特表 2024-532331 データ処理方法及び関連装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-09-05

(54)【発明の名称】データ処理方法及び関連装置

(51)【国際特許分類】

   G06F 21/60 20130101AFI20240829BHJP

   B60W 40/00 20060101ALI20240829BHJP

   G06F 21/64 20130101ALI20240829BHJP

【ＦＩ】

G06F21/60

B60W40/00

G06F21/64

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2024513008

(86)(22)【出願日】2022-05-25

(85)【翻訳文提出日】2024-04-09

(86)【国際出願番号】 CN2022094994

(87)【国際公開番号】W WO2023024618

(87)【国際公開日】2023-03-02

(31)【優先権主張番号】202110983634.3

(32)【優先日】2021-08-25

(33)【優先権主張国・地域又は機関】CN

(81)【指定国・地域】

(71)【出願人】

【識別番号】503433420

【氏名又は名称】華為技術有限公司

【氏名又は名称原語表記】ＨＵＡＷＥＩ ＴＥＣＨＮＯＬＯＧＩＥＳ ＣＯ．，ＬＴＤ．

【住所又は居所原語表記】Ｈｕａｗｅｉ Ａｄｍｉｎｉｓｔｒａｔｉｏｎ Ｂｕｉｌｄｉｎｇ， Ｂａｎｔｉａｎ， Ｌｏｎｇｇａｎｇ Ｄｉｓｔｒｉｃｔ， Ｓｈｅｎｚｈｅｎ， Ｇｕａｎｇｄｏｎｇ ５１８１２９， Ｐ．Ｒ． Ｃｈｉｎａ

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100229448

【弁理士】

【氏名又は名称】中槇 利明

(72)【発明者】

【氏名】ツァオ，ジエンローン

(72)【発明者】

【氏名】シャーン，ユイ

(72)【発明者】

【氏名】マー，ワンワーンイーン

(72)【発明者】

【氏名】リー，ジアーンチイ

(72)【発明者】

【氏名】ファーン，ゥルイ

【テーマコード（参考）】

3D241

【Ｆターム（参考）】

3D241BA49

3D241BA63

(57)【要約】

本発明は、インテリジェント車両技術の分野で使用されるデータ処理方法を開示する。
本方法は、コントローラ及び複数の電子制御ユニットＥＣＵを備える車両に適用される。
本方法は以下を含む：
コントローラは、第１ＥＣＵからデータ要求メッセージを受信し、第１ＥＣＵは、複数のＥＣＵのうちのいずれか１つであり、データ要求メッセージは、センサデータを取得することを要求するために使用される。
コントローラは、第１ＥＣＵに応答メッセージを送信し、応答メッセージは、センサデータを取得するように第１ＥＣＵに示す。
コントローラは、データ要求メッセージに基づいてマーク情報を生成し、マーク情報は、センサデータに対する要求情報を記録する。
車両が第１ＥＣＵ内の前記センサデータの削除をトリガした場合、コントローラは、前記マーク情報に基づいて第１ＥＣＵに第１データ削除命令を送信し、第１データ削除命令は、第１ＥＣＵに前記センサデータを削除するように示す。
本方法に基づいて、車両内の構成要素に対してデータのきめ細かな管理を実施することができ、その結果、車両内の特定のデータを好適に削除することができ、車両内のプライベートデータの漏洩が回避される。

【特許請求の範囲】

【請求項1】

コントローラ及び複数の電子制御ユニット（複数のＥＣＵ）を備える車両に適用される、データ処理方法であって：
前記コントローラによって、第１ＥＣＵからデータ要求メッセージを受信するステップであって、前記第１ＥＣＵは、前記複数のＥＣＵのうちのいずれか１つであり、前記データ要求メッセージは、センサデータを取得することを要求するために使用される、ステップと；
前記コントローラによって、前記第１ＥＣＵに応答メッセージを送信するステップであって、前記応答メッセージは、前記センサデータを取得するように前記第１ＥＣＵに示す、ステップと；
前記コントローラによって、前記データ要求メッセージに基づいてマーク情報を生成するステップであって、前記マーク情報は、前記センサデータに対する要求情報を記録する、ステップと；
前記車両が前記第１ＥＣＵ内の前記センサデータの削除をトリガした場合、前記コントローラによって、前記マーク情報に基づいて前記第１ＥＣＵに第１データ削除命令を送信するステップであって、前記第１データ削除命令は、前記第１ＥＣＵに前記センサデータを削除するように示す、ステップと；
を含む方法。

【請求項2】

前記センサデータに対する前記要求情報は、前記センサデータの要求者、前記センサデータの要求時間及び前記センサデータの内容を含む、
請求項１記載の方法。

【請求項3】

インテリジェントな前記車両が前記第１ＥＣＵ内の前記センサデータの削除をトリガすることは：
前記コントローラによって、前記マーク情報及び予め設定されたデータ保持期間に基づいて、前記第１ＥＣＵ内の前記センサデータが期限切れであると決定するステップ；又は
前記コントローラによって、ユーザによってトリガされた第２データ削除命令を取得するステップであって、前記第２データ削除命令は、前記第１ＥＣＵ内の前記センサデータを削除することを示す、ステップと、を含む、
請求項１又は２記載の方法。

【請求項4】

前記応答メッセージは、センサに関する情報を含み、前記センサに関する前記情報は、前記第１ＥＣＵが前記センサから前記センサデータを取得するように、前記センサとの通信接続を確立するために前記第１ＥＣＵによって使用される、
請求項１乃至３いずれか１項記載の方法。

【請求項5】

前記第１データ削除命令は、前記第１ＥＣＵに、前記センサとの前記通信接続を切断するようにさらに示す、
請求項４記載の方法。

【請求項6】

前記コントローラによって、前記第１ＥＣＵに応答メッセージを送信する前記ステップの前に、前記方法はさらに：
前記コントローラによって、予め設定された許可構成ポリシーにしたがって、前記第１ＥＣＵが前記センサデータにアクセスする許可を有すると決定するステップを含む、
請求項１乃至５いずれか１項記載の方法。

【請求項7】

前記方法はさらに：
前記コントローラにより、信頼できないデバイスにより送信されたアドレス情報を受信するステップであって、前記信頼できないデバイスは第２ＥＣＵ又はサーバを含み、前記第２ＥＣＵは前記複数のＥＣＵのうちの信頼できないＥＣＵであり、前記アドレス情報は、前記信頼できないデバイス内にある、送信されるべきデータを記憶するために使用されるアドレス空間を示し、前記アドレス情報は、前記送信されるべきデータのサイズに基づいて前記信頼できないデバイスにより決定される、ステップと；
前記コントローラによって、前記アドレス情報及び前記送信されるべきデータに基づいて第１データ証明書を生成するステップであって、前記第１データ証明書は、前記送信されるべきデータを一意に示す、ステップと ；
前記コントローラによって、前記第１データ証明書を前記信頼できないデバイスに送信するステップと；
前記コントローラによって、前記信頼できないデバイスによって送信された第１署名結果を受信するステップであって、前記第１署名結果は、前記信頼できないデバイスによって前記第１データ証明書に署名することによって取得される、ステップと；
前記コントローラによって、前記信頼できないデバイスへの前記送信されるべきデータの送信を制御するステップと；
請求項１乃至６いずれか１項記載の方法。

【請求項8】

前記第１データ証明書は、前記アドレス情報と、前記送信されるべきデータのダイジェスト値、前記送信されるべきデータのファイルロケータ、及び前記送信されるべきデータのタイムスタンプのうちの１つ以上とを含む、
請求項７記載の方法。

【請求項9】

前記方法はさらに：
前記コントローラによって、削除されるべきデータに基づいて第２データ証明書を生成するステップと；
前記コントローラにより、第３データ削除命令を信頼できないデバイスに送信するステップであって、前記信頼できないデバイスは第３ＥＣＵ又はサーバを含み、前記第３ＥＣＵは前記複数のＥＣＵのうちの信頼できないＥＣＵであり、前記第３データ削除命令は、前記第２データ証明書を含み、前記第３データ削除命令は、前記削除されるべきデータを削除することを示す、ステップと；
前記コントローラにより、前記信頼できないデバイスにより返された第２署名結果を取得するステップであって、前記第２署名結果は、前記サーバにより前記第２データ証明書に署名することにより取得され、前記第２署名結果は、前記信頼できないデバイスが前記削除されるべきデータを削除したことを示す、ステップと；
請求項１乃至８いずれか１項記載の方法。

【請求項10】

コントローラ及び複数の電子制御ユニット（複数のＥＣＵ）を備える車両に適用される、データ処理方法であって：
前記コントローラによって、第１ＥＣＵからデータ要求メッセージを受信するステップであって、前記第１ＥＣＵは、前記複数のＥＣＵのうちのいずれか１つであり、前記データ要求メッセージは、センサデータを取得することを要求するために使用される、ステップと；
前記コントローラによって、前記第１ＥＣＵに応答メッセージを送信するステップであって、前記応答メッセージは、前記センサデータを取得するように前記第１ＥＣＵに示す、ステップと；
前記第１ＥＣＵによって、前記応答メッセージに基づいて前記センサデータを取得する前記ステップと：
前記車両が第１ＥＣＵ内のセンサデータの削除をトリガすると、第１ＥＣＵは、コントローラから第１データ削除命令を受信し、第１データ削除命令に基づいて第１ＥＣＵ内のセンサデータを削除する、ステップと、を含む、
方法。

【請求項11】

前記第１ＥＣＵによって、前記応答メッセージに基づいて前記センサデータを取得する前記ステップは：
前記第１ＥＣＵによって、センサに関する情報に基づいて、前記センサとの通信接続を確立するステップであって、応答情報が前記センサに関する前記情報を含む、ステップと；
前記第１ＥＣＵによって、前記通信接続に基づいて前記センサから前記センサデータを取得するステップと、を含む、
請求項１０記載の方法。

【請求項12】

前記第１データ削除命令は、前記第１ＥＣＵに、前記センサとの前記通信接続を切断するようにさらに示す、
請求項１１記載の方法。

【請求項13】

前記方法はさらに：
前記第１ＥＣＵが信頼できないデバイスである場合、前記第１ＥＣＵによって、アドレス情報を前記コントローラに送信するステップであって、前記アドレス情報は、前記第１ＥＣＵ内にあり、送信されるべきデータを記憶するために使用されるアドレス空間を示し、前記アドレス情報は、前記送信されるべきデータのサイズに基づいて前記第１ＥＣＵによって決定される、ステップと；
前記第１ＥＣＵによって、前記コントローラによって送信された第１データ証明書を受信するステップであって、前記第１データ証明書は、前記アドレス情報及び前記送信されるべきデータに基づいて生成される、ステップと；
前記第１ＥＣＵによって、前記第１データ証明書に署名して第１署名結果を取得するステップと；
前記第１ＥＣＵによって、前記第１署名結果を前記コントローラに送信するステップと；
前記第１ＥＣＵによって、前記コントローラによって送信された前記送信されるべきデータを受信するステップと、を含む
請求項１０乃至１２いずれか１項記載の方法。

【請求項14】

前記第１データ証明書は、前記アドレス情報と、前記送信されるべきデータのダイジェスト値、前記送信されるべきデータのファイルロケータ、及び前記送信されるべきデータのタイムスタンプのうちの１つ以上と、を含む、
請求項１３記載の方法。

【請求項15】

前記方法はさらに：
前記第１ＥＣＵが信頼できないデバイスである場合、前記第１ＥＣＵによって、前記コントローラによって送信された第３データ削除命令を受信するステップであって、前記第３データ削除命令は第２データ証明書を含み、前記第２データ証明書は削除されるべきデータに基づいて前記コントローラによって生成される、ステップと；
前記第１ＥＣＵによって、前記第２データ証明書に署名して、第２署名結果を取得する、ステップと；
前記第１ＥＣＵによって、前記第２署名結果を前記コントローラに送信し、前記削除すべきデータを削除するステップであって、前記第２署名結果は、前記信頼できないデバイスが前記削除すべきデータを削除したことを示す、ステップと
請求項１０乃至１４いずれか１項記載の方法。

【請求項16】

メモリとプロセッサとを備えるコントローラであって、
前記メモリはコードを記憶し、前記プロセッサは前記コードを実行するように構成されており、前記コードが実行されると、前記コントローラは請求項１から９のいずれか一項に記載の方法を実行する、
コントローラ。

【請求項17】

メモリとプロセッサとを備えるＥＣＵであって、
前記メモリはコードを記憶し、前記プロセッサは前記コードを実行するように構成されており、前記コードが実行されると、前記ＥＣＵは請求項１０乃至１５いずれか１項記載の方法を実行する、
ＥＣＵ。

【請求項18】

コントローラと複数のＥＣＵとを備える車両であって、
コントローラは、複数のＥＣＵに別々に接続されており、
前記コントローラは請求項１６記載のコントローラであり、
前記複数のＥＣＵのうちの任意のＥＣＵは、請求項１７記載のＥＣＵである、
車両。

【請求項19】

コンピュータ可読命令を含むコンピュータ可読記憶媒体であって、前記コンピュータ可読命令がコンピュータ上で実行されると、前記コンピュータは、請求項１乃至１５いずれか１項記載の方法を実行することが可能になる、
コンピュータ可読記憶媒体。

【請求項20】

コンピュータ可読命令を含むコンピュータプログラム製品であって、前記コンピュータ可読命令がコンピュータ上で実行されると、前記コンピュータは、請求項１乃至１５いずれか１項記載の方法を実行することが可能になる、
コンピュータプログラム製品。

【発明の詳細な説明】

【技術分野】

【0001】

本出願は、２０２１年８月２５日に中国国家知的所有権庁に出願された「ＤＡＴＡ ＰＲＯＣＥＳＳＩＮＧ ＭＥＴＨＯＤ ＡＮＤ ＲＥＬＡＴＥＤ ＡＰＰＡＲＡＴＵＳ」と題された中国特許出願第２０２１１０９８３６３４．３４号に対する優先権を主張しており、その全体が参照により本明細書に組み込まれている。

【0002】

［技術分野］
本出願は、インテリジェント車両技術の分野に関し、特に、データ処理方法及び関連装置に関する。

【背景技術】

【0003】

現代の情報技術の発展に伴い、車両内の電子製品の量が増加しており、車両の複雑さが増している。車両分野における開発傾向に適合するために、車両は、より多くの機能を実装する必要があり、車両内の電子制御機能を実装するためのシステム内の電子制御要素、特に車両構成要素内に配置された電子制御ユニット（ｅｌｅｃｔｒｏｎｉｃ ｃｏｎｔｒｏｌ ｕｎｉｔ、ＥＣＵ）の数も増加している。

【0004】

一般に、車両には、電子制御機能を有する車両構成要素毎に１つ以上のＥＣＵが配置され、各ＥＣＵは、制御機能や演算機能等の機能を有する。車両の通常の運転プロセスにおいて、車両内のＥＣＵは、通常、運転プロセスにおける車両の様々なタイプのデータ、例えば、車両の運転速度及び運転位置などのデータを取得する必要がある。

【0005】

車両が一定期間走行した後、車両内のＥＣＵは、通常、車両の運転プロセスにおいて生成された様々なタイプのデータを格納し、車両内のＥＣＵに格納されたデータは、車両所有者のプライベートデータである。場合によっては、車両所有者は、通常、プライバシーの漏洩を回避するために、車両に格納されたいくつかのプライベートデータを削除することを望む。しかしながら、現在の車両は、車両所有者による車両内の各ＥＣＵ内のデータの細粒度削除をサポートしていない。車両所有者は、車両フォーマット方式のみで車両全体の構成要素のデータを削除することができ、車両全体の構成要素のデータの削除は、車両所有者による車両の通常運転に影響を及ぼす。

【0006】

したがって、現在、車両内データを効果的に管理することができる方法が緊急に必要とされている。

【発明の概要】

【0007】

本発明は、データ処理方法を提供し、したがって、車両内の構成要素に対してデータのきめ細かな管理を実施することができ、したがって、車両内の特定のデータを好適に削除することができ、車両内のプライベートデータの漏洩が回避される。

【0008】

本発明の第１態様は、データ処理方法を提供する。本発明は、コントローラと複数のＥＣＵとを備える車両に適用される。車両は、例えば、インテリジェント車両であり得る。方法は、以下を含む：コントローラは、第１ＥＣＵからデータ要求メッセージを受信し、第１ＥＣＵは、複数のＥＣＵのうちのいずれか１つであり、データ要求メッセージは、センサデータを取得することを要求するために使用される。コントローラは、第１ＥＣＵに応答メッセージを送信し、応答メッセージは、センサデータを取得するように第１ＥＣＵに示す。応答メッセージに基づいて、第１ＥＣＵは、対応するセンサデータを取得することができる。

【0009】

コントローラは、データ要求メッセージに基づいてマーク情報を生成し、マーク情報は、センサデータに対する要求情報を記録する。例えば、センサデータに対する要求情報は、センサデータの要求者、センサデータの要求時間及びセンサデータの内容を含む。例えば、センサデータの要求情報は、以下のようなものであり得る：第１ＥＣＵは、ｘｘ／ｘｘ（月／日）のｘｘ：ｘｘにカメラデータを要求する。

【0010】

車両が第１ＥＣＵ内の前記センサデータの削除をトリガした場合、コントローラは、マーク情報に基づいて第１ＥＣＵに第１データ削除命令を送信し、第１データ削除命令は、第１ＥＣＵに前記センサデータを削除するように示す。

【0011】

この解決策では、車両内の複数のＥＣＵがセンサデータを取得する必要があるとき、複数のＥＣＵは、データ要求をコントローラに送信し、コントローラは、ＥＣＵによるセンサデータの要求に関する情報を記録する。このようにして、特定のセンサデータの削除がトリガされると、コントローラは、記録された情報に基づいて、センサデータを取得するＥＣＵを決定し、データ削除命令をそのＥＣＵに送信し得、それにより、車両内データのきめ細かな管理を実現する。

