(57)【要約】【課題】外部からの車両ネットワークへの影響を確実に検出することが可能な車両用制御装置を提供する。【解決手段】予め記憶されたプログラムを行うコントロールユニットＣＵがネットワーク通信路１０に接続されて車両ネットワークが構成され、外部との通信を可能とする外部通信ユニット１４がネットワーク通信路１０と断続可能な場合に、監視ユニット１８は、外部通信ユニット１４がネットワーク通信路１０から切断されている状態でコントロールユニットＣＵの状態を判定する。その際、監視ユニット１８は、コントロールユニットＣＵ内のプログラムをデフォルトプログラムと比較し、両者が一致する場合に正常状態、不一致の場合に改変状態であると判定する。改変状態のコントロールユニットＣＵに対しては、プログラムをデフォルトプログラムで上書き処理して復帰を図る。【選択図】図２
2018151942.tif 000002
【特許請求の範囲】
【請求項１】
予め記憶されたプログラムに従って演算処理を行うことで車両に搭載された作動部の作動状態を個々に制御可能なコントロールユニットがネットワーク通信路に接続されて車両ネットワークが構成される車両用制御装置において、
前記ネットワーク通信路と断続可能で、車両と外部との通信を可能とする外部通信ユニットと、
前記外部通信ユニットが前記ネットワーク通信路から切断されている状態で前記コントロールユニットの状態を判定する監視ユニットとを備えたことを特徴とする車両用制御装置。
【請求項２】
前記監視ユニットは、
前記コントロールユニットに予め記憶されたプログラムをデフォルトプログラムとして記憶すると共に、
前記外部通信ユニットが前記ネットワーク通信路から切断されている状態で前記コントロールユニットに記憶されているプログラムを該当するデフォルトプログラムと比較して両者が一致する場合には当該コントロールユニットは正常状態であり且つ両者が不一致の場合には当該コントロールユニットは改変された状態であると判定することを特徴とする請求項１に記載の車両用制御装置。
【請求項３】
前記監視ユニットは、前記改変された状態であると判定されたコントロールユニットに記憶されているプログラムがデフォルトプログラムから改変されている場合に当該プログラムを該当するデフォルトプログラムで上書き処理することを特徴とする請求項１又は２に記載の車両用制御装置。
【請求項４】
前記監視ユニットは、
前記デフォルトプログラムの上書き処理が完遂されたか否かを判定し、
前記デフォルトプラグラムの上書き処理が未完遂である場合に当該改変された状態であると判定されたコントロールユニットを前記ネットワーク通信路から切断することを特徴とする請求項３に記載の車両用制御装置。
【請求項５】
前記監視ユニットは、前記改変された状態であると判定されたコントロールユニットを前記ネットワーク通信路から切断する場合に、当該切断されるコントロールユニットのデフォルトプログラムを実行することで当該切断されるコントロールユニットを代行することを特徴とする請求項４に記載の車両用制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両用制御装置、特に、複数のコントロールユニットがネットワーク通信路で接続された車両用制御装置に関する。
【背景技術】
【０００２】
近年、車両における種々の挙動や状態の電子制御化が進み、それらを制御するためのコントロールユニット（ＥＣＵ：Electronic Control Unit）が複数搭載されるようになっている。これらのコントロールユニットは、一般的に、予め記憶されたプログラムに従って演算処理を行うことで、車両に搭載された作動部（出力部）の作動状態を制御し、これにより個々に車両挙動や車両状態を制御することができるように構成されている。これらのコントロールユニットでは、必要とする情報が共通することも多い。必然的に、複数のコントロールユニットをネットワーク通信路で接続し、情報を授受したり共有したりする車両ネットワークが構成される。こうした車両ネットワークは、例えばＣＡＮ（Controller Area Network）と呼ばれる。
【０００３】
このようにネットワーク通信路に複数のコントロールユニットが接続された車両用制御装置としては、例えば下記特許文献１に記載されるものがある。この車両用制御装置では、ネットワーク通信路に接続された複数のコントロールユニットのうち、何れかのコントロールユニットの記憶情報、例えばプログラムを書き換える際には、他のコントロールユニットは通信を停止すると共に、書き換えを行う書き換えコントロールユニットは通信モードを高速通信モードに切り換え、これにより大量のデータの通信が短時間に行えるようにしている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００５−３３７０１７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
