JP2018157463A - 車載通信システム、通信管理装置、車両制御装置 - Google Patents

Abstract

【課題】通信管理装置を介した車両制御装置間の通信時に、通信性および安全性を確保しつつ、通信管理装置の負担を軽減する。【解決手段】車載通信システム１００は、車両３０に構築されたネットワークに接続された複数のローカルＥＣＵ２（車両制御装置）と、該ネットワークに接続されてローカルＥＣＵ２間の通信を管理するゲートウェイＥＣＵ１（通信管理装置）とから構成される。ゲートウェイＥＣＵ１は、いずれかのローカルＥＣＵ２から受信した情報に基づいて異常と異常の種類を検出し、該異常の種類に応じて、該異常の種類を各ローカルＥＣＵ２に通知するとともに、いずれかのローカルＥＣＵ２から受信した情報を他のローカルＥＣＵ２に送信する。ローカルＥＣＵ２は、ゲートウェイＥＣＵ１から通知された異常の種類に応じて、所定の制御を実行する。【選択図】図１

Description

本発明は、車両に構築されたネットワークにおいて、車両制御装置間の通信を通信管理装置により管理する車載通信システムに関する。

たとえば自動四輪車などの車両には、複数の車両制御装置が搭載されている。車両制御装置は、ＥＣＵ（Electronic Control Unit）から構成されている。各車両制御装置は、ＣＡＮ（Controller Area Network）やＬＩＮ（Local Interconnect Network）などの、車両に構築されたネットワークの所定のノードに接続されている。各車両制御装置は、制御対象の車載機器の制御などに必要な情報を、他の車両制御装置に対して送受信する。そして、車両制御装置同士は相互に通信することにより、協調動作する。車両制御装置間の通信を管理するため、ネットワークには、通信管理装置が接続されている。通信管理装置も、各車両制御装置と通信を行う。

車両に複数のネットワークが構築される場合もある。この場合、通信管理装置を複数のネットワークに接続して、異なるネットワークにそれぞれ接続された車両制御装置間の通信を、通信管理装置を経由させることにより可能にしている。具体的には、異なるネットワークにそれぞれ接続された車両制御装置間の通信時に、通信管理装置は、一方のネットワーク上の車両制御装置から受信した情報をフィルタリング処理して、該情報を他方のネットワーク上の車両制御装置に中継（送信）したり、または該情報を除外（非送信）したりする。また、一方のネットワークと他方のネットワークとで通信プロトコルが異なる場合は、これらのネットワークを跨る車両制御装置間の通信時に、情報の通信プロトコルが通信管理装置により変換処理される。

そのような通信管理装置によるフィルタリング処理および／または通信プロトコル変換処理は、まとめてゲートウェイ処理と呼ばれている。通信管理装置もＥＣＵから構成されている。通信管理装置は、ゲートウェイ装置やゲートウェイＥＣＵや通信管理ＥＣＵなどと呼ばれている。これに対して、車両制御装置は、ローカル装置やローカルＥＣＵなどと呼ばれている。上記のような通信管理装置と複数の車両制御装置とから構成された車載通信システムは、たとえば特許文献１〜３に開示されている。

車載通信システムにおいては、不正行為の意図を持った者（以下、「不正者」という。）が不正な装置をネットワーク上に設けて、該不正な装置から不正な情報を送信することにより、車両制御装置間の通信が妨害されたり、車両制御装置が誤動作したりするなどの問題がある。このため、特許文献１〜３では、通信管理装置が、車両制御装置から受信した情報（データや信号を含む）に基づいて、異常を検出する。

特許文献１では、ゲートウェイＥＣＵが、一方のローカルＥＣＵからのメッセージの受信完了時または受信途中に、メッセージに含まれる信頼性が確認できるデータや信号により、通信信頼性を判断する。この時点で、ゲートウェイＥＣＵは、通信結果が正常な場合は、他方のローカルＥＣＵに対するゲートウェイ送信を継続する。対して、通信結果が異常な場合は、ゲートウェイ送信を中断するか、または異常メッセージをゲートウェイ送信データに付加する。

特許文献２では、監視装置が、所定の期間に亘って通信線の電圧を複数回サンプリングし、その結果に基づいて通信線に接続された複数のローカルＥＣＵの異常を検出する。そして、監視装置が、複数のローカルＥＣＵに異常を通知して、通信線に対する所定の情報送信を行うことにより、複数のローカルＥＣＵによる情報の受信を妨げる。

特許文献３では、通信管理ＥＣＵが、各ローカルＥＣＵから識別情報を受信して、通信可能なローカルＥＣＵをリストに登録する。また、通信管理ＥＣＵは、各ローカルＥＣＵと隣接する接続ポート（ノード）に対する他のローカルＥＣＵの接続状態を示す隣接ポート情報を、各ローカルＥＣＵから受信する。そして、通信管理ＥＣＵは、隣接ポート情報に対応するローカルＥＣＵがリストに未登録の場合は、該ローカルＥＣＵを通信障害発生中としてリストに登録し、該リストをローカルＥＣＵに送信する。ローカルＥＣＵは、リストを参照することで、協調動作する相手方のローカルＥＣＵが、通信障害発生中なのか、あるいは車両に非搭載なのかを把握して、動作可能となる。

特開２０１５−８８９４１号公報 特開２０１６−１３１３２５号公報 特開２００５−２０４０８４号公報

従来の車載通信システムでは、通信管理装置を介した車両制御装置間の通信時に、安全性確保の観点から、通信管理装置が、車両制御装置から受信した情報に基づいて異常を検出すると、車両制御装置間の通信を停止させたり、該情報を中継しなかったりする対策がとられている。しかし、これによると、車両制御装置で必要な情報であるにもかかわらず、該情報が車両制御装置で受信されず、該車両制御装置が適切に制御を行えなくなる可能性がある。

また、通信管理装置が、いずれかの車両制御装置から受信した情報に基づいて異常を検出すると、該情報を異常通知とともに、他の車両制御装置へ送信する場合がある。しかし、この場合、たとえばＤＯＳ攻撃（Denial of Service attack）のような、大量の情報が不正な装置から送り付けられる異常が発生したときに、該大量の情報を通信管理装置や車両制御装置が処理したり、ネットワークが高負荷状態となったりするため、他の通信が困難になってしまう。また、たとえば、車両制御装置を誤動作させる不正な情報が不正な装置から送り付けられる異常が発生したときに、該不正な情報が通信管理装置により中継されるため、該不正な情報を受信した車両制御装置が誤動作してしまう。

さらに、通信管理装置が、異常の検出時に安全を確保するため、車両制御装置間の通信を停止させたり、所定の情報送信により車両制御装置間の通信を妨げたりするなどの、車両制御装置に対する制御を行うと、通信管理装置の負担が大きくなってしまう。

本発明の課題は、通信管理装置を介した車両制御装置間の通信時に、通信性および安全性を確保しつつ、通信管理装置の負担を軽減することである。

本発明による車載通信システムは、車両に構築されたネットワークに接続されて相互に通信を行い、車両の各部を制御する複数の車両制御装置と、前記ネットワークに接続されて、車両制御装置間の通信を管理する通信管理装置とから構成される。車両制御装置間の通信時に、いずれかの車両制御装置から送信された情報は、通信管理装置を経由して、他の車両制御装置で受信される。通信管理装置は、車両制御装置間の通信時に、いずれかの車両制御装置から受信した受信情報に基づいて、異常および該異常の種類を検出する異常検出部と、異常の種類に応じて、該異常の種類を他の車両制御装置に通知する異常通知部と、異常の種類に応じて、受信情報を他の車両制御装置に送信する送信制御部とを備えている。車両制御装置は、通信管理装置から通知された異常の種類に応じて所定の制御を実行する。

また、本発明の通信管理装置は、車両に構築されたネットワークに接続され、このネットワークに複数接続された車両制御装置間の通信を管理する通信管理装置であって、車両制御装置間の通信時に、いずれかの車両制御装置から送信された情報を受信して、該受信情報を他の車両制御装置へ送信する。この通信管理装置は、車両制御装置間の通信時に、いずれかの車両制御装置から受信した受信情報に基づいて、異常および該異常の種類を検出する異常検出部と、異常の種類に応じて、該異常の種類を他の車両制御装置に通知する異常通知部と、異常の種類に応じて、受信情報を他の車両制御装置に送信する送信制御部とを備えている。

また、本発明の車両制御装置は、車両に構築されたネットワークに複数接続されて相互に通信を行い、車両の各部を制御する装置である。車両制御装置間の通信時に、いずれかの車両制御装置から送信された情報は、ネットワークに接続された通信管理装置を経由して、他の車両制御装置で受信される。車両制御装置は、上記送信された情報に基づいて通信管理装置が検出した異常および該異常の種類を含んだ異常通知メッセージを、通信管理装置から受信し、また、異常の種類に応じて、上記送信された情報を通信管理装置から受信する。そして、車両制御装置は、異常通知メッセージに含まれている異常の種類に応じて所定の制御を実行する。

本発明によると、通信管理装置が、いずれかの車両制御装置から受信した受信情報に基づいて異常および該異常の種類を検出し、該異常の種類に応じて、他の車両制御装置に該異常の種類を通知する。また、通信管理装置が、前記異常の種類に応じて、前記受信情報を他の車両制御装置に送信する。そして、車両制御装置が、通信管理装置から通知された異常の種類に応じて所定の制御を実行し、また、他の車両制御装置から通信管理装置を介して受信した情報に基づいて、所定の制御を実行する。このため、通信管理装置を介した車両制御装置間の通信時に、発生した異常の種類に応じて、通信管理装置および車両制御装置を適切に動作させて、車両制御装置間の通信性および車両制御装置の安全性を確保することができる。また、通信管理装置が、異常の検出に応じて車両制御装置に対する制御を行うのではなく、車両制御装置が、通知された異常の種類に応じて自ら制御を行う。つまり、車両制御装置が、通信管理装置から通知される異常の種類に応じて、自身の振る舞いを判断して、自発的に動作するので、通信管理装置の負担を軽減することができる。

