JP7234839B2 - ゲートウェイ装置、異常監視方法、及び異常監視プログラム - Google Patents

Description

本発明は、車両等において複数の電子制御装置が接続される通信ネットワークにおいて、データフレームの監視、データフレームの異常検知及びデータフレームの中継を行うゲートウェイ装置、異常監視プログラム、及び異常監視方法に関する。

一般に車両等に搭載された複数の電子制御装置（ＥＣＵ：Electronic Control Unit）は、通信ネットワークにおいて共通の通信経路であるバスで接続される。各電子制御装置は他の電子制御装置との間でバスを介してデータフレームを授受することによって、情報のやり取りを行う。

例えば、車両においては、エンジンやトランスミッション等のための制御データであるリアルタイム制御情報を含んだデータフレームがバスを介して定期的にやり取りされることで円滑かつ安全な車両制御を実現することができる。

このようにＥＣＵの情報伝達にはバスによる接続が重要であるが、仮に不正なＥＣＵが接続されて不正なデータフレームがバスに流れた場合、正規のデータフレームとして誤って処理することにより、当該データフレームを受信したＥＣＵの誤認識、誤動作につながることが懸念される。

そこで、従来から、バスを流れるデータフレームを監視して、データフレームの正／不正または正常／異常を判定する方法が知られている。

特許文献１には、ＣＡＮのバスにて通信されるデータフレームを監視して、受信した複数のデータフレームのうち同一のＩＤ（識別子）のデータフレームの通信間隔を求め、当該通信間隔とあらかじめ規定された通信間隔との比較に基づいてフレームの正常／異常が判定される方法（周期監視）が記載されている。

一方、特許文献２や特許文献３においては、上述のようにデータフレームの通信間隔だけで異常の判定を行うのではなく、単位時間におけるデータフレームの出現数（頻度）に基づいて、データフレームの異常を判断する方法（頻度監視）の開示がある。

特許文献１乃至特許文献３のようにデータフレームの周期監視や頻度監視による異常検知処理を行う通信システムは、受信したデータフレームの異常を判断するために有効である。

ＷＯ２０１３／０９４０７２（特許第５６６４７９９号） 特開２０１７－１２６９７８ 特開２００９－２５３５５７（特許第５２２２００２号）

データフレームを効率良く監視するには、複数のバスに接続されデータフレームの中継を行うゲートウェイ装置で監視するのが望ましい。しかしながら、ゲートウェイ装置において、監視対象のデータフレーム全てについて異常検知処理を行うと、周期監視や頻度監視のための受信時間の差分を求める処理やデータフレームの数を集計する等の処理も監視対象のデータフレーム全てについて行なわなければならず、ゲートウェイ装置のハードウェアやソフトウェアの処理負荷が重たくなるおそれがあった。

本開示は、上述の事情に鑑みてされたものであり、データフレームの異常検知処理を行うに際してのハードウェアまたはソフトウェアの処理の負荷を軽減するゲートウェイ装置、異常監視プログラム及び異常監視方法を提供することを目的とする。

本開示の一態様であるゲートウェイ装置は、複数のバスに接続されデータフレームの監視及び中継を行うゲートウェイ装置（１００）であって、前記複数のバスのいずれかのバスを受信バスとして前記データフレームを受信する受信部（２０１）と、監視対象である監視対象データフレームと、前記監視対象データフレームを送信する送信元電子制御装置が接続されている監視対象送信元バスと、が関連付けられた監視対象情報（２０３）が保存されている保存部（２０２）と、前記監視対象情報に基づき、前記受信部で受信した前記データフレームが前記監視対象データフレームであるか否かを判定する監視対象判定部（２０５）と、前記監視対象判定部が前記データフレームは前記監視対象データフレームであると判定した場合、前記監視対象情報に基づき、前記受信バスと前記監視対象送信元バスとが一致するか否かを判定するバス判定部（２０７）と、前記バス判定部が前記受信バスと前記監視対象送信元バスとが一致すると判定した場合に、前記データフレームの異常検知を行う異常検知部（２０８）と、を有する。

上述のような構成によりゲートウェイ装置は、バス判定部が受信バスと監視対象送信元バスとが一致すると判定した場合にデータフレームの異常検知を行うようにしたため、監視対象データフレームの全てについて異常検知を行う必要がなくなり、異常検知部の処理に伴う負荷を削減することができる。

