JP2023064245A - 車載制御システム - Google Patents

Abstract

【課題】セキュリティ面と効率的なデータ伝送とを両立可能な車載通信網を形成する。
【解決手段】車載制御システム１０ａは、ＡＤＡＳ１１と、通信経路Ｌ１を介してＡＤＡＳ１１に接続されたＭＰＵ１２と、通信経路Ｌ１１を介してＭＰＵ１２に接続されたＣＧＷ１３と、を備える。ＭＰＵ１２は、通信経路Ｌ１と通信経路Ｌ１１とを接続可能な内部通信経路ＩＬ２を有し、車両が所定の動作状態であるとき、内部通信経路ＩＬ２を介して通信経路Ｌ１と通信経路Ｌ１１とを接続する。
【選択図】図２

Description

本発明は、車載通信網を介して接続された複数のＥＣＵを有する車載制御システムに関する。

この種の装置として、従来、車両が備える電子制御装置のソフトウェアを更新するための更新データを外部のサーバからダウンロードして電子制御装置にインストールするようにした装置が知られている（特許文献１参照）。特許文献１記載の装置では、インターネットに接続された更新管理部が、該インターネットを介して外部のサーバからダウンロードした更新データを電子制御装置に供給する。

特開２０２１－１０５９２４号公報

ところで、近年、運転支援機能を搭載した車両などにおいては、更新データのデータサイズが増大している。また、運転支援機能を搭載した車両では、外部との通信におけるセキュリティ性が重要視される。このため、効率的なデータ伝送とセキュリティ面とが容易に両立可能となる車載通信網を形成することが望まれる。しかしながら、特許文献１記載の装置では、インターネットに接続された更新管理部を介して電子制御装置に対して不正なアクセスが行われるおそれがある。

本発明の一態様である車載制御システムは、車両に搭載され、第１制御ユニットと、第１通信経路を介して第１制御ユニットに接続された第２制御ユニットと、第２通信経路を介して第２制御ユニットに接続された第３制御ユニットと、を備える。第２制御ユニットは、第１通信経路と第２通信経路とを接続可能な内部通信経路を有し、車両が所定の動作状態であるとき、内部通信経路を介して第１通信経路と第２通信経路とを接続する。

本発明によれば、セキュリティ面と効率的なデータ伝送とを両立可能な車載通信網を形成することができる。

車載制御システムの参考例を示す図。 図１Ａの車載制御システムの構成の一例を示す図。 本発明の実施形態に係る車載制御システムの構成の一例を示す図。 本発明の実施形態に係るソフトウェア更新装置の要部構成を示すブロック図。 図３のソフトウェア更新装置の演算部で実行される処理の一例を示すフローチャート。 本発明の実施形態に係る車載制御システムの構成の他の例を示す図。 本発明の実施形態の変形例に係る車載制御システムの構成の一例を示すブロック図。

以下、図１Ａ～図６を参照して本発明の実施形態について説明する。本発明の実施形態に係る車載制御システムは、運転支援装置（Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ－Ａｓｓｉｓｔａｎｃｅ Ｓｙｓｔｅｍｓ：ＡＤＡＳ）を有する車両に適用することができる。

まず、車載制御システムの参考例について説明する。図１Ａは、車載制御システムの参考例を示す図である。図１Ａに示すように、車載制御システム１０は、車両１に搭載される。車載制御システム１０は、ネットワーク２を介してサーバ３等の外部の装置と通信可能に接続される。ネットワーク２には、公衆無線通信網だけでなく、所定の管理地域ごとに設けられた閉鎖的な通信網、例えば無線ＬＡＮ、Ｗｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等も含まれる。図１Ｂは、図１Ａの車載制御システム１０の構成の一例を示す図である。図１Ｂに示すように、車載制御システム１０には、ＥＣＵ（電子制御ユニット）１１～１４が含まれる。また、車載制御システム１０には、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）を介して接続された複数の車載通信網、具体的には、ＥＣＵ３１１，３１２を含む車載通信網と、ＥＣＵ３２１，３２２を含む車載通信網とが含まれる。

