WO2019239798A1 - 電子制御装置および電子制御システム - Google Patents

電子制御装置および電子制御システム Download PDF

Info

Publication number
WO2019239798A1
WO2019239798A1 PCT/JP2019/019866 JP2019019866W WO2019239798A1 WO 2019239798 A1 WO2019239798 A1 WO 2019239798A1 JP 2019019866 W JP2019019866 W JP 2019019866W WO 2019239798 A1 WO2019239798 A1 WO 2019239798A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
prediction
electronic control
data frame
unit
Prior art date
Application number
PCT/JP2019/019866
Other languages
English (en)
French (fr)
Inventor
慎太郎 鵜飼
健司 菅島
一夫 山岡
Original Assignee
株式会社デンソー
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社デンソー filed Critical 株式会社デンソー
Publication of WO2019239798A1 publication Critical patent/WO2019239798A1/ja
Priority to US17/116,641 priority Critical patent/US11582112B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/147—Network analysis or design for predicting network behaviour
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40006—Architecture of a communication node
    • H04L12/40026—Details regarding a bus guardian
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40143—Bus networks involving priority mechanisms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle

Definitions

  • This application relates to a technique for preventing unauthorized control of an electronic control unit (ECU: Electric Control Unit) via a network, and is mainly used for an electronic control device and an electronic control system for a vehicle.
  • ECU Electric Control Unit
  • Patent Document 1 when an illegal frame is transmitted / received in an in-vehicle system, a cancellation frame for invalidating the illegal frame is transmitted using LIFO (Last In First Out) control, and the electronic control device A frame monitoring device is disclosed that prevents control by an illegal frame.
  • the monitoring device determines that the transmitted / received frame is an illegal frame, the monitoring device transmits a frame having the same content as the regular frame received immediately before as a cancellation frame.
  • an electronic control device that is a transmission destination of a frame is controlled based on control information included in a cancellation frame received after the illegal frame. Can be prevented from being controlled by.
  • control information included in a cancellation frame received after the illegal frame.
  • a frame having the same content as the immediately preceding regular frame is used as a cancellation frame, a change in the vehicle situation over time that may be caused by such a time lag is not taken into consideration. For this reason, the inventor has found a problem that it is not appropriate to use the control information included in the immediately preceding regular frame as the control information included in the cancellation frame.
  • an object of the present disclosure is to predict normal data that should be included in a data frame, and to invalidate an illegal frame using a frame including the predicted data.
  • An electronic control device includes a reception unit that receives a data frame transmitted from another electronic control device via a communication network, a first storage unit that stores the data frame, and the data frame A second storage unit that stores a prediction generation method that predicts and generates data included in the data frame, an abnormality determination unit that determines whether the data frame is abnormal, and the data frame that is determined to have the abnormality A prediction data generation unit that generates prediction data predicted to be normal data to be generated using past data that is data included in the data frame stored in the first storage unit, based on the prediction generation method And a transmission unit that transmits a predicted data frame including the predicted data via the communication network.
  • An electronic control system includes a first electronic control device that transmits a data frame via a communication network, a receiving unit that receives the data frame, and a first storage that stores the data frame.
  • a second storage unit that stores a prediction generation method for predicting and generating data included in the data frame, an abnormality determination unit that determines whether there is an abnormality in the data frame, and determining that there is the abnormality
  • the past data that is data included in the data frame stored in the first storage unit is used to predict normal data to be included in the data frame and predicted data.
  • a prediction data generation program receives a data frame transmitted from another electronic control device via a communication network, stores the data frame in a first storage unit, and stores the data frame Based on the prediction generation method stored in the second storage unit, the prediction data predicted to be normal data to be included in the data frame determined to be abnormal is determined based on the prediction generation method stored in the second storage unit. Generated using past data that is data included in the data frame stored in one storage unit, and transmits a predicted data frame including the predicted data via the communication network.
  • a prediction data generation method receives a data frame transmitted from another electronic control apparatus via a communication network, stores the data frame in a first storage unit, and stores the data frame Based on the prediction generation method stored in the second storage unit, the prediction data predicted to be normal data to be included in the data frame determined to be abnormal is determined based on the prediction generation method stored in the second storage unit. Generated using past data that is data included in the data frame stored in one storage unit, and transmits a predicted data frame including the predicted data via the communication network.
  • the electronic control device the electronic control system, the prediction data generation program, and the prediction data generation method of the present disclosure, it is possible to invalidate an illegal frame using a frame including data with appropriate contents.
  • FIG. 1 is a diagram illustrating a configuration of an electronic control system according to the first embodiment.
  • FIG. 2 is a block diagram illustrating the configuration of the electronic control device according to the first embodiment.
  • FIG. 3 is a diagram illustrating an example of a data frame format.
  • FIG. 4 is a diagram illustrating an example of an information table in the generation method storage unit.
  • FIG. 5 is a diagram for explaining the operation of the electronic control device according to the first embodiment.
  • FIG. 6 is a diagram for explaining the operation of the electronic control device according to the first embodiment.
  • FIG. 7 is a diagram for explaining a prediction data generation method.
  • FIG. 8 is a diagram for explaining a prediction data generation method.
  • FIG. 9 is a diagram illustrating the configuration of the electronic control system according to the second embodiment.
  • FIG. 10 is a block diagram illustrating the configuration of the electronic control device according to the third embodiment.
  • the effect described in the embodiment is an effect when the configuration of the exemplary embodiment of the present disclosure is provided, and is not necessarily the effect that the present disclosure has.
  • the configuration disclosed in each embodiment is not closed only by each embodiment, and can be combined across the embodiments.
  • the configuration disclosed in one embodiment may be combined with another embodiment.
  • the problem described in the present disclosure is not a known problem, but has been independently found by the present inventor, and is a fact that confirms the inventive step together with the configuration and method of the present disclosure.
  • FIG. 1 shows an electronic control system 1 for a vehicle composed of a plurality of electronic control devices.
  • a plurality of electronic control devices are connected via a communication network 101.
  • two electronic control devices A transmission source electronic control device 102 and a transmission destination electronic control device 103. Further, the transmission source electronic control device 102 and the transmission destination electronic control device 103 are respectively connected to sensors that detect the situation of the host vehicle and surrounding vehicles.
  • the electronic control device constituting the electronic control system 1 transmits and receives data acquired from the sensors via the communication network 101.
  • the communication network 101 includes, for example, a communication method such as CAN (Controller Area Network), LIN (Local Interconnect Network), Ethernet (registered trademark), Wi-Fi (registered trademark), Bluetooth (registered trademark), etc.
  • CAN Controller Area Network
  • LIN Local Interconnect Network
  • Ethernet registered trademark
  • Wi-Fi registered trademark
  • Bluetooth registered trademark
  • the electronic control device 100 may be configured as, for example, a so-called information processing device that mainly includes a semiconductor device and includes a volatile storage unit such as a CPU (Central Processing Unit) and a RAM (Random Access Memory). .
  • the information processing apparatus may further include a nonvolatile storage unit such as a flash memory, a network interface unit connected to a communication network, and the like.
  • a nonvolatile storage unit such as a flash memory, a network interface unit connected to a communication network, and the like.
  • such an information processing device may be a packaged semiconductor device or a configuration in which each semiconductor device is connected by wiring on a wiring board.
  • the electronic control system 1 includes the electronic control device 100 as a dedicated electronic control device that exhibits the functions described in the present embodiment.
  • the electronic control device 100 is not necessarily a dedicated electronic control device, and an electronic control device having other functions may be configured to further have the functions described in the present embodiment.
  • a gateway (not shown) having a relay function for data communication performed between a plurality of communication networks mounted on the vehicle and a function for communicating with the outside of the vehicle is configured to have the function of this embodiment. Also good.
  • the electronic control system 1 shows an example in which the electronic control system 1 includes only the electronic control device 100, the transmission source electronic control device 102, and the transmission destination electronic control device 103.
  • the electronic control system 1 May include any number of electronic control devices connected via the communication network 101.
  • the configuration of the electronic control device 100 of this embodiment will be described with reference to FIG.
  • the electronic control device 100 includes a receiving unit 10, a data frame storage unit 11, a generation method storage unit 12, an abnormality determination unit 13, a predicted data generation unit 14, and a transmission unit 15.
  • a receiving unit 10 receives a signal from the external control device.
  • a data frame storage unit 11 stores data from the external control device.
  • a generation method storage unit 12 receives a data frame storage unit 11
  • an abnormality determination unit 13 a predicted data generation unit 14
  • a transmission unit 15 a transmission unit 16.
  • the configuration illustrated in FIG. 2 may be provided across a plurality of electronic control devices.
  • the receiving unit 10 receives data frames transmitted / received between two or more electronic control devices connected via the communication network 101.
  • the receiving unit 10 of the electronic control device 100 receives a data frame transmitted from the transmission source electronic control device 102 (corresponding to another electronic control device).
  • FIG. 3 shows an example of a format of a data frame transmitted / received via the communication network 101.
  • the data frame shown in FIG. 3 includes an ID field (CAN-ID) having identification information (hereinafter referred to as a frame ID) of a data frame communicated by CAN, a length field (DLC) indicating the length of the data field, and 1 It consists of a data field having the above signal part.
  • CAN-ID ID field
  • DLC length field
  • the frame ID is specific identification information assigned according to the type of data included in the signal part. That is, the same frame ID is assigned to data frames having the same type of data included in the signal portion.
  • the data frame storage unit 11 (corresponding to the first storage unit) stores “data frame” received by the receiving unit 10.
  • the data frame storage unit 11 may store all the contents included in the data frame received by the receiving unit 10, and only a part of the data frame, for example, the data stored in the frame ID and the signal unit May be stored.
  • the data frame storage unit 11 may further store the reception time of the data frame in the reception unit 10 in association with the data frame.
  • the data frame storage unit 11 stores all data frames that are determined to be normal by an abnormality determination unit 13 described later.
  • the data frame storage unit 11 may store only a data frame having a specific frame ID or data stored in a specific signal unit. Furthermore, in order to secure a memory capacity, the data frame storage unit 11 stores the data frame.
  • “store data frame” in the present disclosure includes not only the case of storing all data frames but also the case of storing only a part of the contents included in the data frames.
  • the generation method storage unit 12 (corresponding to the second storage unit) stores a method for predicting and generating data included in the data frame (hereinafter referred to as prediction generation method).
  • the prediction generation method is written and stored in advance in the generation method storage unit 12 before the electronic control device 100 performs the operation described below. Therefore, the prediction generation method is written by, for example, a vehicle manufacturing factory or an electronic control device manufacturing factory before being shipped from the factory, or is written or updated by a dealer after being shipped from the factory.
  • FIG. 4 shows an example of an information table indicating the prediction generation method stored in the generation method storage unit 12.
  • the generation method storage unit 12 stores a frame ID (for example, 0x001) and prediction data assigned to the type of prediction data generated by the prediction generation method.
  • Information indicating a signal part for example, signal A
  • a signal part start point indicating the position of the signal part in the data frame
  • a bit length of the signal part indicating the position of the signal part in the data frame
  • a data list necessary for prediction generation for example, a prediction generation method
  • data indicating the storage destination of the data in the data frame storage unit 11 are stored.
  • the information table illustrated in FIG. 4 is merely an example, and the generation method storage unit 12 may store information other than that illustrated in FIG.
  • the abnormality determination unit 13 determines whether there is a “data frame abnormality” received by the reception unit 10.
  • “abnormality of data frame” in the present disclosure includes not only the case where the data frame itself or the content of the data frame is abnormal, but also the case where the timing at which the data frame is transmitted or received is not normal.
  • the method for determining whether the abnormality determination unit 13 has an abnormality in the data frame is arbitrary.
  • the abnormality determination unit 13 may determine whether there is an abnormality in the data frame based on the reception time of the data frame. For example, some data frames are transmitted from a specific electronic control device at a constant cycle. For such a data frame, the scheduled reception time of the next data frame can be calculated based on the transmission period of the data frame and the reception time when the receiving unit 10 received the latest data frame. However, if there is a large difference between the scheduled reception time and the actual reception time of the next data frame, there is a high possibility that this data frame has not been transmitted normally.