【0012】

可能な実施形態において、車両が前記第１ＥＣＵ内のセンサデータの削除をトリガすることは以下を含む：コントローラが、マーク情報及び予め設定されたデータ保持期間に基づいて、第１ＥＣＵ内のセンサデータが期限切れであると決定する。予め設定されたデータ保持期間は、車内データの格納期間であり得る。データの角の時間が格納期間に達するとき（すなわち、データは、期限切れになるとき）、データは削除されることを必要とする。

【0013】

あるいは、コントローラは、ユーザによってトリガされた第２データ削除命令を取得し、第２データ削除命令は、第１ＥＣＵ内のセンサデータを削除することを示す。例えば、ユーザは、車両のヒューマンマシンインタフェース上で、削除される必要があるデータを選択して、第２データ削除命令をトリガしてよい。

【0014】

この解決策では、ＥＣＵ内のデータが期限切れになるか、又はユーザがＥＣＵ内のデータの削除をトリガしたとき、コントローラは、データ削除命令をＥＣＵに送信し、データ削除を実施し、車両内データのきめ細かな管理を実施するようにトリガされる。

【0015】

可能な実施形態において、応答メッセージは、センサに関する情報を含み、センサに関する前記情報は、第１ＥＣＵがセンサからセンサデータを取得するように、センサとの通信接続を確立するために第１ＥＣＵによって使用される。

【0016】

この解決策では、ＥＣＵとセンサとの間の接続がコントローラによって管理及び制御され、したがって、コントローラは、センサデータを取得するようにＥＣＵを管理及び制御することができ、それによって、車両内データのきめ細かな管理を実施する。

【0017】

可能な実施態様では、第１ＥＣＵがセンサとの通信接続を確立することによってセンサデータを取得するとき、第１データ削除命令は、センサとの通信接続を切断するように第１ＥＣＵに示し得る。

【0018】

例えば、ユーザがアプリケーションの許可を変更し、第１ＥＣＵがセンサデータにアクセスする許可をもはや有しない場合、コントローラは、第１データ削除命令を第１ＥＣＵに送信し得る。
第１データ削除指示は、第１ ＥＣＵに対して、センサデータを削除することを指示するとともに、センサとの通信接続を切断することを指示する。

【0019】

この解決策では、ＥＣＵの許可が変更されてＥＣＵがセンサデータにアクセスできない場合、第１データ削除命令は、ＥＣＵとセンサとの間の通信接続を切断するようにＥＣＵに指示し、したがって、ＥＣＵはもはやセンサデータを取得することができず、それによって、車両内データの正確な管理及び制御を実施する。

【0020】

可能な実施態様では、コントローラが応答メッセージを第１ＥＣＵに送信する前に、方法は以下を含む。コントローラは、予め設定された許可構成ポリシーにしたがって、第１ＥＣＵがセンサデータにアクセスする許可を有すると決定する。可構成ポリシーは、車両内のヒューマンマシンインタフェース又はリモート端末を介してユーザによって設定され得る。あるいは、許可構成ポリシーは、車両が配達される前に予め設定されてもよい。

【0021】

可能な実装形態では、車両内のコントローラについて、車両内の信頼できないＥＣＵ、サードパーティデバイス、及びクラウドサーバはすべて、信頼できないデバイス、すなわち、コントローラによって信頼されないデバイスである。信頼できないデバイスとのデータ相互作用を実行するプロセスにおいて、コントローラは、データ相互作用の信頼性を保証するために、データ相互作用の証拠を格納する必要がある。

【0022】

方法はさらに以下を含む：コントローラは、信頼できないデバイスにより送信されたアドレス情報を受信し、信頼できないデバイスは第２ＥＣＵ又はサーバを含み、第２ＥＣＵは複数のＥＣＵのうちの信頼できないＥＣＵであり、アドレス情報は、信頼できないデバイス内にある、送信されるべきデータを格納するために使用されるアドレス空間を示し、アドレス情報は、送信されるべきデータのサイズに基づいて信頼できないデバイスにより決定される。

【0023】

コントローラは、アドレス情報及び送信されるべきデータに基づいて第１データ証明書を生成し、第１データ証明書は、送信されるべきデータを一意に示す。コントローラは、第１データ証明書を信頼できないデバイスに送信する。コントローラは、信頼できないデバイスによって送信された第１署名結果を受信し、第１署名結果は、信頼できないデバイスによって第１データ証明書に署名することによって取得される。コントローラによって、信頼できないデバイスへの送信されるべきデータの送信を制御する。

【0024】

この解決策では、データが信頼できないデバイスに送信される前に、コントローラは、信頼できないデバイスによって返され、送信されるべきデータを格納するために使用されるアドレス情報を取得し、アドレス情報及び送信されるべきデータに基づいてデータ証明書を生成する。データは、信頼できないデバイスを使用することによってデータ証明書が署名された後に、信頼できないデバイスに送信される。コントローラは、信頼できないデバイスを使用することによって署名されたデータ証明書を格納し、その結果、信頼できないデバイスへのデータ送信の証拠を提供することができ、それによって、信頼できないデバイスが、データを受信した後に、信頼できないデバイスがデータを受信していないことを否認する（ｒｅｐｕｄｉａｔｅｓ， ．．．ｔｈａｔ ｔｈｅ ｕｎｔｒｕｓｔｅｄ ｄｅｖｉｃｅ ｄｏｅｓ ｎｏｔ ｒｅｃｅｉｖｅ ｔｈｅ ｄａｔａ，）脅威を排除し、データ送信の信頼性を改善する。

【0025】

コントローラが、信頼できないデバイスへの送信されるべきデータの送信を制御し得る複数の実装が存在し得る。

【0026】

可能な実装形態では、信頼できないデバイスが第２ＥＣＵであり、第２ＥＣＵがコントローラからセンサデータを取得することを要求する場合、コントローラは、センサに関する情報を第２ＥＣＵに返すことによって、センサからセンサデータを取得するように第２ＥＣＵに指示し得る。
すなわち、コントローラは、センサとの確立に関する情報を信頼できないデバイスに返すことによって、信頼できないデバイスへの送信されるべきデータの送信を制御する。

【0027】

別の可能な実装形態では、信頼できないデバイスが第２ＥＣＵ又はサーバであり、送信されるべきデータがコントローラの格納空間に位置する場合、コントローラは、信頼できないデバイスへの送信されるべきデータの送信を制御するために、コントローラの格納空間のデータを第２ＥＣＵ又はサーバに送信し得る。

【0028】

さらに別の可能な実装形態では、信頼できないデバイスがサーバであり、送信されるべきデータがコントローラ以外の構成要素上に位置する場合、コントローラは、送信されるべきデータを格納する構成要素と通信して、送信されるべきデータをサーバに送信するように構成要素に示し得る。

【0029】

可能な実施態様では、第１データ証明書は、アドレス情報と、送信されるべきデータのダイジェスト値、送信されるべきデータのファイルロケータ、及び送信されるべきデータのタイムスタンプのうちの１つ以上と、を含む。

【0030】

可能な実装形態では、方法はさらに以下を含む：コントローラは、削除されるべきデータに基づいて第２データ証明書を生成する。コントローラは、第３データ削除命令を信頼できないデバイスに送信し、信頼できないデバイスは第３ＥＣＵ又はサーバを含み、第３ＥＣＵは複数のＥＣＵのうちの信頼できないＥＣＵであり、第３データ削除命令は第２データ証明書を含み、第３データ削除命令は削除されるべきデータを削除することを示す。コントローラは、信頼できないデバイスにより返された第２署名結果を取得し、第２署名結果は、サーバにより第２データ証明書に署名することにより取得され、第２署名結果は、信頼できないデバイスが削除されるべきデータを削除したことを示す。

【0031】

この解決策では、コントローラが信頼できないデバイスにデータを削除するように指示する前に、コントローラは、削除されるべきデータに基づいてデータ証明書を生成する。信頼できないデバイスにデータを削除するように指示するとき、コントローラは信頼できないデバイスにデータ証明書を送信し、その結果、コントローラは信頼できないデバイスによってデータ証明書に署名することによって得られた結果を取得することができる。

【0032】

コントローラは、信頼できないデバイスによってデータ証明書に署名することによって得られた結果を格納し、結果として、信頼できないデバイスがデータ削除を確認したという証拠を提供でき、それによって、データ削除命令が受信されないことを信頼できないデバイスが拒否する（ｔｈｅ ｕｎｔｒｕｓｔｅｄ ｄｅｖｉｃｅ ｒｅｐｕｄｉａｔｅｓ ｔｈａｔ ｎｏ ｄａｔａ ｄｅｌｅｔｉｏｎ ｉｎｓｔｒｕｃｔｉｏｎ ｉｓ ｒｅｃｅｉｖｅｄ）という脅威を排除し、データ送信の信頼性を向上させる。

【0033】

本発明の第２態様は、データ処理方法を提供する。本方法は、コントローラ及び複数の電子制御ユニットＥＣＵを備える車両に適用される。方法は、以下を含む：第１ＥＣＵはコントローラにデータ要求メッセージを送信し、第１ＥＣＵは、複数のＥＣＵのうちのいずれか１つであり、データ要求メッセージは、センサデータを取得することを要求するために使用される。第１ＥＣＵはコントローラから応答メッセージを受信し、応答メッセージは、第１ＥＣＵにセンサデータを取得するように指示する。第１ＥＣＵは、応答メッセージに基づいてセンサデータを取得する。車両が第１ＥＣＵ内のセンサデータの削除をトリガした場合、第１ＥＣＵは、コントローラから第１データ削除命令を受信し、第１データ削除命令に基づいて第１ＥＣＵ内のセンサデータを削除する。

【0034】

可能な実装形態では、第１ＥＣＵが応答メッセージに基づいてセンサデータを取得することは以下を含む：第１ＥＣＵは、センサに関する情報に基づいて、センサとの通信接続を確立し、応答情報が前記センサに関する情報を含む。第１ＥＣＵは、通信接続に基づい記センサからセンサデータを取得する。

【0035】

可能な実施態様では、第１データ削除命令は、第１ＥＣＵに、センサとの通信接続を切断するよに指示する。

【0036】

ありうる実現において、方法は、以下を更に含む：第１ＥＣＵが信頼できないデバイスである場合、第１ＥＣＵは、アドレス情報をコントローラに送信し、アドレス情報は、第１ＥＣＵ内にある、送信されるべきデータを格納するために使用されるアドレス空間を示し、アドレス情報は、送信されるべきデータのサイズに基づいて第１ＥＣＵによって決定される。第１ＥＣＵは、コントローラによって送信された第１データ証明書を受信し、第１データ証明書は、アドレス情報及び送信されるべきデータに基づいて生成される。第１ＥＣＵは、第１データ証明書に署名して第１署名結果を取得する。第１ＥＣＵは、第１署名結果をコントローラに送信する。第１ＥＣＵは、コントローラによって送信された送信されるべきデータを受信する。

【0037】

可能な実施態様では、第１データ証明書は、アドレス情報と、送信されるべきデータのダイジェスト値、送信されるべきデータのファイルロケータ、及び送信されるべきデータのタイムスタンプのうちの１つ以上と、を含む。

【0038】

可能な実施態様では、方法は以下をさらにに含む：第１ＥＣＵが信頼できないデバイスである場合、第１ＥＣＵは、コントローラによって送信された第３データ削除命令を受信し、第３データ削除命令は第２データ証明書を含み、第２データ証明書は削除されるべきデータに基づいてコントローラによって生成される。第１ＥＣＵは、第２データ証明書に署名して、第２署名結果を取得する。第１ＥＣＵは、第２署名結果をコントローラに送信し、削除されるべきデータを削除し、第２署名結果は、信頼できないデバイスが削除されるべきデータを削除したことを示す。

【0039】

本発明の第３態様は、コントローラを提供する。コントローラは、車両内に配置される。車両は、複数のＥＣＵをさらに備える。コントローラは、送受信ユニットと処理ユニットとを含む。

【0040】

送受信ユニットは、第１ＥＣＵからデータ要求メッセージを受信するように構成され、第１ＥＣＵは複数のＥＣＵのうちのいずれか１つであり、データ要求メッセージはセンサデータを取得することを要求するために使用される。

【0041】

送受信ユニットは、第１ＥＣＵに応答メッセージを送信するようにさらに構成されており、応答メッセージは、センサデータを取得するように前記第１ＥＣＵに示す。

【0042】

処理ユニットは、データ要求メッセージに基づいてマーク情報を生成するように構成されており、マーク情報は、センサデータに対する要求情報を記録する。

【0043】

車両が第１ＥＣＵ内のセンサデータの削除をトリガする場合、送受信ユニットは、マーク情報に基づいて第１ＥＣＵに第１データ削除命令を送信するようにさらに構成されており、第１データ削除命令は、第１ＥＣＵにセンサデータを削除するように示す。

【0044】

可能な実装形態では、センサデータに対する要求情報は、前記センサデータの要求者、センサデータの要求時間及びセンサデータの内容を含む。

【0045】

可能な実装形態では、処理ユニットは、マーク情報及び予め設定されたデータ保持期間に基づいて、第１ＥＣＵ内のセンサデータが期限切れであると決定するようにさらに構成されている；又は、送受信ユニットは、ユーザによってトリガされた第２データ削除命令を取得するようにさらに構成されており、第２データ削除命令は、第１ＥＣＵ内のセンサデータを削除することを指示する。

【0046】

可能な実装形態では、応答メッセージはセンサに関する情報を含み、センサに関する情報は、第１ＥＣＵがセンサからセンサデータを取得するように、センサとの通信接続を確立するために第１ＥＣＵによって使用される。

【0047】

可能な実装形態では、第１データ削除命令は、第１ＥＣＵに、センサとの通信接続を切断するようにさらに指示する。

【0048】

可能な実装形態では、処理ユニットは、予め設定された許可構成ポリシーにしたがって、第１ＥＣＵがセンサデータにアクセスする許可を有すると決定するようにさらに構成されている。

【0049】

可能な実装形態では、送受信ユニットは、信頼できないデバイスにより送信されたアドレス情報を受信するようにさらに構成されており、信頼できないデバイスは第２ＥＣＵ又はサーバを含み、第２ＥＣＵは前記複数のＥＣＵのうちの信頼できないＥＣＵであり、アドレス情報は、信頼できないデバイス内にある、送信されるべきデータを格納するために使用されるアドレス空間を示し、アドレス情報は送信されるべきデータのサイズに基づいて信頼できないデバイスにより決定される。処理ユニットは、アドレス情報及び送信されるべきデータに基づいて第１データ証明書を生成するようにいさらに構成されておりあって、第１データ証明書は、送信されるべきデータを一意に示す。送受信ユニットは、信頼できないデバイスに第１データ証明書を送信するようにさらに構成されている。送受信ユニットは、信頼できないデバイスによって送信された第１署名結果を受信するようにさらに構成されており、第１署名結果は、信頼できないデバイスによって第１データ証明書に署名することによって取得される。送受信ユニットは、信頼できないデバイスへの送信されるべきデータの送信を制御するようにさらに構成されている。

【0050】

可能な実施態様では、第１データ証明書は、アドレス情報と、送信されるべきデータのダイジェスト値、送信されるべきデータのファイルロケータ、及び送信されるべきデータのタイムスタンプのうちの１つ以上と、を含む。

【0051】

可能な実装形態では、処理ユニットは、削除されるべきデータに基づいて第２データ証明書を生成するようにさらに構成される。送受信ユニットは、第３データ削除命令を信頼できないデバイスに送信するようにさらに構成されており、信頼できないデバイスは第３ＥＣＵ又はサーバを含み、第３ＥＣＵは複数のＥＣＵのうちの信頼できないＥＣＵであり、第３データ削除命令は第２データ証明書を含み、第３データ削除命令は削除されるべきデータを削除することを示す。送受信ユニットは、信頼できないデバイスにより返された第２署名結果を取得するようにさらに構成されており、第２署名結果はサーバにより第２データ証明書に署名することにより取得され、第２署名結果は、信頼できないデバイスが削除されるべきデータを削除したことを示す。

【0052】

本発明の第４の態様は第１ＥＣＵを提供する。第１ＥＣＵは車両内に配置される。車両は、コントローラと、複数のＥＣＵとを備える。第１ＥＣＵは、複数のＥＣＵのうちのいずれか１つである。第１ＥＣＵは、送受信ユニットと、処理ユニットとを備える。送受信ユニットは、データ要求メッセージをコントローラに送信するように構成されており、データ要求メッセージは、センサデータを取得することを要求するために使用される。送受信ユニットは、コントローラから応答メッセージを受信するように構成されており、応答メッセージは、第１ＥＣＵにセンサデータを取得することを示す。処理ユニットは、応答メッセージに基づいてセンサデータを取得するように構成されている。車両が第１ＥＣＵ内のセンサデータの削除をトリガした場合、送受信ユニットは、コントローラから第１データ削除命令を受信し、第１データ削除命令に基づいて第１ＥＣＵ内のセンサデータを削除するようにさらに構成されている。

【0053】

可能な実装形態では、送受信ユニットは、センサに関する情報に基づいて、センサとの通信接続を確立するようにさらに構成されており、応答情報は、センサに関する情報を含む。送受信ユニットは、通信接続に基づいてセンサからセンサデータを取得するようにさらに構成さていれる。

【0054】

可能な実施態様では、第１データ削除命令は、第１ＥＣＵに、センサとの通信接続を切断するようにさらに示す。

【0055】

可能な実施態様では、第１ＥＣＵが信頼できないデバイスである場合、送受信ユニットは、アドレス情報をコントローラに送信するようにさらに構成されており、アドレス情報は、第１ＥＣＵ内にある、送信されるべきデータを格納するために使用されるアドレス空間を示し、アドレス情報は、送信されるべきデータのサイズに基づいて第１ＥＣＵによって決定される。送受信ユニットは、コントローラによって送信された第１データ証明書を受信するようにさらに構成されており、第１データ証明書は、アドレス情報及び送信されるべきデータに基づいて生成される。処理ユニットは、第１署名結果を取得するために第１データ証明書に署名するようにさらに構成されている。送受信ユニットは、第１署名結果をコントローラに送信するようにさらに構成されている。送受信ユニットは、コントローラによって送信された送信されるべきデータを受信するようにさらに構成されている。