ＥＣＵ１４は、ネットワーク２を介してサーバ３等の外部の装置との無線通信を行う通信ユニット（ＴＣＵ：Ｔｅｌｅｍａｔｉｃｓ Ｃｏｎｔｒｏｌ ｕｎｉｔ）である。ＥＣＵ１３は、ＣＧＷ（Ｃｅｎｔｒａｌ Ｇａｔｅｗａｙ）であり、ゲートウェイ機能を有する。ＥＣＵ（ＣＧＷ）１３は、ＥＣＵ（ＴＣＵ）１４を介して行われる外部の装置と車載通信網との通信、あるいは、複数の車載通信網間の通信を中継する。ＣＧＷ１３は、さらに、パワートレーン制御やシャシ制御等、車両１を走行させるための各種制御を統括する機能を有する。

ＥＣＵ１２は、高精度な地図（ナビゲーション装置で利用される地図よりも情報量が大きい地図）の情報（以下、地図データと呼ぶ。）を生成するＭＰＵ（Ｍａｐ Ｐｏｓｉｔｉｏｎｉｎｇ Ｕｎｉｔ）である。ＥＣＵ（ＭＰＵ）１２は、記憶部（不図示）を有し、該記憶部に生成した地図データを記憶する。生成した地図データと領域が重複する地図データが記憶部に記憶されている場合には、ＭＰＵ１２は、記憶部に記憶された地図データを、生成した地図データで更新する。ＭＰＵ１２は、ＥＣＵ１１からの要求に応じて、地図データを記憶部から読み出してＥＣＵ１１に供給する。

ＥＣＵ１１は、車両１が有する運転支援機能（ＡＤＡＳ）を実現するＡＤＡＳ ＥＣＵ（以下、単にＡＤＡＳと称する。）である。ＥＣＵ（ＡＤＡＳ）１１には、ＬＶＤＳ（Ｌｏｗ Ｖｏｌｔａｇｅ Ｄｉｆｆｅｒｅｎｔｉａｌ Ｓｉｇｎａｌｉｎｇ）の信号線を介してカメラ２１が接続される。また、ＡＤＡＳ１１には、ＣＡＮ－ＦＤ（ＣＡＮ ｗｉｔｈ Ｆｌｅｘｉｂｌｅ Ｄａｔａ Ｒａｔｅ）を介してレーダ２２が接続される。ＡＤＡＳ１１は、ＭＰＵ１２から供給される情報（地図データ）や、カメラ２１およびレーダ２２により検知された情報に基づいて、車両１が走行中の車線から逸脱しないように走行用のアクチュエータ等を制御する。このようにして、ＡＤＡＳ１１は、車両１が有する運転支援機能を実現する。

ＡＤＡＳ１１とＣＧＷ１３、ＣＧＷ１３とＭＰＵ１２、および、ＭＰＵ１２とＴＣＵ１４はそれぞれ、通信経路Ｌ１、通信経路Ｌ２、および、通信経路Ｌ３を介して接続される。通信経路Ｌ１，Ｌ２，Ｌ３は、ＣＡＮやＣＡＮ－ＦＤよりも高速な通信回線、例えばイーサネット回線で構成される。

ＣＧＷ１３は、通信経路Ｌ１と通信経路Ｌ２とを接続可能な内部通信経路ＩＬ１を有する。また、ＣＧＷ１３は、イーサネットスイッチ（不図示）を有し、イーサネットスイッチを制御して、内部通信経路ＩＬ１を接続状態または切断状態にする。ＭＰＵ１２は、通信経路Ｌ２と通信経路Ｌ３とを接続可能な内部通信経路ＩＬ２を有する。ＭＰＵ１２は、イーサネットスイッチ（不図示）を有し、イーサネットスイッチを制御して、内部通信経路ＩＬ２を接続状態または切断状態にする。

