(57)【要約】      （修正有）【課題】センサへの攻撃に対するセキュリティ対策をより高めることができる電子制御装置を提供する。【解決手段】異常検知ＥＣＵ１８は、レーザセンサ４からのレーザセンサデータをセンサネットワーク１２を介して受信し、レーザセンサデータに基づいて生成され且つ駆動ＥＣＵ２０を制御するための制御データを制御ネットワーク１６を介して受信する通信部と、センサネットワーク１２に関する異常を検知する検知部と、検知部がセンサネットワーク１２に関する異常を検知した状態で、通信部が制御データを受信した場合に、受信した当該制御データが異常であるか否かを判定する判定部とを備える。【選択図】図１
2020068506.tif 000002
【特許請求の範囲】
【請求項１】
センサが接続された第１のネットワークと接続され、且つ、制御対象が接続された第２のネットワークと接続される電子制御装置であって、
前記センサからのセンサデータを前記第１のネットワークを介して受信し、前記センサデータに基づいて生成され且つ前記制御対象を制御するための制御データを前記第２のネットワークを介して受信する通信部と、
前記第１のネットワークに関する異常を検知する検知部と、
前記検知部が前記第１のネットワークに関する異常を検知した状態で、前記通信部が前記制御データを受信した場合に、受信された当該制御データが異常であるか否かを判定する判定部と、
を備える電子制御装置。
【請求項２】
前記検知部は、前記第１のネットワークに関する異常を検知した際に、受信された前記センサデータの送信元である前記センサを異常発生元センサとして特定し、
前記判定部は、前記検知部による特定結果に基づいて、受信された前記制御データが異常であるか否かを判定する、
請求項１に記載の電子制御装置。
【請求項３】
前記判定部は、
受信された前記制御データが前記異常発生元センサからの前記センサデータに基づいて生成された場合には、当該制御データは異常であると判定し、
受信された前記制御データが前記異常発生元センサ以外の他の前記センサからの前記センサデータに基づいて生成された場合には、当該制御データは異常ではないと判定する、
請求項２に記載の電子制御装置。
【請求項４】
前記判定部は、さらに、
受信された前記制御データが異常であると判定した場合には、当該制御データによる前記制御対象の制御を継続不可であると判定し、
受信された前記制御データが異常ではないと判定した場合には、当該制御データによる前記制御対象の制御を継続可能であると判定する、
請求項３に記載の電子制御装置。
【請求項５】
前記判定部は、さらに、前記検知部による検知結果に基づいて、受信された前記制御データによる前記制御対象の制御を継続可能であるか否かを判定する、
請求項１に記載の電子制御装置。
【請求項６】
前記電子制御装置は、さらに、受信された前記制御データが異常であると判定された場合に、前記制御データの異常を外部に通知する通知部を備える、
請求項１〜５のいずれか１項に記載の電子制御装置。
【請求項７】
前記検知部は、前記第１のネットワークに関する異常として、前記センサのネットワークアドレスが変更されたことを検知する、
請求項１〜６のいずれか１項に記載の電子制御装置。
【請求項８】
前記検知部は、前記第１のネットワークに関する異常として、前記センサデータの単位時間あたりの通信量が閾値を超えたことを検知する、
請求項１〜６のいずれか１項に記載の電子制御装置。
【請求項９】
前記検知部は、前記第１のネットワークに関する異常として、前記センサデータが改ざんされたことを検知する、
請求項１〜６のいずれか１項に記載の電子制御装置。
【請求項１０】
前記検知部は、前記第１のネットワークに関する異常として、前記センサデータにより示されるセンサ情報の振る舞いが異常であることを検知する、
請求項１〜６のいずれか１項に記載の電子制御装置。
【請求項１１】
前記第１のネットワークは、前記第２のネットワークよりも高速で通信可能である、
請求項１〜１０のいずれか１項に記載の電子制御装置。
【請求項１２】
前記第１のネットワークは、イーサネット（登録商標）又はフレックスレイ（登録商標）であり、
前記第２のネットワークは、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）である、
請求項１１に記載の電子制御装置。
【請求項１３】
センサと接続された第１のネットワークと、
制御対象と接続された第２のネットワークと、
前記第１のネットワーク及び前記第２のネットワークと接続された電子制御装置と、を備え、
前記電子制御装置は、
前記センサからのセンサデータを前記第１のネットワークを介して受信し、前記センサデータに基づいて生成され且つ前記制御対象を制御するための制御データを前記第２のネットワークを介して受信する通信部と、
前記第１のネットワークに関する異常を検知する検知部と、
前記検知部が前記第１のネットワークに関する異常を検知した状態で、前記通信部が前記制御データを受信した場合に、受信された当該制御データが異常であるか否かを判定する判定部と、を有する、
電子制御システム。
【請求項１４】
センサからのセンサデータを、第１のネットワークを介して受信する処理と、
前記センサデータに基づいて生成され且つ制御対象を制御するための制御データを、第２のネットワークを介して受信する処理と、
前記第１のネットワークに関する異常を検知する処理と、
前記第１のネットワークに関する異常を検知した状態で、前記制御データを受信した場合に、受信された当該制御データが異常であるか否かを判定する処理と、
をコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、電子制御装置、電子制御システム及びプログラムに関する。
【背景技術】
【０００２】
近年、車両の加減速、操舵及び制動等の運転操作を自動で行う自動運転システムが知られている。この自動運転システムは、車両の前方に存在する物体等を検知するセンサと、センサからのセンサデータに基づいて車両の運転操作を制御する電子制御ユニットとを備えている。センサ及び電子制御ユニットは、車載ネットワークを介して相互に接続されている。
【０００３】
例えばＤｏｓ攻撃（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ  ａｔｔａｃｋ）等のように、不正な外部装置からの大量のデータが電子制御ユニットに送り付けられる異常が発生した場合には、センサデータの可用性が損ねられることにより、電子制御ユニットにおいて運転者の意図しない車両の運転操作が誘発されるおそれがある。そのため、上述した車載ネットワークの状態を監視するための監視装置が提案されている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００６−２２２６４９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上述した従来の監視装置では、センサへの攻撃に対するセキュリティ対策が十分とは言えないという課題が生じる。