  • the abnormality determination unit 13 determines that the data frame received at this reception time is abnormal.
  • the abnormality determination unit 13 determines that some or all of the plurality of data frames received near the scheduled reception time are abnormal.
  • the prediction data generation unit 14 generates prediction data predicted as “normal data to be included” in the data frame determined to be abnormal based on the prediction generation method stored in the generation method storage unit 12. To do.
  • This predicted data is, for example, normal data that should be included in a data frame when it is assumed that a data frame determined to be abnormal is transmitted at a predetermined frame transmission time (corresponding to a predetermined transmission time). is there.
  • the prediction data generation unit 14 selects a data frame determined as having an abnormality from the information table.
  • a prediction generation method is selected based on specific types of data such as vehicle speed and pressure included, and prediction data is generated based on the selected prediction generation method.
  • the prediction data generation unit 14 obtains data (corresponding to past data) necessary for generation of prediction data from the data frame stored in the data frame storage unit 11, and performs operations on these data. Generated by.
  • the prediction data generation unit 14 since the generation method storage unit 12 stores a data list indicating data necessary for prediction generation together with the prediction generation method, the prediction data generation unit 14 is shown in the data list. Data may be read out from the data frame storage unit 11 and acquired. However, when the data list is not included in the information table stored in the generation method storage unit 12, the prediction data generation unit 14 generates the prediction generation based on the prediction generation method read from the generation method storage unit 12. Data necessary to execute the method may be determined, and necessary data may be acquired from the data frame storage unit 11 based on the determination result.
  • normal data to be included in the data frame of the present disclosure is data originally included when the data frame determined to be abnormal is transmitted from the transmission source electronic control device. It is not limited.
  • “normal data to be included” includes data that is predicted and generated in consideration of a difference in transmission source electronic control device, a difference in transmission time, or a type or attribute of data to be transmitted. Data that will be included when it is assumed that the data frame determined to be abnormal is transmitted at a time different from the transmission time transmitted from the transmission source electronic control device.
  • the prediction data generation unit 14 further stores the generated prediction data in a predetermined signal unit based on the information of the signal unit shown in the information table of the generation method storage unit 12, and information indicating the starting point of the signal unit, and Based on the information indicating the bit length of the signal, the signal portion is arranged at a predetermined position of the data frame, thereby generating a prediction data frame including the prediction data.
  • the prediction data generation unit 14 When the data frame has a plurality of signal parts in the data field, the prediction data generation unit 14 generates prediction data to be stored in each of the plurality of signal parts based on each prediction generation method. Then, the generated prediction data is stored in each signal part, and each signal part is arranged at a predetermined position to generate a prediction data frame.
  • the transmission unit 15 transmits the prediction data frame generated by the prediction data generation unit 14. Note that when the prediction data generation unit 14 generates normal data to be included in the data frame on the assumption that the prediction data is transmitted at a predetermined frame transmission time as the prediction data, the transmission unit 15 The predicted data frame is transmitted at the transmission time.
  • the frame transmission time is a time obtained by adding the time required to generate and transmit the prediction data frame to the time determined to be abnormal, and includes the prediction data without delay after the generation of the prediction data, for example. Although it is the time when the prediction data frame can be transmitted, it may be the time when a predetermined weight is sandwiched after the generation of the prediction data.
  • the predetermined transmission time corresponds to a time lag until the electronic control device 100 transmits the predicted data frame after the abnormality is detected. Further, depending on the processing speed of the electronic control device 100, the frame transmission time and the time determined to be abnormal may be evaluated to be substantially the same time. The time at which the abnormality is detected is substantially the same as the time at which the other electronic control device transmits the data frame.
  • FIG. 5 shows an operation when there is no abnormality in the data frame received by the receiving unit 10
  • FIG. 6 shows an operation when there is an abnormality in the data frame.
  • the receiving unit 10 receives a data frame transmitted / received between electronic control devices connected via the communication network 101 (S101).
  • the receiving unit 10 requests the abnormality determining unit 13 to determine whether or not the received data frame is abnormal (S102).
  • the reception unit 10 may notify the abnormality determination unit 13 of the received data frame and the reception time thereof together with the abnormality determination request.
  • the abnormality determination unit 13 that has received the request in S102 determines whether there is an abnormality in the received data frame (S103).
  • the abnormality determination unit 13 When it is determined that there is no abnormality in the data frame as shown in FIG. 5, the abnormality determination unit 13 notifies the reception unit 10 of a determination result indicating that there is no abnormality in the data frame (S104). Then, the receiving unit 10 stores the data frame received in S101 in the data frame storage unit 11 (S105). In the embodiment shown in FIG. 5, only the data frame determined to have no abnormality is stored in the data frame storage unit 11, but all the data frames received by the reception unit 10 are stored in the data frame storage unit 11. You may remember.
  • the abnormality determination unit 13 instructs the prediction data generation unit 14 A generation is requested (S114). At this time, the abnormality determination unit 13 may notify the prediction data generation unit 14 of the frame ID of the data frame determined to have an abnormality, the frame reception time, the data included in the data frame, and the like.
  • the prediction data generation unit 14 that has received the prediction data generation request from the abnormality determination unit 13 is based on the data included in the data frame determined to be abnormal from the information table stored in the generation method storage unit 12.
  • a prediction generation method, a data list indicating data necessary for prediction generation, and the like are read (S115).
  • the prediction data generation unit 14 selects and reads out the prediction generation method corresponding to the data included in the data frame determined to be abnormal, using the frame ID assigned according to the data type. Good. For example, when the frame ID of the data frame determined to be abnormal is “0x001”, the first data is read out from the information table shown in FIG. If the frame ID is “0x002”, the second and third data are read from the information table shown in FIG.
  • the prediction data generation unit 14 that has read the prediction generation method and the like from the information table of the generation method storage unit 12 reads data necessary to execute the read prediction generation method from the data frame storage unit 11 (S116). .
  • the prediction data generation unit 14 generates prediction data using data (corresponding to past data) read from the data frame storage unit 11 based on the prediction generation method read in S115 (S117).
  • the prediction data generation unit 14 further generates a prediction data frame including the generated prediction data (S118).
  • the prediction data generation unit 14 requests the transmission unit 15 to transmit the generated prediction data frame (S119).
  • the transmission unit 15 transmits a prediction data frame (S120).
  • the transmission destination electronic control device 103 receives the same data frame as the data frame received by the receiving unit 10 in S101, and then receives the predicted data frame transmitted from the transmitting unit 15 in S120.
  • the transmission destination electronic control unit 103 reads out the latest data frame from the received data frame by LIFO control, and performs control based on data included in the data frame. That is, when the transmission destination electronic control apparatus 103 receives the predicted data frame transmitted from the transmission unit 15 in S120 before being controlled by the previously received data frame, the transmission destination electronic control apparatus 103 is controlled by the predicted data frame.
  • the prediction data A is generated using data related to the past steering angle based on the prediction generation method shown in the following equation (1).
  • A a 1 + (a 1 ⁇ a 2 ) / T ⁇ (t 0 ⁇ t 1 ) (1)
  • a 1 is the latest data on the steering angle that is included in the data frame stored in the data frame storage unit 11
  • the steering angle a 2 is contained in the data frame stored in the data frame store 11 a data related to, a new data to the next of a 1.
  • T is a transmission period of a data frame including data related to the steering angle.
  • T 0 is a scheduled transmission time at which the data frame generated by the prediction data generation unit 14 is scheduled to be transmitted from the transmission unit 15, and t 1 is a data frame including a 1 received by the reception unit 10. Received time.
  • scheduled transmission time t 0 can be calculated by adding the reception time of the data frame determined that there is an abnormality, and a time required for generating and transmitting a data frame including the prediction data .
  • the generation method storage unit 12 stores a data list necessary for predictive generation, in the above example, as shown first in the information table shown in FIG. 4, the data list includes a 1 and a 2. , And t 1 are described, and the prediction data generation unit 14 reads these data from the data frame storage unit 11 and generates the prediction data A based on Expression (1).
  • FIG. 7 is a diagram for explaining this prediction generation method.
  • the electronic control unit since the content of the data frame that invalidates the illegal frame is the same as the data frame received immediately before, the electronic control unit transmits the data of a 1 at the scheduled transmission time t 0 .
  • the steering angle at the scheduled transmission time t 0 may increase from a 1 as shown by the broken line in FIG. Is expensive. Therefore, the steering angle at the scheduled transmission time t 0 is predicted based on the prediction generation method shown in Expression (1), and the prediction data A is generated.
  • the steering angle a 1 stored in the data frame store 11 is 30.0 °
  • the reception time t 1 of the steering angle a 1 is 10.00 seconds
  • the steering angle a 2 is 29.0 °
  • the data Consider a case where the frame transmission cycle T is 1.0 second, the reception time of a data frame determined to be abnormal is 10.05 seconds, and the time required to transmit the data frame is 0.05 seconds.
  • the steering angle prediction data A is calculated to be 30.1 ° based on the equation (1). Therefore, the transmission unit 15 transmits the predicted data frame including the generated predicted data of 30.1 ° at the scheduled transmission time of 10.10 seconds (10.05 + 0.05 seconds).
  • prediction data may be generated based on an average of data of the same type as abnormal data among data stored in the data frame storage unit 11.
  • the lighting state of a fog lamp of a vehicle generally does not change frequently. Therefore, when it is assumed that the data that will be included in the data frame determined to be abnormal, or the abnormal data frame was transmitted at a predetermined frame transmission time, the normal data to be included in the data frame All the data is likely to be the same as the past lighting state of the fog lamp. Therefore, when the abnormal data included in the data frame determined to be abnormal is data indicating the lighting state of the fog lamp of the vehicle, prediction data is generated from the average of the data indicating the past lighting state of the fog lamp.
  • the prediction data generation unit 14 generates data indicating the lighting of the fog lamp, which is data above the average, as prediction data.
  • prediction data predicted from data of the same type as abnormal data is generated. Predicted data may be generated.
  • the prediction data B is generated using past vehicle speed data and data other than the vehicle speed based on the prediction generation method shown in the following equation (2).
  • B b 1 + c 1 ⁇ (t 0 ⁇ t 1 ) (2)
  • b 1 is the latest data related to the vehicle speed stored in the data frame storage unit
  • c 1 is the latest data related to the acceleration stored in the data frame storage unit.
  • T 1 is a reception time when the receiving unit 10 receives a data frame including b 1 .
  • the prediction data generation unit 14 reads these data from the data frame storage unit 11 and generates the prediction data B based on Expression (2).
  • a vehicle speed b 1 stored in the data frame store 11 is 30.0km / h
  • the reception time t 1 of b 1 is 10.00 seconds
  • the acceleration c 1 is 1.0 m / s 2
  • abnormality Consider a case where the reception time of a data frame determined to be 10.05 seconds and the time required to transmit the data frame is 0.05 seconds.
  • the vehicle speed prediction data B is calculated as 30.36 km / h based on the equation (2). Therefore, the transmission unit 15 transmits a prediction data frame including prediction data of 30.36 km / h at a transmission time of 10.10 seconds.
  • prediction data is generated using data other than the vehicle speed (for example, acceleration data) in addition to the past vehicle speed data.
  • prediction data may be generated using only data of a type completely different from abnormal data.
  • the preceding vehicle For example, in a vehicle equipped with a driving support system, multiple factors such as the speed of the host vehicle, the speed of a vehicle traveling in front of the host vehicle (hereinafter referred to as the preceding vehicle), and the inter-vehicle distance from the preceding vehicle are determined in combination. And generate a brake request. Therefore, when the abnormal data is data related to a brake request, it is desirable to generate prediction data using data that is completely different from data related to a past brake request. Below, an example of the prediction production
  • the prediction data generation unit 14 executes the following formulas (3) to (8) to generate prediction data.
  • the relative acceleration ar 1 of the host vehicle with respect to the preceding vehicle is calculated according to the following equation (3).
  • ar 1 (vr 1 ⁇ vr 2 ) / (t 1 ⁇ t 2 ) (3)
  • vr 1 is the latest data regarding the relative speed with the preceding vehicle stored in the data frame storage unit 11
  • vr 2 is the data regarding the relative speed with the preceding vehicle stored in the data frame storage unit 11.
  • t 1 and t 2 are the reception times of vr 1 and vr 2 in the receiving unit 10, respectively.
  • ar 1 corresponds to the rate of change of the relative speed between t 1 and t 2 as shown in FIG.
