(57)【要約】  異常データ検出部（１２）は、車両（１０−１）に搭載された車載機器（１１−１〜１１−Ｍ）が出力する異常データを検出して車載機器（１１−１〜１１−Ｍ）に発生した異常内容を出力する。異常位置取得部（１３）は、異常データ検出部（１２）により異常データが検出されたときの車両（１０−１）の位置情報を取得する。異常発生情報送信部（１４）は、異常データ検出部（１２）から出力された車載機器（１１−１〜１１−Ｍ）の異常内容に対して、異常位置取得部（１３）により取得された位置情報を関係付けた異常発生情報を、車両データ処理サーバ（１）へ送信する。
2020202501.tif 000002
【特許請求の範囲】
【請求項１】
車両に搭載された車載機器が出力する異常データを検出して前記車載機器に発生した異常内容を出力する異常データ検出部と、
前記異常データ検出部により前記異常データが検出されたときの前記車両の位置情報を取得する異常位置取得部と、
前記異常データ検出部から出力された前記車載機器の異常内容に対して、前記異常位置取得部により取得された前記位置情報を関係付けた異常発生情報を、前記車両の外部へ送信する異常発生情報送信部とを備える車両データ処理装置。
【請求項２】
前記車両の外部から攻撃を受けた場合に前記車載機器に発生する可能性のある異常が、前記車両に及ぼす影響を小さくする、又は前記車両に影響を及ぼすことを防止するための処理内容を管理する処理内容管理部と、
前記処理内容管理部により管理されている前記処理内容の中から、前記異常データ検出部から出力された前記車載機器の異常内容に対応する処理内容を選択する処理内容選択部とを備えることを特徴とする請求項１記載の車両データ処理装置。
【請求項３】
前記車両に搭載された車載機器ごとに優先度をつけて管理する優先度管理部と、
前記優先度管理部により管理されている前記優先度に基づいて、前記異常データ検出部により前記異常データが検出された前記車載機器に代わる車載機器を選択する優先度選択部とを備えることを特徴とする請求項１記載の車両データ処理装置。
【請求項４】
前記車両の外部から通知された前記異常発生情報を取得する異常発生情報取得部を備え、
前記処理内容選択部は、前記異常発生情報取得部により取得された前記異常発生情報に含まれる位置情報が前記車両の現在位置と一致している場合、前記処理内容管理部により管理されている前記処理内容の中から、前記異常発生情報に応じた処理内容を選択することを特徴とする請求項２記載の車両データ処理装置。
【請求項５】
前記車両の外部から通知された前記異常発生情報を取得する異常発生情報取得部を備え、
前記優先度選択部は、前記異常発生情報取得部により取得された前記異常発生情報に含まれる位置情報が前記車両の現在位置と一致している場合、前記優先度管理部により管理されている優先度に基づいて、前記異常発生情報に含まれる異常発生機器情報に対応する車載機器に代わる車載機器を選択することを特徴とする請求項３記載の車両データ処理装置。
【請求項６】
請求項１記載の車両データ処理装置と、
前記車両データ処理装置が搭載された複数の車両から異常発生情報を収集して統計処理することによって、車外から攻撃を受けることにより発生した車載機器の異常内容と発生位置との関係をデータベース化する車両データ処理サーバとを備えることを特徴とする車両データ処理システム。
【請求項７】
車両に搭載された車載機器に発生した異常内容に対して前記車両の位置情報が関係付けられた異常発生情報を、複数の車両から収集して統計処理することによって、車外から攻撃を受けることにより発生した前記車載機器の異常内容と発生位置との関係をデータベース化する車両データ処理サーバ。
【請求項８】
異常データ検出部が、車両に搭載された車載機器が出力する異常データを検出して前記車載機器に発生した異常内容を出力し、
異常位置取得部が、前記異常データ検出部により前記異常データが検出されたときの前記車両の位置情報を取得し、
異常発生情報送信部が、前記異常データ検出部から出力された前記車載機器の異常内容に対して、前記異常位置取得部により取得された前記位置情報を関係付けた異常発生情報を、前記車両の外部へ送信する車両データ処理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、車両データ処理装置、車両データ処理システム、車両データ処理サーバ、及び車両データ処理方法に関するものである。
【背景技術】
【０００２】
自動運転又は運転支援を実現するための車両の運転制御には、車両に搭載されている複数の車載機器からのデータが使用される。車載機器は、センサ、レーダ、カメラ、又は車両外部からデータを受信する通信モジュール等である。これらのデータは、車両外部ノイズ等の環境要因によるデータ破損、又は悪意ある攻撃者からの意図的な改ざんによって、車載機器が実際に取得したデータとは異なる、内容が異常なデータとなってしまう可能性がある。車両が異常なデータを使用して運転制御を行った場合、例えば自動運転でカーブを走行するときに操舵角を誤り車線はみ出しが起こる等、許容範囲内の精度の運転制御が保障できないため、車両は異常なデータを使用した運転制御を継続すべきでない。また、車両の通信モジュールが、公衆無線ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）又は携帯電話の基地局等の特定の無線アクセスポイント経由で悪意ある攻撃データを受信したことで、この通信モジュールに異常が発生すること、又は自車が他車へのウイルス拡散の要因になることがあるため、通信モジュールを問題のある無線アクセスポイントに接続すべきでない。【０００３】
車両が特定の位置を走行したときに先述のような異常データの発生又は異常な通信状態が観測される場合、その地点に、ノイズ等の環境要因又は攻撃者のアタックポイントといった、車両の運転制御に影響を及ぼす何らかの外部攻撃要因が存在すると考えられる。【０００４】
