JP2019191063A - 検査システム - Google Patents
検査システム Download PDFInfo
- Publication number
- JP2019191063A JP2019191063A JP2018086066A JP2018086066A JP2019191063A JP 2019191063 A JP2019191063 A JP 2019191063A JP 2018086066 A JP2018086066 A JP 2018086066A JP 2018086066 A JP2018086066 A JP 2018086066A JP 2019191063 A JP2019191063 A JP 2019191063A
- Authority
- JP
- Japan
- Prior art keywords
- inspection
- ecu
- information
- control device
- vehicle
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
- G06F21/577—Assessing vulnerabilities and evaluating computer system security
Abstract
【課題】車両に搭載される制御装置が、運用時においても、正常に動作するか否かを検査できる検査システムを得る。【解決手段】サーバー１００１の検査情報生成手段１０１２により、ＥＣＵの設計情報およびセキュリティ情報に基づき、ＥＣＵの機能の検査に用いるセキュリティ検査情報を生成して、ＥＣＵ＿ＧＷ２０１に送信し、これを受信したＥＣＵ＿ＧＷ２０１は、ＥＣＵ＿ＧＷ制御手段２０２により、変換処理をして、変換処理済みの情報をＥＣＵ＿Ａ３０１とＥＣＵ＿Ｂ４０１へ送信し、これを受けて、ＥＣＵ＿Ａ３０１とＥＣＵ＿Ｂ４０１では、予め保有している判定指標を用いて、それぞれ、受信した情報が正常か異常かを判定する。【選択図】図１
Description
本願は、車両に搭載された制御装置を検査する検査システムに関するものである。
車両には、ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）と呼ばれる電子制御装置が複数搭載されており、そのＥＣＵ間は無線通信または有線通信が可能なネットワークで接続されている。
ＥＣＵのいくつかは自身が備える無線通信手段を用いて、車両外部に存在する道路、住居、他の車両、カーメーカまたは車載部品供給メーカの備えるサーバーなどと無線通信を行うことにより、機器間の情報共有を実現している。
この情報共有の一部として、車両外部からＥＣＵの状態を取得して車両の故障診断を行ったり、ＥＣＵの機能を変更するために新たなソフトウェアを車両外部からＥＣＵへ送信して更新したり（たとえば、ナビゲーションなどのＥＣＵが備えるマップの更新）、することが可能となり、エンドユーザへ有益な機能を提供できるようになっている。
ＥＣＵのいくつかは自身が備える無線通信手段を用いて、車両外部に存在する道路、住居、他の車両、カーメーカまたは車載部品供給メーカの備えるサーバーなどと無線通信を行うことにより、機器間の情報共有を実現している。
この情報共有の一部として、車両外部からＥＣＵの状態を取得して車両の故障診断を行ったり、ＥＣＵの機能を変更するために新たなソフトウェアを車両外部からＥＣＵへ送信して更新したり（たとえば、ナビゲーションなどのＥＣＵが備えるマップの更新）、することが可能となり、エンドユーザへ有益な機能を提供できるようになっている。
一方で、情報共有手段を悪用し、悪意のある者が異常な車両挙動を引き起こすために、不正な情報を車両へ送信することも可能となる。このような場合の対策のために、車両またはＥＣＵの設計者は、把握し得る不正な情報へ対応できるよう、機能要求あるいはセキュリティなどの非機能要求を満たす機器の設計を行う。
この不正な情報は、ＥＣＵが車両に搭載されたのちに、演算能力の向上、新たな攻撃手口などにより更新され得る。更新された情報が車両に送信された場合に、ＥＣＵが異常な動作にならないようにするのが理想的である。しかし、更新された不正な情報の中には、設計時に対応しきれない情報も存在するため、そのような情報は車両の動作に悪影響を与えることになる。
この不正な情報は、ＥＣＵが車両に搭載されたのちに、演算能力の向上、新たな攻撃手口などにより更新され得る。更新された情報が車両に送信された場合に、ＥＣＵが異常な動作にならないようにするのが理想的である。しかし、更新された不正な情報の中には、設計時に対応しきれない情報も存在するため、そのような情報は車両の動作に悪影響を与えることになる。
また、車両を構成する一部のＥＣＵの機能更新時においても、車両搭載前後における不正な情報に正しく対応できる必要がある。
特許文献１には、ＥＣＵの動作を検査するために、ＥＣＵの設計情報に基づいて予め生成されるデータとそのデータの一部または全部をランダムデータに置き換えたデータをＥＣＵに送信し、運用時におけるＥＣＵの動作を正確に検査し得る検査装置が記載されている。
特許文献１には、ＥＣＵの動作を検査するために、ＥＣＵの設計情報に基づいて予め生成されるデータとそのデータの一部または全部をランダムデータに置き換えたデータをＥＣＵに送信し、運用時におけるＥＣＵの動作を正確に検査し得る検査装置が記載されている。
しかしながら、特許文献１の技術を適用すると、以下のような問題がある。
特許文献１の設計情報は「設計段階」のみが対象であり、運用段階に更新・追加される設計情報への対応が記載されていない。エンドユーザが車両を入手したのちの運用段階では、様々な要因で設計情報が変化することが想定される。その変化を考慮せずにセキュリティ上の異常を引き起こすようなデータを、設計段階の情報を基に作成して送信すると、正常にもかかわらず異常と判定する虞がある。
また、ゲートウェイあるいはサーバーでのＥＣＵの検査が前提とされており、ゲートウェイ自体の検査に対応できる構成となっていない。ゲートウェイが正常に機能しているかどうかを正しく把握できない虞がある。
特許文献１の設計情報は「設計段階」のみが対象であり、運用段階に更新・追加される設計情報への対応が記載されていない。エンドユーザが車両を入手したのちの運用段階では、様々な要因で設計情報が変化することが想定される。その変化を考慮せずにセキュリティ上の異常を引き起こすようなデータを、設計段階の情報を基に作成して送信すると、正常にもかかわらず異常と判定する虞がある。
また、ゲートウェイあるいはサーバーでのＥＣＵの検査が前提とされており、ゲートウェイ自体の検査に対応できる構成となっていない。ゲートウェイが正常に機能しているかどうかを正しく把握できない虞がある。
本願は、上記のような課題を解決するための技術を開示するものであり、車両に搭載される制御装置が、運用時においても、正常に動作するか否かを検査できる検査システムを提供することを目的とする。
本願に開示される検査システムは、車両に搭載され、互いに通信可能な複数の制御装置、およびこの複数の制御装置の機能の検査を、車外からネットワークを介して行なう検査装置を備え、検査装置は、複数の制御装置の設計情報および別途収集したセキュリティ情報に基づき、第一の制御装置の機能の検査に用いるセキュリティ検査情報を生成する検査情報生成手段を有し、検査情報生成手段により生成されたセキュリティ検査情報を第一の制御装置に送信し、第一の制御装置は、検査装置から送信されたセキュリティ検査情報を、第二の制御装置向けの第一の検査データに変換するゲートウェイ制御手段を有し、ゲートウェイ制御手段によって変換された第一の検査データを第二の制御装置に送信し、第二の制御装置は、第一の制御装置から送信された第一の検査データが、正常範囲内にあるかどうかを判定するための判定指標を格納した指標データベースと、第一の検査データを判定指標と比較して、第一の検査データの正常または異常を判定する第一の判定手段とを有するようにしたものである。
本願に開示される検査システムによれば、車両に搭載される制御装置が、運用時においても、正常に動作するか否かを検査することができる。
実施の形態１．
図１は、実施の形態１による検査システムの概略構成を示すブロック図である。
図１において、車両１０１は、ＥＣＵ＿ＧＷ２０１、ＥＣＵ＿Ａ３０１、ＥＣＵ＿Ｂ４０１の制御装置を搭載し、これらの制御装置は、有線通信５０１で接続されている。
車両１０１の外部には、サーバー１００１が設けられており、車両１０１とサーバー１００１は、無線通信５０２と通信網６０１とを介して、および無線通信５０３と通信網６０１とを介して接続されている。
図１は、実施の形態１による検査システムの概略構成を示すブロック図である。
図１において、車両１０１は、ＥＣＵ＿ＧＷ２０１、ＥＣＵ＿Ａ３０１、ＥＣＵ＿Ｂ４０１の制御装置を搭載し、これらの制御装置は、有線通信５０１で接続されている。
車両１０１の外部には、サーバー１００１が設けられており、車両１０１とサーバー１００１は、無線通信５０２と通信網６０１とを介して、および無線通信５０３と通信網６０１とを介して接続されている。
サーバー１００１（検査装置）は、次のように構成されている。
サーバー１００１は、車両１０１に搭載されたＥＣＵを検査するために、ある時点でのＥＣＵの設計情報１０１０と、別途収集したセキュリティ情報１０１１から生成される検査データであるセキュリティ検査情報を、無線通信５０２を介して車両１０１に送信する。
検査情報生成手段１０１２は、ある時点でのＥＣＵの設計情報１０１０とセキュリティ情報１０１１から、セキュリティ検査情報を生成する。サーバー送受信手段１０１３は、通信網６０１および無線通信５０２を介して、車両との間で、セキュリティ検査情報を含む車内外通信情報の送受信を行なう。
検査制御手段１０１４は、サーバー送受信手段１０１３を通じて、セキュリティ検査情報を車両に送信するための制御を行なう。
サーバー１００１は、車両１０１に搭載されたＥＣＵを検査するために、ある時点でのＥＣＵの設計情報１０１０と、別途収集したセキュリティ情報１０１１から生成される検査データであるセキュリティ検査情報を、無線通信５０２を介して車両１０１に送信する。
検査情報生成手段１０１２は、ある時点でのＥＣＵの設計情報１０１０とセキュリティ情報１０１１から、セキュリティ検査情報を生成する。サーバー送受信手段１０１３は、通信網６０１および無線通信５０２を介して、車両との間で、セキュリティ検査情報を含む車内外通信情報の送受信を行なう。
検査制御手段１０１４は、サーバー送受信手段１０１３を通じて、セキュリティ検査情報を車両に送信するための制御を行なう。
また、サーバー１００１は、車両１０１の各ＥＣＵのプログラムあるいは機能仕様を有する。プログラムあるいは機能仕様は、現在組み込まれているバージョンに加えて、今後更新予定の新バージョンを含む。
