WO2019175940A1 - 車両制御装置、無効化装置、コンピュータプログラム及び無効化方法 - Google Patents

車両制御装置、無効化装置、コンピュータプログラム及び無効化方法 Download PDF

Info

Publication number
WO2019175940A1
WO2019175940A1 PCT/JP2018/009550 JP2018009550W WO2019175940A1 WO 2019175940 A1 WO2019175940 A1 WO 2019175940A1 JP 2018009550 W JP2018009550 W JP 2018009550W WO 2019175940 A1 WO2019175940 A1 WO 2019175940A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
vehicle control
control unit
invalidation
unit
Prior art date
Application number
PCT/JP2018/009550
Other languages
English (en)
French (fr)
Inventor
篤浩 佐橋
矢野　義博
亮大 中村
Original Assignee
大日本印刷株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 大日本印刷株式会社 filed Critical 大日本印刷株式会社
Priority to JP2020505576A priority Critical patent/JPWO2019175940A1/ja
Priority to PCT/JP2018/009550 priority patent/WO2019175940A1/ja
Publication of WO2019175940A1 publication Critical patent/WO2019175940A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/04—Monitoring the functioning of the control system

Definitions

  • the present invention relates to a vehicle control device, an invalidation device, a computer program, and an invalidation method.
  • Patent Document 1 discloses a vehicle control device that detects an obstacle around a vehicle and generates a braking force when the distance between the host vehicle and the obstacle reaches a predetermined distance.
  • the present invention has been made in view of such circumstances, and provides a vehicle control device, a disabling device, a computer program, and a disabling method capable of disabling vehicle control when an abnormality occurs in the vehicle.
  • the purpose is to do.
  • a vehicle control device includes a vehicle control unit that controls operation of equipment mounted on the vehicle, and access from the outside is limited, and the vehicle control unit when an abnormality occurs in the vehicle And an invalidating unit for invalidating.
  • the invalidation device is configured to function in an execution environment independent of the execution environment of the vehicle control unit that controls the operation of the equipment mounted on the vehicle, and access from outside is limited. And a disabling unit that disables the vehicle control unit when an abnormality occurs in the vehicle.
  • the computer program is configured to function in an execution environment independent of the execution environment of the vehicle control unit that controls the operation of the equipment mounted on the vehicle, with access from the outside being restricted. And a computer program for causing a computer to execute a process of invalidating the vehicle control unit when an abnormality occurs in the vehicle.
  • access from the outside is restricted, and the vehicle is controlled in an execution environment independent of the execution environment of the vehicle control unit that controls the operation of the equipment mounted on the vehicle.
  • the computer executes processing for invalidating the vehicle control unit.
  • vehicle control can be invalidated when an abnormality occurs in the vehicle.
  • FIG. 3 is a block diagram illustrating a hardware configuration of the vehicle control device according to the first embodiment. It is a block diagram explaining the functional structure of the vehicle control apparatus which concerns on Embodiment 1.
  • FIG. 4 is a flowchart illustrating a procedure of processes executed by the vehicle control device and the abnormality detection device according to the first embodiment.
  • 6 is a flowchart illustrating a procedure of processes executed by the vehicle control device and the abnormality detection device according to Embodiment 2.
  • 10 is a flowchart illustrating a procedure of processes executed by the vehicle control device and the abnormality detection device according to Embodiment 3.
  • 10 is a flowchart illustrating a procedure of processes executed by the vehicle control device according to the fourth embodiment.
  • FIG. 4 is a flowchart illustrating a procedure of processes executed by the vehicle control device and the abnormality detection device according to the first embodiment.
  • 6 is a flowchart illustrating a procedure of processes executed by the vehicle control device and the abnormality detection device according to Embodiment 2.
  • FIG. 10 is a block diagram illustrating a hardware configuration of a vehicle control device according to a fifth embodiment. 10 is a flowchart for explaining a procedure of processing executed by a vehicle control device and an abnormality detection device according to a fifth embodiment. 14 is a flowchart illustrating a procedure of processing executed by the vehicle control device according to the sixth embodiment.
  • FIG. 20 is a block diagram illustrating a hardware configuration of a vehicle control device according to a seventh embodiment.
  • FIG. 1 is a block diagram illustrating a hardware configuration of the vehicle control device 10 according to the first embodiment
  • FIG. 2 is a block diagram illustrating a functional configuration thereof.
  • the vehicle control device 10 is, for example, an ECU (Electronic Controller Unit) that controls the operation of various equipment mounted on the vehicle, and includes a control unit 11, a storage unit 12, and interfaces 13A to 13D.
  • ECU Electronic Controller Unit
  • the control unit 11 includes a CPU (Central Processing Unit), a ROM (Read Only Memory), a RAM (Random Access Memory), and the like.
  • the CPU provided in the control unit 11 causes the entire device to function as the vehicle control device of the present application by expanding and executing various computer programs stored in the ROM or the storage unit 12 on the RAM.
  • the control unit 11 is not limited to the above configuration, and may be any processing circuit including one or more CPUs, a multi-core CPU, a microcomputer, and the like. Further, the control unit 11 may have functions such as a timer that measures an elapsed time from when a measurement start instruction is given to when a measurement end instruction is given, and a counter that counts the number.
  • the storage unit 12 includes a nonvolatile memory such as an EEPROM (Electronically-Erasable-Programmable-Read-Only Memory), and stores various software (computer programs) and various data.
  • the software stored in the storage unit 12 includes a normal control application 121 that is software for controlling the operation of the equipment of the vehicle, a hypervisor 122 that is software for building a virtual environment, and a vehicle.
  • An emergency control application 123 that forcibly stops the normal control application when an abnormality is detected is included.
  • the information stored in the storage unit 12 may include various authentication data such as vehicle ID (Identifier), key information used by the normal control application 121 and the emergency control application 123.
  • the vehicle control apparatus 10 is an execution environment independent of the normal execution environment 120A and the normal execution environment 120A in which the normal control application 121 is executed, and the memory space and interface to be used are the normal execution environment 120A.
  • the secure execution environment 120B according to the first embodiment is a virtual environment constructed by the hypervisor 122, and the emergency control application 123 is executed under this virtual environment.
  • access from the outside is restricted to the secure execution environment 120B, and it is difficult for an internal processing mechanism to be observed or modified from the outside.
  • the interfaces 13A and 13B are interfaces used in the normal execution environment 120A, and are connected to the vehicle operation system ECU 20 and the drive system ECU 30, respectively.
  • the operation system ECU 20 is connected to an operation device such as a brake pedal that is operated by an occupant to control the traveling of the vehicle.
  • the drive system ECU 30 is connected to a control device (equipment) for controlling the running of the vehicle such as a brake pad.
  • the drive system ECU 30 may be connected to a drive source (equipment) of a vehicle such as an engine or a battery system for driving.
  • the control unit 11 acquires a signal output from the operation system ECU 20 through the interface 13A. For example, when the brake pedal is depressed by the occupant, the operation system ECU 20 grasps how much the brake pedal is depressed and outputs a signal indicating the depression amount. The control part 11 acquires the signal which shows the depression amount of the brake pedal output from operation system ECU20 through the interface 13A.
  • the control unit 11 generates a control signal to be output to the drive system ECU 30 through the normal control application 121 executed in the normal execution environment 120A, and outputs the generated control signal to the drive system ECU 30 from the interface 13B.
  • the control object connected to the drive system ECU 30 is controlled. For example, when the control unit 11 acquires a signal indicating the amount of depression of the brake pedal through the interface 13A, the control unit 11 generates a control signal to control the brake pad according to the amount of depression of the brake pedal, and transmits the brake through the interface 13B.
  • a control signal is output to drive system ECU 30 to which the pad is connected.
  • the operation system ECU 20 and the drive system ECU 30 are connected to the interfaces 13A and 13B of the vehicle control device 10, but individual ECUs such as a brake ECU, a steering ECU, a transmission ECU, and an engine ECU are used. It is good also as a structure which provides and controls operation
  • the vehicle control device 10 includes a communication interface conforming to a communication standard such as CAN (Controller Area Network), LIN (Local Interconnect Network), Ethernet (registered trademark), or MOST (Media Oriented Systems Transport), and is used for in-vehicle communication. It is good also as a structure which controls operation
  • CAN Controller Area Network
  • LIN Local Interconnect Network
  • Ethernet registered trademark
  • MOST Media Oriented Systems Transport
  • the interfaces 13C and 13D are interfaces used in the secure execution environment 120B, and are connected to the drive system ECU 30 and the abnormality detection device 40, respectively.
  • the abnormality detection device 40 includes, for example, one or more types of sensors that detect the state of the vehicle, and determines whether an abnormality has occurred in the vehicle based on the output from the sensor.
  • the anomaly detection device 40 can detect an anomaly occurring in the vehicle using a known method. For example, the abnormality detection device 40 outputs from a sensor that detects the operation of an occupant who steps on the brake pedal, and output from a sensor attached to the brake pad to detect whether or not the brake device is actually operating. And when it is detected that the brake device is operating even though the occupant does not operate the brake pedal, it may be determined that an abnormality has occurred in the vehicle.
  • the abnormality detection device 40 obtains an output from a sensor that can grasp the situation outside the vehicle, such as an infrared laser, a millimeter wave radar, an in-vehicle camera, and the like, for example, the brake is detected even though an obstacle is detected. When it is detected that the device is not operating, it may be determined that an abnormality has occurred in the vehicle.
  • a sensor that can grasp the situation outside the vehicle, such as an infrared laser, a millimeter wave radar, an in-vehicle camera, and the like, for example, the brake is detected even though an obstacle is detected.
  • the abnormality detection device 40 combines the output from the sensor that detects the operation of the occupant who pulls the handbrake and the output from the sensor that detects the operation of the occupant who steps on the brake pedal, to determine whether an abnormality occurs in the vehicle. It may be configured to determine whether or not.
