JP6388629B2

JP6388629B2 - 車載制御装置、ゲートウェイ装置、および、車載ネットワークシステム

Info

Publication number: JP6388629B2
Application number: JP2016221379A
Authority: JP
Inventors: 修一郎千田
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2016-11-14
Filing date: 2016-11-14
Publication date: 2018-09-12
Anticipated expiration: 2036-11-14
Also published as: JP2018079720A

Description

本発明は、異常を検出した場合に障害解析に用いるログを記憶するための、車載制御装置、ゲートウェイ装置、および、車載ネットワークシステムに関する。

従来、電子システムにおいて、障害が発生した場合に、原因解析が容易にできるように、ログを保存する方法が知られている。

例えば、特許文献１では、障害解析対象の端末において、操作に関する情報及び通信情報を履歴情報として保存する。この履歴情報が、ログである。そうして、解析用端末において、それらのログを取得して、当該ログに基づいて障害解析対象の端末の動作を再現する。これにより、端末に障害が発生した場合において、障害の原因解析を容易に行うことができる。

また、特許文献２では、ログのデータサイズを圧縮することが提案されている。特許文献２では、ログのデータサイズを圧縮するために、ログを１行ずつ比較して、それらの差分データを生成している。

特開２００９−０９８８９６号公報特許第５４３０３７０号公報

しかしながら、車載制御装置は、一般的にログを記憶するためのメモリの容量が小さいため、特許文献１及び特許文献２の方法を車載制御装置に適用した場合、十分なログを記憶することができないという問題点があった。

特許文献１では、障害解析対象の端末として、ＰＯＳ（Point Of Sales）端末、ＡＴＭ（Automated Teller Machine）端末、自動販売機、プラントなどを想定しているため、ログを記憶するためのメモリの容量が十分に大きいことが推定される。従って、特許文献１の方法を、そのまま車載制御装置に適用すると、メモリの容量が不足して、ログを十分に記憶することができない可能性があった。

また、特許文献２では、障害解析対象の端末として、機器、システムなどを想定している。しかしながら、特許文献２の差分データを生成する方法では、ログの内容によって圧縮率が変動するため、期待する圧縮率が得られない。そのため、特許文献２の方法を車載制御装置に適用した場合、ログを十分に記憶することができない可能性があった。

本発明は、かかる問題点を解決するためになされたものであり、車載制御装置の記憶容量を増やすことなく、車載制御装置の障害解析に必要なログを記憶することを可能にする、車載制御装置、ゲートウェイ装置、および、車載ネットワークシステムを得ることを目的とする。

本発明は、ネットワークを介して相互に通信する車載制御装置とゲートウェイ装置とを備え、前記車載制御装置の障害解析に用いるログを前記車載制御装置と前記ゲートウェイ装置とで分散して記憶する、車載ネットワークシステムであって、前記車載制御装置は、車載デバイスに接続され、前記車載デバイスとの間でデータの入出力を行うデバイス入出力部と、前記ネットワークに接続され、前記ゲートウェイ装置及び他の車載制御装置との間でデータの送受信を行う第１の車内通信部と、一時的にデータを記憶する第１のデータバッファ部と、前記デバイス入出力部を介して入出力した前記車載デバイスのセンサデータ及び制御データをデバイス入出力ログとし、前記車載制御装置のステータスデータ及び内部状態データを内部状態ログとして、一時的に、前記第１のデータバッファ部に記憶する第１のバッファ制御部と、前記センサデータ及び前記制御データ、および、前記ステータスデータ及び前記内部状態データに基づいて、前記車載制御装置の異常の有無を判定する異常検出部と、前記異常検出部が前記異常を検出した場合に、前記第１の車内通信部を介して、前記ゲートウェイ装置に対して、トリガメッセージを送信するトリガ通知部と、前記デバイス入出力ログ及び前記内部状態ログに対する予め設定された優先度の値を記憶した優先度テーブルを保持する優先度テーブル部と、前記デバイス入出力ログ及び前記内部状態ログのデータの取得間隔とデータサイズとに基づいて、前記デバイス入出力ログ及び前記内部状態ログのデータのデータレートを計算するデータレート計算部と、予め設定された利用可能帯域情報を有し、前記第１の車内通信部を介して前記ゲートウェイ装置から前記ネットワークのネットワーク負荷を含むトリガ応答メッセージを受信したときに、前記利用可能帯域情報と前記ネットワーク負荷とに基づいて余剰ネットワーク帯域を求め、前記データレートと前記優先度と前記余剰ネットワーク帯域とに基づいて、前記ゲートウェイ装置に送信する前記デバイス入出力ログ及び前記内部状態ログを前記第１のデータバッファ部から選択して取得して前記ゲートウェイ装置に送信するログ送信制御部とを備え、前記ゲートウェイ装置は、前記ネットワークに接続され、前記車載制御装置との間でデータの送受信を行う第２の車内通信部と、一時的にデータを記憶する第２のデータバッファ部と、前記第２の車内通信部を介して取得した送受信通信データを、通信ログとして、一時的に前記第２のデータバッファ部に記憶する第２のバッファ制御部と、前記第２の車内通信部を介して取得した前記送受信通信データのデータサイズと受信間隔とから前記ネットワークの前記ネットワーク負荷を計算する負荷計算部と、前記車載制御装置の前記トリガ通知部から前記第２の車内通信部を介して前記トリガメッセージを受信したときに、前記負荷計算部が計算した前記ネットワーク負荷を含むトリガ応答メッセージを生成して、前記第２の車内通信部を介して、前記車載制御装置に送信するトリガ制御部と、前記車載制御装置の障害解析に用いるための前記ログを記憶するログ蓄積部と、前記車載制御装置の前記トリガ通知部から前記第２の車内通信部を介して前記トリガメッセージを受信したときに、前記第２のデータバッファ部から前記通信ログを取得して前記ログ蓄積部に記憶させるとともに、前記車載制御装置の前記ログ送信制御部から前記第２の車内通信部を介して前記デバイス入出力ログ及び前記内部状態ログを受信したときに、受信した前記デバイス入出力ログ及び前記内部状態ログを前記ログ蓄積部に記憶するログ蓄積制御部とを備え、前記車載制御装置の障害解析に用いる前記ログは、前記デバイス入出力ログと前記内部状態ログと前記通信ログとを含み、通常時は、前記車載制御装置が前記デバイス入出力ログと前記内部状態ログとを前記第１のデータバッファ部に記憶し、前記ゲートウェイ装置が前記通信ログを前記第２のデータバッファ部に記憶し、前記異常の検出時は、前記車載制御装置が、前記第１のデータバッファ部から前記デバイス入出力ログと前記内部状態ログとを選択して前記ゲートウェイ装置に送信し、前記ゲートウェイ装置は、前記第２のデータバッファ部に記憶された前記通信ログと、前記車載制御装置から送信されてきた前記デバイス入出力ログと前記内部状態ログとを、前記ログ蓄積部に記憶する、車載ネットワークシステムである。

