WO2020059015A1 - 監視制御装置及び監視制御方法 - Google Patents

監視制御装置及び監視制御方法 Download PDF

Info

Publication number
WO2020059015A1
WO2020059015A1 PCT/JP2018/034439 JP2018034439W WO2020059015A1 WO 2020059015 A1 WO2020059015 A1 WO 2020059015A1 JP 2018034439 W JP2018034439 W JP 2018034439W WO 2020059015 A1 WO2020059015 A1 WO 2020059015A1
Authority
WO
WIPO (PCT)
Prior art keywords
control device
electronic control
unit
vehicle
transmission signal
Prior art date
Application number
PCT/JP2018/034439
Other languages
English (en)
French (fr)
Inventor
哲朗 西岡
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to PCT/JP2018/034439 priority Critical patent/WO2020059015A1/ja
Publication of WO2020059015A1 publication Critical patent/WO2020059015A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/04—Monitoring the functioning of the control system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]

Definitions

  • the present invention relates to a monitoring control device and a monitoring control method.
  • Communication between a plurality of ECUs (Electronic Control Units) mounted on a vehicle is performed through a vehicle-mounted network such as a CAN (Control Area Network). It is known that communication between a plurality of ECUs via a CAN or the like has vulnerability.
  • a vehicle-mounted network such as a CAN (Control Area Network).
  • Non-Patent Document 1 a case where a part of recessive bits (hereinafter, referred to as “recessive bits”) included in a transmission signal transmitted from a certain ECU is overwritten by dominant bits (hereinafter, “dominant bits”). It is disclosed that the ECU or another ECU may cause a malfunction.
  • An ECU that transmits a transmission signal (hereinafter, referred to as a “transmission ECU”) overwrites a portion of the transmission signal transmitted by the transmission ECU with an ECU that overwrites a portion of the transmission signal (hereinafter, referred to as an “overwrite ECU”).
  • transmission ECU an ECU that overwrites a portion of the transmission signal
  • overwrite ECU it is determined that a transmission error has occurred, and the value of an error counter provided in the transmission ECU is increased.
  • a transmission ECU in which the value of the error counter exceeds a predetermined threshold value is in a transmission disabled state in which a signal is not transmitted to the bus, such as a transmission standby state or a bus off state.
  • the transmission ECU in the transmission disabled state resets the value of the error counter and returns to the transmission enabled state, for example, by receiving a return signal transmitted from another ECU different from the transmission ECU and the overwriting ECU. Is possible. However, even if the transmission ECU in the transmission disabled state is restored by the return signal, if the overwriting ECU repeatedly overwrites the transmission signal, the transmission ECU is again in the transmission disabled state. As described above, the conventional return method has a problem that the transmission ECU repeats a meaningless return operation.
  • the present invention is intended to solve the above-described problem, and can suppress the transmission ECU from repeating a meaningless return operation for a transmission ECU in which a part of a transmitted transmission signal is overwritten by an overwrite ECU. It is an object to provide a monitoring control device.
  • a monitoring control device receives a first transmission signal transmitted by a first electronic control device mounted on a vehicle and a second transmission signal transmitted by a second electronic control device mounted on the vehicle.
  • An error detection unit that detects, as an error, that a part of the first transmission signal is overwritten by the second transmission signal, based on the first transmission signal and the second transmission signal.
  • the overwriting device specifying unit for specifying the second electronic control device, and the stop signal for stopping the second electronic control device, (2) a transmission unit for transmitting to the electronic control unit, a state determination unit for determining the state of the vehicle, a transmission unit identification unit for identifying the first electronic control unit based on information indicating an error and the second transmission signal, Machine of the first electronic control unit Whether or not to return the first electronic control device based on the function specifying unit that specifies the state of the vehicle, the state of the vehicle determined by the state determining unit, and the function of the first electronic control device that is specified by the function specifying unit And a return determination unit that determines whether the first electronic control device is to be restored, when the return determination unit determines that the first electronic control device is to be restored. Is transmitted.
  • the present invention it is possible to suppress the transmission ECU from repeating a meaningless return operation for the transmission ECU in which a part of the transmitted transmission signal is overwritten by the overwriting ECU.
  • FIG. 1 is a block diagram illustrating an example of a main part of a vehicle on which the monitoring control device according to Embodiment 1 is mounted.
  • FIGS. 2A and 2B are diagrams illustrating an example of a hardware configuration of the monitoring control device according to the first embodiment.
  • FIG. 3 is a flowchart illustrating an example of a process of the monitoring control device according to the first embodiment.
  • FIG. 4 is a block diagram illustrating an example of a main part of a vehicle equipped with the monitoring control device according to the second embodiment.
  • FIG. 5 is a flowchart illustrating an example of a process of the monitoring control device according to the second embodiment.
  • FIG. 1 is a block diagram illustrating an example of a main part of a vehicle 1 on which the monitoring control device 100 according to Embodiment 1 is mounted.
  • the monitoring control device 100 is connected to a vehicle-mounted network 10 such as a CAN mounted on the vehicle 1.
  • a monitoring control device 100, a first electronic control device 11, a second electronic control device 12, and a third electronic control device 13 are connected to the vehicle-mounted network 10.
  • the first electronic control unit 11, the second electronic control unit 12, and the third electronic control unit 13 are ECUs mounted on the vehicle 1, respectively.
  • three ECUs of a first electronic control device 11, a second electronic control device 12, and a third electronic control device 13 are connected to the vehicle-mounted network 10. It will be described as an example, but is not limited to this.
  • At least two ECUs other than the monitoring control device 100 may be connected to the in-vehicle network 10, and at least one of the at least two ECUs is an overwrite ECU and at least one other is overwritten.
  • Transmission ECU is named as the second electronic controller 12 and the latter is named as the first electronic controller 11.
  • the third electronic control device 13 may or may not be connected to the in-vehicle network 10.
  • another ECU (not shown) different from the third electronic control device 13 may be used. ) May be connected.
  • FIG. 1 shows only three ECUs, a first electronic control unit 11, a second electronic control unit 12, and a third electronic control unit 13.
  • an in-vehicle network 10 It is assumed that there is an ECU connected to
  • the first electronic control unit 11, the second electronic control unit 12, and the third electronic control unit 13 each have a predetermined ID (Identifier).
  • the ID is used, for example, to identify each ECU or to identify a transmission signal transmitted by each ECU.
  • the first electronic control unit 11 has a predetermined function.
  • the functions of the first electronic control unit 11 include, for example, fuel injection amount or ignition timing in the engine, stop or restart of the engine, charging of a storage battery, security system, transmission, steering, or control for controlling an airbag or the like. Function.
  • the first electronic control unit 11 controls the ECUs connected to the vehicle-mounted network 10 such as the monitoring control device 100 and the third electronic control unit 13 via the vehicle-mounted network 10 to execute the control performed by the first electronic control unit 11.
  • a transmission signal (hereinafter, referred to as a “first transmission signal”) including information indicating an operation state or the like of the first electronic control device 11 is transmitted.
  • the first transmission signal includes information indicating a predetermined ID of the first electronic control device 11 so that the signal can be identified as a transmission signal transmitted by the first electronic control device 11.
  • the first electronic control device 11 acquires, for example, information necessary for realizing the function of the first electronic control device 11 from a sensor or the like.
  • the sensor is, for example, a cam position sensor, a throttle position sensor, an accelerator position sensor, an intake air temperature sensor, a water temperature sensor, a vehicle speed sensor, a battery voltage sensor, or the like.
  • the first electronic control device 11 is configured to execute functions other than those of the second electronic control device 12 connected to the vehicle-mounted network 10 such as the third electronic control device 13 in order to realize the functions of the first electronic control device 11.
  • the transmission signal transmitted from the ECU may be obtained.
  • the first electronic control unit 11 has an error counter. The error counter of the first electronic control device 11 will be described later.
  • the third electronic control unit 13 has a predetermined function.
  • the third electronic control device 13 acquires, for example, necessary information from a sensor or the like in order to realize the function of the third electronic control device 13. Further, for example, the third electronic control device 13 may be configured to control the ECUs other than the second electronic control device connected to the vehicle-mounted network 10 such as the first electronic control device 11 in order to realize the function of the third electronic control device 13. May be obtained.
  • the third electronic control device 13 acquires the first transmission signal transmitted from the first electronic control device 11 via the in-vehicle network 10.
  • the second electronic control unit 12 sends a transmission signal (hereinafter referred to as “the electronic control unit 100”) to ECUs connected to the vehicle-mounted network 10 such as the monitoring control device 100, the first electronic control unit 11, and the third electronic control unit 13 via the vehicle-mounted network 10. 2nd transmission signal ").
  • the second electronic control unit 12 transmits the second transmission signal to the in-vehicle network 10 by overwriting a part of the first transmission signal transmitted by the first electronic control unit 11.
  • the overwriting of the first transmission signal by the second electronic control device 12 is performed, for example, by rewriting a recessive bit in the first transmission signal to a dominant bit.
  • the recessive bit is a signal transmitted using an electrically inferior potential in a conductor (hereinafter, referred to as a “signal line”) for transmitting a transmission signal in the in-vehicle network 10.
  • a dominant bit is a signal transmitted using an electrically dominant potential on a signal line of the vehicle-mounted network 10.
  • the second electronic control device 12 overwrites a part of the first transmission signal so as not to overwrite information indicating the ID of the first electronic control device 11 included in the first transmission signal, for example.
  • the second electronic control unit 12 overwrites a part of the first transmission signal as described above, thereby impersonating the first electronic control unit 11 and confirming whether the first electronic control unit 11 has transmitted the second transmission signal. Behave like.
  • the second electronic control unit 12 does not exist in the normal in-vehicle network 10.
  • the second electronic control device 12 may be configured such that a malicious third party connects the second electronic control device 12 to the in-vehicle network 10 or changes the program operating in the normally operating ECU at some timing. It will be introduced.
  • the first electronic control unit 11 compares the first transmission signal transmitted by the first electronic control unit 11 with the potential on the signal line of the vehicle-mounted network 10 to determine whether the first transmission signal has been normally transmitted. judge. The first electronic control unit 11 determines that the first transmission signal was not transmitted normally when a part of the first transmission signal was overwritten by the second electronic control unit 12 and the second transmission signal propagated to the signal line. Then, the value of the error counter of the first electronic control device 11 is increased. When the third electronic control device 13 receives the second transmission signal overwritten by the second electronic control device 12 and the information included in the second transmission signal is not information that can be assumed in advance, the third electronic control device 13 disconnects the in-vehicle network 10. The error signal may be transmitted via the terminal. When the first electronic control device 11 receives the error signal transmitted by the third electronic control device 13, the first electronic control device 11 determines that the first transmission signal has not been transmitted normally, and determines the error counter of the first electronic control device 11. May be increased.
  • the first electronic control device 11 When the value of the error counter of the first electronic control device 11 exceeds a predetermined threshold, the first electronic control device 11 does not perform signal transmission to the in-vehicle network 10 such as a transmission standby state or a bus off state. State.
  • the first electronic control unit 11 can reset the value of the error counter and return to the transmission enabled state, for example, by receiving a return signal from the monitoring control device 100 described later.
  • the monitoring control device 100 includes a receiving unit 101, an error detecting unit 102, an overwriting device specifying unit 103, a transmitting unit 104, a state determining unit 105, a transmitting device specifying unit 106, a function specifying unit 107, and a return determining unit 108.
  • the receiving unit 101 receives a first transmission signal transmitted by the first electronic control device 11 and a second transmission signal transmitted by the second electronic control device 12. More specifically, for example, the receiving unit 101 receives the first transmission signal and the second transmission signal via the in-vehicle network 10 based on a potential change of a signal line of the in-vehicle network 10.
  • the error detection unit 102 detects, as an error, that a part of the first transmission signal has been overwritten by the second transmission signal based on the first transmission signal and the second transmission signal. For example, the error detection unit 102 determines whether the information included in the second transmission signal is normal information based on the second transmission signal received by the reception unit 101, and thereby determines whether the first transmission signal is correct. Is overwritten by the second transmission signal as an error. More specifically, for example, the error detection unit 102 compares the first transmission signal transmitted from the transmission unit 104 with the second transmission signal received by the reception unit 101 to include the second transmission signal in the second transmission signal. It is determined whether the information to be read is normal information.