本発明では、上記車載通信システムにおいて、ネットワークは車両に複数構築され、各ネットワークには、複数の車両制御装置と、単一で共通の通信管理装置とが接続され、通信管理装置の異常通知部は、異常検出部により検出された異常の種類に応じて、各車両制御装置に対して該異常の種類を通知してもよい。

また、本発明では、上記車載通信システムにおいて、車両制御装置は、通信管理装置から通知された異常の種類に応じて、通信の安全性を確保するためのセキュリティ動作を切り替えてもよい。

また、本発明では、上記車載通信システムにおいて、通信管理装置は、異常が検出された車両制御装置から再度受信した情報に基づいて、異常検出部により異常を検出しなくなった場合、異常の種類を通知した車両制御装置に対して、異常通知部により異常の解消を通知してもよい。車両制御装置は、通信管理装置から異常の解消が通知されたことに応じて、異常の種類が通知される前の制御状態に復帰する。

また、本発明では、上記車載通信システムにおいて、通信管理装置の異常通知部は、異常の種類の通知または異常の解消の通知を、所定の周期で複数回実行してもよい。

また、本発明では、上記車載通信システムにおいて、通信管理装置の異常検出部が、異常の種類として、正常な通信を妨害する周期で一定量を超える大量の情報が送り込まれる周期異常を検出した場合、異常通知部は周期異常を通知せず、 送信制御部は前記大量の情報を破棄してもよい。

また、本発明では、上記車載通信システムにおいて、通信管理装置の異常検出部が、異常の種類として、いずれかの車両制御装置から受信した受信情報に含まれる送信元の識別情報が未定義である識別情報異常を検出した場合、異常通知部は、識別情報異常を通知せず、送信制御部は、受信情報を他の車両制御装置に送信してもよい。この場合、車両制御装置は、通信管理装置を介して受信した情報に基づいて識別情報異常を検出して、該情報に含まれる未定義の識別情報を記憶し、以後、当該未定義の識別情報を含んだ情報を受信しても、該情報を処理の対象外としてもよい。

さらに、本発明では、上記車載通信システムにおいて、通信管理装置の異常検出部が、異常の種類として、いずれかの車両制御装置から受信した情報が不正である不正情報異常を検出した場合、異常通知部は、不正情報異常と受信情報に含まれる送信元の識別情報とを含んだ異常メッセージを、車両制御装置に対して通知し、送信制御部は、受信情報を他の車両制御装置に対して送信してもよい。なお、受信した情報の不正とは、たとえば、該情報の内容、形式、受信タイミング、または送信元が、規定外またはそのときの車両状態に対して正当でないことをいう。この場合、異常メッセージが通知された車両制御装置は、該異常メッセージに含まれる送信元の識別情報を不正な識別情報として記憶し、以後、当該不正な識別情報を含んだ情報の受信時に、該受信情報の認証を行い、該認証が成功すると、該受信情報に基づいて前記所定の制御を実行してもよい。

本発明によれば、通信管理装置を介した車両制御装置間の通信時に、通信性および安全性を確保しつつ、通信管理装置の負担を軽減することができる。

本発明の実施形態による車載通信システムの構成図である。 図１のゲートウェイＥＣＵの構成図である。 図１のローカルＥＣＵの構成図である。 図１の車載通信システムの動作を示したフローチャートである。 図１のローカルＥＣＵ間で通信される情報の一例を示した図である。 図１のゲートウェイＥＣＵからローカルＥＣＵに送られるメッセージの一例を示した図である。 図１の車載通信システムで生じる通信異常状態の一例を示した図である。 図１の車載通信システムで生じる通信異常状態の一例を示した図である。 図１のゲートウェイＥＣＵの記憶内容の一例を示した図である。 図１のローカルＥＣＵの記憶内容の一例を示した図である。

以下、本発明の実施形態につき、図面を参照しながら説明する。各図において、同一の部分または対応する部分には、同一符号を付してある。

まず、実施形態の車載通信システム１００の構成を、図１を参照しながら説明する。

図１は、車載通信システム１００の構成図である。車載通信システム１００は、自動四輪車から成る車両３０に搭載されている。車載通信システム１００は、１個のゲートウェイＥＣＵ（Electronic Control Unit）１と複数のローカルＥＣＵ２_（１）〜ＥＣＵ２_（１０）とから構成されている。以下では、ＥＣＵ２_（１）〜ＥＣＵ２_（１０）をまとめてＥＣＵ２と表記する。

車両３０には、ＣＡＮ（controller area network）やＬＩＮ（Local Interconnect Network）などのバス型のネットワークが複数構築されている。各バス４Ａ〜４Ｃのネットワークには、複数のローカルＥＣＵ２が接続されている。

たとえば、図１では、バス４Ａのネットワークに設けられた各所定の接続ノードには、ローカルＥＣＵ２_（１）〜ＥＣＵ２_（３）がそれぞれ接続されている。また、バス４Ｂのネットワークに設けられた各所定の接続ノードには、ローカルＥＣＵ２_（４）〜ＥＣＵ２_（７）がそれぞれ接続されている。さらに、バス４Ｃのネットワークに設けられた各所定の接続ノードには、ローカルＥＣＵ２_（８）〜ＥＣＵ２_（１０）がそれぞれ接続されている。

各ローカルＥＣＵ２は、車両３０の各部を制御する。詳しくは、各ローカルＥＣＵ２は、車両３０に搭載されたエンジン、ブレーキ、パワーステアリング装置、エアコン、エアバッグなどの制御対象ごとに割り当てられており、これらの動作を制御する。また、各ローカルＥＣＵ２は通信を行い、車載機器の動作の制御などに必要な情報を、他のローカルＥＣＵ２に対して送受信する。また、各ローカルＥＣＵ２は、他のローカルＥＣＵ２との通信の安全性を確保するためのセキュリティ動作も行う。そして、ローカルＥＣＵ２同士は相互に通信することにより、協調動作する。

バス４Ａ〜４Ｃのネットワークには、単一で共通のゲートウェイＥＣＵ１が接続されている。詳しくは、ゲートウェイＥＣＵ１は、各バス４Ａ〜４Ｃの所定の接続ノードに接続されている。ゲートウェイＥＣＵ１は、ローカルＥＣＵ２間の通信を管理する。ゲートウェイＥＣＵ１による通信の管理は、同一ネットワーク内に限らず、異なるネットワーク間でも行われる。

ゲートウェイＥＣＵ１は、各ローカルＥＣＵ２に対して情報を送受信する。同一ネットワークにそれぞれ接続されたローカルＥＣＵ２間の通信時に、いずれかのローカルＥＣＵ２から送信された情報が、直接他のローカルＥＣＵ２で受信される場合と、ゲートウェイＥＣＵ１を経由して、他のローカルＥＣＵ２で受信される場合とがある。異なるネットワークにそれぞれ接続されたローカルＥＣＵ２間の通信時には、いずれかのローカルＥＣＵ２から送信された情報が、ゲートウェイＥＣＵ１を経由して、他のローカルＥＣＵ２で受信される。つまり、ローカルＥＣＵ２間の通信は、直接またはゲートウェイＥＣＵ１を介して可能になっている。

ゲートウェイＥＣＵ１を介したローカルＥＣＵ２間の通信時に、ゲートウェイＥＣＵ１は、いずれかのローカルＥＣＵ２から受信した情報をフィルタリング処理して、該情報を他のローカルＥＣＵ２に対して中継（送信）したり、または該情報を除外（非送信および破棄）したりする。

同一のネットワークに接続された複数のローカルＥＣＵ２の通信プロトコルは同一であるが、異なるネットワークに接続された複数のローカルＥＣＵ２の通信プロトコルは、同一である場合と、異なっている場合とがある。異なるネットワークに接続された複数のローカルＥＣＵ２の通信プロトコルが異なっている場合は、該ローカルＥＣＵ２間の通信時に、ゲートウェイＥＣＵ１により通信プロトコルが変換処理される。

上記のようなゲートウェイＥＣＵ１によるフィルタリング処理および／または通信プロトコル変換処理は、まとめてゲートウェイ処理と呼ばれている。ゲートウェイＥＣＵ１は、本発明の「通信管理装置」の一例である。ローカルＥＣＵ２は、本発明の「車両制御装置」の一例である。

ゲートウェイＥＣＵ１には、ＯＢＤII（On Board Diagnosis second generation）ポート５が接続されている。ＯＢＤIIポート５には、図示しない故障診断装置がコネクタやケーブルを介して接続される。これにより、たとえば、故障診断装置がゲートウェイＥＣＵ１を経由して、各ローカルＥＣＵ２から車載機器の故障診断情報を取得したり、各ローカルＥＣＵ２に対して自己診断用のプログラムを書き換えたりすることができる。

次に、ゲートウェイＥＣＵ１の構成を、図２を参照しながら説明する。

図２は、ゲートウェイＥＣＵ１の構成図である。ゲートウェイＥＣＵ１には、制御部１１、記憶部１５、通信部１６、およびＯＢＤIIインタフェイス１９が備わっている。

制御部１１は、ＣＰＵとメモリなどから構成されている。記憶部１５は、不揮発性のメモリから構成されている。記憶部１５には、各バス４Ａ〜４Ｃのネットワークに関する情報、各バス４Ａ〜４Ｃのネットワーク接続された各ローカルＥＣＵ２のＩＤ（識別情報）、ゲートウェイＥＣＵ１のＩＤ、および通信異常に関する情報などが、予め記憶されている。制御部１１は、記憶部１５に対して情報を読み出したり、情報を記憶させたりする。