  • the abnormality detection device 40 determines that an abnormality has occurred in the vehicle, the abnormality detection device 40 notifies the emergency control application 123 of the detection result to that effect through the interface 13D.
  • the emergency control application 123 receives a notification that an abnormality has occurred in the vehicle, the emergency control application 123 sends a command for forcibly stopping the normal control application 121 (hereinafter, forced stop command) to the normal control application 121 via the hypervisor 122. By transmitting, the normal control application 121 is forcibly stopped. That is, the emergency control application 123 invalidates the original function of the vehicle control device 10 that controls the operation of the equipment included in the vehicle C.
  • the emergency control application 123 may output a control signal for stopping the vehicle to the drive system ECU 30 through the interface 13C in order to stop the vehicle safely after the normal control application 121 is forcibly stopped.
  • FIG. 3 is a flowchart for explaining a procedure of processes executed by the vehicle control device 10 and the abnormality detection device 40 according to the first embodiment.
  • the abnormality detection device 40 executes an abnormality detection process for detecting an abnormality in the vehicle at an appropriate timing such as a preset timing or a periodic timing (step S101). At this time, the abnormality detection device 40 acquires an output from the sensor, and determines whether an abnormality has occurred in the vehicle based on the output from the acquired sensor (step S102). If it is determined that no abnormality has occurred (S102: NO), the abnormality detection device 40 returns the process to step S101 and continues the abnormality detection process.
  • the abnormality detection device 40 When it is determined that an abnormality has occurred (S102: YES), the abnormality detection device 40 notifies the emergency control application 123 that an abnormality has occurred in the vehicle (step S103). The notification from the abnormality detection device 40 is transmitted to the emergency control application 123 executed in the secure execution environment 120B through the interface 13D.
  • the emergency control application 123 When the emergency control application 123 receives a notification that an abnormality has occurred in the vehicle, the emergency control application 123 forcibly stops the normal control application 121 by transmitting a forced stop command to the normal control application 121 via the hypervisor 122. (Step S104).
  • the emergency control application 123 forcibly stops the normal control application 121, and then outputs a control signal for stopping the vehicle to the drive system ECU 30 through the interface 13C in order to stop the vehicle safely (step S105). ).
  • the normal control application 121 when it is detected that an abnormality has occurred in the vehicle due to a cyber attack or the like, the normal control application 121 is forcibly stopped (that is, the original function of the vehicle control device 10 is invalidated). Because of this configuration, it is possible to avoid unintended travel control. Further, even when the control capability of the vehicle control device 10 is deprived, the minimum control can be maintained and the vehicle can be stopped safely.
  • the abnormality detection device 40 is connected to the interface 13D and the detection result by the abnormality detection device 40 is acquired through the interface 13D.
  • various sensors for detecting the state of the vehicle are connected to the interface 13D.
  • the emergency control application 123 may determine whether or not an abnormality has occurred in the vehicle based on outputs from various sensors.
  • FIG. 4 is a flowchart for explaining a procedure of processes executed by the vehicle control device 10 and the abnormality detection device 40 according to the second embodiment. If the abnormality detection device 40 detects an abnormality in the vehicle in the same procedure as in the first embodiment, it notifies the emergency control application 123 that an abnormality has occurred in the vehicle (steps S201 to S203).
  • the emergency control application 123 When the emergency control application 123 receives a notification that an abnormality has occurred in the vehicle, the emergency control application 123 transmits a command for stopping the operation of the interfaces 13A and 13B used in the normal execution environment 120A to the normal control application 121. The operations of the interfaces 13A and 13B are stopped under the control of the control application 121 (step S204).
  • the emergency control application 123 forcibly stops the operation of the interfaces 13A and 13B, and then outputs a control signal for stopping the vehicle to the drive system ECU 30 through the interface 13C in order to stop the vehicle safely ( Step S205).
  • the operation of the interfaces 13A and 13B is stopped under the control of the normal control application 121.
  • the emergency control application 123 can access both the interfaces 13A and 13B
  • the emergency control application The operation of the interfaces 13A and 13B may be stopped under the control of 123.
  • the authority of the emergency control application 123 is set to be stronger than the authority of the normal control application 121, the forced stop of the interfaces 13A and 13B from the normal control application 121 is prohibited, and the interface 13A is controlled by the control from the emergency control application 123.
  • 13B may be forcibly stopped.
  • the operation of both the interfaces 13A and 13 is stopped.
  • only the operation of the interface 13B may be stopped.
  • the configuration is such that the normal control application 121 is forcibly stopped when an abnormality in the vehicle is detected. However, the normal control application 121 is satisfied when the set condition is satisfied after the forcible stop is performed. 121 may be configured to restart. In the third embodiment, a configuration in which the normal control application 121 is restarted when the set conditions are satisfied after the normal control application 121 is forcibly stopped will be described. Note that the hardware configuration and functional configuration of the vehicle control device 10 are the same as those in the first embodiment, and thus the description thereof will be omitted.
  • FIG. 5 is a flowchart for explaining a procedure of processes executed by the vehicle control device 10 and the abnormality detection device 40 according to the third embodiment.
  • the abnormality detection device 40 detects an abnormality in the vehicle in the same procedure as in the first embodiment, it notifies the emergency control application 123 that an abnormality has occurred in the vehicle (steps S301 to S303).
  • the emergency control application 123 When the emergency control application 123 receives a notification that an abnormality has occurred in the vehicle, the emergency control application 123 forcibly stops the normal control application 121 by transmitting a forced stop command to the normal control application 121 via the hypervisor 122. (Step S304).
  • the emergency control application 123 forcibly stops the normal control application 121, and then outputs a control signal for stopping the vehicle to the drive system ECU 30 through the interface 13C in order to stop the vehicle safely (step S305). ).
  • the emergency control application 123 determines whether or not the set condition is satisfied (step S306).
  • the condition for example, the elapsed time from the forced stop of the normal control application 121 can be adopted. In this case, the emergency control application 123 determines that the condition is satisfied when the set time has elapsed since the normal control application 121 was forcibly stopped. Further, as a condition, it is possible to adopt an input of a signal instructing cancellation of forced stop. In this case, the emergency control application 123 determines that the condition is satisfied when a signal instructing cancellation of the forced stop is input from the outside.
  • the emergency control application 123 waits until the set condition is satisfied. If it is determined that the set condition is satisfied (S306: YES), the emergency control application 123 outputs a command for restarting the normal control application 121 via the hypervisor 122, and the normal control application 121 is restarted. Start (step S307).
  • the set condition is satisfied.
  • the original function of the vehicle control device 10 can be recovered.
  • FIG. 6 is a flowchart for explaining a procedure of processing executed by the vehicle control device 10 according to the fourth embodiment.
  • the abnormality detection device 40 detects an abnormality in the vehicle in the same procedure as in the first embodiment, the abnormality detection device 40 notifies the emergency control application 123 that an abnormality has occurred in the vehicle.
  • the emergency control application 123 determines whether or not a notification that an abnormality has occurred in the vehicle has been received from the abnormality detection device 40 at an appropriate timing (step S401). When the notification is not received (S401: NO), the emergency control application 123 waits until a notification from the abnormality detection device 40 is received.
  • the emergency control application 123 transmits a forced stop command for forcibly stopping the normal control application 121 to the normal control application 121 through the hypervisor 122. (Step S402).
  • authentication information indicating that the application has a legitimate authority to stop the normal control application 121 is also transmitted.
  • the normal control application 121 determines whether a forced stop command has been received, for example, at regular timing (step S403). When the forcible stop command has not been received (S403: NO), the normal control application 121 ends the processing according to this flowchart without executing the following processing.
  • the normal control application 121 determines whether to authenticate the transmission source of the forced stop command based on the authentication information transmitted together with the forced stop command. (Step S404). For example, the normal control application 121 authenticates the transmission source of the forced stop command by determining whether or not the authentication information stored in advance in the storage unit 12 matches the authentication information received together with the forced stop command. It can be determined whether or not. If it is determined not to authenticate the transmission source of the forced stop command (S404: NO), the normal control application 121 ends the process according to this flowchart without executing the following process.
  • step S404 If it is determined to authenticate the transmission source of the forced stop command (S404: YES), the normal control application 121 forcibly stops its own operation (step S405).
  • the normal control application 121 when the normal control application 121 receives a forced stop command, it determines whether or not the sender can be authenticated, and forcibly stops only when authentication is possible. When a forced stop command is received from an external device or the like that does not have, the transition to forced stop is avoided.
  • the normal control application 121 is configured to execute the authentication process based on the authentication information from the emergency control application 123. However, mutual authentication is performed between the normal control application 121 and the emergency control application 123. It is good also as a structure to perform.
  • the emergency control application 123 may output a control signal for stopping the vehicle to the drive system ECU 30 in order to stop the vehicle safely.
