WO2020179050A1 - 通信監視装置、通信監視方法及び通信監視プログラム - Google Patents

通信監視装置、通信監視方法及び通信監視プログラム Download PDF

Info

Publication number
WO2020179050A1
WO2020179050A1 PCT/JP2019/009020 JP2019009020W WO2020179050A1 WO 2020179050 A1 WO2020179050 A1 WO 2020179050A1 JP 2019009020 W JP2019009020 W JP 2019009020W WO 2020179050 A1 WO2020179050 A1 WO 2020179050A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication
error
safety
determination
monitoring device
Prior art date
Application number
PCT/JP2019/009020
Other languages
English (en)
French (fr)
Inventor
直輝 伊藤
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to PCT/JP2019/009020 priority Critical patent/WO2020179050A1/ja
Priority to TW108123759A priority patent/TW202034659A/zh
Publication of WO2020179050A1 publication Critical patent/WO2020179050A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L1/00—Arrangements for detecting or preventing errors in the information received

Definitions

  • the present invention relates to a technology for monitoring communication safety in a communication device in which a communication protocol for realizing safe communication in a functional safety standard is executed.
  • Non-Patent Document 1 the safety communication defined by the international standard IEC61784-3 (Non-Patent Document 1), which is a functional safety standard.
  • the functional safety is an acceptable level of safety realized by introducing a function for ensuring safety.
  • a safety communication layer In safe communication, an upper communication layer called a safety communication layer (SCL: Safety Communication Layer) independently takes measures against communication errors. This provides a highly reliable communication means that does not depend on the communication layer called the lower black channel.
  • An index indicating the reliability of safety communication is called SIL (Safety Integrity Level). For example, in order to achieve SIL3, it is required that the rate at which an error cannot be detected is smaller than 10 ⁇ 9 /h (hour) even with a communication error countermeasure provided in the safety communication layer. The probability that an error cannot be detected is called the residual error rate, and the residual error rate is set to the rate per hour is called the residual error rate.
  • Safety systems that meet functional safety standards are designed so that the sum of rates at which dangerous failures occur in all elements of the safety system is below a target value. In safe communication, the rate at which a dangerous failure occurs is the residual error rate.
  • Patent Document 1 there is provided a countermeasure table in which a trouble phenomenon that may occur in communication, a method of confirming the cause of whether the trouble phenomenon is caused by a failure or a security attack, and a corresponding countermeasure method are defined. Is listed.
  • the cause of the detected trouble phenomenon is determined based on the confirmation method defined in the countermeasure table, and countermeasures are taken according to the corresponding countermeasure method. It is described to do.
  • the design value used in the calculation of the residual error rate in secure communication is defined by the international standard IEC61784-3. Fixed values are used for some design values. However, in a situation where a specific error occurs frequently, the system may be operated with some values exceeding the design values. In this case, the system may be operated as if the residual error rate does not exceed the target value, although the residual error rate actually exceeds the target value.
  • Patent Document 1 does not describe a specific method of creating a countermeasure table, and does not describe how to confirm whether the total residual error rate in safe communication is less than or equal to a target value. Therefore, even if the technique described in Patent Document 1 is used, it is not possible to specify that the system is operated with the residual error rate exceeding the target value.
  • the purpose of this invention is to enable communication safety to be appropriately monitored in a communication device in which a communication protocol for realizing safety communication in the functional safety standard is executed.
  • the communication monitoring device A plurality of error judgment conditions corresponding to the error countermeasures implemented in the communication protocol for realizing the safe communication in the functional safety standard, each of the plurality of error judgment conditions corresponding to a plurality of error types, depending on the communication device.
  • a safety determination unit that acquires a determination result in which a communication error of a received message is determined and determines the safety of each of the plurality of error types based on the determination result.
  • a notification unit that notifies the result determined by the safety determination unit.
  • the safety of each of the plurality of error types is determined based on the determination result of each of the plurality of determination conditions corresponding to the error countermeasures implemented in the communication protocol for realizing safe communication, and the determination result is notified. To be done. As a result, it is possible to appropriately monitor the communication safety in the communication device in which the communication protocol for realizing the safety communication in the functional safety standard is executed.
  • FIG. 3 is a diagram showing an example of error countermeasures implemented by a communication protocol for realizing safe communication according to the first embodiment.
  • 1 is a configuration diagram of a communication system 100 according to the first embodiment.
  • 3 is a hardware configuration diagram of the communication device 10 and the communication monitoring device 20 according to the first embodiment.
  • FIG. 3 is a functional configuration diagram of the communication monitoring device 20 according to the first embodiment.
  • FIG. FIG. 3 is a configuration diagram of an SPDU according to the first embodiment.
  • 3 is an explanatory diagram of management parameters 221 according to the first embodiment.
  • FIG. FIG. 6 is an explanatory diagram of an error determination condition 222 according to the first embodiment. Explanatory drawing of the safety determination condition 223 which concerns on Embodiment 1.
  • FIG. 3 is a flowchart showing the operation of the communication monitoring device 20 according to the first embodiment.
  • 5 is a flowchart of communication error determination processing according to the first embodiment.
  • 3 is an explanatory diagram of notification information according to the first embodiment.
  • FIG. 9 is an explanatory diagram of management parameters 221 according to the second embodiment.
  • FIG. 6 is a functional configuration diagram of a communication device 10 and a communication monitoring device 20 according to a third embodiment.
  • Embodiment 1 ***Preparation***
  • the communication system 100 at least a part of the communication devices 10 is equipped with a communication protocol for realizing safe communication in the functional safety standard.
  • a communication protocol conforming to the international standard IEC61784-3 is implemented in at least a part of the communication devices 10. Therefore, as a premise of the explanation of the communication system 100, the basic concept of the calculation method of the residual error rate in the secure communication defined in the international standard IEC61784-3 will be described.
  • the residual error rate is calculated according to the error countermeasure corresponding to the error type implemented in the communication protocol.
  • the error types of the communication errors defined in the international standard IEC61784-3 are as follows. ⁇ Corruption: The message is corrupted. ⁇ Unintended repetition: The message is repeated. ⁇ Incorrect sequence: A predetermined sequence becomes illegal. ⁇ Loss: The message is not received. O Unacceptable delay: Delay beyond the allowed arrival time window. ⁇ Insert: To receive a message from an unwanted or unknown source. ⁇ Impersonation: Receiving a message that is not secure communication as a secure communication message. O Addressing: The message is sent to an incorrect recipient and is treated as correct.
  • the error countermeasures defined in the international standard IEC61784-3 are as follows. -Sequence number: A number that changes for each message. ⁇ Time stamp: Include a time stamp based on time synchronization in the message. ⁇ Expected time: Check if the delay between consecutive messages exceeds a predefined value. -Connection authentication: At least one of the sender and receiver of secure communication must have a unique identifier. O Feedback Message: Sending a feedback message to confirm receipt of the message. ⁇ Data integrity guarantee: Perform inspections such as hash function inspection and redundancy check (CRC: Cyclic Redundancy Check). ⁇ Redundancy by cross-checking: Sending safety data to be included in a message twice and checking the validity between two messages. ⁇ Different data integrity guarantee system: When secure communication and non-secure communication are mixed, different data integrity guarantees should be performed.
  • error countermeasures corresponding to communication errors of each error type are defined.
  • error countermeasures are defined as follows. ⁇ For damage, take measures by guaranteeing data integrity. ⁇ For unintended repetition, take measures using a time stamp. ⁇ Time stamps will be used to prevent improper order. ⁇ For loss, take measures with a time stamp. ⁇ For unacceptable delays, take measures using time stamps and expected times. ⁇ For insertion, take measures with a time stamp. ⁇ For impersonation, take measures against connection authentication and different data integrity assurance system. ⁇ For addressing, take connection authentication measures.
  • ⁇ SCL is the residual error rate per hour of the safety communication layer.
  • ⁇ SC is the residual error rate per hour of the safety connection.
  • m is the number of secure connections.
  • RR I is the residual error rate per hour for data integrity.
  • RR A is a residual error rate per hour related to authentication.
  • RR T is a residual error rate per hour about timeliness.
  • RR M is the residual error rate per hour for spoofing.
  • the calculation method for RR I , RR A , RR T, and RR M depends on the communication protocol.
  • RR I , RR A , RR T, and RR M are calculated by the following equations.
  • the communication protocol may take more specific measures.
  • a value that further takes into consideration a unique measure may be calculated from the value of the following formula.
  • the values of the following expressions are used as they are.
  • RR I RP I ⁇ v
  • RR I the residual error rate per hour for data integrity.
  • RP I is a residual error rate for data integrity.
  • v is the number of secure communication messages per hour.
  • RR A RP I ⁇ 2 ⁇ LA ⁇ RA
  • RR A is the residual error rate per hour for authentication.
  • RP I is a residual error rate for data integrity.
  • LA is a bit length of an authentication code (A-Code) used for connection authentication.
  • RA is the rate at which secure communication messages are illegally delivered.
  • R A is 10 ⁇ 3 /h for each node having a safety communication layer of the communication system 100.
  • RR T 2- LT ⁇ w ⁇ RT
  • LT is the bit length of the time stamp or sequence number (T-Code).
  • w is the width of the accepted timestamp or sequence number. For example, if the time stamp is valid for only one value, w is 1.
  • RT is the rate at which secure communication messages are illegally delivered.
  • the RT is 10 -3 / h per relay node having a store-and-forward function included in the communication system 100.
  • RR M 2 -r ⁇ 2 -LA ⁇ 2 -LT ⁇ w ⁇ RP U ⁇ R M
  • RR M is a residual error rate per hour about spoofing.
  • r is the bit length of the CRC.
  • LA is a bit length of an authentication code (A-Code) used for connection authentication.
  • LT is the bit length of the time stamp or sequence number (T-Code).
  • w is the width of the accepted timestamp or sequence number.
  • RP U is the residual error rate for the distinction between the appropriate message by field with uniqueness.
  • R M is the rate at which secure communication of the message is incorrectly delivered.
  • R M is 10 ⁇ 3 /h for each node having no safety communication layer of the communication system 100.
  • the communication system 100 may be operated with some values exceeding the design value. For example, as a situation in which errors of a specific error type occur frequently, there are situations in which delivery delays due to low-quality relay devices occur frequently and situations in which there are nodes that send unsafe random messages over a wide area. Conceivable. Sending a message to a wide area means, for example, broadcasting. As a result, in a situation where errors of a specific error type occur frequently, in reality, the communication system 100 may be operated with the residual error rate exceeding the target value.
  • the communication system 100 includes a plurality of communication devices 10, a communication monitoring device 20, and one or more relay devices 30.
  • the plurality of communication devices 10 are connected via a relay device 30 by a communication path 40 such as Ethernet (registered trademark).
  • a communication path 40 such as Ethernet (registered trademark).
  • SCL which is a secure communication layer
  • a communication protocol for realizing secure communication is implemented.
  • the remaining communication device 10 is not equipped with SCL, which is a secure communication layer.
  • the communication monitoring device 20 is connected to at least a part of the communication devices 10 in which the SCL is mounted.
  • the communication system 100 includes six communication devices 10 from a communication device 10A to a communication device 10F.
