JP5954228B2 - ネットワーク監視装置及びネットワーク監視方法 - Google Patents

Description

本発明は、車両などにおいて通信装置が接続されているネットワークの状態を監視するネットワーク監視装置、及びネットワーク監視方法に関する。

周知のように、車両に搭載された複数の電子制御装置（ＥＣＵ）にあっては、それぞれがネットワーク接続されることによってそれら電子制御装置の有する情報（車両情報）を相互に通信可能とする通信システム、すなわち車両ネットワークシステムを構成していることが多い。そして、このような車両ネットワークシステムの一つにコントローラエリアネットワーク（ＣＡＮ）がある。ＣＡＮは、通信線であるバスを共有する各ＥＣＵが各々の判断でバス上にメッセージを流すことができる、いわゆるマルチマスタ方式であることから各ＥＣＵからバスへのメッセージの送信が容易である。ただし逆に、このような方式であるがために、バスに接続されたＥＣＵに異常が生じたとしても、その異常の生じたＥＣＵの不適切な判断によってバスにメッセージが送信されるおそれもある。そこで従来より、バスを監視してバスに接続されているＥＣＵの異常を判断する技術が提案されており、その一例が特許文献１に記載されている。

特許文献１に記載の監視装置（異常監視ユニット）は、バス（通信線路）に接続されてメッセージ（フレーム）の送受信を行う車載ＬＡＮ通信部と、車載ＬＡＮ通信部を介して受信されるメッセージを該メッセージに付された識別情報によって識別しつつ、各識別情報が付されているメッセージの受信周期をそれぞれ測定する周期測定部とを備える。またこの監視装置（異常監視ユニット）は、周期測定部によって測定された周期をその識別情報毎に監視することにより周期変動に応じて各メッセージの発信元の健全度を監視する監視部を備える。そして、周期測定部を通じて測定されたメッセージの受信周期が異常と判断すべき周期ずれの範囲を超えると、監視部を通じて、そのメッセージを送信する送信元のＥＣＵが異常であると判断される。

特開２００７−３１２１９３号公報

ところでＣＡＮは、上述のようにマルチマスタ方式であるため、ＥＣＵをバスに追加接続することが容易である。こうしたことから近年は、車両のＣＡＮバスに接続されることで各種のサービスを提供する外部機器が様々提案されつつある。換言すれば、外部機器を車両のＣＡＮバスに接続して利用するニーズが高まりつつある。一方、不正な外部機器やＥＣＵなどであってもＣＡＮバスに接続することが可能であるため、接続された不正な外部機器等からＣＡＮバスに不正なメッセージが送信されるおそれもある。このとき、不正接続された外部機器等から流されるメッセージが正規のＥＣＵから流されるメッセージになりすましているようなことがあると、上記従来の監視装置（異常監視ユニット）では、正規のＥＣＵに異常が生じていると判断してしまい、上記不正接続されたＥＣＵの存在を検出することができないおそれがある。すなわち、不正なメッセージがバスに送信されたとしても、そのような事態に対処できないおそれがある。

本発明は、このような実情に鑑みなされたものであって、その目的は、ＣＡＮプロトコルなどのマルチマスタ方式に基づく通信メッセージが送受信されるネットワークにあって、ネットワークの通信状態に異常を生じさせている通信メッセージの有無を推測することのできるネットワーク監視装置、及びネットワーク監視方法を提供することにある。

以下、上記課題を解決するための手段及びその作用効果を記載する。
上記課題を解決するネットワーク監視装置は、ＣＡＮ（コントローラエリアネットワーク）からなるネットワークへのＣＡＮプロトコルに規定されるメッセージＩＤを有する通信メッセージの送信を自身の判断によって行うことができる通信装置が接続されるネットワークの通信状態を監視するネットワーク監視装置であって、前記ネットワークに流れている通信メッセージのメッセージＩＤに基づいて選択した通信メッセージを監視してその通信メッセージの受信間隔が該通信メッセージの送信間隔を含む範囲として規定される適正な受信間隔よりも短いとき、前記監視する通信メッセージの通信状態に異常が生じていると判断するとともに、前記監視する通信メッセージの受信間隔が前記適正な受信間隔よりも長いとき、前記監視する通信メッセージ以外の他の通信メッセージの通信状態に異常が生じていると判断する判断部を備え、前記判断部は、前記監視する通信メッセージとしてメッセージＩＤの異なる複数の通信メッセージを監視し、他の通信メッセージの通信状態に異常が生じていると判断する元になった通信メッセージの優先度のうちの最も高い優先度と、他の通信メッセージの通信状態に異常が生じていると判断する元とはならなかった通信メッセージの優先度のうちの最も低い優先度との間に含まれる優先度を有する通信メッセージの通信状態に異常が生じていると判断することを特徴とする。

上記課題を解決するネットワーク監視方法は、ＣＡＮ（コントローラエリアネットワーク）からなるネットワークへのＣＡＮプロトコルに規定されるメッセージＩＤを有する通信メッセージの送信を自身の判断によって行うことができる通信装置が接続されるネットワークの通信状態を同ネットワークに接続された監視装置を通じて監視するネットワーク監視方法であって、前記ネットワークに流れている通信メッセージのメッセージＩＤに基づいて選択した通信メッセージを監視してその通信メッセージの受信間隔が該通信メッセージの送信間隔を含む範囲として規定される適正な受信間隔よりも短いときには前記監視する通信メッセージの通信状態に異常が生じていると判断し、前記監視する通信メッセー
ジの受信間隔が前記適正な受信間隔よりも長いときには前記監視する通信メッセージ以外の他の通信メッセージの通信状態に異常が生じていると判断するとともに、前記監視する通信メッセージとしてメッセージＩＤの異なる複数の通信メッセージを監視し、他の通信メッセージの通信状態に異常が生じていると判断する元になった通信メッセージの優先度のうちの最も高い優先度と、他の通信メッセージの通信状態に異常が生じていると判断する元とはならなかった通信メッセージの優先度のうちの最も低い優先度との間に含まれる優先度を有する通信メッセージの通信状態に異常が生じていると判断することを特徴とする。

