ホーム > 特許ランキング > トヨタ自動車株式会社
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2022187250
(43)【公開日】2022-12-19
(54)【発明の名称】制御システム
(51)【国際特許分類】
H02J 13/00 20060101AFI20221212BHJP
H02J 7/00 20060101ALI20221212BHJP
H02J 3/38 20060101ALI20221212BHJP
B60L 53/66 20190101ALI20221212BHJP
B60L 53/68 20190101ALI20221212BHJP
【ＦＩ】
H02J13/00 M
H02J7/00 B
H02J7/00 P
H02J3/38 110
H02J13/00 311T
B60L53/66
B60L53/68
【審査請求】未請求
【請求項の数】14
【出願形態】ＯＬ
(21)【出願番号】P 2021095180
(22)【出願日】2021-06-07
(71)【出願人】
【識別番号】000003207
【氏名又は名称】トヨタ自動車株式会社
(74)【代理人】
【識別番号】110001195
【氏名又は名称】弁理士法人深見特許事務所
(72)【発明者】
【氏名】江原 雅人
(72)【発明者】
【氏名】黒木 錬太郎
(72)【発明者】
【氏名】小鮒 俊介
(72)【発明者】
【氏名】清原 達郎
(72)【発明者】
【氏名】瀬尾 直弘
(72)【発明者】
【氏名】立石 崇晴
【テーマコード（参考）】
5G064
5G066
5G503
5H125
【Ｆターム（参考）】
5G064AA04
5G064CA12
5G064CB10
5G064CB21
5G064DA11
5G066AA04
5G066AE09
5G066HA15
5G066HB09
5G066JB03
5G503BA01
5G503BB02
5G503BB03
5G503CA01
5G503CA10
5G503CA11
5G503CB11
5G503DA04
5G503FA06
5G503GD03
5G503GD06
5H125AA01
5H125AC12
5H125AC24
5H125BE01
5H125CC06
5H125CC07
5H125CD03
5H125DD02
5H125EE61
(57)【要約】
【課題】サイバー攻撃の有無を的確に判断し、蓄電装置の充電及び放電の少なくとも一方を信頼性の高いリモート制御で実行できる制御システムを提供する。
【解決手段】制御システムが、制御対象に搭載された蓄電装置の充電及び放電の少なくとも一方をリモート制御するコンピュータを備える。コンピュータは、蓄電装置の充電電力又は放電電力を指示する第１指令を、第１通信経路及び第２通信経路の各々を介して制御対象へ送信する。制御システムは、コンピュータが第１指令を送信したときに制御対象が第１通信経路を介して受信する第２指令と、コンピュータが第１指令を送信したときに制御対象が第２通信経路を介して受信する第３指令とを用いて、第１通信経路と第２通信経路とのいずれかがサイバー攻撃を受けているか否かを判断する判断部をさらに備える。
【選択図】図８
【解決手段】制御システムが、制御対象に搭載された蓄電装置の充電及び放電の少なくとも一方をリモート制御するコンピュータを備える。コンピュータは、蓄電装置の充電電力又は放電電力を指示する第１指令を、第１通信経路及び第２通信経路の各々を介して制御対象へ送信する。制御システムは、コンピュータが第１指令を送信したときに制御対象が第１通信経路を介して受信する第２指令と、コンピュータが第１指令を送信したときに制御対象が第２通信経路を介して受信する第３指令とを用いて、第１通信経路と第２通信経路とのいずれかがサイバー攻撃を受けているか否かを判断する判断部をさらに備える。
【選択図】図８
【特許請求の範囲】
【請求項1】
制御対象に搭載された蓄電装置の充電及び放電の少なくとも一方をリモート制御するコンピュータを備える制御システムであって、
前記コンピュータは、前記蓄電装置の充電電力又は放電電力を指示する第１指令を、第１通信経路及び第２通信経路の各々を介して前記制御対象へ送信するように構成され、
前記制御システムは、
前記コンピュータが前記第１指令を送信したときに前記制御対象が前記第１通信経路を介して受信する第２指令と、前記コンピュータが前記第１指令を送信したときに前記制御対象が前記第２通信経路を介して受信する第３指令とを用いて、前記第１通信経路と前記第２通信経路とのいずれかがサイバー攻撃を受けているか否かを判断する判断部をさらに備える、制御システム。
前記コンピュータは、前記蓄電装置の充電電力又は放電電力を指示する第１指令を、第１通信経路及び第２通信経路の各々を介して前記制御対象へ送信するように構成され、
前記制御システムは、
前記コンピュータが前記第１指令を送信したときに前記制御対象が前記第１通信経路を介して受信する第２指令と、前記コンピュータが前記第１指令を送信したときに前記制御対象が前記第２通信経路を介して受信する第３指令とを用いて、前記第１通信経路と前記第２通信経路とのいずれかがサイバー攻撃を受けているか否かを判断する判断部をさらに備える、制御システム。
【請求項2】
前記判断部は、前記制御対象に搭載され、
前記判断部は、前記第２指令と前記第３指令とが一致しない場合に、前記第１通信経路と前記第２通信経路とのいずれかがサイバー攻撃を受けていると判断する、請求項１に記載の制御システム。
前記判断部は、前記第２指令と前記第３指令とが一致しない場合に、前記第１通信経路と前記第２通信経路とのいずれかがサイバー攻撃を受けていると判断する、請求項１に記載の制御システム。
【請求項3】
前記判断部は、
前記第２指令に従う充電又は放電を実行しているときの前記蓄電装置の充電電力又は放電電力を示す第１電力と、前記第３指令に従う充電又は放電を実行しているときの前記蓄電装置の充電電力又は放電電力を示す第２電力とを取得し、
前記第２指令と前記第３指令とが一致し、かつ、前記第２指令が指示する電力と前記第１電力とが一致し、かつ、前記第３指令が指示する電力と前記第２電力とが一致する場合には、前記第１通信経路と前記第２通信経路とのいずれもサイバー攻撃を受けていないと判断する、請求項２に記載の制御システム。
前記第２指令に従う充電又は放電を実行しているときの前記蓄電装置の充電電力又は放電電力を示す第１電力と、前記第３指令に従う充電又は放電を実行しているときの前記蓄電装置の充電電力又は放電電力を示す第２電力とを取得し、
前記第２指令と前記第３指令とが一致し、かつ、前記第２指令が指示する電力と前記第１電力とが一致し、かつ、前記第３指令が指示する電力と前記第２電力とが一致する場合には、前記第１通信経路と前記第２通信経路とのいずれもサイバー攻撃を受けていないと判断する、請求項２に記載の制御システム。
【請求項4】
前記判断部は、前記第２指令と前記第３指令とが一致しない場合に、前記第１電力と前記第２電力とを用いて、前記第１通信経路と前記第２通信経路とのいずれがサイバー攻撃を受けているかを特定する、請求項３に記載の制御システム。
【請求項5】
前記判断部は、
前記第２指令と前記第３指令とが一致し、かつ、前記第２指令が指示する電力と前記第１電力とが一致せず、かつ、前記第３指令が指示する電力と前記第２電力とが一致する場合には、前記第１通信経路がサイバー攻撃を受けていると判断し、
前記第２指令と前記第３指令とが一致し、かつ、前記第２指令が指示する電力と前記第１電力とが一致し、かつ、前記第３指令が指示する電力と前記第２電力とが一致しない場合には、前記第２通信経路がサイバー攻撃を受けていると判断する、請求項３又は４に記載の制御システム。
前記第２指令と前記第３指令とが一致し、かつ、前記第２指令が指示する電力と前記第１電力とが一致せず、かつ、前記第３指令が指示する電力と前記第２電力とが一致する場合には、前記第１通信経路がサイバー攻撃を受けていると判断し、
前記第２指令と前記第３指令とが一致し、かつ、前記第２指令が指示する電力と前記第１電力とが一致し、かつ、前記第３指令が指示する電力と前記第２電力とが一致しない場合には、前記第２通信経路がサイバー攻撃を受けていると判断する、請求項３又は４に記載の制御システム。
【請求項6】
前記判断部は、前記第２指令と前記第３指令とが一致し、かつ、前記第２指令が指示する電力と前記第１電力とが一致せず、かつ、前記第３指令が指示する電力と前記第２電力とが一致しない場合には、前記制御対象に故障が生じていると判断する、請求項３～５のいずれか一項に記載の制御システム。
【請求項7】
前記判断部は、前記コンピュータに搭載され、
前記コンピュータは、前記制御対象から前記第２指令及び前記第３指令を取得し、
前記判断部は、前記第１指令と前記第２指令とが一致しない場合には、前記第１通信経路がサイバー攻撃を受けていると判断し、前記第１指令と前記第３指令とが一致しない場合には、前記第２通信経路がサイバー攻撃を受けていると判断する、請求項１に記載の制御システム。
前記コンピュータは、前記制御対象から前記第２指令及び前記第３指令を取得し、
前記判断部は、前記第１指令と前記第２指令とが一致しない場合には、前記第１通信経路がサイバー攻撃を受けていると判断し、前記第１指令と前記第３指令とが一致しない場合には、前記第２通信経路がサイバー攻撃を受けていると判断する、請求項１に記載の制御システム。
【請求項8】
前記コンピュータは、前記蓄電装置の１回の充電中に、前記コンピュータから前記第１通信経路を介して前記制御対象へ前記第１指令が送信されて前記制御対象が前記第２指令に従って前記蓄電装置の充電を行なう第１充電期間と、前記コンピュータから前記第２通信経路を介して前記制御対象へ前記第１指令が送信されて前記制御対象が前記第３指令に従って前記蓄電装置の充電を行なう第２充電期間とが含まれるように、前記蓄電装置の充電制御を行ない、
前記判断部は、前記第１充電期間における前記第２指令と、前記第２充電期間における前記第３指令とを用いて、前記第１通信経路と前記第２通信経路とのいずれかがサイバー攻撃を受けているか否かを判断するように構成される、請求項１～７のいずれか一項に記載の制御システム。
前記判断部は、前記第１充電期間における前記第２指令と、前記第２充電期間における前記第３指令とを用いて、前記第１通信経路と前記第２通信経路とのいずれかがサイバー攻撃を受けているか否かを判断するように構成される、請求項１～７のいずれか一項に記載の制御システム。
【請求項9】
前記コンピュータは、前記蓄電装置の１回の放電中に、前記コンピュータから前記第１通信経路を介して前記制御対象へ前記第１指令が送信されて前記制御対象が前記第２指令に従って前記蓄電装置の放電を行なう第１放電期間と、前記コンピュータから前記第２通信経路を介して前記制御対象へ前記第１指令が送信されて前記制御対象が前記第３指令に従って前記蓄電装置の放電を行なう第２放電期間とが含まれるように、前記蓄電装置の放電制御を行ない、
前記判断部は、前記第１放電期間における前記第２指令と、前記第２放電期間における前記第３指令とを用いて、前記第１通信経路と前記第２通信経路とのいずれかがサイバー攻撃を受けているか否かを判断するように構成される、請求項１～８のいずれか一項に記載の制御システム。
前記判断部は、前記第１放電期間における前記第２指令と、前記第２放電期間における前記第３指令とを用いて、前記第１通信経路と前記第２通信経路とのいずれかがサイバー攻撃を受けているか否かを判断するように構成される、請求項１～８のいずれか一項に記載の制御システム。
【請求項10】