【０００６】
そこで、本開示は、センサへの攻撃に対するセキュリティ対策をより高めることができる電子制御装置、電子制御システム及びプログラムを提供する。
【課題を解決するための手段】
【０００７】
本開示の一態様に係る電子制御装置は、センサが接続された第１のネットワークと接続され、且つ、制御対象が接続された第２のネットワークと接続される電子制御装置であって、前記センサからのセンサデータを前記第１のネットワークを介して受信し、前記センサデータに基づいて生成され且つ前記制御対象を制御するための制御データを前記第２のネットワークを介して受信する通信部と、前記第１のネットワークに関する異常を検知する検知部と、前記検知部が前記第１のネットワークに関する異常を検知した状態で、前記通信部が前記制御データを受信した場合に、受信された当該制御データが異常であるか否かを判定する判定部と、を備える。
【０００８】
なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ  Ｄｉｓｃ−Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。
【発明の効果】
【０００９】
本開示の一態様に係る電子制御装置等によれば、センサへの攻撃に対するセキュリティ対策をより高めることができる。
【図面の簡単な説明】
【００１０】
【図１】実施の形態１に係る通信システムの概要を示すブロック図である。
【図２】実施の形態１〜３に係る異常検知ＥＣＵの機能構成を示すブロック図である。
【図３】実施の形態１に係る異常検知ＥＣＵの動作の流れを示すフローチャートである。
【図４】図３のフローチャートのステップＳ１０２の内容を具体的に示すフローチャートである。
【図５】実施の形態２に係る異常検知ＥＣＵの動作の流れを示すフローチャートである。
【図６】実施の形態３に係る異常検知ＥＣＵの動作の流れを示すフローチャートである。
【図７】図６のフローチャートのステップＳ３０１の内容を具体的に示すフローチャートである。
【発明を実施するための形態】
【００１１】
本開示の一態様に係る電子制御装置は、センサが接続された第１のネットワークと接続され、且つ、制御対象が接続された第２のネットワークと接続される電子制御装置であって、前記センサからのセンサデータを前記第１のネットワークを介して受信し、前記センサデータに基づいて生成され且つ前記制御対象を制御するための制御データを前記第２のネットワークを介して受信する通信部と、前記第１のネットワークに関する異常を検知する検知部と、前記検知部が前記第１のネットワークに関する異常を検知した状態で、前記通信部が前記制御データを受信した場合に、受信された当該制御データが異常であるか否かを判定する判定部と、を備える。
【００１２】
本態様によれば、例えばセンサが外部からの攻撃を受けることにより、センサデータの改ざん又はセンサデータのなりすまし等が発生した場合には、制御データによる制御対象の誤制御が引き起こされる可能性が高い。そのため、検知部が第１のネットワークに関する異常を検知した状態で、通信部が制御データを受信した場合に、判定部は当該制御データの異常の有無を判定する。これにより、例えばセンサが外部からの攻撃を受けた場合であっても、制御データの異常の有無を判定することにより、制御データによる制御対象の誤制御が引き起こされるのを抑制することができる。その結果、センサへの攻撃に対するセキュリティ対策をより高めることができる。
【００１３】
例えば、前記検知部は、前記第１のネットワークに関する異常を検知した際に、受信された前記センサデータの送信元である前記センサを異常発生元センサとして特定し、前記判定部は、前記検知部による特定結果に基づいて、受信された前記制御データが異常であるか否かを判定するように構成してもよい。
【００１４】
本態様によれば、検知部による異常発生元センサの特定結果を用いることにより、受信された制御データが異常であるか否かを精度良く判定することができる。
【００１５】
例えば、前記判定部は、受信された前記制御データが前記異常発生元センサからの前記センサデータに基づいて生成された場合には、当該制御データは異常であると判定し、受信された前記制御データが前記異常発生元センサ以外の他の前記センサからの前記センサデータに基づいて生成された場合には、当該制御データは異常ではないと判定するように構成してもよい。
【００１６】
本態様によれば、受信された制御データが異常であるか否かを精度良く判定することができる。
【００１７】
例えば、前記判定部は、さらに、受信された前記制御データが異常であると判定した場合には、当該制御データによる前記制御対象の制御を継続不可であると判定し、受信された前記制御データが異常ではないと判定した場合には、当該制御データによる前記制御対象の制御を継続可能であると判定するように構成してもよい。
【００１８】
本態様によれば、判定部は、受信された制御データが異常ではないと判定した場合には、当該制御データによる制御対象の制御を継続可能であると判定する。これにより、制御対象の制御を無駄に停止させることを回避することができる。
【００１９】
例えば、前記判定部は、さらに、前記検知部による検知結果に基づいて、受信された前記制御データによる前記制御対象の制御を継続可能であるか否かを判定するように構成してもよい。
【００２０】
本態様によれば、制御対象の制御を無駄に停止させることを回避することができる。
【００２１】
例えば、前記電子制御装置は、さらに、受信された前記制御データが異常であると判定された場合に、前記制御データの異常を外部に通知する通知部を備えるように構成してもよい。
【００２２】
本態様によれば、通知部は制御データの異常を外部に通知するので、制御データの異常に対する適切な処置を行うことができる。
【００２３】
例えば、前記検知部は、前記第１のネットワークに関する異常として、前記センサのネットワークアドレスが変更されたことを検知するように構成してもよい。
【００２４】
本態様によれば、センサへの攻撃として、センサのネットワークアドレスが変更された場合におけるセキュリティ対策をより高めることができる。
【００２５】
例えば、前記検知部は、前記第１のネットワークに関する異常として、前記センサデータの単位時間あたりの通信量が閾値を超えたことを検知するように構成してもよい。
【００２６】
本態様によれば、センサへの攻撃として、センサデータの単位時間あたりの通信量が閾値を超えた場合におけるセキュリティ対策をより高めることができる。
【００２７】
例えば、前記検知部は、前記第１のネットワークに関する異常として、前記センサデータが改ざんされたことを検知するように構成してもよい。
【００２８】
本態様によれば、センサへの攻撃として、センサデータが改ざんされた場合におけるセキュリティ対策をより高めることができる。
【００２９】
