JP6972437B2 - 電子制御ユニット及びプログラム - Google Patents

電子制御ユニット及びプログラム Download PDF

Info

Publication number
JP6972437B2
JP6972437B2 JP2021528812A JP2021528812A JP6972437B2 JP 6972437 B2 JP6972437 B2 JP 6972437B2 JP 2021528812 A JP2021528812 A JP 2021528812A JP 2021528812 A JP2021528812 A JP 2021528812A JP 6972437 B2 JP6972437 B2 JP 6972437B2
Authority
JP
Japan
Prior art keywords
domain
basic
unit
management
extended
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2021528812A
Other languages
English (en)
Other versions
JPWO2020261519A1 (ja
Inventor
吉章 片山
雄也 高塚
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mitsubishi Electric Corp
Original Assignee
Mitsubishi Electric Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Mitsubishi Electric Corp filed Critical Mitsubishi Electric Corp
Publication of JPWO2020261519A1 publication Critical patent/JPWO2020261519A1/ja
Application granted granted Critical
Publication of JP6972437B2 publication Critical patent/JP6972437B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0225—Failure correction strategy
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/568—Computer malware detection or handling, e.g. anti-virus arrangements eliminating virus, restoring damaged files
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/023—Avoiding failures by using redundant parts
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/029—Adapting to failures or work around with other constraints, e.g. circumvention by avoiding use of failed parts
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
    • G05B23/0259—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterized by the response to fault detection
    • G05B23/0283—Predictive maintenance, e.g. involving the monitoring of a system and, based on the monitoring results, taking decisions on the maintenance schedule of the monitored system; Estimating remaining useful life [RUL]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/029—Adapting to failures or work around with other constraints, e.g. circumvention by avoiding use of failed parts
    • B60W2050/0292—Fail-safe or redundant systems, e.g. limp-home or backup systems
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0428—Safety, monitoring
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2223/00—Indexing scheme associated with group G05B23/00
    • G05B2223/06—Remote monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45587—Isolation or security of virtual machine instances
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45595—Network integration; Enabling network access in virtual machine instances

Landscapes

  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Mechanical Engineering (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Human Computer Interaction (AREA)
  • Transportation (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Virology (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Quality & Reliability (AREA)
  • Small-Scale Networks (AREA)
  • Hardware Redundancy (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