  • the normal control application 121 is configured to forcibly stop its own operation based on the forcible stop command transmitted from the emergency control application 123. It is good also as a structure which prepares separately and forcibly stops the operation
  • FIG. 7 is a block diagram illustrating a hardware configuration of the vehicle control device 10 according to the fifth embodiment.
  • the vehicle control device 10 according to the fifth embodiment includes an interface 13E for connecting the display device 50 in addition to the control unit 11, the storage unit 12, and the interfaces 13A to 13D.
  • the operations of the control unit 11, the storage unit 12, and the interfaces 13A to 13D are the same as those in the first embodiment.
  • the interface 13E is an interface used in both the secure execution environment 120B in the present embodiment, and is connected to the display device 50.
  • the display device 50 is a navigation device including a liquid crystal monitor, for example, and displays information output through the interface 13E.
  • the configuration may further include an interface used in the normal execution environment 120A and connected to the display device 50.
  • FIG. 8 is a flowchart for explaining a procedure of processes executed by the vehicle control device 10 and the abnormality detection device 40 according to the fifth embodiment.
  • the abnormality detection device 40 detects an abnormality in the vehicle in the same procedure as in the first embodiment, it notifies the emergency control application 123 that an abnormality has occurred in the vehicle (steps S501 to S503).
  • the emergency control application 123 When the emergency control application 123 receives a notification that an abnormality has occurred in the vehicle, the emergency control application 123 forcibly stops the normal control application 121 by transmitting a forced stop command to the normal control application 121 via the hypervisor 122. (Step S504).
  • the emergency control application 123 forcibly stops the normal control application 121, and then outputs a control signal for stopping the vehicle to the drive system ECU 30 through the interface 13C in order to stop the vehicle safely (step S505). ).
  • the emergency control application 123 forcibly stops the normal control application 121 by outputting information to that effect from the interface 13E in order to notify the passenger that the normal control application 121 has been forcibly stopped.
  • the display device 50 is caused to display the information to the effect (step S506).
  • the fact that the normal control application 121 has been forcibly stopped can be displayed on the display device 50, so that the occupant has stopped operating due to normal control by the vehicle control device 10. Can be grasped.
  • the information indicating that the normal control application 121 has been forcibly stopped is displayed on the display device 50, but it is needless to say that the passenger may be notified by voice. .
  • FIG. 9 is a flowchart for explaining a procedure of processing executed by the vehicle control device 10 according to the sixth embodiment.
  • the emergency control application 123 executes the following processing at an appropriate timing such as a timing when the ignition of the vehicle is switched from off to on.
  • the emergency control application 123 determines whether or not the emergency control application 123 has the authority to forcibly stop the normal control application 121 (step S601).
  • the emergency control application 123 acquires the unique authentication information assigned to the normal control application 121 from the normal control application 121, and the authentication information stored in advance by itself and the authentication acquired from the normal control application 121. By determining whether the information matches, it is possible to determine whether the user has the authority to forcibly stop the normal control application 121.
  • the emergency control application 123 ends the process according to this flowchart without executing the following process.
  • the emergency control application 123 displays the information indicating that it has the authority to forcibly stop the normal control application 121 from the interface 13E. Information to that effect is displayed on the device 50 (step S602).
  • a normal execution environment 120A and a secure execution environment 120B in which a memory space and an interface to be used are physically or logically separated are prepared, and the normal control application 121 and the emergency control application are provided in each execution environment.
  • the hardware for realizing the function of the normal control application 121 and the hardware for realizing the function of the emergency control application 123 may be separately provided.
  • a configuration for realizing the function by the normal control application 121 and the function by the emergency control application 123 by independent hardware will be described.
  • FIG. 10 is a block diagram illustrating the hardware configuration of the vehicle control device 10 according to the seventh embodiment.
  • the vehicle control device 10 is, for example, an ECU that controls the operation of various equipment mounted on the vehicle, and includes a normal control module 10A and an emergency control module 10B.
  • the normal control module 10A is a hardware module and includes a control unit 11A, a storage unit 12A, and interfaces 13A and 13B.
  • the control unit 11A includes a CPU, a ROM, a RAM, and the like.
  • the CPU included in the control unit 11A causes the entire apparatus to function as the vehicle control unit of the present application by developing and executing various computer programs stored in the ROM or the storage unit 12A on the RAM.
  • control unit 11A is not limited to the above configuration, and may be any processing circuit including one or more CPUs, a multi-core CPU, a microcomputer, and the like. Further, the control unit 11A may include functions such as a timer that measures an elapsed time from when a measurement start instruction is given to when a measurement end instruction is given, and a counter that counts the number.
  • the storage unit 12A includes a nonvolatile memory such as an EEPROM, and stores various software (computer programs) and various data.
  • the software stored in the storage unit 12A includes a normal control application 121 that is software for controlling the operation of the equipment of the vehicle.
  • the information stored in the storage unit 12A may include various authentication data such as vehicle ID, key information used by the normal control application, and the emergency control application.
  • the interfaces 13A and 13B are interfaces used in the normal control module 10A, and are connected to the operation system ECU 20 and the drive system ECU 30 of the vehicle, respectively.
  • the operation system ECU 20 is connected to an operation device such as a brake pedal that is operated by an occupant to control the traveling of the vehicle.
  • the drive system ECU 30 is connected to a control device (equipment) for controlling the running of the vehicle such as a brake pad.
  • a drive source (equipment) of a vehicle such as an engine or a drive battery system may be connected to the drive system ECU 30.
  • the control unit 11A acquires a signal output from the operation system ECU 20 through the interface 13A. For example, when the brake pedal is depressed by the occupant, the operation system ECU 20 grasps how much the brake pedal is depressed and outputs a signal indicating the depression amount. 11 A of control parts acquire the signal which shows the depression amount of the brake pedal output from operation system ECU20 through the interface 13A.
  • control unit 11A generates a control signal to be output to the drive system ECU 30, and outputs the generated control signal from the interface 13B to the drive system ECU 30, thereby controlling the control target connected to the drive system ECU 30.
  • the control unit 11A acquires a signal indicating the amount of depression of the brake pedal through the interface 13A
  • the control unit 11A generates a control signal to control the brake pad according to the amount of depression of the brake pedal, and the brake through the interface 13B.
  • a control signal is output to drive system ECU 30 to which the pad is connected.
  • the emergency control module 10B is a hardware module in which access from the outside is restricted and it is difficult to observe or modify the processing mechanism executed inside from the outside.
  • An example of the emergency control module 10B is a secure element.
  • the emergency control module 10B includes a control unit 11B, a storage unit 12B, and interfaces 13C and 13D.
  • the control unit 11B includes a CPU, a ROM, a RAM, and the like.
  • the CPU provided in the control unit 11B causes the entire module to function as the invalidation unit of the present application by developing and executing various computer programs stored in the ROM or the storage unit 12B on the RAM.
  • the control unit 11B is not limited to the above configuration, and may be any processing circuit including one or more CPUs, a multi-core CPU, a microcomputer, and the like. Further, the control unit 11B may have functions such as a timer that measures an elapsed time from when a measurement start instruction is given to when a measurement end instruction is given, and a counter that counts the number.
  • the storage unit 12B is configured by a nonvolatile memory such as an EEPROM, and stores various software (computer programs) and various data.
  • the software stored in the storage unit 12B includes an emergency control application 123 that forcibly stops the normal control application when an abnormality is detected in the vehicle.
  • the information stored in the storage unit 12B includes various authentication data such as vehicle ID, key information used by the normal control application, and the emergency control application.
  • the interfaces 13C and 13D are interfaces used in the emergency control module 10B, and are connected to the drive system ECU 30 and the abnormality detection device 40, respectively.
  • the abnormality detection device 40 includes, for example, one or more types of sensors that detect the state of the vehicle, and determines whether an abnormality has occurred in the vehicle based on the output from the sensor.
  • the abnormality detection device 40 determines that an abnormality has occurred in the vehicle, the abnormality detection device 40 notifies the emergency control application 123 of the detection result to that effect through the interface 13D.
  • the emergency control application 123 receives a notification that an abnormality has occurred in the vehicle, the emergency control application 123 outputs a command for forcibly stopping the normal control application 121 (hereinafter, forced stop command) to the control unit 11A of the normal control module 10A.
  • the control unit 11A of the normal control module 10A forcibly stops the normal control application 121 when receiving the forced stop command from the emergency control module 10B. That is, the emergency control application 123 invalidates the function of the normal control module 10A that controls the operation of the equipment included in the vehicle C.
  • the emergency control application 123 may output a control signal for stopping the vehicle to the drive system ECU 30 through the interface 13C in order to stop the vehicle safely after the normal control application 121 is forcibly stopped.
  • the normal control application 121 when it is detected that an abnormality has occurred in the vehicle due to a cyber attack or the like, the normal control application 121 is forcibly stopped (that is, the function of the normal control module 10A is invalidated). Since it is a structure, the traveling control which a passenger

