CN103580911A - 通信系统及通信方法 - Google Patents

Abstract

网关连接多个通信线，并且在这些通信线之间相互中继通信报文。将从多个通信线中的一个通信线即第1通信线输入到网关的通信报文作为第1通信报文。网关生成中继用通信报文。中继用通信报文将表示第1通信线的第1路径信息和表示第1通信报文输入了网关这一情况的第2路径信息包含在第1通信报文中。网关进而将中继用通信报文转发到第1通信线以外的一个或多个通信线。通信装置基于接收到的通信报文所包含的第1路径信息和第2路径信息来判断接收到的通信报文的可靠性。

Description

通信系统及通信方法

技术领域

本发明涉及一种通信系统，其具有以网络连接的方式搭载于车辆等的多个电子控制装置。进而涉及一种通信方法。

背景技术

众所周知，搭载于车辆的多个电子控制装置（ECU）大多通过各自互相网络连接来构成可使这些电子控制装置具有的信息（车辆信息）相互通信的通信系统。即，这种通信系统构成为将ECU设为通信装置的车辆网络系统。作为这种车辆网络系统之一，包括控制器局域网（CAN）。

由CAN构成的通信系统中，在连接的ECU增加等而使系统构成变得复杂时，存在难以检测或确定上述通信系统中产生的异常、与上述通信系统连接的非法ECU等的倾向。因此，现有技术中也提出了对通信系统中产生的异常等进行检测的技术等，专利文献1中记载了一例。

专利文献1所述的通信系统（车载通信网络系统）的目的是检测网络系统的异常部位。在该通信系统中设有：网关，连接多个总线，并且在该多个总线之间中继通信报文；一个以上的ECU，以能够进行基于通信报文的通信的方式与各总线连接；外部诊断器，与网关连接。网关基于从外部诊断器输入的连接确认要求信号，向各总线的各ECU输出答复要求信号。ECU根据接收到的答复要求信号，向所连接的总线输出包括上述ECU中固有的发送源标识符数据在内的答复信号。并且，网关通过向外部诊断器输出各总线接收到的答复信号所包含的发送源标识符数据或预先存储的各总线的存储值与该发送源识别数据的比较结果来确定无法通信的ECU。

现有技术文献

专利文献

专利文献1：日本特开2010-206697号公报

发明内容

然而，在CAN中，共享作为通信线路的总线的各ECU能够通过各自的判断而在总线上传送报文，因此从各ECU向总线发送报文较容易。因此，例如通过向CAN的总线连接非法的ECU，也能够向上述总线发送非法的报文，需要实时地防止这种非法报文的通信。但是，如上述专利文献1记载的通信系统那样，若基于从外部诊断器输入的连接要求确认信号的发出等来进行异常的检测，则难以实时进行异常的检测。也存在通过加密通信报文来防止非法报文的通信的方法。但是，若实时执行处理负荷高的加密处理，则ECU中的负荷的增大也无法忽略。

这样的问题不仅在CAN中而且在网络连接的通信装置彼此之间进行通信报文的收发的通信系统中，是大致共同的问题。

本发明的目的在于提供一种能够以低负荷且实时的处理来确保通信报文的可靠性的通信系统及通信方法。

根据本发明的一方面，提供一种通信系统，具有一个或多个通信装置及一个或多个网关。通信装置构成为，与通信线连接、且经由通信线进行基于通信报文的通信，网关构成为，连接多个通信线、且在这些通信线之间相互中继通信报文，在将从多个通信线中的一个通信线即第1通信线输入到网关的通信报文作为第1通信报文时，网关构成为生成中继用通信报文，中继用通信报文将表示第1通信线的第1路径信息和表示第1通信报文输入了网关这一情况的第2路径信息包含在第1通信报文中，网关进一步构成为，将中继用通信报文转发到第1通信线以外的一个或多个通信线，通信装置构成为，基于接收到的通信报文所包含的第1路径信息和第2路径信息来判断接收到的通信报文的可靠性。

根据本发明的另一方面，提供一种在通信系统中使用的通信方法。通信系统具有一个或多个通信装置及一个或多个网关，通信装置与通信线连接、且经由通信线进行基于通信报文的通信，网关连接多个通信线、且在这些通信线之间相互中继通信报文，在将从多个通信线中的一个通信线即第1通信线输入到网关的通信报文作为第1通信报文时，所述通信方法包括：通过网关而生成中继用通信报文，在中继用通信报文中，将表示第1通信线的第1路径信息和表示第1通信报文输入了网关这一情况的第2路径信息包含在第1通信报文中；将所生成的中继用通信报文从网关转发到第1通信线以外的一个或多个通信线；使接收到中继用通信报文的通信装置基于接收到的通信报文所包含的第1路径信息和第2路径信息来判断接收到的通信报文的可靠性。

根据这种构成或方法，通信报文的可靠性的判断可基于表示使通信报文输入到网关的通信线的第1路径信息和表示通信报文输入了网关这一情况的第2路径信息来进行。即，基于通信报文所通过的路径来验证接收到的通信报文，从而实时地判断接收到的通信报文的可靠性。例如，通过实时地判断，在通信装置中，可中止通过了规定路径以外的通信报文的处理。

并且，只基于仅表示通信路径的信息即第1路径信息和第2路径信息来判断通信报文的可靠性，因此能够以负荷低的处理来判断通信报文的可靠性。

在一个方式中，在通信装置中设定与多个通信线的各第1路径信息分别对应的通信线信息，通信装置构成为，基于接收到的通信报文所包含的第1路径信息是否与所设定的通信线信息对应来判断接收的通信报文的可靠性。

根据该构成，基于第1路径信息是否与设定于通信装置的通信线信息对应，例如基于第1路径信息和所设定的通信线信息的比较，来判断通信报文的可靠性，因此可降低判断涉及的数据处理的负荷。

