JP6611891B1

JP6611891B1 - 検査システム

Info

Publication number: JP6611891B1
Application number: JP2018193114A
Authority: JP
Inventors: 光二嶋村; 智一齊藤
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2018-10-12
Filing date: 2018-10-12
Publication date: 2019-11-27
Anticipated expiration: 2038-10-12
Also published as: JP2020061695A

Abstract

【課題】車両に搭載された制御装置およびゲートウェイ装置を短時間で検査できる検査システムを得る。【解決手段】車両に搭載された検査データ転送装置３０が、車両内の第１のネットワークおよび第２のネットワーク７０を伝送される通信データのエラーをエラー検出部２１０により検出し、この検出に応じて、通信データ保持部２２０に保持された通信データを、データ転送部２３０から、無線通信である第３のネットワーク８０を介して検査データ生成装置９０に転送すると、検査データ生成装置９０は、受信した通信データを生成基データ保持部５１０で保持して、この通信データを基にして、検査データ生成部５２０により、車両に搭載された制御装置およびゲートウェイ装置２０を検査するための検査データを生成して、検査データ転送装置３０に送信するようにした。【選択図】図１

Description

本願は、車両に搭載された制御装置を検査する検査システムに関するものである。

車両には、ＥＣＵ（ＥｌｅｃｔｒｏｎｉｃＣｏｎｔｒｏｌＵｎｉｔ）と呼ばれる電子制御装置が複数搭載されており、そのＥＣＵ間は車載ネットワークに接続され、複数の制御装置がネットワークを介して情報をやり取りすることで連携して動作している。
ＥＣＵのいくつかは、自身が備える無線通信手段を用いて、車両外部に存在する道路、住居、他の車両、カーメーカまたは車載部品供給メーカの備えるサーバなどと無線通信を行うことにより、機器間の情報共有を実現している。
この情報共有の一部として、車両外部からＥＣＵの状態を取得して、車両の故障診断を行ったり、ＥＣＵの機能を変更するために、新たなソフトウェアを車両外部からＥＣＵへ送信して更新したりすることが可能となり、エンドユーザへ有益な機能を提供できるようになっている。

一方で、情報共有手段を悪用し、悪意のある者が異常な車両挙動を引き起こすために、不正な情報を車両へ送信することも可能となる。このような場合の対策のために、車両またはＥＣＵの設計者は、把握し得る不正な情報へ対応できるよう、機能要求あるいはセキュリティなどの非機能要求を満たす機器の設計を行った後、機器ごとの品質を十分に満たしているか検査を行う。
この不正な情報は、ＥＣＵが車両に搭載されたのちに、新たな攻撃手口などにより更新され得る。更新された不正な情報が車両に送信された場合に、ＥＣＵが異常な動作にならないようにするのが理想的である。
しかし、更新された不正な情報の中には、設計時に対応しきれない情報も存在するため、そのような情報は車両の動作に悪影響を与えることになる。

特許第６２６３４３７号公報（第６〜７頁、第１図）

特許文献１には、運用時におけるＥＣＵの動作を検査する検査装置、検査システムおよび検査方法が記載されている。
しかしながら、特許文献１の技術を適用すると、以下のような問題がある。
特許文献１の動作検査用データは「ＥＣＵの設計情報に基づいてあらかじめ生成されるデータ」とあり、そのデータ数については記載がない。そのため、データ数が増加するほど検査数が増え、検査時間が増加することになる。
このため、制御装置を検査する検査時間の増加を抑制することが課題となる。

本願は、上記のような課題を解決するための技術を開示するものであり、車両に搭載された制御装置およびゲートウェイ装置を短時間で検査できる検査システムを提供することを目的とする。

本願に開示される検査システムは、車両に搭載された制御装置およびゲートウェイ装置を検査する検査システムであって、検査のための検査データを生成する検査データ生成装置、この検査データ生成装置に車外ネットワークを介して接続され、検査データ生成装置が生成した検査データを車外ネットワークを介して受信して、制御装置およびゲートウェイ装置が接続された車内ネットワークへ転送する検査データ転送装置を備え、検査データ転送装置は、車内ネットワークに伝送される通信データを取得し、保持する通信データ保持部と、通信データのエラーを検出するエラー検出部とを有し、通信データのエラーが検出された場合に、通信データ保持部に保持された通信データのうち、エラーが検出された通信データの直前から所定数前までの通信データを、検査データ生成装置に転送し、検査データ生成装置は、検査データ転送装置から転送された通信データを保持する生成基データ保持部と、この生成基データ保持部に保持された通信データを用いて、検査データを生成する検査データ生成部とを有し、検査データ生成部により生成された検査データを検査データ転送装置へ送信するようにしたものである。

