JP2021027427A - 電子制御装置 - Google Patents

Abstract

【課題】バッファを利用した異常判定により高負荷な異常検知処理を行うデータフレームを削減できる電子制御装置を提供する。【解決手段】電子制御装置は、データフレームを受信する受信部１０１と、データフレームを保存可能なバッファ部１０２と、データフレームをバッファ部に書き込む書き込み部１０３と、書き込まれたデータフレームの数が閾値を超える場合又はバッファ部の容量を超えてデータフレームが書き込まれた場合、データフレームが異常であると判定する第１の異常判定部１０４と、バッファ部に保存されているデータフレームを読み出し周期で読み出すとともにバッファ部から削除する読み出し部１０５と、第１の異常判定部で異常であると判定されていないデータフレームに異常検知処理を行う第２の異常判定部１０６とを備える。閾値又は容量は、読み出し周期の間に受信部が送信周期で送信されたデータフレームを受信する最大数に基づいて設定される。【選択図】図２

Description

本発明は、電子制御装置（ＥＣＵ：Electric Control Unit）に関するものであり、主として、車両用の電子制御装置に用いるものである。

従来より、自動車には様々な種類の電子制御装置が搭載されており、これらの電子制御装置を通信ネットワークで互いに接続することにより、車載システムを構成している。このような車載システムでは、ネットワーク侵入検知システム（ＮＩＤＳ：Network-based Intrusion Detection System）を用いて、外部からの不審なアクセスや不正なデータフレームといった異常を検知することが知られている。

例えば、特許文献１は、通信システムにて通信されているメッセージの正／不正を判定することのできる通信システムを開示している。この通信システムでは、複数のＥＣＵがメッセージを通信可能にするために通信用バスに接続されている。各ＥＣＵには、規定の通信間隔が設定されており、メッセージを送信するＥＣＵは、この規定の通信間隔に基づいてメッセージを送信する。そして、受信したメッセージの通信間隔が規定の通信間隔よりも短い場合には、メッセージが正常ではないと判定する。

特許文献２は、電子制御ユニット間で送受信するメッセージを中継する中継接続ユニットが開示されている。この中継接続ユニットでは、予め規定した設定時間内に受信したメッセージの受信回数をカウントし、受信回数が設定回数を超えた場合にはメッセージが正常ではないと判定する。

国際公開第２０１３／０９４０７２号 特開２００９−２５３５５７号公報

ところで、車載システムの通信ネットワークで送受信されるデータフレームの異常を検出するためには、電子制御装置が受信する全てのデータフレームを監視対象として異常検知処理を行うことが望ましい。しかしながら、受信周期や受信頻度を監視するために、受信時間の差分を求める処理やデータフレームの数を集計する等の処理も全てのデータフレームに行なわなければならず、電子制御装置のハードウェアやソフトウェアの処理負荷が高くなるおそれがある。

そこで、本発明の目的は、ハードウェア又はソフトウェアの処理の負荷を軽減しながら、データフレームの異常検知を行う電子制御装置を提供することにある。

上記課題を解決するために、電子制御装置（１０，１１，１２）は、通信ネットワークを介して接続された送信元電子制御装置（２０）から所定の送信周期で送信されたデータフレームを受信する受信部（１０１）と、前記データフレームを保存可能なバッファ部（１０２）と、前記受信部で受信した前記データフレームを前記バッファ部に書き込む書き込み部（１０３）と、前記バッファ部に書き込まれた前記データフレームの数が所定の閾値を超える場合、又は前記バッファ部の容量を超えて前記データフレームが書き込まれた場合、前記データフレームが異常であると判定する第１の異常判定部（１０４）と、前記バッファ部に保存されている前記データフレームを所定の読み出し周期で読み出すとともに、読み出された前記データフレームを前記バッファ部から削除する読み出し部（１０５）と、前記第１の異常判定部で異常であると判定されていない前記データフレームに異常検知処理を行うことにより、前記データフレームの異常を判定する第２の異常判定部（１０６）と、を備え、前記閾値又は前記容量は、前記読み出し周期の間に、前記受信部が前記送信周期で送信された前記データフレームを受信する最大数に基づいて設定される。

本明細書に記載の電子制御装置、異常判定プログラム、および異常判定方法によれば、受信したデータフレームを一時的に保存するバッファ部を利用して、データフレームの異常判定を簡易に行うとともに、当該異常判定で異常であると判定されていないデータフレームに対してのみ異常検知処理を行うことにより、異常検知処理に伴う負荷を低減することができる。

