JP2021010123A - 情報処理装置、情報処理方法及びプログラム - Google Patents

Abstract

【課題】不正ＣＡＮコマンドの連続注入等の攻撃を受けた場合でもモビリティネットワークの本来機能を維持することができる情報処理装置を提供する。【解決手段】情報処理装置１００は、ネットワークへのデータの送信を制御する送信制御部１０４と、データの送信エラーが発生した場合におけるデータの再送に関する条件を生成する条件生成部１０３と、を備え、送信制御部１０４は、条件生成部１０３によって生成された条件に基づいて、データの再送を制御する。【選択図】図１

Description

本開示は、車載ネットワークに対するＣＡＮ経由の攻撃へ対抗する情報処理装置、情報処理方法、及びプログラムに関するものである。

近年、自動車には、電子制御ユニット（ＥＣＵ：Electronic Contorol Unit）と呼ばれる装置が多数配置されている。これらのＥＣＵによって構成されたネットワークは車載ネットワークと呼ばれ、自動車の制御を司っている。最も主流な車載ネットワークとしてＩＳＯ１１８９８−１で規定されているＣＡＮ（Controller Area Network）規格が挙げられる。

ＣＡＮでは、ＣＡＮバスと呼ばれる２本のワイヤで構成された通信路に複数のＥＣＵが接続された構成となっている。バスに接続されたＥＣＵはＣＡＮコマンドと呼ばれるメッセージを送受信する。ＣＡＮコマンドを送信するＥＣＵはＣＡＮバスの２本のワイヤに電圧をかけ、ワイヤ間の電位差を発生させることで、レセシブと呼ばれる「１」の値とドミナントと呼ばれる「０」の値を送信する。複数のＥＣＵが全く同一のタイミングでレセシブとドミナントを送信した場合は、ドミナントが優先されて送信される。

また、ＣＡＮでは、送信先や送信元を指す識別子は存在せず、送信するＥＣＵはコマンドごとにＩＤを付けてＣＡＮバス上に送信し、受信ＥＣＵはあらかじめ定められたＩＤのコマンドのみを受信する。

また、ＣＡＮではコマンドの送信に失敗した場合に、当該コマンドのエラーを検知する。例えば、送信ＥＣＵは自身が送信するコマンドとＣＡＮバス上のコマンドに相違が見られる場合に、これをエラーとして検知する。送信エラーが検知された場合、送信ＥＣＵは送信エラーのカウンタを増加させたのち、コマンドの再送を行う。しかし、送信エラーのカウンタが一定の数まで上昇すると、コマンドの送信までに一定時間待機をさせられたり、ＣＡＮバスへのアクセスを遮断する（以下、バスオフと称する）等の制限が課される。

これに対して、例えば、特許文献１には、送信エラーの回数あるいは継続時間に第１閾値を設け、第１閾値を越えた時に当該通信周期における再送処理を禁止する手段と、優先順位の高いコマンドについては第２閾値を第１閾値より高く設定する手段によって、送信エラーに起因するＣＡＮバスの帯域圧迫を防止すると共に、可能な限り必要なデータの送信を行うための技術が開示されている。

特開２０１２−２０４９３６号公報

しかしながら、ＣＡＮ規格や特許文献１に記載の技術では、再送禁止条件の閾値が固定的に設定されており、セキュリティ上の対策が十分でなく、送信エラーが発生した場合における、当該コマンドの再送処理のタイミングが類推しやすい。そのため、標的となるＥＣＵがＣＡＮコマンドを再送するタイミングに合わせて、当該コマンドと同一のＩＤの不正ＣＡＮコマンドを連続注入するような攻撃を繰り返しうけた場合、標的のＥＣＵのエラーカウンタが一方的に増加することで例えばバスオフの状態となり、ＥＣＵの機能が正常であるにもかかわらず、ＣＡＮバスに対してコマンドが送信できなくなるおそれがある。

そこで、本開示は、不正ＣＡＮコマンドの連続注入によって正常なＥＣＵの挙動を阻害するような攻撃を抑制しつつ、モビリティネットワークの本来機能を維持することができる情報処理装置、情報処理方法、及びプログラムを提供することを目的とする。

本開示の一態様に係る情報処理装置は、ネットワークへのデータの送信を制御する送信制御部と、前記データの送信エラーが発生した場合における前記データの再送に関する条件を生成する条件生成部と、を備え、前記送信制御部は、前記条件生成部によって生成された条件に基づいて、前記データの再送を制御する。

また、本開示の一態様に係る情報処理方法は、ネットワークにデータを送信し、前記データの送信エラーが発生した場合における前記データの再送に関する条件を生成し、生成された条件に基づいて、前記データの再送を制御する。

また、本開示の一態様に係るプログラムは、ネットワークにデータを送信し、前記データの送信エラーが発生した場合における前記データの再送に関する条件を生成し、生成された条件に基づいて、前記データの再送を制御することをコンピュータに実行させる。

本開示によれば、不正なＣＡＮコマンドの注入による、ネットワークシステムにおける情報処理装置の機能不全を抑制し、製品の安全性を向上させることができる。

実施の形態に係る情報処理システムの構成の一例を示す図である。 ＣＡＮプロトコルで規定されるデータフォーマットを示す図である。 実施の形態に係る情報処理装置の機能的な構成の一例を示す図である。 実施の形態に係るＣＡＮコマンドのリストの一例を示す図である。 実施の形態に係るＣＡＮコマンドのリストの一例を示す図である。 実施の形態に係るＣＡＮコマンドのリストの一例を示す図である。 実施の形態に係る再送回数上限値を記憶するテーブルの一例を示す図である。 実施の形態に係る情報処理装置の動作の一例を示すフローチャートである。 実施の形態に係る情報処理装置の動作の一例を示すフローチャートである。 実施の形態に係る情報処理装置の動作の一例を示すフローチャートである。

［実施の形態１］
実施の形態１に係る情報処理装置１００を説明する。以下の実施の形態では、情報処理装置１００は、車両に搭載されたネットワーク内のデータを監視するとして説明する。なお、情報処理装置１００が監視する対象は、車載ネットワークに限定されず、いかなる機器に搭載されたネットワークであってもよい。

［１−１．情報処理システム１の構成］
実施の形態１に係る情報処理システム１の構成を説明する。図１は、実施の形態１に係る情報処理システム１の構成の一例を示すブロック図である。情報処理システム１は、ネットワーク１０と、ネットワーク１０に接続される複数の情報処理装置１００とを備える。情報処理システム１の例は、モビリティネットワークシステムである。また、ネットワーク１０の例は、ＣＡＮバスである。

情報処理装置１００は、図示しない車両内の各デバイスの動作を制御する。情報処理装置１００の例は、ＥＣＵ（電子制御ユニット：Electronic Control Unit）である。情報処理装置１００の制御対象の例は、車両の駆動装置、車両の付属装置、及び車両に搭載される外部インターフェースである。駆動装置の例は、イグニッション装置、各種メータ、トランスミッション、ＡＢＳ（Antilock Brake System）、エンジン及び駐車支援装置等であるが、これらに限定されない。付属装置の例は、電動ミラー、エアコンディショナ、車載カメラ、ドアのロック装置及びパワーウィンドウ等であるが、これらに限定されない。外部インターフェースの例は、タッチパネルなどのディスプレイを備え且つユーザからの入力を受け付けるヘッドユニット、車両の自己診断結果を出力するＯＢＤ（On-Board Diagnostic）ユニット、通信モジュール、ナビゲーションシステム等であるが、これらに限定されない。

