WO2020203022A1 - 自動車用演算システム及び受信データの処理方法 - Google Patents

自動車用演算システム及び受信データの処理方法 Download PDF

Info

Publication number
WO2020203022A1
WO2020203022A1 PCT/JP2020/009464 JP2020009464W WO2020203022A1 WO 2020203022 A1 WO2020203022 A1 WO 2020203022A1 JP 2020009464 W JP2020009464 W JP 2020009464W WO 2020203022 A1 WO2020203022 A1 WO 2020203022A1
Authority
WO
WIPO (PCT)
Prior art keywords
unit
vehicle
communication device
automobile
arithmetic
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2020/009464
Other languages
English (en)
French (fr)
Inventor
大介 堀籠
真介 坂下
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mazda Motor Corp
Original Assignee
Mazda Motor Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Mazda Motor Corp filed Critical Mazda Motor Corp
Priority to EP20782172.9A priority Critical patent/EP3937431A4/en
Priority to CN202080025170.9A priority patent/CN113678408A/zh
Priority to US17/598,892 priority patent/US20220153299A1/en
Publication of WO2020203022A1 publication Critical patent/WO2020203022A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W60/00—Drive control systems specially adapted for autonomous road vehicles
    • B60W60/001—Planning or execution of driving tasks
    • B60W60/0011—Planning or execution of driving tasks involving control alternatives for a single driving scenario, e.g. planning several paths to avoid obstacles
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W60/00—Drive control systems specially adapted for autonomous road vehicles
    • B60W60/001—Planning or execution of driving tasks
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06V—IMAGE OR VIDEO RECOGNITION OR UNDERSTANDING
    • G06V20/00—Scenes; Scene-specific elements
    • G06V20/50—Context or environment of the image
    • G06V20/56—Context or environment of the image exterior to a vehicle by using sensors mounted on the vehicle
    • G06V20/58—Recognition of moving objects or obstacles, e.g. vehicles or pedestrians; Recognition of traffic objects, e.g. traffic signs, traffic lights or roads
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/12—Arrangements for remote connection or disconnection of substations or of equipment thereof
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H04W12/122—Counter-measures against attacks; Protection against rogue devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/46—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for vehicle-to-vehicle communication [V2V]
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2420/00—Indexing codes relating to the type of sensors based on the principle of their operation
    • B60W2420/40—Photo, light or radio wave sensitive means, e.g. infrared sensors
    • B60W2420/403—Image sensing, e.g. optical camera
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2540/00—Input parameters relating to occupants
    • B60W2540/043—Identity of occupants
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2540/00—Input parameters relating to occupants
    • B60W2540/045—Occupant permissions
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2554/00—Input parameters relating to objects
    • B60W2554/40—Dynamic objects, e.g. animals, windblown objects
    • B60W2554/404—Characteristics
    • B60W2554/4049—Relationship among other objects, e.g. converging dynamic objects