本願に開示される検査システムによれば、車両に搭載された制御装置およびゲートウェイ装置を短時間で検査することができる。

実施の形態１による検査システムの構成を示すブロック図である。実施の形態１による検査システムの検査データ転送装置における検査データ生成手順を示すフローチャートである。実施の形態１による検査システムの検査データ生成装置における検査データ生成手順を示すフローチャートである。実施の形態１による検査システムのＣＡＮネットワークに伝送されるＣＡＮデータフレームを示す図である。実施の形態１による検査システムの検査データ転送装置の通信データ保持部に保持される通信データを模式的に示す図である。実施の形態１による検査システムの検査データ生成装置の生成基データ保持部に保持される通信データを模式的に示す図である。実施の形態１による検査システムの制御装置およびゲートウェイ装置のＣＡＮ通信インタフェース回路を示す概略図である。実施の形態１による検査システムの検査データ転送装置および検査データ生成装置のハードウェア構成を示す図である。

実施の形態１．
以下、実施の形態による検査システムについて、図に基づいて説明する。
図１は、実施の形態１による検査システムの構成を示すブロック図である。
図１において、検査システムは、車両１０に搭載された検査データ転送装置３０と、車両１０の外部に設けられ、この検査データ転送装置３０と第３のネットワーク８０（車外ネットワーク）である無線通信を介して接続された検査データ生成装置９０とを有する。検査システムは、車両１０に搭載されたゲートウェイ装置２０と、１つ以上の第１の制御装置４０と、１つ以上の第２の制御装置５０を検査するようになっている。

ゲートウェイ装置２０と、検査データ転送装置３０と、第１の制御装置４０は、第１のネットワーク６０（車内ネットワーク）で接続されている。第１の制御装置４０は、例えば、ボディ系、シャシー系などの制御装置であって、ゲートウェイ装置２０を介さずに車外へ無線通信を行わない制御装置である。

ゲートウェイ装置２０と、検査データ転送装置３０と、第２の制御装置５０は、第２のネットワーク７０（車内ネットワーク）で接続されている。第２の制御装置５０も、ゲートウェイ装置２０を介さずに車外へ無線通信を行わない制御装置である。

第１のネットワーク６０と第２のネットワーク７０は、それぞれ別々のＣＡＮネットワークである。ＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）は、ＣＳＭＡ／ＣＡ方式（ＣａｒｒｉｅｒＳｅｎｓｅＭｕｌｔｉｐｌｅＡｃｃｅｓｓ / ＣｏｌｌｉｓｉｏｎＡｖｏｉｄａｎｃe）の通信プロトコルである。

ゲートウェイ装置２０は、ゲートウェイ処理部１１０、第１のネットワーク６０に接続される第１の通信インタフェース部１２０と、第２のネットワーク７０に接続される第２の通信インタフェース部１３０を有する。
ゲートウェイ処理部１１０は、第１のネットワーク６０で受信した通信データを通信速度および通信プロトコルを変更して、第２のネットワーク７０へ送信したり、第２のネットワーク７０から受信した通信データを第１のネットワーク６０へ送信し、それぞれのネットワークの通信データの転送を行う。

第１の制御装置４０は、第１のネットワーク６０に接続する第１の通信インタフェース部３１０を有する。第１の制御装置４０は、アクチュエータの制御など、車両の制御に関係した機能も有している。
第２の制御装置５０は、第２のネットワーク７０に接続する第２の通信インタフェース部４１０を有する。第２の制御装置５０も、アクチュエータの制御など、車両の制御に関係した機能も有している。

検査データ転送装置３０は、エラー検出部２１０、通信データ保持部２２０、データ転送部２３０、第１のネットワーク６０に接続される第１の通信インタフェース部２４０、第２のネットワーク７０に接続される第２の通信インタフェース部２５０と、第３のネットワーク８０に接続される第３の通信インタフェース部２６０を有する。
エラー検出部２１０は、第１のネットワーク６０および第２のネットワーク７０に伝送されている通信データのエラー検出を行う。エラー検出で検出されるエラーとは、例えばＣＡＮ通信プロトコルで規定されたエラーフレーム、またはデータフレームで伝送されるデータ内容の不備である。