例えば、前記検知部は、前記第１のネットワークに関する異常として、前記センサデータにより示されるセンサ情報の振る舞いが異常であることを検知するように構成してもよい。
【００３０】
本態様によれば、センサへの攻撃として、センサ情報の振る舞いが異常である場合におけるセキュリティ対策をより高めることができる。
【００３１】
例えば、前記第１のネットワークは、前記第２のネットワークよりも高速で通信可能であるように構成してもよい。
【００３２】
例えば、前記第１のネットワークは、イーサネット（登録商標）又はフレックスレイ（登録商標）であり、前記第２のネットワークは、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）であるように構成してもよい。
【００３３】
本開示の一態様に係る電子制御システムは、センサと接続された第１のネットワークと、制御対象と接続された第２のネットワークと、前記第１のネットワーク及び前記第２のネットワークと接続された電子制御装置と、を備え、前記電子制御装置は、前記センサからのセンサデータを前記第１のネットワークを介して受信し、前記センサデータに基づいて生成され且つ前記制御対象を制御するための制御データを前記第２のネットワークを介して受信する通信部と、前記第１のネットワークに関する異常を検知する検知部と、前記検知部が前記第１のネットワークに関する異常を検知した状態で、前記通信部が前記制御データを受信した場合に、受信された当該制御データが異常であるか否かを判定する判定部と、を有する。
【００３４】
本態様によれば、例えばセンサが外部からの攻撃を受けることにより、センサデータの改ざん又はセンサデータのなりすまし等が発生した場合には、制御データによる制御対象の誤制御が引き起こされる可能性が高い。そのため、検知部が第１のネットワークに関する異常を検知した状態で、通信部が制御データを受信した場合に、判定部は当該制御データの異常の有無を判定する。これにより、例えばセンサが外部からの攻撃を受けた場合であっても、制御データの異常の有無を判定することにより、制御データによる制御対象の誤制御が引き起こされるのを抑制することができる。その結果、センサへの攻撃に対するセキュリティ対策をより高めることができる。
【００３５】
本開示の一態様に係るプログラムは、センサからのセンサデータを、第１のネットワークを介して受信する処理と、前記センサデータに基づいて生成され且つ制御対象を制御するための制御データを、第２のネットワークを介して受信する処理と、前記第１のネットワークに関する異常を検知する処理と、前記第１のネットワークに関する異常を検知した状態で、前記制御データを受信した場合に、受信された当該制御データが異常であるか否かを判定する処理と、をコンピュータに実行させる。
【００３６】
本態様によれば、上述と同様に、センサへの攻撃に対するセキュリティ対策をより高めることができる。
【００３７】
なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ−ＲＯＭ等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。
【００３８】
以下、実施の形態について、図面を参照しながら具体的に説明する。
【００３９】
なお、以下で説明する実施の形態は、いずれも包括的又は具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序等は、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。
【００４０】
（実施の形態１）
［１−１．通信システムの概要］
まず、図１を参照しながら、実施の形態１に係る通信システム２の概要について説明する。図１は、実施の形態１に係る通信システム２の概要を示すブロック図である。
【００４１】
本実施の形態の通信システム２は、例えば自動車等の車両に搭載された、車両の運転操作を自動で行う自動運転システムである。なお、通信システム２は、電子制御システムの一例である。
【００４２】
図１に示すように、通信システム２は、レーザセンサ４と、ミリ波センサ６と、カメラセンサ８と、スイッチ１０と、センサネットワーク１２と、自動運転ＥＣＵ（Ｅｌｅｃｔｒｉｃ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔ）１４と、制御ネットワーク１６と、異常検知ＥＣＵ１８と、駆動ＥＣＵ２０と、ステアリングＥＣＵ２２とを備えている。
【００４３】
レーザセンサ４は、レーザを用いて、車両の周囲に存在する物体を検知するためのセンサであり、例えばＬｉＤＡＲ（Ｌｉｇｈｔ  Ｄｅｔｅｃｔｉｏｎ  Ａｎｄ  Ｒａｎｇｉｎｇ）である。レーザセンサ４は、センサ情報を含むレーザセンサパケットを出力する。レーザセンサパケットに含まれるセンサ情報は、例えば、ａ）自車両と当該自車両の前方を走行している他車両との間の距離を示す距離情報、及び、ｂ）自車両の走行速度と当該自車両の前方を走行している他車両の走行速度との相対速度を示す相対速度情報である。また、レーザセンサパケットは、送信元に関する情報としてレーザセンサ４のＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレス、宛先に関する情報として自動運転ＥＣＵ１４及び異常検知ＥＣＵ１８の各ＩＰアドレスを含んでいる。レーザセンサ４は、例えば５００パケット／秒の通信レートで、センサネットワーク１２を介して自動運転ＥＣＵ１４及び異常検知ＥＣＵ１８の各々にレーザセンサパケットを送信する。なお、レーザセンサ４はセンサの一例であり、レーザセンサパケットはセンサデータの一例である。
【００４４】
ミリ波センサ６は、ミリ波を用いて、車両の周囲に存在する物体を検知するためのセンサである。ミリ波センサ６は、センサ情報を含むミリ波センサパケットを出力する。ミリ波センサパケットに含まれるセンサ情報は、例えば、ａ）自車両と当該自車両の前方を走行している他車両との間の距離を示す距離情報、及び、ｂ）自車両の走行速度と当該自車両の前方を走行している他車両の走行速度との相対速度を示す相対速度情報である。また、ミリ波センサパケットは、送信元に関する情報としてミリ波センサ６のＩＰアドレス、宛先に関する情報として自動運転ＥＣＵ１４及び異常検知ＥＣＵ１８の各ＩＰアドレスを含んでいる。ミリ波センサ６は、例えば５００パケット／秒の通信レートで、センサネットワーク１２を介して自動運転ＥＣＵ１４及び異常検知ＥＣＵ１８の各々にミリ波センサパケットを送信する。なお、ミリ波センサ６はセンサの一例であり、ミリ波センサパケットはセンサデータの一例である。
【００４５】
