JP7095240B2 - 電子制御装置 - Google Patents

Description

本発明は、電子制御装置に関する。

従来より、車両制御の状態を把握する手法として、ダイアグデータやログデータを活用する手法が提案されている。例えば特許文献１には、ダイアグデータやログデータから複合的に発生事象の要因を推定し、故障部位を把握する手法が提案されている。

特開２０１４－２１５１２０号公報

しかしながら、これらのダイアグデータやログデータは何れも制御出力結果のみに関するデータであるので、制御出力結果に至った要因や過程を解析することが困難である。そのため、車両制御の状態の真因や全容の把握が困難であり、たとえ把握することができたとしても多くの時間が費やされることが懸念される。

本発明は、上記した事情に鑑みてなされたものであり、その目的は、車両制御の状態の真因や全容を容易に且つ適切に把握することができる電子制御装置を提供することにある。

請求項１に記載した発明によれば、状態監視部（１２ａ）は、車両制御の状態を監視する。データ蓄積部（１２ｂ）は、予め設定されている監視前提条件が成立すると、制御出力結果データの生成に関する制御入力データと、制御プログラムの実行内容として当該制御プログラムが制御入力データを演算して制御出力結果データを生成するまでの過程を示す実行内容データとの両方を含む監視データを蓄積する。送信要求受付部（１２ｃ）は、外部装置（９～１１）からのデータ送信要求を受付ける。データ送信部（１２ｄ）は、外部装置からのデータ送信要求が受付けられると、監視データを外部装置に送信させる。

監視前提条件が成立すると、制御入力データと、制御プログラムの実行内容として当該制御プログラムが制御入力データを演算して制御出力結果データを生成するまでの過程を示す実行内容データとの両方を含む監視データを一気通貫して蓄積し、外部装置からのデータ送信要求を受付けると、その監視データを外部装置に送信させるようにした。外部装置では、監視データに含まれる制御入力データと実行内容データとの両方を用いて制御出力結果に至った要因や過程を適切に解析することができ、車両制御の状態の真因や全容を容易に且つ適切に把握することができる。

第１の実施形態を示す機能ブロック図 プログラムの構成を示す図 監視プログラム起動処理を示すフローチャート 監視データ蓄積処理を示すフローチャート 監視データ送信処理を示すフローチャート 第２の実施形態の監視データ送信処理を示すフローチャート 第３の実施形態の監視データ送信処理を示すフローチャート

（第１の実施形態）
以下、第１の実施形態について図１から図５を参照して説明する。車両内には、複数の電子制御装置１～４と、中継装置５と、車載通信機６とが搭載されている。電子制御装置１，２は、通信バス７を介して中継装置５と接続されており、電子制御装置３，４は、通信バス８を介して中継装置５と接続されている。

電子制御装置１～４は、例えばエンジンの制御を行うエンジンＥＣＵ、ブレーキの制御を行うブレーキＥＣＵ、ステアリングの制御を行うステアリングＥＣＵ、自動変速機の制御を行うトランスミッションＥＣＵ、ナビゲーションの制御を行うナビゲーションＥＣＵ、電子式料金収受システムとの通信制御を行うＥＴＣＥＣＵ、ドアのロック／アンロックの制御を行うドアＥＣＵ、メータの表示制御を行うメータＥＣＵ、エアコンの制御を行うエアコンＥＣＵ、ウィンドウの開閉制御を行うウィンドウＥＣＵ等である。

通信バス７，８は、例えばマルチメディア系の通信バス、パワトレ系の通信バス、ボディ系の通信バス等であり、ＣＡＮ（Controller Area Network、登録商標）、ＬＩＮ（Local Interconnect Network）、ＣＸＰＩ（Clock Extension Peripheral Interface、登録商標）、ＦｌｅｘＲａｙ（登録商標）、ＭＯＳＴ（Media Oriented Systems Transport、登録商標）等から構成されている。通信バス７，８は、通信プロトコルや通信速度や信号フォーマットが共通であっても良いし互いに異なっていても良い。又、電子制御装置の個数や通信バスの本数は例示した構成に限らない。

中継装置５は、電子制御装置１～４との間で通信バス７，８を介してデータを送受信すると共に、車載通信機６との間でデータを送受信する。又、中継装置５は、車両ボディのコネクタに対して配線ケーブルが装着されたことで車両診断ツール９（外部装置に相当する）と有線接続されると、車両診断ツール９との間でデータを送受信する。車両診断ツール９は、作業者が車両診断を行うために操作するツールである。

車載通信機６は、クラウド１０（外部装置に相当する）との間で広域通信ネットワークを介して無線接続されると、クラウド１０との間でデータを送受信する。クラウド１０は、例えばセンタ端末やサーバ等である。車載通信機６は、車両接続端末１１（外部装置に相当する）との間で近距離通信ネットワークを介して無線接続されると、車両接続端末１１との間でデータを送受信する。車両接続端末１１は、例えばユーザが携帯可能なスマートフォンやタブレット端末等である。