前記制御対象は、前記判断部により前記第１通信経路がサイバー攻撃を受けていると判断された場合には、前記制御対象が前記第１通信経路を介して受信した指令に従う前記蓄電装置の充電及び放電を禁止し、前記判断部により前記第２通信経路がサイバー攻撃を受けていると判断された場合には、前記制御対象が前記第２通信経路を介して受信した指令に従う前記蓄電装置の充電及び放電を禁止するように構成される、請求項１～９のいずれか一項に記載の制御システム。
【請求項11】
前記制御対象は、車両であり、
前記第１通信経路は、前記コンピュータから車両用給電設備を経て前記車両に信号を送る通信経路であり、
前記第２通信経路は、前記コンピュータから前記車両用給電設備を経ずに無線通信で前記車両に信号を送る通信経路である、請求項１～１０のいずれか一項に記載の制御システム。
前記第１通信経路は、前記コンピュータから車両用給電設備を経て前記車両に信号を送る通信経路であり、
前記第２通信経路は、前記コンピュータから前記車両用給電設備を経ずに無線通信で前記車両に信号を送る通信経路である、請求項１～１０のいずれか一項に記載の制御システム。
【請求項12】
前記判断部は、所定の地域に存在する所定数以上の前記制御対象が同じ通信経路にサイバー攻撃を受けている場合には、前記所定の地域がサイバー攻撃を受けていると判断する、請求項１～１１のいずれか一項に記載の制御システム。
【請求項13】
前記判断部は、所定の地域に存在する所定数以上の前記制御対象が同じサイバー攻撃を受けている場合には、前記所定の地域がサイバー攻撃を受けていると判断する、請求項１～１１のいずれか一項に記載の制御システム。
【請求項14】
前記コンピュータは、
前記判断部により前記所定の地域がサイバー攻撃を受けていると判断された場合に、前記所定の地域に存在する前記制御対象のユーザに対して報知処理を行なう報知部をさらに備える、請求項１２又は１３に記載の制御システム。
前記判断部により前記所定の地域がサイバー攻撃を受けていると判断された場合に、前記所定の地域に存在する前記制御対象のユーザに対して報知処理を行なう報知部をさらに備える、請求項１２又は１３に記載の制御システム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、制御システムに関し、特に、制御対象に搭載された蓄電装置の充電及び放電の少なくとも一方をリモート制御する技術に関する。
【背景技術】
【0002】
たとえば特開２０１８－１１５０７号公報（特許文献１）には、ＥＶＳＥ（Electric Vehicle Supply Equipment）に制御信号を送信するＥＶＳＥサーバが開示されている。ＥＶＳＥサーバは、所定の制御信号をＥＶＳＥへ送信することで、ＥＶＳＥの最大電流をリモート制御する。
【先行技術文献】
【特許文献】
【0003】
【特許文献1】特開２０１８－１１５０７号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
近年、エネルギーマネジメント関連技術として、制御対象に搭載された蓄電装置の充電及び放電の少なくとも一方をリモート制御する技術が注目されている。たとえば、サーバが、蓄電装置の充放電指令（すなわち、蓄電装置の充電又は放電を指示する信号）を制御対象へ送信することで、蓄電装置の充電及び放電の少なくとも一方をリモート制御することができる。ただし、リモート制御はサイバー攻撃を受けやすい。
【0005】
上記リモート制御の信頼性を高めるためには、サイバー攻撃の有無を的確に判断し、サイバー攻撃を受けたときに早期に対応措置を行なうことが求められる。サイバー攻撃の有無を判断する方法としては、たとえば、制御対象が受信した上記サーバからの充放電指令が示す電力値（指令値）と、制御対象において検出された蓄電装置の充電電力値又は放電電力値とを比較する方法が考えられる。上記サーバからの指令どおりの電力値（充電電力値又は放電電力値）が制御対象で検出されない場合には、上記サーバからの指令だけでなく上記サーバ以外からの指令によっても蓄電装置の充電又は放電が制御されている（すなわち、干渉系のサイバー攻撃を受けている）と考えられる。
【0006】
しかしながら、上記リモート制御が受け得るサイバー攻撃は上記干渉系のサイバー攻撃に限られない。上記リモート制御は、改ざん系のサイバー攻撃（すなわち、指令値を改ざんするサイバー攻撃）を受ける可能性がある。上記サーバから発せられた指令が制御対象に届く前に改ざんされ、改ざんされた充放電指令に従って制御対象が蓄電装置の充電又は放電を行なった場合には、制御対象が受信した指令値と制御対象における検出値とが一致する。このため、上記の方法では、改ざん系のサイバー攻撃を検知することは難しい。
【0007】
本開示は、上記課題を解決するためになされたものであり、その目的は、サイバー攻撃の有無を的確に判断し、蓄電装置の充電及び放電の少なくとも一方を信頼性の高いリモート制御で実行できる制御システムを提供することである。
【課題を解決するための手段】
【0008】
本開示に係る制御システムは、制御対象に搭載された蓄電装置の充電及び放電の少なくとも一方をリモート制御するコンピュータを備える。コンピュータは、蓄電装置の充電電力又は放電電力を指示する第１指令を、第１通信経路及び第２通信経路の各々を介して制御対象へ送信するように構成される。制御システムは、コンピュータが第１指令を送信したときに制御対象が第１通信経路を介して受信する第２指令と、コンピュータが第１指令を送信したときに制御対象が第２通信経路を介して受信する第３指令とを用いて、第１通信経路と第２通信経路とのいずれかがサイバー攻撃を受けているか否かを判断する判断部をさらに備える。
【0009】
以下、上記コンピュータを、「制御コンピュータ」とも称する。以下では、充電及び放電が、「充放電」と総称される。蓄電装置の充放電は、蓄電装置内外の電気の移動を意味し、蓄電装置の充電及び放電の両方を含む。蓄電装置の充電又は放電を指示する指令は、「充放電指令」とも称される。
【0010】
上記構成を有する制御システムによれば、改ざん系のサイバー攻撃の有無を的確に判断することが可能になる。なお、２つの通信経路（第１通信経路及び第２通信経路）が同時にサイバー攻撃を受ける可能性は低いため、ここでは、第１通信経路及び第２通信経路のいずれか一方のみがサイバー攻撃を受けた場合を想定する。
【0011】
詳しくは、上記制御コンピュータは、同じ充放電指令（第１指令）を異なる２種類の通信経路（第１通信経路／第２通信経路）の各々を介して制御対象に向けて送信する。制御対象は、第１通信経路から第２指令を受信し、第２通信経路から第３指令を受信する。第１通信経路が改ざん系のサイバー攻撃を受けた場合には、第１指令と第２指令とが一致しなくなる。第２通信経路が改ざん系のサイバー攻撃を受けた場合には、第１指令と第３指令とは一致しなくなる。したがって、第１通信経路及び第２通信経路のいずれか一方が改ざん系のサイバー攻撃を受けた場合には、第２指令と第３指令とのいずれか一方が第１指令と一致しなくなる。上記の判断部は、第２指令と第３指令とを用いることで、第１通信経路と第２通信経路とのいずれかがサイバー攻撃を受けているか否かを的確に判断しやすくなる。なお、２つの値が「一致しない」とは、所定の許容範囲を超えて２つの値がずれることを意味する。許容範囲は、２つの値を実質的に同一とみなせる範囲であり、実験結果に基づいて予め定められてもよい。
【0012】
上記制御コンピュータは、定置式のサーバであってもよいし、モバイル端末に搭載されてもよい。
【0013】
上記制御対象の例としては、建物（住宅、工場等）、電気機器、無人の移動体（無人搬送車（ＡＧＶ）、農業機械、歩行ロボット、ドローン、ロボットクリーナ、宇宙探査機等）、乗り物（自動車、鉄道車両、船、飛行機等）が挙げられる。
【0014】
上記判断部は制御対象に搭載されてもよい。上記判断部は、第２指令と第３指令とが一致しない場合に、第１通信経路と第２通信経路とのいずれかがサイバー攻撃を受けていると判断するように構成されてもよい。
【0015】
上記構成によれば、第１通信経路と第２通信経路とのいずれかが改ざん系のサイバー攻撃を受けているか否かを、制御対象が的確に判断することが可能になる。
【0016】
上記判断部は、第２指令に従う充電又は放電を実行しているときの蓄電装置の充電電力又は放電電力を示す第１電力と、第３指令に従う充電又は放電を実行しているときの蓄電装置の充電電力又は放電電力を示す第２電力とを取得するように構成されてもよい。上記判断部は、第２指令と第３指令とが一致し、かつ、第２指令が指示する電力と第１電力とが一致し、かつ、第３指令が指示する電力と第２電力とが一致する場合には、第１通信経路と第２通信経路とのいずれもサイバー攻撃を受けていないと判断するように構成されてもよい。
【0017】
上記構成によれば、第１通信経路及び第２通信経路がいずれもサイバー攻撃を受けていないことを、制御対象が確認しやすくなる。
【0018】
第１電力及び第２電力の各々は、制御対象に搭載されたセンサで検出された電力値であってもよい。
【0019】
上記判断部は、第２指令と第３指令とが一致しない場合に、第１電力と第２電力とを用いて、第１通信経路と第２通信経路とのいずれがサイバー攻撃を受けているかを特定するように構成されてもよい。
【0020】
上記構成によれば、第１通信経路と第２通信経路とのいずれが改ざん系のサイバー攻撃を受けているかを制御対象が的確に特定することが可能になる。制御対象は、たとえば第１電力と第２電力とのいずれか一方のみが通常と異なる挙動を示す場合に、対応する通信経路がサイバー攻撃を受けていると判断してもよい。
【0021】
上記判断部は、第２指令と第３指令とが一致し、かつ、第２指令が指示する電力と第１電力とが一致せず、かつ、第３指令が指示する電力と第２電力とが一致する場合には、第１通信経路がサイバー攻撃を受けていると判断するように構成されてもよい。上記判断部は、第２指令と第３指令とが一致し、かつ、第２指令が指示する電力と第１電力とが一致し、かつ、第３指令が指示する電力と第２電力とが一致しない場合には、第２通信経路がサイバー攻撃を受けていると判断するように構成されてもよい。
【0022】
上記構成によれば、制御対象が、第１通信経路及び第２通信経路の各々について干渉系のサイバー攻撃を受けているか否かを的確に判断することが可能になる。第２指令と第３指令とが一致しているにもかかわらず、第１通信経路及び第２通信経路の一方のみにおいて指令値と実際の電力値とが異なる場合には、その通信経路が干渉系のサイバー攻撃を受けている可能性が高い。
【0023】
上記判断部は、第２指令と第３指令とが一致し、かつ、第２指令が指示する電力と第１電力とが一致せず、かつ、第３指令が指示する電力と第２電力とが一致しない場合には、制御対象に故障が生じていると判断するように構成されてもよい。
【0024】
上記構成によれば、故障が原因で蓄電装置の充放電が適切に行なわれないことを、制御対象が確認しやすくなる。
【0025】
上記判断部は、制御コンピュータに搭載されてもよい。制御コンピュータは、制御対象から第２指令及び第３指令を取得するように構成されてもよい。上記判断部は、第１指令と第２指令とが一致しない場合には、第１通信経路がサイバー攻撃を受けていると判断し、第１指令と第３指令とが一致しない場合には、第２通信経路がサイバー攻撃を受けていると判断するように構成されてもよい。
【0026】
上記構成によれば、制御コンピュータが、第１通信経路及び第２通信経路の各々について改ざん系のサイバー攻撃を受けているか否かを的確に判断することが可能になる。
【0027】
