(57)【要約】  車両用アクティブサスペンションシステムは、第１構成要素と、ネットワークを介して該第１構成要素との通信を行う第２構成要素と、を具備する。第１構成要素は、ネットワークを利用して第２構成要素へ転送するデータのうちの少なくとも一部を暗号化するように構成される。システム構成要素間でやりとりされる制御命令及びその他の情報を暗号化することによって、アクティブサスペンションシステムの安全でない又は望まれない制御を阻止する。
2009514726.tif 000002
【特許請求の範囲】
【請求項１】
車両用アクティブサスペンションシステムであって、
第１構成要素と、
ネットワークを介して前記第１構成要素との通信を行う第２構成要素と
を具備し、
前記第１構成要素は、該第１構成要素が前記ネットワークを介して前記第２構成要素へ転送するデータのうちの少なくとも一部を暗号化するように構成されることを特徴とするアクティブサスペンションシステム。
【請求項２】
前記第１構成要素が、中央制御部を具備することを特徴とする請求項１に記載のアクティブサスペンションシステム。
【請求項３】
前記第２構成要素が、車輪に機械的に連結されたアクチュエータを具備することを特徴とする請求項２に記載のアクティブサスペンションシステム。
【請求項４】
前記第１構成要素が、アクチュエータを具備することを特徴とする請求項１に記載のアクティブサスペンションシステム。
【請求項５】
前記第２構成要素が、前記第１構成要素から受信した暗号化されたデータを復号するように構成されることを特徴とする請求項１に記載のアクティブサスペンションシステム。
【請求項６】
第２構成要素は、該第２構成要素が前記ネットワークを介して前記第１構成要素へ転送するデータのうちの少なくとも一部を暗号化するように構成されることを特徴とする請求項１に記載のアクティブサスペンションシステム。
【請求項７】
前記第１構成要素は、前記第１及び第２構成要素間で共用の秘密鍵を使用して前記データを暗号化するように構成されることを特徴とする請求項１に記載のアクティブサスペンションシステム。
【請求項８】
前記第２構成要素は、前記秘密鍵を使用して前記第１構成要素から受信した暗号化されたデータを復号するように構成されることを特徴とする請求項７に記載のアクティブサスペンションシステム。
【請求項９】
前記第１構成要素から前記第２構成要素へ転送される前記データが、制御命令を含んでいることを特徴とする請求項１に記載のアクティブサスペンションシステム。
【請求項１０】
前記制御命令が暗号化されていることを特徴とする請求項９に記載のアクティブサスペンションシステム。
【請求項１１】
前記第１構成要素から前記第２構成要素へ転送される前記データが、センサフィードバック情報を含んでいることを特徴とする請求項１に記載のアクティブサスペンションシステム。
【請求項１２】
前記センサフィードバック情報が暗号化されていることを特徴とする請求項１１に記載のアクティブサスペンションシステム。
【請求項１３】
前記ネットワークがデータバスであることを特徴とする請求項１に記載のアクティブサスペンションシステム。
【請求項１４】
前記ネットワークがリングトポロジであることを特徴とする請求項１に記載のアクティブサスペンションシステム。
【請求項１５】
前記ネットワークがポイント・ツー・ポイントトポロジであることを特徴とする請求項１に記載のアクティブサスペンションシステム。
【請求項１６】
前記第１及び第２構成要素は、互いに双方向通信を行うことを特徴とする請求項１に記載のアクティブサスペンションシステム。
【請求項１７】
車体に連結された固定子と第１車輪に連結された電機子とを具備する第１アクチュエータと、
ネットワークを介して前記第１アクチュエータへ制御命令を発するように構成された制御部と
を具備し、