本開示の実施形態に共通の通信システムの例について示す図 本開示の実施形態に共通のゲートウェイ装置の機能とデータフレームの種類との関係を示す図 本開示の第一の実施形態に係るゲートウェイ装置の構成例について示す図 本開示の第一の実施形態に係るゲートウェイ装置の受信部で受信するデータフレームの例を示す図 本開示の第一の実施形態に係る保存部に保存される監視対象情報の例について示す図 本開示の第一の実施形態に係るゲートウェイ装置における異常監視処理のフローチャート 本開示の第二の実施形態に係るゲートウェイ装置の構成例について示す図 本開示の第二の実施形態に係る保存部に保存される中継対象情報の例について示す図 本開示の第二の実施形態に係るゲートウェイ装置における異常監視処理のフローチャート 本開示のその他の実施形態に係るゲートウェイ装置の構成例について示す図 本開示のその他の実施形態に係るゲートウェイ装置の構成例について示す図 本開示のその他の実施形態に係る保存部に保存されるデータフレーム情報の例について示す図

以下、本開示の通信システム１及びゲートウェイ装置１００の構成、機能及び動作について、図面を参照して説明する。

なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。

特許請求の範囲の従属項に記載の構成および方法、従属項に記載の構成および方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成および方法は、本発明においては任意の構成および方法である。特許請求の範囲の記載が実施形態の記載より広い場合における実施形態に記載の構成および方法も、本発明の構成および方法の例示であるという意味で、本発明においては任意の構成および方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。

実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。

複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせても良い。また、複数の実施形態それぞれに開示の構成を集めて組み合わせても良い。
発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成および方法と共に発明の進歩性を肯定する事実である。

１．各実施形態に共通の構成
（通信システムの構成）
図１に示すように通信システム１において、ゲートウェイ装置１００は、複数の「バス」であるバス１０２、バス１０３、及びバス１０４に接続され、「データフレーム」の監視及び中継を行う。

ここで、「バス」とは、機器間でデータを交換するための経路であればよく、必ずしもバスと呼ばれるものとは限らない。例えば通信線や、ケーブル、ネットワークと呼ばれるものも含む。
「データフレーム」とは、所定の形式で生成されたデータであり、必ずしもフレームと呼ばれるものとは限らない。例えば、データパケット、データブロックと呼ばれるものも含む。
「ゲートウェイ装置」とは、バス間でデータフレームの中継を行う機能があればよく、受信したデータフレーム全てを中継する必要はない。

図１において、通信システム１は車載システムを想定しており、バス１０２、バス１０３、バス１０４は、ＣＡＮ（登録商標、以下省略）のバスである。バスはＣＡＮに限らず、ＬＩＮ、ＦｌｅｘＲａｙ（登録商標）、ＭＯＳＴ（登録商標）であってもよいし、その他の車載バスであってもよい。
また、バスは車載用途に限らず、イーサネット（登録商標）等、一般用途のローカルネットワーク（ＬＡＮ）に用いるバスでもよい。さらに、バスは、シリアルバスであってもよいし、パラレルバスであってもよい。そして、バスはこれら有線方式に限らず、無線方式であってもよい。
なお、ゲートウェイ装置１００に接続されるバスは複数であればよく、その数は任意である。

図１の通信システム１の例では、ＥＣＵ１０５とＥＣＵ１０６はバス１０２に接続され、ＥＣＵ１０７がバス１０３に接続され、ＥＣＵ１０８がバス１０４に接続され、そしてゲートウェイ装置１００はすべてのバスと接続されている。
そして、図１では、データフレームが、ゲートウェイ装置１００を介さず、バス１０２を通じてＥＣＵ１０５からＥＣＵ１０６に送信される例が示されている。また、データフレームが、ゲートウェイ装置１００を介して、バス１０３及びバス１０４を通じてＥＣＵ１０７からＥＣＵ１０８に送信される例が示されている。

ゲートウェイ装置１００は、監視機能と中継機能の２つの機能を有する。

中継機能は、一のバスで受信したデータフレームが中継対象データフレームである場合に、送信先である電子制御装置が接続された他のバスにデータフレームを送信する機能である。
例えば、ＥＣＵ１０５からＥＣＵ１０６に送信されるデータフレームは中継対象データフレームではないので、ゲートウェイ装置１００はデータフレームの中継は行わない。これに対して、ＥＣＵ１０７からＥＣＵ１０８に送信されるデータフレームは中継対象データフレームであるので、ゲートウェイ装置１００はデータフレームの中継を行う。

