特許 7491240 情報処理装置、情報処理方法、およびプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-05-20

(45)【発行日】2024-05-28

(54)【発明の名称】情報処理装置、情報処理方法、およびプログラム

(51)【国際特許分類】

   H04L 41/06 20220101AFI20240521BHJP

【ＦＩ】

H04L41/06

【請求項の数】 17

(21)【出願番号】P 2021034829

(22)【出願日】2021-03-04

(65)【公開番号】P2022135190

(43)【公開日】2022-09-15

【審査請求日】2023-03-23

(73)【特許権者】

【識別番号】000003207

【氏名又は名称】トヨタ自動車株式会社

(74)【代理人】

【識別番号】110002860

【氏名又は名称】弁理士法人秀和特許事務所

(72)【発明者】

【氏名】芝 寿法

【審査官】宮島 郁美

(56)【参考文献】

【文献】特開２０１７－１２３６３９（ＪＰ，Ａ）

【文献】特開２０１２－１７１３６１（ＪＰ，Ａ）

【文献】特開２０１６－０６０４３３（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１８／０３０２４２２（ＵＳ，Ａ１）

【文献】特開２００８－００１２３３（ＪＰ，Ａ）

【文献】特開２００４－０１７６７６（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ１２／００－１２／６６，１３／００，４１／００－４９／９０５７，６１／００－６５／８０，６９／００－６９／４０

(57)【特許請求の範囲】

【請求項1】

車両が有する一つ以上の電子制御ユニットと通信を行う情報処理装置であって、
前記一つ以上の電子制御ユニットが送信または受信したメッセージに基づいて、異常な動作を行っている電子制御ユニットを特定することと、
前記特定された電子制御ユニットについて、現在の動作状態を表すスナップショットデータを取得することと、
を実行する制御部を有し、
前記制御部は、前記一つ以上の電子制御ユニットのうちのいずれかにおいて異常が発生していることを検知した場合に、ユーザに通知を行い、前記ユーザの指示に基づいて、前記異常な動作を行っている電子制御ユニットの特定を開始する、情報処理装置。

【請求項2】

前記一つ以上の電子制御ユニットが過去に送信または受信したメッセージを記憶する記憶部をさらに有する、
請求項１に記載の情報処理装置。

【請求項3】

前記制御部は、前記記憶されたメッセージに基づいて、前記異常な動作を行っている電子制御ユニットを特定する、
請求項２に記載の情報処理装置。

【請求項4】

前記制御部は、二つ以上の前記電子制御ユニットが交換するメッセージを中継し、前記中継した前記メッセージを記憶する、
請求項２または３に記載の情報処理装置。

【請求項5】

前記制御部は、前記スナップショットデータとして、前記特定された電子制御ユニットのメモリダンプを取得する、
請求項１から４のいずれか１項に記載の情報処理装置。

【請求項6】

前記制御部は、前記一つ以上の電子制御ユニットに流れる暗電流に基づいて、前記一つ以上の電子制御ユニットのうちのいずれかにおいて異常が発生していることを検知する、
請求項１に記載の情報処理装置。

【請求項7】

前記制御部は、前記取得したスナップショットデータを、前記車両を管理するサーバ装置に送信する、
請求項１から６のいずれか１項に記載の情報処理装置。

【請求項8】

前記制御部は、前記スナップショットデータを取得したのちに、前記特定された電子制御ユニットに対してリセット信号を送信する、
請求項１から７のいずれか１項に記載の情報処理装置。

【請求項9】

車両が有する一つ以上の電子制御ユニットと通信を行う情報処理装置が実行する情報処理方法であって、
前記一つ以上の電子制御ユニットが送信または受信したメッセージに基づいて、異常な動作を行っている電子制御ユニットを特定するステップと、
前記特定された電子制御ユニットについて、現在の動作状態を表すスナップショットデータを取得するステップと、
を含み、
前記一つ以上の電子制御ユニットのうちのいずれかにおいて異常が発生していることを検知した場合に、ユーザに通知を行い、前記ユーザの指示に基づいて、前記異常な動作を行っている電子制御ユニットの特定を開始する、情報処理方法。

【請求項10】

前記一つ以上の電子制御ユニットが過去に送信または受信したメッセージを記憶するステップをさらに含む、
請求項９に記載の情報処理方法。

【請求項11】

前記記憶されたメッセージに基づいて、前記異常な動作を行っている電子制御ユニットを特定する、
請求項１０に記載の情報処理方法。

【請求項12】

二つ以上の前記電子制御ユニットが交換するメッセージを中継するステップをさらに含み、前記中継した前記メッセージを記憶する、
請求項１０または１１に記載の情報処理方法。

【請求項13】

前記スナップショットデータとして、前記特定された電子制御ユニットのメモリダンプを取得するステップをさらに含む、
請求項９から１２のいずれか１項に記載の情報処理方法。