カメラセンサ８は、車両の周囲に存在する物体を撮像するためのセンサである。カメラセンサ８は、センサ情報を含むカメラセンサパケットを出力する。カメラセンサパケットに含まれるセンサ情報は、例えば、自車両の前方を走行している他車両等を撮像した画像を示す物体認識情報である。また、カメラセンサパケットは、送信元に関する情報としてカメラセンサ８のＩＰアドレス、宛先に関する情報として自動運転ＥＣＵ１４及び異常検知ＥＣＵ１８の各ＩＰアドレスを含んでいる。カメラセンサ８は、例えば５００パケット／秒の通信レートで、センサネットワーク１２を介して自動運転ＥＣＵ１４及び異常検知ＥＣＵ１８の各々にカメラセンサパケットを送信する。なお、カメラセンサ８はセンサの一例であり、カメラセンサパケットはセンサデータの一例である。
【００４６】
スイッチ１０は、レーザセンサ４、ミリ波センサ６及びカメラセンサ８と、自動運転ＥＣＵ１４及び異常検知ＥＣＵ１８とを相互に接続するためのゲートウェイである。スイッチ１０は、センサネットワーク１２に配置されている。
【００４７】
センサネットワーク１２は、例えばイーサネット（登録商標）で構成されており、車両の内部に構築されている。なお、センサネットワーク１２は、第１のネットワークの一例である。センサネットワーク１２は、後述する制御ネットワーク１６よりも、高速且つ大容量でセンサパケットを通信可能である。本実施の形態では、センサネットワーク１２をイーサネット（登録商標）で構成したが、これに限定されず、例えばフレックスレイ（登録商標）等で構成してもよい。
【００４８】
自動運転ＥＣＵ１４は、先進運転者支援システム（ＡＤＡＳ：Ａｄｖａｎｃｅｄ  Ｄｒｉｖｅｒ  Ａｓｓｉｓｔａｎｃｅ  Ｓｙｓｔｅｍ）における車両の自動運転操作を制御するための電子制御ユニットである。自動運転ＥＣＵ１４は、スイッチ１０のモニタポートに接続されている。また、自動運転ＥＣＵ１４は、制御ネットワーク１６を介して、異常検知ＥＣＵ１８、駆動ＥＣＵ２０及びステアリングＥＣＵ２２と接続されている。自動運転ＥＣＵ１４は、レーザセンサ４からのレーザセンサパケット、ミリ波センサ６からのミリ波センサパケット及びカメラセンサ８からのカメラセンサパケットに基づいて、駆動ＥＣＵ２０及びステアリングＥＣＵ２２を制御するための制御パケットを生成する。例えば、車両の前方に歩行者等が飛び出してきた場合には、自動運転ＥＣＵ１４は、レーザセンサパケット、ミリ波センサパケット及びカメラセンサパケットに基づいて、駆動ＥＣＵ２０（又はステアリングＥＣＵ２２）に対して車両を急制動（又は急操舵）するように指示するための制御パケットを生成する。自動運転ＥＣＵ１４は、生成した制御パケットを、制御ネットワーク１６を介して異常検知ＥＣＵ１８、駆動ＥＣＵ２０及びステアリングＥＣＵ２２にブロードキャストで送信する。なお、制御パケットは、制御データの一例である。
【００４９】
制御ネットワーク１６は、例えばＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）で構成されており、車両の内部に構築されている。制御ネットワーク１６は、ＣＡＮプロトコルに従って通信するための複数のＣＡＮバスを有している。なお、制御ネットワーク１６は、第２のネットワークの一例である。本実施の形態では、制御ネットワーク１６をＣＡＮで構成したが、これに限定されず、例えばＣＡＮ−ＦＤ（ＣＡＮ  ｗｉｔｈ  Ｆｌｅｘｉｂｌｅ  Ｄａｔａ  Ｒａｔｅ）等で構成してもよい。
【００５０】
異常検知ＥＣＵ１８は、センサネットワーク１２に関する異常を検知した際に、自動運転ＥＣＵ１４から送信されてきた制御パケットが異常であるか否かを判定するための電子制御ユニットである。本明細書において、センサネットワーク１２に関する異常とは、レーザセンサ４、ミリ波センサ６及びカメラセンサ８への外部からの攻撃により発生した異常を言う。異常検知ＥＣＵ１８は、スイッチ１０のミラーポートに接続され、且つ、制御ネットワーク１６を介して自動運転ＥＣＵ１４と接続されている。また、異常検知ＥＣＵ１８は、例えばインターネット又は専用回線等の外部ネットワーク２４を介して、車両の外部に配置されたサーバ装置２６と通信可能である。サーバ装置２６は、通信システム２を管理するためのコンピュータである。なお、異常検知ＥＣＵ１８は、電子制御装置の一例である。異常検知ＥＣＵ１８の機能構成については後で詳述する。
【００５１】
駆動ＥＣＵ２０は、車両の加減速及び制動を制御するための電子制御ユニットである。具体的には、駆動ＥＣＵ２０は、自動運転ＥＣＵ１４からの制御パケットに基づいて、車両の車輪を駆動するための駆動用モータを制御する。例えば、車両の前方に歩行者等が飛び出してきた場合には、駆動ＥＣＵ２０は、自動運転ＥＣＵ１４からの制御パケットに基づいて、車両を急制動するように駆動用モータを制御する。なお、駆動ＥＣＵ２０は、制御対象の一例である。
【００５２】
ステアリングＥＣＵ２２は、車両の操舵を制御するための電子制御ユニットである。具体的には、ステアリングＥＣＵ２２は、自動運転ＥＣＵ１４からの制御パケットに基づいて、車両のステアリングホイールを回動させるためのステアリング用モータを制御する。例えば、車両の前方に歩行者等が飛び出してきた場合には、ステアリングＥＣＵ２２は、自動運転ＥＣＵ１４からの制御パケットに基づいて、車両を右方向（又は左方向）に急操舵するようにステアリング用モータを制御する。なお、ステアリングＥＣＵ２２は、制御対象の一例である。
【００５３】
なお、本実施の形態では、制御対象を駆動ＥＣＵ２０及びステアリングＥＣＵ２２で構成したが、これらに限定されず、例えば車両のシャシーを制御するためのシャシーＥＣＵ等、各種のＥＣＵで構成してもよい。
【００５４】
［１−２．異常検知ＥＣＵの機能構成］
次に、図１及び図２を参照しながら、異常検知ＥＣＵ１８の機能構成について説明する。図２は、実施の形態１に係る異常検知ＥＣＵ１８の機能構成を示すブロック図である。
【００５５】
図２に示すように、異常検知ＥＣＵ１８は、通信部２８と、検知部３０と、判定部３２と、通知部３４とを有している。
【００５６】
通信部２８は、センサネットワーク１２を介して、レーザセンサ４からのレーザセンサパケット、ミリ波センサ６からのミリ波センサパケット及びカメラセンサ８からのカメラセンサパケットを受信する。また、通信部２８は、制御ネットワーク１６を介して、自動運転ＥＣＵ１４からの制御パケットを受信する。さらに、通信部２８は、通知部３４からの異常通知信号（後述する）を、外部ネットワーク２４を介してサーバ装置２６に送信する。
【００５７】
検知部３０は、受信されたレーザセンサパケット、ミリ波センサパケット及びカメラセンサパケットに基づいて、センサネットワーク１２に関する異常を検知する。
【００５８】
判定部３２は、検知部３０がセンサネットワーク１２に関する異常を検知した状態で、通信部２８が自動運転ＥＣＵ１４からの制御パケットを受信した場合に、受信された当該制御パケットが異常であると判定する。
【００５９】
通知部３４は、判定部３２により制御パケットが異常であると判定された場合に、制御パケットの異常をサーバ装置２６に通知するための異常通知信号を生成する。通知部３４は、生成した異常通知信号を通信部２８に出力する。すなわち、通知部３４は、通信部２８を介して、制御パケットの異常を外部のサーバ装置２６に通知する。
【００６０】
［１−３．異常検知ＥＣＵの動作］