通信データ保持部２２０は、第１のネットワーク６０および第２のネットワーク７０に伝送されている通信データを所定数保持する。通信データ保持部２２０の通信データ保持数が所定数に達した場合、先に保持した通信データを削除した後、新たに受信した通信データを保持する。また、保持する通信データにはタイムスタンプを付与し、受信した順番が判別できるようになっている。

データ転送部２３０は、ＣＡＮネットワークと無線通信の間で異なるプロトコルに対して、データを相互にプロトコル変換する。データ転送部２３０は、エラー検出部２１０がエラーを検出したことをトリガとして、通信データ保持部２２０に保持された通信データの中からエラーデータと、そのエラーデータを検出する直前のデータフレームのうちの所定数を第３のネットワーク８０を介して検査データ生成装置９０へ送信する。

検査データ生成装置９０は、生成基データ保持部５１０、検査データ生成部５２０、第３のネットワーク８０に接続する第３の通信インタフェース部５３０、および検査部５４０を有する。
生成基データ保持部５１０は、車両１０から第３のネットワーク８０を介して受信した通信データを保持する。検査データ生成部５２０は、生成基データ保持部５１０に保持された通信データを所定数使用して、検査データを生成する。
なお、検査データ生成方法の詳細については、後述する。
検査部５４０は、車両１０に搭載された制御装置およびゲートウェイ装置を検査するために、検査データ生成部５２０により生成された検査データを第３のネットワーク８０を介して、検査データ転送装置３０へ送信する。

図４は、実施の形態１による検査システムのＣＡＮネットワークに伝送されるＣＡＮデータフレームを示す図である。
図４に示すデータフレームの構造は、ＣＡＮネットワークで使用される標準フォーマットのデータフレームである。このため、本検査データ生成方法に関わる部分についてのみ説明する。
本検査データ生成方法では、ＩＤ（ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）、ＤＬＣ（ＤａｔａＬｉｎｋＣｏｕｐｌｅｒ）、データフィールドを使用する。
ＩＤは、データ内容を識別するために使用され、１１ビット長で、０ｘ０〜０ｘ７ＦＦの２０４８種類の識別が可能である。
ＤＬＣは、そのデータフレームが、何バイトのデータフィールドで構成されているかを表し、０〜１６の４ビットで表現する。ただし、ＣＡＮネットワークの仕様により、データフィールドは、８バイトまでとされているため、実際のＤＬＣは、０〜８の値となる。
データフィールドは、送信されるデータの部分であり、ＤＬＣによって設定されたデータ長となる。

図５は、実施の形態１による検査システムの検査データ転送装置の通信データ保持部に保持される通信データを模式的に示す図である。
図５において、下に行くほど古いデータを表している。横方向の記録項目は、左から伝送されたネットワークの番号（ＣＨ）、タイムスタンプ、ＩＤ、ＤＬＣ、データフィールドである。なお、エラーフレームには、ＩＤ、ＤＬＣ、データフィールドは存在しない。

図６は、実施の形態１による検査システムの検査データ生成装置の生成基データ保持部に保持される通信データを模式的に示す図である。
図６において、生成基データ保持部５１０に保持される通信データは、図５と同じ構造で、伝送されたネットワークの番号（ＣＨ）、タイムスタンプ、ＩＤ、ＤＬＣ、データフィールドとなっている。エラーフレームも図５と同様である。

図７は、実施の形態１による検査システムの制御装置およびゲートウェイ装置のＣＡＮ通信インタフェース回路を示す概略図である。
図７において、車両１０に搭載された制御装置およびゲートウェイ装置２０内のマイコン８００は、送信用信号線（Ｔｘ）８１０と受信用信号線（Ｒｘ）８２０を介して、ＣＡＮトランシーバＩＣ８３０（ＩＣ：ＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）と接続されている。
さらに、ＣＡＮトランシーバＩＣ８３０は、差動信号線であるＣＡＮネットワーク８６０と、ＣＡＮ−Ｈ８４０およびＣＡＮ−Ｌ８５０の信号線で接続されている。ＣＡＮネットワーク８６０の両端は、それぞれ終端抵抗８７０を有している。

