CN116530060A - 检测装置、检测方法及检测程序 - Google Patents

Abstract

一种检测装置，具备：监视部，将周期性地发送的周期消息以及不定期地发送的事件消息作为车载网络中的消息进行监视，周期消息及事件消息中附加有发送源的识别信息及序列号；计数器部，当检测装置从车载网络接收到事件消息时，变更与识别信息对应的计数器值；以及检测部，基于监视部的监视结果，将序列号与计数器值进行比较，并基于比较结果进行非法消息的检测的临时判定，检测部基于附加有相同的所述识别信息的所述消息中满足与所述序列号相关的规定条件的消息的间隔以及周期消息的规定的发送周期，进行非法消息的检测的正式判定。

Description

检测装置、检测方法及检测程序

技术领域

本公开涉及检测装置、检测方法及检测程序。

本申请要求以2020年12月25日提交的日本申请特愿2020-216834号为基础的优先权，其公开的全部内容结合在本申请中。

背景技术

在专利文献1(日本特开2014-146868号公报)中公开了以下这样的网络装置。即，一种网络装置，具有接收数据的通信部、对接收到数据的接收时间进行管理的时间管理部以及处理接收到的数据的控制部，并且周期性地接收数据来进行处理，在该网络装置中，所述控制部按通过所述通信部接收到的数据所具有的每个标识符记录所述时间管理部中的接收时刻，在接收到具有与作为基准的数据相同的标识符的接收到数据的间隔比规定周期短的第一数据的情况下，当从接收到所述作为基准的数据的时刻开始直到经过所述规定周期为止接收到具有与所述第一数据相同的标识符的第二数据时，所述控制部进行检测出周期异常时处理，当直到经过所述规定周期为止没有接收到具有与所述第一数据相同的标识符的数据时，所述控制部对所述第一数据进行规定的处理。

现有技术文献

专利文献

专利文献1：日本特开2014-146868号公报

发明内容

本公开的检测装置检测车载网络中的非法消息，所述检测装置具备：监视部，将周期性地发送的周期消息以及不定期地发送的事件消息作为所述车载网络中的消息进行监视，所述周期消息及所述事件消息中附加有发送源的识别信息及序列号；计数器部，当所述检测装置从所述车载网络接收到所述事件消息时，变更与所述识别信息对应的计数器值；以及检测部，基于所述监视部的监视结果，将所述序列号与所述计数器值进行比较，并基于比较结果进行非法消息的检测的临时判定，所述检测部基于附加有相同的所述识别信息的所述消息中满足与所述序列号相关的规定条件的所述消息的间隔以及所述周期消息的规定的发送周期，进行所述非法消息的检测的正式判定。

本公开的检测装置检测车载网络中的非法消息，所述检测装置具备：监视部，在所述车载网络中，对周期性地发送的周期消息以及不定期地且以比所述周期消息的发送周期短的间隔连续发送两个以上的事件消息进行监视，所述周期消息及所述事件消息中附加有发送源的识别信息；以及检测部，基于所述监视部的监视结果，对附加有相同的所述识别信息且连续发送的所述事件消息的数量进行计数，并基于计数结果进行非法消息的检测的临时判定。

本公开的检测方法是检测车载网络中的非法消息的检测装置中的检测方法，所述检测方法包括以下步骤：将周期性地发送的周期消息以及不定期地发送的事件消息作为所述车载网络中的消息进行监视，所述周期消息及所述事件消息中附加有发送源的识别信息及序列号；当所述检测装置从所述车载网络接收到所述事件消息时，变更与所述识别信息对应的计数器值；基于监视结果，将所述序列号与所述计数器值进行比较，并基于比较结果进行非法消息的检测的临时判定；以及基于所监视的附加有相同的所述识别信息的所述消息中满足与所述序列号相关的规定条件的所述消息的间隔以及所述周期消息的规定的发送周期，进行所述非法消息的检测的正式判定。

本公开的检测程序在检测车载网络中的非法消息的检测装置中使用，所述检测程序是用于使计算机作为监视部、计数器部以及检测部发挥功能的程序，所述监视部将周期性地发送的周期消息以及不定期地发送的事件消息作为所述车载网络中的消息进行监视，所述周期消息及所述事件消息中附加有发送源的识别信息及序列号，当所述检测装置从所述车载网络接收到所述事件消息时，所述计数器部变更与所述识别信息对应的计数器值，所述检测部基于所述监视部的监视结果，将所述序列号与所述计数器值进行比较，并基于比较结果进行非法消息的检测的临时判定，所述检测部基于附加有相同的所述识别信息的所述消息中满足与所述序列号相关的规定条件的所述消息的间隔以及所述周期消息的规定的发送周期，进行所述非法消息的检测的正式判定。

本公开的一方面可以作为实现检测装置的一部分或全部的半导体集成电路来实现，或者可以作为具备检测装置的系统来实现。另外，本公开的一方面可以作为实现具备检测装置的系统的一部分或全部的半导体集成电路来实现。

附图说明

图1是示出本公开的第一实施方式所涉及的车载通信系统的构成的图。

图2是示出本公开的第一实施方式所涉及的总线连接装置组的构成的图。

图3是示出本公开的第一实施方式所涉及的车载通信系统中的控制装置及网关装置的硬件构成的一例的图。

图4是示出本公开的第一实施方式所涉及的车载通信系统中的网关装置的构成的图。

图5是示出在本公开的第一实施方式所涉及的网关装置中判定为接收到的消息是合法消息的情况的一例的图。

图6是示出在本公开的第一实施方式所涉及的网关装置中判定为接收到的消息是非法消息的情况的一例的图。

图7是示出本公开的第一实施方式所涉及的网关装置修正检测结果的情况的一例的图。

图8是规定在本公开的第一实施方式所涉及的车载通信系统中网关装置进行检测处理时的动作过程的一例的流程图。

图9是示出在本公开的第一实施方式的变形例1所涉及的车载通信系统中周期消息的一部分缺失的情况的一例的图。

图10是规定在本公开的第一实施方式的变形例1所涉及的车载通信系统中网关装置进行检测处理时的动作过程的一例的流程图。

图11是示出在本公开的第二实施方式所涉及的网关装置中判定为接收到的消息是非法消息的情况的一例的图。

图12是示出在本公开的第二实施方式所涉及的网关装置中判定为接收到的消息是非法消息的情况的一例的图。

图13是规定在本公开的第二实施方式所涉及的车载通信系统中网关装置进行检测处理时的动作过程的一例的流程图。

图14是规定在本公开的第二实施方式所涉及的车载通信系统中网关装置进行检测处理时的动作过程的一例的流程图。

图15是示出在本公开的第三实施方式所涉及的网关装置中判定为接收到的消息是非法消息的情况的一例的图。

图16是规定在本公开的第三实施方式所涉及的车载通信系统中网关装置进行检测处理时的动作过程的一例的流程图。

图17是示出在本公开的第三实施方式的变形例所涉及的车载通信系统中判定为接收到的消息是非法消息的情况的一例的图。

图18是示出本公开的实施方式所涉及的车载网络的连接拓扑的一例的图。

具体实施方式

现有技术中，已开发出用于提高车载网络中的安全性的技术。

[本公开要解决的技术问题]

期望有一种超过专利文献1中所记载的技术而能够更正确地检测车载网络中的非法消息的技术。

本公开是为了解决上述技术问题而提出的，其目的在于提供能够更正确地检测车载网络中的非法消息的检测装置、检测方法及检测程序。

[本公开的效果]

根据本公开，能够更正确地检测车载网络中的非法消息。

[本公开的实施方式的说明]

首先，列出本公开的实施方式的内容进行说明。

(1)本公开的实施方式所涉及的检测装置检测车载网络中的非法消息，所述检测装置具备：监视部，将周期性地发送的周期消息以及不定期地发送的事件消息作为所述车载网络中的消息进行监视，所述周期消息及所述事件消息中附加有发送源的识别信息及序列号；计数器部，当所述检测装置从所述车载网络接收到所述事件消息时，变更与所述识别信息对应的计数器值；以及检测部，基于所述监视部的监视结果，将所述序列号与所述计数器值进行比较，并基于比较结果进行非法消息的检测的临时判定，所述检测部基于附加有相同的所述识别信息的所述消息中满足与所述序列号相关的规定条件的所述消息的间隔以及所述周期消息的规定的发送周期，进行所述非法消息的检测的正式判定。

像这样，通过检测部基于满足与序列号相关的规定条件的消息的间隔以及周期消息的规定的发送周期进行可以修正临时判定中的非法消息的检测结果的正式判定的构成，即使发送使序列号与计数器值匹配的非法消息，将该非法消息判定为合法消息，并将合法消息误检测为非法消息，也能够验证该检测结果的妥当性，并根据需要修正检测结果。因此，能够更正确地检测车载网络中的非法消息。

(2)也可以是，在所述消息中附加有每发送所述周期消息及所述事件消息时就发生变更的第一序列号作为附加于所述消息的序列号，所述计数器部在所述检测装置分别接收到所述周期消息及所述事件消息时变更所述计数器值。

