特許 7355073 車両制御装置、車両、車両制御方法及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-09-25

(45)【発行日】2023-10-03

(54)【発明の名称】車両制御装置、車両、車両制御方法及びプログラム

(51)【国際特許分類】

   B60R 25/24 20130101AFI20230926BHJP

   B60W 60/00 20200101ALI20230926BHJP

   E05B 49/00 20060101ALI20230926BHJP

【ＦＩ】

B60R25/24

B60W60/00

E05B49/00 J

【請求項の数】 10

(21)【出願番号】P 2021084862

(22)【出願日】2021-05-19

(65)【公開番号】P2022178229

(43)【公開日】2022-12-02

【審査請求日】2023-03-23

(73)【特許権者】

【識別番号】000003207

【氏名又は名称】トヨタ自動車株式会社

(74)【代理人】

【識別番号】110001519

【氏名又は名称】弁理士法人太陽国際特許事務所

(72)【発明者】

【氏名】山本 祐介

【審査官】飯島 尚郎

(56)【参考文献】

【文献】特開２００６－０８２７１０（ＪＰ，Ａ）

【文献】特開２０１７－０８７７６１（ＪＰ，Ａ）

【文献】特開２０１８－１８６４４９（ＪＰ，Ａ）

【文献】特開２００３－１４６１８５（ＪＰ，Ａ）

【文献】特開２００８－０７８７６９（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１５／０１１６０８１（ＵＳ，Ａ１）

【文献】独国特許出願公開第１０２０１９１２２２３１（ＤＥ，Ａ１）

【文献】特開２０２０－１８３１８５（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｂ６０Ｒ ２５／００－２５／４０

Ｂ６０Ｗ ６０／００

Ｅ０５Ｂ ４９／００

(57)【特許請求の範囲】

【請求項1】

操作信号を受信したときに制御信号を送信する通信部と、前記制御信号を受信したときに制御要求信号を送信する中継部と、に電気的に接続され、前記中継部が前記制御信号を受信したときに、前記中継部を認証するか否かの認証作業を実行する、車両に搭載された認証部と、
前記認証部から前記中継部を認証することを表す認証信号を受信したときに、前記中継部から受信した前記制御要求信号に基づいて前記車両に設けられた制御対象を制御する、前記車両に搭載された制御部と、
を備える車両制御装置。

【請求項2】

前記認証部が、前記中継部から前記制御要求信号である第１制御要求信号を受信したときに、前記中継部へ前記中継部を認証するか否かを判定するための認証判定信号を送信し、且つ、前記中継部を認証するという判定を行ったときに、前記制御部へ前記認証信号を送信する請求項１に記載の車両制御装置。

【請求項3】

前記中継部が前記認証判定信号に対する応答信号を前記認証部へ送信したときに、前記認証部が、受信した前記応答信号の種類に基づいて、前記中継部を認証しないことを表す非認証信号又は前記認証信号を前記制御部へ送信する請求項２に記載の車両制御装置。

【請求項4】

前記中継部は、前記認証判定信号を受信したときに、前記応答信号及び前記制御要求信号である第２制御要求信号を前記制御部へ送信し、
前記制御部は、前記第１制御要求信号、前記認証信号及び前記第２制御要求信号を受信したときに前記制御対象を制御する請求項３に記載の車両制御装置。

【請求項5】

前記制御部は、前記第１制御要求信号を受信してから所定の制限時間内に前記認証信号及び前記第２制御要求信号を受信したときに前記制御対象を制御する請求項４に記載の車両制御装置。

【請求項6】

前記制御対象が、前記車両の駆動源に電力を供給して前記駆動源を作動させる電源であり、
前記制御部は前記制御要求信号を受信したときに、前記電源を電力供給不能な状態と電力供給可能な状態との一方から他方に切り替える請求項１～５の何れか１項に記載の車両制御装置。

【請求項7】

請求項１～６の何れか１項に記載の車両制御装置を備え、且つ、前記車両制御装置が前記通信部、前記中継部、前記認証部及び前記制御部を有する車両。

【請求項8】

前記通信部が、外部通信機器から前記操作信号を受信したときに前記制御信号を送信する請求項７に記載の車両。

【請求項9】

車両に搭載された通信部が、操作信号を受信したときに制御信号を送信するステップ、
前記車両に搭載された中継部が、前記通信部から前記制御信号を受信したときに制御要求信号を送信するステップ、
前記車両に搭載された認証部が、前記中継部が前記制御信号を受信したときに、前記中継部を認証するか否かの認証作業を実行するステップ、及び
前記車両に搭載された制御部が、前記認証部から前記中継部を認証することを表す認証信号を受信したときに、前記中継部から受信した前記制御要求信号に基づいて前記車両に設けられた制御対象を制御するステップ、
を有する車両制御方法。

【請求項10】

車両に搭載された通信部が、操作信号を受信したときに制御信号を送信する処理、
前記車両に搭載された中継部が、前記通信部から前記制御信号を受信したときに制御要求信号を送信する処理、
前記車両に搭載された認証部が、前記中継部が前記制御信号を受信したときに、前記中継部を認証するか否かの認証作業を実行する処理、及び
前記車両に搭載された制御部が、前記認証部から前記中継部を認証することを表す認証信号を受信したときに、前記中継部から受信した前記制御要求信号に基づいて前記車両に設けられた制御対象を制御する処理、
を、前記通信部、前記中継部、前記認証部及び前記制御部を有する車両制御装置に実行させるプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、車両制御装置、車両、車両制御方法及びプログラムに関する。