制御コンピュータは、蓄電装置の１回の充電中に、制御コンピュータから第１通信経路を介して制御対象へ第１指令が送信されて制御対象が第２指令に従って蓄電装置の充電を行なう第１充電期間と、制御コンピュータから第２通信経路を介して制御対象へ第１指令が送信されて制御対象が第３指令に従って蓄電装置の充電を行なう第２充電期間とが含まれるように、蓄電装置の充電制御を行なうように構成されてもよい。判断部は、第１充電期間における第２指令と、第２充電期間における第３指令とを用いて、第１通信経路と第２通信経路とのいずれかがサイバー攻撃を受けているか否かを判断するように構成されてもよい。
【0028】
上記構成によれば、第１通信経路と第２通信経路とのいずれかがサイバー攻撃を受けているか否かを、１回の充電で判断することが可能になる。
【0029】
制御コンピュータは、蓄電装置の１回の放電中に、制御コンピュータから第１通信経路を介して制御対象へ第１指令が送信されて制御対象が第２指令に従って蓄電装置の放電を行なう第１放電期間と、制御コンピュータから第２通信経路を介して制御対象へ第１指令が送信されて制御対象が第３指令に従って蓄電装置の放電を行なう第２放電期間とが含まれるように、蓄電装置の放電制御を行なうように構成されてもよい。判断部は、第１放電期間における第２指令と、第２放電期間における第３指令とを用いて、第１通信経路と第２通信経路とのいずれかがサイバー攻撃を受けているか否かを判断するように構成されてもよい。
【0030】
上記構成によれば、第１通信経路と第２通信経路とのいずれかがサイバー攻撃を受けているか否かを、１回の放電で判断することが可能になる。
【0031】
制御対象は、判断部により第１通信経路がサイバー攻撃を受けていると判断された場合には、制御対象が第１通信経路を介して受信した指令に従う蓄電装置の充電及び放電を禁止し、判断部により第２通信経路がサイバー攻撃を受けていると判断された場合には、制御対象が第２通信経路を介して受信した指令に従う蓄電装置の充電及び放電を禁止するように構成されてもよい。
【0032】
上記構成によれば、サイバー攻撃を受けている通信経路を使って蓄電装置の充放電が行なわれることを抑制できる。
【0033】
制御対象は車両であってもよい。第１通信経路は、制御コンピュータから車両用給電設備を経て車両に信号を送る通信経路であってもよい。第２通信経路は、制御コンピュータから車両用給電設備を経ずに無線通信で車両に信号を送る通信経路であってもよい。
【0034】
上記構成によれば、車両に搭載された蓄電装置の充電及び放電の少なくとも一方を適切にリモート制御することが可能になる。
【0035】
上記車両は、ＥＶＳＥ（車両用給電設備）から供給される電力によって充電可能に構成される蓄電装置を備え、蓄電装置に蓄えられた電力を用いて走行するように構成されてもよい。上記車両は、ＢＥＶ（電気自動車）であってもよいし、ＰＨＥＶ（プラグインハイブリッド車両）であってもよい。
【0036】
上記判断部は、所定の地域に存在する所定数以上の制御対象が同じ通信経路にサイバー攻撃を受けている場合には、所定の地域がサイバー攻撃を受けていると判断するように構成されてもよい。こうした構成によれば、地域に対するサイバー攻撃の有無を的確に判断することが可能になる。
【0037】
上記判断部は、所定の地域に存在する所定数以上の制御対象が同じサイバー攻撃を受けている場合には、所定の地域がサイバー攻撃を受けていると判断するように構成されてもよい。こうした構成によっても、地域に対するサイバー攻撃の有無を的確に判断することが可能になる。判断部は、サイバー攻撃を受けた各制御対象に同じ症状が生じている場合に、それらの制御対象が同じサイバー攻撃を受けていると認定してもよい。
【0038】
なお、地域に対するサイバー攻撃の例としては、所定の地域に存在する蓄電装置に同時に充電を行なわせて、その地域に対する電源をブラックアウト（停電）させる攻撃が挙げられる。
【0039】
制御コンピュータは、上記判断部により所定の地域がサイバー攻撃を受けていると判断された場合に、所定の地域に存在する各制御対象のユーザに対して報知処理を行なう報知部をさらに備える。
【0040】
上記構成によれば、所定の地域がサイバー攻撃を受けていることを、その地域に存在する各制御対象のユーザが把握しやすくなり、早期に対応措置を行ないやすくなる。報知部は、各制御対象のユーザ端末に対して所定の通知を行なってもよい。ユーザ端末は、予め制御コンピュータに登録されてもよい。ユーザ端末は、制御対象に搭載された端末であってもよいし、制御対象のユーザが携帯するモバイル端末であってもよい。
【発明の効果】
【0041】
本開示によれば、サイバー攻撃の有無を的確に判断し、蓄電装置の充電及び放電の少なくとも一方を信頼性の高いリモート制御で実行できる制御システムを提供することが可能になる。
【図面の簡単な説明】
【0042】
【図1】本開示の実施の形態１に係る制御システムにおいて制御対象となる車両の構成を示す図である。
【図2】本開示の実施の形態１に係る制御システムを示す図である。
【図3】本開示の実施の形態１に係る電力システムの概略的な構成を示す図である。
【図4】本開示の実施の形態１に係る車両の制御装置によって実行される充放電制御に係る処理を示すフローチャートである。
【図9】本開示の実施の形態２に係る通信チェックにおいて、車両が実行する処理を示すフローチャートである。
【図10】本開示の実施の形態２に係る通信チェックにおいて、サーバ（制御コンピュータ）が実行する処理を示すフローチャートである。
【図11】本開示の実施の形態３における地域ごとの車両の分布を示す図である。
【図12】本開示の実施の形態３において、サーバ（制御コンピュータ）が実行する通信チェックに係る処理を示すフローチャートである。
【発明を実施するための形態】
【0043】
以下、本開示の実施の形態について、図面を参照しながら詳細に説明する。図中、同一又は相当部分には同一符号を付してその説明は繰り返さない。
【0044】
［実施の形態１］
図１は、この実施の形態に係る制御システムにおいて制御対象となる車両５０の構成を示す図である。車両５０は、本開示に係る「制御対象」の一例に相当する。
図１は、この実施の形態に係る制御システムにおいて制御対象となる車両５０の構成を示す図である。車両５０は、本開示に係る「制御対象」の一例に相当する。
【0045】
図１を参照して、車両５０は、走行用の電力を蓄電するバッテリ１３０を備える。車両５０は、バッテリ１３０に蓄えられた電力を用いて走行可能に構成される。この実施の形態に係る車両５０は、エンジン（内燃機関）を備えない電気自動車（ＢＥＶ）である。
【0046】
バッテリ１３０は、たとえばリチウムイオン電池又はニッケル水素電池のような二次電池を含んで構成される。二次電池は全固体電池であってもよい。この実施の形態では、二次電池として、複数のリチウムイオン電池を含む組電池を採用する。なお、二次電池の代わりに、電気二重層キャパシタのような他の蓄電装置を採用してもよい。この実施の形態に係るバッテリ１３０は、本開示に係る「蓄電装置」の一例に相当する。
【0047】
車両５０は、電子制御装置（以下、「ＥＣＵ（Electronic Control Unit）」と称する）１５０を備える。ＥＣＵ１５０は、バッテリ１３０の充電制御及び放電制御を行なうように構成される。また、ＥＣＵ１５０は、車両５０の外部との通信を制御するように構成される。
【0048】
車両５０は、バッテリ１３０の状態を監視する監視モジュール１３１をさらに備える。監視モジュール１３１は、バッテリ１３０の状態（たとえば、電圧、電流、及び温度）を検出する各種センサを含み、検出結果をＥＣＵ１５０へ出力する。監視モジュール１３１は、上記センサ機能に加えて、ＳＯＣ（State Of Charge）推定機能、ＳＯＨ（State of Health）推定機能、セル電圧の均等化機能、診断機能、及び通信機能をさらに有するＢＭＳ（Battery Management System）であってもよい。ＥＣＵ１５０は、監視モジュール１３１の出力に基づいてバッテリ１３０の状態（たとえば、温度、電流、電圧、ＳＯＣ、及び内部抵抗）を取得することができる。
【0049】
ＥＶＳＥ（Electric Vehicle Supply Equipment）４０は、車両外部の給電設備に相当する。ＥＶＳＥ４０は、たとえば特定のユーザのみが使用可能な非公共のＥＶＳＥである。この実施の形態では、ＥＶＳＥ４０を家庭用のＥＶＳＥとする。ただしこれに限られず、ＥＶＳＥ４０は、不特定多数のユーザが使用可能な公共のＥＶＳＥであってもよい。
【0050】
ＥＶＳＥ４０は、電源回路４１と、充電ケーブル４２と、制御装置４３と、ＧＷ（ゲートウェイ）４４とを備える。充電ケーブル４２は、ＥＶＳＥ４０の本体に接続される。充電ケーブル４２は、常にＥＶＳＥ４０の本体に接続されていてもよいし、ＥＶＳＥ４０の本体に対して着脱可能であってもよい。充電ケーブル４２は、先端にコネクタ４２ａを有し、内部に通信線及び電力線を含む。１つの電線が通信線及び電力線の両方を兼ねてもよい。
【0051】
制御装置４３は、ＥＶＳＥ４０と電気的に接続された蓄電装置の充放電制御を行なうように構成される。制御装置４３としては、プロセッサ及び記憶装置を含むコンピュータを採用できる。制御装置４３は、充電ケーブル４２を介して制御対象と有線通信するように構成される。また、制御装置４３はインターネットを介してＥＶＳＥ４０の外部の装置と通信を行なうように構成される。制御装置４３はＧＷ４４を通じてインターネットにアクセスする。ＧＷ４４は、インターネットにアクセスするためのモデムを含む。ＧＷ４４は、たとえばＷＬＡＮ（無線ローカルエリアネットワーク）を介してインターネットにアクセスする。ただしこれに限られず、ＧＷ４４は有線通信によりインターネットにアクセスしてもよい。ＧＷ４４は、ケーブル又は光ファイバを介してインターネットにアクセスするように構成されてもよい。
【0052】
車両５０は、接触充電のためのインレット１１０及び充放電器１２０を備える。インレット１１０は、車両５０の外部から供給される電力を受電するように構成される。インレット１１０は、充電ケーブル４２のコネクタ４２ａが接続可能に構成される。ＥＶＳＥ４０につながる充電ケーブル４２のコネクタ４２ａが車両５０のインレット１１０に接続されることによって、車両５０がプラグイン状態（すなわち、車両５０とＥＶＳＥ４０との間で電力の授受を行なうことができる状態）になる。なお、図１には、ＥＶＳＥ４０の給電方式に対応するインレット１１０及び充放電器１２０のみを示しているが、車両５０は、複数種の給電方式（たとえば、ＡＣ方式及びＤＣ方式）に対応できるように複数のインレットを備えてもよい。
【0053】
充放電器１２０は、インレット１１０とバッテリ１３０との間に位置する。充放電器１２０は、リレーと電力変換回路と（いずれも図示せず）を含んで構成される。リレーは、インレット１１０からバッテリ１３０までの電力経路の接続／遮断を切り替える。電力変換回路は、たとえば双方向インバータを含む。充放電器１２０に含まれるリレー及び電力変換回路の各々は、ＥＣＵ１５０によって制御される。車両５０は、充放電器１２０の状態を監視する監視モジュール１２１をさらに備える。監視モジュール１２１は、充放電器１２０の状態を検出する各種センサを含み、検出結果をＥＣＵ１５０へ出力する。この実施の形態では、監視モジュール１２１が、上記電力変換回路に入力される電圧及び電流と、上記電力変換回路から出力される電圧及び電流とを検出するように構成される。監視モジュール１２１は、バッテリ１３０の充電電力及び放電電力を検出可能に構成される。
【0054】