  • the three communication devices 10 from the communication device 10A to the communication device 10C are equipped with SCL and a communication protocol for realizing safe communication.
  • the SCL is not mounted on the remaining three communication devices 10D to 10F.
  • a secure connection which is a connection for secure communication, is established between the SCLs between the communication device 10A and the communication device 10B.
  • the communication monitoring device 20 is connected to the communication device 10A and the communication device 10B, among the three communication devices 10 from the communication device 10A in which the SCL is mounted to the communication device 10C, in which the safety connection is established.
  • the communication monitoring device 20A is connected to the communication device 10A
  • the communication monitoring device 20B is connected to the communication device 10B.
  • FIG. 3 shows the communication device 10 to which the communication monitoring device 20 is connected, like the communication device 10A and the communication device 10B in FIG.
  • the communication device 10 to which the communication monitoring device 20 is not connected such as the communication device C to the communication device F, has the same hardware configuration as the communication device 10 to which the communication monitoring device 20 is connected. is there.
  • the communication device 10 includes hardware such as an arithmetic device 11, a storage device 12, and a communication interface 13.
  • the arithmetic unit 11 is connected to other hardware via a bus and controls the other hardware.
  • the communication monitoring device 20 includes hardware such as a computing device 21, a storage device 22, and a communication interface 23.
  • the arithmetic unit 21 is connected to other hardware via the bus and controls the other hardware.
  • the arithmetic units 11 and 21 are ICs (Integrated Circuits) that perform processing.
  • the arithmetic units 11 and 21 are, as a specific example, CPUs (Central Processing Units).
  • the storage devices 12 and 22 are devices that store data. Specific examples of the storage devices 12 and 22 are memories such as SRAM (Static Random Access Memory) and DRAM (Dynamic Random Access Memory).
  • the communication interfaces 13 and 23 are interfaces for communicating with other external devices such as the communication device 10, the communication monitoring device 20, and the relay device 30.
  • the communication interface 14 is, for example, an Ethernet (registered trademark) port.
  • the communication device 10 and the communication monitoring device 20 are connected via a communication interface 13, a bus, and a communication interface 23. Further, the communication device 10 is connected via the relay device 30, the communication interface 13, and the communication path 40.
  • the functional configuration of the communication monitoring device 20 according to the first embodiment will be described with reference to FIG.
  • the communication monitoring device 20 includes a measurement unit 211, a communication error determination unit 212, a safety determination unit 213, and a notification unit 214 as functional components.
  • the function of each functional component of the communication monitoring device 20 is realized by software.
  • the storage device 22 stores programs that implement the functions of the functional components of the communication monitoring device 20. This program is read by the arithmetic unit 21 and executed by the arithmetic unit 21. As a result, the function of each functional component of the communication monitoring device 20 is realized.
  • the storage device 22 also stores a management parameter 221, a plurality of error determination conditions 222, and a plurality of safety determination conditions 223.
  • the communication device 10 and the communication monitoring device 20 may have a multiplexed internal configuration, or may have a function for self-diagnosis of each component.
  • the communication monitoring device 20 is connected to the outside of the communication device 10 in FIG. 3, the communication monitoring device 20 may be provided inside the communication device 10. Further, the functional components of the communication monitoring device 20 may be installed in the communication device 10 as software.
  • the operation of the communication monitoring device 20 according to the first embodiment will be described with reference to FIGS. 5 to 11.
  • the operation of the communication monitoring device 20 according to the first embodiment corresponds to the communication monitoring method according to the first embodiment.
  • the operation of the communication monitoring device 20 according to the first embodiment corresponds to the processing of the communication monitoring program according to the first embodiment.
  • a message (SPDU: Safety Protocol Data Unit) used for safe communication is periodically communicated between the communication device 10A and the communication device 10B for which a safe connection is established between the SCLs in FIG. Imagine a case.
  • the configuration of the SPDU according to the first embodiment will be described with reference to FIG.
  • the SPDU includes an authentication code (A-Code), a time stamp (T-Code), a fixed value (U-Code), safety data (Data), and a CRC.
  • the T-Code may be a sequence number instead of a time stamp. Further, at least one of the A-Code and the T-Code may be implicitly shared by each communication device 10 without including a part or the whole in the SPDU.
  • the management parameter 221 is a set of one or more parameters and values required for monitoring the SPDU.
  • the management parameter 221 has the residual error rate ( ⁇ SC ), the bit error rate ( Pe ), the authentication error rate (RA ), the timeliness error rate ( RT ), and the spoofing error as parameters.
  • Rate ( RM ) communication cycle (v), number of authentication error occurrence elements (x A ), timeliness error occurrence element number (x T ), spoofing error occurrence element number (x M ), and various errors Includes warning criteria (Error I , Error A , Error T , Error M ).
  • the value of the management parameter 221 is set by the system designer or the like of the communication system 100. For each value, a design value for safety communication or a value that is more conservative than the design value is set. In FIG. 6, each value is set as follows. ⁇ The residual error rate is set to 10 ⁇ 9 assuming that SIL3 is targeted. The bit error rate is set to 10 ⁇ 2 in accordance with the guidelines of IEC 61784-3. The authentication error rate, the timeliness error rate, and the spoofing error rate are set to 10 ⁇ 3 for each occurrence element according to the guidelines of IEC 61784-3. The communication cycle differs depending on the system, but here it is set to 1 ms (millisecond).
  • the number of elements that each error occurs differs depending on the system.
  • the number of authentication error occurrence elements is the number of communication devices 10 equipped with SCL other than the target communication device 10.
  • the number of authentication error occurrence elements is one of the communication devices 10C in the configuration of FIG.
  • the number of timely error occurrence elements is the number of relay devices having a store-and-forward function.
  • the number of elements that generate a timeliness error is two, that is, switch A and switch B.
  • the number of spoofing error occurrence elements is the number of communication devices 10 that do not implement SCL.
  • the number of spoofing error occurrence elements is three, from the communication device 10D to the communication device 10F.
  • a bit error rate is set for Error I.
  • An authentication error rate is set for Error A.
  • a timeliness error rate is set for the Error T.
  • a spoofing error rate is set for Error M.
  • any value may be set. The arbitrary value may be, for example, a value for more conservative monitoring, or a value separately designed for monitoring so as not to exceed the designed residual error rate.
  • the error determination condition 222 is a condition set by the system designer of the communication system 100 or the like, and is a condition for determining whether or not the SPDU corresponds to a communication error.
  • the error determination condition 222 is set for each of a plurality of error types corresponding to the error countermeasure implemented by the communication protocol for realizing the safe communication in the functional safety standard.
  • the error determination condition 222A is a condition for determining a communication error of damage or spoofing when the result of CRC check of SPDU is NG.
  • the error determination condition 222B is a condition for determining a spoofing or addressing communication error when the result of the authentication code check (A-Code check) is NG.
  • the error determination condition 222C is any one of unintended repetition, incorrect order, loss, unacceptable delay, and insertion. This is a condition for determining that a communication error has occurred.
  • the error determination condition 222D is a condition for determining a spoofing communication error when the result of performing the fixed value check (U-Code check) is NG.
  • the error determination condition 222A to the error determination condition 222C are derived from the interpretation of the countermeasure against the communication error shown in FIG. For example, since the data integrity guarantee is realized by the CRC check, if the result of the CRC check is NG, there is a possibility that the communication error is a corruption corresponding to the data integrity guarantee.
  • the error determination condition 222D is derived from the interpretation of the equation of IEC61784-3.
  • Equation 6 when calculating the residual error rate RR M per hour about spoofing, residual error rate RP U about the distinction between the appropriate message by field with uniqueness is used .. From this, if the result of the fixed value check is NG, there is a possibility of a spoofing communication error.
  • the safety determination condition 223 is a condition set by a system designer or the like of the communication system 100, and is a condition for determining the safety of each of a plurality of error types from the determination result based on the error determination condition 222.
  • the safety judgment condition 223A is damaged or spoofed when the number of cases in which the CRC check is NG for the number of SPDUs received in the reference time (here, 1 hour) is larger than the reference number A. It is a condition for judging that the safety is low for the error type.
  • the reference number A the bit error rate P e is used.
  • the safety judgment condition 223B determines that the safety of the spoofing or addressing error type is low when the number of cases where the result of the authentication code check per reference time is NG is larger than the reference number B. It is a condition.
  • the safety determination condition 223C is that if the number of times the result of the time stamp check per reference time is NG is greater than the reference number C, unintended repetition, incorrect order, loss, and unacceptable delay, This is a condition for determining that the safety is low for any error type of insertion.
  • the timeliness error rate RT is used as the reference number C.
  • the safety judgment condition 223D is a condition for judging that the safety of the spoofing error type is low when the number of cases where the result of the fixed value check per reference time is NG is larger than the reference number D. is there.
  • the impersonation error rate R M is used as the reference number D.
  • the operation of the communication monitoring device 20 according to the first embodiment will be described with reference to FIG.
  • the system designer of the communication system 100 or the like sets the management parameter 221, the plurality of error determination conditions 222, and the plurality of safety determination conditions 223 in the storage device 12.
  • the management parameters 221 are set as shown in FIG. 6, a plurality of error determination conditions 222 are set as shown in FIG. 7, and a plurality of safety determination conditions 223 are set as shown in FIG.
  • the communication protocol used between the communication device 10A and the communication device 10B is determined.
  • Step S11 measurement processing
  • the measurement unit 211 acquires the SPDU received by the communication device 10A.
  • the communication device 10A is configured so that the received SPDU is duplicated and transferred to the communication monitoring device 20A, or the SPDU transmitted to the communication device 10A is also transmitted to the communication monitoring device 20A.
  • the measurement unit 211 measures the number of received SPDUs and the operation time during which the safety communication is in operation.
  • the measurement unit 211 writes the measured number of SPDUs and the operating time in the storage device 12.
  • the number of errors for each error determination condition 222 (data integrity error number Error I , authentication error number Error A , and timeliness error number Error T) is spoofed.
  • the number of errors Error M is initialized to 0.
  • Step S12 Communication error determination process
  • the communication error determination unit 212 determines the communication error of the SPDU received by the communication device 10A based on each of the plurality of error determination conditions 222.
  • step S121 the communication error determination unit 212 performs a CRC check according to the error determination condition 222A. If the result of the CRC check is OK, the communication error determination unit 212 advances the process to step S122. On the other hand, if the result of the CRC check is NG, the communication error determination unit 212 adds 1 to the data integrity error number Error I and ends the process.