従来、車両ネットワークは、メンテナンス時の専用ツールによるアクセスなどの特別な場合を除き、外部から独立することで、システムとしての確実性を担保してきた。しかし昨今、車両に対するコネクティビティ要望の高まりや、緊急自動通報システム法規化の動きなどにより、車両ネットワークが外部と接続されるシステムが登場している。このように車両ネットワークが外部と接続されると、車両ネットワークに対して新たにアクセスポイントが生まれることになり、その結果、外部からの影響が車両ネットワークに及ぶ可能性が生じる。この対策として、例えば外部通信ユニットが接続されているネットワーク通信路に監視ユニットを常時接続し、その監視ユニットによって車両ネットワークへの影響を監視する方法がある。しかしながら、この方法では、監視ユニット自体にも外部からの影響が及ぶ可能性があり、その場合には車両ネットワークへの影響を確実に検出することができない可能性があることから、システムとして必ずしも頑健であるとはいえない。
【０００６】
本発明は、上記課題に鑑みてなされたものであり、その目的は、外部からの車両ネットワークへの影響を確実に検出することが可能な車両用制御装置を提供することにある。
【課題を解決するための手段】
【０００７】
上記目的を達成するため請求項１に記載の車両用制御装置は、予め記憶されたプログラムに従って演算処理を行うことで車両に搭載された作動部の作動状態を個々に制御可能なコントロールユニットがネットワーク通信路に接続されて車両ネットワークが構成される車両用制御装置において、前記ネットワーク通信路と断続可能で、車両と外部との通信を可能とする外部通信ユニットと、前記外部通信ユニットが前記ネットワーク通信路から切断されている状態で前記コントロールユニットの状態を判定する監視ユニットとを備えたことを特徴とする。
【０００８】
この構成によれば、外部通信ユニットがネットワーク通信路から切断されている状態で監視ユニットがコントロールユニットの状態を判定することができる。即ち、監視ユニットはコントロールユニットの監視を外部から遮断された独立した状態で行うことができる。従って、外部通信ユニットを通じた外部通信によって監視ユニットが影響を受けることを防止することができる。そのため、外部からの影響を受けない監視ユニットによって、外部からの車両ネットワークへの影響を確実に検出することが可能となる。
【０００９】
請求項２に記載の車両用制御装置は、請求項１に記載の車両用制御装置において、前記監視ユニットは、前記コントロールユニットに予め記憶されたプログラムをデフォルトプログラムとして記憶すると共に、前記外部通信ユニットが前記ネットワーク通信路から切断されている状態で前記コントロールユニットに記憶されているプログラムを該当するデフォルトプログラムと比較して両者が一致する場合には当該コントロールユニットは正常状態であり且つ両者が不一致の場合には当該コントロールユニットは改変された状態であると判定することを特徴とする。
【００１０】
この構成によれば、コントロールユニットに記憶されているプログラムを該当するデフォルトプログラムと比較することによって、そのコントロールユニットの正常状態にあるか、改変された状態にあるかを判定する構成としたため、コントロールユニットにおける演算結果や出力を評価する場合に比して、コントロールユニットの状態を迅速に判定することができる。従って、外部からの車両ネットワークへの影響を確実に検出することが可能となる。
【００１１】
請求項３に記載の車両用制御装置は、請求項１又は２に記載の車両用制御装置において、前記監視ユニットは、前記改変状態であると判定されたコントロールユニットに記憶されているプログラムがデフォルトプログラムから改変されている場合に当該プログラムを該当するデフォルトプログラムで上書き処理することを特徴とする。
【００１２】
この構成によれば、改変されているプログラムを該当するデフォルトプログラムで上書き処理することができれば、外部からの車両ネットワークへの影響を排除することができると共に、車両ネットワークを正常状態に復帰することが可能となる。
【００１３】
請求項４に記載の車両用制御装置は、請求項３に記載の車両用制御装置において、前記監視ユニットは、前記デフォルトプログラムの上書き処理が完遂されたか否かを判定し、前記デフォルトプラグラムの上書き処理が未完遂である場合に当該改変された状態であると判定されたコントロールユニットを前記ネットワーク通信路から切断することを特徴とする。
【００１４】
この構成によれば、改変されているプログラムを該当するデフォルトプログラムで上書き処理することができない場合であっても、その改変された状態のコントロールユニットをネットワーク通信路から切断することにより、外部からの車両ネットワークへの影響を排除することができる。
【００１５】
請求項５に記載の車両用制御装置は、請求項４に記載の車両用制御装置において、前記監視ユニットは、前記改変された状態であると判定されたコントロールユニットを前記ネットワーク通信路から切断する場合に、当該切断されるコントロールユニットのデフォルトプログラムを実行することで当該切断されるコントロールユニットを代行することを特徴とする。
【００１６】
この構成によれば、改変されているプログラムを該当するデフォルトプログラムで上書き処理することができない場合であっても、その改変された状態のコントロールユニットをネットワーク通信路から切断することにより、外部からの車両ネットワークへの影響を排除することができると共に、監視ユニットが改変されたコントロールユニットを代行することにより、車両ネットワークを正常状態に復帰することが可能となる。
