JP2021078086A - 車載中継装置及び情報処理方法 - Google Patents

Abstract

【課題】車載ネットワークにおける異常の有無を判定する為に用いる閾値を効率的に設定することができる車載中継装置等を提供する。【解決手段】車載中継装置は、車両に搭載される車載ネットワークに流れるデータを中継する車載中継装置であって、前記データの中継に関する処理を制御する制御部を備え、前記制御部は、前記車載ネットワークの状態に関する閾値を導出し、前記導出した閾値に基づいて、前記車載ネットワークにおける異常の有無を判定する。【選択図】図１

Description

本発明は、車載中継装置及び情報処理方法に関する。

車両には、エンジン制御等のパワー・トレーン系、エアコン制御等のボディ系等の車載機器を制御するためのＥＣＵ（Electronic Control Unit）が搭載されている。これらＥＣＵは車載ネットワークシステムによりメッセージを送受信するようにしてあるところ、当該車載ネットワークシステムに対し攻撃者がアクセスして不正なフレームを送信する等の脅威に対しセキュリティ対策が検討されており、車載ネットワークを監視する車載ネットワーク装置が提案されている（例えば特許文献１）。

特開２０１７−４７８３５号公報

しかしながら、特許文献１の車載ネットワーク装置は、車載ネットワークを監視するにあたり、車載ネットワークにおける異常の有無を判定する為に用いる閾値に関する考慮がされていない。

本発明は、車載ネットワークにおける異常の有無を判定する為に用いる閾値を効率的に設定することができる車載中継装置等を提供することを目的とする。

本開示の一態様に係る車載中継装置は、車両に搭載される車載ネットワークに流れるデータを中継する車載中継装置であって、
前記データの中継に関する処理を制御する制御部を備え、
前記制御部は、
前記車載ネットワークの状態に関する閾値を導出し、
前記導出した閾値に基づいて、前記車載ネットワークにおける異常の有無を判定する。

本開示の一態様によれば、車載ネットワークにおける異常の有無を判定する為に用いる閾値を効率的に設定する車載中継装置等を提供することができる。

図１は、実施形態１に係る車載中継装置を含む車載中継システムの構成を例示する模式図である。 図２は、車載中継装置の物理構成を例示するブロック図である。 図３は、車載中継装置の制御部の処理を例示するフローチャートである。 図４は、実施形態２に係る車載中継装置の制御部の処理を例示するフローチャートである。 図５は、実施形態３に係る車載中継装置の制御部の処理を例示するフローチャートである。

［本開示の実施形態の説明］
最初に本開示の実施態様を列挙して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

（１）本開示の一態様に係る車載中継装置は、車両に搭載される車載ネットワークに流れるデータを中継する車載中継装置であって、
前記データの中継に関する処理を制御する制御部を備え、
前記制御部は、
前記車載ネットワークの状態に関する閾値を導出し、
前記導出した閾値に基づいて、前記車載ネットワークにおける異常の有無を判定する。

本態様にあたっては、車載中継装置は、車載ネットワークの状態に関する閾値を導出し、導出した閾値に基づいて、車載ネットワークにおける異常の有無を判定するため、車載ネットワークにおける異常の有無を判定する為に用いる閾値を効率的に設定することができる。車載中継装置は、例えば、車両の製造段階等において自装置が車両に搭載された後工程にて、車載ネットワークの状態に関する閾値の導出を行うことにより、個々の車両夫々に応じた仕様又は特性に基づいた閾値を導出することができる。

（２）本開示の一態様に係る車載中継装置は、前記制御部は、
前記車載ネットワークの状態に関する情報を取得し、
取得した前記車載ネットワークの状態に関する情報に基づき、前記車載ネットワークの状態に関する閾値を導出する。

本態様にあたっては、車載中継装置は、例えばＣＡＮ通信によるメッセージの種類、帯域幅の使用率等の車載ネットワークの状態に関する情報を取得し、取得した当該取得した車載ネットワークの状態に関する情報に基づき、閾値を導出する。従って、当該閾値の対象となる車載ネットワークに即した閾値を効率的に導出することができる。

（３）本開示の一態様に係る車載中継装置は、前記導出した閾値の変更は制限されており、
前記制御部は、
制限を解除する解除条件が満たされた場合、閾値の変更に関する制限を解除し、閾値を改めて導出し、
前記改めて導出した閾値に基づいて、前記車載ネットワークにおける異常の有無を判定する。

本態様にあたっては、導出した閾値の変更は、制限されているため、当該閾値の堅牢性を担保することができる。その上で、制限を解除する解除条件が満たされた場合、車載中継装置は、閾値の変更に関する制限を解除し、閾値を改めて導出する。従って、閾値の堅牢性を担保しつつ必要に応じて、閾値を改めて導出することにより当該閾値を再設定し、再設定された閾値に基づいて、車載ネットワークにおける異常の有無を判定することにより、当該閾値の適正性を効率的に確保することができる。

（４）本開示の一態様に係る車載中継装置は、前記車載ネットワークの状態に関する閾値の候補となる複数の候補閾値が、所定の記憶領域に記憶されており、
前記制御部は、
前記車両の実装構成に関する情報に基づき、前記所定の記憶領域を参照して、前記複数の候補閾値の内のいずれかの閾値を、前記車載ネットワークの状態に関する閾値として導出する。

本態様にあたっては、車載ネットワークの状態に関する閾値の候補となる複数の候補閾値は、車載中継装置からアクセス可能な所定の記憶領域に記憶されており、車載中継装置は、自装置が搭載される車両の実装構成に関する情報に基づき、複数の候補閾値の内のいずれかの閾値を、自装置が接続される車載ネットワークの状態に関する閾値として導出する。従って、車載中継装置は、所定の記憶領域に記憶されて複数の候補閾値から、車両の実装構成に基づき閾値を選択するため、効率的に閾値を導出することができる。

（５）本開示の一態様に係る車載中継装置は、前記車載ネットワークの状態に関する閾値の候補となる複数の候補閾値が、所定の記憶領域に記憶されており、
前記制御部は、
前記車両の運転状態に関する情報に基づき、前記所定の記憶領域を参照して、前記複数の候補閾値の内のいずれかの閾値を、前記車載ネットワークの状態に関する閾値として導出する。

本態様にあたっては、車載ネットワークの状態に関する閾値の候補となる複数の候補閾値は、車載中継装置からアクセス可能な所定の記憶領域に記憶されており、車載中継装置は、自装置が搭載される車両の運転状態に関する情報に基づき、複数の候補閾値の内のいずれかの閾値を、自装置が接続される車載ネットワークの状態に関する閾値として導出する。従って、自装置が搭載される車両の運転状態に基づき動的に変化する閾値を効率的に導出することができる。