Definitions

  • the technology disclosed here relates to, for example, an automobile arithmetic system and a processing method of received data.
  • Patent Document 1 when an incident is detected in any of a plurality of networks separated for each function in the vehicle, the network to be blocked is determined based on the location of the incident and the control state of the vehicle. , The technology to block is disclosed.
  • the communication control unit receives the vehicle ECU information packet transmitted and received between the devices, and the information included in the vehicle ECU information packet is the vehicle ECU information as the vehicle ECU information in chronological order. Store in DB. Then, for example, when an abnormal communication pattern occurs, the incident detection processing unit compares the incident determination information received from the center server with the CAN ID included in the vehicle ECU information packet acquired from the vehicle ECU information DB. When these match, it is determined that an incident has occurred and the control unit is notified, and the control unit is configured to block unauthorized communication.
  • Patent Document 1 is configured to identify the location where the incident occurred and disconnect the communication based on the specific location when the incident occurs, so that unauthorized access is detected. May be delayed.
  • the technology disclosed here has been made in view of these points, and its purpose is to improve security while suppressing the calculation load in an automobile calculation system having a calculation function for automatic driving. To raise it.
  • the technology disclosed here receives an output from an out-of-vehicle information acquisition device installed in an automobile to acquire information on the out-of-vehicle environment for an automobile arithmetic system mounted on the automobile. , Generate a route to avoid obstacles on the road, determine the target motion of the vehicle when traveling along the route, and set the control signal to realize the target motion, driving force and braking force.
  • a preset reference that is provided between the arithmetic device that outputs to the actuator that generates the steering angle and the steering angle, the external network, and the external communication device, and is accessed from the external communication device via the network. It is configured to include a security gateway device that determines the validity of the access based on the above and determines whether or not to allow the access of the communication device.
  • the security gateway device includes a decoding unit that decodes a received signal received via the network, and an authentication unit that determines the validity of the access and determines whether or not to allow access to the communication device.
  • the configuration is such that the signal received from the communication device whose access is permitted by the authentication unit and decrypted by the decryption unit is encrypted and output to the arithmetic unit. You may.
  • the access from the external communication device includes, for example, a so-called access request in which the external communication device requests the arithmetic unit of this embodiment to read or write in-vehicle information, and the arithmetic unit of this embodiment.
  • the arithmetic unit is configured to directly receive the output from the external information acquisition device, while the security gateway device is used for access from the external network.
  • the security gateway device it is possible to prevent the processing of the arithmetic unit from being affected by the access status from the external communication device, etc., and prevent the arithmetic unit from being overloaded. Can be done.
  • the access route from the external communication device is collected in the input to the security gateway device, the security gateway device executes processing such as authentication, and the signal of only the communication device recognized as genuine flows to the arithmetic device side. I have to.
  • This makes it possible to more reliably prevent unauthorized access to, for example, an arithmetic unit having important functions such as generating a driving force, a braking force, and a steering angle.
  • the security gateway device sends an activation signal for activating the arithmetic unit when the arithmetic unit is in a hibernation state or a stopped state when the access of the communication device is legitimate. It may be output.
  • the arithmetic unit can be put into a hibernation state or a stop state and put on standby.
  • the vehicle exterior information acquisition device includes a camera
  • the security gateway device accesses the communication device based on a collation result between the captured image of the camera and the communication device that has accessed. You may decide the legitimacy.
  • the validity of the access from the communication device photographed by the camera is determined, so that the security can be improved and the load on the security gateway device can be reduced.
  • the output from the outside information acquisition device that acquires the information of the outside environment is received, and the obstacle is on the road.
  • a calculation device for generating a route for avoiding the above-mentioned route and determining a target motion of the vehicle when traveling along the route, and a security gateway device provided between an external network and the calculation device are provided.
  • the communication device is specified based on the preset criteria, and the authentication process is executed after the match is confirmed in the verification process. Therefore, the security can be improved and the security can be improved.
  • the load on the gateway device can be reduced.
  • the received data processing method that processes the received data that the automobile receives from the external network, it receives the output from the outside information acquisition device that acquires the information of the outside environment and avoids obstacles on the road.
  • An external network is provided with a computing device that generates a route and determines the target motion of the vehicle when traveling along the route, and a security gateway device provided between the external network and the computing device.
  • the security gateway device is accessed from a plurality of communication target devices that are different from each other via the communication target device, the specific step of identifying the communication target device and the specific step of specifying each of the communication target devices are specified.
  • the surrounding conditions change from moment to moment, and it is expected that the communication partner also changes from moment to moment, especially in vehicle-to-vehicle communication. Therefore, as in the above aspect, by setting a priority for the specified communication target device and performing the authentication process in that priority, it is possible to establish communication in order from the communication partner having the highest importance. Become. For example, if the importance of communication with the communication partner changes according to the distance to the own vehicle, the speed of approaching or leaving, etc., the communication destination having a higher influence on the own vehicle Communication can be established in order from the beginning, and safety and convenience can be improved.
  • the specific step includes a fraudulent device identification step of identifying a device that illegally accesses based on a preset standard from the communication devices, and is specified by the fraudulent device identification step.
  • the device may be excluded from the target of giving the priority.
  • FIG. 1 shows the configuration of an automobile calculation system SY (hereinafter, also simply referred to as a calculation system SY) according to the present embodiment.
  • the arithmetic system SY is, for example, an arithmetic system mounted on a four-wheeled automobile 1.
  • the automobile 1 is an automobile capable of manual driving in which the driver operates in response to an accelerator or the like, assisted driving in which the driver assists the driver's operation, and automatic driving in which the vehicle travels without the driver's operation. is there.
  • the vehicle 1 of the present embodiment may be referred to as the own vehicle 1 in order to distinguish it from other vehicles.
  • the arithmetic system SY receives the output from the external information acquisition device M1 to generate a route on the road to avoid obstacles, and determines the target motion of the vehicle 1 when traveling along the route. It is configured. Further, the arithmetic system SY is configured to output a control signal for realizing the determined target motion to the actuator 7 that generates a driving force, a braking force, and a steering angle.
  • the present embodiment is characterized in that the determination of the target motion and the output of the control signal for realizing the target motion are realized by the arithmetic unit having one unit configuration.
  • the arithmetic unit 6 having a one-unit configuration is, for example, a microprocessor composed of one or a plurality of chips, and has a CPU, a memory, and the like.
  • Memory stores modules, which are software that can be executed by a processor.
  • the functions of each part of the arithmetic unit 6 are realized by the processor executing each module stored in the memory. Further, the data of the model used in the arithmetic unit 6 may be stored in the memory. It should be noted that a plurality of processors and a plurality of memories may be provided. Further, the functions of each part of the arithmetic unit 6 may be realized by a hardware circuit.
  • the vehicle exterior information acquisition device M1 is composed of a sensor or the like that outputs information on the vehicle exterior environment of the vehicle 1 to the arithmetic system SY.
  • a sensor or the like that outputs information on the vehicle exterior environment of the vehicle 1 to the arithmetic system SY.
  • a plurality of cameras 50 provided on the body or the like of the vehicle 1 and photographing the vehicle exterior environment.
  • a plurality of radars 51 provided on the body of the automobile 1 and detecting an object outside the vehicle, (3) a vehicle speed sensor for detecting the absolute speed of the automobile 1, and (4) an accelerator of the automobile 1.
  • An accelerator opening sensor that detects the amount of pedal depression
  • (5) a steering angle sensor that detects the rotation angle (steering angle) of the steering wheel of automobile 1, and (6) detects the amount of depression of the brake pedal of automobile 1.
  • a brake sensor and a position sensor that detects the position (vehicle position information) of the automobile 1 by using (7) Global Positioning System (GPS).
  • GPS Global Positioning System
  • a camera 50 and a radar 51 are illustrated as an outside information acquisition device M1, and other configurations (vehicle speed sensor, accelerator opening sensor, steering angle sensor, brake sensor, position sensor) are collectively shown. It is described as "outside vehicle information acquisition device”.
  • Each camera 50 is arranged so that, for example, the periphery of the automobile 1 can be photographed 360 ° in the horizontal direction.
  • Each camera 50 captures an optical image showing the environment outside the vehicle and generates image data.
  • Each camera 50 outputs the generated image data to the arithmetic unit 6.
  • FIG. 3A which will be described later, for convenience of explanation, cameras 50 are provided at the four corners of the automobile 1, and the cameras at the front right, the front left, the rear right, and the rear left are in the order of description, 501, 502, and 503, respectively. It will be described with reference to 504. Further, although not shown, it is assumed that the radar 51 is installed at a position corresponding to each camera. However, the number and location of the cameras 50 are not limited to the arrangement shown in FIG. 3A.
  • each radar 51 is arranged so that the detection range extends 360 ° horizontally around the automobile 1.
  • the type of radar 51 is not particularly limited, and for example, a millimeter wave radar or an infrared radar can be adopted. Although not shown in FIG. 3A, the radar 51 is provided at a position corresponding to each camera, for example.
  • the arithmetic system SY receives the output from the in-vehicle information acquisition device M2 in addition to the output from the in-vehicle information acquisition device M1 and generates a route based on the output from the in-vehicle information acquisition device M1 and the in-vehicle information acquisition device M2. , May be configured to determine the target movement.
  • the in-vehicle information acquisition device M2 is composed of a sensor or the like that outputs information on the in-vehicle environment of the automobile 1 to the arithmetic system SY.
  • a sensor or the like that outputs information on the in-vehicle environment of the automobile 1 to the arithmetic system SY.
  • it is provided on the in-vehicle mirror or dashboard of the automobile 1 and the driver's facial expression and posture.
  • the actuator 7 is configured to operate under the control of the arithmetic system SY, and includes, for example, an engine 71, a brake 72, a steering wheel 73, and a transmission 74. Further, the actuator 7 also includes a so-called body type actuator 75 such as an airbag or a power window (described as “body type” in FIG. 1).
  • the term "actuator” refers to various actuators that generate driving force, braking force, and steering angle, such as the engine 71, brake 72, steering 73, and transmission 74, without distinguishing between the actuators. There are cases where at least one of them is indicated, and cases where the above actuators are used as a generic term. Although specific illustration is omitted, the actuator 7 may include an ECU in each of the actuators 7 and is configured to operate under the control of the automatic operation function unit 60 described later without including the ECU. It may have been done.
  • the engine 71 is a power drive source and includes an internal combustion engine (gasoline engine, diesel engine).
  • the calculation system SY outputs an engine output change signal to the engine 71 when it is necessary to accelerate or decelerate the automobile 1.
  • the engine 71 is controlled by the amount of operation of the accelerator pedal of the driver during manual driving, but during assisted driving or automatic driving, a target motion signal indicating a target motion output from the calculation system SY (hereinafter, simply target motion). It is controlled based on (called a signal).
  • a generator that generates electricity from the output of the engine 71 is connected to the rotating shaft of the engine 71.
  • the engine 71 is an example of an actuator that generates a driving force.
  • the brake 72 is an electric brake for braking force here.
  • the calculation system SY outputs a brake request signal to the brake 72 when it is necessary to decelerate the automobile 1.
  • the brake 72 operates a brake actuator (not shown) based on the brake request signal to decelerate the automobile 1.
  • the brake 72 is controlled by the amount of operation of the brake pedal of the driver during manual driving, but is controlled based on the target motion signal output from the calculation system SY during assisted driving or automatic driving.
  • the brake 72 is an example of an actuator that generates braking force.
  • the steering 73 is EPS (Electric Power Steering) here.
  • the calculation system SY outputs a steering direction change signal to the steering 73 when it is necessary to change the traveling direction of the automobile 1.
  • the steering wheel 73 is controlled by the amount of operation of the driver's steering wheel (so-called steering wheel) during manual driving, but is controlled based on the target motion signal output from the calculation system SY during assisted driving or automatic driving. ..
  • the steering 73 is an example of an actuator that generates a steering angle.
  • Transmission 74 is a stepped transmission.
  • the arithmetic unit 6 outputs a gear stage change signal to the transmission 74 according to the driving force to be output.
  • the transmission 74 is controlled by the operation of the shift lever of the driver, the operation amount of the accelerator pedal of the driver, etc. during manual operation, but is based on the target motion calculated by the arithmetic unit 6 during assist operation or automatic operation. Be controlled.
  • the calculation system SY outputs a control signal based on the output of the accelerator opening sensor or the like to the engine 71 or the like during manual operation.
  • the calculation system SY sets a traveling route of the automobile 1 during assisted driving or automatic driving, and outputs a control signal to the engine 71 or the like so that the automobile 1 travels on the traveling route.
  • the arithmetic system SY includes a telematics unit 2, a V2X communication unit 3, a security gateway device 4, and an arithmetic device 6.
  • the arithmetic unit 6 and the security gateway device 4 are functionally separated and physically separated from each other.
  • the arithmetic unit 6 and the security gateway device 4 are realized by semiconductor chips, it is preferable that they are configured by separate chips and the power supply line is realized by a separate system.
  • the telematics unit 2 includes an RF unit 21 and a demodulation unit 22.
  • the RF unit 21 processes an RF signal received from an external network 90 (for example, a mobile communication network such as a 4G line) via an in-vehicle antenna (not shown).
  • the demodulation unit 22 demodulates the RF signal received by the RF unit 21 and outputs it to the security gateway device 4.