【発明の効果】
【００１７】
以上説明したように、本発明によれば、外部通信ユニットを通じた外部との通信によって影響を受けることがない状態を確保しつつ、監視ユニットによってコントロールユニットの状態の判定を行うことにより、コントロールユニットの状態を確実に判定することができ、これにより外部からの車両ネットワークへの影響を確実に検出することができる。そして、その結果、外部からの車両ネットワークへの影響を排除したり、車両ネットワークを正常状態に復帰したりすることが可能となる。
【図面の簡単な説明】
【００１８】
【図１】本発明の車両用制御装置が適用された車両ネットワークの一実施の形態の概略構成を示すシステム構成図である。
【図２】図１の車両ネットワークに設けられた監視ユニットの概略構成を示すブロック図である。
【図３】図２の監視ユニットで行われる演算処理を示すフローチャートである。
【図４】図２の監視ユニットで行われる演算処理を示すフローチャートである。
【図５】図２の監視ユニットで行われる演算処理を示すフローチャートである。
【図６】図２の監視ユニットで行われる演算処理を示すフローチャートである。
【発明を実施するための形態】
【００１９】
以下に、本発明の車両用制御装置の一実施の形態について図面を参照して詳細に説明する。図１は、この実施の形態の車両用制御装置が適用された車両ネットワークの概略構成を示すシステム構成図である。この車両ネットワークを搭載する車両は、例えばステーションワゴン型やＳＵＶ（Sport Utility Vehicle）型の乗用車両であり、車両の駆動は、例えばエンジン単独で又はエンジンとモータを併用して行う。また、一般的な乗用車両と同様に、駆動力を伝達する駆動力伝達装置、車輪を介して車両を制動する制動装置、車両を操舵するための操舵装置、車両の走行速度を制御するための走行速度制御装置などの装置や機構を備える。
【００２０】
この車両には、車両における種々の挙動や状態を電子制御するためのコントロールユニットＣＵが複数搭載されている。これらのコントロールユニットＣＵは、予め記憶されたプログラムに従って演算処理を行うことで、車両挙動や車両状態を個々に制御することができるように構成されている。そのため、個々のコントロールユニットＣＵは、例えばマイクロコンピュータのような高度な演算処理装置を備えると共に、信号を入出力するための入出力インタフェースや、プログラムや情報を記憶するための記憶装置などを備えて構成される。
【００２１】
こうしたコントロールユニットＣＵとしては、例えばエンジンの運転状態を制御するエンジンコントロールユニット、モータを駆動源として搭載している場合にそのモータの運転状態を制御するパワーコントロールユニット、変速機による変速状態を制御するトランスミッションコントロールユニット、車輪への制動力そのもの又は車輪への制動力を介して車両の挙動を制御するＡＢＳやＶＤＣ（Vehicle Dynamics Control）といった制動コントロールユニット、車輪への駆動力配分を制御するトラクションコントロールユニット、エンジンの運転状態や変速機の変速状態を総合制御することで車両の走行速度を制御する走行速度コントロールユニット、車室内の空調を制御する空調コントロールユニットなどが挙げられる。勿論、これら以外のコントロールユニットを適用することも可能である。この実施の形態では、これらのコントロールユニットを例えば第１コントロールユニットＣＵ１〜第ｎコントロールユニットＣＵｎとしてジェネリックに表す。
【００２２】
これらのコントロールユニットＣＵで車両挙動や車両状態を制御するためには、種々の情報が必要であり、これらの情報を取得するために、車両には各種センサ類や認識装置が搭載されている。認識装置には、例えば車両前方の画像から車両前方の状態を検出する前方認識装置などが含まれる。この実施の形態では、これらのセンサ類や認識装置を例えば第１検出部ＳＲ１〜第ｐ検出部ＳＲｐとしてジェネリックに表す。また、これらのコントロールユニットＣＵで車両挙動や車両状態を制御するためには、制御指令に応じた出力を具現化する必要があり、そのため、車両にはアクチュエータやリレー、ポンプなどの作動部（出力部）ＡＣＴが搭載されている。この実施の形態では、これらのアクチュエータやリレー、ポンプなどの作動部を例えば第１作動部ＡＣＴ１〜第ｑ作動部ＡＣＴｑとしてジェネリックに表す。これらの検出部ＳＲ及び作動部ＡＣＴは、後述するネットワーク通信路１０に直接的に接続されている。なお、作動部ＡＣＴには、例えばディスプレイなどの表示装置や音響装置も含んでよい。
【００２３】
