JP2017038291A - 車両用通信装置 - Google Patents

Abstract

【課題】車載ネットワークのセキュリティ性を向上させることができる車両用通信装置を提供することを目的の一つとする。
【解決手段】車載ネットワーク内に用いられる識別子と前記識別子ごとの優先度とを対応づけたテーブルを記憶する記憶部と、前記車載ネットワーク内で、前記識別子を含むフレームを送受信する送受信部と、前記送受信部が前記フレームを受信したことを条件に前記受信したフレームの次に優先度の高いフレームを前記送受信部に送信させる送受信制御部であって、前記送受信部により前記テーブルに登録されていない識別子を有するフレームであって優先度を保持しているフレームが受信された場合に、前記テーブルに登録されている前記識別子ごとの優先度を所定値高くする送受信制御部とを備える車両用通信装置である。
【選択図】図１

Description

本発明は、車両用通信装置に関する。

従来、車載ネットワークにおいて、不正なフレームを侵入させて誤動作させる攻撃を検知し防御するネットワークシステムが知られている（例えば、特許文献１参照）。このネットワークシステムの制御部は、基準とする受信フレームに対して、同じ識別子を持ち受信間隔が所定周期より短い第１のフレームを受信した場合には、基準とする受信フレームの受信時間から所定周期経過するまでに第１のフレームと同一の識別子を持つフレームの受信を待ち、この間に第１のフレームと同一の識別子を持つ第２のフレームを受信したときに、不正が発生したと判断して周期異常検出時処理を行う。

特開２０１４−１４６８６８号公報

従来の車載ネットワークでは、例えば不正なフレームを有するフレームが送信周期を可変に変えながら送信されたとき、セキュリティ性が低下する場合があった。
本発明は、このような事情を考慮してなされたものであり、車載ネットワークのセキュリティ性を向上させることができる車両用通信装置を提供することを目的の一つとする。

請求項１記載の発明は、車載ネットワーク内に用いられる識別子と前記識別子ごとの優先度とを対応づけたテーブル（ＳＴ）を記憶する記憶部（２０、５０）と、前記車載ネットワーク（ＮＷ）内で、前記識別子を含むフレームを送受信する送受信部（３８、６８）と、前記送受信部が前記フレームを受信したことを条件に前記受信したフレームの次に優先度の高いフレームを前記送受信部に送信させる送受信制御部であって、前記送受信部により前記テーブルに登録されていない識別子を有するフレームであって優先度を保持しているフレームが受信された場合に、前記テーブルに登録されている前記識別子ごとの優先度を所定値高くする送受信制御部（３４、６４）とを備える車両用通信装置（１０、４０）である。

請求項２記載の発明は、請求項１に記載の車両用通信装置において、前記送受信制御部は、前記送受信部により前記テーブルに記憶されていない識別子を有するフレームが受信された場合に、前記テーブルに記憶されている前記識別子ごとの優先度を、前記テーブルに登録されていない識別子を有するフレームが保持する優先度よりも高い優先度にする。

請求項３記載の発明は、請求項１または２記載の車両用通信装置において、前記送受信制御部は、前記車載ネットワーク内に送受信されるフレームの識別子を識別子ごとにカウントし、前記カウント結果において所定の識別子と前記所定の識別子の次に優先度が高い識別子とのカウント数が増加したとき、前記所定の識別子が不正であると判定する。
請求項１または２記載の車両用通信装置。

請求項４記載の発明は、請求項１から３のうちいずれか１項記載の車両用通信装置において、前記送受信制御部は、前記テーブルに記憶された識別子のなかで最も優先順位の低い識別子を有するフレームが前記車載ネットワーク内に送信されたときは、前記テーブルに記憶された識別子の中で最も優先順位の高い識別子を有するフレームを送信するように要求する。

請求項５記載の発明は、請求項１から４のうちいずれか１項記載の車両用通信装置において、前記送受信制御部は、前記送受信部により前記テーブルに記憶されていない識別子を有するフレームが受信された場合に、前記車載ネットワークの制御に使用される識別子の中で最も高い優先度の識別子を前記送受信部に送信させる。

請求項１、または２記載の発明によれば、送受信部によりテーブルに記憶されていない識別子であって優先度を保持するフレームが受信された場合に、送受信制御部が、テーブルに記憶されている識別子ごとの優先度を高くすることにより、車載ネットワークのセキュリティ性を向上させることができる。

請求項３記載の発明によれば、送受信制御部は、車載ネットワーク内に送受信されるフレームの識別子を識別子ごとにカウントし、所定の識別子と、所定の識別子の次に優先度が高い識別子とのカウント数が増加したときに、所定の識別子が不正であると判定することにより、なりすましを検知することができる。

請求項４記載の発明によれば、送受信制御部は、テーブルに記憶された識別子のなかで最も優先順位の低い識別子を有するフレームが前記車載ネットワーク内に送信されたときは、テーブルに記憶された識別子の中で最も優先順位の高い識別子を有するフレームを送信するように要求することにより、適切に車載ネットワークを制御させることができる。

請求項５記載の発明によれば、送受信制御部は、送受信部によりテーブルに記憶されていない識別子を有するフレームが受信された場合に、車載ネットワークの制御に使用される識別子の中で最も高い優先度の識別子を前記送受信部に送信させることにより、送受信部によりテーブルに記憶されていない識別子よりも優先度の高い識別子のフレームを送信させることができる。

車両用通信システム１の構成を示す図である。 ＥＣＵ１０の構成例を示す図である。 監視装置４０の機能構成を示す図である。 ＥＣＵ１０がバスに送信するフレームの形式例である。 比較対象の車両用通信システムの処理を模式的に示す図である。 ＥＣＵ１０の記憶部２０に記憶された送信スケジュールＳＴの一例を示す図である。 優先度情報ＰＴの一例を示す図である。 本実施形態の車両用通信システム１の処理を模式的に示す図である。 ＥＣＵ１０により実行される監視処理の流れを示すフローチャートである。 ＥＣＵ１０により実行される受信処理の流れを示すフローチャートである。 ＥＣＵ１０がフレームＤを送信する場合の流れを示すフローチャートである。 攻撃通通知が送信された場合にＥＣＵ１０により実行される受信処理の流れを示すフローチャートである。 攻撃通通知が送信された場合にＥＣＵ１０により実行される送信処理の流れを示すフローチャートである。 第２の実施形態の車両用通信システム１Ａの処理を模式的に示す図である。 第２の実施形態においてＥＣＵ１０により実行される受信処理の流れを示すフローチャートである。 第２の実施形態においてＥＣＵ１０により実行される送信処理の流れを示すフローチャートである。 第２の実施形態において監視装置４０により実行される監視処理の流れを示すフローチャートである。 カウント値監視処理の流れを示すフローチャートである。 第２の実施形態において監視装置４０により実行される送信処理の流れを示すフローチャートである。 第３実施形態の車両用通信システム１Ｂにおいて実行される処理を模式的に示す図である。 第４の実施形態おいて監視装置４０が実行する処理の流れを示すフローチャートである。