通过这样的构成，能够用序列号管理所有的消息而不需要辨别周期消息及事件消息，能够使检测装置的构成简单。

(3)也可以是，所述间隔是第一消息与第二消息的接收间隔，所述第二消息具有比所述第一消息的所述第一序列号靠前一个的所述第一序列号。

通过这样的构成，能够以简便的处理的程度确定发送了非法消息的定时。

(4)也可以是，在所述消息中附加有每发送所述周期消息及所述事件消息时就发生变更的第一序列号作为附加于所述消息的序列号，所述检测部基于所述监视结果检测所述周期消息的缺失，基于缺失的所述周期消息的数量校正所述计数器值，并将所述第一序列号与校正后的所述计数器值进行比较，来基于比较结果检测所述非法消息。

通过这样的构成，即使作为合法消息的周期消息因某种原因而缺失，也能够考虑缺失来进行非法消息的检测，能够抑制发生误检测。

(5)也可以是，在所述消息中附加有在发送所述周期消息的情况下不发生变更、而每发送所述事件消息时就发生变更的第二序列号作为附加于所述消息的序列号，所述计数器部在所述检测装置接收到所述周期消息及所述事件消息中的所述事件消息时变更所述计数器值。

通过这样的构成，能够辨别周期消息及事件消息，根据关于事件消息的异常来检测非法消息。

(6)也可以是，所述间隔是第三消息与第四消息的接收间隔，所述第四消息具有与所述第三消息的所述第二序列号相同的所述第二序列号。

通过这样的构成，能够以简便的处理的程度确定发送了非法消息的定时。

(7)也可以是，所述检测部在所述正式判定中修正所述临时判定中的非法消息的检测结果后，转移到过渡状态，在所述过渡状态下，基于附加有相同的所述识别信息的所述消息中在时间上连续接收到的所述消息的接收间隔以及所述序列号，来检测所述非法消息。

通过这样的构成，在进行了使用计数器值判定为非法消息的结果的修正处理后也能够继续进行非法消息的检测。

(8)本公开的实施方式所涉及的检测装置检测车载网络中的非法消息，所述检测装置具备：监视部，在所述车载网络中，对周期性地发送的周期消息以及不定期地且以比所述周期消息的发送周期短的间隔连续发送两个以上的事件消息进行监视，所述周期消息及所述事件消息中附加有发送源的识别信息；以及检测部，基于所述监视部的监视结果，对附加有相同的所述识别信息且连续发送的所述事件消息的数量进行计数，并基于计数结果检测非法消息。

像这样，通过检测部对连续发送的事件消息的数量进行计数、并基于计数结果检测非法消息的构成，能够容易地检测冒充事件消息的非法消息。因此，能够更正确地检测车载网络中的非法消息。

(9)本公开的实施方式所涉及的检测方法是检测车载网络中的非法消息的检测装置中的检测方法，所述检测方法包括以下步骤：将周期性地发送的周期消息以及不定期地发送的事件消息作为所述车载网络中的消息进行监视，所述周期消息及所述事件消息中附加有发送源的识别信息及序列号；当所述检测装置从所述车载网络接收到所述事件消息时，变更与所述识别信息对应的计数器值；基于监视结果，将所述序列号与所述计数器值进行比较，并基于比较结果进行非法消息的检测的临时判定；以及基于所监视的附加有相同的所述识别信息的所述消息中满足与所述序列号相关的规定条件的所述消息的间隔以及所述周期消息的规定的发送周期，进行所述非法消息的检测的正式判定。

像这样，通过基于满足与序列号相关的规定条件的消息的间隔以及周期消息的规定的发送周期进行可以修正临时判定中的非法消息的检测结果的正式判定的构成，即使发送使序列号与计数器值匹配的非法消息，将该非法消息判定为合法消息，并将合法消息误检测为非法消息，也能够验证该检测结果的妥当性，并根据需要修正检测结果。因此，能够更正确地检测车载网络中的非法消息。

(10)本公开的实施方式所涉及的检测程序在检测车载网络中的非法消息的检测装置中使用，所述检测程序是用于使计算机作为监视部、计数器部以及检测部发挥功能的程序，所述监视部将周期性地发送的周期消息以及不定期地发送的事件消息作为所述车载网络中的消息进行监视，所述周期消息及所述事件消息中附加有发送源的识别信息及序列号，当所述检测装置从所述车载网络接收到所述事件消息时，所述计数器部变更与所述识别信息对应的计数器值，所述检测部基于所述监视部的监视结果，将所述序列号与所述计数器值进行比较，并基于比较结果进行非法消息的检测的临时判定，所述检测部基于附加有相同的所述识别信息的所述消息中满足与所述序列号相关的规定条件的所述消息的间隔以及所述周期消息的规定的发送周期，进行所述非法消息的检测的正式判定。

像这样，通过检测部基于满足与序列号相关的规定条件的消息的间隔以及周期消息的规定的发送周期进行可以修正临时判定中的非法消息的检测结果的正式判定的构成，即使发送使序列号与计数器值匹配的非法消息，将该非法消息判定为合法消息，并将合法消息误检测为非法消息，也能够验证该检测结果的妥当性，并根据需要修正检测结果。因此，能够更正确地检测车载网络中的非法消息。

以下，使用附图对本公开的实施方式进行说明。需要说明的是，对图中相同或相当的部分标注相同的附图标记并省略其重复的说明。另外，也可以任意组合以下记载的实施方式的至少一部分。

〈第一实施方式〉

[构成及基本动作]

图1是示出本公开的第一实施方式所涉及的车载通信系统的构成的图。

参照图1，搭载于车辆1的车载通信系统301具备网关装置101、多个车载通信设备111以及多个总线连接装置组121。网关装置101是检测装置的一例。网关装置101经由总线13与各总线连接装置组121连接，并经由总线14与各车载通信设备111连接。通过总线13、14连接的网关装置101、多个车载通信设备111及多个总线连接装置组121构成车载网络12。

图2是示出本公开的第一实施方式所涉及的总线连接装置组的构成的图。

参照图2，总线连接装置组121包括多个控制装置122。需要说明的是，总线连接装置组121并不限于具备多个控制装置122的构成，也可以是包括一个控制装置122的构成。

车载通信系统301包括多个作为车辆1的内部的装置的车载装置。具体而言，车载通信系统301包括作为车载装置的一例的多个车载通信设备111及多个控制装置122。需要说明的是，车载通信系统301只要是包括多个车载装置的构成即可，可以是包括多个车载通信设备111而不包括控制装置122的构成，也可以是不包括车载通信设备111而包括多个控制装置122的构成，还可以是包括一个车载通信设备111及一个控制装置122的构成。

在车载通信系统301中，车载通信设备111例如与车辆1的外部的装置进行通信。具体而言，车载通信设备111例如是TCU(Telematics Communication Unit：远程通信单元)、近距离无线终端装置以及ITS(Intelligent Transport Systems：智能运输系统)无线通信设备。

TCU例如能够按照LTE(Long Term Evolution：长期演进)或5G等通信标准与无线基站装置进行无线通信，且能够与网关装置101进行通信。TCU例如对用于导航、车辆防盗、远程维护及FOTA(Firmware Over The Air：空中固件升级)等服务的信息进行中继。

近距离无线终端装置例如能够按照Wi-Fi(注册商标)及Bluetooth(注册商标)等通信标准与乘坐于车辆1的人即乘客所持有的智能手机等无线终端装置进行无线通信，且能够与网关装置101进行通信。该近距离无线终端装置例如对用于娱乐等服务的信息进行中继。

另外，近距离无线终端装置例如能够按照规定的通信标准，使用LF(LowFrequency：低频)频段或UHF(Ultra High Frequency：超高频)频段的电波与乘客所持有的智能钥匙等无线终端装置以及设置于轮胎的无线终端装置进行无线通信，且能够与网关装置101进行通信。该近距离无线终端装置例如对用于智能进入及TPMS(Tire PressureMonitoring System：轮胎压力监测系统)等服务的信息进行中继。

ITS无线通信设备例如能够与设置于道路附近的光信标、电波信标及ITS Spot等路侧设备进行路车间通信，能够与搭载于其他车辆的车载终端进行车车间通信，且能够与网关装置101进行通信。ITS无线通信设备例如对用于疏通拥堵、安全驾驶辅助及路线导行等服务的信息进行中继。

网关装置101例如能够经由端口112与车辆1的外部的完善用终端装置进行固件的更新等的数据以及由网关装置101累积的数据等的收发。

网关装置101例如经由总线13、14与车载装置连接。具体而言，总线13、14例如是按照CAN(Controller Area Network：控制器局域网)(注册商标)、FlexRay(注册商标)、MOST(Media Oriented Systems Transport：媒体导向系统传输)(注册商标)、以太网(注册商标)及LIN(Local Interconnect Network：本地互联网络)等标准的总线。

在本例中，车载通信设备111经由按照以太网的标准的对应的总线14与网关装置101连接。另外，总线连接装置组121中的各控制装置122经由按照CAN的标准的对应的总线13与网关装置101连接。

总线13例如分系统而设置。具体而言，总线13例如是驱动系统总线、底盘/安全系统总线、车身/电装系统总线及AV/信息系统总线。

在驱动系统总线上连接有作为控制装置122的一例的发动机控制装置、AT(Automatic Transmission：自动变速器)控制装置及HEV(Hybrid Electric Vehicle：混合动力汽车)控制装置。发动机控制装置、AT控制装置及HEV控制装置分别控制发动机、AT及发动机与电动机的切换。

