JP6080904B2 - 車両制御システム、受信制御装置および車両制御装置 - Google Patents

Description

この発明は、車両制御装置の制御パラメータを変更する車両制御システム、受信制御装置および車両制御装置に関するものである。

自動車の分野では、ユーザの趣味嗜好や、車両の周辺環境に応じて、車内の制御機器の制御パラメータ（以下、単にパラメータという。）を、車両の出荷後でも変更できるようにすることが提案されている。
たとえば、ステアリング制御装置において、特許文献１には、車両に応じてパラメータを変更する技術が開示されている。
この特許文献１には、車両を特定する車両識別コード、および車両に搭載される制御機器を特定する車両制御装置識別コードなどを無線基地局に送信することにより、個々の車両に適したパラメータを受信するようにして、パラメータを変更できるようにすることが記載されている。

特開２００２ー１４４９８３号公報（第４〜６頁、第１図）

しかしながら、特許文献１に記載された従来技術では、以下の３つの問題がある。
（１）高い負荷状態や、異常な制御状態にあるときなど、パラメータを変更すると、ステアリング制御装置やエンジン制御装置の動作が不定になることがある。このため、パラメータを適用する前に、本当にパラメータを適用してもよいかどうかを確認する必要がある。
一般に、ステアリングやエンジン等を制御する装置には高い機能安全基準が適用される。これらの制御装置のパラメータの変更は、受信制御装置の制御によって行われるが、上述のパラメータ適用の可否を受信制御装置に判断させるように構成すると、受信制御装置にも高い機能安全基準を持たせる必要があり、開発困難化の要因となる。

（２）エンジン制御装置とブレーキ制御装置など、走行状態に依存関係を持つ制御装置同士のパラメータを更新する際には、確実に同時にパラメータが適用されるようにする必要がある。
これを受信制御装置で制御するように構成すると、高い機能安全基準を持たせる必要があり、開発困難化の要因となる。

（３）パラメータを送信することにより、車内ネットワークに対する攻撃者にパラメータが漏えいしてしまう可能性がある。制御に使用するパラメータは、自動車メーカの知的財産であるため、漏えいをできるだけ避けるような構成にする必要がある。

この発明は、上述のような課題を解決するためになされたものであり、車両制御装置のパラメータ変更を制御する受信制御装置に高い機能安全基準を適用しなくても、より高い機能安全基準を持つ車両制御装置のパラメータ変更が可能な車両制御システム、受信制御装置および車両制御装置を得ることを目的とする。

この発明に係わる車両制御システムにおいては、車両に搭載され、制御パラメータに基づき、車両の制御を行う車両制御装置、および車両に搭載され、パラメータ配信サーバから配信された制御パラメータを含むパラメータ変更情報を受信し、この受信したパラメータ変更情報のうちの制御パラメータを車両制御装置に配信する受信制御装置を備え、受信制御装置は、パラメータ配信サーバから配信されたパラメータ変更情報を一時保存するパラメータ変更情報保存手段と、このパラメータ変更情報保存手段によって保存されたパラメータ変更情報に含まれるパラメータ配信ルールに基づいて、当該制御パラメータの変更を車両制御装置に通知するパラメータ変更通知手段と、このパラメータ変更通知手段によって変更が通知された制御パラメータを車両制御装置に配信するパラメータ配信手段とを有し、車両制御装置は、当該車両制御装置の制御状態に基づき、受信制御装置から配信された制御パラメータの更新可否を判定する更新可否判定手段と、この更新可否判定手段により更新可と判定された制御パラメータを制御に適用するパラメータ適用手段とを有するものである。