【0056】

可能な実施態様では、第１データ証明書は、アドレス情報と記送信されるべきデータのダイジェスト値、送信されるべきデータのファイルロケータ、及び送信されるべきデータのタイムスタンプのうちの１つ以上と、を含む。

【0057】

可能な実施態様では、第１ＥＣＵが信頼できないデバイスである場合、送受信ユニット、コントローラによって送信された第３データ削除命令を受信するように構成されており、第３データ削除命令は第２データ証明書を含み、第２データ証明書は削除されるべきデータに基づいてコントローラによって生成される。処理ユニットは、第２署名結果を取得するために第２データ証明書に署名するようにさらに構成されている。送受信ユニットは、以下のようにさらに構成されている：第２署名結果をコントローラに送信し、削除されるべきデータを削除し、第２署名結果は、信頼できないデバイスが削除されるべきデータを削除したことを示す。

【0058】

本発明の第５の態様は、コントローラを提供する。コントローラは、メモリとプロセッサとを備える。メモリは、コードを格納する。プロセッサは、コードを実行するように構成されている。コードが実行されると、コントローラは、第１態様の実装形態のうちのいずれか１つによる方法を実行する。

【0059】

本発明の第６の態様は、ＥＣＵを提供する。ＥＣＵは、メモリとプロセッサとを含む。メモリはコードを格納する。プロセッサは、コードを実行するように構成される。コードが実行されると、ＥＣＵは、第１態様の実施態様のいずれか１つによる方法を実行する。

【0060】

本発明の第７態様によれば、コントローラと、複数のＥＣＵとを備える車両が提供される。コントローラは、複数のＥＣＵに個別に接続されている。コントローラは、第５態様に係る制御装置であり、複数のＥＣＵのうちのいずれかのＥＣＵは、第６態様に係るＥＣＵである。

【0061】

本発明の第８態様は、コンピュータ可読記憶媒体又はコンピュータ読み出し可能格納媒体を提供する。コンピュータ可読記憶媒体は、コンピュータプログラムを記憶する。コンピュータプログラムがコンピュータ上で実行されるとき、コンピュータは、第１態様又は第２態様の実装形態のいずれか１つによる方法を実行することが可能になる。

【0062】

本発明の第９態様は、コンピュータプログラム製品を提供する。コンピュータプログラム製品がコンピュータ上で実行されるとき、コンピュータは、第１態様又は第２態様の実装形態のいずれか１つによる方法を実行することが可能にされる。

【0063】

本発明の第１０態様は、１つ以上のプロセッサを含むチップを提供する。プロセッサの一部又は全部は、メモリに格納されたコンピュータプログラムを読み出して実行し、前述の態様のいずれか１つの任意の可能な実装形態による方法を実行するように構成される。

【0064】

任意選択で、チップはメモリを含み、メモリ及びプロセッサは、回路又はワイヤを使用することによってメモリに接続される。任意選択で、チップは通信インタフェースをさらに含み、プロセッサは通信インタフェースに接続される。通信インタフェースは、処理される必要があるデータ及び／又は情報を受信するように構成される。プロセッサは、通信インタフェースからデータ及び／又は情報を取得し、データ及び／又は情報を処理し、通信インタフェースを介して処理結果を出力する。通信インタフェースは、入力／出力インタフェースであってもよい。本出願による方法は、１つのチップによって実施されてもよく、又は複数のチップによって協働して実施されてもよい。

【図面の簡単な説明】

【0065】

【図1】図１は、本発明の実施形態に係る車両１００の構成を模式的に示す図である。

【0066】

【図2】図２は、本発明の実施形態に係る車両の構造の別の概略図である。

【0067】

【図3】図３は、本出願の実施形態による車両内のコンピュータシステム１０１の構造を模式的に示す図である。

【0068】

【図4】図４は、本出願の実施形態によるデータ処理方法４００のフローチャートを模式的に示す図である。

【0069】

【図5】図５は、本発明の実施形態による車両のヒューマンマシンインタフェースを模式的に示す図である。

【0070】

【図6】図６は、本発明の一実施形態によるデータ処理方法６００のフローチャートを模式的に示す図である。

【0071】

【図7】図７は、本発明の実施形態による車両のシステムアーキテクチャを模式的に示す図である。

【0072】

【図8】図８は、本発明の実施形態による、コントローラとＥＣＵとの間の相互作用を模式的に示す図である。

【0073】

【図9】図９は、本発明の実施形態によるデータ処理センタの構造を模式的に示す図である。

【0074】

【図10】図１０は、本発明の一実施形態によるデータ処理方法１０００のフローチャートを模式的に示す図である。

【0075】

【図11】図１１は、本発明の一実施形態による、コントローラと信頼できないデバイスとの間の相互作用を模式的に示す図である。

【0076】

【図12】図１２は、本発明の実施形態による、ＥＣＵとコントローラとの間でデータ証明書１を交換するフローチャートを模式的に示す図である。

【0077】

【図13】図１３は、本発明の実施形態によるデータ証明書１の構造を模式的に示す図である。

【0078】

【図14】図１４は、本発明の実施形態によるコントローラ１４００の構造を模式的に示す図である。

【0079】

【図15】図１５は、本発明の実施の形態に係る第１ＥＣＵ１５００の構成を模式的に示す図である。

【0080】

【図16】図１６は、本発明の実施形態によるコンピュータ読み出し可能格納媒体１６００の構造を模式的に示す図である。

【発明を実施するための形態】

【0081】

以下では、本発明の実施形態における添付の図面を参照して、本発明の実施形態における技術的解決策を説明する。説明される実施形態は、本発明の実施形態の全てではなく、その一部にすぎないことは明らかである。創造的な努力なしに本発明の実施形態に基づいて当業者によって得られるすべての他の実施形態は、本発明の保護範囲内に入るものとする。

【0082】

本発明の実施形態において提供されるデータ処理方法は、様々な車両関連シナリオ、例えば、車両が通常、車両のための運転経路を計画し、車両状態を監視し、又は車両を遠隔制御するシナリオに適用されてよい。

【0083】

以下、図面を参照して、本発明の実施形態を説明する。当業者は、技術の発展及び新しいシナリオの出現とともに、本出願の実施形態において提供される技術的解決策が同様の技術的問題にも適用可能であることを知ることができる。

【0084】

この解決策の理解を容易にするために、本発明の実施形態では、本明細書で提供される車両の構造が、まず図１を参照して説明される。図１は、本発明の実施形態に係る車両１００の構成を模式的に示す図である。

【0085】

一実施形態において、車両１００は、完全に又は部分的に自律運転モードにあるように構成されてもよい。例えば、自律走行モードの車両１００は、車両１００を制御し、手動操作を通じて車両の現在状態及び車両の周辺環境を決定し、周辺環境の少なくとも１つの他の車両の可能な挙動を決定し、他の車両が可能な挙動を行う可能性に対応する信頼度を決定し、決定された情報に基づいて車両１００を制御する。車両１００が自動運転モードにあるとき、車両１００は、人と相互作用することなく動作するように設定され得る。

【0086】

車両１００は、走行システム１０２、センサシステム１０４、制御システム１０６、１つ以上の周辺デバイス１０８、電源１１０、コンピュータシステム１１２、及びユーザインタフェース１１６などの様々なサブシステムを含み得る。任意選択的に、車両１００は、より多くの又はより少ないサブシステムを含んでもよく、各サブシステムは、複数の要素を含み得る。例えば、各サブシステムは、複数のＥＣＵを含む。また、車両１００の各サブシステム及び構成要素は、有線又は無線で相互接続されて得る。

【0087】

走行システム１０２は、車両１００が移動するための動力を提供する構成要素を含み得る。一実施形態において、走行システム１０２は、エンジン１１８、エネルギー源１１９、トランスミッション装置１２０、及び車輪／タイヤ１２１を含み得る。エンジン１１８は、内燃機関、モータ、空気圧縮エンジン、又は他のタイプのエンジンの組み合わせであり得、例えば、ガソリンエンジン及びモータを含むハイブリッドエンジン、又は内燃機関及び空気圧縮エンジンを含むハイブリッドエンジンであり得る。エンジン１１８は、エネルギー源１１９を機械的エネルギーに変換する。

【0088】

エネルギー源１１９の例は、ガソリン、ディーゼル、他の油ベースの燃料、プロパン、他の圧縮ガスベースの燃料、無水アルコール、ソーラーパネル、バッテリ、又は他の電源を含む。エネルギー源１１９はまた、車両１００の別のシステムにエネルギーを提供し得る。

【0089】

トランスミッション装置１２０は、エンジン１１８からの機械的動力を車輪１２１に伝達する。トランスミッション装置１２０は、ギアボックス、差動装置及びドライブシャフトを含むことができる。一実施形態において、トランスミッション装置１２０は、別の構成要素、例えばクラッチをさらに含み得る。駆動シャフトは、１つ以上の車輪１２１に結合され得る１つ以上のシャフトを含み得る。

【0090】

センサシステム１０４は、車両１００の周囲環境に関する情報を感知することができるいくつかのセンサを含むことができる。例えば、センサシステム１０４は、測位システム１２２（測位システムは、ＧＰＳシステム、ＢｅｉＤｏｕシステム、又は別の測位システムであってもよい）、慣性測定ユニット（ｉｎｅｒｔｉａｌ ｍｅａｓｕｒｅｍｅｎｔ ｕｎｉｔ、ＩＭＵ）１２４、レーダ１２６、レーザ距離測定器１２８、及びカメラ１３０を含んでみ得る。センサシステム１０４は、監視対象車両１００の内部システムのセンサ（例えば、車内空気品質モニタ、燃料計、又はエンジン油温度計）を更に含み得る。これらのセンサのうちの１つ以上からのセンサデータは、オブジェクト及びオブジェクトの対応する特徴（位置、形状、方向、速度など）を検出するために使用され得る。このような検出及び認識は、自動運転車両１００の安全運転のための重要な機能である。

【0091】

測位システム１２２は、車両１００の地理的位置を推定するように構成され得る。ＩＭＵ １２４は、慣性加速度に基づいて車両１００の位置及び向きの変化を感知するように構成されている。一実施形態では、ＩＭＵ １２４は、加速度計とジャイロスコープとの組み合わせであり得る。

【0092】

レーダ１２６は、無線信号を用いて車両１００の周辺環境内のオブジェクトを感知する。いくつかの実施形態では、オブジェクトを感知することに加えて、レーダ１２６は、オブジェクトの速度及び／又は移動方向を感知するようにさらに構成されてもよい。

【0093】

レーザ距離測定器１２８は、レーザを使用することによって、車両１００が位置する環境内のオブジェクトを感知することができる。いくつかの実施形態では、レーザ距離測定器１２８は、１つ以上のレーザ源、レーザスキャナ、１つ以上の検出器、及び別のシステム構成要素を含み得る。

【0094】

カメラ１３０は、車両１００の周囲環境の複数の画像を取り込むように構成され得る。カメラ１３０は、静的カメラ又はビデオカメラでり得る。

【0095】

制御システム１０６は、車両１００及び車両１００の構成要素の動作を制御する。制御システム１０６は、ステアリングシステム１３２、スロットル１３４、ブレーキユニット１３６、センサ融合アルゴリズム１３８、コンピュータビジョンシステム１４０、ルート制御システム１４２、及び障害物回避システム１４４を含む様々な構成要素を含み得る。

【0096】

ステアリングシステム１３２は、車両１００の移動方向を調節するために作動することができる。例えば、一実施形態では、ステアリングシステム１３２は、ステアリングホイールシステムであり得る。

【0097】

スロットル１３４は、エンジン１１８の動作速度を制御し、さらに車両１００の速度を制御するように構成されている。

【0098】

ブレーキユニット１３６は、車両１００を減速させるように制御するように構成される。ブレーキユニット１３６は、摩擦を使用して車輪１２１を減速させることができる。他の実施形態において、ブレーキユニット１３６は、車輪１２１の運動エネルギーを電流に変換し得る。ブレーキユニット１３６は、代替的に、車両１００の速度を制御するために、車輪１２１の回転速度を低減するための別の形態を使用し得る。

【0099】

コンピュータビジョンシステム１４０は、カメラ１３０によって捕捉された画像を処理及び分析して、車両１００の周囲環境内のオブジェクト及び／又は特徴を識別するように動作し得る。オブジェクト及び／又は特徴は、交通信号、道路境界、及び障害物を含み得る。コンピュータビジョンシステム１４０は、オブジェクト認識アルゴリズム、ストラクチャフロムモーション（Ｓｔｒｕｃｔｕｒｅ ｆｒｏｍ Ｍｏｔｉｏｎ、ＳＦＭ）アルゴリズム、ビデオ追跡、及び別のコンピュータビジョン技術を使用し得る。いくつかの実施形態では、コンピュータビジョンシステム１４０は、環境のマップを描画し、オブジェクトを追跡し、オブジェクトの速度を推定する等を行うように構成され得る。

【0100】

ルート制御システム１４２は、車両１００の走行ルートを決定するように構成されている。いくつかの実施形態では、ルート制御システム１４２は、センサ１３８、ＧＰＳ １２２、及び１つ以上の所定のマップからのデータを参照して車両１００の走行ルートを決定してもよい。

【0101】

障害物回避システム１４４は、車両１００の環境内の潜在的な障害物を認識し、評価し、別の方法で回避又は迂回するように構成されている。

【0102】

当然ながら、一例では、制御システム１０６は、図示及び説明されたもの以外の構成要素を追加してもよく、又は代替的に含んでもよい。あるいは、制御システム１０６は、前述の構成要素のうちのいくつかを削除してもよい。

【0103】

車両１００は、周辺デバイス１０８を使用することによって、外部センサ、別の車両、別のコンピュータシステム、又はユーザと相互作用する。周辺デバイス１０８は、無線通信システム１４６、車載コンピュータ１４８、マイクロフォン１５０、及び／又はスピーカ１５２を含むことができる。

【0104】

いくつかの実施形態では、周辺デバイス１０８は、車両１００のユーザがユーザインタフェース１１６と相互作用するための手段を提供する。例えば、車載コンピュータ１４８は、車両１００のユーザに情報を提供してもよい。ユーザインタフェース１１６は、ユーザ入力を受信するように車両搭載コンピュータ１４８をさらに動作させ得る。また、車載コンピュータ１４８は、タッチパネルを介して操作を行い得る。別の場合には、周辺デバイス１０８は、車両１００が車両内に位置する別のデバイスと通信するための手段を提供し得る。例えば、マイクロフォン１５０は、車両１００のユーザから音声（例えば、音声コマンド又は別の音声入力）を受信し得る。同様に、スピーカ１５２は、車両１００のユーザに音声を出力し得る。

【0105】

無線通信システム１４６は、直接的に又は通信ネットワークを介して、１つ以上のデバイスと無線通信し得る。例えば、無線通信システム１４６は、ＣＤＭＡ、ＥＶＤ０、ＧＳＭ（登録商標）／ＧＰＲＳなどの３Ｇセルラーネットワークを介して通信を行ってもよく、ＬＴＥなどの４Ｇセルラーネットワークを介して通信を行ってもよく、５Ｇセルラーネットワーク通信を行ってもよい。無線通信システム１４６は、Ｗｉ－Ｆｉを介して無線ローカルエリアネットワーク（ｗｉｒｅｌｅｓｓ ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ、ＷＬＡＮ）と通信してもよい。いくつかの実施形態では、ワイヤレス通信システム１４６は、赤外線リンク、Ｂｌｕｅｔｏｏｔｈ（登録商標）、又はＺｉｇＢｅｅ（登録商標）を使用することによって、デバイスと直接通信し得る。他のワイヤレスプロトコル、例えば、ワイヤレス通信システム１４６などの様々な車両通信システムは、１つ以上の専用短距離通信（ｄｅｄｉｃａｔｅｄ ｓｈｏｒｔ－ｒａｎｇｅ ｃｏｍｍｕｎｉｃａｔｉｏｎｓ、ＤＳＲＣ）デバイスを含み得、これらのデバイスは、車両及び／又は路側局の間のパブリック及び／又はプライベートデータ通信を含み得る。

【0106】

電源１１０は、車両１００の様々な構成要素に電力を供給することができる。一実施形態では、電源１１０は、充電式リチウムイオン電池又は鉛蓄電池であり得る。そのようなバッテリの１つ以上のバッテリパックは、車両１００の構成要素に電力を供給するための電源として構成され得る。いくつかの実施形態では、電源１１０及びエネルギー源１１９は、たとえば、いくつかの純粋な電気車両において一緒に実装され得る。

【0107】

車両１００の機能の一部又は全部は、コンピュータシステム１１２によって制御される。コンピュータシステム１１２は、少なくとも１つのプロセッサ１１３を含み得る。プロセッサ１１３は、データ格納装置又はデータ記憶装置（ｄａｔａ ｓｔｏｒａｇｅ ａｐｐａｒａｔｕｓ）１１４などの非一時的コンピュータ可読媒体に格納又は記憶された（ｓｔｏｒｅｄ）命令１１５を実行する。コンピュータシステム１１２は、代替的に、車両１００の個々の構成要素又はサブシステムを分散して制御する複数のコンピューティングデバイスであり得る。

【0108】

プロセッサ１１３は、任意の従来のプロセッサ、例えば、市販のＣＰＵであり得る。あるいは、プロセッサは、ＡＳＩＣ又は別のハードウェアベースのプロセッサなどの専用デバイスであり得る。図１は、コンピュータ１１０のプロセッサ、メモリ、及び他の構成要素を同じブロック内に機能的に示しているが、当業者は、プロセッサ、コンピュータ、又はメモリが、実際には、同じ物理的筐体内に格納されてもされなくてもよい複数のプロセッサ、コンピュータ、又はメモリを含み得ることを理解すべきである。

【0109】

例えば、メモリは、ハードディスクドライブ、又はコンピュータ１１０の筐体とは異なる筐体内に位置する別の格納媒体であり得る。したがって、プロセッサ又はコンピュータへの言及は、並列に動作してもしなくてもよいプロセッサ又はコンピュータ又はメモリのセットへの言及を含むことが理解される。本明細書に記載されたステップを実行するために単一のプロセッサを使用することとは異なり、ステアリングコンポーネント及び減速コンポーネントなどのいくつかのコンポーネントは、それぞれのプロセッサを含み得る。プロセッサは、コンポーネント固有の機能に関連する計算のみを実行する。

