JP2024020459A - 車載装置、プログラム及び情報処理方法 - Google Patents

Abstract

【課題】周期的に送信されるデータに対し、効率的に不正なデータを検出する車載装置、プログラム及び情報処理方法を提供する。
【解決手段】車両に搭載される車載ネットワークに接続される車載装置は、車載ネットワークに流れるデータの正否の判定に関する処理を行う処理部を備える。処理部は、車載ネットワークに流れる複数のデータを受信し、受信した複数のデータにおいて、同種のデータを連続して受信した際の受信間隔を導出し、受信間隔と、連続して受信した同種のデータの内の先に受信したデータの受信時点を基準とした正常周期範囲とに基づき、連続して受信した同種のデータの内の後に受信したデータの正否の判定を行い、複数の動作状態に遷移する。複数の動作状態は、正常周期範囲を特定するにあたり基準となるデータの受信を行う基準データ受信状態と、特定した正常周期範囲に基づき受信したデータの正否を判定する判定実行状態とを含む。
【選択図】図１

Description

本開示は、車載装置、プログラム及び情報処理方法に関する。

従来、車両に搭載された複数の車載ＥＣＵ（Electronic Control Unit）間の通信には、ＣＡＮの通信プロトコルが広く採用されている。車両の多機能化及び高機能化に伴って、搭載される車載ＥＣＵの数が増加する傾向となるが、当該車載ＥＣＵをグループ（セグメント）に分けて車両ネットワークを構成し、同一グループとなる複数の車載ＥＣＵは共通の通信線で接続され相互にデータの送受信を行うと共に、異なるグループの車載ＥＣＵ間のデータの送受信は、車載中継装置（ゲートウェイ）によって中継される（例えば、特許文献１）。

特許文献１の車両ネットワークには、車載中継装置（ゲートウェイ）に加え、車両ネットワークのセグメント夫々に接続され、車両ネットワークに流れる不正なデータ（メッセージ）を検知する車両ネットワーク監視装置を備えている。当該車両ネットワーク監視装置は、不正なデータ（メッセージ）を検知したとき、車載制御装置（車載ＥＣＵ）に対して警告情報（メッセージコード）を送信する。

特開２０１３－１３１９０７号公報

本開示の一態様に係る車載装置は、車両に搭載される車載ネットワークに接続される車載装置であって、前記車載ネットワークに流れるデータの正否の判定に関する処理を行う処理部を備え、前記処理部は、前記車載ネットワークに流れる複数のデータを受信し、受信した前記複数のデータにおいて、同種のデータを連続して受信した際の受信間隔を導出し、前記受信間隔と、連続して受信した同種のデータの内の先に受信したデータの受信時点を基準とした正常周期範囲とに基づき、連続して受信した同種のデータの内の後に受信したデータの正否の判定を行い、複数の動作状態に遷移し、前記複数の動作状態は、前記正常周期範囲を特定するにあたり基準となるデータの受信を行う基準データ受信状態と、特定された前記正常周期範囲に基づき受信したデータの正否を判定する判定実行状態とを含む。

実施形態１に係る車載装置を含む車載システムの構成を例示する模式図である。 車載装置の物理構成を例示するブロック図である。 データ種別テーブルに関する説明図である。 データの判定（正常判定）に関する説明図である。 データの判定（通信途絶発生）に関する説明図である。 データの判定（異常（特定）判定）に関する説明図である。 データの判定（異常（範囲）判定）に関する説明図である。 データの判定（組み合わせ）に関する説明図である。 車載装置の処理部の状態遷移に関する説明図である。 車載装置の処理部による判定態様に関する説明図である。 車載装置の処理部の処理を例示するフローチャートである。 実施形態２に係るデータの判定（ダイアグマスク期間）に関する説明図である。 車載装置の処理部の状態遷移に関する説明図である。 車載装置の処理部の処理を例示するフローチャートである。

［本開示が解決しようとする課題］
特許文献１の車両ネットワーク監視装置は、周期的に送信されるメッセージに対し、当該送信周期に基づき効率的に不正なメッセージを検出する点に関する考慮がされていないという問題点がある。

本開示は、周期的に送信されるデータに対し、当該送信周期に基づき効率的に不正なデータを検出することができる車載装置等を提供することを目的とする。

［本開示の効果］
本開示の一態様によれば、周期的に送信されるデータに対し、当該送信周期に基づき効率的に不正なデータを検出する車載装置等を提供することができる。

［本開示の実施形態の説明］
最初に本開示の実施態様を列挙して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

（１）本開示の一態様に係る車載装置は、車両に搭載される車載ネットワークに接続される車載装置であって、前記車載ネットワークに流れるデータの正否の判定に関する処理を行う処理部を備え、前記処理部は、前記車載ネットワークに流れる複数のデータを受信し、受信した前記複数のデータにおいて、同種のデータを連続して受信した際の受信間隔を導出し、前記受信間隔と、連続して受信した同種のデータの内の先に受信したデータの受信時点を基準とした正常周期範囲とに基づき、連続して受信した同種のデータの内の後に受信したデータの正否の判定を行う。

本態様にあたっては、車載装置の処理部は、車載ネットワークに接続される車載ＥＣＵから送信されるＣＡＮメッセージ等の複数のデータを受信（取得）する。当該複数のデータは、例えば、同一のＣＡＮ－ＩＤ（メッセージＩＤ）となる同種のデータを含んでおり、処理部は、同種のデータを連続して受信した場合、先に受信したデータの受信時点と、後に受信したデータの受信時点との間隔となる受信間隔を導出する。処理部は、当該受信間隔と、先に受信したデータの受信時点を基準とした正常周期範囲とに基づき、後に受信したデータ（先に受信したデータと同種のデータ）の成否の判定を行うため、周期的に送信されるメッセージに対し、当該送信周期に基づき効率的に不正なメッセージを検出する。正常周期範囲は、連続して受信した同種の２つのデータにおいて、先に受信したデータの受信時点を基準に特定されるため、先に受信したデータの受信時点が、当該データの送信周期の開始時点から固定的に定められる受信時点に対し変動した場合であっても、当該正常周期範囲に基づき、後に受信したデータの正否判定を適切に行うことができる。

（２）本開示の一態様に係る車載装置は、前記正常周期範囲は、前記データの種別に基づき決定される送信周期を基準値として上下限値が設定された範囲である。

本態様にあたっては、車載装置の処理部は、データの種別に基づき決定される送信周期
（設計周期）を基準値とし、当該基準値を例えば中央値として上下限値を設定することにより、正常周期範囲を特定する。各車載ＥＣＵから送信されるＣＡＮメッセージ等のデータにおいて、例えば、同一のＣＡＮ－ＩＤ（メッセージＩＤ）となる同種のデータが送信される送信周期は、当該データの種別（メッセージＩＤ）によって予め決定されている。しかしながら、車載ネットワークのネットワーク負荷、車載ＥＣＵの演算負荷、又は車載中継装置の処理負荷に応じて、データが送信又は受信されるタイミングがずれ、当該送信周期から外れて、当該データが送信又は受信されることが発生する。これに対し、車載装置の処理部は、送信周期を基準値（例えば中央値）とし、当該送信周期の例えばａ％等、所定の比率（上下限値比率）に相当する時間を加算した値を上限値とし、減算した値を下限値とした範囲を正常周期範囲とする。これにより、車載ネットワークのネットワーク負荷等にて影響されるデータの受信タイミングの遅延等の変動を吸収してロバスト性を向上させ、データの正否判定の精度向上を図ることができる。

（３）本開示の一態様に係る車載装置は、前記処理部は、前記受信間隔が、連続して受信した同種のデータの内の先に受信したデータの受信時点を基準とした前記正常周期範囲内である場合、連続して受信した同種のデータの内の後に受信したデータは正常であると判定し、前記受信間隔が、前記正常周期範囲内でない場合、連続して受信した同種のデータの内の後に受信したデータは異常であると判定する。

本態様にあたっては、処理部は、連続して受信した同種の２つのデータによる受信間隔が、正常周期範囲内となる場合、後に受信したデータは正常であると判定し、正常周期範囲内でない場合、すなわち受信間隔が正常周期範囲外となる場合、後に受信したデータは異常であると判定するため、効率的にデータの正否判定を行うことができる。正常周期範囲は、例えば、先に受信したデータの受信時点に当該データの種別に基づき決定される送信周期を加算した時点に、上下限値が設定された範囲であるため、受信間隔が正常周期範囲内となることは、後に受信したデータの受信時点が、正常周期範囲によって定められる下限時点（limit-low）から上限時点（limit-upp）までの間に位置することを意味する。受信間隔が正常周期範囲外となることは、後に受信したデータの受信時点が、正常周期範囲によって定められる下限時点（limit-low）から上限時点（limit-upp）までの間に位置せず、例えば、下限時点（limit-low）よりも前の時点であることを意味する。このように受信間隔が、先に受信したデータの受信時点を基準に特定される正常周期範囲内であるか、範囲外であるかに基づき、後に受信したデータの正否判定を行うため、効率的に不正なデータを検出することができる。

（４）本開示の一態様に係る車載装置は、前記処理部は、前記正常周期範囲内に同種のデータを受信できなかった場合、前記正常周期範囲以降に受信した同種のデータの受信時点を基準に次の正常周期範囲を特定する。

本態様にあたっては、正常周期範囲内に同種のデータを受信できなかった場合、すなわち正常周期範囲によって定められる下限時点（limit-low）から上限時点（limit-upp）までの間に、先のデータと同種のデータを受信できなかった場合、本来送信又は受信されるデータが、ネットワーク負荷等の影響によるロスト（消失）したことによる通信遮断が発生したことが考えられる。これに対し、車載装置の処理部は、正常周期範囲以降、すなわち当該正常周期範囲にて定められる上限時点（limit-upp）よりも後に受信したデータ（先のデータと同種のデータ）の受信時点を基準に、正常周期範囲を特定する。これにより、データのロスト（消失）等による通信途絶が発生した場合であっても、正常周期範囲を特定するための基準となるデータを受信（再取得）することにより、当該データを受信（再取得）した後に受信したデータに対する正否判定処理を効率的に再開することができる。このように車載装置の処理部は、正常周期範囲以降に受信したデータに対し、一律に異常と判定せず、当該データの受信時点を基準に正常周期範囲を特定することにより、正常周期範囲以降に受信したデータが正常なデータであるにもかかわらず、異常なデータであるとして誤検知されることを防止することができる。

（５）本開示の一態様に係る車載装置は、前記処理部は、前記正常周期範囲内にて受信した同種のデータの個数が一つの場合、該正常周期範囲内にて受信した一つのデータは正常であると判定し、前記正常周期範囲内にて受信した同種のデータの個数が複数の場合、該正常周期範囲内にて受信した複数のデータに含まれるいずれかのデータは異常であると判定する。