ところで、特許文献１には、１つ以上の自動運転動作を自動で実行し、所定の要解除事象が発生した場合に実行中の自動運転動作の少なくとも１つを停止する自動運転制御装置が記載されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】国際公開第２０１６／０８０４５２号
【発明の概要】
【発明が解決しようとする課題】
【０００６】
外部攻撃は、特定の位置において繰り返し起こり得る。すなわち、当該特定の位置では、不特定の車両が走行するたびに、当該車両に対して外部攻撃が行われる可能性がある。しかしながら、特許文献１に係る自動運転制御装置は、外部攻撃を考慮しておらず、また、外部攻撃により発生した車載機器の異常を自車外へ通知して他車と共有することもなかった。【０００７】
この発明は、上記のような課題を解決するためになされたもので、特定の位置において自車の車載機器に発生した異常の情報を自車外へ送信して他車と共有することを目的とする。
【課題を解決するための手段】
【０００８】
この発明に係る車両データ処理装置は、車両に搭載された車載機器が出力する異常データを検出して車載機器に発生した異常内容を出力する異常データ検出部と、異常データ検出部により異常データが検出されたときの車両の位置情報を取得する異常位置取得部と、異常データ検出部から出力された車載機器の異常内容に対して、異常位置取得部により取得された位置情報を関係付けた異常発生情報を、車両の外部へ送信する異常発生情報送信部とを備えるものである。
【発明の効果】
【０００９】
この発明によれば、自車の車載機器に発生した異常を自車外へ送信することにより、特定の位置において自車の車載機器に発生した異常の情報を他車と共有することができる。
【図面の簡単な説明】
【００１０】
【図１】実施の形態１に係る車両データ処理システムの構成例を示す図である。
【図２】実施の形態１に係る車両データ処理装置の構成例を示すブロック図である。
【図３】実施の形態１に係る車両データ処理装置による異常発生情報の送信動作例を示すフローチャートである。
【図４】実施の形態１に係る車両データ処理装置の処理内容管理部が持つテーブルの例を示す図である。
【図５】実施の形態１に係る車両データ処理サーバが有するデータベースの例を示す図である。
【図６】実施の形態２に係る車両データ処理装置の構成例を示すブロック図である。
【図７】実施の形態２に係る車両データ処理装置の優先度管理部が持つテーブルの例を示す図である。
【図８】各実施の形態に係る車両データ処理装置のハードウェア構成の一例を示すブロック図である。
【図９】各実施の形態に係る車両データ処理装置のハードウェア構成の別の例を示すブロック図である。
【発明を実施するための形態】
【００１１】
以下、この発明をより詳細に説明するために、この発明を実施するための形態について、添付の図面に従って説明する。
実施の形態１．
図１は、実施の形態１に係る車両データ処理システムの構成例を示す図である。車両データ処理システムは、複数の車両１０−１〜１０−Ｎ（Ｎは２以上の任意の整数）のそれぞれに搭載された車両データ処理装置１０と、車両データ処理サーバ１とを含む。車両データ処理サーバ１と各車両データ処理装置１０とは、無線通信が可能である。
【００１２】
図２は、実施の形態１に係る車両データ処理装置１０の構成例を示すブロック図である。車両１０−１は、車両データ処理装置１０と、１つ以上の車載機器１１−１〜１１−Ｍ（Ｍは１以上の任意の整数）と、自動運転又は運転支援等を行うＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔ）１８とを備える。
他の車両１０−２〜１０−Ｎのそれぞれも、車両１０−１と同様に、車両データ処理装置１０と、車載機器１１−１〜１１−Ｍと、ＥＣＵ１８とを備える。
【００１３】
車載機器１１−１〜１１−Ｍは、センサ、レーダ、カメラ、又は車外からデータを受信する無線通信モジュール等である。車載機器１１−１〜１１−Ｍは、データをＥＣＵ１８及び異常データ検出部１２へ出力する。ＥＣＵ１８は、車載機器１１−１〜１１−Ｍからのデータを使用して、車両１０−１の自動運転又は運転支援等を行う。
【００１４】
車両データ処理装置１０は、異常データ検出部１２、異常位置取得部１３、異常発生情報送信部１４、異常発生情報取得部１５、処理内容管理部１６、及び処理内容選択部１７を備える。
【００１５】
車載機器１１−１〜１１−Ｍは、車両１０−１の外部から攻撃を受けることにより、異常データを出力する。異常データには、不正データが含まれてもよい。車両１０−１の外部からの攻撃は、車両１０−１の外部に存在するノイズ等の環境要因に起因する車載機器１１−１〜１１−Ｍの正常動作の妨害、又はアタックポイントから送信される攻撃データに起因する車載機器１１−１〜１１−Ｍの正常動作の妨害等が含まれる。以下では、車両１０−１の外部に存在するノイズ等の環境要因、又はアタックポイント等を、「車外要因」と称する。上述のように、車外要因の攻撃は、特定の位置において繰り返し起こり得る。すなわち、車両１０−１が当該特定の位置を走行するたびに、車両１０−１に対して攻撃が行われる可能性がある。
【００１６】
異常データ検出部１２は、車載機器１１−１〜１１−Ｍが出力する異常データを検出する。例えば、異常データ検出部１２は、車載機器１１−１〜１１−Ｍから出力されるデータの種別又はＩＤ等と正常時の種別又はＩＤ等とを比較することにより、異常データを検出する。また、異常データ検出部１２は、車載機器１１−１〜１１−Ｍから出力されるデータの値と正常時の値の範囲とを比較することにより、異常データを検出してもよい。また、異常データ検出部１２は、車載機器１１−１〜１１−Ｍが、特定のサイクル又はシーケンスに従ったデータ出力を行っているか否かを確認することにより、異常データを検出してもよい。異常データ検出部１２による異常検出方法は、上記例に限定されるものではない。