この発明によれば、車両に搭載され、制御パラメータに基づき、車両の制御を行う車両制御装置、および車両に搭載され、パラメータ配信サーバから配信された制御パラメータを含むパラメータ変更情報を受信し、この受信したパラメータ変更情報のうちの制御パラメータを車両制御装置に配信する受信制御装置を備え、受信制御装置は、パラメータ配信サーバから配信されたパラメータ変更情報を一時保存するパラメータ変更情報保存手段と、このパラメータ変更情報保存手段によって保存されたパラメータ変更情報に含まれるパラメータ配信ルールに基づいて、当該制御パラメータの変更を車両制御装置に通知するパラメータ変更通知手段と、このパラメータ変更通知手段によって変更が通知された制御パラメータを車両制御装置に配信するパラメータ配信手段とを有し、車両制御装置は、当該車両制御装置の制御状態に基づき、受信制御装置から配信された制御パラメータの更新可否を判定する更新可否判定手段と、この更新可否判定手段により更新可と判定された制御パラメータを制御に適用するパラメータ適用手段とを有するので、制御パラメータの更新可否の判定を車両制御装置が行うため、受信制御装置の機能安全基準を引き下げることができる。

この発明の実施の形態１によるパラメータ変更システムを示す構成図である。 この発明の実施の形態１による車両制御装置を示す構成図である。 この発明の実施の形態１によるパラメータ変更システムのパラメータ変更情報を示す図である。 この発明の実施の形態１によるパラメータ変更システムのパラメータテーブルを示す図である。 この発明の実施の形態１によるパラメータ変更システムのパラメータ変更情報を受信する動作を示すフローチャートである。 この発明の実施の形態１によるパラメータ変更システムのパラメータ変更通知の送信判定をする動作を示すフローチャートである。 この発明の実施の形態１によるパラメータ変更システムの差分形式のパラメータメッセージを示す図である。 この発明の実施の形態１によるパラメータ変更システムの差分形式のパラメータメッセージを用いる場合の車両制御装置を示す構成図である。 この発明の実施の形態１によるパラメータ変更システムの単一の車両制御装置のパラメータを更新する際の動作を示す説明図である。 この発明の実施の形態２による車両制御装置を示す構成図である。 この発明の実施の形態２によるパラメータ変更システムの複数の車両制御装置のパラメータを更新する際の動作を示す説明図である。

実施の形態１．
以下、本発明が対象とする典型的な車両制御システムの構成を図１を用いて説明する。
図１は、この発明の実施の形態１によるパラメータ変更システムを示す構成図である。
図１において、車両制御システムは、パラメータを配信するパラメータ配信サーバ１０と、その配信経路であるインターネット２０と、パラメータを受信する車両３０とを備えている。
パラメータ配信サーバ１０は、車両３０に対して、所定のパラメータを配信する。典型的にはクラウドネットワーク上のデータセンタに存在するが、自動車メーカが独自に構成したり、販売店ごとに構成したり、自動車メーカとは関係がない第三者が構成することを妨げるものではない。
配信経路として用いるインターネット２０は、例示として示しているものであり、専用無線ネットワーク、ＶＰＮ（仮想プライベートネットワーク）等の利用を妨げるものではない。

車両３０は、次の装置を有している。
モデム装置４０は、パラメータ配信サーバ１０がインターネット２０を経由して配信するパラメータ変更情報８０（図３参照）を受信する装置である。ここで、物理的な配信手段は限定しないが、たとえばＬＴＥ網、３Ｇ網、Ｗｉ−Ｆｉスポット網等が利用できる。
受信制御装置５０は、モデム装置４０が受信したパラメータ変更情報８０から、適用すべきパラメータ８０４（図４参照）を抽出し、各車両制御装置６０に配信するための装置である。
車両制御装置６０は、エンジン制御装置６０ａや、ステアリング制御装置６０ｂ、ブレーキ制御装置６０ｃ等、車内の各所に配置された車両を制御するための装置である。本発明はそれぞれの制御装置固有の機能性には影響なく利用可能であるので、今後、これらを一括して車両制御装置６０として扱う。
車内ネットワーク７０は、車両内にあり、各種制御装置を相互に接続するネットワークである。物理的な手段は限定しないが、たとえばＣＡＮ（Ｃｏｎｔｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）や車載イーサネット（登録商標）等が利用できる。