（６）本開示の一態様に係る車載中継装置は、前記車載ネットワークの状態に関する閾値は、前記車載ネットワークのトラフィックに関する閾値を含む。

本態様にあたっては、車載ネットワークの状態に関する閾値は、車載ネットワークのトラフィックに関する閾値を含むため、トラフィックにて顕在化される不正なアクセス等の攻撃を効率的に検出することができる。

（７）本開示の一態様に係る車載中継装置は、前記車載ネットワークの状態に関する閾値は、前記車載ネットワークにおいて周期的に送信されるデータの受信間隔の標準偏差に関する閾値を含む。

本態様にあたっては、車載ネットワークの状態に関する閾値は、周期的に送信されるデータの受信間隔の標準偏差に関する閾値を含むため、特にＣＡＮ通信において周期的に送信されるデータの受信間隔にて顕在化される不正なアクセス等の攻撃を効率的に検出することができる。

（８）本開示の一態様に係る車載中継装置は、前記車載ネットワークに含まれる複数のバス夫々に接続される複数の通信部を備え、
前記制御部は、
前記複数の通信部夫々に接続される複数のバス夫々の状態に関する閾値夫々を導出し、
前記導出した閾値夫々に基づいて、前記車載ネットワークに含まれる前記複数のバス夫々における異常の有無を判定する。

本態様にあたっては、車載中継装置は、複数の通信部に接続される複数のバス夫々の状態に関する閾値夫々を導出し、導出した閾値夫々に基づいて、複数のバス夫々における異常の有無を判定する。従って、いずれかの通信部に接続されるバスが不正なアクセス等の攻撃を受けた場合であっても、当該攻撃を効率的に検出することができる。

（９）本開示の一態様に係る車載中継装置は、ＣＡＮ通信を行うためのＣＡＮ通信部と、
イーサネット通信を行うためのイーサネット通信部とを備え、
前記車載ネットワークの状態に関する閾値は、前記ＣＡＮ通信部及び前記イーサネット通信部による通信状態の相関値に関する閾値を含む。

本態様にあたっては、車載ネットワークの状態に関する閾値は、ＣＡＮ通信部及びイーサネット通信部による通信状態の相関値に関する閾値を含むため、ＣＡＮ又はイーサネットのいずれかのセグメントが不正なアクセス等の攻撃を受けた場合、当該攻撃を効率的に検出することができる。

（１０）本開示の一態様に係る情報処理方法は、コンピュータに、
中継対象となるデータが流れる車載ネットワークの状態に関する閾値を導出し、
前記導出した閾値に基づいて、前記車載ネットワークにおける異常の有無を判定する
処理を実行させる。

本態様にあたっては、コンピュータを、車載ネットワークにおける異常の有無を判定する為に用いる閾値を効率的に設定することができる車載中継装置として動作させることができる。

[本開示の実施形態の詳細]
本開示をその実施の形態を示す図面に基づいて具体的に説明する。本開示の実施形態に係る車載中継装置２を、以下に図面を参照しつつ説明する。なお、本開示はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

（実施形態１）
以下、実施の形態について図面に基づいて説明する。図１は、実施形態１に係る車載中継装置２を含む車載中継システムＳの構成を例示する模式図である。図２は、車載中継装置２の物理構成を例示するブロック図である。

車載中継システムＳは、車両に搭載される車載中継装置２、車外通信装置１を含む。車載中継装置２は、車両に搭載される複数の車載ＥＣＵ３間の通信を中継する。車載中継装置２は、車外通信装置１を介して車外ネットワークＮを介して接続された外部サーバ１００と通信し、外部サーバ１００と、車両に搭載される車載ＥＣＵ３との間の通信を中継するものであってもよい。

外部サーバ１００は、例えばインターネット又は公衆回線網等の車外ネットワークＮに接続されているサーバ等のコンピュータであり、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）又はハードディスク等による記憶部１０１を備える。外部サーバ１００の記憶部１０１には、後述する車載ネットワーク４の閾値に関する情報が保存されているものであってもよい。

車両Ｃには、車外通信装置１、車載中継装置２、表示装置５、及び種々の車載機器を制御するための複数の車載ＥＣＵ３が搭載されている。車載中継装置２と車外通信装置１とは、例えばシリアルケーブル等のワイヤーハーネスにより通信可能に接続されている。車載中継装置２及び車載ＥＣＵ３は、ＣＡＮ（Control Area Network／登録商標）又はイーサネット（Ethernet／登録商標）等の通信プロトコルに対応した通信線４１及び車載ネットワーク４によって通信可能に接続されている。車載中継装置２及び車載ＥＣＵ３における通信プロトコルは、ＬＩＮ、ＭＯＳＴ、ＦｌｅｘＲａｙ等によるものであってもよい。

車外通信装置１は、車外通信部（図示せず）及び、車載中継装置２と通信するための入出力Ｉ／Ｆ（図示せず）を含む。車外通信部は、３Ｇ、ＬＴＥ、４Ｇ、ＷｉＦｉ等の移動体通信のプロトコルを用いて無線通信をするための通信装置であり、車外通信部に接続されたアンテナ１１を介して外部サーバ１００とデータの送受信を行う。車外通信装置１と外部サーバ１００との通信は、例えば公衆回線網又はインターネット等の外部ネットワークＮを介して行われる。入出力Ｉ／Ｆは、車載中継装置２と、例えばシリアル通信するための通信インターフェイスである。車外通信装置１と車載中継装置２とは、入出力Ｉ／Ｆ及び入出力Ｉ／Ｆに接続されたシリアルケーブル等のワイヤーハーネスを介して相互に通信する。本実施形態では、車外通信装置１は、車載中継装置２と別装置とし、入出力Ｉ／Ｆ等によってこれら装置を通信可能に接続しているが、これに限定されない。車外通信装置１は、車載中継装置２の一構成部位として、車載中継装置２に内蔵されるものであってもよい。

車載中継装置２は、制御部２０、記憶部２１、入出力Ｉ／Ｆ２２、及び車内通信部２３を含む。車載中継装置２は、例えば、認知系の車載ＥＣＵ３、判断系の車載ＥＣＵ３及び、操作系の車載ＥＣＵ３等の複数の通信線４１による系統のセグメントを統括し、これらセグメント間での車載ＥＣＵ３同士の通信を中継するゲートウェイ（中継器）である。複数の通信線４１夫々は、各セグメントにおけるバスに相当する。車載中継装置２は、車両Ｃ全体をコントロールするボディＥＣＵの一機能部として構成されるものであってもよい。車載中継装置２は、車外通信装置１が無線通信によって外部サーバ１００から受信した更新プログラムを、車外通信装置１から取得し、車載ネットワーク４を介して当該更新プログラムを所定の車載ＥＣＵ３（更新対象の車載ＥＣＵ３）に送信するように構成されているもの（リプロマスター）であってもよい。

