(57)【特許請求の範囲】
【請求項１】
車両の通信システムにおける途絶を検出するためのシステムであって、
当該システムは、
車両バスと、
電子プロセッサと
を含み、前記電子プロセッサは、
１つのフォーマットと複数の信号とを有するメッセージを前記車両バスから受信し、
バス識別子の異常を検出することによって、前記メッセージをテストし、
前記メッセージのフォーマットの異常を検出することによって、前記メッセージをテストし、
前記メッセージを受信した時間の異常を検出することによって、前記メッセージをテストし、
前記複数の信号のうちの１つの信号の信号パラメータの異常を検出することによって、前記メッセージをテストし、
前記メッセージのフォーマットの異常、前記メッセージを受信した時間の異常、又は、前記信号パラメータの異常が検出された場合に、エラーを生成する
ように構成されており、
別のテストが、所定の閾値と、所定の期間の開始から当該所定の期間の終了までに前記信号が変化した量とを比較し、前記信号の値が、前記所定の期間内に前記所定の閾値よりも大きく変化した場合には、前記電子プロセッサがエラーを生成する、または、
１つの信号の前記信号の値の変動が所定の期間内に所定の量よりも大きいかをチェックするテストが行われ、前記信号の値の変動が、前記所定の期間にわたる前記信号のデルタ値の合計の絶対値であり、前記信号の値が、前記所定の期間内に前記所定の量よりも大きく変動した場合には、前記電子プロセッサがエラーを生成する、
システム。
【請求項２】
前記電子プロセッサはさらに、前記バス識別子の異常が検出された場合に、前記メッセージの前記テストを終了するように構成されている、
請求項１に記載のシステム。
【請求項３】
前記バス識別子の異常を検出することは、当該バス識別子がテーブルに格納されていることをチェックすることを含む、
請求項１に記載のシステム。
【請求項４】
前記メッセージのフォーマットの異常を検出することは、
メッセージ識別子の異常を検出することと、
前記メッセージの長さの異常を検出することと、
前記メッセージの予約ビットの異常を検出することと
からなる群から選択された少なくとも１つのことを実行することを含む、
請求項１に記載のシステム。
【請求項５】
前記メッセージ識別子の異常を検出することは、
前記メッセージから前記メッセージ識別子を抽出することと、
前記メッセージのバス識別子のための有効なメッセージ識別子が含まれているテーブルの中に当該メッセージ識別子が格納されていることをチェックすることと
を含む、
請求項４に記載のシステム。
【請求項６】
前記電子プロセッサは、
前記メッセージのバス識別子のための有効なメッセージ識別子が含まれているテーブルの中に前記メッセージ識別子が格納されていない場合に、エラーを生成し、当該メッセージのさらなるテストを終了する
ように構成されている、
請求項５に記載のシステム。
【請求項７】
前記メッセージの長さの異常を検出することは、
前記メッセージから前記メッセージの長さを抽出することと、
前記メッセージの長さが、有効なメッセージ長に対する所定の要件を満たしていることをチェックすることと
を含む、
請求項４に記載のシステム。
【請求項８】
前記メッセージの予約ビットの異常を検出することは、
前記メッセージからデータを抽出することと、
前記メッセージの前記予約ビットが使用されているかどうかをチェックすることと
を含む、
請求項４に記載のシステム。
【請求項９】
前記メッセージを受信した時間の異常を検出することは、
前記メッセージを受信した時間と前回のメッセージを受信した時間との間の時間差を計算することと、
前記時間差が、前回特定された時間差よりも小さいかどうかを判断することと、
メッセージを受信するレートが、第１の所定の閾値を上回っているかどうか又は第２の所定の閾値を下回っているかどうかを判断することと、
メッセージを受信するレートの異常が検出された場合に、前記電子プロセッサによってエラーを生成することと
を含み、
前記前回のメッセージのメッセージ識別子と前記メッセージのメッセージ識別子とは、同一である、
請求項１に記載のシステム。
【請求項１０】
前記複数の信号のうちの１つの信号の信号パラメータの異常を検出することは、
前記信号の値が所定の許容可能範囲内にあることをチェックすることと、
前記信号の値が所定の許容不可能範囲内にないことをチェックすることと、
前記信号の値が、無効な信号値のテーブルの中に格納されていないことをチェックすることと、