以下、図面を参照し、本発明の車両用通信装置の実施形態について説明する。

（第１の実施形態）
図１は、車両用通信システム１の構成を示す図である。車両用通信システム１は、例えば車両に搭載される。車両用通信システム１は、ネットワークＮＷ１と、ネットワークＮＷ２と、ネットワークＮＷ３とを備える。ネットワークＮＷ１、ＮＷ２、およびＮＷ３のそれぞれでは、例えば、ＣＡＮ（Controller Area Network）に基づく通信が行われる。

ネットワークＮＷ１は、バス２−１に接続されたＥＣＵ１０−１から１０−３を備える。ネットワークＮＷ２は、バス２−２に接続されたＥＣＵ１０−４から１０−６を備える。ネットワークＮＷ３は、バス２−３に接続されたＥＣＵ１０−７から１０−９を備える。以下、ＥＣＵ１０−１から１０−９を区別しない場合は、単にＥＣＵ１０と表記し、バス２−１から２−３を区別しない場合は、単にバス２と表記する。また、以下、ネットワークＮＷ１からＮＷ３を区別しない場合は、単にネットワークＮＷと表記する。バス２は、例えば、ツイストペアケーブルであり、差動電圧方式によって信号を伝達する。

ＥＣＵ１０は、例えばエンジンを制御するエンジンＥＣＵや、シートベルトを制御するシートベルトＥＣＵ等である。ＥＣＵ１０は、自装置が所属するネットワークＮＷに送信された識別子を含むフレーム（後述）を取得することができる。また、ＥＣＵ１０は、例えば設定されたフレームを受信したことを条件として、予め設定された優先度に応じてフレームをバス２に送信する。

例えばＥＣＵ１０−１は、例えばイグニッションスイッチがオン状態に制御された等の初期状態を検知した場合に、フレームＤ１０１をバス２に送信する。ＥＣＵ１０−２は、フレームＤ１０１を受信すると、フレームＤ１０２をバス２に送信する。例えばＥＣＵ１０−３は、フレームＤ１０２を受信すると、フレームＤ１０３をバス２に送信する。監視装置４０は、フレームＤ１０３を受信すると、フレームＤ１０４をバス２に送信し、フレームＤ１０４をバス２−１に送信した後、フレームＤ１０５をバス２−１に送信する。本実施形態の車両用通信システム１では、フレームＤは、フレームＤの識別子を基準として昇順にバス２に送信される。図示する例では、フレームＤの番号が小さい程、優先度が高いものとする。

図２は、ＥＣＵ１０の構成例を示す図である。ＥＣＵ１０は、例えば、記憶部２０と、制御部３０と、ＣＡＮコントローラ３６と、ＣＡＮトランシーバ３８とを備える。制御部３０は、例えば、ＣＰＵ（Central Processing Unit）等のプロセッサを有する。

記憶部２０は、例えば、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable and Programmable Read Only Memory）、ＨＤＤ（Hard Disk Drive）等の不揮発性の記憶装置と、ＲＡＭ（Random Access Memory）、レジスタ等の揮発性の記憶装置によって実現される。記憶部２０は、アプリケーションプログラム２２や、ＣＡＮドライバ２４等のプログラムを格納する。また、記憶部２０は、送信バッファ（不図示）と、受信バッファ（不図示）とを含む一時記憶領域２６を有する。また、記憶部２０には、ネットワークＮＷに送信されるフレームＤの送信スケジュールおよびフレームＤの優先度を示す情報である優先度情報が記憶されている。送信スケジュールおよび優先度情報の詳細は後述する。

アプリケーションプログラム２２は、ＥＣＵ１０に割り当てられた情報処理を行うためのプログラムである。ＣＡＮドライバ２４は、アプリケーションプログラム２２とＣＡＮコントローラ３６との間を仲介する。

制御部３０は、中央制御部３２と、通信制御部３４とを備える。中央制御部３２は、アプリケーションプログラム２２を実行することにより機能し、ＥＣＵ１０に与えられた制御を実行する。

通信制御部３４は、ＣＡＮトランシーバ３８により受信されたフレームＤに含まれる情報（識別子）を参照し、自装置が使用する情報が含まれたフレームＤであるか否かを判定する。自装置が使用する情報がフレームＤに含まれる場合、通信制御部３４は、フレームＤに含まれた情報を取得し、記憶部２０の一時記憶領域２６に格納する。

通信制御部３４は、ＣＡＮトランシーバ３８にフレームＤを送信させる。例えば通信制御部３４は、自装置が送信するフレームＤを送信することを示す識別子がバス２に送信され、送信された識別子のフレームＤを受信した場合に、自装置が送信する識別子を含むフレームＤをバス２に送信する。

ＣＡＮコントローラ３６は、ＣＡＮトランシーバ３８を介して、バス２との間で種々のフレームＤを送受信する。ＣＡＮコントローラ３６は、バス２にフレームＤを送信する際には、一時記憶領域２６の送信バッファに格納されたフレームＤを、例えばＮＲＺ（Non‐Return‐to‐Zero）方式でシリアルの送信信号に変換し、ＣＡＮトランシーバ３８に出力する。ＣＡＮコントローラ３６は、変換後の信号が「０」（ドミナント）のビットには論理レベルがLowの電圧を出力し、「１」（レセシブ）のビットには論理レベルがHighの電圧を出力する。また、ＣＡＮコントローラ３６は、ＣＡＮトランシーバ３８からフレームＤを受信する際には、受信したフレームＤを、例えばシリアルの送信信号から制御部３０が解析できる情報に変換し、ＣＡＮコントローラ３６を介して一時記憶領域２６の受信バッファに格納する。

ＣＡＮトランシーバ３８は、フレームＤを送信する送信部、またはフレームＤを受信する受信部として機能する。ＣＡＮトランシーバ３８は、ＣＡＮコントローラ３６から取得した送信信号を差動電圧に変換してバス２に送信する。また、ＣＡＮトランシーバ３８は、バス２からフレームＤを取得する際には、バス２の差動電圧を読み取り、所定の電圧範囲に含まれるように整形した受信信号をＣＡＮコントローラ３６に送信する。ＣＡＮコントローラ３６の受信端子Ｒｘにはコンパレータが取り付けられており、所定の閾値電圧とＣＡＮトランシーバ３８からの受信信号とを比較することで、「１」、「０」のデジタルフレームＤを生成して記憶部２０に格納する。