  • a1 a0-ar 1 (4)
  • a0 is data relating to the acceleration of the host vehicle stored in the data frame storage unit 11.
  • the relative acceleration ar of the host vehicle with respect to the preceding vehicle at the time of emergency braking is calculated based on Expression (5).
  • 0 is calculated.
  • the acceleration when the emergency brake is applied may be set in advance, or may be calculated by calculation based on the vehicle speed.
  • ar 0 g ⁇ a1 (5) Note that ar 0 corresponds to the rate of change of the relative speed after t 1 as shown in FIG.
  • the predicted braking distance R0 obtained by the equation (7) is compared with the actual inter-vehicle distance R between the preceding vehicle and the host vehicle stored in the data frame storage unit.
  • the predicted braking distance R0 is larger than the actual inter-vehicle distance R, the relative speed of the host vehicle with respect to the preceding vehicle becomes zero, and the host vehicle is moved to the preceding vehicle before the speeds of the preceding vehicle and the host vehicle become equal. There is a risk of collision. Therefore, when R 0 > R, the prediction data generation unit 14 generates data indicating that there is a brake request as prediction data.
  • the types of data described above are merely examples, and arbitrary data can be generated as prediction data.
  • an engine speed whose value can be continuously changed, such as the vehicle speed may be generated as the prediction data.
  • data indicating ON / OFF of ACC Adaptive Cruise Control
  • the vehicle speed is shown as an example of the prediction generation method using data of a different type from the abnormal data, only the past vehicle speed data is used without generating the acceleration data in order to generate the vehicle speed prediction data. May be.
  • prediction generation method on the assumption that the data changes linearly and the prediction generation method using the average are shown, but the prediction generation method of the present embodiment is limited to the exemplified one. Rather, any method can be used.
  • prediction data may be generated by a least square method using a plurality of data stored in the data frame storage unit.
  • the data frame transmitted from the transmission unit 15 includes the prediction data generated based on the prediction generation method, and data other than the prediction data may be included.
  • the prediction data generation unit 14 stores the prediction data generated based on the prediction generation method of the present embodiment in the signal unit A, and generates based on the prediction generation method like vehicle identification information. Data different from the predicted data to be generated is stored in the signal part B to generate a data frame.
  • the prediction data generation unit 14 may store vehicle identification information in a memory, and generate a prediction data frame by adding vehicle identification information to the generated prediction data.
  • constant data such as vehicle identification information may also be generated using the same method as the prediction data of this embodiment.
  • c 1 is the latest data relating to the identification information of the vehicle stored in the data frame store. That is, for data such as vehicle identification information, the same value as the latest data stored in the data frame storage unit is always stored in the signal unit.
  • the prediction data generation part 14 combines the signal part which stored the prediction data produced
  • the data included in the data frame that invalidates the illegal frame is set as the prediction data of normal data that should be included in the data frame, thereby appropriately controlling the transmission destination electronic control device. Can be done. Furthermore, by using the prediction data as data at the transmission time of the data frame, it is possible to control the transmission destination electronic control device with information suitable for the state at the time of transmission of data that changes with time. .
  • the prediction data generation unit 14 is configured to generate prediction data mainly from the data frames stored in the data frame storage unit 11. However, the prediction data generation unit 14 may further acquire data directly from a sensor or the like connected to the electronic control device 100, and generate prediction data using this data.
  • FIG. 9 shows the electronic control system of this embodiment. Unlike the electronic control system shown in FIG. 1, a sensor (corresponding to a sensor device) 104 is connected to the electronic control device 100. In FIG. 9, only the sensor 104 is connected to the electronic control device 100, but the electronic control device 100 may be connected to a plurality of sensors as a matter of course. Further, the electronic control device 100 may be connected to a sensor connected to the transmission source electronic control device 102 or the transmission destination electronic control device 103.
  • the sensor 104 connected to the electronic control device 100 is a distance measuring sensor that detects data indicating the state of the vehicle (corresponding to vehicle data), for example, a distance between the vehicle ahead and the host vehicle.
  • the brake request exemplified in the first embodiment is generated as prediction data
  • the data frame stored in the data frame storage unit 11 is not read for the actual inter-vehicle distance R between the preceding vehicle and the host vehicle.
  • the data of the inter-vehicle distance R may be received from the sensor 104, and this data may be compared with the expected braking distance R0 obtained by the equation (7).
  • the sensor to which the electronic control device 100 is connected is not limited to the distance measuring sensor according to the above example, and can be connected to any sensor.
  • the electronic control unit 100 can acquire data directly from the sensor and generate predicted data, an appropriate number of data frames for generating predicted data is stored in the data frame.
  • the case where the data frame is not stored in the unit 11 is, for example, the case immediately after starting the vehicle and the number of data frames sufficient to generate the prediction data is not stored in the data frame storage unit 11.
  • the electronic control device 100 can generate prediction data by using the data directly acquired from the sensor.
  • the electronic control device 100 can generate prediction data using the latest data by acquiring data directly from the sensor, the accuracy of the prediction data can be improved. Can appropriately control the transmission destination electronic control device using the latest data.
  • the prediction data generation unit 14 In the first embodiment, the configuration in which the prediction data generation unit 14 generates the prediction data whenever there is an abnormality in the data frame has been described. However, the prediction data generation unit 14 may be configured to generate prediction data only when a specific condition is satisfied even when there is an abnormality in the data frame.
  • FIG. 10 shows an electronic control device 200 according to the third embodiment.
  • the electronic control device 200 illustrated in FIG. 10 includes a data generation determination unit 16 in addition to the configuration illustrated in FIG.
  • the data generation determination unit 16 determines whether or not to generate the prediction data in the prediction data generation unit 14 and determines the determination. The result is notified to the prediction data generation unit 14. And when the determination result notified from the data generation determination part 16 has shown producing
  • the data generation determination unit 16 executes the generation of prediction data only when the data type included in the data frame determined to be abnormal is a preset data type. Make a decision. For example, data such as vehicle speed, engine speed, and steering angle are data directly related to vehicle travel, and affect vehicle safety. Therefore, in order to realize safe driving of the vehicle, it is desirable to prevent the electronic control device from being controlled by an illegal data frame when a data frame including such data is illegally transmitted.
  • the data The generation determination unit 16 determines to generate prediction data.
  • the data generation determination unit 16 includes the latest data of the same type as the data included in the data frame determined to be abnormal among the data frames stored in the data frame storage unit 11; Whether to generate prediction data may be determined based on the difference from the abnormal data.
  • the data generation determination unit 16 compares the difference between the abnormal data and the latest data with a preset allowable difference, and determines that the prediction data is generated when the difference is equal to or larger than the allowable difference. Specifically, when the allowable difference is set to 5 km / h for the data relating to the vehicle speed, the abnormal data indicates the vehicle speed of 65 km / h, and the latest data stored in the data frame storage unit 11 is It is assumed that the vehicle speed is 50 km / h. In this case, the difference between the abnormal data and the latest data is 15 km / h, which is equal to or greater than the allowable difference. Therefore, the data generation determination unit 16 determines to generate prediction data, and notifies the prediction data generation unit 14 of the determination result.
  • the data generation determination unit 16 determines not to generate the prediction data, and notifies the prediction data generation unit 14 of the determination result.
  • a data frame determined to be abnormal includes a plurality of signal parts
  • only abnormal data stored in a specific signal part for example, signal part A
  • the difference between the latest data and the allowable difference may be compared.
  • the data generation determination unit 16 does not consider abnormal data stored in a signal unit other than the signal unit A (for example, the signal unit B) in determining whether to generate prediction data.
  • the data generation determination unit 16 may further monitor the load on the communication network 101 and determine whether to generate prediction data based on the load on the communication network 101.
  • the load on the communication network 101 increases by transmitting a prediction data frame including the generated prediction data. Therefore, when the load of the communication network 101 is high, transmission / reception of a more important data frame may be hindered by transmitting the predicted data frame. Therefore, for example, the data generation determination unit 16 compares the load of the communication network 101 with a preset threshold of the load of the communication network, and generates prediction data when the load of the communication network 101 is lower than the threshold. If the load on the communication network 101 is higher than the threshold value, it is determined not to generate the prediction data, and the determination result is notified to the prediction data generation unit 14.
  • the data generation determination unit 16 further monitors the “reception frequency” at which the reception unit 10 receives the data frame determined to be abnormal, and generates prediction data based on the reception frequency. You may determine whether.
  • the “reception frequency” indicates, for example, the “number of times” such as the number of times an abnormal data frame is received within a certain period, or the number of times an abnormal data frame is continuously received.
  • both cases where “interval” is indicated, such as the reception interval of an abnormal data frame, are included.
  • the prediction data generation unit 14 does not generate prediction data for all the data frames determined to be abnormal and receives Prediction data may be generated for every fixed number of data frames or every fixed time, and a prediction data frame including the prediction data may be transmitted from the transmission unit 15.
  • the transmission destination electronic control device 103 reads out the latest data frame from the received data frame by LIFO control, and performs control based on the data included in the data frame. That is, even if the electronic control apparatus 100 transmits a plurality of predicted data frames including the predicted data, the transmission destination electronic control apparatus 103 uses only the latest predicted data frame, and the other predicted data frames are invalid. In this way, when the electronic control device 100 transmits a predicted data frame that is not used by the transmission destination electronic control device 103, the load on the communication network 101 may increase, and transmission / reception of more important data frames may be hindered. . In particular, if a data frame having an abnormality is continuously received and a predicted data frame is continuously transmitted along with the data frame, the load on the communication network 101 increases rapidly.
  • the data generation determination unit 16 monitors and counts the number of times a data frame having an abnormality is received within a certain period or continuously, and counts the received number of times and a preset threshold number of times. Compare. If the counted number of receptions is higher than the threshold number, it is determined that the generation of the prediction data is not performed for a certain number of times or a certain time. On the other hand, when a certain number of times or a certain time elapses, it is determined to generate prediction data, and the determination result is notified to the prediction data generation unit 14. It should be noted that the threshold number of times and the time used as criteria for determining whether or not to generate prediction data may differ depending on the type of data.
  • the block diagram used in the description of the embodiment is a classification and arrangement of the configuration of the electronic control device or the like for each function. These functional blocks are realized by any combination of hardware or software. Further, since the function is shown, such a block diagram can be grasped as the disclosure of the method invention.
  • first and second used in each embodiment and claims are used to distinguish two or more configurations and methods of the same type, and do not limit the order or superiority. .
  • Each embodiment is premised on an electronic control device and an electronic control system for a vehicle mounted on a vehicle, but this specification describes an information processing system including a dedicated or general-purpose electronic control system other than for a vehicle, and An information processing device including a dedicated or general-purpose electronic control device is also disclosed.
  • examples of the form of the electronic control device of the present disclosure include a semiconductor, an electronic circuit, a module, and a microcomputer.
  • necessary functions such as an antenna and a communication interface may be added to these. It is also possible to take forms such as a car navigation system, a smartphone, a personal computer, and a portable information terminal.
  • the present disclosure can be realized not only by dedicated hardware having the configuration and functions described in each embodiment, but also by a program for realizing the present disclosure stored in a storage medium such as a memory or a hard disk, and the program. It can also be realized as a combination with executable hardware or general-purpose hardware having a general-purpose CPU and memory.
  • Dedicated or general-purpose hardware storage media can be provided to dedicated or general-purpose hardware via a storage medium or via a communication line from a server without a storage medium. As a result, the latest functions can always be provided through program upgrades.
  • the electronic control device of the present disclosure has been described mainly as a vehicle electronic control device mounted on an automobile. Is possible.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Mechanical Engineering (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Small-Scale Networks (AREA)

