(57)【要約】【課題】自動運転を行う車両における車両制御のセキュリティ性を向上させることが可能な技術を提供することを目的とする。【解決手段】本発明に係る車両制御システムは、車両の走行制御を行う第一のコンピュータを含む車両プラットフォームと、車両の自動運転制御を行う第二のコンピュータを含む自動運転プラットフォームと、を含んでいる。そして、第二のコンピュータは車両プラットフォームに対する制御指令情報を生成し、第一のコンピュータは制御指令情報に基づいて車両の走行制御を行う。さらに、車両制御システムは、制御指令情報を中継する車両制御インタフェースを備えている。車両制御インタフェースは、自動運転プラットフォームが正規品であることを示す所定の認証情報を前記自動運転プラットフォームから受信していないときは、第二のコンピュータによる車両の自動運転制御を禁止する。【選択図】図４
2020192894.tif 000002
【特許請求の範囲】
【請求項１】
車両の走行制御を行う第一のコンピュータを含む車両プラットフォームと、前記車両の自動運転制御を行う第二のコンピュータを含む自動運転プラットフォームと、を含む車両制御システムであって、
前記第二のコンピュータは前記車両プラットフォームに対する第一の制御指令情報を生成し、前記第一のコンピュータは前記第一の制御指令情報に基づいて前記車両の走行制御を行い、
前記車両制御システムは、
前記自動運転プラットフォームから前記第一の制御指令情報を受信し、前記第一の制御指令情報を前記車両プラットフォームに送信する車両制御インタフェースをさらに備え、
前記車両制御インタフェースは、前記自動運転プラットフォームが正規品であることを示す所定の認証情報を前記自動運転プラットフォームから受信していないときは、前記第二のコンピュータによる前記車両の自動運転制御を禁止する制御部を含む、
車両制御システム。
【請求項２】
前記制御部は、前記自動運転プラットフォームが正規品であることを示す所定の認証情報を前記自動運転プラットフォームから受信していないときは、前記車両プラットフォームへの前記第一の制御指令情報の送信を禁止する、
請求項１に記載の車両制御システム。
【請求項３】
前記制御部は、所定の期間毎に、前記自動運転プラットフォームから認証情報を受信し、該認証情報が、前記所定の認証情報でないと判別したとき、前記車両プラットフォームへの前記第一の制御指令情報の送信を禁止する、
請求項２に記載の車両制御システム。
【請求項４】
前記制御部は、前記車両の停止中または発進時において前記所定の認証情報を前記自動運転プラットフォームから受信していないときは、前記車両プラットフォームへの前記第一の制御指令情報の送信を禁止する、
請求項２または３に記載の車両制御システム。
【請求項５】
前記制御部は、前記車両制御システムが起動した際において前記所定の認証情報を前記自動運転プラットフォームから受信していないときは、前記車両プラットフォームへの前記第一の制御指令情報の送信を禁止する、
請求項２から４のいずれかに記載の車両制御システム。
【請求項６】
前記制御部は、前記自動運転プラットフォームが変更されたときにおいて前記所定の認証情報を前記自動運転プラットフォームから受信していないときは、前記車両プラットフォームへの前記第一の制御指令情報の送信を禁止する、
請求項２から５のいずれかに記載の車両制御システム。
【請求項７】
前記制御部は、前記車両制御インタフェースが前記自動運転プラットフォームから受信する前記第一の制御指令情報に前記所定の認証情報が付加されていないときは、前記車両プラットフォームへの前記第一の制御指令情報の送信を禁止する、
請求項２から６のいずれかに記載の車両制御システム。
【請求項８】
前記車両の乗員の操作に基づいて生成された前記車両プラットフォームを制御するための第二の制御指令情報に基づいて、前記第一のコンピュータは前記車両の走行制御を行う、
請求項２から７のいずれかに記載の車両制御システム。
【請求項９】
車両の走行制御を行う第一のコンピュータを含む車両プラットフォームと、前記車両の自動運転制御を行う第二のコンピュータを含む自動運転プラットフォームと、を接続する車両制御インタフェースであって、
前記第二のコンピュータは前記車両プラットフォームに対する第一の制御指令情報を生成し、前記第一のコンピュータは前記第一の制御指令情報に基づいて前記車両の走行制御を行い、
前記車両制御インタフェースは、
前記自動運転プラットフォームから前記第一の制御指令情報を受信し、前記第一の制御指令情報を前記車両プラットフォームに送信するインタフェースであり、
前記自動運転プラットフォームが正規品であることを示す所定の認証情報を前記自動運転プラットフォームから受信していないときは、前記車両プラットフォームへの前記第一の制御指令情報の送信を禁止する制御部を含む、
車両制御インタフェース。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、自動運転を行う車両の車両制御システムに関する。
【背景技術】
【０００２】
特許文献１には、エンジンＥＣＵとは別に、車両周辺のセンシング機能を有する自動運転ＥＣＵを車両に設け、車載ネットワークを介して、自動運転ＥＣＵがエンジンＥＣＵに対して命令を発行する車両システムが記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１８−１３２０１５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
本発明は、自動運転を行う車両における車両制御のセキュリティ性を向上させることが可能な技術を提供することを目的とする。
【課題を解決するための手段】
【０００５】