【００１７】
異常データ検出部１２は、車載機器１１−１〜１１−Ｍのいずれかから異常データが出力されていることを検出した場合、異常データを出力している車載機器を示す異常発生機器情報と、この車載機器に発生している異常内容とを、異常発生情報送信部１４及び異常発生情報取得部１５へ出力する。異常発生機器情報は、例えば、車載機器の種別又は個体番号等の、識別情報である。異常内容は、例えば、異常データ出力、又は急激なデータレート増加である。
【００１８】
また、異常データ検出部１２は、車載機器１１−１〜１１−Ｍのいずれかから異常データが出力されていることを検出した場合、異常データを検出したことを示す異常検出信号を、異常位置取得部１３、異常発生情報送信部１４、及び異常発生情報取得部１５へ出力する。
【００１９】
異常位置取得部１３は、異常データ検出部１２から異常検出信号を受け取った場合、車両１０−１の現在位置情報を取得する。現在位置情報は、図示しないカーナビゲーション装置等が出力する。異常位置取得部１３は、取得した現在位置情報を、車載機器１１−１〜１１−Ｍのいずれかに異常が発生した位置を示す異常発生位置情報として、異常発生情報送信部１４へ出力する。
【００２０】
異常発生情報送信部１４は、異常データ検出部１２から異常検出信号を受け取った場合、異常データ検出部１２から異常発生機器情報と異常内容とを取得し、異常位置取得部１３から異常発生位置情報を取得する。異常発生情報送信部１４は、異常発生機器情報と異常内容とに対して異常発生位置情報を関連付けた異常発生情報を生成し、生成した異常発生情報を車両データ処理サーバ１へ送信する。
【００２１】
なお、異常発生情報送信部１４は、異常検出信号を受け取ったことをトリガとして処理を開始するが、異常位置取得部１３も同じ異常検出信号をトリガとして処理を開始するため、実際には異常位置取得部１３の処理終了後に異常発生情報送信部１４が処理を開始することとなる。異常発生情報送信部１４は、例えば、車載機器１１−１〜１１−Ｍのうちの無線通信モジュールを用いて、この無線通信モジュールに異常が発生していないタイミングで、異常発生情報を車両データ処理サーバ１へ送信する。
【００２２】
車載機器と発生し得る異常内容との組み合わせに対して割り当てられた異常識別番号が、異常発生情報送信部１４に予め与えられていてもよい。この場合、異常発生情報送信部１４は、予め与えられている異常識別番号の中から、異常データ検出部１２から取得した異常発生機器情報と異常内容とに対応する異常識別番号を選択する。そして、異常発生情報送信部１４は、選択した異常識別番号と異常位置取得部１３から取得した異常発生位置情報とを関係づけた異常発生情報を、車両データ処理サーバ１へ送信する。
【００２３】
また、異常発生情報送信部１４は、車載機器１１−１〜１１−Ｍが備える自己診断機能による自己診断結果を、車載機器１１−１〜１１−Ｍから取得してもよい。この場合、異常発生情報送信部１４は、車載機器１１−１〜１１−Ｍのうちの異常データ出力が検出された車載機器の自己診断結果を、異常発生情報に含めてもよい。自己診断結果は、例えば、車載機器の故障の有無を示す情報である。
【００２４】
図３は、実施の形態１に係る車両データ処理装置１０による異常発生情報の送信動作例を示すフローチャートである。車両データ処理装置１０は、例えば、車両１０−１のアクセサリ電源がオンになると図３のフローチャートに示される動作を開始し、アクセサリ電源がオフになるまでこの動作を繰り返し実施する。
【００２５】
ステップＳＴ１において、異常データ検出部１２は、車載機器１１−１〜１１−Ｍのいずれかから異常データが出力されていることを検出した場合（ステップＳＴ１“ＹＥＳ”）、異常検出信号を異常位置取得部１３、異常発生情報送信部１４、及び異常発生情報取得部１５へ出力する。車載機器１１−１〜１１−Ｍのいずれからも異常データ出力を検出しなかった場合（ステップＳＴ１“ＮＯ”）、異常データ検出部１２は、ステップＳＴ１の動作を繰り返す。
【００２６】
ステップＳＴ２において、異常位置取得部１３は、異常データ検出部１２からの異常発生信号を受け取る。異常発生信号を受け取った異常位置取得部１３は、車両１０−１の現在位置情報を取得し、取得した現在位置情報を異常発生位置情報として異常発生情報送信部１４へ出力する。
【００２７】
ステップＳＴ３において、異常発生情報送信部１４は、異常データ検出部１２からの異常検出信号を受け取る。異常発生信号を受け取った異常発生情報送信部１４は、異常データ検出部１２から異常発生機器情報と異常内容とを取得すると共に、異常位置取得部１３から異常発生位置情報を取得する。そして、異常発生情報送信部１４は、異常発生機器情報と異常内容と異常発生位置情報とを含む異常発生情報を生成して車両データ処理サーバ１へ送信する。
【００２８】
図２において、異常発生情報取得部１５は、例えば、車載機器１１−１〜１１−Ｍのうちの無線通信モジュールを用いて、車両データ処理サーバ１から異常発生情報を取得する。異常発生情報は、異常発生機器情報と異常内容と異常発生位置情報とを含む。なお、異常発生情報は、異常発生機器情報と異常内容に代えて、車載機器と発生し得る異常内容との組み合わせに対して割り当てられた異常識別番号を含んでもよい。異常発生情報に含まれる異常発生位置情報は、地点情報でもよいしエリア情報でもよい。
以下では、車両データ処理サーバ１からの異常発生情報は、異常識別番号と異常発生位置情報とを含むものとする。
【００２９】
異常発生情報取得部１５は、車両データ処理サーバ１から異常発生情報を取得した場合、車両１０−１の現在位置情報を取得し、現在位置情報と車両データ処理サーバ１から取得した異常発生情報に含まれる異常発生位置情報とを比較する。異常発生情報取得部１５は、車両１０−１の現在位置が異常発生位置情報に基づく範囲内に入っている期間、異常発生情報に含まれる異常識別番号を処理内容選択部１７へ出力する。
