JP2019159600A

JP2019159600A - 車両用マスタ電子制御装置、車両用スレーブ電子制御装置、車両用ログ収集システム及び車両用ログ収集プログラム

Info

Publication number: JP2019159600A
Application number: JP2018043482A
Authority: JP
Inventors: 尊裕司代; Takahiro Shidai
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2018-03-09
Filing date: 2018-03-09
Publication date: 2019-09-19
Anticipated expiration: 2038-03-09
Also published as: JP7119437B2; US11001149B2; US20190275891A1

Abstract

【課題】共通の時刻情報に基づいて、車両で発生するイベントのログ情報を記録できる車両用マスタ電子制御装置を提供する。【解決手段】ログ収集システムにおいて、車両用マスタ電子制御装置２は、装置個別の装置時刻を管理するスレーブ電子制御装置と通信し、スレーブ電子制御装置と共通に使用可能な車両時刻を管理する。車両用マスタ電子制御装置は、管理する車両時刻をスレーブ電子制御装置に送信する車両時刻送信部と、スレーブ電子制御装置におけるイベントの内容、イベントを検知したときの装置時刻及びイベントを検知したときに車両時刻を受信しているかどうかを示す車両時刻受信状態の情報を装置ログ情報として受信し、車両時刻受信状態の情報が末受信の場合、装置時刻を対応する車両時刻に変換する装置ログ情報受信処理部と、イベントの内容及び装置ログ情報受信処理部で変換後の車両時刻を車両ログ情報として記憶する車両ログ情報記憶部と、を有する。【選択図】図２

Description

本発明は、車載ネットワークを利用した車両用マスタ電子制御装置、車両用スレーブ電子制御装置、車両用ログ収集システム及び車両用ログ収集プログラムに関する。

情報システムを構成するサーバやネットワークの動作ログなどを収集・解析することで、クラッカー等からの攻撃を受けていること等を検知する、SIEM（Security Information and Event Management）と呼ばれるシステムがサイバーセキュリティ対策の一つとして知られており、車両でもSIEMをサイバーセキュリティの対策として、取り入れることが検討され始めている。一方で車両では、いわゆるコネクティッドビークルと呼ばれるように車両同士が通信し、連携して動作するシステムが開発されている。

コネクティッドビークルのように複数の車両が連携して動作を行うようになった場合には、例えば複数の車両で出力される車両の動作ログ情報等をまとめて解析することが望ましい。また、サイバーセキュリティの対応に限らず、コネクティッドビークルにおける車両の連携動作の失敗等の原因を特定する場合においても、複数の車両間で出力されるログ情報をまとめて解析するのが効率的である。

特許文献１には、情報処理のモードに応じて異なる態様で時刻情報を生成して車載装置に提供する時刻情報生成手段と、故障を検出した場合に、ダイアグコードと時刻情報生成手段から取得した時刻情報を記録する記録手段と、時刻情報生成手段のモードを判定するモード判定情報を記録するモード情報記録手段と、故障検出時の前記モードの推定のため、モード判定情報及び時刻情報を提供する提供手段と、を有することを特徴とする車両用故障診断システムが開示されている。

特開２０１０−１７３６１５号公報

上述のような複数の車両に跨るログ情報の解析においては、各車両で発生したイベントの前後が実際と異なることのないように、各車両で正確な時刻情報に基づいたログ情報とする必要がある。しかしながら、各車両においては、それぞれ個別のクロックを有する電子制御装置（ＥＣＵ：Electronic Control Unit）が複数動作しており、各電子制御装置においてイベントが発生し、記録される。また、これらの電子制御装置は、電源のＯＮ／ＯＦＦのタイミングが異なる場合や、低消費電力モード等に移行する制御装置等もある。そのため、時刻情報を各電子制御装置間で一致させることが難しい場合もあるため、各電子制御装置から共通の時刻情報に基づいたログを取得することが難しい。

本開示は、上述の事情に鑑みてされたものであり、共通の時刻情報に基づいて、車両で発生するイベントのログ情報を記録することのできる車両用マスタ電子制御装置、車両用スレーブ電子制御装置及び車両用ログ収集システム及び車両用ログ収集プログラムを提供することを目的とする。

本開示の一態様である車両用マスタ電子制御装置は、装置個別の時刻である装置時刻を管理するスレーブ電子制御装置（４）と通信し、前記スレーブ電子制御装置と共通に使用可能な車両時刻を管理する車両用マスタ電子制御装置（２）であって、管理する前記車両時刻をスレーブ電子制御装置に送信する車両時刻送信部（２２）と、前記スレーブ電子制御装置におけるイベントの内容、前記イベントを検知したときの前記装置時刻、及び前記イベントを検知したときに前記車両時刻を受信しているかどうかを示す車両時刻受信状態の情報、を装置ログ情報として受信するとともに、前記車両時刻受信状態の情報が末受信を示す場合、前記装置時刻を対応する前記車両時刻に変換する装置ログ情報受信処理部（２８）と、前記イベントの内容、及び前記装置ログ情報受信処理部で変換後の前記車両時刻を車両ログ情報として記憶する車両ログ情報記憶部（３１）と、を有する車両用マスタ電子制御装置（２）である。

上述のような構成により車両用マスタ電子制御装置は、車両用マスタ電子制御装置及びスレーブ電子制御装置が、共通の時刻情報に基づいて、車両で発生するイベントのログ情報を記録することができる。

