WO2020085330A1 - 電子制御装置、電子制御方法及びプログラム - Google Patents

電子制御装置、電子制御方法及びプログラム Download PDF

Info

Publication number
WO2020085330A1
WO2020085330A1 PCT/JP2019/041382 JP2019041382W WO2020085330A1 WO 2020085330 A1 WO2020085330 A1 WO 2020085330A1 JP 2019041382 W JP2019041382 W JP 2019041382W WO 2020085330 A1 WO2020085330 A1 WO 2020085330A1
Authority
WO
WIPO (PCT)
Prior art keywords
electronic control
unit
abnormality
identification information
bus
Prior art date
Application number
PCT/JP2019/041382
Other languages
English (en)
French (fr)
Inventor
紘幸 和田
中野　稔久
横田　薫
崇之 藤井
Original Assignee
パナソニックＩｐマネジメント株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニックＩｐマネジメント株式会社 filed Critical パナソニックＩｐマネジメント株式会社
Priority to JP2020553406A priority Critical patent/JPWO2020085330A1/ja
Priority to EP19875065.5A priority patent/EP3854651A4/en
Publication of WO2020085330A1 publication Critical patent/WO2020085330A1/ja
Priority to US17/236,537 priority patent/US20210258187A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40052—High-speed IEEE 1394 serial bus
    • H04L12/40104—Security; Encryption; Content protection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4604—LAN interconnection over a backbone network, e.g. Internet, Frame Relay
    • H04L12/462—LAN interconnection over a bridge based backbone
    • H04L12/4625—Single bridge functionality, e.g. connection of two networks over a single bridge
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0225—Failure correction strategy
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/035—Bringing the control units into a predefined state, e.g. giving priority to particular actuators
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/04—Monitoring the functioning of the control system
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W60/00—Drive control systems specially adapted for autonomous road vehicles
    • B60W60/001—Planning or execution of driving tasks
    • B60W60/0015—Planning or execution of driving tasks specially adapted for safety
    • B60W60/0018—Planning or execution of driving tasks specially adapted for safety by employing degraded modes, e.g. reducing speed, in response to suboptimal conditions
    • B60W60/00188—Planning or execution of driving tasks specially adapted for safety by employing degraded modes, e.g. reducing speed, in response to suboptimal conditions related to detected security violation of control systems, e.g. hacking of moving vehicle
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/08—Registering or indicating performance data other than driving, working, idle, or waiting time, with or without registering driving, working, idle or waiting time
    • G07C5/0808—Diagnosing performance data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40052—High-speed IEEE 1394 serial bus
    • H04L12/40071—Packet processing; Packet format
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/008—Registering or indicating the working of vehicles communicating information to a remotely located station
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle

Definitions

  • the present disclosure relates to an electronic control device, an electronic control method, and a program relating to control when a moving body such as a vehicle is abnormal.
  • a cyber attack is remotely performed in an in-vehicle network system that includes a plurality of electronic control units (ECUs) that transmit and receive CAN frames via a bus in a vehicle according to a CAN (Controller Area Network) protocol
  • ECUs electronice control units
  • CAN Controller Area Network
  • a moving body such as a vehicle equipped with an in-vehicle network system is taken over by an attacker and cannot be controlled by an occupant of the moving body or a control center. Therefore, for example, a technique of detecting an abnormality in an in-vehicle network system and discarding a CAN frame including a CANID related to the detected abnormality is disclosed (for example, Patent Document 1). As a result, an unauthorized CAN frame by the attacker is discarded, so that it is possible to prevent the moving body from being taken over by the attacker.
  • the present disclosure provides an electronic control device and the like that can safely stop a moving body when an abnormality occurs in the moving body.
  • an electronic control device is an electronic control device connected to at least one bus in a moving body, the control relating to the moving body flowing in the at least one bus.
  • An abnormality detection unit that detects an abnormality in communication data that includes identification information for identifying contents, an acquisition unit that acquires at least one identification information according to the detection result, and a communication that includes the at least one identification information.
  • An invalidation unit that invalidates data, and a control unit that controls the moving body based on the at least one identification information.
  • an electronic control method is an electronic control method in an electronic control device connected to at least one bus in a moving body, and the electronic control method is performed in the at least one bus. , Detecting an abnormality in communication data including identification information for identifying control content relating to the mobile body, acquiring at least one identification information according to a result of the detection, and communication data including the at least one identification information Is invalidated and the mobile body is controlled based on the at least one identification information.
  • a program according to one aspect of the present invention for achieving the above object is a program for causing a computer to execute the above electronic control method.
  • a mobile body can be safely stopped when an abnormality occurs in the mobile body.
  • FIG. 1 is a configuration diagram showing an example of an electronic control device according to an embodiment.
  • FIG. 2 is a diagram showing a data format defined by the CAN protocol.
  • FIG. 3 is a table showing an example of the correspondence relationship between the state of the vehicle and the control contents of the vehicle.
  • FIG. 4 is a table showing an example of the correspondence between the control contents of the vehicle and the identification information.
  • FIG. 5 is a flowchart showing an example of the operation of the electronic control unit in the embodiment.
  • FIG. 6 is a diagram for explaining the operation of the electronic control unit in the embodiment.
  • FIG. 7 is a configuration diagram illustrating an example of an electronic control device according to Modification 1 of the embodiment.
  • FIG. 8 is a configuration diagram illustrating an example of an electronic control device according to the second modification of the embodiment.
  • FIG. 1 is a configuration diagram showing an example of an electronic control device according to an embodiment.
  • FIG. 2 is a diagram showing a data format defined by the CAN protocol.
  • FIG. 3 is
  • FIG. 9 is a configuration diagram illustrating an example of an electronic control device according to Modification 3 of the embodiment.
  • FIG. 10 is a configuration diagram showing an example of an electronic control system according to another embodiment.
  • FIG. 11 is a configuration diagram showing an example of an electronic control device according to another embodiment.
  • FIG. 1 is a configuration diagram showing an example of an electronic control device 1 according to an embodiment. Note that FIG. 1 also shows a configuration connected to the electronic control unit 1.
  • the electronic control unit 1 is, for example, a device mounted on a moving body.
  • the moving body is described below as a vehicle such as an automobile, the moving body is not limited to an automobile, and may be a construction machine, an agricultural machine, a ship, a railway, a robot, an airplane, or the like.
  • the electronic control unit 1 is an example of an ECU connected to an in-vehicle network that communicates according to the CAN protocol, for example.
  • the in-vehicle network is a network in a vehicle equipped with various devices such as a control device, a sensor, an actuator, and a user interface device.
  • the electronic control unit 1 is connected to at least one bus in the vehicle. Communication data including identification information for identifying the control content regarding the vehicle flows through at least one bus.
  • the electronic control unit 1 is connected to at least two buses as at least one bus, and specifically, is connected to two buses 110 and 120 as shown in FIG.
  • the buses 110 and 120, the communication data, and the identification information are a CAN bus, a CAN frame, and a CAN ID according to the CAN protocol, respectively.
  • FIG. 1 shows an electronic control unit 1, an ADASECU 111 (driving support device), a camera ECU 112, a sensor ECU 113, a brake ECU 121, an engine ECU 122, a steering ECU 123, and a gateway ECU 150 (gateway device) as an example of a plurality of ECUs. ing. Although a number of ECUs other than these ECUs may be connected to the bus in the vehicle, only these ECUs are shown here as an example.
  • the plurality of ECUs including the electronic control unit 1 are devices each including, for example, a digital circuit such as a processor and a memory, an analog circuit, a communication circuit, and the like.
  • the memory is a ROM, a RAM, or the like, and can store a program executed by the processor. For example, when the processor operates according to the program, the electronic control unit 1 and each ECU realize various functions.
  • the electronic control unit 1 and each ECU perform transmission / reception of communication data via the buses 110 and 120 in the vehicle according to the CAN protocol.
  • the gateway ECU 150 is a gateway device that transfers communication data from one bus to another bus.
  • the gateway ECU 150 is connected to at least two buses (buses 110 and 120), and the gateway ECU 150 transfers communication data from the bus 110 to the bus 120 and transfers communication data from the bus 120 to the bus 110.
  • the electronic control unit 1 may have the function of the gateway ECU 150.
  • the ADASECU 111 acquires the sensing result around the vehicle from the camera ECU 112 and the sensor ECU 113 via the bus 110.
  • the sensing result is, for example, sensor information about the surrounding environment of the vehicle such as a camera, LIDAR (Light Detection and Ranging), radar, or sonar.
  • the ADASECU 111 uses the sensor information to generate communication data (CAN frame) including identification information (CANID) for performing ADAS control such as parking assist, cruise control, or collision damage reduction brake, and the communication data.
  • CAN frame including identification information (CANID) for performing ADAS control such as parking assist, cruise control, or collision damage reduction brake, and the communication data.
  • ADAS control such as parking assist, cruise control, or collision damage reduction brake
  • the electronic control unit 1 includes an abnormality detection unit 10, a motion determination unit 20, a traveling state identification unit 30, an acquisition unit 40, an invalidation unit 50, a control unit 60, a transmission / reception unit 70, and a storage unit 80.
  • the transmission / reception unit 70 is realized by a communication circuit or the like included in the electronic control device 1.
  • the transceiver 70 is connected to the buses 110 and 120, receives communication data from the buses 110 and 120, and transmits communication data to the buses 110 and 120.
  • the storage unit 80 is a memory such as a ROM and a RAM, and stores a program executed by the processor.
  • the storage unit 80 also stores a table showing a correspondence relationship between a vehicle state and vehicle control contents and a table showing a correspondence relationship between vehicle control contents and identification information, which will be described later.
  • the electronic control unit 1 may have one memory or may have a plurality of memories, and here, one or a plurality of memories is shown as the storage unit 80.
  • the processor included in the electronic control unit 1 operates according to a program stored in the storage unit 80, so that the abnormality detection unit 10, the operation determination unit 20, the traveling state identification unit 30, the acquisition unit 40, the invalidation unit 50, and the like. Functional components such as the control unit 60 are realized.
  • the abnormality detection unit 10 detects an abnormality in communication data that flows into at least one bus (here, the buses 110 and 120) and that includes identification information for identifying control content related to vehicle behavior. Specifically, the abnormality detection unit 10 detects an abnormality of the CAN frame including the CANID, which is received via the transmission / reception unit 70 and flows on the buses 110 and 120. The abnormality detection unit 10 confirms, for example, the CANID included in the CAN frame, the control parameters in the DLC and the data field, the reception period and the reception frequency of the CAN frame itself, and the CAN frame is compared with the normal operation, Determine whether it is normal.
  • the method for detecting an abnormality in communication data may be any generally disclosed method, and the description thereof will be omitted here.
  • a log about an abnormality detected by the abnormality detection unit 10 (referred to as an abnormality log) is stored in, for example, the storage unit 80.
  • the operation determination unit 20 determines whether or not the vehicle has an abnormality based on the abnormality log.
  • the operation determination unit 20 shifts the electronic control unit 1 to the degenerate operation mode when the vehicle is abnormal and safe traveling is difficult.
  • the degeneration operation mode is a mode for performing degeneration control of the vehicle.
  • the degeneration control is a control for safely stopping the vehicle, and controls the steering so that the vehicle approaches the end of the road (shoulder), or controls the engine or the brake to decelerate the vehicle. It is to be.
  • the operation determination unit 20 determines that the vehicle is in an abnormal state and it is difficult to drive safely when the abnormality log exceeds a certain level. This is because it is difficult to determine specifically what kind of anomaly has occurred, whether an anomaly has really occurred, etc. from only one anomaly log. It should be noted that the operation determination unit 20 may determine that the vehicle is abnormal and safe traveling is difficult when a fatal abnormality occurs.
  • the running state identifying unit 30 identifies the state of the vehicle (running state). For example, the traveling state identification unit 30 identifies the state of the vehicle using the sensing results of the camera ECU 112, the sensor ECU 113, etc. received via the transmission / reception unit 70. The traveling state identifying unit 30 specifically identifies, as the vehicle state, the vehicle speed of the vehicle, the lane in which the vehicle is traveling, or whether another vehicle is present in front, behind, or on the left or right. The traveling state identification unit 30 identifies the state of the vehicle based on, for example, communication data in which no abnormality is detected by the abnormality detection unit 10 among the sensing results of the camera ECU 112, the sensor ECU 113, and the like. This is because when communication data in which an abnormality is detected is used, the communication data may have been illegally rewritten, and the state of the vehicle may not be correctly identified.
  • the acquisition unit 40 acquires at least one piece of identification information according to the result of the abnormality detection by the abnormality detection unit 10.
  • the identification information is information for identifying the control content regarding the vehicle, and is specifically the CANID.
  • the at least one piece of identification information corresponding to the result of the abnormality detection by the abnormality detection unit 10 is, for example, the identification information included in the communication data in which the abnormality is detected (specifically, the abnormality injected from the attacker into the bus 110 or the like).
  • identification information included in communication data transmitted / received by the ECU connected to the bus in which communication data in which abnormality is detected flows (specifically, in the bus 110 in which CAN frame in which abnormality is detected flows)
  • the acquisition unit 40 may acquire a plurality of pieces of identification information as at least one piece of identification information.
  • the acquisition unit 40 stores, for example, a table indicating the correspondence between the abnormality detection result of the abnormality detection unit 10 and the state of the vehicle and the control content of the vehicle, and a table indicating the correlation between the control content of the vehicle and the identification information. At least one piece of identification information determined based on the information is acquired. These tables will be described later.
  • the invalidation unit 50 invalidates communication data including at least one piece of identification information in which an abnormality is detected. Specifically, the invalidation unit 50 invalidates the communication data flowing through at least one bus (here, the buses 110 and 120). Although details will be described later with reference to FIGS. 5 and 6, the invalidation unit 50 issues, for example, an error frame and transmits the error frame to the bus through which the communication data in which the abnormality is detected flows through the transmission / reception unit 70. By doing so, the communication data including at least one piece of identification information flowing on the bus is invalidated.
  • the control unit 60 controls the behavior of the vehicle. For example, the control unit 60 controls the behavior of the vehicle regarding the control content identified by the at least one identification information acquired by the acquisition unit 40. Specifically, control unit 60 controls the vehicle based on the identification information included in the communication data for dealing with the abnormality detected by abnormality detection unit 10. The operation of the control unit 60 will be described later with reference to FIGS. 5 and 6.
  • FIG. 2 is a diagram showing a format of a data frame defined by the CAN protocol.
  • the figure shows a data frame in the standard ID format defined by the CAN protocol.
  • Data frame is SOF (Start of Frame), ID field, RTR (Remote Transmission Request), IDE (Identifier Extension), reserved bit “r”, DLC (Data Length Code), data field, CRC (Cyclic Redundancy Check) sequence , A CRC delimiter “DEL”, an ACK (Acknowledgement) slot, an ACK delimiter “DEL”, and an EOF (End Of Frame) field.
  • SOF Start of Frame
  • ID field ID field
  • RTR Remote Transmission Request
  • IDE Identity Extension
  • reserved bit “r” DLC (Data Length Code)
  • data field data field
  • CRC (Cyclic Redundancy Check) sequence A CRC delimiter “DEL”, an ACK (Acknowledgement) slot, an ACK delimiter “DEL”, and an EOF (
  • the ID field is a field configured with 11 bits to store a CANID that is a value indicating the type of data.
  • the data field is a field that is configured with a maximum of 64 bits and stores data.
  • Each ECU that transmits a CAN frame stores data of a predetermined type in the in-vehicle network in a data field, and stores a predetermined CANID corresponding to the data of the type in an ID field.
  • a frame will be constructed and transmitted.
  • the vehicle manufacturer and the like predefine CANID used for the CAN frame and the corresponding data structure as the specifications of the in-vehicle network.
  • FIG. 3 is a table showing an example of a correspondence relationship between a vehicle state and vehicle control contents. Specifically, FIG. 3 is a table showing a correspondence relationship between the traveling state of the vehicle and the details of the degeneration control of the vehicle. For example, the table is stored in the storage unit 80 in advance.