更新ソフト生成手段１０１５は、車両１０１のＥＣＵに関わる更新プログラムを自動的に生成する、またはサーバー１００１の管理者が更新プログラムを格納する。更新ソフト送信制御手段１０１６は、サーバー送受信手段１０１３を通じて、更新ソフトを車両に送信するための制御を行なう。
なお、実施の形態１では、セキュリティ検査情報を、ＥＣＵ＿ＧＷ２０１を検査するためのものとして説明する。
更新ソフト生成手段１０１５は、車両１０１のＥＣＵに関わる更新プログラムを自動的に生成する、またはサーバー１００１の管理者が更新プログラムを格納する。更新ソフト送信制御手段１０１６は、サーバー送受信手段１０１３を通じて、更新ソフトを車両に送信するための制御を行なう。
なお、実施の形態１では、セキュリティ検査情報を、ＥＣＵ＿ＧＷ２０１を検査するためのものとして説明する。
ここで、設計情報１０１０とセキュリティ情報１０１１について、詳細に説明する。
設計情報１０１０は、車両１０１に搭載される各ＥＣＵとＥＣＵ間の物理的・論理的なネットワークアーキテクチャ、機能を構成するソフトウェアおよびハードウェアについて、処理、機器の設計の際に考慮した確定できない前提条件などを蓄積した情報であり、データベースに格納されている。
セキュリティ情報１０１１は、自動車業界に限らず、様々な業界にて報告される公知の脆弱性情報またはインシデント、あるいはサーバーまたはＥＣＵにペネトレーションテストを実施して明らかになる機器の脆弱性情報などを蓄積した情報である。セキュリティ情報１０１１は、設計情報１０１０とは異なるデータベースに格納されている。
車両１０１がエンドユーザの手に渡ったのちに新たな脅威または脆弱性情報が発見され次第、セキュリティ情報１０１１は更新される。
設計情報１０１０は、車両１０１に搭載される各ＥＣＵとＥＣＵ間の物理的・論理的なネットワークアーキテクチャ、機能を構成するソフトウェアおよびハードウェアについて、処理、機器の設計の際に考慮した確定できない前提条件などを蓄積した情報であり、データベースに格納されている。
セキュリティ情報１０１１は、自動車業界に限らず、様々な業界にて報告される公知の脆弱性情報またはインシデント、あるいはサーバーまたはＥＣＵにペネトレーションテストを実施して明らかになる機器の脆弱性情報などを蓄積した情報である。セキュリティ情報１０１１は、設計情報１０１０とは異なるデータベースに格納されている。
車両１０１がエンドユーザの手に渡ったのちに新たな脅威または脆弱性情報が発見され次第、セキュリティ情報１０１１は更新される。
サーバー１００１から出力されるのは、設計情報１０１０とセキュリティ情報１０１１の両方を考慮したセキュリティ検査情報である。セキュリティ検査情報は、無線通信５０２を介して送信される。セキュリティ検査情報は、ＥＣＵ＿ＧＷ２０１の無線通信５０２に関わる受信機能に加えて、ＥＣＵ＿ＧＷ２０１のセンシング情報および受信情報をゲートウェイする機能などの検査を行うためのものである。
ＥＣＵ＿ＧＷ２０１（第一の制御装置）は、次のように構成されている。
ＥＣＵ＿ＧＷ２０１は、車内にあるゲートウェイであり、運転者の状態監視を行ったり、エンターテインメント系のナビゲーションあるいはスマートフォンなどの持込み機器に対する入出力を有し、コンビネーションメータに情報を表示させたりするＥＣＵである。
ＥＣＵ＿ＧＷ制御手段２０２（ゲートウェイ制御手段）は、ゲートウェイ機能を有し、受信したデータを転送し、または、このデータを加工して送信する。すなわち、サーバー１００１または車内のＥＣＵから受信したデータを、有線通信５０１または無線通信５０２を介して、そのまま転送し、また、受信したデータを自身の制御を介して変更を加えた結果を、別のＥＣＵまたは車外機器に送信する。
ＥＣＵ＿ＧＷ２０１は、サーバー１００１から受信したセキュリティ検査情報を、ＥＣＵ＿Ａ３０１（第二の制御装置）用、およびＥＣＵ＿Ｂ４０１（第三の制御装置）用のデータ（第一の検査データ、第二の検査データ）に変換して、それぞれ、ＥＣＵ＿Ａ３０１、ＥＣＵ＿Ｂ４０１に送信するようになっている。
ＥＣＵ＿ＧＷ２０１は、車内にあるゲートウェイであり、運転者の状態監視を行ったり、エンターテインメント系のナビゲーションあるいはスマートフォンなどの持込み機器に対する入出力を有し、コンビネーションメータに情報を表示させたりするＥＣＵである。
ＥＣＵ＿ＧＷ制御手段２０２（ゲートウェイ制御手段）は、ゲートウェイ機能を有し、受信したデータを転送し、または、このデータを加工して送信する。すなわち、サーバー１００１または車内のＥＣＵから受信したデータを、有線通信５０１または無線通信５０２を介して、そのまま転送し、また、受信したデータを自身の制御を介して変更を加えた結果を、別のＥＣＵまたは車外機器に送信する。
ＥＣＵ＿ＧＷ２０１は、サーバー１００１から受信したセキュリティ検査情報を、ＥＣＵ＿Ａ３０１（第二の制御装置）用、およびＥＣＵ＿Ｂ４０１（第三の制御装置）用のデータ（第一の検査データ、第二の検査データ）に変換して、それぞれ、ＥＣＵ＿Ａ３０１、ＥＣＵ＿Ｂ４０１に送信するようになっている。
ＥＣＵ＿ＧＷ車外通信手段２０３は、無線通信５０２を介して通信網６０１に接続される。ＥＣＵ＿ＧＷ車内通信手段２０４は、有線通信５０１により、車内のＥＣＵ＿Ａ３０１、ＥＣＵ＿Ｂ４０１に接続されている。
ＥＣＵ＿ＧＷ更新制御手段２０５は、サーバー１００１から受信する各ＥＣＵの更新ソフトウェアを更新対象となる車内ＥＣＵに送信するための制御を行なう。
ＥＣＵ＿ＧＷ更新制御手段２０５は、サーバー１００１から受信する各ＥＣＵの更新ソフトウェアを更新対象となる車内ＥＣＵに送信するための制御を行なう。
ＥＣＵ＿Ａ３０１（第二の制御装置）は、次のように構成されている。
ＥＣＵ＿Ａ３０１は、運転支援を行うＡＤＡＳ（Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ Ａｓｓｉｓｔａｎｔ Ｓｙｓｔｅｍ）ＥＣＵであったり、Ｖ２Ｘ（Ｖｅｈｉｃｌｅ ｔｏ Ｘ：Ｘは車、家、交通インフラなどに配置される車外の機器）ＥＣＵであったりする。
ＥＣＵ＿Ａ３０１は、車内の有線通信５０１に流れるデータを受信する。
また、本実施の形態１では、より好適な形態として、車両１０１の外部へ自身のもつデータを送信する無線通信５０３の通信経路をもつ。
ＥＣＵ＿Ａ３０１は、運転支援を行うＡＤＡＳ（Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ Ａｓｓｉｓｔａｎｔ Ｓｙｓｔｅｍ）ＥＣＵであったり、Ｖ２Ｘ（Ｖｅｈｉｃｌｅ ｔｏ Ｘ：Ｘは車、家、交通インフラなどに配置される車外の機器）ＥＣＵであったりする。
ＥＣＵ＿Ａ３０１は、車内の有線通信５０１に流れるデータを受信する。
また、本実施の形態１では、より好適な形態として、車両１０１の外部へ自身のもつデータを送信する無線通信５０３の通信経路をもつ。
ＥＣＵ＿Ａ制御手段３０２は、自制御装置の制御を行なう。ＥＣＵ＿Ａ車内通信手段３０３は、車内の有線通信５０１を介して、データを送受信する。ＥＣＵ＿Ａ車外通信手段３０４は、無線通信５０３の通信経路を介して、車両１０１の外部との間でデータの送受信を行なう。
ＥＣＵ＿Ａ正常通信情報３０５は、ＥＣＵ＿ＧＷ２０１から送信されるデータが正常範囲内にあるか否かを判断するための判定指標である正常通信情報をデータベース（指標データベース）に格納したものである。
ＥＣＵ＿Ａ検査結果判定手段３０６（第一の判定手段）は、ＥＣＵ＿ＧＷ２０１から送信されるセキュリティ検査情報を変換した情報（第一の検査データ）を、ＥＣＵ＿Ａ正常通信情報３０５と比較することで、当該情報が正常範囲内にあるか否かを判断する。
ＥＣＵ＿Ａ正常通信情報３０５は、ＥＣＵ＿ＧＷ２０１から送信されるデータが正常範囲内にあるか否かを判断するための判定指標である正常通信情報をデータベース（指標データベース）に格納したものである。
ＥＣＵ＿Ａ検査結果判定手段３０６（第一の判定手段）は、ＥＣＵ＿ＧＷ２０１から送信されるセキュリティ検査情報を変換した情報（第一の検査データ）を、ＥＣＵ＿Ａ正常通信情報３０５と比較することで、当該情報が正常範囲内にあるか否かを判断する。
ＥＣＵ＿Ｂ４０１（第三の制御装置）は、次のように構成されている。
ＥＣＵ＿Ｂ４０１は、ボディ系、シャシー系などのＥＣＵであって、他の機器の中継なしに、車外へ無線通信５０３を介して情報を送信しないＥＣＵである。
ＥＣＵ＿Ｂ４０１は、ＥＣＵ＿Ａ３０１およびＥＣＵ＿ＧＷ２０１と、有線通信５０１で接続されており、車内の他のＥＣＵとも通信が可能になっている。
ＥＣＵ＿Ｂ制御手段４０２、ＥＣＵ＿Ｂ車内通信手段４０３、ＥＣＵ＿Ｂ正常通信情報４０５およびＥＣＵ＿Ｂ検査結果判定手段４０６（第二の判定手段）は、それぞれ、ＥＣＵ＿Ａ３０１のＥＣＵ＿Ａ制御手段３０２、ＥＣＵ＿Ａ車内通信手段３０３、ＥＣＵ＿Ａ正常通信情報３０５およびＥＣＵ＿Ａ検査結果判定手段３０６と同じものである。
ＥＣＵ＿Ｂ正常通信情報４０５は、ＥＣＵ＿ＧＷ２０１から送信されるセキュリティ検査情報を変換した情報（第二の検査データ）が、正常範囲内にあるか否かを判定するための判定指標であり、データベース（別指標データベース）に格納されている。
ＥＣＵ＿Ｂ４０１は、ボディ系、シャシー系などのＥＣＵであって、他の機器の中継なしに、車外へ無線通信５０３を介して情報を送信しないＥＣＵである。
ＥＣＵ＿Ｂ４０１は、ＥＣＵ＿Ａ３０１およびＥＣＵ＿ＧＷ２０１と、有線通信５０１で接続されており、車内の他のＥＣＵとも通信が可能になっている。
ＥＣＵ＿Ｂ制御手段４０２、ＥＣＵ＿Ｂ車内通信手段４０３、ＥＣＵ＿Ｂ正常通信情報４０５およびＥＣＵ＿Ｂ検査結果判定手段４０６（第二の判定手段）は、それぞれ、ＥＣＵ＿Ａ３０１のＥＣＵ＿Ａ制御手段３０２、ＥＣＵ＿Ａ車内通信手段３０３、ＥＣＵ＿Ａ正常通信情報３０５およびＥＣＵ＿Ａ検査結果判定手段３０６と同じものである。
ＥＣＵ＿Ｂ正常通信情報４０５は、ＥＣＵ＿ＧＷ２０１から送信されるセキュリティ検査情報を変換した情報（第二の検査データ）が、正常範囲内にあるか否かを判定するための判定指標であり、データベース（別指標データベース）に格納されている。
ＥＣＵ＿Ｂ４０１では、ＥＣＵ＿ＧＷ２０１から送信されるデータが正常範囲内にあるか否かを判断することができる、ＥＣＵ＿Ａ３０１とは異なる判定指標をもつ。
ＥＣＵ＿Ａ３０１とＥＣＵ＿Ｂ４０１の判定指標の候補は、ＥＣＵ＿ＧＷ２０１のフェイルセーフ機能またはセキュリティ対策機能の結果から出力されるデータの受信間隔あるいは取り得る値である。
通常制御状態となる範囲に加えて、フェイルセーフまたはセキュリティ対策が動作している範囲を定義し、受信間隔または取り得る値が、その範囲から逸脱していないかどうかという判定を行う。
正常と異常のいずれにも該当しない場合が、セキュリティ検査情報によって想定しない動作となっていると判定できる。
ＥＣＵ＿Ａ３０１とＥＣＵ＿Ｂ４０１の判定指標の候補は、ＥＣＵ＿ＧＷ２０１のフェイルセーフ機能またはセキュリティ対策機能の結果から出力されるデータの受信間隔あるいは取り得る値である。