このような構成もしくは方法によれば、通信装置が自身の判断によってネットワークに通信メッセージを送信することができる、すなわちマルチマスタ方式のネットワークにおいて、監視する通信メッセージの通信状態に生じた異常が判断されるとともに、監視する通信メッセージ以外の他の通信メッセージの通信状態に生じた異常も判断される。つまり、監視対象である通信メッセージの通信状態の異常の有無が判断されるとともに、監視対象の通信メッセージ以外のその他の通信メッセージの通信状態の異常の有無も判断される。これにより、マルチマスタ方式に基づく通信メッセージが送受信されるネットワークにあって、異常の原因となっている通信メッセージを判断することができるようになる。
また、ネットワークには複数の種類の通信メッセージが流れていることが一般的である。このような構成によれば、識別子を利用することでネットワークから監視する通信メッセージを選択することが容易になる。
さらに、このような構成によれば、ネットワーク監視装置は、車両や産業機械などに多く利用されているＣＡＮプロトコルに対応することから、ＣＡＮプロトコルを利用する車両や産業機械にあっても異常の生じている通信メッセージを判断することができるようになる。
また、前述のようにＣＡＮプロトコルでは、不正な通信メッセージによる影響は、その不正な通信メッセージよりも優先度の高い、すなわちメッセージＩＤの小さい通信メッセージには小さく、一方、その不正な通信メッセージよりも優先度の低い、すなわちメッセージＩＤの大きい通信メッセージには大きい傾向にある。そこで、このような構成によれば、監視した通信メッセージの優先度、すなわちメッセージＩＤの大きさに基づいて異常を生じているメッセージＩＤの範囲、すなわち通信メッセージの範囲を判断することができるようになる。

好ましい構成として、前記判断部は、前記送信間隔が周期的な間隔である通信メッセージを前記監視する通信メッセージとする。
この構成によるように、送信間隔が周期的な通信メッセージであれば、その通信メッセージの受信間隔が適正な受信期間よりも短いか又は長いかの比較が容易である。

好ましい構成として、前記判断部は、監視する通信メッセージの通信状態に異常が生じていると判断されないとき、当該監視する通信メッセージよりも高い優先度を有する通信メッセージの通信状態には異常が生じていないと判断する。

ＣＡＮプロトコルではメッセージＩＤの大きさによって通信メッセージの優先度が定まる。このことから、バスに不正な通信メッセージが流されたとき、その不正な通信メッセージの影響は、その不正な通信メッセージよりも優先度の高い、つまりメッセージＩＤの小さい通信メッセージには小さく、一方、その不正な通信メッセージよりも優先度の低い、つまりメッセージＩＤの大きい通信メッセージには大きい傾向にある。

そこで、このような構成によれば、監視した通信メッセージの優先度、すなわちメッセージＩＤに基づいて、異常が生じていない通信メッセージのメッセージＩＤを判断することができるようになる。

ネットワーク監視装置の一実施形態、及び該ネットワーク監視装置を備える通信システムについて、その概略構成を示すブロック図。 同通信システムの通信用バスへの接続態様を模式的に示す模式図。 同ネットワーク監視装置の概略構成を模式的に示す模式図。 同通信システムにおける通信メッセージの通常の伝達態様について説明する模式図。 同通信システムにおいて同じメッセージＩＤを有する正規の通信メッセージと不正な通信メッセージとが通信用バスに流れるときの態様について説明する模式図。 同通信システムにおいて他のメッセージＩＤを有する正規の通信メッセージと不正な通信メッセージとが通信用バスに流れるときの態様について説明する模式図。 同通信システムにおいて通信状態に異常の生じている通信メッセージを判断する処理について示すシーケンス図。 ネットワーク監視装置の他の実施形態について、通信状態に異常が生じている通信メッセージの範囲を判断する構成の概要を説明するためのリスト。

ネットワーク監視装置の一実施形態、及び該ネットワーク監視装置を備える通信システムの一例について、図に従って説明する。
図１に示すように、車両１０は、車載ネットワークシステムを含む通信システムを備えている。通信システムは、通信装置としての第１〜第４の電子制御装置（ＥＣＵ）１１〜１４と、第１〜第４のＥＣＵ１１〜１４が接続される通信用バス１５とを備えている。これにより、第１〜第４のＥＣＵ１１〜１４は、制御などに用いられる各種情報を通信用バス１５を介して相互に授受（送信受信）できるようになっている。なお、車載ネットワークシステムは、通信プロトコルとしてＣＡＮ（コントローラエリアネットワーク）プロトコルの適用されるＣＡＮネットワークとして構成されている。

ＣＡＮプロトコルには、通信メッセージの構造であるフレームが規定されており、そのフレームには、通信メッセージの内容を示す「メッセージＩＤ」（識別子）が格納される領域などが設けられている。メッセージＩＤは、通信メッセージの種類毎に特定の値が定められており、各ＥＣＵは、送信する通信メッセージに含む情報の内容に対応するメッセージＩＤを付与して送信し、一方受信した通信メッセージに含まれる情報の内容をメッセージＩＤに基づいて判断する。また、ＣＡＮプロトコルではメッセージＩＤにより通信メッセージの優先度が定められており、メッセージＩＤの値が小さくなるに従って通信メッセージの優先度が高くなり、逆にメッセージＩＤの値が大きくなるに従って通信メッセージの優先度が低くなる。例えば、３種類のメッセージＩＤ、「１０」と「１００」と「２００」とを比較すると、メッセージＩＤが「１０」の通信メッセージの優先度が最も高く、メッセージＩＤが「１００」の通信メッセージの優先度が次に高く、メッセージＩＤが「２００」の通信メッセージの優先度が最も低い。

通信用バス１５は、ツイストケーブルなどの通信線などから構成され、その通信線を介してＣＡＮプロトコルにおいて通信における１単位となる通信メッセージを伝達する。通信用バス１５には、ＣＡＮプロトコルに基づいて通信するＥＣＵ等の追加が可能であるとともに、追加されたＥＣＵ等がその通信メッセージを通信用バス１５に送信することも可能である。なお、通信用バス１５は、通信経路の一部に無線通信を含んでいたり、ゲートウェイなどを介して他のネットワークを経由する経路が含まれていたりしてもよい。

