▶ パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカの特許一覧
特許7133977車載中継装置、車載監視装置、車載制御ネットワークシステム、通信監視方法及びプログラム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2022-09-01
(45)【発行日】2022-09-09
(54)【発明の名称】車載中継装置、車載監視装置、車載制御ネットワークシステム、通信監視方法及びプログラム
(51)【国際特許分類】
H04L 43/08 20220101AFI20220902BHJP
H04L 12/28 20060101ALI20220902BHJP
H04L 12/46 20060101ALI20220902BHJP
【ＦＩ】
H04L43/08
H04L12/28 100A
H04L12/46 100C
H04L12/46 E
【請求項の数】
21
(21)【出願番号】P 2018098026
(22)【出願日】2018-05-22
(65)【公開番号】P2019029994
(43)【公開日】2019-02-21
【審査請求日】2021-04-20
(31)【優先権主張番号】PCT/JP2017/027120
(32)【優先日】2017-07-26
(33)【優先権主張国・地域又は機関】WO
(73)【特許権者】
【識別番号】514136668
【氏名又は名称】パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
【氏名又は名称原語表記】Ｐａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ
(74)【代理人】
【識別番号】100109210
【弁理士】
【氏名又は名称】新居 広守
(74)【代理人】
【識別番号】100137235
【弁理士】
【氏名又は名称】寺谷 英作
(74)【代理人】
【識別番号】100131417
【弁理士】
【氏名又は名称】道坂 伸一
(72)【発明者】
【氏名】鳥崎 唯之
(72)【発明者】
【氏名】寺澤 弘泰
(72)【発明者】
【氏名】芳賀 智之
(72)【発明者】
【氏名】氏家 良浩
(72)【発明者】
【氏名】加藤 遼
【審査官】岩田 玲彦
(56)【参考文献】
【文献】特開２００３－１９５９０９（ＪＰ，Ａ）
【文献】特開２０１５－１５４４８１（ＪＰ，Ａ）
【文献】特開２０１０－１６６１６０（ＪＰ，Ａ）
【文献】特開２０１６－１１１４７７（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｈ０４Ｌ １２／２８
１２／４６
４３／０８
(57)【特許請求の範囲】
【請求項1】
車両において複数の制御装置が接続されている複数の制御ネットワークに跨る前記複数の制御装置間の通信を中継する車載中継装置であって、前記複数の制御装置の少なくとも一部に実行させる制御のための制御コマンドを一フレームに複数含む制御データを前記複数の制御ネットワークに含まれる第一の制御ネットワークから受信する通信部と、
前記一フレームに含まれる制御コマンド各々の種類が、同時に実行可能な組合せとして設定された第一の組合せであるか否かについての第一の判定を実行し、前記判定の結果を用いて前記制御データの異常の有無についての第二の判定を実行し、前記第二の判定の結果を出力する判定部とを備える
車載中継装置。
【請求項2】
前記判定部は、前記第一の判定の結果、前記制御コマンド各々の種類の組合せが前記第一の組合せでない場合に、前記第二の判定において前記制御データに異常があると判定する請求項１に記載の車載中継装置。
【請求項3】
前記制御データは、前記制御の種類を示す制御ＩＤをさらに含み、前記第一の組合せは、前記制御ＩＤが示す制御の種類に対して設定された組合せである
請求項２に記載の車載中継装置。
【請求項4】
前記判定部は、前記車両の状態を示す状態データを取得し、前記状態データが示す状態に応じて異なる前記第一の組合せを用いて前記第一の判定を実行する請求項２又は３に記載の車載中継装置。
【請求項5】
前記状態データは、前記複数の制御装置の少なくとも一部から送信されたデータに基づくデータである請求項４に記載の車載中継装置。
【請求項6】
前記第一の判定の結果、前記制御コマンド各々の種類の組合せが前記第一の組合せである場合、前記判定部はさらに前記制御コマンド各々の内容の組合せが、前記第一の組合せに対して予め定められた第二の組合せであるか否かについての第三の判定を実行して前記第三の判定の結果を出力し、前記判定部は前記第三の判定において、前記制御コマンド各々の内容の組合せが前記第二の組合せでない場合に前記制御データに異常があると判定する
請求項１から５のいずれか一項に記載の車載中継装置。
【請求項7】
前記第二の組合せは、前記制御コマンド各々に含まれる操作量の値が入るべき所定の範囲の組合せである請求項６に記載の車載中継装置。
【請求項8】
前記判定部は、前記車両の状態を示す状態データを取得し、前記状態データが示す状態に応じて異なる前記所定の範囲を用いる請求項７に記載の車載中継装置。
【請求項9】
中継部をさらに備え、前記判定部が出力した結果が前記制御データに異常がないことを示す場合、
前記中継部は、前記複数の制御コマンドを、前記複数の制御ネットワークのうち、前記第一の制御ネットワークとは異なる制御ネットワークであって、前記複数の制御コマンドのそれぞれに応じた所定の送信先である第二の制御ネットワークに送信する
請求項１から８のいずれか一項に記載の車載中継装置。
【請求項10】
前記制御データは、前記複数の制御コマンドそれぞれの種類を示す制御コマンドＩＤをさらに含み、前記中継部は、送信する前記複数の制御コマンドのそれぞれに添えて、当該制御コマンドの種類を示す前記制御コマンドＩＤを、所定の変換規則に従って変換して前記第二の制御ネットワークに送信する
請求項９に記載の車載中継装置。
【請求項11】
前記中継部は、前記複数の制御コマンドのそれぞれを所定の変換規則に従って変換してから送信する請求項１０に記載の車載中継装置。
【請求項12】
前記第一の制御ネットワークは、前記一フレームで送信可能な前記制御データの最大データサイズが前記第二の制御ネットワークにおいて前記一フレームで送信可能な前記制御データの最大データサイズより大きく、前記中継部は、前記第一の制御ネットワークから受信した前記制御データの一フレームに含まれる前記複数の制御コマンドを、複数のフレームに分けて前記第二の制御ネットワークに送信する
請求項１１に記載の車載中継装置。
【請求項13】
前記第一の制御ネットワークと前記第二の制御ネットワークとは、準拠する規格が異なる請求項１２に記載の車載中継装置。
【請求項14】
前記第一の制御ネットワークが準拠する規格はＥｔｈｅｒｎｅｔ（登録商標）であり、前記第二の制御ネットワークが準拠する規格はＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ ＡｒｅａＮｅｔｗｏｒｋ）である
請求項１３に記載の車載中継装置。
【請求項15】
中継装置によって通信が中継される第一の制御ネットワーク及び第二の制御ネットワークを含む車載ネットワークにおいて、前記第一の制御ネットワークに接続される車載監視装置であって、前記第一の制御ネットワークに接続される制御装置から送信された、前記第二の制御ネットワークに接続される制御装置に実行させる制御のための制御コマンドを一フレームに複数含む制御データを受信する通信部と、
前記一フレームに含まれる制御コマンド各々の種類が、同時に実行可能な制御の組合せとして設定された第一の組合せであるか否かについての第一の判定を実行し、前記判定の結果を用いて前記制御データの異常の有無についての第二の判定を実行し、前記第二の判定の結果を出力する判定部とを備え、
前記第一の制御ネットワークは、前記一フレームで送信可能な前記制御データの最大データサイズが前記第二の制御ネットワークにおいて前記一フレームで送信可能な前記制御データの最大データサイズより大きい
車載監視装置。
【請求項16】
車両において複数の制御装置が接続されている複数の制御ネットワークに跨る前記複数の制御装置間の通信を中継する、通信部及びプロセッサを備える車載中継装置において実行される通信監視方法であって、前記通信部を用いて、前記複数の制御装置の少なくとも一部に実行させる制御のための制御コマンドを一フレームに複数含む制御データを前記複数の制御ネットワークに含まれる第一の制御ネットワークから受信し、
前記プロセッサを用いて、前記一フレームに含まれる制御コマンド各々の種類が、同時に実行可能な制御の組合せとして設定された第一の組合せであるか否かについての第一の判定を実行し、前記判定の結果を用いて前記制御データの異常の有無についての第二の判定を実行し、前記第二の判定の結果を出力する
通信監視方法。
【請求項17】
車両において複数の制御装置が接続されている複数の制御ネットワークに跨る前記複数の制御装置間の通信を中継する、通信部及びプロセッサを備える車載中継装置において、前記プロセッサによって実行されるプログラムであって、実行されることで前記車載中継装置に、前記複数の制御装置の少なくとも一部に実行させる制御のための制御コマンドを一フレームに複数含む制御データを前記複数の制御ネットワークに含まれる第一の制御ネットワークから前記通信部を用いて受信させ、
前記一フレームに含まれる制御コマンド各々の種類が、同時に実行可能な制御の組合せとして設定された第一の組合せであるか否かについての第一の判定を実行し、前記判定の結果を用いて前記制御データの異常の有無についての第二の判定を実行し、前記第二の判定の結果を出力させる
プログラム。
【請求項18】
複数の制御装置が接続され、車載中継装置によって前記制御装置間の通信が中継される第一の制御ネットワーク及び第二の制御ネットワークを含む車載制御ネットワークシステムであって、前記第一の制御ネットワークは、一フレームで送信可能な制御データの最大データサイズが前記第二の制御ネットワークにおいて一フレームで送信可能な制御データの最大データサイズより大きく、
前記第一の制御ネットワークから前記第二の制御ネットワークに送信される制御データは、前記第二の制御ネットワークに接続される制御装置に所定の制御を同時に実行させる複数の制御コマンドの組み合わせを一フレームに含み、
前記車載中継装置は、
前記複数の制御装置の少なくとも一部に実行させる制御のための制御コマンドを一フレームに複数含む制御データを前記複数の制御ネットワークに含まれる第一の制御ネットワークから受信する通信部と、