【請求項14】

前記一つ以上の電子制御ユニットに流れる暗電流に基づいて、前記一つ以上の電子制御ユニットのうちのいずれかにおいて異常が発生していることを検知するステップをさらに含む、
請求項９に記載の情報処理方法。

【請求項15】

前記取得したスナップショットデータを、前記車両を管理するサーバ装置に送信するステップをさらに含む、
請求項９から１４のいずれか１項に記載の情報処理方法。

【請求項16】

前記スナップショットデータを取得したのちに、前記特定された電子制御ユニットに対してリセット信号を送信するステップをさらに含む、
請求項９から１５のいずれか１項に記載の情報処理方法。

【請求項17】

請求項９から１６のいずれか１項に記載の情報処理方法をコンピュータに実行させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、車両に関する。

【背景技術】

【0002】

近年、自動車の電子制御化が進んでいる。これに関連し、特許文献１には、車両が有する複数の電子制御ユニットが異常なメッセージを送信したことを検知する車載ネットワークシステムが開示されている。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０１６－１２９３１４号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

本開示は、異常が発生した電子制御ユニットに関する情報を効率よく収集することを目的とする。

【課題を解決するための手段】

【0005】

本開示の第一の態様は、車両が有する一つ以上の電子制御ユニットと通信を行う情報処理装置である。具体的には、前記一つ以上の電子制御ユニットが送信または受信したメッセージに基づいて、異常な動作を行っている電子制御ユニットを特定することと、前記特定された電子制御ユニットについて、現在の動作状態を表すスナップショットデータを取得することと、を実行する制御部を有する。

【0006】

本開示の第二の態様は、車両が有する一つ以上の電子制御ユニットと通信を行う情報処理装置が実行する情報処理方法である。具体的には、前記一つ以上の電子制御ユニットが送信または受信したメッセージに基づいて、異常な動作を行っている電子制御ユニットを特定するステップと、前記特定された電子制御ユニットについて、現在の動作状態を表すスナップショットデータを取得するステップと、を含む。

【0007】

また、他の態様として、上記の情報処理方法をコンピュータに実行させるためのプログラム、または、該プログラムを非一時的に記憶したコンピュータ可読記憶媒体が挙げられる。

【発明の効果】

【0008】

本開示によれば、異常が発生した電子制御ユニットに関する情報を効率よく収集することができる。

【図面の簡単な説明】

【0009】

【図1】実施形態に係る車両システムのシステム構成図。

【図2】車両が有する構成要素を示したブロック図。

【図3】ゲートウェイが有するマイコンの構成を示したブロック図。

【図4】記憶部に記憶されるデータベースの例。

【図5】センタサーバが有する構成要素を示したブロック図。

【図6】ゲートウェイが実行する第一の処理のフローチャート。

【図7】構成要素間で送受信されるデータのフロー図。

【図8】ゲートウェイが実行する第二の処理のフローチャート。

【発明を実施するための形態】

【0010】

本開示の一態様は、車両が有する一つ以上の電子制御ユニットと通信を行う情報処理装置である。
具体的には、前記一つ以上の電子制御ユニットが送信または受信したメッセージに基づいて、異常な動作を行っている電子制御ユニットを特定することと、前記特定された電子制御ユニットについて、現在の動作状態を表すスナップショットデータを取得することと、を実行する制御部を有する。

【0011】

情報処理装置は、例えば、車載ネットワークに接続されたコンピュータである。情報処理装置は、車両に搭載されている電子制御ユニットのうち、異常な動作、すなわち、想定外の動作を行っている電子制御ユニットを特定する機能を有する。

【0012】

車両に搭載されている複数の電子制御ユニットの中から、異常な動作を行っている電子制御ユニットを特定する技術が公知となっている。異常な動作を行っている電子制御ユニットは、例えば、複数の電子制御ユニットが送信したメッセージに基づいて特定することができる。

【0013】

しかし、電子制御ユニットが送受信するメッセージのみでは、具体的な異常の原因を究明することが難しい場合がある。また、電子制御ユニットの状態は刻々と変化するため、異常の特定（例えば、デバッグ）に利用するためのデータを取得しようとしても、これが間に合わない場合がある。

【0014】

そこで、本開示に係る情報処理装置は、異常な動作をしている電子制御ユニットを特定するとともに、当該特定した電子制御ユニットについて、スナップショットデータを取得する。スナップショットデータとは、電子制御ユニットの現在の状態を表すデータであって、典型的には、メモリダンプ等である。
このような処理を併用することで、異常を認めたタイミングで、対象の電子制御ユニットがどのような状態にあったかを示すデータを残すことができる。また、これにより、異常が発生した原因の究明に役立てることができる。

【0015】

また、情報処理装置は、前記一つ以上の電子制御ユニットが過去に送信または受信したメッセージを記憶する記憶部をさらに有することを特徴としてもよい。
また、前記制御部は、前記記憶されたメッセージに基づいて、前記異常な動作を行っている電子制御ユニットを特定することを特徴としてもよい。
電子制御ユニットが過去に送受信したメッセージを記憶することで、異常を起こした電子制御ユニットを遡って調べることが可能になる。