車両の走行制御を行う第一のコンピュータを含む車両プラットフォームと、前記車両の自動運転制御を行う第二のコンピュータを含む自動運転プラットフォームと、を含む車両制御システムであって、前記第二のコンピュータは前記車両プラットフォームに対する第一の制御指令情報を生成し、前記第一のコンピュータは前記第一の制御指令情報に基づいて前記車両の走行制御を行い、前記車両制御システムは、前記自動運転プラットフォームから前記第一の制御指令情報を受信し、前記第一の制御指令情報を前記車両プラットフォームに送信する車両制御インタフェースをさらに備え、前記車両制御インタフェースは、前記自動運転プラットフォームが正規品であることを示す所定の認証情報を前記自動運転プラットフォームから受信していないときは、前記第二のコンピュータによる前記車両の自動運転制御を禁止する。
【発明の効果】
【０００６】
本発明は、自動運転を行う車両における車両制御のセキュリティ性を向上させることができる。
【図面の簡単な説明】
【０００７】
【図１】実施形態に係る車両制御システムの概要図である。
【図２】車両制御システムの構成の一例を概略的に示したブロック図である。
【図３】車両制御インタフェースの制御部における入出力データを説明する図である。
【図４】実施形態における認証情報判定処理のフローチャートである。
【発明を実施するための形態】
【０００８】
本発明に係る車両制御システムでは、車両の走行制御を行う第一のコンピュータを含む車両プラットフォームと、車両の自動運転制御を行う第二のコンピュータを含む自動運転プラットフォームと、が独立して構成されている。自動運転プラットフォームにおける第二のコンピュータは、車両プラットフォームに対する第一の制御指令情報を生成する。第一の制御指令情報は、例えば、加減速度と操舵輪の角度とを車両に指令し、車両の走行制御を行うための情報を含んでいる。そして、車両プラットフォームにおける第一のコンピ
ュータは、第二のコンピュータが生成した第一の制御指令情報に基づいて、車両の走行制御を行う。このように、本発明に係る車両制御システムは、車両プラットフォームとは別に、自動運転制御を行うための第一の制御指令情報を生成するプラットフォーム（自動運転プラットフォーム）を有している。
【０００９】
上述の構成により、本発明に係る車両制御システムにおいては、車両プラットフォームのメーカーやベンダとは異なるメーカーやベンダが開発した自動運転プラットフォームを搭載することが可能となる。このとき、車両制御システムに搭載することが許可されていない自動運転プラットフォーム（非正規品の自動運転プラットフォーム）が車両制御システムに搭載される虞がある。このような、非正規品の自動運転プラットフォームが搭載された状態で車両の自動運転が行われることは、車両制御のセキュリティ上好ましくない。
【００１０】
そこで、本発明に係る車両制御システムは、自動運転プラットフォームから第一の制御指令情報を受信し、第一の制御指令情報を車両プラットフォームに送信する車両制御インタフェースを備えている。そして、車両制御インタフェースは、自動運転プラットフォームが正規品であることを示す所定の認証情報を前記自動運転プラットフォームから受信していないときは、第二のコンピュータによる車両の自動運転制御を禁止する制御部を含んでいる。
【００１１】
ここで、「自動運転プラットフォームが正規品である」とは、車両プラットフォームを含む車両制御システムに搭載することが許可されている自動運転プラットフォームであるということを意味する。また、「認証情報」は、自動運転プラットフォームが正規品であるか否かを判別するために使用される情報である。例えば、車両プラットフォームのメーカーやベンダと、自動運転プラットフォームのメーカーやベンダと、の間で、自動運転プラットフォームが正規品であることを示す所定の認証情報（以下、「正規認証情報」と称する場合もある。）を予め定めておいてもよい。
【００１２】
車両制御システムに非正規品の自動運転プラットフォームが搭載されているとき、仮に、非正規品の自動運転プラットフォームから認証情報が送信されたとしても、その認証情報は正規認証情報ではない。この場合、車両制御インタフェースは正規認証情報を自動運転プラットフォームから受信しないことになる。また、非正規品の自動運転プラットフォームが認証情報そのものを車両制御インタフェースに送信しない場合でも、車両制御インタフェースは正規認証情報を自動運転プラットフォームから受信しないことになる。このように、自動運転プラットフォームが非正規品である場合、車両制御インタフェースは正規認証情報を受信しない。従って、車両制御インタフェースが自動運転プラットフォームから正規認証情報を受信しない場合は、自動運転プラットフォームは非正規品であると判断できる。
【００１３】
そして、車両制御インタフェースにおける制御部は、所定の認証情報を自動運転プラットフォームから受信していないときは、第二のコンピュータによる車両の自動運転制御を禁止する。これにより、非正規品の自動運転プラットフォームが生成した第一の制御指令情報に基づいて車両運転プラットフォームの第一のコンピュータが車両の走行制御をすることが禁止される。つまり、非正規品の自動運転プラットフォームが搭載された状態で車両の自動運転が行われることを抑制することができる。これにより、自動運転を行う車両における車両制御のセキュリティ性を向上させることができる。
【００１４】
また、車両制御インタフェースにおける制御部は、所定の認証情報を自動運転プラットフォームから受信していないときは、自動運転プラットフォームから受信した第一の制御指令情報を、車両プラットフォームに送信することを禁止してもよい。これにより、所定の認証情報を自動運転プラットフォームから受信していないときは、第二のコンピュータ
による車両の自動運転制御を禁止することができる。
【００１５】