前記一フレームに含まれる制御コマンド各々の種類が、同時に実行可能な組合せとして設定された第一の組合せであるか否かについての第一の判定を実行し、前記判定の結果を用いて前記制御データの異常の有無についての第二の判定を実行し、前記第二の判定の結果を出力する判定部とを備える
車載制御ネットワークシステム。
【請求項19】
前記複数の制御コマンドの組合せは、前記所定の制御の種類に対して設定された同時に実行可能な組合せである請求項１８に記載の車載制御ネットワークシステム。
【請求項20】
前記複数の制御コマンドのそれぞれは、操舵制御、加速制御、減速制御、方向指示器制御のいずれの制御内容を示す請求項１９に記載の車載制御ネットワークシステム。
【請求項21】
前記制御データはさらに、前記複数の制御コマンドの組合せに対応する制御の種類を示す制御ＩＤを含む請求項２０に記載の車載制御ネットワークシステム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は車載ネットワークにおいて複数の制御ネットワークに跨る通信の中継を行なう中継装置等に関する。
【背景技術】
【0002】
自動車の電子制御技術の高度化及び車載装置の通信ネットワークへの接続の普及につれ、自動車の情報面でのセキュリティリスクが高まっており、その対策のための技術が求められている。これまで、自動車の基幹ネットワークには例えばＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）の規格が用いられている。ＣＡＮの車載ネットワークでの従来のセキュリティ対策技術としては、周期的に送信されるデータフレームを受信し、送信周期に係る所定ルールへの適合を調べることにより不正検知を行うものがある（例えば、特許文献１参照）。
【0003】
一方、車外の通信ネットワークとの接続並びに処理情報の高度化及び大容量化に伴い、従来のＣＡＮに加えて、Ｅｔｈｅｒｎｅｔ（登録商標）が車載ネットワークの規格として採用されつつある。Ｅｔｈｅｒｎｅｔでは、一度のトランザクションで送信できるデータサイズがＣＡＮよりも格段に大きいため、複数のＣＡＮフレーム相当のデータを送受信される順番に応じて、まとめてひとつのＥｔｈｅｒｎｅｔフレームとして送信する技術が提案されている（例えば、特許文献２）。
【先行技術文献】
【特許文献】
【0004】
【文献】国際公開第２０１５／１７０４５１号
【文献】国際公開第２０１７／０９０３５１号
【発明の概要】
【発明が解決しようとする課題】
【0005】
しかしながら、上記の従来の構成では、ＣＡＮの制御ネットワークとＥｔｈｅｒｎｅｔの制御ネットワークとが混在する車載ネットワークにおいて、Ｅｔｈｅｒｎｅｔのネットワークの構成がバス型ではないため、送信の周期性を利用する不正判定は信頼性に欠けるという第一の課題がある。
【0006】
また、上記の従来の構成では、複数のＣＡＮフレーム相当の制御データを含むひとつのＥｔｈｅｒｎｅｔフレームに、連続的又は短時間に処理されるべきＣＡＮの一連の制御コマンドが含まれるとは限らない。このため、このような一連の制御コマンドであっても、複数のＥｔｈｅｒｎｅｔフレームに分散して送信される可能性がある。しかしＥｔｈｅｒｎｅｔでは、フレームの不達が発生する可能性があり、不達のフレームは再送される。ところが不達のフレームの再送が実行された場合、ＣＡＮのネットワークに接続される制御装置（以下、ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）ともいう）では、複数の制御コマンドの処理すべき順序と受信の順序とが異なる、一定期間内に処理すべき複数の制御コマンドが一定時間内に揃わない、などの不具合が発生することによって、車両の制御が正しく行われない可能性があるという第二の課題を有する。
【0007】
そこで本発明は、送信周期の利用を必要としない手法を用いて複数の制御コマンドを含むフレームに対する信頼性のより高い異常判定を実行し、一フレームで送信可能な大きさの異なる制御ネットワークに跨って送受信される制御コマンドの異常の発生を車載中継装置等を提供する。
【課題を解決するための手段】
【0008】
上記課題を解決する本発明の一態様に係る車載中継装置は、車両において複数の制御装置が接続されている複数の制御ネットワークに跨る前記複数の制御装置間の通信を中継する車載中継装置であって、前記複数の制御装置の少なくとも一部に実行させる制御のための制御コマンドを一フレームに複数含む制御データを前記複数の制御ネットワークに含まれる第一の制御ネットワークから受信する通信部と、前記一フレームに含まれる制御コマンド各々の種類が、同時に実行可能な組合せとして設定された第一の組合せであるか否かについての第一の判定を実行し、前記判定の結果を用いて前記制御データの異常の有無についての第二の判定を実行し、前記第二の判定の結果を出力する判定部とを備える。
【0009】
また、上記課題を解決する本発明の一態様に係る車載監視装置は、中継装置によって通信が中継される第一の制御ネットワーク及び第二の制御ネットワークを含む車載ネットワークにおいて、前記第一の制御ネットワークに接続される車載監視装置であって、前記第一の制御ネットワークに接続される制御装置から送信された、前記第二の制御ネットワークに接続される制御装置に実行させる制御のための制御コマンドを一フレームに複数含む制御データを受信する通信部と、前記一フレームに含まれる制御コマンド各々の種類が、同時に実行可能な制御の組合せとして設定された第一の組合せであるか否かについての第一の判定を実行し、前記判定の結果を用いて前記制御データの異常の有無についての第二の判定を実行し、前記第二の判定の結果を出力する判定部とを備え、前記第一の制御ネットワークは、一フレームで送信可能な制御コマンドの最大データサイズが前記第二の制御ネットワークにおいて一フレームで送信可能な制御コマンドの最大データサイズより大きい。
【0010】
また、上記課題を解決する本発明の一態様に係る通信監視方法は、車両において複数の制御装置が接続されている複数の制御ネットワークに跨る前記複数の制御装置間の通信を中継する、通信部及びびプロセッサを備える車載中継装置において実行される通信監視方法であって、前記通信部を用いて、前記複数の制御装置の少なくとも一部に実行させる制御のための制御コマンドを一フレームに複数含む制御データを前記複数の制御ネットワークに含まれる第一の制御ネットワークを受信し、前記プロセッサを用いて、前記一フレームに含まれる制御コマンド各々の種類が、同時に実行可能な制御の組合せとして設定された第一の組合せであるか否かについての第一の判定を実行し、前記判定の結果を用いて前記制御データの異常の有無についての第二の判定を実行し、前記第二の判定の結果を出力する。
【0011】
また、上記課題を解決する本発明の一態様に係るプログラムは、車両において複数の制御装置が接続されている複数の制御ネットワークに跨る前記複数の制御装置間の通信を中継する、通信部及びプロセッサを備える車載中継装置において、前記びプロセッサによって実行されるプログラムであって、実行されることで前記車載中継装置に、前記複数の制御装置の少なくとも一部に実行させる制御のための制御コマンドを一フレームに複数含む制御データを前記複数の制御ネットワークに含まれる第一の制御ネットワークを前記通信部を用いて受信させ、前記一フレームに含まれる制御コマンド各々の種類が、同時に実行可能な制御の組合せとして設定された第一の組合せであるか否かについての第一の判定を実行し、前記判定の結果を用いて前記制御データの異常の有無についての第二の判定を実行し、前記第二の判定の結果を出力させる。
【0012】
また、上記課題を解決する本発明の一態様に係る車載制御ネットワークシステムは、複数の制御装置が接続され、車載中継装置によって前記制御装置間の通信が中継される第一の制御ネットワーク及び第二の制御ネットワークを含む車載の制御ネットワークシステムであって、前記第一の制御ネットワークは、一フレームで送信可能な制御コマンドの最大データサイズが前記第二の制御ネットワークにおいて一フレームで送信可能な制御コマンドの最大データサイズより大きく、前記第一の制御ネットワークから前記第二の制御ネットワークに送信される制御データは、前記第二の制御ネットワークに接続される制御装置に所定の制御を同時に実行させる複数の制御コマンドの組み合わせを一フレームに含む。
【0013】
なお、ここでの複数の制御コマンドの同時の実行とは、１以上の制御装置で、加速、減速、操舵、又は方向指示の各種類の制御コマンドのうち、複数種類の組合せで並行して、又は連続的に、若しくは数秒以内のごく短い間隔で実行されることである。また、同時に実行可能とは、複数を組合せた制御コマンドの種類に、同時に実行されることに矛盾がないことを意味する。
【0014】
また、ここでの制御データの異常とは、制御ネットワークへのサイバー攻撃に起因する不正データの発生に限定されない。例えば車載制御ネットワークシステムに含まれる各制御ネットワークの仕様若しくは制御ネットワークシステムに混在する仕様の差異、又は通信ネットワークを構成する装置等の故障に起因する異常であってもよい。
【発明の効果】
【0015】
本発明に係る車載中継装置等によれば、送信周期の利用を必要としない手法を用いて複数の制御コマンドを含むフレームに対する信頼性のより高い異常判定が実行され、一フレームで送信可能な大きさの異なる制御ネットワークが混在するネットワークシステムにおいて、制御ネットワークを跨る制御コマンドの送受信の不具合の発生が抑えられる。
【図面の簡単な説明】
【0016】
【発明を実施するための形態】
【0017】
本発明の一態様に係る車載中継装置は、車両において複数の制御装置が接続されている複数の制御ネットワークに跨る前記複数の制御装置間の通信を中継する車載中継装置であって、前記複数の制御装置の少なくとも一部に実行させる制御のための制御コマンドを一フレームに複数含む制御データを前記複数の制御ネットワークに含まれる第一の制御ネットワークから受信する通信部と、前記一フレームに含まれる制御コマンド各々の種類が、同時に実行可能な組合せとして設定された第一の組合せであるか否かについての第一の判定を実行し、前記判定の結果を用いて前記制御データの異常の有無についての第二の判定を実行し、前記第二の判定の結果を出力する判定部とを備える。
【0018】
これにより、複数の制御コマンドを含む制御データを運ぶ１個のフレームに対して、制御コマンドの送信周期に依存しないで異常の有無を判定することができる。
【0019】