本開示の一実施形態に係るログ収集システムの例について示す図である。マスタ電子制御装置の機能構成について示す機能ブロック図である。スレーブ電子制御装置の機能構成について示す機能ブロック図である。ログ収集システムの処理の一例を示すシーケンス図である。イグニッションＯＮのイベントが保存された車両ログ情報記憶部の内容を示す図である。車両時刻を受信した際の装置時刻変更部の装置時刻変更処理を示すフローチャートである。スレーブ電子制御装置において発生したイベントを、装置ログ情報保存処理部が装置ログ情報記憶部に保存する装置イベント保存処理の例を示すフローチャートである。時刻改ざんのイベントが保存された装置ログ情報記憶部の内容を示す図である。広域時刻を受信した際の車両時刻変更部の車両時刻変更処理を示すフローチャートである。車両時刻受信状態が受信済であるときのイベントが追加された装置ログ情報記憶部の内容を示す図である。スレーブ電子制御装置の装置ログ情報送信部による装置ログ送信処理について示すフローチャートである。スレーブ電子制御装置の装置ログ情報送信部による装置ログ受信完了通知受信処理について示すフローチャートである。送信されたイベントの装置ログ送信状態の欄が送信済に変化した装置ログ情報記憶部の内容を示す図である。マスタ電子制御装置の装置ログ情報受信処理部による装置ログ受信処理について示すフローチャートである。受信した装置ログ情報が車両ログ情報として保存された車両ログ情報記憶部の内容を示す図である。マスタ電子制御装置の広域時刻変換部による広域時刻変換処理について示すフローチャートである。広域時刻変換が変換済となった車両ログ情報記憶部の車両ログ情報の内容を示す図である。車両ログ送信状態が送信済となった車両ログ情報記憶部の車両ログ情報の内容を示す図である。マスタ電子制御装置の車両ログ情報送信部による車両ログ送信処理について示すフローチャートである。マスタ電子制御装置の車両情報送信部による車両ログ受信完了通知受信処理について示すフローチャートである。

以下、本発明の車両用ログ収集システムであるログ収集システム１、並びにそれに含まれる車両用マスタ電子制御装置であるマスタ電子制御装置２及び車両用スレーブ電子制御装置であるスレーブ電子制御装置４の構成及び機能について、図面を参照して説明する。ここで、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくとも鉤括弧内の語は、特許請求の範囲又は課題を解決するための手段の項に記載された語を意味し、同じく以下の実施形態に限定されるものではない。さらに特許請求の範囲の従属項に記載の構成及び方法、従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明においては任意の構成及び方法である。

図１に示すように、ログ収集システム１は、マスタ電子制御装置２、スレーブ電子制御装置４及びイベント管理装置８を有している。マスタ電子制御装置２及びスレーブ電子制御装置４は、通信ネットワーク１１を介して接続されている。図１において、スレーブ電子制御装置４は２つ示されているが、スレーブ電子制御装置４は１つであっても３つ以上の複数であってもよい。またマスタ電子制御装置２は、イベント管理装置８と通信接続されている。本実施形態においては、マスタ電子制御装置２及びスレーブ電子制御装置４は車両９に配置され、イベント管理装置８は車両９の外部に配置されるものとしている。しかしながら、イベント管理装置８も車両９内に配置されていてもよいし、イベント管理装置８を有してない構成であってもよい。またイベント管理装置８は、同様の構成を有する複数の車両９と通信接続されていてもよい。ここで各装置間の通信接続は有線によるものであっても無線によるものであってもよい。

マスタ電子制御装置２は、スレーブ電子制御装置４と共通に使用可能な車両時刻を管理し、スレーブ電子制御装置４は、装置個別の時刻である装置時刻を管理する。各スレーブ電子制御装置４で発生するイベントのログ情報である装置ログ情報は、各スレーブ電子制御装置４で保存された後、マスタ電子制御装置２に集められ車両ログ情報として保存される。マスタ電子制御装置２に保存された車両ログ情報は、他の車両９の車両ログ情報と共にイベント管理装置８に集められる。

マスタ電子制御装置２、スレーブ電子制御装置４及びイベント管理装置８は、例えば、それぞれ主に半導体装置で構成され、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）等の揮発性記憶部、フラッシュメモリ等の不揮発性記憶部、通信ネットワークに接続されるネットワークインターフェース部等を有する、いわゆる情報処理装置として構成されることができる。

図２に示されるように、マスタ電子制御装置２は、車両時刻計測部２１、車両時刻送信部２２、車両ログ情報保存処理部２３、広域時刻変換部２４、車両時刻変更部２５、誤差算出部２６、車両ログ情報送信部２７、装置ログ情報受信処理部２８及びマスタ装置記憶部３を有している。また、マスタ装置記憶部３は、車両ログ情報記憶部３１及び広域時刻受信状態記憶部３２を有している。

車両時刻計測部２１は、マスタ電子制御装置２のクロック機能を用いて車両９内に配置された各電子制御装置の基準となる車両時刻を計測する。車両時刻送信部２２は、車両時刻をスレーブ電子制御装置４に送信する。装置ログ情報受信処理部２８は、装置ログ情報を受信し、装置ログ情報内の車両時刻受信状態が未受信を示す場合に、受信した装置ログ情報内の装置時刻を対応する車両時刻に変換する。ここで装置ログ情報は、イベントの内容、イベントを検知した際における、スレーブ電子制御装置４で管理する装置時刻、及びイベントを検知した際に、車両時刻がスレーブ電子制御装置４において受信されているかどうか示す車両時刻受信状態の情報を含む。

広域時刻変換部２４は、広域時刻を受信した際に、広域時刻に基づいて車両ログ情報記憶部３１に保存された車両ログ情報の車両時刻を広域時刻に変換し、広域時刻変換状態を変換済に変更する。車両時刻変更部２５は、車両時刻を、受信した広域時刻に基づいて変更する。誤差算出部２６は、広域時刻のクロックと車両時刻のクロックとの誤差を算出する。算出された誤差は、例えば、電源ＯＮされてから最初に広域時刻を受信した際に、車両時刻変更部２５による時刻変更の際の補正に用いられる。車両ログ情報送信部２７は、車両ログ情報記憶部３１に保存された車両ログ情報を、イベント管理装置８に送信する。また、車両ログ情報記憶部３１は、スレーブ電子制御装置４において検知したイベントの内容、及びイベントを検知した際における車両時刻を含む車両ログ情報を記憶する。また、広域時刻受信状態記憶部３２は、広域時刻受信状態の情報である広域時刻受信フラグを記憶する。

ここで「車両時刻」とは、例えば車両内に複数配置されるＥＣＵ等の電子制御装置で使用される共通の時刻を意味する。本実施形態においては、マスタ電子制御装置２が車両時刻を管理する。「装置時刻」とは、各ＥＣＵ等の電子制御装置の各々が管理する時刻を意味する。「広域時刻」は、車両外のサーバ装置等により管理される時刻であってもよいし、車両内の装置が、直接測位衛星から時刻情報を取得する場合等には、測位衛星により管理される時刻として定義することとしてもよい。

