WO2019044230A1 - 車載装置、インシデント監視方法 - Google Patents

車載装置、インシデント監視方法 Download PDF

Info

Publication number
WO2019044230A1
WO2019044230A1 PCT/JP2018/026903 JP2018026903W WO2019044230A1 WO 2019044230 A1 WO2019044230 A1 WO 2019044230A1 JP 2018026903 W JP2018026903 W JP 2018026903W WO 2019044230 A1 WO2019044230 A1 WO 2019044230A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
incident
information
processing unit
automatic driving
Prior art date
Application number
PCT/JP2018/026903
Other languages
English (en)
French (fr)
Inventor
尚 河内
靖 永井
伸義 森田
信 萱島
Original Assignee
クラリオン株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by クラリオン株式会社 filed Critical クラリオン株式会社
Priority to US16/643,456 priority Critical patent/US11332163B2/en
Priority to CN201880056186.9A priority patent/CN111094081B/zh
Priority to EP18849835.6A priority patent/EP3677476A4/en
Publication of WO2019044230A1 publication Critical patent/WO2019044230A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0796—Safety measures, i.e. ensuring safe condition in the event of error, e.g. for controlling element
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W30/00—Purposes of road vehicle drive control systems not related to the control of a particular sub-unit, e.g. of systems using conjoint control of vehicle sub-units
    • B60W30/08—Active safety systems predicting or avoiding probable or impending collision or attempting to minimise its consequences
    • B60W30/095—Predicting travel path or likelihood of collision
    • B60W30/0956—Predicting travel path or likelihood of collision the prediction being responsive to traffic or environmental parameters
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W40/00—Estimation or calculation of non-directly measurable driving parameters for road vehicle drive control systems not related to the control of a particular sub unit, e.g. by using mathematical models
    • B60W40/02—Estimation or calculation of non-directly measurable driving parameters for road vehicle drive control systems not related to the control of a particular sub unit, e.g. by using mathematical models related to ambient conditions
    • B60W40/04—Traffic conditions
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/08—Interaction between the driver and the control system
    • B60W50/14—Means for informing the driver, warning the driver or prompting a driver intervention
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W60/00—Drive control systems specially adapted for autonomous road vehicles
    • B60W60/001—Planning or execution of driving tasks
    • B60W60/0015—Planning or execution of driving tasks specially adapted for safety
    • B60W60/0018—Planning or execution of driving tasks specially adapted for safety by employing degraded modes, e.g. reducing speed, in response to suboptimal conditions
    • B60W60/00186—Planning or execution of driving tasks specially adapted for safety by employing degraded modes, e.g. reducing speed, in response to suboptimal conditions related to the vehicle
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W60/00—Drive control systems specially adapted for autonomous road vehicles
    • B60W60/001—Planning or execution of driving tasks
    • B60W60/0025—Planning or execution of driving tasks specially adapted for specific operations
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W60/00—Drive control systems specially adapted for autonomous road vehicles
    • B60W60/005—Handover processes
    • B60W60/0053—Handover processes from vehicle to occupant
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01C—MEASURING DISTANCES, LEVELS OR BEARINGS; SURVEYING; NAVIGATION; GYROSCOPIC INSTRUMENTS; PHOTOGRAMMETRY OR VIDEOGRAMMETRY
    • G01C21/00—Navigation; Navigational instruments not provided for in groups G01C1/00 - G01C19/00
    • G01C21/38—Electronic maps specially adapted for navigation; Updating thereof
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01C—MEASURING DISTANCES, LEVELS OR BEARINGS; SURVEYING; NAVIGATION; GYROSCOPIC INSTRUMENTS; PHOTOGRAMMETRY OR VIDEOGRAMMETRY
    • G01C21/00—Navigation; Navigational instruments not provided for in groups G01C1/00 - G01C19/00
    • G01C21/38—Electronic maps specially adapted for navigation; Updating thereof
    • G01C21/3804—Creation or updating of map data
    • G01C21/3807—Creation or updating of map data characterised by the type of data
    • G01C21/3811—Point data, e.g. Point of Interest [POI]
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01C—MEASURING DISTANCES, LEVELS OR BEARINGS; SURVEYING; NAVIGATION; GYROSCOPIC INSTRUMENTS; PHOTOGRAMMETRY OR VIDEOGRAMMETRY
    • G01C21/00—Navigation; Navigational instruments not provided for in groups G01C1/00 - G01C19/00
    • G01C21/38—Electronic maps specially adapted for navigation; Updating thereof
    • G01C21/3804—Creation or updating of map data
    • G01C21/3807—Creation or updating of map data characterised by the type of data
    • G01C21/3815—Road data
    • G01C21/3822—Road feature data, e.g. slope data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G06F11/0739—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function in a data processing system embedded in automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/3013—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system is an embedded system, i.e. a combination of hardware and software dedicated to perform a certain function in mobile devices, printers, automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3058—Monitoring arrangements for monitoring environmental properties or parameters of the computing system or of the computing system component, e.g. monitoring of power, currents, temperature, humidity, position, vibrations
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action

