(57)【要約】【課題】運用時における制御装置の動作を正確に検査し得る検査装置、検査システム及び検査方法を提案する。【解決手段】車載ネットワークに接続されたＥＣＵの動作を検査する検査装置において、ＥＣＵの動作を検査するために用いられる動作検査用データ及びセキュリティチェック用データの２つのデータをＥＣＵに送信し、ＥＣＵから出力されるデータを受信する検査実行制御部を備え、動作検査用データは、ＥＣＵの設計情報に基づいて予め生成されるデータであり、セキュリティチェック用データは、動作検査用データの一部又は全部をランダムデータに置き換えたデータであることを特徴とする。【選択図】図１
2015214169.tif 000002
【特許請求の範囲】
【請求項１】
車載ネットワークに接続されたＥＣＵの動作を検査する検査装置において、
前記ＥＣＵの動作を検査するために用いられる動作検査用データ及びセキュリティチェック用データの２つのデータを前記ＥＣＵに送信し、前記ＥＣＵから出力されるデータを受信する検査実行制御部を備え、
前記動作検査用データは、
前記ＥＣＵの設計情報に基づいて予め生成されるデータであり、
前記セキュリティチェック用データは、
前記動作検査用データの一部又は全部をランダムデータに置き換えたデータである
ことを特徴とする検査装置。
【請求項２】
前記検査実行制御部は、
前記動作検査用データ及び前記セキュリティチェック用データを外部端末から受信し、前記ＥＣＵから出力されたデータを含む検査実行結果情報を前記外部端末に送信する
ことを特徴とする請求項１に記載の検査装置。
【請求項３】
前記セキュリティチェック用データを前記ＥＣＵに送信した場合に前記ＥＣＵから出力されると予想される予想出力データを備え、
前記検査実行制御部は、
前記ＥＣＵから出力されたデータと、前記予想出力データとを比較することにより前記ＥＣＵから出力されたデータを解析し、解析結果に基づいて、前記ＥＣＵの動作が正常であるか否かを判定することにより、前記ＥＣＵの動作を検査する
ことを特徴とする請求項１に記載の検査装置。
【請求項４】
前記検査実行制御部は、
前記ＥＣＵの動作の検査結果を外部端末に送信する
ことを特徴とする請求項３に記載の検査装置。
【請求項５】
前記検査実行制御部は、
前記ＥＣＵを備える自動車の車両状態を確認し、車両状態がスタンバイ状態である場合に限って、前記動作検査用データ及び前記セキュリティチェック用データの２つのデータを前記ＥＣＵに送信する
ことを特徴とする請求項１に記載の検査装置。
【請求項６】
車載ネットワークに接続されたＥＣＵの動作を検査する検査システムにおいて、
前記ＥＣＵの動作を検査するスケジュールを計画する検査計画部と、
前記ＥＣＵの動作を検査するために用いられる動作検査用データ及びセキュリティチェック用データの２つのデータを生成する検査データ生成部と、
前記計画されたスケジュールに従って、前記生成された２つのデータを外部に送信する検査制御部とを備えるサービス提供サーバと、
前記サービス提供サーバから送信される前記動作検査用データ及び前記セキュリティチェック用データの２つのデータを受信した場合、受信した２つのデータを前記ＥＣＵに送信し、前記ＥＣＵから出力されるデータを受信した場合、受信したデータを含む検査実行結果情報を前記サービス提供サーバに送信するゲートウェイとを備え、
前記動作検査用データは、
前記ＥＣＵの設計情報に基づいて予め生成されるデータであり、
前記セキュリティチェック用データは、
前記動作検査用データの一部又は全部をランダムデータに置き換えたデータである
ことを特徴とする検査システム。
【請求項７】
前記サービス提供サーバは、
前記セキュリティチェック用データを前記ＥＣＵに送信した場合に前記ＥＣＵから出力されると予想される予想出力データを備え、
前記ゲートウェイから送信された前記検査実行結果情報を受信した場合、受信した前記検査実行結果情報に含まれる前記ＥＣＵから出力されたデータと、前記予想出力データとを比較することにより前記ＥＣＵから出力されたデータを解析し、解析結果に基づいて、前記ＥＣＵの動作が正常であるか否かを判定することにより、前記ＥＣＵの動作を検査する検査結果解析部を備える
ことを特徴とする請求項６に記載の検査システム。
【請求項８】
前記サービス提供サーバは、
前記ＥＣＵが所属する車載ネットワークの識別情報であるＣＡＮ−ＩＤと、前記セキュリティチェック用データが格納されるデータフィールドの構成要素である複数の詳細フィールドとの対応関係を示すフィールド構造情報と、
前記ＣＡＮ−ＩＤと、前記詳細フィールドの依存関係との対応関係を示すフィールド依存関係情報とを備え、
前記検査データ生成部は、
前記セキュリティチェック用データを生成する際、
前記フィールド構造情報を参照して、前記詳細フィールドの構造を解析し、前記詳細フィールドの区分を特定し、前記フィールド依存関係情報を参照して、前記詳細フィールドの区分の依存関係を特定し、特定した前記詳細フィールドの区分及び区分の依存関係に基づいて、前記詳細フィールドのうちの何れか又は全てにランダムデータを割り当てて格納することにより、前記セキュリティチェック用データを生成する
ことを特徴とする請求項６に記載の検査システム。
【請求項９】
通信機能付き端末を備え、
前記サービス提供サーバは、
前記検査結果を前記通信機能付き端末に送信する
ことを特徴とする請求項６に記載の検査システム。
【請求項１０】
車載ネットワークに接続されたＥＣＵの動作を検査する検査方法において、
検査計画部が、前記ＥＣＵの動作を検査するスケジュールを計画する第１のステップと、
検査データ生成部が、前記ＥＣＵの動作を検査するために用いられる動作検査用データ及びセキュリティチェック用データの２つのデータを生成する第２のステップと、
検査制御部が、前記計画されたスケジュールに従って、前記生成された２つのデータを外部に送信する第３のステップとを備え、
ゲートウェイが、サービス提供サーバから送信される前記動作検査用データ及び前記セキュリティチェック用データの２つのデータを受信した場合、受信した２つのデータを前記ＥＣＵに送信し、前記ＥＣＵから出力されるデータを受信した場合、受信したデータを含む検査実行結果情報を前記サービス提供サーバに送信する第４のステップとを備え、
前記動作検査用データは、
前記ＥＣＵの設計情報に基づいて予め生成されるデータであり、
前記セキュリティチェック用データは、
前記動作検査用データの一部又は全部をランダムデータに置き換えたデータである
ことを特徴とする検査方法。
【請求項１１】
前記サービス提供サーバは、
前記セキュリティチェック用データを前記ＥＣＵに送信した場合に前記ＥＣＵから出力されると予想される予想出力データを備え、
検査結果解析部が、前記ゲートウェイから送信された前記検査実行結果情報を受信した場合、受信した前記検査実行結果情報に含まれる前記ＥＣＵから出力されたデータと、前記予想出力データとを比較することにより前記ＥＣＵから出力されたデータを解析し、解析結果に基づいて、前記ＥＣＵの動作が正常であるか否かを判定することにより、前記ＥＣＵの動作を検査する第５のステップを備える
ことを特徴とする請求項１０に記載の検査方法。
【請求項１２】
前記サービス提供サーバは、