サーバ３は、記憶部（不図示）を備え、車載制御システム１０の各ＥＣＵで実行されるソフトウェア（プログラム）を更新するためのデータ（以下、更新データと呼ぶ。）を記憶部に記憶する。サーバ３は、少なくともＡＤＡＳ１１で実行されるソフトウェアの更新データを記憶する。車載制御システム１０は、ネットワーク２を介して各ＥＣＵの更新データをサーバ３からダウンロードして各ＥＣＵに供給し、各ＥＣＵのソフトウェアを更新する。

近年、ＡＤＡＳやコネクティビティ機能の進化に伴い、車載制御システム１０と外部の装置との間で送受信されるデータ量や、車載制御システム１０の各車載通信網間で送受信されるデータ量が増大している。また、それらの機能を担う各ＥＣＵにインストールされるソフトウェアのデータサイズも増大している。さらに、ＡＤＡＳやコネクティビティ機能においては、外部の装置との通信におけるセキュリティ性が重要視される。このような状況に対応するため、車載制御システム１０のデータ伝送性能およびセキュリティ性を一層向上することが求められている。そこで、本実施形態は以下のように車載制御システムを構成する。

図２は、本発明の実施形態に係る車載制御システムの構成の一例を示す図である。図２に示す車載制御システム１０ａでは、図１Ｂの車載制御システム１０においてＴＣＵ１４とＣＧＷ１３との間に配置されていたＭＰＵ１２が、ＣＧＷ１３よりも下流側に配置される。具体的には、ＣＧＷ１３とＡＤＡＳ１１との間にＭＰＵ１２が配置される。以下、ＴＣＵ１４に近い側を上流側と表現し、ＴＣＵ１４から遠い側を下流側と表現する。このように、ＣＧＷ１３の下流側にＭＰＵ１２を配置することで、ＣＧＷ１３の下流側にファイヤフォールを増設することが可能となる。より詳細には、ＣＧＷ１３の下流側に配置されたＭＰＵ１２にファイヤフォールを設置することで、ＣＧＷ１３の下流側にファイヤフォールを増設することができる。これにより、ＣＧＷ１３を介したＡＤＡＳ１１に対する不正アクセスを抑止しやすくなる。

また、図２のようにＭＰＵ１２をＣＧＷ１３の下流側に移動するとともに、図１Ｂの通信経路Ｌ２，Ｌ３よりも高速な通信経路（イーサネット回線）Ｌ１２でＣＧＷ１３とＴＣＵ１４とを直接接続することで、ＣＧＷ１３とＴＣＵ１４間のデータ伝送速度を高速化できる。なお、通信経路Ｌ１２は、少なくともＣＡＮやＣＡＮ－ＦＤよりも高速な通信回線であればよく、通信経路Ｌ２，Ｌ３と同等の通信容量であってもよい。

ＭＰＵ１２は、通信経路Ｌ１を介してＡＤＡＳ１１と接続され、通信経路Ｌ１１を介してＣＧＷ１３と接続される。ＭＰＵ１２は、通信経路Ｌ１と通信経路Ｌ１１とを内部通信経路ＩＬ２を介して接続可能である。これにより、ＣＧＷ１３とＡＤＡＳ１１とを、通信経路Ｌ１とＭＰＵ１２（内部通信経路ＩＬ２）と通信経路Ｌ１１とで構築された通信経路ＣＬ１で接続することができる。したがって、図１Ｂの構成に対して通信経路Ｌ１１を追加するだけで、ＣＧＷ１３とＡＤＡＳ１１間のデータ伝送速度を低下させることなく、ＣＧＷ１３とＡＤＡＳ１１間にＭＰＵ１２を配置することができる。なお、通信経路Ｌ１１は、少なくとも通信経路Ｌ１の通信容量以上の通信容量を有するものとする。