実施形態１乃至３の電子制御装置を有する車載システムを説明する図 実施形態１の電子制御装置のブロック図 実施形態１の第１の異常判定部による異常判定を説明する図 実施形態１の電子制御装置の動作を説明する図 実施形態２の電子制御装置のブロック図 実施形態２の電子制御装置の動作を説明する図 実施形態２の第２の異常判定部による異常判定の例を説明する図 実施形態２の第２の異常判定部による異常判定の例を説明する図 実施形態２の第２の異常判定部による異常判定の例を説明する図 実施形態３の電子制御装置のブロック図

以下、本発明の実施形態について、図面を参照して説明する。
なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。
特許請求の範囲の従属項に記載の構成および方法、従属項に記載の構成および方法に対応する実施形態の構成および方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成および方法は、本発明においては任意の構成および方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成および方法も、本発明の構成および方法の例示であるという意味で、本発明においては任意の構成および方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成および方法となる。
実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。
複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせても良い。また、複数の実施形態それぞれに開示の構成を集めて組み合わせても良い。
発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成および方法と共に発明の進歩性を肯定する事実である。

（実施形態１）
図１は、電子制御装置１０、複数の電子制御装置２０、およびこれらの電子制御装置を互いに接続する通信ネットワーク２から構成された車載システム１を示している。以下に示す実施形態では、ゲートウェイとして構成された電子制御装置１０が、電子制御装置２０から送信されたデータフレームを受信して、後述する一連の異常判定を行う構成を説明している。しかしながら、本実施形態の電子制御装置１０はゲートウェイの電子制御装置に限定されるものではない。例えば、本実施形態の電子制御装置１０は、異常判定専用の電子制御装置として車載システム１に設けられていてもよい。

通信ネットワーク２には、例えば、ＣＡＮ（Controller Area Network）、ＬＩＮ（Local Interconnect Network）といった通信方式の他、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ−Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等、任意の通信方式を用いることができるが、以下の例ではＣＡＮを用いる例を説明する。

電子制御装置２０は、電子制御装置１０に所定の送信周期でデータフレームを送信する。以下の説明では、電子制御装置１０にデータフレームを送信する電子制御装置２０を、「送信元電子制御装置」と称する。送信元電子制御装置２０が周期的に送信するデータフレームには、車両に搭載されたセンサ等によって検出された様々なデータや車両を制御する制御値等が含まれている。

ここで、「送信元電子制御装置」とは、データフレームを送信する機器をいい、当該機器でデータフレームを生成して送信する場合の他、当該機器でデータフレームを取得して送信する場合も含む。

図２は電子制御装置１０の構成を示している。電子制御装置１０は、受信部１０１、バッファ部１０２、書き込み部１０３、第１の異常判定部１０４、読み出し部１０５、および第２の異常判定部１０６を備えている。

受信部１０１は、ＣＡＮを介して接続された送信元電子制御装置２０から「所定の」送信周期で送信された「データフレーム」を受信する。

ここで、「所定の」とは、常に一定の場合の他、条件に応じて一意に定まる場合も含む。
「データフレーム」とは、所定の形式で生成されたデータであり、必ずしもフレームと呼ばれるものとは限らない。例えば、データパケット、データブロックと呼ばれるものも含む。

バッファ部１０２は、ＤＲＡＭやＳＲＡＭ等の揮発性メモリであり、受信部１０１で受信したデータフレームを一時的に保存することができる。受信部１０１が複数の異なるＣＡＮ−ＩＤを有するデータフレームを受信する場合、図２に示すように、バッファ部１０２はＣＡＮ−ＩＤ毎にデータフレームを保存する。また、バッファ部１０２に保存可能なデータフレームの数の上限がＣＡＮ−ＩＤ毎に予め設定されていてもよい。

書き込み部１０３は、受信部１０１がデータフレームを受信する度に、受信したデータフレームをバッファ部１０２に「書き込む」。ただし、バッファ部１０２に新たなデータフレームを書き込むことができる容量がない場合、すなわち、バッファ部１０２に保存可能なデータフレームの数の上限までデータフレームが既に保存され、バッファ部１０２がフルの場合には、書き込み部１０３がデータフレームの書き込み処理を行っても、バッファ部１０２には新たなデータフレームは書き込まれない。

バッファ部に「書き込む」とは、書き込み部がバッファ部に対してデータフレームの書き込み処理を行っていれば足り、バッファ部にデータフレームが書き込まれた結果、バッファ部に保存されたかどうかは問わない。