【００３０】
車両データ処理サーバ１は、後述のように、例えば、車両１０−１の現在位置を常時把握し、車両１０−１の現在位置に応じた異常発生情報を都度車両データ処理装置１０へ通知する。異常発生情報取得部１５は、車両１０−１が異常発生位置に接近する都度、車両データ処理サーバ１から通知される異常発生情報を取得する。
また、車両データ処理装置１０は、車両１０−１が走行を開始する前に、走行予定経路上に異常発生情報が存在するか否かを車両データ処理サーバ１に問い合わせてもよい。この場合、車両データ処理サーバ１は、問い合わせを受けた車両１０−１の車両データ処理装置１０に対して、走行予定経路上に存在する全ての異常発生情報を一括通知する。異常発生情報取得部１５は、車両１０−１が走行を開始する前に、走行予定経路上に存在する全ての異常発生情報を、車両データ処理サーバ１から一括取得する。
【００３１】
また、異常発生情報取得部１５は、異常データ検出部１２から異常検出信号、異常発生機器情報、及び異常内容を取得してもよい。異常発生情報取得部１５は、異常データ検出部１２から異常検出信号を受け付けている期間、異常発生機器情報と異常内容とを、又は異常発生機器情報と異常内容とに対応する異常識別番号を、処理内容選択部１７へ出力する。
例えば、車外要因が新しく出現し、この車外要因に対応した異常発生情報が車両データ処理サーバ１に存在しない場合、異常発生情報取得部１５は、この車外要因に対応した異常発生情報を車両データ処理サーバ１から取得できない。その場合、異常発生情報取得部１５は、上記車外要因により発生した車載機器１１−１〜１１−Ｍのいずれかの異常内容を、異常データ検出部１２から取得する。
【００３２】
処理内容管理部１６は、車両１０−１の外部から攻撃を受けた場合に車載機器１１−１〜１１−Ｍに発生する可能性のある異常が、車両１０−１に及ぼす影響を小さくする、又は車両１０−１に影響を及ぼすことを防止するための処理内容を管理する。処理内容管理部１６は、例えば図４に示されるような、異常識別番号ごとの処理内容が定義されたテーブルを持つ。
【００３３】
図４は、実施の形態１に係る車両データ処理装置１０の処理内容管理部１６が持つテーブルの例を示す図である。例えば、異常識別番号「Ａ」に対して、異常発生機器「センサ」と、異常内容「異常データ出力」と、異常発生時の処理内容「自動運転制御にセンサを使用しない」とが定義されている。処理内容としては、ＥＣＵ１８が行う特定の運転制御に対して車載機器が出力する異常データを使用させないようにするもの（異常識別番号「Ａ」及び「Ｂ」）、及び、無線通信モジュールである車載機器がアタックポイントになっている無線アクセスポイントに接続しないように制御するようＥＣＵ１８に指示するもの（異常識別番号「Ｃ」）等がある。なお、処理内容は、全車両、即ち車両データ処理システム全体で統一されていてもよいし、自動車メーカごと、車種ごと、又は車両ごとに異なっていてもよい。
【００３４】
処理内容管理部１６は、例えば、車両１０−１に車載機器が新規追加された場合、新規追加された車載機器に対応する異常識別番号、異常発生機器、異常内容、及び異常発生時の処理内容等を、テーブルに追加可能である。また、車両データ処理サーバ１において新しく出現した車外要因に応じて異常識別番号、異常発生機器、異常内容、及び異常発生時の処理内容等が定義された場合、処理内容管理部１６は、車両データ処理サーバ１からの指示に応じて、新たに定義された異常識別番号、異常発生機器、異常内容、及び異常発生時の処理内容等を、テーブルに追加可能である。
【００３５】
処理内容選択部１７は、異常発生情報取得部１５が異常識別番号を出力した場合、処理内容管理部１６が管理しているテーブルから、この異常識別番号に対応する異常発生時の処理内容を選択し、選択した処理内容をＥＣＵ１８へ出力する。なお、処理内容選択部１７は、異常発生情報取得部１５が異常識別番号を出力している期間、つまり、車両データ処理サーバ１から取得した異常発生情報に含まれる異常発生位置情報に基づく範囲内に車両１０−１の現在位置が入っている期間、選択した処理内容をＥＣＵ１８へ出力する。
【００３６】
ＥＣＵ１８は、処理内容選択部１７からの処理内容に基づき、車両１０−１の自動運転又は運転支援制御を行う。
【００３７】
例えば、異常発生情報取得部１５が車両データ処理サーバ１から異常識別番号「Ａ」を含む異常発生情報を取得した場合、異常発生情報取得部１５から処理内容選択部１７へ異常識別番号「Ａ」が出力される。処理内容選択部１７は、処理内容管理部１６が管理している図４のテーブルから異常識別番号「Ａ」に対応する異常発生時の処理内容「自動運転制御にセンサを使用しない」を選択し、選択した処理内容「自動運転制御にセンサを使用しない」をＥＣＵ１８へ出力する。ＥＣＵ１８は、車載機器１１−１〜１１−Ｍのうちの異常発生機器であるセンサを使用せずに、車両１０−１の自動運転を行う。これにより、車両データ処理装置１０は、車両１０−１の外部から攻撃を受けた場合にセンサに発生する可能性のある異常が、車両１０−１の自動運転に及ぼす影響を事前に防止することができる。
【００３８】
次に、車両データ処理サーバ１の構成及び動作を説明する。
図２に示されるように、車両データ処理サーバ１は、データベース２、受信部３、処理部４、及び送信部５を備える。処理部４は、受信部３を介して、車両１０−１〜１０−Ｎに搭載された各車両データ処理装置１０から送信される異常発生情報を収集し、統計処理を行った上で、データベース２に蓄積する。
【００３９】