前記制御部は、前記第１アクチュエータへ前記制御命令を転送する前に、該制御命令を暗号化するように構成されることを特徴とするアクティブサスペンションシステム。
【請求項１８】
前記ネットワークが、バストポロジ、スタートポロジ、又はリングトポロジであることを特徴とする請求項１７に記載のアクティブサスペンションシステム。
【請求項１９】
前記第１アクチュエータが、前記ネットワークを介して前記制御部へデータを転送するように構成されることを特徴とする請求項１７に記載のアクティブサスペンションシステム。
【請求項２０】
前記第１アクチュエータによって転送される前記データが、動作情報を含むことを特徴とする請求項１９に記載のアクティブサスペンションシステム。
【請求項２１】
前記第１アクチュエータによって前記制御部へ転送される前記データが、暗号化されていないことを特徴とする請求項１９に記載のアクティブサスペンションシステム。
【請求項２２】
前記第１アクチュエータによって前記制御部へ転送される前記データのうちの少なくとも一部が、暗号化されていることを特徴とする請求項１９に記載のアクティブサスペンションシステム。
【請求項２３】
大量生産型アクティブサスペンションシステム用の暗号化鍵を管理する方法であって、
サスペンションシステム構成要素のうちの第１組用の第１暗号化鍵を使用する段階と、
サスペンションシステム構成要素のうちの第２組用の第２暗号化鍵を使用する段階と、
構成要素のうちの前記第１及び第２組で使用される暗号化鍵を追跡するためのデータベースを保守する段階と
を有し、
各大量生産型アクティブサスペンションシステムは、暗号化鍵を必要とする１つ以上の構成要素を具備することを特徴とする方法。
【請求項２４】
前記第１暗号化鍵は、第１自動車製造業者へ供給されるサスペンションシステム構成要素に対して使用され、一方、前記第２暗号化鍵は、第２自動車製造業者へ供給されるサスペンションシステム構成要素に対して使用されることを特徴とする請求項２３に記載の方法。
【請求項２５】
前記第１暗号化鍵は、第１自動車型式へ供給されるサスペンションシステム構成要素に対して使用され、一方、前記第２暗号化鍵は、第２自動車型式へ供給されるサスペンションシステム構成要素に対して使用されることを特徴とする請求項２３に記載の方法。
【請求項２６】
前記第１暗号化鍵は、第１自動車モデルへ供給されるサスペンションシステム構成要素に対して使用され、一方、前記第２暗号化鍵は、第２自動車モデルへ供給されるサスペンションシステム構成要素に対して使用されることを特徴とする請求項２３に記載の方法。
【請求項２７】
前記第１暗号化鍵は、第１車両へ供給されるサスペンションシステム構成要素に対して使用され、一方、前記第２暗号化鍵は、第２車両へ供給されるサスペンションシステム構成要素に対して使用されることを特徴とする請求項２３に記載の方法。
【請求項２８】
前記第１暗号化鍵は、第１期間中に供給される第１数のサスペンションシステム構成要素に対して使用され、一方、前記第２暗号化鍵は、第２期間中に供給される第２数のサスペンションシステム構成要素に対して使用されることを特徴とする請求項２３に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この開示は、車両に用いられるようなアクティブサスペンションシステムに関する。
【０００２】
米国特許法第１１９条（ｅ）（１）に基づき、この明細書は、２００５年１１月４日に出願された「SECURE ACTIVE SUSPENSION SYSTEM」と題した米国特許仮出願第６０／７３３，９６０号の優先権を主張するものである。
【背景技術】
【０００３】
