JP7391242B2

JP7391242B2 - 制御装置

Info

Publication number: JP7391242B2
Application number: JP2022563326A
Authority: JP
Inventors: 智一齊藤; 光二嶋村
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2020-11-19
Filing date: 2020-11-19
Publication date: 2023-12-04
Anticipated expiration: 2040-11-19
Also published as: CN116438523A; WO2022107268A1; US20230249698A1; JPWO2022107268A1; DE112020007783T5

Description

本願は、制御装置に関するものである。

車両には、ＥＣＵ(ＥｌｅｃｔｒｏｎｉｃＣｏｎｔｒｏｌＵｎｉｔ)と呼ばれる電子制御ユニットが複数搭載されており、それぞれのＥＣＵは、車載ネットワークにより相互に接続され、複数の制御ユニットと連携して動作する制御装置として構成されている。そのため、車載ネットワークを経由したセキュリティ攻撃により、車載ネットワークの内部に不正侵入されて制御ユニットが別物になりすまされたり、プログラムが改ざんされたりすることで、たとえば車両の走行制御に不具合をもたらす可能性がある。

一方、従来から、制御ユニットに異常が発生した場合でも、車両が走行するのに必要な最低限度の機能で制御装置の動作を継続させるために、車両の機能の縮退もしくは動作の切り替え等を行う技術が存在している。

特許文献１には、制御ユニットの演算器の異常発生時に、異常が発生した制御ユニットの動作に関連する機能を再構成させるためのソフトウェアを記憶部から読み出して、別の制御ユニットのメモリ領域に上書きするようにした制御装置が開示されている。特許文献１によれば、制御ユニットに異常が発生した際に、ソフトウェアに対して設定されている第１優先度情報を参照し、この第１優先度情報において低い優先度が設定された他のソフトウェアを記憶する制御ユニットのメモリ領域に、監視対象である制御ユニットの動作に関連する機能を再構成させるためのソフトウェアを上書きするように構成されている。

特開２０２０－８９５０号公報

しかしながら、特許文献１に開示された従来の制御装置は、監視対象の制御ユニットの動作に関連する機能を再構成させるためのソフトウェアを、他の制御ユニットのメモリ領域に上書きするとき、ソフトウェアの上書き先の制御ユニットのセキュリティ状態を考慮していない。そのため、ソフトウェアの上書き先の制御ユニットが、別物へのなりすまし若しくは改ざん等に対するセキュリティ対策を有効にしていない場合、セキュリティ攻撃を受けて不正な出力値を出力する等の不正な動作を行なう可能性がある。また、特許文献１に開示された従来の制御装置は、ソフトウェアの上書き先の制御ユニットの制御状態も考慮していないため、ソフトウェアの動作要件を満たさない制御ユニットにソフトウェアを上書きした場合、ソフトウェアが予め定められた動作を行なわない可能性がある。

本願は、上記のような課題を解決するための技術を開示するものであり、異常が発生した制御ユニットの予め定められた動作を、他の制御ユニットにより仕様通りに継続させることができる制御装置を提供することを目的とする。

本願に開示される制御装置は、
通信路を介して互いに通信することができるように接続された複数の制御ユニットを備え、前記複数の制御ユニットのうちの何れかの制御ユニットに異常が検知されたとき、前記異常が検知された制御ユニットのソフトウェアの機能のうちの少なくとも一部の機能を、前記異常が検知された制御ユニットとは異なる他の制御ユニットにより継続させるように構成された制御装置であって、
前記複数の制御ユニットのそれぞれは、
前記通信路を介して他の制御ユニットとメッセージの送受信を行う通信部と、
前記通信部が受信した他の制御ユニットからのメッセージに基づいて、前記他の制御ユニットの異常を検知する検知部と、
自身が属する制御ユニットのセキュリティ状態と制御状態を管理する管理部と、
前記検知部が前記他の制御ユニットの異常を検出したとき、前記異常が検知された前記他の制御ユニットが実行する前記ソフトウェアの機能のうちの少なくとも一部の機能を、前記異常が検知された前記他の制御ユニット以外の他の制御ユニットにより継続させる必要性の有無を判定する判定部と、
前記判定部が前記継続の必要性有りと判定したとき、前記異常が検知された前記他の制御ユニットの前記ソフトウェアの動作要件と、前記異常が検知された他の制御ユニット以外の他の制御ユニットの前記セキュリティ状態と前記制御状態とのうちの少なくとも一方と、に基づいて前記ソフトウェアの機能のうちの少なくとも一部の機能を継続させる制御ユニットを選択する切替処理部と、
を備えたことを特徴とする。

本願に開示される制御装置によれば、異常が発生した制御ユニットの予め定められた動作を、他の制御ユニットにより仕様通りに継続させることができる制御装置が得られる。

実施の形態１による制御装置の構成を示すブロック図である。実施の形態１による制御装置の動作を示すフローチャートである。実施の形態１による制御装置における、制御ユニットの選定処理を示すフローチャートである。実施の形態１による制御装置における、記憶装置の記憶部のデータの構成を示す説明図である。実施の形態１による制御装置における、メッセージのデータフレームの構成を示す説明図である。実施の形態１による制御装置における、異常メッセージの例を示す説明図である。実施の形態１による制御装置における、制御ユニットの管理部のデータ構成を示す説明図である。実施の形態３による制御装置の構成を示すブロック図である。実施の形態３による制御装置の動作を示すフローチャートである。実施の形態３による制御装置における、ソフトウェア切替処理を示すフローチャートである。実施の形態３による制御装置における、車両の周辺環境の状態を示す車両情報の例を示す説明図である。

実施の形態１．
以下、実施の形態１による制御装置について、図に基づいて説明する。図１は、実施の形態１による制御装置の構成を示すブロック図である。図１において、車両１００に搭載された制御装置は、記憶装置３００と、第１の制御ユニット４００と、第２の制御ユニット４２０と、第３の制御ユニット４４０と、第４の制御ユニット４６０と、を備えている。第１の制御ユニット４００と、第２の制御ユニット４２０と、第３の制御ユニット４４０と、第４の制御ユニット４６０は、車両１００の走行系１０１のグループに属し、それぞれＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）を備え、たとえば、エンジン制御ユニット、ステアリング制御ユニット等として、それぞれ異なる制御を行なうように構成されている。

記憶装置３００と、第１の制御ユニット４００と、第２の制御ユニット４２０と、第３の制御ユニット４４０と、第４の制御ユニット４６０は、ＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）により構成された通信路２００にそれぞれ接続されており、通信路２００を介して互いに通信を行なうことが可能であり、図示していない他の制御ユニットとも通信を行なうことが可能である。

第１の制御ユニット４００には演算処理部４０７が設けられ、第２の制御ユニット４２０には演算処理部４２７が設けられている。なお、第３の制御ユニット４４０と第４の制御ユニット４６０にも、同様の演算処理部（図示せず）が設けられている。演算処理部４０７、４２７は、自身が属する制御ユニットが保持するソフトウェアを実行することで、車両１００の内部に備えるシステム、各種装置を制御することが可能である。

第１の制御ユニット４００と、第２の制御ユニット４２０と、第３の制御ユニット４４０と、第４の制御ユニット４６０との異常内容を含むメッセージ（以下、異常メッセージと称する）は、その異常メッセージを最初に受信した何れかの制御ユニットが、通信路２００へ応答メッセージを送信することで、最初に異常メッセージを受信した制御ユニット以外の制御ユニットが同じ処理を行うことを防止する。

たとえば、第１の制御ユニット４００が第２の制御ユニット４２０からの異常メッセージを最初に受信した場合、第１の制御ユニット４００は、応答メッセージを通信路２００へ送信するとともに、受信した異常メッセージに対する後述の処理を行なうが、第１の制御ユニット４００からの応答メッセージを受信した第３の制御ユニット４４０と第４の制御ユニット４６０は、第２の制御ユニット４２０からの異常メッセージを受信したとしても、その受信した異常メッセージに対する処理を行わない。