第１の異常判定部１０４は、バッファ部１０２に書き込まれたデータフレームの数が所定の閾値を超える場合、データフレームが異常であると判定する。ここで、第１の異常判定部１０４におけるデータフレームの異常の判定基準として使用される閾値は、後述する読み出し部１０５がバッファ部１０２からデータフレームを読み出す周期である読み出し周期の間に、受信部１０１が送信元電子制御装置２０から所定の送信周期で送信されたデータフレームを受信する最大数に基づいて設定される。例えば、読み出し周期が１０ｍｓｅｃであり、送信周期が５ｍｓｅｃの場合、通信ネットワークの混雑によってデータフレームの送受信の周期が乱れても、受信部１０１が１０ｍｓｅｃの間に受信しうるデータフレームの最大数は３であると考えられる。そこで、閾値には３が設定される。なお、上述した読み出し周期、送信周期、閾値の値はいずれも一例にすぎず、当然のことながらこれらの値に限定されるものではない。また、ＣＡＮ−ＩＤ毎に異なる閾値が設定されてもよい。

第１の異常判定部１０４はさらに、バッファ部１０２の容量を超えて、すなわち、バッファ部に保存可能なデータフレームの数を超えてデータフレームが書き込まれた場合についても、データフレームが異常であると判定する。なお、バッファ部１０２の容量は、閾値と同様、読み出し部１０５の読み出し周期の間に、受信部１０１が送信元電子制御装置２０から所定の送信周期で送信されたデータフレームを受信する最大数に基づいて設定される。例えば、バッファ部１０２の容量はデータフレームのサイズに最大数を乗算した値に設定される。この場合、バッファ部１０２に保存可能なデータフレームの数は、上述した所定の閾値と等しい。あるいは、データフレームのサイズに最大数を乗算した値に対して所定の数値を加算して求まる値をバッファ部１０２の容量として設定することにより、バッファ部１０２の容量に余裕をもたせてもよい。このような構成では、データフレームのサイズに最大数を乗算した値に対して加算する数値は、通信ネットワークの混雑等によって変化する可変値としてもよい。

なお、第１の異常判定部１０４は、書き込み部１０３がバッファ部１０２に書き込むデータフレームの数をカウントする、あるいは、後述する読み出し部１０５がバッファ部１０２から読み出すデータフレームの数をカウントすることによりデータフレームの数を取得することができる。しかしながら、この場合、受信する全てのデータフレームをカウントする必要があるため、電子制御装置に負荷がかかるおそれがある。そこで、第１の異常判定部１０４は、例えば、読み出し部１０５がデータフレームを読み出すタイミングで、バッファ部１０２に次にデータフレームを書き込む位置を示すアドレスと、バッファ部１０２からデータフレームを読み出す位置を示すアドレスとの差分からデータフレームの数を算出する。

図３は、第１の異常判定部１０４による異常判定を説明する図である。図３（ａ）〜（ｃ）はそれぞれバッファ部１０２を示しており、斜線はバッファ部１０２にデータフレームが保存されていることを示している。また、いずれの図においても、閾値は４に設定されている。

図３（ａ）（ｂ）は、７つのデータフレームを保存可能なバッファ部１０２に、６つのデータフレームが保存されている状態を示している。図３（ａ）の例では、第１の異常判定部１０４は、バッファ部１０２に保存されている６つのデータフレーム全てが異常であると判定する。これに対し、第１の異常判定部１０４は、バッファ部に保存されたデータフレームの数が閾値を超えた後に書き込み部によってバッファ部に書き込まれたデータフレームが異常であると判定してもよい。図３（ｂ）はこの例を示しており、閾値を超えるまでに書き込まれた４つのデータフレームは正常であると判定され、閾値を超えた後に書き込まれた２つのデータフレームが異常であると判定されている。

図３（ｃ）は、バッファ部に保存可能なデータフレームの数が閾値と等しく、バッファ部１０２には４つのデータフレームが保存されている状態を示している。図３（ｃ）の場合、図３（ａ）と同様、閾値を超えるまでに書き込まれた４つのデータフレームは正常であると判定される。また、図３（ｃ）の破線に示す、閾値を超えた後に書き込まれたデータフレームは、バッファ部１０２には保存されずに異常であると判定される。