次に、電子制御装置１の構成について説明する。尚、電子制御装置２～４も電子制御装置１と同様の構成である。電子制御装置１は、マイクロコンピュータ（以下、マイコンと称する）１２を有する。マイコン１２は、ＣＰＵ、ＲＡＭ、ＲＯＭ、Ｉ／Ｏポート等を有し、ソフトウェア等により実現される内部の機能として、状態監視部１２ａと、データ蓄積部１２ｂと、送信要求受付部１２ｃと、データ送信部１２ｄと、データ加工部１２ｅと、データ圧縮部１２ｆと、データ分割部１２ｇと、差分データ生成部１２ｈと、変更要求受付部１２ｉと、不正アクセス判定部１２ｊと、監視情報受付部１２ｋとを有する。

マイコン１２は、図２に示すように、制御対象を車両制御するための制御プログラムの記憶領域と、監視プログラムを書き換えるための書き換えプログラムの記憶領域と、車両制御の状態を監視するための監視プログラム１，２の記憶領域と、監視プログラムの選択フラグの記憶領域とを有する。マイコン１２は、外部から入力した又は内部で生成した制御入力データを用いて制御プログラムを実行することで制御出力結果データを生成すると共に車両制御を実施する。監視プログラムの記憶領域は、１個の監視プログラムを記憶しても良いし、３個以上の監視プログラムを記憶しても良い。

状態監視部１２ａは、監視プログラムの選択フラグにしたがって監視プログラム１，２のうち何れかを実行することで車両制御の状態を監視する。監視プログラム１，２は監視手順が互いに異なる関係にあり、状態監視部１２ａは、監視プログラム１，２を切換えることで車両制御の状態の監視手順を切換える。この場合、上記したようにマイコン１２が制御入力データを用いて制御プログラムを実行することで制御出力結果データを生成するので、状態監視部１２ａは、制御出力結果データを監視することに加え、制御出力結果データの生成に関する制御入力データを監視すると共に、制御プログラムの実行内容に関する実行内容データを監視する。

データ蓄積部１２ｂは、予め設定されている監視前提条件が成立すると、制御出力結果データと制御入力データと実行内容データとを含む監視データを蓄積する。この場合、データ蓄積部１２ｂは、ユーザや自動制御による車両システムへの操作的なイベントが発生したこと、車両の現在位置が予め設定されている所定領域内であること、現在時刻が予め設定されている所定時間帯であることのうち何れかを監視前提条件とする。データ蓄積部１２ｂは、例えばブレーキ油圧の急激な変化が発生すると、ブレーキ油圧の急激な変化が発生した際の制御出力結果データと制御入力データと実行内容データとを含む監視データを蓄積する。即ち、データ蓄積部１２ｂは、制御出力結果データに加え、ブレーキ油圧の急激な変化が発生するに至った制御入力データと、制御プログラムが制御入力データを演算して制御出力結果データを生成するまでの過程を示す実行内容データとを蓄積する。

又、データ蓄積部１２ｂは、例えば車両が予め設定されている走行退避位置に進入すると、車両が走行退避位置に進入した際の制御出力結果データと制御入力データと実行内容データとを含む監視データを蓄積する。即ち、データ蓄積部１２ｂは、制御出力結果データに加え、車両が走行退避位置に進入するに至った制御入力データと、制御プログラムが制御入力データを演算して制御出力結果データを生成するまでの過程を示す実行内容データとを蓄積する。又、データ蓄積部１２ｂは、例えば現在時刻が予め設定されている監視時刻に達すると、現在時刻が監視時刻に達した際の制御出力結果データと制御入力データと実行内容データとを含む監視データを蓄積する。即ち、データ蓄積部１２ｂは、制御出力結果データに加え、現在時刻が監視時刻に達するに至った制御入力データと、制御プログラムが制御入力データを演算して制御出力結果データを生成するまでの過程を示す実行内容データとを蓄積する。

データ蓄積部１２ｂは、実行内容データを蓄積する際には、制御プログラムの各命令が実行される毎の当該各命令が配置されたメモリ内のアドレス値を順次記録したデータを蓄積する。又、以上は、データ蓄積部１２ｂが制御出力結果データと制御入力データと実行内容データとを含む監視データを蓄積する場合を例示しているが、制御入力データと実行内容データとのうち少なくとも何れかを蓄積すれば良い。即ち、データ蓄積部１２ｂは、制御入力データを蓄積せずに制御出力結果データと実行内容データとを含む監視データを蓄積しても良いし、実行内容データを蓄積せずに制御出力結果データと制御入力データとを含む監視データを蓄積しても良い。