Definitions

  • the present invention relates to an in-vehicle apparatus that performs incident monitoring and an incident monitoring method using the same.
  • Patent Document 1 the technology described in Patent Document 1 is known for detecting an abnormality of a vehicle.
  • the vehicle failure diagnosis device described in Patent Document 1 compares the vehicle travel information acquired from the vehicle with the external environment information acquired from the recognition means for recognizing the surrounding environment, and the vehicle travel information generally corresponds to the surrounding environment. If the vehicle deviates from the predetermined traveling pattern by a predetermined level or more, it is determined that there is a possibility that an abnormality has occurred in the vehicle, and failure diagnosis of the vehicle is performed.
  • the on-vehicle apparatus is mounted on a vehicle capable of autonomous driving, acquires vehicle information representing a control state of the vehicle, and detects an incident occurring in the vehicle based on the vehicle information.
  • An incident detection processing unit is provided.
  • the incident monitoring method acquires vehicle information representing a control state of the vehicle in an on-vehicle apparatus mounted on a vehicle capable of autonomous driving, and detects an incident occurring in the vehicle based on the vehicle information. .
  • a configuration diagram of a vehicle information network system A block diagram illustrating the hardware configuration of a vehicle and an on-vehicle remote monitoring device A block diagram illustrating the hardware configuration of the roadside device and the center server Block diagram illustrating the functional configuration of the in-vehicle remote monitoring device Block diagram illustrating the functional configuration of the center server Explanatory drawing which illustrates composition of map information An explanatory view illustrating the configuration of the on-vehicle information packet Flow chart of vehicle information monitoring process executed by in-vehicle remote monitoring device Flow chart of automatic operation function stop processing Sequence diagram of vehicle communication network system
  • FIG. 1 is a block diagram of a vehicle information network system according to an embodiment of the present invention.
  • a vehicle information network system 1 shown in FIG. 1 includes a vehicle 2, a roadside device 3, a network 4, and a center server 5.
  • the vehicle 2 mounts the in-vehicle remote monitoring device 20.
  • the roadside device 3 is fixedly installed at a predetermined point on the roadside of the road on which the vehicle 2 travels.
  • the roadside device 3 and the center server 5 are mutually connected via the network 4.
  • the center server 5 performs data communication with the on-vehicle remote monitoring device 20 via the network 4 and the roadside device 3.
  • the vehicle information network system 1 may include a plurality of vehicles 2 each having the on-vehicle remote monitoring device 20 mounted thereon. Also, the plurality of roadside devices 3 may be installed at different points. In the following description, the operation of the on-vehicle remote monitoring device 20 mounted on one vehicle 2 will be mainly described.
  • FIG. 2 is a block diagram illustrating the hardware configuration of the vehicle 2 and the on-vehicle remote monitoring device 20.
  • the vehicle 2 includes a vehicle-mounted remote monitoring device 20, a wireless communication device 105 connected to the vehicle-mounted remote monitoring device 20, a steering ECU 106, a brake ECU 107, an engine ECU 108, a direction indicator 109, an ADAS ECU 110, a brake control ECU 111, and steering control.
  • the ECU 112 includes an engine control ECU 113, a camera 114, a GPS sensor 115, an acceleration sensor 116, a user switch 117, a display device 118, and a navigation system 119.
  • the steering ECU 106, the brake ECU 107, the engine ECU 108, and the direction indicator 109 are devices for performing travel control of the vehicle 2, and are mutually connected to form a network.
  • this network is referred to as a "control network domain”.
  • the ADAS ECU 110, the brake control ECU 111, the steering control ECU 112, the engine control ECU 113, the camera 114, the GPS sensor 115, and the acceleration sensor 116 are devices for performing driving assistance and automatic driving of the vehicle 2 Are configured.
  • this network is referred to as a “drive support system network domain”.
  • the user switch 117, the display device 118, and the navigation system 119 are devices for providing a user interface to the driver of the vehicle 2, and are interconnected to configure a network.
  • this network is referred to as "information system network domain”. That is, the on-vehicle remote monitoring device 20 is connected to the control system network domain, the driving support system network domain, and the information system network domain, and performs data communication with each device in these networks.
  • each device in the same network can directly perform data communication without the on-vehicle remote monitoring device 20.
  • the control system network domain communication for travel control of the vehicle 2 is performed.
  • the driving support network domain communication for driving support and automatic driving of the vehicle 2 is performed.
  • the information system network domain communication for a user interface to the driver of the vehicle 2 is performed.
  • data communication between devices belonging to different networks is performed via the on-vehicle remote monitoring device 20.
  • the wireless communication device 105 is connected to the on-vehicle remote monitoring device 20 and performs wireless communication with the roadside device 3.
  • the on-vehicle remote monitoring device 20 performs data communication with the roadside device 3 by wireless communication via the wireless communication device 105.
  • the steering ECU 106 is a device that controls the steering mechanism of the vehicle 2 to perform traveling direction control in accordance with a steering operation by a driver of the vehicle 2 or a steering control command transmitted from the steering control ECU 112.
  • the brake ECU 107 is a device that controls the brake of the vehicle 2 to perform deceleration control according to a brake operation by the driver of the vehicle 2 or a brake control command transmitted from the brake control ECU 111.
  • the engine ECU 108 is a device that controls the speed of the engine of the vehicle 2 according to the traveling state of the vehicle 2 or the engine control command transmitted from the engine control ECU 113.
  • Direction indicator 109 lights a light provided to vehicle 2 in response to a direction instruction operation by the driver of vehicle 2 or a direction instruction command transmitted from ADAS ECU 110, and when vehicle 2 changes the course It is an apparatus which notifies the surrounding other vehicle of the direction of the said course change.
  • the travel control of the vehicle 2 is performed by these devices.
  • the ADAS ECU 110 is a device that determines acceleration, deceleration, stop, and the like of the vehicle 2 from information inside and outside the vehicle 2 and implements automatic driving of the vehicle 2 and driving support services using the determination results.
  • the ADAS ECU 110 detects the external image acquired from the camera 114, the position of the vehicle 2 acquired from the GPS sensor 115, the acceleration of the vehicle 2 acquired from the acceleration sensor 116, the peripheral map information of the vehicle 2 held by the navigation system 119, etc. To determine the behavior of the vehicle 2. Then, it instructs the brake control ECU 111, the steering control ECU 112, and the engine control ECU 113 to output control commands according to the determined behavior of the vehicle 2. As a result, the ADAS ECU 110 automatically accelerates, steers, and brakes the vehicle 2 to realize the automatic driving function of the vehicle 2.
  • the user who is the driver of the vehicle 2 can automatically travel the vehicle 2 to the destination without performing the driving operation by using the automatic driving function of the ADAS ECU 110.
  • the ADAS ECU 110 confirms the presence or absence of an obstacle before and after the vehicle 2 based on the external image acquired from the camera 114.
  • a radar sensor (not shown) may be used instead of the camera 114.
  • the ADAS ECU 110 determines the traveling direction and the traveling speed of the vehicle 2 along the shape of the traveling lane based on the map information acquired from the navigation system 119, and transmits vehicle information including control parameters according to these values.
  • the vehicle 2 can automatically travel along the traveling lane.
  • the ADAS ECU 110 controls the operation of the direction indicator 109 to turn on the direction indicator 109 in the direction to change lanes.
  • the behavior of the vehicle 2 at the time of the lane change is determined, and the vehicle including the control parameter according to the value.
  • Information is transmitted to the brake control ECU 111, the steering control ECU 112, and the engine control ECU 113, respectively.
  • the vehicle 2 can be automatically changed to the lane.
  • the brake control ECU 111 is a device that transmits a brake control instruction including the brake strength to the brake ECU 107 in accordance with an instruction of the ADAS ECU 110.
  • the steering control ECU 112 is a device that transmits a steering control command including a steering operation angle to the steering ECU 106 according to an instruction of the ADAS ECU 110.
  • the engine control ECU 113 is a device that transmits an engine control instruction including the number of revolutions of the engine to the engine ECU 108 in accordance with an instruction of the ADAS ECU 110.
  • the camera 114 is a device that outputs an image of the surroundings of the vehicle 2 to the ADAS ECU 110.
  • the GPS sensor 115 is a positioning device that receives a signal from a satellite and measures the position of the vehicle 2.
  • the acceleration sensor 116 is a device that detects the acceleration in the front-rear direction and the left-right direction of the vehicle 2. Driving assistance and automatic driving of the vehicle 2 are performed by these devices.
  • the user switch 117 is a device that detects a predetermined input operation by the driver of the vehicle 2.
  • the user who is the driver of the vehicle 2 uses the user switch 117, for example, when switching the automatic driving and the driving support function of the vehicle 2 from invalid to valid or valid to invalid.
  • the display device 118 is, for example, a liquid crystal monitor or the like, and displays various information to the driver. For example, when automatic driving or driving support is performed in the vehicle 2, the driver can know the state of the vehicle 2 by displaying on the display device 118 that these functions are effective.
  • the navigation system 119 is a device that holds map information such as road shape, and provides map information around the vehicle 2 in response to a user, a request from the ADAS ECU 110, or the like. These devices provide a user interface for the driver of the vehicle 2.
  • the on-vehicle remote monitoring device 20 includes a storage device 101, a CPU 102, and a memory unit 103.
  • the storage device 101 is an auxiliary storage device such as an HDD or a flash memory, for example.
  • the CPU 102 controls the on-vehicle remote monitoring device 20 by, for example, reading and executing a predetermined control program stored in the storage device 101 or the like.
  • the memory unit 103 is a main storage device used when the CPU 102 executes a control program.
  • the CPU 102 functionally includes an incident detection processing unit 120, a communication control unit 130, a function stopping unit 140, a warning processing unit 150, and a recovery measure processing unit 160. That is, the incident detection processing unit 120, the communication control unit 130, the function stopping unit 140, the warning processing unit 150, and the recovery measure processing unit 160 are realized as software by a control program executed by the CPU 102.
  • the incident detection processing unit 120, the communication control unit 130, the function stopping unit 140, the warning processing unit 150, and the recovery measure processing unit 160 will be described in detail later.
  • the incident detection processing unit 120, the communication control unit 130, the function stopping unit 140, the warning processing unit 150, and the recovery measure processing unit 160 are each configured by an electronic circuit or the like that can realize the same function as the CPU 102 such as FPGA. It is also possible.
  • FIG. 3 is a block diagram illustrating the hardware configuration of the roadside device 3 and the center server 5.
  • the roadside device 3 includes a roadside device control unit 205 and a wireless transmission / reception unit 206.
  • the wireless transmission and reception unit 206 performs data communication with the on-vehicle remote monitoring device 20 mounted on the vehicle 2 by transmitting and receiving a wireless signal.
  • the roadside control unit 205 controls the roadside 3.
  • the roadside device control unit 205 is connected to the network 4.
  • the roadside device control unit 205 performs data communication with the center server 5 via the network 4.
  • the roadside device control unit 205 controls the wireless transmission / reception unit 206 to transmit the information transmitted from the center server 5 to the vehicle 2 or transmit the information received from the vehicle 2 to the center server 5.
  • the center server 5 includes a storage device 501, a CPU 502, and a memory unit 503.
  • the storage device 501 is an auxiliary storage device such as an HDD or a flash memory, for example.
  • the CPU 502 processes information to be transmitted / received to / from the roadside device 3 by, for example, reading and executing a predetermined control program stored in the storage device 501 or the like.
  • the memory unit 503 is a main storage device used when the CPU 502 executes a control program.