  • step S122 the communication error determination unit 212 performs an authentication code check according to the error determination condition 222B. If the result of the authentication code check is OK, the communication error determination unit 212 advances the process to step S123.
  • step S123 the communication error determination unit 212 adds 1 to the number of authentication errors Error A and ends the process.
  • the communication error determination unit 212 performs a time stamp check according to the error determination condition 222C. If the result of the time stamp check is OK, the communication error determination unit 212 advances the process to step S124. On the other hand, if the result of the time stamp check is NG, the communication error determination unit 212 adds 1 to the timeliness error number Error T and ends the process. In step S124, the communication error determination unit 212 performs a fixed value check according to the error determination condition 222D.
  • the communication error determination unit 212 ends the process when the result of the fixed value check is OK. On the other hand, when the result of the fixed value check is NG, the communication error determination unit 212 adds 1 to the spoofing error number Error M and ends the process.
  • Step S13 Safety determination process
  • the safety determination unit 213 acquires the determination result determined by the communication error determination unit 212 in step S12, and determines the safety of each of the plurality of error types based on the determination result.
  • Safety status determination related to CRC check (safety determination condition 223A)
  • the safety judgment unit 213 determines that the safety of the damage or spoofing error type is low when the number of cases where the CRC check result is NG is larger than the reference number A. judge.
  • the reference number A is the bit error rate P e .
  • Safety status judgment related to authentication code check (safety judgment condition 223B) If the number of cases where the result of performing the authentication code check per reference time is NG is larger than the reference number B in accordance with the safety judgment condition 223B, the safety determination unit 213 determines the safety of the spoofing or addressing error type. It is determined to be in a low state.
  • the reference number B is the authentication error rate R A.
  • Safety status judgment related to timeliness code check (safety judgment condition 223C)
  • the safety determination unit 213 causes unintended repetition, incorrect order, and loss. Then, it is determined that the safety is low for any of the error types of unacceptable delay and insertion.
  • the reference number C is the timely error rate R T. For example, it is assumed that the operating time is 100 hours and the Error T in the operating time is 4.
  • Safety status judgment related to fixed value check (safety judgment condition 223D)
  • the safety determination unit 213 is in a state where the safety of the spoofing error type is low.
  • the reference number D is the impersonation error rate R M.
  • the operating time is 100 hours and the Error M in the operating time is 1.
  • Step S14 Notification process
  • the notification unit 214 notifies the result determined by the safety determination unit 213 in step S13.
  • the notification unit 214 outputs information about each safety determination condition 223 to the display device in a table format.
  • measures, NG frequencies, standards, warnings, and factor candidates for NG are output for each safety determination condition 223.
  • the countermeasures are the error countermeasures implemented by the communication protocol for realizing the safety communication in the functional safety standard.
  • the NG frequency indicates a method of calculating the frequency at which a communication error is determined by the error determination condition 222.
  • the criterion is a criterion of whether or not to be an error warning target, and indicates a criterion to be compared with the NG frequency.
  • the warning indicates whether it is a target of an error warning (x in FIG. 11) or not (o in FIG. 11).
  • the factor candidate at the time of NG indicates which error type the warning is regarding.
  • the notification unit 214 may output information to a display device provided in the communication monitoring device 20, or may output information to an external display device connected via the communication path 40. Further, the notification unit 214 may notify by other means such as voice, not limited to the display.
  • the communication monitoring device 20 uses the communication device 10 according to the plurality of error determination conditions corresponding to the error countermeasures implemented in the communication protocol for realizing the safety communication in the functional safety standard.
  • the communication error of the SPDU which is the message received by is determined.
  • the communication monitoring device 20 determines the safety of each of the plurality of error types based on the determination result and notifies it.
  • it is possible to easily identify the cause and eliminate it by referring to the warning under the operational status of the communication system 100 in which a specific error frequently occurs.
  • each functional component is realized by software. However, as a modification 1, each functional component may be realized by hardware. Differences between the first modification and the first embodiment will be described.
  • the communication device 10 When each functional component is realized by hardware, the communication device 10 includes an electronic circuit instead of the arithmetic device 11 and the storage device 12.
  • the electronic circuit is a dedicated circuit that realizes each functional component and the function of the storage device 12.
  • the communication monitoring device 20 includes an electronic circuit instead of the arithmetic device 21 and the storage device 22.
  • the electronic circuit is a dedicated circuit for realizing each functional component and the function of the storage device 22.
  • the electronic circuit may be a single circuit, a composite circuit, a programmed processor, a parallel programmed processor, a logic IC, a GA (Gate Array), an ASIC (Application Specific Integrated Circuit), or an FPGA (Field-Programmable Gate Array). To be done.
  • Each functional component may be realized by one electronic circuit, or each functional component may be dispersed and realized in a plurality of electronic circuits.
  • Modification 2> As a modification 2, some functional components may be realized by hardware, and other functional components may be realized by software.
  • Calculators 11 and 21 and electronic circuits are called processing circuits. That is, the function of each functional component is realized by the processing circuit.
  • Embodiment 2 differs from the first embodiment in that the communication monitoring device 20 calculates and notifies the residual error rate. In the second embodiment, these different points will be described, and description of the same points will be omitted.
  • the management parameter 221 differs from the management parameter 221 shown in FIG. 6 in that a parameter necessary for calculating the residual error rate is added.
  • the management parameter 221 includes a residual error rate tp ⁇ SC , a data integrity residual error rate tpRR I , an authentication residual error rate tpRR A , a timely residual error rate tmRR T, and a spoofing residual error rate tpRR M.
  • Authentication code length LA, time stamp code length LT, acceptance time stamp width w, CRC code length r, residual error rate RP U related to fixed value, and data integrity error probability tpRP I are added. ing.
  • the residual error rate tmp ⁇ SC is a temporary residual error rate during operation.
  • the data integrity residual error rate tmpRR I is a residual error rate related to temporary data integrity during operation.
  • the authentication residual error rate tmpRR A is a residual error rate related to temporary authentication during operation.
  • Timeliness residual error rate TmpRR T is a residual error rate related to a temporary timeliness during operation.
  • the impersonation residual error rate tmpRR M is a residual error rate related to temporary impersonation during operation.
  • the authentication code length LA is the length of the authentication code, and is 16 in the case of a 16-bit authentication code, for example.
  • the time stamp code length LT is the length of the time stamp code, and is 16 for a 16 bit time stamp, for example.
  • the reception time stamp width w is the width of the reception time stamp, and is set to 1 when the time stamp has only one valid value.
  • the CRC code length r is the length of the CRC code, and is 32 when the CRC is 32 bits, for example.
  • the data integrity residual error probability tmpRP I is a temporary data integrity residual error probability during operation.
  • the data integrity residual error probability tmpRP I is set to the upper limit value 2 ⁇ r . Since the data integrity residual error probability tmpRP I has a different value depending on information such as the bit error rate and the message length, a strict value may be adopted in consideration of these.
  • step S11 and step S12 are the same as those in the first embodiment.
  • Step S13 Safety determination process
  • the safety determination unit 213 determines the safety of each error type based on each safety determination condition 223, as in the first embodiment. Then, the safety determination unit 213 calculates the residual error rate tmp ⁇ SC using the value calculated when determining the safety of each error type according to each safety determination condition 223.
  • the safety state tpP e related to the CRC check is 0.0111
  • the safety state tpR A related to the authentication code check is 0
  • the safety state tpR T related to the time stamp check is 0.04.
  • safe state tmpR M related to the impersonation check was 0.01.
  • the safety state mpP e related to the CRC check, the safety state mpR T related to the time stamp check, and the safety state tpRM M related to the spoofing check were in a state larger than the reference number.
  • the safety determination unit 213 calculates the residual error rate tmp ⁇ SC using these values and the value stored in the management parameter 221. Then, the safety determination unit 213 determines whether or not the residual error rate tp ⁇ SC is suppressed within the target value ( 10-9 in FIG. 12).
  • Step S14 Notification process
  • the notification unit 214 notifies the result determined by the safety determination unit 213 in step S13.
  • the notification unit 214 notifies the safety communication layer of the communication device 10 or the safety application by interrupting the communication system 100. Change to safe state.
  • the communication monitoring device 20 calculates, determines whether the remaining error rate Tmpramuda SC is controlled to be within a target value. Then, when the residual error rate tmp ⁇ SC is not suppressed within the target value, the communication monitoring device 20 sends an interrupt notification to the communication device 10. This makes it possible to prevent the communication system 100 from continuing to operate with a high residual error rate.
  • Embodiment 3 differs from the first and second embodiments in that the communication monitoring device 20 is built inside the communication device 10. In the third embodiment, these different points will be described, and description of the same points will be omitted.
  • the communication device 10 includes a measurement unit 211, a communication error determination unit 212, a safety determination unit 213, and a notification unit 214, which are functional components of the communication monitoring device 20.
  • the storage device 12 also stores management parameters 221A and 221B, error determination conditions 222, and safety determination conditions 223.
  • the SCL which is a safety communication layer, measures and calculates parameters necessary for determining a communication error of each error type in order to calculate the residual error rate. Then, depending on the configuration of the communication device 10, the parameter obtained by the SCL may be stored in the storage device 12. Therefore, in the third embodiment, the measuring unit 211 and the communication error determining unit 212 of the functional components included in the communication monitoring device 20 are realized by the SCL function.
  • the management parameters 221 some of the parameters required by the communication error determination unit 212 are stored as management parameters 221A in the SCL referable area of the storage device 12 together with the error determination conditions 222. Then, the safety determination unit 213 and the notification unit 214, which are the remaining functional components, are added to the communication device 10. Of the management parameters 221, some of the parameters required by the safety determination unit 213 are stored in the storage device 22 together with the safety determination condition 223 as the management parameters 221B.
  • step S11 to step S14 The processing from step S11 to step S14 is executed by the communication device 10.
  • notification using safety I/O can be simply used.
  • a dedicated communication means may be provided separately.
  • the communication device 10 has the communication error determination function. As a result, the function of the communication monitoring device 20 can be constructed at low cost.
  • a communication error based on the communication protocol. For example, it may be determined that the cause of NG of the time stamp check is unintended repetition, incorrect order, loss, unacceptable delay, or insertion. In such a case, a more specific warning can be given.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Maintenance And Management Of Digital Transmission (AREA)