上述のように、マスタ電子制御装置２は、車両時刻送信部２２、装置ログ情報受信処理部２８及び車両ログ情報記憶部３１を有することにより、マスタ電子制御装置２及びスレーブ電子制御装置４が、共通の時刻情報に基づいて、車両で発生するイベントのログ情報を記録することができる。また、広域時刻変換部２４を有することにより、車両ログ情報に含まれる各イベントの発生時刻を車両の外部で管理される広域時刻で示すことができるため、例えば複数の車両で発生するイベントであっても、共通の時刻情報に基づいてログ情報を記録することができる。

また、車両時刻変更部２５を有することにより、車両時刻をより広域時刻により近い正確性とすることができる。ここで、マスタ電子制御装置２は広域時刻を定期的に受信するものとしてもよい。また、誤差算出部２６を有することにより、マスタ電子制御装置２が電源ＯＮから最初に広域時刻を受信するまでに生じたイベントの発生時刻についても、より正確に広域時刻に変換することができる。例えば、マスタ電子制御装置２が起動してから長時間にわたって広域時刻を受信できなかった場合に、車両時刻と広域時刻の精度の差から、起動してからの経過時間に車両時刻と広域時刻との間にずれが発生するため、マスタ電子制御装置２の起動時（車両時刻計測開始時）の広域時刻の算出が正確にできなくなることがあるが、誤差算出部２６を有することにより、正確に広域時刻に変換することができる。また、車両ログ情報送信部２７を有することにより、例えば車外の装置において複数の車両ログ情報を共通の時刻情報に基づいて記録することができる。

図３に示されるように、スレーブ電子制御装置４は、装置時刻計測部４１、装置ログ情報保存処理部４２、装置時刻変更部４３、装置ログ情報送信部４４及びスレーブ装置記憶部５を有している。また、スレーブ装置記憶部５は、装置ログ情報記憶部５１及び車両時刻受信状態記憶部５２を有している。

装置時刻計測部４１は、スレーブ電子制御装置４のクロック機能を用いて時刻を計測する。装置ログ情報保存処理部４２は、スレーブ電子制御装置４において検知したイベントの内容を装置時刻と共に装置ログ情報として保存する。装置時刻変更部４３は、車両時刻を受信した際に、車両時刻に基づいて装置時刻を変更すると共に、車両時刻受信状態記憶部５２の車両時刻受信状態の情報である車両時刻受信フラグを受信済に変更する。装置ログ情報は、装置ログ情報をマスタ電子制御装置２に送信したかどうかを示す装置ログ送信状態の情報を更に有し、装置ログ情報送信部４４は、装置ログ情報を送信すると共に、装置ログ情報を送信が完了した際に、送信した装置ログ情報のイベントに対応する装置ログ送信状態を送信済に変更する。

また、装置ログ情報記憶部５１は、検知したイベントの内容、イベントを検知した際における装置時刻、及びイベントを検知した際の車両時刻受信状態の情報を含む装置ログ情報を記憶する。車両時刻受信状態記憶部５２は、車両時刻を受信したかどうかを示す車両時刻受信状態の情報である車両時刻受信フラグを記憶する。

スレーブ電子制御装置４は、上述のような構成とすることにより、マスタ電子制御装置２及びスレーブ電子制御装置４が、共通の時刻情報に基づいて、車両で発生するイベントのログ情報を記録することができる。ここで、イベント管理装置８は、複数のマスタ電子制御装置２の車両ログ情報記憶部３１に保存された車両ログ情報を受信するものとすることができる。イベント管理装置８は、複数の車両における車両ログ情報を統合して解析するものとすることができる。複数の車両の車両ログ情報を共通の時刻を用いて統合的に解析することができる。これによりコネクティッドビークル等の複数車両の連携により派生するイベントについても連関の状況が記録された複数の車両ログ情報として解析することができる。なお、広域時刻はイベント管理装置８から送信されるものとしてもよい。ここで「統合して解析」には、それぞれ車両ログ情報を送信した車両を識別しつつ、各車両ログ情報を結合して解析することを含む。

図４のログ収集システム１の処理のシーケンス図に示されるように、まずステップＳ１において、マスタ電子制御装置２が電源ＯＮされると、ステップＳ２において車両時刻計測部２１が車両時刻の計測を開始する。次にステップＳ３においてイグニッションＯＮとなると、マスタ電子制御装置２にイグニッションＯＮの通知がされると共に、スレーブ電子制御装置４の電源ＯＮとなる。これにより、ステップＳ５において、スレーブ電子制御装置４の装置時刻計測部４１が装置時刻の計測を開始し、マスタ電子制御装置２の車両ログ情報保存処理部２３は、車両ログ情報記憶部３１にイグニッションＯＮのイベントを車両ログ情報として保存する。車両ログ情報保存処理部２３による車両ログ情報の保存処理は、後述するスレーブ電子制御装置４における装置イベント保存処理Ｓ４０と同様であるため、説明を省略する。

図５に示されるように、イグニッションＯＮのイベントが保存された車両ログ情報記憶部３１は、イベント内容、広域時刻、車両時刻、広域時刻変換状態及び車両ログ送信状態の項目を有している。ここでイベント内容は、更にそのイベントが発生した装置、発生した内容、その他必要なデータ等の項目を有していてもよい。広域時刻は、例えばイベント管理装置８等で管理される時刻であり、イベント管理装置８等から受信していない場合には、フェールセーフ値（本実施形態においては１６進数の0xFFFFFFFF）を入力することとしてもよい。車両時刻の項目は、イベント発生時における車両時刻が保存される。広域時刻変換状態は、保存された車両時刻が、車両の外部で管理される広域時刻に変換されたかどうかを示す項目である。車両ログ送信状態は、保存された車両ログ情報が、イベント管理装置８に送信されたかどうかを示す項目である。