Abstract

電子制御装置（１００，２００）は、通信ネットワーク（１０１）を介して他電子制御装置（１０２）から送信されたデータフレームを受信する受信部（１０）と、データフレームを記憶する第１の記憶部（１１）と、データフレームに含まれるデータを予測し生成する予測生成方法を記憶する第２の記憶部（１２）と、データフレームの異常の有無を判定する異常判定部（１３）と、異常があると判定されたデータフレームに含まれるべき正常なデータと予測される予測データを、予測生成方法に基づき、第１の記憶部に記憶されたデータフレームに含まれるデータである過去データを用いて生成する予測データ生成部（１４）と、予測データを含む予測データフレームを通信ネットワークを介して送信する送信部（１５）と、を備える。

Description

電子制御装置および電子制御システム 関連出願の相互参照
　本出願は、２０１８年６月１２日に出願された日本特許出願番号２０１８－１１２２８５号に基づくもので、ここにその記載内容を援用する。
　本出願は、ネットワークを介した電子制御装置（ＥＣＵ：Electric Control Unit）の不正制御を抑止する技術に関するものであり、主として車両用の電子制御装置及び電子制御システムに用いるものである。
　近年、自動車には、ＣＡＮ（Controller Area Network）などの車載ネットワークで互いに接続された様々な種類の電子制御装置が搭載されている。これらの電子制御装置には、エンジンやハンドルといった車両の動作を制御するものが含まれているため、車両の安全性を確保するためには、第三者による不正なアクセスなどによって電子制御装置が不正制御されるのを予め防止する、あるいは、第三者によって行われた不正制御を無効化して抑制するための高いセキュリティが求められる。
　例えば、特許文献１には、車載システムにおいて不正フレームが送受信された場合に、ＬＩＦＯ（Last In First Out）制御を利用して不正フレームを無効化するための打ち消しフレームを送信し、電子制御装置が不正フレームによって制御されるのを防止する、フレームの監視装置が開示されている。特許文献１に記載の技術では、監視装置は、送受信されたフレームが不正フレームであると判別すると、その直前に受信した正規フレームと同じ内容のフレームを打ち消しフレームとして送信する。
特開２０１７－１６８９９３号公報
　特許文献１に記載の技術によれば、フレームの送信先である電子制御装置は、不正フレームの後に受信した打ち消しフレームに含まれる制御情報に基づいて制御されるため、当該電子制御装置が不正フレームによって制御されるのを防ぐことができる。ところで、不正フレームの直前の正規フレームが送受信されてから不正フレームあるいは打ち消しフレームが送信されるまでにはタイムラグがある。しかしながら、直前の正規フレームと同じ内容のフレームを打ち消しフレームとして使用した場合、このようなタイムラグによって生じうる車両状況の経時的な変化は考慮されない。そのため、発明者は、打ち消しフレームに含まれる制御情報として、直前の正規フレームに含まれる制御情報を使用することが適切ではないおそれがあるという課題を見出だした。
　そこで、本開示の目的は、データフレームに含まれるべき正常なデータを予測するとともに、予測したデータを含むフレームを用いて不正フレームを無効化することにある。
　本開示の一態様による電子制御装置は、通信ネットワークを介して他の電子制御装置から送信されたデータフレームを受信する受信部と、前記データフレームを記憶する第１の記憶部と、前記データフレームに含まれるデータを予測し生成する予測生成方法を記憶する第２の記憶部と、前記データフレームの異常の有無を判定する異常判定部と、前記異常があると判定された前記データフレームに含まれるべき正常なデータと予測される予測データを、前記予測生成方法に基づき、前記第１の記憶部に記憶された前記データフレームに含まれるデータである過去データを用いて生成する予測データ生成部と、前記予測データを含む予測データフレームを前記通信ネットワークを介して送信する送信部と、を備える。
　本開示の他の態様による電子制御システムは、通信ネットワークを介してデータフレームを送信する第１の電子制御装置と、前記データフレームを受信する受信部と、前記データフレームを記憶する第１の記憶部と、前記データフレームに含まれるデータを予測し生成する予測生成方法を記憶する第２の記憶部と、前記データフレームの異常の有無を判定する異常判定部と、前記異常があると判定された前記データフレームに含まれるべき正常なデータと予測される予測データを、前記予測生成方法に基づき、前記第１の記憶部に記憶された前記データフレームに含まれるデータである過去データを用いて生成する予測データ生成部と、前記予測データを含む予測データフレームを前記通信ネットワークを介して送信する送信部と、を備える第２の電子制御装置と、前記第１の電子制御装置から送信された前記データフレームと、前記第２の電子制御装置から送信された前記予測データフレームとを受信し、前記予測データフレームに基づいて制御を行う第３の電子制御装置と、を備える。
　本開示の他の態様による予測データ生成プログラムは、通信ネットワークを介して他の電子制御装置から送信されたデータフレームを受信し、前記データフレームを第１の記憶部に記憶し、前記データフレームの異常の有無を判定し、前記異常があると判定された前記データフレームに含まれるべき正常なデータと予測される予測データを、第２の記憶部に記憶された予測生成方法に基づき、前記第１の記憶部に記憶された前記データフレームに含まれるデータである過去データを用いて生成し、前記予測データを含む予測データフレームを前記通信ネットワークを介して送信する。
　本開示の他の態様による予測データ生成方法は、通信ネットワークを介して他の電子制御装置から送信されたデータフレームを受信し、前記データフレームを第１の記憶部に記憶し、前記データフレームの異常の有無を判定し、前記異常があると判定された前記データフレームに含まれるべき正常なデータと予測される予測データを、第２の記憶部に記憶された予測生成方法に基づき、前記第１の記憶部に記憶された前記データフレームに含まれるデータである過去データを用いて生成し、前記予測データを含む予測データフレームを前記通信ネットワークを介して送信する。
　なお、請求の範囲に付した括弧内の番号は、請求の範囲に記載の発明と後述の実施形態との対応関係を示すものであり、請求の範囲に記載の発明を限定する趣旨ではない。
　本開示の電子制御装置、電子制御システム、予測データ生成プログラム、および予測データ生成方法によれば、適切な内容のデータを含むフレームを用いて不正フレームを無効化することが可能となる。
図１は、実施形態１の電子制御システムの構成を説明する図であり、 図２は、実施形態１の電子制御装置の構成を説明するブロック図であり、 図３は、データフレームのフォーマットの一例を示す図であり、 図４は、生成方法記憶部の情報テーブルの一例を示す図であり、 図５は、実施形態１の電子制御装置の動作を説明する図であり、 図６は、実施形態１の電子制御装置の動作を説明する図であり、 図７は、予測データ生成方法を説明する図であり、 図８は、予測データ生成方法を説明する図であり、 図９は、実施形態２の電子制御システムの構成を説明する図であり、 図１０は、実施形態３の電子制御装置の構成を説明するブロック図である。
　以下、本開示の実施形態について、図面を参照して説明する。
　なお、本開示とは、以下の実施形態に限定されるものではない。また、少なくともダブルクォーテーション内の語句は、請求の範囲に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。
　請求の範囲の従属項に記載の構成及び方法、従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明においては任意の構成及び方法である。請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明においては任意の構成及び方法である。いずれの場合も、請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。
　実施形態に記載した効果は、本開示の例示としての実施形態の構成を有する場合の効果であり、必ずしも本開示が有する効果ではない。
　複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせても良い。また、複数の実施形態それぞれに開示の構成を集めて組み合わせても良い。
　本開示に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本開示の構成及び方法と共に発明の進歩性を肯定する事実である。
（実施形態１）
　図１は、複数の電子制御装置から構成される車両用の電子制御システム１を示している。図１に示す電子制御システム１では、複数の電子制御装置が通信ネットワーク１０１を介して接続されており、本実施形態で説明する機能を有する電子制御装置１００に加えて、２つの電子制御装置（送信元電子制御装置１０２、送信先電子制御装置１０３）を備えている。さらに、送信元電子制御装置１０２、送信先電子制御装置１０３は、自車両や周辺車両の状況を検知するセンサにそれぞれ接続されている。
　電子制御システム１を構成する電子制御装置は、通信ネットワーク１０１を介して、センサから取得したデータ等を送受信する。通信ネットワーク１０１には、例えば、ＣＡＮ（Controller Area Network）、ＬＩＮ（Local Interconnect Network）といった通信方式の他、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等、任意の通信方式を用いることができるが、以下の例ではＣＡＮを用いる例を説明する。
　電子制御装置１００は、例えば、主に半導体装置で構成され、ＣＰＵ（Central Processing Unit）、及びＲＡＭ（Random Access Memory）等の揮発性記憶部を有する、いわゆる情報処理装置として構成されていてもよい。この場合、情報処理装置はさらに、フラッシュメモリ等の不揮発性記憶部、通信ネットワーク等に接続されるネットワークインターフェース部等を有していてもよい。さらに、このような情報処理装置はパッケージ化された半導体装置であっても、配線基板において各半導体装置が配線接続された構成であってもよい。
　なお、本実施形態では、電子制御システム１が、本実施形態で説明する機能を発揮する専用の電子制御装置として電子制御装置１００を有する例を説明する。しかしながら、電子制御装置１００は必ずしも専用の電子制御装置でなくともよく、他の機能を有する電子制御装置がさらに本実施形態で説明する機能を有するように構成してもよい。あるいは、車両に搭載された複数の通信ネットワーク間で行われるデータ通信の中継機能や、車両外部との通信機能を有するゲートウェイ（図示せず）が、本実施形態の機能を有するように構成してもよい。
　さらに、図１では、電子制御システム１が、電子制御装置１００、送信元電子制御装置１０２、及び送信先電子制御装置１０３のみを有する例を示しているが、当然のことながら、電子制御システム１は、通信ネットワーク１０１を介して接続された任意の数の電子制御装置を備えてもよい。
１．電子制御装置１００の構成
　本実施形態の電子制御装置１００の構成を図２を用いて説明する。電子制御装置１００は、受信部１０、データフレーム記憶部１１、生成方法記憶部１２、異常判定部１３、予測データ生成部１４、及び、送信部１５を備える。なお、本実施形態では、電子制御装置１００が図２に示す全ての構成を備える例を説明するが、複数の電子制御装置をまたいで図２に示す構成が設けられていてもよい。
　受信部１０は、通信ネットワーク１０１を介して接続された２つ以上の電子制御装置間で送受信されるデータフレームを受信する。図１に示す電子制御システム１の場合、電子制御装置１００の受信部１０は、送信元電子制御装置１０２（他の電子制御装置に相当）から送信されたデータフレームを受信する。
　図３は、通信ネットワーク１０１を介して送受信されるデータフレームのフォーマットの一例を示している。図３に示すデータフレームは、ＣＡＮで通信されるデータフレームの識別情報（以下、フレームＩＤ）を有するＩＤフィールド（ＣＡＮ－ＩＤ）、データフィールドの長さを示す長さフィールド（ＤＬＣ）、及び１以上のシグナル部を有するデータフィールドから構成されている。データフィールドの各シグナル部には、データ、例えばセンサから取得した車速や圧力といったデータが格納される。また、フレームＩＤは、シグナル部に含まれるデータの種別に応じて割り当てられる特定の識別情報である。つまり、シグナル部に含まれるデータの種別が同じデータフレームには、同じフレームＩＤが割り当てられる。