第１の制御ユニット４００は、通信部４０１と、検知部４０２と、判定部４０３と、記憶部４０４と、管理部４０５と、切替処理部４０６と、演算処理部４０７とを備えている。第１の制御ユニット４００の記憶部４０４は、ソフトウェア１ａと、ソフトウェア２ａとを記憶している。管理部４０５は、自身が属する第１の制御ユニット４００のセキュリティ状態４０８と制御状態４０９とを管理する。

第２の制御ユニット４２０は、通信部４２１と、検知部４２２と、判定部４２３と、記憶部４２４と、管理部４２５と、切替処理部４２６と、演算処理部４２７とを備えている。第２の制御ユニット４２０の記憶部４２４は、ソフトウェア３ａと、ソフトウェア４ａとを記憶している。管理部４２５は、自身が属する第２の制御ユニット４２０のセキュリティ状態４２８と制御状態４２９とを管理する。

同様に、第３の制御ユニット４４０と、第４の制御ユニット４６０は、通信部と、検知部と、判定部と、記憶部と、管理部と、切替処理部と、演算処理部とを備え（何れも図示せず）、記憶部は、複数のソフトウェアを記憶している。管理部は、それぞれ自身が属する第３の制御ユニット４４０と第４の制御ユニット４６０のセキュリティ状態と制御状態とを管理する。

記憶装置３００は、通信部３０１と、記憶部３０２とを備えている。通信部３０１は、第１の制御ユニット４００と、第２の制御ユニット４２０と、第３の制御ユニット４４０と、第４の制御ユニット４６０との間で、通信路２００を介してデータの送受信を行う。記憶部３０２は、通信路２００に接続された第１の制御ユニット４００と第２の制御ユニット４２０と第３の制御ユニット４４０と第４の制御ユニット４６０とがそれぞれ実行するソフトウェアと、それぞれのソフトウェアの動作要件をあらかじめ記憶している。

たとえば、記憶部３０２には、第２の制御ユニット４２０のソフトウェア３ａの機能を縮退したソフトウェア３ｂが記憶されており、さらに、ソフトウェア３ｂの動作要件として、制御状態とセキュリティ状態とが付随して記憶されている。ソフトウェア３ｂの制御状態とは、たとえば、ＣＰＵのクロックが１００［ＭＨｚ］であり、かつ空きメモリとして１５０［ＫＢ］が必要であることを示すものであり、ソフトウェア３ｂのセキュリティ状態とは、たとえば、ＨＳＭ（ＨａｒｄｗａｒｅＳｅｃｕｒｉｔｙＭｏｄｕｌｅ）内に保管されているＩＤ（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）が「２０００」の鍵を必要とすることを示すものである。

さらに、記憶部３０２には、第１の制御ユニット４００のソフトウェア１ａの機能を縮退したソフトウェア１ｂと、ソフトウェア２ａの機能を縮退したソフトウェア２ｂとが、記憶されている。さらに、これらのソフトウェア１ｂ、２ｂのそれぞれの動作要件としての、前述と同様の制御状態とセキュリティ状態とが付随して記憶されている。また、記憶部３０２には、第２の制御ユニット４２０のソフトウェア４ａの機能を縮退したソフトウェア（図示せず）と、第３の制御ユニット４４０と第４の制御ユニット４６０のソフトウェア（図示せず）の機能を縮退したソフトウェア（図示せず）と、機能を縮退したそれらのソフトウェアの動作要件としての、前述と同様の制御状態とセキュリティ状態とが付随して記憶されている。

第１の制御ユニット４００の通信部４０１と、第２の制御ユニット４２０の通信部４２１と、第３の制御ユニット４４０の通信部（図示せず）と、第４の制御ユニット４６０の通信部（図示せず）と、記憶装置３００の通信部３０１とは、ＣＡＮである通信路２００を介して、相互にデータの送受信を行うことができる。

つぎに、実施の形態１による制御装置について更に詳細に説明する。まず、ＣＡＮである通信路２００に送信されるメッセージの構成について説明する。図４Ａは、実施の形態１による制御装置における、メッセージのデータフレームの構成を示す説明図である。周知のように、ＣＡＮフレームの構造は、図４Ａに示すように、ＳＯＦ（ＳｔａｒｔＯｆＦｒａｍｅ）、ＩＤ（ＩｄｅｎｔｉｆｉｃａｔｉｏｎＫｅｙ）、ＲＴＲ（ＲｅｍｏｔｅＴｒａｎｓｍｉｓｓｉｏｎＲｅｑｕｅｓｔＢＩＴ)、コントロールフィールド（ＣｏｎｔｒｏｌＦｉｅｌｄ）、ＣＲＣシーケンス（ＣｙｃｌｉｃＲｅｄｕｎｄａｎｃｙＣｈｅｃｋＳｅｑｕｅｎｃｅ）、ＣＲＣデリミタ（ＣｙｃｌｉｃＲｅｄｕｎｄａｎｃｙＣｈｅｃｋＤｅｌｉｍｉｔｅｒ）、ＡＣＫスロット（ＡｃｋｎｏｗｌｅｄｇｅｍｅｎｔＳｌｏｔ）、ＡＣＫデリミタ（ＡｃｋｎｏｗｌｅｄｇｅｍｅｎｔＤｅｌｉｍｉｔｅｒ）、ＥＯＦ（ＥｎｄＯｆＦｉｌｅ）、により構成されている。

以下の説明では、一例として、第１の制御ユニット４００が第２の制御ユニット４２０からのメッセージを通信路２００を介して受信した場合について説明する。図１において、第１の制御ユニット４００の通信部４０１は、第２の制御ユニット４２０からメッセージを受信すると、その受信したメッセージを検知部４０２へ渡す。検知部４０２は、通信部４０１から受け取ったメッセージに基づいて、第２の制御ユニット４２０の異常の有無を判定する。その判定の結果、受信したメッセージが異常であると判定すると、検知部４０２は、第２の制御ユニット４２０の異常情報と動作継続先の制御装置の情報とを判定部４０３へ渡す。

ここで、第１の制御ユニット４００が第２の制御ユニット４２０から受信したメッセージが、第２の制御ユニット４２０の異常を示す異常メッセージである場合の構成について説明する。図４Ｂは、実施の形態１による制御装置における、異常メッセージの例を示す説明図である。ＣＡＮフレームのＩＤが「０ｘ１０８」である場合は、データ内容が異常であり、優先度が最優先であることを示している。ＩＤが「０ｘ１０８」のときのデータフィールドが「０ｘＢ１１」である場合は、ソフトウェアの動作継続先候補が走行系１０１のグループであり、異常内容は、ブレーキセンサの電圧異常であることを示している。

たとえば、通信部４０１が第２の制御ユニット４２０から受信したメッセージのＩＤが異常を示す「０ｘ１０８」であり、データフィールドが「０ｘＢ１１」であるとき、検知部４０２は、異常内容と動作継続先の制御ユニットの候補情報とを判定部４０３へ渡す。検知部４０２が異常を示すＩＤのメッセージを通信部４０１から複数受け取った際は、検知部４０２は、ＩＤの値が小さい方のメッセージの処理を先に開始し、優先度が低い方のメッセージは、ＩＤの値が小さい方のメッセージの処理が終わった後で処理を開始する。

判定部４０３は、検知部４０２から異常内容と動作継続先の制御ユニットの候補情報とを受け取り、ソフトウェア切替要求の信号とともに動作継続先の制御ユニットの候補情報を、管理部４０５と切替処理部４０６へ渡す。ここで、ソフトウェア切替要求とは、管理部４０５と切替処理部４０６の処理開始のトリガとなる信号のことである。