送信要求受付部１２ｃは、車両診断ツール９やクラウド１０や車両接続端末１１からのデータ送信要求を受付ける。即ち、送信要求受付部１２ｃは、車両診断ツール９が中継装置５と有線接続され、車両診断ツール９から送信されたデータ送信要求が中継装置５を介して電子制御装置１に受信されると、車両診断ツール９からのデータ送信要求を受付ける。送信要求受付部１２ｃは、クラウド１０や車両接続端末１１が車載通信機６と無線接続され、クラウド１０や車両接続端末１１から送信されたデータ送信要求が車載通信機６及び中継装置５を介して電子制御装置１に受信されると、クラウド１０や車両接続端末１１からのデータ送信要求を受付ける。

データ送信部１２ｄは、車両診断ツール９やクラウド１０や車両接続端末１１からのデータ送信要求が受付けられると、データ蓄積部１２ｂに蓄積されている監視データを中継装置５から車両診断ツール９に送信させたり車載通信機６からクラウド１０や車両接続端末１１に送信させたりする。この場合、送信制御部１２ｄは、データ送信要求の送信元と監視データの送信先とを同じとしても良いし異ならせても良い。即ち、送信制御部１２ｄは、例えば車両診断ツール９からのデータ送信要求が受付けられると、データ送信要求の送信元である車両診断ツール９に監視データを送信しても良いし、データ送信要求の送信元でないクラウド１０や車両接続端末１１に監視データを送信しても良い。データ送信要求の送信元と監視データの送信先とはどのような組み合わせでも良い。又、データ送信部１２ｄは、ローデータに基づいて抽象化した制御出力結果データを送信させる。

データ加工部１２ｅは、送信対象の監視データを秘匿化、隠蔽化、抽象化等して加工する。この場合、データ加工部１２ｅは、データ送信要求により指定された加工方法にしたがって監視データを加工しても良いし、監視データの送信先にしたがって予め設定されている加工方法にしたがって監視データを加工しても良い。即ち、データ加工部１２ｅは、例えばデータ送信要求の送信元や監視データの送信先が監視データの秘匿化を要求していれば、送信対象の監視データを秘匿化する。データ送信部１２ｄは、送信対象の監視データが加工されると、加工後の監視データを送信させる。

データ圧縮部１２ｆは、車両診断ツール９やクラウド１０や車両接続端末１１に送信される監視データのデータ量を予め設定されている許容データ量と比較し、監視データのデータ量が許容データ量を超えていると、監視データを圧縮する。データ送信部１２ｄは、送信対象の監視データが圧縮されると、その圧縮後の監視データを送信させる。

データ分割部１２ｇは、車両診断ツール９やクラウド１０や車両接続端末１１に送信される監視データのデータ量を予め設定されている許容データ量と比較し、監視データのデータ量が許容データ量を超えていると、監視データを分割する。データ送信部１２ｄは、送信対象の監視データが分割されると、その分割後の監視データを送信させる。尚、データ送信部１２ｄは、分割後の監視データを送信させる際に、分割前の監視データを特定可能な分割情報も送信させる。

差分データ生成部１２ｈは、車両診断ツール９やクラウド１０や車両接続端末１１に送信される監視データのデータ量を予め設定されている許容データ量と比較し、監視データのデータ量が許容データ量を超えていると、過去の任意の監視データと今回の監視データとの差分を示す差分データを生成する。データ送信部１２ｄは、差分データが生成されると、その差分データを送信させる。尚、データ送信部１２ｄは、差分データを送信させる際に、今回の監視データを復元可能な過去の任意の監視データを特定可能な付帯情報も送信させる。即ち、データ送信部１２ｄは、監視データを管理番号で管理する場合であれば、過去の任意の監視データを特定可能な管理番号を付帯情報として送信させる。

変更要求受付部１２ｉは、車両診断ツール９やクラウド１０や車両接続端末１１から送信された監視情報変更要求が電子制御装置１に受信されると、車両診断ツール９やクラウド１０や車両接続端末１１からの監視情報変更要求を受付ける。不正アクセス判定部１２ｊは、監視情報変更要求が受付けられると、その監視情報変更要求の送信元である車両診断ツール９やクラウド１０や車両接続端末１１との間で相互認証を行い、その監視情報変更要求が第三者による不正なアクセスであるか否かを判定する。データ送信部１２ｄは、相互認証の認証結果が正常でなく、その監視情報変更要求が第三者による不正なアクセスであると判定されると、第三者による不正なアクセスの検知起点を示す通知信号を外部に送信させる。

監視情報受付部１２ｋは、車両診断ツール９やクラウド１０や車両接続端末１１から送信された監視情報が電子制御装置１に受信されると、車両診断ツール９やクラウド１０や車両接続端末１１からの監視情報を受付ける。監視情報受付部１２ｋは、監視情報として、監視前提条件、監視頻度、閾値等を受付ける。前述した状態監視部１２ａは、監視情報受付部１２ｋにより受付けられた監視情報にしたがって車両制御の状態を監視する。