  • the V2X communication unit 3 includes an RF unit 31 and a demodulation unit 32.
  • the RF unit 31 processes an RF signal received from an external communication device, for example, a communication unit mounted on a vehicle 8 traveling around (not shown) via an in-vehicle antenna (not shown).
  • the demodulation unit 32 demodulates the RF signal received by the RF unit 31 and outputs it to the security gateway device 4.
  • the external network 90 is formed of a mobile communication network outside the vehicle, a communication network such as the Internet, and a device equipped with a communication unit, which are configured to enable mutual communication with the own vehicle 1. It shall be used as a concept that broadly includes the communication environment and configuration.
  • the Internet to which an information processing device such as a server 91 and a terminal device 92 such as a mobile phone are connected is exemplified.
  • the terminal device 92 and the telematics unit 2 owned by the passengers and maintenance personnel of the automobile 1 and brought into the vehicle from outside the vehicle are Bluetooth (registered trademark), Wi-Fi (registered trademark), etc. Includes a configuration that communicates directly with each other.
  • V2X communication unit 3 directly or indirectly communicates information with a vehicle traveling around the vehicle, or when so-called vehicle-to-vehicle communication is performed, it is external. It is included in communication via the network 90 of the above.
  • devices including automobiles equipped with a communication unit that requests access to the arithmetic unit 6 may be collectively referred to simply as an external communication device.
  • the circuit configurations of the RF units 21 and 31 and the demodulation units 22 and 32, respectively, can adopt a conventional general circuit. Here, the description thereof will be omitted. Further, in the telematics unit 2 and the V2X communication unit 3, both units 20 and 30 may be integrated into one communication unit, and a common circuit configuration in the communication unit may be put together.
  • the security gateway device 4 includes an authentication unit 41 that receives outputs from the demodulation units 22 and 32 of the telematics unit 2 and the V2X communication unit 3, a decryption unit 42, and an encryption unit 43.
  • the present embodiment is characterized in that access from an external communication device is aggregated in the security gateway device 4, and is input to the arithmetic unit 6 after being authenticated by the security gateway device 4.
  • the authentication unit 41 determines the validity of the access from the external communication device based on a preset standard. , Determine whether to allow access to the arithmetic unit 6.
  • the "preset standard” is not particularly limited as long as it is a standard that can judge the legitimacy of access, but for example, it is external based on a public key cryptosystem with a digital signature of a certificate authority. The validity of the communication device can be judged.
  • list information such as a white list and a black list that the company owns in advance or receives via the network 90 may be used.
  • the authentication unit 41 outputs a received signal from an external communication device whose validity has been authenticated by the authentication unit 41 to the decoding unit 42.
  • the decryption unit 42 decodes the data received from the authentication unit 41.
  • the decoding unit 42 decodes the received data from the external communication device whose validity is recognized by the authentication unit 41. For example, when encrypted data based on the public key cryptosystem as described above is received, the decryption process is executed. Further, at the time of decoding, falsification detection using a hash operation may be performed.
  • the authentication unit 41 and the decryption unit 42 may perform processing in cooperation with each other, and the order of processing may change or the content of processing to be performed by each may change depending on the type and attributes of the received data. There is.
  • the data authenticated by the authentication unit 41 and decrypted by the decryption unit 42 is encrypted by the encryption unit 43 and output to the arithmetic unit 6. That is, the security gateway device 4 and the arithmetic unit 6 are connected by encrypted communication.
  • the encryption unit 43 may be omitted, and the data authenticated by the authentication unit 41 and decrypted by the decryption unit 42 may be transmitted from the security gateway device 4 to the arithmetic unit 6 as it is.
  • the encryption method used for the encryption unit 43 is not particularly limited, and can be used properly according to the required security level. Further, as the circuit configuration corresponding to the selected encryption method, conventionally known ones can be used according to each encryption method, and therefore detailed description thereof will be omitted here.
  • the encryption level used by the encryption unit 43 may be changed according to the importance of the data to be transmitted. For example, the security level of encryption may be increased for personal information and information that will not be used within the last fixed period of time. On the other hand, when it is detected that the arithmetic unit 6 operates in the thermal degeneracy mode or the load tends to increase, the security level may be lowered to reduce the load of decoding. Further, from the viewpoint of improving security, an encryption method different from the encryption method used in the external network 90 may be used.
  • authentication may be required between the security gateway device 4 and the arithmetic unit 6. By doing so, security can be ensured even if the security gateway device 4 is configured to be replaceable.
  • the arithmetic unit 6 includes an automatic operation function unit 60, a decryption unit 61 that decrypts the output of the encryption unit 43 and outputs the output to the automatic operation function unit 60, and an authentication unit 62.
  • the decryption unit 61 may be configured so as to be able to decrypt the signal encrypted by the encryption unit 43, and a conventionally known configuration can be used.
  • the automatic driving function unit 60 determines the target motion of the automobile 1 based on the output from the vehicle exterior information acquisition device M1 in the case of assisted driving or automatic driving, and operates the actuator 7 along the target motion. Outputs the control signal of.
  • the configuration of the automatic operation function unit 60 will be described with an example in "Example of introduction to an actual system" described later, and detailed description thereof will be omitted here.
  • the authentication unit 62 has a function of determining the validity of access from the above-mentioned authenticated device in cooperation with the authentication unit 41 of the security gateway device 4. The specific operation will be described in "2. Operation of the arithmetic system" below.
  • the method of processing received data described below is realized by the cooperative operation of the security gateway device 4 (particularly, the authentication unit 41) and the arithmetic unit 6 (particularly, the authentication unit 62), and the subject thereof is There is no particular limitation as to which is the case. That is, in the following operation description, for convenience of explanation, a device described so that processing is performed on either one of the security gateway device 4 and the arithmetic unit 6 may be executed by the device on the other side. , The processing may be shared by both devices. Further, the processing by the "authentication unit 41 of the security gateway device 4" will be described simply as the processing of the "security gateway device 4". The same applies to the authentication unit 62 of the arithmetic unit 6.
  • Received data processing method 1- The processing method 1 of the received data received from the external network 90 will be described with reference to the flowchart of FIG. Here, it is assumed that there is an access request from the external network 90 from (1) vehicle A having legitimate access authority and (2) unauthorized vehicle B such as spoofing.
  • step S101 of FIG. 2 when the security gateway device 4 receives an access request from an external communication device via the external network 90, the security gateway device 4 executes the specific process.
  • the identification process for identifying the automobile A is executed.
  • information such as a vehicle type and a manufacturer name is transmitted as information based on a standard, and the security gateway device 4 identifies the vehicle A based on the information.
  • FIG. 3A as a result of the identification process of the automobile A, it is assumed that the access request from the automobile 81 traveling on the left front of the own vehicle 1 is specified.
  • the arithmetic unit 6 receives the image pickup information taken by the camera 50 and the received radio wave information of the radar 51, and certifies the object outside the vehicle (step S102). For example, the arithmetic unit 6 certifies what kind of vehicle 8 is running at which position around the own vehicle 1.
  • the certified object such as the automobile 8 is managed by a list as shown in FIG. 3B, and is registered in a database or the like owned by the arithmetic unit 6.
  • the automobile A is registered as the automobile 81 in the database, while the automobile B is not registered in the database.
  • step S103 in the arithmetic unit 6 or the security gateway device 4, it is verified whether or not the automobile A specified by the security gateway device 4 is included in the automobile certified by the certification process in step S102. Since the vehicle A is registered in the database, it is confirmed that the vehicle A (vehicle 81) is running around the own vehicle 1, and it is determined that the verification is OK.
  • step S104 the security gateway device 4 performs an authentication process based on the received data sent from the automobile A. Then, if the authentication is OK, the security gateway device 4 sends a notification indicating that the authentication is OK to the vehicle A, and data communication between the vehicle A and the arithmetic unit 1 is established.
  • step S111 of FIG. 2 when the security gateway device 4 receives an access request from the automobile B via the external network 90, the security gateway device 4 executes the identification process of the automobile B as in the case of the automobile A.
  • step S113 it is verified whether or not the automobile B is included in the automobile certified by the certification process in step S102, similarly to the automobile A. Since the automobile B is not registered in the database, it is determined that the verification is NG.
  • the security gateway device 4 sends a notification of authentication NG to the automobile B without executing the authentication process, and the process ends.
  • the external communication device here, the automobile
  • the access request has been requested is collated based on the information acquired by the external information acquisition device M1.
  • security can be enhanced.
  • the authentication process is executed after the verification process for the access request is completed and the verification is OK. That is, when the verification is NG, the authentication process is not executed. As a result, unnecessary processing can be eliminated and the calculation load can be suppressed. For example, if several cars are running around your vehicle and you receive a saturation attack that makes it look like many cars are running, only the cars around your vehicle will be authenticated. Can be done.
  • FIG. 3 the processes related to the automobiles 81 and 83 are extracted and described. Further, it is assumed that the automobile 82 is an automobile having no communication function.
  • step S201 of FIG. 4 when the security gateway device 4 receives an access request from an external communication device via the external network 90, the security gateway device 4 is specified to identify the external communication device as in step S101 described above. Execute the process. Here, it is assumed that the automobiles 81, 83 to 85 shown in FIG. 3B are specified.
  • the arithmetic unit 6 receives the image information taken by the camera 50 and the received radio wave information of the radar 51 and certifies the object outside the vehicle as in step S102 (step S202).
  • step S202 it is assumed that automobiles 81 to 85 are certified.
  • the arithmetic unit 6 receives the information of the automobiles 81, 83 to 85 from the security gateway device 4 as a result of the specific processing of step S201, associates them with the information of the automobiles 81 to 85 certified by the arithmetic unit 6, and makes them. Are collected and registered in the database, etc.
  • the ID information indicating the manufacturer name, vehicle type, etc. is included in the information received by the security gateway device 4 from each vehicle 81, 83 to 85, for example.
  • the vehicle speed, acceleration / deceleration status, and position (direction) of each vehicle are information certified by the arithmetic unit 6 based on the information acquired by the camera 50 and the radar 51.
  • priority area is information indicating whether or not the vehicle exists within a preset range (hereinafter referred to as "priority area”) from the own vehicle 1. Whether or not it exists in the priority region can also be determined based on the acquired information of the camera 50 and the radar 51.
  • the ID information received by the security gateway device 4 is compared with the certification information in the arithmetic unit 6 based on the acquired information of the camera 50 and the radar 51. Therefore, those having a common component are linked to each other.
  • the arithmetic unit 6 sets the priority of the automobiles 81 to 85 based on the preset criteria. For example, when there are access requests from a plurality of automobiles, the priority is set higher than that for which communication should be established relatively quickly. Specifically, for example, as a preset standard, the closer to the own vehicle 1, the higher the priority is set based on the own vehicle 1 and the distance. Further, for example, a predetermined range from the own vehicle 1 may be set as a priority area, and the vehicle in the priority area may be prioritized. Specifically, for example, as shown in FIG. 4, when there is an access request from the automobiles 81 and 83, the automobile 83 in the priority area is given priority.
  • the priority is set based on the distance to the own vehicle 1, the acceleration / deceleration situation, the direction, and the like. , And so on, it may be set based on the comprehensive judgment of a plurality of parameters.
  • the priority information set in the arithmetic unit 6 is sent to the security gateway device 4, and the security gateway device 4 executes the authentication process according to the priority.
  • step S204 the authentication process of the automobile 83 is executed, and communication is established between the automobile 83 and the arithmetic unit 6.
  • step S205 the authentication process of the automobile 81 is executed in step S205, and communication is established between the automobile 81 and the arithmetic unit 6.
  • the priority of the external communication device (here, the automobile) that has been accessed is set based on the information acquired by the external information acquisition device M1 and is set to the priority.
  • the authentication process is executed based on this. As a result, even when there is simultaneous access from a plurality of external communication devices, communication can be established in order from a more appropriate external communication device.
  • the priority is significantly lowered or processing is performed so as to exclude the priority from being given. May be good. By doing so, unauthorized access can be eliminated and security can be improved.
  • an automobile is described as an example of an external communication device, but the external communication device is not limited to the automobile.
  • the external communication device may be another vehicle such as a two-wheeled vehicle, or may be a roadside device installed on a road or the like. In this case as well, the reception process can be performed as in the case of the automobile.
  • the data sent from the external communication device includes, for example, map information and software update information.
  • the data received from the external communication device is used for updating the internal software or for generating the route of the own vehicle 1.
  • the arithmetic unit 6 that receives the output from the external information acquisition device M1 installed in the automobile generates a route on the road to avoid obstacles. Then, the target motion of the automobile 1 when traveling along the route is determined, and the control signal for realizing the target motion is output to the actuator 7 that generates the driving force, the braking force, and the steering angle. It is configured in.
  • the arithmetic unit 6 is configured to directly receive the output from the external information acquisition device M1, while the security gateway device 4 is used for access from the external network 90. ..
  • the security gateway device 4 By interposing the security gateway device 4 in this way, it is possible to prevent the processing of the arithmetic unit 6 from being affected by the access status from the external communication device or the like. For example, when access is received from a large number of external communication devices, the load on the processing increases, but the authentication processing or the like is performed via the security gateway device 4, which imposes an excessive load on the arithmetic unit 6. You can prevent that. Further, since the output from the external information acquisition device M1 is directly given to the arithmetic unit 6, even a relatively large amount of data can be transmitted without delay.