図５は、実施の形態１に係る車両データ処理サーバ１が有するデータベース２の例を示す図である。データベース２は、異常発生位置、異常識別番号、異常発生機器、異常内容、発生頻度、及び通知要否等の項目で構成されている。異常発生位置は、車両データ処理装置１０から収集した異常発生情報に含まれる異常発生位置情報に基づく、地点情報又はエリア情報である。異常識別番号は、上記異常発生情報に含まれる異常識別番号、又は、上記異常発生情報に含まれる異常発生機器情報と異常内容とに対応する異常識別番号である。異常発生機器と異常内容は、上記異常発生情報に含まれる異常発生機器情報と異常内容、又は、上記異常発生情報に含まれる異常識別番号に対応する異常発生機器情報と異常内容である。発生頻度は、処理部４が、複数の車両データ処理装置１０から収集した、同一内容の複数の異常発生情報を統計処理することによって得た、異常の発生頻度である。図５の例では、発生頻度が「高」と「低」の２段階で表されているが、３段階以上であってもよい。通知要否は、処理部４が、異常の発生頻度と予め設けられた閾値とを比較することによって得た、当該異常発生情報を各車両データ処理装置１０へ通知するか否かの判定結果である。例えば、異常発生位置「Ｄ」における異常識別番号「Ａ」の異常発生情報が、多数の車両データ処理装置１０から車両データ処理サーバ１へ送信された場合、つまり発生頻度が高い場合、処理部４は、この異常発生情報が示す異常が車外要因に起因するものと判定して通知要否を「要」にする。通知「要」と判定された異常発生情報は、処理部４が送信部５を介して車両１０−１〜１０−Ｎの各車両データ処理装置１０へ通知することにより、車両１０−１〜１０−Ｎ間で共有される。
【００４０】
処理部４は、車両データ処理装置１０からの異常発生情報に、車載機器１１−１〜１１−Ｍのうちの異常データを出力した車載機器の自己診断結果が含まれている場合、自己診断結果に基づいて、この異常発生情報が示す異常が、車外要因に起因するものか、車載機器１１−１〜１１−Ｍのうちの異常データを出力した車載機器の故障に起因するものかを判定してもよい。処理部４は、車両データ処理装置１０から収集した異常発生情報が、車載機器１１−１〜１１−Ｍのうちの異常データを出力した車載機器の故障に起因するものであると判定した場合、この異常発生情報をデータベース２に蓄積することなく破棄する。これにより、車両データ処理サーバ１は、車両１０−１〜１０−Ｎの外部からの攻撃に起因した車載機器１１−１〜１１−Ｍの異常発生情報のみを収集して通知することができる。
【００４１】
なお、異常発生情報に自己診断結果が含まれていない場合であっても、車両データ処理サーバ１は、車両１０−１〜１０−Ｎの外部からの攻撃に起因した車載機器１１−１〜１１−Ｍの異常発生情報のみを選択的に車両データ処理装置１０へ通知することができる。上述のように、処理部４は、収集した異常発生情報をデータベース化する際、異常の発生頻度に応じて通知要否を判定している。したがって、車両データ処理装置１０が、自車固有の、車載機器１１−１〜１１−Ｍのいずれかの故障に起因した異常発生情報を送信した場合、この異常の発生頻度は低いため、処理部４はこの異常発生情報を通知不要と判定することになる。
【００４２】
処理部４は、例えば、受信部３を介して車両１０−１〜１０−Ｎそれぞれの現在位置を常時把握し、車両１０−１〜１０−Ｎそれぞれの現在位置に応じた異常発生情報を都度データベース２から読み出し、送信部５を介して車両データ処理装置１０へ通知する。
また、車両１０−１〜１０−Ｎの各車両データ処理装置１０が、自車が走行を開始する前に、走行予定経路上に異常発生情報が存在するか否かを車両データ処理サーバ１に問い合わせてもよい。この場合、処理部４は、問い合わせを受けた車両データ処理装置１０に対して、走行予定経路上に存在する全ての異常発生情報を一括通知する。
【００４３】
以上のように、実施の形態１に係る車両データ処理装置１０は、異常データ検出部１２と、異常位置取得部１３と、異常発生情報送信部１４とを備える。異常データ検出部１２は、車両１０−１に搭載された車載機器１１−１〜１１−Ｍのいずれかが出力する異常データを検出して車載機器１１−１〜１１−Ｍのいずれかに発生した異常内容を出力する。異常位置取得部１３は、異常データ検出部１２により異常データが検出されたときの車両１０−１の位置情報を取得する。異常発生情報送信部１４は、異常データ検出部１２から出力された車載機器１１−１〜１１−Ｍのいずれかの異常内容に対して、異常位置取得部１３により取得された位置情報を関係付けた異常発生情報を、車両１０−１の外部へ送信する。この構成により、車両データ処理装置１０は、車両１０−１の外部から攻撃を受けることにより車両１０−１の車載機器１１−１〜１１−Ｍのいずれかに発生した可能性がある異常の情報を、車両１０−１の外部へ送信することができ、その結果として、車両１０−１の車載機器１１−１〜１１−Ｍのいずれかに発生した上記異常を他車と共有することができるようになる。また、車両データ処理サーバ１は、車両１０−１〜１０−Ｎの各車両データ処理装置１０から送信される異常発生情報を用いて、車載機器１１−１〜１１−Ｍに異常を発生させるノイズ等の環境要因の特定及び改善、並びに、攻撃者の特定及び通信インフラストラクチャの脆弱性の発見が可能となる。
【００４４】
また、実施の形態１に係る車両データ処理装置１０は、処理内容管理部１６と、処理内容選択部１７とを備える。処理内容管理部１６は、車両１０−１の外部から攻撃を受けた場合に車載機器１１−１〜１１−Ｍのいずれかに発生する可能性のある異常が、車両１０−１に及ぼす影響を小さくする、又は車両１０−１に影響を及ぼすことを防止するための処理内容を管理する。処理内容選択部１７は、処理内容管理部１６により管理されている処理内容の中から、異常データ検出部１２から出力された車載機器１１−１〜１１−Ｍのいずれかの異常内容に対応する処理内容を選択する。この構成により、車両データ処理装置１０は、車両１０−１の外部の要因によって車載機器１１−１〜１１−Ｍに発生した異常が車両１０−１に及ぼす影響を小さくすること、又は車両１０−１に影響を及ぼすことを防止することができる。