通常制御状態となる範囲に加えて、フェイルセーフまたはセキュリティ対策が動作している範囲を定義し、受信間隔または取り得る値が、その範囲から逸脱していないかどうかという判定を行う。
正常と異常のいずれにも該当しない場合が、セキュリティ検査情報によって想定しない動作となっていると判定できる。
また、ＥＣＵ＿Ａ３０１とＥＣＵ＿Ｂ４０１の持つ、受信間隔と取り得る値の範囲の判定指標には所定の関係（所定の関係性）が成り立つ。
ここでは、ＥＣＵ＿Ａ３０１が車線維持機能を持つＡＤＡＳＥＣＵとして機能する場合、かつＥＣＵ＿Ｂ４０１がＥＣＵ＿Ａ３０１から受信したデータに基づき、操舵量を決める電動パワーステアリングＥＣＵとした場合において、受信間隔の判定指標に成り立つ関係性に注目して説明する。
ここでは、ＥＣＵ＿Ａ３０１が車線維持機能を持つＡＤＡＳＥＣＵとして機能する場合、かつＥＣＵ＿Ｂ４０１がＥＣＵ＿Ａ３０１から受信したデータに基づき、操舵量を決める電動パワーステアリングＥＣＵとした場合において、受信間隔の判定指標に成り立つ関係性に注目して説明する。
ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）などの車外通信から、車両１０１の絶対位置を特定する信号をＥＣＵ＿ＧＷ２０１が受信し、受信データに基づいて、ＡＤＡＳＥＣＵと電動パワーステアリングＥＣＵへデータを送信する。
このときのＡＤＡＳＥＣＵと電動パワーステアリングＥＣＵのデータ受信間隔は、車両１０１に搭載された運転者の状態を検知するセンサ検出値を、ＥＣＵ＿ＧＷ２０１から受信するときの受信間隔よりも一般的に長い。
このことから、このケースにおいては、ＥＣＵ＿Ａ３０１とＥＣＵ＿Ｂ４０１のデータ受信間隔は、両方とも所定の時間より長いという関係性を持つ。ＥＣＵ＿ＧＷ２０１がＥＣＵ＿Ａ３０１とＥＣＵ＿Ｂ４０１へ送信する間隔が、一方は所定の時間より短く、もう一方が所定の時間よりも長い場合は、その関係性が崩れてしまっており、ＥＣＵ＿ＧＷ２０１が何らかの異常を抱えていることが分かる。
このときのＡＤＡＳＥＣＵと電動パワーステアリングＥＣＵのデータ受信間隔は、車両１０１に搭載された運転者の状態を検知するセンサ検出値を、ＥＣＵ＿ＧＷ２０１から受信するときの受信間隔よりも一般的に長い。
このことから、このケースにおいては、ＥＣＵ＿Ａ３０１とＥＣＵ＿Ｂ４０１のデータ受信間隔は、両方とも所定の時間より長いという関係性を持つ。ＥＣＵ＿ＧＷ２０１がＥＣＵ＿Ａ３０１とＥＣＵ＿Ｂ４０１へ送信する間隔が、一方は所定の時間より短く、もう一方が所定の時間よりも長い場合は、その関係性が崩れてしまっており、ＥＣＵ＿ＧＷ２０１が何らかの異常を抱えていることが分かる。
次に、動作について説明する。
実施の形態１の検査システムの動作について、図２のシーケンスチャートに従って説明する。
実施の形態１の検査システムの動作について、図２のシーケンスチャートに従って説明する。
ステップＳＴ１００１では、サーバー１００１がＥＣＵ＿ＧＷ２０１を検査するためのセキュリティ検査情報を生成する。
ステップＳＴ１００２では、サーバー１００１が生成したセキュリティ検査情報を、ＥＣＵ＿ＧＷ２０１に送信する。
ステップＳＴ１００３では、ＥＣＵ＿ＧＷ２０１がセキュリティ検査情報を受信する。
ステップＳＴ１００２では、サーバー１００１が生成したセキュリティ検査情報を、ＥＣＵ＿ＧＷ２０１に送信する。
ステップＳＴ１００３では、ＥＣＵ＿ＧＷ２０１がセキュリティ検査情報を受信する。
ステップＳＴ１００４では、ＥＣＵ＿ＧＷ２０１が、受信したセキュリティ検査情報をサーバー１００１に送信する。このとき、ＥＣＵ＿ＧＷ２０１は、セキュリティ検査情報に共通鍵暗号または公開鍵暗号を用いた暗号化、あるいはハッシュ関数を用いた一方向変換などの変換処理（所定の処理）を施す。
ステップＳＴ１００５では、サーバー１００１は、ＥＣＵ＿ＧＷ２０１から送信された情報が、サーバー１００１が送信したものと相違ないかどうかを判定する。
相違なしと判定した場合、ＥＣＵ＿ＧＷ２０１の検査を継続し、ステップＳＴ１００６にすすむ。
相違ありと判定した場合、無線通信５０２、あるいはＥＣＵ＿ＧＷ２０１の受信処理または送信処理に、異常があると推定できるので、検査を停止する。
相違なしと判定した場合、ＥＣＵ＿ＧＷ２０１の検査を継続し、ステップＳＴ１００６にすすむ。
相違ありと判定した場合、無線通信５０２、あるいはＥＣＵ＿ＧＷ２０１の受信処理または送信処理に、異常があると推定できるので、検査を停止する。
ステップＳＴ１００６では、ＥＣＵ＿ＧＷ２０１がセキュリティ検査情報から、ＥＣＵ＿ＧＷ２０１の機能に基づいて、各ＥＣＵ向けの検査データに変換する。
ステップＳＴ１００７とステップＳＴ１００８では、セキュリティ検査情報を変換した検査データを、ＥＣＵ＿Ａ３０１、ＥＣＵ＿Ｂ４０１へ送信する。
ステップＳＴ１００７とステップＳＴ１００８では、セキュリティ検査情報を変換した検査データを、ＥＣＵ＿Ａ３０１、ＥＣＵ＿Ｂ４０１へ送信する。
（パターン２−１：ＥＣＵ＿Ａ３０１、ＥＣＵ＿Ｂ４０１それぞれで、検査データを判定する場合）
ステップＳＴ１００９では、ＥＣＵ＿Ａ３０１、ＥＣＵ＿Ｂ４０１が検査データを受信する。
ステップＳＴ１０１０とステップＳＴ１０１１では、ＥＣＵ＿Ａ３０１およびＥＣＵ＿Ｂ４０１は、それぞれ、受信した検査データと判定指標とを照らし合わせることで、受信した検査データが指標を満足するか否かを判断する。（以上、パターン２−１）
ステップＳＴ１００９では、ＥＣＵ＿Ａ３０１、ＥＣＵ＿Ｂ４０１が検査データを受信する。
ステップＳＴ１０１０とステップＳＴ１０１１では、ＥＣＵ＿Ａ３０１およびＥＣＵ＿Ｂ４０１は、それぞれ、受信した検査データと判定指標とを照らし合わせることで、受信した検査データが指標を満足するか否かを判断する。（以上、パターン２−１）
（パターン２−２：ＥＣＵ＿Ａ３０１およびＥＣＵ＿Ｂ４０１の間で、検査データの関係性を判定する場合）
また、ＥＣＵ＿Ａ３０１は、自身が受信した検査データと、そのときＥＣＵ＿Ｂ４０１が受信するべき検査データとの関係性を判定指標（関係性判定指標）の１つとして持つ。このとき、
ステップＳＴ１０１２では、ＥＣＵ＿Ａ３０１、ＥＣＵ＿Ｂ４０１が、検査データを受信し、ＥＣＵ＿Ｂ４０１が、ステップＳＴ１００６と同様の処理を行なう。
ステップＳＴ１０１３では、ＥＣＵ＿Ｂ４０１は、受信し、ＥＣＵ＿Ａ３０１向けに変換した検査データをＥＣＵ＿Ａ３０１へ送信する。
ステップＳＴ１０１４とステップＳＴ１０１５では、ＥＣＵ＿Ａ３０１が、自身の持つ検査データとＥＣＵ＿Ｂ４０１から受信した検査データとの２つの検査データに対して、判定指標となる関係性を照合する。（以上、パターン２−２）
また、ＥＣＵ＿Ａ３０１は、自身が受信した検査データと、そのときＥＣＵ＿Ｂ４０１が受信するべき検査データとの関係性を判定指標（関係性判定指標）の１つとして持つ。このとき、
ステップＳＴ１０１２では、ＥＣＵ＿Ａ３０１、ＥＣＵ＿Ｂ４０１が、検査データを受信し、ＥＣＵ＿Ｂ４０１が、ステップＳＴ１００６と同様の処理を行なう。
ステップＳＴ１０１３では、ＥＣＵ＿Ｂ４０１は、受信し、ＥＣＵ＿Ａ３０１向けに変換した検査データをＥＣＵ＿Ａ３０１へ送信する。
ステップＳＴ１０１４とステップＳＴ１０１５では、ＥＣＵ＿Ａ３０１が、自身の持つ検査データとＥＣＵ＿Ｂ４０１から受信した検査データとの２つの検査データに対して、判定指標となる関係性を照合する。（以上、パターン２−２）
次ぎに、ＥＣＵ＿Ａ３０１から、サーバー１００１への判定結果送信について説明する。ＥＣＵ＿Ａ３０１は、ＥＣＵ＿ＧＷ２０１がもつ無線通信５０２とは異なる無線通信５０３で、サーバー１００１と通信可能であり、この構成におけるシーケンスについて、以下に説明する。
ステップＳＴ１０１６では、ステップＳＴ１０１１、ステップＳＴ１０１５の判定で、相関またはその他の判定指標を満足しなかった場合に、その結果を生成する。
ステップＳＴ１０１７では、その判定結果をサーバー１００１に送信する。
ステップＳＴ１０１８では、サーバー１００１がその判定結果を受信する。
ステップＳＴ１０１９では、受信した判定結果に基づいて、判定指標を満足するように修正されたプログラム（更新ソフト）および機能仕様を作成する。
ステップＳＴ１０２０では、修正されたプログラムすなわち更新ソフトをＥＣＵ＿ＧＷ２０１に送信する。
ステップＳＴ１０２１では、ＥＣＵ＿ＧＷ２０１が修正されたプログラムに更新する。
ステップＳＴ１０１７では、その判定結果をサーバー１００１に送信する。
ステップＳＴ１０１８では、サーバー１００１がその判定結果を受信する。
ステップＳＴ１０１９では、受信した判定結果に基づいて、判定指標を満足するように修正されたプログラム（更新ソフト）および機能仕様を作成する。
ステップＳＴ１０２０では、修正されたプログラムすなわち更新ソフトをＥＣＵ＿ＧＷ２０１に送信する。
ステップＳＴ１０２１では、ＥＣＵ＿ＧＷ２０１が修正されたプログラムに更新する。
実施の形態１によれば、ＥＣＵ＿ＧＷ２０１の機能として、サーバー１００１とＥＣＵ＿ＧＷ２０１との間でやりとりされる情報に欠損がないことを確認できるとともに、ＥＣＵ＿ＧＷ２０１の無線通信５０２での送受信機能、およびＥＣＵ＿Ａ３０１とＥＣＵ＿Ｂ４０１へのデータの送信機能の動作が正しいか、異常かを正確に確認することができる。
すなわち、車内に備えた可変の判定指標に基づき、ＥＣＵ＿ＧＷ２０１の動作を検査することで、運用中においても、車両に搭載されるＥＣＵが正常に動作するか否かを正確に確認することができる。
すなわち、車内に備えた可変の判定指標に基づき、ＥＣＵ＿ＧＷ２０１の動作を検査することで、運用中においても、車両に搭載されるＥＣＵが正常に動作するか否かを正確に確認することができる。
また、ＥＣＵ＿Ａ３０１には正しく送信されたが、ＥＣＵ＿Ｂ４０１には正しく送信されていない場合、偶然、ＥＣＵ＿Ａ３０１とＥＣＵ＿Ｂ４０１の判定指標の許容範囲内のデータとなっている場合にも、両方のＥＣＵのデータの相関を考慮することにより、異常に対して頑強な判定をすることが可能となる。
また、セキュリティ検査情報によって、異常となるデータを発見した場合に、即座にソフトを修正することが可能となる。
なお、上述の実施の形態１の説明では、検査対象をＥＣＵ＿ＧＷ２０１とした一例を示したが、他のＥＣＵについても同様のことが適用できる。
すなわち、車両１０１に搭載されている他のＥＣＵであって、受信したデータに基づいて他ＥＣＵに送信する機能を備えていれば、適用可能である。
すなわち、車両１０１に搭載されている他のＥＣＵであって、受信したデータに基づいて他ＥＣＵに送信する機能を備えていれば、適用可能である。
また、上述の説明では、サーバー１００１から無線通信５０２経由で、セキュリティ検査情報を送信する構成としたが、この限りではなく、セキュリティ検査情報を送信する構成であればよく、サーバー１００１以外の機器からの送信でもよいし、無線に限らず有線通信を使ってもよい。
たとえば、有線通信の一例として、ＤＬＣ（Ｄａｔａ Ｌｉｎｋ Ｃｏｕｐｌｅｒ）にディーラーなどが利用する検査用ツールを接続し、検査用ツールで生成したセキュリティ検査情報を送信してもよい。