車両用アクティブサスペンションシステムは、車輪と車体とを連結するアクチュエータを用いて、車輪が遭遇する路面の変化及び運転状況に合わせて車体に対する車輪の挙動を常に制御する。路面の変化及び運転状況に対応するための車輪の位置、速度、及び／又は加速度の絶え間ない調整によって、アクティブサスペンションシステムは、従来のパッシブサスペンションシステムに、優れたハンドリング、走行感、応答性、及び安全性を提供することができる。
【特許文献１】米国特許第４９８１３０９号明細書
【発明の開示】
【課題を解決するための手段】
【０００４】
一態様において、本発明は、システムの構成要素間でやりとりされるデータ（例えば、制御部からアクチュエータへ送信される制御命令）のうちの一部又は全てが暗号化されるアクティブサスペンションシステムであることを特徴とする。
【０００５】
別の態様において、本発明は、既知の任意のトポロジのネットワークを介して第２構成要素（例えば、アクチュエータアセンブリ）との通信を行う第１構成要素（例えば、制御部素子）を具備する車両用アクティブサスペンションシステムであることを特徴とする。
【０００６】
実施態様は、以下の特徴のうちの１つ以上を含んでよい。第２構成要素は、データを暗号化するように構成され、かつ私有（若しくは秘密）鍵暗号化方式又は公開鍵暗号化方式が暗号化に用いられる。第２構成要素は、リニアアクチュエータであるとともに、第１構成要素（例えば、制御部）へ動作情報をフィードバックするモーションセンサ（例えば、位置、速度、加速度センサ）を具備する。また、第１構成要素へフィードバックされるセンサ情報は暗号化される。
【０００７】
別の態様において、本発明は、車体に連結された固定子及び第１車輪に連結された電機子を具備した第１アクチュエータと、ネットワークを介して第１アクチュエータへ制御命令を発するように構成された制御部と、を具備するアクティブサスペンションシステムであることを特徴とする。制御部は、第１アクチュエータへ制御命令を転送する前に、該制御命令を暗号化するように構成される。
【０００８】
別の態様において、本発明は、大量生産型アクティブサスペンションシステム用の暗号化鍵を管理する方法であり、各大量生産型アクティブサスペンションシステムは、暗号化鍵を必要とする１つ以上の構成要素を具備することを特徴とする。本方法は、サスペンションシステム構成要素の第１組用の第１暗号化鍵を使用する段階と、サスペンションシステム構成要素の第２組用の第２暗号化鍵を使用する段階と、構成要素の第１組及び第２組で使用される暗号化鍵を追跡するためのデータベースを保守する段階と、を有する。
【０００９】
実施態様は、以下のうちの１つ以上を含んでよい。第１暗号化鍵は、第１自動車製造業者、第１車両型式（make）、又は第１車両モデル（model）へ供給されるサスペンションシステム構成要素に対して使用され、一方、第２暗号化鍵は、第２自動車製造業者、第２車両型式、又は第２車両モデルへ供給されるサスペンションシステム構成要素に対して使用される。同様に、第１暗号化鍵は、第１期間中に供給されるサスペンションシステム構成要素の第１数に対して使用でき、一方、暗号化鍵の第２組は、第２期間中に供給されるサスペンションシステム構成要素の第２数に対して使用できる。
【発明を実施するための最良の形態】
【００１０】
図１を参照すると、車両１０は、「Electromechanical Transducing Along a Path」と題した米国特許第４，９８１，３０９号に開示されたアクティブサスペンションシステムのようなアクティブサスペンションシステム１２を具備している。上記開示の全ては、引用によって本明細書に組み込まれる。アクティブサスペンションシステム１２は、車輪１６ａ〜１６ｄのうちのいずれか１つにそれぞれ機械的に連結された４つのリニアアクチュエータ１４ａ〜１４ｄを具備する。いくつかの実装形態において、アクチュエータは、車体に取り付けられた固定子と、車輪に取り付けられた可動電機子と、を具備するリニアモータである。センサは、各車輪近くのさまざまな位置（又は、車両のその他の位置）に取り付けられ、車輪の絶対変位若しくは（車体との）相対変位、速度、及び／又は加速度を測定する。典型的に、変位、速度、及び／又は加速度の垂直成分が測定されるが、より複雑な車両制御システムは、さらに他の軸で感知される動作を要求してよい。対応するセンサが車体に配置され、車体の動作を測定する。