監視機能は、受信したデータフレームが監視対象データフレームである場合に、データフレームが正常か異常かを検知する異常検知を行う機能である。
例えば、ＥＣＵ１０５からＥＣＵ１０６に送信されるデータフレームが監視対象データフレームである場合、ゲートウェイ装置１００は受信したデータフレームに対し異常検知を行う。ＥＣＵ１０５からＥＣＵ１０６に送信されるデータフレームが監視対象データフレームでない場合、ゲートウェイ装置１００は受信したデータフレームに対し異常検知を行なわない。そして、いずれの場合もデータフレームは中継対象データフレームではないので、ゲートウェイ装置１００は受信したデータフレームを破棄する。
例えば、ＥＣＵ１０７からＥＣＵ１０８に送信されるデータフレームが監視対象データフレームである場合、ゲートウェイ装置１００は受信したデータフレームに対し異常検知を行う。ＥＣＵ１０７からＥＣＵ１０８に送信されるデータフレームが監視対象データフレームでない場合、ゲートウェイ装置１００は受信したデータフレームに対し異常検知を行なわない。そして、いずれの場合もデータフレームは中継対象データフレームであるので、ゲートウェイ装置１００は受信したデータフレームを中継する。

図２は、以上のゲートウェイ装置１００の監視機能及び中継機能と、データフレームの種類との関係を示したものである。データフレームが監視対象であれば異常検知を行い、監視対象でなければ異常検知は行わない。またデータフレームが中継対象であれば中継を行い、中継対象でなければ中継を行わず破棄する。
このように、データフレームの種類に応じてゲートウェイ装置１００で行われる処理が異なる。
なお、データフレームが監視対象データフレームであることと中継対象データフレームであることとは特に関係はなく、独立してこれらの属性を設定することができる。もちろん、これらの属性に相関を持たせるようにしてもよい。例えば中継対象フレームは必ず監視対象フレームとするように設定してもよい。

図１では、ゲートウェイ装置１００、ＥＣＵ１０５、ＥＣＵ１０６、ＥＣＵ１０７、及びＥＣＵ１０８が、全て車両に搭載されている例を想定しているが、このうち一部が車両に搭載され、残りが車両外に搭載されていても良い。例えば、１つのＥＣＵが無線通信を介してゲートウェイ装置１００と接続される場合、あるいはメンテナンス工場で用いるＥＣＵとしての外部装置が、バス又はゲートウェイ装置１００に有線で接続される場合、が考えられる。

ゲートウェイ装置１００は、専用のハードウェアで構成してもよいが、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）等の揮発性記憶部、マスクＲＯＭ（Read Only Memory）やフラッシュメモリ等の不揮発性記憶部を有し、更にＣＡＮのバスと接続するための通信インターフェース部等を有している。このようなゲートウェイ装置１００はパッケージ化された半導体装置であっても、配線基板において各半導体装置が配線接続された構成であってもよい。

ＥＣＵ１０５、ＥＣＵ１０６、ＥＣＵ１０７、及びＥＣＵ１０８も、ゲートウェイ装置１００と同様にＣＰＵ、ＲＡＭ等の揮発性記憶部、マスクＲＯＭ（Read Only Memory）やフラッシュメモリ等の不揮発性記憶部を有し、更にＣＡＮのバスと接続するための通信インターフェース部等を有している。各ＥＣＵはパッケージ化された半導体装置であっても、配線基板において各半導体装置が配線接続された構成であってもよい。

２．第一の実施形態
（第一の実施形態に係るゲートウェイ装置の構成）
図３に示すように、ゲートウェイ装置１００は、受信部２０１、保存部２０２、制御部２０４、送信部２０６、バス判定部２０７、及び異常検知部２０８を有する。

受信部２０１は、複数のバスであるバス１０２、バス１０３、及びバス１０４に接続され、これらのバスからデータフレームを受信する。つまり、特定のデータフレームに着目した場合、バス１０２、バス１０３、又はバス１０４のいずれかのバスを受信バスとしてデータフレームを受信する。

図４は、データフレームの例であるＣＡＮデータフレームを示したものである。ＣＡＮデータフレームは、４つのフィールドからなり、それぞれ識別子（ＩＤ）、データ長、データ、及びＣＲＣを有している。
識別子（ＩＤ）は、データの種類を識別するものである。例えば、アクセルやブレーキなどの動力伝達（パワートレイン）系システム、ナビゲーションなどの情報系システム、ドアやミラーなどの車体（ボディ）系システム、等の制御に用いられる具体的なデータの種類を識別するものである。
データ長は、データの長さを示すものである。
データは、ユーザが定義できる具体的な情報である。
ＣＲＣは、誤り検出符号である。

保存部２０２には、監視対象である監視対象データフレームと、監視対象データフレームを送信する「送信元電子制御装置」が接続されている監視対象送信元バスと、が「関連付けられた」監視対象情報２０３が保存されている。
保存部２０２は、ＲＡＭ等の揮発性記憶部であっても、マスクＲＯＭやフラッシュメモリ等の不揮発性記憶部であってもよい。

ここで、「送信元電子制御装置」とは、データフレームを送信する機器をいい、当該機器でデータフレームを生成して送信する場合の他、当該機器でデータフレームを取得して送信する場合も含む。
また、「関連付けられた」とは、監視対象データフレームと監視対象送信元バスとの対応関係が特定できればよく、フレームとバスとの関連付けが直接的であっても間接的であってもよい。