前記信号の値が、有効な信号値のテーブルの中に格納されていることをチェックすることと、
前記信号の値が、許容可能なレートで変化していることをチェックすることと、
前記信号がカウンタである場合に、前記カウンタが正しく更新されていることをチェックすることと
を含む、
請求項１に記載のシステム。
【請求項１１】
車両の通信システムにおける途絶を検出するための方法であって、
当該方法は、
１つのフォーマットと複数の信号とを有するメッセージを電子プロセッサによって車両バスから受信することと、
バス識別子の異常を前記電子プロセッサによって検出し、前記メッセージのフォーマットの異常を前記電子プロセッサによって検出し、前記メッセージを受信した時間の異常を前記電子プロセッサによって検出し、前記複数の信号のうちの１つの信号の信号パラメータの異常を前記電子プロセッサによって検出することにより、前記メッセージを前記電子プロセッサによってテストすることと、
前記メッセージのフォーマットの異常、前記メッセージを受信した時間の異常、又は、前記信号パラメータの異常が検出された場合に、エラーを前記電子プロセッサによって生成することと
を含み、
別のテストが、所定の閾値と、所定の期間の開始から当該所定の期間の終了までに前記信号が変化した量とを比較し、前記信号の値が、前記所定の期間内に前記所定の閾値よりも大きく変化した場合には、前記電子プロセッサがエラーを生成する、または、
１つの信号の前記信号の値の変動が所定の期間内に所定の量よりも大きいかをチェックするテストが行われ、前記信号の値の変動が、前記所定の期間にわたる前記信号のデルタ値の合計の絶対値であり、前記信号の値が、前記所定の期間内に前記所定の量よりも大きく変動した場合には、前記電子プロセッサがエラーを生成する、
方法。
【請求項１２】
バス識別子の異常を検出することは、当該バス識別子がテーブルに関連付けられていることをチェックすることを含む、
請求項１１に記載の方法。
【請求項１３】
当該方法はさらに、前記バス識別子の異常が検出された場合に、前記メッセージのさらなるテストを終了することを含む、
請求項１１に記載の方法。
【請求項１４】
前記メッセージのフォーマットの異常を検出することは、
メッセージ識別子の異常を検出することと、
前記メッセージの長さの異常を検出することと、
前記メッセージの予約ビットの異常を検出することと
からなる群から選択された少なくとも１つのことを含む、
請求項１１に記載の方法。
【請求項１５】
前記メッセージ識別子の異常を検出することは、
前記メッセージから前記メッセージ識別子を抽出することと、
前記メッセージのバス識別子のための有効なメッセージ識別子が含まれているテーブルの中に当該メッセージ識別子が格納されていることをチェックすることと
を含む、
請求項１４に記載の方法。
【請求項１６】
当該方法はさらに、前記メッセージのバス識別子のための有効なメッセージ識別子が含まれているテーブルの中に前記メッセージ識別子が格納されていない場合に、エラーを生成し、当該メッセージのさらなるテストを終了することを含む、
請求項１５に記載の方法。
【請求項１７】
前記メッセージの長さの異常を検出することは、
前記メッセージから前記メッセージの長さを抽出することと、
前記メッセージの長さが、有効なメッセージ長に対する所定の要件を満たしていることをチェックすることと
を含む、
請求項１４に記載の方法。
【請求項１８】
前記メッセージの予約ビットの異常を検出することは、
前記メッセージからデータを抽出することと、
前記メッセージの前記予約ビットが使用されているかどうかをチェックすることと
を含む、
請求項１４に記載の方法。
【請求項１９】
前記メッセージを受信した時間の異常を検出することは、
前記メッセージを受信した時間と前回のメッセージを受信した時間との間の時間差を計算することと、
前記時間差が、前回特定された時間差よりも小さいかどうかを判断することと、
メッセージを受信するレートが、第１の所定の閾値を上回っているかどうか又は第２の所定の閾値を下回っているかどうかを判断することと、
メッセージを受信するレートの異常が検出された場合に、エラーを前記電子プロセッサによって生成することと
を含み、
前記前回のメッセージのメッセージ識別子と前記メッセージのメッセージ識別子とは、同一である、
請求項１１に記載の方法。
【請求項２０】
前記複数の信号のうちの１つの信号の信号パラメータの異常を検出することは、