記憶部４０４は、演算処理部４０７が実行するソフトウェアを記憶している。記憶装置３００における記憶部３０２と、第１の制御ユニット４００における記憶部４０４との違いは、記憶部３０２が各制御ユニット４００、４２０、４４０、４６０の演算処理部が実行するソフトウェアを複数記憶しているのに対して、記憶部４０４は、第１の制御ユニット４００が制御するために必要なソフトウェアのみを記憶していることである。

たとえば、第１の制御ユニット４００の記憶部４０４は、第１の制御ユニット４００が車両のステアリング装置の制御を行うためのソフトウェア１ａとソフトウェア２ａを記憶しており、記憶装置３００の記憶部３０２は、各制御ユニット４００、４２０、４４０、４６０のソフトウェアの機能を縮退したソフトウェア１ｂ、２ｂ、３ｂ、１１ｂ、１２ｂを記憶している。ソフトウェア１ｂ、２ｂ、３ｂは、車両１００の走行系１０１のグループに属し、１１ｂ、１２ｂは車両１００のボディ系（図示せず）のグループに属する。

管理部４０５は、あらかじめ自身の第１の制御ユニット４００のセキュリティ状態と制御状態を管理している。第１の制御ユニット４００以外の、第２の制御ユニット４２０、第３の制御ユニット４４０、第４の制御ユニット４６０も、それぞれ同様に自身の制御ユニットのセキュリティ状態と制御状態を自身の管理部で管理している。

ここで、各制御ユニットの管理部が管理している自身が属する制御ユニットのセキュリティ状態と制御状態のデータの構成を具体的に説明する。図５は、実施の形態１による制御装置における、制御ユニットの管理部のデータ構成を示す説明図である。図５の例においては、走行系１０１のグループに属する第１の制御ユニット４００と、第３の制御ユニット４４０と、第４の制御ユニット４６０の、セキュリティ状態と制御状態を表している。たとえば、第１の制御ユニット４００は、ＣＰＵクロック１２０［ＭＨｚ］、空きメモリ９０［ＫＢ］を必要とする制御状態であり、セキュリティ状態としては、鍵ＩＤを保有しておらず（無効）、ＨＳＭは無効であることを示している。

第３の制御ユニット４４０は、ＣＰＵクロック２００［ＭＨｚ］、空きメモリ２００［ＫＢ］を必要とする制御状態であり、セキュリティ状態としては、鍵ＩＤは「２０００」であり、ＨＳＭは有効であることを示している。また、第４の制御ユニット４６０は、ＣＰＵクロック１２０［ＭＨｚ］、空きメモリ８０［ＫＢ］を必要とする制御状態であり、セキュリティ状態としては、鍵ＩＤは「２００１」であり、ＨＳＭは有効であることを示している。

第１の制御ユニット４００の管理部４０５が、判定部４０３からソフトウェア切替要求の信号を受け取ることで、後述するように、自身が属する第１の制御ユニット４００以外の制御ユニットの前述のような制御状態とセキュリティ状態とを取得する。

つぎに、第１の制御ユニット４００の管理部４０５が、自身が属する第１の制御ユニット４００以外の制御ユニットである第３の制御ユニット４４０のセキュリティ状態と制御状態とを取得する場合の例を、具体的に説明する。たとえば、異常である第２の制御ユニット４２０の動作継続先の制御ユニットの候補情報としては、走行系１０１のグループに属する第１の制御ユニット４００と、第３の制御ユニット４４０と、第４の制御ユニット４６０が存在しているものとする。管理部４０５は、判定部４０３からソフトウェア切替要求の信号と動作継続先の制御ユニットの候補情報を受け取ると、動作継続先の制御ユニットの候補情報に基づいて、第３の制御ユニット４４０の制御状態とセキュリティ状態の取得を開始する。

まず、第１の制御ユニット４００の管理部４０５は、状態要求メッセージを作成し、この状態要求メッセージを通信部４０１を介して通信路２００へ送信する。ここで、状態要求メッセージとは、実施の形態１においては、ＩＤが「７００」であるメッセージである。次に、第３の制御ユニット４４０の通信部（図示せず）は、第１の制御ユニット４００が送信した状態要求メッセージを受信することで、第３の制御ユニット４４０の管理部（図示せず）から第３の制御ユニット４４０のセキュリティ状態と制御状態とを通信部（図示せず）が受け取り通信路２００へ送信する。

第４の制御ユニット４６０の通信部（図示せず）においても第３の制御ユニットと同様に、第１の制御ユニット４００が送信した状態要求メッセージを受信することで、第４の制御ユニット４６０の管理部（図示せず）から第４の制御ユニット４６０のセキュリティ状態と制御状態とを通信部（図示せず）が受け取り通信路２００へ送信する。最後に、第１の制御ユニット４００の通信部４０１は、第３の制御ユニット４４０が送信した第３の制御ユニット４４０のセキュリティ状態と制御状態と、第４の制御ユニット４６０が送信した第４の制御ユニット４６０のセキュリティ状態と制御状態とを受信し、管理部４０５へ渡す。

前述の制御状態は、通信路２００に接続されている各制御ユニット４００、４２０、４４０、４６０の処理状況を示すものであり、切替処理部４０６が動作を継続させる制御ユニットを選定するための要素として用いる。制御状態を考慮して制御ユニットを選定することで、現状の制御ユニットの処理負荷と上書きするソフトウェアの動作要件とを比較できるため、上書きされたソフトウェアを設計時の仕様の通りに動作させることができる制御ユニットを選択することが可能になる、という効果を得ることができる。

たとえば、前述の制御状態は、制御ユニットのＣＰＵクロックの周波数とメモリ使用率とで示される。具体的には、切替処理部４０６が管理部４０５に第３の制御ユニット４４０の制御状態を参照することにより、第３の制御ユニット４４０の演算処理部のＣＰＵクロックの周波数が２００［ＭＨｚ］であり、空きメモリが２００［ＫＢ］であることを取得することができる。

また、前述のセキュリティ状態は、通信路２００に接続された各制御ユニット４００、４２０、４４０、４６０のセキュリティ機能の設定状態を示すものであり、制御状態と同じく、切替処理部４０６が動作を継続させる制御ユニットを選定するための要素として用いる。セキュリティ状態を考慮して制御ユニットを選定することで、ソフトウェアごとに必要とするセキュリティ機能が最低限実装された制御ユニットでソフトウェアを実行できるため、前述のなりすまし、もしくは改ざん等、を受けるリスクが低い制御ユニットを選択できるという効果を得ることができる。

たとえば、前述のように、セキュリティ状態は、制御ユニットがＨＳＭを備える場合の有効状態と制御ユニットが保持している鍵ＩＤを示す。具体的には、切替処理部４０６が管理部４０５に第３の制御ユニット４４０のセキュリティ状態を参照することにより、第３の制御ユニット４４０は、ＨＳＭ内に保管されている鍵ＩＤが「２０００」を保持していることを取得することができる。

切替処理部４０６は、判定部４０３からソフトウェア切替要求の信号を受け取ることで、異常であると判定された第２の制御ユニット４２０が実行するソフトウェア３ａの動作継続先となる制御ユニットを選択する。

つぎに、前述の制御状態とセキュリティ状態とに基づいて、第２の制御ユニット４２０のソフトウェア３ａの機能を縮退させたソフトウェア３ｂを動作させる制御ユニットを選択する場合について説明する。ソフトウェア３ｂは、前述のように記憶装置３００の記憶部３０２に記憶されている。

ここで、記憶装置３００の記憶部３０２に記憶されているデータ構成について説明する。図３は、実施の形態１による制御装置における、記憶装置の記憶部のデータの構成を示す説明図である。記憶装置３００の記憶部３０２には、前述のとおり各制御ユニット４００、４２０、４４０、４６０における演算処理部が実行するソフトウェアを縮退したソフトウェアが複数記憶されている。図３に示す例においては、記憶部３０２は、走行系１０１のグループのソフトウェアとして、ソフトウェアＩＤが１ｂと２ｂと３ｂ、ボディ系のグループのソフトウェアとして、ソフトウェアＩＤが１１ｂと１２ｂとが記憶されている。