前記ＥＣＵが所属する車載ネットワークの識別情報であるＣＡＮ−ＩＤと、前記セキュリティチェック用データが格納されるデータフィールドの構成要素である複数の詳細フィールドとの対応関係を示すフィールド構造情報と、
前記ＣＡＮ−ＩＤと、前記詳細フィールドの依存関係との対応関係を示すフィールド依存関係情報とを備え、
前記検査データ生成部が、前記セキュリティチェック用データを生成する際、
前記フィールド構造情報を参照して、前記詳細フィールドの構造を解析し、前記詳細フィールドの区分を特定し、前記フィールド依存関係情報を参照して、前記詳細フィールドの区分の依存関係を特定し、特定した前記詳細フィールドの区分及び区分の依存関係に基づいて、前記詳細フィールドのうちの何れか又は全てにランダムデータを割り当てて格納することにより、前記セキュリティチェック用データを生成する第６のステップを備える
ことを特徴とする請求項１０に記載の検査方法。
【請求項１３】
前記サービス提供サーバが、前記検査結果を通信機能付き端末に送信する第７のステップを備える
ことを特徴とする請求項１０に記載の検査方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、自動車に搭載された制御装置の動作を検査する検査装置、検査システム及び検査方法に関し、特に車載ネットワークに接続された制御装置の動作を検査する検査装置、検査システム及び検査方法に適用して好適なものである。
【背景技術】
【０００２】
近年、自動車に搭載された複数の制御装置（Electronic Control Unit : ECU）を車載ネットワーク（Controller Area Network : CAN）に接続し、この車載ネットワークを介して、複数の制御装置を連携して動作させる技術が開発されている。
【０００３】
複数のＥＣＵには、例えばエンジンの制御を行うエンジンＥＣＵ、シフトチェンジの制御を行うトランスミッションＥＣＵ及びブレーキ油圧の調整を行うブレーキＥＣＵ等がある。そして特許文献１には、これら複数のＥＣＵが連携して動作する場合に連携動作の不具合を判断し、故障個所を特定する技術が開示されている。
【０００４】
具体的に特許文献１には、車載ネットワークを介してＥＣＵ間で送受信されるデータに基づいて、連係動作による不具合の発生を判断する不具合判断手段と、不具合の発生が判断されると、不具合に対応させて予め用意された検査診断プログラムを取得するプログラム取得手段と、検査診断プログラムを実行することによりＥＣＵに対して対応処理を実行させて、対応処理の実行によりＥＣＵから送信される情報に基づいて、故障個所を特定する故障個所特定手段とを備えた故障診断システムが開示されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特許第４６２２１７７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかし特許文献１に記載の故障診断システムでは、予め用意された検査診断プログラムを用いて故障個所を特定するものであり、検査診断プログラムはＥＣＵの設計情報に基づいて、運用前に予め生成されるプログラムであることから、運用時において設計段階では想定されないデータがＥＣＵに送信された場合にＥＣＵが正常に動作するか否かを判断することはできない。
【０００７】
すなわち故障（機能不全）についてはその故障を特定することはできるが、動作はしているがその動作が正常であるのか異常であるのかを正確に判断することはできない。
【０００８】
本発明は以上の点を考慮してなされたものであり、運用時におけるＥＣＵの動作を正確に検査し得る検査装置、検査システム及び検査方法を提案する。
【課題を解決するための手段】
【０００９】
かかる課題を解決するために、本発明の検査装置においては、ＥＣＵの動作を検査するために用いられる動作検査用データ及びセキュリティチェック用データの２つのデータをＥＣＵに送信し、ＥＣＵから出力されるデータを受信する検査実行制御部を備え、動作検査用データは、ＥＣＵの設計情報に基づいて予め生成されるデータであり、セキュリティチェック用データは、動作検査用データの一部又は全部をランダムデータに置き換えたデータであることを特徴とする。
【００１０】
またかかる課題を解決するために、本発明の検査システムにおいては、ＥＣＵの動作を検査するスケジュールを計画する検査計画部と、ＥＣＵの動作を検査するために用いられる動作検査用データ及びセキュリティチェック用データの２つのデータを生成する検査データ生成部と、計画されたスケジュールに従って、生成された２つのデータを外部に送信する検査制御部とを備えるサービス提供サーバと、サービス提供サーバから送信される動作検査用データ及びセキュリティチェック用データの２つのデータを受信した場合、受信した２つのデータをＥＣＵに送信し、ＥＣＵから出力されるデータを受信した場合、受信したデータを含む検査実行結果情報をサービス提供サーバに送信するゲートウェイとを備え、動作検査用データは、ＥＣＵの設計情報に基づいて予め生成されるデータであり、セキュリティチェック用データは、動作検査用データの一部又は全部をランダムデータに置き換えたデータであることを特徴とする。
【００１１】
またかかる課題を解決するために、本発明の検査方法においては、検査計画部が、ＥＣＵの動作を検査するスケジュールを計画する第１のステップと、検査データ生成部が、ＥＣＵの動作を検査するために用いられる動作検査用データ及びセキュリティチェック用データの２つのデータを生成する第２のステップと、検査制御部が、計画されたスケジュールに従って、生成された２つのデータを外部に送信する第３のステップとを備え、ゲートウェイが、サービス提供サーバから送信される動作検査用データ及びセキュリティチェック用データの２つのデータを受信した場合、受信した２つのデータをＥＣＵに送信し、ＥＣＵから出力されるデータを受信した場合、受信したデータを含む検査実行結果情報をサービス提供サーバに送信する第４のステップとを備え、動作検査用データは、ＥＣＵの設計情報に基づいて予め生成されるデータであり、セキュリティチェック用データは、動作検査用データの一部又は全部をランダムデータに置き換えたデータであることを特徴とする。
【発明の効果】
【００１２】
本発明によれば、運用時におけるＥＣＵの動作を正確に検査することができる。
【図面の簡単な説明】
【００１３】
【図１】本実施の形態における検査システムの全体構成図である。
【図２】ユーザ情報の論理構成図である。
【図３】検査対象車両情報の論理構成図である。
【図４】検査対象ＥＣＵ情報の論理構成図である。
【図５】セキュリティチェック用データ情報の論理構成図である。
【図６】動作検査用データ情報の論理構成図である。
【図７】スケジュール情報の論理構成図である。
【図８】フィールド構造情報の論理構成図である。
【図９】フィールド区分情報の論理構成図である。
【図１０】フィールド依存関係情報の論理構成図である。
【図１１】検査結果情報の論理構成図である。
【図１２】検査照合結果情報の論理構成図である。
【図１３】検査実行データ情報の論理構成図である。
【図１４】検査実行結果情報の論理構成図である。
【図１５】データフレーム構造の構成図である。
【図１６】スケジュール承認画面の画面構成図である。
【図１７】スケジュール登録処理のフローチャートである。