在底盘/安全系统总线上连接有作为控制装置122的一例的制动器控制装置、底盘控制装置及转向控制装置。制动器控制装置、底盘控制装置及转向控制装置分别控制制动器、底盘及转向。

在车身/电装系统总线上连接有作为控制装置122的一例的仪表显示控制装置、空调控制装置、防盗控制装置、安全气囊控制装置及智能进入控制装置。仪表显示控制装置、空调控制装置、防盗控制装置、安全气囊控制装置及智能进入控制装置分别控制仪表、空调、防盗机构、安全气囊机构及智能进入。

在AV/信息系统总线上连接有作为控制装置122的一例的导航控制装置、音频控制装置、ETC(Electronic Toll Collection System：电子不停车收费系统)(注册商标)控制装置及电话控制装置。导航控制装置、音频控制装置、ETC控制装置及电话控制装置分别控制导航装置、音频装置、ETC装置及移动电话。

另外，在总线13上不限于连接控制装置122的构成，也可以连接控制装置122以外的装置。

网关装置101例如是中央网关(Central Gateway：CGW)，能够与车载装置进行通信。

网关装置101例如进行对在车辆1中与不同的总线13连接的控制装置122间交互的信息、在各车载通信设备111间交互的信息、在控制装置122与车载通信设备111间交互的信息进行中继的中继处理。

更详细而言，在车辆1中，作为车载通信系统301中的消息，例如按照规定的约定从某车载装置向其他车载装置发送周期消息及事件消息。周期消息从某车载装置周期性地向其他车载装置发送。事件消息从某车载装置不定期地向其他车载装置发送。

在本例中，对两个车载装置间、即从某控制装置122向其他控制装置122发送的消息进行说明，但控制装置122与车载通信设备111间的消息以及各车载通信设备111间的消息也是同样的。

图3是示出本公开的第一实施方式所涉及的车载通信系统中的控制装置及网关装置的硬件构成的一例的图。

参照图3，作为控制装置122的一例的控制装置122A、122B经由总线13与网关装置101连接。控制装置122A具备振荡器131A、CPU(Central Processing Unit：中央处理单元)和DSP(Digital Signal Processor：数字信号处理器)等处理器132A以及CAN收发器133A。另外，控制装置122B是与控制装置122A同样的构成，具备发送器131B、处理器132B以及CAN收发器133B。

网关装置101具备CPU和DSP等处理器141、CAN收发器142以及振荡器143。

控制装置122A以规定的发送周期发送周期消息。更详细而言，控制装置122A中的处理器132A按照基于来自振荡器131A的振荡信号而生成的时钟的定时，经由CAN收发器133A发送周期消息。另外，控制装置122A不定期地发送事件消息。更详细而言，控制装置122A中的处理器132A经由CAN收发器133A不定期地发送事件消息。

控制装置122A对周期消息及事件消息附加作为识别信息的一例的消息ID(Identifier：标识符)来进行发送。消息ID指示周期消息及事件消息的发送源。需要说明的是，消息ID也可以进一步指示发送优先顺序、指示是周期消息还是事件消息的消息发送类型以及消息内容等。

另外，在消息中附加有每发送周期消息及事件消息时就发生变更的序列号(第一序列号)。更详细而言，控制装置122A将每发送周期消息及事件消息时就加“1”的序列号包含在周期消息及事件消息中。总之，控制装置122A无论周期消息及事件消息的种类如何，都对所发送的消息附加连续的编号。

需要说明的是，在某控制装置122将周期消息及事件消息与多个控制装置122进行通信的情况下，控制装置122按每个消息ID设定序列号。另外，在某控制装置122根据消息的内容分开使用多个消息ID的情况下，控制装置122按每个消息ID设定序列号。

[网关装置的构成]

图4是示出本公开的第一实施方式所涉及的车载通信系统中的网关装置的构成的图。

参照图4，网关装置101具备通信处理部51、监视部52、计数器部53、检测部54以及存储部55。图3所示的处理器141实现监视部52、计数器部53及检测部54的一部分或全部，CAN收发器142实现通信处理部51的一部分或全部。存储部55例如是闪存。

网关装置101作为检测装置发挥功能，进行检测车载网络12中的非法消息的检测处理。

[通信处理部]

通信处理部51接收车载网络12中的总线13、14上的消息。通信处理部51在接收到消息时，赋予指示该消息的接收时刻的时间戳，并向监视部52及检测部54输出消息接收通知。

[监视部]

监视部52将附加有作为发送源的识别信息的消息ID及序列号的周期性地发送的周期消息以及不定期地发送的事件消息作为车载网络12中的消息进行监视。

再次参照图3，监视部52通过监视车载网络12中的消息而获取周期消息的接收时刻以及事件消息的接收时刻。

监视部52例如在从通信处理部51收到接收通知时，确认由通信处理部51接收到的消息中包括的消息ID以及预先保存在存储部55中的周期消息的消息ID和事件消息的消息ID。

然后，监视部52在由通信处理部51接收到的消息中包括的消息ID与保存在存储部55中的消息ID一致的情况下，通过参照赋予该消息的时间戳，来获取消息的接收时刻。

监视部52在获取到接收时刻时，将指示所获取的接收时刻的接收信息与序列号建立对应地输出到检测部54。

[计数器部]

当网关装置101从车载网络12至少接收到事件消息时，计数器部53变更与识别信息对应的计数器值。计数器值按每个消息ID而设定。在本实施方式中，计数器部53在网关装置101分别接收到周期消息及事件消息时变更计数器值。

更详细而言，计数器部53在如后文所述接收到的消息被检测部54判定为合法消息的情况下，使计数器值加“1”。计数器部53将增加后的计数器值保存在存储部55中。

计数器部53在多个控制装置122分别发送消息的情况下，按每个消息ID设定单独的计数器值。需要说明的是，计数器部53在某一个控制装置122根据消息的内容分开使用多个消息ID的情况下，按每个消息ID设定计数器值。

[检测部]

检测部54基于监视部52的监视结果，将序列号与计数器值进行比较，并基于比较结果进行非法消息的检测的临时判定。

更详细而言，检测部54在从通信处理部51收到消息接收通知时，从存储部55获取消息的序列号及计数器值。检测部54将所获取的序列号与计数器值进行比较，在序列号与计数器值为相同的值的情况下，判定为接收到的消息是合法消息，在序列号与计数器值为不同的值的情况下，判定为接收到的消息是非法消息。

图5是示出在本公开的第一实施方式所涉及的网关装置中判定为接收到的消息是合法消息的情况的一例的图。

参照图5，控制装置122A最开始发送的消息A中附加有序列号“01”。另外，网关装置101中的计数器部53的计数器值的初始值被设定为“01”。

在网关装置101中经由总线13从控制装置122A接收到附加有序列号“01”的周期消息A时，网关装置101中的计数器部53使计数器值加“1”而设定为“02”。

接着，当网关装置101接收到附加有序列号“02”的周期消息B时，由于序列号与计数器值为“02”而一致，因而检测部54将周期消息B判定为合法消息。之后，计数器部53使计数器值加“1”而设定为“03”。

接着，当网关装置101接收到附加有序列号“03”的事件消息C时，由于序列号与计数器值为“03”而一致，因而检测部54将事件消息C判定为合法消息。之后，计数器部53将计数器值设定为“04”。

像这样地，检测部54对之后接收的消息D～G也判定是否是合法消息。然后，在图5所示的例子中，检测部54将消息D～G判定为是合法消息。

图6是示出在本公开的第一实施方式所涉及的网关装置中判定为接收到的消息是非法消息的情况的一例的图。图6在网关装置101在接收事件消息C之后接收非法消息H这一点上与图5不同。

参照图6，在网关装置101接收到消息A～C之后，计数器部53将计数器值设定为“04”。之后，当网关装置101接收到附加有序列号“05”的消息H时，由于序列号与计数器值不一致，因而检测部54将消息H判定为非法消息。

(检测结果的修正)

检测部54在检测到非法消息的情况下，判定检测结果是否妥当。更详细而言，检测部54在临时判定中检测到非法消息的情况下，基于由监视部52监视到的附加有相同的识别信息的消息中满足与序列号相关的规定条件的消息的间隔以及周期消息的规定的发送周期，进行非法消息的检测的正式判定，并进行修正临时判定中的非法消息的检测结果的修正处理。在本实施方式中，上述消息的间隔是第一消息与第二消息的接收间隔，该第二消息具有比第一消息靠前一个的序列号。

(不进行修正的例1)

首先，在图6所示的例子中，对检测部54不修正检测结果的情况进行说明。在图6所示的例子中，上述第一消息是暂时判定为非法消息的消息H，其计数器值为“05”。另外，上述第二消息是附加有比消息H靠前一个计数的序列号“04”的消息，但网关装置101在接收到消息H之前未接收到附加有计数器值“04”的消息。因此，在图6所示的例子中，由于不存在相当于第二消息的消息，因而检测部54不修正检测结果，而将消息H判定为非法消息。

需要说明的是，在网关装置101接收到非法消息H的情况下，计数器部53不变更计数器值而维持“04”。然后，检测部54将之后接收的消息D～G判定为合法消息。

(不进行修正的例2)