Landscapes

  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Mechanical Engineering (AREA)
  • Human Computer Interaction (AREA)
  • Transportation (AREA)
  • Debugging And Monitoring (AREA)
  • Control Of Driving Devices And Active Controlling Of Vehicle (AREA)

Abstract

車両制御装置、無効化装置、コンピュータプログラム及び無効化方法の提供。　車両に搭載された装備品の動作を制御する車両制御部と、外部からのアクセスが制限されており、前記車両にて異常が発生した場合に前記車両制御部を無効化する無効化部とを備える。

Description

車両制御装置、無効化装置、コンピュータプログラム及び無効化方法
　本発明は、車両制御装置、無効化装置、コンピュータプログラム及び無効化方法に関する。
　近年、車両を自動制御する車両制御装置の開発が進んでいる。例えば、特許文献１には、車両周辺の障害物を検出し、自車両と障害物との間の距離が所定の距離となった場合、制動力を発生させる車両制御装置が開示されている。
特開２０１０－３０５１５号公報
　しかしながら、近年の車両は外部通信機器と通信するための通信インタフェースを搭載していることが多く、サイバー攻撃等により、車両制御装置の制御能力が悪意のある第三者に奪われる可能性がある。この場合、車両において、乗員が意図していないような動作（異常）が起こり得る。
　本発明は、斯かる事情に鑑みてなされたものであり、車両に異常が発生した場合に、車両制御を無効化することができる車両制御装置、無効化装置、コンピュータプログラム及び無効化方法を提供することを目的とする。
　一態様に係る車両制御装置は、車両に搭載された装備品の動作を制御する車両制御部と、外部からのアクセスが制限されており、前記車両にて異常が発生した場合に前記車両制御部を無効化する無効化部とを備える。
　一態様に係る無効化装置は、車両に搭載された装備品の動作を制御する車両制御部の実行環境とは独立した実行環境下で機能するように構成してあり、外部からのアクセスが制限されており、前記車両にて異常が発生した場合に前記車両制御部を無効化する無効化部を備える。
　一態様に係るコンピュータプログラムは、外部からのアクセスが制限されており、車両に搭載された装備品の動作を制御する車両制御部の実行環境とは独立した実行環境下で機能するように構成してあり、前記車両にて異常が発生した場合に前記車両制御部を無効化する処理をコンピュータに実行させるためのコンピュータプログラムである。
　一態様に係る無効化方法は、外部からのアクセスが制限されており、車両に搭載された装備品の動作を制御する車両制御部の実行環境とは独立した実行環境下にて、前記車両にて異常が発生した場合に前記車両制御部を無効化する処理をコンピュータにより実行する。
　本願によれば、車両に異常が発生した場合に、車両制御を無効化することができる。
実施の形態１に係る車両制御装置のハードウェア構成を説明するブロック図である。 実施の形態１に係る車両制御装置の機能的構成を説明するブロック図である。 実施の形態１に係る車両制御装置及び異常検知装置が実行する処理の手順を説明するフローチャートである。 実施の形態２に係る車両制御装置及び異常検知装置が実行する処理の手順を説明するフローチャートである。 実施の形態３に係る車両制御装置及び異常検知装置が実行する処理の手順を説明するフローチャートである。 実施の形態４に係る車両制御装置が実行する処理の手順を説明するフローチャートである。 実施の形態５に係る車両制御装置のハードウェア構成を説明するブロック図である。 実施の形態５に係る車両制御装置及び異常検知装置が実行する処理の手順を説明するフローチャートである。 実施の形態６に係る車両制御装置が実行する処理の手順を説明するフローチャートである。 実施の形態７に係る車両制御装置のハードウェア構成を説明するブロック図である。
　以下、本発明をその実施の形態を示す図面に基づいて具体的に説明する。
（実施の形態１）
　図１は実施の形態１に係る車両制御装置１０のハードウェア構成を説明するブロック図であり、図２はその機能的構成を説明するブロック図である。車両制御装置１０は、例えば、車両に搭載された各種装備品の動作を制御するＥＣＵ（Electronic Controller Unit）であり、制御部１１、記憶部１２、及びインタフェース１３Ａ～１３Ｄを備える。
　制御部１１は、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）などにより構成されている。制御部１１が備えるＣＰＵは、ＲＯＭ又は記憶部１２に記憶されている各種コンピュータプログラムをＲＡＭ上に展開して実行することにより、装置全体を本願の車両制御装置として機能させる。
　なお、制御部１１は、上記の構成に限定されるものではなく、１又は複数のＣＰＵ、マルチコアＣＰＵ、マイコン等を含む任意の処理回路であればよい。また、制御部１１は、計測開始指示を与えてから計測終了指示を与えるまでの経過時間を計測するタイマ、数をカウントするカウンタ等の機能を備えていてもよい。
　記憶部１２は、ＥＥＰＲＯＭ（Electronically Erasable Programmable Read Only Memory）などの不揮発性メモリにより構成されており、各種のソフトウェア（コンピュータプログラム）及び各種のデータを記憶する。ここで、記憶部１２に記憶されているソフトウェアには、車両の装備品の動作を制御するためのソフトウェアである通常制御アプリ１２１、仮想環境を構築するためのソフトウェアであるハイパーバイザ１２２、車両において異常が検知された場合に通常制御アプリを強制停止させる緊急制御アプリ１２３が含まれる。また、記憶部１２が記憶する情報には、車両のＩＤ（Identifier）、通常制御アプリ１２１及び緊急制御アプリ１２３が用いる鍵情報等の各種認証データが含まれていてもよい。
　本実施の形態に係る車両制御装置１０は、通常制御アプリ１２１が実行される通常実行環境１２０Ａと、通常実行環境１２０Ａとは独立した実行環境であり、使用するメモリ空間及びインタフェースが通常実行環境１２０Ａとは物理的又は論理的に離隔されたセキュア実行環境１２０Ｂとを有する（図２を参照）。実施の形態１に係るセキュア実行環境１２０Ｂは、ハイパーバイザ１２２により構築される仮想環境であり、この仮想環境下において緊急制御アプリ１２３が実行される。なお、セキュア実行環境１２０Ｂには、外部からのアクセスが制限されており、内部で実行される処理メカニズムが外部から観測又は改変されることが困難であることが好ましい。
　インタフェース１３Ａ，１３Ｂは、通常実行環境１２０Ａにおいて使用されるインタフェースであり、それぞれ車両の操作系ＥＣＵ２０及び駆動系ＥＣＵ３０に接続されている。操作系ＥＣＵ２０には、ブレーキペダルなどの車両の走行を制御するために乗員によって操作される操作装置が接続される。また、駆動系ＥＣＵ３０には、ブレーキパッドなどの車両の走行を制御する制御装置（装備品）が接続される。また、駆動系ＥＣＵ３０には、エンジン若しくは駆動用のバッテリシステムなどの車両の駆動源（装備品）が接続されていてもよい。
　制御部１１は、操作系ＥＣＵ２０から出力される信号を、インタフェース１３Ａを通じて取得する。例えば、乗員によりブレーキペダルが踏み込まれた場合、操作系ＥＣＵ２０は、ブレーキペダルがどの程度踏み込まれているのかを把握し、踏み込み量を示す信号を出力する。制御部１１は、操作系ＥＣＵ２０から出力されるブレーキペダルの踏み込み量を示す信号をインタフェース１３Ａを通じて取得する。
　また、制御部１１は、通常実行環境１２０Ａにて実行される通常制御アプリ１２１を通じて駆動系ＥＣＵ３０へ出力すべき制御信号を生成し、生成した制御信号をインタフェース１３Ｂから駆動系ＥＣＵ３０へ出力することにより、駆動系ＥＣＵ３０に接続された制御対象の制御を行う。例えば、制御部１１は、ブレーキペダルの踏み込み量を示す信号をインタフェース１３Ａを通じて取得した場合、ブレーキペダルの踏み込み量に応じてブレーキパッドを制御するために、制御信号を生成し、インタフェース１３Ｂを通じて、ブレーキパッドが接続された駆動系ＥＣＵ３０へ制御信号を出力する。