次に、受信制御装置５０は、次のように構成されている。
パラメータ変更情報受信手段５０１は、モデム装置４０が受信したパラメータ変更情報８０を一時的にパラメータ変更情報保存手段５０２に記録する。
パラメータ変更情報保存手段５０２は、パラメータ変更情報８０を一時的に保存する。
パラメータ変更通知手段５０３は、パラメータ変更情報８０に記載されたルールに従って、パラメータ８０４が変更されるべきであることを車両制御装置６０に通知する。
パラメータ配信手段５０４は、パラメータ変更情報８０から適用すべきパラメータ８０４を抽出し、この抽出したパラメータ８０４を車両制御装置６０に送信する。

図２は、この発明の実施の形態１による車両制御装置を示す構成図である。
図２において、車両制御装置６０は、次の各手段を有している。
更新可否判定手段６０１は、現在、車両制御装置６０のパラメータが変更可能かどうかを判断する。
パラメータ適用手段６０２は、受信したパラメータ８０４を各種アクチュエータに適用する手段である。この適用は、アクチュエータの動作タイミング等の変更を通じてなされるが、もちろんそれに限定されるものではない。
パラメータ保存手段６０３は、受信したパラメータ８０４を一時的に車両制御装置６０内に保存する手段である。

次に、パラメータ変更情報８０の構成について、図３を用いて説明する。
図３は、この発明の実施の形態１によるパラメータ変更システムのパラメータ変更情報を示す図である。
図３において、パラメータ変更情報８０は、パラメータ配信ルール８０１、パラメータテーブル８０２および削除ルール８０３を有する。
パラメータ配信ルール８０１は、パラメータテーブル８０２上のどのパラメータをどのタイミングで車両制御装置６０に配信するかを決定するための規則である。
パラメータテーブル８０２は、一旦、パラメータ変更情報保存手段５０２に保存されて、パラメータ配信ルール８０１によって指定可能なパラメータ８０４を一つ以上含んでいるテーブルであり、テーブル中のパラメータ８０４は、パラメータ配信ルール８０１の指定により、車両制御装置６０に送信される。
削除ルール８０３は、パラメータ変更情報８０をパラメータ変更情報保存手段５０２からいつ削除するかを決定するための規則である。

図４は、この発明の実施の形態１によるパラメータ変更システムのパラメータテーブルを示す図である。
図４において、パラメータ８０４は、車両制御装置６０が制御するアクチュエータやセンサ等を制御するためのパラメータである。例としては、スパークプラグの点火タイミング、ヘッドライトの光量、ステアリングの“重さ”などを決定づけるパラメータであるが、これらに限定されるものではない。
たとえば図４に示すパラメータテーブル８０２には、「山道」「高速道路」「一般道」と名前が付けられたパラメータ８０４ａ〜８０４ｃが記載されている。パラメータ８０４は、車両制御装置６０の制御を変更するパラメータであれば、単一の数値であっても複数の数値の組み合わせであってもよい。図４に例として示したパラメータテーブル８０２では、４種類のエンジン回転数に対してそれぞれ適用するパラメータが記載されている。

図７は、この発明の実施の形態１によるパラメータ変更システムの差分形式のパラメータメッセージを示す図である。
図７（ａ）は適用すべきパラメータを示す図、図７（ｂ）は車両制御装置内のパラメータを示す図、図７（ｃ）は送信する差分形式のパラメータメッセージを示す図である。
図７（ａ）と図７（ｂ）との違いは、パラメータ番号２のパラメータ値であり、図７（ｃ）では、この違いをパラメータ差分＋１としている。図７（ｃ）のパラメータ・ダイジェストとは、差分形式のメッセージを生成する際に前提としたパラメータのメッセージダイジェストを記載したものである。このメッセージダイジェストは、パラメータの検証に用いられる。メッセージダイジェストの計算方法には、たとえばＳＨＡ−２５６（Ｓｅｃｕｒｅ Ｈａｓｈ Ａｌｇｏｒｉｔｈｍ）などのハッシュ関数を用いる方法がある。

