WO2022162988A1 - 車両制御装置 - Google Patents

車両制御装置 Download PDF

Info

Publication number
WO2022162988A1
WO2022162988A1 PCT/JP2021/031907 JP2021031907W WO2022162988A1 WO 2022162988 A1 WO2022162988 A1 WO 2022162988A1 JP 2021031907 W JP2021031907 W JP 2021031907W WO 2022162988 A1 WO2022162988 A1 WO 2022162988A1
Authority
WO
WIPO (PCT)
Prior art keywords
processing unit
hsm
hsm hardware
hardware processing
unit
Prior art date
Application number
PCT/JP2021/031907
Other languages
English (en)
French (fr)
Inventor
浩幸 羽生
Original Assignee
日立Astemo株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日立Astemo株式会社 filed Critical 日立Astemo株式会社
Priority to DE112021005557.7T priority Critical patent/DE112021005557T5/de
Priority to JP2022578029A priority patent/JP7519470B2/ja
Publication of WO2022162988A1 publication Critical patent/WO2022162988A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/46—Multiprogramming arrangements
    • G06F9/50—Allocation of resources, e.g. of the central processing unit [CPU]
    • G06F9/5005—Allocation of resources, e.g. of the central processing unit [CPU] to service a request
    • G06F9/5027—Allocation of resources, e.g. of the central processing unit [CPU] to service a request the resource being a machine, e.g. CPUs, Servers, Terminals
    • G06F9/505—Allocation of resources, e.g. of the central processing unit [CPU] to service a request the resource being a machine, e.g. CPUs, Servers, Terminals considering the load
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/029—Adapting to failures or work around with other constraints, e.g. circumvention by avoiding use of failed parts
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G06F11/0739—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function in a data processing system embedded in automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G06F11/0754—Error or fault detection not based on redundancy by exceeding limits
    • G06F11/076—Error or fault detection not based on redundancy by exceeding limits by exceeding a count or rate limit, e.g. word- or bit count limit
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/029—Adapting to failures or work around with other constraints, e.g. circumvention by avoiding use of failed parts
    • B60W2050/0292—Fail-safe or redundant systems, e.g. limp-home or backup systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2209/00—Indexing scheme relating to G06F9/00
    • G06F2209/50—Indexing scheme relating to G06F9/50
    • G06F2209/509—Offload