なお、図３に示す各例では、閾値はいずれも４、すなわち、１以上の値に設定されている。しかしながら、特定のＣＡＮ−ＩＤを有するデータフレームについて、閾値が０に設定されてもよい。閾値が０とは、読み出し部１０５による読み出し周期の間に、受信部１０１が所定の送信周期で送信されたデータフレームを受信する最大数が０であることを示している。例えば、受信部１０１が、特定のＣＡＮ−ＩＤを有するデータフレームを非周期的に受信する場合、当該ＣＡＮ−ＩＤに対応するデータフレームの閾値は０に設定される。このようなデータフレームは、第１の異常判定部１０４において常に異常であると判定されるため、後述する第２の異常判定部１０６において異常検出処理が行われることになる。

読み出し部１０５は、バッファ部１０２に保存されている全てのデータフレームを所定の読み出し周期で読み出すとともに、読み出されたデータフレームをバッファ部１０２から削除する。

第２の異常判定部１０６は、第１の異常判定部１０４で異常であると判定されていないデータフレームに異常検知処理を行うことにより、データフレームの異常を判定する。第２の異常判定部１０６が行う異常検知方法は任意である。例えば、第２の異常判定部１０６は、メッセージ認証コードを用いた異常検知を行う。この場合、電子制御装置１０は、送信元電子制御装置２０との間であらかじめ共有鍵を共有しておき、送信元電子制御装置２０からデータフレームのデータに対して当該共有鍵を適用して求めたハッシュ値をＭＡＣ（Message Authentication Code）値として送信し、電子制御装置１０で同様の方法で求めたＭＡＣ値と送信元電子制御装置が送信したＭＡＣ値とを比較し、ＭＡＣ値が異なる場合に異常を検出する。他の例として、第２の異常判定部１０６は、各データフレームに付与されたタイムスタンプに基づいて各データフレームの受信間隔を算出するとともに、算出した受信間隔が所定の間隔を超えている場合に異常を検出する。

ＭＡＣ値や受信間隔を算出して異常検知する手法は処理負荷が高い。しかしながら、本実施形態によれば、第１の異常判定部１０４において異常ではないと判定されたデータフレームに対してのみ、このような処理負荷の高い異常検知処理が行われる。つまり、第１の異常判定部１０４において明らかに異常であると判定されたデータフレームに対しては異常検知処理を省略することにより、電子制御装置１０における処理負荷を抑制することができる。

なお、第１の異常判定部１０４又は第２の異常判定部１０６がデータフレームが異常であると判定した場合、異常を検出したことを示すログを記録する。あるいは、ログの記録に代えて、異常であると判定されたデータフレームを破棄してもよい。

次に、図４を参照して電子制御装置１０の動作を説明する。なお、図４、および後述する図６は、電子制御装置１０におけるデータフレームの異常を判定する方法を示すだけでなく、電子制御装置１０で実行されるプログラムの処理手順を示すものである。また、図４、図６に示す処理は、電子制御装置１０がデータフレームを受信する度に繰り返し実行される。なお、図４に示す処理の順序は、ある処理が次の処理の前提条件となっていなければ、適宜入れ替えることが可能である。

Ｓ１０１において、送信元電子制御装置２０から所定の送信周期で送信されたデータフレームを受信部１０１で受信する。
Ｓ１０２において、Ｓ１０１で受信したデータフレームをバッファ部１０２に書き込む。
Ｓ１０３において、バッファ部１０２の容量を超えてデータフレームが書き込まれた場合、第１の異常判定部１０４は当該データフレームが異常であると判定し、異常なデータフレームを受信したことを示すログを記録する（Ｓ１０９）。
次いで、読み出し部１０５の所定の読み出し周期に対応する時刻になると（Ｓ１０４：ＹＥＳ）、Ｓ１０５において、バッファ部１０２に書き込まれたデータフレームの数と所定の閾値とを比較する。ここで、バッファ部１０２に書き込まれたデータフレームの数が閾値を超える場合（Ｓ１０５：ＹＥＳ）、第１の異常判定部１０４はデータフレームが異常であると判定し、異常なデータフレームを受信したことを示すログを記録する（Ｓ１０９）。これに対し、データフレームの数が閾値以下の場合（Ｓ１０５：ＮＯ）、次の処理に進む。
Ｓ１０６において、バッファ部１０２に保存されているデータフレームを読み出すとともに、読み出されたデータフレームをバッファ部１０２から削除する。
Ｓ１０７において、バッファ部１０２から読み出されたデータフレームに異常検知処理を行う。ここで、異常が検出され、データフレームが異常であると判定された場合（Ｓ１０８：ＹＥＳ）、Ｓ１０９において、異常なデータフレームを受信したことを示すログを記録する。これに対し、異常があると判定されない場合（Ｓ１０８：ＮＯ）、処理を終了する。