次に、上記した構成の作用について図３から図５を参照して説明する。マイコン１２は、監視プログラム起動処理、監視データ蓄積処理、監視データ送信処理を実行する。マイコン１２は、例えばイグニッションスイッチのオフからオンへの切換により電子制御装置１が起動すると監視プログラム起動処理を実行し、その後は、イグニッションスイッチのオンからオフへの切換により電子制御装置１が停止するまで監視データ蓄積処理及び監視データ送信処理を周期的に実行する。尚、ここでは、車両診断ツール９が有線接続され、車両診断ツール９からの監視情報変更要求や監視情報やデータ送信要求を受付けた場合について説明する。

（１）監視プログラム起動処理
マイコン１２は、例えばイグニッションスイッチのオフからオンへの切換により電子制御装置１が起動すると、監視プログラム起動処理を開始し、監視プログラムの選択フラグの記憶領域を参照する。マイコン１２は、参照結果にしたがって起動対象の監視プログラムを決定し、その起動対象として決定した監視プログラムを起動する（Ｓ１）。

マイコン１２は、車両診断ツール９からの監視情報変更要求を受付けたか否かを判定する（Ｓ２）。マイコン１２は、監視情報変更要求を受付けていないと判定すると（Ｓ２：ＮＯ）、監視プログラム起動処理を終了する。即ち、マイコン１２は、これ以降では、その起動した監視プログラムにしたがって制御対象の車両制御の状態を監視する。

マイコン１２は、監視情報変更要求を受付けたと判定すると（Ｓ２：ＹＥＳ）、監視情報変更要求の送信元である車両診断ツール９との間で相互認証を行い、その受付けた監視情報変更要求が第三者による不正なアクセスであるか否かを判定する（Ｓ３）。

マイコン１２は、相互認証の認証結果が正常であると判定し、第三者による不正なアクセスでないと判定すると（Ｓ３：ＮＯ）、監視情報変更要求に対して肯定応答を示す応答信号を監視情報変更要求の送信元である車両診断ツール９に送信させ（Ｓ４）、車両診断ツール９からの監視情報の受付を待機する（Ｓ５）。マイコン１２は、車両診断ツール９からの監視情報を受付けたと判定すると（Ｓ５：ＹＥＳ）、その受付けた監視情報にしたがって監視プログラムを書き換えると共に選択フラグを書き換え（Ｓ６）、監視プログラム起動処理を終了する。即ち、マイコン１２は、次に監視プログラム起動処理を起動する際には当該書き換えた監視プログラムを起動する。

一方、マイコン１２は、相互認証の認証結果が正常でないと判定し、第三者による不正なアクセスであると判定すると（Ｓ３：ＹＥＳ）、第三者による不正なアクセスの発生を示す通知信号を外部に送信させ（Ｓ７）、監視プログラム起動処理を終了する。この場合、マイコン１２は、例えば第三者による不正なアクセスの発生を示す通知信号を車両に搭載されている別の電子制御装置２～４に送信させる。電子制御装置２～４は、電子制御装置１から送信された通知信号を受信すると、第三者による不正なアクセスに対して対処する処理を実行する。

（２）監視データ蓄積処理
マイコン１２は、監視データ蓄積処理の開始タイミングになると、監視データ蓄積処理を開始し、予め設定されている監視前提条件が成立したか否かを判定する（Ｓ１１）。マイコン１２は、監視前提条件が成立していないと判定すると（Ｓ１１：ＮＯ）、監視データ蓄積処理を終了し、次の監視データ蓄積処理の開始タイミングを待機する。

マイコン１２は、ユーザや自動制御による車両システムへの操作的なイベントが発生したこと、車両の現在位置が予め設定されている所定領域内であること、現在時刻が予め設定されている所定時間帯であることのうち少なくとも何れかが成立し、監視前提条件が成立したと判定すると（Ｓ１１：ＹＥＳ）、制御出力結果データと制御入力データと実行内容データとを含む監視データをバッファリングする（Ｓ１２）。マイコン１２は、そのバッファリングした監視データのうち制御出力結果データが予め設定されている閾値範囲内であるか否かを判定する（Ｓ１３）。

マイコン１２は、制御出力結果データが閾値範囲内でないと判定すると（Ｓ１３：ＮＯ）、制御出力結果データが閾値範囲内でない旨を示す通知信号を中継装置５から車両診断ツール９に送信させ（Ｓ１４）、そのバッファリングした監視データを蓄積し（Ｓ１５）、監視データ蓄積処理を終了する。一方、マイコン１２は、制御出力結果データが閾値範囲内であると判定すると（Ｓ１３：ＮＯ）、通知信号を送信させることなく、そのバッファリングした監視データを蓄積し（Ｓ１５）、監視データ蓄積処理を終了する。