通信部１６は、各ローカルＥＣＵ２と通信を行うための受信部１７および送信部１８から構成されている。受信部１７は、各ローカルＥＣＵ２から情報を受信するための受信回路を備えている。また、送信部１８は、各ローカルＥＣＵ２に情報を送信するための送信回路を備えている。ＯＢＤIIインタフェイス１９は、前述した故障診断装置と通信するための通信回路を備えている。

制御部１１には、異常検出部１２、異常通知部１３、およびゲートウェイ部１４が備わっている。ゲートウェイＥＣＵ１を介したローカルＥＣＵ２間の通信時に、異常検出部１２は、受信部１７によりローカルＥＣＵ２から受信した情報に基づいて、他のローカルＥＣＵ２にかかわる通信上の異常の有無を検出し、異常が有ることを検出した場合は、さらに該異常の種類を検出する。制御部１１は、異常検出部１２の検出結果から、異常のあるローカルＥＣＵ２および異常が解消したローカルＥＣＵ２を判断する。

異常通知部１３は、異常検出部１２により検出された異常の種類に応じて、該異常の種類を含んだ異常メッセージを、送信部１８によりローカルＥＣＵ２に通知する。この通知は、全ての種類の異常について行われるのではなく、異常の種類によって、通知される場合と通知されない場合とがある（詳細は後述）。また、異常通知部１３は、通知した異常が、その後解消されたと制御部１１により判断されると、該異常が解消されたことを示す異常解消メッセージを、送信部１８によりローカルＥＣＵ２に通知する。

ゲートウェイＥＣＵ１を介したローカルＥＣＵ２間の通信時に、ゲートウェイ部１４は、受信部１７によりいずれかのローカルＥＣＵ２から受信した情報をフィルタリング処理して、該情報を他のローカルＥＣＵ２に送信するか否かを判断する。このとき、ゲートウェイ部１４は、いずれかのローカルＥＣＵ２から受信した情報を送信すると判断した場合、該情報を送信部１８により他のローカルＥＣＵ２に送信する（中継処理）。また、ゲートウェイ部１４は、いずれかのローカルＥＣＵ２から受信した情報を送信しないと判断した場合、該情報を他のローカルＥＣＵ２に送信せずに、破棄する（除外処理）。

また、通信プロトコルが異なるローカルＥＣＵ２間の通信時に、ゲートウェイ部１４は、受信部１７によりいずれかのローカルＥＣＵ２から受信した情報の通信プロトコルを、他のローカルＥＣＵ２が受信可能な通信プロトコルに変換する（通信プロトコル変換処理）。

さらに、ゲートウェイ部１４は、異常検出部１２により検出された異常の種類に応じて、受信部１７によりいずれかのローカルＥＣＵ２から受信した情報を、他のローカルＥＣＵ２に送信するか否かを判断する。このとき、ゲートウェイ部１４は、異常の種類に応じて、いずれかのローカルＥＣＵ２から受信した情報を送信すると判断した場合、該情報を送信部１８により他のローカルＥＣＵ２に送信する。また、ゲートウェイ部１４は、異常の種類に応じて、いずれかのローカルＥＣＵ２から受信した情報を送信しないと判断した場合、該情報を他のローカルＥＣＵ２に送信せずに、破棄する。ゲートウェイ部１４は、本発明の「送信制御部」の一例である。

次に、ローカルＥＣＵ２の構成を、図３を参照しながら説明する。

図３は、ローカルＥＣＵ２の構成図である。ローカルＥＣＵ２には、制御部２１、記憶部２５、および通信部２６が備わっている。

制御部２１は、ＣＰＵとメモリなどから構成されている。記憶部２５は、不揮発性のメモリから構成されている。記憶部２５には、各バス４Ａ〜４Ｃのネットワークに関する情報、各バス４Ａ〜４Ｃのネットワーク接続された各ローカルＥＣＵ２のＩＤやゲートウェイＥＣＵ１のＩＤ、および通信異常に関する情報などが、予め記憶されている。制御部２１は、記憶部２５に対して情報を読み出したり、情報を記憶させたりする。

通信部２６は、他のローカルＥＣＵ２やゲートウェイＥＣＵ１と通信を行うための受信部２７および送信部２８から構成されている。受信部２７は、他のローカルＥＣＵ２やゲートウェイＥＣＵ１から情報を受信するための受信回路を備えている。また、送信部２８は、他のローカルＥＣＵ２やゲートウェイＥＣＵ１に情報を送信するための送信回路を備えている。

制御部２１は、制御対象の車載機器の動作を制御する。また、制御部２１は、車載機器の動作の制御などに必要な情報を、通信部２６により他のローカルＥＣＵ２に対して送受信する。制御部２１には、異常検出部２２、セキュリティ切替部２３、および情報認証部２４が備わっている。

ゲートウェイＥＣＵ１からローカルＥＣＵ２に対して、前述した異常メッセージが送信されると、該異常メッセージが受信部２７により受信される。このとき、異常検出部２２が、受信された異常メッセージに基づいて、他のローカルＥＣＵ２にかかわる通信上の異常の発生と該異常の種類を検出する。また、異常検出部２２は、他のローカルＥＣＵ２から送信された情報を受信部２７により受信したときに、該情報に基づいて異常の有無を検出し、異常が有れば該異常の種類を検出する。セキュリティ切替部２３は、異常検出部２２により検出された異常の種類に応じて、他のローカルＥＣＵ２との通信の安全性を確保するためのセキュリティ動作を切り替える。

また、ゲートウェイＥＣＵ１からローカルＥＣＵ２に対して、前述した異常解消メッセージが送信されると、該異常解消メッセージが受信部２７により受信される。このとき、異常検出部２２が、異常解消メッセージに基づいて、他のローカルＥＣＵ２にかかわる通信上の異常が解消したことを検出する。また、異常検出部２２は、他のローカルＥＣＵ２から受信部２７により受信した情報に基づいて、前に検出した異常が解消したことも検出する。セキュリティ切替部２３は、異常検出部２２により検出された異常の解消に応じて、セキュリティ動作を異常メッセージの通知前または異常検出部２２自身による異常検出前の制御状態に復帰させる。

情報認証部２４は、他のローカルＥＣＵ２に対してゲートウェイＥＣＵ１を経由しまたは経由せずに通信する情報の認証を行う。具体的には、情報認証部２４は、受信部２７により受信された情報に含まれる暗号化キーやカウンタ情報などの認証情報に基づいて、該情報の認証を行う。この情報認証部２４による情報の認証は、セキュリティ動作の一例であって、セキュリティ切替部２３により実行・非実行が切り替えられる。情報認証部２４による情報の認証が実行された場合、受信部２７により受信した情報の認証が成功したときにだけ、制御部２１が、該情報に基づいて車載機器の制御を実行する。

次に、車載通信システム１００の動作を、図４〜図９を参照しながら説明する。

図４は、車載通信システム１００の動作を示したフローチャートである。図４では、ゲートウェイＥＣＵ１を介したローカルＥＣＵ２間の通信時における、ゲートウェイＥＣＵ１、情報の送信元のローカルＥＣＵ２、および受信側のローカルＥＣＵ２の動作を示している。なお、受信側のローカルＥＣＵ２とは、送信元のローカルＥＣＵ２以外の車載通信システム１００に組み込まれたローカルＥＣＵ２であって、送信元のローカルＥＣＵ２が送信した情報を、ゲートウェイＥＣＵ１を介して受信するローカルＥＣＵ２のことである。つまり、受信側のローカルＥＣＵ２には、送信元のローカルＥＣＵ２が送信した情報を必要とするローカルＥＣＵ２と、該情報を必要としないローカルＥＣＵ２が含まれる。

まず、送信元のローカルＥＣＵ２が、少なくとも１つの他のローカルＥＣＵ２に対する情報を送信部２８により送信する（図４のステップＳ１）。このとき、送信元のローカルＥＣＵ２が正常な状態である場合は、該送信元のローカルＥＣＵ２から、正常な情報が送信される。

図５は、ローカルＥＣＵ２間で通信される情報の一例を示した図である。図５（ａ）に示す情報は、図４のステップＳ１で正常な状態の送信元のローカルＥＣＵ２から送信される情報である。この図５（ａ）の情報には、送信元のローカルＥＣＵ２のＩＤと制御データなどが含まれている。制御データは、ローカルＥＣＵ２が制御対象の車載機器の動作を制御するために必要なデータなどである。

一方、不正者により送信元のローカルＥＣＵ２が攻撃されて、送信元のローカルＥＣＵ２が異常な状態になった場合は、図４のステップＳ１で、送信元のローカルＥＣＵ２から異常な情報が送信される。この異常な情報には、たとえば、図５（ａ）に示した正常な情報と形式が異なる情報が含まれる。また、たとえば、図５（ａ）に示した正常な情報と形式は同じであるが、ローカルＥＣＵ２のＩＤや制御データなどがあり得ない内容となっているような情報も、上記異常な情報に含まれる。

送信元のローカルＥＣＵ２が異常な状態になるケースとして、たとえば、不正者がＯＢＤIIポート５に不正な装置を接続して、該不正な装置により送信元のローカルＥＣＵ２の制御プログラムを不正なプログラムに書き換えるケースがある。また、たとえば、不正者がいずれかのバス４Ａ〜４Ｃの接続ノードに接続されていたローカルＥＣＵ２を取り外して、該接続ノードに偽のローカルＥＣＵを接続するケースもある。このように送信元のローカルＥＣＵ２が異常な状態になった場合、たとえば図７Ａや図７Ｂに示すように、車載通信システム１００が通信異常状態となる。