【図１８】通信機能付端末側のスケジュール登録処理のフローチャートである。
【図１９】サービス提供サーバ側のスケジュール登録処理のフローチャートである。
【図２０】ＥＣＵ検査処理のフローチャートである。
【図２１】通信機能付端末側のＥＣＵ検査処理のフローチャートである。
【図２２】サービス提供サーバ側のＥＣＵ検査処理のフローチャートである。
【図２３】自動車のゲートウェイ側のＥＣＵ検査処理のフローチャートである。
【図２４】セキュリティチェック用データ生成処理のフローチャートである。
【図２５】ゲートウェイが検査結果を解析する場合のＥＣＵ検査処理のフローチャートである。
【発明を実施するための形態】
【００１４】
以下図面について、本発明の一実施の形態を詳述する。
【００１５】
（１）全体構成
図１は、本実施の形態における検査システム５の全体構成を示す。検査システム５は、自動車１、サービス提供サーバ２及び通信機能付き端末３を備えて構成される。またこれら自動車１、サービス提供サーバ２及び通信機能付き端末３は、通信網４を介して互いに通信可能に接続される。通信網４は、例えば携帯電話網又は無線ＬＡＮ（Local Area Network）である。
【００１６】
自動車１は、ゲートウェイ１１及び複数のＥＣＵ（Electronic Control Unit）１２を備えて構成される。ゲートウェイ１１と各ＥＣＵ１２との間は、ＣＡＮ（Controller Area Network）と呼ばれる車載ネットワークにより接続される。
【００１７】
ゲートウェイ１１は、ここでは検査装置として機能する端末であり、検査実行制御部１１１、検査情報取得部１１２、検査実行部１１３、検査監視部１１４、通信部１１５及び検査情報管理部１１６を備えて構成される。
【００１８】
検査実行制御部１１１は、通信部１１５を介して受信した検査実行データ情報１１６１を検査情報管理部１１６に格納し、また検査情報管理部１１６に格納した検査実行データ情報１１６１を取得してＥＣＵ１２に送信する。検査実行データ情報１１６１には、動作検査用データ及びセキュリティチェック用データがある。
【００１９】
動作検査用データとは、設計情報に基づいて、設計段階で予め生成されるＥＣＵ１２のテスト用のデータである。詳細については後述する（図６）。またセキュリティチェック用データとは、実際の運用時においてＥＣＵ１２の動作が正常であるのか異常であるのかを検査及び診断するためのテスト用のデータである。詳細については後述する（図５）。なおこれらをまとめて検査用データと呼ぶ場合がある。
【００２０】
検査情報取得部１１２は、検査情報管理部１１６に格納されている検査実行結果情報１１６２を取得し、通信部１１５を介して、この検査実行結果情報１１６２をサービス提供サーバ２に送信する。検査実行部１１３は、検査実行制御部１１１からの検査実行要求に基づいて、動作検査用データ及びセキュリティチェック用データをＥＣＵ１２に送信する。
【００２１】
検査監視部１１４は、動作検査用データ及びセキュリティチェック用データに基づいてＥＣＵ１２から出力されるデータを監視及び取得し、取得したデータを検査実行結果情報１１６２として検査情報管理部１１６に格納する。
【００２２】
ＥＣＵ１２は、自動車１が備える各種機器を制御する制御装置である。ＥＣＵ１２には、例えばエンジンの制御を行うエンジンＥＣＵ、シフトチェンジの制御を行うトランスミッションＥＣＵ及びブレーキ油圧の調整を行うブレーキＥＣＵ等がある。
【００２３】
サービス提供サーバ２は、検査計画部２１、検査制御部２２、検査データ生成部２３、依存関係解析部２３１、フィールド構造解析部２３２、検査データ割当部２３３、検査データ投入部２４、検査結果回収部２５、検査結果解析部２６及び検査サービス情報管理部２７を備えて構成される。
【００２４】
検査計画部２１は、ＥＣＵ１２に対して実行する検査のスケジュールを計画し、計画したスケジュールを自動車１の利用者が所有する通信機能付き端末３に送信し、通信機能付き端末３において承認されたスケジュールを受信して、このスケジュールを検査サービス情報管理部２７に格納する。
【００２５】
検査制御部２２は、検査データ生成部２３、検査データ投入部２４、検査結果回収部２５及び検査結果解析部２６の動作を統括的に制御する。
【００２６】
検査データ生成部２３は、依存関係解析部２３１、フィールド構造解析部２３２及び検査データ割当部２３３を用いてセキュリティチェック用データを生成し、生成したセキュリティチェック用データを検査サービス情報管理部２７に格納する。
【００２７】
検査データ投入部２４は、検査の実行を通知するお知らせを自動車１の利用者が所有する通信機能付き端末３に送信し、検査サービス情報管理部２７からセキュリティチェック用データ及び動作検査用データを取得して検査対象の自動車１に送信する。
【００２８】
検査結果回収部２５は、ゲートウェイ１１から検査完了通知を受信すると、検査実行結果情報１１６２の回収要求をゲートウェイ１１に送信し、ゲートウェイ１１から回収した検査実行結果情報１１６２を検査サービス情報管理部２７に格納する。
【００２９】
検査結果解析部２６は、検査サービス情報管理部２７から検査結果情報２８０及び検査照合結果情報２８１を取得し、両者を比較して、ＥＣＵ１２から出力された信号が異常であるか否かを解析する。
【００３０】
検査サービス情報管理部２７は、サービス提供サーバ２の動作に必要な各種情報（２７１〜２８１）を備える。各種情報の詳細については後述する（図２〜図１４）。
【００３１】
通信機能付き端末３は、画面表示部３１、サービス実行確認部３２及び通信部３３を備えて構成される。画面表示部３１は、サービス提供サーバ２により計画された検査のスケジュールを表示画面に表示し、またサービス提供サーバ２により解析された検査結果を表示画面に表示する。サービス実行確認部３２は、表示画面に表示された検査のスケジュールについて、編集及び承認の処理を実行する。
【００３２】
（２）テーブル構成
以下図２〜図１２を参照して、サービス提供サーバ２の検査サービス情報管理部２７に格納されている各種情報について説明する。
【００３３】
図２は、ユーザ情報２７１の論理構成を示す。ユーザ情報２７１は、ユーザＩＤ欄２７１１、ユーザＰＡＳＳ欄２７１２及びユーザ名欄２７１３から構成される。ユーザＩＤ欄２７１１には、検査システム５を利用するユーザの識別情報が格納され、ユーザＰＡＳＳ欄２７１２には、ユーザのパスワードが格納される。またユーザ名欄２７１３には、ユーザ名が格納される。
【００３４】
図３は、検査対象車両情報２７２の論理構成を示す。検査対象車両情報２７２は、ユーザＩＤ欄２７２１、ＶＩＮ（Vehicle Identification Number）欄２７２２、メーカ欄２７２３、車種欄２７２４、車色欄２７２５及び車両ナンバ欄２７２６から構成される。
【００３５】
ユーザＩＤ欄２７２１には、ユーザの識別情報が格納され、ＶＩＮ欄２７２２には、検査対象の自動車１を識別する識別情報が格納される。またメーカ欄２７２３には、自動車１のメーカ名が格納され、車種欄２７２４には、自動車１の車種が格納され、車色欄２７２５には、自動車１の色が格納される。また車両ナンバ欄２７２６には、自動車１の車両ナンバが格納される。
【００３６】