Definitions

  • the present invention relates to a vehicle control device.
  • HSM Hardware Security Module
  • ECUs Electronic Control Units
  • Patent Document 1 discloses a technique for improving processing performance when cryptographic arithmetic processing is performed using an HSM.
  • the technique of Patent Document 1 it is possible to improve processing performance by providing a plurality of cryptographic modules such as HSMs and performing cryptographic computations using the cryptographic module with the least load.
  • Patent Document 1 it is possible to improve the processing performance by providing multiple cryptographic modules including HSM hardware, but the operation in the event of failure of the HSM hardware is not taken into consideration. do not have. A vehicle control device needs to continue operating even if a hardware failure occurs.
  • An object of the present invention is to provide a vehicle control device that can continue encryption and decryption processing even when a failure occurs in the HSM hardware processing unit.
  • the vehicle control device of the present invention includes an HSM hardware processing unit representing a hardware security module that performs encryption and decryption processing, and an encryption and decryption unit identical to the HSM hardware processing unit.
  • a software arithmetic processing unit that performs conversion processing by a processor, an HSM hardware diagnosis unit that diagnoses the HSM hardware processing unit, and a diagnosis result of the HSM hardware diagnosis unit. and a control unit for switching between the processing and the processing of the software arithmetic processing unit.
  • encryption and decryption processing can be continued even if a failure occurs in the HSM hardware processing unit.
  • FIG. 1 is a block diagram showing the overall configuration of a vehicle control device according to a first embodiment
  • FIG. 2 is a second block diagram showing the overall configuration of the vehicle control device according to the first embodiment
  • FIG. 4 is a diagram illustrating an example of functional blocks of an HSM hardware processing unit according to the first embodiment
  • FIG. 4 is a diagram showing an example of cryptographic module selection in the vehicle control device of the first embodiment
  • FIG. 4 is a conceptual diagram of cryptographic module selection operation in the vehicle control device of the first embodiment
  • FIG. 4 is a flowchart for explaining communication initialization processing operation of the vehicle control device according to the first embodiment
  • 4 is a flowchart for explaining message transmission/reception processing operations of the vehicle control device according to the first embodiment
  • FIG. 10 is a diagram showing an example of cryptographic module selection in the vehicle control device according to the second embodiment
  • FIG. 10 is a conceptual diagram of cryptographic module selection operation in the vehicle control device of the second embodiment
  • 9 is a flowchart for explaining message transmission/reception processing operations of the vehicle control device according to the second embodiment
  • It is a figure which shows an example of the application mounted on ECU in the vehicle control apparatus of 3rd Embodiment.
  • FIG. 12 is a diagram showing an example of cryptographic module selection in the vehicle control device according to the third embodiment;
  • FIG. 11 is a conceptual diagram showing cryptographic module selection operation in the vehicle control device of the third embodiment; It is a flowchart explaining the message transmission/reception processing operation
  • FIG. 11 is a diagram showing an example of applications installed on a plurality of ECUs in a vehicle control device according to a fourth embodiment;
  • FIG. FIG. 12 is a diagram showing an example of cryptographic module selection in the vehicle control device according to the fourth embodiment;
  • FIG. FIG. 12 is a conceptual diagram showing cryptographic module selection operation in the vehicle control device of the fourth embodiment;
  • FIG. 11 is a flowchart for explaining an integrated ECU processing operation of a vehicle control device according to a fourth embodiment;
  • FIG. 11 is a flowchart for explaining a power train control ECU processing operation of a vehicle control device according to a fourth embodiment;
  • FIG. 11 is a flowchart for explaining a power train control ECU processing operation of a vehicle control device according to a fourth embodiment;
  • the vehicle control apparatus of the first embodiment includes a control unit 11, an HSM hardware processing unit 12, a software arithmetic processing unit encryption module 13, an HSM hardware diagnosis unit 14 (HSM), and a load factor measurement unit 15 in an ECU 10. configured with.
  • the ECU 10 can be replaced with a microcomputer or an in-vehicle SoC (system on a chip).
  • the number of the software arithmetic processing unit cryptographic module 13 is not limited to one, and it is possible to have a plurality of them.
  • the software arithmetic processing unit cryptographic module 13 may hereinafter be referred to as a software arithmetic cryptographic module (software arithmetic processing unit).
  • FIG. 2 is an example of a block diagram when the HSM hardware processing unit 22 is arranged outside the ECU 20 instead of inside it. In the first embodiment, the configuration of FIG. 2 is also possible.
  • FIG. 3 is an example of the functional block 30 of the HSM hardware processing unit 12.
  • the HSM hardware processing unit 12 has a key storage function 31, a cryptographic operation function 32, a key generation function 33, and a random number generation function .
  • the software arithmetic processing unit cryptographic module 13 (FIGS. 1 and 2) described in this embodiment has a function equivalent to the cryptographic arithmetic function 32 (FIG. 3) of the HSM hardware processing unit 12, and the HSM hardware processing unit 12 alternatives.
  • FIG. 4 is a diagram showing an example of cryptographic module selection in the vehicle control device of the first embodiment.
  • a cryptographic module (HSM or software arithmetic cryptographic module) is selected according to the state of the HSM hardware processing unit 12 (normal, abnormal) and the state of the load factor (normal, high load).
  • FIG. 5 is a conceptual diagram of cryptographic module selection operations in each state. Note that the SW cryptographic module in FIG. 5 means the software arithmetic processing unit cryptographic module 13 .
  • control unit 11 of the ECU starts communication initialization processing (S100).
  • HSM hardware diagnosis processing is executed (S101).
  • the diagnostic process is executed by the HSM hardware diagnostic unit 14, where the control unit 11 issues a cryptographic operation command for testing (for example, a cryptographic operation command whose expected value is known in advance), and confirms whether or not the response is normal. . That is, when the response of the HSM hardware processing unit 12 is not normal (for example, the response value differs from the expected value), the HSM hardware diagnosis unit 14 determines that the HSM hardware processing unit 12 is faulty.
  • the control unit 11 sets no HSM error. For example, when the response from the HSM hardware processing unit 12 is normal, the control unit 11 turns off an error flag indicating that an error has occurred in the HSM hardware processing unit 12 . Note that the error flag is stored in a memory or the like.
  • S104 it is set that there is an HSM error. Then, it moves to S105.
  • the control unit 11 turns on an error flag when the response from the HSM hardware processing unit 12 is not normal.
  • control unit 11 starts the message transmission/reception process (S110).
  • the control unit 11 acquires load factor information from the load factor measurement unit 15 .
  • the load factor measurement unit 15 measures the load factor by measuring the cryptographic operation processing time of each of the HSM hardware processing unit 12 and the software operation processing unit cryptographic module 13 .
  • the utilization rate of the CPU Central Processing Unit
  • the load factor is in two stages, a normal state and a high load state, depending on whether or not it is equal to or greater than a preset threshold value. It is good as above.
  • the software arithmetic processing unit cryptographic module 13 is selected.
  • the HSM hardware processing unit 12 and the software arithmetic processing unit encryption module 13 are selected at the same time. By selecting them at the same time, parallel processing of cryptographic calculation processing becomes possible, and the processing load can be reduced.
  • the HSM hardware processing unit 12 or software arithmetic processing unit encryption module 13 selected in the above step is used to execute message authentication processing.
  • Message authentication processing is a security technology that provides an encrypted MAC (Message Authentication Code) to data (messages) to be sent and received to prevent communication spoofing and data falsification.
  • MAC Message Authentication Code
  • cryptographic computation processing of the HSM hardware processing unit 12 and software computation processing unit cryptographic module 13 is used.
  • the HSM hardware diagnosis processing (S101) is performed in the communication initialization processing of FIG. 6 in consideration of the HSM hardware diagnosis processing time. It is not necessary, and can be executed, for example, in message transmission/reception processing (FIG. 7).
  • the vehicle control device includes at least an HSM hardware processing unit 12, a software arithmetic processing unit (software arithmetic processing unit encryption module 13), an HSM hardware diagnosis unit 14, and a control unit 11.
  • the HSM hardware processing unit 12 is a hardware security module that performs encryption and decryption processing.
  • the software arithmetic processing unit (software arithmetic processing unit cryptographic module 13) performs the same encryption and decryption processing as the HSM hardware processing unit 12 by using a processor.
  • the HSM hardware diagnosis section 14 diagnoses the HSM hardware processing section 12 .
  • the control unit 11 switches between the processing of the HSM hardware processing unit 12 and the processing of the software arithmetic processing unit 13 according to the diagnosis result of the HSM hardware diagnosis unit 14 .
  • the encryption and decryption processing can be executed as hardware processing or software processing. As a result, even if a failure occurs in the HSM hardware processing unit 12, encryption and decryption processing can be continued.
  • the control unit 11 changes the processing of the HSM hardware processing unit 12 to the software operation processing unit (software operation processing unit cryptographic module 13 ) processing.
  • the processing of the HSM hardware processing unit 12 can be replaced by the processing of the software arithmetic processing unit (software arithmetic processing unit cryptographic module 13).
  • the vehicle control device includes a load factor measurement unit 15 that measures the load factor of the HSM hardware processing unit 12.
  • the control unit 11 determines whether the HSM hardware processing unit 12 is faulty (HSM state) and depending on the load factor of the HSM hardware processing unit 12.
  • the software arithmetic processing unit (software arithmetic processing unit cryptographic module 13) is caused to perform encryption and decryption processing. Thereby, the throughput of encryption and decryption processing can be changed according to the load factor of the HSM hardware processing unit 12 .
  • HSM hardware processing unit 12 when the control unit 11 is diagnosed that the HSM hardware processing unit 12 is not malfunctioning (HSM state: normal) and the load factor of the HSM hardware processing unit 12 is less than the first threshold (load factor : normal), causing the HSM hardware processing unit 12 to perform encryption and decryption processing.
  • HSM state: normal When the control unit 11 is diagnosed that the HSM hardware processing unit 12 is not malfunctioning (HSM state: normal) and the load factor of the HSM hardware processing unit 12 is equal to or higher than the first threshold (load factor: high load) , HSM hardware processing unit 12 and software arithmetic processing unit (software arithmetic processing unit cryptographic module 13) to perform encryption and decryption processing.
  • software arithmetic processing unit cryptographic module 13 software arithmetic processing unit cryptographic module 13
  • the control unit 11 causes the software arithmetic processing unit to perform encryption and decryption processing.
  • the hardware processing and the software processing are performed simultaneously, thereby enabling encryption and decryption. Processing throughput can be improved.
  • the vehicle can be used continuously by replacing it with the software arithmetic cryptographic module.
  • the processing load can be reduced by simultaneously using the HSM hardware processing unit 12 and the software arithmetic processing unit cryptographic module 13 .
  • FIG. 8 is a diagram showing an example of cryptographic module selection in the vehicle control device according to the second embodiment.
  • a cryptographic module is selected according to the state (normal, abnormal) of the HSM hardware processing unit 12 and the state of the load factor (normal, high load).
  • the second embodiment shows a case where the number of software cryptographic modules is two.
  • a multi-core microcomputer having a plurality of cores is used as a microcomputer in the ECU, it is possible to configure a software arithmetic cryptographic module for each core (Core1 and Core2 in the second embodiment).
  • the number of software arithmetic cryptographic modules is two in the second embodiment, the number is not limited to this, and may be, for example, three or more. As the number of software arithmetic cryptographic modules increases, the cryptographic module selection patterns also increase accordingly.
  • FIG. 9 is a conceptual diagram of cryptographic module selection operations in each state.
  • the HSM error flag is set.
  • the module to be used is selected according to the flags set at S121 and S122. There are four selection patterns depending on the vehicle state.
  • the load factor measuring unit 15 measures not only the load factor of the HSM hardware processing unit 12 but also the load factor of the software arithmetic processing unit (software arithmetic processing unit encryption module 13). As shown in FIG. 8, the control unit 11 determines whether the HSM hardware processing unit 12 is faulty (HSM state), the load factor of the HSM hardware processing unit 12, and the software arithmetic processing unit (software arithmetic processing unit According to the load factor of the cryptographic module 13), the HSM hardware processing unit 12 or the software arithmetic processing unit (software arithmetic processing unit cryptographic module 13) is caused to perform encryption and decryption processing. Thereby, the throughput of the encryption and decryption processing can be changed according to the load factor of the software arithmetic processing unit.
  • the processor that performs the processing of the software arithmetic processing unit 13 is composed of a plurality of cores. As shown in FIG. 8, when the control unit 11 is diagnosed that the HSM hardware processing unit 12 is not malfunctioning (HSM state: normal) and the load factor of the HSM hardware processing unit 12 is equal to or higher than the first threshold, (load factor: high load), the HSM hardware processing unit 12 and two or more cores (for example, Core 1 and Core 2) of the processor are caused to perform encryption and decryption processing.