通信用バス１５には、外部機器を通信可能に接続させることのできる接続端子であるデータリンクコネクタ（ＤＬＣ）１６が設けられている。ＤＬＣ１６は、メーカやカーディーラ等に用意された正規の通信装置である診断機器などを通信用バス１５へ通信可能に接続させる。さらに、ＤＬＣ１６には、ユーザが独自に用意した通信装置、いわゆる非正規の通信装置やＥＣＵなどとしてのユーザツール１７を接続させることもできる。例えば、ユーザツール１７としては、非正規テスターやスマートフォンなどが挙げられるとともに、無線通信回線などを介して接続された外部の各種装置も挙げられる。

このため、ネットワーク接続時の動作についての検証が不十分なユーザツール１７が通信用バス１５に接続されると、そのユーザツール１７から送信される通信メッセージが通信用バス１５における通信の一部又は全般に悪影響を与えるおそれもある。例えば、非正規テスターやスマートフォンなどの非正規なユーザツール１７は、不適切なソフトウェアやウィルスなどの実行が不正な通信メッセージを通信用バス１５に送信させて、通信用バス１５における通信の一部又は全般に悪影響を生じさせるおそれがある。さらに、通信用バス１５における通信を妨害する意図を含む不正なＥＣＵが通信用バス１５に接続されるおそれもある。そのため、通信システムとしては、通信用バス１５における通信に影響を生じるおそれのある通信メッセージによる通信を防止したり、そうした通信メッセージによる通信に対処する必要がある。

第１〜第４のＥＣＵ１１〜１４はそれぞれ、車両１０の各種制御に用いられる制御装置であって、例えば、駆動系、走行系、車体系、又は情報機器系等を制御対象としているＥＣＵである。例えば、駆動系を制御対象とするＥＣＵとしては、エンジン用ＥＣＵが挙げられ、走行系を制御対象とするＥＣＵとしては、ステアリング用ＥＣＵやブレーキ用ＥＣＵが挙げられる。また、車体系を制御するＥＣＵとしては、ライト用ＥＣＵやウィンドウ用ＥＣＵが挙げられ、情報機器系を制御対象とするＥＣＵとしては、カーナビゲーション用ＥＣＵが挙げられる。なお、通信用バス１５に接続されるＥＣＵの数は、４つに限られず、３つ以下であっても、５つ以上であってもよい。なお、第１〜第４のＥＣＵ１１〜１４は、同様の構成を有しているため、以下では第１のＥＣＵ１１の構成を中心に説明し、第２〜第４のＥＣＵ１２〜１４の構成については、第１のＥＣＵ１１の構成とは相違する構成を除き、その説明を割愛する。

図２に示すように、第１のＥＣＵ１１は、図示しない各種センサから取得された情報や演算処理により得られた情報などに基づいて各種制御に必要な情報処理を行う情報処理部２０を備えている。また第１のＥＣＵ１１は、ＣＡＮプロトコルに基づく通信メッセージを通じて通信用バス１５に接続されている他のＥＣＵとの間で通信を行うとともに、情報処理部２０との間で通信メッセージに関連する各種データの授受を行うＣＡＮコントローラ２１を備えている。

情報処理部２０は、マイクロコンピュータを含み構成されており、各種処理を行う演算装置や、演算結果や各種制御機能を提供するプログラムや制御機能に用いられるパラメータなどを記憶する記憶装置を有している。そして、情報処理部２０では、例えばエンジン制御などの所定の制御機能を提供するプログラムが演算装置で実行処理されることによって当該所定の制御機能が提供される。

ＣＡＮコントローラ２１は、通信用バス１５から通信メッセージを受信したタイミングを取得するとともに、受信した通信メッセージを解析し、当該通信メッセージに含まれるメッセージＩＤや、転送したいデータ本体である通信データなどを取得する。またＣＡＮコントローラ２１は、通信メッセージの受信タイミング、メッセージＩＤや通信データなどの情報を情報処理部２０に提供する。一方、ＣＡＮコントローラ２１は、情報処理部２０からメッセージＩＤや通信データ、送信タイミングなどが入力され、このうちのメッセージＩＤや通信データに基づいて当該メッセージＩＤと通信データとを含む通信メッセージを生成する。そしてＣＡＮコントローラ２１は、入力された送信タイミングで生成した通信メッセージを通信用バス１５へ送信する。なお、ＣＡＮコントローラ２１は、指定の送信タイミングで通信メッセージを通信用バス１５へ送信しようとするが、通信用バス１５が混雑しているなど、通信用バス１５が他の通信メッセージに占有されているときには通信用バス１５が空くまで送信が待たされて送信タイミングが遅延することもある。また、通信メッセージは、送信が開始されたとしても、同時に複数の通信メッセージが送信されている場合、アービトレーションによって優先度の高い通信メッセージに送信権を奪われて、送信待ちとされ、送信タイミングが遅延することもある。

つまり、第１のＥＣＵ１１は、送信させる通信データ等を情報処理部２０からＣＡＮコントローラ２１に付与し、この付与した通信データ等を含む通信メッセージを作成させてＣＡＮコントローラ２１から通信用バス１５へ送信させる。また、第１のＥＣＵ１１では、通信用バス１５に送信されている通信メッセージがＣＡＮコントローラ２１によって受信され、この受信された通信メッセージに含まれている通信データ等がＣＡＮコントローラ２１から情報処理部２０に取得される。

これにより、第１のＥＣＵ１１の情報処理部２０は、第２〜第４のＥＣＵ１２〜１４などから送信される各種データを、通信用バス１５に流れる通信メッセージから取得する。また情報処理部２０は、第２〜第４のＥＣＵ１２〜１４などに伝達したい各種データを含む通信メッセージを通信用バス１５に送信することができる。

