WO2023037711A1 - 車載中継装置、車載中継方法および車載中継プログラム - Google Patents

車載中継装置、車載中継方法および車載中継プログラム Download PDF

Info

Publication number
WO2023037711A1
WO2023037711A1 PCT/JP2022/025512 JP2022025512W WO2023037711A1 WO 2023037711 A1 WO2023037711 A1 WO 2023037711A1 JP 2022025512 W JP2022025512 W JP 2022025512W WO 2023037711 A1 WO2023037711 A1 WO 2023037711A1
Authority
WO
WIPO (PCT)
Prior art keywords
frame
vehicle
relay
received
detection
Prior art date
Application number
PCT/JP2022/025512
Other languages
English (en)
French (fr)
Inventor
小林拓也
宮下之宏
小林直人
中島伸広
Original Assignee
株式会社オートネットワーク技術研究所
住友電装株式会社
住友電気工業株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社オートネットワーク技術研究所, 住友電装株式会社, 住友電気工業株式会社 filed Critical 株式会社オートネットワーク技術研究所
Publication of WO2023037711A1 publication Critical patent/WO2023037711A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks

Definitions

  • the present disclosure relates to an in-vehicle relay device, an in-vehicle relay method, and an in-vehicle relay program.
  • Patent Document 1 Japanese Patent Application Laid-Open No. 2007-166302 discloses the following in-vehicle network relay device. That is, the in-vehicle network relay device includes a plurality of networks, and an electronic device connected to each of the networks according to a communication protocol in which an ID capable of specifying the destination of the communication frame is arranged in the first information area of the communication frame. An in-vehicle network relay device used in an in-vehicle communication system in which devices communicate and relays communication frames to be transferred between different networks, and is sent from an electronic device connected to a relay source network to the network.
  • receiving means for receiving a communication frame and sequentially outputting each bit of the communication frame; a buffer for sequentially storing each bit of the communication frame output from the receiving means; relay destination determining means for determining a relay destination network (hereinafter referred to as a relay destination network) to which the communication frame is to be relayed based on the ID in the communication frame output from the receiving means; and relaying by the relay destination determining means.
  • relay transfer means for sequentially supplying each bit stored in the buffer as a transmission target from the first bit to a transmission means for transmitting data to the determined relay destination network. and have.
  • Patent Document 2 Japanese Unexamined Patent Application Publication No. 2017-123639 discloses a monitoring electronic control unit as follows.
  • the monitoring electronic control unit is a monitoring electronic control unit connected to the bus in an in-vehicle network system including a plurality of electronic control units communicating via a bus, and comprises a frame having a first identifier; a fraud detection rule holding unit that holds fraud detection rule information indicating a first condition that is a condition for a relationship between content of a frame having an identifier different from the identifier; a reception unit that sequentially receives frames from the bus; a fraud determination unit that determines whether or not a set of frames received from the bus by the reception unit satisfies the first condition indicated by the fraud detection rule information.
  • An in-vehicle relay device of the present disclosure includes a receiving unit that receives a frame from an in-vehicle device, a first IC (Integrated Circuit) that performs relay processing of the frame received by the receiving unit, and a and a second IC for detecting an illegal frame by monitoring the frame.
  • a receiving unit that receives a frame from an in-vehicle device
  • a first IC Integrated Circuit
  • a second IC for detecting an illegal frame by monitoring the frame.
  • An in-vehicle relay method of the present disclosure is an in-vehicle relay method in an in-vehicle relay device including a first IC and a second IC, comprising: receiving a frame from the in-vehicle device; The second IC detects an illegal frame by monitoring the frame.
  • An in-vehicle relay program of the present disclosure is an in-vehicle relay program used in an in-vehicle relay device that receives a frame from an in-vehicle device, and includes a first IC that relays the received frame and monitors the received frame. This is a program for functioning as a second IC that performs detection processing for detecting illegal frames.
  • One aspect of the present disclosure can be implemented not only as an in-vehicle relay device including such a characteristic processing unit, but also as a semiconductor integrated circuit that implements part or all of the in-vehicle relay device, or as an in-vehicle relay device. It can be implemented as an in-vehicle communication system including the device.
  • FIG. 1 is a diagram showing the configuration of an in-vehicle communication system according to an embodiment of the present disclosure.
  • FIG. 2 is a diagram showing an example of a CAN frame transmitted by an in-vehicle ECU in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 3 is a diagram showing a configuration of an in-vehicle relay device according to an embodiment of the present disclosure.