ネットワーク１０には、複数の情報処理装置１００が接続されている。ネットワーク１０は、複数の情報処理装置１００間を接続する。本実施の形態では、ネットワーク１０は、一例として、複数の情報処理装置１００の２つの装置間を１対１で接続するものではなく、ネットワーク１０に出力された信号が、ネットワーク１０に接続された全ての装置に受信されるバス型ネットワークであるとする。例えば、図１において、１つの情報処理装置１００が、ネットワーク１０に信号を送信したとき、ネットワーク１０に接続されている全ての他の情報処理装置は当該信号を受信可能である。ネットワーク１０の一例は、ＣＡＮ（Control Area Network）であってもよい。本実施の形態では、バス型のネットワーク１０（以下、ＣＡＮバスとも称す）において、各情報処理装置１００は、所定の周期で信号をネットワーク１０に出力することができる。周期の例は、２０ｍｓ（ミリ秒）であってもよい。

情報処理装置１００からネットワーク１０に出力される信号、つまりデータは、メッセージあるいはＣＡＮコマンドとも呼ばれる。データは、識別情報であるＩＤ（以下、「データＩＤ」あるいは「ＣＡＮ ＩＤ」とも称す）と、指令内容を含むペイロードとを含む。データＩＤには、データの送信先が予め設定されている。情報処理装置１００は、取得したデータのデータＩＤを確認することによって、当該データが当該情報処理装置１００宛てであることを認識し、ペイロードに含まれる指令を実行する。

データは、ＣＡＮコマンドとも呼ばれる。車載ネットワークシステムである情報処理システム１においては、情報処理装置１００は、ＣＡＮコマンドを送受信することで、様々な機能を実現できる。例えば、先進運転者支援システム（ＡＤＡＳ）の一機能である駐車支援機能、車線維持支援機能、衝突回避支援機能などは、ステアリング、アクセル、ブレーキなどのアクチュエータが電子制御化され、車載ネットワークを流れるＣＡＮコマンドによりその制御が行われる。

また、各情報処理装置１００はＣＡＮ規格に基づいてエラー検知を実施する。ある情報処理装置１００がＣＡＮコマンドを送信中にエラーを検知した場合、ＣＡＮバスにエラーフレームを送信し、当該ＣＡＮコマンドの再送信を試みることができる。これらの一連の動作は当該ＣＡＮコマンドが正常に送信されるか、送信によるエラーが一定回数検知されるまで繰り返されてもよい。

［１−２．データフレームフォーマット］
以下、ＣＡＮプロトコルに従ったネットワークで用いられるフレームの１つであるデータフレームについて説明する。

図２は、ＣＡＮプロトコルで規定されるデータフォーマットを示す図である。図２は、標準ＩＤフォーマットのデータフレームを示している。データフレームは、ＳＯＦ（Start Of Frame）、ＩＤフィールド、ＲＴＲ（Remote Transmission Request）、ＩＤＥ（Identifier Extension）、予約ビット「ｒ」、ＤＬＣ（Data Length Code）、データフィールド、ＣＲＣ（Cyclic Redundancy Check）シーケンス、ＣＲＣデリミタ「ＤＥＬ」、ＡＣＫ（Acknowledgement）スロット、ＡＣＫデリミタ「ＤＥＬ」、及び、ＥＯＦ（End Of Frame）の各フィールドで構成される。

ＩＤフィールドは、１１ｂｉｔで構成される、データの種類を示す値であるＩＤ（ＣＡＮ ＩＤとも称する）を格納するフィールドである。複数のノードが同時に送信を開始した場合、このＩＤフィールドで通信調停を行うために、ＩＤが小さい値を持つフレームが高い優先度となるよう設計されている。

データフィールドは、最大６４ｂｉｔで構成され、データを格納するフィールドである。ＣＡＮコマンドを送信する各ＥＣＵは、ネットワーク１０の仕様として予め定められた種類のデータをデータフィールドに格納し、その種類のデータに対応して予め定められたＣＡＮ ＩＤをＩＤフィールドに格納することでデータフレームを構築して送信することになる。車両メーカ等により、ネットワーク１０の仕様として、ＣＡＮコマンドに用いられるＣＡＮ ＩＤと、対応するデータの構成等とが、予め定められている。

［１−３．情報処理装置１００の構成］
図３は、実施の形態1に係る情報処理装置１００の機能的な構成の一例を示す図である。図３に示すように、情報処理装置１００は、通信部１０１と、記憶部１０２と、条件生成部１０３と、送信制御部１０４と、を備えている。

情報処理装置１００は、具体的には図示されていないマイクロプロセッサ及びメモリ等のデジタル回路、アナログ回路及び通信回路等を含む装置である。メモリは、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ハードディスク、又はＳＳＤ（Solid State Drive）などから構成される。記憶部１０２は当該メモリにより実現できる。また、当該メモリには、コンピュータプログラムが記憶されており、前記マイクロプロセッサが前記プログラムに従って動作することにより、情報処理装置１００はその機能を果たす。

なお、情報処理装置１００の通信部１０１、記憶部１０２、条件生成部１０３、送信制御部１０４等の各機能ブロックは、典型的には集積回路であるＬＳＩによって実現されてもよい。これらは個別に１チップ化されてもよいし、１以上の手段、又は各手段の一部を含むように１チップ化されてもよい。

ここでは、ＬＳＩとしたが、集積度の違いにより、ＩＣ、システムＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。

また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用してもよい。

さらには、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。

なお、各機能ブロックは、ソフトウェアで実現されてもよいし、ＬＳＩとソフトウェアの組み合わせで実現されてもよい。また、ソフトウェアは耐タンパ化されていてもよい。また、プログラムは、予めＲＯＭに格納されていてもよく、アプリケーションとして、インターネット等の通信網を介した通信、モバイル通信規格による通信、その他の無線ネットワーク、有線ネットワーク、又は放送等で提供されＲＯＭに格納されてもよい。

通信部１０１は、ＣＡＮバスに流れるＣＡＮコマンドを受信する。また通信部１０１は、ＣＡＮバスに対してＣＡＮコマンドを送信する。

記憶部１０２は、種々の情報の格納及び取り出しを可能にする。上述のとおり、記憶部１０２は、例えば、ＲＯＭ、ＲＡＭ、フラッシュメモリなどの半導体メモリ、ハードディスクドライブ、又はＳＳＤ等の記憶装置によって実現される。記憶部１０２は、後述する条件生成部１０３等の情報処理装置１００の各構成要素から出力されるデータやネットワーク１０に接続された他の情報処理装置から取得した情報等を格納する。また、記憶部１０２は、情報処理装置１００の各構成要素を動作させるためのプログラムを格納してもよい。