【００４５】
また、実施の形態１に係る車両データ処理装置１０は、車両１０−１の外部から通知された異常発生情報を取得する異常発生情報取得部１５を備える。処理内容選択部１７は、異常発生情報取得部１５により取得された異常発生情報に含まれる位置情報が車両１０−１の現在位置情報と一致している場合、処理内容管理部１６により管理されている処理内容の中から、異常発生情報に応じた処理内容を選択する。この構成により、車両データ処理装置１０は、車両１０−１の外部の要因によって車載機器１１−１〜１１−Ｍに発生する可能性のある異常を、車両１０−１の制御に影響を及ぼす前に防止することができる。
【００４６】
実施の形態２．
図６は、実施の形態２に係る車両データ処理装置１０の構成例を示すブロック図である。実施の形態２に係る車両データ処理装置１０は、図１に示された実施の形態１の車両データ処理装置１０における処理内容管理部１６及び処理内容選択部１７に代えて、優先度管理部２１及び優先度選択部２２を備える構成である。図６において図１と同一又は相当する部分は、同一の符号を付し説明を省略する。
実施の形態２に係る車両データ処理サーバ１は、図１に示された実施の形態１の車両データ処理サーバ１と同じ構成である。
【００４７】
実施の形態２の車両データ処理装置１０は、車載機器１１−１〜１１−Ｍのいずれかに異常が発生した場合に、異常が発生した車載機器が出力する異常データの優先度を下げることによって、異常データを使用した自動運転又は運転支援をＥＣＵ１８に行わせないようにする。
【００４８】
優先度管理部２１は、車両１０−１に搭載された車載機器１１−１〜１１−Ｍそれぞれに優先度をつけて管理する。優先度管理部２１は、例えば図７に示されるような、異常識別番号ごとの優先度が定義されたテーブルを持つ。
【００４９】
図７は、実施の形態２に係る車両データ処理装置１０の優先度管理部２１が持つテーブルの例を示す図である。例えば、異常識別番号「Ｈ」に対して、異常発生機器「カメラ」と、異常発生時の優先度「カメラ０％、レーダ１００％」とが定義されている。図７の例では、異常識別番号が示す異常の発生し得る車載機器のデータ使用率が、優先度として管理される。異常識別番号「Ｈ」の場合、ＥＣＵ１８は、自動運転又は運転支援を行う際に、車外要因による異常が発生しているカメラのデータを使用する代わりに、正常なレーダのデータを使用することになる。また、異常識別番号「Ｇ」の場合、ＥＣＵ１８は、自動運転又は運転支援を行う際に、車外要因による異常が発生しているセンサのデータ使用率を１００％から１０％に下げ、正常なカメラのデータ使用率を１００％のまま維持することになる。
【００５０】
異常発生情報取得部１５は、実施の形態１と同様、車両データ処理サーバ１又は車両１０−１の異常データ検出部１２から取得した、異常発生機器情報と異常内容とを、又は、異常発生機器情報と異常内容とに対応する異常識別番号を、優先度選択部２２へ出力する。
以下では、異常発生情報取得部１５が異常識別番号を出力するものとする。
【００５１】
優先度選択部２２は、異常発生情報取得部１５が異常識別番号を出力した場合、優先度管理部２１が管理しているテーブルから、この異常識別番号に対応する異常発生時の優先度を選択する。優先度選択部２２は、選択した優先度に基づき、車載機器１１−１〜１１−Ｍのうちの異常データ出力が検出された車載機器に代わる車載機器を選択し、選択結果をＥＣＵ１８へ出力する。なお、優先度選択部２２は、異常発生情報取得部１５が異常識別番号を出力している期間、選択結果をＥＣＵ１８へ出力する。
【００５２】
ＥＣＵ１８は、優先度選択部２２が出力した優先度に基づいて車載機器１１−１〜１１−Ｍが出力するデータを使用して、車両１０−１の自動運転又は運転支援制御を行う。
【００５３】
例えば、異常発生情報取得部１５が車両データ処理サーバ１から異常識別番号「Ｈ」を含む異常発生情報を取得した場合、異常発生情報取得部１５から優先度選択部２２へ異常識別番号「Ｈ」が出力される。優先度選択部２２は、優先度管理部２１が管理している図７のテーブルから異常識別番号「Ｈ」に対応する異常発生時の優先度「センサ０％、レーダ１００％」を取得し、取得した優先度に基づくデータ使用率をＥＣＵ１８へ出力する。ＥＣＵ１８は、優先度選択部２２からのデータ使用率に基づき、自動運転又は運転支援のためにカメラのデータを使用せず、レーダのデータのみを使用して車両１０−１周辺の障害物を検知する。ＥＣＵ１８は、カメラのデータを使用すれば障害物が物体か人かを判別できるが、レーダのデータを使用した場合には判別できない。そのため、ＥＣＵ１８は、「障害物が物体ならば避けて走行する」及び「障害物が人ならば走行停止する」といった自動運転又は運転支援を行うことが困難となるが、自動運転又は運転支援自体を継続することは可能である。
【００５４】
以上のように、実施の形態２に係る車両データ処理装置１０は、優先度管理部２１と、優先度選択部２２とを備える。優先度管理部２１は、車両１０−１に搭載された車載機器１１−１〜１１−Ｍごとに優先度をつけて管理する。優先度選択部２２は、優先度管理部２１により管理されている優先度に基づいて、車載機器１１−１〜１１−Ｍの中から、異常データ検出部１２により異常データが検出された車載機器に代わる車載機器を選択する。この構成により、車両データ処理装置１０は、車載機器１１−１〜１１−Ｍに発生した異常が車両１０−１に及ぼす影響を小さくすること、又は車両１０−１に影響を及ぼすことを防止することができる。
【００５５】
また、実施の形態２によれば、優先度選択部２２は、異常発生情報取得部１５により取得された異常発生情報に含まれる位置情報が車両１０−１の現在位置情報と一致している場合、優先度管理部２１により管理されている優先度に基づいて、車載機器１１−１〜１１−Ｍの中から、異常発生情報に含まれる異常発生機器情報に対応する車載機器に代わる車載機器を選択する。この構成により、車両データ処理装置１０は、車両１０−１の外部の要因によって車載機器１１−１〜１１−Ｍに発生する可能性がある異常を、車両１０−１に影響を及ぼす前に防止することができる。