プラグイン状態の車両５０では、外部充電（すなわち、ＥＶＳＥ４０から供給される電力によってバッテリ１３０を充電すること）と外部給電（すなわち、車両５０からＥＶＳＥ４０へ給電を行なうこと）とが可能になる。外部充電のための電力は、たとえばＥＶＳＥ４０から充電ケーブル４２を通じてインレット１１０に供給される。充放電器１２０は、インレット１１０が受電した電力をバッテリ１３０の充電に適した電力に変換し、変換された電力をバッテリ１３０へ出力するように構成される。外部給電のための電力は、バッテリ１３０から充放電器１２０に供給される。充放電器１２０は、バッテリ１３０から供給される電力を外部給電に適した電力に変換し、変換された電力をインレット１１０へ出力するように構成される。外部充電及び外部給電のいずれかが実行されるときには充放電器１２０のリレーが閉状態（接続状態）にされ、外部充電及び外部給電のいずれも実行されないときには充放電器１２０のリレーが開状態（遮断状態）にされる。
【0055】
ＥＣＵ１５０は、プロセッサ１５１、ＲＡＭ（Random Access Memory）１５２、記憶装置１５３、及びタイマ１５４を含んで構成される。ＥＣＵ１５０はコンピュータであってもよい。プロセッサ１５１はＣＰＵ（Central Processing Unit）であってもよい。ＲＡＭ１５２は、プロセッサ１５１によって処理されるデータを一時的に記憶する作業用メモリとして機能する。記憶装置１５３は、格納された情報を保存可能に構成される。タイマ１５４は、設定時刻の到来をプロセッサ１５１に知らせるように構成される。また、ＥＣＵ１５０は、ＥＣＵ１５０に内蔵されるリアルタイムクロック（ＲＴＣ）回路（図示せず）を利用して現在時刻を取得できる。
【0056】
記憶装置１５３は、たとえばＲＯＭ（Read Only Memory）及び書き換え可能な不揮発性メモリを含む。記憶装置１５３には、プログラムのほか、プログラムで使用される情報（たとえば、マップ、数式、及び各種パラメータ）が記憶されている。この実施の形態では、記憶装置１５３に記憶されているプログラムをプロセッサ１５１が実行することで、ＥＣＵ１５０における各種制御が実行される。ただし、ＥＣＵ１５０における各種制御は、ソフトウェアによる実行に限られず、専用のハードウェア（電子回路）で実行することも可能である。なお、ＥＣＵ１５０が備えるプロセッサの数は任意であり、所定の制御ごとにプロセッサが用意されてもよい。
【0057】
車両５０は、走行駆動部１４０と、入力装置１６０と、通信機器１８０と、駆動輪Ｗとをさらに備える。なお、車両５０の駆動方式は、図１に示される前輪駆動に限られず、後輪駆動又は４輪駆動であってもよい。
【0058】
走行駆動部１４０は、図示しないＰＣＵ（Power Control Unit）とＭＧ（Motor Generator）とを含み、バッテリ１３０に蓄えられた電力を用いて車両５０を走行させるように構成される。ＰＣＵは、たとえば、インバータと、コンバータと、リレー（以下、「ＳＭＲ（System Main Relay）」と称する）と（いずれも図示せず）を含んで構成される。ＰＣＵは、ＥＣＵ１５０によって制御される。ＭＧは、たとえば三相交流モータジェネレータである。ＭＧは、ＰＣＵによって駆動され、駆動輪Ｗを回転させるように構成される。ＰＣＵは、バッテリ１３０から供給される電力を用いてＭＧを駆動する。また、ＭＧは、回生発電を行ない、発電した電力をバッテリ１３０に供給するように構成される。ＳＭＲは、バッテリ１３０からＰＣＵまでの電力経路の接続／遮断を切り替えるように構成される。ＳＭＲは、車両５０の走行時に閉状態（接続状態）にされる。
【0059】
入力装置１６０は、ユーザからの入力を受け付ける装置である。入力装置１６０は、ユーザによって操作され、ユーザの操作に対応する信号をＥＣＵ１５０へ出力する。入力装置１６０の例としては、各種スイッチ、各種ポインティングデバイス、キーボード、タッチパネルが挙げられる。入力装置１６０は、音声入力を受け付けるスマートスピーカを含んでもよい。
【0060】
通信機器１８０は、各種通信Ｉ／Ｆ（インターフェース）を含んで構成される。ＥＣＵ１５０は、通信機器１８０を通じて車両５０の外部の装置と通信を行なうように構成される。通信機器１８０は無線通信機を含む。無線通信機は、ＤＣＭ（Data Communication Module）であってもよい。無線通信機は、５Ｇ（第５世代移動通信システム）対応の通信Ｉ／Ｆを含んでもよい。また、通信機器１８０は、ＥＶＳＥ４０に対応する通信Ｉ／Ｆを含む。ＥＣＵ１５０は通信機器１８０を通じてＥＶＳＥ４０の制御装置４３と有線通信するように構成される。ＥＣＵ１５０は充電ケーブル４２を介してＥＶＳＥ４０と有線通信することができる。
【0061】
【0062】
車両５０は、図１に示した構成を有する。この実施の形態では、ＥＶＳＥ４０として、交流電力を提供するＡＣ給電設備を採用する。充放電器１２０は、ＡＣ給電設備に対応する回路を有する。ただし、こうした形態に限られず、ＥＶＳＥ４０は、直流電力を提供するＤＣ給電設備であってもよい。充放電器１２０は、ＤＣ給電設備に対応する回路を有してもよい。
【0063】
携帯端末８０は、車両５０のユーザが携帯するモバイル端末に相当する。この実施の形態では、携帯端末８０として、タッチパネルディスプレイを具備するスマートフォンを採用する。ただしこれに限られず、携帯端末８０としては、任意の携帯端末を採用可能であり、タブレット端末、ウェアラブルデバイス（たとえば、スマートウォッチ）、電子キー、又はサービスツールなども採用可能である。
【0064】
ＥＶＳＥ４０は、電力系統ＰＧから電力の供給を受ける。ＥＶＳＥ４０に内蔵される電源回路４１は、電力系統ＰＧから供給される電力を外部充電に適した電力に変換する。電源回路４１は、充電電力を検出するためのセンサを含んでもよい。電力系統ＰＧは、電気事業者（たとえば、電力会社）によって提供される電力網である。電力系統ＰＧは、複数のＥＶＳＥ（ＥＶＳＥ４０を含む）と電気的に接続されており、各ＥＶＳＥに交流電力を供給する。
【0065】
プラグイン状態の車両５０では、通信機器１８０が充電ケーブル４２を介してＥＶＳＥ４０と通信する。ＥＶＳＥ４０と車両５０との通信方式は任意であり、たとえば、ＣＡＮ（Controller Area Network）であってもよいし、ＰＬＣ（電力線通信）であってもよい。ＥＶＳＥ４０と車両５０との通信に関する規格は、ＩＳＯ／ＩＥＣ１５１１８でもよいし、ＩＥＣ６１８５１でもよい。
【0066】
車両５０に搭載された通信機器１８０は、たとえば移動体通信網（テレマティクス）を通じてサーバ３０と直接的に無線通信するように構成される。車両５０は、プラグイン状態とプラグアウト状態とのいずれにおいても、サーバ３０と無線通信することができる。サーバ３０と車両５０との通信プロトコルは、ＯｐｅｎＡＤＲであってもよい。通信機器１８０とサーバ３０との間でやり取りされる信号は暗号化されていてもよい。さらに、この実施の形態では、通信機器１８０と携帯端末８０とが相互に無線通信するように構成される。通信機器１８０と携帯端末８０との通信は、Ｂｌｕｅｔｏｏｔｈ（登録商標）のような近距離通信（たとえば、車内及び車両周辺の範囲での直接通信）であってもよい。
【0067】
携帯端末８０には所定のアプリケーションソフトウェア（以下、単に「アプリ」と称する）がインストールされている。携帯端末８０は、車両５０のユーザによって携帯され、上記アプリを通じてサーバ３０と情報のやり取りを行なうことができる。ユーザは、たとえば携帯端末８０のタッチパネルディスプレイを通じて、上記アプリを操作できる。
【0068】
サーバ３０は、制御装置３１と記憶装置３２と通信装置３３と入力装置３４とを含んで構成される。制御装置３１はコンピュータであってもよい。制御装置３１は、プロセッサ及び記憶装置を含み、所定の情報処理を行なうとともに通信装置３３を制御するように構成される。記憶装置３２は、各種情報を保存可能に構成される。この実施の形態では、制御装置３１において、記憶装置に記憶されているプログラムをプロセッサが実行することで、サーバ３０における各種制御が実行される。ただし、サーバ３０における各種制御は、ソフトウェアによる実行に限られず、専用のハードウェア（電子回路）で実行することも可能である。
【0069】
通信装置３３は各種通信Ｉ／Ｆを含む。制御装置３１は、通信装置３３を通じて外部と通信するように構成される。入力装置３４は、ユーザからの入力を受け付ける装置である。入力装置３４は、ユーザからの入力を制御装置３１へ出力する。
【0070】
サーバ３０は、ＥＶＳＥ４０、車両５０、及び携帯端末８０の各々と通信可能に構成される。この実施の形態では、サーバ３０とＥＶＳＥ４０とがインターネットを介して相互に通信する。ただし、サーバ３０とＥＶＳＥ４０との通信方式は、こうした方式に限られず適宜変更可能である。また、サーバ３０及びＥＶＳＥ４０の各々は、ＥＶＳＥ管理用クラウドと通信可能に構成されてもよい。その通信プロトコルは、ＯＣＰＰ（Open Charge Point Protocol）であってもよい。
【0071】
この実施の形態では、サーバ３０が管理する複数の車両（車両５０を含む）がＶＰＰ（仮想発電所）として機能する。具体的には、サーバ３０が管理する複数のｘＥＶ（電動車）を利用したエネルギーマネジメントによってＶＰＰが実現される。サーバ３０が管理する各ｘＥＶは、図１に示した構成を有するＢＥＶであってもよい。
【0072】
図３は、この実施の形態に係る電力システムの概略的な構成を示す図である。図３に示す電力システムは、ＶＧＩ（Vehicle Grid Integration）システムである。この電力システムには複数のｘＥＶと複数のＥＶＳＥとが含まれる（図３には、各々１つのみ図示）。電力システムに含まれるｘＥＶ及びＥＶＳＥの数は、各々独立して任意であり、１０個以上であってもよいし、１００個以上であってもよい。電力システムにおける各ｘＥＶは、ＤＥＲ（Distributed Energy Resources）として機能する。電力システムは、ｘＥＶ以外のＤＥＲ（図示せず）をさらに含んでもよい。
【0073】
図１及び図２とともに図３を参照して、この電力システムは、電力会社Ｅ１と、電力会社Ｅ１に連絡する上位アグリゲータＥ２と、ｘＥＶ及びＥＶＳＥ（たとえば、車両５０及びＥＶＳＥ４０）に連絡する下位アグリゲータＥ３とを含む。複数のＤＥＲを束ねてエネルギーマネジメントサービスを提供する電気事業者は、「アグリゲータ」と称される。
【0074】
電力会社Ｅ１は、発電事業者及び送配電事業者を兼ねる。電力会社Ｅ１は、発電所１１及び送配電設備１２によって電力網（すなわち、図２に示した電力系統ＰＧ）を構築するとともに、サーバ１０及びスマートメータ１３によって電力系統ＰＧを保守及び管理する。発電所１１は、電気を発生させるための発電装置を備え、発電装置によって生成された電力を送配電設備１２に供給するように構成される。発電所１１の発電方式は任意である。送配電設備１２は、送電線、変電所、及び配電線を含み、発電所１１から供給される電力の送電及び配電を行なうように構成される。スマートメータ１３は、所定時間経過ごとに電力使用量を計測し、計測した電力使用量を記憶するとともにサーバ１０へ送信するように構成される。スマートメータ１３は、電力を使用する需要家（たとえば、個人又は会社）ごとに付与される。サーバ１０は、各需要家のスマートメータ１３から需要家ごとの電力使用量を取得する。電力会社Ｅ１は、電力使用量に応じた電気料金を各需要家から受け取ってもよい。
【0075】
電力会社Ｅ１は、たとえばアグリゲータと連携することにより、電力系統ＰＧの電力調整を行なうことができる。上位アグリゲータＥ２は、複数のサーバ２０を含む。下位アグリゲータＥ３は、複数のサーバ３０を含む。図３中のサーバ３０は、図２中のサーバ３０と同じである。サーバ２０及びサーバ３０の数は、各々独立して任意であり、５個以上であってもよいし、３０個以上であってもよい。