本態様にあたっては、同種となる複数のデータが、順次に送信される際の送信周期は、当該データの種別に基づき予め決定しているため、正常周期範囲内にて受信、すなわち正常周期範囲によって定められる下限時点（limit-low）から上限時点（limit-upp）までの間に受信されるデータ（先のデータと同種のデータ）の個数は、本来的に１つである。これに対し、正常周期範囲内にて受信した同種のデータの個数が複数の場合、当該複数のデータには、異常なデータが含まれているものとなる。このように車載装置の処理部は、正常周期範囲内に複数の同種のデータを受信した場合、当該範囲内にて異常なデータが含まれていると判定することにより、所定の受信期間における範囲での異常検知（範囲異常検知）を効率的に行うことができる。

（６）本開示の一態様に係る車載装置は、前記処理部は、前記正常周期範囲内にて受信した同種のデータの個数が複数の場合、前記正常周期範囲以降に受信した同種のデータの受信時点を基準に次の正常周期範囲を特定する。

本態様にあたっては、車載装置の処理部は、正常周期範囲内にて受信、すなわち正常周期範囲によって定められる下限時点（limit-low）から上限時点（limit-upp）までの間に受信されるデータ（先のデータと同種のデータ）の個数が２つ以上の複数である場合、正常周期範囲以降（上限時点（limit-upp）以降）に受信した同種のデータの受信時点を基準に、次の判定処理にて用いる正常周期範囲を特定する。すなわち、車載装置の処理部は、正常周期範囲内にて受信した複数のデータには、少なくとも１つ以上の異常なデータが含まれていると判定し、当該複数のデータにおけるいずれのデータも、以降の判定処理にて用いる正常周期範囲を特定するための基準のデータとして、用いない。車載装置の処理部は、このように判定した正常周期範囲の上限時点よりも後に受信した同種のデータの受信時点を基準に、以降の判定処理にて用いる正常周期範囲を特定するため、所定の受信期間における範囲での異常検知（範囲異常検知）がされた場合であっても、データの正否判定を効率的に継続（再開）することができる。

（７）本開示の一態様に係る車載装置は、前記処理部は、先に受信したデータの判定に用いられた前の正常周期範囲と、前記先に受信したデータの受信時点を基準とした今回の正常周期範囲との間にて、該データと同種のデータを受信した場合、該同種のデータは異常であると判定する。

本態様にあたっては、同種となる複数のデータは、予め定められた送信周期（設計周期）に応じて順次に送信され、車載装置の処理部は、当該複数のデータを順次に受信するにあたり、受信したデータを基準に、次に受信するデータの正否判定を行うための正常周期範囲を特定する。従って、正常周期範囲は、順次に受信した複数のデータに応じて、順次に特定されるものとなる。車載装置の処理部は、先に受信したデータの判定の差異に用いた正常周期範囲（前の正常周期範囲）と、当該先に受信したデータの受信時点を基準とした正常周期範囲（今回の正常周期範囲）との間にて、該データと同種のデータを受信した場合、該同種のデータは異常（特定異常検知）であると判定する。すなわち、車載装置の処理部は、前の正常周期範囲によって定められる上限時点（limit-upp）と、今回の正常周期範囲によって定められる下限時点（limit-low）との間にて、先に受信したデータと同種のデータを受信した場合、当該同種のデータは異常であると判定する。車載装置の処理部は、このような判定ロジックを用いることにより、正常周期範囲外にて受信されたデータを効率的に異常であると判定することができる。

（８）本開示の一態様に係る車載装置は、前記処理部は、先に受信したデータの受信時点を基準とした正常周期範囲内にて、該データと同種のデータを１つ受信した場合、該同種のデータは正常であると判定し、正常であると判定したデータの受信時点を基準に次の正常周期範囲を特定する。

本態様にあたっては、車載装置の処理部は、前の正常周期範囲によって定められる上限時点（limit-upp）と、今回の正常周期範囲によって定められる下限時点（limit-low）との間にて、先に受信したデータと同種のデータを受信した場合、当該同種のデータは異常であると判定する。更に、車載装置の処理部は、先に受信したデータの受信時点を基準とした正常周期範囲内、すなわち今回の正常周期範囲にて、同種のデータを１つ受信した場合、当該同種のデータは正常であると判定する。車載装置の処理部は、これら判定処理を行うにあたり、前の正常周期範囲の上限時点（limit-upp）から、今回の正常周期範囲の上限時点（limit-upp）までに受信した同種のデータの個数をカウントし、当該カウントとした同種のデータそれぞれにおける受信間隔に基づき、個々のデータの正否判定を行うものであってもよい。

（９）本開示の一態様に係る車載装置は、前記処理部は、複数の動作状態に遷移し、前記複数の動作状態は、前記正常周期範囲を特定するにあたり基準となるデータの受信を行う基準データ受信状態と、特定された前記正常周期範囲に基づき受信したデータの正否を判定する判定実行状態とを含む。

本態様にあたっては、車載装置の処理部は、例えば、車両のＩＧスイッチがオンにされた以降にいずれかのデータが最初に受信（初回受信）されるまでの間、又は正常周期範囲内にて、正常と判定される後のデータを受信できなかった場合、処理部の状態は、正常周期範囲を特定するにあたり基準となるデータ（基準データ）の受信を行う基準データ受信状態に遷移する。当該基準データ受信状態に遷移した処理部は、基準となるデータ（基準データ）を受信すべく、当該データの受信を待ち受ける状態を継続する。車載装置の処理部は、正常周期範囲を特定するための基準となるデータ（基準データ）を受信した後、特定された正常周期範囲に基づき受信したデータの正否を判定する判定実行状態に遷移する。このように車載装置の処理部は、データの正否判定等に応じて、基準データ受信状態及び判定実行状態を含む複数の動作状態間にて遷移することにより、以降の処理にて用いる基準となるデータ（基準データ）を効率的に受信し、当該基準データに基づき正常周期範囲を効率的に特定することができる。

（１０）本開示の一態様に係る車載装置は、前記処理部は、前記基準データ受信状態では異常検知を行わない。

本態様にあたっては、車載装置の処理部は、基準データ受信状態に遷移し、当該基準データ受信状態においては、受信したデータの正否を判等の異常検知に関する処理を禁止することにより、当該異常検知を行わないものとする。このように基準データ受信状態において異常検知を禁止することにより、受信したデータに対する誤検知が発生することを確実に抑制しつつ、当該受信したデータをルーティングマップに従い、他の通信線（ＣＡＮバス）に転送する等の中継処理を効率的に行うことができる。

（１１）本開示の一態様に係る車載装置は、前記処理部は、前記基準データ受信状態ではセキュリティログを保存しない。

本態様にあたっては、車載装置の処理部は、基準データ受信状態に遷移し、当該基準データ受信状態においては、判定実行状態での検知結果に基づくセキュリティログ（攻撃検知ログデータ）を、記憶部２１に記憶する保存する処理を行わない。このように基準データ受信状態においては、セキュリティログを保存しないことにより、車載装置の処理部による処理負荷を低減させることができる。

（１２）本開示の一態様に係る車載装置は、前記処理部は、受信したデータが異常である判定した場合、異常の態様に応じた情報をアクセス可能な所定の記憶領域に記憶する。

本態様にあたっては、車載装置の処理部は、受信したデータが異常である判定した場合、異常の態様に応じた情報を出力、又は自部からアクセス可能な所定の記憶領域に記憶するため、車両の操作者等に当該異常が発生した旨を効率的に報知することができる。

（１３）本開示の一態様に係る車載装置は、前記アクセス可能な所定の記憶領域は、揮発性の記憶領域であり、前記処理部は、前記車両のＩＧスイッチがオフにされた場合、前記揮発性の記憶領域に記憶した情報を、アクセス可能な所定の不揮発性の記憶領域に移行する。

本態様にあたっては、車載装置の処理部がアクセス可能な所定の記憶領域は、例えばＲＡＭ等の揮発性の記憶領域と、フラッシュメモリ等の不揮発性の記憶領域とを含み、車載装置の処理部は、受信したデータが異常である判定した場合、異常の態様に応じた情報を揮発性の記憶領域に一旦、記憶する。車載装置の処理部は、ＩＧスイッチがオフにされた場合、例えば当該オフ信号をトリガーとして、揮発性の記憶領域に記憶した情報（異常の態様に応じた情報）を、不揮発性の記憶領域に記憶（コピー）することにより、当該情報を不揮発性の記憶領域に移行（退避）する。これにより、ＩＧスイッチがオフされ揮発性の記憶領域内の情報が消去されても、異常の態様に応じた情報を不揮発性の記憶領域にて保存することができる。車載装置の処理部は、異常の態様に応じた情報を揮発性の記憶領域に記憶するにあたり、当該情報を異常検知した際のログとして記憶するものであってもよい。この際、車載装置の処理部は、記憶（保存）するログの個数の上限値を定め、保存するログの個数が上限値を超えた場合、最も古いログを上書きして、最新のログを保存するものであってもよい。当該上限値は、異常検知の対象となるデータの種別（ＣＡＮメッセージＩＤ）に応じて、異ならせるものであってもよい。又は全てのデータの種別を対象に上限値を定めるものであってもよい。このような上限値に基づく上書き処理を行うことにより、揮発性の記憶領域、又は不揮発性の記憶領域に要求される記憶容量が過度に大きくなることを、抑制することができる。

（１４）本開示の一態様に係る車載装置は、前記処理部は、受信したデータの受信時点を基準に前記正常周期範囲を特定する際、前記基準となったデータの種類と受信時点とを関連付けてアクセス可能な所定の記憶領域に記憶する。

本態様にあたっては、車載装置の処理部は、受信したデータの受信時点を基準に正常周期範囲を特定する際、基準となったデータの種類と受信時点とを関連付けて出力、又は自部からアクセス可能な所定の記憶領域に記憶するため、基準データ受信状態に遷移した際の情報を的確に記憶等することができる。

（１５）本開示の一態様に係る車載装置は、前記処理部は、前記車両のＩＧスイッチがオンにされた場合、予め定められたダイアグマスク期間が経過した後、最初に受信したデータ及び該データと同種のデータを連続して受信し、前記連続して受信したデータの受信間隔が、最初に受信したデータを基準とした前記正常周期範囲内である場合、前記連続して受信したデータの内の後に受信したデータの受信時点を基準に次の正常周期範囲を特定する。