  • the error detection unit 102 receives the error signal transmitted by the third electronic control device 13 that has received the second transmission signal by the reception unit 101, and based on the error signal received by the reception unit 101, An error based on the second transmission signal may be detected.
  • the overwriting device specifying unit 103 specifies the second electronic control device 12 based on the information indicating the error detected by the error detecting unit 102 and the second transmission signal received by the receiving unit 101. More specifically, for example, the overwriting device specifying unit 103 uses the following information by Kyong-Tak Cho et al.
  • the second electronic control unit 12 is specified using the method shown in wp-content / uploads / ktcho_CCS17.pdf).
  • the transmission unit 104 transmits a stop signal for stopping the second electronic control device 12. More specifically, for example, the transmitting unit 104 is specified by the overwriting device specifying unit 103 based on the information indicating the error detected by the error detecting unit 102 and the second transmission signal received by the receiving unit 101. Then, a stop signal is transmitted to the second electronic control device 12.
  • the transmission unit 104 uses, for example, a method described in “Deactivation of Inactive ECUs” (URL: https://autotechreview.com/media/attachments/Cover____Deactivation_of_Inactive_ECUs.pdf) by Stephan Esch et al. A stop signal for shutting down the power supply 12 is transmitted to the second electronic control unit 12.
  • ECUs other than the second electronic control device 12 connected to the on-vehicle network 10 such as the third electronic control device 13 that performs control based on the first transmission signal are transmitted by the second electronic control device 12 to the first transmission signal.
  • the third electronic control unit 13 or the ECU may malfunction. Therefore, the monitoring control device 100 can suppress the malfunction of the third electronic control device 13 or the ECU by stopping the second electronic control device 12 by transmitting the stop signal from the transmission unit 104.
  • the state determination unit 105 determines the state of the vehicle 1. More specifically, for example, the state determination unit 105 is based on information acquired from sensors such as a cam position sensor, a throttle position sensor, an accelerator position sensor, an intake temperature sensor, a water temperature sensor, a vehicle speed sensor, and a battery voltage sensor. The state of the vehicle 1 is determined. In addition, for example, the state determination unit 105 includes information included in a transmission signal acquired from an ECU other than the second electronic control device 12 connected to the in-vehicle network 10 such as the first electronic control device 11 or the third electronic control device 13. May be used to determine the state of the vehicle 1. For example, the state of the vehicle 1 is whether or not the vehicle 1 is running at a speed equal to or higher than a predetermined speed.
  • the predetermined speed is, for example, 30 kilometers per hour (hereinafter referred to as “km”).
  • the predetermined speed is not limited to 30 km / h, and may be, for example, a value less than 30 km / h or a value exceeding 30 km / h.
  • the state of the vehicle 1 is whether the accessory power supply of the vehicle 1 is in an off state. Further, for example, the state of the vehicle 1 is whether or not the vehicle 1 is in a stopped state.
  • the transmitting device specifying unit 106 specifies the first electronic control device 11 based on the information indicating the error detected by the error detecting unit 102 and the second transmission signal received by the receiving unit 101. More specifically, for example, the transmission device identification unit 106 includes information indicating an error detected by the error detection unit 102 and a predetermined first electronic control device included in the second transmission signal received by the reception unit 101. The first electronic control device 11 is specified based on the information indicating the ID of the first electronic control device 11.
  • the function specifying unit 107 specifies a function of the first electronic control device 11. Specifically, the function of the first electronic control device 11 specified by the transmitting device specifying unit 106 is specified. More specifically, for example, the function specifying unit 107 refers to an ECU function table including information indicating a predetermined ID included in the ECU and information indicating a function associated with each ID, The function of the first electronic control device 11 specified by the transmitting device specifying unit 106 is specified.
  • the ECU function table is provided, for example, in the function specifying unit 107 in advance.
  • the ECU function table is not limited to the one provided in advance in the function specifying unit 107, and may be a table that the function specifying unit 107 reads out from a predetermined storage device (not shown).
  • the return determination unit 108 returns the first electronic control device 11 based on the state of the vehicle 1 determined by the state determination unit 105 and the function of the first electronic control device 11 specified by the function specification unit 107. It is determined whether or not to make it.
  • the transmission unit 104 transmits a return signal for returning the first electronic control device 11. For example, even if the second electronic control unit 12 is stopped by the stop signal transmitted by the transmission unit 104, the first electronic control unit 11 may already be in a transmission disabled state.
  • the monitoring and control device 100 causes the transmission determination unit 108 to return to the transmission enabled state by transmitting the return signal to the first electronic control device 11 that the return determination unit 108 has determined to return. Can be.
  • the return determination unit 108 is a state where the state of the vehicle 1 determined by the state determination unit 105 is running at a speed equal to or higher than a predetermined speed, and is specified by the function specification unit 107. If the function of the first electronic control device 11 is a function related to the traveling control of the vehicle 1, it is determined that the first electronic control device 11 is to be returned. If the state of the vehicle 1 is traveling at a speed equal to or higher than a predetermined speed and the function of the first electronic control unit 11 is a function related to the traveling control of the vehicle 1, the return determination unit 108 It is estimated that the first electronic control device 11 is an essential ECU in the current state of the vehicle 1, and it is determined that the first electronic control device 11 is to be returned. Send a signal. With this configuration, the monitoring control device 100 can return the first electronic control device 11 that is an essential ECU in the current state of the vehicle 1 to the first electronic control device 11.
  • the return determination unit 108 determines that the state of the vehicle 1 determined by the state determination unit 105 is the accessory power-off state, and that the function of the first electronic control device 11 specified by the function specification unit 107 Is related to the parking brake control of the vehicle 1 or the parking state monitoring control of the vehicle 1, it is determined that the first electronic control unit 11 is to be returned. If the state of the vehicle 1 is the accessory power-off state and the function of the first electronic control unit 11 is a function related to the parking brake control of the vehicle 1 or the parking state monitoring control of the vehicle 1, the return determination is performed. The unit 108 estimates that the first electronic control device 11 is an essential ECU in the current state of the vehicle 1 and determines that the first electronic control device 11 is to be returned. 11, a return signal is transmitted. With this configuration, the monitoring control device 100 can return the first electronic control device 11 that is an essential ECU in the current state of the vehicle 1 to the first electronic control device 11.
  • the return determination unit 108 determines that the state of the vehicle 1 determined by the state determination unit 105 is a stopped state, and that the function of the first electronic control device 11 specified by the function specification unit 107 has If the function is related to the brake control of the vehicle 1, it is determined that the first electronic control unit 11 is to be returned.
  • the return determination unit 108 sets the first electronic control device 11 Is assumed to be an essential ECU in the current state of the vehicle 1, and it is determined that the first electronic control device 11 is to be returned.
  • the transmitting unit 104 transmits a return signal to the first electronic control device 11. With this configuration, the monitoring control device 100 can return the first electronic control device 11 that is an essential ECU in the current state of the vehicle 1 to the first electronic control device 11.
  • the return determination unit 108 When determining whether or not to return the first electronic control device 11, the return determination unit 108 does not receive the first transmission signal or the second transmission signal for a predetermined period in the reception unit 101. In this case, it may be determined that the first electronic control unit 11 is to be returned.
  • the predetermined period is, for example, 5 minutes. Five minutes is merely an example, and the predetermined period may be a period of less than five minutes or a period of more than five minutes. Further, the predetermined period may be determined based on the state of the vehicle 1, the function of the first electronic control device 11, or the like. With this configuration, the monitoring control device 100 estimates whether the first electronic control device 11 is in the transmission disabled state, and determines that the first electronic control device 11 is in the transmission disabled state. Since the first electronic control device 11 is returned to the first state, transmission of useless return signals can be suppressed.
  • FIGS. 2A and 2B are diagrams illustrating an example of a hardware configuration of a main part of the monitoring control device 100 according to the first embodiment.
  • the monitoring control device 100 is configured by a computer, and the computer has a processor 201 and a memory 202.
  • the memory 202 includes the computer as a receiving unit 101, an error detecting unit 102, an overwriting device specifying unit 103, a transmitting unit 104, a state determining unit 105, a transmitting device specifying unit 106, a function specifying unit 107, and a return determining unit 108.
  • a program for functioning is stored.
  • the processor 201 reads out and executes the program stored in the memory 202, so that the receiving unit 101, the error detecting unit 102, the overwriting device specifying unit 103, the transmitting unit 104, the state determining unit 105, the transmitting device specifying unit 106, The functions of the function specifying unit 107 and the return determination unit 108 are realized.
  • the monitoring control device 100 may be configured by a processing circuit 203.
  • the functions of the receiving unit 101, the error detecting unit 102, the overwriting device specifying unit 103, the transmitting unit 104, the state determining unit 105, the transmitting device specifying unit 106, the function specifying unit 107, and the return determining unit 108 are changed to the processing circuit 203. May be realized.
  • the monitoring control device 100 may be configured by a processor 201, a memory 202, and a processing circuit 203 (not shown).
  • a processor 201 one of the functions of the receiving unit 101, the error detecting unit 102, the overwriting device specifying unit 103, the transmitting unit 104, the state determining unit 105, the transmitting device specifying unit 106, the function specifying unit 107, and the return determining unit 108
  • the functions of the units may be realized by the processor 201 and the memory 202, and the remaining functions may be realized by the processing circuit 203.
  • the processor 201 uses, for example, a CPU (Central Processing Unit), a GPU (Graphics Processing Unit), a microprocessor, a microcontroller, or a DSP (Digital Signal Processor).
  • a CPU Central Processing Unit
  • GPU Graphics Processing Unit
  • microprocessor a microcontroller
  • DSP Digital Signal Processor
  • the memory 202 uses, for example, a semiconductor memory or a magnetic disk. More specifically, the memory 202 includes a RAM (Random Access Memory), a ROM (Read Only Memory), a flash memory, an EPROM (Erasable Programmable Read Memory Only), and an EEPROM (Electrical Memory). State @ Drive) or HDD (Hard @ Disk @ Drive) or the like.
  • RAM Random Access Memory
  • ROM Read Only Memory
  • flash memory a flash memory
  • EPROM Erasable Programmable Read Memory Only
  • EEPROM Electrical Memory
  • State @ Drive or HDD (Hard @ Disk @ Drive) or the like.
  • the processing circuit 203 includes, for example, an ASIC (Application Specific Integrated Circuit), a PLD (Programmable Logic Device), an FPGA (Field-Programmable Gate System Array), and an SoC (Sig-Lag-Sig-Lag-Site-Leg-Site-Ligital-Array-Sig-System-Sig-System-Sig-Leg-Sig-System-Sig-Leg-Sig-System-Sig-System-Sig-Leg-Sig-System). Is used.
  • FIG. 3 is a flowchart illustrating an example of a process of the monitoring control device 100 according to the first embodiment.
  • the monitoring control device 100 repeatedly performs the processing of the flowchart.
  • step ST301 the receiving unit 101 receives a transmission signal transmitted by an ECU such as the first electronic control device 11 or the second electronic control device 12 via the in-vehicle network 10, as described above.
  • step ST302 the error detection unit 102 determines that a part of the first transmission signal has been overwritten by the second transmission signal based on the first transmission signal and the second transmission signal. Detect errors.
  • step ST302 when the error detection unit 102 does not detect an error due to a part of the first transmission signal being overwritten by the second transmission signal, the monitoring control device 100 returns to the process of step ST301.
  • step ST302 when the error detection unit 102 detects an error due to a part of the first transmission signal being overwritten by the second transmission signal, the monitoring control device 100 performs the process of step ST303.
  • step ST303 the overwriting device specifying unit 103 uses the second electronic control unit based on the information indicating the error detected by the error detecting unit 102 and the second transmission signal received by the receiving unit 101. 12 is specified.
  • step ST304 transmitting section 104 transmits a stop signal for stopping second electronic control device 12, as described above.