　なお、本実施の形態では、車両制御装置１０のインタフェース１３Ａ，１３Ｂに操作系ＥＣＵ２０及び駆動系ＥＣＵ３０を接続する構成としたが、ブレーキＥＣＵ、ステアリングＥＣＵ、トランスミッションＥＣＵ、エンジンＥＣＵ等の個別のＥＣＵを設け、これらのＥＣＵを通じて車両が備える各種装備品の動作を制御する構成としてもよい。また、車両制御装置１０は、ＣＡＮ（Controller Area Network）、ＬＩＮ（Local Interconnect Network）、Ｅｔｈｅｒｎｅｔ（登録商標）、又はＭＯＳＴ（Media Oriented Systems Transport）等の通信規格に準じた通信インタフェースを備え、車内通信回線を介して接続された他のＥＣＵへ制御信号を送信することにより、車両が備える各種装備品の動作を制御する構成としてもよい。
　インタフェース１３Ｃ，１３Ｄは、セキュア実行環境１２０Ｂにおいて使用されるインタフェースであり、それぞれ駆動系ＥＣＵ３０及び異常検知装置４０に接続されている。異常検知装置４０は、例えば、車両の状態を検知する１又は複数種のセンサを備え、センサからの出力に基づき、車両に異常が発生したか否かを判断する。
　異常検知装置４０は、公知の手法を用いて、車両において発生した異常を検知することができる。例えば、異常検知装置４０は、ブレーキペダルを踏む乗員の操作を検知するセンサからの出力と、実際にブレーキ装置が作動しているか否かを検知するためにブレーキパッドに取り付けられたセンサからの出力とを組み合わせ、乗員がブレーキペダルを操作していないにも関わらず、ブレーキ装置が作動していることを検知した場合、車両に異常が発生したと判断してもよい。
　また、異常検知装置４０は、赤外線レーザ、ミリ波レーダ、車載カメラなどの車外の状況を把握することができるセンサからの出力を取得し、例えば障害物が検知されているにも関わらず、ブレーキ装置が作動していないことを検知した場合において、車両に異常が発生したと判断してもよい。
　更に、異常検知装置４０は、ハンドブレーキを引く乗員の操作を検知するセンサからの出力と、ブレーキペダルを踏む乗員の操作を検知するセンサからの出力とを組み合わせて、車両に異常が発生したか否かを判断する構成としてもよい。
　異常検知装置４０は、車両に異常が発生したと判断した場合、その旨の検知結果をインタフェース１３Ｄを通じて緊急制御アプリ１２３に通知する。緊急制御アプリ１２３は、車両に異常が発生した旨の通知を受信した場合、通常制御アプリ１２１を強制停止させるためのコマンド（以下、強制停止コマンド）をハイパーバイザ１２２を介して通常制御アプリ１２１へ送信することにより、通常制御アプリ１２１を強制停止させる。すなわち、緊急制御アプリ１２３は、車両Ｃが備える装備品の動作を制御する車両制御装置１０の本来の機能を無効化する。
　また、緊急制御アプリ１２３は、通常制御アプリ１２１を強制停止させた後、車両を安全に停止させるべく、車両を停止させるための制御信号をインタフェース１３Ｃを通じて駆動系ＥＣＵ３０へ出力してもよい。
　図３は実施の形態１に係る車両制御装置１０及び異常検知装置４０が実行する処理の手順を説明するフローチャートである。異常検知装置４０は、予め設定されたタイミング若しくは定期的なタイミング等の適宜のタイミングにて、車両における異常を検知する異常検知処理を実行する（ステップＳ１０１）。このとき、異常検知装置４０は、センサからの出力を取得し、取得したセンサからの出力に基づき、車両に異常が発生したか否かを判断する（ステップＳ１０２）。異常が発生していないと判断した場合（Ｓ１０２：ＮＯ）、異常検知装置４０は、処理をステップＳ１０１に戻し、異常検知処理を継続する。
　異常が発生したと判断した場合（Ｓ１０２：ＹＥＳ）、異常検知装置４０は、車両に異常が発生した旨を緊急制御アプリ１２３へ通知する（ステップＳ１０３）。異常検知装置４０からの通知は、インタフェース１３Ｄを通じて、セキュア実行環境１２０Ｂにおいて実行されている緊急制御アプリ１２３へ送信される。
　緊急制御アプリ１２３は、車両に異常が発生した旨の通知を受信した場合、ハイパーバイザ１２２を介して強制停止コマンドを通常制御アプリ１２１へ送信することにより、通常制御アプリ１２１を強制的に停止させる（ステップＳ１０４）。
　また、緊急制御アプリ１２３は、通常制御アプリ１２１を強制的に停止させた後、車両を安全に停止させるべく、車両を停止させるための制御信号をインタフェース１３Ｃを通じて駆動系ＥＣＵ３０へ出力する（ステップＳ１０５）。
　以上のように、本実施の形態では、サイバー攻撃等により車両に異常が発生したことを検知した場合、通常制御アプリ１２１を強制的に停止させる（すなわち車両制御装置１０の本来の機能を無効化する）構成であるため、乗員の意図しない走行制御を回避することができる。また、車両制御装置１０の制御能力が奪われた場合であっても、最低限の制御を保つことができ、車両を安全に停止させることができる。
　なお、本実施の形態では、インタフェース１３Ｄに異常検知装置４０を接続し、異常検知装置４０による検知結果をインタフェース１３Ｄを通じて取得する構成としたが、車両の状態を検知する各種センサをインタフェース１３Ｄに接続し、各種センサからの出力に基づいて、緊急制御アプリ１２３が車両における異常の発生の有無を判断してもよい。
（実施の形態２）
　実施の形態１では、車両における異常が検知された場合、通常制御アプリ１２１を強制的に停止させる構成としたが、通常制御アプリ１２１を停止させる代わりに、通常実行環境１２０Ａにおいて使用されるインタフェース１３Ａ，１３Ｂの動作を停止させる構成としてもよい。
　実施の形態２では、車両における異常が検知された場合、通常実行環境１２０Ａにおいて使用されるインタフェース１３Ａ，１３Ｂの動作を停止させる構成について説明する。なお、車両制御装置１０のハードウェア構成及び機能的構成は実施の形態１と同様であるため、その説明を省略することとする。
　図４は実施の形態２に係る車両制御装置１０及び異常検知装置４０が実行する処理の手順を説明するフローチャートである。異常検知装置４０は、実施の形態１と同様の手順にて車両における異常を検知した場合、車両に異常が発生した旨を緊急制御アプリ１２３へ通知する（ステップＳ２０１～Ｓ２０３）。
　緊急制御アプリ１２３は、車両に異常が発生した旨の通知を受信した場合、通常実行環境１２０Ａにおいて使用されるインタフェース１３Ａ，１３Ｂの動作を停止させるためのコマンドを通常制御アプリ１２１へ送信し、通常制御アプリ１２１の制御によりインタフェース１３Ａ，１３Ｂの動作を停止させる（ステップＳ２０４）。
　また、緊急制御アプリ１２３は、インタフェース１３Ａ，１３Ｂの動作を強制的に停止させた後、車両を安全に停止させるべく、車両を停止させるための制御信号をインタフェース１３Ｃを通じて駆動系ＥＣＵ３０へ出力する（ステップＳ２０５）。
　以上のように、本実施の形態では、サイバー攻撃等により車両に異常が発生した場合、通常実行環境下で使用されるインタフェース１３Ａ，１３Ｂの動作を停止させることによって、車両制御装置１０としての本来の機能を無効化する構成であるため、乗員の意図しない走行制御を回避することができる。また、車両制御装置１０の制御能力が奪われた場合であっても、最低限の制御を保つことができ、車両を安全に停止させることが可能となる。
　なお、本実施の形態では、通常制御アプリ１２１の制御によりインタフェース１３Ａ，１３Ｂの動作を停止させる構成としたが、緊急制御アプリ１２３がインタフェース１３Ａ，１３Ｂの双方にアクセス可能である場合、緊急制御アプリ１２３の制御によりインタフェース１３Ａ，１３Ｂの動作を停止させる構成としてもよい。この場合、緊急制御アプリ１２３の権限を通常制御アプリ１２１の権限よりも強く設定して、通常制御アプリ１２１からのインタフェース１３Ａ，１３Ｂの強制停止を禁止し、緊急制御アプリ１２３からの制御によりインタフェース１３Ａ，１３Ｂの動作を強制的に停止させる構成としてもよい。サイバー攻撃等の影響により通常実行環境１２０Ａが正常に機能しない場合であっても、セキュア実行環境１２０Ｂから、インタフェース１３Ａ，１３Ｂの動作を強制的に停止させることができるので、通常制御アプリ１２１を強制的に停止させる実施の形態１と比較して安全性を高めることが可能となる。
　また、本実施の形態では、インタフェース１３Ａ，１３の双方の動作を停止させる構成としたが、インタフェース１３Ｂの動作のみを停止させる構成としてもよい。
（実施の形態３）
　実施の形態１では、車両における異常が検知された場合、通常制御アプリ１２１を強制的に停止させる構成としたが、強制的に停止させた後、設定された条件を満たした場合、通常制御アプリ１２１を再起動する構成としてもよい。
　実施の形態３では、通常制御アプリ１２１を強制的に停止させた後、設定された条件を満たした場合、通常制御アプリ１２１を再起動する構成について説明する。なお、車両制御装置１０のハードウェア構成及び機能的構成は実施の形態１と同様であるため、その説明を省略することとする。