本態様にあたっては、車載装置の処理部は、ＩＧスイッチがオンにされた以降に行われるダイアグマスク期間が経過した後、正常周期範囲を特定するための基準データを特定する。当該ダイアグマスク期間は、車両に搭載される車載装置に対する異常検出を行わない期間である。車載装置の処理部は、ダイアグマスク期間が経過後に、最初に受信したデータと、当該データと同種のデータであって、当該データの直後に受信したデータ（後に受信したデータ）との受信間隔、すなわちこれら連続して受信したデータの受信間隔が、最初に受信したデータを基準とした前記正常周期範囲内である場合、後に受信したデータの受信時点を基準に次の正常周期範囲を特定する。このようにダイアグマスク期間の経過後において、最初に受信したデータ及び、当該データと同種のデータであって、当該データの直後に受信したデータから成る連続して受信した同種の２つのデータに基づき、後に受信したデータを、正常周期範囲を特定するための基準データと特定する。これにより、以降に受信するデータの正否判定の適切性を、向上させることができる。車載装置の処理部は、当該連続して受信した同種の２つのデータ（最初に受信したデータ、後に受信したデータ）を、記憶部に記憶するものであってもよい。

（１６）本開示の一態様に係るプログラムは、コンピュータに、車両に搭載される車載ネットワークに流れる複数のデータを受信し、受信した前記複数のデータにおいて、同種のデータを連続して受信した際の受信間隔を導出し、前記受信間隔と、連続して受信した同種のデータの内の先に受信したデータの受信時点を基準とした正常周期範囲とに基づき、連続して受信した同種のデータの内の後に受信したデータの正否の判定を行う処理を実行させる。

本態様にあたっては、コンピュータを、周期的に送信されるデータに対し、当該送信周期に基づき効率的に不正なデータを検出する車載装置として動作させることができる。

（１７）本開示の一態様に係る情報処理方法は、コンピュータに、車両に搭載される車載ネットワークに流れる複数のデータを受信し、受信した前記複数のデータにおいて、同種のデータを連続して受信した際の受信間隔を導出し、前記受信間隔と、連続して受信した同種のデータの内の先に受信したデータの受信時点を基準とした正常周期範囲とに基づき、連続して受信した同種のデータの内の後に受信したデータの正否の判定を行う処理を実行させる。

本態様にあたっては、コンピュータを、周期的に送信されるデータに対し、当該送信周期に基づき効率的に不正なデータを検出する車載装置として動作させる情報処理方法を提供することができる。
[本開示の実施形態の詳細]
本開示をその実施の形態を示す図面に基づいて具体的に説明する。本開示の実施形態に係る車載装置２を、以下に図面を参照しつつ説明する。なお、本開示はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

（実施形態１）
以下、実施の形態について図面に基づいて説明する。図１は、実施形態１に係る車載装置２を含む車載システムの構成を例示する模式図である。図２は、車載装置２の物理構成を例示するブロック図である。

車載システムＳは、車両に搭載される車載装置２、車外通信装置１を含む。車載装置２は、車両に搭載される複数の車載ＥＣＵ３間の通信を中継する。車載装置２は、車外通信装置１を介して車外ネットワークＮを介して接続された外部サーバ１００と通信し、外部サーバ１００と、車両に搭載される車載ＥＣＵ３との間の通信を中継するものであってもよい。

外部サーバ１００は、例えばインターネット又は公衆回線網等の車外ネットワークＮに接続されているサーバ等のコンピュータであり、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）又はハードディスク等による記憶部又はストレージ装置を備える。当該外部サーバ１００の記憶部等は、車載装置２からアクセス可能な記憶領域に含まれる。

車両Ｃには、車外通信装置１、車載装置２、表示装置５、及び種々の車載機器を制御するための複数の車載ＥＣＵ３が搭載されている。車載装置２と車外通信装置１とは、例えばシリアルケーブル等のワイヤーハーネスにより通信可能に接続されている。車載装置２及び車載ＥＣＵ３は、ＣＡＮ（Control Area Network／登録商標）又はイーサネット（Ethernet／登録商標）等の通信プロトコルに対応した通信線４１及び車載ネットワーク４によって通信可能に接続されている。車載装置２及び車載ＥＣＵ３における通信プロトコルは、ＬＩＮ、ＭＯＳＴ、ＦｌｅｘＲａy等によるものであってもよい。

車外通信装置１は、車外通信部（図示せず）及び、車載装置２と通信するための入出力Ｉ／Ｆ（図示せず）を含む。車外通信部は、３Ｇ、ＬＴＥ、４Ｇ、ＷｉＦｉ等の移動体通信のプロトコルを用いて無線通信をするための通信装置であり、車外通信部に接続されたアンテナ１１を介して外部サーバ１００とデータの送受信を行う。車外通信装置１と外部サーバ１００との通信は、例えば公衆回線網又はインターネット等の外部ネットワークＮを介して行われる。入出力Ｉ／Ｆは、車載装置２と、例えばシリアル通信するための通信インターフェイスである。車外通信装置１と車載装置２とは、入出力Ｉ／Ｆ及び入出力Ｉ／Ｆに接続されたシリアルケーブル等のワイヤーハーネスを介して相互に通信する。本実施形態では、車外通信装置１は、車載装置２と別装置とし、入出力Ｉ／Ｆ等によってこれら装置を通信可能に接続しているが、これに限定されない。車外通信装置１は、車載装置２の一構成部位として、車載装置２に内蔵されるものであってもよい。

車載装置２は、処理部２０、記憶部２１、入出力Ｉ／Ｆ２２、及び車内通信部２３を含む。車載装置２は、例えば、認知系の車載ＥＣＵ３、判断系の車載ＥＣＵ３及び、操作系の車載ＥＣＵ３等の複数の通信線４１による系統のセグメントを統括し、これらセグメント間での車載ＥＣＵ３同士の通信を中継するゲートウェイ（ＣＡＮゲートウェイ）等の車載中継装置である。複数の通信線４１夫々は、各セグメントにおけるバス（ＣＡＮバス）に相当する。車載装置２は、イーサＳＷ等の車載中継装置、データ通信の中継機能に加え電源分配の機能を有するＰＬＢ（Power Lan Box）、中継機能を有し車両Ｃの全体を統合的に制御する統合ＥＣＵであってもよい。又は、車載装置２は、車両Ｃのボディ系アクチュエータを制御するボディＥＣＵ等、車載ＥＣＵ３の一機能部として構成されるものであってもよい。

処理部２０は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等により構成してあり、記憶部２１に予め記憶された制御プログラム及びデータを読み出して実行することにより、種々の制御処理及び演算処理等を行うようにしてある。処理部２０は、車内通信部２３を介して取得（受信）したデータ（メッセージ）の正否判定を行うと共に、車載装置２の全体的な制御を行う制御部として機能するものであってもよい。

記憶部２１は、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ
（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してあり、制御プログラム及び処理時に参照するデータが予め記憶してある。記憶部２１に記憶された制御プログラムは、車載装置２が読み取り可能な記録媒体２１１から読み出された制御プログラムを記憶したものであってもよい。また、図示しない通信網に接続されている図示しない外部コンピュータから制御プログラムをダウンロードし、記憶部２１に記憶させたものであってもよい。

記憶部２１には、車載ＥＣＵ３間の通信、又は車載ＥＣＵ３と外部サーバ１００との間の通信のための中継処理を行うにあたり用いられる中継経路情報（ルーティングテーブル）が、記憶される。当該中継経路情報は、通信プロトコルに基づき書式が決定される。通信プロトコルがＣＡＮの場合、ＣＡＮ用中継経路情報は、ＣＡＮメッセージに含まれるメッセージ識別子（ＣＡＮ－ＩＤ、メッセージＩＤ）及び、当該ＣＡＮ－ＩＤに関連付けられた中継先（車内通信部２３のＩ／Ｏポート番号）を含む。

入出力Ｉ／Ｆ２２は、車外通信装置１の入出力Ｉ／Ｆと同様に、例えばシリアル通信するための通信インターフェイスである。例えば、入出力Ｉ／Ｆ２２を介して、車載装置２は、車外通信装置１、表示装置５（ＨＭＩ装置）及び、車両Ｃの起動及び停止を行うＩＧスイッチ６と通信可能に接続される。

車内通信部２３は、例えばＣＡＮ（Control Area Network）、ＣＡＮ－ＦＤ（CAN with
Flexible Data Rate）又はイーサネット（Ethernet／登録商標）の通信プロトコルを用いた入出力インターフェイスであり、処理部２０は、車内通信部２３を介して車載ネットワーク４に接続されている車載ＥＣＵ３又は他の中継装置等の車載機器と相互に通信する。

車内通信部２３は、複数個設けられており、車内通信部２３夫々に、車載ネットワーク４を構成する通信線４１夫々（ＣＡＮバス等）が接続されている。このように車内通信部２３を複数個設けることにより、車載ネットワーク４を複数個のセグメントに分けるものであってもよい。車載ネットワーク４のトポロジー型式は、本実施形態における図示のようなバス型に限定されず、当該トポロジー型式は、例えば、車載装置２を中心としたスター型、複数の車載装置２によるリング型、又は車載装置２を最上位としたカスケード型であってもよい。

車載ＥＣＵ３は、車載装置２と同様に制御部（図示せず）、記憶部（図示せず）及び車内通信部（図示せず）を含む。記憶部は、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してあり、車載ＥＣＵ３のプログラム又はデータが記憶されている。車載ＥＣＵ３は、例えば、周期的にＣＡＮメッセージを送信し、車載装置２と通信する。車載ＥＣＵ３は、センサ又はアクチュエータが接続され、統合ＥＣＵの配下に接続される個別ＥＣＵであってもよい。

表示装置５は、例えばカーナビゲーションのディスプレイ等のＨＭＩ（Human Machine Interface）装置である。表示装置５は、車載装置２の入出力Ｉ／Ｆ２２とシリアルケーブル等のハーネスにより通信可能に接続されている。表示装置５には、車載装置２の処理部２０から入出力Ｉ／Ｆ２２を介して出力されたデータ又は情報が表示される。

図３は、データ種別テーブルに関する説明図である。処理部２０が判定処理を行う際に参照する種々データは、車載装置２の記憶部２１、車載ＥＣＵ３又は外部サーバ１００に接続されるストレージ装置等、処理部２０からアクセス可能な所定の記憶領域に記憶されている。処理部２０が判定処理を行うにあたり監視対象となるデータ種別は、例えば、テーブル形式にて構成されるデータ種別テーブルとして、記憶部２１等に記憶されている。