これらのソフトウェアには、動作要件として、ＣＰＵクロック［ＭＨｚ］、空きメモリ［ＫＢ］、ＨＳＭの要否（有効又は無効）、鍵の要否（要の場合、鍵ＩＤ）が，ソフトウェアＩＤと関連づけされている。ソフトウェア情報を取得する際は、第１の制御ユニット４００の切替処理部４０６が記憶装置３００にソフトウェアＩＤを入力とすることで、ソフトウェアの動作要件が記憶部３０２出力される。

たとえば、第１の制御ユニット４００の切替処理部４０６が記憶装置３００に対して、ソフトウェアＩＤ「１ｂ」を含めたメッセージを送信すると、切替処理部４０６は、ソフトウェアＩＤ「１ｂ」のソフトウェアデータ、および動作要件として、「ＣＰＵクロックが８０［ＭＨｚ］、空きメモリが５０「ＫＢ」、ＨＳＭが必要（有効）、鍵ＩＤが不要（無効）である」、という情報を、記憶装置３００の記憶部３０２から取得することができる。

ここで、ソフトウェア３ｂを動作させる制御ユニットを選択する場合の説明に戻る。まず、第１の制御ユニット４００の切替処理部４０６は、判定部４０３からソフトウェア切替要求の信号を受け取った後、動作継続先の制御ユニットの候補情報が車両の走行系１０１のグループであるため、走行系１０１のグループの制御ユニットのセキュリティ状態と制御状態とを管理部４０５から受け取る。続いて、切替処理部４０６は、ソフトウェア３ｂの動作要件を記憶装置３００から受け取る。

次に、切替処理部４０６は、走行系１０１のグループの制御ユニットの中から、制御状態とセキュリティ状態とに基づいて、ソフトウェア３ｂを動作させる制御ユニットを選定する。ソフトウェア３ｂを動作させる制御ユニットの選定は、具体的には、次のとおりである。

まず、１回目の選定では、切替処理部４０６は、ソフトウェア３ｂの動作要件と、第１の制御ユニット４００の動作状態およびセキュリティ状態と、を比較する。このとき、最初に、ＣＰＵクロックを比較する。ソフトウェア３ｂの動作要件は、ＣＰＵクロックが１００［ＭＨｚ］であるのに対して、第１の制御ユニット４００のＣＰＵクロックは１２０［ＭＨｚ］であり、要件を満足している。次に、メモリを比較する。ソフトウェア３ｂの動作要件は、空きメモリ１５０［ＫＢ］を必要とするのに対して、第１の制御ユニット４００の空きメモリは９０［ＫＢ］であり、要求を満足していない。したがって、第１の制御ユニット４００は、ソフトウェア３ｂの要求を満足していない項目があるため、動作継続先から除外される。切替処理部４０６は、次の制御ユニットの選定、つまり２回目の選定に移行する。

２回目の選定では、切替処理部４０６は、ソフトウェア３ｂの動作要件と第３の制御ユニット４４０の制御状態およびセキュリティ状態と、を比較する。比較項目は１回目の選定と同じである。最初にＣＰＵクロックに関して比較すると、ソフトウェア３ｂのＣＰＵクロックが１００［ＭＨｚ］であるのに対して、第３の制御ユニット４４０のＣＰＵクロックは２００［ＭＨｚ］であり要件を満足している。つぎにメモリに関して比較すると、ソフトウェア３ｂが１５０［ＫＢ］を必要とするのに対して、第３の制御ユニット４４０は２００［ＫＢ］の空きがあり、動作継続先の制御ユニットとしての要件を満足している。

つぎに、ＨＳＭ情報に関して比較すると、ソフトウェア３ｂはＨＳＭ情報が有効である必要があるのに対して、第３の制御ユニット４４０はＨＳＭ情報が有効状態であるため、動作継続先の制御ユニットとしての要求を満足している。最後に、鍵情報に関して比較すると、ソフトウェア３ｂがＨＳＭ内に保管される鍵ＩＤが２０００を必要とするのに対して、第３の制御ユニット４４０は、ＨＳＭ内に鍵ＩＤが２０００を保持しているため、動作継続先の制御ユニットとしての要求を満足している。従って、切替処理部４０６は、第３の制御ユニット４４０がソフトウェア３ｂのすべての動作要件を満たしているため、第３の制御ユニット４４０を動作継続先の制御ユニットとして決定する。２回目の選定で動作継続先の制御ユニットが制御ユニット４４０に決定したため、制御ユニット４６０も選定対象であるが、３回目の選定は行わないものとする。

つぎに、切替処理部４０６は、ソフトウェア更新要求を通信部４０１へ渡す。ここで、ソフトウェア更新要求とは、第３の制御ユニット４４０に、第３の制御ユニット４４０の記憶部（図示せず）へ、ソフトウェアを上書きすることを命令するメッセージのことである。第１の制御ユニット４００の切替処理部４０６は、ＩＤが「７８０」でデータフィールドが「０ｘ４０３」であるソフトウェア更新要求を示すメッセージを、通信部４０１を介して通信路２００に送信する。

記憶装置３００の通信部３０１は、通信路２００を介してソフトウェア更新要求を受信し、記憶部３０２からソフトウェア３ｂを通信部３０１へ渡す。つぎに、通信部３０１は、ソフトウェア３ｂを通信路２００へ送信する。第３の制御ユニット４４０は、第１の制御ユニット４００が送信したソフトウェア更新要求を受信する。第３の制御ユニット４４０は、ＩＤからソフトウェア更新要求であることと、データフィールドから自身に向けて送信されたものであることを判断し、次に受信するソフトウェア３ｂを第３の制御ユニット４４０の記憶部に上書きする。

演算処理部４０７は、ソフトウェア１ａおよびソフトウェア２ａを実行した結果である出力値を通信路２００に送信することで、車両の内部に備えるシステム、装置を動作させる。

つぎに、以上述べた実施の形態１による制御装置の動作を、フローチャートを用いて総括的に説明する。図２Ａは、実施の形態１による制御装置の動作を示すフローチャートである。図２Ａにおいて、ステップＳ２０１では、通信部４０１は、通信路２００を介して第２の制御ユニット４２０からメッセージを受信し、ステップＳ２０２において通信部４０１は、受信したメッセージを検知部４０２へ渡し、ステップＳ２０３へ進む。

ステップＳ２０３では、検知部４０２は、受け取ったメッセージから、第２の制御ユニット４２０の異常の有無を判定し、異常であると判定した場合は（Ｙｅｓ）、ステップＳ２０４に進み、検知部４０２は、判定部４０３へ異常情報と動作継続先の制御装置の情報を渡す。ステップＳ２０５では、判定部４０３は、管理部４０５と切替処理部４０６へ、ソフトウェア切替要求と動作継続先の制御ユニットの候補情報を渡し、ステップＳ２０６に進む。

ステップＳ２０６では、管理部４０５は、第３の制御ユニット４４０と第４の制御ユニット４６０からセキュリティ状態と制御状態を収集する。つぎに、ステップＳ２０７では、切替処理部４０６は、判定部４０３からソフトウェア切替要求の信号を受け取ることで、異常であると判定された第２の制御ユニット４２０が実行するソフトウェア３ａの動作継続先となる制御ユニットを前述のようにして選択する。

つぎに、ステップＳ２０８では、切替処理部４０６は、通信部４０１へソフトウェア更新要求を渡し、ステップＳ２０９では、通信部４０１は、通信路２００へ、ソフトウェア更新要求を送信する。ステップＳ２１０に進むと、記憶装置３００における通信部３０１は、ソフトウェア更新要求を受信し、ステップＳ２１１に進んで、記憶部３０２は、異常である第２の制御ユニット４２０のソフトウェア３ａの機能を縮退したソフトウェア３ｂを通信部３０１へ渡す。ステップＳ２１２では、通信部３０１は、ソフトウェア３ｂを通信路２００へ送信する。