図５は、監視対象情報２０３の具体例を示すものである。
監視対象情報２０３は、監視対象データフレームの識別子（ＩＤ）、監視対象送信元バス、及び異常検知方法からなる。

監視対象データフレームの識別子（ＩＤ）は、ゲートウェイ装置１００で監視を行うデータフレームを特定するものである。例えば、定期的に又は優先的に送受信される車両制御データやドライバの安全に関与するデータなどの重要なデータを監視対象データフレームとして設定することができる。図５の例によれば、識別子（ＩＤ）が0x100、0x300、0x500であるデータフレームが監視対象データフレームとして設定されている。

監視対象送信元バスは、監視対象データフレームを送信する送信元電子制御装置が接続されているバスである。すなわち、ゲートウェイ装置１００が正常な監視対象データフレームを受信すべきバスと一致する。図５の例では、図３においてゲートウェイ装置１００に接続されている３つのバスをバスＡ、バスＢ、バスＣとしたときのバス名が設定されている。

異常検知方法は、異常検知部２０８が具体的に実行する異常検知の方法を特定するものである。例えば、周期監視や頻度監視のような監視方法、メッセージ認証コード、公開鍵や秘密鍵のような暗号鍵、を特定するものが挙げられる。

制御部２０４は、監視対象判定部２０５を有している。監視対象判定部２０５は、「監視対象情報２０３に基づき」、受信部２０１で受信したデータフレームが監視対象データフレームであるか否かを判定する。例えば、受信部２０１で受信したデータフレームの識別子（ＩＤ）と監視対象情報２０３に保存されている識別子（ＩＤ）とを照合することによって、受信したデータフレームが監視対象データフレームであるか否かを判定する。

ここで、「監視対象情報に基づき」とは、監視対象情報を参照していればよく、参照が監視対象情報の全部である場合はもちろん、一部であってもよい。

送信部２０６は、複数のバスであるバス１０２、バス１０３、及びバス１０４に接続され、これらのバスに対してデータフレームを送信する。より具体的には、ゲートウェイ装置１００の中継機能に基づいて、受信したデータフレームを中継する場合には、受信バスとは異なるバスである送信バスを介して、当該データフレームを送信先電子制御装置へ送信する。

バス判定部２０７は、監視対象判定部２０５が受信したデータフレームは監視対象データフレームであると判定した場合、「監視対象情報２０３に基づき」、受信バスと監視対象送信元バスとが一致するか否かを判定する。例えば、バス判定部２０７は、受信バスと、受信したデータフレームの識別子（ＩＤ）を有する監視対象データフレームと関連付けられている監視対象送信元バスとが一致するか否かを判定する。受信バスと監視対象送信元バスとが一致すれば、次に述べる異常検知部２０８で異常検知を行う。受信バスと監視対象送信元バスとが一致しなければ、異常検知部２０８で判断するまでもなく当該データフレームは異常であると判断できる。

異常検知部２０８は、バス判定部２０７が受信バスと監視対象送信元バスとが一致すると判定した場合に、受信部２０１で受信したデータフレームの異常検知を行う。異常検知は任意の方法を用いることができる。また、データフレームの種類によらず同じ方法を用いても、データフレームの種類によって異なる方法を用いてもよい。本実施形態では、監視対象情報２０３においてデータフレームの識別子（ＩＤ）に対応する異常検知方法を用いて異常検知を行う。例えばメッセージ認証コードによる認証処理を行う場合、送信元のＥＣＵとゲートウェイ装置１００の間であらかじめ共有鍵を共有しておき、送信元のＥＣＵでデータフレームのデータに対して当該共有鍵を適用して求めたハッシュ値をＭＡＣ（Message Authentication Code）値として送信し、ゲートウェイ装置１００で同様の方法で求めたＭＡＣ値と送信元のＥＣＵが送信したＭＡＣ値とを比較し、ＭＡＣ値が異なる場合は異常と判断すればよい。

なお、受信したデータフレームが異常検知部２０８で異常と判断された場合、またはバス判定部２０７で異常と判断された場合には、後段に異常対応部を設けて異常対応処理を行っても良い。異常対応処理の例としては、異常と判断されたデータフレームを破棄する、異常と判断されたデータフレームを受信する電子制御装置に対して異常であることの通知を行う、又は異常と判断されたデータフレームが異常であることのログを残す、等が挙げられる。

また、受信したデータフレームが異常検知部２０８で正常と判断された場合、又は受信したデータフレームが監視対象データフレームでない場合、当該データフレームが中継対象データフレームであれば中継を行い、当該データフレームが中継対象データフレームでなければ破棄する。