  • the CPU 502 functionally includes a transmission / reception information processing unit 510, an incident analysis processing unit 520, and a recovery measure generation unit 530. That is, the transmission / reception information processing unit 510, the incident analysis processing unit 520, and the recovery measure generation unit 530 are realized as software by the control program executed by the CPU 502. The transmission / reception information processing unit 510, the incident analysis processing unit 520, and the recovery measure generation unit 530 will be described in detail later.
  • FIG. 4 is a block diagram illustrating the functional configuration of the on-vehicle remote monitoring device 20. As shown in FIG. The storage device 101 has a vehicle information DB 171.
  • the recovery measure processing unit 160 communicates with the roadside device 3 using the wireless communication device 105, and receives the recovery measure 900 from the center server 5 via the roadside device 3.
  • the received recovery measure 900 is output to the communication control unit 130.
  • the recovery measure 900 is the source of the security incident when any of the devices is subjected to a cyber attack in the control network domain, the driving support network domain, or the information network domain as described above. This is information transmitted from the center server 5 to restore the device.
  • the recovery measure 900 includes, for example, a backdate command of software operating on the device, a setting file, update software, and the like.
  • the incident detection processing unit 120 detects an incident when it occurs, based on the vehicle information stored in the vehicle information DB 171 and the map information 600 stored in the navigation system 119. When the occurrence of an incident is detected, the incident detection processing unit 120 communicates with the roadside device 3 using the wireless communication device 105, and transmits incident information 700 related to the detected incident to the center server 5 via the roadside device 3. .
  • the incident information 700 includes the location where the incident was detected, the software version of the device of the information transmission source when the incident was detected, the cause of the incident, the date and time of detection of the incident, and the like.
  • the incident detection processing unit 120 instructs a transfer stop instruction to stop information transfer between different networks, an automatic operation stop instruction to stop the automatic operation of the vehicle 2, and an incident
  • a transfer stop instruction to stop information transfer between different networks
  • an automatic operation stop instruction to stop the automatic operation of the vehicle 2
  • an incident The occurrence notification of occurrence is notified to the communication control unit 130, the function stopping unit 140, and the warning processing unit 150, respectively.
  • the communication control unit 130 relays communication between the networks connected to the in-vehicle remote monitoring device 20. For example, the brake control instruction transmitted from the brake control ECU 111 of the driving support system network domain to the brake ECU 107 of the control system network domain is transferred between these networks. Communication is performed between devices in the same network and between devices in different networks by a vehicle information packet 800 described later. When receiving the vehicle information packet 800 transmitted and received between the devices, the communication control unit 130 adds the information included in the packet to the vehicle information DB 171 as vehicle information representing the control state of the vehicle 2. That is, the information contained in the vehicle information packet 800 is stored in the vehicle information DB 171 as vehicle information in chronological order.
  • the communication control unit 130 When the communication control unit 130 receives the recovery measure 900 from the recovery measure processing unit 160, the communication control unit 130 transmits the received recovery measure 900 to the destination device. Also, upon receiving a transfer stop instruction from the incident detection processing unit 120, the communication control unit 130 cuts off communication between devices belonging to different networks.
  • the function stop unit 140 stops the automatic driving function of the vehicle 2 when receiving the automatic driving stop instruction from the incident detection processing unit 120.
  • the function stop unit 140 instructs, for example, the communication control unit 130 to block information transfer from each device of the driving support system network to each device of the control system network, or to the ADAS ECU 110 via the communication control unit 130.
  • the automatic driving function of the vehicle 2 is stopped by giving a stop instruction of the automatic driving function.
  • the warning processing unit 150 When receiving the notification of occurrence of an incident from the incident detection processing unit 120, the warning processing unit 150 uses the display device 118 to warn the user who is the driver of the vehicle 2. The warning processing unit 150 instructs the user to perform the switching operation from the automatic driving to the manual driving using the user switch 117 by displaying a predetermined screen on the display device 118, for example. When the switching operation is input in the user switch 117, the warning processing unit 150 notifies the incident detection processing unit 120 to that effect.
  • FIG. 5 is a block diagram illustrating the functional configuration of the center server 5.
  • the storage device 501 has an incident information DB 551.
  • the transmission / reception information processing unit 510 transmits / receives information to / from the roadside unit 3. For example, the transmission / reception information processing unit 510 receives the incident information 700 transmitted from the vehicle 2 via the roadside device 3. The transmission / reception information processing unit 510 stores the incident information 700 received from the vehicle 2 in the incident information DB 551.
  • the incident analysis processing unit 520 analyzes the incident information 700 stored in the incident information DB 551, and notifies the recovery measure generation unit 530 of the analysis result.
  • the recovery measure generation unit 530 generates, based on the analysis result of the incident analysis processing unit 520, a recovery measure 900 corresponding to the incident generated in the vehicle 2.
  • the transmission / reception information processing unit 510 transmits the recovery measure 900 generated by the recovery measure generation unit 530 to the vehicle 2 via the roadside unit 3.
  • FIG. 6 is an explanatory view illustrating the configuration of the map information 600.
  • the map information 600 includes information of link ID 601, speed limit 602, direction restriction 603, first latitude information 604, second latitude information 605, first longitude information 606, and second longitude information 607.
  • the link ID 601 represents a link ID attached to each road link.
  • the value of the link ID 601 identifies which road link the map information corresponds to.
  • a unique value is set in advance for each road link so that the values of the link ID do not overlap with each other.
  • the speed limit 602 represents the speed limit set for the road link corresponding to the map information. In accordance with the value of the speed limit 602, the upper limit value of the traveling speed during automatic driving of the vehicle 2 is set.
  • the direction restriction 603 represents the direction of the road link corresponding to the map information.
  • the direction restriction 603 is expressed by an angle where a predetermined direction (for example, the magnetic north direction) is 0.
  • the first latitude information 604 is a latitude value representing the position of the road link corresponding to the map information.
  • the second latitude information 605 is information indicating whether the value of the first latitude information 604 is north latitude (N) or south latitude (S).
  • the first longitude information 606 is a longitude value representing the position of the road link corresponding to the map information.
  • the second longitude information 607 is information indicating whether the value of the first longitude information 606 is east longitude (E) or west longitude (W).
  • FIG. 7 is an explanatory view illustrating the configuration of the vehicle information packet 800.
  • Vehicle information packet 800 includes information of CAN ID 801, control parameter 802, and measurement time 803.
  • the CAN ID 801 is information indicating a CAN ID set as a transmission source of the vehicle information packet 800. For each device in the network, a unique number for each device is preset as a CAN ID. When transmitting the vehicle information packet 800, each device sets information indicating the CAN ID set in itself as the CAN ID 801.
  • the control parameter 802 is information representing a control value used in control performed by the device that has received the vehicle information packet 800. Various values are set in the control parameter 802 in accordance with the contents of control performed by each device. For example, information such as an accelerator opening degree, a brake pressure, a steering angle, and an engine rotational speed can be represented by a control parameter 802.
  • the control parameter 802 can also include information indicating the operation state of the direction indicator 109, captured image data of the camera 114, and the like.
  • the measurement time 803 is information representing the transmission time (time) of the vehicle information packet 800.
  • each device sets information indicating the time at that time as the measurement time 803.
  • FIG. 8 is a flowchart of a vehicle information monitoring process performed by the CPU 102 of the in-vehicle remote monitoring device 20. The process shown in this flowchart is executed at predetermined time intervals by the CPU 102 of the on-vehicle remote monitoring device 20 mounted on the vehicle 2.
  • step S10 the CPU 102 causes the incident detection processing unit 120 to read and acquire vehicle information accumulated in the vehicle information DB 171 from the vehicle information DB 171. At this time, it is preferable to exclude vehicle information that has already been acquired in the processing up to the previous time and to extract and acquire only vehicle information that has not been acquired.
  • step S20 the CPU 102 causes the incident detection processing unit 120 to determine whether or not the vehicle 2 is in automatic driving, based on the vehicle information acquired in step S10. If it is in automatic operation, the process proceeds to step S30. If not, that is, if it is in manual operation by the user, the process proceeds to step S110.
  • step S30 the CPU 102 causes the incident detection processing unit 120 to determine whether the vehicle information acquired in step S10 violates a predetermined transmission rule.
  • the process proceeds to step S70, and when it is determined that the vehicle information does not violate, the process proceeds to step S40.
  • the determination in step S30 is performed by confirming whether the difference between the value of the measurement time 803 and the current time is less than a preset threshold.
  • these determination reference values that is, the number list of the CAN ID 801, the setting range of the control parameter 802, the threshold of the difference between the measurement time 803 and the current time, etc. There is.
  • step S40 the CPU 102 causes the incident detection processing unit 120 to determine whether or not the vehicle 2 changes the course based on the vehicle information acquired in step S10.
  • the process proceeds to step S50, and when it is determined that the course change is not performed, the vehicle information monitoring process of FIG. Specifically, for example, when the value of the control parameter 802 in the vehicle information indicates a steering angle equal to or more than a predetermined angle, it is determined that the vehicle 2 changes the course. Further, based on the map information 600 mounted on the navigation system 119, it may be determined whether the vehicle 2 changes course.
  • the direction of the road on which the vehicle 2 is traveling is obtained from the map information 600, and this is compared with vehicle information representing the steering angle, position, acceleration, etc. of the vehicle 2 to determine whether the vehicle 2 changes course. To judge. Furthermore, at this time, a photographed image of the camera 114 may be used. The determination of step S40 can be performed by various methods other than this. Note that the course change includes, for example, deviation of a traveling lane, turning to the right or left at an intersection, and the like.
  • step S50 the CPU 102 determines whether the incident direction change direction of the vehicle 2 is correctly notified by the incident detection processing unit 120 based on the vehicle information acquired in step S10. As a result, when it is determined that the course change direction is correctly notified, the process proceeds to step S60, and when it is determined that the direction is not notified, the process proceeds to step S70. Specifically, for example, the operation state of the direction indicator 109 is confirmed from the value of the control parameter 802 in the vehicle information, and the direction indicator 109 correctly operates to indicate the direction of the course change determined in step S40.
  • the determination of step S50 can be performed by determining whether
  • step S60 the CPU 102 causes the incident detection processing unit 120 to determine, based on the vehicle information acquired in step S10, whether or not there is an obstacle that hinders the change of the course of the vehicle 2.
  • the process proceeds to step S70, and when it is determined that the obstacle does not exist, the vehicle information monitoring process of FIG. 8 ends.