また例えば、前記判定部は、前記第一の判定の結果、前記制御コマンド各々の種類の組合せが前記第一の組合せでない場合に、前記第二の判定において前記制御データに異常があると判定してもよい。
【0020】
これにより、制御データが含む複数の制御コマンドの種類の組合せが、例えば同時に実行しても危険を生じないことが既知の組合せでない場合、これらの制御コマンドの実行を避けることができ、車両の安全性の確保につながる。
【0021】
また例えば、前記制御データは、前記制御の種類を示す制御ＩＤをさらに含み、前記第一の組合せは、前記制御ＩＤが示す制御の種類に対して設定された組合せであってもよい。
【0022】
これにより、制御データが含む複数の制御コマンドの種類の組合せが、車両の所定の動作のための制御の組合せとして既知の組合せでなければ車載制御ネットワークシステムでの利用を避けることができ、車両の安全性の確保につながる。ここでいう車両の所定の動作とは、例えば自動制御で行われるクルーズコントロール、車線変更、追越、縦列駐車、障害物回避、危険時の路肩への退避等の動作に必要な制御であり、制御ＩＤはこのような動作のための制御を特定するものである。
【0023】
また例えば、前記判定部は、前記車両の状態を示す状態データを取得し、前記状態データが示す状態に応じて異なる前記第一の組合せを用いて前記第一の判定を実行してもよい。より具体的には、例えば前記状態データは、前記複数の制御装置の少なくとも一部から送信されたデータに基づくデータであってもよい。
【0024】
これにより、車載制御ネットワークシステムで同時に実行可能な複数の制御コマンドの種類の組合せが車両の状態に合わせて動的な変更が可能になる。したがって、例えば複数の制御コマンドの組合せが安全に実行可能であるかが、走行中の車両の多様な状態に応じて判定することができる。車両上の制御装置、つまりはＥＣＵから送信されるデータからは、当該車両の様々な状態を随時取得することができる。したがって、例えば車速のように、随時変化する可能性があり、大きさ次第でさらなる加速又は大きな操舵の制御との組合せの危険性も変化する状態に応じて制御データの異常の有無の判定をすることができる。
【0025】
また例えば、前記第一の判定の結果、前記制御コマンド各々の種類の組合せが前記第一の組合せである場合、前記判定部はさらに前記制御コマンド各々の内容の組合せが、前記第一の組合せに対して予め定められた第二の組合せであるか否かについての第三の判定を実行して前記第三の判定の結果を出力し、前記判定部は前記第三の判定において、前記制御コマンド各々の内容の組合せが前記第二の組合せでない場合に前記制御データに異常があると判定してもよい。より具体的には、例えば前記第二の組合せは、前記制御コマンド各々に含まれる操作量の値が入るべき所定の範囲をの組合せであってもよい。また例えば前記判定部は、前記車両の状態を示す状態データを取得し、前記状態データが示す状態に応じて異なる前記所定の範囲を用いてもよい。
【0026】
これにより、種類の組合せでは異常と判定されない複数の制御コマンドであっても、例えばその制御データ値が表す制御内容の組合せが同時に実行しても危険を生じないことが既知の組合せでなければ、これらの制御コマンドの実行が避けられる。これにより、車両の安全性のさらなる向上につながる。また、制御によっては、その制御の内容である操作量の大きさ次第で安全性が損なわれる場合がある。例えば操舵と加速との組合せは通常の追越でも見られ、いずれもある程度小さければ同時に実行されても危険ではない。しかし大きな操舵角で大きく加速させると、車両は横滑りしたり、横転したりする可能性がある。上記の構成であれば、車両をこのような状態にする制御の組合せの実行が回避される。また、例えば複数の制御コマンドの組合せが安全に実行可能であるかが、走行中の車両の多様な状態に応じて判定することもできる。
【0027】
また例えば、上記の車載中継装置は、中継部をさらに備え、前記判定部が出力した結果が前記制御データに異常がないことを示す場合、前記中継部は、前記複数の制御コマンドを、前記複数の制御ネットワークのうち、前記第一の制御ネットワークとは異なる制御ネットワークであって、前記複数の制御コマンドのそれぞれに応じた所定の送信先である第二の制御ネットワークに送信してもよい。
【0028】
これにより、組み合わせて同時に実行されても車両又は走行に問題を生じないと、送信周期によらずに判定された複数の制御コマンドがそれぞれに応じた制御装置によって取得されて実行される。
【0029】
また例えば、前記制御データは、前記複数の制御コマンドそれぞれの種類を示す制御コマンドＩＤをさらに含み、前記中継部は、送信する前記複数の制御コマンドのそれぞれに添えて、当該制御コマンドの種類を示す前記制御コマンドＩＤを、所定の変換規則に従って制御コマンドＩＤを変換して前記第二の制御ネットワークに送信してもよい。また例えば、前記中継部は、前記複数の制御コマンドのそれぞれを所定の変換規則に従って変換してから送信してもよい。また例えば、前記第一の制御ネットワークは、前記一フレームで送信可能な制御コマンドの最大データサイズが前記第二の制御ネットワークにおいて一フレームで送信可能な制御コマンドの最大データサイズより大きく、前記中継部は、前記第一の制御ネットワークから受信した前記制御データの一フレームに含まれる複数の制御コマンドを、複数のフレームに分けて前記第二の制御ネットワークに送信してもよい。より具体的には、例えば前記第一の制御ネットワークと前記第二の制御ネットワークとは、準拠する規格が異なってもよい。また、さらに具体的には、前記第一の制御ネットワークが準拠する規格はＥｔｈｅｒｎｅｔ（登録商標）であり、前記第二の制御ネットワークが準拠する規格はＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）であってもよい。
【0030】
このように、例えば準拠する規格の異なる、又は準拠する規格は同じでも１個のフレームで搬送が可能な制御データの大きさが異なる複数の制御ネットワークに跨って制御データが通信される制御ネットワークシステムにおいて、複数の制御コマンドを含むフレームに対する信頼性のより高い異常判定が送信周期の利用を必要としない手法を用いて実行される。
【0031】
また、本発明の一態様に係る車載監視装置は、中継装置によって通信が中継される第一の制御ネットワーク及び第二の制御ネットワークを含む車載ネットワークにおいて、前記第一の制御ネットワークに接続される車載監視装置であって、前記第一の制御ネットワークに接続される制御装置から送信された、前記第二の制御ネットワークに接続される制御装置に実行させる制御のための制御コマンドを一フレームに複数含む制御データを受信する通信部と、前記一フレームに含まれる制御コマンド各々の種類が、同時に実行可能な制御の組合せとして設定された第一の組合せであるか否かについての第一の判定を実行し、前記判定の結果を用いて前記制御データの異常の有無についての第二の判定を実行し、前記第二の判定の結果を出力する判定部とを備え、前記第一の制御ネットワークは、一フレームで送信可能な制御コマンドの最大データサイズが前記第二の制御ネットワークにおいて一フレームで送信可能な制御コマンドの最大データサイズより大きい。
【0032】
これにより、複数の制御コマンドを含む制御データを運ぶ１個のフレームに対して、制御コマンドの送信周期に依存しないで異常の有無を判定することができる。
【0033】
また、本発明の一態様に係る通信監視方法は、車両において複数の制御装置が接続されている複数の制御ネットワークに跨る前記複数の制御装置間の通信を中継する、通信部及びびプロセッサを備える車載中継装置において実行される通信監視方法であって、前記通信部を用いて、前記複数の制御装置の少なくとも一部に実行させる制御のための制御コマンドを一フレームに複数含む制御データを前記複数の制御ネットワークに含まれる第一の制御ネットワークを受信し、前記プロセッサを用いて、前記一フレームに含まれる制御コマンド各々の種類が、同時に実行可能な制御の組合せとして設定された第一の組合せであるか否かについての第一の判定を実行し、前記判定の結果を用いて前記制御データの異常の有無についての第二の判定を実行し、前記第二の判定の結果を出力する。
【0034】
これにより、複数の制御コマンドを含む制御データを運ぶ１個のフレームに対して、制御コマンドの送信周期に依存しないで異常の有無を判定することができる。
【0035】
また、本発明の一態様に係るプログラムは、車両において複数の制御装置が接続されている複数の制御ネットワークに跨る前記複数の制御装置間の通信を中継する、通信部及びプロセッサを備える車載中継装置において、前記びプロセッサによって実行されるプログラムであって、実行されることで前記車載中継装置に、前記複数の制御装置の少なくとも一部に実行させる制御のための制御コマンドを一フレームに複数含む制御データを前記複数の制御ネットワークに含まれる第一の制御ネットワークを前記通信部を用いて受信させ、前記一フレームに含まれる制御コマンド各々の種類が、同時に実行可能な制御の組合せとして設定された第一の組合せであるか否かについての第一の判定を実行し、前記判定の結果を用いて前記制御データの異常の有無についての第二の判定を実行し、前記第二の判定の結果を出力させる。
【0036】
これにより、複数の制御コマンドを含む制御データを運ぶ１個のフレームに対して、制御コマンドの送信周期に依存しないで異常の有無を判定することができる。
【0037】
また、本発明の一態様に係る車載制御ネットワークシステムは、複数の制御装置が接続され、車載中継装置によって前記制御装置間の通信が中継される第一の制御ネットワーク及び第二の制御ネットワークを含む車載の制御ネットワークシステムであって、前記第一の制御ネットワークは、一フレームで送信可能な制御コマンドの最大データサイズが前記第二の制御ネットワークにおいて一フレームで送信可能な制御コマンドの最大データサイズより大きく、前記第一の制御ネットワークから前記第二の制御ネットワークに送信される制御データは、前記第二の制御ネットワークに接続される制御装置に所定の制御を同時に実行させる複数の制御コマンドの組み合わせを一フレームに含む。また例えば、前記複数の制御コマンドの組合せは、前記所定の制御の種類に対して設定された同時に実行可能な組合せであってもよい。また例えば、。また例えば、前記制御データはさらに、前記複数の制御コマンドの組合せに対応する制御の種類を示す制御ＩＤを含んでもよい。
【0038】
このようなネットワークシステムにおいて、複数の制御コマンドを含む制御データを運ぶ１個のフレームに対して、制御コマンドの送信周期に依存しないで異常の有無を判定することができる。