例えば、記憶部１０２は、再送の中止に関して、ＣＡＮコマンドごとに設定された再送可能な回数の範囲のリストを記憶している。図４は、実施の形態１に係るＣＡＮコマンドのリストの一例を示す図である。図４に示すリストには、ＣＡＮコマンドごとの再送中止までに再送可能な回数の範囲が定められている。図４に示す例では、記憶部１０２は、各ＣＡＮコマンドを識別するＣＡＮＩＤに対応付けて送信周期および再送可能な回数の範囲を記憶する。例えば、ＣＡＮ ＩＤが「０ｘ００１」のＣＡＮコマンドについては、当該コマンドの送信周期は１０ｍｓで、再送可能な回数の範囲は１〜１５回までである。また、例えば、ＣＡＮ ＩＤが「０ｘ００２」のＣＡＮコマンドについては、当該コマンドの送信周期は１００ｍｓで、再送可能な回数の範囲は１〜８回までである。

また、例えば、記憶部１０２は、再送の中止に関して、ＣＡＮコマンドごとに設定された再送開始してから再送可能な経過時間の範囲のリストを記憶している。図５は、実施の形態１に係るＣＡＮコマンドのリストの一例を示す図である。図５に示すリストには、ＣＡＮコマンドごとの再送中止までに再送可能な経過時間の範囲が定められている。図５に示す例では、記憶部１０２は、各ＣＡＮコマンドを識別するＣＡＮ ＩＤに対応付けて送信周期および再送可能な経過時間の範囲を記憶する。例えば、ＣＡＮ ＩＤが「０ｘ００１」のＣＡＮコマンドについては、当該コマンドの送信周期は１０ｍｓで、再送開始からの再送可能な経過時間の範囲は１〜１００ｍｓまでである。また、例えば、ＣＡＮ ＩＤが「０ｘ００２」のＣＡＮコマンドについては、当該コマンドの送信周期は１００ｍｓで、再送開始からの再送可能な経過時間の範囲は１〜５００ｍｓまでである。

また、例えば、記憶部１０２は、再送の中断に関して、ＣＡＮコマンドごとに設定された再送可能な回数の範囲および再送再開までの待機時間の範囲のリストを記憶している。図６は、実施の形態１に係るＣＡＮコマンドのリストの一例を示す図である。図６に示すリストには、ＣＡＮコマンドごとの再送開始から再送中断までに再送可能な回数および再送中断から再開までの待機時間の範囲が定められている。図６に示す例では、記憶部１０２は、各ＣＡＮコマンドを識別するＣＡＮＩＤに対応付けて送信周期、再送開始から再送中断までに再送可能な回数の範囲および再送中断から再開までの待機時間の範囲を記憶する。例えば、ＣＡＮ ＩＤが「０ｘ００１」のＣＡＮコマンドについては、当該コマンドの送信周期は１０ｍｓで、再送中断までに再送可能な回数の範囲は１〜８回までであり、再送中断から再開までの待機時間の範囲は１００〜９００ｍｓである。

なお、後述のとおり、ＣＡＮコマンドが再送される場合には条件生成部１０３において再送に関する条件が生成される。再送に関する条件の一例として、再送開始から再送中止や再送中断までの再送の上限回数や経過時間、あるいは再送中断から再開までの待機時間等が含まれるが、これらの上限回数や経過時間あるいは待機時間は、例えば、図４〜６に示す再送可能な回数や経過時間の範囲内で決定されてもよい。

そして、記憶部１０２は、条件生成部１０３により生成された再送の上限回数等の再送に関する条件をＣＡＮＩＤに対応付けて図７に示すようなテーブルに記憶してもよい。さらに、記憶部１０２は、ＣＡＮコマンドが再送された場合、再送された回数をＣＡＮＩＤに対応付けて図７に示すようなテーブルに記憶してもよい。図７は、実施の形態１に係る再送回数上限値を記憶するテーブルの一例を示す図である。図７に示す例では、再送中止までの再送回数上限値と再送済み回数とがメモリ上のテーブルに記憶される。なお、これはあくまで一例であって、再送回数上限値および再送済み回数を必ずしもテーブルの形式で記憶する必要はなく、読み出し可能な状態でメモリ上に記憶されていればよい。

条件生成部１０３は、通信部１０１から送信されたＣＡＮコマンドについて送信エラーが発生した場合、ＣＡＮコマンドの再送に関する条件を生成する。条件生成部１０３は、ＣＡＮコマンドの再送に関する条件として、例えば、ＣＡＮコマンドの再送の中止に関する条件を生成する。ＣＡＮコマンドの再送の中止に関する条件としては、例えば、ＣＡＮコマンドの再送開始から再送の中止までの再送回数の上限値や、ＣＡＮコマンドの再送を開始してから再送を繰り返す経過時間の上限値などが含まれる。なお、ＣＡＮコマンドの再送の中止は、換言すれば、ＣＡＮコマンドを破棄することに相当する。

条件生成部１０３は、ＣＡＮコマンドの再送の中止に関する条件として、ＣＡＮコマンドの再送中止までの再送回数の上限値（以下、再送中止までの再送回数上限値と呼ぶ場合がある）を決定する場合、例えば、図４に示す再送可能な回数の範囲の中から、任意の乱数生成アルゴリズム等を用いてランダムに決定してもよい。また、生成した乱数そのものを再送回数上限値として用いる構成に限定されず、生成された乱数に対応する再送回数上限値が予めテーブル等に記憶されており、それを用いるような構成であってもよい。

なお、条件生成部１０３が再送中止までの再送回数上限値を決定する構成としては、上述した乱数生成関数を用いてランダムに決定する構成に限定されず、独自に設定したアルゴリズムに基づいて決定してもよい。例えば、時刻を入力すると整数値を算出するような関数をあらかじめ用意しておき、算出された整数値を再送回数の上限値としてもよい。また、あるいは、算出した整数値に対応付けてテーブル等に記憶されている再送回数上限値を用いる構成であってもよい。すなわち、再送回数が固定されないように、送信エラーが発生して再送処理が必要になる都度、再送回数上限値を設定し直すことができさえすればよい。

この点、より詳細に説明すれば以下のとおりである。まず、攻撃者は、不正なＣＡＮコマンドをネットワークに注入する。すると、不正なＣＡＮコマンドと同一のＩＤのＣＡＮコマンドについてエラーが発生する。そして、そのＩＤのＣＡＮコマンドを送信する情報処理装置は、ＣＡＮコマンドの再送を開始する。ここで、通常は再送回数が固定的に設定されているので、攻撃者にとっては再送回数を推測するのが容易である。そして、一度、攻撃者が再送回数を特定できてしまうと、情報処理装置の再送のタイミングに合わせて、固定的に設定されている再送回数分、再送を繰り返すことができる。これにより、情報処理装置による全ての再送処理がエラーとなり、情報処理装置は最終的に通信バスから切り離されてバスオフ状態に陥ってしまう。本実施の形態では、このような状態に陥らせることを狙った攻撃をバスオフ攻撃と称する場合がある。

これに対して、本実施の形態に係る情報処理装置１００では、エラーが発生して再送処理が必要になった場合、条件生成部１０３が再送に関する条件を生成するので、攻撃者はデータ再送の回数を推測することが困難になる。つまり、情報処理装置１００が再送を停止（中断や中止等）しても攻撃者は不正なＣＡＮコマンドの再送を続ける。これにより、情報処理装置１００は、攻撃者によるＣＡＮコマンドの送信を検知できるため、情報処理装置１００の故障等による送信エラーと区別することができる。したがって、情報処理装置１００を通信バスから切り離す必要がなくなるため、情報処理装置１００がバスオフ状態に陥ることがなくなり、バスオフ攻撃を受けた場合であってもモビリティネットワークの本来機能を維持することができるようになる。