  • step ST305 state determination section 105 determines the state of vehicle 1 as described above.
  • step ST306 the transmitting device specifying unit 106 performs the first electronic control based on the information indicating the error detected by the error detecting unit 102 and the second transmission signal received by the receiving unit 101, as described above.
  • the device 11 is specified.
  • step ST307 the function specifying unit 107 specifies the function of the first electronic control device 11 as described above.
  • step ST308 the return determination unit 108 determines the state of the vehicle 1 determined by the state determination unit 105 and the function of the first electronic control device 11 specified by the function specification unit 107, as described above. It is determined whether to return the first electronic control unit 11 based on
  • the monitoring control device 100 ends the process of the flowchart, returns to the process of step ST301, and executes the process of the flowchart. Is repeated.
  • the transmission unit 104 transmits a return signal for returning the first electronic control device 11 in step ST309.
  • the monitoring control apparatus 100 ends the process of the flowchart, returns to the process of step ST301, and repeats the process of the flowchart.
  • step ST303 may be performed at any timing between the processing in step ST302 and the processing in step ST308 as long as the processing is performed before the processing in step ST304. Further, if the processing in step ST306 is performed before the processing in step ST307, the processing may be performed at any timing between the processing in step ST302 and the processing in step ST308.
  • the monitoring control device 100 includes the first transmission signal transmitted by the first electronic control device 11 mounted on the vehicle 1 and the second transmission signal transmitted by the second electronic control device 12 mounted on the vehicle 1. (2) a receiver 101 that receives a transmission signal; and error detection that detects, as an error, that a part of the first transmission signal has been overwritten by the second transmission signal based on the first transmission signal and the second transmission signal.
  • a rewriting device specifying unit 103 for specifying the second electronic control device 12 based on the information indicating the error detected by the error detecting unit 102 and the second transmission signal received by the receiving unit 101; (2) a transmission unit 104 for transmitting a stop signal for stopping the electronic control unit 12 to the second electronic control unit 12, a state determination unit 105 for determining the state of the vehicle 1, information indicating an error, and a second transmission signal.
  • the monitoring control device 100 can suppress the transmission ECU from repeating a meaningless return operation for the transmission ECU in which a part of the transmitted transmission signal is overwritten by the overwrite ECU.
  • FIG. Embodiment 2 will be described with reference to FIG.
  • FIG. 4 is a block diagram illustrating an example of a main part of a vehicle 1 on which the monitoring control device 100b according to the second embodiment is mounted.
  • the configuration of the monitoring and control apparatus 100b according to the second embodiment is different from the configuration of the monitoring and control apparatus 100 according to the first embodiment in that a stop determination unit 109 and a switching unit 110 are added.
  • the same components as those of the monitoring and control apparatus 100 according to the first embodiment are denoted by the same reference numerals, and redundant description will be omitted. That is, the description of the configuration in FIG. 4 to which the same reference numerals as those in FIG. 1 are given is omitted.
  • the monitoring control device 100b includes a receiving unit 101, an error detecting unit 102, an overwriting device specifying unit 103, a transmitting unit 104b, a state determining unit 105, a transmitting device specifying unit 106, a function specifying unit 107, a return determining unit 108b, and a stop determining unit. 109 and a switching unit 110.
  • the stop determination unit 109 stops the first electronic control device 11 based on the state of the vehicle 1 determined by the state determination unit 105 and the function of the first electronic control device 11 specified by the function specification unit 107. It is determined whether or not to make it.
  • the transmission unit 104b transmits a stop signal for stopping the second electronic control device 12, similarly to the transmission unit 104 described above. As described above, when the return determination unit 108b determines that the first electronic control device 11 is to be returned, the transmission unit 104b returns the return signal for returning the first electronic control device 11, as in the transmission unit 104 described above. Send Further, when the stop determination unit 109 determines that the first electronic control device 11 is to be stopped, the transmission unit 104b transmits a stop signal for stopping the first electronic control device 11.
  • the stop determination unit 109 determines that the state of the vehicle 1 determined by the state determination unit 105 is the accessory power-off state, and that the first electronic control unit specified by the function specification unit 107 When the function of the electronic control unit 11 is a function related to the start control for starting the vehicle 1 or the travel control for driving the vehicle 1, it is determined that the first electronic control device 11 is to be stopped.
  • the second electronic control unit 12 even if the second electronic control unit 12 is stopped by the stop signal transmitted by the transmission unit 104b, the second electronic control unit 12 returns at a timing such as when a predetermined time has elapsed or when the engine is started. In some cases.
  • the stop determination unit 109 performs, for example, a start control for starting the vehicle 1 or a driving control for causing the vehicle 1 to travel, when the state of the vehicle 1 is the accessory power off state and the function of the first electronic control device 11 is provided.
  • the transmission unit 104b Transmits a stop signal to the first electronic control unit 11.
  • the transmission unit 104b transmits a stop signal for shutting down the first electronic control device 11 to the first electronic control device 11 by using, for example, the method described in “Deactivation of Inactive ECUs”.
  • the supervisory control device 100b stops the first electronic control device 11 so that the second electronic control device 12 can impersonate the first electronic control device 11 even if the second electronic control device 12 returns. Thus, the second transmission signal cannot be transmitted.
  • the switching unit 110 switches to an emergency mode that allows the vehicle 1 to travel under a predetermined travel restriction. More specifically, for example, the switching unit 110 switches to an emergency mode that allows the vehicle 1 to travel under a predetermined travel restriction based on an operation input by an occupant, an owner, a mechanic, or the like of the vehicle 1. That is, the switching unit 110 waits, for example, until an occupant, an owner, a mechanic, or the like of the vehicle 1 performs an operation input for switching to the emergency mode. Further, the return determination unit 108b controls the first electronic control device 11 until the switching unit 110 switches the vehicle 1 to the emergency mode after the transmission unit 104b transmits the stop signal for stopping the first electronic control device 11. It is determined not to return. When the switching unit 110 switches the vehicle 1 to the emergency mode, the return determination unit 108b determines that the first electronic control device 11 is to be returned.
  • the transmission unit 104b transmits a return signal for returning the first electronic control device 11 to the first electronic control device 11.
  • the transmission unit 104b transmits, for example, the above-described “Deactivation”.
  • a return signal for starting the first electronic control device 11 is transmitted to the first electronic control device 11 by using the method described in “of Inactive ECUs”.
  • the predetermined travel restriction is, for example, to prevent the vehicle 1 from traveling at a speed of 30 km / h or more. Making the vehicle 1 unable to run at a speed of 30 km / h or more under the predetermined running limit is an example, and the speed may be less than 30 km / h or more than 30 km / h.
  • each function of the determination unit 108b, the stop determination unit 109, and the switching unit 110 is realized by the processor 201 and the memory 202 in the hardware configuration illustrated in FIGS. 2A and 2B in the first embodiment. Or may be realized by the processing circuit 203.
  • FIG. 5 is a flowchart illustrating an example of a process of the monitoring control device 100b according to the second embodiment.
  • the monitoring control device 100b repeatedly performs the processing of the flowchart.
  • the processing from step ST501 to step ST509 is the same as the processing from step ST301 to step ST309 described with reference to FIG.
  • step ST508 when the return determination unit 108b determines that the first electronic control device 11 is not to be returned, the monitoring control device 100b performs the process of step ST510.
  • the transmission unit 104b transmits a return signal for returning the first electronic control device 11 in step ST509.
  • the monitoring control device 100b performs the process of step ST510.
  • step ST510 the stop determination unit 109 determines whether or not the function of the first electronic control device 11 is a function related to start control for starting the vehicle 1 or running control for running the vehicle 1 as described above. Is determined.
  • the monitoring control device 100b ends the process of the flowchart, returns to the process of step ST501, and repeats the process of the flowchart.
  • step ST510 determines in step ST510 that the function of the first electronic control device 11 is a function related to the start control for starting the vehicle 1 or the travel control for causing the vehicle 1 to travel.
  • step ST511 is performed.
  • the state determination unit 105 determines the state of the vehicle 1 as described above.
  • step ST512 the stop determination unit 109 determines, as described above, the state of the vehicle 1 determined by the state determination unit 105 and the function of the first electronic control device 11 specified by the function specification unit 107. It is determined whether or not the first electronic control unit 11 is to be stopped based on.
  • the monitoring control device 100b ends the process of the flowchart, returns to the process of step ST501, and returns to the process of step ST501. Repeat the process.
  • the transmission unit 104b transmits a stop signal to the first electronic control device 11 as described above in step ST513. I do.
  • step ST514 the switching unit 110 waits until an operation input for switching to the emergency mode is performed, as described above.
  • the switching unit 110 switches the vehicle 1 to the emergency mode in which the vehicle 1 can travel under the predetermined travel restriction.
  • step ST516 the transmitting section 104b transmits a return signal to the first electronic control device 11.
  • the supervisory control device 100b transmits the first data transmission signal transmitted by the first electronic control device 11 mounted on the vehicle 1 and the first data transmission signal transmitted by the second electronic control device 12 mounted on the vehicle 1.
  • a receiving unit that receives the second data transmission signal; and detecting, as an error, that a part of the first transmission signal is overwritten by the second transmission signal based on the first transmission signal and the second transmission signal.
  • Error detecting unit 102 an overwriting device specifying unit that specifies the second electronic control device 12 based on the information indicating the error detected by the error detecting unit 102, and the second data transmission signal received by the receiving unit 101.
  • a transmission unit 104b for transmitting a stop signal for stopping the second electronic control unit 12 to the second electronic control unit, a state determination unit 105 for determining the state of the vehicle 1, information indicating an error, and Based on the data transmission signal, a transmission device identification unit 106 that identifies the first electronic control device 11, a function identification unit 107 that identifies a function of the first electronic control device 11, and a state determination unit 105
  • a return determining unit 108b that determines whether to return the first electronic control device 11 based on the state of the vehicle 1 and the function of the first electronic control device 11 specified by the function specifying unit 107; It is determined whether to stop first electronic control unit 11 based on the state of vehicle 1 determined by state determination unit 105 and the function of first electronic control unit 11 specified by function specification unit 107.
  • the transmission unit 104b includes a stop signal that causes the first electronic control device 11 to return when the return determination unit 108b determines that the first electronic control device 11 returns. Transmitted, when the stop determination unit 109 determines that stopping the first electronic control unit 11, and configured to transmit a stop signal for stopping the first electronic control unit 11.
  • the monitoring control device 100b includes a switching unit 110 that switches the vehicle 1 to an emergency mode that allows the vehicle 1 to travel under a predetermined travel restriction. The configuration is such that it is determined that the first electronic control device 11 is not to be returned from when the stop signal for stopping the first electronic control device 11 is transmitted to when the switching unit 110 switches the vehicle 1 to the emergency mode.
  • the monitoring control device 100b suppresses the transmission ECU in which a part of the transmitted transmission signal is overwritten by the overwrite ECU from repeating the meaningless return operation of the transmission ECU.
  • the vehicle 1 can be moved to a facility such as a maintenance shop.
  • the monitoring control device 100 or the monitoring control device 100b determines whether or not the second electronic control device 12 is provided on an output device (not shown) such as a display device or an audio output device.
  • An output control unit (not shown) for outputting information on the operation state of the first electronic control device 11 and the second electronic control device 12 or switching to the emergency mode may be provided.
  • the monitoring control device 100 or the monitoring control device 100b communicates between the CAN to which the monitoring control device 100 or the monitoring control device 100b is connected and another CAN different from the CAN in the in-vehicle network 10 having a plurality of CANs. It may have a gateway function for performing communication. Since the monitoring control device 100 or the monitoring control device 100b has the gateway function, it is possible to suppress the transmission of the second transmission signal by the second electronic control device 12 to another CAN.
  • the monitoring control device according to the present invention can be applied to a vehicle.