  • FIG. 4 is a diagram showing a timing chart of relay processing in an in-vehicle communication system according to a comparative example.
  • FIG. 5 is a diagram showing an example of a timing chart of relay processing in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 1 is a diagram showing the configuration of an in-vehicle communication system according to an embodiment of the present disclosure.
  • FIG. 2 is a diagram showing an example of a CAN frame transmitted by an in-vehicle ECU in the in-vehicle communication system according
  • FIG. 6 is a diagram showing an example of a timing chart of relay processing in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 7 is a flowchart defining an example of an operation procedure when the in-vehicle relay device according to the embodiment of the present disclosure performs relay processing and detection processing.
  • FIG. 8 is a flowchart that defines an example of an operation procedure when the in-vehicle relay device according to the embodiment of the present disclosure performs detection processing.
  • FIG. 9 is a flowchart that defines an example of an operation procedure when the in-vehicle relay device according to the embodiment of the present disclosure confirms stoppage of relay processing for illegal frames.
  • FIG. 7 is a flowchart defining an example of an operation procedure when the in-vehicle relay device according to the embodiment of the present disclosure performs relay processing and detection processing.
  • FIG. 8 is a flowchart that defines an example of an operation procedure when the in-vehicle relay device according to the embodiment of the present disclosure
  • FIG. 10 is a flowchart defining an example of an operation procedure when the in-vehicle relay device according to the embodiment of the present disclosure performs relay processing.
  • FIG. 11 is a diagram showing the configuration of an in-vehicle communication system according to a modification of the embodiment of the present disclosure.
  • FIG. 12 is a diagram showing a configuration of an in-vehicle relay device according to a modification of the embodiment of the present disclosure.
  • FIG. 13 is a diagram showing the configuration of an in-vehicle communication system according to a modification of the embodiment of the present disclosure.
  • FIG. 14 is a diagram illustrating a configuration of an in-vehicle relay device according to a modification of the embodiment of the present disclosure;
  • the present disclosure has been made in order to solve the above-described problems, and the purpose thereof is to provide an in-vehicle relay device, an in-vehicle relay method, and an in-vehicle relay program capable of improving security while suppressing communication delays in an in-vehicle network. is to provide
  • An in-vehicle relay device includes a receiving unit that receives a frame from an in-vehicle device, a first IC that performs relay processing of the frame received by the receiving unit, and the receiving unit. and a second IC for detecting an illegal frame by monitoring the frame received by the IC.
  • the in-vehicle relay device of the present disclosure includes the second IC that performs detection processing separately from the first IC that performs relay processing. , the processing load on the in-vehicle relay device can be distributed, and the processing load on the first IC can be reduced. Therefore, the in-vehicle relay device of the present disclosure can improve security while suppressing communication delays in the in-vehicle network.
  • the second IC may notify the first IC of a detection result indicating that the illegal frame has been detected, and the first IC receives the notification from the second IC.
  • the relay processing of the illegal frame may be stopped based on the detection result.
  • the in-vehicle relay device of the present disclosure can prevent unauthorized frames from being received by the relay destination in-vehicle device, thereby further improving security.
  • the first IC may be a processor, and the second IC may have a circuit composed of a PLD (Programmable Logic Device).
  • PLD Programmable Logic Device
  • the manufacturer or user of the in-vehicle relay device of the present disclosure can add the PLD to the in-vehicle relay device configured by an existing processor that performs relay processing without upgrading to a high-performance processor. , it is possible to realize an in-vehicle relay device with improved security.
  • the second IC may have a circuit composed of an FPGA (Field Programmable Gate Array).
  • FPGA Field Programmable Gate Array
  • the manufacturer or user of the in-vehicle relay device of the present disclosure can more flexibly change the content of detection processing performed by the second IC.
  • the first IC may acquire the frame received by the receiving unit and perform the relay processing, and the second IC may acquire the frame received by the first IC.
  • the detection process may be performed before completion.
  • the in-vehicle relay device of the present disclosure can further shorten the relay delay time caused by performing the detection process.