【0039】
なお、これらの全般的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム若しくはコンピュータで読み取り可能なＣＤ－ＲＯＭ等の記録媒体で実現されてもよく、又はシステム、方法、集積回路、コンピュータプログラム若しくは記録媒体の任意な組み合わせで実現されてもよい。
【0040】
以下、実施の形態に係る、車載中継装置によって制御装置間の通信が中継される複数の制御ネットワークを含む車載制御ネットワークシステムについて、図面を参照しながら説明する。ここで示す実施の形態は、いずれも本発明の一具体例を示すものである。したがって、以下の実施の形態で示される数値、構成要素、構成要素の配置及び接続形態、並びにステップ（工程）及びステップの順序等は、一例であって本発明を限定するものではない。以下の実施の形態における構成要素のうち、独立請求項に記載されていない構成要素については、任意に付加可能な構成要素である。また、各図は模式図であり、必ずしも厳密に図示されたものではない。
【0041】
（車両制御ネットワークシステムの概要）
図１は、実施の形態１及び２の説明において共通して例として用いる車両制御ネットワークシステムの構成の一例を示す図である。
図１は、実施の形態１及び２の説明において共通して例として用いる車両制御ネットワークシステムの構成の一例を示す図である。
【0042】
車両１００には、車載ネットワークシステム１０２が搭載されている。なお、以下の説明では、車両１００は、自動運転機能を備え、且つ通信ネットワーク経由での状態監視及び遠隔制御に対応する、近い将来に実用化されるであろう技術が適用されていることを想定している。
【0043】
車載ネットワークシステム１０２は、ＣＡＮに準拠して構築されるＣＡＮネットワーク及びＥｔｈｅｒｎｅｔに準拠して構築されるＥｔｈｅｒｎｅｔネットワーク、複数のＥＣＵ、及び通信コントロールユニット（以下、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）という）１１２を含む。
【0044】
車載ネットワークシステム１０２のＣＡＮネットワークには、第一のＣＡＮ通信線１２６及び第一のＣＡＮ通信線１２６に接続されて、車両１００の左右の方向指示器の点消灯を制御する方向指示器制御ＥＣＵ１３０が含まれる。また、第二のＣＡＮ通信線１２８並びに第二のＣＡＮ通信線１２８に接続されるアクセル制御ＥＣＵ１３２、ブレーキ制御ＥＣＵ１３４、及びステアリング制御ＥＣＵ１３６といった走行制御系のＥＣＵもこのＣＡＮネットワークの一部である。
【0045】
アクセル制御ＥＣＵ１３２は、アクセル開度に応じて車両１００の発進を含む加速制御を行う。ブレーキ制御ＥＣＵ１３４は、ブレーキペダルの操作に応じた車両１００の停止を含む減速制御を行う。ステアリング制御ＥＣＵ１３６は、ステアリングホイールの操舵角に応じた操舵制御を行う。
【0046】
なお、これらのＥＣＵはＣＡＮネットワークに含まれ得るＥＣＵの一例であり、図示しない他のＥＣＵが含まれてもよい。例えば第一のＣＡＮ通信線１２６にさらに接続されるウインドウ開閉制御ＥＣＵなどのシャーシ系ＥＣＵがこのＣＡＮネットワークの一部であってもよい。また例えば、第二のＣＡＮ通信線１２８に、上記以外の走行制御系のＥＣＵが接続されてもよい。
【0047】
また、第一のＣＡＮ通信線１２６及び第二のＣＡＮ通信線１２８は、第一の中継変換ＥＣＵ１２２によって、Ｅｔｈｅｒｎｅｔネットワークを構成する後述の第二のＥｔｈｅｒｎｅｔ通信線１１８と中継接続される。第一の中継変換ＥＣＵ１２２の詳細は後述する。
【0048】
車載ネットワークシステム１０２のＥｔｈｅｒｎｅｔネットワークには、第一のＥｔｈｅｒｎｅｔ通信線１１４、第二のＥｔｈｅｒｎｅｔ通信線１１８、第三のＥｔｈｅｒｎｅｔ通信線１２０、第四のＥｔｈｅｒｎｅｔ通信線１３８、第五のＥｔｈｅｒｎｅｔ通信線１４０及び第六のＥｔｈｅｒｎｅｔ通信線１４２、これらのＥｔｈｅｒｎｅｔ通信線を中継接続する中継ＥＣＵ１１６及び第二の中継ＥＣＵ１２４、これらのＥｔｈｅｒｎｅｔ通信線に接続されるカメラＥＣＵ１４４、センサＥＣＵ１４６及び自動運転制御ＥＣＵ１４８が含まれる。より詳細には、中継ＥＣＵ１１６は、第一のＥｔｈｅｒｎｅｔ通信線１１４と、第二のＥｔｈｅｒｎｅｔ通信線１１８及び第三のＥｔｈｅｒｎｅｔ通信線１２０とを中継接続する。第二の中継ＥＣＵ１２４は、第三のＥｔｈｅｒｎｅｔ通信線１２０と、第四のＥｔｈｅｒｎｅｔ通信線１３８、第五のＥｔｈｅｒｎｅｔ通信線１４０及び第六のＥｔｈｅｒｎｅｔ通信線１４２とを中継接続する。
【0049】
中継ＥＣＵ１１６は、Ｅｔｈｅｒｎｅｔ Ｓｗｉｔｃｈの機能を有し、受信したフレームに含まれるアドレスを参照して該当する宛先に送信する。
【0050】
第二の中継ＥＣＵ１２４は、Ｅｔｈｅｒｎｅｔ Ｓｗｉｔｃｈ機能を備えたＥＣＵであり、前記第三のＥｔｈｅｒｎｅｔ通信線１２０、第四のＥｔｈｅｒｎｅｔ通信線１３８、第五のＥｔｈｅｒｎｅｔ通信線１４０、第六のＥｔｈｅｒｎｅｔ通信線１４２の中継接続を行い、受信データのあて先に応じて接続されたＥＣＵ間でのデータ転送を実行する。
【0051】
カメラＥＣＵ１４４は、車両１００の周囲状況を撮影して映像データを生成するカメラ（図示なし）を制御し、この映像データを車載制御ネットワーク１０２に流す。センサＥＣＵ１４６は、車両１００の周囲状況をセンシングするセンサ（図示なし）を制御し、センシングの結果をセンシングデータとして車載制御ネットワーク１０２に流す。自動運転制御ＥＣＵ１４８は、カメラＥＣＵ１４４及びセンサＥＣＵ１４６から送信されて、第二の中継ＥＣＵ１２４を経由して受信したデータに基づいて、車両１００の自動運転制御を実行する。自動運転制御ＥＣＵ１４８は、車両１００の自動運転制御を、アクセル制御ＥＣＵ１３２、ブレーキ制御ＥＣＵ１３４及びステアリング制御ＥＣＵ１３６の走行系のＥＣＵに制御コマンドを送信することによって実行する。つまり、自動運転制御の制御コマンドを含む制御データが、ＥｔｈｅｒｎｅｔネットワークからＣＡＮネットワークへと送信される。
【0052】
ＣＡＮネットワーク及びＥｔｈｅｒｎｅｔネットワークに跨るデータのやり取りは、中継ＥＣＵ１１６と第一のＣＡＮ通信線１２６及び第二のＣＡＮ通信線１２８とを中継接続する第一の中継変換ＥＣＵ１２２によって実現されている。第一の中継変換ＥＣＵ１２２は、ＥｔｈｅｒｎｅｔネットワークとＣＡＮネットワークとの間でやり取りされるデータを、各規格のプロトコルに沿って双方向変換を行うＥＣＵである。より詳細には、第一の中継変換ＥＣＵ１２２は、第二のＥｔｈｅｒｎｅｔ通信線１１８から受信した、制御コマンドを含むＥｔｈｅｒｎｅｔのフォーマットのフレームから、制御コマンドを含むＣＡＮのフォーマットのフレームを生成し、生成したＣＡＮのフレームを、その種類に応じて第一のＣＡＮ通信線１２６及び第二のＣＡＮ通信線１２８の少なくとも一方に送信する。また、第一のＣＡＮ通信線１２６又は第二のＣＡＮ通信線１２８から受信したＣＡＮのフォーマットのフレームを元にＥｔｈｅｒｎｅｔフレームを生成し、第二のＥｔｈｅｒｎｅｔ通信線１１８に送信する。
【0053】
また、車載ネットワークシステム１０２は、第一のＥｔｈｅｒｎｅｔ通信線１１４に接続されるＴＣＵ１１２による無線通信１１０によって車外通信ネットワーク１０８に接続される。また、ＴＣＵ１１２は、中継ＥＣＵ１１６を介して第一の中継変換ＥＣＵ１２２及び第二の中継ＥＣＵ１２４と接続される。
【0054】
車外通信ネットワーク１０８は、例えばインターネット等の通信ネットワークである。
【0055】
車載ネットワークシステム１０２は、車外通信ネットワーク１０８を介して、監視サーバ１０４及び遠隔制御装置１０６と接続される。監視サーバ１０４及び遠隔制御装置１０６は、例えばそれぞれプロセッサ、記憶装置、入出力装置、通信装置を含む１台以上の情報処理装置において、所定のプログラムが実行されて実現される。または、監視サーバ１０４及び遠隔制御装置１０６は、同じ情報処理装置上で統合的に実現されてもよい。
【0056】
監視サーバ１０４は、車両１００から車外通信ネットワーク１０８を介して受信する、図示のない車載のＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）受信機によって取得された位置情報、カメラが生成した映像データ、又はセンサが生成したセンシングデータを利用して車両１００の状態を監視する。
【0057】
遠隔制御装置１０６は、車外通信ネットワーク１０８を介して、車両１００から遠隔制御リクエストを受信した場合、又は車両１００の状態を監視している監視サーバ１０４から車両１００に対する強制遠隔制御リクエストを受信した場合に、車両１００に対する遠隔制御データを送信する。
【0058】
遠隔制御装置１０６から送信された遠隔制御データは、上記の自動運転制御ＥＣＵ１４８から送信される制御データと同様に、車両１００の走行系のＥＣＵに対する制御コマンドを含む。遠隔制御データの制御コマンドもＥｔｈｅｒｎｅｔのフォーマットであり、ＴＣＵ１１２によって受信されると車載ネットワークシステム１０２のＥｔｈｅｒｎｅｔネットワークで第一の中継変換ＥＣＵ１２２まで運ばれる。第一の中継変換ＥＣＵ１２２では、ＣＡＮのフォーマットに変換されてから走行系のＥＣＵ又は方向指示器制御ＥＣＵを含むＣＡＮネットワークへと送信される。
【0059】
このような車載ネットワークシステム１０２では、車内の自動運転制御ＥＣＵ１４８又は車外の遠隔制御装置１０６由来の制御コマンドがＥｔｈｅｒｎｅｔネットワークで第一の中継変換ＥＣＵ１２２まで運ばれる。しかしながらその先、各制御コマンドを実行する制御ＥＣＵまでは、ＣＡＮネットワークで運ばれる。ＣＡＮネットワークにおいて一フレームで運ぶことができる制御データのサイズは、データフィールドの規定長である６４ビット（８バイト）が最大である。一方、Ｅｔｈｅｒｎｅｔネットワークにおいて一フレームで運ぶことができる制御データのサイズははるかに大きい。そして制御データを車載ネットワークシステム１０２上で効率的に運ぶためには、複数個のＣＡＮのフレームで運ばれる制御データに相当するサイズの制御データがＥｔｈｅｒｎｅｔの一フレームに含められる。つまり、Ｅｔｈｅｒｎｅｔの一フレームには、制御コマンドを複数まとめた制御データとして納められる。そしてＥｔｈｅｒｎｅｔの一フレームからＣＡＮのフレームを生成する過程で、複数の制御コマンドが複数のＣＡＮのフレームに振り分けられる。なお、この生成の過程では、制御コマンドが車載制御ネットワーク１０２に実装されている仕様に沿うよう、必要に応じてさらにデータの追加、削除又は変換が行われてもよい。