たとえば、有線通信の一例として、ＤＬＣ（Ｄａｔａ Ｌｉｎｋ Ｃｏｕｐｌｅｒ）にディーラーなどが利用する検査用ツールを接続し、検査用ツールで生成したセキュリティ検査情報を送信してもよい。
また、上述の説明では、検査システムの構成は、図１のとおりとしたが、ＥＣＵの数およびＥＣＵ間の通信線の結線方法はこの限りでなく、セキュリティ検査情報を受信したＥＣＵが、その他のＥＣＵにセキュリティ検査情報に基づいたデータを送信する構成であれば、適用可能である。
実施の形態２．
図３は、実施の形態２による検査システムの概略構成を示すブロック図である。
図３において、符号１０１、２０１〜２０５、３０１〜３０６、４０１〜４０３、４０５、４０６、５０１〜５０３、６０１、１００１、１０１０〜１０１６は図１におけるものと同一のものである。図３では、ＥＣＵ＿ＧＷ２０１に、車両機能管理手段２１０とＥＣＵ＿ＧＷ最適化手段２１１を設けている。また、サーバー１００１に、最適化情報１０２１とサーバー最適化手段１０２２を設けている。
図３は、実施の形態２による検査システムの概略構成を示すブロック図である。
図３において、符号１０１、２０１〜２０５、３０１〜３０６、４０１〜４０３、４０５、４０６、５０１〜５０３、６０１、１００１、１０１０〜１０１６は図１におけるものと同一のものである。図３では、ＥＣＵ＿ＧＷ２０１に、車両機能管理手段２１０とＥＣＵ＿ＧＷ最適化手段２１１を設けている。また、サーバー１００１に、最適化情報１０２１とサーバー最適化手段１０２２を設けている。
ＥＣＵ＿ＧＷ２０１の車両機能管理手段２１０は、所定のタイミングにおけるＥＣＵ＿ＧＷ制御手段２０２を構成する機能、およびＥＣＵ＿Ａ３０１とＥＣＵ＿Ｂ４０１の制御手段を構成する機能を管理する。すなわち、時刻ｔｎにおけるＥＣＵ＿ＧＷ制御手段２０２およびＥＣＵ＿Ａ制御手段３０２とＥＣＵ＿Ｂ制御手段４０２による制御を行う機能一覧と詳細を有する。
ＥＣＵ＿ＧＷ最適化手段２１１（機能変更手段）は、ＥＣＵ＿ＧＷ２０１が検出しているセンシング情報、および通信を介して得られる通信情報（自制御装置に入力される情報）に基づいて、設計情報１０１０から学習を行い、ＥＣＵ＿ＧＷ２０１の機能変更を行なう。すなわち、ＥＣＵ＿ＧＷ制御手段２０２を構成する処理時間、処理周期または処理内容を変更する。
ＥＣＵ＿ＧＷ最適化手段２１１（機能変更手段）は、ＥＣＵ＿ＧＷ２０１が検出しているセンシング情報、および通信を介して得られる通信情報（自制御装置に入力される情報）に基づいて、設計情報１０１０から学習を行い、ＥＣＵ＿ＧＷ２０１の機能変更を行なう。すなわち、ＥＣＵ＿ＧＷ制御手段２０２を構成する処理時間、処理周期または処理内容を変更する。
サーバー１００１の最適化情報１０２１は、ＥＣＵ＿ＧＷ２０１から送信された、ＥＣＵ＿ＧＷ２０１のセンシング情報およびＥＣＵ＿ＧＷ２０１に入力された通信情報の一部または全てを、設計情報１０１０に基づいて学習するための情報として、データベースに格納している。
サーバー最適化手段１０２２は、ＥＣＵ＿ＧＷ２０１から送信された最適化情報１０２１に基づき、学習を行ない、サーバー１００１の機能変更を行なう。
サーバー最適化手段１０２２は、ＥＣＵ＿ＧＷ２０１から送信された最適化情報１０２１に基づき、学習を行ない、サーバー１００１の機能変更を行なう。
次に、動作について説明する。
ＥＣＵ＿ＧＷ２０１の車両機能管理手段２１０は、ある時刻ｔｎにおけるゲートウェイ制御および自制御装置の制御を行う機能一覧と詳細を有している。時刻ｔｎよりも後の時刻ｔｎ＋１における同機能一覧と詳細も、合せて車両機能管理手段２１０が有する。
車両機能管理手段２１０は、ＥＣＵ＿ＧＷ２０１が備える機能の処理周期、処理時間、形式的に記載された処理内容が、時刻ｔｎから時刻ｔｎ＋１の間に、変化があったかどうかを不定期または定期的に確認を行う。変更があった場合には、ＥＣＵ＿Ａ３０１またはＥＣＵ＿Ｂ４０１に機能変更内容を通知する。
ＥＣＵ＿ＧＷ２０１の車両機能管理手段２１０は、ある時刻ｔｎにおけるゲートウェイ制御および自制御装置の制御を行う機能一覧と詳細を有している。時刻ｔｎよりも後の時刻ｔｎ＋１における同機能一覧と詳細も、合せて車両機能管理手段２１０が有する。
車両機能管理手段２１０は、ＥＣＵ＿ＧＷ２０１が備える機能の処理周期、処理時間、形式的に記載された処理内容が、時刻ｔｎから時刻ｔｎ＋１の間に、変化があったかどうかを不定期または定期的に確認を行う。変更があった場合には、ＥＣＵ＿Ａ３０１またはＥＣＵ＿Ｂ４０１に機能変更内容を通知する。
ＥＣＵ＿Ａ３０１またはＥＣＵ＿Ｂ４０１は、通知された機能変更内容に応じて、判定指標を更新する機能を有する。
次に、実施の形態２の検査システムを、図４のシーケンスチャートに従って説明する。
次に、実施の形態２の検査システムを、図４のシーケンスチャートに従って説明する。
ステップＳＴ２００１では、ＥＣＵ＿ＧＷ２０１のＥＣＵ＿ＧＷ制御手段２０２の機能が更新されたことを検知する。
（パターン４−１：機能変更をＥＣＵ＿Ａ３０１、ＥＣＵ＿Ｂ４０１に通知する場合）
ステップＳＴ２００２では、時刻ｔｎから時刻ｔｎ＋１において、更新された機能が所定値以上であったかどうかを確認し、変更がない場合は処理を終了する。
一方、変更があった場合には、ステップＳＴ２００３へ進む。
ステップＳＴ２００３では、機能変更および変更内容を他のＥＣＵへ通知するために、機能変更内容通知データ（機能変更内容）を作成する。
ステップＳＴ２００４とステップＳＴ２００５では、車両１０１に搭載される各ＥＣＵへ機能変更内容通知データを送信する。
ステップＳＴ２００６では、機能変更内容通知データに基づき、各ＥＣＵが備えている判定指標（正常通信情報）を更新する。（以上、パターン４−１）
（パターン４−１：機能変更をＥＣＵ＿Ａ３０１、ＥＣＵ＿Ｂ４０１に通知する場合）
ステップＳＴ２００２では、時刻ｔｎから時刻ｔｎ＋１において、更新された機能が所定値以上であったかどうかを確認し、変更がない場合は処理を終了する。
一方、変更があった場合には、ステップＳＴ２００３へ進む。
ステップＳＴ２００３では、機能変更および変更内容を他のＥＣＵへ通知するために、機能変更内容通知データ（機能変更内容）を作成する。
ステップＳＴ２００４とステップＳＴ２００５では、車両１０１に搭載される各ＥＣＵへ機能変更内容通知データを送信する。
ステップＳＴ２００６では、機能変更内容通知データに基づき、各ＥＣＵが備えている判定指標（正常通信情報）を更新する。（以上、パターン４−１）
（パターン４−２：ＥＣＵ＿ＧＷ２０１が、機能変更をサーバー１００１にも通知する場合）
ＥＣＵ＿ＧＷ２０１は、車両機能管理手段２１０が、ＥＣＵ＿ＧＷ制御手段２０２の機能の変更を検出した場合、サーバー１００１にも機能変更を通知する。この場合の動作について、以下に説明する。
ＥＣＵ＿ＧＷ２０１は、車両機能管理手段２１０が、ＥＣＵ＿ＧＷ制御手段２０２の機能の変更を検出した場合、サーバー１００１にも機能変更を通知する。この場合の動作について、以下に説明する。
ステップＳＴ２００７は、ステップＳＴ２００２の処理と同様であるため、その説明を省略する。
ステップＳＴ２００８では、機能変更があったことを通知するための機能変更内容通知データを生成する。
ステップＳＴ２００９では、サーバー１００１へ生成した機能変更内容通知データを送信する。
ステップＳＴ２０１０では、サーバー１００１は、この機能変更内容通知データを受信して、車両１０１を構成するＥＣＵの機能構成に変更があったことを検知して、セキュリティ検査情報を生成する。
ステップＳＴ２０１１では、生成したセキュリティ検査情報を、再度ＥＣＵ＿ＧＷ２０１へ送信する。（以上、パターン４−２）
以降は、図２のステップＳＴ１００３以下の動作と同じである。
ステップＳＴ２００８では、機能変更があったことを通知するための機能変更内容通知データを生成する。
ステップＳＴ２００９では、サーバー１００１へ生成した機能変更内容通知データを送信する。
ステップＳＴ２０１０では、サーバー１００１は、この機能変更内容通知データを受信して、車両１０１を構成するＥＣＵの機能構成に変更があったことを検知して、セキュリティ検査情報を生成する。
ステップＳＴ２０１１では、生成したセキュリティ検査情報を、再度ＥＣＵ＿ＧＷ２０１へ送信する。（以上、パターン４−２）
以降は、図２のステップＳＴ１００３以下の動作と同じである。
実施の形態２のＥＣＵ＿ＧＷ２０１は、機能変更の要因として、外部から新たなソフトウェアを入力する方法以外に、ＥＣＵ＿ＧＷ２０１が検出しているセンシング情報および通信情報に基づいて、設計情報１０１０から学習を行い、機能変更を行なうようになっている。
サーバー１００１においても、ＥＣＵ＿ＧＷ２０１に搭載されている学習アルゴリズムと同様に、学習可能なサーバー最適化手段１０２２を有する。
次に、このサーバー最適化手段１０２２の動作について、ステップＳＴ２０１２以降で説明する。
サーバー１００１においても、ＥＣＵ＿ＧＷ２０１に搭載されている学習アルゴリズムと同様に、学習可能なサーバー最適化手段１０２２を有する。
次に、このサーバー最適化手段１０２２の動作について、ステップＳＴ２０１２以降で説明する。
ステップＳＴ２０１２では、ＥＣＵ＿ＧＷ２０１が学習に用いているデータである学習用通信情報を収集・蓄積する。ステップＳＴ２０１３では、ＥＣＵ＿ＧＷ２０１は、学習用通信情報を収集したタイミングで、サーバー１００１に、この学習用通信情報を送信する。
ステップＳＴ２０１４では、サーバー１００１がデータを受信し、最適化情報１０２１として保持している学習用データベースへ追加する。
ステップＳＴ２０１５では、時刻ｔｎにおける設計情報１０１０から、学習によって変更された機能（設計情報の差分）を、サーバー最適化手段１０２２によって解析する。
ステップＳＴ２０１６では、設計情報１０１０とセキュリティ情報１０１１に加え、学習によって変更された箇所のみに注目して生成されたセキュリティ検査情報となるように、セキュリティ検査情報を更新する。
ステップＳＴ２０１７では、更新されたセキュリティ検査情報をＥＣＵ＿ＧＷ２０１に送信する。
以降は、図２のステップＳＴ１００３以下の動作と同じである。
ステップＳＴ２０１４では、サーバー１００１がデータを受信し、最適化情報１０２１として保持している学習用データベースへ追加する。
ステップＳＴ２０１５では、時刻ｔｎにおける設計情報１０１０から、学習によって変更された機能（設計情報の差分）を、サーバー最適化手段１０２２によって解析する。
ステップＳＴ２０１６では、設計情報１０１０とセキュリティ情報１０１１に加え、学習によって変更された箇所のみに注目して生成されたセキュリティ検査情報となるように、セキュリティ検査情報を更新する。
ステップＳＴ２０１７では、更新されたセキュリティ検査情報をＥＣＵ＿ＧＷ２０１に送信する。
以降は、図２のステップＳＴ１００３以下の動作と同じである。