  • HSM state normal
  • load factor high load
  • the control unit 11 When the control unit 11 is diagnosed that the HSM hardware processing unit 12 is faulty (HSM state: abnormal) and the load factor of the software arithmetic processing unit (software arithmetic processing unit cryptographic module 13) is equal to or higher than the second threshold (Load factor: high load), two or more cores (for example, Core1, Core2) of the processor are caused to perform encryption and decryption processing.
  • the control unit 11 When the control unit 11 is diagnosed that the HSM hardware processing unit 12 is faulty (HSM state: abnormal) and the load factor of the software arithmetic processing unit is less than the second threshold (load factor: normal), the processor Let one core handle encryption and decryption.
  • the HSM hardware processing unit 12 fails and the load factor of the software arithmetic processing unit is high, the throughput of encryption and decryption processing is improved by increasing the number of cores that perform software processing. can do.
  • the first threshold and the second threshold may be the same value or different values.
  • the second embodiment even when a failure occurs in the HSM hardware processing unit 12 or in a high load state, a plurality of software arithmetic processing unit cryptographic modules 13 can be substituted. Compared to the first embodiment, it is possible to increase the selection patterns of the cryptographic modules, and more flexible control becomes possible.
  • FIG. 11 shows an example of installing a plurality of applications in the vehicle control system of the third embodiment. An example in which a plurality of applications are installed on one ECU in this manner will be described below.
  • power train control applications include engine and brake control
  • information control applications include car navigation systems
  • body control applications include lights and power window processing
  • vehicle control applications include running display devices.
  • the communication speed and importance (priority) required for each application are different, and the possibility of substitution by the software arithmetic processing unit cryptographic module 13 and the necessity of hardware HSM (HSM hardware processing unit) are also different.
  • HSM hardware processing unit
  • FIG. 12 is a diagram showing an example of cryptographic module selection in the vehicle control device according to the third embodiment. Based on the state of the HSM hardware processing unit 12 (normal, abnormal) and the load factor state (normal, high load), priority processing is determined according to the type of each application, and the software arithmetic processing unit cryptographic module 13 to be used is selected. do.
  • the number of software arithmetic cryptographic modules is three, but the number is not limited to this, and may be, for example, four or more.
  • FIG. 13 is a conceptual diagram of cryptographic module selection operations in each state.
  • the power train control application and the information control application are the HSM hardware processing unit 12
  • the body control application is the software arithmetic cryptographic module 2 (13)
  • the vehicle The control application selects software arithmetic cryptographic module 3 (13).
  • the power train control application is the HSM hardware processing unit 12 and the software arithmetic cryptographic module 1 (13), and the information control application is the HSM hardware processing.
  • the unit 12 selects the software arithmetic cryptographic module 2 (13) for the body control application and the software arithmetic cryptographic module 3 (13) for the vehicle control application.
  • priority processing is determined according to the flags set in S121 and S122 and the application type obtained in S130, and the cryptographic module to be used is selected.
  • the control unit 11 determines whether the HSM hardware processing unit 12 is out of order (HSM in vehicle state), the load factor of the HSM hardware processing unit 12 (load factor in vehicle state), Furthermore, according to the priority of each application, the HSM hardware processing unit 12 or the software arithmetic processing unit (software arithmetic processing unit encryption module 13) is caused to perform encryption and decryption processing. This makes it possible to change the throughput of encryption and decryption processing according to the priority of the application.
  • the HSM hardware processing unit 12 performs encryption and decryption processing in the communication of the highest priority application (powertrain control application).
  • the control unit 11 is diagnosed that the HSM hardware processing unit 12 is not malfunctioning (HSM: normal) and the load factor of the HSM hardware processing unit 12 is equal to or higher than the first threshold (load factor: high load)
  • the HSM hardware processing unit 12 and the software arithmetic processing unit are caused to perform encryption and decryption processing.
  • the control unit 11 terminates the application with the lowest priority (body control application) executed by the processor, and terminates the application with the highest priority.
  • the software arithmetic processing unit is caused to perform encryption and decryption processing. This allows processor resources to be accommodated for applications with the highest priority.
  • the highest priority application (powertrain control application) is software for controlling the powertrain of the vehicle.
  • the processor is composed of multiple cores.
  • the control unit 11 When the control unit 11 is diagnosed that the HSM hardware processing unit 12 is not malfunctioning (HSM: normal) and the load factor of the HSM hardware processing unit is equal to or higher than the first threshold (load factor: high load), the most The HSM hardware processing unit 12 and at least one core of the processor are caused to perform encryption and decryption processing in communication of the high priority application.
  • the control unit 11 When the HSM hardware processing unit 12 is diagnosed to be faulty (HSM: abnormal), the control unit 11 terminates the lowest priority application executed by the core of the processor, and terminates the application with the highest priority. communication, two or more cores of the processor are caused to perform encryption and decryption processing. As a result, processor core resources can be accommodated for applications with the highest priority.
  • the priority of the applications can be determined even when a failure occurs in the HSM hardware processing unit or when the load is high. It is possible to select processing according to
  • a single ECU is provided with a plurality of applications.
  • the present invention can also be applied to a vehicle control device configured with a plurality of ECUs.
  • FIG. 15 is a block diagram showing the overall configuration of a vehicle control device according to the fourth embodiment.
  • the integrated ECU 40 is composed of a control unit 11, an HSM hardware diagnosis unit 14, and a communication interface 41. Via the communication interface 41, it is connected with the HSM hardware processing unit 50, the power train control ECU 60, the information control ECU 70, the body control ECU 80, and the vehicle control ECU 90.
  • the powertrain control ECU 60 is composed of a communication interface 61, a control unit 62, a plurality of software arithmetic cryptographic modules 63, and a load factor measurement unit 64, and is connected to the integrated ECU 40 and the HSM hardware processing unit 50 via the communication interface 61.
  • the cryptographic arithmetic processing is executed using the HSM hardware processing unit 50 and the software arithmetic cryptographic module 63 (software arithmetic processing cryptographic module).
  • the integrated ECU 40 is notified of the load factor measurement result via the communication interface 61 .
  • the information control ECU 70, the body control ECU 80, and the vehicle control ECU 90 have the same configuration as the powertrain control ECU 60, but are not limited to this, and may have a partially different configuration. be.
  • FIG. 16 shows an example in which a plurality of ECUs are mounted in the vehicle control system of the fourth embodiment.
  • the communication speed and importance (priority) required for the application installed on each ECU, whether or not it can be replaced by a software arithmetic cryptographic module, and the necessity of a hardware HSM (HSM hardware processing unit 50) are determined for each ECU. different. Note that the content shown in FIG. 16 is an example for explaining the present embodiment, and the present invention is not limited to this.
  • FIG. 17 is a diagram showing an example of cryptographic module selection in the vehicle control device according to the fourth embodiment. Based on the state of the HSM hardware processing unit 50 (normal, abnormal) and the state of the load factor (normal, high load), priority processing is determined according to the type of each ECU, and the software arithmetic cryptographic module to be used in each ECU is determined. do. In the fourth embodiment, the total number of software computation cryptographic modules of each ECU is 2, but it is not limited to this.
  • FIG. 18 is a conceptual diagram of the cryptographic module selection operation in the vehicle control device of the fourth embodiment.
  • the integrated ECU 40 When the HSM hardware processing unit 50 is normal and the load factor is normal, the integrated ECU 40 notifies the powertrain control ECU 60 and the information control ECU 70 of the use (instruction) of the HSM hardware processing unit 50 .
  • the body control ECU 80 and the vehicle control ECU 90 are notified of the use of the software arithmetic cryptographic module of each ECU.
  • the integrated ECU 40 When the HSM hardware processing unit 50 is normal and the load factor is high, the integrated ECU 40 notifies the power train control ECU 60 of the use of the HSM hardware processing unit 50 and the software arithmetic cryptographic module 63, and transmits information The use of the HSM hardware processing unit 50 is notified to the control ECU 70 . The body control ECU 80 and the vehicle control ECU 90 are notified of the use of the software arithmetic cryptographic module of each ECU.
  • the integrated ECU 40 When the HSM hardware processing unit 50 is abnormal (failed), the integrated ECU 40 notifies the power train control ECU 60 of simultaneous use of the software arithmetic cryptographic modules 1 and 2 (63), and informs the information control ECU 70 of , the non-use of the software computation cryptographic module is notified, and the body control ECU 80 and the vehicle control ECU 90 are notified of the use of the software computation cryptographic module of each ECU.
  • the integrated ECU 40 executes HSM hardware diagnosis processing during communication initialization processing. Since the operation is the same as that of FIG. 6, the explanation is omitted.
  • priority processing is determined according to the type of each ECU based on the HSM error information and the load factor information acquired at S191, and the software arithmetic cryptographic module to be used in each ECU is determined.
  • S201 it is checked whether or not there is a message transmission/reception request, and if there is a request (YES), the process proceeds to S202. If there is no request (NO), the process moves to S207.
  • S203 the presence or absence of a switching instruction is confirmed from the received notification, and if there is (YES), the process proceeds to S204. If none (NO), message authentication processing (S205) and message transmission/reception processing (S206) are executed.
  • the load factor information is transmitted to the integrated ECU 40.
  • the ECUs can be controlled even when a failure occurs in the HSM hardware processing unit 50 or in a high load state. It is possible to select processing according to the priority of [others]
  • the present invention is not limited to the above-described embodiments, and includes various modifications.
  • the above-described embodiments have been described in detail in order to explain the present invention in an easy-to-understand manner, and are not necessarily limited to those having all the described configurations.
  • it is possible to replace part of the configuration of one embodiment with the configuration of another embodiment and it is also possible to add the configuration of another embodiment to the configuration of one embodiment.
  • each of the above configurations, functions, etc. may be realized by hardware, for example, by designing them as integrated circuits.
  • each of the above configurations, functions, and the like may be realized by software by a processor (microcomputer) interpreting and executing a program for realizing each function.
  • Information such as programs, tables, and files that implement each function can be stored in a memory, a hard disk, a recording device such as an SSD (Solid State Drive), or a recording medium such as an IC card, SD card, or DVD.
  • HSM hardware security module
  • software arithmetic processing units software arithmetic processing unit encryption modules 13, 63
  • An HSM hardware diagnosis unit (14) for executing diagnosis of a hardware processing unit, and a control unit (11, 62) for switching between HSM hardware processing and software arithmetic processing, wherein the control unit performs HSM hardware diagnosis.
  • a vehicle control device that switches between HSM hardware processing and software arithmetic processing in accordance with a determination result of a unit.
  • the control unit (11, 62) is a vehicle control device characterized by switching from HSM hardware processing to software arithmetic processing.
  • the vehicle control device described in (2) further includes the HSM hardware processing units (12, 22, 50) and the software arithmetic processing units (software arithmetic processing unit encryption modules 13, 63), each of which has a processing load factor of is provided, and when the load factor measurement unit determines that the processing loads of the HSM hardware processing unit and the software arithmetic processing unit are high, the HSM A vehicle control device that switches between software processing and one or a plurality of software arithmetic processing, or executes them simultaneously.
  • the vehicle control device executes processing of a plurality of applications with different priorities, and includes the step of determining an application to be preferentially processed among the plurality of applications with different priorities. determined by the step when an abnormality of the HSM hardware processing unit (12, 22, 50) is detected or when the load factor measurement unit (15) detects an increase in the processing load factor A vehicle control device that allows a priority application to preferentially select HSM hardware processing or software arithmetic processing.
  • the vehicle control device includes an HSM hardware processing unit and a software arithmetic processing unit that performs processing as an alternative to the HSM hardware processing unit.
  • the running operation can be continued by switching the arithmetic processing.
  • the processing load can be reduced by switching between HSM hardware processing and software calculation processing.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Automation & Control Theory (AREA)
  • Quality & Reliability (AREA)
  • Human Computer Interaction (AREA)
  • Transportation (AREA)
  • Mechanical Engineering (AREA)
  • Hardware Redundancy (AREA)