図４に示すように、本実施形態では、第１のＥＣＵ１１は、情報処理部２０により処理される車両情報を含む通信メッセージＭ１を定周期として定められている送信間隔Ｔ１で通信用バス１５へ送信する。これにより、通信用バス１５には、送信間隔Ｔ１が経過するごとに、すなわち周期的に通信メッセージＭ１が送信される。なお説明の便宜上、図４には、時間的に異なるタイミングで通信用バス１５に流れる通信メッセージＭ１をそれぞれ記載し、時間的な間隔をそれら通信メッセージＭ１の間の間隔にて示している。例えば、図４において右側の通信メッセージＭ１は現時点よりも「送信間隔Ｔ１×２」前に送信された通信メッセージであり、図４において中央付近の通信メッセージＭ１は現時点よりも「送信間隔Ｔ１×１」前に送信された通信メッセージである。また、図４において左側の通信メッセージＭ１は現時点の「直前」に送信された通信メッセージである。そして、こうした送信タイミングで通信用バス１５に流された通信メッセージＭ１は、通信用バス１５に送信された送信タイミングで第１のＥＣＵ１１以外のＥＣＵである第２のＥＣＵ１２などに受信される。なお、通信用バス１５には、通信メッセージＭ１以外の各種のその他の通信メッセージＭｘも流される。これら通信メッセージＭｘも時間的に異なるタイミングで通信用バス１５に流れるが、上述した通信メッセージＭ１と同様に、便宜的にそれぞれの間に空けた間隔にて時間のずれを示している。

図２に示すように、第２のＥＣＵ１２は、その情報処理部２０に通信用バス１５における通信メッセージの通信状態を監視するネットワーク監視装置としての監視部２２を備えている。

図３に示すように、監視部２２は、通信メッセージの受信間隔の良否判断に関する各種パラメータ等を記憶する記憶領域２４と、通信用バス１５に流れる通信メッセージの通信状態を監視するＣＡＮフレーム監視機能２６とを備えている。また、監視部２２は、通信メッセージの受信間隔の良否に基づいて通信異常を生じている通信メッセージを判断する判断部としての判断機能２７と、判断機能２７による判断結果に基づいて通信メッセージの送受信を制御する送受信制御機能２８とを備えている。

記憶領域２４は、不揮発性メモリやハードディスクなどの一部もしくは全部に確保されたデータを記憶することのできる領域であって、通信メッセージの受信間隔の良否判断に関係する各種パラメータが記憶されている。また記憶領域２４には、ＣＡＮプロトコルの各種パラメータが記憶されていてもよい。

各種パラメータは、通信メッセージの送信間隔等の値を含む通信規定２５を含んでいる。通信規定２５には、監視する通信メッセージと、その監視する通信メッセージに対して規定された送信間隔とが監視する通信メッセージの種類毎に記憶されている。つまり通信規定２５には、監視する通信メッセージを特定するメッセージＩＤと、当該メッセージＩＤに対応する送信間隔とが対応付けられた態様で記憶されている。例えば通信規定２５には、監視する通信メッセージＭ１のメッセージＩＤと、当該監視する通信メッセージＭ１のメッセージＩＤに対応する送信間隔Ｔ１とが対応付けて記憶されている。よって、通信メッセージＭ１の送信間隔Ｔ１は、少なくとも、その通信メッセージＭ１を送信する第１のＥＣＵ１１とその通信メッセージＭ１を受信する第２のＥＣＵ１２とに設定されている。つまり通信メッセージの送信間隔はその通信メッセージを送受信する各ＥＣＵの間で共用されている。

なお、監視部２２では、受信される全ての通信メッセージのうちから、通信規定２５に記憶されている監視する通信メッセージＭ１がそのメッセージＩＤに基づいて選択される。

また通信規定２５には、通信メッセージの受信間隔の良否の判断に必要とされる情報として、通信メッセージの受信間隔を正常として判断する範囲を示す適正な受信間隔が設定されている。この適正な受信間隔の範囲は、通信メッセージの送信間隔と、その送信間隔を変化させる要素、例えば誤差範囲などにより規定される。誤差範囲は、通信に想定される時間的な揺らぎなどであって、試験や経験、シミュレーションなどに基づいて設定される。

図４に従って詳述すると、例えば、第２のＥＣＵ１２は、受信間隔の良否の判断対象として通信メッセージＭ１を監視するとする。このとき、第２のＥＣＵ１２には、監視する通信メッセージＭ１の適正な受信間隔Ｔ１Ｐが設定される。この適正な受信間隔Ｔ１Ｐは、通信メッセージＭ１の送信間隔Ｔ１よりも所定の短縮期間だけ短い受信間隔Ｔ１Ｓから、通信メッセージＭ１の送信間隔Ｔ１よりも所定の延長期間だけ長い受信間隔Ｔ１Ｌまでの範囲に設定される。つまり適正な受信間隔Ｔ１Ｐは、通信メッセージＭ１の送信間隔Ｔ１を含む範囲として規定されており、監視する通信メッセージＭ１の受信間隔がその範囲内にあるとき当該受信間隔が適正判断される範囲である。つまり、第２のＥＣＵ１２は、第１のＥＣＵ１１から送信間隔Ｔ１で送信される通信メッセージＭ１の受信間隔が適正な受信間隔Ｔ１Ｐ内であれば当該通信メッセージＭ１は通信状態に異常は生じていないと判断する。

一方、第２のＥＣＵ１２は、同通信メッセージＭ１の受信間隔が適正な受信間隔Ｔ１Ｐよりも短ければ当該通信メッセージＭ１の通信状態に異常が生じていると判断することができ、同適正な受信間隔Ｔ１Ｐよりも長ければ当該通信メッセージＭ１以外の通信メッセージの通信状態に異常が生じていると判断することができる。

ところで、ＣＡＮプロトコルでは、不正な通信メッセージによる影響は、その不正な通信メッセージよりも優先度の高い（メッセージＩＤの小さい）通信メッセージには小さく、その不正な通信メッセージよりも優先度の低い（メッセージＩＤの大きい）通信メッセージには大きく及ぶ傾向にある。そこで、第２のＥＣＵ１２は、通信メッセージＭ１の通信状態に異常は生じていないと判断したとき、この判断の元になった通信メッセージＭ１よりも優先度の高い（メッセージＩＤの小さい）通信メッセージには通信状態に異常は生じていないこと判断することもできる。