本発明は、車両に搭載される電子制御ユニットに関する。本発明は、複数の電子制御ユニット（ＥＣＵ：Ｅｌｅｃｔｒｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）がネットワーク接続される車載システムの信頼性に関する。以下では、電子制御ユニットはＥＣＵと表記する。
従来の車載システムは、ＥＣＵの故障に備えて、ＥＣＵの故障確率に基づき、ＥＣＵの機能を別のＥＣＵに移動する。これによって、仮にＥＣＵが故障した場合であっても、すでに移動されている機能を別のＥＣＵが実行しているので、機能が停止する不具合が防止できる。（例えば、特許文献１）。
特開２０１８−９９９７２号公報
しかし、従来の車載システムは、ＥＣＵの故障確率に基づき、ＥＣＵの機能を別のＥＣＵに移動する。
このため、故障確率が低く故障が発生しないと判定されたＥＣＵに故障が発生した場合には、故障が発生したＥＣＵの機能を別のＥＣＵに移動できない恐れがある。また、機能の移動が可能であっても、故障が発生したＥＣＵと別のＥＣＵとの間で、機能を移動するための通信処理の負担が大きい。
この発明は、故障のような異常が実際に発生した際に、車載システムに必須の機能を円滑に継続させる車載システムの提供を目的とする。
この発明の電子制御ユニットは、
車両に搭載される電子制御ユニットにおいて、
第１のオペレーティングシステムの元で動作し、車外ネットワークと接続し、異常の発生時に停止可能である拡張ドメイン部と、
第２のオペレーティングシステムの元で動作し、前記拡張ドメイン部に接続し、異常の発生時に動作の継続を要する基本ドメイン部と、
第３のオペレーティングシステムの元で動作し、前記拡張ドメイン部の前記異常を検出した場合に、前記拡張ドメイン部の動作を停止する管理ドメイン部と、
前記第１のオペレーティングシステムと、前記第２のオペレーティングシステムと、前記第３のオペレーティングシステムとを動作させるハイパーバイザ部と、
を備え、
前記管理ドメイン部は、
別の管理ドメイン部と前記基本ドメイン部に代替する別の基本ドメイン部とを有する別の電子制御ユニットにおける前記別の管理ドメイン部に、前記ハイパーバイザ部を介する独立の仮想ネットワークで接続しており、前記基本ドメイン部の異常を検出した場合に、前記基本ドメイン部の動作を停止し、前記別の電子制御ユニットの有する前記別の管理ドメイン部に、前記別の基本ドメイン部の動作を開始させる。
この発明の電子制御ユニットは管理ドメイン部を備えている。よって、この発明の電子制御ユニットによれば、故障のような異常が実際に発生した際に、車載システムにとって必須の機能を、円滑に継続させることができる。
実施の形態１の図で、車載システム１００のハードウェア構成図。 実施の形態１の図で、車載システム１００のソフトウェア構成図。 実施の形態１の図で、車載システム１００のソフトウェア構成図。 実施の形態１の図で、車載システム１００の動作を示すフローチャート。 実施の形態１の図で、車載システム１００の動作を示すフローチャート。 実施の形態１の図で、感染ドメインリスト１６Ａを示す図。 実施の形態１の図で、ドメイン構成情報１４０を示す図。 実施の形態２の図で、ＥＣＵ（Ａ）１のソフトウェア構成図。 実施の形態２の図で、車載システム１００の動作を示すフローチャート。 実施の形態２の図で、車載システム１００の動作を示すフローチャート。
以下、本発明の実施の形態について、図を用いて説明する。なお、各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、説明を適宜省略または簡略化する。なお以下の説明では、アプリケーションはアプリと表記する。
（１）以下の説明では、オペレーティングシステムはＯＳと表記する。
（２）以下の説明では、Ｉ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）装置はＩ／Ｏと表記する。
（３）以下の説明では、車載システム１００は、異常として、サイバー攻撃による感染、または、故障に対処する。以下の説明で異常とは、ＥＣＵにおけるサイバー攻撃による感染、または、ＥＣＵにおける故障を意味するが、他の異常でもよい。
実施の形態１．
＊＊＊構成の説明＊＊＊
図１から図８を参照して実施の形態１の車載システム１００を説明する。
図１は、車載システム１００のハードウェア構成図である。車載システム１００は複数のＥＣＵを備えている。複数のＥＣＵは車両に搭載される。ＥＣＵ同士は車内ネットワーク８１を介して接続される。図１では車載システム１００が４台のＥＣＵを備える構成を示す。車載システム１００の備える複数のＥＣＵは、２台、３台あるいは５台以上でも良い。以下では、４台のＥＣＵを、ＥＣＵ（Ａ）１、ＥＣＵ（Ｂ）１、ＥＣＵ（Ｃ）１及びＥＣＵ（Ｄ）１のように表記して区別する。また、各ＥＣＵは、車外ネットワーク８８を介して外部のシステムと接続されている。
ＥＣＵ（Ａ）１、ＥＣＵ（Ｂ）１、ＥＣＵ（Ｃ）１及びＥＣＵ（Ｄ）１は、同じハードウェア構成である。よって、ＥＣＵ（Ａ）１の説明は、ＥＣＵ（Ｂ）１、ＥＣＵ（Ｃ）１及びＥＣＵ（Ｄ）１にも当てはまる。図１ではＥＣＵ（Ａ）１のハードウェア構成を示している。ＥＣＵ（Ａ）１を参照してＥＣＵのハードウェア構成を説明する。ＥＣＵ（Ａ）１は、少なくとも１つのＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２Ａ、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）３Ａ、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）４Ａ，周辺コントローラ５Ａ、Ｉ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）装置６Ａ、７Ａ、８Ａ、９Ａを備えている。ＣＰＵ２Ａ、ＲＯＭ３Ａ、ＲＡＭ４Ａ、周辺コントローラ５Ａ、Ｉ／Ｏ６Ａ、Ｉ／Ｏ７Ａ、Ｉ／Ｏ８Ａ及びＩ／Ｏ９Ａは、バスで接続されている。
ＲＯＭ３Ａは、例えば、Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ（ＥＥＰＲＯＭ）またはフラッシュメモリのような不揮発性メモリである。ＲＯＭ３Ａは、ＥＣＵ１の提供する機能を実現するアプリケーションプログラム、ＯＳのプログラム及びデータを記録している。
ＲＡＭ４Ａは、揮発性メモリであり、ＣＰＵ２が処理を行うためのプログラム及びデータを記憶する。
周辺コントローラ５Ａは、割り込みコントローラ、タイマコントローラあるいはＤＭＡ（Ｄｉｒｅｃｔ Ｍｅｍｏｒｙ Ａｃｃｅｓｓ）コントローラのような装置である。
Ｉ／Ｏ６Ａ、７Ａ，８Ａ、９Ａは、Ｇｅｎｅｒａｌ Ｐｕｒｐｏｓｅ Ｉ／Ｏ（ＧＰＩＯ）、Ａ／Ｄ変換回路、Ｄ／Ａ変換回路、モータ駆動回路、通信インタフェース回路のような回路である。Ｉ／Ｏ６Ａは、センサ６１に接続する。Ｉ／Ｏ７Ａは、アクチュエータ７１に接続する。Ｉ／Ｏ８Ａは、ＥＣＵ（Ｂ）１のＩ／Ｏ８Ｂ、ＥＣＵ（Ｃ）１のＩ／Ｏ８Ｃ、ＥＣＵ（Ｄ）１のＩ／Ｏ８Ｄに接続する。Ｉ／Ｏ９Ａは、車外ネットワーク８８に接続する。
ＣＰＵ２Ａは、ＲＯＭ３Ａ及びＲＡＭ４Ａに記憶されたプログラムを読み出し、センサ６１から読み出した値をもとに演算処理を実施し、アクチュエータ７１の制御のような処理を繰り返す。センサ６１は、例えば、水温センサ、スロットル開度センサである。アクチュエータ７１は、例えば、インジェクタ及びイグナイタである。
車内ネットワーク８１は、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ），ＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）、ＦｌｅｘＲａｙのようなネットワークである。