図７Ａおよび図７Ｂは、車載通信システム１００で生じる通信異常状態の一例を示した図である。図７Ａの場合は、不正者により制御プログラムが不正なプログラムに書き換えられて、異常な状態となった送信元のローカルＥＣＵ２_（３）が、接続されているバス４Ａに対してＤＯＳ攻撃（Denial of Service attack）を行う。ＤＯＳ攻撃は、ネットワークの正常な通信を妨害する周期で、一定量を超える大量の情報をネットワークに送り込む周期異常の一例である。このＤＯＳ攻撃により、バス４Ａのネットワークが高負荷状態になる。また、バス４Ａに接続されたゲートウェイＥＣＵ１やローカルＥＣＵ２に大量の情報が送り込まれるので、該ＥＣＵ１、２が大量の情報を処理しようとした場合には、該ＥＣＵ１、２が高負荷状態となる。これらの結果、バス４Ａのネットワーク内の他の通信が困難になる。また、ゲートウェイＥＣＵ１を介した、バス４Ａのネットワークと他のバス４Ｂ、４Ｃのネットワークとの間の他の通信も困難になる。さらに、ゲートウェイＥＣＵ１が高負荷状態になった場合には、バス４Ｂのネットワークとバス４Ｃのネットワークとの間の他の通信も困難になる。

図７Ａの通信異常状態において、たとえば、車両３０のエンジンを始動させるために、車両３０の利用者がスタートスイッチ（図示省略）をオン操作したとする。すると、バス４Ａ上のＢＣＭ（Body Control Module）から成るローカルＥＣＵ２_（１）から、バス４Ｂに接続されたＥＣＭ（Engine Control Module）から成るローカルＥＣＵ２_（６）に対するエンジンの始動要求（制御データ）を含んだ情報が送信される。しかし、バス４ＡまたはゲートウェイＥＣＵ１が高負荷状態にあるため、ローカルＥＣＵ２_（１）から送信した情報が、ローカルＥＣＵ２_（６）で受信され難くなる。エンジンの始動要求を含んだ情報がローカルＥＣＵ２_（６）で受信されない限り、ローカルＥＣＵ２_（６）によりエンジンが始動されることはない。

また、図７Ｂの場合は、不正者によりローカルＥＣＵ２_（１）が取り換えられて、異常な状態となったローカルＥＣＵ２_（１）が偽のＢＣＭになりすます。そして、ローカルＥＣＵ２_（１）が、図示しない携帯機（電子キー）の認証を行うことなく、ＤＲＭ（Door Rock Module）から成るローカルＥＣＵ２_（１０）に対し、偽のドア解錠要求を含んだ情報を送信する。このなりすまし異常は、後述する不正情報異常の一例である。

図７Ｂの通信異常状態において、たとえば、ローカルＥＣＵ２_（１）から送信された偽のドア解錠要求を含んだ情報が、ゲートウェイＥＣＵ１により中継されて、ＤＲＭから成るローカルＥＣＵ２_（１０）で受信されたとする。この場合、車両３０の正当な利用者の意図に反して、ローカルＥＣＵ２_（１０）により車両３０のドアが解錠されて、不正者の車内への進入が可能になってしまう。

図４に示すように、送信元のローカルＥＣＵ２から送信された情報が、ゲートウェイＥＣＵ１の受信部１７により受信されると（図４のステップＳ２：ＹＥＳ）、異常検出部１２が、該情報に基づいて異常検出処理を実行する（図４のステップＳ３）。このとき、異常検出部１２は、送信元のローカルＥＣＵ２から受信した情報に基づいて、異常の有無および異常の種類を検出する。

送信元のローカルＥＣＵ２から送信された情報が正常な情報であれば、該情報を受信したゲートウェイＥＣＵ１の異常検出部１２が、該情報に基づいて異常を検出しない（図４のステップＳ４：ＮＯ）。この場合、制御部１１は、記憶部１５の記憶内容を参照して、送信元のローカルＥＣＵ２の異常記録が記憶されているか否かを判断する（図４のステップＳ９）。

図８は、ゲートウェイＥＣＵ１の記憶部１５の記憶内容の一例を示した図である。記憶部１５の所定の記憶領域には、図８に示すような、通信異常に関する通信異常テーブルＴ１が記憶されている。当該通信異常テーブルＴ１において、「異常の種類」は、異常検出部１２により検出可能な異常の種類を示している。本例では、「異常の種類」として、「周期異常」、「未定義ＩＤ異常」、および「不正情報異常」が挙げられている。

「周期異常」は、たとえば前述のＤＯＳ攻撃のように、正常な通信を妨害する周期で大量の情報がローカルＥＣＵ２など（正常なローカルＥＣＵ２と異常なまたは偽のローカルＥＣＵとを含む）から送り込まれる異常のことである。「未定義ＩＤ異常」は、ローカルＥＣＵ２などからの受信情報に含まれている送信元のＩＤが未定義（未登録）である異常のことである。他の例として、ローカルＥＣＵ２からの受信情報に、送信元のＩＤが含まれていない異常も、「未定義ＩＤ異常」に含めてもよい。未定義ＩＤ異常は、本発明の「識別情報異常」の一例である。

「不正情報異常」は、ローカルＥＣＵ２などから受信した受信情報の内容、形式、受信タイミング、または送信元が不正である異常のことである。たとえば、受信情報の内容の不正とは、そのときの車両３０の状態に対して、制御データが、ローカルＥＣＵ２間で通信されるはずのないデータを含んでいることである。受信情報の形式の不正とは、情報のレングスや容量が規定外であったり、受信情報に含まれるデータなどの配列が規定外であったりすることである。受信タイミングの不正とは、バス４Ａ〜４Ｃ間のシーケンスが規定外であることである。送信元の不正とは、情報の送信元のネットワークがバス４Ａ〜４Ｃ以外のネットワークであることや、情報の送信元がローカルＥＣＵ２以外の不明な装置であることなどである。図７Ｂで説明したなりすまし異常は、なりすました偽のローカルＥＣＵ２が送信した情報の制御データの内容や受信タイミングが不正となるため、「不正情報異常」に含まれる。

図８の通信異常テーブルＴ１の「ゲートウェイ対応動作」は、各異常の種類に応じたゲートウェイＥＣＵ１の制御動作を示している。この詳細は後述する。「該当ＥＣＵＩＤ」は、各異常の種類が検出された情報の送信元のローカルＥＣＵ２のＩＤを示している。

たとえば、図４のステップＳ２で受信した情報に含まれる送信元のローカルＥＣＵ２のＩＤと一致するＩＤが、通信異常テーブルＴ１の「該当ＥＣＵＩＤ」の欄に無ければ、制御部１１は、送信元のローカルＥＣＵ２の異常記録は記憶されていないと判断する（図４のステップＳ９：ＮＯ）。この場合、ゲートウェイ部１４が、通常時のゲートウェイ処理を実行する（図４のステップＳ１３）。このとき、送信元のローカルＥＣＵ２から受信した情報が、ゲートウェイ部１４によりフィルタリング処理（および／または通信プロトコル変換処理）されて、他の受信側のローカルＥＣＵ２に送信され、または非送信とされる。

ローカルＥＣＵ２は、自身が接続されているバス４Ａ〜４Ｃに対して、常に所定の周期で受信部２７により情報の受信を試みる。そして、受信部２７により情報を受信すると、制御部２１が、該情報に基づいて、自身にとって必要な情報を受信したか否かを判断する（図４のステップＳ２１）。このため、たとえば、図４のステップＳ１３により、送信元のローカルＥＣＵ２から送信された情報が、ゲートウェイＥＣＵ１により中継されて、受信側のローカルＥＣＵ２に送信されると、当該情報が、受信側のローカルＥＣＵ２の受信部２７で受信される。そして、制御部２１が必要な情報を受信しなかったと判断した（図４のステップＳ２１：ＮＯ）受信側のローカルＥＣＵ２では、当該受信情報が破棄される。対して、制御部２１が必要な情報を受信したと判断した（図４のステップＳ２１：ＹＥＳ）受信側のローカルＥＣＵ２では、異常検出部２２が、当該受信情報に基づいて、異常検出処理を実行する（図４のステップＳ２２）。このとき、異常検出部２２は、送信元のローカルＥＣＵ２からゲートウェイＥＣＵ１を介して受信した情報に基づいて、「未定義ＩＤ異常」の有無を検出する。

たとえば、送信元のローカルＥＣＵ２から送信された情報が正常な情報であれば、該情報をゲートウェイＥＣＵ１を介して必要な情報として受信した受信側のローカルＥＣＵ２の異常検出部２２は、該情報に基づいて異常を検出しない（図４のステップＳ２３：ＮＯ）。この場合、制御部２１は、記憶部２５の記憶内容を参照して、送信元のローカルＥＣＵ２の異常記録が記憶されているか否かを判断する（図４のステップＳ２６）。

図９は、ローカルＥＣＵ２の記憶部２５の記憶内容の一例を示した図である。記憶部２５の所定の記憶領域には、図９に示すような、通信異常に関する通信異常テーブルＴ２が記憶されている。当該通信異常テーブルＴ２において、「異常の種類」として、本例では、「周期異常」、「未定義ＩＤ異常」、および「不正情報異常」が挙げられている。このうち、「未定義ＩＤ異常」だけが、ローカルＥＣＵ２が自身（異常検出部２２）で検出可能な異常である。「不正情報異常」は、ゲートウェイＥＣＵ１により検出された後、ローカルＥＣＵ２に通知される異常である（図８参照）。「周期異常」は、ゲートウェイＥＣＵ１により検出されるが、ローカルＥＣＵ２には通知されない異常である（図８参照）。本例では、「周期異常」は、ローカルＥＣＵ２が気付かない異常である。他の例として、ローカルＥＣＵ２が自身で「周期異常」を検出してもよい。

通信異常テーブルＴ２の「ローカル対応動作」は、各異常の種類に応じたローカルＥＣＵ２のセキュリティ上の制御動作を示している。「該当ＥＣＵＩＤ」は、各異常の種類が検出された送信元のローカルＥＣＵ２のＩＤを示している。なお、「周期異常」は、ローカルＥＣＵ２が気付かない異常であるため、「周期異常」に対応する「ローカル対応動作」は設定されておらず、「周期異常」に対応する「該当ＥＣＵＩＤ」は常に記録のない状態である。図９では、非設定および非記録の状態を横線（−）で示している。「ローカル対応動作」における横線の表示欄は、異常が検出されても対応動作を行わないことを表している。