図３は、監視装置４０の機能構成を示す図である。監視装置４０は、監視側記憶部５０と、監視側制御部６０と、監視側ＣＡＮコントローラ６６と、監視側ＣＡＮトランシーバ６８とを備える。監視側記憶部５０は、監視側アプリケーションプログラム５２や、監視側ＣＡＮドライバ５４等のプログラムを格納する。また、監視側記憶部５０は、送信バッファ（不図示）と、受信バッファ（不図示）とを含む監視側一時記憶領域５６を有する。また、監視側記憶部５０には、後述する送信スケジュールおよび優先度情報が記憶されている。

監視側アプリケーションプログラム５２は、監視装置４０に割り当てられた情報処理を行うためのプログラムである。監視側ＣＡＮドライバ５４は、監視側アプリケーションプログラム５２と監視側ＣＡＮコントローラ６６との間を仲介する。

監視側制御部６０は、監視側中央制御部６２と、監視側通信制御部６４とを備える。監視側中央制御部６２は、監視側アプリケーションプログラム５２を実行することにより機能し、監視装置４０に与えられた制御を実行する。

監視側通信制御部６４は、監視側ＣＡＮトランシーバ６８により受信されたフレームＤに含まれる情報（識別子）を参照し、フレームＤが送信されたネットワークＮＷから他のネットワークＮＷに転送するフレームＤであるか否かを判定する。フレームＤを他のネットワークＮＷに転送する場合、フレームＤに含まれた情報を取得し、監視側記憶部５０の監視側一時記憶領域５６に格納する。

監視側通信制御部６４は、監視側ＣＡＮトランシーバ６８にフレームＤを送信させる。例えば監視側通信制御部６４は、自装置が送信するフレームＤを送信することを示す識別子がバス２に送信された場合に、自装置が送信する識別子を含むフレームＤをバス２に送信する。また、監視側通信制御部６４は、通信プロトコルが互いに異なる外部装置と通信する場合、外部装置と通信を中継するための処理を行う。

外部通信部６５は、他の通信装置との間で行われる通信を設定された通信プロトコルに基づいて実行するハードウェアである。監視側ＣＡＮコントローラ６６は、監視側ＣＡＮトランシーバ６８を介して、バス２との間で種々のフレームＤを送受信する。監視側ＣＡＮトランシーバ６８は、フレームＤを送信する送信部、またはフレームＤを受信する受信部として機能する。

図４は、ＥＣＵ１０がバスに送信するフレームＤの形式例である。１回の送信において送信されるフレームＤは、フレームＤの開始を表すスタートオブフレームＤ（ＳＯＦ）、フレームＤの識別子であるＩＤ、フレームＤとリモートフレームを識別するためのリモートトランスミッションリクエスト（ＲＴＲ）、フレームＤのバイト数等を表すコントロールフィールド、転送するフレームＤの実体であるデータフィールド、フレームＤの誤りをチェックするためのＣＲＣを付加するＣＲＣシーケンス、正しいメッセージを受信したユニットからの通知（ＡＣＫ）を受けるＡＣＫスロット及びＡＣＫデリミタ、フレームＤの終了を表すエンドオブフレーム（ＥＯＦ）等を含む。

バス２では、ＩＤとＲＴＲにより表される優先度に基づく通信調停が行われる。複数のＥＣＵ１０から同時にフレームＤが送信される場合、各ＥＣＵ１０は、自己が送信したフレームＤとバス状態をモニターした結果を比較する。ここで、リセッシブとドミナントが別々のＥＣＵ１０から同時に送信された場合、ドミナントが優先され、バスの状態はドミナントとなる。このとき、リセッシブを送信したノードは自己が送信したものとバス状態の違いにより、通信調停に負けたと判断して送信を停止する。係る原理により、複数のＥＣＵ１０から同時にフレームＤが送信開始された場合、他ノードがリセッシブ送信を行っているときにドミナントを送信したノードが通信調停に勝つことになるので、ＩＤの値が小さいフレームＤほど、優先度が高いということになる。

図５は、比較対象の車両用通信システムの処理を模式的に示す図である。図中、Ｔは送信周期を示している。周期Ｔにおいて、周期Ｔ内で複数のフレームＤがネットワークＮＷで送受信される。例えばＥＣＵ１０−１、１０−２、および１０−３は、それぞれ識別子１０１、１０２、および１０３のフレームＤ（フレームＤ１０１、フレームＤ１０２、フレームＤ１０３）を昇順で順番にネットワークＮＷに送信する。また、監視装置４０は、フレームＤ１０３がネットワークＮＷに送信された後、識別子１０４および１０５のフレームＤ（フレームＤ１０４、フレームＤ１０５）を昇順で順番にネットワークＮＷに送信する。

例えば１周期目では、送信スケジュールに登録されたフレームＤ１０１からＤ１０５が正常にネットワークＮＷに送信されたが、２周期目で送信スケジュールに存在しないフレームＤ１００が複数ネットワークＮＷに送信されたものとする。送信スケジュールは、フレームＤの識別子に、バス２に送信するフレームＤの順番を対応づけた一覧である。図６は、ＥＣＵ１０の記憶部２０に記憶された送信スケジュールＳＴの一例を示す図である。送信スケジュールＳＴは、例えばＥＣＵ１０の記憶部２０または監視装置４０の監視側記憶部５０に記憶される。ＥＣＵ１０に記憶される送信スケジュールＳＴは、例えば自装置が所属するネットワークＮＷにおける送信スケジュールである。監視装置４０の監視側記憶部５０に記憶される送信スケジュールＳＴは、例えば自装置が接続されたネットワークＮＷにおける送信スケジュールである。図示する例は、監視装置４０の監視側記憶部５０に記憶された送信スケジュールＳＴである。

また、ＥＣＵ１０の記憶部２０および監視装置４０の監視側記憶部５０には、識別子に対応付けられた優先度情報が記憶されている。図７は、優先度情報ＰＴの一例を示す図である。なお、監視装置４０の監視側記憶部５０には、例えば自装置が接続されたネットワークＮＷに存在する識別子に対する優先度情報ＰＴが記憶されている。