また、条件生成部１０３は、ＣＡＮコマンドの再送の中止に関する条件として、ＣＡＮコマンドの再送を開始してから再送を繰り返す経過時間の上限値（以下、再送中止までの経過時間上限値と呼ぶ場合がある）を決定する場合、例えば、図３に示す再送可能な回数の範囲と同様、記憶部１０２において再送開始から再送中止までに再送可能な経過時間の範囲がＣＡＮＩＤに対応付けて記憶されており、その範囲の中から、乱数生成関数を用いてランダムに決定してもよい。なお、条件生成部１０３が再送中止までの経過時間上限値を決定する構成としては、上述した再送回数上限値の例と同様、上述した乱数生成関数を用いてランダムに決定する構成に限定されず、独自に設定したアルゴリズムに基づいて決定してもよい。

また、条件生成部１０３は、ＣＡＮコマンドの再送に関する条件として、例えば、ＣＡＮコマンドの再送の中断に関する条件を生成する。ＣＡＮコマンドの再送の中断に関する条件としては、例えば、ＣＡＮコマンドの再送開始から再送の中断までの再送回数の上限値や、ＣＡＮコマンドの再送を開始してから再送を繰り返す経過時間の上限値などが含まれる。

条件生成部１０３は、ＣＡＮコマンドの再送の中断に関する条件として、ＣＡＮコマンドの再送の中断までの再送回数の上限値（以下、再送中断までの再送回数上限値と呼ぶ場合がある）を決定する場合、例えば、図３に示す再送可能な回数の範囲の中から、乱数生成関数を用いてランダムに決定してもよい。

なお、条件生成部１０３が再送中断までの再送回数上限値を決定する構成としては、上述した乱数生成関数を用いてランダムに決定する構成に限定されず、独自に設定したアルゴリズムに基づいて決定してもよく、上述のとおり、特に限定されない。

条件生成部１０３は、ＣＡＮコマンドの再送の中断に関する条件として、ＣＡＮコマンドの再送を開始してから再送を繰り返す経過時間の上限値（以下、再送中断までの経過時間上限値と呼ぶ場合がある）を決定する場合、例えば、図３に示す再送可能な回数の範囲と同様、記憶部１０２において再送中断までに再送可能な経過時間の範囲がＣＡＮＩＤに対応付けて記憶されており、その範囲の中から、乱数生成関数を用いてランダムに決定してもよい。

なお、条件生成部１０３が再送中断までの経過時間上限値を決定する構成としては、上述した乱数生成関数を用いてランダムに決定する構成に限定されず、独自に設定したアルゴリズムに基づいて決定してもよく、上述のとおり、特に限定されない。

また、条件生成部１０３は、ＣＡＮコマンドの中断に関する条件を生成する場合、ＣＡＮコマンドの再送の再開に関する条件を生成する。ＣＡＮコマンドの再送の再開に関する条件としては、例えば、ＣＡＮコマンドの再送を中断してから再開するまでの待機時間などが含まれる。

条件生成部１０３は、ＣＡＮコマンドの再送の再開に関する条件として、ＣＡＮコマンドの再送を中断してから再開するまでの待機時間を決定する場合、例えば、図３に示す再送可能な回数の範囲と同様、記憶部１０２において待機時間の範囲がＣＡＮＩＤに対応付けて記憶されており、その範囲の中から、乱数生成関数を用いてランダムに決定してもよい。

なお、条件生成部１０３がＣＡＮコマンドの再送を中断してから再開するまでの待機時間を決定する構成としては、上述した乱数生成関数を用いてランダムに決定する構成に限定されず、独自に設定したアルゴリズムに基づいて決定してもよく、上述のとおり、特に限定されない。

そして、上述のとおり、条件生成部１０３が再送に関する条件を生成すると、生成された再送に関する条件は、記憶部１０２においてＣＡＮＩＤに対応づけて記憶される。

送信制御部１０４は、通信部１０１からＣＡＮバスへのＣＡＮコマンドの送信を制御する。

また、送信制御部１０４は、通信部１０１から送信されたＣＡＮコマンドについて送信エラーが発生した場合、通信部１０１からＣＡＮバスへのＣＡＮコマンドの再送を制御する。

上述のとおり、通信部１０１から送信されたＣＡＮコマンドについて送信エラーが発生した場合、条件生成部１０３は、ＣＡＮコマンドの再送に関する条件を生成する。送信制御部１０４は、条件生成部１０３において生成された再送に関する条件に基づいて、ＣＡＮコマンドの再送を制御する。

例えば、条件生成部１０３において生成された条件が再送の中止に関する条件の場合、送信制御部１０４は、生成された再送の中止に関する条件が充足されるまで、再送処理を繰り返し実行する。

より具体的には、再送の中止に関する条件として、再送中止までの再送回数の上限値が生成された場合、送信制御部１０４は、再送回数をカウントし、再送中止までの再送回数の上限値に達したか否かを判定する。そして、判定の結果、実行した再送処理の回数が、再送中止までの再送回数の上限値に達した場合、送信制御部１０４は、再送処理の実行を中止する。

あるいは、再送の中止に関する条件として、再送中止までに再送可能な経過時間の上限値が生成された場合、送信制御部１０４は、再送開始からの経過時間をカウントし、再送中止までの経過時間の上限値に達したか否かを判定する。そして、判定の結果、再送開始からの経過時間が、再送中止までの経過時間の上限値に達した場合、送信制御部１０４は、再送処理の実行を中止する。

なお、送信制御部１０４は、任意のタイミングからの経過時間を実測値として計測するクロック機能を有していてもよい。これにより、送信制御部１０４は、再送開始からの経過時間をカウントすることができる。

また、例えば、条件生成部１０３において生成された条件が再送の中断に関する条件の場合、送信制御部１０４は、生成された再送の中断に関する条件が充足されるまで、再送処理を繰り返し実行する。

より具体的には、再送の中断に関する条件として、再送中断までの再送回数の上限値が生成された場合、送信制御部１０４は、再送回数をカウントし、再送中断までの再送回数の上限値に達したか否かを判定する。そして、判定の結果、実行した再送処理の回数が、再送中断までの再送回数の上限値に達した場合、送信制御部１０４は、再送処理の実行を中断する。

あるいは、再送の中断に関する条件として、再送中断までに再送可能な経過時間の上限値が生成された場合、送信制御部１０４は、再送開始からの経過時間をカウントし、再送中断までの経過時間の上限値に達したか否かを判定する。そして、判定の結果、再送開始からの経過時間が、再送中断までの経過時間の上限値に達した場合、送信制御部１０４は、再送処理の実行を中断する。

さらに、再送の中断の場合、条件生成部１０３において再送の再開に関する条件が生成され、送信制御部１０４は、再送の再開に関する条件が充足されるまで待機する。そして、再送の再開に関する条件が充足された場合、送信制御部１０４は、再送処理の実行を再開する。

