特許 7613290 制御装置、制御方法及び制御プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2025-01-06

(45)【発行日】2025-01-15

(54)【発明の名称】制御装置、制御方法及び制御プログラム

(51)【国際特許分類】

   G06F 21/50 20130101AFI20250107BHJP

   G06F 21/62 20130101ALI20250107BHJP

【ＦＩ】

G06F21/50

G06F21/62

【請求項の数】 6

(21)【出願番号】P 2021104726

(22)【出願日】2021-06-24

(65)【公開番号】P2023003574

(43)【公開日】2023-01-17

【審査請求日】2024-01-25

(73)【特許権者】

【識別番号】000003207

【氏名又は名称】トヨタ自動車株式会社

(74)【代理人】

【識別番号】110001519

【氏名又は名称】弁理士法人太陽国際特許事務所

(72)【発明者】

【氏名】中根 英貴

【審査官】上島 拓也

(56)【参考文献】

【文献】特開２００６－３４７３３４（ＪＰ，Ａ）

【文献】特開２０２１－０１８８１１（ＪＰ，Ａ）

【文献】特開２００２－３４９４０４（ＪＰ，Ａ）

【文献】特開２０１０－０７１２４３（ＪＰ，Ａ）

【文献】特開２００８－１８４９７９（ＪＰ，Ａ）

【文献】特表２０１７－５３６２８５（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５０

Ｇ０６Ｆ ２１／６２

(57)【特許請求の範囲】

【請求項1】

制御装置であって、
セキュアな状態であることを確認する確認部と、
外部装置からの制御要求を受け付ける受付部と、
前記受付部が前記制御要求を受け付けた場合、前記確認部によりセキュアな状態であることを条件として、前記制御要求に基づいて、車載ネットワークを起動又は終了する制御、及びイグニッションをオン又はオフにする制御の少なくともいずれかを行う制御部と、
を備え、
前記確認部は、前記制御装置が定められた特定の場所のネットワーク環境に接続されていればセキュアな状態とし、
前記特定の場所は、前記車載ネットワークを有する車両を出荷する工場である、制御装置。

【請求項2】

前記制御部は、さらに前記車両がロック状態にないことを条件として前記制御要求に基づいた制御を行う、請求項１に記載の制御装置。

【請求項3】

前記制御部は、車載ネットワークを終了する制御を行った場合、該制御を行わない場合に比べて低消費電力で動作する状態に移行する、請求項１又は２に記載の制御装置。

【請求項4】

前記制御部は、更に、前記制御要求に基づいて、エンジンをオン又はオフにする制御を行う、請求項１～３のいずれか１項に記載の制御装置。

【請求項5】

制御装置の制御方法であって、
プロセッサにより、
セキュアな状態であることを確認し、
外部装置からの制御要求を受け付け、
前記制御要求を受け付けた場合、前記制御装置が定められた特定の場所のネットワーク環境に接続されていることによってセキュアな状態であることを条件として、前記制御要求に基づいて、車載ネットワークを起動又は終了する制御、及びイグニッションをオン又はオフにする制御の少なくともいずれかを行い、
前記特定の場所は、前記車載ネットワークを有する車両を出荷する工場である、
制御方法。

【請求項6】

制御装置の制御プログラムであって、
コンピュータに、
セキュアな状態であることを確認し、
外部装置からの制御要求を受け付け、
前記制御要求を受け付けた場合、前記制御装置が定められた特定の場所のネットワーク環境に接続されていることによってセキュアな状態であることを条件として、前記制御要求に基づいて、車載ネットワークを起動又は終了する制御、及びイグニッションをオン又はオフにする制御の少なくともいずれかを行い、
前記特定の場所は、前記車載ネットワークを有する車両を出荷する工場である、
処理を実行させる、制御プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、制御装置、制御方法及び制御プログラムに関する。