  • the operation determination unit 20 determines that an abnormality has occurred in the vehicle
  • the content of the degeneration control is determined by the traveling state of the vehicle identified by the traveling state identification unit 30 and the table.
  • the degeneration control control for stopping the vehicle on the road shoulder will be described.
  • the traveling state of the vehicle when the abnormality occurs in the vehicle is a state where the vehicle is traveling in the traveling lane and there is no vehicle behind the vehicle, it is said that the vehicle is brought to the shoulder and suddenly decelerated.
  • the contents of the degeneration control are determined. This is because the vehicle is traveling in the traveling lane, so that the vehicle can be brought closer to the shoulder of the traveling lane, and the vehicle can be decelerated rapidly because there is no vehicle behind.
  • the traveling state of the vehicle when an abnormality occurs in the vehicle is a state where the vehicle is traveling in the traveling lane and a vehicle is present behind the vehicle, it is said that the vehicle is brought closer to the shoulder and slowly decelerated.
  • the contents of the degeneration control are determined. Since the vehicle is traveling in the driving lane, the vehicle can be brought closer to the shoulder of the driving lane.Because there is a vehicle behind, the vehicle cannot slow down suddenly to prevent a rear-end collision. This is because it is necessary to slow down.
  • the running state of the vehicle when the abnormality occurs in the vehicle is a state where the vehicle is traveling in the overtaking lane and there is no vehicle in the running lane
  • change the lane to the running lane The content of the degeneration control to perform is determined.
  • the vehicle is traveling in the overtaking lane when an abnormality occurs in the vehicle, and it is necessary to change the lane to the traveling lane first in order to bring the vehicle to the shoulder, and there is no vehicle in the traveling lane This is because the lane can be changed to the driving lane.
  • the deceleration control that slowly decelerates The content of is determined.
  • the vehicle is traveling in the overtaking lane when an abnormality occurs in the vehicle, and it is necessary to change the lane to the traveling lane first in order to move the vehicle to the shoulder, but the vehicle exists in the traveling lane. Therefore, the lane cannot be changed to the traveling lane, and the vehicle waits until the timing when the lane can be changed to the traveling lane while slowly decelerating.
  • degeneration control can be determined by checking the running state of the vehicle against the table.
  • FIG. 4 is a table showing an example of a correspondence relationship between vehicle control contents and identification information. Specifically, in FIG. 4, not only the correspondence between the details of the degeneration control and the CANID as the identification information, but also the ECU that performs each degeneration control and the detailed content of each degeneration control, the cycle in which each degeneration control is performed. And the control change amount are shown. For example, the "slow deceleration" of these degeneration control will be focused and described. In the case of the deceleration control of "slow deceleration”, CANID "0x123", which is a CAN frame for performing engine control, is associated with the engine ECU 122 for deceleration by engine braking.
  • the identification information can be determined by collating the degeneration control with the table. Therefore, at least one identification is performed according to the identified vehicle state, a table showing the correspondence relationship between the vehicle state and the vehicle control content, and a table showing the correspondence relationship between the vehicle control content and the identification information.
  • the information can be determined, and the acquisition unit 40 can acquire the determined at least one identification information.
  • the acquisition unit 40 determines the identification information according to the traveling state of the vehicle identified by the traveling state identification unit 30 and each of the tables stored in the storage unit 80, and acquires the determined identification information. Good.
  • the acquisition unit 40 also includes identification information included in the communication data in which the abnormality is detected (specifically, from the attacker to the bus 110. Identification information (specifically, an abnormality is detected) included in communication data transmitted / received by an ECU connected to a bus through which communication data in which abnormality is detected flows.
  • Identification information (specifically, an abnormality is detected) included in communication data transmitted / received by an ECU connected to a bus through which communication data in which abnormality is detected flows.
  • the CANID and the like included in the ADAS frame transmitted and received by the ADASECU 111 connected to the bus 110 through which the CAN frame flows.
  • FIG. 5 is a flowchart showing an example of the operation of the electronic control unit 1 according to the embodiment.
  • the transmission / reception unit 70 receives a CAN frame (communication data) from the buses 110 and 120 (step S101).
  • a CAN frame communication data
  • CAN frames of various CANIDs are sequentially flowing on the buses 110 and 120 at a cycle of several milliseconds, and the processing in step S101 is repeatedly performed at intervals of several milliseconds, thereby CAN frames with different CANIDs are received.
  • the electronic control unit 1 determines whether or not the electronic control unit 1 is in the degenerate operation mode (step S102). Note that the determination may be performed on any of the functional components included in the electronic control device 1, and here, the electronic control device 1 performs the determination. Note that, hereafter, the determination that any of the functional components included in the electronic control device 1 may make the determination is made by the electronic control device 1. When it is determined in step S13 described later that the vehicle has an abnormality, the electronic control unit 1 enters the degeneration operation mode.
  • the operation determination unit 20 detects the abnormality detected by the abnormality detection unit 10 and accumulates the abnormality. Based on the log, it is determined whether or not the vehicle has an abnormality (step S103). For example, as described above, the operation determination unit 20 determines whether or not there is an abnormality in the vehicle depending on whether or not there is a certain amount of abnormality logs in the storage unit 80.
  • step S103 If there is no abnormality in the vehicle (NO in step S103), the reception of the next CAN frame is waited for, and the processing from step S101 is performed again.
  • the acquisition unit 40 acquires the control target ID according to the result of the abnormality detection (step S103).
  • the CANID is identification information for identifying the control content related to the vehicle. Since the control target (that is, the ECU to be controlled) can be identified by identifying the control content, the CANID is also called a control target ID.
  • the control target ID is, as described above, the CANID included in the CAN frame in which the abnormality is detected, the CANID included in the CAN frame transmitted / received by the ECU connected to the bus in which the CAN frame in which the abnormality is detected is transmitted, or The CAN ID and the like included in the CAN frame for responding to the detected abnormality.
  • step S105 Since there is an abnormality in the vehicle, the electronic control unit 1 shifts to the degeneration operation mode, which is a mode for performing degeneration control for dealing with the abnormality (step S105). Then, the reception of the next CAN frame is awaited, and the processing from step S101 is performed again. As a result, thereafter, the process of step S102 proceeds to YES.
  • step S101 When the transmission / reception unit 70 receives the next CAN frame (step S101) and the electronic control unit 1 is in the degenerate operation mode (YES in step S102), the electronic control unit 1 selects the CAN frame received in step S101. Then, it is determined whether or not the acquired control target ID is included in the acquisition unit 40 (step S106).
  • step S101 When the CAN frame received in step S101 does not include the control target ID (NO in step S106), the reception of the next CAN frame is awaited, the processing from step S101 is performed again, and step S106 is performed again. Will be determined.
  • step S107 When the CAN frame received in step S101 includes the control target ID (YES in step S106), the invalidation unit 50 invalidates the CAN frame including the control target ID flowing in the bus. Yes (step S107).
  • the processing in step S107 will be described with reference to FIG.
  • FIG. 6 is a diagram for explaining the operation of the electronic control unit 1 according to the embodiment.
  • the flow of signals (information) is shown by solid or broken arrows A to D.
  • FIG. 6 schematically shows an attacker 300 who attacks the vehicle-mounted network to which the electronic control unit 1 is connected.
  • the attacker 300 injects the CAN frame (abnormal frame) indicated by the arrow B into the bus 110, and the CAN frame abnormality is detected in the bus 110. Therefore, the control target ID includes, for example, the CAN ID included in the CAN frame indicated by the arrow B in which the abnormality is detected, as at least one piece of identification information corresponding to the result of the abnormality detection. Further, since the CAN frame abnormality is detected in the bus 110, the control target ID is connected to the bus 110 in which the CAN frame in which the abnormality is detected flows as at least one piece of identification information according to the result of the abnormality detection.
  • the invalidation unit 50 invalidates the CAN frame including these control target IDs flowing on the bus 110 to the bus 110 for invalidating the CAN frame indicated by the arrow A (here, invalidation information). For example, an error frame) is transmitted via the transmission / reception unit 70. As a result, the CAN frame including these control target IDs can be invalidated on the bus 110.
  • the electronic control unit 1 determines whether or not the invalidated CAN frame was transmitted in the correct transmission cycle (step S108).
  • the CAN frame flowing on the bus is normally transmitted at a fixed cycle, but the CAN frame may be injected from the attacker 300 at a timing different from the fixed cycle.
  • the vehicle is controlled at the timing when the invalidated CAN frame is transmitted, but when the invalidated CAN frame is not transmitted at the correct transmission cycle, the constant Since the vehicle is controlled in a cycle that is different from the cycle, there is a possibility that the vehicle cannot be controlled correctly. Therefore, in step S108, it is determined whether or not the invalidated CAN frame was transmitted in the correct transmission cycle.
  • step S108 When the invalidated CAN frame is not transmitted in the correct transmission cycle (NO in step S108), the reception of the next CAN frame is awaited, the processing from step S101 is performed again, and step S106 is performed again. Will be determined.
  • the control unit 60 controls the vehicle based on the control target ID (step S109).
  • the control target ID here is, for example, a CAN ID included in a CAN frame for responding to the detected abnormality, as at least one piece of identification information according to the result of the abnormality detection.
  • the control unit 60 generates a CAN frame including the CAN ID “0x234” shown in FIG. 4 as the CAN ID for performing the degeneration control, and, as shown by an arrow D in FIG.
  • the CAN frame is transmitted to.
  • the brake ECU 121 acquires the CAN frame and controls the brake so that the vehicle rapidly decelerates based on the CAN frame.
  • control unit 60 generates a CAN frame including the CAN ID “0x345” shown in FIG. 4 as the CAN ID for performing the degeneration control, and transmits the CAN frame to the bus 120 via the transmission / reception unit 70.
  • the steering ECU 123 acquires the CAN frame and controls the steering so that the vehicle shifts to the shoulder or changes the lane based on the CAN frame.
  • the control that is originally performed by the ADASECU 111 can be performed by the electronic control unit 1, and the vehicle can be stopped safely when an abnormality occurs in the vehicle. be able to.
  • step S110 determines whether the vehicle has stopped or the abnormality has been resolved.
  • the CAN frame for performing the degeneration control is transmitted to each ECU for each specific cycle as shown in FIG. Since the control change amount is included, the processing from step S101 to step S109 is performed for each specific cycle. As a result, the vehicle speed gradually decreases and the vehicle finally stops (YES in step S110), and the process ends. Further, when the abnormality is resolved during deceleration of the vehicle (YES in step S110), the vehicle is not abnormal and there is no need to stop the processing, and the process ends.
  • FIG. 7 is a configuration diagram showing an example of the electronic control unit 1 in the first modification of the embodiment.
  • the dedicated line 130 is connected to the electronic control unit 1
  • the destination of the invalidation information from the invalidation unit 50 is the gateway ECU 150. Except for these points, the configuration is the same as that of the above-described embodiment, and thus the description thereof is omitted.
  • the electronic control unit 1 is connected to the gateway ECU 150 via a dedicated line 130 different from at least two buses (here, buses 110 and 120), and the invalidation unit 50 sends the invalidation information to the gateway ECU 150 via the dedicated line 130.
  • the dedicated line 130 is a communication line that is not connected to the outside, and is a communication line that is resistant to attacks from the outside.
  • the dedicated line 130 is a communication line used in Ethernet (registered trademark).
  • the CAN frame as shown by arrows B and C can be blocked, and for example, the CAN frame can be prevented from being transferred from the bus 110 to the bus 120.
  • the electronic control unit 1 includes a table showing the correspondence between the vehicle state and the control contents of the vehicle shown in FIG. 3 and a table showing the correspondence between the control contents of the vehicle and the identification information shown in FIG. Although it is stored in the storage unit 80, it may be stored in the storage unit (memory or the like) included in the ADASECU 111. This will be described as a second modification with reference to FIG.
  • FIG. 8 is a configuration diagram showing an example of the electronic control unit 1 in the second modification of the embodiment.
  • the electronic control unit 1 is connected to the ADASECU 111 by a dedicated line 140 different from at least one bus (here, the buses 110 and 120), and the acquisition unit 40 outputs the at least one identification information determined by the ADASECU 111. get. Except for these points, the configuration is the same as that of the above-described embodiment, and thus the description thereof is omitted.
  • the abnormality detection unit 10 notifies the ADASECU 111 of the detection result via the dedicated line 140.
  • the dedicated line 140 is a communication line used in Ethernet (registered trademark).
  • the ADASECU 111 acquires the abnormality detection result from the abnormality detection unit 10 via the transmission / reception unit 70 and the dedicated line 140.
  • the ADASECU 111 identifies the state of the vehicle based on, for example, communication data in which no abnormality is detected by the abnormality detection unit 10 among the sensing results of the camera ECU 112, the sensor ECU 113, and the like.
  • the ADASECU 111 identifies the vehicle state, specifically, the vehicle speed of the vehicle, the lane in which the vehicle is traveling, or whether another vehicle is present in front, behind, or on the left or right. Further, the ADASECU 111 acquires the result of the determination of whether or not the vehicle is abnormal from the operation determination unit 20 via the transmission / reception unit 70 and the dedicated line 140.
  • the ADASECU 111 indicates a correspondence relationship between the traveling state of the vehicle specified by the ADASECU 111 and the vehicle state and the control content of the vehicle stored in the ADASECU 111 when the operation determining unit 20 determines that the vehicle has an abnormality.
  • the contents of the degeneration control are determined by the table.
  • the ADASECU 111 determines at least one piece of identification information by collating the determined degeneration control content with a table showing the correspondence between the vehicle control content and the identification information stored in the ADASECU 111.