另外，在图6所示的例子中，假设消息H的序列号为“02”。在这种情况下，由于消息H的序列号与计数器部53的计数器值不一致，因而消息H暂时被判定为非法消息。检测部54由于检测到非法消息，因而与上述同样地判定检测结果的妥当性。在这种情况下，具有比作为第一消息的消息H靠前一个计数的序列号“01”的消息是消息A。然而，由于网关装置101在消息A与消息H之间已经接收到消息B及C，因而消息A相对于消息H不是在时间上连续发送的消息，不相当于上述第二消息。因此，即使在这种情况下，检测部54也不修正检测结果，而将消息H判定为非法消息。

(进行修正的例子)

接着，对检测部54修正检测结果的情况进行说明。在图6所示的例子中，由于消息H的序列号是与计数器部53的计数器值不同的值，因而检测部54判定为消息H是非法消息。然而，在消息H的序列号与计数器部53的计数器值相同的情况下，作为非法消息的消息H被判定为合法消息，作为合法消息的消息D被判定为非法消息。即使在像这样原本应为合法消息的消息被判定为非法消息的情况下，本实施方式所涉及的网关装置101也能够通过修正检测结果来减少误检测。

图7是示出本公开的第一实施方式所涉及的网关装置修正检测结果的情况的一例的图。

参照图7，首先，网关装置101依次接收消息A～C。对于消息A～C中的各个消息，由于序列号与计数器值一致，因而检测部54判定为合法消息。在该状态下，计数器部53的计数器值被设定为“04”。

接着，网关装置101接收非法消息H。由于该非法消息H中附加有序列号“04”，因而检测部54将非法消息H判定为合法消息。计数器部53使计数器值增加到“05”。

接着，网关装置101接收消息D。该消息D由于是继消息C之后从控制装置122A发送的消息，因而具有序列号“04”。然而，由于计数器部53的计数器值为“05”，序列号与计数器值不一致，因而检测部54将原本为合法消息的消息D临时判定为是非法消息。

接着，检测部54判定将消息D当作非法消息的检测结果的妥当性。如上所述，检测部54基于附加有相同的识别信息的消息中满足与序列号相关的规定条件的消息的间隔以及周期消息的规定的发送周期，判定是否修正检测结果。

这里，满足规定条件的消息的间隔不是指网关装置101实际在时间上连续接收到的消息的间隔，而是意指某消息与被赋予该消息的序列号的前一个编号作为序列号的消息的间隔，即意指某消息与原本应在该消息的前一个接收的消息的间隔。

具体而言，对于被判定为非法消息的消息D，实际在时间上连续接收到的消息是消息H。然而，在本实施方式中，控制装置122A无论周期消息及事件消息的种类如何，都对所发送的消息依次附加序列号。为此，原本应在消息D之前接收到的消息是具有比消息D靠前一个的序列号“03”的消息C，而不是具有与消息D相同的序列号“04”的消息H。因此，在图7所示的例子中，检测部54基于作为第一消息的消息D与作为第二消息的消息C的接收间隔以及周期消息的发送周期，决定是否修正检测结果。

更详细而言，检测部54从存储部55获取消息D及消息C的接收时刻以及周期消息的规定的发送周期。检测部54根据所获取的消息D及消息C的接收时刻之差来计算接收间隔。检测部54将计算出的接收间隔与周期消息的规定的发送周期进行比较，判定接收间隔是否小于发送周期或小于发送周期与规定的余量相加而得到的值。以下，将该判定基准、即发送周期或发送周期与规定的余量相加而得到的值称为容许值。在本实施方式中，作为一例，周期消息的规定的发送周期为20ms，余量为+6ms。

更详细而言，在本实施方式中，消息D与消息C的接收间隔为20ms，小于容许值。在这种情况下，消息D是在离作为合法消息的消息C规定的发送周期20ms后发送的合法的周期消息的可能性高。因此，在接收间隔小于容许值的情况下，检测部54修正将消息D当作非法消息的检测结果，将消息D判定为合法消息。需要说明的是，发送周期以及余量并不限定于上述内容，能够适当设定，另外，也可以不设置余量。

检测部54在修正了检测结果时，判定为在消息D之前接收到了非法消息，并将指示检测到非法消息的意思的检测结果输出到通信处理部51。

另一方面，在消息D与消息C的接收间隔为容许值以上的情况下，消息D是非法消息的可能性高。因此，检测部54维持检测结果，将消息D判定为非法消息，并将指示检测到非法消息的意思的检测结果输出到通信处理部51。

通信处理部51从检测部54接收检测结果，并将指示在总线13中传输有非法消息的警报信息发送给车辆1内或车辆1外的上层装置。

[动作的流程]

本公开的实施方式所涉及的车载通信系统中的各装置具备包括存储器的计算机，该计算机中的CPU等运算处理部从该存储器中读出并执行包括以下的流程图及时序的各步骤中的一部分或全部的程序。这多个装置的程序能够分别从外部进行安装。这多个装置的程序分别以存储在记录介质中的状态流通。

图8是规定在本公开的第一实施方式所涉及的车载通信系统中网关装置进行检测处理时的动作过程的一例的流程图。图8示出了对具有某相同的消息ID的消息的检测处理，对于具有其他消息ID的消息也进行同样的检测处理。

参照图8，首先，网关装置101监视车载通信系统301中的周期消息及事件消息，获取周期消息及事件消息的接收时刻(步骤S101)。

接着，网关装置101获取接收到的周期消息或事件消息的序列号以及计数器部53中的计数器值。网关装置101将所获取的序列号与计数器值进行比较，在序列号与计数器值一致的情况下(步骤S102中为“是”)，将接收到的消息判定为合法消息(步骤S103)。

接着，网关装置101在将接收到的消息判定为合法消息时，使计数器部53的计数器值加“1”(步骤S104)。

接着，网关装置101将接收到的消息的接收时刻保存在存储部55中(步骤S105)，并继续监视车载通信系统301中的周期消息及事件消息(步骤S101)。

另一方面，在所获取的序列号与计数器值不一致的情况下(步骤S102中为“否”)，网关装置101将接收到的消息临时判定为非法消息(步骤S106)。

接着，网关装置101判定临时判定为非法消息的第一消息与具有比第一消息靠前一个计数的序列号的第二消息的接收间隔是否小于周期消息的容许值。在第一消息与第二消息的接收间隔小于周期消息的容许值的情况下(步骤S107中为“是”)，网关装置101修正对于在临时判定中当作非法消息的第一消息的检测结果，将第一消息判定为合法消息(步骤S108)。

接着，网关装置101在修正了检测结果时，判定为在第一消息之前接收到了非法消息，并将指示在总线13中传输有非法消息的意思的警报信息发送给车辆1内或车辆1外的上层装置(步骤S109)。

接着，网关装置101将接收到的消息的接收时刻保存在存储部55中(步骤S105)，并继续监视车载通信系统301中的周期消息及事件消息(步骤S101)。

在第一消息与第二消息的接收间隔为周期消息的容许值以上的情况下(步骤S107中为“否”)，网关装置101维持对于在临时判定中当作非法消息的第一消息的检测结果，将第一消息正式判定为非法消息(步骤S110)。

接着，网关装置101将指示在总线13中传输有非法消息的意思的警报信息发送给车辆1内或车辆1外的上层装置(步骤S111)，并继续监视车载通信系统301中的周期消息及事件消息(步骤S101)。

[变形例1]

图9是示出在本公开的第一实施方式的变形例1所涉及的车载通信系统中周期消息的一部分缺失的情况的一例的图。

参照图9，对于消息A～C，由于序列号与计数器值一致，因而检测部54判定为合法消息。网关装置101在接收到消息C后，预定接收周期消息D。然而，由于周期消息D因某种原因而缺失，因而网关装置101接收附加有序列号“05”的周期消息E。

在这种情况下，由于计数器值为“04”，与周期消息E的序列号“05”不一致，因而导致检测部54将作为合法消息的周期消息E临时判定为非法消息。

于是，在第一实施方式中的变形例1所涉及的网关装置101中，检测部54基于监视部52的监视结果检测周期消息的缺失，基于缺失的周期消息的数量校正计数器值，并将序列号与校正后的计数器值进行比较，来基于比较结果进行非法消息的检测的临时判定。

更详细而言，检测部54在将周期消息E临时判定为是非法消息后且进行检测结果的修正处理前，进行检测周期消息有无缺失的处理。

具体而言，检测部54从存储部55获取消息E的接收时刻和作为上次接收到的消息的消息C的接收时刻以及周期消息的规定的发送周期。检测部54根据所获取的消息E及消息C的接收时刻之差来计算接收间隔。检测部54将计算出的接收间隔与周期消息的规定的发送周期进行比较。在图9所示的例子中，假设消息E与消息C的接收间隔为容许值的2倍，即网关装置101从消息C起延迟大致一个周期接收到消息E。

在这种情况下，检测部54判断为缺失一个周期消息，将从存储部55获取到的计数器值“04”与缺失的周期消息的数量相加，校正为“05”。检测部54将校正后的计数器值与周期消息E的序列号进行比较，由于计数器值“05”与周期消息E的序列号“05”一致，因而修正临时判定结果，将周期消息E临时判定为合法消息。

另外，检测部54将指示周期消息的缺失数量的缺失信息输出到计数器部53。计数器部53从检测部54接收缺失信息，将当前的计数器值变更为“05”，并保存在存储部55中。

