WO2019021403A1 - 制御ネットワークシステム、車両遠隔制御システム及び車載中継装置 - Google Patents

制御ネットワークシステム、車両遠隔制御システム及び車載中継装置 Download PDF

Info

Publication number
WO2019021403A1
WO2019021403A1 PCT/JP2017/027120 JP2017027120W WO2019021403A1 WO 2019021403 A1 WO2019021403 A1 WO 2019021403A1 JP 2017027120 W JP2017027120 W JP 2017027120W WO 2019021403 A1 WO2019021403 A1 WO 2019021403A1
Authority
WO
WIPO (PCT)
Prior art keywords
control
vehicle
data
control command
ecu
Prior art date
Application number
PCT/JP2017/027120
Other languages
English (en)
French (fr)
Inventor
唯之 鳥崎
弘泰 寺澤
芳賀　智之
良浩 氏家
遼 加藤
Original Assignee
パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ filed Critical パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority to PCT/JP2017/027120 priority Critical patent/WO2019021403A1/ja
Priority to JP2018098026A priority patent/JP7133977B2/ja
Priority to CN201880004048.6A priority patent/CN109906587B/zh
Priority to EP18838223.8A priority patent/EP3661132A4/en
Priority to PCT/JP2018/027011 priority patent/WO2019021921A1/ja
Publication of WO2019021403A1 publication Critical patent/WO2019021403A1/ja
Priority to US16/734,435 priority patent/US11381420B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40006—Architecture of a communication node
    • H04L12/40013—Details regarding a bus controller
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/008—Registering or indicating the working of vehicles communicating information to a remotely located station
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40169—Flexible bus arrangements
    • H04L12/40176—Flexible bus arrangements involving redundancy
    • H04L12/40182—Flexible bus arrangements involving redundancy by using a plurality of communication lines
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4604—LAN interconnection over a backbone network, e.g. Internet, Frame Relay
    • H04L12/462—LAN interconnection over a bridge based backbone
    • H04L12/4625—Single bridge functionality, e.g. connection of two networks over a single bridge
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H04L67/025—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP] for remote control or remote monitoring of applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/535—Tracking the activity of the user
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services
    • H04L67/565—Conversion or adaptation of application format or content
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/08—Protocols for interworking; Protocol conversion
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/16—Gateway arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W92/00—Interfaces specially adapted for wireless communication networks
    • H04W92/02—Inter-networking arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/08—Protocols for interworking; Protocol conversion
    • H04L69/085—Protocols for interworking; Protocol conversion specially adapted for interworking of IP-based networks with other networks