図２Ｂは、実施の形態１による制御装置における、制御ユニットの選定処理を示すフローチャートであって、前述の制御ユニットの選定動作を総括的に示している。図２Ｂにおいて、ステップＳ２１３では、第１の制御ユニット４００は、記憶装置３００からソフトウェア３ｂの動作要件を取得する、つぎに、ステップＳ２１４において、第１の制御ユニット４００の切替処理部４０６は、管理部４０５から第１の制御ユニット４００の制御状態とセキュリティ状態を受け取り、ステップＳ２１５に進む。

ステップＳ２１５では、切替処理部４０６は、自身が所属する第１の制御ユニット４００の制御状態はソフトウェア３ｂの制御状態の要件を満たしているか否かを判定し、第１の制御ユニット４００の制御状態がソフトウェア３ｂの制御状態の要件を満たしていれば（Ｙｅｓ）、ステップＳ２１６に進んで、第１の制御ユニット４００のセキュリティ状態はソフトウェア３ｂのセキュリティ状態の要件を満たしているか否かを判定する。ステップＳ２１６での判定の結果、第１の制御ユニット４００のセキュリティ状態がソフトウェア３ｂのセキュリティ状態の要件を満たしていれば（Ｙｅｓ）、ステップＳ２１７に進んで、第１の制御ユニット４００を、異常である第２の制御ユニット４２０の動作継続先の制御ユニットとして決定する。

一方、ステップＳ２１５での判定の結果、第１の制御ユニット４００の制御状態がソフトウェア３ｂの制御状態の要件を満たしていなければ（Ｎｏ）、ステップＳ２１８に進み、管理部４０５から第３の制御ユニット４４０の税御状態とセキュリティ状態を受け取り、ステップＳ２１５に戻って、切替処理部４０６は、第３の制御ユニット４４０の制御状態はソフトウェア３ｂの制御状態の要件を満たしているか否かを判定する。その判定の結果、第３の制御ユニット４４０の制御状態がソフトウェア３ｂの制御状態の要件を満たしていれば（Ｙｅｓ）、ステップＳ２１６に進んで、第３の制御ユニット４４０のセキュリティ状態はソフトウェア３ｂのセキュリティ状態の要件を満たしているか否かを判定する。

ステップＳ２１６での判定の結果、第３の制御ユニット４４０のセキュリティ状態がソフトウェア３ｂのセキュリティ状態の要件を満たしていれば（Ｙｅｓ）、ステップＳ２１７に進んで、第３の制御ユニット４４０を、異常である第２の制御ユニット４２０の動作継続先の制御ユニットとして決定する。

また、ステップＳ２１６での判定の結果、第３の制御ユニット４４０のセキュリティ状態がソフトウェア３ｂのセキュリティ状態の要件を満たしていなければ（Ｎｏ）、ステップＳ２１８に進み、管理部４０５から第４の制御ユニット４６０の税御状態とセキュリティ状態を受け取り、ステップＳ２１５に戻って、切替処理部４０６は、第４の制御ユニット４６０の制御状態はソフトウェア３ｂの制御状態の要件を満たしているか否かを判定し、以降、前述と同様の処理を繰り返すことで、候補の制御ユニットがソフトウェア３ｂの制御状態の要件を満たしている制御ユニットを選定し、異常である第２の制御ユニット４２０の動作継続先の制御ユニットを決定する。

以上述べた実施の形態１による制御装置では、セキュリティ状態として、一般にデータの改ざん、もしくは、なりすまし等の対策として、実装されるメッセージ認証で必要となる鍵ＩＤが利用可能であるか否か、さらに、鍵ＩＤがＨＳＭに保管されているか否かを制御ユニットの選定に使用したが、これに限らず、たとえば、改ざん検知機能としてメモリ監視の機能を有しているか否かを制御ユニットの選定に使用してもよい。

実施の形態１による制御装置では、制御ユニットがセキュリティ攻撃を受けた場合、車両を正常に制御できなくなるため、ソフトウェアと制御ユニットの双方のセキュリティ機能の設定状態を確認するようにしている。前述のように、第２の制御ユニット４２０が実行するソフトウェア３ａに、第１の制御ユニット４００と第２の制御ユニット４２０との間のメッセージを認証する機能が実装されている場合、第２の制御ユニット４２０以外の制御ユニットでソフトウェア３ａ又はソフトウェア３ｂを実行するには、第２の制御ユニット４２０がメッセージ認証に使用していた鍵ＩＤが必要となる。

なお、実施の形態１による制御装置では、制御状態としてＣＰＵクロック数とメモリ使用率を使用したが、これに限らず、ソフトウェアの優先度、ソフトウェアの縮退状況が含まれていてもよい。

また、実施の形態１による制御装置では、動作継続先の制御ユニットの候補を、同一の機能グループに属する制御ユニットとしたが、これに限らず、制御ユニットをＡＳＩＬ（ＡｕｔｏｍｏｔｉｖｅＳａｆｅｔｙＩｎｔｅｇｒｉｔｙＬｅｖｅｌ：自動車安全水準）により分類し、そのＡＳＩＬレベルを使用するようにしてもよい。

さらに、実施の形態１による制御装置では、記憶装置３００の記憶部３０２は、各制御ユニットの記憶部が保持するソフトウェアを縮退したソフトウェアを記憶するようにしているが、縮退前のソフトウェアを記憶するようにしてもよい。

また、実施の形態１による制御装置では、記憶装置３００は、車両１００の内部に備えられているが、これに限らず、記憶装置３００を車両の外部に備え、車両と無線通信を行なうようにしてもよい。

さらに、実施の形態１による制御装置では、通信路２００をＣＡＮにより構成したが、これに限らず、ＣＡＮＦＤ（ＣＡＮｗｉｔｈＦｌｅｘｉｂｌｅＤａｔａＲａｔｅ）、ＬＩＮ（ＬｏｃａｌＩｎｔｅｒｃｏｎｎｅｃｔＮｅｔｗｏｒｋ）、フレックスレイ（ＦｌｅｘＲａｙ）等の、他のネットワークを用いてもよい。

実施の形態２．
つぎに、実施の形態２による制御装置について説明する。実施の形態２による制御装置は、図１に示す実施の形態１の制御装置の構成と同じである。以下、実施の形態２による制御装置について、実施の形態１と異なる点を主体に説明する。実施の形態２による制御装置が実施の形態１による制御装置と異なる点は、第２の制御ユニット４２０が異常であることの検出から動作継続先の制御ユニットの選択までの一連の処理を、第２の制御ユニット４２０自身が行うという点である。つまり、制御ユニットが異常であることの検出から動作継続先の制御ユニットの選択までの一連の処理を、制御ユニット自身が行うという点が、実施の形態１による制御装置とは異なる。

前述の実施の形態１による制御装置では、たとえば、第２の制御ユニット４２０のメッセージを第１の制御ユニット４００が受信することで、第２の制御ユニット４２０の異常を検知していたが、実施の形態２による制御装置では、たとえば、第２の制御ユニット４２０が自身の異常を検知する。第２の制御ユニット４２０の検知部４２２が第２の制御ユニット４２０自身の異常を検知する方法としては、たとえば、ソフトウェア３ａの出力値が正常値から外れている場合に、検知部４２２は、第２の制御ユニット４２０のソフトウェア３ａに異常が発生していることを検出する。

検知部４２２が、第２の制御ユニット４２０のソフトウェア３ａに異常が発生していることを検出してから以降の動作は、判定部４２３が行う動作継続の要否判定から第３の制御ユニット４４０に対するソフトウェア更新要求の送信までは、実施の形態１による制御装置と同じ動作である。実施の形態２による制御装置は、実施の形態１と同様の効果を奏することができる。