Abstract

通信監視装置（２０）は、機能安全規格における安全通信を実現するための通信プロトコルで実装されているエラー対策に対応する複数のエラー判定条件であって、複数のエラー種別に対応する複数のエラー判定条件それぞれにより、通信装置（１０）によって受信されたメッセージの通信エラーが判定された判定結果を取得する。通信監視装置（２０）は、判定結果に基づき複数のエラー種別それぞれの安全性を判定し、判定された結果を通知する。

Description

通信監視装置、通信監視方法及び通信監視プログラム
　この発明は、機能安全規格における安全通信を実現するための通信プロトコルが実行された通信装置における通信の安全性を監視する技術に関する。
　ファクトリーオートメーションの分野において、工場内の作業員の安全を担保するための機能安全システムの構成要素の１つに、機能安全規格である国際規格ＩＥＣ６１７８４－３（非特許文献１）で定められる安全通信がある。ここで、機能安全とは、安全を確保する機能を導入して実現される、許容可能なレベルの安全のことである。
　安全通信では、安全通信層（ＳＣＬ：Ｓａｆｅｔｙ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｌａｙｅｒ）と呼ばれる上位の通信層が独自に通信エラーへの対策を行う。これにより、下位のブラックチャネルと呼ばれる通信層に依存しない信頼性の高い通信手段が提供される。
　安全通信の信頼性を示す指標はＳＩＬ（Ｓａｆｅｔｙ　Ｉｎｔｅｇｒｉｔｙ　Ｌｅｖｅｌ）と呼ばれる。例えば、ＳＩＬ３を達成するためには、安全通信層が備える通信エラー対策でもエラーを検出できないレートが１０－９／ｈ（ｈｏｕｒ）より小さいことが要求される。エラーを検出できない確率は残存エラー率と呼ばれ、残存エラー率を１時間あたりのレートにしたものが残存エラーレートと呼ばれる。
　機能安全規格を満たす安全システムは、安全システムの全ての要素で危険な故障が発生するレートの合計が、目標値以下となるように設計される。安全通信では、危険な故障が発生するレートとは、残存エラーレートである。
　特許文献１には、通信において発生し得る不具合現象と、不具合現象が故障に起因するかセキュリティアタックに起因するかの原因の確認方法と、対応する対策方法とが規定された対策テーブルを設けることが記載されている。特許文献１には、不具合現象が発生したことが検出された場合には、対策テーブルに規定される確認方法に基づいて検出された不具合現象の原因を判断し、対応する対策方法に沿って対策することが記載されている。
特開２０１７－１５２７６号公報
ＩＥＣ６１７８４－３　Ｅｄｉｔｉｏｎ　３．１　２０１７－０８
　安全通信における残存エラーレートの計算で使用する設計値は、国際規格ＩＥＣ６１７８４－３で定められている。一部の設計値については、固定的な値が採用されている。しかし、特定のエラーが多発するような状況下では、一部の値が設計値を超えた状態でシステムが運用される場合がある。この場合、現実には残存エラーレートが目標値を超えた状態にも関わらず、残存エラーレートが目標値を超えていないものとしてシステムが運用されてしまう可能性がある。
　特許文献１には、対策テーブルの具体的な作成方法については記載されておらず、安全通信における残存エラーレートの合計が目標値以下に収まっているかを確認することは記載されていない。そのため、特許文献１に記載された技術を用いても、残存エラーレートが目標値を超えた状態でシステムが運用されていることを特定することはできない。
　この発明は、機能安全規格における安全通信を実現するための通信プロトコルが実行された通信装置において、通信の安全性を適切に監視可能にすることを目的とする。
　この発明に係る通信監視装置は、
　機能安全規格における安全通信を実現するための通信プロトコルで実装されているエラー対策に対応する複数のエラー判定条件であって、複数のエラー種別に対応する複数のエラー判定条件それぞれにより、通信装置によって受信されたメッセージの通信エラーが判定された判定結果を取得し、前記判定結果に基づき前記複数のエラー種別それぞれの安全性を判定する安全性判定部と、
　前記安全性判定部によって判定された結果を通知する通知部と
を備える。
　この発明では、安全通信を実現するための通信プロトコルで実装されているエラー対策に対応する複数の判定条件それぞれによる判定結果に基づき、複数のエラー種別それぞれの安全性が判定され、判定結果が通知される。これにより、機能安全規格における安全通信を実現するための通信プロトコルが実行された通信装置において、通信の安全性を適切に監視可能にすることが可能である。
実施の形態１に係る安全通信を実現するための通信プロトコルで実装されているエラー対策の例を示す図。 実施の形態１に係る通信システム１００の構成図。 実施の形態１に係る通信装置１０及び通信監視装置２０のハードウェア構成図。 実施の形態１に係る通信監視装置２０機能構成図。 実施の形態１に係るＳＰＤＵの構成図。 実施の形態１に係る管理パラメータ２２１の説明図。 実施の形態１に係るエラー判定条件２２２の説明図。 実施の形態１に係る安全判定条件２２３の説明図。 実施の形態１に係る通信監視装置２０の動作を示すフローチャート。 実施の形態１に係る通信エラー判定処理のフローチャート。 実施の形態１に係る通知情報の説明図。 実施の形態２に係る管理パラメータ２２１の説明図。 実施の形態３に係る通信装置１０及び通信監視装置２０の機能構成図。
　実施の形態１．
　＊＊＊準備＊＊＊
　実施の形態１に係る通信システム１００では、機能安全規格における安全通信を実現するための通信プロトコルが少なくとも一部の通信装置１０に実装されている。実施の形態１では、国際規格ＩＥＣ６１７８４－３に準拠した通信プロトコルが少なくとも一部の通信装置１０に実装されているとする。
　そこで、通信システム１００の説明の前提として、国際規格ＩＥＣ６１７８４－３に定められた安全通信における残存エラーレートの計算方法の基本的な考え方について説明する。
　国際規格ＩＥＣ６１７８４－３では、通信プロトコルで実装されているエラー種別に対応するエラー対策に応じて残存エラーレートを計算している。
　国際規格ＩＥＣ６１７８４－３に定義された通信エラーのエラー種別としては、以下がある。
〇破損：メッセージが破損すること。〇意図しない繰り返し：メッセージが繰り返されること。〇順序不正：予め決められたシーケンスが不正となること。〇喪失：メッセージが受信されないこと。〇受容できない遅延：許可された到着時間幅を超えて遅れること。〇挿入：望まれない送信元又は不明な送信元からのメッセージを受信すること。〇成りすまし：安全通信ではないメッセージを安全通信のメッセージとして受信すること。〇アドレッシング：メッセージが正しくない受信者に送られ、それが正しいものとして扱われること。
　国際規格ＩＥＣ６１７８４－３に定義されたエラー対策としては、以下がある。
〇シーケンス番号：メッセージ毎に変化する番号のこと。〇タイムスタンプ：時刻同期に基づいたタイムスタンプをメッセージ中に含めること。〇期待時間：連続したメッセージ間の遅延が予め定義された値を超えているか確認すること。〇コネクション認証：安全通信の送信者及び受信者の少なくとも一方が一意な識別子を持つこと。〇フィードバックメッセージ：メッセージの受信を確認するためにフィードバックメッセージを送ること。〇データ完全性保証：ハッシュ関数による検査及び冗長検査（ＣＲＣ：Ｃｙｃｌｉｃ　Ｒｅｄｕｎｄａｎｃｙ　Ｃｈｅｃｋ）といった検査を行うこと。〇クロスチェックによる冗長化：メッセージに含める安全データを２回送信し、有効性を２つのメッセージ間でチェックすること。〇異なるデータ完全性保証システム：安全通信と、非安全通信とが混在する場合、それぞれ異なるデータ完全性保証を行うこと。
　安全通信を実現するための通信プロトコルでは、例えば図１に示すように、各エラー種別の通信エラーに対応するエラー対策が定められている。
　図１では、以下のようにエラー対策が定められている。
　〇破損に対しては、データ完全性保証により対策する。〇意図しない繰り返しに対しては、タイムスタンプにより対策する。〇順序不正に対しては、タイムスタンプにより対策する。〇喪失に対しては、タイムスタンプにより対策する。〇受容できない遅延に対しては、タイムスタンプと、期待時間とにより対策する。〇挿入に対しては、タイムスタンプにより対策する。〇成りすましに対しては、コネクション認証と、異なるデータ完全性保証システムとにより対策する。〇アドレッシングに対しては、コネクション認証により対策する。
　国際規格ＩＥＣ６１７８４－３では、安全通信における残存エラーレートは、以下の式１により計算される。
　（式１）λＳＣＬ＝λＳＣ×ｍ
　ここで、λＳＣＬは、安全通信層の１時間あたりの残存エラーレートである。λＳＣは、安全コネクションの１時間あたりの残存エラーレートである。ｍは、安全コネクション数である。
　λＳＣは、式２により計算される。
　（式２）λＳＣ＝ＲＲＩ＋ＲＲＡ＋ＲＲＴ＋ＲＲＭ
　ここで、ＲＲＩは、データ完全性に関する１時間あたりの残存エラーレートである。ＲＲＡは、認証に関する１時間あたりの残存エラーレートである。ＲＲＴは、適時性に関する１時間あたりの残存エラーレートである。ＲＲＭは、成りすましに関する１時間あたりの残存エラーレートである。
　ＲＲＩとＲＲＡとＲＲＴとＲＲＭとについての計算方法は、通信プロトコルによって異なる。ここでは、ＲＲＩとＲＲＡとＲＲＴとＲＲＭとは、以下の式によって計算されると仮定する。
　なお、通信プロトコルがさらに固有の対策を講じることがある。つまり、以下の式の値から、さらに固有の対策を考慮した値が計算されることがある。しかし、ここでは以下の式の値がそのまま使用されるとする。
　（式３）ＲＲＩ＝ＲＰＩ×ｖ
　ここで、ＲＲＩは、データ完全性に関する１時間あたりの残存エラーレートである。ＲＰＩは、データ完全性に関する残存エラー率である。ｖは、１時間あたりの安全通信のメッセージ数である。
　（式４）ＲＲＡ＝ＲＰＩ×２－ＬＡ×ＲＡ
　ここで、ＲＲＡは、認証に関する１時間あたりの残存エラーレートである。ＲＰＩは、データ完全性に関する残存エラー率である。ＬＡは、コネクション認証に使用する認証コード（Ａ－Ｃｏｄｅ）のビット長である。ＲＡは、安全通信のメッセージが不正に配送されるレートである。ここでは、ＲＡは、通信システム１００の安全通信層を持つノード１つ当たり１０－３／ｈとする。
　（式５）ＲＲＴ＝２－ＬＴ×ｗ×ＲＴ
　ここで、ＲＲＴは、適時性に関する１時間あたりの残存エラーレートである。ＬＴは、タイムスタンプ又はシーケンス番号（Ｔ－Ｃｏｄｅ）のビット長である。ｗは、受容するタイムスタンプ又はシーケンス番号の幅である。例えば、タイムスタンプが１つの値のみ有効な場合には、ｗは１である。ＲＴは、安全通信のメッセージが不正に配送されるレートである。ここでは、ＲＴは、通信システム１００に含まれるストアアンドフォーワード機能を持つ中継ノード１つ当たり１０－３／ｈとする。