車外ネットワーク８８は、例えば、Ｗｉ−Ｆｉ、Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ（ＬＴＥ）または５Ｇのような移動通信を介して、インターネットに接続する。
図２及び図３は、車載システム１００のソフトウェア構成を示す。図２及び図３ではＥ、Ｆで、ＥＣＵ（Ａ）１とＥＣＵ（Ｂ）１を便宜的に分けた。図２及び図３では、管理ドメイン部（Ａ）１０Ａが管理ドメイン部（Ｂ）１０Ｂに、車内ネットワーク８１を介して接続し、基本ドメイン部（Ａ）２０Ａが基本ドメイン部（Ｂ）２０Ｂに、車内ネットワーク８１を介して接続することを示している。後述のように、車内ネットワーク８１は仮想ネットワーク９１である。
図２に示すように、管理ドメイン部（Ａ）１０Ａ、基本ドメイン部（Ａ）２０Ａ、拡張ドメイン部（Ａ）３０Ａ及びハイパーバイザ部４０Ａは、ＣＰＵ２Ａによって実現される。管理ドメイン部（Ａ）１０Ａ、基本ドメイン部（Ａ）２０Ａ、拡張ドメイン部（Ａ）３０Ａ及びハイパーバイザ部４０Ａは、プログラムである。なお、ＣＰＵ２Ａは単一のＣＰＵによって実現されてもよいし、複数のＣＰＵによって実現されてもよい。単一のＣＰＵ及び複数のＣＰＵは、プロセッシングサーキットリとも呼ばれる。管理ドメイン部（Ａ）１０Ａ、基本ドメイン部（Ａ）２０Ａ、拡張ドメイン部（Ａ）３０Ａ及びハイパーバイザ部４０Ａの機能は、プロセッシングサーキットリによって実現される。管理ドメイン部（Ａ）１０Ａ、基本ドメイン部（Ａ）２０Ａ、拡張ドメイン部（Ａ）３０Ａ及びハイパーバイザ部４０Ａを実現する各プログラムは、ＲＯＭ３Ａ及びＲＡＭ４Ａに格納される。
管理ドメイン部（Ａ）１０Ａ、基本ドメイン部（Ａ）２０Ａ、拡張ドメイン部（Ａ）３０Ａ及びハイパーバイザ部４０Ａを実現する各プログラムは、コンピュータ読み取り可能な記録媒体に格納されて提供されてもよいし、プログラムプロダクトとして提供されてもよい。
プログラムにおいて、管理ドメイン部（Ａ）１０Ａは、管理機能処理に相当し、基本ドメイン部（Ａ）２０Ａは、基本機能処理に相当し、拡張ドメイン部（Ａ）３０Ａは、拡張機能処理に相当し、ハイパーバイザ部４０Ａは、ハイパーバイザ処理に相当する。
ハイパーバイザ部４０Ａは、第１のオペレーティングシステムであるＯＳ３３Ａと、第２のオペレーティングシステムであるＯＳ２３Ａと、第３のオペレーティングシステムであるＯＳ１５Ａとを動作させる。ハイパーバイザ部４０Ａは、ハイパーバイザを実行する。ハイパーバイザは、仮想マシンモニタとも呼ばれ、ＥＣＵ（Ａ）１上で複数のＯＳを動作させるためのソフトウェアである。ＯＳ１５Ａ，２３Ａ、３３Ａは、ハイパーバイザ部４０Ａ上で動作するＯＳであり、例えばＬｉｎｕｘ（登録商標）である。
管理ドメイン部（Ａ）１０Ａは、異常を、ハイパーバイザ部４０Ａとの通信によって検出する。具体的には以下のようである。攻撃検出部１１Ａは、サイバー攻撃が行われているか否か、もしくは行われたか否か（サイバー攻撃の有無）を検出する。感染範囲特定部１２Ａは、攻撃検出部１１Ａが検出したサイバー攻撃によって感染したソフトウェアの範囲を特定する。システム構成部１３Ａは、管理ドメイン部（Ａ）１０Ａ、基本ドメイン部（Ａ）２０Ａ、拡張ドメイン部（Ａ）３０Ａ及び仮想ネットワーク９１，９５を管理し、特定した感染範囲に従って、システムを再構成する。構成記憶部１４Ａは、後述する代替基本ドメイン部のＥＣＵ内の有無を保持するドメイン構成情報１４０を記憶する。アプリ（Ａ１）２１Ａ、アプリ（Ａ２）２２Ａは、ＯＳ２３Ａ上で動作し、アプリ（Ａ３）３１Ａ，アプリ（Ａ４）３２Ａは、ＯＳ３３Ａ上で動作し、ＥＣＵ（Ａ）１のための機能を実現する。
管理ドメイン部（Ａ）１０Ａ、基本ドメイン部（Ａ）２０Ａ及び拡張ドメイン部（Ａ）３０Ａは、ハイパーバイザ部４０Ａの実行するハイパーバイザが管理する仮想マシンである。
管理ドメイン部（Ａ）１０Ａは、第３のオペレーティングシステムであるＯＳ１５Ａの元で動作し、拡張ドメイン部（Ａ）３０Ａの異常を検出した場合に、拡張ドメイン部（Ａ）の動作を停止する。管理ドメイン部（Ａ）１０Ａは、攻撃検出部１１Ａ、感染範囲特定部１２Ａ、システム構成部１３Ａ、構成記憶部１４Ａ及び攻撃検出部１１Ａ、感染範囲特定部１２Ａ、システム構成部１３Ａ、構成記憶部１４Ａを動作させるＯＳ１５Ａを備える。
基本ドメイン部（Ａ）２０Ａは、第２のオペレーティングシステムであるＯＳ２３Ａの元で動作し、拡張ドメイン部（Ａ）３０Ａに接続し、異常の発生時に動作の継続を要する。基本ドメイン部（Ａ）２０Ａは、ＥＣＵ（Ａ）１の機能を実現するアプリのうち、サイバー攻撃を受けても動作し続ける必要のあるアプリ（Ａ１）及びアプリ（Ａ２）と、アプリ（Ａ１）及びアプリ（Ａ２）を動作させるＯＳ２３Ａを備える。
拡張ドメイン部（Ａ）３０Ａは、第１のオペレーティングシステムであるＯＳ３３Ａの元で動作し、車外ネットワーク８８と接続し、異常の発生時に停止可能である。拡張ドメイン部（Ａ）３０Ａは、ＥＣＵ（Ａ）１の機能を実現するアプリのうち、基本ドメイン部（Ａ）２０Ａに含まれないアプリ、言い換えるとサイバー攻撃を受けた場合に機能を停止してもよいアプリ（Ａ３）３１Ａ及びアプリ（Ａ４）３２Ａと、アプリ（Ａ３）３１Ａ及びアプリ（Ａ４）３２Ａを動作させるＯＳ３３Ａを備える。
車内ネットワーク８１は、ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）のような技術を用いて仮想化する。車内ネットワーク８１は、通信が必要なドメイン部とのみ、論理的なネットワークである仮想ネットワーク９１として接続する。
なお、個々のＥＣＵ上に存在する管理ドメイン部同士は、専用の仮想ネットワーク９５で接続する。
例えば、管理ドメイン部（Ａ）１０Ａは、別の管理ドメイン部（Ｂ）１０Ｂと基本ドメイン部（Ａ）２０Ａに代替する別の基本ドメイン部（Ａ）とを有する別のＥＣＵ（Ｂ）１における別の管理ドメイン部（Ｂ）１０Ｂに、ハイパーバイザ部４０Ａを介する独立の仮想ネットワーク９５で接続している。
車外ネットワーク８８は、拡張ドメイン部（Ａ）３０Ａのみと接続する。また、ＥＣＵ１上に存在する基本ドメイン部（Ａ）２０Ａは、ＥＣＵ（Ａ）１以外のＥＣＵ上に同じ機能を持つドメイン部（Ａ）を代替用に持つ。これを代替基本ドメイン部と呼ぶ。
代替基本ドメイン部は、通常動作においては、同じ機能を持つ基本ドメイン部の実行が停止された時に代替できるような状態で待機する。図３には、ＥＣＵ（Ａ）１の基本ドメイン部（Ａ）２０Ａと同じ機能を持つ代替基本ドメイン部として、ＥＣＵ（Ｂ）１が代替基本ドメイン部（Ａ）５０Ｂを持つ場合を示している。基本ドメイン部（Ａ）２０Ａと同じ機能を持つ代替基本ドメイン部は、ＥＣＵ（Ａ）１以外の全ＥＣＵのうち、少なくとも１台のＥＣＵが持てばよい。
＊＊＊動作の説明＊＊＊
図４及び図５は、車載システム１００の動作を示すフローチャートである。次に図４及び図５を参照して、車載システム１００の動作を説明する。
まず、サイバー攻撃が発生した場合の動作について述べる。以下の動作の説明において、ＥＣＵ（Ａ）１の動作手順は、制御方法に相当する。また、ＥＣＵ（Ａ）１の動作を実現するプログラムは、制御プログラムに相当する。