以下、本発明の具体的な実施形態について図面に基づいて説明する。本実施形態に記載されている構成部品の寸法、材質、形状、その相対配置等は、特に記載がない限りは発明の技術的範囲をそれらのみに限定する趣旨のものではない。
【００１６】
＜実施形態＞
実施形態に係る車両制御システム１の概要について説明する。図１に示したように、本実施形態に係る車両制御システム１は、車両プラットフォーム１００と、自動運転プラットフォーム２００と、車両制御インタフェース３００と、を有して構成される。車両プラットフォーム１００は、従来型の車両プラットフォームである。車両プラットフォーム１００は、制御指令情報に基づいて動作する。制御指令情報は、例えば、車載ネットワークを流れるＣＡＮフレームによってカプセル化される。
【００１７】
自動運転プラットフォーム２００は、車両の周辺をセンシングする手段を有している。これにより、自動運転プラットフォーム２００は、センシングの結果に基づいて、車両プラットフォーム１００に対する制御指令情報を生成することができる。制御指令情報は車両の走行制御を行うための情報である。制御指令情報は、例えば、加減速度と操舵輪の角度とを車両に指令するための情報であってもよい。車両プラットフォーム１００は、自動運転プラットフォーム２００において生成された制御指令情報に基づいて車両の走行制御を行う。また、車両プラットフォーム１００は、乗員の操作によって生成された制御指令情報に基づいて走行制御を行うこともできる。なお、本発明に係る「第一の制御指令情報」が自動運転プラットフォームにおいて生成された制御指令情報に相当する。また、本発明に係る「第二の制御指令情報」が乗員の操作によって生成された制御指令情報に相当する。
【００１８】
車両制御インタフェース３００は、自動運転プラットフォーム２００において生成された制御指令情報を受信する。そして、車両制御インタフェース３００は、自動運転プラットフォーム２００から受信した制御指令情報を車両プラットフォーム１００に送信する。
【００１９】
ここで、本実施形態に係る車両制御システム１においては、自動運転プラットフォーム２００が正規品であるとき、車両制御インタフェース３００は、自動運転プラットフォーム２００から、正規認証情報が付加された制御指令情報を受信する。ここで、自動運転プラットフォーム２００が正規品であるとは、車両プラットフォーム１００を含む車両制御システム１に自動運転プラットフォーム２００が搭載されることが許可されているということを意味する。換言すれば、自動運転プラットフォーム２００が正規品でない（すなわち、自動運転プラットフォーム２００が非正規品である）とは、車両プラットフォーム１００を含む車両制御システム１に自動運転プラットフォーム２００が搭載されることが許可されていないということを意味する。また、正規認証情報は、自動運転プラットフォーム２００が正規品であることを示す認証情報である。例えば、正規認証情報として、車両制御インタフェース３００と自動運転プラットフォーム２００との間で自動運転プラットフォーム２００が正規品であることを示す文字列を予め定めておいてもよい。
【００２０】
一方で、本実施形態に係る車両制御システム１においては、自動運転プラットフォーム２００が非正規品であるとき、車両制御インタフェース３００は、自動運転プラットフォーム２００から、正規認証情報が付加された制御指令情報を受信しない。ここで、正規認証情報が付加された制御指令情報を受信しない場合として、自動運転プラットフォーム２００から受信する制御指令情報に認証情報が付加されていない場合がある。また、自動運転プラットフォーム２００から受信する制御指令情報に認証情報が付加されていても、該認証情報が正規認証情報でない場合がある。このように、自動運転プラットフォーム２０
０が非正規品であるとき、車両制御インタフェース３００は正規認証情報を受信し得ない。従って、車両制御インタフェース３００が自動運転プラットフォーム２００から正規認証情報を受信しないとき、自動運転プラットフォーム２００は非正規品であると判断することができる。
【００２１】
上述の通り、車両制御インタフェース３００は、自動運転プラットフォーム２００から認証情報が付加された制御指令情報を受信するか否かと、自動運転プラットフォーム２００から受信する制御指令情報に付加された認証情報が正規認証情報であるか否かと、を判別することによって、自動運転プラットフォーム２００が正規品であるか否かを判断することができる。
【００２２】
そして、車両制御インタフェース３００は、自動運転プラットフォーム２００から、正規認証情報が付加された制御指令情報を受信したときは、自動運転プラットフォーム２００から受信した制御指令情報を車両プラットフォーム１００に送信する。一方で、車両制御インタフェース３００は、自動運転プラットフォーム２００から受信した制御指令情報に正規認証情報が付加されていなかったとき、すなわち、自動運転プラットフォーム２００から、正規認証情報が付加された制御指令情報を受信しなかったときは、車両プラットフォーム１００への自動運転プラットフォーム２００から受信した制御指令情報の送信を禁止する。この場合、自動運転プラットフォーム２００から受信した制御指令情報は、車両制御インタフェース３００から車両プラットフォーム１００へ送信されない。
【００２３】
次に、システムの構成要素について、詳しく説明する。図２は、図１に示した車両制御システム１の構成の一例を概略的に示したブロック図である。車両制御システム１には、車両プラットフォーム１００、自動運転プラットフォーム２００、車両制御インタフェース３００が含まれており、各構成要素はバス４００によって通信可能に接続される。ここで、車両プラットフォーム１００と車両制御インタフェース３００との間における通信と、自動運転プラットフォーム２００と車両制御インタフェース３００との間における通信と、において、メッセージ認証コード（ＭＡＣ）を使用してもよい。このとき、車両制御システム１と外部装置との間の外部通信に用いられるＭＡＣとは異なるＭＡＣを使用することで、外部通信と車内通信とで別々のセキュリティゾーンを形成するようにしてもよい。