実施の形態３．
次に、実施の形態３による制御装置について説明する。複数の制御ユニットは、車両の走行系であれば、ステアリング装置、ブレーキ装置等の複数の機能でグループ化し、ボディ系であれば、ヘッドライト、ワイパー等の複数の機能でグループ化することができる。実施の形態３による制御装置においては、複数の制御ユニットを、あらかじめ決められた機能ごとにグループ化し、そのグループ単位で制御ユニットを管理し、制御を実行するようにしたものである。

実施の形態３による制御装置では、たとえば、第１の制御ユニットは、第１の制御ユニットが管理する複数の他の制御ユニットからセキュリティ状態、制御状態、およびソフトウェアの実行状態、を定期的に取得し、管理下にある他の制御ユニットの異常を第１の制御ユニットが検出し、異常を検出した制御ユニットの動作継続の処理を行う。

実施の形態３による制御装置において、第１の制御ユニットが図１に示す実施の形態１の場合とは構成が異なる点が２つ存在する。第１の相違点は、実施の形態１による制御装置においては、制御ユニットの外部に備えていた記憶装置の記憶部を、実施の形態３による制御装置においては、制御ユニットの内部に記憶部として備えるようにした点である。第２の相違点は、実施の形態３による制御装置では、制御ユニットの管理部が新たに車両状態を管理するように構成されている点である。以下、実施の形態３による制御装置について、実施の形態１の制御装置と異なる点を主体に説明する。

図６は、実施の形態３による制御装置の構成を示すブロック図である。図６において、車両１００に備えられた各種センサ（図示せず）は、定期的に車両状態４１０、５１０を取得し、その都度、ＣＡＮである通信路２００および通信路２１０へ送信する。通信路２００と通信路２１０は、相互に接続されている。車両１００の内部に備えられたすべての制御ユニットは、自身の管理部が保持する制御状態とセキュリティ状態を通信路２００および通信路２１０へ定期的に送信する。

第１の制御ユニット４００と、第２の制御ユニット４２０と、第３の制御ユニット４４０と、第４の制御ユニット４６０は、ＣＡＮである通信路２００に接続され、第５の制御ユニット５００と、第６の制御ユニット５２０と、第７の制御ユニット５４０は、ＣＡＮである通信路２１０に接続されている。なお、第５の制御ユニット５００は、通信部５０１、検知部５０２、判定部５０３、切替処理部５０６、記憶部５０４、管理部５０５を備え、第６の制御ユニット５２０は、通信部５２１、検知部５２２、判定部５２３、切替処理部５２６、演算処理部５２７、記憶部５２４、管理部５２５を備えている。記憶部５０４は、ソフトウェア１１ｂ、ソフトウェア１２ｂを備えている。又、記憶部５２４は、ソフトウェア１１ａとソフトウェア１２ａを備えている。ソフトウェア１１ｂ、ソフトウェア１２ｂは、それぞれソフトウェア１１ａとソフトウェア１２ａを縮退したソフトウェアである。

また、管理部５０５は、制御状態５０９、セキュリティ状態５０８、車両状態５１０を備え、管理部５２５は、制御状態５２９、セキュリティ状態５２８を備えている。第２の制御ユニット４２０と、第３の制御ユニット４４０と、第４の制御ユニット４６０は、それぞれ車両１００の走行系１０１に属する制御ユニットであり、ステアリング装置、ブレーキ装置等を制御する。第６の制御ユニット５２０と、第７の制御ユニット５４０は、それぞれ車両１００のボディ系１０２に属する制御ユニットであり、ヘッドライト、ワイパー等を制御する。第６の制御ユニット５２０、および第７の制御ユニット５４０の構成と機能は、第２の制御ユニット４２０、第３の制御ユニット４４０、第４の制御ユニット４６０と同じである。

第１の制御ユニット４００は、走行系１０１のグループに属する制御ユニットである第２の制御ユニット４２０と、第３の制御ユニット４４０と、第４の制御ユニット４６０の、制御状態、セキュリティ状態、およびソフトウェア、の実行を管理する制御ユニットである。車両１００は、第１の制御ユニット４００と同じ機能を持つ制御ユニットを機能グループごとに１つだけ備える。ここでは、第５の制御ユニット５００は、ボディ系１０２のグループに属し、第１の制御ユニット４００と同じ機能を備えており、ボディ系１０２に属する第６の制御ユニット５２０と、第７の制御ユニット５４０の、制御状態、セキュリティ状態、およびソフトウェア、の実行を管理する。

検知部４０２は、通信部４０１が受信した第２の制御ユニット４２０のメッセージの取得状況とメッセージ内容を分析し、取得したメッセージが第２の制御ユニット４２０の正常なセキュリティ状態４２８又は正常な制御状態４２９を含む場合、第２の制御ユニット４２０からのメッセージを管理部４０５へ渡し、そうでない場合は、第２の制御ユニット４２０に異常が発生しているか否かを検出する。例えば、検知部４０２が、第２の制御ユニット４２０のソフトウェア２ａの出力結果を含むメッセージを前回の受信から１０［ｍｓ］以内に受信できていない場合、検知部４０２は、第２の制御ユニット４２０に異常が発生したと判断し、異常内容を判定部４０３へ渡す。

判定部４０３は、検知部４０２から受け取った異常内容に基づいて、第２の制御ユニット４２０のソフトウェア２ａの動作を、第２の制御ユニット４２０とは別の制御ユニットで継続させる必要があるか否かを判定する。ここで、判定部４０３が検知部４０２から受け取った異常内容が、「検知部４０２は、第２の制御ユニット４２０のソフトウェア２ａの出力結果を含むメッセージを前回の受信から１０［ｍｓ］以内に受信できていない」であるとすると、判定部４０３は、検知部４０２から前述の異常内容と同じ異常内容を５回連続して受け取った際に、ソフトウェア２ａを別の制御ユニットで動作させる必要があると判定する。判定部４０３が、ソフトウェア２ａを別の制御ユニットで動作させる必要があると判定した場合、判定部４０３は、ソフトウェア切替要求の信号を切替処理部４０６へ渡す。

記憶部４０４は、第１の制御ユニット４００が管理する走行系１０１のグループの各制御ユニット４２４、４４０、４６０が実行するソフトウェアを縮退したソフトウェアを記憶している。図６では、第２の制御ユニット４２０の記憶部４２４が保持するソフトウェア１ａとソフトウェア２ａをそれぞれ縮退したソフトウェアとしてのソフトウェア１ｂとソフトウェア２ｂのみを記載している。

管理部４０５は、通信部４０１が受信した車両１００の車両状態４１０と、第２の制御ユニット４２０と第３の制御ユニット４４０と第４の制御ユニット４６０の制御状態とセキュリティ状態と、を管理する。ここで、車両状態４１０とは、車両１００の周囲のリアルタイムの状態のことであり、たとえば、走行状態として、高速走行、低速走行、停止の状態の何れであるのか、また、周辺状態として、昼間、夜間の何れであるのか、また、交通状態として、渋滞であるのか否か等を示す。これ等の車両状態４１０により、具体的には、たとえば、車両１００は低速走行であり、昼間であり、渋滞であること等を把握することができる。

切替処理部４０６は、前述の車両状態４１０を分析して、動作継続先の制御ユニットの所属するグループの候補を決定した後、その決定したグループに属する制御ユニットを選定する処理を行う。具体的には、まず、切替処理部４０６は、ソフトウェア切替要求の信号を受け取った後、管理部４０５が保持する車両状態４１０に基づいてソフトウェア１ａを縮退したソフトウェアであるソフトウェア１ｂの動作を継続させる制御ユニットの機能グループに属する制御ユニットの候補を決める。たとえば、車両状態４１０が「低速走行、昼間、渋滞」である場合、ボディ系１０２に属する制御ユニットを候補とする。