　図５は実施の形態３に係る車両制御装置１０及び異常検知装置４０が実行する処理の手順を説明するフローチャートである。異常検知装置４０は、実施の形態１と同様の手順にて車両における異常を検知した場合、車両に異常が発生した旨を緊急制御アプリ１２３へ通知する（ステップＳ３０１～Ｓ３０３）。
　緊急制御アプリ１２３は、車両に異常が発生した旨の通知を受信した場合、ハイパーバイザ１２２を介して強制停止コマンドを通常制御アプリ１２１へ送信することにより、通常制御アプリ１２１を強制的に停止させる（ステップＳ３０４）。
　また、緊急制御アプリ１２３は、通常制御アプリ１２１を強制的に停止させた後、車両を安全に停止させるべく、車両を停止させるための制御信号をインタフェース１３Ｃを通じて駆動系ＥＣＵ３０へ出力する（ステップＳ３０５）。
　次いで、緊急制御アプリ１２３は、設定された条件が満たされたか否かを判断する（ステップＳ３０６）。条件として、例えば通常制御アプリ１２１の強制停止からの経過時間を採用することができる。この場合、緊急制御アプリ１２３は、通常制御アプリ１２１を強制的に停止させてから設定時間が経過した場合、条件が満たされたと判断する。また、条件として、強制停止の解除を指示する信号の入力を採用することができる。この場合、緊急制御アプリ１２３は、強制停止の解除を指示する信号が外部から入力された場合、条件が満たされたと判断する。
　設定された条件が満たされていないと判断した場合（Ｓ３０６：ＮＯ）、緊急制御アプリ１２３は、設定された条件が満たされるまで待機する。また、設定された条件が満たされたと判断した場合（Ｓ３０６：ＹＥＳ）、緊急制御アプリ１２３は、通常制御アプリ１２１を再起動するコマンドをハイパーバイザ１２２を介して出力し、通常制御アプリ１２１を再起動させる（ステップＳ３０７）。
　以上のように、本実施の形態では、サイバー攻撃等により車両に異常が発生し、車両制御装置１０の本来の機能を無効化した後であっても、設定された条件を満たした場合には、車両制御装置１０の本来の機能を回復させることができる。
（実施の形態４）
　実施の形態４では、通常制御アプリ１２１が強制停止コマンドを受信した場合、強制停止コマンドの送信元が正当な権限を有するか否かを検証する構成について説明する。なお、車両制御装置１０のハードウェア構成及び機能的構成は実施の形態１と同様であるため、その説明を省略することとする。
　図６は実施の形態４に係る車両制御装置１０が実行する処理の手順を説明するフローチャートである。異常検知装置４０は、実施の形態１と同様の手順にて、車両における異常を検知した場合、車両に異常が発生した旨を緊急制御アプリ１２３へ通知する。
　緊急制御アプリ１２３は、適宜のタイミングにて、車両に異常が発生した旨の通知を異常検知装置４０から受信したか否かを判断する（ステップＳ４０１）。通知を受信していない場合（Ｓ４０１：ＮＯ）、緊急制御アプリ１２３は、異常検知装置４０からの通知を受信するまで待機する。
　異常検知装置４０からの通知を受信したと判断した場合（Ｓ４０１：ＹＥＳ）、緊急制御アプリ１２３は、通常制御アプリ１２１を強制的に停止させる強制停止コマンドをハイパーバイザ１２２を通じて通常制御アプリ１２１へ送信する（ステップＳ４０２）。本実施の形態では、強制停止コマンドを送信する際、通常制御アプリ１２１を停止させる正当な権限を有するアプリであることを示す認証情報を併せて送信する。
　通常制御アプリ１２１は、例えば定期的なタイミングにて、強制停止コマンドを受信したか否かを判断する（ステップＳ４０３）。強制停止コマンドを受信していない場合（Ｓ４０３：ＮＯ）、通常制御アプリ１２１は、以下の処理を実行せずに、本フローチャートによる処理を終了する。
　強制停止コマンドを受信したと判断した場合（Ｓ４０３：ＹＥＳ）、通常制御アプリ１２１は、強制停止コマンドと共に送信されてくる認証情報に基づき、強制停止コマンドの送信元を認証するか否かを判断する（ステップＳ４０４）。例えば、通常制御アプリ１２１は、記憶部１２に予め記憶されている認証情報と、強制停止コマンドと共に受信した認証情報とが一致するか否かを判断することにより、強制停止コマンドの送信元を認証するか否かを判断することができる。強制停止コマンドの送信元を認証しないと判断した場合（Ｓ４０４：ＮＯ）、通常制御アプリ１２１は、以下の処理を実行せずに、本フローチャートによる処理を終了する。
　強制停止コマンドの送信元を認証すると判断した場合（Ｓ４０４：ＹＥＳ）、通常制御アプリ１２１は、自身の動作を強制的に停止させる（ステップＳ４０５）。
　以上のように、本実施の形態では、通常制御アプリ１２１が強制停止コマンドを受信した際、送信元の認証可否を判断し、認証できる場合にのみ強制停止させる構成であるため、正当な権限を有していない外部装置等から強制停止コマンドを受信した場合には、それによって強制停止に移行することが回避される。
　なお、本実施の形態では、緊急制御アプリ１２３からの認証情報に基づき、通常制御アプリ１２１が認証処理を実行する構成としたが、通常制御アプリ１２１と緊急制御アプリ１２３との間で相互認証を行う構成としてもよい。また、通常制御アプリ１２１を強制停止させた後、車両を安全に停止させるべく、緊急制御アプリ１２３から、車両を停止させるための制御信号を駆動系ＥＣＵ３０へ出力してもよい。
　また、本実施の形態では、緊急制御アプリ１２３から送信される強制停止コマンドに基づき、通常制御アプリ１２１が自身の動作を強制的に停止させる構成としたが、通常制御アプリ１２１を停止させるアプリを別途用意し、このアプリからＯＳ（Operating System）の機能を利用して通常制御アプリ１２１の動作を強制的に停止させる構成としてもよい。なお、通常制御アプリ１２１を強制的に停止させる別のアプリは、通常制御アプリ１２１よりも強い権限（例えば、ルート権限）を有していることが好ましい。
（実施の形態５）
　実施の形態５では、通常制御アプリ１２１を強制的に停止させた場合、その旨を乗員に報知する構成について説明する。
　図７は実施の形態５に係る車両制御装置１０のハードウェア構成を説明するブロック図である。実施の形態５に係る車両制御装置１０は、制御部１１、記憶部１２、及びインタフェース１３Ａ～１３Ｄに加え、表示装置５０を接続するためのインタフェース１３Ｅを備える。制御部１１、記憶部１２、及びインタフェース１３Ａ～１３Ｄの動作は実施の形態１と同様である。
　インタフェース１３Ｅは、本実施の形態ではセキュア実行環境１２０Ｂの双方において使用されるインタフェースであり、表示装置５０に接続されている。表示装置５０は、例えば液晶モニタを備えたナビゲーション装置であり、インタフェース１３Ｅを通じて出力される情報を表示する。なお、通常実行環境１２０Ａにおいて使用され、表示装置５０に接続されたインタフェースを更に備える構成であってもよい。
　図８は実施の形態５に係る車両制御装置１０及び異常検知装置４０が実行する処理の手順を説明するフローチャートである。異常検知装置４０は、実施の形態１と同様の手順にて車両における異常を検知した場合、車両に異常が発生した旨を緊急制御アプリ１２３へ通知する（ステップＳ５０１～Ｓ５０３）。
　緊急制御アプリ１２３は、車両に異常が発生した旨の通知を受信した場合、ハイパーバイザ１２２を介して強制停止コマンドを通常制御アプリ１２１へ送信することにより、通常制御アプリ１２１を強制的に停止させる（ステップＳ５０４）。
　また、緊急制御アプリ１２３は、通常制御アプリ１２１を強制的に停止させた後、車両を安全に停止させるべく、車両を停止させるための制御信号をインタフェース１３Ｃを通じて駆動系ＥＣＵ３０へ出力する（ステップＳ５０５）。
　更に、緊急制御アプリ１２３は、通常制御アプリ１２１を強制的に停止させた旨を乗員に報知すべく、その旨の情報をインタフェース１３Ｅから出力することによって、通常制御アプリ１２１を強制的に停止させた旨の情報を表示装置５０に表示させる（ステップＳ５０６）。
　以上により、本実施の形態では、通常制御アプリ１２１を強制的に停止させた旨を表示装置５０に表示させることができるので、乗員は、車両制御装置１０による正常な制御により動作が停止したことを把握することができる。
　なお、本実施の形態では、通常制御アプリ１２１を強制的に停止させた旨の情報を表示装置５０に表示する構成としたが、音声により乗員に報知してもよいことは勿論のことである。
（実施の形態６）
　実施の形態６では、緊急制御アプリ１２３が通常制御アプリ１２１を強制停止させる権限を有するものであることを検証し、その検証結果を乗員に報知する構成について説明する。