ＣＡＮフレーム監視機能２６は、通信用バス１５に送信されている通信メッセージの受信間隔を算出する。ＣＡＮフレーム監視機能２６は、通信メッセージの受信間隔を、同じメッセージＩＤを有する通信メッセージについて、時間的に連続する２つの通信メッセージのそれぞれの受信タイミングを比較することに基づいて算出する。例えば、ＣＡＮフレーム監視機能２６は、通信規定２５に記憶されている監視する通信メッセージＭ１について、その受信間隔を今回の通信タイミングと前回の通信タイミングとの比較に基づいて算出する。

判断機能２７は、ＣＡＮフレーム監視機能２６の算出した監視する通信メッセージの受信間隔と、通信規定２５に規定される当該監視する通信メッセージに対応する適正な受信間隔との比較に基づいて通信メッセージの通信状態の異常の有無を判断（推測）する。そして、この判断結果を送受信制御機能２８に伝達することで、判断の元となった通信メッセージの処理が適正に行われるようにしている。

例えば、判断機能２７は、監視する通信メッセージＭ１の受信間隔が対応する適正な受信間隔Ｔ１Ｐに規定される範囲内にあるとき、当該通信メッセージＭ１の通信状態には異常が生じていないと判断（推測）する。そして、送受信制御機能２８には通信メッセージＭ１の通信状態は正常である旨の判断結果が伝達され、通信メッセージＭ１は正規の通信メッセージとして処理されるようになる。

一方、判断機能２７は、監視する通信メッセージＭ１の受信間隔が対応する適正な受信間隔Ｔ１Ｐよりも短いとき、すなわち短い受信間隔Ｔ１Ｓよりも短いとき、監視する通信メッセージＭ１の通信状態に異常が生じていると判断（推測）する。

つまり図５に示すように、通信メッセージＭ１の受信間隔が送信間隔Ｔ１よりも短いということは、通信メッセージＭ１になりすました不正な通信メッセージＭ１ｂが通信用バス１５に混入されており、通信メッセージＭ１の受信間隔が送信間隔Ｔ１よりも短い不正な間隔Ｔ１ｂとして検出されている可能性が高い。つまりこの場合、通信メッセージＭ１と同じメッセージＩＤが攻撃に利用されている、すなわち当該メッセージＩＤが攻撃されている。よって判断機能２７は、通信メッセージＭ１の通信状態に異常が生じていると判断する。そして判断機能２７は、送受信制御機能２８に通信用バス１５には通信メッセージＭ１の通信状態に異常が生じている旨の判断結果を伝達する。また、このとき、通信用バス１５には、不正な通信メッセージＭ１ｂを送信するユーザツール１７が接続されている可能性も高い。

さらに、判断機能２７は、監視する通信メッセージＭ１の受信間隔が対応する適正な受信間隔Ｔ１Ｐよりも長いとき、すなわち長い受信間隔Ｔ１Ｌよりも長いとき、監視する通信メッセージＭ１以外の他の通信メッセージの通信状態に異常が生じていると判断（推測）する。

つまり図６に示すように、通信メッセージＭ１の受信間隔が送信間隔Ｔ１よりも長いということは、通信メッセージＭ１を送信する余裕がないほど通信用バス１５が混雑している可能性が高い。つまりこの場合、通信メッセージＭ１の受信間隔が長くなることから、通信用バス１５には通信メッセージＭ１とは異なるメッセージＩＤを利用した不正な通信メッセージＭ２が流されている可能性が高い。逆に言えば、こうした不正な通信メッセージＭ２が通信用バス１５に多く流されるようになると、通信用バス１５が混雑して第１のＥＣＵ１１から送信される通信メッセージＭ１の送信間隔Ｔ１に遅延が生じ、通信メッセージＭ１が通信用バス１５に送信される間隔が遅延時間Ｔ１ｄだけ遅れる。その結果として、第２のＥＣＵ１２は、受信した通信メッセージＭ１の受信間隔として送信間隔Ｔ１＋遅延時間Ｔ１ｄを算出することになる可能性が高い。この場合、通信メッセージＭ１とは異なるメッセージＩＤが攻撃に利用されている、すなわち他のメッセージＩＤが攻撃されている。よって判断機能２７は、通信メッセージＭ１以外の通信メッセージの通信状態に異常が生じていると判断する。そして判断機能２７は、送受信制御機能２８に通信用バス１５には通信メッセージＭ１以外の通信メッセージに基づく通信異常が生じているという判断結果を伝達する。また、このとき、通信用バス１５には、不正な通信メッセージＭ２を送信するユーザツール１７が接続されている可能性も高い。

送受信制御機能２８は、情報処理部２０の制御機能等から入力された通信データに基づく通信メッセージを、同じく情報処理部２０の制御機能から入力された送信タイミングでＣＡＮコントローラ２１を介して通信用バス１５に送信する。一方、送受信制御機能２８は、通信用バス１５からＣＡＮコントローラ２１を介して通信メッセージを受信するとともに、受信した通信メッセージを判断機能２７による判断結果に基づいて処理する。判断結果に基づく処理には、通信メッセージの受信や、送信又は受信の停止や送受信タイミングの調整、受信した通信メッセージの破棄などが含まれる。例えば、送受信制御機能２８は、受信した通信メッセージＭ１の通信状態に異常がないとの判断結果に基づいて、受信した通信メッセージＭ１が情報処理部２０の制御機能で通常通り処理されるようにする。逆に、送受信制御機能２８は、受信した通信メッセージＭ１の通信状態に異常があるとの判断結果に基づいて、受信した通信メッセージＭ１を破棄する処理などを行い、受信した通信メッセージＭ１が情報処理部２０の制御機能で利用されないようにする。一方、送受信制御機能２８は、受信した通信メッセージＭ１以外の通信メッセージの通信状態に異常があるとの判断結果に基づいて、受信した通信メッセージＭ１が情報処理部２０の制御機能で通常通り処理されるようにするとともに、情報処理部２０の制御機能に通信用バス１５における通信に異常が生じていることを伝達したりする。例えば、通信用バス１５における通信に異常が生じていることを伝達することで、第２のＥＣＵ１２は、フィールセーフ動作に移行するタイミングを遅らせたり、条件を変更するなどして、通常処理を可能な限り維持させるようにすることもできる。また、第２のＥＣＵ１２は、通信用バス１５における通信の異常から通信パフォーマンスの低下の可能性を予測し、その予測に応じてフィールセーフ動作への移行準備などを行うこともできる。