【背景技術】

【0002】

特許文献１には、エマージェンシー時のエンジン始動操作に係る構成を低コストで、なおかつ、車室内のレイアウトの自由度を低下させずに実現することを目的としたキーレスエントリーシステムが開示されている。このように、車両内に備えられたボタンを操作することでイグニッションのオン、オフを行う技術がある。このような技術は、例えば、車両を整備する車両工場において作業員が車両の検査又はソフトの書き換えを行う際に用いられる。作業員は、車両に備えられたボタンを押してイグニッションをオンにし、作業を中断する場合、又は作業を完了させた際に、ボタンを押してイグニッションをオフにする。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２００６－２７３０２５号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

ボタンによるイグニッションのオン、オフのような車両に対する制御を繰り返すことは、工程のタクトタイムが延びる原因となる。また、車両が懸架された状態でラインが停止すると、作業員が車両に乗り込むことが出来ず、車両に対する制御が困難であった。一方で、外部から車両に対する制御を安易に行えるようにすることは、悪意のある第三者からの攻撃を受けることを想定すると適切ではない。

【0005】

本発明は、セキュリティを担保した上で外部装置からの車両に対する制御を可能にする制御装置、制御方法及び制御プログラムを提供することを目的とする。

【課題を解決するための手段】

【0006】

本発明の第１態様に係る制御装置は、セキュアな状態であることを確認する確認部と、外部装置からの制御要求を受け付ける受付部と、前記受付部が前記制御要求を受け付けた場合、前記確認部によりセキュアな状態であることを条件として、前記制御要求に基づいて、車載ネットワークを起動又は終了する制御、及びイグニッションをオン又はオフにする制御の少なくともいずれかを行う制御部と、を備える。

【0007】

第１態様に係る制御装置は、確認部がセキュアな状態であることを確認し、受付部が外部装置からの制御要求を受け付け、制御要求を受け付けた場合、セキュアな状態であることを条件として、制御部が、当該制御要求に基づいて、車載ネットワークを起動又は終了する制御、及びイグニッションをオン又はオフにする制御の少なくともいずれかを行う。第１態様に係る制御装置によれば、セキュアな状態にあることを条件として制御要求に基づいた制御を行うので、セキュリティを担保した上で外部装置からの車両に対する制御を可能にする。

【0008】

本発明の第２態様に係る制御装置は、第１態様に係る制御装置であって、前記確認部は、定められた特定の場所にあればセキュアな状態とする。第２態様に係る制御装置によれば、特定の場所にあればセキュリティが担保されているとして、外部装置からの車両に対する制御を可能にする。

【0009】

本発明の第３態様に係る制御装置は、第２態様に係る制御装置であって、前記確認部は、前記特定の場所のネットワーク環境に接続されていればセキュアな状態とする。第３態様に係る制御装置によれば、特定の場所のネットワーク環境に接続されていればセキュリティが担保されているとして、外部装置からの車両に対する制御を可能にする。

【0010】

本発明の第４態様に係る制御装置は、第１態様～第３態様のいずれかに係る制御装置であって、前記制御部は、さらに車両がロック状態にないことを条件として前記制御要求に基づいた制御を行う。第４態様に係る制御装置によれば、車両がロック状態になければ、外部装置からの車両に対する制御を可能にする。

【0011】

本発明の第５態様に係る制御装置は、第１態様～第４態様のいずれかに係る制御装置であって、前記制御部は、車載ネットワークを起動する制御を行った場合、該制御を行う場合に比べて低消費電力で動作する状態に移行する。第５態様に係る制御装置によれば、車載ネットワークを起動した後は電力の消費を抑えることができる。

【0012】

本発明の第６態様に係る制御装置は、第１態様～第５態様のいずれかに係る制御装置であって前記制御部は、更に、前記制御要求に基づいて、エンジンをオン又はオフにする制御を行う。