Abstract

車両制御装置は、少なくともＨＳＭハードウェア処理部１２、ソフトウェア演算処理部（ソフトウェア演算処理部暗号モジュール１３）、ＨＳＭハードウェア診断部１４、制御部１１を備える。ＨＳＭハードウェア処理部１２は、暗号化及び復号化の処理を行うハードウェアセキュリティモジュールである。ソフトウェア演算処理部は、ＨＳＭハードウェア処理部１２と同じ暗号化及び復号化の処理をプロセッサにより行う。ＨＳＭハードウェア診断部１４は、ＨＳＭハードウェア処理部１２を診断する。制御部１１は、ＨＳＭハードウェア診断部１４の診断の結果に応じて、ＨＳＭハードウェア処理部１２の処理とソフトウェア演算処理部１３の処理を切り替える。

Description

車両制御装置
　本発明は、車両制御装置に関する。
　車両の電動化、システム化により、車載ネットワークからのセキュリティ脅威が増加したことで車両制御装置におけるサイバーセキュリティ対応が必須となっている。セキュリティ対策においては、安全性や処理能力向上の為、専用ハードウェアであるＨＳＭ（Ｈａｒｄｗａｒｅ　ｓｅｃｕｒｉｔｙ　ｍｏｄｕｌｅ）が使用されている。
　また、車載ネットワークに接続されるＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）は複数存在するため、セキュリティ対策を実施すると、ハードウェアあるいはソフトウェアの処理負荷が増加し、処理能力が低下する問題がある。
　ＨＳＭを用いて暗号演算処理を行う場合に処理能力を向上させる技術が、例えば特許文献１により知られている。この特許文献１の技術では、ＨＳＭ等の暗号モジュールを複数備えておき、最も負荷のかかっていない暗号モジュールを用いて暗号演算を行うことで、処理性能を向上することが可能である。
特許第５３４６１１１号公報
　特許文献１では、ＨＳＭハードウェアを含めた暗号モジュールを複数備えておくことで処理性能を向上させることが可能となっているが、ＨＳＭハードウェアに障害が発生した場合の動作については考慮されていない。車両制御装置においては、ハードウェアに障害が発生した場合でも、動作を継続する必要がある。
　本発明は、ＨＳＭハードウェア処理部に障害が発生した場合でも、暗号化及び復号化の処理を継続することができる車両制御装置を提供することを目的とする。
　上記目的を達成するために、本発明の車両制御装置は、暗号化及び復号化の処理を行うハードウェアセキュリティモジュールを示すＨＳＭハードウェア処理部と、前記ＨＳＭハードウェア処理部と同じ暗号化及び復号化の処理をプロセッサにより行うソフトウェア演算処理部と、前記ＨＳＭハードウェア処理部を診断するＨＳＭハードウェア診断部と、前記ＨＳＭハードウェア診断部の診断の結果に応じて、前記ＨＳＭハードウェア処理部の処理と前記ソフトウェア演算処理部の処理を切り替える制御部と、を備える。
　本発明によれば、ＨＳＭハードウェア処理部に障害が発生した場合でも、暗号化及び復号化の処理を継続することができる。上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
第１の実施の形態に係る車両制御装置の全体構成を示すブロック図である。 第１の実施の形態に係る車両制御装置の全体構成を示す第２のブロック図である。 第１の実施の形態におけるＨＳＭハードウェア処理部の機能ブロックの一例を示す図である。 第１の実施の形態の車両制御装置における暗号モジュール選択の一例を示す図である。 第１の実施の形態の車両制御装置における暗号モジュール選択動作の概念図である。 第１の実施の形態に係る車両制御装置の通信初期化処理動作を説明するフローチャートである。 第１の実施の形態に係る車両制御装置のメッセージ送受信処理動作を説明するフローチャートである。 第２の実施の形態の車両制御装置における暗号モジュール選択の一例を示す図である。 第２の実施の形態の車両制御装置における暗号モジュール選択動作の概念図である。 第２の実施の形態に係る車両制御装置のメッセージ送受信処理動作を説明するフローチャートである。 第３の実施の形態の車両制御装置においてＥＣＵ上に搭載されるアプリケーションの一例を示す図である。 第３の実施の形態の車両制御装置における暗号モジュール選択の一例を示す図である。 第３の実施の形態の車両制御装置における暗号モジュール選択動作を示した概念図である。 第３の実施の形態に係る車両制御装置のメッセージ送受信処理動作を説明するフローチャートである。 第４の実施の形態に係る車両制御装置の全体構成を示すブロック図である。 第４の実施の形態の車両制御装置において複数のＥＣＵ上に搭載されるアプリケーションの一例を示す図である。 第４の実施の形態の車両制御装置における暗号モジュール選択の一例を示す図である。 第４の実施の形態の車両制御装置における暗号モジュール選択動作を示した概念図である。 第４の実施の形態に係る車両制御装置の統合ＥＣＵ処理動作を説明するフローチャートである。 第４の実施の形態に係る車両制御装置のパワートレイン制御ＥＣＵ処理動作を説明するフローチャートである。
　以下、添付図面を参照して本実施形態について説明する。添付図面では、機能的に同じ要素は同じ番号で表示される場合もある。なお、添付図面は本開示の原理に則った実施形態と実装例を示しているが、これらは本開示の理解のためのものであり、決して本開示を限定的に解釈するために用いられるものではない。本明細書の記述は典型的な例示に過ぎず、本開示の特許請求の範囲又は適用例を如何なる意味においても限定するものではない。
　本実施形態では、当業者が本開示を実施するのに十分詳細にその説明がなされているが、他の実装・形態も可能で、本開示の技術的思想の範囲と精神を逸脱することなく構成・構造の変更や多様な要素の置き換えが可能であることを理解する必要がある。従って、以降の記述をこれに限定して解釈してはならない。
　［第１の実施の形態］
　図１のブロック図を参照して、第１の実施の形態の車両制御装置を説明する。
　第１の実施の形態の車両制御装置は、ＥＣＵ１０内に制御部１１、ＨＳＭハードウェア処理部１２、ソフトウェア演算処理部暗号モジュール１３、ＨＳＭハードウェア診断部１４（ＨＳＭ）、負荷率測定部１５を備えて構成される。なお、ＥＣＵ１０はマイクロコンピュータあるいは車載用ＳｏＣ（Ｓｙｓｔｅｍ　ｏｎ　ａ　ｃｈｉｐ）などに置き換えることも可能である。また、ソフトウェア演算処理部暗号モジュール１３は１つとは限らず、複数備えることも可能である。なお、ソフトウェア演算処理部暗号モジュール１３は、以下、ソフトウェア演算暗号モジュール（ソフトウェア演算処理部）と呼ばれることがある。
　図２は、ＨＳＭハードウェア処理部２２をＥＣＵ２０内ではなく、外部に配置した場合のブロック図の例である。第１の実施の形態においては、図２の構成とすることも可能である。
　図３は、ＨＳＭハードウェア処理部１２の機能ブロック３０の一例である。ＨＳＭハードウェア処理部１２は、鍵保管機能３１、暗号演算機能３２、鍵生成機能３３、乱数発生機能３４を備える。以下の実施形態においては、車両制御装置の動作に影響が大きい暗号演算機能３２に故障が発生した場合について説明している。なお、本実施形態で説明するソフトウェア演算処理部暗号モジュール１３（図１、２）は、ＨＳＭハードウェア処理部１２の暗号演算機能３２（図３）と同等の機能を持ち、ＨＳＭハードウェア処理部１２の代替として使用できるものとする。
　図４は、第１の実施の形態の車両制御装置における暗号モジュール選択の一例を示す図である。ＨＳＭハードウェア処理部１２の状態（正常、異常）および負荷率の状態（通常、高負荷）に応じて暗号モジュール（ＨＳＭあるいはソフトウェア演算暗号モジュール）を選択する。
　図５は、各状態における暗号モジュール選択動作の概念図である。なお、図５のＳＷ暗号モジュールは、ソフトウェア演算処理部暗号モジュール１３を意味する。
　［パターン１－１］
　ＨＳＭハードウェア処理部１２が正常で、かつ負荷率が通常の場合は、制御部１１はＨＳＭハードウェア処理部１２のみを選択する。
　［パターン１－２］
　ＨＳＭハードウェア処理部１２が正常で、かつ負荷率が高負荷の場合は、制御部１１はＨＳＭハードウェア処理部１２およびソフトウェア演算暗号モジュール（ソフトウェア演算処理部暗号モジュール１３）を選択する。
　［パターン１－３］
　ＨＳＭハードウェア処理部１２が異常（故障）の場合は、制御部１１はソフトウェア演算暗号モジュールを選択する。ソフトウェア処理はハードウェア処理に比べて、処理速度が遅くなるが、故障発生時の縮退時は通信を制限することでソフトウェアでも代替可能となる。
　図６～７のフローチャートを参照して、第１の実施の形態の動作をより具体的に説明する。
　まず、図６において、ＥＣＵの制御部１１は、通信初期化処理を開始する（Ｓ１００）。
　次いで、ＨＳＭハードウェア診断処理を実行する（Ｓ１０１）。診断処理は、ＨＳＭハードウェア診断部１４で実行され、制御部１１からテスト用の暗号演算コマンド（例えば、予め期待値がわかっている暗号演算コマンド）を発行し、正常な応答かどうかを確認する。すなわち、ＨＳＭハードウェア診断部１４は、ＨＳＭハードウェア処理部１２の応答が正常でない場合（例えば、応答値が期待値と異なる）、ＨＳＭハードウェア処理部１２が故障していると判定する。
　Ｓ１０２で正常な応答である場合（ＹＥＳ）、Ｓ１０３に移る。正常な応答でない場合（ＮＯ）、Ｓ１０４に移る。
　Ｓ１０３では、制御部１１は、ＨＳＭエラー無を設定する。例えば、制御部１１は、ＨＳＭハードウェア処理部１２からの応答が正常である場合、ＨＳＭハードウェア処理部１２にエラーが発生していることを示すエラーフラグをオフにする。なお、エラーフラグは、メモリ等に記憶される。
　Ｓ１０４では、ＨＳＭエラー有りを設定する。その後、Ｓ１０５に移る。例えば、制御部１１は、ＨＳＭハードウェア処理部１２からの応答が正常でない場合、エラーフラグをオンにする。
　こうして、通信初期化処理が終了する（Ｓ１０５）。
　通信初期化処理が終了すると、図７において、制御部１１は、メッセージ送受信処理を開始する（Ｓ１１０）。
　Ｓ１１１では、図６の通信初期化処理のＳ１０３あるいはＳ１０４で設定されたＨＳＭエラー設定を確認する。
　Ｓ１１２では、エラー無である場合（ＹＥＳ）、Ｓ１１３に移る。エラー有の場合（ＮＯ）、Ｓ１１５に移る。
　Ｓ１１３では、制御部１１は、負荷率測定部１５から負荷率情報を取得する。負荷率測定部１５は、ＨＳＭハードウェア処理部１２およびソフトウェア演算処理部暗号モジュール１３のそれぞれの暗号演算処理の時間を計測することで、負荷率を計測する。あるいは、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）の利用率を取得することで負荷率の目安としてもよい。なお、本実施形態においては、負荷率は予め設定した閾値以上であるか否かにより、通常状態と高負荷状態の２段階としているが、これに限定されるものではなく、例えば３段階又はそれ以上としてもよい。
　Ｓ１１４では、高負荷状態と判定した場合（ＹＥＳ）、Ｓ１１６に移る。通常状態と判定した場合（ＮＯ）、Ｓ１１７に移る。
　Ｓ１１５では、ソフトウェア演算処理部暗号モジュール１３を選択する。
　Ｓ１１６では、ＨＳＭハードウェア処理部１２およびソフトウェア演算処理部暗号モジュール１３を同時に選択する。同時に選択することで、暗号演算処理の並行処理が可能となり、処理負荷を軽減することができる。
　Ｓ１１７では、ＨＳＭハードウェア処理部１２のみを選択する。
　Ｓ１１８では、上記ステップで選択したＨＳＭハードウェア処理部１２あるいはソフトウェア演算処理部暗号モジュール１３を使用して、メッセージ認証処理を実行する。メッセージ認証処理とは、送受信するデータ（メッセージ）に対して、暗号化されたＭＡＣ（Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅ）を付与して、通信のなりすましやデータ改ざんを防ぐセキュリティ技術である。このメッセージ認証処理の中でＨＳＭハードウェア処理部１２やソフトウェア演算処理部暗号モジュール１３の暗号演算処理が使用される。
　Ｓ１１９では、メッセージ送受信処理を実行し、Ｓ１２０でメッセージ送受信処理が終了する。
　なお、上記実施形態では、ＨＳＭハードウェア診断処理時間を考慮し、図６の通信初期化処理の中でＨＳＭハードウェア診断処理（Ｓ１０１）を実施しているが、必ずしも通信初期化処理時に実行する必要はなく、例えば、メッセージ送受信処理（図７）の中で実行することも可能である。