【0060】
車載制御ネットワークシステム１０２の上記の構成要素のうち、Ｅｔｈｅｒｎｅｔネットワーク及びＣＡＮネットワークはそれぞれ、以下の各実施の形態における制御ネットワークの例である。また、各ＥＣＵは各実施の形態における制御装置の例であり、中継ＥＣＵ又は各中継変換ＥＣＵは、それぞれ車載中継装置の例である。
【0061】
なお、ここまで説明した車載制御ネットワークシステム１０２の構成は、以下の各実施の形態が共通で適用できる構成の一例であり、各実施の形態は上記とは異なる構成の車載制御ネットワークシステムに適用が可能である。各実施の形態が適用可能な車載制御ネットワークシステムの別の構成例については、各実施の形態の後で変形例として説明する。
【0062】
（実施の形態１）
以下、車載制御ネットワークシステム１０２で実行される、制御データの異常判定について例を用いて説明する。
以下、車載制御ネットワークシステム１０２で実行される、制御データの異常判定について例を用いて説明する。
【0063】
この異常判定は、ＥｔｈｅｒｎｅｔネットワークからＣＡＮネットワークにある制御ＥＣＵに送信される制御コマンドを含む制御データに対して実行される。この制御データの送信元は遠隔制御装置１０６であり、Ｅｔｈｅｒｎｅｔのフレームに含めて送信される。そして制御データの異常判定は、中継ＥＣＵ１１６で実行される。
【0064】
以下の異常判定の説明では、自動運転制御ＥＣＵ１４８又は遠隔制御装置１０６から送信された制御データの異常判定を中継ＥＣＵ１１６が実行する場合を例に用いる。
【0065】
まず、自動運転制御ＥＣＵ１４８又は遠隔制御装置１０６からＣＡＮネットワークにある制御ＥＣＵに宛てての制御データが送信される状況の例について説明する。
【0066】
例えば、自動運転が実行されている車両１００では、自動運転制御ＥＣＵ１４８によって、カメラＥＣＵ１４４及びセンサＥＣＵ１４６から送信される映像データ及びセンシングデータが示す情報に基づく車体の状態及び周辺状況の認識、次いで、この認識に基づく車両１００の制御内容の判断及び決定が行われて、この制御内容を反映する一連の制御コマンドを含む制御データがアクセル制御ＥＣＵ１３２、ブレーキ制御ＥＣＵ１３４、ステアリング制御ＥＣＵ１３６等の制御ＥＣＵへ送信される。
【0067】
また例えば、自動運転中に、通常と異なる車体の状態又は周辺状況が発生したために、自動運転制御ＥＣＵ１４８による制御が不可能なケースが想定しうる。このようなケースの例としては、例えば、回避が必要な道路工事、交通事故などの影響で行われる警察官による交通整理、路肩付近への退避が必要な緊急車両の接近が挙げられる。このようなケースが発生すると、自動運転制御ＥＣＵ１４８は、自らの判断による車両１００の制御が不可能であると判断し、遠隔制御装置１０６宛ての遠隔制御リクエストを発信する。遠隔制御リクエストは、第二の中継ＥＣＵ１２４、中継ＥＣＵ１１６及びＴＣＵ１１２を介し、車外通信ネットワーク１０８を経て遠隔制御装置１０６に届けられる。また、遠隔制御リクエストを送信した中継ＥＣＵ１１６及び自動運転制御ＥＣＵ１４８は、遠隔制御モードに移行する。
【0068】
また例えば、監視サーバ１０４は、車両１００から送信される位置情報、映像データ、及びセンシングデータ等が示す情報に基づく車体の状態及び周辺状況の認識による車両１００の監視を行う。この認識に基づいて、車両１００に遠隔制御が必要であると判断した場合、監視サーバ１０４は、遠隔制御装置１０６に車両１００の遠隔制御リクエストを送信し、車外通信ネットワーク１０８を介して、車両１００の中継ＥＣＵ１１６及び自動運転制御ＥＣＵ１４８に宛てて強制遠隔制御通知を送信する。強制遠隔制御通知を受信した、中継ＥＣＵ１１６及び自動運転制御ＥＣＵ１４８は、遠隔制御モードに移行する。
【0069】
車両１００又は監視サーバ１０４から車両１００に対する上記の遠隔制御リクエストを受信した遠隔制御装置１０６では、車両１００から受信する位置情報、映像データ及びセンシングデータに基づく車両１００の状態及び周辺状況の認識に基づいて車両１００の制御内容の判断及び決定が行われる。この制御内容の判断及び決定まで、例えば監視員による入力があってもよいし、自動運転制御ＥＣＵ１４８よりも高度な情報処理が可能な自動運転プログラムによって行われてもよく、人工知能が利用されてもよい。さらに遠隔制御装置１０６では、決定された制御の内容に対応する制御の種類に応じた制御ＩＤが取得され、この制御ＩＤ及び制御の内容に対応する制御コマンドを含む制御データを含むフレーム（以下、制御フレームともいう）が生成される。このように生成される遠隔制御のための制御フレームのフォーマットの例を図２に示す。
【0070】
制御フレームフォーマット２００では、ひとつのフレームに、制御の種類を示す制御ＩＤ及び各制御ＥＣＵで同時に実行される複数の制御に対応する複数の制御コマンドが含まれる。各制御コマンドは、制御コマンドの種類を示す制御コマンドＩＤ及び制御の内容を示す制御コマンドデータを含む。また、当該制御フレームが遠隔制御のためのものであるか車内の自動運転制御によるものであるかを示す遠隔制御フラグもさらに含まれる。
【0071】
図３に、上記の制御ＩＤと、制御ＩＤが示す制御の種類との対応を示す制御ＩＤテーブルの一例を示す。制御ＩＤテーブル３００では、制御の種類の例として２種類の路肩への退避制御（路肩退避Ａ、路肩退避Ｂ）及び工事場所の回避制御（回避Ａ）が示されている。また、路肩退避Ａには、０ｘ０１、路肩退避Ｂには、０ｘ０２、回避Ａには０ｘ０３の制御ＩＤが割り当てられ、対応付けられている。このような制御ＩＤテーブル３００は、例えば遠隔制御装置１０６の記憶装置に記憶される。遠隔制御を担う監視員又はプログラムは、制御ＩＤテーブル３００を参照し、決定した制御内容に応じた制御の種類を選択し、選択した制御の種類に対応付けられた制御ＩＤを使用する。なお、制御の種類が制御内容に先んじて決定されてもよい。
【0072】
遠隔制御装置１０６で生成された制御フレームは、車外通信ネットワーク１０８を介して車両１００に送信される。制御フレームの車外通信ネットワーク１０８における盗聴や改ざんを防ぐために、車両１００のＴＣＵ１１２と遠隔制御装置１０６との間では、ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）によるセッションがはられ、制御フレームは暗号化されて送信される。
【0073】
ＴＣＵ１１２で受信され復号された制御フレームは、第一のＥｔｈｅｒｎｅｔ通信線１１４を経由して中継ＥＣＵ１１６に送信される。中継ＥＣＵ１１６の構成例を図４に示す。
【0074】
中継ＥＣＵ１１６は、第一の通信部４００、第二の通信部４０８、第三の通信部４１０、記憶部４１２、不揮発記憶部４１４、判定部４０２、生成部４０４、中継部４０６、制御部４１６、設定インタフェース（以下、Ｉ／Ｆと表記する）部４１８を備える。
【0075】
第一の通信部４００は、第一のＥｔｈｅｒｎｅｔ通信線１１４と接続し、ＴＣＵ１１２とのＥｔｈｅｒｎｅｔによるデータの送受信を行う。第二の通信部４０８は、第二のＥｔｈｅｒｎｅｔ通信線１１８と接続し、中継変換ＥＣＵ１２２とのＥｔｈｅｒｎｅｔによるデータの送受信を行う。第三の通信部２０４は、第三のＥｔｈｅｒｎｅｔ通信線１２０と接続し、第二の中継ＥＣＵ１２４とのＥｔｈｅｒｎｅｔによるデータの送受信を行う。
【0076】
判定部４０２、生成部４０４、中継部４０６及び制御部４１６は、中継ＥＣＵ１１６が備えるプロセッサが所定のプログラムを実行することによって実現される機能的な構成要素である。このプログラムは、車両１００の製造時に不揮発記憶部４１２に記憶され、記憶部４１２を用いて実行される。図５のフロー図は、このプログラムを実行して制御データの異常の有無を判定する中継ＥＣＵ１１６の動作の手順例を示す。
【0077】
第一の通信部４００で受信された（ステップＳ５００）データは、まず判定部４０２において車両１００の制御フレームであるか否かについて判定される（ステップＳ５０２）。
【0078】
この判定の結果、制御フレームではない場合（ステップＳ５０２でＮＯ）、このフレームは中継部４０６に送られる。中継部４０６からは、フレームの送信先に応じて第二の通信部４０８及び第三の通信部４１０のいずれか又は両方を経由して１個以上の制御ネットワークに送信される（ステップＳ５１０）。
【0079】
受信データが制御フレームである場合（ステップＳ５０２でＹＥＳ）、判定部４０２は、遠隔制御モードに関する判定を行う（ステップＳ５０３）。より具体的には、判定部４０２は、制御フレームの遠隔制御フラグ（図２参照）の値によって、この制御フレームが遠隔制御のためのものであるかを確認する。この例では、遠隔制御フラグの値が１であることに基づいて制御フレームが遠隔制御のためのものであると確認すると、判定部４０２は中継ＥＣＵ１１６の現在の動作モードが遠隔制御モードであるか否かをさらに確認する。
【0080】
制御フレームが遠隔制御のためのものであっても、中継ＥＣＵ１１６の現在の動作モードが遠隔制御モードではない場合（ステップＳ５０３でＹＥＳ）、判定部４０２では、受信した制御フレームは異常である判定され、中継ＥＣＵ１１６での処理は異常検知時処理（ステップＳ５１２）に進む。異常検知時処理の詳細は後述する。
【0081】
遠隔制御モードに関する判定で異常が検知されなかった場合（ステップＳ５０３でＮＯ）、判定部４０２は、制御フレームから制御ＩＤ及び制御コマンドＩＤを抽出する（ステップＳ５０４）。
【0082】
続いて、判定部４０２はさらに、抽出した制御ＩＤ及び制御コマンドＩＤを、制御コマンド組み合わせリストと照合する（ステップＳ５０６）。制御コマンド組み合わせリストとは、制御ＩＤが示す制御ＩＤに対して設定された適切な制御コマンドの種類の組合せを示すリストである。ここでの適切とは、車両１００において同時に実行可能な制御の組合せである、という意味である。図６に、制御コマンド組み合わせリストの例を示す。
【0083】
図６に示す制御コマンド組み合わせリスト６００は、制御ＩＤが０ｘ０１の場合、制御フレームは、ステアリングの制御コマンド、ブレーキの制御コマンド、及び方向指示器の制御コマンドからなるのが適切であることを示す。
【0084】
このような制御コマンド組み合わせリスト６００は、車両１００の製造時に設定Ｉ／Ｆ４１８を介して不揮発記憶部４１４に記憶される。また、車両１００の使用開始後にも、設定Ｉ／Ｆ４１８を介する、又はＯＴＡ（Ｏｖｅｒ－Ｔｈｅ－Ａｉｒ）によるリプロで更新されてもよい。
【0085】