图10是规定在本公开的第一实施方式的变形例1所涉及的车载通信系统中网关装置进行检测处理时的动作过程的一例的流程图。图10示出了对具有某相同的消息ID的消息的检测处理，对于具有其他消息ID的消息也进行同样的检测处理。

参照图10，首先，网关装置101监视车载通信系统301中的周期消息及事件消息，获取周期消息及事件消息的接收时刻(步骤S201)。

接着，网关装置101获取接收到的周期消息或事件消息的序列号以及计数器部53中的计数器值。网关装置101将所获取的序列号与计数器值进行比较，在序列号与计数器值一致的情况下(步骤S202中为“是”)，将接收到的消息判定为合法消息(步骤S203)。

接着，网关装置101在将接收到的消息判定为合法消息时，使计数器部53的计数器值加“1”(步骤S204)。

接着，网关装置101将接收到的消息的接收时刻保存在存储部55中(步骤S205)，并继续监视车载通信系统301中的周期消息及事件消息(步骤S201)。

另一方面，在所获取的序列号与计数器值不一致的情况下(步骤S202中为“否”)，网关装置101将接收到的消息临时判定为非法消息(步骤S206)。

接着，网关装置101判定在接收到的消息之前是否存在周期消息的缺失，在检测到缺失的情况下(步骤S207中为“是”)，使计数器部53中的计数器值增加所缺失的数量(步骤S208)。

接着，网关装置101基于检测出的缺失数量校正从存储部55获取到的计数器值，并将所获取的序列号与校正后的计数器值进行比较，在序列号与校正后的计数器值一致的情况下(步骤S209中为“是”)，将接收到的消息判定为合法消息(步骤S203)。

另一方面，在所获取的序列号与校正后的计数器值不一致的情况下(步骤S209中为“否”)，网关装置101将接收到的消息再次临时判定为非法消息。

步骤S210～S214的处理与图8所示的步骤S107～S111是同样的，因而省略详细的说明。

话说回来，期望有一种能够更正确地检测车载通信系统中的非法消息的技术。

例如，基于依次附加于周期性地及不定期地发送的消息的序列号来检测非法消息的方法得到考虑。

然而，在这样的方法中，难以检测具有冒充原本接下来预定发送的合法消息的序列号的序列号的非法消息，有可能将继非法消息之后发送的合法消息误检测为非法消息。

与之相对地，在本公开的第一实施方式所涉及的网关装置101中，检测部54基于附加有相同的识别信息的消息中满足与序列号相关的规定条件的消息的间隔以及周期消息的规定的发送周期，进行非法消息的检测的正式判定，并进行修正临时判定中的非法消息的检测结果的修正处理。由此，网关装置101即使由于将非法消息误判定为合法消息而将之后的合法消息误检测为非法消息，也能够验证该检测结果的妥当性，并根据需要修正检测结果。

因此，在本公开的第一实施方式所涉及的网关装置101中，能够更正确地检测车载通信系统301中的非法消息。

[变形例2]

在上面的说明中，对控制装置122A最开始发送的消息的序列号以及计数器部53的计数器值的初始值为“01”的情况进行了说明。然而，控制装置122A最开始发送的消息的序列号以及计数器部53的计数器值的初始值并不限定于此，也可以是其他值。

另外，在上面的说明中，对检测部54在消息的序列号与计数器值一致的情况下将该消息判定为合法消息的情况进行了说明。然而，检测部54例如也可以在消息的序列号与计数器值之差为规定值的情况下将该消息判定为合法消息。

另外，在上面的说明中，对消息的序列号及计数器值的值每次加“1”的情况进行了说明。然而，消息的序列号及计数器值可以以其他值为单位增加或减少，也可以具有规则性地发生变更。

接着，使用附图对本公开的其他实施方式进行说明。需要说明的是，对图中相同或相当的部分标注相同的附图标记，并省略其重复的说明。

〈第二实施方式〉

本实施方式涉及与第一实施方式所涉及的车载通信系统301相比变更了消息的发送方法以及非法消息的检测方法的车载通信系统。除了以下说明的内容以外，与第一实施方式所涉及的车载通信系统是同样的。

图11是示出在本公开的第二实施方式所涉及的网关装置中判定为接收到的消息是非法消息的情况的一例的图。

参照图11，对控制装置122A最开始发送的周期消息A附加序列号“01”。另外，网关装置101中的计数器部53的计数器值的初始值被设定为“02”。

在本实施方式中，对消息附加在发送周期消息的情况下不发生变更、而每发送事件消息时则发生变更的序列号(第二序列号)。

更详细而言，控制装置122A将相同的序列号“01”包含在周期消息A以及继周期消息A之后发送的周期消息B中。控制装置122A使序列号加“1”而将“02”包含在继周期消息B之后发送的事件消息C中。控制装置122A将与事件消息C相同的序列号“02”包含在继事件消息C之后发送的周期消息D中。

检测部54判定接收到的消息是周期消息及事件消息中的哪一种。更详细而言，检测部54在从通信处理部51收到消息接收通知时，从存储部55获取相对于本次接收到的消息在时间上连续的消息即上次接收到的消息的接收时刻以及周期消息的规定的发送周期。检测部54计算本次接收到的消息与上次接收到的消息的接收间隔。检测部54将计算出的接收间隔与该规定的发送周期进行比较，判定接收间隔是否与规定的发送周期一致。例如，在接收间隔与发送周期之差的绝对值小于规定值的情况下，检测部54判断为接收间隔与发送周期一致。

例如，当网关装置101接收到消息B时，检测部54计算消息B与上次接收到的消息A的接收间隔。在本例中，消息B与消息A的接收间隔与规定的发送周期一致。因此，检测部54将消息B判定为周期消息。

接着，当网关装置101接收到消息C时，检测部54计算消息C与上次接收到的消息B的接收间隔。在本例中，消息C与消息B的接收间隔小于规定的发送周期。因此，检测部54将消息C判定为事件消息。

接着，检测部54在将接收到的消息判定为事件消息时，从存储部55获取该事件消息的序列号及计数器值。检测部54将所获取的序列号与计数器值进行比较，在序列号与计数器值为相同值的情况下，判定为接收到的事件消息是合法消息。

具体而言，网关装置101接收到的事件消息C的序列号为“02”，与计数器值“02”一致。因此，检测部54将事件消息C判定为是合法消息。检测部54在将事件消息C判定为合法消息时，将计数器值变更通知输出到计数器部53。

在网关装置101接收到周期消息及事件消息中的事件消息时，计数器部53变更计数器值。更详细而言，计数器部53从检测部54接收计数器值变更通知，使计数器值加“1”。计数器部53将增加后的计数器值保存在存储部55中。

另一方面，在序列号与计数器值为不同值的情况下，检测部54判定为接收到的事件消息是非法消息。

例如，设想网关装置101在接收到消息A～C后接收非法消息H的情况。在网关装置101接收到消息A～C后，计数器部53将计数器值设定为“03”。之后，当网关装置101假设接收到附加有序列号“05”的消息H时，由于序列号与计数器值不一致，因而检测部54将消息H判定为非法消息。

然而，在非法消息H的序列号是与计数器部53的计数器值相同的“03”的情况下，非法消息H被判定为合法消息，作为合法消息的消息D被判定为非法消息。

于是，与第一实施方式同样地，在本实施方式中，也是检测部54在临时判定中检测到非法消息的情况下，基于由监视部52监视到的附加有相同的识别信息的消息中满足与序列号相关的规定条件的消息的间隔以及周期消息的规定的发送周期，进行非法消息的检测的正式判定，并进行修正临时判定中的非法消息的检测结果的修正处理。在本实施方式中，上述消息的间隔是作为第三消息的消息D与作为第四消息的消息C的接收间隔，该第四消息具有与第三消息相同的序列号。

更详细而言，首先，网关装置101依次接收消息A～C。对于周期消息A及B，由于接收间隔与规定的发送周期一致，因而检测部54判定为合法消息。对于事件消息C，由于序列号与计数器值一致，因而检测部54判定为合法消息。在该状态下，计数器部53的计数器值从初始值加“1”而被设定为“03”。

接着，网关装置101接收非法消息H。由于非法消息H与上次接收到的事件消息C的接收间隔小于规定的发送周期，因而检测部54将非法消息H判定为事件消息。然后，由于该非法消息H中附加有与计数器值相同的值即序列号“03”，因而检测部54将非法消息H判定为合法消息。计数器部53使计数器值增加到“04”。

接着，网关装置101接收消息D。该消息D由于是继事件消息C之后从控制装置122A发送的周期消息，因而具有与事件消息C相同的序列号“02”。然而，由于周期消息D与上次接收到的非法消息H的接收间隔小于规定的发送周期，因而检测部54将周期消息D判定为事件消息。然后，由于计数器部53的计数器值为“04”，周期消息D的序列号与计数器值不一致，因而检测部54将原本为合法消息的周期消息D临时判定为非法消息。

接着，检测部54判定将周期消息D当作非法消息的检测结果的妥当性。如上所述，检测部54基于附加有相同的识别信息的消息中满足与序列号相关的规定条件的消息的间隔以及周期消息的规定的发送周期，判定是否修正检测结果。

这里，在本实施方式中，满足规定条件的消息的间隔不是指网关装置101实际在时间上连续接收到的消息的间隔，而是意指某消息与具有与该消息相同的序列号的最新的消息的间隔，即意指某消息与原本应在该消息的前一个接收到的消息的间隔。