（３）監視データ送信処理
マイコン１２は、監視データ送信処理の開始タイミングになると、監視データ送信処理を開始し、車両診断ツール９からのデータ送信要求を受付けたか否かを判定する（Ｓ２１）。マイコン１２は、データ送信要求を受付けていないと判定すると（Ｓ２１：ＮＯ）、監視データ送信処理を終了し、次の監視データ送信処理の開始タイミングを待機する。

マイコン１２は、データ送信要求を受付けたと判定すると（Ｓ２１：ＹＥＳ）、送信対象の監視データを検索して抽出し（Ｓ２２）、その送信対象の監視データに対して加工の必要の有無を判定する（Ｓ２３）。マイコン１２は、その送信対象の監視データに対して加工の必要があると判定すると（Ｓ２３：ＹＥＳ）、その送信対象の監視データを加工し（Ｓ２４）、その加工後の監視データのデータ量を予め設定されている許容データ量と比較し、加工後の監視データのデータ量が許容データ量を超えているか否かを判定する（Ｓ２５）。マイコン１２は、加工後の監視データのデータ量が許容データ量を超えていないと判定すると（Ｓ２５：ＮＯ）、加工後の監視データをデータ送信要求の送信元である車両診断ツール９に送信させ（Ｓ２６）、監視データ送信処理を終了する。マイコン１２は、加工後の監視データのデータ量が許容データ量を超えていると判定すると（Ｓ２５：ＹＥＳ）、加工後の監視データを圧縮する（Ｓ２７）。マイコン１２は、その圧縮した加工後の監視データをデータ送信要求の送信元である車両診断ツール９に送信させ（Ｓ２８）、監視データ送信処理を終了する。

一方、マイコン１２は、その送信対象の監視データに対して加工の必要がないと判定すると（Ｓ２３：ＮＯ）、その監視データのデータ量を許容データ量と比較し、監視データのデータ量が許容データ量を超えているか否かを判定する（Ｓ２９）。マイコン１２は、監視データのデータ量が許容データ量を超えていないと判定すると（Ｓ２９：ＮＯ）、監視データをデータ送信要求の送信元である車両診断ツール９に送信させ（Ｓ３０）、監視データ送信処理を終了する。マイコン１２は、監視データのデータ量が許容データ量を超えていると判定すると（Ｓ２９：ＹＥＳ）、監視データを圧縮する（Ｓ３１）。マイコン１２は、その圧縮した監視データをデータ送信要求の送信元である車両診断ツール９に送信させ（Ｓ３２）、監視データ送信処理を終了する。

尚、以上は、車両診断ツール９が有線接続され、車両診断ツール９からの監視情報変更要求や監視情報やデータ送信要求を受付けた場合を説明したが、マイコン１２は、クラウド１０や車両接続端末１１が無線接続され、クラウド１０や車両接続端末１１からの監視情報変更要求や監視情報やデータ送信要求を受付けた場合も同様の処理を実行する。又、監視情報変更要求や監視情報やデータ送信要求の送信元と監視データの送信先とが同じ場合を説明したが、マイコン１２は、それらの送信元と送信先とが異ならせて同様の処理を実行しても良い。

又、マイコン１２は、複数の車両制御の状態を同時に監視する場合には、それら複数の車両制御の状態に対応する複数の監視データを集約して蓄積する。即ち、マイコン１２は、電子制御装置１のみで複数の車両制御の状態を同時に監視する場合には、電子制御装置１のみに関する複数の監視データを集約して蓄積する。一方、マイコン１２は、複数の電子制御装置１～４に跨って複数の車両制御の状態を同時に監視する場合には、複数の電子制御装置１～４に関する複数の監視データを集約して蓄積する。

以上に説明したように第１の実施形態によれば、次に示す効果を得ることができる。
電子制御装置１において、監視前提条件が成立すると、制御出力データと制御入力データと実行内容データとを含む監視データを一気通貫して蓄積し、車両診断ツール９からのデータ送信要求を受付けると、その監視データを車両診断ツール９に送信させるようにした。車両診断ツール９では、電子制御装置１から受信した監視データを用いて制御出力結果に至った要因や過程を適切に解析することができ、車両制御の状態の真因や全容を容易に且つ適切に把握することができる。これにより、監視データを、例えば車両事故発生時のデータ保全、不良や故障の予兆に関する要因の把握、最適制御への適合条件の変更、車両開発時のデータ収集等の様々な用途に活用することができる。

又、電子制御装置１において、監視前提条件を、ユーザや自動制御による車両システムへの操作的なイベントが発生したこと、車両の現在位置が所定領域内であること、現在時刻が所定時間帯であることのうち何れかとした。ユーザや自動制御による車両システムへの操作的なイベントが発生したこと、車両の現在位置が所定領域内であること、現在時刻が所定時間帯であることを契機とし、監視データの活用先を考慮した上で有用な監視データを一気通貫して蓄積することができる。