次に、動作について説明する。
まず、検査データ転送装置３０における検査データ生成手順について、図２を用いて説明する。
図２のステップＳ１００１において、検査データ転送装置３０は、第１のネットワーク６０に通信データが伝送されたか、または、第２のネットワーク７０に通信データが伝送されたか否かの判定を行う。
いずれのネットワークにも通信データが伝送されていない場合（ＮＯ）は、ステップＳ１００１に戻り、通信データが伝送されるのを待つ。一方、いずれかのネットワークに通信データが伝送されていた場合（ＹＥＳ）には、ステップＳ１００２へ進む。

次に、ステップＳ１００２において、通信データ保持部２２０の保持数が所定値に到達しているか否かの判定を行う。所定値に達してしていない場合（ＮＯ）には、ステップＳ１００４へ進む。一方、所定値に達している場合（ＹＥＳ）には、ステップＳ１００３へ進む。

次に、ステップＳ１００３において、通信データ保持部２２０が保持している通信データの中から、最も古い通信データを削除する。
ステップＳ１００４において、第１のネットワーク６０または第２のネットワーク７０に伝送されていた通信データに、タイムスタンプを付与して、新たに通信データ保持部２２０に保持する。

続いて、ステップＳ１００５において、エラーを検出したか否かの判定を行う。ここで、エラーの検出とは、ステップＳ１００１でいずれかのネットワークに伝送が確認され、ステップＳ１００４で通信データ保持部２２０に保持した通信データが、エラーフレームであった場合、あるいはデータフレームのデータの内容にエラーを検出した場合である。
エラーを検出しなかった場合（ＮＯ）には、ステップＳ１００１へ戻る。エラーを検出した場合（ＹＥＳ）には、ステップＳ１００６へ進む。

ステップＳ１００６において、データ転送部２３０が、第３のネットワーク８０を介して、所定数の通信データを検査データ生成装置９０へ送信する。

次に、検査データ生成装置９０における検査データ生成手順について、図３を用いて説明する。
図３のステップＳ２００１において、検査データ転送装置３０から受信した通信データを生成基データ保持部５１０に保持し、ステップＳ２００２へ進む。

ステップＳ２００２において、通信データを全て受信したか否かの判定を行う。すべて受信していない場合（ＮＯ）には、ステップＳ２００１へ戻り、全て受信するのを待つ。一方、すべて受信した場合（ＹＥＳ）には、ステップＳ２００３へ進む。

ステップＳ２００３において、生成基データ保持部５１０に保持された第１のネットワーク６０の通信データを使用して、第１のネットワーク用の検査データを生成する。

続いて、ステップＳ２００４において、生成基データ保持部５１０に保持された第２のネットワーク７０の通信データを使用して、第２のネットワーク用の検査データを生成する。

このようにして、検査データ転送装置３０が、エラー検出をトリガにして、ネットワークに伝送されていた通信データを検査データ生成装置９０へ転送し、検査データ生成装置９０が、受信した通信データを基に検査データを生成することができる。

次に、検査データ生成方法の詳細について説明する。
ＣＡＮのデータフレームの構成は、図４に示すとおりである。本検査データ生成方法では、ＩＤ、ＤＬＣ、データフィールドを使用する。

まず、通信データ保持部２２０に保持される通信データの保持手順について、図５を用いて説明する。
図５では、次のような通信データを保持している。
例えば、ある定められた時点（検査データ転送装置３０の起動後など）から１．０秒後に、第１のネットワーク６０にＩＤ＝０ｘ０１０、ＤＬＣ＝８、データ＝０ｘ００、０ｘ００、０ｘ２０、０ｘ００、０ｘ００、０ｘ０３、０ｘＡＦ、０ｘ００が伝送され、１．１秒後に、第１のネットワーク６０にＩＤ＝０ｘ０１２、ＤＬＣ＝５、データ＝０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ０１が伝送されたのを、検査データ転送装置３０が受信して、通信データ保持部２２０で保持する。

さらに、１．５秒後に、第２のネットワーク７０にＩＤ＝０ｘ１０１、ＤＬＣ＝８、データ＝０ｘ００、０ｘ０Ｅ、０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ００が伝送され、１．７秒後に、第２のネットワーク７０にＩＤ＝０ｘ１０５、ＤＬＣ＝６、データ＝０ｘＦ０、０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ００が伝送されたのを、検査データ転送装置３０が受信して通信データ保持部２２０で保持する。