　（式６）ＲＲＭ＝２－ｒ×２－ＬＡ×２－ＬＴ×ｗ×ＲＰＵ×ＲＭ
　ここで、ＲＲＭは、成りすましに関する１時間あたりの残存エラーレートである。ｒは、ＣＲＣのビット長である。ＬＡは、コネクション認証に使用する認証コード（Ａ－Ｃｏｄｅ）のビット長である。ＬＴは、タイムスタンプ又はシーケンス番号（Ｔ－Ｃｏｄｅ）のビット長である。ｗは、受容するタイムスタンプ又はシーケンス番号の幅である。ＲＰＵは、一意性を持つフィールドによる適切なメッセージの区別に関する残存エラー率である。ＲＭは、安全通信のメッセージが不正に配送されるレートである。ここでは、ＲＭは、通信システム１００の安全通信層を持たないノード１つ当たり１０－３／ｈとする。
　以上のように、残存エラーレートの計算に当たり、一部に固定的な設計値が採用されている。そのため、特定のエラー種別のエラーが多発するような状況下では、一部の値が設計値を超えた状態で通信システム１００が運用される場合がある。例えば、特定のエラー種別のエラーが多発するような状況としては、低品質な中継機器による配送遅延が多発する状況と、非安全のランダムなメッセージを広域に送信するノードの存在する状況と等が考えられる。メッセージを広域に送信するとは、例えば、ブロードキャスト送信することである。
　その結果、特定のエラー種別のエラーが多発するような状況下では、現実には、残存エラーレートが目標値を超えた状態で通信システム１００が運用される可能性がある。
　＊＊＊構成の説明＊＊＊
　図２を参照して、実施の形態１に係る通信システム１００の構成を説明する。
　通信システム１００は、複数の通信装置１０と、通信監視装置２０と、１つ以上の中継装置３０とを備える。複数の通信装置１０は、中継装置３０を介して、Ｅｔｈｅｒｎｅｔ（登録商標）といった通信路４０により接続されている。
　複数の通信装置１０のうち、少なくとも一部の通信装置１０は、安全通信層であるＳＣＬが実装され、安全通信を実現するための通信プロトコルが実装されている。残りの通信装置１０は、安全通信層であるＳＣＬが実装されていない。ＳＣＬが実装された少なくとも一部の通信装置１０には、通信監視装置２０が接続されている。
　図２では、通信システム１００は、通信装置１０Ａから通信装置１０Ｆの６台の通信装置１０を備える。通信装置１０Ａから通信装置１０Ｃの３台の通信装置１０は、ＳＣＬが実装され、安全通信を実現するための通信プロトコルが実装されている。残りの通信装置１０Ｄから通信装置１０Ｆの３台の通信装置１０は、ＳＣＬが実装されていない。また、通信装置１０Ａと通信装置１０Ｂとの間には、安全通信のためのコネクションである安全コネクションがＳＣＬ間で確立されている。
　ＳＣＬが実装された通信装置１０Ａから通信装置１０Ｃの３台の通信装置１０のうち、安全コネクションが確立された通信装置１０Ａ及び通信装置１０Ｂには、通信監視装置２０が接続されている。具体的には、通信装置１０Ａには通信監視装置２０Ａが接続され、通信装置１０Ｂには通信監視装置２０Ｂが接続されている。
　図３を参照して、実施の形態１に係る通信装置１０及び通信監視装置２０のハードウェア構成を説明する。
　図３では、図２における通信装置１０Ａ及び通信装置１０Ｂのように、通信監視装置２０が接続された通信装置１０が示されている。なお、通信装置Ｃから通信装置Ｆのように、通信監視装置２０が接続されていない通信装置１０も、通信装置１０のハードウェア構成は、通信監視装置２０が接続された通信装置１０と同じである。
　通信装置１０は、演算装置１１と、記憶装置１２と、通信インタフェース１３とのハードウェアを備える。演算装置１１は、バスを介して他のハードウェアと接続されており、他のハードウェアを制御する。
　通信監視装置２０は、演算装置２１と、記憶装置２２と、通信インタフェース２３とのハードウェアを備える。演算装置２１は、バスを介して他のハードウェアと接続されており、他のハードウェアを制御する。
　演算装置１１，２１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）である。演算装置１１，２１は、具体例としては、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）である。
　記憶装置１２，２２は、データを記憶する装置である。記憶装置１２，２２は、具体例としては、ＳＲＡＭ（Ｓｔａｔｉｃ　Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）、ＤＲＡＭ（Ｄｙｎａｍｉｃ　Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）といったメモリである。
　通信インタフェース１３，２３は、他の通信装置１０と通信監視装置２０と中継装置３０といった外部の装置と通信するためのインタフェースである。通信インタフェース１４は、具体例としては、Ｅｔｈｅｒｎｅｔ（登録商標）のポートである。
　通信装置１０と通信監視装置２０とは、通信インタフェース１３とバスと通信インタフェース２３とを介して接続されている。また、通信装置１０は、中継装置３０と通信インタフェース１３と通信路４０とを介して接続されている。
　図４を参照して、実施の形態１に係る通信監視装置２０機能構成を説明する。
　通信監視装置２０は、機能構成要素として、計測部２１１と、通信エラー判定部２１２と、安全性判定部２１３と、通知部２１４とを備える。通信監視装置２０の各機能構成要素の機能はソフトウェアにより実現される。
　記憶装置２２には、通信監視装置２０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、演算装置２１により読み込まれ、演算装置２１によって実行される。これにより、通信監視装置２０の各機能構成要素の機能が実現される。
　また、記憶装置２２には、管理パラメータ２２１と、複数のエラー判定条件２２２と、複数の安全判定条件２２３とが記憶される。
　なお、通信装置１０及び通信監視装置２０は、内部構成が多重化されていてもよいし、各構成要素について自己診断するための機能を持っていてもよい。また、図３では、通信装置１０の外部に通信監視装置２０が接続された構成としたが、通信装置１０の内部に通信監視装置２０が設けられてもよい。また、通信装置１０に通信監視装置２０の機能構成要素がソフトウェアとして実装されていてもよい。
　＊＊＊動作の説明＊＊＊
　図５から図１１を参照して、実施の形態１に係る通信監視装置２０の動作を説明する。
　実施の形態１に係る通信監視装置２０の動作は、実施の形態１に係る通信監視方法に相当する。また、実施の形態１に係る通信監視装置２０の動作は、実施の形態１に係る通信監視プログラムの処理に相当する。
　以下の説明では、図２においてＳＣＬ間で安全コネクションが確立されている通信装置１０Ａと通信装置１０Ｂとの間で安全通信で使用するメッセージ（ＳＰＤＵ：Ｓａｆｅｔｙ　Ｐｒｏｔｏｃｏｌ　Ｄａｔａ　Ｕｎｉｔ）が周期的に通信される場合を想定する。
　図５を参照して、実施の形態１に係るＳＰＤＵの構成を説明する。
　ＳＰＤＵは、認証コード（Ａ－Ｃｏｄｅ）と、タイムスタンプ（Ｔ－Ｃｏｄｅ）と、固定値（Ｕ－Ｃｏｄｅ）と、安全データ（Ｄａｔａ）と、ＣＲＣとを含む。
　Ｔ－Ｃｏｄｅは、タイムスタンプではなくシーケンス番号でもよい。また、Ａ－ＣｏｄｅとＴ－Ｃｏｄｅとの少なくともいずれかについて、その一部又は全体をＳＰＤＵに含めずに各通信装置１０が暗黙的に共有するようにしてもよい。
　図６を参照して、実施の形態１に係る管理パラメータ２２１について説明する。
　管理パラメータ２２１は、ＳＰＤＵの監視に必要な１つ以上のパラメータと値との組である。ここでは、管理パラメータ２２１は、パラメータとして、残存エラーレート（λＳＣ）と、ビットエラー率（Ｐｅ）と、認証エラーレート（ＲＡ）と、適時性エラーレート（ＲＴ）と、成りすましエラーレート（ＲＭ）と、通信周期（ｖ）と、認証エラー発生要素数（ｘＡ）と、適時性エラー発生要素数（ｘＴ）と、成りすましエラー発生要素数（ｘＭ）と、各種エラー警告（ＥｒｒｏｒＩ，ＥｒｒｏｒＡ，ＥｒｒｏｒＴ，ＥｒｒｏｒＭ）の基準とを含む。
　管理パラメータ２２１の値は、通信システム１００のシステム設計者等によって設定される。各値は、安全通信の設計値、又は、設計値よりも保守的な値が設定される。図６では、各値は以下のように設定されている。
　〇残存エラーレートは、ＳＩＬ３を対象とする場合を想定して、１０－９に設定されている。〇ビットエラー率は、ＩＥＣ６１７８４－３の指針に従い、１０－２に設定されている。〇認証エラーレートと適時性エラーレートと成りすましエラーレートとは、ＩＥＣ６１７８４－３の指針に従い、発生要素１つ当たり１０－３に設定されている。〇通信周期は、システムに応じて異なるが、ここでは１ｍｓ（ミリ秒）に設定されている。
　〇各エラーの発生要素数は、システムに応じて異なる。認証エラー発生要素数は、対象とする通信装置１０以外のＳＣＬを実装した通信装置１０の数である。認証エラー発生要素数は、図２の構成では通信装置１０Ｃの１台である。適時性エラー発生要素数は、ストアアンドフォーワード機能を持った中継機器の数である。適時性エラー発生要素数は、図２の構成ではスイッチＡ及びスイッチＢの２台である。成りすましエラー発生要素数は、ＳＣＬを実装していない通信装置１０の数である。成りすましエラー発生要素数は、図２の構成では通信装置１０Ｄから通信装置１０Ｆの３台である。
　〇各種エラー警告は、エラー警告を通知する条件である。ここでは、ＥｒｒｏｒＩに関してはビットエラー率が設定されている。ＥｒｒｏｒＡに関しては認証エラーレートが設定されている。ＥｒｒｏｒＴに関しては適時性エラーレートが設定されている。ＥｒｒｏｒＭに関しては成りすましエラーレートが設定されている。しかし、これに限らず任意の値が設定されてもよい。任意の値とは、例えば、より保守的な監視用の値、又は、設計した残存エラーレートを超えないように別途監視用途に設計された値が考えられる。
　図７を参照して、実施の形態１に係るエラー判定条件２２２について説明する。
　エラー判定条件２２２は、通信システム１００のシステム設計者等によって設定される条件であり、ＳＰＤＵが通信エラーに該当するか否かを判定するための条件である。エラー判定条件２２２は、機能安全規格における安全通信を実現するための通信プロトコルで実装されているエラー対策に対応して、複数のエラー種別それぞれについて設定される。
　例えば、採用されている通信プロトコルが図１に示すエラー対策を行っているとする。この場合には、図７に示すように、複数のエラー判定条件２２２が設定される。