【００２４】
車両プラットフォーム１００は、車両制御ＥＣＵ１０１と、ブレーキ装置１０２及びステアリング装置１０３を含む装置群１０００と、舵角センサ１１１と、車速センサ１１２とを有して構成される。なお、本例ではエンジンを有する車両を例に挙げるが、対象の車両は電気自動車であってもよい。この場合、エンジンＥＣＵは、車両の動力を管理するＥＣＵに置き換えることができる。なお、車両プラットフォーム１００には、図示したもの以外のＥＣＵやセンサが備わっていてもよい。
【００２５】
車両制御ＥＣＵ１０１は、車両が有する構成要素（例えば、エンジン系統コンポーネント、パワートレイン系統コンポーネント、ブレーキ系統コンポーネント、電気系統コンポーネント、ボディ系統コンポーネント等）を制御するコンピュータである。車両制御ＥＣＵ１０１は、複数のコンピュータの集合であってもよい。車両制御ＥＣＵ１０１は、例えば、燃料噴射制御を行うことで、エンジンの回転数を制御する。車両制御ＥＣＵ１０１は、例えば、乗員の操作（アクセルペダル操作等）によって生成される制御指令情報（例えば、スロットル開度を指定する指令に関する情報）に基づいて、エンジンの回転数を制御することができる。
【００２６】
また、車両が電気自動車である場合、車両制御ＥＣＵ１０１は、駆動電圧や電流、駆動周波数等を制御することでモータの回転数を制御することができる。この場合も、内燃車
両と同様に、乗員の操作によって生成される制御指令情報に基づいて、モータの回転数を制御することができる。また、ブレーキペダルの踏力や、回生ブレーキの程度を示す制御指令情報に基づいて、回生電流を制御することができる。なお、車両がハイブリッド車両である場合、エンジンに対する制御と、モータに対する制御の双方を行うようにしてもよい。
【００２７】
この他、車両制御ＥＣＵ１０１は、後述するブレーキ装置１０２に含まれるアクチュエータ１０２１を制御することで、機械ブレーキによる制動力を制御することができる。車両制御ＥＣＵ１０１は、例えば、乗員の操作（ブレーキペダル操作等）によって生成される制御指令情報（例えば、ブレーキペダルの踏力を表す指令に関する情報）に基づいてアクチュエータ１０２１を駆動することで、ブレーキ油圧を制御する。
【００２８】
また、車両制御ＥＣＵ１０１は、後述するステアリング装置１０３に含まれるステアリングモータ１０３１を制御することで、ステアリング角度ないし操舵輪の角度（操舵角）を制御することができる。車両制御ＥＣＵ１０１は、例えば、乗員の操作（ステアリング操作等）によって生成される制御指令情報（例えば、ステアリング角度を表す指令に関する情報）に基づいてステアリングモータ１０３１を駆動することで、車両の操舵角を制御する。
【００２９】
なお、上述したように、制御指令情報は、乗員の操作に基づいて車両プラットフォーム１００内で生成されたものであってもよいし、自動運転プラットフォーム２００によって生成されたものであってもよい。即ち、車両制御ＥＣＵ１０１は、乗員の操作によって生成された制御指令情報（第二の制御指令情報）と、自動運転プラットフォーム２００によって生成された制御指令情報（第一の制御指令情報）と、によって車両の走行制御を行うことができる。
【００３０】
装置群１０００は、車両が有する複数の装置であって、車両制御ＥＣＵ１０１によって制御される装置である。装置群１０００は、典型的にはブレーキ装置１０２、ステアリング装置１０３、エアコンディショナー、ヘッドライト、ドアなどを含んで構成される。装置群１０００には、ドアまたはトランクの施解錠装置、ワイパ、車室内ライト、方向指示器、ハザードランプ、パーキングブレーキ、シフト装置などが含まれていてもよい。
【００３１】
ブレーキ装置１０２は、車両が有する機械ブレーキシステムである。ブレーキ装置１０２は、インタフェース（ブレーキペダル等）、アクチュエータ１０２１、油圧系統、ブレーキシリンダ等を含んで構成される。アクチュエータ１０２１は、ブレーキ系統における油圧を制御するための手段である。車両制御ＥＣＵ１０１から指令を受けたアクチュエータ１０２１がブレーキ油圧を制御することで、機械ブレーキによる制動力を確保することができる。
【００３２】
ステアリング装置１０３は、車両が有する操舵システムである。ステアリング装置１０３は、インタフェース（ステアリングホイール等）、ステアリングモータ１０３１、ギアボックス、ステアリングコラム等を含んで構成される。ステアリングモータ１０３１は、操舵操作をアシストするための手段である。車両制御ＥＣＵ１０１から指令を受けたステアリングモータ１０３１が駆動することで、ステアリング操作に必要な力を軽減することができる。また、ステアリングモータ１０３１を駆動することで、乗員の操作によらないステアリング操作の自動化も可能である。
【００３３】
舵角センサ１１１は、ステアリング操作によって得られた操舵角を検出するセンサである。舵角センサ１１１によって得られた検出値は、車両制御ＥＣＵ１０１に随時送信される。なお、本実施形態においては、操舵角として、タイヤの切れ角を直接表す数値を用い
るが、タイヤの切れ角を間接的に表す値を用いてもよい。車速センサ１１２は、車両の速度を検出するセンサである。車速センサ１１２によって得られた検出値は、車両制御ＥＣＵ１０１に随時送信される。
【００３４】