さらに、１．８秒後に、第１のネットワーク６０にＩＤ＝０ｘ０Ｃ、ＤＬＣ＝８、データ＝０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ０Ｂが伝送され、２．０秒後に、第１のネットワーク６０にＩＤ＝０ｘ０１０、ＤＬＣ＝８、データ＝０ｘ００、０ｘ００、０ｘ２０、０ｘ００、０ｘ００、０ｘ０３、０ｘＡＦ、０ｘ００が伝送され、２．１秒後に、第１のネットワーク６０にＩＤ＝０ｘ０１２、ＤＬＣ＝５、データ＝０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ０２が伝送され、２．２秒後に、第１のネットワーク６０にエラーフレームが伝送されたのを、検査データ転送装置３０が受信して通信データ保持部２２０で保持している。

図５では、２．２秒後に、第１のネットワーク６０にエラーフレームが伝送されたので、エラー検出部２１０がエラーを検出する。
これを受けて、データ転送部２３０が、通信データ保持部２２０に保持された通信データの中から、エラーデータ（ここではエラーフレーム）と、そのエラーデータを検出する直前のデータフレームのうちの所定数を、第３のネットワーク８０を介して、検査データ生成装置９０へ送信する。

ここで、所定数を２とすると、エラーデータを検出する直前のデータフレームは、第１のネットワーク６０では、タイムスタンプ２．１秒のＩＤ＝０ｘ０１２、ＤＬＣ＝５、データ＝０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ０２の通信データと、タイムスタンプ２．０秒のＩＤ＝０ｘ０１０、ＤＬＣ＝８、データ＝０ｘ００、０ｘ００、０ｘ２０、０ｘ００、０ｘ００、０ｘ０３、０ｘＡＦ、０ｘ００の通信データである。
また、第２のネットワーク７０では、タイムスタンプ１．７秒のＩＤ＝０ｘ１０５、ＤＬＣ＝６、データ＝０ｘＦ０、０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ００の通信データと、タイムスタンプ１．５秒のＩＤ＝０ｘ１０１、ＤＬＣ＝８、データ＝０ｘ００、０ｘ０Ｅ、０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ００の通信データである。
これらの４つの通信データが、所定数２の通信データに該当する。すなわち、データ転送部２３０は、エラーデータであるエラーフレームと、該当する４つの通信データを検査データ生成装置９０へ送信する。

続いて、検査データ生成装置９０の動作について説明する。
検査データ生成装置９０が受信した通信データは、生成基データ保持部５１０に、図６に示すように保持される。図６では、検査データ転送装置３０から送信された、エラーフレームと４つの通信データが保持されている。
検査データを、エラーデータの直前の通信データを基に作成すると、第１のネットワーク６０用と第２のネットワーク７０用の検査データは、次のように作成される。

第１のネットワーク６０において、エラーデータの直前の通信データは、タイムスタンプ２．１秒のＩＤ＝０ｘ０１２、ＤＬＣ＝５、データ＝０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ０２であるので、この通信データを基に検査データを作成する。
ここでは、ＤＬＣの値よりも、データフィールドが大きい値となる検査データの生成について説明する。すなわち、この通信データから、データフィールドだけ変化させて、ＩＤ＝０ｘ０１２、ＤＬＣ＝５、データ＝０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ０２、０ｘＦＦという検査データを作成すればよい。

第２のネットワーク７０用の検査データの作成は、同様に、エラーデータの直前の通信データであるタイムスタンプ１．７秒のＩＤ＝０ｘ１０５、ＤＬＣ＝６、データ＝０ｘＦ０、０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ００を、検査データの基とする。
この通信データのデータフィールドだけ変化させて、ＩＤ＝０ｘ１０５、ＤＬＣ＝６、データ＝０ｘＦ０、０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘＦＦという検査データを作成する。