【0016】

また、前記制御部は、二つ以上の前記電子制御ユニットが交換するメッセージを中継し、前記中継した前記メッセージを記憶することを特徴としてもよい。
情報処理装置は、複数の電子制御ユニットが交換するメッセージを中継する装置（ゲートウェイ）を兼用してもよい。車載ネットワークを流れるメッセージを記憶することで、電子制御ユニットの状態を適切に監視することができる。

【0017】

また、前記制御部は、前記一つ以上の電子制御ユニットのうちのいずれかにおいて異常が発生していることを検知した場合に、前記異常な動作を行っている電子制御ユニットの特定を開始することを特徴としてもよい。
また、前記制御部は、前記一つ以上の電子制御ユニットのうちのいずれかにおいて異常が発生していることを検知した場合に、ユーザに通知を行い、前記ユーザの指示に基づいて、前記異常な動作を行っている電子制御ユニットの特定を開始することを特徴としても
よい。

【0018】

全てのメッセージを監視するのではなく、所定のトリガが発生した場合に、異常を起こしている電子制御ユニットの特定を開始してもよい。例えば、システム上、通常では起こり得ない何らかの事象を観測した場合に、前記特定を開始する。かかる構成によると、異常の原因特定を低コストで行うことができる。

【0019】

また、前記制御部は、前記一つ以上の電子制御ユニットに流れる暗電流に基づいて、前記一つ以上の電子制御ユニットのうちのいずれかにおいて異常が発生していることを検知することを特徴としてもよい。
暗電流とは、車両システムが停止している状態において電子制御ユニットに流れている電流である。暗電流が所定値を上回っている場合、車両が有する電子制御ユニットのうちのいずれかが異常動作を行っていることが推定される。

【0020】

また、前記制御部は、前記取得したスナップショットデータを、前記車両を管理するサーバ装置に送信することを特徴としてもよい。
かかる構成によると、異常の原因を究明するためのデータの共有を迅速に行うことが可能になる。

【0021】

また、前記制御部は、前記スナップショットデータを取得したのちに、前記一つ以上の電子制御ユニットに対してリセット信号を送信することを特徴としてもよい。
必要な情報を取得した後で、異常が発生した電子制御ユニットをリセットすることで、応急処置を行うことができる。

【0022】

以下、図面に基づいて、本開示の実施の形態を説明する。以下の実施形態の構成は例示であり、本開示は実施形態の構成に限定されない。

【0023】

（第一の実施形態）
第一の実施形態に係る車両システムの概要について、図１を参照しながら説明する。本実施形態に係る車両システムは、車両１と、センタサーバ２と、を含んで構成される。

【0024】

車両１は、通信機能を有するコネクティッドカーである。車両１は、複数の電子制御ユニット（Electronic Control Unit，ＥＣＵとも称する）と、当該複数の電子制御ユニッ
トを管理するコンピュータであるゲートウェイを含んで構成される。ゲートウェイは、自車両の内外における通信を仲介する機能と、自車両が有するＥＣＵの動作を監視し、いずれかのＥＣＵにおいて異常動作が発生した場合に、当該異常を特定するためのデータを収集する機能を有する。
なお、ＥＣＵに発生する異常動作とは、設計上想定されていない動作を指す。例えば、本来動作すべきでないタイミングでＥＣＵが動作した場合や、送受信すべきでないメッセージが送受信された場合、異常動作が発生したと判定される。

【0025】

センタサーバ２は、車両１を管理するサーバ装置である。センタサーバ２は、複数の車両１を管理してもよい。センタサーバ２は、車両１と無線通信を行い、各種データの収集等を行う。本実施形態では、センタサーバ２は、車両１が有する複数のＥＣＵのうちのいずれかにおいて異常動作が発生した場合に、車両１側からの申告に基づいて、当該異常を特定するためのデータを収集する。

【0026】

システムの構成要素について、詳しく説明する。
図２は、図１に示した車両１のハードウェア構成の一例を概略的に示したブロック図である。車両１は、ゲートウェイ１１および複数のＥＣＵ（ＥＣＵ１２Ａ，ＥＣＵ１２Ｂ，
ＥＣＵ１２Ｃ…）を有して構成される。車両が有する複数のＥＣＵとして、例えば、エンジンＥＣＵ、ボディＥＣＵ、パワートレインＥＣＵ、または、ハイブリッドＥＣＵなどを挙げることができる。なお、図２には、複数のＥＣＵを例示しているが、互いを区別する必要がない場合、これらをＥＣＵ１２と総称する。

【0027】

これらの構成要素は、車載ネットワークのバス（ＣＡＮバス）によって相互に接続される。本実施形態では、車両１は、複数の通信バス（ＣＡＮバス１３Ａ，１３Ｂ）を備えており、複数のＥＣＵが、いずれかの通信バスに接続される。接続された複数のＥＣＵは、ＣＡＮバスを介して互いにデータを送受信する。なお、図２には、複数のＣＡＮバスを例示しているが、互いを区別する必要がない場合、これらをＣＡＮバス１３と総称する。