Landscapes

  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Human Computer Interaction (AREA)
  • Transportation (AREA)
  • Mechanical Engineering (AREA)
  • Small-Scale Networks (AREA)

Abstract

監視制御装置（１００）は、第１電子制御装置（１１）及び第２電子制御装置（１２）により送信きされた第１データ送信信号及び第２データ送信信号を受信する受信部（１０１）と、第１送信信号の一部が第２送信信号により上書きされたことをエラーとして検知するエラー検知部（１０２）と、第２電子制御装置（１２）を特定する上書装置特定部（１０３）と、第２電子制御装置（１２）に停止信号を送信する送信部（１０４）と、車両（１）の状態を判別する状態判別部（１０５）と、第１電子制御装置（１１）を特定する送信装置特定部（１０６）と、第１電子制御装置（１１）が有する機能を特定する機能特定部（１０７）と、第１電子制御装置（１１）を復帰させるか否かを判定する復帰判定部（１０８）とを備え、送信部（１０４）は、復帰判定部（１０８）が第１電子制御装置（１１）を復帰させると判定した場合、第１電子制御装置（１１）に復帰信号を送信する。

Description

監視制御装置及び監視制御方法
　この発明は、監視制御装置及び監視制御方法に関するものである。
　車両に搭載される複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）間の通信は、ＣＡＮ（Ｃｏｎｔｒｏｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）等の車載ネットワークを通じて行われている。ＣＡＮ等を通じた複数のＥＣＵ間の通信には、脆弱性があることが知られている。
　例えば、非特許文献１には、あるＥＣＵから送信された送信信号に含まれるレセシブビット（以下「劣性ビット」という。）の一部がドミナントビット（以下「優性ビット」という。）により上書きされた場合、当該ＥＣＵ又は他のＥＣＵが誤動作を引き起こす可能性がある旨が開示されている。
"Alert (ICS-ALERT-17-209-01) CAN Bus Standard Vulnerability"、［online］、２０１７年７月２８日、The National Cybersecurity and Communications Integration Center、［２０１８年８月１７日検索］、インターネット〈URL：https://ics-cert.us-cert.gov/alerts/ICS-ALERT-17-209-01〉
　送信信号を送信するＥＣＵ（以下「送信ＥＣＵ」という。）は、送信信号の一部を上書きするＥＣＵ（以下「上書ＥＣＵ」という。）により当該送信ＥＣＵが送信した送信信号の一部が上書きされた場合、送信エラーが発生したものとして、送信ＥＣＵに備えられたエラーカウンタの値を増加させる。エラーカウンタの値が予め定められた閾値を超えた送信ＥＣＵは、送信待機状態又はバスオフ状態等のバスへの信号送信を行わない送信不能状態となる。送信不能状態の送信ＥＣＵは、例えば、送信ＥＣＵ及び上書ＥＣＵとは異なる他のＥＣＵから送信された復帰信号を受信することにより、エラーカウンタの値をリセットして、送信可能状態に復帰することが可能である。
　しかしながら、送信不能状態となった送信ＥＣＵが復帰信号により復帰したとしても、上書ＥＣＵが送信信号の上書きを繰り返した場合、送信ＥＣＵは、再び送信不能状態となる。このように、従来の復帰方法には、送信ＥＣＵが無意味な復帰動作を繰り返してしまうという問題点があった。
　この発明は、上述の問題点を解決するためのもので、送信した送信信号の一部が上書ＥＣＵにより上書きされる送信ＥＣＵについて、当該送信ＥＣＵが無意味な復帰動作を繰り返すことを抑制できる監視制御装置を提供することを課題としている。
　この発明に係る監視制御装置は、車両に搭載された第１電子制御装置により送信された第１送信信号と、車両に搭載された第２電子制御装置により送信された第２送信信号とを受信する受信部と、第１送信信号と第２送信信号とに基づいて、第１送信信号の一部が第２送信信号によって上書きされたことをエラーとして検知するエラー検知部と、エラー検知部が検知したエラーを示す情報と、受信部が受信した第２送信信号とに基づいて、第２電子制御装置を特定する上書装置特定部と、第２電子制御装置を停止させる停止信号を当該第２電子制御装置に送信する送信部と、車両の状態を判別する状態判別部と、エラーを示す情報と第２送信信号とに基づいて、第１電子制御装置を特定する送信装置特定部と、第１電子制御装置が有する機能を特定する機能特定部と、状態判別部により判別された車両の状態と、機能特定部により特定された第１電子制御装置が有する機能とに基づいて、第１電子制御装置を復帰させるか否かを判定する復帰判定部と、を備え、送信部は、復帰判定部が第１電子制御装置を復帰させると判定した場合、第１電子制御装置を復帰させる復帰信号を当該第１電子制御装置に送信するように構成したものである。
　この発明によれば、送信した送信信号の一部が上書ＥＣＵにより上書きされる送信ＥＣＵについて、当該送信ＥＣＵが無意味な復帰動作を繰り返すことを抑制できる。
図１は、実施の形態１に係る監視制御装置が搭載された車両の要部の一例を示すブロック図である。 図２Ａ及び図２Ｂは、実施の形態１に係る監視制御装置のハードウェア構成の一例を示す図である。 図３は、実施の形態１に係る監視制御装置の処理の一例を説明するフローチャートである。 図４は、実施の形態２に係る監視制御装置が搭載された車両の要部の一例を示すブロック図である。 図５は、実施の形態２に係る監視制御装置の処理の一例を説明するフローチャートである。
　以下、この発明の実施の形態について、図面を参照しながら詳細に説明する。
実施の形態１．
　図１は、実施の形態１に係る監視制御装置１００が搭載された車両１の要部の一例を示すブロック図である。
　監視制御装置１００は、車両１に搭載されたＣＡＮ等の車載ネットワーク１０に接続されている。
　車載ネットワーク１０には、監視制御装置１００、第１電子制御装置１１、第２電子制御装置１２及び第３電子制御装置１３が接続されている。
　第１電子制御装置１１、第２電子制御装置１２及び第３電子制御装置１３は、それぞれ車両１に搭載されたＥＣＵである。
　実施の形態１では、車載ネットワーク１０には、一例として、監視制御装置１００以外に第１電子制御装置１１、第２電子制御装置１２及び第３電子制御装置１３の３つのＥＣＵが接続されているものとして説明するが、この限りではない。
　車載ネットワーク１０には、監視制御装置１００以外に少なくとも２つのＥＣＵが接続されていれば良く、少なくとも２つのＥＣＵのうちの、少なくともいずれか１つが上書ＥＣＵであり、他の少なくとも１つが上書きされる送信ＥＣＵとなる。ここでは、前者を第２電子制御装置１２と命名し、後者を第１電子制御装置１１と命名している。すなわち、例えば、車載ネットワーク１０には、第３電子制御装置１３が接続されていても接続されていなくても良く、また、例えば、第３電子制御装置１３とは異なる他のＥＣＵ（図示せず）が接続されていても良い。
　図１には、第１電子制御装置１１、第２電子制御装置１２及び第３電子制御装置１３の３つのＥＣＵのみを示すが、実施の形態１においては、当該ＥＣＵの他にも車載ネットワーク１０に接続されたＥＣＵが存在しているものとする
　第１電子制御装置１１、第２電子制御装置１２及び第３電子制御装置１３は、それぞれ予め定められたＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）を有する。ＩＤは、例えば、各ＥＣＵの識別、又は各ＥＣＵにより送信された送信信号の識別等に用いられる。
　第１電子制御装置１１は、予め定められた機能を有する。第１電子制御装置１１が有する機能とは、例えば、エンジンにおける燃料噴射量若しくは点火時期、エンジンの停止若しくは再始動、蓄電池の充電、セキュリティシステム、トランスミッション、ステアリング、又は、エアバッグ等を制御する制御機能である。
　第１電子制御装置１１は、車載ネットワーク１０を介して監視制御装置１００及び第３電子制御装置１３等の車載ネットワーク１０に接続されたＥＣＵに、第１電子制御装置１１が行っている制御の内容、又は第１電子制御装置１１の動作の状態等を示す情報を含む送信信号（以下「第１送信信号」という。）を送信する。
　第１送信信号は、第１電子制御装置１１により送信された送信信号であることを識別可能にするために、予め定められた第１電子制御装置１１のＩＤを示す情報を含む。
　第１電子制御装置１１は、例えば、第１電子制御装置１１が有する機能を実現するために必要な情報をセンサ等から取得する。センサとは、例えば、カムポジションセンサ、スロットルポジションセンサ、アクセルポジションセンサ、吸気温センサ、水温センサ、車速センサ、又はバッテリ電圧センサ等である。また、例えば、第１電子制御装置１１は、第１電子制御装置１１が有する機能を実現するために、第３電子制御装置１３等の車載ネットワーク１０に接続された第２電子制御装置１２以外のＥＣＵから送信された送信信号を取得しても良い。
　第１電子制御装置１１は、エラーカウンタを有する。第１電子制御装置１１が有するエラーカウンタについては後述する。
　第３電子制御装置１３は、予め定められた機能を有する。第３電子制御装置１３は、第３電子制御装置１３が有する機能を実現するために、例えば、必要な情報をセンサ等から取得する。また、例えば、第３電子制御装置１３は、第３電子制御装置１３が有する機能を実現するために、第１電子制御装置１１等の車載ネットワーク１０に接続された第２電子制御装置以外のＥＣＵから送信された送信信号を取得しても良い。
　実施の形態１では、第３電子制御装置１３は、車載ネットワーク１０を介して第１電子制御装置１１から送信された第１送信信号を取得するものとして説明する。
　第２電子制御装置１２は、車載ネットワーク１０を介して監視制御装置１００、第１電子制御装置１１、及び第３電子制御装置１３等の車載ネットワーク１０に接続されたＥＣＵに、送信信号（以下「第２送信信号」という。）を送信する。
　第２電子制御装置１２は、特に、第１電子制御装置１１により送信された第１送信信号の一部を上書きすることにより第２送信信号を車載ネットワーク１０に送信するものである。
　第２電子制御装置１２による第１送信信号の上書きは、例えば、第１送信信号における劣性ビットを優性ビットに書き換えることにより行われる。劣性ビットとは、車載ネットワーク１０における送信信号を伝搬させる導線（以下「信号線」という。）において、電気的に劣性な電位を用いて送信された信号である。一方、優性ビットとは、車載ネットワーク１０の信号線において、電気的に優性な電位を用いて送信された信号である。