在一个方式中，在通信装置中设定与网关的各第2路径信息对应的网关信息，通信装置构成为，基于接收到的通信报文所包含的第2路径信息是否与所设定的网关信息对应来判断接收到的通信报文的可靠性。

根据该构成，基于第2路径信息和网关信息的处理，例如基于对第2路径信息与所设定的网关信息进行比较的处理，可判断通信报文的可靠性，因此可降低判断涉及的数据处理的负荷。

在一个方式中，通信报文作为控制器局域网的协议而构成。

根据该构成，可将低负荷且实时性的通信报文的可靠性的判断适用于以大多只具有所需最低限度的处理能力的ECU为通信装置的车载网络所采用的CAN协议的通信系统。

在一个方式中，网关构成为，在由协议规定的通信报文的数据段中具有第1路径信息，通信装置构成为，从通信报文的数据段获取第1路径信息。

根据该构成，在CAN协议中，能够使用户可自由设定内容的数据域的数据段包含第1路径信息，因此能够以较高的自由度进行使通信报文包含第1路径信息的处理。

在一个方式中，网关构成为，将由协议规定的通信报文的报文ID变更为包括第2路径信息的报文ID，通信装置构成为，从通信报文所包含的被变更后的报文ID获取第2路径信息。

根据该构成，可基于变更后的报文ID获取第2路径信息，因此使用第2路径信息进行通信报文的可靠性的判断变得容易。在CAN协议中，报文ID被进行实时处理，因此可迅速进行使用了第2路径信息的通信报文的可靠性的判断。

在一个方式中，通信报文是扩展格式，报文ID是与由扩展格式规定的扩展ID域对应的部分进行了变更的报文ID。

根据该构成，报文ID的扩展ID部分可基于第2路径信息进行变更，而通过标准格式使用的标准ID部分不变更。即，在通信系统中，可抑制对其他通信报文的影响并能够基于第2路径信息等判断通信报文的可靠性。

在一个方式中，网关将从第1通信线输入的通信报文的信息与第1路径信息一起作为日志数据进行保存，并且，通信装置将接收到的通信报文的信息与接收到的通信报文所包含的第1路径信息及第2路径信息一起作为日志数据进行保存。

根据该构成，通信报文的中继、接收作为时间序列数据（日志数据）记录于日志中，因此即使事后也可评价通信报文的可靠性。

在一个方式中，通信系统构成为，定期地基于规定规则来解析日志数据，通信系统进一步构成为，以通过解析所得到的解析结果来替换日志数据。

根据该构成，作为日志存储的数据的内容由解析结果进行替换，从而可减少作为日志存储的数据容量。因此，能够在存储容量的富余量较少的ECU中保存日志数据。

在一个方式中，通信装置构成为，获取保存于网关的日志数据，通信装置进一步构成为，通过比较所获取的日志数据与保存于通信装置的日志数据来评价通信报文的可靠性。

根据该构成，可根据网关的日志数据与通信装置的日志数据来验证通信报文的路径，因此可验证通信报文的可靠性。因此，可更高地确保通信报文的可靠性。

附图说明

图1是概略表示将本发明涉及的通信系统具体化的第1实施方式的框图。

图2是表示图1的网关的概略构成的框图。

图3是表示在图1的通信系统中收发的通信报文的数据格式的示意图。

图4是表示在图3的通信报文中包含总线信息的方式的示意图。

图5（a）是表示图4的通信报文所包含的报文ID的示意图，是在图4的通信报文中包含附加了ECU的发送用报文ID的示意图。

图5（b）是在图4的通信报文中包含附加了网关的中继用报文ID的示意图。

图5（c）是在图4的通信报文中包含附加了网关的中继用报文ID的示意图。

图6是表示图1的ECU的概略构成的框图。

图7是表示在图1的通信系统中处理通信报文的步骤的程序图。

图8是表示将本发明涉及的通信系统具体化的第2实施方式中的网关的概略构成的框图。

图9是表示在图8的网关中收发通信报文的ECU的概略构成的框图。

图10是表示将本发明涉及的通信系统具体化的其他实施方式中的通信报文的数据格式的示意图。

附图标记说明

1 车辆

10 网关（GW）

11 信号接收部

11A 日志获取部

12 信号变更部

13 存储装置

14 总线信息

16 日志

17 日志解析部

20 第1总线

21、22、31、32、41、42 电子控制装置（ECU）

20、30、40、50 总线

51 车载式故障诊断装置（OBD）

52 数据链路连接器（DLC）

53、54 通信装置

411 信号接收部

412 判断部

413 信号处理部

414 存储装置

415 日志解析部

416 通信线信息

417 网关信息

418 日志

419、420 日志获取部

M1、M2 通信报文

具体实施方式

（第1实施方式）

图1～图7说明将本发明涉及的通信系统具体化的第1实施方式。

如图1所示，车辆1具备作为通信系统的车载网络系统。首先说明本实施方式中的车载网络系统的通信规格。

车载网络系统被构成为适用CAN（Controller Area Network：控制器局域网）协议作为通信协议的网络。在CAN协议中，通过通信报文的收发进行通信装置彼此之间的通信，通信报文由帧构成，该帧是通过CAN协议作为通信的一个单位而被规定的。在CAN协议中，定义多个帧，其中包括用于数据转发的数据帧。例如，如图3所示，在标准格式的数据帧中，用于通信报文的识别的“报文ID”（CAN ID）的存储区即“ID域”以11位的大小进行设置，转发的数据的存储区即“数据域”（数据段）以0～64位范围的大小进行设置。

接着说明本实施方式中的车载网络系统的构成。

如图1所示，在车载网络系统中设有：作为通信线的通信用的总线即第1总线20、第2总线30、第3总线40及第4总线50；网关（GW）10，以能够通信的方式与这些第1～第4总线20、30、40、50连接。第1～第4总线20、30、40、50是可传送CAN协议的通信报文的总线，例如是对绞电缆。

