【手続補正書】
【提出日】平成21年9月29日(2009.9.29)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
車両の実際の実挙動情報を取得する挙動情報取得手段と、
前記車両に搭載された制御対象の挙動を機能ドメイン毎に制御する機能ドメイン制御手段とは独立して設けられ、前記制御対象に対する前記機能ドメイン制御手段による挙動制御の正当性を前記車両の挙動情報に基づいて監査する監査手段と、を備え、
前記監査手段は、
前記車両に対して所定の挙動を要求する挙動要求情報を取得する挙動要求取得手段と、
前記挙動要求情報に基づいて前記車両の挙動を推定する挙動推定手段と、
前記挙動推定手段が推定する車両の推定挙動と前記実挙動とを比較し車両挙動が異常であるかを判定する挙動異常判定手段と、
を有することを特徴とする車両監査装置。
【請求項２】
安全性要求の高い前記機能ドメイン制御手段と安全性要求の低い前記機能ドメイン制御手段とが共有する共有情報を記憶している記憶手段に対し、安全性要求の低い前記機能ドメイン制御手段からの変更を制限する情報保護手段を備えることを特徴とする請求項１に記載の車両監査装置。
【請求項３】
安全性要求の高い前記機能ドメイン制御手段のうちの少なくとも一部は、安全性要求の低い前記機能ドメイン制御手段から提供される情報に基づき前記挙動制御の制御パラメータを調整することを特徴とする請求項１または２に記載の車両監査装置。
【請求項４】
前記監査手段は、複数の前記機能ドメイン制御手段から一つの前記制御対象に実施される前記挙動制御の正当性を監査することを特徴とする請求項１から３のいずれか一項に記載の車両監査装置。
【請求項５】
前記挙動推定手段は、車両の物理モデルに基づいて車両の挙動を推定することを特徴とする請求項１から４のいずれか一項に記載の車両監査装置。
【請求項６】
前記挙動推定手段は、車両挙動の異常パターンのデータベースに基づいて車両の挙動を推定することを特徴とする請求項１から４のいずれか一項に記載の車両監査装置。
【請求項７】
前記監査手段は、前記車両挙動が異常であると前記挙動異常判定手段が判定すると前記車両挙動の異常を引き起こす可能性のある箇所の前記機能ドメイン制御手段による前記挙動制御を推定する制御異常推定手段と、前記制御異常推定手段が推定した箇所の前記挙動制御を遮断する制御遮断手段と、を有することを特徴とする請求項１から６のいずれか一項に記載の車両監査装置。
【請求項８】
前記監査手段は、前記車両挙動の異常を引き起こす可能性のある前記機能ドメイン制御手段による前記挙動制御の箇所を前記制御異常推定手段よりもさらに詳細に特定する制御異常特定手段を有し、
前記制御遮断手段は、前記制御異常特定手段が特定した箇所の前記挙動制御を遮断するとともに、前記制御異常推定手段の推定結果に基づいて遮断した箇所の前記挙動制御を復帰させることを特徴とする請求項７に記載の車両監査装置。
【請求項９】
前記監査手段は、一つの前記制御対象の挙動を制御している複数の前記機能ドメイン制御手段の前記挙動制御のうちの一部が前記制御遮断手段により遮断された場合、他の前記機能ドメイン制御手段の前記挙動制御により前記制御対象の挙動を制御可能かを判定する制御可能判定手段と、他の前記機能ドメイン制御手段の前記挙動制御により前記制御対象の挙動を制御可能であると前記制御可能判定手段が判定すると、遮断された箇所の前記挙動制御を補う他の前記挙動制御の制御パラメータを算出する制御パラメータ算出手段と、を有することを特徴とする請求項７または８に記載の車両監査装置。
【請求項１０】
前記挙動情報取得手段と前記監査手段とを一組として複数組を備え、各組が互いに離れて車両に設置されることを特徴とする請求項１から９のいずれか一項に記載の車両監査装置。
【請求項１１】
前記複数組のうち少なくとも二組は、車両において冗長系を構成する異なる電源系から電力を供給され、車両において冗長系を構成する異なる通信系により通信することを特徴とする請求項１０に記載の車両監査装置。
【請求項１２】
複数の前記監査手段のそれぞれは、自身を含む複数の前記監査手段の監査結果と、前記機能ドメイン制御手段による監査結果とから、他の前記監査手段および前記機能ドメイン制御手段の異常を判定する多数決判定手段を有することを特徴とする請求項１０または１１に記載の車両監査装置。
【請求項１３】