ステップＳ１０１において、攻撃検出部１１Ａが、周期的なイベント、もしくは非周期的なイベントによりＯＳ１５Ａから起動され、サイバー攻撃の有無を検出する。周期的なイベントは、例えば、タイマコントローラが発生する割込みである。非周期的なイベントは、例えば、車外ネットワーク８８と拡張ドメイン部（Ａ）３０Ａとの間、車外ネットワーク８８と基本ドメイン部（Ａ）２０Ａとの間、または基本ドメイン部（Ａ）２０Ａと拡張ドメイン部（Ａ）３０Ａとの間でのデータの送受信である。攻撃検出部１１Ａは、サイバー攻撃が有るかどうかを検出するために「必要なデータ」が、基本ドメイン部（Ａ）２０Ａまたは拡張ドメイン部（Ａ）３０Ａに存在する場合、以下の処理をおこなう。攻撃検出部１１Ａは、ハイパーバイザ部４０Ａを介した基本ドメイン部（Ａ）２０Ａまたは拡張ドメイン部（Ａ）３０Ａとのデータ通信により、あるいは、共有メモリを参照することにより、「必要なデータ」を参照する。ここでサイバー攻撃が有るかどうかを検出するために「必要なデータ」とは、例えば、ドメイン部同士の間の通信ログ、ＯＳ２３Ａ、ＯＳ３３Ａ、アプリ（Ａ１）２１Ａ、アプリ（Ａ２）２２Ａ、アプリ（Ａ３）３１Ａまたはアプリ（Ａ４）３２Ａの動作ログである。サイバー攻撃が有るかどうかを検出するために「必要なデータ」を使った、攻撃検出部１１Ａによる検出手法については、実施の形態１では言及しない。
ステップＳ１０２において、攻撃検出部１１Ａは、サイバー攻撃が有るかどうかを判断する。サイバー攻撃が有る場合（ステップＳ１０２でＹＥＳ）、攻撃検出部１１Ａは、感染範囲特定部１２Ａに、サイバー攻撃有りの検出を通知する（ステップＳ１０３）。
ステップＳ１０４において、感染範囲特定部１２Ａは、基本ドメイン部（Ａ）２０Ａ及び拡張ドメイン部（Ａ）３０Ａにおける、サイバー攻撃により感染を特定する。なお、管理ドメイン部（Ａ）１０Ａは、独立した専用の仮想ネットワーク９５で、他のＥＣＵの管理ドメイン部とのみ接続されている。よって、車外ネットワーク８８と接続された拡張ドメイン部（Ａ）３０Ａ、あるいは拡張ドメイン部（Ａ）３０Ａと接続されている基本ドメイン部（Ａ）２０Ａから、サイバー攻撃で感染することはないので、管理ドメイン部（Ａ）１０Ａは、感染範囲特定部１２Ａによる感染範囲の検出対象にはならない。
ステップＳ１０５において、感染範囲特定部１２Ａは、感染したドメイン部のリストである感染ドメインリスト１６Ａを生成する。
図６は、感染範囲特定部１２Ａが生成した、感染ドメインリスト１６Ａを示す。図６に示すように、感染ドメインリスト１６Ａは、ドメインＩＤと、ドメインＩＤに対応付けられた感染有無とからなる。感染有無は０と１で表される。感染有無が０の場合、対応付けられたドメインＩＤで示されるドメイン部は感染していないことを示す。感染有無が１の場合、対応付けられたドメインＩＤで示されるドメイン部は感染していることを示す。図６では、ドメインＩＤが３及び４で示されるドメイン部が、感染していることを示す。感染した範囲を特定するために「必要なデータ」が、基本ドメイン部（Ａ）２０Ａまたは拡張ドメイン部（Ａ）３０Ａに存在する場合、上記で述べた、サイバー攻撃が有るかどうかを検出するために「必要なデータ」と同様の方法で、感染範囲特定部１２Ａは、感染した範囲を特定するために「必要なデータ」を参照し、感染範囲を特定する。感染した範囲の特定方法については、実施の形態１では言及しない。
ステップＳ１０６において、感染範囲特定部１２Ａは、感染ドメインリスト１６Ａを、システム構成部１３Ａに通知する。
管理ドメイン部（Ａ）１０Ａは、基本ドメイン部（Ａ）２０Ａの異常を検出した場合に、基本ドメイン部（Ａ）２０Ａの動作を停止（Ｓ１０７）する。そして、後述のステップＳ１１２において、管理ドメイン部（Ａ）１０Ａは、別の管理ドメイン部（Ｂ）１０Ｂに、別の基本ドメイン部である代替基本ドメイン部（Ａ）５０Ｂの動作を開始させる。具体的には以下のようである。
ステップＳ１０７において、管理ドメイン部（Ａ）１０Ａのシステム構成部１３Ａは、感染範囲特定部１２Ａから通知された感染ドメインリスト１６Ａに記述されているドメイン部の実行を、ハイパーバイザ部４０Ａを介して停止する。感染ドメインリスト１６Ａに記述されているドメイン部は、基本ドメイン部（Ａ）２０Ａあるいは拡張ドメイン部（Ａ）３０Ａである。
ステップＳ１０８において、実行を停止したドメイン部の情報を車載システム１００に存在するすべてのＥＣＵで共有するため、システム構成部１３Ａは、感染ドメインリスト１６Ａを、他のすべてのＥＣＵのシステム構成部に、仮想ネットワーク９５を介したドメイン間通信で通知する。なお、感染ドメインリスト１６Ａに、基本ドメイン部（Ａ）２０Ａが含まれていなければ、感染ドメインリスト１６Ａの通知は省いても良い。
各ＥＣＵのシステム構成部１３は、構成記憶部１４にドメイン構成情報１４０を記憶している。
図７は、ＥＣＵ（Ｂ）１の有するドメイン構成情報１４０を示す。図７に示すように、ドメイン構成情報１４０は、ドメインＩＤと、ドメインＩＤに対応付けられた代替有無とからなる。代替有無は０と１で表される。代替有無が０の場合、対応付けられたドメインＩＤで示されるドメイン部の代替ドメイン部が存在しないことを示す。代替有無が１の場合、対応付けられたドメインＩＤで示されるドメイン部の代替ドメイン部が存在することを示す。図７は、ドメインＩＤが１及び２で示されるドメイン部の代替ドメイン部が存在することを示す。図５では、ドメイン構成情報１４０が、ＥＣＵ（Ｂ）１の構成記憶部１４Ｂに、格納されている状態を示す。
ステップＳ１０９において、ＥＣＵ（Ｂ）１のシステム構成部１３Ｂは、ドメイン構成情報１４０を参照して、通知された感染ドメインリスト１６Ａに、ＥＣＵ（Ｂ）１の有する代替基本ドメイン部（Ａ）５０Ｂと対になる基本ドメイン部（Ａ）２０Ａが、含まれているかどうかを判断する。
感染ドメインリスト１６Ａに、代替基本ドメイン部（Ａ）５０Ｂと対になる基本ドメイン部（Ａ）２０Ａが含まれている場合（ステップＳ１０９でＹＥＳ）、システム構成部１３Ｂは、代替基本ドメイン部（Ａ）５０Ｂが実行中かどうか判断する（ステップＳ１１０）。システム構成部１３Ｂが、実行中と判断した場合（ステップＳ１１０でＹＥＳ）、システム構成部１３Ｂは、何もしない。システム構成部１３Ｂが、実行中ではないと判断した場合（ステップＳ１１０でＮＯ）、処理はステップＳ１１４へ進む。なお、ステップＳ１１４及びステップＳ１１５は、オプション的な処理であり、処理は、ステップＳ１１４からステップＳ１１２へ進んでもよい。
感染ドメインリスト１６Ａに、代替基本ドメイン部（Ａ）５０Ｂと対になる基本ドメイン部（Ａ）２０Ａが含まれていない場合（ステップＳ１０９でＮＯ）も、システム構成部１３Ｂは、代替基本ドメイン部（Ａ）５０Ｂが実行中かどうか判断する（ステップＳ１１１）。
ステップＳ１１２において、感染ドメインリスト１６Ａに、ＥＣＵ（Ｂ）１の有する代替基本ドメイン部（Ａ）５０Ｂと対になる基本ドメイン部（Ａ）２０Ａが含まれており（ステップＳ１０９でＹＥＳ）、かつ、代替基本ドメイン部（Ａ）５０Ｂが実行中でなく待機中であれば（ステップＳ１１０でＮＯ）、システム構成部１３Ｂは、代替基本ドメイン部（Ａ）５０Ｂの待機を解除し実行する。
ステップＳ１１３において、感染ドメインリスト１６Ａに代替基本ドメイン部（Ａ）５０Ｂと対になる基本ドメイン部（Ａ）２０Ａが含まれていない場合は、代替基本ドメイン部（Ａ）５０Ｂが実行中であれば（ステップＳ１１１でＹＥＳ）、システム構成部１３Ｂは、代替基本ドメイン部（Ａ）５０Ｂを再び待機状態にして停止する。システム構成部１３Ｂが代替基本ドメイン部（Ａ）５０Ｂを再び待機状態にするのは、代替基本ドメイン部（Ａ）５０Ｂが感染ドメインリスト１６Ａに記述されていないからである。
なお、システム構成部１３Ｂは、ステップＳ１１２で代替基本ドメイン部（Ａ）５０Ｂの待機状態を解除して実行する前に、ＣＰＵ２Ｂの占有率及びメモリ使用量のようなリソース負荷を参考に、代替基本ドメイン部（Ａ）５０Ｂを実行するためのリソースが足りているかどうかを判断し（ステップＳ１１４）てもよい。システム構成部１３Ｂは、リソースが足りている場合は、処理をステップＳ１１２に進め、リソースが足りていない場合は、処理をステップＳ１１５に進める。