　図９は実施の形態６に係る車両制御装置１０が実行する処理の手順を説明するフローチャートである。緊急制御アプリ１２３は、車両のイグニッションがオフからオンに切り替えられたタイミング等の適宜のタイミングで以下の処理を実行する。緊急制御アプリ１２３は、自身が通常制御アプリ１２１を強制停止させる権限を有するか否かを判断する（ステップＳ６０１）。このとき、緊急制御アプリ１２３は、通常制御アプリ１２１に割り当てられている固有の認証情報を通常制御アプリ１２１から取得し、自身が予め記憶している認証情報と、通常制御アプリ１２１から取得した認証情報とが一致するか否かを判断することによって、自身が通常制御アプリ１２１を強制停止させる権限を有するか否かを判断することができる。
　権限を有していないと判断した場合（Ｓ６０１：ＮＯ）、緊急制御アプリ１２３は、以下の処理を実行せずに本フローチャートによる処理を終了する。
　一方、権限を有していると判断した場合（Ｓ６０１：ＹＥＳ）、緊急制御アプリ１２３は、自身が通常制御アプリ１２１を強制停止させる権限を有する旨の情報をインタフェース１３Ｅから出力することによって、表示装置５０にその旨の情報を表示させる（ステップＳ６０２）。
　以上のように、本実施の形態では、通常制御アプリ１２１を強制的に停止させる権限を持った緊急制御アプリ１２３の存在を乗員に報知することができる。
（実施の形態７）
　実施の形態１では、使用するメモリ空間及びインタフェースが物理的又は論理的に離隔された通常実行環境１２０Ａとセキュア実行環境１２０Ｂとを用意し、それぞれの実行環境下において通常制御アプリ１２１及び緊急制御アプリ１２３を実行する構成としたが、通常制御アプリ１２１による機能を実現するハードウェアと、緊急制御アプリ１２３による機能を実現するハードウェアとを個別に設ける構成としてもよい。
　実施の形態７では、それぞれ独立したハードウェアにより通常制御アプリ１２１による機能及び緊急制御アプリ１２３による機能を実現する構成について説明する。
　図１０は実施の形態７に係る車両制御装置１０のハードウェア構成を説明するブロック図である。車両制御装置１０は、例えば、車両に搭載された各種装備品の動作を制御するＥＣＵであり、通常制御モジュール１０Ａ及び緊急制御モジュール１０Ｂを備える。
　通常制御モジュール１０Ａは、ハードウェアモジュールであり、制御部１１Ａ、記憶部１２Ａ、及びインタフェース１３Ａ，１３Ｂを備える。制御部１１Ａは、ＣＰＵ、ＲＯＭ、ＲＡＭなどにより構成されている。制御部１１Ａが備えるＣＰＵは、ＲＯＭ又は記憶部１２Ａに記憶されている各種コンピュータプログラムをＲＡＭ上に展開して実行することにより、装置全体を本願の車両制御部として機能させる。
　なお、制御部１１Ａは、上記の構成に限定されるものではなく、１又は複数のＣＰＵ、マルチコアＣＰＵ、マイコン等を含む任意の処理回路であればよい。また、制御部１１Ａは、計測開始指示を与えてから計測終了指示を与えるまでの経過時間を計測するタイマ、数をカウントするカウンタ等の機能を備えていてもよい。
　記憶部１２Ａは、ＥＥＰＲＯＭなどの不揮発性メモリにより構成されており、各種のソフトウェア（コンピュータプログラム）及び各種のデータを記憶する。ここで、記憶部１２Ａに記憶されているソフトウェアには、車両の装備品の動作を制御するためのソフトウェアである通常制御アプリ１２１が含まれる。また、記憶部１２Ａが記憶する情報には、車両のＩＤ、通常制御アプリ及び緊急制御アプリが用いる鍵情報等の各種認証データが含まれてもよい。
　インタフェース１３Ａ，１３Ｂは、通常制御モジュール１０Ａにおいて使用されるインタフェースであり、それぞれ車両の操作系ＥＣＵ２０及び駆動系ＥＣＵ３０に接続されている。操作系ＥＣＵ２０には、ブレーキペダルなどの車両の走行を制御するために乗員によって操作される操作装置が接続される。また、駆動系ＥＣＵ３０には、ブレーキパッドなどの車両の走行を制御する制御装置（装備品）が接続される。また、駆動系ＥＣＵ３０には、エンジン若しくは駆動用のバッテリシステムなどの車両の駆動源（装備品）が接続されてもよい。
　制御部１１Ａは、操作系ＥＣＵ２０から出力される信号をインタフェース１３Ａを通じて取得する。例えば、乗員によりブレーキペダルが踏み込まれた場合、操作系ＥＣＵ２０は、ブレーキペダルがどの程度踏み込まれているのかを把握し、踏み込み量を示す信号を出力する。制御部１１Ａは、操作系ＥＣＵ２０から出力されるブレーキペダルの踏み込み量を示す信号をインタフェース１３Ａを通じて取得する。
　また、制御部１１Ａは、駆動系ＥＣＵ３０へ出力すべき制御信号を生成し、生成した制御信号をインタフェース１３Ｂから駆動系ＥＣＵ３０へ出力することにより、駆動系ＥＣＵ３０に接続された制御対象の制御を行う。例えば、制御部１１Ａは、ブレーキペダルの踏み込み量を示す信号をインタフェース１３Ａを通じて取得した場合、ブレーキペダルの踏み込み量に応じてブレーキパッドを制御するために、制御信号を生成し、インタフェース１３Ｂを通じて、ブレーキパッドが接続された駆動系ＥＣＵ３０へ制御信号を出力する。
　緊急制御モジュール１０Ｂは、外部からのアクセスが制限されており、内部で実行される処理メカニズムが外部から観測又は改変されることが困難なハードウェアモジュールである。緊急制御モジュール１０Ｂの一例は、セキュアエレメントである。
　緊急制御モジュール１０Ｂは、制御部１１Ｂ、記憶部１２Ｂ、及びインタフェース１３Ｃ，１３Ｄを備える。制御部１１Ｂは、ＣＰＵ、ＲＯＭ、ＲＡＭなどにより構成されている。制御部１１Ｂが備えるＣＰＵは、ＲＯＭ又は記憶部１２Ｂに記憶されている各種コンピュータプログラムをＲＡＭ上に展開して実行することにより、モジュール全体を本願の無効化部として機能させる。
　なお、制御部１１Ｂは、上記の構成に限定されるものではなく、１又は複数のＣＰＵ、マルチコアＣＰＵ、マイコン等を含む任意の処理回路であればよい。また、制御部１１Ｂは、計測開始指示を与えてから計測終了指示を与えるまでの経過時間を計測するタイマ、数をカウントするカウンタ等の機能を備えていてもよい。
　記憶部１２Ｂは、ＥＥＰＲＯＭなどの不揮発性メモリにより構成されており、各種のソフトウェア（コンピュータプログラム）及び各種のデータを記憶する。ここで、記憶部１２Ｂに記憶されているソフトウェアには、車両において異常が検知された場合に通常制御アプリを強制停止させる緊急制御アプリ１２３が含まれる。また、記憶部１２Ｂが記憶する情報には、車両のＩＤ、通常制御アプリ及び緊急制御アプリが用いる鍵情報等の各種認証データが含まれる。
　インタフェース１３Ｃ，１３Ｄは、緊急制御モジュール１０Ｂにおいて使用されるインタフェースであり、それぞれ駆動系ＥＣＵ３０及び異常検知装置４０に接続されている。異常検知装置４０は、例えば、車両の状態を検知する１又は複数種のセンサを備え、センサからの出力に基づき、車両に異常が発生したか否かを判断する。
　異常検知装置４０は、車両に異常が発生したと判断した場合、その旨の検知結果をインタフェース１３Ｄを通じて緊急制御アプリ１２３に通知する。緊急制御アプリ１２３は、車両に異常が発生した旨の通知を受信した場合、通常制御アプリ１２１を強制停止させるためのコマンド（以下、強制停止コマンド）を、通常制御モジュール１０Ａの制御部１１Ａへ出力する。通常制御モジュール１０Ａの制御部１１Ａは、緊急制御モジュール１０Ｂからの強制停止コマンドを受信した場合、通常制御アプリ１２１を強制停止させる。すなわち、緊急制御アプリ１２３は、車両Ｃが備える装備品の動作を制御する通常制御モジュール１０Ａの機能を無効化する。
　また、緊急制御アプリ１２３は、通常制御アプリ１２１を強制停止させた後、車両を安全に停止させるべく、車両を停止させるための制御信号をインタフェース１３Ｃを通じて駆動系ＥＣＵ３０へ出力してもよい。
　以上のように、本実施の形態では、サイバー攻撃等により車両に異常が発生したことを検知した場合、通常制御アプリ１２１を強制的に停止させる（すなわち通常制御モジュール１０Ａの機能を無効化する）構成であるため、乗員の意図しない走行制御を回避することができる。また、車両制御装置１０の制御能力が奪われた場合であっても、最低限の制御を保つことができ、車両を安全に停止させることができる。更に、緊急制御モジュール１０Ｂをハードウェアとして別体のセキュアエレメントにより構成することにより、物理的な攻撃に対して強くなり、理論上、よりセキュアな環境を提供することができる。
　今回開示された実施の形態は、全ての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上述した意味ではなく、請求の範囲によって示され、請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。
　１０　車両制御装置
　１１　制御部
　１２　記憶部
　１３Ａ～１３Ｅ　インタフェース
　２０　操作系ＥＣＵ
　３０　駆動系ＥＣＵ
　４０　異常検知装置
　５０　表示装置
　１２０Ａ　通常実行環境
　１２０Ｂ　セキュア実行環境
　１２１　通常制御アプリ
　１２２　ハイパーバイザ
　１２３　緊急制御アプリ