たとえば、図４のステップＳ２１で受信した情報の送信元のローカルＥＣＵ２のＩＤと一致するＩＤが、通信異常テーブルＴ２の「該当ＥＣＵＩＤ」の欄に無ければ、受信側のローカルＥＣＵ２の制御部２１は、送信元のローカルＥＣＵ２の異常記録は記憶されていないと判断する（図４のステップＳ２６：ＮＯ）。この場合、制御部２１は、送信元のローカルＥＣＵ２からゲートウェイＥＣＵ１を介して受信した情報に基づいて、制御対象の車載機器の制御を実行する（図４のステップＳ２９）。

一方、送信元のローカルＥＣＵ２から送信された情報が異常な情報であれば、該情報を受信したゲートウェイＥＣＵ１の異常検出部１２が、図４のステップＳ３で、該情報に基づいて異常を検出し、さらに該異常の種類も検出する。このように、異常検出部１２により異常が検出されると（図４のステップＳ４：ＹＥＳ）、制御部１１が、該異常の内容を記憶部１５に記録する（図４のステップＳ５）。具体的には、記憶部１５に記憶された通信異常テーブルＴ１（図８）において、異常検出部１２により検出された異常の種類に対応する「該当ＥＣＵＩＤ」の欄に、異常が検出された情報を送信した送信元（以下、「異常情報送信元」という。）のローカルＥＣＵ２のＩＤを記録する。

次に、異常通知部１３が、異常検出部１２により検出された異常の種類に応じて、１回目の異常通知処理を実行する（図４のステップＳ６）。このとき、異常通知部１３は、記憶部１５に記憶された通信異常テーブルＴ１（図８）を参照し、異常検出部１２により検出された異常の種類に応じて、該異常の種類を含んだ異常メッセージの通知／非通知を決定する。そして、通知と決定した場合は、送信部１８により異常メッセージを各ローカルＥＣＵ２に通知し、非通知と決定した場合は、異常メッセージを各ローカルＥＣＵ２に通知しない。

具体的には、図８の通信異常テーブルＴ１に示すように、異常検出部１２により「周期異常」や「未定義ＩＤ異常」が検出された場合は、異常通知部１３は、異常メッセージを各ローカルＥＣＵ２に通知しない。また、異常検出部１２により「不正情報異常」が検出された場合は、異常通知部１３は、該不正情報異常の内容を含んだ異常メッセージを各ローカルＥＣＵ２に通知する。異常メッセージの通知先は、送信元のローカルＥＣＵ２以外の、車載通信システム１００に組み込まれた受信側の各ローカルＥＣＵ２である。

図６は、ゲートウェイＥＣＵ１からローカルＥＣＵ２に通知されるメッセージの一例を示した図である。図６（ａ）は、ゲートウェイＥＣＵ１がローカルＥＣＵ２に通知する異常メッセージである。この異常メッセージには、ゲートウェイＥＣＵ１のＩＤ、異常検出対象のローカルＥＣＵ２のＩＤ、異常有りの検出結果、および異常の種類の検出結果などが含まれている。

１回目の異常通知処理を実行してから所定時間経過後に、異常通知部１３は、２回目の異常通知処理を実行する（図４のステップＳ７）。この２回目の異常通知処理は、上述した１回目の異常通知処理と同様である。このため、たとえば、１回目の異常通知処理で、異常メッセージがローカルＥＣＵ２に送信された場合は、２回目の異常通知処理でも、同一の異常メッセージがローカルＥＣＵ２に送信される。他の例として、各回の異常通知処理で通知される異常メッセージ（図６（ａ））に、何回目の通知であるかを示す情報を含めてもよい。

その後、ゲートウェイ部１４が、異常検出部１２により検出された異常の種類に応じて、異常時のゲートウェイ処理を実行する（図４のステップＳ８）。このとき、ゲートウェイ部１４は、記憶部１５に記憶された通信異常テーブルＴ１（図８）を参照し、異常検出部１２により検出された異常の種類に応じて、送信元のローカルＥＣＵ２から受信した情報をゲートウェイ処理する。

具体的には、図８の通信異常テーブルＴ１に示すように、異常検出部１２により「周期異常」が検出された場合は、送信元のローカルＥＣＵ２から受信した情報（大量の情報）が、ゲートウェイ部１４により、フィルタリング処理されることなく破棄される。対して、異常検出部１２により「未定義ＩＤ異常」や「不正情報異常」が検出された場合は、送信元のローカルＥＣＵ２から受信した受信情報が、ゲートウェイ部１４によりフィルタリング処理（および／または通信プロトコル変換処理）されて、受信側のローカルＥＣＵ２に送信され、または非送信とされる。

ゲートウェイＥＣＵ１が受信側のローカルＥＣＵ２に送信（中継）する情報の形式は、図５（ａ）の送信元のローカルＥＣＵ２から送信された情報の形式とほぼ同一である（図示省略）。他の例として、ゲートウェイＥＣＵ１が受信側のローカルＥＣＵ２に送信する情報に、図５（ａ）の内容以外に、ゲートウェイＥＣＵ１により中継されたことを示す情報が含まれていてもよい。

受信側のローカルＥＣＵ２では、たとえば、前述したゲートウェイＥＣＵ１の１回目または２回目の異常通知処理により、ゲートウェイＥＣＵ１から送信された異常メッセージを、受信部２７により受信する（図４のステップＳ３１：ＹＥＳ）。すると、異常検出部２２が、該異常メッセージに基づいて、異常の発生と該異常の種類を検出する。そして、制御部２１が、異常検出部２２により検出された異常の内容を、記憶部２５に記録する（図４のステップＳ３２）。

前述したように、ゲートウェイＥＣＵ１からの異常メッセージには、異常の種類として「不正情報異常」だけが含まれている。このため、図４のステップＳ３２では、記憶部１５に記憶された通信異常テーブルＴ１（図８）において、「不正情報異常」の行の右端にある「該当ＥＣＵＩＤ」の欄（以下、「不正情報異常のＩＤ欄」という。）に、異常情報送信元のローカルＥＣＵ２のＩＤを記録する。

そして、セキュリティ切替部２３が、異常検出部２２により検出された異常の種類（不正情報異常）と、記憶部２５に記憶された通信異常テーブルＴ２（図９）とに基づいて、セキュリティ切替処理を実行する（図４のステップＳ３３）。このとき、通信異常テーブルＴ２の「不正情報異常」とローカルＥＣＵ２自身の立場とに従って、セキュリティ切替部２３がセキュリティ動作を切り替える。

図９において、通信異常テーブルＴ２の「不正情報異常」の欄に示すように、たとえば、車載通信システム１００の第１範囲（後述）にあるローカルＥＣＵ２では、セキュリティ切替部２３により情報認証モードに移行する。情報認証モードでは、まず制御部２１が、ゲートウェイＥＣＵ１からの異常メッセージに含まれる検出対象のローカルＥＣＵ２のＩＤを不正なＩＤとして、通信異常テーブルＴ２の不正情報異常のＩＤ欄に記録する。それから、以後、該不正なＩＤに対応するローカルＥＣＵ２との通信時に、情報認証部２４が、ゲートウェイＥＣＵ１を介して受信した受信情報から、図５（ｂ）に示すように該受信情報に含まれる認証情報（暗号化キーやカウンタ情報など）を検出して、該認証情報に基づいて受信情報の認証を行う。そして、当該認証が成功した場合にだけ、制御部２１が、受信情報に基づいて車載機器の制御を実行する。

「第１範囲にあるローカルＥＣＵ」とは、たとえば、異常メッセージ（図６（ａ））で示される、検出対象のローカルＥＣＵ２と同一ネットワークにあるローカルＥＣＵ２、および、検出対象のローカルＥＣＵ２と同一ネットワークにはないが、検出対象のローカルＥＣＵ２から送信された情報が必要なローカルＥＣＵ２のことである。なお、各ローカルＥＣＵ２では、通信する必要のある他のＥＣＵ１、２に関する情報（ＩＤなど）が、予め記憶部２５に記憶されている。また、ローカルＥＣＵ２間で通信する情報には、図５（ｂ）に示すように常に認証情報を含めてもよいし、ローカルＥＣＵ２が情報認証モードに移行してから、他のローカルＥＣＵ２に対して、以後送信する情報に認証情報を含めてもらうようにしてもよい。

また、たとえば、車載通信システム１００の第２範囲（後述）にあるローカルＥＣＵ２では、セキュリティ切替部２３によりＣＲＣ（Cyclic Redundancy Check；巡回冗長検査）チェックモードに移行する。ＣＲＣチェックモードでは、ローカルＥＣＵ２間の通信時に、送信元のローカルＥＣＵ２の制御部２１が、情報のデータ列をもとにして所定の演算を行ってチェック値を算出し、該チェック値を送信情報に付加する（図５（ｃ）のＣＲＣチェック値）。そして、受信側のローカルＥＣＵ２の制御部２１が、受信した必要な情報のデータ列をもとにして所定の演算を行って求めた値を、チェック値と比較することにより、情報の正当性を判断する。

「第２範囲にあるローカルＥＣＵ」とは、たとえば、異常メッセージ（図６（ａ））で示される検出対象のローカルＥＣＵ２から送信された情報が必要なローカルＥＣＵ２と同一ネットワークにあるローカルＥＣＵ２のことである。なお、ローカルＥＣＵ２間で通信する情報には、図５（ｃ）に示すように常にＣＲＣチェック値を含めてもよいし、ローカルＥＣＵ２がＣＲＣチェックモードに移行してから、他のローカルＥＣＵ２に対して、以後送信する情報にＣＲＣチェック値を含めてもらうようにしてもよい。