また、ＣＧＷ１３とＡＤＡＳ１１との間に、内部通信経路ＩＬ２を有するＭＰＵ１２を配置することで、ＣＧＷ１３とＡＤＡＳ１１とを必要に応じて接続または切断することが可能となる。例えば、ＡＤＡＳ１１にソフトウェアをインストールするときにのみ内部通信経路ＩＬ２を接続状態にしてＣＧＷ１３とＡＤＡＳ１１とを接続し、それ以外のときには内部通信経路ＩＬ２を切断状態にしてＣＧＷ１３とＡＤＡＳ１１とを切断する。これにより、ＣＧＷ１３を介したＡＤＡＳ１１に対する不正アクセスをさらに抑止しやすくなる。

図３は、本発明の実施形態に係るソフトウェア更新装置の要部構成を示すブロック図である。図３のソフトウェア更新装置１００は、車載制御システム１０ａの一部を構成する。図３に示すように、ソフトウェア更新装置１００は、ＣＰＵ等の演算部１１０と、ＲＯＭ、ＲＡＭ、ハードディスク等の記憶部１２０と、その他の周辺回路とを有するコンピュータを含んで構成される。演算部１１０は、機能的構成として、指令受付部１１１と、データ取得部１１２と、状態判定部１１３と、経路構築部１１４と、データ供給部１１５とを有する。なお、演算部１１０は、単一のＣＰＵ（単一のＥＣＵが有するＣＰＵ）で構成されてもよいし、複数のＥＣＵのそれぞれが有するＣＰＵを組み合わせて構成されてもよい。また、記憶部１２０は、単一のＥＣＵが有するＲＯＭ等で構成されてもよいし、複数のＥＣＵのそれぞれが有するＲＯＭ等を組み合わせて構成されてもよい。

指令受付部１１１は、車載制御システム１０ａの各ＥＣＵのソフトウェアを更新するための更新指令を受け付ける。更新指令には、ソフトウェアの更新対象となるＥＣＵの情報（例えば、更新対象のＥＣＵの識別情報）と、更新データの格納場所を特定可能な情報（例えば、ＵＲＬ）が含まれる。指令受付部１１１は、外部の装置から送信される更新指令をＴＣＵ１４を介して受信してもよいし、車両１に設けられた不図示の操作部（タッチパネルを有する液晶ディスプレイ等）からユーザ操作に応じて出力される更新指令を受信してもよい。

データ取得部１１２は、指令受付部１１１により受け付けられた更新指令に基づいて、外部の装置等から各ＥＣＵのソフトウェアを更新するための更新データを取得する。例えば、更新対象のＥＣＵがＡＤＡＳ１１であって更新データの格納場所がサーバ３であることが更新指令により示されるときは、データ取得部１１２は、サーバ３の記憶部（不図示）に格納されているＡＤＡＳ１１の更新データを、サーバ３からダウンロードして取得する。

状態判定部１１３は、車両１が所定の動作状態であるか否かを判定する。所定の動作状態とは、ＡＤＡＳ１１のソフトウェア更新処理（プログラム書き換え）が可能な状態であり、例えば、車両１が停止していて、イグニッションスイッチがオフである状態である。

経路構築部１１４は、状態判定部１１３により車両１が所定の動作状態であると判定されると、ＡＤＡＳ１１に更新データを供給するための通信経路を構築する。具体的には、経路構築部１１４は、内部通信経路ＩＬ２を接続状態にして、通信経路Ｌ１と通信経路Ｌ１１とを接続する。一方、状態判定部１１３により車両１が所定の動作状態でなくなったと判定されると、経路構築部１１４は、内部通信経路ＩＬ２を切断状態にして、通信経路Ｌ１と通信経路Ｌ１１とを切断する。内部通信経路ＩＬ２の初期状態は、切断状態である。

データ供給部１１５は、データ取得部１１２により取得された更新データを、経路構築部１１４により構築された通信経路ＣＬ１を介してＡＤＡＳ１１に供給し、ソフトウェアをインストールする。より詳細には、データ供給部１１５は、更新データをＡＤＡＳのＲＯＭ（不図示）に展開して、ＡＤＡＳ１１のソフトウェアを更新する。