本発明の車載ネットワークシステムによれば、車載制御装置に異常が発生した場合に、車載制御装置の障害解析に必要なログをゲートウェイ装置のログ蓄積部に送信して保存するようにしたので、車両制御装置の記憶容量を増やすことなく、車載制御装置の障害解析に必要なログを記憶することができ、車載制御装置の障害解析を容易にすることができる。

本発明の実施の形態１に係る車載ネットワークの構成を示すブロック図である。本発明の実施の形態１に係る車載制御装置の構成を示すブロック図である。本発明の実施の形態１に係るゲートウェイ装置の構成を示すブロック図である。本発明の実施の形態１に係る車載制御装置の処理の流れを示すフローチャートである。本発明の実施の形態１に係るゲートウェイ装置の処理の流れを示すフローチャートである。本発明の実施の形態１に係る車載制御装置のハードウェア構成を示す構成図である。本発明の実施の形態１に係るゲートウェイ装置のハードウェア構成を示す構成図である。

以下、図面に基づいて、本発明の実施の形態に係る、車載制御装置、ゲートウェイ装置、および、車載ネットワークシステムについて説明する。なお、全ての図において、同一部分、または、相当する部分には、同一符号を付して示している。

実施の形態１．
図１は、本発明の実施の形態１に係る車載ネットワークシステムの構成を示すブロック図である。車載ネットワークシステムは、自動車、オートバイ、船舶などの、車両に搭載される。図２は、車載ネットワークシステムに設けられた車載制御装置の構成を示すブロック図であり、図３は、車載ネットワークシステムに設けられたゲートウェイ装置の構成を示すブロック図である。図１〜図３に基づいて、車載ネットワークシステムの構成について説明する。

図１に示すように、車載ネットワークシステムは、ゲートウェイ装置１０１と複数の車載制御装置１０２〜１０７とから構成されている。ゲートウェイ装置１０１と車載制御装置１０２〜１０７とは、ネットワーク１１１〜１１３を介して接続されている。例えば、図１の例では、車載制御装置１０２，１０３がネットワーク１１１に接続され、車載制御装置１０４，１０５がネットワーク１１２に接続され、車載制御装置１０６，１０７がネットワーク１１３に接続されている。このように、車載ネットワークシステムにおいては、１以上のネットワークが設けられ、各ネットワークに対して１以上の車載制御装置が接続されている。

ゲートウェイ装置１０１は、予め設定された転送情報に従って、ゲートウェイ装置１０１に接続されているネットワーク１１１〜１１３間で、通信データの中継を行う装置である。

車載制御装置１０２〜１０７は、図２に示すように、センサ１２１及びアクチュエータ１２２に接続されている。各車載制御装置１０２〜１０７は、それぞれ、１つのアクチュエータに接続される。但し、車載制御装置１０２〜１０７のそれぞれに接続されるセンサの個数は１以上であってよい。各車載制御装置１０２〜１０７は、それらのセンサから取得した情報またはネットワークから取得した情報に基づいて、アクチュエータを制御する。

ネットワーク１１１〜１１３は、バス型のネットワークから構成されている。従って、各ネットワーク１１１〜１１３においては、それらの各ネットワーク１１１〜１１３に接続している装置間が相互に通信可能である。例えば、図１の例では、車載制御装置１０２，１０３がネットワーク１１１を介して相互に通信が可能で、車載制御装置１０４，１０５がネットワーク１１２を介して相互に通信が可能である。

図２は、本実施の形態に係る車載制御装置１０２の構成を示すブロック図である。本実施の形態においては、図１に示す車載制御装置１０２〜１０７のうち、車載制御装置１０２を障害監視対象の機器とした場合を例に挙げて、以下の説明を行う。なお、車載制御装置１０３〜１０７が障害監視対象の場合も、図２に示す構成及び動作と同様でよいため、ここでは、その説明を省略する。