次に、図３及び図４を参照しながら、車両の自動運転時における異常検知ＥＣＵ１８の動作について説明する。図３は、実施の形態１に係る異常検知ＥＣＵ１８の動作の流れを示すフローチャートである。図４は、図３のフローチャートのステップＳ１０２の内容を具体的に示すフローチャートである。
【００６１】
図３に示すように、通信部２８は、レーザセンサ４からのレーザセンサパケット、ミリ波センサ６からのミリ波センサパケット及びカメラセンサ８からのカメラセンサパケットを受信する（Ｓ１０１）。検知部３０は、受信されたレーザセンサパケット、ミリ波センサパケット及びカメラセンサパケットに基づいて、センサネットワーク１２に関する異常を検知する（Ｓ１０２）。ステップＳ１０２における具体的な処理については、後で詳述する。
【００６２】
検知部３０がセンサネットワーク１２に関する異常を検知しない場合には（Ｓ１０３でＮＯ）、通信部２８は、サーバ装置２６に異常通知信号を通知しない（Ｓ１０４）。車両の自動運転制御を終了する場合は（Ｓ１０５でＹＥＳ）、処理を終了する。一方、車両の自動運転制御を継続する場合は（Ｓ１０５でＮＯ）、上述したステップＳ１０１に戻る。
【００６３】
ステップＳ１０３に戻り、検知部３０がセンサネットワーク１２に関する異常を検知した場合には（Ｓ１０３でＹＥＳ）、判定部３２は、通信部２８が自動運転ＥＣＵ１４からの制御パケットを受信したか否かを判定する（Ｓ１０６）。なお、判定部３２は、検知部３０からの異常に関する情報（後述する）を受け取ることにより、検知部３０がセンサネットワーク１２に関する異常を検知したと判定することができる。
【００６４】
通信部２８が自動運転ＥＣＵ１４からの制御パケットを受信していない場合には（Ｓ１０６でＮＯ）、上述したステップＳ１０４に進む。一方、通信部２８が自動運転ＥＣＵ１４からの制御パケットを受信した場合には（Ｓ１０６でＹＥＳ）、判定部３２は、受信された当該制御パケットが異常であると判定する（Ｓ１０７）。
【００６５】
この場合、通知部３４は、異常通知信号を生成し、生成した異常通知信号を通信部２８に出力する。通信部２８は、通知部３４からの異常通知信号をサーバ装置２６に送信する（Ｓ１０８）。その後、上述したステップＳ１０５に進む。
【００６６】
なお、本実施の形態では、上述したステップＳ１０８において、通信部２８は異常通知信号をサーバ装置２６に送信するようにしたが、これに限定されず、例えば自動運転ＥＣＵ１４に異常通知信号を送信してもよい。これにより、例えば自動運転ＥＣＵ１４により車両の縮退制御を行うことができる。あるいは、通信部２８は、車両のインストルメンタルパネルに異常通知信号を送信することにより、制御パケットの異常を車両の運転者に通知してもよい。これにより、運転者は、制御パケットの異常が発生したことを認識することができ、例えば車両の運転を自動運転から手動運転に切り替えるなどの適切な処置を行うことができる。
【００６７】
ここで、図４を参照しながら、図３のステップＳ１０２における処理について具体的に説明する。
【００６８】
図４に示すように、検知部３０は、まず、レーザセンサ４からのレーザセンサパケット、ミリ波センサ６からのミリ波センサパケット及びカメラセンサ８からのカメラセンサパケットのうち少なくとも１つについて、１秒あたりのパケット数が５００を超えているか否かを検知する（Ｓ１０２１）。すなわち、検知部３０は、レーザセンサ４からのレーザセンサパケット、ミリ波センサ６からのミリ波センサパケット及びカメラセンサ８からのカメラセンサパケットのいずれか１つの単位時間あたりの通信量が閾値（５００パケット／秒）を超えているか否かを検知する。
【００６９】
１秒あたりのパケット数が５００を超えている場合には（Ｓ１０２１でＹＥＳ）、検知部３０は、センサネットワーク１２に関する異常を検知し（Ｓ１０２２）、異常に関する情報を判定部３２に出力する（Ｓ１０２３）。具体的には、検知部３０は、異常に関する情報として、例えば、１秒あたりのパケット数が５００を超えたセンサの種類（例えば「レーザセンサ」）、及び、検知された１秒あたりのパケット数（例えば「１０００」）を判定部３２に出力する。その後、上述した図３のステップＳ１０３のＹＥＳに進む。
【００７０】
ステップＳ１０２１に戻り、１秒あたりのパケット数が５００を超えていない場合には（Ｓ１０２１でＮＯ）、検知部３０は、レーザセンサ４からのレーザセンサパケット、ミリ波センサ６からのミリ波センサパケット及びカメラセンサ８からのカメラセンサパケットの合計について、１秒あたりの総パケット数が１５００を超えているか否かを検知する（Ｓ１０２４）。
【００７１】
１秒あたりの総パケット数が１５００を超えている場合には（Ｓ１０２４でＹＥＳ）、検知部３０は、センサネットワーク１２に関する異常を検知し（Ｓ１０２２）、異常に関する情報を判定部３２に出力する（Ｓ１０２３）。具体的には、検知部３０は、異常に関する情報として、例えば、検知された１秒あたりの総パケット数（例えば「２０００」）を判定部３２に出力する。その後、上述した図３のステップＳ１０３のＹＥＳに進む。
【００７２】
ステップＳ１０２４に戻り、１秒あたりの総パケット数が１５００を超えていない場合には（Ｓ１０２４でＮＯ）、検知部３０は、レーザセンサ４、ミリ波センサ６及びカメラセンサ８のうち少なくとも１つのＩＰアドレスが変更されたか否かを検知する（Ｓ１０２５）。具体的には、検知部３０は、異常検知ＥＣＵ１８のメモリ（図示せず）に予め記憶されているレーザセンサ４、ミリ波センサ６及びカメラセンサ８の各ＩＰアドレスと、レーザセンサパケット、ミリ波センサパケット及びカメラセンサパケットに含まれる各送信元ＩＰアドレスとを比較する。検知部３０は、比較の結果、両者が異なる場合には、各センサパケットに含まれる送信元ＩＰアドレスが変更されたと検知する。なお、ＩＰアドレスは、ネットワークアドレスの一例である。
【００７３】
ＩＰアドレスが変更された場合には（Ｓ１０２５でＹＥＳ）、検知部３０は、センサネットワーク１２に関する異常を検知し（Ｓ１０２２）、異常に関する情報を判定部３２に出力する（Ｓ１０２３）。具体的には、検知部３０は、異常に関する情報として、例えば、ＩＰアドレスが変更されたセンサの種類（例えば「カメラセンサ」）、及び、ＩＰアドレスの変更ログを判定部３２に出力する。その後、上述した図３のステップＳ１０３のＹＥＳに進む。
【００７４】
ステップＳ１０２５に戻り、ＩＰアドレスが変更されていない場合には（Ｓ１０２５でＮＯ）、検知部３０は、レーザセンサパケット、ミリ波センサパケット及びカメラセンサパケットのうち少なくとも１つについて、当該センサパケットに含まれるセンサ情報の振る舞いが異常であるか否かを検知する（Ｓ１０２６）。センサ情報は、例えば上述した距離情報、相対速度情報及び物体認識情報である。センサ情報の振る舞いが異常である場合としては、例えば、ａ）車両の周囲に存在する物体の位置が想定よりも速く移動している場合、ｂ）相対速度が所定値を超えている場合、及び、ｃ）車両の周囲に物体が突然現れる場合等が考えられる。