  • the vehicle information monitoring process of FIG. 8 ends.
  • a radar sensor (not shown) may be used instead of the camera 114 or in combination with the camera 114.
  • step S ⁇ b> 70 the CPU 102 causes the incident detection processing unit 120 to detect an incident. That is, events such as vehicle information transmission rule violation determined in step S30, notification of the incorrect course change direction determined in step S50, and the presence of an obstacle at the time of course change determined in step S60, etc. It is detected as an incident that has occurred in the vehicle 2.
  • step S80 the CPU 102 executes an automatic driving function stop process for stopping the automatic driving function of the vehicle 2.
  • the details of the automatic operation function stop processing will be described later with reference to FIG.
  • step S90 the CPU 102 causes the communication control unit 130 to block transfer of the vehicle information to another network for specific vehicle information.
  • the incident detection processing unit 120 outputs a transfer stop instruction to the communication control unit 130.
  • the communication control unit 130 that has received the transfer stop instruction from the incident detection processing unit 120 for example, blocks transfer to another network for vehicle information having CAN IDs of the respective devices belonging to the driving support network.
  • step S100 the CPU 102 causes the incident detection processing unit 120 to output the incident information 700 related to the detected incident to the wireless communication device 105, and transmits the incident information 700 to the center server 5 via the roadside device 3.
  • step S100 the vehicle information monitoring process of FIG. 8 ends.
  • step S110 the CPU 102 causes the incident detection processing unit 120 to determine whether the vehicle information acquired in step S10 violates a predetermined transmission rule. As a result, when it is determined that the vehicle information violates the transmission rule, the process proceeds to step S120, and when it is determined that the vehicle information does not violate, the vehicle information monitoring process of FIG. 8 ends.
  • the determination in step S110 can be performed in the same manner as in step S30.
  • step S120 the CPU 102 causes the incident detection processing unit 120 to detect an incident. That is, the transmission rule violation of the vehicle information determined in step S110 is detected as an incident that occurs in the vehicle 2.
  • step S130 the CPU 102 causes the communication control unit 130 to block transfer of the vehicle information to another network for specific vehicle information as in step S90.
  • step S ⁇ b> 140 the CPU 102 prohibits the operation of the automatic driving function in the vehicle 2 by the function stopping unit 140.
  • the incident detection processing unit 120 outputs an automatic operation stop instruction to the function stop unit 140.
  • the function stop unit 140 that has received the automatic operation stop instruction from the incident detection processing unit 120 prohibits the operation of the automatic operation function, for example, by instructing the ADAS ECU 110 to prohibit the automatic operation function via the communication control unit 130. .
  • step S ⁇ b> 150 the CPU 102 causes the incident detection processing unit 120 to output the incident information 700 related to the detected incident to the wireless communication device 105, and transmits the incident information 700 to the center server 5 via the roadside device 3.
  • step S150 the vehicle information monitoring process of FIG. 8 ends.
  • FIG. 9 is a flowchart of the automatic driving function stop process executed in step S80 of FIG.
  • step S210 the CPU 102 instructs the warning processing unit 150 to switch the driving mode from the automatic driving to the manual driving to the user who is the driver of the vehicle 2.
  • the incident detection processing unit 120 outputs an incident occurrence notification to the warning processing unit 150.
  • the warning processing unit 150 that has received the incident occurrence notification from the incident detection processing unit 120 instructs the display device 118 to display a predetermined screen via the communication control unit 130, for example, to switch from automatic operation to manual operation. Prompt the user to do it.
  • step S220 the CPU 102 determines whether or not the automatic driving has been switched to the manual driving.
  • the automatic driving function of the ADAS ECU 110 is stopped by the user performing a predetermined switching operation by the user switch 117 in accordance with the instruction of step S210, it is determined that the automatic driving is switched to the manual driving, and the process proceeds to step S260.
  • the switching operation is not input to the user switch 117, it is determined that the switching from the automatic driving to the manual driving is not performed, and the process proceeds to step S230.
  • step S230 the CPU 102 determines whether or not a predetermined time, for example, 10 seconds, has elapsed since the user was instructed to switch to the manual operation in step S210. If the predetermined time has elapsed, the process proceeds to step S240. If the predetermined time has not elapsed, the process returns to step S220.
  • a predetermined time for example, 10 seconds
  • step S240 the CPU 102 instructs the ADAS ECU 110 to stop the vehicle 2 on the road shoulder.
  • the vehicle 2 may be a place other than the road shoulder.
  • the vehicle 2 is stopped at a safe place. To tell.
  • step S250 the CPU 102 switches the control state of the vehicle 2 from automatic driving to manual driving.
  • the function stopping unit 140 outputs an instruction to stop the automatic driving function to the ADAS ECU 110.
  • the ADAS ECU 110 that has received this instruction can use the automatic driving function by prohibiting the brake control ECU 111, the steering control ECU 112, and the engine control ECU 113 from outputting control commands related to acceleration, steering, and braking of the vehicle 2. Lose.
  • step S260 the CPU 102 causes the warning processing unit 150 to notify the user that the use of the automatic driving is not possible.
  • the warning processing unit 150 notifies the user that automatic driving can not be used due to the occurrence of an incident, for example, by displaying a predetermined message on the display device 118 via the communication control unit 130.
  • step S ⁇ b> 270 CPU 102 prohibits the operation of the automatic driving function in vehicle 2 by function stop unit 140.
  • the function stop unit 140 prohibits the operation of the automatic driving function, for example, by instructing the ADAS ECU 110 to prohibit the automatic driving function via the communication control unit 130, as in step S140 of FIG.
  • step S270 is executed, the automatic driving function stop process of FIG. 9 is ended.
  • FIG. 10 is a sequence diagram showing the operation of the entire vehicle information network system 1.
  • the center server 5 the on-vehicle remote monitoring device 20, and each device in the network execute the process shown in FIG.
  • step S301 the center server 5 receives the incident information 700 transmitted from the in-vehicle remote monitoring device 20 via the roadside device 3 and stores the incident information 700 in the incident information DB 551.
  • step S302 the center server 5 analyzes the incident information 700 by the incident analysis processing unit 520.
  • the incident analysis processing unit 520 For example, identification of an abnormality occurrence place in the vehicle 2 and the cause thereof are analyzed.
  • step S303 based on the analysis result of the incident information performed in step S302, the center server 5 generates a recovery measure 900 such as a patch for program modification or a backdate instruction by the recovery measure generation unit 530. Then, the generated recovery measure 900 is transmitted to the on-vehicle remote monitoring device 20 via the roadside device 3.
  • a recovery measure 900 such as a patch for program modification or a backdate instruction by the recovery measure generation unit 530.
  • step S401 the on-vehicle remote monitoring device 20 receives a vehicle information packet 800 transmitted from each device of the network. And while accumulating the received vehicle information packet 800 in vehicle information DB171, according to the designated destination, the inter-domain communication which transfers to another network as needed is implemented.
  • the on-vehicle remote monitoring device 20 When an incident occurs, the on-vehicle remote monitoring device 20 performs the vehicle information monitoring process of FIG. 8 in step S402 to detect the incident that has occurred, and transmits the incident information 700 to the center server 5.
  • step S403 the on-vehicle remote monitoring device 20 confirms the state of the vehicle 2 and determines whether or not automatic driving is in progress.
  • step S403 If it is determined in step S403 that the vehicle 2 is in automatic driving, the on-vehicle remote monitoring device 20 performs the automatic driving function stop process in FIG. 9 in step S404 to make the automatic driving function for the ADAS ECU 110 Instruct to stop.
  • step S405 the on-vehicle remote monitoring device 20 receives the recovery measure 900 transmitted from the center server 5, and implements the recovery measure 900 for the device at the incident occurrence point.
  • step S501 the steering ECU 106, the brake ECU 107, the engine ECU 108, and the direction indicator 109 in the control system network domain, and the ADAS ECU 110, the brake control ECU 111, the steering control ECU 112, and the engine control ECU 113 in the driving support system network domain.
  • the camera 114, the GPS sensor 115, and the acceleration sensor 116, and the devices of the user switch 117 and the display device 118 in the information system network domain transmit the vehicle information packet 800 to other devices.
  • step S502 when the ADAS ECU 110 receives a stop instruction of the automatic driving function from the on-vehicle remote monitoring device 20, the ADAS ECU 110 stops the automatic driving function.
  • each device affected by the incident occurring in the network of the vehicle 2 applies the recovery measure 900 implemented by the on-vehicle remote monitoring device 20.
  • the on-vehicle remote monitoring device 20 is mounted on a vehicle 2 capable of automatic driving, acquires vehicle information representing a control state of the vehicle 2, and generates an incident generated in the vehicle 2 based on the acquired vehicle information. It comprises an incident detection processing unit 120 that detects. Since this is done, incidents occurring in the vehicle 2 can be detected surely and quickly.
  • the incident detection processing unit 120 detects an incident based on vehicle information when the vehicle 2 is in automatic driving. Specifically, the incident detection processing unit 120 determines whether the vehicle information violates a predetermined transmission rule (step S30), and determines that the vehicle information violates the transmission rule. Is detected (step S70). The incident detection processing unit 120 also uses vehicle information including information on the operation state of the direction indicator 109 as to whether or not the direction indicator 109 indicates the direction of the route change when the vehicle 2 changes the route. Based on the judgment (step S50), when it is judged that the turn indicator 109 does not indicate the direction of the course change, an incident is detected (step S70).
  • the incident detection processing unit 120 may use vehicle information including information on an object present in the vicinity of the vehicle 2 as to whether or not there is an obstacle that hinders the route change when the vehicle 2 changes the route. Based on the judgment (step S60), when it is judged that an obstacle exists, an incident is detected (step S70). Since this is done, when an incident occurs while the vehicle 2 is in automatic driving, this can be detected quickly and surely.
  • the vehicle 2 is equipped with a map storage device storing the map information 600, that is, the navigation system 119.
  • the incident detection processing unit 120 can determine whether the vehicle 2 changes course based on the map information 600 stored in the navigation system 119. In this way, when the vehicle 2 changes course, it can be detected reliably.
  • the incident detection processing unit 120 can also detect an incident based on vehicle information when the vehicle 2 is in a manual operation. Specifically, the incident detection processing unit 120 determines whether the vehicle information violates a predetermined transmission rule (step S110), and determines that the vehicle information violates the transmission rule. Is detected (step S120). Since it did in this way, when an incident generate
  • the on-vehicle remote monitoring device 20 further includes a function stopping unit 140 that stops the automatic driving function of the vehicle 2 and a warning processing unit 150 that warns the driver of the vehicle 2.
  • the warning processing unit 150 instructs the driver to perform switching operation from automatic driving to manual driving (step S210), and
  • step S230 If the switching operation is not performed within a predetermined time after the instruction to the driver is issued (step S230: Yes), the on-vehicle remote monitoring device 20 stops the vehicle 2 at a safe place (step S240). Since this is done, the safety of the vehicle 2 can be ensured even when the driver can not perform the manual operation immediately.
  • SYMBOLS 1 Vehicle information network system, 2 ... Vehicle, 3 ... Roadside unit, 4 ... Network, 5 ... Center server, 20 ... Vehicle-mounted remote monitoring apparatus, 101 ... Storage device, 102 ... CPU, 103 ... Memory part, 105 ... Wireless communication Device 106 106 steering ECU 107 brake ECU 108 engine ECU 109 direction indicator 110 ADAS ECU 111 brake control ECU 112 steering control ECU 113 engine control ECU 114 camera 115: GPS sensor, 116: acceleration sensor, 117: user switch, 118: display device, 119: navigation system

