JP6979630B2 - 監視装置、監視方法及びプログラム - Google Patents

Description

本開示は、監視装置、監視方法及びプログラムに関する。

自動車等の様々な機器における各機能の制御装置を監視する監視装置が検討されている。例えば、特許文献１は、バス型の車載ネットワークに接続された親制御装置及び子制御装置で構成される制御装置を監視する監視装置を開示している。特許文献１の監視装置は、親制御装置と子制御装置との間の通信データに基づき親制御装置の異常を診断する。

特許第６１４７３５６号公報

特許文献１の監視装置は、１つのバス型の車載ネットワークを介して子制御装置と接続された親制御装置を監視対象とする。

本開示は、異なるネットワークを介して複数の子制御装置と接続された親制御装置の監視を可能にする監視装置、監視方法及びプログラムを提供する。

本開示の第一の態様に係る監視装置は、親制御装置の動作を監視する監視装置であって、前記親制御装置は、第一ネットワークを介して第一子制御装置と接続され、第二ネットワークを介して第二子制御装置と接続され、且つ前記第二子制御装置から出力された入力データを、前記第一子制御装置に出力データとして出力し、前記監視装置は、前記第一ネットワーク及び前記第二ネットワークと接続され、前記入力データと前記出力データとの対応関係を示す判定データを記憶する記憶部と、前記第二子制御装置によって前記第二ネットワークに出力された前記入力データと、前記親制御装置によって前記第一ネットワークに出力された前記出力データとを取得する第一取得部と、前記第一取得部によって取得された前記入力データ及び前記出力データが、前記判定データを満たすか否かを判定することで、前記親制御装置の動作の異常の有無を判定する判定部と、を含む。

本開示の第二の態様に係る監視装置は、親制御装置の動作を監視する監視装置であって、前記親制御装置は、第一ネットワークを介して第一子制御装置と接続され、第二ネットワークを介して第二子制御装置と接続され、且つ前記第二子制御装置から出力された入力データを、前記第一子制御装置に出力データとして出力し、前記監視装置は、前記第一子制御装置に搭載され、前記出力データに関する判定データを記憶する記憶部と、前記親制御装置によって前記第一ネットワークを介して前記第一子制御装置に出力された前記出力データを取得する第一取得部と、取得された前記出力データが、前記判定データを満たすか否かを判定することで、前記親制御装置の動作の異常の有無を判定する判定部と、を含む。

本開示の第一の態様に係る監視方法は、親制御装置の動作を監視する監視方法であって、前記親制御装置は、第一ネットワークを介して第一子制御装置と接続され、第二ネットワークを介して第二子制御装置と接続され、且つ前記第二子制御装置から出力された入力データを、前記第一子制御装置に出力データとして出力し、前記監視方法は、前記第二子制御装置によって前記第二ネットワークに出力された前記入力データと、前記親制御装置によって前記第一ネットワークに出力された前記出力データとを、前記第一ネットワーク及び前記第二ネットワークを介して取得し、取得された前記入力データ及び前記出力データが、前記入力データと前記出力データとの対応関係を示す判定データを満たすか否かを判定することで、前記親制御装置の動作の異常の有無を判定する。

本開示の第二の態様に係る監視方法は、親制御装置の動作を監視する監視方法であって、前記親制御装置は、第一ネットワークを介して第一子制御装置と接続され、第二ネットワークを介して第二子制御装置と接続され、且つ前記第二子制御装置から出力された入力データを、前記第一子制御装置に出力データとして出力し、前記監視方法は、前記親制御装置によって前記第一ネットワークを介して前記第一子制御装置に出力された前記出力データを取得し、取得された前記出力データが、前記出力データに関する判定データを満たすか否かを判定することで、前記親制御装置の動作の異常の有無を判定する。

本開示の第一の態様に係るプログラムは、本開示の第一の態様に係る監視方法をコンピュータに実行させるためのプログラムである。

本開示の第二の態様に係るプログラムは、本開示の第二の態様に係る監視方法をコンピュータに実行させるためのプログラムである。

なお、上記の包括的又は具体的な態様は、システム、装置、方法、集積回路、コンピュータプログラム又はコンピュータ読取可能な記録ディスク等の記録媒体で実現されてもよく、システム、装置、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。コンピュータ読み取り可能な記録媒体は、例えばＣＤ−ＲＯＭ（Compact Disc-Read Only Memory）等の不揮発性の記録媒体を含む。

本開示の技術によれば、異なるネットワークを介して複数の子制御装置と接続された親制御装置の監視が可能になる。

図１は、実施の形態１に係る監視装置を備える車載ネットワークシステムの機能的な構成の一例を示すブロック図である。 図２は、実施の形態１に係る監視装置の機能的な構成の一例を示すブロック図である。 図３Ａは、親制御装置が入力データに演算処理を加えない場合の入力データと出力データとの対応関係を示す判定データの一例を示す図である。 図３Ｂは、親制御装置が入力データに演算処理を加える場合の入力データと出力データとの対応関係を示す判定データの一例を示す図である。 図４は、実施の形態１に係る監視装置の動作の一例を示すフローチャートである。 図５は、実施の形態２に係る監視装置を備える車載ネットワークシステムの機能的な構成の一例を示すブロック図である。 図６は、実施の形態２に係る監視装置の機能的な構成の一例を示すブロック図である。 図７Ａは、実施の形態２に係る監視装置における判定データの一例を示す図である。 図７Ｂは、実施の形態２に係る監視装置における判定データの一例を示す図である。 図７Ｃは、実施の形態２に係る監視装置における判定データの一例を示す図である。 図８は、実施の形態２に係る監視装置の動作の一例を示すフローチャートである。 図９は、実施の形態３に係る監視装置を備える車載ネットワークシステムの機能的な構成の一例を示すブロック図である。 図１０は、実施の形態３に係る監視装置の機能的な構成の一例を示すブロック図である。 図１１は、実施の形態３の変形例に係る監視装置を備える車載ネットワークシステムの機能的な構成の一例を示すブロック図である。

本発明者らは、自動車等の様々な機器に搭載され且つネットワークを介して互いに接続される制御装置を監視する技術を検討した。例えば、自動車は、複数のネットワークを含む。複数のネットワークの例は、ＩＶＩ（車載インフォテインメント：in-vehicle infotainment）及び通信モジュール等の外部インターフェースが接続されるネットワーク、ミラー及び窓等の自動車の付属装置の制御装置が接続されるネットワーク、並びに、エンジン及びトランスミッション等の自動車の駆動装置の制御装置が接続されるネットワークである。さらに、上記の各ネットワーク間を接続するゲートウェイ等の制御装置が、親制御装置として設けられる。親制御装置は、制御装置及び外部インターフェース間における複数のネットワークを跨ぐ通信を制御する。

上述のような親制御装置は、外部インターフェースと直接的に接続されるため、外部インターフェースを介して外部から攻撃を受けるリスクが高い。親制御装置がプログラム改変等で乗っ取られると、外部からネットワークへの侵入を検知することができなくなる。例えば、特許文献１の監視装置は、１つのネットワークに接続された子制御装置及び親制御装置間の通信に基づき、親制御装置の異常を監視するが、２つのネットワークに跨がる通信に基づき、親制御装置の異常を監視することはできない。このため、異常の検知精度が低くなる。そこで、本発明者らは、異なるネットワークを介して複数の子制御装置と接続された親制御装置の監視を可能にする技術を以下のように創案した。