また、検査データの基となる通信データとして、エラーデータの直前ではなく、もう一つ前の通信データを使用してもよい。
例えば、第１のネットワーク６０用の検査データを作成する場合、エラーデータの直前のもう一つ前の通信データは、タイムスタンプ２．０秒のＩＤ＝０ｘ０１０、ＤＬＣ＝８、データ＝０ｘ００、０ｘ００、０ｘ２０、０ｘ００、０ｘ００、０ｘ０３、０ｘＡＦ、０ｘ００である。この通信データを基にデータフィールドよりもＤＬＣが大きい値となる検査データを作成すると、ＤＬＣは４ビットのデータであるから、例えば、ＤＬＣを１１に変化させて、ＩＤ＝０ｘ０１０、ＤＬＣ＝１１、データ＝０ｘ００、０ｘ００、０ｘ２０、０ｘ００、０ｘ００、０ｘ０３、０ｘＡＦ、０ｘ００という検査データを作成すればよい。
このようにして、データ長と実際のデータの長さを矛盾させることで、検査データを生成できる。

さらに、上述の方法に加えて、データフィールドの１つ以上のビットを反転させる方法を組み合わせてもよい。
例えば、ＩＤ＝０ｘ０１２、ＤＬＣ＝５、データ＝０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ０２、０ｘＦＦという検査データに対して、５バイト目の０ｘ０２というデータの４ビット目を反転させて、ＩＤ＝０ｘ０１２、ＤＬＣ＝５、データ＝０ｘ００、０ｘ００、０ｘ００、０ｘ００、０ｘ０Ａ、０ｘＦＦという検査データを作成してもよい。

また、データフィールドの値を書式文字列で意味を持つ値とする方法で、検査データを生成することもできる。
例えば、Ｃ言語において、文字列を出力するフォーマット指定子である”％ｓ”をＡＳＣＩＩコードに従って変換し、検査データを生成する方法がある。ＡＳＣＩＩコードでは、”％”と”ｓ”は、それぞれ”０ｘ２５”、”０ｘ７３”と変換できる。
よって、データフィールドのいずれかの位置に”０ｘ２５”、”０ｘ７３”を挿入することで検査データを作成できる。

さらに、これら以外の検査データ生成方法として、データフィールドの値をすべて０または１とする方法でもよいし、通信データの構造の順序を入れ替える（例：ＩＤとコントロールフィールドの順序を入れ替える）方法でもよいし、検査データのＩＤを生成基データと異なる値とするという方法でもよいし、これらを組み合わせた方法でもよい。

作成した検査データは、予め定められたタイミングで、検査部５４０が、車両１０に搭載された制御装置およびゲートウェイ装置を検査するために、第３のネットワーク８０を介して、検査データ転送装置３０へ送信し、検査データ転送装置３０が、該当するネットワークへ検査データを送信する。
ここで、予め定められたタイミングとは、例えば、車両１０が停車してから所定時間後など、検査しやすいタイミングを定めればよい。

このようにして、エラーデータが送信される前のデータフレームを基に検査データを作成することで、ネットワークに接続された制御装置およびゲートウェイ装置を検査するのに有効な検査データを作成でき、数を絞って検査することができる。

ここで、エラーフレームの１つ前、または所定数前の通信データを基に検査データを生成することで、有効な検査データとなる点について、図７を用いて説明する。
エラーフレームが送信される要因は、不完全な通信データが、ＣＡＮネットワーク８６０上に送信されることが考えられる。
例えば、通信データ送信時に、第１の制御装置４０、第２の制御装置５０またはゲートウェイ装置２０内のマイコン８００が、Ｔｘ端子（送信用信号線（Ｔｘ）８１０に接続された端子）を異常操作することによって、送信データが途切れたり、Ｔｘ端子がＬｏを出力し続けることなどが考えられる。

そのため、エラーフレームの送信は、ＣＡＮネットワーク８６０に接続された制御装置またはゲートウェイ装置２０の異常な動作が原因となっている可能性がある。そのきっかけが、エラーフレーム発生より前に、ＣＡＮネットワーク８６０上に伝送されていたデータフレームを、当該制御装置またはゲートウェイ装置２０が受信したことによるものであると考えられる。

したがって、エラーフレームの１つ前、または所定数前の通信データを基に検査データを生成し、その検査データで制御装置およびゲートウェイ装置２０の検査を行うことで、制御装置およびゲートウェイ装置２０が異常な動作を起こすかどうかの試験を効率的に実施することができる。