【0028】

ゲートウェイ１１は、複数のＥＣＵ間においてデータを中継する中継装置として機能する。また、ゲートウェイ１１は、車両１を外部のネットワークに接続する装置としても機能する。ゲートウェイ１１を介することで、車両１が有する複数のＥＣＵは、異なる車載ネットワーク、および、車両外部のネットワークと通信を行うことができる。以下、車両１の外部のネットワークを、単にネットワーク、または、外部ネットワークと称する。外部ネットワークとして、例えば、インターネット等の広域ネットワークが挙げられる。

【0029】

ゲートウェイ１１は、マイクロコンピュータ（以下、マイコン）１１０と、複数のＣＡＮバスと通信を行うインタフェースである通信部１１３Ａと、外部ネットワークと通信を行うインタフェースである通信部１１３Ｂと、を含んで構成される。

【0030】

マイコン１１０は、ＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）等のプロセッサ、ＲＡＭやＲＯＭ等の主記憶装置、ＥＰＲＯＭやディスクドラ
イブ、リムーバブルメディア等の補助記憶装置を有するマイクロコンピュータとして構成することができる。ただし、一部または全部の機能はＡＳＩＣやＦＰＧＡのようなハードウェア回路によって実現されてもよい。

【0031】

本実施形態では、マイコン１１０は、制御部１１１および記憶部１１２を有して構成される。制御部１１１は、所定のプログラムを実行することで、ゲートウェイ１１の各種機能を実現する演算ユニットである。
記憶部１１２は、主記憶装置および補助記憶装置を含むメモリ装置である。補助記憶装置には、オペレーティングシステム（ＯＳ）、各種プログラム、各種テーブル等が格納され、そこに格納されたプログラムを主記憶装置にロードして実行することによって、後述するような、所定の目的に合致した各機能を実現することができる。

【0032】

ゲートウェイ１１が有するマイコン１１０は、車両１が有する複数のＥＣＵ間で行われる通信を仲介する機能を有する。例えば、車両１が有する第一のＥＣＵ１２Ａが、第二のＥＣＵ１２Ｂとの通信を必要とする場合、ゲートウェイ１１は、第一のＥＣＵ１２Ａから送信されたデータを、第二のＥＣＵ１２Ｂに中継する。この際、送信先のＥＣＵが、送信元のＥＣＵと異なるＣＡＮバスに接続されていた場合、ゲートウェイ１１は、データを適切なＣＡＮバスに送出する。

【0033】

また、ゲートウェイ１１が有するマイコン１１０は、外部ネットワークと車両１との通信を仲介する機能を有する。例えば、車両１が有するＥＣＵ１２が、外部ネットワークとの通信を必要とする場合、ゲートウェイ１１は、当該ＥＣＵ１２から送信されたデータを外部ネットワークに中継する。また、外部ネットワークから送信されたデータを受信し、当該データを適切なＥＣＵ１２に転送する。

【0034】

さらに、ゲートウェイ１１は、自装置に固有な機能を実行することができる。例えば、
ゲートウェイ１１は、セキュリティシステムの監視機能や通話機能を有しており、車内で発生したトリガに基づいて、セキュリティ通報や緊急通報等を行うことができる。

【0035】

通信部１１３Ａは、ゲートウェイ１１を車載ネットワークに接続する通信インタフェースである。通信部１１３Ａは、マイコン１１０によって生成された所定形式のメッセージをＣＡＮデータに変換する処理と、受信したＣＡＮデータを所定形式のメッセージに変換し、マイコン１１０に送信する処理を実行する。
通信部１１３Ｂは、ゲートウェイ１１を外部ネットワークに接続する通信インタフェースである。通信部１１３Ｂは、マイコン１１０によって生成された所定形式のメッセージを通信パケットに変換する処理と、受信した通信パケットを所定形式のメッセージに変換し、マイコン１１０に送信する処理を実行する。

【0036】

マイコン１１０の構成について、より詳しく説明する。図３は、制御部１１１および記憶部１１２の論理構成を示した図である。
制御部１１１は、機能モジュールとして、データ中継部１１１Ａ、異常判定部１１１Ｂ、異常特定部１１１Ｃ、および、データ収集部１１１Ｄを有している。各機能モジュールは、記憶部１１２に記憶されたプログラムをＣＰＵ等によって実行することで実現してもよい。
記憶部１１２は、メッセージＤＢ１１２ＡおよびスナップショットＤＢ１１２Ｂを記憶している。