Landscapes

  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Radar, Positioning & Navigation (AREA)
  • Remote Sensing (AREA)
  • General Physics & Mathematics (AREA)
  • Mechanical Engineering (AREA)
  • Transportation (AREA)
  • General Engineering & Computer Science (AREA)
  • Human Computer Interaction (AREA)
  • Quality & Reliability (AREA)
  • Computing Systems (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Traffic Control Systems (AREA)
  • Navigation (AREA)
  • Computer And Data Communications (AREA)

Abstract

車載装置は、自動運転可能な車両に搭載されており、車両の制御状態を表す車両情報を取得し、車両情報に基づいて、車両において発生したインシデントを検知するインシデント検知処理部を備える。

Description

車載装置、インシデント監視方法
　本発明は、インシデント監視を行う車載装置およびこれを用いたインシデント監視方法に関する。
　近年、車両に搭載された電子制御装置（ＥＣＵ：Ｅｌｅｃｔｏｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）と外部の情報通信機器の間で通信を行うことで、車両において様々な情報を取得し、取得した情報を用いて車両の安全運転支援や自動運転を実現する技術が普及し始めている。このような技術では、ＥＣＵと外部の情報通信機器との常時接続や、情報通信機器における汎用機器や汎用プログラムの利用が進んでいることから、車両がサイバー攻撃の対象とされる危険性が高まっている。車両がサイバー攻撃を受けて暴走した場合、人的被害や物的被害が甚大となり、社会的な影響が大きい。そのため、ＥＣＵの製造メーカや自動車メーカ等に対して、サイバー攻撃の兆候（サイバーインシデント、以下では単に「インシデント」と称する）が生じた場合には、これを素早く検知し、車両を安全な状態として被害を最小限に留めることが求められている。
　車両の異常検知に関して、例えば特許文献１に記載の技術が知られている。特許文献１に記載された車両故障診断装置は、車両から取得した車両走行情報と周辺環境を認識する認識手段から取得した外部環境情報とを比較し、車両走行情報が周辺環境に応じた一般的な走行パターンから所定レベル以上乖離している場合、車両に異常が発生している可能性があると判断し、車両の故障診断を行う。
日本国特開２００７－１６１０４４号公報
　しかしながら、特許文献１に記載された技術では、車両から取得した車両走行情報と一般的な走行パターンとを比較して車両の異常判断を行っているため、インシデントが発生しても車両が一般的な走行パターンに近い走行を行っているような場合には、異常と判断することができない。したがって、車両において発生したインシデントを確実に素早く検知することができない。
　本発明による車載装置は、自動運転可能な車両に搭載されるものであって、前記車両の制御状態を表す車両情報を取得し、前記車両情報に基づいて、前記車両において発生したインシデントを検知するインシデント検知処理部を備える。
　本発明によるインシデント監視方法は、自動運転可能な車両に搭載された車載装置において、前記車両の制御状態を表す車両情報を取得し、前記車両情報に基づいて、前記車両において発生したインシデントを検知する。
　本発明によれば、車両において発生したインシデントを確実に素早く検知することができる。
本発明の一実施形態に係る車両情報ネットワークシステムの構成図 車両および車載遠隔監視装置のハードウェア構成を例示するブロック図 路側器およびセンタサーバのハードウェア構成を例示するブロック図 車載遠隔監視装置の機能構成を例示するブロック図 センタサーバの機能構成を例示するブロック図 地図情報の構成を例示する説明図 車載情報パケットの構成を例示する説明図 車載遠隔監視装置が実行する車両情報監視処理のフローチャート 自動運転機能停止処理のフローチャート 車両通信ネットワークシステムのシーケンス図
　以下、本発明の実施形態について図１～１０を参照して説明する。図１は、本発明の一実施形態に係る車両情報ネットワークシステムの構成図である。図１に示す車両情報ネットワークシステム１は、車両２、路側器３、ネットワーク４、およびセンタサーバ５を含む。
　車両２は、車載遠隔監視装置２０を搭載する。路側器３は、車両２が走行する道路の路側に、所定地点に固定して設置される。路側器３とセンタサーバ５は、ネットワーク４を介して相互に接続される。センタサーバ５は、ネットワーク４および路側器３を介して、車載遠隔監視装置２０とデータ通信を行う。
　なお、車両情報ネットワークシステム１には、車載遠隔監視装置２０をそれぞれ搭載する複数の車両２が含まれていてもよい。また、複数の路側器３がそれぞれ異なる地点に設置されていてもよい。以下の説明では、一つの車両２に搭載されている車載遠隔監視装置２０の動作を中心として説明する。
　図２は、車両２および車載遠隔監視装置２０のハードウェア構成を例示するブロック図である。車両２は、車載遠隔監視装置２０と、車載遠隔監視装置２０にそれぞれ接続されている無線通信装置１０５、ステアリングＥＣＵ１０６、ブレーキＥＣＵ１０７、エンジンＥＣＵ１０８、方向指示器１０９、ＡＤＡＳ　ＥＣＵ１１０、ブレーキ制御ＥＣＵ１１１、ステアリング制御ＥＣＵ１１２、エンジン制御ＥＣＵ１１３、カメラ１１４、ＧＰＳセンサ１１５、加速度センサ１１６、ユーザースイッチ１１７、表示装置１１８、およびナビゲーションシステム１１９とを備える。
　ステアリングＥＣＵ１０６、ブレーキＥＣＵ１０７、エンジンＥＣＵ１０８、および方向指示器１０９は、車両２の走行制御を行うための装置であり、相互に接続されてネットワークを構成している。以下では、このネットワークを「制御系ネットワークドメイン」と称する。ＡＤＡＳ　ＥＣＵ１１０、ブレーキ制御ＥＣＵ１１１、ステアリング制御ＥＣＵ１１２、エンジン制御ＥＣＵ１１３、カメラ１１４、ＧＰＳセンサ１１５、および加速度センサ１１６は、車両２の運転支援や自動運転を行うための装置であり、相互に接続されてネットワークを構成している。以下では、このネットワークを「運転支援系ネットワークドメイン」と称する。ユーザースイッチ１１７、表示装置１１８、およびナビゲーションシステム１１９は、車両２の運転者に対するユーザーインタフェースを提供するための装置であり、相互に接続されてネットワークを構成している。以下では、このネットワークを「情報系ネットワークドメイン」と称する。すなわち、車載遠隔監視装置２０は、制御系ネットワークドメインと、運転支援系ネットワークドメインと、情報系ネットワークドメインとに接続されており、これらのネットワーク内の各装置との間でデータ通信を行う。
　上記の各ネットワークにおいて、同じネットワーク内の各装置は、車載遠隔監視装置２０を介さずに直接データ通信を行うことができる。例えば、制御系ネットワークドメイン内では、車両２の走行制御のための通信が行われる。運転支援系ネットワークドメイン内では、車両２の運転支援や自動運転のための通信が行われる。情報系ネットワークドメイン内では、車両２の運転者に対するユーザーインタフェースのための通信が行われる。一方、異なるネットワークに属する装置間のデータ通信は、車載遠隔監視装置２０を介して行われる。
　無線通信装置１０５は、車載遠隔監視装置２０に接続されており、路側器３との間で無線通信を行う。車載遠隔監視装置２０は、無線通信装置１０５を介した無線通信によって、路側器３とデータ通信を行う。
　ステアリングＥＣＵ１０６は、車両２の運転者によるステアリング操作、またはステアリング制御ＥＣＵ１１２から送信されるステアリング制御命令に応じて、車両２の操舵機構を制御して進行方向制御を行う装置である。ブレーキＥＣＵ１０７は、車両２の運転者によるブレーキ操作、またはブレーキ制御ＥＣＵ１１１から送信されるブレーキ制御命令に応じて、車両２のブレーキを制御して減速制御を行う装置である。エンジンＥＣＵ１０８は、車両２の走行状態、またはエンジン制御ＥＣＵ１１３から送信されるエンジン制御命令に応じて、車両２のエンジンを制御して速度制御を行う装置である。方向指示器１０９は、車両２の運転者による方向指示操作、またはＡＤＡＳ　ＥＣＵ１１０から送信される方向指示命令に応じて、車両２に設けられたライトを点灯し、車両２が進路変更を行うときに当該進路変更の方向を周囲の他車両に通知する装置である。これらの装置により、車両２の走行制御が行われる。
　ＡＤＡＳ　ＥＣＵ１１０は、車両２の内外の情報から車両２の加速、減速、停止などを判断し、その判断結果を用いて車両２の自動運転や運転支援サービスを実現する装置である。ＡＤＡＳ　ＥＣＵ１１０は、カメラ１１４から取得した外部画像や、ＧＰＳセンサ１１５から取得した車両２の位置や、加速度センサ１１６から取得した車両２の加速度や、ナビゲーションシステム１１９が保持する車両２の周辺地図情報などを参照して、車両２の挙動を決定する。そして、ブレーキ制御ＥＣＵ１１１や、ステアリング制御ＥＣＵ１１２や、エンジン制御ＥＣＵ１１３に対して、決定した車両２の挙動に応じた制御命令をそれぞれ出力するように指示する。これにより、ＡＤＡＳ　ＥＣＵ１１０は、車両２の加速・操舵・制動を全て自動的に行い、車両２の自動運転機能を実現する。
　車両２の運転者であるユーザーは、ＡＤＡＳ　ＥＣＵ１１０の自動運転機能を利用することで、運転操作を行うことなく、車両２を目的地まで自動で走行させることが可能である。例えば、車両２が同一の走行車線を維持しながら目的地まで走行している場合、ＡＤＡＳ　ＥＣＵ１１０は、カメラ１１４から取得した外部画像に基づいて、車両２の前後における障害物の有無を確認する。なお、カメラ１１４に替えて不図示のレーダセンサ等を用いてもよい。また、ＡＤＡＳ　ＥＣＵ１１０は、ナビゲーションシステム１１９から取得した地図情報に基づいて、走行車線の形状に沿った車両２の進行方向や走行速度を決定し、これらの値に応じた制御パラメータを含む車両情報を、ブレーキ制御ＥＣＵ１１１、ステアリング制御ＥＣＵ１１２、エンジン制御ＥＣＵ１１３に対してそれぞれ送信する。これにより、車両２を走行車線に沿って自動的に走行させることができる。さらに、例えば自動運転を実施中に車両２が車線変更する場合、ＡＤＡＳ　ＥＣＵ１１０は、方向指示器１０９の動作を制御し、車線変更を行う方向に方向指示器１０９を点灯させる。また、カメラ１１４から取得した外部画像に基づいて、変更先の車線における障害物の有無を確認した上で、車線変更時の車両２の挙動を決定し、その値に応じた制御パラメータを含む車両情報を、ブレーキ制御ＥＣＵ１１１、ステアリング制御ＥＣＵ１１２、エンジン制御ＥＣＵ１１３に対してそれぞれ送信する。これにより、車両２を自動的に車線変更させることができる。
　ブレーキ制御ＥＣＵ１１１は、ＡＤＡＳ　ＥＣＵ１１０の指示に応じて、ブレーキＥＣＵ１０７に対してブレーキ強度を含むブレーキ制御命令を送信する装置である。ステアリング制御ＥＣＵ１１２は、ＡＤＡＳ　ＥＣＵ１１０の指示に応じて、ステアリングＥＣＵ１０６に対してステアリングの操作角度を含むステアリング制御命令を送信する装置である。エンジン制御ＥＣＵ１１３は、ＡＤＡＳ　ＥＣＵ１１０の指示に応じて、エンジンＥＣＵ１０８に対してエンジンの回転数を含むエンジン制御命令を送信する装置である。カメラ１１４は、車両２の周囲を撮影した画像をＡＤＡＳ　ＥＣＵ１１０に出力する装置である。ＧＰＳセンサ１１５は、衛星から信号を受信して車両２の位置を測位する測位装置である。加速度センサ１１６は、車両２の前後方向や左右方向の加速度を検知する装置である。これらの装置により、車両２の運転支援や自動運転が行われる。
　ユーザースイッチ１１７は、車両２の運転者による所定の入力操作を検出する装置である。車両２の運転者であるユーザーは、例えば車両２の自動運転や運転支援機能を無効から有効に、もしくは有効から無効に切り替える際に、ユーザースイッチ１１７を使用する。表示装置１１８は、例えば液晶モニタ等であり、運転者に対して種々の情報を表示する。例えば、車両２において自動運転や運転支援が実施されている場合は、これらの機能が有効であることを表示装置１１８に表示することで、運転者が車両２の状態を把握できるようにする。ナビゲーションシステム１１９は、道路形状等の地図情報を保持しており、ユーザーやＡＤＡＳ　ＥＣＵ１１０からの要求などに応じて、車両２周辺の地図情報を提供する装置である。これらの装置により、車両２の運転者に対するユーザーインタフェースが提供される。
　車載遠隔監視装置２０は、記憶装置１０１、ＣＰＵ１０２、およびメモリ部１０３を備える。記憶装置１０１は、例えばＨＤＤやフラッシュメモリ等の補助記憶装置である。ＣＰＵ１０２は、例えば記憶装置１０１などに記憶された所定の制御プログラムを読み込んで実行することにより、車載遠隔監視装置２０を制御する。
　メモリ部１０３は、ＣＰＵ１０２が制御プログラムを実行する際に利用する主記憶装置である。
　ＣＰＵ１０２は、インシデント検知処理部１２０、通信制御部１３０、機能停止部１４０、警告処理部１５０、および復旧策処理部１６０を機能的に備える。すなわち、インシデント検知処理部１２０、通信制御部１３０、機能停止部１４０、警告処理部１５０、および復旧策処理部１６０は、ＣＰＵ１０２が実行する制御プログラムによってソフトウェア的に実現される。インシデント検知処理部１２０、通信制御部１３０、機能停止部１４０、警告処理部１５０、および復旧策処理部１６０については、後に詳述する。