【0013】

本発明の第７態様に係る制御方法は、プロセッサにより、セキュアな状態であることを確認し、外部装置からの制御要求を受け付け、前記制御要求を受け付けた場合、セキュアな状態であることを条件として、前記制御要求に基づいて、車載ネットワークを起動又は終了する制御、及びイグニッションをオン又はオフにする制御の少なくともいずれかを行う。第６態様に係る制御方法によれば、セキュアな状態にあることを条件として制御要求に基づいた制御を行うので、セキュリティを担保した上で外部装置からの車両に対する制御を可能にする。

【0014】

本発明の第８態様に係る制御プログラムは、コンピュータに、セキュアな状態であることを確認し、外部装置からの制御要求を受け付け、前記制御要求を受け付けた場合、セキュアな状態であることを条件として、前記制御要求に基づいて、車載ネットワークを起動又は終了する制御、及びイグニッションをオン又はオフにする制御の少なくともいずれかを行う、処理を実行させる。第７態様に係る制御プログラムによれば、セキュアな状態にあることを条件として制御要求に基づいた制御を行うので、セキュリティを担保した上で外部装置からの車両に対する制御を可能にする。

【発明の効果】

【0015】

本発明によれば、セキュリティを担保した上で外部装置からの車両に対する制御を可能にする制御装置、制御方法及び制御プログラムを提供することができる。

【図面の簡単な説明】

【0016】

【図1】本発明の実施形態に係る車載システムの概略構成を示す図である。

【図2】制御装置のハードウェア構成を示すブロック図である。

【図3】制御装置の機能構成の例を示すブロック図である。

【図4】制御装置による制御処理の流れを示すフローチャートである。

【図5】制御装置による制御処理の流れを示すフローチャートである。

【発明を実施するための形態】

【0017】

以下、本発明の実施形態の一例を、図面を参照しつつ説明する。なお、各図面において同一または等価な構成要素および部分には同一の参照符号を付与している。また、図面の寸法比率は、説明の都合上誇張されており、実際の比率とは異なる場合がある。

【0018】

図１は、本実施形態に係る車載システムの概略構成を示す図である。

【0019】

図１に示した車載システムは、制御装置１０、イグニッションスイッチ２０、通信ユニット３０、エンジンＥＣＵ４０、エンジン５０、照合ＥＣＵ５５を含む。制御装置１０、イグニッションスイッチ２０、通信ユニット３０、エンジンＥＣＵ４０、照合ＥＣＵ５５は、ＣＡＮバス６０で接続されている。

【0020】

制御装置１０は、車載システムの外部にある外部装置１００からの制御要求に基づいて、車載システムに含まれる各部の制御を行う。外部装置１００は、ＤＬＣ（Ｄａｔａ Ｌｉｎｋ Ｃｏｎｎｅｃｔｏｒ）を介して制御装置１０と接続される。制御装置１０は、例えばセントラルゲートウェイＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）である。本実施形態では、制御装置１０による制御対象としてイグニッションスイッチ２０、通信ユニット３０及びエンジンＥＣＵ４０を示したが、制御装置１０による制御対象は係る例に限定されない。

【0021】

イグニッションスイッチ２０は、車載システムが搭載される車両のエンジンを始動させたり、その他電気系統を制御したりするためのスイッチである。イグニッションスイッチ２０は、制御装置１０からの制御要求に応じてイグニッション、その他電気系統のオン、オフが制御される。

【0022】

通信ユニット３０は、車載システムの各部の間の通信が行われる車載ネットワークを制御する。通信ユニット３０は、制御装置１０からの制御要求に応じて車載ネットワークのオン、オフを制御する。

【0023】

エンジンＥＣＵ４０は、エンジン５０の駆動を制御するＥＣＵである。エンジンＥＣＵ４０は、制御装置１０からの制御要求に応じてエンジン５０のオン、オフを制御する。

【0024】

なお、図１に係る車載システムがハイブリッド車両に搭載される場合には、エンジンＥＣＵ４０に代えてＨＥＶ（Ｈｙｂｒｉｄ Ｅｌｅｃｔｒｉｃ Ｖｅｈｉｃｌｅ）ＥＣＵを備え、エンジン５０に代えてハイブリッドシステムを有する。この場合、ＨＥＶ ＥＣＵは、エンジンのオン、オフに代えてＲＥＡＤＹ（ハイブリットシステムによる車両駆動が可能な状態）のオン、オフを制御する。