【背景技術】

【0002】

下記特許文献１に開示された車両は、外部通信機器と無線通信可能な通信装置と、通信装置と電気的に接続された遠隔操作受付ＥＣＵ（中継部）と、遠隔操作受付ＥＣＵと電気的に接続された照合ＥＣＵ（制御部）と、を備える。外部通信機器が発信した操作信号を受信した通信機器は、この操作信号を外部通信機器のＩＤ情報と一緒に遠隔操作受付ＥＣＵへ送信する。さらに遠隔操作受付ＥＣＵは、外部通信機器のＩＤ情報を照合ＥＣＵへ送信する。照合ＥＣＵは、受信した外部通信機器のＩＤ情報に基づいて、外部通信機器を認証するか否かの認証作業を実行する。照合ＥＣＵが外部通信機器を認証した場合、遠隔操作受付ＥＣＵは受信した操作信号に基づいて、車両に設けられた制御対象（例えばドアロック装置）を制御する。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２００８－０７８７６９号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

上記特許文献１では、遠隔操作受付ＥＣＵが信頼できるＥＣＵであるという前提で、操作信号に基づいて制御対象が制御される。そのため、遠隔操作受付ＥＣＵの信頼性の確認について改善の余地がある。

【0005】

本発明は上記事実を考慮し、通信部が操作信号を受信したときに信号を制御部へ送信する中継部の信頼性を担保しながら、制御部が受信した信号に基づいて制御対象を制御できる車両制御装置、車両、車両制御方法及びプログラムを得ることを目的とする。

【課題を解決するための手段】

【0006】

請求項１に記載の車両制御装置は、操作信号を受信したときに制御信号を送信する通信部と、前記制御信号を受信したときに制御要求信号を送信する中継部と、に電気的に接続され、前記中継部が前記制御信号を受信したときに、前記中継部を認証するか否かの認証作業を実行する、車両に搭載された認証部と、前記認証部から前記中継部を認証することを表す認証信号を受信したときに、前記中継部から受信した前記制御要求信号に基づいて前記車両に設けられた制御対象を制御する、前記車両に搭載された制御部と、を備える。

【0007】

請求項１に記載の車両制御装置では、通信部が操作信号を受信したときに、中継部が通信部から制御信号を受信し且つ制御要求信号を送信する。さらに中継部が制御信号を受信したときに、認証部が中継部を認証するか否かの認証作業を実行する。さらに制御部が、認証部から中継部を認証することを表す認証信号を受信したときに、中継部から受信した前記制御要求信号に基づいて車両に設けられた制御対象を制御する。

【0008】

このように請求項１に記載の車両制御装置は、認証部が中継部を認証したときに、制御部が、中継部から受信した制御要求信号に基づいて車両に設けられた制御対象を制御する。従って、請求項１に記載の車両制御装置は、通信部が操作信号を受信したときに信号を制御部へ送信する中継部の信頼性を担保しながら、制御部が受信した信号に基づいて制御対象を制御できる。

【0009】

請求項２に記載の発明に係る車両制御装置は、請求項１記載の発明において、前記認証部が、前記中継部から前記制御要求信号である第１制御要求信号を受信したときに、前記中継部へ前記中継部を認証するか否かを判定するための認証判定信号を送信し、且つ、前記中継部を認証するという判定を行ったときに、前記制御部へ前記認証信号を送信する。

【0010】

請求項２に記載の発明では、中継部から制御要求信号である第１制御要求信号を受信したときに、認証部が、中継部へ中継部を認証するか否かを判定するための認証判定信号を送信する。さらに認証部は中継部を認証するという判定を行ったときに、制御部へ認証信号を送信する。このように請求項２に記載の発明では、認証部が中継部から第１制御要求信号を受信したことをトリガーにして、認証部による認証作業が実行される。

【0011】

請求項３に記載の発明に係る車両制御装置は、請求項２記載の発明において、前記中継部が前記認証判定信号に対する応答信号を前記認証部へ送信したときに、前記認証部が、受信した前記応答信号の種類に基づいて、前記中継部を認証しないことを表す非認証信号又は前記認証信号を前記制御部へ送信する。

【0012】

請求項３に記載の発明では、中継部が認証判定信号に対する応答信号を認証部へ送信したときに、認証部が、受信した応答信号の種類に基づいて非認証信号又は認証信号を制御部へ送信する。制御部が非認証信号を受信した場合は、制御部は制御対象を制御しない。一方、制御部が認証信号を受信した場合は、制御部は制御要求信号に基づいて制御対象を制御する。このように請求項３に記載の発明では、制御部が、受信した信号の種類に基づいて中継部が認証されたか否かを判断し、認証された場合に制御対象を制御する。

【0013】

請求項４に記載の発明に係る車両制御装置は、請求項３記載の発明において、前記中継部は、前記認証判定信号を受信したときに、前記応答信号及び前記制御要求信号である第２制御要求信号を前記制御部へ送信し、前記制御部は、前記第１制御要求信号、前記認証信号及び前記第２制御要求信号を受信したときに前記制御対象を制御する。

【0014】

請求項４に記載の発明では、制御部は、第１制御要求信号、認証信号及び第２制御要求信号を受信したときに制御対象を制御する。このように制御部は、第１制御要求信号に加えて第２制御要求信号を受信したときに制御対象を制御する。第１制御要求信号及び第２制御要求信号は、中継部が送信する信号である。従って、制御部が第１制御要求信号及び認証信号のみに基づいて制御対象を制御する場合と比べて、中継部の信頼性の判定精度が高くなる。