　エラー判定条件２２２Ａは、ＳＰＤＵのＣＲＣチェックを行った結果がＮＧである場合には、破損又は成りすましの通信エラーと判定する条件である。エラー判定条件２２２Ｂは、認証コードチェック（Ａ－Ｃｏｄｅチェック）を行った結果がＮＧである場合には、成りすまし又はアドレッシングの通信エラーと判定する条件である。エラー判定条件２２２Ｃは、タイムスタンプチェック（Ｔ－Ｃｏｄｅチェック）を行った結果がＮＧである場合には、意図しない繰り返しと、順序不正と、喪失と、受容できない遅延と、挿入とのいずれかの通信エラーであると判定する条件である。エラー判定条件２２２Ｄは、固定値チェック（Ｕ－Ｃｏｄｅチェック）を行った結果がＮＧであった場合には、成りすましの通信エラーと判定する条件である。
　エラー判定条件２２２Ａからエラー判定条件２２２Ｃは、図１に示す通信エラーへの対策の解釈から導かれる。例えば、データ完全性保障はＣＲＣチェックにより実現されるので、ＣＲＣチェックを行った結果がＮＧである場合には、データ完全性保障に対応する破損の通信エラーである可能性があることになる。
　また、エラー判定条件２２２Ｄは、ＩＥＣ６１７８４－３の式の解釈から導かれる。具体的には、式６に示すように、成りすましに関する１時間あたりの残存エラーレートＲＲＭを計算する際、一意性を持つフィールドによる適切なメッセージの区別に関する残存エラー率ＲＰＵが用いられている。このことから、固定値チェックを行った結果がＮＧであった場合には、成りすましの通信エラーである可能性があることになる。
　図８を参照して、実施の形態１に係る安全判定条件２２３を説明する。
　安全判定条件２２３は、通信システム１００のシステム設計者等によって設定される条件であり、エラー判定条件２２２に基づく判定結果から複数のエラー種別それぞれの安全性を判定する条件である。
　例えば、図７に示すエラー判定条件２２２が設定されているとする。この場合には、図８に示すように、複数の安全判定条件２２３が設定される。
　安全判定条件２２３Ａは、基準時間（ここでは、１時間とする）に受信したＳＰＤＵの件数に対する、ＣＲＣチェックを行った結果がＮＧである件数が基準数Ａよりも多い場合には、破損又は成りすましのエラー種別について安全性が低い状態であると判定する条件である。ここでは、基準数Ａは、ビットエラー率Ｐｅが用いられている。
　安全判定条件２２３Ｂは、基準時間当たりの認証コードチェックを行った結果がＮＧである件数が基準数Ｂよりも多い場合には、成りすまし又はアドレッシングのエラー種別について安全性が低い状態であると判定する条件である。ここでは、基準数Ｂは、認証エラーレートＲＡが用いられている。
　安全判定条件２２３Ｃは、基準時間当たりのタイムスタンプチェックを行った結果がＮＧである件数が基準数Ｃよりも多い場合には、意図しない繰り返しと、順序不正と、喪失と、受容できない遅延と、挿入とのいずれかのエラー種別について安全性が低い状態であると判定する条件である。ここでは、基準数Ｃは、適時性エラーレートＲＴが用いられている。
　安全判定条件２２３Ｄは、基準時間当たりの固定値チェックを行った結果がＮＧである件数が基準数Ｄよりも多い場合には、成りすましのエラー種別について安全性が低い状態であると判定する条件である。ここでは、基準数Ｄは、成りすましエラーレートＲＭが用いられている。
　図９を参照して、実施の形態１に係る通信監視装置２０の動作を説明する。
　図９に示す動作の前提として、通信システム１００のシステム設計者等によって、管理パラメータ２２１と複数のエラー判定条件２２２と複数の安全判定条件２２３とが記憶装置１２に設定されているものとする。ここでは、図６に示すように管理パラメータ２２１が設定され、図７に示すように複数のエラー判定条件２２２が設定され、図８に示すように複数の安全判定条件２２３が設定されているものとする。なお、エラー判定条件２２２を設定する前提として、通信装置１０Ａ及び通信装置１０Ｂの間で用いられる通信プロトコルが決定されている必要がある。
　ここでは、通信装置１０Ａに接続された通信監視装置２０Ａが、通信監視装置２０Ａが通信装置１０Ｂから受信したＳＰＤＵを監視する動作を説明する。
　（ステップＳ１１：計測処理）
　計測部２１１は、通信装置１０Ａが受信したＳＰＤＵを取得する。ここでは、通信装置１０Ａは、受信したＳＰＤＵを複製して通信監視装置２０Ａに転送する、又は、通信装置１０Ａに送信されたＳＰＤＵが通信監視装置２０Ａにも送信されるように構成されているものとする。
　すると、計測部２１１は、受信したＳＰＤＵの数を計測するとともに、安全通信が稼働している稼働時間を計測する。計測部２１１は、計測されたＳＰＤＵの数及び稼働時間を記憶装置１２に書き込む。また、通信監視装置２０が起動して初回の実行時には、各エラー判定条件２２２についてのエラー数（データ完全性エラー数ＥｒｒｏｒＩと、認証エラー数ＥｒｒｏｒＡと、適時性エラー数ＥｒｒｏｒＴと、成りすましエラー数ＥｒｒｏｒＭ）を０に初期化する。
　（ステップＳ１２：通信エラー判定処理）
　通信エラー判定部２１２は、複数のエラー判定条件２２２それぞれにより、通信装置１０Ａによって受信されたＳＰＤＵの通信エラーの判定を行う。
　図１０を参照して具体的に説明する。
　ステップＳ１２１で通信エラー判定部２１２は、エラー判定条件２２２Ａに従いＣＲＣチェックを行う。通信エラー判定部２１２は、ＣＲＣチェックを行った結果がＯＫである場合には、処理をステップＳ１２２に進める。一方、通信エラー判定部２１２は、ＣＲＣチェックを行った結果がＮＧである場合には、データ完全性エラー数ＥｒｒｏｒＩに１加算して処理を終了する。
　ステップＳ１２２で通信エラー判定部２１２は、エラー判定条件２２２Ｂに従い認証コードチェックを行う。通信エラー判定部２１２は、認証コードチェックを行った結果がＯＫである場合には、処理をステップＳ１２３に進める。一方、通信エラー判定部２１２は、認証コードチェックを行った結果がＮＧである場合には、認証エラー数ＥｒｒｏｒＡに１加算して処理を終了する。
　ステップＳ１２３で通信エラー判定部２１２は、エラー判定条件２２２Ｃに従いタイムスタンプチェックを行う。通信エラー判定部２１２は、タイムスタンプチェックを行った結果がＯＫである場合には、処理をステップＳ１２４に進める。一方、通信エラー判定部２１２は、タイムスタンプチェックを行った結果がＮＧである場合には、適時性エラー数ＥｒｒｏｒＴに１加算して処理を終了する。
　ステップＳ１２４で通信エラー判定部２１２は、エラー判定条件２２２Ｄに従い固定値チェックを行う。通信エラー判定部２１２は、固定値チェックを行った結果がＯＫである場合には、処理を終了する。一方、通信エラー判定部２１２は、固定値チェックを行った結果がＮＧである場合には、成りすましエラー数ＥｒｒｏｒＭに１加算して処理を終了する。
　（ステップＳ１３：安全性判定処理）
　安全性判定部２１３は、ステップＳ１２で通信エラー判定部２１２によって判定された判定結果を取得し、判定結果に基づき複数のエラー種別それぞれの安全性を判定する。
　図８を参照して具体的に説明する。
　（１）ＣＲＣチェックに関わる安全状態判定（安全判定条件２２３Ａ）
　安全性判定部２１３は、安全判定条件２２３Ａに従い、ＣＲＣチェックを行った結果がＮＧである件数が基準数Ａよりも多い場合には、破損又は成りすましのエラー種別について安全性が低い状態であると判定する。ここでは、基準数Ａは、ビットエラー率Ｐｅである。
　例えば、受信したＳＰＤＵが９００個であり、ＣＲＣチェックを行った結果がＮＧであることを示すＥｒｒｏｒＩが１０件であったとする。この場合、ＣＲＣチェックに関わる安全状態は、１０／９００＝０．０１１１１がビットエラー率Ｐｅ＝１０－２（図６参照）より大きいため、破損又は成りすましであることを示すエラー警告の対象となる。
　なお、厳密にはＥｒｒｏｒＩは、ＳＰＤＵのうちのいくつかのビットがエラーになり、データ完全性エラーが発生したことを示している。今回の仮定ではＳＰＤＵ単位で換算（つまり、ＳＰＤＵすべてのビットがエラーになったこととして計上）しており、ビットエラー率Ｐｅと比較することは保守的である。比較する値はユーザーが監視用途として別途設計してもよい。
　（２）認証コードチェックに関わる安全状態判定（安全判定条件２２３Ｂ）
　安全性判定部２１３は、安全判定条件２２３Ｂに従い、基準時間当たりの認証コードチェックを行った結果がＮＧである件数が基準数Ｂよりも多い場合には、成りすまし又はアドレッシングのエラー種別について安全性が低い状態であると判定する。ここでは、基準数Ｂは、認証エラーレートＲＡである。
　例えば、稼働時間が１００時間であり、稼働時間におけるＥｒｒｏｒＡが０であったとする。この場合、認証コードチェックに関わる安全状態は、０／１００＝０が認証エラーレートＲＡ＝１０－３×１より小さいため、成りすまし又はアドレッシングであることを示すエラー警告の対象とはならない。
　（３）適時性コードチェックに関わる安全状態判定（安全判定条件２２３Ｃ）
　安全性判定部２１３は、安全判定条件２２３Ｃに従い、基準時間当たりのタイムスタンプチェックを行った結果がＮＧである件数が基準数Ｃよりも多い場合には、意図しない繰り返しと、順序不正と、喪失と、受容できない遅延と、挿入とのいずれかのエラー種別について安全性が低い状態であると判定する。ここでは、基準数Ｃは、適時性エラーレートＲＴである。
　例えば、稼働時間が１００時間であり、稼働時間におけるＥｒｒｏｒＴが４であったとする。この場合、認証コードチェックに関わる安全状態は、４／１００＝０．０４が適時性エラーレートＲＴ＝１０－３×２より大きいため、意図しない繰り返しと、順序不正と、喪失と、受容できない遅延と、挿入とのいずれかであることを示すエラー警告の対象とする。
　（４）固定値チェックに関わる安全状態判定（安全判定条件２２３Ｄ）
　安全性判定部２１３は、安全判定条件２２３Ｄに従い、基準時間当たりの固定値チェックを行った結果がＮＧである件数が基準数Ｄよりも多い場合には、成りすましのエラー種別について安全性が低い状態であると判定する。ここでは、基準数Ｄは、成りすましエラーレートＲＭである。
　例えば、稼働時間が１００時間であり、稼働時間におけるＥｒｒｏｒＭが１であったとする。この場合、固定値チェックに関わる安全状態は、１／１００＝０．０１が成りすましエラーレートＲＭ＝１０－３×３より大きいため、成りすましであることを示すエラー警告の対象とする。
　（ステップＳ１４：通知処理）
　通知部２１４は、ステップＳ１３で安全性判定部２１３によって判定された結果を通知する。
　具体例としては、通知部２１４は、図１１に示すように、各安全判定条件２２３についての情報を表形式として表示装置に出力する。図１１では、安全判定条件２２３毎に、対策と、ＮＧ頻度と、基準と、警告と、ＮＧ時の要因候補とを出力している。対策は、機能安全規格における安全通信を実現するための通信プロトコルで実装されているエラー対策を示す。ＮＧ頻度は、エラー判定条件２２２で通信エラーと判定された頻度の計算方法を示す。基準は、エラー警告の対象とするか否かの基準であり、ＮＧ頻度と対比する基準を示す。警告は、エラー警告の対象となっている（図１１では×）か、なっていない（図１１では〇）かを示す。ＮＧ時の要因候補は、警告がどのエラー種別に関するエラー警告であるかを示す。