【0025】

また、図１に係る車載システムがプラグインハイブリッド車両に搭載される場合には、エンジンＥＣＵ４０に代えてＰＨＥＶ（Ｐｌｕｇ－ｉｎ Ｈｙｂｒｉｄ Ｅｌｅｃｔｒｉｃ Ｖｅｈｉｃｌｅ）ＥＣＵを備え、エンジン５０に代えてプラグインハイブリッドシステムを有する。この場合、ＰＨＥＶ ＥＣＵは、エンジンのオン、オフに代えてＲＥＡＤＹ（プラグインハイブリットシステムによる車両駆動が可能な状態）のオン、オフを制御する。

【0026】

また、図１に係る車載システムが燃料電池車両に搭載される場合には、エンジンＥＣＵ４０に代えてＦＣＥＶ（Ｆｕｅｌ Ｃｅｌｌ Ｅｌｅｃｔｒｉｃ Ｖｅｈｉｃｌｅ）ＥＣＵを備え、エンジン５０に代えて車両駆動システムを有する。この場合、ＦＣＥＶ ＥＣＵは、エンジンのオン、オフに代えてＲＥＡＤＹ（車両駆動システムによる車両駆動が可能な状態）のオン、オフを制御する。

【0027】

また、図１に係る車載システム電気自動車両に搭載される場合には、エンジンＥＣＵ４０に代えてＢＥＶ（Ｂａｔｔｅｒｙ Ｃｅｌｌ Ｅｌｅｃｔｒｉｃ Ｖｅｈｉｃｌｅ）ＥＣＵを備え、エンジン５０に代えて車両駆動システムを有する。この場合、ＢＥＶ ＥＣＵは、エンジンのオン、オフに代えてＲＥＡＤＹ（車両駆動システムによる車両駆動が可能な状態）のオン、オフを制御する。

【0028】

照合ＥＣＵ５５は、不図示のスマートキーとの間で通信することにより所定の照合処理を行い、照合に成功すると、イグニッションスイッチ２０、通信ユニット３０、エンジンＥＣＵ４０へ、制御を許可する信号を送信する。所定の照合処理には、機器照合、キーの照合、生体認証等が含まれ、１以上の照合処理が行われる。照合処理により、制御装置１０は、後述する各種条件に加え、これらの所定の照合に成功したことを条件に、イグニッションのオン、オフを制御することができる。

【0029】

本実施形態に係る制御装置１０は、車載システムを搭載した車両がセキュアな状態であることを条件として、外部装置１００からの制御要求に基づいて、車載システムに含まれる各部の制御を行う。制御装置１０は、車載システムを搭載した車両がセキュアな状態であることを条件として車載システムに含まれる各部の制御を行うことで、セキュリティを担保した上で、外部装置からの車両に対する制御が可能となる。

【0030】

図２は、制御装置１０のハードウェア構成を示すブロック図である。

【0031】

図２に示すように、制御装置１０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１２、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１３、ストレージ１４、入力部１５、表示部１６及び通信インタフェース（Ｉ／Ｆ）１７を有する。各構成は、バス１９を介して相互に通信可能に接続されている。

【0032】

ＣＰＵ１１は、中央演算処理ユニットであり、各種プログラムを実行したり、各部を制御したりする。すなわち、ＣＰＵ１１は、ＲＯＭ１２またはストレージ１４からプログラムを読み出し、ＲＡＭ１３を作業領域としてプログラムを実行する。ＣＰＵ１１は、ＲＯＭ１２またはストレージ１４に記録されているプログラムにしたがって、上記各構成の制御および各種の演算処理を行う。本実施形態では、ＲＯＭ１２またはストレージ１４には、車載システムを制御する制御プログラムが格納されている。