図４は、検査対象ＥＣＵ情報２７３の論理構成を示す。検査対象ＥＣＵ情報２７３は、車種欄２７３１、ＥＣＵ−ＩＤ欄２７３２、ＥＣＵ名欄２７３３、検査対象フラグ欄２７３４、検査期限欄２７３５及びＣＡＮ−ＩＤ欄２７３６から構成される。
【００３７】
車種欄２７３１には、検査対象の自動車１の車種が格納され、ＥＣＵ−ＩＤ欄２７３２には、検査対象のＥＣＵ１２を識別する識別情報が格納される。またＥＣＵ名欄２７３３には、ＥＣＵ名が格納され、検査対象フラグ欄２７３４には、検査対象であるか否かの情報が格納され、例えば「対象」又は「非対象」が格納される。
【００３８】
また検査期限欄２７３５には、検査の期限が格納され、ＣＡＮ−ＩＤ欄２７３６には、検査対象のＥＣＵ１２が接続しているＣＡＮの識別情報が格納される。
【００３９】
図５は、セキュリティチェック用データ情報２７４の論理構成を示す。セキュリティチェック用データ情報２７４は、検査ＩＤ欄２７４１、ＥＣＵ−ＩＤ欄２７４２、ＣＡＮ−ＩＤ欄２７４３及び検査データ欄２７４４から構成される。
【００４０】
検査ＩＤ欄２７４１には、検査対象のＥＣＵ１２ごとに割り当てられたセキュリティチェック用データを用いた検査を識別する識別情報が格納され、ＥＣＵ−ＩＤ欄２７４２には、セキュリティチェック用データを用いた検査の対象となるＥＣＵ１２を識別する識別情報が格納される。
【００４１】
またＣＡＮ−ＩＤ欄２７４３には、検査対象のＥＣＵ１２が接続しているＣＡＮの識別情報が格納され、検査データ欄２７４４には、検査用データが格納され、例えばＣＡＮプロトコルのデータフィールドに該当するデータが格納される。
【００４２】
図６は、動作検査用データ情報２７５の論理構成を示す。動作検査用データ情報２７５は、セキュリティチェック用データ情報２７４と同様、検査ＩＤ欄２７５１、ＥＣＵ−ＩＤ欄２７５２、ＣＡＮ−ＩＤ欄２７５３及び検査データ欄２７５４から構成される。
【００４３】
検査ＩＤ欄２７５１には、検査対象のＥＣＵ１２ごとに割り当てられた動作検査用データを用いた検査を識別する識別情報が格納され、ＥＣＵ−ＩＤ欄２７５２には、動作検査用データを用いた検査の対象となるＥＣＵ１２を識別する識別情報が格納される。
【００４４】
またＣＡＮ−ＩＤ欄２７５３には、検査対象のＥＣＵ１２が接続しているＣＡＮの識別情報が格納され、検査データ欄２７５４には、検査用データが格納され、例えばＣＡＮプロトコルのデータフィールドに該当するデータが格納される。
【００４５】
図７は、スケジュール情報２７６の論理構成を示す。スケジュール情報２７６は、ＶＩＮ欄２７６１、日時欄２７６２及び検査ＩＤ欄２７６３から構成される。ＶＩＮ欄２７６１には、検査対象の自動車１を識別する識別情報が格納される。
【００４６】
日時欄２７６２には、検査対象の自動車１の利用者が承認した検査日時が格納され、検査ＩＤ欄２７６３には、自動車１に対して実行する検査を識別する識別情報が格納される。
【００４７】
図８は、フィールド構造情報２７７の論理構成を示す。フィールド構造情報２７７は、車種欄２７７１、ＣＡＮ−ＩＤ欄２７７２、詳細フィールドＩＤ欄２７７３、区分ＩＤ欄２７７４及びビット数欄２７７５から構成される。
【００４８】
車種欄２７７１には、検査対象の自動車１の車種が格納され、ＣＡＮ−ＩＤ欄２７７２には、検査対象のＥＣＵ１２が接続しているＣＡＮの識別情報が格納される。
【００４９】
また詳細フィールドＩＤ欄２７７３には、ＥＣＵ１２のアプリケーションの設計情報に基づいて、ＣＡＮプロトコルのデータフィールドをより詳細に分類した意味を持つ区分を識別する識別情報が格納され、区分ＩＤ欄２７７４には、ＥＣＵ１２のアプリケーションの設計情報に基づいてデータの持つ意味を識別する識別情報が格納される。
【００５０】
例えば区分ＩＤ欄２７７４には、「有効桁、可変データ、予約データ、ダミーデータ、チェックサム等」の区分を識別するための固有値が格納される。ビット数欄２７７５には、詳細フィールドＩＤに割り当てられているビット数が格納される。
【００５１】
図９は、フィールド区分情報２７８の論理構成を示す。フィールド区分情報２７８は、区分ＩＤ欄２７８１及び区分名称欄２７８２から構成される。区分ＩＤ欄２７８１には、ＣＡＮプロトコルのデータフィールドで用いられるデータの種類を識別する識別情報が格納される。
【００５２】
また区分名称欄２７８２には、区分ＩＤに対応するＣＡＮプロトコルのデータフィールドで用いられるデータの種類の名称が格納される。例えばデータの種類の名称は、「有効桁、可変データ、予約データ、ダミーデータ、チェックサム等」のように区分してもよい。
【００５３】
図１０は、フィールド依存関係情報２７９の論理構成を示す。フィールド依存関係情報２７９は、車種欄２７９１、ＣＡＮ−ＩＤ欄２７９２及び詳細フィールドの依存関係欄２７９３から構成される。車種欄２７９１には、検査対象の自動車１の識別情報が格納され、ＣＡＮ−ＩＤ欄２７９２には、検査対象のＥＣＵ１２が接続しているＣＡＮの識別情報が格納される。
【００５４】
詳細フィールドの依存関係欄２７９３には、ＥＣＵ１２のアプリケーションの設計情報における分岐処理の条件や関数呼び出しの引数としての使われ方等に基づいてＥＣＵ１２のアプリケーションにおける詳細フィールドＩＤ（図８）の処理依存の関係を示す情報が格納され、例えば詳細フィールドＩＤ（図８）のＡ１とＡ２とに依存関係がある場合には「＆」を用いて「Ａ１＆Ａ２」が格納される。
【００５５】
図１１は、検査結果情報２８０の論理構成を示す。検査結果情報２８０は、ＶＩＮ欄２８０１、検査結果欄２８０２及び実施検査ＩＤ欄２８０３から構成される。ＶＩＮ欄２８０１には、検査対象の自動車１を識別する識別情報が格納され、検査結果欄２８０２には、実行された検査の結果がログファイルとして格納される。また実施検査ＩＤ欄２８０３には、自動車１に対して実行した検査を識別する識別情報が格納される。
【００５６】
図１２は、検査照合結果情報２８１の論理構成を示す。検査照合結果情報２８１は、車種欄２８１１、ＣＡＮ−ＩＤ欄２８１２、実施検査データ欄２８１３、予想出力データ欄２８１４及び判定結果欄２８１５から構成される。
【００５７】
車種欄２８１１には、検査対象の自動車１の車種が格納され、ＣＡＮ−ＩＤ欄２８１２には、検査対象のＥＣＵ１２が接続しているＣＡＮの識別情報が格納される。
【００５８】
また実施検査データ欄２８１３には、ＥＣＵ１２に送信した検査用データが格納され、予想出力データ欄２８１４には、実施した検査用データをＥＣＵ１２に送信した結果、ＥＣＵ１２が出力すると予想されるデータが格納される。
【００５９】
また判定結果欄２８１５には、予想出力データと、検査結果（図１１）のログファイルに格納されている出力データとを比較して判定した結果が格納され、例えば出力データが予想出力データの範囲内である場合には「異常なし」が格納され、範囲外である場合には「異常あり」が格納される。
【００６０】
次いで以下図１３及び図１４を参照して、自動車１の検査情報管理部１１６に格納されている各種情報について説明する。
【００６１】
図１３は、検査実行データ情報１１６１の論理構成を示す。検査実行データ情報１１６１は、実行順欄１１６１１、検査ＩＤ欄１１６１２、ＣＡＮ−ＩＤ欄１１６１３、検査データ欄１１６１４及び進捗状況欄１１６１５から構成される。
【００６２】