データ種別テーブルにて定義されている管理項目（フィールド）は、例えば、メッセージＩＤ、設計周期、上下限値比率、正常周期範囲、及び判定実行対象フラグを含む。

メッセージＩＤの管理項目（フィールド）には、例えば、ＣＡＮメッセージの種別を示すメッセージＩＤ（ＣＡＮ－ＩＤ）が格納される。当該メッセージＩＤに基づき、受信させるデータの種別が決定される。判定対象のデータが、例えば、ＣＡＮメッセージである場合、メッセージＩＤが同じＣＡＮメッセージは、同種のデータであるとして処理が行われる。

データの種別を決定するための管理項目（フィールド）は、ＣＡＮメッセージにおけるメッセージＩＤに限定されず、例えばＴＣＰ／ＩＰパケットにおいては、当該パケットに含まれる送信元ＩＰアドレス、送信先ＩＰアドレス、ＴＣＰポート番号、ＵＤＰポート番号、又はこれらの組み合わせによるものであってもよい。

設計周期は、データ（メッセージ）が、いずれかの車載ＥＣＵ３等から送信される際、予め定められた送信周期を示すものであり、すなわち当該車載ＥＣＵ３に実装されるアプリケーション等の設計仕様に基づく送信周期である。設計周期の管理項目（フィールド）には、個々のデータにおける設計周期（例えば、ｘ［ｍｓ]）が格納される。

上下限値比率は、設計周期に基づき正常周期範囲を特定するための上下限値を示すものである。上下限値比率は、例えば、設計周期に対する比率（例えばａ％、ただしa＞０）として定義されるものであってもよく、又は、実時間（±ｘ×ａ×０．０１[ｍｓ]）にて示されるものであってもよい。又は、上下限値比率は上限と下限で異なる比率であってもよい。

正常周期範囲は、設計周期及び上下限値比率によって算出される範囲であり、受信したデータの正否を判定する際に用いられる情報である。例えば、設計周期がｘ［ｍｓ]、上下限値比率がａ％（±ｘ×ａ×０．０１[ｍｓ]）の場合、正常周期範囲は、ｘ－ｘ×ａ×０．０１[ｍｓ]から、ｘ＋ｘ×ａ×０．０１[ｍｓ]となる。正常周期範囲を特定するにあたり基準となる基準データの受信時点を（Ｋｍｓ）とした場合、正常周期範囲の中央値は
（Ｋ＋ｘ）ｍｓ、正常周期範囲の下限時点（limit-low）は｛（Ｋ＋ｘ）－（ｘ×ａ×０．０１）｝ｍｓ、正常周期範囲の上限時点（limit-upp）は｛（Ｋ＋ｘ）＋（ｘ×ａ×０．０１）｝ｍｓの時点となる。本実施形態においては、データ種別テーブルは、設計周期及び上下限値比率と、正常周期範囲とを共に含むとしたが、これに限定されず、いずれかのみを含むものであってよいことは、言うまでもない。

判定実行対象フラグは、車載ネットワーク４にて送受信されるデータにおいて、いずれの種別のデータを、正否判定の実行対象（監視対象）とするかを定めるフラグ値（１：監視対象、０：非監視対象）が格納される。このように車載ネットワーク４にて送受信されるデータにおいて、判定実行対象フラグが設定された種別のデータを正否判定の実行対象
（監視対象）とすることにより、重要度が比較的に高いデータのみを監視対象にして、車載装置２（処理部）の処理負荷を低減することができる。

図４は、データの判定（正常判定）に関する説明図である。本実施形態における図示において、特定のデータ種別のデータ（ＣＡＮメッセージ等）に関する判定処理について説明する。当該図示において、横軸は時間（経過時間）を示す。

車載装置２の処理部２０は、例えば、記憶部２１に記憶されているデータ種別テーブルにて定められるデータ（監視対象メッセージ）毎に、同種のデータ（同一のメッセージＩＤ）の受信間隔を算出し、受信間隔が正常周期範囲内に入っていれば、当該データ（メッセージ）を正常と判定する。

処理部２０は、受信間隔が正常周期範囲内に入っていない場合、又は正常周期範囲内にて複数のデータを受信した場合、当該データを異常と判定する。受信間隔が正常周期範囲内に入っていない場合は、どのメッセージが異常かを特定できた状態を示すものとなり、処理部２０は、特定異常と判定する。正常周期範囲内にて複数のデータを受信した場合は、ある範囲に異常が含まれていることを検知した状態を示すものとなり、処理部２０は、範囲異常と判定する。

正常データ（メッセージ）と判定した場合、当該データ（メッセージ）を基準（基準データ）とし、当該基準データと、次に受信したデータ（メッセージ）との受信間隔を算出する。基準データ（基準メッセージ）は、監視対象メッセージのデータ種別（メッセージＩＤ）毎に設定し、基準データの取得状態において、初回受信メッセージと、２回目に受信したメッセージの受信間隔（ΔＴ）が正常範囲内だった場合、２回目に受信したデータ
（メッセージ）を基準データ（基準メッセージ）とする。基準データの設定は２回に限らず、当該データが複数回連続した場合に決定する構成でもよい。すなわち、処理部２０は、例えば、５回連続して受信間隔が正常範囲内だった場合、５回目に受信したデータ（メッセージ）を基準データ（基準メッセージ）とするものであってもよい。

ＩＧスイッチ６がオンされることにより車両Ｃが起動され、車載ネットワーク４に接続される個々の車載ＥＣＵ３から、ＣＡＮメッセージ等のデータが送信される。車載装置２の処理部２０は、例えば、メッセージＩＤ（ＣＡＮ－ＩＤ）等によって分類される各種別毎のデータの初回受信を行い、初回受信されたデータは、正常周期範囲を特定するための最初の基準データ（基準メッセージ）として設定される。

処理部２０は、基準データを受信した時刻等を示す受信時点に、記憶部２１に記憶されているデータ種別テーブルを参照し、データの種別に基づき予め決定されている送信周期である設計周期(T)を加算し、加算された時点を中心値として、上下限値を加算、及び減算することにより、正常周期範囲を特定（導出）する。すなわち、正常周期範囲は、中心値に対し上限値が加算された上限時点（limit-upp）と、中心値に対し下限値が減算された下限時点（limit-low）との間の範囲（期間）に相当する。これにより、送信周期（設計周期）は、受信時刻（基準データの受信時点）からの相対時間となる。

車載装置２の処理部２０によって、繰り返し行われる判定処理を以下に説明する。処理部２０は、基準メッセージから設計周期(T)後を中央値とし、下限時点（limit-low1）と上限時点（limit-upp1）を上下限とする正常周期範囲１を算出する。処理部２０は、上限時点（limit-upp1）の時点で基準メッセージ以降に受信したメッセージの個数と受信間隔をカウントする。

処理部２０は、受信したメッセージ１(Msg1)が正常周期範囲１内かつ、個数が１個であるため、正常メッセージと判断しメッセージ１(Msg1)を基準メッセージとして更新（再設定）する。処理部２０は、メッセージ１(Msg1)（この時点で基準メッセージ）から設計周期(T)後を中央値とし、下限時点（limit-low2）と上限時点（limit-upp2）を上下限とする正常周期範囲２を算出する。

処理部２０は、上限時点（limit-upp2）の時点で、メッセージ１(Msg1)により更新（再設定）された基準メッセージ以降に受信したメッセージの個数と、当該基準メッセージからの受信間隔をカウントする。処理部２０は、受信したメッセージ２(Msg2)が正常周期範囲２内かつ、個数が１個であるため、メッセージ２(Msg2)を基準メッセージとして更新（再設定）する。

処理部２０は、車載装置２の処理部２０は、上記の処理を繰り返すことにより、正常判定されたデータ（メッセージ）に基づき、基準データ（基準メッセージ）を更新（再設定）し、更新された基準データによって都度特定される正常周期範囲を用いて、当該基準データよりも後に受信したデータ（メッセージ）の判定処理を繰り返す。

図５は、データの判定（通信途絶発生）に関する説明図である。処理部２０は、基準メッセージから設計周期(T)後を中央値とし、下限時点（limit-low1）と上限時点（limit-upp1）を上下限とする正常周期範囲１を算出する。処理部２０は、上限時点（limit-upp1）の時点で基準メッセージ以降に受信したメッセージの個数と受信間隔をカウントする。

処理部２０は、受信したメッセージ１(Msg1)が正常周期範囲１内かつ、個数が１個であるため、メッセージ１(Msg1)を基準メッセージとして更新（再設定）する。処理部２０は、メッセージ１(Msg1)（この時点で基準メッセージ）から設計周期(T)後を中央値とし、下限時点（limit-low2）と上限時点（limit-upp2）を上下限とする正常周期範囲２を算出する。処理部２０は、上限時点（limit-upp2）の時点で、メッセージ１(Msg1)により更新
（再設定）された基準メッセージ以降に受信したメッセージの個数と、当該基準メッセージからの受信間隔をカウントする。

処理部２０は、正常周期範囲２において受信したメッセージが０個のため、通信途絶が発生したと判断し、当該正常周期範囲２が経過した後、すなわち正常周期範囲２の上限時点（limit-upp2）よりも後に基準メッセージの再取得を行う。処理部２０は、正常周期範囲２の上限時点（limit-upp2）よりも後に取得（受信）したメッセージを基準メッセージとして設定し、正常周期範囲３を特定する。

図６は、データの判定（異常（特定）判定）に関する説明図である。処理部２０は、基準メッセージから設計周期(T)後を中央値とし、下限時点（limit-low1）と上限時点（limit-upp1）を上下限とする正常周期範囲１を算出する。処理部２０は、上限時点（limit-upp1）の時点で基準メッセージ以降に受信したメッセージの個数と受信間隔をカウントする。

処理部２０は、受信したメッセージ１(Msg1)が正常周期範囲１内かつ、個数が１個であるため、メッセージ１(Msg1)を基準メッセージとして更新（再設定）する。処理部２０は、メッセージ１(Msg1)（この時点で基準メッセージ）から設計周期(T)後を中央値とし、下限時点（limit-low2）と上限時点（limit-upp2）を上下限とする正常周期範囲２を算出する。

処理部２０は、上限時点（limit-upp2）の時点で、メッセージ１(Msg1)により更新（再設定）された基準メッセージ以降に受信したメッセージの個数と、当該基準メッセージからの受信間隔をカウントする。処理部２０は、受信したメッセージが正常周期範囲外に１個（メッセージ２（Msg2））、正常周期範囲２内に１個（メッセージ３（Msg3））のため、メッセージ２（Msg2）を異常検知（特定異常と判定）とし、メッセージ３（Msg3）を基準メッセージとして更新（再設定）する。

