのいずれか一つに記載の方法。
16. 機能（１１０）の異常な挙動（１１２）が、自動車（１００）の機能的に安全な運行を危険に晒す特質を有している請求項１から１５までのいずれか一つに記載の方法。
17. 自動車コンポーネント（１４０）の安全なコンフィギュレーションが、その安全なコンフィギュレーションの不正操作に対して保護されている請求項１から１６までのいずれか一つに記載の方法。
18. 自動車（１００）において自動車機能を監視および修正する装置（４００）において、 装置（４００）は、
    自動車（１００）の機能（１１０）の異常な挙動（１１２）を特定（１０）する機能監視機器（４１０）と、
    自動車（１００）の機能（１１０）の異常な挙動（１１２）の原因である自動車コンポーネント（１４０）を特定（４０）する特定手段（４４０）と、
    自動車コンポーネント（１４０）を、
    ダウングレードされたコンフィギュレーションおよび／または安全なコンフィギュレーションに移行（５０，５２）させる修正手段（４５０）であって、
    ダウングレードされたコンフィギュレーションは、その自動車コンポーネントのそれまでのコンフィギュレーションよりも制限された機能範囲を有し、
    安全なコンフィギュレーションは、自動車コンポーネント（１４０）に保持されており、この自動車コンポーネント（１４０）の安全なコンフィギュレーションが、その安全なコンフィギュレーションの不正操作に対して保護されている、
    修正手段（４５０）と、を備え、
    装置（４００）が、請求項１から１７までのいずれか一つに記載の方法を実施するように構成されている、
    装置。
19. 少なくとも一つの自動車コンポーネント（１４０）であって、自動車コンポーネント（１４０）が、安全なコンフィギュレーションを有し、有利には安全なコンフィギュレーションが安全なコンフィギュレーションの不正操作に対して保護されている少なくとも一つの自動車コンポーネントと、
    自動車（１００）の機能（１１０）の異常な挙動（１１２）をバックエンド（２００）に伝送（２０）するとともに、その機能（１１０）の異常な挙動（１１２）に関する命令（２３０）を受信（３０）する移動体無線通信機器（１２０）と、
    自動車（１００）において自動車機能を監視および修正する、請求項１８に記載の装置（４００）と、
    を備えた自動車（１００）。
20. 請求項１８に記載の装置（４００）および／または請求項１９に記載の自動車（１００）のためのコンピュータプログラム製品であって、
    請求項１８に記載の装置（４００）が、請求項１から１７までのいずれか一つに記載の方法に従って動作可能であるコンピュータプログラム製品。
21. 請求項２０に記載のコンピュータプログラム製品を有するデータ媒体。

Images