図８は、この発明の実施の形態１によるパラメータ変更システムの差分形式のパラメータメッセージを用いる場合の車両制御装置を示す構成図である。
図８において、６０、６０１〜６０３は図２におけるものと同一のものである。図８では、車両制御装置６０に差分検証手段６０４を設け、この差分検証手段６０４は、パラメータメッセージが差分形式の場合に、パラメータ８０４を適用する前に、妥当なパラメータメッセージかどうかを検証する。

次に、受信制御装置５０が、パラメータ８０４を車両制御装置６０に配信するまでの動作について説明する。
ステップ１：パラメータ変更情報の受信
まず、図５を用いて、受信制御装置５０がパラメータ変更情報を受信する動作を説明する。
受信制御装置５０は、パラメータ配信サーバ１０から、パラメータ変更情報８０を受信する（Ｓ１０１）。
パラメータ変更情報８０は、動的に生成されてもよいし、どのようなタイミングで受信制御装置５０に送られてもよい。
動的に生成する場合には、あらかじめ受信制御装置５０から、ＶＩＮ（車両識別番号）、ＧＰＳ等により取得される現在位置、現在の車速、現在の制御状態、現在の乗車人員、および車両制御装置６０による要求情報等を周期的に、あるいは随時、パラメータ配信サーバ１０に送信しておく。パラメータ配信サーバ１０は、これらの送信された情報に基づき、パラメータ変更情報８０を動的に生成し、受信制御装置５０に送信する。
配信するタイミングも、どのようなタイミングで有ってもよい。たとえば、７日ごとなど、定期的に配信するようにしてもよいし、あるいは送信された情報に基づき、最適なタイミングで送るようにしてもよい。
受信制御装置５０は、受信したパラメータ変更情報８０を、一旦、パラメータ変更情報保存手段５０２に蓄積しておく（Ｓ１０２）。

ステップ２：パラメータ変更通知の送信判定
次に、図６を用いて、受信制御装置５０がパラメータ変更通知の送信を判定する動作について説明する。
パラメータ変更通知手段５０３は、定期的に、パラメータ変更情報保存手段５０２に蓄積されたパラメータ変更情報８０が、パラメータ配信ルール８０１を満たしているかどうかを判定する（Ｓ２０１）。
パラメータ配信ルール８０１には、たとえば以下のようなものを記載することが考えられるが、これに限定されるものではない。すなわち、たとえば「無条件」「車両状態が特定の条件を満たしたら」「車両制御装置から要求時」が記載される。

パラメータ変更情報８０のパラメータ配信ルール８０１で、「無条件」が指定（記載）されている場合には、受信制御装置５０が、パラメータ変更情報８０を受信して直ぐ、パラメータ配信手段５０４により、車両制御装置６０にパラメータ８０４を配信する。
「車両状態が特定の条件を満たしたら」が指定された場合には、受信制御装置５０は、定期的に車両状態（車内ネットワークで取得可能な、走行速度やブレーキ状態等の情報を含む）を判断し、条件を満たしていたらパラメータ８０４を配信する。
「車両制御装置から要求時」が指定された場合には、車両制御装置６０から特定のメッセージが受信制御装置５０に送信されたときにパラメータ８０４を配信する。このルールは、特に、以前になされたパラメータの変更を無効化したい場合に有効である。
Ｓ２０１で、パラメータ８０４を配信すべきと判定されたときは、パラメータ配信手段５０４により、車両制御装置６０にパラメータ８０４の配信を行う（Ｓ２０２）。

パラメータ変更通知手段５０３は、定期的に、パラメータ変更情報保存手段５０２に蓄積されたパラメータ変更情報８０が、削除ルール８０３を満たしているかどうかを判定する（Ｓ２０３）。
Ｓ２０３で、パラメータ変更情報８０を削除すべきと判定されたときには、パラメータ変更情報保存手段５０２からパラメータ変更情報８０の削除を行う（Ｓ２０４）。