【００５６】
最後に、各実施の形態に係る車両データ処理装置１０及び車両データ処理サーバ１のハードウェア構成を説明する。
【００５７】
図８及び図９は、各実施の形態に係る車両データ処理装置１０のハードウェア構成例を示す図である。車両データ処理装置１０における処理内容管理部１６及び優先度管理部２１は、メモリ１０２により実現される。車両データ処理装置１０における異常データ検出部１２、異常位置取得部１３、異常発生情報送信部１４、異常発生情報取得部１５、処理内容選択部１７、及び優先度選択部２２の機能は、処理回路により実現される。即ち、車両データ処理装置１０は、上記機能を実現するための処理回路を備える。処理回路は、専用のハードウェアとしての処理回路１００であってもよいし、メモリ１０２に格納されるプログラムを実行するプロセッサ１０１であってもよい。
【００５８】
図８に示されるように、処理回路が専用のハードウェアである場合、処理回路１００は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ  Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）、又はこれらを組み合わせたものが該当する。異常データ検出部１２、異常位置取得部１３、異常発生情報送信部１４、異常発生情報取得部１５、処理内容選択部１７、及び優先度選択部２２の機能を複数の処理回路１００で実現してもよいし、各部の機能をまとめて１つの処理回路１００で実現してもよい。
【００５９】
図９に示されるように、処理回路がプロセッサ１０１である場合、異常データ検出部１２、異常位置取得部１３、異常発生情報送信部１４、異常発生情報取得部１５、処理内容選択部１７、及び優先度選択部２２の機能は、ソフトウェア、ファームウェア、又はソフトウェアとファームウェアとの組み合わせにより実現される。ソフトウェア又はファームウェアはプログラムとして記述され、メモリ１０２に格納される。プロセッサ１０１は、メモリ１０２に格納されたプログラムを読みだして実行することにより、各部の機能を実現する。即ち、車両データ処理装置１０は、プロセッサ１０１により実行されるときに、図３のフローチャートで示されるステップが結果的に実行されることになるプログラムを格納するためのメモリ１０２を備える。また、このプログラムは、異常データ検出部１２、異常位置取得部１３、異常発生情報送信部１４、異常発生情報取得部１５、処理内容選択部１７、及び優先度選択部２２の手順又は方法をコンピュータに実行させるものであるとも言える。
【００６０】
ここで、プロセッサ１０１とは、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）、処理装置、演算装置、又はマイクロプロセッサ等のことである。
メモリ１０２は、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、ＥＰＲＯＭ（Ｅｒａｓａｂｌｅ  Ｐｒｏｇｒａｍｍａｂｌｅ  ＲＯＭ）、又はフラッシュメモリ等の不揮発性もしくは揮発性の半導体メモリであってもよいし、ハードディスク又はフレキシブルディスク等の磁気ディスクであってもよいし、ＣＤ（Ｃｏｍｐａｃｔ  Ｄｉｓｃ）又はＤＶＤ（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｃ）等の光ディスクであってもよい。
【００６１】
なお、異常データ検出部１２、異常位置取得部１３、異常発生情報送信部１４、異常発生情報取得部１５、処理内容選択部１７、及び優先度選択部２２の機能について、一部を専用のハードウェアで実現し、一部をソフトウェア又はファームウェアで実現するようにしてもよい。このように、車両データ処理装置１０における処理回路は、ハードウェア、ソフトウェア、ファームウェア、又はこれらの組み合わせによって、上述の機能を実現することができる。
【００６２】
なお、車両データ処理サーバ１のハードウェア構成も、図面上は、図８又は図９に示されるハードウェア構成と同じである。
車両データ処理サーバ１におけるデータベース２は、メモリ１０２により実現される。車両データ処理サーバ１における受信部３、処理部４、及び送信部５の機能は、処理回路により実現される。処理回路は、専用のハードウェアとしての処理回路１００であってもよいし、メモリ１０２に格納されるプログラムを実行するプロセッサ１０１であってもよい。このプログラムは、受信部３、処理部４、及び送信部５の手順又は方法をコンピュータに実行させるものである。また、受信部３、処理部４、及び送信部５の機能について、一部を専用のハードウェアで実現し、一部をソフトウェア又はファームウェアで実現するようにしてもよい。
【００６３】
本発明はその発明の範囲内において、各実施の形態の自由な組み合わせ、各実施の形態の任意の構成要素の変形、又は各実施の形態の任意の構成要素の省略が可能である。
【産業上の利用可能性】
【００６４】
この発明に係る車両データ処理システムは、車外要因により発生する車載機器の異常を複数の車両間で共有する車両データ処理システム等に用いるのに適している。
【符号の説明】
【００６５】
１  車両データ処理サーバ、２  データベース、３  受信部、４  処理部、５  送信部、１０  車両データ処理装置、１０−１〜１０−Ｎ  車両、１１−１〜１１−Ｍ  車載機器、１２  異常データ検出部、１３  異常位置取得部、１４  異常発生情報送信部、１５  異常発生情報取得部、１６  処理内容管理部、１７  処理内容選択部、１８  ＥＣＵ、２１  優先度管理部、２２  優先度選択部、１００  処理回路、１０１  プロセッサ、１０２  メモリ。