以上の構成により、バス判定部２０７において、受信した監視対象データフレームにかかる受信バスが監視対象送信元バスと一致しない場合は、当該データフレームが異常であると判断することができるので、当該データフレームについて異常検知を行う必要がなくなり、異常検知部２０８の負荷を削減することができる。

（第一の実施形態に係るゲートウェイ装置の動作）
図６のフローチャートを用いて、ゲートウェイ装置１００の動作について説明する。なお、以下の動作は、ゲートウェイ装置１００における異常監視方法を示すだけでなく、ゲートウェイ装置１００で実行される異常監視プログラムの処理手順を示すものである。以下、各実施形態のフローチャートについても同様である。

ステップＳ１０１において、受信部２０１は、バス１０２、バス１０３、バス１０４の各バスのいずれかのバスを受信バスとしてデータフレームを受信する。この際、受信したデータフレームの識別子（ＩＤ）及び当該データフレームを受信した受信バスを特定する情報を取得、保存する。

ステップＳ１０２において、監視対象判定部２０５は、受信したデータフレームの識別子（ＩＤ）と、保存部２０２の監視対象情報２０３に保存された識別子（ＩＤ）とを照合して、当該データフレームが監視対象データフレームであるか否かを判定する。

受信したデータフレームが監視対象データフレームである場合（Ｓ１０２：ｙ）には、ステップＳ１０３において、バス判定部２０７は、受信バスと、監視対象情報２０３に保存されている当該データフレームの識別子（ＩＤ）に対応する監視対象送信元バスと照合して、両者が一致するか否かを判定する。

受信バスと監視対象送信元バスとが一致した場合（Ｓ１０３：ｙ）、Ｓ１０４にて、異常検知部２０８は、当該データフレームについて異常検知処理を行う。異常検知処理の結果、異常と判断された場合は、上述したように所定の異常対応処理を行う。異常検知処理の結果、正常と判断された場合は、当該データフレームが中継対象データフレームか否かによって、中継又は破棄する。つまり、当該データフレームが中継対象データフレームである場合には中継を行う。当該データフレームが中継対象データフレームではない場合には、ゲートウェイ装置１００内ではこれ以上処理する必要はないので当該データフレームを破棄する処理を行う。

受信したデータフレームが監視対象データフレームではない場合（Ｓ１０２：ｎ）、ステップＳ１０６にて特に異常検知処理は行わない。そして、Ｓ１０４での説明と同様、当該データフレームが中継対象データフレームか否かによって、当該データフレームを中継又は破棄する。

受信バスと監視対象送信元バスとが一致しない場合（Ｓ１０３：ｎ）、データフレームが異常であると判断できるので、Ｓ１０５で当該データフレームは異常検知処理を行なわずして異常と判断して所定の異常対応処理を行う。

以上の動作により、受信した監視対象データフレームにかかる受信バスが監視対象送信元バスと一致しない場合は、当該データフレームが異常であると判断することができるので、当該データフレームについて異常検知処理を行う必要がなく、異常検知処理の負荷を削減することができる。

３．第二の実施形態
（第二の実施形態に係るゲートウェイ装置の構成）
図７に本開示の第二の実施形態に係るゲートウェイ装置３００の構成例を示す。図３で示した第一の実施形態のゲートウェイ装置１００とは、保存部３０２に中継対象情報３０３を保存している点、制御部３０４に中継対象判定部３０１を設けている点、の他、バス判定部３０７の機能が異なる。第一の実施形態と同様の構成については、図３と同一の符号を付しており、適宜説明を省略する。

保存部３０２には、監視対象情報２０３に加えてさらに、中継対象である中継対象データフレームと、中継対象データフレームを送信する「送信元電子制御装置」が接続されている中継対象送信元バスと、が「関連付けられた」中継対象情報３０３が保存される。

図８は、中継対象情報３０３の具体例を示すものである。
中継対象情報３０３は、中継対象データフレームの識別子（ＩＤ）、中継対象送信元バス、及び送信先バスからなる。

中継対象データフレームの識別子（ＩＤ）は、ゲートウェイ装置１００で中継を行うデータフレームを特定するものである。図８の例によれば、識別子（ＩＤ）が0x100、0x200、0x400であるデータフレームが中継対象データフレームとして設定されている。

中継対象送信元バスは、中継対象データフレームを送信する送信元電子制御装置が接続されているバスである。すなわち、ゲートウェイ装置３００が正常な中継対象データフレームを受信すべきバスと一致する。図８の例では、図７においてゲートウェイ装置３００に接続されている３つのバスをバスＡ、バスＢ、バスＣとしたときのバス名が設定されている。

送信先バスは、中継対象データフレームを受信する送信先電子制御装置が接続されているバスである。ゲートウェイ装置３００は、受信した中継対象データフレームを送信先バスに出力する。