具体而言，具有与被判定为非法消息的周期消息D相同的序列号“02”的最新的消息是事件消息C。因此，检测部54基于作为第三消息的周期消息D与作为第四消息的消息C的接收间隔以及周期消息的发送周期，来决定是否修正检测结果。

更详细而言，检测部54从存储部55获取消息D及消息C的接收时刻以及周期消息的规定的发送周期。检测部54根据所获取的消息D及消息C的接收时刻之差来计算接收间隔。检测部54将计算出的接收间隔与周期消息的规定的发送周期进行比较，判定接收间隔是否与规定的发送周期一致。

在本实施方式中，消息D与消息C的接收间隔为20ms，是规定的发送周期的长度。在这种情况下，消息D是在离作为合法消息的消息C规定的发送周期20ms后发送的合法的周期消息的可能性高。因此，在接收间隔与规定的发送周期一致的情况下，检测部54修正将消息D当作非法消息的检测结果，将消息D判定为合法消息。

检测部54在修正了检测结果时，判定为在消息D之前接收到了非法消息，并将指示检测到非法消息的意思的检测结果输出到通信处理部51。

另一方面，在消息D与消息C的接收间隔与规定的发送周期不一致的情况下，消息D是非法消息的可能性高。因此，检测部54维持检测结果，将消息D判定为非法消息，并将指示检测到非法消息的意思的检测结果输出到通信处理部51。

通信处理部51从检测部54接收检测结果，并将指示在总线13中传输有非法消息的警报信息发送给车辆1内或车辆1外的上层装置。

[变形例1]

检测部54也可以构成为，在进行检测结果的修正处理后，转移到过渡状态，在过渡状态下，基于由监视部52监视到的附加有相同的识别信息的消息中在时间上连续接收到的消息的接收间隔以及序列号，来检测非法消息。更详细而言，检测部54在将周期消息D重新判定为合法消息后，将转移通知输出到计数器部53。

计数器部53从检测部54接收转移通知，并将计数器值设定为“无”。即，检测部54在过渡状态下不将计数器值用于非法消息的判定。

之后，网关装置101在从周期消息D起一个周期后接收消息E。检测部54根据接收到的消息E与周期消息D的接收间隔，将消息E判定为周期消息，且判定为合法消息。

检测部54从存储部55获取在过渡状态下判定为合法消息的周期消息E的序列号，并将指示周期消息E的序列号的序列号信息输出到计数器部53。

计数器部53从检测部54接收序列号信息，将使序列号信息所示的序列号的值加“1”而得到的“03”重新设定为计数器值，并解除过渡状态。

另一方面，网关装置101在检测部54为过渡状态时接收到非法消息的情况下，进行如下的处理。

图12是示出在本公开的第二实施方式所涉及的网关装置中判定为接收到的消息是非法消息的情况的一例的图。图12中示出了在图11所示的情况下当检测部为过渡状态时接收序列号“03”的非法消息I的情况。

参照图12，网关装置101在从周期消息D起经过一个周期之前接收消息I。检测部54根据接收到的消息I与周期消息D的接收间隔，将消息I判定为事件消息。

检测部54从存储部55获取判定为事件消息的消息I及上次接收到的周期消息D的序列号。检测部54将所获取的消息I及周期消息D的序列号进行比较，在序列号与计数器值为不同的值的情况下，将接收到的消息I判定为合法消息，在序列号与计数器值为相同的值的情况下，将接收到的消息I判定为非法消息。在本例中，消息I及消息D的序列号是不同的值。因此，检测部54将作为非法消息的消息I判定为合法消息。

检测部54将指示在过渡状态下判定为合法消息的消息I的序列号的序列号信息输出到计数器部53。

计数器部53从检测部54接收序列号信息，将使序列号信息所示的序列号的值加“1”而得到的“04”重新设定为计数器值，并解除过渡状态。

之后，网关装置101接收周期消息E。该周期消息E由于是继周期消息D之后从控制装置122A发送的周期消息，因而具有与事件消息D相同的序列号“02”。然而，由于周期消息E与上次接收到的非法消息I的接收间隔小于规定的发送周期，因而检测部54将周期消息E判定为事件消息。然后，由于计数器部53的计数器值为“04”，周期消息E的序列号与计数器值不一致，因而检测部54将原本为合法消息的周期消息E临时判定为是非法消息。

接着，检测部54与上述同样地判定将周期消息E当作非法消息的检测结果的妥当性。即，检测部54判定被判定为非法消息的周期消息E与具有相同的序列号“02”的最新的消息即周期消息D的接收间隔是否小于上述容许值。

在本例中，周期消息E与周期消息D的接收间隔与规定的发送周期一致。为此，检测部54修正将消息E当作非法消息的检测结果，将消息E判定为合法消息。

检测部54在修正了检测结果时，判定为在消息E之前接收到了非法消息，将指示检测到非法消息的意思的检测结果输出到通信处理部51，并再次转移到过渡状态。

[动作的流程]

图13及图14是规定在本公开的第二实施方式所涉及的车载通信系统中网关装置进行检测处理时的动作过程的一例的流程图。图13及图14示出了对具有某相同的消息ID的消息的检测处理，对于具有其他消息ID的消息也进行同样的检测处理。

参照图13，首先，网关装置101监视车载通信系统301中的周期消息及事件消息，获取周期消息及事件消息的接收时刻(步骤S301)。

接着，网关装置101确认检测部54是否为过渡状态，在不是过渡状态的情况下(步骤S302中为“否”)，判定本次接收到的消息与上次接收到的消息的接收间隔是否与规定的发送周期一致。在消息的接收间隔与规定的发送周期一致的情况下(步骤S303中为“是”)，网关装置101判定为接收到的消息是周期消息且是合法消息(步骤S304)。

接着，网关装置101将接收到的消息的接收时刻保存在存储部55中(步骤S305)，并继续监视车载通信系统301中的周期消息及事件消息(步骤S301)。

另一方面，在消息的接收间隔与规定的发送周期不一致的情况下(步骤S303中为“否”)，网关装置101判定为接收到的消息是事件消息，并获取该消息的序列号以及计数器部53中的计数器值。网关装置101将所获取的序列号与计数器值进行比较，在序列号与计数器值一致的情况下(步骤S306中为“是”)，使计数器部53的计数器值加“1”(步骤S307)，并将接收到的消息判定为合法消息(步骤S304)。

另一方面，在所获取的序列号与计数器值不一致的情况下(步骤S306中为“否”)，网关装置101将接收到的消息临时判定为非法消息(步骤S308)。

接着，网关装置101判定临时判定为非法消息的第三消息与具有与该消息相同的序列号的最新的消息即第四消息的接收间隔是否小于周期消息的容许值。在第三消息与第四消息的接收间隔小于周期消息的容许值的情况下(步骤S309中为“是”)，网关装置101修正对于在临时判定中当作非法消息的第三消息的检测结果，将第三消息判定为合法消息(步骤S310)。

接着，网关装置101在修正了检测结果时，判定为在第三消息之前接收到了非法消息，并将指示在总线13中传输有非法消息的意思的警报信息发送给车辆1内或车辆1外的上层装置(步骤S311)。

接着，网关装置101中的检测部54转移到过渡状态(步骤S312)，将接收到的消息的接收时刻保存在存储部55中(步骤S305)，并继续监视车载通信系统301中的周期消息及事件消息(步骤S301)。

另一方面，在第三消息与第四消息的接收间隔为周期消息的容许值以上的情况下(步骤S309中为“否”)，网关装置101维持对于在临时判定中当作非法消息的第三消息的检测结果，将第三消息正式判定为非法消息(步骤S313)。

接着，网关装置101将指示在总线13中传输有非法消息的意思的警报信息发送给车辆1内或车辆1外的上层装置(步骤S314)，并继续监视车载通信系统301中的周期消息及事件消息(步骤S301)。

另一方面，在检测部54为过渡状态的情况下(步骤S302中为“是”)，网关装置101判定本次接收到的消息与上次接收到的消息的接收间隔是否与规定的发送周期一致。

参照图14，在消息的接收间隔与规定的发送周期一致的情况下(步骤S315中为“是”)，网关装置101判定为接收到的消息是周期消息且是合法消息(步骤S316)。

接着，网关装置101从存储部55获取接收到的消息的序列号，将使序列号加“1”而得到的值设定为计数器部53中的计数器值，并解除过渡状态(步骤S317)。

接着，网关装置101将接收到的消息的接收时刻保存在存储部55中(步骤S318)，并继续监视车载通信系统301中的周期消息及事件消息(步骤S301)。

另一方面，在消息的接收间隔与规定的发送周期不一致的情况下(步骤S315中为“否”)，网关装置101判定为接收到的消息是事件消息，并从存储部55获取该消息的序列号以及上次接收到的消息的序列号。网关装置101将所获取的序列号彼此进行比较，在两个序列号不一致的情况下(步骤S319中为“否”)，将接收到的消息判定为合法消息(步骤S316)。

另一方面，在所获取的两个序列号一致的情况下(步骤S319中为“是”)，网关装置101将接收到的消息判定为非法消息(步骤S320)，并继续在过渡状态下监视车载通信系统301中的周期消息及事件消息(步骤S301)。