図４は、予め記憶されたプログラムに従い、ソフトウェア更新装置１００の演算部１１０で実行される処理の一例を示すフローチャートである。このフローチャートに示す処理は、例えば、車載制御システム１０ａに電源が供給されると開始され、所定周期で繰り返される。以下では、サーバ３の記憶部に更新データが記憶されていて、ソフトウェア更新装置１００がサーバ３の記憶部から更新データをダウンロードして、更新対象のＥＣＵのソフトウェアを更新する場合を例にする。

まず、ステップＳ１で、更新指令を受け付けたか否かを判定する。ステップＳ１で否定されると、処理を終了する。ステップＳ１で肯定されると、ステップＳ２で、更新データを取得する。具体的には、更新指令に含まれる情報に基づいて、サーバ３の記憶部から更新データをダウンロードする。ダウンロードされた更新データは、記憶部１２０に格納される。

ステップＳ３で、ソフトウェアをインストールする際に必要な通信経路、すなわち通信経路ＣＬ１の構築が必要であるか否かを判定する。ステップＳ３で否定されると、ステップＳ５に移行する。ステップＳ３で肯定されると、ステップＳ４で、通信経路ＣＬ１を構築する。例えば、ステップＳ１で受け付けた更新指令に、ＡＤＡＳ１１がソフトウェア更新の対象であることを示す情報が含まれる場合、ステップＳ３で、通信経路ＣＬ１を構築する必要があると判定される。そして、ステップＳ４で、車両１が所定の動作状態であるときに、内部通信経路ＩＬ２を接続状態にして、通信経路Ｌ１と通信経路Ｌ１１とを接続する。このとき、内部通信経路ＩＬ１も接続状態にして、通信経路Ｌ１１と通信経路Ｌ１２とを接続する。これらの通信経路は、イグニッションスイッチがオフの時に例えば、ＥＣＵ１１～１４をソフトウェア更新装置１００により起動することにより成立する。なお、内部通信経路ＩＬ１は、車載制御システム１０ａに電源が供給されている間、常時、接続状態に設定されてもよい。

ステップＳ５で、ステップＳ１でダウンロードされた更新データを記憶部１２０から読み出して、ＡＤＡＳ１１のＲＯＭに展開して、ＡＤＡＳ１１のソフトウェアを更新する。

本発明の実施形態によれば以下のような作用効果を奏することができる。
（１）車載制御システム１０ａは、車両１に搭載され、第１制御ユニットとしてのＡＤＡＳ１１と、第１通信経路（通信経路Ｌ１）を介してＡＤＡＳ１１に接続された第２制御ユニットとしてのＭＰＵ１２と、第２通信経路（通信経路Ｌ１１）を介してＭＰＵ１２に接続された第３制御ユニットとしてのＣＧＷ１３とを備える。ＭＰＵ１２は、地図データを生成し、その地図データを通信経路Ｌ１を介してＡＤＡＳ１１に供給する。ＭＰＵ１２は、通信経路Ｌ１と通信経路Ｌ１１とを接続可能な第１内部通信経路（内部通信経路ＩＬ２）を有し、車両１が所定の動作状態であるとき、内部通信経路ＩＬ２を介して通信経路Ｌ１と通信経路Ｌ１１とを接続する。

この構成により、ＭＰＵ１２の内部通信経路ＩＬ２と、ＭＰＵ１２からＡＤＡＳ１１へ地図データを供給するための通信経路Ｌ１とにより、ＣＧＷ１３からＡＤＡＳ１１へデータを供給するための通信経路が構築される。そのため、ＣＧＷ１３とＡＤＡＳ１１とを直接接続するような通信経路を別途設けることなく、通信経路Ｌ１１を追加するだけで、ＣＧＷ１３からＡＤＡＳ１１へデータを供給することが可能になる。したがって、車載制御システム１０ａのコストの増大を抑制することができる。