　データフレーム記憶部１１（第１の記憶部に相当）は、受信部１０で受信した“データフレームを記憶”する。このデータフレーム記憶部１１は、受信部１０にて受信したデータフレームに含まれる内容の全てを記憶してもよく、データフレームの一部のみ、例えば、フレームＩＤ及びシグナル部に格納されたデータのみを記憶してもよい。データフレーム記憶部１１はさらに、受信部１０におけるデータフレームの受信時刻をデータフレームに紐付けて記憶してもよい。
　なお、以下に説明する本実施形態では、データフレーム記憶部１１は、後述する異常判定部１３で異常がないと判定された全てのデータフレームを記憶している。しかしながら、データフレーム記憶部１１は、特定のフレームＩＤを有するデータフレームや、特定のシグナル部に格納されたデータのみを記憶してもよく、さらには、メモリ容量を確保するために、データフレームを一定期間のみ、又は一定数のみ記憶するように構成してもよい。
　ここで、本開示の“データフレームを記憶”とは、データフレーム全てを記憶する場合の他、データフレームに含まれる内容の一部のみを記憶する場合をも含む。
　生成方法記憶部１２（第２の記憶部に相当）は、データフレームに含まれるデータを予測して生成する方法（以下、予測生成方法）を記憶する。予測生成方法は、電子制御装置１００が以下に説明する動作を実行する前に生成方法記憶部１２に予め書き込まれ、記憶される。したがって、予測生成方法は例えば、工場から出荷される前に車両製造工場又は電子制御装置の製造工場等によって書き込まれる、あるいは、工場から出荷した後にディーラーによって書き込まれ、あるいは更新される。
　図４は、生成方法記憶部１２に記憶される予測生成方法が示された情報テーブルの一例を示している。図４では、生成方法記憶部１２は、予測生成方法の他に、この予測生成方法によって生成される予測データの種別に対して割り当てられるフレームＩＤ（例えば、０ｘ００１など）、予測データが格納されるシグナル部を示す情報（例えば、シグナルＡなど）、このシグナル部のデータフレームにおける位置を示すシグナル部開始点、このシグナル部のビット長、及び、予測生成に必要なデータリスト、例えば、予測生成方法に使用されるデータや、そのデータのデータフレーム記憶部１１における記憶先を示す情報、を記憶している。
　しかしながら、図４に示す情報テーブルは一例にすぎず、生成方法記憶部１２は、図４に示す以外の情報を記憶していてもよい。
　異常判定部１３は、受信部１０で受信した“データフレームの異常”の有無を判定する。
　ここで、本開示の“データフレームの異常”とは、データフレーム自体又はデータフレームの内容に異常がある場合の他、データフレームが送信又は受信されたタイミングが正常ではない場合をも含む。
　なお、異常判定部１３がデータフレームに異常があるかどうかを判定する方法は任意である。一例として、異常判定部１３は、データフレームの受信時刻に基づいてデータフレームに異常があるかどうかを判定してもよい。
　例えば、データフレームには、特定の電子制御装置から一定周期で送信されるものがある。このようなデータフレームについては、データフレームの送信周期と、受信部１０が最新のデータフレームを受信した受信時刻とに基づいて、次のデータフレームの受信予定時刻を算出することができる。しかしながら、受信予定時刻と、次のデータフレームの実際の受信時刻とに大きなずれがある場合、このデータフレームは正常に送信されたものではない可能性が高い。そこで、異常判定部１３は、受信予定時刻と実際の受信時刻との間の差異が一定以上の場合には、この受信時刻に受信したデータフレームには異常があると判定する。
　あるいは、受信予定時刻付近に複数のデータフレームを受信した場合についても、これらのデータフレームの一部又は全てに異常がある可能性が高い。そこで、このような場合も、異常判定部１３は、受信予定時刻付近に受信した複数のデータフレームの一部又は全てに異常があると判定する。
　予測データ生成部１４は、生成方法記憶部１２に記憶されている予測生成方法に基づいて、異常があると判定されたデータフレームに“含まれるべき正常なデータ”と予測される予測データを生成する。この予測データは、例えば、異常があると判定されたデータフレームが所定のフレーム送信時刻（所定の送信時刻に相当）に送信されると仮定した場合に当該データフレームに含まれるべき正常なデータである。図４に示すとおり、生成方法記憶部１２は情報テーブルに複数の予測生成方法を記憶しているため、予測データ生成部１４は、情報テーブルの中から、異常があると判定されたデータフレームに含まれる車速や圧力といった具体的なデータの種別に基づいて予測生成方法を選択し、選択した予測生成方法に基づいて予測データを生成する。この予測データは、予測データ生成部１４がデータフレーム記憶部１１に記憶されたデータフレームから予測データの生成に必要なデータ（過去データに相当）を取得し、これらのデータに演算などを施すことによって生成される。
　なお、図４に示す実施形態では、生成方法記憶部１２が、予測生成方法と共に予測生成に必要なデータを示すデータリストを記憶しているため、予測データ生成部１４はデータリストに示されたデータをデータフレーム記憶部１１から読み出して取得すればよい。しかしながら、生成方法記憶部１２に記憶される情報テーブルにデータリストが含まれていない場合には、予測データ生成部１４は、生成方法記憶部１２から読み出した予測生成方法に基づいて、この予測生成方法を実行するのに必要なデータを判定し、その判定結果に基づいて、データフレーム記憶部１１から必要なデータを取得してもよい。
　ここで、本開示のデータフレームに“含まれるべき正常なデータ”は、異常があると判定されたデータフレームが送信元電子制御装置から送信されたときに本来含まれているであろうデータに限定されない。例えば、“含まれるべき正常なデータ”は、送信元電子制御装置の相違、送信時刻の相違、又は送信するデータの種類や属性等を考慮して予測・生成されるデータをも含み、一例として、異常があると判定されたデータフレームが、送信元電子制御装置から送信された送信時刻とは異なる時刻に送信されたと仮定したときに含まれているであろうデータが挙げられる。
　予測データ生成部１４はさらに、生成方法記憶部１２の情報テーブルに示すシグナル部の情報に基づいて、生成した予測データを所定のシグナル部に格納するとともに、シグナル部の開始点を示す情報、及び、シグナルのビット長を示す情報に基づいて、シグナル部をデータフレームの所定の位置に配置することにより、予測データを含む予測データフレームを生成する。
　なお、データフレームがデータフィールド内に複数のシグナル部を有する場合には、予測データ生成部１４は、複数のシグナル部それぞれに格納する予測データを、それぞれの予測生成方法に基づいて生成する。そして、生成した予測データをそれぞれのシグナル部に格納するとともに、各シグナル部を所定の位置に配置して予測データフレームを生成する。
　送信部１５は、予測データ生成部１４にて生成した予測データフレームを送信する。なお、予測データ生成部１４が、予測データとして、所定のフレーム送信時刻に送信されると仮定した場合にデータフレームに含まれるべき正常なデータを生成する場合、送信部１５は、当該所定のフレーム送信時刻に予測データフレームを送信する。ここで、フレーム送信時刻は、異常があると判定した時刻に予測データフレームの生成及び送信までに要する時間を足した時刻であり、例えば予測データを生成した後に、遅滞なく、当該予測データを含む予測データフレームを送信できる時刻であるが、この他、予測データの生成後所定のウェイトを挟んだ時刻であってもよい。つまり、所定の送信時刻は、異常検知後に、電子制御装置１００が予測データフレームを送信するまでのタイムラグに相当する。また、電子制御装置１００の処理速度によっては、フレーム送信時刻と、異常があると判定した時刻は実質的に同時刻であると評価してもよい。なお、異常検知の時刻は、他の電子制御装置がデータフレームを送信する時刻と略同一である。
２．電子制御装置１００の動作
　次に、図５、６を用いて電子制御装置１００の動作を説明する。図５は受信部１０にて受信したデータフレームに異常がない場合、図６はデータフレームに異常がある場合の動作をそれぞれ示している。
　受信部１０は、通信ネットワーク１０１を介して接続された電子制御装置間で送受信されるデータフレームを受信する（Ｓ１０１）。データフレームを受信すると、受信部１０は、受信したデータフレームに異常があるかどうかの判定を異常判定部１３に要求する（Ｓ１０２）。このとき、受信部１０は、異常判定の要求と併せて、受信したデータフレームや、その受信時刻を異常判定部１３に通知してもよい。そして、Ｓ１０２の要求を受信した異常判定部１３は、受信したデータフレームの異常の有無を判定する（Ｓ１０３）。
　図５に示すようにデータフレームに異常がないと判定した場合には、異常判定部１３は、データフレームに異常がないことを示す判定結果を受信部１０に通知する（Ｓ１０４）。そして、受信部１０は、Ｓ１０１にて受信したデータフレームをデータフレーム記憶部１１に記憶させる（Ｓ１０５）。
　なお、図５に示す実施形態では、異常がないと判定されたデータフレームのみをデータフレーム記憶部１１に記憶しているが、受信部１０で受信した全てのデータフレームをデータフレーム記憶部１１に記憶してもよい。
　これに対し、図６に示すように、Ｓ１０３で異常の有無を判定した結果、データフレームに異常があると判定した場合、異常判定部１３は、予測データ生成部１４に対して、予測データの生成を要求する（Ｓ１１４）。このとき、異常判定部１３は、異常があると判定したデータフレームのフレームＩＤや、フレーム受信時刻、データフレームに含まれるデータなどを予測データ生成部１４に通知してもよい。
　異常判定部１３から予測データの生成要求を受信した予測データ生成部１４は、生成方法記憶部１２に記憶されている情報テーブルから、異常があると判定したデータフレームに含まれるデータに基づいて、予測生成方法や、予測生成に必要なデータを示すデータリストなどを読み出す（Ｓ１１５）。
　このとき、予測データ生成部１４は、データの種別に応じて割り当てられたフレームＩＤを用いて、異常があると判定したデータフレームに含まれるデータに対応する予測生成方法を選択し、読み出してもよい。例えば、異常があると判定したデータフレームのフレームＩＤが「０ｘ００１」の場合は、図４に示す情報テーブルの中から一番目のデータを読み出す。また、フレームＩＤが「０ｘ００２」の場合には、図４に示す情報テーブルの中から二番目と三番目のデータを読み出す。
　Ｓ１１５において、生成方法記憶部１２の情報テーブルから予測生成方法などを読み出した予測データ生成部１４は、読み出した予測生成方法を実行するのに必要なデータをデータフレーム記憶部１１から読み出す（Ｓ１１６）。
　次いで、予測データ生成部１４は、Ｓ１１５で読み出した予測生成方法に基づき、データフレーム記憶部１１から読み出したデータ（過去データに相当）を用いて予測データを生成する（Ｓ１１７）。予測データ生成部１４はさらに、生成した予測データを含む予測データフレームを生成する（Ｓ１１８）。
　そして、予測データ生成部１４は、生成した予測データフレームを送信することを送信部１５に対して要求する（Ｓ１１９）。送信部１５は、予測データ生成部１４から送信要求を受信すると、予測データフレームを送信する（Ｓ１２０）。
　なお、送信先電子制御装置１０３は、Ｓ１０１にて受信部１０が受信したデータフレームと同じデータフレームを受信した後、Ｓ１２０にて送信部１５から送信された予測データフレームを受信する。送信先電子制御装置１０３は、ＬＩＦＯ制御によって、受信したデータフレームの中から最新のものを読み出すとともに、そのデータフレームに含まれるデータに基づいて制御を行う。つまり、送信先電子制御装置１０３は、先に受信したデータフレームによって制御される前に、Ｓ１２０において送信部１５から送信された予測データフレームを受信した場合、この予測データフレームによって制御される。
３．予測生成方法に基づく予測データの生成