処理部２０は、特定異常と判定されるデータを受信した場合であっても、上記の処理を繰り返すことにより、正常判定されたデータ（メッセージ）に基づき、基準データ（基準メッセージ）を更新（再設定）する。処理部２０は、当該更新された基準データによって都度特定される正常周期範囲を用いて、当該基準データよりも後に受信したデータ（メッセージ）の判定処理を繰り返す。

図７は、データの判定（異常（範囲）判定）に関する説明図である。処理部２０は、基準メッセージから設計周期(T)後を中央値とし、下限時点（limit-low1）と上限時点（limit-upp1）を上下限とする正常周期範囲１を算出する。処理部２０は、上限時点（limit-upp1）の時点で基準メッセージ以降に受信したメッセージの個数と受信間隔をカウントする。

処理部２０は、受信したメッセージ１(Msg1)が正常周期範囲１内かつ、個数が１個であるため、メッセージ１(Msg1)を基準メッセージとして更新（再設定）する。処理部２０は、メッセージ１(Msg1)（この時点で基準メッセージ）から設計周期(T)後を中央値とし、下限時点（limit-low2）と上限時点（limit-upp2）を上下限とする正常周期範囲２を算出する。

処理部２０は、上限時点（limit-upp2）の時点で、メッセージ１(Msg1)により更新（再設定）された基準メッセージ以降に受信したメッセージの個数と、当該基準メッセージからの受信間隔をカウントする。処理部２０は、受信したメッセージ（メッセージ２(Msg2)、メッセージ３(Msg3)）が正常周期範囲２内に２個以上のため、メッセージ２(Msg2)、メッセージ３(Msg3)を異常検知（範囲異常と判定）とし、当該正常周期範囲２が経過した後、すなわち正常周期範囲２の上限時点（limit-upp2）よりも後に基準メッセージの再取得を行う。

処理部２０は、正常周期範囲２の上限時点（limit-upp2）よりも後に取得（受信）したメッセージを基準メッセージとして設定し、正常周期範囲３を特定する。処理部２０は、範囲異常と判定される複数のデータを受信した場合であっても、上記の処理を繰り返すことにより、基準データ（基準メッセージ）を更新（再設定）し、更新された基準データによって都度特定される正常周期範囲を用いて、当該基準データよりも後に受信したデータ
（メッセージ）の判定処理を繰り返す。

図８は、データの判定（組み合わせ）に関する説明図である。処理部２０は、基準メッセージから設計周期(T)後を中央値とし、下限時点（limit-low1）と上限時点（limit-upp1）を上下限とする正常周期範囲１を算出する。処理部２０は、上限時点（limit-upp1）の時点で基準メッセージ以降に受信したメッセージの個数と受信間隔をカウントする。

処理部２０は、受信したメッセージ１(Msg1)が正常周期範囲１内かつ、個数が１個であるため、メッセージ１(Msg1)を基準メッセージとして更新（再設定）する。処理部２０は、メッセージ１(Msg1)（この時点で基準メッセージ）から設計周期(T)後を中央値とし、下限時点（limit-low2）と上限時点（limit-upp2）を上下限とする正常周期範囲２を算出する。

処理部２０は、上限時点（limit-upp2）の時点で、メッセージ１(Msg1)により更新（再設定）された基準メッセージ以降に受信したメッセージの個数と、当該基準メッセージからの受信間隔をカウントする。処理部２０は、受信したメッセージが正常周期範囲外に２個（メッセージ２(Msg2)、メッセージ３(Msg3)）、正常周期範囲２内に２個以上（メッセージ４(Msg4)、メッセージ５(Msg5)）のため、メッセージ２(Msg2)及びメッセージ３(Msg3)を異常検知（特定異常と判定）とする。処理部２０は、メッセージ４(Msg4)及びメッセージ５(Msg5を異常検知（範囲異常と判定）とし、正常周期範囲２が経過した後、基準メッセージの再取得を行う。

処理部２０は、特定異常又は範囲異常と判定される複数のデータを受信した場合であっても、上記の処理を繰り返すことにより、基準データ（基準メッセージ）を更新（再設定）し、更新された基準データによって都度特定される正常周期範囲を用いて、当該基準データよりも後に受信したデータ（メッセージ）の判定処理を繰り返す。

図９は、車載装置２の処理部２０の状態遷移に関する説明図である。車載装置２の処理部２０は、判定処理を行う過程において、複数の状態を遷移する。当該複数の状態は、例えば、正常周期範囲を特定するにあたり基準となるデータの受信を行う基準データ受信状態（基準メッセージの取得状態）と、特定された正常周期範囲に基づき受信したデータの正否を判定する判定実行状態（周期検知実行状態）とを含む。

車載装置２の処理部２０は、例えば、ＩＧスイッチ６がオンされた直後は、基準データ受信状態となり、以降、最初にデータを受信（初回受信）した際、判定実行状態に遷移する。判定実行状態にある処理部２０は、以降、正常周期範囲内にて取得したデータが正常であると判定した場合、当該正常データを基準データとして更新（再設定）することにより、判定実行状態を維持する。基準データ受信状態へは、ＩＧスイッチ６のオンに限らずバッテリーのオン、又は通信スリープ状態からのウェイクアップ時の遷移でもよい。すなわち、車載装置２の処理部２０が、基準データ受信状態に遷移するトリガーは、ＩＧスイッチ６のオン、バッテリーのオン、ＡＣＣオン（アクセサリー電源のオン）、及び通信スリープ状態からのウェイクアップ時の遷移（ウェイクアップ信号の受信）等、様々な電源契機（電源状態の遷移）に基づくものであってもよい。すなわち、車載装置２の処理部２０は、このような電源契機（電源状態の遷移）に関するイベントが発生した場合、当該イベント検知等することにより、基準データ受信状態に遷移するものであってもよい。

判定実行状態にある処理部２０は、正常周期範囲内にて複数の同種のデータを取得したことによる異常検知（範囲異常）、又は当該正常周期範囲内にて同種のデータを取得できなかった場合（通信途絶検出）、基準データ受信状態に遷移する。判定実行状態から基準データ受信状態に遷移した処理部２０は、当該正常周期範囲を経過した後、すなわち正常周期範囲の上限時点（limit-upp）が経過した後、最初に取得した同種のデータを基準データとし、判定実行状態に遷移する。

図１０は、車載装置２の処理部による判定態様に関する説明図である。車載装置２の処理部２０は、本実施形態における判定処理を行うにあたり、前の正常周期範囲の上限時点
（limit-upp[t]）の経過後から、今回の正常周期範囲の上限時点（limit-upp[t+1]）までの間の期間を対象として単位判定期間を定め、当該単位判定期間毎に、判定処理を行うものであってもよい。このように設定された単位判定期間は、前の正常周期範囲の上限時点
（limit-upp[t]）の経過後から、今回の正常周期範囲の下限時点（limit-low[t+1]）までの期間（期間Ａ）と、今回の正常周期範囲の下限時点（limit-low[t+1]）から、今回の正常周期範囲の上限時点（limit-upp[t+1]）までの期間（期間Ｂ）とを含む。

処理部２０は、これら期間Ａ及び期間Ｂのそれぞれにおいて、受信（取得）したデータ
（基準データと同種のデータ）の個数をカウントし、それぞれの期間（期間Ａ及び期間Ｂ）におけるデータの個数に応じて、判定処理、及び基準データの更新（再設定）を行うものであってもよい。

期間Ａにて取得したデータの個数が０個であり、期間Ｂにて取得したデータの個数が０個の場合、処理部２０は、期間Ｂにて通信遮断（正常データがロスト等）が発生したと判定し、今回の正常周期範囲の上限時点を経過した後に取得したデータを基準のデータとすべく、基準データ受信状態に遷移する。

期間Ａにて取得したデータの個数が０個であり、期間Ｂにて取得したデータの個数が１個の場合、処理部２０は、期間Ｂにて受信したデータを正常と判定し、期間Ｂにて取得したデータを基準のデータとし、判定実行状態を維持する。

期間Ａにて取得したデータの個数が０個であり、期間Ｂにて取得したデータの個数が２個以上の場合、処理部２０は、期間Ｂにて受信した複数のデータを異常（範囲異常）と判定し、今回の正常周期範囲の上限時点を経過した後に取得したデータを基準のデータとすべく、基準データ受信状態に遷移する。

期間Ａにて取得したデータの個数が１個以上であり、期間Ｂにて取得したデータの個数が０個の場合、処理部２０は、期間Ａにて受信したデータを異常（特定異常）と判定する。処理部２０は、期間Ｂにて通信遮断（正常データがロスト等）が発生したと判定し、今回の正常周期範囲の上限時点を経過した後に取得したデータを基準のデータとすべく、基準データ受信状態に遷移する。

期間Ａにて取得したデータの個数が１個以上であり、期間Ｂにて取得したデータの個数が１個の場合、処理部２０は、期間Ａにて受信したデータを異常（特定異常）と判定し、期間Ｂにて受信したデータを正常と判定し、期間Ｂにて取得したデータを基準のデータとし、判定実行状態を維持する。

期間Ａにて取得したデータの個数が１個以上であり、期間Ｂにて取得したデータの個数が２個以上の場合、処理部２０は、期間Ａにて受信したデータを異常（特定異常）と判定し、期間Ｂにて受信した複数のデータを異常（範囲異常）と判定し、今回の正常周期範囲の上限時点を経過した後に取得したデータを基準のデータとすべく、基準データ受信状態に遷移する。

本実施形態における図示の情報は、例えばテーブル形式にて、判定態様テーブルとして記憶部２１に記憶されているものであってもよい。処理部２０は、単位判定期間毎にカウントしたデータの個数に基づき、当該判定態様テーブルを参照して、判定処理、及び基準データの更新（再設定）を行うものであってもよい。処理部２０は、このように期間Ａ及び期間Ｂのそれぞれにおいて、受信（取得）したデータ（基準データと同種のデータ）の個数にて決定される処理形態毎に、異なる判定コードを設定し、単位判定期間（正常周期範囲の上限時点）毎に、当該上限時点の時刻情報と、判定コードとを関連付けて、記憶部２１に記憶するものであってよい。

図１１は、車載装置２の処理部の処理を例示するフローチャートである。車載装置２の処理部２０は、例えば車両Ｃが起動状態（ＩＧスイッチ６がオン）において、定常的に以下の処理を行う。

