【手続補正書】
【提出日】平成31年2月6日(2019.2.6)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
移動体のブレーキを制御する指示を受信する受信部と、
前記受信部が前記指示を受信した際、前記移動体と障害物との距離及び前記移動体の速度が所定条件を満たすか否かに基づいて前記指示が不正であるか否かを判別する判別部と、を備えた、
制御装置。
【請求項２】
前記判別部によって前記指示が不正と判別された場合、前記指示による制御が実行されないように制御を行う制御部をさらに備えた、
請求項１に記載の制御装置。
【請求項３】
前記制御部は、前記指示を無効化又は破棄することにより、前記指示による制御が実行されないように制御を行う、
請求項２に記載の制御装置。
【請求項４】
前記速度は、前記障害物に対する前記移動体の相対速度である、
請求項１〜３のいずれか一項に記載の制御装置。
【請求項５】
前記判別部は、前記距離と前記速度とに基づく所定演算の結果と閾値とを比較することにより前記距離及び前記速度が前記所定条件を満たすか否かを判別する、
請求項１〜４のいずれか一項に記載の制御装置。
【請求項６】
前記指示は、前記ブレーキによる減速量を含み、
前記判別部は、
前記指示が最大の減速量を含む場合、前記所定演算の結果が第１閾値より大きいことを前記所定条件として用い、
前記指示が減速量としてゼロを含む場合、前記所定演算の結果が前記第１閾値以下の第２閾値より小さいことを前記所定条件として用いる、
請求項５に記載の制御装置。
【請求項７】
前記所定演算は、緊急ブレーキ電子制御ユニットからの正常な状態の前記指示が減速量としてゼロより大きい量を含む場合、前記所定演算の結果が、前記第１閾値以下かつ前記第２閾値以上となるように定められている、
請求項６に記載の制御装置。
【請求項８】
前記判別部は、前記移動体の前記ブレーキによる制動距離に影響を与える前記移動体の構成要素の変化に応じて、前記所定演算の内容を変更する、
請求項５〜７のいずれか一項に記載の制御装置。
【請求項９】
前記受信部は、前記移動体において検出された前記障害物の種別を示す障害物情報を受信し、
前記判別部は、前記障害物情報に応じて、前記所定演算の内容を変更する、
請求項５〜８のいずれか一項に記載の制御装置。
【請求項１０】
前記判別部は、前記指示が前記ブレーキの作動の指示である場合、前記速度に対する前記距離の比が閾値を超えることを前記所定条件として用いる、
請求項１〜４のいずれか一項に記載の制御装置。
【請求項１１】
前記所定条件は、前記移動体の車種に対応して定められている、
請求項１〜１０のいずれか一項に記載の制御装置。
【請求項１２】
前記受信部は、前記移動体において測定された、前記距離及び前記速度の測定結果を示す測定情報を受信し、
前記判別部は、前記測定情報から特定した前記距離及び前記速度が前記所定条件を満たすか否かに基づいて前記指示が不正であるか否かを判別する、
請求項１〜１１のいずれか一項に記載の制御装置。
【請求項１３】
前記受信部は、Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋプロトコルに従って、前記指示を含むデータフレームを受信し、
前記制御部は、前記受信部が前記データフレームを受信した際、前記判別部によって前記指示が不正と判別された場合、前記データフレームを無効化するエラーフレームを送信する制御を行う、
請求項２〜１２のいずれか一項に記載の制御装置。
【請求項１４】
前記受信部は、専用の通信線で接続されたセンサから、前記距離及び前記速度を受信する、
請求項１〜１３のいずれか一項に記載の制御装置。
【請求項１５】
前記制御装置は、１以上の電子制御ユニットに含まれる前記移動体の前記ブレーキを制御する電子制御ユニットであり、
前記制御部は、前記判別部によって前記指示が不正と判別された場合、前記指示を破棄することで前記指示に従った前記ブレーキの制御を抑止する制御を行う、
請求項２〜１４のいずれか一項に記載の制御装置。
【請求項１６】
前記移動体に含まれる１以上の電子制御ユニットは、記憶媒体と、前記記憶媒体に格納された情報に従って前記ブレーキを制御するブレーキ制御部とを有するブレーキ電子制御ユニットを含み、
前記制御装置は、前記ブレーキ電子制御ユニットに含まれ、
前記制御部は、前記判別部によって前記指示が不正と判別された場合、前記指示を示す情報を前記記憶媒体に格納しないことで前記指示を破棄する制御を行う、
請求項２〜１５のいずれか一項に記載の制御装置。