  • the access route from the external communication device is collected in the input to the security gate 4, the security gate 4 executes processing such as authentication, and the signal of only the external communication device recognized as genuine flows to the arithmetic unit 6. I am trying to do it.
  • unauthorized access to the arithmetic unit 6 having an important function of generating a driving force, a braking force, and a steering angle can be prevented more reliably.
  • the external communication device and the arithmetic unit 6 can be used. You can avoid situations where you communicate directly, prevent delays in finding fraud, and significantly reduce the risk of hijacking.
  • the security gateway device 4 activates the arithmetic unit 6 when the arithmetic unit 6 is in the hibernation state or the stopped state when the access from the out-of-vehicle communication device received via the external network is legitimate. It may be configured to output the activation signal of.
  • This start signal is sent to, for example, a power supply circuit (not shown) that manages the power supply of the main calculation unit 610, the safety function unit 630, or the backup safety function unit 650, and the power supply circuit receives the start signal. It may be configured to return to the trigger.
  • FIGS. 5A and 5B An example of introduction to an actual system will be described with reference to FIGS. 5A and 5B. In the following description, FIGS. 5A and 5B will be collectively referred to as FIG.
  • the automobile arithmetic system SY (hereinafter, simply referred to as the arithmetic system SY) according to the present disclosure is functionally configured to (1) recognize the vehicle exterior environment and the vehicle interior environment (including the driver's condition) (1)
  • a configuration for determining various states / situations based on the cognitive result in the cognitive block B1 and (2) the cognitive block B1 and determining the operation of the automobile 1 (hereinafter, the judgment block).
  • B2 A configuration for generating signals, data, etc. specifically transmitted to actuators based on the determination in the judgment system block B2 (hereinafter, also referred to as an operation system block B3). It is divided into.
  • the cognitive system block B1, the judgment system block B2, and the operation system block B3 are integrated into one unit and realized.
  • the arithmetic system SY includes a processor and a memory.
  • Memory stores modules, which are software that can be executed by a processor.
  • the functions of the cognitive system block B1, the judgment system block B2, and the operation system block B3 shown in FIG. 5 are realized by the processor executing each module stored in the memory.
  • the memory stores model data used in each module. It should be noted that a plurality of processors and a plurality of memories may be provided.
  • the calculation system SY includes (1) a main calculation unit 610 composed of a cognitive system block B1, a judgment system block B2, and an operation system block B3 for realizing automatic operation during normal operation, and (2).
  • Abnormalities such as the safety function unit 630 having a function of complementing the cognitive system block B1 and the judgment system block B2 of the main calculation unit 610, and (3) the functions of the main calculation unit 610 and the safety function unit 630 are lost.
  • the cognitive system block B1 and the judgment system block B2 of the main calculation unit 610 execute processing using various models constructed by deep learning using a neural network.
  • the cognitive system block B1 and the judgment system block B2 of the main calculation unit 610 execute processing using various models constructed by deep learning using a neural network.
  • Certification of the external environment and calculation of routes using deep learning are still in the developing state, and it is said that they will remain at the level of ASIL-B.
  • the ASIL information of each block is described as reference information, but the present invention is not limited to this, and each block may have a functional safety level different from that of FIG. ..
  • the safety function unit 630 recognizes an object outside the vehicle (referred to as an object in the present disclosure) based on (1) a method of certifying a target or the like conventionally used in an automobile or the like, (2). ) It is configured to set a safe area where the vehicle can safely pass by the method conventionally adopted for automobiles, etc., and set a route that passes through the safe area as a traveling route that the automobile should pass. ing. By performing such so-called rule-based determination and processing, a functional safety level equivalent to ASIL-D can be realized.
  • the main calculation unit 610 and the safety function unit 630 are the same based on the same input information (including the information acquired by the outside information acquisition device M1 and the in-vehicle information acquisition device M2). It is characterized in that the target processing (for example, route generation) is performed in parallel. As a result, it is possible to monitor that the deviation processing is derived from the main calculation unit 610, and if necessary, the judgment and processing by the safety function unit 630 can be adopted, or the main calculation unit 610 can be recalculated. It is possible to make it.
  • the main calculation unit 610 and the safety function unit 630 may combine both functions (hereinafter, the combination of both functions is also referred to as a vehicle control function) and may be configured by one or a plurality of chips. However, the main calculation unit 610 and the safety function unit 630 may each be composed of independent chips.
  • a backup safety function unit 650 (corresponding to the backup calculation device 30) is provided so as to deal with a situation in which both the main calculation unit 610 and the safety function unit 630 fail.
  • the backup safety function unit 650 has a function of generating a route based on rules based on information outside the vehicle and executing vehicle control until the vehicle is stopped at a safe position, which is different from the main calculation unit 610 and the safety function unit 630. It was prepared as. Therefore, it is preferable that the main calculation unit 610 and the safety function unit 630 are configured by separate devices (chips).
  • the calculation system SY is provided with the data acquired by each of the vehicle exterior information acquisition device M1 for acquiring the vehicle exterior environment information and the vehicle interior information acquisition device M2 for acquiring the vehicle interior environment information as input signals. Further, as an input signal to the arithmetic system SY, information from a system or service connected to an external network (for example, the Internet or the like) may be input via the security gateway device 4.
  • an external network for example, the Internet or the like
  • Examples of the vehicle exterior information acquisition device M1 include (1) a plurality of cameras 50, (2) a plurality of radars 51, (3) mechanical sensors 520 such as a vehicle speed sensor 52, (4) an accelerator opening sensor 53, and a steering angle sensor 54. , Driver input unit 530 such as brake sensor 55, (5) position sensor 56 including a positioning system such as GPS, and the like are exemplified.
  • Examples of the in-vehicle information acquisition device M2 include an in-vehicle camera 58, an in-vehicle sensor 59, and the like.
  • the in-vehicle sensor 59 includes, for example, a sensor that detects a driver's operation on various operation objects such as an accelerator pedal, a brake pedal, a steering wheel, and various switches. In FIG. 5, the in-vehicle information acquisition device M2 is not shown.
  • Main calculation unit- Here, a configuration example of the main calculation unit 610 and a route generation using deep learning by the main calculation unit 610 will be described.
  • the main calculation unit 610 has an object recognition unit 611 that recognizes an object (object) outside the vehicle based on the input of the camera 50 and / or the radar 51.
  • the object recognition unit 611 has a function of recognizing an object outside the vehicle based on an external image (including an image) captured by the camera 50 and a peak list of reflected waves using the radar 51.
  • the main calculation unit 610 has a function of determining what the recognized object is by using deep learning.
  • a conventionally known object recognition technique based on an image or a radio wave can be applied to the object recognition unit 611.
  • the result recognized by the object recognition unit 611 is sent to the map generation unit 612.
  • the map generation unit 612 divides the periphery of the own vehicle into a plurality of regions (for example, front, left-right direction, and rear), and performs map creation processing for each region.
  • the map creation process the object information recognized by the camera 50 and the object information recognized by the radar 51 are integrated and reflected in the map for each area.
  • the map generated by the map generation unit 612 and a part of the data input from the security gateway 4 and decoded by the decoding unit 61 are image recognition using deep learning in the vehicle exterior environment estimation unit 613. It is used to estimate the outside environment by processing. Specifically, the vehicle exterior environment estimation unit 613 creates a 3D map representing the vehicle exterior environment by image recognition processing based on the environment model 614 constructed by using deep learning.
  • a multi-layer neural network DNN: Deep Neural Network
  • a multi-layer neural network for example, there is a CNN (Convolutional Neural Network).
  • the vehicle exterior environment estimation unit 613 (1) maps for each area are combined to generate an integrated map showing the surroundings of the own vehicle 1, and (2) for moving objects in the integrated map. , The displacement of the distance, direction, and relative velocity with the own vehicle 1 is predicted, and (3) the result is incorporated into the vehicle exterior environment model 614. Further, the vehicle exterior environment estimation unit 613 combines (4) high-precision map information captured from inside or outside the vehicle, position information, vehicle speed information, and 6-axis information acquired by GPS or the like to display the own vehicle 1 on the integrated map. The position is estimated, (5) the above-mentioned route cost is calculated, and (6) the result is incorporated into the vehicle exterior environment model 614 together with the motion information of the own vehicle 1 acquired by various sensors.
  • the vehicle exterior environment estimation unit 613 updates the vehicle exterior environment model 614 from time to time, and is used for route generation by the route generation unit 621.
  • the processing results of the object recognition unit 611, the map generation unit 612, and the vehicle exterior environment estimation unit 613 and the vehicle exterior environment model 614 are used for processing by the authentication unit 41 of the security gateway device 4 described above. That is, the object recognition unit 611, the map generation unit 612, the vehicle exterior environment estimation unit 613, or the vehicle exterior environment model 614 include the function as the authentication unit 62.
  • the safety function unit 630 may have a function as the authentication unit 62.
  • a signal of a positioning system such as GPS and data for car navigation transmitted from an external network, for example, are input via the security gateway device 4, decoded by the decoding unit 61, and sent to the route search unit 622.
  • the route search unit 622 searches for a wide area route of the vehicle by using a signal of a positioning system such as GPS and data for navigation, for example, transmitted from an external network.
  • the route generation unit 621 generates a traveling route of the vehicle based on the external environment model 614 and the output of the route search unit 622.
  • Safety function part- Here, the configuration of the safety function unit 630 and the rule-based route generation by the safety function unit 630 will be described.
  • the safety function unit 630 has an object recognition unit 631 that recognizes an object (object) outside the vehicle based on the input of the camera 50 and / or the radar 51, which is the same as the main calculation unit 610.
  • the safety function unit 630 recognizes an object outside the vehicle by the same method as that of the main calculation unit 610, and then determines what the object is recognized by the conventionally known rule-based method without using deep learning. I try to distinguish. For example, it discriminates what the recognized object is through a conventionally known discriminator that achieves a functional safety level equivalent to ASIL-D.
  • the results recognized by the object recognition unit 631 are classified into moving objects and stationary objects.
  • it is executed in the circuit block described as “moving object / resting object classification” with the reference numeral 632.
  • (1) the surroundings of the own vehicle are divided into a plurality of areas (for example, forward, left-right direction, rear), and (2) the object information recognized by the camera 50 and the radar in each area.
  • the object information recognized in 51 is integrated, and (3) classification information of conductors and stationary objects for each region is generated.
  • the classification results for each area are integrated, and (5) the classification information of the conductors and stationary objects around the own vehicle is managed on, for example, a grid map as shown in FIG. ..
  • the distance, direction, and relative speed to the own vehicle are predicted, and the results are incorporated as attached information to the moving object, and (7) high accuracy captured from inside or outside the vehicle.
  • the position of the own vehicle with respect to a moving object or a stationary object is estimated by combining map information, position information, vehicle speed information, and 6-axis information acquired by GPS or the like.
  • the safety function unit 630 detects the vehicle state based on the vehicle speed information and the 6-axis information, and uses it for route generation as attached information of the own vehicle 1.
  • the safety function unit 630 generates a route based on the position of the own vehicle with respect to the moving object / rest object estimated here and the search result of the safety area.
  • the routes generated by the main calculation unit 610 and the safety function unit 630 are sent to the target movement determination unit 710, and the optimum target movement is determined according to the comparison result of both routes. For example, as described in the above-described embodiment, when the route generated by the main calculation unit 610 deviates from the safety area searched by the safety function unit 630, the route generated by the safety function unit 630 is adopted. To.
  • the target motion determination unit 623 determines the target motion of the automobile 1 by receiving the outputs from the main calculation unit 610 and the second calculation units 110 and 120.
  • the vehicle kinetic energy operation unit 624 and the energy management unit 625 calculate the control amount of the actuator 7 so as to be the most energy efficient in achieving the target motion determined by the target motion determination unit 623.
  • the energy management unit determines the opening / closing timing and injector of the intake / exhaust valve (not shown) so as to improve the fuel efficiency most in achieving the engine torque determined by the target motion determination unit 623. Calculate the fuel injection timing, etc. (not shown).
  • the backup safety function unit 650 is provided with a configuration necessary for enabling the movement operation to the minimum safe stop position and the stop operation based on the rule.
  • the general configuration can realize the safety function unit 630 with the same function.
  • the backup safety function unit 650 classifies moving objects and stationary objects based on the result recognized by the object recognition unit 631. In FIG. 5, it is executed in the circuit block described as “moving object / resting object classification” with the reference numeral 653. As shown in FIG. 5, the object recognition unit 631 may be the same as the safety function unit 630, or may be individually provided in the backup safety function unit 650. Further, the backup safety function unit 650 includes a vehicle condition measurement unit 651 that measures the vehicle condition and a driver operation recognition unit 652 that grasps the operation state of the driver. The vehicle condition measurement unit 651 acquires the vehicle condition based on the vehicle speed information and the 6-axis information in order to use it for route generation as the accessory information of the own vehicle 1. Although the other functions are provided independently of the main calculation unit 610 and the safety function unit 630, the actual functions are the same as those described so far, and detailed explanations thereof will be given here. Omit.
  • the technology disclosed here is useful as an automobile arithmetic system mounted on an automobile.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Automation & Control Theory (AREA)
  • Mechanical Engineering (AREA)
  • Transportation (AREA)
  • Human Computer Interaction (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Multimedia (AREA)
  • Software Systems (AREA)
  • Small-Scale Networks (AREA)
  • Traffic Control Systems (AREA)
  • Control Of Driving Devices And Active Controlling Of Vehicle (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