【0037】

制御部１１１が有する機能モジュールについて説明する。
データ中継部１１１Ａは、第一のＥＣＵによってＣＡＮバス１３に送出されたメッセージを受信し、必要に応じて、宛先である第二のＥＣＵに転送する処理を実行する。また、データ中継部１１１Ａは、転送したメッセージを、後述するメッセージＤＢ１１２Ａに記憶させる処理を実行する。
なお、同一のバスに接続されたＥＣＵ同士がデータを送受信する場合など、データを中継する必要がない場合がある。この場合、データ中継部１１１Ａは、通信部１１３Ａが受信したメッセージを、メッセージＤＢ１１２Ａに記憶させる処理のみを実行する。

【0038】

異常判定部１１１Ｂは、車両１が有する複数のＥＣＵ１２のうち、異常動作をしているＥＣＵが存在することを検出する。異常動作をしているＥＣＵが存在することは、例えば、車両システムの監視結果に基づいて検出することができる。
例えば、送受信のシーケンスや周期が、規定された手順に沿っていないメッセージが車載ネットワークから検出された場合や、起動すべきでないＥＣＵが電力を消費していることが検出された場合、異常動作をしているＥＣＵが存在することが疑われる。

【0039】

異常特定部１１１Ｃは、車両１が有する複数のＥＣＵ１２のうち、異常動作をしているＥＣＵを特定する。異常動作をしているＥＣＵは、メッセージＤＢ１１２Ａに記憶された複数のメッセージの履歴に基づいて特定することができる。異常特定部１１１Ｃは、例えば、メッセージＤＢ１１２Ａに記憶されたメッセージ（すなわち、過去に送受信されたメッセージ）が、規定の手順に適合しているかを遡って確認することで、異常動作をしているＥＣＵを特定する。例えば、規定の手順に適合してないメッセージを送信したＥＣＵ、または、規定の手順に適合してないメッセージを受信したＥＣＵと通信を行ったＥＣＵが、異常動作を起こしていると判定することができる。

【0040】

データ収集部１１１Ｄは、異常特定部１１１Ｃによって、動作異常を起こしているＥＣＵが特定された場合に、当該ＥＣＵのスナップショットデータを取得する。スナップショットデータとは、典型的にはＥＣＵのメモリダンプであるが、これ以外のデータを含んでいてもよい。取得されたスナップショットデータは、後述するスナップショットＤＢ１１
２Ｂに格納される。

【0041】

次に、記憶部１１２に記憶されるデータについて説明する。
記憶部１１２は、メッセージＤＢ１１２ＡおよびスナップショットＤＢ１１２Ｂを記憶する。
メッセージＤＢ１１２Ａは、複数のＥＣＵによって送受信されたメッセージの履歴（メッセージログ）が格納されるデータベースである。
図４（Ａ）は、メッセージＤＢ１１２Ａに格納されるデータの例である。図示したように、メッセージＤＢ１１２Ａには、メッセージを一意に識別するＩＤ、メッセージの送信日時、送信元ＥＣＵの識別子、送信先ＥＣＵの識別子、メッセージの内容などが格納される。なお、本例では、メッセージの内容をそのまま格納する構成を例示したが、メッセージＤＢ１１２Ａに格納されるデータは、メッセージのダイジェスト等であってもよい。

【0042】

スナップショットＤＢ１１２Ｂは、データ収集部１１１Ｄによって取得されたスナップショットデータが格納されるデータベースである。
図４（Ｂ）は、スナップショットＤＢ１１２Ｂに格納されるデータの例である。図示したように、スナップショットＤＢ１１２Ｂには、メモリダンプを取得したＥＣＵの識別子、メモリダンプの取得日時、取得したメモリダンプデータ（バイナリデータ）などが格納される。なお、本例では、メモリダンプを格納する構成を例示したが、スナップショットＤＢ１１２Ｂに格納されるデータは、これ以外のデータを含んでいてもよい。

【0043】

メッセージＤＢ１１２ＡおよびスナップショットＤＢ１１２Ｂは、プロセッサによって実行されるデータベース管理システム（ＤＢＭＳ）のプログラムが、記憶装置に記憶されるデータを管理することで構築される。メッセージＤＢ１１２ＡおよびスナップショットＤＢ１１２Ｂは、例えばリレーショナルデータベースである。

【0044】

次に、車両１が有するＥＣＵについて説明する。
ＥＣＵ１２は、車両１が有するコンポーネントを制御する電子制御ユニットである。複数のＥＣＵ１２は、例えば、エンジン系統、電装系統、パワートレイン系統など、それぞれ異なる系統のコンポーネントを制御する。ＥＣＵ１２は、規定されたメッセージを生成し、車載ネットワークを介して周期的に送受信する機能を有する。

【0045】

ＥＣＵ１２は、マイクロコンピュータ（マイコン）１２０と、ＣＡＮバス１３と通信を行うインタフェースである通信部１２３と、を含んで構成される。

【0046】

マイコン１２０は、マイコン１１０と同様に、ＣＰＵやＧＰＵ等のプロセッサ、ＲＡＭやＲＯＭ等の主記憶装置、ＥＰＲＯＭやディスクドライブ、リムーバブルメディア等の補助記憶装置を有するマイクロコンピュータとして構成することができる。