このイベントの記録に示されるように、車両ログ情報保存処理部２３は、スレーブ電子制御装置４の電源ＯＮとなる電源ＯＮイベントであるイグニッションＯＮ（ＩＧ−ＯＮ）を検知し、電源ＯＮイベント発生時の車両時刻（例えば、0x00001001）と共に、電源ＯＮイベントを車両ログ情報として保存する。この場合において当該イベントに係る車両ログ情報は、広域時刻に変換されておらず、またイベント管理装置８に送信もされていないため、広域時刻変換状態を未変換とし、車両ログ送信状態を未送信として保存されている。

ここで「スレーブ電子制御装置の電源ＯＮとなるイベント」は、スレーブ電子制御装置４に実際に電源が入って動作を開始するタイミングであり、例えばＡＣＣ電源のＯＮやイグニッションＯＮのタイミングとすることができる。

図４に戻り、ステップＳ６において、マスタ電子制御装置２の車両時刻送信部２２は、車両時刻をスレーブ電子制御装置４に送信する。この際に車両時刻送信部２２は、送信元等を認証するためのメッセージ認証コード（ＭＡＣ：Message Authentication Code）を付して送信することができる。また車両時刻送信部２２は、車両時刻を時間周期的に送信することができる。車両時刻を時間周期的に送信することにより、スレーブ電子制御装置４の装置時刻において、より車両時刻との誤差を所定範囲内に抑えることができる。

スレーブ電子制御装置４が車両時刻を受信すると、スレーブ電子制御装置４の装置時刻変更部４３は、装置時刻変更処理Ｓ３０（図４においてＳ３０−１）を行う。装置時刻変更処理Ｓ３０は、図６に示されるように、まずステップＳ３１において、スレーブ電子制御装置４の装置時刻変更部４３が、車両時刻と共に受信したメッセージ認証コードを認証する。認証できなかった場合（ステップＳ３１：Ｎｏ）には、ステップＳ３２において、装置ログ情報保存処理部４２が、認証不可である旨、例えば時刻改ざんのイベントを装置ログ情報記憶部５１に保存して処理を終了する。認証できた場合（ステップＳ３１：Ｙｅｓ）には、ステップＳ３３において、装置時刻に受信した車両時刻を入力して装置時刻を変更する。引き続き、ステップＳ３４において車両時刻受信フラグが未受信であるかどうかを判定し、未受信でない場合（ステップＳ３４：Ｎｏ）には処理を終了する。未受信である場合（ステップＳ３４：Ｙｅｓ）には、ステップＳ３５において、車両時刻受信フラグを受信済に変更し、処理を終了する。図４のシーケンス図においては、このステップＳ３１でメッセージ認証コードを認証できなかったものとして、時刻を補正せずに時刻改ざんのイベントを装置ログ情報として保存することとしている。装置ログ情報保存処理部４２は、イベントを装置ログ情報として保存する装置イベント保存処理Ｓ４０（図４においてＳ４０−１）を行う。

装置ログ情報保存処理部４２は、図７の装置イベント保存処理Ｓ４０に示されるように、まずステップＳ４１において、車両時刻受信フラグを確認し、車両時刻受信フラグが受信済であるかどうかを判定する。車両時刻受信フラグが受信済でない場合（ステップＳ４１：Ｎｏ）には、ステップＳ４２において装置ログ情報の車両時刻受信状態を未受信に設定し、ステップＳ４４に移行する。車両時刻受信フラグが受信済の場合（ステップＳ４１：Ｙｅｓ）には、ステップＳ４３において装置ログ情報の車両時刻受信状態を受信済に設定し、ステップＳ４４に移行する。ステップＳ４４では、装置ログ情報の装置ログ送信状態を未送信に設定し、ステップＳ４５において発生イベントの装置ログ情報を装置時刻と共に保存する。

装置ログ情報保存処理部４２が、装置イベント保存処理Ｓ４０において時刻改ざんのイベントを保存すると、装置ログ情報記憶部５１は、図８に示されるような内容となる。図８に示されるように、装置ログ情報記憶部５１は、イベント内容、装置時刻、車両時刻受信状態及び装置ログ送信状態の項目を有している。ここでイベント内容は、更にそのイベントが発生した装置、発生した内容、その他必要なデータ等の項目を有している。この段階における装置イベント保存処理Ｓ４０においては、車両時刻受信フラグが受信済でないため、装置ログ情報記憶部５１の対応するイベントの車両時刻受信状態を未受信として装置ログ情報が保存される。

図４に戻り、ステップＳ８においてイベント管理装置８が広域時刻を送信する。広域時刻は、いわゆる測位衛星から送信される電波を受信して合わせられる時刻であってもよいし、サーバ装置で単に管理される時刻であってもよい。本実施形態においては、イベント管理装置８が広域時刻を送信することとしているが、広域時刻を送信する装置はイベント管理装置８でなくてもよい。ここで広域時刻の送信においてもメッセージ認証コードを付して送信することができる。広域時刻を受信したマスタ電子制御装置２の車両時刻変更部２５は、車両時刻変更処理Ｓ５０を行う。

図９の広域時刻を受信した際の車両時刻変更部２５の車両時刻変更処理Ｓ５０に示されるように、広域時刻を受信した際に車両時刻変更部２５は、まず、ステップＳ５１において、広域時刻と共に受信したメッセージ認証コードを認証する。認証できなかった場合（ステップＳ５１：Ｎｏ）には、ステップＳ５２において、車両ログ情報保存処理部２３が、例えば時刻改ざんのイベントであるとして、車両ログ情報記憶部３１に保存し、処理を終了する。認証できた場合（ステップＳ５１：Ｙｅｓ）には、ステップＳ５３において、広域時刻受信フラグが受信済であるかどうか判定する。広域時刻受信フラグが受信済でない場合（ステップＳ５３：Ｎｏ）には、ステップＳ５４において、受信した広域時刻から車両時刻を引いた時刻に補正用誤差を加えた時刻を、車両時刻の計測開始時刻に設定する。ここでは、車両時刻はスレーブ電子制御装置４の電源ＯＮ時においてリセット（例えば０）されているものとして演算したが、電源ＯＮ時において値を有している場合にはその値を考慮した演算とすることができる。引き続き、ステップＳ５６において、広域時刻受信フラグを受信済に設定し、ステップＳ６０に移行する。