ステップＳ１１５において、システム構成部１３Ｂは、拡張ドメイン部（Ｂ）３０Ｂを停止してもよい。ステップＳ１１５で拡張ドメイン部（Ｂ）３０Ｂを停止した場合、ステップＳ１１３で代替基本ドメイン部（Ａ）５０Ｂを待機状態にした後には、システム構成部１３Ｂは、ステップＳ１１８において、ステップＳ１１５で停止させた拡張ドメイン部（Ｂ）３０Ｂを再起動してもよい。
ＥＣＵ（Ａ）１及びＥＣＵ（Ｂ）１では、基本ドメイン部代替後のドメイン構成に合わせた仮想ネットワークの接続設定の変更を実施する。ＥＣＵ（Ａ）１では、ステップＳ１１６において、システム構成部１３Ａが仮想ネットワーク９１の接続設定の変更を実施する。ＥＣＵ（Ｂ）１では、ステップＳ１１７において、システム構成部１３Ｂが仮想ネットワーク９１の接続設定の変更を実施する。
次に、図４を参照して、発生していたサイバー攻撃が止んだ場合の、車載システム１００の動作を説明する。
攻撃検出部１１Ａが、ステップＳ１０２にてサイバー攻撃の有無を判断し、その結果がサイバー攻撃無しだった場合（ステップＳ１０２でＮＯ）、攻撃検出部１１Ａは、前回実施したサイバー攻撃の有無を参照する（ステップＳ１１９）。攻撃検出部１１Ａは、前回の結果がサイバー攻撃有りだった場合（ステップＳ１１４でＹＥＳ）、前回よりも前の、１回または複数回の検出結果から、サイバー攻撃が頻度高く発生しているか否か判断する（ステップＳ１２０）。頻度が高いかどうかは、設定されている頻度の閾値との対比によって判定することができる。攻撃検出部１１Ａは、検出結果の回数が閾値よりも大きい場合は頻度が高いと判定し、検出結果の回数が閾値以下の場合は頻度が低いと判定する。
サイバー攻撃の頻度が高い場合は、処理はステップＳ１０１に戻る（ステップＳ１２０でＹＥＳ）。
管理ドメイン部（Ａ）１０Ａは、拡張ドメイン部（Ａ）３０Ａの異常が解消した場合、拡張ドメイン部（Ａ）３０Ａを再起動する。管理ドメイン部（Ａ）１０Ａは、基本ドメイン部（Ａ）の異常が解消した場合、基本ドメイン部（Ａ）２０Ａを再起動する。サイバー攻撃の頻度が低い場合は、ステップＳ１２１において、攻撃検出部１１Ａは、システム構成部１３Ａに再起動を指示する。
ステップＳ１２２において、再起動の指示を受けたシステム構成部１３Ａは、停止中のドメイン部を再起動する（ステップＳ１２２）。ここで停止中のドメイン部とは、車外ネットワーク８８と接続する拡張ドメイン部（Ａ）３０Ａ、あるいは拡張ドメイン部（Ａ）３０Ａと接続する基本ドメイン部（Ａ）２０Ａである。なお、システム構成部１３Ａは、ＥＣＵ（Ａ）１をリセットすることで、基本ドメイン部（Ａ）２０Ａあるいは拡張ドメイン部（Ａ）３０Ａを再起動してもよい。また、基本ドメイン部（Ａ）２０Ａを再起動する場合に、車載システム１００において、基本ドメイン部（Ａ）２０Ａが、ＥＣＵ（Ｂ）１の代替基本ドメイン部（Ａ）５０Ｂと同時に動作すること避けるために、システム構成部１３Ａは、以下の処理を実行されてもよい。即ち、システム構成部１３Ａは、代替基本ドメイン部（Ａ）５０Ｂが停止するまで、基本ドメイン部の再起動を待機する。システム構成部１３Ａは、仮想ネットワーク９５によるシステム構成部１３Ｂとの通信により、代替基本ドメイン部（Ａ）５０Ｂが停止しているか、実行しているかを知ることができる。
ステップＳ１０８において、システム構成部１３Ａは、基本ドメイン部（Ａ）２０Ａ及び拡張ドメイン部（Ａ）３０Ａを感染無と設定された感染ドメインリスト１６Ａを、他のすべてのＥＣＵのシステム構成部１５に通知する。この通知は、仮想ネットワーク９５を介したデータ通信によって送信する。システム構成部１３Ａは、再起動後のドメイン構成に合わせた仮想ネットワークの接続設定の変更を、実施する（ステップＳ１１６）。同様に、感染無と設定された感染ドメインリスト１６Ａを受信したＥＣＵ（Ｂ）１では、システム構成部１３Ｂが、再起動後のドメイン構成に合わせた仮想ネットワークの接続設定の変更を、実施する（ステップＳ１１７）。
＊＊＊実施の形態１の効果＊＊＊
（１）システム構成部がサイバー攻撃により感染した拡張ドメイン部を停止する（ステップＳ１０７）。従って、拡張ドメインから基本ドメイン部へ感染するという感染の連鎖を防止できる。よって、基本ドメイン部の動作を継続できる。
（２）サイバー攻撃が止んだ場合には、システム構成部が拡張ドメイン部を再起動する（ステップＳ１２２）。よって、ＥＣＵは、拡張ドメイン部の動作を再開できる。
（３）基本ドメイン部まで感染した場合には、システム構成部が、基本ドメイン部を停止し（ステップＳ１０７）し、かつ、システム構成部は、感染ドメインリスト１６Ａを送信することにより、感染した基本ドメイン部の機能を、代替基本ドメイン部に代替させる。
これにより、基本ドメイン部の動作が継続できる。
（４）ＥＣＵ（Ａ）１では、サイバー攻撃が止んだ場合に、基本ドメイン部を再起動する（ステップＳ１２２）。よって、サイバー攻撃を受ける前のシステム構成に戻して動作を継続できる。
（５）管理ドメイン部同士の間は、独立した仮想ネットワーク９５のみで接続する。これにより、ＥＣＵは、車外ネットワーク８８から侵入する感染を、防ぐことができる。よって、サイバー攻撃または故障により機能を代行する仕組みを実現する攻撃検出部、感染範囲特定部、システム構成部及び構成記憶部の４つの機能が、サイバー攻撃で動作不良を起こすことを防ぐことができる。
（６）ＥＣＵの故障が発生した場合には、ハイパーバイザ部が、システム構成部に故障を通知する。
システム構成部が、ＥＣＵ上のすべての基本ドメイン部と拡張ドメイン部がサイバー攻撃により感染した際と同様に処理する。これにより、ＥＣＵが故障した場合においても、基本ドメイン部を他のＥＣＵで代替することができるので、故障時においても、基本ドメイン部の動作を継続することができる。
（７）管理ドメイン部（Ａ）１０Ａは、別の管理ドメイン部との間で、故障が発生しているかどうかを確認する生存確認を実施する。システム構成部同士がお互いに生存確認をすることで、生存確認できないＥＣＵを故障したと見なし、同様の効果を得ることができる。
（８）従来の車載システムでは、ＥＣＵの機能の一部もしくは全部を、故障に備えて予め他のＥＣＵに移動しておく。そして、故障が発生した場合には、他のＥＣＵが移動されている機能を実行しているため、ＥＣＵが故障した場合であっても、機能が停止することはない。この従来の方式は故障に対しては有効である。
しかし、従来の方式の場合、サイバー攻撃に対しては、サイバー攻撃が続いている限り、他のＥＣＵに移動された機能が、再度感染してしまう。また、機能を移動する仕組みを実現する機能そのものがサイバー攻撃により動作不良を起こした場合、機能の移動ができない。
これに対して、実施の形態１のＥＣＵは管理ドメイン部を備えているので、従来の車載システムの課題を、この実施の形態１の効果の（１）から（５）に述べたように、解決することができる。
実施の形態２．
図８から図１０を参照して実施の形態２の車載システム１００を説明する。実施の形態１では、システム構成部が、感染したドメイン部を対象に動作する。実施の形態２では、感染または故障によってシステム構成が変更された場合に、システム構成に応じて、基本ドメイン部及び拡張ドメイン部の動作が変更される。動作の変更は、後述のステップＳ２０１，ステップＳ２０２において、管理ドメイン部が、拡張ドメイン部と基本ドメイン部との少なくともいずれかの動作変更を指示する動作変更通知を、ハイパーバイザ部に通知することで行われる。ハイパーバイザ部は、動作変更通知に従って、拡張ドメイン部と基本ドメイン部との少なくともいずれかに、動作を変更させる。後述のシステム変更通知は動作変更通知である。