例えばフレームＤ１００の優先度がＥＣＵや監視装置が送信するフレームＤの優先度よりも高い場合、比較対象の車両用通信システムでは、優先度の高いフレームＤ１００がネットワークＮＷ内で送受信される。これにより１つの周期内で送信できるフレームＤの数（情報量）が上限値に達した場合、送信スケジュールＳＴに存在する優先度の低い識別子のフレームＤ（例えばフレームＤ１０２から１０５）の送信が遅延したり、送信先にフレームＤを送信できなかったりする場合がある。この場合、送信元のＥＣＵ等は、監視装置や送信先のＥＣＵの送信要求等により送信できなかったフレームＤを再送信する。この結果、フレームＤの送信が遅延し、ネットワークＮＷに含まれるＥＣＵの制御に遅延が生じる場合がある。

これに対して、本実施形態の車両用通信システム１では、ＥＣＵ１０または監視装置４０が送信スケジュールＳＴに存在しない優先度を保持しているフレームＤを検知した場合、ＥＣＵ１０または監視装置４０が送信するフレームＤの優先度を高くして、フレームＤの送信が遅延することを抑制する。ＥＣＵ１０または監視装置４０は、例えば送信スケジュールＳＴに存在する識別子の優先度を設定された値高くする。図８は、本実施形態の車両用通信システム１の処理を模式的に示す図である。例えば２周期目で送信スケジュールＳＴに存在しないフレームＤ１００が複数ネットワークＮＷに送信されたものとする。本実施形態の車両用通信システム１では、ＥＣＵ１０または監視装置４０が、例えば送信スケジュールＳＴに登録されたフレームＤ１０１からＤ１０５の識別子の優先度より高い優先度の識別子のフレームＤ１００がネットワークＮＷに送信されたことを検知する。この場合、ＥＣＵ１０または監視装置４０は、ネットワークＮＷが攻撃されていると判定する。ＥＣＵ１０または監視装置４０は、攻撃通知（例えばフレームＤ０００）をネットワークＮＷに送信する。攻撃通知は、ＥＣＵ１０または監視装置４０が、ネットワークＮＷが攻撃されていることをＥＣＵ１０または監視装置４０に通知する場合に、ネットワークＮＷに送信する通知である。攻撃通知には、例えば車載ネットワーク内または自装置が属するネットワークＮＷで使用される識別子の中で最も高い優先度の識別子である。ＥＣＵ１０または監視装置４０が、ネットワークＮＷに送信された送信スケジュールＳＴに存在しないフレームＤ１００より優先度が高い識別子のフレームＤをネットワークＮＷに送信することで、ネットワークＮＷが攻撃されていることを通知する。

ネットワークＮＷに攻撃通知が送信されたことを検知した場合、ＥＣＵ１０または監視装置４０は、例えば送信スケジュールＳＴに登録されている識別子ごとの優先度を、送信スケジュールＳＴに登録されていない識別子を有するフレームが保持している優先度より高くする。ＥＣＵ１０または監視装置４０は、自装置が送信するフレームＤの識別子を、ネットワークＮＷに送信された送信スケジュールＳＴに存在しないフレームＤ１００より優先度が高い識別子に変更し、変更した識別子のフレームＤをネットワークＮＷに送信する。これより、ＥＣＵ１０または監視装置４０が送信するフレームＤは、送信スケジュールＳＴに存在しないフレームＤより優先的に送信される。この結果、車両用通信システム１は、フレームＤの遅延を抑制することで制御の遅延を抑制させることができる。

なお、図中、「ＯＮ」は、イグニッションがオン状態にされたときを示し、図中、（１）、（２−１）、（３）は、各ＥＣＵ１０の初期化処理をしている時間を示している。例えばイグニッションがオン状態にされた場合、ＥＣＵ１０がフレームＤ１０１を送信してもよいし、監視装置４０の指示信号に応じてＥＣＵ１０がフレームＤ１０１を送信してもよい。図中、（２−２）は、ＥＣＵ１０−２が、フレームＤ１０２を送信するのを待機している時間を示している。

以下、監視装置４０またはＥＣＵ１０により実行される処理の流れについて、フローチャートに即して説明する。本実施形態では、一例としてＥＣＵ１０が実行する場合について説明する。

（監視処理）
図９は、ＥＣＵ１０により実行される監視処理の流れを示すフローチャートである。まず、ＥＣＵ１０は、送信スケジュールＳＴに含まれないフレームＤの識別子（以下、不正識別子という。）がネットワークＮＷに存在するか否かを判定する（ステップＳ１００）。送信スケジュールＳＴに含まれないフレームＤの識別子がネットワークＮＷに存在しない場合、ＥＣＵ１０は、ネットワークＮＷにおいて不正なフレームＤが送信されていないと判定し、本フローチャートの処理は終了する。

不正識別子がネットワークＮＷに存在する場合、ＥＣＵ１０は、不正識別子と、攻撃通知に含まれる識別子（攻撃通知識別子）とが一致するか否かを判定する（ステップＳ１０２）。ステップＳ１０２の処理で不正識別子と、攻撃通知識別子とが一致すると判定した場合、ＥＣＵ１０は、ネットワークＮＷが攻撃されていることを示す情報を出力する（ステップＳ１１２）。例えばエンジンを制御するＥＣＵ１０が、ネットワークＮＷが攻撃されていることを示す情報を出力する場合、エンジンを制御するＥＣＵ１０は、エンジンの回転数を示す計器に異常を示す情報を出力する。

ステップＳ１０２の処理で不正識別子と、攻撃通知識別子とが一致しない場合、ＥＣＵ１０は、不正識別子の優先度が、正規の上位識別子の優先度以上であるか否かを判定する（ステップＳ１０４）。正規の上位識別子は、ネットワークＮＷにおいて使用されると規定され、自装置が記憶する送信スケジュールＳＴに含まれるフレームＤに対応付けられていない識別子の中で、送信スケジュールＳＴに含まれるフレームＤに対応付けられた識別子より優先度の高い識別子である。

ステップＳ１０４で不正識別子の優先度が、正規の上位識別子の優先度以上の場合、ＥＣＵ１０は、フェールセーフを実行すると判定する（ステップＳ１０６）。これによりＥＣＵ１０は、例えば自装置の制御対象の車載機器等に対して、フェールセーフ（安全側に）制御する。例えばエンジンを制御するＥＣＵ１０がフェールセーフを実行する場合は、エンジンを制御するＥＣＵ１０は、エンジンの出力を抑制させる傾向でエンジンを制御する。

不正識別子の優先度が、正規の上位識別子の優先度未満の場合、ＥＣＵ１０は、送信するフレームＤの識別子の変更が必要であると判定する（ステップＳ１０８）。次に、ＥＣＵ１０は、攻撃通知の要求を行う（ステップＳ１１０）。次に、ＥＣＵ１０は、ネットアークＮＷが攻撃されていることを示す情報を情報出力部（不図示）に出力させる（ステップＳ１１２）。これにより本フローチャートの処理は終了する。