次に、図７を参照して、監視部２２の動作について説明する。
なお、ここでは第１のＥＣＵ１１が通信用バス１５に送信間隔Ｔ１で送信する通信メッセージＭ１を、第２のＥＣＵ１２で受信し、その受信した通信メッセージＭ１が監視部２２にて監視される場合を例に説明する。

図７に示すように、第２のＥＣＵ１２の監視部２２は、監視する通信メッセージＭ１を受信する都度、受信した監視する通信メッセージＭ１に対して監視処理が行われる。
監視部２２は、監視する通信メッセージＭ１を受信すると、監視処理を開始し、その受信した監視する通信メッセージＭ１の受信間隔を算出する（図７のステップＳ１０）。また、監視部２２は、算出した受信間隔が適切な受信間隔Ｔ１Ｐよりも短いか否かを判断する（図７のステップＳ１１）。そして、算出した受信間隔が適切な受信間隔Ｔ１Ｐより短いと判断された場合（図７のステップＳ１１でＹＥＳ）、監視部２２は、当該通信メッセージＭ１の通信状態に異常が生じていると判断する（図７のステップＳ１４）。つまり、監視部２２は、通信メッセージＭ１のメッセージＩＤが攻撃対象であると判断し、この判断結果に基づいて不正な通信メッセージとして判断される通信メッセージＭ１ｂを破棄する（図７のステップＳ１５）。そして監視処理を終了する。

一方、算出した受信間隔が適切な受信間隔Ｔ１Ｐよりも短くないと判断した場合（図７のステップＳ１１でＮＯ）、監視部２２は、算出した受信間隔が適切な受信間隔Ｔ１Ｐより長いか否かを判断する（図７のステップＳ１２）。算出した受信間隔が適切な受信間隔Ｔ１Ｐよりも長いと判断した場合（図７のステップＳ１２でＹＥＳ）、監視部２２は、当該通信メッセージＭ１以外の通信メッセージの通信状態に異常が生じていると判断する（図７のステップＳ１６）。つまり、監視部２２は、通信メッセージＭ１は攻撃の対象ではないものの、通信用バス１５ではその他の通信メッセージが攻撃の対象となり、攻撃されていると判断する。そして監視部２２は、通信用バス１５への攻撃に対処するための攻撃時の対応を行う（図７のステップＳ１７）。攻撃時の対応としては、例えば、攻撃対象以外の通信メッセージについては、送信タイミングの遅延に対応できるような制御処理を行うことが挙げられる。また例えば、攻撃の対象とされているメッセージＩＤを特定したり、メッセージＩＤの範囲を特定したりすることが挙げられる。

一方、算出された受信間隔が適正な受信間隔Ｔ１Ｐより長くないと判断した場合（図７のステップＳ１２でＮＯ）、監視部２２は、当該通信メッセージＭ１の通信状態には異常が生じていないと判断し、受信した通信メッセージを通常処理させる（図７のステップＳ１３）。つまり、受信した通信メッセージＭ１の通信データが情報処理部２０（第２のＥＣＵ１２）にて制御処理に利用されるようにする。

例えば、通信用バス１５に流されている全ての通信メッセージを監視して通信用バス１５の通信負荷を算出するだけでは、その通信負荷の要因となる通信メッセージを特定するこができない。しかし、本実施形態の監視部２２によれば、ＣＡＮプロトコルに基づく通信メッセージが送受信される通信用バス１５にあって、通信用バス１５の通信状態に異常を生じさせている通信メッセージの有無を推測することができるようになる。

以上説明したように、本実施形態に係るネットワーク監視装置は、以下に列記する効果を有する。
（１）マルチタスク方式のＣＡＮプロトコルの通信用バス１５において、監視する通信メッセージＭ１の通信状態に生じた異常が判断されるとともに、監視する通信メッセージＭ１以外の他の通信メッセージＭ２の通信状態に生じた異常も判断される。つまり、監視対象である通信メッセージＭ１の通信状態の異常の有無が判断されるとともに、監視対象の通信メッセージＭ１以外のその他の通信メッセージＭ２の通信状態の異常の有無も判断される。これにより、ＣＡＮプロトコルに基づく通信メッセージＭ１が送受信される通信用バス１５にあって、異常の原因となっている通信メッセージを判断することができるようになる。

（２）周期的な送信間隔Ｔ１で送信される通信メッセージＭ１を監視するため、その通信メッセージＭ１の受信間隔が適正な受信間隔Ｔ１Ｐよりも短いか又は長いかを比較することが容易である。

（３）通信用バス１５には複数の種類の通信メッセージＭ１，Ｍｘが流れていることが一般的であるため、メッセージＩＤを利用することで通信用バス１５から監視する通信メッセージＭ１を選択することが容易になる。

（４）監視部２２は、車両１０に多く利用されているＣＡＮプロトコルに対応することから、ＣＡＮプロトコルを利用する車両１０において異常の生じている通信メッセージＭ１を判断することができる。

（５）ＣＡＮプロトコルではメッセージＩＤの大きさによって通信メッセージの優先度が定まる。このことから、通信用バス１５に不正な通信メッセージＭ１ｂ，Ｍ２が流されたとき、その不正な通信メッセージの影響は、その不正な通信メッセージよりも優先度の高い、つまりメッセージＩＤの小さい通信メッセージには小さい傾向にある。一方、不正な通信メッセージの影響は、その不正な通信メッセージよりも優先度の低い、つまりメッセージＩＤの大きい通信メッセージには大きい傾向にある。そこで、監視した通信メッセージＭ１のメッセージＩＤに基づいて、そのメッセージＩＤよりも小さなメッセージＩＤを有している通信メッセージには異常が生じていないことを判断することもできる。