実行順欄１１６１１には、検査データ欄１１６１４に格納されている検査用データをＥＣＵ１２に送信する順序が格納され、検査ＩＤ欄１１６１２には、ＥＣＵ１２ごとに紐付けられた動作検査用データ又はセキュリティチェック用データを識別する識別情報が格納される。
【００６３】
またＣＡＮ−ＩＤ欄１１６１３には、検査対象のＥＣＵ１２が接続しているＣＡＮの識別情報が格納され、検査データ欄１１６１４には、ＥＣＵ１２に送信する検査用データ（動作検査用データ又はセキュリティチェック用データ）が格納される。
【００６４】
また進捗状況欄１１６１５には、検査データ欄１１６１４に格納されている検査用データを用いた検査が完了したか否かの情報が格納され、例えば検査用データをＥＣＵ１２に送信し、ＥＣＵ１２から出力されるデータを取得したタイミングで「完了」が格納される。
【００６５】
図１４は、検査実行結果情報１１６２の論理構成を示す。検査実行結果情報１１６２は、検査ＩＤ欄１１６２１及び検査結果欄１１６２２から構成される。検査ＩＤ欄１１６２１には、ＥＣＵごとに紐付けられた動作検査用データ又はセキュリティチェック用データを識別する識別情報が格納される。
【００６６】
また検査結果欄１１６２２には、検査実行部１１３が検査データ欄１１６１４に格納されている検査用データをＥＣＵ１２に送信し、ＥＣＵ１２から出力されたデータが格納され、例えば「日付、ＥＣＵ１２に送信した検査用データ、ＥＣＵ１２から出力されたデータ」等を記録したログファイルが格納される。
【００６７】
（３）データ構造
図１５は、データフレーム構造を示す。このデータフレーム構造は、国際標準化機構のＩＳＯ１５０３１により規定されている。
【００６８】
ＳＯＦ（Start Of Frame）フィールドは、データフレームの開始を示すフィールドであり、アービトレーションフィールドは、送信先を示すＩＤ（Identifier）及びＲＴＲ（Remote Transmission Request）から構成され、フレームの優先順位を示すフィールドである。コントローラフィールドは、予約ビット及びデータのバイト数を示すフィールドである。
【００６９】
なおアービトレーションフィールドを構成するＩＤは、本実施の形態においてはＣＡＮ−ＩＤであり、ＣＡＮ−ＩＤにより、後述するデータフィールドの構造（区分）が定められている。
【００７０】
データフィールドは、データ本体を格納するフィールドである。本実施の形態においては、このデータフィールドの一部又は全部にランダムデータを格納することにより、セキュリティチェック用データを生成している。なおセキュリティチェック用データは、サービス提供サーバ２の検査データ生成部２３により生成される。
【００７１】
セキュリティチェック用データの生成処理の詳細については後述するが（図２４）、ここで簡単に説明すると、検査データ生成部２３により、まずデータフィールドの構造（区分）を解析し、例えば４つに区分されているという解析結果を得る。次に各区分の依存関係を解析し、最後に依存関係に基づいて、検査効率の良い何れかの区分にランダムデータを格納してセキュリティチェック用データを生成する。
【００７２】
またＣＲＣフィールドは、データフレームの誤りをチェックするフィールドである。またＡＣＫフィールドは、正常に受信した確認の合図を示すフィールドであり、ＥＯＦ（End Of Frame）フィールドは、データフレームの終了を示すフィールドである。
【００７３】
（４）画面構成
図１６は、通信機能付き端末３の画面表示部３１により表示される画面構成を示す。この画面は、検査のスケジュールがサービス提供サーバ２から通信機能付き端末３に送信された場合に通信機能付き端末３において編集又は承認する際の画面である。
【００７４】
ユーザ名領域３１１には、検査対象の自動車１の利用者として登録されているユーザ名が表示される。このユーザ名は、ユーザ名欄２７１３に格納されているユーザ名から取得される。メーカ領域３１２には、検査対象の自動車１のメーカ名が表示される。このメーカ名は、メーカ欄２７２３に格納されているメーカ名から取得される。
【００７５】
また車種領域３１３には、検査対象の自動車１の車種が表示される。この車種は、車種欄２７２４に格納されている車種から取得される。車色領域３１４には、検査対象の自動車１の車色が表示される。この車色は、車色欄２７２５に格納されている車色から取得される。車両ナンバ領域３１５には、検査対象の自動車１の車両ナンバが表示される。この車両ナンバは、車両ナンバ欄２７２６に格納されている車両ナンバから取得される。
【００７６】
また検査日時領域３１６には、検査計画部２１が作成したスケジュールが編集可能に表示される。実施期限領域３１７には、検査の期限が表示される。この検査の期限は、検査期限欄２７３５に格納されている検査の期限から取得される。また登録承認ボタン３１８は、検査日時領域３１６に表示される検査日時で検査が実行されることを承認する際に押下するためのボタンである。
【００７７】
（５）フローチャート
図１７は、スケジュール登録処理の処理手順を示す。このスケジュール登録処理は、サービス提供サーバ２及び通信機能付き端末３により実行される。
【００７８】
まずサービス提供サーバ２の検査計画部２１は、検査の承認依頼の通知を送信する（ＳＰ１）。この検査の承認依頼の通知は、ＩＤ及びパスワードの送信を要求する通知である。通信機能付き端末３のサービス実行確認部３２は、この検査の承認依頼の通知を受信すると、利用者が入力したＩＤ及びパスワードをサービス提供サーバ２に送信する（ＳＰ２）。
【００７９】
次いで検査計画部２１は、ＩＤ及びパスワードを受信すると、ユーザ情報２７１を参照してＩＤ及びパスワードの認証処理を実行する（ＳＰ３）。そして検査計画部２１は、認証処理によりＩＤ及びパスワードを認証すると、検査対象車両情報２７２及び検査対象ＥＣＵ情報２７３を参照して一又は複数の検査のスケジュールを作成し、作成したスケジュールの承認依頼の通知を通信機能付き端末３に送信する（ＳＰ４）。
【００８０】
このスケジュールの承認依頼の通知は、ユーザ情報２７１、検査対象車両情報２７２及び検査対象ＥＣＵ情報２７３に含まれる各種情報とともにスケジュールを表示することを指示する通知である。画面表示部３１は、スケジュールの承認依頼の通知を受信すると、この通知に含まれる各種情報とともにスケジュールを表示画面に表示する（ＳＰ５）。なおここで表示される表示画面は、図１６で説明した表示画面である。
【００８１】
サービス実行確認部３２は、必要に応じてスケジュールを編集した後（ＳＰ６）、登録承認ボタン３１８の押下によりスケジュールを承認する（ＳＰ７）。そしてサービス実行確認部３２は、承認したスケジュールをサービス提供サーバ２に送信する（ＳＰ８）。検査計画部２１は、通信機能付き端末３からのスケジュールを受信すると、このスケジュールをスケジュール情報２７６に格納する（ＳＰ９）。
【００８２】
そして検査計画部２１は、スケジュールを格納して登録が完了したことを通知する登録完了通知を送信する（ＳＰ１０）。画面表示部３１は、登録完了通知を受信すると、登録が完了したことを示す登録完了画面を表示して（ＳＰ１１）、このスケジュール登録処理を終了する。
【００８３】
図１８は、通信機能付き端末３側のスケジュール登録処理の詳細な処理手順を示す。ここでは、図１７のスケジュール登録処理において通信機能付き端末３が実行する処理の詳細な処理手順について説明する。