　第２電子制御装置１２は、例えば、第１信送信信号に含まれる第１電子制御装置１１のＩＤを示す情報を上書きしないように第１送信信号の一部を上書きする。第２電子制御装置１２は、上述のように第１送信信号の一部を上書きすることにより、第１電子制御装置１１に成りすまして、第１電子制御装置１１が第２送信信号を送信したかのように振る舞う。
　なお、第２電子制御装置１２は、正常な車載ネットワーク１０では存在することはない。例えば、第２電子制御装置１２は、悪意の第三者が、第２電子制御装置１２を車載ネットワーク１０に接続する、又は、正常に動作するＥＣＵにおいて動作するプログラムを変更する等の何らかのタイミングにおいて導入されるものである。
　第１電子制御装置１１は、第１電子制御装置１１が送信した第１送信信号と、車載ネットワーク１０の信号線における電位とを比較して、第１送信信号が正常に送信されたか否かを判定する。
　第１電子制御装置１１は、第２電子制御装置１２により第１送信信号の一部が上書きされ、信号線に第２送信信号が伝搬した場合、第１送信信号が正常に送信されなかったと判定して、第１電子制御装置１１のエラーカウンタの値を増加させる。
　第３電子制御装置１３は、第２電子制御装置１２により上書きされた第２送信信号を受信した場合、第２送信信号に含まれる情報が予め想定され得る情報でなかった場合、車載ネットワーク１０を介してエラー信号を送信しても良い。また、第１電子制御装置１１は、第３電子制御装置１３が送信したエラー信号を受信した場合、第１送信信号が正常に送信されなかったと判定して、第１電子制御装置１１のエラーカウンタの値を増加させても良い。
　第１電子制御装置１１は、第１電子制御装置１１のエラーカウンタの値が予め定められた閾値を超えた場合、送信待機状態又はバスオフ状態等の車載ネットワーク１０への信号送信を行わない送信不能状態となる。第１電子制御装置１１は、例えば、後述の監視制御装置１００から復帰信号を受信することにより、エラーカウンタの値をリセットして、送信可能状態に復帰することが可能である。
　監視制御装置１００について説明する。
　監視制御装置１００は、受信部１０１、エラー検知部１０２、上書装置特定部１０３、送信部１０４、状態判別部１０５、送信装置特定部１０６、機能特定部１０７、及び復帰判定部１０８を備える。
　受信部１０１は、第１電子制御装置１１により送信された第１送信信号と、第２電子制御装置１２により送信された第２送信信号とを受信する。
　より具体的には、例えば、受信部１０１は、車載ネットワーク１０を介して第１送信信号と第２送信信号とを車載ネットワーク１０の信号線の電位変化に基づいて受信する。
　エラー検知部１０２は、第１送信信号と第２送信信号とに基づいて、第１送信信号の一部が第２送信信号によって上書きされたことをエラーとして検知する。
　例えば、エラー検知部１０２は、受信部１０１により受信された第２送信信号に基づいて、第２送信信号に含まれる情報が正常な情報であるか否かを判定することで、第１送信信号の一部が第２送信信号によって上書きされたことをエラーとして検知する。より具体的には、例えば、エラー検知部１０２は、送信部１０４から送信された第１送信信号と受信部１０１により受信された第２送信信号とを比較することにより、第２送信信号に含まれる情報が正常な情報であるか否かを判定する。
　また、例えば、エラー検知部１０２は、第２送信信号を受信した第３電子制御装置１３により送信されたエラー信号を受信部１０１により受信し、受信部１０１により受信されたエラー信号に基づいて、第２送信信号に基づくエラーを検知しても良い。
　上書装置特定部１０３は、エラー検知部１０２が検知したエラーを示す情報と、受信部１０１が受信した第２送信信号とに基づいて、第２電子制御装置１２を特定する。
　より具体的には、例えば、上書装置特定部１０３は、Ｋｙｏｎｇ－Ｔａｋ　Ｃｈｏらにより「Ｖｉｄｅｎ：　Ａｔｔａｃｋｅｒ　Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ　ｏｎ　Ｉｎ－Ｖｅｈｉｃｌｅ　Ｎｅｔｗｏｒｋｓ」（URL：https://kabru.eecs.umich.edu/wordpress/wp-content/uploads/ktcho_CCS17.pdf）に示された方法を用いて、第２電子制御装置１２を特定する。
　送信部１０４は、第２電子制御装置１２を停止させる停止信号を送信する。
　より具体的には、例えば、送信部１０４は、エラー検知部１０２が検知したエラーを示す情報と、受信部１０１が受信した第２送信信号とに基づいて、上書装置特定部１０３により特定された第２電子制御装置１２に停止信号を送信する。
　送信部１０４は、例えば、Ｓｔｅｐｈａｎ　Ｅｓｃｈらにより「Ｄｅａｃｔｉｖａｔｉｏｎ　ｏｆ　Ｉｎａｃｔｉｖｅ　ＥＣＵｓ」（URL：https://autotechreview.com/media/attachments/Cover___Deactivation_of_Inactive_ECUs.pdf）に示された方法を用いて、第２電子制御装置１２をシャットダウンするための停止信号を第２電子制御装置１２に送信する。
　例えば、第１送信信号に基づいて制御を行う第３電子制御装置１３等の車載ネットワーク１０に接続された第２電子制御装置１２以外のＥＣＵが、第２電子制御装置１２により第１送信信号の一部が上書きされた第２送信信号を受信した場合、第３電子制御装置１３又は当該ＥＣＵは、誤動作を行う可能性がある。したがって、監視制御装置１００は、送信部１０４から停止信号を送信して第２電子制御装置１２を停止することで、第３電子制御装置１３又は当該ＥＣＵの誤動作を抑制することができる。
　状態判別部１０５は、車両１の状態を判別する。
　より具体的には、例えば、状態判別部１０５は、カムポジションセンサ、スロットルポジションセンサ、アクセルポジションセンサ、吸気温センサ、水温センサ、車速センサ、又はバッテリ電圧センサ等のセンサから取得した情報に基づいて車両１の状態を判別する。また、例えば、状態判別部１０５は、第１電子制御装置１１又は第３電子制御装置１３等の車載ネットワーク１０に接続された第２電子制御装置１２以外のＥＣＵから取得した送信信号に含まれる情報に基づいて、車両１の状態を判別しても良い。
　例えば、車両１の状態とは、車両１が予め定められた速度以上で走行中の状態であるか否かである。ここで、予め定められた速度とは、例えば、時速３０キロメートル（以下「ｋｍ」と記載する。）である。予め定められた速度は、時速３０ｋｍに限るものではなく、例えば、時速３０ｋｍ未満の値であっても、時速３０ｋｍを超える値であっても良い。
　また、例えば、車両１の状態とは、車両１のアクセサリ電源がオフの状態であるか否かである。
　また、例えば、車両１の状態とは、車両１が停車中の状態であるか否かである。
　送信装置特定部１０６は、エラー検知部１０２が検知したエラーを示す情報と受信部１０１が受信した第２送信信号とに基づいて、第１電子制御装置１１を特定する。
　より具体的には、例えば、送信装置特定部１０６は、エラー検知部１０２が検知したエラーを示す情報と、受信部１０１が受信した第２送信信号に含まれる予め定められた第１電子制御装置１１のＩＤを示す情報とに基づいて、第１電子制御装置１１を特定する。
　機能特定部１０７は、第１電子制御装置１１が有する機能を特定する。
　具体的には、送信装置特定部１０６により特定された第１電子制御装置１１が有する機能を特定する。
　より具体的には、例えば、機能特定部１０７は、ＥＣＵが有する予め定められたＩＤを示す情報と、当該ＩＤごとに対応付けられた機能を示す情報とを含むＥＣＵ機能テーブルを参照して、送信装置特定部１０６により特定された第１電子制御装置１１が有する機能を特定する。
　ＥＣＵ機能テーブルは、例えば、機能特定部１０７に予め備えられている。ＥＣＵ機能テーブルは、機能特定部１０７に予め備えられたものに限るものではなく、機能特定部１０７が所定の記憶装置（図示せず）から読み出すものであっても良い。
　復帰判定部１０８は、状態判別部１０５により判別された車両１の状態と、機能特定部１０７により特定された第１電子制御装置１１が有する機能とに基づいて、第１電子制御装置１１を復帰させるか否かを判定する。
　送信部１０４は、復帰判定部１０８が第１電子制御装置１１を復帰させると判定した場合、第１電子制御装置１１を復帰させる復帰信号を送信する。
　例えば、送信部１０４が送信した停止信号により第２電子制御装置１２を停止させたとしても、第１電子制御装置１１は、既に送信不能状態となっている場合がある。監視制御装置１００は、復帰判定部１０８が復帰させると判定した第１電子制御装置１１に、送信部１０４が復帰信号を送信することにより、第１電子制御装置１１を送信可能状態に復帰させることができる。
　より具体的には、例えば、復帰判定部１０８は、状態判別部１０５により判別された車両１の状態が予め定められた速度以上で走行中の状態であり、且つ、機能特定部１０７により特定された第１電子制御装置１１が有する機能が車両１の走行制御に関係する機能であった場合、第１電子制御装置１１を復帰させると判定する。
　車両１の状態が予め定められた速度以上で走行中の状態であり、且つ、第１電子制御装置１１が有する機能が車両１の走行制御に関係する機能であった場合、復帰判定部１０８は、第１電子制御装置１１が現在の車両１の状態において必須のＥＣＵであると推定し、第１電子制御装置１１を復帰させると判定し、送信部１０４は、第１電子制御装置１１に復帰信号を送信する。
　このように構成することで、監視制御装置１００は、第１電子制御装置１１が現在の車両１の状態において必須のＥＣＵである第１電子制御装置１１を復帰させることができる。
　また、例えば、復帰判定部１０８は、状態判別部１０５により判別された車両１の状態がアクセサリ電源オフの状態であり、且つ、機能特定部１０７により特定された第１電子制御装置１１が有する機能が車両１のパーキングブレーキ制御又は車両１の駐車状態監視制御に関係する機能であった場合、第１電子制御装置１１を復帰させると判定する。
　車両１の状態がアクセサリ電源オフの状態であり、且つ、第１電子制御装置１１が有する機能が車両１のパーキングブレーキ制御又は車両１の駐車状態監視制御に関係する機能であった場合、復帰判定部１０８は、第１電子制御装置１１が現在の車両１の状態において必須のＥＣＵであると推定し、第１電子制御装置１１を復帰させると判定し、送信部１０４は、第１電子制御装置１１に復帰信号を送信する。
　このように構成することで、監視制御装置１００は、第１電子制御装置１１が現在の車両１の状態において必須のＥＣＵである第１電子制御装置１１を復帰させることができる。
　また、例えば、復帰判定部１０８は、状態判別部１０５により判別された車両１の状態が停車中の状態であり、且つ、機能特定部１０７により特定された第１電子制御装置１１が有する機能が車両１のブレーキ制御に関係する機能であった場合、第１電子制御装置１１を復帰させると判定する。
　車両１の状態が停車中の状態であり、且つ、第１電子制御装置１１が有する機能が車両１のブレーキ制御に関係する機能であった場合、復帰判定部１０８は、第１電子制御装置１１が現在の車両１の状態において必須のＥＣＵであると推定し、第１電子制御装置１１を復帰させると判定し、送信部１０４は、第１電子制御装置１１に復帰信号を送信する。
