CN111094081B - 车载装置、事件监视方法 - Google Patents

Abstract

本发明的车载装置搭载于能够自动驾驶的车辆上，具备事件检测处理部，所述事件检测处理部获取表示车辆的控制状态的车辆信息，根据车辆信息来检测车辆中发生的事件。

Description

车载装置、事件监视方法

技术领域

本发明涉及一种进行事件监视的车载装置以及使用该车载装置的事件监视方法。

背景技术

近年来，如下技术开始普及：在车辆上搭载的电子控制装置(ECU：ElectoronicControl Unit)与外部的信息通信设备之间进行通信，由此在车辆中获取各种信息，使用获取到的信息来实现车辆的安全驾驶辅助或自动驾驶。在这种技术中，ECU与外部的信息通信设备的常时连接、信息通信设备中的通用设备和通用程序的利用在不断发展，因此，车辆成为网络攻击对象的危险性在不断提高。在车辆受到网络攻击而失控的情况下，会导致巨大的人员、财产损失，社会影响巨大。因此，业界要求在出现了针对ECU制造商或汽车制造商等的网络攻击的征兆(网络事件，以下简称为“事件”)时迅速检测到这一情况而使车辆处于安全的状态，将损失控制在最小程度。

关于车辆的异常检测，例如已知有专利文献1记载的技术。专利文献1记载的车辆故障诊断装置对从车辆获取到的车辆行驶信息与从识别周边环境的识别单元获取到的外部环境信息进行比较，在车辆行驶信息背离与周边环境相应的通常的行驶模式达到规定级别以上的情况下，判断车辆有可能发生了异常，从而进行车辆的故障诊断。

现有技术文献

专利文献

专利文献1：日本专利特开2007-161044号公报

发明内容

发明要解决的问题

然而，在专利文献1记载的技术中，由于是对从车辆获取到的车辆行驶信息与通常的行驶模式进行比较来进行车辆的异常判断，因此，在虽已发生事件但车辆进行的是与通常的行驶模式相近的行驶这样的情况下，无法判断为异常。因而，无法可靠地迅速检测到车辆中发生的事件。

解决问题的技术手段

本发明的车载装置搭载于能够自动驾驶的车辆上，具备事件检测处理部，所述事件检测处理部获取表示所述车辆的控制状态的车辆信息，根据所述车辆信息来检测所述车辆中发生的事件。

本发明的事件监视方法在能够自动驾驶的车辆上搭载的车载装置中获取表示所述车辆的控制状态的车辆信息，根据所述车辆信息来检测所述车辆中发生的事件。

发明的效果

根据本发明，能够可靠地迅速检测到车辆中发生的事件。

附图说明

图1为本发明的一实施方式的车辆信息网络系统的构成图。

图2为例示车辆及车载远程监视装置的硬件构成的框图。

图3为例示路侧设备及中心服务器的硬件构成的框图。

图4为例示车载远程监视装置的功能构成的框图。

图5为例示中心服务器的功能构成的框图。

图6为例示地图信息的构成的说明图。

图7为例示车载信息包的构成的说明图。

图8为车载远程监视装置执行的车辆信息监视处理的流程图。

图9为自动驾驶功能停止处理的流程图。

图10为车辆通信网络系统的时序图。

具体实施方式

下面，参考图1～10，对本发明的实施方式进行说明。图1为本发明的一实施方式的车辆信息网络系统的构成图。图1所示的车辆信息网络系统1包含车辆2、路侧设备3、网络4及中心服务器5。

车辆2搭载车载远程监视装置20。路侧设备3在车辆2行驶的道路的路侧固定设置在规定地点。路侧设备3与中心服务器5经由网络4相互连接。中心服务器5经由网络4及路侧设备3与车载远程监视装置20进行数据通信。

再者，车辆信息网络系统1中可包含多个分别搭载车载远程监视装置20的车辆2。此外，可将多个路侧设备3分别设置在不同地点。在以下的说明中，以一个车辆2上搭载的车载远程监视装置20的动作为中心进行说明。

图2为例示车辆2及车载远程监视装置20的硬件构成的框图。车辆2具备车载远程监视装置20和分别连接到车载远程监视装置20的无线通信装置105、方向盘ECU 106、制动器ECU 107、发动机ECU 108、方向指示器109、ADAS ECU 110、制动控制ECU 111、转向控制ECU 112、发动机控制ECU 113、摄像机114、GPS传感器115、加速度传感器116、用户开关117、显示装置118及导航系统119。