例えば、本開示の一態様に係る監視装置は、親制御装置の動作を監視する監視装置であって、前記親制御装置は、第一ネットワークを介して第一子制御装置と接続され、第二ネットワークを介して第二子制御装置と接続され、且つ前記第二子制御装置から出力された入力データを、前記第一子制御装置に出力データとして出力し、前記監視装置は、前記第一ネットワーク及び前記第二ネットワークと接続され、前記入力データと前記出力データとの対応関係を示す判定データを記憶する記憶部と、前記第二子制御装置によって前記第二ネットワークに出力された前記入力データと、前記親制御装置によって前記第一ネットワークに出力された前記出力データとを取得する第一取得部と、前記第一取得部によって取得された前記入力データ及び前記出力データが、前記判定データを満たすか否かを判定することで、前記親制御装置の動作の異常の有無を判定する判定部と、を含む。

上記態様によると、判定部は、第二ネットワークに出力された親制御装置への入力データと、第一ネットワークに出力された親制御装置からの出力データとを、判定データと比較することによって、親制御装置の動作の異常の有無を判定する。よって、判定部は、異なるネットワークを経由するデータを用いて、親制御装置の動作の異常の有無を判定する。従って、監視装置は、異なるネットワークを介して複数の子制御装置と接続された親制御装置の監視を可能にする。

本開示の一態様に係る監視装置において、前記判定データは、前記入力データ及び前記出力データが同じである関係、及び、前記出力データが前記親制御装置による前記入力データの演算結果と同じである関係の少なくとも１つであってもよい。

上記態様によると、判定データに基づく親制御装置の動作の異常の有無の判定が簡易であり且つ確実になる。

本開示の別の一態様に係る監視装置は、親制御装置の動作を監視する監視装置であって、前記親制御装置は、第一ネットワークを介して第一子制御装置と接続され、第二ネットワークを介して第二子制御装置と接続され、且つ前記第二子制御装置から出力された入力データを、前記第一子制御装置に出力データとして出力し、前記監視装置は、前記第一子制御装置に搭載され、前記出力データに関する判定データを記憶する記憶部と、前記親制御装置によって前記第一ネットワークを介して前記第一子制御装置に出力された前記出力データを取得する第一取得部と、取得された前記出力データが、前記判定データを満たすか否かを判定することで、前記親制御装置の動作の異常の有無を判定する判定部と、を含む。

上記態様によると、判定部は、親制御装置によって第一ネットワークを介して第一子制御装置に出力された出力データと、判定データとを比較することによって、親制御装置の動作の異常の有無を判定する。また、親制御装置は、第二子制御装置から出力された入力データを、第一子制御装置に出力データとして出力する。よって、判定部は、異なるネットワークを経由したデータを用いて、親制御装置の動作の異常の有無を判定し得る。従って、監視装置は、異なるネットワークを介して複数の子制御装置と接続された親制御装置の監視を可能にする。

本開示の別の一態様に係る監視装置において、前記判定データは、前記出力データの変化量、前記親制御装置による前記出力データの出力周期、及び、前記監視装置を搭載する前記第一子制御装置のデータの少なくとも１つであってもよい。

上記態様によると、判定データに基づく親制御装置の動作の異常の有無の判定が簡易であり且つ確実になる。

本開示の一態様及び別の一態様に係る監視装置は、前記第一ネットワーク及び前記第二ネットワークとは別に設けられた情報伝送部から情報を取得する第二取得部をさらに備え、前記判定部は、前記第二取得部によって取得された前記情報を前記第一取得部によって取得された前記出力データに加味したデータが、前記記憶部の前記判定データを満たすか否かを判定してもよい。

上記態様によると、第二取得部によって取得された情報は、出力データに対応する入力データを出力した子制御装置に関連する情報を含み得る。このような第二取得部によって取得された情報を、第一取得部によって取得された出力データに加味したデータは、子制御装置又は当該子制御装置と接続されるデバイスの異常、アクシデント等が出力データに与える影響を考慮したデータであり得る。これにより、判定部は、上記影響による親制御装置の動作の異常の誤検知を低減することができる。よって、監視装置は、親制御装置の動作の異常の判定精度を向上することができる。

本開示の一態様及び別の一態様に係る監視装置において、前記第一ネットワーク及び前記第二ネットワークは、バス型のネットワークであってもよい。

本開示の一態様及び別の一態様に係る監視装置において、前記親制御装置は、ゲートウェイであってもよい。

また、本開示の一態様に係る監視方法は、親制御装置の動作を監視する監視方法であって、前記親制御装置は、第一ネットワークを介して第一子制御装置と接続され、第二ネットワークを介して第二子制御装置と接続され、且つ前記第二子制御装置から出力された入力データを、前記第一子制御装置に出力データとして出力し、前記監視方法は、前記第二子制御装置によって前記第二ネットワークに出力された前記入力データと、前記親制御装置によって前記第一ネットワークに出力された前記出力データとを、前記第一ネットワーク及び前記第二ネットワークを介して取得し、取得された前記入力データ及び前記出力データが、前記入力データと前記出力データとの対応関係を示す判定データを満たすか否かを判定することで、前記親制御装置の動作の異常の有無を判定する。上記態様によると、本開示の一態様に係る監視装置と同様の効果が得られる。

本開示の別の一態様に係る監視方法は、親制御装置の動作を監視する監視方法であって、前記親制御装置は、第一ネットワークを介して第一子制御装置と接続され、第二ネットワークを介して第二子制御装置と接続され、且つ前記第二子制御装置から出力された入力データを、前記第一子制御装置に出力データとして出力し、前記監視方法は、前記親制御装置によって前記第一ネットワークを介して前記第一子制御装置に出力された前記出力データを取得し、取得された前記出力データが、前記出力データに関する判定データを満たすか否かを判定することで、前記親制御装置の動作の異常の有無を判定する。上記態様によると、本開示の別の一態様に係る監視装置と同様の効果が得られる。

また、本開示の一態様に係るプログラムは、本開示の一の態様に係る監視方法をコンピュータに実行させるためのプログラムである。上記態様によると、本開示の一態様に係る監視装置と同様の効果が得られる。

本開示の別の一態様に係るプログラムは、本開示の別の一態様に係る監視方法をコンピュータに実行させるためのプログラムである。上記態様によると、本開示の別の一態様に係る監視装置と同様の効果が得られる。

なお、上記の包括的又は具体的な態様は、システム、装置、方法、集積回路、コンピュータプログラム又はコンピュータ読取可能な記録ディスク等の記録媒体で実現されてもよく、システム、装置、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。コンピュータ読み取り可能な記録媒体は、例えばＣＤ−ＲＯＭ等の不揮発性の記録媒体を含む。また、装置は、１つ以上の装置で構成されてもよい。装置が２つ以上の装置で構成される場合、当該２つ以上の装置は、１つの機器内に配置されてもよく、分離した２つ以上の機器内に分かれて配置されてもよい。本明細書及び特許請求の範囲では、「装置」とは、１つの装置を意味し得るだけでなく、複数の装置からなるシステムも意味し得る。