制御部２０は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等により構成してあり、記憶部２１に予め記憶された制御プログラム及びデータを読み出して実行することにより、種々の制御処理及び演算処理等を行うようにしてある。

記憶部２１は、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してあり、制御プログラム及び処理時に参照するデータがあらかじめ記憶してある。記憶部２１に記憶された制御プログラムは、車載中継装置２が読み取り可能な記録媒体２１１から読み出された制御プログラムを記憶したものであってもよい。また、図示しない通信網に接続されている図示しない外部コンピュータから制御プログラムをダウンロードし、記憶部２１に記憶させたものであってもよい。記憶部２１には、後述する車載ネットワーク４の閾値に関する情報が記憶される。

記憶部２１には、車載ＥＣＵ３間の通信、又は車載ＥＣＵ３と外部サーバ１００との間の通信のための中継処理を行うにあたり用いられる中継経路情報（ルーティングテーブル）が、記憶される。当該中継経路情報は、通信プロトコルに基づき書式が決定される。通信プロトコルがＣＡＮの場合、ＣＡＮ用中継経路情報は、ＣＡＮメッセージに含まれるメッセージ識別子（ＣＡＮ−ＩＤ）及び、当該ＣＡＮ−ＩＤに関連付けられた中継先（ＣＡＮ通信部２３２のＩ／Ｏポート番号）を含む。通信プロトコルがＴＣＰ／ＩＰの場合、ＴＣＰ／ＩＰ用中継経路情報は、ＩＰパケットに含まれる送信先アドレス（ＭＡＣアドレス又はＩＰアドレス）及び、当該送信先アドレスに関連付けられた中継先（イーサネット通信部２３１の物理ポート番号）を含む。

記憶部２１には、車両Ｃに搭載される全ての車載ＥＣＵ３の構成情報（車両構成情報）が記憶される。記憶部２１に記憶される車載ＥＣＵ３夫々の構成情報（車両構成情報）は、例えば、車載ＥＣＵ３の製造番号（シリアル番号）、ＥＣＵ部番（型番）、Ｓｏｆｔｗａｒｅ部番、プログラムの現バージョン、ＭＡＣ（Media Access Control）アドレス、ＩＰアドレス及びＶＩＮ（車両識別番号）を含む。また、車載ＥＣＵ３がＣＡＮによって接続される場合、車載ＥＣＵ３の構成情報は、当該車載ＥＣＵ３がメッセージを送信する際に用いる（含める）ＣＡＮ−ＩＤを含むものであってよい。これら車両構成情報は、個々の車載ＥＣＵ３において重複しないように設定された連番等によるＥＣＵ−ＩＤに関連付けられて管理され、例えばテーブル形式のデータとして記憶部２１に記憶される。制御部２０は、ＩＧスイッチ６（イグニッションスイッチ）がオン又はオフにされた場合等の所定のタイミングにて、定常的に車両Ｃに搭載されている全ての車載ＥＣＵ３又は特定の車載ＥＣＵ３から、車載ＥＣＵ３夫々の構成情報を取得し、記憶部２１に記憶する。更に、記憶部２１には、車両Ｃの仕向け地、車種、車両諸元及びオプション装備に関する情報が記憶されているものであってもよい。車両Ｃの実装構成に関する情報は、これら車両構成情報、車両Ｃの仕向け地、車種、車両諸元及びオプション装備に関する情報を含む。従って、車載中継装置２の制御部２０は、記憶部２１に記憶されている車両構成情報、又は車両諸元等に関する情報を参照することにより、自装置が搭載されている車両Ｃの実装構成に関する情報を取得することができる。

入出力Ｉ／Ｆ２２は、車外通信装置１の入出力Ｉ／Ｆと同様に、例えばシリアル通信するための通信インターフェイスである。入出力Ｉ／Ｆ２２を介して、車載中継装置２は、車外通信装置１、表示装置５（ＨＭＩ装置）及び、車両Ｃの起動及び停止を行うＩＧスイッチ６と通信可能に接続される。

車内通信部２３は、例えばＣＡＮ（Control Area Network）、ＣＡＮ−ＦＤ（CAN with Flexible Data Rate）又はイーサネット（Ethernet／登録商標）の通信プロトコルを用いた入出力インターフェイス（ＣＡＮ通信部２３２、イーサネット通信部２３１）であり、制御部２０は、車内通信部２３を介して車載ネットワーク４に接続されている車載ＥＣＵ３又は他の中継装置等の車載機器と相互に通信する。

イーサネット通信部２３１は、１００ＢＡＳＥ−Ｔ１又は１０００ＢＡＳＥ−Ｔ１等のイーサネットケーブル４１１にて伝送されるＴＣＰ／ＩＰのパケットに対応するイーサネットＰＨＹ部である。

ＣＡＮ通信部２３２は、ＣＡＮ又は、ＣＡＮ−ＦＤの通信プロトコルに対応したものであり、ＣＡＮバス４１２上にて伝送されるＣＡＮメッセージに対応するものであり、ハイ側及びロー側の２本の配線により構成されるＣＡＮバス４１２上の差動電圧の電位差による波形を受信し、受信した波形を１と０のビット列で表される信号に復号するＣＡＮトランシーバ又はＣＡＮ−ＦＤトランシーバである。又は、ＣＡＮ通信部２３２は、ＣＡＮトランシーバ及びＣＡＮコントローラ、又は、ＣＡＮ−ＦＤトランシーバ及びＣＡＮ−ＦＤコントローラを含むものであってもよい。

車内通信部２３（イーサネット通信部２３１、ＣＡＮ通信部２３２）は、複数個設けられており、車内通信部２３夫々に、車載ネットワーク４を構成する通信線４１夫々（イーサネットケーブル４１１、ＣＡＮバス４１２）、すなわちバス夫々が接続されている。このように車内通信部２３を複数個設けることにより、車載ネットワーク４を複数個のセグメントに分け、各セグメントに車載ＥＣＵ３を、当該車載ＥＣＵ３の機能（認知系機能、判断系機能、操作系機能）に応じて接続するものであってもよい。

車載ＥＣＵ３は、車載中継装置２と同様に制御部（図示せず）、記憶部（図示せず）及び車内通信部（図示せず）を含む。記憶部は、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してあり、車載ＥＣＵ３のプログラム又はデータが記憶されている。車内通信部は、車載中継装置２又は車載中継装置２と同様にイーサネット通信部又はＣＡＮ通信部を含み、車載ＥＣＵ３は、車内通信部を介して車載中継装置２と通信する。