次に、実施の形態２における学習の例について説明する。
学習に用いるデータは、運転者の状態を検出するセンシングデータと、走行時のＥＣＵのデータであり、運転者の状態に応じて、ＥＣＵ＿Ａ３０１およびＥＣＵ＿Ｂ４０１へ送信する指示が、運転者にとって違和感のない運転支援となるように学習する。
運転者の満足度をＥＣＵ＿ＧＷ２０１へ入力するようにし、それを教師データとして評価値が最適値になるように学習しつづけることで、ＥＣＵ＿Ａ３０１およびＥＣＵ＿Ｂ４０１へ送信する処理周期、処理時間、処理内容が変化してゆく。
学習に用いるデータは、運転者の状態を検出するセンシングデータと、走行時のＥＣＵのデータであり、運転者の状態に応じて、ＥＣＵ＿Ａ３０１およびＥＣＵ＿Ｂ４０１へ送信する指示が、運転者にとって違和感のない運転支援となるように学習する。
運転者の満足度をＥＣＵ＿ＧＷ２０１へ入力するようにし、それを教師データとして評価値が最適値になるように学習しつづけることで、ＥＣＵ＿Ａ３０１およびＥＣＵ＿Ｂ４０１へ送信する処理周期、処理時間、処理内容が変化してゆく。
実施の形態２によれば、各ＥＣＵの機能が更新された場合にも、更新された機能に基づくＥＣＵの最新情報を使った判定指標で、セキュリティ検査情報を評価できる。
また、更新された機能がセキュリティ検査情報に正しく対応できているかどうかを即座に確認することができる。
また、サーバー最適化手段１０２２が、検査すべき機能変更を予想し、限定することで、セキュリティ検査情報による検査を短時間で終了させることができる。
また、更新された機能がセキュリティ検査情報に正しく対応できているかどうかを即座に確認することができる。
また、サーバー最適化手段１０２２が、検査すべき機能変更を予想し、限定することで、セキュリティ検査情報による検査を短時間で終了させることができる。
なお、実施の形態２においては、学習を、教師あり学習として記載しているが、この限りではなく、学習し、機能に変更が加えられることを満足していれば、どの学習方式であっても構わない。
また、実施の形態２においては、ＥＣＵ＿ＧＷ２０１が学習するデータを運転者のセンシング情報としたが、学習するデータは、この限りではなく、ＥＣＵ＿ＧＷ２０１が学習し、その学習に基づき、有線通信５０１で接続されるＥＣＵに対して出力するデータが変更されることを満足していれば、どの学習データであっても構わない。
実施の形態３．
図５は、実施の形態３による検査システムの概略構成を示すブロック図である。
図５において、符号１０１、２０１〜２０５、２１０、２１１、３０１〜３０６、４０１〜４０３、４０５、４０６、５０１〜５０３、６０１、１００１、１０１０〜１０１０１６、１０２１、１０２２は図１におけるものと同一のものである。図５では、サーバー１００１に、車両状態履歴情報１０３１、車両状態予測手段１０３２、検査計画手段１０３３および動作許可制御手段１０３４を設けている。
図５は、実施の形態３による検査システムの概略構成を示すブロック図である。
図５において、符号１０１、２０１〜２０５、２１０、２１１、３０１〜３０６、４０１〜４０３、４０５、４０６、５０１〜５０３、６０１、１００１、１０１０〜１０１０１６、１０２１、１０２２は図１におけるものと同一のものである。図５では、サーバー１００１に、車両状態履歴情報１０３１、車両状態予測手段１０３２、検査計画手段１０３３および動作許可制御手段１０３４を設けている。
車両状態履歴情報１０３１は、車両１０１側から送信される車両１０１の状態等の履歴とユーザの予定などの履歴をデータベース（履歴データベース）に蓄積している。
車両状態予測手段１０３２は、車両状態履歴情報１０３１のデータを基に、所定時間先の車両１０１の状態を予測する予測アルゴリズムを有する。
検査計画手段１０３３は、車両状態予測手段１０３２の予測に基づき、セキュリティ検査情報を、車両に送信する時刻を計画し、ユーザ（運転者または所有者）に提示する機能（検査予告手段）を有する。
動作許可制御手段１０３４は、運転者および所有者が、セキュリティ検査情報による検査を許可しない場合、または車両状態履歴情報１０３１から検査計画が立てられない場合に、ＥＣＵの処理の一部または全てを停止するように、当該ＥＣＵに指示する。
車両状態予測手段１０３２は、車両状態履歴情報１０３１のデータを基に、所定時間先の車両１０１の状態を予測する予測アルゴリズムを有する。
検査計画手段１０３３は、車両状態予測手段１０３２の予測に基づき、セキュリティ検査情報を、車両に送信する時刻を計画し、ユーザ（運転者または所有者）に提示する機能（検査予告手段）を有する。
動作許可制御手段１０３４は、運転者および所有者が、セキュリティ検査情報による検査を許可しない場合、または車両状態履歴情報１０３１から検査計画が立てられない場合に、ＥＣＵの処理の一部または全てを停止するように、当該ＥＣＵに指示する。
次に、動作について説明する。
実施の形態３では、車両１０１のＥＣＵ＿ＧＷ２０１は、過去の車両１０１状態、そのときの時刻、位置などのデータを検知し、サーバー１００１に送信するようにしている。
サーバー１００１は、車両１０１側から送信される車両１０１の状態等の履歴と、ユーザの予定などの履歴を、車両状態履歴情報１０３１としてデータベースに蓄積し、この蓄積した車両状態履歴情報１０３１のデータを基にして、車両状態予測手段１０３２により、今後の車両１０１の状態を予測する。
そして、検査計画手段１０３３により、予測した今後の車両１０１の状態から、セキュリティ検査情報の送信が可能な検査計画を立案し、ユーザに提示する。
万が一、検査を実施しなければならないにもかかわらず、ユーザの許可が下りない、または車両状態履歴情報１０３１から検査計画が立てられない場合に、動作許可制御手段１０３４により、車両１０１の動作を限定する指示を生成する。
実施の形態３では、車両１０１のＥＣＵ＿ＧＷ２０１は、過去の車両１０１状態、そのときの時刻、位置などのデータを検知し、サーバー１００１に送信するようにしている。
サーバー１００１は、車両１０１側から送信される車両１０１の状態等の履歴と、ユーザの予定などの履歴を、車両状態履歴情報１０３１としてデータベースに蓄積し、この蓄積した車両状態履歴情報１０３１のデータを基にして、車両状態予測手段１０３２により、今後の車両１０１の状態を予測する。
そして、検査計画手段１０３３により、予測した今後の車両１０１の状態から、セキュリティ検査情報の送信が可能な検査計画を立案し、ユーザに提示する。
万が一、検査を実施しなければならないにもかかわらず、ユーザの許可が下りない、または車両状態履歴情報１０３１から検査計画が立てられない場合に、動作許可制御手段１０３４により、車両１０１の動作を限定する指示を生成する。
次に、実施の形態３の検査システムの動作を、図６のシーケンスチャートに従って説明する。
ステップＳＴ３００１では、ＥＣＵ＿ＧＷ２０１が、時刻と車両１０１の状態、位置を関連付けた、車両状態情報を生成する。
ステップＳＴ３００２では、ＥＣＵ＿ＧＷ２０１は、生成した車両状態情報をサーバー１００１へ送信する。
ステップＳＴ３００３では、サーバー１００１は、受信した車両１０１状態、位置とそのときの時刻情報に加えて、ユーザが登録している予定表から日時と予定の情報を関連付けて、車両状態履歴情報１０３１として、データベースに保管する。
ステップＳＴ３００１では、ＥＣＵ＿ＧＷ２０１が、時刻と車両１０１の状態、位置を関連付けた、車両状態情報を生成する。
ステップＳＴ３００２では、ＥＣＵ＿ＧＷ２０１は、生成した車両状態情報をサーバー１００１へ送信する。
ステップＳＴ３００３では、サーバー１００１は、受信した車両１０１状態、位置とそのときの時刻情報に加えて、ユーザが登録している予定表から日時と予定の情報を関連付けて、車両状態履歴情報１０３１として、データベースに保管する。
ステップＳＴ３００４では、車両状態予測手段１０３２が、データベースに保管している過去の車両状態履歴情報１０３１に基づき、ユーザの予定表の確からしさ・実行可能性を確認し、検査可能と予測される日時を決定する。
次いで、検査計画手段１０３３が、セキュリティ情報１０１１から、脅威によって脆弱性がつかれる可能性が高く、脆弱性をつかれたときの影響が大きいリスクのあるＥＣＵを優先的に検査できるように計画し、検査情報生成手段１０１２により、セキュリティ検査情報を生成する。
検査計画手段１０３３は、特に各ＥＣＵのリスクに差が無い場合は、全ＥＣＵを対象にセキュリティ検査情報を生成するように、検査計画を立案する。
ステップＳＴ３００５では、検査可能である日時に検査を実行する旨をユーザに通知する。
次いで、検査計画手段１０３３が、セキュリティ情報１０１１から、脅威によって脆弱性がつかれる可能性が高く、脆弱性をつかれたときの影響が大きいリスクのあるＥＣＵを優先的に検査できるように計画し、検査情報生成手段１０１２により、セキュリティ検査情報を生成する。
検査計画手段１０３３は、特に各ＥＣＵのリスクに差が無い場合は、全ＥＣＵを対象にセキュリティ検査情報を生成するように、検査計画を立案する。
ステップＳＴ３００５では、検査可能である日時に検査を実行する旨をユーザに通知する。
ステップＳＴ３００６では、ユーザが提示された検査日時で問題ないかどうかを判断する。検査日時で問題ない場合は、その検査日時に検査を実行する。しかし、検査日時を変更・とりやめをユーザが選択した場合は、ステップＳＴ３００７に進み、サーバー１００１に検査日時が否認されたことが通知される。
ステップＳＴ３００８では、動作許可制御手段１０３４は、検査されないことによる危険性を考慮して、セキュリティ情報１０１１の影響を受けない、または受けにくいと予想される箇所のみ動作することを許可する通知を生成する。
ステップＳＴ３００９では、動作許可制御手段１０３４の通知をＥＣＵ＿ＧＷ２０１に送信する。
ステップＳＴ３００８では、動作許可制御手段１０３４は、検査されないことによる危険性を考慮して、セキュリティ情報１０１１の影響を受けない、または受けにくいと予想される箇所のみ動作することを許可する通知を生成する。
ステップＳＴ３００９では、動作許可制御手段１０３４の通知をＥＣＵ＿ＧＷ２０１に送信する。
ステップＳＴ３０１０では、ＥＣＵ＿ＧＷ２０１は、ＥＣＵ＿ＧＷ２０１の有線通信５０１に接続されるＥＣＵのうち、影響を受ける可能性があるＥＣＵまたはＥＣＵの一部機能（ここではＥＣＵ＿Ｂ４０１の一部機能）に対して、制御停止指示を生成する。
ステップＳＴ３０１１にて、ＥＣＵ＿ＧＷ２０１は、対象となるＥＣＵ＿Ｂ４０１に制御停止指示を送信する。
ステップＳＴ３０１２では、ＥＣＵ＿Ｂ４０１は、次の検査が行われるまで、制御動作の一部を停止する。
ステップＳＴ３０１１にて、ＥＣＵ＿ＧＷ２０１は、対象となるＥＣＵ＿Ｂ４０１に制御停止指示を送信する。
ステップＳＴ３０１２では、ＥＣＵ＿Ｂ４０１は、次の検査が行われるまで、制御動作の一部を停止する。
実施の形態３によれば、上記のようにすることで、ユーザの習慣またはユーザの予定表に基づき、検査するタイミングを計画することで、ユーザが車両１０１を利用することを制限しない。