　本実施形態の特徴は以下のようにまとめることもできる。
　図１に示すように、車両制御装置は、少なくともＨＳＭハードウェア処理部１２、ソフトウェア演算処理部（ソフトウェア演算処理部暗号モジュール１３）、ＨＳＭハードウェア診断部１４、制御部１１を備える。ＨＳＭハードウェア処理部１２は、暗号化及び復号化の処理を行うハードウェアセキュリティモジュールである。ソフトウェア演算処理部（ソフトウェア演算処理部暗号モジュール１３）は、ＨＳＭハードウェア処理部１２と同じ暗号化及び復号化の処理をプロセッサにより行う。ＨＳＭハードウェア診断部１４は、ＨＳＭハードウェア処理部１２を診断する。制御部１１は、ＨＳＭハードウェア診断部１４の診断の結果に応じて、ＨＳＭハードウェア処理部１２の処理とソフトウェア演算処理部１３の処理を切り替える。これにより、ＨＳＭハードウェア処理部１２の診断の結果に応じて、暗号化及び復号化の処理をハードウェア処理又はソフトウェア処理として実行することができる。その結果、ＨＳＭハードウェア処理部１２に障害が発生した場合でも、暗号化及び復号化の処理を継続することができる。
　図４に示すように、制御部１１は、ＨＳＭハードウェア処理部１２が故障していると診断された場合、ＨＳＭハードウェア処理部１２の処理からソフトウェア演算処理部（ソフトウェア演算処理部暗号モジュール１３）の処理へ切り替える。これにより、ＨＳＭハードウェア処理部１２が故障しても、ＨＳＭハードウェア処理部１２の処理をソフトウェア演算処理部（ソフトウェア演算処理部暗号モジュール１３）の処理で代替できる。
　図１に示すように、車両制御装置は、ＨＳＭハードウェア処理部１２の負荷率を測定する負荷率測定部１５を備える。図４に示すように、制御部１１は、ＨＳＭハードウェア処理部１２が故障しているか否か（ＨＳＭ状態）、及びＨＳＭハードウェア処理部１２の負荷率に応じて、ＨＳＭハードウェア処理部１２又はソフトウェア演算処理部（ソフトウェア演算処理部暗号モジュール１３）に暗号化及び復号化の処理を行わせる。これにより、ＨＳＭハードウェア処理部１２の負荷率に応じて、暗号化及び復号化の処理のスループットを変えることができる。
　詳細には、制御部１１は、ＨＳＭハードウェア処理部１２が故障していないと診断され（ＨＳＭ状態：正常）、ＨＳＭハードウェア処理部１２の負荷率が第１閾値未満である場合（負荷率：通常）、ＨＳＭハードウェア処理部１２に暗号化及び復号化の処理を行わせる。制御部１１は、ＨＳＭハードウェア処理部１２が故障していないと診断され（ＨＳＭ状態：正常）、ＨＳＭハードウェア処理部１２の負荷率が第１閾値以上である場合（負荷率：高負荷）、ＨＳＭハードウェア処理部１２及びソフトウェア演算処理部（ソフトウェア演算処理部暗号モジュール１３）に暗号化及び復号化の処理を行わせる。制御部１１は、ＨＳＭハードウェア処理部１２が故障していると診断された場合（ＨＳＭ状態：異常）、ソフトウェア演算処理部に暗号化及び復号化の処理を行わせる。これにより、例えば、ＨＳＭハードウェア処理部１２が故障しておらず、ＨＳＭハードウェア処理部１２の負荷率が高い場合に、ハードウェア処理とソフトウェア処理を同時に行うことで、暗号化及び復号化の処理のスループットを向上することができる。
　以上説明したように、第１の実施の形態によれば、ＨＳＭハードウェア処理部に故障が発生しても、ソフトウェア演算暗号モジュールで代替することで、車両を継続して使用することができる。また、負荷率増加時は、ＨＳＭハードウェア処理部１２とソフトウェア演算処理部暗号モジュール１３を同時に使用することで処理負荷の低減も可能となる。
　［第２の実施の形態］
　次に、図８～図１０を参照して、第２の実施の形態の車両制御装置を説明する。
　図８は、第２の実施の形態の車両制御装置における暗号モジュール選択の一例を示す図である。ＨＳＭハードウェア処理部１２の状態（正常、異常）および負荷率の状態（通常、高負荷）に応じて暗号モジュールを選択する。第２の実施の形態では、ソフトウェア演算暗号モジュール数が２の場合を示している。ＥＣＵ内にマイクロコンピュータとして複数のコアを持つマルチコアマイコンを使用した場合、コア毎（第２の実施の形態では、Ｃｏｒｅ１、Ｃｏｒｅ２としている）にソフトウェア演算暗号モジュールを構成することが可能となる。
　なお、第２の実施の形態では、ソフトウェア演算暗号モジュール数を２としたが、これに限定されるものではなく、例えば３以上としてもよい。ソフトウェア演算暗号モジュール数が増加すると、それに伴い暗号モジュール選択パターンも増加する。
　図９は、各状態における暗号モジュール選択動作の概念図である。
　［パターン２－１］
　ＨＳＭハードウェア処理部１２が正常で、かつ負荷率が通常の場合は、制御部１１はＨＳＭハードウェア処理部１２を選択する。
　［パターン２－２］
　ＨＳＭハードウェア処理部１２が正常で、かつ負荷率が高負荷の場合は、制御部１１はＨＳＭハードウェア処理部１２およびソフトウェア演算暗号モジュール１および２（１３）を選択する。
　［パターン２－３］
　ＨＳＭハードウェア処理部１２が異常（故障）で、かつ高負荷の場合は、制御部１１はソフトウェア演算暗号モジュール１および２（１３）を選択する。
　［パターン２－４］
　ＨＳＭハードウェア処理部１２が異常（故障）で、かつ通常負荷の場合は、制御部１１はソフトウェア演算暗号モジュール１（１３）を選択する。この場合、通常時と処理性能差が発生するため、縮退が必要となる（通信制限状態）。
　図１０のフローチャートを参照して、第２の実施の形態の動作を説明する。
　図１０のフローチャートにおいて、図７のステップと同一の内容のステップについては、図１０において同一のステップ番号を付しているので、その詳細な説明は行わない。
　Ｓ１２１では、ＨＳＭエラーフラグを設定する。
　Ｓ１２２では、高負荷フラグを設定する。
　Ｓ１２３では、前記Ｓ１２１、Ｓ１２２により設定されたフラグにより、使用するモジュールを選択する。車両状態により、４つの選択パターンが存在する。
　本実施形態の特徴は以下のようにまとめることもできる。
　負荷率測定部１５は、ＨＳＭハードウェア処理部１２の負荷率だけでなく、ソフトウェア演算処理部（ソフトウェア演算処理部暗号モジュール１３）の負荷率を測定する。図８に示すように、制御部１１は、ＨＳＭハードウェア処理部１２が故障しているか否か（ＨＳＭ状態）、ＨＳＭハードウェア処理部１２の負荷率、さらにソフトウェア演算処理部（ソフトウェア演算処理部暗号モジュール１３）の負荷率に応じて、ＨＳＭハードウェア処理部１２又はソフトウェア演算処理部（ソフトウェア演算処理部暗号モジュール１３）に暗号化及び復号化の処理を行わせる。これにより、ソフトウェア演算処理部の負荷率に応じて、暗号化及び復号化の処理のスループットを変えることができる。
　詳細には、ソフトウェア演算処理部１３の処理を行うプロセッサは、複数のコアから構成される。図８に示すように、制御部１１は、ＨＳＭハードウェア処理部１２が故障していないと診断され（ＨＳＭ状態：正常）、ＨＳＭハードウェア処理部１２の負荷率が第１閾値以上である場合（負荷率：高負荷）、ＨＳＭハードウェア処理部１２及びプロセッサの２以上のコア（例えば、Ｃｏｒｅ１，Ｃｏｒｅ２）に暗号化及び復号化の処理を行わせる。制御部１１は、ＨＳＭハードウェア処理部１２が故障していると診断され（ＨＳＭ状態：異常）、ソフトウェア演算処理部（ソフトウェア演算処理部暗号モジュール１３）の負荷率が第２閾値以上である場合（負荷率：高負荷）、プロセッサの２以上のコア（例えば、Ｃｏｒｅ１，Ｃｏｒｅ２）に暗号化及び復号化の処理を行わせる。制御部１１は、ＨＳＭハードウェア処理部１２が故障していると診断され（ＨＳＭ状態：異常）、ソフトウェア演算処理部の負荷率が第２閾値未満である場合（負荷率：通常）、プロセッサの１つのコアに暗号化及び復号化の処理を行わせる。これにより、例えば、ＨＳＭハードウェア処理部１２が故障し、ソフトウェア演算処理部の負荷率が高い場合に、ソフトウェア処理を行うコアの数を増やすことで、暗号化及び復号化の処理のスループットを向上することができる。なお、第１閾値と第２閾値は、同じ値であってもよいし、異なる値であってもよい。
　以上説明したように、第２の実施の形態によれば、ＨＳＭハードウェア処理部１２に故障が発生した場合や高負荷状態でも複数のソフトウェア演算処理部暗号モジュール１３で代替することができ、第１の実施の形態に比べ、暗号モジュールの選択パターンを増やすことが可能となり、より柔軟な制御が可能となる。
　［第３の実施の形態］
　図１１は、第３の実施の形態の車両制御装置における複数のアプリケーション搭載例である。このように複数のアプリケーションが１つのＥＣＵ上に搭載されている場合の実施例を以下に説明する。
　図１１において、４つのアプリケーション例を記載している。例えば、パワートレイン制御アプリケーションとしては、エンジンやブレーキ制御、情報制御アプリケーションとしては、カーナビ、ボディ制御アプリケーションとしては、ライト、パワーウィンドウ処理、車両制御アプリケーションとしては走行表示装置などが挙げられる。それぞれのアプリケーションに要求される通信速度や重要度（優先度）が異なっており、ソフトウェア演算処理部暗号モジュール１３による代替可否やハードウェアＨＳＭ（ＨＳＭハードウェア処理部）の必要性についても異なっている。なお、図１１に記載の内容は本実施形態を説明するための一例であり、これに限定されるものではない。
　図１２は、第３の実施の形態の車両制御装置における暗号モジュール選択の一例を示す図である。ＨＳＭハードウェア処理部１２の状態（正常、異常）および負荷率の状態（通常、高負荷）により、各アプリケーションの種類に応じて優先処理決定を行い、使用するソフトウェア演算処理部暗号モジュール１３を選択する。第３の実施の形態では、ソフトウェア演算暗号モジュール数が３の場合を示しているが、これに限定されるものではなく、例えば４以上としてもよい。
　図１３は、各状態における暗号モジュール選択動作の概念図である。
　［パターン３－１］
　ＨＳＭハードウェア処理部１２が正常で、かつ負荷率が通常の場合、パワートレイン制御アプリケーションおよび情報制御アプリケーションは、ＨＳＭハードウェア処理部１２、ボディ制御アプリケーションは、ソフトウェア演算暗号モジュール２（１３）、車両制御アプリケーションは、ソフトウェア演算暗号モジュール３（１３）を選択する。
　［パターン３－２］
　ＨＳＭハードウェア処理部１２が正常で、かつ負荷率が高負荷の場合、パワートレイン制御アプリケーションは、ＨＳＭハードウェア処理部１２およびソフトウェア演算暗号モジュール１（１３）、情報制御アプリケーションは、ＨＳＭハードウェア処理部１２、ボディ制御アプリケーションは、ソフトウェア演算暗号モジュール２（１３）、車両制御アプリケーションは、ソフトウェア演算暗号モジュール３（１３）を選択する。
　［パターン３－３］
　ＨＳＭハードウェア処理部１２が異常（故障）の場合、パワートレイン制御アプリケーションは、ソフトウェア演算暗号モジュール１および２（１３）を同時選択し、情報制御アプリケーションおよびボディ制御アプリケーションは縮退してモジュール選択無しになり、車両制御アプリケーションは、ソフトウェア演算暗号モジュール３（１３）を選択する。
　図１４のフローチャートを参照して、第３の実施の形態の動作を説明する。
　図１４のフローチャートにおいて、第２の実施形態（図１０）のステップと同一の内容のステップについては、図１４において同一のステップ番号を付しているので、その詳細な説明は行わない。
　Ｓ１３０では、メッセージ送受信処理を実行中のアプリケーション種類を取得する。
　Ｓ１３１では、Ｓ１２１、Ｓ１２２で設定されたフラグおよびＳ１３０で取得したアプリケーション種類に応じて優先処理決定を行い、使用する暗号モジュールを選択する。
　本実施形態の特徴は以下のようにまとめることもできる。
　図１２に示すように、制御部１１は、ＨＳＭハードウェア処理部１２が故障しているか否か（車両状態のＨＳＭ）、及びＨＳＭハードウェア処理部１２の負荷率（車両状態の負荷率）、さらにアプリケーションごとの優先度に応じて、ＨＳＭハードウェア処理部１２又はソフトウェア演算処理部（ソフトウェア演算処理部暗号モジュール１３）に暗号化及び復号化の処理を行わせる。これにより、アプリケーションの優先度に応じて、暗号化及び復号化の処理のスループットを変えることができる。