又、電子制御装置１において、データ送信要求の送信元及び監視データの送信先として、車両診断ツール９、クラウド１０、車両接続端末１１を採用した。電子制御装置１の様々な接続態様に対応することができ、車両診断ツール９を操作して車両診断を行う作業者、クラウド１０を管理する車両製造メーカ、車両接続端末１１を使用するユーザ等に対してサービスを提供することができる。

又、電子制御装置１において、実行内容データとして、各命令が実行される毎の当該各命令が配置されたメモリ内のアドレス値を順次記録したデータを蓄積するようにした。命令の順序性に関する監視データを蓄積することで、アドレス値にしたがって制御プログラムの命令の実行順序の正否を容易に且つ適切に判定することができる。

又、電子制御装置１において、制御出力結果データが閾値範囲内であると、制御出力結果データと制御入力データや実行内容データを含む監視データを蓄積するようにした。閾値範囲内である制御出力結果データと制御入力データや実行内容データとを関係付けて蓄積することができる。

又、電子制御装置１において、制御出力結果データが閾値範囲内でないと、制御出力結果データと制御入力データや実行内容データを含む監視データを蓄積し、制御出力結果データが閾値範囲内でない旨を示す通知信号を車両診断ツール９に送信させるようにした。閾値範囲内でない制御出力結果データと制御入力データや実行内容データとを関係付けて蓄積することができると共に、制御出力結果データが閾値範囲内でない旨を車両診断ツール９に通知することができる。

又、電子制御装置１において、送信対象の監視データを秘匿化、隠蔽化、抽象化等して加工し、加工後の監視データを車両診断ツール９に送信させるようにした。例えば送信先の要求に応じた態様で監視データを加工して送信することができ、秘匿化や隠蔽化することで、監視データの通信途中での改ざんや傍受を防止してセキュリティを高めることができる。

又、電子制御装置１において、ローデータに基づいて抽象化した制御出力結果データを送信させるようにした。制御出力結果データを抽象化することで、送信対象の監視データの送信データ量を縮小することができ、通信コストや通信環境の外乱影響によるリスクを低減することができる。

又、電子制御装置１において、送信対象の監視データのデータ量が許容データ量を超えている場合には監視データを圧縮し、圧縮後の監視データを送信させるようにした。監視データを圧縮することで、送信対象の監視データの送信データ量を縮小することができ、通信コストや通信環境の外乱影響によるリスクを低減することができる。

又、電子制御装置１において、複数の車両制御の状態を同時に監視する場合には、それら複数の車両制御の状態に対応する複数の監視データを集約して蓄積するようにした。車両診断ツール９では、集約された監視データを受信することで、複数の関連する車両制御の状態の真因や全容を容易に且つ適切に把握することができる。

又、電子制御装置１において、車両診断ツール９からの監視情報変更要求が受付けられると、その監視情報変更要求が第三者による不正なアクセスであるか否かを判定し、不正なアクセスであると判定すると、第三者による不正なアクセスの検知起点を示す通知信号を外部に送信させるようにした。第三者による不正なアクセスの検知起点を周囲に通知することができ、第三者による不正なアクセスの発生に対して適切に対処することができる。

又、電子制御装置１において、車両診断ツール９からの監視情報が受付けられると、その受付けられた監視情報にしたがって車両制御の状態を監視するようにした。監視目的やセキュリティレベルに応じて監視機能のアップデートや改修を適時実施することができ、車両の商品性の向上効果を期待することもできる。

（第２の実施形態）
次に、本発明の第２の実施形態について図６を参照して説明する。尚、前述した第１の実施形態と同一部分については説明を省略し、異なる部分について説明する。第１の実施形態では、監視データ送信処理において、監視データのデータ量が許容データ量を超えている場合に監視データを圧縮する構成であるが、第２の実施形態では、監視データのデータ量が許容データ量を超えている場合に監視データを分割する構成である。

マイコン１２は、送信対象の監視データに対して加工の必要があると判定し（Ｓ２３：ＹＥＳ）、その送信対象の監視データを加工し（Ｓ２４）、加工後の監視データのデータ量が許容データ量を超えていると判定すると（Ｓ２５：ＹＥＳ）、加工後の監視データを分割する（Ｓ４１）。マイコン１２は、その分割した加工後の監視データをデータ送信要求の送信元である車両診断ツール９に送信させ（Ｓ４２）、分割前の監視データを特定可能な分割情報をデータ送信要求の送信元である車両診断ツール９に送信させ（Ｓ４３）、監視データ送信処理を終了する。