　次に、生成方法記憶部１２に記憶される予測生成方法を例示し、具体的な予測データの生成方法を説明する。なお、以下に示す予測生成方法は代表例にすぎず、本実施形態において使用される予測生成方法は以下に示す例に限定されるものではない。
（ａ）異常データと同じ種別のデータから予測される予測データの生成
　データフレーム記憶部１１に記憶されているデータのうち、異常があると判定されたデータフレームに含まれる異常データと同じ種別のデータから予測される予測データを生成する方法を説明する。
　例えば、異常データが車両の舵角に関するデータの場合に、以下の式（１）に示す予測生成方法に基づいて、過去の舵角に関するデータを用いて予測データＡを生成する。
　Ａ＝ａ１＋（ａ１－ａ２）／Ｔ×（ｔ０－ｔ１）・・・（１）
　ここで、ａ１はデータフレーム記憶部１１に記憶されているデータフレームに含まれる舵角に関する最新のデータであり、ａ２はデータフレーム記憶部１１に記憶されているデータフレームに含まれる舵角に関するデータであって、ａ１の次に新しいデータである。Ｔは舵角に関するデータを含むデータフレームの送信周期である。また、ｔ０は予測データ生成部１４にて生成したデータフレームを送信部１５から送信することを予定している予定送信時刻であり、ｔ１は受信部１０がａ１を含むデータフレームを受信した受信時刻である。なお、予定送信時刻ｔ０は、異常があると判定されたデータフレームの受信時刻と、予測データを含むデータフレームを生成して送信するまでに要する時間とを加算することで算出することができる。
　なお、生成方法記憶部１２が予測生成に必要なデータリストを記憶している場合、上記の例では、図４に示す情報テーブルの一番目に示すように、データリストにはａ１、ａ２、及びｔ１が記載されており、予測データ生成部１４は、これらのデータをデータフレーム記憶部１１から読み出し、式（１）に基づいて予測データＡを生成する。
　図７は、この予測生成方法を説明する図である。従来技術では、不正フレームを無効化するデータフレームの内容が、その直前に受信したデータフレームと同じであるため、電子制御装置は予定送信時刻ｔ０にａ１のデータを送信することになる。しかしながら、ａ２からａ１へと舵角が経時的に増加していることを鑑みれば、図７の破線に示すように、予定送信時刻ｔ０の舵角はａ１よりも増加する可能性が高い。そこで、式（１）に示す予測生成方法に基づいて予定送信時刻ｔ０時点の舵角を予測し、予測データＡを生成する。
　例えば、データフレーム記憶部１１に記憶されている舵角ａ１が３０．０°、舵角ａ１の受信時刻ｔ１が１０．００秒、舵角ａ２が２９．０°であり、データフレームの送信周期Ｔが１．０秒、異常があると判定されたデータフレームの受信時刻が１０．０５秒、データフレームの送信までに要する時間が０．０５秒の場合を検討する。
　この場合、舵角の予測データＡは、式（１）に基づいて３０．１°と算出される。したがって、送信部１５は、予定送信時刻１０．１０秒（１０．０５＋０．０５秒）に、生成した３０．１°の予測データを含む予測データフレームを送信する。
　別の例では、データフレーム記憶部１１に記憶されているデータのうち、異常データと同じ種別のデータの平均に基づいて予測データを生成してもよい。
　例えば、車両のフォグランプの点灯状態は一般に頻繁に変化することはない。したがって、異常があると判定されたデータフレームに含まれているであろうデータ、あるいは、異常データフレームが所定のフレーム送信時刻に送信されたと仮定したときに、当該データフレームに含まれるべき正常なデータはいずれも、過去のフォグランプの点灯状態と同じである可能性が高い。そこで、異常があると判定されたデータフレームに含まれる異常データが車両のフォグランプの点灯状態を示すデータの場合、過去のフォグランプの点灯状態を示すデータの平均から予測データを生成する。具体的には、データフレーム記憶部１１に、過去のフォグランプの点灯状態を示す１０個のデータが記憶されており、そのうち９個がフォグランプの点灯を示し、１個がフォグランプの非点灯を示している場合、予測データ生成部１４は、平均以上のデータであるフォグランプの点灯を示すデータを予測データとして生成する。
（ｂ）異常データと異なる種別のデータから予測される予測データの生成
　（ａ）では、異常データと同じ種別のデータから予測される予測データを生成したが、異常データと異なる種別のデータから予測される予測データを生成してもよい。
　例えば、異常データが車速に関するデータの場合、以下の式（２）に示す予測生成方法に基づいて、過去の車速のデータ及び車速以外のデータを用いて予測データＢを生成する。
　Ｂ＝ｂ１＋ｃ１×（ｔ０－ｔ１）・・・（２）
　ここで、ｂ１はデータフレーム記憶部に記憶されている車速に関する最新のデータであり、ｃ１はデータフレーム記憶部に記憶されている加速度に関する最新のデータである。また、ｔ１は受信部１０がｂ１を含むデータフレームを受信した受信時刻である。
　なお、生成方法記憶部１２が予測生成に必要なデータリストを記憶している場合、図４に示す情報テーブルの二番目に示すように、データリストにはｂ１、ｃ１、及びｔ１が記載されており、予測データ生成部１４はこれらのデータをデータフレーム記憶部１１から読み出し、式（２）に基づいて予測データＢを生成する。
　例えば、データフレーム記憶部１１に記憶されている車速ｂ１が３０．０ｋｍ／ｈ、ｂ１の受信時刻ｔ１が１０．００秒、加速度ｃ１が１．０ｍ／ｓ２であり、異常があると判定されたデータフレームの受信時刻が１０．０５秒、データフレームの送信までに要する時間が０．０５秒の場合を検討する。
　この場合、車速の予測データＢは、式（２）に基づいて３０．３６ｋｍ／ｈと算出される。したがって、送信部１５は、送信時刻１０．１０秒に、３０．３６ｋｍ／ｈの予測データを含む予測データフレームを送信する。
　上記の例では、異常データが車速に関するデータの場合に、過去の車速のデータに加えて、車速以外のデータ（例えば、加速度のデータ）を用いて予測データを生成した。しかしながら、以下に示すように、異常データとは全く異なる種別のデータのみを用いて予測データを生成してもよい。
　例えば、運転支援システムを搭載する車両では、自車両の速度や、自車両の前方を走行する車両（以下、前方車両）の速度、前方車両との車間距離といった、複数の要因を複合的に判断してブレーキ要求を生成する。そのため、異常データがブレーキ要求に関するデータの場合には、過去のブレーキ要求に関するデータとは全く異なるデータを用いて予測データを生成することが望ましい。以下に、ブレーキ要求である予測データの予測生成方法の一例を示す。図８は、この予測生成方法を説明する図である。
　予測データ生成部１４は、以下に示す式（３）～式（８）を実行して予測データを生成する。まず、以下の式（３）にしたがって、前方車両に対する自車両の相対加速度ａｒ１を算出する。
　ａｒ１＝（ｖｒ１－ｖｒ２）／（ｔ１－ｔ２）・・・（３）
　ここで、ｖｒ１はデータフレーム記憶部１１に記憶されている前方車両との相対速度に関する最新のデータであり、ｖｒ２はデータフレーム記憶部１１に記憶されている前方車両との相対速度に関するデータであって、ｖｒ１の次に新しいデータである。また、ｔ１、ｔ２はそれぞれ、受信部１０におけるｖｒ１、ｖｒ２の受信時刻である。なお、ａｒ１は、図８に示すように、ｔ１、ｔ２間の相対速度の変化率に相当する。
　次に、式（３）で算出した相対加速度ａｒ１を用いて、以下の式（４）から前方車両の加速度ａ１を算出する。
　ａ１＝ａ０－ａｒ１・・・（４）
　ここで、ａ０はデータフレーム記憶部１１に記憶されている自車両の加速度に関するデータである。
　次いで、式（４）で算出した前方車両の加速度ａ１と、緊急ブレーキをかけた場合の加速度ｇとを用いて、式（５）に基づいて緊急ブレーキ時の前方車両に対する自車両の相対加速度ａｒ０を算出する。なお、この緊急ブレーキをかけた場合の加速度は予め設定されていてもよく、あるいは、車速に基づいて演算により算出してもよい。
　ａｒ０＝ｇ－ａ１・・・（５）
　なお、ａｒ０は、図８に示すように、ｔ１後の相対速度の変化率に相当する。
　さらに、式（３）で使用した相対速度ｖｒ１と、式（５）で算出した緊急ブレーキ時の相対加速度ａｒ０とを用いて式（６）を演算し、緊急ブレーキをかけた場合に、前方車両に対する自車両の相対速度が０になる、つまり、前方車両と自車両の速度が等しくなるまでに要する時間Δｔを算出する。
　Δｔ＝－ｖｒ１／ａｒ０・・・（６）
　次に、式（５）で算出した、緊急ブレーキをかけた場合の前方車両に対する自車両の相対加速度ａｒ０と、式（６）で算出した時間Δｔとを用いて、緊急ブレーキをかけたときに前方車両に対する自車両の相対速度が０になるまでに要すると予想される予想制動距離Ｒ０を、式（７）に基づいて算出する。
　Ｒ０＝ｖｒ１×Δｔ＋１／２・ａｒ０×Δｔ２・・・（７）
　ここで、式（７）で求めた予想制動距離Ｒ０と、データフレーム記憶部に記憶されている前方車両と自車両の間の実際の車間距離Ｒとを比較する。ここで、予想制動距離Ｒ０が実際の車間距離Ｒよりも大きい場合、前方車両に対する自車両の相対速度が０になり、前方車両と自車両の速度が等しくなる前に、自車両は前方車両に衝突してしまうおそれがある。そこで、Ｒ０＞Ｒの場合には、予測データ生成部１４は、予測データとしてブレーキ要求があることを示すデータを生成する。これに対し、上記一連の演算をした結果、Ｒ０＜＝Ｒの場合、前方車両と自車両の速度が等しくなった時点で、前方車両と自車両の間の車間距離は十分に確保できている。そこで、予測データ生成部１４は、予測データとしてブレーキ要求がないことを示すデータを生成する。
　そして、異常があると判定されたデータフレームに含まれているであろうデータ、あるいは、異常データフレームが所定のフレーム送信時刻に送信されたと仮定したときに、当該データフレームに含まれるべき正常なデータとして、ブレーキ要求の有無を示すデータを送信する。
　以上の例では、予測データとして、舵角、フォグランプの点灯状態、車速、及びブレーキ要求を生成する例を説明した。しかしながら、上述したデータの種別は例示にすぎず、予測データとして任意のデータを生成することができる。例えば、車速のように連続的に数値が変化しうるエンジン回転数を予測データとして生成してもよい。あるいは、フォグランプの点灯状態のように離散値で示されるデータとして、例えば、ＡＣＣ（Adaptive Cruise Control）のＯＮ／ＯＦＦを示すデータを予測データとして生成してもよい。また、異常データと異なる種別のデータを用いた予測生成方法の一例として車速を示したが、車速の予測データを生成するために、加速度のデータを使用せず、過去の車速のデータのみを用いてもよい。
　さらに、以上の例では、データが線形変化することを前提とした予測生成方法や、平均を利用した予測生成方法を示したが、本実施形態の予測生成方法は例示したものに限定されるものではなく、任意の方法を用いることができる。例えば、データフレーム記憶部に記憶されている複数のデータを用いて、最小二乗法によって予測データを生成してもよい。
　また、本実施形態は、送信部１５から送信するデータフレームに、予測生成方法に基づいて生成された予測データが含まれていれば足り、予測データ以外のデータが含まれていてもよい。
　例えば、車両の識別情報は経時的に変化するものではないため、車両の識別情報が格納されるシグナル部には常に一定のデータが格納される。このような場合、予測データ生成部１４は、本実施形態の予測生成方法に基づいて生成された予測データをシグナル部Ａに格納し、車両の識別情報のように、予測生成方法に基づいて生成される予測データとは異なるデータをシグナル部Ｂに格納してデータフレームを生成する。
　例えば、予測データ生成部１４は、車両の識別情報をメモリに記憶しておき、生成した予測データに車両の識別情報を付加して予測データフレームを生成してもよい。あるいは、車両の識別情報のように常に一定のデータについても、本実施形態の予測データと同様の方法を用いて生成してもよい。この場合、図４に示す情報テーブルの三番目に示すように、生成方法記憶部はＣ＝ｃ１の予測生成方法を記憶する。ここで、ｃ１は、データフレーム記憶部に記憶されている車両の識別情報に関する最新のデータである。つまり、車両の識別情報などのデータについては、常に、データフレーム記憶部に記憶されている最新のデータと同じ値がシグナル部に格納される。そして、予測データ生成部１４は、予測生成方法に基づいて生成された予測データを格納したシグナル部と、車両の識別情報のように常に一体のデータを格納したシグナル部とを組み合わせて、予測データフレームを生成する。