【0033】

ＲＯＭ１２は、各種プログラムおよび各種データを格納する。ＲＡＭ１３は、作業領域として一時的にプログラムまたはデータを記憶する。ストレージ１４は、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）またはフラッシュメモリ等の記憶装置により構成され、オペレーティングシステムを含む各種プログラム、および各種データを格納する。

【0034】

入力部１５は、マウス等のポインティングデバイス、およびキーボードを含み、各種の入力を行うために使用される。

【0035】

表示部１６は、たとえば、液晶ディスプレイであり、各種の情報を表示する。表示部１６は、タッチパネル方式を採用して、入力部１５として機能しても良い。

【0036】

通信インタフェース１７は、イグニッションスイッチ２０、通信ユニット３０、エンジンＥＣＵ４０等の他の機器と通信するためのインタフェースであり、たとえば、イーサネット（登録商標）、ＦＤＤＩ、Ｗｉ－Ｆｉ（登録商標）、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の規格が用いられる。

【0037】

上記の制御プログラムを実行する際に、制御装置１０は、上記のハードウェア資源を用いて、各種の機能を実現する。制御装置１０が実現する機能構成について説明する。

【0038】

次に、制御装置１０の機能構成について説明する。

【0039】

図３は、制御装置１０の機能構成の例を示すブロック図である。

【0040】

図３に示すように、制御装置１０は、機能構成として、確認部１０１、受付部１０２及び制御部１０３を有する。各機能構成は、ＣＰＵ１１がＲＯＭ１２またはストレージ１４に記憶された制御プログラムを読み出し、実行することにより実現される。

【0041】

確認部１０１は、車載システムがセキュアな状態にあるかどうかを確認する。確認部１０１は、車載システムが、車両工場等の予め定められた特定の場所にあれば、車載システムがセキュアな状態であるとしてもよい。確認部１０１は、予め定められたネットワークに接続されていることを条件として、車載システムが予め定められた特定の場所にあるとしてもよい。例えば、確認部１０１は、暗号化されたＷｉ－ＦｉのＳＳＩＤまたはイーサネットのＭＡＣアドレスで、予め定められたネットワークに接続されているかどうかを特定してもよい。

【0042】

また、確認部１０１は、車両を整備する権限を有する作業者による操作が行われた場合に、車載システムはセキュアな状態にあるとしてもよい。確認部１０１は、生体認証又は個人認証機能（特定作業者に付与した暗号鍵を用いた暗号通信による個人認証）を備えた端末を識別する事で、作業者が権限を有するかどうかを判定してもよい。

【0043】

確認部１０１は、車両工場等の予め定められた特定の場所にある場合にのみ、判定フラグを有効にする。判定フラグは、外部から改竄されないよう、制御装置１０内のセキュアな領域（Ｈａｒｄｗａｒｅ Ｓｅｃｕｒｉｔｙ Ｍｏｄｕｌｅ、ＨＳＭ）に保存されうる。判定フラグは、車両工場から出荷時に無効に設定され、無効から有効への変更が出来ない不可逆設定であってもよい。

【0044】

受付部１０２は、外部装置１００からの、車載システムに対する制御要求を受け付ける。車載システムに対する制御要求は、例えば、イグニッションスイッチ２０、通信ユニット３０、エンジンＥＣＵ４０の少なくともいずれかに対する制御要求である。

【0045】

制御部１０３は、受付部１０２が外部装置１００から制御要求を受け付けた場合、確認部１０１により、車載システムがセキュアな状態であることを条件として、受け付けた制御要求に基づいて車載システムに対する制御を行う。制御部１０３は、イグニッションスイッチ２０、通信ユニット３０、エンジンＥＣＵ４０の少なくともいずれかに対する制御を行う。