【0015】

請求項５に記載の発明に係る車両制御装置は、請求項４記載の発明において、前記制御部は、前記第１制御要求信号を受信してから所定の制限時間内に前記認証信号及び前記第２制御要求信号を受信したときに前記制御対象を制御する。

【0016】

請求項５に記載の発明では、制御部は、第１制御要求信号を受信してから所定の制限時間内に認証信号及び第２制御要求信号を受信したときに制御対象を制御する。制御部が第１制御要求信号を受信してから認証信号及び第２制御要求信号を受信するまでの時間に制限がない場合は、悪意のある者が信頼性の無い中継部を操作することにより、認証部に認証信号を送信させるための応答信号及び第２制御要求信号を中継部に送信させるおそれが大きくなる。しかし請求項５に記載の発明では、第１制御要求信号を受信してから認証信号及び第２制御要求信号を受信するまでの時間を所定の制限時間に制限しているので、このような問題が発生するおそれが小さい。

【0017】

請求項６に記載の発明に係る車両制御装置は、請求項１～５の何れか１項に記載の発明において、前記制御対象が、前記車両の駆動源に電力を供給して前記駆動源を作動させる電源であり、前記制御部は前記制御要求信号を受信したときに、前記電源を電力供給不能な状態と電力供給可能な状態との一方から他方に切り替える。

【0018】

請求項６に記載の発明では、制御要求信号を受信した制御部が、車両の駆動源に電力を供給して駆動源を作動させる電源を、電力供給不能な状態と電力供給可能な状態との一方から他方に切り替える。従って、例えば電源を電力供給不能な状態から電力供給可能な状態へ切り替える場合は、制御部が制御要求信号を受信したときに、当該電源から駆動源に電力が供給され駆動源が作動する。

【0019】

請求項７に記載の発明に係る車両は、請求項１～６の何れか１項に記載の車両制御装置を備え、且つ、前記車両制御装置が前記通信部、前記中継部、前記認証部及び前記制御部を有する。

【0020】

請求項８に記載の発明に係る車両は、請求項７記載の発明において、前記通信部が、外部通信機器から前記操作信号を受信したときに前記制御信号を送信する。

【0021】

請求項９に記載の発明に係る車両制御方法は、車両に搭載された通信部が、操作信号を受信したときに制御信号を送信するステップ、前記車両に搭載された中継部が、前記通信部から前記制御信号を受信したときに制御要求信号を送信するステップ、前記車両に搭載された認証部が、前記中継部が前記制御信号を受信したときに、前記中継部を認証するか否かの認証作業を実行するステップ、及び前記車両に搭載された制御部が、前記認証部から前記中継部を認証することを表す認証信号を受信したときに、前記中継部から受信した前記制御要求信号に基づいて前記車両に設けられた制御対象を制御するステップ、を有する。

【0022】

請求項１０に記載の発明に係るプログラムは、車両に搭載された通信部が、操作信号を受信したときに制御信号を送信する処理、前記車両に搭載された中継部が、前記通信部から前記制御信号を受信したときに制御要求信号を送信する処理、前記車両に搭載された認証部が、前記中継部が前記制御信号を受信したときに、前記中継部を認証するか否かの認証作業を実行する処理、及び前記車両に搭載された制御部が、前記認証部から前記中継部を認証することを表す認証信号を受信したときに、前記中継部から受信した前記制御要求信号に基づいて前記車両に設けられた制御対象を制御する処理、を、前記通信部、前記中継部、前記認証部及び前記制御部を有する車両制御装置に実行させる。

【発明の効果】

【0023】

以上説明したように、本発明に係る車両制御装置、車両、車両制御方法及びプログラムは、通信部が操作信号を受信したときに信号を制御部へ送信する中継部の信頼性を担保しながら、制御部が受信した信号に基づいて制御対象を制御できる、という優れた効果を有する。

【図面の簡単な説明】

【0024】

【図1】実施形態に係る車両制御装置を備える車両を示す模式図である。

【図2】図１に示される車両の自動運転ＥＣＵの制御ブロック図である。

【図3】図２に示される自動運転ＥＣＵの機能ブロック図である。

【図4】図１に示される中継ＥＣＵの機能ブロック図である。

【図5】図１に示される車両の照合ＥＣＵの制御ブロック図である。

【図6】図５に示される照合ＥＣＵの認証マイコンの機能ブロック図である。

【図7】照合ＥＣＵの制御マイコンの機能ブロック図である。

【図8】図１に示される車両制御装置が実行する動作を表すシーケンス図である。

【図9】図１に示される車両制御装置が行う処理を示すフローチャートである。

【図10】車両制御装置が行う処理を示すフローチャートである。

【発明を実施するための形態】

【0025】

以下、本発明に係る車両制御装置１０、車両制御装置１０を備える車両１２、車両制御方法及びプログラムの実施形態について、図面を参照しながら説明する。

【0026】

図１は、実施形態の車両制御装置１０を備える車両１２を示している。車両制御装置１０は、自動運転キット（通信部）１４、中継ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）（中継部）１６、照合ＥＣＵ１８及びバス２６Ａ、２６Ｂを備える。バス２６Ａは自動運転キット１４と中継ＥＣＵ１６を電気的に接続する。バス２６Ｂは中継ＥＣＵ１６と照合ＥＣＵ１８を電気的に接続する。自動運転キット１４、中継ＥＣＵ１６、照合ＥＣＵ１８及びバス２６Ａ、２６Ｂを有する車内ネットワークは、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）又はＦｌｅｘ Ｒａｙ(登録商標)である。なお、本実施形態では、バス２６Ａを介した自動運転キット１４と中継ＥＣＵ１６との間の通信、及び、バス２６Ｂを介した中継ＥＣＵ１６と照合ＥＣＵ１８との間の通信には、多重通信が可能な通信プロトコル（例えばＣＡＮ）が適用されている。