以下、本開示に係る監視装置について、図面を参照しながら具体的に説明する。なお、以下で説明する実施の形態は、いずれも包括的又は具体的な例を示すものである。以下の実施の形態で示される数値、形状、構成要素、構成要素の配置位置及び接続形態、ステップ（工程）、ステップの順序等は、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。また、各図は模式図であり、必ずしも厳密に図示されたものではない。さらに、各図において、実質的に同一の構成要素に対しては同一の符号を付しており、重複する説明は省略又は簡略化される場合がある。

［実施の形態１］
実施の形態１に係る監視装置１００を説明する。以下の実施の形態では、監視装置１００は、車両に搭載された複数のネットワークを接続する親制御装置を監視するとして、説明する。なお、監視装置１００が監視する対象は、車載ネットワークの親制御装置に限定されず、いかなる機器の複数のネットワークを接続する親制御装置であってもよい。

［１−１．監視装置の構成］
実施の形態１に係る監視装置１００及びその周辺の構成を説明する。図１は、実施の形態１に係る監視装置１００を備える車載ネットワークシステム１の機能的な構成の一例のブロック図を示す。車載ネットワークシステム１は、複数の車載ネットワーク１０と、複数の車載ネットワーク１０を互いに接続する親制御装置２０と、各車載ネットワーク１０に接続される子制御装置３０と、通信装置４０と、親制御装置２０を監視する監視装置１００とを備える。

車載ネットワーク１０は、親制御装置２０と各子制御装置３０とを接続する。本実施の形態では、車載ネットワーク１０は、第一車載ネットワーク１０ａ、第二車載ネットワーク１０ｂ及び第三車載ネットワーク１０ｃで構成されている。車載ネットワーク１０を構成するネットワークの数量は、２つ以上であれば、いかなる数量でもよい。第一〜第三車載ネットワーク１０ａ〜１０ｃは、互いに独立したネットワークである。第一〜第三車載ネットワーク１０ａ〜１０ｃはそれぞれ、親制御装置２０と子制御装置３０とを１対１で接続するものではなく、車載ネットワークに出力された信号が、親制御装置２０と当該車載ネットワークに接続された全ての子制御装置３０とに受信されるバス型ネットワークであるものとする。例えば、図１において、親制御装置２０が、ある車載ネットワークのある子制御装置３０に信号を送信したとき、当該車載ネットワークのどの子制御装置３０でも当該信号を受信可能である。第一〜第三車載ネットワーク１０ａ〜１０ｃの一例は、ＣＡＮ（Controller Area Network）である。ここで、第一〜第三車載ネットワーク１０ａ〜１０ｃのいずれかは、第一ネットワークの一例であり、第一〜第三車載ネットワーク１０ａ〜１０ｃの他のいずれかは、第二ネットワークの一例である。

親制御装置２０は、第一〜第三車載ネットワーク１０ａ〜１０ｃを互いに接続する。つまり、親制御装置２０は、第一〜第三車載ネットワーク１０ａ〜１０ｃそれぞれと接続されている。親制御装置２０は、子制御装置３０から出力された入力データを取得し、子制御装置３０に出力データとして出力する。具体的には、親制御装置２０は、第一〜第三車載ネットワーク１０ａ〜１０ｃのうち、同じ車載ネットワークに接続された子制御装置３０間の信号の送受信を制御する。さらに、親制御装置２０は、第一〜第三車載ネットワーク１０ａ〜１０ｃのうち、異なる車載ネットワークに接続された子制御装置３０間の信号の送受信を制御する。親制御装置２０は、子制御装置３０から出力された信号をそのまま、当該子制御装置３０によって指定される子制御装置３０に送信してもよく、子制御装置３０から出力された信号に演算処理を加えて、指定される子制御装置３０に送信してもよい。親制御装置２０は、信号に含まれるＩＤ等の情報から、車載ネットワークに信号を出力する子制御装置３０を特定することができ、当該子制御装置３０が指定する送信先の子制御装置３０及びその車載ネットワークを特定することができる。

さらに、親制御装置２０は、通信装置４０及び車両の外部に存在する外部ネットワーク６０を介して、車両の外部のサーバ装置５０と通信する。親制御装置２０は、サーバ装置５０にアクセスし、子制御装置３０が出力した情報をサーバ装置５０に送信し、子制御装置３０から要求される情報をサーバ装置５０から取得する。親制御装置２０の例は、ゲートウェイである。

通信装置４０は、外部ネットワーク６０を介して、サーバ装置５０と送受信する。通信装置４０は、通信回路又はＥＣＵ（電子制御ユニット：Electronic Control Unit）で構成されてもよい。外部ネットワーク６０の例は、インターネットである。通信装置４０による通信の例は、Ｗｉ−Ｆｉ（登録商標）（Wireless Fidelity）等の無線ＬＡＮ（Local Area Network）である。通信装置４０による通信は、第３世代移動通信システム（３Ｇ）、第４世代移動通信システム（４Ｇ）又はＬＴＥ（登録商標）等のような移動通信システムで利用されるモバイル通信規格が適用されてもよい。

子制御装置３０は、車両内の各デバイスの動作を制御する。子制御装置３０は、第一車載ネットワーク１０ａと接続される第一子制御装置３０ａａ〜３０ａｃ、第二車載ネットワーク１０ｂと接続される第二子制御装置３０ｂａ〜３０ｂｃ、及び第三車載ネットワーク１０ｃと接続される第三子制御装置３０ｃａ〜３０ｃｃ等で構成される。子制御装置３０ａａ〜３０ａｃ、３０ｂａ〜３０ｂｃ及び３０ｃａ〜３０ｃｃの例は、ＥＣＵである。

第一子制御装置３０ａａ〜３０ａｃは、車両の図示しない駆動装置と接続される。第一子制御装置３０ａａ〜３０ａｃは、車両の走行に直接関わる制御を行うため、「重要ＥＣＵ」とも呼ばれる。第一子制御装置３０ａａ〜３０ａｃは、図示しない入力装置を介して入力される指令に応じて、駆動装置の動作を制御する。第一子制御装置３０ａａ〜３０ａｃは、駆動装置の制御結果及び状態に関する情報を第一車載ネットワーク１０ａに出力する。駆動装置の例は、各種メータ、トランスミッション、ＡＢＳ（Antilock Brake System）、エンジン及び駐車支援装置等であるが、これらに限定されない。

第二子制御装置３０ｂａ〜３０ｂｃは、車両の図示しない付属装置と接続される。第二子制御装置３０ｂａ〜３０ｂｃは、図示しないスイッチ等の入力装置を介して入力される指令に応じて、付属装置を動作させる。第二子制御装置３０ｂａ〜３０ｂｃは、付属装置の制御結果を第二車載ネットワーク１０ｂに出力する。付属装置の例は、電動ミラー、エアコンディショナ、車載カメラ、ドアのロック装置及びパワーウィンドウ等であるが、これらに限定されない。

第三子制御装置３０ｃａ〜３０ｃｃは、車両に搭載される図示しない外部インターフェースと接続される。第三子制御装置３０ｃａ〜３０ｃｃは、外部インターフェースに入力される指令に応じた制御信号を、第三車載ネットワーク１０ｃに出力する。第三子制御装置３０ｃａ〜３０ｃｃは、外部インターフェースから要求される情報を、第三車載ネットワーク１０ｃ等を介して、他の子制御装置から取得する。外部インターフェースの例は、タッチパネルなどのディスプレイを備え且つユーザからの入力を受け付けるヘッドユニット、車両の自己診断結果を出力するＯＢＤ（On-board diagnostics）ユニット、通信モジュール、ナビゲーションシステム等であるが、これらに限定されない。