【００８４】
通信機能付き端末３のサービス実行確認部３２は、検査承認依頼待ちの状態において（ＳＰ１０１）、サービス提供サーバ２から送信された検査の承認依頼の通知を受信したか否かを判断する（ＳＰ１０２）。サービス実行確認部３２は、ステップＳＰ１０２の判断で否定結果を得ると、ステップＳＰ１０１に移行して待機状態となる。
【００８５】
これに対し、サービス実行確認部３２は、ステップＳＰ１０２の判断で肯定結果を得ると、ＩＤ及びパスワードをサービス提供サーバ２に送信し、その後サービス提供サーバ２からのスケジュールの承認依頼の通知を受信すると、各種情報とともにスケジュールを表示画面に表示する（ＳＰ１０３）。
【００８６】
サービス実行確認部３２は、利用者の編集操作によりスケジュールの編集が指示されたか否かを判断する（ＳＰ１０４）。サービス実行確認部３２は、ステップＳＰ１０４の判断で否定結果を得ると、ステップＳＰ１０６に移行し、肯定結果を得るとスケジュールを編集する（ＳＰ１０５）。
【００８７】
次いでサービス実行確認部３２は、実施期限領域３１７に表示された実施期限の範囲内でスケジュールを編集し、登録承認ボタン３１８の押下によりスケジュールを承認する。そしてサービス実行確認部３２は、承認したスケジュールをサービス提供サーバ２に送信する（ＳＰ１０６）。
【００８８】
サービス実行確認部３２は、スケジュールの登録完了待ちの状態において（ＳＰ１０７）、登録完了通知を受信したか否かを判断する（ＳＰ１０８）。サービス実行確認部３２は、ステップＳＰ１０８の判断で否定結果を得ると、ステップＳＰ１０７に移行する。これに対し、サービス実行確認部３２は、ステップＳＰ１０８の判断で肯定結果を得ると、登録完了画面を表示画面に表示して（ＳＰ１０９）、このスケジュール登録処理を終了する。
【００８９】
図１９は、サービス提供サーバ２側のスケジュール登録処理の詳細な処理手順を示す。ここでは、図１７のスケジュール登録処理においてサービス提供サーバ２が実行する処理の詳細な処理手順について説明する。
【００９０】
サービス提供サーバ２の検査計画部２１は、通信機能付き端末３から送信されたＩＤ及びパスワードの認証処理を終了すると、検査対象ＥＣＵ情報２７３を参照して、「検査期限」内で一又は複数のスケジュールを作成する（ＳＰ１１１）。
【００９１】
次いで検査計画部２１は、ユーザ情報２７１及び検査対象車両情報２７２を取得し（ＳＰ１１２）、作成したスケジュールとともにユーザ情報２７１等を通信機能付き端末３に送信する（ＳＰ１１３）。次いで検査計画部２１は、通信機能付き端末３において承認されたスケジュールの受信待ちの状態において（ＳＰ１１４）、承認されたスケジュールを受信したか否かを判断する（ＳＰ１１５）。
【００９２】
検査計画部２１は、ステップＳＰ１１５の判断で否定結果を得ると、ステップＳＰ１１４に移行する。これに対し、検査計画部２１は、ステップＳＰ１１５の判断で肯定結果を得ると、受信したスケジュールをスケジュール情報２７６に格納する（ＳＰ１１６）。そして検査計画部２１は、登録完了通知を通信機能付き端末３に送信して（ＳＰ１１７）、このスケジュール登録処理を終了する。
【００９３】
図２０は、ＥＣＵ検査処理の一連の処理手順を示す。このＥＣＵ検査処理は、自動車１のゲートウェイ１１、サービス提供サーバ２及び通信機能付き端末３により実行される。
【００９４】
まずサービス提供サーバ２の検査制御部２２は、定期的又は不定期にスケジュール情報２７６を参照して、検査予定の「日時」を取得することによりスケジュールをチェックする（ＳＰ２１）。次いで検査制御部２２は、対象となる検査があるか否かを判断し（ＳＰ２２）、否定結果を得るとステップＳＰ２１に戻り、肯定結果を得るとステップＳＰ２３に移行する。
【００９５】
次いで検査制御部２２は、検査データ投入部２４により検査実施通知を通信機能付き端末３に送信する（ＳＰ２３）。画面表示部３１は、検査実施通知を受信すると、リマインダ画面を表示する（ＳＰ２４）。一方で検査データ投入部２４は、セキュリティチェック用データ情報２７４及び動作検査用データ情報２７５から検査用データを取得し、取得した検査用データを検査対象の自動車１のゲートウェイ１１に送信する（ＳＰ２５）。
【００９６】
ゲートウェイ１１の検査実行制御部１１１は、検査データを受信すると、受信した検査用データを検査実行データ情報１１６１に格納する（ＳＰ２６）。次いで検査実行制御部１１１は、自動車１の車両状態を確認し（ＳＰ２７）、自動車１がスタンバイ状態でない場合（ＳＰ２８：Ｎ）、検査可能な状態でないと判断してステップＳＰ２７に移行する。
【００９７】
なおスタンバイ状態とは、自動車１が停止状態であって、かつ、一定時間が経過した状態であることをいう。検査実行制御部１１１は、自動車１がスタンバイ状態である場合（ＳＰ２８：Ｙ）、検査実行データ情報１１６１に格納した検査用データを取得し、検査実行部１１３により取得した検査用データをＥＣＵ１２に送信する（ＳＰ２９）。
【００９８】
次いで検査実行制御部１１１は、検査監視部１１４によりＥＣＵ１１４から出力されるデータを取得し、具体的にはパケットをキャプチャして（ＳＰ３０）、キャプチャしたパケットを検査実行結果情報１１６２に格納する。
【００９９】
次いで検査実行制御部１１１は、ＥＣＵ１２に送信すべき検査用データが検査実行データ情報１１６１に残っていないか確認し（ＳＰ３１）、残っている場合にはステップＳＰ２８に移行し、残っていない場合にはステップＳＰ３２に移行する。なお一定期間が経過しても検査が完了していない場合には、サービス提供サーバ２に警告を通知するとしてもよい。
【０１００】
検査実行制御部１１１は、ＥＣＵ１２に送信すべき検査用データが残っていない場合には検査が完了したことを示す検査結果完了通知をサービス提供サーバ２に送信する（ＳＰ３２）。サービス提供サーバ２の検査制御部２２は、検査結果完了通知を受信すると、検査結果回収部２５により検査結果回収依頼の通知をゲートウェイ１１に送信する（ＳＰ３３）。
【０１０１】
ゲートウェイ１１の検査情報取得部１１２は、検査結果回収依頼の通知を受信すると、検査実行結果情報１１６２を取得し（ＳＰ３４）、取得した検査実行結果情報１１６２をサービス提供サーバ２に送信する（ＳＰ３５）。サービス提供サーバ２の検査結果回収部２５は、検査実行結果情報１１６２を受信すると、検査結果情報２８０に格納する（ＳＰ３６）。
【０１０２】
次いで検査結果解析部２６は、検査結果情報２８０及び検査照合結果情報２８１を参照して、ＥＣＵ１２から実際に出力された出力結果と、予測される出力結果とを比較することにより検査結果情報を解析し（ＳＰ３７）、解析結果を判定し（ＳＰ３８）、判定結果を検査照合結果情報２８１に格納する。
【０１０３】
そして検査制御部２２は、判定結果を通信機能付き端末３に送信する（ＳＰ３９）。なお判定結果は通信機能付き端末３以外にもディーラや自動車メーカ等に送信するとしてもよい。通信機能付き端末３の画面表示部３１は、判定結果を受信すると、検査結果として表示画面に表示する（ＳＰ４０）。以上によりＥＣＵ検査処理の一連の処理が終了する。
【０１０４】
図２１は、通信機能付き端末３側のＥＣＵ検査処理の詳細な処理手順を示す。ここでは、図２０のＥＣＵ検査処理において通信機能付き端末３が実行する処理の詳細な処理手順について説明する。