システム構成の変更とは、基本ドメイン部の実行開始または実行停止、拡張ドメイン部（Ａ）３０Ａの実行開始または実行停止、代替基本ドメイン部の実行開始または実行停止である。つまり、システム構成の変更とは、基本ドメイン部、拡張ドメイン部、代替基本ドメイン部の少なくともどれかの、実行開始または実行停止である。
実施の形態２の車載システム１００のハードウェア構成図は、図１と同じである。
図８は、実施の形態２の車載システム１００のソフトウェア構成のうち、ＥＣＵ（Ａ）１のソフトウェア構成を示す。ＥＣＵ（Ａ）１では、ハイパーバイザ部４０Ａが構成変更通知部４１Ａを備えており、基本ドメイン部（Ａ）２０Ａが構成変更受領部２４Ａを備えており、拡張ドメイン部（Ａ）３０Ａが構成変更受領部３４Ｂを備えている。図８のＥＣＵ（Ａ）１は、図３と同様のＥＣＵ（Ｂ）１に接続する。ＥＣＵ（Ａ）１の接続するＥＣＵ（Ｂ）１は、図３の構成と同様であるので、省略している。なお、省略したＥＣＵ（Ｂ）１も実施の形態２のＥＣＵ（Ａ）１と同様に、構成変更通知部４１Ｂ、構成変更受領部２４Ｂ及び構成変更受領部３４Ｂを備える。ＥＣＵ（Ｃ）１及びＥＣＵ（Ｄ）１も、ＥＣＵ（Ｂ）１と同様に、構成変更通知部、構成変更受領部及び構成変更受領部を備える。
図９は、実施の形態２におけるＥＣＵ（Ａ）１の動作のフローチャートである。図９は、図４のフローチャートに、ステップＳ２０１、ステップＳ２０３及びステップＳ２０５が追加された構成である。図９では、ステップＳ１１６よりも前のステップは省略している。ステップＳ２０１は、システム構成部１３Ａの動作であり、ステップＳ２０３は、構成変更通知部４１Ａの動作であり、ステップＳ２０５は構成変更受領部２４Ａ，３４Ａの動作である。
図１０は、実施の形態２におけるＥＣＵ（Ｂ）１の動作のフローチャートである。図１０は、図５のフローチャートに、ステップＳ２０２、ステップＳ２０４及びステップＳ２０６が追加された構成である。図９では、ステップＳ１１７よりも前のステップは省略している。ステップＳ２０２は、システム構成部１３Ｂの動作であり、ステップＳ２０４は、構成変更通知部４１Ｂの動作であり、ステップＳ２０６は構成変更受領部２４Ｂ、３４Ｂの動作である。
図９のステップＳ２０３、ステップＳ２０５において、構成変更通知部４１Ａは、システム構成部１３Ａからシステム変更通知を受信し、基本ドメイン部（Ａ）２０Ａ、拡張ドメイン部（Ａ）３０Ａに、システム変更通知に基づき構成変更指示をし、システム変更を実施させる。基本ドメイン部（Ａ）２０Ａの構成変更受領部２４Ａ及び拡張ドメイン部（Ａ）３０Ａの構成変更受領部３４Ａは、構成変更通知部４１Ａからの構成変更指示を受け、各アプリに構成変更指示の内容を通知する。
図１０のステップＳ２０４、ステップＳ２０６において、構成変更通知部４１Ｂは、システム構成部１３Ｂからシステム変更通知を受信し、基本ドメイン部（Ｂ）２０Ｂ、拡張ドメイン部（Ｂ）３０Ｂに、システム変更通知に基づき構成変更指示し、システム変更を実施させる。基本ドメイン部（Ｂ）２０Ｂの構成変更受領部２４Ｂ及び拡張ドメイン部（Ｂ）３０Ｂの構成変更受領部３４Ｂは、構成変更通知部４１Ｂからの構成変更指示を受け、各アプリに構成変更指示の内容を通知する。
次に、図９、図１０を参照して、実施の形態２の車載システム１００の動作を説明する。
まず、サイバー攻撃が発生した場合の動作を述べる。ステップＳ１０１からステップＳ１１８までの動作は、実施の形態１と同様である。ステップＳ１１６、ステップＳ１１７の後、各ＥＣＵのシステム構成部は、各ＯＳまたはデバイスドライバを介して、ハイパーバイザ部の構成変更通知部に、システム構成が変更されたというシステム変更通知を、ハイパーバイザコールのような手段を用いて通知する（ステップＳ２０１、ステップＳ２０２）。システム構成が変更されたというシステム変更通知は、感染ドメインリスト１６Ａを用いて知らせる、ＥＣＵ（Ａ）の拡張ドメイン部（Ａ）３０Ａを停止したというような情報である。
構成変更通知部は、システム変更通知を受信した場合、システム構成の変更に関連する、例えば、構成変更により縮退運転を実施すべきドメイン部のアプリを対象として、仮想割り込みのような手段を用いて、構成変更指示を構成変更受領部に通知する（ステップＳ２０３、ステップＳ２０４）。
構成変更指示を受信した場合、構成変更受領部が各アプリに対して、例えば縮退運転を行うよう動作変更を指示する（ステップＳ２０５、ステップＳ２０６）。
次に、発生していたサイバー攻撃が止んだ場合の動作を述べる。
ステップＳ１０２、ステップＳ１１９〜ステップＳ１２２、ステップＳ１０８、ステップＳ１１６、ステップＳ１０９〜ステップＳ１１５、ステップＳ１１７、ステップＳ１１８までの動作は実施の形態１と同様である。
ステップＳ１１６、ステップＳ１１７の後、各ＥＣＵのシステム構成部は、各ＯＳまたはデバイスドライバを介して、ハイパーバイザ部の構成変更通知部に、システム構成が変更されたというシステム変更通知を、ハイパーバイザコールのような手段を用いて通知する（ステップＳ２０１、ステップＳ２０２）。システム構成が変更されたというシステム変更通知は、感染ドメインリスト１６Ａを用いて知らせる、ＥＣＵ（Ａ）の拡張ドメイン部（Ａ）３０Ａを実行開始したというような情報である。
構成変更通知部は、システム変更通知に関連する、例えば、構成変更により通常運転を実施すべきドメイン部のアプリを対象として、仮想割り込みのような手段を用いて、構成変更指示を構成変更受領部に通知する（ステップＳ２０３、ステップＳ２０４）。
構成変更指示を受信した場合、構成変更受領部が各アプリに対して、例えば通常運転を行うよう動作変更を指示する（ステップＳ２０５、ステップＳ２０６）。
また、感染範囲特定部の範囲特定が、ドメイン部単位ではなく、アプリ単位で可能な場合に、ドメイン部内で感染または故障に起因して正常に動作しなくなったアプリのみの実行を停止できる。
＊＊＊実施の形態２の効果＊＊＊
以上のように、ハイパーバイザコールおよび仮想割り込みのような手段を用いて、システム構成部からシステム構成の変更が通知されることにより、ドメイン部のアプリがシステム構成が変更されたことをネットワークを介さずに知ることができる。よって、セキュリティリスクを冒すことなく、縮退運転のような動作変更を実施できる。
１ ＥＣＵ（Ａ），ＥＣＵ（Ｂ），ＥＣＵ（Ｃ），ＥＣＵ（Ｄ）、２Ａ ＣＰＵ、３Ａ ＲＯＭ、４Ａ ＲＡＭ、５Ａ 周辺コントローラ、６Ａ，７Ａ，８Ａ，９Ａ Ｉ／Ｏ、１０Ａ 管理ドメイン部（Ａ）、１１Ａ 攻撃検出部、１２Ａ 感染範囲特定部、１３Ａ システム構成部、１４Ａ 構成記憶部、１５Ａ ＯＳ、１６Ａ 感染ドメインリスト、２０Ａ 基本ドメイン部（Ａ）、２１Ａ アプリ（Ａ１）、２２Ａ アプリ（Ａ２）、２３Ａ ＯＳ、２４Ａ 構成変更受領部、３０Ａ 拡張ドメイン部（Ａ）、３１Ａ アプリ（Ａ３）、３２Ａ アプリ（Ａ４）、３３Ａ ＯＳ、３４Ａ 構成変更受領部、４０Ａ ハイパーバイザ部、４１Ａ 構成変更通知部、１０Ｂ 管理ドメイン部（Ｂ）、１１Ｂ 攻撃検出部、１２Ｂ 感染範囲特定部、１３Ｂ システム構成部、１４Ｂ 構成記憶部、１５Ｂ ＯＳ、２０Ｂ 基本ドメイン部（Ｂ）、２１Ｂ アプリ（Ｂ１）、２２Ｂ アプリ（Ｂ２）、２３Ｂ ＯＳ、３０Ｂ 拡張ドメイン部（Ｂ）、３１Ｂ アプリ（Ｂ３）、３２Ｂ アプリ（Ｂ４）、３３Ｂ ＯＳ、４０Ｂ ハイパーバイザ部、５０Ｂ 代替基本ドメイン部（Ａ）、６１ センサ、７１ アクチュエータ、８１ 車内ネットワーク、８８ 車外ネットワーク、９１，９５ 仮想ネットワーク、１００ 車載システム、１４０ ドメイン構成情報。