第1～第3总线20、30、40分别连接有作为一个或多个通信装置的电子控制装置（ECU）使得能够经由上述总线而与其他ECU之间进行通信。即，第1总线20连接有作为通信装置的第21及第22ECU21、22，第2总线30连接有作为通信装置的第31及第32ECU31、32，第3总线40连接有作为通信装置的第41及第42ECU41、42。因此，例如，第21ECU21可将发送用通信报文M1向第1总线20发送，第41ECU41可从第3总线40接收通信报文M2。第21ECU21可接收通信报文，第41ECU41可发送通信报文。在CAN协议中，与同一总线连接的多个ECU经由将它们连接的总线可相互收发通信报文。

车载式故障诊断装置（OBD）51以能够通信的方式与第4总线50连接，并且在第4总线50设有数据链路连接器（DLC）52，数据链路连接器（DLC）52是使外部设备以能够通信的方式与车载网络系统连接的连接器。因此，例如，与数据链路连接器52连接的外部设备53、54可经由数据链路连接器52向第4总线50发送通信报文M3。外部设备53、54可经由数据链路连接器52接收通信报文。

在本实施方式中，第1总线20是连接传感系统的ECU的传感系统的总线，第2总线30是连接行驶系统的ECU的行驶系统的总线。第3总线40是连接驱动系统的ECU的驱动系统的总线，第4总线50是连接信息设备系统的ECU、连接诊断装置、外部设备等的信息设备系统的总线。

网关（GW）10是将从一个总线输入的通信报文输出到其他总线的装置，是所谓在总线之间中继通信报文的装置。即，网关10从连接的第1～第4总线20、30、40、50接收通信报文，并且将接收到的上述通信报文转发到输入了通信报文的总线以外的总线。例如，网关10可将从第1总线20输入的发送用通信报文M1作为中继用通信报文M2分别输出到第2～第4总线30、40、50。这种情况下，中继用通信报文M2是与发送用通信报文M1对应的通信报文，是由网关10实施了必要处理后的通信报文。中继用通信报文M2也可是与发送用通信报文M1相同的报文。

这样一来，网关10使通信报文在不同的总线之间转发，从而即使在连接于不同总线的多个ECU之间，也可相互收发（即发送和接收）通信报文。

第21～第42ECU21～42分别是用于车辆1的各种控制的控制装置，例如是以驱动系统、行驶系统、传感系统、信息设备系统等作为控制对象的ECU。例如，作为以驱动系统为控制对象的ECU，可列举发动机用ECU，作为以行驶系统为控制对象的ECU，可列举转向用ECU、制动用ECU。作为传感系统的ECU，可列举连接温度传感器、速度传感器等传感器类的ECU。作为以信息设备系统为控制对象的ECU，可列举汽车导航用ECU等。

在本实施方式中，第21及第22ECU21、22是传感系统的ECU，与传感系统的总线即第1总线20连接。第31及第32ECU31、32是行驶系统的ECU，与行驶系统的总线即第2总线30连接。进而，第41及第42ECU41、42是驱动系统的ECU，与驱动系统的总线即第3总线40连接。第21～第42ECU21～42具有相同的构造，因此以下说明第41ECU41的构造，省略其他ECU21～32、42的构造说明。

车载式故障诊断装置51是进行车辆状态等的诊断的诊断设备，作为正规的通信装置，由厂商等搭载到车辆1上。

数据链路连接器52是使外部设备53、54以可通信的方式连接于第4总线50的连接端子，数据链路连接器52可连接厂商、汽车经销商等准备的正规的通信装置53。作为正规的通信装置53，例如可列举外部诊断设备、升级软件的设备等。数据链路连接器52也可连接用户准备的非正规的通信装置54。作为非正规的通信装置54，例如可列举非正规的检测器、智能手机（多功能通信设备）等。该车载式故障诊断装置51、数据链路连接器52与信息设备系统的总线即第4总线50连接。

此外，非正规的通信装置54输出到总线的通信报文对车载网络系统的影响、尤其是不良影响的验证有可能不充分。特别是智能手机，用户可从因特网任意选择并执行速度显示等应用软件，该应用软件在车载网络系统中进行通信。该应用软件进行与CAN协议不匹配的通信报文的发送、使通信产生不良状况的通信报文的发送、恶意功能的通信报文的发送等，从而有可能对车载网络系统造成不良影响。

如图2所示，网关10设有：信号接收部11，与第1～第4总线20、30、40、50（仅图示第1总线20）连接；和信号变更部12，对从所连接的信号接收部11输入的发送用通信报文M1进行规定处理并将生成的中继用通信报文M2输出（转发）到总线。并且，网关10设有存储装置13，该存储装置13存储信号变更部12生成中继用通信报文M2时所使用的各种信息。

存储装置13中设定有：作为与第1～第4总线20、30、40、50分别对应的多个第1路径信息的总线信息14；和作为多个第2路径信息的中继用报文ID15，上述多个第2路径信息与第21ECU21对所输入的发送用通信报文M1（参照图3）附加的发送用报文ID对应。

各总线信息14被设定为彼此不同的值。例如以二进制数表示时，作为总线信息，对第1总线20设定“00”，对第2总线30设定“01”，对第3总线40设定“10”，对第4总线50设定“11”。

中继用报文ID15是与发送用通信报文M1所附的报文ID建立了对应的报文ID。中继用报文ID15是以能够根据该值（ID）识别被中继的网关的方式固有地设定于网关10的值。例如，当存在其他网关时，对其他网关设定与网关10用的中继用报文ID15不同的值。例如，在网关10中，作为与第21ECU21附加于发送用通信报文M1的发送用报文ID“0×020”（参照图5）对应的中继用报文ID15，设定有“0×021”及“0×022”（参照图5（b）及图5（c））这两个值。中继用报文ID15中的“0×021”是在想要使接收到该报文ID的ECU基于总线路径的适当与否来判断通信报文的可靠性时附加于中继用通信报文M2的报文ID。另一方面，中继用报文ID15中的“0×022”是在不需要使接收到该报文ID的ECU基于总线路径的适当与否来判断通信报文的可靠性时附加于中继用通信报文M2的报文ID。网关10通过切换中继用报文ID15来指定ECU是否需要判断通信报文的可靠性。因此，可调整是否使ECU进行多少产生负荷的总线路径适当与否的判断，即，可调整ECU的负荷。