【0110】

本明細書に記載される様々な態様では、プロセッサは、車両から遠く離れて位置し、車両と無線通信し得る。別の態様では、本明細書に記載されるいくつかのプロセスは、車両内に配置されたプロセッサ上で実行され、他のプロセスは、単一の操作に必要なステップを実行することを含む、遠隔プロセッサによって実行される。

【0111】

いくつかの実施形態では、データ格納装置１１４は、命令１１５（例えば、プログラムロジック）を含み得、命令１１５は、上述の機能を含む車両１００の様々な機能を実行するためにプロセッサによって実行されて得る。データ格納装置１１４は、追加の命令、例えば、走行システム１０２、センサシステム１０４、制御システム１０６、及び／又は周辺機器１０８のうちの１つ以上に、データを送信し、それらからデータを受信し、それらと相互作用し、及び／又はそれらを制御するための命令も含み得る。

【0112】

命令１１５に加えて、データ格納装置１１４は、道路地図、ルート情報、車両の位置、方向、速度、及び他の車両データ、ならびに他の情報などのデータをさらに格納し得る。そのような情報は、車両１００が自律モード、半自律モード、及び／又は手動モードで動作するときに、車両１００及びコンピュータシステム１１２によって使用され得る。

【0113】

ユーザインタフェース１１６は、車両１００のユーザに情報を提供するか、又は車両１００のユーザから情報を受信するように構成される。任意選択で、ユーザインタフェース１１６は、周辺デバイス１０８のセット内の１つ以上の入力／出力デバイス、例えば、ワイヤレス通信システム１４６、車両搭載コンピュータ１４８、マイクロフォン１５０、及びスピーカ１５２を含み得る。

【0114】

コンピュータシステム１１２は、様々なサブシステム（例えば、走行システム１０２、センサシステム１０４、及び制御システム１０６）から、及びユーザインタフェース１１６から受信された入力に基づいて、車両１００の機能を制御し得る。例えば、コンピュータシステム１１２は、制御システム１０６からの入力にアクセスしてこれを使用し、センサシステム１０４及び障害物回避システム１４４によって検出された障害物を回避するようにステアリングユニット１３２を制御することができる。いくつかの実施形態では、コンピュータシステム１１２は、多くの態様において、車両１００及び車両１００のサブシステムに対する制御を提供するように動作し得る。

【0115】

任意選択的に、前述の構成要素のうちの１つ以上は、車両１００とは別個に設置されてもよく、又は車両１００に関連付けられてもよい。例えば、データ格納装置１１４は、車両１１００から部分的に又は完全に分離されてもよい。前述のコンポーネントは、有線及び／又は無線の方法で通信可能に一緒に結合され得る。

【0116】

任意選択で、前述の構成要素は例にすぎない。実際の適用中に、前述のモジュール内の構成要素は、実際の要件に基づいて追加又は除去され得る。図１は、本発明のこの実施形態に対する限定として解釈されるべきではない。

【0117】

道路上を走行する自動運転車両、例えば、車両１００は、自動運転車両の周囲環境内のオブジェクトを識別して、現在の速度を調整することを決定し得る。オブジェクトは、別の車両、交通制御デバイス、又は別のタイプのオブジェクトであり得る。いくつかの例において、各識別されたオブジェクトは、独立して考慮されてもよく、オブジェクトの現在の速度、オブジェクトの加速度、及びオブジェクトと車両との間の間隔などの各オブジェクトの特徴に基づいて、自律運転車両によって調整されるべき速度を決定するために使用され得る。

【0118】

任意選択的に、自律運転車両１００又は自動運転車両１００に関連付けられたコンピューティングデバイス（図１のコンピュータシステム１１２、コンピュータビジョンシステム１４０、及びデータ格納装置１１４など）は、識別された物体の特性及び周囲環境の状態（例えば、交通、雨、又は道路上の氷）に基づいて、識別された物体の挙動を予測し得る。任意選択で、すべての識別されたオブジェクトは、互いの挙動に依存し、したがって、すべての識別されたオブジェクトは、単一の識別されたオブジェクトの挙動を予測するために一緒に考慮され得る。車両１００は、識別されたオブジェクトの予測された挙動に基づいて車両１００の速度を調整し得る。

【0119】

すなわち、自律車両は、オブジェクトの予測された挙動に基づいて、車両を調整すべき安定状態（例えば、加速、減速、停止）を決定することができる。このプロセスでは、車両１００の速度を決定するために、別の要因、例えば、車両が走行する道路上の車両１００の水平位置、道路の曲率、及び静的オブジェクトと動的オブジェクトとの間の近接性も考慮され得る。

【0120】

自律車両の速度を調整するための命令を提供することに加えて、コンピューティングデバイスは、車両１００のステアリング角を修正するための命令をさらに提供することができ、したがって、自律車両が所与の軌道を追従するように、及び／又は自律車両と自律車両の近くのオブジェクト（たとえば、道路上の隣接車線内の車）との間の安全な横方向及び縦方向の距離が維持される。

【0121】

車両１００は、セダン、トラック、オートバイ、バス、娯楽車両、アミューズメントパーク車両、建設デバイス、トラム、ゴルフカート、列車などであり得る。これは、本発明の実施形態において特に限定されない。

【0122】

図２は、本発明の実施形態による車両の構造を模式的に示す別の図である。図２に示すように、車両は、コントローラと、複数のモジュールとを含む。コントローラは複数のモジュールに別々に接続され、各モジュールは１つ以上のＥＣＵを含む。例えば、複数のモジュールは、例えば、ボディコントロールモジュール（ｂｏｄｙ ｃｏｎｔｒｏｌ ｍｏｄｕｌｅ、ＢＣＭ）、ヒューマンマシンインタフェース（ｈｕｍａｎ－ｍａｃｈｉｎｅ ｉｎｔｅｒｆａｃｅ、ＨＭＩ）モジュール、及び先進運転支援システム（ａｄｖａｎｃｅｄ ｄｒｉｖｅｒ－ａｓｓｉｓｔａｎｃｅ ｓｙｓｔｅｍ、ＡＤＡＳ）モジュール、スマートコックピットドメインコントローラ（ｃｏｃｋｐｉｔ ｄｏｍａｉｎ ｃｏｎｔｒｏｌｌｅｒ、ＣＤＣ）モジュール等を含んでもよい。

【0123】

１つのコントローラが１つ以上のＥＣＵを管理又は制御し得ることも理解され得る。ＥＣＵは、図１に記載されたシステム内のＥＣＵであり得る。車両は複数の制御モジュールを含み得ることが理解され得る。各モジュールは、例えば、走行システム１０２、センサシステム１０４、ステアリングシステム１３２、スロットル１３４、及びブレーキユニット１３６等の１つ以上のＥＣＵを含むか、又はそれらに接続される。各モジュールは、車両のエンジン、車輪、ステアリング、スロットル、ブレーキなどを制御するように構成された１つ以上のＥＣＵを含む。

【0124】

図３は、本出願の実施形態による車両内のコンピュータシステム１０１の構造の概略図である。コンピュータシステム１０１はプロセッサ１０３を含み、プロセッサ１０３はシステムバス１０５に結合される。プロセッサ１０３は、図２のコントローラの機能を実装するように構成され得る。プロセッサ１０３は、１つ以上のプロセッサであってもよく、各プロセッサは、１つ以上のプロセッサコアを含んでもよい。ビデオアダプタ（ｖｉｄｅｏ ａｄａｐｔｅｒ）１０７がさらに含まれ、ビデオアダプタはディスプレイ１０９を駆動することができ、ディスプレイ１０９はシステムバス１０５に結合されている。システムバス１０５は、バスブリッジ１１１を介して入力／出力（Ｉ／Ｏ）バス１１３に結合される。Ｉ／Ｏインタフェース１１５は、Ｉ／Ｏバスに結合される。Ｉ／Ｏインタフェース１１５は、複数のＩ／Ｏデバイス、例えば、入力デバイス１１７（例えば、キーボード、マウス、及びタッチスクリーン）、メディアトレイ（ｍｅｄｉａ ｔｒａｙ）１２１（例えば、ＣＤ－ＲＯＭ及びマルチメディアインタフェース）、送受信器１２３（無線通信信号を送信及び／又は受信し得る）、ビデオカメラ１５５（動的デジタルビデオ画像をキャプチャし得る）、及び外部ＵＳＢポート１２５と通信する。任意選択で、Ｉ／Ｏインタフェース１１５に接続されるインタフェースは、ＵＳＢポートであってもよい。

【0125】

プロセッサ１０３は、縮小命令セットコンピューティング（「ＲＩＳＣ」）プロセッサ、複合命令セットコンピューティング（「ＣＩＳＣ」）プロセッサ、又はそれらの組合せを含む、任意の従来のプロセッサであってもよい。任意選択で、プロセッサは、特定用途向け集積回路（「ＡＳＩＣ」）などの専用装置であってもよい。任意選択で、プロセッサ１０３は、ニューラルネットワークプロセッサ、又はニューラルネットワークプロセッサと前述の従来のプロセッサとの組合せであってもよい。

【0126】

任意選択で、本明細書に記載された様々な実施形態では、コンピュータシステム１０１は、自律車両から離れて位置してもよく、自律車両と無線で通信してもよい。他の態様では、本明細書に記載されたプロセスのうちのいくつかは、自律車両の内部に配置されたプロセッサ上で実行され、他のプロセスは、単一の動作を実行するために必要とされるアクションを含めて、リモートプロセッサによって実行される。

【0127】

コンピュータシステム１０１は、ネットワークインタフェース１２９を介してソフトウェア配備サーバ１４９と通信してもよい。ネットワークインタフェース１２９は、ハードウェアネットワークインタフェース、例えば、ネットワークインタフェースカードである。ネットワーク１２７は、インターネットなどの外部ネットワークであってもよいし、イーサネット（登録商標）やＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）などの内部ネットワークであってもよい。任意選択で、ネットワーク１２７は、無線ネットワーク、例えば、Ｗｉ－Ｆｉネットワーク又はセルラーネットワークである。

【0128】

ハードディスクドライブインタフェースは、システムバス１０５に結合される。ハードウェアドライブインタフェースはハードディスクドライブに接続される。システムメモリ１３５は、システムバス１０５に結合される。システムメモリ１３５内で実行されるデータは、コンピュータ１０１のオペレーティングシステム１３７及びアプリケーション１４３を含むことができる。

【0129】

オペレーティングシステムは、シェル１３９とカーネル（ｋｅｒｎｅｌ）１４１とを含む。シェル１３９は、ユーザとオペレーティングシステムのカーネル（ｋｅｒｎｅｌ）との間のインタフェースである。シェルは、オペレーティングシステムの最外層である。シェルは、ユーザとオペレーティングシステムとの間の相互作用、すなわち、ユーザの入力を待つこと、オペレーティングシステムのためにユーザの入力を解釈すること、及びオペレーティングシステムの様々な出力を処理することを管理する。

【0130】

カーネル１４１は、オペレーティングシステム内にあり、メモリ、ファイル、周辺機器、及びシステムリソースを管理するために使用される部分を含み、ハードウェアと直接相互作用する。オペレーティングシステムのカーネルは、通常、プロセスを実行し、プロセス間の通信を提供し、ＣＰＵタイムスライス管理、割り込み管理、メモリ管理、Ｉ／Ｏ管理などを提供する。

【0131】

アプリケーション１４３は、データ処理に関するプログラム１４７と、車両の自動運転制御に関するプログラムとを含む。データ処理に関するプログラム１４７は、複数のＥＣＵのデータを個別に管理するように構成されている。コンピュータシステム１０１は、データ処理に関するプログラム１４７を実行することにより、図２で説明したコントローラの機能を実現し、複数のＥＣＵのデータを管理し、例えば、ＥＣＵに格納されたデータを削除する。

【0132】

車両の自律運転制御に関するプログラムは、例えば、自律運転車両と道路上の障害物との相互作用を管理するためのプログラム、自律運転車両の経路又は速度を制御するためのプログラム、自律運転車両と道路上の他の自動運転車両との相互作用を制御するためのプログラムを含み得る。アプリケーション１４３は、展開サーバ１４９のシステム内にも存在する。

【0133】

センサ１５３は、コンピュータシステム１０１に関連付けられる。センサ１５３は、コンピュータシステム１０１の周囲環境を検出するように構成される。例えば、センサ１５３は、動物、車両、障害物、横断歩道などを検出することができる。また、センサは、動物、車両、障害物又は横断歩道の周辺環境を検出することができる。例えば、センサは、周囲環境内の他の動物などの動物の周囲環境、天候状態、及び周囲環境の明るさを検出することができる。

【0134】

一般に、車両には、電子制御機能を有する車両構成要素毎に１つ以上のＥＣＵが配置され、各ＥＣＵは、制御機能や演算機能等の機能を有する。車両の通常の運転プロセスにおいて、車両内のＥＣＵは、通常、運転プロセスにおける車両の様々なタイプのデータ、例えば、車両の運転速度及び運転位置などのデータを取得する必要がある。

【0135】

車両が一定期間走行した後、車両内のＥＣＵは、通常、車両の運転プロセスにおいて生成された様々なタイプのデータを格納し、車両内のＥＣＵに格納されたデータは、車両所有者のプライベートデータである。場合によっては、車両所有者は、通常、プライバシーの漏洩を回避するために、車両に格納されたいくつかのプライベートデータを削除することを望む。しかしながら、現在の車両は、車両所有者による車両内の各ＥＣＵ内のデータのきめ細かい削除をサポートしていない。車両所有者は、車両フォーマット方式のみで車両全体の構成要素のデータを削除することができ、車両全体の構成要素のデータの削除は、車両所有者による車両の通常運転に影響を及ぼす。

【0136】

これに鑑みて、本発明の実施例は、データ処理方法を提供し、該方法は、コントローラと複数のＥＣＵとを含む車両に適用される。本発明の実施形態において提供されるデータ処理方法に基づいて、車両内の複数のＥＣＵがセンサデータを取得する必要があるとき、複数のＥＣＵは、データ要求をコントローラに送信し、コントローラは、ＥＣＵによるセンサデータの要求に関する情報を記録する。このようにして、特定のセンサデータの削除がトリガされると、コントローラは、記録された情報に基づいて、センサデータを取得するＥＣＵを決定して、データ削除命令をＥＣＵに送信することができ、それにより、車両内データのきめ細かな管理を実現することができる。

【0137】

本発明の実施形態において提供されるデータ処理方法が、以下で詳細に説明される。本発明において提供されるデータ処理方法は、車両に適用され得ることに留意されたい。車両は、コントローラと、複数のＥＣＵとを備え、コントローラは、複数のＥＣＵと通信可能に接続されている。複数のＥＣＵのうちのいずれか１つについて、コントローラは、本出願の実施形態において提供されるデータ処理方法に基づいてＥＣＵのデータを管理し得る。一般に、車両には通常数百のＥＣＵが存在する。コントローラは、車両内のＥＣＵに対してきめ細かい管理を実施するために、本発明の実施形態において提供されるデータ処理方法に基づいて、数百のＥＣＵのそれぞれのデータを管理してもよい。

【0138】

説明を容易にするために、本発明の実施形態において提供されるデータ処理方法は、一例として第１ＥＣＵを使用することによって以下に説明される。第１ＥＣＵは、複数のＥＣＵのうちのいずれかのＥＣＵである。図４は、本発明の一実施形態によるデータ処理方法４００の概略的フローチャートである。図４に示すように、データ処理方法４００は、以下のステップ４０１～４０６を含む。

【0139】

ステップ４０１：コントローラは、第１ＥＣＵからデータ要求メッセージを受信し、第１ＥＣＵは、複数のＥＣＵのうちのいずれか１つであり、データ要求メッセージは、センサデータを取得することを要求するために使用される。

【0140】

この実施形態では、第１ＥＣＵの実行中に、第１ＥＣＵは、関連する車両サービスを提供するために、センサデータを取得する必要があり得る。第１ＥＣＵがセンサデータを取得する必要があるとき、第１ＥＣＵは、必要なセンサデータを取得することを要求するために、データ要求メッセージをコントローラに送信する。

【0141】

例えば、第１ＥＣＵが位置測定システムにおけるＥＣＵであると仮定する。位置測定サービスを提供するために、第１ＥＣＵは、位置測定に使用される関連センサによって取得されたセンサデータを取得する必要がある。したがって、この場合、第１ＥＣＵは、位置測定に使用される関連センサによって取得されたセンサデータを要求するために、データ要求メッセージをコントローラに送信し得る。

【0142】

別の例では、第１ＥＣＵは、自動ブレーキシステム内のＥＣＵであると仮定される。自動ブレーキサービスを提供するために、第１ＥＣＵは、測距に使用されるセンサによって取得されたセンサデータを取得し、センサデータに基づいて車両と障害物との間の距離を決定する必要があり、それによって、リアルタイムで自動ブレーキサービスを提供する。例えば、第１ＥＣＵは、カメラ、ライダ、超音波レーダなどのセンサによって取得されたセンサデータを取得する必要がある。この場合、第１ＥＣＵは、測距に使用されるセンサによって取得されたセンサデータを要求するために、データ要求メッセージをコントローラに送信し得る。

【0143】

任意選択で、第１ＥＣＵによって送信されるデータ要求メッセージは、直接指示方式で、第１ＥＣＵによって要求されたセンサデータを示し得る。例えば、データ要求メッセージは、カメラの識別子、ライダの識別子、又は超音波レーダの識別子を搬送すし、カメラデータ、ライダデータ、又は超音波レーダデータが要求されていることを示す。

【0144】

第１ＥＣＵによって送信されるデータ要求メッセージは、間接的指示方式で、第１ＥＣＵによって要求されたセンサデータを示し得る。例えば、データ要求メッセージは、第１ＥＣＵが自動ブレーキサービスを提供するためにセンサデータを要求する必要があることを示す。データ要求メッセージが、第１ＥＣＵが自動ブレーキサービスを提供するために使用されるセンサデータを要求する必要があることを示すとき、コントローラは、データ要求メッセージに基づいて、第１ＥＣＵによって要求されたセンサデータがカメラデータ、ライダデータ、又は超音波レーダデータであると決定してもよい。