Claims (9)

  1. 車両に搭載される電子制御ユニットにおいて、
    第１のオペレーティングシステムの元で動作し、車外ネットワークと接続し、異常の発生時に停止可能である拡張ドメイン部と、
    第２のオペレーティングシステムの元で動作し、前記拡張ドメイン部に接続し、異常の発生時に動作の継続を要する基本ドメイン部と、
    第３のオペレーティングシステムの元で動作し、前記拡張ドメイン部の前記異常を検出した場合に、前記拡張ドメイン部の動作を停止する管理ドメイン部と、
    前記第１のオペレーティングシステムと、前記第２のオペレーティングシステムと、前記第３のオペレーティングシステムとを動作させるハイパーバイザ部と、
    を備え、
    前記管理ドメイン部は、
    別の管理ドメイン部と前記基本ドメイン部に代替する別の基本ドメイン部とを有する別の電子制御ユニットにおける前記別の管理ドメイン部に、前記ハイパーバイザ部を介する独立の仮想ネットワークで接続しており、前記基本ドメイン部の異常を検出した場合に、前記基本ドメイン部の動作を停止し、前記別の電子制御ユニットの有する前記別の管理ドメイン部に、前記別の基本ドメイン部の動作を開始させる電子制御ユニット。
  2. 前記管理ドメイン部は、
    前記基本ドメイン部の前記異常が解消した場合、前記基本ドメイン部を再起動する請求項１に記載の電子制御ユニット。
  3. 前記管理ドメイン部は、
    前記別の管理ドメイン部との間で、故障が発生しているかどうかを確認する生存確認を実施する請求項１または請求項２に記載の電子制御ユニット。
  4. 前記管理ドメイン部は、
    前記異常を、前記ハイパーバイザ部との通信によって検出する請求項１から請求項３のいずれか１項に記載の電子制御ユニット。
  5. 前記管理ドメイン部は、
    前記拡張ドメイン部の前記異常が解消した場合、前記拡張ドメイン部を再起動する請求項１から請求項４のいずれか１項に記載の電子制御ユニット。
  6. 前記異常は、
    サイバー攻撃による感染である請求項１から請求項５のいずれか１項に記載の電子制御ユニット。
  7. 前記異常は、
    故障である請求項１から請求項５のいずれか１項に記載の電子制御ユニット。
  8. 前記管理ドメイン部は、
    前記拡張ドメイン部と前記基本ドメイン部との少なくともいずれかの動作変更を指示する動作変更通知を、前記ハイパーバイザ部に通知し、
    前記ハイパーバイザ部は、
    前記動作変更通知に従って、前記拡張ドメイン部と前記基本ドメイン部との少なくともいずれかに、動作を変更させる請求項１から請求項７のいずれか１項に記載の電子制御ユニット。
  9. 電子制御ユニットであるコンピュータに、
    第１のオペレーティングシステムの元で動作し、車外ネットワークと接続し、異常の発生時に停止可能である拡張機能処理と、
    第２のオペレーティングシステムの元で動作し、前記拡張機能処理と通信し、異常の発生時に動作の継続を要する基本機能処理と、
    第３のオペレーティングシステムの元で動作し、前記拡張機能処理の前記異常を検出した場合に、前記拡張機能処理の動作を停止する管理機能処理と、
    第１のオペレーティングシステムと、前記第２のオペレーティングシステムと、前記第３のオペレーティングシステムとを動作させるハイパーバイザ処理と、
    を実行させ、
    前記管理機能処理は、
    別の管理機能処理と前記基本機能処理に代替する別の基本機能処理とを有する別の電子制御ユニットにおける前記別の管理機能処理に、前記ハイパーバイザ処理を介する独立の仮想ネットワークで接続しており、前記基本機能処理の異常を検出した場合に、前記基本機能処理の動作を停止し、前記別の電子制御ユニットの有する前記別の管理機能処理に、前記別の基本機能処理の動作を開始させるプログラム。
JP2021528812A 2019-06-27 2019-06-27 電子制御ユニット及びプログラム Active JP6972437B2 (ja)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/025741 WO2020261519A1 (ja) 2019-06-27 2019-06-27 電子制御ユニット及びプログラム