　なお、インシデント検知処理部１２０、通信制御部１３０、機能停止部１４０、警告処理部１５０、および復旧策処理部１６０を、例えばＦＰＧＡのようなＣＰＵ１０２と同等の機能を実現できる電子回路などによってそれぞれ構成することも可能である。
　図３は、路側器３およびセンタサーバ５のハードウェア構成を例示するブロック図である。路側器３は、路側器制御部２０５と無線送受信部２０６を備える。
　無線送受信部２０６は、無線信号を送受信することにより、車両２に搭載された車載遠隔監視装置２０とデータ通信を行う。路側器制御部２０５は、路側器３を制御する。路側器制御部２０５は、ネットワーク４に接続されている。路側器制御部２０５は、ネットワーク４を介してセンタサーバ５とデータ通信を行う。路側器制御部２０５は、無線送受信部２０６を制御して、センタサーバ５から送信された情報を車両２に送信したり、車両２から受信した情報をセンタサーバ５に送信したりする。
　センタサーバ５は、記憶装置５０１、ＣＰＵ５０２、およびメモリ部５０３を備える。記憶装置５０１は、例えばＨＤＤやフラッシュメモリ等の補助記憶装置である。ＣＰＵ５０２は、例えば記憶装置５０１などに記憶された所定の制御プログラムを読み込んで実行することにより、路側器３に送受信する情報を処理する。メモリ部５０３は、ＣＰＵ５０２が制御プログラムを実行する際に利用する主記憶装置である。
　ＣＰＵ５０２は、送受信情報処理部５１０、インシデント分析処理部５２０、および復旧策生成部５３０を機能的に備える。すなわち、送受信情報処理部５１０、インシデント分析処理部５２０、および復旧策生成部５３０は、ＣＰＵ５０２が実行する制御プログラムによってソフトウェア的に実現される。送受信情報処理部５１０、インシデント分析処理部５２０、および復旧策生成部５３０については、後に詳述する。
　次に、車載遠隔監視装置２０およびセンタサーバ５の機能構成について説明する。
　図４は、車載遠隔監視装置２０の機能構成を例示するブロック図である。記憶装置１０１は、車両情報ＤＢ１７１を有する。
　復旧策処理部１６０は、無線通信装置１０５を用いて路側器３と通信を行い、復旧策９００を路側器３を介してセンタサーバ５から受信する。受信した復旧策９００は、通信制御部１３０に出力される。復旧策９００は、前述の制御系ネットワークドメイン、運転支援系ネットワークドメインまたは情報系ネットワークドメインにおいて、いずれかの装置がサイバー攻撃を受けることでセキュリティ上のインシデントが発生した場合に、そのインシデント発生元の装置を復旧させるためにセンタサーバ５から送信される情報である。復旧策９００には、例えば当該装置で動作するソフトウェアのバックデート命令や設定ファイル、更新ソフトウェアなどが含まれる。
　インシデント検知処理部１２０は、車両情報ＤＢ１７１に格納されている車両情報や、ナビゲーションシステム１１９に格納されている地図情報６００に基づいて、インシデントが発生した場合にこれを検知する。インシデントの発生を検知した場合、インシデント検知処理部１２０は、無線通信装置１０５を用いて路側器３と通信を行い、検知したインシデントに関するインシデント情報７００を路側器３を介してセンタサーバ５に送信する。インシデント情報７００には、インシデントを検知した場所、インシデントを検知したときの情報送信元の装置のソフトウェアバージョン、インシデントの原因、インシデントの検知日時などが含まれる。また、インシデントの発生を検出した場合、インシデント検知処理部１２０は、異なるネットワーク間での情報転送の停止を指示する転送停止指示、車両２の自動運転の停止を指示する自動運転停止指示、インシデントの発生を通知するインシデント発生通知を、通信制御部１３０、機能停止部１４０、警告処理部１５０にそれぞれ出力する。
　通信制御部１３０は、車載遠隔監視装置２０に接続されている各ネットワーク間で通信の中継を行う。例えば、運転支援系ネットワークドメインのブレーキ制御ＥＣＵ１１１から制御系ネットワークドメインのブレーキＥＣＵ１０７に送信されるブレーキ制御指示を、これらのネットワーク間で転送する。同一ネットワーク内の装置間および異なるネットワークの装置間では、後述する車両情報パケット８００により通信が行われる。通信制御部１３０は、各装置間で送受信される車両情報パケット８００を受信すると、そのパケットに含まれる情報を、車両２の制御状態を表す車両情報として車両情報ＤＢ１７１に追記する。すなわち、車両情報ＤＢ１７１には、車両情報パケット８００に含まれる情報が時系列順に車両情報として格納される。
　通信制御部１３０は、復旧策処理部１６０から復旧策９００を受信すると、受信した復旧策９００をあて先の装置に送信する。また、通信制御部１３０は、インシデント検知処理部１２０から転送停止指示を受けると、異なるネットワークに属する各装置間の通信を遮断する。
　機能停止部１４０は、インシデント検知処理部１２０から自動運転停止指示を受けると、車両２の自動運転機能を停止する。機能停止部１４０は、例えば、運転支援系ネットワークの各装置から制御系ネットワークの各装置への情報転送を遮断するように通信制御部１３０に指示したり、通信制御部１３０を介してＡＤＡＳ　ＥＣＵ１１０に自動運転機能の停止指示を行ったりすることで、車両２の自動運転機能を停止する。
　警告処理部１５０は、インシデント検知処理部１２０からインシデント発生通知を受けると、表示装置１１８を用いて、車両２の運転者であるユーザーに対して警告を行う。警告処理部１５０は、例えば、表示装置１１８に所定の画面を表示することで、ユーザーに対して、ユーザースイッチ１１７を用いて自動運転から手動運転への切り替え操作を行うように指示する。ユーザースイッチ１１７において切り替え操作が入力されると、警告処理部１５０は、その旨をインシデント検知処理部１２０に通知する。
　図５は、センタサーバ５の機能構成を例示するブロック図である。記憶装置５０１は、インシデント情報ＤＢ５５１を有する。
　送受信情報処理部５１０は、路側器３との情報の送受信を行う。例えば、送受信情報処理部５１０は、車両２から送信されたインシデント情報７００を路側器３を経由して受信する。送受信情報処理部５１０は、車両２から受信したインシデント情報７００を、インシデント情報ＤＢ５５１に格納する。
　インシデント分析処理部５２０は、インシデント情報ＤＢ５５１に格納されているインシデント情報７００を分析し、その分析結果を復旧策生成部５３０に通知する。
　復旧策生成部５３０は、インシデント分析処理部５２０の分析結果に基づいて、車両２において発生したインシデントに対応する復旧策９００を生成する。送受信情報処理部５１０は、復旧策生成部５３０により生成された復旧策９００を路側器３を経由して車両２に送信する。
　図６は、地図情報６００の構成を例示する説明図である。地図情報６００は、リンクＩＤ６０１、制限速度６０２、方向制限６０３、第１緯度情報６０４、第２緯度情報６０５、第１経度情報６０６、および第２経度情報６０７の各情報を含む。
　リンクＩＤ６０１は、道路リンクごとに付されたリンクＩＤを表す。このリンクＩＤ６０１の値により、当該地図情報がどの道路リンクに対応するものであるかが特定される。なお、リンクＩＤの値は、互いに重複しないように、道路リンクごとに固有の値が予め設定されている。
　制限速度６０２は、当該地図情報に対応する道路リンクに対して設定されている制限速度を表す。この制限速度６０２の値に応じて、車両２の自動運転中における走行速度の上限値が設定される。
　方向制限６０３は、当該地図情報に対応する道路リンクの向きを表す。方向制限６０３は、所定方向（例えば磁北方向）を０とする角度で表現される。
　第１緯度情報６０４は、当該地図情報に対応する道路リンクの位置を表す緯度値である。第２緯度情報６０５は、第１緯度情報６０４の値が北緯（Ｎ）か南緯（Ｓ）かを表す情報である。第１経度情報６０６は、当該地図情報に対応する道路リンクの位置を表す経度値である。第２経度情報６０７は、第１経度情報６０６の値が東経（Ｅ）か西経（Ｗ）かを表す情報である。
　図７は、車両情報パケット８００の構成を例示する説明図である。車両情報パケット８００は、ＣＡＮ　ＩＤ８０１、制御パラメータ８０２、および測定時間８０３の各情報を含む。
　ＣＡＮ　ＩＤ８０１は、車両情報パケット８００の送信元に設定されているＣＡＮ　ＩＤを示す情報である。ネットワーク内の各装置には、装置ごとに固有の番号がＣＡＮ　ＩＤとして予め設定されている。各装置は、車両情報パケット８００を送信する際に、自身に設定されているＣＡＮ　ＩＤを示す情報をＣＡＮ　ＩＤ８０１として設定する。
　制御パラメータ８０２は、車両情報パケット８００を受信した装置が行う制御において使用される制御値を表す情報である。制御パラメータ８０２には、各装置で行われる制御の内容に応じて様々な値が設定される。例えば、アクセル開度、ブレーキ圧、操舵角、エンジン回転数などの情報を、制御パラメータ８０２で表すことができる。また、方向指示器１０９の動作状態を表す情報や、カメラ１１４の撮影画像データなども、制御パラメータ８０２に含めることができる。
　測定時間８０３は、車両情報パケット８００の送信時間（時刻）を表す情報である。各装置は、車両情報パケット８００を送信する際に、そのときの時刻を示す情報を測定時間８０３として設定する。
　図８は、車載遠隔監視装置２０のＣＰＵ１０２が実行する車両情報監視処理のフローチャートである。このフローチャートに示す処理は、車両２に搭載された車載遠隔監視装置２０のＣＰＵ１０２において、所定時間ごとに実行される。
　ステップＳ１０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、車両情報ＤＢ１７１に蓄積されている車両情報を車両情報ＤＢ１７１から読み出して取得する。このとき、前回までの処理で既に取得済みの車両情報を除外し、未取得の車両情報のみを抽出して取得することが好ましい。
　ステップＳ２０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、ステップＳ１０で取得した車両情報に基づいて、車両２が自動運転中であるか否かを判定する。自動運転中であれば処理をステップＳ３０に進め、そうでない場合、すなわちユーザーによる手動運転中の場合は処理をステップＳ１１０に進める。
　ステップＳ３０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、ステップＳ１０で取得した車両情報が所定の送信ルールに違反しているか否かを判定する。その結果、車両情報が送信ルールに違反していると判定した場合は処理をステップＳ７０に進め、違反していないと判定した場合は処理をステップＳ４０に進める。具体的には、例えば、ＣＡＮ　ＩＤ８０１の値が予め登録された番号リストに含まれているか否かを確認したり、制御パラメータ８０２の値が予め設定された範囲内であるか否かを確認したり、測定時間８０３の値と現在時刻との差が予め設定された閾値未満であるか否かを確認したりすることで、ステップＳ３０の判定が行われる。なお、車載遠隔監視装置２０では、これらの判定基準値、すなわちＣＡＮ　ＩＤ８０１の番号リスト、制御パラメータ８０２の設定範囲、測定時間８０３と現在時刻との差の閾値などが、送信ルールとして予め設定されている。
　ステップＳ４０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、ステップＳ１０で取得した車両情報に基づいて、車両２が進路変更を行うか否かを判定する。その結果、車両２が進路変更を行うと判定した場合は処理をステップＳ５０に進め、進路変更を行わないと判定した場合は図８の車両情報監視処理を終了する。具体的には、例えば、車両情報における制御パラメータ８０２の値が所定角度以上の操舵角を表している場合に、車両２が進路変更を行うと判断する。また、ナビゲーションシステム１１９に搭載された地図情報６００に基づいて、車両２が進路変更を行うか否かを判断してもよい。例えば、地図情報６００から車両２が走行している道路の向きを求め、これを車両２の操舵角、位置、加速度などを表す車両情報と比較することで、車両２が進路変更を行うか否かを判断する。さらにこのとき、カメラ１１４の撮影画像などを利用してもよい。これ以外にも様々な方法でステップＳ４０の判定を行うことが可能である。なお、進路変更には、例えば走行車線の逸脱や、交差点での右左折等が含まれる。
　ステップＳ５０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、ステップＳ１０で取得した車両情報に基づいて、車両２の進路変更方向を正しく通知しているか否かを判定する。その結果、進路変更方向を正しく通知していると判定した場合は処理をステップＳ６０へ進め、通知していないと判定した場合は処理をステップＳ７０へ進める。具体的には、例えば、車両情報における制御パラメータ８０２の値から方向指示器１０９の動作状態を確認し、方向指示器１０９がステップＳ４０で判断した進路変更の方向を正しく示す動作をしているか否かを判断することで、ステップＳ５０の判定を行うことができる。
　ステップＳ６０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、ステップＳ１０で取得した車両情報に基づいて、車両２の進路変更の妨げとなる障害物が存在するか否かを判定する。その結果、障害物が存在すると判定した場合は処理をステップＳ７０へ進め、存在しないと判定した場合は図８の車両情報監視処理を終了する。具体的には、例えば、カメラ１１４で取得された画像情報を表す車両情報に基づいて、進路変更の際に車両２の周囲に、進路変更の妨げとなる他車両や物体が存在するかを判断する。その結果、進路変更の妨げとなる他車両や物体が存在する場合は、それを障害物と認識する。このとき、カメラ１１４に替えて、またはカメラ１１４と併用して、不図示のレーダセンサ等を用いてもよい。
