[发明专利]控制装置

说明书

本发明的控制装置包括经由通信路径(200)相互连接的多个控制单元(400、420、440、460)，各控制单元(400、420、440、460)包括切换处理部(406、426)，该切换处理部(406、426)根据检测到异常的软件的动作要件、以及检测到异常的控制单元以外的控制单元的安全状态和控制状态，选择使检测到异常的控制单元的软件继续进行动作的控制单元。

技术领域

本申请涉及控制装置。

背景技术

在车辆上搭载有多个被称为ECU(Electronic Control Unit：电子控制组件)的电子控制单元，各个ECU通过车载网络相互连接，构成为与多个控制单元协同动作的控制装置。因此，经由车载网络的安全攻击，非法侵入车载网络的内部，控制单元被伪装成别的东西，或者程序被篡改，从而例如有可能会给车辆的行驶控制带来问题。

另一方面，以往，即使在控制单元发生异常的情况下，为了以车辆行驶所需的最低限度的功能来使控制装置的动作继续，存在进行车辆的功能的简化或动作的切换等的技术。

在专利文献1中公开了一种控制装置，在控制单元的运算器发生异常时，从存储部读取用于重构与发生异常的控制单元的动作相关的功能的软件，并将其覆盖至其他控制单元的存储区域。根据专利文献1，构成为在控制单元发生异常时，参照对软件所设定的第一优先级信息，将用于重构与作为监视对象的控制单元的动作相关的功能的软件覆盖至对在该第一优先级信息中设定了低优先级的其他软件进行存储的控制单元的存储区域。

现有技术文献

专利文献

专利文献1：日本专利特开2020-8950号公报

发明内容

发明所要解决的技术问题

然而，专利文献1所公开的以往的控制装置在将用于重构与监视对象的控制单元的动作相关的功能的软件覆盖至其他控制单元的存储区域时，未考虑软件的覆盖目标的控制单元的安全状态。因此，在软件的覆盖目标的控制单元未使针对其他物体的冒充或篡改等的安全对策起效的情况下，有可能进行因受到安全攻击而输出不正当的输出值等不正当的动作。另外，专利文献1所公开的以往的控制装置也没有考虑软件的覆盖目标的控制单元的控制状态，因此在将软件覆盖至不满足软件的动作要件的控制单元的情况下，软件有可能不进行预先确定的动作。

本申请公开了一种用于解决上述问题的技术，其目的在于提供一种控制装置，该控制装置能够使发生异常的控制单元的预先确定的动作由其他控制单元按照规格继续执行。

用于解决技术问题的技术手段

本申请所公开的控制装置包括多个控制单元，该多个控制单元以能够经由通信路径互相通信的方式相连接，所述控制装置构成为在检测到所述多个控制单元中的任意控制单元异常时，使检测到所述异常的控制单元的软件的功能中的至少一部分功能由与检测到所述异常的控制单元不同的其他控制单元来继续执行，所述控制装置的特征在于

所述多个控制单元的每一个包括：

通信部，该通信部经由所述通信路径与其他控制单元进行消息的收发；

检测部，该检测部基于所述通信部所接收到的来自其他控制单元的消息，来检测所述其他控制单元的异常；

管理部，该管理部管理自身所属的控制单元的安全状态和控制状态；

判定部，该判定部在所述检测部检测到所述其他控制单元的异常时，判定是否需要使检测到所述异常的所述其他控制单元所执行的所述软件的功能中的至少一部分功能由检测到所述异常的所述其他控制单元以外的其他控制单元来继续执行；以及

切换处理部，该切换处理部在所述判定部判定为存在所述继续执行的必要性时，基于检测到所述异常的所述其他控制单元的所述软件的动作要件、以及检测到所述异常的其他控制单元以外的其他控制单元的所述安全状态和所述控制状态中的至少一方，来选择使所述软件的功能中的至少一部分功能继续执行的控制单元。

发明效果