以上のとおり、本実施形態の電子制御装置１０は、データフレームに対して２段階の異常判定を行う。第１の異常判定では、バッファ部１０２を利用して異常判定を行い、第１の異常判定において異常であると判定されていないデータフレームに対してのみ処理負荷の高い異常検知処理を行うことによって第２の異常判定を行う。このような構成とすることにより、異常検知処理を行う対象のデータフレームを限定して、異常検知処理の負荷を削減することが可能となる。

（実施形態２）
本実施形態２では、電子制御装置が、上述した実施形態１の構成に加えて、さらなる異常判定部を備える構成を説明する。

図５は本実施形態の電子制御装置１１を示している。電子制御装置１１は、第３の異常判定部２０１を備える点で電子制御装置１０と異なっている。なお、図５に示す各構成のうち、図２と同じ構成については同じ符号を付して説明を省略する。

第３の異常判定部２０１は、第１の異常判定部１０４で異常であると判定されていないデータフレームの異常を、第１の異常判定部１０４とは異なる方法で判定する。例えば、第３の異常判定部２０１は、予め設定された所定の期間内に読み出し部１０５で読み出されたデータフレームの数の合計が所定の閾値（以下、合計閾値）を超える場合に、データフレームが異常であると判定する。この場合の所定の期間は、読み出し部１０５がデータフレームを読み出す読み出し周期よりも長い期間であり、第３の異常判定部２０１が異常判定を行う周期に相当する。なお、第３の異常判定部２０１が用いる異常判定方法は、第１の異常判定部および第２の異常判定部１０６による判定方法と異なっていれば任意の方法を用いることができるが、第１の異常判定部１０４による判定方法よりも異常判定の精度が高く、かつ、第２の異常判定部１０６による判定方法よりも処理負荷が低いものであることが望ましい。

本実施形態の第２の異常判定部１０６は、第３の異常判定部２０１で異常であると判定されていないデータフレームに異常検知処理を行うことにより、データフレームが異常であるかどうかを判定する。つまり、本実施形態の第２の異常判定部１０６は、第１の異常判定部１０４および第３の異常判定部２０１の双方で異常であると判定されていないデータフレームにのみ異常検知処理を行うため、実施形態１と比較して、異常検知処理を行う対象のデータフレームの数を低減することができる。

図６を参照して、本実施形態による電子制御装置１１の動作の例を説明する。図４と同様の処理には同じ符号を付し、説明は省略する。図６では、図４のフローチャートに対してＳ２０１の処理が追加されている。

本実施形態では、Ｓ１０５において読み出し部１０５がデータフレームを読み出すと、Ｓ２０１の処理に進む。Ｓ２０１では、第３の異常判定部２０１でデータフレームの異常を判定する。ここで、データフレームが異常であると判定した場合（Ｓ２０１：ＹＥＳ）には、異常なデータフレームを受信したことを示すログを記録する（Ｓ１０９）。これに対し、異常があると判定されない場合（Ｓ２０１：ＮＯ）、第２の異常判定部１０６で異常検知処理を行う（Ｓ１０７）。

図７は、第３の異常判定部２０１による異常判定の一例を説明する図である。図７（ａ）は、読み出し周期の２倍に相当する期間が、第３の異常判定部２０１が異常を判定する周期として設定されることを示している。また、図７（ｂ）は、図７（ａ）に示す読み出し処理Ｒ_１、Ｒ_２、Ｒ_３の際にバッファ部１０２内に保存されているデータフレームをそれぞれ示している。

ここで、合計閾値として予め１０の値が設定されている場合を想定する。図７（ｂ）に示す通り、バッファ部１０２に保存されているデータフレームの数はいずれも閾値以下であるため、第１の異常判定部１０４ではデータフレームは異常であるとは判定されない。しかしながら、図７（ａ）に示す読み出し処理Ｒ_１、Ｒ_２、Ｒ_３で読み出されたデータフレームの数の合計は１１であり、合計閾値１０を超えている。そのため、第３の異常判定部２０１は、図７（ａ）に示す読み出し処理で読み出したデータフレームはいずれも異常であると判定する。