前記信号の値が所定の許容可能範囲内にあることをチェックすることと、
前記信号の値が所定の許容不可能範囲内にないことをチェックすることと、
前記信号の値が、無効な信号値のテーブルの中に格納されていないことをチェックすることと、
前記信号の値が、有効な信号値のテーブルの中に格納されていることをチェックすることと、
前記信号の値が、許容可能なレートで変化していることをチェックすることと、
前記信号がカウンタである場合に、前記カウンタが正しく更新されていることをチェックすることと
を含む、
請求項１１に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
関連出願
本出願は、２０１７年６月２３日に出願された米国仮出願第６２５２４０６８号明細書の優先権を主張するものであり、その全内容は、参照により本明細書に組み込まれる。
【０００２】
分野
実施形態は、車両の通信システムの侵入及び途絶の可能性を検出することに関する。
【背景技術】
【０００３】
背景
最新の車両には、種々の車両システムを制御する多数のコンピュータ及び電気コンポーネントが装備されている。これらのコンピュータ及びコンポーネントは、相互にメッセージを送信及び受信することによって通信している。
【発明の概要】
【課題を解決するための手段】
【０００４】
概要
コンピュータ及びコンポーネントが送信及び受信するメッセージは、メッセージ識別子と、それに後続する複数の信号とを含む。車両におけるコンピュータと電気コンポーネントとの間の通信の途絶によって、車両の挙動が変化する可能性がある。コンピュータ制御されたシステムに対する依存度の高まりと、コンピュータ制御されたシステムの使用の増加とに伴って、予期しない車両の挙動又は外部ソースからの攻撃によって引き起こされる異常に起因して、メッセージ及び信号が誤って送信される危険性が生じる。これらの潜在的な異常を検出するために、侵入検出システムを使用することができる。不適当に送信されたメッセージから生じる不所望な結果には、運転者の不快感、運転者の注意散漫、又は、車両の挙動の変化が含まれる。各実施形態は、特に、車両の通信システムにおける途絶を検出するためのシステムを提供する。当該システムは、車両バスと、電子プロセッサとを含む。電子プロセッサは、メッセージを車両バスから受信するように構成されている。メッセージは、１つのフォーマットと複数の信号とを有する。電子プロセッサは、バス識別子の異常と、メッセージのフォーマットの異常と、メッセージを受信した時間の異常と、複数の信号のうちの１つの信号の信号パラメータの異常とを検出するように構成されている。電子プロセッサは、メッセージのフォーマットに異常が検出された場合、メッセージを受信した時間に異常が検出された場合、又は、複数の信号のうちの１つの信号の信号パラメータに異常が検出された場合に、エラーを生成するようにも構成されている。
【０００５】
他の実施形態は、車両の通信システムにおける途絶を検出するための方法を提供する。当該方法は、メッセージを電子プロセッサによって車両バスから受信することを含む。車両バスから受信するメッセージは、１つのフォーマットと複数の信号とを有する。当該方法は、バス識別子の異常を検出し、メッセージのフォーマットの異常を検出し、メッセージを受信した時間の異常を検出し、複数の信号のうちの１つの信号の信号パラメータの異常を検出することにより、メッセージを電子プロセッサによってテストすることも含む。当該方法は、メッセージのフォーマットの異常、メッセージを受信した時間の異常、又は、複数の信号のうちの１つの信号の信号パラメータの異常が検出された場合に、エラーを生成することも含む。
【０００６】
他の態様、特徴及び実施形態は、詳細な説明及び添付の図面を考慮することにより明らかになるであろう。
【図面の簡単な説明】
【０００７】
【図１】通信システムを含む車両の概略図である。
【図２】メッセージを受信及び分析するように構成された電子制御ユニットの図である。
【図３】通信システム（例えば、図１のシステム）が危険に曝されている（例えば、ハッキングされている）かどうかを判断するための方法のフローチャートである。
【図４】メッセージのバス識別子をチェックするための方法のフローチャートである。
【図５】メッセージの識別子が既知であることをチェックするための方法のフローチャートである。
【図６】メッセージの長さが正しいことをチェックするための方法のフローチャートである。