【0046】

制御部１０３は、さらに、車載システムがアンロック状態にあることを条件として、受け付けた制御要求に基づいて車載システムに対する制御を行ってもよい。アンロック状態とは、制御装置１０がセキュリティアンロック状態にあることをいう。具体的には、制御部１０３は、制御装置１０内のセキュアな領域（セキュアメモリ）に保存されたロックフラグの状態を参照して、車載システムがアンロック状態にあるかどうかを判断してもよい。ロックフラグは、車両工場から出荷時にアンロック状態からロック状態に設定され、ロック状態からアンロック状態への変更が出来ない不可逆設定であってもよい。

【0047】

制御装置１０は、図３に示した機能構成を有することで、車載システムを搭載した車両がセキュアな状態であることを条件として、外部装置１００からの制御要求に基づいて、車載システムに含まれる各部の制御を行うことができる。制御装置１０は、図３に示した機能構成を有することで、セキュリティを担保した上で、外部装置からの車両に対する制御が可能となる。

【0048】

次に、制御装置１０の作用について説明する。

【0049】

図４は、制御装置１０による制御処理の流れを示すフローチャートである。ＣＰＵ１１がＲＯＭ１２又はストレージ１４から制御プログラムを読み出して、ＲＡＭ１３に展開して実行することにより、制御処理が行なわれる。

【0050】

ＣＰＵ１１は、まず制御装置１０の状態を通常制御モードに設定する（ステップＳ１０１）。通常制御モードは、外部装置１００からの制御要求を受け付けないモードである。

【0051】

ステップＳ１０１に続いて、ＣＰＵ１１は、車載システムが特定のセキュアな状態にあるかどうかを判断する（ステップＳ１０２）。ＣＰＵ１１は、上述の確認部１０１の説明で示したように、車載システムが、車両工場等の予め定められた特定の場所にあれば、車載システムがセキュアな状態であるとしてもよい。

【0052】

ステップＳ１０２の判断の結果、車載システムが特定のセキュアな状態にないと判断した場合は（ステップＳ１０２；Ｎｏ）、ＣＰＵ１１は、ステップＳ１０１の通常制御モードに戻る。

【0053】

一方、ステップＳ１０２の判断の結果、車載システムが特定のセキュアな状態にあると判断した場合は（ステップＳ１０２；Ｙｅｓ）、ＣＰＵ１１は、車載システムのセキュリティロック状態を確認する（ステップＳ１０３）。

【0054】

ステップＳ１０３の確認の結果、車載システムがロック状態にあると確認した場合は（ステップＳ１０３；Ｎｏ）、ＣＰＵ１１は、ステップＳ１０１の通常制御モードに戻る。

【0055】

一方、ステップＳ１０３の確認の結果、車載システムがアンロック状態にあると確認した場合は（ステップＳ１０３；Ｙｅｓ）、ＣＰＵ１１は、制御装置１０の状態を車両状態制御モードに設定する（ステップＳ１０４）。車両状態制御モードは、外部装置１００からの制御要求を受け付けるモードである。

【0056】

ステップＳ１０４に続いて、ＣＰＵ１１は、車両状態制御モードに移行してから所定の時間が経過したかどうか判断する（ステップＳ１０５）。

【0057】

ステップＳ１０５の判断の結果、車両状態制御モードに移行してから所定の時間が経過した場合は（ステップＳ１０５；Ｙｅｓ）、ＣＰＵ１１は、ステップＳ１０１の通常制御モードに戻る。

【0058】

一方、ステップＳ１０５の判断の結果、車両状態制御モードに移行してから所定の時間が経過していない場合は（ステップＳ１０５；Ｎｏ）、ＣＰＵ１１は、外部装置１００からの制御要求があったかどうか判断する（ステップＳ１０６）。

【0059】

ステップＳ１０６の判断の結果、外部装置１００からの制御要求が無かった場合は（ステップＳ１０６；Ｎｏ）、ＣＰＵ１１は、ステップＳ１０４の車両状態制御モードに戻る。

【0060】

一方、ステップＳ１０６の判断の結果、外部装置１００からの制御要求があった場合は（ステップＳ１０６；Ｙｅｓ）、ＣＰＵ１１は、外部装置１００からの制御要求による制御対象を判定する（ステップＳ１０７）。