（その他の実施形態）
なお上記実施形態は、以下の態様で実施することもできる。
・上記実施形態では、１つの通信メッセージＭ１を監視する場合について例示した。しかしこれに限らず、複数の通信メッセージを監視してもよい。また、複数の通信メッセージは、同時期に監視していても、時期をずらして監視してもよい。複数の通信メッセージの監視により、攻撃対象となっている通信メッセージ（メッセージＩＤ）の範囲を特定することも可能になる。上述のように、ＣＡＮプロトコルではメッセージＩＤの大きさによって通信メッセージの優先度が定まる。このことから、不正な通信メッセージの影響は、その不正な通信メッセージよりもメッセージＩＤが小さく優先度の高い通信メッセージには小さくてすむ、一方、その不正な通信メッセージよりもメッセージＩＤが大きく優先度の低い通信メッセージには大きくなる傾向にある。つまり、通信状態に大きな影響を受けているメッセージＩＤと、通信状態に受けている影響の小さいメッセージＩＤとから不正な通信メッセージに利用されているメッセージＩＤを特定したり、メッセージＩＤの範囲を絞り込んだりすることができる。

図８に示すように、３種類のメッセージＩＤ、「０１０」と「１００」と「２００」とを有する通信メッセージをそれぞれ監視するものとする。
このとき、監視による判断結果の一例を例１に示す。例１に示すように、通信状態の異常が、メッセージＩＤ「０１０」の通信メッセージに「なし」と判断され、メッセージＩＤ「１００」と「２００」の通信メッセージは「あり」と判断されたとする。すると、通信メッセージの通信状態に異常が生じていると判断する元とはならなかった通信メッセージの優先度のうちの最も低い優先度のメッセージＩＤは、「０１０」となる。一方、通信メッセージの通信状態に異常が生じていると判断する元になった通信メッセージの優先度のうちの最も高い優先度のメッセージＩＤは「１００」となる。このことから、メッセージＩＤ「０１０」とメッセージＩＤ「１００」との間に含まれる優先度を有する通信メッセージ、つまりメッセージＩＤが「０１１」〜「０ＦＦ」の範囲にある通信メッセージの通信状態に異常が生じていると判断（推定）することができる。

また、監視による判断結果の他の例を例２に示す。例２に示すように、通信状態の異常が、メッセージＩＤ「０１０」と「１００」の通信メッセージは「なし」と判断され、メッセージＩＤ「２００」の通信メッセージは「あり」と判断されたとする。すると、通信メッセージの通信状態に異常が生じていると判断する元とはならなかった通信メッセージの優先度のうちの最も低い優先度のメッセージＩＤは、「１００」となる。一方、通信メッセージの通信状態に異常が生じていると判断する元になった通信メッセージの優先度のうちの最も高い優先度のメッセージＩＤは「２００」となる。すなわち、メッセージＩＤ「１００」とメッセージＩＤ「２００」との間に含まれる優先度を有する通信メッセージ、つまりメッセージＩＤが「１０１」〜「１ＦＦ」の範囲にある通信メッセージの通信状態に異常が生じていると判断（推定）することができる。

こうした判断（推定）を繰り返すことで、通信異常が生じている通信メッセージの範囲を絞り込むことができるとともに、通信メッセージ（メッセージＩＤ）そのものを特定することができる可能性もある。

このように、監視する通信メッセージの優先度、すなわちメッセージＩＤの大きさに基づいて異常を生じているメッセージＩＤの範囲、すなわち通信メッセージの範囲を判断することができるようになる。

・上記実施形態では、通信用バス１５に第１〜第４のＥＣＵ１１〜１４やユーザツール１７が接続される場合について例示した。しかしこれに限らず、ネットワークに接続される装置は、ＥＣＵ以外でもよく、例えばゲートウェイやその他各種装置であってもよい。これにより、各種装置の接続されるネットワークについてもこのネットワーク監視装置を適用することができるようになる。

・上記実施形態では、第１のＥＣＵ１１から通信メッセージＭ１が送信される場合について例示した。しかしこれに限らず、監視する通信メッセージは、どのＥＣＵから送信されてもよい。つまり監視部は、受信可能な通信メッセージから選択された監視する通信メッセージに基づいて通信メッセージの通信異常の有無を判断してもよい。これにより、このネットワーク監視装置の適用範囲の拡大が図られるようになる。

・上記実施形態では、不正な通信メッセージＭ１ｂ，Ｍ２がユーザツール１７から送信される場合について例示した。しかしこれに限らず、不正な通信メッセージは、通信用バスに通信可能に接続されている装置、例えばＥＣＵや、ＤＬＣに接続された外部装置などから送信されてもよい。これにより、ネットワーク監視装置の適用範囲の拡大が図られるようになる。

・上記実施形態では、第２のＥＣＵ１２に監視部２２が設けられている場合について例示した。しかしこれに限らず、監視部は、第１，第３，第４のＥＣＵの全て、又は一部に設けられてもよい。また、ＥＣＵ以外の装置であっても通信用バスに接続される装置、例えばゲートウェイや通信装置などに設けられてもよい。これにより、ネットワーク監視装置の適用範囲の拡大が図られるようになる。

・上記実施形態では、監視部２２は車両制御を行う第２のＥＣＵ１２に設けられている場合について例示した。しかしこれに限らず、監視部は、監視専用のＥＣＵなどに設けられてもよい。この場合、判断結果を他のＥＣＵに伝達することよい。これにより、ネットワーク監視装置の適用範囲の拡大が図られるようになる。

・上記実施形態では、監視部２２は情報処理部２０に配置されている場合について例示した。しかしこれに限らず、監視部はＣＡＮコントローラなど、ＥＣＵの他の部分に配置されていてもよい。これにより、ネットワーク監視装置の設計自由度を高めることができるようになる。