また、エラーデータを検出した方とは別のネットワークの検査データを、このエラーデータの１つ前、または所定数前の通信データを基に作成することで、ゲートウェイ装置２０が異常な動作を起こすかどうかの試験を効率的に実施することができる。
ゲートウェイ装置２０が、一方のネットワークから受信した通信データを他方のネットワークへ転送する際に、一方のネットワークから受信した通信データが原因で、他方のネットワークへエラーデータを送信してしまうという場合が考えられる。
この場合でも、他方のネットワークのエラーデータを基に、一方のネットワーク用の検査データを作成するので、このようなゲートウェイ装置２０の不具合を発見可能な検査データを作成することができる。

また、エラーデータは、ＣＡＮプロトコルのエラーフレームである必要はなく、例えば、データフィールドが有しているカウンタが、正常に機能しなくなったことを、エラーデータとしてもよい。
このカウンタについては、例えば、４ビット長であれば０から１５までの信号で、送信側は通信データの送信ごとにインクリメントし、１５の次は０に戻すというようにカウンタをセットする。
この場合に、受信側は、カウンタが必ず１ずつ増加しているか、１５の次は０かどうかを判定し、正常に変化しなかった通信データをエラーデータと判定すればよい。

例えば、データフィールド内のカウンタ動作がエラーになる要因として、カウンタの動作エラー発生より前に、ＣＡＮネットワーク８６０上に伝送されていたデータフレームを当該制御装置またはゲートウェイ装置２０が受信したことによるものであるとも考えられる。
この場合でも、カウンタの動作エラーの１つ前、または所定数前の通信データを基に検査データを生成し、その検査データで制御装置およびゲートウェイ装置２０の検査を行うことで、制御装置またはゲートウェイ装置２０が異常な動作を起こすかどうかの試験を効率的に実施することができる。

また、通信データ保持部２２０へ通信データを保持する際に、どの通信データがエラーデータであったかが分るように情報を付与してもよい。

さらに、検査データ転送装置３０は、エラー検出部２１０が、所定回数エラーを検出してから、まとめて通信データ保持部２２０のデータを検査データ生成装置９０へ送信してもよい。
こうすると、車両１０と検査データ生成装置９０を接続している第３のネットワーク８０の接続が一時的に切れていたとしても、接続されてから、まとめて送信することが可能となる。

また、検査データ生成部５２０は、複数の検査データ生成方法により、１つの通信データから複数の検査データを生成してもよい。

実施の形態１では、第１のネットワーク６０および第２のネットワーク７０をＣＡＮネットワークとしたが、これに限らず、ＦｌｅｘＲａｙ、ＬＩＮ（ＬｏｃａｌＩｎｔｅｒｃｏｎｎｅｃｔＮｅｔｗｏｒｋ）など他のプロトコルでもよい。
なお、ＣＡＮネットワークのエラーフレームの代わりとしては、例えば、ＦｌｅｘＲａｙであれば、検査データ転送装置３０が、通信データを受信した際にＣＲＣ（ＣｙｃｌｉｃＲｅｄｕｎｄａｎｃｙＣｈｅｃｋ）チェックを行い、エラーが発生したことが確認できた場合、その通信データをエラーデータとすることができる。
また、ＬＩＮであれば、検査データ転送装置３０が、通信データを受信した際に、受信データとチェックサムとの値を比較し、値が異なっていた場合の通信データをエラーデータとすることができる。

また、ゲートウェイ装置２０および検査データ転送装置３０に接続する車両内のネットワークは２本より多くてもよい。

また、実施の形態１では、第３のネットワーク８０を無線通信としたが、これに代わる別の手段として、有線通信でも構わない。この場合、トンネルあるいは地下といった無線通信が困難である場所においても、検査を行うことができる。

実施の形態１によれば、エラーフレームの１つ前、または所定数前の通信データを基に検査データを生成し、その検査データで制御装置およびゲートウェイ装置２０の検査を行うことにより、制御装置およびゲートウェイ装置２０が異常な動作を起こすかどうかの試験を効率的に実施することができる。
したがって、車両に搭載された制御装置およびゲートウェイ装置２０を運用時においても短時間で検査することができる。