【請求項１７】
移動体に設けられるブレーキと、
前記移動体に対する障害物を検知する検知装置と、
制御装置と、を備え、
前記制御装置は、
前記移動体の前記ブレーキを制御する指示を受信し、
前記指示を受信した際、前記移動体と前記障害物との距離及び前記移動体の速度が所定条件を満たすか否かに基づいて前記指示が不正か否かを判別する、
制御システム。
【請求項１８】
マイクロプロセッサを備える装置に不正検知処理を行わせるためのプログラムであって、
前記不正検知処理は、
移動体のブレーキを制御する指示を受信し、
前記指示を受信した際、前記移動体と障害物との距離及び前記移動体の速度が所定条件を満たすか否かに基づいて前記指示が不正であるか否かを判別する、
プログラム。 
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】発明の名称
【補正方法】変更
【補正の内容】
【発明の名称】制御装置、制御システム、及びプログラム
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００１１
【補正方法】変更
【補正の内容】
【００１１】
上記課題を解決するために本発明の一態様に係る制御装置は、移動体のブレーキを制御する指示を受信する受信部と、前記受信部が前記指示を受信した際、前記移動体と障害物との距離及び前記移動体の速度が所定条件を満たすか否かに基づいて前記指示が不正であるか否かを判別する判別部と、を備えた、制御装置である。 
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００１２
【補正方法】変更
【補正の内容】
【００１２】
また、上記課題を解決するために本発明の一態様に係る制御システムは、移動体に設けられるブレーキと、前記移動体に対する障害物を検知する検知装置と、制御装置と、を備え、前記制御装置は、前記移動体の前記ブレーキを制御する指示を受信し、前記指示を受信した際、前記移動体と前記障害物との距離及び前記移動体の速度が所定条件を満たすか否かに基づいて前記指示が不正か否かを判別する、制御システムである。 
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００１４
【補正方法】変更
【補正の内容】
【００１４】
また、上記課題を解決するために本発明の一態様に係るプログラムは、マイクロプロセッサを備える装置に不正検知処理を行わせるためのプログラムであって、前記不正検知処理は、移動体のブレーキを制御する指示を受信し、前記指示を受信した際、前記移動体と障害物との距離及び前記移動体の速度が所定条件を満たすか否かに基づいて前記指示が不正であるか否かを判別する、プログラムである。 
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】００１９
【補正方法】変更
【補正の内容】
【００１９】
本発明の一態様に係る制御装置は、移動体のブレーキを制御する指示を受信する受信部と、前記受信部が前記指示を受信した際、前記移動体と障害物との距離及び前記移動体の速度が所定条件を満たすか否かに基づいて前記指示が不正であるか否かを判別する判別部と、を備えた、制御装置である。これにより、移動体（例えば車両）と障害物（例えば歩行者、他の車両、建築物等）との距離、及び、移動体の速度に基づいてが可能となる、移動体のブレーキを制御する指示が不正であるか否かを判別すること。
また、例えば、前記制御装置は、前記判別部によって前記指示が不正と判別された場合、前記指示による制御が実行されないように制御を行う制御部をさらに備えても良い。より具体的な例としては、前記制御部は、前記指示を無効化又は破棄することにより、前記指示による制御が実行されないように制御を行っても良い。無効化は広義には移動体のブレーキを制御する指示（以下ではブレーキ制御指示ともいう）が有効に作用しないようにすることである。但し、ここではブレーキ制御指示をバス上において有効に作用しないようにする（例えば後述するエラーフレームによる上書きによって改変する）ことを無効化と称し、バスからブレーキ制御指示がＥＣＵに受信された後においてそのブレーキ制御指示を有効に作用しないようにすることを破棄と称する。破棄は、ブレーキ制御指示に従ったブレーキの制御を抑止することを含む。 
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】００２０
【補正方法】変更
【補正の内容】
【００２０】