　通知部２１４は、通信監視装置２０に設けられた表示装置に情報を出力してもよいし、通信路４０を介して接続された外部の表示装置に情報を出力してもよい。また、通知部２１４は、表示に限らず、音声といった他の手段により通知してもよい。
　＊＊＊実施の形態１の効果＊＊＊
　以上のように、実施の形態１に係る通信監視装置２０は、機能安全規格における安全通信を実現するための通信プロトコルで実装されているエラー対策に対応する複数のエラー判定条件により、通信装置１０によって受信されたメッセージであるＳＰＤＵの通信エラーを判定する。そして、通信監視装置２０は、判定結果に基づき複数のエラー種別それぞれの安全性を判定し、通知する。
　これにより、特定のエラーが多発するような通信システム１００の運用状況下において、警告を参照することで要因を特定し、解消することを容易に実施可能である。その結果、残存エラーレートを目標値以内に抑えた状態で通信システム１００を運用することが可能になる。
　＊＊＊他の構成＊＊＊
　＜変形例１＞
　実施の形態１では、各機能構成要素がソフトウェアで実現された。しかし、変形例１として、各機能構成要素はハードウェアで実現されてもよい。この変形例１について、実施の形態１と異なる点を説明する。
　各機能構成要素がハードウェアで実現される場合には、通信装置１０は、演算装置１１と記憶装置１２とに代えて、電子回路を備える。電子回路は、各機能構成要素と、記憶装置１２との機能とを実現する専用の回路である。
　各機能構成要素がハードウェアで実現される場合には、通信監視装置２０は、演算装置２１と記憶装置２２とに代えて、電子回路を備える。電子回路は、各機能構成要素と、記憶装置２２との機能とを実現する専用の回路である。
　電子回路としては、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ（Ｇａｔｅ　Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）が想定される。
　各機能構成要素を１つの電子回路で実現してもよいし、各機能構成要素を複数の電子回路に分散させて実現してもよい。
　＜変形例２＞
　変形例２として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。
　演算装置１１，２１と電子回路とを処理回路という。つまり、各機能構成要素の機能は、処理回路により実現される。
　実施の形態２．
　実施の形態２は、通信監視装置２０が残存エラーレートを計算して通知する点が実施の形態１と異なる。実施の形態２では、この異なる点を説明し、同一の点については説明を省略する。
　＊＊＊動作の説明＊＊＊
　図１２を参照して、実施の形態２に係る管理パラメータ２２１について説明する。
　管理パラメータ２２１は、残存エラーレートの計算に必要なパラメータが追加されている点が図６に示す管理パラメータ２２１と異なる。
　具体的には、管理パラメータ２２１は、残存エラーレートｔｍｐλＳＣと、データ完全性残存エラーレートｔｍｐＲＲＩと、認証残存エラーレートｔｍｐＲＲＡと、適時性残存エラーレートｔｍｐＲＲＴと、成りすまし残存エラーレートｔｍｐＲＲＭと、認証コード長ＬＡと、タイムスタンプコード長ＬＴと、受容タイムスタンプ幅ｗと、ＣＲＣコード長ｒと、固定値に関わる残存エラー率ＲＰＵと、データ完全性エラー確率ｔｍｐＲＰＩとが追加されている。
　残存エラーレートｔｍｐλＳＣは、運用時における一時的な残存エラーレートである。データ完全性残存エラーレートｔｍｐＲＲＩは、運用時における一時的なデータ完全性に関わる残存エラーレートである。認証残存エラーレートｔｍｐＲＲＡは、運用時における一時的な認証に関わる残存エラーレートである。適時性残存エラーレートｔｍｐＲＲＴは、運用時における一時的な適時性に関わる残存エラーレートである。成りすまし残存エラーレートｔｍｐＲＲＭは、運用時における一時的な成りすましに関わる残存エラーレートである。
　認証コード長ＬＡは、認証コードの長さであり、例えば１６ｂｉｔの認証コードの場合には１６とする。タイムスタンプコード長ＬＴは、タイムスタンプコードの長さであり、例えば１６ｂｉｔのタイムスタンプの場合には１６とする。受容タイムスタンプ幅ｗは、受容するタイムスタンプの幅であり、例えばタイムスタンプが１つの値のみ有効である場合には１とする。ＣＲＣコード長ｒは、ＣＲＣコードの長さであり、例えばＣＲＣが３２ｂｉｔの場合には３２とする。
　固定値残存エラー率ＲＰＵは、固定値に関わる残存エラー率であり、例えば固定値を持つフィールドが無い場合には１とする。なお、２ｂｉｔの値のうち１つの値、例えば０ｂ００しかとらないフィールドの場合は１／２２＝１／４となる。データ完全性残存エラー確率ｔｍｐＲＰＩは、運用時における一時的なデータ完全性の残存エラー確率である。ここでは適切なＣＲＣ多項式を選択したと仮定し、データ完全性残存エラー確率ｔｍｐＲＰＩは上限値の２－ｒとする。なお、データ完全性残存エラー確率ｔｍｐＲＰＩは、ビットエラー率とメッセージ長といった情報によって値が異なるため、これらを考慮し厳密な値が採用されてもよい。
　図９を参照して、実施の形態２に係る通信監視装置２０の動作を説明する。
　ステップＳ１１及びステップＳ１２までの処理は、実施の形態１と同じである。
　（ステップＳ１３：安全性判定処理）
　安全性判定部２１３は、実施の形態１と同様に、各安全判定条件２２３により各エラー種別の安全性を判定する。そして、安全性判定部２１３は、各安全判定条件２２３により各エラー種別の安全性を判定する際に計算された値を用いて、残存エラーレートｔｍｐλＳＣを計算する。
　図８を参照して具体的に説明する。
　図８では、例として、ＣＲＣチェックに関わる安全状態ｔｍｐＰｅが０．０１１１であり、認証コードチェックに関わる安全状態ｔｍｐＲＡが０であり、タイムスタンプチェックに関わる安全状態ｔｍｐＲＴが０．０４であり、成りすましチェックに関わる安全状態ｔｍｐＲＭが０．０１であった。このうち、ＣＲＣチェックに関わる安全状態ｔｍｐＰｅと、タイムスタンプチェックに関わる安全状態ｔｍｐＲＴと、成りすましチェックに関わる安全状態ｔｍｐＲＭとは、基準数よりも多い状態であった。
　安全性判定部２１３は、これらの値と、管理パラメータ２２１に記憶された値とを用いて、残存エラーレートｔｍｐλＳＣを計算する。そして、安全性判定部２１３は、残存エラーレートｔｍｐλＳＣが目標値（図１２では、１０－９）内に抑えられているか否かを判定する。
　（ステップＳ１４：通知処理）
　通知部２１４は、実施の形態１と同様に、ステップＳ１３で安全性判定部２１３によって判定された結果を通知する。また、通知部２１４は、ステップＳ１３で残存エラーレートｔｍｐλＳＣが目標値内に抑えられていない場合には、通信装置１０の安全通信層又は安全アプリケーションに割り込み通知を行うことにより、通信システム１００を安全状態に遷移させる。
　＊＊＊実施の形態２の効果＊＊＊
　以上のように、実施の形態２に係る通信監視装置２０は、残存エラーレートｔｍｐλＳＣを計算し、残存エラーレートｔｍｐλＳＣが目標値内に抑えられているか否かを判定する。そして、通信監視装置２０は、残存エラーレートｔｍｐλＳＣが目標値内に抑えられていない場合には、通信装置１０に割り込み通知を行う。これにより、高い残存エラーレートのまま通信システム１００が運用され続けることを防止可能である。
　実施の形態３．
　実施の形態３は、通信監視装置２０を通信装置１０の内部に構築する点が実施の形態１，２と異なる。実施の形態３では、この異なる点を説明し、同一の点については説明を省略する。
　＊＊＊構成の説明＊＊＊
　図１３を参照して、実施の形態３に係る通信装置１０の機能構成を説明する。
　通信装置１０は、通信監視装置２０の機能構成要素である、計測部２１１と、通信エラー判定部２１２と、安全性判定部２１３と、通知部２１４とを備える。
　また、記憶装置１２には、管理パラメータ２２１Ａ及び管理パラメータ２２１Ｂと、エラー判定条件２２２と、安全判定条件２２３とが記憶される。
　安全通信層であるＳＣＬは、残存エラーレートを計算するために、各エラー種別の通信エラーの判定に必要なパラメータの計測及び計算を行っている。そして、通信装置１０の構成によっては、ＳＣＬによって得られたパラメータを記憶装置１２に記憶している場合がある。
　そこで、実施の形態３では、通信監視装置２０が備えていた機能構成要素のうちの計測部２１１及び通信エラー判定部２１２をＳＣＬの機能により実現する。管理パラメータ２２１のうち、通信エラー判定部２１２が必要な一部のパラメータを管理パラメータ２２１Ａとして、エラー判定条件２２２とともに記憶装置１２におけるＳＣＬの参照可能な領域に記憶した。そして、残りの機能構成要素である安全性判定部２１３及び通知部２１４を通信装置１０に追加した。管理パラメータ２２１のうち、安全性判定部２１３が必要な一部のパラメータを管理パラメータ２２１Ｂとして、安全判定条件２２３とともに記憶装置２２に記憶した。
　＊＊＊動作の説明＊＊＊
　図９を参照して、実施の形態３に係る通信装置１０の動作を説明する。
　ステップＳ１１からステップＳ１４の処理が通信装置１０によって実行される。この際、ステップＳ１２の判定結果をＳＣＬから安全性判定部２１３へ送信する方法としては、単純に安全Ｉ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）を用いた通知を用いることができる。しかし、別途、専用の通信手段を設ける等してもよい。
　＊＊＊実施の形態３の効果＊＊＊
　以上のように、実施の形態３では、通信エラーの判定機能を通信装置１０が備える。これにより、低コストに通信監視装置２０の機能を構築可能である。
　また、ＳＣＬによっては、通信プロトコルに基づいた通信エラー判定が可能な場合がある。例えば、タイムスタンプチェックのＮＧ時の要因が、意図しない繰り返しと、順序不正と、喪失と、受容できない遅延と、挿入とのいずれであるかまで絞り込む判定が行われている場合がある。このような場合には、より具体的な警告を行うことが可能である。
　１０　通信装置、１１　演算装置、１２　記憶装置、１３　通信インタフェース、２０　通信監視装置、２１　演算装置、２２　記憶装置、２３　通信インタフェース、２１１　計測部、２１２　通信エラー判定部、２１３　安全性判定部、２１４　通知部、２２１　管理パラメータ、２２２　エラー判定条件、２２３　安全判定条件、３０　中継装置、４０　通信路、１００　通信システム。