図１及び図２に示すとおり、車載ＥＣＵ３は、車載ＥＣＵ３の記憶部に記憶されているプログラムを実行することにより、例えば認知系、判断系又は操作系に機能分類されるものであってもよい。

認知系の車載ＥＣＵ３は、例えば、カメラ、赤外線センサ又はＬＩＤＡＲ（Light Detection and Ranging）等のセンサ４２と接続しており、当該センサ４２から出力された出力値を例えばデジタル変換し、車載ネットワーク４を介して判断系の車載ＥＣＵ３に送信（出力）する。

判断系の車載ＥＣＵ３は、例えば、認知系の車載ＥＣＵ３から送信されたデータを受信（取得）し、受信したデータに基づき、車両Ｃの自動運転機能を発揮するためのデータを生成、又はデータを加工する処理行い、当該生成等したデータを、車載ネットワーク４を介して操作系の車載ＥＣＵ３に送信（出力）する。

操作系の車載ＥＣＵ３は、例えば、モータ、エンジン又はブレーキ等のアクチュエータ４３（車載駆動装置）と接続しており、判断系の車載ＥＣＵ３から送信されたデータを受信（取得）し、受信したデータに基づき当該アクチュエータの動作を制御して、車両Ｃの走行、停止又は操舵等の操作を行い、自動運転機能を発揮する。操作系の車載ＥＣＵ３は、リチウムイオン電池等の二次電池と接続しており、当該二次電池の充放電を制御するものであってもよい。

表示装置５は、例えばカーナビゲーションのディスプレイ等のＨＭＩ（Human Machine Interface）装置である。表示装置５は、車載中継装置２の入出力Ｉ／Ｆ２２とシリアルケーブル等のハーネスにより通信可能に接続されている。表示装置５には、車載中継装置２の制御部２０から入出力Ｉ／Ｆ２２を介して出力されたデータ又は情報が表示される。

車載中継装置２の制御部２０は、記憶部２１に記憶されている制御プログラムを実行することにより、車載ネットワーク４の状態に関する情報を取得する取得部として機能する。取得部は、イーサネット通信部２３１又はＣＡＮ通信部２３２を含む車内通信部２３夫々に接続されている通信線４１（バス）夫々に対し、当該通信線４１（バス）の平均バス負荷（帯域幅の平均使用率）、バス負荷最大値（帯域幅の最大使用率）、バス負荷の変動幅（帯域幅の最小使用率と最大使用率の差異）を取得する。取得部は、車内通信部２３夫々に接続されている通信線４１（バス）夫々のトラフィック（通信データ量）を検出し、当該トラフィックによる単位時間あたり帯域幅の使用率（バス負荷）、所定期間における平均使用率（平均バス負荷）等を導出することにより、これらバス負荷等を取得する。取得部は、更に定期的又は周期的に送信されている所定のデータに関し、所定の期間における当該データの送信間隔の標準偏差を取得するものであってもよい。すなわち、車載ネットワーク４の状態に関する情報は、車内通信部２３夫々に接続されている通信線４１（バス）の平均バス負荷、バス負荷最大値、バス負荷の変動幅又は、周期的に送信されるデータの送信間隔の標準偏差の少なくとも１つを含む。

車載中継装置２の制御部２０は、記憶部２１に記憶されている制御プログラムを実行することにより、車載ネットワーク４の状態に関する閾値を導出する導出部として機能する。導出部は、平均バス負荷又は周期的に送信されるデータの送信間隔の標準偏差等を含む車載ネットワーク４の状態に関する情報に基づき、当該車載ネットワーク４の正常又は異常を判定するための種々の閾値を導出する。導出部は、例えば、平均バス負荷、バス負荷最大値又は、バス負荷の変動幅等、トラフィックによるバス負荷の値に関する情報に基づき閾値を導出する場合、これら平均バス負荷等に対し余裕値を含ませるように所定の係数又は比率を乗算した値を、当該閾値として導出するものであってもよい。導出部は、周期的に送信されるデータの送信間隔の標準偏差に基づき閾値を導出する場合、当該標準偏差に対し、例えば１以上の所定の係数を乗算した値を、当該閾値として導出するものであってもよい。

導出部は、複数の通信線４１（バス）における状態に関する情報に基づき、閾値を導出するものであってもよい。導出部は、例えば、いずれかのＣＡＮ通信部２３２及びイーサネット通信部２３１の平均バス負荷夫々を取得し、これらＣＡＮ通信部２３２及びイーサネット通信部２３１の平均バス負荷の比率に基づき、閾値を導出するものであってもよい。いずれかのＣＡＮ通信部２３２及びイーサネット通信部２３１における平均バス負荷夫々が、例えば正相関を有する場合、ＣＡＮ通信部２３２の平均バス負荷が上昇すると、イーサネット通信部２３１の平均バス負荷も上昇する傾向となる。このように正相関又は逆相関にある複数の車内通信部２３の状態に関する情報に基づくことにより、複数の車内通信部２３に連関する閾値を導出することができる。導出部は、導出した閾値夫々を記憶部２１に記憶し、車載ネットワーク４における異常判定を行うための閾値として設定する。

導出部は、車両Ｃの製造段階等において、車載中継装置２（自装置）が車両Ｃに搭載された後工程にて車載ネットワーク４の状態に関する閾値の導出を行うものであってもよい。車両Ｃの製造段階等にて、車載ネットワーク４の状態に関する閾値の導出を行う場合、車載中継装置２の記憶部２１には、未だ閾値は記憶されいない。従って、導出部は、車載ネットワーク４にてＣＡＮ又はイーサネット等の通信プロトコルによる通信がされた場合、車載ネットワーク４の状態に関する情報を取得し、当該情報に基づき導出した閾値を記憶部２１に記憶することができる。又は、車載ネットワーク４の異常判定に用いられる閾値の設定（記憶部２１への記憶）がされたか否かを示す設定フラグが記憶部２１に記憶されており、車両Ｃの製造段階等においては、当該設定フラグは、初期値として閾値が未設定であることを示している。導出部は、閾値が未設定であることを設定フラグが示す場合、導出した閾値を、車載ネットワーク４の異常判定に用いられる値として設定するものであってもよい。導出部は、導出した閾値を車載ネットワーク４における異常判定に用いられる値として設定（記憶部２１への記憶）した後、設定フラグが示す情報を、未設定から既設定に変更することにより、閾値の設定状態を保持するものであってもよい。