一方、マイコン１２は、その送信対象の監視データに対して加工の必要がないと判定し（Ｓ２３：ＮＯ）、監視データのデータ量が許容データ量を超えていると判定すると（Ｓ２９：ＹＥＳ）、監視データを分割する（Ｓ４４）。マイコン１２は、その分割した監視データをデータ送信要求の送信元である車両診断ツール９に送信させ（Ｓ４５）、分割前の監視データを特定可能な分割情報をデータ送信要求の送信元である車両診断ツール９に送信させ（Ｓ４６）、監視データ送信処理を終了する。

以上に説明したように第２の実施形態によれば、送信対象の監視データのデータ量が許容データ量を超えている場合には監視データを分割し、分割後の監視データを送信させるようにした。監視データを分割することで、送信対象の監視データの送信データ量を縮小することができ、通信コストや通信環境の外乱影響によるリスクを低減することができる。又、分割前の監視データを特定可能な分割情報を送信させるようにした。車両診断ツール９では、電子制御装置１から受信した分割情報を用いて分割後の監視データから分割前の監視データを復元することができる。

（第３の実施形態）
次に、本発明の第３の実施形態について図７を参照して説明する。尚、前述した第１の実施形態と同一部分については説明を省略し、異なる部分について説明する。第３の実施形態では、監視データのデータ量が許容データ量を超えている場合に差分データを生成する構成である。

マイコン１２は、送信対象の監視データに対して加工の必要があると判定し（Ｓ２３：ＹＥＳ）、その送信対象の監視データを加工し（Ｓ２４）、加工後の監視データのデータ量が許容データ量を超えていると判定すると（Ｓ２５：ＹＥＳ）、過去の任意の監視データと今回の加工後の監視データとの差分を示す差分データを生成する（Ｓ５１）。マイコン１２は、その生成した差分データをデータ送信要求の送信元である車両診断ツール９に送信させ（Ｓ５２）、今回の監視データを復元可能な過去の任意の監視データを特定可能な付帯情報をデータ送信要求の送信元である車両診断ツール９に送信させ（Ｓ５３）、監視データ送信処理を終了する。

一方、マイコン１２は、その送信対象の監視データに対して加工の必要がないと判定し（Ｓ２３：ＮＯ）、監視データのデータ量が許容データ量を超えていると判定すると（Ｓ２９：ＹＥＳ）、過去の任意の監視データと今回の監視データとの差分を示す差分データを生成する（Ｓ５４）。マイコン１２は、その生成した差分データをデータ送信要求の送信元である車両診断ツール９に送信させ（Ｓ５５）、今回の監視データを復元可能な過去の任意の監視データを特定可能な付帯情報をデータ送信要求の送信元である車両診断ツール９に送信させ（Ｓ５６）、監視データ送信処理を終了する。

以上に説明したように第３の実施形態によれば、送信対象の監視データのデータ量が許容データ量を超えている場合には差分データを生成し、その生成した差分データを送信させるようにした。過去の任意の監視データと今回の加工後の監視データとの差分を示す差分データを生成することで、送信対象の監視データの送信データ量を縮小することができ、通信コストや通信環境の外乱影響によるリスクを低減することができる。又、今回の監視データを復元可能な過去の任意の監視データを特定可能な付帯情報を送信させるようにした。車両診断ツール９では、電子制御装置１から受信した付帯情報を用いて差分データから今回の監視データを復元することができる。

（その他の実施形態）
本開示は、実施例に準拠して記述されたが、当該実施例や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、更には、それらに一要素のみ、それ以上、或いはそれ以下を含む他の組み合わせや形態をも、本開示の範疇や思想範囲に入るものである。

制御入力データと実行内容データとの両方を蓄積し、外部装置からのデータ送信要求が受付けられたときに、制御入力データと実行内容データとの両方を送信するか、制御入力データのみを送信するか、実行内容データのみを送信するかを選択可能としても良い。

実施形態では、送信対象の監視データのデータ量が許容データ量を超えていることを条件とし、監視データを圧縮したり分割したり差分データを生成したりする構成を例示したが、上記した条件を省いても良い。即ち、送信対象の監視データのデータ量が許容データ量を超えていなくても、監視データを圧縮したり分割したり差分データを生成したりする構成でも良い。

図面中、１～４は電子制御装置、９は車両診断ツール（外部装置）、１０はクラウド（外部装置）、１１は車両接続端末（外部装置）、１２ａは状態監視部、１２ｂはデータ蓄積部、１２ｃは送信要求受付部、１２ｄはデータ送信部、１２ｅはデータ加工部、１２ｆはデータ圧縮部、１２ｇはデータ分割部、１２ｈは差分データ生成部、１２ｉは変更要求受付部、１２ｊは不正アクセス判定部、１２ｋは監視情報受付部である。

Claims (16)