図１０は、ＥＣＵ１０により実行される受信処理の流れを示すフローチャートである。まず、ＥＣＵ１０が、前述した監視処理を実行する（ステップＳ１００からＳ１１２）。次に、ＥＣＵ１０は、フェールセーフを実行したか否かを判定する（ステップＳ１２０）。フェールセーフを実行しない場合（ステップＳ１０６でフェールセーフを実行すると判定されていない場合）、ＥＣＵ１０は、ネットワークＮＷに送信されたフレームＤに含まれる情報（受信値）を反映して制御値を設定し、設定した制御値に基づいて、制御対象の車載機器等を制御する（ステップＳ１２２）。フェールセーフを実行する場合（ステップＳ１０６でフェールセーフを実行すると判定された場合）、受信値を代替値に変更して制御値を設定し、設定した制御値に基づいて、制御対象の車載機器等を制御する（ステップＳ１２６）。代替値とは、例えば制御対象の車載機器等に対してフェールセーフを実行するための値である。これにより本フローチャートの処理は終了する。

図１１は、ＥＣＵ１０がフレームＤを送信する場合の流れを示すフローチャートである。まず、ＥＣＵ１０が、ステップＳ１０８で送信フレームＤの識別子を変更すると判定したか否かを判定する（ステップＳ１４０）。ステップＳ１０８の処理で送信フレームＤの識別子の変更をすると判定していない場合、ＥＣＵ１０は、自装置が送信するフレームＤを送信スケジュールＳＴに応じて送信する（ステップＳ１４２）。ステップＳ１０８で送信フレームＤの識別子の変更が必要であると判定した場合、ＥＣＵ１０は、ステップＳ１１０で要求した攻撃通知および識別子の変更を示す情報を含むフレームＤをネットワークＮＷに送信する（ステップＳ１４４）。これにより本フローチャートの処理は終了する。

（攻撃通知が送信された場合のＥＣＵ１０の送受信処理）
図１２は、攻撃通知が送信された場合にＥＣＵ１０により実行される受信処理の流れを示すフローチャートである。まず、ＥＣＵ１０が、攻撃通知を受信したか否かを判定する（ステップＳ１５０）。攻撃通知を受信していない場合、ＥＣＵ１０は、受信したフレームＤに含まれる受信値をネットワークＮＷに送信するフレームＤに含む情報（転送値）に反映する（ステップＳ１６０）。攻撃通知を受信した場合、ＥＣＵ１０は、ネットワークＮＷが攻撃されていると判定し、ネットワークＮＷが攻撃されていることを示す情報を情報出力部（計器等）に出力させる（ステップＳ１５２）。

次に、ＥＣＵ１０は、識別子の変更要求を示す情報（ステップＳ１４４参照）を受信したか否かを判定する（ステップＳ１５４）。識別子の変更要求を示す情報を受信していない場合、受信値に代替値を反映してフェールセーフ処理を実行する（ステップＳ１５６）。識別子の変更要求を示す情報を受信した場合、ＥＣＵ１０は、送受信するフレームＤの識別子を更新する（ステップＳ１５８）。これにより、ＥＣＵ１０は、送受信するフレームＤの識別子を不正識別子より優先度の高い識別子に変更する。次に、ＥＣＵ１０は、受信値を転送値に反映する（ステップＳ１６０）これにより本フローチャートの処理は終了する。

図１３は、攻撃通知が送信された場合にＥＣＵ１０により実行される送信処理の流れを示すフローチャートである。まず、ＥＣＵ１０が、フェールセーフ処理（ステップＳ１５６参照）を実行中であるか否かを判定する（ステップＳ１８０）。フェールセーフ処理を実行中でない場合、ＥＣＵ１０は、送信するフレームＤの識別子を不正識別子より優先度の高い識別子に変更してフレームＤをネットワークＮＷに送信する（ステップＳ１８２）。フェールセーフ処理を実行中である場合、ＥＣＵ１０は、送信フレームＤの送信を停止する（ステップＳ１８４）。これにより本フローチャートの処理は終了する。

本実施形態では、一例としてＥＣＵ１０が処理を実行するものとして説明したが、上述の処理は監視装置４０が行ってもよい。この場合において、監視装置４０が制御する対象機器等が存在しない場合、フェールセーフの実行等の対象機器等の制御に関する処理は省略する。

以上説明した第１の実施形態の車両用通信システム１の制御部３０は、ＣＡＮトランシーバ３８により送信スケジュールＳＴに記憶されていない識別子を有するフレームＤであって優先度を保持しているフレームが受信された場合に、送信スケジュールＳＴに記憶されている識別子ごとの優先度を所定値高くすることで、車載ネットワークのセキュリティ性を向上させることができる。

（第２の実施形態）
以下、第２の実施形態について説明する。第１の実施形態の車両用通信システム１は、送信スケジュールＳＴに存在しない識別子のフレームＤが検出された場合、ＥＣＵ１０が、自装置の送信するフレームＤの識別子の優先度を高く設定した。第２の実施形態の車両用通信システム１Ａは、識別子の数をカウントしてなりすましを検知する。以下、第１の実施形態の車両用通信システム１との相違点を中心に説明する。

図１４は、第２の実施形態の車両用通信システム１Ａの処理を模式的に示す図である。例えば２周期目で送信スケジュールＳＴに存在するフレームＤ１０２が、ＥＣＵ１０−２とは異なる機器等から送信されたものとする。すなわち、なりすましによりフレームＤ１０２Ｔｈが送信されたものとする。なりすましにより送信されたなりすましフレームＤ１０２ＴｈがネットワークＮＷに送信されたことにより、フレームＤ１０４の送信は妨害される場合がある。また、なりすましフレームＤ１０２ＴｈがネットワークＮＷに送信された後、ＥＣＵ１０−３はフレームＤ１０３を送信し、監視装置４０は、フレームＤ１０４を再送信およびフレームＤ１０５を送信する。これにより、送信スケジュールＳＴに登録されたフレームＤの送信が遅延する場合がある。

本実施形態では、監視装置４０監視側通信制御部６４は、識別子カウント処理を実行する。識別子カウント処理は、監視側通信制御部６４が、周期ごとにネットワークＮＷに送信されたフレームＤを識別子に対応付けてカウントする。監視側通信制御部６４は、例えば識別子カウント処理を実行することで、ネットワークＮＷに送信された識別子の一覧である識別子テーブル（図中、ＩＴ１、ＩＴ２）を生成する。図中、ＩＴ１は、周期Ｔ１に対応する識別子テーブルであり、ＩＴ２は、周期Ｔ１に対応する識別子テーブルである。識別子テーブルは、監視装置４０の監視側記憶部５０に記憶される。