  • the ADASECU 111 transmits the determined at least one piece of identification information to the electronic control unit 1.
  • the acquisition unit 40 acquires, from the ADASECU 111, at least one piece of identification information determined by the ADASECU 111 according to the detection result notified from the abnormality detection unit 10.
  • the acquisition unit 40 may acquire at least one identification information determined by the ADASECU 111 by notifying the ADASECU 111 of the detection result of the abnormality detection unit 10 and causing the ADASECU to determine at least one identification information. .
  • the electronic control device 1 may be connected to the external input unit 160. This will be described as a third modification with reference to FIG.
  • FIG. 9 is a configuration diagram showing an example of the electronic control device 1 according to the third modification of the embodiment.
  • the electronic control unit 1 is connected to the external input unit 160 via a communication line different from at least one bus (here, the buses 110 and 120), and the control unit 60 further connects to the external input unit 160.
  • the vehicle is controlled according to the operation.
  • the external input unit 160 is an emergency stop device or the like operated by an occupant of the vehicle when an abnormality occurs in the vehicle. With respect to an abnormal or unknown attack that cannot be detected by the abnormality detection unit 10, the occupant of the vehicle can determine the situation and operate the external input unit 160 to control the vehicle (for example, an emergency stop). it can.
  • the electronic control device 1 is a system connected to at least one bus 110 in a moving body (vehicle).
  • the electronic control unit 1 is a control unit 60 that controls the behavior of the moving body, and an abnormality that detects an abnormality in communication data that flows in at least one bus 110 and that includes identification information for identifying the control content related to the behavior of the moving body.
  • the detection unit 10 and the acquisition unit 40 that acquires at least one piece of identification information according to the detection result are provided.
  • the control unit 60 may control the behavior of the moving body with respect to the control content identified by the at least one identification information acquired by the acquisition unit 40.
  • the electronic control device 1 may further include an invalidation unit 50 that invalidates communication data including at least one piece of identification information in which an abnormality is detected.
  • the electronic control unit 1 controls the mobile body instead of the ADASECU 111 based on the invalidated identification information.
  • the electronic control unit 1 can separately perform control based on the invalidated identification information. Therefore, even if the identification information related to the control for safely stopping the mobile such as ADAS control or automatic emergency stop in order to cope with the abnormality of the mobile is invalidated, it is necessary to separately stop the mobile safely. Control can be performed. In this way, the mobile body can be safely stopped when an abnormality occurs in the mobile body.
  • At least one piece of identification information is the identification information included in the communication data in which the abnormality is detected, and the communication data transmitted / received by the device (ECU) connected to the bus 110 through which the communication data in which the abnormality is detected flows.
  • the control unit 60 includes the identification information included or the identification information included in the communication data for responding to the detected abnormality, and the control unit 60 is based on the identification information included in the communication data for responding to the detected abnormality.
  • the moving body may be controlled.
  • the electronic control unit 1 is connected to at least two buses 110 and 120, and a gateway device (gateway ECU 150) that transfers communication data from one bus to another bus is connected to the at least two buses 110 and 120. Then, the invalidation unit 50 may transmit the invalidation information for invalidating the communication data including at least one piece of identification information to the gateway ECU 150.
  • a gateway device gateway ECU 150
  • gateway ECU 150 can block communication data to be invalidated in gateway ECU 150 based on the invalidation information. Therefore, it is possible to invalidate the communication data (block the transfer of the communication data from one bus to another bus) while suppressing the load on the bus 110 or 120.
  • the electronic control unit 1 is connected to the gateway ECU 150 via a dedicated line 130 different from the at least two buses 110 and 120, and the invalidation unit 50 sends the invalidation information to the gateway ECU 150 via the dedicated line 130. You may send it.
  • the bus 110 used for CAN communication when the bus 110 used for CAN communication is used to transmit the invalidation information, when an unauthorized node is connected to the bus 110 and the unauthorized information is transmitted to the bus 110, the invalidation is performed. Information may be illegally rewritten. Therefore, the invalidation information can be prevented from being illegally rewritten by using the communication via the private line 130 that is strong against external attacks, for example, to transmit the invalidation information.
  • the invalidation unit 50 may transmit the invalidation information to the gateway ECU 150 via the bus 120 in which communication data in which no abnormality is detected is flowing out of at least two buses 110 and 120. .
  • the transmission of the invalidation information is performed not through the bus 110 in which communication data in which an abnormality has been detected flows but through the bus 120 in which communication data in which no abnormality is detected flows.
  • the invalidation information can be safely transmitted to the gateway ECU 150.
  • At least one bus 110 is connected to a driving support device (ADASECU 111) for supporting driving of a mobile body, and the electronic control unit 1 is connected to the ADASECU 111 by a dedicated line 140 different from at least one bus 110. Then, the abnormality detection unit 10 notifies the ADASECU 111 of the detection result via the leased line 140, and the acquisition unit 40 causes the ADASECU 111 to determine at least one piece of identification information determined according to the notified detection result of the ADASECU 111. May be obtained from a driving support device (ADASECU 111) for supporting driving of a mobile body, and the electronic control unit 1 is connected to the ADASECU 111 by a dedicated line 140 different from at least one bus 110. Then, the abnormality detection unit 10 notifies the ADASECU 111 of the detection result via the leased line 140, and the acquisition unit 40 causes the ADASECU 111 to determine at least one piece of identification information determined according to the notified detection result of the ADASECU 111. May be obtained from
  • ADASECU 111 Since many sensors are connected to the ADASECU 111 and the ADASECU 111 has a high arithmetic processing capability for sensor information from these sensors, it is possible to cause such ADASECU 111 to determine at least one piece of identification information according to the detection result. It enables safer control of the moving body.
  • the electronic control unit 1 is connected to an external input unit 160 operated by an occupant of the moving body when an abnormality occurs in the moving body by a communication line different from at least one bus 110, and the control unit 60 is Further, the moving body may be controlled according to the operation on the external input unit 160.
  • the at least one piece of identification information may be information for identifying the control content corresponding to the state of the mobile body specified by the communication data in which no abnormality is detected.
  • the present disclosure is realized by the electronic control device 1 which is one device (for example, an ECU) mounted on a moving body such as a vehicle, but the present disclosure is not limited to this.
  • the present disclosure may be implemented by an electronic control device that is mounted on a mobile body and an electronic control system that is provided outside the mobile body and that is capable of communicating with the electronic control device, such as a server (management center or the like). Good. This will be described with reference to FIG.
  • FIG. 10 is a configuration diagram showing an example of an electronic control system 1a according to another embodiment.
  • the electronic control system 1a includes an electronic control device 100 mounted on a mobile body and a server 101 provided outside the mobile body.
  • the components included in the electronic control device 1 according to the embodiment are distributed and arranged in the electronic control device 100 and the server 101.
  • the abnormality detection unit 10 and the operation determination unit 20 are included in the server 101, and the other components are included in the electronic control device 100.
  • the electronic control system 1a includes a communication unit 90. Since the other points are the same as those in the electronic control system 1 in the embodiment, the description thereof will be omitted.
  • the communication unit 90 is connected to an external network (for example, the Internet) and transmits / receives communication data to / from the server 101.
  • an external network for example, the Internet
  • the electronic control system 1a can realize the function using the server 101. For example, with this function, it becomes possible to detect the abnormality in more detail and more accurately determine whether or not the abnormality has occurred in the moving body.
  • Any communication protocol such as wireless communication or wired communication may be applied to the communication between the electronic control device 100 and the server 101.
  • the constituent elements of the electronic control device 1 may be distributed and arranged in a plurality of devices (here, the electronic control device 100 and the server 101) in the electronic control system 1a.
  • the present disclosure may be realized by a function-intensive electronic control device such as a central ECU or a domain controller. This will be described with reference to FIG.
  • FIG. 11 is a configuration diagram showing an example of an electronic control device 1b according to another embodiment.
  • the electronic control unit 1b is connected to the ZoneECUs 124 and 125 via the buses 110 and 120. Further, the ZoneECU 124 is connected to the camera 1120 and the sensor 1130. Further, the ZoneECU 125 is connected to the brake 1210, the engine 1220, and the steering 1230.
  • the control unit 60 of the electronic control unit 1b integrates various control mechanisms related to various sensors and actuators connected to these ECUs. That is, the electronic control unit 1b cooperates while communicating with the ZoneECUs 124 and 125, and operates as a central ECU in which individual actuator ECUs and sensor ECUs are integrated. More specifically, the control unit 60 controls the behaviors of the camera 1120, the sensor 1130, the brake 1210, the engine 1220, the steering 1230, and the like in cooperation with the ZoneECUs 124 and 125 while communicating with each other.
  • the abnormality detection unit 10 can detect an abnormality in the communication data indicating the control content regarding the camera 1120, the sensor 1130, the brake 1210, the engine 1220, the steering 1230, and the like flowing on the buses 110 and 120.
  • the communication data includes, for example, CAN data in which an abnormality is detected, CAN data transmitted and received by a device connected to a bus through which CAN data in which an abnormality is detected flows, and CAN data for responding to the detected abnormality.
  • the control content can be identified by the CANID.
  • the acquisition part 40 can acquire this CANID, for example.
  • the control unit 60 performs the same control as the ADAS control based on the determination result of the motion by the motion determination unit 20, the content of the running state specified by the running state identifying unit 30, and the like.
  • the control unit 60 comprehensively considers the result of the abnormality detection by the abnormality detection unit 10, the determination result of the motion by the motion determination unit 20, the content of the traveling state specified by the traveling state identification unit 30, and the like, and determines the moving body.
  • the behavior of can be controlled. Further, for example, the behavior of the vehicle may be controlled with respect to the control content identified by the CANID in which the abnormality is detected.
  • the control unit 60 can perform ADAS control by the ADASECU 111 described in the embodiment.
  • the electronic control unit 1b also includes a GW / transmission / reception unit 70a.
  • the GW / transmission / reception unit 70a has the same function as the gateway ECU 150 in addition to the function of the transmission / reception unit 70 in the embodiment.
  • the function as the gateway ECU is similar to that of the gateway ECU 150, and detailed description thereof will be omitted.
  • CAN extended format CANFD (CAN with Flexible Data), TTCAN (Time Triggered CAN), Ethernet (registered trademark), LIN (Local Interconnect Network), MOST (MOST).
  • CANFD CAN with Flexible Data
  • TTCAN Time Triggered CAN
  • Ethernet registered trademark
  • LIN Local Interconnect Network
  • MOST MOST
  • a configuration using a communication method such as Media Oriented Systems Transport) and FlexRay may be used.
  • the present disclosure can be realized not only as the electronic control device 1 and the electronic control system 1a but also as an electronic control method including steps (processes) performed by the respective components configuring the electronic control device 1 and the electronic control system 1a. .
  • the electronic control method includes an electronic control device 1 (electronic control system 1a, which is connected to at least one bus 110 in a mobile body, through which communication data including identification information for identifying control content regarding the mobile body flows. ) Is an electronic control method. As shown in FIG. 5, the electronic control method detects an abnormality in communication data flowing in at least one bus 110 (step S103), and acquires at least one identification information according to the detection result (step S103). S104), the behavior of the moving body is controlled (step S109).
  • an electronic control device 1 electronic control system 1a, which is connected to at least one bus 110 in a mobile body, through which communication data including identification information for identifying control content regarding the mobile body flows.
  • the electronic control method detects an abnormality in communication data flowing in at least one bus 110 (step S103), and acquires at least one identification information according to the detection result (step S103). S104), the behavior of the moving body is controlled (step S109).
  • the steps in the electronic control method may be executed by a computer (computer system).
  • the present disclosure can be realized as a program that causes a computer to execute the steps included in the electronic control method.
  • the present disclosure can be realized as a non-transitory computer-readable recording medium such as a CD-ROM that records the program.
  • each step is executed by executing the program by using a hardware resource such as a CPU, a memory and an input / output circuit of a computer. . That is, each step is executed by the CPU acquiring data from the memory or the input / output circuit or the like and performing the calculation or outputting the calculation result to the memory or the input / output circuit or the like.
  • a hardware resource such as a CPU, a memory and an input / output circuit of a computer.
  • Each component included in the electronic control device 1 and the electronic control system 1a of the above-mentioned embodiment may be realized as a dedicated or general-purpose circuit.
  • Each component included in the electronic control device 1 and the electronic control system 1a according to the above-described embodiments may be realized as an LSI (Large Scale Integration) which is an integrated circuit (IC: Integrated Circuit).
  • LSI Large Scale Integration
  • IC integrated circuit
  • the integrated circuit is not limited to the LSI and may be realized by a dedicated circuit or a general-purpose processor.
  • a programmable FPGA (Field Programmable Gate Array) or a reconfigurable processor in which connection and setting of circuit cells inside the LSI can be reconfigured may be used.
  • the present disclosure can be applied to, for example, an apparatus for coping with an abnormality in communication data flowing through a network in an automobile, a construction machine, an agricultural machine, a ship, a railway, an airplane, or the like.