　このように構成することで、監視制御装置１００は、第１電子制御装置１１が現在の車両１の状態において必須のＥＣＵである第１電子制御装置１１を復帰させることができる。
　復帰判定部１０８は、第１電子制御装置１１を復帰させるか否かを判定する際に、受信部１０１が第１送信信号又は第２送信信号を予め定められた期間に亘って受信していない場合、第１電子制御装置１１を復帰させると判定するようにしても良い。予め定められた期間とは、例えば、５分間である。５分間は、一例に過ぎず、予め定められた期間は、５分間未満の期間であっても、５分間を超える期間であっても良い。また、予め定められた期間は、車両１の状態、又は第１電子制御装置１１が有する機能等に基づいて決定されるものであっても良い。
　このように構成することで、監視制御装置１００は、第１電子制御装置１１が送信不能状態であるか否かを推定し、第１電子制御装置１１が送信不能状態であると推定された場合に第１電子制御装置１１を復帰させるため、無駄な復帰信号の送信を抑制することができる。
　図２Ａ及び図２Ｂを参照して、実施の形態１に係る監視制御装置１００の要部のハードウェア構成について説明する。
　図２Ａ及び図２Ｂは、実施の形態１に係る監視制御装置１００の要部のハードウェア構成の一例を示す図である。
　図２Ａに示す如く、監視制御装置１００はコンピュータにより構成されており、当該コンピュータはプロセッサ２０１及びメモリ２０２を有している。メモリ２０２には、当該コンピュータを受信部１０１、エラー検知部１０２、上書装置特定部１０３、送信部１０４、状態判別部１０５、送信装置特定部１０６、機能特定部１０７、及び復帰判定部１０８として機能させるためのプログラムが記憶されている。メモリ２０２に記憶されているプログラムをプロセッサ２０１が読み出して実行することにより、受信部１０１、エラー検知部１０２、上書装置特定部１０３、送信部１０４、状態判別部１０５、送信装置特定部１０６、機能特定部１０７、及び復帰判定部１０８の機能が実現される。
　また、図２Ｂに示す如く、監視制御装置１００は処理回路２０３により構成されても良い。この場合、受信部１０１、エラー検知部１０２、上書装置特定部１０３、送信部１０４、状態判別部１０５、送信装置特定部１０６、機能特定部１０７、及び復帰判定部１０８の機能が処理回路２０３により実現されても良い。
　また、監視制御装置１００はプロセッサ２０１、メモリ２０２及び処理回路２０３により構成されても良い（不図示）。この場合、受信部１０１、エラー検知部１０２、上書装置特定部１０３、送信部１０４、状態判別部１０５、送信装置特定部１０６、機能特定部１０７、及び復帰判定部１０８の機能のうちの一部の機能がプロセッサ２０１及びメモリ２０２により実現されて、残余の機能が処理回路２０３により実現されるものであっても良い。
　プロセッサ２０１は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）、マイクロプロセッサ、マイクロコントローラ又はＤＳＰ（Ｄｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒ）を用いたものである。
　メモリ２０２は、例えば、半導体メモリ又は磁気ディスクを用いたものである。より具体的には、メモリ２０２は、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、フラッシュメモリ、ＥＰＲＯＭ（Ｅｒａｓａｂｌｅ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ　Ｅｒａｓａｂｌｅ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｒｅａｄ－Ｏｎｌｙ　Ｍｅｍｏｒｙ）、ＳＳＤ（Ｓｏｌｉｄ　Ｓｔａｔｅ　Ｄｒｉｖｅ）又はＨＤＤ（Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅ）などを用いたものである。
　処理回路２０３は、例えば、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）、ＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ　Ｌｏｇｉｃ　Ｄｅｖｉｃｅ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）、ＳｏＣ（Ｓｙｓｔｅｍ－ｏｎ－ａ－Ｃｈｉｐ）又はシステムＬＳＩ（Ｌａｒｇｅ－Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ）を用いたものである。
　図３を参照して、実施の形態１に係る監視制御装置１００の動作について説明する。
　図３は、実施の形態１に係る監視制御装置１００の処理の一例を説明するフローチャートである。
　監視制御装置１００は、当該フローチャートの処理を繰り返し行う。
　まず、ステップＳＴ３０１にて、受信部１０１は、上述のとおり、車載ネットワーク１０を介して第１電子制御装置１１又は第２電子制御装置１２等のＥＣＵにより送信された送信信号を受信する。
　次に、ステップＳＴ３０２にて、エラー検知部１０２は、上述のとおり、第１送信信号と第２送信信号とに基づいて、第１送信信号の一部が第２送信信号によって上書きされたことによるエラーを検知する。
　ステップＳＴ３０２にて、エラー検知部１０２が、第１送信信号の一部が第２送信信号によって上書きされたことによるエラーを検知しなかった場合、監視制御装置１００は、ステップＳＴ３０１の処理に戻る。
　ステップＳＴ３０２にて、エラー検知部１０２が、第１送信信号の一部が第２送信信号によって上書きされたことによるエラーを検知した場合、監視制御装置１００は、ステップＳＴ３０３の処理を行う。
　ステップＳＴ３０３にて、上書装置特定部１０３は、上述のとおり、エラー検知部１０２が検知したエラーを示す情報と、受信部１０１が受信した第２送信信号とに基づいて、第２電子制御装置１２を特定する。
　次に、ステップＳＴ３０４にて、送信部１０４は、上述のとおり、第２電子制御装置１２を停止させる停止信号を送信する。
　次に、ステップＳＴ３０５にて、状態判別部１０５は、上述のとおり、車両１の状態を判別する。
　次に、ステップＳＴ３０６にて、送信装置特定部１０６は、上述のとおり、エラー検知部１０２が検知したエラーを示す情報と受信部１０１が受信した第２送信信号とに基づいて、第１電子制御装置１１を特定する。
　次に、ステップＳＴ３０７にて、機能特定部１０７は、上述のとおり、第１電子制御装置１１が有する機能を特定する。
　次に、ステップＳＴ３０８にて、復帰判定部１０８は、上述のとおり、状態判別部１０５により判別された車両１の状態と、機能特定部１０７により特定された第１電子制御装置１１が有する機能とに基づいて、第１電子制御装置１１を復帰させるか否かを判定する。
　ステップＳＴ３０８にて、復帰判定部１０８が第１電子制御装置１１を復帰させないと判定した場合、監視制御装置１００は、当該フローチャートの処理を終了し、ステップＳＴ３０１の処理に戻って、当該フローチャートの処理を繰り返し行う。
　ステップＳＴ３０８にて、復帰判定部１０８が第１電子制御装置１１を復帰させると判定した場合、ステップＳＴ３０９にて、送信部１０４は、第１電子制御装置１１を復帰させる復帰信号を送信する。ステップＳＴ３０９の処理の後、監視制御装置１００は、当該フローチャートの処理を終了し、ステップＳＴ３０１の処理に戻って、当該フローチャートの処理を繰り返し行う。
　なお、ステップＳＴ３０３の処理は、ステップＳＴ３０４の処理より前に処理されれば、ステップＳＴ３０２の処理とステップＳＴ３０８の処理との間において、どのタイミングで処理されても良い。
　また、ステップＳＴ３０６の処理は、ステップＳＴ３０７の処理より前に処理されれば、ステップＳＴ３０２の処理とステップＳＴ３０８の処理との間において、どのタイミングで処理されても良い。
　以上のように、監視制御装置１００は、車両１に搭載された第１電子制御装置１１により送信された第１送信信号と、車両１に搭載された第２電子制御装置１２により送信された第２送信信号とを受信する受信部１０１と、第１送信信号と第２送信信号とに基づいて、第１送信信号の一部が第２送信信号によって上書きされたことをエラーとして検知するエラー検知部１０２と、エラー検知部１０２が検知したエラーを示す情報と、受信部１０１が受信した第２送信信号とに基づいて、第２電子制御装置１２を特定する上書装置特定部１０３と、第２電子制御装置１２を停止させる停止信号を当該第２電子制御装置１２に送信する送信部１０４と、車両１の状態を判別する状態判別部１０５と、エラーを示す情報と第２送信信号とに基づいて、第１電子制御装置１１を特定する送信装置特定部１０６と、第１電子制御装置１１が有する機能を特定する機能特定部１０７と、状態判別部１０５により判別された車両１の状態と、機能特定部１０７により特定された第１電子制御装置１１が有する機能とに基づいて、第１電子制御装置１１を復帰させるか否かを判定する復帰判定部１０８と、を備え、送信部１０４は、復帰判定部１０８が第１電子制御装置１１を復帰させると判定した場合、第１電子制御装置１１を復帰させる復帰信号を当該第１電子制御装置１１に送信するように構成した。
　このように構成することで、監視制御装置１００は、送信した送信信号の一部が上書ＥＣＵにより上書きされる送信ＥＣＵについて、当該送信ＥＣＵが無意味な復帰動作を繰り返すことを抑制できる。
実施の形態２．
　図４を参照して実施の形態２について説明する。
　図４は、実施の形態２に係る監視制御装置１００ｂが搭載された車両１の要部の一例を示すブロック図である。
　実施の形態２に係る監視制御装置１００ｂの構成には、実施の形態１に係る監視制御装置１００の構成と比較して、停止判定部１０９及び切替部１１０が追加されている。
　実施の形態２に係る監視制御装置１００ｂの構成において、実施の形態１に係る監視制御装置１００と同様の構成については、同じ符号を付して重複した説明を省略する。すなわち、図１に記載した符号と同じ符号を付した図４の構成については、説明を省略する。
　監視制御装置１００ｂは、受信部１０１、エラー検知部１０２、上書装置特定部１０３、送信部１０４ｂ、状態判別部１０５、送信装置特定部１０６、機能特定部１０７、復帰判定部１０８ｂ、停止判定部１０９、及び切替部１１０を備える。
　停止判定部１０９は、状態判別部１０５により判別された車両１の状態と、機能特定部１０７により特定された第１電子制御装置１１が有する機能とに基づいて、第１電子制御装置１１を停止させるか否かを判定する。
　送信部１０４ｂは、上述の送信部１０４と同様に、第２電子制御装置１２を停止させる停止信号を送信する。また、送信部１０４ｂは、上述の送信部１０４と同様に、上述のとおり、復帰判定部１０８ｂが第１電子制御装置１１を復帰させると判定した場合、第１電子制御装置１１を復帰させる復帰信号を送信する。更に、送信部１０４ｂは、停止判定部１０９が第１電子制御装置１１を停止させると判定した場合、第１電子制御装置１１を停止させる停止信号を送信する。