【0027】

図１に示されるように車両１２には、エンジン（駆動源）（図示省略）を制御するためのエンジンＥＣＵ３０が設けられている。照合ＥＣＵ１８には、エンジンのイグニッションスイッチ（制御対象）３４が電気的に接続されている。イグニッションスイッチ３４は給電線３６に設けられている。給電線３６の一端は電源（バッテリ）３８に接続され、給電線３６の他端はエンジンＥＣＵ３０に接続されている。イグニッションスイッチ３４は、図１に実線で示されるＯＦＦ位置と、仮想線で示されるＯＮ位置と、の間を移動可能である。イグニッションスイッチ３４の初期位置はＯＦＦ位置である。

【0028】

図１に示されるように自動運転キット１４は車両１２のセンターコンソールの内部に設けられている。但し、自動運転キット１４は、車両１２のセンターコンソールとは別の部位（例えば、車両天井部）に設けられてもよい。自動運転キット１４は、無線通信装置（図示省略）と、図２に示される自動運転ＥＣＵ１５と、を有する。無線通信装置と自動運転ＥＣＵ１５と車両１２に設けられたセンサ群（図示省略）は互いに接続されている。これらのセンサ群には、例えばカメラが含まれる。自動運転ＥＣＵ１５は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ：プロセッサ）１５Ａ、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１５Ｂ、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１５Ｃ、ストレージ１５Ｄ、通信Ｉ／Ｆ（Ｉｎｔｅｒ Ｆａｃｅ）１５Ｅ及び入出力Ｉ／Ｆ１５Ｆを含んで構成されている。ＣＰＵ１５Ａ、ＲＯＭ１５Ｂ、ＲＡＭ１５Ｃ、ストレージ１５Ｄ、通信Ｉ／Ｆ１５Ｅ及び入出力Ｉ／Ｆ１５Ｆは、バス１５Ｚを介して相互に通信可能に接続されている。自動運転ＥＣＵ１５は、タイマー（図示省略）から時刻に関する情報を取得可能である。なお、図示は省略されているが、中継ＥＣＵ１６及びエンジンＥＣＵ３０のハードウェア構成は自動運転ＥＣＵ１５と同じである。本実施形態の自動運転キット１４は、車両１２を製造したメーカーとは別のメーカーによって製造される。

【0029】

ＣＰＵ１５Ａは、中央演算処理ユニットであり、各種プログラムを実行したり、各部を制御したりする。すなわち、ＣＰＵ１５Ａは、ＲＯＭ１５Ｂ又はストレージ１５Ｄからプログラムを読み出し、ＲＡＭ１５Ｃを作業領域としてプログラムを実行する。ＣＰＵ１５Ａは、ＲＯＭ１５Ｂに記録されているプログラムに従って、各構成の制御及び各種の演算処理を行う。例えば、ＣＰＵ１５Ａは、自動運転制御（運転支援制御）を実行するためにステアリングホイール、ブレーキ装置、エンジン及び方向指示器の制御を行う。

【0030】

ＲＯＭ１５Ｂ及び中継ＥＣＵ１６のＲＯＭは、各種プログラム及び各種データを格納する。

【0031】

ＲＡＭ１５Ｃは、作業領域として一時的にプログラム又はデータを記憶する。ストレージ１５Ｄは、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）又はＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記憶装置により構成され、各種プログラム及び各種データを格納する。通信Ｉ／Ｆ１５Ｅは、自動運転ＥＣＵ１５が他の機器と通信するためのインタフェースである。通信Ｉ／Ｆ１５Ｅはバス２６Ａに接続される。入出力Ｉ／Ｆ１５Ｆは、車両１２に搭載される各装置と通信するためのインタフェースである。

【0032】

図３には、自動運転ＥＣＵ１５の機能構成の一例がブロック図で示されている。自動運転ＥＣＵ１５は、機能構成として、ＩＤ照合部１５１、信号生成部１５２及び送信部１５３を有する。ＩＤ照合部１５１、信号生成部１５２及び送信部１５３は、ＣＰＵ１５ＡがＲＯＭ１５Ｂに記憶されたプログラムを読み出し、実行することにより実現される。

【0033】

ＩＤ照合部１５１は、上記無線通信装置が後述する携帯端末（外部通信機器）４０から操作信号を受信したか否かを判定する。さらにＩＤ照合部１５１は、操作信号に含まれる携帯端末４０のＩＤ情報が、ＲＯＭ１５Ｂに記録されたＩＤ情報リスト（図示省略）に含まれたＩＤ情報と一致するか否かを判定する。