Landscapes

  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Mechanical Engineering (AREA)
  • Transportation (AREA)
  • Human Computer Interaction (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Multimedia (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Small-Scale Networks (AREA)
  • Control Of Driving Devices And Active Controlling Of Vehicle (AREA)
  • Traffic Control Systems (AREA)

Abstract

移動体における少なくとも１つのバス（１１０）に接続された電子制御装置（１）は、移動体の挙動を制御する制御部（６０）と、少なくとも１つのバス（１１０）に流れる、移動体の挙動に関する制御内容を識別するための識別情報を含む通信データの異常を検知する異常検知部（１０）と、当該検知の結果に応じた少なくとも１つの識別情報を取得する取得部（４０）と、を備える。

Description

電子制御装置、電子制御方法及びプログラム
　本開示は、車両等の移動体の異常時の制御に関する電子制御装置、電子制御方法及びプログラムに関する。
　例えば、ＣＡＮ（Controller Area Network）プロトコルに従って車両内のバスを介してＣＡＮフレームの送受信を行う複数の電子制御ユニット（ＥＣＵ：Electronic Control Unit）を備える車載ネットワークシステムにおいて、遠隔からサイバー攻撃が行われると、車載ネットワークシステムを搭載した車両等の移動体は、攻撃者に乗っ取られて移動体の乗員又はコントロールセンター等による制御が不能となる場合がある。そこで、例えば、車載ネットワークシステムにおける異常を検知し、検知された異常に関連するＣＡＮＩＤを含むＣＡＮフレームを破棄する技術が開示されている（例えば特許文献１）。これにより、攻撃者による不正なＣＡＮフレームが破棄されるため、移動体が攻撃者に乗っ取られてしまうことを抑制できる。
国際公開第２０１８／０７０１５５号
　車両等の移動体に異常が発生したときに、移動体を安全に停止させることが求められている。上記特許文献１に開示された技術では、検知された異常に関連するＣＡＮＩＤを含む全てのＣＡＮフレームが破棄されるため、例えば、先進運転支援システム（ＡＤＡＳ：Advanced Drive Assistance System）による移動体の制御のためのＣＡＮフレームも破棄されてしまい得る。この場合、ＡＤＡＳ制御又は自動緊急停止等を行うことができず、移動体を安全に停止させることができないことがある。
　そこで、本開示は、移動体に異常が発生したときに移動体を安全に停止させることができる電子制御装置等を提供する。
　上記目的を達成するために本発明の一態様に係る電子制御装置は、移動体における少なくとも１つのバスに接続された電子制御装置であって、前記少なくとも１つのバスに流れる、前記移動体に関する制御内容を識別するための識別情報を含む通信データの異常を検知する異常検知部と、前記検知の結果に応じた少なくとも１つの識別情報を取得する取得部と、前記少なくとも１つの識別情報を含む通信データを無効化する無効化部と、前記少なくとも１つの識別情報に基づいて前記移動体を制御する制御部と、を備える。
　また、上記目的を達成するために本発明の一態様に係る電子制御方法は、移動体における少なくとも１つのバスに接続された電子制御装置における電子制御方法であって、前記少なくとも１つのバスに流れる、前記移動体に関する制御内容を識別するための識別情報を含む通信データの異常を検知し、前記検知の結果に応じた少なくとも１つの識別情報を取得し、前記少なくとも１つの識別情報を含む通信データを無効化し、前記少なくとも１つの識別情報に基づいて前記移動体を制御する。
　また、上記目的を達成するために本発明の一態様に係るプログラムは、上記の電子制御方法をコンピュータに実行させるプログラムである。
　本開示によれば、移動体に異常が発生したときに移動体を安全に停止させることができる。
図１は、実施の形態における電子制御装置の一例を示す構成図である。 図２は、ＣＡＮプロトコルで規定されるデータフォーマットを示す図である。 図３は、車両の状態と車両の制御内容との対応関係の一例を示すテーブルである。 図４は、車両の制御内容と識別情報との対応関係の一例を示すテーブルである。 図５は、実施の形態における電子制御装置の動作の一例を示すフローチャートである。 図６は、実施の形態における電子制御装置の動作を説明するための図である。 図７は、実施の形態の変形例１における電子制御装置の一例を示す構成図である。 図８は、実施の形態の変形例２における電子制御装置の一例を示す構成図である。 図９は、実施の形態の変形例３における電子制御装置の一例を示す構成図である。 図１０は、その他の実施の形態における電子制御システムの一例を示す構成図である。 図１１は、その他の実施の形態における電子制御装置の一例を示す構成図である。
　（実施の形態）
　以下、実施の形態における電子制御装置について図面を参照しながら説明する。
　［１　電子制御装置の構成］
　図１は、実施の形態における電子制御装置１の一例を示す構成図である。なお、図１には、電子制御装置１に接続される構成についても示されている。
　電子制御装置１は、例えば、移動体に搭載される装置である。以下では、移動体を自動車等の車両として説明するが、移動体は、自動車に限らず建機、農機、船舶、鉄道、ロボット又は飛行機などであってもよい。
　電子制御装置１は、例えば、ＣＡＮプロトコルに従って通信する車載ネットワークに接続されるＥＣＵの一例である。車載ネットワークは、制御装置、センサ、アクチュエータ、ユーザインタフェース装置等の各種機器が搭載された車両におけるネットワークである。電子制御装置１は、車両における少なくとも１つのバスに接続される。少なくとも１つのバスには、車両に関する制御内容を識別するための識別情報を含む通信データが流れる。本実施の形態では、電子制御装置１は、少なくとも１つのバスとして、少なくとも２つのバスに接続され、具体的には、図１に示すように、２つのバス１１０及び１２０に接続される。本実施の形態では、バス１１０及び１２０、通信データ並びに識別情報は、それぞれＣＡＮプロトコルに従ったＣＡＮバス、ＣＡＮフレーム及びＣＡＮＩＤである。
　少なくとも２つのバス（バス１１０及び１２０）には、電子制御装置１を含む複数のＥＣＵが接続される。例えば、図１には、複数のＥＣＵの一例として、電子制御装置１、ＡＤＡＳＥＣＵ１１１（運転支援装置）、カメラＥＣＵ１１２、センサＥＣＵ１１３、ブレーキＥＣＵ１２１、エンジンＥＣＵ１２２、ステアリングＥＣＵ１２３及びゲートウェイＥＣＵ１５０（ゲートウェイ装置）が示されている。なお、車両におけるバスには、これらのＥＣＵ以外にもいくつものＥＣＵが接続され得るが、ここでは、一例としてこれらのＥＣＵのみを示している。
　電子制御装置１を含む複数のＥＣＵは、それぞれ、例えば、プロセッサ及びメモリ等のデジタル回路、アナログ回路及び通信回路等を含む装置である。メモリは、ＲＯＭ、ＲＡＭ等であり、プロセッサにより実行されるプログラムを記憶することができる。例えばプロセッサが、プログラムに従って動作することにより、電子制御装置１及び各ＥＣＵは各種機能を実現することになる。電子制御装置１及び各ＥＣＵは、ＣＡＮプロトコルに従って車両内のバス１１０及び１２０を介して通信データの送受信を行う。
　ゲートウェイＥＣＵ１５０は、一のバスから他のバスへ通信データを転送するゲートウェイ装置である。ここでは、少なくとも２つのバス（バス１１０及び１２０）には、ゲートウェイＥＣＵ１５０が接続され、ゲートウェイＥＣＵ１５０は、バス１１０からバス１２０へ通信データを転送し、また、バス１２０からバス１１０へ通信データを転送する。なお、電子制御装置１が、ゲートウェイＥＣＵ１５０の機能を有していてもよい。
　例えば、ＡＤＡＳＥＣＵ１１１は、カメラＥＣＵ１１２及びセンサＥＣＵ１１３からバス１１０を介して車両の周囲のセンシング結果を取得する。当該センシング結果は、例えば、カメラ、ＬＩＤＡＲ（Light Detection and Ranging）、レーダー又はソナーなどの車両の周囲環境についてのセンサ情報である。ＡＤＡＳＥＣＵ１１１は、当該センサ情報を用いて、例えば、パーキングアシスト、クルーズコントロール又は衝突被害軽減ブレーキ等のＡＤＡＳ制御を行うための識別情報（ＣＡＮＩＤ）を含む通信データ（ＣＡＮフレーム）を生成し、当該通信データをバス１１０、ゲートウェイＥＣＵ１５０及びバス１２０を介してブレーキＥＣＵ１２１、エンジンＥＣＵ１２２及びステアリングＥＣＵ１２３等へ送信する。これにより、ブレーキＥＣＵ１２１、エンジンＥＣＵ１２２及びステアリングＥＣＵ１２３等が制御されてＡＤＡＳ制御が行われる。
　電子制御装置１は、異常検知部１０、動作判定部２０、走行状態特定部３０、取得部４０、無効化部５０、制御部６０、送受信部７０及び記憶部８０を備える。送受信部７０は、電子制御装置１が有する通信回路等により実現される。送受信部７０は、バス１１０及び１２０に接続され、バス１１０及び１２０から通信データを受信し、また、バス１１０及び１２０へ通信データを送信する。記憶部８０は、ＲＯＭ、ＲＡＭ等のメモリであり、プロセッサにより実行されるプログラムを記憶する。また、記憶部８０は、後述する、車両の状態と車両の制御内容との対応関係を示すテーブル及び車両の制御内容と識別情報との対応関係を示すテーブルを記憶する。なお、電子制御装置１は、１つのメモリを有していてもよく、また、複数のメモリを有していてもよく、ここでは、１つ又は複数のメモリを記憶部８０として示している。例えば、電子制御装置１が有するプロセッサが、記憶部８０に記憶されたプログラムに従って動作することにより、異常検知部１０、動作判定部２０、走行状態特定部３０、取得部４０、無効化部５０及び制御部６０等の機能構成要素が実現される。
　異常検知部１０は、少なくとも１つのバス（ここではバス１１０及び１２０）に流れる、車両の挙動に関する制御内容を識別するための識別情報を含む通信データの異常を検知する。具体的には、異常検知部１０は、送受信部７０を介して受信された、バス１１０及び１２０に流れる、ＣＡＮＩＤを含むＣＡＮフレームの異常を検知する。異常検知部１０は、例えば、ＣＡＮフレームに含まれるＣＡＮＩＤ、ＤＬＣ及びデータフィールド内の制御パラメータや、ＣＡＮフレーム自体の受信周期や受信頻度などを確認し、当該ＣＡＮフレームが正常動作時と比べて、正常か否かを判断する。なお、通信データの異常を検知する方法については、一般的に開示されている任意の方法でよく、ここではその説明は省略する。異常検知部１０が検知した異常についてのログ（異常ログと呼ぶ）は、例えば記憶部８０に記憶される。
　動作判定部２０は、異常ログに基づいて、車両が異常となっているか否かを判定する。動作判定部２０は、車両が異常で安全走行が困難となっている場合には、電子制御装置１を縮退動作モードへ移行させる。縮退動作モードは、車両の縮退制御を行うモードである。縮退制御とは、車両を安全に停止させるための制御のことであり、車両を車道の端（路肩）に寄せるようにステアリングを制御したり、車両を減速させるためにエンジン又はブレーキを制御したりすることである。動作判定部２０は、異常ログがある一定以上たまった場合に、車両が異常で安全走行が困難となっていると判定する。１つの異常ログだけからでは、具体的にどのような異常が発生しているか、また、本当に異常が発生しているか等を判定するのが難しいためである。なお、動作判定部２０は、致命的な異常が発生した場合に、車両が異常で安全走行が困難となっていると判定してもよい。
　走行状態特定部３０は、車両の状態（走行状態）を特定する。例えば、走行状態特定部３０は、送受信部７０を介して受信された、カメラＥＣＵ１１２及びセンサＥＣＵ１１３等のセンシング結果を用いて車両の状態を特定する。走行状態特定部３０は、車両の状態として、具体的には、車両の車速、どの車線を走行しているか、又は、前方、後方若しくは左右に他の車両が存在するか等を特定する。走行状態特定部３０は、例えば、カメラＥＣＵ１１２及びセンサＥＣＵ１１３等のセンシング結果のうち、異常検知部１０によって異常が検知されなかった通信データによって、車両の状態を特定する。異常が検知された通信データが用いられた場合、当該通信データが不正に書き換えられていることで、車両の状態を正しく特定できないおそれがあるためである。
　取得部４０は、異常検知部１０の異常の検知の結果に応じた少なくとも１つの識別情報を取得する。識別情報は、上述したように、車両に関する制御内容を識別するための情報であり、具体的にはＣＡＮＩＤである。異常検知部１０の異常の検知の結果に応じた少なくとも１つの識別情報は、例えば、異常が検知された通信データに含まれる識別情報（具体的には攻撃者からバス１１０等へ注入された異常フレームに含まれるＣＡＮＩＤ等）、異常が検知された通信データが流れるバスに接続されたＥＣＵが送受信する通信データに含まれる識別情報（具体的には異常が検知されたＣＡＮフレームが流れるバス１１０に接続されたＡＤＡＳＥＣＵ１１１が送受信するＡＤＡＳフレームに含まれるＣＡＮＩＤ等）、又は、検知された異常に対応するための通信データ（縮退制御を行うための通信データ）に含められる識別情報（具体的にはブレーキＥＣＵ１２１、エンジンＥＣＵ１２２又はステアリングＥＣＵ１２３等に縮退制御を行わせるためのフレームに含められるＣＡＮＩＤ等）等を含む。取得部４０は、少なくとも１つの識別情報として、複数の識別情報を取得してもよい。取得部４０は、例えば、異常検知部１０の異常の検知の結果と、車両の状態と車両の制御内容との対応関係を示すテーブル及び車両の制御内容と識別情報との対応関係を示すテーブルに基づいて決定された少なくとも１つの識別情報を取得する。これらのテーブルについては後述する。
　無効化部５０は、異常が検知された少なくとも１つの識別情報を含む通信データを無効化する。具体的には、無効化部５０は、少なくとも１つのバス（ここではバス１１０及び１２０）に流れる当該通信データを無効化する。詳細は後述する図５及び図６で説明するが、無効化部５０は、例えばエラーフレームを発行し、当該エラーフレームを異常が検知された通信データが流れるバスへ、送受信部７０を介して送信することで、当該バスに流れている少なくとも１つの識別情報を含む通信データを無効化する。
　制御部６０は、車両の挙動を制御する。例えば、制御部６０は、取得部４０が取得する少なくとも１つの識別情報によって識別される制御内容に関して、車両の挙動を制御する。具体的には、制御部６０は、異常検知部１０に検知された異常に対応するための通信データに含められる識別情報に基づいて車両を制御する。制御部６０の動作については、後述する図５及び図６で説明する。
　［２　データフレームフォーマット］
　以下、ＣＡＮプロトコルに従ったネットワークで用いられる通信データ（ＣＡＮフレーム）の１つであるデータフレームについて説明する。
　図２は、ＣＡＮプロトコルで規定されるデータフレームのフォーマットを示す図である。同図には、ＣＡＮプロトコルで規定される標準ＩＤフォーマットにおけるデータフレームを示している。データフレームは、ＳＯＦ（Start Of Frame）、ＩＤフィールド、ＲＴＲ（Remote Transmission Request）、ＩＤＥ（Identifier Extension）、予約ビット「ｒ」、ＤＬＣ（Data Length Code）、データフィールド、ＣＲＣ（Cyclic Redundancy Check）シーケンス、ＣＲＣデリミタ「ＤＥＬ」、ＡＣＫ（Acknowledgement）スロット、ＡＣＫデリミタ「ＤＥＬ」、及び、ＥＯＦ（End Of Frame）の各フィールドで構成される。ここでは、ＳＯＦ、ＲＴＲ、ＩＤＥ、予約ビット「ｒ」、ＤＬＣ、ＣＲＣシーケンス、ＣＲＣデリミタ「ＤＥＬ」、ＡＣＫスロット、ＡＣＫデリミタ「ＤＥＬ」、及び、ＥＯＦについての説明は省略する。
　ＩＤフィールドは、１１ｂｉｔで構成される、データの種類を示す値であるＣＡＮＩＤを格納するフィールドである。複数のノードが同時に送信を開始した場合、このＩＤフィールドで通信調停を行うために、ＩＤが小さい値を持つフレームが高い優先度となるよう設計されている。
　データフィールドは、最大６４ｂｉｔで構成され、データを格納するフィールドである。
　ＣＡＮフレームを送信する各ＥＣＵは、車載ネットワークの仕様として予め定められた種類のデータをデータフィールドに格納し、その種類のデータに対応して予め定められたＣＡＮＩＤをＩＤフィールドに格納することでデータフレームを構築して送信することになる。車両メーカ等により、車載ネットワークの仕様として、ＣＡＮフレームに用いられるＣＡＮＩＤと、対応するデータの構成等とが予め定められている。