　上記実施形態１によれば、不正フレームを無効化するデータフレームに含まれるデータを、当該データフレームに含まれるべき正常なデータの予測データとすることにより、送信先電子制御装置の制御を適切に行うことが可能となる。
　さらに、予測データをデータフレームの送信時刻のデータとすることにより、経時的に変化するデータ等についても、送信時点の状態に適した情報で送信先電子制御装置の制御を行うことが可能となる。
（実施形態２）
　上記実施形態１では、予測データ生成部１４は、データフレーム記憶部１１に記憶されたデータフレームを主として予測データを生成する構成であった。しかしながら、予測データ生成部１４はさらに、電子制御装置１００に接続されたセンサ等から直接的にデータを取得し、このデータを用いて予測データを生成してもよい。
　図９は、本実施形態の電子制御システムを示している。図１に示す電子制御システムとは異なり、電子制御装置１００にはセンサ（センサ装置に相当）１０４が接続されている。なお、図９では、電子制御装置１００にセンサ１０４にのみ接続されているが、当然のことながら、電子制御装置１００は複数のセンサに接続されてもよい。さらに、電子制御装置１００は、送信元電子制御装置１０２又は送信先電子制御装置１０３に接続されているセンサに接続されていてもよい。
　電子制御装置１００に接続されるセンサ１０４は、車両の状態を示すデータ（車両データに相当）、例えば、前方車両と自車両との車間距離を検出する測距センサである。この場合、上記実施形態１で例示した、ブレーキ要求を予測データとして生成する際、前方車両と自車両の間の実際の車間距離Ｒについて、データフレーム記憶部１１に記憶されたデータフレームを読み出さず、センサ１０４から車間距離Ｒのデータを受け取り、このデータと式（７）で求めた予想制動距離Ｒ０とを比較してもよい。
　なお、当然のことながら、電子制御装置１００が接続されるセンサは上記の例による測距センサに限定されるものではなく、任意のセンサと接続することができる。
　実施形態２によれば、電子制御装置１００は、センサから直接的にデータを取得して予測データを生成することができるため、予測データを生成するのに適切な数のデータフレームがデータフレーム記憶部１１に記憶されていない場合、例えば、車両を起動した直後であって、予測データを生成するのに十分な数のデータフレームがデータフレーム記憶部１１に記憶されていないような場合であっても、センサから直接取得したデータを併せて用いることにより、電子制御装置１００は予測データを生成することが可能となる。さらに、電子制御装置１００は、センサから直接的にデータを取得することにより、最新のデータを利用して予測データを生成することができるため、予測データの確からしさを向上させることができ、さらには、最新のデータを用いて送信先電子制御装置の制御を適切に行うことが可能となる。
（実施形態３）
　上記実施形態１では、データフレームに異常がある場合には必ず、予測データ生成部１４にて予測データを生成する構成を説明した。しかしながら、予測データ生成部１４は、データフレームに異常がある場合であっても、特定の条件を満たす場合に限り予測データを生成する構成としてもよい。
　図１０は、本実施形態３の電子制御装置２００である。図２に示す電子制御装置１００と同じ構成については同じ符号を付し、説明は省略する。図１０に示す電子制御装置２００は、図２に示す構成に加えてデータ生成判定部１６を備えている。
　データ生成判定部１６（判定部に相当）は、異常判定部１３がデータフレームに異常があると判定すると、予測データ生成部１４における予測データの生成を実行するか否かを判定してその判定結果を予測データ生成部１４に通知する。そして、データ生成判定部１６から通知された判定結果が、予測データを生成することを示している場合に、予測データ生成部１４は上述した実施形態に基づいて予測データを生成する。
　第１の例として、データ生成判定部１６は、異常があると判定されたデータフレームに含まれるデータの種別が、予め設定されたデータの種別である場合に限り、予測データの生成を実行すると判定をする。例えば、車速、エンジンの回転数、舵角といったデータは、車両の走行に直接的に関連するデータであり、車両の安全性に影響を与える。そのため、車両の安全走行を実現するためには、このようなデータを含むデータフレームが不正に送信された場合に、不正なデータフレームによって電子制御装置が制御されるのを抑止することが望ましい。
　そこで、車両の安全性に関わるデータなどの特定のデータを予め設定し、異常があると判定されたデータフレームに含まれるデータの種別と、設定されたデータの種別とが同じ場合には、データ生成判定部１６は、予測データを生成すると判定する。
　第２の例では、データ生成判定部１６は、データフレーム記憶部１１に記憶されているデータフレームのうち、異常があると判定されたデータフレームに含まれるデータと同じ種別の最新のデータと、異常データと、の差分に基づいて、予測データを生成するかどうかを判定してもよい。
　例えば、データ生成判定部１６は、異常データと最新のデータとの差分と、予め設定された許容差分とを比較し、差分が許容差分以上の場合には、予測データを生成すると判定する。具体的には、車速に関するデータについて許容差分が５ｋｍ／ｈに設定されている場合に、異常データが６５ｋｍ／ｈの車速を示しており、データフレーム記憶部１１に記憶されている最新のデータが５０ｋｍ／ｈの車速を示しているとする。この場合、異常データと最新のデータの差分は１５ｋｍ／ｈであり、許容差分以上である。したがって、データ生成判定部１６は、予測データを生成すると判定し、その判定結果を予測データ生成部１４に通知する。
　これに対し、異常データが５２ｋｍ／ｈの車速を示しており、データフレーム記憶部１１に記憶されている最新のデータが５０ｋｍ／ｈの車速を示している場合、異常データと最新のデータの差分は２ｋｍ／ｈであり、許容差分以下であるため、データ生成判定部１６は、予測データの生成を実行しないと判定し、その判定結果を予測データ生成部１４に通知する。
　異常があると判定されたデータフレームが複数のシグナル部を含む場合には、特定のシグナル部（例えば、シグナル部Ａ）に格納された異常データについてのみ、データフレーム記憶部１１に記憶されている最新のデータとの差分と許容差分とを比較してもよい。この場合、データ生成判定部１６は、予測データを生成するかどうかの判定において、シグナル部Ａ以外のシグナル部（例えば、シグナル部Ｂ）に格納された異常データを考慮しない。
　第３の例では、データ生成判定部１６はさらに、通信ネットワーク１０１の負荷をモニタし、通信ネットワーク１０１の負荷に基づいて予測データを生成するかどうかを判定してもよい。
　本実施形態の電子制御装置１００において予測データを生成する場合、生成した予測データを含む予測データフレームを送信することにより、通信ネットワーク１０１の負荷は増加する。そのため、通信ネットワーク１０１の負荷が高い状態にある場合、予測データフレームを送信することによって、より重要なデータフレームの送受信が妨げられるおそれがある。
　そこで、データ生成判定部１６は、例えば、通信ネットワーク１０１の負荷と、予め設定された通信ネットワークの負荷の閾値とを比較し、通信ネットワーク１０１の負荷が閾値よりも低い場合には予測データの生成を実行すると判定し、通信ネットワーク１０１の負荷が閾値よりも高い場合には予測データの生成を実行しないと判定し、これらの判定結果を予測データ生成部１４に通知する。
　第４の例では、データ生成判定部１６はさらに、異常があると判定されたデータフレームを受信部１０が受信した“受信頻度”をモニタし、この受信頻度に基づいて予測データを生成するかどうかを判定してもよい。
　ここで、“受信頻度”とは、例えば、異常があるデータフレームを一定期間内に受信した回数、あるいは、異常があるデータフレームを連続して受信した回数のように“回数”を示す場合、及び、異常があるデータフレームの受信間隔のように“間隔”を示す場合のいずれも含む。
　例えば、異常があると判定されたデータフレームを複数回にわたり連続して受信した場合、予測データ生成部１４は、異常があると判定されたデータフレーム全てに対して予測データを生成せず、受信した複数のデータフレームのうち一定数毎、あるいは一定時間毎に予測データを生成し、この予測データを含む予測データフレームを送信部１５から送信してもよい。
　送信先電子制御装置１０３は、ＬＩＦＯ制御により、受信したデータフレームの中から最新のものを読み出し、そのデータフレームに含まれるデータに基づいて制御を行う。つまり、電子制御装置１００が予測データを含む予測データフレームを複数送信しても、送信先電子制御装置１０３は最新の予測データフレームのみを使用し、その他の予測データフレームは無効となる。このように、送信先電子制御装置１０３によって使用されない予測データフレームを電子制御装置１００が送信することにより、通信ネットワーク１０１の負荷が増加して、より重要なデータフレームの送受信が妨げられるおそれがある。特に、異常があるデータフレームを連続して受信し、それに伴って予測データフレームを連続して送信すると、通信ネットワーク１０１の負荷は急激に増大してしまう。
　そこで、データ生成判定部１６は、一定期間内に、あるいは、連続的に異常があるデータフレームを受信した回数をモニタしてカウントするとともに、カウントした受信回数と、予め設定された閾値回数とを比較する。そして、カウントした受信回数が閾値回数よりも高い場合には、一定回数又は一定時間にわたり予測データの生成を実行しないと判定する。一方、一定回数又は一定時間が経過すると、予測データの生成を実行することを判定し、これらの判定結果を予測データ生成部１４に通知する。なお、予測データを生成するかどうかの判定基準となる閾値回数や時間は、データの種別によって異なっていてもよい。
（総括）
　以上、各実施形態における電子制御装置及び電子制御システムについて説明した。
　上記実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。
　実施形態の説明に用いたブロック図は、電子制御装置等の構成を機能毎に分類及び整理したものである。これらの機能ブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明の開示としても把握できるものである。
　各実施形態に記載した処理、フロー、及び方法として把握できる機能ブロックについては、一のステップで他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えても良い。
　各実施形態、及び請求の範囲で使用する「第１」「第２」の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。
　各実施形態は、車両に搭載される車両用の電子制御装置及び電子制御システムを前提としているが、本明細書は、車両用以外の専用又は汎用の電子制御システムを含めた情報処理システム、及び専用又は汎用の電子制御装置を含めた情報処理装置も開示するものである。
　また、本開示の電子制御装置の形態の例として、半導体、電子回路、モジュール、マイクロコンピュータが挙げられる。またこれらにアンテナや通信用インターフェースなど、必要な機能を追加してもよい。また、カーナビゲーションシステム、スマートフォン、パーソナルコンピュータ、携帯情報端末のような形態をとることも可能である。
　加えて、本開示は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記憶媒体に記憶した本開示を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及びメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。
　専用や汎用のハードウェアの記憶媒体（外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、内部記憶装置（ＲＡＭ、ＲＯＭ等）、非遷移的実体的記録媒体（non-transitory tangible storage medium））に格納されるプログラムは、記憶媒体を介して、あるいは記憶媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。
　本開示の電子制御装置は、主として自動車に搭載される車両用電子制御装置として説明したが、自動二輪車、電動機付自転車、鉄道はもちろん、船舶、航空機等、移動する移動体全般に適用することが可能である。
 