より具体的には、再送の再開の条件として、条件生成部１０３により再送を中断する待機時間が生成されて記憶部１０２に設定された場合、送信制御部１０４は、再送が中断されてからの経過時間をカウントし、記憶部１０２に設定された待機時間に達したか否かを判定する。そして、判定の結果、再送が中断されてからの経過時間が、設定された待機時間に達した場合、送信制御部１０４は、再送処理の実行を再開する。

［１−４．情報処理装置１００の動作］
次に、情報処理装置１００の動作の詳細について図８〜図１０を用いて説明する。図８は、実施の形態に係る情報処理装置１００の動作の一例を示すフローチャートである。図８のフローチャートは、送信エラーの状況に応じて再送を中止（ＣＡＮメッセージを破棄）する構成の処理の流れを示している。

まず、情報処理装置１００は、通信部１０１を介してネットワーク１０にＣＡＮコマンドを送信する（ステップＳ１０１）。

次に、情報処理装置１００は、ステップＳ１０１で送信したＣＡＮコマンドの送信に関し、エラーが検知されたか否かを判定する（ステップＳ１０２）。情報処理装置１００は、エラーが検知されたか否かについて、例えば所定の時間内（例えばＣＡＮコマンドの送信周期の時間内）にエラーメッセージを受信したことによって判定することができる。

情報処理装置１００は、エラーが検知されなかったと判定した場合（ステップＳ１０２でＮｏ）、データの再送に関する処理は行わない。この場合、ＣＡＮコマンドの送信は成功し、１周期分のＣＡＮコマンドの送信が正常に完了したことになる。

情報処理装置１００は、エラーが検知されたと判定した場合（ステップＳ１０２でＹｅｓ）、ＣＡＮコマンドの再送の中止に関する条件を決定する（ステップＳ１０３）。ステップＳ１０３では、例えば、条件生成部１０３が、再送の中止に関する条件として、再送中止までの再送回数上限値を決定し、記憶部１０２に再送回数の上限値を記憶させる。

条件生成部１０３は、例えば、上述したとおり、再送中止までの再送回数の上限値を、図４に示すＣＡＮコマンドごとの再送中止までに再送可能な回数の範囲の中から、乱数生成関数等を用いてランダムに決定する。なお、この処理フローはあくまで一例であって、例えば、再送中止条件として、再送を開始してから再送を中止するまでに繰り返す経過時間の上限値を決定する構成であってもよい。

次に、情報処理装置１００は、通信部１０１を介してネットワーク１０にＣＡＮコマンドを再送信する（ステップＳ１０４）。ステップＳ１０４では、例えば、送信制御部１０４が、ＣＡＮコマンドの再送処理を制御する。

次に、情報処理装置１００は、ステップＳ１０４で再送信したＣＡＮコマンドの送信に関し、ステップＳ１０２と同様にして、エラーが検知されたか否かを判定する（ステップＳ１０５）。情報処理装置１００は、エラーが検知されない場合（ステップＳ１０５においてＮｏ）、カウンタをリセットし（ステップＳ１０９）、再送処理を終了する。

情報処理装置１００は、エラーが検知された場合（ステップＳ１０５においてＹｅｓ）、カウンタを１増加させる（ステップＳ１０６）。ステップＳ１０６では、より具体的には、例えば、送信制御部１０４が、再送回数をカウントするためのカウンタを１つ増加させ、現時点での再送回数を記憶部１０２に記憶させる。なお、再送中止条件として、再送を開始してから再送を中止するまでの経過時間の上限値を設定した場合には、クロック機能により再送を開始してからの経過時間を計時する。

次に、情報処理装置１００は、再送の中止に関する条件が充足されたか否かを判定する（ステップＳ１０７）。ステップＳ１０７では、例えば、送信制御部１０４が、条件生成部１０３により生成された再送中止までの再送回数上限値を記憶部１０２から読み出し、カウンタによってカウントされている現時点での再送回数と比較することによって、再送の中止に関する条件が充足されたか否かを判定することができる。なお、再送中止条件として、再送を開始してから再送を中止するまでの経過時間の上限値を設定した場合には、設定された経過時間の上限値と、クロック機能により計時している再送を開始してからの経過時間とを比較して、再送の中止に関する条件が充足されたか否かを判定することができる。

情報処理装置１００は、再送中止に関する条件が充足されない場合（ステップＳ１０７でＮｏ）、ステップＳ１０４に戻って、ＣＡＮコマンドを再送信する。すなわち、再送信に関するエラーが検知され続け、かつ再送中止に関する条件が充足されない間は、情報処理装置１００は、ステップＳ１０４〜Ｓ１０７の処理を繰り返すことになる。

一方、情報処理装置１００は、再送中止に関する条件が充足された場合（ステップＳ１０７でＹｅｓ）、ＣＡＮコマンドを破棄する（ステップＳ１０８）。より詳細には、送信制御部１０４は、カウンタによるカウント数が条件生成部１０３により生成された再送回数上限値を超えた場合、再送中止に関する条件が充足されたと判断し、ＣＡＮコマンドの再送処理の実行を中止する。

そして、情報処理装置１００は、送信制御部１０４がカウンタをリセットし（ステップＳ１０９）、ＣＡＮコマンドの送信処理を終了する。

図９は、実施の形態に係る情報処理装置１００の動作の一例を示すフローチャートである。図９のフローチャートは、送信エラーの状況に応じて再送を中断した後、再送を再開する構成の処理の流れを示している。

まず、情報処理装置１００は、通信部１０１を介してネットワーク１０にＣＡＮコマンドを送信する（ステップＳ２０１）。

次に、情報処理装置１００は、ステップＳ２０１で送信したＣＡＮコマンドの送信に関し、エラーが検知されたか否かを判定する（ステップＳ２０２）。情報処理装置１００は、エラーが検知されたか否かについて、例えば所定の時間内（例えばＣＡＮコマンドの送信周期の時間内）にエラーメッセージを受信したことによって判定することができる。

情報処理装置１００は、エラーが検知されなかったと判定した場合（ステップＳ２０２でＮｏ）、データの再送に関する処理は行わない。この場合、ＣＡＮコマンドの送信は成功し、１周期分のＣＡＮコマンドの送信が正常に完了したことになる。

情報処理装置１００は、エラーが検知されたと判定した場合（ステップＳ２０２でＹｅｓ）、ＣＡＮコマンドの再送の中断に関する条件を決定する（ステップＳ２０３）。ステップＳ２０３では、例えば、条件生成部１０３が、再送の中断に関する条件として、上述した再送中断までの再送回数上限値を決定し、記憶部１０２に再送回数の上限値を記憶させる。なお、この処理フローはあくまで一例であって、例えば再送を開始してから中断するまでに再送を繰り返す経過時間の上限値を決定する構成であってもよい。

次に、情報処理装置１００は、ＣＡＮコマンドの再送の再開に関する条件を決定する（ステップＳ２０４）。ステップＳ２０４では、例えば、条件生成部１０３が、再送の再開に関する条件として、再送中断から再送再開までの待機時間を決定し、記憶部１０２に待機時間を記憶させる。

次に、情報処理装置１００は、通信部１０１を介してネットワーク１０にＣＡＮコマンドを再送信する（ステップＳ２０５）。ステップＳ２０５では、例えば、送信制御部１０４が、ＣＡＮコマンドの再送処理を制御する。