また、未検査の状態において、車両１０１での移動が必要となった場合においても、検査対象のＥＣＵ以外であれば、動作させることが可能であり、走る・曲がる・止まるに関係ないＥＣＵが検査対象の場合は、走行も可能となり得る。
また、未検査の状態において、車両１０１での移動が必要となった場合においても、検査対象のＥＣＵ以外であれば、動作させることが可能であり、走る・曲がる・止まるに関係ないＥＣＵが検査対象の場合は、走行も可能となり得る。
なお、実施の形態１〜実施の形態３で説明した各ＥＣＵである制御装置１０は、ハードウェアの一例を図７に示すように、少なくともプロセッサ１１と記憶装置１２から構成される。
記憶装置１２は図示していないが、ランダムアクセスメモリ等の揮発性記憶装置と、フラッシュメモリ等の不揮発性の補助記憶装置とを具備する。また、フラッシュメモリの代わりにハードディスクの補助記憶装置を具備してもよい。
プロセッサ１１は、記憶装置１２から入力されたプログラムを実行する。この場合、補助記憶装置から揮発性記憶装置を介してプロセッサ１１にプログラムが入力される。また、プロセッサ１１は、演算結果等のデータを記憶装置１２の揮発性記憶装置に出力してもよいし、揮発性記憶装置を介して補助記憶装置にデータを保存してもよい。
また、サーバー１００１も、制御装置１０と同様のハードウェア構成である。
記憶装置１２は図示していないが、ランダムアクセスメモリ等の揮発性記憶装置と、フラッシュメモリ等の不揮発性の補助記憶装置とを具備する。また、フラッシュメモリの代わりにハードディスクの補助記憶装置を具備してもよい。
プロセッサ１１は、記憶装置１２から入力されたプログラムを実行する。この場合、補助記憶装置から揮発性記憶装置を介してプロセッサ１１にプログラムが入力される。また、プロセッサ１１は、演算結果等のデータを記憶装置１２の揮発性記憶装置に出力してもよいし、揮発性記憶装置を介して補助記憶装置にデータを保存してもよい。
また、サーバー１００１も、制御装置１０と同様のハードウェア構成である。
本開示は、様々な例示的な実施の形態および実施例が記載されているが、１つ、または複数の実施の形態に記載された様々な特徴、態様、および機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。
従って、例示されていない無数の変形例が、本願明細書に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合、さらには、少なくとも１つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれるものとする。
従って、例示されていない無数の変形例が、本願明細書に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合、さらには、少なくとも１つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれるものとする。
１０ 制御装置、１１ プロセッサ、１２ 記憶装置、
１０１ 車両、２０１ ＥＣＵ＿ＧＷ、２０２ ＥＣＵ＿ＧＷ制御手段、
２０３ ＥＣＵ＿ＧＷ車外通信手段、２０４ ＥＣＵ＿ＧＷ車内通信手段、
２０５ ＥＣＵ＿ＧＷ更新制御手段、２１０ 車両機能管理手段、
２１１ ＥＣＵ＿ＧＷ最適化手段、３０１ ＥＣＵ＿Ａ、３０２ ＥＣＵ＿Ａ制御手段、
３０３ ＥＣＵ＿Ａ車内通信手段、３０４ ＥＣＵ＿Ａ車外通信手段、
３０５ ＥＣＵ＿Ａ正常通信情報、３０６ ＥＣＵ＿Ａ検査結果判定手段、
４０１ ＥＣＵ＿Ｂ、４０２ ＥＣＵ＿Ｂ制御手段、４０３ ＥＣＵ＿Ｂ車内通信手段、
４０５ ＥＣＵ＿Ｂ正常通信情報、４０６ ＥＣＵ＿Ｂ検査結果判定手段、
５０１ 有線通信、５０２ 無線通信、５０３ 無線通信、６０１ 通信網、
１００１ サーバー、１０１０ 設計情報、１０１１ セキュリティ情報、
１０１２ 検査情報生成手段、１０１３ サーバー送受信手段、１０１４ 検査制御手段、
１０１５ 更新ソフト生成手段、１０１６ 更新ソフト送信制御手段、
１０２１ 最適化情報、１０２２ サーバー最適化手段、１０３１ 車両状態履歴情報、
１０３２ 車両状態予測手段、１０３３ 検査計画手段、１０３４ 動作許可制御手段
１０１ 車両、２０１ ＥＣＵ＿ＧＷ、２０２ ＥＣＵ＿ＧＷ制御手段、
２０３ ＥＣＵ＿ＧＷ車外通信手段、２０４ ＥＣＵ＿ＧＷ車内通信手段、
２０５ ＥＣＵ＿ＧＷ更新制御手段、２１０ 車両機能管理手段、
２１１ ＥＣＵ＿ＧＷ最適化手段、３０１ ＥＣＵ＿Ａ、３０２ ＥＣＵ＿Ａ制御手段、
３０３ ＥＣＵ＿Ａ車内通信手段、３０４ ＥＣＵ＿Ａ車外通信手段、
３０５ ＥＣＵ＿Ａ正常通信情報、３０６ ＥＣＵ＿Ａ検査結果判定手段、
４０１ ＥＣＵ＿Ｂ、４０２ ＥＣＵ＿Ｂ制御手段、４０３ ＥＣＵ＿Ｂ車内通信手段、
４０５ ＥＣＵ＿Ｂ正常通信情報、４０６ ＥＣＵ＿Ｂ検査結果判定手段、
５０１ 有線通信、５０２ 無線通信、５０３ 無線通信、６０１ 通信網、
１００１ サーバー、１０１０ 設計情報、１０１１ セキュリティ情報、
１０１２ 検査情報生成手段、１０１３ サーバー送受信手段、１０１４ 検査制御手段、
１０１５ 更新ソフト生成手段、１０１６ 更新ソフト送信制御手段、
１０２１ 最適化情報、１０２２ サーバー最適化手段、１０３１ 車両状態履歴情報、
１０３２ 車両状態予測手段、１０３３ 検査計画手段、１０３４ 動作許可制御手段
Claims (10)
- 車両に搭載され、互いに通信可能な複数の制御装置、
およびこの複数の制御装置の機能の検査を、車外からネットワークを介して行なう検査装置を備え、
上記検査装置は、
上記複数の制御装置の設計情報および別途収集したセキュリティ情報に基づき、第一の制御装置の機能の検査に用いるセキュリティ検査情報を生成する検査情報生成手段を有し、
上記検査情報生成手段により生成された上記セキュリティ検査情報を上記第一の制御装置に送信し、
上記第一の制御装置は、
上記検査装置から送信された上記セキュリティ検査情報を、第二の制御装置向けの第一の検査データに変換するゲートウェイ制御手段を有し、
上記ゲートウェイ制御手段によって変換された第一の検査データを上記第二の制御装置に送信し、
上記第二の制御装置は、
上記第一の制御装置から送信された上記第一の検査データが、正常範囲内にあるかどうかを判定するための判定指標を格納した指標データベースと、
上記第一の検査データを上記判定指標と比較して、上記第一の検査データの正常または異常を判定する第一の判定手段とを有することを特徴とする検査システム。 - 上記第一の制御装置は、上記検査装置から送信された上記セキュリティ検査情報を、所定の処理を行なったのち、上記検査装置に送信することを特徴とする請求項１に記載の検査システム。
- 上記第一の制御装置は、上記セキュリティ検査情報を、上記ゲートウェイ制御手段により、上記第二の制御装置とは別の第三の制御装置向けの第二の検査データに変換し、この変換された第二の検査データを上記第三の制御装置に送信し、
上記第三の制御装置は、
上記第一の制御装置から送信された上記第二の検査データが、正常範囲内にあるかどうかを判定するための判定指標で、かつ 上記第二の制御装置の判定指標とは異なる判定指標を格納した別指標データベースと、
上記第二の検査データを上記別指標データベースの判定指標と比較して、上記第二の検査データの正常または異常を判定する第二の判定手段とを有することを特徴とする請求項１または請求項２に記載の検査システム。 - 上記第二の制御装置は、上記ゲートウェイ制御手段により、上記セキュリティ検査情報から自制御装置向けに変換された第一の検査データと、上記第三の制御装置向けに変換された第二の検査データとの間に所定の関係性があるかどうかを判定するための関係性判定指標を有し、
上記第三の制御装置は、上記第二の検査データを、上記第二の制御装置向けの第三の検査データに変換して、上記第二の制御装置に送信し、
上記第二の制御装置は、上記第一の判定手段により、上記第三の制御装置から送信された上記第三の検査データについて、上記関係性判定指標を用いて、上記所定の関係性があるかどうかを判定することを特徴とする請求項３に記載の検査システム。 - 上記第二の制御装置は、上記第三の制御装置から送信された上記第三の検査データが、上記所定の関係性をもたない場合は、その判定結果を上記検査装置に送信することを特徴とする請求項４に記載の検査システム。
- 上記第一の制御装置は、上記複数の制御装置の機能を管理する車両機能管理手段を有し、
上記車両機能管理手段により上記ゲートウェイ制御手段の機能が変更されたことが検知された場合は、上記第二の制御装置および上記第三の制御装置に機能変更内容を送信し、
上記第二の制御装置および上記第三の制御装置は、それぞれ、上記第一の制御装置から送信された上記機能変更内容に基づき、自制御装置の上記判定指標を更新することを特徴とする請求項３から請求項５のいずれか一項に記載の検査システム。 - 上記第一の制御装置は、上記車両機能管理手段により、上記ゲートウェイ制御手段の機能が変更されたことを検知した場合には、上記機能変更内容を上記検査装置へ送信し、
上記検査装置は、上記機能変更内容を反映させた上記セキュリティ検査情報を生成して、上記第一の制御装置へ送信することを特徴とする請求項６に記載の検査システム。 - 上記第一の制御装置は、自制御装置に入力された情報に基づき、上記ゲートウェイ制御手段の機能の変更を行なう機能変更手段を有するとともに、
上記入力された情報を上記検査装置に送信し、
上記検査装置は、上記第一の制御装置から受信した上記入力された情報を解析して、上記検査情報生成手段による上記セキュリティ検査情報の生成に反映させることを特徴とする請求項１から請求項７のいずれか一項に記載の検査システム。 - 上記検査装置は、
上記車両から車両状態に係わる情報を収集し、この収集した車両状態情報を蓄積した車両状態履歴情報を記憶する履歴データベースと、
上記車両状態履歴情報から所定時間先の車両状態を予測する車両状態予測手段と、
この車両状態予測手段により予測された車両状態に基づき、上記セキュリティ検査情報を上記車両に送信する時刻を計画する検査計画手段とを有することを特徴とする請求項１から請求項８のいずれか一項に記載の検査システム。 - 上記検査装置は、
上記セキュリティ検査情報を上記車両に送信する時刻を、上記車両の運転者または所有者に予告通知する検査予告手段と、
この検査予告手段の予告通知に応じて、返信された情報に基づき、上記制御装置の機能の一部または全てについて、実行許可または実行停止を指示する動作許可制御手段とを有することを特徴とする請求項１から請求項９のいずれか一項に記載の検査システム。
Priority Applications (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2018086066A JP6552674B1 (ja) | 2018-04-27 | 2018-04-27 | 検査システム |