　［３　車両の状態と車両の制御内容との対応関係を示すテーブル］
　以下、取得部４０が取得する少なくとも１つの識別情報を決定する際に用いられる、車両の状態と車両の制御内容との対応関係を示すテーブルについて、図３を用いて説明する。
　図３は、車両の状態と車両の制御内容との対応関係の一例を示すテーブルである。具体的には、図３は、車両の走行状態と車両の縮退制御の内容との対応関係を示すテーブルである。例えば、当該テーブルは、記憶部８０に予め記憶されている。
　例えば、動作判定部２０により車両に異常が発生したと判定されたときに、走行状態特定部３０により特定された車両の走行状態と当該テーブルとによって、縮退制御の内容が決定される。以下では、縮退制御として、車両を路肩へ停止させるための制御について説明する。
　例えば、車両に異常が発生したときの車両の走行状態が、車両が走行車線を走行中の状態、かつ、車両の後方に車両が存在しない状態の場合には、路肩寄せ及び急減速を行うという縮退制御の内容が決定される。車両が走行車線を走行中であるため、車両を当該走行車線の路肩に寄せることができ、また、後方に車両が存在していないことから急減速することができるためである。
　例えば、車両に異常が発生したときの車両の走行状態が、車両が走行車線を走行中の状態、かつ、車両の後方に車両が存在する状態の場合には、路肩寄せ及びゆっくり減速を行うという縮退制御の内容が決定される。車両が走行車線を走行中であるため、車両を当該走行車線の路肩に寄せることができ、また、後方に車両が存在していることから、後方の車両の追突防止のため急減速できずゆっくり減速する必要があるためである。
　また、例えば、車両に異常が発生したときの車両の走行状態が、車両が追越車線を走行中の状態、かつ、走行車線に車両が存在しない状態の場合には、走行車線へ車線変更をするという縮退制御の内容が決定される。車両に異常が発生したときに車両が追越車線を走行しており、車両を路肩に寄せるためには、まず走行車線へ車線変更をする必要があり、走行車線に車両が存在していないことから、走行車線に車線変更をすることができるためである。
　また、例えば、車両に異常が発生したときの車両の走行状態が、車両が追越車線を走行中の状態、かつ、走行車線に車両が存在する状態の場合には、ゆっくり減速するという縮退制御の内容が決定される。車両に異常が発生したときに車両が追越車線を走行しており、車両を路肩に寄せるためには、まず走行車線へ車線変更をする必要があるが、走行車線に車両が存在していることから、走行車線に車線変更をすることができず、ゆっくり減速しながら走行車線への車線変更が可能なタイミングまで待つためである。
　なお、縮退制御中であること又は縮退制御を行おうとしていることを外部に知らせるために、ハザード又はストップランプ等の点灯をこれらの制御に合わせて行ってもよい。
　このように、車両の走行状態を当該テーブルに照合することで、縮退制御を決定できる。
　［４　車両の制御内容と識別情報との対応関係を示すテーブル］
　以下、取得部４０が取得する識別情報を決定する際に用いられる、車両の制御内容と識別情報との対応関係を示すテーブルについて、図４を用いて説明する。
　図４は、車両の制御内容と識別情報との対応関係の一例を示すテーブルである。具体的には、図４には、縮退制御の内容と識別情報としてＣＡＮＩＤとの対応関係だけでなく、各縮退制御を行うＥＣＵ及び各縮退制御の詳細な内容として、各縮退制御が行われる周期及び制御変化量が示されている。例えば、これらの縮退制御のうちの「ゆっくり減速」について着目して説明する。「ゆっくり減速」という縮退制御の場合には、エンジンブレーキによる減速を行うため、エンジン制御を行うＣＡＮフレームであるＣＡＮＩＤ「０ｘ１２３」が対応付けられており、ＣＡＮＩＤ「０ｘ１２３」によって、エンジンＥＣＵ１２２に対して「２０　ｍｓ」の周期で現在の車速に対して「ｍ　ｋｍ／ｓ」の変化量で車速が減少するように制御させる制御内容を識別することができる。つまり、ＣＡＮＩＤ「０ｘ１２３」を含むＣＡＮフレームをバス１２０に送信することで、エンジンＥＣＵ１２２は、当該ＣＡＮフレームを取得し、ＣＡＮＩＤ「０ｘ１２３」によって識別される上記制御内容を行うことができる。
　このように、縮退制御を当該テーブルに照合することで、識別情報を決定できる。したがって、特定された車両の状態と、車両の状態と車両の制御内容との対応関係を示すテーブルと、車両の制御内容と識別情報との対応関係を示すテーブルとに応じて、少なくとも１つの識別情報を決定することができ、取得部４０は決定された少なくとも１つの識別情報を取得することができる。なお、当該決定は電子制御装置１が備える機能構成要素のいずれが行ってもよい。例えば、取得部４０は、走行状態特定部３０が特定した車両の走行状態と、記憶部８０に記憶された上記各テーブルとに応じて識別情報を決定し、決定した識別情報を取得してもよい。
　なお、取得部４０は、車両の走行状態と上記各テーブルとに応じて決定される識別情報の他に、異常が検知された通信データに含まれる識別情報（具体的には攻撃者からバス１１０等へ注入された異常フレームに含まれるＣＡＮＩＤ等）、又は、異常が検知された通信データが流れるバスに接続されたＥＣＵが送受信する通信データに含まれる識別情報（具体的には異常が検知されたＣＡＮフレームが流れるバス１１０に接続されたＡＤＡＳＥＣＵ１１１が送受信するＡＤＡＳフレームに含まれるＣＡＮＩＤ等）を取得する。
　［５　電子制御装置の動作］
　次に、電子制御装置１の動作について、図５及び図６を用いて説明する。
　図５は、実施の形態における電子制御装置１の動作の一例を示すフローチャートである。
　まず、送受信部７０は、ＣＡＮフレーム（通信データ）をバス１１０及び１２０から受信する（ステップＳ１０１）。例えば、様々なＣＡＮＩＤのＣＡＮフレームが、バス１１０及び１２０上を数ミリ秒等の周期で次々と流れており、ステップＳ１０１での処理が数ミリ秒等の間隔で繰り返し行われることで、当該様々なＣＡＮＩＤのＣＡＮフレームのそれぞれが受信される。
　次に、電子制御装置１は、電子制御装置１が縮退動作モードとなっているか否かを判定する（ステップＳ１０２）。なお、当該判定は、電子制御装置１が備える機能構成要素のいずれに行われてもよく、ここでは、電子制御装置１が当該判定を行うとしている。なお、以降についても、電子制御装置１が備える機能構成要素のいずれが行ってもよい判定については、電子制御装置１が行うとしている。後述するステップＳ１３において車両に異常があると判定されている場合には、電子制御装置１は縮退動作モードとなる。
　電子制御装置１が縮退動作モードとなっていない場合（ステップＳ１０２でＮＯ）、つまり、車両に異常がないと判定されている場合、動作判定部２０は、異常検知部１０が検知し蓄積した異常ログに基づいて、車両に異常があるか否かを判定する（ステップＳ１０３）。例えば、上述したように、動作判定部２０は、記憶部８０に異常ログがある一定以上たまっているか否かに応じて車両に異常があるか否かを判定する。
　車両に異常がない場合（ステップＳ１０３でＮＯ）、次のＣＡＮフレームの受信待ちをして、再度ステップＳ１０１からの処理が行われる。
　車両に異常がある場合（ステップＳ１０３でＹＥＳ）、取得部４０は、異常の検知の結果に応じた制御対象ＩＤを取得する（ステップＳ１０３）。なお、ＣＡＮＩＤは、車両に関する制御内容を識別するための識別情報であり、制御内容を識別することで制御対象（つまり制御されるＥＣＵ）も識別できることから、制御対象ＩＤとも呼んでいる。当該制御対象ＩＤは、上述したように、異常が検知されたＣＡＮフレームに含まれるＣＡＮＩＤ、異常が検知されたＣＡＮフレームが流れるバスに接続されたＥＣＵが送受信するＣＡＮフレームに含まれるＣＡＮＩＤ、又は、検知された異常に対応するためのＣＡＮフレームに含められるＣＡＮＩＤ等である。
　車両に異常があることから、電子制御装置１は当該異常に対応するための縮退制御を行うモードである縮退動作モードへ移行する（ステップＳ１０５）。そして、次のＣＡＮフレームの受信待ちをして、再度ステップＳ１０１からの処理が行われる。これにより、以降、ステップＳ１０２での処理は、ＹＥＳへと進むことになる。
　送受信部７０が次のＣＡＮフレームを受信し（ステップＳ１０１）、電子制御装置１が縮退動作モードとなっている場合（ステップＳ１０２でＹＥＳ）、電子制御装置１は、ステップＳ１０１で受信したＣＡＮフレームに、取得部４０に取得された制御対象ＩＤが含まれているか否か判定する（ステップＳ１０６）。
　ステップＳ１０１で受信したＣＡＮフレームに、当該制御対象ＩＤが含まれていない場合（ステップＳ１０６でＮＯ）、次のＣＡＮフレームの受信待ちをして、再度ステップＳ１０１からの処理が行われ、再度ステップＳ１０６での判定が行われる。
　ステップＳ１０１で受信したＣＡＮフレームに、当該制御対象ＩＤが含まれている場合（ステップＳ１０６でＹＥＳ）、無効化部５０は、バスに流れている、当該制御対象ＩＤを含む当該ＣＡＮフレームを無効化する（ステップＳ１０７）。ステップＳ１０７での処理について図６を用いて説明する。
　図６は、実施の形態における電子制御装置１の動作を説明するための図である。図６では、信号（情報）の流れを実線又は破線の矢印Ａ～Ｄで示している。また、図６には、電子制御装置１が接続された車載ネットワークへの攻撃を行う攻撃者３００を模式的に示している。
　図６では、攻撃者３００がバス１１０に矢印Ｂで示すＣＡＮフレーム（異常フレーム）を注入しており、バス１１０においてＣＡＮフレームの異常が検知されている。このため、制御対象ＩＤは、異常の検知の結果に応じた少なくとも１つの識別情報として、例えば、異常が検知された矢印Ｂで示すＣＡＮフレームに含まれるＣＡＮＩＤを含む。また、バス１１０においてＣＡＮフレームの異常が検知されたため、当該制御対象ＩＤは、異常の検知の結果に応じた少なくとも１つの識別情報として、異常が検知されたＣＡＮフレームが流れるバス１１０に接続されたＥＣＵ（例えばＡＤＡＳＥＣＵ１１１）が送受信する矢印Ｃで示すＣＡＮフレームに含まれるＣＡＮＩＤを含む。このように、制御対象ＩＤは、複数存在していてもよい。無効化部５０は、バス１１０に流れているこれらの制御対象ＩＤを含むＣＡＮフレームを無効化するために、バス１１０へ矢印Ａで示す当該ＣＡＮフレームを無効化するための無効化情報（ここでは例えばエラーフレーム）を、送受信部７０を介して送信する。これにより、バス１１０においてこれらの制御対象ＩＤを含むＣＡＮフレームを無効化できる。
　図５に示すように、電子制御装置１は、無効化されたＣＡＮフレームが正しい送信周期で送信されたものであったか否かを判定する（ステップＳ１０８）。バスに流れるＣＡＮフレームは、通常は一定の周期で送信されるが、攻撃者３００から当該一定の周期と異なるタイミングでＣＡＮフレームが注入される場合がある。後述するステップＳ１０９での処理において、無効化されたＣＡＮフレームが送信されたタイミングにおいて車両が制御されるが、無効化されたＣＡＮフレームが正しい送信周期で送信されたものでなかった場合、当該一定の周期とずれて車両の制御が行われることになり、正しく車両を制御できないおそれがある。そこで、ステップＳ１０８において、無効化されたＣＡＮフレームが正しい送信周期で送信されたものであったか否かが判定される。
　無効化されたＣＡＮフレームが正しい送信周期で送信されたものでなかった場合（ステップＳ１０８でＮＯ）、次のＣＡＮフレームの受信待ちをして、再度ステップＳ１０１からの処理が行われ、再度ステップＳ１０６での判定が行われる。
　無効化されたＣＡＮフレームが正しい送信周期で送信されたものであった場合（ステップＳ１０８でＹＥＳ）、制御部６０は、制御対象ＩＤに基づいて車両を制御する（ステップＳ１０９）。ここでの制御対象ＩＤは、異常の検知の結果に応じた少なくとも１つの識別情報として、例えば、検知された異常に対応するためのＣＡＮフレームに含められるＣＡＮＩＤである。例えば、制御部６０は、縮退制御を行うためのＣＡＮＩＤとして、図４に示すＣＡＮＩＤ「０ｘ２３４」を含むＣＡＮフレームを生成し、図６における矢印Ｄに示すように、送受信部７０を介してバス１２０へ当該ＣＡＮフレームを送信する。これにより、ブレーキＥＣＵ１２１は、当該ＣＡＮフレームを取得し、当該ＣＡＮフレームに基づいて車両が急減速するようにブレーキを制御する。また、例えば、制御部６０は、縮退制御を行うためのＣＡＮＩＤとして、図４に示すＣＡＮＩＤ「０ｘ３４５」を含むＣＡＮフレームを生成し、送受信部７０を介してバス１２０へ当該ＣＡＮフレームを送信する。これにより、ステアリングＥＣＵ１２３は、当該ＣＡＮフレームを取得し、当該ＣＡＮフレームに基づいて車両が路肩寄せ又は車線変更をするようにステアリングを制御する。
　このように、ＡＤＡＳＥＣＵ１１１からのＣＡＮフレームが無効化されたとしても、本来ＡＤＡＳＥＣＵ１１１によって行われるような制御を電子制御装置１によって行うことができ、車両に異常が発生したときに車両を安全に停止させることができる。
　次に、電子制御装置１は、車両が停止したか、又は、異常が解消したか否かを判定する（ステップＳ１１０）。車両が停止していないか、又は、異常が解消していない場合（ステップＳ１１０でＮＯ）、図４に示すように、縮退制御を行うためのＣＡＮフレームは、特定の周期ごとの各ＥＣＵへの制御変化量を含むため、ステップＳ１０１からステップＳ１０９までの処理が当該特定の周期ごとに行われる。これにより、徐々に車両の車速が落ちていき最終的に車両が停止し（ステップＳ１１０でＹＥＳ）、処理が終了する。また、車両の減速中に異常が解消した場合には（ステップＳ１１０でＹＥＳ）、車両に異常がなくなり停止する必要がないため処理が終了する。
　［６　変形例１］
　なお、制御対象ＩＤを含むＣＡＮフレームを無効化するための無効化情報としてエラーフレームがバスに送信されることで、バス上で制御対象ＩＤを含むＣＡＮフレームが無効化されたが、ゲートウェイＥＣＵ１５０において無効化されてもよい。これについて変形例１として、図７を用いて説明する。
　図７は、実施の形態の変形例１における電子制御装置１の一例を示す構成図である。変形例１では、電子制御装置１に専用線１３０が接続されており、無効化部５０からの無効化情報の送信先がゲートウェイＥＣＵ１５０である。これらの点以外は、上記実施の形態におけるものと同じであるため、説明は省略する。
　電子制御装置１は、ゲートウェイＥＣＵ１５０と少なくとも２つのバス（ここではバス１１０及び１２０）とは異なる専用線１３０で接続され、無効化部５０は、無効化情報を、ゲートウェイＥＣＵ１５０に対して専用線１３０を介して送信する。例えば、専用線１３０は、外部と接続されないような通信線であり、外部からの攻撃に強い通信線である。例えば、専用線１３０は、イーサネット（登録商標）において用いられる通信線である。図７に示すように、ゲートウェイＥＣＵ１５０において、矢印Ｂ及びＣに示すようなＣＡＮフレームを遮断することができ、例えば、バス１１０からバス１２０へ当該ＣＡＮフレームが転送されることを抑制できる。
　［７　変形例２］
　また、図３に示す車両の状態と車両の制御内容との対応関係を示すテーブル、及び、図４に示す車両の制御内容と識別情報との対応関係を示すテーブルは、電子制御装置１が備える記憶部８０に記憶されていたが、ＡＤＡＳＥＣＵ１１１が備える記憶部（メモリ等）に記憶されていてもよい。これについて変形例２として、図８を用いて説明する。
　図８は、実施の形態の変形例２における電子制御装置１の一例を示す構成図である。
　変形例２では、電子制御装置１は、少なくとも１つのバス（ここではバス１１０及び１２０）とは異なる専用線１４０でＡＤＡＳＥＣＵ１１１と接続され、取得部４０は、ＡＤＡＳＥＣＵ１１１が決定した少なくとも１つの識別情報を取得する。これらの点以外は、上記実施の形態におけるものと同じであるため、説明は省略する。
　異常検知部１０は、専用線１４０を介してＡＤＡＳＥＣＵ１１１へ検知の結果を通知する。例えば、専用線１４０は、イーサネット（登録商標）において用いられる通信線である。
　ＡＤＡＳＥＣＵ１１１は、異常検知部１０から送受信部７０及び専用線１４０を介して異常の検知の結果を取得する。ＡＤＡＳＥＣＵ１１１は、例えば、カメラＥＣＵ１１２及びセンサＥＣＵ１１３等のセンシング結果のうち、異常検知部１０によって異常が検知されなかった通信データによって、車両の状態を特定する。ＡＤＡＳＥＣＵ１１１は、車両の状態として、具体的には、車両の車速、どの車線を走行しているか、又は、前方、後方若しくは左右に他の車両が存在するか等を特定する。また、ＡＤＡＳＥＣＵ１１１は、動作判定部２０から、車両が異常となっているか否かの判定の結果を、送受信部７０及び専用線１４０を介して取得する。
　ＡＤＡＳＥＣＵ１１１は、動作判定部２０により車両に異常が発生したと判定されたときに、ＡＤＡＳＥＣＵ１１１が特定した車両の走行状態と、ＡＤＡＳＥＣＵ１１１に記憶された車両の状態と車両の制御内容との対応関係を示すテーブルとによって、縮退制御の内容を決定する。