また、ＣＧＷ１３とＡＤＡＳ１１との間にＭＰＵ１２が配置されることで、ＣＧＷ１３の下流側にファイヤフォールを増設可能となる。図５は、本発明の実施形態に係る車載制御システムの構成の他の例を示す図である。図５には、図２の車載制御システム１０ａのＭＰＵ１２とＣＧＷ１３とＴＣＵ１４に、ファイヤフォールＦＷがそれぞれ設置された場合の例が示されている。図５に示すように、ＣＧＷ１３とＡＤＡＳ１１との間に配置されたＭＰＵ１２にファイヤフォールＦＷを設置することで、ＣＧＷ１３の下流側にファイヤフォールを増設できる。その結果、ＣＧＷ１３を介した外部の装置や他の車載通信網からのＡＤＡＳ１１に対する不正アクセスを抑止できる。

（２）ＭＰＵ１２は、ＡＤＡＳ１１のプログラム書き換えが行われている状態であるとき、内部通信経路ＩＬ２を介して通信経路Ｌ１と通信経路Ｌ１１とを接続する。この構成により、ＡＤＡＳ１１のプログラム書き換え用の更新データを、ＣＧＷ１３からＭＰＵ１２を介してＡＤＡＳ１１に供給可能となる。また、ＡＤＡＳ１１のプログラム書き換え時にのみ通信経路Ｌ１と通信経路Ｌ１１とが接続されるので、ＣＧＷ１３を介した外部の装置や他の車載通信網からのＡＤＡＳ１１に対する不正アクセスをさらに抑止できる。

（３）ＡＤＡＳ１１とＭＰＵ１２とＣＧＷ１３とは、通信経路Ｌ１，Ｌ１１および内部通信経路ＩＬ２のいずれよりも通信容量が小さい第３通信経路（通信経路Ｌ１３）を介して互いに接続される。この構成により、ＡＤＡＳ１１とＭＰＵ１２とＣＧＷ１３との間で伝送されるデータの容量に基づいて通信経路を切り換えることが可能となる。例えば、ＡＤＡＳ１１とＭＰＵ１２とＣＧＷ１３との間でコマンドや制御データなどのように比較的容量が小さいデータを伝送するときには、通信経路Ｌ１３を利用し、更新データなどのように比較的容量が大きいデータを伝送するときには、通信経路Ｌ１とＭＰＵ１２（内部通信経路ＩＬ２）と通信経路Ｌ１１とで構築された通信経路を利用する。これにより、データ伝送に要する消費電力を低減できる。

（４）車載制御システム１０ａは、車両１の外部の装置（例えば、サーバ３）と通信可能なＴＣＵ１４をさらに備える。ＣＧＷ１３は、ＡＤＡＳ１１のプログラムを書き換えるための更新データを、ＴＣＵ１４を介して外部の装置から取得する。この構成により、ＣＧＷ１３は、更新データを外部の装置から取得することができ、ＡＤＡＳ１１のソフトウェアの更新を柔軟に行うことが可能となる。また、ＣＧＷ１３とＴＣＵ１４とは、通信経路Ｌ１３よりも通信容量が大きい第４通信経路（通信経路Ｌ１２）を介して接続される。この構成により、ＣＧＷ１３が更新データを外部の装置からダウンロードする際に要する時間（ダウンロード時間）を短縮できる。したがって、ソフトウェア更新に必要なエネルギ効率を改善することができる。

上記実施形態は種々の形態に変更することができる。以下、変形例について説明する。上記実施形態では、ＡＤＡＳ１１に地図データを供給するＭＰＵ１２を備えた車載制御システム１０ａを例にして説明した。しかしながら、本発明は、ＡＤＡＳ１１に車両１の走路の情報（以下、走路情報）を供給するＥＣＵ（以下、認識拡張ユニット（ＡＤＡＳ Ｐｅｒｃｅｐｔｉｏｎ Ｅｘｔｅｎｓｉｏｎ：ＡＰＥＸ）と呼ぶ。）を備えた車載制御システムにも適用可能である。図６は、本変形例に係る車載制御システムの構成の一例を示すブロック図である。