自動車用演算システム（ＳＹ）は、自動車に据え付けられて車外環境の情報を取得する車外情報取得装置（Ｍ１）からの出力を基に生成した経路に沿って走行する際の自動車（１）の目標運動を決定し、当該目標運動を実現するための制御信号をアクチュエータ（７）に出力する演算装置（６）と、外部のネットワーク（９０）と演算装置（６）との間に設けられ、ネットワーク（９０）を介して外部の通信装置からのアクセスに対し、予め設定された基準に基づいて当該アクセスの正当性を判断し、通信装置のアクセスを許可するか否かを決定するセキュリティゲートウェイ装置（４）とを備える。

Description

自動車用演算システム及び受信データの処理方法
　ここに開示する技術は、例えば、自動車用演算システム及び受信データの処理方法に関する。
　近年、車車間通信で得られた情報や、外部サーバ等とのネットワーク通信を介して得られた情報等を用いた安全運転支援技術や自動運転技術の導入が進められている。このような車外との通信では、様々な通信方式の機器や装置に対して接続されるとともに、送受信される情報の種類も多岐にわたっている。これらの情報には、個人情報や運転制御にかかわる重要な情報が含まれる場合があり、サイバー攻撃等の不正なアクセスを防ぐ必要がある。さらに、自動車に入出力される情報量（特に、入力情報量）が、これから飛躍的に増加していくことが予想されている。そこで、これらの通信において、機密性、完全性、可用性に優れていることが望まれる。
　特許文献１には、車内で機能毎に分離された複数のネットワークのいずれかでインシデントが検知された場合に、インシデントの発生箇所及び車両の制御状態に基づいて、遮断対象とするネットワークを判断し、遮断する技術が開示されている。
　具体的に、特許文献１の技術において、通信制御部は、各装置間で送受信される車両ＥＣＵ情報パケットを受信し、車両ＥＣＵ情報パケットに含まれる情報が時系列順に車両ＥＣＵ情報として車両ＥＣＵ情報ＤＢに格納する。そして、例えば、異常な通信パターンが発生した場合、インシデント検知処理部が、センタサーバから受信したインシデント判定情報と、車両ＥＣＵ情報ＤＢから取得した車両ＥＣＵ情報パケットに含まれるＣＡＮ  ＩＤとを比較し、これらが一致した場合にインシデントが発生したと判断して制御部に通知し、制御部が、不正な通信を遮断するように構成されている。
特開２０１８－１３３７２１号公報
　しかしながら、特許文献１の技術では、インシデントが発生した場合に、そのインシデントが発生した箇所を特定し、その特定場所に基づく通信を切断するように構成されているので、不正なアクセスを検出するのが遅れる恐れがある。
　ここに開示された技術は、斯かる点に鑑みてなされたものであり、その目的とするところは、自動走行用の演算機能を有する自動車用演算システムにおいて、演算負荷を抑えつつ、セキュリティ性を高めることにある。
　前記課題を解決するために、ここに開示された技術では、自動車に搭載される自動車用演算システムを対象として、自動車に据え付けられて車外環境の情報を取得する車外情報取得装置からの出力を受け、道路上であって障害物を回避する経路を生成し、当該経路に沿って走行する際の自動車の目標運動を決定し、当該目標運動を実現するための制御信号を、駆動力と制動力と操舵角とを生成するアクチュエータに出力する演算装置と、外部のネットワークと前記演算装置との間に設けられ、当該ネットワークを介して外部の通信装置からアクセスされた場合に、予め設定された基準に基づいて当該アクセスの正当性を判断し、前記通信装置のアクセスを許可するか否かを決定するセキュリティゲートウェイ装置とを備えるという構成とした。
　例えば、前記セキュリティゲートウェイ装置は、前記ネットワークを介して受信された受信信号を復号する復号部と、前記アクセスの正当性を判断し、前記通信装置のアクセスを許可するか否かを決定する認証部と、前記認証部によりアクセスが許可された通信装置から受信され、かつ、前記復号部で復号された信号を、暗号化して前記演算装置に出力する暗号化部とを備えている、という構成にしてもよい。
　ここで、外部の通信装置からのアクセスには、例えば、外部の通信装置が本態様の演算装置に対して、車内情報の読み出しや書き込みの要求をする、いわゆるアクセス要求と、本態様の演算装置が外部の通信装置（外部の管理サーバーを含む）に対して情報等を要求し、外部の通信装置から本態様の演算装置に情報を返送するためのアクセスとを含む概念である。
　この構成によると、演算装置は、車外情報取得装置からの出力は、直接受けるように構成されているのに対して、外部のネットワークからのアクセスについてはセキュリティゲートウェイ装置を通すようにしている。このように、セキュリティゲートウェイ装置を介在させることにより、外部の通信装置からのアクセス状況等により、演算装置の処理が影響されないようにすることができ、演算装置に過度の負担がかかることを防ぐことができる。
　また、外部の通信装置からのアクセス経路をセキュリティゲートウェイ装置への入力にまとめて、セキュリティゲートウェイ装置で認証等の処理を実行し、真正と認められた通信装置のみの信号が演算装置側に流れるようにしている。これにより、例えば、駆動力、制動力、操舵角を生成するような重要な機能を有する演算装置に対して、不正アクセスをより確実に防ぐことができる。
　前記自動車用演算システムにおいて、前記セキュリティゲートウェイ装置は、前記通信装置のアクセスが正当であった場合において、前記演算装置が休止状態または停止状態のときに、前記演算装置を起動させるための起動信号を出力する、としてもよい。
　これにより、外部の通信装置からのアクセスがない場合に、演算装置を休止状態または停止状態にして待機させることができるようになる。
　前記自動車用演算システムにおいて、前記車外情報取得装置は、カメラを含み、前記セキュリティゲートウェイ装置は、前記カメラの撮影画像と前記アクセスしてきた前記通信装置との照合結果を基に当該通信装置のアクセスの正当性を判断する、ようにしてもよい。
　これにより、カメラに撮影された通信装置からのアクセスの正当性を判断するので、セキュリティ性を向上させることができるとともに、セキュリティゲートウェイ装置の負荷を軽減することができる。
　また、自動車が外部のネットワークから受けた受信データを処理する方法を対象として、受信データ処理方法として、車外環境の情報を取得する車外情報取得装置からの出力を受け、道路上であって障害物を回避する経路を生成し、当該経路に沿って走行する際の自動車の目標運動を決定する演算装置と、外部のネットワークと前記演算装置との間に設けられたセキュリティゲートウェイ装置とを備え、前記車外情報取得装置からの出力を基に、車外の対象物を認識する認識工程と、外部の通信装置から外部のネットワークを介して前記セキュリティゲートウェイ装置にアクセスを受けた場合に、予め設定された基準を基に前記通信装置を特定する特定工程と、前記特定工程で特定された通信装置と前記認識工程で認識された対象物とを照合する照合工程と、前記照合工程で一致が確認された通信装置からのアクセスに対し認証処理を実行する認証工程と、前記認証工程で認証された前記通信装置から受信したデータを前記セキュリティゲートウェイ装置で復号して前記演算装置に出力する復号工程とを含む、としてもよい。
　このように、予め設定された基準を基に通信装置を特定し、照合工程で一致が確認された後に、認証処理を実行するようにしているので、セキュリティ性を向上させることができるとともに、セキュリティゲートウェイ装置の負荷を軽減することができる。
　さらに、自動車が外部のネットワークから受けた受信データを処理する受信データ処理方法を対象として、車外環境の情報を取得する車外情報取得装置からの出力を受け、道路上であって障害物を回避する経路を生成し、当該経路に沿って走行する際の自動車の目標運動を決定する演算装置と、外部のネットワークと前記演算装置との間に設けられたセキュリティゲートウェイ装置とを備え、外部のネットワークを介して互いに異なる複数の通信対象装置から前記セキュリティゲートウェイ装置に対して前記主演算装置へのアクセスがあった場合に、それぞれの前記通信対象装置を特定する特定工程と、前記特定工程で特定された通信対象装置の優先順位を予め設定された基準に基づいて設定する設定工程と、前記設定工程で設定された優先順位にしたがって前記複数の通信装置の認証処理を実行する認証工程と、前記認証工程で認証された前記通信装置から受信したデータを前記セキュリティゲートウェイ装置で復号して前記演算装置に出力する復号工程とを含む、としてもよい。
　例えば、自動車が走行している場合には、周囲の状況は刻々と変化し、特に、車車間通信では、通信相手も刻々と変化することが想定される。そこで、上記態様のように、特定された通信対象装置に優先順位を設定して、その優先順位で認証処理を行うことにより、重要度の高い通信相手から順に通信を確立させることができるようになる。例えば、自車両との距離、接近又は離れていくスピード等の状況に応じて、その通信相手との通信の重要度が変わるようにしておけば、自車両に対してより影響度の高い通信先から順に通信を確立させることができるようになり、安全性、利便性を高めることができる。
　前記受信データ処理方法において、前記特定工程は、前記通信装置の中から、予め設定された基準を基に不正なアクセスをする装置を特定する不正装置特定工程を含み、前記不正装置特定工程で特定された装置を、前記優先順位の付与対象から除外する、としてもよい。
　これにより、不要な認証処理を防ぐことができ、負荷を軽減することができる。
　以上説明したように、ここに開示された技術によると、自動走行用の演算機能を有する自動車用演算システムにおいて、演算負荷を抑えつつ、セキュリティ性を高めることができる。
実施形態に係る自動車用演算システムの機能構成を示すブロック図である。 演算システムによる受信データ処理方法１を示すフローチャートである。 演算システムの設定工程における処理を説明するための図である。 演算システムの設定工程における処理を説明するための図である。 演算システムによる受信データ処理方法２を示すフローチャートである。 実システムへの導入例の機能構成を示すブロック図である。 実システムへの導入例の機能構成を示すブロック図である。
　以下、例示的な実施形態について、図面を参照しながら詳細に説明する。
　（実施形態）
　図１は、本実施形態に係る自動車用演算システムＳＹ（以下、単に演算システムＳＹともいう）の構成を示す。演算システムＳＹは、例えば、四輪の自動車１に搭載される演算システムである。自動車１は、運転者によるアクセル等の操作に応じて走行するマニュアル運転と、運転者の操作をアシストして走行するアシスト運転と、運転者の操作なしに走行する自動運転とが可能な自動車である。尚、以下の説明では、本実施形態の自動車１を他の車両と区別するために、自車両１ということがある。
　演算システムＳＹは、車外情報取得装置Ｍ１からの出力を受け、道路上であって障害物を回避する経路を生成し、その経路に沿って走行する際の自動車１の目標運動を決定するように構成されている。さらに、演算システムＳＹは、決定した目標運動を実現するための制御信号を、駆動力と制動力と操舵角とを生成するアクチュエータ７に出力するように構成されている。本実施形態では、上記の目標運動の決定と、目標運動を実現するための制御信号の出力とが、１ユニット構成の演算装置で実現されている点に特徴がある。１ユニット構成の演算装置６とは、例えば、１つ又は複数のチップで構成されたマイクロプロセッサであって、ＣＰＵやメモリ等を有している。メモリは、プロセッサによって実行可能なソフトウェアであるモジュールを格納している。演算装置６の各部の機能は、プロセッサがメモリに格納された各モジュールを実行することによって実現される。また、メモリに、演算装置６で使用されるモデルのデータを格納してもよい。なお、プロセッサおよびメモリは、それぞれ、複数個あってもかまわない。また、演算装置６の各部の機能について、ハードウェア回路で実現してもよい。
　車外情報取得装置Ｍ１は、演算システムＳＹに自動車１の車外環境の情報を出力するセンサ等で構成され、例えば、（１）自動車１のボディ等に設けられかつ車外環境を撮影する複数のカメラ５０と、（２）自動車１のボディ等に設けられかつ車外の物標等を検知する複数のレーダ５１と、（３）自動車１の絶対速度を検出する車速センサと、（４）自動車１のアクセルペダルの踏み込み量を検出するアクセル開度センサと、（５）自動車１のステアリングホイールの回転角度（操舵角）を検出する操舵角センサと、（６）自動車１のブレーキペダルの踏み込み量を検出するブレーキセンサと、（７）全地球測位システム（Ｇｌｏｂａｌ　Ｐｏｓｉｔｉｏｎｉｎｇ　Ｓｙｓｔｅｍ：ＧＰＳ）を利用して、自動車１の位置（車両位置情報）を検出する位置センサと、を含んでいる。なお、図１では、車外情報取得装置Ｍ１として、カメラ５０とレーダ５１を図示し、それ以外の構成（車速センサ、アクセル開度センサ、操舵角センサ、ブレーキセンサ、位置センサ）については、まとめて「車外情報取得装置」と記載している。
　各カメラ５０は、例えば、自動車１の周囲を水平方向に３６０°撮影できるようにそれぞれ配置されている。各カメラ５０は、車外環境を示す光学画像を撮像して画像データを生成する。各カメラ５０は、生成した画像データを演算装置６に出力する。なお、後述する図３Ａでは、説明の便宜上、カメラ５０が、自動車１の４隅に設けられており、右前、左前、右後、左後のカメラに、記載順にそれぞれ、５０１，５０２，５０３，５０４の符号を付して説明するものとする。また、図示は省略しているが、各カメラと対応する位置にそれぞれレーダ５１が設置されているものとする。ただし、カメラ５０の設置数や設置場所は、図３Ａの配置に限定されるものではない。
　各レーダ５１は、カメラ５０と同様に、検出範囲が自動車１の周囲を水平方向に３６０°広がるようにそれぞれ配置されている。レーダ５１の種類は、特に限定されるものではなく、例えば、ミリ波レーダや赤外線レーダを採用することができる。図３Ａでは、図示していないが、レーダ５１は、例えば、各カメラと対応する位置に設けられる。
　演算システムＳＹは、車外情報取得装置Ｍ１からの出力に加えて、車内情報取得装置Ｍ２からの出力を受けて、車外情報取得装置Ｍ１および車内情報取得装置Ｍ２からの出力に基づいて経路を生成し、目標運動を決定するように構成されていてもよい。
　車内情報取得装置Ｍ２は、演算システムＳＹに自動車１の車内環境の情報を出力するセンサ等で構成され、例えば（１）自動車１の車内ミラーやダッシュボード等に設けられかつ運転者の表情や姿勢、社内環境等を撮影する車内カメラと、（２）運転者の生体情報（体温、心拍数、呼吸等）を取得する車内センサと、を含んでいる。
　アクチュエータ７は、演算システムＳＹからの制御を受けて動作するように構成され、例えば、エンジン７１と、ブレーキ７２と、ステアリング７３と、トランスミッション７４とを含んでいる。また、アクチュエータ７には、エアバックやパワーウィンドウのような、いわゆるボディ系のアクチュエータ７５も含まれる（図１では、「ボディ系」と記載）。なお、本開示で「アクチュエータ」という場合、エンジン７１、ブレーキ７２、ステアリング７３、トランスミッション７４のように、駆動力と制動力と操舵角とを生成する各種アクチュエータを区別せずに、それらのアクチュエータの少なくともいずれか１つを指し示す場合と、上記アクチュエータ類を総称する意味で用いる場合とがある。なお、具体的な図示は省略するが、アクチュエータ７は、そのそれぞれにおいて、ＥＣＵを含んでいてもよいし、ＥＣＵを含まずに後述する自動運転機能部６０の制御を受けて動作するように構成されていてもよい。
　エンジン７１は、動力駆動源であり、内燃機関（ガソリンエンジン、ディーゼルエンジン）を含む。演算システムＳＹは、自動車１を加速又は減速させる必要がある場合に、エンジン７１に対してエンジン出力変更信号を出力する。エンジン７１は、マニュアル運転時には、運転者のアクセルペダルの操作量等により制御されるが、アシスト運転や自動運転時には、演算システムＳＹから出力された目標運動を示す目標運動信号（以下、単に目標運動信号という）に基づいて制御される。尚、図示は省略しているが、エンジン７１の回転軸には、エンジン７１の出力により発電する発電機が連結されている。エンジン７１は、駆動力を生成するアクチュエータの一例である。
　ブレーキ７２は、制動力をここでは電動ブレーキである。演算システムＳＹは、自動車１を減速させる必要がある場合に、ブレーキ７２に対してブレーキ要求信号を出力する。ブレーキ要求信号を受けたブレーキ７２は、該ブレーキ要求信号に基づいてブレーキアクチュエータ（図示省略）を作動させて、自動車１を減速させる。ブレーキ７２は、マニュアル運転時には、運転者のブレーキペダルの操作量等により制御されるが、アシスト運転や自動運転時には、演算システムＳＹから出力された目標運動信号に基づいて制御される。ブレーキ７２は、制動力を生成するアクチュエータの一例である。
　ステアリング７３は、ここではＥＰＳ（Ｅｌｅｃｔｒｉｃ　Ｐｏｗｅｒ　Ｓｔｅｅｒｉｎｇ）である。演算システムＳＹは、自動車１の進行方向を変更する必要がある場合に、ステアリング７３に対して操舵方向変更信号を出力する。ステアリング７３は、マニュアル運転時には、運転者のステアリングホイール（所謂ハンドル）の操作量等により制御されるが、アシスト運転や自動運転時には、演算システムＳＹから出力された目標運動信号に基づいて制御される。ステアリング７３は、操舵角を生成するアクチュエータの一例である。