　また、ＡＤＡＳＥＣＵ１１１は、決定した縮退制御の内容を、ＡＤＡＳＥＣＵ１１１に記憶された車両の制御内容と識別情報との対応関係を示すテーブルに照合することで、少なくとも１つの識別情報を決定する。ＡＤＡＳＥＣＵ１１１は、決定した少なくとも１つの識別情報を電子制御装置１へ送信する。
　そして、取得部４０は、ＡＤＡＳＥＣＵ１１１が異常検知部１０から通知された検知の結果に応じて決定した少なくとも１つの識別情報を、ＡＤＡＳＥＣＵ１１１から取得する。
　このように、ＡＤＡＳＥＣＵ１１１に異常検知部１０の検知の結果を通知し、ＡＤＡＳＥＣＵに少なくとも１つの識別情報を決定させて、取得部４０は、ＡＤＡＳＥＣＵ１１１が決定した少なくとも１つの識別情報を取得してもよい。
　［８　変形例３］
　また、電子制御装置１は、外部入力部１６０に接続されていてもよい。これについて変形例３として、図９を用いて説明する。
　図９は、実施の形態の変形例３における電子制御装置１の一例を示す構成図である。
　変形例３では、電子制御装置１は、外部入力部１６０に少なくとも１つのバス（ここではバス１１０及び１２０）とは異なる通信線で接続され、制御部６０は、さらに、外部入力部１６０への操作に応じて車両を制御する。例えば、外部入力部１６０は、車両に異常が発生したときに車両の乗員に操作される緊急停止装置等である。異常検知部１０が検知できないような異常又は未知の攻撃に対して、車両の乗員自身が状況を判断して外部入力部１６０を操作することで、車両を制御（例えば緊急停止等）することができる。
　［９　まとめ］
　以上説明したように、本実施の形態に係る電子制御装置１は、移動体（車両）における少なくとも１つのバス１１０に接続されたシステムである。電子制御装置１は、移動体の挙動を制御する制御部６０と、少なくとも１つのバス１１０に流れる、移動体の挙動に関する制御内容を識別するための識別情報を含む通信データの異常を検知する異常検知部１０と、当該検知の結果に応じた少なくとも１つの識別情報を取得する取得部４０と、を備える。また、制御部６０は、取得部４０が取得する少なくとも１つの識別情報によって識別される制御内容に関して、移動体の挙動を制御してもよい。また、電子制御装置１は、異常が検知された少なくとも１つの識別情報を含む通信データを無効化する無効化部５０をさらに備えていてもよい。
　例えば、移動体におけるバス１１０において発生した異常を具体的に特定することは難しい。そこで、例えば、異常の検知の結果に応じた少なくとも１つの識別情報として、異常に関連し得る全ての識別情報が取得され、取得された識別情報を含む通信データが全て無効化される。このように、不正な通信データのみをピンポイントで無効化することは難しいため、正常な通信データも含めて無効化される。このとき、例えば、ＡＤＡＳ制御又は自動緊急停止等に関する識別情報を含む通信データも無効化されＡＤＡＳＥＣＵ１１１による移動体の制御が不能となる場合がある。これに対して、本開示によれば、無効化された識別情報に基づいて、ＡＤＡＳＥＣＵ１１１の代わりに電子制御装置１が移動体を制御する。つまり、ＡＤＡＳ制御等に関する識別情報を含む通信データが無効化されたとしても、その無効化された識別情報による制御を別途電子制御装置１によって行うことができる。したがって、移動体の異常に対応するためにＡＤＡＳ制御又は自動緊急停止等の移動体を安全に停止させる制御に関連する識別情報が無効化されたとしても、別途移動体を安全に停止させるための制御を行うことができる。このように、移動体に異常が発生したときに移動体を安全に停止させることができる。
　具体的には、少なくとも１つの識別情報は、異常が検知された通信データに含まれる識別情報、異常が検知された通信データが流れるバス１１０に接続された装置（ＥＣＵ）が送受信する通信データに含まれる識別情報、又は、検知された異常に対応するための通信データに含められる識別情報を含み、制御部６０は、検知された異常に対応するための通信データに含められる識別情報に基づいて移動体を制御してもよい。
　また、電子制御装置１は、少なくとも２つのバス１１０及び１２０に接続され、少なくとも２つのバス１１０及び１２０には、一のバスから他のバスへ通信データを転送するゲートウェイ装置（ゲートウェイＥＣＵ１５０）が接続され、無効化部５０は、少なくとも１つの識別情報を含む通信データを無効化するための無効化情報をゲートウェイＥＣＵ１５０に対して送信してもよい。
　例えば、バス１１０又は１２０へＤｏＳ（Denial of Attack）攻撃等がされた場合に、バス１１０又は１２０へエラーフレームを送信することで通信データの無効化を行うと、バス１１０又は１２０への負荷が大きくなる。これに対して、ゲートウェイＥＣＵ１５０に無効化情報が送信されることで、ゲートウェイＥＣＵ１５０は、無効化情報に基づいて無効化の対象となる通信データをゲートウェイＥＣＵ１５０において遮断することができる。したがって、バス１１０又は１２０への負荷を抑制しつつ通信データの無効化（一のバスから他のバスへの通信データの転送の遮断）が可能となる。
　また、電子制御装置１は、ゲートウェイＥＣＵ１５０と少なくとも２つのバス１１０及び１２０とは異なる専用線１３０で接続され、無効化部５０は、無効化情報を、ゲートウェイＥＣＵ１５０に対して専用線１３０を介して送信してもよい。
　これによれば、例えば、無効化情報の送信にＣＡＮ通信に用いられるバス１１０が用いられた場合に、バス１１０に不正なノードが接続されて不正な情報がバス１１０に送信されたときには、無効化情報が不正に書き換えられるおそれがある。そこで、無効化情報の送信は、例えば外部からの攻撃に強い専用線１３０を介した通信が用いられることで、無効化情報が不正に書き換えられることを抑制できる。
　また、無効化部５０は、無効化情報を、ゲートウェイＥＣＵ１５０に対して、少なくとも２つのバス１１０及び１２０のうち異常が検知されなかった通信データが流れているバス１２０を介して送信してもよい。
　これによれば、無効化情報の送信は、異常が検知された通信データが流れているバス１１０ではなく、異常が検知されなかった通信データが流れているバス１２０を介した通信が用いられることで、安全に無効化情報をゲートウェイＥＣＵ１５０へ送信できる。
　また、少なくとも１つのバス１１０には、移動体の運転を支援するための運転支援装置（ＡＤＡＳＥＣＵ１１１）が接続され、電子制御装置１は、少なくとも１つのバス１１０とは異なる専用線１４０でＡＤＡＳＥＣＵ１１１と接続され、異常検知部１０は、専用線１４０を介してＡＤＡＳＥＣＵ１１１へ検知の結果を通知し、取得部４０は、ＡＤＡＳＥＣＵ１１１が、通知された当該検知の結果に応じて決定した少なくとも１つの識別情報をＡＤＡＳＥＣＵ１１１から取得してもよい。
　ＡＤＡＳＥＣＵ１１１は、多くのセンサが接続され、また、これらのセンサからのセンサ情報についての高い演算処理能力を有するため、このようなＡＤＡＳＥＣＵ１１１に検知の結果に応じた少なくとも１つの識別情報を決定させることで、移動体のより安全な制御が可能となる。
　また、電子制御装置１は、移動体に異常が発生したときに移動体の乗員に操作される外部入力部１６０に、少なくとも１つのバス１１０とは異なる通信線で接続され、制御部６０は、さらに、外部入力部１６０への操作に応じて移動体を制御してもよい。
　これによれば、例えば、乗員による判断が必要な緊急停止等の移動体への強制的な制御を行うことができる。
　また、少なくとも１つの識別情報は、異常が検知されなかった通信データによって特定される移動体の状態に対応した制御内容を識別するための情報であってもよい。
　例えば、異常が検知された通信データによって、移動体の制御内容が決定されると、移動体を安全に停止させることができないおそれがある。これに対して、正常な通信データを用いて安全に停止するための制御内容を決定することができるため、移動体を安全に停止させることができる。
　（その他の実施の形態）
　以上のように、本開示に係る技術の例示として実施の形態を説明した。しかしながら、本開示に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本開示の一実施の形態に含まれる。
　例えば、本開示は、車両等の移動体に搭載される１つの装置（例えばＥＣＵ）である電子制御装置１によって実現されたが、これに限らない。例えば、本開示は、移動体に搭載される電子制御装置と、移動体の外部に設けられ、当該電子制御装置と通信可能なサーバ等（管理センタ等）からなる電子制御システムによって実現されてもよい。これについて、図１０を用いて説明する。
　図１０は、その他の実施の形態における電子制御システム１ａの一例を示す構成図である。
　電子制御システム１ａは、移動体に搭載される電子制御装置１００と、移動体の外部に設けられるサーバ１０１とを備える。実施の形態における電子制御装置１が備える構成要素は、電子制御装置１００とサーバ１０１とに分散配置されている。具体的には、異常検知部１０及び動作判定部２０はサーバ１０１に備えられ、その他の構成要素は電子制御装置１００に備えられる。また、電子制御システム１ａは、通信部９０を備える。その他の点は、実施の形態における電子制御システム１におけるものと同じであるため説明は省略する。
　通信部９０は、外部ネットワーク（例えば、インターネット）に接続され、サーバ１０１との間で通信データを送受信する。これにより、電子制御システム１ａは、サーバ１０１を用いた機能を実現することができる。例えば、当該機能により、より詳細に異常の検知を行ったり、より正確に移動体に異常が発生しているかの判定を行ったりすることが可能となる。なお、電子制御装置１００とサーバ１０１との通信には、無線通信、或いは、有線通信のいかなる通信プロトコルを適用してもよい。
　このように、実施の形態における電子制御装置１の構成要素が、電子制御システム１ａにおいて複数の装置（ここでは、電子制御装置１００及びサーバ１０１）に分散して配置されてもよい。
　さらに、例えば、本開示は、セントラルＥＣＵやドメインコントローラなどの機能集約型の電子制御装置により実現されてもよい。これについて、図１１を用いて説明する。
　図１１は、その他の実施の形態における電子制御装置１ｂの一例を示す構成図である。電子制御装置１ｂは、バス１１０及び１２０を介して、ＺｏｎｅＥＣＵ１２４及び１２５と接続されている。また、ＺｏｎｅＥＣＵ１２４は、カメラ１１２０及びセンサ１１３０と接続されている。また、ＺｏｎｅＥＣＵ１２５は、ブレーキ１２１０、エンジン１２２０及びステアリング１２３０と接続されている。
　電子制御装置１ｂの制御部６０には、これらのＥＣＵに接続された各種センサや各種アクチュエータに関する各種制御機構が集約される。すなわち、電子制御装置１ｂは、ＺｏｎｅＥＣＵ１２４及び１２５と通信を行いながら協働して、個別のアクチュエータＥＣＵやセンサＥＣＵを統合したセントラルＥＣＵとして動作する。より具体的には、制御部６０は、ＺｏｎｅＥＣＵ１２４及び１２５と通信を行いながら協働して、カメラ１１２０、センサ１１３０、ブレーキ１２１０、エンジン１２２０及びステアリング１２３０などの挙動を制御する。そして、異常検知部１０は、バス１１０及び１２０に流れるカメラ１１２０、センサ１１３０、ブレーキ１２１０、エンジン１２２０及びステアリング１２３０などに関する制御内容を表す通信データにおける異常を検知することができる。この通信データには、例えば異常が検知されたＣＡＮデータや、異常が検知されたＣＡＮデータが流れるバスに接続された装置が送受信するＣＡＮデータや、検知された異常に対応するためのＣＡＮデータなどが含まれ、ＣＡＮＩＤによって制御内容が識別され得る。そして、取得部４０は、例えばこのＣＡＮＩＤを取得することができる。
　また、制御部６０は、実施の形態において説明したとおり、動作判定部２０による動作の判定結果や走行状態特定部３０における走行状態の特定内容などに基づいて、ＡＤＡＳ制御と同様の制御を行うことができる。例えば、制御部６０は、異常検知部１０による異常検知の結果や、動作判定部２０による動作の判定結果や走行状態特定部３０における走行状態の特定内容などを総合的に考慮して、移動体の挙動を制御することができる。また、例えば、異常が検知されたＣＡＮＩＤによって識別される制御内容に関して、車両の挙動を制御してもよい。なお、この制御部６０は、実施の形態において説明したＡＤＡＳＥＣＵ１１１によるＡＤＡＳ制御を行うことができる。
　また、電子制御装置１ｂは、ＧＷ/送受信部７０ａを備えている。ＧＷ/送受信部７０ａは、実施の形態における送受信部７０の機能に加え、ゲートウェイＥＣＵ１５０と同様の機能を備えている。ゲートウェイＥＣＵとしての機能については、ゲートウェイＥＣＵ１５０と同様であり、詳細な説明は省略する。
　その他の点は、実施の形態における電子制御装置１におけるものと同じであるため説明は省略する。
　また、上記実施の形態において、ＣＡＮ通信の代わりに、ＣＡＮの拡張フォーマット、ＣＡＮＦＤ（CAN with Flexible Data rate）、ＴＴＣＡＮ（Time Triggered CAN）、Ｅｔｈｅｒｎｅｔ（登録商標）、ＬＩＮ（Local Interconnect Network）、ＭＯＳＴ（Media Oriented Systems Transport）、ＦｌｅｘＲａｙなどの通信方式を用いる構成でもよい。
　なお、本開示は、電子制御装置１及び電子制御システム１ａとして実現できるだけでなく、電子制御装置１及び電子制御システム１ａを構成する各構成要素が行うステップ（処理）を含む電子制御方法として実現できる。
　具体的には、電子制御方法は、移動体に関する制御内容を識別するための識別情報を含む通信データが流れる、移動体における少なくとも１つのバス１１０に接続された電子制御装置１（電子制御システム１ａ）における電子制御方法である。図５に示すように、電子制御方法は、少なくとも１つのバス１１０に流れている通信データの異常を検知し（ステップＳ１０３）、当該検知の結果に応じた少なくとも１つの識別情報を取得し（ステップＳ１０４）、移動体の挙動を制御する（ステップＳ１０９）。
　例えば、電子制御方法におけるステップは、コンピュータ（コンピュータシステム）によって実行されてもよい。そして、本開示は、電子制御方法に含まれるステップを、コンピュータに実行させるためのプログラムとして実現できる。さらに、本開示は、そのプログラムを記録したＣＤ－ＲＯＭ等である非一時的なコンピュータ読み取り可能な記録媒体として実現できる。
　例えば、本開示が、プログラム（ソフトウェア）で実現される場合には、コンピュータのＣＰＵ、メモリ及び入出力回路等のハードウェア資源を利用してプログラムが実行されることによって、各ステップが実行される。つまり、ＣＰＵがデータをメモリ又は入出力回路等から取得して演算したり、演算結果をメモリ又は入出力回路等に出力したりすることによって、各ステップが実行される。
　また、上記実施の形態の電子制御装置１及び電子制御システム１ａに含まれる各構成要素は、専用又は汎用の回路として実現されてもよい。
　また、上記実施の形態の電子制御装置１及び電子制御システム１ａに含まれる各構成要素は、集積回路（ＩＣ：Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）であるＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ）として実現されてもよい。
　また、集積回路はＬＳＩに限られず、専用回路又は汎用プロセッサで実現されてもよい。プログラム可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）、又は、ＬＳＩ内部の回路セルの接続及び設定が再構成可能なリコンフィギュラブル・プロセッサが、利用されてもよい。
　さらに、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて、電子制御装置１及び電子制御システム１ａに含まれる各構成要素の集積回路化が行われてもよい。
　その他、実施の形態に対して当業者が思いつく各種変形を施して得られる形態や、本開示の趣旨を逸脱しない範囲で各実施の形態における構成要素及び機能を任意に組み合わせることで実現される形態も本開示に含まれる。
　本開示は、例えば、自動車、建機、農機、船舶、鉄道又は飛行機などにおけるネットワークに流れる通信データの異常に対応するための装置に適用できる。
　１、１ｂ、１００　電子制御装置
　１ａ　電子制御システム
　１０　異常検知部
　２０　動作判定部
　３０　走行状態特定部
　４０　取得部
　５０　無効化部
　６０　制御部
　７０　送受信部
　７０ａ　ＧＷ／送受信部
　８０　記憶部
　９０　通信部
　１０１　サーバ
　１１０、１２０　バス
　１１１　ＡＤＡＳＥＣＵ
　１１２　カメラＥＣＵ
　１１３　センサＥＣＵ
　１２１　ブレーキＥＣＵ
　１２２　エンジンＥＣＵ
　１２３　ステアリングＥＣＵ
　１２４、１２５　ＺｏｎｅＥＣＵ
　１３０、１４０　専用線
　１５０　ゲートウェイＥＣＵ
　１６０　外部入力部
　３００　攻撃者
　１１２０　カメラ
　１１３０　センサ
　１２１０　ブレーキ
　１２２０　エンジン
　１２３０　ステアリング