【０１０５】
通信機能付き端末３のサービス実行確認部３２は、検査実施通知待ちの状態において（ＳＰ２０１）、サービス提供サーバ２から送信される検査実施通知を受信したか否かを判断する（ＳＰ２０２）。サービス実行確認部３２は、ステップＳＰ２０２の判断で否定結果を得ると、ステップＳＰ２０１に移行する。
【０１０６】
これに対し、サービス実行確認部３２は、ステップＳＰ２０２の判断で肯定結果を得ると、リマインダ画面を表示画面に表示する（ＳＰ２０３）。次いでサービス実行確認部３２は、サービス提供サーバ２から送信される判定結果を受信したか否かを判断する（ＳＰ２０４）。サービス実行確認部３２は、ステップＳＰ２０４の判断で否定結果を得ると、判定結果を受信するまで待機する。
【０１０７】
これに対し、サービス実行確認部３２は、ステップＳＰ２０４の判断で肯定結果を得ると、画面表示部３１により検査結果を表示画面に表示して（ＳＰ２０５）、このＥＣＵ検査処理を終了する。
【０１０８】
図２２は、サービス提供サーバ２側のＥＣＵ検査処理の詳細な処理手順を示す。ここでは、図２０のＥＣＵ検査処理においてサービス提供サーバ２が実行する処理の詳細な処理手順について説明する。
【０１０９】
サービス提供サーバ２の検査データ投入部２４は、検査制御部２２からの指示により定期的又は不定期にスケジュール情報２７６を参照して、検査予定の「日時」を取得することによりスケジュールをチェックする（ＳＰ２１１）。そして検査データ投入部２４は、実施すべき検査があるか否かを判断する（ＳＰ２１２）。
【０１１０】
検査データ投入部２４は、ステップＳＰ２１２の判断で否定結果を得ると、ステップＳＰ２１１に移行する。これに対し、検査データ投入部２４は、ステップＳＰ２１２の判断で肯定結果を得ると、検査実施通知を通信機能付き端末３に送信する（ＳＰ２１３）。
【０１１１】
次いで検査データ投入部２４は、セキュリティチェック用データ情報２７４及び動作検査用データ情報２７５から検査用データを取得し、この検査用データを検査対象の自動車１のゲートウェイ１１に送信する（ＳＰ２１４）。
【０１１２】
次いで検査制御部２２は、検査結果完了通知待ちの状態において（ＳＰ２１５）、ゲートウェイ１１から送信される検査結果完了通知を受信したか否かを判断する（ＳＰ２１６）。検査制御部２２は、ステップＳＰ２１６の判断で否定結果を得ると、ステップＳＰ２１５に移行する。
【０１１３】
これに対し、検査制御部２２は、ステップＳＰ２１６の判断で否定結果を得ると、検査結果回収部２５により検査結果回収依頼の通知をゲートウェイ１１に送信する（ＳＰ２１７）。次いで検査結果回収部２５は、検査結果回収待ちの状態において（ＳＰ２１８）、ゲートウェイ１１から送信される検査実行結果情報１１６２を受信したか否かを判断する（ＳＰ２１９）。
【０１１４】
検査結果回収部２５は、ステップＳＰ２１９の判断で否定結果を得ると、ステップＳＰ２１８に移行する。これに対し、検査結果回収部２５は、ステップＳＰ２１９の判断で肯定結果を得ると、受信した検査実行結果情報１１６２を検査結果情報２８０に格納する。
【０１１５】
そして検査結果解析部２６は、検査結果情報２８０及び検査照合結果情報２８１を参照して、ＥＣＵ１２から実際に出力された出力結果と、予想される出力結果とを比較することにより検査結果を解析し（ＳＰ２２０）、予想通りの出力結果である場合には異常なし、予想通りの出力結果でない場合には異常ありと判定する（ＳＰ２２１）。
【０１１６】
そして検査制御部２２は、判定結果を通信機能付き端末３に送信して（ＳＰ２２２）、このＥＣＵ検査処理を終了する。
【０１１７】
図２３は、自動車１のゲートウェイ１１側のＥＣＵ検査処理の詳細な処理手順を示す。ここでは、図２０のＥＣＵ検査処理においてゲートウェイ１１が実行する処理の詳細な処理手順について説明する。
【０１１８】
ゲートウェイ１１の検査実行制御部１１１は、サービス提供サーバ２からの処理依頼待ちの状態において（ＳＰ２３１）、処理依頼があるか否かを判断する（ＳＰ２３２）。検査実行制御部１１１は、ステップＳＰ２３２の判断で否定結果を得ると、ステップＳＰ２３１に移行し、肯定結果を得ると、処理内容を判定する（ＳＰ２３３）。
【０１１９】
検査実行制御部１１１は、処理内容が検査実施依頼である場合、すなわちサービス提供サーバ２から検査用データを受信した場合、受信した検査用データを検査実行データ情報１１６１に格納する（ＳＰ２３４）。次いで検査実行制御部１１１は、自動車１の車両状態を確認し（ＳＰ２３５）、自動車１がスタンバイ状態であるか否かを判断する（ＳＰ２３６）。
【０１２０】
検査実行制御部１１１は、自動車１がスタンバイ状態である場合（ＳＰ２３６：Ｙ）、検査実行部１１３により、検査実行データ情報１１６１の「ＣＡＮ−ＩＤ」と、「検査データ」とに基づいてＣＡＮプロトコルに合わせたメッセージを生成し、生成したメッセージをＥＣＵ１２に送信する（ＳＰ２３７）。
【０１２１】
次いで検査実行制御部１１１は、検査監視部１１４によりＥＣＵ１２から出力されるデータを取得し、具体的にはパケットをキャプチャして、検査実行結果情報１１６２に格納する（ＳＰ２３８）。次いで検査実行制御部１１１は、検査実行データ情報１１６１の「進捗状況」を「完了」に更新する（ＳＰ２３９）。
【０１２２】
次いで検査実行制御部１１１は、検査実行データ情報１１６１の「進捗状況」を参照して、「完了」になっていない項目があるか否かを確認することにより、ＥＣＵ１２に送信すべき検査用データが検査実行データ情報１１６１に残っていないか確認する（ＳＰ２４０）。
【０１２３】
検査実行制御部１１１は、ステップＳＰ２４０の判断で否定結果を得ると、ステップＳＰ２３６に移行し、肯定結果を得ると、検査結果完了通知をサービス提供サーバ２に送信して（ＳＰ２４３）、このＥＣＵ検査処理を終了する。
【０１２４】
ステップＳＰ２３６に戻り、自動車１がスタンバイ状態でない場合（ＳＰ２３６：Ｎ）、スタンバイ状態になるまで待機してもよいが、ここでは検査を一時的に停止し（ＳＰ２４１）、停止したことを示す一時停止通知をサービス提供サーバ２に送信して（ＳＰ２４３）、このＥＣＵ検査処理を終了する。
【０１２５】
ステップＳＰ２３３に戻り、検査実行制御部１１１は、処理内容が検査結果回収依頼である場合、すなわちサービス提供サーバ２から検査結果回収依頼の通知を受信した場合、検査情報取得部１１２により検査実行結果情報１１６２を取得し（ＳＰ２４２）、この検査実行結果情報１１６２をサービス提供サーバ２に送信して（ＳＰ２４３）、このＥＣＵ検査処理を終了する。
【０１２６】
図２４は、セキュリティチェック用データ生成処理の処理手順を示す。このセキュリティチェック用データ生成処理は、ＥＣＵ検査処理時（図２０）又はＥＣＵ検査処理前の任意のタイミングで、サービス提供サーバ２により実行される。
【０１２７】
まずサービス提供サーバ２の検査データ生成部２３は、検査対象ＥＣＵ情報２７３を参照して、「検査対象フラグ」が「対象」である「ＥＣＵ−ＩＤ」を検査対象のＥＣＵ−ＩＤとして取得する（ＳＰ３１）。次いで検査データ生成部２３は、検査対象として特定したＥＣＵ−ＩＤに対応付けられている「ＣＡＮ−ＩＤ」を取得する（ＳＰ３２）。
【０１２８】