ステップ３：パラメータ変更通知の送信およびパラメータの適用
次に、図９を用いて、単一の車両制御装置６０のパラメータを更新する際の動作について説明する。
受信制御装置５０のパラメータ変更通知手段５０３が、パラメータ変更を通知すべきと判断した場合には、通知メッセージｍ１０１を車両制御装置６０に配信する（Ｓ３０１）。
車両制御装置６０は、パラメータがその時点で変更可能かどうか、更新可否判定手段６０１を用いて判定を行い、適用可能な場合には、要求メッセージｍ１０２を受信制御装置５０に送信する（Ｓ３０２）。
受信制御装置５０は、要求メッセージｍ１０２を受信すると、パラメータメッセージｍ１０３を車両制御装置６０に配信する（Ｓ３０３）。
車両制御装置６０は、パラメータメッセージｍ１０３を受信すると、パラメータ保存手段６０３に一時的にパラメータ８０４を格納し、パラメータ適用手段６０２により、パラメータ８０４を使って各種アクチュエータの制御を行う（Ｓ３０４）。

なお、Ｓ３０１で、通知メッセージｍ１０１とパラメータメッセージｍ１０３を同時に送信してもよい。この場合には、Ｓ３０２において、パラメータが変更可能であると判定されなかった場合には、単にパラメータメッセージｍ１０３を破棄してもよい。この場合は、Ｓ３０３とＳ３０４の動作は省略できる。
また、Ｓ３０４において、パラメータメッセージｍ１０３は、図７に示すような差分形式であってもよく、この場合は、Ｓ３０４において、パラメータを適用する前に、差分検証手段６０４によって妥当なパラメータメッセージｍ１０３かどうかを検証する。

図７（ｃ）に示すパラメータメッセージに含まれるパラメータ・ダイジェストとは、差分形式のメッセージを生成する際に前提としたパラメータのメッセージダイジェストを記載したものであり、メッセージダイジェストの計算方法には、たとえばＳＨＡ−２５６などのハッシュ関数を用いる方法がある。
差分形式のメッセージが前提としているパラメータ（例えば、前回送信したときのパラメータで、車両制御装置内のパラメータとみなし得る。）と、実際に車両制御装置６０に含まれているパラメータが相違する場合、そのまま差分メッセージを適用すると危険な状況に陥ってしまう可能性がある。差分形式のメッセージに記載されたパラメータ・ダイジェストと、実際に車両制御装置６０に含まれているパラメータから計算したメッセージダイジェストを比較することにより、誤って差分メッセージを適用してしまう危険性を減じることができる。

実施の形態１によれば、実際にパラメータ８０４を適用するかどうかは、車両制御装置６０の判断によるため、受信制御装置５０の機能安全基準を引き下げることができる。
また、パラメータ配信ルール８０１を受信制御装置５０で判断することにより、安全には直接影響しない諸条件を車両制御装置６０側で判断する必要がなくなる。
また、パラメータを差分形式で配信することにより、パラメータの全部が車内ネットワークを流れることがなくなり、自動車メーカの知的財産権保護に貢献することができる。

実施の形態２．
図１０は、この発明の実施の形態２による車両制御装置を示す構成図である。
図１０において、６０、６０１〜６０４は図８におけるものと同一のものである。図１０では、車両制御装置６０に同期メッセージ送受信手段６０５を設けている。同期メッセージ送受信手段６０５は、複数の車両制御装置のパラメータを同期して変更させる場合に、後述する同期メッセージｍ２０６、ｍ２０７、ｍ２０８、ｍ２０９を送受信する。

実施の形態２では、受信制御装置５０が、異なる車両制御装置６１と車両制御装置６２に対して、パラメータメッセージを送信する。この車両制御装置６１、６２の構成は、車両制御装置６０と同じでよい。