つぎに、切替処理部４０６は、管理部４０５がボディ系１０２のグループに属する制御ユニットである第６の制御ユニット５２０と第７の制御ユニット５４０の、それぞれの制御状態とセュリティ状態を保持しているか否かを確認し、保持している場合は、制御ユニットの選定処理に移行し、保持していない場合は、切替処理部４０６が第５の制御ユニット５００に対して状態要求メッセージを送信して、第６の制御ユニット５２０と第７の制御ユニット５４０の制御状態とセキュリティ状態を、第５の制御ユニット５００から収集する。ソフトウェア１ｂの動作を継続させる制御ユニットの選定に関する処理は、前述の実施の形態１と同じである。

ソフトウェア１ｂの動作を継続させる制御ユニットを選定した結果、第７の制御ユニット５４０がソフトウェア１ｂの動作継続先の制御ユニットであると決定すると、第１の制御ユニット４００は、ソフトウェア更新要求とソフトウェア１ｂのデータを第５の制御ユニット５００へ送信する。第５の制御ユニット５００は、ソフトウェア更新要求に基づいて第７の制御ユニット５４０の記憶部５２４へ、ソフトウェア１ｂの上書き（書き込み）を開始する。

つぎに、実施の形態３による制御装置の動作をフローチャートに基づいて、説明する。図７Ａは、実施の形態３による制御装置の動作を示すフローチャート、図７Ｂは、実施の形態３による制御装置における、ソフトウェア切替処理を示すフローチャートであって、動作の一例を総括的に示したものである。

図７Ａにおいて、ステップＳ７０１では、第１の制御ユニット４００の通信部４０１は、第２の制御ユニット４２０からメッセージを受信する。ステップＳ７０２では、通信部４０１は、検知部４０２へ通信部４０１が受信したメッセージを渡す。つぎに、ステップＳ７０３では、検知部４０２は、受け取ったメッセージが異常を示しているか否かを判定し、メッセージが異常を示していれば（Ｙｅｓ）、ステップＳ７０４へ進み、メッセージが異常を示していなければ（Ｎｏ）、ステップＳ７１０へ進む。ステップＳ７１０に進むと、検知部４０２は、管理部４０５へ第２の制御ユニット４２０のセキュリティ状態と制御状態を転送してステップＳ７０１へ戻る。

一方、ステップＳ７０３からステップＳ７０４に進むと、検知部４０２はメッセージを分析し、ステップＳ７０５において、受け取ったメッセージから第２の制御ユニット４２０の異常を検知したか否かを判定し、異常を検知したと判定すれば（Ｙｅｓ）、ステップＳ７０６へ進み、異常を検知しなければ（Ｎｏ）、ステップＳ７０１に戻る。

ステップＳ７０５からステップＳ７０６に進むと、検知部４０２は、第２の制御ユニット４２０の異常情報を含むメッセージを判定部４０３へ送信し、ステップＳ７０７に進む。ステップＳ７０７では、判定部４０３は、送信されたメッセージを分析し、ステップＳ７０８において、第２の制御ユニット４２０のソフトウェアの動作継続が必要か否かを判定し、動作継続の必要がないと判定すれば（Ｎｏ）、ステップＳ７０１へ戻り、動作継続の必要があると判定すれば（Ｙｅｓ）、ステップＳ７０９へ進む。

ステップＳ７０９に進むと、判定部４０３は、切替処理部４０６へソフトウェア切替要求を送信し、ステップＳ７１１に進む。ステップＳ７１１では、切替処理部４０６は、判定部４０３からソフトウェア切替要求を受信し、ステップＳ７１２でソフトウェア１ｂの動作を継続させる制御ユニットのグループの決定を行なう動作に入り、前述したように、たとえば、車両状態４１０が「低速走行、昼間、渋滞」である場合、ボディ系１０２に属する制御ユニットを候補とする。

つぎに、ステップＳ７１３では、切替処理部４０６は、ボディ系１０２に属する制御ユニットのうち、第５の制御ユニット５００が第６の制御ユニット５２０と第７の制御ユニット５４０の制御状態とセキュリティ状態を保持しているか否かを判定し、保持していなければ（Ｎｏ）、ステップＳ７１４に進んで、切替処理部４０６は第５の制御ユニット５００に状態要求メッセージを送信する。つぎに、ステップＳ７１５において、管理部４０５は、第６の制御ユニット５２０と第７の制御ユニット５４０の制御状態とセキュリティ状態を取得して、ステップＳ７１６に進む。一方、ステップＳ７１３での判定の結果、第５の制御ユニット５００が第６の制御ユニット５２０と第７の制御ユニット５４０の制御状態とセキュリティ状態を保持していれば（Ｙｅｓ）、ステップＳ７１６に進む。

ステップＳ７１６では、切替処理部４０６は、ソフトウェアの切替処理の実行に入り、ステップＳ７１７では、通信部４０１へソフトウェア更新要求を送信する。つぎに、ステップＳ７１８では、切替処理部４０６は、記憶部４０４に対してソフトウェア１ｂを送信するように命令する。ステップＳ７１９では、記憶部４０４は、通信部４０１へソフトウェア１ｂを渡し、ステップＳ７２０において、通信部４０１は、通信路２００へ、ソフトウェア１ｂとソフトウェア更新要求を送信し、第５の制御ユニット５００の記憶部５０４にソフトウェア１ｂを上書きさせる。

つぎに、ソフトウェア切替処理を示す図７Ｂにおいて、ステップＳ７２１では、第５の制御ユニット５００の切替処理部５０６は、記憶部５０４からソフトウェア１ｂと動作要件を読み込み、ステップＳ７２２で管理部５０５から第６の制御ユニット５２０の制御状態とセキュリティ状態を読み込む。つぎに、ステップＳ７２３において、切替処理部５０６は、第６の制御ユニット５２０の制御状態がソフトウェア１ｂの制御状態の要件を満たしているか否かを判定し、その要件を満たしていれば（Ｙｅｓ）、ステップＳ７２４に進み、その要件を満たしていなければ（Ｎｏ）、ステップＳ７２６に進む。

ステップＳ７２３からステップＳ７２４に進むと、切替処理部５０６は、第６の制御ユニット５２０のセキュリティ状態はソフトウェア１ｂのセキュリティ状態の要件を満たしているか否かを判定し、その要件を満たしていれば（Ｙｅｓ）、ステップＳ７２５に進んで、異常である第２の制御ユニット４２０のソフトウェア１ａを縮退したソフトウェア１ｂを上書きする制御ユニットとして、第６の制御ユニット５２０とすることを決定する。

一方、ステップＳ７２３又はステップＳ７２４での判定の結果、ステップＳ７２６に進んだ場合は、切替処理部５０６は、管理部５０５から第７の制御ユニット５４０の制御状態とセキュリティ状態を読み込み、ステップＳ７２３に戻る。ステップＳ７２３では、切替処理部５０６は、第７の制御ユニット５４０が制御ユニットの制御状態がソフトウェア１ｂの制御状態の要件を満たしているか否かを判定し、以降、前述の動作を繰り返し、ステップＳ７２５において、異常である第２の制御ユニット４２０のソフトウェア１ａを縮退したソフトウェア１ｂを上書きする制御ユニットとして、第７の制御ユニット５４０とすることを決定する。

図８は、実施の形態３による制御装置における、車両の周辺環境の状態を示す車両情報の例を示す説明図である。図８に示す例においては、車両１００は、低速で走行しており、晴れた昼間に渋滞中であることが示されている。車両状態４１０を考慮して制御ユニットを選定することで、天候、交通状況、といった急激に変化することのない要素をもとに制御ユニットを候補とすることができるため、ソフトウェアを上書きした後も、処理負荷、メモリ使用量、に余裕のある制御ユニットを選択することが可能になるという効果を得ることができる。