次に、自動運転プラットフォーム２００について説明する。自動運転プラットフォーム２００は、車両周辺のセンシングを行い、センシング結果に基づいて、走行に関する計画を生成し、制御指令情報を生成する装置である。自動運転プラットフォーム２００は、車両プラットフォーム１００と異なるメーカーまたはベンダによって開発されたものであってもよい。自動運転プラットフォーム２００は、自動運転ＥＣＵ２０１、センサ群２０２を有して構成される。
【００３５】
自動運転ＥＣＵ２０１は、後述するセンサ群２０２から取得したデータに基づいて自動運転に関する判断を行い、車両プラットフォーム１００と通信することで車両を制御するコンピュータである。自動運転ＥＣＵ２０１は、例えば、ＣＰＵ（Central Processing Unit）によって構成される。自動運転ＥＣＵ２０１は、状況認知部２０１１および自動運
転制御部２０１２の２つの機能モジュールを有して構成される。各機能モジュールは、ＲＯＭ（Read Only Memory）等の記憶手段に記憶されたプログラムをＣＰＵによって実行することで実現してもよい。
【００３６】
状況認知部２０１１は、後述するセンサ群２０２に含まれるセンサによって取得されたデータに基づいて、車両周辺の環境を検出する。検出の対象は、例えば、車線の数や位置、自車両の周辺に存在する車両の数や位置、自車両の周辺に存在する障害物（例えば歩行者、自転車、構造物、建築物など）の数や位置、道路の構造、道路標識などであるが、これらに限られない。自律的な走行を行うために必要なものであれば、検出の対象はどのようなものであってもよい。状況認知部２０１１が検出した、環境に関するデータ（以下、環境データ）は、後述する自動運転制御部２０１２へ送信される。
【００３７】
自動運転制御部２０１２は、状況認知部２０１１が検出した環境データを用いて、自車両の走行を制御する。例えば、環境データに基づいて自車両の走行軌跡を生成し、当該走行軌跡に沿って走行するよう、車両の加減速度および操舵角を決定し、制御指令情報を生成する。自動運転制御部２０１２によって生成された制御指令情報は、自動運転プラットフォーム２００によって、後述する車両制御インタフェース３００を介して車両プラットフォーム１００（車両制御ＥＣＵ１０１）へ送信される。また、車両を自律走行させる方法については、公知の方法を採用することができる。また、本実施形態においては、自動運転プラットフォーム２００が正規品であれば、自動運転制御部２０１２によって生成された制御指令情報を車両制御インタフェース３００に送信する際に、該制御指令情報に正規認証情報が付加される。
【００３８】
自動運転制御部２０１２は、例えば、加減速度を指定するデータと舵角を指定するデータを生成し、制御指令情報として車両制御インタフェース３００に送信する。加減速度を指定するデータは、単位時間あたりの車両の速度の変化量（正または負）を指定するデータである。舵角を指定するデータは、車両が有する操舵輪の切れ角を指定するデータである。当該データは、典型的には操舵輪であるタイヤの切れ角であるが、車両の操舵に関連するものであれば、これ以外であってもよい。例えば、ステアリングホイールの角度や、最大切れ角に対するパーセンテージ等を表すものであってもよい。また、車両の予定軌跡そのものであってもよい。
【００３９】
センサ群２０２は、車両周辺のセンシングを行う手段であり、典型的には単眼カメラ、ステレオカメラ、レーダ、ＬＩＤＡＲ、レーザスキャナなどを含んで構成される。センサ群２０２には、車両周辺をセンシングする手段のほか、車両の現在位置を取得する手段（
ＧＰＳモジュール等）などが含まれていてもよい。センサ群２０２に含まれるセンサが取得した情報は、自動運転ＥＣＵ２０１（状況認知部２０１１）に随時送信される。
【００４０】
車両制御システム１における、自動運転プラットフォーム２００と、車両プラットフォーム１００と、は互いに独立して構成されている。これにより、車両制御システム１に含まれている自動運転プラットフォーム２００とは異なる自動運転プラットフォームを新たな自動運転プラットフォーム２００として車両制御システム１に搭載することが可能となる。また、自動運転制御部２０１２が制御指令情報を生成するために使用するプログラムを書き換えることもできる。このようなプログラムの書き換えによれば、自動運転ＥＣＵ２０１やセンサ群２０２に含まれる装置をそのまま使用しながら、様々なメーカーまたはベンダが開発した、自動運転制御部２０１２が制御指令情報を生成するために使用するプログラムを用いて、自動運転制御部２０１２は制御指令情報を生成することもできる。このように、自動運転プラットフォーム２００と車両プラットフォーム１００とが互いに独立し構成されることで、車両制御システム１において自動運転プラットフォームを変更することが可能となる。そして、自動運転プラットフォームの変更が可能となることによって、様々なメーカーやベンダが開発した自動運転プラットフォームを車両制御システム１に使用することができる。なお、本発明に係る「自動運転プラットフォームが変更されたとき」は、本実施形態における「車両制御システム１に含まれている自動運転プラットフォーム２００とは異なる新たな自動運転プラットフォームを自動運転プラットフォーム２００として車両制御システム１に搭載」したとき、または、「自動運転ＥＣＵ２０１が制御指令情報を生成するために使用するプログラムを書き換え」たとき、に相当する。
【００４１】
次に、車両制御インタフェース３００について説明する。上述の通り、車両制御システム１において、自動運転プラットフォーム２００は変更することが可能である。しかしながら、この場合、本来であれば車両制御システム１に搭載することが許可されていない非正規品の自動運転プラットフォーム２００が該車両制御システム１に搭載されてしまう虞がある。このような非正規品の自動運転プラットフォーム２００が搭載された状態で車両の自動運転が行われることは、車両制御のセキュリティ上好ましくない。