車載ネットワーク４における異常判定に用いられるために設定された閾値は、当該設定された以降、変更（再設定）が制限されているものであってもよい。すなわち、導出した閾値が、車載ネットワーク４における異常判定に用いられる閾値として既に記憶部２１に記憶されている場合又は、上述の設定フラグに関する情報が、閾値は既に設定済みであることを示す場合、当該設定済みの閾値の変更（再設定）が制限又は禁止されるものであってよい。このように設定済みの閾値の変更（再設定）を制限等することにより、車両Ｃ外からの不正なアクセス（攻撃）により、設定済みの閾値が、不正に変更等されることを防止し、当該閾値に関する堅牢性を確保することができる。

車載中継装置２の制御部２０は、記憶部２１に記憶されている制御プログラムを実行することにより、導出した閾値に基づき、車載ネットワーク４における異常の有無の判定する判定部として機能する。判定部は、車内通信部２３夫々を監視し、又は車内通信部２３間にて中継するデータに基づき、取得部と同様に車載ネットワーク４の状態に関する情報を取得する。判定部は、取得した車載ネットワーク４の状態に関する情報に含まれる平均バス負荷又は、周期的に送信されるデータの送信間隔の標準偏差等と、当該情報に対応する閾値とを比較し、取得した情報が閾値を越える場合、車載ネットワーク４に異常が発生したと判定する。判定部は、車載ネットワーク４に異常が発生したと判定するにあたり、いずれの車内通信部２３に接続される通信線４１（バス）にて当該異常が発生したかを特定するものであってもよい。

導出した閾値を車載ネットワーク４における異常判定に用いられる値として設定（記憶部２１への記憶）した以降であっても、導出部は、所定の条件（解除条件）が具備された場合は、閾値の変更に関する制限を解除し、閾値を改めて導出（再度導出）し、改めて導出した閾値により再設定するものであってもよい。すなわち、解除条件が具備された場合、導出部は、閾値を再度導出し、再度導出した閾値によって、前回導出し記憶部２１に記憶した閾値を上書き又は変更することにより、再度導出した閾値を車載ネットワーク４における異常判定に用いられる値として設定するものであってもよい。

解除条件は、例えば、車両Ｃの製造段階等にて用いられる製造設備（工場ツール）又は、正規ディーラー等にて用いられるダイアグツール等の保守用装置を車載中継装置２に接続し、当該接続が正常に行われたことを条件とするものであってもよい。当該接続が正常に行われた場合、車載中継装置２は、工場ツール等からの要求に基づき、車載中継装置２の状態（モード）を、閾値の再設定を可能とする閾値設定可能モードに遷移させるものであってもよい。このように解除条件が具備された場合、車載中継装置２が閾値設定可能モードに遷移することにより、車載中継装置２の導出部は、閾値を改めて導出（再度導出）し、改めて導出した閾値により再設定することができる。

解除条件は、車載中継装置２が保持している情報又は、車載中継装置２が車載ネットワーク４経由で取得できる情報に基づく条件であってもよい。例えば、車載中継装置２は、所定の車載ＥＣＵ３の起動回数、ＩＧスイッチ６のオン回数、二次電池等の蓄電装置（バッテリ）の着脱回数、オドメータの累計走行距離、ＧＰＳでの位置情報（車両Ｃの組立工場の所在地に対応した位置情報）等、車載ネットワーク４を介して車載ＥＣＵ３等の車載装置から取得可能な情報に基づき、解除条件の具備又は不備を判定してもよい。すなわち、車載中継装置２は、ＩＧスイッチ６のオン回数が所定回数以下、ＧＰＳでの位置情報が車両Ｃの組立工場の所在地に属する等の情報に基づき、解除条件が具備されたと判定し、閾値設定可能モードに遷移させるものであってもよい。解除条件は、一度しか書き込みができない不揮発性メモリを利用した閾値の記憶部２１への記憶、上述の工場ツール又はダイアグツール等の要求に対し一度しか応答しない等、いわゆるワンタイム許可処理を用いるものであってもよい。導出部は、改めて導出（再度導出）した閾値による再設定（記憶部２１への上書き）を行う。工場ツール又は正規ディーラーから値を設定する場合、当該再設定は、例えばＩＳＯ１４２２９で定義されているＳＩＤ＄２Ｅコマンドを用いて行うものであってもよい。このように解除条件が具備された場合、設定済みの閾値の変更（再設定）を許可することにより、当該閾値に関する堅牢性を確保しつつ、必要に応じて閾値を変更できる柔軟性を担保することができる。

図３は、車載中継装置２の制御部２０の処理を例示するフローチャートである。車載中継装置２の制御部２０は、例えば車両Ｃが起動状態（ＩＧスイッチ６がオン）において、車両Ｃの製造段階又は、製造完成後にて定常的に以下の処理を行う。

車載中継装置２の制御部２０は、閾値の設定（変更）は制限中であるかを判定する（Ｓ１０１）。制御部２０は、例えば、閾値が既に記憶部２１に記憶されているか、又は、閾値の設定状態を示す設定フラグを参照することにより、閾値の設定（変更）は制限中であるか否かを判定する。閾値が既に記憶部２１に記憶されている場合、又は設定フラグが既設定を示す場合は、制御部２０は、閾値の設定（変更）は制限中であると判定する（Ｓ１０１：ＹＥＳ）。閾値が未だ記憶部２１に記憶されていない場合、又は設定フラグが未設定を示す場合は、制御部２０は、閾値の設定（変更）は制限中でないと判定する（Ｓ１０１：ＮＯ）。例えば車両Ｃの製造段階等、車載中継装置２（自装置）が車両Ｃに搭載された後工程においては、閾値が未だ記憶部２１に記憶されておらず、制御部２０は、閾値の設定（変更）は制限中でないと判定する。

閾値の設定は制限中である場合（Ｓ１０１：ＹＥＳ）、車載中継装置２の制御部２０は、解除条件に関する情報を取得する（Ｓ１０２）。制御部２０は、上述のとおり、工場ツール等との接続状態に関する情報又は、車載ネットワーク４を介して車載装置から出力される情報等の解除条件に関する情報を取得する。制御部２０は、車外通信装置１を介して、例えば外部サーバ１００と通信し、外部サーバ１００から解除条件に関する情報を取得するものであってもよい。

車載中継装置２の制御部２０は、解除条件が具備されているか判定する（Ｓ１０３）。制御部２０は、取得した解除条件に関する情報に基づき、当該解除条件が具備されているか判定する。制御部２０は、例えば、ＩＧスイッチ６のオン回数が所定回数以下、ＧＰＳでの位置情報が車両Ｃの組立工場の所在地に属する等の情報に基づき、解除条件が具備されたと判定するものであってもよい。