次に、情報処理装置１００は、ステップＳ２０５で再送信したＣＡＮコマンドの送信に関し、ステップＳ２０２と同様にして、エラーが検知されたか否かを判定する（ステップＳ２０６）。情報処理装置１００は、エラーが検知されない場合（ステップＳ２０６においてＮｏ）、カウンタをリセットし（ステップＳ２１２）、再送処理を終了する。

情報処理装置１００は、エラーが検知された場合（ステップＳ２０６においてＹｅｓ）、カウンタを１増加させる（ステップＳ２０７）。ステップＳ２０７では、より具体的には、例えば、送信制御部１０４が、再送回数をカウントするためのカウンタを１つ増加させ、現時点での再送回数を記憶部１０２に記憶させる。なお、再送中断条件として、再送を開始してから再送を中断するまでの経過時間の上限値を設定した場合には、クロック機能により再送を開始してからの経過時間を計時する。

次に、情報処理装置１００は、再送の中断に関する条件が充足されたか否かを判定する（ステップＳ２０８）。ステップＳ２０８では、例えば、送信制御部１０４が、条件生成部１０３により生成された再送中断までの再送回数上限値を記憶部１０２から読み出し、カウンタによってカウントされている現時点での再送回数と比較することによって、再送の中断に関する条件が充足されたか否かを判定することができる。なお、再送中断条件として、再送を開始してから中断するまでの経過時間の上限値を設定した場合には、設定された経過時間の上限値と、クロック機能により計時している再送を開始してからの経過時間とを比較して、再送の中断に関する条件が充足されたか否かを判定することができる。

情報処理装置１００は、再送中断に関する条件が充足されない場合（ステップＳ２０８でＮｏ）、ステップＳ２０５に戻って、ＣＡＮコマンドを再送信する。すなわち、再送信に関するエラーが検知され続け、かつ再送中断に関する条件が充足されない間は、情報処理装置１００は、ステップＳ２０５〜Ｓ２０８の処理を繰り返すことになる。

一方、情報処理装置１００は、再送中断に関する条件が充足された場合（ステップＳ２０８でＹｅｓ）、ＣＡＮコマンドの再送を中断する（ステップＳ２０９）。より詳細には、送信制御部１０４は、カウンタによるカウント数が条件生成部１０３により生成された再送回数上限値を超えた場合、再送中断に関する条件が充足されたと判断し、ＣＡＮコマンドの再送処理の実行を中断する。

次に、情報処理装置１００は、ＣＡＮコマンドの再送を待機する（ステップＳ２１０）。ステップＳ２１０では、より詳細には、送信制御部１０４は、ＣＡＮコマンドを破棄することなく、一時的にＣＡＮコマンドの送信を停止する。

次に、情報処理装置１００は、ＣＡＮコマンドの再送の再開に関する条件を充足したか否かを判定する（ステップＳ２１１）。ステップＳ２１１では、例えば、送信制御部１０４が、条件生成部１０３により生成された再送再開までの待機時間を記憶部１０２から読み出し、クロックによって計時されている再送の中断から現時点までの経過時間と比較することによって、再送の再開に関する条件が充足されたか否かを判定することができる。

再送の再開に関する条件が充足されない場合（ステップＳ２１１でＮｏ）、情報処理装置１００は、再度、ＣＡＮコマンドの再送を待機する（ステップＳ２１０）。再送の再開に関する条件が充足された場合（ステップＳ２１１でＹｅｓ）、情報処理装置１００は、ステップＳ２０３に戻ってＣＡＮコマンドの再送の中断に関する条件を生成し、ステップＳ２０４に進んでＣＡＮコマンドの再送の再開に関する条件を生成する。そして、情報処理装置１００は、ステップＳ２０５に進んでＣＡＮコマンドの再送処理を実行する。ＣＡＮコマンドの再送処理の実行後は、情報処理装置１００は、送信エラーの状況に応じて処理フローを進め、各ステップにおいて上述の各処理を行う。

図１０は、実施の形態に係る情報処理装置１００の動作の一例を示すフローチャートである。図１０のフローチャートは、再送の中止（コマンドの破棄）に関する条件と再送の中断および再開に関する条件とを用いて再送制御を行う構成における処理の流れを示している。図１０のフローチャートの各ステップにおける個別の処理に関しては、図８および図９を用いて説明した各ステップの処理と同様であるため、詳細な説明は省略する。

まず、情報処理装置１００は、通信部１０１を介してネットワーク１０にＣＡＮコマンドを送信する（ステップＳ３０１）。

次に、情報処理装置１００は、ステップＳ３０１で送信したＣＡＮコマンドの送信に関し、エラーが検知されたか否かを判定する（ステップＳ３０２）。情報処理装置１００は、エラーが検知されなかったと判定した場合（ステップＳ３０２でＮｏ）、データの再送に関する処理は行わない。この場合、ＣＡＮコマンドの送信は成功し、１周期分のＣＡＮコマンドの送信が正常に完了したことになる。

情報処理装置１００は、エラーが検知されたと判定した場合（ステップＳ３０２でＹｅｓ）、ＣＡＮコマンドの再送の中止に関する条件を生成する（ステップＳ３０３）。次に、情報処理装置１００は、ＣＡＮコマンドの再送の中断に関する条件を生成する（ステップＳ３０３）。次に、情報処理装置１００は、ＣＡＮコマンドの再送の中断に関する条件を生成する（ステップＳ３０４）。次に、情報処理装置１００は、ＣＡＮコマンドの再送の再開に関する条件を生成する（ステップＳ３０５）。そして、情報処理装置１００は、ＣＡＮコマンドを再送信する（ステップＳ３０６）。

次に、情報処理装置１００は、ＣＡＮコマンドの再送信に関してエラーが検知されたか否かを判定する（ステップＳ３０７）。エラーが検知されない場合（ステップＳ３０７においてＮｏ）、情報処理装置１００は、カウンタをリセットし（ステップＳ３１５）、再送処理を終了する。エラーが検知された場合（ステップＳ３０７においてＹｅｓ）、情報処理装置１００は、再送回数をカウントするカウンタを１増加する（ステップＳ３０８）。

次に、情報処理装置１００は、再送の中断に関する条件を充足しているか否かを判定する（ステップＳ３０９）。再送の中断に関する条件を充足していない場合（ステップＳ３０９でＮｏ）、情報処理装置１００は、ステップＳ３０６に戻ってＣＡＮコマンドを再送信する。再送の中断に関する条件を充足している場合（ステップＳ３０９でＹｅｓ）、情報処理装置１００は、再送の中止（コマンドの破棄）に関する条件を充足しているか否かを判定する（ステップＳ３１０）。

再送の中止（コマンドの破棄）に関する条件を充足している場合（ステップＳ３１０でＹｅｓ）、情報処理装置１００は、ＣＡＮコマンドを破棄する（ステップＳ３１４）。そして、情報処理装置１００は、再送回数をカウントするカウンタをリセットし（ステップＳ３１５）、再送処理を終了する。