 

Claims (15)

  1. 　通信ネットワーク（１０１）を介して他の電子制御装置（１０２）から送信されたデータフレームを受信する受信部（１０）と、
    　前記データフレームを記憶する第１の記憶部（１１）と、
    　前記データフレームに含まれるデータを予測し生成する予測生成方法を記憶する第２の記憶部（１２）と、
    　前記データフレームの異常の有無を判定する異常判定部（１３）と、
    　前記異常があると判定された前記データフレームに含まれるべき正常なデータと予測される予測データを、前記予測生成方法に基づき、前記第１の記憶部に記憶された前記データフレームに含まれるデータである過去データを用いて生成する予測データ生成部（１４）と、
    　前記予測データを含む予測データフレームを前記通信ネットワークを介して送信する送信部（１５）と、
    　を備える電子制御装置（１００，２００）。
  2. 　前記第２の記憶部は複数の予測生成方法を記憶しており、
    　前記予測データ生成部は、前記異常があると判定された前記データフレームに含まれるデータである異常データの種別に基づいて、前記複数の予測生成方法のうち１つの予測生成方法を選択する、
    　請求項１に記載の電子制御装置。
  3. 　前記送信部は、前記予測データの生成後である所定の送信時刻に前記予測データフレームを送信し、
    　前記予測データ生成部は、前記予測データとして、前記異常があると判定された前記データフレームが前記他の電子制御装置から前記所定の送信時刻に送信されると仮定した場合に前記データフレームに含まれるべき正常なデータを生成する、
    　請求項１に記載の電子制御装置。
  4. 　前記予測データ生成部はさらに、前記所定の送信時刻を用いて前記予測データを生成する、
    　請求項３に記載の電子制御装置。
  5. 　前記予測データ生成部は、前記異常があると判定された前記データフレームに含まれるデータである異常データと同じ種別の前記過去データから予測される前記予測データを生成する、
    　請求項１に記載の電子制御装置。
  6. 　前記予測データ生成部は、前記異常があると判定された前記データフレームに含まれるデータである異常データと異なる種別の前記過去データから予測される前記予測データを生成する、
    　請求項１に記載の電子制御装置。
  7. 　車両に搭載される電子制御装置であって、前記車両の状態を示す車両データを検出するセンサ装置（１０４）に接続されており、
    　前記予測データ生成部はさらに、前記車両データを用いて前記予測データを生成する、
    　請求項１に記載の電子制御装置。
  8. 　前記異常があると判定された前記データフレームに含まれるデータである異常データの種別に基づいて、前記予測データを生成するかどうかを判定する判定部（１６）をさらに備える、
    　請求項１に記載の電子制御装置（２００）。
  9. 　前記異常があると判定された前記データフレームに含まれるデータである異常データと、前記異常データと同じ種別の前記過去データのうち最新のデータとの差分に基づいて、前記予測データを生成するかどうかを判定する判定部（１６）をさらに備える、
    　請求項１に記載の電子制御装置（２００）。
  10. 　前記通信ネットワークの負荷をモニタし、前記負荷に基づいて前記予測データを生成するかどうかを判定する判定部（１６）をさらに備える、
    　請求項１に記載の電子制御装置（２００）。
  11. 　前記異常があると判定された前記データフレームの受信頻度をモニタし、前記受信頻度に基づいて前記予測データを生成するかどうかを判定する判定部（１６）をさらに備える、
    　請求項１に記載の電子制御装置（２００）。
  12. 　通信ネットワーク（１０１）を介してデータフレームを送信する第１の電子制御装置（１０２）と、
    　　前記データフレームを受信する受信部（１０）と、
    　　前記データフレームを記憶する第１の記憶部（１１）と、
    　　前記データフレームに含まれるデータを予測し生成する予測生成方法を記憶する第２の記憶部（１２）と、
    　　前記データフレームの異常の有無を判定する異常判定部（１３）と、
    　　前記異常があると判定された前記データフレームに含まれるべき正常なデータと予測される予測データを、前記予測生成方法に基づき、前記第１の記憶部に記憶された前記データフレームに含まれるデータである過去データを用いて生成する予測データ生成部（１４）と、
    　　前記予測データを含む予測データフレームを前記通信ネットワークを介して送信する送信部（１５）と、
    　を備える第２の電子制御装置（１００）と、
    　前記第１の電子制御装置から送信された前記データフレームと、前記第２の電子制御装置から送信された前記予測データフレームとを受信し、前記予測データフレームに基づいて制御を行う第３の電子制御装置（１０３）と、
    　を備える、電子制御システム（１）。
  13. 　車両に搭載される電子制御システムであって、
    　前記第２の電子制御装置に接続された、前記車両の状態を示す車両データを検出するセンサ装置をさらに備え、
    　前記予測データ生成部は、前記車両データを用いて前記予測データを生成する、
    　請求項１２記載の電子制御システム。
  14. 　通信ネットワークを介して他の電子制御装置から送信されたデータフレームを受信し、
    　前記データフレームを第１の記憶部に記憶し、
    　前記データフレームの異常の有無を判定し、
    　前記異常があると判定された前記データフレームに含まれるべき正常なデータと予測される予測データを、第２の記憶部に記憶された予測生成方法に基づき、前記第１の記憶部に記憶された前記データフレームに含まれるデータである過去データを用いて生成し、
    　前記予測データを含む予測データフレームを前記通信ネットワークを介して送信する、予測データ生成プログラム。
  15. 　通信ネットワークを介して他の電子制御装置から送信されたデータフレームを受信し、
    　前記データフレームを第１の記憶部に記憶し、
    　前記データフレームの異常の有無を判定し、
    　前記異常があると判定された前記データフレームに含まれるべき正常なデータと予測される予測データを、第２の記憶部に記憶された予測生成方法に基づき、前記第１の記憶部に記憶された前記データフレームに含まれるデータである過去データを用いて生成し、
    　前記予測データを含む予測データフレームを前記通信ネットワークを介して送信する、予測データ生成方法。
     
PCT/JP2019/019866 2018-06-12 2019-05-20 電子制御装置および電子制御システム WO2019239798A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US17/116,641 US11582112B2 (en) 2018-06-12 2020-12-09 Electronic control unit and electronic control system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018112285A JP6922852B2 (ja) 2018-06-12 2018-06-12 電子制御装置および電子制御システム
JP2018-112285 2018-06-12

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/116,641 Continuation US11582112B2 (en) 2018-06-12 2020-12-09 Electronic control unit and electronic control system

Publications (1)

Publication Number Publication Date
WO2019239798A1 true WO2019239798A1 (ja) 2019-12-19

Family

ID=68842529

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/019866 WO2019239798A1 (ja) 2018-06-12 2019-05-20 電子制御装置および電子制御システム

Country Status (3)

Country Link
US (1) US11582112B2 (ja)
JP (1) JP6922852B2 (ja)
WO (1) WO2019239798A1 (ja)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7347141B2 (ja) * 2019-11-13 2023-09-20 株式会社オートネットワーク技術研究所 車載通信装置及び情報置換方法
JP2023002193A (ja) * 2021-06-22 2023-01-10 トヨタ自動車株式会社 センタ、ｏｔａマスタ、システム、方法、プログラム、及び車両
CN116881234A (zh) * 2023-06-20 2023-10-13 北京自动化控制设备研究所 磁探系统遥测数据实时预测补数方法及系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH06199154A (ja) * 1992-12-28 1994-07-19 Fujitsu Ten Ltd 電子機器の制御装置
JP2007043256A (ja) * 2005-08-01 2007-02-15 Calsonic Kansei Corp ゲートウェイ装置
JP2007081484A (ja) * 2005-09-09 2007-03-29 Auto Network Gijutsu Kenkyusho:Kk ゲートウェイ、通信制御ユニットおよび周期データの代理送信方法
WO2008126698A1 (ja) * 2007-04-05 2008-10-23 Autonetworks Technologies, Ltd. 車載用の中継接続ユニット
JP2017168993A (ja) * 2016-03-15 2017-09-21 本田技研工業株式会社 監視装置、及び、通信システム

Family Cites Families (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE112013007129B4 (de) * 2013-05-31 2021-08-12 Toyota Jidosha Kabushiki Kaisha Bewegungstrajektorienvorhersagevorrichtung und Bewegungstrajektorienvorhersageverfahren
JP6299208B2 (ja) * 2013-12-26 2018-03-28 トヨタ自動車株式会社 車両周辺状況推定装置
JP6032195B2 (ja) * 2013-12-26 2016-11-24 トヨタ自動車株式会社 センサ異常検出装置
JP5972951B2 (ja) * 2014-10-28 2016-08-17 三菱重工業株式会社 補機制御装置、制御システム、過給機、制御方法及びプログラム
JP6429202B2 (ja) * 2016-02-10 2018-11-28 本田技研工業株式会社 車両、車両制御装置、車両制御方法、および車両制御プログラム
JP6497349B2 (ja) * 2016-04-13 2019-04-10 トヨタ自動車株式会社 車両走行制御装置
JP6460349B2 (ja) * 2016-04-13 2019-01-30 トヨタ自動車株式会社 車両走行制御装置
JP6280662B2 (ja) 2016-07-05 2018-02-14 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正制御抑止方法、不正制御抑止装置及び車載ネットワークシステム
JP6849528B2 (ja) 2016-07-28 2021-03-24 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ フレーム伝送阻止装置、フレーム伝送阻止方法及び車載ネットワークシステム
JP6717723B2 (ja) * 2016-10-12 2020-07-01 矢崎総業株式会社 車両システム
US20180152475A1 (en) * 2016-11-30 2018-05-31 Foundation Of Soongsil University-Industry Cooperation Ddos attack detection system based on svm-som combination and method thereof
JP6565893B2 (ja) * 2016-12-26 2019-08-28 トヨタ自動車株式会社 運転支援装置
CN110214312A (zh) * 2017-01-24 2019-09-06 三菱电机株式会社 共享备用单元和控制系统
US10598104B2 (en) * 2017-02-03 2020-03-24 Achates Power, Inc. Mass airflow sensor monitoring using supercharger airflow characteristics in an opposed-piston engine
CN106911511B (zh) * 2017-03-10 2019-09-13 网宿科技股份有限公司 一种cdn客户源站的防护方法和系统
JP6494821B2 (ja) * 2017-04-07 2019-04-03 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正通信検知基準決定方法、不正通信検知基準決定システム及びプログラム
JP6815925B2 (ja) * 2017-04-24 2021-01-20 日立オートモティブシステムズ株式会社 車両の電子制御装置
JP6993559B2 (ja) * 2017-05-16 2022-01-13 富士通株式会社 トラフィック管理装置、トラフィック管理方法およびプログラム
JP6638695B2 (ja) * 2017-05-18 2020-01-29 トヨタ自動車株式会社 自動運転システム

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH06199154A (ja) * 1992-12-28 1994-07-19 Fujitsu Ten Ltd 電子機器の制御装置
JP2007043256A (ja) * 2005-08-01 2007-02-15 Calsonic Kansei Corp ゲートウェイ装置
JP2007081484A (ja) * 2005-09-09 2007-03-29 Auto Network Gijutsu Kenkyusho:Kk ゲートウェイ、通信制御ユニットおよび周期データの代理送信方法
WO2008126698A1 (ja) * 2007-04-05 2008-10-23 Autonetworks Technologies, Ltd. 車載用の中継接続ユニット
JP2017168993A (ja) * 2016-03-15 2017-09-21 本田技研工業株式会社 監視装置、及び、通信システム

Also Published As

Publication number Publication date
US11582112B2 (en) 2023-02-14
JP6922852B2 (ja) 2021-08-18
JP2019216348A (ja) 2019-12-19
US20210092025A1 (en) 2021-03-25

Similar Documents

Publication Publication Date Title
US11469921B2 (en) Security device, network system, and fraud detection method
WO2019239798A1 (ja) 電子制御装置および電子制御システム
JP6925120B2 (ja) Ｖ２ｘ通信装置及びｖ２ｘ通信システム
US11398116B2 (en) Anomaly detection electronic control unit, in-vehicle network system, and anomaly detection method
WO2019021403A1 (ja) 制御ネットワークシステム、車両遠隔制御システム及び車載中継装置
JP5577460B2 (ja) 走行制御装置
KR101665451B1 (ko) 차량의 긴급제동 상황 판단 방법 및 장치
JP2019521040A (ja) 車内ネットワーク異常検出のためのｎｅｔ ｓｌｅｕｔｈ
CN111791889A (zh) 用于驾驶机动车的控制系统和控制方法
JP6558703B2 (ja) 制御装置、制御システム、及びプログラム
JP2010187120A (ja) 運転支援情報送信装置および運転支援情報送信方法
US11636002B2 (en) Information processing device and information processing method
JP6674312B2 (ja) ゲートウェイ装置
JP2010006178A (ja) 運転疲労判定装置
KR20170028767A (ko) 차량의 사고위험상황 정보 제공 장치 및 방법
JP2014031077A (ja) 車両動作検証システム
JP6395115B2 (ja) 車間距離制御装置及び車間距離制御方法
WO2018158862A1 (ja) 車両用事故予測システム、および車両用事故予測方法
JP7344050B2 (ja) 車両案内システム
KR20180009221A (ko) 차량 센서 고장 검출 장치 및 방법
US10495721B2 (en) Communication device, communication terminal device, communication method, and non-transitory tangible computer readable medium
JP2020068506A (ja) 電子制御装置、電子制御システム及びプログラム
JP7420285B2 (ja) 車載装置、不正検知方法及びコンピュータプログラム
JP7476018B2 (ja) 車両検知情報共有システム
JP6761714B2 (ja) 車両用電子制御システム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19818792

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19818792

Country of ref document: EP

Kind code of ref document: A1