　ステップＳ７０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、インシデントを検知する。すなわち、ステップＳ３０で判定された車両情報の送信ルール違反や、ステップＳ５０で判定された不正な進路変更方向の通知や、ステップＳ６０で判定された進路変更時の障害物の存在などの事象を、車両２において発生したインシデントとして検知する。
　ステップＳ８０において、ＣＰＵ１０２は、車両２の自動運転機能を停止するための自動運転機能停止処理を実行する。この自動運転機能停止処理の詳細については、後で図９を参照して説明する。
　ステップＳ９０において、ＣＰＵ１０２は、通信制御部１３０により、特定の車両情報を対象に、当該車両情報の他のネットワークへの転送を遮断する。このときインシデント検知処理部１２０は、通信制御部１３０に転送停止指示を出力する。インシデント検知処理部１２０から転送停止指示を受けた通信制御部１３０は、例えば、運転支援系ネットワークに属する各装置のＣＡＮ　ＩＤを有する車両情報を対象に、他のネットワークへの転送を遮断する。
　ステップＳ１００において、ＣＰＵ１０２は、インシデント検知処理部１２０により、検知したインシデントに関するインシデント情報７００を無線通信装置１０５に出力し、路側器３を介してセンタサーバ５に送信する。ステップＳ１００を実行したら、図８の車両情報監視処理を終了する。
　車両２が自動運転中でない場合、ステップＳ１１０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、ステップＳ１０で取得した車両情報が所定の送信ルールに違反しているか否かを判定する。その結果、車両情報が送信ルールに違反していると判定した場合は処理をステップＳ１２０に進め、違反していないと判定した場合は図８の車両情報監視処理を終了する。なお、ステップＳ１１０の判定は、ステップＳ３０と同様にして行うことができる。
　ステップＳ１２０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、インシデントを検知する。すなわち、ステップＳ１１０で判定された車両情報の送信ルール違反を、車両２において発生したインシデントとして検知する。
　ステップＳ１３０において、ＣＰＵ１０２は、通信制御部１３０により、ステップＳ９０と同様にして、特定の車両情報を対象に、当該車両情報の他のネットワークへの転送を遮断する。
　ステップＳ１４０において、ＣＰＵ１０２は、機能停止部１４０により、車両２における自動運転機能の動作を禁止する。このときインシデント検知処理部１２０は、機能停止部１４０に自動運転停止指示を出力する。インシデント検知処理部１２０から自動運転停止指示を受けた機能停止部１４０は、例えば、通信制御部１３０を介してＡＤＡＳ　ＥＣＵ１１０に自動運転機能の禁止指示を行うことで、自動運転機能の動作を禁止する。
　ステップＳ１５０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、検知したインシデントに関するインシデント情報７００を無線通信装置１０５に出力し、路側器３を介してセンタサーバ５に送信する。ステップＳ１５０を実行したら、図８の車両情報監視処理を終了する。
　図９は、図８のステップＳ８０で実行される自動運転機能停止処理のフローチャートである。
　ステップＳ２１０において、ＣＰＵ１０２は、警告処理部１５０により、自動運転から手動運転への切り替えを車両２の運転者であるユーザーに指示する。このときインシデント検知処理部１２０は、警告処理部１５０にインシデント発生通知を出力する。インシデント検知処理部１２０からインシデント発生通知を受けた警告処理部１５０は、例えば、通信制御部１３０を介して表示装置１１８に所定の画面表示を指示することで、自動運転から手動運転への切り替えを行うようにユーザーに促す。
　ステップＳ２２０において、ＣＰＵ１０２は、自動運転から手動運転に切り替えられたか否かを判定する。ステップＳ２１０の指示に応じてユーザーがユーザースイッチ１１７により所定の切り替え操作を行うことで、ＡＤＡＳ　ＥＣＵ１１０の自動運転機能が停止された場合、自動運転から手動運転に切り替えられたと判定してステップＳ２６０に進む。一方、ユーザースイッチ１１７に対して切り替え操作が入力されていない場合、自動運転から手動運転への切り替えが行われていないと判定し、ステップＳ２３０に進む。
　ステップＳ２３０において、ＣＰＵ１０２は、ステップＳ２１０で手動運転への切り替えをユーザーに指示してから一定時間、例えば１０秒間が経過したか否かを判定する。一定時間が経過した場合はステップＳ２４０に進み、経過していない場合はステップＳ２２０に戻る。
　ステップＳ２４０において、ＣＰＵ１０２は、ＡＤＡＳ　ＥＣＵ１１０に対して、車両２を路肩に停止させるように指示する。なお、車両２が安全に停止可能な場所であれば、路肩以外の場所であってもよい。これにより、ステップＳ２１０で手動運転への切り替えをユーザーに指示してから一定時間内に、ユーザースイッチ１１７に対して所定の切り替え操作が行われない場合には、車両２を安全な場所に停止させるように指示する。
　ステップＳ２５０において、ＣＰＵ１０２は、車両２の制御状態を自動運転から手動運転に切り替える。例えば、機能停止部１４０からＡＤＡＳ　ＥＣＵ１１０に対して、自動運転機能を停止する指示を出力する。この指示を受けたＡＤＡＳ　ＥＣＵ１１０は、ブレーキ制御ＥＣＵ１１１、ステアリング制御ＥＣＵ１１２、およびエンジン制御ＥＣＵ１１３に対して、車両２の加速・操舵・制動に関する制御命令の出力を禁止することで、自動運転機能を利用できなくする。ステップＳ２５０を実行したら、処理をステップＳ２６０に進める。
　ステップＳ２６０において、ＣＰＵ１０２は、警告処理部１５０により、自動運転の利用が不可であることをユーザーに通知する。このとき警告処理部１５０は、例えば、通信制御部１３０を介して表示装置１１８に所定のメッセージを表示させることで、インシデントの発生により自動運転が利用できないことをユーザーに通知する。
　ステップＳ２７０において、ＣＰＵ１０２は、機能停止部１４０により、車両２における自動運転機能の動作を禁止する。このとき機能停止部１４０は、図８のステップＳ１４０と同様に、例えば、通信制御部１３０を介してＡＤＡＳ　ＥＣＵ１１０に自動運転機能の禁止指示を行うことで、自動運転機能の動作を禁止する。ステップＳ２７０を実行したら、図９の自動運転機能停止処理を終了する。
　次に、車両情報ネットワークシステム１全体の動作について説明する。図１０は、車両情報ネットワークシステム１全体の動作を示すシーケンス図である。車両情報ネットワークシステム１において、センタサーバ５、車載遠隔監視装置２０、およびネットワーク内の各装置は、それぞれ図１０に示す処理を実行する。
　ステップＳ３０１において、センタサーバ５は、車載遠隔監視装置２０から路側器３を介して送信されたインシデント情報７００を受信し、インシデント情報ＤＢ５５１に保存する。
　ステップＳ３０２において、センタサーバ５は、インシデント分析処理部５２０によりインシデント情報７００の分析を行う。ここでは、例えば車両２における異常発生箇所の特定や、その原因を分析する。
　ステップＳ３０３において、センタサーバ５は、ステップＳ３０２で行ったインシデント情報の分析結果に基づいて、復旧策生成部５３０により、プログラム修正用のパッチやバックデート指示などの復旧策９００を生成する。そして、生成した復旧策９００を、路側器３を介して車載遠隔監視装置２０に送信する。
　ステップＳ４０１において、車載遠隔監視装置２０は、ネットワークの各装置から送信される車両情報パケット８００を受信する。そして、受信した車両情報パケット８００を車両情報ＤＢ１７１に蓄積すると共に、指定されたあて先に従い、必要に応じて他のネットワークに転送するドメイン間通信を実施する。
　インシデントが発生した場合、ステップＳ４０２において車載遠隔監視装置２０は、図８の車両情報監視処理を実施することで、発生したインシデントを検知し、センタサーバ５にインシデント情報７００を送信する。
　ステップＳ４０３において、車載遠隔監視装置２０は、車両２の状態を確認し、自動運転中であるか否かを判断する。
　ステップＳ４０３で車両２が自動運転中であると判断した場合、ステップＳ４０４において、車載遠隔監視装置２０は、図９の自動運転機能停止処理を実施することで、ＡＤＡＳ　ＥＣＵ１１０に対して自動運転機能の停止を指示する。
　ステップＳ４０５において、車載遠隔監視装置２０は、センタサーバ５から送信された復旧策９００を受信し、インシデント発生箇所の装置に対して復旧策９００を実施する。
　ステップＳ５０１において、制御系ネットワークドメイン内のステアリングＥＣＵ１０６、ブレーキＥＣＵ１０７、エンジンＥＣＵ１０８、および方向指示器１０９の各装置と、運転支援系ネットワークドメイン内のＡＤＡＳ　ＥＣＵ１１０、ブレーキ制御ＥＣＵ１１１、ステアリング制御ＥＣＵ１１２、エンジン制御ＥＣＵ１１３、カメラ１１４、ＧＰＳセンサ１１５、および加速度センサ１１６の各装置と、情報系ネットワークドメイン内のユーザースイッチ１１７および表示装置１１８の各装置は、車両情報パケット８００を他の装置に送信する。
　ステップＳ５０２において、ＡＤＡＳ　ＥＣＵ１１０は、車載遠隔監視装置２０から自動運転機能の停止指示を受けると、自動運転機能を停止する。
　ステップＳ５０３において、車両２のネットワーク内で発生したインシデントの影響を受ける各装置は、車載遠隔監視装置２０が実施した復旧策９００を適用する。
　以上説明した本発明の一実施形態によれば、以下の作用効果を奏する。
（１）車載遠隔監視装置２０は、自動運転可能な車両２に搭載されており、車両２の制御状態を表す車両情報を取得し、取得した車両情報に基づいて、車両２において発生したインシデントを検知するインシデント検知処理部１２０を備える。このようにしたので、車両２において発生したインシデントを確実に素早く検知することができる。
（２）インシデント検知処理部１２０は、車両２が自動運転中のときの車両情報に基づいて、インシデントを検知する。具体的には、インシデント検知処理部１２０は、車両情報が所定の送信ルールに違反しているか否かを判断し（ステップＳ３０）、車両情報が送信ルールに違反していると判断した場合にインシデントを検知する（ステップＳ７０）。また、インシデント検知処理部１２０は、車両２が進路変更を行うときに方向指示器１０９が当該進路変更の方向を示しているか否かを、方向指示器１０９の動作状態に関する情報を含む車両情報に基づいて判断し（ステップＳ５０）、方向指示器１０９が当該進路変更の方向を示していないと判断した場合にインシデントを検知する（ステップＳ７０）。また、インシデント検知処理部１２０は、車両２が進路変更を行うときに当該進路変更の妨げとなる障害物が存在するか否かを、車両２の周辺に存在する物体に関する情報を含む車両情報に基づいて判断し（ステップＳ６０）、障害物が存在すると判断した場合にインシデントを検知する（ステップＳ７０）。このようにしたので、車両２が自動運転中のときにインシデントが発生した場合に、これを確実に素早く検知することができる。
（３）車両２は、地図情報６００を記憶する地図記憶装置、すなわちナビゲーションシステム１１９を搭載している。インシデント検知処理部１２０は、ステップＳ４０において、ナビゲーションシステム１１９に記憶された地図情報６００に基づいて、車両２が進路変更を行うか否かを判断することができる。このようにすれば、車両２が進路変更を行うときに、これを確実に検知することができる。
（４）インシデント検知処理部１２０は、車両２が手動運転中のときの車両情報に基づいて、インシデントを検知することもできる。具体的には、インシデント検知処理部１２０は、車両情報が所定の送信ルールに違反しているか否かを判断し（ステップＳ１１０）、車両情報が送信ルールに違反していると判断した場合にインシデントを検知する（ステップＳ１２０）。このようにしたので、車両２が手動運転中のときにインシデントが発生した場合に、これを確実に素早く検知することができる。
（５）車載遠隔監視装置２０は、車両２の自動運転機能を停止する機能停止部１４０と、車両２の運転者に対して警告を行う警告処理部１５０と、をさらに備える。インシデント検知処理部１２０は、車両２が自動運転中のときにインシデントを検知すると、警告処理部１５０を用いて自動運転から手動運転への切り替え操作を運転者に指示し（ステップＳ２１０）、その後、機能停止部１４０に自動運転機能を停止させる（ステップＳ２７０）。このようにしたので、車両２においてインシデントが発生した場合に、自動運転から手動運転への切り替えを安全に行うことができる。
（６）なお、運転者への指示を行ってから一定時間内に切り替え操作が行われない場合（ステップＳ２３０：Ｙｅｓ）、車載遠隔監視装置２０は、車両２を安全な場所に停止させる（ステップＳ２４０）。このようにしたので、運転者が即時に手動運転を行えない場合でも、車両２の安全を確保することができる。
　なお、以上説明した実施形態や各種の変形例はあくまで一例である。本発明の特徴を損なわない限り、本発明は上記実施の形態に限定されるものではなく、本発明の技術的思想の範囲内で考えられるその他の形態についても、本発明の範囲内に含まれる。
　次の優先権基礎出願の開示内容は引用文としてここに組み込まれる。
　日本国特許出願２０１７年第１６８８８２号（２０１７年９月１日出願）
１…車両情報ネットワークシステム、２…車両、３…路側器、４…ネットワーク、５…センタサーバ、２０…車載遠隔監視装置、１０１…記憶装置、１０２…ＣＰＵ、１０３…メモリ部、１０５…無線通信装置、１０６…ステアリングＥＣＵ、１０７…ブレーキＥＣＵ、１０８…エンジンＥＣＵ、１０９…方向指示器、１１０…ＡＤＡＳ　ＥＣＵ、１１１…ブレーキ制御ＥＣＵ、１１２…ステアリング制御ＥＣＵ、１１３…エンジン制御ＥＣＵ、１１４…カメラ、１１５…ＧＰＳセンサ、１１６…加速度センサ、１１７…ユーザースイッチ、１１８…表示装置、１１９…ナビゲーションシステム
 