【0076】
この実施の形態では、１つのサーバ１０が複数のサーバ２０へエネルギーマネジメントを要請し、サーバ１０から要請を受けた各サーバ２０が複数のサーバ３０へエネルギーマネジメントを要請する。さらに、サーバ２０から要請を受けた各サーバ３０が複数のｘＥＶへエネルギーマネジメントを要請する。電力会社Ｅ１は、こうした階層構造（ツリー構造）を利用して、多くの需要家（たとえば、ｘＥＶのユーザ）にエネルギーマネジメントを要請することができる。要請は、ＤＲ（デマンドレスポンス）によって行なわれてもよい。
【0077】
サーバ３０は、サーバ２０からエネルギーマネジメントの要請を受けたときに、その要請に応えるために必要な数のＶＰＰ協力車両を選定する。ＶＰＰ協力車両は、エネルギーマネジメントに協力するｘＥＶである。ＶＰＰ協力車両は、予めアグリゲータと契約を結んだユーザに帰属するｘＥＶの中から選定される。この契約を結んだユーザは、アグリゲータからの要請に従う充放電を行なうことによって所定のインセンティブを受け取ることができる。また、要請に従うことを承認したにもかかわらず、要請に従わなかったユーザには、上記契約によって所定のペナルティが科される。
【0078】
この実施の形態では、上記ＶＰＰ協力車両の選定が終了すると、サーバ３０が、各ＶＰＰ協力車両へ充放電指令（より特定的には、ＶＰＰ協力車両に充放電制御を行なわせる指令）を送信する。この充放電指令により、サーバ２０からの要請に従うエネルギーマネジメント（たとえば、電力系統ＰＧの需給調整）が行なわれる。
【0079】
図３に示される電力システムにおいて、各ｘＥＶは、サーバ３０との通信で用いる通信経路として、複数種の通信経路（この実施の形態では、第１通信経路及び第２通信経路）を有する。すなわち、サーバ３０は、複数種の通信経路を介して各ｘＥＶと通信可能に構成される。サーバ３０は、サーバ２０から要請されたエネルギーマネジメントをＶＰＰ協力車両に行なわせるときに、そのＶＰＰ協力車両の状態に基づいて第１通信経路と第２通信経路とのいずれか一方を選択し、選択された通信経路を用いて、そのＶＰＰ協力車両へ充放電指令を送信する。
【0080】
第１通信経路は、サーバ３０から車両用給電設備（たとえば、ＥＶＳＥ４０）を経てｘＥＶ（たとえば、車両５０）に信号を送る通信経路である。サーバ３０が第１通信経路を用いて車両５０へ充放電指令を送信する場合には、サーバ３０からインターネット及びＥＶＳＥ４０（充電ケーブル４２、制御装置４３、及びＧＷ４４）を経由して車両５０に充放電指令が送られる。
【0081】
第２通信経路は、サーバ３０から無線通信でｘＥＶ（たとえば、車両５０）に信号を送る通信経路である。サーバ３０が第２通信経路を用いて車両５０へ充放電指令を送信する場合には、サーバ３０から無線通信で直接的に車両５０に充放電指令が送られる。車両５０は、通信機器１８０に含まれる無線通信機（たとえば、ＤＣＭ）により、第２通信経路からの充放電指令を受信する。
【0082】
サーバ３０は、充放電指令をＶＰＰ協力車両へ送信することによって、ＶＰＰ協力車両に搭載された蓄電装置の充電及び放電の少なくとも一方をリモート制御することができる。以下、車両５０がＶＰＰ協力車両として選ばれた場合の、サーバ３０による車両５０のリモート制御について説明する。
【0083】
サーバ３０は、たとえば後述する診断結果（たとえば、図５のＳ２４参照）に基づいて、車両５０との通信で用いる通信経路として、第１通信経路と第２通信経路とのいずれか一方を選択する。そして、サーバ３０は、選択された通信経路を用いて、プラグイン状態の車両５０へ充放電指令を送信する。車両５０は、サーバ３０から受信した充放電指令に従ってバッテリ１３０の充放電を実行する。車両５０は、ＥＶＳＥ４０を用いて外部充電を行なうことで、電力系統ＰＧの電力需要を増やすことができる。また、車両５０は、ＥＶＳＥ４０を用いて外部給電を行なうことで、電力系統ＰＧに対して逆潮流を行なうことができる。詳細は後述するが、上記診断結果は、車両５０の状態を示す情報であり、より特定的には、車両５０がサーバ３０と通信するための第１及び第２通信経路の各々についてサイバー攻撃を受けているか否かを示す。第１及び第２通信経路のいずれか一方がサイバー攻撃を受けている場合には、サーバ３０は、サイバー攻撃を受けていない通信経路を用いて、車両５０へ充放電指令を送信する。この実施の形態では、第２通信経路よりも第１通信経路のほうが通信速度が速い。第１及び第２通信経路が両方ともサイバー攻撃を受けていない場合には、サーバ３０は、基本的には、第１通信経路を用いて車両５０へ充放電指令を送信する。ただし、後述する安定期間（図７参照）においては、サーバ３０は、第１通信経路と第２通信経路とを交互に使用する。この実施の形態では、サーバ３０が、本開示に係る「コンピュータ」の一例に相当する。
【0084】
図４は、車両５０のＥＣＵ１５０によって実行される充放電制御に係る処理を示すフローチャートである。このフローチャートに示される処理は、車両５０がプラグイン状態になると、開始される。図４に示す処理の実行中は、たとえば車両５０のインレット１１０に接続されたコネクタがロックされることにより、プラグアウトが禁止される。この実施の形態では、ＥＣＵ１５０が、本開示に係る「判断部」の一例として機能する。以下、フローチャート中の各ステップを、単に「Ｓ」と表記する。
【0085】
図１～図３とともに図４を参照して、Ｓ１１では、フラグＦ１及びＦ２が両方ともＯＮであるか否かを、ＥＣＵ１５０が判断する。フラグＦ１及びＦ２の各々は、初期状態（たとえば、出荷時の状態）ではＯＮに設定されている。ただし、サイバー攻撃又は通信系の故障が生じたときには、フラグＦ１及びＦ２の少なくとも一方がＯＦＦに設定される（後述する図５のＳ２６参照）。フラグＦ１及びＦ２が両方ともＯＮである場合（Ｓ１１にてＹＥＳ）には、処理がＳ１２に進む。Ｓ１２では、以下に説明する図５に示す処理が実行される。
【0086】
図５は、図４のＳ１２における通信チェックの詳細を示すフローチャートである。図１～図３とともに図５を参照して、Ｓ２１では、サーバ３０による車両５０のリモート制御が開始されたか否かを、ＥＣＵ１５０が判断する。そして、リモート制御が開始されると（Ｓ２１にてＹＥＳ）、処理がＳ２２に進む。Ｓ２２では、ＥＣＵ１５０が充放電制御を実行する。図６は、図５のＳ２２における充放電制御に係る処理の詳細を示すフローチャートである。
【0087】
図１～図３とともに図６を参照して、サーバ３０は、Ｓ３１において、リモート制御の開始を車両５０に通知した後、Ｓ３２において、今回の充放電制御に係る充放電プロファイルを取得する。サーバ３０は、サーバ２０からエネルギーマネジメントの要請を受けたときに、サーバ２０からの要請に応えるようにＶＰＰ協力車両ごとの充放電プロファイルを決定して、決定した充放電プロファイルを記憶装置３２に記憶してもよい。Ｓ３２では、制御装置３１が、車両５０に対する充放電プロファイルを記憶装置３２から読み出してもよい。
【0088】
Ｓ３３では、充放電プロファイルにおける現在のタイミングが安定期間（すなわち、充放電電力が一定である期間）に属するか否かを、サーバ３０が判断する。現在のタイミングが安定期間に属さない場合（Ｓ３３にてＮＯ）には、サーバ３０は、Ｓ３６において、充放電プロファイルに従う充放電指令を第１通信経路を介して車両５０へ送信し、Ｓ３７において、充放電プロファイルに従う充放電が完了したか否かを判断する。そして、充放電が完了していない場合（Ｓ３７にてＮＯ）には、処理がＳ３３に戻る。
【0089】
一方、車両５０がリモート制御の開始通知（Ｓ３１）を受け取ると、図５に示したＳ２１においてＹＥＳと判断され、図６に示す車両５０の処理が開始される。Ｓ４１では、後述する通信チェックが開始されたか否かを、ＥＣＵ１５０が判断する。Ｓ３３においてＮＯと判断された場合には、サーバ３０による通信チェックが実行されないため、Ｓ４１においてＮＯと判断され、処理がＳ４４に進む。
【0090】
Ｓ４４では、ＥＣＵ１５０が、サーバ３０から受信した充放電指令（Ｓ３６）に従って充放電器１２０を制御する。これにより、遠隔操作によるバッテリ１３０の充放電制御（リモート制御）が実行される。ただし、放電中にバッテリ１３０の残量が空になったとき、又は充電中にバッテリ１３０が満充電になったときには、ＥＣＵ１５０はサーバ３０へ充放電中止要求を送る。この場合、Ｓ３７においてＹＥＳと判断され、サーバ３０によるリモート制御が中止される。
【0091】
続くＳ４５では、ＥＣＵ１５０が、充放電プロファイルに従う充放電が終了したか否かを判断する。Ｓ３７においてＮＯと判断された場合には、サーバ３０による充放電制御（リモート制御）が完了していないため、Ｓ４５においてＮＯと判断され、処理がＳ４１に戻る。
【0092】
充放電プロファイルにおける現在のタイミングが安定期間に属する場合（Ｓ３３にてＹＥＳ）には、サーバ３０の制御装置３１が、Ｓ３４において通信チェックを開始する。この際、サーバ３０は、通信チェックが開始されたことを示す信号（以下、「チェック開始信号」とも称する）を車両５０へ送信する。そして、制御装置３１は、Ｓ３５においてＮＯ（通信チェックが終了していない）と判断されている間はＳ３４において通信チェックを継続する。
【0093】
一方、車両５０がサーバ３０からチェック開始信号を受信すると、ＥＣＵ１５０がＳ４１においてＹＥＳと判断する。そして、ＥＣＵ１５０は、Ｓ４２において、バッテリ１３０の充放電を実行するとともに所定のデータを記憶装置１５３に記録する。そして、ＥＣＵ１５０は、Ｓ４３においてＮＯ（通信チェックが終了していない）と判断されている間はＳ４２においてバッテリ１３０の充放電とデータの記録とを継続する。
【0094】
図７は、図６に示した処理により実行される通信チェックについて説明するための図である。図７において、線Ｌ１０は充放電プロファイルの一例を示している。この充放電プロファイルは、充電プロファイル又は放電プロファイルである。線Ｌ１０が示す充放電プロファイルが充電プロファイルである場合には、縦軸の充放電電力は充電電力を表わす。線Ｌ１０が示す充放電プロファイルが放電プロファイルである場合には、縦軸の充放電電力は放電電力を表わす。
【0095】
図６とともに図７を参照して、線Ｌ１０が示す充放電プロファイルでは、タイミングｔ１１で充放電（充電又は放電）が開始され、充放電電力が一定電力（電力Ｐｘ）に維持される安定期間を経て、タイミングｔ１２で充放電が終了する。タイミングｔ１１で充放電が開始されると充放電電力が上昇し、充放電電力が電力Ｐｘに達すると安定期間に入る。そして、安定期間が終わると充放電電力が下降し始め、タイミングｔ１２で充放電電力が０Ｗになり、充放電が終了する。
【0096】
安定期間に該当しない期間においては、サーバ３０が、図６のＳ３６の処理により、充放電プロファイルが示す電力値を指示する充放電指令を第１通信経路を介して車両５０へ送信し、車両５０が、図６のＳ４４において、その充放電指令に従うバッテリ１３０の充放電を実行する。このように、サーバ３０は、車両５０に搭載されたバッテリ１３０の充放電をリモート制御する。
【0097】
安定期間においては、サーバ３０が、図６のＳ３４の処理により、充放電プロファイルに従う充放電指令を車両５０へ送信する。ただし、Ｓ３４では、充放電電力（充電電力又は放電電力）を電力Ｐｘに維持することを指示する第１指令を、第１通信経路及び第２通信経路の各々を介して車両５０へ送信する。具体的には、安定期間は、サーバ３０が第１通信経路（すなわち、ＥＶＳＥ４０を含む経路）を通じて車両５０へ第１指令を送信する第１期間Ｔ１と、サーバ３０が第２通信経路（すなわち、ＥＶＳＥ４０を含まない経路）を通じて車両５０へ第１指令を送信する第２期間Ｔ２とを含む。