例えば１つ目の周期では、各識別子に対応するフレームＤのカウント値は１である。一方、２つ目の周期では、なりすましフレームＤ１０２Ｔｈが送信されたことにより、フレームＤ１０２およびフレームＤ１０３のカウント値は２となる。ネットワークＮＷにおいて、１つの周期において、それぞれの識別子に対応するフレームＤは１つずつ送信される。監視側通信制御部６４は、１つの周期で同一の識別子を複数カウントした場合、カウント値が複数となった識別子を有するフレームＤは、なりすましフレームＤであると判定する。監視装置４０は、なりすましを検知したことを示すなりすまし検知情報をネットワークＮＷに送信する。

例えば監視側通信制御部６４は、カウント値が２となった識別子のフレームＤ１０２とフレームＤ１０３のうち、優先度の低い識別子のフレームＤはなりすましの可能性があると判定する。また、監視側通信制御部６４は、優先度の低い識別子のフレームＤのうち、最初にネットワークＮＷに送信されたフレームＤ１０２はなりすましのフレームＤ１０２でないと判定し、次にネットワークＮＷに送信されたフレームＤ１０２はなりすましのフレームＤ１０２であると判定する。ＥＣＵ１０−２は、フレームＤ１０２より小さい番号の識別子のフレームＤが送信されたことを条件にネットワークＮＷにフレームＤ１０２を送信するため、フレームＤ１０３の後にフレームＤ１０３より小さい番号の識別子のフレームＤ１０２がネットワークＮＷに送信されることが、通常ないためである。

（ＥＣＵの送受信処理）
図１５は、第２の実施形態においてＥＣＵ１０により実行される受信処理の流れを示すフローチャートである。まず、ＥＣＵ１０は、監視装置４０からなりすましを検知したことを示すなりすまし検知情報を受信したか否かを判定する（ステップＳ２００）。なりすまし検知情報を受信した場合、ＥＣＵ１０は、なりすましのフレームＤに含まれる受信情報を代替値に変更する（ステップＳ２０２）。これによりなりすましフレームＤに含まれる受信情報に対応する制御が実行されることが防止される。

なりすまし検知情報を受信していない場合、ＥＣＵ１０は、送信のトリガーとなる識別子のフレームＤ（送信トリガー）を受信したか否かを判定する（ステップＳ２０４）。送信トリガーとは、例えばＥＣＵ１０が送信するフレームＤの識別番号より１つ小さい（優先度が高い）識別番号である。送信トリガーを受信していない場合、本フローチャートの処理は終了する。送信トリガーを受信した場合、ＥＣＵ１０は、自装置が送信する識別子のフレームＤの送信を許可する（ステップＳ２０６）。次に、ＥＣＵ１０は、受信値を制御値に反映する（ステップＳ２０８）。これにより本フローチャートの処理は終了する。この結果、なりすましフレームＤに対応する情報は代替値が反映され、正規の識別子に対応するフレームＤに含まれる情報は、制御値に反映される。

図１６は、第２の実施形態においてＥＣＵ１０により実行される送信処理の流れを示すフローチャートである。まず、ＥＣＵ１０は、ネットワークＮＷの異常を検知中であるか否かを判定する（ステップＳ２２０）。例えばＥＣＵ１０は、監視装置４０からなりすまし検知情報を受信したか否かを判定する。

ネットワークＮＷの異常中を検知していない場合、本フローチャートの処理は終了する。ネットワークＮＷの異常中を検知した場合、ＥＣＵ１０は、自装置が送信するフレームＤを準備する（ステップＳ２２２）。次に、ＥＣＵ１０は、自身が送信するフレームＤがある１つの周期のなかで初回にネットワークＮＷに送信されるフレームＤであるか否かを判定する（ステップＳ２２４）。初回にネットワークＮＷに送信されるフレームＤでない場合、本フローチャートの処理は終了する。初回にネットワークＮＷに送信されるフレームＤである場合、ＥＣＵ１０は、自装置が送信する識別子のフレームＤを送信する（ステップＳ２２６）。初回フレームの場合は、なりすまし検知がされた周期とは異なる周期であるため、ＥＣＵ１０は、フレームＤを送信する。これにより本フローチャートの処理は終了する。

（監視装置の処理）
図１７は、第２の実施形態において監視装置４０により実行される監視処理の流れを示すフローチャートである。まず、監視装置４０の監視側通信制御部６４は、周期ごとにネットワークＮＷに送信されたフレームＤの識別子をカウントする識別子カウント処理を実行する（ステップＳ２３０）。次に、監視側通信制御部６４は、送信トリガーを受信したか否かを判定する（ステップＳ２３２）。ここでの送信トリガーは、例えばある周期において最後に送信する識別子のフレームの前の識別子のフレームである。送信トリガーを受信しなかった場合、本フローチャートの処理は終了する。

送信トリガーを受信した場合、監視側通信制御部６４は、カウント値監視処理を実行する（ステップＳ２３４）。監視側通信制御部６４は、ネットワークＮＷに存在する識別子の数を識別子ごとにカウントするカウント値監視処理（詳細は後述）を実行する。監視側通信制御部６４は、識別子テーブルを参照し、ネットワークＮＷに送信された識別子の数をカウントした結果、カウント値（識別子の数）が増えた識別子が存在する場合、なりすましを検知する。

次に、監視側通信制御部６４は、ネットワークＮＷへのフレームＤの送受信が停止中であるか否かを判定する（ステップＳ２３６）。ネットワークＮＷへのフレームＤの送受信が停止中であると判定した場合、本フローチャートの処理は終了する。

ネットワークＮＷへのフレームＤの送受信が停止中でないと判定した場合、監視側通信制御部６４は、なりすましを検知したか否かを判定する（ステップＳ２３８）。なりすましを検知していないと判定した場合、監視側通信制御部６４は、処理をステップＳ２４２に進める。なりすましを検知したと判定した場合、監視側通信制御部６４は、なりすましのフレームＤに含まれる受信値を代替値に反映する（ステップＳ２４０）。次に、監視側通信制御部６４は、自装置が送信する識別子のフレームＤの送信を許可する（ステップＳ２４２）。次に、監視側通信制御部６４は、受信値または代替値を制御値に反映させる（ステップＳ２４４）。これにより本フローチャートの処理は終了する。

（カウント値監視処理）
図１８は、カウント値監視処理の流れを示すフローチャートである。まず、監視側通信制御部６４は、予め設定された監視タイマがタイムアウトであるか否かを判定する（ステップＳ２５０）。監視タイマは、例えば１周期の長さに設定される。