方向盘ECU 106、制动器ECU 107、发动机ECU 108及方向指示器109是用于进行车辆2的行驶控制的装置，相互连接而构成了网络。以下，将该网络称为“控制系网域”。ADASECU 110、制动控制ECU 111、转向控制ECU 112、发动机控制ECU 113、摄像机114、GPS传感器115及加速度传感器116是用于进行车辆2的驾驶辅助或自动驾驶的装置，相互连接而构成了网络。以下，将该网络称为“驾驶辅助系网域”。用户开关117、显示装置118及导航系统119是用于提供面向车辆2驾驶员的用户界面的装置，相互连接而构成了网络。以下，将该网络称为“信息系网域”。即，车载远程监视装置20与控制系网域、驾驶辅助系网域、信息系网域连接在一起，与这些网络内的各装置之间进行数据通信。

在上述各网络中，相同网络内的各装置可以不经由车载远程监视装置20而直接进行数据通信。例如，在控制系网域内进行车辆2的行驶控制用的通信。在驾驶辅助系网域内内进行车辆2的驾驶辅助或自动驾驶用的通信。在信息系网域内进行面向车辆2的驾驶员的用户界面用的通信。另一方面，属于不同网络的装置间的数据通信经由车载远程监视装置20来进行。

无线通信装置105连接到车载远程监视装置20，其与路侧设备3之间进行无线通信。车载远程监视装置20通过经由无线通信装置105的无线通信与路侧设备3进行数据通信。

方向盘ECU 106是根据车辆2的驾驶员的转向操作或者从转向控制ECU 112发送的转向控制命令来控制车辆2的操舵机构而进行行进方向控制的装置。制动器ECU 107是根据车辆2的驾驶员的制动操作或者从制动控制ECU 111发送的制动控制命令来控制车辆2的制动器而进行减速控制的装置。发动机ECU 108是根据车辆2的行驶状态或者从发动机控制ECU 113发送的发动机控制命令来控制车辆2的发动机而进行速度控制的装置。方向指示器109是根据车辆2的驾驶员的方向指示操作或者从ADAS ECU 110发送的方向指示命令来点亮车辆2上设置的灯、在车辆2进行前进道路变更时将该前进道路变更的方向通知给周围的其他车辆的装置。借助这些装置来进行车辆2的行驶控制。

ADAS ECU 110是根据车辆2内外的信息来判断车辆2的加速、减速、停止等并使用其判断结果来实现车辆2的自动驾驶或驾驶辅助服务的装置。ADAS ECU 110参考从摄像机114获取到的外部图像、从GPS传感器115获取到的车辆2的位置、从加速度传感器116获取到的车辆2的加速度、导航系统119保持的车辆2的周边地图信息等来决定车辆2的行为。继而，指示制动控制ECU 111、转向控制ECU 112、发动机控制ECU 113分别输出与决定好的车辆2的行为相应的控制命令。由此，ADAS ECU 110自动地进行车辆2的加速、操舵、制动这所有动作，实现车辆2的自动驾驶功能。

作为车辆2的驾驶员的用户通过利用ADAS ECU 110的自动驾驶功能，可以在不进行驾驶操作的情况下使车辆2自动行驶到目的地。例如，在车辆2正以维持同一行驶车道的状态向目的地行驶的情况下，ADAS ECU 110根据从摄像机114获取到的外部图像来确认车辆2前后有无障碍物。再者，也可使用未图示的雷达传感器等代替摄像机114。此外，ADASECU 110根据从导航系统119获取到的地图信息来决定遵循行驶车道的形状的车辆2的行进方向和行驶速度，并将包含与这些值相应的控制参数的车辆信息分别发送至制动控制ECU111、转向控制ECU 112、发动机控制ECU 113。由此，能使车辆2沿行驶车道自动行驶。进一步地，例如在正在实施自动驾驶时车辆2要进行车道变更的情况下，ADAS ECU 110控制方向指示器109的动作而朝要进行车道变更的方向点亮方向指示器109。此外，根据从摄像机114获取到的外部图像来确认变更目标车道上有无障碍物，在此基础上决定车道变更时的车辆2的行为，并将包含与该值相应的控制参数的车辆信息分别发送至制动控制ECU 111、转向控制ECU 112、发动机控制ECU 113。由此，能使车辆2自动进行车道变更。

制动控制ECU 111是根据ADAS ECU 110的指示对制动器ECU 107发送包含制动强度的制动控制命令的装置。转向控制ECU 112是根据ADAS ECU 110的指示对方向盘ECU 106发送包含方向盘的操作角度的转向控制命令的装置。发动机控制ECU 113是根据ADAS ECU110的指示对发动机ECU 108发送包含发动机转速的发动机控制命令的装置。摄像机114是将拍摄车辆2周围得到的图像输出至ADAS ECU 110的装置。GPS传感器115是从卫星接收信号来测定车辆2的位置的定位装置。加速度传感器116是检测车辆2的前后方向和左右方向的加速度的装置。借助这些装置来进行车辆2的驾驶辅助或自动驾驶。