また、親制御装置２０は、第一〜第三車載ネットワーク１０ａ〜１０ｃそれぞれに所定の周期で情報を出力し、各子制御装置３０ａａ〜３０ａｃ、３０ｂａ〜３０ｂｃ及び３０ｃａ〜３０ｃｃは、親制御装置２０によって出力された情報を上記の所定の周期で取得する。周期の例は、２０ｍｓ（ミリ秒）である。

上述のように、第一〜第三車載ネットワーク１０ａ〜１０ｃは、接続される対象の系統別に構築される。なお、各車載ネットワークが接続される対象は、上記に限定されず、各車載ネットワークが接続される対象の系統も、上記に限定されない。

監視装置１００の構成を説明する。図２は、実施の形態１に係る監視装置１００の機能的な構成の一例を示すブロック図を示す。図１及び図２に示すように、監視装置１００は、第一〜第三車載ネットワーク１０ａ〜１０ｃそれぞれと接続され、親制御装置２０の動作を監視する、具体的には常時監視する。監視装置１００は、通信部１０１と、取得部１０２と、記憶部１０３と、判定部１０４と、制御部１０５とを含む。通信部１０１は、第一〜第三車載ネットワーク１０ａ〜１０ｃそれぞれと、監視装置１００との間で、データを送受信する。通信部１０１は、通信回路で構成されてもよい。

取得部１０２は、各子制御装置３０から第一〜第三車載ネットワーク１０ａ〜１０ｃに出力され且つ親制御装置２０に入力される信号から、入力データを、通信部１０１を介して取得する。さらに、取得部１０２は、親制御装置２０から出力され且つ第一〜第三車載ネットワーク１０ａ〜１０ｃを介して各子制御装置３０に入力される信号に含まれる出力データを取得する。入力データは、子制御装置３０から出力される命令つまりコマンドであり、コマンド識別情報とコマンド内容とを含む。出力データは、親制御装置２０から出力されるコマンドであり、コマンド識別情報とコマンド内容とを含む。コマンド識別情報の例は、ＣＡＮコマンドのＣＡＮ ＩＤである。コマンド識別情報は、コマンドの種別及び／又はコマンドの実行対象等の情報を含む。このような入力データのコマンド識別情報と出力データのコマンド識別情報とは、同じであっても異なっていてもよい。入力データのコマンド識別情報と出力データのコマンド識別情報とが異なるケースの例として、親制御装置２０が入力データのコマンド識別情報を他のコマンド識別情報に変更し、変更後のコマンド識別情報を含む出力データを出力するケースが挙げられる。コマンド識別情報が同じである場合及び異なる場合のいずれでも、後述する入力データと対応する出力データの特定は、コマンド識別情報の対応関係から可能である。また、コマンド内容は、具体的な実行内容を含む。

記憶部１０３は、入力データのコマンド内容と、当該入力データに対応する出力データのコマンド内容と、当該入力データのコマンド識別情報との対応関係を示す判定データを記憶する。なお、本明細書及び特許請求の範囲において、「コマンド内容」を単に「内容」と呼び、「コマンド識別情報」を単に「識別情報」と呼ぶこともある。入力データに対応する出力データは、親制御装置２０に異常がない場合での、当該入力データを取得した親制御装置２０が出力するデータである。

判定データは、予め設定され、記憶部１０３に記憶される。親制御装置２０が入力データに演算処理を加えない場合、判定データが示す対応関係は、入力データの値等の内容と、当該入力データに対応する出力データの値等の内容とが、同じである関係を示す。親制御装置２０が入力データに演算処理を加える場合、判定データが示す対応関係は、入力データの値等の内容と、当該入力データの演算処理結果との関係を示す。つまり、当該対応関係は、入力データの演算処理結果と、当該入力データに対応する出力データの内容とが、同じである関係である。

例えば、図３Ａは、親制御装置２０が入力データに演算処理を加えない場合での入力データの識別情報と入力データの内容と出力データの内容との対応関係を示す判定データの一例を示す。図３Ｂは、親制御装置２０が入力データに演算処理を加える場合での入力データの識別情報と入力データ内容と出力データの内容との対応関係を示す判定データの一例を示す。図３Ａ及び図３Ｂにおいて、入力データの内容と出力データの内容とは、入力データの識別情報に関して、互いに対応付けられている。

判定部１０４は、取得部１０２によって取得された入力データ及び当該入力データに対応する出力データが、記憶部１０３の判定データを満たすか否か、具体的には、判定データが示す対応関係を満たすか否かを判定する。判定部１０４は、対応関係が満たされる場合、親制御装置２０に異常がないと判定し、対応関係が満たされない場合、親制御装置２０に異常があると判定する。つまり、判定部１０４は、取得部１０２によって取得された入力データ及び出力データと、記憶部１０３の判定データとの整合性及び／又は関係性に基づき、親制御装置２０の異常の有無を判定する。

例えば、親制御装置２０が入力データに演算処理を加えない場合、判定部１０４は、図３Ａに示すテーブルにおいて、取得部１０２によって取得された入力データの識別情報及び値に対応する出力データの値を特定する。判定部１０４は、図３Ａのテーブルの出力データの値と、親制御装置２０によって出力された出力データの値とを比較し、両者が同一である場合、対応関係が満たされると判定する。なお、判定部１０４は、親制御装置２０によって出力された出力データの値を、入力データの識別情報に基づき特定してもよい。上述したように、入力データの識別情報と出力データの識別情報とは、同じであってもよい。

また、親制御装置２０が入力データに演算処理を加える場合、判定部１０４は、図３Ｂに示すテーブルにおいて、取得部１０２によって取得された入力データの識別情報及び値に対応する出力データの値を特定する。判定部１０４は、図３Ｂのテーブルの出力データの値と、親制御装置２０によって出力された出力データの値とを比較し、両者が同一である場合、対応関係が満たされると判定する。なお、判定部１０４は、親制御装置２０によって出力された出力データの値を、入力データの識別情報に基づき特定してもよい。

制御部１０５は、通信部１０１、取得部１０２及び判定部１０４の動作を関連付けてこれら制御しつつ、監視装置１００全体の動作を制御する。また、制御部１０５は、判定部１０４の判定結果及び／又は判定結果に基づく制御情報を、通信部１０１を介して監視装置１００の外部に出力する。具体的には、制御部１０５は、上記制御情報を、子制御装置３０及び／又は第一〜第三車載ネットワーク１０ａ〜１０ｃとは別の図示しないネットワークを介して、図示しない外部インターフェース等のデバイスに出力してもよく、上記ネットワークを介して、サーバ装置５０に出力してもよい。

例えば、判定部１０４が親制御装置２０に異常があると判定した場合、制御部１０５は、制御情報として、車載ネットワークシステム１を停止することを報知する又は促す情報を、親制御装置２０を介さずに、外部インターフェース等のデバイス及び／又はサーバ装置５０に出力する。また、判定部１０４が親制御装置２０に異常がないと判定した場合、制御部１０５は、車載ネットワークシステム１の稼働を継続可能であることを報知する制御情報を親制御装置２０に出力してもよく、制御情報を出力しなくてもよい。