車載制御装置１０２は、図１に示すように、ネットワーク１１１に接続されている。また、車載制御装置１０２は、図２に示すように、車内通信部２０１、デバイス入出力部２０２、トリガ通知部２０３、異常検出部２０４、バッファ制御部２０５、データレート計算部２０６、ログ送信制御部２０７、カウンタ部２０８、データバッファ部２０９、データレート記録部２１０、及び、優先度テーブル部２１１を備えている。以下、これらの各部について説明する。

車内通信部２０１は、ネットワーク１１１に接続されている。車内通信部２０１は、ネットワーク１１１を介して、ゲートウェイ装置１０１及び他の車載制御装置１０３〜１０７との間で、データを送受信するためのインターフェースとして機能する回路である。

デバイス入出力部２０２は、車両に搭載された、センサ、アクチュエータなどの周辺デバイスに接続されている。デバイス入出力部２０２は、それらの周辺デバイスに車載制御装置１０２を接続するためのインターフェースとして機能する回路である。

トリガ通知部２０３は、後述する異常検出部２０４が異常を検出したときに、異常の種類を示すＩＤとトリガ発生の相対時刻とを含むトリガメッセージを生成して、車内通信部２０１を介して、ゲートウェイ装置１０１に送信する。

異常検出部２０４は、デバイス入出力部２０２を介して、センサ１２１からのセンサデータ（以下、センサデータとする）、アクチュエータ１２２からのアクチュエータの制御データ（以下、アクチュエータの制御データとする）を取得する。また、異常検出部２０４は、車載制御装置１０２のステータスデータ及び内部状態データを取得する。ここでステータスデータは車載制御装置が有するセンサ、アクチュエータ、通信トランシーバ、ＣＰＵなどの状態を表すデータである。内部状態データは車載制御装置が有するソフトウェアの状態遷移やフラグなどのデータである。そうして、異常検出部２０４は、センサデータ、アクチュエータの制御データ、ステータスデータ、内部状態データなどの各種データのうちの少なくとも１以上のデータに基づいて、意図しない動作があるか否かを判定する。意図しない動作があれば、それを検出して、異常として出力する。意図しない動作の検出方法、すなわち、異常の検出方法は、例えば、上記各種データの各々に対して予め正常値の範囲を設定しておき、データの値が正常値の範囲を逸脱した場合に、異常が有ると判定する。あるいは、データが取得できない場合に、異常があると判定する。あるいは、他の方法により、異常を検出するようにしてもよい。

バッファ制御部２０５は、デバイス入出力部２０２を介して、センサデータ及びアクチュエータの制御データを取得する。さらに、バッファ制御部２０５は、ステータスデータ及び内部状態データを取得する。そうして、バッファ制御部２０５は、センサデータ及びアクチュエータの制御データを「デバイス入出力ログ」として、ステータスデータ及び内部状態データを「内部状態ログ」として、データバッファ部２０９に記憶する。バッファ制御部２０５は、異常検出部２０４による異常の有無に関わらず、常に、デバイス入出力ログおよび内部状態ログの記憶処理を一定周期で継続して行う。なお、デバイス入出力ログと内部状態ログとは、それぞれ、当該ログを構成するデータを取得した時刻を示すデータ取得の相対時刻、データの種類を示すＩＤ、データの内容からなる。データ取得の相対時刻は、バッファ制御部２０５が、後述するカウンタ部２０８から取得する。

データレート計算部２０６は、センサデータ、アクチュエータの制御データ、ステータスデータ、内部状態データなどの各種データを取得して、データごとに、データの取得間隔とデータサイズとからデータレートを計算して、データレート記録部２１０に記憶する。データレートは時間あたりに取得する各種データのサイズである。例えば、周期的に予め規定した時間の間で取得したデータの合計サイズを予め規定した時間で割ることで算出する。

ログ送信制御部２０７は、予め設定された利用可能帯域を示す利用可能帯域情報を保持している。異常検出部２０４が異常を検知してトリガ通知部２０３がトリガメッセージを送信したときに、ログ送信制御部２０７は、ゲートウェイ装置１０１から車内通信部２０１を介して当該トリガメッセージに対するトリガ応答メッセージを受信し、その中から、ネットワーク１１１のネットワーク負荷情報を取得する。そうして、ログ送信制御部２０７は、利用可能帯域情報とネットワーク負荷情報との差である余剰ネットワーク帯域を求める。余剰ネットワーク帯域は、ゲートウェイ装置１０１に対するログの送信に利用可能なネットワーク帯域を示す。そうして、ログ送信制御部２０７は、余剰ネットワーク帯域と、後述するデータレート記録部２１０から取得したログのデータレートと、後述する優先度テーブル部２１１から取得したログの優先度とに基づいて、ゲートウェイ装置１０１に送信すべきログを選択して、ログメッセージを生成して送信する。ログメッセージには、データ取得の相対時刻と、ログの種類を示すＩＤと、ログのデータとが含まれる。なお、ログの選択の際には、例えば、ログのデータレートに基づいて、余剰ネットワーク帯域を超えないように、優先度の高い順にログを選択する。

カウンタ部２０８は、車載制御装置１０２の起動時から一定時間（例えば1ミリ秒）ごとに、カウントアップするソフトウェアタイマから構成されている。従って、カウンタ部２０８は、車載制御装置１０２の起動時を起点とする相対時刻をカウンタ値として保持している。