Definitions

  • the present invention relates to a relay apparatus and a communication system for relaying data in an in-vehicle network.
  • Ethernet registered trademark
  • CAN in-vehicle network
  • a technology has been proposed for transmitting a plurality of CAN data as one Ethernet frame according to the order of transmission and reception (for example, patent document 2).
  • Ethernet is not a bus-type network configuration, there has been a first problem that fraud determination based on periodicity lacks reliability.
  • a certain Ethernet frame including a plurality of CAN data does not necessarily include CAN control data to be processed continuously or in a short time. For this reason, there is a possibility that each CAN control data of a plurality of CAN control data groups to be processed continuously or in a short time may be distributed to a plurality of Ethernet frames and transmitted. However, since Ethernet may lose frames, some frames are retransmitted, so that the CAN control data processing order is different, and a plurality of CAN control data to be processed within a certain period is constant. The second problem is that there is a possibility that the vehicle can not be properly controlled due to a failure such as not being processed in time.
  • the present invention solves the first problem, and instead of cyclical fraud determination, Ethernet data including a plurality of CAN data is searched for correlated CAN data included in the same frame.
  • An object of the present invention is to perform fraud determination by determining whether a preset condition matches the setting of the CAN data.
  • the present invention solves the second problem, in which a CAN control data set is defined in advance for each control of a vehicle, and the CAN control data set is stored in one Ethernet frame and transmitted.
  • An object of the present invention is to provide a method for correctly controlling a vehicle by suppressing delays between control data and guaranteeing the processing order.
  • a control network system comprises two different kinds of data, in which the maximum data size transmittable by one network and the maximum data size transmittable by another network are different.
  • An in-vehicle network system comprising two networks, wherein a first network capable of transmitting a large data size transmits control data to a second network capable of transmitting a small data size
  • the control data to be transmitted in the second embodiment is characterized in that it is data configured by combining a plurality of data corresponding to control commands used in the second network according to the control content.
  • the remote control system is a vehicle remote control system for controlling the vehicle according to control data transmitted to the vehicle by relaying a wireless network from a remote control device outside the vehicle, the control data being It is characterized in that it is composed of a combination of a plurality of control commands determined by the type of control.
  • the vehicle remote control system is characterized in that the plurality of control commands are control commands processed by any of a plurality of control devices provided in the vehicle.
  • the control command includes a control ID indicating a type of control.
  • the in-vehicle relay device is an in-vehicle relay device for relaying an in-vehicle network
  • the in-vehicle relay device is control data composed of a plurality of control commands and is intended to control a vehicle.
  • Control data is received, and a control command corresponding to any of a plurality of control devices included in the plurality of vehicles included in the control data is extracted, and the combination of the extracted control It is determined whether the control data is included in the control command combination list set as above, and it is determined that the control data is abnormal when the control command combination is not included in the control command combination list as a result of the confirmation. I assume.
  • the control data includes a control ID indicating a type of control
  • the in-vehicle relay device performs at least the control according to a control command combination list corresponding to the control ID.
  • a necessary control command is determined, and it is confirmed whether or not all the at least necessary control commands are included in the plurality of control commands extracted from the control data, and as a result of the confirmation, all the at least necessary control commands are included. If not, it is determined that the control data is abnormal.
  • a plurality of control commands extracted from the control data as a result of the confirmation include a control command other than the at least necessary control command. It is characterized in that it is judged as abnormal.
  • the in-vehicle relay device is connected to a plurality of control networks to which a plurality of control devices are connected, and the in-vehicle relay device transmits a plurality of control commands extracted from the control data. It is characterized by transmitting from the control network according to the control command.
  • the on-vehicle relay device changes the control command ID and transmits the control command according to a preset control command conversion list when transmitting the control command. It features.
  • This configuration makes it possible to associate CANID used in CAN with control command ID used for remote control, and it becomes possible to define and set control command ID regardless of the configuration of CAN.
  • the in-vehicle relay device when transmitting the control command, is characterized in that control command data is changed and transmitted in accordance with a preset control command conversion rule.
  • the in-vehicle relay device is an in-vehicle relay device for relaying an in-vehicle network
  • the in-vehicle relay device is a control data in which received data is configured by a plurality of control commands. It is determined whether the control data is intended to control the control data, and when it is determined that the data is composed of a plurality of control commands, the plurality of control commands are extracted from the control data, and control set in advance is performed.
  • control command ID included in the control command whether a combination of control commands described in the command check association list is included, and the control included in the combination when the combination of control commands is included It is determined whether control command data corresponding to the command ID satisfies a condition preset for each combination. It said control data and judging an abnormal data if not satisfied matter.
  • the condition preset for the abnormality determination of the control command data is a combination of values of control command data corresponding to each control command ID included in the combination. Is included in the combination of the range of possible values of each control command data set in advance.
  • the abnormality determination can be performed on the condition of the combination of the values of the control data, and the abnormality determination can be performed more accurately.
  • the in-vehicle relay device includes a plurality of patterns of the conditions for the abnormality determination set in advance, determines the state of the vehicle from the received data, and responds to the determined state of the vehicle.
  • the present invention is characterized in that one pattern is selected from the plurality of patterns as a condition for the abnormality determination.
  • abnormality determination can be performed according to the state of the vehicle, and more accurate abnormality determination can be performed.
  • the determination of the state of the vehicle is performed by analyzing data received from the plurality of control networks.
  • the order of each control command is controlled, delay between each command is suppressed, and efficient and accurate. Abnormality detection and fraud detection can be performed.
  • FIG. 1 is a block diagram of an in-vehicle network and a remote control network according to a first embodiment of the present invention.
  • FIG. 2 is a diagram showing a control frame format of remote control data in the embodiment of the present invention.
  • FIG. 3 is a view showing a control ID table showing control contents of remote control according to the embodiment of the present invention.
  • FIG. 4 is a block diagram of the Ethernet relay ECU according to the first embodiment of the present invention.
  • FIG. 5 is an operation flowchart of the Ethernet relay ECU according to the first embodiment of the present invention.
  • FIG. 6 is a diagram showing a control command combination list in the embodiment of the present invention.
  • FIG. 7 is a flow chart of abnormality processing of the Ethernet relay ECU in the embodiment of the present invention.
  • FIG. 1 is a block diagram of an in-vehicle network and a remote control network according to a first embodiment of the present invention.
  • FIG. 2 is a diagram showing a control frame format of remote control data in the embodiment
  • FIG. 8 is a diagram showing a control command conversion table in the embodiment of the present invention.
  • FIG. 9 is a block diagram of an in-vehicle network and a remote control network according to a second embodiment of the present invention.
  • FIG. 10 is a diagram showing a control frame format of remote control data in the second embodiment of the present invention.
  • FIG. 11 is a block diagram of an Ethernet relay ECU according to a second embodiment of the present invention.
  • FIG. 12 is an operation flowchart of the Ethernet relay ECU according to the second embodiment of the present invention.
  • FIG. 13 is a diagram showing a value check combination list in the second embodiment of the present invention.
  • FIG. 14 is a diagram showing a control data value check table in the second embodiment of the present invention.
  • FIG. 15 is a diagram showing a control frame format of remote control data according to the embodiment of the present invention.
  • FIG. 16 is a block diagram of an in-vehicle network and a remote control network according to a third embodiment of the present invention.
  • FIG. 17 is a diagram showing a control frame format of remote control data in the third embodiment of the present invention.
  • FIG. 18 is a configuration diagram of the Ethernet-CAN relay conversion ECU in the third embodiment of the present invention.
  • FIG. 19 is an operation flow diagram of the Ethernet-CAN relay conversion ECU in the third embodiment of the present invention.
  • FIG. 20 is a flowchart of abnormality processing of the Ethernet-CAN relay conversion ECU according to the third embodiment of the present invention.
  • FIG. 1 is a network configuration diagram of a vehicle remote control system according to a first embodiment of the present invention.
  • FIG. 1 roughly includes an in-vehicle network 102 mounted on a vehicle 100, a monitoring server 104, a remote control device 106, and an Ethernet communication network 108.
  • the in-vehicle network 102 is connected to the Ethernet communication network 108 by wireless communication 110, and is connected to the monitoring server 104 and the remote control device 106 via the Ethernet communication network 108.
  • the monitoring server 104 monitors the state of the vehicle 100 using position information of the vehicle 100, image data, and video data.
  • the remote control device 106 transmits remote control data to the vehicle 100 when receiving a remote control request from the vehicle 100 or when receiving a forced remote control request for the vehicle 100 from the monitoring server 104.
  • the in-vehicle network 102 includes a plurality of ECUs, CAN, and Ethernet, and is connected to the Ethernet communication network 108 by the communication control unit (TCU) 112 using the wireless communication 110.
  • the TCU 112 is connected to the first Ethernet relay ECU 116 by the first Ethernet 114.
  • the first Ethernet relay ECU 116 is an ECU having an abnormality detection function and an Ethernet switch function, and performs relay connection of the previous data abnormality detection, the first Ethernet 114, the second Ethernet 118, and the third Ethernet 120, They are connected to the Ethernet-CAN relay conversion ECU 122 and the second Ethernet relay ECU 124, respectively. Details of the operation of the first Ethernet relay ECU 116 will be described later.
  • the Ethernet-CAN relay conversion ECU 122 is an ECU that relays the second Ethernet 118 and the first CAN 126 and the second CAN 128, and is an ECU that bidirectionally converts Ethernet and CAN formats and protocols. That is, a CAN command is generated from the frame received from the second Ethernet 118, and the generated CAN command is transmitted from one or both of the first CAN 126 and the second CAN 128 according to the generated CAN command. Also, based on the CAN command received from the first CAN 126 or the second CAN 128, an Ethernet frame is generated and transmitted to the second Ethernet 118.
  • the first CAN 126 is connected to a chassis system ECU such as a blinker control ECU 130 that controls lighting and extinguishing of the left and right blinkers.
  • the second CAN 128 includes an accelerator control ECU 132 that performs acceleration control according to the accelerator opening, a brake control ECU 134 that performs deceleration and stop control by brake control, and a steering wheel control ECU 136 that performs direction control according to steering wheel steering angle.
  • Vehicle control ECU is connected.
  • the second Ethernet relay ECU 124 is an ECU having an Ethernet Switch function, relays the third Ethernet 120, the fourth Ethernet 138, the fifth Ethernet 140, and the sixth Ethernet 142, and responds to the destination of received data. Implement data transfer between each connected Ethernet.
  • a camera ECU 144 Connected to the fourth Ethernet 138 is a camera ECU 144 for photographing the surrounding situation of the vehicle 100 and transmitting it as video data.
  • the fifth Ethernet 140 is connected to a sensor ECU 146 that senses the surrounding condition of the vehicle 100 for automatic driving control and transmits the sensing result.
  • an automatic driving control ECU 148 for performing automatic driving control of the vehicle 100 using the data received from the camera ECU 144 and the sensor ECU 146 is connected.
  • the automatic driving control ECU 148 performs driving control of the vehicle 100 by transmitting control commands to control system ECUs such as the accelerator control ECU 132, the brake control ECU 134, and the steering wheel control ECU 136.
  • the automatic driving control ECU 148 recognizes the vehicle body and the surrounding situation and determines the control to be performed next based on the information of the camera ECU 144 and the sensor ECU 146 during the automatic driving, and the accelerator control ECU 132 and the brake control ECU 134 A control command is transmitted to a control ECU such as the steering wheel control ECU 136.
  • control by the automatic driving control ECU 148 can not be performed due to a situation different from normal.
  • the automatic driving control ECU 148 determines that it is difficult to control the vehicle 100 based on its own judgment, and sends a remote control request to the remote control device 106 via the Ethernet relay ECU 116 and the TCU 112.
  • the transmission of the remote control request causes the Ethernet relay ECU 116 and the automatic operation control ECU 148 to shift to the remote control mode.
  • the monitoring server 104 also receives sensing data and image data of the vehicle 100 and the surrounding situation from the camera ECU 144, the sensor ECU 146, etc., and monitors the vehicle 100. If the monitoring server 104 determines that the vehicle 100 is at a point requiring remote control from the position information of the vehicle 100 and the map information of the monitoring server, or some abnormality is observed in the behavior of the vehicle 100 in the monitoring. In this case, the monitoring server 104 transmits a remote control request to the remote control device 106 and also transmits a forced remote control notification to the Ethernet relay ECU 116 and the automatic operation control ECU 148 via the Ethernet communication network 108 and the TCU 112. When the forced remote control notification is received, the Ethernet relay ECU 116 and the automatic operation control ECU 148 shift to the remote control mode.
  • the monitoring staff decides based on the vehicle 100 and the surrounding situation received from the camera ECU 144, sensor ECU 146, etc.
  • the control content is input.
  • the control ID is determined according to the type of control, and a vehicle control frame is generated.
  • the format of the vehicle control frame is shown in FIG.
  • the vehicle control frame is composed of a control ID indicating the type of control and a plurality of control commands corresponding to processing in each control ECU, and each control command includes a control command ID indicating the type of control command and the control command. It consists of control command data used for execution.
  • a remote control flag indicating whether the vehicle control frame is based on remote control or automatic operation control in the vehicle.
  • FIG. 3 shows an example of the type of control and the control ID.
  • retraction control to the road shoulder is configured by two controls of road shoulder retraction A and road shoulder retraction B, and control ID 0x01 and control ID 0x02 are assigned to each.
  • the vehicle control frame generated by the remote control device 106 is transmitted to the TCU 112 of the vehicle 100 via the Ethernet communication network 108.
  • a session by TLS is established, and the vehicle control frame is encrypted and transmitted to protect it from eavesdropping and tampering in the Ethernet communication network 108.
  • the vehicle control frame received and decoded by the TCU 112 is transmitted to the first Ethernet relay ECU 116 via the Ethernet 114.
  • the configuration of the first Ethernet relay ECU 116 is shown in FIG.
  • the first Ethernet relay ECU 116 includes a transmission / reception unit A400, a transmission / reception unit B408, a transmission / reception unit C410, a storage unit 412, a non-volatile storage unit 414, a determination unit 402, a generation unit 404, a relay unit 406, a control unit 416, and a setting I / F 418. Configured
  • the transmission / reception unit A 400 connects the first Ethernet 114 and performs transmission / reception with the TCU 112 using Ethernet.
  • the transmission / reception unit B 202 connects the second Ethernet 118 and performs transmission / reception with the Ethernet-CAN relay conversion ECU 122 using Ethernet.
  • the transmission / reception unit C 204 connects the third Ethernet 120 and performs data transmission / reception with the second Ethernet relay ECU 124 using Ethernet.
  • FIG. 5 shows an operation flowchart of the first Ethernet relay ECU 116.
  • the determination unit 402 determines whether the received data is a vehicle control frame (step S502). As a result of the determination, if it is not a vehicle control frame (in the case of NO at step S502), the received data is sent to the relay unit 406 and is sent to the transmitting / receiving unit B408 or the transmitting / receiving unit C410 according to the transmission destination. It is transmitted from the transmission / reception unit B 408 or the transmission / reception unit C 410 (step S510).
  • the determination regarding the remote control mode is performed. That is, the remote control flag of the vehicle control frame is confirmed, and when the remote control flag is 1, since it is remote control, it is confirmed whether the current operation mode is the remote control mode (step S503). If the current operation mode of the Ethernet relay ECU 116 is not the remote control mode even though the remote control mode of the received vehicle control frame is set to 1 (step S503-YES), it is determined as an incorrect vehicle control frame The process proceeds to an abnormality detection process (S512).
  • the determination unit 402 extracts the control ID and each control command from the received data (step S504). Subsequently, the determination unit 402 collates the control command combination list 600 using the extracted control ID (step S506), and confirms a combination of control commands according to the control ID. For example, when the control ID is 0x01, it can be understood that the correct vehicle control frame is configured by the steering wheel control command, the brake control command, and the turn signal control command.
  • the control command combination list 600 is stored in advance in the non-volatile storage unit 414 at the time of vehicle manufacture via the setting I / F 418, and is updated by OTA or repro when there is a system update or the like.
  • the received vehicle control frame is correct.
  • the received data is sent to the relay unit 406 and sent from the sending / receiving unit B 408 to the Ethernet 118 (step S510).
  • the combination of the control commands does not match (in the case of NO at step S508), it is determined that the vehicle control frame is illegitimate or abnormal, and the process proceeds to abnormality detection processing (step S512).
  • FIG. 7 shows the flow of the abnormality detection process.
  • the generation unit 404 When an abnormality relating to the vehicle control frame is detected, the generation unit 404 generates an abnormality notification packet for notifying abnormality detection of the vehicle control frame (step S700).
  • the abnormality notification packet is transmitted to the relay unit 400 and the transmission / reception unit A400, and is transmitted from the transmission / reception unit A400, the transmission / reception unit B408, and the transmission / reception unit C410 to the internal network of the vehicle 100 and the monitoring server 104 and the remote control device 106 (step S702). .
  • the Ethernet-CAN relay conversion ECU 122 When receiving the vehicle control frame, the Ethernet-CAN relay conversion ECU 122 extracts control commands in order from the vehicle control frame, converts the control command ID into CANID using the control command conversion table 800, and transmits it to the corresponding CAN. Each control ECU carries out the corresponding control according to the content of the received control command, whereby control of the vehicle 100 is performed.
  • Vehicle control by the vehicle control frame generated by the automatic driving control ECU 148 is the same as control by the vehicle control frame generated by the remote control device, except for setting of the remote control flag.
  • the vehicle control frame to be transmitted using Ethernet is configured with a data set of control commands according to the control content, whereby a plurality of Ethernet frames can be obtained. It is possible to prevent the control command from straddling, to guarantee the control order of each control ECU connected to CAN, and to suppress the delay time between each control command.
  • the first Ethernet relay ECU 116 may detect an illegal vehicle control frame by checking whether the relayed vehicle control frame is configured with a data set of control commands according to the control content. it can. Thereby, it is possible to prevent the unauthorized control of the vehicle 100 by the unauthorized vehicle control frame.
  • conversion to CANID using the control command conversion table 800 makes it possible to reduce the dependence of the first Ethernet relay ECU 116, the remote control device 106, and the CAN configuration of the automatic operation control device 148 on the CAN type. It is possible to suppress the change of control according to the manufacturer.
  • monitoring server 104 and the remote control device 106 are separate devices in the present embodiment, they may be one device having both functions.
  • the network configuration in the present embodiment is an example, and may include other ECUs and relay devices, and may be configured by more CAN networks. Alternatively, all control ECUs may be connected to one CAN. Further, in the present embodiment, one ECU may have the functions of a plurality of ECUs realized by individual ECUs.
  • the vehicle 100 and the remote control device 106 communicate via the TCU
  • another route such as wireless Wi-Fi may be used, and the TCU function is IVI. Etc. may be included in other ECUs.
  • the supervisor determines the control content by the remote control device 106, but the control content may be determined by a computer, AI, or the like that has higher performance than the automatic operation control ECU 148. .
  • the content of the remote control is road shoulder retraction or avoidance
  • the present invention is not limited to this, and other control content may be used.
  • a TLS session is established between the remote control device 106 and the TCU 112, but a TLS session may be established between the remote control device 106 and the first Ethernet relay ECU 116. I do not care.
  • the conversion of the control command ID to CANID using the control command conversion table is performed by the first Ethernet-CAN relay conversion ECU 122, but the conversion function is the first Ethernet
  • the relay ECU 116 may be provided, and the first Ethernet relay ECU 116 may convert the control command ID into CANID based on the control command conversion table.
  • a control frame format 1500 using CAN data shown in FIG. 15 may be used by using CANID and CAN payload as control command ID and control command data.
  • control by the automatic driving control ECU 148 and the control by the remote control device 106 are the same vehicle control frame except for the setting of the remote control flag, but the control by the automatic driving control ECU 148 is different. It may be a frame format.
  • the control command combination list 600 is stored in advance in the non-volatile storage unit 414 at the time of vehicle manufacture via the setting I / F 418, but not via the setting I / F 418. B408, the control command combination list 600 may be set via the transmission / reception unit C410.