　トランスミッション７４は、有段式のトランスミッションである。演算装置６は、出力すべき駆動力に応じて、トランスミッション７４に対してギヤ段変更信号を出力する。トランスミッション７４は、マニュアル運転時には、運転者のシフトレバーの操作や運転者のアクセルペダルの操作量等により制御されるが、アシスト運転や自動運転時には、演算装置６により算出された目標運動に基づいて制御される。
　演算システムＳＹは、マニュアル運転時には、アクセル開度センサ等の出力に基づく制御信号をエンジン７１等に出力する。一方で、演算システムＳＹは、アシスト運転時や自動運転時には、自動車１の走行経路を設定して、自動車１が該走行経路を走行するように、エンジン７１等に制御信号を出力する。
　＜１．演算システムの構成＞
　図１に示すように、演算システムＳＹは、テレマティックスユニット２と、Ｖ２Ｘ通信ユニット３と、セキュリティゲートウェイ装置４と、演算装置６とを備えている。ここで、演算装置６とセキュリティゲートウェイ装置４とは、機能的に分離されているとともに、物理的にも互いに分離されている。例えば、演算装置６及びセキュリティゲートウェイ装置４が、半導体チップで実現される場合、互いに別チップで構成され、電源供給ラインが別系統で実現されるのがよい。
　テレマティックスユニット２は、ＲＦ部２１と、復調部２２とを備える。ＲＦ部２１は、外部のネットワーク９０（例えば、４Ｇ回線等の移動通信網）から車載アンテナ（図示省略）を介して受信したＲＦ信号を処理する。復調部２２は、ＲＦ部２１に受けたＲＦ信号を復調して、セキュリティゲートウェイ装置４に出力する。
　Ｖ２Ｘ通信ユニット３は、ＲＦ部３１と、復調部３２とを備える。ＲＦ部３１は、車載アンテナ（図示省略）を介して、外部の通信機器、例えば、周囲を走行している車両８に搭載された通信ユニット（図示省略）から受信したＲＦ信号を処理する。復調部３２は、ＲＦ部３１に受けたＲＦ信号を復調して、セキュリティゲートウェイ装置４に出力する。
　ここで、外部のネットワーク９０とは、自車両１との間で相互通信が可能に構成された車外の移動体通信網やインターネット等の通信網、通信ユニットが搭載された装置等で形成される通信環境・構成を広く含む概念として使用するものとする。
　例えば、テレマティックスユニット２と接続される外部のネットワーク９０として、サーバ９１等の情報処理装置や携帯電話等の端末装置９２が接続されたインターネットが例示される。また、自動車１の搭乗者や整備担当者等が所有していて車外から車内に持ち込まれた端末装置９２とテレマティックスユニット２とが、Ｂｌｕｅｔｏｏｔｈ（登録商標）やＷｉ－Ｆｉ（登録商標）等により互いに直接通信するような構成が含まれる。
　また、例えば、Ｖ２Ｘ通信ユニット３が周囲を走行している車両との間で、直接的、または間接的に、相互間の情報通信をする場合、いわゆる車車間通信を行う場合にも、それは外部のネットワーク９０を介して通信することに含むものとする。
　以下の説明では、説明の便宜上、演算装置６へのアクセス要求を行っている通信ユニットを搭載した装置（自動車を含む）を総称して、単に、外部通信装置と呼ぶ場合がある。
　なお、テレマティックスユニット２及びＶ２Ｘ通信ユニット３において、それぞれのＲＦ部２１，３１及び復調部２２，３２の回路構成は、従来から知られている一般的な回路を採用することができるので、ここでは、その説明を省略するものとする。また、テレマティックスユニット２及びＶ２Ｘ通信ユニット３において、両ユニット２０，３０を統合して１つの通信ユニットとし、その通信ユニット内で共通する回路構成をまとめるようにしてもよい。
　セキュリティゲートウェイ装置４は、テレマティックスユニット２及びＶ２Ｘ通信ユニット３の復調部２２，３２からの出力を受ける認証部４１と、復号部４２と、暗号化部４３とを備えている。本実施形態では、外部通信装置からのアクセスが、このセキュリティゲートウェイ装置４に集約され、このセキュリティゲートウェイ装置４での認証を経て演算装置６に入力される点に特徴がある。
　認証部４１は、外部のネットワーク９０を介して外部通信装置から演算装置６へのアクセスがあった場合に、予め設定された基準に基づいて、その外部通信装置からのアクセスの正当性を判断し、演算装置６へのアクセスを許可するか否かを決定する。「予め設定された基準」は、アクセスの正当性の判断ができる基準であれば、特に限定されるものではないが、例えば、認証局のデジタル署名を付与した公開鍵暗号方式に基づいて、外部通信装置の正当性を判断することができる。また、予め設定された基準として、自社が予め保有したり、ネットワーク９０を介して受領した、ホワイトリスト、ブラックリスト等のリスト情報を用いてもよい。認証部４１は、認証部４１で正当性が認証された外部通信装置からの受信信号を復号部４２に出力する。
　復号部４２では、認証部４１から受信したデータを復号する。換言すると、復号部４２は、認証部４１で正当性が認められた外部通信装置からの受信データを復号する。例えば、前述のような公開鍵暗号方式に基づく暗号データが受信された場合には、その復号処理を実行する。また、復号に際して、ハッシュ演算を用いた改ざん検出を行うようにしてもよい。
　なお、認証部４１と復号部４２とは、連携して処理を行う場合があり、受信したデータの種類や属性によって、処理の順番が変わったり、それぞれで実施する処理の内容が変わったりすることがある。
　認証部４１で認証され、復号部４２で復号されたデータは、暗号化部４３で暗号化され、演算装置６に出力される。すなわち、セキュリティゲートウェイ装置４と、演算装置６との間は、暗号化通信により接続される。なお、暗号化部４３を省いて、セキュリティゲートウェイ装置４から演算装置６に、認証部４１で認証され、復号部４２で復号されたデータをそのまま送信するようにしてもよい。暗号化部４３に用いる暗号方式は、特に限定されず、必要なセキュリティレベルに応じて使い分けすることができる。また、選択された暗号方式に対応する回路構成は、それぞれの暗号方式に応じて従来から知られているものを用いることができるので、ここではその詳細説明を省略する。
　なお、送信するデータの重要度に応じて、暗号化部４３で使用する暗号化レベルを変えるようにしてもよい。例えば、個人情報や直近の一定時間内に使用しないような情報について、暗号化のセキュリティレベルを高めるようにしてもよい。一方で、演算装置６が熱縮退モードで動作することや、負荷が増加する傾向があることが検知された場合に、セキュリティレベルを下げて、復号化の負担を減らすようにしてもよい。また、セキュリティ性を向上させる観点から、外部のネットワーク９０で用いられる暗号方式とは異なる暗号方式を用いるようにしてもよい。
　さらに、セキュリティゲートウェイ装置４と演算装置６との間にも認証を要するようにしてもよい。そうすることで、セキュリティゲートウェイ装置４を交換できるように構成しても、セキュリティ性を確保することができる。
　演算装置６は、自動運転機能部６０と、暗号化部４３の出力を復号し自動運転機能部６０に出力する復号部６１と、認証部６２とを備える。復号部６１の構成は、暗号化部４３で暗号化された信号を復号できるように構成されていればよく、従来から知られている構成を用いることができる。
　自動運転機能部６０は、アシスト運転や自動運転をする場合に、車外情報取得装置Ｍ１からの出力に基づいて、自動車１の目標運動を決定し、アクチュエータ７をその目標運動に沿って動作させるための制御信号を出力する。自動運転機能部６０の構成については、後述する「実システムへの導入例」で一例を挙げて説明するものとし、ここではその詳細説明を省略する。
　認証部６２は、セキュリティゲートウェイ装置４の認証部４１と連携して、前述の被認証装置からのアクセスの正当性を判断する機能を有する。具体的な動作は、以下の「２．演算システムの動作」において説明する。
　＜２．演算システムの動作＞
　次に、演算システムＳＹの動作について説明する。なお、演算装置６の自動運転機能部６０を中心とした自動運転に関わる動作については、後述する「実システムへの導入例」で一例を挙げて説明するものとし、ここでは、外部のネットワークから受けた受信データの処理方法について説明する。
　なお、以下に説明する受信データの処理方法は、セキュリティゲートウェイ装置４（特に、認証部４１）と演算装置６（特に、認証部６２）との連携動作により実現されるものであり、その主体がどちらであるかについて、特に限定されるものではない。すなわち、以下の動作説明において、説明の便宜上、セキュリティゲートウェイ装置４と演算装置６のいずれか一方で処理が行われるように記載したものについて、他方側の装置でその処理が実行されてもよいし、両方の装置で分担して処理が実行されてもよい。また、「セキュリティゲートウェイ装置４の認証部４１」での処理に関し、単に、「セキュリティゲートウェイ装置４」の処理として説明する。演算装置６の認証部６２についても同様である。
　－２－１．受信データ処理方法１－
　図２のフローチャートを参照しつつ、外部のネットワーク９０から受けた受信データの処理方法１について説明する。ここでは、外部のネットワーク９０から、（１）正当なアクセス権限を有する自動車Ａと、（２）例えば、なりすまし等の不正な自動車Ｂからのアクセス要求があったものとして説明する。
　まず、自動車Ａからのアクセス要求に関する受信処理について説明する。
　図２のステップＳ１０１において、セキュリティゲートウェイ装置４は、外部のネットワーク９０を介して、外部通信装置からのアクセス要求を受けると、その特定処理を実行する。ここでは、自動車Ａからのアクセス要求を受けているので、自動車Ａを特定するための特定処理を実行する。例えば、車車間通信の場合、標準規格に基づいた情報として、車種やメーカー名等の情報が送信されるので、セキュリティゲートウェイ装置４は、その情報に基づいて、自動車Ａを特定する。図３Ａでは、自動車Ａの特定処理の結果、自車両１の左前方を走行する自動車８１からのアクセス要求が特定されたものとする。
　このとき、演算装置６では、カメラ５０で撮影された撮像情報や、レーダ５１の受信電波情報を受け取り、車外の対象物を認定する（ステップＳ１０２）。例えば、演算装置６では、自車両１の周囲のどの位置に、どのような自動車８が走行しているかを認定する。認定された自動車８等の対象物は、例えば、図３Ｂのようなリストで管理され、演算装置６の保有するデータベース等に登録される。ここでは、自動車Ａは、データベースに自動車８１として登録されている一方で、自動車Ｂは、データベースに登録されていないものとする。
　次のステップＳ１０３では、演算装置６またはセキュリティゲートウェイ装置４において、セキュリティゲートウェイ装置４で特定された自動車Ａが、ステップＳ１０２の認定処理で認定された自動車に含まれているかどうかの照合が行われる。自動車Ａは、データベースに登録されているので、自動車Ａ（自動車８１）が自車両１の周囲を走っていることが確認され、照合ＯＫと判定される。
　その後、ステップＳ１０４において、セキュリティゲートウェイ装置４は、自動車Ａから送られてきた受信データに基づいて認証処理を行う。そして、認証がＯＫであれば、セキュリティゲートウェイ装置４は、自動車Ａに認証ＯＫの旨を示す通知を送り、自動車Ａと演算装置１との間のデータ通信が確立される。
　次に、自動車Ｂからのアクセス要求に関する受信処理について説明する。
　図２のステップＳ１１１において、セキュリティゲートウェイ装置４は、外部のネットワーク９０を介して、自動車Ｂからのアクセス要求を受けると、自動車Ａの場合と同様に、自動車Ｂの特定処理を実行する。
　次のステップＳ１１３では、自動車Ａと同様に、自動車Ｂが、ステップＳ１０２の認定処理で認定された自動車に含まれているかどうかの照合が行われる。自動車Ｂは、データベースに登録されていないので、照合ＮＧと判定される。
　その後、セキュリティゲートウェイ装置４は、自動車Ｂに対して、認証処理を実行することなく、認証ＮＧの通知を送り、処理は終了する。
　以上のように、本受信方法によると、車外情報取得装置Ｍ１で取得された情報を基にして、アクセス要求があった外部の通信装置（ここでは、自動車）の照合を行うようにしている。これにより、セキュリティ性を高めることができる。
　さらに、アクセス要求に対する照合工程が終わり、照合ＯＫとなってから、認証処理を実行するようにしている。すなわち、照合ＮＧとなる場合には、認証処理を実行しないようにしている。これにより、無駄な処理を排除することができ、演算負荷を抑えることができる。例えば、自車両の周囲に数台の自動車が走行している場合に、多数の自動車が走っているように見せかけるような飽和攻撃を受けた場合にも、自車両の周囲の自動車についてのみ認証処理を実行するようにすることができる。
　－２－２．受信データ処理方法２－
　次に、図４のフローチャートを参照しつつ、外部のネットワークから受けた受信データの処理方法２について説明する。ここでは、図３Ａ，図３Ｂ（以下、まとめて図３ともいう）に記載された自動車８１，８３～８５からのアクセス要求があったものとして説明する。図４では、その中から自動車８１，８３に関する処理を抜粋して記載している。また、自動車８２は通信機能を有していない自動車であるものとする。
　図４のステップＳ２０１において、セキュリティゲートウェイ装置４は、外部のネットワーク９０を介して、外部通信装置からのアクセス要求を受けると、前述　のステップＳ１０１と同様に、その外部通信装置を特定するための特定処理を実行する。ここでは、図３Ｂに示した自動車８１，８３～８５が特定されたものとする。
　このとき、演算装置６では、ステップＳ１０２と同様に、カメラ５０で撮影された画像情報や、レーダ５１の受信電波情報を受け取り、車外の対象物を認定する（ステップＳ２０２）。ここでは、自動車８１～８５が認定されたものとする。
　その後、演算装置６は、セキュリティゲートウェイ装置４からステップＳ２０１の特定処理の結果として自動車８１，８３～８５の情報を受け、演算装置６で認定された自動車８１～８５の情報と紐付けし、それらを取りまとめてデータベース等に登録する。
　図３Ｂにおいて、メーカー名や車種等を示すＩＤ情報は、例えば、セキュリティゲートウェイ装置４が各自動車８１，８３～８５から受信した情報に含まれたものである。各車両の車速、加減速状況及び位置（方向）は、カメラ５０およびレーダ５１の取得情報に基づいて、演算装置６側で認定された情報である。
　なお、図３Ｂにおいて、「優先領域内」とは自車両１から予め設定された範囲（以下、優先領域という）内に存在する自動車であるか否かを示す情報であるものとする。優先領域内に存在するか否かについても、カメラ５０およびレーダ５１の取得情報に基づいて判断することができる。
　セキュリティゲートウェイ装置４と演算装置６とのデータの紐付けは、例えば、セキュリティゲートウェイ装置４で受けたＩＤ情報と、カメラ５０およびレーダ５１の取得情報に基づく演算装置６での認定情報とを対比して、共通の構成要素を有するもの同士が紐付けされる。
　次のステップＳ２０３では、演算装置６において、予め設定された基準に基づいて自動車８１～８５の優先順位の設定が行われる。優先順位は、例えば、複数の自動車からのアクセス要求があった場合に、相対的に早くに通信を確立させた方がよいものに対して高く設定される。具体的には、例えば、予め設定された基準として、自車両１と距離に基づいて、自車両１に近いほど、優先順位が高く設定される。また、例えば、自車両１から所定の範囲を優先領域に設定し、その優先領域内の自動車を優先するとしてもよい。具体的に、例えば、図４に示すように、自動車８１，８３からのアクセス要求があった場合、優先領域内の自動車８３を優先する。
　また、例えば、図３Ｂに示すように、自動車８１～８５の車速情報が得られていた場合には、自車両１との距離と加減速の状況、方向等に基づいて優先順位が設定される、というように、複数のパラメータを総合的に判断することを基準として設定するようにしてもよい。
　演算装置６で設定された優先順位の情報は、セキュリティゲートウェイ装置４に送られ、セキュリティゲートウェイ装置４では、その優先順位にしたがって、認証処理が実行される。図４の例では、まずステップＳ２０４において、自動車８３の認証処理が実行され、自動車８３と演算装置６との相互間で通信が確立される。そしてその後、ステップＳ２０５において自動車８１の認証処理が実行され、自動車８１と演算装置６との相互間で通信が確立される。
　以上のように、本受信方法によると、車外情報取得装置Ｍ１で取得された情報を基にして、アクセスがあった外部通信装置（ここでは、自動車）の優先順位を設定し、その優先順位に基づいて認証処理を実行するようにしている。これにより、複数の外部通信装置から同時にアクセスがあるような場合にも、より適切な外部通信装置から順に通信を確立させることができる。
　また、例えば、車外情報取得装置Ｍ１で取得された情報で認定されなかった外部通信装置については、優先順位を大幅に下げるか、優先順位の付与の対象外とするような処理を行うようにしてもよい。そうすることで、不正なアクセスを排除することができ、セキュリティ性を高めることができる。
　なお、上記２つの「受信データ処理方法」の説明では、外部通信装置として自動車を例に説明したが、外部通信装置は、自動車に限定されない。例えば、外部通信装置が、二輪車等のような他の車両であってもよく、道路等に設置された路側器のようなものであってもよい。この場合においても、自動車の場合と同様に、受信処理を行うことができる。
　外部通信装置から送られてくるデータとしては、例えば、地図情報や、ソフトウェアのアップデート情報が含まれる。演算装置６では、外部の通信装置から受信したデータは、内部のソフトウェアのアップデートに用いたり、自車両１の経路生成に使用したりする。