データバッファ部２０９は、車載制御装置１０２内で取得したログを一時的に記憶しておく記憶素子である。記憶するログの種類は、上述した「デバイス入出力ログ」および「内部状態ログ」であり、各ログは、データ取得の相対時刻、ログの種類を示すＩＤ、データサイズ、及び、データの内容からなる。データバッファ部２０９の記憶形式は、例えばリングバッファの構造になっており、古いログを順次削除しながら、新しいログを記憶する。

データレート記録部２１０は、データレートを保持する記憶素子から構成されている。データレート記録部２１０は、上述した「デバイス入出力ログ」および「内部状態ログ」の各種ログを構成するデータごとに、データレート計算部２０６が計算したデータレートを記憶する。すなわち、データレート記録部２１０は、センサデータ、アクチュエータの制御データ、ステータスデータ、内部状態データなどのデータごとに、データレート計算部２０６が計算したデータレートを記憶する。

優先度テーブル部２１１は、それぞれの種類のログの優先度が設定された優先度テーブルを保持する記憶素子である。優先度テーブルには、ログの種類を示すＩＤと当該ログの優先度を示す数値とが対応付けられて記憶されている。従って、優先度テーブル部２１１が保持する優先度テーブルを参照すれば、各ログごとの優先度を取得することができる。なお、優先度は、ログごとではなく、ログを構成するデータごとに設定してもよい。すなわち、優先度テーブルに、データの種類を示すＩＤと当該データの優先度を示す数値とを対応付けて記憶するようにしてもよい。

車載制御装置１０２は、以上のように構成され、通常時は、デバイス入出力ログと内部状態ログとをデータバッファ部２０９に一時記憶する。また、異常検出部２０４が異常を検出した場合には、車載制御装置１０２は、ログのデータレートと余剰ネットワーク帯域とログの優先度とに基づいて、データバッファ部２０９の中から、優先度が高く、且つ、ゲートウェイ装置１０１に送信可能な分量のデバイス入出力ログと内部状態ログとを選択して、ゲートウェイ装置１０１に送信する。

図３は、本実施の形態に係るゲートウェイ装置１０１の構成を示すブロック図である。ゲートウェイ装置１０１は、図３に示すように、計時部３０１、ログ蓄積制御部３０２、ログ蓄積部３０３、トリガ制御部３０４、負荷計算部３０５、車内通信部３０６、バッファ制御部３０７、および、データバッファ部３０８を備えている。以下、これらの各部について説明する。

計時部３０１は、例えば、ＵＴＣ（Universal Time, Coordinated、協定世界時）などの絶対時刻を計測する回路である。

ログ蓄積制御部３０２は、車内通信部３０６が車載制御装置１０２〜１０７から車内通信部２０１を通して異常を検知したことを示すトリガメッセージを受信した場合に、データバッファ部３０８から、予め設定された規定時間だけ遡った分の「通信ログ」を取得して、ログ蓄積部３０３に保存する。また、ログ蓄積制御部３０２は、車内通信部３０６を介して、車載制御装置１０２〜１０７から、「デバイス入出力ログ」と「内部状態ログ」とをログメッセージとして受信したときに、ログ蓄積部３０３に記憶する。

ログ蓄積部３０３は、「通信ログ」、「トリガログ」、「内部状態ログ」、および、「デバイス入出力ログ」を蓄積する記憶素子である。「通信ログ」は、データ取得の相対時刻、メッセージの種類を示すＩＤ、送受信方向、および、データからなる。「トリガログ」は、トリガ発生の絶対時刻、トリガ発生の相対時刻、異常の種類を示すＩＤからなる。ログ蓄積部３０３は、車載制御装置１０２〜１０７が異常を検出した異常検出時に、「通信ログ」、「トリガログ」、「内部状態ログ」、および、「デバイス入出力ログ」を蓄積する。

トリガ制御部３０４は、車内通信部３０６が車載制御装置１０２〜１０７からトリガメッセージを受信したときに、当該トリガメッセージに対するトリガ応答メッセージを返信することで、車載制御装置１０２〜１０７に対して、ログ蓄積開始を要求する。トリガ応答メッセージには、トリガメッセージを受信したネットワークのネットワーク負荷情報が含まれる。ネットワーク負荷情報は、トリガ制御部３０４が、負荷計算部３０５から取得する。併せて、トリガ制御部３０４は、受信したトリガメッセージに含まれるデータ取得の相対時刻と異常の種類を示すＩＤとを取り出し、それらのデータに、計時部３０１から取得した絶対時刻をトリガ発生の絶対時刻として付加して、「トリガログ」としてログ蓄積部３０３に保存する。

負荷計算部３０５は、ゲートウェイ装置１０１が接続されたネットワーク１１１〜１１３ごとに、それらのネットワーク１１１〜１１３を介して受信したデータのデータサイズと受信間隔とからネットワーク負荷を計算する。

車内通信部３０６は、ネットワーク１１１〜１１３に接続されている。車内通信部３０６は、ネットワーク１１１〜１１３を介して、車載制御装置１０２〜１０７との間で、データを送受信するためのインターフェースとして機能する回路である。

バッファ制御部３０７は、車内通信部３０６から取得した送受信通信データを取得し、「通信ログ」として、データバッファ部３０８に記憶する。通信ログは、データ取得の相対時刻、メッセージの種類を示すＩＤ、送受信方向、データの内容からなる。

データバッファ部３０８は、ゲートウェイ装置１０１内で取得したログを一時的に記憶しておく記憶素子である。記憶するログの種類は「通信ログ」のみである。「通信ログ」は、データ取得の相対時刻、メッセージの種類を示すＩＤ、送受信方向、および、データからなる。データバッファ部３０８の記憶形式は、例えばリングバッファの構造になっており、古いログを順次削除しながら、新しいログを記憶する。