Claims (12)

  1. 　移動体における少なくとも１つのバスに接続された電子制御装置であって、
    　前記移動体の挙動を制御する制御部と、
    　前記少なくとも１つのバスに流れる、前記移動体の前記挙動に関する制御内容を識別するための識別情報を含む通信データの異常を検知する異常検知部と、
    　前記検知の結果に応じた少なくとも１つの識別情報を取得する取得部と、
    　を備える電子制御装置。
  2. 　前記制御部は、前記取得部が取得する前記少なくとも１つの識別情報によって識別される制御内容に関して、前記移動体の前記挙動を制御する、
    　請求項１に記載の電子制御装置。
  3. 　前記異常が検知された前記少なくとも１つの識別情報を含む通信データを無効化する無効化部をさらに備える、
    　請求項１又は２に記載の電子制御装置。
  4. 　前記少なくとも１つの識別情報は、異常が検知された通信データに含まれる識別情報、異常が検知された通信データが流れるバスに接続された装置が送受信する通信データに含まれる識別情報、又は、検知された異常に対応するための通信データに含められる識別情報を含み、
    　前記制御部は、前記検知された異常に対応するための通信データに含められる識別情報に基づいて前記移動体を制御する、
    　請求項１～３のいずれか１項に記載の電子制御装置。
  5. 　前記電子制御装置は、少なくとも２つのバスに接続され、
    　前記少なくとも２つのバスには、一のバスから他のバスへ通信データを転送するゲートウェイ装置が接続され、
    　前記無効化部は、前記少なくとも１つの識別情報を含む通信データを無効化するための無効化情報を前記ゲートウェイ装置に対して送信する、
    　請求項３に記載の電子制御装置。
  6. 　前記電子制御装置は、前記ゲートウェイ装置と前記少なくとも２つのバスとは異なる専用線で接続され、
    　前記無効化部は、前記無効化情報を、前記ゲートウェイ装置に対して前記専用線を介して送信する、
    　請求項５に記載の電子制御装置。
  7. 　前記無効化部は、前記無効化情報を、前記ゲートウェイ装置に対して、前記少なくとも２つのバスのうち異常が検知されなかった通信データが流れているバスを介して送信する、
    　請求項５に記載の電子制御装置。
  8. 　前記少なくとも１つのバスには、前記移動体の運転を支援するための運転支援装置が接続され、
    　前記電子制御装置は、前記少なくとも１つのバスとは異なる専用線で前記運転支援装置と接続され、
    　前記異常検知部は、前記専用線を介して前記運転支援装置へ前記検知の結果を通知し、
    　前記取得部は、前記運転支援装置が、通知された前記検知の結果に応じて決定した前記少なくとも１つの識別情報を前記運転支援装置から取得する、
    　請求項１～７のいずれか１項に記載の電子制御装置。
  9. 　前記電子制御装置は、前記移動体に異常が発生したときに前記移動体の乗員に操作される外部入力部に、前記少なくとも１つのバスとは異なる通信線で接続され、
    　前記制御部は、さらに、前記外部入力部への操作に応じて前記移動体を制御する、
    　請求項１～８のいずれか１項に記載の電子制御装置。
  10. 　前記少なくとも１つの識別情報は、異常が検知されなかった通信データによって特定される前記移動体の状態に対応した制御内容を識別するための情報である、
    　請求項１～９のいずれか１項に記載の電子制御装置。
  11. 　移動体における少なくとも１つのバスに接続された電子制御装置における電子制御方法であって、
    　前記移動体の挙動を制御し、
    　前記少なくとも１つのバスに流れる、前記移動体の前記挙動に関する制御内容を識別するための識別情報を含む通信データの異常を検知し、
    　前記検知の結果に応じた少なくとも１つの識別情報を取得する、
    　電子制御方法。
  12. 　請求項１１に記載の電子制御方法をコンピュータに実行させるプログラム。
PCT/JP2019/041382 2018-10-25 2019-10-21 電子制御装置、電子制御方法及びプログラム WO2020085330A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2020553406A JPWO2020085330A1 (ja) 2018-10-25 2019-10-21 電子制御装置、電子制御方法及びプログラム
EP19875065.5A EP3854651A4 (en) 2018-10-25 2019-10-21 ELECTRONIC CONTROL DEVICE, ELECTRONIC CONTROL METHOD AND PROGRAM
US17/236,537 US20210258187A1 (en) 2018-10-25 2021-04-21 Electronic control device, electronic control method, and recording medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018-200503 2018-10-25
JP2018200503 2018-10-25

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/236,537 Continuation US20210258187A1 (en) 2018-10-25 2021-04-21 Electronic control device, electronic control method, and recording medium

Publications (1)

Publication Number Publication Date
WO2020085330A1 true WO2020085330A1 (ja) 2020-04-30

Family

ID=70331437

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/041382 WO2020085330A1 (ja) 2018-10-25 2019-10-21 電子制御装置、電子制御方法及びプログラム

Country Status (4)

Country Link
US (1) US20210258187A1 (ja)
EP (1) EP3854651A4 (ja)
JP (1) JPWO2020085330A1 (ja)
WO (1) WO2020085330A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7410804B2 (ja) 2020-06-11 2024-01-10 日立Astemo株式会社 車両制御システム、車両制御方法及び車両制御装置

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021084928A1 (ja) * 2019-10-28 2021-05-06 住友電気工業株式会社 中継装置、車載通信システム、車両および車載通信方法
JP7247905B2 (ja) * 2020-01-22 2023-03-29 トヨタ自動車株式会社 第１中継装置、第２中継装置、第１中継方法、第２中継方法、第１中継プログラム、第２中継プログラム、及び中継システム
JP2022090257A (ja) * 2020-12-07 2022-06-17 ヤマハ発動機株式会社 操船システムおよび船舶

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017123007A (ja) * 2016-01-06 2017-07-13 株式会社デンソー 運転支援装置
JP2018030425A (ja) * 2016-08-24 2018-03-01 三菱電機株式会社 自動運転制御装置および自動運転制御方法
WO2018070155A1 (ja) 2016-10-14 2018-04-19 日立オートモティブシステムズ株式会社 情報処理装置、情報処理方法、および情報処理システム

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016108961A1 (en) * 2014-12-30 2016-07-07 Battelle Memorial Institute Anomaly detection for vehicular networks for intrusion and malfunction detection
US10298612B2 (en) * 2015-06-29 2019-05-21 Argus Cyber Security Ltd. System and method for time based anomaly detection in an in-vehicle communication network
JP6173541B2 (ja) * 2015-10-09 2017-08-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ装置、攻撃検知方法及びプログラム
JP6566400B2 (ja) * 2015-12-14 2019-08-28 パナソニックＩｐマネジメント株式会社 電子制御装置、ゲートウェイ装置、及び検知プログラム
JP7354631B2 (ja) * 2018-08-10 2023-10-03 株式会社デンソー 電子制御装置、車両用電子制御システム、差分データの整合性判定方法及び差分データの整合性判定プログラム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017123007A (ja) * 2016-01-06 2017-07-13 株式会社デンソー 運転支援装置
JP2018030425A (ja) * 2016-08-24 2018-03-01 三菱電機株式会社 自動運転制御装置および自動運転制御方法
WO2018070155A1 (ja) 2016-10-14 2018-04-19 日立オートモティブシステムズ株式会社 情報処理装置、情報処理方法、および情報処理システム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3854651A4 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7410804B2 (ja) 2020-06-11 2024-01-10 日立Astemo株式会社 車両制御システム、車両制御方法及び車両制御装置

Also Published As

Publication number Publication date
EP3854651A4 (en) 2021-11-10
EP3854651A1 (en) 2021-07-28
JPWO2020085330A1 (ja) 2021-09-30
US20210258187A1 (en) 2021-08-19

Similar Documents

Publication Publication Date Title
WO2020085330A1 (ja) 電子制御装置、電子制御方法及びプログラム
CN109843653B (zh) 异常检测装置以及异常检测方法
US11398116B2 (en) Anomaly detection electronic control unit, in-vehicle network system, and anomaly detection method
JP7071998B2 (ja) 車載ネットワーク異常検知システム及び車載ネットワーク異常検知方法
JP6578224B2 (ja) 車載システム、プログラムおよびコントローラ
US20220006669A1 (en) In-vehicle communications system, in-vehicle communication method, and device
JP6807906B2 (ja) 車両へのコンピュータ攻撃を阻止するためのルールを生成するシステムおよび方法
JP6280662B2 (ja) 不正制御抑止方法、不正制御抑止装置及び車載ネットワークシステム
JP6762347B2 (ja) 交通手段に対するコンピュータ攻撃を阻止するためのシステムおよび方法
JP6964277B2 (ja) 通信遮断システム、通信遮断方法及びプログラム
US11247694B2 (en) Control apparatus, control system, control method, and storage medium
JP2019008618A (ja) 情報処理装置、情報処理方法及びプログラム
US11394726B2 (en) Method and apparatus for transmitting a message sequence over a data bus and method and apparatus for detecting an attack on a message sequence thus transmitted
JP2019220770A (ja) 電子制御装置、監視方法、プログラム及びゲートウェイ装置
JP6920667B2 (ja) 情報処理装置、情報処理システム、情報処理方法、及びプログラム
JP2019146145A (ja) 通信装置、通信方法及びプログラム
JP2019175017A (ja) 通信装置及び通信方法
JP2019209961A (ja) 情報処理装置、監視方法、プログラム及びゲートウェイ装置
JP6519830B1 (ja) 電子制御装置、監視方法、プログラム及びゲートウェイ装置
WO2021019636A1 (ja) セキュリティ装置、インシデント対応処理方法、プログラム、及び記憶媒体
JP2019209962A (ja) 情報処理装置、監視方法、プログラム及びゲートウェイ装置
WO2018179630A1 (ja) 情報処理装置、情報処理方法及びプログラム
JP6519829B1 (ja) 電子制御装置、監視方法、プログラム及びゲートウェイ装置
WO2021019635A1 (ja) セキュリティ装置、攻撃対応処理方法、コンピュータプログラム、及び記憶媒体
JP2019146144A (ja) 情報処理装置、情報処理方法及びプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19875065

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020553406

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2019875065

Country of ref document: EP

Effective date: 20210421