この実施の形態では、前述したコントロールユニットＣＵは、共通するネットワーク通信路１０に接続可能に構成されている。各コントロールユニットＣＵとネットワーク通信路１０の間には、コントロールユニット断続装置１２が介装され、このコントロールユニット断続装置１２によって、各コントロールユニットＣＵをネットワーク通信路１０に接続したり、ネットワーク通信路１０から切断したりすることができるように構成されている。このコントロールユニット断続装置１２は、例えばネットワーク通信路１０から切断されているコントロールユニットＣＵに対して容易にアクセスできないものであることが望まれる。こうしたコントロールユニット断続装置１２としては、例えば光通信（Ｌｉ−ｆｉ）、サーキットブレーカ、レーザ通信などを用いたものが挙げられる。この実施の形態では、複数のコントロールユニットＣＵがコントロールユニット断続装置１２を介してネットワーク通信路１０に接続されることで車両ネットワークが構築される。
【００２４】
この実施の形態では、前述したネットワーク通信路１０に、車両外部との通信を可能とする外部通信ユニット１４も接続可能に構成されている。この外部通信ユニット１４は、例えばスマートフォンやナビゲーションシステムによるＷｉ−Ｆｉを介した無線通信により車両外部と車両ネットワークを通信可能とする。この実施の形態の外部通信ユニット１４は、無線通信を想定しているが、前述したメンテナンス専用ツールのような有線・結線による外部通信装置であってもよい。この外部通信ユニット１４も、外部通信ユニット断続装置１６によってネットワーク通信路１０に接続したり、ネットワーク通信路１０から切断したりすることができるように構成されている。この外部通信ユニット断続装置１６には、前述したコントロールユニット断続装置１２と同様のものが使用可能である。
【００２５】
更に、この実施の形態では、前述のネットワーク通信路１０に、車両ネットワークを監視する監視ユニット１８も接続可能に構成されている。この監視ユニット１８は、コントロールユニットＣＵと同様に、例えばマイクロコンピュータのような高度な演算処理装置を備えると共に、信号を入出力するための入出力インタフェースや、プログラムや情報を記憶するための記憶装置などを備えて構成される。この監視ユニット１８は、後述する演算処理を行うことで、車両ネットワーク、特にコントロールユニットＣＵに対する外部からの影響を検出し、影響を受けたコントロールユニットＣＵに対し、そのコントロールユニットＣＵを正常に復帰したり、復帰できない場合にはコントロールユニットＣＵを車両ネットワークから排除したりする処理を行う。
【００２６】
この監視ユニット１８も、監視ユニット断続装置２０によってネットワーク通信路１０に接続したり、ネットワーク通信路１０から切断したりすることができるように構成されている。この監視ユニット断続装置２０には、前述したコントロールユニット断続装置１２と同様のものが使用可能である。なお、この実施の形態では、後述するように、監視ユニット１８は、ネットワーク通信路１０を通じて各コントロールユニットＣＵの状態を判定するが、例えば監視ユニット１８が各コントロールユニットＣＵと直接的に接続して判定を行うようにすることも可能である。但し、その場合であっても、この実施の形態では、監視ユニット１８がコントロールユニットＣＵを代行する場合があるので、監視ユニット１８をネットワーク通信路１０に断続するための装置は必要である。また、この監視ユニット１８には、例えば運転席近傍に設けられたディスプレイ２２が接続されている。このディスプレイ２２は、例えば前述した作動部ＡＣＴの１つであってもよいが、前述のように、この実施の形態では、作動部ＡＣＴを限定しないでジェネリックに表しているので、監視ユニット１８に接続されたディスプレイ２２として表示している。
【００２７】
図２は、前述した監視ユニット１８の概略構成を示すブロック図である。この監視ユニット１８は、各コントロールユニットＣＵに予め記憶されたプログラムをデフォルトプログラムとして記憶するデフォルトプログラム格納部３２と、図示しない個別の演算処理によって、外部通信ユニット断続装置１６による外部通信ユニット１４とネットワーク通信路１０との断続状態を制御する外部通信ユニット断続制御部３４と、図示しない個別の演算処理によって、監視ユニット断続装置２０による監視ユニット１８自体とネットワーク通信路１０との断続状態を制御する監視ユニット断続制御部３６とを備える。
【００２８】
更に、この監視ユニット１８は、外部通信ユニット１４による外部通信状態を検出する外部通信状態検出部３８と、各コントロールユニットＣＵの状態を判定するコントロールユニット状態判定部４０と、コントロールユニットＣＵに記憶されているプログラムが外部との通信によって改変されている場合に、その改変されたプログラムを該当するデフォルトプログラムで上書き処理する改変プログラム上書き処理部４２と、改変されたプログラムに対する上書き処理が完遂されたか否かを判定する上書き処理状態判定部４４と、改変されたプログラムに対する上書き処理が未完遂であった場合に、その改変されたコントロールユニットＣＵをネットワーク通信路１０から切断する改変コントロールユニット排除部４６と、切断されるコントロールユニットＣＵのデフォルトプログラムを読込んでインストールすることにより、その切断されるコントロールユニットＣＵを代行する改変コントロールユニット代行部４８と、各コントロールユニットＣＵの状態をディスプレイ２２に向けて出力するコントロールユニット状態出力部５０とを備える。なお、これらは、後述する演算処理によって構築されるものである。