ゲートウェイ装置１０１は、上記のように構成され、通常時は、通信ログをデータバッファ部３０８に一時記憶する。また、異常検出時には、ゲートウェイ装置１０１は、通信ログとトリガログとともに、車載制御装置１０２〜１０７から受信したデバイス入出力ログと内部状態ログとを、ログ蓄積部３０３に蓄積する。

図４は、本実施の形態に係る車載制御装置１０２が、異常を検出してプロセスログをゲートウェイ装置１０１に転送するまでの流れを示すフローチャートである。以下、図２及び図４に基づき、車載制御装置１０２の動作について説明する。

まず、ステップＳ４０１で、データレート計算部２０６が、センサデータ、アクチュエータの制御データ、ステータスレジスタ、内部状態データなどの各種データを取得し、取得したデータの種別ごとに、データの取得間隔とデータサイズとからデータレートを計算する。

次に、ステップＳ４０２で、バッファ制御部２０５が、センサデータ、アクチュエータの制御データ、ステータスデータ、内部状態データなどの各種データを取得し、当該各種データをデータバッファ部２０９に記憶する。具体的には、センサデータ及びアクチュエータの制御データを「デバイス入出力ログ」として、ステータスデータ及び内部状態データを「内部状態ログ」として、データバッファ部２０９に記憶する。なお、データバッファ部２０９は、例えばリングバッファの構造をしており、バッファがフルになった場合は、古いデータを削除して新しいデータを記憶する。

次に、ステップＳ４０３で、異常検出部２０４が、センサデータ、アクチュエータの制御データ、ステータスデータ、内部状態データなどの各種データに基づいて、異常の有無を判定し、異常が有ると判定した場合には（Ｓ４０３でＹｅｓ）、トリガ通知部２０３に異常の種類を示すＩＤを通知し、ステップＳ４０４に進む。ステップＳ４０３における異常の検出方法は、例えば、上記各種データの各々に対して予め正常値の範囲を設定しておき、データの値が正常値の範囲を逸脱した場合に、異常が有ると判定する。あるいは、データが取得できない場合に、異常があると判定する。あるいは、他の方法により、異常を検出するようにしてもよい。また、異常の種類としては、例えば、（１）デバイス入出力部２０２を介して接続されているセンサ１２１またはアクチュエータ１２２が動作しない、（２）取得したデータが予め設定した正常値の範囲を逸脱している、などであり、これらに限らず、他の種類も異常として定義してよい。

一方、ステップＳ４０３の判定で、異常が無いと判定された場合（Ｓ４０３でＮｏ）は、ステップＳ４０１に戻り、ステップＳ４０１とステップＳ４０２の処理を繰り返し実行する。

ステップＳ４０４では、トリガ通知部２０３が、カウンタ部２０８からトリガ発生の相対時刻としてカウンタ値を取得する。そうして、トリガ通知部２０３は、当該カウンタ値と、異常検出部２０４から受信した異常の種類を表すＩＤとを用いて、トリガメッセージを生成して、車内通信部２０１を介して、ゲートウェイ装置１０１に送信する。トリガメッセージには、トリガ発生の相対時刻と、異常の種類を示すＩＤとが含まれる。

次に、ステップＳ４０５で、上記のステップＳ４０２と同様に、バッファ制御部２０５が、センサデータ、アクチュエータの制御データ、ステータスデータ、内部状態データなどの各種データを取得し、データバッファ部２０９に記憶する処理を継続する。

次に、ステップＳ４０６で、ログ送信制御部２０７が、ゲートウェイ装置１０１から、車内通信部２０１を介して、トリガ応答メッセージを受信したか否かを確認する。トリガ応答メッセージには、車載制御装置１０２が接続されているネットワーク１１１のネットワーク負荷情報が含まれる。トリガ応答メッセージを受信したら（Ｓ４０６のＹｅｓ）、ステップＳ４０７に進む。一方、トリガ応答メッセージを受信していない場合（Ｓ４０６のＮｏ）、ステップＳ４０５の処理に戻る。

ステップＳ４０７では、ログ送信制御部２０７が、予め保持している利用可能帯域情報と現在のネットワーク負荷情報との差である余剰ネットワーク帯域と、データレート記録部２１０から取得したログのデータレートと、優先度テーブル部２１１から取得したログの優先度とに基づいて、送信すべきログを選択する。例えば、余剰ネットワーク帯域を越えない範囲で優先度の高いログを、送信すべきログとして選択する。送信すべきログには、デバイス入出力ログと内部状態ログとが含まれる。

次に、ステップＳ４０８で、ログ送信制御部２０７が、ステップＳ４０７で選択したデバイス入出力ログと内部状態ログをデータバッファ部２０９から取得して、車内通信部２０１を介して、ログメッセージとして、ゲートウェイ装置１０１に送信する。

次に、ステップＳ４０９で、ログ送信制御部２０７が、ステップＳ４０８のログの送信処理が完了したか否かを判定する。判定方法としては、例えば、予め設定された時間分のログの送信が終了したら、ログの送信処理は完了と判定する。ステップＳ４０９で、ログの送信処理が完了していると判定された場合（Ｓ４０９のＹｅｓ）、図４のフローを終了する。そうでなければ（Ｓ４０９のＮｏ）、ステップＳ４０５の処理に戻る。