【0034】

信号生成部１５２は、無線通信装置から受信した信号に基づいて、イグニッションスイッチ３４（制御対象）を制御するための制御信号を生成する。

【0035】

送信部１５３は、信号生成部１５２が生成した制御信号を、バス２６Ａを介して中継ＥＣＵ１６へ送信する。

【0036】

図４には、中継ＥＣＵ１６の機能構成の一例がブロック図で示されている。中継ＥＣＵ１６は、機能構成として、受信部１６１、制御要求信号生成部１６２、応答信号生成部１６３及び送信部１６４を有する。受信部１６１、制御要求信号生成部１６２、応答信号生成部１６３及び送信部１６４は、中継ＥＣＵ１６のＣＰＵがＲＯＭに記憶されたプログラムを読み出し、実行することにより実現される。

【0037】

受信部１６１は、自動運転ＥＣＵ１５が送信した制御信号、及び、後述する認証判定信号を受信する。

【0038】

制御要求信号生成部１６２は、受信部１６１が制御信号を受信したときに、第１制御要求信号を生成する。さらに制御要求信号生成部１６２は、受信部１６１が認証判定信号を受信したときに、第２制御要求信号を生成する。

【0039】

応答信号生成部１６３は、受信部１６１が認証判定信号を受信したときに、認証判定信号に対する応答信号を生成する。後述するように、本実施形態の認証判定信号は、ＡＥＳ(Advanced Encryption Standard）を利用した暗号を表す信号である。そのため、本実施形態の応答信号は、ＡＥＳを利用して暗号化されたデータを復号化したデータを表す信号である。

【0040】

送信部１６４は、生成された第１制御要求信号、第２制御要求信号及び応答信号を、バス２６Ｂを介して照合ＥＣＵ１８へ送信する。さらに送信部１６４は、第２制御要求信号及び応答信号を一つのメッセージに載せて照合ＥＣＵ１８へ送信する。

【0041】

図５に示されるように、照合ＥＣＵ１８は、認証マイコン（認証部）１９及び制御マイコン（制御部）２０を有する。さらに照合ＥＣＵ１８は、認証マイコン１９と制御マイコン２０とを接続するバス２１を有する。さらに照合ＥＣＵ１８は通信Ｉ／Ｆ（図示省略）を有する。

【0042】

認証マイコン１９は、ＣＰＵ１９Ａ、ＲＯＭ１９Ｂ、ＲＡＭ１９Ｃ、及び入出力Ｉ／Ｆ１９Ｆを含んで構成されている。ＣＰＵ１９Ａ、ＲＯＭ１９Ｂ、ＲＡＭ１９Ｃ、及び入出力Ｉ／Ｆ１９Ｆは、バス１９Ｚを介して相互に通信可能に接続されている。認証マイコン１９は、タイマー（図示省略）から時刻に関する情報を取得可能である。

【0043】

制御マイコン２０は、ＣＰＵ２０Ａ、ＲＯＭ２０Ｂ、ＲＡＭ２０Ｃ、及び入出力Ｉ／Ｆ２０Ｆを含んで構成されている。ＣＰＵ２０Ａ、ＲＯＭ２０Ｂ、ＲＡＭ２０Ｃ、及び入出力Ｉ／Ｆ２０Ｆは、バス２０Ｚを介して相互に通信可能に接続されている。制御マイコン２０は、タイマー（図示省略）から時刻に関する情報を取得可能である。

【0044】

図６には、認証マイコン１９の機能構成の一例がブロック図で示されている。認証マイコン１９は、機能構成として、受信部１９１、信号生成部１９２及び送信部１９３を有する。受信部１９１、信号生成部１９２及び送信部１９３は、認証マイコン１９のＣＰＵ１９ＡがＲＯＭ１９Ｂに記憶されたプログラムを読み出し、実行することにより実現される。

【0045】

受信部１９１は、送信部１６４が送信した第１制御要求信号及び応答信号を受信する。

【0046】

信号生成部１９２は認証判定信号を生成する。上述のように、この認証判定信号はＡＥＳを利用した暗号を表す信号である。さらに信号生成部１９２は、受信部１９１が送信部１６４から上記応答信号を受信したときに、認証信号又は非認証信号を生成する。即ち、受信部１９１が受信した応答信号が表す復号化データの内容が正しいと信号生成部１９２が判定した場合に、信号生成部１９２は認証信号を生成する。この認証信号は、認証マイコン１９が中継ＥＣＵ１６を認証したことを表す信号である。一方、受信部１９１が受信した応答信号が表す復号化データの内容が誤りであると信号生成部１９２が判定した場合に、信号生成部１９２は非認証信号を生成する。この非認証信号は、認証マイコン１９が中継ＥＣＵ１６を認証しないことを表す信号である。

【0047】

送信部１９３は、信号生成部１９２が生成した認証判定信号を受信部１６１へ送信する。さらに送信部１９３は、信号生成部１９２が生成した認証信号又は非認証信号を、バス２１を介して制御マイコン２０の受信部２０１へ送信する。

【0048】

図７には、制御マイコン２０の機能構成の一例がブロック図で示されている。制御マイコン２０は、機能構成として、受信部２０１、判定部２０２及び送信部２０３を有する。受信部２０１、判定部２０２及び送信部２０３は、制御マイコン２０のＣＰＵ２０ＡがＲＯＭ２０Ｂに記憶されたプログラムを読み出し、実行することにより実現される。