【0098】
この実施の形態では、第１期間Ｔ１よりも第２期間Ｔ２のほうが短い。第２期間Ｔ２の長さは、第１期間Ｔ１の長さの半分以下であってもよい。この実施の形態では、安定期間において第１期間Ｔ１と第２期間Ｔ２とが交互に繰り返される。ただしこれに限られず、安定期間において第１期間Ｔ１と第２期間Ｔ２とは１回ずつであってもよい。
【0099】
以下では、サーバ３０が車両５０に向けて第１指令を第１通信経路へ送信したときに、車両５０が第１通信経路を介して受信する充放電指令を、「第２指令」と称する。また、サーバ３０が車両５０に向けて第１指令を第２通信経路へ送信したときに、車両５０が第２通信経路を介して受信する充放電指令を、「第３指令」と称する。
【0100】
たとえば、線Ｌ１０が示す充放電プロファイルが充電プロファイルである場合には、第１期間Ｔ１、第２期間Ｔ２がそれぞれ第１充電期間、第２充電期間に相当する。第１充電期間においては、サーバ３０から第１通信経路を介して車両５０へ第１指令が送信され（図６のＳ３４）、車両５０が第２指令に従ってバッテリ１３０の充電を行なう（図６のＳ４２）。この際、ＥＣＵ１５０は、第２指令に従う充電を実行しているときのバッテリ１３０の充電電力（第１電力）を検出する。そして、ＥＣＵ１５０は、第１充電期間において、第２指令が指示する電力と、充電電力の検出値（第１電力）と、取得時刻（タイムスタンプ）とを記憶装置１５３に継続的に記録する。第２充電期間においては、サーバ３０から第２通信経路を介して車両５０へ第１指令が送信され（図６のＳ３４）、車両５０が第３指令に従ってバッテリ１３０の充電を行なう（図６のＳ４２）。この際、ＥＣＵ１５０は、第３指令に従う充電を実行しているときのバッテリ１３０の充電電力（第２電力）を検出する。そして、ＥＣＵ１５０は、第２充電期間において、第３指令が指示する電力と、充電電力の検出値（第２電力）と、取得時刻（タイムスタンプ）とを記憶装置１５３に継続的に記録する。
【0101】
上記のように、サーバ３０は、バッテリ１３０の１回の充電中（タイミングｔ１１からタイミングｔ１２までの期間）に第１充電期間と第２充電期間とが含まれるようにバッテリ１３０の充電制御を行なう。そして、車両５０は、第１及び第２充電期間の各々においてバッテリ１３０の充電と充電データの記録とを実行する。記録される充電電力は、たとえば、監視モジュール１２１により検出された充電電流及び充電電圧を含む。充電電圧が一定である場合には、ＥＣＵ１５０は充電電流のみを記録してもよい。
【0102】
線Ｌ１０が示す充放電プロファイルが放電プロファイルである場合には、第１期間Ｔ１、第２期間Ｔ２がそれぞれ第１放電期間、第２放電期間に相当する。第１放電期間においては、サーバ３０から第１通信経路を介して車両５０へ第１指令が送信され（図６のＳ３４）、車両５０が第２指令に従ってバッテリ１３０の放電を行なう（図６のＳ４２）。この際、ＥＣＵ１５０は、第２指令に従う放電を実行しているときのバッテリ１３０の放電電力（第１電力）を検出する。そして、ＥＣＵ１５０は、第１放電期間において、第２指令が指示する電力と、放電電力の検出値（第１電力）と、取得時刻（タイムスタンプ）とを記憶装置１５３に継続的に記録する（図６のＳ４２）。第２放電期間においては、サーバ３０から第２通信経路を介して車両５０へ第１指令が送信され（図６のＳ３４）、車両５０が第３指令に従ってバッテリ１３０の放電を行なう（図６のＳ４２）。この際、ＥＣＵ１５０は、第３指令に従う放電を実行しているときのバッテリ１３０の放電電力（第２電力）を検出する。そして、ＥＣＵ１５０は、第２放電期間において、第３指令が指示する電力と、放電電力の検出値（第２電力）と、取得時刻（タイムスタンプ）とを記憶装置１５３に継続的に記録する（図６のＳ４２）。
【0103】
上記のように、サーバ３０は、バッテリ１３０の１回の放電中（タイミングｔ１１からタイミングｔ１２までの期間）に第１放電期間と第２放電期間とが含まれるようにバッテリ１３０の放電制御を行なう。そして、車両５０は、第１及び第２放電期間の各々においてバッテリ１３０の放電と放電データの記録とを実行する。記録される放電電力は、たとえば、監視モジュール１２１により検出された放電電流及び放電電圧を含む。放電電圧が一定である場合には、ＥＣＵ１５０は放電電流のみを記録してもよい。
【0104】
上記安定期間において記録されたデータは、後述する診断処理で用いられる。再び図１～図３とともに図６を参照して、上記安定期間が終了すると、Ｓ３５及びＳ４３の各々においてＹＥＳ（通信チェックが終了した）と判断される。そして、充放電プロファイルの安定期間後においても、制御装置３１が実行するＳ３６の処理と、ＥＣＵ１５０が実行するＳ４４の処理とによって、バッテリ１３０の充放電（リモート制御）が実行される。図７に示すタイミングｔ１２まで充放電が進んで充放電プロファイルが終了すると、サーバ３０の制御装置３１は、Ｓ３７においてＹＥＳ（充放電が完了した）と判断する。この際、サーバ３０は、充放電が終了したことを示す信号（以下、「充放電終了信号」とも称する）を車両５０へ送信する。その後、サーバ３０は、図６に示す一連の処理を終了する。この実施の形態では、安定期間に該当しない期間においては、サーバ３０が、通信速度の速い第１通信経路を使って充放電指令を車両５０へ送信する。しかしこれに限られず、サーバ３０は第１通信経路の代わりに第２通信経路を使ってもよい。また、図７に示した充放電プロファイルは一例にすぎず適宜変更可能である。
【0105】
車両５０がサーバ３０から上記充放電終了信号を受信すると、ＥＣＵ１５０がＳ４５においてＹＥＳ（充放電が終了した）と判断する。これにより、図５に示したＳ２２の処理が終了し、車両５０による処理は、図５のＳ２３に進む。図５のＳ２３では、ＥＣＵ１５０が、上述の安定期間において記録したデータを用いて診断処理を実行する。図８は、図５のＳ２３における診断処理の詳細を示すフローチャートである。
【0106】
図１～図３とともに図８を参照して、Ｓ５１では、図６のＳ４２で記録された第２指令と第３指令とが一致するか否かを、ＥＣＵ１５０が判断する。この際、ＥＣＵ１５０は、第２指令と第３指令とのタイミングを合わせるため、第１通信経路の通信速度と第２通信経路の通信速度との差に基づいて時間補正を行なう。また、ＥＣＵ１５０は、後述する第１電力及び第２電力についても、同様の時間補正を行なう。こうした時間補正は、データを記録するとき（図６のＳ４２）に行なわれてもよい。
【0107】
第２指令と第３指令とのずれが所定の許容範囲内である場合には、Ｓ５１においてＹＥＳと判断される。他方、第２指令と第３指令とが上記所定の許容範囲を超えてずれている場合には、Ｓ５１においてＮＯと判断される。たとえば、第２指令が示す充放電プロファイルと第３指令が示す充放電プロファイルとをＥＣＵ１５０が比較して、時間のずれと電力値のずれとの少なくとも一方が許容範囲を超えている場合には、Ｓ５１においてＮＯと判断される。
【0108】
そして、第２指令と第３指令とが一致しない場合（Ｓ５１にてＮＯ）には、ＥＣＵ１５０は、Ｓ６１において、第１通信経路と第２通信経路とのいずれかが改ざん系のサイバー攻撃を受けていると判断し、Ｓ６２において、第１電力と第２電力とを用いて、第１通信経路と第２通信経路とのいずれが改ざん系のサイバー攻撃を受けているかを特定する。
【0109】
具体的には、ＥＣＵ１５０は、Ｓ６２において、第１通信経路を使った充放電時の第１電力（充電電力又は放電電力の検出値）と、第２通信経路を使った充放電時の第２電力（充電電力又は放電電力の検出値）との各々によって示される充放電プロファイル（すなわち、検出された充放電プロファイル）について、いずれの充放電プロファイルが指令どおりになっていないかを特定する。そして、ＥＣＵ１５０は、指令どおりになっていない充放電プロファイルに対応する通信経路がサイバー攻撃を受けていると判断する。
【0110】
たとえば、ＥＣＵ１５０は、安定期間における充放電電力が所定の基準電力値よりも高過ぎる又は低過ぎる場合に、充放電プロファイルが指令どおりになっていないと判断してもよい。また、ＥＣＵ１５０は、安定期間における充放電電力が安定しない場合に、充放電プロファイルが指令どおりになっていないと判断してもよい。また、ＥＣＵ１５０は、充放電の開始が所定の第１基準タイミングよりも早過ぎる又は遅過ぎる場合に、充放電プロファイルが指令どおりになっていないと判断してもよい。また、ＥＣＵ１５０は、充放電の終了が所定の第２基準タイミングよりも早過ぎる又は遅過ぎる場合に、充放電プロファイルが指令どおりになっていないと判断してもよい。なお、基準電力値、第１基準タイミング、及び第２基準タイミングの各々は、予め記憶装置１５３に記憶されてもよいし、充放電履歴から決定されてもよい。
【0111】
第２指令と第３指令とが一致する場合（Ｓ５１にてＹＥＳ）には、ＥＣＵ１５０は、Ｓ５２～Ｓ５４において、図６のＳ４２で記録された第２指令及び第３指令の各々について指令値（第２指令又は第３指令が指示する電力）と検出値（第１電力又は第２電力）とが一致するか否かを判断する。
【0112】
第２指令及び第３指令の両方につき指令値と検出値とが一致する場合には、Ｓ５２においてＹＥＳと判断され、処理がＳ６６に進む。Ｓ５２においてＹＥＳと判断されることは、第２指令と第３指令とが一致し、かつ、第２指令が指示する電力と第１電力とが一致し、かつ、第３指令が指示する電力と第２電力とが一致することを意味する。Ｓ６６では、充放電プロファイルに従う充放電が正常に行なわれたと、ＥＣＵ１５０が判断する。充放電が正常に行なわれたことは、第１及び第２通信経路の各々がサイバー攻撃を受けておらず、かつ、車両５０の通信系に故障が生じていないことを意味する。
【0113】
第２指令及び第３指令の両方につき指令値と検出値とが一致しない場合には、Ｓ５３においてＹＥＳと判断され、処理がＳ６５に進む。Ｓ５３においてＹＥＳと判断されることは、第２指令と第３指令とが一致し、かつ、第２指令が指示する電力と第１電力とが一致せず、かつ、第３指令が指示する電力と第２電力とが一致しないことを意味する。Ｓ６５では、車両５０（特に、通信系）に故障が生じていると、ＥＣＵ１５０が判断する。
【0114】
第２指令及び第３指令のうち第２指令のみについて指令値と検出値とが一致しない場合には、Ｓ５４において「第２指令」と判断され、処理がＳ６３に進む。Ｓ５４において「第２指令」と判断されることは、第２指令と第３指令とが一致し、かつ、第２指令が指示する電力と第１電力とが一致せず、かつ、第３指令が指示する電力と第２電力とが一致することを意味する。Ｓ６３では、第１通信経路が干渉系のサイバー攻撃を受けていると、ＥＣＵ１５０が判断する。
【0115】
第２指令及び第３指令のうち第３指令のみについて指令値と検出値とが一致しない場合には、Ｓ５４において「第３指令」と判断され、処理がＳ６４に進む。Ｓ５４において「第３指令」と判断されることは、第２指令と第３指令とが一致し、かつ、第２指令が指示する電力と第１電力とが一致し、かつ、第３指令が指示する電力と第２電力とが一致しないことを意味する。Ｓ６４では、第２通信経路が干渉系のサイバー攻撃を受けていると、ＥＣＵ１５０が判断する。
【0116】