例えば車両Ｃは製造段階であるため、閾値の設定は制限中でないと判定された場合（Ｓ１０１：ＮＯ）、又は解除条件が具備されたと判定された場合（Ｓ１０３：ＹＥＳ）、車載中継装置２の制御部２０は、車載ネットワーク４の状態に関する情報を取得する（Ｓ１０４）。すなわち、制御部２０は、車両Ｃの製造段階等にて初めて閾値を設定する場合、又は、既に設定した閾値を再設定するにあたり解除条件が具備されている場合、車載ネットワーク４の状態に関する情報を取得する。制御部２０は、車載中継装置２に含まれる車内通信部２３（イーサネット通信部２３１、ＣＡＮ通信部２３２）夫々に接続される通信線４１（バス）夫々におけるトラフィックによる平均バス負荷等又は、周期的に送信されるデータの送信間隔の標準偏差を含む車載ネットワーク４の状態に関する情報を取得する。

車載中継装置２の制御部２０は、車載ネットワーク４の状態に関する閾値を導出する（Ｓ１０５）。制御部２０は、例えば、取得した平均バス負荷又は送信間隔の標準偏差に対し、余裕値を含ませるように所定の係数又は比率を乗算した値を当該閾値として導出する。

車載中継装置２の制御部２０は、導出した閾値を記憶部２１に記憶する（Ｓ１０６）。制御部２０は、導出した閾値夫々を記憶部２１に記憶し、車載ネットワーク４における異常判定を行うための閾値として設定する。

車載中継装置２の制御部２０は、導出した閾値に基づき、車載ネットワーク４における異常の有無の判定を開始する（Ｓ１０７）。制御部２０は、車載ネットワーク４の異常判定を行うため設定した閾値を用いて、車載ネットワーク４における異常の有無の判定を開始する。閾値が平均バス負荷に関するものである場合、制御部２０は、いずれかの通信線４１（バス）にて、平均バス負荷の閾値を越えるバス負荷が検出された場合、当該通信線４１（バス）に異常が発生したと判定する。閾値が周期的に送信されるデータの送信間隔の標準偏差に関するものである場合、制御部２０は、当該周期的に送信されるデータの送信間隔の標準偏差が、標準偏差の閾値を超えた場合、当該データを送信する車載ＥＣＵ３が接続される通信線４１（バス）に異常が発生したと判定する。この場合、制御部２０は、当該データを送信する車載ＥＣＵ３に異常が発生したと判定するものであってもよい。制御部２０は、平均バス負荷又はデータの送信間隔の標準偏差等が、対応する閾値を複数回連続して超えた場合、又は所定期間において複数回にわたって超えた場合、異常が発生したと判定するものであってもよい。

制御部２０は、判定結果に関する情報を例えば、表示装置５に出力し、当該判定結果を表示装置５にて表示させるものであってもよい。判定結果を表示装置５に表示させることにより、車両Ｃの操作者に、当該判定結果を報知することができる。

本実施形態によれば、車載中継装置２は、例えば車両Ｃの製造段階等、自装置が車両Ｃに搭載された後工程にて、車載ネットワーク４の状態に関する閾値の導出を行うことにより、個々の車両Ｃ夫々に応じた仕様又は特性に基づいた閾値を効率的に導出することができる。導出した閾値は、個々の車両Ｃ夫々に応じた仕様又は特性に基づくものであるため、当該閾値を用いて、車載ネットワーク４に含まれる複数のバス夫々における異常の有無を精度よく判定することができる。

本実施形態によれば、導出した閾値の変更に対する制限を可能とすることにより、当該閾値の堅牢性を担保しつつ、所定の解除条件が満たされた場合、車載中継装置２は、閾値の変更に関する制限を解除し、閾値の変更（再設定）を行う。従って、閾値の堅牢性を担保しつつ必要に応じて当該閾値を再設定し、再設定された閾値に基づいて、車載ネットワーク４における異常の有無を判定することができ、当該閾値の適正性を効率的に確保することができる。

（実施形態２）
図４は、実施形態２に係る車載中継装置２の制御部２０の処理を例示するフローチャートである。実施形態２の車載中継装置２は、車両Ｃの実装構成に関する情報に基づき、複数の候補閾値の内から、いずれかの閾値を選択して、車載ネットワーク４の状態に関する閾値として導出する点で、実施形態１と異なる。

車載中継装置２の記憶部２１には、複数の候補閾値が記憶されている。これら候補閾値夫々は、異なる種類の閾値である平均バス負荷、バス負荷最大値、バス負荷の変動幅及び、周期的に送信されるデータの送信間隔の標準偏差を含む閾値セットとして記憶されるものであってもよい。閾値セット夫々は、例えば、仕向単位、車種単位、車種と装備パッケージ単位、車格（ブラットホーム）単位、メーカ又はディーラオプション単位等、車両Ｃの実装構成単位に応じて、各単位毎に、又は複数の単位の組合せよって記憶されているものであってもよい。例えば、仕向単位の閾値セットは、日本向け閾値セット、北米向け閾値セット、欧州向け閾値セットを含む。例えば、車種単位の閾値セットは、車種Ａ用閾値セット、車種Ｂ用閾値セット、車種Ｃ用閾値セットを含む。例えば、オプション単位の閾値セットは、標準装備閾値セット、ＭＯＰ（メーカオプション）有り閾値セット、ＤＯＰ（ディーラオプション）有り閾値セット、ＭＯＰＤＯＰ有り閾値セットを含む。各閾値セット夫々は、対応する実装構成単位に関する情報と関連付けられて、記憶部２１に記憶されている。

車載中継装置２の記憶部２１には、上述のとおり車両構成情報又は車両諸元等の車両Ｃの実装構成に関する情報が記憶されているため、車載中継装置２の制御部２０（導出部）は、当該車両Ｃの実装構成に関する情報に応じた閾値セットを選択して、自車（自装置が搭載された車両Ｃ）に適切な閾値を導出することができる。

複数の候補閾値（閾値セット）は、車載中継装置２の記憶部２１に記憶されるとしたが、これに限定されない。複数の候補閾値（閾値セット）は、車載中継装置２に通信可能に接続される外部サーバ１００、工場ツール又はダイアグツール等の記憶部１０１に記憶されているものであってもよい。すなわち、車載中継装置２の制御部２０は、車載中継装置２の記憶部２１及び、車載中継装置２に通信可能に接続された外部サーバ１００又は工場ツール等、制御部２０からアクセス可能な所定の記憶領域に記憶されている複数の候補閾値（閾値セット）から、いずれかの閾値（閾値セット）を取得することができる。