【0047】

本実施形態では、マイコン１２０は、制御部１２１および記憶部１２２を有して構成される。
制御部１２１は、所定のプログラムを実行することで、ＥＣＵ１２の各種機能を実現する演算ユニットである。記憶部１２２は、主記憶装置および補助記憶装置を含むメモリ装置である。それらの構成は、制御部１１１および記憶部１１２と同様であるため、詳細な説明は省略する。

【0048】

ＥＣＵ１２が有するマイコン１２０は、他のＥＣＵ１２が有するマイコンと通信を行うためのメッセージを周期的に生成し、通信部１２３を介して当該メッセージを送受信する。

【0049】

通信部１２３は、ＥＣＵ１２を車載ネットワーク（ＣＡＮバス）に接続する通信インタフェースである。通信部１２３は、マイコン１２０によって生成された所定形式のメッセージをＣＡＮデータに変換する処理と、受信したＣＡＮデータを所定形式のメッセージに変換し、制御部１２１に送信する処理を実行する。

【0050】

ＣＡＮバス１３は、ＣＡＮ（Controller Area Network）プロトコルに基づく車載ネッ
トワークを構成する通信バスである。なお、本例では、二つのＣＡＮバス１３Ａおよび３０Ｂが例示されているが、車載ネットワークは、三つ以上の通信バスを有していてもよい。複数のＣＡＮバスは、ゲートウェイ１１によって互いに接続される。

【0051】

次に、センタサーバ２について説明する。
センタサーバ２は、複数の車両１を管理するサーバ装置である。センタサーバ２は、無線通信によって複数の車両１とデータの送受信を行うことができる。

【0052】

センタサーバ２は、汎用のコンピュータにより構成することができる。すなわち、センタサーバ２は、ＣＰＵやＧＰＵ等のプロセッサ、ＲＡＭやＲＯＭ等の主記憶装置、ＥＰＲＯＭ、ハードディスクドライブ、リムーバブルメディア等の補助記憶装置を有するコンピュータとして構成することができる。補助記憶装置には、オペレーティングシステム（ＯＳ）、各種プログラム、各種テーブル等が格納され、そこに格納されたプログラムを実行することによって、後述するような、所定の目的に合致した各機能を実現することができる。ただし、一部または全部の機能はＡＳＩＣやＦＰＧＡのようなハードウェア回路によって実現されてもよい。

【0053】

図５は、図１に示したセンタサーバ２の構成の一例を概略的に示したブロック図である。
センタサーバ２は、制御部２１、記憶部２２、および通信部２３を有して構成される。

【0054】

制御部２１は、センタサーバ２の制御を司る手段である。制御部２１は、例えば、ＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）等の情報処理ユ
ニットによって構成される。
制御部２１は、機能モジュールとして、車両管理部２１１および異常処置部２１２を有している。各機能モジュールは、ＲＯＭ等の記憶手段に記憶されたプログラムをＣＰＵによって実行することで実現してもよい。

【0055】

車両管理部２１１は、管理下にある車両１（ゲートウェイ１１）と周期的に通信を行い、車両に関するデータを収集する。車両に関するデータとして、例えば、車両の位置情報、速度情報、運転操作に関する情報、通信ステータスなどがある。

【0056】

異常処置部２１２は、車両１が有する複数のＥＣＵ１２のうちのいずれかにおいて異常が発生した場合に、対応を指示する処理を実行する。具体的には、車両１に搭載されたゲートウェイ１１（異常判定部１１１Ｂ）から、いずれかのＥＣＵにおいて異常が発生した旨のメッセージを受信した場合に、車両１に対して、異常動作を起こしているＥＣＵ（以下、異常ＥＣＵ）の特定を指示する。また、ゲートウェイ１１（データ収集部１１１Ｄ）によって収集されたスナップショットデータを取得する。

【0057】

記憶部２２は、情報を記憶する手段であり、ＲＡＭ、磁気ディスクやフラッシュメモリなどの記憶媒体により構成される。記憶部２２には、制御部２１にて実行される各種プログラム、当該プログラムが利用するデータ等が記憶される。また、記憶部２２は、車両１に関するデータ（例えば、車両１の識別子や、ゲートウェイ１１の識別情報など）を記憶する。

【0058】

通信部２３は、センタサーバ２をネットワークに接続するためのインタフェースである。通信部２３は、例えば、インターネットや移動体通信網などを介して、車両１と通信することができる。

【0059】

次に、ゲートウェイ１１が行う処理について説明する。ゲートウェイ１１が行う処理は、複数のＥＣＵが送受信するメッセージを記憶する処理（第一の処理）と、当該複数のＥＣＵのいずれかにおいて異常が発生していることを検知し、処置を行う処理（第二の処理）とに大別される。