前記監査手段は、前記車両の挙動が異常であり、前記機能ドメイン制御手段による前記挙動制御が正常である場合、前記機能ドメイン制御手段に設定された前記挙動制御の優先順位に基づいて前記挙動制御の実施を調整し、車両の挙動異常を緩和する挙動制御調整手段を有することを特徴とする請求項１から１２のいずれか一項に記載の車両監査装置。
【請求項１４】
前記機能ドメイン制御手段に電力を供給する電源とは異なる電源から電力を供給されることを特徴とする請求項１から１３のいずれか一項に記載の車両監査装置。
【請求項１５】
前記機能ドメイン制御手段が接続する信号系とは異なる信号系と接続し、少なくとも前記挙動情報の一部を前記挙動情報取得手段に供給するインタフェース手段をさらに備えることを特徴とする請求項１から１４のいずれか一項に記載の車両監査装置。
【請求項１６】
前記監査手段は、前記機能ドメイン制御手段を構成する処理装置とは異なる処理装置により構成されていることを特徴とする請求項１から１５のいずれか一項に記載の車両監査装置。
【請求項１７】
前記監査手段が前記挙動情報に基づいて車両挙動量を推定するアルゴリズムは、前記機能ドメイン制御手段が前記制御対象に対する挙動制御量を算出するアルゴリズムと異なっていることを特徴とする請求項１から１６のいずれか一項に記載の車両監査装置。
【請求項１８】
車両に搭載された制御対象の挙動を機能ドメイン毎に制御する機能ドメイン制御手段と、
請求項１から１７のいずれか一項に記載の車両監査装置と、
を備えることを特徴とする車両制御システム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００７
【補正方法】変更
【補正の内容】
【０００７】
請求項１から１８に記載の発明によると、制御対象の挙動を機能ドメイン毎に制御する機能ドメイン制御手段とは独立して設けられた監査手段が、機能ドメイン制御手段による挙動制御の正当性を車両の挙動情報に基づいて監査する。また、車両に対して所定の挙動を要求する挙動要求に基づいて車両の挙動を挙動推定手段が推定し、車両の推定挙動と実挙動とを比較し車両挙動が異常であるかを挙動異常判定手段が判定する。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００１１
【補正方法】変更
【補正の内容】
【００１１】
また、機能ドメイン制御手段による挙動制御の監査機能が機能ドメイン制御手段とは独立した監査手段に集約されるので、機能ドメイン制御手段の冗長系を複雑化することなく機能ドメイン制御手段による挙動制御の安全性を確保できる。これにより、機能ドメイン制御手段のハード量およびソフト量の増加を防止できる。
また、車両の実挙動だけでは異常と判定できない場合にも、推定挙動と比較することにより想定外の車両の挙動異常を検出できる。ここで、挙動推定手段が推定する車両挙動は、挙動要求に基づいた正常または異常な車両挙動のいずれであってもよい。どちらの車両挙動を推定しても、実挙動と比較することにより車両挙動の異常を判定できる。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００１６
【補正方法】削除
【補正の内容】
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００１７
【補正方法】削除
【補正の内容】
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】００１８
【補正方法】変更
【補正の内容】
【００１８】
請求項５に記載の発明によると、挙動推定手段は、車両に対する挙動要求に応じた車両挙動を物理モデルに基づいて推定する。これにより、挙動要求の値に関わらず挙動要求に基づいた車両挙動を同じ精度で推定できる。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】００１９
【補正方法】変更
【補正の内容】
【００１９】
請求項６に記載の発明によると、挙動推定手段は、車両に対する挙動要求に応じた車両挙動を車両挙動の異常パターンのデータベースに基づいて推定する。データベースを参照するという簡単な作業により、車両挙動を容易に推定できる。
【手続補正８】
【補正対象書類名】明細書
【補正対象項目名】００２０
【補正方法】変更
【補正の内容】
【００２０】
請求項７に記載の発明によると、車両挙動が異常であると挙動異常判定手段が判定すると、車両挙動の異常を引き起こす可能性があると制御異常推定手段が推定した箇所の挙動制御を制御遮断手段が遮断する。
【手続補正９】
【補正対象書類名】明細書
【補正対象項目名】００２２
【補正方法】変更