また、例えば、前記速度は、前記障害物に対する前記移動体の相対速度であることとしても良い。これにより、障害物が移動している場合においても、ブレーキ制御指示が不正か否か（つまり無効化制御の対象であるか否か）を適切に判別可能となる。 
【手続補正８】
【補正対象書類名】明細書
【補正対象項目名】００２１
【補正方法】変更
【補正の内容】
【００２１】
また、例えば、前記判別部は、前記距離と前記速度とに基づく所定演算の結果と閾値とを比較することにより前記距離及び前記速度が前記所定条件を満たすか否かを判別することとしても良い。これにより、所定演算及び閾値を適切に定めておくことで、不正なブレーキ制御指示に対する適切な対処が可能となる。 
【手続補正９】
【補正対象書類名】明細書
【補正対象項目名】００２２
【補正方法】変更
【補正の内容】
【００２２】
また、例えば、前記指示は、前記ブレーキによる減速量を含み、前記判別部は、前記指示が最大の減速量を含む場合、前記所定演算の結果が第１閾値より大きいことを前記所定条件として用い、前記指示が減速量としてゼロを含む場合、前記所定演算の結果が前記第１閾値以下の第２閾値より小さいことを前記所定条件として用いることとしても良い。これにより、ブレーキを作動させるべき状況においてその作動の抑止を指示するような不正なブレーキ制御指示、或いは、ブレーキを作動させるべきでない状況においてブレーキの作動を指示するような不正なブレーキ制御指示を、無効化することが可能となる。 
【手続補正１０】
【補正対象書類名】明細書
【補正対象項目名】００２４
【補正方法】変更
【補正の内容】
【００２４】
また、例えば、前記所定演算は、緊急ブレーキ電子制御ユニットからの正常な状態の前記指示が減速量としてゼロより大きい量を含む場合、前記所定演算の結果が、前記第１閾値以下かつ前記第２閾値以上となるように定められていることとしても良い。これにより、緊急ブレーキＥＣＵが正常な状態である場合（つまり攻撃者に支配された状態や故障した状態でない場合）において送信するブレーキ制御指示の無効化が、抑止される。 
【手続補正１１】
【補正対象書類名】明細書
【補正対象項目名】００２７
【補正方法】変更
【補正の内容】
【００２７】
また、例えば、前記判別部は、前記移動体の前記ブレーキによる制動距離に影響を与える前記移動体の構成要素の変化に応じて、前記所定演算の内容を変更することとしても良い。これにより、移動体の構成要素が変化した場合においても適切に不正なブレーキ制御指示を無効化することが可能となる。 
【手続補正１２】
【補正対象書類名】明細書
【補正対象項目名】００２８
【補正方法】変更
【補正の内容】
【００２８】
また、例えば、前記受信部は、前記移動体において検出された前記障害物の種別を示す障害物情報を受信し、前記判別部は、前記障害物情報に応じて、前記所定演算の内容を変更することとしても良い。これにより、人、物体等といった障害物の種別に応じて緊急ブレーキＥＣＵがブレーキを作動させるべきタイミング等を変化させるようなシステムにおいて、適切に不正なブレーキ制御指示を無効化することが可能となる。 
【手続補正１３】
【補正対象書類名】明細書
【補正対象項目名】００２９
【補正方法】変更
【補正の内容】
【００２９】
また、例えば、前記判別部は、前記指示が前記ブレーキの作動の指示である場合、前記速度に対する前記距離の比が閾値を超えることを前記所定条件として用いることとしても良い。これにより、ブレーキの作動を指示するブレーキ制御指示が不正か否か（つまり無効化制御の対象であるか否か）を適切に判別可能となる。 
【手続補正１４】
【補正対象書類名】明細書
【補正対象項目名】００３１
【補正方法】変更
【補正の内容】
【００３１】
また、例えば、前記受信部は、前記移動体において測定された、前記距離及び前記速度の測定結果を示す測定情報を受信し、前記判別部は、前記測定情報から特定した前記距離及び前記速度が前記所定条件を満たすか否かに基づいて前記指示が不正であるか否かを判別することとしても良い。これにより、制御装置は、バスから距離及び速度の取得が可能となるので、センサと専用の通信路で通信するための通信回路、或いは、センサを有する必要がなくなる。 
【手続補正１５】
【補正対象書類名】明細書
【補正対象項目名】００３２
【補正方法】変更
【補正の内容】
【００３２】