【0145】

すなわち、コントローラに関して、第１ＥＣＵによって送信されるデータ要求メッセージの目的は、センサデータを要求することであり、データ要求メッセージは、要求されたセンサデータの内容を搬送してもよく、又は搬送しなくてもよい。データ要求メッセージで搬送される内容は、この実施形態では限定されない。

【0146】

ステップ４０２：コントローラは、第１ＥＣＵに応答メッセージを送信し、応答メッセージは、センサデータを取得するように第１ＥＣＵに示す。

【0147】

コントローラが第１ＥＣＵによって送信されたデータ要求メッセージを取得した後、コントローラは、第１ＥＣＵがデータ要求メッセージに示されたセンサデータにアクセスする許可を有するかどうかを決定し得る。コントローラが、第１ＥＣＵがデータ要求メッセージに示されたセンサデータにアクセスする許可を有すると決定した場合、コントローラは、第１ＥＣＵに応答メッセージを送信して、データ要求メッセージに示されたセンサデータを取得するように第１ＥＣＵに指示する。

【0148】

簡単に言えば、第１ＥＣＵがセンサデータにアクセスする許可を有するとき、コントローラは、第１ＥＣＵに応答メッセージを返し、応答メッセージは、第１ＥＣＵがセンサデータをどのように取得するかを示すことができる。第１ＥＣＵがセンサデータにアクセスする許可を有していない場合、コントローラは、第１ＥＣＵに応答メッセージを返信しなくてもよく、その結果、第１ＥＣＵは、正確なデータ管理を実施するために、必要なセンサデータを取得することができない。

【0149】

任意選択で、許可構成ポリシーが車両内に予め設定されてもよく、許可構成ポリシーは、各ＥＣＵのデータアクセス許可を示すことができる。許可構成ポリシーは、車両内のヒューマンマシンインタフェース又はリモート端末を介してユーザによって設定されてもよい。あるいは、許可構成ポリシーは、車両が配達される前に予め設定されてもよい。コントローラは、予め設定された許可構成ポリシーにしたがって、第１ＥＣＵがセンサデータにアクセスする許可を有すると決定する。

【0150】

例えば、ユーザは、車両内のヒューマンマシンインタフェースを介して許可構成ポリシーを設定し、許可構成ポリシーは、測位システム及びナビゲーションシステム内のＥＣＵのみが測位に使用されるセンサのデータにアクセスできることを示す。この場合、第１ＥＣＵが測位システム又はナビゲーションシステムのＥＣＵである場合に、第１ＥＣＵによって要求されるセンサデータが測位に使用されるセンサのデータであるとき、コントローラは、第１ＥＣＵが測位のために使用されるセンサのデータにアクセスする許可を有すると決定し得る。第１ＥＣＵが測位システム又はナビゲーションシステム内のＥＣＵではない場合に、第１ＥＣＵによって要求されるセンサデータが測位に使用されるセンサのデータであるとき、コントローラは、第１ＥＣＵが測位に使用されるセンサのデータにアクセスする許可を有しないと決定し得る。

【0151】

任意選択的に、コントローラによって第１ＥＣＵに送信される応答メッセージは、代替的に、第１ＥＣＵが取得されたセンサデータをどのように処理するかを示し得る。例えば、コントローラによって送信される応答メッセージは、取得されたセンサデータを格納するように第１ＥＣＵに指示してもよく、又はさらに、コントローラによって送信される応答メッセージは、第１ＥＣＵ内にあり、取得されたセンサデータを格納するために使用される格納空間又は格納スペースの容量をさらに指示する。例えば、コントローラによって送信される応答メッセージは、第１ＥＣＵが取得されたセンサデータを格納する必要があり、第１ＥＣＵが１０メガバイト（Ｍｅｇａｂｙｔｅ、ＭＢ）の容量を有する格納空間にセンサデータを格納する必要があることを示し得る。

【0152】

例えば、コントローラによって送信された応答メッセージは、取得されたセンサデータを読み出すだけで、取得されたセンサデータを格納しないように第１ＥＣＵに指示してもよい。例えば、第１ＥＣＵが後退画像システム内のＥＣＵである場合、第１ＥＣＵは、カメラデータを取得し、カメラデータを処理して、後退画像サービスを提供するように構成されている。この場合、第１ＥＣＵは、リアルタイムで後退画像サービスを提供し、第１ＥＣＵは、取得されたカメラデータを格納する必要はない。したがって、コントローラによって送信される応答メッセージは、第１ＥＣＵに、取得されたカメラデータを読み出すだけで、カメラデータを格納しないように指示し得る。

【0153】

ステップ４０３：コントローラは、データ要求メッセージに基づいてマーク情報を生成し、マーク情報は、センサデータに対する要求情報を記録する。

【0154】

コントローラが第１ＥＣＵのデータ要求メッセージを取得した後、コントローラは、第１ＥＣＵがセンサデータを要求していることを記録するために、データ要求メッセージに基づいてマーク情報を生成する。コントローラは、データ要求メッセージに基づいてマーク情報を生成することによって、各ＥＣＵによるセンサデータの要求に関する情報を記録することができ、その結果、コントローラは、その後、各ＥＣＵに格納されたデータを効果的に決定することができ、それによって、特定のＥＣＵ上のセンサデータを迅速に削除し得る。

【0155】

具体的には、制御部が生成したマーク情報は、センサデータに対する要求情報を記録する。センサデータに対する要求情報は、センサデータの要求者、センサデータの要求時間及びセンサデータの内容を含む。例えば、センサデータの要求情報は、以下のようなものであり得る：第１ＥＣＵは、ｘｘ／ｘｘ（月／日）のｘｘ：ｘｘにカメラデータを要求する。あるいは、第１ＥＣＵは、ｘｘ／ｘｘ（月／日）のｘｘ：ｘｘにカメラデータ、ライダデータ、及び超音波レーダデータを要求する。

【0156】

ステップ４０２とステップ４０３との間の実行順序は、この実施形態において限定されないことに留意されたい。コントローラは、最初にステップ４０２を実行し、その後ステップ４０３を実行してもよい。あるいは、コントローラは、最初にステップ４０３を実行し、その後ステップ４０２を実行してもよい。代替的に、コントローラは、ステップ４０２及びステップ４０３を並行して実行してもよい。

【0157】

また、コントローラは、第１ＥＣＵが要求されたセンサデータにアクセスする権限を有すると決定した後に、マーク情報を生成し得る。第１ＥＣＵが要求されたセンサデータにアクセスする許可を有していない場合、コントローラは、第１ＥＣＵに応答メッセージを返さない。このため、第１ＥＣＵは、マーク情報を生成しなくてもよい。

【0158】

ステップ４０４：第１ＥＣＵは、応答メッセージに基づいてセンサデータを取得する。

【0159】

コントローラによって返された応答メッセージを取得した後、第１ＥＣＵは、応答メッセージに基づいてセンサデータを取得し得る。

【0160】

任意選択で、応答メッセージが、第１ＥＣＵが取得されたセンサデータをどのように処理するかをさらに示す場合、第１ＥＣＵは、応答メッセージの指示に基づいて、取得された応答メッセージを処理し得る。例えば、応答メッセージが、第１ＥＣＵが取得されたセンサデータを格納する必要があることを示し、第１ＥＣＵが１０ ＭＢの容量を有する格納空間にセンサデータを格納する必要がある場合、第１ＥＣＵは、応答メッセージの指示に基づいて、第１ＥＣＵに対応する格納ハードウェアに１０ ＭＢの格納空間を割り当て、取得されたセンサデータを割り当てられた１０ ＭＢの格納空間に格納する。

【0161】

加えて、第１ＥＣＵが取得されたセンサデータを格納した後、第１ＥＣＵはさらに、コントローラにフィードバックメッセージを送信することができ、センサデータを格納するために使用される格納空間のアドレスをコントローラにフィードバックすることができる。例えば、第１ＥＣＵは、フィードバックメッセージをコントローラに送信することができ、フィードバックメッセージは、格納空間の開始アドレス及び終了アドレスを示す。

【0162】

ステップ４０５：車両が第１ＥＣＵ内の前記センサデータの削除をトリガした場合、コントローラは、前記マーク情報に基づいて第１ＥＣＵに第１データ削除命令を送信し、第１データ削除命令は、第１ＥＣＵに前記センサデータを削除するように示す。

【0163】

本実施形態では、車両は、複数の方式で第１ＥＣＵにおけるセンサデータの削除をトリガすることができる。

【0164】

可能な実施態様では、コントローラは、マーク情報及び事前設定されたデータ保持期間に基づいて、第１ＥＣＵ内のセンサデータが期限切れになったと決定して、第１ＥＣＵ内のセンサデータの削除をトリガする。予め設定されたデータ保持期間は、車両内データの格納期間であり得る。データの格納時間が格納期間に達した（すなわち、データが期限切れになった）とき、データは削除される必要がある。予め設定されたデータ保持期間は、ユーザによって設定されてもよく、又は業界で指定されてもよい。例えば、予め設定されたデータ保持期間は、１０日又は１５日であってもよい。

【0165】

例えば、コントローラによって生成されたマーク情報が、第１ＥＣＵが１月１０日にカメラデータを要求していることを示し、予め設定されたデータ保持期間が１０日であると仮定する。この場合、コントローラは、１月２０日に、マーク情報及び予め設定されたデータ保持期間に基づいて、第１ＥＣＵによって要求されたカメラデータが期限切れであると決定し得る。したがって、コントローラは、第１ＥＣＵにカメラデータを削除するように指示するために、第１ＥＣＵに第１データ削除命令を送信する。

【0166】

他の可能な実施において、コントローラは、ユーザによってトリガされた第２データ削除命令を取得し、第２データ削除命令は第１ＥＣＵ内のセンサデータを削除することを示す。コントローラが第２データ削除命令を取得した後、コントローラは、マーク情報に基づいて第１データ削除命令を第１ＥＣＵに送信して、センサデータを削除するように第１ＥＣＵに指示する。

【0167】

任意選択で、ユーザは、複数の方式で第２データ削除命令をトリガしてもよい。例えば、ユーザは、車両のヒューマンマシンインタフェース上で、削除される必要があるデータを選択して、第２データ削除命令をトリガしてよい。例えば、ユーザは、車両のヒューマンマシンインタフェース上の特定のアプリケーションを選択し、アプリケーションに対応するデータを削除して、第２データ削除命令をトリガする。コントローラは、第２データ削除命令に基づいて、ユーザによって選択されたアプリケーションに対応するＥＣＵ（すなわち、第１ＥＣＵ）を決定して、第１データ削除命令をアプリケーションに対応するＥＣＵに送信してもよい。

【0168】

図５は、本発明の一実施形態による車両のヒューマンマシンインタフェースの概略図である。図５に示すように、車両にインストールされたアプリケーションは、車両のヒューマンマシンインタフェースに表示され、各アプリケーションは、異なるデータに対応する。ユーザは、ヒューマンマシンインタフェース上で特定のアプリケーションを選択し、アプリケーション内の特定のデータを削除してもよい。

【0169】

例えば、ユーザは、車両のヒューマンマシンインタフェース上でナビゲーションアプリケーションを選択してもよく、ナビゲーションアプリケーションは、測位データ、ナビゲーション音声データ、及びユーザ構成データなどのデータを含む。ユーザは、第２データ削除命令をトリガするために、ナビゲーションアプリケーション内の測位データを削除することをさらに選択してもよい。このようにして、コントローラが第２データ削除命令を取得した後、コントローラは、第２データ削除命令に基づいて、ナビゲーションアプリケーションに対応するナビゲーションシステム内のＥＣＵ上の測位データが削除される必要があると決定する。ナビゲーションシステムは、例えば、車両内の全地球測位システム（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ、ＧＰＳ）に基づくナビゲーションシステムであってもよい。したがって、コントローラは、第１データ削除命令をナビゲーションシステム内のＥＣＵ（例えば、前述の第１ＥＣＵ）に送信してもよい。第１データ削除命令は、ＥＣＵに測位関連センサデータを削除するように指示する。

【0170】

加えて、ユーザは、車両に遠隔接続された端末（例えば、スマートフォン）上で、削除される必要があるデータを選択して、第２データ削除命令をトリガしてもよい。車両に遠隔接続された端末は、車両にインストールされたアプリケーションを表示してもよく、各アプリケーションは異なるデータに対応することが理解され得る。ユーザは、端末から特定のアプリケーションを選択し、アプリケーション内の特定のデータを削除することができる。

【0171】

あるいは、ユーザは、車両のヒューマンマシンインタフェース上の、又は、車両に遠隔接続された端末上の、アプリケーションの許可を変更して、第２データ削除命令をトリガしてもよい。具体的には、ユーザがアプリケーションの許可を変更する前に、アプリケーションは、センサデータにアクセスする許可を有し、すなわち、アプリケーションに対応するシステム内のＥＣＵも、センサデータにアクセスする許可を有する。ユーザがアプリケーションの許可を変更した後、アプリケーションはセンサデータにアクセスする許可をもはや有さず、すなわち、アプリケーションに対応するシステム内のＥＣＵは、センサデータにアクセスする許可を有さない。したがって、コントローラは、以前に取得されたセンサデータを削除するようにＥＣＵに指示するために、データ削除命令をＥＣＵに送信する必要がある。

【0172】

例えば、ユーザがナビゲーションアプリケーションの許可を変更する前に、ナビゲーションアプリケーションは、測位データにアクセスする許可を有し、すなわち、ナビゲーションアプリケーションに対応するナビゲーションシステム内のＥＣＵは、測位関連センサデータにアクセスする許可を有する。したがって、ナビゲーションシステム内のＥＣＵは、コントローラにデータ要求メッセージを送信し、測位関連センサデータを要求し、取得されたセンサデータをＥＣＵ内の格納ハードウェア内に格納することができる。ユーザがナビゲーションアプリケーションの許可を変更した後、ナビゲーションアプリケーションは、もはや測位データにアクセスする許可を有さず、すなわち、ナビゲーションアプリケーションに対応するナビゲーションシステム内のＥＣＵも、測位関連センサデータにアクセスする許可を有さない。したがって、コントローラは、以前に取得された測位関連センサデータを削除するようにＥＣＵに指示するために、ナビゲーションシステム内のＥＣＵにデータ削除命令を送信し得る。

【0173】

なお、複数のＥＣＵが全てセンサのデータを取得した場合、ユーザがセンサのデータを削除するための命令を配信したときは、コントローラは、複数のＥＣＵがセンサデータを要求したときに生成されるマーク情報に基づいて、センサのデータを取得した複数のＥＣＵを決定し、複数のＥＣＵにデータ削除指示を別々に送信し、複数のＥＣＵの各々にセンサのデータを削除するように指示してもよい。

【0174】

例えば、ＥＣＵ１とＥＣＵ２の両方が、コントローラからカメラ１のデータを要求し、ユーザがヒューマンマシンインタフェースを介してデータ削除命令１を配信すると仮定する。データ削除指示１は、カメラ１のデータを削除することを示す。コントローラは、マーク情報１とマーク情報２とに基づいて、ＥＣＵ１にデータ削除指示２を送信し、ＥＣＵ２にデータ削除指示３を送信する。マーク情報１はＥＣＵ１がカメラ１のデータを要求することを示し、マーク情報２はＥＣＵ２がカメラ１のデータを要求することを示し、データ削除指示２はＥＣＵ１に格納されているカメラ１のデータを削除することを示し、データ削除指示３はＥＣＵ２に格納されているカメラ１のデータを削除することを示す。

【0175】

換言すれば、コントローラは、取得された第２データ削除命令に基づいて、複数のＥＣＵによるセンサデータの削除がトリガされる必要があると決定することができ、第１ＥＣＵは、センサデータが削除される必要がある、複数のＥＣＵのうちの１つである。続いて、コントローラは、第２データ削除命令に基づいて、対応するデータ削除命令を複数のＥＣＵに別々に送信して、各ＥＣＵに対応するセンサデータを削除するように指示する。例えば、コントローラは、第１ＥＣＵに第１データ削除命令を送信して、第１ＥＣＵに第１ＥＣＵ内のセンサデータを削除するように指示する。

【0176】

ステップ４０６：第１ＥＣＵは、第１データ削除命令に基づいて第１ＥＣＵ内のセンサデータを削除する。

【0177】

任意選択で、第１ＥＣＵがセンサデータを格納するために使用される格納空間のアドレスをフィードバックする場合、コントローラは、格納空間のアドレスに基づいて、格納空間に格納されたセンサデータを削除するように第１ＥＣＵに指示するために、センサデータを格納するために使用される格納空間のアドレスを第１データ削除命令に追加してもよい。したがって、第１データ削除命令が格納空間のアドレスを示す場合、第１ＥＣＵは、第１データ削除命令によって示される格納空間のアドレスに基づいて、格納空間内のセンサデータを削除してもよい。

【0178】

本実施形態において、車両内の複数のＥＣＵがセンサデータを取得する必要があるとき、複数のＥＣＵは、データ要求をコントローラに送信し、コントローラは、ＥＣＵによるセンサデータの要求に関する情報を記録する。このようにして、特定のセンサデータの削除がトリガされると、コントローラは、記録された情報に基づいて、センサデータを取得するＥＣＵを決定して、データ削除命令をＥＣＵに送信することができ、それにより、車両内データのきめ細かな管理を実現することができる。

【0179】

以上、制御部が第１ＥＣＵに対してセンサデータの取得及び削除を指示する処理について説明した。第１ＥＣＵがセンサデータを取得する具体的な処理については後述する。図６は、本発明の一実施形態によるデータ処理方法６００のフローチャートを模式的に示す図である。図６に示すように、データ処理方法６００は、以下のステップ６０１～６０６を含む。