  • control command ID and the CAN ID are converted in this embodiment, not only the ID but also the control data may be converted according to the CAN network system to be processed. This enables the design of a remote control system that does not depend on the configuration of CAN.
  • FIG. 9 is a network configuration diagram of the in-vehicle relay device and system according to the second embodiment of the present invention.
  • the same components as in FIG. 1 will be assigned the same reference numerals and descriptions thereof will be omitted.
  • the on-vehicle network 902 is connected to the Ethernet communication network 108 by the wireless communication 110, and is connected to the remote control device 906 via the Ethernet communication network 108.
  • remote control device 906 transmits remote control data to vehicle 100.
  • the in-vehicle network 902 of the vehicle 900 includes a third Ethernet relay ECU 916 and a second Ethernet-CAN relay conversion ECU 922.
  • the third Ethernet relay ECU 916 is connected to the second Ethernet-CAN relay conversion ECU 922 via the Ethernet 920, and is connected to the communication control unit (TCU) 112 via the Ethernet 114.
  • TCU communication control unit
  • the second relay conversion ECU 922 has a plurality of CAN bus interfaces and Ethernet interfaces, and is connected to the CAN 926, the CAN 928, the Ethernet 938, the Ethernet 940, and the Ethernet 942.
  • the ECU 926 is an ECU such as the blinker control ECU 130
  • the CAN 928 is an control ECU such as an accelerator control ECU 132, a brake control ECU 134, and a steering wheel control ECU 136.
  • the Ethernet 938 is a camera ECU 144.
  • the Ethernet 940 is a sensor ECU 146.
  • the Ethernet 942 is automatic.
  • the operation control ECU 148 is connected.
  • the automatic driving control ECU 148 recognizes the vehicle body and surrounding conditions and determines the control to be performed next based on the information of the camera ECU 144 and the sensor ECU 146 during automatic driving, and determines the accelerator control ECU 132 and brake control ECU 134, A control command is transmitted to a control ECU such as the steering wheel control ECU 136.
  • control by the automatic driving control ECU 148 can not be performed due to a situation different from normal.
  • the automatic driving control ECU 148 determines that it is difficult to control the vehicle 900 based on its own judgment, and transmits a remote control request to the remote control device 906 via the Ethernet relay ECU 916 and the TCU 112.
  • the remote control device 906 when the remote control request from the vehicle 900 is received, the control content determined by the supervisor is input based on the vehicle 900 and the surrounding situation received from the camera ECU 144, the sensor ECU 146 or the like.
  • a control ID is determined according to the type of control, and a vehicle control frame is generated.
  • the format of the vehicle control frame is shown in FIG.
  • the vehicle control frame is composed of a control ID indicating the type of control and a plurality of control commands corresponding to processing in each control ECU, and each control command includes a control command ID indicating the type of control command and the control command. It consists of control command data used for execution.
  • FIG. 3 shows an example of the type of control and the control ID.
  • retraction control to the road shoulder is configured by two controls of road shoulder retraction A and road shoulder retraction B, and control ID 0x01 and control ID 0x02 are assigned to each.
  • the vehicle control frame generated by the remote control device 906 is transmitted to the TCU 112 of the vehicle 900 via the Ethernet communication network 108.
  • a session by TLS is established, and the vehicle control frame is encrypted and transmitted to protect it from eavesdropping and tampering in the Ethernet communication network 108.
  • the vehicle control frame received and decoded by the TCU 112 is transmitted to the third Ethernet relay ECU 916 via the Ethernet 114.
  • the configuration of the third Ethernet relay ECU 916 is shown in FIG.
  • the third Ethernet relay ECU 916 includes a transmission / reception unit A 1100, a transmission / reception unit B 1108, a storage unit 1112, a non-volatile storage unit 1114, a determination unit 1102, a generation unit 1104, a relay unit 1106, a control unit 1116, and a setting I / F 1118.
  • the transmission / reception unit A 1100 connects the Ethernet 114 and performs transmission / reception with the TCU 112 using Ethernet.
  • the transmission / reception unit B 1102 is connected to the Ethernet 920 and performs transmission / reception with the Ethernet-CAN relay conversion ECU 922 using the Ethernet.
  • step S 1200 An operation flowchart of the third Ethernet relay ECU 916 is shown in FIG.
  • the determination unit 110 2 determines whether the received data is a vehicle control frame (step S 1202). As a result of the determination, if it is not a vehicle control frame (in the case of step S1202-NO), the received data is sent to the relay unit 1106, sent to the sending / receiving unit 1108, and further sent from the sending / receiving unit B1108 (step S1218).
  • the determination unit 1102 extracts the control ID and each control command from the received data (step S1204). Subsequently, the determination unit 402 collates the control command combination list 600 using the extracted control ID (step S1206), and confirms a combination of control commands according to the control ID. For example, when the control ID is 0x01, it can be understood that the correct vehicle control frame is configured by the steering wheel control command, the brake control command, and the turn signal control command.
  • the control command combination list 600 is stored in advance in the non-volatile storage unit 1114 at the time of vehicle manufacture via the setting I / F 418, and is updated by OTA or repro when the system is updated.
  • a control command combination list may be provided, and the list to be used may be changed according to the state of the vehicle.
  • the state of the vehicle may be monitored by each data relayed by the Ehtenret relay ECU 916 to update the state of the vehicle, or the data for notifying the vehicle state may be received from the automatic driving control ECU 148 or the remote control device 906 . This makes it possible to correctly determine the state of the vehicle at each point in time.
  • step Proceed to S1210 When the combination of the control command confirmed by the control command combination list 600 matches the combination of the control command extracted from the vehicle control frame actually received (in the case of YES at step S1208), value check combination list collation (step Proceed to S1210). On the other hand, if the combination of the control commands does not match (in the case of NO at step S1208), it is determined that the vehicle control frame is illegitimate or abnormal, and the process proceeds to abnormality detection processing (step S1220).
  • the value check combination list 1300 shown in FIG. 13 is collated based on the control command ID extracted from the vehicle control frame, and the check table used for the value check is specified. For example, when the vehicle control frame includes three control commands of control commands ID 0x01, 0x03, 0x04, the check table is referred to with reference to the 0x01-0x03, 0x01-0x04, 0x03-0x04 column of the value check combination list 1300. Identify In this example, the check table 2 and the check table 3 are checked. For 0x03-0x04, there is no check list because an incorrect combination is not defined.
  • the value check combination list 1300 is stored in advance in the non-volatile storage unit 1114 at the time of vehicle manufacture via the setting I / F 1118, and is updated by OTA or repro when there is a system update or the like.
  • step S1212 If there is no check table used for value check (in the case of NO at step S1212), the received data is sent to the relay unit 1106 and sent from the transmission / reception unit B 1108 to the Ethernet 920 (step S1218). If there is a check table to be used for value check (in the case of YES at step S1212), abnormal value combination determination using the specified check table is performed (step S1214). An example of the check table is shown in FIG. Using the check table specified in the value check combination list 1300, it is determined whether the combination of values of control command data is not an abnormal combination shown in each check table.
  • check table 2 is shown for two commands of control command ID 0x01 and 0x03, refer to check table 2 1402 and “steering angle indicated by control command data of control command ID 0x01 is larger than 40 degrees, control command "The brake instruction indicated by the control command data of ID 0x03 is greater than 200" or "The steering angle indicated by the control command data of control command ID 0x01 is smaller than -40 degrees, and the brake instruction indicated by control command data of control command ID 0x03 is greater than 200" Check to see if the condition for any of the "large” conditions is met.
  • step S1220 when the abnormality condition is satisfied and it is determined that there is an abnormality (in the case of S1216-YES), it is determined that the vehicle control frame is illegitimate or abnormal, and the process proceeds to abnormality detection processing (step S1220).
  • the received data is sent to the relay unit 1106 as the vehicle control frame is correct, and from the transmitting / receiving unit B 1108 It is transmitted to the Ethernet 920 (step S1218).
  • FIG. 7 shows the flow of the abnormality detection process.
  • the generation unit 404 When an abnormality relating to the vehicle control frame is detected, the generation unit 404 generates an abnormality notification packet for notifying abnormality detection of the vehicle control frame (step S700).
  • the abnormality notification packet is transmitted to the relay unit 1106 and the transmission / reception unit A1100, and is transmitted from the transmission / reception unit A1100 and the transmission / reception unit B1108 to the internal network of the vehicle 900 and the remote control device 906 (step S702).
  • the Ethernet-CAN relay conversion ECU 922 When receiving the vehicle control frame, the Ethernet-CAN relay conversion ECU 922 extracts control commands in order from the vehicle control frame, converts the control command ID into CANID using the control command conversion table 800, and transmits it to the corresponding CAN. Each control ECU carries out the corresponding control according to the content of the received control command, whereby control of the vehicle 900 is performed.
  • the control command is straddled over a plurality of Ethernet frames by configuring a vehicle control frame to be transmitted using Ethernet with a data set of control commands according to the control content.
  • the third Ethernet relay ECU 916 may detect an illegal vehicle control frame by checking whether the relayed vehicle control frame is configured with a data set of control commands according to the control content. it can. This can prevent unauthorized control of the vehicle 900 by an unauthorized vehicle control frame.
  • the third Ethernet relay ECU 916 in accordance with the combination of control commands constituting the vehicle control frame to be relayed, it is determined that the data set in each control command satisfies the predetermined condition. It is possible to detect a vehicle control frame for which various control command settings have been made. In this way, unauthorized control of the vehicle 900 by unauthorized control command setting can be prevented.
  • the network configuration in the present embodiment is an example, and may include other ECUs and relay devices, or may be configured by more CAN networks. Alternatively, all control ECUs may be connected to one CAN. Further, in the present embodiment, one ECU may have the functions of a plurality of ECUs realized by individual ECUs.
  • the vehicle 900 and the remote control device 906 communicate via the TCU
  • another route such as wireless Wi-Fi may be used, and the TCU function is IVI. Etc. may be included in other ECUs.
  • the supervisor determines the control content by the remote control device 906, but the control content may be determined by a computer, AI, or the like that has higher performance than the automatic operation control ECU 148. .
  • the content of the remote control is road shoulder retraction or avoidance
  • the present invention is not limited to this, and other control content may be used.
  • a TLS session is established between the remote control device 906 and the TCU 112, but a TLS session may be established between the remote control device 906 and the third Ethernet relay ECU 916. I do not care.
  • the conversion of control command ID to CANID using the control command conversion table is performed by the first Ethernet-CAN relay conversion ECU 922, but the conversion function is the third Ethernet.
  • the relay ECU 916 may be provided, and the first Ethernet relay ECU 916 may convert the control command ID into CANID based on the control command conversion table.
  • the control frame format 1500 using CAN data shown in FIG. 15 may be used by using CANID and CAN payload as control command ID and control command data.
  • the combination used for the value check is two control commands, it may be a combination of three or more control commands.
  • the load of determination processing and the load of list management increase, but more detailed and accurate abnormality determination and fraud determination can be performed.
  • FIG. 16 is a network configuration diagram of the in-vehicle relay device and system of the third embodiment of the present invention.
  • the same components as in FIG. 1 will be assigned the same reference numerals and descriptions thereof will be omitted.
  • the in-vehicle network 1602 is connected to the Ethernet communication network 108 by wireless communication 110, and is connected to the remote control device 1606 via the Ethernet communication network 108.
  • remote control device 1606 receives a remote control request from vehicle 1600, remote control device 1606 transmits remote control data to vehicle 1600.
  • the in-vehicle network 1602 of the vehicle 1600 includes a third Ethernet-CAN relay converter ECU 1622.
  • the third Ethernet-to-CAN relay conversion ECU 1622 is connected to the communication control unit (TCU) 112 via the Ethernet 1614.
  • the third Ethernet-to-CAN relay conversion ECU 1622 has a plurality of CAN bus interfaces and Ethernet interfaces, and is connected to the CAN 1626, the CAN 1628, the Ethernet 1638, the Ethernet 1640, and the Ethernet 1642.
  • the CAN 1626 is an ECU such as the blinker control ECU 130
  • the CAN 1628 is a control system ECU such as the accelerator control ECU 132, the brake control ECU 134, the steering wheel control ECU 136
  • the Ethernet 1638 is a camera ECU 144
  • the Ethernet 1640 is a sensor ECU 146
  • the Ethernet 1642 is automatic.
  • the operation control ECU 148 is connected.
  • the automatic driving control ECU 148 recognizes the vehicle body and surrounding conditions and determines the control to be performed next based on the information of the camera ECU 144 and the sensor ECU 146 during automatic driving, and determines the accelerator control ECU 132 and brake control ECU 134, A control command is transmitted to a control ECU such as the steering wheel control ECU 136.
  • control by the automatic driving control ECU 148 can not be performed due to a situation different from normal.
  • the automatic driving control ECU 148 determines that it is difficult to control the vehicle 1600 based on its own judgment, and sends a remote control request to the remote control device 1606 via the Ethernet-CAN relay conversion ECU 1622 and the TCU 112. .
  • the remote control device 1606 receives the control content determined by the supervisor based on the vehicle 1600 received from the camera ECU 144 or the sensor ECU 146 and the surrounding conditions, and generates a vehicle control frame. Be done.
  • the format of the vehicle control frame is shown in FIG.
  • the vehicle control frame is composed of a plurality of control commands corresponding to the processing in each control ECU, and each control command is composed of a control command ID indicating the type of control command and control command data used to execute the control command. Be done.
  • the vehicle control frame generated by the remote control device 1606 is transmitted to the TCU 112 of the vehicle 1600 via the Ethernet communication network 108.
  • a session by TLS is established, and the vehicle control frame is encrypted and transmitted to protect it from eavesdropping and tampering in the Ethernet communication network 108.
  • the vehicle control frame received and decoded by the TCU 112 is transmitted to the third Ethernet-CAN relay conversion ECU 1622 via the Ethernet 1614.
  • the configuration of the third Ethernet-CAN relay conversion ECU 1622 is shown in FIG.
  • the third Ethernet-CAN relay conversion ECU 1622 includes a transceiver unit A1800, a transceiver unit B1808, a transceiver unit C1810, a transceiver unit D1812, a transceiver unit E1814, a transceiver unit F1815, a storage unit 1816, a non-volatile storage unit 1818, a determination unit 1802, a generation unit A relay conversion unit 1806, a control unit 1820, and a setting I / F 1822 are provided.
  • the transmission / reception unit A1800 connects the Ethernet 1614 and performs transmission / reception with the TCU 112 using Ethernet.
  • the transmission / reception unit B1808 connects the CAN 1626
  • the transmission / reception unit C1810 connects the CAN 1628
  • the transmission / reception unit D1812 connects the Ethernet 1638
  • the transmission / reception unit E1814 connects the Ethernet 1640
  • the transmission / reception unit F1815 connects the Ethernet 1642.
  • FIG. 19 shows an operation flowchart of the third Ethernet-CAN relay conversion ECU 1622.
  • the determination unit 1802 determines whether the received data is a vehicle control frame (step S1902). As a result of the determination, if it is not a vehicle control frame (in the case of step S1902-NO), the received data is sent to relay conversion unit 1806, and if the destination is CAN, Ethernet-CAN conversion is performed, and the destination is selected. It is transmitted to one or more of the corresponding transmitting / receiving units 1808 to 1815, and is transmitted from the Ethernet-CAN relay conversion ECU 1622 (step S1914).
  • the determination unit 1802 extracts control commands from the received data (step S1904). Subsequently, similarly in the determination unit 1802, value check combination list collation (step S1910) is performed. In the value check combination list collation, the value check combination list 1300 shown in FIG. 13 is collated based on the control command ID extracted from the vehicle control frame, and the check table used for the value check is specified.
  • the check table is referred to with reference to the 0x01-0x03, 0x01-0x04, 0x03-0x04 column of the value check combination list 1300. Identify In this example, the check table 2 and the check table 3 are checked. For 0x03-0x04, there is no check list because an incorrect combination is not defined.
  • the value check combination list 1300 and the check tables 1400 to 1048 are stored in advance in the non-volatile storage unit 1818 at the time of vehicle manufacture via the setting I / F 1822 and updated by OTA or repro when there is a system update etc. Be done.
  • a plurality of lists and check tables may be provided, and the check tables and lists used may be changed according to the state of the vehicle.
  • step S1912 If there is no check table used for value check (in the case of NO in step S1912), the received data is sent to the relay conversion unit 1806. If the destination is CAN, Ethernet-CAN conversion is performed, and control is performed. The control command ID is converted into CAN ID using the command conversion table 800, transmitted to one or more of the transmitting / receiving units 1808 to 1815 corresponding to the destination, and transmitted from the Ethernet-CAN relay conversion ECU 1622 (step S1914). If there is a check table used for value check (in the case of YES at step S1912), abnormal value combination determination using the specified check table is performed (step S1914). An example of the check table is shown in FIG.
  • check table 2 is shown for two commands of control command ID 0x01 and 0x03, refer to check table 2 1402 and “steering angle indicated by control command data of control command ID 0x01 is larger than 40 degrees, control command "The brake instruction indicated by the control command data of ID 0x03 is greater than 200" or "The steering angle indicated by the control command data of control command ID 0x01 is smaller than -40 degrees, and the brake instruction indicated by control command data of control command ID 0x03 is greater than 200" Check to see if the condition for any of the "large” conditions is met.
  • step S1920 when the abnormal condition is satisfied and it is determined that there is an abnormality (in the case of S1916-YES), it is determined that the vehicle control frame is incorrect or abnormal, and the process proceeds to an abnormality detection process (step S1920).
  • the received data is sent to the relay conversion unit 1806 as the vehicle control frame is correct and the destination is CAN. If so, Ethernet-CAN conversion is performed, the control command ID is converted to CAN ID using the control command conversion table 800, and transmitted to one or more of the transmitting / receiving units 1808 to 1815 corresponding to the destination. It is transmitted from the conversion ECU 1622 (step S1914).
  • FIG. 20 shows a flow of abnormality detection processing. If an abnormality related to the vehicle control frame is detected, the combination of control commands for which an abnormality is found in the value check in the generation unit 1804 is excluded from the received vehicle control frame (step S2000), and the frame is regenerated (S2002). Thus, the vehicle control frame from which the control command including the abnormal value has been excluded is sent to the relay conversion unit 1806. If the destination is CAN, Ethernet-CAN conversion is performed, and the control command conversion table 800 is used to control command ID. Are converted to CANID, transmitted to one or more of the transmitting / receiving units 1808 to 1815 corresponding to the destination, and transmitted from the Ethernet-CAN relay conversion ECU 1622 (step S2004).
  • an abnormality notification packet for notifying abnormality detection is generated (step S2006).
  • the abnormality notification packet is transmitted to the relay conversion unit 1806 and the transmission / reception unit A1800, and is transmitted from the transmission / reception unit A1800 and the transmission / reception unit F1815 to the internal network of the vehicle 1600 and the remote control device 1606 (step S2008).
  • control command conversion table 800 it is possible to reduce the dependence of the remote control device 1606 on the configuration of CAN, and it is possible to suppress a change in control according to the vehicle type and manufacturer.
  • the network configuration in the present embodiment is an example, and may include other ECUs and relay devices, or may be configured by more CAN networks. Alternatively, all control ECUs may be connected to one CAN. Further, in the present embodiment, one ECU may have the functions of a plurality of ECUs realized by individual ECUs.
  • the vehicle 1600 and the remote control device 1606 communicate via the TCU
  • another route such as wireless Wi-Fi may be used, and the function of the TCU is IVI. Etc. may be included in other ECUs.
  • the supervisor determines the control content by the remote control device 1606, but the control content may be determined by a computer, AI, or the like that has higher performance than the automatic operation control ECU 148. .
  • the content of the remote control is road shoulder retraction or avoidance
  • the present invention is not limited to this, and other control content may be used.
  • a session by TLS is established between the remote control device 1606 and the TCU 112, but a session by TLS is extended between the remote control device 1606 and the third Ethernet-CAN relay conversion ECU 1622. It does not matter.
  • control frame format 1700 is used as the control frame in the present embodiment
  • the CAN ID and CAN payload are used as the control command ID and control command data instead of the control frame format 1700, as shown in FIG.
  • a control frame format 1500 using data may be used.
  • the combination used for the value check is two control commands, it may be a combination of three or more control commands.
  • the load of determination processing and the load of list management increase, but more detailed and accurate abnormality determination and fraud determination can be performed.
  • the operation flow at the time of receiving by the transmission / reception unit A was shown as an operation flow of the Ethernet-CAN relay conversion ECU shown in each embodiment, the same processing flow is also obtained when it is received by another transmission / reception unit Relay operation is possible.
  • the present invention is effective not only in the in-vehicle system but also in remote control in factory control applications such as industrial applications and smart factories.
  • the on-vehicle relay device and system according to the present invention have a fraud detection function in automatic operation control, and are useful for on-vehicle networks and systems of automatic operation vehicles and automatic operation vehicles. It can also be applied to remote control of manufacturing systems in factories.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Computing Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Small-Scale Networks (AREA)