制御部３０４は、監視対象判定部２０５に加えてさらに、中継対象判定部３０１を有する。中継対象判定部３０１は、「中継対象情報３０３に基づき」、受信部２０１で受信したデータフレームが中継対象データフレームであるか否かを判定する。例えば、受信部２０１で受信したデータフレームの識別子（ＩＤ）と中継対象情報３０３に保存されている識別子（ＩＤ）とを照合することによって、受信したデータフレームが中継対象データフレームであるか否かを判定する。図８の例では、受信したデータフレームの識別子（ＩＤ）が0x100、0x200、0x400である場合は、当該受信したデータフレームが中継対象データフレームであると判定する。

ここで、「中継対象情報に基づき」とは、中継対象情報を参照していればよく、参照が中継対象情報の全部である場合はもちろん、一部であってもよい。

バス判定部３０７は、中継対象判定部３０１により受信したデータフレームは中継対象データフレームであると判定した場合、「中継対象情報３０３に基づき」、受信バスと中継対象送信元バスとが一致するか否かを判定する。受信バスと中継対象送信元バスとが一致しない場合は、当該データフレームは異常と判定し、破棄する。

以上の構成により、バス判定部３０７において、受信した中継対象データフレームにかかる受信バスが中継対象送信元バスと一致しない場合は、当該データフレームが異常であると判断することができるので、当該データフレームが監視対象データフレームであったとしても、後段の異常検知部２０８で判断するまでもなく、当該データフレームは異常であると判断できる。したがって、当該データフレームについて異常検知部２０８で異常検知を行う必要がなくなり、異常検知部の負荷を削減することができる。

（第二の実施形態に係るゲートウェイ装置の動作）
図９のフローチャートより、第二の実施形態に係るゲートウェイ装置３００の動作について説明する。図６と同様のステップについては同一の符号を付しており、適宜説明を省略する。

ステップＳ２０１において、中継対象判定部３０１は、受信したデータフレームに含まれる識別子（ＩＤ）と、中継対象情報３０３に保存された識別子（ＩＤ）とを照合して、当該データフレームが中継対象データフレームであるかどうかを判定する。

受信したデータフレームが中継対象データフレームである場合（Ｓ２０１：ｙ）には、ステップＳ２０２において、バス判定部３０７は、受信バスと、中継対象情報３０３に保存されている当該データフレームの識別子（ＩＤ）に対応する中継対象送信元バスと照合する。

受信したデータフレームが中継対象データフレームではない場合（Ｓ２０１：ｎ）、または受信バスと当該データフレームの識別子（ＩＤ）に対応する中継対象送信元バスが一致した場合（Ｓ２０２：ｙ）、ステップＳ１０２の処理に進み、以下の動作は第一の実施形態に係るゲートウェイ装置の動作と同様である。

受信バスと当該データフレームの識別子（ＩＤ）に対応する中継対象送信元バスが一致しない場合（Ｓ２０２：ｎ）、異常検知処理は行わず、ステップＳ１０５に進む。

なお、Ｓ２０２において、バス判定部３０７で受信バスと中継対象送信元バスとの照合を行った場合は、Ｓ１０３において、バス判定部３０７で受信バスと監視対象送信元バスと照合を行う必要はない。

以上の動作により、受信した中継対象データフレームにかかる受信バスが中継対象送信元バスと一致しない場合は、当該データフレームが異常であると判断することができるので、当該データフレームが監視対象データフレームであったとしても、当該データフレームについて異常検知処理を行う必要がなくなり、異常検知処理の負荷を削減することができる。

４．その他の発明
（中継対象判定のみの実施形態）
図１０に、本実施形態に係るゲートウェイ装置５００の構成例を示す。図１０で示したゲートウェイ装置５００は、図７で示される実施形態２のゲートウェイ装置３００から、監視対象判定部２０５及び監視対象情報２０３を省略したものである。すなわち、受信したデータフレームが監視対象データフレームか否かの判定は行わない。また、異常検知部２０８で異常検知を行うか否かは任意である。各ブロックの機能及び動作は、対応する実施形態１及び実施形態２の説明を引用する。

本実施形態でサポートされる発明は以下の通りである。
複数のバスに接続されデータフレームの監視及び中継を行うゲートウェイ装置（５００）であって、
前記複数のバスのいずれかのバスを受信バスとして前記データフレームを受信する受信部（２０１）と、
中継対象である中継対象データフレームと、前記中継対象データフレームを送信する送信元電子制御装置が接続されている中継対象送信元バスと、が関連付けられた中継対象情報（３０３）が保存されている保存部（５０２）と、
前記中継対象情報に基づき、前記受信部で受信した前記データフレームが前記中継対象データフレームであるか否かを判定する中継対象判定部（３０１）と、
前記中継対象判定部が前記データフレームは前記中継対象データフレームであると判定した場合、前記中継対象情報に基づき、前記受信バスと前記中継対象送信元バスとが一致するか否かを判定するバス判定部（５０７）と、を有し、
前記バス判定部が前記受信バスと前記中継対象送信元バスとが一致しないと判定した場合、前記データフレームが異常であると判断する、
ゲートウェイ装置（５００）。