【００２９】
次に、図２の外部通信状態検出部からコントロールユニット状態出力部までを構成する演算処理について、図３〜図６のフローチャートを用いて説明する。なお、この実施の形態では、後述するように、外部通信が完了するたびに、監視ユニット１８が各コントロールユニットの状態を判定するが、監視ユニット１８によるコントロールユニットＣＵの状態判定には、例えば以下のようなタイミングの例が挙げられる。このタイミングの例とは、例えば、所定時間ごとに監視ユニット１８がコントロールユニットＣＵの状態を判定するとか、運転者によってコントロールユニットＣＵの状態判定入力があった場合とか、外部からコントロールユニットＣＵの状態判定リクエストがあった場合や、前方認識装置による車両前方認識内容と車両ネットワークが共有する情報とが不一致であった場合などである。
【００３０】
このうち、図３の演算処理は、例えば予め設定されたサンプリング周期で実行され、まずステップＳ１で、第１フラグＦ１が０のリセット状態であるか否かを判定し、第１フラグＦ１がリセット状態である場合にはステップＳ２に移行し、そうでない場合には復帰する。
【００３１】
ステップＳ２では、監視ユニット１８自身をネットワーク通信路１０から切断する。この実施の形態では、監視ユニット１８のネットワーク通信路１０からの切断は、監視ユニット断続装置２０を切断操作することにより行う。
【００３２】
次にステップＳ３に移行して、車両ネットワークが外部通信状態か否かを判定し、外部通信状態である場合にはステップＳ４に移行し、そうでない場合には待機する。車両ネットワークが外部通信状態であることは、例えば外部通信ユニット１４のアンテナ電源がオンであることで判定できる。
【００３３】
ステップＳ４では、車両ネットワークが外部通信を完了したか否かを判定し、外部通信完了である場合にはステップＳ５に移行し、そうでない場合には待機する。車両ネットワークが外部通信完了であることは、例えば外部通信ユニット１４のアンテナ電源がオフになったことで判定できる。
【００３４】
ステップＳ５では、車両ネットワークが外部通信できない状態とする、外部通信不能処理を行う。この実施の形態では、外部通信不能処理は、外部通信ユニット断続装置１６を切断操作することにより行う。
【００３５】
次にステップＳ６に移行して、監視ユニット１８自身をネットワーク通信路１０に接続する。この実施の形態では、監視ユニット１８のネットワーク通信路１０への接続は、監視ユニット断続装置２０を接続操作することにより行う。
【００３６】
次にステップＳ７に移行して、第１フラグＦ１を１のセット状態としてから復帰する。
【００３７】
また、図４の演算処理は、例えば予め設定されたサンプリング周期で実行され、まずステップＳ１１で、第１フラグＦ１が１のセット状態であるか否かを判定し、第１フラグＦ１がセット状態である場合にはステップＳ１２に移行し、そうでない場合には復帰する。
【００３８】
ステップＳ１２では、コントロールユニット番号ｎを初期値１に設定する。
【００３９】
次にステップＳ１３に移行して、第ｎコントロールユニットＣＵｎをネットワーク通信路１０に接続する。この第ｎコントロールユニットＣＵｎのネットワーク通信路１０への接続は、第ｎコントロールユニットＣＵｎ用のコントロールユニット断続装置１２を接続操作することで行う。
【００４０】
次にステップＳ１４に移行して、ネットワーク通信路１０に接続された第ｎコントロールユニットＣＵｎ内のプログラムを読込む。
【００４１】
次にステップＳ１５に移行して、デフォルトプログラム格納部３２に記憶されている第ｎコントロールユニットＣＵｎのデフォルトプログラムを読込む。
【００４２】
次にステップＳ１６に移行して、図示しない個別の演算処理によって、読込まれた第ｎコントロールユニットＣＵｎのプログラムと該当するデフォルトプログラムの比較を行う。
【００４３】
次にステップＳ１７に移行して、読込まれた第ｎコントロールユニットＣＵｎのプログラムと該当するデフォルトプログラムが一致するか否かの判定を行い、両者が一致する場合にはステップＳ１８に移行し、そうでない場合にはステップＳ１９に移行する。
【００４４】
ステップＳ１８では、第ｎコントロールユニット改変フラグＦＦｎを０のリセット状態としてからステップＳ２０に移行する。
【００４５】
一方、ステップＳ１９では、第ｎコントロールユニット改変フラグＦＦｎを１のセット状態としてからステップＳ２０に移行する。この第ｎコントロールユニット改変フラグＦＦｎは、１のセット状態で、第ｎコントロールユニットＣＵｎが改変された状態であることを意味する。
【００４６】
ステップＳ２０では、コントロールユニット番号ｎが最終コントロールユニット番号と同じであるか否かを判定し、コントロールユニット番号ｎが最終コントロールユニット番号と同じである場合にはステップＳ２１に移行し、そうでない場合にはステップＳ２２に移行する。
【００４７】
ステップＳ２２では、コントロールユニット番号ｎをインクリメントしてからステップＳ１３に移行する。
【００４８】