Abstract

制御コマンドを複数含んだパケットに対して効率的な異常検知、不正検知を行えない。本発明に係る車両遠隔制御システムは、車両外の遠隔制御装置から無線ネットワークを中継して車両に送られる制御データにより前記車両を制御する車両遠隔制御システムにおいて、前記制御データは、制御の種類により決定される複数の制御コマンドの組合せで構成されることを特徴とする。例えば、前記複数の制御コマンドは、それぞれ前記車両に備えられた複数の制御装置のいずれかで処理される制御コマンドであってもよい。

Description

制御ネットワークシステム、車両遠隔制御システム及び車載中継装置
　本発明は車載ネットワークにおいてデータの中継を行なう中継装置及び通信システムに関する。
　自動車の電子制御技術の高度化や車載装置のネットワークへの接続が行われるようになるにつれ、自動車のセキュリティリスクが高まっており、自動車におけるセキュリティ対策技術が求められている。これまで、自動車の基幹ネットワークとしてはＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）が用いられており、従来のセキュリティ対策技術としては、ＣＡＮで送信されるデータフレームを受信し、送信周期に係る所定ルールへの適合を調べることにより不正検知を行うものがあった（例えば、特許文献１参照）。
　一方、ネットワーク接続と処理情報の高度化、大容量化に伴い、従来のＣＡＮに加えて、Ｅｔｈｅｒｎｅｔ（登録商標）が車内ネットワークとして採用されつつある。Ｅｔｈｅｒｎｅｔでは、一度のトランザクションで送信できるデータサイズがＣＡＮよりも格段に大きいため、送受信される順番に応じて複数のＣＡＮデータをひとつのＥｔｈｅｒｎｅｔフレームとして送信する技術が提案されている（例えば、特許文献２）。
国際公開第２０１５／１７０４５１号 国際公開第２０１７／０９０３５１号
　しかしながら、前記従来の構成では、ＣＡＮとＥｔｈｅｒｎｅｔとで構成される車載ネットワークにおいて、Ｅｔｈｅｒｎｅｔはバス型のネットワーク構成ではないため周期性による不正判定は信頼性に欠けるという第一の課題があった。
　また、前記従来の構成では、複数のＣＡＮデータを含むあるＥｔｈｅｒｎｅｔフレームにおいて、連続あるいは短時間に処理されるべきＣＡＮの制御データが含まれるとは限らない。このため、前記連続あるいは短時間に処理されるべき複数のＣＡＮ制御データ群の各ＣＡＮ制御データが、複数のＥｔｈｅｒｎｅｔフレームに分散して送信される可能性がある。しかし、Ｅｔｈｅｒｎｅｔではフレームの消失が発生する可能性があるため、一部のフレームが再送されることにより、ＣＡＮ制御データの処理順が異なる、一定期間内に処理すべき複数のＣＡＮ制御データが一定時間内に処理されない、などの不具合が発生し、車両の制御を正しく行えない可能性があるという第二の課題を有していた。
　本発明は、前記第一の課題を解決するもので、周期性による不正判定の替わりに、複数のＣＡＮデータを含むＥｔｈｅｒｎｅｔフレームにおいて、同一フレーム内に含まれる相関関係のあるＣＡＮデータを探索し、予め設定された条件と前記ＣＡＮデータの設定とが合致するかを判定することにより不正判定を実施することを目的とする。
　また、本発明は、前記第二の課題を解決するもので、車両の制御毎にＣＡＮ制御データセットを事前に定義し、前記ＣＡＮ制御データセットをひとつのＥｔｈｅｒｎｅｔフレームに格納して送信することにより、各制御データ間の遅延の抑制や処理順番の保証を行うことにより、正しく車両を制御する方法を提供することを目的とする。
　前記従来の課題を解決するために、本発明の一実施態様の制御ネットワークシステムは、一方のネットワークで送信可能な最大データサイズともう一方のネットワークで送信可能な最大データサイズが異なる種類の異なる二つのネットワークにより構成される車載ネットワークシステムであって、大きいデータサイズの送信が可能な第一のネットワークから小さいデータサイズの送信が可能な第二のネットワークに制御データを送信するにあたり、第一のネットワークで送信される制御データは、第二のネットワークで用いられる制御コマンドに対応したデータを制御内容に応じて複数組み合わせて構成されるデータであることを特徴とする。
　本構成によって各制御データ間の遅延の抑制や処理順番の保証を行うことにより、正しく制御対象を制御する方法を提供することができる。
　また、本発明の一実施態様の遠隔制御システムは、車両外の遠隔制御装置から無線ネットワークを中継して車両に送られる制御データにより前記車両を制御する車両遠隔制御システムにおいて、前記制御データは、制御の種類により決定される複数の制御コマンドの組合せで構成されることを特徴とする。
　本構成によって、前記ＣＡＮ制御データセットをひとつのＥｔｈｅｒｎｅｔフレームに格納して送信することにより、各制御データ間の遅延の抑制や処理順番の保証を行うことにより、正しく車両を制御する方法を提供することができる。
　また、本発明の一実施態様の車両遠隔制御システムは、前記複数の制御コマンドは、それぞれ前記車両に備えられた複数の制御装置のいずれかで処理される制御コマンドであることを特徴とする。
　本構成によって、車両制御を実施する各ＥＣＵに応じた制御コマンドについて各制御データ間の遅延の抑制や処理順番の保証を行うことにより、正しく車両を制御する方法を提供することができる。
　また、本発明の一実施態様の車載遠隔制御システムは、前記制御コマンドは、制御の種類を示す制御ＩＤを含むことを特徴とする。
　本構成によると、制御ＩＤを用いて設定、判定することにより、制御システムの処理を軽減することが可能となる。
　また、本発明の一実施態様の車載中継装置は、車載ネットワークを中継する車載中継装置であって、前記車載中継装置は、複数の制御コマンドにより構成された制御データであって車両の制御を目的とした制御データを受信し、前記制御データに含まれる複数の前記車両に備えられた複数の制御装置のいずれかに対応した制御コマンドを取り出し、前記取り出した制御コマンドの組合せが予め前記車載中継装置に設定された制御コマンド組合せリストに含まれているかを確認し、前記確認の結果前記制御コマンドの組合せが前記制御コマンド組合せリストに含まれていなかった際に制御データの異常と判定することを特徴とする。
　本構成によって、不正なサーバから送信された不正な制御データを簡便に検知することが可能となる。
　また、本発明の一実施態様の車載中継装置は、前記制御データは、制御の種類を示す制御ＩＤを含み、前記車載中継装置は、前記制御ＩＤに対応した制御コマンド組合せリストにより前記制御に少なくとも必要な制御コマンドを判別し、前記制御データから取り出した複数の制御コマンドに前記少なくとも必要な制御コマンドが全て含まれているかどうかを確認し、前記確認の結果前記少なくとも必要な制御コマンドが全て含まれていなかった場合に制御データの異常と判定することを特徴とする。
　本構成によって、制御ＩＤによる判定により制御データに含まれるべき制御コマンドを判定することが容易になり、不正検知・異常検知のための処理が軽減される。
　また、本発明の一実施態様の車載中継装置は、前記確認の結果、前記制御データから取り出した複数の制御コマンドに、前記少なくとも必要な制御コマンド以外の制御コマンドが含まれていた場合に制御データの異常と判定することを特徴とする。
　本構成によって、制御データが本来含まれるべきでない制御コマンドを含んでいた場合に異常と判定することが可能となり、より厳しい異常判定を行うことが可能となる。
　また、本発明の一実施態様の車載中継装置は、複数の制御装置が接続された複数の制御ネットワークと接続され、前記車載中継装置は、前記制御データから取り出した複数の制御コマンドを、それぞれの制御コマンドに応じた制御ネットワークから送信することを特徴とする。
　本構成によって、車載ネットワークでのゲートウェイにおいて異常判定を行うことが可能となり、効率的なネットワーク構成が可能となる。
　また、本発明の一実施態様の車載中継装置は、前記車載中継装置は、前記制御コマンドを送信するにあたり、予め設定された制御コマンド変換リストに則り、制御コマンドＩＤを変更して送信することを特徴とする。
　本構成によって、ＣＡＮで用いられるＣＡＮＩＤと遠隔制御に用いられる制御コマンドＩＤを対応させることが可能となり、ＣＡＮの構成によらず制御コマンドＩＤを定義、設定することが可能となる。
　また、本発明の一実施態様の車載中継装置は、前記制御コマンドを送信するにあたり、予め設定たされた制御コマンド変換ルールに則り、制御コマンドデータを変更して送信することを特徴とする。
　本構成によって、ＣＡＮで用いられるデータと遠隔制御に用いられる制御データを対応させることが可能となり、ＣＡＮの構成によらず制御コマンドデータを定義、設定することが可能となる。
　また、本発明の一実施態様の車載中継装置は、車載ネットワークを中継する車載中継装置であって、前記車載中継装置は、受信したデータが複数の制御コマンドにより構成された制御データであって車両の制御を目的とした制御データであるかを判定し、前記データが複数の制御コマンドにより構成されていると判定した際に、前記制御データから前記複数の制御コマンドを取り出し、予め設定された制御コマンドチェック関連付けリストに記載された制御コマンドの組合せが含まれているかを制御コマンドに含まれる制御コマンドＩＤを用いて判定し、前記制御コマンドの組合せが含まれていた際に前記組合せに含まれる制御コマンドＩＤに対応した制御コマンドデータが前記組合せ毎に予め設定された条件を満たすかどうかを判定し、条件を満たさなかった場合に前記制御データを異常データと判定することを特徴とする。
　本構成によると、同一フレーム内に含まれる相関関係のあるＣＡＮデータを探索し、予め設定された条件と前記ＣＡＮデータの設定とが合致するかを判定することにより不正判定を実施することが可能となる。
　また、本発明の一実施態様の車載中継装置は、前記制御コマンドデータの異常判定のために予め設定された条件は、前記組合せに含まれる各制御コマンドＩＤに対応した制御コマンドデータの値の組合せが、予め設定された各制御コマンドデータの取りうる値の範囲の組合せに含まれていることであることを特徴とする。
　本構成によると、制御データの値の組み合わせを条件として異常判定を行うことが可能であり、より正確な異常判定を行うことが可能となる。
　また、本発明の一実施態様の車載中継装置は、予め設定された前記異常判定のための条件を複数パターン備え、受信データから車両の状態を判定し、前記判定された車両の状態に応じて、前記複数パターンから一つのパターンを選んで前記異常判定のための条件とすることを特徴とする。
　本構成によると、車両の状態に応じた異常判定が可能となり、より正確な異常判定を行うことが可能となる。
　また、本発明の一実施態様の車載中継装置は、前記車両の状態の判定は、前記複数の制御ネットワークから受信したデータを解析することにより行われることを特徴とする。
　本構成によると、車両の状態を適切に管理することが可能となり、より正確な異常判定を行うことが可能となる。
　本発明の車載中継装置及びシステムによれば、複数の制御コマンドを含んだ制御データを送信するシステムにおいて、各制御コマンドの順番を制御し、各コマンド間の遅延を抑えると共に、効率的かつ正確な異常検知、不正検知を行うことができる。
図１は、本発明の実施の形態１における車載ネットワーク及び遠隔制御ネットワークの構成図である。 図２は、本発明の実施の形態における遠隔制御データの制御フレームフォーマットを示す図である。 図３は、本発明の実施の形態における遠隔制御の制御内容を示す制御ＩＤテーブルを示す図である。 図４は、本発明の実施の形態１におけるＥｔｈｅｒｎｅｔ中継ＥＣＵの構成図である。 図５は、本発明の実施の形態１におけるＥｔｈｅｒｎｅｔ中継ＥＣＵの動作フロー図である。 図６は、本発明の実施の形態における制御コマンド組み合わせリストを示す図である。 図７は、本発明の実施の形態におけるＥｔｈｅｒｎｅｔ中継ＥＣＵの異常処理フロー図である。 図８は、本発明の実施の形態における制御コマンド変換テーブルを示す図である。 図９は、本発明の実施の形態２における車載ネットワーク及び遠隔制御ネットワークの構成図である。 図１０は、本発明の実施の形態２における遠隔制御データの制御フレームフォーマットを示す図である。 図１１は、本発明の実施の形態２におけるＥｔｈｅｒｎｅｔ中継ＥＣＵの構成図である。 図１２は、本発明の実施の形態２におけるＥｔｈｅｒｎｅｔ中継ＥＣＵの動作フロー図である。 図１３は、本発明の実施の形態２における値チェック組み合わせリストを示す図である。 図１４は、本発明の実施の形態２における制御データ値チェック表を示す図である。 図１５は、本発明の実施の形態における遠隔制御データの制御フレームフォーマットを示す図である。 図１６は、本発明の実施の形態３における車載ネットワーク及び遠隔制御ネットワークの構成図である。 図１７は、本発明の実施の形態３における遠隔制御データの制御フレームフォーマットを示す図である。 図１８は、本発明の実施の形態３におけるＥｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵの構成図である。 図１９は、本発明の実施の形態３におけるＥｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵの動作フロー図である。 図２０は、本発明の実施の形態３におけるＥｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵの異常処理フロー図である。
　以下本発明の実施の形態について、図面を参照しながら説明する。
　（実施の形態１）
　図１は、本発明の実施の形態１における車両遠隔制御システムのネットワーク構成図である。
　図１は大きくは、車両１００に搭載された車載ネットワーク１０２、監視サーバ１０４、遠隔制御装置１０６、Ｅｔｈｅｒｎｅｔ通信網１０８から構成される。車載ネットワーク１０２は、無線通信１１０によりＥｔｈｅｒｎｅｔ通信網１０８に接続され、Ｅｔｈｅｒｎｅｔ通信網１０８を介して、監視サーバ１０４、遠隔制御装置１０６と接続される。監視サーバ１０４は、車両１００の位置情報や画像データ、映像データを利用して車両１００の状態を監視している。遠隔制御装置１０６は、車両１００から遠隔制御リクエストを受信した場合、あるいは、監視サーバ１０４から車両１００に対する強制遠隔制御リクエストを受信した場合に、車両１００に対して遠隔制御データを送信する。
　車載ネットワーク１０２は、複数のＥＣＵとＣＡＮ、Ｅｔｈｅｒｎｅｔにより構成され、通信コントロールユニット（ＴＣＵ）１１２により無線通信１１０を用いてＥｔｈｅｒｎｅｔ通信網１０８に接続される。前記ＴＣＵ１１２は、第一のＥｔｈｅｒｎｅｔ１１４により第一のＥｔｈｅｒｎｅｔ中継ＥＣＵ１１６に接続される。第一のＥｔｈｅｒｎｅｔ中継ＥＣＵ１１６は、異常検知機能及びＥｔｈｅｒｎｅｔ　Ｓｗｉｔｃｈ機能を備えたＥＣＵであり、前データの異常検知、前記第一のＥｔｈｅｒｎｅｔ１１４、前記第二のＥｔｈｅｒｎｅｔ１１８、第三のＥｔｈｅｒｎｅｔ１２０の中継接続を行い、それぞれＥｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ１２２、第二のＥｔｈｅｒｎｅｔ中継ＥＣＵ１２４と接続される。第一のＥｔｈｅｒｎｅｔ中継ＥＣＵ１１６の動作の詳細は後述する。
　Ｅｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ１２２は、第二のＥｔｈｅｒｎｅｔ１１８と第一のＣＡＮ１２６、第二のＣＡＮ１２８とを中継するＥＣＵであり、ＥｔｈｅｒｎｅｔとＣＡＮのフォーマット、プロトコル変換を双方向に行うＥＣＵである。即ち、第二のＥｔｈｅｒｎｅｔ１１８から受信したフレームから、ＣＡＮコマンドを生成し、前記生成したＣＡＮコマンドに応じて第一のＣＡＮ１２６、第二のＣＡＮ１２８のいずれかあるいは両方から前記生成したＣＡＮコマンドを送信する。また、前記第一のＣＡＮ１２６あるいは第二のＣＡＮ１２８から受信したＣＡＮコマンドを元にＥｔｈｅｒｎｅｔフレームを生成し、前記第二のＥｔｈｅｒｎｅｔ１１８に送信する。
　前記第一のＣＡＮ１２６には、左右のウィンカーの点灯・消灯を制御するウィンカー制御ＥＣＵ１３０などのシャーシ系ＥＣＵが接続されている。また、前記第二のＣＡＮ１２８には、アクセル開度に応じて加速制御を行うアクセル制御ＥＣＵ１３２、ブレーキ制御による減速停止制御を行うブレーキ制御ＥＣＵ１３４、ハンドル操舵角に応じて方向制御を行うハンドル制御ＥＣＵ１３６などの車両制御ＥＣＵが接続されている。
　第二のＥｔｈｅｒｎｅｔ中継ＥＣＵ１２４は、Ｅｔｈｅｒｎｅｔ　Ｓｗｉｔｃｈ機能を備えたＥＣＵであり、前記第三のＥｔｈｅｒｎｅｔ１２０、第四のＥｔｈｅｒｎｅｔ１３８、第五のＥｔｈｅｒｎｅｔ１４０、第六のＥｔｈｅｒｎｅｔ１４２の中継接続を行い、受信データのあて先に応じて各接続されたＥｔｈｅｒｎｅｔ間でのデータ転送を実施する。
　前記第四のＥｔｈｅｒｎｅｔ１３８には、車両１００の周囲状況を撮影し映像データとして送信するためのカメラＥＣＵ１４４が接続される。また前記第五のＥｔｈｅｒｎｅｔ１４０には、自動運転制御のために車両１００の周囲状況をセンシングし、センシング結果を送信するセンサＥＣＵ１４６が接続されている。また第六のＥｔｈｅｒｎｅｔ１４２には、前記カメラＥＣＵ１４４やセンサＥＣＵ１４６から受信したデータを用いて、車両１００の自動運転制御を実施する自動運転制御ＥＣＵ１４８が接続されている。自動運転制御ＥＣＵ１４８は、前記アクセル制御ＥＣＵ１３２、ブレーキ制御ＥＣＵ１３４、ハンドル制御ＥＣＵ１３６などの制御系ＥＣＵに制御コマンドを送信することにより、車両１００の運転制御を行う。
　以下、遠隔制御システムによる動作と第一のＥｔｈｅｒｎｅｔ中継ＥＣＵ１１６における不正判定について順を追って説明する。
　車両１００は、自動運転中、カメラＥＣＵ１４４やセンサＥＣＵ１４６の情報を元に自動運転制御ＥＣＵ１４８により、車体及び周辺状況の認識、次に行うべき制御の判断が行われ、アクセル制御ＥＣＵ１３２、ブレーキ制御ＥＣＵ１３４、ハンドル制御ＥＣＵ１３６などの制御ＥＣＵへ制御コマンドが送信される。
　また、自動運転中に、通常と異なる状況のために、自動運転制御ＥＣＵ１４８による制御が行えない場合が考えられる。このようなケースとしては、例えば、道路工事中であり回避制御が必要であった場合や、交通事故などの影響で警察官による交通整理が行われている場合、緊急車両の接近に伴う回避行動などが考えられる。このような場合、自動運転制御ＥＣＵ１４８は、自らの判断による車両１００の制御が困難であると判断し、Ｅｔｈｅｒｎｅｔ中継ＥＣＵ１１６及びＴＣＵ１１２を介して、遠隔制御装置１０６に遠隔制御リクエストを発信する。前記遠隔制御リクエストの送信により、Ｅｔｈｅｒｎｅｔ中継ＥＣＵ１１６及び自動運転制御ＥＣＵ１４８は遠隔制御モードに移行する。
　また、監視サーバ１０４は、カメラＥＣＵ１４４やセンサＥＣＵ１４６などから車両１００及び周辺状況のセンシングデータ、映像データを受信し、車両１００の監視を行う。監視サーバ１０４において、車両１００の位置情報及び監視サーバの地図情報から、遠隔制御が必要な地点に車両１００があると判断された場合、あるいは、前記監視において車両１００の挙動に何らかの異常が見られた場合、監視サーバ１０４は、遠隔制御装置１０６に遠隔制御リクエストを送信すると共に、強制遠隔制御通知をＥｔｈｅｒｎｅｔ通信網１０８、ＴＣＵ１１２を介して、Ｅｔｈｅｒｎｅｔ中継ＥＣＵ１１６及び自動運転制御ＥＣＵ１４８に送信する。前記強制遠隔制御通知の受信により、Ｅｔｈｅｒｎｅｔ中継ＥＣＵ１１６及び自動運転制御ＥＣＵ１４８は遠隔制御モードに移行する。