　詳細には、制御部１１は、ＨＳＭハードウェア処理部１２が故障していないと診断され（ＨＳＭ：正常）、ＨＳＭハードウェア処理部１２の負荷率が第１閾値未満である場合（負荷率：通常）、最も高い優先度のアプリケーション（パワートレイン制御アプリケーション）の通信において、ＨＳＭハードウェア処理部１２に暗号化及び復号化の処理を行わせる。制御部１１は、ＨＳＭハードウェア処理部１２が故障していないと診断され（ＨＳＭ：正常）、ＨＳＭハードウェア処理部１２の負荷率が第１閾値以上である場合（負荷率：高負荷）、最も高い優先度のアプリケーション（パワートレイン制御アプリケーション）の通信において、ＨＳＭハードウェア処理部１２及びソフトウェア演算処理部に暗号化及び復号化の処理を行わせる。制御部１１は、ＨＳＭハードウェア処理部１２が故障していると診断された場合（ＨＳＭ：異常）、プロセッサで実行される優先度が最も低いアプリケーション（ボディ制御アプリケーション）を終了し、最も高い優先度のアプリケーション（パワートレイン制御アプリケーション）の通信において、ソフトウェア演算処理部に暗号化及び復号化の処理を行わせる。これにより、優先度が最も高いアプリケーションにプロセッサのリソースを融通することができる。なお、最も高い優先度の前記アプリケーション（パワートレイン制御アプリケーション）は、車両のパワートレインを制御するためのソフトウェアである。
　本実施形態では、プロセッサは、複数のコアから構成される。制御部１１は、ＨＳＭハードウェア処理部１２が故障していないと診断され（ＨＳＭ：正常）、ＨＳＭハードウェア処理部の負荷率が第１閾値以上である場合（負荷率：高負荷）、最も高い優先度の前記アプリケーションの通信において、ＨＳＭハードウェア処理部１２及びプロセッサの少なくとも１つのコアに暗号化及び復号化の処理を行わせる。制御部１１は、ＨＳＭハードウェア処理部１２が故障していると診断された場合（ＨＳＭ：異常）、プロセッサのコアで実行される優先度が最も低いアプリケーションを終了し、最も高い優先度のアプリケーションの通信において、プロセッサの２以上のコアに暗号化及び復号化の処理を行わせる。これにより、優先度が最も高いアプリケーションにプロセッサコアのリソースを融通することができる。
　以上説明したように、第３の実施の形態によれば、ＥＣＵに複数のアプリケーションが搭載されている場合においても、ＨＳＭハードウェア処理部に故障が発生した場合や高負荷状態でもアプリケーションの優先度に応じた処理を選択することが可能となる。
　［第４の実施の形態］
　上記第３の実施の形態では、１つのＥＣＵに複数のアプリケーションを搭載する場合の例であったが、複数のＥＣＵで構成された車両制御装置についても、本発明を適用できる。
　図１５は、第４の実施の形態に係る車両制御装置の全体構成を示すブロック図である。
　統合ＥＣＵ４０は、制御部１１、ＨＳＭハードウェア診断部１４、通信インターフェース４１で構成される。通信インターフェース４１を介して、ＨＳＭハードウェア処理部５０、パワートレイン制御ＥＣＵ６０、情報制御ＥＣＵ７０、ボディ制御ＥＣＵ８０、車両制御ＥＣＵ９０と接続される。
　パワートレイン制御ＥＣＵ６０は、通信インターフェース６１、制御部６２、複数のソフトウェア演算暗号モジュール６３、負荷率測定部６４で構成され、通信インターフェース６１を介して統合ＥＣＵ４０およびＨＳＭハードウェア処理部５０と接続され、ＨＳＭハードウェア処理部５０およびソフトウェア演算暗号モジュール６３（ソフトウェア演算処理部暗号モジュール）を使用して暗号演算処理を実行する。また、通信インターフェース６１を介して負荷率測定結果を統合ＥＣＵ４０に通知する。
　本実施形態では、情報制御ＥＣＵ７０、ボディ制御ＥＣＵ８０、車両制御ＥＣＵ９０については、パワートレイン制御ＥＣＵ６０と同様の構成とするが、これに限定されるものではなく、一部異なる構成とすることも可能である。
　図１６は、第４の実施の形態の車両制御装置において複数のＥＣＵが搭載されている例である。各ＥＣＵ上に搭載されるアプリケーションに要求される通信速度や重要度（優先度）およびソフトウェア演算暗号モジュールによる代替可否やハードウェアＨＳＭ（ＨＳＭハードウェア処理部５０）の必要性については、ＥＣＵ毎に異なる。なお、図１６に記載の内容は本実施形態を説明するための一例であり、これに限定されるものではない。
　図１７は、第４の実施の形態の車両制御装置における暗号モジュール選択の一例を示す図である。ＨＳＭハードウェア処理部５０の状態（正常、異常）および負荷率の状態（通常、高負荷）により、各ＥＣＵの種類に応じて優先処理決定を行い、各ＥＣＵで使用するソフトウェア演算暗号モジュールを決定する。第４の実施の形態では、それぞれのＥＣＵのソフトウェア演算暗号モジュール合計数が２の場合を示しているが、これに限定されるものではない。
　図１８は、第４の実施の形態の車両制御装置における暗号モジュール選択動作の概念図である。
　［パターン４－１］
　統合ＥＣＵ４０は、ＨＳＭハードウェア処理部５０が正常で、かつ負荷率が通常の場合、パワートレイン制御ＥＣＵ６０および情報制御ＥＣＵ７０に対し、ＨＳＭハードウェア処理部５０の使用（指示）を通知する。ボディ制御ＥＣＵ８０、車両制御ＥＣＵ９０に対しては、それぞれのＥＣＵのソフトウェア演算暗号モジュールの使用を通知する。
　［パターン４－２］
　統合ＥＣＵ４０は、ＨＳＭハードウェア処理部５０が正常で、かつ負荷率が高負荷の場合、パワートレイン制御ＥＣＵ６０に対して、ＨＳＭハードウェア処理部５０およびソフトウェア演算暗号モジュール６３の使用を通知し、情報制御ＥＣＵ７０に対しては、ＨＳＭハードウェア処理部５０の使用を通知する。ボディ制御ＥＣＵ８０、車両制御ＥＣＵ９０に対しは、それぞれのＥＣＵのソフトウェア演算暗号モジュールの使用を通知する。
　［パターン４－３］
　統合ＥＣＵ４０は、ＨＳＭハードウェア処理部５０が異常（故障）の場合、パワートレイン制御ＥＣＵ６０に対して、ソフトウェア演算暗号モジュール１および２（６３）の同時使用を通知し、情報制御ＥＣＵ７０に対しては、ソフトウェア演算暗号モジュール未使用を通知、ボディ制御ＥＣＵ８０、車両制御ＥＣＵ９０に対しては、それぞれのＥＣＵのソフトウェア演算暗号モジュールの使用を通知する。
　図１９～２０のフローチャートを参照して、第４の実施の形態の動作を説明する。
　まず、統合ＥＣＵ４０は、通信初期化処理時にＨＳＭハードウェア診断処理を実行する。図６と同様の動作のため説明は省略する。
　通信初期化処理が終了すると、図１９のＳ１９０で統合ＥＣＵ処理を開始する。
　Ｓ１９１では、パワートレイン制御ＥＣＵ６０など各ＥＣＵからの負荷率情報を取得する。
　Ｓ１９２では、各ＥＣＵの負荷率の合計値が予め設定した閾値以上であるか否かにより、通常状態と高負荷状態の２段階とし、高負荷と判定した場合（ＹＥＳ）、Ｓ１９３に移る。通常状態と判定した場合（ＮＯ）、Ｓ１９５に移り処理を終了する。なお、本実施形態では、通常状態と高負荷状態の２段階としているが、これに限定されるものではない。
　Ｓ１９３では、ＨＳＭエラー情報およびＳ１９１で取得した負荷率情報により、各ＥＣＵの種類に応じて優先処理決定を行い、各ＥＣＵで使用するソフトウェア演算暗号モジュールを決定する。
　Ｓ１９４では、各ＥＣＵに対してソフトウェア演算暗号モジュール切り替え指示を送信する。Ｓ１９５でメッセージ送受信処理が終了する。
　次に、図２０において、パワートレイン制御ＥＣＵ処理について説明する。パワートレイン制御ＥＣＵ６０以外のＥＣＵについては、パワートレイン制御ＥＣＵ６０と同様の動作の為、説明は省略する。
　Ｓ２００では、パワートレイン制御ＥＣＵ処理を開始する。
　Ｓ２０１では、メッセージ送受信要求があるか否かを確認し、要求ありの場合（ＹＥＳ）、Ｓ２０２に移る。要求無しの場合（ＮＯ）、Ｓ２０７に移る。
　Ｓ２０２では、統合ＥＣＵ４０からの通知を受信する。
　Ｓ２０３では、受信した通知から切り替え指示の有無を確認し、ありの場合（ＹＥＳ）、Ｓ２０４に移る。無しの場合（ＮＯ）、メッセージ認証処理（Ｓ２０５）、メッセージ送受信処理（Ｓ２０６）を実行する。
　Ｓ２０４では、ソフトウェア演算暗号モジュール切り替えを実施し、その後、メッセージ認証処理（Ｓ２０５）、メッセージ送受信処理（Ｓ２０６）を実行する。
　Ｓ２０７では、統合ＥＣＵ４０へ負荷率情報を送信する。
　Ｓ２０８では、パワートレイン制御ＥＣＵ処理を終了する。
　以上説明したように、第４の実施の形態によれば、統合ＥＣＵなど複数のＥＣＵで構成された車両制御装置についても、ＨＳＭハードウェア処理部５０に故障が発生した場合や高負荷状態でもＥＣＵの優先度に応じた処理を選択することが可能となる。
［その他］
　本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
　上記の各構成、機能等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサ（マイコン）がそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ　Ｓｔａｔｅ　Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。
　なお、本発明の実施形態は、以下の態様であってもよい。
　（１）．ＨＳＭ（Ｈａｒｄｗａｒｅ　ｓｅｃｕｒｉｔｙ　ｍｏｄｕｌｅ）ハードウェア処理部（１２、２２、５０）と、前記ＨＳＭハードウェア処理部の代替として処理を行うソフトウェア演算処理部（ソフトウェア演算処理部暗号モジュール１３、６３）と、前記ＨＳＭハードウェア処理部の診断を実行するＨＳＭハードウェア診断部（１４）と、ＨＳＭハードウェア処理とソフトウェア演算処理を切り替える制御部（１１、６２）と、を備え、前記制御部は、ＨＳＭハードウェア診断部の判定結果に応じて、ＨＳＭハードウェア処理とソフトウェア演算処理を切り替えることを特徴とする車両制御装置。
　（２）．（１）に記載の車両制御装置は、前記ＨＳＭハードウェア診断部（１４）が前記ＨＳＭハードウェア処理部（１２、２２、５０）の異常（故障）を検知した場合、前記制御部（１１、６２）はＨＳＭハードウェア処理からソフトウェア演算処理へ切り替えることを特徴とする車両制御装置。
　（３）．（２）に記載の車両制御装置は、さらに前記ＨＳＭハードウェア処理部（１２、２２、５０）及び前記ソフトウェア演算処理部（ソフトウェア演算処理部暗号モジュール１３、６３）を含めたそれぞれの処理負荷率を測定する負荷率測定部（１５）を備え、前記ＨＳＭハードウェア処理部及び前記ソフトウェア演算処理部それぞれの処理負荷が前記負荷率測定部により高負荷であると判断された場合には、ＨＳＭハードウェア処理と１つあるいは複数のソフトウェア演算処理を切り替え、あるいは同時に実行することを特徴とする車両制御装置。
　（４）．（３）に記載の車両制御装置は、複数の優先度の異なるアプリケーションの処理を実行するものであって、前記複数の優先度の異なるアプリケーションのうち優先して処理すべきアプリを決定するステップを有し、前記ＨＳＭハードウェア処理部（１２、２２、５０）の異常を検知した場合あるいは前記負荷率測定部（１５）が前記の処理負荷率の増加を検知した場合に、前記ステップにより決定された優先すべきアプリに優先的にＨＳＭハードウェア処理もしくはソフトウェア演算処理を選択させることを特徴とする車両制御装置。
　（１）～（４）によれば、ＨＳＭハードウェア処理部に故障が発生しても、車両を継続して使用することができ、処理負荷の低減も可能な車両制御装置を提供することができる。
　すなわち、車両制御装置は、ＨＳＭハードウェア処理部と、ＨＳＭハードウェア処理部の代替として処理を行うソフトウェア演算処理部を備え、ＨＳＭハードウェア処理部に障害が発生した場合、ＨＳＭハードウェア処理とソフトウェア演算処理を切り替えることで走行動作を継続することができる。また、ＨＳＭハードウェア障害だけでなく、ＨＳＭハードウェアあるいはソフトウェア演算の処理負荷率が増加した場合にもＨＳＭハードウェア処理とソフトウェア演算処理を切り替えることで処理負荷を低減できる。
１、２、３…車両制御装置
１０、２０…ＥＣＵ
１１、６２…制御部
１２、２２、５０…ＨＳＭハードウェア処理部
１３、６３…ソフトウェア演算暗号モジュール
１４…ＨＳＭハードウェア診断部
１５、６４…負荷率測定部
３０…ＨＳＭハードウェア機能ブロック
４０…統合ＥＣＵ
４１、６１…通信インターフェース
６０…パワートレイン制御ＥＣＵ
７０…情報制御ＥＣＵ
８０…ボディ制御ＥＣＵ
９０…車両制御ＥＣＵ