【００７５】
センサ情報の振る舞いが異常である場合には（Ｓ１０２６でＹＥＳ）、検知部３０は、センサネットワーク１２に関する異常を検知し（Ｓ１０２２）、異常に関する情報を判定部３２に出力する（Ｓ１０２３）。具体的には、検知部３０は、異常に関する情報として、例えば、振る舞いの異常なセンサ情報を含むセンサの種類（例えば「カメラセンサ」）、及び、振る舞いの異常なセンサ情報（例えば「物体認識情報」）を判定部３２に出力する。その後、上述した図３のステップＳ１０３のＹＥＳに進む。
【００７６】
ステップＳ１０２６に戻り、センサ情報の振る舞いが異常ではない場合には（Ｓ１０２６でＮＯ）、検知部３０は、レーザセンサパケット、ミリ波センサパケット及びカメラセンサパケットのうち少なくとも１つが既知の攻撃であるか否かを検知する（Ｓ１０２７）。センサパケットが既知の攻撃である場合としては、例えば、ａ）センサパケットの改ざんが検知された場合、及び、ｂ）同じセンサから１センサパケット多く受信した（センサパケットのなりすまし）場合等が考えられる。
【００７７】
センサパケットが既知の攻撃である場合には（Ｓ１０２７でＹＥＳ）、検知部３０は、センサネットワーク１２に関する異常を検知し（Ｓ１０２２）、異常に関する情報を判定部３２に出力する（Ｓ１０２３）。具体的には、検知部３０は、異常に関する情報として、例えば、既知の攻撃であるセンサパケットの送信元であるセンサの種類（例えば「ミリ波センサ」）、及び、センサパケットの攻撃の種類（例えば「センサパケット改ざん」又は「センサパケットのなりすまし」）を判定部３２に出力する。その後、上述した図３のステップＳ１０３のＹＥＳに進む。
【００７８】
センサパケットが既知の攻撃ではない場合には（Ｓ１０２７でＮＯ）、検知部３０は、センサネットワーク１２に関する異常を検知しない（Ｓ１０２８）。その後、上述した図３のステップＳ１０３のＮＯに進む。
【００７９】
［１−４．効果］
例えばレーザセンサ４、ミリ波センサ６及びカメラセンサ８が外部からの攻撃を受けることにより、各センサパケットの改ざん又は各センサパケットのなりすまし等が発生した場合には、制御パケットによる駆動ＥＣＵ２０及びステアリングＥＣＵ２２の誤制御が引き起こされる可能性が高い。そのため、検知部３０がセンサネットワーク１２に関する異常を検知した状態で、通信部２８が制御パケットを受信した場合に、判定部３２は当該制御パケットの異常の有無を判定する。
【００８０】
これにより、例えばレーザセンサ４、ミリ波センサ６及びカメラセンサ８が外部からの攻撃を受けた場合であっても、制御パケットの異常の有無を判定することにより、制御パケットによる駆動ＥＣＵ２０及びステアリングＥＣＵ２２の誤制御が引き起こされるのを抑制することができる。その結果、レーザセンサ４、ミリ波センサ６及びカメラセンサ８への攻撃に対するセキュリティ対策をより高めることができる。
【００８１】
（実施の形態２）
［２−１．異常検知ＥＣＵの機能構成］
図２を参照しながら、実施の形態２に係る異常検知ＥＣＵ１８Ａの機能構成について説明する。図２は、実施の形態２に係る異常検知ＥＣＵ１８Ａの機能構成を示すブロック図である。なお、以下に示す各実施の形態において、上記実施の形態１と同一の構成要素には同一の符号を付して、その説明を省略する。
【００８２】
図２に示すように、検知部３０Ａは、センサネットワーク１２（図１参照）に関する異常を検知した際に、受信されたセンサパケット（レーザセンサパケット、ミリ波センサパケット及びカメラセンサパケット）の送信元であるセンサ（図１に示すレーザセンサ４、ミリ波センサ６及びカメラセンサ８）を異常発生元センサとして特定する。検知部３０Ａは、特定結果（例えば実施の形態１で説明した、異常に関する情報）を判定部３２Ａに出力する。
【００８３】
判定部３２Ａは、検知部３０Ａによる特定結果に基づいて、受信された制御パケットが異常であるか否かを判定する。具体的には、判定部３２Ａは、受信された制御パケットが異常発生元センサからのセンサパケットに基づいて生成された場合には、当該制御パケットは異常であると判定するとともに、当該制御パケットによる自動運転制御（すなわち、図１に示す駆動ＥＣＵ２０及びステアリングＥＣＵ２２の制御）を継続不可であると判定する。例えば、異常発生元センサがレーザセンサ４であると特定された場合に、受信された制御パケットがレーザセンサ４からのレーザセンサパケットに基づいて生成された際には、判定部３２Ａは、当該制御パケットは異常であると判定するとともに、当該制御パケットによる自動運転制御を継続不可であると判定する。
【００８４】
一方、判定部３２Ａは、受信された制御パケットが異常発生元センサ以外の他のセンサからのセンサパケットに基づいて生成された場合には、当該制御パケットは異常ではないと判定するとともに、当該制御パケットによる自動運転制御を継続可能であると判定する。例えば、異常発生元センサがレーザセンサ４であると特定された場合に、受信された制御パケットがカメラセンサ８からのカメラセンサパケットに基づいて生成された際には、判定部３２Ａは、当該制御パケットは異常ではないと判定するとともに、当該制御パケットによる自動運転制御を継続可能であると判定する。
【００８５】
通知部３４Ａは、判定部３２Ａにより自動運転制御が継続不可であると判定された場合に、自動運転制御が継続不可であることを自動運転ＥＣＵ１４（図１参照）に通知するための継続不可通知信号を生成し、生成した継続不可通知信号を通信部２８に出力する。また、通知部３４Ａは、判定部３２Ａにより自動運転制御が継続可能であると判定された場合に、自動運転制御が継続可能であることを自動運転ＥＣＵ１４に通知するための継続可能通知信号を生成し、生成した継続可能通知信号を通信部２８に出力する。
【００８６】
［２−２．異常検知ＥＣＵの動作］
次に、図５を参照しながら、車両の自動運転時における異常検知ＥＣＵ１８Ａの動作について説明する。図５は、実施の形態２に係る異常検知ＥＣＵ１８Ａの動作の流れを示すフローチャートである。なお、図５のフローチャートにおいて、上述した図３のフローチャートの処理と同一の処理には同一のステップ番号を付して、その説明を省略する。
【００８７】
図５に示すように、上記実施の形態１と同様に、ステップＳ１０１〜Ｓ１０６が実行される。ステップＳ１０６において、通信部２８が自動運転ＥＣＵ１４からの制御パケットを受信した場合には（Ｓ１０６でＹＥＳ）、判定部３２Ａは、検知部３０Ａにより異常発生元センサが特定されたか否かを判定する（Ｓ２０１）。
【００８８】
検知部３０Ａにより異常発生元センサが特定されていない場合には（Ｓ２０１でＮＯ）、判定部３２Ａは、受信された当該制御パケットが異常であると判定し（Ｓ２０２）、当該制御パケットによる自動運転制御を継続不可であると判定する（Ｓ２０３）。この場合、通知部３４Ａは、異常通知信号及び継続不可通知信号を生成し、生成した異常通知信号及び継続不可通知信号を通信部２８に出力する。通信部２８は、通知部３４Ａからの異常通知信号及び継続不可通知信号をそれぞれサーバ装置２６（図１参照）及び自動運転ＥＣＵ１４に送信する（Ｓ２０４）。なお、自動運転ＥＣＵ１４は、異常検知ＥＣＵ１８Ａからの継続不可通知信号に基づいて、車両の縮退制御を行ってもよい。その後、上述したステップＳ１０５に進む。