【図１】
2020202501.tif 000003
【図２】
2020202501.tif 000004
【図３】
2020202501.tif 000005
【図４】
2020202501.tif 000006
【図５】
2020202501.tif 000007
【図６】
2020202501.tif 000008
【図７】
2020202501.tif 000009
【図８】
2020202501.tif 000010
【図９】
2020202501.tif 000011
【手続補正書】
【提出日】令和3年4月21日(2021.4.21)
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００８
【補正方法】変更
【補正の内容】
【０００８】
この発明に係る車両データ処理装置は、車両に搭載された車載機器が出力する異常データを検出して車載機器に発生した異常内容を出力する異常データ検出部と、異常データ検出部により異常データが検出されたときの車両の位置情報を取得する異常位置取得部と、異常データ検出部から出力された車載機器の異常内容に対して、異常位置取得部により取得された位置情報を関係付けた異常発生情報を、車両の外部へ送信する異常発生情報送信部と、車両の外部から攻撃を受けた場合に車載機器に発生する可能性のある異常が、車両に及ぼす影響を小さくする、又は車両に影響を及ぼすことを防止するための処理内容を管理する処理内容管理部と、処理内容管理部により管理されている処理内容の中から、異常データ検出部から出力された車載機器の異常内容に対応する処理内容を選択する処理内容選択部とを備えるものである。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００２６
【補正方法】変更
【補正の内容】
【００２６】
ステップＳＴ２において、異常位置取得部１３は、異常データ検出部１２からの異常検出信号を受け取る。異常検出信号を受け取った異常位置取得部１３は、車両１０−１の現在位置情報を取得し、取得した現在位置情報を異常発生位置情報として異常発生情報送信部１４へ出力する。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００２７
【補正方法】変更
【補正の内容】
【００２７】
ステップＳＴ３において、異常発生情報送信部１４は、異常データ検出部１２からの異常検出信号を受け取る。異常検出信号を受け取った異常発生情報送信部１４は、異常データ検出部１２から異常発生機器情報と異常内容とを取得すると共に、異常位置取得部１３から異常発生位置情報を取得する。そして、異常発生情報送信部１４は、異常発生機器情報と異常内容と異常発生位置情報とを含む異常発生情報を生成して車両データ処理サーバ１へ送信する。
【手続補正５】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
車両に搭載された車載機器が出力する異常データを検出して前記車載機器に発生した異常内容を出力する異常データ検出部と、
前記異常データ検出部により前記異常データが検出されたときの前記車両の位置情報を取得する異常位置取得部と、
前記異常データ検出部から出力された前記車載機器の異常内容に対して、前記異常位置取得部により取得された前記位置情報を関係付けた異常発生情報を、前記車両の外部へ送信する異常発生情報送信部と、
前記車両の外部から攻撃を受けた場合に前記車載機器に発生する可能性のある異常が、前記車両に及ぼす影響を小さくする、又は前記車両に影響を及ぼすことを防止するための処理内容を管理する処理内容管理部と、
前記処理内容管理部により管理されている前記処理内容の中から、前記異常データ検出部から出力された前記車載機器の異常内容に対応する処理内容を選択する処理内容選択部とを備える車両データ処理装置。
【請求項２】
前記車両の外部から通知された前記異常発生情報を取得する異常発生情報取得部を備え、
前記処理内容選択部は、前記異常発生情報取得部により取得された前記異常発生情報に含まれる位置情報が前記車両の現在位置と一致している場合、前記処理内容管理部により管理されている前記処理内容の中から、前記異常発生情報に応じた処理内容を選択することを特徴とする請求項１記載の車両データ処理装置。
【請求項３】
請求項１記載の車両データ処理装置と、
前記車両データ処理装置が搭載された複数の車両から異常発生情報を収集して統計処理することによって、車外から攻撃を受けることにより発生した車載機器の異常内容と発生位置との関係をデータベース化する車両データ処理サーバとを備えることを特徴とする車両データ処理システム。
【請求項４】
異常データ検出部が、車両に搭載された車載機器が出力する異常データを検出して前記車載機器に発生した異常内容を出力し、
異常位置取得部が、前記異常データ検出部により前記異常データが検出されたときの前記車両の位置情報を取得し、
異常発生情報送信部が、前記異常データ検出部から出力された前記車載機器の異常内容に対して、前記異常位置取得部により取得された前記位置情報を関係付けた異常発生情報を、前記車両の外部へ送信し、
処理内容管理部が、前記車両の外部から攻撃を受けた場合に前記車載機器に発生する可能性のある異常が、前記車両に及ぼす影響を小さくする、又は前記車両に影響を及ぼすことを防止するための処理内容を管理し、
処理内容選択部が、前記処理内容管理部により管理されている前記処理内容の中から、前記異常データ検出部から出力された前記車載機器の異常内容に対応する処理内容を選択する車両データ処理方法。
【国際調査報告】
2020202501.tif 000012
2020202501.tif 000013
2020202501.tif 000014
2020202501.tif 000015