実施の形態２の動作については、ステップ１、ステップ２の動作は実施の形態１に準じているので、ステップ３の動作から説明する。
ステップ３’：パラメータ変更通知の送信およびパラメータの適用
図１１を用いて、複数の車両制御装置６１、６２のパラメータを同期させて更新する際の動作について説明する。
パラメータ変更通知手段５０３が、パラメータ変更を通知すべきと判断した場合には、通知メッセージｍ２０１を車両制御装置６１と車両制御装置６２とに配信する（Ｓ４０１）。
車両制御装置６１は、更新可否判定手段６０１を用いて、当該パラメータがその時点で変更可能かどうかの判定を行い、適用可能で有る場合には、要求メッセージｍ２０２を受信制御装置５０に送信する（Ｓ４０２）。
車両制御装置６２は、更新可否判定手段６０１を用いて、当該パラメータがその時点で変更可能かどうかの判定を行い、適用可能で有る場合には、要求メッセージｍ２０３を受信制御装置５０に送信する（Ｓ４０３）。
受信制御装置５０は、要求メッセージｍ２０２、ｍ２０３を受信すると、パラメータメッセージｍ２０４を、車両制御装置６１と車両制御装置６２に配信する（Ｓ４０４）。

車両制御装置６１は、パラメータメッセージｍ２０４を受信すると、パラメータ保存手段６０３に一時的にパラメータを格納して、同期メッセージ送受信手段６０５を用い、同期メッセージｍ２０６を車両制御装置６２に送信する（Ｓ４０５）。
この同期メッセージｍ２０６には、パラメータメッセージｍ２０４から計算されたメッセージダイジェストが記載されている。
同様に、車両制御装置６２は、パラメータメッセージｍ２０４を受信すると、パラメータ保存手段６０３に一時的にパラメータを格納して、同期メッセージ送受信手段６０５を用い、同期メッセージｍ２０７を車両制御装置６１に送信する（Ｓ４０６）。
同期メッセージｍ２０７にも同様に、パラメータメッセージｍ２０４から計算されたメッセージダイジェストが記載されている。

車両制御装置６１の同期メッセージ送受信手段６０５は、同期メッセージｍ２０７を受信すると、そのメッセージに記載されるメッセージダイジェストに妥当性があるかどうかを判断し、妥当であったとき、さらに、同期メッセージｍ２０８を車両制御装置６２に送信する（Ｓ４０７）。このメッセージにも、パラメータメッセージｍ２０４から計算されたメッセージダイジェストが記載されている。
車両制御装置６２の同期メッセージ送受信手段６０５は、同期メッセージｍ２０６を受信すると、そのメッセージに記載されるメッセージダイジェストに妥当性があるか判断し、妥当であったとき、さらに、同期メッセージｍ２０９を車両制御装置６１に送信する（Ｓ４０８）。このメッセージにも、パラメータメッセージｍ２０４から計算されたメッセージダイジェストが記載されている。

Ｓ４０５からＳ４０８までを、規定の回数繰り返す（Ｓ４０９）。
ここで、規定の回数は、各車両制御装置６１、６２に期待される機能安全基準の高さによる。繰り返せば繰り返すほど、相互に矛盾がないことを保証できる。
Ｓ４０９で、規定の回数繰り返したあと、車両制御装置６１では送信した同期メッセージｍ２０６、ｍ２０８の数と、受信した同期メッセージｍ２０７、ｍ２０９の数が一致したときに、パラメータ適用手段６０２により、パラメータを使って各種アクチュエータの制御を行う（Ｓ４１０）。
車両制御装置６２も同様であるが、同期メッセージｍ２０６、ｍ２０８と同期メッセージｍ２０７、ｍ２０９の関係が逆になる（Ｓ４１１）。