| US16/253,441 US11126730B2 (en) | 2018-04-27 | 2019-01-22 | Inspection system |
| DE102019205700.4A DE102019205700B4 (de) | 2018-04-27 | 2019-04-18 | Prüfsystem |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2018086066A JP6552674B1 (ja) | 2018-04-27 | 2018-04-27 | 検査システム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP6552674B1 JP6552674B1 (ja) | 2019-07-31 |
| JP2019191063A true JP2019191063A (ja) | 2019-10-31 |
Family
ID=67473400
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2018086066A Active JP6552674B1 (ja) | 2018-04-27 | 2018-04-27 | 検査システム |
Country Status (3)
| Country | Link |
|---|---|
| US (1) | US11126730B2 (ja) |
| JP (1) | JP6552674B1 (ja) |
| DE (1) | DE102019205700B4 (ja) |
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2021060778A (ja) * | 2019-10-07 | 2021-04-15 | 三菱電機株式会社 | 制御装置および制御方法 |
| WO2021075339A1 (ja) | 2019-10-18 | 2021-04-22 | 株式会社Ｎｔｔドコモ | 端末及び無線通信方法 |
| JP2021076949A (ja) * | 2019-11-06 | 2021-05-20 | 三菱電機株式会社 | 車両用制御装置 |
| JP2021157338A (ja) * | 2020-03-25 | 2021-10-07 | トヨタ自動車株式会社 | 車両制御システム、攻撃判定方法及びプログラム |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN112277843B (zh) * | 2020-09-21 | 2022-04-01 | 江铃汽车股份有限公司 | 一种汽车雷达的配置方法及系统 |
| JP7217767B2 (ja) * | 2021-03-19 | 2023-02-03 | 本田技研工業株式会社 | 更新管理サーバ、更新管理方法、及びプログラム |
Citations (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102893574A (zh) * | 2010-02-22 | 2013-01-23 | 大陆汽车有限责任公司 | 防止攻击联网车辆的系统和方法 |
| JP2014146868A (ja) * | 2013-01-28 | 2014-08-14 | Hitachi Automotive Systems Ltd | ネットワーク装置およびデータ送受信システム |
| JP2015214169A (ja) * | 2014-05-07 | 2015-12-03 | 日立オートモティブシステムズ株式会社 | 検査装置、検査システム及び検査方法 |
| JP2016134914A (ja) * | 2015-01-20 | 2016-07-25 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ | 不正検知ルール更新方法、不正検知電子制御ユニット及び車載ネットワークシステム |
| JP2017050845A (ja) * | 2015-08-31 | 2017-03-09 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ | ゲートウェイ装置、車載ネットワークシステム及び通信方法 |
| US20170093866A1 (en) * | 2015-09-25 | 2017-03-30 | Argus Cyber Security Ltd. | System and method for controlling access to an in-vehicle communication network |
| JP2017094869A (ja) * | 2015-11-20 | 2017-06-01 | 本田技研工業株式会社 | 通信システム、及び制御装置 |
| JP2017111796A (ja) * | 2015-12-16 | 2017-06-22 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ | セキュリティ処理方法及びサーバ |
| JP6270965B1 (ja) * | 2016-11-16 | 2018-01-31 | 三菱電機株式会社 | プログラムの更新制御システムおよびプログラムの更新制御方法 |
Family Cites Families (22)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8155829B2 (en) * | 2007-11-21 | 2012-04-10 | Denso Corporation | Common control apparatus and vehicle control system |
| EP2403186B1 (en) * | 2010-07-02 | 2017-12-27 | Vodafone IP Licensing limited | Telecommunication networks |
| JP5479408B2 (ja) * | 2011-07-06 | 2014-04-23 | 日立オートモティブシステムズ株式会社 | 車載ネットワークシステム |
| JP2013103611A (ja) | 2011-11-14 | 2013-05-30 | Denso Corp | 車載中継装置及び外部通信装置 |
| US9282110B2 (en) * | 2013-11-27 | 2016-03-08 | Cisco Technology, Inc. | Cloud-assisted threat defense for connected vehicles |
| JP6201962B2 (ja) | 2014-11-06 | 2017-09-27 | トヨタ自動車株式会社 | 車載通信システム |
| US10185547B2 (en) * | 2015-06-26 | 2019-01-22 | Intel Corporation | Techniques for distributed operation of secure controllers |
| EP3407050A4 (en) * | 2016-01-19 | 2019-08-21 | IUCF-HYU (Industry-University Cooperation Foundation Hanyang University) | NETWORK DEVICE FOR VEHICLE SAFETY AND METHOD FOR CONTROLLING THEREOF |
| US11044260B2 (en) * | 2016-04-01 | 2021-06-22 | The Regents Of The University Of Michigan | Fingerprinting electronic control units for vehicle intrusion detection |
| EP3521124A4 (en) * | 2016-09-30 | 2020-06-17 | Pioneer Corporation | VEHICLE MOUNTED DEVICE, CONTROL METHOD AND PROGRAM |
| EP3554015B1 (en) * | 2016-12-06 | 2020-12-30 | Panasonic Intellectual Property Corporation of America | Information processing method, information processng system, and program |
| US11055615B2 (en) * | 2016-12-07 | 2021-07-06 | Arilou Information Security Technologies Ltd. | System and method for using signal waveform analysis for detecting a change in a wired network |
| JP6696417B2 (ja) * | 2016-12-20 | 2020-05-20 | 株式会社オートネットワーク技術研究所 | 車載更新装置、更新システム及び可搬型通信器 |
| US10496398B2 (en) * | 2017-07-25 | 2019-12-03 | Aurora Labs Ltd. | Hot updates to ECU software using tool chain |
| US20200228988A1 (en) * | 2017-09-29 | 2020-07-16 | Lg Electronics Inc. | V2x communication device and method for inspecting forgery/falsification of key thereof |
| KR102506931B1 (ko) * | 2018-02-27 | 2023-03-07 | 현대자동차 주식회사 | 전자화 장비 보안 검사 시스템 및 그 방법 |
| US11321462B2 (en) * | 2018-04-10 | 2022-05-03 | Raytheon Company | Device behavior anomaly detection |
| JP6964277B2 (ja) * | 2018-03-30 | 2021-11-10 | パナソニックＩｐマネジメント株式会社 | 通信遮断システム、通信遮断方法及びプログラム |