【図７】メッセージの予約ビットが使用されていないことをチェックするための方法のフローチャートである。
【図８】メッセージが正しい時間及びレートで受信されていることをチェックするための方法のフローチャートである。
【図９】メッセージに含まれている複数の信号の信号パラメータをチェックするための方法のフローチャートである。
【発明を実施するための形態】
【０００８】
詳細な説明
全ての実施形態を詳細に説明する前に、本開示がその適用において、以下の説明に記載される又は以下の図面に図示される構成の詳細及びコンポーネントの配置に限定されることを意図したものではないことを理解すべきである。各実施形態は、それぞれ他の構成が可能であり、種々の方法で実施又は実行されることが可能である。
【０００９】
種々の実施形態を実装するために、複数のハードウェアベース及びソフトウェアベースのデバイスと、複数の異なる構造コンポーネントとを使用するものとしてもよい。さらに、各実施形態は、ハードウェア、ソフトウェア、及び、電子コンポーネント又は電子モジュールを含むものとしてもよく、それらは、説明の目的において、コンポーネントの大部分がハードウェアの形態でのみ実装されているかのように図示及び説明されることがある。しかしながら、当業者であれば、この詳細な説明を読むことに基づき、少なくとも１つの実施形態において、本発明の電子ベースの態様が、１つ又は複数のプロセッサによって実行可能な（例えば、非一時的なコンピュータ可読媒体に格納された）ソフトウェアの形態で実装されるものとしてもよいことを認識するであろう。例えば、本明細書に記載されている「制御ユニット」及び「コントローラ」は、１つ又は複数の電子プロセッサと、非一時的なコンピュータ可読媒体を含む１つ又は複数のメモリモジュールと、１つ又は複数の入出力インタフェースと、１つ又は複数の特定用途向け集積回路（ＡＳＩＣ）と、種々のコンポーネント同士を接続する種々のコネクション（例えば、システムバス）とを含み得る。
【００１０】
図１は、車両１０５の通信システム１００を示している。車両１０５は、四輪車両として例示されているが、種々の種類及び設計の車両を包含するものとしてもよい。例えば、車両１０５は、自動車、オートバイ、トラック、バス、セミトラクタなどであってもよい。図示の例においては、通信システム１００は、いくつかのシステムが、種々の有線接続又は無線接続を介して相互にメッセージを送信し合うことによって相互に通信することを可能にする。相互に通信するシステムの例は、エンジン制御システム１１５、運動制御システム１２０、トランスミッション制御システム１２５、ブレーキ制御システム１３０及びインストルメントパネル表示システム１３５である。これらのシステムは、種々の構造のものであってもよく、種々の通信タイプ及び通信プロトコルを使用するものとしてもよい。他の実施形態においては、相互に通信するシステム同士は、車両通信バス（車両バス）１４０（例えば、コントローラエリアネットワーク（ＣＡＮ）バス）又は無線車両ネットワークのような共有の通信リンクを介して通信可能に結合されている。
【００１１】
通信システム１００を介して相互作用する上述したシステムの各々は、それぞれのシステムの機能に関連するデータを受信、処理及び送信するための電子制御ユニットが含まれる、専用の処理回路を含むものとしてもよい。例えば、エンジン制御システム１１５は、メッセージを受信し、受信したメッセージに関連する潜在的に有害な異常が存在しないことをチェックして、メッセージを送信するための、電子制御ユニットを含むものとしてもよい。図１に示される実施形態は、通信システム１００のコンポーネント及びコネクションの一例を提示したものに過ぎない。これらのコンポーネント及びコネクションが、本明細書で例示及び説明されるもの以外の方法で構築されるものとしてもよいことを理解すべきである。
【００１２】
図２は、通信システム１００の電子制御ユニット２００のブロック図である。電子制御ユニット２００は、電子制御ユニット２００の内部のコンポーネント及びモジュールに電力、動作制御及び保護を提供するための複数の電気及び電子コンポーネントを含む。電子制御ユニット２００は、特に、電子プロセッサ２０５（プログラム可能な電子マイクロプロセッサ、マイクロコントローラ、又は、同類のデバイスなど）と、メモリ２１０（例えば、非一時的な機械可読メモリ）と、入出力インタフェース２１５とを含む。電子制御ユニット２００は、図２においては、純粋に例示目的のために、単一の入出力インタフェース２１５を有するものとして示されていることを理解すべきである。電子制御ユニット２００は、任意の数の入出力インタフェースを有しているものとしてもよく、本明細書に示される単一の入出力インタフェース２１５は、決して限定するものとして考慮されるべきではない。電子プロセッサ２０５は、メモリ２１０と、入出力インタフェース２１５とに通信可能に接続されている。電子プロセッサ２０５は、メモリ２１０及び入出力インタフェース２１５と協働して、特に、本明細書に記載された方法を実施するように構成されている。