また、例えば、前記受信部は、Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋプロトコルに従って、前記指示を含むデータフレームを受信し、前記制御部は、前記受信部が前記データフレームを受信した際、前記判別部によって前記指示が不正と判別された場合、前記データフレームを無効化するエラーフレームを送信する制御を行うこととしても良い。これにより、ブレーキＥＣＵの構成を新たなものにする必要がなくなり、例えば従来同様のブレーキＥＣＵが接続されたバスに制御装置を接続することで、不正なブレーキ制御指示によってブレーキＥＣＵが不正な制御を行うことが抑制される。 
【手続補正１６】
【補正対象書類名】明細書
【補正対象項目名】００３３
【補正方法】変更
【補正の内容】
【００３３】
また、例えば、前記制御装置は、１以上の電子制御ユニットに含まれる前記移動体のブレーキを制御する電子制御ユニットであり、前記制御部は、前記判別部によって前記指示が不正と判別された場合、前記指示を破棄することで前記指示に従った前記ブレーキの制御を抑止する制御を行うこととしても良い。これにより、ブレーキＥＣＵにおいて不正なブレーキ制御指示に適切に対処することが可能となる。 
【手続補正１７】
【補正対象書類名】明細書
【補正対象項目名】００３４
【補正方法】変更
【補正の内容】
【００３４】
また、例えば、前記移動体に含まれる１以上の電子制御ユニットは、記憶媒体と、前記記憶媒体に格納された情報に従って前記ブレーキを制御するブレーキ制御部とを有するブレーキ電子制御ユニットを含み、前記制御装置は、前記ブレーキ電子制御ユニットに含まれ、前記制御部は、前記判別部によって前記指示が不正と判別された場合、前記指示を示す情報を前記記憶媒体に格納しないことで前記指示を破棄する制御を行うこととしても良い。これにより、ブレーキＥＣＵにおいてブレーキ制御指示を適切にフィルタリングすることが可能となる。 
【手続補正１８】
【補正対象書類名】明細書
【補正対象項目名】００３５
【補正方法】変更
【補正の内容】
【００３５】
また、本発明の一態様に係る制御システムは、移動体に設けられるブレーキと、前記移動体に対する障害物を検知する検知装置と、制御装置と、を備え、前記制御装置は、前記移動体の前記ブレーキを制御する指示を受信し、前記指示を受信した際、前記移動体と前記障害物との距離及び前記移動体の速度が所定条件を満たすか否かに基づいて前記指示が不正か否かを判別する、制御システムである。これにより、移動体と障害物との距離、及び、移動体の速度に基づいて不正なブレーキ制御指示を無効化することが可能となる。 
【手続補正１９】
【補正対象書類名】明細書
【補正対象項目名】００３７
【補正方法】変更
【補正の内容】
【００３７】
また、本発明の一態様に係るプログラムは、マイクロプロセッサを備える装置に不正検知処理を行わせるためのプログラムであって、前記不正検知処理は、移動体のブレーキを制御する指示を受信し、前記指示を受信した際、前記移動体と障害物との距離及び前記移動体の速度が所定条件を満たすか否かに基づいて前記指示が不正であるか否かを判別する、プログラムである。このプログラムを、プロセッサ（マイクロプロセッサ）を備える装置にインストールすることにより、そのプロセッサがプログラムを実行することで、バス上に現れたブレーキ制御指示が不正であるか否かを適切に判別することが可能となる。 
【手続補正２０】
【補正対象書類名】明細書
【補正対象項目名】０１４２
【補正方法】変更
【補正の内容】
【０１４２】
（２）上記実施の形態２では、ブレーキＥＣＵ２２００の一部が、不正なブレーキ制御指示の攻撃フレームに適切に対処する制御装置２１００として機能する例を示した。即ち、制御部２１３０が、ブレーキ制御指示が不正であることの判別のための所定条件が満たされない場合において、受信部２１１１により受信されたブレーキ制御指示を示す情報をデータバッファ２２０に格納し、所定条件が満たされる場合には、受信部２１１１により受信されたブレーキ制御指示を示す情報をデータバッファ２２０に格納しないことで、ブレーキ制御指示を破棄する制御を行うこととした。この他に、ブレーキＥＣＵ２２００が、不正なブレーキ制御指示の攻撃フレームに適切に対処する制御装置として機能することとしても良い。例えば、制御部２１３０に、制御処理部２３０の機能を含ませて、ブレーキ制御指示が不正であることの判別のための所定条件が満たされない場合において、受信部２１１１により受信されたブレーキ制御指示に従って、ブレーキ２０１の制御を行い、所定条件が満たされる場合には、受信部２１１１により受信されたブレーキ制御指示を破棄することでブレーキ制御指示に従ったブレーキ２０１の制御を抑止する制御を行うこととしても良い。