図８は、第３の異常判定部２０１による異常判定の他の例を説明する図である。図８（ａ）は、読み出し部１０５がバッファ部１０２からデータフレームを読み出す読み出し周期が、送信元電子制御装置２０がデータフレームを送信する送信周期の二分の一であることを示している。この場合、連続してデータフレームが読み出される可能性は低く、例えば、図８（ｂ）に示すように、読み出し処理Ｒ_１でデータフレームが読み出されると、次の読み出し処理Ｒ_２の時点でデータフレームは保存されていないため、データフレームは読み出されず、次の読み出し処理Ｒ_３でデータフレームが読み出される可能性が高い。これに対し、図８（ｃ）に示すように、読み出し処理Ｒ_１、Ｒ_２、Ｒ_３で連続してデータフレームが読み出された場合、データフレームは異常である可能性が高い。そこで、このような場合には、第３の異常判定部２０１は読み出したデータフレームが異常であると判定する。この時、第３の異常判定部２０１は、連続して読み出したデータフレームはいずれも異常であると判定する。あるいは、データフレームが読み出されることを予定していない読み出し処理で読み出したデータフレーム、例えば、図８（ｃ）の読み出し処理Ｒ_２で読み出したデータフレームのみを異常であると判定してもよい。なお、図８に示す例では、読み出し周期が送信周期の二分の一である例を説明しているが、読み出し周期が送信周期の二分の一以下であれば、第３の異常判定部２０１は上述した方法を用いてデータフレームの異常を判定することができる。

なお、図６乃至８では、第３の異常判定部２０１が、読み出し部で読み出された後のデータフレームに異常判定を行う例を示している。しかしながら、第３の異常判定部２０１は、バッファ部１０２から読み出される前のデータフレームの異常を判定してもよい。例えば、第３の異常判定部２０１は、バッファ部１０２に保存されている異なるＣＡＮ−ＩＤのデータフレームの数の合計が所定の合計閾値を超える場合に、これらのデータフレームが異常であると判定してもよい。

例えば、図９は、ＣＡＮ−ＩＤ毎に複数のデータフレームを保存しているバッファ部１０２の例を示している。図９に示す構成の場合、受信部１０１は、特定の送信周期（「第１の送信周期」に対応）で送信されたＣＡＮ−ＩＤ：０ｘ１００のデータフレーム（「第１のデータフレーム」）に加えて、ＣＡＮ−ＩＤ：０ｘ２００、０ｘ３００、０ｘ４００のデータフレーム（「第２のデータフレーム」に対応）をそれぞれ受信する。なお、これらのデータフレームが送信元電子制御装置２０から送信される送信周期（「第２の送信周期」に対応）は第１の送信周期と同じであってもよく、それぞれ異なっていてもよい。また、図９に示す通り、保存可能なデータフレームの数や閾値はＣＡＮ−ＩＤ毎に異なっていてもよい。

合計閾値として予め１５の値が設定されている場合を想定する。図９の例では、それぞれのＣＡＮ−ＩＤを有するデータフレームの数は閾値以下であり、第１の異常判定部１０４では異常なデータフレームであると判定されない。しかしながら、バッファ部１０２に保存されている、０ｘ１００、０ｘ２００、０ｘ３００および０ｘ４００のデータフレームの数の合計は１６であり、合計閾値を超える。この場合、第３の異常判定部２０１は、図９に示すバッファ部に保存されているデータフレームはいずれも異常であると判定する。

以上のとおり、本実施形態の電子制御装置１１は、データフレームに対して３段階の異常判定を行う。実施形態１に示す第１の異常判定と第２の異常判定の間に第３の異常判定処理を行い、第３の異常判定で異常であると判定されていないデータフレームに対してのみ処理負荷の高い異常検知処理を行うことにより、電子制御装置における異常検知処理の負荷をさらに削減することが可能となる。

（実施形態３）
実施形態１、２では、第１の異常判定部１０４又は第３の異常判定部２０１が、データフレームの数と閾値とを比較することにより、データフレームが異常であるかどうかを判定した。本実施形態ではさらに、バッファ部１０２に保存されているデータフレームの数や、読み出し部１０５で読み出されるデータフレームの数に応じてフラグを生成し、第１の異常判定部１０４および第３の異常判定部２０１がフラグの有無に基づいて異常判定を行う構成を説明する。

図１０は、本実施形態の電子制御装置１２を示している。電子制御装置１２は、図２に示す電子制御装置１０に加えてフラグ生成部３０１を備えている。

フラグ生成部３０１は、バッファ部１０２に保存されているデータフレームの数をモニタし、データフレームの数が所定の条件を満たすとフラグを生成する。本実施形態における所定の条件は、例えば、バッファ部１０２に保存されているデータフレームの数が、実施形態１に記載の閾値を超えること、に設定される。