車載装置２の処理部２０は、基準データを受信する（Ｓ１０１）。処理部２０は、基準データを受信することにより、判定実行状態に遷移する。ＩＧスイッチ６がオンされることにより車両Ｃが起動され、車載ネットワーク４に接続される個々の車載ＥＣＵ３から、ＣＡＮメッセージ等のデータが、例えばブロードキャストされることによって、送信される。車載装置２の処理部２０は、これらデータを受信（取得）することにより、例えば、メッセージＩＤ（ＣＡＮ－ＩＤ）等によって分類される各種別毎のデータの初回受信を行う。初回受信されたデータは、正常周期範囲を特定するための基準データとして、設定される。車載装置２の処理部２０は、受信したデータを基準データとして設定するにあたり、当該データの種別（メッセージＩＤ）と、データを受信した時刻等を示す受信時点とを関連付けて、記憶部２１に記憶するものであってもよい。車載装置２の処理部２０は、以降、各データの種別毎（例えば、メッセージＩＤ毎）に、以下の処理を行う。

車載装置２の処理部２０は、正常周期範囲を特定する（Ｓ１０２）。処理部２０は、例えば、記憶部２１に記憶されているデータ種別テーブルを参照し、データの種別（メッセージＩＤ）に基づき、正常周期範囲を特定する。正常周期範囲を特定するにあたり、設計周期及び上下限比率に基づき、当該正常周期範囲を演算して特定するものであってもよい。例えば、データの種別に基づき予め決定されている送信周期である設計周期(T)を、基準データの受信時点（C）に加算し、正常周期範囲における中心値(C+T)を決定する。当該中心値(C+T)に対し、例えば、上下限比率に基づき決定される上下限値（L）を加算（C+T+L）、及び減算（C+T-L）する。これにより、中心値(C+T)に対し、±Lによる範囲（(C+T-L)から(C+T+L)）が確定し、当該範囲が正常周期範囲に相当する。中心値(C+T)に対し、上下限値（L）を加算（C+T+L）することによって特定された時点は、正常周期範囲における上限時点（limit-upp）に相当する。中心値(C+T)に対し、上下限値（L）を減算（C+T-L）することによって特定された時点は、正常周期範囲における下限時点（limit-low）に相当する。

このように正常周期範囲を特定することにより、基準データの受信以降に受信するデータ（基準データと同種のデータ）の正否判定を行うための時点情報を確定することができる。本実施形態において、中心値(C+T)に対し、加算及び減算する上下限値（L）は等しい値を用いているが、これに限定されず、加算する上限値（Lu）と、減算する下限値（Ll）とを、異なる値とするものであってよい。

車載装置２の処理部２０は、正常周期範囲内に同種のデータを取得したか否かを判定する（Ｓ１０３）。同種のデータとは、受信した基準データの種類と同じデータであり、当該データが例えばＣＡＮメッセージである場合、メッセージＩＤ（ＣＡＮ－ＩＤ）が同じメッセージ（データ）同士が、同種のデータとなる。処理部２０は、例えば、基準データの受信時点から、次に受信した同種のデータの受信時点までの受信間隔（ΔＴ）を算出する。当該受信間隔（ΔＴ）が、正常周期範囲内であるか否か、すなわち受信間隔（ΔＴ）が、基準データの受信時点から正常周期範囲の下限時点（limit-low）までの経過時間以上であり、かつ基準データの受信時点から正常周期範囲の上限時点（limit-upp）までの経過時間以内であるか否かにより、処理部２０は、正常周期範囲内に同種のデータを取得したか否かを判定するものであってもよい。

基準データの受信時点から、次に受信した同種のデータの受信時点までの受信間隔（ΔＴ）が、基準データの受信時点から正常周期範囲の下限時点（limit-low）までの経過時間以上であり、かつ正常周期範囲の上限時点（limit-upp）までの経過時間以内である場合、処理部２０は正常周期範囲内に同種のデータを取得したと判定する。正常周期範囲の上限時点（limit-upp）が経過するよりも以前に、同種のデータを取得しなかった場合、処理部２０は正常周期範囲内に同種のデータを取得しなかったと判定する。又は、処理部２０は、正常周期範囲の下限時点（limit-low）から上限時点（limit-upp）までの期間における同種のデータの受信（取得）有無に基づき、正常周期範囲内に同種のデータを取得したか否かを判定するものであってもよい。すなわち、正常周期範囲の下限時点（limit-low）から上限時点（limit-upp）までの期間における同種のデータの受信した場合（下限時点≦同種のデータの受信時点≦上限時点）、処理部２０は、正常周期範囲内に同種のデータを取得したと判定する。

同種のデータを取得しなかった場合（Ｓ１０３：ＮＯ）、車載装置２の処理部２０は、再度Ｓ１０１を実行すべく、ループ処理を行う。正常周期範囲内にて、同種のデータを取得しなかった場合、当該データのロスト等による通信途絶が発生したと判定し、車載装置２の処理部２０は、再度Ｓ１０１を実行することにより、当該同種のデータの受信を試みる。処理部２０は、基準データ受信状態に遷移する。処理部２０は、Ｓ１０３からＳ１０１へのループ処理が連続して行われ、当該連続した回数が、例えば１０回等の所定の閾値回数に到達した場合、又は当該閾値回数を超過した場合、Ｓ１０１にて受信したデータは異常であると判定するものであってもよい。

同種のデータを取得した場合（Ｓ１０３：ＹＥＳ）、車載装置２の処理部２０は、データの個数は１つであるか、否かを判定する（Ｓ１０４）。車載装置２の処理部２０は、正常周期範囲内、すなわち正常周期範囲の下限時点（limit-low）から上限時点（limit-upp）までの期間にて受信した同種のデータの個数をカウントし、当該データの個数が１つであるか、否か（２つ以上の複数であるか）を判定する。

車載装置２の処理部２０は、受信（取得）した全てのデータにおいて、当該データそれぞれの受信時点と、ＣＡＮ－ＩＤ等のデータ種別とを、関連付けて記憶部２１に記憶する。車載装置２の処理部２０は、当該データそれぞれの受信時点と、基準データの受信時点との差分となる受信間隔についても、ＣＡＮ－ＩＤ等のデータ種別と関連付けて記憶部２１に記憶するものであってもよい。

受信したデータの個数が１つである場合（Ｓ１０４：ＹＥＳ）、車載装置２の処理部２０は、受信したデータは、正常と判定する（Ｓ１０５）。正常周期範囲内にて取得した受信したデータの個数が１つである場合、当該データは、設計周期に基づき、いずれかの車載ＥＣＵ３から正常に送信されたデータであり、車載装置２の処理部２０は、受信したデータは、正常と判定する。

車載装置２の処理部２０は、受信したデータを次の判定処理に用いる基準データに設定し、正常周期範囲を特定する（Ｓ１０６）。車載装置２の処理部２０は、受信したデータ、すなわちＳ１０５の処理にて正常と判定したデータを、次に受信する同種のデータの判定処理に用いる基準データに設定する。このように、車載装置２の処理部２０は、直前の処理にて正常と判定されたデータによって基準データを設定することを繰り返すことにより、車載ネットワーク４の負荷状況等にリアルタイムに対応した基準データの設定（周期的な再設定）を継続して行うことができる。車載装置２の処理部２０は、このように再設定した基準データに基づき、Ｓ１０２の処理と同様に正常周期範囲を特定する。処理部２０は、当該特定した正常周期範囲に基づき、以降に受信されるデータの正否判定を繰り返す。

受信したデータの個数が１つでない場合（Ｓ１０４：ＮＯ）、すなわち受信した同種のデータの個数が２つ以上（複数）である場合、受信した複数データは、範囲異常であると判定する（Ｓ１０４１）。単一の正常周期範囲内にて受信した複数のデータ（同種のデータ）において、少なくとも１つ以上のデータは、異常なデータである。この場合、車載装置２の処理部２０は、これら複数のデータに対し、所定の範囲（正常周期範囲）に異常なデータが含まれるとして、範囲異常であると判定する。車載装置２の処理部２０は、範囲異常と判定されたこれら複数のデータのデータ種別及び受信時点を、攻撃検知ログデータとして、記憶部２１に記憶し、外部サーバ１００又は表示装置５に出力するものであってもよい。

車載装置２の処理部２０は、基準データを受信する（Ｓ１０４２）。車載装置２の処理部２０は、正常周期範囲よりも後に受信した同種のデータを、基準データとして受信する。範囲異常と判定されたこれら複数のデータは、少なくとも１つ以上の異常なデータを含むため、車載装置２の処理部２０は、当該範囲異常とされたデータを基準データとして設定することは、行わない。これにより、範囲異常とされたデータによって、以降に取得したデータの正否判定が行われることを、確実に回避することができる。車載装置２の処理部２０は、範囲異常とされた複数のデータが受信された正常周期範囲よりも後に受信した同種のデータを、基準データとして受信する。

車載装置２の処理部２０は、正常周期範囲を特定する（Ｓ１０４３）。車載装置２の処理部２０は、Ｓ１０４２にて受信したデータを次の判定処理に用いる基準データに設定し、Ｓ１０２の処理と同様に正常周期範囲を特定する。このように範囲異常とされた複数のデータが受信された場合であっても、以降に受信したデータに基づき、基準データを再設定することにより、判定処理を継続又は再開することができる。

車載装置２の処理部２０は、範囲異常とされた複数のデータにおいて、いずれのデータが異常であるかを特定又は抽出する処理を行うものであってもよい。当該特定処理を行うにあたり、車載装置２の処理部２０は、例えば、正常範囲に受信したデータのうち、正常範囲の中央値に最も近いものを正常データとし、それ以外を異常データとする方法を用いるものであってもよい。この場合、複数データのうち、正常データは必ず1つ存在することを前提として、いずれのデータが異常であるかを特定する処理が行われる。又は、車載装置２の処理部２０は、正常データの正常範囲内での受信時間分布を予め取得しておき、分布の中央値に一番近いデータを正常データと判定する方法を用いるものであってもよい。この場合、受信時間分布は正常範囲の中で正規分布を取ることが多いが、必ずしも正常範囲の中央値付近に分布の中央があるわけではないことを利用するものである。車両Ｃに搭載されるオプション等によって、同一の通信線４１（ＣＡＮバス）上に接続される車載装置２の個数又は種類が変わると受信時間分布も変わることを想定した方法である。又は、車載装置２の処理部２０は、同一の通信線４１（ＣＡＮバス）に流れる他データのＣＡＮ－ＩＤ等の前後関係によって判定する方法を用いるものであってもよい。ＣＡＮゲートウェイ等の車載中継装置が受信するＣＡＮ－ＩＤの順には一定の並び順があり、設計周期が長いデータ（ＣＡＮメッセージ）ほど、並び順の規則は顕著になることを利用するものである。又は、車載装置２の処理部２０は、データの中身など、受信データに含まれる周期以外の情報と合わせて判断する方法を用いるものであってもよい。この場合、他の検知アルゴリズムと組み合わせ複合的に判断するものであってもよい。又は、車載装置２の処理部２０は、電気波形特性により判断する方法を用いるものであってもよい。この場合、例えばＣＡＮトランシーバ違いや、車載装置２等の送信ノードの接続場所によって、同じデータでも物理層レベルでは電気波形が異なることを利用するものである。更には、通信線４１を構成するハーネスの幹線に接続されているのか支線に接続されているかでも、電気波形特性等が異なることを利用するものである。車載装置２の処理部２０は、範囲異常とされた複数のデータ対し、上述した全ての方法を用いて、いずれのデータが異常であるかを特定し、各方法による特定結果に基づき、最も多くの方法が異常であると特定したデータを、異常なデータであるとして最終決定（多数決による決定）するものであってもよい。