設定された監視タイマがタイムアウトでないと判定した場合、監視側通信制御部６４は、各識別子のカウント値にずれがあるか否かを判定する（ステップＳ２５２）。各識別子のカウント値にずれがないと判定した場合、監視側通信制御部６４は、ネットワークＮＷが正常であると判定する（ステップＳ２５４）。各識別子のカウント値にずれがあると判定した場合、監視側通信制御部６４は、なりすましフレームＤがネットワークＮＷに送信されていると判定する（ステップＳ２５６）。すなわち、監視側通信制御部６４は、なりすましを検知する。次に、監視側通信制御部６４は、自装置が送信するフレームＤになりすましを検知したことを示す情報を設定する（ステップＳ２５８）。次に、監視側通信制御部６４は、監視タイマをリセットする（ステップＳ２６０）。

設定された監視タイマがタイムアウトであると判定した場合、監視側通信制御部６４は、各識別子のカウント値にずれがあるか否かを判定する（ステップＳ２６２）。各識別子のカウント値にずれがない場合、監視側通信制御部６４は、その他の識別子がカウントされたか否かを判定する（ステップＳ２６４）。その他の識別子とは、例えば送信スケジュールＳＴに存在しない識別子である。

その他の識別子がカウントされていない場合、監視側通信制御部６４は、ネットワークＮＷに障害があるか否かを判定する（ステップＳ２６６）。ネットワークＮＷに障害がありと判定した場合、監視側通信制御部６４は、ネットワークＮＷの異常を検知し（ステップＳ２６８）、送受信処理を停止すると共に、フェールセーフ動作を行う（ステップＳ２７０）。ネットワークＮＷに障害がなしと判定した場合、監視側通信制御部６４は、処理をステップＳ２８６に進める。

その他の識別子がカウントされた場合、監視側通信制御部６４は、ネットワークＮＷに障害があると判定し（ステップＳ２７２）、ネットワークＮＷが攻撃されていると判定する（ステップＳ２７４）。次に、監視側通信制御部６４は、送受信処理を停止すると共に、監視タイマをリセットする（ステップＳ２７６）。

各識別子のカウント値にずれがある場合、監視側通信制御部６４は、なりすましによるフレームＤがネットワークＮＷに送信されたため、ネットワークＮＷに障害があると判定する（ステップＳ２７８）。次に、監視側通信制御部６４は、なりすましを検知した結果、周期遅延が発生したと判定する（ステップＳ２８０）。次に、監視側通信制御部６４は、監視タイマをリセットする（ステップＳ２８２）。次に、監視側通信制御部６４は、自装置が送信するフレームＤになりすましを検知したことを示す情報を設定する（ステップＳ２８４）。次に、監視側通信制御部６４は、カウント値をリセットする（ステップＳ２８６）。これにより本フローチャートの処理は終了する。

図１９は、第２の実施形態において監視装置４０により実行される送信処理の流れを示すフローチャートである。まず、監視装置４０の監視側通信制御部６４は、なりすましを検知したか否かを判定する（ステップＳ２９０）。なりすましを検知した場合、監視側通信制御部６４は、処理をステップＳ２９２に進める。なお、この場合、前述したフローチャートで説明したように、なりすまし検知情報は自装置が送信するフレームＤに設定されている。

なりすましを検知していない場合、監視側通信制御部６４は、自装置が送信する識別子のフレームＤを設定する（ステップＳ２９１）。次に、監視側通信制御部６４は、ネットワークＮＷへフレームＤの送受信が停止中であるか否かを判定する（ステップＳ２９２）。ネットワークＮＷへのフレームＤの送受信が停止中であると判定した場合、本フローチャートの処理は終了する。

ネットワークＮＷへのフレームＤの送受信が停止中でないと判定した場合、監視側通信制御部６４は、ネットワークＮＷはアイドル状態であるか否かを判定する（ステップＳ２９３）。ネットワークＮＷがアイドル状態でないと判定した場合、本フローチャートの処理は終了する。ネットワークＮＷはアイドル状態であると判定した場合、監視側通信制御部６４は、ネットワークＮＷは正常であると判定し（ステップＳ２９４）、フレームＤの送受信を開始させる（ステップＳ２９５）。次に、監視側通信制御部６４は、設定した識別子のフレームＤ、または設定した識別子となりすまし検知情報を含むフレームのネットワークＮＷへの送信を許可する（ステップＳ２９６）。これにより本フローチャートの処理は終了する。

以上説明した第２の実施形態の車両用通信システム１Ａの監視装置４０は、車載ネットワーク内に送受信されるフレームＤの識別子を識別子ごとにカウントし、カウント結果において所定の識別子と、所定の識別子の次に優先度が高い識別子とのカウント数が増加したときに、所定の識別子が不正であると判定することで、車載ネットワークのセキュリティ性を向上させることができる。

（第３の実施形態）
以下、第３の実施形態について説明する。第３の実施形態の車両用通信システム１Ｂでは、監視装置４０が、ある周期において設定された数以上のフレームＤがネットワークＮＷに送信されたことを検知した場合、ＥＣＵ１０に、そのＥＣＵ１０が送信する識別子のフレームＤを送信することを要求する送信要求情報を含んだフレームＤをネットワークＮＷに送信する。以下、第１の実施形態の車両用通信システム１との相違点を中心に説明する。

図２０は、第３実施形態の車両用通信システム１Ｂにおいて実行される処理を模式的に示す図である。例えば最初の周期Ｔでは、送信スケジュールＳＴに登録され、周期Ｔで送信されるデータＤが正常に送信されたものとする。一方、次の周期Ｔでは、送信スケジュールＳＴに登録されていない不正識別子（データＤ１０２）が送信されたことにより、送信スケジュールＳＴに登録されたデータが次の周期Ｔで送信できず、送信スケジュールＳＴに登録されたデータの送信に遅延が生じたものとする。

監視装置４０は、ネットワークＮＷに送信されるフレームＤを異なるネットワークＮＷに転送する必要があり、送信スケジュールＳＴに登録されたフレームＤを設定された周期Ｔで送信されることを保証する必要がある。例えば、不正識別子がネットワークＮＷに送信された場合、ＥＣＵ１０は、他のＥＣＵ１０から所定の時間内にフレームＤを受信できないため、ネットワークＮＷの異常を検知して自装置がフレームＤを送信することを停止している場合がある。これに対して、本実施形態の監視装置４０は、自装置がネットワークＮＷにフレームＤを送信する場合、ＥＣＵ１０にフレームＤの送信を要求する送信要求情報を付加してフレームＤをネットワークＮＷに送信する。これによりＥＣＵ１０は、自装置が送信するフレームＤの送信を復帰させる。