【0049】

受信部２０１は、送信部１６４が送信した第１制御要求信号及び第２制御要求信号、並びに送信部１９３が送信した認証信号又は非認証信号を受信する。本実施形態における送信部１６４と受信部２０１との間の第１制御要求信号の送受信は、データのエラー検出機能を有するＥ２Ｅ通信（end-to-end通信）として実施される。なお、本明細書においてＥ２Ｅ通信は、「データエラー検出通信」の一例である。従って、受信部２０１は、送信部１６４から受信した第１制御要求信号の内容が、正しい内容であるか否かを検出できる。

【0050】

判定部２０２は、受信部２０１が受信した第１制御要求信号及び第２制御要求信号並びに認証信号又は非認証信号に基づいて、制御対象であるイグニッションスイッチ３４を制御するか否かを判定する。即ち、判定部２０２は、受信部２０１が第１制御要求信号を受信してから所定の制限時間内に受信部２０１が第２制御要求信号及び認証信号を受信したときに、イグニッションスイッチ３４を制御することを決定する。一方、判定部２０２は、受信部２０１が第１制御要求信号を受信してから制限時間内に受信部２０１が第２制御要求信号又は認証信号を受信しなかったときに、イグニッションスイッチ３４を制御しないことを決定する。さらに判定部２０２は非認証信号を受信したときに、イグニッションスイッチ３４を制御しないことを決定する。なお、この制限時間は、例えば０．５秒である。

【0051】

送信部２０３は、受信部２０１が第１制御要求信号を受信してから制限時間内に受信部２０１が第２制御要求信号及び認証信号を受信したときに、イグニッションスイッチ３４を制御する。即ち、送信部２０３は、ＯＦＦ位置に位置するイグニッションスイッチ３４をＯＮ位置へ移動させるための電気信号をイグニッションスイッチ３４へ送信する。

【0052】

図１に示される携帯端末４０は、例えば、スマートフォン又はタブレット型コンピュータである。携帯端末４０は、タッチパネルを有する表示部４１を備える。携帯端末４０はＣＰＵ、ＲＯＭ、ＲＡＭ、ストレージ、通信Ｉ／Ｆ及び入出力Ｉ／Ｆを含んで構成されている。これらＣＰＵ、ＲＯＭ、ＲＡＭ、ストレージ、通信Ｉ／Ｆ及び入出力Ｉ／Ｆは、バスを介して相互に通信可能に接続されている。携帯端末４０はタイマー（図示省略）から日時に関する情報を取得可能である。携帯端末４０は、自動運転キット１４の上記無線通信装置と無線通信可能である。さらに自動運転用アプリケーション（ソフトウェア）が携帯端末４０にインストールされている。

【0053】

続いて、本実施形態の車両制御装置１０が行う処理の流れについて、図８のシーケンス図及び図９、図１０のフローチャートを用いて説明する。

【0054】

イグニッションスイッチ３４がＯＦＦ位置に位置し、常時電源（図示省略）の電力が自動運転キット１４、中継ＥＣＵ１６及び照合ＥＣＵ１８に供給され、且つエンジンが停止している状態を想定する。この状態で自動運転用アプリケーションが起動中の携帯端末４０の表示部４１に表示された始動スイッチに操作者（図示省略）の手が触れると、携帯端末４０が操作信号を無線送信する。

【0055】

ステップＳ１０において、自動運転キット１４の無線通信装置が操作信号を受信したか否かを、自動運転ＥＣＵ１５のＩＤ照合部１５１が判定する。

【0056】

ステップＳ１０においてＹｅｓと判定したとき、ステップＳ１１において、操作信号に含まれる携帯端末４０のＩＤ情報がＲＯＭ１５Ｂに記録されたＩＤ情報リストに含まれたＩＤ情報と一致するか否かを、ＩＤ照合部１５１が判定する。即ち、ＩＤ照合部１５１が、携帯端末４０を認証するか否かを判定する。

【0057】

ステップＳ１１においてＹｅｓと判定したとき、ステップＳ１２において、信号生成部１５２が制御信号を生成し且つ生成された制御信号を送信部１５３が中継ＥＣＵ１６へ送信する。

【0058】

ステップＳ１２の処理が終了すると、ステップＳ１３において、中継ＥＣＵ１６の受信部１６１は制御信号を受信したか否かを判定する。このとき、受信部１６１は、鍵認証を用いて、自動運転ＥＣＵ１５（自動運転キット１４）の認証作業を実行する。受信部１６１が自動運転ＥＣＵ１５（自動運転キット１４）を認証し且つ制御信号を受信したときに、中継ＥＣＵ１６はステップＳ１３でＹｅｓと判定する。

【0059】

ステップＳ１３においてＹｅｓと判定されたとき、ステップＳ１４において、制御要求信号生成部１６２が第１制御要求信号を生成し、且つ、送信部１６４が生成された第１制御要求信号を認証マイコン１９及び制御マイコン２０へ送信する。

【0060】

ステップＳ１４の処理が終了すると、ステップＳ１５において、認証マイコン１９の受信部１９１及び制御マイコン２０の受信部２０１が、送信部１６４から送信された第１制御要求信号を受信したか否かを判定する。このとき受信部２０１は、送信部１６４から受信した第１制御要求信号の内容が、正しい内容であるか否かを、Ｅ２Ｅ通信を利用して検出する。ここで受信部２０１が、受信した信号の内容が正しいと判定したとき、受信部２０１は第１制御要求信号を受信したと判定する。一方、受信部２０１が、受信した信号の内容に誤りがあると判定したとき、受信部２０１は第１制御要求信号を受信しなかったと判定する。受信部１９１及び受信部２０１が第１制御要求信号を受信したと判定した場合に、ステップＳ１５においてＹｅｓと判定される。即ち、受信部１９１又は受信部２０１が第１制御要求信号を受信しなかったと判定した場合に、ステップＳ１５においてＮｏと判定される。