ステップＳ２１では、全ての第ｎコントロールユニット改変フラグＦＦｎが０のリセット状態であるか否かを判定し、全ての第ｎコントロールユニット改変フラグＦＦｎがリセット状態である場合にはステップＳ２３に移行し、そうでない場合にはステップＳ２５に移行する。
【００４９】
ステップＳ２３では、第１フラグＦ１を０のリセット状態としてからステップＳ２４に移行する。
【００５０】
ステップＳ２４では、図示しない演算処理に従って、車両ネットワークが外部通信できる状態とする、外部通信可能処理を行ってから復帰する。この実施の形態では、外部通信可能処理の一部として、外部通信ユニット断続装置１６の接続操作を行う。
【００５１】
一方、ステップＳ２５では、第２フラグＦ２を１のセット状態としてから復帰する。
【００５２】
また、図５の演算処理は、例えば予め設定されたサンプリング周期で実行され、まずステップＳ３１で、第２フラグＦ２が１のセット状態であるか否かを判定し、第２フラグＦ２がセット状態である場合にはステップＳ３２に移行し、そうでない場合には復帰する。
【００５３】
ステップＳ３２では、コントロールユニット番号ｎを初期値１に設定する。
【００５４】
次にステップＳ３３に移行して、第ｎコントロールユニット改変フラグＦＦｎが１のセット状態であるか否かを判定し、第ｎコントロールユニット改変フラグＦＦｎがセット状態である場合にはステップＳ３４に移行し、そうでない場合にはステップＳ３７に移行する。
【００５５】
ステップＳ３４では、図示しない個別の演算処理によって、第ｎコントロールユニットＣＵｎに対して、記憶されているプログラムを該当するデフォルトプログラムで上書き処理してからステップＳ３５に移行する。
【００５６】
ステップＳ３５では、第ｎコントロールユニットＣＵｎのプログラムをデフォルト状態に上書き処理できたか否かを判定し、第ｎコントロールユニットＣＵｎのプログラムをデフォルト状態に上書き処理できた場合にはステップＳ３６に移行し、そうでない場合にはステップＳ３７に移行する。
【００５７】
ステップＳ３６では、第ｎコントロールユニット改変フラグＦＦｎを０にリセットしてからステップＳ３７に移行する。
【００５８】
ステップＳ３７では、コントロールユニット番号ｎが最終コントロールユニット番号と同じであるか否かを判定し、コントロールユニット番号ｎが最終コントロールユニット番号と同じである場合にはステップＳ３８に移行し、そうでない場合にはステップＳ３９に移行する。
【００５９】
ステップＳ３９では、コントロールユニット番号ｎをインクリメントしてからステップＳ３３に移行する。
【００６０】
ステップＳ３８では、全ての第ｎコントロールユニット改変フラグＦＦｎが０のリセット状態であるか否かを判定し、全ての第ｎコントロールユニット改変フラグＦＦｎがリセット状態である場合にはステップＳ４０に移行し、そうでない場合にはステップＳ４２に移行する。
【００６１】
ステップＳ４０では、第１フラグＦ１及び第２フラグＦ２を共に０のリセット状態としてからステップＳ４１に移行する。
【００６２】
ステップＳ４１では、図示しない演算処理に従って、車両ネットワークが外部通信できる状態とする、外部通信可能処理を行ってから復帰する。この実施の形態では、外部通信可能処理の一部として、外部通信ユニット断続装置１６の接続操作を行う。
【００６３】
一方、ステップＳ４２では、第３フラグＦ３を１のセット状態としてから復帰する。
【００６４】
また、図６の演算処理は、例えば予め設定されたサンプリング周期で実行され、まずステップＳ５１で、第３フラグＦ３が１のセット状態であるか否かを判定し、第３フラグＦ３がセット状態である場合にはステップＳ５２に移行し、そうでない場合には復帰する。
【００６５】
ステップＳ５２では、コントロールユニット番号ｎを初期値１に設定する。
【００６６】
次にステップＳ５３に移行して、第ｎコントロールユニット改変フラグＦＦｎが１のセット状態であるか否かを判定し、第ｎコントロールユニット改変フラグＦＦｎがセット状態である場合にはステップＳ５４に移行し、そうでない場合にはステップＳ５６に移行する。
【００６７】
ステップＳ５４では、第ｎコントロールユニットＣＵｎの情報を共有しないコマンドをネットワーク通信路１０に書込みしてからステップＳ５５に移行する。
【００６８】
ステップＳ５５では、図示しない個別の演算処理に従って、第ｎコントロールユニットＣＵｎ用のコントロールユニット断続装置１２に対して切断指令を出力してからステップＳ５６に移行する。
【００６９】
ステップＳ５６では、コントロールユニット番号ｎが最終コントロールユニット番号と同じであるか否かを判定し、コントロールユニット番号ｎが最終コントロールユニット番号と同じである場合にはステップＳ５７に移行し、そうでない場合にはステップＳ５８に移行する。
【００７０】
ステップＳ５８では、コントロールユニット番号ｎをインクリメントしてからステップＳ５３に移行する。
【００７１】
ステップＳ５７では、図示しない個別の演算処理に従って、切断されたコントロールユニットＣＵ、つまり改変されたコントロールユニットＣＵの代行を監視ユニット１８自身で行うことが可能か否かを判定し、切断された改変コントロールユニットＣＵの代行が可能な場合にはステップＳ５９に移行し、そうでない場合にはステップＳ６２に移行する。