　より具体的には、例えば、停止判定部１０９は、状態判別部１０５により判別された車両１の状態がアクセサリ電源オフの状態であり、且つ、機能特定部１０７により特定された第１電子制御装置１１が有する機能が車両１を始動させる始動制御、又は車両１を走行させる走行制御に関係する機能であった場合、第１電子制御装置１１を停止させると判定する。
　例えば、送信部１０４ｂが送信した停止信号により第２電子制御装置１２を停止させたとしても、所定の時間が経過した際、又はエンジンが始動した際等のタイミングで第２電子制御装置１２が復帰してしまう場合がある。
　停止判定部１０９は、例えば、車両１の状態がアクセサリ電源オフの状態であり、且つ、第１電子制御装置１１が有する機能が車両１を始動させる始動制御、又は車両１を走行させる走行制御に関係する機能であった場合、現在の車両１の状態において、第１電子制御装置１１が動作するべきでないＥＣＵであると推定し、第１電子制御装置１１を停止させると判定し、送信部１０４ｂは、第１電子制御装置１１に停止信号を送信する。
　送信部１０４ｂは、例えば、上述の「Ｄｅａｃｔｉｖａｔｉｏｎ　ｏｆ　Ｉｎａｃｔｉｖｅ　ＥＣＵｓ」に示された方法を用いて、第１電子制御装置１１をシャットダウンするための停止信号を第１電子制御装置１１に送信する。
　監視制御装置１００ｂは、第１電子制御装置１１を停止させておくことで、第２電子制御装置１２が復帰してしまったとしても、第２電子制御装置１２が第１電子制御装置１１に成りすまして第２送信信号を送信できないようにすることができる。
　切替部１１０は、車両１を所定の走行制限の下で走行可能にする非常モードに切り替える。
　より具体的には、例えば、切替部１１０は、車両１の乗員、所有者又は整備士等による操作入力に基づいて、車両１を所定の走行制限の下で走行可能にする非常モードに切り替える。すなわち、切替部１１０は、例えば、車両１の乗員、所有者又は整備士等により非常モードに切り替える操作入力が行われるまで待機する。
　また、復帰判定部１０８ｂは、送信部１０４ｂにより第１電子制御装置１１を停止させる停止信号が送信されてから、切替部１１０により車両１が非常モードに切り替えられるまで、第１電子制御装置１１を復帰させないと判定する。
　切替部１１０により車両１が非常モードに切り替えられた場合、復帰判定部１０８ｂは、第１電子制御装置１１を復帰させると判定する。
　復帰判定部１０８ｂが第１電子制御装置１１を復帰させると判定した場合、送信部１０４ｂは、第１電子制御装置１１を復帰させる復帰信号を第１電子制御装置１１に送信する。
　送信部１０４ｂが送信した停止信号により第１電子制御装置１１を停止させた場合において送信部１０４ｂが復帰信号を第１電子制御装置１１に送信する場合、送信部１０４ｂは、例えば、上述の「Ｄｅａｃｔｉｖａｔｉｏｎ　ｏｆ　Ｉｎａｃｔｉｖｅ　ＥＣＵｓ」に示された方法を用いて、第１電子制御装置１１を起動するための復帰信号を第１電子制御装置１１に送信する。
　所定の走行制限とは、例えば、車両１が時速３０ｋｍ以上の速度で走行できないようにするものである。所定の走行制限において、車両１が時速３０ｋｍ以上の速度で走行できないようにすることは、一例であり、時速３０ｋｍ未満であっても、時速３０ｋｍを超える速度であっても良い。
　なお、実施の形態２に係る監視制御装置１００ｂにおける受信部１０１、エラー検知部１０２、上書装置特定部１０３、送信部１０４ｂ、状態判別部１０５、送信装置特定部１０６、機能特定部１０７、復帰判定部１０８ｂ、停止判定部１０９、及び切替部１１０の各機能は、実施の形態１において図２Ａ及び図２Ｂに一例を示したハードウェア構成におけるプロセッサ２０１及びメモリ２０２により実現されるものであっても良く、又は処理回路２０３により実現されるものであっても良い。
　図５を参照して、実施の形態２に係る監視制御装置１００ｂの動作について説明する。
　図５は、実施の形態２に係る監視制御装置１００ｂの処理の一例を説明するフローチャートである。
　監視制御装置１００ｂは、当該フローチャートの処理を繰り返し行う。
　なお、ステップＳＴ５０１からステップＳＴ５０９までの処理は、図３を参照して説明したステップＳＴ３０１からステップＳＴ３０９までの処理と同等であるため、説明を省略する。
　ステップＳＴ５０８にて、復帰判定部１０８ｂが第１電子制御装置１１を復帰させないと判定した場合、監視制御装置１００ｂは、ステップＳＴ５１０の処理を行う。
　ステップＳＴ５０８にて、復帰判定部１０８ｂが第１電子制御装置１１を復帰させると判定した場合、ステップＳＴ５０９にて、送信部１０４ｂは、第１電子制御装置１１を復帰させる復帰信号を送信する。ステップＳＴ５０９の処理の後、監視制御装置１００ｂは、ステップＳＴ５１０の処理を行う。
　ステップＳＴ５１０にて、停止判定部１０９は、上述のとおり、第１電子制御装置１１が有する機能が車両１を始動させる始動制御、又は車両１を走行させる走行制御に関係する機能であるか否かを判定する。
　ステップＳＴ５１０にて、停止判定部１０９が、第１電子制御装置１１が有する機能が車両１を始動させる始動制御、又は車両１を走行させる走行制御に関係する機能でないと判定した場合、監視制御装置１００ｂは、当該フローチャートの処理を終了し、ステップＳＴ５０１の処理に戻って、当該フローチャートの処理を繰り返し行う。
　ステップＳＴ５１０にて、停止判定部１０９が、第１電子制御装置１１が有する機能が車両１を始動させる始動制御、又は車両１を走行させる走行制御に関係する機能であると判定した場合、ステップＳＴ５１１にて、状態判別部１０５は、上述のとおり、車両１の状態を判別する。
　次に、ステップＳＴ５１２にて、停止判定部１０９は、上述のとおり、状態判別部１０５により判別された車両１の状態と、機能特定部１０７により特定された第１電子制御装置１１が有する機能とに基づいて、第１電子制御装置１１を停止させるか否かを判定する。
　ステップＳＴ５１２にて、停止判定部１０９が、第１電子制御装置１１を停止させないと判定した場合、監視制御装置１００ｂは、当該フローチャートの処理を終了し、ステップＳＴ５０１の処理に戻って、当該フローチャートの処理を繰り返し行う。
　ステップＳＴ５１２にて、停止判定部１０９が、第１電子制御装置１１を停止させると判定した場合、ステップＳＴ５１３にて、送信部１０４ｂは、上述のとおり、第１電子制御装置１１に停止信号を送信する。
　次に、ステップＳＴ５１４にて、切替部１１０は、上述のとおり、非常モードに切り替える操作入力が行われるまで待機する。
　ステップＳＴ５１４にて、上述のとおり、非常モードに切り替える操作入力が行われた場合、ステップＳＴ５１５にて、切替部１１０は、車両１を所定の走行制限の下で走行可能にする非常モードに切り替える。
　次に、ステップＳＴ５１６にて、送信部１０４ｂは、第１電子制御装置１１に復帰信号を送信する。
　以上のように、監視制御装置１００ｂは、車両１に搭載された第１電子制御装置１１により送信された第１データ送信信号と、車両１に搭載された第２電子制御装置１２により送信された第２データ送信信号と、を受信する受信部１０１と、第１送信信号と第２送信信号とに基づいて、第１送信信号の一部が第２送信信号によって上書きされたことをエラーとして検知するエラー検知部１０２と、エラー検知部１０２が検知したエラーを示す情報と、受信部１０１が受信した第２データ送信信号とに基づいて、第２電子制御装置１２を特定する上書装置特定部１０３と、第２電子制御装置１２を停止させる停止信号を当該第２電子制御装置に送信する送信部１０４ｂと、車両１の状態を判別する状態判別部１０５と、エラーを示す情報と第２データ送信信号とに基づいて、第１電子制御装置１１を特定する送信装置特定部１０６と、第１電子制御装置１１が有する機能を特定する機能特定部１０７と、状態判別部１０５により判別された車両１の状態と、機能特定部１０７により特定された第１電子制御装置１１が有する機能とに基づいて、第１電子制御装置１１を復帰させるか否かを判定する復帰判定部１０８ｂと、状態判別部１０５により判別された車両１の状態と、機能特定部１０７により特定された第１電子制御装置１１が有する機能とに基づいて、第１電子制御装置１１を停止させるか否かを判定する停止判定部１０９とを備え、送信部１０４ｂは、復帰判定部１０８ｂが第１電子制御装置１１を復帰させると判定した場合、第１電子制御装置１１を復帰させる復帰信号を送信し、停止判定部１０９が第１電子制御装置１１を停止させると判定した場合、第１電子制御装置１１を停止させる停止信号を送信するように構成した。
　更に、監視制御装置１００ｂは、上述の構成に加えて、車両１を所定の走行制限の下で走行可能にする非常モードに切り替える切替部１１０を備え、復帰判定部１０８ｂは、送信部１０４ｂにより第１電子制御装置１１を停止させる停止信号が送信されてから、切替部１１０により車両１が非常モードに切り替えられるまで、第１電子制御装置１１を復帰させないと判定するように構成した。
　第２電子制御装置１２による第２送信信号の送信を根本的に停止させるためには、車載ネットワーク１０から物理的に取り外すか、又は、第２送信信号を送信しないように修理するかを行う必要がある。そのために、車両１を整備工場等の施設まで移動させることが望まれる。以上のように構成することで、監視制御装置１００ｂは、送信した送信信号の一部が上書ＥＣＵにより上書きされる送信ＥＣＵについて、当該送信ＥＣＵが無意味な復帰動作を繰り返すことを抑制しつつ、車両１を整備工場等の施設まで移動できる状態にすることを可能にする。
　なお、これまでに説明した実施の形態において、監視制御装置１００又は監視制御装置１００ｂは、表示装置又は音声出力装置等の出力装置（図示せず）に、第２電子制御装置１２の有無、第１電子制御装置１１及び第２電子制御装置１２の動作状態、又は、非常モードへの切り替え等に関する情報を出力するための出力制御部（図示せず）を備えてもよい。
　このように構成することで、車両１の乗員に対して、車両１の修理又は整備等の必要性を通知することが可能となる。
　また、監視制御装置１００又は監視制御装置１００ｂは、複数のＣＡＮを有する車載ネットワーク１０において、監視制御装置１００又は監視制御装置１００ｂが接続されたＣＡＮと、当該ＣＡＮとは異なる他のＣＡＮと間の通信を行うためのゲートウェイ機能を有するものであっても良い。
　監視制御装置１００又は監視制御装置１００ｂがゲートウェイ機能を有することで、第２電子制御装置１２による第２送信信号を他のＣＡＮに送信することを抑制することができる。
　また、この発明はその発明の範囲内において、各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。
　この発明に係る監視制御装置は車両に適用することができる。
１　車両、１０　車載ネットワーク、１１　第１電子制御装置、１２　第２電子制御装置、１３　第３電子制御装置、１００、１００ｂ　監視制御装置、１０１　受信部、１０２　エラー検知部、１０３　上書装置特定部、１０４、１０４ｂ　送信部、１０５　状態判別部、１０６　送信装置特定部、１０７　機能特定部、１０８、１０８ｂ　復帰判定部、１０９　停止判定部、１１０　切替部、２０１　プロセッサ、２０２　メモリ、２０３　処理回路。