一方、再送の中止（コマンドの破棄）に関する条件を充足していない場合（ステップＳ３１０でＮｏ）、情報処理装置１００は、再送処理を中断する（ステップＳ３１１）。次に、情報処理装置１００は、ＣＡＮコマンドの再送を待機する（ステップＳ３１２）。次に、情報処理装置１００は、再送の再開に関する条件を充足しているか否かを判定する（ステップＳ３１３）。

再送の再開に関する条件を充足していない場合（ステップＳ３１３でＮｏ）、情報処理装置１００は、ステップＳ３１２に戻って、ＣＡＮコマンドの再送を待機する。一方、再送の再開に関する条件を充足している場合（ステップＳ３１３でＹｅｓ）、情報処理装置１００は、ステップＳ３０４に戻って、再送の中断に関する条件を生成する。その後、情報処理装置１００は、上述した処理フローと同様にして、ステップＳ３０４以降の処理を実行する。

［まとめ］
以上、説明したように、本実施の形態に係る情報処理装置１００は、ネットワークへのデータの送信を制御する送信制御部１０４と、データの送信エラーが発生した場合におけるデータの再送に関する条件を生成する条件生成部１０３と、を備え、送信制御部１０４は、条件生成部１０３によって生成された条件に基づいて、データの再送を制御する。

上記の態様によれば、例えばＣＡＮコマンドなどのデータの送信エラーが発生した場合、送信制御部１０４がデータの再送を行う際、条件生成部１０３がデータの再送に関する条件を生成し、送信制御部１０４は、生成された条件に基づいてデータの再送を制御する。

このため、再送の回数や期間は一定ではなく、再送の都度、異なることになるため、例えば、悪意のある第三者が不正なＣＡＮコマンドの連続注入によりバスオフ攻撃等を仕掛けようとしても、ＣＡＮコマンドの再送のタイミングを類推することが困難となる。

したがって、本実施形態に係る情報処理装置１００によれば、例えば、悪意のある第三者が不正なＣＡＮコマンドをＣＡＮバス上へ連続注入して正常な情報処理装置１００をバスオフさせることを狙った攻撃を行おうとしても、情報処理装置１００によるＣＡＮコマンドの再送のタイミングを類推することができない。

これにより、情報処理装置１００は、バスオフ攻撃等を受けた場合に機能不全に陥ることが抑制されるため、モビリティネットワークシステムの本来機能を維持し続けることができ、モビリティの安全性を向上させることが可能となる。

また、本実施の形態に係る情報処理装置１００では、条件生成部１０３は、データの再送の中止に関する条件を生成してもよい。

上記の態様によれば、情報処理装置１００は、データの再送の中止に関する条件、すなわち、例えばＣＡＮコマンド等、ネットワークへ送出されるデータを破棄する条件を生成する。

これにより、情報処理装置１００が攻撃を受けた場合、生成された条件に従ってデータの再送が中止されることでバスオフを回避することができるため、必ずしもデータの再送が必要ではないような状況においてはネットワークシステムの本来機能を維持し続けることができる。

また、本実施の形態に係る情報処理装置１００では、条件生成部１０３は、データの再送の中止に関する条件として、データの再送回数の上限値もしくは再送を繰り返す時間の上限値の少なくとも１つを生成してもよい。

また、本実施の形態に係る情報処理装置１００では、送信制御部１０４は、データの再送の中止に関する条件が充足された場合、データを破棄してもよい。

また、本実施の形態に係る情報処理装置１００では、条件生成部１０３は、データの再送の中断に関する条件を生成してもよい。

上記の態様によれば、情報処理装置１００は、データの再送の中断に関する条件、すなわち、例えばＣＡＮコマンド等、ネットワークへのデータ送信を一時的に停止するための条件を生成する。

これにより、情報処理装置１００が攻撃を受けた場合、生成された条件に従ってデータの再送が中断されることでバスオフを回避することができ、ネットワークシステムの本来機能を維持し続けることができる。

また、本実施の形態に係る情報処理装置１００では、条件生成部１０３は、データの再送の中断に関する条件を生成する場合、データの再送の再開に関する条件を生成してもよい。

上記の態様によれば、情報処理装置１００は、データ再送を中断した場合に、データ再送を再開する条件に基づいてデータの再送を再開できる。

これにより、情報処理装置１００が攻撃を受けた場合、一旦再送が中断されることでバスオフ攻撃を回避しつつ、生成された条件に従ってデータの再送が再開されるため、安定してネットワークシステムの本来機能を維持し続けることができる。

また、本実施の形態に係る情報処理装置１００では、条件生成部１０３は、データの再送の中断に関する条件として、データの再送の中断までの再送回数もしくは再送を繰り返す時間の少なくとも１つを生成する。

また、本実施の形態に係る情報処理装置１００では、条件生成部１０３は、データの再送の再開に関する条件として、中断してから再開するまでの待機時間を生成してもよい。

また、本実施の形態に係る情報処理装置１００では、送信制御部１０４は、前記データの再送の中断に関する条件が充足された場合、前記データの再送を待機してもよい。

また、本実施の形態に係る情報処理装置１００では、送信制御部１０４は、データの再送の再開に関する条件が充足された場合、前記データの再送を再開してもよい。

また、本実施の形態に係る情報処理装置１００では、条件生成部１０３は、データの再送が再開された場合、前記データの再送の中断に関する条件を再度生成してもよい。

また、本実施の形態に係る情報処理装置１００では、条件生成部１０３は、データの再送の中止に関する条件、データの再送の中断に関する条件、およびデータの再送の再開に関する条件を生成し、送信制御部１０４は、データの再送の中止に関する条件が充足されておらず、かつ、データの再送の中断に関する条件が充足された後、データの再送の再開に関する条件が充足されたとき、データの再送を再開し、条件生成部１０３は、データの再送が再開される場合、データの再送の中断に関する条件を再度生成してもよい。

上記の態様によれば、データ再送の中止に関する条件、データ再送の中断に関する条件、およびデータの再送の再開に関する条件を生成し、データの再送の中止に関する条件が充足されない間、データの再送の中断と再開とを繰り返す。

これにより、情報処理装置１００は、再送の中止（コマンドデータ等の破棄）の準備をしつつ、再送の中断と再開を繰り返すことで、バスオフを狙った攻撃を仕掛けられた場合、バスオフのリスクを回避しつつ、攻撃者による不正データ注入のタイミングの推測を著しく困難にするため、モビリティネットワークシステムの本来機能を維持し続けつつ、ＣＡＮコマンド等のデータの欠落を極力抑えることができる。

（その他の実施の形態）
以上のように、本開示に係る技術の例示として実施の形態を説明した。しかしながら、本開示に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本開示の一実施の形態に含まれる。

上記実施の形態における各機能および／または各処理は、情報処理システム１を構成する一部の情報処理装置１００のみが実行する形式でもよい。また、ＣＡＮコマンドの再送に関する各種条件の生成や条件の充足を判定するのに用いる情報は、情報処理システム１を構成する各情報処理装置１００のそれぞれで異なっていてもよい。

上記実施の形態において、当該ＣＡＮコマンドの送信周期１周期分内で完了する例について説明したが、これに限ったものではなく、任意の単位時間で動作させるものとしてもよい。また、単位時間内で、ＣＡＮコマンドの再送は、何れの回数分中断・再開させてもよい。