【補正の内容】
【００２２】
請求項８に記載の発明によると、車両挙動の異常を引き起こす可能性のある機能ドメイン制御手段による挙動制御の箇所を制御異常特定手段が制御異常推定手段よりもさらに詳細に特定する。そして、制御遮断手段は、制御異常特定手段が特定した箇所の挙動制御を遮断するとともに、制御異常推定手段の推定結果に基づいて遮断した箇所の挙動制御を復帰させる。
【手続補正１０】
【補正対象書類名】明細書
【補正対象項目名】００２４
【補正方法】変更
【補正の内容】
【００２４】
請求項９に記載の発明によると、一つの前記制御対象の挙動を制御している複数の機能ドメイン制御手段による挙動制御のうちの一部が制御遮断手段により遮断された場合、他の機能ドメイン制御手段による挙動制御により制御対象の挙動を制御可能であれば、遮断された箇所の挙動制御を補う他の挙動制御の制御パラメータを制御パラメータ算出手段が算出する。ここで、一つの制御対象とは、１個の制御対象の場合もあるし、同種の複数の制御対象の場合もある。
【手続補正１１】
【補正対象書類名】明細書
【補正対象項目名】００２５
【補正方法】変更
【補正の内容】
【００２５】
これにより、遮断されていない正常な挙動制御により極力適切なフェールセーフ処理を実施できる。
請求項１０に記載の発明によると、挙動情報取得手段と監査手段とを一組として複数組が互いに離れて車両に設置される。
【手続補正１２】
【補正対象書類名】明細書
【補正対象項目名】００２６
【補正方法】変更
【補正の内容】
【００２６】
これにより、例えば事故等により二組のうちの一方の監査機能が停止しても、正常な他方の組で監査機能を継続できる。
請求項１１に記載の発明によると、挙動情報取得手段と監査手段とを一組とする複数組のうち少なくとも二組は、車両において冗長系を構成する異なる電源系から電力を供給され、車両において冗長系を構成する異なる通信系により通信する。
【手続補正１３】
【補正対象書類名】明細書
【補正対象項目名】００２７
【補正方法】変更
【補正の内容】
【００２７】
これにより、一方の電源系または通信系に異常が発生しても、正常な他方の電源系または通信系を使用する挙動情報取得手段と監査手段との組により監査機能を継続できる。
請求項１２に記載の発明によると、挙動情報取得手段と監査手段とを一組として複数組を備える場合、複数の監査手段のそれぞれは、自身を含む複数の監査手段の監査結果と、機能ドメイン制御手段による監査結果とから、他の監査手段および機能ドメイン制御手段の異常を多数決判定手段により判定する。
【手続補正１４】
【補正対象書類名】明細書
【補正対象項目名】００２９
【補正方法】変更
【補正の内容】
【００２９】
そこで請求項１３に記載の発明によると、車両の挙動が異常であり、機能ドメイン制御手段による挙動制御が正常である場合、挙動制御調整手段が機能ドメイン制御手段に設定された挙動制御の優先順位に基づいて挙動制御の実施を調整し、車両の挙動異常を緩和する。
【手続補正１５】
【補正対象書類名】明細書
【補正対象項目名】００３１
【補正方法】変更
【補正の内容】
【００３１】
請求項１４に記載の発明によると、車両監査装置は、機能ドメイン制御手段に電力を供給する電源とは異なる電源から電力を供給される。
これにより、車両監査装置は、機能ドメイン制御手段に電力を供給する電源の動作不良の影響を受けることなく監査処理を実施できる。
【手続補正１６】
【補正対象書類名】明細書
【補正対象項目名】００３２
【補正方法】変更
【補正の内容】
【００３２】
請求項１５に記載の発明によると、車両監査装置のインタフェース手段は、機能ドメイン制御手段が接続する信号系とは異なる信号系と接続し、車両の挙動情報の少なくとも一部を挙動情報取得手段に供給する。
【手続補正１７】
【補正対象書類名】明細書
【補正対象項目名】００３４
【補正方法】変更
【補正の内容】
【００３４】
請求項１６に記載の発明によると、監査装置は、機能ドメイン制御手段を構成する処理装置とは異なる処理装置により構成されている。
これにより、監査手段は、機能ドメイン制御手段の処理装置の動作不良にかかわらず、例えば演算または情報の記憶、読み出しを実施できる。
【手続補正１８】
【補正対象書類名】明細書
【補正対象項目名】００３５
【補正方法】変更
【補正の内容】
【００３５】
請求項１７に記載の発明によると、監査手段が挙動情報に基づいて車両挙動量を推定するアルゴリズムは、機能ドメイン制御手段が制御対象に対する挙動制御量を算出するアルゴリズムと異なっている。