制御コマンド組み合わせリスト６００に示される制御ＩＤに対する制御コマンドＩＤの組合せと、実際に抽出した制御ＩＤと制御コマンドＩＤとの組合せが一致した場合（ステップＳ５０８でＹＥＳ）、判定部４０２は受信した制御フレームには異常がないと判定する。異常がないと判定された制御フレームは中継部４０６に送られ、第二の通信部４０８から第二のＥｔｈｅｒｎｅｔ通信線１１８へ送信される（ステップＳ５１０）。
【0086】
実際に抽出した制御ＩＤと制御コマンドとの組合せが一致しなかった場合（ステップＳ５０８でＮＯ）、判定部４０２では制御フレームに異常があると判定され、中継ＥＣＵ１１６での処理は異常検知時処理（ステップＳ５１２）に進む。
【0087】
ここで、異常検知時処理について説明する。図７のフロー図は、本実施の形態における異常検知時処理の手順例を示す。
【0088】
判定部４０２によって制御フレームに異常があると判定されると、生成部４０４において制御フレームの異常検知を通知するための異常通知パケットが生成される（ステップＳ７００）。異常通知パケットは中継部４０６及び第一の通信部４００に送信され、第二の通信部４０８及び第三の通信部４１０から車両１００の制御ネットワークへ、第一の通信部４００から車外の監視サーバ１０４及び遠隔制御装置１０６へ送信される（ステップＳ７０２）。
【0089】
本実施の形態における、中継ＥＣＵ１１６による制御データの異常の有無についての判定の手順は以上で終了する。このような判定処理が、中継ＥＣＵ１１６が受信する各フレームに対して実行される。
【0090】
中継ＥＣＵ１１６が異常なしと判定して出力した制御フレームを第二のＥｔｈｅｒｎｅｔ通信線１１８を介して受信した第一の中継変換ＥＣＵ１２２は、制御フレームから順に制御コマンドを取り出す。
【0091】
さらに第一の中継変換ＥＣＵ１２２では、取り出した制御コマンドに含まれる制御コマンドＩＤがＣＡＮ ＩＤに変換される。この変換には、例えば図８に例示される制御コマンドＩＤ変換テーブル８００が用いられる。制御コマンドＩＤ変換テーブル８００は、Ｅｔｈｅｒｎｅｔフレームで送信された制御コマンドＩＤを、車両１００の車載制御ネットワークシステム１０２で使用されているＣＡＮ ＩＤに変換するための所定の変換規則を示すものの例である。制御コマンドＩＤ変換テーブル８００は、例えば車両１００の製造時に中継変換ＥＣＵ１２２が備える不揮発記憶部４１４に記憶される。
【0092】
なお、制御コマンドＩＤのみならず、制御コマンド全体、又は制御コマンドの内容である制御コマンドデータ（図２の制御コマンドデータａ、ｂ、ｃ）も車載制御ネットワークシステム１０２の仕様等に因る必要に応じて、所定の変換規則に従ってＣＡＮネットワークに対応するよう変換されてもよい。これにより、ＣＡＮの構成に拠らない遠隔制御システムの設計が可能となる。
【0093】
第一の中継変換ＥＣＵ１２２で上記の変換によって得られたコマンド（以下、ＣＡＮコマンドともいう）は、対応するＣＡＮネットワークに順次送信される。ＣＡＮコマンドとＣＡＮネットワークとの対応は、第一の中継変換ＥＣＵ１２２が備える記憶部に、例えばＣＡＮ ＩＤとその送信先であるＣＡＮネットワークとの対応付けを示すリストによって示される。
【0094】
各制御ＥＣＵは受信した制御コマンドの内容に応じてそれぞれの担当する制御を実行し、それにより車両１００の各種の制御が行われる。
【0095】
なお、自動運転制御ＥＣＵ１４８で生成された自動運転制御のための制御フレームも遠隔制御装置１０６により生成された制御フレームと、遠隔制御フラグの設定を除いて同様の異常判定の処理がなされる。また、制御コマンドＩＤ又は制御コマンドデータの変換には、遠隔制御のための制御フレームと自動運転制御のための制御フレームとで異なる規則が用いられてもよい。なお、これらの変換は車載制御ネットワークシステム１０２での必要に応じてなされればよく、必須の処理ではない。
【0096】
かかる構成によれば、自動運転制御ＥＣＵ１４８及び遠隔制御装置１０６において、Ｅｔｈｅｒｎｅｔを用いて送信する制御フレームを、その制御の種類に応じた制御コマンドを組み合わせたデータセットで構成される。これにより、同時に実行されるべき制御コマンドが複数のＥｔｈｅｒｎｅｔフレームに跨ることが防がれ、ＣＡＮネットワークに接続された各制御ＥＣＵの制御の適切な実行順番がより確実に守られる。また、各制御コマンド間の遅延時間の発生又は長期化を抑えることができる。
【0097】
また、中継ＥＣＵ１１６において、中継される制御データが、制御の種類に応じた制御コマンドを組み合わせたデータセットで構成されているかチェックされることで、制御フレームの異常が検知される。これにより異常な制御データが実行されることによる車両１００の不正な制御の発生を防ぐことができる。
【0098】
また、制御コマンドＩＤ変換テーブル８００を用いてＣＡＮ ＩＤに変換することにより、中継ＥＣＵ１１６、遠隔制御装置１０６、自動運転制御装置１４８のＣＡＮネットワークの構成への依存を下げることが可能となり、制御対象の車種又はメーカーに応じて制御コマンドの対応の必要性を抑えることができる。
【0099】
（実施の形態２）
実施の形態２も、図１に記載の車載制御ネットワークシステム１０２で実行される場合を例に用いて説明する。また、以下の説明では、実施の形態１との差異を中心に説明し、共通の構成要素及び共通の処理手順については、説明を適宜簡略にする。
実施の形態２も、図１に記載の車載制御ネットワークシステム１０２で実行される場合を例に用いて説明する。また、以下の説明では、実施の形態１との差異を中心に説明し、共通の構成要素及び共通の処理手順については、説明を適宜簡略にする。
【0100】
本実施の形態は、実施の形態１における中継ＥＣＵ１１６による制御データの異常判定の処理手順のうち、ステップ５０８でＹＥＳである場合、つまり制御コマンド組合せリストを用いた照合の結果が一致である場合の処理の内容が実施の形態１との違いである。図９は、本実施の形態における中継ＥＣＵ１１６による制御データの異常の有無を判定する動作の手順例を示すフロー図である。
【0101】
ステップＳ９００、Ｓ９０２、Ｓ９０４、Ｓ９０６及びＳ９０８は、それぞれ実施の形態１のステップＳ５００、Ｓ５０２、Ｓ５０４、Ｓ５０６及びＳ９０８と共通である。
【0102】
また、ステップＳ９０２での判定の結果がＮＯである場合に続いて実行されるステップＳ９１８は、実施の形態１のステップＳ５１０と共通である。
【0103】
また、ステップＳ９０８での判定の結果がＮＯである場合に続いて実行されるステップＳ９２０は、実施の形態１のステップＳ５１２と共通である。
【0104】
なお、本実施の形態においても、実施の形態１における遠隔制御モードに関する判定に相当するステップがステップＳ９０２に続いて実行されてもよいが、説明及び図示の簡単のために省略している。
【0105】
図６に示す制御コマンド組み合わせリスト６００に示される制御ＩＤに対する制御コマンドＩＤの組合せと、実際に抽出した制御ＩＤと制御コマンドＩＤとの組合せが一致した場合（ステップＳ９０８でＹＥＳ）、判定部４０２は、値チェック組み合わせリスト照合（ステップＳ９１０）に進む。
【0106】
値チェック組み合わせリスト照合（ステップＳ９１０）においては、制御フレームから抽出された制御コマンドＩＤを、図１０に示される値チェック組み合わせリスト１０００と照合して、値チェックに用いるチェック表を特定する。例えば、制御フレームに制御コマンドＩＤが０ｘ０１、０ｘ０３、０ｘ０４の３つの制御コマンドが含まれている場合、値チェック組み合わせリスト１０００の０ｘ０１－０ｘ０３、０ｘ０１－０ｘ０４、０ｘ０３－０ｘ０４の欄を参照してチェック表を特定する。この例では、チェック表ＣＴ２、チェック表ＣＴ３が値チェックに用いられるチェック表として特定される。チェック表の例を図１１Ａ、図１１Ｂ、図１１Ｃ、図１１Ｄ及び図１１Ｅに示す。なお、０ｘ０３－０ｘ０４の組合せについては対応するチェック表が存在しない。これは、制御コマンドＩＤが０ｘ０３の制御コマンドと、制御コマンドＩＤが０ｘ０４の制御コマンドとの間では、値の不正な組み合わせが定義されていないことを意味する。
【0107】
チェック表ＣＴ１～ＣＴ５はそれぞれ、制御コマンドの内容、つまりデータの値の組み合わせとして異常なものを示す。例えば図１１Ｂに示されるチェック表ＣＴ１のデータ行の１行目は、制御コマンドＩＤが０ｘ０１（操舵角）と０ｘ０２（アクセル指示）の場合、３０より大きい操舵角と、１００より大きいアクセル指示との組合せは異常であることを示す。なお、チェックされるデータの値は、数値の場合には例えばその範囲で条件が示されてもよい。また、チェック表ＣＴ３及びＣＴ５に示される方向指示器の制御の内容のように数値又はその範囲ではない形で示される条件もあってよい。例えばチェック表ＣＴ５には、加速制御の内容は３０より大きいアクセル指示であり、方向指示器の制御の内容はハサード表示指示（左右両方の同期点滅）であることが、異常な制御であることが示される。
【0108】
このような値チェック組み合わせリスト１０００及びチェック表ＣＴ１～ＣＴ５は、車両１００の製造時に設定Ｉ／Ｆ４１８を介して不揮発記憶部４１４に記憶される。また、車両１００の使用開始後にも、設定Ｉ／Ｆ４１８を介する、又はＯＴＡによるリプロで更新されてもよい。
【0109】
値チェックに用いるチェック表が存在しない場合（ステップＳ９１２でＮＯ）、受信されたデータは中継部４０６に送られ、第二の通信部４０８からＥｔｈｅｒｎｅｔ通信線１１８へ送信される（ステップＳ９１８）。
【0110】
値チェックに用いるチェック表が存在する場合（ステップＳ９１２でＹＥＳ）、特定されたチェック表を用いた異常値組み合わせ判定が行われる（ステップＳ９１４）。
【0111】
例えば、制御コマンドがＩＤ０ｘ０１、０ｘ０３のコマンドの組合せについては、チェック表ＣＴ２が用いられる。この場合判定部４０２は、「制御コマンドＩＤ０ｘ０１の制御コマンドデータの示す操舵角が４０より大きく、制御コマンドＩＤ０ｘ０３の制御コマンドデータの示すブレーキ指示が２００より大きい」、又は「制御コマンドＩＤ０ｘ０１の制御コマンドデータの示す操舵角が－４０より小さく、制御コマンドＩＤ０ｘ０３の制御コマンドデータの示すブレーキ指示が２００より大きい」のいずれかの異常条件が満たされるか否か確認する。特定されたチェック表に示されるいずれかの異常条件が満たされる場合（ステップＳ９１６でＹＥＳ）、当該フレームに含まれていた制御データに異常があると判定され、中継ＥＣＵ１１６での処理は異常検知時処理（ステップＳ９２０）に進む。
【0112】