実施の形態２によれば、パラメータを適用される複数の車両制御装置で、互いの車両制御装置が、パラメータを適用してもよいと判断したこと、およびパラメータを正しく受信したことを確認できるので、パラメータ適用を矛盾なく実行することができる。
また、複数の車両制御装置が、実際にパラメータ８０４を適用するかどうかは、車両制御装置６０相互の判断によるため、受信制御装置５０が判断する必要がない。したがって、受信制御装置５０の機能安全基準を引き下げることができる。

なお、上述の実施の形態２では、受信制御装置が２つの車両制御装置に対してパラメータメッセージを送信する場合についての説明を行ったが、３つまたはそれ以上の車両制御装置に対して同時にパラメータを適用する場合にも、本発明を利用可能である。
この場合は、すべての他の車両制御装置に同期メッセージを送り、すべての他の車両制御装置から同期メッセージの返信があった場合に、次の同期メッセージを送信することになる。

なお、本発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。

１０ パラメータ配信サーバ、２０ インターネット、３０ 車両、４０ モデム装置、
５０ 受信制御装置、６０ 車両制御装置、６１ 車両制御装置、６２ 車両制御装置、
７０ 車内ネットワーク、８０ パラメータ変更情報、
５０１ パラメータ変更情報受信手段、５０２ パラメータ変更情報保存手段、
５０３ パラメータ変更通知手段、５０４ パラメータ配信手段、
６０１ 更新可否判定手段、６０２ パラメータ適用手段、
６０３ パラメータ保存手段、６０４ 差分検証手段、
６０５ 同期メッセージ送受信手段、
８０１ パラメータ配信ルール、８０２ パラメータテーブル、８０３ 削除ルール、８０４ パラメータ

Claims (13)