【００１１】
また、アクティブサスペンションシステム１２は、ＦｌｅｘＲａｙ（登録商標）光学又は電気バス、ＭＯＳＴバス、又はその他の既知のバス技術などのデータバス１９を介して、４つのアクチュエータのそれぞれと通信を行なう中央制御部１８を具備する。
【００１２】
車両１０が路面上を走行すると、中央制御部は、センサのそれぞれから（加速信号などの）動作情報を受信するとともに、４つのアクチュエータ１４ａ〜１４ｄのそれぞれへ制御命令を送信する。制御命令は、アクチュエータに制御された動力を出力させる。言い換えると、制御命令は、車体に所望の方法で路面の乱れへ応答させる。例えば、制御部は、車輪が平らでない路面（例えば、くぼみ、傾いた路面など）上を進むか、又は車両が旋回運動を行なうと、車体の垂直加速を最小化するように、アクチュエータへ命令を出す。
【００１３】
典型的な車両アクティブサスペンションシステムにおいて、車輪が平らでない面を進むと、又は車両が旋回運動を行なった場合に、車体の動作制御を持続するために相当量の動力を生成することが可能である。アクチュエータがこのような動力を生成可能なので、車両に危険な運動を行なわせるように制御されることも可能である。例えば、いくつかの実装形態において、アクチュエータには、車両が停止しているか又は平坦な道路を走行している間、車輪のいくつか又は全てに路面との接触を失わせるだけのパワーがある。このような方法でアクチュエータを制御することは、車両の内側及び外側両方に位置する人々に対して安全面での懸念をもたらし、従って、市販車両に望まれる性能ではない。市販のアクティブサスペンションシステムに提供される制御部は、車両に「ジャンプ」させたり、又はその他の危険な運動を行なわせたりする制御シーケンスにはプログラムされてはいないものの、このような性能を解除するように、誰かが制御部をプログラムし直したり、又は他の制御部を取り付けたりするといったリスクが存在する。
【００１４】
アクティブサスペンションシステムの安全でない又は望まれない制御を阻止するために、アクティブサスペンションシステムは、システム構成要素間でやりとりされる制御命令及びその他の情報を暗号化する。例えば、図２に示されるように、車両２１のためのアクティブサスペンションシステム２０は、ネットワーク２６を介して４つの車輪アクチュエータ２４ａ〜２４ｄのそれぞれと通信を行なう制御部２２を具備する。制御部２２及び各アクチュエータ２４ａ〜２４ｄは、ネットワーク２６を介して制御命令及びセンサフィードバック情報などのデータの送受信を行なうデータインタフェース３０ａ〜３０ｅをそれぞれ有する。各データインタフェース３０ａ〜３０ｅは、暗号化モジュール３２ａ〜３２ｅと、復号モジュール３４ａ〜３４ｅと、を具備し、制御部とアクチュエータとの間のセキュアな通信を保証する。さらに、各アクチュエータは、中央制御部によって送信された制御命令を実行し、各車輪３９ａ〜３９ｄを動かすために、モータ３８ａ〜３８ｄに操作可能に接続されたローカル制御部３６ａ〜３６ｄを具備する。一実施形態の動作センサ４０ａ〜４０ｄは、垂直方向の加速度を測定するとともに、ネットワーク２６を介して加速度データを制御部２２へフィードバックする。いくつかの実装形態において、データインタフェース、ローカル制御部、及びその他のアクチュエータ電子装置は、走行環境からアクチュエータの電子機器を保護するために、モータの固定子のハウジング内に設置される。
【００１５】