【0060】

図６は、第一の処理を説明するフローチャートである。図示した処理は、車両１が有するＥＣＵがメッセージを送受信する際に、データ中継部１１１Ａによって実行される。
まず、ステップＳ１１で、メッセージの送信元であるＥＣＵ（第一のＥＣＵ）からメッセージを受信する。
次に、ステップＳ１２で、受信したメッセージをメッセージＤＢ１１２Ａに記憶させる。
次に、ステップＳ１３で、第一のＥＣＵと、メッセージの送信先であるＥＣＵ（第二のＥＣＵ）が異なるバスに接続されており、メッセージの中継が必要であるか否かを判定する。
ここで、肯定判定がなされた場合、処理はステップＳ１４へ遷移し、受信したメッセージを、第二のＥＣＵが接続されたバスに送出する。否定判定がなされた場合、メッセージの中継は必要ないため、処理は終了する。

【0061】

かかる処理によると、車載ネットワークを介して送受信されたメッセージが、メッセージＤＢ１１２Ａに記憶される。なお、記憶部１１２の記憶容量が不足している場合、タイムスタンプの古い順にメッセージを消去してもよい。

【0062】

次に、第二の処理、すなわち、車両１が有する複数のＥＣＵのうちのいずれかにおいて異常が発生した場合における処理について説明する。まず、図７を参照して処理の概要について説明し、その後、図８を参照して具体的な処理内容について説明する。

【0063】

図７は、車両１とセンタサーバ２との間で送受信されるデータのフロー図である。
まず、ゲートウェイ１１が、車載されているＥＣＵ（ＥＣＵ１２Ａ，１２Ｂ，１２Ｃ…）のうちのいずれかにおいて異常動作が起きている旨を検出する。ゲートウェイ１１は、いずれかのＥＣＵにおいて異常動作が起きている旨を検出した場合に、その旨を通知するデータ（異常通知）をセンタサーバ２に送信する。
センタサーバ２は、異常通知を受信すると、解析の必要有無を判定し、必要であると判定した場合に、ゲートウェイ１１に対してスナップショットデータの取得を指示する。
指示を受けたゲートウェイ１１は、異常が発生しているＥＣＵを特定し、スナップショットデータを取得する。
スナップショットデータは、センタサーバ２に送信され、解析の用に供される。

【0064】

次に、ゲートウェイ１１が行う処理の詳細について説明する。
図８は、ゲートウェイ１１が実行する処理のフローチャートである。図示した処理は、車両１のイグニッション電源が切られている状態において実行される。

【0065】

車両のシステム電源が切られている場合、セキュリティ等を管轄する一部のＥＣＵを除き、ＥＣＵは動作しない。しかし、外部から攻撃を受けている場合など、本来動作すべきでないタイミングでＥＣＵが動作することがありうる。本実施形態に係るゲートウェイ１１は、このような、本来動作すべきでないタイミングで動作しているＥＣＵがあることを
検知し、センタサーバに対して通知を行う。
また、センタサーバからの指示に基づいて、異常動作をしているＥＣＵを特定し、特定したＥＣＵのスナップショットデータを取得する。
このように構成することにより、異常動作の原因を究明するためのデータを保全することができる。

【0066】

ＥＣＵの異常解析において、スナップショットデータは有効である。しかし、何らかの異常がＥＣＵに発生している場合に、全てのＥＣＵについてスナップショットデータを取得すると、不要なコスト（解析コスト等）が発生する。そこで、本実施形態では、異常を検知したタイミングで、過去のメッセージログに基づいて異常ＥＣＵを特定し、特定したＥＣＵに対してのみスナップショットデータを取得する。

【0067】

ステップＳ２１およびＳ２２は、本来動作すべきでないタイミングで動作しているＥＣＵが存在していることを検知するための処理である。
まず、ステップＳ２１で、異常判定部１１１Ｂが、複数のＥＣＵ１２に流れている暗電流を測定する。ここで、暗電流の値が想定されている範囲内であった場合、処理は初期状態へ戻る（ステップＳ２２－Ｙｅｓ）。暗電流の値が想定されている範囲に無い場合、処理はステップＳ２３へ遷移する（ステップＳ２２－Ｎｏ）。

【0068】

暗電流の値が想定されている範囲に無い場合、いずれかのＥＣＵが想定外の動作を行っていることが推定される。かかる場合、ステップＳ２３において、異常判定部１１１Ｂが、センタサーバ２に対して異常が発生した旨の通知（異常通知）を送信する。当該異常通知には、自車両に関する他の情報を含ませてもよい。
ステップＳ２４では、異常判定部１１１Ｂが、センタサーバ２から、データ取得指示を受信したか否かを判定する。センタサーバ２から、データ取得指示を受信した場合、処理はステップＳ２５へ遷移する。データ取得指示を受信しない場合、待ち受けを続ける。なお、受信がタイムアウトした場合、処理を初期状態に戻してもよい。

【0069】

ステップＳ２５では、異常特定部１１１Ｃが、メッセージＤＢ１１２Ａに記録されたメッセージの送受信履歴に基づき、異常動作をしているＥＣＵを特定する。例えば、送受信のシーケンスや周期が、規定された手順に沿っていないメッセージがあった場合、当該メッセージを送信したＥＣＵが異常動作をしていると判定することができる。