信号接收部11判定输入了接收到的通信报文的总线。例如，当从第21ECU21发送的发送用通信报文M1从第1总线20输入到网关10时，信号接收部11检测从第1总线20输入了发送用通信报文M1这一情况。并且，信号接收部11将该输入的总线的检测结果与发送用通信报文M1一起传送到信号变更部12。

信号变更部12对接收到的发送用通信报文M1实施规定处理。规定处理包括在接收到的发送用通信报文M1中包含总线信息的处理及在接收到的发送用通信报文M1中包含网关信息的处理。在包含总线信息的处理中，选择与从信号接收部11传送的总线的检测结果对应的总线信息14，基于该所选择的总线信息14和发送用通信报文M1来生成中继用通信报文M2。在包含网关信息的处理中，选择与发送用通信报文M1的报文ID对应的中继用报文ID15。该所选择的中继用报文ID15从发送用通信报文M1的报文ID进行替换而设成中继用通信报文M2、即M2a、M2b、或M2c的报文ID。

如图4所示，信号变更部12在包含总线信息的处理中，在发送用通信报文M1的“数据域”的最后2位处写入所选择的总线信息14。例如，由于从第1总线20输入了发送用通信报文M1，因此在发送用通信报文M1的“数据域”的最后2位处写入“00”。即，信号变更部12将接收到的发送用通信报文M1变更为包含了总线信息14的中继用通信报文M2。

如图5所示，信号变更部12在包含网关信息的处理中，将中继用通信报文M2的报文ID变更为所选择的中继用报文ID15。例如，发送用通信报文M1的报文ID“0×020”由中继用报文ID即“0×021”或“0×022”替换。即，作为包括总线信息14的中继用通信报文M2，信号变更部12生成以下中的任一个：将报文ID原封不动地保持为“0×020”的中继用通信报文M2a；将报文ID设为“0×021”的中继用通信报文M2b；将报文ID设为“0×022”的中继用通信报文M2c。

本实施方式包含网关信息的处理如下设定：使发送用通信报文M1的报文ID“0×020”变更为表示需要由接收到报文的ECU判断总线路径的适当与否的中继用报文ID“0×021”。

如图6所示，在第41ECU41设置与第3总线40连接的信号接收部411和与信号接收部411连接的判断部412。信号接收部411接收从第3总线40输入的中继用通信报文M2。判断部412对从信号接收部411发送的通信报文进行总线路径的适当与否的判断。在第41ECU41进一步设置：与信号接收部411和判断部412连接的信号处理部413；及存储装置414。信号处理部413处理接收到的通信报文所包含的数据。存储装置414存储通信报文的可靠性判断所需的信息等。

信号处理部413构成为包括微型计算机，且具有进行各种处理的运算装置、对运算结果及提供各种控制功能的程序等进行保持的存储装置。在信号处理部413中，提供规定控制功能的程序在运算装置中被执行处理，从而提供上述规定控制功能。因此，信号处理部413将保持于存储装置的控制用程序读入到运算装置并执行，从而向控制对象提供该程序的功能，并进行上述控制对象的控制。此外，程序可对从中继用通信报文M2获得的其他ECU发送的数据进行处理，或者根据通过各种处理获得的数据来生成发送用通信报文并发送到第3总线40。

存储装置414中设定有通信线信息416，该通信线信息416对应于与第1～第4总线20、30、40、50分别对应的总线信息14中的、允许向第41ECU41输入通信报文M2的总线信息14。例如，存储装置414中，作为通信线信息416，设定有与第1总线20对应的值“00”（二进制数）和与第2总线30对应的值“01”（二进制数）。在存储装置414中设定与第41ECU41需要接收的通信报文的报文ID对应的网关信息417，例如，作为网关信息417，设定有发送用报文ID“0×020”和中继用报文ID15中的“0×021”及“0×022”。

信号接收部411是接收在第3总线40中流动的中继用通信报文M2等的部分，与所谓CAN控制器的接收功能对应。省略与CAN控制器的发送功能对应的部分的图示。信号接收部411基于中继用通信报文M2的报文ID是否包含在网关信息417中来判断“中继用通信报文M2是否为第41ECU41所需”。信号接收部411在判断为“中继用通信报文M2为第41ECU41所需”时，获取中继用通信报文M2，而当判断为“中继用通信报文M2不为第41ECU41所需”时，不获取接收到的中继用通信报文M2而废弃。

在本实施方式中，基于中继用通信报文M2的报文ID来判断是否需要进行总线路径的适当与否的判断。即，信号接收部411在中继用报文ID15为“0×021”的情况下，即中继用通信报文M2b的情况下，判断为“需要进行总线路径的适当与否的判断”而将中继用通信报文M2b传送到判断部412。另一方面，信号接收部411在中继用报文ID15为“0×022”的情况下，即中继用通信报文M2c的情况下，判断为“不需要进行总线路径的适当与否的判断”而将中继用通信报文M2传送到信号处理部413。信号接收部411在报文ID为“0×020”的情况下，即中继用通信报文M2a的情况下，判断为“不判断总线路径的适当与否”而将中继用通信报文M2等传送到信号处理部413。当中继用通信报文M2的报文ID是中继用通信报文M2a时，中继用通信报文M2未被网关10中继。因此，信号接收部411可认为“通信路径不适当”而废弃中继用通信报文M2a。

这样一来，在信号接收部411中，判断是否基于中继用报文ID15来获取中继用通信报文M2。中继用报文ID15是附加到网关10所中继的通信报文中的报文ID，因此可确认“中继用通信报文M2在通信路径中由网关10进行了中继”。即，信号接收部411能够基于中继用通信报文M2是否由网关10进行了中继这一点来判断中继用通信报文M2的可靠性。