広域時刻受信フラグが受信済である場合（ステップＳ５３：Ｙｅｓ）には、ステップＳ５７において、受信した広域時刻から前回受信した際の広域時刻を引いた広域時刻差分を求める。更に広域時刻を受信した際の車両時刻から、前回広域時刻を受信した際の車両時刻を引いた車両時刻差分を求める。次にステップＳ５８において、前回広域時刻を受信したときの車両時刻に広域時刻差分を加えた時刻を現在の車両時刻とする。つまり、２回の連続した広域時刻の受信うち２回目の受信の際に、１回目に広域時刻を受信したときの車両時刻である前回車両時刻に、１回目の広域時刻と２回目の広域時刻との差分である広域時刻差分を加えた時刻を現在の車両時刻とする。

また、ステップＳ５９において、誤差算出部２６は、広域時刻を受信した際に、２回目に広域時刻を受信したときの車両時刻と前回車両時刻との差分である車両時刻差分と、広域時刻差分との差に基づいて補正用誤差を算出する。補正用誤差は、例えば上述したステップＳ５４において用いられる。このように補正用誤差を算出することにより、マスタ電子制御装置２が電源ＯＮから最初に広域時刻を受信するまでに生じたイベントの発生時刻についても、より正確に広域時刻に変換することができる。引き続きステップＳ６０において、前回受信時の広域時刻を示す変数に、受信した広域時刻を代入し、前回受信時の車両時刻に、受信時の車両時刻を代入し、処理を終了する。

図４に戻り、ステップＳ１０において、車両時刻送信部２２は、車両時刻をメッセージ認証コードと共にスレーブ電子制御装置４に送信する。車両時刻を受信したスレーブ電子制御装置４の装置時刻変更部４３は、装置時刻変更処理Ｓ３０（図４においてＳ３０−２）を実行する。装置時刻変更処理Ｓ３０は、上述の図６を用いた説明と同様であるため、重複する説明を省略する。但し、ここでの装置時刻変更処理Ｓ３０では時刻は改ざんされたものではなく、ステップＳ３３において、装置時刻は、対応する車両時刻に変更され、車両時刻受信フラグは受信済に変更されたものとする。

引き続き、スレーブ電子制御装置４でイベントが発生した場合には、装置イベント保存処理Ｓ４０（図４においてＳ４０−２）を実行する。スレーブ電子制御装置４での装置イベント保存処理Ｓ４０は、図７で説明した通りであるため、重複する説明を省略する。

新たに追加されたイベントは、図１０の装置ログ情報記憶部５１の内容に示されるように、車両時刻受信状態記憶部５２に記憶された車両時刻受信フラグが受信済であるときに保存されたイベントであるため、装置ログ情報記憶部５１の当該イベントの受信時刻受信の欄は、受信済で保存される。

引き続き、スレーブ電子制御装置４は、図１１の装置ログ送信処理Ｓ７０を実行する。装置ログ送信処理Ｓ７０は、まず装置ログ情報送信部４４が、ステップＳ７１において、装置ログ情報の送信が完了していることを示す送信完了フラグがＯＮであるかどうかを判定する。装置完了フラグがＯＮでない場合（ステップＳ７１：Ｎｏ）には、ステップＳ７２において、装置ログ情報の送信から一定時間経過しているかどうかを判定する。一定時間経過していない場合（ステップＳ７２：Ｎｏ）には、装置ログ送信処理Ｓ７０を終了する。

一方、一定時間経過している場合（ステップＳ７２：Ｙｅｓ）、又はステップＳ７１において送信完了フラグがＯＮの場合には、ステップＳ７３に移行し、装置ログ情報記憶部５１の装置ログ送信状態の項目が未送信であるものがあるかどうかを判定する。未送信の装置ログ情報がない場合には、装置ログ送信処理Ｓ７０を終了する。未送信の装置ログ情報がある場合には、ステップＳ７４において、その未送信の装置ログ情報をマスタ電子制御装置２に送信する。この際、装置ログ情報はメッセージ認証コードと共にマスタ電子制御装置２に送信されることとしてもよい。

引き続き、ステップＳ７５において送信完了フラグをＯＦＦに変更し、装置ログ送信処理Ｓ７０を終了する。引き続き、装置ログ情報送信部４４は、マスタ電子制御装置２から装置ログ情報を受信した旨である装置ログ受信完了通知（図４のＳ８８）を受信すると、図１２の装置ログ受信完了通知受信処理Ｓ１００を実行する。装置ログ受信完了通知受信処理Ｓ１００では、まずステップＳ１０１において、受信した装置ログ受信完了通知のメッセージ認証コードが正しいかどうかを判定する。ここでメッセージ認証コードが正しくない場合（ステップＳ１０１：Ｎｏ）には、例えば装置ログ受信完了通知の改ざんであるとして、ステップＳ１０２において、装置ログ情報記憶部５１に装置ログ情報として保存し、装置ログ受信完了通知受信処理Ｓ１００を終了する。メッセージ認証コードが正しい場合（ステップＳ１０１：Ｙｅｓ）には、ステップＳ１０３において、送信完了フラグをＯＮに変更すると共に、ステップＳ１０４において、送信に係る装置ログ情報の装置ログ送信状態の欄を送信済に変更し、処理を終了する。図１３には、送信されたイベントの装置ログ送信状態の欄が送信済に変化した装置ログ情報記憶部５１の内容が示されている。

装置ログ情報を受信したマスタ電子制御装置２では、図１４に示されるように、装置ログ情報受信処理部２８による装置ログ受信処理Ｓ８０が行われる。装置ログ受信処理Ｓ８０では、まずステップＳ８１において、受信した装置ログ情報のメッセージ認証コードが正しいかどうかを判定する。ここでメッセージ認証コードが正しくない場合（ステップＳ８１：Ｎｏ）には、例えば装置ログ情報の改ざんであるとして、車両ログ情報記憶部３１に車両ログ情報として保存する。この保存処理は、スレーブ電子制御装置４の装置イベント保存処理Ｓ４０と同様の処理であるため説明を省略する。