また、たとえば、車載通信システム１００の第３範囲にあるローカルＥＣＵ２では、セキュリティ切替部２３によりセキュリティ動作を切り替えない。つまり、現状のセキュリティ動作が維持される。「第３範囲にあるローカルＥＣＵ」とは、第１範囲および第２範囲に含まれないローカルＥＣＵ２のことである。具体的には、たとえば、検出対象のローカルＥＣＵ２および検出対象のローカルＥＣＵ２から送信された情報が必要なローカルＥＣＵ２に対して、同一ネットワークにないローカルＥＣＵ２のことである。

受信側のローカルＥＣＵ２では、たとえば、前述したゲートウェイＥＣＵ１の異常時のゲートウェイ処理により、ゲートウェイＥＣＵ１から送信された情報を、受信部２７により受信する。そして、制御部２１が必要な情報を受信したと判断した（図４のステップＳ２１：ＹＥＳ）受信側のローカルＥＣＵ２では、異常検出部２２が、当該受信情報に基づいて、未定義ＩＤの異常検出処理を実行する（図４のステップＳ２２）。

このとき、受信情報に未定義のＩＤが含まれていれば、異常検出部２２が、異常（未定義ＩＤ異常）を検出する（図４のステップＳ２３：ＹＥＳ）。この場合、制御部２１が、該異常の内容を記憶部２５に記録する（図４のステップＳ２４）。具体的には、記憶部２５に記憶された通信異常テーブルＴ２（図９）において、「未定義ＩＤ異常」の行の右端にある「該当ＥＣＵＩＤ」の欄（以下、「未定義ＩＤ異常のＩＤ欄」という。）に、異常情報送信元のローカルＥＣＵ２のＩＤを記録する。

そして、セキュリティ切替部２３が、検出された異常の種類（未定義ＩＤ異常）と通信異常テーブルＴ２とに基づいて、セキュリティ切替処理を実行する（図４のステップＳ２５）。このとき、図９の通信異常テーブルＴ２の「未定義ＩＤ異常」とローカルＥＣＵ２自身の立場とに従って、受信側のローカルＥＣＵ２のセキュリティ切替部２３がセキュリティ動作を切り替える。

前述したように、送信元のローカルＥＣＵ２から送信された情報が必要なローカルＥＣＵ２は、車載通信システム１００の第１範囲にあるローカルＥＣＵ２であるため、セキュリティ切替部２３によりフィルタリングレベルが強化される。具体的には、まず、当該ローカルＥＣＵ２の制御部２１が、送信元のローカルＥＣＵ２からゲートウェイＥＣＵ１を介して受信した情報に含まれる未定義のＩＤを、図９の未定義ＩＤ異常のＩＤ欄に記録する。そして、以後、同一の未定義のＩＤを含んだ情報を受信しても、該情報を受信および制御の処理の対象外とする。

また、制御部２１が、送信元のローカルＥＣＵ２からゲートウェイＥＣＵ１を介して受信した情報に基づいて、制御対象の車載機器の制御を実行する（図４のステップＳ２９）。このとき、当該受信情報に基づいて「未定義ＩＤ異常」を検出した場合と、検出しなかった場合とで、制御の内容を異ならせてもよい。

一方、送信元のローカルＥＣＵ２からゲートウェイＥＣＵ１を介して受信した情報に、未定義のＩＤが含まれていなければ、異常検出部２２が、異常を検出しない（図４のステップＳ２３：ＮＯ）。この場合、制御部２１が、記憶部２５に送信元のローカルＥＣＵ２の異常記録が記憶されているか否かを判断する（図４のステップＳ２６）。

このとき、通信異常テーブルＴ２（図９）の未定義ＩＤ異常のＩＤ欄に、図４のステップＳ２１で受信した情報の送信元のローカルＥＣＵ２のＩＤと一致するＩＤが有った場合、制御部２１は、記憶部２５に送信元のローカルＥＣＵ２の異常記録が記憶されていると判断する（図４のステップＳ２６：ＹＥＳ）。この場合、制御部２１は、「未定義ＩＤ異常」が解消したと判断し、送信元のローカルＥＣＵ２の異常記録を消去する（図４のステップＳ２７）。すなわち、通信異常テーブルＴ２の未定義ＩＤ異常のＩＤ欄から、送信元のローカルＥＣＵ２のＩＤを消去する。

そして、セキュリティ切替部２３が、セキュリティ復帰処理を実行する（図４のステップＳ２８）。このとき、セキュリティ切替部２３は、セキュリティ動作を通常時の状態に復帰させる。つまり、情報を受信する際のフィルタリングレベルが通常レベルに戻される。この後、制御部２１が、送信元のローカルＥＣＵ２からゲートウェイＥＣＵ１を介して受信した情報に基づいて、制御対象の車載機器の制御を実行する（図４のステップＳ２９）。

その後、再び送信元のローカルＥＣＵ２から情報が送信される（図４のステップＳ１）。すると、該情報がゲートウェイＥＣＵ１の受信部１７により受信され（図４のステップＳ２：ＹＥＳ）、異常検出部１２が、該情報に基づいて異常検出処理を実行する（図４のステップＳ３）。このとき、異常検出部１２が異常を検出しなければ（図４のステップＳ４：ＮＯ）、制御部１１が、記憶部１５に送信元のローカルＥＣＵ２の異常記録が記憶されているか否かを判断する（図４のステップＳ９）。

たとえば、図４のステップＳ２で受信した情報の送信元のローカルＥＣＵ２のＩＤと一致するＩＤが、通信異常テーブルＴ１の「該当ＥＣＵＩＤ」の欄に有れば、制御部１１は、送信元のローカルＥＣＵ２の異常記録は記憶されていると判断する（図４のステップＳ９：ＹＥＳ）。この場合、制御部１１は、送信元のローカルＥＣＵ２から再度受信した情報に基づいて、異常が無いことを検出したので、送信元のローカルＥＣＵ２の異常が解消したと判断し、該当する送信元のローカルＥＣＵ２の異常記録を消去する（図４のステップＳ１０）。

次に、異常通知部１３が、１回目の異常解消通知処理を実行する（図４のステップＳ１１）。このとき、異常通知部１３は、前に異常メッセージを通知したローカルＥＣＵ２に対して、該異常が解消したことを示す異常解消メッセージを送信部１８により通知する。

図６（ｂ）に示す情報は、ゲートウェイＥＣＵ１がローカルＥＣＵ２に対して通知する異常解消メッセージである。この異常解消メッセージには、ゲートウェイＥＣＵ１のＩＤ、検出対象のローカルＥＣＵ２のＩＤ、異常無しの検出結果、および異常解消の検出結果などが含まれている。解消した異常の種類も、異常解消メッセージに含めてもよい。

１回目の異常解消通知処理を実行してから所定時間経過後に、異常通知部１３は、２回目の異常解消通知処理を実行する（図４のステップＳ１２）。この２回目の異常解消通知処理は、上述した１回目の異常解消通知処理と同様である。このため、たとえば、１回目の異常解消通知処理で、異常解消メッセージがローカルＥＣＵ２に送信された場合は、２回目の異常解消通知処理でも、同一の異常解消メッセージがローカルＥＣＵ２に送信される。他の例として、各回の異常解消通知処理で通知される異常解消メッセージに、何回目の通知であるかを示す情報を含めてもよい。

その後、ゲートウェイ部１４が、通常時のゲートウェイ処理を実行する（図４のステップＳ１３）。これにより、送信元のローカルＥＣＵ２から受信した情報が、ゲートウェイ部１４によりフィルタリング処理されて、受信側のローカルＥＣＵ２に送信され、または非送信とされる。

受信側のローカルＥＣＵ２では、たとえば、前述したゲートウェイＥＣＵ１の１回目または２回目の異常解消通知処理により、ゲートウェイＥＣＵ１から送信された異常解消メッセージを、受信部２７により受信する（図４のステップＳ３４：ＹＥＳ）。すると、制御部２１が、該異常解消メッセージに基づいて、送信元のローカルＥＣＵ２に関する異常（不正情報異常）が解消されたと判断する。そして、制御部２１は、記憶部２５に記憶された通信異常テーブルＴ２（図９）の、送信元のローカルＥＣＵ２の異常記録（ＩＤ）を消去する（図４のステップＳ３５）。具体的には、通信異常テーブルＴ２の不正情報異常のＩＤ欄から、送信元のローカルＥＣＵ２のＩＤを消去する。

それから、セキュリティ切替部２３が、セキュリティ復帰処理を実行する（図４のステップＳ３６）。このとき、セキュリティ切替部２３は、セキュリティ動作を通常時の状態に復帰させる。つまり、セキュリティ動作を、今回解消された異常の種類を示した異常メッセージが通知される前の状態に戻す。

また、受信側のローカルＥＣＵ２では、ゲートウェイＥＣＵ１による通常時のゲートウェイ処理（図４のステップＳ１３）により送信（中継）された情報を、受信部２７により受信する。そして、制御部２１が、必要な情報を受信したと判断すると（図４のステップＳ２１：ＹＥＳ）、前述した手順で、図４のステップＳ２２〜ステップＳ２９の処理が実行される。

以上の実施形態によると、ゲートウェイＥＣＵ１が、いずれかのローカルＥＣＵ２から受信した情報に基づいて異常および該異常の種類を検出し、該異常の種類に応じて、他のローカルＥＣＵ２に異常の種類を通知する。また、ゲートウェイＥＣＵ１が、異常の種類に応じて、受信した情報を他のローカルＥＣＵ２に送信する。そして、ローカルＥＣＵ２が、ゲートウェイＥＣＵ１から通知された異常の種類に応じて、セキュリティ動作などの制御を実行し、また、他のローカルＥＣＵ２からゲートウェイＥＣＵ１を介して受信した情報に基づいて、制御対象の制御を実行する。