暗号化モジュール３２ａ〜３２ｅは、ネットワークへの送信前に、データ（例えば、制御命令及び加速度データ）を暗号化する。アクチュエータのうちの１つなどのシステム構成要素が暗号化されたデータを受け取ったとき、アクチュエータは、自身の復号モジュール３４ａ〜３４ｅを用いてデータを復号する。システム構成要素間でやりとりされるデータが暗号化されることによって、システムの制御方式の改変リスクが減少する。
【００１６】
暗号化及び復号モジュールは、ハードウェア、ソフトウェア、又はその組合せで実装されるとともに、私有鍵暗号化又は共通鍵暗号化を含む既知の任意の暗号化方式を使用してよい。データがシステム構成要素間でやりとりされるネットワーク２６は、既知の任意のトポロジであるとともに、適切な任意の同期式又は非同期式通信プロトコルを使用してよい。
【００１７】
例えば、図２に示されたネットワーク２６は、ＦｌｅｘＲａｙ通信プロトコルを使用するＦｌｅｘＲａｙ光ファイババスであり、現在、ＦｌｅｘＲａｙコンソーシアム（www.flexray.com）によって、以下のように定義されている。
【００１８】
【表１】
2009514726.tif 000003
【００１９】
システム構成要素間で転送されるデータを含むＦｌｅｘＲａｙパケットのペイロードは、データが送信される構成要素の共有秘密鍵又は共通鍵を用いて暗号化される。
【００２０】
私有鍵暗号化方式を使用するアクティブサスペンションシステムにおいて、構成要素のそれぞれ（例えば、制御部及びアクチュエータ）は、データの暗号化及び復号に同一の秘密鍵を使用する。ＤＥＳ（Data Encryption Standard）などの私有鍵暗号化方式は、大量生産型アクティブサスペンションシステムで使用される（複数の）秘密鍵を管理するためのシステムを必要とする。
【００２１】
鍵の管理は、さまざまな方法で行なうことができる。例えば、アクティブサスペンションシステムのサプライヤは、自身が製造する全ての構成要素に対して、ただ１つの秘密鍵を使用してもよい。しかしながら、この共有された秘密鍵が漏れた場合、そのサプライヤによって製造された全てのサスペンションシステムの完全性が危険にさらされる。
【００２２】
秘密鍵が漏れることによる被害を低減するために、サプライヤは、異なる自動車製造業者に供給するアクティブサスペンションシステムの構成要素に対して異なる秘密鍵を使用する（例えば、１つの鍵はゼネラルモータースの車両に対して、かつもう１つの鍵はフォードの車両に対してなど）か、又は、異なる型式（例えば、１つの鍵はゼネラルモータースのＣｈｅｖｒｏｌｅｔの車両に対して、かつもう１つの鍵はゼネラルモータースのＣａｄｉｌｌａｃの車両に対してなど）、異なるモデル（例えば、１つの鍵はＣａｄｉｌｌａｃ  ＳＴＳの車両に対して、かつもう１つの鍵はＣａｄｉｌｌａｃ  Ｅｓｃａｌａｄｅの車両に対してなど）、若しくは特定の個別の車両に対して供給されるアクティブサスペンションシステムの構成要素に対して異なる鍵を使用してもよい。また、サプライヤは、アクティブサスペンションシステムに組み込まれる秘密鍵を定期的に変更してもよい。例えば、サプライヤは、１年目には１つ目の秘密鍵を使用し、ついで、２年目には２つ目の秘密鍵に切り替えてよい。又は、サプライヤは、一定数のユニットを製造した後に、秘密鍵を変更してもよい（例えば、サプライヤによって製造されたアクティブサスペンションシステムの最初の１，０００個の構成要素は、１つ目の秘密鍵を使用し、次の１，０００個のアクティブサスペンションシステムの構成要素は、２つ目の秘密鍵を使用し、と以下続いていく）。
【００２３】