Claims (13)

  1. 　車両に搭載された装備品の動作を制御する車両制御部と、
    　外部からのアクセスが制限されており、前記車両にて異常が発生した場合に前記車両制御部を無効化する無効化部と
    　を備える車両制御装置。
  2. 　前記車両制御部の実行環境とは独立した仮想環境を構築するハイパーバイザを備え、
    　前記無効化部は、前記ハイパーバイザにより構築される仮想環境下で機能するように構成してある
    　請求項１に記載の車両制御装置。
  3. 　前記無効化部は、前記車両制御部の動作を停止させることにより、前記車両制御部を無効化する
    　請求項１又は請求項２に記載の車両制御装置。
  4. 　前記無効化部は、前記車両制御部が備えるインタフェースの動作を停止させることにより、前記車両制御部を無効化する
    　請求項１又は請求項２に記載の車両制御装置。
  5. 　前記無効化部は、前記車両制御部に代替して前記装備品の動作を制御する
    　請求項３又は請求項４に記載の車両制御装置。
  6. 　前記無効化部は、前記車両における異常の発生を検知する検知装置、または、前記車両の状態を検知する１又は複数種のセンサを接続するインタフェースを備える
    　請求項１から請求項５の何れか１つに記載の車両制御装置。
  7. 　前記無効化部は、前記車両制御部を無効化した後、設定条件を満たした場合に前記車両制御部の無効化を解除する
    　請求項１から請求項６の何れか１つに記載の車両制御装置。
  8. 　前記無効化部は、
    　前記車両制御部を無効化する場合、該車両制御部に対して無効化を指示するコマンドを送出し、
    　前記車両制御部は、
    　無効化を指示するコマンドを取得した場合、正当な権限を有する送出元からのコマンドであるか否かを判断し、
    　正当な権限を有する送出元からのコマンドであると判断した場合、前記車両制御部を無効化する
    　請求項３又は請求項４に記載の車両制御装置。
  9. 　前記無効化部は、前記車両制御部を無効化する権限の有効性を判定し、判定結果を報知する
    　請求項１から請求項８の何れか１つに記載の車両制御装置。
  10. 　前記無効化部は、前記車両制御部を無効化した場合、無効化した旨を報知する
    　請求項１から請求項９の何れか１つに記載の車両制御装置。
  11. 　車両に搭載された装備品の動作を制御する車両制御部の実行環境とは独立した実行環境下で機能するように構成してあり、
    　外部からのアクセスが制限されており、前記車両にて異常が発生した場合に前記車両制御部を無効化する無効化部
    　を備える無効化装置。
  12. 　外部からのアクセスが制限されており、車両に搭載された装備品の動作を制御する車両制御部の実行環境とは独立した実行環境下で機能するように構成してあり、
    　前記車両にて異常が発生した場合に前記車両制御部を無効化する
    　処理をコンピュータに実行させるためのコンピュータプログラム。
  13. 　外部からのアクセスが制限されており、車両に搭載された装備品の動作を制御する車両制御部の実行環境とは独立した実行環境下にて、
    　前記車両にて異常が発生した場合に前記車両制御部を無効化する
    　処理をコンピュータにより実行する無効化方法。
PCT/JP2018/009550 2018-03-12 2018-03-12 車両制御装置、無効化装置、コンピュータプログラム及び無効化方法 WO2019175940A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2020505576A JPWO2019175940A1 (ja) 2018-03-12 2018-03-12 車両制御装置、無効化装置、コンピュータプログラム及び無効化方法
PCT/JP2018/009550 WO2019175940A1 (ja) 2018-03-12 2018-03-12 車両制御装置、無効化装置、コンピュータプログラム及び無効化方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2018/009550 WO2019175940A1 (ja) 2018-03-12 2018-03-12 車両制御装置、無効化装置、コンピュータプログラム及び無効化方法

Publications (1)

Publication Number Publication Date
WO2019175940A1 true WO2019175940A1 (ja) 2019-09-19

Family

ID=67907000

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/009550 WO2019175940A1 (ja) 2018-03-12 2018-03-12 車両制御装置、無効化装置、コンピュータプログラム及び無効化方法

Country Status (2)

Country Link
JP (1) JPWO2019175940A1 (ja)
WO (1) WO2019175940A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7507536B1 (ja) 2023-04-25 2024-06-28 パナソニックオートモーティブシステムズ株式会社 監視システム及び制御方法

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004013200A (ja) * 2002-06-03 2004-01-15 Denso Corp 車載制御システム、車載電子制御装置
JP2009213779A (ja) * 2008-03-12 2009-09-24 Denso Corp 車両用操作入力装置
JP2015060551A (ja) * 2013-09-20 2015-03-30 株式会社デンソー キャッシュメモリ制御装置
JP2015064244A (ja) * 2013-09-24 2015-04-09 株式会社日立製作所 地図走行制御システム、走行制御方法、無効化装置
JP2016211358A (ja) * 2015-04-30 2016-12-15 カルソニックカンセイ株式会社 車両用キーレスエントリーシステムおよび車載装備の制御方法
JP2018021338A (ja) * 2016-08-02 2018-02-08 トヨタ自動車株式会社 車両用制御装置

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004013200A (ja) * 2002-06-03 2004-01-15 Denso Corp 車載制御システム、車載電子制御装置
JP2009213779A (ja) * 2008-03-12 2009-09-24 Denso Corp 車両用操作入力装置
JP2015060551A (ja) * 2013-09-20 2015-03-30 株式会社デンソー キャッシュメモリ制御装置
JP2015064244A (ja) * 2013-09-24 2015-04-09 株式会社日立製作所 地図走行制御システム、走行制御方法、無効化装置
JP2016211358A (ja) * 2015-04-30 2016-12-15 カルソニックカンセイ株式会社 車両用キーレスエントリーシステムおよび車載装備の制御方法
JP2018021338A (ja) * 2016-08-02 2018-02-08 トヨタ自動車株式会社 車両用制御装置

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7507536B1 (ja) 2023-04-25 2024-06-28 パナソニックオートモーティブシステムズ株式会社 監視システム及び制御方法

Also Published As

Publication number Publication date
JPWO2019175940A1 (ja) 2021-03-11

Similar Documents

Publication Publication Date Title
US10353692B2 (en) Method for updating a control unit for an automotive vehicle, control unit for an automotive vehicle, and computer program product
US10723361B2 (en) Monitoring apparatus, communication system, vehicle, monitoring method, and non-transitory storage medium
JP5696669B2 (ja) ゲートウェイ装置、及び、車両通信システム
JP2019071572A (ja) 制御装置及び制御方法
JP4572730B2 (ja) 車両用ｕｓｂシステム及び車載無線通信機器
KR20150075996A (ko) 해킹 방지 기능을 구비한 차량 제어 시스템 및 그 동작 방법
JP2008276749A (ja) プログラミング可能なデータ処理装置用の保護ユニット
CN108090376B (zh) 基于TrustZone的CAN总线数据防护方法及系统
WO2019175940A1 (ja) 車両制御装置、無効化装置、コンピュータプログラム及び無効化方法
JP7177272B2 (ja) セキュリティ処理装置
KR20090000008A (ko) 차량진단시 진단단말기간의 충돌방지 시스템 및 그 방법
JP2015227157A (ja) データゲートウェイ及びその車両動作への干渉方法
JP7095240B2 (ja) 電子制御装置
JP2017168993A (ja) 監視装置、及び、通信システム
US20100235056A1 (en) Control unit and method for activating occupant protection means
US11418505B2 (en) Information processing apparatus, system and method
JP6277943B2 (ja) 車両用運転支援装置
US10789365B2 (en) Control device and control method
WO2020137852A1 (ja) 情報処理装置
JP4811132B2 (ja) 車両用盗難防止装置
KR101835783B1 (ko) 차량용 파워 트레인 제어 장치
US20230267213A1 (en) Mitigation of a manipulation of software of a vehicle
US20230072587A1 (en) Method for monitoring a component of an effect chain
WO2024070044A1 (ja) 検証システム、検証方法、及び、プログラム
KR20120026885A (ko) 이모빌라이저 시스템의 에러 진단 장치

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18909516

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2020505576

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18909516

Country of ref document: EP

Kind code of ref document: A1