図５は、本実施の形態に係るゲートウェイ装置１０１が通信ログを記憶しつつ、車載制御装置１０２から異常を示すトリガを受信することで、通信ログとデバイス入出力ログと内部状態ログとトリガログとを、ログ蓄積部３０３に保存するまでの流れを示したものである。なお、他の車載制御装置１０３〜１０７の場合も、車載制御装置１０２と同じであるため、ここでは、その説明を省略する。以下、図３及び図５を用いて、ゲートウェイ装置１０１の動作について説明する。

まず、ゲートウェイ装置１０１は、ステップＳ５０１で、車内通信部３０６が何らかのメッセージを受信したか否かを確認する。何らかのメッセージを受信したら（Ｓ５０１のＹｅｓ）、ステップＳ５０２に進む。メッセージの受信が無ければ（Ｓ５０１のＮｏ）、メッセージを受信するまで待機する。

ステップＳ５０２では、車内通信部３０６が受信したメッセージが、車載制御装置１０２からのトリガメッセージか否かを確認する。受信したメッセージが、トリガメッセージだった場合には（Ｓ５０２のＹｅｓ）、ステップＳ５０５に進む。受信したメッセージが、それ以外のメッセージの場合（Ｓ５０２のＮｏ）、ステップＳ５０３に進む。

ステップＳ５０３では、負荷計算部３０５が、車内通信部３０６が受信したメッセージのデータサイズと受信間隔とに基づいて、ネットワーク１１１のネットワーク負荷を計算する。

次に、ステップＳ５０４で、バッファ制御部３０７が、車内通信部３０６から、車内通信部３０６が送受信した送受信通信データを取得し、データバッファ部３０８に「通信ログ」として記憶する。データバッファ部３０８は、例えばリングバッファの構造をしており、バッファがフルになった場合は古いデータを削除して新しいデータを記憶する。そうして、ステップＳ５０１に戻り、処理を継続する。

一方、ステップＳ５０５では、トリガ制御部３０４が、ステップＳ５０１で受信したトリガメッセージに返信するために、負荷計算部３０５からネットワーク１１１のネットワーク負荷情報を取得して、トリガ応答メッセージを生成する。トリガ応答メッセージには、ネットワーク１１１のネットワーク負荷情報が含まれる。トリガ制御部３０４は、そうして生成したトリガ応答メッセージを、車内通信部３０６を介して、車載制御装置１０２に送信する。併せて、トリガ制御部３０４は、ステップＳ５０１で受信したトリガメッセージに含まれるトリガ発生の相対時刻と異常の種類を示すＩＤとを取り出し、それらのデータに、計時部３０１から取得した絶対時刻をトリガ発生の絶対時刻として付加して、「トリガログ」としてログ蓄積部３０３に保存する。

次に、ステップＳ５０６では、ログ蓄積制御部３０２が、データバッファ部３０８から予め設定された時間だけ遡った分の通信ログを取得して、ログ蓄積部３０３に保存する。

次に、ステップＳ５０７では、車内通信部３０６が、メッセージを送受信したか否かを確認する。メッセージを送受信していた場合（Ｓ５０７のＹｅｓ）は、ステップＳ５０８に進む。一方、メッセージの送受信がなければ（Ｓ５０７のＮｏ）、メッセージを送受信するまで待機する。

ステップＳ５０８では、車内通信部３０６が、ステップＳ５０７で受信したメッセージがログメッセージか否かを確認する。なお、ログメッセージには、上述したように、デバイス入出力ログと内部状態ログとが含まれる。ログメッセージであれば（Ｓ５０８のＹｅｓ）、ステップＳ５１０に進む。一方、ログメッセージ以外であれば（Ｓ５０８のＮｏ）、ステップＳ５０９に進む。

ステップＳ５０９では、車内通信部３０６がステップＳ５０７で送受信したデータを、バッファ制御部３０７が、データバッファ部３０８に、通信ログとして記憶する。

一方、ステップＳ５１０では、ログ蓄積制御部３０２が、ログメッセージに含まれるデバイス入出力ログと内部状態ログをログ蓄積部３０３に保存する。デバイス入出力ログと内部状態ログとは、それぞれ、データ取得の相対時刻、メッセージの種類を示すＩＤ、データからなる。

次に、ステップＳ５１１では、ログ蓄積制御部３０２が、トリガメッセージ受信から予め設定された時間分のログをログ蓄積部３０３に保存したら、完了と判定する（Ｓ５１１のＹｅｓ）。そうでなければ（Ｓ５１１のＮｏ）、ステップＳ５０７に戻り、処理を継続する。

図６は、本実施の形態に係る車載制御装置１０２のハードウェア構成の一例を示した図である。

図６に示すように、車載制御装置１０２のハードウェア構成としては、例えば、ポートＩＦ６０１、ＣＰＵ６０２、ＲＯＭ６０３、ＲＡＭ６０４、通信トランシーバ６０５から構成すればよい。
図６において、ポートＩＦ６０１は、センサ１２１及びアクチュエータ１２２と接続するための回路である。ポートＩＦ６０１は、図２のデバイス入出力部２０２として機能する。
図２における、トリガ通知部２０３、異常検出部２０４、データレート計算部２０６、バッファ制御部２０５、ログ送信制御部２０７、カウンタ部２０８は、ＲＯＭ６０３に記憶されたプログラムを実行するＣＰＵ６０２により実現される。
ＲＯＭ６０３は、上記プログラムを格納する記憶素子である。
ＲＡＭ６０４は、図２における、データバッファ部２０９及びデータレート記録部２１０として機能する記憶素子である。
通信トランシーバ６０５は、例えば、ＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）トランシーバから構成され、図２における車内通信部２０１として機能する。