図６に示すように、車載制御システム１０ｂは、ＡＤＡＳ１１と、ＥＣＵ（ＡＰＥＸ）１５と、ＣＧＷ１３とを備える。ＡＰＥＸ１５には、通信経路Ｌ１４を介してカメラ２３が接続される。カメラ２３は、車両１の周辺の空間（例えば前方空間）を撮像し、通信経路Ｌ１４を介して撮像画像データをＡＰＥＸ１５に出力する。通信経路Ｌ１４は、例えばＬＶＤＳの信号線であり、通信経路Ｌ１３よりも通信容量が大きい。

ＡＰＥＸ１５は、カメラ２３から入力される撮像画像データに基づいて車両１の走路を認識し、その認識結果を含む走路情報を、通信経路Ｌ１を介してＡＤＡＳ１１に出力する。また、ＡＰＥＸ１５は、通信経路Ｌ１と通信経路Ｌ１１とを接続可能な内部通信経路ＩＬ３を有する。さらに、ＡＰＥＸ１５は、イーサネットスイッチ（不図示）を有し、イーサネットスイッチを制御して、内部通信経路ＩＬ３を接続状態または切断状態にする。ＡＤＡＳ１１は、ＡＰＥＸ１５から供給される情報（走路情報）に基づいて、車両１が走行中の車線から逸脱しないように走行用のアクチュエータ等を制御する。このように本変形例では、ＡＤＡＳ１１は、ＡＰＥＸ１５から供給される走路情報に基づいて車両１の運転支援機能を実現する。

車載制御システム１０ｂの一部を構成するソフトウェア更新装置の構成および動作は、図３のソフトウェア更新装置１００の構成および動作と同様である。なお、本変形例に係るソフトウェア更新装置では、経路構築部１１４は、状態判定部１１３により車両１が所定の動作状態であると判定されると、内部通信経路ＩＬ３を接続状態にして、通信経路Ｌ１と通信経路Ｌ１１とを接続する。また、経路構築部１１４は、状態判定部１１３により車両１が所定の動作状態でなくなったと判定されると、内部通信経路ＩＬ３を切断状態にして、通信経路Ｌ１と通信経路Ｌ１１とを切断する。

この構成により、通信経路Ｌ１とＡＰＥＸ１５（内部通信経路ＩＬ３）と通信経路Ｌ１１とで構築された通信経路ＣＬ２を介してＡＤＡＳ１１からＣＧＷ１３にデータを供給することができるので、ＡＤＡＳ１１とＣＧＷ１３とを直接接続するような通信経路を別途設ける必要がなくなる。このため、車載制御システム１０ｂのコストの増大を抑制することができる。また、ＡＤＡＳ１１とＣＧＷ１３との間に配置したＡＰＥＸ１５にファイヤフォールを設置することで、外部の装置や車載通信網からＡＤＡＳ１１に供給されるデータのセキュリティ性を向上できる。

また、上記実施形態では、ＣＧＷ１３が備えるイーサネットスイッチにより内部通信経路ＩＬ１を接続状態または切断状態にするようにしたが、イーサネットスイッチ以外のネットワークデバイスにより第１内部通信経路を接続状態または接続状態にしてもよい。同様に、ＥＣＵ１２，１５（ＭＰＵ１２、ＡＰＥＸ１５）が備えるイーサネットスイッチにより内部通信経路ＩＬ２，ＩＬ３を接続状態または切断状態にするようにしたが、イーサネットスイッチ以外のネットワークデバイスにより第２内部通信経路を接続状態または接続状態にしてもよい。

また、上記実施形態では、撮像部としてのカメラ２３がＬＶＤＳの信号線である第５通信経路（通信経路Ｌ１４）を介してＡＰＥＸ１５に接続される場合を例にして車載制御システム１０ｂの構成を説明したが、第５通信経路は、通信経路Ｌ１３よりも通信容量が大きい通信回線（信号線）であればよく、その他の通信回線（信号線）を介して接続されてもよい。

以上の説明はあくまで一例であり、本発明の特徴を損なわない限り、上述した実施形態および変形例により本発明が限定されるものではない。上記実施形態と変形例の一つまたは複数を任意に組み合わせることも可能であり、変形例同士を組み合わせることも可能である。