【００１３】
電子制御ユニット２００は、複数の独立したコントローラ（例えば、複数のプログラム可能な電子制御ユニット）の形態で実装されているものとしてもよく、これらのコントローラは、それぞれ特定の機能又はサブ機能を実行するように構成されている。さらに、電子制御ユニット２００は、以下に列挙する方法の入出力機能及びアプリケーションを処理するための追加的な電子プロセッサ、メモリ又は特定用途向け集積回路（ＡＳＩＣ）が含まれる、サブモジュールを含むものとしてもよい。他の実施形態においては、電子制御ユニット２００は、追加的なコンポーネント、より少数のコンポーネント、又は、他の異なるコンポーネントを含む。
【００１４】
図３は、通信システム１００が危険に曝されているかどうかを判断するための例示的な方法３００を示している。提示された例においては、メッセージが受信されると（ブロック３０２）、このメッセージが車両１０５のいかなるシステムをも破壊しないことを確認するために、一連のテストが実行される。まず始めに、メッセージの送信元であるバス（例えば車両バス１４０）のバス識別子が分析される（ブロック３０５）。バス識別子の分析中に異常が発見されなかった場合には、メッセージのフォーマットが分析される。メッセージのフォーマットには、例えば、メッセージ識別子と、メッセージの長さと、メッセージの予約ビットとが含まれる。メッセージを受信した時間（メッセージを受信するレート）も分析される。いくつかの実施形態においては、まず始めに、メッセージ識別子が分析される（ブロック３１５）。メッセージ識別子が既知であった場合（メッセージ識別子に異常が発見されなかった場合（ブロック３２０））には、メッセージの長さが分析され（ブロック３２５）、メッセージの予約ビットが分析され（ブロック３３０）、メッセージを受信するレートが分析され（ブロック３３５）、メッセージに含まれている１つ又は複数の信号の信号パラメータが分析される（ブロック３４０）。メッセージの分析が完了した後、方法３００は、電子制御ユニット２００が新しいメッセージを受信するまで待機する（ブロック３０２）。いくつかの実施形態では、電子プロセッサ２０５は、方法３００において実行されるものとして記載された上記のテストに加えて追加的なテストを実行するものとしてもよい。他の実施形態では、電子プロセッサ２０５は、方法３００において記載されているステップの数よりも少数のステップでメッセージを分析するものとしてもよい。電子プロセッサ２０５が１つのメッセージに対して実行するテストの数は、電子プロセッサ２０５がそのメッセージに対して実行したテストの結果に依存するものとしてもよい。方法３００の分析ステップ又は分析テストの各々は、以下にさらに詳細に説明される。
【００１５】
図４は、電子プロセッサ２０５によって受信されたメッセージに関連付けられたバス識別子をチェックするための例示的な方法４００を示している。まず始めに、メッセージを配信したバスに関連付けられたバス識別子が特定される（ブロック４０２）。いくつかの実施形態においては、バス識別子は、メッセージから抽出される。他の実施形態においては、バス識別子は、（電子制御ユニット２００が入出力インタフェース２１５と同様の入出力インタフェースを複数有していると仮定した場合に）どの入出力インタフェースが、メッセージを受信して電子プロセッサ２０５に送信するかに基づいて特定される。電子プロセッサ２０５は、１つ又は複数のテーブルの中からこの特定されたバス識別子を検索する（ブロック４０５）。それぞれのテーブルは、１つの実行可能なバス識別子（例えば、ＣＡＮバス識別子）に関連付けられている。いくつかの実施形態においては、電子プロセッサ２０５が、その特定されたバス識別子に関連付けられたテーブルを発見しなかった場合には、電子プロセッサ２０５は、このメッセージのテストを中止し、このメッセージの実行を終了する（ブロック４１５）。電子プロセッサ２０５が、その特定されたバス識別子に関連付けられたテーブルを発見した場合には、電子プロセッサ２０５は、このメッセージの分析を継続する（ブロック４２０）。