【００７２】
ステップＳ５９では、図示しない個別の演算処理によって、切断されたコントロールユニットＣＵ、つまり改変されたコントロールユニットＣＵのデフォルトプログラムをデフォルトプログラム格納部３２から読込み、自身にインストールしてからステップＳ６０に移行する。
【００７３】
ステップＳ６０では、図示しない個別の演算処理に従って、切断されたコントロールユニットＣＵ、つまり改変されたコントロールユニットＣＵの代行制御を開始してからステップＳ６１に移行する。
【００７４】
ステップＳ６１では、ステップＳ６０における改変されたコントロールユニットＣＵの代行制御が可能か否かを判定し、改変されたコントロールユニットＣＵの代行制御が可能な場合にはステップＳ６３に移行し、そうでない場合にはステップＳ６２に移行する。
【００７５】
ステップＳ６２では、第４フラグＦ４を１のセット状態としてからステップＳ６３に移行する。
【００７６】
ステップＳ６３では、現在の各コントロールユニットＣＵの状態をディスプレイ２２に表示出力してから復帰する。
【００７７】
これらの演算処理では、第１フラグＦ１がリセットされている状態は、車両ネットワークの常態であり、外部通信ユニット１４による車両ネットワークの外部通信が可能である。その状態では、監視ユニット１８はネットワーク通信路１０から切断されており、外部通信ユニット１４を通じた外部との通信で監視ユニット１８が改変されることはない。この車両ネットワークの常態から外部通信が完了すると、例えば外部通信ユニット１４が切断されることで車両ネットワークは外部通信が不能となる。その状態で、監視ユニット１８がネットワーク通信路１０に接続され、第１フラグＦ１がセットされる。
【００７８】
第１フラグＦ１がセットされると、コントロールユニットＣＵが第１コントロールユニットＣＵ１から順番にネットワーク通信路１０に接続され、その状態で読込まれた各コントロールユニットＣＵのプログラムが該当するデフォルトプログラムと比較される。そして、その結果、両者が一致していれば第ｎコントロールユニット改変フラグＦＦｎはリセット状態とされ、両者が不一致であれば第ｎコントロールユニット改変フラグＦＦｎはセット状態とされる。つまり、第ｎコントロールユニット改変フラグＦＦｎがセット状態である第ｎコントロールユニットＣＵｎは、外部通信によって（プログラムが）改変された状態である。但し、全ての第ｎコントロールユニット改変フラグＦＦｎがリセット状態であれば第１フラグＦ１はリセットされ、且つ車両ネットワークは外部通信可能状態となる。一方、何れかの第ｎコントロールユニット改変フラグＦＦｎがセット状態であれば第２フラグＦ２がセットされる。
【００７９】
第２フラグＦ２がセットされると、第１コントロールユニットＣＵ１から順番に、第ｎコントロールユニット改変フラグＦＦｎがセットされている、つまり改変されたコントロールユニットＣＵのプログラムを該当するデフォルトプログラムで上書き処理する。改変されたコントロールユニットＣＵのプログラムを該当するデフォルトプログラムで上書き処理することができれば、そのコントロールユニットＣＵの第ｎコントロールユニット改変フラグＦＦｎはリセットされる。その結果、全ての第ｎコントロールユニット改変フラグＦＦｎがリセット状態であれば第１フラグＦ１及び第２フラグＦ２はリセットされ、且つ車両ネットワークは外部通信可能状態となる。一方、改変されたコントロールユニットＣＵのプログラムを該当するデフォルトプログラムで上書き処理することができなければ、そのコントロールユニットＣＵの第ｎコントロールユニット改変フラグＦＦｎはセットされたままである。その結果、何れかの第ｎコントロールユニット改変フラグＦＦｎがセット状態であれば第３フラグＦ３がセットされる。
【００８０】
第３フラグＦ３がセットされると、第１コントロールユニットＣＵ１から順番に、第ｎコントロールユニット改変フラグＦＦｎがセットされている、つまり改変されたコントロールユニットＣＵの情報を共有しないコマンドが出力されると共に、その改変されたコントロールユニットＣＵがネットワーク通信路１０、つまり車両ネットワークから切断される。更に、切断されたコントロールユニットＣＵ、つまり改変されたコントロールユニットＣＵを監視ユニット１８が代行できるかどうかの判定を行い、代行可能な場合には、その改変されたコントロールユニットＣＵ用のデフォルトプログラムを読込み、インストールして、監視ユニット１８が代行制御を開始する。その結果、切断されたコントロールユニットＣＵ、つまり改変されたコントロールユニットＣＵを監視ユニット１８で代行可能であった場合には、そのまま代行制御を継続する。一方、改変されたコントロールユニットＣＵの代行可能判定が不可能であった場合や、代行制御開始後に、実際には代行制御が不可能であった場合には、第４フラグＦ４をセットする。そして、以上の結果として、現在の各コントロールユニットＣＵの状態をディスプレイ２２に表示する。従って、第４フラグＦ４がリセット状態で第３フラグＦ３がセットされている状態は、改変されたコントロールユニットＣＵの切断と、その代行制御が可能であった場合を示し、第４フラグＦ４がセットされている状態は、改変されたコントロールユニットＣＵは切断されているが、その代行制御は不可能であった場合を示す。