（監視対象判定及び中継対象判定のいずれも行わない実施形態）
図１１に、本実施形態に係るゲートウェイ装置７００の構成例を示す。図１１で示したゲートウェイ装置７００は、図７で示される実施形態２のゲートウェイ装置３００から、監視対象判定部２０５、中継対象判定部３０１、制御部３０４、監視対象情報２０３、及び中継対象情報３０３を省略したものである。すなわち、受信したデータフレームが監視対象データフレームか否かどうかの判定は行わない。また、受信したデータフレームが中継対象データフレームであるか否かの判定も行わない。本実施形態では、保存部７０２に受信予定情報７０３を保存している。異常検知部２０８で異常検知を行うか否かは任意である。
実施形態１及び２と共通するブロックの機能及び動作は、対応する実施形態１及び実施形態２の説明を引用する。

図１２に受信予定情報７０３の例を示す。受信予定情報７０３は、ゲートウェイ装置７００が受信する可能性のある受信予定データフレームと、受信予定データフレームを送信する送信元電子制御装置が接続されている送信元バスと、が関連付けられて保存されている。本実施形態では、受信予定データフレームの識別子（ＩＤ）、受信予定データフレームが監視対象であるか中継対象であるかのフラグ、受信予定データフレームの送信元バス、受信予定フレームの送信先バス、が関連付けられて保存されている。

バス判定部７０７は、「受信予定情報７０３に基づき」、受信部２０１で受信したデータフレームの受信バスと送信元バスとが一致するか否かを判定する。例えば、受信部２０１で受信したデータフレームの識別子（ＩＤ）と受信予定情報７０３に保存されている識別子（ＩＤ）とを照合して対応する送信元バスを特定する。そして、受信バスと送信元バスとが一致するか否かを判定する。受信バスと送信元バスとが一致しない場合は、当該データフレームは異常と判定し、破棄する。受信バスと送信元バスとが一致する場合は、監視対象、中継対象のフラグに従い、異常検知や中継を行う。

本実施形態でサポートされる発明は以下の通りである。
複数のバスに接続されデータフレームの監視及び中継を行うゲートウェイ装置（７００）であって、
前記複数のバスのいずれかのバスを受信バスとして前記データフレームを受信する受信部（２０１）と、
当該ゲートウェイ装置で受信する可能性のある受信予定データフレームと、前記受信予定データフレームを送信する送信元電子制御装置が接続されている送信元バスと、が関連付けられた受信予定情報（７０３）が保存されている保存部（７０２）と、
前記受信予定情報に基づき、前記受信バスと前記送信元バスとが一致するか否かを判定するバス判定部（７０７）と、を有し、
前記バス判定部が前記受信バスと前記送信元バスとが一致しないと判定した場合、前記データフレームが異常であると判断する、
ゲートウェイ装置（７００）。

（総括）
以上、本発明の各実施形態におけるゲートウェイ装置、異常監視プログラム、及び異常監視方法の特徴について説明した。

各実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。

実施形態の説明に用いたブロック図は、装置等の構成を機能毎に分類および整理したものである。これらの機能ブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、および当該方法を実現するプログラムの発明の開示としても把握できるものである。

各実施形態に記載した処理、フロー、および方法として把握できる機能ブロックについては、一のステップで他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えても良い。

各実施形態、および本発明で使用する「第１」「第２」乃至「第Ｎ」（Ｎは整数）の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。

本発明は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記憶媒体に記憶した本発明を実現するためのプログラム、およびこれを実行可能な専用又は汎用ＣＰＵおよびメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。

専用や汎用のハードウェアの記憶媒体（外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ/ＢＤ等））、内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記憶媒体を介して、あるいは記憶媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。専用や汎用のハードウェアの記録媒体および内部記憶装置はコンピュータ読み取り可能な非遷移的実体的記憶媒体の一例である。

本発明のゲートウェイ装置は、主として自動車において利用される車両用の通信システムで用いるゲートウェイ装置として説明したが、車両用に限らず、様々な用途に用いられるゲートウェイ装置に適用可能である。

１００ ゲートウェイ装置、２０１ 受信部、２０２ 保存部、２０３ 監視対象情報、２０５ 監視対象判定部、２０７ バス判定部、２０８ 異常検知部、３０１ 中継対象判定部、３０３ 中継対象情報

Claims (6)

1. 複数のバスに接続されデータフレームの監視及び中継を行うゲートウェイ装置（１００）であって、
   前記複数のバスのいずれかのバスを受信バスとして前記データフレームを受信する受信部（２０１）と、
   正常か異常かを検知する対象として設定された監視対象データフレームと、前記監視対象データフレームを送信する送信元電子制御装置が接続されている監視対象送信元バスと、が関連付けられた監視対象情報（２０３）が保存されている保存部（２０２）と、
   前記監視対象情報に基づき、前記受信部で受信した前記データフレームが前記監視対象データフレームであるか否かを判定する監視対象判定部（２０５）と、
   前記監視対象判定部が前記データフレームは前記監視対象データフレームであると判定した場合、前記監視対象情報に基づき、前記受信バスと前記監視対象送信元バスとが一致するか否かを判定するバス判定部（２０７）と、
   前記バス判定部が前記受信バスと前記監視対象送信元バスとが一致すると判定した場合に、前記データフレームの異常検知を行う異常検知部（２０８）と、を有し、
   前記バス判定部が前記受信バスと前記監視対象送信元バスとが一致しないと判定した場合、前記データフレームが異常であると判断する、
   ゲートウェイ装置（１００）。
2. 前記保存部には、さらに、中継対象である中継対象データフレームと、前記中継対象データフレームを送信する送信元電子制御装置が接続されている中継対象送信元バスと、が関連付けられた中継対象情報（３０３）が保存され、
   前記中継対象情報に基づき、前記受信部で受信した前記データフレームが前記中継対象データフレームであるか否かを判定する中継対象判定部（３０１）を有し、
   前記バス判定部は、前記中継対象判定部が前記データフレームは前記中継対象データフレームであると判定した場合、前記中継対象情報に基づき、前記受信バスと前記中継対象送信元バスとが一致するか否かを判定する、
   請求項１記載のゲートウェイ装置（３００）。
3. 前記バス判定部が前記受信バスと前記中継対象送信元バスとが一致しないと判定した場合、前記データフレームが異常であると判断する、
   請求項２記載のゲートウェイ装置。
4. 前記バス判定部が前記受信バスと前記中継対象送信元バスとが一致すると判定した場合、又は前記中継対象判定部が前記データフレームは前記中継対象データフレームでないと判定した場合、前記監視対象判定部は、前記監視対象情報に基づき、前記データフレームが前記監視対象データフレームであるか否かを判定する、
   請求項２記載のゲートウェイ装置。
5. 複数のバスに接続されデータフレームの監視及び中継を行うゲートウェイ装置で実行される異常監視プログラムであって、
   前記複数のバスのいずれかのバスを受信バスとして前記データフレームを受信し（Ｓ１０１）、
   正常か異常かを検知する対象として設定された監視対象データフレームと、前記監視対象データフレームを送信する送信元電子制御装置が接続されている監視対象送信元バスと、が関連付けられた監視対象情報に基づき、受信した前記データフレームが前記監視対象データフレームであるか否かを判定し（Ｓ１０２）、
   前記データフレームは前記監視対象データフレームであると判定した場合、前記監視対象情報に基づき、前記受信バスと、前記監視対象送信元バスとが一致するか否かを判定し（Ｓ１０３）、
   前記受信バスと前記監視対象送信元バスとが一致すると判定した場合に、前記データフレームの異常検知を行い（Ｓ１０４）、
   前記受信バスと前記監視対象送信元バスとが一致しないと判定した場合、前記データフレームが異常であると判断する（Ｓ１０５）、
   異常監視プログラム。
6. 複数のバスに接続されデータフレームの監視及び中継を行うゲートウェイ装置で行われる異常監視方法であって、
   前記複数のバスのいずれかのバスを受信バスとして前記データフレームを受信し（Ｓ１０１）、
   正常か異常かを検知する対象として設定された監視対象データフレームと、前記監視対象データフレームを送信する送信元電子制御装置が接続されている監視対象送信元バスと、が関連付けられた監視対象情報に基づき、受信した前記データフレームが前記監視対象データフレームであるか否かを判定し（Ｓ１０２）、
   前記データフレームは前記監視対象データフレームであると判定した場合、前記監視対象情報に基づき、前記受信バスと、前記監視対象送信元バスとが一致するか否かを判定し（Ｓ１０３）、
   前記受信バスと前記監視対象送信元バスとが一致すると判定した場合に、前記データフレームの異常検知を行い（Ｓ１０４）、
   前記受信バスと前記監視対象送信元バスとが一致しないと判定した場合、前記データフレームが異常であると判断する（Ｓ１０５）、
   異常監視方法。
   

Images