【００１６】
図５は、受信したメッセージのメッセージ識別子をチェックするための例示的な方法５００を示している。メッセージ識別子がメッセージから抽出される（ブロック５０２）。電子プロセッサ２０５は、１つのテーブルの中からこのメッセージのこのメッセージ識別子を検索する（ブロック５０５）。テーブルは、メッセージのバス識別子のための複数の有効なメッセージ識別子を含む。いくつかの実施形態においては、電子プロセッサ２０５が、メッセージのバス識別子のための複数の有効なメッセージ識別子を含有するテーブルの中に、そのメッセージのそのメッセージ識別子を発見しなかった場合には、電子プロセッサ２０５は、エラーを生成し、このメッセージのテストを中止し、このメッセージの実行を終了する（ブロック５１５）。電子プロセッサ２０５が、テーブルの中にそのメッセージのそのメッセージ識別子を発見した場合には、電子プロセッサ２０５は、このメッセージの分析を継続する（ブロック５２０）。
【００１７】
図６は、受信したメッセージの長さをチェックするための例示的な方法６００を示している。有効なメッセージ長に対する所定の要件は、メモリ２１０に格納されている。有効なメッセージ長に対する所定の要件は、最小メッセージ長、最大メッセージ長、又は、他のメッセージ長であってもよい。電子プロセッサ２０５は、メッセージの長さ（例えば、メッセージのデータ長コード（ＤＬＣ））を抽出し（ブロック６０２）、このメッセージの長さを、メモリ２１０に格納されている有効なメッセージ長に対する所定の要件と比較する（ブロック６０５）。メッセージの長さが、有効なメッセージ長に対する所定の要件を満たしていない場合には（ブロック６１０）、電子プロセッサ２０５は、エラーを生成し（ブロック６１５）、いくつかの実施形態においては、そのメッセージのテストを継続する。メッセージの長さが、有効なメッセージ長に対する所定の要件を満たしている場合には（ブロック６１０）、電子プロセッサ２０５は、そのメッセージのテストを継続する（ブロック６２０）。
【００１８】
図７は、メッセージの予約ビットが有効であることをチェックするための例示的な方法７００を示している。予約ビットは、使用すべきではないビット、又は、信号に割り当てられていないビットとして定義されている。電子プロセッサ２０５は、予約ビットが含まれるデータをメッセージから抽出し（ブロック７０２）、予約ビットが使用されていないことをチェックする（ブロック７０５）。メッセージの予約ビットが使用されている場合には（ブロック７１０）、電子プロセッサ２０５は、エラーを生成し（ブロック７１５）、いくつかの実施形態では、そのメッセージのテストを継続する。受信したメッセージの予約ビットが使用されていない場合には（ブロック７１０）、電子プロセッサ２０５は、そのメッセージのテストを継続する（ブロック７２０）。
【００１９】
図８は、メッセージが適当なレート及び時間で受信されていることをチェックする（メッセージを受信した時間の異常を検出する）ための例示的な方法８００を示している。図示の例においては、電子プロセッサ２０５は、現在のメッセージの受信と、この現在のメッセージと同一のメッセージ識別子を有する前回のメッセージの受信との間に経過した時間（時間差）を計算する（ブロック８０２）。全てのメッセージ識別子について、電子プロセッサ２０５は、各メッセージ間で経過すべき時間（前回特定された時間差）を有する（メモリ２１０に格納されている）。電子プロセッサ２０５は、経過した時間が、経過すべき時間以上であることをチェックする（ブロック８０５）。経過した期間が、経過すべき時間以上ではない（又は経過した時間が、経過すべき時間未満である）場合には、電子プロセッサ２０５は、エラーを生成し（ブロック８１０）、いくつかの実施形態においては、そのメッセージのテストを継続する。電子プロセッサ２０５が、（例えば、時間差が第１の所定の閾値を上回っているかどうかを判断することにより）メッセージを受信するレートが速すぎると判断した場合には（ブロック８２０）、電子プロセッサ２０５は、エラーを生成し（ブロック８２５）、いくつかの実施形態においては、そのメッセージのテストを継続する。電子プロセッサ２０５が、（例えば、時間差が第２の所定の閾値を下回っているかどうかを判断することにより）メッセージを受信するレートが遅すぎると判断した場合には（ブロック８３０）、電子プロセッサ２０５は、エラーを生成し（ブロック８３５）、いくつかの実施形態においては、そのメッセージのテストを継続する。