本実施形態の第１の異常判定部１０４は、フラグの有無に基づいてデータフレームが異常であるかどうかを判定する。つまり、フラグ生成部３０１によってフラグが生成されている場合には、第１の異常判定部１０４はデータフレームが異常であると判定する。

なお、フラグ生成部３０１は、上述した条件とは異なる条件を満たしたときに、フラグを生成するように構成されてもよい。例えば、所定の条件として、バッファ部１０２に保存されている複数のＣＡＮ−ＩＤを有するデータフレームの数の合計が、実施形態２に記載の合計閾値を超えることに設定され、フラグ生成部３０１は当該条件を満たす場合にフラグを生成してもよい。あるいは、フラグ生成部３０１は、読み出し部１０５で読み出されたデータフレームの数をモニタし、読み出し部１０５で読み出されたデータフレームの数が所定の条件を満たす場合にフラグを生成してもよい。この場合、例えば、所定の条件として、所定の期間内に読み出し部１０５で読み出されたデータフレームの数の合計が、実施形態２に記載の合計閾値を超えることに設定され、フラグ生成部３０１は当該条件を満たす場合にフラグを生成してもよい。このような場合、第２の異常判定部２０１は、フラグ生成部３０１によってフラグが生成されている場合に、データフレームが異常であると判定する。

本実施形態によれば、第１の異常判定部１０４又は第３の異常判定部２０１はフラグの有無によって異常を簡単に判定することができ、電子制御装置における異常判定にかかる負荷をより低減することができる。

（総括）
以上、各実施形態における電子制御装置の特徴について説明した。

実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。

実施形態の説明に用いたブロック図は、電子制御装置の構成を機能毎に分類および整理したものである。これらの機能ブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明の開示としても把握できるものである。

各実施形態に記載した処理、フロー、および方法として把握できる機能ブロックについては、一のステップで他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えても良い。

各実施形態、および本発明で使用する「第１」「第２」の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。

本発明は、各実施形態で説明した構成および機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、およびこれを実行可能な専用又は汎用ＣＰＵおよびメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。

専用や汎用のハードウェアの記録媒体（外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ、非遷移的実体的記録媒体（non-transitory tangible storage medium）等）、内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。

本発明の電子制御装置は、主として自動車に搭載される車載用電子制御装置として説明したが、車両用に限らず、様々な用途に用いられる電子制御装置に適用可能である。

１０，１１，１２ 電子制御装置、２０ 送信元電子制御装置、１０１ 受信部、１０２ バッファ部、１０３ 書き込み部、１０４ 第１の異常判定部、１０５ 読み出し部、１０６ 第２の異常判定部、２０１ 第３の異常判定部、３０１ フラグ生成部

Claims (11)