用户开关117是检测车辆2的驾驶员的规定的输入操作的装置。作为车辆2的驾驶员的用户例如在将车辆2的自动驾驶或驾驶辅助功能从无效切换至有效或者从有效切换至无效时使用用户开关117。显示装置118例如为液晶显示器等，向驾驶员显示各种信息。例如，在车辆2中正在实施自动驾驶或驾驶辅助的情况下，将这些功能是有效的这一内容显示在显示装置118上，由此使得驾驶员能够掌握车辆2的状态。导航系统119是保持有道路形状等地图信息、根据来自用户或ADAS ECU 110的要求等来提供车辆2周边的地图信息的装置。借助这些装置来提供面向车辆2的驾驶员的用户界面。

车载远程监视装置20具备存储装置101、CPU 102及存储器部103。存储装置101例如为HDD、闪存等辅助存储装置。CPU 102例如通过读入并执行存储装置101等当中存储的规定的控制程序来控制车载远程监视装置20。

存储器部103是供CPU 102在执行控制程序时加以利用的主存储装置。

CPU 102在功能上具备事件检测处理部120、通信控制部130、功能停止部140、警告处理部150及复原对策处理部160。即，事件检测处理部120、通信控制部130、功能停止部140、警告处理部150及复原对策处理部160是通过由CPU 102执行的控制程序而以软件方式来实现的。事件检测处理部120、通信控制部130、功能停止部140、警告处理部150及复原对策处理部160将于后文详细叙述。

另外，例如也可以通过FPGA之类的能够实现与CPU 102同等功能的电子电路等来分别构成事件检测处理部120、通信控制部130、功能停止部140、警告处理部150及复原对策处理部160。

图3为例示路侧设备3及中心服务器5的硬件构成的框图。路侧设备3具备路侧设备控制部205和无线收发部206。

无线收发部206通过收发无线信号而与车辆2上搭载的车载远程监视装置20进行数据通信。路侧设备控制部205控制路侧设备3。路侧设备控制部205连接到网络4。路侧设备控制部205经由网络4与中心服务器5进行数据通信。路侧设备控制部205控制无线收发部206而将从中心服务器5发送的信息发送至车辆2，或者将从车辆2接收到的信息发送至中心服务器5。

中心服务器5具备存储装置501、CPU 502及存储器部503。存储装置501例如为HDD、闪存等辅助存储装置。CPU 502例如通过读入并执行存储装置501等当中存储的规定的控制程序来处理与路侧设备3之间的收发信息。存储器部503是供CPU 502在执行控制程序时加以利用的主存储装置。

CPU 502在功能上具备收发信息处理部510、事件分析处理部520及复原对策生成部530。即，收发信息处理部510、事件分析处理部520及复原对策生成部530是通过由CPU502执行的控制程序而以软件方式来实现的。收发信息处理部510、事件分析处理部520及复原对策生成部530将于后文详细叙述。

接着，对车载远程监视装置20及中心服务器5的功能构成进行说明。

图4为例示车载远程监视装置20的功能构成的框图。存储装置101具有车辆信息DB171。

复原对策处理部160使用无线通信装置105与路侧设备3进行通信，经由路侧设备3从中心服务器5接收复原对策900。接收到的复原对策900被输出至通信控制部130。复原对策900是在前文所述的控制系网域、驾驶辅助系网域或信息系网域中因某一装置受到网络攻击而发生了安全上的事件的情况下为使该事件发生源装置复原而从中心服务器5发送的信息。复原对策900例如包含在该装置中动作的软件的回溯命令、设定文件、更新软件等。

在发生了事件的情况下，事件检测处理部120根据车辆信息DB 171中存放的车辆信息、导航系统119中存放的地图信息600会检测到事件的发生。在检测到事件的发生的情况下，事件检测处理部120使用无线通信装置105与路侧设备3进行通信，将检测到的与事件相关的事件信息700经由路侧设备3发送至中心服务器5。事件信息700中包含检测到事件的场所、检测到事件时的信息发送源装置的软件版本、事件的原因、事件的检测日期时间等。此外，在检测到事件的发生的情况下，事件检测处理部120将指示停止不同网络间的信息传送的传送停止指示、指示停止车辆2的自动驾驶的自动驾驶停止指示、通知事件的发生的事件发生通知分别输出至通信控制部130、功能停止部140、警告处理部150。