【0070】

ステップＳ２６では、データ収集部１１１Ｄが、特定されたＥＣＵ１２に対してスナップショットデータの送信を要求し、これを取得する。スナップショットデータには、ＥＣＵ１２が有するマイコン１２０の現在の状態に関するデータが含まれる。このようなデータとして、例えば、主記憶装置のメモリダンプ、プロセッサが実行中のコードに関する情報（例えば、プログラムのアセンブリコード）などが例示できる。
取得されたスナップショットデータは、スナップショットＤＢ１１２Ｂに記憶されるとともに、センタサーバ２（異常処置部２１２）に送信される。
なお、データ収集部１１１Ｄは、特定されたＥＣＵ１２の異常動作を停止させるため、ステップＳ２６において、該当するＥＣＵをリセットするための信号を送信してもよい。

【0071】

以上説明したように、第一の実施形態におけるゲートウェイ１１は、本来動作すべきでないタイミングで動作しているＥＣＵ（異常ＥＣＵ）があることを検知した場合に、異常動作をしているＥＣＵを特定し、特定したＥＣＵのスナップショットデータを取得する。これにより、異常の原因を究明するためのデータを適切なタイミングで保全することができる。

【0072】

（第一の実施形態の変形例）
第一の実施形態では、ゲートウェイ１１が異常ＥＣＵの存在を検知した場合に、センタサーバ２に通知を行い、センタサーバ２の指示をもってスナップショットデータの取得を開始した。しかしながら、スナップショットデータの取得は、ユーザの指示に基づいて開始してもよい。例えば、センタサーバ２が異常通知を受信した場合に、ユーザが所持する端末（ユーザ端末）に対して通知を送信し、ユーザがこれに応答した場合（例えば、異常の解消を指示した場合）に、スナップショットデータの取得を開始するようにしてもよい。

【0073】

また、第一の実施形態では、システム停止中における暗電流に基づいて、異常ＥＣＵの存在を検知し、異常ＥＣＵの特定を開始したが、これ以外のトリガによって、異常ＥＣＵの特定を開始するようにしてもよい。例えば、異常ＥＣＵの検知は、車両の走行中において行ってもよい。
例えば、車載ネットワークを流れるデータに異常が認められた際に、警告灯などによってユーザに対して通知が行われる場合がある。この場合、警告灯を確認したユーザが、ユーザ端末を介して、ゲートウェイ１１に対してスナップショットデータの取得を指示するようにしてもよい。このように、センタサーバ２を介さずに、スナップショットデータの取得を指示することもできる。
これ以外にも、システム上、通常では起こり得ない何らかの事象を車両１側において観測した場合に、異常ＥＣＵの特定を開始するようにしてもよい。

【0074】

（変形例）
上記の実施形態はあくまでも一例であって、本発明はその要旨を逸脱しない範囲内で適宜変更して実施しうる。
例えば、本開示において説明した処理や手段は、技術的な矛盾が生じない限りにおいて、自由に組み合わせて実施することができる。

【0075】

また、実施形態の説明では、車載ネットワークとしてＣＡＮネットワークを例示したが、イーサネットを始めとする他の種類の車載ネットワークを採用することもできる。

【0076】

また、１つの装置が行うものとして説明した処理が、複数の装置によって分担して実行されてもよい。あるいは、異なる装置が行うものとして説明した処理が、１つの装置によって実行されても構わない。コンピュータシステムにおいて、各機能をどのようなハードウェア構成（サーバ構成）によって実現するかは柔軟に変更可能である。

【0077】

本開示は、上記の実施形態で説明した機能を実装したコンピュータプログラムをコンピュータに供給し、当該コンピュータが有する１つ以上のプロセッサがプログラムを読み出して実行することによっても実現可能である。このようなコンピュータプログラムは、コンピュータのシステムバスに接続可能な非一時的なコンピュータ可読記憶媒体によってコンピュータに提供されてもよいし、ネットワークを介してコンピュータに提供されてもよい。非一時的なコンピュータ可読記憶媒体は、例えば、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクドライブ（ＨＤＤ）等）、光ディスク（ＣＤ－ＲＯＭ、ＤＶＤディスク・ブルーレイディスク等）など任意のタイプのディスク、読み込み専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、ＥＰＲＯＭ、ＥＥＰＲＯＭ、磁気カード、フラッシュメモリ、光学式カード、電子的命令を格納するために適した任意のタイプの媒体を含む。

【符号の説明】

【0078】

１・・・車両
１１・・・ゲートウェイ
１１０・・・マイコン
１１１・・・制御部
１１２・・・記憶部
１１３・・・通信部
２０・・・ＥＣＵ
１２０・・・マイコン
１２１・・・制御部
１２２・・・記憶部
１２３・・・通信部
２・・・センタサーバ
２１・・・制御部
２２・・・記憶部
２３・・・通信部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】