需要说明的是，网关装置101的检测部54也可以是不转移到过渡状态的构成。具体而言，检测部54也可以是在图13及图14所示的例子中不进行步骤S302、S312及S315～S320的处理的构成。

[变形例2]

在上面的说明中，对检测部54在进行检测结果的修正处理后转移到过渡状态的情况进行了说明。然而，检测部54也可以是不转移到过渡状态的构成。

更详细而言，检测部54在进行检测结果的修正处理后，将修正完成通知输出到计数器部53。计数器部53从检测部54接收修正完成通知，并使计数器值恢复到前一个值。例如，在图11所示的例子中，在修正临时判定为非法消息的消息D的检测结果后，计数器部53将计数器值设定为当前值“04”的前一个值“03”。

通过像这样地重新设定计数器值，即使在检测部54没有转移到过渡状态的情况下，也能够将之后接收的周期消息D、E及事件消息F作为合法消息来接收。

[变形例3]

在上面的说明中，对控制装置122A最开始发送的消息的序列号为“01”、计数器部53的计数器值的初始值为“02”的情况进行了说明。然而，控制装置122A最开始发送的消息的序列号以及计数器部53的计数器值的初始值并不限定于此，可以是其他值。

另外，在上面的说明中，对检测部54在消息的序列号与计数器值一致的情况下将该消息判定为合法消息的情况进行了说明。然而，检测部54例如也可以在消息的序列号与计数器值之差为规定值的情况下将该消息判定为合法消息。

另外，在上面的说明中，对消息的序列号及计数器值的值每次加“1”的情况进行了说明。然而，消息的序列号及计数器值可以以其他值为单位增加或减少，也可以具有规则性地发生变更。

〈第三实施方式〉

本实施方式涉及与第一实施方式所涉及的车载通信系统301相比变更了非法消息的检测方法的车载通信系统。除了以下说明的内容以外，与第一实施方式所涉及的车载通信系统是同样的。

图15是示出在本公开的第三实施方式所涉及的网关装置中判定为接收到的消息是非法消息的情况的一例的图。在图15中，示出了网关装置接收非法消息F、G、H的情况。

参照图15，对控制装置122A最开始发送的周期消息A附加序列号“01”。在消息中附加有每发送周期消息及事件消息时就发生变更的序列号。

网关装置101中的计数器部53的计数器值的初始值被设定为“02”。计数器部53在网关装置101分别接收到周期消息及事件消息时变更计数器值，并保存在存储部55中。

另外，计数器部53除了计数器值之外还具有连续事件计数器值。连续事件计数器值的初始值被设定为“0”。计数器部53在网关装置101接收到事件消息时变更连续事件计数器值，并保存在存储部55中。

监视部52在车载通信系统301中监视周期性地发送的周期消息以及不定期地且以比周期消息的发送周期短的间隔连续发送两个以上的事件消息。

更详细而言，监视部52通过监视由通信处理部51中继的消息，来获取周期消息的接收时刻及事件消息的接收时刻。

例如，当通信处理部51接收到应进行中继处理的周期消息或事件消息时，监视部52确认由通信处理部51接收到的消息中包括的消息ID以及预先保存在存储部55中的周期消息的消息ID和事件消息的消息ID。

然后，在由通信处理部51接收到的消息中包括的消息ID与保存在存储部55中的消息ID一致的情况下，监视部52识别为由通信处理部51接收到的消息是应进行中继处理的消息，并通过参照赋予该消息的时间戳，来获取消息的接收时刻。

监视部52在获取到接收时刻时，将指示所获取的接收时刻的接收信息与序列号建立对应地输出到检测部54。

检测部54基于监视部52的监视结果，对连续发送的事件消息的数量进行计数，并基于计数结果检测非法消息。

更详细而言，检测部54从监视部52接收接收信息，并从存储部55获取上次接收到的消息的接收时刻以及周期消息的规定的发送周期。检测部54基于接收信息所示的接收时刻以及所获取的接收时刻，计算本次接收到的消息与上次接收到的消息的接收间隔。

检测部54判定计算出的接收间隔是否与规定的发送周期一致。在接收间隔与规定的发送周期不一致的情况下，检测部54将接收到的消息判定为事件消息，在接收间隔与规定的发送周期一致的情况下，检测部54将接收到的消息判定为周期消息。

具体而言，对于接收间隔与规定的发送周期一致的消息A及B，检测部54判定为周期消息。对于从消息B起以小于规定的发送周期的间隔发送的消息C，检测部54判定为事件消息。检测部54在接收到周期消息或事件消息时，将指示消息的种类的种类信息输出到计数器部53。

计数器部53在从检测部54收到种类信息时，不管种类信息所示的消息的种类如何，均使计数器值加“1”。在种类信息所示的消息的种类是事件消息的情况下，计数器部53使连续事件计数器值加“1”。在种类信息所示的消息的种类是周期消息的情况下，计数器部53将连续事件计数器值设定为“0”。

这里，在图15所示的例子中，对网关装置101在接收到作为合法消息的周期消息A、B及事件消息C后接收冒充事件消息的非法消息F的情况进行说明。

在网关装置101接收到事件消息C后，计数器部53中的计数器值为“04”，连续事件计数器值为“1”。

在非法消息F的序列号是比上次接收到的事件消息C的序列号增加1的“04”的情况下，由于序列号与计数器值一致，因而检测部54将非法消息F判定为合法消息。然后，计数器部53中的计数器值被设定为“05”，连续事件计数器值被设定为“2”。

接着，网关装置101接收冒充从事件消息C起延迟一个周期的周期消息的非法消息G。由于非法消息G的序列号为“05”，因而检测部54将非法消息G判定为合法消息。另外，由于非法消息G与上次接收到的非法消息F的接收间隔小于规定的发送周期，因而检测部54将非法消息G判定为事件消息。在这种情况下，计数器部53中的计数器值被设定为“06”，连续事件计数器值被设定为“3”。

这里，在网关装置101的存储部55中预先登记有连续事件计数器值的上限值。在本例中，例如假设连续事件计数器值的上限值为“2”。不过，连续事件计数器值的上限值并不限定于此，可以适当设定。

检测部54每接收到事件消息时，就从存储部55获取指示连续事件计数器值的上限值的限制信息。检测部54将非法消息G判定为事件消息，并且从存储部55获取限制信息及连续事件计数器值进行比较。

由于从存储部55获取到的连续事件计数器值“3”超过连续事件计数器值的上限值“2”，因而检测部54判定为在非法消息G之前接收到了非法消息，并将指示检测到非法消息的意思的检测结果输出到通信处理部51。

通信处理部51从检测部54接收检测结果，并将指示在总线13中传输有非法消息的警报信息发送给车辆1内或车辆1外的上层装置。

[动作的流程]

图16是规定在本公开的第三实施方式所涉及的车载通信系统中网关装置进行检测处理时的动作过程的一例的流程图。图16示出了对于具有某相同的消息ID的消息的检测处理，对于具有其他消息ID的消息也进行同样的检测处理。

参照图16，首先，网关装置101监视车载通信系统301中的周期消息及事件消息，获取周期消息及事件消息的接收时刻(步骤S401)。

接着，网关装置101获取接收到的周期消息或事件消息的序列号以及计数器部53中的计数器值。网关装置101将所获取的序列号与计数器值进行比较，在序列号与计数器值不一致的情况下(步骤S402中为“否”)，将接收到的消息判定为非法消息(步骤S403)。

接着，网关装置101将指示在总线13中传输有非法消息的意思的警报信息发送给车辆1内或车辆1外的上层装置(步骤S404)，并继续监视车载通信系统301中的周期消息及事件消息(步骤S401)。

另一方面，在所获取的序列号与计数器值一致的情况下(步骤S402中为“是”)，网关装置101判定本次接收到的消息与上次接收到的消息即具有比接收到的消息靠前一个计数的序列号的消息的接收间隔是否与规定的发送周期一致。在接收间隔与规定的发送周期一致的情况下(步骤S405中为“是”)，网关装置101将接收到的消息判定为合法消息(步骤S406)。

接着，网关装置101将计数器部53的连续事件计数器值设定为“0”(步骤S407)，并继续监视车载通信系统301中的周期消息及事件消息(步骤S401)。

另一方面，在接收间隔与规定的发送周期不一致的情况下(步骤S405中为“否”)，网关装置101从存储部55获取连续事件计数器值及连续事件计数器值的上限值进行比较。在所获取的连续事件计数器值比上限值大的情况下(步骤S408中为“是”)，网关装置101将接收到的消息判定为非法消息(步骤S409)。

接着，网关装置101将指示在总线13中传输有非法消息的意思的警报信息发送给车辆1内或车辆1外的上层装置(步骤S410)，并继续监视车载通信系统301中的周期消息及事件消息(步骤S401)。

另一方面，在所获取的连续事件计数器值为上限值以下的情况下(步骤S408中为“否”)，网关装置101将接收到的消息判定为合法消息(步骤S411)，并继续监视车载通信系统301中的周期消息及事件消息(步骤S401)。

[变形例]

图17是示出在本公开的第三实施方式的变形例所涉及的车载通信系统中判定为接收到的消息是非法消息的情况的一例的图。在图17中，示出了网关装置接收非法消息F、G、H的情况。