通信控制部130在连接到车载远程监视装置20的各网络间进行通信的中继。例如，使从驾驶辅助系网域的制动控制ECU 111发送至控制系网域的制动器ECU 107的制动控制指示在这些网络间传送。在同一网络内的装置间以及不同网络的装置间，通过后文叙述的车辆信息包800来进行通信。当通信控制部130接收到在各装置间收发的车辆信息包800时，将该信息包中包含的信息作为表示车辆2的控制状态的车辆信息追记至车辆信息DB 171。即，在车辆信息DB 171中按照时间序列顺序存放车辆信息包800中包含的信息作为车辆信息。

当通信控制部130从复原对策处理部160接收到复原对策900时，将接收到的复原对策900发送至收件地址的装置。此外，当通信控制部130从事件检测处理部120收到传送停止指示时，将属于不同网络的各装置间的通信切断。

当功能停止部140从事件检测处理部120收到自动驾驶停止指示时，停止车辆2的自动驾驶功能。功能停止部140例如指示通信控制部130将从驾驶辅助系网络的各装置去往控制系网络的各装置的信息传送切断，或者经由通信控制部130对ADAS ECU 110进行自动驾驶功能的停止指示，由此来停止车辆2的自动驾驶功能。

当警告处理部150从事件检测处理部120收到事件发生通知时，使用显示装置118对作为车辆2的驾驶员的用户进行警告。警告处理部150例如通过在显示装置118上显示规定画面而指示用户使用用户开关117来进行从自动驾驶切换至手动驾驶的操作。当在用户开关117中输入了切换操作时，警告处理部150将这一情况通知事件检测处理部120。

图5为例示中心服务器5的功能构成的框图。存储装置501具有事件信息DB 551。

收发信息处理部510进行与路侧设备3的信息的收发。例如，收发信息处理部510经由路侧设备3接收从车辆2发送的事件信息700。收发信息处理部510将从车辆2接收到的事件信息700存放至事件信息DB 551。

事件分析处理部520对事件信息DB 551中存放的事件信息700进行分析，并将其分析结果通知复原对策生成部530。

复原对策生成部530根据事件分析处理部520的分析结果来生成应对车辆2中发生的事件的复原对策900。收发信息处理部510将由复原对策生成部530生成的复原对策900经由路侧设备3发送至车辆2。

图6为例示地图信息600的构成的说明图。地图信息600包含路段ID 601、限速602、方向限制603、第1纬度信息604、第2纬度信息605、第1经度信息606及第2经度信息607这各个信息。

路段ID 601表示针对每一路段标注的路段ID。通过该路段ID 601的值来确定该地图信息对应于哪一路段。再者，关于路段ID的值，是以相互不重复的方式预先设定有每一路段固有的值。

限速602表示对与该地图信息相对应的路段设定的限速。根据该限速602的值来设定车辆2的自动驾驶中的行驶速度的上限值。

方向限制603表示与该地图信息相对应的路段的朝向。方向限制603以将规定方向(例如磁北方向)设为0的角度来表现。

第1纬度信息604是表示与该地图信息相对应的路段的位置的纬度值。第2纬度信息605是表示第1纬度信息604的值为北纬(N)还是南纬(S)的信息。第1经度信息606是表示与该地图信息相对应的路段的位置的经度值。第2经度信息607是表示第1经度信息606的值为东经(E)还是西经(W)的信息。

图7为例示车辆信息包800的构成的说明图。车辆信息包800包含CAN ID 801、控制参数802及测定时间803这各个信息。

CAN ID 801是表示由车辆信息包800的发送源设定的CAN ID的信息。以CAN ID的形式对网络内的各装置预先设定有每一装置固有的编号。各装置在发送车辆信息包800时，设定表示由自身设定的CAN ID的信息作为CAN ID 801。

控制参数802是表示接收到车辆信息包800的装置所进行的控制中使用的控制值的信息。控制参数802中，根据各装置中进行的控制的内容来设定各种值。例如，可以利用控制参数802来表示加速踏板开度、制动压力、操舵角、发动机转速等信息。此外，表示方向指示器109的动作状态的信息、摄像机114的摄影图像数据等也可以包含在控制参数802中。

测定时间803是表示车辆信息包800的发送时间(时刻)的信息。各装置在发送车辆信息包800时，设定表示这时的时刻的信息作为测定时间803。

图8为车载远程监视装置20的CPU 102执行的车辆信息监视处理的流程图。该流程图所示的处理是在车辆2上搭载的车载远程监视装置20的CPU 102中每隔规定时间执行一次。

在步骤S10中，CPU 102通过事件检测处理部120从车辆信息DB 171中读出而获取车辆信息DB 171中存储的车辆信息。此时，优选将到前一次为止的处理中已获取的车辆信息除外而仅提取未获取的车辆信息来加以获取。