送信エラーカウンタの値の幅や増加の方法については、上記実施の形態に限らず、例えば、送信エラーのカウンタの仕様はＣＡＮ規格に準ずるものでもよい。また、上記実施の形態において、中断したＣＡＮコマンドの再送の再開処理を省略してもよい。例えば、再送中断条件と再送中止条件（破棄条件）に同一の条件を設定することで、再送回数が再送中断条件としての再送回数の上限に達した時点で再送の中止（ＣＡＮコマンドの破棄）をしてもよい。

また、情報処理装置１００が送信待機状態のときに、ＣＡＮバス上に流れる当該コマンドと同一ＩＤのコマンドの有無を監視することで、不正なＣＡＮコマンドの注入を検知してもよい。上記実施の形態において、再送を中断／再開させる手法は電気的手段、物理的手段、ソフト的手段の何れの構成でもよい。

上記実施の形態において、例えば、ＣＡＮ通信の代わりに、ＣＡＮの拡張フォーマット、ＣＡＮＦＤ（ＣＡＮ ｗｉｔｈ Ｆｌｅｘｉｂｌｅ Ｄａｔａ ｒａｔｅ）、ＴＴＣＡＮ（Ｔｉｍｅ Ｔｒｉｇｇｅｒｅｄ ＣＡＮ）、Ｅｔｈｅｒｎｅｔ（登録商標）、ＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）、ＭＯＳＴ（Ｍｅｄｉａ Ｏｒｉｅｎｔｅｄ Ｓｙｓｔｅｍｓ Ｔｒａｎｓｐｏｒｔ）、ＦｌｅｘＲａｙ（登録商標）などの通信方式が用いられてもよい。

上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。前記ＩＣカードまたは前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。前記ＩＣカードまたは前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカードまたは前記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。

また、本開示は、前記コンピュータプログラムまたは前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ（登録商標） Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。

また、本開示は、前記コンピュータプログラムまたは前記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。

また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしてもよい。

また、前記プログラムまたは前記デジタル信号を前記記録媒体に記録して移送することにより、または前記プログラムまたは前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。

上記実施の形態では、本開示に係る情報処理システム１の適用例として、自動車等の車両に搭載される車載ネットワークにおけるセキュリティ対策への適用について説明したが、本開示に係る情報処理システム１の適用範囲はこれに限定されない。本開示に係る情報処理システム１は、自動車等の車両に限定されず、例えば、建機、農機、船舶、鉄道又は飛行機等の任意のモビリティに適用してもよい。

上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。

なお、本開示は、情報処理装置１００として実現できるだけでなく、情報処理装置１００を構成する各構成要素が行うステップ（処理）を含む情報処理方法として実現できる。

例えば、情報処理方法におけるステップは、コンピュータ（コンピュータシステム）によって実行されてもよい。そして、本開示は、情報処理方法に含まれるステップを、コンピュータに実行させるためのプログラムとして実現できる。さらに、本開示は、そのプログラムを記録したＣＤ−ＲＯＭ等である非一時的なコンピュータ読み取り可能な記録媒体として実現できる。

例えば、本開示が、プログラム（ソフトウェア）で実現される場合には、コンピュータのＣＰＵ、メモリ及び入出力回路等のハードウェア資源を利用してプログラムが実行されることによって、各ステップが実行される。つまり、ＣＰＵがデータをメモリ又は入出力回路等から取得して演算したり、演算結果をメモリ又は入出力回路等に出力したりすることによって、各ステップが実行される。

また、上記実施の形態の情報処理装置１００に含まれる各構成要素は、専用又は汎用の回路として実現されてもよい。

また、上記実施の形態の情報処理装置１００に含まれる各構成要素は、集積回路（ＩＣ：Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）であるＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）として実現されてもよい。

さらに、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて、情報処理装置１００に含まれる各構成要素の集積回路化が行われてもよい。

その他、実施の形態に対して当業者が思いつく各種変形を施して得られる形態や、本開示の趣旨を逸脱しない範囲で各実施の形態における構成要素及び機能を任意に組み合わせることで実現される形態も本開示に含まれる。

本開示は、例えば、自動車、建機、農機、船舶、鉄道又は飛行機などにおけるモビリティネットワークに適用できる。

１ 情報処理システム
１０ ネットワーク
１００ 情報処理装置
１０１ 通信部
１０２ 記憶部
１０３ 条件生成部
１０４ 送信制御部

Claims (14)

1. ネットワークへのデータの送信を制御する送信制御部と、
   前記データの送信エラーが発生した場合における前記データの再送に関する条件を生成する条件生成部と、を備え、
   前記送信制御部は、前記条件生成部によって生成された条件に基づいて、前記データの再送を制御する、
   情報処理装置。
2. 前記条件生成部は、前記データの再送の中止に関する条件を生成する、
   請求項１に記載の情報処理装置。
3. 前記条件生成部は、前記データの再送の中止に関する条件として、前記データの再送回数の上限値もしくは再送を繰り返す時間の上限値の少なくとも１つを生成する、
   請求項２に記載の情報処理装置。
4. 前記送信制御部は、前記データの再送の中止に関する条件が充足された場合、前記データを破棄する、
   請求項２または３に記載の情報処理装置。
5. 前記条件生成部は、前記データの再送の中断に関する条件を生成する、
   請求項１〜４のいずれか１項に記載の情報処理装置。
6. 前記条件生成部は、前記データの再送の中断に関する条件を生成する場合、前記データの再送の再開に関する条件を生成する、
   請求項５に記載の情報処理装置。
7. 前記条件生成部は、前記データの再送の中断に関する条件として、前記データの再送の中断までの再送回数もしくは再送を繰り返す時間の少なくとも１つを生成する、
   請求項５または６に記載の情報処理装置。
8. 前記条件生成部は、前記データの再送の再開に関する条件として、中断してから再開するまでの待機時間を生成する、
   請求項６または７に記載の情報処理装置。
9. 前記送信制御部は、前記データの再送の中断に関する条件が充足された場合、前記データの再送を待機する、
   請求項５〜８のいずれか１項に記載の情報処理装置。
10. 前記送信制御部は、前記データの再送の再開に関する条件が充足された場合、前記データの再送を再開する、
    請求項９に記載の情報処理装置。
11. 前記条件生成部は、前記データの再送が再開された場合、前記データの再送の中断に関する条件を再度生成する、
    請求項１０に記載の情報処理装置。
12. 前記条件生成部は、前記データの再送の中止に関する条件、前記データの再送の中断に関する条件、および前記データの再送の再開に関する条件を生成し、
    前記送信制御部は、前記データの再送の中止に関する条件が充足されておらず、かつ、前記データの再送の中断に関する条件が充足された後、前記データの再送の再開に関する条件が充足されたとき、前記データの再送を再開し、
    前記条件生成部は、前記送信制御部が前記データの再送を再開する場合、前記データの再送の中断に関する条件を再度生成する、
    請求項１に記載の情報処理装置。
13. ネットワークにデータを送信し、
    前記データの送信エラーが発生した場合における前記データの再送に関する条件を生成し、
    生成された条件に基づいて、前記データの再送を制御する、
    情報処理方法。
14. 請求項１３に記載の情報処理方法をコンピュータに実行させるためのプログラム。

Images