なお、実施の形態３による制御装置では、第６の制御ユニット５２０又は第７の制御ユニット５４０が第２の制御ユニット４２０の動作を継続することを示したが、これに限らず、第１の制御ユニット４００、第５の制御ユニット５００のように、機能グループを管理する制御ユニットが第２の制御ユニット４２０の動作を継続するようにしてもよい。

なお、前述の各実施の形態による制御装置において、切替処理部は、自身が属する制御ユニットが実行するソフトウェアの機能のうちの少なくとも一部の機能を継続させる他の制御ユニットを、複数の制御ユニットのうちから選択し得るように構成されていてもよい。

また、前述の実施の形態３による制御装置において、複数の制御ユニットは、車両に搭載され、切替処理部は、車両から取得した車両状態と、セキュリティ状態と、制御状態と、のうちの少なくとも二つに基づいて、異常が検知された制御ユニットのソフトウェアの機能のうちの少なくとも一部の機能を継続させる制御ユニットを選択するように構成されていてもよい。

さらに、前述の各実施の形態による制御装置において、セキュリティ状態は、複数の制御ユニットのセキュリティに関する少なくとも一つの機能が有効であるか否かを示すものである。

また、前述の実施の形態３による制御装置において、車両状態は、車両の周辺状態をリアルタイムに取得した情報であり得る。

さらに、前述の各実施の形態による制御装置において、管理部は、自身が属する制御ユニットと、自身が属する制御ユニット以外の制御ユニットのうちの少なくとも一つと、のセキュリティ状態と制御状態を管理するように構成されていてもよい。

また、前述の実施の形態３による制御装置において、管理部は、切替処理部が処理を開始する前に、セキュリティ状態と、制御状態と、車両状態と、を取得するように構成されているものである。

本願は、例示的な複数の実施の形態が記載されているが、これらの実施の形態に記載された様々な特徴、態様、及び機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。したがって、例示されていない無数の変形例が、本願に開示される技術の範囲内において想定される。たとえば、少なくとも１つの構成要素を変形する場合、追加する場合、または省略する場合、さらには、少なくとも１つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれるものとする。

本願は、車両に搭載される制御装置、ひいては車両の分野に利用することができる。

１００車両、２００、２１０通信路、３００記憶装置、４００第１の制御ユニット、４２０第２の制御ユニット、４４０第３の制御ユニット、４６０第４の制御ユニット、５００第５の制御ユニット、５２０第６の制御ユニット、５４０第７の制御ユニット、３０１、４０１、４２１、５０１、５２１通信部、３０２、４０４、４２４、５０４、５２４記憶部、４０２、４２２、５０２、５２２検知部、４０３、４２３、５０３、５２３判定部、４０５、４２５、５０５、５２５管理部、４０６、４２６、５０６、５２６切替処理部、４０７、４２７、５２７演算処理部、４０８、４２８、５０８、５２８セキュリティ状態、４０９、４２９、５０９、５２９制御状態、４１０、５１０車両状態、１ａ、２ａ、３ａ、４ａ、１１ａ、１２ａ、１ｂ、２ｂ、１１ｂ、１２ｂソフトウェア

Claims

通信路を介して互いに通信することができるように接続された複数の制御ユニットを備え、前記複数の制御ユニットのうちの何れかの制御ユニットに異常が検知されたとき、前記異常が検知された制御ユニットのソフトウェアの機能のうちの少なくとも一部の機能を、前記異常が検知された制御ユニットとは異なる他の制御ユニットにより継続させるように構成された制御装置であって、
前記複数の制御ユニットのそれぞれは、
前記通信路を介して他の制御ユニットとメッセージの送受信を行う通信部と、
前記通信部が受信した他の制御ユニットからのメッセージに基づいて、前記他の制御ユニットの異常を検知する検知部と、
自身が属する制御ユニットのセキュリティ状態と制御状態を管理する管理部と、
前記検知部が前記他の制御ユニットの異常を検出したとき、前記異常が検知された前記他の制御ユニットが実行する前記ソフトウェアの機能のうちの少なくとも一部の機能を、前記異常が検知された前記他の制御ユニット以外の他の制御ユニットにより継続させる必要性の有無を判定する判定部と、
前記判定部が前記継続の必要性有りと判定したとき、前記異常が検知された前記他の制御ユニットの前記ソフトウェアの動作要件と、前記異常が検知された他の制御ユニット以外の他の制御ユニットの前記セキュリティ状態と前記制御状態とのうちの少なくとも一方と、に基づいて、前記ソフトウェアの機能のうちの少なくとも一部の機能を継続させる制御ユニットを選択する切替処理部と、
を備えたことを特徴とする制御装置。
前記複数の制御ユニットは、車両に搭載され、
前記複数の制御ユニットのそれぞれは、前記車両の複数の機能グループのうちの何れかの機能グループに属して動作が管理され、
前記切替処理部は、前記車両から取得した車両状態に基づいて、前記複数の機能グループのうちから特定の機能グループを選択し、前記選択した機能グループに属する前記制御ユニットのうちから、前記ソフトウェアの機能のうちの少なくとも一部の機能を継続させる制御ユニットを選択するように構成されている、
ことを特徴とする請求項１に記載の制御装置。
前記切替処理部は、前記複数の制御ユニットのセキュリティ状態と制御状態と、前記異常が検知された前記他の制御ユニットが実行する前記ソフトウェアに設定されるソフトウェアの動作要件と、を比較して、前記ソフトウェアの機能のうちの少なくとも一部の機能を継続させる制御ユニットを選択するように構成されている、
ことを特徴とする請求項１又は２に記載の制御装置。
前記切替処理部は、自身が属する制御ユニット以外の他の制御ユニットから受けた通知に基づいて、前記ソフトウェアの機能のうちの少なくとも一部の機能を継続させる制御ユニットを選択するように構成されている、
ことを特徴とする請求項１から３のうちの何れか一項に記載の制御装置。
前記切替処理部は、自身が属する制御ユニットが実行するソフトウェアの機能のうちの少なくとも一部の機能を継続させる他の制御ユニットを、前記複数の制御ユニットのうちから選択し得るように構成されている、
ことを特徴とする請求項１から４のうちの何れか一項に記載の制御装置。
前記複数の制御ユニットは、車両に搭載され、
前記切替処理部は、前記車両から取得した車両状態と、前記セキュリティ状態と、前記制御状態と、のうちの少なくとも二つに基づいて、前記ソフトウェアの機能のうちの少なくとも一部の機能を継続させる制御ユニットを選択するように構成されている、
ことを特徴とする請求項１に記載の制御装置。
前記セキュリティ状態は、前記複数の制御ユニットのセキュリティに関する少なくとも一つの機能が有効であるか否かを示すものである、
ことを特徴とする請求項１から６のうちの何れか一項に記載の制御装置。
前記車両状態は、前記車両の周辺状態をリアルタイムに取得した情報である、
ことを特徴とする請求項２又は６に記載の制御装置。
前記管理部は、
自身が属する制御ユニットと、自身が属する制御ユニット以外の制御ユニットのうちの少なくとも一つと、の前記セキュリティ状態と前記制御状態を管理するように構成されている、
ことを特徴とする請求項１から８のうちの何れか一項に記載の制御装置。
前記管理部は、
前記切替処理部が処理を開始する前に、前記セキュリティ状態と、前記制御状態と、前記車両状態と、を取得するように構成されている、
ことを特徴とする請求項２、６、８のうちの何れか一項に記載の制御装置。
前記切替処理部により選択された制御ユニットは、前記異常が検知された前記他の制御ユニットの前記ソフトウェアの機能を縮退したソフトウェアを実行するように構成されている、
ことを特徴とする請求項１から１０のうちの何れか一項に記載の制御装置。