例えば監視装置４０の監視側通信制御部６４は、識別子テーブルを生成する。監視側通信制御部６４は、図中、識別子テーブルＩＴ３またはＩＴ４を参照し、送信スケジュールＳＴに登録されていない識別子であるデータＤ００２がネットワークＮＷに送信されたと判定した場合、不正識別子がネットワークＮＷに送信されたと判定する。この場合、監視側通信制御部６４は、送信要求情報を自装置が送信するフレームＤに付加してフレームＤをネットワークＮＷに送信する。図中では、監視側通信制御部６４は、例えば送信要求情報を送信スケジュールに登録された最も優先順位が低い識別子のフレームＤ１０５に付加してネットワークＮＷに送信する。これにより、ＥＣＵ１０−１が送信を停止している場合であっても、送信要求情報を受信したことに応じて、ＥＣＵ１０−１は、送信スケジュールに登録された最も優先順位が高い識別子のフレームＤの送信を復帰させる。

以上説明した第３の実施形態の車両用通信システム１Ｂの監視装置４０は、ネットワークＮＷに不正識別子が送信された場合、ＥＣＵ１０にフレームＤの送信を要求する情報を付加してフレームＤをネットワークＮＷに送信することで、ネットワークＮＷにおけるフレームＤの送受信を復帰させることができる。

（第４の実施形態）
以下、第４の実施形態について説明する。第４の実施形態の車両用通信システム１Ｃでは、監視装置４０が、ネットワークＮＷにおける送信の周期を決定する。以下、第１の実施形態の車両用通信システム１との相違点を中心に説明する。

図２１は、第４の実施形態おいて監視装置４０が実行する処理の流れを示すフローチャートである。まず、監視装置４０の監視側通信制御部６４が、送信トリガーを受信したか否かを判定する（ステップＳ３００）。送信トリガーを受信していない場合、監視側通信制御部６４は、周期計測における識別子をカウントする（ステップＳ３０２）。周期計測は、例えば初回フレームＤまたは送信トリガー等の設定されたフレームＤを基準に送信スケジュールＳＴに登録されたフレームＤが送信される周期の長さの計測である。

送信トリガーを受信した場合、監視側通信制御部６４は、初回フレームＤを受信したか否かを判定する（ステップＳ３０４）。初回フレームＤを受信した場合、監視側通信制御部６４は、周期の計測を開始する（ステップＳ３０６）。初回フレームＤを受信していない場合、監視側通信制御部６４は、計測途中である周期計測値を退避させ、周期の再計測を開始する（ステップＳ３０８）。この場合、監視側通信制御部６４は、例えば送信トリガーを基準に周期を計測する。

次に、監視側通信制御部６４は、所定回数の周期の計測が終了したか否かを判定する（ステップＳ３１０）。所定回数の周期の計測が終了していない場合、本フローチャートの処理は終了する。所定回数の周期の計測が終了した場合、監視側通信制御部６４は、周期の平均を算出する（ステップＳ３１２）。次に、監視側通信制御部６４は、周期の計測の平均値と、設定された送信周期との差が所定度合以内か否かを判定する（ステップＳ３１４）。周期の計測の平均値と、設定された送信周期との差が所定度合以内である場合、監視側通信制御部６４は、周期を正常周期に設定する（ステップＳ３１６）。これにより周期は正常周期で更新される。周期の計測の平均値と、設定された送信周期との差が所定度合以内でない場合、監視側通信制御部６４は、初回フレームＤを再送信するように再要求を示す情報をネットワークＮＷに送信する（ステップＳ３１８）。これにより本フローチャートの処理は終了する。

以上説明した第４の実施形態の車両用通信システム１Ｃの監視装置４０は、送信スケジュールＳＴに登録されたフレームＤが送信される周期を計測し、検知結果に基づいて周期を設定したり、フレームＤを再送信させたりすることにより、第１の実施形態の車両通信装置１の効果を奏すると共に、ネットワークＮＷの異常を適切に判定することができる。

以上、本発明を実施するための形態について実施形態を用いて説明したが、本発明はこうした実施形態に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。

１‥車両用通信システム、１０‥ＥＣＵ、２０‥記憶部、３０‥制御部、３２‥中央制御部、３４‥通信制御部、３６‥ＣＡＮコントローラ、３８‥ＣＡＮトランシーバ、４０‥監視装置、５０‥監視側記憶部、６０‥監視側制御部、６２‥監視側中央制御部、６４‥監視側通信制御部、６６‥監視側ＣＡＮコントローラ、６８‥監視側ＣＡＮトランシーバ

Claims (5)

1. 車載ネットワーク内に用いられる識別子と前記識別子ごとの優先度とを対応づけたテーブルを記憶する記憶部と、
   前記車載ネットワーク内で、前記識別子を含むフレームを送受信する送受信部と、
   前記送受信部が前記フレームを受信したことを条件に前記受信したフレームの次に優先度の高いフレームを前記送受信部に送信させる送受信制御部であって、前記送受信部により前記テーブルに登録されていない識別子を有するフレームであって優先度を保持しているフレームが受信された場合に、前記テーブルに登録されている前記識別子ごとの優先度を所定値高くする送受信制御部と、
   を備える車両用通信装置。
2. 前記送受信制御部は、前記送受信部により前記テーブルに記憶されていない識別子を有するフレームが受信された場合に、前記テーブルに記憶されている前記識別子ごとの優先度を、前記テーブルに登録されていない識別子を有するフレームが保持する優先度よりも高い優先度にする、
   請求項１に記載の車両用通信装置。
3. 前記送受信制御部は、前記車載ネットワーク内に送受信されるフレームの識別子を識別子ごとにカウントし、前記カウント結果において所定の識別子と前記所定の識別子の次に優先度が高い識別子とのカウント数が増加したとき、前記所定の識別子が不正であると判定する、
   請求項１または２記載の車両用通信装置。
4. 前記送受信制御部は、前記テーブルに記憶された識別子のなかで最も優先順位の低い識別子を有するフレームが前記車載ネットワーク内に送信されたときは、前記テーブルに記憶された識別子の中で最も優先順位の高い識別子を有するフレームを送信するように要求する、
   請求項１から３のうちいずれか１項記載の車両用通信装置。
5. 前記送受信制御部は、前記送受信部により前記テーブルに記憶されていない識別子を有するフレームが受信された場合に、前記車載ネットワークの制御に使用される識別子の中で最も高い優先度の識別子を前記送受信部に送信させる、
   請求項１から４のうちいずれか１項記載の車両用通信装置。

Images