在步骤S20中，CPU 102通过事件检测处理部120、根据步骤S10中获取到的车辆信息来判定车辆2是否正在自动驾驶。若正在自动驾驶，则使处理前进至步骤S30，在不是自动驾驶也就是用户正在手动驾驶的情况下，使处理前进至步骤S110。

在步骤S30中，CPU 102通过事件检测处理部120来判定步骤S10中获取到的车辆信息是否违反规定的发送规则。结果，在判定车辆信息违反发送规则的情况下，使处理前进至步骤S70，在判定没有违反的情况下，使处理前进至步骤S40。具体而言，例如确认CAN ID801的值是否包含在预先登记的编号列表中，或者确认控制参数802的值是否在预先设定的范围内，或者确认测定时间803的值与当前时刻的差是否不到预先设定的阈值，由此来进行步骤S30的判定。再者，在车载远程监视装置20中，以发送规则的形式预先设定有这些判定基准值也就是CAN ID 801的编号列表、控制参数802的设定范围、测定时间803与当前时刻的差的阈值等。

在步骤S40中，CPU 102通过事件检测处理部120、根据步骤S10中获取到的车辆信息来判定车辆2是否要进行前进道路变更。结果，在判定车辆2要进行前进道路变更的情况下，使处理前进至步骤S50，在判定不进行前进道路变更的情况下，结束图8的车辆信息监视处理。具体而言，例如在车辆信息中的控制参数802的值表示的是规定角度以上的操舵角的情况下，判断车辆2要进行前进道路变更。此外，也可根据导航系统119上搭载的地图信息600来判断车辆2是否要进行前进道路变更。例如，根据地图信息600求出车辆2正在行驶的道路的朝向并将其与表示车辆2的操舵角、位置、加速度等的车辆信息进行比较，由此来判断车辆2是否要进行前进道路变更。进一步地，此时也可利用摄像机114的摄影图像等。除此以外，还可以通过各种方法来进行步骤S40的判定。再者，前进道路变更例如包含行驶车道的脱离、路口处的左右转等。

在步骤S50中，CPU 102通过事件检测处理部120、根据步骤S10中获取到的车辆信息来判定是否是正确地通知车辆2的前进道路变更方向。结果，在判定是正确地通知前进道路变更方向的情况下，使处理前进至步骤S60，在判定不是正确地通知的情况下，使处理前进至步骤S70。具体而言，例如根据车辆信息中的控制参数802的值来确认方向指示器109的动作状态、判断方向指示器109是否在进行正确地表示步骤S40中判断的前进道路变更的方向的动作，由此来进行步骤S50的判定。

在步骤S60中，CPU 102通过事件检测处理部120、根据步骤S10中获取到的车辆信息来判定是否存在妨碍车辆2的前进道路变更的障碍物。结果，在判定存在障碍物的情况下，使处理前进至步骤S70，在判定不存在的情况下，结束图8的车辆信息监视处理。具体而言，例如根据表示摄像机114获取到的图像信息的车辆信息来判断前进道路变更时在车辆2周围是否存在妨碍前进道路变更的其他车辆或物体。结果，在存在妨碍前进道路变更的其他车辆或物体的情况下，将其识别为障碍物。此时，也能以代替摄像机114或者与摄像机114同时使用的方式使用未图示的雷达传感器等。

在步骤S70中，CPU 102通过事件检测处理部120来检测事件。即，将步骤S30中判定的车辆信息的发送规则违反、步骤S50中判定的不正确的前进道路变更方向的通知、步骤S60中判定的前进道路变更时的障碍物的存在等现象检测为车辆2中发生的事件。

在步骤S80中，CPU 102执行用于停止车辆2的自动驾驶功能的自动驾驶功能停止处理。该自动驾驶功能停止处理的详情将在后文中参考图9来进行说明。

在步骤S90中，CPU 102通过通信控制部130、以特定车辆信息为对象而切断该车辆信息向其他网络的传送。此时，事件检测处理部120对通信控制部130输出传送停止指示。从事件检测处理部120收到传送停止指示的通信控制部130例如以具有属于驾驶辅助系网络的各装置的CAN ID的车辆信息为对象而切断向其他网络的传送。

在步骤S100中，CPU 102通过事件检测处理部120将检测到的与事件相关的事件信息700输出至无线通信装置105而经由路侧设备3发送至中心服务器5。当执行了步骤S100时，结束图8的车辆信息监视处理。