【0180】

ステップ６０１：センサが、コントローラにサービスを登録する。

【0181】

この実施形態では、車両に設置されたセンサは、車両内の別の構成要素にデータサービスを提供するために、コントローラにサービスを登録してもよい。センサがサービスを登録した後、コントローラは、センサの関連する構成情報、例えば、センサのポート情報及びセンサの識別（Ｉｄｅｎｔｉｔｙ ｄｏｃｕｍｅｎｔ、ＩＤ）情報を取得してもよい。

【0182】

ステップ６０２：コントローラは、第１ＥＣＵからデータ要求メッセージを受信し、第１ＥＣＵは、複数のＥＣＵのうちのいずれか１つであり、データ要求メッセージは、センサデータを取得することを要求するために使用される。

【0183】

この実施形態では、ステップ６０２はステップ４０１と同様である。詳細については、ステップ４０１を参照されたい。詳細は、本明細書では再び説明されない。

【0184】

ステップ６０３：コントローラは、第１ＥＣＵに応答メッセージを送信し、応答メッセージは、センサデータを取得するように第１ＥＣＵに示す。

【0185】

本実施形態において、コントローラによって送信された応答メッセージはセンサに関する情報を含み、センサに関する情報は、第１ＥＣＵがセンサからセンサデータを取得するように、センサとの通信接続を確立するために第１ＥＣＵによって使用され、したがって、第１ＥＣＵはセンサからのセンサデータを取得する。例えば、コントローラは、第１ＥＣＵによって送信されたデータ要求メッセージに基づいて、第１ＥＣＵによって取得されるセンサデータが属するセンサを決定し、その後、コントローラは、センサによってコントローラで登録されたサービスに基づいて、センサに関する情報を応答メッセージに含める。センサに関する情報は、例えば、センサのポート情報、センサのＩＤ情報などを含むことができる。

【0186】

ステップ６０４：コントローラは、データ要求メッセージに基づいてマーク情報を生成し、マーク情報は、センサデータに対する要求情報を記録する。

【0187】

この実施形態では、ステップ６０４はステップ４０３と同様である。詳細については、ステップ４０３を参照されたい。詳細は、本明細書では再び説明されない。

【0188】

ステップ６０５：第１ＥＣＵは、センサに関する情報に基づいて、センサとの通信接続を確立し、応答情報が前記センサに関する情報を含む。

【0189】

第１ＥＣＵがコントローラによって返された応答メッセージを取得した後、第１ＥＣＵは、応答メッセージ内のセンサに関する情報に基づいてセンサとの通信接続を確立する。すなわち、第１ＥＣＵは、センサのポート情報に基づいて、第１ＥＣＵとセンサとの間の通信パイプラインを確立して、センサとの通信接続を確立してもよい。

【0190】

ステップ６０６：第１ＥＣＵは、通信接続に基づい記センサからセンサデータを取得する。

【0191】

センサとの通信接続を確立した後、第１ＥＣＵは、センサによって生成されたセンサデータをセンサからリアルタイムで取得してもよい。

【0192】

車両が第１ＥＣＵ内のセンサデータの削除をトリガする場合、コントローラは、第１ＥＣＵに第１データ削除命令を送信し、第１データ削除命令は、第１ＥＣＵにセンサデータを削除するように示す。

【0193】

任意選択で、第１ＥＣＵがセンサとの通信接続を確立することによってセンサデータを取得する場合、第１データ削除命令は、センサとの通信接続を切断するように第１ＥＣＵに示し得る。例えば、ユーザがアプリケーションの許可を変更し、第１ＥＣＵがセンサデータにアクセスする許可をもはや有しない場合、コントローラは、第１データ削除命令を第１ＥＣＵに送信し得る。第１データ削除指示は、第１ ＥＣＵに対して、センサデータを削除することを指示するとともに、センサとの通信接続を切断することを指示する。第１データ削除命令に基づいて、第１ＥＣＵは、格納されたセンサデータを削除し、第１ＥＣＵとセンサとの間の通信パイプラインを削除して、第１ＥＣＵとセンサとの間の通信接続を切断してもよい。

【0194】

理解を容易にするために、本出願の実施形態において提供されるデータ処理方法は、特定の例を参照して以下に詳細に説明される。図７は、本発明の実施形態による車両のシステムアーキテクチャを模式的に示す図である。

【0195】

図７に示される車両において、車両は、車両ドメインコントローラ（Ｖｅｈｉｃｌｅ Ｄｏｍａｉｎ Ｃｏｎｔｒｏｌｌｅｒ、ＶＤＣ）、モバイルデータセンタ（Ｍｏｂｉｌｅ Ｄａｔａ Ｃｅｎｔｅｒ、ＭＤＣ）、スマートコックピットドメインコントローラ（Ｃｈｏｃｋ－Ｈｅａｄ－Ｄｏｍａｉｎ Ｃｏｎｔｒｏｌｌｅｒ、ＣＤＣ）、及び複数の車両インタフェースユニット（Ｖｅｈｉｃｌｅ Ｉｎｔｅｒｆａｃｅ Ｕｎｉｔ、ＶＩＵ）を含む。また、車両内のＶＩＵは、車両内の通信モジュールによって、例えばクラウドサーバに通信可能に接続される。ＶＤＣ、ＭＤＣ、ＣＤＣ、及びＶＩＵの各々は、１つ以上のＥＣＵを含み得る。

【0196】

この実施形態では、複雑なオペレーティングシステム、例えば、車両オープンシステムアーキテクチャ適応プラットフォーム（Ａｕｔｏ ｍｏｔｉｖｅ Ｏｐｅｎ Ｓｙｓｔｅｍ Ａｒｃｈｉｔｅｃｔｕｒｅ、ＡＵＴＯＳＡＲ）が、車両内の複雑なコンピューティング能力を有する構成要素上に展開され得る。単純なオペレーティングシステム、例えば、車両オープンシステムアーキテクチャのクラシックプラットフォーム（Ｃｌａｓｓｉｃ Ａｕｔｏ ｍｏｔｉｖｅ Ｏｐｅｎ Ｓｙｓｔｅｍ Ａｒｃｈｉｔｅｃｔｕｒｅ、Ｃｌａｓｓｉｃ ＡｕｔｏＳＡＲ）は、車両内の弱いコンピューティング能力を有する構成要素上に配備され得る。例えば、図７において、ＡｕｔｏＳＡＲはＶＤＣ上に配置されてもよく、ＭＤＣ、ＣＤＣ、及びＣｌａｓｓｉｃ ＡｕｔｏＳＡＲはＶＩＵ上に配置されてもよい。ＶＤＣ上に配置されたＡＵＴＯＳＡＲに基づいて、車両内データを管理するために使用されるソフトウェアが、ＶＤＣ上にさらに配置されてもよい。このソフトウェアは、図７に示すデータ処理センタである。

【0197】

Ｃｌａｓｓｉｃ ＡｕｔｏＳＡＲが配置されるＭＤＣ、ＣＤＣ、及びＶＩＵについて、コンポーネント、すなわち、図７に示されるデータ実行エンドにおいてデータを処理するために使用されるソフトウェアが、ＭＤＣ、ＣＤＣ、及びＶＩＵ上にさらに配置され得る。加えて、データ実行エンドは、クラウドサーバ上に配置されてもよく、ＶＤＣの指示に従ってデータ処理を実行するように構成される。

【0198】

具体的には、ＶＤＣは、配備されたデータ処理センタを使用することによって、ＭＤＣ、ＣＤＣ、及びＶＩＵ内の各ＥＣＵ上のデータを管理してもよく、ＭＤＣ、ＣＤＣ、及びＶＩＵは、配備されたデータ実行エンドを使用することによって、ＶＤＣによって配信されたデータ処理命令を取得して、センサデータを取得又は削除してもよい。

【0199】

さらに、この実施形態では、本出願の実施形態において提供されるデータ処理方法は、ＶＤＣをコントローラとして、ＭＤＣ、ＣＤＣ、又はＶＩＵの任意のＥＣＵをコントローラと対話するＥＣＵとして使用することによって詳細に説明される。

【0200】

図８は、本発明の実施形態による、コントローラとＥＣＵとの間の相互作用を模式的に示す図である。図８に示すように、コントローラは、プロセス、データ処理センタ、ミドルウェア、格納空間、及び通信ユニットを含む。

【0201】

コントローラ内のプロセスは、車両によって提供されるいくつかの機能を実装するために使用される。ミドルウェアは、アプリケーションとシステムソフトウェアとの間の一種のソフトウェアである。ミドルウェアは、システムソフトウェアによって提供される基本サービスを使用して、アプリケーションの様々な部分又は異なるアプリケーションを接続し、リソース共有及び機能共有を実施する。

【0202】

コントローラ内の格納空間は、実行中にプロセスによって使用される必要がある様々なタイプのデータを格納するために使用される。コントローラ内の通信ユニットは、車両内の通信モジュールに通信可能に接続するように構成され、それにより、コントローラは、車両内の別の構成要素（例えば、ＥＣＵ）と通信する。

【0203】

コントローラでは、プロセス及びミドルウェアは、格納空間のデータにアクセスする前にデータ処理センタを通過する必要がある。換言すると、データ処理センタは、データアクセス及び格納を管理及び制御するための新しいリソースマネージャエントリになる。

【0204】

さらに、図９は、本発明の一実施形態によるデータ処理センタの構造の概略図である。図９に示すように、データ処理センタは、データマーキングモジュール、ポリシーエンジン、及びストレージサービスモジュールを含む。データマーキングモジュールは、ＥＣＵによって要求されたセンサデータをマークするために、ＥＣＵ内のデータ実行エンドによって送信されたデータ要求メッセージに基づいてマーク情報を生成するように構成される。ポリシーエンジンは、予め設定されたデータ保持期間及びマーク情報に基づいて、ＥＣＵ内のデータが失効しているかどうかを判定するように構成される。ストレージサービスモジュールは、コントローラ内のプロセスによってデータにアクセスするか又はデータを格納する挙動を管理及び制御するように構成される。

【0205】

さらに、ＥＣＵは、プロセス、データ実行端、格納空間、及び通信ユニットを含む。ＥＣＵ内のプロセスは、ＥＣＵによって提供される機能を実装するために使用され、ＥＣＵ内の格納空間にアクセスするとき、ＥＣＵ内のプロセスは、ＥＣＵ内のデータ実行エンドを通過する必要がある。ＥＣＵ内のデータ実行エンドは、コントローラ内のデータ処理センタのサービスに加入し、データ処理センタから命令を受信し、データの書き込み及び削除を制御する。ＥＣＵ内の通信ユニットは、車両内の通信モジュールに通信可能に接続するように構成され、それにより、ＥＣＵは、車両内の別の構成要素（例えば、コントローラ又はセンサ）と通信する。

【0206】

実際の適用において、ＥＣＵにおけるプロセスがセンサデータを取得する必要があるとき、データ実行エンドは、コントローラにおけるデータ処理センタにデータ要求メッセージを送信する。コントローラ内のデータ処理センタは、データ要求メッセージを取得し、ＥＣＵがセンサデータにアクセスする許可を有するかどうかを決定し、ＥＣＵがセンサにアクセスする許可を有する場合、応答メッセージをデータ実行エンドに返す。応答メッセージを取得した後、データ実行エンドは、応答メッセージに基づいてセンサとの通信接続を確立して、センサからセンサデータを取得し、センサデータをＥＣＵ内の格納空間に格納する。

【0207】

さらに、データ処理センタがＥＣＵによって送信されたデータ要求メッセージを取得した後、データ処理センタのデータマーキングモジュールは、ＥＣＵが特定の時間にセンサデータを要求していることを記録するためのマーク情報を生成する。データ処理センタ内のポリシーエンジンが、マーク情報及び事前設定されたデータ保持期間に基づいて、ＥＣＵ内のセンサデータが期限切れになったと決定した後、データ処理センタは、ＥＣＵ内のデータ実行エンドにデータ削除命令を送信して、ＥＣＵの格納空間内のセンサデータを削除するようにデータ実行エンドに指示する。最後に、データ実行端は、データ削除命令に基づいて、ＥＣＵの格納空間内のセンサデータを削除する。コントローラのデータ処理センタによって送信されたデータ削除命令が、センサとの通信接続を切断するようにＥＣＵにさらに指示するとき、データ実行エンドは、ＥＣＵとセンサとの間の通信パイプラインを削除する。

【0208】

以下、本発明の実施形態において、コントローラが車両内のＥＣＵ内のデータを管理する手順を説明する。以下、コントローラが信頼できないデバイス内のデータを管理する手順を説明する。

【0209】

車両内の信頼できるＥＣＵと相互作用することに加えて、コントローラは、別の信頼できないデバイスとさらに相互作用することができることが理解され得る。例えば、コントローラは、車両内の信頼できないＥＣＵ又はサードパーティデバイスと相互作用し、その結果、信頼できないＥＣＵ又はサードパーティデバイスは、対応するデータを取得することができる。代替的に、コントローラは、クラウドサーバと相互作用して、車両内データをサーバにアップロードし、又は車両関連データを削除するようにサーバに指示してもよい。信頼できないＥＣＵは、不正な製造者によって製造されたＥＣＵである可能性があり、ＥＣＵのセキュリティを確保することができない。第三者デバイスは、例えば、車両内にユーザによって設置されたデバイス、例えば、音響デバイス、ナビゲーションデバイス、又はマルチメディアデバイスであってもよい。

【0210】

車両内のコントローラに関して、車両内の信頼できないＥＣＵ、サードパーティデバイス、及びクラウドサーバは、信頼できないデバイス、すなわち、コントローラによって信頼されないデバイスである。信頼できないデバイスとのデータ相互作用を実行するプロセスにおいて、コントローラは、データ相互作用の信頼性を保証するために、データ相互作用の証拠を格納する必要がある。

【0211】

図１０は、本発明の一実施形態によるデータ処理方法１０００のフローチャートを模式的に示す図である。図１０に示すように、データ処理方法１０００は、以下のステップ１００１～１００６を含む。

【0212】

ステップ１００１：コントローラが、データ指示メッセージを信頼できないデバイスに送信し、データ指示メッセージは、送信されるべきデータのサイズを示す。

【0213】

データが信頼できないデバイス又は不信用デバイス（ｕｎｔｒｕｓｔｅｄ ｄｅｖｉｃｅ）に送信される必要があるとき、コントローラは、信頼できないデバイスに送信される必要がある送信されるべきデータのサイズに基づいて、データ指示メッセージを信頼できないデバイスに送信する。データ指示メッセージは、送信対象データのサイズを示し、送信対象データは、信頼できないデバイスに送信される必要があるデータである。

【0214】

非トラステッド装置は、第２ＥＣＵ又はサーバを含み、第２ＥＣＵは、複数のＥＣＵのうちの非トラステッドＥＣＵである。換言すると、信頼できないデバイスは、車両内のコンポーネントであってもよく、又はクラウドサーバであってもよい。

【0215】

実際の適用中に、データが信頼できないデバイスに送信される必要がある複数のシナリオが存在し得る。

【0216】

可能なシナリオでは、信頼できないデバイスは第２ＥＣＵであり、第２ＥＣＵはコントローラからセンサデータを取得するように要求し、第２ＥＣＵはセンサデータにアクセスする許可を有する。このシナリオでは、コントローラは、第２ＥＣＵにデータを送信するようにセンサを制御する必要がある。したがって、コントローラは、送信されるべきセンサデータのサイズを示すために、データ指示メッセージを第２ＥＣＵに送信する。

【0217】

別の可能なシナリオでは、信頼できないデバイスは第２ＥＣＵであり、第２ＥＣＵは、コントローラに格納されたデータを取得するようにコントローラに要求する。このシナリオでは、コントローラは、コントローラの格納空間に格納されたデータを第２ＥＣＵに送信する必要がある。したがって、コントローラは、送信されるべきデータのサイズを示すために、データ指示メッセージを第２ＥＣＵに送信する。

【0218】

さらに別の可能なシナリオでは、信頼できないデバイスはサーバであり、サーバは、コントローラから車両内データを取得するように要求する。サーバが取得することを要求するデータがコントローラ上に位置するとき、コントローラは、送信されるべきデータのサイズに基づいて、データ指示メッセージをサーバに送信し得る。サーバが取得することを要求するデータがコントローラの外部のコンポーネントに位置するとき、コントローラは、コンポーネントと対話し、送信されるべきデータのサイズを決定し、その後、データ指示メッセージをサーバに送信し得る。

【0219】

ステップ１００２：コントローラは、信頼できないデバイスによって送信されたアドレス情報を受信し、アドレス情報は、信頼できないデバイス内にあり、送信されるべきデータを格納するために使用されるアドレス空間を示し、アドレス情報は、送信されるべきデータのサイズに基づいて信頼できないデバイスによって決定される。

【0220】

信頼できないデバイスがデータ指示メッセージを取得した後、信頼できないデバイスは、送信されるべきデータのサイズに基づいて、送信されるべきデータに格納空間を割り当て、送信されるべきデータを格納するために後で使用される格納空間のアドレス情報をコントローラに送信し得る。簡単に言えば、信頼できないデバイスによってコントローラに送信されるアドレス情報は、送信されるべきデータのために信頼できないデバイスによって予約された格納空間のアドレスを示す。

【0221】

ステップ１００３：コントローラは、アドレス情報及び送信されるべきデータに基づいて第１データ証明書を生成し、第１データ証明書は、送信されるべきデータを一意に示す。

【0222】

コントローラは、送信対象データと、信頼できないデバイスによって返されたアドレス情報とに基づいて、第１データ証明書を生成してもよく、第１データ証明書は、送信対象データを一意に示すことができる。

【0223】

任意選択で、第１データ証明書は、アドレス情報と、送信されるべきデータのダイジェスト値、送信されるべきデータのファイルロケータ、及び送信されるべきデータのタイムスタンプのうちの１つ以上とを含む。具体的には、送信されるべきデータのダイジェスト値は、送信されるべきデータのハッシュ値であってよく、コントローラは、ハッシュアルゴリズムを使用することによって、送信されるべきデータのハッシュ値を計算してよい。送信されるべきデータのファイルロケータは、例えば、ユニフォームリソースロケータ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ、ＵＲＬ）であってよく、ファイルロケータは、送信されるべきデータの位置を示すことができる。送信されるべきデータのタイムスタンプは、送信されるべきデータの生成時間であってもよい。