車載中継装置２の制御部２０は、例えば車両Ｃが起動状態（ＩＧスイッチ６がオン）において、車両Ｃの製造段階又は、製造完成後にて定常的に以下の処理を行う。車載中継装置２の制御部２０は、車両Ｃの実装構成に関する情報を取得する（Ｓ２０１）。制御部２０は、例えば、記憶部２１を参照し、記憶部２１に記憶されている車両構成情報又は車両諸元等の車両Ｃの実装構成に関する情報を取得する。又は、制御部２０は、車外通信装置１を介して外部サーバ１００と通信し、外部サーバ１００から車両Ｃの実装構成に関する情報を取得するものであってもよい。又は、制御部２０は、車載中継装置２に通信可能に接続された工場ツール又はダイアグツール等の外部接続端末を介して、車両Ｃの実装構成に関する情報を取得するものであってもよい。

車載中継装置２の制御部２０は、実装構成に関する情報に基づき、車載ネットワーク４の状態に関する閾値を選択（導出）する（Ｓ２０２）。制御部２０は、取得した車両Ｃ（自車）の実装構成に関する情報に基づき、記憶部２１に記憶されている複数の候補閾値（閾値セット）の内から、自車に適合する閾値セットを選択して、閾値を導出する。制御部２０は、選択した閾値セットを設定する。制御部２０は、工場ツール又は正規ディーラーから値を設定する場合、例えば、ＩＳＯ１４２２９で定義されているＳＩＤ＄２Ｅコマンドを用いてダイアグ通信によるパラメータ書換によって、選択した閾値セットを設定するものであってもよい。制御部２０は、車載中継装置２のセキュリティ認証後、特定の通信メッセージを通信線４１（バス）上に流すことで、当該メッセージに従い、閾値（閾値セット）を選択するものであってもよい。特定の通信メッセージは、例えば特定のＣＡＮ−ＩＤを用い、ペイロードの中に閾値セットを特定するための番号（閾値セット番号）を格納したものであってもよい。

車載中継装置２の制御部２０は、導出した閾値を記憶部２１に記憶する（Ｓ２０３）。制御部２０は、複数の候補閾値（閾値セット）の内から選択することにより導出した閾値を、実施形態１と同様に車載ネットワーク４における異常判定を行うための閾値として設定する。記憶部２１において、当該異常判定を行うための閾値が記憶される記憶領域が定められており、制御部２０は、選択した閾値セット（閾値夫々）を、当該記憶領域に記憶するものであってもよい。又は、記憶部２１に記憶されている複数の候補閾値（閾値セット）夫々には、例えば、有効又は無効を示すフラグが付与されており、選択された閾値（閾値セット）のフラグを有効とすることにより、当該選択された閾値（閾値セット）を、異常判定を行うための閾値として設定するものであってもよい。

車載中継装置２の制御部２０は、導出した閾値に基づき、車載ネットワーク４における異常の有無の判定を開始する（Ｓ２０４）。制御部２０は、実施形態１の処理Ｓ１０７と同様に、導出した閾値に基づき、車載ネットワーク４における異常の有無の判定を開始する。

本実施形態によれば、車載ネットワーク４の状態に関する閾値の候補となる複数の候補閾値（閾値セット）は、記憶部２１に記憶されている。従って、車載中継装置２の制御部２０は、自装置が搭載される車両Ｃ（自車）の実装構成に関する情報に基づき、自車に適切な閾値（閾値セット）を選択し、効率的に閾値（閾値セット）を導出することができる。例えば、正規ディーラ等にて、車両Ｃに搭載されるオプションの追加又は変更された場合であっても、車載中継装置２の制御部２０は、当該追加等が反映された実装構成に関する情報に基づき、自車に適切な閾値（閾値セット）を再度選択することにより、既に設定されている閾値（閾値セット）を静的変更することができる。

（実施形態３）
図５は、実施形態３に係る車載中継装置２の制御部２０の処理を例示するフローチャートである。実施形態３の車載中継装置２は、車両Ｃの運転状態に関する情報に基づき、複数の候補閾値の内から、いずれかの閾値を選択して、車載ネットワーク４の状態に関する閾値として導出する点で、実施形態１と異なる。又、実施形態３の車載中継装置２は、実施形態２のように正規ディーラ等にてオプションの追加等がされた場合を想定した静的変更と異なり、車両Ｃの運転状態に関する情報に基づき、閾値を動的変更する点で、実施形態２と異なる。

車載中継装置２の記憶部２１には、複数の候補閾値が記憶されている。これら候補閾値夫々は、異なる種類の閾値である平均バス負荷、バス負荷最大値、バス負荷の変動幅及び、周期的に送信されるデータの送信間隔の標準偏差を含む閾値セットとして記憶されるものであってもよい。閾値セット夫々は、例えば、運転モード単位又は省電力モード単位等、車両Ｃの運転状態単位に応じて、各単位毎に、又は複数の単位の組合せよって記憶されているものであってもよい。例えば、運転モード単位の閾値セットは、ノーマルモード用閾値セット、スポーツモード閾値セット、エコモード閾値セットを含む。例えば、省電力モード単位の閾値セットは、二次電池等の蓄電装置の残容量（ＳＯＣ）に応じたものとなっており、ＳＯＣ５０％以上用閾値セット、ＳＯＣ５０％未満用閾値セットを含む。各閾値セット夫々は、対応する運転状態単位に関する情報と関連付けられて、記憶部２１に記憶されている。複数の候補閾値（閾値セット）は、実施形態２と同様に、車載中継装置２の記憶部２１に記憶されるものに限定されず、外部サーバ１００等の記憶部１０１に記憶されているものであってもよい。

現時点における車両Ｃ（自車）の運転モードに関する情報、又は蓄電装置の残容量に関する情報等、車両Ｃの運転状態に関する情報は、車載ネットワーク４に接続されている車載ＥＣＵ３から送信されるデータに含まれている。従って、車載中継装置２の制御部２０（導出部）は、これら車載ＥＣＵ３から送信されるデータを取得又は中継するにあたり、運転モードに関する情報等、車両Ｃ（自車）の運転状態に関する情報を取得することができる。

車載中継装置２の制御部２０は、例えば車両Ｃが起動状態（ＩＧスイッチ６がオン）において、定常的に以下の処理を行う。車載中継装置２の制御部２０は、車両Ｃの運転状態に関する情報を取得する（Ｓ３０１）。制御部２０は、車載ＥＣＵ３から送信されるデータを取得又は中継することにより、運転モードに関する情報等、車両Ｃ（自車）の運転状態に関する情報を取得する。