【0061】

外部装置１００からの制御要求による制御対象が車載ネットワークであれば、ＣＰＵ１１は、通信ユニット３０を制御して、車載ネットワークをオン、又はオフする制御を行う（ステップＳ１０８）。

【0062】

外部装置１００からの制御要求による制御対象がイグニッションスイッチであれば、ＣＰＵ１１は、イグニッションスイッチ２０を制御して、イグニッションスイッチ２０をオン、又はオフする制御を行う（ステップＳ１０９）。

【0063】

制御装置１０は、図４に示した一連の動作を実行することで、車載システムを搭載した車両がセキュアな状態であることを条件として、外部装置１００からの制御要求に基づいて、車載システムに含まれる各部の制御を行うことができる。制御装置１０は、図４に示した一連の動作を実行することで、セキュリティを担保した上で、外部装置からの車両に対する制御が可能となる。

【0064】

図４に示した制御処理では、ＣＰＵ１１が、車載システムが特定のセキュアな状態であるかどうかを判断した後に、車載システムのロック状態（制御装置１０のセキュリティロック状態）を確認していたが、本発明は係る例に限定されない。ＣＰＵ１１は、車載システムのロック状態を確認し、アンロック状態であれば、車載システムが特定のセキュアな状態であるかどうかを判断してもよい。特定のセキュアな状態であるかどうかを判断する処理に比べて相対的に処理負荷の軽いロック状態の確認処理を先に行うことで、制御装置１０の処理負荷を下げることができる。

【0065】

図５は、制御装置１０による制御処理の流れを示すフローチャートである。ＣＰＵ１１がＲＯＭ１２又はストレージ１４から制御プログラムを読み出して、ＲＡＭ１３に展開して実行することにより、制御処理が行なわれる。

【0066】

図５に示したのは、車載ネットワーク、イグニッションスイッチのオン、オフ制御に加え、エンジンのオン、オフ制御を行う場合の、制御装置１０による制御処理の流れである。

【0067】

ステップＳ１０６までは図４に示した制御処理と同様である。

【0068】

ステップＳ１０６の判断の結果、外部装置１００からの制御要求があった場合は（ステップＳ１０６；Ｙｅｓ）、ＣＰＵ１１は、外部装置１００からの制御要求による制御対象を判定する（ステップＳ１０７）。

【0069】

外部装置１００からの制御要求による制御対象が車載ネットワークであれば、ＣＰＵ１１は、通信ユニット３０を制御して、車載ネットワークをオン、又はオフする制御を行う（ステップＳ１０８）。

【0070】

外部装置１００からの制御要求による制御対象がイグニッションスイッチであれば、ＣＰＵ１１は、まず車両停止保持又は解除の制御を行う（ステップＳ１１１）。続いて、ＣＰＵ１１は、イグニッションスイッチ２０を制御して、イグニッションスイッチ２０をオン、又はオフする制御を行う（ステップＳ１０９）。

【0071】

外部装置１００からの制御要求による制御対象がエンジンであれば、ＣＰＵ１１は、まず車両停止保持又は解除の制御を行う（ステップＳ１１２）。続いて、ＣＰＵ１１は、エンジンＥＣＵ４０を制御してエンジン５０をオン、又はオフする制御を行う（ステップＳ１１３）。

【0072】

外部装置１００からの制御要求による制御対象がその他のものであれば、ＣＰＵ１１は、その他のものに対する制御を行う（ステップＳ１１４）。

【0073】

なお、図４及び図５の制御処理において、ＣＰＵ１１は、車載ネットワークを起動する制御を行った後は、車両状態制御モードではなく、通常制御モードに戻ってもよい。

【0074】

また、図４及び図５の制御処理において、ＣＰＵ１１は、車載ネットワークを終了する制御を行った後は、ＣＰＵ１１は、車両状態制御モードではなく、スリープモードに移行してもよい。スリープモードは、車両状態制御モードおよび通常制御モードよりも低消費電力となるモードである。