1. 制御プログラムを実行することで制御出力結果データを生成すると共に車両制御を実施する電子制御装置であって、
   車両制御の状態を監視する状態監視部（１２ａ）と、
   予め設定されている監視前提条件が成立すると、前記制御出力結果データの生成に関する制御入力データと、前記制御プログラムの実行内容として当該制御プログラムが前記制御入力データを演算して前記制御出力結果データを生成するまでの過程を示す実行内容データとの両方を含む監視データを蓄積するデータ蓄積部（１２ｂ）と、
   外部装置（９～１１）からのデータ送信要求を受付ける送信要求受付部（１２ｃ）と、
   前記外部装置からのデータ送信要求が受付けられると、前記監視データを前記外部装置に送信させるデータ送信部（１２ｄ）と、を備えた電子制御装置。
2. 前記データ蓄積部は、前記監視前提条件を、ユーザや自動制御による車両システムへの操作的なイベントが発生したこと、車両の現在位置が予め設定されている所定領域内であること、現在時刻が予め設定されている所定時間帯であることのうち少なくとも何れかとする請求項１に記載した電子制御装置。
3. 前記送信要求受付部は、前記外部装置として、車両診断ツール（９）、クラウド（１０）、車両接続端末（１１）のうち少なくとも何れかからのデータ送信要求を受付ける請求項１又は２に記載した電子制御装置。
4. 前記データ蓄積部は、前記実行内容データとして、制御プログラムの各命令が実行される毎の当該各命令が配置されたメモリ内のアドレス値を順次記録したデータを蓄積する請求項１から３の何れか一項に記載した電子制御装置。
5. 前記制御出力結果データが予め設定されている閾値範囲内であると、前記データ蓄積部は、前記制御入力データと前記実行内容データとに加えて前記制御出力結果データを含む前記監視データを蓄積する請求項１から４の何れか一項に記載した電子制御装置。
6. 前記制御出力結果データが予め設定されている閾値範囲内でないと、前記データ蓄積部は、前記制御入力データと前記実行内容データとに加えて前記制御出力結果データを含む前記監視データを蓄積し、前記データ送信部は、前記制御出力結果データが前記閾値範囲内でない旨を示す通知信号を前記外部装置に送信させる請求項１から５の何れか一項に記載した電子制御装置。
7. 前記監視データを加工するデータ加工部（１２ｅ）を備え、
   前記データ送信部は、加工後の監視データを前記外部装置に送信させる請求項１から６の何れか一項に記載した電子制御装置。
8. 前記データ送信部は、前記制御出力結果データとして、ローデータに基づいて抽象化した制御出力結果データを前記外部装置に送信させる請求項１から７の何れか一項に記載した電子制御装置。
9. 前記外部装置への送信対象の監視データを圧縮するデータ圧縮部（１２ｆ）を備え、
   前記データ送信部は、圧縮後の監視データを前記外部装置に送信させる請求項１から８何れか一項に記載した電子制御装置。
10. 前記外部装置への送信対象の監視データを分割するデータ分割部（１２ｇ）を備え、
    前記データ送信部は、分割後の監視データを前記外部装置に送信させる請求項１から８の何れか一項に記載した電子制御装置。
11. 前記データ送信部は、分割後の監視データを前記外部装置に送信させると共に、分割前の監視データを特定可能な分割情報を前記外部装置に送信させる請求項１０に記載した電子制御装置。
12. 前記外部装置への送信対象の監視データについて過去の任意の監視データと今回の監視データとの差分を示す差分データを生成する差分データ生成部（１２ｈ）を備え、
    前記データ送信部は、差分データを前記外部装置に送信させる請求項１から８の何れか一項に記載した電子制御装置。
13. 前記データ送信部は、差分データを前記外部装置に送信させると共に、今回の監視データを復元可能な過去の任意の監視データを特定可能な付帯情報を前記外部装置に送信させる請求項１２に記載した電子制御装置。
14. 前記データ蓄積部は、複数の車両制御の状態が前記状態監視部により同時に監視される場合には、それら複数の車両制御の状態に対応する複数の監視データを集約して蓄積する請求項１から１３の何れか一項に記載した電子制御装置。
15. 前記外部装置からの監視情報変更要求を受付ける変更要求受付部（１２ｉ）と、
    前記外部装置からの監視情報変更要求が受付けられると、その監視情報変更要求が第三者による不正なアクセスであるか否かを判定する不正アクセス判定部（１２ｊ）と、を備え、
    前記データ送信部は、その監視情報変更要求が第三者による不正なアクセスであると判定されると、少なくとも第三者による不正なアクセスの検知起点を示す通知信号を外部に送信させる請求項１から１４の何れか一項に記載した電子制御装置。
16. 前記外部装置からの監視情報を受付ける監視情報受付部（１２ｋ）を備え、
    前記状態監視部は、前記外部装置からの監視情報が受付けられると、その受付けられた監視情報にしたがって車両制御の状態を監視する請求項１から１５の何れか一項に記載した電子制御装置。

Images