Publications (2)

Publication Number Publication Date
JPWO2020261519A1 JPWO2020261519A1 (ja) 2021-11-18
JP6972437B2 true JP6972437B2 (ja) 2021-11-24

Family

ID=74061536

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2021528812A Active JP6972437B2 (ja) 2019-06-27 2019-06-27 電子制御ユニット及びプログラム

Country Status (5)

Country Link
US (1) US20220055637A1 (ja)
JP (1) JP6972437B2 (ja)
CN (1) CN113993752B (ja)
DE (1) DE112019007432B4 (ja)
WO (1) WO2020261519A1 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022168453A1 (ja) * 2021-02-08 2022-08-11 パナソニックＩｐマネジメント株式会社 車両制御システム、車両制御システムの制御方法及びプログラム
JP2024070327A (ja) * 2022-11-11 2024-05-23 パナソニックオートモーティブシステムズ株式会社 情報提供方法及び情報処理装置

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4242405B2 (ja) * 2006-09-15 2009-03-25 三菱電機株式会社 車載電子制御装置
JP2008123439A (ja) * 2006-11-15 2008-05-29 Denso Corp オペレーティング・システム、プログラム及び移動体操縦支援装置
JP5045159B2 (ja) * 2007-03-12 2012-10-10 三菱電機株式会社 制御用サブユニットおよび制御用メインユニット
JP4985662B2 (ja) * 2009-01-22 2012-07-25 株式会社デンソー プログラム、及び制御装置
CN102343875A (zh) * 2011-07-13 2012-02-08 武汉市菱电汽车电子有限责任公司 基于整车控制策略的电动汽车驱动器及其控制方法
JP5382084B2 (ja) * 2011-10-07 2014-01-08 株式会社デンソー 車両用装置
US20140309930A1 (en) 2013-04-15 2014-10-16 Flextronics Ap, Llc Automatic camera image retrieval based on route traffic and conditions
CN104781789B (zh) * 2012-12-20 2018-06-05 三菱电机株式会社 车载装置
CN106068501A (zh) 2014-03-07 2016-11-02 三菱电机株式会社 计算机装置和计算机机构
US9571279B2 (en) 2014-06-05 2017-02-14 Cavium, Inc. Systems and methods for secured backup of hardware security modules for cloud-based web services
JP6130612B1 (ja) * 2015-08-25 2017-05-17 株式会社Ｓｅｌｔｅｃｈ ハイパーバイザーを有するシステム
JP2018099972A (ja) 2016-12-20 2018-06-28 トヨタ自動車株式会社 車両システム
JP6189004B1 (ja) * 2017-01-24 2017-08-30 三菱電機株式会社 共用バックアップユニットおよび制御システム
CN110192183B (zh) * 2017-01-25 2023-07-07 三菱电机株式会社 计算机装置、任务启动方法以及计算机可读的存储介质
US20200233702A1 (en) * 2017-03-21 2020-07-23 Mitsubishi Electric Corporation Control apparatus and computer readable medium
JP6723955B2 (ja) * 2017-05-12 2020-07-15 日立オートモティブシステムズ株式会社 情報処理装置及び異常対処方法

Also Published As

Publication number Publication date
CN113993752A (zh) 2022-01-28
JPWO2020261519A1 (ja) 2021-11-18
US20220055637A1 (en) 2022-02-24
DE112019007432B4 (de) 2024-02-08
CN113993752B (zh) 2023-09-08
DE112019007432T5 (de) 2022-03-17
WO2020261519A1 (ja) 2020-12-30

Similar Documents

Publication Publication Date Title
US11599349B2 (en) Gateway device, in-vehicle network system, and firmware update method
US8001221B2 (en) Method of building system and management server
US9235484B2 (en) Cluster system
US11842185B2 (en) Gateway device, in-vehicle network system, and firmware update method
WO2015169199A1 (zh) 分布式环境下虚拟机异常恢复方法
JP4529767B2 (ja) クラスタ構成コンピュータシステム及びその系リセット方法
JP6972437B2 (ja) 電子制御ユニット及びプログラム
JP2010044613A (ja) ウイルス対策方法、コンピュータ、及びプログラム
US20190018964A1 (en) Secure Persistent Software Updates
JP2015524128A5 (ja)
US9479478B2 (en) Method for operating a communication module, and communication module
CN115904793B (zh) 一种基于多核异构系统的内存转存方法、系统及芯片
US10089200B2 (en) Computer apparatus and computer mechanism
EP4042306B1 (en) Secure installation of baseboard management controller firmware via a physical interface
CN107179980B (zh) 用于监视计算系统的方法和相应的计算系统
CN107423113B (zh) 一种管理虚拟设备的方法、带外管理设备及备用虚拟设备
WO2023042426A1 (ja) 車載装置及びプログラム更新システム
JPWO2015072004A1 (ja) 計算機、計算機制御方法、および計算機制御プログラム
US20220080989A1 (en) Information processing apparatus, information processing method, and recording medium
EP4318242A1 (en) Dynamic configuration of reaction policies in virtualized fault management system
US20220414207A1 (en) Electronic device and attack detection method of electronic device
US11632400B2 (en) Network device compliance
JP2017092933A (ja) コントローラおよび制御システム
CN115828230A (zh) 用于内核保护的系统、命令集线器以及主虚拟机
KR20040093835A (ko) 워치독 타이머를 구비한 마이크로 컴퓨터

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20210721

A871 Explanation of circumstances concerning accelerated examination

Free format text: JAPANESE INTERMEDIATE CODE: A871

Effective date: 20210721

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20211005

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20211102

R150 Certificate of patent or registration of utility model

Ref document number: 6972437

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150