Claims (10)

  1. 　暗号化及び復号化の処理を行うハードウェアセキュリティモジュールを示すＨＳＭハードウェア処理部と、
    　前記ＨＳＭハードウェア処理部と同じ暗号化及び復号化の処理をプロセッサにより行うソフトウェア演算処理部と、
    　前記ＨＳＭハードウェア処理部を診断するＨＳＭハードウェア診断部と、
    　前記ＨＳＭハードウェア診断部の診断の結果に応じて、前記ＨＳＭハードウェア処理部の処理と前記ソフトウェア演算処理部の処理を切り替える制御部と、
    　を備えることを特徴とする車両制御装置。
  2. 　請求項１に記載の車両制御装置であって、
    　前記制御部は、
    　前記ＨＳＭハードウェア処理部が故障していると診断された場合、前記ＨＳＭハードウェア処理部の処理から前記ソフトウェア演算処理部の処理へ切り替える
    　ことを特徴とする車両制御装置。
  3. 　請求項２に記載の車両制御装置であって、
    　前記ＨＳＭハードウェア処理部の負荷率を測定する負荷率測定部を備え、
    　前記制御部は、
    　前記ＨＳＭハードウェア処理部が故障しているか否か、及び前記ＨＳＭハードウェア処理部の負荷率に応じて、前記ＨＳＭハードウェア処理部又は前記ソフトウェア演算処理部に暗号化及び復号化の処理を行わせる
    　ことを特徴とする車両制御装置。
  4. 　請求項３に記載の車両制御装置であって、
    　前記負荷率測定部は、
    　前記ソフトウェア演算処理部の負荷率を測定し、
    　前記制御部は、さらに
    　前記ソフトウェア演算処理部の負荷率に応じて、前記ＨＳＭハードウェア処理部又は前記ソフトウェア演算処理部に暗号化及び復号化の処理を行わせる
    　ことを特徴とする車両制御装置。
  5. 　請求項３に記載の車両制御装置であって、
    　前記制御部は、
    　前記ＨＳＭハードウェア処理部が故障していないと診断され、前記ＨＳＭハードウェア処理部の負荷率が第１閾値未満である場合、前記ＨＳＭハードウェア処理部に暗号化及び復号化の処理を行わせ、
    　前記ＨＳＭハードウェア処理部が故障していないと診断され、前記ＨＳＭハードウェア処理部の負荷率が第１閾値以上である場合、前記ＨＳＭハードウェア処理部及び前記ソフトウェア演算処理部に暗号化及び復号化の処理を行わせ、
    　前記ＨＳＭハードウェア処理部が故障していると診断された場合、前記ソフトウェア演算処理部に暗号化及び復号化の処理を行わせる
    　ことを特徴とする車両制御装置。
  6. 　請求項４に記載の車両制御装置であって、
    　前記プロセッサは、複数のコアから構成され、
    　前記制御部は、
    　前記ＨＳＭハードウェア処理部が故障していないと診断され、前記ＨＳＭハードウェア処理部の負荷率が第１閾値以上である場合、前記ＨＳＭハードウェア処理部及び前記プロセッサの２以上の前記コアに暗号化及び復号化の処理を行わせ、
    　前記ＨＳＭハードウェア処理部が故障していると診断され、前記ソフトウェア演算処理部の負荷率が第２閾値以上である場合、前記プロセッサの２以上の前記コアに暗号化及び復号化の処理を行わせ、
    　前記ＨＳＭハードウェア処理部が故障していると診断され、前記ソフトウェア演算処理部の負荷率が第２閾値未満である場合、前記プロセッサの１つの前記コアに暗号化及び復号化の処理を行わせる
    　ことを特徴とする車両制御装置。
  7. 　請求項３に記載の車両制御装置であって、
    　前記制御部は、さらに
    　アプリケーションごとの優先度に応じて、前記ＨＳＭハードウェア処理部又は前記ソフトウェア演算処理部に暗号化及び復号化の処理を行わせる
    　ことを特徴とする車両制御装置。
  8. 　請求項７に記載の車両制御装置であって、
    　前記制御部は、
    　前記ＨＳＭハードウェア処理部が故障していないと診断され、前記ＨＳＭハードウェア処理部の負荷率が第１閾値未満である場合、最も高い優先度の前記アプリケーションの通信において、前記ＨＳＭハードウェア処理部に暗号化及び復号化の処理を行わせ、
    　前記ＨＳＭハードウェア処理部が故障していないと診断され、前記ＨＳＭハードウェア処理部の負荷率が第１閾値以上である場合、最も高い優先度の前記アプリケーションの通信において、前記ＨＳＭハードウェア処理部及び前記ソフトウェア演算処理部に暗号化及び復号化の処理を行わせ、
    　前記ＨＳＭハードウェア処理部が故障していると診断された場合、前記プロセッサで実行される優先度が最も低い前記アプリケーションを終了し、最も高い優先度の前記アプリケーションの通信において、前記ソフトウェア演算処理部に暗号化及び復号化の処理を行わせる
    　ことを特徴とする車両制御装置。
  9. 　請求項８に記載の車両制御装置であって、
    　前記プロセッサは、複数のコアから構成され、
    　前記制御部は、
    　前記ＨＳＭハードウェア処理部が故障していないと診断され、前記ＨＳＭハードウェア処理部の負荷率が第１閾値以上である場合、最も高い優先度の前記アプリケーションの通信において、前記ＨＳＭハードウェア処理部及び前記プロセッサの前記コアに暗号化及び復号化の処理を行わせ、
    　前記ＨＳＭハードウェア処理部が故障していると診断された場合、前記プロセッサの前記コアで実行される優先度が最も低い前記アプリケーションを終了し、最も高い優先度の前記アプリケーションの通信において、前記プロセッサの２以上の前記コアに暗号化及び復号化の処理を行わせる
    　ことを特徴とする車両制御装置。
  10. 　請求項８に記載の車両制御装置であって、
    　最も高い優先度の前記アプリケーションは、
    　車両のパワートレインを制御するためのソフトウェアである
    　ことを特徴とする車両制御装置。
PCT/JP2021/031907 2021-01-28 2021-08-31 車両制御装置 WO2022162988A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
DE112021005557.7T DE112021005557T5 (de) 2021-01-28 2021-08-31 Fahrzeugsteuervorrichtung
JP2022578029A JP7519470B2 (ja) 2021-01-28 2021-08-31 車両制御装置