図７は、本実施の形態に係るゲートウェイ装置１０１のハードウェア構成の一例を示した図である。

図７に示すように、ゲートウェイ装置１０１のハードウェア構成としては、例えば、不揮発性メモリ７０１、ＣＰＵ７０２、ＲＯＭ７０３、ＲＡＭ７０４、ＲＴＣ（ＲｅａｌＴｉｍｅＣｌｏｃｋ）７０５、通信トランシーバ７０６から構成すればよい。
図７において、不揮発性メモリ７０１は、例えば、フラッシュメモリから構成されており、図３におけるログ蓄積部３０３として機能する。
図３における、トリガ制御部３０４、負荷計算部３０５、バッファ制御部３０７、ログ蓄積制御部３０２は、ＲＯＭ７０３に記憶されたプログラムを実行するＣＰＵ７０２により実現される。
ＲＯＭ７０３は、上記プログラムを格納する記憶素子である。
ＲＡＭ７０４は、図３におけるデータバッファ部３０８として機能する記憶素子である。
ＲＴＣ７０５は、図３における計時部３０１として機能する回路である。
通信トランシーバ７０６は、例えば、ＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）トランシーバから構成され、図３における車内通信部３０６として機能する。

以上のように、本実施の形態によれば、通常時は、車載制御装置１０２がデバイス入出力ログと内部状態ログとをデータバッファ部２０９に記憶し、ゲートウェイ装置１０１が通信ログをデータバッファ部３０８に記憶する。一方、車載制御装置１０２が異常を検出した時は、車載制御装置１０２が、データバッファ部２０９からデバイス入出力ログと内部状態ログとを優先度順に選択してゲートウェイ装置１０１に送信し、ゲートウェイ装置１０１は、データバッファ部３０８に記憶された通信ログと、車載制御装置１０２から送信されてきたデバイス入出力ログと内部状態ログとを、ログ蓄積部３０３に記憶する。これにより、車載制御装置１０２の記憶容量を増やすことなく、通信ログやデバイス入出力ログや内部状態ログを保存でき、車載制御装置１０２の障害解析を容易にすることができる。

本発明は、車載制御装置に対する安全にかかわる障害やセキュリティ攻撃の原因解析に利用することができる。

１０１ゲートウェイ装置、１０２，１０３，１０４，１０５，１０６，１０７車載制御装置、１１１，１１２，１１３ネットワーク、２０１車内通信部、２０２デバイス入出力部、２０３トリガ通知部、２０４異常検出部、２０５バッファ制御部、２０６データレート計算部、２０７ログ送信制御部、２０８カウンタ部、２０９データバッファ部、２１０データレート記録部、２１１優先度テーブル部、３０１計時部、３０２ログ蓄積制御部、３０３ログ蓄積部、３０４トリガ制御部、３０５負荷計算部、３０６車内通信部、３０７バッファ制御部、３０８データバッファ部、６０１ポートＩＦ、６０２ＣＰＵ、６０３ＲＯＭ、６０４ＲＡＭ、６０５通信トランシーバ、７０１不揮発性メモリ、７０２ＣＰＵ、７０３ＲＯＭ、７０４ＲＡＭ、７０５ＲＴＣ、７０６通信トランシーバ。