在车辆2不是正在自动驾驶的情况下，在步骤S110中，CPU 102通过事件检测处理部120来判定步骤S10中获取到的车辆信息是否违反规定的发送规则。结果，在判定车辆信息违反发送规则的情况下，使处理前进至步骤S120，在判定没有违反的情况下，结束图8的车辆信息监视处理。再者，步骤S110的判定能以与步骤S30相同的方式进行。

在步骤S120中，CPU 102通过事件检测处理部120来检测事件。即，将步骤S110中判定的车辆信息的发送规则违反检测为车辆2中发生的事件。

在步骤S130中，CPU 102通过通信控制部130、以与步骤S90相同的方式以特定车辆信息为对象而切断该车辆信息向其他网络的传送。

在步骤S140中，CPU 102通过功能停止部140来禁止车辆2中的自动驾驶功能的动作。此时，事件检测处理部120对功能停止部140输出自动驾驶停止指示。从事件检测处理部120收到自动驾驶停止指示的功能停止部140例如经由通信控制部130对ADAS ECU 110进行自动驾驶功能的禁止指示，由此来禁止自动驾驶功能的动作。

在步骤S150中，CPU 102通过事件检测处理部120将检测到的与事件相关的事件信息700输出至无线通信装置105而经由路侧设备3发送至中心服务器5。当执行了步骤S150时，结束图8的车辆信息监视处理。

图9为图8的步骤S80中执行的自动驾驶功能停止处理的流程图。

在步骤S210中，CPU 102通过警告处理部150指示作为车辆2的驾驶员的用户从自动驾驶切换至手动驾驶。此时，事件检测处理部120对警告处理部150输出事件发生通知。从事件检测处理部120收到事件发生通知的警告处理部150例如经由通信控制部130指示显示装置118显示规定画面，由此来督促用户从自动驾驶切换至手动驾驶。

在步骤S220中，CPU 102判定是否已从自动驾驶切换到了手动驾驶。在用户根据步骤S210的指示而通过用户开关117来进行规定的切换操作、由此停止了ADAS ECU 110的自动驾驶功能的情况下，判定已从自动驾驶切换到了手动驾驶，前进至步骤S260。另一方面，在没有对用户开关117输入切换操作的情况下，判定尚未进行从自动驾驶向手动驾驶的切换，前进至步骤S230。

在步骤S230中，CPU 102判定从步骤S210中指示用户切换至手动驾驶起是否已经过一定时间例如10秒钟。在已经过一定时间的情况下，前进至步骤S240，在尚未经过一定时间的情况下，返回至步骤S220。

在步骤S240中，CPU 102指示ADAS ECU 110使车辆2停到路肩上。再者，只要是车辆2能够安全停靠的场所，则也可为路肩以外的场所。由此，在从步骤S210中指示用户切换至手动驾驶起一定时间内没有对用户开关117进行规定的切换操作的情况下，会指示使车辆2停到安全的场所。

在步骤S250中，CPU 102将车辆2的控制状态从自动驾驶切换至手动驾驶。例如，从功能停止部140对ADAS ECU 110输出停止自动驾驶功能的指示。收到该指示的ADAS ECU110禁止制动控制ECU 111、转向控制ECU 112及发动机控制ECU 113输出与车辆2的加速、操舵、制动相关的控制命令，由此使得自动驾驶功能不可用。当执行了步骤S250时，使处理前进至步骤S260。

在步骤S260中，CPU 102通过警告处理部150将自动驾驶不可用这一情况通知用户。此时，警告处理部150例如经由通信控制部130使显示装置118显示规定消息，由此将因事件的发生而导致自动驾驶不可用这一情况通知用户。

在步骤S270中，CPU 102通过功能停止部140来禁止车辆2中的自动驾驶功能的动作。此时，功能停止部140与图8的步骤S140同样地例如经由通信控制部130对ADAS ECU 110进行自动驾驶功能的禁止指示，由此来禁止自动驾驶功能的动作。当执行了步骤S270后，结束图9的自动驾驶功能停止处理。

接着，对车辆信息网络系统1整体的动作进行说明。图10为表示车辆信息网络系统1整体的动作的时序图。在车辆信息网络系统1中，中心服务器5、车载远程监视装置20以及网络内的各装置各自执行图10所示的处理。

在步骤S301中，中心服务器5接收从车载远程监视装置20经由路侧设备3发送的事件信息700，并保存至事件信息DB 551。

在步骤S302中，中心服务器5通过事件分析处理部520来进行事件信息700的分析。此处，例如确定车辆2中的异常发生部位、分析其原因。

在步骤S303中，中心服务器5根据步骤S302中得到的事件信息的分析结果、通过复原对策生成部530来生成程序修正用的补丁或者回溯指示等复原对策900。继而，将生成的复原对策900经由路侧设备3发送至车载远程监视装置20。