一方、特定されたチェック表に示される異常条件がいずれも満たされない場合（ステップＳ９１６でＮＯ）、当該フレームに含まれていた制御データには異常がないと判定される。異常がないと判定された制御データは中継部４０６に送られ、第二の通信部１１０８からＥｔｈｅｒｎｅｔ通信線１１８へ送信される（ステップＳ９１８）。
【0113】
本実施の形態における、中継ＥＣＵ１１６による制御フレームの異常の有無についての判定の手順は以上で終了する。このような判定処理が、中継ＥＣＵ１１６が受信する各フレームに対して実行される。
【0114】
中継ＥＣＵ１１６が異常なしと判定して出力した制御フレームを第二のＥｔｈｅｒｎｅｔ通信線１１８を介して受信した第一の中継変換ＥＣＵ１２２は、制御フレームから順に制御コマンドを取り出す。制御フレームに対する以降の処理は、本実施の形態において実施の形態１と共通である。
【0115】
上記の本実施の形態における構成によれば、実施の形態１と同様の各効果が得られる。
【0116】
さらに、本実施の形態における構成によれば、中継ＥＣＵ９１６において、中継される制御フレームに含まれる制御コマンドの内容が、制御コマンド種類の組合せに応じて予め定められた所定の条件を満たしているか否かチェックされることで、制御フレームの異常が検知される。これにより異常な制御データが実行されることによる車両１００の不正な制御の発生をより確実に防ぐことができる。
【0117】
【0118】
本変形例において車両１２００に搭載される車載ネットワークシステム１２０２は、実施の形態１又は２における車載ネットワークシステム１０２と比較して、中継ＥＣＵがなく、複数のＣＡＮバスインタフェースとＥｔｈｅｒｎｅｔインタフェースを備える中継変換ＥＣＵにＥｔｈｅｒｎｅｔネットワーク及びＣＡＮネットワークを含む複数の制御ネットワークが接続されている点が異なる。中継変換ＥＣＵは、受信した制御データの異常判定から、制御データの送信先に応じて必要な変換の実行及び転送までを担う。
【0119】
なお、以下の説明では、車両１２００は、自動運転機能を備え、且つ通信ネットワーク経由での遠隔制御に対応する、近い将来に実用化されるであろう技術が適用されていることを想定している。
【0120】
図１２に示されるように、中継変換ＥＣＵ１２２２には、ＣＡＮネットワークを構成する第一のＣＡＮ通信線１２２６及び第二のＣＡＮ通信線１２２８が接続されている。これらはそれぞれ、実施の形態１及び２における第一のＣＡＮ通信線１２６及び第二のＣＡＮ通信線１２８に相当し、それぞれに各種の制御ＥＣＵが系統別に接続されている。
【0121】
また、中継変換ＥＣＵ１２２２には、さらに第一のＥｔｈｅｒｎｅｔ通信線１２１４、第四のＥｔｈｅｒｎｅｔ通信線１２３８、第五のＥｔｈｅｒｎｅｔ通信線１２４０及び第六のＥｔｈｅｒｎｅｔ通信線１２４２が接続されている。これらはそれぞれ、実施の形態１及び２における第一のＥｔｈｅｒｎｅｔ通信線１１４、第四のＥｔｈｅｒｎｅｔ通信線１３８、第五のＥｔｈｅｒｎｅｔ通信線１４０及び第六のＥｔｈｅｒｎｅｔ通信線１４２に相当し、各種のＥＣＵ及びＴＣＵが接続されている。車載ネットワークシステム１２０２は、ＴＣＵ１１２による無線通信１１０によって車外通信ネットワーク１０８に接続される。また、ＴＣＵ１１２は、中継変換ＥＣＵ１２２２を介して各制御ネットワークと接続される。中継変換ＥＣＵ１２２２の構成は後述する。
【0122】
車載ネットワークシステム１２０２は、車外通信ネットワーク１０８を介して、監視サーバ１０４及び遠隔制御装置１２０６と接続される。なお、この変形例では、実施の形態１及び２における監視サーバ１０４がなく、遠隔制御装置１２０６は車外通信ネットワーク１０８を介して車両１２００から遠隔制御リクエストを受信した場合に車両１２００に対する遠隔制御データを送信する。遠隔制御装置１２０６は、例えばそれぞれプロセッサ、記憶装置、入出力装置、通信装置を含む１台以上の情報処理装置において、所定のプログラムが実行されて実現される。
【0123】
図１３は、中継変換ＥＣＵ１２２２の構成例を示すブロック図である。
【0124】
中継ＥＣＵ１１６は、第一の通信部１３００、第二の通信部１３０８、第三の通信部１３１０、第四の通信部１３１２、第五の通信部１３１４、第六の通信部１３１５、記憶部１３１６、不揮発記憶部１３１８、判定部１３０２、生成部１３０４、中継変換部１３０６、制御部１３２０、設定Ｉ／Ｆ部１３２２を備える。
【0125】
第一の通信部１３００は、第一のＥｔｈｅｒｎｅｔ通信線１１４と接続し、ＴＣＵ１１２とのＥｔｈｅｒｎｅｔによるデータの送受信を行う。第二の通信部１３０８は、第四のＥｔｈｅｒｎｅｔ通信線１２３８と接続し、カメラＥＣＵ１４４とのＥｔｈｅｒｎｅｔによるデータの送受信を行う。第三の通信部１３１０は、第五のＥｔｈｅｒｎｅｔ通信線１２４０と接続し、センサＥＣＵ１４６とのＥｔｈｅｒｎｅｔによるデータの送受信を行う。第四の通信部１３１２は、第六のＥｔｈｅｒｎｅｔ通信線１２４２と接続し、自動運転制御ＥＣＵ１４８とのＥｔｈｅｒｎｅｔによるデータの送受信を行う。第五の通信部１３１４は、第一のＣＡＮ通信線１２２６と接続し、方向指示器制御ＥＣＵ１２２６とのＣＡＮによるデータの送受信を行う。第六の通信部１３１５は、第二のＣＡＮ通信線１２２８と接続し、アクセル制御ＥＣＵ１３２、ブレーキ制御ＥＣＵ１３４及びステアリング制御ＥＣＵ１３６とのＣＡＮによるデータの送受信を行う。
【0126】
判定部１３０２、生成部１３０４、中継変換部１３０６及び制御部１３２０は、中継変換ＥＣＵ１２２２が備えるプロセッサが所定のプログラムを実行することによって実現される機能的な構成要素である。このプログラムは、車両１２００の製造時に不揮発記憶部１３１８に記憶され、記憶部１３１６を用いて実行される。
【0127】
車両１２００における自動運転制御及び遠隔制御の実行及びこれらの制御態様の切替については、基本的に実施の形態１及び２と同様である。以下、本変形例の実施の形態１及び２との差異である中継変換ＥＣＵ１２２２が上記の所定のプログラムを実行して、自動運転制御又は遠隔制御のための制御データの異常の有無の判定を含む処理について例を用いて説明する。図１４のフロー図は、このプログラムを実行して行われる制御データの異常の有無の判定を含む、中継変換ＥＣＵ１２２２の動作の手順例を示す。なお、以下の説明では、実施の形態１又は２との差異を中心に説明し、共通の処理手順については、説明を適宜簡略にする。
【0128】
第一の通信部１３００で受信された（ステップＳ１４００）データは、まず判定部１３０２において受信データが車両１２００の制御フレームであるか否かについて判定される（ステップＳ１４０２）。
【0129】
この判定の結果、制御フレームではない場合（ステップＳ１４０２でＮＯ）、このフレームは中継変換部１３０６に送られる。中継変換部１３０６では、当該フレームの宛先に対応する送受信部１３０８～１３１５のいずれか又は複数を経由して１個以上の制御ネットワークに送信される（ステップＳ１４１８）。ただし、当該フレームの宛先がＣＡＮネットワークであれば、中継変換部１３０６はこのフレームに対するＥｔｈｅｒｎｅｔ－ＣＡＮ変換が行ってから送信する。
【0130】
受信データが制御フレームである場合（ステップＳ１４０２でＹＥＳ）、判定部１３０２は、制御フレームから制御ＩＤ及び制御コマンドの抽出が行われる（ステップＳ１４０４）。以下、ステップＳ１４１０、Ｓ１４１２、Ｓ１４１４及びＳ１４１６は、実施の形態２におけるステップＳ９１０、Ｓ９１２、Ｓ９１４及びＳ９１６に相当する。ただし、ステップＳ１４１２でＮＯの場合、及びステップＳ１４１６でＮＯの場合には、ステップＳ１４０２でＮＯの場合と同じように、宛先がＣＡＮネットワークである制御フレームに含まれる制御コマンドは、中継変換部１３０６でＥｔｈｅｒｎｅｔ－ＣＡＮ変換が行われてから送信される。
【0131】
なお、本変形例においても、実施の形態１における遠隔制御モードに関する判定（ステップＳ５０３）に相当するステップがステップＳ１４０２に続いて実行されてもよい。また、実施の形態１における制御コマンド組合せリスト照合（ステップＳ５０６）に相当するステップがステップＳ１４０２に続いて実行されてもよい。ただし、本変形例においては、説明及び図示の簡単のために省略している。遠隔制御モードに関する判定はステップＳ１４０２に続いて実行されてもよい。また、制御コマンド組合せリスト照合は、ステップＳ１４０４に続いて実行されてもよい。
【0132】
一方、ステップＳ１４１６でＹＥＳの場合には、判定部１３０２では制御フレームに異常があると判定され、中継変換ＥＣＵ１２２２での処理は異常検知時処理（ステップＳ１４２０）に進む。図１５のフロー図は、本変形例における異常検知時処理の手順例を示す。
【0133】
判定部１３０２によって制御フレームに異常があると判定されると、生成部１３０４において、値チェックで異常と判定された制御コマンドの組み合わせが、受信した車両制御フレームから除外してから（ステップＳ１５００）、制御フレームが再生成される（ステップＳ１５０２）。
【0134】
異常値を含む制御コマンドが除外された制御フレームは、中継変換部１３０６に送られる。中継変換部１３０６では。当該フレームの宛先に対応する送受信部１３０８～１３１５のいずれか又は複数を経由して１個以上の制御ネットワークに送信される（ステップＳ１５０４）。ただし、当該制御フレームの宛先がＣＡＮネットワークであれば、中継変換部１３０６はこのフレームに対するＥｔｈｅｒｎｅｔ－ＣＡＮ変換が行ってから送信する。この変換には、制御コマンドＩＤ変換テーブル８００を用いての制御コマンドＩＤのＣＡＮ ＩＤへの変換が含まれる。
【0135】
また、生成部１３０４では、異常検知を通知するための異常通知パケットが生成される（ステップＳ１５０６）。異常通知パケットは中継変換部１３０６及び第一の通信部１３００に送信され、第二の通信部１３０８～第六の通信部１３１５から車両１２００の制御ネットワークへ、第一の通信部１３００から車外の遠隔制御装置１３０６へ送信される（ステップＳ１５０８）。
【0136】
上記の本変形例における構成によっても、実施の形態１又は２と同様の各効果が得られる。
【0137】
（その他の変形例）
以上のように、本発明に係る技術の例示として実施の形態１及び２とその変形例を説明した。しかしながら、本発明に係る技術は、これらに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本発明の一実施態様に含まれる。
以上のように、本発明に係る技術の例示として実施の形態１及び２とその変形例を説明した。しかしながら、本発明に係る技術は、これらに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本発明の一実施態様に含まれる。