メッセージ認証コードが正しい場合（ステップＳ８１：Ｙｅｓ）には、ステップＳ８３において、受信した装置ログ情報の各イベントにおいて車両時刻受信状態の欄が受信済であるかどうかを判定する。車両時刻受信状態の欄が受信済である場合（ステップＳ８３：Ｙｅｓ）には、ステップＳ８４において当該イベントの装置時刻を車両時刻に設定し、ステップＳ８６に移行する。一方車両時刻受信状態の欄が受信済でない場合（ステップＳ８３：Ｎｏ）には、ステップＳ８５において、そのイベント発生時の車両時刻を算出して設定する。具体的には、例えばイベント発生時の装置時刻に、そのスレーブ電子制御装置４が電源ＯＮとなったイグニッションＯＮ時の車両時刻を加えて、イベント発生時の車両時刻とすることができる。このように装置ログ情報受信処理部２８による、車両時刻への変換は、電源ＯＮイベント発生時の車両時刻に基づいて行なわれるものとすることができる。

このように車両時刻への変換を、電源ＯＮイベント発生時の車両時刻に基づいて行うことにより、マスタ電子制御装置２は、スレーブ電子制御装置４において車両時刻を受信する前のイベントであっても、マスタ電子制御装置２において車両時刻に変換することができる。そのため、マスタ電子制御装置２及びスレーブ電子制御装置４が、共通の時刻情報に基づいて、車両で発生するイベントのログ情報を記録することができる。

次に、ステップＳ８６において、広域時刻変換の項目を未変換に設定すると共に、車両ログ送信状態の項目を未送信に設定し、ステップＳ８７において、ステップＳ８４又はＳ８５で設定された車両時刻と共に、受信した装置ログ情報を車両ログ情報として保存する。引き続きステップＳ８８において、装置ログ情報の受信完了通知をスレーブ電子制御装置４に送信する。図１５には、受信した装置ログ情報が車両ログ情報として保存された車両ログ情報記憶部３１の内容が示されている。図４に戻り、引き続きマスタ電子制御装置２の広域時刻変換部２４は、広域時刻変換処理Ｓ９０を実行する。なお、広域時刻変換処理Ｓ９０は、例えば図１６のフローチャートに示されるような処理であり、時間周期的に実行される処理としてもよい。

広域時刻変換処理Ｓ９０では、まずステップＳ９１において、広域時刻を受信しているかどうかを示す広域時刻受信フラグがＯＮであるかどうかを判定する。広域時刻を受信していない場合（ステップＳ９１：Ｎｏ）には広域時刻変換処理Ｓ９０を終了する。広域時刻を受信している場合（ステップＳ９１：Ｙｅｓ）には、ステップＳ９２において広域時刻変換の欄が未変換である時刻未変換ログがあるかどうかを判定する。時刻未変換ログがない場合（ステップＳ９２：Ｎｏ）には、広域時刻変換処理Ｓ９０を終了する。時刻未変換ログがある場合（ステップＳ９２：Ｙｅｓ）には、時刻未変換ログに係るイベント発生時の広域時刻を算出して、車両ログ情報記憶部３１に保存する。具体的には、例えば図９の車両時刻変更処理Ｓ５０で求めた車両時刻計測開始時の広域時刻にイベント発生時の車両時刻を加え、広域時刻として保存する。

引き続きステップＳ９４において、対応するイベントの広域時刻変換の欄を変換済みに変更して保存し、ステップＳ９５において時刻未変換ログが他にあるかどうかを判定する。時刻未変換ログが他にある場合（ステップＳ９５：Ｙｅｓ）には、ステップＳ９３に戻り、処理を繰り返す。時刻未変換ログが他にない場合（ステップＳ９５：Ｎｏ）には広域時刻変換処理Ｓ９０を終了する。図１７には、広域時刻変換が変換済となった車両ログ情報記憶部３１の車両ログ情報の内容が示されている。

図４に戻り、マスタ電子制御装置２は、イベント管理装置８に対する処理Ｓ１５を実行する。イベント管理装置８に対する処理Ｓ１５では、ステップＳ１１０において、マスタ電子制御装置２の車両ログ情報送信部２７が、車両ログ送信処理Ｓ１１０を実行する。車両ログ送信処理Ｓ１１０は、図１９に示されるように、まず車両ログ情報送信部２７が、ステップＳ１１１において、車両ログ情報の送信が完了していることを示す送信完了フラグがＯＮであるかどうかを判定する。送信完了フラグがＯＮでない場合（ステップＳ１１１：Ｎｏ）には、ステップＳ１１２において、車両ログ情報の送信から一定時間経過しているかどうかを判定する。一定時間経過していない場合（ステップＳ１１２：Ｎｏ）には、車両ログ送信処理Ｓ１１０を終了する。

一方、一定時間経過している場合（ステップＳ１１２：Ｙｅｓ）、又はステップＳ１１１において送信完了フラグがＯＮの場合には、ステップＳ１１３に移行し、車両ログ情報記憶部３１の広域時刻変換状態が変換済で、車両ログ送信状態の項目が未送信であるものがあるかどうかを判定する。ステップＳ１１３の判定が否定的な場合（ステップＳ１１３：ＮＯ）には、車両ログ送信処理Ｓ１１０を終了する。ステップＳ１１３の判定が肯定的な場合（ステップＳ１１３：Ｙｅｓ）には、ステップＳ１１４において、その未送信の車両ログ情報をイベント管理装置８に送信する。この際、車両ログ情報はメッセージ認証コードと共にイベント管理装置８に送信されることとしてもよい。引き続き、ステップＳ１１５において送信完了フラグをＯＦＦに変更し、車両ログ送信処理Ｓ１１０を終了する。