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2021011861 2021-01-28
JP2021-011861 2021-01-28

Publications (1)

Publication Number Publication Date
WO2022162988A1 true WO2022162988A1 (ja) 2022-08-04

Family

ID=82654308

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/031907 WO2022162988A1 (ja) 2021-01-28 2021-08-31 車両制御装置

Country Status (3)

Country Link
JP (1) JP7519470B2 (ja)
DE (1) DE112021005557T5 (ja)
WO (1) WO2022162988A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117527546A (zh) * 2023-11-27 2024-02-06 无锡梁溪智慧环境发展有限公司 一种车载can网络故障监测方法及系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH11201872A (ja) * 1998-01-19 1999-07-30 Denso Corp 車両用診断装置
JP2010003213A (ja) * 2008-06-23 2010-01-07 Denso Corp 制御装置、演算モード切換方法及びプログラム
JP2010280356A (ja) * 2009-06-08 2010-12-16 Toyota Motor Corp 車載システム、負荷分散方法
JP2014137695A (ja) * 2013-01-16 2014-07-28 Toyota Motor Corp 情報処理装置
JP2015119357A (ja) * 2013-12-18 2015-06-25 トヨタ自動車株式会社 情報処理装置

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5346111B2 (ja) 2012-07-24 2013-11-20 株式会社日立製作所 検証サーバ、プログラム及び検証方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH11201872A (ja) * 1998-01-19 1999-07-30 Denso Corp 車両用診断装置
JP2010003213A (ja) * 2008-06-23 2010-01-07 Denso Corp 制御装置、演算モード切換方法及びプログラム
JP2010280356A (ja) * 2009-06-08 2010-12-16 Toyota Motor Corp 車載システム、負荷分散方法
JP2014137695A (ja) * 2013-01-16 2014-07-28 Toyota Motor Corp 情報処理装置
JP2015119357A (ja) * 2013-12-18 2015-06-25 トヨタ自動車株式会社 情報処理装置

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117527546A (zh) * 2023-11-27 2024-02-06 无锡梁溪智慧环境发展有限公司 一种车载can网络故障监测方法及系统
CN117527546B (zh) * 2023-11-27 2024-05-24 无锡梁溪智慧环境发展有限公司 一种车载can网络故障监测方法及系统

Also Published As

Publication number Publication date
DE112021005557T5 (de) 2023-08-31
JPWO2022162988A1 (ja) 2022-08-04
JP7519470B2 (ja) 2024-07-19

Similar Documents

Publication Publication Date Title
JP6599054B2 (ja) 異常判定装置、異常判定方法及び異常判定プログラム
JP6585019B2 (ja) ネットワーク監視装置、ネットワークシステムおよびプログラム
US8099179B2 (en) Fault tolerant control system
JP4474378B2 (ja) ロックステップ及びフリーステップの両プロセッサモードによる計算処理
WO2022162988A1 (ja) 車両制御装置
JP2010254298A (ja) 電気制御式ブレーキ装置
JP2005209190A (ja) 高可用性クラスタノードの複数状態ステータスの報告
WO2019118057A1 (en) System and method for online functional testing for error-correcting code function
RU2284929C2 (ru) Способ управления компонентом важной для обеспечения безопасности распределенной системы
WO2021147100A1 (zh) 报文传输方法及装置
JP2008107896A (ja) 物理資源制御管理システム、物理資源制御管理方法および物理資源制御管理用プログラム
JP2019185130A (ja) 電子制御装置および電子制御システム
JP5754504B2 (ja) 管理装置、情報処理装置、情報処理システム及びデータ転送方法
WO2019235231A1 (ja) 車載制御装置、制御プログラム及び制御方法
CN109774625B (zh) 确定内阻的方法、车辆电子装置以及具有其的车辆
JP2007299213A (ja) Ｒａｉｄ制御装置および障害監視方法
CN111376887B (zh) 一种驻车制动控制系统及方法
JP2013109731A (ja) 車両用制御装置
JP5643058B2 (ja) 車両の故障診断制御装置
CN116560785A (zh) 一种访问存储节点的方法、装置及计算机设备
Bergmiller et al. Probabilistic fault detection and handling algorithm for testing stability control systems with a drive-by-wire vehicle
JP7183841B2 (ja) 電子制御装置
JP6032174B2 (ja) 通信制御装置
JPWO2016084539A1 (ja) 車載用変速機制御装置
US20130086436A1 (en) Device and Method for Checking Frames to be used by an Electronic Device of a Communication Network, on the Basis of Function Types and Using Parameters Contained in Said Frames

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21922996

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022578029

Country of ref document: JP

Kind code of ref document: A

122 Ep: pct application non-entry in european phase

Ref document number: 21922996

Country of ref document: EP

Kind code of ref document: A1