このため、ゲートウェイＥＣＵ１を介したローカルＥＣＵ２間の通信時に、発生した異常の種類に応じて、ゲートウェイＥＣＵ１およびローカルＥＣＵ２を適切に動作させて、ローカルＥＣＵ２間の通信性およびローカルＥＣＵ２の安全性を確保することができる。また、ゲートウェイＥＣＵ１が、異常の検出に応じてローカルＥＣＵ２に対する制御を行うのではなく、ローカルＥＣＵ２が、通知された異常の種類に応じて自ら制御を行う。つまり、ローカルＥＣＵ２が、ゲートウェイＥＣＵ１から通知される異常の種類に応じて、自身の振る舞いを判断して、自発的に動作するので、ゲートウェイＥＣＵ１の負担を軽減することができる。

また、以上の実施形態では、ゲートウェイＥＣＵ１を介したローカルＥＣＵ２間の通信時の異常の種類に応じて、情報が必要なローカルＥＣＵ２だけでなく、他の各ローカルＥＣＵ２にも、異常の種類を通知する。このため、これら各ローカルＥＣＵ２を、車載通信システム１００で生じた異常の種類に応じて適切に動作させることができる。また、ゲートウェイＥＣＵ１が、異常情報送信元のローカルＥＣＵ２以外の全てのローカルＥＣＵ２に対して、異常の種類を通知するので、通知先を特定のローカルＥＣＵ２に設定する場合より、ゲートウェイＥＣＵ１の負担を軽減することができる。

また、以上の実施形態では、ローカルＥＣＵ２が、ゲートウェイＥＣＵ１から通知された異常の種類に応じて、セキュリティ動作を切り替える。このため、情報の送信元のローカルＥＣＵ２において生じた異常の種類に応じて、各ローカルＥＣＵ２の通信時のセキュリティ動作を適切に切り替えて、通信の安全性をより向上させることができる。

また、以上の実施形態では、異常情報送信元のローカルＥＣＵ２から再度受信した情報に基づいて、異常検出部１２により異常を検出しなかった場合に、異常の種類を通知したローカルＥＣＵ２に対して、異常通知部１３により異常の解消を通知する。ローカルＥＣＵ２は、ゲートウェイＥＣＵ１から異常の解消が通知されたことに応じて、異常の種類が通知される前の制御状態に復帰する。このため、ローカルＥＣＵ２間の通信の異常が解消した時に、各ローカルＥＣＵ２を通常の制御状態に復帰させて、ローカルＥＣＵ２間の通信性を向上させることができる。また、ローカルＥＣＵ２で異常時のセキュリティ動作を実行すると、ローカルＥＣＵ２の処理負担が大きくなるが、以上の実施形態では、異常が解消したときに、ローカルＥＣＵ２が通常の制御状態に復帰するので、ローカルＥＣＵ２の処理負担を軽減することができる。

また、以上の実施形態では、ゲートウェイＥＣＵ１の異常通知部１３が、異常通知処理および異常解消通知処理を、所定の周期でそれぞれ複数回実行する。このため、異常の種類を含んだ異常メッセージおよび異常解消メッセージを、通知先のローカルＥＣＵ２に確実に通知して、該ローカルＥＣＵ２において適切に制御を実行させることができる。

また、以上の実施形態では、ゲートウェイＥＣＵ１の異常検出部１２が、ＤＯＳ攻撃のような周期異常を検出すると、受信した情報を破棄する。このため、周期異常によりゲートウェイＥＣＵ１に大量の情報が送り込まれても、ゲートウェイＥＣＵ１が高負荷状態になるのを抑制して、ゲートウェイＥＣＵ１を介した他のローカルＥＣＵ２間の通信を可能にし、該ローカルＥＣＵ２で適切に制御を実行させることができる。

また、以上の実施形態では、ゲートウェイＥＣＵ１の異常検出部１２が、異常の種類として、未定義ＩＤ異常を検出した場合、異常通知部１３は、該未定義ＩＤ異常を各ローカルＥＣＵ２に通知しないが、ゲートウェイ部１４が、該未定義のＩＤを含んだ情報を受信側のローカルＥＣＵ２に送信する。そして、ローカルＥＣＵ２は、ゲートウェイＥＣＵ１から受信した情報に基づいて、未定義のＩＤと未定義ＩＤ異常を検出すると、以後、該未定義のＩＤを含んだ受信情報を処理の対象外とする。つまり、送信元のローカルＥＣＵ２から受信した情報に、ゲートウェイＥＣＵ１で未定義のＩＤが含まれていても、該情報をゲートウェイＥＣＵ１により受信側のローカルＥＣＵ２に送信するので、通信性を確保することができる。また、ローカルＥＣＵ２では、送信元のローカルＥＣＵ２からゲートウェイＥＣＵ１を介して受信した情報に、ローカルＥＣＵ２で未定義のＩＤが含まれていると、以後、該未定義のＩＤを含んだ受信情報を処理の対象外とするので、ローカルＥＣＵ２の安全性を確保することができる。さらに、車載通信システム１００の各ネットワーク上あり得ない不正な装置から送信された情報が、各ローカルＥＣＵ２で処理の対象外として扱われるので、ゲートウェイＥＣＵ１の負担を軽減することができる。

さらに、以上の実施形態では、ゲートウェイＥＣＵ１の異常検出部１２が、異常の種類として、不正情報異常を検出した場合、異常通知部１３が、該不正情報異常と該異常の検出対象（送信元）のローカルＥＣＵ２のＩＤとを含んだ異常メッセージを各ローカルＥＣＵ２に通知する。また、ゲートウェイ部１４が、送信元のローカルＥＣＵ２から受信した情報を、受信側のローカルＥＣＵ２に送信する。そして、ローカルＥＣＵ２は、ゲートウェイＥＣＵ１から受信した異常メッセージに含まれる検出対象のローカルＥＣＵ２のＩＤを不正なＩＤとして記憶し、以後、該不正なＩＤを含んだ情報の受信時に、該情報の認証を行い、該認証が成功すると、該情報に基づいて制御を実行する。つまり、送信元のローカルＥＣＵ２から受信した情報が不正な情報であっても、該情報が異常メッセージとともに、ゲートウェイＥＣＵ１により受信側のローカルＥＣＵ２に送信されるので、通信性を確保することができる。また、ローカルＥＣＵ２では、ゲートウェイＥＣＵ１から通知された異常メッセージにより不正なＩＤを検出し、以後、該不正なＩＤを含んだ情報を受信しても、該情報の認証を行って、該認証が成功したときにだけ、該情報に基づいて制御を実行するので、ローカルＥＣＵ２および制御対象の車載機器の安全性を確保することができる。さらに、車載通信システム１００のネットワーク上のローカルＥＣＵ２になりすました不正な装置から送信された不正な情報に対して、各ローカルＥＣＵ２で認証して、信頼性のある情報であるか否かを判別するので、ゲートウェイＥＣＵ１の負担を軽減することができる。

本発明は、上述した以外にも種々の実施形態を採用することができる。たとえば、以上の実施形態では、ゲートウェイＥＣＵ１で検出した異常の種類に応じて、該異常が検出されたローカルＥＣＵ２以外の各ローカルＥＣＵ２に、異常の種類を含んだ異常メッセージを通知した例を示したが、本発明はこれのみに限定されるものではない。これ以外に、たとえば、ゲートウェイＥＣＵが、いずれかのローカルＥＣＵからの受信情報に基づいて検出した異常の種類に応じて、該受信情報が必要なローカルＥＣＵに対してだけ、異常メッセージを通知してもよい。また、異常検出部が検出した異常の種類に応じて、異常情報送信元のローカルＥＣＵまたは異常情報が必要なローカルＥＣＵと同一のネットワークにあるローカルＥＣＵなどのような、特定のローカルＥＣＵに対して、異常メッセージを通知してもよい。さらに、異常情報送信元のローカルＥＣＵに対しても、異常メッセージを通知してもよい。つまり、異常メッセージは、少なくとも異常情報が必要なローカルＥＣＵに通知すればよい。また、異常解消メッセージは、異常メッセージの通知先と同一の通知先に通知すればよい。

また、以上の実施形態では、ゲートウェイＥＣＵ１が、異常通知処理と異常解消通知処理をそれぞれ所定の周期で２回実行した例を示したが、本発明はこれのみに限定されるものではない。異常通知処理と異常解消通知処理は、それぞれ１回だけ実行してもよいし、３回以上実行してもよい。つまり、異常の種類などを含んだ異常メッセージと、異常の解消を示す異常解消メッセージの通知回数は、１回以上であればよい。異常通知処理と異常解消通知処理の実行回数を少なくすると、ゲートウェイＥＣＵ１の処理負担を軽減することができる。また、異常通知処理と異常解消通知処理の実行回数を多くすると、異常メッセージや異常解消メッセージの通知回数が多くなるので、通知先のローカルＥＣＵでの受信性を向上させることができる。

また、以上の実施形態では、ゲートウェイＥＣＵ１が受信側のローカルＥＣＵ２に対して、異常・異常解消のメッセージと、中継する情報とを、別々に送信した例を示したが、本発明はこれのみに限定されるものではない。これ以外に、たとえば、ゲートウェイＥＣＵ１が、検出した異常の種類に応じて、異常・異常解消のメッセージと中継する情報とを送信する場合には、異常・異常解消のメッセージと中継する情報とをまとめて、受信側のローカルＥＣＵ２に送信してもよい。

また、以上の実施形態では、ローカルＥＣＵ２が、ゲートウェイＥＣＵ１から通知された異常の種類に応じて、セキュリティ動作を切り替えた例を示したが、本発明はこれのみに限定されるものではない。これ以外に、たとえば、ローカルＥＣＵ２が、ゲートウェイＥＣＵ１から通知された異常の種類に応じて、セキュリティ動作以外の制御や、制御対象の車載機器の制御を切り替えてもよい。