【００２０】
図９は、ある１つの信号の信号パラメータをチェックするための例示的な方法９００を示している。図示の例においては、電子プロセッサ２０５は、この信号が所定の許容可能範囲内にあることをチェックする（ブロック９１０）。許容可能範囲は、例えば、線形値の範囲である。この信号が所定の許容可能範囲内にない場合には、電子プロセッサ２０５は、エラーを生成する（ブロック９１５）。いくつかの実施形態においては、電子プロセッサ２０５は、この信号が所定の許容不可能範囲内にないことをチェックするものとしてもよい。許容不可能範囲は、例えば、線形値の範囲である。この信号が所定の許容不可能範囲内にある場合には、電子プロセッサ２０５は、エラーを生成する（ブロック９１５）。メモリ２１０には、有効な信号値のテーブルが格納されている。１つの実施形態においては、電子プロセッサ２０５は、そのテーブルの中からこの信号の信号値を検索する（ブロック９２５）。そのテーブルの中にこの信号の信号値がなかった場合には、電子プロセッサ２０５は、エラーを生成する（ブロック９３０）。いくつかの実施形態においては、メモリ２１０に、無効な信号値のテーブルが格納されている。電子プロセッサ２０５は、そのテーブルの中からこの信号の信号値を検索する。そのテーブルの中にこの信号の信号値があった場合には、電子プロセッサ２０５は、エラーを生成する。電子プロセッサ２０５は、信号がカウンタ値であるかどうか、又は、より単純なケースでは、信号がカウンタであるかどうかもチェックする。信号がカウンタである場合には、電子プロセッサ２０５は、カウンタが１だけ増加したか若しくは減少したか（又は正しく更新されたか）をチェックする（ブロック９４０）。カウンタが２以上増加又は減少した場合には、電子プロセッサ２０５は、エラーを生成する（ブロック９４５）。いくつかの実施形態においては、継続的に増加（又は減少）することが想定されているカウンタが、増加（又は減少）していない場合にも、電子プロセッサ２０５は、エラーを生成する。
【００２１】
電子プロセッサ２０５は、信号の値が許容可能なレートで変化していることもチェックする（ブロック９５５）。信号の値が変化するレートのチェックは、複数のテストを含む。例えば、信号の値が変化するレートをチェックするための複数のテストに含まれている１つのテストは、連続して受信した２つのメッセージの間で信号の値が所定の閾値よりも大きく変化したかどうかをチェックする。信号の値が所定の閾値よりも大きく変化している場合には、電子プロセッサ２０５は、エラーを生成する（ブロック９６０）。複数のテストに含まれている他の１つの例のテストは、所定の期間の開始から所定の期間の終了までに信号が変化した量を、所定の閾値と比較する。例えば、信号が、所定の期間の開始時に５の値を有していて、所定の期間の終了時に１０の値を有する場合には、電子プロセッサ２０５は、５の値を、所定の閾値と比較することとなる。信号の値が所定の時間内に所定の閾値よりも大きく変化している場合には、電子プロセッサ２０５は、エラーを生成する（ブロック９６０）。複数のテストに含まれるさらに他の１つの例のテストは、所定の期間内の信号値の変動が所定の量よりも大きいかどうかをチェックする。いくつかの実施形態においては、信号値の変動は、所定の期間にわたる信号のデルタ値の合計の絶対値である。例えば、信号が、所定の期間内に５から１０に変化し、それから１０から１５に変化し、１５から５に変化し、そして５から０に変化した場合には、信号のデルタ値の合計の絶対値は、２５である。信号の値が所定の時間内に所定の量よりも大きく変動した場合には、電子プロセッサ２０５は、エラーを生成する（ブロック９６０）。
【００２２】
種々の特徴、利点及び実施形態は、以下の特許請求の範囲に特定されている。
【図１】
0006931094.tif 000002
【図２】
0006931094.tif 000003
【図３】
0006931094.tif 000004
【図４】
0006931094.tif 000005
【図５】
0006931094.tif 000006
【図６】
0006931094.tif 000007
【図７】
0006931094.tif 000008
【図８】
0006931094.tif 000009
【図９】
0006931094.tif 000010