【0061】

ステップＳ１５においてＹｅｓと判定したとき、ステップＳ１６において、信号生成部１９２が認証判定信号を生成し、且つ、送信部１９３が生成された認証判定信号を中継ＥＣＵ１６へ送信する。即ち、認証マイコン１９（送信部１９３）が中継ＥＣＵ１６（送信部１６４）から第１制御要求信号を受信したことをトリガーにして、認証マイコン１９による認証作業が開始される。

【0062】

ステップＳ１６の処理が終了すると、ステップＳ１７において、中継ＥＣＵ１６の受信部１６１が認証判定信号を受信したか否かを判定する。

【0063】

ステップＳ１７においてＹｅｓと判定したとき、ステップＳ１８において、制御要求信号生成部１６２が第２制御要求信号を生成し且つ応答信号生成部１６３が応答信号を生成する。さらにステップＳ１８において、送信部１６４が生成された第２制御要求信号を制御マイコン２０へ送信し、且つ、生成された応答信号を認証マイコン１９へ送信する。

【0064】

ステップＳ１８の処理が終了すると、ステップＳ１９において、認証マイコン１９の受信部１９１が応答信号を受信したか否かを判定する。

【0065】

ステップＳ１９においてＹｅｓと判定したとき、ステップＳ２０において、信号生成部１９２が認証信号又は非認証信号を生成し、送信部１９３が生成された認証信号又は非認証信号を、バス２１を介して制御マイコン２０の受信部２０１へ送信する。

【0066】

ステップＳ２０の処理が終了すると、ステップＳ２１において、制御マイコン２０の判定部２０２が、ステップＳ１５において第１制御要求信号を受信してから上記制限時間内に認証信号及び第２制御要求信号を受信したか否かを判定する。

【0067】

ステップＳ２１においてＹｅｓと判定したとき、ステップＳ２２において、送信部２０３がＯＦＦ位置に位置するイグニッションスイッチ３４をＯＮ位置へ移動させる。これにより、電源３８の電力が給電線３６を介してエンジンＥＣＵ３０に供給されるのでエンジンの制御が開始される。このように、制御マイコン２０（判定部２０２）が、受信した信号の種類に基づいて中継ＥＣＵ１６が認証されたか否かを判断し、中継ＥＣＵ１６が認証された場合にイグニッションスイッチ３４を制御する。

【0068】

ステップＳ２２の処理を終えたとき又はステップＳ１１、Ｓ１３、Ｓ１５、Ｓ１７、Ｓ１９、Ｓ２１でＮｏと判定されたとき、車両制御装置１０は図９及び図１０のフローチャートの処理を一旦終了する。

【0069】

（作用並びに効果）
次に、本実施形態の作用並びに効果について説明する。

【0070】

以上説明したように本実施形態の車両制御装置１０は、認証マイコン１９が中継ＥＣＵ１６を認証したときに、制御マイコン２０が、中継ＥＣＵ１６から受信した制御要求信号（第１制御要求信号、第２制御要求信号）に基づいて、車両１２に設けられたイグニッションスイッチ３４を制御する。さらに認証マイコン１９がＡＥＳを利用して、悪意のある者によって中継ＥＣＵ１６が管理されているか否かを判定する。即ち、認証マイコン１９が悪意のある者による「なりすまし」を防止している。従って、車両制御装置１０（自動運転キット１４）が携帯端末４０から操作信号を受信したときに制御要求信号を制御マイコン２０へ送信する中継ＥＣＵ１６の信頼性を担保しながら、制御マイコン２０が受信した制御要求信号に基づいてイグニッションスイッチ３４を制御できる。

【0071】

さらに送信部１６４と受信部２０１との間の第１制御要求信号の送受信が、Ｅ２Ｅ通信として実施される。即ち、受信部２０１は、送信部１６４から受信した第１制御要求信号の内容が正しい内容であるか否かを検出する。このように本実施形態の車両制御装置１０は、受信部２０１が受信したデータのエラーの有無を検出し、且つ、認証マイコン１９が「なりすまし」を防止するので、高いセキュリティ性を有する。

【0072】

さらに制御マイコン２０は、第１制御要求信号に加えて第２制御要求信号を受信したときにイグニッションスイッチ３４を制御する。第１制御要求信号及び第２制御要求信号は、中継ＥＣＵ１６が生成及び送信する信号である。従って、制御マイコン２０が第１制御要求信号及び認証信号のみに基づいてイグニッションスイッチ３４を制御する場合と比べて、照合ＥＣＵ１８による中継ＥＣＵ１６の信頼性の判定精度が高い。

【0073】

従って、例えば車両１２がカーシェアリングシステムにおいて利用される場合は、権限のない者が携帯端末４０を操作することにより車両１２を運転操作することが効果的に防止される。