上述の監視装置１００の取得部１０２、判定部１０４及び制御部１０５、親制御装置２０、並びに子制御装置３０等の各構成要素は、ＣＰＵ（Central Processing Unit）又はＤＳＰ（Digital Signal Processor）等のプロセッサ、並びに、ＲＡＭ（Random Access Memory）及びＲＯＭ（Read-Only Memory）等のメモリなどからなるコンピュータシステム（図示せず）により構成されてもよい。各構成要素の一部又は全部の機能は、ＣＰＵ又はＤＳＰがＲＡＭを作業用のメモリとして用いてＲＯＭに記録されたプログラムを実行することによって達成されてもよい。また、各構成要素の一部又は全部の機能は、電子回路又は集積回路等の専用のハードウェア回路によって達成されてもよい。各構成要素の一部又は全部の機能は、上記のソフトウェア機能とハードウェア回路との組み合わせによって構成されてもよい。プログラムは、アプリケーションとして、インターネット等の通信網を介した通信、モバイル通信規格による通信、その他の無線ネットワーク、有線ネットワーク、又は放送等で提供されるものであってもよい。

記憶部１０３は、種々の情報の格納及び取り出しを可能にする。記憶部１０３は、例えば、ＲＯＭ、ＲＡＭ、フラッシュメモリなどの半導体メモリ、ハードディスクドライブ、又はＳＳＤ（Solid State Drive）等の記憶装置によって実現される。

［１−２．監視装置の動作］
実施の形態１に係る監視装置１００の動作を説明する。図４は、実施の形態１に係る監視装置１００の動作の一例のフローチャートを示す。図４に示すように、ステップＳ１０１において、監視装置１００の取得部１０２は、子制御装置３０から親制御装置２０に出力される信号から、入力データを取得する。

次いで、ステップＳ１０２において、取得部１０２は、ステップＳ１０１の入力データを取得した親制御装置２０が、子制御装置３０に出力する信号から、上記入力データに対応する出力データを取得する。例えば、親制御装置２０は、上記信号を第一〜第三車載ネットワーク１０ａ〜１０ｃの全てに出力する。取得部１０２は、入力データの識別情報と、第一〜第三車載ネットワーク１０ａ〜１０ｃから取得された信号のデータの識別情報とを照合することによって、上記入力データに対応する出力データを特定する。

次いで、ステップＳ１０３において、監視装置１００の判定部１０４は、取得部１０２によって取得された入力データの識別情報及び内容に基づき、これらに対応する出力データの内容を記憶部１０３の判定データから取得する。

次いで、ステップＳ１０４において、判定部１０４は、記憶部１０３から取得された出力データの内容と、取得部１０２によって取得された出力データの内容とを比較する。判定部１０４は、２つの出力データの内容が同じである場合（ステップＳ１０４でＹｅｓ）、ステップＳ１０５に進み、２つの出力データの内容が異なる場合（ステップＳ１０４でＮｏ）、ステップＳ１０６に進む。

ステップＳ１０５において、監視装置１００の制御部１０５は、ステップＳ１０１〜Ｓ１０５の一連の処理を終了する。なお、制御部１０５は、親制御装置２０が正常であることを報知してもよい。この場合、制御部１０５は、車載ネットワークシステム１の稼働を継続可能であることを報知する情報を親制御装置２０に出力する。

ステップＳ１０６において、制御部１０５は、親制御装置２０が異常であることを報知する。具体的には、制御部１０５は、車載ネットワークシステム１を停止することを報知する又は促す情報を、図示しない外部インターフェース及びサーバ装置５０の少なくとも１つに出力する。

［１−３．効果］
上述したように、実施の形態１に係る監視装置１００において、判定部１０４は、子制御装置３０から第一〜第三車載ネットワーク１０ａ〜１０ｃの１つに出力された親制御装置２０への入力データと、親制御装置２０から第一〜第三車載ネットワーク１０ａ〜１０ｃの他の１つに出力された出力データとを、記憶部１０３の判定データと比較することによって、親制御装置２０の動作の異常の有無を判定する。よって、判定部１０４は、異なる車載ネットワークを経由するデータを用いて、親制御装置２０の動作の異常の有無を判定する。従って、監視装置１００は、異なる車載ネットワークを介して複数の子制御装置３０と接続された親制御装置２０の監視を可能にする。

また、実施の形態１に係る監視装置１００において、記憶部１０３の判定データは、入力データ及び出力データが同じである関係、及び、出力データが、親制御装置２０による入力データの演算結果と同じである関係の少なくとも１つである。よって、判定データに基づく親制御装置２０の動作の異常の有無の判定が簡易であり且つ確実になる。

［実施の形態２］
実施の形態２に係る監視装置２００を説明する。実施の形態２に係る監視装置２００は、第一子制御装置３０ａａに搭載される点で、実施の形態１と異なる。実施の形態２において、実施の形態１と同様の構成要素については、実施の形態１と同一の参照符号を付し、その説明を省略する。以下において、実施の形態１と異なる点を中心に説明し、実施の形態１と同様の点の説明を省略する。

［２−１．監視装置の構成］
図５及び図６を参照して、実施の形態２に係る監視装置２００の構成を説明する。なお、図５は、実施の形態２に係る監視装置２００を備える車載ネットワークシステム１の機能的な構成の一例を示すブロック図である。図６は、実施の形態２に係る監視装置２００の機能的な構成の一例を示すブロック図である。本実施の形態では、監視装置２００は、第一子制御装置３０ａａ〜３０ａｃの１つ、具体的には、第一子制御装置３０ａａに搭載される。監視装置２００は、通信部１０１と、取得部２０２と、記憶部２０３と、判定部２０４と、制御部２０５とを含む。通信部１０１は、実施の形態１と同様である。

取得部２０２は、親制御装置２０から出力され且つ第一車載ネットワーク１０ａを介して第一子制御装置３０ａａに入力される信号から、出力データの内容と、当該出力データの識別情報とを取得する。第一子制御装置３０ａａは、親制御装置２０から第一車載ネットワーク１０ａに出力される全ての信号を受信するため、取得部２０２は、親制御装置２０から第一車載ネットワーク１０ａに出力される全ての信号の出力データを取得する。

記憶部２０３は、出力データに関するデータと、当該出力データの識別情報との対応関係を示す判定データを記憶する。出力データに関するデータは、親制御装置２０に異常がない場合での、親制御装置２０の出力データの内容及び出力状態に関する。判定データは、予め設定され、記憶部２０３に記憶される。

判定データは、親制御装置２０に異常がない場合での、親制御装置２０によって所定の周期で出力される出力データの変化量、親制御装置２０による出力データの出力周期、及び、監視装置２００を搭載する子制御装置３０である第一子制御装置３０ａａを示すデータである。

例えば、図７Ａ、図７Ｂ及び図７Ｃは、実施の形態２に係る監視装置２００における判定データの一例を示す。図７Ａに示すように、判定データにおいて、連続して取得される今回及び前回の出力データの変化量、つまり差分値は、出力ルール１として、下限値及び上限値の間の所定の範囲内に規定されている。そして、差分値の所定の範囲は、当該出力データの識別情報と対応付けられて、記憶部２０３に記憶されている。図７Ｂに示すように、出力データの出力周期は、出力ルール２として、下限値及び上限値の間の所定の範囲内に規定されている。そして、出力データの出力周期は、当該出力データの識別情報と対応付けられて、記憶部２０３に記憶されている。