【００４２】
そこで、本実施形態では、自動運転プラットフォーム２００から車両プラットフォーム１００に送信される制御指令情報を中継すると共に、自動運転プラットフォーム２００が非正規品である場合は車両プラットフォーム１００への該制御指令情報の送信を禁止する装置として車両制御インタフェース３００を利用する。なお、車両プラットフォーム１００と車両制御インタフェース３００と、は単一の装置であってもよい。また、車両制御インタフェース３００は、自動運転プラットフォーム２００が生成する制御指令情報を、車両プラットフォーム１００における車両制御ＥＣＵ１０１が解釈可能な制御指令情報に変換してもよい。
【００４３】
制御部３０１は、自動運転プラットフォーム２００から車両制御インタフェース３００が受信した制御指令情報の処理を行う制御部である。制御部３０１は、例えば、ＣＰＵ（Central Processing Unit）によって構成される。以下、制御部３０１が有する機能につ
いて図３および図４に基づいて説明する。図３は、制御部３０１における入出力データについて説明するための図である。図３に示すように、制御部３０１は、機能モジュールとして、認証情報判定部３０１１を有して構成される。
【００４４】
自動運転プラットフォーム２００が正規品である場合、認証情報判定部３０１１には、自動運転プラットフォーム２００から受信した正規認証情報が付加された制御指令情報が入力される。そして、認証情報判定部３０１１は、正規認証情報が付加された制御指令情報が入力されると、車両プラットフォーム１００に該制御指令情報を出力する。これにより、自動運転プラットフォーム２００が正規品である場合、車両制御インタフェース３０
０における制御部３０１は、自動運転プラットフォーム２００から受信した制御指令情報の車両プラットフォーム１００への送信を実行する。なお、ここでは、車両プラットフォーム１００へ送信される制御指令情報には、認証情報は付加されていない。
【００４５】
また、自動運転プラットフォーム２００が非正規品である場合、認証情報判定部３０１１には、該自動運転プラットフォーム２００から正規認証情報が付加された制御指令情報は入力されない。即ち、認証情報が付加されていない制御指令情報が入力されるか、正規認証情報でない認証情報が付加された制御指令情報が入力される。このとき、認証情報判定部３０１１は、車両プラットフォーム１００への制御指令情報の出力を禁止する。従って、自動運転プラットフォーム２００が非正規品である場合、制御部３０１による該自動運転プラットフォーム２００から受信した制御指令情報の車両プラットフォーム１００への送信が禁止される。
【００４６】
また、認証情報判定部３０１１は、記憶部３０２に記憶されたプログラムをＣＰＵによって実行することで実現してもよい。ここで、記憶部３０２は、情報を記憶する手段であり、ＲＡＭ、磁気ディスクやフラッシュメモリなどの記憶媒体により構成されている。また、認証情報に関する情報は記憶部３０２に記憶されている。
【００４７】
ここで、制御部３０１の認証情報判定部３０１１によって実行される認証情報判定処理について、図４を用いて説明する。図４は、本実施形態に係る認証情報判定処理のフローを示すフローチャートである。認証情報判定処理は、車両制御インタフェース３００における認証情報判定部３０１１において所定のプログラムが実行されることによって実現される。まず、自動運転プラットフォーム２００から車両制御インタフェース３００が受信した制御指令情報が、認証情報判定部３０１１に入力される（Ｓ１０１）。
【００４８】
次に、認証情報判定部３０１１は、制御指令情報に認証情報が付加されているかを判別する（Ｓ１０２）。Ｓ１０２において、否定判定された場合、自動運転プラットフォーム２００は非正規品であると判断できる。従って、認証情報判定部３０１１は、自動運転プラットフォーム２００から受信した制御指令情報の車両プラットフォーム１００への送信を禁止する処理を実行する（Ｓ１０５）。一方、Ｓ１０２において、肯定判定された場合、認証情報判定部３０１１はＳ１０３の処理に移行する。
【００４９】
次に、Ｓ１０３において、認証情報判定部３０１１は、指令制御指令情報に付加された認証情報が、正規認証情報であるか否かを判別する処理を実行する。Ｓ１０３において、肯定判定された場合、自動運転プラットフォーム２００は正規品であると判断できる。従って、自動運転プラットフォーム２００から受信した制御指令情報の車両プラットフォーム１００への送信をする処理を実行する（Ｓ１０４）。また、Ｓ１０３において、否定判定された場合、自動運転プラットフォームは非正規品であると判断できる。従って、認証情報判定部３０１１は、Ｓ１０２において否定判定された場合と同様、自動運転プラットフォーム２００から受信した制御指令情報の車両プラットフォーム１００への送信を禁止する処理を実行する（Ｓ１０５）。
【００５０】
なお、本実施形態において、車両制御インタフェース３００は、自動運転プラットフォーム２００から受信する制御指令情報すべてに対して認証情報判定処理を実行している。しかしながら、車両制御インタフェース３００は、自動運転プラットフォーム２００から受信する制御指令情報の一部に対して、認証情報判定処理を実行してもよい。例えば、車両制御インタフェース３００は、自動運転プラットフォーム２００から制御指令情報を所定の複数回数受信するごとに、認証情報判定処理を実行してもよい。
【００５１】
また、車両制御インタフェース３００は、車両の走行中ではなく、車両の停止中または