Claims (11)

  1. 　車両に搭載された第１電子制御装置により送信された第１送信信号と、前記車両に搭載された第２電子制御装置により送信された第２送信信号とを受信する受信部と、
    　前記第１送信信号と前記第２送信信号とに基づいて、前記第１送信信号の一部が前記第２送信信号によって上書きされたことをエラーとして検知するエラー検知部と、
    　前記エラー検知部が検知した前記エラーを示す情報と、前記受信部が受信した前記第２送信信号とに基づいて、前記第２電子制御装置を特定する上書装置特定部と、
    　前記第２電子制御装置を停止させる停止信号を当該第２電子制御装置に送信する送信部と、
    　前記車両の状態を判別する状態判別部と、
    　前記エラーを示す情報と前記第２送信信号とに基づいて、前記第１電子制御装置を特定する送信装置特定部と、
    　前記第１電子制御装置が有する機能を特定する機能特定部と、
    　前記状態判別部により判別された前記車両の状態と、前記機能特定部により特定された前記第１電子制御装置が有する機能とに基づいて、前記第１電子制御装置を復帰させるか否かを判定する復帰判定部と、
    　を備え、
    　前記送信部は、前記復帰判定部が前記第１電子制御装置を復帰させると判定した場合、前記第１電子制御装置を復帰させる復帰信号を当該第１電子制御装置に送信すること
    　を特徴とする監視制御装置。
  2. 　前記復帰判定部は、前記受信部が前記第１送信信号又は前記第２送信信号を予め定められた期間に亘って受信していない場合、前記第１電子制御装置を復帰させると判定すること
    　を特徴とする請求項１記載の監視制御装置。
  3. 　前記復帰判定部は、前記状態判別部により判別された前記車両の状態が予め定められた速度以上で走行中の状態であり、且つ、前記機能特定部により特定された前記第１電子制御装置が有する機能が前記車両の走行制御に関係する機能であった場合、前記第１電子制御装置を復帰させると判定すること
    　を特徴とする請求項１記載の監視制御装置。
  4. 　前記復帰判定部は、前記状態判別部により判別された前記車両の状態がアクセサリ電源オフの状態であり、且つ、前記機能特定部により特定された前記第１電子制御装置が有する機能が前記車両のパーキングブレーキ制御又は前記車両の駐車状態監視制御に関係する機能であった場合、前記第１電子制御装置を復帰させると判定すること
    　を特徴とする請求項１記載の監視制御装置。
  5. 　前記復帰判定部は、前記状態判別部により判別された前記車両の状態が停車中の状態であり、且つ、前記機能特定部により特定された前記第１電子制御装置が有する機能が前記車両のブレーキ制御に関係する機能であった場合、前記第１電子制御装置を復帰させると判定すること
    　を特徴とする請求項１記載の監視制御装置。
  6. 　前記状態判別部により判別された前記車両の状態と、前記機能特定部により特定された前記第１電子制御装置が有する機能とに基づいて、前記第１電子制御装置を停止させるか否かを判定する停止判定部を備え、
    　前記送信部は、前記停止判定部が前記第１電子制御装置を停止させると判定した場合、前記第１電子制御装置を停止させる停止信号を当該第１電子制御装置に送信すること
    　を特徴とする請求項１記載の監視制御装置。
  7. 　前記停止判定部は、前記状態判別部により判別された前記車両の状態がアクセサリ電源オフの状態であり、且つ、前記機能特定部により特定された前記第１電子制御装置が有する機能が前記車両を始動させる始動制御、又は前記車両を走行させる走行制御に関係する機能であった場合、前記第１電子制御装置を停止させると判定すること
    　を特徴とする請求項６記載の監視制御装置。
  8. 　前記車両を所定の走行制限の下で走行可能にする非常モードに切り替える切替部を備え、
    　前記復帰判定部は、前記送信部により前記第１電子制御装置を停止させる停止信号が送信されてから、前記切替部により前記車両が非常モードに切り替えられるまで、前記第１電子制御装置を復帰させないと判定すること
    　を特徴とする請求項６記載の監視制御装置。
  9. 　前記エラー検知部は、前記受信部が受信した前記第２送信信号に基づいて、前記第２送信信号に基づく前記エラーを検知すること
    　を特徴とする請求項１記載の監視制御装置。
  10. 　前記受信部は、前記第２送信信号を受信した第３電子制御装置により送信されたエラー信号を受信し、
    　前記エラー検知部は、前記受信部が受信したエラー信号に基づいて、前記第２送信信号に基づく前記エラーを検知すること
    　を特徴とする請求項１記載の監視制御装置。
  11. 　受信部が、車両に搭載された第１電子制御装置により送信された第１送信信号と、前記車両に搭載された第２電子制御装置により送信された第２送信信号とを受信し、
    　エラー検知部が、前記第１送信信号と前記第２送信信号とに基づいて、前記第１送信信号の一部が前記第２送信信号によって上書きされたことをエラーとして検知し、
    　上書装置特定部が、前記エラー検知部が検知した前記エラーを示す情報と、前記受信部により受信された前記第２送信信号とに基づいて、前記第２電子制御装置を特定し、
    　送信部が、前記第２電子制御装置を停止させる停止信号を送信し、
    　状態判別部が、前記車両の状態を判別し、
    　送信装置特定部が、前記エラーを示す情報と前記第２送信信号とに基づいて、前記第１電子制御装置を特定し、
    　機能特定部が、前記第１電子制御装置が有する機能を特定し、
    　復帰判定部が、前記状態判別部により判別された前記車両の状態と、前記機能特定部により特定された前記第１電子制御装置が有する機能とに基づいて、前記第１電子制御装置を復帰させるか否かを判定し、
    　前記送信部は、前記復帰判定部が前記第１電子制御装置を復帰させると判定した場合、前記第１電子制御装置を復帰させる復帰信号を当該第１電子制御装置に送信すること
    　を特徴とする監視制御方法。
PCT/JP2018/034439 2018-09-18 2018-09-18 監視制御装置及び監視制御方法 WO2020059015A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2018/034439 WO2020059015A1 (ja) 2018-09-18 2018-09-18 監視制御装置及び監視制御方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2018/034439 WO2020059015A1 (ja) 2018-09-18 2018-09-18 監視制御装置及び監視制御方法

Publications (1)

Publication Number Publication Date
WO2020059015A1 true WO2020059015A1 (ja) 2020-03-26

Family

ID=69887026

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/034439 WO2020059015A1 (ja) 2018-09-18 2018-09-18 監視制御装置及び監視制御方法

Country Status (1)

Country Link
WO (1) WO2020059015A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007251722A (ja) * 2006-03-17 2007-09-27 Fujitsu Ten Ltd 通信装置、車載システム、データ保存方法及びプログラム
JP2007272709A (ja) * 2006-03-31 2007-10-18 Auto Network Gijutsu Kenkyusho:Kk 動作監視ユニット
JP2015168376A (ja) * 2014-03-10 2015-09-28 トヨタ自動車株式会社 通信装置、通信方法及び通信システム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007251722A (ja) * 2006-03-17 2007-09-27 Fujitsu Ten Ltd 通信装置、車載システム、データ保存方法及びプログラム
JP2007272709A (ja) * 2006-03-31 2007-10-18 Auto Network Gijutsu Kenkyusho:Kk 動作監視ユニット
JP2015168376A (ja) * 2014-03-10 2015-09-28 トヨタ自動車株式会社 通信装置、通信方法及び通信システム

Similar Documents

Publication Publication Date Title
US11190533B2 (en) Anomaly detection electronic control unit, onboard network system, and anomaly detection method
US11748474B2 (en) Security system and methods for identification of in-vehicle attack originator
RU2689638C2 (ru) Способ и система для защиты транспортного средства
JP6807906B2 (ja) 車両へのコンピュータ攻撃を阻止するためのルールを生成するシステムおよび方法
US10798114B2 (en) System and method for consistency based anomaly detection in an in-vehicle communication network
US10227053B2 (en) In-vehicle network system, electronic control unit, and update processing method
US20180107473A1 (en) Determining whether to install a vehicle system update in a vehicle
JP7231559B2 (ja) 異常検知電子制御ユニット、車載ネットワークシステム及び異常検知方法
JP6762347B2 (ja) 交通手段に対するコンピュータ攻撃を阻止するためのシステムおよび方法
US20160323287A1 (en) Method for detecting and dealing with unauthorized frames in vehicle network system
JP6585019B2 (ja) ネットワーク監視装置、ネットワークシステムおよびプログラム
CN108075797B (zh) 车载通信系统
RU2712138C2 (ru) Способ, система и электронный блок управления для предотвращения спуфинга в автомобильной сети
US10861258B2 (en) Method for preventing diagnostic errors in vehicle network and apparatus therefor
US20170155679A1 (en) Method of preventing drive-by hacking, and apparatus and system therefor
JP2019008618A (ja) 情報処理装置、情報処理方法及びプログラム
JP2003304265A (ja) 通信システム
JP2014236248A (ja) 電子制御装置、電子制御システム
US10814832B2 (en) Systems and methods for vehicle low power security challenge
JP2020108132A (ja) 電子制御システム、電子制御装置、制御方法及びプログラム
JP6586500B2 (ja) データバスによってメッセージシーケンスを送信するための方法及び装置並びにこうして送信されるメッセージシーケンスに対する攻撃を認識するための方法及び装置
JP6973120B2 (ja) なりすまし検出装置、検出方法、およびコンピュータプログラム
WO2020059015A1 (ja) 監視制御装置及び監視制御方法
US11392690B2 (en) Security monitoring apparatus and method for vehicle network
US20220377068A1 (en) Vehicle control device, vehicle, vehicle control method, and non-transitory recording medium

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18933740

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18933740

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: JP