JP6384733B2 - 通信システム、及び制御装置 - Google Patents

Description

本発明は、通信システム、及び制御装置に関する。

近年、車両内に設けた複数の制御装置同士が車両内のネットワークを介して通信し、車両における各種制御対象を制御するための通信システムがある。このような通信システムにおいて、複数の経路を設けて構成する場合がある。また、ネットワークにおける不正行為がなされた際に、その影響を低減させるための技術が知られている（例えば、特許文献１参照。）。上記の技術として、自装置が送信すべき識別情報が附された通信メッセージを、自装置が受信した場合、その通信メッセージを異常なものと判断するものがある。

特開２０１４−１１６２１号公報

しかしながら、特許文献１によれば、自装置が受信すべき識別情報が附された通信メッセージの他に、自装置が送信すべき識別情報が附された通信メッセージ等も受信する。この技術では、その状態を検出するために通信メッセージの受信数が増大して、処理が煩雑になる。複数の経路からそれぞれメッセージを受信する通信システムでは、経路が増加することにより、尚のこと、ネットワークにおける不正な状態を検出するための処理が煩雑になるという問題がある。
本発明は、このような事情を考慮してなされたものであり、より簡便な構成により、ネットワークにおける不正な行為から制御装置を守ることができる通信システム、及び制御装置を提供することを目的の一つとする。

請求項１記載の発明は、車両内に設けられた第１伝送路と第２伝送路のそれぞれに、信号を送信する第１装置（ＥＣＵ１０−１）と、前記第２伝送路に送信された前記信号に基づいて車載機器の制御を行い、制御の結果を示す信号を前記第３伝送路に送信する制御装置（ＥＣＵ１０−３）と、前記第１伝送路から受信した前記信号に含まれる第１情報と前記第３伝送路から受信した前記信号に含まれる第２情報とを比較することで、前記第１装置のなりすましが存在する状態を含む前記車両における不正状態を検出する第２装置（ＥＣＵ１０−２）と、を備える通信システム（通信システム１）である。

請求項２記載の発明における前記第１装置は、所定の第３情報が含まれる信号を前記第２伝送路に送信するとともに、前記第３情報と異なる前記第１情報が含まれる信号を前記第１伝送路に送信し、前記制御装置は、前記第３情報を前記第２情報に変換し、前記第２装置は、前記第１情報と前記第２情報とが所定の程度を越えて異なる場合に、前記不正状態と判定する。

請求項３記載の発明における前記第１装置は、共通の情報が含まれる信号を、前記第１伝送路および前記第２伝送路に送信し、前記第２装置は、前記制御装置による変換によって前記第２情報が生成される基となった元情報を前記第２情報に基づいて予測して予測情報を生成し、前記第１情報と、前記予測情報とが、所定の程度を越えて異なる場合、もしくは、前記第１情報を前記変換と同じ変換をすることにより得られる情報と、前記第２情報とが、所定の程度を越えて異なる場合のうち少なくとも何れかの場合に、前記不正状態と判定する。

請求項４記載の発明は、車両内に設けられた第１伝送路と第２伝送路のそれぞれに、制御装置に向けた信号を送信する第１装置と、前記第１伝送路に送信された信号に基づいて車載機器の制御を行い、制御の結果を示す第１の信号を第３伝送路に送信する第１制御装置と、前記第２伝送路に送信された信号に基づいて車載機器の制御を行い、制御の結果を示す第２の信号を第４伝送路に送信する第２制御装置と、前記第３伝送路から受信した第１の信号に含まれる第１情報と前記第４伝送路から受信した第２の信号に含まれる第２情報とを比較することで、前記第１装置のなりすましが存在する状態を含む前記車両における不正状態を検出する第２装置と、を備える通信システムである。

請求項５記載の発明における前記第１装置は、共通の情報が含まれる信号を、前記第１伝送路および前記第２伝送路に送信し、前記第２装置は、前記第１情報を基にして、前記第１制御装置によって前記第１情報が生成される基とした第１の元情報の推定値が決定され、前記第１の元情報の推定値に基づいて前記第２制御装置が生成し得る第２予測情報を決定して、前記第２情報と、前記第２予測情報とが、所定の程度を越えて異なる場合、前記第２情報を基にして、前記第２制御装置によって前記第２情報が生成される基とした第２の元情報の推定値が決定され、前記第２の元情報の推定値に基づいて前記第１制御装置が生成し得る第１予測情報を決定して、前記第１情報と前記第１予測情報とが所定の程度を越えて異なる場合、もしくは、前記第１情報を基にして、前記第１制御装置によって前記第１情報が生成される基とした第１の元情報の推定値が決定され、前記第２情報を基にして、前記第２制御装置によって前記第２情報が生成される基とした第２の元情報の推定値が決定され、前記第１の元情報と前記第２の元情報とが所定の程度を越えて異なる場合、のうち少なくとも何れかの場合に、前記不正状態と判定する。

請求項６記載の発明における前記第１装置および前記第２装置は、前記第１装置が前記第１伝送路に送信する第３情報または前記第２伝送路に送信する第４情報のいずれか一方を定めたときに、他方の情報を所定の範囲で定める対応テーブルを有し、前記第２装置は、前記第１情報を基にして、前記第１制御装置によって前記第１情報が生成される基とした第１の元情報の推定値が決定され、前記第１の元情報の推定値に基づいて前記対応テーブルを参照して得られた変換値を、前記第２制御装置が変換することで取得され得る第２予測情報を決定して、前記第２情報と、前記第２予測情報とが、所定の程度を越えて異なる場合、前記第２情報を基にして、前記第２制御装置によって前記第２情報が生成される基とした第２の元情報の推定値が決定され、前記第２の元情報の推定値に基づいて前記対応テーブルを参照して得られた変換値を、前記第１制御装置が変換することで取得され得る第１予測情報を決定して、前記第１情報と前記第１予測情報とが所定の程度を越えて異なる場合、もしくは、前記第１情報を基にして、前記第１制御装置によって前記第１情報が生成される基とした第１の元情報の推定値が決定され、前記第２情報を基にして、前記第２制御装置によって前記第２情報が生成される基とした第２の元情報の推定値が決定され、前記第１の元情報と前記第２の元情報とが前記対応テーブルによる対応関係にない場合のうち少なくとも何れかの場合に、前記不正状態と判定する。

請求項７記載の発明における前記第４伝送路は、前記第２伝送路と同一の伝送路である。

請求項８記載の発明における前記第３伝送路は、前記第４伝送路と同一の伝送路である。

請求項９記載の発明における前記第３伝送路は、前記第１伝送路と同一の伝送路である。

請求項１０記載の発明における少なくとも前記第１装置が送信する信号は、信号の送信元情報を含む。

請求項１１記載の発明における前記第２装置は、前記第１情報と前記第２情報とのうちの少なくとも何れか一方の情報を、変換情報に変換して、前記何れか一方を変換した場合には前記第１情報と前記第２情報とのうちの他方と前記変換情報とを比較し、又は前記第１情報と前記第２情報との双方を変換した場合には前記第１情報の変換情報と前記第２情報の変換情報とを比較する。

請求項１２記載の発明における前記制御装置は、さらに別の情報を組み合わせて、前記第２情報に変換する。

請求項１３記載の発明における前記第２装置は、前記受信した信号に含まれる第１情報と、前記受信した信号に含まれる第２情報との間に所定の相関が認められない場合に、前記不正状態にあると判定する。

請求項１４記載の発明における前記第２装置は、前記第１情報と前記第２情報との何れかまたは双方の情報に基づいて前記第２装置に対応する車載機器によって実行される前記車両の機能を制御する。

請求項１５記載の発明における前記制御装置には、前記車両の機能を実行するハードウェアと当該ハードウェアの制御応答を取得するセンサとが対応付けられており、前記制御装置は、前記第２伝送路から受信した信号に含まれる制御指令値をもとに前記ハードウェアを制御して前記センサが取得する前記制御応答を、前記第２情報とする。

請求項１６記載の発明における前記ハードウェアは、駆動装置、変速機、計器のうちの何れかを含む。

請求項１７記載の発明における前記第２装置は、前記第１装置になりすました不正装置が存在すると判定することで、前記不正状態と判定する。

請求項１８記載の発明における前記第１装置、前記第２装置、および前記制御装置の少なくとも何れかは、異なる２以上の伝送路間の通信を仲介する機能を有する。

請求項１９記載の発明における前記制御装置は、自己に異常が生じた場合には、異常を示す情報を送信し、前記第２装置は、前記異常を示す情報を受信した場合には、前記制御装置における異常と判定することで、前記異常を示す情報を受信していない場合には、前記第１装置になりすました不正装置が存在すると判定することで、前記不正状態と判定する。

請求項２０記載の発明は、上記請求項に記載の通信システムにおける制御装置であって、前記第２情報を生成する規則を、前記第１装置または前記第２装置と共有する制御装置である。

請求項に記載の発明によれば、車両内に設けられた第１伝送路と第２伝送路のそれぞれに、信号を送信し、前記第２伝送路に送信された前記信号に基づいて車載機器の制御を行い、制御の結果を示す信号を第３伝送路に送信し、前記第１伝送路から受信した前記信号に含まれる第１情報と前記第３伝送路から受信した前記信号に含まれる第２情報とに基づいて比較することで、前記車両における不正状態を検出することにより、より簡便な構成により、ネットワークにおける不正な行為から制御装置を守ることができる。

第１の実施形態の通信システム１の構成を示す図である。 本実施形態のＥＣＵ１０の構成例を示す図である。 本実施形態のＥＣＵ１０がバス２に送信するメッセージＭの形式例である。 本実施形態の通信システム１の不正状態の検出の一例を示す図である。 本実施形態の通信システム１の構成例を示す図である。 本実施形態のＥＣＵ１０−３の構成例を示す図である。 本実施形態のＥＣＵ１０−３における処理の一例を示すフローチャートである。 不正状態検出処理について説明するための図である。 ２つの経路からメッセージＭを受信するＥＣＵ１０−２における不正状態検出処理の一例を示すフローチャートである。 第１の実施形態の第１の変形例の通信システム１Ａを示す図である。 不正状態検出処理について説明するための図である。 ２つの経路からメッセージＭを受信するＥＣＵ１０−２における不正状態検出処理の一例を示すフローチャートである。 第２の実施形態の通信システム１の構成を示す図である。 本実施形態の通信システム１の構成を示す図である。 ２つの経路からメッセージＭを受信するＥＣＵ１０−２における不正状態検出処理の一例を示すフローチャートである。 第３の実施形態の通信システム１の構成を示す図である。 本実施形態の通信システム１の構成を示す図である。 本実施形態のＥＣＵ１０−４Ｃの構成例を示す図である。 ２つの経路からメッセージを受信するＥＣＵ１０−２Ｃにおける不正状態検出処理の一例を示すフローチャートである。 不正状態検出処理における相関の判定処理の一例を示すフローチャートである。 不正状態検出処理における相関の判定処理の一例を示すフローチャートである。 不正状態検出処理における相関の判定処理の一例を示すフローチャートである。 第４の実施形態の通信システム１の構成を示す図である。 本実施形態の通信システム１の構成を示す図である。 本実施形態のＥＣＵ１０−４Ｄの構成例を示す図である。 不正状態検出処理における相関の判定処理の一例を示すフローチャートである。 不正状態検出処理における相関の判定処理の一例を示すフローチャートである。 不正状態検出処理における相関の判定処理の一例を示すフローチャートである。 変形例として示すネットワークＮＹの構成の例を示す図である。 変形例として示すネットワークＮＹの構成の例を示す図である。 変形例として示すネットワークＮＹの構成の例を示す図である。 変形例として示すネットワークＮＹの構成の例を示す図である。

以下、図面を参照し、本発明の通信システム、送信装置、及び通信方法の実施形態について説明する。

（第１の実施形態）
実施形態の通信システム１は、第１装置が複数の伝送路に同じ情報を含む信号を送信し、１つの伝送路の信号が変換され、第２装置がその複数の伝送路から受信した信号を比較するものである。図１は、本実施形態の通信システム１の構成を示す図である。通信システム１は、例えば車両に搭載される。通信システム１は、少なくとも車両内にバス２−１（第１伝送路）とバス２−２（第２伝送路）を含むネットワークＮＷを構成する。実施形態のバス２−１とバス２−２は、互いに異なる伝送路を成す。実施形態の互いに異なる伝送路とは、バス２−１とバス２−２のように、物理的に互いに接続されていないものをいう。通信システム１は、例えば、ネットワークＮＷを介してＣＡＮ（Controller Area Network）に基づく通信が行われる。

通信システム１は、ＥＣＵ１０−１（第１装置）と、ＥＣＵ１０−２（第２装置）と、ＥＣＵ１０−３（制御装置）と、ＥＣＵ１０−４とを含む。ＥＣＵ１０−１とＥＣＵ１０−２は、バス２−１とバス２−２とに接続される。ＥＣＵ１０−３は、バス２−２に、ＥＣＵ１０−４は、バス２−１に接続される。以下、ＥＣＵ１０−１からＥＣＵ１０−４を区別しない場合は、単にＥＣＵ１０と表記する。特に明示しない場合、ＥＣＵ１０は、共通のバス２−１とバス２−２の少なくとも何れかに接続される。以下、バス２−１とバス２−２を区別しない場合は、単にバス２と表記する。バス２の複数の伝送路を示す場合、単に複数の伝送路という場合がある。例えば、ＥＣＵ１０は、バス２に信号を送出するとともに、同じバス２に接続された他のＥＣＵ１０からバス２に送信された信号を受信する。

ＥＣＵ１０は、自装置が所属するネットワークＮＷに信号を送信し、ネットワークＮＷに送信された信号を受信する。ＥＣＵ１０は、ネットワークＮＷを介して所望のデータを送信する場合には、メッセージを単位にする信号を送信する。メッセージは、信号の一例である。以下、ネットワークＮＷを介して通信する各メッセージのことをメッセージＭという。メッセージＭは、所定のフレームを成し、フレームの管理情報として附された識別子（以下、ＩＤという。）により識別される。ＥＣＵ１０は、自ＥＣＵ１０が受信すべきメッセージＭを識別するためのＩＤ（以下、登録ＩＤという）をそれぞれ保持している。ＥＣＵ１０は、受信したメッセージＭのうちから、登録ＩＤと同じ値のＩＤが附されたメッセージを抽出して取得する。ＥＣＵ１０は、ネットワークＮＷを介して所望のデータを送信せずに、所定の情報を通知する場合には、メッセージを単位とすることなく、上記の所定の情報に対応する信号を送信する。この場合の信号には、情報を特定の符号に変換した結果の信号、所定の電圧の信号、無信号等も含まれる。

図１に示すように、各ＥＣＵ１０には、各種の車載機器である制御対象２０（ハードウェア）が対応付けられている。この図に示す例では、ＥＣＵ１０に対応する車載機器として、例えばＥＣＵ１０−１には燃料噴射装置（ＩＮＪ）２１が、ＥＣＵ１０−２には変速機（ＴＭ）２２が、ＥＣＵ１０−３にはエンジン（ＥＮＧ）２３が、ＥＣＵ１０−４には計器２４が、それぞれ対応付けられている。燃料噴射装置２１と、変速機２２と、エンジン２３と、計器２４は、車載機器の一例である。図１に示す例において、エンジン２３は、燃料噴射装置２１から燃料の供給を受け、気化した燃料を燃焼させて出力を得る。このようなエンジン２３は、駆動装置の一例である。エンジン２３の出力は、その軸を介して変速機２２に供給される。変速機２２は、エンジン２３の軸の回転数（Ｎｅ）を所定の回転数に変換する。例えば、変速機２２は、変換後の回転数で車両の駆動輪を駆動させる。図示した各制御対象２０は、その制御状態が互いに関係するものの組み合わせになっている。車両を駆動するのに必要とされる各制御対象２０を制御するためのＥＣＵ１０が制御対象２０に対応させて複数設けられ、各制御対象２０を制御するための機能が、各ＥＣＵ１０に分散して割り付けられる場合がある。

例えば、図１に示すようにネットワークＮＷを構成し、ＥＣＵ１０−１から他のＥＣＵ１０に向けて情報を送信する場合、ＥＣＵ１０−１は、ＥＣＵ１０−２に対して、バス２−１とバス２−２の複数の経路で制御指令等の信号を送る。なお、ＥＣＵ１０−３とＥＣＵ１０−４は、ＥＣＵ１０−１からＥＣＵ１０−２に対して送信する情報を、他のＥＣＵ等の装置を介して中継して送信する場合がある。本実施形態ではＥＣＵ１０−３が情報を中継する場合について説明する。

最初に、各ＥＣＵ１０に共通する点を中心に説明し、個々のＥＣＵ１０の個別の説明については後述する。

図２は、ＥＣＵ１０の構成例を示す図である。ＥＣＵ１０は、例えば、記憶部１２０と、通信部１４０と、ＩＦ部１６０と、制御部１８０とを備える。制御部１８０は、例えば、ＣＰＵ（Central Processing Unit）等のプロセッサを含む。

記憶部１２０は、例えば、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable and Programmable Read Only Memory）、ＨＤＤ（Hard Disk Drive）等の不揮発性の記憶装置と、ＲＡＭ（Random Access Memory）、レジスタ等の揮発性の記憶装置によって実現される。記憶部１２０は、アプリケーションプログラム１２２や、通信制御プログラム１２４等のプログラムと、上記のプログラムが参照する各種情報を格納する。また、記憶部１２０は、送信バッファ１２６と、受信バッファ１２８とを含む。送信バッファ１２６には、ＥＣＵ１０からメッセージＭに含めて送信するデータが格納される。受信バッファ１２８には、ＥＣＵ１０が受信したメッセージＭに含まれたデータが格納される。また、記憶部１２０は、各種情報として、例えばネットワークＮＷを介して送受信するメッセージＭのＩＤが格納されたＩＤテーブル等を記憶する。メッセージＭのＩＤは、送信元、送信先、メッセージＭの種類等を示す情報を含む。また、記憶部１２０には、ネットワークＮＷに送信されるメッセージＭの送信スケジュールおよびメッセージＭの優先度を示す優先度情報が記憶されている。

なお、記憶部１２０は、情報の変換方法を規定する変換規則等を記憶する場合がある。
また、ＥＣＵ１０がメッセージを受信する場合に、対を成すメッセージであることを判定する条件は、予め決定され、その情報が記憶部１２０に記憶されることがある。その判定条件には、送信元の組み合わせに関する情報、各メッセージを受信した時刻の差の許容値等が含まれてもよい。

アプリケーションプログラム１２２は、ＥＣＵ１０にそれぞれ割り当てられた情報処理を行うためのプログラムである。例えば、アプリケーションプログラム１２２は、車両に設けられた各種機能部を制御するためのプログラム、ネットワークＮＷを介する通信を中継するためのプログラム、ネットワークＮＷの通信を統制するためのプログラム等を含むものであってもよい。通信制御プログラム１２４は、アプリケーションプログラム１２２からの要求に応じて通信部１４０を制御して通信処理を実施させるためのプログラムである。通信制御プログラム１２４は、通信プロトコルの階層に対応させた場合、アプリケーションプログラム１２２が実施する通信処理より低位の階層の通信処理を実施するように構成される。

通信部１４０は、バス２に接続され、バス２を介した通信するためのインタフェースである。例えば、通信部１４０は、ＣＡＮコントローラとドライバ等を含み、通信制御部１８５の制御によりメッセージＭを送信する送信部、またはメッセージＭを受信する受信部として機能して所望の通信を実施する。通信部１４０は、送信バッファ１２６に積まれたメッセージＭを送信する。通信部１４０は、バス２から受信したメッセージＭを受信バッファ１２８に格納する。

ＩＦ部１６０は、制御対象２０と検出部２２０とを接続するインタフェースである。ＩＦ部１６０は、制御対象２０を駆動する駆動部を含む。制御対象２０は、ＥＣＵ１０に対応付けられた各種ハードウェアを示す。ＩＦ部１６０は、制御対象２０の状態を検出する検出部２２０からの情報を制御部１８０に供給する。

制御部１８０は、各種プログラムを実行して、各機能部に機能を実現する。制御部１８０は、送信処理部１８１と、受信処理部１８２と、通信制御部１８５と、駆動制御部１８６とを含む。

送信処理部１８１と、受信処理部１８２と、駆動制御部１８６等の各部は、アプリケーションプログラム１２２を実行することにより機能し、ＥＣＵ１０に与えられた制御を実行する。

送信処理部１８１は、ＥＣＵ１０からメッセージ等を送信する場合、送信するメッセージ等を含む情報を送信バッファ１２６に格納して、通信制御部１８５に送信要求を通知する。受信処理部１８２は、他のＥＣＵ１０等からメッセージ等を受信する場合、通信制御部１８５からメッセージ等の受信があったことの通知を受け、受信バッファ１２８に格納された情報を取得する。

駆動制御部１８６は、制御対象２０を制御する制御量を決定し、制御対象２０を制御する。例えば、駆動制御部１８６は、ＥＣＵ１０が他のＥＣＵ１０等から取得した情報、検出部２２０において検出された情報等に基づいて制御量を決定する。

通信制御部１８５は、通信制御プログラム１２４を実行することにより機能し、送信処理部１８１と受信処理部１８２とからの制御を受け、ＥＣＵ１０の通信処理を実行する。通信制御部１８５は、通信部１４０を介して受信されたメッセージＭのＩＤとＩＤテーブルに格納された登録ＩＤとを参照し、受信されたメッセージＭに関して自装置が受信する情報が含まれたメッセージＭであるか否かを判定する。通信制御部１８５は、自ＥＣＵ１０が受信する情報がメッセージＭに含まれる場合、メッセージＭに含まれた情報を取得し、受信バッファ１２８に格納する。一方、通信制御部１８５は、自ＥＣＵ１０が受信する情報がメッセージＭに含まれていない場合、例えば、メッセージＭの情報を破棄する。通信制御部１８５は、通信部１４０にメッセージＭを送信させる。なお、通信制御部１８５は、フレームＦの送信に応じて送信バッファ１２６に記憶させたメッセージを消去する。

図３は、ＥＣＵ１０がバス２に送信するメッセージＭの形式例である。図３（ａ）に、１回の送信において送信されるメッセージＭを示す。メッセージＭは、スタートオブフレーム（ＳＯＦ）、メッセージＭのＩＤ等を識別するためのリモートトランスミッションリクエスト（ＲＴＲ）を含むアービトレーションフィールド、フレームのバイト数等を示すコントロールフィールド、転送するメッセージＭの実体であるデータフィールド、誤り検出符号（ＣＲＣ）を付加するＣＲＣフィールド、応答通知（ＡＣＫ）を受けるＡＣＫスロット及びＡＣＫデリミタ、エンドオブフレーム（ＥＯＦ）等を含む。
ＥＣＵ１０は、データフィールドに、制御情報等を割り付けて通信する。

（不正状態の検出）
図４は、通信システム１の不正状態の検出の一例を示す図である。ＥＣＵ１０−１は、バス２−１とバス２−２のそれぞれに、メッセージＭ１を送信する。次に、ＥＣＵ１０−３は、バス２−２に送信されたメッセージＭ１（信号）に基づいてエンジン２３の制御を行い、制御の結果を示すメッセージＭ２（信号）をバス２−２に送信する。次に、ＥＣＵ１０−２は、バス２−１からメッセージＭ１を、バス２−２からメッセージＭ２をそれぞれ受信して、メッセージＭ１とメッセージＭ２とに基づいた比較を実施することで、車両における不正状態を検出する。

次に、個々のＥＣＵ１０について説明する。

（ＥＣＵ１０−１）
図５は、通信システム１の構成例を示す図である。同図には、バス２に接続された各ＥＣＵ１０と制御対象２０が示されている。

図５に示すＥＣＵ１０−１は、例えば、記憶部１２０−１と、通信部１４０−１と、ＩＦ部１６０−１と、制御部１８０−１とを含む。

記憶部１２０−１は、記憶部１２０のアプリケーションプログラム１２２と送信バッファ１２６と受信バッファ１２８に代えて、アプリケーションプログラム１２２−１と送信バッファ１２６−１と受信バッファ１２８−１とを含む。

アプリケーションプログラム１２２−１は、燃料噴射装置２１を制御するための処理と、他のＥＣＵ１０に対して制御指令を送信するための処理を含む。送信バッファ１２６−１は、バス２−１とバス２−２に対応して独立に構成された送信バッファを含む。受信バッファ１２８−１は、バス２−１とバス２−２に対応して独立に構成された受信バッファを含む。

通信部１４０−１は、バス２−１とバス２−２にそれぞれ接続される。通信部１４０−１は、バス２−１とバス２−２に対応する通信を独立に実施する。

制御部１８０−１は、送信処理部１８１−１と、受信処理部１８２−１と、通信制御部１８５−１と、駆動制御部１８６−１とを含む。

通信制御部１８５−１は、前述の通信制御部１８５の処理に加え、制御を受けバス２−１とバス２−２に対応する通信処理を独立に実施する。

駆動制御部１８６−１は、燃料噴射装置２１を制御して、例えば所定量の燃料を燃料噴射装置２１から噴射させる。駆動制御部１８６−１は、更に、他のＥＣＵ１０に対応させて設けられた制御対象２０を制御するための情報を、それぞれのＥＣＵ１０宛に送信するように送信処理部１８１−１を制御する。

送信処理部１８１−１は、駆動制御部１８６−１からの指示に応じて、他のＥＣＵ１０に送信する情報を取得して、ネットワークＮＷにメッセージＭを送信する。例えば、送信処理部１８１−１は、バス２−１に送信するメッセージＭとバス２−２に送信するメッセージＭとを生成し、送信バッファ１２６−１にそれぞれ格納した後、通信制御部１８５−１に送信要求を通知する。バス２−１に送信するメッセージＭとバス２−２に送信するメッセージＭをＥＣＵ１０−２宛に送信する場合、送信処理部１８１−１は、それぞれのメッセージＭは対応したものになるように送信する。例えば、送信処理部１８１−１は、それぞれのメッセージＭに含める情報は対応するものにして、送信時刻の時間差を少なくするように送信する。もしくは、送信処理部１８１−１は、それぞれのメッセージＭが対応するものであることを示す識別符号を付してメッセージＭを送信してもよい。
送信処理部１８１−１は、一方のバス２に接続されたＥＣＵ１０宛にメッセージ等を送信する場合、そのＥＣＵ１０が接続された方のバス２に信号を送信する。送信処理部１８１−１は、例えば、送信するメッセージ等を含む情報を、送信先のＥＣＵが接続された伝送路に対応する送信バッファ１２６−１に格納して、通信制御部１８５−１に送信要求を通知する。

受信処理部１８２−１は、他のＥＣＵ１０等からメッセージ等を受信する場合、通信制御部１８５−１からメッセージ等の受信があったことの通知を受け、受信バッファ１２８−１に格納された情報を伝送路に対応させて取得する。

（ＥＣＵ１０−３）
図６は、ＥＣＵ１０−３の構成例を示す図である。ＥＣＵ１０−３は、例えば、記憶部１２０−３と、通信部１４０と、ＩＦ部１６０−３と、制御部１８０−３とを含む。記憶部１２０−３は、前述の記憶部１２０に対し、更に変換処理に係る変換規則１３２を含む。

記憶部１２０−３は、記憶部１２０のアプリケーションプログラム１２２に代えて、アプリケーションプログラム１２２−３を含む。アプリケーションプログラム１２２−３は、エンジン２３を制御するための処理を含み、さらに、中継処理部１８３を制御するための処理を含む。

制御部１８０−３は、送信処理部１８１−３と、受信処理部１８２と、中継処理部１８３と、通信制御部１８５−３と、駆動制御部１８６−３とを含む。

受信処理部１８２−３は、前述の受信処理部１８２の処理に加え、さらに、ＥＣＵ１０−１からメッセージＭを受信し、情報を取得した場合、中継処理部１８３に情報取得完了を通知する。送信処理部１８１−３は、前述の送信処理部１８１の処理に加え、さらに、駆動制御部１８６−３と中継処理部１８３とからの通信要求を受け付けて、通信制御部１８５−３を制御してメッセージＭを送信させる。

中継処理部１８３は、受信処理部１８２−３からの通知を受け、受信したメッセージＭに含まれた情報に基づいて、変換規則１３２により定められた所定の変換処理を実施する。中継処理部１８３は、変換処理の結果を示す情報を生成し、送信処理部１８１−３にその情報を供給して、所定の送信先を指定して送信させる。

中継処理部１８３が参照する変換規則１３２について説明する。
・変換処理の入力情報は、バス２に送信されたメッセージＭ（信号）から抽出した、車載機器の制御を行うための情報である。例えば、その情報には、制御指令値、制御指令値から所定の演算により導かれる数値等が含まれる。
・変換処理の出力情報は、上記の制御指令情報に基づいて制御対象を制御した結果を示す情報である。例えば、その情報には、制御応答値、制御結果から所定の演算により導かれる数値等が含まれる。
・変換処理の出力情報として実際の制御の結果を利用できない場合、制御対象の特性を数値した制御モデルを用いてもよく、予め制御指令値に対する応答予測値をテーブルとして定義してもよい。例えば、実際の制御対象が接続されていないＥＣＵ１０が変換規則を共有する場合等が含まれる。
・変換処理の結果として、上記の出力情報を含むメッセージＭ（第２の信号）を生成して、メッセージＭを受信したバス２と同じバス２に送信する。例えば、ＥＣＵ１０−３の場合、バス２−２に送信する。
例えば、変換規則１３２を上記のように定める。

・なお、上記の変換規則１３２は、受信した情報と、受信した情報と種類が異なる別の情報とを組み合わせて、送信する情報を生成してもよい。

図７は、ＥＣＵ１０−３における処理の一例を示すフローチャートである。受信処理部１８２は、メッセージＭ１とメッセージＭ２とを受信して（Ｓ１０）、制御指令値にする情報をメッセージＭ１とメッセージＭ２から抽出する（Ｓ１２）。駆動制御部１８６は、検出部２２０からの情報を取得して制御対象の状態を検出し（Ｓ１４）、制御対象の状態を判定する（Ｓ１６）。

Ｓ１６において、正常な制御状態にあると判定した場合、駆動制御部１８６は、Ｓ１２において抽出した制御指令値と、Ｓ１４において取得したセンサ情報に基づいて制御量を調整して、制御対象を制御する（Ｓ１８）。駆動制御部１８６は、制御対象の応答状態を検出部２２０によって検出する（Ｓ２０）。駆動制御部１８６は、制御指令値、制御量、センサ情報等により、制御対象の状態を判定する（Ｓ２２）。Ｓ２２において、正常な制御状態にあると判定した場合、中継処理部１８３は、Ｓ２０において検出した制御応答値を送信する（Ｓ２４）。駆動制御部１８６は、制御状態を継続させて（Ｓ２６）、以上の処理を終了する。

一方、Ｓ１６またはＳ２２において、正常な制御状態にないと判定した場合、中継処理部１８３は、状態の異常を通知する信号（以下、異常通知という。）を送出する（Ｓ３２）。駆動制御部１８６は、制御対象の制御状態をフェイルセーフ処理に移行させて（Ｓ３４）、以上の処理を終了する。

図４に戻り、通信システム１について説明を続ける。上述のＥＣＵ１０−１は、バス２−１に送信するメッセージＭ１の送信先としてＥＣＵ１０−２を指定し、バス２−２に送信するメッセージＭ１の送信先としてＥＣＵ１０−３を指定する。なお、メッセージＭ１は、制御対象２０のエンジン２３を制御する第１情報Ｄ１を含むものとする。

この場合、ＥＣＵ１０−３は、メッセージＭ１に含まれた第１情報Ｄ１に基づいて、エンジン２３を制御する。また、ＥＣＵ１０−３は、第１情報Ｄ１に対する変換規則１３２に基づいた変換処理を実施して、その結果である第２情報Ｄ２を含むメッセージＭ２を、所定の宛先として指定するＥＣＵ１０−２宛に送信する。また、ＥＣＵ１０−３は、制御対象に異常を検出した場合、その検出を示す信号を、ＥＣＵ１０−２を含む他のＥＣＵ１０に対して送信する。

（ＥＣＵ１０−２）
ＥＣＵ１０−２は、例えば、記憶部１２０−２と、通信部１４０−２と、ＩＦ部１６０−２と、制御部１８０−２とを含む。

記憶部１２０−２は、前述の記憶部１２０−１と同様に、バス２−１とバス２−２に対応する送信バッファ１２６−２と受信バッファ１２８−２を含み、更に変換規則１３２を含む。

通信部１４０−２は、バス２−１とバス２−２にそれぞれ接続される。通信部１４０−２は、バス２−１とバス２−２に対応する通信を独立に実施する。

制御部１８０−２は、送信処理部１８１−２と、受信処理部１８２−２と、通信制御部１８５−２と、駆動制御部１８６−２とを含む。

送信処理部１８１−２は、送信バッファ１２６−２を利用して前述の送信処理部１８１−１と同様の処理をする。

受信処理部１８２−２は、他のＥＣＵ１０等からメッセージＭ等を受信する場合、通信制御部１８５−２からメッセージ等の受信があったことの通知を受け、受信バッファ１２８−２に格納された情報を、伝送路ごとに取得する。

受信処理部１８２−２は、バス２−１とバス２−２から受信した情報に基づいて不正状態検出処理を実施する。例えば、受信処理部１８２−２がバス２−１とバス２−２から受信する情報には、メッセージＭ１に含まれる第１情報Ｄ１と、メッセージＭ２に含まれる第２情報Ｄ２とが含まれる。受信処理部１８２−２は、第１情報Ｄ１と第２情報Ｄ２に基づいた比較を実施する。受信処理部１８２−２は、その結果に基づいて、ネットワークＮＷにおける不正な状態が生じていることを検出する。受信処理部１８２−２は、不正な状態が生じていると判定した場合には、予め定められた所望の処理を実施する。

本実施形態の受信処理部１８２−２は、変換部１８２１と比較部１８２２とを含む。変換部１８２１は、予め決定された第１情報Ｄ１と第２情報Ｄ２の少なくとも何れかを、変換規則１３２に従って変換する。比較部１８２２は、変換部１８２１による変換後の結果と、変換部１８２１が変換しない他方の情報とを比較する。図５に示す構成は、変換部１８２１は、第１情報Ｄ１を、変換規則１３２に従って変換し、比較部１８２２がその変換結果と第２情報Ｄ２とを比較する場合を例示する。

（不正状態検出処理）
続いて、通信システム１の不正状態検出処理の詳細について説明する。

図８は、不正状態検出処理について説明するための図である。同図に示すグラフは、メッセージＭ２に含まれる第２情報Ｄ２と、メッセージＭ２に含まれる第２情報Ｄ２の推定値Ｄ２ｅｓｔとを軸にとる。第１情報Ｄ１と第２情報Ｄ２に線形性がある場合には、第１情報Ｄ１と第２情報Ｄ２の組み合わせにより定まる点Ｐ（Ｄ１，Ｄ２）が右肩上がりに楕円状に分布する。その楕円の範囲が含まれるように、判定閾値の下限値ＴＨ１１と上限値ＴＨ１２を決定する。判定閾値の下限値ＴＨ１１と上限値ＴＨ１２までの範囲に点Ｐ（Ｄ１，Ｄ２）がある場合に、ＥＣＵ１０−２は、メッセージＭ１とメッセージＭ２に、即ちメッセージＭ１に含まれる第１情報Ｄ１とメッセージＭ２に含まれる第２情報Ｄ２含まれる第２情報Ｄ２とに、所定の相関があると判定する。

上記のとおりＥＣＵ１０−２は、ＥＣＵ１０−３が有する変換規則１３２と同じ変換規則１３２を有している。ＥＣＵ１０−２は、バス２−１から受信したメッセージＭ１の第１情報Ｄ１に基づいて、変換規則１３２に従った変換処理を実施して、別の経路のバス２−２から受信するメッセージＭ２に含まれる第２情報Ｄ２の推定値Ｄ２ｅｓｔを生成する。その後、ＥＣＵ１０−２は、第２情報Ｄ２とその推定値Ｄ２ｅｓｔの相関を判定する。

このような相関の判定処理によれば、ＥＣＵ１０−２が変換規則１３２に従った変換処理を判定に先立って実施したことで、第２情報Ｄ２と第１情報Ｄ１とを比較する判定処理に代えて、第２情報Ｄ２と推定値Ｄ２ｅｓｔとを比較する判定処理として実施できる。これにより、通信システム１では、情報の単位（次元）を揃えた比較を行うことが可能になり、相関の判定がより正確になる。

ＥＣＵ１０−２は、上記の何れかの方法により比較を実施して、その結果に所定の相関が認められない場合に、不正状態にあると判定する。

図９は、２つの経路からメッセージＭを受信するＥＣＵ１０−２における不正状態検出処理の一例を示すフローチャートである。まず、受信処理部１８２−２は、バス２−１とバス２−２の２つの経路から、自装置を送信先とするＩＤを含むメッセージＭを受信する（Ｓ１１０）。次に、受信処理部１８２−２は、上記の２つの経路から受信したメッセージＭに、対を成すメッセージＭがあるか否かを判定する（Ｓ１１２）。例えば、上記の判定で、受信処理部１８２−２は、メッセージＭを受信した時刻の時間差が所定値以内のメッセージＭを、対を成すものと判定する。

Ｓ１１２において、対を成すメッセージＭであると判定した場合、受信処理部１８２−２は、バス２−２から受信するメッセージＭ２に含まれる第２情報Ｄ２に対する推定値を算出する（Ｓ１１８）。

次に、受信処理部１８２−２は、対を成すメッセージＭに含まれた情報に相関が有るか否かを判定する（Ｓ１２０）。Ｓ１２０において、対を成すメッセージＭにそれぞれ含まれた情報に相関が有ると判定した場合、受信処理部１８２−２は、受信した何れかのメッセージＭに含まれていた情報に基づいて、対応付けられたハードウェアを制御し（Ｓ１２２）、一連の処理を終える。なお、上記のハードウェアの一例が変速機２２である。

一方、Ｓ１２０における対を成すメッセージＭに含まれた情報の相関がないと判定した場合、受信処理部１８２−２は、通信システム１が不正状態にあると判定する（Ｓ１２４）。

例えば、検出した不正状態の要因を特定するため、受信処理部１８２−２は、ＥＣＵ１０−３から異常通知（図７のＳ３２）があったか否かを判定する（Ｓ１２４１）。Ｓ１２４１において、異常通知があったと判定した場合には、ＥＣＵ１０−３において不正な状態があると判定する。一方、Ｓ１２４１において、受信処理部１８２−２は、異常通知がなかったと判定した場合には、ＥＣＵ１０−１のなりすましが存在すると判定する（Ｓ１２４３）。

Ｓ１２４の処理を終えた後、受信処理部１８２−２は、受信したメッセージＭに含まれた情報に基づいて実施するハードウェアの制御を保留し（Ｓ１２６）、Ｓ１２４２またはＳ１２４３の判定結果に応じた所定の処理を実施して、一連の処理を終える。

また、Ｓ１１２において、対を成すメッセージＭがないと判定した場合、受信処理部１８２−２は、通信システム１に障害が発生していると判定し（Ｓ１３０）、受信したメッセージＭに含まれた情報に基づいて実施するハードウェアの制御を保留し（Ｓ１３２）、一連の処理を終える。

次に、本実施形態の適用について、具体的な例を挙げて説明する。
ＥＣＵ１０−１は、燃料噴出量を示す制御指令値（第１情報Ｄ１）を用いて燃料噴射装置２１を制御する。ＥＣＵ１０−１は、燃料噴出量を示す制御指令値を、バス２−１とバス２−２に送信する。ＥＣＵ１０−２は、バス２−１からその制御指令値、バス２−２から、その制御指令値により作動したエンジン２３の出力値（第２情報Ｄ２）を受信する。ＥＣＵ１０−２は、制御指令値から予測される出力予測値（推定値Ｄ２ｅｓｔ）を算出し、その出力予測値と、現に取得された出力値とが所定の程度を越えて異なる場合に、不正が生じていると判定する。

さらに、ＥＣＵ１０−３は、制御対象に生じた下記のような異常を検知する。例えば、エンジン２３に対する制御指令値から予測されるエンジン２３の推定出力値と、実際のエンジン２３の出力値とが異なる異常状態がある。ＥＣＵ１０−３は、エンジン２３の推定出力値と、実際のエンジン２３の出力値との対比を行い、その差が所定値より大きい場合には、エンジン２３に異常が生じていると推定する。

ＥＣＵ１０−３は、その判定結果をＥＣＵ１０−２に通知し、ＥＣＵ１０−２がその異常通知を取得する。これにより、ＥＣＵ１０−２は、エンジン２３に異常が生じていることを検知する。さらにＥＣＵ１０−２は、この異常通知の結果と、上記の不正が生じていると判定した結果とを組み合わせることで、エンジン２３の異常が要因となったものか、ＥＣＵ１０−１になりすました装置が存在していることが要因となったものかを判定する。これにより、ＥＣＵ１０−２は、ＥＣＵ１０−３から異常通知を利用することで、メッセージＭ１とメッセージＭ２とに基づいた比較では特定しきれなかった、ＥＣＵ１０−３における異常（対応するハードウェアの異常）と、ＥＣＵ１０−１のなりすまし装置の存在を検出することができる。

以上に示した実施形態によれば、車両内に設けられたバス２−１とバス２−２のそれぞれに、ＥＣＵ１０−１がメッセージＭ１を送信し、ＥＣＵ１０−３がバス２−２に送信されたメッセージＭ１に基づいて車載機器の制御を行い、制御の結果を示す第２の信号をバス２−２に送信し、ＥＣＵ１０−２が、バス２−１から受信したメッセージＭ１に含まれる第１情報Ｄ１とバス２−２から受信したメッセージＭ２に含まれる第２情報Ｄ２とに基づいて比較することで、車両における不正状態を検出することにより、より簡便な構成により、ネットワークにおける不正な行為からＥＣＵ１０を守ることができる。

また、第１の実施形態によれば、ＥＣＵ１０において送信元または送信先のＩＤとして自装置のＩＤが附されたメッセージ（フレーム）を受信することを必須としない。ＥＣＵ１０は、送信先のＩＤとして自装置のＩＤが附されたメッセージを受信する通常の受信処理を利用して構成できる。

また、第１の実施形態によれば、上述のバス２のような複数の伝送路を含むネットワークＮＷにそれぞれ対応するメッセージＭを送信することで、通信システム１の信頼度を高めることができ、さらには、ネットワーク資源の活用効率を高めることができる。

また、第１の実施形態によれば、ＥＣＵ１０−２は、ＥＣＵ１０−２による車両の機能を制御することに用いる信号を、不正状態を検出することに利用するので、専ら不正状態を検出するためだけに用いられる信号を生成せずに済み煩雑さを避けることが可能になる。同様に、ＥＣＵ１０−３による車両の機能の制御結果に係る信号が、ＥＣＵ１０−２において不正状態を検出することに利用されるので、専ら不正状態を検出するためだけに用いられる信号を生成せずに済み、通信処理が煩雑になることを避けることが可能になる。

（第１の実施形態の第１の変形例）
第１の実施形態の第１の変形例について説明する。本変形例は、ＥＣＵ１０−２が実施する比較対象が第１の実施形態と異なる。この点について説明する。

図１０は、第１の実施形態の第１の変形例の通信システム１Ａを示す図である。通信システム１は、ＥＣＵ１０−１と、ＥＣＵ１０−２Ａと、ＥＣＵ１０−３と、ＥＣＵ１０−４とを含む。

（ＥＣＵ１０−２Ａ）
ＥＣＵ１０−２Ａは、例えば、記憶部１２０−２と、通信部１４０−２と、ＩＦ部１６０−２と、制御部１８０−２Ａとを含む。制御部１８０−２Ａは、送信処理部１８１−２と、受信処理部１８２−２Ａと、通信制御部１８５−２と、駆動制御部１８６−２とを含む。受信処理部１８２−２Ａは、比較部１８２２Ａを含む。

（不正状態検出処理）
続いて、本変形例の通信システム１の不正状態検出処理の詳細について説明する。
図１１は、不正状態検出処理について説明するための図である。同図に示すグラフは、前述の図８のグラフと縦軸が異なり、メッセージＭ１に含まれる第１情報Ｄ１と、メッセージＭ２に含まれる第２情報Ｄ２とを軸にとる。第１情報Ｄ１と第２情報Ｄ２に線形性がある場合には、第１情報Ｄ１と第２情報Ｄ２の組み合わせにより定まる点Ｐ（Ｄ１，Ｄ２）が右肩上がりの楕円状に分布する。その楕円の範囲が含まれるように、判定閾値の下限値ＴＨ２１と上限値ＴＨ２２が設定される。判定閾値の下限値ＴＨ２１と上限値ＴＨ２２までの範囲に点Ｐ（Ｄ１，Ｄ２）がある場合に、ＥＣＵ１０−２は、メッセージＭ１とメッセージＭ２に、即ちメッセージＭ１に含まれる第１情報Ｄ１とメッセージＭ２に含まれる第２情報Ｄ２含まれる第２情報Ｄ２とに、所定の相関があると判定する。

図１２は、２つの経路からメッセージＭを受信するＥＣＵ１０−２における不正状態検出処理の一例を示すフローチャートである。前述の図９と異なる点を中心に説明する。
まず、受信処理部１８２−２Ａは、バス２−１とバス２−２からメッセージＮを受信し（Ｓ２１０）、対を成すメッセージＭがあるか否かを判定する（Ｓ２１２）。

Ｓ２１２において、対を成すメッセージＭであると判定した場合、受信処理部１８２−２は、対を成すメッセージＭに含まれた情報に相関が有るか否かを判定する（Ｓ２２０）。より具体的には、受信処理部１８２−２Ａの比較部１８２２Ａは第１情報Ｄ１と第２情報Ｄ２に相関が有るか否かを比較して判定する。Ｓ２２０において、第１情報Ｄ１と第２情報Ｄ２に相関が有ると判定した場合、受信処理部１８２−２は、第１情報Ｄ１と第２情報Ｄ２の何れかに基づいて、対応付けられたハードウェアを制御し（Ｓ２２２）、一連の処理を終える。

一方、Ｓ２２０において、第１情報Ｄ１と第２情報Ｄ２に相関がないと判定した場合、受信処理部１８２−２は、通信システム１が不正状態にあると判定し（Ｓ２２４）、第１情報Ｄ１と第２情報Ｄ２に基づいて実施するハードウェアの制御を保留して（Ｓ２２６）一連の処理を終える。

以上に説明した、第１の実施形態の第１の変形例によれば、ＥＣＵ１０−２が受信した第１情報Ｄ１と第２情報Ｄ２を比較することにより、不正状態を検出し、第１の実施形態と同様の効果を奏する。

（第１の実施形態の第２の変形例）
第１の実施形態の第２の変形例について説明する。本変形例は、ＥＣＵ１０−２が実施する変換処理が第１の実施形態と異なる。この点について説明する。受信処理部１８２−２は、ＥＣＵ１０−２によって第２情報Ｄ２が生成される基となった元情報を第２情報Ｄ２に基づいて予測して予測情報Ｄ１ｅｓｔを生成し、メッセージＭ１に含まれていた第１情報Ｄ１と、予測情報Ｄ１ｅｓｔとが、所定の程度を越えて異なる場合に、不正が生じていると判定する。以上に説明した、第１の実施形態の第２の変形例によれば、第２情報Ｄ２に基づいて、ＥＣＵ１０−３における変換処理の逆変換を実施して予測情報Ｄ１ｅｓｔを得ることにより、第１の実施形態と同様の効果を奏する。

（第１の実施形態の第３の変形例）
第１の実施形態の第３の変形例について説明する。実施形態１において、他のＥＣＵ１０が通知する異常通知を不正状態検出処理に利用することで、ＥＣＵ１０−３における異常と、ＥＣＵ１０−１のなりすまし装置の存在を検出することについて説明したが、本変形例本変形例におけるＥＣＵ１０−２は、他のＥＣＵ１０が通知する異常通知を不正状態検出処理に利用しない。この点について説明する。

ＥＣＵ１０−２は、不正状態検出処理の結果から、通信システム１における不正状態を検出する。この場合、ＥＣＵ１０−１のなりすまし装置の存在の検出は、他の手段により実現するとよい。以上に示した第１の実施形態の第３の変形例によれば、他のＥＣＵ１０が自身の異常を通知できない場合であっても、ＥＣＵ１０−２が不正状態を検出できる。

（第２の実施形態）
以下、第２の実施形態について説明する。第２の実施形態は、ＥＣＵ１０−１Ｂがバス２−１とバス２−２に異なる情報を含むメッセージＭを送信し、１つの伝送路の信号が変換され、第２装置がその複数の伝送路から受信した信号を比較する点において、第１の実施形態と相違する。以下、この相違点を中心に説明する。

図１３と図１４は、本実施形態の通信システム１の構成を示す図である。前述の図１の構成と異なる点を中心に説明する。なお、同図において、前述の図１と共通する部分で記載を省略している個所が有る。また、同図は、ある通信状態に通信システム１がおかれた場合の不正状態検出処理の一例を示す。
通信システム１は、ＥＣＵ１０−１Ｂと、ＥＣＵ１０−２Ｂと、ＥＣＵ１０−３と、ＥＣＵ１０−４とを含む。

（ＥＣＵ１０−１Ｂ）
ＥＣＵ１０−１Ｂは、例えば、記憶部１２０−１Ｂと、通信部１４０−１と、ＩＦ部１６０−１と、制御部１８０−１Ｂとを含む。

記憶部１２０−１Ｂは、前述の記憶部１２０−１に対しＥＣＵ１０−２の変換規則１３２と同じ変換規則１３２を含む。

制御部１８０−１Ｂは、送信処理部１８１−１Ｂと、受信処理部１８２−１と、通信制御部１８５−１と、駆動制御部１８６−１とを含む。送信処理部１８１−１Ｂは、変換部１８１１を含み、バス２−１に送信するメッセージＭを変換部１８１１により変換規則１３２に従って変換する。送信処理部１８１−１Ｂは、メッセージＭ１Ａを生成し、バス２−１に送信する。上記の点が、送信処理部１８１−１と異なる。

（ＥＣＵ１０−２Ｂ）
ＥＣＵ１０−２Ｂは、例えば、記憶部１２０−２と、通信部１４０−２と、ＩＦ部１６０−２と、制御部１８０−２Ｂとを含む。制御部１８０−２Ｂは、送信処理部１８１−２と、受信処理部１８２−２Ｂと、通信制御部１８５−２と、駆動制御部１８６−２とを含む。受信処理部１８２−２Ｂは、比較部１８２２Ｂを含む。
比較部１８２２Ｂは、バス２から受信したメッセージＭに基づいた変換処理を実施せずに、各メッセージＭに含まれている情報を比較する。

（不正状態検出処理と相関の判定方法）
ＥＣＵ１０−１Ｂは、バス２−２に送信するメッセージＭ１の第１情報Ｄ１に基づいて、変換規則１３２に従った変換処理を実施して、別の経路のバス２−２から送信するメッセージＭ２に含まれる第２情報Ｄ２の推定値Ｄ２ｅｓｔを生成する。ＥＣＵ１０−１Ｂは、推定値Ｄ２ｅｓｔを含むメッセージＭ１Ａをバス２−１に送信し、一方で、第１情報Ｄ１を含むメッセージＭ１をバス２−２に送信する。

前述したように、ＥＣＵ１０−３は、第１情報Ｄ１を含むメッセージＭ１をバス２−２から受信して、第２情報Ｄ２を含むメッセージＭ２をバス２−２に送信する。

ＥＣＵ１０−２Ｂは、メッセージＭ２とメッセージＭ１Ａとを比較して、その差が所定の範囲ある場合に、相関があると判定する。例えば、ＥＣＵ１０−２Ｂは、バス２−１から受信したメッセージＭ１Ａの推定値Ｄ２ｅｓｔとメッセージＭ２に含まれる第２情報Ｄ２に基づいた判定処理を実施する。

このような相関の判定処理によれば、ＥＣＵ１０−１Ｂが変換規則１３２に従った変換処理を判定に先立って実施したことで、第２情報Ｄ２と第１情報Ｄ１とを比較する判定処理に代えて、第２情報Ｄ２と推定値Ｄ２ｅｓｔとを比較する判定処理として実施できる。これにより、通信システム１Ｂでは、情報の単位を揃えた比較を行うことが可能になり、相関の判定がより正確になる。

図１５は、２つの経路からメッセージＭを受信するＥＣＵ１０−２における不正状態検出処理の一例を示すフローチャートである。前述の図９と異なる点を中心に説明する。まず、受信処理部１８２−２Ｂは、バス２−１とバス２−２からメッセージＭを受信し（Ｓ３１０）、対を成すメッセージＭがあるか否かを判定する（Ｓ３１２）。

Ｓ３１２において、対を成すメッセージＭであると判定した場合、受信処理部１８２−２は、対を成すメッセージＭに含まれた情報に相関が有るか否かを判定する（Ｓ３２０）。より具体的には、受信処理部１８２−２Ｂの比較部１８２２Ｂは推定値Ｄ２ｅｓｔと第２情報Ｄ２に相関が有るか否かを比較して判定する。

Ｓ３２０において、推定値Ｄ２ｅｓｔと第２情報Ｄ２に相関が有ると判定した場合、受信処理部１８２−２Ｂは、推定値Ｄ２ｅｓｔと第２情報Ｄ２の何れかに基づいて、対応付けられたハードウェアを制御し（Ｓ３２２）、一連の処理を終える。

一方、Ｓ３２０において、推定値Ｄ２ｅｓｔと第２情報Ｄ２に相関がないと判定した場合、受信処理部１８２−２Ｂは、通信システム１が不正状態にあると判定し（Ｓ３２４）、推定値Ｄ２ｅｓｔと第２情報Ｄ２に基づいて実施するハードウェアの制御を保留して（Ｓ３２６）一連の処理を終える。

次に、本実施形態の適用について、具体的な例を挙げて説明する。
ＥＣＵ１０−１Ｂは、燃料噴出量を示す制御指令値（第１情報Ｄ１）を用いて燃料噴射装置２１を制御する。ＥＣＵ１０−１Ｂは、燃料噴出量を示す制御指令値を、バス２−２に送信し、バス２−１にはその制御指令値から予測したエンジン２３の出力予測値（第２推定値Ｄ２ｅｓｔ）を送信する。

ＥＣＵ１０−２Ｂは、バス２−１からエンジン２３の出力予測値、バス２−２から、燃料噴出量の制御指令値により作動したエンジン２３の出力値（第２情報Ｄ２）を受信する。ＥＣＵ１０−２Ｂは、バス２−１からエンジン２３の出力予測値と、現に取得されたエンジン２３の出力値とが所定の程度を越えて異なる場合に不正が生じていると判定する。

以上に示した、第２の実施形態によれば、第１情報Ｄ１（所定の第３情報）が含まれるメッセージＭ３をバス２−２に送信するとともに、第１情報Ｄ１と異なる第２推定値Ｄ２ｅｓｔ（第１情報）が含まれるメッセージＭ１Ａをバス２−１に送信し、バス２−２に送信されたメッセージＭ３に基づいてエンジン２３の制御を行い、第１情報Ｄ１を変換した情報として、例えばエンジン２３の制御の結果（第２情報Ｄ２）を得て、第２情報Ｄ２を示すメッセージＭ２をバス２−２に送信し、第１情報Ｄ１と第２情報Ｄ２が所定の程度を越えて異なる場合に、所定の相関が認められないと判定することにより、より簡便な構成により、ネットワークにおける不正な行為からＥＣＵ１０を守ることができる。

また、第２の実施形態によれば、上記の第１の実施形態と同様の効果を奏するものに加え、ＥＣＵ１０−１Ｂがバス２−１とバス２−２に異なる種類の情報を含むメッセージＭを送信し、ＥＣＵ１０−２Ｂが同じ種類の情報を含むメッセージＭを受信することにより、より簡便な構成にすることができる。

（第３の実施形態）
以下、第３の実施形態について説明する。第３の実施形態は、ＥＣＵ１０−１Ｃがバス２−１とバス２−２に異なる情報を含むメッセージＭを送信し、何れかまたは双方のバス２の信号が変換され、ＥＣＵ１０−２Ｃがその複数の伝送路から受信した信号に基づいて比較する点において、第１の実施形態と相違する。以下、この相違点を中心に説明する。

図１６と図１７は、本実施形態の通信システム１の構成を示す図である。同図において、前述の図１と共通する部分で記載を省略している個所がある。また、図１６は、ある通信状態に通信システム１がおかれた場合の不正状態検出処理の一例を示す。通信システム１は、ＥＣＵ１０−１Ｃと、ＥＣＵ１０−２Ｃと、ＥＣＵ１０−３と、ＥＣＵ１０−４Ｃとを含む。

（ＥＣＵ１０−１Ｃ）
ＥＣＵ１０−１Ｃは、例えば、記憶部１２０−１Ｃと、通信部１４０−１と、ＩＦ部１６０−１と、制御部１８０−１Ｃとを含む。

記憶部１２０−１Ｃは、前述の記憶部１２０−１に対し、さらに対応テーブル１３６を含む。対応テーブル１３６は、バス２−１とバス２−２に送信する制御情報を少なくとも一方の制御情報から他方の制御情報に変換するための情報を格納する。対応テーブル１３６に格納する情報は、上記と逆方向の他方の制御情報から一方の制御情報への変換を行えるものとしてもよい。対応テーブル１３６に格納する情報は、変換表のように数値データとして構成してもよく、或いは、対応関係を示す変換式として構成してもよい。以下の説明では、対応テーブル１３６に格納する情報のことを、変換規則という。

制御部１８０−１Ｃは、送信処理部１８１−１Ｃと、受信処理部１８２−１と、通信制御部１８５−１と、駆動制御部１８６−１Ｃとを含む。駆動制御部１８６−１Ｃは、対応テーブル１３６を用いて制御情報を生成し、その送信を送信制御部１８１−Ｃに要求する。上記の制御情報には、メッセージＭ４に含めてバス２−１に送信するものと、メッセージＭ３に含めてバス２−２に送信するものが含まれる。これらの制御情報は、互いに対を成し、対を成す制御情報には、対応テーブル１３６に記憶された変換規則に従った相関がある。送信処理部１８１−１Ｃは、駆動制御部１８６−１Ｃからの要求に応じて、メッセージＭ４を生成しバス２−１に送信し、メッセージＭ３を生成しバス２−２に送信する。上記の点が、送信処理部１８１−１と異なる。

（ＥＣＵ１０−４Ｃ）
図１８は、ＥＣＵ１０−４Ｃの構成例を示す図である。ＥＣＵ１０−４Ｃは、例えば、記憶部１２０−４と、通信部１４０と、ＩＦ部１６０−４と、制御部１８０−４とを含む。ＥＣＵ１０−４Ｃの各部は、前述のＥＣＵ１０−３の各部に対応する。

記憶部１２０−４は、記憶部１２０−３に対応し、記憶部１２０−３の変換規則１３２に代えて、変換規則１３４を含む。変換規則１３４は、メッセージＭ４をメッセージＭ１に変換するための変換規則を含む。変換規則１３４についての上記以外の点に関しては、前述の変換規則１３２を参照する。

制御部１８０−４は、送信処理部１８１−４と、受信処理部１８２と、中継処理部１８４と、通信制御部１８５−４と、駆動制御部１８６−４とを含む。駆動制御部１８６−４には、対応して設けられた検出部２２０はなく、制御応答値も出力しない場合がある。中継処理部１８４は、中継処理部１８３に対応し、変換規則１３４に従って同様の処理を実施する。中継処理部１８４は、メッセージＭ４をメッセージＭ１に変換して送信させる。中継処理部１８４は、駆動制御部１８６−４からの制御結果を受ける代わりに、仮想的なセンサとして機能し、変換規則１３４に従って制御結果を生成する。

（ＥＣＵ１０−２Ｃ）
図１７に戻り、ＥＣＵ１０−２Ｃについて説明する。ＥＣＵ１０−２Ｃは、例えば、記憶部１２０−２Ｃと、通信部１４０−２と、ＩＦ部１６０−２と、制御部１８０−２Ｃとを含む。

記憶部１２０−２Ｃは、前述の記憶部１２０−２の構成に加え、更に変換規則１３４と対応テーブル１３６とを含む。

制御部１８０−２Ｃは、送信処理部１８１−２と、受信処理部１８２−２Ｃと、通信制御部１８５−２と、駆動制御部１８６−２とを含む。受信処理部１８２−２Ｃは、受信処理部１８２−２に対応する。

本実施形態の受信処理部１８２−２Ｃは、変換部１８２１Ｃと比較部１８２２Ｃとを含む。変換部１８２１Ｃは、予め決定された第１情報Ｄ１と第２情報Ｄ２の少なくとも何れかを、所定の変換規則に従って変換する。比較部１８２２Ｃは、変換部１８２１Ｃによる変換後の結果と、変換部１８２１Ｃが変換しない他方の情報とを比較する。または、比較部１８２２Ｃは、変換部１８２１Ｃによる変換後の結果どうしを比較する。前述の受信処理部１８２−２は、受信したメッセージＭに含まれた情報から、変換規則１３２に従って推定情報を生成していたが、これに加え、受信処理部１８２−２Ｃは、変換規則１３４に従って推定情報を生成する。受信処理部１８２−２Ｃは、変換規則１３２のみ、変換規則１３４のみ、変換規則１３２と変換規則１３４の双方の何れかを利用した推定処理を実行する。受信処理部１８２−２Ｃは、さらに、対応テーブル１３６に基づいた変換処理を実施する場合がある。

（不正状態検出処理）
続いて、前述の図１１を参照して、通信システム１の不正状態検出処理について説明する。本実施形態に示す例では、ＥＣＵ１０−２Ｃが不正状態検出処理を実行する。

ＥＣＵ１０−１Ｃは、バス２−１とバス２−２のそれぞれに、制御装置に向けたメッセージＭを送信する。ＥＣＵ１０−４Ｃは、バス２−１に送信されたメッセージＭ４に基づいて計器２４の制御を行い、制御の結果を示すメッセージＭ１をバス２−１に送信する。ＥＣＵ１０−３は、バス２−２に送信されたメッセージＭ３に基づいてエンジン２３の制御を行い、制御の結果を示すメッセージＭ２をバス２−２に送信する。

ここで、ＥＣＵ１０−２Ｃは、バス２−１からメッセージＭ１を、バス２−２からメッセージＭ２を受信して、メッセージＭ１とメッセージＭ２とに基づいて、車両における不正状態を検出する。ＥＣＵ１０−２Ｃは、メッセージＭ１に含まれる第１情報Ｄ１と、メッセージＭ２に含まれる第２情報Ｄ２とに基づいて比較する。ＥＣＵ１０−２Ｃは、比較の結果から、第１情報Ｄ１と第２情報Ｄ２間に所定の相関が認められない場合に、不正状態にあると判定する。

図１９は、２つの経路からメッセージを受信するＥＣＵ１０−２Ｃにおける不正状態検出処理の一例を示すフローチャートである。この図に示す処理のうち、前述の図４に示す処理と同様の処理についての説明を省略し、相違点を中心に説明する。

まず、受信処理部１８２−２Ｃは、バス２−１とバス２−２の２つの経路から、ＥＣＵ１０−２Ｃを送信先とするＩＤを含むメッセージＭを受信する（Ｓ４１０）。次に、受信処理部１８２−２Ｃは、上記の２つの経路から受信したメッセージＭに、対を成すメッセージＭがあるか否かを判定する（Ｓ４１２）。

Ｓ４１２において、対を成すメッセージＭがあると判定した場合、ＥＣＵ１０−２Ｃは、推定値の算出が必要か否かを判定する（Ｓ４１４）。この推定値の算出の指定は、例えば、ＥＣＵ１０−１等からの指示に従って受信処理部１８２−２Ｃが選択する。Ｓ４１４において、推定値の算出が不要と判定された場合、ＥＣＵ１０−２Ｃは、Ｓ４２０の処理に進める。

一方、Ｓ４１４において、推定値の算出が必要と判定された場合、算出する推定値を選択する（Ｓ４１６）。第１情報Ｄ１を選択した場合、受信処理部１８２−２Ｃは、第１情報Ｄ１の推定値を算出し（Ｓ４１７）、ＥＣＵ１０−２Ｃは、Ｓ４２０の処理に進める。第２情報Ｄ２を選択した場合、受信処理部１８２−２Ｃは、第２情報Ｄ２の推定値を算出し（Ｓ４１８）、ＥＣＵ１０−２Ｃは、Ｓ４２０の処理に進める。第１情報Ｄ１と第２情報Ｄ２とを選択した場合、受信処理部１８２−２Ｃは、第１情報Ｄ１の推定値と第２情報Ｄ２の推定値の双方を算出する（Ｓ４１９）。Ｓ４１４、Ｓ４１７、Ｓ４１８、または、Ｓ４１９の処理の結果に基づいて、受信処理部１８２−２Ｃは、前述のＳ４２０からＳ４２６までの処理と同様の処理をして、一連の処理を終える。

また、一方、Ｓ４１２において、対を成すメッセージがないと判定した場合、受信処理部１８２−２Ｃは、通信システム１に障害が発生していると判定して（Ｓ４３０）、受信した情報に基づいた制御を保留し（Ｓ４３２）、一連の処理を終える。

（不正状態検出処理における相関の判定方法）
不正状態検出処理における相関の判定方法のより具体的な方法について説明する。図２０から図２２は、不正状態検出処理における相関の判定処理の一例を示すフローチャートである。

（第１の判定方法）
ＥＣＵ１０−２Ｃが受信した情報の相関よりも、ＥＣＵ１０−１Ｃが送信した情報の相関の方が高い場合がある。

ＥＣＵ１０−１Ｃがバス２−１に送信するメッセージＭ４に含まれる情報Ｄ４と、ＥＣＵ１０−１Ｃがバス２−２に送信するメッセージＭ３に含まれる情報Ｄ３との間に、所定の相関があり、ＥＣＵ１０−２Ｃが受信する情報の相関より高いとする。

ＥＣＵ１０−２Ｃは、ＥＣＵ１０−１Ｃがバス２に送信したメッセージＭを直接受信することができず、受信できるメッセージＭとその情報は下記のものである。ＥＣＵ１０−４は、ＥＣＵ１０−１Ｃが送信したメッセージＭ４に含まれる第４情報Ｄ４を変換して、第１情報Ｄ１を生成してメッセージＭ１として送信する。ＥＣＵ１０−３は、ＥＣＵ１０−１Ｃが送信したメッセージＭ３に含まれる情報Ｄ３を変換して、第２情報Ｄ２を生成してメッセージＭ２として送信する。ＥＣＵ１０−２Ｃは、メッセージＭ１とメッセージＭ２を受信して、上記の第１情報Ｄ１と第２情報Ｄ２を得る。

そこで、ＥＣＵ１０−２Ｃは、受信した情報を利用して、ＥＣＵ１０−１Ｃが送信した情報を推定する。ＥＣＵ１０−２Ｃは、その推定情報が所定の相関を有していれば、ＥＣＵ１０−２Ｃが受信した情報に相関があると判定する。例えば、ＥＣＵ１０−２Ｃは、上記の相関を数値化した対応テーブル１３６を判定に利用する。

第１の判定方法の具体的な処理の一例を図２０に示す。まず、受信処理部１８２−２Ｃは、第１情報Ｄ１に基づいて、ＥＣＵ１０−４によって第１情報Ｄ１が生成される基とした第４情報Ｄ４（第１の元情報）の推定値（以下、推定値Ｄ４ｅｓｔという。）を算出する（Ｓ５１２）。推定値Ｄ４ｅｓｔは、上記の第４情報Ｄ４に対応する。また、受信処理部１８２−２Ｃは、第２情報Ｄ２に基づいて、ＥＣＵ１０−３によって第２情報Ｄ２が生成される基とした第３情報Ｄ３（第２の元情報）の推定値（以下、推定値Ｄ３ｅｓｔという。）を算出する（Ｓ５１４）。推定値Ｄ３ｅｓｔは、上記の第３情報Ｄ３に対応する。

受信処理部１８２−２Ｃは、推定値Ｄ４ｅｓｔと推定値Ｄ３ｅｓｔとの関係を、対応テーブル１３６を参照して比較する。例えば、受信処理部１８２−２Ｃは、推定値Ｄ４ｅｓｔを、対応テーブル１３６を利用して変換することで、その変換の結果を、推定値Ｄ３ｅｓｔと同一の次元の値に変換できる。上記の処理は、前述の図１９のＳ４１９を選択した場合の一例である。

（第２の判定方法）
次に、第２の判定方法について説明する。第２の判定方法も、第１の判定方法と同様に、対応テーブル１３６を利用する。上記の例は、推定値Ｄ４ｅｓｔと推定値Ｄ３ｅｓｔを比較するものであったが、次に示す例は、上記の推定値を何れか一方を利用するものである。ここでは、ＥＣＵ１０−４に係る推定値Ｄ４ｅｓｔを利用する場合を例示する。

第２の判定方法では、ＥＣＵ１０−４に係る推定値Ｄ４ｅｓｔを上記の対応テーブル１３６を利用して変換した情報をＥＣＵ１０−３の入力情報にしたモデルを考える。ＥＣＵ１０−３が第２情報Ｄ２を生成する際に基とした情報が情報Ｄ３である。上記の対応テーブル１３６を利用して変換した情報と、上記の情報Ｄ３との間に所定の相関があるものであれば、上記のそれぞれの情報をＥＣＵ１０−３が変換した場合に、それぞれの変換結果にも相関があるものになる。

第２の判定方法の具体的な処理の一例を図２１に示す。まず、受信処理部１８２−２Ｃは、第１情報Ｄ１を基にして、ＥＣＵ１０−４によって第１情報Ｄ１が生成される基とした推定値Ｄ４ｅｓｔを決定し（Ｓ５２２）、推定値Ｄ４ｅｓｔに基づいた変換値を取得し（Ｓ５２４）、変換値に基づいてＥＣＵ１０−３が生成し得る第２予測情報を算出する（Ｓ５２６）。受信処理部１８２−２Ｃは、第１情報Ｄ１を基に決定された第２予測情報と、第２情報Ｄ２とを比較する。上記の処理は、前述の図１９のＳ４１７を選択した場合の一例である。

（第３の判定方法）
次に、第３の判定方法について説明する。第２の判定方法に示した場合と同様に、ＥＣＵ１０−３に係る推定値Ｄ３ｅｓｔを利用することができる。その場合、ＥＣＵ１０−２Ｃは、下記の処理を実施する。

第３の判定方法の具体的な処理の一例を図２２に示す。まず、受信処理部１８２−２Ｃは、第２情報Ｄ２を基にして、ＥＣＵ１０−３によって第２情報Ｄ２が生成される基とした推定値Ｄ３ｅｓｔを決定し（Ｓ５３２）、推定値Ｄ３ｅｓｔに基づいた変換値を取得し（Ｓ５３４）、変換値に基づいてＥＣＵ１０−４が生成し得る第１予測情報を算出する（Ｓ５３６）。受信処理部１８２−２Ｃは、第２情報Ｄ２を基に決定された第１予測情報と、第１情報Ｄ１とを比較する。上記の処理は、前述の図１９のＳ４１８を選択した場合の一例である。

ＥＣＵ１０−２Ｃは、上記の３通りの判定方法の何れかを実施する。或いは、設定情報に基づいて、上記を選択して実施できるようにしてもよい。

次に、本実施形態の適用について、具体的な例を挙げて説明する。ＥＣＵ１０−１は、燃料噴射装置２１を制御する。ＥＣＵ１０−１は、エンジン回転数を示す制御指令値（第１情報Ｄ１）をバス２−１に送信し、出力トルクの制御指令値（第２情報Ｄ２）をバス２−２に送信する。ＥＣＵ１０−４は、第１情報Ｄ１によりエンジン回転数に応じた指示値になるように計器２４を動作させる。ＥＣＵ１０−３は、第２情報Ｄ２により所定の出力トルクが得られるようにエンジン２３を駆動させる。ＥＣＵ１０−２は、バス２−１から計器２４が指し示す値（第１情報Ｄ１）を取得し、バス２−２からエンジン２３の出力トルクの検出値（第２情報Ｄ２）を取得する。ＥＣＵ１０−２は、計器２４が指し示す値とエンジン２３の出力トルクの検出値とを比較し、これらが所定の関係を越えている場合に不正が生じていると判定する。

以上に説明した、第３の実施形態によれば、ＥＣＵ１０−１Ｃが、バス２−１とバス２−２のそれぞれに、制御装置に向けたメッセージＭを送信する。ＥＣＵ１０−４Ｃは、バス２−１に送信されたメッセージＭ４に基づいた制御の結果を示すメッセージＭ１をバス２−１に送信する。ＥＣＵ１０−３は、バス２−２に送信されたメッセージＭ３に基づいた制御の結果を示すメッセージＭ２をバス２−２に送信する。ＥＣＵ１０−２Ｃは、バス２−１からメッセージＭ１を、バス２−２からメッセージＭ２を受信して、メッセージＭ１とメッセージＭ２とに含まれる情報に基づいて比較することで、車両における不正状態を検出することにより、制御信号を利用して通信システム１における不正状態を検出することができる。

また、第３の実施形態によれば、バス２に設けられたＥＣＵ１０−３が、上記の制御信号を受信して、自装置に対応する制御対象２０を制御することにより、上記の制御信号を用いて他のＥＣＵ１０がバス２を介して送信する信号を用いて、不正状態を検出することができる。

また、第３の実施形態によれば、ＥＣＵ１０−１がバス２に送信する情報が互いに異なる場合であっても、不正状態を検出することができる。

（第４の実施形態）
以下、第４の実施形態について説明する。第４の実施形態は、ＥＣＵ１０−１Ｄがバス２−１とバス２−２に同じ情報を含む信号を送信し、双方のバス２に送信された信号が変換され、ＥＣＵ１０−２Ｃがその複数の伝送路から受信した信号に基づいて比較する点において、第１の実施形態と相違する。以下、この相違点を中心に説明する。

図２３と図２４は、本実施形態の通信システム１の構成を示す図である。同図において、前述の図１と共通する部分で記載を省略している個所がある。また、図２３は、ある通信状態に通信システム１がおかれた場合の不正状態検出処理の一例を示す。
通信システム１は、ＥＣＵ１０−１Ｄと、ＥＣＵ１０−２Ｄと、ＥＣＵ１０−３と、ＥＣＵ１０−４Ｄとを含む。

（ＥＣＵ１０−１Ｄ）
ＥＣＵ１０−１Ｄは、例えば、記憶部１２０−１と、通信部１４０−１と、ＩＦ部１６０−１と、制御部１８０−１Ｄとを含む。

制御部１８０−１Ｄは、送信処理部１８１−１Ｄと、受信処理部１８２−１と、通信制御部１８５−１と、駆動制御部１８６−１Ｄとを含む。駆動制御部１８６−１Ｄは、
駆動制御部１８６−１Ｄからの指示に応じて、他のＥＣＵ１０に送信する情報を取得して、ネットワークＮＷにメッセージＭを送信する。例えば、送信処理部１８１−１Ｄは、バス２−１に送信するメッセージＭ３とバス２−２に送信するメッセージＭ３とを生成し、送信バッファ１２６−１にそれぞれ格納した後、通信制御部１８５−１に送信要求を通知する。バス２−１に送信するメッセージＭ３とバス２−２に送信するメッセージＭ３を他のＥＣＵ１０宛に送信する場合、送信処理部１８１−１Ｄは、それぞれのメッセージＭは対応したものになるように送信する。

（ＥＣＵ１０−４Ｄ）
図２５は、ＥＣＵ１０−４Ｄの構成例を示す図である。ＥＣＵ１０−４Ｄが備える各部は、前述のＥＣＵ１０−４Ｃ（図１８）に対応する。

記憶部１２０−４Ｄは、変換規則１３４を含む。変換規則１３４は、メッセージＭ３をメッセージＭ１に変換するための変換規則を含む。変換規則１３４についての上記以外の点に関しては、前述の変換規則１３２の説明を参照する。

制御部１８０−４は、送信処理部１８１−４と、受信処理部１８２と、中継処理部１８４と、通信制御部１８５−４と、駆動制御部１８６−４とを含む。駆動制御部１８６−４には、対応して設けられた検出部２２０はなく、制御応答値も出力しない場合がある。中継処理部１８４は、中継処理部１８３に対応し、変換規則１３４に従って同様の処理を実施する。中継処理部１８４は、メッセージＭ３をメッセージＭ１に変換して送信させる。

（ＥＣＵ１０−２Ｄ）
図２４に戻り、ＥＣＵ１０−２Ｄについて説明する。ＥＣＵ１０−２Ｄは、例えば、記憶部１２０−２Ｄと、通信部１４０−２と、ＩＦ部１６０−２と、制御部１８０−２Ｄとを含む。

記憶部１２０−２Ｄは、前述の記憶部１２０−２の構成に加え、更に変換規則１３４を含む。

制御部１８０−２Ｄは、送信処理部１８１−２と、受信処理部１８２−２Ｄと、通信制御部１８５−２と、駆動制御部１８６−２とを含む。受信処理部１８２−２Ｄは、受信処理部１８２−２に対応する。本実施形態の受信処理部１８２−２Ｄは、変換部１８２１Ｄと比較部１８２２Ｄとを含む。変換部１８２１Ｄは、予め決定された第１情報Ｄ１と第２情報Ｄ２の少なくとも何れかを、所定の変換規則に従って変換する。比較部１８２２Ｄは、変換部１８２１Ｄによる変換後の結果と、変換部１８２１Ｄが変換しない他方の情報とを比較する。または、比較部１８２２Ｄは、変換部１８２１Ｄによる変換後の結果どうしを比較する。前述の受信処理部１８２−２は、受信したメッセージＭに含まれた情報から、変換規則１３２に従って推定情報を生成していたが、これに加え、受信処理部１８２−２Ｄは、変換規則１３４に従って推定情報を生成する。受信処理部１８２−２Ｄは、変換規則１３２のみ、変換規則１３４のみ、変換規則１３２と変換規則１３４の双方の何れかを利用した推定処理を実行する。

（不正状態検出処理）
続いて、前述の図１１を参照して、通信システム１の不正状態検出処理について説明する。本実施形態に示す例では、ＥＣＵ１０−２Ｄが不正状態検出処理を実行する。

ＥＣＵ１０−１Ｄは、バス２−１とバス２−２のそれぞれに、同じ情報を含むメッセージＭ３を送信する。ＥＣＵ１０−４Ｄは、バス２−１に送信されたメッセージＭ３に基づいて計器２４の制御を行い、制御の結果を示すメッセージＭ１をバス２−１に送信する。ＥＣＵ１０−３は、バス２−２に送信されたメッセージＭ３に基づいてエンジン２３の制御を行い、制御の結果を示すメッセージＭ２をバス２−２に送信する。

ＥＣＵ１０−２Ｄは、バス２−１からメッセージＭ１を受信し、バス２−２からメッセージＭ２を受信して、メッセージＭ１とメッセージＭ２とに基づいて、車両における不正状態を検出する。ＥＣＵ１０−２Ｄは、メッセージＭ１に含まれる第１情報Ｄ１と、メッセージＭ２に含まれる第２情報Ｄ２とに基づいて比較する。ＥＣＵ１０−２Ｄは、比較の結果から、第１情報Ｄ１と第２情報Ｄ２間に所定の相関が認められない場合に、不正状態にあると判定する。

なお、ＥＣＵ１０−２Ｄにおける不正状態検出処理の一例については、前述の図１９を参照する。

（不正状態検出処理における相関の判定方法）
不正状態検出処理における相関の判定方法のより具体的な方法について説明する。図２６から図２８は、不正状態検出処理における相関の判定処理の一例を示すフローチャートである。

（第１の判定方法）
本実施形態のＥＣＵ１０−１Ｄがバス２にそれぞれ送信する情報は同じ情報を含む。

ＥＣＵ１０−２Ｄは、ＥＣＵ１０−１Ｄがバス２に送信したメッセージＭ３を直接受信することができず、受信できるメッセージＭとその情報は下記のものである。ＥＣＵ１０−４Ｄは、ＥＣＵ１０−１Ｄが送信したメッセージＭ３に含まれる第３情報Ｄ３を変換して、第１情報Ｄ１を生成してメッセージＭ１として送信する。ＥＣＵ１０−３は、ＥＣＵ１０−１Ｄが送信したメッセージＭ３に含まれる情報Ｄ３を変換して、第２情報Ｄ２を生成してメッセージＭ２として送信する。ＥＣＵ１０−２Ｄは、メッセージＭ１とメッセージＭ２を受信して、上記の第１情報Ｄ１と第２情報Ｄ２を得る。

そこで、ＥＣＵ１０−２Ｄは、受信した情報を利用して、ＥＣＵ１０−１Ｄが送信した情報を推定する。ＥＣＵ１０−２Ｄは、その推定情報が所定の相関を有していれば、ＥＣＵ１０−２Ｄが受信した情報に相関があると判定する。

第１の判定方法の具体的な処理の一例を図２６に示す。まず、受信処理部１８２−２Ｄは、第１情報Ｄ１に基づいて、ＥＣＵ１０−４によって第１情報Ｄ１が生成される基とした第３情報Ｄ３（第１の元情報）の推定値（以下、推定値Ｄ３ｅｓｔ−１という。）を算出する（Ｓ６１２）。推定値Ｄ３ｅｓｔ−１は、上記の第３情報Ｄ３に対応する。また、受信処理部１８２−２Ｄは、第２情報Ｄ２に基づいて、ＥＣＵ１０−３によって第２情報Ｄ２が生成される基とした第３情報Ｄ３（第２の元情報）の推定値（以下、推定値Ｄ３ｅｓｔ−２という。）を算出する（Ｓ６１４）。推定値Ｄ３ｅｓｔ−２は、上記の第３情報Ｄ３に対応する。

受信処理部１８２−２Ｄは、推定値Ｄ３ｅｓｔ−１と推定値Ｄ３ｅｓｔ−２とを比較する。上記のとおり、推定値Ｄ３ｅｓｔ−１と推定値Ｄ３ｅｓｔ−２と同一の次元の値になる。上記の処理は、前述の図１９のＳ４１９を選択した場合の一例である。

（第２の判定方法）
次に、第２の判定方法について説明する。上記の例は、推定値Ｄ３ｅｓｔ−１と推定値Ｄ３ｅｓｔ−２とを比較するものであったが、次に示す例は、上記の推定値を何れか一方を利用するものである。ここでは、ＥＣＵ１０−４Ｄに係る推定値Ｄ３ｅｓｔ−１を利用する場合を例示する。

第２の判定方法では、ＥＣＵ１０−４Ｄに係る推定値Ｄ３ｅｓｔ−１をＥＣＵ１０−３の入力情報にしたモデルを考える。ＥＣＵ１０−３が第２情報Ｄ２を生成する際に基とした情報が情報Ｄ３である。上記の推定値Ｄ３ｅｓｔ−１と、上記の情報Ｄ３との間に所定の相関があるものであれば、上記のそれぞれの情報をＥＣＵ１０−３が変換した場合に、それぞれの変換結果にも相関があるものになる。

第２の判定方法の具体的な処理の一例を図２７に示す。まず、受信処理部１８２−２Ｄは、第１情報Ｄ１を基にして、ＥＣＵ１０−４Ｄによって第１情報Ｄ１が生成される基とした推定値Ｄ３ｅｓｔ−１を決定し（Ｓ６２２）、推定値Ｄ３ｅｓｔ−１に基づいてＥＣＵ１０−３が生成し得る予測情報を算出する（Ｓ６２６）。受信処理部１８２−２Ｄは、第１情報Ｄ１を基に決定された予測情報と、第２情報Ｄ２とを比較する。上記の処理は、前述の図１９のＳ４１７を選択した場合の一例である。

（第３の判定方法）
次に、第３の判定方法について説明する。第２の判定方法に示した場合と同様に、ＥＣＵ１０−４Ｄに係る第２の元情報の推定値を利用することができる。
その場合、ＥＣＵ１０−２Ｄは、下記の処理を実施する。

第３の判定方法の具体的な処理の一例を図２８に示す。まず、受信処理部１８２−２Ｄは、第２情報Ｄ２を基にして、ＥＣＵ１０−３によって第２情報Ｄ２が生成される基とした推定値Ｄ３ｅｓｔ−２を決定し（Ｓ６３２）、推定値Ｄ３ｅｓｔ−２に基づいてＥＣＵ１０−４Ｄが生成し得る第１予測情報を算出する（Ｓ６３６）。受信処理部１８２−２Ｄは、第２情報Ｄ２を基に決定された第１予測情報と、第１情報Ｄ１とを比較する。上記の処理は、前述の図１９のＳ４１８を選択した場合の一例である。ＥＣＵ１０−２Ｄは、上記の３通りの判定方法の何れかを実施する。或いは、設定情報に基づいて、上記を選択して実施できるようにしてもよい。

このように実施形態の通信システム１は、前述の第３の実施形態における対応テーブル１３６を用いる処理を省略することができる。

次に、本実施形態の適用について、具体的な例を挙げて説明する。ＥＣＵ１０−１は、燃料噴射装置２１を制御する。ＥＣＵ１０−１は、エンジン回転数を示す制御指令値（第１情報Ｄ１）をバス２−１とバス２−２に送信する。ＥＣＵ１０−４Ｄは、第１情報Ｄ１によって、エンジン回転数に応じた指示値になるように計器２４を動作させる。ＥＣＵ１０−３は、第１情報Ｄ１により指示されるエンジン回転数が得られるようにエンジン２３を駆動させる。ＥＣＵ１０−２は、バス２−１から計器２４が指し示す値（第１情報Ｄ１）を取得し、バス２−２からエンジン２３の出力トルクの検出値（第２情報Ｄ２）を取得する。ＥＣＵ１０−２は、計器２４が指し示す値とエンジン２３の出力トルクの検出値とを比較し、これらが所定の関係を越えている場合に不正が生じていると判定する。

以上に説明した、第４の実施形態によれば、ＥＣＵ１０−１Ｄが、バス２−１とバス２−２のそれぞれに、共通する情報を含むメッセージＭ３を送信する。ＥＣＵ１０−４Ｄは、バス２−１に送信されたメッセージＭ３に基づいた制御の結果を示すメッセージＭ１をバス２−１に送信する。ＥＣＵ１０−３は、バス２−２に送信されたメッセージＭ３に基づいた制御の結果を示すメッセージＭ２をバス２−２に送信する。ＥＣＵ１０−２Ｄは、バス２−１からメッセージＭ１を、バス２−２からメッセージＭ２を受信して、メッセージＭ１とメッセージＭ２とに含まれる情報に基づいて比較することで、車両における不正状態を検出することにより、制御信号を利用して通信システム１における不正状態を検出することができる。

また、第４の実施形態によれば、バス２に設けられたＥＣＵ１０−３が、上記の制御信号を受信して、自装置に対応する制御対象２０を制御することにより、他のＥＣＵ１０がバス２を介して、他のＥＣＵ１０に対応する制御対象を制御するための制御信号を不正状態の検出に利用することができる。

また、第４の実施形態によれば、ＥＣＵ１０−１Ｄがバス２に送信する情報が共通する場合に適用することで、不正状態を検出する構成を簡素化することができる。

また、第４の実施形態によれば、ＥＣＵ１０−２Ｄは、ＥＣＵ１０−３が有する変換規則１３２と同じ変換規則１３２を有している。
また、ＥＣＵ１０−２Ｄは、バス２−１から受信したメッセージＭ１の第１情報Ｄ１に基づいて、変換規則１３２に従った変換処理を実施して、バス２−２から受信するメッセージＭ２に含まれる第２情報Ｄ２の推定値Ｄ２ｅｓｔを生成してもよい。

上記の場合、実施形態に例示した相関の判定処理によれば、第２情報Ｄ２と第１情報Ｄ１とを比較する判定処理に代えて、第２情報Ｄ２と推定値Ｄ２ｅｓｔとを比較する判定処理として実施できる。これにより、通信システム１では、情報の単位を揃えた比較を行うことが可能になり、相関の判定がより正確になる。

なお、不正状態検出処理は、ネットワークＮＷに接続される各装置の制御部が実行してもよい。上記の各装置には、ＥＣＵ１０、ネットワークＮＷと他のネットワークとの通信を仲介するゲートウェイ装置、ネットワークＮＷの通信を統制する統合制御装置やサーバー装置等の装置が含まれる。なお、上記のゲートウェイ装置、統合制御装置、サーバー装置等の装置は、ＥＣＵ１０の一態様である。

なお、上記の実施形態の通信システム１によれば、ＥＣＵ１０−１とＥＣＵ１０−２と異なるＥＣＵ１０−３が、バス２から受信した制御信号を変換するものとして説明したが、これに代えて、ＥＣＵ１０−１とＥＣＵ１０−２の少なくとも何れかが、ＥＣＵ１０−３が実施していた変換処理を実施するようにしてもよい。例えば、ＥＣＵ１０−１とＥＣＵ１０−３とを一体化したＥＣＵを、ＥＣＵ１０−１に代えて構成したり、ＥＣＵ１０−２とＥＣＵ１０−３とを一体化したＥＣＵを、ＥＣＵ１０−２に代えて構成したりすることができる。

なお、図示するＥＣＵ１０−３とＥＣＵ１０−４は、通信部１４０を介して１つのバス２に接続されている例を例示したが、通信部１４０が複数のＣＡＮトランシーバを備え、それぞれ異なるバス２に接続するようにしてもよい。

例えば、上記の実施例においては、ＥＣＵ１０−３とＥＣＵ１０−４とは、それぞれが生成する信号を、当該信号を生成する基となる信号を受信した伝送路、すなわちＥＣＵ１０−３においてはバス２−１、ＥＣＵ１０−４においてはバス２−２に対して、それぞれ送信していたが、ＥＣＵ１０−２は、バス２−１やバス２−２とは異なる伝送路に接続されていてもよい。
図２９から図３２は、変形例として示すネットワークＮＹの構成の例を示す図である。例えば、図２９に示す第１変形例のように、ＥＣＵ１０−２が、バス２−１やバス２−２とは異なる伝送路としてのバス２−３（第３伝送路）やバス２−４（第４伝送路）に接続される場合には、ＥＣＵ１０−３とＥＣＵ１０−４とは、バス２−３やバス２−４に対して、それぞれが生成する信号を送信してもよい。この場合には、ＥＣＵ１０−２は、バス２−３やバス２−４から受信する信号を用いて上記で示した不正状態検出処理を行う。例えば上記の実施形態に示す一例は、バス２−３がバス２−１と同一かつバス２−４がバス２−２と同一となる場合のネットワークＮＹの構成の例を示したものである。

さらに、通信システム１は、ネットワークＮＷを下記する変形例のように構成してもよい。図３０に示す第２の変形例については、バス２−１とバス２−３とを同一の伝送路とし、且つ、バス２−２とバス２−４とを異なる伝送路として構成したものである。図３１に示す第３の変形例については、バス２−２とバス２−４とを同一の伝送路とし、且つ、バス２−１とバス２−３とを異なる伝送路として構成したものである。図３２に示す第４の変形例については、バス２−３とバス２−４とを同一の伝送路として構成したものである。

上記の各変形例として示すネットワークＮＷを利用する通信システム１において、ＥＣＵ１０−１は、送信元が自装置であることを示す識別符号を付加して信号をバス２−１とバス２−２に送信するよう構成してもよく、さらにＥＣＵ１０−３またはＥＣＵ１０−４は、受信した信号に、送信元がＥＣＵ１０−１であることを示す識別符号が付加されているかを判別し、受信した信号に、送信元がＥＣＵ１０−１であることを示す識別符号が付加されている場合に、車載機器に対する上記の制御を行うように構成してもよい。このような構成により、ＥＣＵ１０−１になりすました装置が存在する場合におけるかかる不正状態の検出をより簡便にすることができる。

また、上記の説明におけるバス２−１、バス２−２、バス２−３、バス２−４は、ネットワークＮＷを構成する伝送路の一例である。本実施形態の伝送路は、ＥＣＵ１０に接続されるケーブル（伝送線路）を単位に構成してもよく、或いは、異なるケーブルとそのケーブル間を中継する特定の装置とを含む範囲を１つの伝送路として構成してもよい。上記の特定の装置は、ＥＣＵ１０であってもよく、ＥＣＵ１０でなくてもよい。上記の装置は、異なるケーブル間で信号を中継するものであり、例えば、ＣＡＮにおけるゲートウ_ェイ装置、ブリッジ装置等のようにメッセージＭを透過的に中継するであってもよい。

上記の各変形例によれば、様々な構成のネットワークＮＷを用いた場合においても、上記の実施形態と同様の効果を奏することができる。

以上説明した少なくともひとつの実施形態によれば、通信システム１は、ＥＣＵ１０−１と、ＥＣＵ１０−２と、ＥＣＵ１０−３とを備える。ＥＣＵ１０−１は、車両内に設けられたバス２−１とバス２−２のそれぞれに、信号を送信する。ＥＣＵ１０−３は、バス２−２に送信された信号に基づいて車載機器の制御を行い、制御の結果を示す信号をバス２−２またはバス２−３に送信する。ＥＣＵ１０−２は、バス２−１から受信した信号に含まれる第１情報とバス２−２またはバス２−３から受信した信号に含まれる第２情報とに基づいて比較することで、車両における不正状態を検出することにより、より簡便な構成により、ネットワークにおける不正な行為から制御装置を守ることができる。

以上、本発明を実施するための形態について実施形態を用いて説明したが、本発明はこうした実施形態に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。

１、１Ａ、１Ｂ、１Ｃ‥通信システム、２…バス、２−１…バス（第１伝送路）、２−２…バス（第２伝送路）、２−３…バス（第３伝送路）、２−４…バス（第４伝送路）、１０…ＥＣＵ、１０−１…ＥＣＵ（第１装置）、１０−２…ＥＣＵ（第２装置）、１０−３…ＥＣＵ（制御装置）、１０−４…ＥＣＵ（制御装置）、１２０…記憶部、１８０…制御部、Ｍ１…メッセージ（第１の信号）、Ｍ２…メッセージ（第２の信号）、Ｄ１…第１情報、Ｄ２…第２情報

Claims (20)

1. 車両内に設けられた第１伝送路と第２伝送路のそれぞれに、信号を送信する第１装置と、
   前記第２伝送路に送信された前記信号に基づいて車載機器の制御を行い、制御の結果を示す信号を第３伝送路に送信する制御装置と、
   前記第１伝送路から受信した前記信号に含まれる第１情報と前記第３伝送路から受信した前記信号に含まれる第２情報とを比較することで、前記第１装置のなりすましが存在する状態を含む前記車両における不正状態を検出する第２装置と、
   を備える通信システム。
2. 前記第１装置は、
   所定の第３情報が含まれる信号を前記第２伝送路に送信するとともに、前記第３情報と異なる前記第１情報が含まれる信号を前記第１伝送路に送信し、
   前記制御装置は、
   前記第３情報を前記第２情報に変換し、
   前記第２装置は、
   前記第１情報と前記第２情報とが所定の程度を越えて異なる場合に、前記不正状態と判定する
   請求項１記載の通信システム。
3. 前記第１装置は、
   共通の情報が含まれる信号を、前記第１伝送路および前記第２伝送路に送信し、
   前記第２装置は、
   前記制御装置による変換によって前記第２情報が生成される基となった元情報を前記第２情報に基づいて予測して予測情報を生成し、前記第１情報と、前記予測情報とが、所定の程度を越えて異なる場合、もしくは、
   前記第１情報を前記変換と同じ変換をすることにより得られる情報と、前記第２情報とが、所定の程度を越えて異なる場合
   のうち少なくとも何れかの場合に、前記不正状態と判定する
   請求項１記載の通信システム。
4. 車両内に設けられた第１伝送路と第２伝送路のそれぞれに、制御装置に向けた信号を送信する第１装置と、
   前記第１伝送路に送信された信号に基づいて車載機器の制御を行い、制御の結果を示す第１の信号を第３伝送路に送信する第１制御装置と、
   前記第２伝送路に送信された信号に基づいて車載機器の制御を行い、制御の結果を示す第２の信号を第４伝送路に送信する第２制御装置と、
   前記第３伝送路から受信した第１の信号に含まれる第１情報と前記第４伝送路から受信した第２の信号に含まれる第２情報とを比較することで、前記第１装置のなりすましが存在する状態を含む前記車両における不正状態を検出する第２装置と、
   を備える通信システム。
5. 前記第１装置は、
   共通の情報が含まれる信号を、前記第１伝送路および前記第２伝送路に送信し、
   前記第２装置は、
   前記第１情報を基にして、前記第１制御装置によって前記第１情報が生成される基とした第１の元情報の推定値が決定され、前記第１の元情報の推定値に基づいて前記第２制御装置が生成し得る第２予測情報を決定して、前記第２情報と、前記第２予測情報とが、所定の程度を越えて異なる場合、
   前記第２情報を基にして、前記第２制御装置によって前記第２情報が生成される基とした第２の元情報の推定値が決定され、前記第２の元情報の推定値に基づいて前記第１制御装置が生成し得る第１予測情報を決定して、前記第１情報と前記第１予測情報とが所定の程度を越えて異なる場合、
   もしくは、
   前記第１情報を基にして、前記第１制御装置によって前記第１情報が生成される基とした第１の元情報の推定値が決定され、前記第２情報を基にして、前記第２制御装置によって前記第２情報が生成される基とした第２の元情報の推定値が決定され、前記第１の元情報と前記第２の元情報とが所定の程度を越えて異なる場合、
   のうち少なくとも何れかの場合に、前記不正状態と判定する
   請求項４記載の通信システム。
6. 前記第１装置および前記第２装置は、
   前記第１装置が前記第１伝送路に送信する第３情報または前記第２伝送路に送信する第４情報のいずれか一方を決定した場合に、他方の情報を所定の範囲で定める対応テーブルを有し、
   前記第２装置は、
   前記第１情報を基にして、前記第１制御装置によって前記第１情報が生成される基とした第１の元情報の推定値が決定され、前記第１の元情報の推定値に基づいて前記対応テーブルを参照して得られた変換値を決定し、決定した変換値に基づいて前記第２制御装置が変換することで取得され得る第２予測情報を決定して、前記第２情報と、前記第２予測情報とが、所定の程度を越えて異なる場合、
   前記第２情報を基にして、前記第２制御装置によって前記第２情報が生成される基とした第２の元情報の推定値が決定され、前記第２の元情報の推定値に基づいて前記対応テーブルを参照して得られた変換値を決定し、決定した変換値に基づいて前記第１制御装置が変換することで取得され得る第１予測情報を決定して、前記第１情報と前記第１予測情報とが所定の程度を越えて異なる場合、
   もしくは、
   前記第１情報を基にして、前記第１制御装置によって前記第１情報が生成される基とした第１の元情報の推定値が決定され、前記第２情報を基にして、前記第２制御装置によって前記第２情報が生成される基とした第２の元情報の推定値が決定され、前記第１の元情報と前記第２の元情報とが前記対応テーブルによる対応関係にない場合
   のうち少なくとも何れかの場合に、前記不正状態と判定する
   請求項４記載の通信システム。
7. 前記第４伝送路は、前記第２伝送路と同一の伝送路である
   請求項４から請求項６の何れか１項に記載の通信システム。
8. 前記第３伝送路は、前記第４伝送路と同一の伝送路である
   請求項４から請求項７の何れか１項に記載の通信システム。
9. 前記第３伝送路は、前記第１伝送路と同一の伝送路である
   請求項１から請求項８の何れか１項に記載の通信システム。
10. 少なくとも前記第１装置が送信する信号は、信号の送信元情報を含む
    請求項１から請求項９の何れか１項に記載の通信システム。
11. 前記第２装置は、
    前記第１情報と前記第２情報とのうちの少なくとも何れか一方の情報を、変換情報に変換して、前記何れか一方を変換した場合には前記第１情報と前記第２情報とのうちの他方と前記変換情報とを比較し、又は前記第１情報と前記第２情報との双方を変換した場合には前記第１情報の変換情報と前記第２情報の変換情報とを比較する
    請求項１から請求項１０の何れか１項に記載の通信システム。
12. 前記制御装置は、
    さらに別の情報を組み合わせて、前記第２情報に変換する
    請求項１から請求項１１の何れか１項に記載の通信システム。
13. 前記第２装置は、
    前記受信した信号に含まれる第１情報と、前記受信した信号に含まれる第２情報との間に所定の相関が認められない場合に、前記不正状態にあると判定する
    請求項１から請求項１２の何れか１項に記載の通信システム。
14. 前記第２装置は、
    前記第１情報と前記第２情報との何れかまたは双方の情報に基づいて前記第２装置に対応する車載機器によって実行される前記車両の機能を制御する
    請求項１から請求項１３の何れか１項に記載の通信システム。
15. 前記制御装置には、
    前記車両の機能を実行するハードウェアと当該ハードウェアの制御応答を取得するセンサとが対応付けられており、
    前記制御装置は、
    前記第２伝送路から受信した信号に含まれる制御指令値をもとに前記ハードウェアを制御して前記センサが取得する前記制御応答を、前記第２情報とする
    請求項１から請求項１４の何れか１項に記載の通信システム。
16. 前記ハードウェアは、駆動装置、変速機、計器のうちの何れかを含む
    請求項１５記載の通信システム。
17. 前記第２装置は、
    前記第１装置になりすました不正装置が存在すると判定することで、前記不正状態と判定する
    請求項１から請求項１６の何れか１項に記載の通信システム。
18. 前記第１装置、前記第２装置、および前記制御装置の少なくとも何れかは、異なる２以上の伝送路間の通信を仲介する機能を有する
    請求項１から請求項１７の何れか１項に記載の通信システム。
19. 前記制御装置は、
    自己に異常が生じた場合には、異常を示す情報を送信し、
    前記第２装置は、
    前記異常を示す情報を受信した場合には、前記制御装置における異常と判定することで、
    前記異常を示す情報を受信していない場合には、前記第１装置になりすました不正装置が存在すると判定することで、前記不正状態と判定する
    請求項１から請求項１８の何れか１項に記載の通信システム。
20. 請求項１から請求項１９の何れか１項に記載の通信システムにおける制御装置であって、
    前記第２情報を生成する規則を、前記第１装置または前記第２装置と共有する
    制御装置。

Images