車載装置２の処理部２０は、Ｓ１０６又はＳ１０４３の実行後、前の正常周期範囲から今回の正常周期範囲までの間に同種のデータを受信したか否かを判定する（Ｓ１０７）。正常周期範囲は、基準データが設定される都度特定されるものとなり、特定された正常周期範囲それぞれは、時系列に隣接するものとなる。時系列に隣接する２つの正常周期範囲
（T[t]、T[t+1）の間の期間においては、正常なデータは送信されないため、当該期間にて受信（取得）したデータは、異常なデータである。車載装置２の処理部２０は、Ｓ１０６又はＳ１０４３の処理の実行後、前の正常周期範囲（T[t]）から今回の正常周期範囲(T
[t+1])までの間、すなわち前の正常周期範囲の上限時点（limit-upp[t]）の経過後から、今回の正常周期範囲の下限時点（limit-low[t+1]）までの間に同種のデータを受信したか否かを判定する。

同種のデータを受信した場合（Ｓ１０７：ＹＥＳ）、車載装置２の処理部２０は、受信したデータは特定異常と判定する（Ｓ１０８）。受信したデータの個数が、一つである場合、車載装置２の処理部２０は、当該データは異常であると個別に特定できるものであり、特定異常であると判定する。また、受信したデータの個数が、２つ以上（複数）である場合であっても、車載装置２の処理部２０は、これらデータそれぞれを、特定異常であると判定する。車載装置２の処理部２０は、特定異常と判定された単一又は複数のデータのデータ種別及び受信時点を、攻撃検知ログデータとして、記憶部２１に記憶し、外部サーバ１００又は表示装置５に出力するものであってもよい。

同種のデータを受信しなかった場合（Ｓ１０７：ＮＯ）、又はＳ１０８の実行後、車載装置２の処理部２０は、再度Ｓ１０３を実行すべく、ループ処理を行う。ループ処理にてＳ１０３を実行する際に用いられる正常周期範囲は、Ｓ１０６又はＳ１０４３の処理にて特定された正常周期範囲であることは、言うまでもない。車載装置２の処理部２０は、本実施形態における判定処理の全ての結果（判定結果）を記憶部２１に記憶し、又は車外通信装置１を介して外部サーバ１００に送信（出力）するものであってもよい。

車載装置２の処理部２０は、本実施形態における判定処理にて、受信したデータの個数をカウントするにあたり、例えば、前の正常周期範囲の上限時点（limit-upp[t]）の経過後から、今回の正常周期範囲の上限時点（limit-upp[t+1]）までの間の期間を対象として単位判定期間を定め、当該単位判定期間毎に、判定処理を行うものであってもよい。この場合、車載装置２の処理部２０は、個々の正常周期範囲の上限時点において、当該判定処理を行うものであってよい。本実施形態において、車載装置２の処理部２０が判定処理を行う単位判定期間を、前の正常周期範囲の上限時点（limit-upp[t]）の経過後から、今回の正常周期範囲の上限時点（limit-upp[t+1]）としたが、これに限定されず、例えば、前の正常周期範囲の下限時点（limit-low[t]）の経過後から、今回の正常周期範囲の下限時点（limit-low[t+1]）を単位判定期間とするものであってもよい。

車載装置２の処理部２０は、本実施形態におけるフローチャートを実行するにあたり、データの種別毎に、個々のフローチャートにより処理を行うものであってもよい。すなわち、判定実行対象となっているデータの種別（ＣＡＮ－ＩＤ）の個数が、例えば１０個である場合、当該個数の同数（１０個）のサブプロセスを生成し、個々のサブプロセスにて当該フローチャートによる処理を並行して行うものであってもよい。

本実施形態において、車載装置２の処理部２０が全ての処理を行うとしたがこれに限定されず、処理の一部は、例えば、車載装置２の処理部２０と、いずれかの車載ＥＣＵ３又は外部サーバ１００とがプロセス間通信等を行うことにより協働して行うものであってもよい。

（実施形態２）
図１２は、実施形態２に係るデータの判定（ダイアグマスク期間）に関する説明図である。本実施形態における図示において、特定のデータ種別のデータ（ＣＡＮメッセージ等）に関する判定処理について説明する。当該図示において、横軸は時間（経過時間）を示す。

車載装置２の処理部２０は、ＩＧスイッチ６がオンされた場合、ダイアグマスク期間が経過するまで、異常検知の対象となるデータを受信することなく待機処理を行う。当該待機処理を行うにあたり、車載装置２の処理部２０は、ダイアグマスク期間が経過したか否かのを判定する処理を継続して行うものであってもよい。ダイアグマスク期間は、例えば数秒等として記憶部２１に記憶されており、車載装置２の処理部２０は、記憶部２１を参照することにより、ダイアグマスク期間の値を取得することができる。ダイアグマスク期間は、例えば、車載ＥＣＵ３及び車載装置２に対するダイアグ処理（自己診断処理）を行う期間して設定されるものであり、車両Ｃに搭載される車載装置２等に対する異常検出を行わない期間である。

車載装置２の処理部２０は、ダイアグマスク期間が経過した後、異常検知の対象となるデータの取得を開始する。車載装置２の処理部２０は、ＩＧスイッチ６のオンよるダイアグマスク期間の開始時点から、当該ダイアグマスク期間の完了後（終了時点の後）であって最初に受信したデータ（本実施形態においては、メッセージ１：Msg1）の受信時点までの間、待機状態を維持する。車載装置２の処理部２０は、実施形態１と同様に、例えば、記憶部２１に記憶されているデータ種別テーブルにて定められるデータ（監視対象メッセージ）毎に、連続して受信される同種のデータ（同一のメッセージＩＤ）の受信間隔を算出する。

本実施形態における図示のとおり、車載装置２の処理部２０は、ダイアグマスク期間が経過した後、最初に受信したデータ（メッセージ１：Msg1）を基準とし、当該データ（メッセージ１：Msg1）と同種のデータ（メッセージ２：Msg2）を受信する。この場合、データ（メッセージ１：Msg1）と、データ（メッセージ２：Msg2）との間において、これらデータと同種のデータの受信はないため、これらデータ（メッセージ１：Msg1、メッセージ２：Msg2）は、連続して受信した同種の２つのデータに相当する。なお、当該２つの同種のデータ（メッセージ１：Msg1、メッセージ２：Msg2）を受信した時点の間に、他の種類のデータを受信した場合であっても、これら２つの同種のデータ（メッセージ１：Msg1、メッセージ２：Msg2）が、連続して受信した同種の２つのデータに相当することは、言うまでもない。

車載装置２の処理部２０は、実施形態１と同様に、最初に受信したデータ（メッセージ１：Msg1）と、後に受信したデータ（メッセージ２：Msg2）との受信間隔を算出し、当該受信間隔が、最初に受信したデータ（メッセージ１：Msg1）の受信時点を基準とした正常周期範囲内に入っていれば、これらデータ（メッセージ１：Msg1、メッセージ２：Msg2）を正常と判定する。車載装置２の処理部２０は、このように連続して受信した同種の２つのデータの内、後に受信したデータ（メッセージ２：Msg2）を、基準データ（基準メッセージ）として設定する。

車載装置２の処理部２０は、最初に受信したデータ（メッセージ１：Msg1）の受信時点から、後に受信したデータ（メッセージ２：Msg2）を基準データ（基準メッセージ）として設定するまでの間、基準データ受信状態（基準メッセージ取得状態）を維持する。すなわち、車載装置２の処理部２０は、ダイアグマスク期間の完了後において、最初に受信したデータ（メッセージ１：Msg1）の受信時点から、後に受信したデータ（メッセージ２：Msg2）の受信時点までの間、基準データ受信状態（基準メッセージ取得状態）を維持する。車載装置２の処理部２０は、このように設定した基準データ（基準メッセージ）を用いて、実施形態１と同様に受信したデータに対する異常検知を開始する。車載装置２の処理部２０は、当該異常検知を開始する際、判定実行状態（周期検知実行状態）に遷移する。

図１３は、車載装置の処理部の状態遷移に関する説明図である。車載装置２の処理部２０は、判定処理を行う過程において、実施形態１と同様に複数の状態を遷移する。当該複数の状態は、例えば、ダイアグマスク期間等における待機処理を行う待機状態と、正常周期範囲を特定するにあたり基準となるデータの受信を行う基準データ受信状態（基準メッセージ取得状態）と、特定された正常周期範囲に基づき受信したデータの正否を判定する判定実行状態（周期検知実行状態）とを含む。

車載装置２の処理部２０は、例えば、車載装置２の電源（ＥＣＵ電源）がオンされた直後は、待機状態となる。車載装置２の処理部２０は、当該待機状態において、ＩＧスイッチ６がオンにされ、ダイアグマスク期間が完了（ダイアグマスクがオフ）しかつ、最初に受信したデータを取得することにより、基準データ受信状態（基準メッセージ取得状態）に遷移する。

車載装置２の処理部２０は、基準データが未確定（基準メッセージ未確定）な間、すなわち基準データ（基準メッセージ）となる、後に受信した同種のデータを取得するまでの間は、基準データ受信状態（基準メッセージ取得状態）を維持する。車載装置２の処理部２０は、基準データ受信状態において、ＩＧスイッチ６がオフにされた場合、又はダイアグマスク期間が開始（ダイアグマスクがオン）された場合、待機状態に遷移する。車載装置２の処理部２０は、基準データ受信状態において、基準データ（後に受信した同種のデータ）を受信した場合、判定実行状態（周期検知実行状態）に遷移する。

車載装置２の処理部２０は、判定実行状態（周期検知実行状態）において、異常を検知しない間、又は検知した異常が特定異常である場合、判定実行状態（周期検知実行状態）を維持する。車載装置２の処理部２０は、判定実行状態（周期検知実行状態）において、検知した異常が範囲異常である場合、通信途絶を検出した場合、又はダイアグマスク期間が開始（ダイアグマスクがオン）された場合、待機状態に遷移する。