【0074】

さらに制御マイコン２０は、第１制御要求信号を受信してから所定の制限時間内に認証信号及び第２制御要求信号を受信したときにイグニッションスイッチ３４を制御する。制御マイコン２０が第１制御要求信号を受信してから認証信号及び第２制御要求信号を受信するまでの時間に制限がない場合は、悪意のある者が信頼性の無い中継ＥＣＵ１６を操作することにより、認証マイコン１９に認証信号を送信させるための応答信号及び第２制御要求信号を中継ＥＣＵ１６に送信させるおそれが大きくなる。しかし本実施形態のように、制御マイコン２０が第１制御要求信号を受信してから、制御マイコン２０が認証信号及び第２制御要求信号を受信するまでの時間を所定の制限時間に制限する場合は、このような問題が発生するおそれが小さい。

【0075】

さらにＥ２Ｅ通信及びＡＥＳを適用する場合は、特別な装置を車両制御装置１０に設ける必要がない。例えば、ＭＡＣ鍵を利用して認証マイコン１９が中継ＥＣＵ１６を認証するか否かの判定を行う場合は、車両制御装置１０にＭＡＣ鍵を用いた認証を実行するための特別な装置を追加する必要がある。しかし本実施形態では、車両制御装置１０にこのような特別な装置を設ける必要がない。

【0076】

以上、本実施形態に係る車両制御装置１０、車両１２、車両制御方法及びプログラムについて説明したが、車両制御装置１０、車両１２、車両制御方法及びプログラムは、本発明の要旨を逸脱しない範囲内において、適宜設計変更可能である。

【0077】

例えば、ステップＳ２２において、送信部２０３がＯＮ位置に位置するイグニッションスイッチ３４をＯＦＦ位置へ移動させてもよい。
また、ステップＳ２２において、イグニッションスイッチ３４がＯＦＦ位置に位置する場合はイグニッションスイッチ３４をＯＮ位置へ移動させ、且つ、イグニッションスイッチ３４がＯＮ位置に位置する場合はイグニッションスイッチ３４をＯＦＦ位置へ移動させてもよい。

【0078】

制御マイコン２０が制御する制御対象はイグニッションスイッチ３４でなくてもよい。例えば、制御マイコン２０が、車両１２のドアロック装置のアクチュエータを制御対象として制御してもよい。

【0079】

また認証マイコン１９は、中継ＥＣＵ１６を認証する場合は認証信号を制御マイコン２０へ送信し、中継ＥＣＵ１６を認証しない場合は信号を制御マイコン２０へ送信しなくてもよい。

【0080】

Ｅ２Ｅ通信の代わりの「データエラー検出通信」として、ＣＲＣ（巡回冗長検査)(Cyclic Redundancy Check）を利用して送信部１６４と受信部２０１との間の第１制御要求信号の送受信を実施してもよい。

【0081】

ＡＥＳとは異なる認証判定信号を利用して、認証マイコン１９が中継ＥＣＵ１６を認証してもよい。例えば、乱数、公開鍵又は共通鍵を表す認証判定信号を利用してもよい。またＭＡＣ鍵を表す認証判定信号を利用してもよい。

【0082】

また、中継ＥＣＵ１６が第２制御要求信号を照合ＥＣＵ１８へ送信せず、制御マイコン２０が第１制御要求信号及び認証信号を受信したときに制御対象を制御してもよい。

【0083】

また、中継ＥＣＵ１６が第１制御要求信号を制御マイコン２０へ送信せず、認証マイコン１９へのみ送信してもよい。この場合は、制御マイコン２０が第２制御要求信号及び認証信号を受信したときに制御対象を制御する。

【0084】

上記制限時間は、０．５秒以外の時間であってもよい。但し、制限時間は短い時間であるのが好ましい。

【0085】

また、上記制限時間を設けなくてもよい。

【0086】

照合ＥＣＵ１８が一つのマイコンのみを具備してもよい。即ち、照合ＥＣＵ１８の一つのマイコン（ＣＰＵ）が、受信部１９１（受信部２０１）、信号生成部１９２、送信部１９３（送信部２０３）及び判定部２０２を実現してもよい。

【0087】

車両１２と無線通信可能なコンピュータサーバを外部通信機器として利用してもよい。例えば、カーシェアリング運営会社のコンピュータサーバ（外部通信機器）に、カーシェアリング運営会社の会員が携帯端末４０からアクセスしたときに、コンピュータサーバが操作信号を車両１２（自動運転キット１４）へ送信してもよい。

【0088】

車両１２に設けられた操作装置が送信する操作信号を自動運転キット（通信部）１４が受信してもよい。このような操作装置には、例えば、インストルメントパネルに設けられたディスプレイ（タッチパネル）が含まれる。

【0089】

自動運転機能を備えない車両１２に本発明が適用されてもよい。

【0090】

また、自動運転キット１４とは別の装置を「通信部」として利用してもよい。例えば、ＥＣＵを有する自動駐車制御装置（図示省略）を、中継ＥＣＵ１６と通信を行う「通信部」として車両１２に設けてもよい。この場合は、携帯端末４０から操作信号を受信した自動駐車制御装置が制御信号を中継ＥＣＵ１６へ送信し、制御マイコン２０がステアリングホイール等を制御することにより自動駐車制御が実行される。

【0091】

通信部を製造したメーカーは、車両１２を製造したメーカーと同一であってもよい。

【符号の説明】

【0092】

１０ 車両制御装置
１２ 車両
１４ 自動運転キット（通信部）
１６ 中継ＥＣＵ（中継部）
１９ 認証マイコン（認証部）
２０ 制御マイコン（制御部）
３４ イグニッションスイッチ（制御対象）
３８ 電源（バッテリ）
４０ 携帯端末（外部通信機器）

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】