引き続き、車両ログ情報送信部２７は、イベント管理装置８から車両ログ情報を受信した旨である車両ログ受信完了通知（図４のＳ１６）を受信すると、図２０の車両ログ受信完了通知受信処理Ｓ１２０を実行する。車両ログ受信完了通知受信処理Ｓ１２０では、まずステップＳ１２１において、受信した車両ログ受信完了通知のメッセージ認証コードが正しいかどうかを判定する。ここでメッセージ認証コードが正しくない場合（ステップＳ１２１：Ｎｏ）には、例えば車両ログ受信完了通知の改ざんであるとして、ステップＳ１２２において、車両ログ情報記憶部３１に車両ログ情報として保存し、車両ログ受信完了通知受信処理Ｓ１２０を終了する。メッセージ認証コードが正しい場合（ステップＳ１２１：Ｙｅｓ）には、ステップＳ１２３において、送信完了フラグをＯＮに変更すると共に、ステップＳ１２４において、送信に係る車両ログ情報の車両ログ送信状態の欄を送信済に変更し、処理を終了する。図１８には、車両ログ送信状態が送信済となった車両ログ情報記憶部３１の車両ログ情報の内容が示されている。

引き続きイベント管理装置８では、ステップＳ１７において、車両ログ情報を解析する。ここで解析は、各車両から収集された車両ログ情報を統合して解析することとしてもよい。解析処理において異常が検出された場合には、ステップＳ１８において、異常が検出された車両に対し異常を通知する。異常が通知された車両においては、ステップＳ１９において、例えば自動運転を行わないこととする等の退避走行モードに移行することができる。

上述の各処理は、例えば半導体メモリ等の記録媒体である非遷移的実体的記録媒体にプログラムが格納され、ＣＰＵ等の処理装置においてプログラムに対応する方法が実行されることによる処理とすることができる。また、ソフトウェアに限らず、デジタル回路又はアナログ回路を含むハードウェアによる処理、又はソフトウェアとハードウェアの協働による処理とすることができる。

以上、本発明の実施形態におけるマスタ電子制御装置、スレーブ電子制御装置及びログ収集システム及びログ収集プログラムについて説明した。

本発明のマスタ電子制御装置又はスレーブ電子制御装置は、車載の各種電子制御装置（ＥＣＵ）すべてが該当する。また本発明の異常検知装置の形態の例として、半導体、電子回路、モジュール、マイクロコンピュータが挙げられる。またこれらにアンテナや通信用インターフェースなど、必要な機能を追加してもよい。また、カーナビゲーションシステム、スマートフォン、パーソナルコンピュータ、携帯情報端末のような形態をとることも可能である。

加えて、本発明は、上述の専用のハードウェア（例えばＥＣＵとしての「マスタ電子制御装置」又は「スレーブ電子制御装置」）で実現できるものだけでなく、メモリやハードディスク等の記録媒体に記録したプログラム、及びこれを実行可能な専用又は汎用のハードウェアに提供することもできる。これによりプログラムのアップグレードを通じて常に最新の機能を提供することができる。すなわち、マスタ電子制御装置又はスレーブ電子制御装置におけるログ収集方法をコンピュータにて実行可能なログ収集プログラムも本発明に含まれる。

本発明の車両用マスタ電子制御装置、車両用スレーブ電子制御装置及び車両用ログ収集システム及び車両用ログ収集プログラムは、実施形態において自動車に搭載されるＥＣＵを念頭において説明したが、自動二輪車、船舶、鉄道、航空機等、移動する移動体全般に適用することが可能である。また、移動体に限らずマイクロコンピュータを包含する製品全般に適用可能である。

１ログ収集システム、２マスタ電子制御装置、３マスタ装置記憶部、４スレーブ電子制御装置、５スレーブ装置記憶部、８イベント管理装置、９車両、１１通信ネットワーク、２１車両時刻計測部、２２車両時刻送信部、２３車両ログ情報保存処理部、２４広域時刻変換部、２５車両時刻変更部、２６誤差算出部、２７車両ログ情報送信部、２８装置ログ情報受信処理部、３１車両ログ情報記憶部、３２広域時刻受信状態記憶部、４２装置ログ情報保存処理部、４３装置時刻変更部、４４装置ログ情報送信部、５１装置ログ情報記憶部、５２車両時刻受信状態記憶部