１ 車両、１０，１０ａ，１０ｂ 車載制御システム、１００ ソフトウェア更新装置、１１ ＥＣＵ（ＡＤＡＳ）、１２ ＥＣＵ（ＭＰＵ）、１３ ＥＣＵ（ＣＧＷ）、１４ ＴＣＵ、１５ ＥＣＵ（ＡＰＥＸ）、１１０ 演算部、１１１ 指令受付部、１１２ データ取得部、１１３ 状態判定部、１１４ 経路構築部、１１５ データ供給部、１２０ 記憶部

Claims (9)

1. 車両に搭載された車載制御システムであって、
   第１制御ユニットと、
   第１通信経路を介して前記第１制御ユニットに接続された第２制御ユニットと、
   第２通信経路を介して前記第２制御ユニットに接続された第３制御ユニットと、を備え、
   前記第２制御ユニットは、前記第１通信経路と前記第２通信経路とを接続可能な内部通信経路を有し、前記車両が所定の動作状態であるとき、前記内部通信経路を介して前記第１通信経路と前記第２通信経路とを接続することを特徴とする車載制御システム。
2. 請求項１に記載の車載制御システムにおいて、
   前記所定の動作状態は、前記第１制御ユニットのプログラム書き換えが可能な状態であることを特徴とする車載制御システム。
3. 請求項１または２に記載の車載制御システムにおいて、
   前記第１制御ユニットと前記第２制御ユニットと前記第３制御ユニットとは、前記第１通信経路、前記第２通信経路および前記内部通信経路よりも通信容量が小さい、第３通信経路を介して互いに接続されることを特徴とする車載制御システム。
4. 請求項３に記載の車載制御システムにおいて、
   前記車両の外部の装置と通信可能な通信ユニットをさらに備え、
   前記第３制御ユニットと前記通信ユニットとは、前記第３通信経路よりも通信容量が大きい第４通信経路を介して接続されることを特徴とする車載制御システム。
5. 請求項４に記載の車載制御システムにおいて、
   前記第３制御ユニットは、前記第１制御ユニットのプログラムを書き換えるための更新データを、前記通信ユニットを介して前記外部の装置から取得することを特徴とする車載制御システム。
6. 請求項５に記載の車載制御システムにおいて、
   前記内部通信経路は、第１内部通信経路であり、
   前記第３制御ユニットは、前記第２通信経路と前記第４通信経路とを接続可能な第２内部通信経路を有し、
   前記第２制御ユニットと前記第３制御ユニットと前記通信ユニットとはファイアウォールを備え、
   前記第２制御ユニットのファイアウォールは、前記第１内部通信経路上に設置され、
   前記第３制御ユニットのファイアウォールは、前記第２内部通信経路上に設置され、
   前記第３制御ユニットは、前記通信ユニットのファイアウォールと前記第４通信経路とを介して前記外部の装置から取得される前記更新データを、前記第２内部通信経路と、前記第２通信経路、前記第１内部通信経路、および前記第１通信経路を介して前記第１制御ユニットに供給することを特徴とする車載制御システム。
7. 請求項１～６のうちのいずれか１項に記載の車載制御システムにおいて、
   前記第２制御ユニットは、地図データを生成する電子制御ユニットであることを特徴とする車載制御システム。
8. 請求項７に記載の車載制御システムにおいて、
   前記第２制御ユニットは、前記第１通信経路を介して前記第１制御ユニットに前記地図データを供給することを特徴とする車載制御システム。
9. 請求項３～６のうちのいずれか１項に記載の車載制御システムにおいて、
   前記第２制御ユニットは、
   前記車両の走路を認識する電子制御ユニットであり、
   前記第３通信経路よりも通信容量が大きい第５通信経路を介して、前記車両の周辺の撮像画像データを出力する撮像部と接続され、前記第５通信経路を介して前記撮像部から前記撮像画像データを取得し、前記第１通信経路を介して前記撮像画像データを前記第１制御ユニットに供給することを特徴とする車載制御システム。

Images