在步骤S401中，车载远程监视装置20接收从网络的各装置发送的车辆信息包800。继而，将接收到的车辆信息包800存储至车辆信息DB 171，而且，按照所指定的收件地址，视需要实施传送至其他网络的网域间通信。

在发生了事件的情况下，在步骤S402中，车载远程监视装置20通过实施图8的车辆信息监视处理而检测到发生的事件，从而向中心服务器5发送事件信息700。

在步骤S403中，车载远程监视装置20确认车辆2的状态，判断是否正在自动驾驶。

在步骤S403中判断车辆2正在自动驾驶的情况下，在步骤S404中，车载远程监视装置20实施图9的自动驾驶功能停止处理，由此指示ADAS ECU 110停止自动驾驶功能。

在步骤S405中，车载远程监视装置20接收从中心服务器5发送的复原对策900，对事件发生部位的装置实施复原对策900。

在步骤S501中，控制系网域内的方向盘ECU 106、制动器ECU 107、发动机ECU 108及方向指示器109这各个装置、驾驶辅助系网域内的ADAS ECU 110、制动控制ECU 111、转向控制ECU 112、发动机控制ECU 113、摄像机114、GPS传感器115及加速度传感器116这各个装置、以及信息系网域内的用户开关117及显示装置118这各个装置将车辆信息包800发送至其他装置。

在步骤S502中，当ADAS ECU 110从车载远程监视装置20收到自动驾驶功能的停止指示时，停止自动驾驶功能。

在步骤S503中，受到车辆2的网络内发生的事件的影响的各装置运用车载远程监视装置20实施的复原对策900。

根据以上说明过的本发明的一实施方式，取得以下作用效果。

(1)车载远程监视装置20搭载于能够自动驾驶的车辆2上，具备事件检测处理部120，所述事件检测处理部120获取表示车辆2的控制状态的车辆信息，根据获取到的车辆信息来检测车辆2中发生的事件。因此，能够可靠地迅速检测到车辆2中发生的事件。

(2)事件检测处理部120根据车辆2正在自动驾驶时的车辆信息来检测事件。具体而言，事件检测处理部120判断车辆信息是否违反规定的发送规则(步骤S30)，在判断车辆信息违反发送规则的情况下，检测到事件(步骤S70)。此外，事件检测处理部120根据包含与方向指示器109的动作状态相关的信息的车辆信息来判断车辆2要进行前进道路变更时方向指示器109是否正表示该前进道路变更的方向(步骤S50)，在判断方向指示器109未表示该前进道路变更的方向的情况下，检测到事件(步骤S70)。此外，事件检测处理部120根据包含与存在于车辆2周边的物体相关的信息的车辆信息来判断车辆2要进行前进道路变更时是否存在阻碍该前进道路变更的障碍物(步骤S60)，在判断存在障碍物的情况下，检测到事件(步骤S70)。因此，在车辆2正在自动驾驶时发生了事件的情况下，能够可靠地迅速检测到这一情况。

(3)车辆2搭载有存储地图信息600的地图存储装置也就是导航系统119。在步骤S40中，事件检测处理部120可以根据导航系统119中存储的地图信息600来判断车辆2是否要进行前进道路变更。如此一来，在车辆2要进行前进道路变更时，能够可靠地检测到这一情况。

(4)事件检测处理部120还可以根据车辆2正在手动驾驶时的车辆信息来检测事件。具体而言，事件检测处理部120判断车辆信息是否违反规定的发送规则(步骤S110)，在判断车辆信息违反发送规则的情况下，检测到事件(步骤S120)。因此，在车辆2正在手动驾驶时发生了事件的情况下，能够可靠地迅速检测到这一情况。

(5)车载远程监视装置20还具备停止车辆2的自动驾驶功能的功能停止部140和对车辆2驾驶员进行警告的警告处理部150。当事件检测处理部120在车辆2正在自动驾驶时检测到事件时，使用警告处理部150指示驾驶员进行从自动驾驶切换至手动驾驶的操作(步骤S210)，其后，让功能停止部140停止自动驾驶功能(步骤S270)。因此，在车辆2中发生了事件的情况下，能够安全地进行从自动驾驶向手动驾驶的切换。

(6)再者，在从对驾驶员指示起一定时间内不进行切换操作的情况下(步骤S230：是)，车载远程监视装置20使车辆2停到安全的场所(步骤S240)。因此，即便在驾驶员不立刻进行手动驾驶的情况下，也能确保车辆2的安全。

再者，以上说明过的实施方式、各种变形例只是一例。只要无损本发明的特征，本发明便不限定于上述实施方式，在本发明的技术思想的范围内思索的其他形态也包含在本发明的范围内。