図７Ｃに示すように、監視装置２００を搭載する第一子制御装置３０ａａを示すデータが、出力ルール３として規定されている。具体的には、第一子制御装置３０ａａがデータを出力する場合の当該データの識別情報が、出力データの識別情報との比較対象として規定されている。そして、第一子制御装置３０ａａによって出力され得るデータの識別情報が、記憶部２０３に記憶されている。このような出力ルール３は、出力データの受信対象の子制御装置３０の正誤を規定する。

判定部２０４は、取得部２０２によって取得された出力データが、記憶部２０３の判定データを満たすか否かを判定することで、親制御装置２０の動作の異常の有無を判定する。判定部２０４は、判定データが満たされる場合、親制御装置２０に異常がないと判定し、判定データ満たされない場合、親制御装置２０に異常があると判定する。

具体的には、判定部２０４は、図７Ａ〜図７Ｃに示すテーブルそれぞれにおいて、出力データの識別情報から、当該出力データに関するデータを特定する。さらに、図７Ａに関して、判定部２０４は、当該出力データの値と、当該出力データよりも前の直近に取得された出力データの値との差分値を算出する。なお、差分値の算出対象の２つの出力データの識別情報は、同じであってもよく、異なっていてもよい。出力データの識別情報が異なるケースの例として、識別情報が異なる出力データの値が互いに連動して変化し、これらのデータの差異が一定の範囲に収まるケースが挙げられる。

また、図７Ｂに関して、判定部２０４は、親制御装置２０が出力データを出力するタイミングから、出力データの出力周期を算出する。具体的には、本実施の形態では、識別情報毎に、入力データの出力周期が、決められている。出力周期の例は、１０ｍｓ、２０ｍｓ及び５０ｍｓ等である。このため、親制御装置２０も、識別情報毎に決められた入力データの出力周期と同様の出力周期で、各識別情報の出力データを出力する。判定部２０４は、同じ識別情報の出力データが親制御装置２０によって出力されるタイミングから、識別情報毎に出力データの出力周期を算出する。なお、判定部２０４は異なる識別情報の出力データ間で出力周期を算出してもよく、このような出力周期は、所定の範囲で規定することができる。

判定部２０４は、差分値が図７Ａに示す範囲内に含まれる場合、出力ルール１が満たされると判定する。判定部２０４は、出力周期が図７Ｂに示す範囲内に含まれる場合、出力ルール２が満たされると判定する。また、判定部２０４は、出力データの識別情報が、図７Ｃに示す第一子制御装置３０ａａによって出力され得るデータの識別情報と異なる場合、出力ルール３が満たされると判定する。つまり、判定部２０４は、出力データが、第一子制御装置３０ａａから出力されたデータに対応しない場合、出力ルール３が満たされると判定する。判定部２０４は、出力ルール１〜３の全てが満たされる場合、判定データが満たされると判定し、出力ルール１〜３の少なくとも１つが満たされない場合、判定データが満たされないと判定する。

出力ルール１は、出力データの変化量が大きい場合、親制御装置２０に異常があると見なされ得ることに基づく。出力ルール２は、親制御装置２０がハッキング等の攻撃を受けたときに動作を一時的に停止することに基づく。出力ルール３は、監視装置２００を搭載する第一子制御装置３０ａａと、出力データに対応する入力データを出力する子制御装置３０とが異なることに基づく。なお、本実施の形態では、判定部２０４は、出力ルール１〜３の全てを用いるが、これらの少なくとも１つを用いて判定してもよい。

制御部２０５は、通信部１０１、取得部２０２及び判定部２０４の動作を関連付けてこれらを制御しつつ、監視装置２００全体の動作を制御する。また、制御部２０５は、判定部２０４の判定結果及び／又は判定結果に基づく制御情報を、監視装置２００の外部に出力する。

［２−２．監視装置の動作］
実施の形態２に係る監視装置２００の動作を説明する。図８は、実施の形態２に係る監視装置２００の動作の一例のフローチャートを示す。図８に示すように、ステップＳ２０１において、監視装置２００の取得部２０２は、親制御装置２０が第一〜第三車載ネットワーク１０ａ〜１０ｃから受信し第一車載ネットワーク１０ａに出力する信号から、出力データを取得する。第一子制御装置３０ａａは、第一車載ネットワーク１０ａに出力される全ての信号を受信する。このため、取得部２０２は、第一子制御装置３０ａａ〜３０ａｃの全てに対する出力データを取得する。

次いで、ステップＳ２０２において、監視装置２００の判定部２０４は、取得部２０２によって取得された出力データの識別情報に対応する出力ルール１及び２を、記憶部２０３から取得する。さらに、判定部２０４は、出力ルール３を、記憶部２０３から取得する。

次いで、ステップＳ２０３において、判定部２０４は、取得部２０２によって取得された出力データから、出力データの差分値を算出する。さらに、判定部２０４は、取得部２０２による出力データの取得タイミングから、出力データの出力周期を算出する。つまり、判定部２０４は、親制御装置２０の異常の有無を判定するための判定要素を算出する。

次いで、ステップＳ２０４において、判定部２０４は、記憶部２０３から取得された出力ルール１〜３と、出力データの差分値、出力データの出力周期及び出力データの識別情報とを比較する。このように、判定部２０４は、第一車載ネットワーク１０ａに出力される全ての出力データ、つまり、第一子制御装置３０ａａ〜３０ａｃの全てに対する出力データについて、出力ルール１〜３との比較を行う。判定部２０４は、出力ルール１〜３の全てが満たされる場合（ステップＳ２０４でＹｅｓ）、ステップＳ２０５に進み、出力ルール１〜３のいずれかが満たされない場合（ステップＳ２０４でＮｏ）、ステップＳ２０６に進む。

ステップＳ２０５及びＳ２０６での処理はそれぞれ、実施の形態１におけるステップＳ１０５及びＳ１０６での処理と同様である。

［２−３．効果］
上述したように、実施の形態２に係る監視装置２００において、判定部２０４は、親制御装置２０によって、第一〜第三車載ネットワーク１０ａ〜１０ｃの１つを介して子制御装置３０に出力された出力データと、記憶部２０３の判定データとを比較することによって、親制御装置２０の動作の異常の有無を判定する。また、親制御装置２０は、第一〜第三子制御装置の１つから出力された入力データを、第一〜第三子制御装置の他の１つに出力データとして出力し得る。よって、判定部２０４は、異なる車載ネットワークを経由したデータを用いて、親制御装置２０の動作の異常の有無を判定し得る。従って、監視装置２００は、異なる車載ネットワークを介して複数の子制御装置３０と接続された親制御装置２０の監視を可能にする。なお、実施の形態２に係る監視装置２００は、第一子制御装置３０ａａに搭載されたが、他のいかなる子制御装置に搭載されてもよい。

また、実施の形態２に係る監視装置２００において、記憶部２０３の判定データは、出力データの変化量、親制御装置２０による出力データの出力周期、及び、監視装置２００を搭載する第一子制御装置３０ａａのデータの少なくとも１つである。よって、判定データに基づく親制御装置２０の動作の異常の有無の判定が簡易であり且つ確実になる。