発進時に自動運転プラットフォーム２００から受信する制御指令情報に対して認証情報判定処理を実行してもよい。このとき、自動運転プラットフォーム２００が非正規品であった場合、車両の走行中ではなく、車両の停止中または発進時に、自動運転プラットフォーム２００から車両プラットフォーム１００への制御指令情報の送信が禁止される。従って、自動運転プラットフォーム２００から車両プラットフォーム１００への制御指令情報の送信が車両の走行中に禁止されることを抑制することができる。
【００５２】
本実施形態においては、制御部３０１の認証情報判定部３０１１は、自動運転プラットフォーム２００から受信する制御指令情報に対して、認証情報判定処理を行う。そして、自動運転プラットフォーム２００から受信する制御指令情報に認証情報が付加されていない、または、自動運転プラットフォーム２００から受信する制御指令情報に付加された認証情報が正規認証情報でない場合、車両制御インタフェース３００が非正規品の自動運転プラットフォーム２００から受信した制御指令情報の車両プラットフォーム１００への送信は禁止される。従って、車両プラットフォーム１００が、非正規品の自動運転プラットフォーム２００が生成した制御指令情報を受信することを抑制することができる。これにより、車両制御のセキュリティ性を向上させることができる。
【００５３】
（変形例）
なお、本実施形態においては、自動運転プラットフォーム２００から受信する制御指令情報に対して認証情報判定処理を実行している。そして、自動運転プラットフォーム２００が正規品である場合、制御指令情報に正規認証情報が付加されている。しかしながら、正規認証情報は制御指令情報に付加されているものに限らない。つまり、車両制御インタフェース３００は、正規品の自動運転プラットフォーム２００から制御指令情報とは別に正規認証情報を受信してもよい。
【００５４】
例えば、車両制御インタフェース３００は、正規品の自動運転プラットフォーム２００から所定の期間毎に正規認証情報を受信することもできる。ここで、所定の期間毎として、５分毎、１日毎、１月毎などが例示される。車両制御インタフェース３００が正規品の自動運転プラットフォーム２００から所定の期間毎に正規認証情報を受信することで、自動運転プラットフォーム２００が正規品であると判断することができる。この場合、車両制御インタフェース３００は、自動運転プラットフォーム２００から受信した制御指令情報の車両プラットフォーム１００への送信をする。
【００５５】
一方、自動運転プラットフォーム２００が非正規品であるとき、車両制御インタフェース３００は、該自動運転プラットフォーム２００から所定の期間毎に認証情報を受信しない。また、自動運転プラットフォーム２００が非正規品である場合は、仮に、自動運転プラットフォーム２００から所定の期間毎に認証情報を受信していたとしても、該認証情報は正規認証情報でない。そこで、車両制御インタフェース３００が自動運転プラットフォーム２００から所定の期間毎に認証情報を受信しないとき、車両制御インタフェース３００は、自動運転プラットフォーム２００から受信した制御指令情報の車両プラットフォーム１００への送信を禁止する。また、自動運転プラットフォーム２００から所定の期間毎に認証情報を受信していたとしても、該認証情報が正規認証情報でないとき、車両制御インタフェース３００は、自動運転プラットフォーム２００から受信した制御指令情報の車両プラットフォーム１００への送信を禁止する。
【００５６】
このように、車両制御インタフェース３００が所定の期間毎に自動運転プラットフォーム２００から正規認証情報を受信することにより、複数回、自動運転プラットフォーム２００が正規品であるかを判断することができる。このとき、車両制御インタフェース３００が自動運転プラットフォーム２００から正規認証情報を一度受信することによって、それ以降の車両プラットフォーム１００への制御指令情報の送信を許可するよりも、車両制
御のセキュリティ性を向上させることができる。また、正規品の自動運転プラットフォーム２００から受信する正規認証情報は、毎回同じでなくてもよい。例えば、正規認証情報の受信時における時刻や車両の位置などに応じて正規認証情報を変更してもよい。
【００５７】
また、車両制御システム１において自動運転プラットフォーム２００が変更されたときに、車両制御インタフェース３００において、変更後の自動運転プラットフォーム２００から正規認証情報を受信したか否かの判別が実行されるような構成を採用することもできる。この場合、変更後の自動運転プラットフォーム２００が正規品であれば、車両制御インタフェース３００が該自動運転プラットフォーム２００から正規認証情報を受信する。一方、変更後の自動運転プラットフォーム２００が非正規品でれば、車両制御インタフェース３００は、該自動運転プラットフォーム２００から正規認証情報を受信しない。そのため、このような場合、車両制御インタフェース３００は、変更後の自動運転プラットフォーム２００から受信した制御指令情報の車両プラットフォーム１００への送信を禁止する。これにより、変更後の自動運転プラットフォーム２００による車両の自動運転が禁止されることになる。
【００５８】
また、車両制御システム１が起動した際に、車両制御インタフェース３００において、自動運転プラットフォーム２００から正規認証情報を受信したか否かの判別が実行されるような構成を採用することもできる。この場合、自動運転プラットフォーム２００が正規品であれば、車両制御システム１が起動したタイミングで、車両制御インタフェース３００が該自動運転プラットフォーム２００から正規認証情報を受信する。一方、自動運転プラットフォーム２００が非正規品であれば、車両制御インタフェース３００は、該自動運転プラットフォーム２００から正規認証情報を受信しない。そのため、このような場合、車両制御インタフェース３００は、車両制御システム１の起動後における、自動運転プラットフォーム２００から受信した制御指令情報の車両プラットフォーム１００への送信を禁止する。これにより、車両制御システム１の起動後における車両の自動運転が禁止されることになる。