1. 車両に搭載され、制御パラメータに基づき、上記車両の制御を行う車両制御装置、
   および上記車両に搭載され、パラメータ配信サーバから配信された制御パラメータを含むパラメータ変更情報を受信し、この受信した上記パラメータ変更情報のうちの制御パラメータを上記車両制御装置に配信する受信制御装置を備え、
   上記受信制御装置は、
   上記パラメータ配信サーバから配信されたパラメータ変更情報を一時保存するパラメータ変更情報保存手段と、
   このパラメータ変更情報保存手段によって保存された上記パラメータ変更情報に含まれるパラメータ配信ルールに基づいて、当該制御パラメータの変更を上記車両制御装置に通知するパラメータ変更通知手段と、
   このパラメータ変更通知手段によって変更が通知された制御パラメータを上記車両制御装置に配信するパラメータ配信手段とを有し、
   上記車両制御装置は、
   当該車両制御装置の制御状態に基づき、上記受信制御装置から配信された制御パラメータの更新可否を判定する更新可否判定手段と、
   この更新可否判定手段により更新可と判定された上記制御パラメータを上記制御に適用するパラメータ適用手段とを有することを特徴とする車両制御システム。
2. 上記更新可否判定手段は、上記パラメータ変更通知手段による上記制御パラメータの変更が通知された場合に当該制御パラメータの更新可否を判定し、更新可の場合に上記受信制御装置に当該制御パラメータの送信を要求し、上記パラメータ配信手段は、この要求を受けて当該制御パラメータを配信することを特徴とする請求項１記載の車両制御システム。
3. 上記パラメータ配信手段は、上記パラメータ変更通知手段による上記制御パラメータの変更の通知と同期して、上記制御パラメータを上記車両制御装置に配信することを特徴とする請求項１記載の車両制御システム。
4. 上記パラメータ配信手段は、上記配信する制御パラメータとして、当該制御パラメータと前回配信した制御パラメータとの差分を上記車両制御装置に配信し、
   上記車両制御装置は、上記受信制御装置から配信される制御パラメータとして、当該制御パラメータと前回配信された制御パラメータとの差分が配信された場合に、当該車両制御装置の制御パラメータに基づいて、上記差分による制御パラメータの検証を行う差分検証手段を有することを特徴とする請求項１から請求項３のいずれか一項記載の車両制御システム。
5. 上記車両には、複数台の上記車両制御装置が搭載され、
   上記各車両制御装置は、
   上記受信制御装置から配信される制御パラメータを受信した場合に、この制御パラメータから生成されたチェック用のメッセージダイジェストを含む同期メッセージを生成して、他の車両制御装置に送信するとともに、上記他の車両制御装置から受信した同期メッセージに含まれる上記メッセージダイジェストを検証する同期メッセージ送受信手段を有することを特徴とする請求項１から請求項４のいずれか一項記載の車両制御システム。
6. 上記各車両制御装置は、上記同期メッセージ送受信手段による上記メッセージダイジェストの検証を行うつど、上記受信制御装置から配信された制御パラメータから新たに生成された上記メッセージダイジェストを含む上記同期メッセージを再送信するとともに、送受信した同期メッセージの数が所定数に達し、かつ送信した同期メッセージの数と受信した同期メッセージの数が同じである場合に、上記パラメータ適用手段により当該制御パラメータを上記制御に適用することを特徴とする請求項５記載の車両制御システム。
7. 車両に搭載され、車両制御装置の制御パラメータの更新を制御する受信制御装置であって、
   パラメータ配信サーバから配信された制御パラメータを含むパラメータ変更情報を一時保存するパラメータ変更情報保存手段、
   このパラメータ変更情報保存手段によって保存された上記パラメータ変更情報に含まれるパラメータ配信ルールに基づいて、当該制御パラメータの変更を上記車両制御装置に通知するパラメータ変更通知手段、
   およびこのパラメータ変更通知手段によって変更が通知された制御パラメータを上記車両制御装置に配信するパラメータ配信手段を備え、
   上記パラメータ配信ルールは、上記制御パラメータを配信するタイミングを規定していることを特徴とする受信制御装置。
8. 上記パラメータ配信手段は、上記パラメータ変更通知手段による上記制御パラメータの変更が通知され、これに対する上記車両制御装置からの当該制御パラメータの配信要求を待って、上記制御パラメータを上記車両制御装置に配信することを特徴とする請求項７記載の受信制御装置。
9. 上記パラメータ配信手段は、上記パラメータ変更通知手段による上記制御パラメータの変更の通知と同期して、上記制御パラメータを上記車両制御装置に配信することを特徴とする請求項７記載の受信制御装置。
10. 車両に搭載され、制御パラメータに基づき、上記車両の制御を行う車両制御装置であって、
    上記車両制御装置の制御状態に基づき、パラメータ配信サーバから受信制御装置経由で配信された制御パラメータの更新可否を判定する更新可否判定手段、
    およびこの更新可否判定手段により更新可と判定された上記制御パラメータを上記制御に適用するパラメータ適用手段を備えたことを特徴とする車両制御装置。
11. 上記受信制御装置から配信される制御パラメータとして、当該制御パラメータと前回配信された制御パラメータとの差分が配信された場合に、上記車両制御装置の制御パラメータに基づいて、上記差分による制御パラメータの検証を行う差分検証手段を備えたことを特徴とする請求項１０記載の車両制御装置。
12. 上記受信制御装置から配信される制御パラメータは、上記前回配信された制御パラメータから生成されたチェック用のメッセージダイジェストを含み、
    上記差分検証手段は、上記メッセージダイジェストと、上記車両制御装置の制御パラメータから生成したメッセージダイジェストとを比較することにより、上記差分による制御パラメータの検証を行うことを特徴とする請求項１１記載の車両制御装置。
13. 上記受信制御装置から配信される制御パラメータを受信した場合に、この制御パラメータから生成されたチェック用のメッセージダイジェストを含む同期メッセージを生成して、他の車両制御装置に送信するとともに、上記他の車両制御装置から受信した同期メッセージに含まれる上記メッセージダイジェストを検証する同期メッセージ送受信手段を備えたことを特徴とする請求項１０から請求項１２のいずれか一項記載の車両制御装置。

Images