　遠隔制御装置１０６には、車両１００からの遠隔制御リクエストあるいは、監視サーバ１０４からの遠隔制御リクエストを受信すると、カメラＥＣＵ１４４やセンサＥＣＵ１４６などから受信した車両１００及び周辺状況に基づき、監視員が決定した制御内容が入力される。遠隔制御装置１０６では、制御の種類に応じて制御ＩＤが決定され、車両制御フレームが生成される。車両制御フレームのフォーマットを図２に示す。車両制御フレームは、制御の種類を示す制御ＩＤ、及び各制御ＥＣＵでの処理に対応した複数の制御コマンドで構成され、各制御コマンドは、制御コマンドの種類を示す制御コマンドＩＤ及び前記制御コマンドの実行に用いられる制御コマンドデータにより構成される。また、車両制御フレームが遠隔制御によるものか車内の自動運転制御によるものかを示す遠隔制御フラグが含まれる。
　図３に、制御の種類と制御ＩＤの一例を示す。制御ＩＤテーブル３００に示されるように、本例では、路肩への退避制御は、路肩退避Ａ、路肩退避Ｂの二つの制御により構成され、それぞれに制御ＩＤ０ｘ０１，制御ＩＤ０ｘ０２が割り当てられている。
　前記遠隔制御装置１０６で生成された車両制御フレームは、Ｅｔｈｅｒｎｅｔ通信網１０８を介して、車両１００のＴＣＵ１１２に送信される。ＴＣＵ１１２と遠隔制御装置１０６では、ＴＬＳによるセッションがはられ、前記車両制御フレームは暗号化されて送信されることにより、Ｅｔｈｅｒｎｅｔ通信網１０８における盗聴や改ざんから保護される。
　ＴＣＵ１１２で受信され復号された車両制御フレームは、Ｅｔｈｅｒｎｅｔ１１４を経由して第一のＥｔｈｅｒｎｅｔ中継ＥＣＵ１１６に送信される。
　第一のＥｔｈｅｒｎｅｔ中継ＥＣＵ１１６の構成を図４に示す。第一のＥｔｈｅｒｎｅｔ中継ＥＣＵ１１６は、送受信部Ａ４００、送受信部Ｂ４０８、送受信部Ｃ４１０、記憶部４１２、不揮発記憶部４１４、判定部４０２、生成部４０４、中継部４０６、制御部４１６、設定Ｉ／Ｆ４１８により構成される。
　送受信部Ａ４００は、第一のＥｔｈｅｒｎｅｔ１１４を接続し、ＴＣＵ１１２とのＥｔｈｅｒｎｅｔを用いた送受信を行う。送受信部Ｂ２０２は、第二のＥｔｈｅｒｎｅｔ１１８を接続し、Ｅｔｈｅｒｎｅｔ―ＣＡＮ中継変換ＥＣＵ１２２とのＥｔｈｅｒｎｅｔを用いた送受信を行う。送受信部Ｃ２０４は、第三のＥｔｈｅｒｎｅｔ１２０を接続し、第二のＥｔｈｅｒｎｅｔ中継ＥＣＵ１２４とのＥｔｈｅｒｎｅｔを用いたデータ送受信を行う。
　図５に第一のＥｔｈｅｒｎｅｔ中継ＥＣＵ１１６の動作フローチャートを示す。送受信部Ａ４００で受信されたデータは、判定部４０２において受信データが車両制御フレームであるかどうかが判定される（ステップＳ５０２）。判定の結果、車両制御フレームではなかった場合（ステップＳ５０２－ＮＯの場合）、前記受信されたデータは中継部４０６に送られ、送信先に応じて送受信部Ｂ４０８あるいは送受信部Ｃ４１０に送信され、さらに送受信部Ｂ４０８あるいは送受信部Ｃ４１０から送信される（ステップＳ５１０）。
　受信データが車両制御フレームであった場合（ステップＳ５０２－ＹＥＳの場合）、遠隔制御モードに関する判定を行う。即ち、車両制御フレームの遠隔制御フラグを確認し、遠隔制御フラグが１であった場合は遠隔制御であるため、現在の動作モードが遠隔制御モードであるかどうかを確認する（ステップＳ５０３）。受信した車両制御フレームの遠隔制御モードが１に設定されているにも関わらず、現在のＥｔｈｅｒｎｅｔ中継ＥＣＵ１１６の動作モードが遠隔制御モードで無かった場合（ステップＳ５０３－ＹＥＳ）、不正な車両制御フレームとして、異常検知処理（Ｓ５１２）に進む。遠隔制御モードに関する判定で異常が検知されなかった場合（ステップＳ５０３－ＮＯ）、判定部４０２において、前記受信データから制御ＩＤ及び各制御コマンドの抽出が行われる（ステップＳ５０４）。続いて、同じく判定部４０２において、抽出された制御ＩＤを用いて、制御コマンド組み合わせリスト６００を照合し（ステップＳ５０６）、前記制御ＩＤに応じた制御コマンドの組み合わせを確認する。例えば、制御ＩＤが０ｘ０１の場合、正しい車両制御フレームは、ハンドル制御コマンド、ブレーキ制御コマンド、方向指示器制御コマンドにより構成されていることが分かる。前記制御コマンド組み合わせリスト６００は、設定Ｉ／Ｆ４１８を介して車両製造時に事前に不揮発記憶部４１４に記憶されており、システムの更新などがあった際にＯＴＡやリプロにより更新される。
　前記制御コマンド組み合わせリスト６００により確認される制御コマンドの組み合わせと、実際に受信した車両制御フレームから抽出した制御コマンドの組み合わせが一致した場合（ステップＳ５０８―ＹＥＳの場合）、受信した車両制御フレームは正しいものとして、前記受信されたデータは中継部４０６に送られ、送受信部Ｂ４０８からＥｔｈｅｒｎｅｔ１１８へ送信される（ステップＳ５１０）。一方、制御コマンドの組み合わせが一致しなかった場合（ステップＳ５０８－ＮＯの場合）、車両制御フレームに不正もしくは異常があるものと判定し、異常検知処理（ステップＳ５１２）に進む。
　図７に異常検知処理のフローを示す。車両制御フレームに関する異常が検知された場合、生成部４０４において車両制御フレームの異常検知を通知するための異常通知パケットが生成される（ステップＳ７００）。異常通知パケットは中継部４００及び送受信部Ａ４００に送信され、車両１００の内部ネットワーク及び監視サーバ１０４、遠隔制御装置１０６に、送受信部Ａ４００，送受信部Ｂ４０８、送受信部Ｃ４１０から送信される（ステップＳ７０２）。
　Ｅｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ１２２は、車両制御フレームを受信すると、前記車両制御フレームから順に制御コマンドを取り出し、制御コマンド変換テーブル８００を用いて制御コマンドＩＤをＣＡＮＩＤに変換し、対応したＣＡＮに送信する。各制御ＥＣＵは受信した制御コマンドの内容に応じてそれぞれの担当する制御を実施し、それにより車両１００の制御が行われる。
　自動運転制御ＥＣＵ１４８で生成された車両制御フレームによる車両制御も遠隔制御装置により生成された車両制御フレームによる制御と、遠隔制御フラグの設定を除き同様である。
　かかる構成によれば、自動運転制御ＥＣＵ１４８及び遠隔制御装置１０６において、Ｅｔｈｅｒｎｅｔを用いて送信する車両制御フレームを、その制御内容に応じた制御コマンドのデータセットで構成することにより、複数のＥｔｈｅｒｎｅｔフレームに制御コマンドがまたがることを防ぎ、ＣＡＮに接続された各制御ＥＣＵの制御順番を保証し、各制御コマンド間の遅延時間を抑えることが可能となる。
　また、第一のＥｔｈｅｒｎｅｔ中継ＥＣＵ１１６において、中継される車両制御フレームが、制御内容に応じた制御コマンドのデータセットで構成されているかどうかをチェックすることにより、不正な車両制御フレームを検知することができる。これにより、不正な車両制御フレームによる車両１００の不正制御を防ぐことができる。
　また、制御コマンド変換テーブル８００を用いてＣＡＮＩＤに変換することにより、第一のＥｔｈｅｒｎｅｔ中継ＥＣＵ１１６、遠隔制御装置１０６、自動運転制御装置１４８のＣＡＮの構成への依存を下げることが可能となり、車種やメーカーに応じた制御の変更を抑えることができる。
　なお、本実施の形態において、監視サーバ１０４と遠隔制御装置１０６を別の機器としているが、双方の機能を備えた一つの機器としてもよい。
　また、本実施の形態におけるネットワーク構成は一例であり、他のＥＣＵや中継装置を含んでも構わないし、より多くのＣＡＮネットワークにより構成されていても構わない。あるいは一つのＣＡＮに全ての制御ＥＣＵが接続されていても構わない。また、本実施の形態においては個別のＥＣＵで実現している複数のＥＣＵの機能を一つＥＣＵが備えていても構わない。
　また、本実施の形態においては、ＴＣＵを経由して車両１００と遠隔制御装置１０６が通信を行うものとしているが、無線Ｗｉ‐Ｆｉなど他の経路を用いても構わないし、ＴＣＵの機能がＩＶＩなどの他のＥＣＵに含まれていても構わない。
　また、本実施の形態においては、遠隔制御装置１０６による制御内容を監視員が決定するとしたが、自動運転制御ＥＣＵ１４８よりも高性能なコンピュータやＡＩなどにより制御内容が決定されるものとしても構わない。
　また、本実施の形態においては、遠隔制御の内容を路肩退避や回避としたが、これに限定するものでなく、他の制御内容であっても構わない。
　また、本実施の形態においては遠隔制御装置１０６とＴＣＵ１１２の間でＴＬＳによるセッションが張られるものとしたが、遠隔制御装置１０６と第一のＥｔｈｅｒｎｅｔ中継ＥＣＵ１１６の間でＴＬＳによるセッションが張られても構わない。
　なお、本実施の形態においては、制御コマンド変換テーブルを用いた制御コマンドＩＤのＣＡＮＩＤへの変換を第一のＥｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ１２２で実施するものとしたが、変換機能を前記第一のＥｔｈｅｒｎｅｔ中継ＥＣＵ１１６に備え、前記第一のＥｔｈｅｒｎｅｔ中継ＥＣＵ１１６で前記制御コマンド変換テーブルに基づく制御コマンドＩＤのＣＡＮＩＤへの変換を行っても構わない。あるいは、制御フレームフォーマット２００に替わり、ＣＡＮＩＤ，ＣＡＮペイロードを制御コマンドＩＤ，制御コマンドデータとして利用することにより、図１５に示すＣＡＮデータを用いた制御フレームフォーマット１５００を用いても構わない。
　なお、本実施の形態においては、自動運転制御ＥＣＵ１４８による制御と遠隔制御装置１０６による制御を、遠隔制御フラグの設定を除き同一の車両制御フレームによるものとしたが、自動運転制御ＥＣＵ１４８による制御は異なるフレームフォーマットによるものでも構わない。
　なお、制御コマンド組み合わせリスト６００は、設定Ｉ／Ｆ４１８を介して車両製造時に事前に不揮発記憶部４１４に記憶されているとしたが、設定Ｉ／Ｆ４１８を介してではなく、送受信部Ａ４００、送受信部Ｂ４０８、送受信部Ｃ４１０を介して制御コマンド組み合わせリスト６００を設定しても構わない。
　なお、本実施の形態では制御コマンドＩＤとＣＡＮＩＤの変換を行うとしたが、ＩＤのみでなく制御データも対象となるＣＡＮのネットワークシステムに応じて変換してもよい。これにより、ＣＡＮの構成に拠らない遠隔制御システムの設計が可能となる。
　（実施の形態２）
　図９は、本発明の実施の形態２の車載中継装置及びシステムのネットワーク構成図である。図９において、図１と同じ構成要素については同じ符号を用い、説明を省略する。
　車載ネットワーク９０２は、無線通信１１０によりＥｔｈｅｒｎｅｔ通信網１０８に接続され、Ｅｔｈｅｒｎｅｔ通信網１０８を介して、遠隔制御装置９０６と接続される。遠隔制御装置９０６は、車両９００から遠隔制御リクエストを受信した場合、車両１００に対して遠隔制御データを送信する。
　車両９００の車載ネットワーク９０２は、第三のＥｔｈｅｒｎｅｔ中継ＥＣＵ９１６、第二のＥｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ９２２を備える。第三のＥｔｈｅｒｎｅｔ中継ＥＣＵ９１６は、Ｅｔｈｅｒｎｅｔ９２０を介して第二のＥｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ９２２と接続され、Ｅｔｈｅｒｎｅｔ１１４を介して通信コントロールユニット（ＴＣＵ）１１２と接続される。
　第二の中継変換ＥＣＵ９２２は、複数のＣＡＮバスインタフェースとＥｔｈｅｒｎｅｔインタフェースを備え、ＣＡＮ９２６、ＣＡＮ９２８，Ｅｔｈｅｒｎｅｔ９３８、Ｅｔｈｅｒｎｅｔ９４０、Ｅｔｈｅｒｎｅｔ９４２と接続される。ＣＡＮ９２６にはウィンカー制御ＥＣＵ１３０などのＥＣＵが、ＣＡＮ９２８にはアクセル制御ＥＣＵ１３２、ブレーキ制御ＥＣＵ１３４、ハンドル制御ＥＣＵ１３６などの制御系ＥＣＵが、Ｅｔｈｅｒｎｅｔ９３８にはカメラＥＣＵ１４４が、Ｅｔｈｅｒｎｅｔ９４０にはセンサＥＣＵ１４６が、Ｅｔｈｅｒｎｅｔ９４２には自動運転制御ＥＣＵ１４８が接続される。
　以下、遠隔制御システムによる動作と第三のＥｔｈｅｒｎｅｔ中継ＥＣＵ９１６における不正判定について順を追って説明する。
　車両９００は、自動運転中、カメラＥＣＵ１４４やセンサＥＣＵ１４６の情報を元に自動運転制御ＥＣＵ１４８により、車体及び周辺状況の認識、次に行うべき制御の判断が行われ、アクセル制御ＥＣＵ１３２、ブレーキ制御ＥＣＵ１３４、ハンドル制御ＥＣＵ１３６などの制御ＥＣＵへ制御コマンドが送信される。
　また、自動運転中に、通常と異なる状況のために、自動運転制御ＥＣＵ１４８による制御が行えない場合が考えられる。このようなケースとしては、例えば、道路工事中であり回避制御が必要であった場合や、交通事故などの影響で警察官による交通整理が行われている場合、緊急車両の接近に伴う回避行動などが考えられる。このような場合、自動運転制御ＥＣＵ１４８は、自らの判断による車両９００の制御が困難であると判断し、Ｅｔｈｅｒｎｅｔ中継ＥＣＵ９１６及びＴＣＵ１１２を介して、遠隔制御装置９０６に遠隔制御リクエストを発信する。
　遠隔制御装置９０６では、車両９００からの遠隔制御リクエストを受信すると、カメラＥＣＵ１４４やセンサＥＣＵ１４６などから受信した車両９００及び周辺状況に基づき、監視員が決定した制御内容が入力される。遠隔制御装置９０６では、制御の種類に応じて制御ＩＤが決定され、車両制御フレームが生成される。車両制御フレームのフォーマットを図１０に示す。車両制御フレームは、制御の種類を示す制御ＩＤ、及び各制御ＥＣＵでの処理に対応した複数の制御コマンドで構成され、各制御コマンドは、制御コマンドの種類を示す制御コマンドＩＤ及び前記制御コマンドの実行に用いられる制御コマンドデータにより構成される。
　図３に、制御の種類と制御ＩＤの一例を示す。制御ＩＤテーブル３００に示されるように、本例では、路肩への退避制御は、路肩退避Ａ、路肩退避Ｂの二つの制御により構成され、それぞれに制御ＩＤ０ｘ０１，制御ＩＤ０ｘ０２が割り当てられている。
　前記遠隔制御装置９０６で生成された車両制御フレームは、Ｅｔｈｅｒｎｅｔ通信網１０８を介して、車両９００のＴＣＵ１１２に送信される。ＴＣＵ１１２と遠隔制御装置９０６では、ＴＬＳによるセッションがはられ、前記車両制御フレームは暗号化されて送信されることにより、Ｅｔｈｅｒｎｅｔ通信網１０８における盗聴や改ざんから保護される。
　ＴＣＵ１１２で受信され復号された車両制御フレームは、Ｅｔｈｅｒｎｅｔ１１４を経由して第三のＥｔｈｅｒｎｅｔ中継ＥＣＵ９１６に送信される。
　第三のＥｔｈｅｒｎｅｔ中継ＥＣＵ９１６の構成を図１１に示す。第三のＥｔｈｅｒｎｅｔ中継ＥＣＵ９１６は、送受信部Ａ１１００、送受信部Ｂ１１０８、記憶部１１１２、不揮発記憶部１１１４、判定部１１０２、生成部１１０４、中継部１１０６、制御部１１１６、設定Ｉ／Ｆ１１１８により構成される。
　送受信部Ａ１１００は、Ｅｔｈｅｒｎｅｔ１１４を接続し、ＴＣＵ１１２とのＥｔｈｅｒｎｅｔを用いた送受信を行う。送受信部Ｂ１１０２は、Ｅｔｈｅｒｎｅｔ９２０を接続し、Ｅｔｈｅｒｎｅｔ―ＣＡＮ中継変換ＥＣＵ９２２とのＥｔｈｅｒｎｅｔを用いた送受信を行う。
　図１２に第三のＥｔｈｅｒｎｅｔ中継ＥＣＵ９１６の動作フローチャートを示す。送受信部Ａ１１００で受信された（ステップＳ１２００）データは、判定部１１０２において受信データが車両制御フレームであるかどうかが判定される（ステップＳ１２０２）。判定の結果、車両制御フレームではなかった場合（ステップＳ１２０２－ＮＯの場合）、前記受信されたデータは中継部１１０６に送られ、送受信部１１０８に送信され、さらに送受信部Ｂ１１０８から送信される（ステップＳ１２１８）。
　受信データが車両制御フレームであった場合（ステップＳ１２０２－ＹＥＳの場合）、判定部１１０２において、前記受信データから制御ＩＤ及び各制御コマンドの抽出が行われる（ステップＳ１２０４）。続いて、同じく判定部４０２において、抽出された制御ＩＤを用いて、制御コマンド組み合わせリスト６００を照合し（ステップＳ１２０６）、前記制御ＩＤに応じた制御コマンドの組み合わせを確認する。例えば、制御ＩＤが０ｘ０１の場合、正しい車両制御フレームは、ハンドル制御コマンド、ブレーキ制御コマンド、方向指示器制御コマンドにより構成されていることが分かる。前記制御コマンド組み合わせリスト６００は、設定Ｉ／Ｆ４１８を介して車両製造時に事前に不揮発記憶部１１１４に記憶されており、システムの更新などがあった際にＯＴＡやリプロにより更新される。また、制御コマンド組み合わせリストを備え、車両の状態に応じて使用するリストを変更しても構わない。車両の状態は、Ｅｈｔｅｎｒｅｔ中継ＥＣＵ９１６で中継する各データを監視して車両の状態を更新してもよいし、自動運転制御ＥＣＵ１４８や遠隔制御装置９０６から車両状態を通知するデータを受信してもよい。これにより、各時点での車両の状態を正しく判定することが可能である。
　前記制御コマンド組み合わせリスト６００により確認される制御コマンドの組み合わせと、実際に受信した車両制御フレームから抽出した制御コマンドの組み合わせが一致した場合（ステップＳ１２０８―ＹＥＳの場合）、値チェック組み合わせリスト照合（ステップＳ１２１０）に進む。一方、制御コマンドの組み合わせが一致しなかった場合（ステップＳ１２０８－ＮＯの場合）、車両制御フレームに不正もしくは異常があるものと判定し、異常検知処理（ステップＳ１２２０）に進む。
　値チェック組み合わせリスト照合（ステップＳ１２１０）においては、車両制御フレームから抽出された制御コマンドＩＤを元に、図１３に示される値チェック組み合わせリスト１３００を照合し、値チェックに用いるチェック表を特定する。例えば、車両制御フレームに制御コマンドＩＤ０ｘ０１、０ｘ０３，０ｘ０４の３つの制御コマンドが含まれていた場合、値チェック組み合わせリスト１３００の０ｘ０１－０ｘ０３、０ｘ０１－０ｘ０４、０ｘ０３－０ｘ０４の欄を参照してチェック表を特定する。本例では、チェック表２、チェック表３についてチェックを行うことになる。０ｘ０３－０ｘ０４については不正な組み合わせが定義されていないためチェック表が存在しない。前記値チェック組み合わせリスト１３００は、設定Ｉ／Ｆ１１１８を介して車両製造時に事前に不揮発記憶部１１１４に記憶されており、システムの更新などがあった際にＯＴＡやリプロにより更新される。
　値チェックに用いるチェック表が存在しなかった場合（ステップＳ１２１２－ＮＯの場合）、前記受信されたデータは中継部１１０６に送られ、送受信部Ｂ１１０８からＥｔｈｅｒｎｅｔ９２０へ送信される（ステップＳ１２１８）。値チェックに用いるチェック表が存在した場合（ステップＳ１２１２－ＹＥＳの場合）、特定されたチェック表を用いた異常値組み合わせ判定が行われる（ステップＳ１２１４）。チェック表の例を図１４に示す。前記値チェック組み合わせリスト１３００で特定されたチェック表を用いて、制御コマンドデータの値の組み合わせが、各チェック表に示される異常組み合わせになっていないかを判定する。例えば、制御コマンドＩＤ０ｘ０１、０ｘ０３の二つのコマンドについてはチェック表２が示されていたため、チェック表２　１４０２を参照し、「制御コマンドＩＤ０ｘ０１の制御コマンドデータの示す操舵角が４０度より大きく、制御コマンドＩＤ０ｘ０３の制御コマンドデータの示すブレーキ指示が２００より大きい」、もしくは、「制御コマンドＩＤ０ｘ０１の制御コマンドデータの示す操舵角がー４０度より小さく、制御コマンドＩＤ０ｘ０３の制御コマンドデータの示すブレーキ指示が２００より大きい」のいずれかの異常条件を満たすかどうかを確認する。各組み合わせのチェックにおいて、異常条件を満たし、異常ありと判定された場合（Ｓ１２１６－ＹＥＳの場合）、車両制御フレームに不正もしくは異常があるものと判定し、異常検知処理（ステップＳ１２２０）に進む。一方、異常条件を一つも満たすことが無く、異常なしと判定された場合（Ｓ１２１６－ＮＯ）、車両制御フレームは正しいものとして、前記受信されたデータは中継部１１０６に送られ、送受信部Ｂ１１０８からＥｔｈｅｒｎｅｔ９２０へ送信される（ステップＳ１２１８）。