信号接收部411基于报文ID来进行是否需要接收的判断。通常情况下，通信报文的仲裁所使用的报文ID在CAN控制器中通过过滤等被实时且迅速地处理。通过利用如此地实时且迅速地进行的对报文ID的处理，可实时且迅速地进行通信报文的可靠性判断、是否需要判断总线路径的适当与否的判断。由CAN控制器执行的仲裁不会使ECU的信号处理部产生负荷，或者即使产生也很小，因此，如此地通过将报文ID用于通信报文的可靠性判断等中能够降低ECU的负荷。即，信号接收部411可实时、迅速、且低负荷地进行网关10有无中继的判断、及是否需要判断总线路径的适当与否的判断。

在从信号接收部411仅传送中继用通信报文M2b时，判断部412基于该传送的中继用通信报文M2b所包含的总线信息14来判断中继用通信报文M2b的可靠性。判断部412通过获取中继用通信报文M2b的“数据域”的最后的2位来判断上述所获取的2位的值是否包含在通信线信息416中。例如，假设第41ECU41中，允许输入从第1总线20、第2总线30发送的通信报文，而不允许输入从第4总线50发送的通信报文（M3）。在此情况下，若总线信息14是作为通信线信息416的值“00”或“01”，则判断部412将通信报文M2b传送到信号处理部413。另一方面，若总线信息14是作为通信线信息416的值“10”或“11”，则废弃通信报文M2b，不向信号处理部413传送。

例如，对从外部设备53、54经由第4总线50输入到网关10的发送用通信报文M3中，作为总线信息14附有“11”。因此，与发送用通信报文M3对应的中继用通信报文M2即使从信号接收部411传送到判断部412也被废弃。即，即使本来从第1总线20传送来的通信报文通过非法装置等经由第4总线50传送，上述通信报文也被判断部412废弃。因此，信号处理部413不会处理通信报文。

总线信息14的值“10”是与第3总线40对应的值。通常情况下，在连接有第41ECU41的第3总线40中流过的通信报文不会被网关10再次中继到第3总线40。因此，第41ECU41在连接有自身的第3总线40的总线信息14的值“10”包含在通信报文中的情况下，判断为“通信报文的通信路径是不适当的通信路径”。

图7说明本实施方式的作用。

如图7所示，与第1总线20连接的第21ECU21发送发送用通信报文M1（步骤S1）。因此，从第21ECU21发送的发送用通信报文M1经由第1总线20输入到与第1总线20连接的网关10。

网关10在信号接收部11中检测（识别）从“第1总线20”输入了发送用通信报文M1这一情况（步骤S2）。网关10在信号变更部12中，基于信号接收部11的检测结果和发送用通信报文M1来生成包括总线信息14的值“00”的中继用通信报文M2（步骤S3）。进而，网关10在信号变更部12中，选择与发送用通信报文M1的报文ID的值“0×020”对应的中继用报文ID15的值“0×021”，以所选择的中继用报文ID15来替换中继用通信报文M2的报文ID。因此，例如生成中继用通信报文M2b（步骤S4）。网关10中继如此生成的中继用通信报文M2b。即，网关10向第3总线40等输出即发送中继用通信报文M2b（步骤S5）。

发送到第3总线40的中继用通信报文M2b由第41ECU41接收。接收到中继用通信报文M2b的第41ECU41通过信号接收部411并基于中继用通信报文M2b的报文ID的值“0×021”来确认由网关10进行了中继这一情况，从而判断中继用通信报文M2b的可靠性。进而，判断是否判断总线路径的适当与否（步骤S6）。

在此情况下，由于中继用通信报文M2b的报文ID的值是“0×021”，因此，第41ECU41基于总线路径的适当与否来判断中继用通信报文M2b的可靠性。因此第41ECU41将中继用通信报文M2b传送到判断部412。传送了中继用通信报文M2b的判断部412从上述通信报文M2b的“数据域”获取总线信息14，从而判断是否包含在通信线信息416的值“00”或“01”中。在总线信息14为通信线信息416的值“00”或“01”的情况下，判断部412判断为“中继用通信报文M2b的总线路径适当”，从而将上述中继用通信报文M2b传送到信号处理部413（步骤S7）。因此，确认将中继用通信报文M2b输入到网关10的总线，并基于经过了输入到网关10的总线这一情况，来确保中继用通信报文M2b的可靠性。可靠性高的中继用通信报文M2b的数据等由信号处理部413处理。

另一方面，当总线信息14的值为“00”或“01”以外的情况下，判断部412判断为“中继用通信报文M2b的总线路径不适当”。因此，判断部412不将上述中继用通信报文M2b传送到信号处理部413而废弃。因此，可靠性低的中继用通信报文M2b由信号处理部413处理。因此可防止使车辆1的动作等产生不适感、不良等。

例如，在报文ID为“0×022”的中继用通信报文M2c的情况下，第41ECU41无需基于总线路径的适当与否来判断中继用通信报文M2c的可靠性，因此将中继用通信报文M2c传送到信号处理部413。因此，第41ECU41对网关10基于发送用通信报文M1所生成的两个中继用通信报文M2b、M2c以生成的次数、时间间隔等进行切换，从而可减轻因基于总线路径适当与否的判断而产生的第41ECU41的负荷。

本实施方式涉及的通信系统具有下述效果。

（1）第41ECU41基于表示向网关10输入了中继用通信报文M2的总线的总线信息14（第1路径信息）和表示中继用通信报文M2被输入了网关10这一情况的中继用报文ID15（第2路径信息）来判断中继用通信报文M2的可靠性。即，第41ECU41基于中继用通信报文M2所通过的路径来验证接收到的中继用通信报文M2。因此，第41ECU41实时判断接收到的中继用通信报文M2的可靠性。例如，通过实时判定，第41ECU41可中止通过了规定路径以外的中继用通信报文M2的处理。