上記Ｓ６２～Ｓ６６のいずれかの処理によって診断結果が得られると、図８に示す一連の処理は終了し、処理は図５のＳ２４に進む。再び図１～図３とともに図５を参照して、Ｓ２４では、ＥＣＵ１５０が、Ｓ２３（図８に示した処理）で得られた診断結果を、記憶装置１５３に記録するとともにサーバ３０へ送信する。この際、ＥＣＵ１５０は、サイバー攻撃を受けていない通信経路を使ってサーバ３０へ診断結果を送信する。サーバ３０は、各車両の診断結果を、車両ＩＤによって区別して記憶装置３２に記録し、逐次更新する。車両５０において記憶装置１５３に記録された情報（特に、故障に関する情報）はＯＢＤ（自己診断）で使用されてもよい。
【0117】
続くＳ２５では、ＥＣＵ１５０が、上記Ｓ２４で記録されたデータに基づいて、車両５０にサイバー攻撃又は故障が発生しているか否かを判断する。サイバー攻撃と故障とのいずれかが発生している場合には、Ｓ２５においてＹＥＳと判断され、処理がＳ２６に進む。具体的には、図８に示した処理により、第１又は第２通信経路に対して改ざん系のサイバー攻撃あり（Ｓ６１，Ｓ６２）、第１通信経路に対して干渉系のサイバー攻撃あり（Ｓ６３）、第２通信経路に対して干渉系のサイバー攻撃あり（Ｓ６４）、故障発生（Ｓ６５）と診断された場合には、Ｓ２５においてＹＥＳと判断される。他方、サイバー攻撃と故障とのいずれも発生していない場合には、Ｓ２５においてＮＯと判断され、図５に示す一連の処理が終了する。具体的には、図８に示した処理により正常（Ｓ６６）と診断された場合には、Ｓ２５においてＮＯと判断される。
【0118】
Ｓ２６では、診断結果に応じて充放電が禁止されるように、ＥＣＵ１５０がフラグＦ１及びＦ２を設定する。具体的には、図８に示した処理により、第１通信経路がサイバー攻撃を受けていると判断された場合（Ｓ６２，Ｓ６３）には、ＥＣＵ１５０はＳ２６でフラグＦ１をＯＦＦにする。第２通信経路がサイバー攻撃を受けていると判断された場合（Ｓ６２，Ｓ６４）には、ＥＣＵ１５０はＳ２６でフラグＦ２をＯＦＦにする。故障（Ｓ６５）と診断された場合には、ＥＣＵ１５０はＳ２６でフラグＦ１及びＦ２の両方をＯＦＦにする。なお、ＥＣＵ１５０が図８のＳ６２において第１通信経路と第２通信経路とのいずれがサイバー攻撃を受けているかを特定できなかった場合にも、ＥＣＵ１５０は図５のＳ２６においてフラグＦ１及びＦ２の両方をＯＦＦにしてもよい。
【0119】
続くＳ２７では、ＥＣＵ１５０が車両５０のユーザに対して報知処理を行なう。ＥＣＵ１５０は、たとえばユーザに携帯される携帯端末８０のタッチパネルディスプレイに所定のメッセージを表示させる。報知処理は、表示に限られず、音声で行なわれてもよい。ＥＣＵ１５０は、携帯端末８０の代わりに他の報知装置（たとえば、メータパネル、ヘッドアップディスプレイ、ナビゲーションディスプレイ、警告灯、又はスピーカ）に上記報知処理を行なわせてもよい。Ｓ２７の処理が実行されることにより、図５に示す一連の処理が終了する。
【0120】
再び図１～図３とともに図４を参照して、フラグＦ１及びＦ２が両方ともＯＮである場合（Ｓ１１にてＹＥＳ）には、Ｓ１２において、上述のような通信チェックが行なわれる。他方、フラグＦ１及びＦ２の少なくとも一方がＯＦＦである場合（Ｓ１１にてＮＯ）には、処理がＳ１３に進む。
【0121】
Ｓ１３では、フラグＦ１がＯＮであるか否かを、ＥＣＵ１５０が判断する。フラグＦ１がＯＮである場合（Ｓ１３にてＹＥＳ）には、処理がＳ１４に進む。フラグＦ１がＯＮであることは、ＥＣＵ１５０（判断部）により第１通信経路がサイバー攻撃を受けていないと判断されたことを意味する。Ｓ１４では、第１通信経路から充放電指令を受信したか否かを、ＥＣＵ１５０が判断する。
【0122】
フラグＦ１がＯＦＦである場合（Ｓ１３にてＮＯ）には、処理がＳ１５に進む。Ｓ１５では、フラグＦ２がＯＮであるか否かを、ＥＣＵ１５０が判断する。フラグＦ２がＯＮである場合（Ｓ１５にてＹＥＳ）には、処理がＳ１６に進む。フラグＦ２がＯＮであることには、ＥＣＵ１５０（判断部）により第２通信経路がサイバー攻撃を受けていないと判断されたことを意味する。Ｓ１６では、第２通信経路から充放電指令を受信したか否かを、ＥＣＵ１５０が判断する。
【0123】
サイバー攻撃を受けていない通信経路からＥＣＵ１５０が充放電指令を受信した場合（Ｓ１４又はＳ１６にてＹＥＳ）には、ＥＣＵ１５０は、Ｓ１７において、充放電指令に従って充放電器１２０を制御する。これにより、遠隔操作によるバッテリ１３０の充放電制御（リモート制御）が実行される。他方、ＥＣＵ１５０が充放電指令を受信しない場合（Ｓ１４又はＳ１６にてＮＯ）には、処理は最初のステップ（Ｓ１１）に戻る。
【0124】
ＥＣＵ１５０（判断部）により第１通信経路がサイバー攻撃を受けていると判断された場合には、フラグＦ１がＯＦＦになる。フラグＦ１がＯＦＦである場合（Ｓ１３にてＮＯ）には、処理がＳ１４に進まない。これにより、車両５０が第１通信経路を介して受信した指令に従うバッテリ１３０の充放電は禁止される。また、ＥＣＵ１５０（判断部）により第２通信経路がサイバー攻撃を受けていると判断された場合には、フラグＦ２がＯＦＦになる。フラグＦ２がＯＦＦである場合（Ｓ１５にてＮＯ）には、処理がＳ１６に進まない。これにより、車両５０が第２通信経路を介して受信した指令に従うバッテリ１３０の充放電は禁止される。こうした構成によれば、サイバー攻撃を受けている通信経路を使って車両５０のリモート制御が行なわれることを抑制できる。
【0125】
フラグＦ１及びＦ２が両方ともＯＦＦである場合（Ｓ１５にてＮＯ）には、処理がＳ１８に進む。Ｓ１８では、車両５０に通信エラーが生じていることを、ＥＣＵ１５０がサーバ３０に通知する。続くＳ１９では、リモート制御ではなくローカル制御によって充放電が実行されるようにＥＣＵ１５０が設定される。その後、図４に示す一連の処理が終了する。これにより、ＥＣＵ１５０は、所定の充放電制御（ローカル制御）を実行するようになる。この実施の形態では、ＥＣＵ１５０が以下に説明する充放電制御を実行する。
【0126】
ＥＣＵ１５０は、たとえば即時充電及びタイマ充電を実行する。具体的には、ＥＣＵ１５０は、タイマ充電が設定されていないときに車両５０がプラグイン状態になると、外部充電（即時充電）を開始する。また、車両５０のユーザは、入力装置１６０又は携帯端末８０を操作して、車両５０（より特定的には、ＥＣＵ１５０）にタイマ充電を設定できる。ユーザが開始時刻を指定して充電を予約することによって、車両５０にタイマ充電が設定される。プラグイン状態の車両５０において、設定されたタイマ充電の開始時刻が到来すると、ＥＣＵ１５０がタイマ充電を開始する。また、車両５０のユーザは、入力装置１６０又は携帯端末８０を操作して、車両５０（より特定的には、ＥＣＵ１５０）に外部給電を指示できる。プラグイン状態の車両５０は、ユーザからの指示に応じて外部給電を実行する。
【0127】
フラグＦ１及びＦ２が両方ともＯＦＦである場合には、サーバ３０によるリモート制御が適切に行なわれない可能性が高いため、ローカル制御による充放電のみが許可される。なお、ＥＣＵ１５０は、ローカル制御による充放電についても所定の検査を行ない、充放電器１２０が故障している場合にはローカル制御による充放電も禁止するように構成されてもよい。
【0128】
以上説明したように、実施の形態１に係る制御システム１は、車両５０（制御対象）に搭載されたバッテリ１３０の充電及び放電をリモート制御するサーバ３０を備える。サーバ３０は、バッテリ１３０の充電電力又は放電電力を指示する第１指令を、第１通信経路及び第２通信経路の各々を介して車両５０へ送信するように構成される。制御システム１は、車両５０に搭載されたＥＣＵ１５０（判断部を含む）をさらに備える。ＥＣＵ１５０は、サーバ３０が第１指令を送信したときに車両５０が第１通信経路を介して受信する第２指令と、サーバ３０が第１指令を送信したときに車両５０が第２通信経路を介して受信する第３指令とを用いて、第１通信経路と第２通信経路とのいずれかがサイバー攻撃を受けているか否かを判断する。具体的には、ＥＣＵ１５０は、図８に示した処理により、第１通信経路と第２通信経路とのいずれかがサイバー攻撃を受けているか否かを判断する。ＥＣＵ１５０は、第２指令と第３指令とを用いることで、第１通信経路と第２通信経路とのいずれかがサイバー攻撃を受けているか否かを的確に判断しやすくなる。
【0129】
図８に示した処理は、車両５０の通信系の故障を検知するが、故障を検知することは必須ではない。図８に示した処理は、改ざん系のサイバー攻撃と干渉系のサイバー攻撃との両方を検知するが、いずれか一方のみを検知するように変更されてもよい。たとえば、Ｓ５１、Ｓ６１、及びＳ６２のみによって、改ざん系のサイバー攻撃のみを検知してもよい。また、Ｓ６１で改ざん系のサイバー攻撃を受けたことを検知したときに、攻撃を受けた通信経路を特定せずに、図８に示した処理を終了してもよい。第１通信経路と第２通信経路とのいずれかがサイバー攻撃を受けている場合にフラグＦ１及びＦ２の両方がＯＦＦにされてもよい。
【0130】
［実施の形態２］
本開示の実施の形態２に係る制御システムについて説明する。実施の形態２は実施の形態１と共通する部分が多いため、主に相違点について説明し、共通する部分についての説明は割愛する。
本開示の実施の形態２に係る制御システムについて説明する。実施の形態２は実施の形態１と共通する部分が多いため、主に相違点について説明し、共通する部分についての説明は割愛する。
【0131】
実施の形態１では、車両５０に搭載されたＥＣＵ１５０が、第１通信経路と第２通信経路とのいずれかがサイバー攻撃を受けているか否かを判断する。しかしこれに限られず、車両５０の外部のコンピュータ（たとえば、サーバ３０）が、第１通信経路と第２通信経路とのいずれかがサイバー攻撃を受けているか否かを判断してもよい。
【0132】
実施の形態２に係る制御システムでは、サーバ３０が車両５０から第２指令及び第３指令を取得し、サーバ３０が、第１指令、第２指令、及び第３指令に基づいて、第１通信経路と第２通信経路とのいずれかがサイバー攻撃を受けているか否かを判断する。具体的には、実施の形態２に係る制御システムでは、車両５０が図９に示す処理を実行し、サーバ３０が図１０に示す処理を実行する。
【0133】
図９は、本開示の実施の形態２に係る通信チェックにおいて、車両５０が実行する処理を示すフローチャートである。車両５０は、図４に示した処理を実行し、図４のＳ１２において、図５に示した処理に代えて、以下に説明する図９に示す処理を実行する。図４のＳ１２においては、サーバ３０が、図６に示したリモート制御を実行する。図９のＳ２１、Ｓ２２は、それぞれ図５のＳ２１、Ｓ２２と同じである。
【0134】
図１～図３とともに図９を参照して、Ｓ２１では、サーバ３０による車両５０のリモート制御が開始されたか否かを、ＥＣＵ１５０が判断する。そして、リモート制御が開始されると（Ｓ２１にてＹＥＳ）、処理がＳ２２に進む。Ｓ２２では、ＥＣＵ１５０が、図６に示した充放電制御を実行する。続くＳ２３Ａでは、ＥＣＵ１５０が、図６のＳ４２で記録されたデータ（第２指令、第３指令、第１電力、及び第２電力を含む）をサーバ３０へ送信する。車両５０は、第１通信経路を介してサーバ３０へ第２指令及び第１電力を送信するとともに、第２通信経路を介してサーバ３０へ第３指令及び第２電力を送信してもよい。
【0135】
図１０は、実施の形態２に係る通信チェックにおいて、サーバ３０が実行する処理を示すフローチャートである。このフローチャートに示される処理は、サーバ３０が車両５０から上記データ（図９のＳ２３Ａ）を受信すると、開始される。図１０に示す処理は、Ｓ５１，Ｓ６１，Ｓ６２に代えてＳ５１Ａ，Ｓ５１Ｂ，Ｓ６１Ａ，Ｓ６２Ａが採用されること以外は、図８に示す処理と同じである。以下、Ｓ５１Ａ、Ｓ５１Ｂ、Ｓ６１Ａ、及びＳ６２Ａについて説明する。
【0136】