　以上をまとめると、本実施形態に係る演算システムＳＹは、自動車に据え付けられている車外情報取得装置Ｍ１からの出力を受けた演算装置６が、道路上であって障害物を回避する経路を生成し、当該経路に沿って走行する際の自動車１の目標運動を決定し、当該目標運動を実現するための制御信号を、駆動力と制動力と操舵角とを生成するアクチュエータ７に出力するように構成されている。ここで、演算装置６は、車外情報取得装置Ｍ１からの出力は、直接受けるように構成されているのに対して、外部のネットワーク９０からのアクセスについてはセキュリティゲートウェイ装置４を通すようにしている。
　このように、セキュリティゲートウェイ装置４を介在させることにより、外部の通信装置からのアクセス状況等により、演算装置６の処理が影響されないようにすることができる。例えば、多数の外部の通信装置からのアクセスを受けた場合、その処理に対する負荷が上昇するが、セキュリティゲートウェイ装置４を介在させて認証処理等をさせることで、演算装置６に過度の負担がかかることを防ぐことができる。また、車外情報取得装置Ｍ１からの出力は、演算装置６に直接与えるので、比較的大容量のデータでも遅延することなく送信することができる。
　また、外部通信装置からのアクセス経路をセキュリティゲート４への入力にまとめて、セキュリティゲート４で認証等の処理を実行し、真正と認められた外部通信装置のみの信号が演算装置６側に流れるようにしている。これにより、駆動力と制動力と操舵角とを生成するような重要な機能を有する演算装置６に対して、不正アクセスをより確実に防ぐことができる。例えば、特許文献１のように、受信データからインシデントを判断する場合には、不正の発見が遅れる場合があるが、本実施形態の構成を採用することで、外部の通信装置と演算装置６とが直接通信するような状況を避け、不正の発見の遅れを防ぎ、乗っ取られるリスクを大幅に低減することができる。
　さらに、セキュリティゲートウェイ装置４と演算装置６とを物理的に分離することで、セキュリティゲートウェイ装置４のソフトウェアをアップデートしたり、ハードウェアを新しい仕様のものに交換しやすくすることができる。
　（その他の実施形態）
　ここに開示された技術は、上記実施形態に限られるものではなく、請求の範囲の主旨を逸脱しない範囲で代用が可能である。
　例えば、セキュリティゲートウェイ装置４が、外部のネットワークを介して受けた車外通信装置からのアクセスが正当であった場合に、演算装置６が休止状態または停止状態のときに、演算装置６を起動させるための起動信号を出力するように構成されていてもよい。この起動信号は、例えば、主演算部６１０、セーフティ機能部６３０、乃至、バックアップセーフティ機能部６５０の電源を管理している電源回路（図示省略）等に送られ、電源回路がその起動信号を受けたことをトリガに復帰するように構成されていてもよい。
　（実システムへの導入例）
　図５Ａ及び図５Ｂを参照しながら、実システムへの導入例について説明する。なお、以下の説明では、図５Ａ及び図５Ｂをまとめて、単に図５と呼ぶものとする。
　－１．概要－
　まず、本開示に係る自動車用演算システムＳＹ（以下、単に演算システムＳＹという）は、機能的には、（１）車外環境、車内環境（運転者の状態を含む）を認知するための構成（以下、認知系ブロックＢ１ともいう）と、（２）認知系ブロックＢ１での認知結果に基づいて各種状態・状況等を判断し、自動車１の動作を決定するための構成（以下、判断系ブロックＢ２ともいう）と、（３）判断系ブロックＢ２での決定を基に、具体的にアクチュエータ類に伝達する信号・データ等を生成するための構成（以下、操作系ブロックＢ３ともいう）、とに分かれている。本開示の技術は、認知系ブロックＢ１、判断系ブロックＢ２及び操作系ブロックＢ３が、１つのユニットに集約されて、実現されている点に特徴を有する。演算システムＳＹでは、認知系ブロックＢ１、判断系ブロックＢ２及び操作系ブロックＢ３により、前述の自動運転機能部６０としての機能を実現している。図５において演算システムＳＹは、プロセッサとメモリとを備える。メモリは、プロセッサによって実行可能なソフトウェアであるモジュールを格納している。図５に示す認知系ブロックＢ１、判断系ブロックＢ２及び操作系ブロックＢ３の各部の機能は、プロセッサが、メモリに格納された各モジュールを実行することによって、実現される。また、メモリは、各モジュールで使用されるモデルのデータを格納している。なお、プロセッサおよびメモリは、それぞれ、複数個あってもかまわない。
　また、本演算システムＳＹは、（１）通常運転時における自動運転を実現するための認知系ブロックＢ１、判断系ブロックＢ２及び操作系ブロックＢ３とで構成された主演算部６１０と、（２）主に主演算部６１０の認知系ブロックＢ１及び判断系ブロックＢ２を補完する機能を有するセーフティ機能部６３０と、（３）主演算部６１０やセーフティ機能部６３０の機能が失陥した場合等の異常事態が発生した際に、自動車１を安全な位置まで移動させるバックアップセーフティ機能部６５０とを備えている。
　本演算システムＳＹにおいて、主演算部６１０の認知系ブロックＢ１および判断系ブロックＢ２では、ニューラルネットワークを利用した深層学習により構築された各種モデルを利用して処理を実行する。このようなモデルを使用した処理を行うことで、車両状態、車外環境、運転者の状態等の総合的な判断に基づく運転制御、すなわち、大量の入力情報をリアルタイムで協調させて制御することができるようになる。深層学習を利用した車外環境の認定及び経路の算出は、未だ発展途上の状態であり、ＡＳＩＬ－Ｂ程度に留まるとされている。なお、図５では、参考情報として、各ブロックのＡＳＩＬ情報を記載しているが、本記載に限定されるものではなく、各ブロックが図５とは異なる機能安全レベルを有していてもよい。
　セーフティ機能部６３０は、（１）従来より自動車等に採用されている物標等の認定方法に基づいて、車外にある物体（本開示では、対象物と呼んでいる）を認識する、（２）従来より自動車等に採用されている方法で、車両が安全に通過できる安全領域を設定し、その安全領域を通過するような経路を自動車が通過すべき走行経路として設定する、ように構成されている。このような、いわゆるルールベースの判断や処理を行うことにより、ＡＳＩＬ－Ｄ相当の機能安全レベルを実現することができる。
　そして、本演算システムＳＹは、主演算部６１０とセーフティ機能部６３０とが、同一の入力情報（車外情報取得装置Ｍ１や車内情報取得装置Ｍ２で取得された情報を含む）に基づいて、同一の目的の処理（例えば、経路生成）を、並列に進めるようにしている点に特徴がある。これにより、主演算部６１０から逸脱処理が導き出されることを監視することができるとともに、必要に応じて、セーフティ機能部６３０による判断や処理の方を採用したり、主演算部６１０に再演算をさせたりすることができるようになっている。
　主演算部６１０とセーフティ機能部６３０とは、両機能をあわせて（以下、両機能をあわせたものを車両制御機能ともいう）、それを１つ又は複数のチップで構成するようにしてもよいし、主演算部６１０とセーフティ機能部６３０のそれぞれを独立したチップで構成するようにしてもよい。
　また、本演算システムＳＹでは、主演算部６１０及びセーフティ機能部６３０の両方が故障するような事態にも対処できるように、バックアップセーフティ機能部６５０（バックアップ演算装置３０に相当）を設けている。バックアップセーフティ機能部６５０は、車外情報に基づいてルールベースで経路を生成し、安全な位置に停車させるまでの車両制御を実行する機能を、主演算部６１０及びセセーフティ機能部６３０とは別構成として用意したものである。したがって、主演算部６１０及びセーフティ機能部６３０とは、別々の装置（チップ）で構成されるのが好ましい。
　－２．構成－
　以下において、図５を参照しつつ、本演算システムＳＹの具体的構成について、説明する。なお、実施形態と共通の構成については、共通の符号を使用して説明する場合がある。また、共通の構成についての詳細説明を省略する場合がある。
　演算システムＳＹには、自動車の車外環境の情報を取得する車外情報取得装置Ｍ１、及び、車内環境の情報を取得する車内情報取得装置Ｍ２のそれぞれで取得されたデータが入力信号として与えられる。また、演算システムＳＹへの入力信号として、車外ネットワーク（例えば、インターネット等）に接続されたシステムやサービスからの情報がセキュリティゲートウェイ装置４を介して入力されるようにしてもよい。
　車外情報取得装置Ｍ１として、例えば、（１）複数のカメラ５０、（２）複数のレーダ５１、（３）車速センサ５２等のメカセンサー５２０、（４）アクセル開度センサ５３、操舵角センサ５４、ブレーキセンサ５５等のドライバ入力部５３０、（５）ＧＰＳ等の測位システムを含む位置センサ５６等が例示される。
　車内情報取得装置Ｍ２として、例えば、車内カメラ５８、車内センサ５９等が例示される。車内センサ５９には、例えば、アクセルペダル、ブレーキペダル、ステアリング、各種スイッチ等の各種操作対象物への運転者の操作を検出するセンサを含む。なお、図５では、車内情報取得装置Ｍ２の図示を省略している。
　－２－１．主演算部－
　ここでは、主演算部６１０の構成例及び主演算部６１０による深層学習を用いた経路生成について説明する。
　図５に示すように、主演算部６１０は、カメラ５０及び／またはレーダ５１の入力に基づいて、車外の物体（対象物）を認識する物体認識部６１１を有する。物体認識部６１１は、カメラ５０で撮像された社外の画像（映像を含む）や、レーダ５１を用いた反射波のピークリストにより、車外の物体を認識する機能を有する。また、主演算部６１０は、実施形態に示したとおり、深層学習を利用して、認識された物体が何かを判別する機能を有する。物体認識部６１１には、従来から知られている画像や電波に基づく物体認識技術を適用することができる。
　物体認識部６１１で認識された結果は、マップ生成部６１２に送られる。マップ生成部６１２では、自車両の周囲を複数の領域（例えば、前方、左右方向、後方）に分け、各領域ごとにマップ作成処理を行う。マップ作成処理では、それぞれの領域に対して、カメラ５０で認識された物体情報と、レーダ５１で認識された物体情報とを統合し、マップに反映させる。
　マップ生成部６１２で生成されたマップ、セキュリティゲートウェイ４から入力されて復号部６１で復号されたデータの一部（例えば、マップ情報）は、車外環境推定部６１３において、深層学習を用いた画像認識処理により車外環境の推定に使用される。具体的に、車外環境推定部６１３では、深層学習を利用して構築された環境モデル６１４に基づく画像認識処理により車外環境を表す３Ｄマップを作成する。深層学習では、多層ニューラルネットワーク（ＤＮＮ：Ｄｅｅｐ　Ｎｅｕｒａｌ　Ｎｅｔｗｏｒｋ）が用いられる。多層ニューラルネットワークとして、例えば、ＣＮＮ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ　Ｎｅｕｒａｌ　Ｎｅｔｗｏｒｋ）がある。より具体的に、車外環境推定部６１３では、（１）各領域ごとのマップが結合され、自車両１の周囲を表した統合マップが生成され、（２）その統合マップ内の動体物に対し、自車両１との距離、方向、相対速度の変位が予測され、（３）その結果が、車外環境モデル６１４に組み込まれる。さらに、車外環境推定部６１３では、（４）車内または車外から取り込んだ高精度地図情報、ＧＰＳ等で取得された位置情報・車速情報・6軸情報の組み合わせによって統合マップ上での自車両１の位置を推定するとともに、（５）前述の経路コストの計算を行い、（６）その結果が、各種センサで取得された自車両１の運動情報とともに車外環境モデル６１４に組み込まれる。これらの処理により、車外環境推定部６１３では、随時、車外環境モデル６１４が更新され、経路生成部６２１による経路生成に使用される。上記の物体認識部６１１、マップ生成部６１２、車外環境推定部６１３での処理結果や、車外環境モデル６１４は、前述のセキュリティゲートウェイ装置４の認証部４１での処理に利用される。すなわち、物体認識部６１１、マップ生成部６１２、車外環境推定部６１３、乃至、車外環境モデル６１４は、認証部６２としての機能を包含している。なお、図示は省略するが、認証部６２としての機能をセーフティ機能部６３０に持たせるようにしてもよい。
　ＧＰＳ等の測位システムの信号、車外ネットワークから送信される例えばカーナビゲーション用のデータは、セキュリティゲートウェイ装置４を介して入力され、復号部６１で復号されて、経路探索部６２２に送られる。経路探索部６２２は、ＧＰＳ等の測位システムの信号、車外ネットワークから送信される例えばナビゲーション用のデータを用いて、車両の広域経路を探索する。
　経路生成部６２１では、車外環境モデル６１４と、経路探索部６２２の出力とを基にして、車両の走行経路を生成する。
　－２－２．セーフティ機能部－
　ここでは、セーフティ機能部６３０の構成及びセーフティ機能部６３０によるルールベースの経路生成について説明する。
　図５に示すように、セーフティ機能部６３０は、主演算部６１０と同じ、カメラ５０及び／またはレーダ５１の入力に基づいて、車外の物体（対象物）を認識する物体認識部６３１を有する。セーフティ機能部６３０では、主演算部６１０と同様の手法により車外の物体を認識した後に、深層学習を利用せずに、従来から知られているルールベースの手法により認識された物体が何かを判別するようにしている。例えば、従来から知られており、ＡＳＩＬ－Ｄ相当の機能安全レベルを実現している識別機を通して、認識された物体が何かを判別する。
　物体認識部６３１で認識された結果は、動体と静止物とに分類される。図５では、６３２の符号を付して「動体・静止物分類」と記載した回路ブロックで実行される。具体的に、ここでは、（１）自車両の周囲が複数の領域（例えば、前方、左右方向、後方）に分けられ、（２）各領域で、カメラ５０で認識された物体情報と、レーダ５１で認識された物体情報とが統合され、（３）各領域に対する導体及び静止物との分類情報が生成される。そして、（４）各領域ごとの分類結果が統合され、（５）自車両周辺の導体及び静止物との分類情報として、例えば、例えば、図２に示されるようなグリッドマップ上で管理される。また、動体物に対しては、（６）自車両との距離、方向、相対速度が予測され、その結果が動体物の付属情報として組み込まれるとともに、（７）車内または車外から取り込んだ高精度地図情報、ＧＰＳ等で取得された位置情報・車速情報・６軸情報の組み合わせによって、動体・静止物に対する自車両の位置が推定される。また、セーフティ機能部６３０では、車速情報・６軸情報に基づく車両状態を検出し、自車両１の付属情報として経路生成に使用する。セーフティ機能部６３０では、ここで推定された動体・静止物に対する自車両の位置と、安全領域の探索結果に基づいて、経路が生成される。
　主演算部６１０及びセーフティ機能部６３０で生成された経路は、目標運動決定部７１０に送られ、両経路の比較結果等に応じて最適な目標運動が決定される。例えば、前述の実施形態に記載しているように、主演算部６１０で生成した経路が、セーフティ機能部６３０で探索された安全領域から外れる時には、セーフティ機能部６３０で生成された経路が採用される。
　目標運動決定部６２３は、主演算部６１０及び第２演算部１１０，１２０からの出力を受けて自動車１の目標運動を決定する。
　車両運動エネルギー操作部６２４及びエネルギーマネジメント部６２５は、目標運動決定部６２３で決定された目標運動を達成する上で、最もエネルギー効率がよくなるようにアクチュエータ７の制御量を算出する。具体的に例示すると、例えば、エネルギーマネジメント部は、目標運動決定部６２３で決定されたエンジントルクを達成する上で、最も燃費が向上するような、吸排気バルブ（図示省略）の開閉タイミングやインジェクタ（図示省略）の燃料噴射タイミング等を算出する。
　－２－３．バックアップセーフティ機能部－
　ここでは、バックアップセーフティ機能部６５０の構成及びバックアップセーフティ機能部６５０によるルールベースの経路生成について説明する。バックアップセーフティ機能部６５０は、ルールベースで最低限の安全停車位置への移動動作、停車動作ができるようにするために必要な構成を備えたものとなっている。大枠の構成は、セーフティ機能部６３０を同じような機能で実現することができる。
　図５に示すように、バックアップセーフティ機能部６５０では、物体認識部６３１で認識された結果を基に、動体と静止物とが分類される。図５では、６５３の符号を付して「動体・静止物分類」と記載した回路ブロックで実行される。物体認識部６３１は、図５に示すように、セーフティ機能部６３０と共通のものを使用してもよいし、個別に、バックアップセーフティ機能部６５０に設けられていてもよい。さらに、バックアップセーフティ機能部６５０は、車両状態を計測する車両状態計測部６５１と、運転者の操作状態を把握するドライバ操作認知部６５２とを備えている。車両状態計測部６５１は、自車両１の付属情報として経路生成に使用するために、車速情報・６軸情報に基づく車両状態を取得する。それ以外の機能については、主演算部６１０及びセーフティ機能部６３０とは独立して設けられているものの、実質的な機能は、これまで説明してきた構成と同様であり、ここではその詳細説明を省略する。
　ここに開示された技術は、自動車に搭載される自動車用演算システムとして有用である。
ＳＹ　演算システム
４　セキュリティゲートウェイ装置
４１　認証部
４２　復号部
４４　暗号化部
６　演算装置
Ｍ１　車外情報取得装置