【0224】

ステップ１００４：コントローラは、第１データ証明書を信頼できないデバイスに送信する。

【0225】

ステップ１００５：コントローラは、信頼できないデバイスによって送信された第１署名結果を受信し、第１署名結果は、信頼できないデバイスによって第１データ証明書に署名することによって取得される。

【0226】

この実施形態では、コントローラが第１データ証明書を信頼できないデバイスに送信した後、信頼できないデバイスは、第１データ証明書に対して署名検証を実行して、すなわち、第１データ証明書に対してデジタル署名を実行して、信頼できないデバイスが第１データ証明書を取得し、後続のデータ送信を確認応答したことを示してもよい。

【0227】

ステップ１００６：コントローラによって、信頼できないデバイスへの送信されるべきデータの送信を制御する。

【0228】

コントローラが信頼できないデバイスによって返された第１署名結果を取得した後、コントローラは、信頼できないデバイスが第１データ資格情報に対して署名検証を実行したと決定してもよい。したがって、コントローラは、信頼できないデバイスへの送信されるべきデータの送信を制御してよい。

【0229】

コントローラが、信頼できないデバイスへの送信されるべきデータの送信を制御し得る複数の実装が存在し得る。

【0230】

一実施態様では、信頼できないデバイスが第２ＥＣＵであり、第２ＥＣＵがコントローラからセンサデータを取得することを要求する場合、コントローラは、センサに関する情報を第２ＥＣＵに返すことによって、センサからセンサデータを取得するように第２ＥＣＵに指示することができる。すなわち、コントローラは、センサとの確立に関する情報を信頼できないデバイスに返すことによって、信頼できないデバイスへの送信されるべきデータの送信を制御する。

【0231】

別の実施態様では、信頼できないデバイスが第２ＥＣＵ又はサーバであり、送信されるべきデータがコントローラの格納空間に位置する場合、コントローラは、信頼できないデバイスへの送信されるべきデータの送信を制御するために、コントローラの格納空間におけるデータを第２ＥＣＵ又はサーバに送信してもよい。

【0232】

さらに別の可能な実装形態では、信頼できないデバイスがサーバであり、送信されるべきデータがコントローラ以外の構成要素上に位置する場合、コントローラは、送信されるべきデータを格納する構成要素と通信して、送信されるべきデータをサーバに送信するように構成要素に示し得る。

【0233】

本実施形態において、データが信頼できないデバイスに送信される前に、コントローラは、信頼できないデバイスによって返された、送信されるべきデータを格納するために使用されるアドレス情報を取得し、アドレス情報及び送信されるべきデータに基づいてデータ証明書を生成する。データは、信頼できないデバイスを使用することによってデータ証明書が署名された後に、信頼できないデバイスに送信される。コントローラは、信頼できないデバイスを使用することによって署名されたデータ証明書を格納し、その結果、信頼できないデバイスへのデータ送信の証拠を提供することができ、それによって、信頼できないデバイスが、データを受信した後に、信頼できないデバイスがデータを受信していないことを否認する（ｒｅｐｕｄｉａｔｅｓ， ．．．ｔｈａｔ ｔｈｅ ｕｎｔｒｕｓｔｅｄ ｄｅｖｉｃｅ ｄｏｅｓ ｎｏｔ ｒｅｃｅｉｖｅ ｔｈｅ ｄａｔａ，）脅威を排除し、データ送信の信頼性を改善する。

【0234】

以上が、コントローラが信頼できないデバイスにデータを送信する手順である。コントローラが、信頼できないデバイスにデータを削除するように指示する手順は、上で説明されている。具体的には、方法１０００は、以下のステップ１００７～１００９をさらに含む。

【0235】

ステップ１００７：コントローラは、削除されるべきデータに基づいて第２データ証明書を生成する。

【0236】

コントローラが、信頼できないデバイス内のデータが削除される必要があると判定した場合、コントローラは、削除されるべきデータに基づいて第２データ証明書を生成する。第２データ証明書は、削除されるべきデータのダイジェスト値、削除されるべきデータのファイルロケータ、及び削除されるべきデータのタイムスタンプのうちの１つ又は複数を含み得る。

【0237】

任意選択で、コントローラは、信頼できないデバイス上のデータが削除される必要があると決定するために、ユーザによって配信されたデータ削除命令を取得してもよい。あるいは、コントローラは、信頼できないデバイス上のデータが削除される必要があると決定するために、信頼できないデバイス上のデータが期限切れになることを計算を通じて学習してもよい。具体的には、コントローラによって信頼できないデバイス内のデータの削除をトリガする方式は、ステップ４０５において説明された方式と同様である。詳細については、ステップ４０５を参照されたい。詳細は、本明細書では再び説明されない。

【0238】

ステップ１００８：コントローラは、第３データ削除命令を信頼できないデバイスに送信し、信頼できないデバイスは第３ＥＣＵ又はサーバを含み、第３ＥＣＵは複数のＥＣＵのうちの信頼できないＥＣＵであり、第３データ削除命令は第２データ証明書を含み、第３データ削除命令は削除されるべきデータを削除することを示す。

【0239】

第３ＥＣＵと第２ＥＣＵとは、同一のＥＣＵであってもよいし、異なるＥＣＵであってもよい。コントローラは、第２データ証明書に署名するときに第３データ削除命令において示されるデータを削除するように信頼できないデバイスに示すために、第３データ削除命令に第２データ証明書を含めてよい。

【0240】

ステップ１００９：コントローラは、信頼できないデバイスにより返された第２署名結果を取得し、第２署名結果は、サーバにより第２データ証明書に署名することにより取得され、第２署名結果は、信頼できないデバイスが削除されるべきデータを削除したことを示す。

【0241】

この実施形態では、コントローラによって送信された第３データ削除命令を取得した後、信頼できないデバイスは、第３データ削除命令内で搬送された第２データ証明書に署名して、第２署名結果を取得する。次に、信頼できないデバイスは、第２署名結果をコントローラに送信し、第３データ削除命令において示されるデータを削除する。

【0242】

第２署名結果を取得した後、コントローラは、第２署名結果を格納してもよく、第２署名結果は、信頼できないデバイスがデータを削除することを示す命令を取得し、信頼できないデバイスが示されたデータを削除することに同意したことを証明することができる。

【0243】

この実施形態では、コントローラが信頼できないデバイスにデータを削除するように指示する前に、コントローラは、削除されるべきデータに基づいてデータ証明書を生成する。信頼できないデバイスにデータを削除するように指示するとき、コントローラは信頼できないデバイスにデータ証明書を送信し、その結果、コントローラは信頼できないデバイスによってデータ証明書に署名することによって得られた結果を取得することができる。コントローラは、信頼できないデバイスがデータ削除を確認したという証拠を提供できるように、信頼できないデバイスによってデータ証明書に署名することによって得られた結果を格納し、それによって、データ削除命令が受信されないことを信頼できないデバイスが否認する脅威を排除し、データ送信の信頼性を向上させる。

【0244】

理解を容易にするために、コントローラが信頼できないデバイスとデータを交換するプロセスが、特定の例を参照して以下で詳細に説明される

【0245】

図１１は、本発明の一実施形態による、コントローラと信頼できないデバイスとの間の相互作用を模式的に示す図である。図１１に示すように、コントローラと信頼できないデバイスとの間の相互作用の手順は、以下のステップＳ１～Ｓ５を含む。

【0246】

Ｓ１：ＥＣＵは、コントローラからのセンサデータを要求する。

【0247】

ＥＣＵがセンサデータを取得する必要があるとき、ＥＣＵは、必要なセンサデータを取得することを要求するために、データ要求メッセージをコントローラに送信する。ＥＣＵがセンサデータにアクセスする許可を有すると決定した後、コントローラは、送信されるべきセンサデータのサイズをＥＣＵにフィードバックする。

【0248】

Ｓ２：ＥＣＵはコントローラとデータ証明書１を交換する。

【0249】

具体的には、図１２は、本発明の実施形態による、ＥＣＵとコントローラとの間でデータ証明書１を交換するフローチャートを模式的に示す図である。

【0250】

図１２に示すように、送信されるセンサデータのサイズを取得した後、ＥＣＵは、アドレス情報をコントローラに送信し、アドレス情報は、ＥＣＵによって予約されたアドレス空間のアドレスを示す。ＥＣＵによって予約されたアドレス空間は、送信されるべきセンサデータを格納するために使用される。コントローラは、送信されるべきセンサデータに基づいて、送信されるべきセンサデータに対応するハッシュ値、ファイルロケータ、及びタイムスタンプを生成する。さらに、コントローラは、送信されるべきセンサデータに対応するハッシュ値、ファイルロケータ、及びタイムスタンプ、ならびにＥＣＵから取得されたアドレス情報に基づいて、データ証明書１を生成する。次に、コントローラは、生成されたデータ証明書１をＥＣＵに送信する。データ証明書１に署名した後、ＥＣＵは、データ証明書１に署名することによって取得された署名結果をコントローラに返し、その結果、コントローラは、ＥＣＵによってデータ証明書１に署名することによって取得された署名結果を格納する。

【0251】

図１３は、本発明の実施形態によるデータ証明書１の構造を模式的に示す図である。図１３に示すように、センサについて、センサは、センサデータをリアルタイムで送信してもよい。信頼できないデバイス（例えば、この実施形態におけるＥＣＵ及びサーバ）について、信頼できないデバイスは、コントローラによって送信されたデータ証明書を受信し、データ証明書は、センサデータに対応するファイルロケータ（ＵＲＩ）、タイムスタンプ（Ｔｉｍｅｓｔａｍｐ）、ハッシュ値（Ｈａｓｈ）、及びアドレス情報（Ａｄｄｒｅｓｓ）を含む。コントローラについて、コントローラは、信頼できないデバイスによって返された署名結果を受信してもよく、署名結果は、前述のデータ証明書と信頼できないデバイスの署名（Ｓｉｇｎ）とを含む。

【0252】

Ｓ３：ＥＣＵは、センサとの通信接続を確立し、センサからセンサデータを受信する。

【0253】

コントローラがＥＣＵによって返された署名結果を取得した後、コントローラは、応答メッセージをＥＣＵに送信し、応答メッセージは、センサに関する情報を含む。センサに関する情報は、例えば、センサのポート情報を含むことができる。ＥＣＵは、センサに関する情報を取得した後、センサに関する情報に基づいてセンサとの通信接続を確立し、センサからセンサデータを受信する。

【0254】

Ｓ４：コントローラは、データ証明書２をサーバと交換する。

【0255】

サーバが、ＥＣＵ上のセンサデータを要求するためにデータ要求メッセージをコントローラに送信するとき、サーバがセンサデータにアクセスする許可を有すると決定した後、コントローラは、アップロードされるべきデータのサイズをサーバにフィードバックする。アップロードされるべきデータのサイズを取得した後、サーバは、アドレス情報をコントローラに送信し、アドレス情報は、サーバによって予約されたアドレス空間のアドレスを示す。サーバによって予約されたアドレス空間は、アップロードされるべきデータを格納するために使用される。コントローラは、アップロードされるべきデータに基づいて、アップロードされるべきデータに対応するハッシュ値、ファイルロケータ、及びタイムスタンプを生成する。

【0256】

さらに、コントローラは、アップロードされるべきデータに対応するハッシュ値、ファイルロケータ、及びタイムスタンプ、ならびにサーバから取得されたアドレス情報に基づいて、データ証明書２を生成する。次に、コントローラは、生成されたデータ証明書２をサーバに送信する。データ証明書２に署名した後、サーバは、データ証明書２に署名することによって取得された署名結果をコントローラに返し、その結果、コントローラは、サーバによってデータ証明書１に署名することによって取得された署名結果を格納する。

【0257】

Ｓ５：ＥＣＵは、コントローラの指示に基づいて、センサデータをサーバにアップロードする。

【0258】

コントローラがサーバによって返された署名結果を取得した後、コントローラは、ＥＣＵにデータアップロード命令を送信して、センサデータをサーバにアップロードするようＥＣＵに指示する。

【0259】

図１から図１３に対応する実施形態によれば、本出願の実施形態における前述の解決策をより良く実施するために、以下では、前述の解決策を実施するように構成された関連デバイスをさらに提供する。

【0260】

図１４は、本発明の実施形態によるコントローラ１４００の構造を模式的に示す図である。コントローラ１４００は、車両内に配置される。車両は、複数のＥＣＵをさらに備える。コントローラ１４００は、送受信ユニット１４０１と処理ユニット１４０２とを含む。

【0261】

送受信ユニット１４０１は、第１ＥＣＵからデータ要求メッセージを受信するように構成され、第１ＥＣＵは複数のＥＣＵのうちのいずれか１つであり、データ要求メッセージはセンサデータを取得することを要求するために使用される。

【0262】

送受信ユニット１４０１は、第１ＥＣＵに応答メッセージを送信するようにさらに構成されており、応答メッセージは、センサデータを取得するように前記第１ＥＣＵに示す。

【0263】

処理ユニット１４０２は、データ要求メッセージに基づいてマーク情報を生成するように構成されており、マーク情報は、センサデータに対する要求情報を記録する。

【0264】

車両が第１ＥＣＵ内のセンサデータの削除をトリガする場合、送受信ユニット１４０１は、マーク情報に基づいて第１ＥＣＵに第１データ削除命令を送信するようにさらに構成されており、第１データ削除命令は、第１ＥＣＵにセンサデータを削除するように示す。

【0265】

可能な実装形態では、センサデータに対する要求情報は、前記センサデータの要求者、センサデータの要求時間及びセンサデータの内容を含む。

【0266】

可能な実装形態では、処理ユニット１４０２は、マーク情報及び予め設定されたデータ保持期間に基づいて、第１ＥＣＵ内のセンサデータが期限切れであると決定するようにさらに構成されている；又は、送受信ユニット１４０１は、ユーザによってトリガされた第２データ削除命令を取得するようにさらに構成されており、第２データ削除命令は、第１ＥＣＵ内のセンサデータを削除することを指示する。

【0267】

可能な実装形態では、応答メッセージはセンサ情報を含み、センサ情報は、センサとの通信接続を確立するために第１ＥＣＵによって使用され、したがって、第１ＥＣＵがセンサからセンサデータを取得するよ。

【0268】

可能な実施態様では、第１データ削除命令は、第１ＥＣＵに、センサとの通信接続を切断するようにさらに示す。

【0269】

可能な実装形態では、処理ユニット１４０２は、予め設定された許可構成ポリシーにしたがって、第１ＥＣＵがセンサデータにアクセスする許可を有すると決定するようにさらに構成されている。

【0270】

可能な実装形態では、送受信ユニット１４０１は、信頼できないデバイスにより送信されたアドレス情報を受信するようにさらに構成されており、信頼できないデバイスは第２ＥＣＵ又はサーバを含み、第２ＥＣＵは前記複数のＥＣＵのうちの信頼できないＥＣＵであり、アドレス情報は、信頼できないデバイス内にある、送信されるべきデータを格納するために使用されるアドレス空間を示し、アドレス情報は送信されるべきデータのサイズに基づいて信頼できないデバイスにより決定される。処理ユニット１４０２は、アドレス情報及び送信されるべきデータに基づいて第１データ証明書を生成するようにいさらに構成されておりあって、第１データ証明書は、送信されるべきデータを一意に示す。送受信ユニット１４０１は、信頼できないデバイスに第１データ証明書を送信するようにさらに構成されている。送受信ユニット１４０１は、信頼できないデバイスによって送信された第１署名結果を受信するようにさらに構成されており、第１署名結果は、信頼できないデバイスによって第１データ証明書に署名することによって取得される。送受信ユニット１４０１は、信頼できないデバイスへの送信されるべきデータの送信を制御するようにさらに構成されている。

【0271】

可能な実施態様では、第１データ証明書は、アドレス情報と記送信されるべきデータのダイジェスト値、送信されるべきデータのファイルロケータ、及び送信されるべきデータのタイムスタンプのうちの１つ以上と、を含む。

【0272】

可能な実装形態では、処理ユニット１４０２は、削除されるべきデータに基づいて第２データ証明書を生成するようにさらに構成される。送受信ユニット１４０１は、第３データ削除命令を信頼できないデバイスに送信するようにさらに構成されており、信頼できないデバイスは第３ＥＣＵ又はサーバを含み、第３ＥＣＵは複数のＥＣＵのうちの信頼できないＥＣＵであり、第３データ削除命令は第２データ証明書を含み、第３データ削除命令は削除されるべきデータを削除することを示す。送受信ユニット１４０１は、信頼できないデバイスにより返された第２署名結果を取得するようにさらに構成されており、第２署名結果はサーバにより第２データ証明書に署名することにより取得され、第２署名結果は、信頼できないデバイスが削除されるべきデータを削除したことを示す。

【0273】

図１５は、本発明の実施の形態に係る第１ＥＣＵ１５００の構成を概略的に示す図である。第１ＥＣＵ１５００は車両内に配置される。車両は、コントローラと、複数のＥＣＵとを備える。第１ＥＣＵ１５００は、複数のＥＣＵのうちのいずれか１つである。第１ＥＣＵ１５００は、送受信ユニット１５０１と、処理ユニット１５０２とを備える。送受信ユニット１５０１は、データ要求メッセージをコントローラに送信するように構成されており、データ要求メッセージは、センサデータを取得することを要求するために使用される。送受信ユニット１５０１は、コントローラから応答メッセージを受信するように構成されており、応答メッセージは、第１ＥＣＵにセンサデータを取得することを示す。処理ユニット１５０２は、応答メッセージに基づいてセンサデータを取得するように構成されている。車両が第１ＥＣＵ内のセンサデータの削除をトリガした場合、送受信ユニット１５０１は、コントローラから第１データ削除命令を受信し、第１データ削除命令に基づいて第１ＥＣＵ内のセンサデータを削除するようにさらに構成されている。

【0274】

可能な実装形態では、送受信ユニット１５０１は、センサに関する情報に基づいて、センサとの通信接続を確立するようにさらに構成されており、応答情報は、センサに関する情報を含む。送受信ユニット１５０１は、通信接続に基づいてセンサからセンサデータを取得するようにさらに構成さていれる。