【００８１】
このように、この実施の形態の車両用制御装置では、予め記憶されたプログラムに従って演算処理を行うことで車両に搭載された作動部ＡＣＴの作動状態を個々に制御可能なコントロールユニットＣＵがネットワーク通信路１０に接続されて車両ネットワークが構成され、車両と外部との通信を可能とする外部通信ユニット１４がネットワーク通信路１０と断続可能な場合に、監視ユニット１８は、外部通信ユニット１４がネットワーク通信路１０から切断されている状態でコントロールユニットＣＵの状態を判定する。これにより、外部通信ユニット１４がネットワーク通信路１０から切断されている状態、つまり監視ユニット１８は外部から遮断された独立した状態でコントロールユニットＣＵの監視を行うことができる。従って、外部通信ユニット１４を通じた外部通信によって監視ユニット１８が影響を受けることを防止することができる。そのため、外部からの影響を受けない監視ユニット１８によって、外部からの車両ネットワークへの影響を確実に検出することが可能となる。
【００８２】
また、監視ユニット１８は、コントロールユニットＣＵに予め記憶されたプログラムをデフォルトプログラムとして記憶すると共に、外部通信ユニット１４がネットワーク通信路１０から切断されている状態でコントロールユニットＣＵに記憶されているプログラムを該当するデフォルトプログラムと比較して、両者が一致する場合には当該コントロールユニットＣＵは正常状態であり且つ両者が不一致の場合には当該コントロールユニットＣＵは改変された状態であると判定する。これにより、コントロールユニットＣＵにおける演算結果や出力を評価する場合に比して、コントロールユニットＣＵの状態を迅速に判定することができる。従って、外部からの車両ネットワークへの影響を確実に検出することが可能となる。
【００８３】
また、監視ユニット１８は、改変状態であると判定されたコントロールユニットＣＵに記憶されているプログラムがデフォルトプログラムから改変されている場合に当該プログラムを該当するデフォルトプログラムで上書き処理する。これにより、改変されているプログラムを該当するデフォルトプログラムで上書き処理することができれば、外部からの車両ネットワークへの影響を排除することができると共に、車両ネットワークを正常状態に復帰することが可能となる。
【００８４】
また、監視ユニット１８は、デフォルトプログラムの上書き処理が完遂されたか否かを判定し、デフォルトプラグラムの上書き処理が未完遂である場合に当該改変された状態であると判定されたコントロールユニットＣＵをネットワーク通信路１０から切断する。これにより、改変されているプログラムを該当するデフォルトプログラムで上書き処理することができない場合であっても、その改変された状態のコントロールユニットＣＵをネットワーク通信路１０から切断することにより、外部からの車両ネットワークへの影響を排除することができる。
【００８５】
また、監視ユニット１８は、改変された状態であると判定されたコントロールユニットＣＵをネットワーク通信路１０から切断する場合に、当該切断されるコントロールユニットＣＵのデフォルトプログラムを実行することで当該切断されるコントロールユニットＣＵを代行する。これにより、改変されているプログラムを該当するデフォルトプログラムで上書き処理することができない場合であっても、その改変された状態のコントロールユニットＣＵをネットワーク通信路１０から切断することにより、外部からの車両ネットワークへの影響を排除することができると共に、監視ユニット１８が改変されたコントロールユニットＣＵを代行することにより、車両ネットワークを正常状態に復帰することが可能となる。
【００８６】
なお、上記実施の形態の車両用制御装置では、例えば車両の所有者が変更した場合に、全てのコントロールユニットＣＵのプログラムをデフォルトプログラムで上書き処理することで、それまで蓄積された情報をリセットすることもできる。
【００８７】
本発明が上記していない様々な実施の形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当とされる特許請求の範囲に記載された発明特定事項によってのみ定められるものである。
【符号の説明】
【００８８】
１０  ネットワーク通信路
１２  コントロールユニット断続装置
１４  外部通信ユニット
１６  外部通信ユニット断続装置
１８  監視ユニット
２０  監視ユニット断続装置
３２  デフォルトプログラム格納部
４０  コントロールユニット状態判定部
４２  改変プログラム上書き処理部
４６  改変コントロールユニット排除部
４８  改変コントロールユニット代行部
ＣＵ  コントロールユニット
ＳＲ  検出部
ＡＣＴ  作動部
【図１】
2018151942.tif 000003
【図２】
2018151942.tif 000004
【図３】
2018151942.tif 000005
【図４】
2018151942.tif 000006
【図５】
2018151942.tif 000007
【図６】
2018151942.tif 000008