［実施の形態３］
実施の形態３に係る監視装置３００は、第一〜第三車載ネットワーク１０ａ〜１０ｃとは別の情報伝送部７０から情報を取得する点で、実施の形態１と異なる。実施の形態３において、実施の形態１又は２と同様の構成要素については、実施の形態１又は２と同一の参照符号を付し、その説明を省略する。以下において、実施の形態１及び２と異なる点を中心に説明し、実施の形態１又は２と同様の点の説明を省略する。

図９及び図１０を参照して、実施の形態３に係る監視装置３００を説明する。なお、図９は、実施の形態３に係る監視装置３００を備える車載ネットワークシステム１の機能的な構成の一例を示すブロック図である。図１０は、実施の形態３に係る監視装置３００の機能的な構成の一例を示すブロック図である。監視装置３００は、実施の形態１と同様に、第一〜第三車載ネットワーク１０ａ〜１０ｃそれぞれと接続される。さらに、監視装置３００は、第一通信部としての通信部１０１と、第一取得部としての取得部１０２と、記憶部１０３と、判定部３０４と、制御部３０５と、第二取得部３０６と、第二通信部３０７とを含む。

第二通信部３０７は、情報伝送部７０と監視装置３００との間で、データを送受信する。第二通信部３０７は通信回路で構成されてもよい。情報伝送部７０は、イーサネット（登録商標）（Ethernet）バス、ローカルバス及びジカ線等の情報伝送経路を構成し、車両内の様々なデバイス８０と接続されている。情報伝送部７０は、デバイス８０が出力する情報を含むデータを監視装置３００に送信する。第二取得部３０６は、情報伝送部７０及び第二通信部３０７を介して、デバイス８０の出力情報を取得する。

判定部３０４は、第二取得部３０６によって取得されたデバイス８０の出力情報が、いずれの子制御装置３０に関連するかを特定する。例えば、出力情報は、関連する子制御装置３０の識別情報等の情報を含み、判定部３０４は、出力情報に含まれる当該情報から、出力情報に関連する子制御装置３０を特定してもよい。又は、記憶部１０３は、出力情報と、当該出力情報に関連する子制御装置３０との対応関係を示すデータを、予め記憶しており、判定部３０４は、出力情報と上記データとを照合することによって、当該出力情報に関連する子制御装置３０を特定してもよい。

さらに、判定部３０４は、出力情報を、第一取得部１０２によって取得された親制御装置２０の出力データの値等の内容、及び、記憶部１０３に記憶される上記出力データに対応する出力データの値等の内容の少なくとも１つに加味する。判定部３０４は、第一取得部１０２によって取得された出力データの内容、及び、記憶部１０３に記憶される出力データの内容の少なくとも１つを、出力情報に応じて補正する。

例えば、デバイス８０の出力情報は、子制御装置３０の異常の有無を示してもよい。親制御装置２０の出力データに対応する入力データを出力した子制御装置３０、又は、親制御装置２０から出力データを取得する子制御装置３０に異常が発生したことを示す出力情報を取得した場合、判定部３０４は、親制御装置２０の出力データの値と記憶部１０３の出力データの値とを整合する、具体的には同じにするように、２つの出力データの値の少なくとも１つを補正してもよい。これにより、判定部３０４は、子制御装置３０の異常を、親制御装置２０の異常として判定することを抑えることができ、判定精度を向上させ得る。

なお、親制御装置２０も、情報伝送部７０又は他の情報伝送部を介して、デバイス８０と接続されてもよい。この場合、親制御装置２０は、情報伝送部を介して、デバイス８０の出力情報を取得し、子制御装置３０から取得する入力データに当該出力情報を加味したデータを、出力データとして出力してもよい。そして、判定部３０４は、記憶部１０３に記憶される出力データに、第二取得部３０６によって取得された出力情報を加味したデータと、親制御装置２０から取得され且つ出力情報が加味されている出力データとを比較してもよい。

また、制御部３０５は、第一通信部１０１、第一取得部１０２、判定部３０４、第二取得部３０６及び第二通信部３０７の動作を関連付けてこれらを制御しつつ、監視装置３００全体の動作を制御する。また、制御部３０５は、判定部３０４の判定結果及び／又は判定結果に基づく制御情報を、監視装置３００の外部に出力する。

上述のような実施の形態３に係る監視装置３００によれば、実施の形態１に係る監視装置１００と同様の効果が得られる。さらに、第二取得部３０６によって取得された情報は、出力データに対応する入力データを出力した子制御装置３０に関連する情報を含み得る。このような第二取得部３０６によって取得された情報を、第一取得部１０２によって取得された出力データに加味したデータは、子制御装置３０又は当該子制御装置３０と接続されるデバイスの異常、アクシデント等が出力データに与える影響を考慮したデータであり得る。これにより、判定部３０４は、上記影響による親制御装置２０の動作の異常の誤検知を低減することができる。よって、監視装置３００は、親制御装置２０の動作の異常の判定精度を向上することができる。

また、本実施の形態に係る監視装置３００は、実施の形態１に係る車載ネットワークシステム１に適用されていたが、図１１に示すように、実施の形態２に係る車載ネットワークシステムに適用されてもよい。この場合、判定部３０４は、出力情報を、第一取得部１０２によって取得された親制御装置２０の出力データの内容、及び、記憶部１０３に記憶される上記出力データに対応する出力データの内容の少なくとも１つに加味する。なお、図１１は、実施の形態３の変形例に係る監視装置３００Ａを備える車載ネットワークシステム１の機能的な構成の一例を示すブロック図である。

［その他］
以上、１つ又は複数の態様に係る監視装置等について、実施の形態及び変形例に基づいて説明したが、本開示は、これらの実施の形態及び変形例に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を実施の形態及び変形例に施したものや、異なる実施の形態及び変形例における構成要素を組み合わせて構築される形態も、１つ又は複数の態様の範囲内に含まれてもよい。

例えば、実施の形態及び変形例に係る監視装置において、入力データ及び出力データはそれぞれ、入力データ及び出力データのＣＡＮ ＩＤ等の識別情報を含んでいた。そして、監視装置の判定部は、子制御装置３０から出力される入力データの識別情報と、親制御装置２０から出力される出力データの識別情報とを比較することによって、入力データと出力データとの対応付け、入力データと子制御装置３０との対応付け、及び、出力データと子制御装置３０との対応付けを行った。しかしながら、上記対応付けは、これらに限定されない。例えば、判定部は、入力データの内容及び出力データの内容を照合することによって、上記対応付けを行ってもよい。また、子制御装置３０は、入力データに、当該子制御装置３０の識別情報を含ませてもよく、当該入力データの実行対象の子制御装置３０の識別情報を含ませてもよい。そして、判定部は、子制御装置３０の識別情報に基づき、上記対応付けを行ってもよい。

また、上述したように、本開示の技術は、システム、装置、方法、集積回路、コンピュータプログラム又はコンピュータ読取可能な記録ディスク等の記録媒体で実現されてもよく、システム、装置、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。コンピュータ読み取り可能な記録媒体は、例えばＣＤ−ＲＯＭ等の不揮発性の記録媒体を含む。