　図７に異常検知処理のフローを示す。車両制御フレームに関する異常が検知された場合、生成部４０４において車両制御フレームの異常検知を通知するための異常通知パケットが生成される（ステップＳ７００）。異常通知パケットは中継部１１０６及び送受信部Ａ１１００に送信され、車両９００の内部ネットワーク及び遠隔制御装置９０６に、送受信部Ａ１１００，送受信部Ｂ１１０８から送信される（ステップＳ７０２）。
　Ｅｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ９２２は、車両制御フレームを受信すると、前記車両制御フレームから順に制御コマンドを取り出し、制御コマンド変換テーブル８００を用いて制御コマンドＩＤをＣＡＮＩＤに変換し、対応したＣＡＮに送信する。各制御ＥＣＵは受信した制御コマンドの内容に応じてそれぞれの担当する制御を実施し、それにより車両９００の制御が行われる。
　かかる構成によれば、遠隔制御装置９０６において、Ｅｔｈｅｒｎｅｔを用いて送信する車両制御フレームを、その制御内容に応じた制御コマンドのデータセットで構成することにより、複数のＥｔｈｅｒｎｅｔフレームに制御コマンドがまたがることを防ぎ、ＣＡＮに接続された各制御ＥＣＵの制御順番を保証し、各制御コマンド間の遅延時間を抑えることが可能となる。
　また、第三のＥｔｈｅｒｎｅｔ中継ＥＣＵ９１６において、中継される車両制御フレームが、制御内容に応じた制御コマンドのデータセットで構成されているかどうかをチェックすることにより、不正な車両制御フレームを検知することができる。これにより、不正な車両制御フレームによる車両９００の不正制御を防ぐことができる。
　また、第三のＥｔｈｅｒｎｅｔ中継ＥＣＵ９１６において、中継される車両制御フレームを構成する制御コマンドの組み合わせに応じて、各制御コマンドに設定されたデータが所定の条件を満たしているかを確認することにより、不正な制御コマンド設定が行われた車両制御フレームを検知することができる。これにより、不正な制御コマンド設定による車両９００の不正制御を防ぐことができる。
　また、制御コマンド変換テーブル８００を用いてＣＡＮＩＤに変換することにより、第三のＥｔｈｅｒｎｅｔ中継ＥＣＵ９１６、遠隔制御装置９０６のＣＡＮの構成への依存を下げることが可能となり、車種やメーカーに応じた制御の変更を抑えることができる。
　なお、本実施の形態におけるネットワーク構成は一例であり、他のＥＣＵや中継装置を含んでも構わないし、より多くのＣＡＮネットワークにより構成されていても構わない。あるいは一つのＣＡＮに全ての制御ＥＣＵが接続されていても構わない。また、本実施の形態においては個別のＥＣＵで実現している複数のＥＣＵの機能を一つＥＣＵが備えていても構わない。
　また、本実施の形態においては、ＴＣＵを経由して車両９００と遠隔制御装置９０６が通信を行うものとしているが、無線Ｗｉ‐Ｆｉなど他の経路を用いても構わないし、ＴＣＵの機能がＩＶＩなどの他のＥＣＵに含まれていても構わない。
　また、本実施の形態においては、遠隔制御装置９０６による制御内容を監視員が決定するとしたが、自動運転制御ＥＣＵ１４８よりも高性能なコンピュータやＡＩなどにより制御内容が決定されるものとしても構わない。
　また、本実施の形態においては、遠隔制御の内容を路肩退避や回避としたが、これに限定するものでなく、他の制御内容であっても構わない。
　また、本実施の形態においては遠隔制御装置９０６とＴＣＵ１１２の間でＴＬＳによるセッションが張られるものとしたが、遠隔制御装置９０６と第三のＥｔｈｅｒｎｅｔ中継ＥＣＵ９１６の間でＴＬＳによるセッションが張られても構わない。
　なお、本実施の形態においては、制御コマンド変換テーブルを用いた制御コマンドＩＤのＣＡＮＩＤへの変換を第一のＥｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ９２２で実施するものとしたが、変換機能を前記第三のＥｔｈｅｒｎｅｔ中継ＥＣＵ９１６に備え、前記第一のＥｔｈｅｒｎｅｔ中継ＥＣＵ９１６で前記制御コマンド変換テーブルに基づく制御コマンドＩＤのＣＡＮＩＤへの変換を行っても構わない。あるいは、制御フレームフォーマット１０００に替わり、ＣＡＮＩＤ，ＣＡＮペイロードを制御コマンドＩＤ，制御コマンドデータとして利用することにより、図１５に示すＣＡＮデータを用いた制御フレームフォーマット１５００を用いても構わない。
　なお、本実施の形態では値チェックに用いる組み合わせを二つの制御コマンドとしているが、３つあるいはより多くの制御コマンドの組み合わせでも構わない。組み合わせる制御コマンドの数が増えると、判定処理の負荷やリスト管理の負荷は重くなるが、より詳細かつ正確な異常判定、不正判定が可能となる。
　（実施の形態３）
　図１６は、本発明の実施の形態３の車載中継装置及びシステムのネットワーク構成図である。図１６において、図１と同じ構成要素については同じ符号を用い、説明を省略する。
　車載ネットワーク１６０２は、無線通信１１０によりＥｔｈｅｒｎｅｔ通信網１０８に接続され、Ｅｔｈｅｒｎｅｔ通信網１０８を介して、遠隔制御装置１６０６と接続される。遠隔制御装置１６０６は、車両１６００から遠隔制御リクエストを受信した場合、車両１６００に対して遠隔制御データを送信する。
　車両１６００の車載ネットワーク１６０２は、第三のＥｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ１６２２を備える。第三のＥｔｈｅｒｎｅｔ―ＣＡＮ中継変換ＥＣＵ１６２２は、Ｅｔｈｅｒｎｅｔ１６１４を介して通信コントロールユニット（ＴＣＵ）１１２と接続される。
　第三のＥｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ１６２２は、複数のＣＡＮバスインタフェースとＥｔｈｅｒｎｅｔインタフェースを備え、ＣＡＮ１６２６、ＣＡＮ１６２８，Ｅｔｈｅｒｎｅｔ１６３８、Ｅｔｈｅｒｎｅｔ１６４０、Ｅｔｈｅｒｎｅｔ１６４２と接続される。ＣＡＮ１６２６にはウィンカー制御ＥＣＵ１３０などのＥＣＵが、ＣＡＮ１６２８にはアクセル制御ＥＣＵ１３２、ブレーキ制御ＥＣＵ１３４、ハンドル制御ＥＣＵ１３６などの制御系ＥＣＵが、Ｅｔｈｅｒｎｅｔ１６３８にはカメラＥＣＵ１４４が、Ｅｔｈｅｒｎｅｔ１６４０にはセンサＥＣＵ１４６が、Ｅｔｈｅｒｎｅｔ１６４２には自動運転制御ＥＣＵ１４８が接続される。
　以下、遠隔制御システムによる動作と第三のＥｔｈｅｒｎｅｔ―ＣＡＮ中継変換ＥＣＵ１６２２における不正判定について順を追って説明する。
　車両１６００は、自動運転中、カメラＥＣＵ１４４やセンサＥＣＵ１４６の情報を元に自動運転制御ＥＣＵ１４８により、車体及び周辺状況の認識、次に行うべき制御の判断が行われ、アクセル制御ＥＣＵ１３２、ブレーキ制御ＥＣＵ１３４、ハンドル制御ＥＣＵ１３６などの制御ＥＣＵへ制御コマンドが送信される。
　また、自動運転中に、通常と異なる状況のために、自動運転制御ＥＣＵ１４８による制御が行えない場合が考えられる。このようなケースとしては、例えば、道路工事中であり回避制御が必要であった場合や、交通事故などの影響で警察官による交通整理が行われている場合、緊急車両の接近に伴う回避行動などが考えられる。このような場合、自動運転制御ＥＣＵ１４８は、自らの判断による車両１６００の制御が困難であると判断し、Ｅｔｈｅｒｎｅｔ―ＣＡＮ中継変換ＥＣＵ１６２２及びＴＣＵ１１２を介して、遠隔制御装置１６０６に遠隔制御リクエストを発信する。
　遠隔制御装置１６０６では、車両１６００からの遠隔制御リクエストを受信すると、カメラＥＣＵ１４４やセンサＥＣＵ１４６などから受信した車両１６００及び周辺状況に基づき、監視員が決定した制御内容が入力され、車両制御フレームが生成される。車両制御フレームのフォーマットを図１７に示す。車両制御フレームは、各制御ＥＣＵでの処理に対応した複数の制御コマンドで構成され、各制御コマンドは、制御コマンドの種類を示す制御コマンドＩＤ及び前記制御コマンドの実行に用いられる制御コマンドデータにより構成される。
　前記遠隔制御装置１６０６で生成された車両制御フレームは、Ｅｔｈｅｒｎｅｔ通信網１０８を介して、車両１６００のＴＣＵ１１２に送信される。ＴＣＵ１１２と遠隔制御装置１６０６では、ＴＬＳによるセッションがはられ、前記車両制御フレームは暗号化されて送信されることにより、Ｅｔｈｅｒｎｅｔ通信網１０８における盗聴や改ざんから保護される。
　ＴＣＵ１１２で受信され復号された車両制御フレームは、Ｅｔｈｅｒｎｅｔ１６１４を経由して第三のＥｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ１６２２に送信される。
　第三のＥｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ１６２２の構成を図１８に示す。第三のＥｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ１６２２は、送受信部Ａ１８００、送受信部Ｂ１８０８、送受信部Ｃ１８１０、送受信部Ｄ１８１２、送受信部Ｅ１８１４、送受信部Ｆ１８１５、記憶部１８１６、不揮発記憶部１８１８、判定部１８０２、生成部１８０４、中継変換部１８０６、制御部１８２０、設定Ｉ／Ｆ１８２２により構成される。
　送受信部Ａ１８００は、Ｅｔｈｅｒｎｅｔ１６１４を接続し、ＴＣＵ１１２とのＥｔｈｅｒｎｅｔを用いた送受信を行う。送受信部Ｂ１８０８はＣＡＮ１６２６、送受信部Ｃ１８１０はＣＡＮ１６２８、送受信部Ｄ１８１２はＥｔｈｅｒｎｅｔ１６３８を、送受信部Ｅ１８１４はＥｔｈｅｒｎｅｔ１６４０を、送受信部Ｆ１８１５はＥｔｈｅｒｎｅｔ１６４２を接続する。
　図１９に第三のＥｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ１６２２の動作フローチャートを示す。送受信部Ａ１８００で受信された（ステップＳ１９００）データは、判定部１８０２において受信データが車両制御フレームであるかどうかが判定される（ステップＳ１９０２）。判定の結果、車両制御フレームではなかった場合（ステップＳ１９０２－ＮＯの場合）、前記受信されたデータは中継変換部１８０６に送られ、あて先がＣＡＮであればＥｔｈｅｒｎｅｔ－ＣＡＮ変換が行われ、あて先に対応した送受信部１８０８～１８１５のいずれかあるいは複数に送信され、Ｅｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ１６２２から送信される（ステップＳ１９１４）。
　受信データが車両制御フレームであった場合（ステップＳ１９０２－ＹＥＳの場合）、判定部１８０２において、前記受信データから各制御コマンドの抽出が行われる（ステップＳ１９０４）。続いて、同じく判定部１８０２において、値チェック組み合わせリスト照合（ステップＳ１９１０）を行う。値チェック組み合わせリスト照合においては、車両制御フレームから抽出された制御コマンドＩＤを元に、図１３に示される値チェック組み合わせリスト１３００を照合し、値チェックに用いるチェック表を特定する。例えば、車両制御フレームに制御コマンドＩＤ０ｘ０１、０ｘ０３，０ｘ０４の３つの制御コマンドが含まれていた場合、値チェック組み合わせリスト１３００の０ｘ０１－０ｘ０３、０ｘ０１－０ｘ０４、０ｘ０３－０ｘ０４の欄を参照してチェック表を特定する。本例では、チェック表２、チェック表３についてチェックを行うことになる。０ｘ０３－０ｘ０４については不正な組み合わせが定義されていないためチェック表が存在しない。前記値チェック組み合わせリスト１３００及びチェック表１４００～１０４８は、設定Ｉ／Ｆ１８２２を介して車両製造時に事前に不揮発記憶部１８１８に記憶されており、システムの更新などがあった際にＯＴＡやリプロにより更新される。また、複数のリスト、チェック表を備え、車両の状態に応じて使用するチェック表、リストを変更しても構わない。Ｅｈｔｅｎｎｅｔ－ＣＡＮ中継変換ＥＣＵ１６２２で中継する各データを監視して車両の状態を更新することにより、各時点での車両の状態を正しく判定することが可能である。
　値チェックに用いるチェック表が存在しなかった場合（ステップＳ１９１２－ＮＯの場合）、前記受信されたデータは中継変換部１８０６に送られ、あて先がＣＡＮであればＥｔｈｅｒｎｅｔ－ＣＡＮ変換が行われ、制御コマンド変換テーブル８００を用いて制御コマンドＩＤをＣＡＮＩＤに変換し、あて先に対応した送受信部１８０８～１８１５のいずれかあるいは複数に送信され、Ｅｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ１６２２から送信される（ステップＳ１９１４）。値チェックに用いるチェック表が存在した場合（ステップＳ１９１２－ＹＥＳの場合）、特定されたチェック表を用いた異常値組み合わせ判定が行われる（ステップＳ１９１４）。チェック表の例を図１４に示す。前記値チェック組み合わせリスト１３００で特定されたチェック表を用いて、制御コマンドデータの値の組み合わせが、各チェック表に示される異常組み合わせになっていないかを判定する。例えば、制御コマンドＩＤ０ｘ０１、０ｘ０３の二つのコマンドについてはチェック表２が示されていたため、チェック表２　１４０２を参照し、「制御コマンドＩＤ０ｘ０１の制御コマンドデータの示す操舵角が４０度より大きく、制御コマンドＩＤ０ｘ０３の制御コマンドデータの示すブレーキ指示が２００より大きい」、もしくは、「制御コマンドＩＤ０ｘ０１の制御コマンドデータの示す操舵角がー４０度より小さく、制御コマンドＩＤ０ｘ０３の制御コマンドデータの示すブレーキ指示が２００より大きい」のいずれかの異常条件を満たすかどうかを確認する。各組み合わせのチェックにおいて、異常条件を満たし、異常ありと判定された場合（Ｓ１９１６－ＹＥＳの場合）、車両制御フレームに不正もしくは異常があるものと判定し、異常検知処理（ステップＳ１９２０）に進む。一方、異常条件を一つも満たすことが無く、異常なしと判定された場合（Ｓ１９１６－ＮＯ）、車両制御フレームは正しいものとして、前記受信されたデータは中継変換部１８０６に送られ、あて先がＣＡＮであればＥｔｈｅｒｎｅｔ－ＣＡＮ変換が行われ、制御コマンド変換テーブル８００を用いて制御コマンドＩＤをＣＡＮＩＤに変換し、あて先に対応した送受信部１８０８～１８１５のいずれかあるいは複数に送信され、Ｅｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ１６２２から送信される（ステップＳ１９１４）。
　図２０に異常検知処理のフローを示す。車両制御フレームに関する異常が検知された場合、生成部１８０４において値チェックで異常が見つかった制御コマンドの組み合わせを、受信した車両制御フレームから除外し（ステップＳ２０００）、フレームを再生成する（Ｓ２００２）。こうして異常値を含んだ制御コマンドを除外された車両制御フレームは、中継変換部１８０６に送られ、あて先がＣＡＮであればＥｔｈｅｒｎｅｔ－ＣＡＮ変換が行われ、制御コマンド変換テーブル８００を用いて制御コマンドＩＤをＣＡＮＩＤに変換し、あて先に対応した送受信部１８０８～１８１５のいずれかあるいは複数に送信され、Ｅｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ１６２２から送信される（ステップＳ２００４）。その後、異常検知を通知するための異常通知パケットが生成される（ステップＳ２００６）。異常通知パケットは中継変換部１８０６及び送受信部Ａ１８００に送信され、車両１６００の内部ネットワーク及び遠隔制御装置１６０６に、送受信部Ａ１８００、送受信部Ｆ１８１５から送信される（ステップＳ２００８）。
　かかる構成によれば、第三のＥｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ１６２２において、中継される車両制御フレームを構成する制御コマンドの組み合わせに応じて、各制御コマンドに設定されたデータが所定の条件を満たしているかを確認することにより、不正な制御コマンド設定が行われた車両制御フレームを検知することができる。これにより、不正な制御コマンド設定による車両１６００の不正制御を防ぐことができる。また、任意の構成の車両制御フレームから制御コマンドの組み合わせを探索してチェックするため、チェック対象となる車両制御フレームの制約が少なく、多様な制御内容の車両制御フレームに対して異常検知・不正検知を行うことが可能である。
　また、制御コマンド変換テーブル８００を用いてＣＡＮＩＤに変換することにより、遠隔制御装置１６０６のＣＡＮの構成への依存を下げることが可能となり、車種やメーカーに応じた制御の変更を抑えることができる。
　なお、本実施の形態におけるネットワーク構成は一例であり、他のＥＣＵや中継装置を含んでも構わないし、より多くのＣＡＮネットワークにより構成されていても構わない。あるいは一つのＣＡＮに全ての制御ＥＣＵが接続されていても構わない。また、本実施の形態においては個別のＥＣＵで実現している複数のＥＣＵの機能を一つＥＣＵが備えていても構わない。
　また、本実施の形態においては、ＴＣＵを経由して車両１６００と遠隔制御装置１６０６が通信を行うものとしているが、無線Ｗｉ‐Ｆｉなど他の経路を用いても構わないし、ＴＣＵの機能がＩＶＩなどの他のＥＣＵに含まれていても構わない。
　また、本実施の形態においては、遠隔制御装置１６０６による制御内容を監視員が決定するとしたが、自動運転制御ＥＣＵ１４８よりも高性能なコンピュータやＡＩなどにより制御内容が決定されるものとしても構わない。
　また、本実施の形態においては、遠隔制御の内容を路肩退避や回避としたが、これに限定するものでなく、他の制御内容であっても構わない。
　また、本実施の形態においては遠隔制御装置１６０６とＴＣＵ１１２の間でＴＬＳによるセッションが張られるものとしたが、遠隔制御装置１６０６と第三のＥｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵ１６２２の間でＴＬＳによるセッションが張られても構わない。
　なお、本実施の形態では制御フレームとして制御フレームフォーマット１７００を用いているが、制御フレームフォーマット１７００に替わり、ＣＡＮＩＤ，ＣＡＮペイロードを制御コマンドＩＤ，制御コマンドデータとして利用することにより、図１５に示すＣＡＮデータを用いた制御フレームフォーマット１５００を用いても構わない。
　なお、本実施の形態では値チェックに用いる組み合わせを二つの制御コマンドとしているが、３つあるいはより多くの制御コマンドの組み合わせでも構わない。組み合わせる制御コマンドの数が増えると、判定処理の負荷やリスト管理の負荷は重くなるが、より詳細かつ正確な異常判定、不正判定が可能となる。
　なお、各実施の形態において示したＥｔｈｅｒｎｅｔ－ＣＡＮ中継変換ＥＣＵの動作フローとして、送受信部Ａで受信した際の動作フローを示したが、他の送受信部で受信した際にも、同様の処理フローによる中継動作が可能である。
　なお、各実施の形態において車載システムへの適用を示したが、本発明は車載システムに限らず、産業用途、スマートファクトリーなどの工場制御用途において、遠隔制御を行う際にも有効である。
　本発明にかかる車載中継装置及びシステムは、自動運転制御における不正検知機能を有し、自動運転車両及び自動運転車両の車載ネットワーク及びシステムに有用である。また工場における製造システムの遠隔制御等の用途にも応用できる。
　１００、９００、１６００　車両
　１０２、９０２、１６０２　車載ネットワーク
　１０４　監視サーバ
　１０６、９０６、１６０６　遠隔制御装置
　１１６、１２４、９１６　Ｅｔｈｅｒｎｅｔ中継ＥＣＵ
　２００、１０００、１５００、１７００　制御フレームフォーマット
　６００　制御コマンド組み合わせリスト
　８００　制御コマンド変換テーブル
　１３００　値チェック組み合わせリスト