車載中継装置２の制御部２０は、運転状態に関する情報に基づき、車載ネットワーク４の状態に関する閾値を選択（導出）する（Ｓ３０２）。制御部２０は、例えば運転モードに関する情報を取得した場合、当該運転モードに関する情報に基づき車両Ｃ（自車）の運転モードの種類を特定する。制御部２０は、例えば、運転モードの種類がノーマルモードであると特定した場合、ノーマルモードに対応する閾値（閾値セット）を選択することにより、閾値（閾値セット）を導出する。制御部２０は、例えば、二次電池等の蓄電装置の残容量に関する情報（ＳＯＣが７０％）を取得した場合、当該残容量に応じた省電力モードの閾値（閾値セット：ＳＯＣ５０％以上用閾値セット）を選択することにより、閾値（閾値セット）を導出する。

車載中継装置２の制御部２０は、導出した閾値を記憶部２１に記憶する（Ｓ３０３）。制御部２０は、複数の候補閾値（閾値セット）の内から選択することにより導出した閾値を、実施形態１と同様に車載ネットワーク４の異常判定を行うための閾値として設定する。制御部２０は、実施形態２の処理Ｓ２０３と同様に、異常判定を行うための閾値が記憶される記憶領域に、選択した閾値セット（閾値夫々）を記憶するものであってもよい。又は、制御部２０は、選択された閾値（閾値セット）のフラグを有効とすることにより、当該選択された閾値（閾値セット）を、異常判定を行うための閾値として設定するものであってもよい。

車載中継装置２の制御部２０は、導出した閾値に基づき、車載ネットワーク４における異常の有無の判定を開始する（Ｓ３０４）。制御部２０は、実施形態１の処理Ｓ１０７と同様に、導出した閾値に基づき、車載ネットワーク４における異常の有無の判定を開始する。

本実施形態によれば、車載ネットワーク４の状態に関する閾値の候補となる複数の候補閾値（閾値セット）は、記憶部２１に記憶されている。従って、車載中継装置２の制御部２０は、自装置が搭載される車両Ｃ（自車）の運転状態に関する情報に基づき、自車に適切な閾値（閾値セット）を選択し、効率的に閾値（閾値セット）を導出することができる。例えば、車両Ｃの運転モードが変更された場合、又は車両Ｃの蓄電装置の充電率が変動した場合であっても、車載中継装置２の制御部２０は、現時点における車両Ｃ（自車）の運転状態に関する情報に基づき、自車に適切な閾値（閾値セット）を再度選択することにより、既に設定されている閾値（閾値セット）を動的変更することができる。

今回開示された実施形態はすべての点で例示であって、制限的なものではないと考えられるべきである。本開示の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

Ｃ 車両
Ｓ 車載中継システム
１００ 外部サーバ
１０１ 記憶部
１ 車外通信装置
１１ アンテナ
２ 車載中継装置（ゲートウェイ）
２０ 制御部
２１ 記憶部
２１１ 記録媒体
２２ 入出力Ｉ／Ｆ
２３ 車内通信部
２３１ イーサネット通信部
２３２ ＣＡＮ通信部
３ 車載ＥＣＵ（車載制御装置）
４ 車載ネットワーク
４１ 通信線（バス）
４１１ イーサネットケーブル
４１２ ＣＡＮバス
４２ センサ
４３ アクチュエータ
５ 表示装置
６ ＩＧスイッチ

Claims (10)

1. 車両に搭載される車載ネットワークに流れるデータを中継する車載中継装置であって、
   前記データの中継に関する処理を制御する制御部を備え、
   前記制御部は、
   前記車載ネットワークの状態に関する閾値を導出し、
   前記導出した閾値に基づいて、前記車載ネットワークにおける異常の有無を判定する
   車載中継装置。
2. 前記制御部は、
   前記車載ネットワークの状態に関する情報を取得し、
   取得した前記車載ネットワークの状態に関する情報に基づき、前記車載ネットワークの状態に関する閾値を導出する
   請求項１に記載の車載中継装置。
3. 前記導出した閾値の変更は制限されており、
   前記制御部は、
   制限を解除する解除条件が満たされた場合、閾値の変更に関する制限を解除し、閾値を改めて導出し、
   前記改めて導出した閾値に基づいて、前記車載ネットワークにおける異常の有無を判定する
   請求項２に記載の車載中継装置。
4. 前記車載ネットワークの状態に関する閾値の候補となる複数の候補閾値が、所定の記憶領域に記憶されており、
   前記制御部は、
   前記車両の実装構成に関する情報に基づき、前記所定の記憶領域を参照して、前記複数の候補閾値の内のいずれかの閾値を、前記車載ネットワークの状態に関する閾値として導出する
   請求項１から請求項３のいずれか１項に記載の車載中継装置。
5. 前記車載ネットワークの状態に関する閾値の候補となる複数の候補閾値が、所定の記憶領域に記憶されており、
   前記制御部は、
   前記車両の運転状態に関する情報に基づき、前記所定の記憶領域を参照して、前記複数の候補閾値の内のいずれかの閾値を、前記車載ネットワークの状態に関する閾値として導出する
   請求項１から請求項４のいずれか１項に記載の車載中継装置。
6. 前記車載ネットワークの状態に関する閾値は、前記車載ネットワークのトラフィックに関する閾値を含む
   請求項１から請求項５のいずれか１項に記載の車載中継装置。
7. 前記車載ネットワークの状態に関する閾値は、前記車載ネットワークにおいて周期的に送信されるデータの受信間隔の標準偏差に関する閾値を含む
   請求項１から請求項６のいずれか１項に記載の車載中継装置。
8. 前記車載ネットワークに含まれる複数のバス夫々に接続される複数の通信部を備え、
   前記制御部は、
   前記複数の通信部夫々に接続される複数のバス夫々の状態に関する閾値夫々を導出し、
   前記導出した閾値夫々に基づいて、前記車載ネットワークに含まれる前記複数のバス夫々における異常の有無を判定する
   請求項１から請求項７のいずれか１項に記載の車載中継装置。
9. ＣＡＮ通信を行うためのＣＡＮ通信部と、
   イーサネット通信を行うためのイーサネット通信部とを備え、
   前記車載ネットワークの状態に関する閾値は、前記ＣＡＮ通信部及び前記イーサネット通信部による通信状態の相関値に関する閾値を含む
   請求項１から請求項８のいずれか１項に記載の車載中継装置。
10. コンピュータに、
    中継対象となるデータが流れる車載ネットワークの状態に関する閾値を導出し、
    前記導出した閾値に基づいて、前記車載ネットワークにおける異常の有無を判定する
    処理を実行させる情報処理方法。

Images