また、以上の実施形態では、ゲートウェイＥＣＵ１の異常検出部１２が、周期異常、未定義ＩＤ異常、または不正情報異常を検出した例を示したが、本発明はこれのみに限定されるものではない。これらの異常とその他の通信上の異常のうち、少なくとも２つ以上を、異常検出部１２で検出すればよい。そして、その異常の種類に応じたゲートウェイＥＣＵ１の動作（異常通知処理、異常解消通知処理、およびゲートウェイ処理など）や、ローカルＥＣＵ２の動作（セキュリティ切替および車載機器制御など）を、予め設定しておけばよい。

また、以上の実施形態では、受信側のローカルＥＣＵ２のうち、送信元のローカルＥＣＵ２から送信された情報が必要なローカルＥＣＵ２が、該情報をゲートウェイＥＣＵ１を介して受信して、該情報に基づいて異常の有無を検出した例を示したが（図４のステップＳ２１〜Ｓ２３）、本発明はこれのみに限定されるものではない。これ以外に、たとえば、受信側の各ローカルＥＣＵ２が、送信元のローカルＥＣＵ２からゲートウェイＥＣＵ１を介して情報を受信したときに、該情報の要否にかかわらず、該情報に基づいて異常の有無を検出してもよい。この場合、異常の有無の検出後に、該検出結果に基づいて、図４のステップＳ２４〜Ｓ２８のような、異常の内容の記録処理、異常記録の確認処理、およびセキュリティ切替処理などを実行すればよい。またこの後、受信側の各ローカルＥＣＵ２が、前記受信情報が制御対象の車載機器の制御に必要な情報であるか否かを判断し、必要な情報ならば、該情報に基づいて制御対象の車載機器の制御を実行し（図４のステップＳ２９）、不要な情報ならば、制御対象の車載機器の制御を実行せずに、該情報を破棄すればよい。また、他の例として、ゲートウェイＥＣＵ１を介さない、ローカルＥＣＵ２間の通信時に、情報の送信元のローカルＥＣＵ２から受信した情報に基づいて、受信側のローカルＥＣＵ２が異常を検出し、該異常の種類に応じてセキュリティ切替などの制御を行ってもよい。さらに、ローカルＥＣＵ２が検出する異常は、未定義ＩＤ異常に限らず、ＤＯＳ攻撃のような周期異常、不正情報異常、またはその他の異常であってもよい。

また、以上の実施形態では、ゲートウェイＥＣＵ１が送信元のローカルＥＣＵ２から受信した情報を中継（転送）する場合、該情報を他の全てのローカルＥＣＵ２が受信可能なように送信した例を示したが、本発明はこれのみに限定されるものではない。これ以外に、たとえば、送信元のローカルＥＣＵが送信する情報（図５）に、該情報の送信先（宛先）のローカルＥＣＵまたはネットワークを示すデータ（ＩＤやポートやバスなどの識別情報）を含めておき、送信元のローカルＥＣＵから情報を受信したゲートウェイＥＣＵが、該情報に含まれる送信先のデータに基づいて、送信先のローカルＥＣＵまたはネットワークだけに情報を送信（転送）してもよい。

また、以上の実施形態では、通信管理装置としてゲートウェイＥＣＵ１を用い、車両制御装置としてローカルＥＣＵ２を用いた例を示したが、本発明はこれのみに限定されるものではない。その他の通信可能な装置を通信管理装置や車両制御装置として用いてもよい。

さらに、以上の実施形態では、自動四輪車から成る車両３０に搭載される車載通信システム１００に、本発明を適用した例を挙げた。然るに、たとえば自動二輪車や大型自動車などの他の車両に搭載される車載通信システムに対しても、本発明は適用が可能である。

１ ゲートウェイＥＣＵ（通信管理装置）
２、２_（１）〜２_（１０） ローカルＥＣＵ（車両制御装置）
１２ 異常検出部
１３ 異常通知部
１４ ゲートウェイ部（送信制御部）
３０ 車両
１００ 車載通信システム

Claims (10)

1. 車両に構築されたネットワークに接続されて相互に通信を行い、前記車両の各部を制御する複数の車両制御装置と、
   前記ネットワークに接続されて、前記車両制御装置間の通信を管理する通信管理装置と、から構成され、
   前記車両制御装置間の通信時に、いずれかの前記車両制御装置から送信された情報が、前記通信管理装置を経由して、他の前記車両制御装置で受信される車載通信システムにおいて、
   前記通信管理装置は、
   前記車両制御装置間の通信時に、前記いずれかの車両制御装置から受信した受信情報に基づいて、異常および該異常の種類を検出する異常検出部と、
   前記異常の種類に応じて、該異常の種類を前記他の車両制御装置に通知する異常通知部と、
   前記異常の種類に応じて、前記受信情報を前記他の車両制御装置に送信する送信制御部と、を備え、
   前記車両制御装置は、前記通信管理装置から通知された前記異常の種類に応じて所定の制御を実行する、ことを特徴とする車載通信システム。
2. 請求項１に記載の車載通信システムにおいて、
   前記ネットワークは、前記車両に複数構築され、
   前記各ネットワークには、複数の前記車両制御装置と、単一で共通の前記通信管理装置とが接続され、
   前記通信管理装置の前記異常通知部は、前記異常検出部により検出された前記異常の種類に応じて、前記各車両制御装置に対して該異常の種類を通知する、ことを特徴とする車載通信システム。
3. 請求項１または請求項２に記載の車載通信システムにおいて、
   前記車両制御装置は、前記通信管理装置から通知された前記異常の種類に応じて、通信の安全性を確保するためのセキュリティ動作を切り替える、ことを特徴とする車載通信システム。
4. 請求項１ないし請求項３のいずれかに記載の車載通信システムにおいて、
   前記通信管理装置は、
   異常が検出された車両制御装置から再度受信した情報に基づいて、前記異常検出部により異常を検出しなくなった場合、
   前記異常の種類を通知した前記車両制御装置に対して、前記異常通知部により異常の解消を通知し、
   前記車両制御装置は、前記通信管理装置から前記異常の解消が通知されたことに応じて、前記異常の種類が通知される前の制御状態に復帰する、ことを特徴とする車載通信システム。
5. 請求項４に記載の車載通信システムにおいて、
   前記通信管理装置の前記異常通知部は、前記異常の種類の通知または前記異常の解消の通知を、所定の周期で複数回実行する、ことを特徴とする車載通信システム。
6. 請求項１ないし請求項５のいずれかに記載の車載通信システムにおいて、
   前記通信管理装置の前記異常検出部が、前記異常の種類として、正常な通信を妨害する周期で一定量を超える大量の情報が送り込まれる周期異常を検出した場合、
   前記異常通知部は、前記周期異常を通知せず、
   前記送信制御部は、前記大量の情報を破棄する、ことを特徴とする車載通信システム。
7. 請求項１ないし請求項６のいずれかに記載の車載通信システムにおいて、
   前記通信管理装置の前記異常検出部が、前記異常の種類として、前記いずれかの車両制御装置から受信した前記受信情報に含まれる送信元の識別情報が未定義である識別情報異常を検出した場合、
   前記異常通知部は、前記識別情報異常を通知せず、
   前記送信制御部は、前記受信情報を前記他の車両制御装置に送信し、
   前記車両制御装置は、前記通信管理装置を介して受信した情報に基づいて前記識別情報異常を検出して、該情報に含まれる前記未定義の識別情報を記憶し、以後、当該未定義の識別情報を含んだ情報を受信しても、該情報を処理の対象外とする、ことを特徴とする車載通信システム。
8. 請求項１ないし請求項７のいずれかに記載の車載通信システムにおいて、
   前記通信管理装置の前記異常検出部が、前記異常の種類として、前記いずれかの車両制御装置から受信した情報が不正である不正情報異常を検出した場合、
   前記異常通知部は、前記不正情報異常と前記受信情報に含まれる送信元の識別情報とを含んだ異常メッセージを、前記車両制御装置に対して通知し、
   前記送信制御部は、前記受信情報を前記他の車両制御装置に対して送信し、
   前記異常メッセージが通知された前記車両制御装置は、該異常メッセージに含まれる前記送信元の識別情報を不正な識別情報として記憶し、以後、当該不正な識別情報を含んだ情報の受信時に、該受信情報の認証を行い、該認証が成功すると、該受信情報に基づいて前記所定の制御を実行する、ことを特徴とする車載通信システム。
9. 車両に構築されたネットワークに接続され、前記ネットワークに複数接続された車両制御装置間の通信を管理する通信管理装置であって、
   前記車両制御装置間の通信時に、いずれかの車両制御装置から送信された情報を受信して、該受信情報を他の車両制御装置へ送信する通信管理装置において、
   前記車両制御装置間の通信時に、前記いずれかの車両制御装置から受信した受信情報に基づいて、異常および該異常の種類を検出する異常検出部と、
   前記異常の種類に応じて、該異常の種類を前記他の車両制御装置に通知する異常通知部と、
   前記異常の種類に応じて、前記受信情報を前記他の車両制御装置に送信する送信制御部と、を備えたことを特徴とする通信管理装置。
10. 車両に構築されたネットワークに複数接続されて相互に通信を行い、前記車両の各部を制御する車両制御装置であって、
    当該車両制御装置間の通信時に、いずれかの車両制御装置から送信された情報が、前記ネットワークに接続された通信管理装置を経由して、他の車両制御装置で受信される車両制御装置において、
    前記送信された情報に基づいて前記通信管理装置が検出した異常および該異常の種類を含んだ異常通知メッセージを、前記通信管理装置から受信し、
    前記異常の種類に応じて、前記送信された情報を前記通信管理装置から受信し、
    前記異常通知メッセージに含まれている前記異常の種類に応じて所定の制御を実行する、ことを特徴とする車両制御装置。

Images