【0275】

可能な実施態様では、第１データ削除命令は、第１ＥＣＵに、センサとの通信接続を切断するようにさらに示す。

【0276】

可能な実施形態において、第１ＥＣＵが信頼できないデバイスである場合、送受信ユニット１５０１は、アドレス情報をコントローラに送信するようにさらに構成されており、アドレス情報は、第１ＥＣＵ内にある、送信されるべきデータを格納するために使用されるアドレス空間を示し、アドレス情報は、送信されるべきデータのサイズに基づいて第１ＥＣＵによって決定される。送受信ユニット１５０１は、コントローラによって送信された第１データ証明書を受信するようにさらに構成され、第１データ証明書は、アドレス情報及び送信されるべきデータに基づいて生成される。処理ユニット１５０２は、第１署名結果を取得するために第１データ証明書に署名するようにさらに構成されている。送受信ユニット１５０１は、第１署名結果をコントローラに送信するようにさらに構成されている。送受信ユニット１５０１は、コントローラによって送信された送信されるべきデータを受信するようにさらに構成されている。

【0277】

可能な実施形態において、第１データ証明書は、アドレス情報と、送信されるべきデータのダイジェスト値、送信されるべきデータのファイルロケータ、及び、送信されるべきデータのタイムスタンプのうちの１つ以上と、を含む。

【0278】

可能な実施態様では、第１ＥＣＵが信頼できないデバイスである場合、送受信ユニット１５０１は、コントローラによって送信された第３データ削除命令を受信するようにさらに構成されており、第３データ削除命令は第２データ証明書を含み、第２データ証明書は削除されるべきデータに基づいてコントローラによって生成される。処理ユニット１５０２は、第２署名結果を取得するために第２データ証明書に署名するようにさらに構成されている。送受信ユニット１５０１は、以下のようにさらに構成されている：第２署名結果をコントローラに送信し、削除されるべきデータを削除し、第２署名結果は、信頼できないデバイスが削除されるべきデータを削除したことを示す。

【0279】

本発明の実施形態において提供されるデータ処理方法は、具体的には、電子デバイス内のチップによって実行され得る。チップは、処理ユニットと通信ユニットとを含む。処理ユニットは、例えば、プロセッサであってよく、通信ユニットは、例えば、入力／出力インタフェース、ピン、又は回路であってよい。処理ユニットは、格納ユニットに格納されたコンピュータ実行可能命令を実行してよく、その結果、サーバ内のチップは、図１から図１３に示された実施形態において説明されたデータ処理方法を実行する。任意選択で、格納ユニットは、チップ内の格納ユニット、例えば、レジスタ又はキャッシュである。あるいは、格納ユニットは、無線アクセスデバイス端にあり、チップの外部に位置する格納ユニット、例えば、リードオンリメモリ（ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ、ＲＯＭ）、静的情報及び命令を格納することができる別のタイプの静的格納デバイス、又はランダムアクセスメモリ（ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ、ＲＡＭ）であってもよい。

【0280】

図１６は、本発明の実施形態によるコンピュータ読み出し可能格納媒体又はコンピュータ可読記憶媒体１６００の構造の概略図である。本発明の実施形態は、コンピュータ可読記憶媒体をさらに提供する。いくつかの実施形態では、図４に開示された方法は、コンピュータ可読記憶媒体上の機械可読フォーマットで符号化された、又は別の非一時的媒体もしくは製品に符号化されたコンピュータプログラム命令として実装され得る。

【0281】

図１６は、本明細書に示される少なくともいくつかの実施形態に従って配置された例示的なコンピュータ読み出し可能格納媒体の概念的な部分図を概略的に示す。例示的なコンピュータ読み出し可能格納媒体は、コンピューティングデバイス上でコンピュータプロセスを実行するためのコンピュータプログラムを含む。

【0282】

一実施形態では、コンピュータ読み出し可能格納媒体１６００は、信号搬送媒体１６０１を使用することによって提供される。信号搬送媒体１６０１は、１つ以上のプログラム命令１６０２を含むことができ、１つ以上のプロセッサによって実行されるとき、プログラム命令１６０２は、図７について上記で説明した機能又はいくつかの機能を提供することができる。さらに、図１６のプログラム命令１６０２は、例示的な命令も記述する

【0283】

いくつかの例では、信号搬送媒体１６０１は、コンピュータ読み出し可能媒体１６０３、たとえば、限定はしないが、ハードディスクドライブ、コンパクトディスク（ＣＤ）、デジタルビデオディスク（ＤＶＤ）、デジタルテープ、メモリ、ＲＯＭ、又はＲＡＭを含み得る。

【0284】

いくつかの実装形態では、信号搬送媒体１６０１は、コンピュータ記録可能媒体１６０４、たとえば、限定はしないが、メモリ、読取り／書込み（Ｒ／Ｗ）ＣＤ、及びＲ／Ｗ ＤＶＤを含み得る。いくつかの実装形態では、信号搬送媒体１６０１は、通信媒体１６０５、たとえば、限定はしないが、デジタル及び／又はアナログ通信媒体（たとえば、光ファイバケーブル、導波管、ワイヤード通信リンク、又はワイヤレス通信リンク）を含み得る。したがって、例えば、信号搬送媒体１６０１は、無線通信媒体１６０５（例えば、ＩＥＥＥ ８０２．９規格又は別の伝送プロトコルに準拠する無線通信媒体）によって搬送されてもよい。

【0285】

１つ以上のプログラム命令１６０２は、例えば、コンピュータ実行可能命令又は論理実装命令であってもよい。
いくつかの例では、コンピューティングデバイスは、コンピュータ可読媒体１６０３、コンピュータ記録可能媒体１６０４、及び／又は通信媒体１６０５のうちの１つ又は複数を使用することによってコンピューティングデバイスに送信されたプログラム命令１６０２に応答して、様々な動作、機能、又はアクションを提供するように構成され得る。

【0286】

本明細書に記載された構成は、単に例として使用されることを理解されたい。したがって、他の配置及び他の要素（例えば、機械、インタフェース、機能、シーケンス、及び機能のグループ）が代わりに使用され得ること、及び、いくつかの要素が、期待される結果に基づいて一緒に省略され得ることが、当業者によって理解され得る。加えて、記載された要素の多くは、個別の又は分散された構成要素として実装され得る、又は別の構成要素と組み合わせて任意の適切な位置で任意の適切な組み合わせで実装され得る機能的なエンティティである。

【0287】

当業者であれば、説明を簡便にするために、前述のシステム、装置、及びユニットの詳細な動作プロセスについては、前述の方法の実施形態における対応するプロセスを参照することが明確に理解されよう。詳細は、本明細書では再び説明されない。

【0288】

本明細書において提供されるいくつかの実施形態において、開示されるシステム、装置及び方法は、他の方式で実装され得ることを理解されたい。例えば、説明された装置の実施形態は単なる例である。例えば、ユニットへの分割は単なる論理関数の分割であり、実際の実装では他の分割となることがある。例えば、複数のユニットやコンポーネントを組み合わせたり、別のシステムに統合したり、一部の機能を無視したり、実行しなかったりすることがある。さらに、表示又は検討される相互結合又は直接結合又は通信接続は、いくつかのインタフェースを介して実装されてもよい。装置又はユニット間の間接的な結合又は通信接続は、電気的、機械的、又は他の形態で実装されてもよい。

【0289】

別個の部分として説明されたユニットは、物理的に別個であってもなくてもよく、ユニットとして表示された部分は、物理的なユニットであってもなくてもよく、１つの位置に配置されてもよく、又は複数のネットワークユニット上に分散されてもよい。ユニットの一部又は全部は、実施形態の解決策の目的を達成するために実際の要件に基づいて選択され得る。

【0290】

さらに、本発明の実施形態における機能ユニットは、１つの処理ユニットに統合されてもよく、又はユニットの各々は、物理的に単独で存在してもよく、又は２つ以上のユニットが１つのユニットに統合されてもよい。統合されたユニットは、ハードウェアの形態で実装されてもよく、又はソフトウェア機能ユニットの形態で実装されてもよい。

【0291】

統合されたユニットがソフトウェア機能ユニットの形態で実装され、独立した製品として販売又は使用されるとき、統合されたユニットは、コンピュータ可読記憶媒体に記憶され得る。そのような理解に基づいて、本質的に本出願の技術的解決策、又は従来技術に寄与する部分、又は技術的解決策のすべてもしくは一部は、ソフトウェア製品の形態で実装され得る。コンピュータソフトウェア製品は、記憶媒体に記憶され、コンピュータデバイス（パーソナルコンピュータ、サーバ、ネットワークデバイスなどであり得る）に、本出願の実施形態において説明される方法のステップのすべて又はいくつかを実行するように命令するためのいくつかの命令を含む。上記の記憶媒体は、プログラムコードを記憶できる媒体、例えば、ＵＳＢフラッシュドライブ、リムーバブルハードディスク、リードオンリメモリ、ランダムアクセスメモリ、磁気ディスク、又は光ディスクなどの、プログラムコードを記憶することができる任意の媒体を含む。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【手続補正書】

【提出日】2024-04-25

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

コントローラ及び複数の電子制御ユニット（複数のＥＣＵ）を備える車両に適用される、データ処理方法であって：
前記コントローラによって、第１ＥＣＵからデータ要求メッセージを受信するステップであって、前記第１ＥＣＵは、前記複数のＥＣＵのうちのいずれか１つであり、前記データ要求メッセージは、センサデータを取得することを要求するために使用される、ステップと；
前記コントローラによって、前記第１ＥＣＵに応答メッセージを送信するステップであって、前記応答メッセージは、前記センサデータを取得するように前記第１ＥＣＵに示す、ステップと；
前記コントローラによって、前記データ要求メッセージに基づいてマーク情報を生成するステップであって、前記マーク情報は、前記センサデータに対する要求情報を記録する、ステップと；
前記車両が前記第１ＥＣＵ内の前記センサデータの削除をトリガした場合、前記コントローラによって、前記マーク情報に基づいて前記第１ＥＣＵに第１データ削除命令を送信するステップであって、前記第１データ削除命令は、前記第１ＥＣＵに前記センサデータを削除するように示す、ステップと；
を含む方法。

【請求項2】

前記センサデータに対する前記要求情報は、前記センサデータの要求者、前記センサデータの要求時間及び前記センサデータの内容を含む、
請求項１記載の方法。

【請求項3】

インテリジェントな前記車両が前記第１ＥＣＵ内の前記センサデータの削除をトリガすることは：
前記コントローラによって、前記マーク情報及び予め設定されたデータ保持期間に基づいて、前記第１ＥＣＵ内の前記センサデータが期限切れであると決定するステップ；又は
前記コントローラによって、ユーザによってトリガされた第２データ削除命令を取得するステップであって、前記第２データ削除命令は、前記第１ＥＣＵ内の前記センサデータを削除することを示す、ステップと、を含む、
請求項１記載の方法。

【請求項4】

前記応答メッセージは、センサに関する情報を含み、前記センサに関する前記情報は、前記第１ＥＣＵが前記センサから前記センサデータを取得するように、前記センサとの通信接続を確立するために前記第１ＥＣＵによって使用される、
請求項１記載の方法。

【請求項5】

前記第１データ削除命令は、前記第１ＥＣＵに、前記センサとの前記通信接続を切断するようにさらに示す、
請求項４記載の方法。

【請求項6】

前記コントローラによって、前記第１ＥＣＵに応答メッセージを送信する前記ステップの前に、前記方法はさらに：
前記コントローラによって、予め設定された許可構成ポリシーにしたがって、前記第１ＥＣＵが前記センサデータにアクセスする許可を有すると決定するステップを含む、
請求項１記載の方法。

【請求項7】

前記方法はさらに：
前記コントローラにより、信頼できないデバイスにより送信されたアドレス情報を受信するステップであって、前記信頼できないデバイスは第２ＥＣＵ又はサーバを含み、前記第２ＥＣＵは前記複数のＥＣＵのうちの信頼できないＥＣＵであり、前記アドレス情報は、前記信頼できないデバイス内にある、送信されるべきデータを記憶するために使用されるアドレス空間を示し、前記アドレス情報は、前記送信されるべきデータのサイズに基づいて前記信頼できないデバイスにより決定される、ステップと；
前記コントローラによって、前記アドレス情報及び前記送信されるべきデータに基づいて第１データ証明書を生成するステップであって、前記第１データ証明書は、前記送信されるべきデータを一意に示す、ステップと ；
前記コントローラによって、前記第１データ証明書を前記信頼できないデバイスに送信するステップと；
前記コントローラによって、前記信頼できないデバイスによって送信された第１署名結果を受信するステップであって、前記第１署名結果は、前記信頼できないデバイスによって前記第１データ証明書に署名することによって取得される、ステップと；
前記コントローラによって、前記信頼できないデバイスへの前記送信されるべきデータの送信を制御するステップと；
請求項１記載の方法。

【請求項8】

前記第１データ証明書は、前記アドレス情報と、前記送信されるべきデータのダイジェスト値、前記送信されるべきデータのファイルロケータ、及び前記送信されるべきデータのタイムスタンプのうちの１つ以上とを含む、
請求項７記載の方法。

【請求項9】

前記方法はさらに：
前記コントローラによって、削除されるべきデータに基づいて第２データ証明書を生成するステップと；
前記コントローラにより、第３データ削除命令を信頼できないデバイスに送信するステップであって、前記信頼できないデバイスは第３ＥＣＵ又はサーバを含み、前記第３ＥＣＵは前記複数のＥＣＵのうちの信頼できないＥＣＵであり、前記第３データ削除命令は、前記第２データ証明書を含み、前記第３データ削除命令は、前記削除されるべきデータを削除することを示す、ステップと；
前記コントローラにより、前記信頼できないデバイスにより返された第２署名結果を取得するステップであって、前記第２署名結果は、前記サーバにより前記第２データ証明書に署名することにより取得され、前記第２署名結果は、前記信頼できないデバイスが前記削除されるべきデータを削除したことを示す、ステップと；
請求項１記載の方法。

【請求項10】

コントローラ及び複数の電子制御ユニット（複数のＥＣＵ）を備える車両に適用される、データ処理方法であって：
前記コントローラによって、第１ＥＣＵからデータ要求メッセージを受信するステップであって、前記第１ＥＣＵは、前記複数のＥＣＵのうちのいずれか１つであり、前記データ要求メッセージは、センサデータを取得することを要求するために使用される、ステップと；
前記コントローラによって、前記第１ＥＣＵに応答メッセージを送信するステップであって、前記応答メッセージは、前記センサデータを取得するように前記第１ＥＣＵに示す、ステップと；
前記第１ＥＣＵによって、前記応答メッセージに基づいて前記センサデータを取得する前記ステップと：
前記車両が第１ＥＣＵ内のセンサデータの削除をトリガすると、第１ＥＣＵは、コントローラから第１データ削除命令を受信し、第１データ削除命令に基づいて第１ＥＣＵ内のセンサデータを削除する、ステップと、を含む、
方法。

【請求項11】

前記第１ＥＣＵによって、前記応答メッセージに基づいて前記センサデータを取得する前記ステップは：
前記第１ＥＣＵによって、センサに関する情報に基づいて、前記センサとの通信接続を確立するステップであって、応答情報が前記センサに関する前記情報を含む、ステップと；
前記第１ＥＣＵによって、前記通信接続に基づいて前記センサから前記センサデータを取得するステップと、を含む、
請求項１０記載の方法。

【請求項12】

前記第１データ削除命令は、前記第１ＥＣＵに、前記センサとの前記通信接続を切断するようにさらに示す、
請求項１１記載の方法。

【請求項13】

前記方法はさらに：
前記第１ＥＣＵが信頼できないデバイスである場合、前記第１ＥＣＵによって、アドレス情報を前記コントローラに送信するステップであって、前記アドレス情報は、前記第１ＥＣＵ内にあり、送信されるべきデータを記憶するために使用されるアドレス空間を示し、前記アドレス情報は、前記送信されるべきデータのサイズに基づいて前記第１ＥＣＵによって決定される、ステップと；
前記第１ＥＣＵによって、前記コントローラによって送信された第１データ証明書を受信するステップであって、前記第１データ証明書は、前記アドレス情報及び前記送信されるべきデータに基づいて生成される、ステップと；
前記第１ＥＣＵによって、前記第１データ証明書に署名して第１署名結果を取得するステップと；
前記第１ＥＣＵによって、前記第１署名結果を前記コントローラに送信するステップと；
前記第１ＥＣＵによって、前記コントローラによって送信された前記送信されるべきデータを受信するステップと、を含む
請求項１０記載の方法。

【請求項14】

前記第１データ証明書は、前記アドレス情報と、前記送信されるべきデータのダイジェスト値、前記送信されるべきデータのファイルロケータ、及び前記送信されるべきデータのタイムスタンプのうちの１つ以上と、を含む、
請求項１３記載の方法。

【請求項15】

前記方法はさらに：
前記第１ＥＣＵが信頼できないデバイスである場合、前記第１ＥＣＵによって、前記コントローラによって送信された第３データ削除命令を受信するステップであって、前記第３データ削除命令は第２データ証明書を含み、前記第２データ証明書は削除されるべきデータに基づいて前記コントローラによって生成される、ステップと；
前記第１ＥＣＵによって、前記第２データ証明書に署名して、第２署名結果を取得する、ステップと；
前記第１ＥＣＵによって、前記第２署名結果を前記コントローラに送信し、前記削除すべきデータを削除するステップであって、前記第２署名結果は、前記信頼できないデバイスが前記削除すべきデータを削除したことを示す、ステップと
請求項１０記載の方法。

【請求項16】

メモリとプロセッサとを備えるＥＣＵであって、
前記メモリはコードを記憶し、前記プロセッサは前記コードを実行するように構成されており、前記コードが実行されると、前記ＥＣＵは請求項１０記載の方法を実行する、
ＥＣＵ。

【請求項17】

コントローラと複数のＥＣＵとを備える車両であって、
コントローラは、複数のＥＣＵに別々に接続されており、
前記複数のＥＣＵのうちの任意のＥＣＵは、請求項１６記載のＥＣＵである、
車両。

【国際調査報告】