【0075】

スリープモードから通常制御モードに移行し、ステップＳ１０１に示した車載システムが特定のセキュアな状態にあるかどうかの確認、及び、ステップＳ１０２に示したロック状態の確認を開始するトリガは、例えば以下の通りである。なお、前提として車載システムが搭載されたバッテリの容量が残っているものとする。

【0076】

制御装置１０は、例えば、車両のボタン操作等によりイグニッションスイッチ２０のオン、又は車両のアクセサリのオンを認識した場合に、スリープモードから通常制御モードに移行してもよい。

【0077】

また、制御装置１０は、例えば、制御装置１０とＣＡＮバス６０で接続されているＥＣＵ等がＣＡＮメッセージの送信を開始したことを検出した場合に、スリープモードから通常制御モードに移行してもよい。この場合は、イグニッションスイッチ２０がオフの状態のまま通常制御モードに移行する。なお、この場合、ＤＬＣからの通信があった場合は、制御装置１０は、通常制御モードに移行しない。ＤＬＣを除外する理由は、車外からの通信又はノイズで制御装置１０がスリープモードに移行出来ない状態になることによるバッテリ上がりの発生を避けるためである。

【0078】

また、制御装置１０は、例えば、制御装置１０に繋がるＣＡＮバス６０にドミナント（電圧変化）が発生した場合に、スリープモードから通常制御モードに移行してもよい。この場合は、イグニッションスイッチ２０がオフの状態のまま通常制御モードに移行する。なお、この場合、ＤＬＣのドミナントがあった場合は、制御装置１０は、通常制御モードに移行しない。ＤＬＣを除外する理由は、車外からの通信又はノイズで制御装置１０がスリープモードに移行出来ない状態になることによるバッテリ上がりの発生を避けるためである。

【0079】

制御装置１０は、車両状態制御モードの場合のみＤＬＣのドミナントがあった場合であっても通常制御モードに移行してもよい。これにより、制御装置１０がスリープ状態にある場合でも、車両の外部から制御装置１０を通して通信ユニット３０をオンにして、車両を通信可能な状態にするができる。

【0080】

なお、上記各実施形態でＣＰＵがソフトウェア（プログラム）を読み込んで実行した制御処理を、ＣＰＵ以外の各種のプロセッサが実行してもよい。この場合のプロセッサとしては、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等の製造後に回路構成を変更可能なＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）、及びＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）等の特定の処理を実行させるために専用に設計された回路構成を有するプロセッサである専用電気回路等が例示される。また、制御処理を、これらの各種のプロセッサのうちの１つで実行してもよいし、同種又は異種の２つ以上のプロセッサの組み合わせ（例えば、複数のＦＰＧＡ、及びＣＰＵとＦＰＧＡとの組み合わせ等）で実行してもよい。また、これらの各種のプロセッサのハードウェア的な構造は、より具体的には、半導体素子等の回路素子を組み合わせた電気回路である。

【0081】

また、上記各実施形態では、制御処理のプログラムがＲＯＭまたはストレージに予め記憶（インストール）されている態様を説明したが、これに限定されない。プログラムは、ＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｋ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＤＶＤ－ＲＯＭ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、及びＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ等の非一時的（ｎｏｎ－ｔｒａｎｓｉｔｏｒｙ）記録媒体に記録された形態で提供されてもよい。また、プログラムは、ネットワークを介して外部装置からダウンロードされる形態としてもよい。

【符号の説明】

【0082】

１０ 制御装置
２０ イグニッションスイッチ
３０ 通信ユニット
４０ エンジンＥＣＵ
５０ エンジン
６０ ＣＡＮバス

【図1】

【図2】

【図3】

【図4】

【図5】