| DE102018212657A1 (de) * | 2018-07-30 | 2020-01-30 | Robert Bosch Gmbh | Verfahren und Vorrichtung zum Erkennen von Unregelmäßigkeiten in einem Rechnernetz |
| JP6995726B2 (ja) * | 2018-09-26 | 2022-01-17 | フォルシアクラリオン・エレクトロニクス株式会社 | 脆弱性評価装置、脆弱性評価システム及びその方法 |
| US11019084B2 (en) * | 2018-12-14 | 2021-05-25 | Intel Corporation | Controller, a context broadcaster and an alert processing device |
| US11423145B2 (en) * | 2019-12-26 | 2022-08-23 | Intel Corporation | Methods and arrangements for multi-layer in-vehicle network intrusion detection and characterization |
-
2018
- 2018-04-27 JP JP2018086066A patent/JP6552674B1/ja active Active
-
2019
- 2019-01-22 US US16/253,441 patent/US11126730B2/en active Active
- 2019-04-18 DE DE102019205700.4A patent/DE102019205700B4/de active Active
Patent Citations (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102893574A (zh) * | 2010-02-22 | 2013-01-23 | 大陆汽车有限责任公司 | 防止攻击联网车辆的系统和方法 |
| JP2014146868A (ja) * | 2013-01-28 | 2014-08-14 | Hitachi Automotive Systems Ltd | ネットワーク装置およびデータ送受信システム |
| JP2015214169A (ja) * | 2014-05-07 | 2015-12-03 | 日立オートモティブシステムズ株式会社 | 検査装置、検査システム及び検査方法 |
| JP2016134914A (ja) * | 2015-01-20 | 2016-07-25 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ | 不正検知ルール更新方法、不正検知電子制御ユニット及び車載ネットワークシステム |
| JP2017050845A (ja) * | 2015-08-31 | 2017-03-09 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ | ゲートウェイ装置、車載ネットワークシステム及び通信方法 |
| US20170093866A1 (en) * | 2015-09-25 | 2017-03-30 | Argus Cyber Security Ltd. | System and method for controlling access to an in-vehicle communication network |
| JP2017094869A (ja) * | 2015-11-20 | 2017-06-01 | 本田技研工業株式会社 | 通信システム、及び制御装置 |
| JP2017111796A (ja) * | 2015-12-16 | 2017-06-22 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ | セキュリティ処理方法及びサーバ |
| JP6270965B1 (ja) * | 2016-11-16 | 2018-01-31 | 三菱電機株式会社 | プログラムの更新制御システムおよびプログラムの更新制御方法 |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2021060778A (ja) * | 2019-10-07 | 2021-04-15 | 三菱電機株式会社 | 制御装置および制御方法 |
| WO2021075339A1 (ja) | 2019-10-18 | 2021-04-22 | 株式会社Ｎｔｔドコモ | 端末及び無線通信方法 |
| JP2021076949A (ja) * | 2019-11-06 | 2021-05-20 | 三菱電機株式会社 | 車両用制御装置 |
| JP2021157338A (ja) * | 2020-03-25 | 2021-10-07 | トヨタ自動車株式会社 | 車両制御システム、攻撃判定方法及びプログラム |
| JP7283427B2 (ja) | 2020-03-25 | 2023-05-30 | トヨタ自動車株式会社 | 車両制御システム、攻撃判定方法及びプログラム |
| US11713058B2 (en) | 2020-03-25 | 2023-08-01 | Toyota Jidosha Kabushiki Kaisha | Vehicle control system, attack judging method, and recording medium on which program is recorded |
Also Published As
| Publication number | Publication date |
|---|---|
| US11126730B2 (en) | 2021-09-21 |
| JP6552674B1 (ja) | 2019-07-31 |
| DE102019205700A1 (de) | 2019-10-31 |
| US20190332778A1 (en) | 2019-10-31 |
| DE102019205700B4 (de) | 2023-11-16 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP6552674B1 (ja) | 検査システム | |
| US11380197B2 (en) | Data analysis apparatus | |
| JP7139257B2 (ja) | 車両セキュリティ監視装置、方法及びプログラム | |
| US8060285B2 (en) | System and method of intelligent agent management using an overseer agent for use in vehicle diagnostics | |
| BR112012006981A2 (pt) | métodos para monitorar operação de um veículo e para detectar impactos em um veículo | |
| US11178164B2 (en) | Data analysis apparatus | |
| KR20180105850A (ko) | 차량 고장 진단 시스템 및 그 진단방법 | |
| KR20200020003A (ko) | 자동차 운전자 보조 시스템에 관련된 방법 | |
| US11292480B2 (en) | Remote safe driving methods and systems | |
| WO2020075809A1 (ja) | 情報処理装置、データ分析方法及びプログラム | |
| CN110325410B (zh) | 数据分析装置及存储介质 | |
| US20210150830A1 (en) | Center device, identification result display system for vehicle state, non-transitory tangible computer readable storage medium, and identification result transmission method for vehicle state | |
| Moukahal et al. | Security vulnerability metrics for connected vehicles | |
| KR20150112049A (ko) | 모바일 기기를 이용한 전기자동차 긴급구난 시스템 | |
| US11763609B2 (en) | Predictive maintenance and diagnostics using modular condition monitoring | |
| US10325423B1 (en) | Method and system for validating states of components of vehicle | |
| JP5682388B2 (ja) | 障害診断方法及び障害診断システム | |
| JP6483461B2 (ja) | 管理方法、管理プログラム、管理装置、管理システムおよび情報処理方法 | |
| US20230153765A1 (en) | Maintenance system | |
| Zhang | Distributed Fault Diagnosis of Interconnected Nonlinear Uncertain Systems | |
| Azzoni et al. | Applying SHIELD in New Domains | |
| CN117991750A (zh) | 基于数据采集分析的车载网络总线信息传输车管系统及方法 | |
| JP2021165891A (ja) | 車両管理システム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20180427 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20190522 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20190604 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20190702 |
|
| R151 | Written notification of patent or utility model registration |
Ref document number: 6552674 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R151 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |