JP6223498B2

JP6223498B2 - ネットワークシステム

Info

Publication number: JP6223498B2
Application number: JP2016084963A
Authority: JP
Inventors: 大久保　陽一; 陽一大久保; 昭暢杉山; 喜嗣北田; 恒毅中村; 吉川　篤志; 篤志吉川; 政隆四郎園
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2016-04-21
Filing date: 2016-04-21
Publication date: 2017-11-01
Anticipated expiration: 2036-04-21
Also published as: JP2017195524A

Description

本発明は、共通の通信路に複数のネットワーク装置が接続されて構成されるネットワークシステムに関するものである。

共通の通信路に複数のネットワーク装置が接続されて構成されるネットワークシステムが一般に知られている。例えば、車両の分野においては、ネットワーク装置としての制御ユニット（ＥＣＵ：Electronic Control unit）が、共通の通信路（バス）に接続されて成る車載ネットワークシステムが普及している。車載ネットワークシステムにおける制御ユニット間の相互通信の方式としては、ＣＡＮ（Control Area Network）（登録商標）、ＣＡＮ−ＦＤ（CAN with Flexible Data-Rate）（登録商標）、FlexRay（登録商標）、Ether Net（登録商標）等の通信プロトコルが知られている。

近年、ＡＤＡＳ（Advanced Driving Assistant System：先進運転支援システム）を搭載した車両の開発に伴って、車載ネットワークシステムにおける通信の信頼性確保が重要になっている。ところが、車載ネットワークシステムに一般的に用いられているＣＡＮ通信プロトコルは、メッセージに送信元および送信先のネットワーク機器を特定できる情報が含まれていないため、いわゆる“なりすまし”による不正なメッセージの送信が容易であるという問題がある。この問題の対策としては、ＭＡＣ（Message Authentication Code：メッセージ認証コード）を用いた通信を行うことで、不正なメッセージを排除する技術がある。

一方、車両の電装化が進むにつれ、一台の車両に搭載されるＥＣＵの数や、ＥＣＵが扱うデータ量は増えており、ＣＡＮバスのトラフィック量は増加している。ＭＡＣを用いた通信を行う場合、ＭＡＣはＣＡＮメッセージのデータフィールドに付加されるため、メッセージに含めることができるデータフィールドの長さが短くなるため、トラフィック量のさらなる増加を招いてしまう。そのため、通信の信頼性を確保しつつ、車載ネットワークシステムの負荷低減を図ることが重要な課題となっている。

例えば、下記の特許文献１に開示された車載ネットワークシステムでは、ＥＣＵが、他の送信装置から送信されたメッセージの通信規則が、当該メッセージの自己の通信規則と一致した場合に、なりすましの存在を通知するメッセージをブロードキャスト送信し、その後はＭＡＣによる通信が行われる。つまり、特許文献１では、通常はＭＡＣを用いない通信を行うことで通信負荷の増大を抑え、なりすましが検出された後はＭＡＣを用いたセキュリティの高い通信が行われる。

また、下記の特許文献２の車載ネットワークシステムでは、送信機器が、自己のＩＤと同じ送信元ＩＤを含むメッセージを受信すると、なりすましが存在すると判断する。その場合、送信機器と受信機器の双方が、自己のＩＤを新規のＩＤに変更することで、通信のセキュリティが確保される。

国際公開第２０１５／１８２１０３号特開２０１４−１１６２１号公報

特許文献１の技術では、なりすましが検出された後に、ＭＡＣを用いた通信を行うため、メッセージに格納可能なデータ長が短くなってしまう。ＭＡＣを用いる前と同じ通信速度を維持しようとすると、メッセージの送信周期を短くする必要があり、結果としてネットワークの通信負荷が増大してしまう。また、メッセージの送信側と受信側の両方に、ＭＡＣによる暗号化および復号化を行うセキュリティモジュールを実装する必要があるため、コストの上昇を伴うという問題もある。

特許文献２の技術では、ＭＡＣを使用していないが、なりすましが検出された後に新規のＩＤのメッセージを追加する必要があり、それによって通信路を流れるメッセージの量が増え、通信速度が低下することが懸念される。

本発明は以上のような課題を解決するためになされたものであり、複数のネットワーク装置が接続したネットワークシステムにおいて、通信の信頼性を確保と負荷の低減の両立を図ることを目的とする。

本発明の第１の態様に係るネットワークシステムは、共通の通信路に複数のネットワーク装置が接続して構成されたネットワークシステムであって、前記複数のネットワーク装置は、共通のＩＤを持つ１つの送信側ネットワーク装置と１つ以上の受信側ネットワーク装置との間でメッセージの送受信を行い、第１のＩＤを使用中の送信側ネットワーク装置は、前記第１のＩＤを含むメッセージを受信すると、前記第１のＩＤを用いるなりすましネットワーク装置が存在すると判断し、前記なりすましネットワーク装置が存在すると判断した前記送信側ネットワーク装置が、前記なりすましネットワーク装置の存在を通知するメッセージである、なりすまし発生通知を前記通信路に送信すると、それまで前記第１のＩＤを用いてメッセージの送受信を行っていたネットワーク装置が、前記第１のＩＤを用いたメッセージの送受信を停止して、前記第１のＩＤとは異なり他のネットワーク装置が使用中の第２のＩＤを選択し、それまで前記第２のＩＤを用いたメッセージの送受信を行っていたネットワーク装置が、前記第２のＩＤを用いたメッセージの送受信を停止し、その後は、前記それまで前記第１のＩＤを用いてメッセージの送受信を行っていたネットワーク装置が、前記第２のＩＤを用いてメッセージの送受信を行う。

本発明の第２の態様に係るネットワークシステムは、共通の通信路に複数のネットワーク装置が接続して構成されたネットワークシステムであって、前記複数のネットワーク装置は、共通のＩＤを持つ１つの送信側ネットワーク装置と１つ以上の受信側ネットワーク装置との間でメッセージの送受信を行い、第１のＩＤを使用中の送信側ネットワーク装置は、前記第１のＩＤを含むメッセージを受信すると、前記第１のＩＤを用いるなりすましネットワーク装置が存在すると判断し、前記なりすましネットワーク装置が存在すると判断した前記送信側ネットワーク装置が、前記なりすましネットワーク装置の存在を通知するメッセージである、なりすまし発生通知を前記通信路に送信すると、それまで前記第１のＩＤを用いてメッセージの送受信を行っていたネットワーク装置が、前記第１のＩＤを用いたメッセージの送受信を停止して、前記第１のＩＤとは異なり他のネットワーク装置が使用中の第２のＩＤを選択し、その後は、前記それまで前記第１のＩＤを用いてメッセージの送受信を行っていたネットワーク装置と、それまで前記第２のＩＤを用いたメッセージの送受信を行っていたネットワーク装置とが、前記第２のＩＤを用いてメッセージの送受信を交互に行う。

本発明の第３の態様に係るネットワークシステムは、共通の通信路に複数のネットワーク装置が接続して構成されたネットワークシステムであって、前記複数のネットワーク装置は、共通のＩＤを持つ１つの送信側ネットワーク装置と１つ以上の受信側ネットワーク装置との間でメッセージの送受信を行い、第１のＩＤを使用中の送信側ネットワーク装置は、前記第１のＩＤを含むメッセージを受信すると、前記第１のＩＤを用いるなりすましネットワーク装置が存在すると判断し、前記なりすましネットワーク装置が存在すると判断した前記送信側ネットワーク装置が、前記なりすましネットワーク装置の存在を通知するメッセージである、なりすまし発生通知を前記通信路に送信すると、それまで前記第１のＩＤを用いてメッセージの送受信を行っていたネットワーク装置が、前記第１のＩＤを用いたメッセージの送受信を停止して、前記第１のＩＤとは異なり他のネットワーク装置が使用中の第２のＩＤを選択し、その後は、前記それまで前記第１のＩＤを用いてメッセージの送受信を行っていたネットワーク装置と、それまで前記第２のＩＤを用いたメッセージの送受信を行っていたネットワーク装置とが、互いに異なるデータ領域に通信内容を記述したメッセージの送受信を前記第２のＩＤを用いて行う。

本発明に係るネットワークシステムによれば、なりすましが原因の通信障害を防止して、通信の信頼性の低下を防止することができる。また、ＭＡＣを用いず、また、新たなＩＤを追加することもないため、ネットワークシステムにおける通信負荷の増大も抑えられる。

ＣＡＮ通信で使用されるメッセージのデータフレーム構造を示す図である。本発明の実施の形態に係るネットワークシステムの構成例を示す図である。ネットワークシステムになりすましネットワーク装置が接続された例を示す図である。本発明の実施の形態に係るネットワーク装置の主要部の構成を示すブロック図である。ネットワーク装置のハードウェア構成の例を示すブロック図である。ネットワーク装置のハードウェア構成の例を示すブロック図である。実施の形態１に係るネットワークシステムの動作を示すフローチャートである。実施の形態３で用いられるメッセージのデータフレーム構造を示す図である。

＜実施の形態１＞
以下の実施の形態では、ネットワークシステムの通信プロトコルとして、ＣＡＮ通信プロトコルが用いられる例を示す。ただし、本発明は、例えば、ＣＡＮ−ＦＤ、FlexRay、Ether Netなど、メッセージに送信元および送信先の識別情報が含まれない通信プロトコルに広く適用可能である。

図１は、ＣＡＮ通信で使用される標準的な形式のメッセージのデータ構造を示す図である。メッセージに含まれるデジタル信号のまとまりのことを「フレーム」と言う。ＣＡＮ通信のメッセージの構成を概略的に示すと、図１のように、メッセージのデータフレームには、ＳＯＦ（Start Of Frame）、ＩＤ（識別子）、ＲＴＲ（Remote Transmission Request）、コントロールフィールド、データフィールド、ＣＲＣ（Cyclic Redundancy Check）、ＣＲＣデリミタ、Ａｃｋ（Acknowledge）、Ａｃｋデリミタ、ＥＯＦ（End Of Frame）の各フィールドが含まれている。図１における括弧書きの数字は、各フィールドのビット長を示している。

ＳＯＦは、メッセージのデータフレームの開始位置を示し、フレームの同期をとる用途にも使用される。ＩＤは、データの内容および送信側のネットワーク装置を識別のために使用される。ＩＤとＲＴＲは、通信調停の優先順位を決定するために使用される。

コントロールフィールドは、予約ビットとＤＬＣ（Data Length Code）で構成される。予約ビットは常にドミナント（０）に設定される。ＤＬＣは、データフィールドで送信されるデータ長を示す値に設定される。データフィールドは、送信されるデータの部分であり、最長６４ビットのデータを格納できる。

ＣＲＣおよびＣＲＣデリミタは、先に送信されたＳＯＦ、ＩＤ、コントロールフィールド、データフィールドの値の検証に使用される。ＡＣＫおよびＡＣＫデリミタは、受信側のネットワーク装置がメッセージを正しく受信できたときに確認応答を行うために使用される。ＥＯＦは、データフレームの終端を示すために使用される。

なお、本発明は、主にメッセージのＩＤとデータフィールドに関するものであるため、以下ではそれ以外のフィールドについての説明は省略している。

図２は、本発明の実施の形態に係るネットワークシステムの構成例を示す図である。当該ネットワークシステム１０１は、共通の通信路であるバス１０２と、そのバス１０２に接続した複数のネットワーク装置１１１〜１１６とによって構成されている。本実施の形態では、ネットワークシステム１０１は車載ネットワークシステムであり、ネットワーク装置１１１〜１１６はそれぞれ車両のＥＣＵであると仮定する。

ネットワーク装置１１１〜１１６は、メッセージの送信側にも受信側にもなり得るが、説明の便宜のため、ネットワーク装置１１１，１１２を送信側、ネットワーク装置１１３〜１１６を送信側として説明する。

送信側ネットワーク装置１１１，１１２には、それぞれ異なるＩＤが割り当てられている。ここでは、送信側ネットワーク装置１１１に、ＩＤ「１１１」が割り当てられ、送信側ネットワーク装置１１２に、ＩＤ「１１２」が割り当てられているものとする。この場合、送信側ネットワーク装置１１１が送信するメッセージのＩＤの値は「１１１」となり、送信側ネットワーク装置１１２が送信するメッセージのＩＤの値は「１１２」となる。

受信側ネットワーク装置１１３〜１１６には、それぞれが受信するメッセージのＩＤが割り当てられている。ここでは、受信側ネットワーク装置１１３，１１４にＩＤ「１１１」が割り当てられ、受信側ネットワーク装置１１５，１１６にＩＤ「１１２」が割り当てられているものとする。この場合、受信側ネットワーク装置１１３，１１４は、ＩＤの値が「１１１」のメッセージを受信し、受信側ネットワーク装置１１５，１１６は、ＩＤの値が「１１２」のメッセージを受信する。つまり、受信側ネットワーク装置１１３，１１４は、送信側ネットワーク装置１１１が送信したメッセージを受信し、受信側ネットワーク装置１１５，１１６は、送信側ネットワーク装置１１２が送信したメッセージを受信する。

ここで、図３のように、なりすましを行うネットワーク装置１１７（以下「なりすましネットワーク装置」と称す）が、バス１０２に接続された状態を想定する。ここで言う“なりすまし”は、正規のネットワーク装置のいずれかがメッセージの送信に用いているＩＤと同じＩＤを使用して、偽のデータフィールドを含むメッセージ（以下「偽装メッセージ」という）を送信することを指す。

例えば、図３において、なりすましネットワーク装置１１７が、ＩＤの値が「１１１」で、データフィールドのフォーマットが正規のメッセージのフォーマットに適合した偽装メッセージを送信した場合、受信側ネットワーク装置１１３，１１４は、その偽装メッセージを、ネットワーク装置１１１から送信された正規のメッセージと誤認して、偽装メッセージに含まれる偽のデータに基づいた処理を実行するおそれがある。例えば、それらの受信側ネットワーク装置１１３，１１４が、車両のＥＰＳ（電動パワーステアリング）やブレーキを制御するＥＣＵであった場合、ドライバーの意図と異なるハンドル操作やブレーキ操作が行われて事故を引き起こす可能性がある。

ＣＡＮプロトコルのように、メッセージが送信側および受信側のネットワーク装置を一意に特定できる情報を含まない通信プロトコルを用いたネットワークシステムでは、受信側ネットワーク装置は、受信したメッセージが、正規のネットワーク装置が送信したメッセージ（以下「正規メッセージ」という）か、なりすましネットワーク装置が送信した偽装メッセージかを、当該メッセージの内容だけで判断することはできない。しかし、送信側ネットワーク装置は、自己がメッセージの送信に使用しているＩＤと同じＩＤを含むメッセージを受信したときは、そのメッセージが偽装メッセージであると判断することができる。

そこで、本実施の形態のネットワークシステム１０１では、送信側ネットワーク装置１１１，１１２に、偽装メッセージの検出を行わせ、それにより、なりすましネットワーク装置の存在を検知する。送信側ネットワーク装置１１１，１１２は、なりすましネットワーク装置の存在を検知すると、なりすましネットワーク装置の存在を通知するメッセージである「なりすまし発生通知」を他のネットワーク装置へ送信する。

例えば、なりすましネットワーク装置１１７がＩＤの値が「１１１」の偽装メッセージを送信した場合、メッセージの送信にＩＤ「１１１」を使用中の送信側ネットワーク装置１１１によってその偽装メッセージが検出され、送信側ネットワーク装置１１１から、なりすまし発生通知のメッセージが送信される。受信側ネットワーク装置１１３，１１４は、送信側ネットワーク装置１１１から送信されたなりすまし発生通知のメッセージを受信することで、ＩＤ「１１１」を使用するなりすましネットワーク装置１１７の存在を認識することができる。しかし、その場合でも、受信側ネットワーク装置１１３，１１４では、受信したメッセージが偽装メッセージか正規のメッセージかの判断はできない。

そこで、本実施の形態のネットワークシステム１０１では、偽装メッセージが検出された後は、検出された偽装メッセージと同じＩＤ（上の例では「１１１」）を使用したメッセージの送受信を禁止して、受信側ネットワーク装置１１３〜１１６が偽装メッセージを受信しないようにする。さらに、それまで偽装メッセージと同じＩＤを使用していたネットワーク装置が正規のメッセージの送受信を継続できるように、それらのネットワーク装置には、偽装メッセージのＩＤとは異なる代替ＩＤを割り当てる。

ここで、代替ＩＤは、他の正規のネットワーク装置がメッセージの送受信に使用中のものとする。その場合、２つの送信側ネットワーク装置に、同じＩＤが割り当てられることになり、通信の負荷が増大するおそれがある。そのため、代替ＩＤと同じＩＤをそれまで使用していたネットワーク装置には、メッセージの送受信を停止してもらう。

以下、偽装メッセージのＩＤを「なりすましの対象となったＩＤ」と称し、偽装メッセージのＩＤと同じＩＤを使用していたネットワーク装置を「なりすましの対象となったネットワーク装置」と称す。

図４は、本実施の形態に係るネットワーク装置の主要部の構成を示すブロック図であり、ネットワーク装置におけるメッセージの送受信動作に係る部分を示している。図２および図３に示したネットワーク装置１１１〜１１６は、いずれも図４の構成を含んでいる。

図４のように、本実施の形態に係るネットワーク装置は、受信部１、抽出部２、データ演算部３、なりすまし検出演算部４、送信ＩＤデータベース５、代替ＩＤデータベース６、代替ＩＤ選択部７、メッセージ作成部８および送信部９を備えている。

受信部１は、バス１０２に流れるメッセージを受信する。抽出部２は、受信したメッセージを各フィールドに分離して、各種の演算部に転送する。ここでは、演算部として、受信したメッセージのデータデータフィールドに含まれたデータに対する演算処理を行うデータ演算部３と、受信したメッセージのＩＤに基づいて偽装メッセージを検出することで、なりすましネットワーク装置の存在を検知するなりすまし検出演算部４とを示している。

送信ＩＤデータベース５には、当該ネットワーク装置がメッセージの送信に用いる全てのＩＤの値が登録されている。なりすまし検出演算部４は、受信したメッセージから抽出部２が抽出したＩＤの値が、送信ＩＤデータベース５に登録されるＩＤの値と符合した場合に、そのメッセージが偽装メッセージであると判断し、なりすましネットワーク装置の存在を検知する。

代替ＩＤデータベース６は、送信ＩＤデータベース５に登録されているＩＤとは異なるＩＤで、且つ、他のネットワーク装置が使用中のＩＤが、代替ＩＤの候補として１つ以上登録されている。代替ＩＤデータベース６に登録される各代替ＩＤは、それぞれ代替ＩＤデータベース６に登録されている各ＩＤと紐付けされている。この紐づけのロジック（ルール）は、ネットワークシステム１０１を構成する全てのネットワーク装置１１１〜１１６で共通している。

代替ＩＤ選択部７は、当該ネットワーク装置がなりすましの対象となったときに、それまで使用していたＩＤの代わりとなる代替ＩＤを、代替ＩＤデータベース６に登録されている代替ＩＤの候補の中から選択する。この代替ＩＤ選択部７が代替ＩＤを選択するロジック（ルール）も、ネットワークシステム１０１を構成する全てのネットワーク装置１１１〜１１６で共通している。

先に述べたように、本実施の形態では、なりすましの対象となったネットワーク装置に、代替ＩＤが割り当てられると、２つの送信側ネットワーク装置に、同じＩＤが割り当てられることになるので、代替ＩＤと同じＩＤをそれまで使用していたネットワーク装置には、メッセージの送受信を停止してもらう。そのため、代替ＩＤ選択部７が選択する代替ＩＤは、例えば、ドライバーが現在使用していない機能を制御するためのメッセージなど、送受信を停止しても車両の動作上問題が生じないメッセージに用いられているＩＤに限定する必要がある。

代替ＩＤ選択部７が代替ＩＤを選択するロジックは、ケースに応じて様々なものが想定される。例えば、昼間の時間帯であれば、使用頻度の低い前照灯類をコントロールするメッセージのＩＤを代替ＩＤとして選択したり、降雨センサによって雨が降っていないと判断できれば、使用頻度の低いワイパーをコントロールするメッセージのＩＤを代替ＩＤとして選択したりすることが考えられる。あるいは、なりすましの対象となったＩＤが、機能安全に係る要件が課せられたメッセージのＩＤであった場合、当該メッセージの送信先となるＥＣＵの機能のＡＳＩＬ（Automotive safety Integrity Leve）を考慮して、安全侵害の可能性がより低いメッセージのＩＤを選択する方法も考えられる。

また、通信の安定性を確保するために、送信ＩＤデータベース５に記憶されている各ＩＤには、それよりも優先度の高い代替ＩＤが紐付けされるようにしてもよい。また、代替ＩＤ選択部７が代替ＩＤを選択する際、代替ＩＤデータベース６に記憶されている代替ＩＤの候補の中から最も優先度の高いＩＤを選択するようにしてもよい。

メッセージ作成部８は、代替ＩＤ選択部７が選択したＩＤ値、データ演算部３の出力値などを収集してＣＡＮのメッセージを作成する。送信部９は、メッセージ作成部８が作成したメッセージを、ＣＡＮプロトコルに適合したフォーマットに変換して、バス１０２へと送信する。

図５および図６は、それぞれネットワーク装置の主要部のハードウェア構成の一例を示す図である。図４に示したネットワーク装置の各要素（受信部１、抽出部２、データ演算部３、なりすまし検出演算部４、送信ＩＤデータベース５、代替ＩＤデータベース６、代替ＩＤ選択部７、メッセージ作成部８および送信部９）は、例えば図５に示す処理回路５０により実現される。すなわち、処理回路５０は、バス１０２に流れるメッセージを受信する受信部１と、受信したメッセージのデータデータフィールドに含まれたデータに対する演算処理を行うデータ演算部３と、受信したメッセージのＩＤに基づいてなりすましネットワーク装置の存在を検知するなりすまし検出演算部４と、当該ネットワーク装置がメッセージの送信に用いるＩＤの値が登録された送信ＩＤデータベース５と、代替ＩＤが登録された代替ＩＤデータベース６と、当該ネットワーク装置がなりすましの対象となったときにＩＤの代わりとなる代替ＩＤを選択する代替ＩＤ選択部７と、送信するメッセージを作成するメッセージ作成部８と、作成されたメッセージを送信する送信部９と、を備える。処理回路５０には、専用のハードウェアが適用されてもよいし、メモリに格納されるプログラムを実行するプロセッサ（Central Processing Unit、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、Digital Signal Processor）が適用されてもよい。

処理回路５０が専用のハードウェアである場合、処理回路５０は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡ、またはこれらを組み合わせたものなどが該当する。ネットワーク装置の主要部の各要素の機能のそれぞれは、複数の処理回路で実現されてもよいし、それらの機能がまとめて一つの処理回路で実現されてもよい。

図６は、処理回路５０がプロセッサを用いて構成されている場合におけるネットワーク装置の主要部のハードウェア構成を示している。この場合、ネットワーク装置の主要部の各要素の機能は、ソフトウェア等（ソフトウェア、ファームウェア、またはソフトウェアとファームウェア）との組み合わせにより実現される。ソフトウェア等はプログラムとして記述され、メモリ５２に格納される。処理回路５０としてのプロセッサ５１は、メモリ５２に記憶されたプログラムを読み出して実行することにより、各部の機能を実現する。すなわち、ネットワーク装置の主要部は、処理回路５０により実行されるときに、当該ネットワーク装置がメッセージの送信に用いるＩＤおよびその代わりとなる代替ＩＤを登録する処理と、バス１０２に流れるメッセージを受信する処理と、受信したメッセージのデータデータフィールドに含まれたデータに対する演算処理と、受信したメッセージのＩＤに基づいてなりすましネットワーク装置の存在を検知する処理と、当該ネットワーク装置がなりすましの対象となったときに代替ＩＤを選択して、当該ネットワーク装置が使用するＩＤを代替ＩＤに変更する処理と、送信するメッセージを作成する処理と、作成されたメッセージを送信する処理と、が、結果的に実行されることになるプログラムを格納するためのメモリ５２を備える。換言すれば、このプログラムは、ネットワーク装置の主要部の各要素の動作の手順や方法をコンピュータに実行させるものであるともいえる。なお、送信ＩＤデータベース５および代替ＩＤデータベース６の記憶領域は、メモリ５２の一部に確保される。

ここで、メモリ５２には、例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリー、ＥＰＲＯＭ（Erasable Programmable Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）などの、不揮発性または揮発性の半導体メモリ、ＨＤＤ（Hard Disk Drive）、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ（Digital Versatile Disc）およびそのドライブ装置等が該当する。

以上、ネットワーク装置の主要部の各要素の機能が、ハードウェアおよびソフトウェア等のいずれか一方で実現される構成について説明した。しかしこれに限ったものではなく、ネットワーク装置の主要部の一部の要素を専用のハードウェアで実現し、別の一部の要素をソフトウェア等で実現する構成であってもよい。例えば、一部の要素については専用のハードウェアとしての処理回路５０でその機能を実現し、他の一部の要素についてはプロセッサ５１としての処理回路５０がメモリ５２に格納されたプログラムを読み出して実行することによってその機能を実現することが可能である。

以上のように、ネットワーク装置の主要部は、ハードウェア、ソフトウェア等、またはこれらの組み合わせによって、上述の各機能を実現することができる。

図７は、実施の形態１に係るネットワークシステム１０１の動作を説明するためのフローチャートである。図７においては、複数のネットワーク装置で同じ処理が行われるステップには、その各ステップに共通の符号を付してある（具体的には、ステップＳ１０９、Ｓ１１０およびＳ１１４）。また、以下の説明において、各メッセージのＩＤの値を括弧書きで示している。

なりすましが発生する前、ネットワーク装置１１１〜１１６は、それぞれの送信ＩＤデータベース５に記憶されているＩＤを用いて、通常の情報通信を行う（ステップＳ１０１〜Ｓ１０４）。すなわち、送信側ネットワーク装置１１１がメッセージ（ＩＤ＝１１１）を送信し、受信側ネットワーク装置１１３，１１４がそのメッセージを受信する。また、送信側ネットワーク装置１１２がメッセージ（ＩＤ＝１１２）を送信し、受信側ネットワーク装置１１５，１１６がそのメッセージを受信する。

ここで、なりすましネットワーク装置１１７がバス１０２に接続され、あるいは、あらかじめバス１０２接続されていたなすましネットワーク装置１１７が活動を開始し、なりすましネットワーク装置１１７から偽装メッセージ（ＩＤ＝１１１）が送信されたと仮定する（ステップＳ１０５）。つまり、送信側ネットワーク装置１１１が、なりすましの対象となったネットワーク装置であり、ＩＤは「１１１」が、なりすましの対象となったＩＤである。

送信側ネットワーク装置１１１のなりすまし検出演算部４は、バス１０２を流れるメッセージの中に、自己が使用中のＩＤ「１１１」を含むメッセージがあることを検出すると、それを偽装メッセージと判断し、なりすましの発生を検知する（ステップＳ１０６）。なりすましの発生を検知した送信側ネットワーク装置１１１では、メッセージ作成部８がなりすまし発生通知のメッセージ（ＩＤ＝１１１）を作成し、それを送信部９が送信する（ステップＳ１０７）。送信側ネットワーク装置１１１から送信されたなりすまし発生通知のメッセージ（ＩＤ＝１１１）は、受信側ネットワーク装置１１３，１１４により受信される（ステップＳ１０８）。

その後、送信側ネットワーク装置１１１および受信側ネットワーク装置１１３，１１４のそれぞれにおいて、代替ＩＤ選択部７が、代替ＩＤデータベース６に記憶されている代替ＩＤのうちの１つを選択し（ステップＳ１０９）、メッセージの送受信に使用するＩＤを代替ＩＤに変更する（ステップＳ１１０）。

送信側ネットワーク装置１１１および受信側ネットワーク装置１１３，１１４において、送信ＩＤデータベース５に登録されているＩＤと代替ＩＤデータベース６に登録される代替ＩＤとの紐づけのロジック、および、代替ＩＤ選択部７が代替ＩＤを選択するロジックは、共通しているため、それぞれの代替ＩＤ選択部７により同じ代替ＩＤが選択される。従って、送信側ネットワーク装置１１１および受信側ネットワーク装置１１３，１１４が代替ＩＤを互いに通知し合うための通信を行うことなく、送信側ネットワーク装置１１１および受信側ネットワーク装置１１３，１１４の全てに、同じ代替ＩＤが設定される。それにより、送信側ネットワーク装置１１１および受信側ネットワーク装置１１３，１１４に設定された代替ＩＤの値が、なりすましネットワーク装置１１７へ漏洩することが防止される。ここでは、図７に示すように、送信側ネットワーク装置１１２および受信側ネットワーク装置１１５，１１６が使用中であったＩＤ「１１２」が、代替ＩＤとして、送信側ネットワーク装置１１１および受信側ネットワーク装置１１３，１１４に設定されたと仮定する。

送信側ネットワーク装置１１１および受信側ネットワーク装置１１３，１１４に、代替ＩＤ「１１２」が設定されると、送信側ネットワーク装置１１１は、今までＩＤ「１１２」を使用していた送信側ネットワーク装置１１２、受信側ネットワーク装置１１５，１１６に対し、ＩＤ「１１２」を用いたメッセージの送受信の停止を要求するメッセージである送受信停止リクエスト（ＩＤ＝１１２）を送信する（ステップＳ１１１）。

代替ＩＤ「１１２」が設定された送信側ネットワーク装置１１１および受信側ネットワーク装置１１３，１１４は、代替ＩＤ「１１２」を用いたメッセージを送受信することができる。しかし、２つの送信側ネットワーク装置１１１，１１２に同じＩＤが設定されているため、すぐにメッセージの送受信を開始するとネットワークシステムの通信負荷が増大する可能性がある。そのため、送信側ネットワーク装置１１１はＩＤ「１１２」を用いたメッセージの送信を行わずに待機する（ステップＳ１１２）。また、受信側ネットワーク装置１１３，１１４は、ＩＤ「１１２」を用いたメッセージの受信を行わずに待機する（ステップＳ１１３）。

送信側ネットワーク装置１１１から送信された送受信停止リクエスト（ＩＤ＝１１２）は、送信側ネットワーク装置１１２および受信側ネットワーク装置１１５，１１６に受信される（ステップＳ１１４）。送受信停止リクエスト（ＩＤ＝１１２）を受信した送信側ネットワーク装置１１２は、自己がＩＤ「１１２」を用いたメッセージの送信を停止する旨を連絡するメッセージである送信停止連絡（ＩＤ＝１１２）を送信してから（ステップＳ１１５）、メッセージの送信を停止する（ステップＳ１１６）。また、送受信停止リクエスト（ＩＤ＝１１２）を受信した受信側ネットワーク装置１１５，１１６は、メッセージの受信を停止する（ステップＳ１１７）。

送信側ネットワーク装置１１１は、送信側ネットワーク装置１１２から送信された送信停止連絡（ＩＤ＝１１２）を受信すると（ステップＳ１１８でＹＥＳ）、代替ＩＤ「１１２」を含むメッセージの受信を要求するメッセージである受信開始リクエスト（ＩＤ＝１１２）を送信する（ステップＳ１１９）。送信側ネットワーク装置１１１から送信された受信開始リクエスト（ＩＤ＝１１２）は、受信側ネットワーク装置１１３，１１４に受信される（ステップＳ１２０）。その後は、送信側ネットワーク装置１１１および受信側ネットワーク装置１１３，１１４によって、代替ＩＤ「１１２」を用いたメッセージの送受信が行われる。すなわち、送信側ネットワーク装置１１１がメッセージ（ＩＤ＝１１２）を送信し（ステップＳ１２１）、受信側ネットワーク装置１１３，１１４がそのメッセージを受信する（ステップＳ１２２）。このとき、送信側ネットワーク装置１１１および受信側ネットワーク装置１１３，１１４で送受信されるメッセージの内容は、なりすましが発生する前と同様のものである。

図７には示していないが、例えば、なりすましネットワーク装置１１７の存在が検出されてから一定時間が経過した後、それが検出されなくなれば、代替ＩＤを使用している送信側ネットワーク装置１１１および受信側ネットワーク装置１１３，１１４が、自己がメッセージの送受信に用いるＩＤを、なりすましネットワーク装置１１７が検出される前の状態、すなわちＩＤ「１１１」に戻すようにしてもよい。

このように、本実施の形態のネットワークシステム１０１によれば、なりすましの対象となったＩＤを使用していた送信側ネットワーク装置１１１および受信側ネットワーク装置１１３，１１４は、なりすましが発生した後も、代替ＩＤを用いてメッセージの送受信を継続して行うことができる。また、それまで代替ＩＤと同じＩＤを使用していた送信側ネットワーク装置１１２および受信側ネットワーク装置１１５，１１６に、メッセージの送受信を停止させることにより、通信負荷の増大も抑制される。

なお、なりすまし発生通知を送信した送信側ネットワーク装置１１１、または、その通知を受けた受信側ネットワーク装置１１３，１１４が、ユーザに対し、なりすまし装置の存在を示す警告を行うようにしてもよい。また、なりすまし発生通知を送信した送信側ネットワーク装置１１１、または、その通知を受けた受信側ネットワーク装置１１３，１１４が、なりすましネットワーク装置１１７の存在が検出されたことを示すログを記録するようにしてもよい。

＜実施の形態２＞
実施の形態１では、なりすましの対象となったネットワーク装置において代替ＩＤが設定された後は、それまで当該代替ＩＤと同じＩＤを使用していたネットワーク装置によるメッセージの送受信を停止させていた。

実施の形態２では、代替ＩＤが設定されたネットワーク装置と、それまで当該代替ＩＤと同じＩＤを使用していたネットワーク装置とが、同一のＩＤを用いて、メッセージの送受信を交互に行うようにする。代替ＩＤが設定されたネットワーク装置が送受信するメッセージのＩＤ以外のフィールドのフォーマットと、それまで当該代替ＩＤと同じＩＤを使用していたネットワーク装置が送受信するメッセージのＩＤ以外のフィールドのフォーマットとは、互いに異なるものとする。

なお、なりすましが発生して、なりすましの対象となったネットワーク装置に代替ＩＤが設定されるまでの動作（図７のステップＳ１０１〜Ｓ１１０）は、実施の形態１と同一であるため、ここでの説明は省略する。

ここで、図７の例と同様に、送信側ネットワーク装置１１１がなりすましの対象となり、送信側ネットワーク装置１１２が使用中のＩＤが「１１２」が代替ＩＤとして、送信側ネットワーク装置１１１に設定されたと仮定し、送信側ネットワーク装置１１１と送信側ネットワーク装置１１２とがメッセージの送信を交互に行う動作について、図４のブロック図を参照して説明する。

送信側ネットワーク装置１１１，１１２において、受信部１が、ＩＤ「１１２」を含むメッセージを受信すると、抽出部２が、当該メッセージのデータフィールドをデータ演算部３に転送する。データ演算部３は、当該データフィールドのフォーマットに基づいて、そのメッセージの送信元が送信側ネットワーク装置１１１か、送信側ネットワーク装置１１２かを判定することによって、自己のネットワーク装置が２度連続してメッセージを送信しないようにする。すなわち、受信したメッセージの送信元が自己のネットワーク装置であった場合は、次は自己のネットワーク装置が送信する番ではないと判断し、送信部９に蓄積されたメッセージを破棄して受信待ちの状態にする。また、受信したメッセージの送信元が自己のネットワーク装置でなければ、次は自己のネットワーク装置が送信する番と判断し、送信部９にメッセージを送信させる。

データ演算部３におけるメッセージの送信元の判断は、当該メッセージのデータフィールドのフォーマットが、自己のネットワーク装置で規定されたフォーマットと符合するかどうかで判断してもよいし、他方のネットワーク装置で規定されたフォーマットと符合するかどうかで判断してもよい。

送信側ネットワーク装置１１１と送信側ネットワーク装置１１２とがメッセージの送信を交互に行う他の方法としては、送信側ネットワーク装置１１１，１１２の両方が、送信周期を２倍にして、メッセージの動機をせずに各々が送信するという方法も考えられる。

次に、送信側ネットワーク装置１１１，１１２が交互に送信するＩＤが同一のメッセージを、受信側ネットワーク装置１１３〜１１６が適切に受信する動作について説明する。

一般に、ＣＡＮの受信側ネットワーク装置は、受信したメッセージのフォーマットに異常を検知すると、エラーメッセージ（「エラーフレーム」という）を送信して、その受信データは使用しない。また、受信側ネットワーク装置が、エラーフレームを一定期間内に一定回数送信すると、受信を停止するという制御仕様も一般的である。

そこで、実施の形態２では、受信したメッセージのフォーマットに異常が検知された場合でも、予め定められた回数以上連続して検知されない限りはエラーフレームを送信しない制御ロジックを採用する。これにより、送信側ネットワーク装置１１１，１１２が、ＩＤが同一でデータフレームのフォーマットが異なるメッセージを送信しても、その送信が交互に行われている限りは、エラーフレームは発生せず、受信側ネットワーク装置１１３〜１１６がそれらのメッセージを受信することができる。

なお、本実施の形態では、送信側ネットワーク装置１１１，１１２によるメッセージの送信周期が２倍になり、見かけ上、送信側ネットワーク装置１１１，１１２の動作速度が低下するため、その影響で通信の信頼性や車両の安全要件が侵害されない用途のメッセージのＩＤを、代替ＩＤとして選択する必要がある。また、例えば「警告と縮退」コンセプトに従い、送信側ネットワーク装置１１１，１１２の機能が低下していることをユーザ（主に車両の運転者）にＨＭＩ（Human Machine Interface）を経由して警告した上で、制御を継続する、または車両が安全な場所に停止するまでの一定期間内に限定して制御を継続する、といった方法をとってもよい。また、送信側ネットワーク装置１１１，１１２の動作速度の低下に合わせて、送信側ネットワーク装置１１１，１１２が自己の機能を制限した動作を行うようにしてもよい。

＜実施の形態３＞
実施の形態２では、代替ＩＤが設定されたネットワーク装置と、それまで当該代替ＩＤと同じＩＤを使用していたネットワーク装置とで、メッセージの送信タイミングを分けることによって、両者がメッセージの送信を継続して行えるようにした。

実施の形態３では、代替ＩＤが設定されたネットワーク装置と、それまで当該代替ＩＤと同じＩＤを使用していたネットワーク装置とが、メッセージのデータフィールドの使用領域（書き込み領域）を分けることによって、両者がメッセージの送信を継続して行う。例えば図８は、代替ＩＤ「１１２」が設定された送信側ネットワーク装置１１１と、それまでＩＤ「１１２」を使用していた送信側ネットワーク装置１１２とが、同じメッセージのデータフィールドを分けて使用する場合の、当該メッセージのデータフレーム構造の例である。

このような処理は、両者が送信するメッセージのデータフィールドのビット長の合計が、６４ビット以下である場合に可能となる。そのため、なりすましの対象となったネットワーク装置の代替ＩＤ選択部７が、他のネットワーク装置の送信周期および空きビットのビット長を基準に選択して代替ＩＤを選択するようにしてもよい。

なお、なりすましが発生して、なりすましの対象となったネットワーク装置に代替ＩＤが設定されるまでの動作（図７のステップＳ１０１〜Ｓ１１０）は、実施の形態１と同一である。

本実施の形態のように、“相乗り型”のメッセージを実現するためには、代替ＩＤが設定されたネットワーク装置およびそれまで当該代替ＩＤと同じＩＤを使用していたネットワーク装置の一方が送信したメッセージを他方が一旦受信して、当該メッセージのデータフィールドの自己の使用領域のデータを上書きする必要がある。その場合、図８のように、両ネットワーク装置のそれぞれにおいて、書き込み可能なビットが特定されている必要がある。

一方、代替ＩＤおよびそれと同じＩＤを使用する受信側ネットワーク装置は、各々独立してメッセージを受信してもよい。ただし、受信側ネットワーク装置においても、送信側ネットワーク装置それぞれの書き込み可能なビットが特定されている必要がある。

＜実施の形態４＞
実施の形態１〜３では、各ネットワーク装置の代替ＩＤデータベース６に登録される代替ＩＤは他のネットワーク装置で使用中のＩＤであったが、実施の形態４では、他のネットワーク装置が通常時（なりすましが発生していないとき）に使用しないＩＤが、代替ＩＤとして予め代替ＩＤデータベース６に登録されているものとする。つまり、実施の形態４では、複数のネットワーク装置のそれぞれの代替ＩＤデータベース６には、自己および他のネットワーク装置の通常時のＩＤと重複しない代替ＩＤが、あらかじめ登録されている。

例えば、図３のように、ネットワークシステム１０１のバス１０２になりすましネットワーク装置１１７が接続され、送信側ネットワーク装置１１１がなりすましネットワーク装置１１７の存在を検知したと仮定する。この場合、送信側ネットワーク装置１１１においては、送信部９が受信側ネットワーク装置１１３，１１４へなりすまし発生通知を送信し、代替ＩＤ選択部７が、送信側ネットワーク装置１１１が使用するＩＤを代替ＩＤに変更する。このときの代替ＩＤの値は、ネットワークシステム１０１の他のネットワーク装置で使用されていない、例えば「１２１」などが選択される。

また、なりすまし発生通知を受信した受信側ネットワーク装置１１３，１１４でも、代替ＩＤ選択部７が、受信側ネットワーク装置１１３，１１４が使用するＩＤを代替ＩＤに変更する。本実施の形態でも、送信側ネットワーク装置１１１と受信側ネットワーク装置１１３，１１４とでは、代替ＩＤ選択部７が代替ＩＤを選択するロジック（ルール）は同じであり、受信側ネットワーク装置１１３，１１４にも、送信側ネットワーク装置１１１と同じ値の代替ＩＤ（例えば「１２１」）が設定される。

送信側ネットワーク装置１１１および受信側ネットワーク装置１１３，１１４は、代替ＩＤを用いることにより、メッセージの送受信を継続して行うことができる。また、それらの代替ＩＤは、送信側ネットワーク装置１１２および受信側ネットワーク装置１１５，１１６が使用しているＩＤと重複しないため、送信側ネットワーク装置１１２および受信側ネットワーク装置１１５，１１６も、それまでどおりメッセージの送受信を継続して行うことができる。

なお、本発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。

１０１ネットワークシステム、１０２バス、１１１〜１１６ネットワーク装置、１１７なりすましネットワーク装置、１受信部、２抽出部、３データ演算部、４なりすまし検出演算部、５送信ＩＤデータベース、６代替ＩＤデータベース、７代替ＩＤ選択部、８メッセージ作成部、９送信部。

Claims

共通の通信路に複数のネットワーク装置が接続して構成されたネットワークシステムであって、
前記複数のネットワーク装置は、共通のＩＤを持つ１つの送信側ネットワーク装置と１つ以上の受信側ネットワーク装置との間でメッセージの送受信を行い、
第１のＩＤを使用中の送信側ネットワーク装置は、前記第１のＩＤを含むメッセージを受信すると、前記第１のＩＤを用いるなりすましネットワーク装置が存在すると判断し、
前記なりすましネットワーク装置が存在すると判断した前記送信側ネットワーク装置が、前記なりすましネットワーク装置の存在を通知するメッセージである、なりすまし発生通知を前記通信路に送信すると、
それまで前記第１のＩＤを用いてメッセージの送受信を行っていたネットワーク装置が、前記第１のＩＤを用いたメッセージの送受信を停止して、前記第１のＩＤとは異なり他のネットワーク装置が使用中の第２のＩＤを選択し、
それまで前記第２のＩＤを用いたメッセージの送受信を行っていたネットワーク装置が、前記第２のＩＤを用いたメッセージの送受信を停止し、
その後は、前記それまで前記第１のＩＤを用いてメッセージの送受信を行っていたネットワーク装置が、前記第２のＩＤを用いてメッセージの送受信を行う、
ことを特徴とするネットワークシステム。
共通の通信路に複数のネットワーク装置が接続して構成されたネットワークシステムであって、
前記複数のネットワーク装置は、共通のＩＤを持つ１つの送信側ネットワーク装置と１つ以上の受信側ネットワーク装置との間でメッセージの送受信を行い、
第１のＩＤを使用中の送信側ネットワーク装置は、前記第１のＩＤを含むメッセージを受信すると、前記第１のＩＤを用いるなりすましネットワーク装置が存在すると判断し、
前記なりすましネットワーク装置が存在すると判断した前記送信側ネットワーク装置が、前記なりすましネットワーク装置の存在を通知するメッセージである、なりすまし発生通知を前記通信路に送信すると、
それまで前記第１のＩＤを用いてメッセージの送受信を行っていたネットワーク装置が、前記第１のＩＤを用いたメッセージの送受信を停止して、前記第１のＩＤとは異なり他のネットワーク装置が使用中の第２のＩＤを選択し、
その後は、前記それまで前記第１のＩＤを用いてメッセージの送受信を行っていたネットワーク装置と、それまで前記第２のＩＤを用いたメッセージの送受信を行っていたネットワーク装置とが、前記第２のＩＤを用いてメッセージの送受信を交互に行う、
ことを特徴とするネットワークシステム。
共通の通信路に複数のネットワーク装置が接続して構成されたネットワークシステムであって、
前記複数のネットワーク装置は、共通のＩＤを持つ１つの送信側ネットワーク装置と１つ以上の受信側ネットワーク装置との間でメッセージの送受信を行い、
第１のＩＤを使用中の送信側ネットワーク装置は、前記第１のＩＤを含むメッセージを受信すると、前記第１のＩＤを用いるなりすましネットワーク装置が存在すると判断し、
前記なりすましネットワーク装置が存在すると判断した前記送信側ネットワーク装置が、前記なりすましネットワーク装置の存在を通知するメッセージである、なりすまし発生通知を前記通信路に送信すると、
それまで前記第１のＩＤを用いてメッセージの送受信を行っていたネットワーク装置が、前記第１のＩＤを用いたメッセージの送受信を停止して、前記第１のＩＤとは異なり他のネットワーク装置が使用中の第２のＩＤを選択し、
その後は、前記それまで前記第１のＩＤを用いてメッセージの送受信を行っていたネットワーク装置と、それまで前記第２のＩＤを用いたメッセージの送受信を行っていたネットワーク装置とが、互いに異なるデータ領域に通信内容を記述したメッセージの送受信を前記第２のＩＤを用いて行う、
ことを特徴とするネットワークシステム。
メッセージの送受信に用いる各ＩＤの優先度が規定されており、
前記第２のＩＤは、前記第１のＩＤよりも優先度が高いものである
請求項１から請求項３のいずれか一項に記載のネットワークシステム。
メッセージの送受信に用いる各ＩＤの優先度が規定されており、
前記複数のネットワーク装置の各々は、前記第２のＩＤの候補を１つ以上記憶しており、前記第２のＩＤの候補のうちから最も優先度の高いものを選択する
請求項１から請求項３のいずれか一項に記載のネットワークシステム。
前記なりすまし発生通知を送信した前記送信側ネットワーク装置、または、前記なりすまし発生通知を受信したネットワーク装置が、ユーザに対してなりすまし装置の存在を示す警告を行う
請求項１から請求項５のいずれか一項に記載のネットワークシステム。
前記なりすまし発生通知を送信した前記送信側ネットワーク装置、および、前記なりすまし発生通知を受信したネットワーク装置が、自己の機能を制限した動作を行う
請求項２または請求項３に記載のネットワークシステム。
前記なりすまし発生通知を送信した前記送信側ネットワーク装置、または、前記なりすまし発生通知を受信したネットワーク装置が、前記なりすましネットワーク装置が存在することを示すログを記録する
請求項１から請求項７のいずれか一項に記載のネットワークシステム。
前記なりすましネットワーク装置が検出されてから一定時間が経過した後、
前記なりすましネットワーク装置が検出されなくなれば、前記複数のネットワーク装置は、自己がメッセージの送受信に用いるＩＤを、前記なりすましネットワーク装置が検出される前の状態に戻す
請求項１から請求項８のいずれか一項に記載のネットワークシステム。