Claims

装置個別の時刻である装置時刻を管理するスレーブ電子制御装置（４）と通信し、前記スレーブ電子制御装置と共通に使用可能な車両時刻を管理する車両用マスタ電子制御装置（２）であって、
管理する前記車両時刻をスレーブ電子制御装置に送信する車両時刻送信部（２２）と、
前記スレーブ電子制御装置におけるイベントの内容、前記イベントを検知したときの前記装置時刻、及び前記イベントを検知したときに前記車両時刻を受信しているかどうかを示す車両時刻受信状態の情報、を装置ログ情報として受信するとともに、前記車両時刻受信状態の情報が末受信を示す場合、前記装置時刻を対応する前記車両時刻に変換する装置ログ情報受信処理部（２８）と、
前記イベントの内容、及び前記装置ログ情報受信処理部で変換後の前記車両時刻を車両ログ情報として記憶する車両ログ情報記憶部（３１）と、
を有する車両用マスタ電子制御装置。
前記車両ログ情報記憶部は、前記スレーブ電子制御装置の電源ＯＮとなるイベントである電源ＯＮイベントを、前記電源ＯＮイベント発生時の前記車両時刻と共に、前記電源ＯＮイベントを前記車両ログ情報として記憶し、
前記装置ログ情報受信処理部による、前記車両時刻への変換は、前記電源ＯＮイベント発生時の前記車両時刻に基づいて行なう、請求項１に記載の車両用マスタ電子制御装置。
前記車両ログ情報は、保存された前記車両時刻が、車両の外部で管理される広域時刻に変換されたかどうかを示す広域時刻変換状態の情報を更に有し、
前記広域時刻を受信した際に、前記広域時刻に基づいて前記車両ログ情報記憶部に保存された前記車両ログ情報の前記車両時刻を前記広域時刻に変換し、前記広域時刻変換状態を変換済に変更する広域時刻変換部（２４）を更に備える、請求項１又は２に記載の車両用マスタ電子制御装置。
１回目の広域時刻の後に２回目の広域時刻を受信した際、１回目の広域時刻を受信したときの前記車両時刻に、前記１回目の広域時刻と前記２回目の広域時刻との差分である広域時刻差分を加えた時刻を新たな車両時刻として変更する車両時刻変更部（２５）、を備える、請求項３記載の車両用マスタ電子制御装置。
前記２回目の広域時刻を受信したときの前記車両時刻と前記１回目の広域時刻を受信したときの前記車両時刻との差分である車両時刻差分と、前記広域時刻差分と、の差に基づいて補正用誤差を算出する誤差算出部（２６）をさらに備え、
前記車両時刻変更部は、電源ＯＮから最初に前記広域時刻を受信した際に、前記車両時刻に対して前記補正用誤差に基づく補正を行う、請求項４に記載の車両用マスタ電子制御装置。
前記車両ログ情報は、保存された前記車両ログ情報が、イベント管理装置（８）に送信されたかどうかを示す車両ログ送信状態の情報を更に有し、
前記車両ログ情報記憶部に保存された車両ログ情報を、前記イベント管理装置に送信する車両ログ情報送信部（２７）を更に備える、請求項１乃至５のいずれか一項に記載の車両用マスタ電子制御装置。
前記車両時刻送信部は、前記車両時刻を時間周期的に、前記スレーブ電子制御装置に送信する、請求項１乃至６のいずれか一項に記載の車両用マスタ電子制御装置。
共通に使用可能な車両時刻を管理するマスタ電子制御装置（２）と通信し、装置個別の時刻である装置時刻を管理する車両用スレーブ電子制御装置（４）であって、
前記車両時刻を受信したかどうかを示す車両時刻受信状態の情報を記憶する車両時刻受信状態記憶部（５２）と、
検知したイベントの内容、前記イベントを検知したときの前記装置時刻、及び前記イベントを検知したときの前記車両時刻受信状態の情報、を装置ログ情報として記憶する装置ログ情報記憶部（５１）と、
前記車両時刻を受信した際に、前記車両時刻を新たな前記装置時刻として設定するとともに、前記車両時刻受信状態記憶部に記憶している前記車両時刻受信状態の情報を、受信済を示す情報に変更する装置時刻変更部（４３）と、
を備える車両用スレーブ電子制御装置。
前記装置ログ情報は、前記装置ログ情報をマスタ電子制御装置に送信したかどうかを示す装置ログ送信状態の情報を更に有し、
前記装置ログ情報を送信すると共に、前記装置ログ情報の送信が完了した際に、送信した前記装置ログ情報のイベントに対応する前記装置ログ送信状態を送信済を示す情報に変更する装置ログ情報送信部（４４）を更に備える、請求項８に記載の車両用スレーブ電子制御装置。
受信する前記車両時刻のデータにはメッセージ認証コードが付され、
前記装置ログ情報記憶部は、前記メッセージ認証コードにより前記車両時刻のデータが認証できなかった場合に、認証不可である旨を前記装置ログ情報として更に記憶する、請求項８又は９に記載の車両用スレーブ電子制御装置。
スレーブ電子制御装置と共通に使用可能な車両時刻を管理するマスタ電子制御装置（２）と、
前記マスタ電子制御装置と通信ネットワーク（１１）を介して接続され、装置個別の時刻である装置時刻を管理するスレーブ電子制御装置（４）とを備え、
前記マスタ電子制御装置は、
管理する前記車両時刻をスレーブ電子制御装置に送信する車両時刻送信部（２２）と、
前記スレーブ電子制御装置におけるイベントの内容、前記イベントを検知したときの前記スレーブ電子制御装置で管理する前記装置時刻、及び前記イベントを検知したときに前記車両時刻を受信しているかどうかを示す車両時刻受信状態の情報、を装置ログ情報として受信するとともに、前記車両時刻受信状態の情報が末受信を示す場合、前記装置時刻を対応する前記車両時刻に変換する装置ログ情報受信処理部（２８）と、
前記イベントの内容、及び前記装置ログ情報受信処理部で変換後の前記車両時刻を車両ログ情報として記憶する車両ログ情報記憶部（３１）と、を有し、
前記スレーブ電子制御装置は、
前記車両時刻を受信したかどうかを示す車両時刻受信状態の情報を記憶する車両時刻受信状態記憶部（５２）と、
前記装置ログ情報を記憶する装置ログ情報記憶部（５１）と、
前記車両時刻を受信した際に、前記車両時刻を新たな前記装置時刻として設定するとともに、前記車両時刻受信状態記憶部に記憶している前記車両時刻受信状態の情報を、受信済を示す情報に変更する装置時刻変更部（４３）と、
を有する車両用ログ収集システム（１）。
複数の前記マスタ電子制御装置の前記車両ログ情報記憶部に保存された前記車両ログ情報を受信するイベント管理装置（８）を更に備え、
前記イベント管理装置は、複数の車両における前記車両ログ情報を統合して解析する、請求項１１に記載の車両用ログ収集システム。
装置個別の時刻である装置時刻を管理するスレーブ電子制御装置（４）と通信し、前記スレーブ電子制御装置と共通に使用可能な車両時刻を管理するマスタ電子制御装置（２）におけるログ収集プログラムであって、
前記車両時刻を前記スレーブ電子制御装置に送信する工程と、
前記スレーブ電子制御装置におけるイベントの内容、前記イベントを検知したときの前記装置時刻、及び前記イベントを検知したときに前記車両時刻を受信しているかどうかを示す車両時刻受信状態の情報、を装置ログ情報として受信するとともに、前記車両時刻受信状態の情報が末受信を示す場合、前記装置時刻を対応する前記車両時刻に変換する工程と、
前記イベントの内容、及び変換後の前記車両時刻を車両ログ情報として記憶する工程と、を処理装置に実行させるための車両用ログ収集プログラム。
共通に使用可能な車両時刻を管理するマスタ電子制御装置（２）と通信し、装置個別の時刻である装置時刻を管理する車両用スレーブ電子制御装置（４）におけるログ収集プログラムであって、
前記車両時刻を受信したかどうかを示す車両時刻受信状態の情報を記憶する工程と、
検知したイベントの内容、前記イベントを検知したときの前記装置時刻、及び前記イベントを検知したときの前記車両時刻受信状態の情報、を装置ログ情報として記憶する工程と、
前記車両時刻を受信した際に、前記車両時刻を新たな前記装置時刻として設定するとともに、記憶している前記車両時刻受信状態の情報を、受信済を示す情報に変更する工程と、を処理装置に実行させるための車両用ログ収集プログラム。