図１～図３とともに図１０を参照して、Ｓ５１Ａでは、第２指令及び第３指令が両方とも第１指令に一致するか否かを、サーバ３０の制御装置３１が判断する。第１指令は、充放電プロファイル（たとえば、図７参照）によって示されてもよい。第２指令及び第３指令は、サーバ３０が車両５０から受信したデータに含まれる。第２指令及び第３指令が両方とも第１指令に一致する場合（Ｓ５１ＡにてＹＥＳ）には、処理がＳ５２に進む。
【0137】
第２指令と第３指令とのいずれか一方が第１指令に一致しない場合（Ｓ５１ＡにてＮＯ）には、処理がＳ５１Ｂに進む。Ｓ５１Ｂでは、第２指令と第３指令とのどちらが第１指令に不一致かを、制御装置３１が判断する。
【0138】
第２指令と第１指令とが一致しない場合には、Ｓ５１Ｂにおいて「第２指令」と判断され、続くＳ６１Ａにおいて、第１通信経路が改ざん系のサイバー攻撃を受けていると、ＥＣＵ１５０が判断する。他方、第３指令と第１指令とが一致しない場合には、Ｓ５１Ｂにおいて「第３指令」と判断され、続くＳ６２Ａにおいて、第２通信経路が改ざん系のサイバー攻撃を受けていると、ＥＣＵ１５０が判断する。
【0139】
サーバ３０は、上記図１０に示す処理により、第１通信経路及び第２通信経路の各々についてサイバー攻撃を受けているか否かを的確に判断することが可能になる。なお、図１０のＳ５１Ｂにおいて第２指令及び第３指令の両方が第１指令に一致しない場合には、制御装置３１は、車両５０の通信系に故障が生じていると判断してもよい。
【0140】
【0141】
［実施の形態３］
本開示の実施の形態３に係る制御システムについて説明する。実施の形態３は実施の形態２と共通する部分が多いため、主に相違点について説明し、共通する部分についての説明は割愛する。
本開示の実施の形態３に係る制御システムについて説明する。実施の形態３は実施の形態２と共通する部分が多いため、主に相違点について説明し、共通する部分についての説明は割愛する。
【0142】
実施の形態３に係る制御システムでは、サーバ３０が管理する複数の車両の各々について、サーバ３０が診断処理を実行する。サーバ３０は、各車両の診断結果を、車両ＩＤによって区別して記憶装置３２に記録し、逐次更新する。サーバ３０が管理する複数の車両は、互いに異なる構成を有してもよいが、実施の形態３では、各車両が図１に示した構成を有する。
【0143】
図１１は、実施の形態３における地域ごとの車両の分布を示す図である。図１１において、Ｘ座標及びＹ座標は経度及び緯度（車両位置）を示す。図１１を参照して、サーバ３０が管理する車両５０Ａ～５０Ｄは、地域Ａ～Ｄに存在する。車両５０Ａ、５０Ｂ、５０Ｃ、５０Ｄはそれぞれ地域Ａ、Ｂ、Ｃ、Ｄ内に存在する。
【0144】
サーバ３０は、以下に説明する図１２に示す処理を地域Ａ～Ｄの各々について実行する。図１２は、実施の形態３においてサーバ３０が実行する通信チェックに係る処理を示すフローチャートである。このフローチャートに示される処理は、地域ごとに実行される。以下では、処理の対象となる地域（地域Ａ～Ｄのいずれか）を、「対象地域」と称する。
【0145】
図１～図３とともに図１２を参照して、Ｓ７１では、サーバ３０の制御装置３１が、対象地域内の各車両に通信チェック（診断処理を含む）を実行する。ただし、サーバ３０が通信チェックを行なう車両は、フラグＦ１及びＦ２が両方ともＯＮである車両に限られる（図４参照）。各車両に関する通信チェックの方法は、実施の形態２と同じであってもよい。
【0146】
Ｓ７２では、制御装置３１が、上記Ｓ７１で取得された各車両の診断結果を記憶装置３２に記録する。続くＳ７３では、制御装置３１が、各車両の診断結果を用いて、対象地域に存在する所定数以上の車両が同じ通信経路にサイバー攻撃を受けているか否かを判断する。たとえば、対象地域に存在する所定数以上の車両が第１通信経路にサイバー攻撃を受けている場合には、Ｓ７３においてＹＥＳと判断される。また、対象地域に存在する所定数以上の車両が第２通信経路にサイバー攻撃を受けている場合にも、Ｓ７３においてＹＥＳと判断される。
【0147】
Ｓ７３においてＹＥＳと判断された場合には、制御装置３１は、Ｓ７４において、対象地域がサイバー攻撃を受けていると判断する。そして、制御装置３１は、Ｓ７５において、対象地域に存在する各車両のユーザに対して報知処理を行なう。たとえば、図１１に示す地域Ａがサイバー攻撃を受けている場合には、地域Ａに存在する各車両５０Ａのユーザに対して報知処理を行なう。サーバ３０が管理する各車両のユーザ端末は、サーバ３０に登録されている。ユーザ端末は、モバイル端末でもよいし、車載端末でもよい。サーバ３０に登録された情報は、車両ＩＤと紐付けられて記憶装置３２に保存される。
【0148】
Ｓ７５における報知処理の方法は任意である。制御装置３１は、たとえば車両ユーザに携帯される携帯端末のタッチパネルディスプレイに所定のメッセージを表示させてもよい（図５のＳ２７参照）。Ｓ７５の処理が実行されると、図１２に示す一連の処理が終了する。サーバ３０の制御装置３１は、本開示に係る「報知部」の一例として機能する。
【0149】
他方、Ｓ７３においてＮＯと判断された場合には、Ｓ７４及びＳ７５の処理が行なわれることなく、図１２に示す一連の処理が終了する。
【0150】
上記図１２に示す処理によれば、地域に対するサイバー攻撃の有無を的確に判断することが可能になる。また、上記報知処理（Ｓ７５）により、ユーザが、サイバー攻撃を受けていることを把握しやすくなり、早期に対応措置を行ないやすくなる。
【0151】
【0152】
図１～図３とともに図１３を参照して、Ｓ７３Ａでは、サーバ３０の制御装置３１が、各車両の診断結果を用いて、対象地域に存在する所定数以上の車両が同じサイバー攻撃を受けているか否かを判断する。制御装置３１は、サイバー攻撃を受けた各車両に同じ症状が生じている場合に、それらの車両が同じサイバー攻撃を受けていると認定してもよい。たとえば、制御装置３１は、サイバー攻撃を受けた各車両について、同じ通信経路に対する指令が同じように改ざんされている場合に、それらの車両が同じサイバー攻撃を受けていると認定してもよい。
【0153】
【0154】
図１４を参照して、この例では、線Ｌ１０に対応する第１指令が改ざんされるパターンを所定のパターン（たとえば、線Ｌ１１～Ｌ１７で示される７つのパターン）に分類して、同じ通信経路に対する指令（第２指令又は第３指令）が同じパターンで改ざんされていた場合に、図１３のＳ７３ＡにおいてＹＥＳと判断される。線Ｌ１１は、充放電の開始が第１指令よりも早いパターンを示す。線Ｌ１２は、充放電の開始が第１指令よりも遅いパターンを示す。線Ｌ１３は、充放電の終了が第１指令よりも早いパターンを示す。線Ｌ１４は、充放電の終了が第１指令よりも遅いパターンを示す。線Ｌ１５は、安定期間における充放電電力が第１指令よりも低いパターンを示す。線Ｌ１６は、安定期間における充放電電力が第１指令よりも高いパターンを示す。線Ｌ１７は、安定期間における充放電電力が安定しないパターンを示す。
【0155】
再び図１～図３とともに図１３を参照して、Ｓ７３ＡにおいてＹＥＳと判断された場合には、制御装置３１は、Ｓ７４において、対象地域がサイバー攻撃を受けていると判断し、Ｓ７５において、対象地域に存在する各車両のユーザに対して報知処理を行なう。他方、Ｓ７３ＡにおいてＮＯと判断された場合には、Ｓ７４及びＳ７５の処理が行なわれることなく、図１３に示す一連の処理が終了する。上記図１３に示す処理によっても、地域に対するサイバー攻撃の有無を的確に判断することが可能になる。
【0156】
なお、サーバ３０は、図１３のＳ７１において、バッテリ１３０のＳＯＣが同程度の車両のみを通信チェックの対象としてもよい。たとえば、充電プロファイルによる通信チェックを行なう場合には、バッテリ１３０のＳＯＣが所定値（たとえば、２０％）以下の車両のみを通信チェックの対象としてもよい。また、放電プロファイルによる通信チェックを行なう場合には、バッテリ１３０のＳＯＣが所定値（たとえば、８０％）以上の車両のみを通信チェックの対象としてもよい。こうすることで、これらの車両が同じサイバー攻撃を受けているか否かを正確に判断しやすくなる。
【0157】
［他の実施の形態］
上記各実施の形態においてサーバ３０に実装されたリモート制御に係る機能の少なくとも一部は、定置式のコンピュータではなく、モバイル端末に搭載されてもよい。また、上記実施の形態２，３においてサーバ３０に実装された診断処理に係る機能の少なくとも一部は、定置式のコンピュータではなく、モバイル端末に搭載されてもよい。
上記各実施の形態においてサーバ３０に実装されたリモート制御に係る機能の少なくとも一部は、定置式のコンピュータではなく、モバイル端末に搭載されてもよい。また、上記実施の形態２，３においてサーバ３０に実装された診断処理に係る機能の少なくとも一部は、定置式のコンピュータではなく、モバイル端末に搭載されてもよい。
【0158】
上記各実施の形態では、エネルギーマネジメントを行なうための充放電中の安定期間を利用して、診断処理に用いられるデータを取得し、記録している。しかしこれに限られず、エネルギーマネジメントを行なうための充放電の前又は後に、診断処理に用いられるデータを取得するための充放電を実行し、その充放電中に上記データを取得し、記録してもよい。
【0159】
上記各実施の形態では、制御コンピュータ（サーバ３０）が、制御対象（車両５０）に搭載された蓄電装置の充電及び放電の両方をリモート制御している。しかしこれに限られず、制御コンピュータは蓄電装置の充電及び放電の一方のみをリモート制御してもよい。
【0160】
電力会社は、事業別に分社化されていてもよい。発電事業者と送配電事業者とが異なる会社であってもよい。１つのアグリゲータが、上位アグリゲータ及び下位アグリゲータの両方の役割を果たしてもよい。制御コンピュータは、電力市場からエネルギーマネジメントの要請を受けてもよい。制御コンピュータは、アグリゲータサーバに限られず、複数種の通信経路を介して車両と通信可能なコンピュータであれば任意である。
【0161】
車両の構成は、図１に示した構成に限られない。たとえば、車両は、外部充電及び外部給電のうちいずれか一方のみを行なうように構成されてもよい。車両は、非接触充電可能に構成されてもよい。車両は、乗用車に限られず、バス又はトラックであってもよい。車両は、ＢＥＶに限られず、内燃機関を備えるＰＨＥＶであってもよい。車両は、自動運転可能に構成されてもよいし、飛行機能を備えてもよい。
【0162】
制御対象は、車両に限られず、車両以外の乗り物（鉄道車両、船、飛行機等）であってもよいし、無人の移動体であってもよいし、建物であってもよいし、電気機器であってもよい。
【0163】
今回開示された実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した実施の形態の説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。
【符号の説明】
【0164】
１ 制御システム、１０，２０，３０ サーバ、３１ 制御装置、３２ 記憶装置、３３ 通信装置、３４ 入力装置、４０ ＥＶＳＥ、４１ 電源回路、４２ 充電ケーブル、４２ａ コネクタ、４３ 制御装置、４４ ＧＷ、５０，５０Ａ，５０Ｂ，５０Ｃ，５０Ｄ 車両、８０ 携帯端末、１１０ インレット、１２０ 充放電器、１２１ 監視モジュール、１３０ バッテリ、１３１ 監視モジュール、１４０ 走行駆動部、１５０ ＥＣＵ、１５１ プロセッサ、１５２ ＲＡＭ、１５３ 記憶装置、１５４ タイマ、１６０ 入力装置、１８０ 通信機器、ＰＧ 電力系統。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】