【００５９】
上記の車両制御システム１では、自動運転プラットフォーム２００が非正規品であるときは、車両制御インタフェース３００において、自動運転プラットフォーム２００から受信した制御指令情報の車両プラットフォーム１００への送信を禁止することで、車両の自動運転が禁止された。しかしながら、非正規品の自動運転プラットフォーム２００による車両の自動運転を禁止する方法はこのような方法に限られるものではない。例えば、車両制御インタフェース３００が、所定の認証情報を自動運転プラットフォーム２００から受信していないときは、該自動運転プラットフォーム２００から受信した制御指令情報と共に、該自動運転プラットフォーム２００が非正規品であること示す情報を車両プラットフォーム１００へ送信するようにしてもよい。そして、車両プラットフォーム１００において、自動運転プラットフォーム２００が非正規品であること示す情報が受信された場合、自動運転プラットフォーム２００から車両制御インタフェース３００を介して受信した制御指令情報による車両の走行制御が禁止されるようにしてもよい。このような処理によっても、非正規品の自動運転プラットフォーム２００による車両の自動運転を禁止することができる。
【００６０】
また、車両制御インタフェース３００は自動運転プラットフォーム２００に認証情報を送信することを要求してもよい。例えば、車両制御インタフェース３００と自動運転プラットフォーム２００の間で、ＣＨＡＰ認証を行ってもよい。車両制御インタフェース３００からチャレンジコードを送信する。そして、チャレンジコードを受信した自動運転プラットフォーム２００は、チャレンジコードに基づいてハッシュ値を送信する。車両制御インタフェース３００は、自動運転プラットフォーム２００から受信したハッシュ値に基づいて、認証情報が、自動運転プラットフォーム２００が正規品であることを示す認証情報
であるか否かを判定してもよい。また、車両制御インタフェース３００から認証情報を送信することが要求されなくても、自動運転プラットフォーム２００が認証情報を送信する判断をしてもよい。
【００６１】
また、上述の通り、車両プラットフォーム１００における車両制御ＥＣＵ１０１は、車両の乗員の操作によって生成された制御指令情報によっても車両の走行制御をすることができる。従って、自動運転プラットフォーム２００が生成する制御指令情報を受信しない場合であっても、乗員の操作によって生成された制御指令情報によって車両の走行を制御することができる。これにより、自動運転プラットフォーム２００が非正規品である場合であっても、乗員の操作による制御によって、車両を移動させることができる。なお、本発明にかかる「第二の制御指令情報」は、本実施形態における「車両の乗員の操作によって生成された制御指令情報」に相当する。
【００６２】
上述の車両制御システム１では、自動運転プラットフォーム２００が生成した制御指令情報によっても、車両の乗員の操作によって生成された制御指令情報によっても、車両の走行制御ができる構成であった。しかしながら、本発明にかかる車両制御システムでは、自動運転プラットフォーム２００が生成した制御指令情報のみによって車両の走行制御が行われる構成にも適応することができる。即ち、本発明に係る車両制御システムは、自動運転のみの車両の車両制御システムにも適応することができる。
【００６３】
＜その他の実施形態＞
上記の実施形態はあくまでも一例であって、本発明はその要旨を逸脱しない範囲内で適宜変更して実施し得る。また、本開示において説明した処理や手段は、技術的な矛盾が生じない限りにおいて、自由に組み合わせて実施することができる。
【００６４】
また、１つの装置が行うものとして説明した処理が、複数の装置によって分担して実行されてもよい。あるいは、異なる装置が行うものとして説明した処理が、１つの装置によって実行されても構わない。コンピュータシステムにおいて、各機能をどのようなハードウェア構成（サーバ構成）によって実現するかは柔軟に変更可能である。
【００６５】
本発明は、上記の実施形態で説明した機能を実装したコンピュータプログラムをコンピュータに供給し、当該コンピュータが有する１つ以上のプロセッサがプログラムを読み出して実行することによっても実現可能である。このようなコンピュータプログラムは、コンピュータのシステムバスに接続可能な非一時的なコンピュータ可読記憶媒体によってコンピュータに提供されてもよいし、ネットワークを介してコンピュータに提供されてもよい。非一時的なコンピュータ可読記憶媒体は、例えば、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクドライブ（ＨＤＤ）等）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤディスク、ブルーレイディスク等）など任意のタイプのディスク、読み込み専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、ＥＰＲＯＭ、ＥＥＰＲＯＭ、磁気カード、フラッシュメモリ、光学式カード、電子的命令を格納するために適した任意のタイプの媒体を含む。
【符号の説明】
【００６６】
１・・・・・車両制御システム
１００・・・車両プラットフォーム
１０１・・・車両制御ＥＣＵ
２００・・・自動運転プラットフォーム
２０１・・・自動運転ＥＣＵ
３００・・・車両制御インタフェース
３０１・・・制御部
３０１１・・認証情報判定部
４００・・・バス
【図１】
2020192894.tif 000003
【図２】
2020192894.tif 000004
【図３】
2020192894.tif 000005
【図４】
2020192894.tif 000006