【００８９】
ステップＳ２０１に戻り、検知部３０Ａにより異常発生元センサが特定されている場合には（Ｓ２０１でＹＥＳ）、判定部３２Ａは、受信された制御パケットが異常発生元センサからのセンサパケットに基づいて生成されたか否かを判定する（Ｓ２０５）。
【００９０】
受信された制御パケットが異常発生元センサからのセンサパケットに基づいて生成された場合には（Ｓ２０５でＹＥＳ）、上述したステップＳ２０２に進む。この場合、通知部３４Ａは、継続不可通知信号に対して、異常発生元センサに関する情報を付加してもよい。これにより、自動運転ＥＣＵ１４は、異常発生元センサに関する情報を取得することができるので、異常発生元センサ以外の他のセンサからのセンサパケットにより生成された制御パケットによる自動運転制御を継続することができる。
【００９１】
一方、受信された制御パケットが異常発生元センサからのセンサパケットに基づいて生成されていない、換言すると、受信された制御パケットが異常発生元センサ以外の他のセンサからのセンサパケットに基づいて生成された場合には（Ｓ２０５でＮＯ）、判定部３２Ａは、受信された当該制御パケットが異常ではないと判定し（Ｓ２０６）、当該制御パケットによる自動運転制御を継続可能であると判定する（Ｓ２０７）。この場合、通知部３４Ａは、継続可能通知信号を生成し、生成した継続可能通知信号を通信部２８に出力する。通信部２８は、通知部３４Ａからの継続可能通知信号を自動運転ＥＣＵ１４に送信する（Ｓ２０８）。なお、自動運転ＥＣＵ１４は、異常検知ＥＣＵ１８Ａからの継続可能通知信号に基づいて、車両の自動運転制御を継続する。その後、上述したステップＳ１０５に進む。
【００９２】
［２−３．効果］
上述したように、判定部３２Ａは、受信された制御パケットが異常発生元センサ以外の他のセンサからのセンサパケットに基づいて生成された場合には、当該制御パケットは異常ではないと判定するとともに、当該制御パケットによる自動運転制御を継続可能であると判定する。これにより、自動運転ＥＣＵ１４による自動運転制御を無駄に停止させることを回避することができる。
【００９３】
（実施の形態３）
［３−１．異常検知ＥＣＵの機能構成］
図２を参照しながら、実施の形態３に係る異常検知ＥＣＵ１８Ｂの機能構成について説明する。図２は、実施の形態３に係る異常検知ＥＣＵ１８Ｂの機能構成を示すブロック図である。
【００９４】
図２に示すように、判定部３２Ｂは、検知部３０による検知結果に基づいて、受信された制御パケットによる自動運転制御を継続可能であるか否かを判定する。判定部３２Ｂは、制御パケットによる自動運転制御が継続不可であると判定した場合には、当該制御パケットは異常であると判定する。一方、判定部３２Ｂは、制御パケットによる自動運転制御が継続可能であると判定した場合には、当該制御パケットは異常ではないと判定する。
【００９５】
通知部３４Ｂは、判定部３２Ｂにより自動運転制御が継続不可であると判定された場合には、上記実施の形態２で説明した継続不可通知信号を生成し、生成した継続不可通知信号を通信部２８に出力する。また、通知部３４Ｂは、判定部３２Ｂにより自動運転制御が継続可能であると判定された場合には、上記実施の形態２で説明した継続可能通知信号を生成しない。
【００９６】
［３−２．異常検知ＥＣＵの動作］
次に、図６及び図７を参照しながら、車両の自動運転時における異常検知ＥＣＵ１８Ｂの動作について説明する。図６は、実施の形態３に係る異常検知ＥＣＵ１８Ｂの動作の流れを示すフローチャートである。図７は、図６のフローチャートのステップＳ３０１の内容を具体的に示すフローチャートである。なお、図６のフローチャートにおいて、上述した図３のフローチャートの処理と同一の処理には同一のステップ番号を付して、その説明を省略する。
【００９７】
図６に示すように、上記実施の形態１と同様に、ステップＳ１０１〜Ｓ１０６が実行される。ステップＳ１０６において、通信部２８が自動運転ＥＣＵ１４（図１参照）からの制御パケットを受信した場合には（Ｓ１０６でＹＥＳ）、判定部３２Ｂは、検知部３０による検知結果に基づいて、受信された制御パケットによる自動運転制御が継続可能であるか否かを判定する（Ｓ３０１）。ステップＳ３０１における具体的な処理については、後で詳述する。
【００９８】
判定部３２Ｂは、受信された制御パケットによる自動運転制御が継続可能であると判定した場合には（Ｓ３０２でＹＥＳ）、受信された当該制御パケットが異常ではないと判定する（Ｓ３０３）。この場合、通知部３４Ｂは、異常通知信号を生成し、生成した異常通知信号を通信部２８に出力する。なお、この異常通知信号は、センサネットワーク１２に関する異常をサーバ装置２６（図１参照）に通知するための信号である。通信部２８は、通知部３４Ｂからの異常通知信号をサーバ装置２６に送信する（Ｓ３０４）。その後、上述したステップＳ１０５に進む。
【００９９】
ステップＳ３０２に戻り、判定部３２Ｂは、受信された制御パケットによる自動運転制御が継続不可であると判定した場合には（Ｓ３０２でＮＯ）、受信された当該制御パケットが異常であると判定する（Ｓ３０５）。この場合、通知部３４Ｂは、異常通知信号及び継続不可通知信号を生成し、生成した異常通知信号及び継続不可通知信号を通信部２８に出力する。通信部２８は、通知部３４Ｂからの異常通知信号及び継続不可通知信号をそれぞれサーバ装置２６及び自動運転ＥＣＵ１４に送信する（Ｓ３０６）。その後、上述したステップＳ１０５に進む。
【０１００】
ここで、図７を参照しながら、図６のステップＳ３０１における処理について具体的に説明する。
【０１０１】
図７に示すように、判定部３２Ｂは、まず、レーザセンサ４、ミリ波センサ６及びカメラセンサ８（図１参照）のうち異常のあるセンサの数が１つであるか否かを判定する（Ｓ３０１１）。レーザセンサ４、ミリ波センサ６及びカメラセンサ８のうち異常のあるセンサの数が２つ以上である場合には（Ｓ３０１１でＮＯ）、判定部３２Ｂは、受信された制御パケットによる自動運転制御が継続不可であると判定し（Ｓ３０１２）、上述したステップＳ３０２のＮＯに進む。
【０１０２】
なお、ステップＳ３０１１において、上述した判断条件に代えて、レーザセンサ４（ＬｉＤＡＲ）が異常である場合に、ステップＳ３０１１からステップＳ３０１２に進むようにしてもよい。
【０１０３】
ステップＳ３０１１に戻り、レーザセンサ４、ミリ波センサ６及びカメラセンサ８のうち異常のあるセンサの数が１つである場合には（Ｓ３０１１でＹＥＳ）、判定部３２Ｂは、異常のあるセンサ情報（距離情報、相対速度情報及び物体認識情報）が１種類であるか否かを判定する（Ｓ３０１３）。異常のあるセンサ情報が２種類以上である場合には（Ｓ３０１３でＮＯ）、判定部３２Ｂは、受信された制御パケットによる自動運転制御が継続不可であると判定し（Ｓ３０１２）、上述したステップＳ３０２のＮＯに進む。