下面的优先权基础申请的揭示内容以引用文的形式并入至本文。

日本专利申请2017年第168882号(2017年9月1日申请)

符号说明

1…车辆信息网络系统、2…车辆、3…路侧设备、4…网络、5…中心服务器、20…车载远程监视装置、101…存储装置、102…CPU、103…存储器部、105…无线通信装置、106…方向盘ECU、107…制动器ECU、108…发动机ECU、109…方向指示器、110…ADAS ECU、111…制动控制ECU、112…转向控制ECU、113…发动机控制ECU、114…摄像机、115…GPS传感器、116…加速度传感器、117…用户开关、118…显示装置、119…导航系统。

Claims (9)

1.一种车载装置，其搭载于能够自动驾驶的车辆上，该车载装置的特征在于，

具备事件检测处理部，所述事件检测处理部获取表示所述车辆的控制状态的车辆信息，判断所述车辆是否正在自动驾驶，根据所述车辆正在自动驾驶时的所述车辆信息来检测所述车辆中发生的网络攻击的征兆即事件，

所述车辆信息包含与所述车辆的方向指示器的动作状态相关的信息，

在所述车辆正在自动驾驶时，所述事件检测处理部根据所述车辆信息来判断所述车辆要进行前进道路变更时所述方向指示器是否正表示该前进道路变更的方向，在判断所述方向指示器未表示出所述方向的情况下，检测到所述事件，

在所述车辆不是正在自动驾驶时，不判断所述方向指示器是否正表示该前进道路变更的方向，即使在所述方向指示器未表示所述方向的情况下也不检测所述事件。

2.根据权利要求1所述的车载装置，其特征在于，

所述事件检测处理部判断所述车辆信息是否违反规定的发送规则，在判断所述车辆信息违反所述发送规则的情况下，检测到所述事件。

3.根据权利要求1所述的车载装置，其特征在于，

所述车辆信息包含与存在于所述车辆周边的物体相关的信息，

在所述车辆正在自动驾驶时，所述事件检测处理部根据所述车辆信息来判断所述车辆要进行前进道路变更时是否存在妨碍该前进道路变更的障碍物，在判断存在所述障碍物的情况下，检测到所述事件。

4.根据权利要求1所述的车载装置，其特征在于，

所述车辆搭载有存储地图信息的地图存储装置，

在所述车辆正在自动驾驶时，所述事件检测处理部根据所述地图存储装置中存储的所述地图信息来判断所述车辆是否要进行前进道路变更。

5.根据权利要求4所述的车载装置，其特征在于，

在所述车辆正在自动驾驶时，若所述事件检测处理部根据所述地图存储装置中存储的所述地图信息而判断为所述车辆不进行前进道路变更，则不检测所述事件，

在判断为所述车辆要进行前进道路变更时，根据所述方向指示器是否正表示所述前进道路变更的方向来检测所述事件。

6.根据权利要求1所述的车载装置，其特征在于，

在所述车辆不是正在自动驾驶时，所述事件检测处理部判断所述车辆信息是否违反规定的发送规则，在判断所述车辆信息违反所述发送规则的情况下，检测到所述事件。

7.根据权利要求1至6中任一项所述的车载装置，其特征在于，还具备：

功能停止部，其停止所述车辆的自动驾驶功能；以及

警告处理部，其对所述车辆的驾驶员进行警告，

当所述事件检测处理部在所述车辆正在自动驾驶时检测到所述事件时，使用所述警告处理部指示所述驾驶员进行从自动驾驶切换至手动驾驶的操作，之后让所述功能停止部停止所述自动驾驶功能。

8.根据权利要求7所述的车载装置，其特征在于，

在从对所述驾驶员指示起一定时间内不进行所述切换操作的情况下，使所述车辆停到安全的场所。

9.一种事件监视方法，它是能够自动驾驶的车辆上搭载的车载装置中的事件监视方法，其特征在于，

获取表示所述车辆的控制状态的车辆信息，

判断所述车辆是否正在自动驾驶，

根据所述车辆正在自动驾驶时的所述车辆信息来检测所述车辆中发生的网络攻击的征兆即事件，

所述车辆信息包含与所述车辆的方向指示器的动作状态相关的信息，

在所述车辆正在自动驾驶时，根据所述车辆信息来判断所述车辆要进行前进道路变更时所述方向指示器是否正表示该前进道路变更的方向，在判断所述方向指示器未表示出所述方向的情况下，检测到所述事件，

在所述车辆不是正在自动驾驶时，不判断所述方向指示器是否正表示该前进道路变更的方向，即使在所述方向指示器未表示所述方向的情况下也不检测所述事件。

Images