Claims (7)

  1. 　自動車に搭載される自動車用演算システムであって、
    　自動車に据え付けられて車外環境の情報を取得する車外情報取得装置からの出力を受け、道路上であって障害物を回避する経路を生成し、当該経路に沿って走行する際の自動車の目標運動を決定し、当該目標運動を実現するための制御信号を、駆動力と制動力と操舵角とを生成するアクチュエータに出力する演算装置と、
    　外部の通信装置が接続された外部のネットワークと前記演算装置との間に設けられ、前記通信装置からのアクセスに対して、予め設定された基準に基づいて当該アクセスの正当性を判断し、前記通信装置のアクセスを許可するか否かを決定するセキュリティゲートウェイ装置とを備える
    ことを特徴とする自動車用演算システム。
  2. 　請求項１に記載の自動車用演算システムにおいて、
    　前記セキュリティゲートウェイ装置は、
    　前記ネットワークを介して受信された受信信号を復号する復号部と、
    　前記アクセスの正当性を判断し、前記通信装置のアクセスを許可するか否かを決定する認証部と、
    　前記認証部によりアクセスが許可された通信装置から受信され、かつ、前記復号部で復号された信号を、暗号化して前記演算装置に出力する暗号化部とを備えている
    ことを特徴とする自動車用演算システム。
  3. 　請求項１に記載の自動車用演算システムにおいて、
    　前記セキュリティゲートウェイ装置は、前記通信装置のアクセスが正当であった場合において、前記演算装置が休止状態または停止状態のときに、前記演算装置を起動させるための起動信号を出力する
    ことを特徴とする自動車用演算システム。
  4. 　請求項１に記載の自動車用演算システムにおいて、
    　前記車外情報取得装置は、カメラを含み、
    　前記セキュリティゲートウェイ装置は、前記カメラの撮影画像と前記アクセスしてきた前記通信装置との照合結果を基に当該通信装置のアクセスの正当性を判断する
    ことを特徴とする自動車用演算システム。
  5. 　車外環境の情報を取得する車外情報取得装置からの出力を受け、道路上であって障害物を回避する経路を生成し、当該経路に沿って走行する際の自動車の目標運動を決定する演算装置と、外部の通信装置が接続された外部のネットワークと前記演算装置との間に設けられたセキュリティゲートウェイ装置とを備える自動車用演算システムにおける、外部のネットワークから受けた受信データの処理方法であって、
    　前記車外情報取得装置からの出力を基に、車外の対象物を認識する認識工程と、
    　前記通信装置から前記セキュリティゲートウェイ装置へのアクセスに対して、予め設定された基準を基に前記通信装置を特定する特定工程と、
    　前記特定工程で特定された通信装置と前記認識工程で認識された対象物とを照合する照合工程と、
    　前記照合工程で一致が確認された通信装置からのアクセスに対し認証処理を実行する認証工程と、
    　前記認証工程で認証された前記通信装置から受信したデータを前記セキュリティゲートウェイ装置で復号して前記演算装置に出力する復号工程とを含む
    ことを特徴とする受信データ処理方法。
  6. 　車外環境の情報を取得する車外情報取得装置からの出力を受け、道路上であって障害物を回避する経路を生成し、当該経路に沿って走行する際の自動車の目標運動を決定する演算装置と、外部の通信装置が接続された外部のネットワークと前記演算装置との間に設けられたセキュリティゲートウェイ装置とを備える自動車用演算システムにおける、外部のネットワークから受けた受信データの処理方法であって、
    　外部のネットワークを介して互いに異なる複数の前記通信装置から前記セキュリティゲートウェイ装置にアクセスがあった場合に、それぞれの前記通信装置を特定する特定工程と、
    　前記特定工程で特定された通信装置の優先順位を予め設定された基準に基づいて設定する設定工程と、
    　前記設定工程で設定された優先順位にしたがって前記複数の通信装置の認証処理を実行する認証工程と、
    　前記認証工程で認証された前記通信装置から受信したデータを前記セキュリティゲートウェイ装置で復号して前記演算装置に出力する復号工程とを含む
    ことを特徴とする受信データ処理方法。
  7. 　請求項６に記載の受信データ処理方法において、
    　前記特定工程は、前記通信装置の中から、予め設定された基準を基に不正なアクセスをする装置を特定する不正装置特定工程を含み、
    　前記不正装置特定工程で特定された装置を、前記優先順位の付与対象から除外する
    ことを特徴とする受信データ処理方法。
PCT/JP2020/009464 2019-03-29 2020-03-05 自動車用演算システム及び受信データの処理方法 Ceased WO2020203022A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP20782172.9A EP3937431A4 (en) 2019-03-29 2020-03-05 AUTOMOTIVE COMPUTING SYSTEM AND PROCESSING METHOD FOR RECEIVED DATA
CN202080025170.9A CN113678408A (zh) 2019-03-29 2020-03-05 汽车用运算系统和接收数据的处理方法
US17/598,892 US20220153299A1 (en) 2019-03-29 2020-03-05 Computing system for automobile and processing method for reception data

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019-068441 2019-03-29
JP2019068441A JP2020167607A (ja) 2019-03-29 2019-03-29 自動車用演算システム及び受信データの処理方法

Publications (1)

Publication Number Publication Date
WO2020203022A1 true WO2020203022A1 (ja) 2020-10-08

Family

ID=72668319

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/009464 Ceased WO2020203022A1 (ja) 2019-03-29 2020-03-05 自動車用演算システム及び受信データの処理方法

Country Status (5)

Country Link
US (1) US20220153299A1 (ja)
EP (1) EP3937431A4 (ja)
JP (1) JP2020167607A (ja)
CN (1) CN113678408A (ja)
WO (1) WO2020203022A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPWO2024024085A1 (ja) * 2022-07-29 2024-02-01

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7382281B2 (ja) * 2020-05-25 2023-11-16 株式会社東海理化電機製作所 制御装置および制御方法
CN115158194A (zh) * 2022-07-01 2022-10-11 锦图计算技术(深圳)有限公司 基于Linux系统的智能汽车安全网关系统及其通信方法
US12568372B2 (en) * 2023-03-23 2026-03-03 Qualcomm Incorporated Mode switch for partial integrity security operations
US20260042437A1 (en) * 2024-08-12 2026-02-12 Ford Global Technologies, Llc Brake assist for holding torque within a brake assembly

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018101199A (ja) * 2016-12-19 2018-06-28 株式会社デンソー 運転支援装置
JP2018133721A (ja) 2017-02-16 2018-08-23 クラリオン株式会社 車載ゲートウェイ装置、通信遮断方法
JP2018196108A (ja) * 2017-05-15 2018-12-06 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 検証方法、検証装置およびプログラム
JP2019029993A (ja) * 2017-07-26 2019-02-21 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 異常検知装置および異常検知方法
JP2019036017A (ja) * 2017-08-10 2019-03-07 住友電気工業株式会社 制御装置、制御方法、およびコンピュータプログラム

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4942261B2 (ja) * 2001-07-31 2012-05-30 株式会社デンソー 車両用中継装置、及び、車内通信システム
EP2541829B1 (en) * 2010-02-24 2020-04-15 Renesas Electronics Corporation Wireless communications device and authentication processing method
US9466002B2 (en) * 2012-01-23 2016-10-11 Global Ip Holdings, Llc Real-time system for aiding drivers during vehicle backup and image capture and transmitter unit for use therein
DE102013101508B4 (de) * 2012-02-20 2024-10-02 Denso Corporation Datenkommunikationsauthentifizierungssystem für ein Fahrzeug und Netzkopplungsvorrichtung für ein Fahrzeug
JP5900390B2 (ja) * 2013-01-31 2016-04-06 株式会社オートネットワーク技術研究所 アクセス制限装置、車載通信システム及び通信制限方法
US9842263B2 (en) * 2015-11-10 2017-12-12 Ford Global Technologies, Llc Inter-vehicle authentication using visual contextual information
JP2017174111A (ja) * 2016-03-23 2017-09-28 株式会社東芝 車載ゲートウェイ装置、蓄積制御方法およびプログラム
JP2018164232A (ja) * 2017-03-27 2018-10-18 パナソニックＩｐマネジメント株式会社 通信システム、中継装置、通信方法およびコンピュータプログラム
US10880293B2 (en) * 2017-08-25 2020-12-29 Ford Global Technologies, Llc Authentication of vehicle-to-vehicle communications
KR102506931B1 (ko) * 2018-02-27 2023-03-07 현대자동차 주식회사 전자화 장비 보안 검사 시스템 및 그 방법
CN109358614A (zh) * 2018-08-30 2019-02-19 深圳市易成自动驾驶技术有限公司 自动驾驶方法、系统、装置及可读存储介质
CN109344609B (zh) * 2018-08-31 2023-02-28 惠州市德赛西威汽车电子股份有限公司 一种tcu模块、tcu系统及保护方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018101199A (ja) * 2016-12-19 2018-06-28 株式会社デンソー 運転支援装置
JP2018133721A (ja) 2017-02-16 2018-08-23 クラリオン株式会社 車載ゲートウェイ装置、通信遮断方法
JP2018196108A (ja) * 2017-05-15 2018-12-06 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 検証方法、検証装置およびプログラム
JP2019029993A (ja) * 2017-07-26 2019-02-21 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 異常検知装置および異常検知方法
JP2019036017A (ja) * 2017-08-10 2019-03-07 住友電気工業株式会社 制御装置、制御方法、およびコンピュータプログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3937431A4

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPWO2024024085A1 (ja) * 2022-07-29 2024-02-01
WO2024024085A1 (ja) * 2022-07-29 2024-02-01 マツダ株式会社 車両制御システム
JP7819770B2 (ja) 2022-07-29 2026-02-25 マツダ株式会社 車両制御システム

Also Published As

Publication number Publication date
US20220153299A1 (en) 2022-05-19
EP3937431A4 (en) 2022-04-13
JP2020167607A (ja) 2020-10-08
CN113678408A (zh) 2021-11-19
EP3937431A1 (en) 2022-01-12

Similar Documents

Publication Publication Date Title
WO2020203022A1 (ja) 自動車用演算システム及び受信データの処理方法
US20220398149A1 (en) Minimizing transport fuzzing reactions
US20240073037A1 (en) Internal certificate authority for electronic control unit
US20230389095A1 (en) Enhanced wireless connectivity
US12346278B2 (en) Transport component authentication
US20250308301A1 (en) Providing recorded data related to an event
US20250196724A1 (en) In-cabin detection framework
US20220216991A1 (en) Transport keys based on actions and time
US12227176B2 (en) Transport-related object avoidance
US20240326597A1 (en) Battery management system communication
JP2025535765A (ja) 有効なセキュリティ対策用のＢｌｕｅｔｏｏｔｈ（登録商標） ＲＦシグネチャ
US12417086B2 (en) Data communication with remote operation of a vehicle
US12522236B2 (en) Safe vehicle backup navigation
US20240427927A1 (en) Vehicle-related sensitive data determination and removal
US12515494B2 (en) Vehicle shutdown based on a dangerous situation
US20240054563A1 (en) Auto insurance system
US12377847B2 (en) Initiating operating behavior between vehicles
US12307895B2 (en) Ingress and egress parking preferences
US12289180B2 (en) Vehicle DCM routing management
US20250026199A1 (en) Authorization for vehicle display
US20250042411A1 (en) Offering unused features on a vehicle

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20782172

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2020782172

Country of ref document: EP

Effective date: 20211008