【０１０４】
なお、ステップＳ３０１３において、上述した判断条件に代えて、センサ情報のうち距離情報に異常がある場合に、ステップＳ３０１３からステップＳ３０１２に進むようにしてもよい。また、ステップＳ３０１３において、上述した判断条件に代えて、センサ情報のうち物体認識情報のみに異常がある場合に、ステップＳ３０１３からステップＳ３０１４に進むようにしてもよい。
【０１０５】
ステップＳ３０１３に戻り、異常のあるセンサ情報が１種類である場合には（Ｓ３０１３でＹＥＳ）、判定部３２Ｂは、レーザセンサ４、ミリ波センサ６及びカメラセンサ８への攻撃が特定可能か否かを判定する（Ｓ３０１４）。攻撃が特定不可である場合には（Ｓ３０１４でＮＯ）、判定部３２Ｂは、受信された制御パケットによる自動運転制御が継続不可であると判定し（Ｓ３０１２）、上述したステップＳ３０２のＮＯに進む。なお、攻撃が特定不可である場合としては、例えば、センサパケットのなりすまし、及び、センサパケット数の超過によるサービス拒否攻撃等が考えられる。
【０１０６】
ステップＳ３０１４に戻り、攻撃が特定可能である場合には（Ｓ３０１４でＹＥＳ）、判定部３２Ｂは、受信された制御パケットによる自動運転制御が継続可能であると判定し（Ｓ３０１５）、上述したステップＳ３０２のＹＥＳに進む。なお、攻撃が特定可能である場合としては、例えば、センサパケットの改ざんが検知された場合等が考えられる。
【０１０７】
［３−３．効果］
上述したように、判定部３２Ｂは、検知部３０による検知結果に基づいて、受信された制御パケットによる自動運転制御を継続可能であるか否かを判定する。これにより、自動運転ＥＣＵ１４による自動運転制御を無駄に停止させることを回避することができる。
【０１０８】
（他の変形例）
以上、一つ又は複数の態様に係る電子制御装置及び電子制御システムについて、上記各実施の形態に基づいて説明したが、本開示は、上記各実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思い付く各種変形を上記各実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、一つ又は複数の態様の範囲内に含まれてもよい。
【０１０９】
上記各実施の形態では、電子制御装置を車両の自動運転システムに搭載された異常検知ＥＣＵ１８，１８Ａ，１８Ｂに適用したが、これに限定されず、例えば任意のシステムに搭載されたＥＣＵ等に適用してもよい。
【０１１０】
上記各実施の形態では、本開示に係る異常検知ＥＣＵ１８，１８Ａ，１８Ｂの適用例として、車両（自動車等）に搭載される車載ネットワークにおけるセキュリティ対策への適用について説明したが、本開示に係る異常検知ＥＣＵ１８，１８Ａ，１８Ｂの適用範囲はこれに限定されない。本開示に係る異常検知ＥＣＵ１８，１８Ａ，１８Ｂは、自動車等の車両に限定されず、例えば、建機、農機、船舶、鉄道又は飛行機等の任意のモビリティに適用してもよい。
【０１１１】
上記各実施の形態では、異常検知ＥＣＵ１８，１８Ａ，１８Ｂがセンサネットワーク１２に関する異常を検知したが、これに限定されず、例えばスイッチ１０がセンサネットワーク１２に関する異常を検知してもよい。この場合、異常検知ＥＣＵ１８，１８Ａ，１８Ｂ及びスイッチ１０が電子制御装置を構成するようになる。
【０１１２】
上記各実施の形態では、自動運転ＥＣＵ１４と異常検知ＥＣＵ１８，１８Ａ，１８Ｂとを別々の構成としたが、これに限定されず、例えば自動運転ＥＣＵ１４が異常検知ＥＣＵ１８，１８Ａ，１８Ｂの機能を有していてもよい。
【０１１３】
なお、上記実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵ又はプロセッサ等のプログラム実行部が、ハードディスク又は半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。
【０１１４】
また、上記実施の形態に係る電子制御装置の機能の一部又は全てを、ＣＰＵ等のプロセッサがプログラムを実行することにより実現してもよい。
【０１１５】
上記の各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしても良い。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしても良い。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしても良い。
【０１１６】
本開示は、上記に示す方法であるとしても良い。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしても良いし、前記コンピュータプログラムからなるデジタル信号であるとしても良い。また、本開示は、前記コンピュータプログラム又は前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えばフレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ（登録商標）  Ｄｉｓｃ）、半導体メモリ等に記録したものとしても良い。また、これらの記録媒体に記録されている前記デジタル信号であるとしても良い。また、本開示は、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしても良い。また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしても良い。また、前記プログラム又は前記デジタル信号を前記記録媒体に記録して移送することにより、又は前記プログラム又は前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしても良い。
【産業上の利用可能性】
【０１１７】
本開示に係る電子制御装置は、例えば自動運転システムに搭載されたＥＣＵ等に適用可能である。
【符号の説明】
【０１１８】
２  通信システム
４  レーザセンサ
６  ミリ波センサ
８  カメラセンサ
１０  スイッチ
１２  センサネットワーク
１４  自動運転ＥＣＵ
１６  制御ネットワーク
１８，１８Ａ，１８Ｂ  異常検知ＥＣＵ
２０  駆動ＥＣＵ
２２  ステアリングＥＣＵ
２４  外部ネットワーク
２６  サーバ装置
２８  通信部
３０，３０Ａ  検知部
３２，３２Ａ，３２Ｂ  判定部
３４，３４Ａ，３４Ｂ  通知部
【図１】
2020068506.tif 000003
【図２】
2020068506.tif 000004
【図３】
2020068506.tif 000005
【図４】
2020068506.tif 000006
【図５】
2020068506.tif 000007
【図６】
2020068506.tif 000008
【図７】
2020068506.tif 000009