1. 通信ネットワークを介して接続された送信元電子制御装置（２０）から所定の送信周期で送信されたデータフレームを受信する受信部（１０１）と、
   前記データフレームを保存可能なバッファ部（１０２）と、
   前記受信部で受信した前記データフレームを前記バッファ部に書き込む書き込み部（１０３）と、
   前記バッファ部に書き込まれた前記データフレームの数が所定の閾値を超える場合、又は前記バッファ部の容量を超えて前記データフレームが書き込まれた場合、前記データフレームが異常であると判定する第１の異常判定部（１０４）と、
   前記バッファ部に保存されている前記データフレームを所定の読み出し周期で読み出すとともに、読み出された前記データフレームを前記バッファ部から削除する読み出し部（１０５）と、
   前記第１の異常判定部で異常であると判定されていない前記データフレームに異常検知処理を行うことにより、前記データフレームの異常を判定する第２の異常判定部（１０６）と、を備え、
   前記閾値又は前記容量は、前記読み出し周期の間に、前記受信部が前記送信周期で送信された前記データフレームを受信する最大数に基づいて設定される、
   電子制御装置（１０，１１，１２）。
2. 前記データフレームの数が前記閾値を超える場合、前記第１の異常判定部は、前記読み出し部で削除されるまでに前記バッファ部に保存される全ての前記データフレームが異常であると判定する、
   請求項１記載の電子制御装置。
3. 前記データフレームの数が前記閾値を超える場合、前記第１の異常判定部は、前記データフレームの数が前記閾値を超えた後に前記バッファ部に書き込まれる前記データフレームが異常であると判定する、
   請求項１記載の電子制御装置。
4. 前記バッファ部に保存可能な前記データフレームの数は前記閾値と等しい、
   請求項１記載の電子制御装置。
5. 前記閾値は０である、請求項１記載の電子制御装置。
6. 当該電子制御装置はさらに、前記第１の異常判定部で異常であると判定されていない前記データフレームのうち、前記読み出し周期よりも長い所定の期間内に前記読み出し部で読み出された前記データフレームの数の合計が所定の合計閾値を超える場合、前記データフレームが異常であると判定する第３の異常判定部（２０１）を備え、
   前記第２の異常判定部は、前記第３の異常判定部で異常であると判定されていない前記データフレームに前記異常検知処理を行う、
   請求項１記載の電子制御装置（１１）。
7. 前記読み出し周期は前記送信周期の二分の一以下であり、
   当該電子制御装置はさらに、前記第１の異常判定部で異常であると判定されていない前記データフレームが前記読み出し部で連続して読み出された場合、前記データフレームが異常であると判定する第３の異常判定部（２０１）を備え、
   前記第２の異常判定部は、前記第３の異常判定部で異常であると判定されていない前記データフレームに前記異常検知処理を行う、
   請求項１記載の電子制御装置（１１）。
8. 前記受信部は、前記送信周期である第１の送信周期で送信された前記データフレームである第１のデータフレームに加えて、第２の送信周期で送信された第２のデータフレームを受信し、
   前記バッファ部は、前記第１のデータフレームおよび前記第２のデータフレームをそれぞれ保存し、
   前記第１の異常判定部は、前記第１のデータフレームに加えて、前記第２のデータフレームが異常であるか否かを判定し、
   当該電子制御装置はさらに、前記第１の異常判定部で異常であると判定されていない前記第１のデータフレームおよび前記第２のデータフレームのうち、前記バッファ部に保存されている前記第１のデータフレームの数と前記第２のデータフレームの数の合計が所定の合計閾値を超える場合、前記第１のデータフレームおよび前記第２のデータフレームが異常であると判定する第３の異常判定部（２０１）を備え、
   前記第２の異常判定部は、前記第３の異常判定部で異常であると判定されていない前記第１のデータフレームおよび前記第２のデータフレームに前記異常検知処理を行う、
   請求項１記載の電子制御装置（１１）。
9. 当該電子制御装置はさらに、前記バッファ部に保存されている前記データフレームの数が前記閾値を超えた場合にフラグを生成するフラグ生成部（３０１）を備え、
   前記第１の異常判定部は、前記フラグが生成されている場合に前記データフレームが異常であると判定する、
   請求項１記載の電子制御装置（１２）。
10. 送信元電子制御装置に通信ネットワークを介して接続された電子制御装置において実行される異常判定プログラムであって、
    前記送信元電子制御装置から所定の送信周期で送信されたデータフレームを受信し、
    受信した前記データフレームをバッファ部に書き込み、
    第１の異常判定部において、前記バッファ部に書き込まれた前記データフレームの数が所定の閾値を超える場合、又は前記バッファ部の容量を超えて前記データフレームが書き込まれた場合、前記データフレームが異常であると判定し、
    前記バッファ部に保存されている前記データフレームを所定の読み出し周期で読み出し、
    読み出された前記データフレームを前記バッファ部から削除し、
    前記第１の異常判定部で異常であると判定されていない前記データフレームに異常検知処理を行うことにより、前記データフレームの異常を判定し、
    前記閾値又は前記容量は、前記読み出し周期の間に、前記送信周期で送信された前記データフレームを受信する最大数に基づいて設定されている、
    異常判定プログラム。
11. 送信元電子制御装置に通信ネットワークを介して接続された電子制御装置において実行される異常判定方法であって、
    前記送信元電子制御装置から所定の送信周期で送信されたデータフレームを受信し、
    受信した前記データフレームをバッファ部に書き込み、
    第１の異常判定部において、前記バッファ部に書き込まれた前記データフレームの数が所定の閾値を超える場合、又は前記バッファ部の容量を超えて前記データフレームが書き込まれた場合、前記データフレームが異常であると判定し、
    前記バッファ部に保存されている前記データフレームを所定の読み出し周期で読み出し、
    読み出された前記データフレームを前記バッファ部から削除し、
    前記第１の異常判定部で異常であると判定されていない前記データフレームに異常検知処理を行うことにより、前記データフレームの異常を判定し、
    前記閾値又は前記容量は、前記読み出し周期の間に、前記送信周期で送信された前記データフレームを受信する最大数に基づいて設定されている、
    異常判定方法。