并且，第41ECU41基于仅表示通信路径的信息的即总线信息14和中继用报文ID15来判断中继用通信报文M2的可靠性。因此，能够以低负荷的处理来判断中继用通信报文M2的可靠性。

（2）基于总线信息14与通信线416之间的比较来判断总线信息14是否与第41ECU41中设定的通信线信息416对应，从而判断中继用通信报文的可靠性。因此，判断涉及的数据处理的负荷降低。

（3）基于对中继用报文ID15和网关信息417进行比较的处理，可判定中继用通信报文M2的可靠性，因此可降低判断涉及的数据处理的负荷。

（4）可将低负荷、且具有实时性的中继用通信报文M2的可靠性的判断适用于以大多只具有必要的最低限度的处理能力的第41ECU41为通信装置的车载网络所采用的CAN协议的通信系统。

（5）在CAN协议中，由于能够使用户能够自由设定内容的“数据域”即数据段具有总线信息14，因此能够以较高的自由度进行使通信报文具有总线信息14的处理。

（6）可基于与通信用的报文ID对应地变更后的报文ID来获取中继用报文ID15，因此使用中继用报文ID15进行中继用通信报文M2的可靠性的判断变得容易。在CAN协议中，报文ID被实时处理，因此可迅速地进行使用了中继用报文ID15的中继用通信报文M2的可靠性的判断。

（第2实施方式）

图8及图9说明本发明涉及的通信系统。

在本实施方式中，与第1实施方式的构成的不同点在于，在网关10和第41ECU41设置获取与通信报文相关的日志数据的构成，其他构成相同。因此，以下，以与第1实施方式不同的点为中心进行说明，对同样的构成附加同样的附图标记，省略详细说明。

如图8所示，网关10在信号接收部11具有日志获取部11A。信号接收部11的日志获取部11A通过将发送用通信报文M1和输入了发送用通信报文M1的总线的检测结果建立关联而将其作为时间序列数据即日志16（日志数据）存储于存储装置13。也可取代发送用通信报文M1，日志获取部11A将与能够确定输入了发送用通信报文M1这一情况的发送用通信报文M1相关的信息和总线的检测结果建立关联而作为日志16存储于存储装置13。

日志解析部17定期解析存储装置13的日志16，并且解析的结果是，减少存储装置13的日志16的数据量。例如，日志解析部17在存储于存储装置13的日志16变为规定量、或经过了规定时间时，解析日志16的数据，将解析结果作为日志16存储到存储装置13，并且删除所解析的数据。因此，存储于储装置13的日志16的数据量减少。在日志数据的解析中，例如汇总同样的日志数据，或同样的内容仅保留最新的数据，或删除正常的日志数据。

因此，输入到信号接收部11的发送用通信报文M1的信息与所输入的总线信息一起存储到日志16。因此，即使是事后，也可验证发送用通信报文M1的可靠性。可防止产生未解析而被删除的数据。

如图9所示，第41ECU41在信号接收部411具有日志获取部419。信号接收部411的日志获取部419将中继用通信报文M2与中继用报文ID15一起作为时间序列数据即日志418（日志数据）记录于存储装置414。也可取代中继用通信报文M2，日志获取部419将与能够确定输入了中继用通信报文M2这一情况的中继用通信报文M2相关的信息作为日志418记录于存储装置414。

第41ECU41在判断部412具有日志获取部420。判断部412的日志获取部420通过将中继用通信报文M2（M2b）和“数据域”的总线信息14建立关联而作为时间序列数据即日志418（日志数据）存储到存储装置414。即，日志获取部420将总线信息14与已作为日志418存储的中继用通信报文M2（M2b）的数据建立关联而进行存储。

日志解析部415定期解析存储装置414的日志418，并且解析的结果是，减少存储装置414的日志418的数据量。例如，日志解析部415在存储于存储装置414的日志418变为规定量、或经过了规定时间时，解析日志418的数据，将解析结果作为日志418存储到存储装置414，并且删除所解析的日志数据。因此，存储于存储装置414的日志418的数据量减少。在日志数据的解析中，例如汇总同样的日志数据，或同样的内容仅保留最新的数据，或删除正常的日志数据。

因此，输入到信号接收部411的中继用通信报文M2的信息与总线信息14一起存储于日志418，因此，即使是事后，也可验证中继用通信报文M2的可靠性。可防止产生未解析而被删除的数据。

日志解析部415通过获取存储于网关10的日志16而与第41ECU41的日志418进行比较。因此，日志解析部415即使在事后也可判定中继用通信报文M2被网关10进行了中继这一情况。这样一来，可更恰当地验证（评价）中继用通信报文M2的可靠性。

如上所述，根据本实施方式的通信系统，除了之前的第1实施方式中所述的效果，还可获得以下所列举的效果。

（7）发送用通信报文M1的中继、中继用通信报文M2的接收分别作为时间序列数据（日志数据）记录于日志16、418中，因此即使是事后也可评价通信报文的可靠性。

（8）作为日志16、418而存储的数据的内容可被解析结果替换。因此，可减少作为日志16、418而存储的数据容量。因此，在存储容量的富余量较少的ECU中，能够保存日志数据。

（9）可根据网关10的日志16（日志数据）和第41ECU41的日志418（日志数据）来验证中继用通信报文M2的路径，因此可验证中继用通信报文M2的可靠性。从而更高地确保中继用通信报文M2的可靠性。

（其他实施方式）

此外，上述各实施方式也可以下述方式实施。

·在上述各实施方式中，例示了数据帧为标准格式、且设置有“ID域”和“数据域”的情况。但不限于此，也可将数据帧设为扩展格式，进而设置“扩展ID域”。

如图10所示，当数据帧为扩展格式的情况下，“扩展ID域”中可包含总线信息。通过将总线信息包含于“扩展ID域”，可防止“数据域”的一部分用于总线信息，即可防止能够存储于“数据域”数据变少。“扩展ID域”的大小为18位，因此可识别多个总线。