・上記実施形態では、監視する通信メッセージＭ１を受信する都度、監視部２２によって通信状態の異常の有無が判断される場合について例示した。しかしこれに限らず、通信状態の異常の有無の判断を、所定の時間ごとや、所定の間隔ごと、又は監視する通信メッセージの所定回の受信に基づいて行ってもよい。これにより、監視部の監視処理にかかる負荷が軽減されるようになる。

・上記実施形態では、監視部２２は、都度の受信間隔に基づいて監視結果を出力する場合について例示した。しかしこれに限らず、監視部は、複数の受信間隔から得た複数の判断結果に基づいて最終的な判断結果を出力するようにしてもよい。これにより、一時的に生じた受信間隔の異常などが判断から除外され、通信状態に生じた異常の判断を適切に行うことができるようになる。

・上記実施形態では、第２のＥＣＵ１２は監視部２２の結果を自身で用いる場合について例示した。しかしこれに限らず、第２のＥＣＵ１２は、監視結果を他のＥＣＵと共有するようにしてもよい。これにより、通信用バスのセキュリティーが高められるようになる。

・上記実施形態では、通信プロトコルがＣＡＮプロトコルである場合について例示した。しかしこれに限らず、通信プロトコルは、マルチマスタ方式であればＣＡＮプロトコル以外の公知のプロトコルでもよい。これにより、ネットワーク監視装置の適用範囲の拡大が図られるようになる。

・上記実施形態では、監視する通信メッセージＭ１の送信間隔Ｔ１が定周期（周期的）である場合について例示した。しかしこれに限らず、監視する通信メッセージの送信間隔は、送信するＥＣＵと監視するＥＣＵとの間で同じ数値が利用できるのであれば、定周期であることに限らず、複数の値が周期的に繰り返されてもよいし、周期性のない変化する値あってもよい。これにより、ネットワーク監視装置の設計自由度の拡大が図られるようになる。

・上記実施形態では、車両１０は自動車である場合について例示した。しかしこれに限らず、通信システムは自動車以外の移動体、例えば船舶、鉄道、産業機械やロボットなどに設けられていてもよい。これにより、ネットワーク監視装置の適用範囲の拡大が図られるようになる。

１０…車両、１１〜１４…第１〜第４のＥＣＵ（電子制御装置）、１５…通信用バス、１６…ＤＬＣ（データリンクコネクタ）、１７…ユーザツール、２０…情報処理部、２１…ＣＡＮコントローラ、２２…監視部、２４…記憶領域、２５…通信規定、２６…ＣＡＮフレーム監視機能、２７…判断機能、２８…送受信制御機能、Ｍ１，Ｍ２，Ｍｘ，Ｍ１ｂ…通信メッセージ、Ｔ１…送信間隔、Ｔ１ｂ…間隔、Ｔ１ｄ…遅延時間、Ｔ１Ｐ…適正な受信間隔、Ｔ１Ｌ，Ｔ１Ｓ…受信間隔。

Claims (4)

1. ＣＡＮ（コントローラエリアネットワーク）からなるネットワークへのＣＡＮプロトコルに規定されるメッセージＩＤを有する通信メッセージの送信を自身の判断によって行うことができる通信装置が接続されるネットワークの通信状態を監視するネットワーク監視装置であって、
   前記ネットワークに流れている通信メッセージのメッセージＩＤに基づいて選択した通信メッセージを監視してその通信メッセージの受信間隔が該通信メッセージの送信間隔を含む範囲として規定される適正な受信間隔よりも短いとき、前記監視する通信メッセージの通信状態に異常が生じていると判断するとともに、前記監視する通信メッセージの受信間隔が前記適正な受信間隔よりも長いとき、前記監視する通信メッセージ以外の他の通信メッセージの通信状態に異常が生じていると判断する判断部を備え、
   前記判断部は、前記監視する通信メッセージとしてメッセージＩＤの異なる複数の通信メッセージを監視し、他の通信メッセージの通信状態に異常が生じていると判断する元になった通信メッセージの優先度のうちの最も高い優先度と、他の通信メッセージの通信状態に異常が生じていると判断する元とはならなかった通信メッセージの優先度のうちの最も低い優先度との間に含まれる優先度を有する通信メッセージの通信状態に異常が生じていると判断する
   ことを特徴とするネットワーク監視装置。
2. 前記判断部は、前記送信間隔が周期的な間隔である通信メッセージを前記監視する通信メッセージとする
   請求項１に記載のネットワーク監視装置。
3. 前記判断部は、監視する通信メッセージの通信状態に異常が生じていると判断されないとき、当該監視する通信メッセージよりも高い優先度を有する通信メッセージの通信状態には異常が生じていないと判断する
   請求項１又は２に記載のネットワーク監視装置。
4. ＣＡＮ（コントローラエリアネットワーク）からなるネットワークへのＣＡＮプロトコルに規定されるメッセージＩＤを有する通信メッセージの送信を自身の判断によって行う
   ことができる通信装置が接続されるネットワークの通信状態を同ネットワークに接続された監視装置を通じて監視するネットワーク監視方法であって、
   前記ネットワークに流れている通信メッセージのメッセージＩＤに基づいて選択した通信メッセージを監視してその通信メッセージの受信間隔が該通信メッセージの送信間隔を含む範囲として規定される適正な受信間隔よりも短いときには前記監視する通信メッセージの通信状態に異常が生じていると判断し、前記監視する通信メッセージの受信間隔が前記適正な受信間隔よりも長いときには前記監視する通信メッセージ以外の他の通信メッセージの通信状態に異常が生じていると判断するとともに、前記監視する通信メッセージとしてメッセージＩＤの異なる複数の通信メッセージを監視し、他の通信メッセージの通信状態に異常が生じていると判断する元になった通信メッセージの優先度のうちの最も高い優先度と、他の通信メッセージの通信状態に異常が生じていると判断する元とはならなかった通信メッセージの優先度のうちの最も低い優先度との間に含まれる優先度を有する通信メッセージの通信状態に異常が生じていると判断する
   ことを特徴とするネットワーク監視方法。

Images