図１４は、車載装置２の処理部の処理を例示するフローチャートである。車載装置２の処理部２０は、例えば車両Ｃが起動状態（ＩＧスイッチ６がオン）において、定常的に以下の処理を行う。

車載装置２の処理部２０は、ＩＧスイッチ６がオンされた場合、ダイアグマスク期間は経過したか否かを判定する（Ｓ２０１）。ダイアグマスク期間は車両Ｃに搭載される車載装置２に対する異常検出を行わない期間として、予め定められており、当該期間は、例えば、車載装置２の記憶部２１に記憶されている。ダイアグマスク期間が経過していない場合（Ｓ２０１：ＮＯ）、車載装置２の処理部２０は、例えば再度Ｓ２０１の処理を実行すべくループ処理を行うことにより、待機処理を行い、待機状態を維持する。

ダイアグマスク期間が経過した場合（Ｓ２０１：ＹＥＳ）、車載装置２の処理部２０は、ダイアグマスク期間の経過後における最初のデータを受信する（Ｓ２０２）。車載装置２の処理部２０は、ダイアグマスク期間が経過後、最初に受信したデータを取得する。上述のとおり、受信されるデータは、複数種類のデータ（複数のデータ種別）であるため、車載装置２の処理部２０は、データ種別毎に、最初に受信したデータを取得するものとなる。車載装置２の処理部２０は、ダイアグマスク期間中は待機状態であったが、当該最初に受信したデータの受信時点以降、当該待機状態から基準データ受信状態に遷移する。

車載装置２の処理部２０は、基準データを受信する（Ｓ２０３）。車載装置２の処理部２０は、Ｓ２０１の処理として最初に受信したデータと、当該データと同種のデータであって、当該データの直後に受信したデータ（後に受信したデータ）を取得する。これにより、車載装置２の処理部２０は、ダイアグマスク期間の経過後において、連続して受信した同種の２つのデータを取得する。車載装置２の処理部２０は、連続して受信した同種の２つのデータにおいて、当該データの受信間隔が正常周期範囲内である場合、後に受信したデータを基準データとして受信（取得）することにより、当該基準データを設定する。車載装置２の処理部２０は、当該連続して受信した同種の２つのデータ（最初に受信したデータ、後に受信したデータ）を、記憶部２１に記憶するものであってもよい。

車載装置２の処理部２０は、実施形態１の処理Ｓ１０２からＳ１０８と同様に、Ｓ２０４からＳ２１０までの処理を行う。車載装置２の処理部２０は、Ｓ２０１からＳ２０３の処理が完了するまでの間、正常周期範囲を特定するにあたり基準となるデータの受信を行う基準データ受信状態を維持する。車載装置２の処理部２０は、Ｓ２０３の処理が完了後、Ｓ２０４の処理を行うにあたり、特定された正常周期範囲に基づき受信したデータの正否を判定する判定実行状態に遷移する。車載装置２の処理部２０は、Ｓ２０４以降の一連の処理を行うにあたり各処理内容に応じて、基準データ受信状態、判定実行状態又は待機状態に状態遷移するものとなる。車載装置２の処理部２０は、基準データ受信状態、判定実行状態又は待機状態のいずれの状態であっても、受信したデータをルーティングマップに従い、他の通信線４１（ＣＡＮバス）に転送する等の中継処理を継続して行う。

車載装置２の処理部２０は、基準データ受信状態にある場合、受信したデータの正否を判定する等の異常検知に関する処理、及び判定実行状態での検知結果に基づくセキュリティログ等（攻撃検知ログデータ）を保存する処理を禁止し、これら処理を行わない。当該処理の禁止は、受信されるデータの種類（データ種別）毎に行われる。車載装置２の処理部２０は、判定実行状態にある場合、判定実行状態での検知結果に基づくセキュリティログ等、異常の態様に応じた情報を、揮発性の記憶領域に記憶する。車載装置２の処理部２０は、例えばＩＧスイッチ６がオフにされた場合、揮発性の記憶領域に記憶したセキュリティログ等を、不揮発性の記憶領域に記憶（コピー）する。車載装置２の処理部２０は、記憶（保存）するセキュリティログの個数の上限値を定め、保存するセキュリティログの個数が上限値を超えた場合、最も古いセキュリティログを上書きして、最新のログを保存するものであってもよい。

今回開示された実施形態は全ての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

Ｃ 車両
Ｓ 車載システム
１００ 外部サーバ
１ 車外通信装置
１１ アンテナ
２ 車載装置（車載中継装置）
２０ 処理部（制御部）
２１ 記憶部
２２ 入出力Ｉ／Ｆ
２３ 車内通信部
３ 車載ＥＣＵ
４ 車載ネットワーク
４１ 通信線
５ 表示装置（ＨＭＩ装置）
６ ＩＧスイッチ

Claims (16)

1. 車両に搭載される車載ネットワークに接続される車載装置であって、
   前記車載ネットワークに流れるデータの正否の判定に関する処理を行う処理部を備え、
   前記処理部は、
   前記車載ネットワークに流れる複数のデータを受信し、
   受信した前記複数のデータにおいて、同種のデータを連続して受信した際の受信間隔を導出し、
   前記受信間隔と、連続して受信した同種のデータの内の先に受信したデータの受信時点を基準とした正常周期範囲とに基づき、連続して受信した同種のデータの内の後に受信したデータの正否の判定を行い、
   複数の動作状態に遷移し、前記複数の動作状態は、前記正常周期範囲を特定するにあたり基準となるデータの受信を行う基準データ受信状態と、特定された前記正常周期範囲に基づき受信したデータの正否を判定する判定実行状態とを含む
   車載装置。
2. 前記正常周期範囲は、前記データの種別に基づき決定される送信周期を基準値として上下限値が設定された範囲である
   請求項１に記載の車載装置。
3. 前記処理部は、
   前記受信間隔が、連続して受信した同種のデータの内の先に受信したデータの受信時点を基準とした前記正常周期範囲内である場合、連続して受信した同種のデータの内の後に受信したデータは正常であると判定し、
   前記受信間隔が、前記正常周期範囲内でない場合、連続して受信した同種のデータの内の後に受信したデータは異常であると判定する
   請求項１又は請求項２に記載の車載装置。
4. 前記処理部は、
   前記正常周期範囲内に同種のデータを受信できなかった場合、前記正常周期範囲以降に受信した同種のデータの受信時点を基準に次の正常周期範囲を特定する
   請求項１から請求項３のいずれか１項に記載の車載装置。
5. 前記処理部は、
   前記正常周期範囲内にて受信した同種のデータの個数が一つの場合、該正常周期範囲内にて受信した一つのデータは正常であると判定し、
   前記正常周期範囲内にて受信した同種のデータの個数が複数の場合、該正常周期範囲内にて受信した複数のデータに含まれるいずれかのデータは異常であると判定する
   請求項１から請求項４のいずれか１項に記載の車載装置。
6. 前記処理部は、
   前記正常周期範囲内にて受信した同種のデータの個数が複数の場合、前記正常周期範囲以降に受信した同種のデータの受信時点を基準に次の正常周期範囲を特定する
   請求項１から請求項５のいずれか１項に記載の車載装置。
7. 前記処理部は、
   先に受信したデータの判定に用いられた前の正常周期範囲と、前記先に受信したデータの受信時点を基準とした今回の正常周期範囲との間にて、該データと同種のデータを受信した場合、該同種のデータは異常であると判定する
   請求項１から請求項６のいずれか１項に記載の車載装置。
8. 前記処理部は、
   先に受信したデータの受信時点を基準とした正常周期範囲内にて、該データと同種のデータを１つ受信した場合、該同種のデータは正常であると判定し、
   正常であると判定したデータの受信時点を基準に次の正常周期範囲を特定する
   請求項１から請求項７のいずれか１項に記載の車載装置。
9. 前記処理部は、前記基準データ受信状態では異常検知を行わない
   請求項８に記載の車載装置。
10. 前記処理部は、前記基準データ受信状態ではセキュリティログを保存しない
    請求項１から請求項９のいずれか１項に記載の車載装置。
11. 前記処理部は、受信したデータが異常である判定した場合、異常の態様に応じた情報をアクセス可能な所定の記憶領域に記憶する
    請求項１から請求項１０のいずれか１項に記載の車載装置。
12. 前記アクセス可能な所定の記憶領域は、揮発性の記憶領域であり、
    前記処理部は、前記車両のＩＧスイッチがオフにされた場合、前記揮発性の記憶領域に記憶した情報を、アクセス可能な所定の不揮発性の記憶領域に移行する
    請求項１１に記載の車載装置。
13. 前記処理部は、受信したデータの受信時点を基準に前記正常周期範囲を特定する際、前記基準となったデータの種類と受信時点とを関連付けてアクセス可能な所定の記憶領域に記憶する
    請求項１から請求項１２のいずれか１項に記載の車載装置。
14. 前記処理部は、前記車両のＩＧスイッチがオンにされた場合、
    予め定められたダイアグマスク期間が経過した後、最初に受信したデータ及び該データと同種のデータを連続して受信し、
    前記連続して受信したデータの受信間隔が、最初に受信したデータを基準とした前記正常周期範囲内である場合、前記連続して受信したデータの内の後に受信したデータの受信時点を基準に次の正常周期範囲を特定する
    請求項１から請求項１３のいずれか１項に記載の車載装置。
15. コンピュータに、
    車両に搭載される車載ネットワークに流れる複数のデータを受信し、受信した前記複数のデータにおいて、同種のデータを連続して受信した際の受信間隔を導出し、
    前記受信間隔と、連続して受信した同種のデータの内の先に受信したデータの受信時点を基準とした正常周期範囲とに基づき、連続して受信した同種のデータの内の後に受信したデータの正否の判定を行い、
    複数の動作状態に遷移し、前記複数の動作状態は、前記正常周期範囲を特定するにあたり基準となるデータの受信を行う基準データ受信状態と、特定された前記正常周期範囲に基づき受信したデータの正否を判定する判定実行状態とを含む
    処理を実行させるプログラム。
16. コンピュータに、
    車両に搭載される車載ネットワークに流れる複数のデータを受信し、受信した前記複数のデータにおいて、同種のデータを連続して受信した際の受信間隔を導出し、
    前記受信間隔と、連続して受信した同種のデータの内の先に受信したデータの受信時点を基準とした正常周期範囲とに基づき、連続して受信した同種のデータの内の後に受信したデータの正否の判定を行い、
    複数の動作状態に遷移し、前記複数の動作状態は、前記正常周期範囲を特定するにあたり基準となるデータの受信を行う基準データ受信状態と、特定された前記正常周期範囲に基づき受信したデータの正否を判定する判定実行状態とを含む
    処理を実行させる情報処理方法。

Images