例えば、上記実施の形態及び変形例に含まれる各処理部は典型的には集積回路であるＬＳＩ（Large Scale Integration：大規模集積回路）として実現される。これらは個別に１チップ化されてもよいし、一部又は全てを含むように１チップ化されてもよい。

また、集積回路化はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後にプログラムすることが可能なＦＰＧＡ（Field Programmable Gate Array）、又はＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用してもよい。

なお、上記実施の形態及び変形例において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵなどのプロセッサ等のプログラム実行部が、ハードディスク又は半導体メモリ等の記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。

また、上記構成要素の一部又は全部は、脱着可能なＩＣ（Integrated Circuit）カード又は単体のモジュールから構成されてもよい。ＩＣカード又はモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。ＩＣカード又はモジュールは、上記のＬＳＩ又はシステムＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、ＩＣカード又はモジュールは、その機能を達成する。これらＩＣカード及びモジュールは、耐タンパ性を有するとしてもよい。

本開示の監視方法は、ＭＰＵ（Micro Processing Unit）及びＣＰＵなどのプロセッサ、ＬＳＩなどの回路、ＩＣカード又は単体のモジュール等によって、実現されてもよい。

さらに、本開示の技術は、ソフトウェアプログラム又はソフトウェアプログラムからなるデジタル信号によって実現されてもよく、プログラムが記録された非一時的なコンピュータ読み取り可能な記録媒体であってもよい。また、上記プログラムは、インターネット等の伝送媒体を介して流通させることができるのは言うまでもない。

また、上記で用いた序数、数量等の数字は、全て本開示の技術を具体的に説明するために例示するものであり、本開示は例示された数字に制限されない。また、構成要素間の接続関係は、本開示の技術を具体的に説明するために例示するものであり、本開示の機能を実現する接続関係はこれに限定されない。

また、ブロック図における機能ブロックの分割は一例であり、複数の機能ブロックを１つの機能ブロックとして実現したり、１つの機能ブロックを複数に分割したり、一部の機能を他の機能ブロックに移してもよい。また、類似する機能を有する複数の機能ブロックの機能を単一のハードウェア又はソフトウェアが並列又は時分割に処理してもよい。

本開示の技術は、車載ネットワーク等の複数のネットワークを接続する親制御装置の監視に有用である。

１ 車載ネットワークシステム
１０，１０ａ，１０ｂ，１０ｃ 車載ネットワーク
２０ 親制御装置
３０，３０ａａ，３０ａｂ，３０ａｃ，３０ｂａ，３０ｂｂ，３０ｂｃ，３０ｃａ，３０ｃｂ，３０ｃｃ 子制御装置
７０ 情報伝送部
８０ デバイス
１００，２００，３００，３００Ａ 監視装置
１０２，２０２ 取得部（第一取得部）
１０３，２０３ 記憶部
１０４，２０４，３０４ 判定部
３０６ 第二取得部

Claims (10)

1. 親制御装置の動作を監視する監視装置であって、
   前記親制御装置は、第一ネットワークを介して第一子制御装置と接続され、第二ネットワークを介して第二子制御装置と接続され、且つ前記第二子制御装置から出力された入力データを、前記第一子制御装置に出力データとして出力し、
   前記監視装置は、
   前記第一ネットワーク及び前記第二ネットワークと接続され、
   前記入力データと前記出力データとの対応関係を示す判定データを記憶する記憶部と、
   前記第二子制御装置によって前記第二ネットワークに出力された前記入力データと、前記親制御装置によって前記第一ネットワークに出力された前記出力データとを取得する第一取得部と、
   前記第一ネットワーク及び前記第二ネットワークとは別に設けられた情報伝送部から情報を取得する第二取得部と、
   前記第一取得部によって取得された前記入力データ、及び、前記第二取得部によって取得された前記情報を前記第一取得部によって取得された前記出力データに加味したデータが、前記判定データを満たすか否かを判定することで、前記親制御装置の動作の異常の有無を判定する判定部と、を含む、
   監視装置。
2. 前記判定データは、前記入力データ及び前記出力データが同じである関係、及び、前記出力データが前記親制御装置による前記入力データの演算結果と同じである関係の少なくとも１つである、
   請求項１に記載の監視装置。
3. 親制御装置の動作を監視する監視装置であって、
   前記親制御装置は、第一ネットワークを介して第一子制御装置と接続され、第二ネットワークを介して第二子制御装置と接続され、且つ前記第二子制御装置から出力された入力データを、前記第一子制御装置に出力データとして出力し、
   前記監視装置は、
   前記第一子制御装置に搭載され、
   前記出力データに関する判定データを記憶する記憶部と、
   前記親制御装置によって前記第一ネットワークを介して前記第一子制御装置に出力された前記出力データを取得する第一取得部と、
   前記第一ネットワーク及び前記第二ネットワークとは別に設けられた情報伝送部から情報を取得する第二取得部と、
   前記第二取得部によって取得された前記情報を前記第一取得部によって取得された前記出力データに加味したデータが、前記判定データを満たすか否かを判定することで、前記親制御装置の動作の異常の有無を判定する判定部と、を含む、
   監視装置。
4. 前記判定データは、前記出力データの変化量、前記親制御装置による前記出力データの出力周期、及び、前記監視装置を搭載する前記第一子制御装置のデータの少なくとも１つである、
   請求項３に記載の監視装置。
5. 前記第一ネットワーク及び前記第二ネットワークは、バス型のネットワークである、
   請求項１〜４のいずれか一項に記載の監視装置。
6. 前記親制御装置は、ゲートウェイである、
   請求項１〜５のいずれか一項に記載の監視装置。
7. 親制御装置の動作を監視する監視方法であって、
   前記親制御装置は、第一ネットワークを介して第一子制御装置と接続され、第二ネットワークを介して第二子制御装置と接続され、且つ前記第二子制御装置から出力された入力データを、前記第一子制御装置に出力データとして出力し、
   前記監視方法は、
   前記第二子制御装置によって前記第二ネットワークに出力された前記入力データと、前記親制御装置によって前記第一ネットワークに出力された前記出力データとを、前記第一ネットワーク及び前記第二ネットワークを介して取得し、
   前記第一ネットワーク及び前記第二ネットワークとは別に設けられた情報伝送部から情報を取得し、
   取得された前記入力データ、及び、取得された前記情報を前記出力データに加味したデータが、前記入力データと前記出力データとの対応関係を示す判定データを満たすか否かを判定することで、前記親制御装置の動作の異常の有無を判定する、
   監視方法。
8. 親制御装置の動作を監視する監視方法であって、
   前記親制御装置は、第一ネットワークを介して第一子制御装置と接続され、第二ネットワークを介して第二子制御装置と接続され、且つ前記第二子制御装置から出力された入力データを、前記第一子制御装置に出力データとして出力し、
   前記監視方法は、
   前記親制御装置によって前記第一ネットワークを介して前記第一子制御装置に出力された前記出力データを取得し、
   前記第一ネットワーク及び前記第二ネットワークとは別に設けられた情報伝送部から情報を取得し、
   取得された前記情報を前記出力データに加味したデータが、前記出力データに関する判定データを満たすか否かを判定することで、前記親制御装置の動作の異常の有無を判定する、
   監視方法。
9. 請求項７に記載の監視方法をコンピュータに実行させるためのプログラム。
10. 請求項８に記載の監視方法をコンピュータに実行させるためのプログラム。

Images