Claims (16)

  1. 　一方のネットワークで送信可能な最大データサイズともう一方のネットワークで送信可能な最大データサイズが異なる種類の異なる二つのネットワークにより構成される制御ネットワークシステムであって、
    　大きいデータサイズの送信が可能な第一のネットワークから小さいデータサイズの送信が可能な第二のネットワークに制御データを送信するにあたり、第一のネットワークで送信される制御データは、第二のネットワークで用いられる制御コマンドに対応したデータを制御内容に応じて複数組み合わせて構成されるデータである
    　ことを特徴とする制御ネットワークシステム。
  2. 　車両外の遠隔制御装置から無線ネットワークを中継して車両に送られる制御データにより前記車両を制御する車両遠隔制御システムにおいて、
    　前記制御データは、制御の種類により決定される複数の制御コマンドの組合せで構成される
    　ことを特徴とする車両遠隔制御システム。
  3. 　前記複数の制御コマンドは、
    　それぞれ前記車両に備えられた複数の制御装置のいずれかで処理される制御コマンドである
    　ことを特徴とする請求項２に記載の車両遠隔制御システム。
  4. 　前記制御コマンドは、操舵制御、速度制御、停止制御、発進制御、方向指示器制御、のいずれかの制御を示すコマンドである
    　ことを特徴とする請求項２に記載の車両遠隔制御システム。
  5. 　前記制御コマンドは、制御の種類を示す制御ＩＤを含む
    　ことを特徴とする請求項２に記載の車両遠隔制御システム。
  6. 　車載ネットワークを中継する車載中継装置であって、前記車載中継装置は、
    　複数の制御コマンドにより構成された制御データであって車両の制御を目的とした制御データを受信し、
    　前記制御データに含まれる複数の前記車両に備えられた複数の制御装置のいずれかに対応した制御コマンドを取り出し、
    　前記取り出した制御コマンドの組合せが予め前記車載中継装置に設定された制御コマンド組合せリストに含まれているかを確認し、
    　前記確認の結果前記制御コマンドの組合せが前記制御コマンド組合せリストに含まれていなかった際に制御データの異常と判定する
    　ことを特徴とする車載中継装置。
  7. 　前記制御データは、制御の種類を示す制御ＩＤを含み、
    　前記車載中継装置は、
    　前記制御ＩＤに対応した制御コマンド組合せリストにより前記制御に少なくとも必要な制御コマンドを判別し、
    　前記制御データから取り出した複数の制御コマンドに前記少なくとも必要な制御コマンドが全て含まれているかどうかを確認し、
    　前記確認の結果前記少なくとも必要な制御コマンドが全て含まれていなかった場合に制御データの異常と判定する、
    　ことを特徴とする請求項６に記載の車載中継装置。
  8. 　前記車載中継装置は、前記確認の結果、前記制御データから取り出した複数の制御コマンドに、前記少なくとも必要な制御コマンド以外の制御コマンドが含まれていた場合に制御データの異常と判定する
    　ことを特徴とする請求項７に記載の車載中継装置。
  9. 　前記車載中継装置は、複数の制御装置が接続された複数の制御ネットワークと接続され、
    　前記車載中継装置は、前記制御データから取り出した複数の制御コマンドを、それぞれの制御コマンドに応じた制御ネットワークから送信する
    　ことを特徴とする請求項７に記載の車載中継装置。
  10. 　前記車載中継装置は、前記制御コマンドを送信するにあたり、予め設定された制御コマンド変換リストに則り、制御コマンドＩＤを変更して送信する
    　ことを特徴とする請求項９に記載の車載中継装置。
  11. 　前記車載中継装置は、前記制御コマンドを送信するにあたり、予め設定たされた制御コマンド変換ルールに則り、制御コマンドデータを変更して送信する
    　ことを特徴とする請求項１０に記載の車載中継装置。
  12. 　前記制御コマンドはＣＡＮフォーマットに則っており、前記制御コマンドＩＤはＣＡＮＩＤに対応する
    　ことを特徴とする請求項６に記載の車載中継装置。
  13. 　車載ネットワークを中継する車載中継装置であって、前記車載中継装置は、
    　受信したデータが複数の制御コマンドにより構成された制御データであって車両の制御を目的とした制御データであるかを判定し、
    　前記データが複数の制御コマンドにより構成されていると判定した際に、前記制御データから前記複数の制御コマンドを取り出し、
    　予め設定された制御コマンドチェック関連付けリストに記載された制御コマンドの組合せが含まれているかを制御コマンドに含まれる制御コマンドＩＤを用いて判定し、
    　前記制御コマンドの組合せが含まれていた際に前記組合せに含まれる制御コマンドＩＤに対応した制御コマンドデータが前記組合せ毎に予め設定された条件を満たすかどうかを判定し、
    　条件を満たさなかった場合に前記制御データを異常データと判定する
    　ことを特徴とする車載中継装置。
  14. 　前記制御コマンドデータの異常判定のために予め設定された条件は、前記組合せに含まれる各制御コマンドＩＤに対応した制御コマンドデータの値の組合せが、予め設定された各制御コマンドデータの取りうる値の範囲の組合せに含まれていることである
    　ことを特徴とする請求項１３に記載の車載中継装置。
  15. 　前記車載中継装置は、
    　予め設定された前記異常判定のための条件を複数パターン備え、
    　受信データから車両の状態を判定し、
    　前記判定された車両の状態に応じて、前記複数パターンから一つのパターンを選んで前記異常判定のための条件とする
    　ことを特徴とする請求項１３に記載の車載中継装置。
  16. 　前記車両の状態の判定は、
    　前記複数の制御ネットワークから受信したデータを解析することにより行われる
    　ことを特徴とする請求項１５に記載の車載中継装置。
PCT/JP2017/027120 2017-07-26 2017-07-26 制御ネットワークシステム、車両遠隔制御システム及び車載中継装置 WO2019021403A1 (ja)