Claims (6)

  1. 　機能安全規格における安全通信を実現するための通信プロトコルで実装されているエラー対策に対応する複数のエラー判定条件であって、複数のエラー種別についての複数のエラー判定条件それぞれにより、通信装置によって受信されたメッセージの通信エラーを判定する通信エラー判定部と、
    　前記通信エラー判定部によって通信エラーが判定された判定結果に基づき、前記複数のエラー種別それぞれの安全性を判定する安全性判定部と、
    　前記安全性判定部によって安全性が判定された結果を通知する通知部と
    を備える通信監視装置。
  2. 　前記安全性判定部は、前記複数のエラー種別それぞれを対象として、対象のエラー種別について、基準期間に前記通信装置によって受信されたメッセージの通信エラーが判定された前記判定結果と、前記安全通信における残存エラーレートの計算に使用されるパラメータのうちの前記対象のエラー種別に対応するパラメータとを比較して、前記対象のエラー種別の安全性を判定する
    請求項１に記載の通信監視装置。
  3. 　前記安全性判定部は、前記判定結果に基づき、前記安全通信における残存エラーレートを計算し、
    　前記通知部は、前記安全性判定部によって計算された残存エラーレートが基準レートよりも悪い場合に通知する
    請求項１又は２に記載の通信監視装置。
  4. 　前記通知部は、前記残存エラーレートが前記基準レートよりも悪い場合に、前記通信装置において前記安全通信を実現する安全通信層に対して通知を行う
    請求項３に記載の通信監視装置。
  5. 　通信エラー判定部が、機能安全規格における安全通信を実現するための通信プロトコルで実装されているエラー対策に対応する複数のエラー判定条件であって、複数のエラー種別についての複数のエラー判定条件それぞれにより、通信装置によって受信されたメッセージの通信エラーを判定し、
    　安全性判定部が、通信エラーが判定された判定結果に基づき、前記複数のエラー種別それぞれの安全性を判定し、
    　通知部が、安全性が判定された結果を通知すると
    を備える通信監視方法。
  6. 　機能安全規格における安全通信を実現するための通信プロトコルで実装されているエラー対策に対応する複数のエラー判定条件であって、複数のエラー種別についての複数のエラー判定条件それぞれにより、通信装置によって受信されたメッセージの通信エラーを判定する通信エラー判定処理と、
    　前記通信エラー判定処理によって通信エラーが判定された判定結果に基づき、前記複数のエラー種別それぞれの安全性を判定する安全性判定処理と、
    　前記安全性判定処理によって安全性が判定された結果を通知する通知処理と
    を実行する通信監視装置としてコンピュータを機能させる通信監視プログラム。
     
     
     
PCT/JP2019/009020 2019-03-07 2019-03-07 通信監視装置、通信監視方法及び通信監視プログラム WO2020179050A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
PCT/JP2019/009020 WO2020179050A1 (ja) 2019-03-07 2019-03-07 通信監視装置、通信監視方法及び通信監視プログラム
TW108123759A TW202034659A (zh) 2019-03-07 2019-07-05 通信監視裝置、通信監視方法及通信監視程式產品

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/009020 WO2020179050A1 (ja) 2019-03-07 2019-03-07 通信監視装置、通信監視方法及び通信監視プログラム

Publications (1)

Publication Number Publication Date
WO2020179050A1 true WO2020179050A1 (ja) 2020-09-10

Family

ID=72338501

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/009020 WO2020179050A1 (ja) 2019-03-07 2019-03-07 通信監視装置、通信監視方法及び通信監視プログラム

Country Status (2)

Country Link
TW (1) TW202034659A (ja)
WO (1) WO2020179050A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015109535A (ja) * 2013-12-04 2015-06-11 アズビル株式会社 通信機器およびエラー応答レベル切替方法
JP2017152762A (ja) * 2016-02-22 2017-08-31 ルネサスエレクトロニクス株式会社 車載システム、プログラムおよびコントローラ
JP2017535879A (ja) * 2014-11-18 2017-11-30 ムーグ ウンナ ゲゼルシャフト ミット ベシュレンクテル ハフツングＭＯＯＧ ＵＮＮＡ ＧｍｂＨ 電気機械的駆動システム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015109535A (ja) * 2013-12-04 2015-06-11 アズビル株式会社 通信機器およびエラー応答レベル切替方法
JP2017535879A (ja) * 2014-11-18 2017-11-30 ムーグ ウンナ ゲゼルシャフト ミット ベシュレンクテル ハフツングＭＯＯＧ ＵＮＮＡ ＧｍｂＨ 電気機械的駆動システム
JP2017152762A (ja) * 2016-02-22 2017-08-31 ルネサスエレクトロニクス株式会社 車載システム、プログラムおよびコントローラ

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
IGARASHI SHUNSUKE : "CC-Link IE field safety telecommunication technology", MITSUBISHI DENKI GIHO, vol. 85, no. 4, 25 April 2011 (2011-04-25), pages 37 - 40, XP009523398, ISSN: 0369-2302 *
RYOHEI KUBA, SEIJI SEKI, KEN SANBE : "D-10-2 An evaluation of the methods of extending communication frame in the functional safety", PROCEEDINGS OF THE 2014 IEICE GENERAL CONFERENCE INFORMATION AND SYSTEMS 1, 18 March 2014 (2014-03-18), JP, pages 121, XP009523278, ISSN: 1349-1377 *

Also Published As

Publication number Publication date
TW202034659A (zh) 2020-09-16

Similar Documents

Publication Publication Date Title
US9411677B2 (en) Method and system for detecting errors in the transfer of data from a transmitter to at least one receiver
US7738461B2 (en) Communication apparatus and switching device
US8949606B2 (en) Prevention of masquerade by using identification sequences
EP2889772B1 (en) Serial link fault detection system and method
CN105527564B (zh) Fpga内部功能自诊断方法与系统
EP3979527A1 (en) System and method of network synchronized time in safety applications
US7590848B2 (en) System and method for authentication and fail-safe transmission of safety messages
Paulitsch et al. Coverage and the use of cyclic redundancy codes in ultra-dependable systems
US20060187932A1 (en) Method and system for transmitting telegrams
WO2017012389A1 (zh) 链路检测方法、接收设备及计算机存储介质
WO2020179050A1 (ja) 通信監視装置、通信監視方法及び通信監視プログラム
KR102438292B1 (ko) 안전 통신 장치, 안전 통신 시스템, 안전 통신 방법, 및, 기록 매체에 저장된 안전 통신 프로그램
EP3769450B1 (en) Apparatus and method for avoiding deterministic blanking of secure traffic
CN110532127B (zh) 一种差错校验位协议转换器
KR101389646B1 (ko) 통신 장치 및 통신 방법
Morris et al. Critical Message Integrity Over A Shared Network
Zhou et al. Design and implementation of functional safety fieldbus communication protocol
JP5906145B2 (ja) 伝送装置、伝送システム、及びその自己診断方法
JP2017192105A (ja) 冗長化処理装置、および、異常判定方法
JP2004236333A (ja) データパケットの安全送信の監視方法および装置
KR101623305B1 (ko) 정보 검사 장치 및 방법과 정보 검사 장치를 포함하는 정보 처리 시스템
Franekova et al. Modelling of failures effect of open transmission system for safety critical applications with the intention of safety
Franeková et al. Modelling of Failure Effects within Safety–Related Communications with Safety Code for Railway Applications
CN111742300B (zh) 用于控制复杂电子组件的运行的方法和系统
Kanamaru et al. Safety field network technology and its implementation

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19917776

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19917776

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: JP