なお、検査データ転送装置３０および検査データ生成装置９０は、ハードウェアの一例を図８に示すように、プロセッサ１０００と記憶装置１００１から構成される。記憶装置１００１は図示していないが、ランダムアクセスメモリ等の揮発性記憶装置と、フラッシュメモリ等の不揮発性の補助記憶装置とを具備する。また、フラッシュメモリの代わりにハードディスクの補助記憶装置を具備してもよい。プロセッサ１０００は、記憶装置１００１から入力されたプログラムを実行する。この場合、補助記憶装置から揮発性記憶装置を介してプロセッサ１０００にプログラムが入力される。また、プロセッサ１０００は、演算結果等のデータを記憶装置１００１の揮発性記憶装置に出力してもよいし、揮発性記憶装置を介して補助記憶装置にデータを保存してもよい。

本開示は、例示的な実施の形態が記載されているが、実施の形態に記載された様々な特徴、態様、及び機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。
従って、例示されていない無数の変形例が、本願明細書に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合が含まれるものとする。

１０車両、２０ゲートウェイ装置、３０検査データ転送装置、
４０第１の制御装置、５０第２の制御装置、６０第１のネットワーク、
７０第２のネットワーク、８０第３のネットワーク、９０検査データ生成装置、
１１０ゲートウェイ処理部、１２０、２４０、３１０第１の通信インタフェース部、
１３０、２５０、４１０第２の通信インタフェース部、２１０エラー検出部、
２２０通信データ保持部、２３０データ転送部、
２６０、５３０第３の通信インタフェース部、５１０生成基データ保持部、
５２０検査データ生成部、５４０検査部、８００マイコン、
８１０送信用信号線（Ｔｘ）、８２０受信用信号線（Ｒｘ）、
８３０ＣＡＮトランシーバＩＣ、８４０ＣＡＮ−Ｈ、８５０ＣＡＮ−Ｌ、
８６０ＣＡＮネットワーク、８７０終端抵抗、１０００プロセッサ、
１００１記憶装置

Claims

車両に搭載された制御装置およびゲートウェイ装置を検査する検査システムであって、
上記検査のための検査データを生成する検査データ生成装置、
この検査データ生成装置に車外ネットワークを介して接続され、上記検査データ生成装置が生成した検査データを上記車外ネットワークを介して受信して、上記制御装置および上記ゲートウェイ装置が接続された車内ネットワークへ転送する検査データ転送装置を備え、
上記検査データ転送装置は、
上記車内ネットワークに伝送される通信データを取得し、保持する通信データ保持部と、
上記通信データのエラーを検出するエラー検出部とを有し、
上記通信データのエラーが検出された場合に、上記通信データ保持部に保持された通信データのうち、エラーが検出された通信データの直前から所定数前までの通信データを、上記検査データ生成装置に転送し、
上記検査データ生成装置は、
上記検査データ転送装置から転送された上記通信データを保持する生成基データ保持部と、
この生成基データ保持部に保持された通信データを用いて、上記検査データを生成する検査データ生成部とを有し、
上記検査データ生成部により生成された上記検査データを上記検査データ転送装置へ送信することを特徴とする検査システム。
上記車内ネットワークは、上記ゲートウェイ装置によって通信プロトコル変換される第１のネットワークと第２のネットワークを有し、
上記検査データ生成部は、上記生成基データ保持部に保持された通信データのうち、エラーが検出された側のネットワークの上記エラーが検出された通信データの１つ以上前の通信データを基に、当該ネットワークに接続された上記制御装置および上記ゲートウェイ装置を検査するための検査データを生成することを特徴とする請求項１に記載の検査システム。
上記通信データ保持部の保持する上記通信データにはタイムスタンプが付与され、
上記検査データ生成部は、上記生成基データ保持部に保持された通信データのうち、エラーが検出された側でないネットワークの通信データで、かつ上記エラーが検出された通信データのタイムスタンプより１つ以上前の通信データを基に、上記エラーが検出された側でないネットワークに接続されている上記制御装置および上記ゲートウェイ装置を検査するための検査データを生成することを特徴とする請求項２に記載の検査システム。
上記検査データ転送装置は、上記検査データ生成装置から送信された検査データを、上記第１のネットワークおよび上記第２のネットワークのうち、エラーが検出された側のネットワークへ転送することを特徴とする請求項２または請求項３に記載の検査システム。
上記検査データ転送装置は、上記検査データ生成装置から送信された検査データを、上記第１のネットワークおよび上記第２のネットワークのうち、エラーが検出されていないネットワークへ転送することを特徴とする請求項２または請求項３に記載の検査システム。