Claims

ネットワークを介して相互に通信する車載制御装置とゲートウェイ装置とを備え、前記車載制御装置の障害解析に用いるログを前記車載制御装置と前記ゲートウェイ装置とで分散して記憶する、車載ネットワークシステムであって、
前記車載制御装置は、
車載デバイスに接続され、前記車載デバイスとの間でデータの入出力を行うデバイス入出力部と、
前記ネットワークに接続され、前記ゲートウェイ装置及び他の車載制御装置との間でデータの送受信を行う第１の車内通信部と、
一時的にデータを記憶する第１のデータバッファ部と、
前記デバイス入出力部を介して入出力した前記車載デバイスのセンサデータ及び制御データをデバイス入出力ログとし、前記車載制御装置のステータスデータ及び内部状態データを内部状態ログとして、一時的に、前記第１のデータバッファ部に記憶する第１のバッファ制御部と、
前記センサデータ及び前記制御データ、および、前記ステータスデータ及び前記内部状態データに基づいて、前記車載制御装置の異常の有無を判定する異常検出部と、
前記異常検出部が前記異常を検出した場合に、前記第１の車内通信部を介して、前記ゲートウェイ装置に対して、トリガメッセージを送信するトリガ通知部と、
前記デバイス入出力ログ及び前記内部状態ログに対する予め設定された優先度の値を記憶した優先度テーブルを保持する優先度テーブル部と、
前記デバイス入出力ログ及び前記内部状態ログのデータの取得間隔とデータサイズとに基づいて、前記デバイス入出力ログ及び前記内部状態ログのデータのデータレートを計算するデータレート計算部と、
予め設定された利用可能帯域情報を有し、前記第１の車内通信部を介して前記ゲートウェイ装置から前記ネットワークのネットワーク負荷を含むトリガ応答メッセージを受信したときに、前記利用可能帯域情報と前記ネットワーク負荷とに基づいて余剰ネットワーク帯域を求め、前記データレートと前記優先度と前記余剰ネットワーク帯域とに基づいて、前記ゲートウェイ装置に送信する前記デバイス入出力ログ及び前記内部状態ログを前記第１のデータバッファ部から選択して取得して前記ゲートウェイ装置に送信するログ送信制御部と
を備え、
前記ゲートウェイ装置は、
前記ネットワークに接続され、前記車載制御装置との間でデータの送受信を行う第２の車内通信部と、
一時的にデータを記憶する第２のデータバッファ部と、
前記第２の車内通信部を介して取得した送受信通信データを、通信ログとして、一時的に前記第２のデータバッファ部に記憶する第２のバッファ制御部と、
前記第２の車内通信部を介して取得した前記送受信通信データのデータサイズと受信間隔とから前記ネットワークの前記ネットワーク負荷を計算する負荷計算部と、
前記車載制御装置の前記トリガ通知部から前記第２の車内通信部を介して前記トリガメッセージを受信したときに、前記負荷計算部が計算した前記ネットワーク負荷を含むトリガ応答メッセージを生成して、前記第２の車内通信部を介して、前記車載制御装置に送信するトリガ制御部と、
前記車載制御装置の障害解析に用いるための前記ログを記憶するログ蓄積部と、
前記車載制御装置の前記トリガ通知部から前記第２の車内通信部を介して前記トリガメッセージを受信したときに、前記第２のデータバッファ部から前記通信ログを取得して前記ログ蓄積部に記憶させるとともに、前記車載制御装置の前記ログ送信制御部から前記第２の車内通信部を介して前記デバイス入出力ログ及び前記内部状態ログを受信したときに、受信した前記デバイス入出力ログ及び前記内部状態ログを前記ログ蓄積部に記憶するログ蓄積制御部と
を備え、
前記車載制御装置の障害解析に用いる前記ログは、前記デバイス入出力ログと前記内部状態ログと前記通信ログとを含み、
通常時は、前記車載制御装置が前記デバイス入出力ログと前記内部状態ログとを前記第１のデータバッファ部に記憶し、前記ゲートウェイ装置が前記通信ログを前記第２のデータバッファ部に記憶し、
前記異常の検出時は、前記車載制御装置が、前記第１のデータバッファ部から前記デバイス入出力ログと前記内部状態ログとを選択して前記ゲートウェイ装置に送信し、前記ゲートウェイ装置は、前記第２のデータバッファ部に記憶された前記通信ログと、前記車載制御装置から送信されてきた前記デバイス入出力ログと前記内部状態ログとを、前記ログ蓄積部に記憶する
車載ネットワークシステム。
前記ログ蓄積部は、不揮発性メモリから構成される、
請求項１に記載の車載ネットワークシステム。
車両内のネットワークに接続された車載制御装置であって、
車載デバイスに接続され、前記車載デバイスとの間でデータの入出力を行うデバイス入出力部と、
前記デバイス入出力部を介して入出力した前記車載デバイスのセンサデータ及び制御データをデバイス入出力ログとし、前記車載制御装置のステータスデータ及び内部状態データを内部状態ログとして、一時的に第１のデータバッファ部に記憶する第１のバッファ制御部と、
前記センサデータ及び前記制御データ、および、前記ステータスデータ及び前記内部状態データに基づいて、前記車載制御装置の異常の有無を判定する異常検出部と、
前記デバイス入出力ログ及び前記内部状態ログに対する予め設定された優先度の値を記憶した優先度テーブルを保持する優先度テーブル部と、
前記デバイス入出力ログ及び前記内部状態ログのデータの取得間隔に基づいて、前記デバイス入出力ログ及び前記内部状態ログのデータのデータレートを計算するデータレート計算部と、
予め設定された利用可能帯域情報を有し、前記利用可能帯域情報と前記ネットワークのネットワーク負荷とに基づいて余剰ネットワーク帯域を求め、前記データレートと前記優先度と前記余剰ネットワーク帯域とに基づいて、前記ネットワークを介して送信する前記デバイス入出力ログ及び前記内部状態ログを前記第１のデータバッファ部から選択して取得して送信するログ送信制御部と
を備えた、
車載制御装置。
ネットワークを介して車載制御装置と相互に通信するゲートウェイ装置であって、
前記ネットワークに接続され、前記車載制御装置との間でデータの送受信を行う第２の車内通信部と、
前記第２の車内通信部を介して取得した送受信通信データを、通信ログとして、一時的に第２のデータバッファ部に記憶する第２のバッファ制御部と、
前記第２の車内通信部を介して取得した前記送受信通信データのデータサイズと受信間隔とから前記ネットワークのネットワーク負荷を計算する負荷計算部と、
前記車載制御装置から前記第２の車内通信部を介して前記車載制御装置の異常を示すトリガメッセージを受信したときに、前記ネットワーク負荷を含むトリガ応答メッセージを生成して、前記第２の車内通信部を介して、前記車載制御装置に送信するトリガ制御部と、
前記車載制御装置の障害解析に用いるためのログを記憶するログ蓄積部と、
前記車載制御装置から前記第２の車内通信部を介して前記トリガメッセージを受信したときに、前記第２のデータバッファ部から前記通信ログを取得して前記ログとしてログ蓄積部に記憶させるとともに、前記車載制御装置から、前記第２の車内通信部を介して、前記車載制御装置に接続された車載デバイスのセンサデータ及び制御データを含むデバイス入出力ログ、及び、前記車載制御装置のステータスデータ及び内部状態データを含む内部状態ログを受信したときに、受信した前記デバイス入出力ログ及び前記内部状態ログを前記ログとして前記ログ蓄積部に記憶するログ蓄積制御部と
を備えた、ゲートウェイ装置。