次いで検査データ生成部２３は、フィールド構造解析部２３２により、フィールド構造情報２７７を参照して、ステップＳＰ３２で取得したＣＡＮ−ＩＤに対応付けられている「詳細フィールドＩＤ」及び「ビット数」を取得することにより、データフィールド（図１５）のフィールド構造を解析する（ＳＰ３３）。
【０１２９】
例えばフィールド構造解析部２３２は、フィールド構造情報２７７を参照して、ステップＳＰ３２で取得したＣＡＮ−ＩＤが「０×７Ｅ０」である場合、「０×７Ｅ０」のＣＡＮ−ＩＤに対応付けられている「Ａ１」、「Ａ２」、「Ａ３」、「Ａ４」の詳細フィールドＩＤを取得する。
【０１３０】
またフィールド構造解析部２３２は、これら「Ａ１」〜「Ａ４」の詳細フィールドＩＤに対応付けられている「８ｂｉｔ」、「８ｂｉｔ」、「１６ｂｉｔ」、「３２ｂｉｔ」の各ビット数を取得する。この結果、フィールド構造解析部２３２は、データフィールドの構造は「Ａ１」〜「Ａ４」の４つに区分されており、各区分はそれぞれ「８ｂｉｔ」、「８ｂｉｔ」、「１６ｂｉｔ」、「３２ｂｉｔ」であるとする解析結果を得ることができる。
【０１３１】
なおフィールド構造解析部２３２は、フィールド構造情報２７７を参照して、「Ａ１」〜「Ａ４」の詳細フィールドＩＤに対応付けられている「Ｄ１」、「Ｄ２」、「Ｄ２」、「Ｄ４」の区分ＩＤを取得し、フィールド区分情報２７８を参照して、「Ｄ１」、「Ｄ２」、「Ｄ４」に対応付けられている「有効桁」、「可変データ」、「ダミー」の区分名称を取得することにより、「Ａ１」〜「Ａ４」に格納されるデータが示す意味を解析することができる。
【０１３２】
次いで検査データ生成部２３は、依存関係解析部２３１により、フィールド依存関係情報２７９を参照して、ステップＳＰ３２で取得したＣＡＮ−ＩＤに対応付けられている「詳細フィールドの依存関係」を取得する（ＳＰ３４）。
【０１３３】
例えば依存関係解析部２３１は、フィールド依存関係情報２７９を参照して、ステップＳＰ３２で取得したＣＡＮ−ＩＤが「０×７Ｅ０」である場合、「０×７Ｅ０」のＣＡＮ−ＩＤに対応付けられている{Ａ１、（Ａ２＆Ａ３）、Ａ４}という依存関係を取得する。この場合、「Ａ２」の区分に格納されるデータと、「Ａ３」の区分に格納されるデータとの間に依存関係がある。
【０１３４】
次いで検査データ生成部２３は、検査データ割当部２３３により、ステップＳＰ３３で取得した「ビット数」と、ステップＳＰ３４で取得した「詳細フィールドの依存関係」とに基づいて、ランダムデータの割当て数を決定する（ＳＰ３５）。
【０１３５】
例えば検査データ生成部２３は、全部で６４ビットあるデータフィールドの全てにランダムなデータを割り当てるのではなく、検査効率の観点から、データフィールドのなかでもより効果的な検査を実現し得る位置にランダムデータを割り当てる。ここでは検査データ生成部２３は、「Ａ２」及び「Ａ３」に依存関係があり、「Ａ２」及び「Ａ３」はそれぞれ「８ｂｉｔ」及び「１６ｂｉｔ」であるから、ランダムデータの割当て数を２４ｂｉｔに決定する。
【０１３６】
なお検査データ生成部２３は、上記のとおり依存関係単位でランダムデータの割当て数を決定してもよいし、フィールド区分情報２７８の「区分ＩＤ」の特徴に合わせて優先度に応じてランダムデータの割当て数を決定してもよい。例えば「Ａ１」にランダムデータを割り当てて、「Ａ２」〜「Ａ４」には固定データを割り当てるようにしてもよい。
【０１３７】
次いで検査データ生成部２３は、検査データ割当部２３３により、ステップＳＰ３５で決定したデータの割当て数に基づいて、ランダムデータを使用する範囲を決定し、検査用データを生成する（ＳＰ３６）。そして検査データ生成部２３は、生成したデータをセキュリティチェック用データ情報２７４に格納する（ＳＰ３７）。
【０１３８】
次いで検査データ生成部２３は、ステップＳＰ３４で取得した依存関係のうち、検査用データが生成されていない依存関係が残っていないか判断する（ＳＰ３８）。検査データ生成部２３は、ステップＳＰ３８の判断で否定結果を得ると、ステップＳＰ３６に移行し、肯定結果を得ると、このセキュリティチェック用データ生成処理を終了する。
【０１３９】
（６）本実施の形態による効果
以上のように本実施の形態における検査システム５によれば、ＥＣＵ１２の設計段階で予め用意される動作検査用データに加えて、ＥＣＵ１２の設計段階ではＥＣＵ１２が受信することを想定していないセキュリティチェック用データをＥＣＵ１２に送信し、ＥＣＵ１２から出力されるデータが正常な範囲内であるか否かを判断するようにしたので、運用時におけるＥＣＵ１２の動作を正確に検査することができる。
【０１４０】
（７）他の実施の形態
上記説明してきた本実施の形態においては、サービス提供サーバ２の検査結果解析部２６が検査結果情報２８０及び検査照合結果情報２８１を参照して、検査結果情報２８０を解析し、解析結果を判定するとしたが（図２０：ＳＰ３７及びＳＰ３８）、これに限らず、自動車１のゲートウェイ１１が検査結果解析部２６及び検査照合結果情報２８１を備え、ゲートウェイ１１が検査結果解析部２６により、検査実行データ情報１１６１及び検査照合結果情報２８１を参照して、検査実行データ情報１１６１を解析し、解析結果を判定するとしてもよい。
【０１４１】
図２５は、他の実施の形態におけるＥＣＵ検査処理の処理手順を示す。他の実施の形態におけるＥＣＵ検査処理は、ゲートウェイ１１が検査結果を解析し（ＳＰ３１Ａ）、解析結果を判定する（ＳＰ３２Ａ）点及びゲートウェイ１１が判定結果を取得して（ＳＰ３６Ａ）、サービス提供サーバ２（又は直接通信機能付き端末３）に送信する（ＳＰ３７Ａ）点で、上記説明してきた本実施の形態におけるＥＣＵ検査処理（図２０）と異なる。
【符号の説明】
【０１４２】
１  自動車
２  サービス提供サーバ
３  通信機能付き端末
４  通信網
５  検査システム
【図１】
2015214169.tif 000003
【図２】
2015214169.tif 000004
【図３】
2015214169.tif 000005
【図４】
2015214169.tif 000006
【図５】
2015214169.tif 000007
【図６】
2015214169.tif 000008
【図７】
2015214169.tif 000009
【図８】
2015214169.tif 000010
【図９】
2015214169.tif 000011
【図１０】
2015214169.tif 000012
【図１１】
2015214169.tif 000013
【図１２】
2015214169.tif 000014
【図１３】
2015214169.tif 000015
【図１４】
2015214169.tif 000016
【図１５】
2015214169.tif 000017
【図１６】
2015214169.tif 000018
【図１７】
2015214169.tif 000019
【図１８】
2015214169.tif 000020
【図１９】
2015214169.tif 000021
【図２０】
2015214169.tif 000022
【図２１】
2015214169.tif 000023
【図２２】
2015214169.tif 000024
【図２３】
2015214169.tif 000025
【図２４】
2015214169.tif 000026
【図２５】
2015214169.tif 000027