参照图17，在图15所示的例子中，也可以是对消息附加在发送周期消息的情况下不发生变更、而每发送事件消息时则发生变更的序列号的构成。

在这种情况下，在网关装置101接收到非法消息G后，计数器部53中的连续事件计数器值变为“3”，超过上限值。因此，即使是这样的构成，检测部54也能够检测非法消息。

在本公开的第三实施方式所涉及的网关装置101中，检测部54对连续发送的事件消息的数量进行计数，并基于计数结果检测非法消息。由此，例如即使发送了使序列号与网关装置101的计数器值匹配的非法的事件消息，也能够容易地检测非法消息。因此，能够更正确地检测车载通信系统301中的非法消息。

应该被认为的是，上述实施方式在所有方面都是例示性的，而非限制性的。本发明的范围并非由上面的说明而是由权利要求示出，旨在包括与权利要求等同的含义和范围内的所有变更。

例如，在上述第一～第三实施方式所涉及的车载通信系统301中，对网关装置101在车载网络12中由某控制装置122A向其他控制装置直接发送消息的构成进行了说明。然而，在车载通信系统301中，也可以是网关装置101对控制装置122A发送的消息进行中继的构成。具体而言，参照图1，网关装置101也可以是经由总线13从总线连接装置组121(控制装置122A)接收消息、并经由总线14发送给车载通信设备111的构成。在这种情况下，网关装置101中的通信处理部51在经由对应的总线13从控制装置122A接收到消息时，向监视部52及检测部54输出消息接收通知。然后，在由通信处理部51接收到的消息中包括的消息ID与保存在存储部55中的消息ID一致的情况下，监视部52识别为由通信处理部51接收到的消息是应进行中继处理的消息，并通过参照赋予该消息的时间戳，来获取消息的接收时刻。

例如，在上述第一～第三实施方式所涉及的车载通信系统301中，对网关装置101检测车载通信系统301中的非法消息的构成进行了说明。然而，在车载通信系统301中，也可以是与网关装置101不同的检测装置检测车载通信系统301中的非法消息的构成。

另外，在上述第一～第三实施方式所涉及的车载通信系统301中，对作为检测装置的网关装置101与发送消息的控制装置122A及接收消息的控制装置122B分开设置的构成进行了说明。然而，检测装置也可以是包括在发送消息的车载装置或接收消息的车载装置中的构成。

另外，在上述第一～第三实施方式所涉及的车载通信系统301中，对作为检测装置发挥功能的网关装置101与总线13直接连接的构成进行了说明。然而，车载通信系统301并不限定于此。

图18是示出本公开的实施方式所涉及的车载通信系统301的连接拓扑的一例的图。

参照图18，检测装置151也可以是经由车载装置例如控制装置122与总线13连接的构成。在这种情况下，检测装置151例如通过监视该车载装置收发的消息，来检测总线13中传输的非法消息。需要说明的是，检测装置151例如经由按照以太网或CAN的标准的总线与车载装置连接。

检测装置151的动作与第一及第二实施方式所涉及的车载通信系统301中的网关装置101是同样的。例如，检测装置151的检测部54将控制装置122发送的周期消息及事件消息的序列号与计数器值进行比较，并基于比较结果进行非法消息的检测的临时判定。检测部54基于附加有相同的识别信息的消息中满足与序列号相关的规定条件的消息的间隔以及周期消息的规定的发送周期，进行非法消息的检测的正式判定。

或者，检测装置151的动作与第三实施方式所涉及的车载通信系统301中的网关装置101是同样的。例如，检测装置151的检测部54对从控制装置122连续发送的事件消息的数量进行计数，并基于计数结果检测非法消息。

以上的说明包括以下附注的特征。

[附注1]

一种检测装置，检测车载网络中的非法消息，所述检测装置具备：

监视部，将周期性地发送的周期消息以及不定期地发送的事件消息作为所述车载网络中的消息进行监视，所述周期消息及所述事件消息中附加有发送源的识别信息及序列号；

计数器部，当所述检测装置从所述车载网络接收到所述事件消息时，变更与所述识别信息对应的计数器值；以及

检测部，基于所述监视部的监视结果，将所述序列号与所述计数器值进行比较，并基于比较结果进行非法消息的检测的临时判定，

所述检测部基于附加有相同的所述识别信息的所述消息中满足与所述序列号相关的规定条件的所述消息的间隔以及所述周期消息的规定的发送周期，进行所述非法消息的检测的正式判定，

所述规定的发送周期在所述周期消息的发送周期中包括规定的余量。

附图标记说明

1车辆；12车载网络；13、14总线；51通信处理部；52监视部；53计数器部；54检测部；55存储部；101网关装置；111车载通信设备；112端口；121总线连接装置组；122、122A、122B控制装置；131、131A、131B、143振荡器；132、132A、132B、141处理器；133、133A、133B、142CAN收发器；151检测装置；301车载通信系统。

Claims (10)

1.一种检测装置，检测车载网络中的非法消息，所述检测装置具备：

监视部，将周期性地发送的周期消息以及不定期地发送的事件消息作为所述车载网络中的消息进行监视，所述周期消息及所述事件消息中附加有发送源的识别信息及序列号；

计数器部，当所述检测装置从所述车载网络接收到所述事件消息时，变更与所述识别信息对应的计数器值；以及

检测部，基于所述监视部的监视结果，将所述序列号与所述计数器值进行比较，并基于比较结果进行非法消息的检测的临时判定，所述检测部基于附加有相同的所述识别信息的所述消息中满足与所述序列号相关的规定条件的所述消息的间隔以及所述周期消息的规定的发送周期，进行所述非法消息的检测的正式判定。

2.根据权利要求1所述的检测装置，其中，

在所述消息中附加有每发送所述周期消息及所述事件消息时就发生变更的第一序列号作为附加于所述消息的序列号，

所述计数器部在所述检测装置分别接收到所述周期消息及所述事件消息时变更所述计数器值。

3.根据权利要求2所述的检测装置，其中，

所述间隔是第一消息与第二消息的接收间隔，所述第二消息具有比所述第一消息的所述第一序列号靠前一个的所述第一序列号。

4.根据权利要求1至3中任一项所述的检测装置，其中，

在所述消息中附加有每发送所述周期消息及所述事件消息时就发生变更的第一序列号作为附加于所述消息的序列号，

所述检测部基于所述监视结果检测所述周期消息的缺失，基于缺失的所述周期消息的数量校正所述计数器值，并将所述第一序列号与校正后的所述计数器值进行比较，来基于比较结果进行所述非法消息的检测的临时判定。

5.根据权利要求1所述的检测装置，其中，

在所述消息中附加有在发送所述周期消息的情况下不发生变更、而每发送所述事件消息时就发生变更的第二序列号作为附加于所述消息的序列号，

所述计数器部在所述检测装置接收到所述周期消息及所述事件消息中的所述事件消息时变更所述计数器值。

6.根据权利要求5所述的检测装置，其中，

所述间隔是第三消息与第四消息的接收间隔，所述第四消息具有与所述第三消息的所述第二序列号相同的所述第二序列号。

7.根据权利要求6所述的检测装置，其中，

所述检测部在所述正式判定中修正所述临时判定中的非法消息的检测结果后，转移到过渡状态，在所述过渡状态下，基于附加有相同的所述识别信息的所述消息中在时间上连续接收到的所述消息的接收间隔以及所述序列号，来检测所述非法消息。

8.一种检测装置，检测车载网络中的非法消息，所述检测装置具备：

监视部，在所述车载网络中，对周期性地发送的周期消息以及不定期地且以比所述周期消息的发送周期短的间隔连续发送两个以上的事件消息进行监视，所述周期消息及所述事件消息中附加有发送源的识别信息；以及

检测部，基于所述监视部的监视结果，对附加有相同的所述识别信息且连续发送的所述事件消息的数量进行计数，并基于计数结果检测非法消息。

9.一种检测方法，是检测车载网络中的非法消息的检测装置中的检测方法，所述检测方法包括以下步骤：

将周期性地发送的周期消息以及不定期地发送的事件消息作为所述车载网络中的消息进行监视，所述周期消息及所述事件消息中附加有发送源的识别信息及序列号；

当所述检测装置从所述车载网络接收到所述事件消息时，变更与所述识别信息对应的计数器值；

基于监视结果，将所述序列号与所述计数器值进行比较，并基于比较结果进行非法消息的检测的临时判定；以及

基于附加有相同的所述识别信息的所述消息中满足与所述序列号相关的规定条件的所述消息的间隔以及所述周期消息的规定的发送周期，进行所述非法消息的检测的正式判定。

10.一种检测程序，在检测车载网络中的非法消息的检测装置中使用，

所述检测程序是用于使计算机作为监视部、计数器部以及检测部发挥功能的程序，

所述监视部将周期性地发送的周期消息以及不定期地发送的事件消息作为所述车载网络中的消息进行监视，所述周期消息及所述事件消息中附加有发送源的识别信息及序列号，

当所述检测装置从所述车载网络接收到所述事件消息时，所述计数器部变更与所述识别信息对应的计数器值，

所述检测部基于所述监视部的监视结果，将所述序列号与所述计数器值进行比较，并基于比较结果进行非法消息的检测的临时判定，

所述检测部基于附加有相同的所述识别信息的所述消息中满足与所述序列号相关的规定条件的所述消息的间隔以及所述周期消息的规定的发送周期，进行所述非法消息的检测的正式判定。