Priority Applications (6)

Application Number Priority Date Filing Date Title
PCT/JP2017/027120 WO2019021403A1 (ja) 2017-07-26 2017-07-26 制御ネットワークシステム、車両遠隔制御システム及び車載中継装置
JP2018098026A JP7133977B2 (ja) 2017-07-26 2018-05-22 車載中継装置、車載監視装置、車載制御ネットワークシステム、通信監視方法及びプログラム
CN201880004048.6A CN109906587B (zh) 2017-07-26 2018-07-19 车载中继装置、车载监视装置、车载控制网络***、通信监视方法以及计算机可读取记录介质
EP18838223.8A EP3661132A4 (en) 2017-07-26 2018-07-19 VEHICLE MOUNTED RELAY DEVICE, VEHICLE MOUNTED MONITORING DEVICE, VEHICLE MOUNTED CONTROL NETWORK SYSTEM, COMMUNICATION MONITORING PROCESS AND PROGRAM
PCT/JP2018/027011 WO2019021921A1 (ja) 2017-07-26 2018-07-19 車載中継装置、車載監視装置、車載制御ネットワークシステム、通信監視方法及びプログラム
US16/734,435 US11381420B2 (en) 2017-07-26 2020-01-06 In-vehicle relay device, in-vehicle monitoring device, in-vehicle network system, communication monitoring method, and recording medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2017/027120 WO2019021403A1 (ja) 2017-07-26 2017-07-26 制御ネットワークシステム、車両遠隔制御システム及び車載中継装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/027011 Continuation WO2019021921A1 (ja) 2017-07-26 2018-07-19 車載中継装置、車載監視装置、車載制御ネットワークシステム、通信監視方法及びプログラム

Publications (1)

Publication Number Publication Date
WO2019021403A1 true WO2019021403A1 (ja) 2019-01-31

Family

ID=65040083

Family Applications (2)

Application Number Title Priority Date Filing Date
PCT/JP2017/027120 WO2019021403A1 (ja) 2017-07-26 2017-07-26 制御ネットワークシステム、車両遠隔制御システム及び車載中継装置
PCT/JP2018/027011 WO2019021921A1 (ja) 2017-07-26 2018-07-19 車載中継装置、車載監視装置、車載制御ネットワークシステム、通信監視方法及びプログラム

Family Applications After (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/027011 WO2019021921A1 (ja) 2017-07-26 2018-07-19 車載中継装置、車載監視装置、車載制御ネットワークシステム、通信監視方法及びプログラム

Country Status (5)

Country Link
US (1) US11381420B2 (ja)
EP (1) EP3661132A4 (ja)
JP (1) JP7133977B2 (ja)
CN (1) CN109906587B (ja)
WO (2) WO2019021403A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114467263A (zh) * 2019-10-28 2022-05-10 住友电气工业株式会社 中继装置、车载通信***、车辆及车载通信方法
CN114556982A (zh) * 2019-10-28 2022-05-27 住友电气工业株式会社 中继装置、车载通信***、车辆及车载通信方法

Families Citing this family (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108196967B (zh) * 2017-12-12 2023-04-18 深圳市道通科技股份有限公司 基于车辆总线的通讯方法、装置和计算机设备
CN111466107A (zh) * 2017-12-15 2020-07-28 通用汽车环球科技运作有限责任公司 用于载具内控制器的以太网网络剖析入侵检测控制逻辑和架构
WO2019225257A1 (ja) 2018-05-23 2019-11-28 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知装置、異常検知方法およびプログラム
JP2020050048A (ja) * 2018-09-25 2020-04-02 株式会社オートネットワーク技術研究所 中継装置システム
JP6962301B2 (ja) * 2018-09-25 2021-11-05 株式会社オートネットワーク技術研究所 中継装置
CN111835627B (zh) * 2019-04-23 2022-04-26 华为技术有限公司 车载网关的通信方法、车载网关及智能车辆
KR20200143881A (ko) * 2019-06-17 2020-12-28 현대자동차주식회사 제어기 통신 장치 및 그 방법
JP7283988B2 (ja) * 2019-06-18 2023-05-30 日立Astemo株式会社 車両用制御装置
JP7120171B2 (ja) * 2019-07-09 2022-08-17 トヨタ自動車株式会社 車載ネットワークシステム
JP7342476B2 (ja) * 2019-07-18 2023-09-12 マツダ株式会社 車載ネットワークシステム
CN113994720B (zh) * 2019-08-01 2024-01-09 住友电气工业株式会社 中继装置、车辆通信***、车辆、通信方法及通信程序
CN112468528B (zh) * 2019-09-06 2022-03-18 比亚迪股份有限公司 车辆的双路WiFi实现方法以及车载信息娱乐***
CN112477781B (zh) * 2019-09-12 2022-08-26 华为技术有限公司 实现汽车中电子控制功能的***、方法以及汽车
WO2021055955A1 (en) 2019-09-20 2021-03-25 Sonatus, Inc. System, method, and apparatus to extra vehicle communications control
US11538287B2 (en) 2019-09-20 2022-12-27 Sonatus, Inc. System, method, and apparatus for managing vehicle data collection
WO2021070914A1 (ja) * 2019-10-09 2021-04-15 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 機器監視方法、機器監視装置、及びプログラム
JP7192747B2 (ja) * 2019-11-13 2022-12-20 株式会社オートネットワーク技術研究所 車載中継装置及び情報処理方法
JP7251489B2 (ja) * 2020-01-21 2023-04-04 株式会社オートネットワーク技術研究所 車載無線通信装置、無線通信システム、無線通信装置及び車両制御方法
US11772583B2 (en) 2020-03-06 2023-10-03 Sonatus, Inc. System, method, and apparatus for managing vehicle automation
EP4231595A4 (en) * 2020-10-19 2023-11-15 Nissan Motor Co., Ltd. RELAY DEVICE, COMMUNICATION NETWORK SYSTEM, AND COMMUNICATION CONTROL METHOD
JP2022091585A (ja) * 2020-12-09 2022-06-21 トヨタ自動車株式会社 車両通信用中継装置、車両通信用中継方法及びプログラム
JP2022148589A (ja) * 2021-03-24 2022-10-06 村田機械株式会社 無線通信システム、コントローラ、無線基地局、及びデータパケット転送方法
CN113176987B (zh) * 2021-04-29 2023-09-15 华人运通(上海)云计算科技有限公司 车控指令块的日志处理方法、装置、设备及存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003195909A (ja) * 2001-12-27 2003-07-11 Denso Corp インターフェイス装置
JP2015067187A (ja) * 2013-09-30 2015-04-13 株式会社デンソー 車両制御システム
JP2015154481A (ja) * 2014-02-13 2015-08-24 現代自動車株式会社Ｈｙｕｎｄａｉｍｏｔｏｒ Ｃｏｍｐａｎｙ 車両でのイーサネットとｃａｎ通信との間の信号変換を行うプロセッサ及び信号変換方法

Family Cites Families (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010166160A (ja) * 2009-01-13 2010-07-29 Toyota Motor Corp 車載ゲートウェイ装置、車両制御システム、及び車両制御方法
US8654797B2 (en) * 2009-04-08 2014-02-18 Toyota Jidosha Kabushiki Kaisha Data relay device and data relay method used in the device
JP2012026842A (ja) * 2010-07-22 2012-02-09 Sony Corp 情報処理装置、情報処理方法、及びプログラム
CN102572744B (zh) * 2010-12-13 2014-11-05 ***通信集团设计院有限公司 识别特征库获取方法、装置及短消息识别方法、装置
JP2014058210A (ja) * 2012-09-18 2014-04-03 Hitachi Automotive Systems Ltd 車両制御装置および車両制御システム
CN106170953B (zh) * 2014-04-17 2019-10-18 松下电器（美国）知识产权公司 车载网络***、网关装置以及不正常检测方法
CN105594156B (zh) 2014-05-08 2020-01-21 松下电器（美国）知识产权公司 车载网络***、电子控制单元及不正常检测方法
EP3337102B1 (en) * 2014-12-01 2020-03-25 Panasonic Intellectual Property Corporation of America Illegality detection electronic control unit, car onboard network system, and illegality detection method
JP2016111477A (ja) * 2014-12-04 2016-06-20 トヨタ自動車株式会社 通信システム、及びゲートウェイ
JP6594732B2 (ja) * 2015-01-20 2019-10-23 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正フレーム対処方法、不正検知電子制御ユニット及び車載ネットワークシステム
JP6477281B2 (ja) * 2015-06-17 2019-03-06 株式会社オートネットワーク技術研究所 車載中継装置、車載通信システム及び中継プログラム
US10298612B2 (en) * 2015-06-29 2019-05-21 Argus Cyber Security Ltd. System and method for time based anomaly detection in an in-vehicle communication network
CN108370339B (zh) 2015-11-25 2021-06-18 日立汽车***株式会社 车载网关装置、电子控制装置、车载网络***
CN105320050A (zh) * 2015-11-27 2016-02-10 奇瑞汽车股份有限公司 一种基于网关的车辆功能集中控制方法
JP2017174111A (ja) * 2016-03-23 2017-09-28 株式会社東芝 車載ゲートウェイ装置、蓄積制御方法およびプログラム
JP6962697B2 (ja) * 2016-05-27 2021-11-05 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカPanasonic Intellectual Property Corporation of America ネットワークハブ、転送方法及び車載ネットワークシステム
EP3523943A4 (en) * 2016-10-07 2020-05-27 Vitanet Japan, Inc. DATA PROCESSING WITH DEFINED DATA DEFINITIONS
JP7124303B2 (ja) * 2017-12-04 2022-08-24 トヨタ自動車株式会社 車載中継装置、情報処理装置、中継装置、情報処理方法、プログラム、情報処理システム、及び車両
JP7131372B2 (ja) * 2018-12-25 2022-09-06 住友電装株式会社 車載通信装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003195909A (ja) * 2001-12-27 2003-07-11 Denso Corp インターフェイス装置
JP2015067187A (ja) * 2013-09-30 2015-04-13 株式会社デンソー 車両制御システム
JP2015154481A (ja) * 2014-02-13 2015-08-24 現代自動車株式会社Ｈｙｕｎｄａｉｍｏｔｏｒ Ｃｏｍｐａｎｙ 車両でのイーサネットとｃａｎ通信との間の信号変換を行うプロセッサ及び信号変換方法

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114467263A (zh) * 2019-10-28 2022-05-10 住友电气工业株式会社 中继装置、车载通信***、车辆及车载通信方法
CN114556982A (zh) * 2019-10-28 2022-05-27 住友电气工业株式会社 中继装置、车载通信***、车辆及车载通信方法
CN114467263B (zh) * 2019-10-28 2023-08-29 住友电气工业株式会社 中继装置、车载通信***、车辆及车载通信方法

Also Published As

Publication number Publication date
CN109906587B (zh) 2022-05-13
EP3661132A1 (en) 2020-06-03
CN109906587A (zh) 2019-06-18
EP3661132A4 (en) 2020-08-05
JP7133977B2 (ja) 2022-09-09
JP2019029994A (ja) 2019-02-21
WO2019021921A1 (ja) 2019-01-31
US11381420B2 (en) 2022-07-05
US20200145252A1 (en) 2020-05-07

Similar Documents

Publication Publication Date Title
WO2019021403A1 (ja) 制御ネットワークシステム、車両遠隔制御システム及び車載中継装置
US11539727B2 (en) Abnormality detection apparatus and abnormality detection method
CN108886480B (zh) 异常检测电子控制单元、车载网络***以及异常检测方法
EP3923550A1 (en) In-vehicle communication system and method, and device
CN106515738B (zh) 车道变换交涉
US11398116B2 (en) Anomaly detection electronic control unit, in-vehicle network system, and anomaly detection method
EP2178257B1 (en) Routing method in in-vehicle gateway device
WO2019142458A1 (ja) 車両監視装置、不正検知サーバ、および、制御方法
US9843523B2 (en) Communication management apparatus and communication management method for vehicle network
US9776639B2 (en) Method, and apparatus, and system for generating driving behavior guiding information
JP6460080B2 (ja) 車載ネットワークシステム
WO2017038351A1 (ja) 車載ネットワーク装置
CN111448783A (zh) 车载网络异常检测***及车载网络异常检测方法
JP2018098733A (ja) 車載ネットワークシステム
JP2019008618A (ja) 情報処理装置、情報処理方法及びプログラム
US9735976B2 (en) Method and device for vehicle communication
KR101073291B1 (ko) 차량 내부의 네트워크 시스템 및 그 제어방법
JP2014031077A (ja) 車両動作検証システム
JP6783578B2 (ja) 車両制御システム
CN112537316A (zh) 用于至少部分自动化地引导机动车的方法
WO2016147723A1 (ja) 通信システム
JP6519830B1 (ja) 電子制御装置、監視方法、プログラム及びゲートウェイ装置
JP2019209961A (ja) 情報処理装置、監視方法、プログラム及びゲートウェイ装置
US20220404825A1 (en) Method for remotely controlling a robot
WO2021019636A1 (ja) セキュリティ装置、インシデント対応処理方法、プログラム、及び記憶媒体

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17919625

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 17919625

Country of ref document: EP

Kind code of ref document: A1