报文ID的扩展ID部分基于中继用报文ID进行变更，而通过标准格式所使用的标准ID的部分不会被变更。即，可抑制对通信系统中其他通信报文的影响并可以判定基于中继用报文ID的中继用通信报文的可靠性。因此，可提高通信系统的设计自由度。

·在上述各实施方式中，例示了设有第1～第4总线20、30、40、50共计四个总线的情况。但不限于此，若设于通信系统的总线个数为多个，则可是三个以下，也可是五个以上。因此，可提高通信系统的可适用性。

·在上述各实施方式中，例示了第1总线20是传感系统的总线、第2总线30是行驶系统的总线、第3总线40是驱动系统的总线、第4总线50是信息设备系统的总线的情况。但不限于此，与各总线连接的ECU等的系列（种类）也可以是除此以外的组合，也可在一个总线上连接多个系列（种类）的ECU等。因此，可提高通信系统的构成的自由度。

·在上述各实施方式中，例示了与第1～第4总线20、30、40、50连接的ECU等的个数是两个的情况。但不限于此，与总线连接的ECU等只要是与CAN协议规格匹配的个数即可，可以是一个，也可是三个以上。因此，可提高通信系统的构成的自由度。

·在上述各实施方式中，例示了第21ECU21～第42ECU42是相同构成的情况。但不限于此，在想要确保通信报文的可靠性的情况下，也可仅对接收作为对象的通信报文的ECU设定能够确保通信报文的可靠性的信号接收部和判定部。因此，包括现有的系统在内，可提高通信系统的可适用性。

·在上述各实施方式中，例示了发送用通信报文M1从第21ECU21输出的情况。但不限于此，对输出发送用通信报文的ECU无特别限定。在上述各实施方式中，例示了中继用通信报文M2由第41ECU41接收的情况。但不限于此，接收中继用通信报文的ECU也无特别限定。因此，可提高通信系统的构成的自由度，并且可提高可适用性。

·在上述各实施方式中，例示了网关10将从第1总线20输入的发送用通信报文M1分别中继到第2～第4总线30、40、50的情况。但不限于此，只要能够中继到需要的总线，则网关也可将发送用通信报文中继到特定的总线。因此，可提高通信系统的构成的自由度。

·在上述各实施方式中，例示了在网关10中依次执行包含总线信息的处理和包含网关信息的处理的情况。但不限于此，只要生成中继用通信报文，则各处理的顺序没有限制，例如可在包含网关信息的处理后执行包含总线信息的处理。因此，可提高通信系统的设计自由度。

·在上述各实施方式中，例示了总线信息14、通信线信息416以二进制的数值表示的情况。但不限于此，总线信息、通信线信息也可由二进制数以外的10进制数等表示，也可包括文字、符号。这种情况下，只要在存储总线信息的“数据域”等中确保适于总线信息大小的空间即可。因此，可提高通信系统的设计自由度。

·在上述各实施方式中，例示了总线信息14由二进制的数值表示、中继用报文ID15由报文ID表示的情况。但不限于此，也可根据总线信息和中继用报文ID，将通信报文的可靠性的判断中所使用的设定值规定成一个。可将报文ID用于该设定值。例如，若为由四个总线、一个网关构成的通信系统，则可以通过由该四个总线、一个中继用报文ID的组合所构成的四个中继用报文ID来表示。并且，当其包含有无总线路径的适当与否的情况下，可通过八个报文ID来表示。由此也可使用被迅速处理的报文ID来判断通信报文的可靠性，提高通信系统的设计自由度。

·在上述各实施方式中，例示了发送用报文ID的值和中继用报文ID15的值是连号的情况。但不限于此，只要能够选择与发送用报文ID对应的中继用报文ID15，则发送用报文ID的值和中继用报文ID15的值也可以不是连号。因此，可提高通信系统的设计自由度。

·在上述各实施方式中，例示了多个总线信息14及多个中继用报文ID15存储于存储装置13、多个通信线信息416及网关信息417存储于存储装置414的情况。但不限于此，多个总线信息、中继用报文ID也可由一个等个数比它们少的列表、表、数据库等来管理。同样，多个通信线信息、网关信息也可由一个等个数比它们少的列表、表、数据库等来管理。因此，信息管理的自由度提高，作为通信系统的设计自由度也得到提高。

·在上述各实施方式中，例示了两个中继用报文ID15的值与发送用报文ID的值对应的情况。但不限于此，也可以是一个中继用报文ID的值与发送用报文ID的值对应。在此情况下，可确认通信报文被网关进行了中继这一情况。也可以是三个以上的中继用报文ID的值与发送用报文ID的值对应。此时，可切换附于中继用通信报文的中继用报文ID而进行使用。因此，可提高作为通信系统的设计自由度。

·在上述各实施方式中，例示了判断第41ECU41的信号接收部411是否将接收到的中继用通信报文M2传送到判断部412的情况。但不限于此，ECU的信号接收部也可将接收到的中继用通信报文全部传送到判断部。因此，即使不进行基于中继用报文ID的有无通过网关的判断，也可基于总线路径来判断通信报文的可靠性。因此，可提高通信系统的设计自由度。

·在上述各实施方式中，主要例示了发送用报文ID“0×020”变更为中继用报文ID“0×021”或“0×022”的情况。但不限于此，若设定有发送用报文ID和与其对应的中继用报文ID，则网关无论是怎样的值的发送用报文ID，均可变更为对应的中继用报文ID。若原本设定有不将发送用报文ID变更为中继用报文ID这一内容，则也可将发送用报文ID原封不动地采用为中继用报文ID。进而，也可根据规定条件等自动地变更是将发送用报文ID变更为中继用报文ID，还是不将发送用报文ID变更为中继用报文ID。在多个中继用报文ID与发送用报文ID建立对应的情况下，对于变更为哪个中继用报文ID，也可根据规定条件等自动变更。例如，以ECU的负荷为规定条件，当ECU的负荷较小时，可将中继用报文ID变更为需要确认总线路径的报文ID，相反，当ECU的负荷大时，可将中继用报文ID变更为无需确认总线路径的报文ID。因此，可提高通信系统的设计自由度。