【0138】
車載制御ネットワークの構成は図１又は図１２に示すものに限定されない。例えば図１又は図１２に示す構成の中間的な構成であっても本発明に係る技術が適用できる。図１６は、このような車両制御ネットワークシステムの構成の一例を示す図である。
【0139】
このさらなる変形例に係る車両１６００は、車両制御ネットワークシステム１６０２を備える。車両制御ネットワークシステム１６０２は、車両制御ネットワークシステム１０２と比較すると、中継変換ＥＣＵとＴＣＵとを中継する中継ＥＣＵがある点は共通であるが、中継変換ＥＣＵに差異がある。車両制御ネットワークシステム１６０２は、中継ＥＣＵを備える点が車両制御ネットワークシステム１３０２とは異なるものの、車両制御ネットワークシステム１３０２と同様に、中継変換ＥＣＵがひとつであってＣＡＮネットワーク及びＥｔｈｅｒｎｅｔネットワークの全ての制御ネットワークが接続されている点は共通である。
【0140】
このような構成の車両制御ネットワークシステム１６０２では、制御データの異常判定は中継ＥＣＵ１６１６及び中継変換ＥＣＵ１６２２のいずれで実行されてもよい。仮に中継ＥＣＵ１６１６で実行される場合、中継ＥＣＵ１６１６の構成は図１７に示されるブロック図のようになる。
【0141】
また、このような構成も車載制御ネットワークシステムの構成の一例であり、例えば上記以外の機能を提供するＥＣＵが含まれてもよいし、ＣＡＮネットワーク又はＥｔｈｅｒｎｅｔネットワークの個数がさらに多くもよい。また、一つのＣＡＮネットワークに異なる系統の制御ＥＣＵが接続されていてもよい。また、上記の各実施の形態及び変形例の説明では個別のＥＣＵで実現している複数のＥＣＵの機能が一つのＥＣＵで実現されてもよい。
【0142】
また、各実施の形態及び変形例において示した中継ＥＣＵ又は中継変換ＥＣＵによる異常判定の処理手順は、第一の通信部で受信したデータに対する処理として説明したが、他の通信部で受信したＥｔｈｅｒｎｅｔデータにも、同様の処理が適用可能である。
【0143】
また、実施の形態２及び変形例において示した値チェックの手順では、２種類の制御コマンドの組合せを含む条件が用いられているが、３種類以上の制御コマンドの含む条件が用いられてもよい。組み合わせる制御コマンドの種類が増えると、判定処理の負荷やリスト管理の負荷は重くなるが、より詳細かつ正確な異常判定ができる。
【0144】
また、各実施の形態及び変形例において示した、制御コマンド組み合わせリスト、値チェック組み合わせリスト、又は各チェック表は、複数種類が用意されてもよい。そして複数種類のこれらのリスト等は、車両の状態に応じて切り替えて参照されてもよい。中継ＥＣＵ１又は中継変換ＥＣＵは、この車両の状態を、例えば各制御ＥＣＵから送信される、車両の状態を示す状態データに基づいて取得してもよい。又は、車外の監視サーバから取得してもよい。ここでいう車両の状態とは、例えば手動運転、自動運転、遠隔制御等の制御の主体の態様、自動駐車等の一時的な特定の機能のＯＮ／ＯＦＦ、所定の部品の故障の有無、走行場所、天候、走行速度、シフトポジション、燃料又はバッテリーの残量、障害物の検知の有無等が挙げられる。
【0145】
また、各実施の形態及び変形例においては、ＴＣＵを経由して車両１００と遠隔制御装置１０６が通信を行うものとしているが、Ｗｉ－ｆｉなど他の経路を用いても構わないし、ＴＣＵの機能がＩＶＩ（Ｉｎ－Ｖｅｈｉｃｌｅ Ｉｎｆｏｔａｉｎｍｅｎｔ）の機能を提供するＥＣＵなど、上記で言及していない他のＥＣＵに含まれていても構わない。
【0146】
また、各実施の形態及び変形例においては、遠隔制御装置とＴＣＵとの間でＴＬＳによるセッションが張られるものと説明したが、遠隔制御装置１０６と中継ＥＣＵ１１６又は中継変換ＥＣＵ１２２２との間でＴＬＳによるセッションが張られても構わない。
【0147】
また、各実施の形態及び変形例において処理の対象となる制御フレームフォーマットは、図２に示す制御フレームフォーマット２００に限定されない。例えば、遠隔制御が実行されない車両では図１８Ａに示す制御フレームフォーマット１８００Ａであってもよい。
【0148】
また、図１８Ｂに示すような、制御の種類を示す制御ＩＤがない制御フレームフォーマット１８００Ｂであっても異常判定が可能である。この場合、制御ＩＤが示す制御の種類と関係なく、各制御コマンドの制御コマンドＩＤが示す制御コマンドの種類の組合せが、予め設定された所定の組合せでない場合に異常であると判定されてもよい。これにより、より網羅的な制御フレームの組合せを異常判定の実行対象することができ、制御フレームの組合せによる多様な制御内容に対して異常検知を行うことができる。なお、制御ＩＤを含むフォーマットの制御フレームに対する異常判定であっても、制御ＩＤを用いずに制御コマンドＩＤが示す制御コマンドの種類の組合せに基づいて実行されてもよい。
【0149】
また、図１８Ｃに示すような、ＣＡＮ ＩＤ及びＣＡＮペイロード（データフィールド）を、制御コマンドＩＤ及び制御コマンドデータとして利用された制御フレームフォーマット１５００であってもよい。
【0150】
また、各実施の形態及び変形例においては、自動運転制御ＥＣＵによる制御と遠隔制御装置による制御を、遠隔制御フラグの設定を除き同一のフォーマットの制御フレームによるものとしたが、異なるフォーマットによるものでも構わない。
【0151】
また、各実施の形態及び変形例において設定Ｉ／Ｆ部を介して不揮発記憶部に書き込まれる各種のデータは、設定Ｉ／Ｆ部に代えて、各通信部のいずれかを介して書き込まれてもよい。
【0152】
また、各実施の形態及び変形例では、ＥｔｈｅｒｎｅｔとＣＡＮという異なる規格間でデータの変換が行われる説明をしたが、本発明の技術の適用範囲はこれに限定されない。例えばＣＡＮ－ＦＤ、Ｅｔｈｅｒｎｅｔ（登録商標）、ＭＯＳＴ、ＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）、Ｆｌｅｘｒａｙ（登録商標）などの規格に準じたネットワークシステムでも適用可能である。また、中継地点を挟んで制御データが含まれるペイロードの大きさが異なる状況であれば、同一の規格間での変換を伴う適用も可能である。
【0153】
また、各実施の形態及び変形例では、制御データの異常判定をするのは、車載の通信中継装置であるとして説明したが、例えばＥｔｈｅｒｎｅｔネットワーク上の、中継機能を伴わない監視装置によって実行されてもよい。
【0154】
また、各実施の形態において車載制御ネットワークシステムへの適用を示したが、本発明の適用範囲は車載制御ネットワークシステムに限らず、建機、農機、船舶、鉄道、飛行機などのモビリティ用途、さらに、産業用途、スマートファクトリーなどの工場制御用途においても有効に適用可能である。
【産業上の利用可能性】
【0155】
本発明にかかる車載中継装置等は、自動車の運転支援又は自動運転制御のための制御データの異常検知機能を有し、自動車及び自動運転車の車載制御ネットワークシステムに有用である。また工場における製造システムの遠隔制御等の用途にも応用できる。
【符号の説明】
【0156】
１００，１２００，１６００ 車両
１０２，１２０２，１６０２ 車載ネットワークシステム
１０４ 監視サーバ
１０６，１２０６，１６０６ 遠隔制御装置
１０８ 車外通信ネットワーク
１１２ ＴＣＵ
１１４，１１８，１２０，１３８，１４０，１４２，１２３８，１２１４，１２４０，１２４２，１６１４，１６３８，１６４０，１６４２ Ｅｔｈｅｒｎｅｔ通信線
１１６，１２４，１６１６ 中継ＥＣＵ（車載中継装置）
１２２，１２２２，１６２２ 中継変換ＥＣＵ（車載中継装置）
１２６，１２８，１２２６，１２２８，１６２６，１６２８ ＣＡＮ通信線
１３０ 方向指示器制御ＥＣＵ
１３２ アクセル制御ＥＣＵ
１３４ ブレーキ制御ＥＣＵ
１３６ ステアリング制御ＥＣＵ
１４４ カメラＥＣＵ
１４６ センサＥＣＵ
１４８ 自動運転制御ＥＣＵ
２００，１８００Ａ，１８００Ｂ，１８００Ｃ 制御フレームフォーマット
３００ 制御ＩＤテーブル
４００，４０８，４１０，１３００，１３０８，１３１０，１３１２，１３１４，１３１５，１７００，１７０８ 通信部
４０２，１３０２，１７０２ 判定部
４０４，１３０４，１７０４ 生成部
４０６，１３０６，１７０６ 中継部
４１２，１３１６，１７１２ 記憶部
４１４，１３１８，１７１４ 不揮発記憶部
４１６，１３２０，１７１６ 制御部
４１８，１３２２，１７１８ 設定Ｉ／Ｆ部
６００ 制御コマンド組み合わせリスト
８００ 制御コマンドＩＤ変換テーブル
１０００ 値チェック組み合わせリスト
ＣＴ１，ＣＴ２，ＣＴ３，ＣＴ４，ＣＴ５ チェック表
１０２，１２０２，１６０２ 車載ネットワークシステム
１０４ 監視サーバ
１０６，１２０６，１６０６ 遠隔制御装置
１０８ 車外通信ネットワーク
１１２ ＴＣＵ
１１４，１１８，１２０，１３８，１４０，１４２，１２３８，１２１４，１２４０，１２４２，１６１４，１６３８，１６４０，１６４２ Ｅｔｈｅｒｎｅｔ通信線
１１６，１２４，１６１６ 中継ＥＣＵ（車載中継装置）
１２２，１２２２，１６２２ 中継変換ＥＣＵ（車載中継装置）
１２６，１２８，１２２６，１２２８，１６２６，１６２８ ＣＡＮ通信線
１３０ 方向指示器制御ＥＣＵ
１３２ アクセル制御ＥＣＵ
１３４ ブレーキ制御ＥＣＵ
１３６ ステアリング制御ＥＣＵ
１４４ カメラＥＣＵ
１４６ センサＥＣＵ
１４８ 自動運転制御ＥＣＵ
２００，１８００Ａ，１８００Ｂ，１８００Ｃ 制御フレームフォーマット
３００ 制御ＩＤテーブル
４００，４０８，４１０，１３００，１３０８，１３１０，１３１２，１３１４，１３１５，１７００，１７０８ 通信部
４０２，１３０２，１７０２ 判定部
４０４，１３０４，１７０４ 生成部
４０６，１３０６，１７０６ 中継部
４１２，１３１６，１７１２ 記憶部
４１４，１３１８，１７１４ 不揮発記憶部
４１６，１３２０，１７１６ 制御部
４１８，１３２２，１７１８ 設定Ｉ／Ｆ部
６００ 制御コマンド組み合わせリスト
８００ 制御コマンドＩＤ変換テーブル
１０００ 値チェック組み合わせリスト
ＣＴ１，ＣＴ２，ＣＴ３，ＣＴ４，ＣＴ５ チェック表
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11A】
【図11B】
【図11C】
【図11D】
【図11E】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18A】
【図18B】
【図18C】