サプライヤが故障した又は欠陥のある構成要素を交換するために、サプライヤは、自身が販売したアクティブサスペンション構成要素に使用されている秘密鍵を追跡するセキュアなデータベースを好適に保守する。例えば、サプライヤが１，０００個のアクティブサスペンションシステムを製造する毎に秘密鍵を変更していた場合、サプライヤは、私有鍵を製造番号の範囲にマッチするデータベースを保持する。構成要素が壊れるか又は欠陥が見つかった場合、サプライヤは、データベースを使用して、特定のアクティブサスペンションシステムに使用された鍵を得るとともに、新しい構成要素（例えば、新しいアクチュエータ）を適切な秘密鍵と共に供給する。
【００２４】
いくつかの実装形態において、アクティブサスペンションシステムのサプライヤは、共通鍵暗号化方式を使用してよい。共通鍵方式において、データが送信される構成要素に関連する「共通鍵（public key）」は、データを送信する構成要素によってデータを暗号化するために使用され、同時に、受信する構成要素に関連する共通鍵は、メッセージを復号するために要求される。共通鍵暗号化方式を使用するシステムは私有（又は秘密）鍵の使用がなお要求されるので、鍵管理方式は、サプライヤによって販売された構成要素に使用された私有鍵を管理及び追跡することが要求される。
【００２５】
いくつかの実装形態において、アクティブサスペンションシステムは、集中型制御方式ではなく、分散型制御方式を使用してよい。このようなシステムでは、システムの構成要素間での通信は暗号化される。例えば、図３に示されたように、車両アクティブサスペンションシステム５０は、車輪５４ａ〜５４ｄをそれぞれ制御する４つのアクチュエータ５２ａ〜５２ｄを具備する。集中型制御部ではなく、４つのローカル制御部５６ａ〜５６ｄが、ネットワーク６０を介して４つのセンサ５８ａ〜５８ｄのそれぞれから動作情報を受信するとともに、それらの各モータ６２ａ〜６２ｄを制御して、車体の相対レベルを維持する。各アクチュエータは、システム５０の構成要素間のセキュアな通信のための暗号化及び復号モジュール６６ａ〜６６ｄ，６８ａ〜６８ｄを具備するデータインタフェース６４ａ〜６４ｄを有する。
【００２６】
以上、本発明の多くの実施形態が記載された。とはいえ、本発明の精神及び範囲から逸脱することなくさまざまな修正が加えられることは言うまでもない。例えば、セキュアな双方向通信が図２及び図３に示されているが、いくつかの実装形態は、セキュアな一方向通信（例えば、制御部からアクチュエータへはセキュアな通信だが、アクチュエータから制御部へはセキュアではない通信）であってよい。同様に、いくつかの実装形態は、あるタイプの通信のみセキュア（例えば、制御命令のみが暗号化され、センサデータなどのその他のデータは暗号化されない）であってよい。従って、その他の実施形態は、添付された特許請求の範囲内にある。
【図面の簡単な説明】
【００２７】
【図１】アクティブサスペンションシステムを具備した車両の上面ブロック図である。
【図２】アクティブサスペンションシステムを具備した車両の上面ブロック図である。
【図３】アクティブサスペンションシステムを具備した車両の上面ブロック図である。
【符号の説明】
【００２８】
２０  アクティブサスペンションシステム
２１  車両
２２  制御部
２４ａ，２４ｂ，２４ｃ，２４ｄ  アクチュエータ
２６  ネットワーク
３０ａ，３０ｂ，３０ｃ，３０ｄ，３０ｅ  データインタフェース
３２ａ，３２ｂ，３２ｃ，３２ｄ，３２ｅ  暗号化モジュール
３４ａ，３４ｂ，３４ｃ，３４ｄ，３４ｅ  復号モジュール
３６ａ，３６ｂ，３６ｃ，３６ｄ  ローカル制御部
３８ａ，３８ｂ，３８ｃ，３８ｄ  モータ
３９ａ，３９ｂ，３９ｃ，３９ｄ  車輪
４０ａ，４０ｂ，４０ｃ，４０ｄ  加速度センサ
【図１】
2009514726.tif 000004
【図２】
2009514726.tif 000005
【図３】
2009514726.tif 000006
【国際調査報告】
2009514726.tif 000007
2009514726.tif 000008
2009514726.tif 000009