Claims (11)

  1. 　自動運転可能な車両に搭載される車載装置であって、
    　前記車両の制御状態を表す車両情報を取得し、前記車両情報に基づいて、前記車両において発生したインシデントを検知するインシデント検知処理部を備える車載装置。
  2. 　請求項１に記載の車載装置において、
    　前記インシデント検知処理部は、前記車両が自動運転中のときの前記車両情報に基づいて、前記インシデントを検知する車載装置。
  3. 　請求項２に記載の車載装置において、
    　前記インシデント検知処理部は、前記車両情報が所定の送信ルールに違反しているか否かを判断し、前記車両情報が前記送信ルールに違反していると判断した場合に前記インシデントを検知する車載装置。
  4. 　請求項２に記載の車載装置において、
    　前記車両情報は、前記車両の方向指示器の動作状態に関する情報を含み、
    　前記インシデント検知処理部は、前記車両が進路変更を行うときに前記方向指示器が当該進路変更の方向を示しているか否かを前記車両情報に基づいて判断し、前記方向指示器が前記方向を示していないと判断した場合に前記インシデントを検知する車載装置。
  5. 　請求項２に記載の車載装置において、
    　前記車両情報は、前記車両の周辺に存在する物体に関する情報を含み、
    　前記インシデント検知処理部は、前記車両が進路変更を行うときに当該進路変更の妨げとなる障害物が存在するか否かを前記車両情報に基づいて判断し、前記障害物が存在すると判断した場合に前記インシデントを検知する車載装置。
  6. 　請求項４または請求項５に記載の車載装置において、
    　前記車両は、地図情報を記憶する地図記憶装置を搭載しており、
    　前記インシデント検知処理部は、前記地図記憶装置に記憶された前記地図情報に基づいて、前記車両が進路変更を行うか否かを判断する車載装置。
  7. 　請求項１に記載の車載装置において、
    　前記インシデント検知処理部は、前記車両が手動運転中のときの前記車両情報に基づいて、前記インシデントを検知する車載装置。
  8. 　請求項７に記載の車載装置において、
    　前記インシデント検知処理部は、前記車両情報が所定の送信ルールに違反しているか否かを判断し、前記車両情報が前記送信ルールに違反していると判断した場合に前記インシデントを検知する車載装置。
  9. 　請求項１から請求項８までのいずれか一項に記載の車載装置において、
    　前記車両の自動運転機能を停止する機能停止部と、
    　前記車両の運転者に対して警告を行う警告処理部と、をさらに備え、
    　前記インシデント検知処理部は、前記車両が自動運転中のときに前記インシデントを検知すると、前記警告処理部を用いて自動運転から手動運転への切り替え操作を前記運転者に指示した後、前記機能停止部に前記自動運転機能を停止させる車載装置。
  10. 　請求項９に記載の車載装置において、
    　前記運転者への指示を行ってから一定時間内に前記切り替え操作が行われない場合、前記車両を安全な場所に停止させる車載装置。
  11. 　自動運転可能な車両に搭載された車載装置におけるインシデント監視方法であって、
    　前記車両の制御状態を表す車両情報を取得し、
    　前記車両情報に基づいて、前記車両において発生したインシデントを検知するインシデント監視方法。
PCT/JP2018/026903 2017-09-01 2018-07-18 車載装置、インシデント監視方法 WO2019044230A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US16/643,456 US11332163B2 (en) 2017-09-01 2018-07-18 In-vehicle device and incident monitoring method
CN201880056186.9A CN111094081B (zh) 2017-09-01 2018-07-18 车载装置、事件监视方法
EP18849835.6A EP3677476A4 (en) 2017-09-01 2018-07-18 VEHICLE MOUNTED DEVICE AND PROCEDURE FOR ACCIDENT MONITORING

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017-168882 2017-09-01
JP2017168882A JP6808595B2 (ja) 2017-09-01 2017-09-01 車載装置、インシデント監視方法

Publications (1)

Publication Number Publication Date
WO2019044230A1 true WO2019044230A1 (ja) 2019-03-07

Family

ID=65525349

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/026903 WO2019044230A1 (ja) 2017-09-01 2018-07-18 車載装置、インシデント監視方法

Country Status (5)

Country Link
US (1) US11332163B2 (ja)
EP (1) EP3677476A4 (ja)
JP (1) JP6808595B2 (ja)
CN (1) CN111094081B (ja)
WO (1) WO2019044230A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023188359A1 (ja) * 2022-03-31 2023-10-05 日本電信電話株式会社 電力需給制御装置、電力需給制御方法、及びプログラム
WO2024100930A1 (ja) * 2022-11-11 2024-05-16 パナソニックオートモーティブシステムズ株式会社 情報提供方法及び情報処理装置

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11373520B2 (en) * 2018-11-21 2022-06-28 Industrial Technology Research Institute Method and device for sensing traffic environment
JP7140037B2 (ja) 2019-04-15 2022-09-21 トヨタ自動車株式会社 車両遠隔指示システム
US11310269B2 (en) * 2019-10-15 2022-04-19 Baidu Usa Llc Methods to detect spoofing attacks on automated driving systems
JP2022034782A (ja) * 2020-08-19 2022-03-04 トヨタ自動車株式会社 情報処理装置、車両、及び、情報処理方法
JPWO2022244200A1 (ja) * 2021-05-20 2022-11-24
CN114419893B (zh) * 2022-01-30 2023-02-28 重庆长安汽车股份有限公司 一种基于车端数据的道路问题检测方法及可读存储介质

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007161044A (ja) 2005-12-13 2007-06-28 Toyota Motor Corp 車両故障診断装置及び方法
JP2013131907A (ja) * 2011-12-21 2013-07-04 Toyota Motor Corp 車両ネットワーク監視装置
JP2014106854A (ja) * 2012-11-29 2014-06-09 Toyota Infotechnology Center Co Ltd 自動運転車両制御装置および方法
JP2017047835A (ja) * 2015-09-04 2017-03-09 日立オートモティブシステムズ株式会社 車載ネットワーク装置
JP2017092835A (ja) * 2015-11-16 2017-05-25 日立オートモティブシステムズ株式会社 処理装置および車両制御システム
JP2017168882A (ja) 2016-03-14 2017-09-21 カシオ計算機株式会社 画像処理装置、画像処理方法及びプログラム

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8942882B2 (en) * 2004-07-02 2015-01-27 The Boeing Company Vehicle health management systems and methods
EP2909065B1 (en) * 2012-10-17 2020-08-26 Tower-Sec Ltd. A device for detection and prevention of an attack on a vehicle
KR101518929B1 (ko) * 2013-12-16 2015-05-15 현대자동차 주식회사 텔레매틱스 원격 제어 차량의 외부 해킹 차단 방법 및 시스템
US20150191151A1 (en) * 2014-01-06 2015-07-09 Argus Cyber Security Ltd. Detective watchman
US9248834B1 (en) * 2014-10-02 2016-02-02 Google Inc. Predicting trajectories of objects based on contextual information
US9290174B1 (en) * 2014-10-23 2016-03-22 GM Global Technology Operations LLC Method and system for mitigating the effects of an impaired driver
EP3624081A1 (en) * 2014-10-30 2020-03-18 Mitsubishi Electric Corporation In-vehicle device and autonomous vehicle including such an in-vehicle device
JP6298021B2 (ja) * 2015-07-30 2018-03-20 トヨタ自動車株式会社 攻撃検知システムおよび攻撃検知方法
CN105711588B (zh) 2016-01-20 2018-05-11 奇瑞汽车股份有限公司 一种车道保持辅助系统和车道保持辅助方法
JP6964271B2 (ja) * 2016-03-31 2021-11-10 パナソニックＩｐマネジメント株式会社 運転支援方法およびそれを利用した運転支援装置、自動運転制御装置、車両、プログラム
US11024160B2 (en) * 2016-11-07 2021-06-01 Nio Usa, Inc. Feedback performance control and tracking
US10471963B2 (en) * 2017-04-07 2019-11-12 TuSimple System and method for transitioning between an autonomous and manual driving mode based on detection of a drivers capacity to control a vehicle
JP6624158B2 (ja) * 2017-05-22 2019-12-25 株式会社デンソー 電子制御装置

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007161044A (ja) 2005-12-13 2007-06-28 Toyota Motor Corp 車両故障診断装置及び方法
JP2013131907A (ja) * 2011-12-21 2013-07-04 Toyota Motor Corp 車両ネットワーク監視装置
JP2014106854A (ja) * 2012-11-29 2014-06-09 Toyota Infotechnology Center Co Ltd 自動運転車両制御装置および方法
JP2017047835A (ja) * 2015-09-04 2017-03-09 日立オートモティブシステムズ株式会社 車載ネットワーク装置
JP2017092835A (ja) * 2015-11-16 2017-05-25 日立オートモティブシステムズ株式会社 処理装置および車両制御システム
JP2017168882A (ja) 2016-03-14 2017-09-21 カシオ計算機株式会社 画像処理装置、画像処理方法及びプログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3677476A4

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023188359A1 (ja) * 2022-03-31 2023-10-05 日本電信電話株式会社 電力需給制御装置、電力需給制御方法、及びプログラム
WO2024100930A1 (ja) * 2022-11-11 2024-05-16 パナソニックオートモーティブシステムズ株式会社 情報提供方法及び情報処理装置

Also Published As

Publication number Publication date
EP3677476A4 (en) 2021-06-02
US20200361493A1 (en) 2020-11-19
CN111094081A (zh) 2020-05-01
US11332163B2 (en) 2022-05-17
CN111094081B (zh) 2022-11-08
JP2019046176A (ja) 2019-03-22
EP3677476A1 (en) 2020-07-08
JP6808595B2 (ja) 2021-01-06

Similar Documents

Publication Publication Date Title
JP6808595B2 (ja) 車載装置、インシデント監視方法
WO2018150930A1 (ja) 車載ゲートウェイ装置、通信遮断方法
JP6834805B2 (ja) 電子制御装置
JP6968722B2 (ja) 車載装置、インシデント監視方法
JP6451537B2 (ja) 運転支援制御装置
EP2381431B1 (en) Drive assistance apparatus
WO2016194297A1 (ja) 車載装置
US20210086792A1 (en) Method of assisting a motor vehicle
US20210089018A1 (en) Method for controlling a motor vehicle remotely
JP2007320536A (ja) 並走車両監視装置
JP2009265760A (ja) 車両用通報装置
CN111645705A (zh) 一种下发驾驶路线调整的方法和一种服务器
CN107985306B (zh) 驾驶员辅助系统
JP4265992B2 (ja) 運転支援装置
KR20210043066A (ko) 교차로 신호위반 차량 경고 장치 및 방법
CN115440085A (zh) 基于车道保持的弯道预警方法、装置、车辆、设备及介质
JP2018169945A (ja) 運転支援装置、運転支援方法及び運転支援プログラム
JP2018151716A (ja) 情報処理装置、リスク回避通知方法、およびリスク回避通知プログラム
JP2021170180A (ja) 自動車
JP2017004339A (ja) 車両用運転者支援装置
JP2021061516A (ja) 車両遠隔操作装置
US11994855B2 (en) Method for controlling a motor vehicle remotely
US11809180B2 (en) Method for controlling a motor vehicle remotely
WO2023033004A1 (ja) 地図更新システム、車載器、および、サーバ
US20210089025A1 (en) Method for controlling a motor vehicle remotely

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18849835

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2018849835

Country of ref document: EP

Effective date: 20200401