·在上述各实施方式中，例示了通信系统中仅有一个网关10的情况。但不限于此，通信系统中也可设置多个网关。在设置有多个网关的情况下，可基于由哪一网关进行了中继这一情况来判断通信报文的可靠性的判断，也可基于由多个网关进行了中继这一情况来判断。因此，可提高该通信系统的可适用性。

·在上述各实施方式中，例示了中继用通信报文中包含总线信息14和中继用报文ID的情况。但不限于此，也可包含有助于进行通信报文的可靠性的判断的其他信息，例如在完成了与网关的相互认证的ECU所发送的通信报文中，可将相互认证完成这一情况包含在中继用通信报文中。因此，可进一步提高通信报文的可靠性。

·在上述各实施方式中，例示了通信系统是基于CAN协议的系统的情况。但不限于此，只要通信报文经由网关在多个总线间转发，则适用于通信系统的通信协议也可是CAN协议以外的协议，例如是以太网（注册商标）、FlexRay（注册商标）等通信协议。因此，可提高这种通信系统的可适用性。

·在上述各实施方式中，例示了通信系统搭载在车辆1上的情况。但不限于此，也可以是通信系统的一部分设置在车辆以外。因此，能够对包括车辆在内的通信系统进行通信报文的可靠性的判断，从而可提高该通信系统的可适用性。

·在上述各实施方式中，例示了通信系统搭载于车辆1的情况。但不限于此，搭载通信系统的装置只要是经由网关在多个总线间转发通信报文即可。即，也可是车辆以外的装置，例如铁道用车辆、船舶、机器人、工业机械。因此，可扩大作为通信系统的适用范围。

Claims (11)

1.一种通信系统，具有一个或多个通信装置及一个或多个网关，

上述通信装置构成为，与通信线连接、且经由上述通信线进行基于通信报文的通信，

上述网关构成为，连接多个上述通信线、且在这些通信线之间相互中继通信报文，

在将从第1通信线输入到上述网关的通信报文作为第1通信报文时，其中所述第1通信线为多个上述通信线中的一个通信线，上述网关构成为生成中继用通信报文，上述中继用通信报文将表示上述第1通信线的第1路径信息和表示上述第1通信报文输入了上述网关这一情况的第2路径信息包含在第1通信报文中，

上述网关进一步构成为，将上述中继用通信报文转发到上述第1通信线以外的一个或多个通信线，

上述通信装置构成为，基于接收到的上述通信报文所包含的上述第1路径信息和上述第2路径信息来判断上述接收到的通信报文的可靠性。

2.根据权利要求1所述的通信系统，其中，

在上述通信装置中设定与多个上述通信线的各第1路径信息分别对应的通信线信息，

上述通信装置构成为，基于上述接收到的通信报文所包含的上述第1路径信息是否与上述所设定的通信线信息对应来判断上述接收到的通信报文的可靠性。

3.根据权利要求1所述的通信系统，其中，

在上述通信装置中设定与网关的各第2路径信息对应的网关信息，

上述通信装置构成为，基于上述接收到的通信报文所包含的上述第2路径信息是否与上述所设定的网关信息对应来判断上述接收到的通信报文的可靠性。

4.根据权利要求1所述的通信系统，其中，

上述通信报文作为控制器局域网的协议而构成。

5.根据权利要求4所述的通信系统，其中，

上述网关构成为，在由上述协议规定的通信报文的数据段中具有上述第1路径信息，

上述通信装置构成为，从上述通信报文的数据段获取上述第1路径信息。

6.根据权利要求4所述的通信系统，其中，

上述网关构成为，将由上述协议规定的通信报文的报文ID变更为包括上述第2路径信息的报文ID，

上述通信装置构成为，从上述通信报文所包含的上述变更后的报文ID获取第2路径信息。

7.根据权利要求6所述的通信系统，其中，

上述通信报文是扩展格式，

上述报文ID是与由上述扩展格式规定的扩展ID域对应的部分进行了变更的报文ID。

8.根据权利要求1～7中任一项所述的通信系统，其中，

上述网关将从上述第1通信线输入的通信报文的信息与上述第1路径信息一起作为日志数据进行保存，并且，

上述通信装置将上述接收到的通信报文的信息与上述接收到的通信报文所包含的上述第1路径信息及上述第2路径信息一起作为日志数据进行保存。

9.根据权利要求8所述的通信系统，其中，

上述通信系统构成为，定期地基于规定规则来解析上述日志数据，

上述通信系统进一步构成为，以通过上述解析所得到的解析结果来替换上述日志数据。

10.根据权利要求8所述的通信系统，其中，

上述通信装置构成为，获取保存于网关的日志数据，

上述通信装置进一步构成为，通过比较上述获取的日志数据与保存于上述通信装置的日志数据来评价通信报文的可靠性。

11.一种通信方法，用于通信系统，上述通信系统具有一个或多个通信装置及一个或多个网关，上述通信装置与通信线连接、且经由上述通信线进行基于通信报文的通信，上述网关连接多个上述通信线、且在这些通信线之间相互中继通信报文，

在将从第1通信线输入到网关的通信报文作为第1通信报文时，其中所述第1通信线为多个上述通信线中的一个通信线，

上述通信方法包括：

通过上述网关而生成中继用通信报文，在上述中继用通信报文中，表示上述第1通信线的第1路径信息和表示上述第1通信报文输入了上述网关这一情况的第2路径信息包含在上述第1通信报文中；

将上述生成的中继用通信报文从上述网关转发到上述第1通信线以外的一个或多个通信线；

使接收到上述中继用通信报文的通信装置基于接收到的通信报文所包含的上述第1路径信息和上述第2路径信息来判断上述接收到的通信报文的可靠性。

Images