  • the in-vehicle relay device may further include a plurality of communication ports, and the first IC relays the plurality of frames respectively received by the receiver via the plurality of communication ports. Processing may be performed, and the second IC may monitor the plurality of frames respectively received via the plurality of communication ports by the receiver.
  • the in-vehicle relay device of the present disclosure can improve security while suppressing communication delays to an allowable level even when the target of relay processing is wide and the processing load of relay processing is large. can.
  • the in-vehicle relay device of the present disclosure detects that the relay processing of the illegal frame has been performed when the relay processing of the illegal frame is not stopped for some reason, and for example, relays the illegal frame. It is possible to record the fact that processing has been performed as a log, or to send an alert to a device external to the in-vehicle relay device.
  • the receiving unit may receive the frame according to CAN (Controller Area Network) or CAN FD (CAN with Flexible Data rate) standards, and output the received frame to the second IC,
  • the second IC may start the detection process when the ID of the frame received from the receiving unit is obtained.
  • the in-vehicle relay device of the present disclosure can start the detection process before receiving the EOF (End Of Frame) of the frame. time can be shorter. Further, for example, when the first IC receives the detection result from the second IC, the time required for the first IC to receive the detection result is shorter than the time required for the detection process. Therefore, the in-vehicle relay device of the present disclosure suppresses the occurrence of relay delay time compared to a configuration in which the detection process is performed in the first IC, and discards illegal frames, etc. in the first IC based on the detection result. It can be performed.
  • EOF End Of Frame
  • the receiving unit may receive the frame conforming to the CAN or CAN FD standard and output the received frame to the second IC, and the second IC receives from the receiving unit
  • the detection process may be started when the DLC (Data Length Code) of the frame is obtained.
  • the in-vehicle relay device of the present disclosure can start the detection process before receiving the EOF of the frame, thereby shortening the relay delay time caused by performing the detection process. be able to. Further, for example, when the first IC receives the detection result from the second IC, the time required for the first IC to receive the detection result is shorter than the time required for the detection process. Therefore, the in-vehicle relay device of the present disclosure suppresses the occurrence of relay delay time compared to a configuration in which the detection process is performed in the first IC, and discards illegal frames, etc. in the first IC based on the detection result. It can be performed.
  • An in-vehicle relay method is an in-vehicle relay method in an in-vehicle relay device including a first IC and a second IC, comprising: receiving a frame from the in-vehicle device; One IC relays the frame, and the second IC detects an illegal frame by monitoring the frame.
  • the in-vehicle relay method of the present disclosure uses the second IC that performs the detection process separately from the first IC that performs the relay process. Compared with the in-vehicle relay method, it is possible to distribute the processing load in the in-vehicle relay device and reduce the processing load of the first IC. Therefore, the in-vehicle relay method of the present disclosure can improve security while suppressing communication delays in the in-vehicle network.
  • An in-vehicle relay program is an in-vehicle relay program used in an in-vehicle relay device that receives a frame from an in-vehicle device, and includes: a first IC that performs relay processing of the received frame; and a second IC that performs detection processing for detecting an unauthorized frame by monitoring the received frame.
  • the in-vehicle relay program of the present disclosure includes the second IC that performs the detection process separately from the first IC that performs the relay process, so that the first IC performs the relay process and the detection process. , the processing load on the in-vehicle relay device can be distributed, and the processing load on the first IC can be reduced. Therefore, the in-vehicle relay program of the present disclosure can improve security while suppressing communication delays in the in-vehicle network.
  • FIG. 1 is a diagram showing the configuration of an in-vehicle communication system according to an embodiment of the present disclosure.
  • an in-vehicle communication system 301 includes an in-vehicle relay device 101, a plurality of in-vehicle ECUs (Electronic Control Units) 111A, and a plurality of in-vehicle ECUs 111B.
  • the in-vehicle ECUs 111A and 111B are examples of in-vehicle devices.
  • a plurality of in-vehicle ECUs 111A are connected to the in-vehicle relay device 101 via a bus 1A conforming to CAN (registered trademark) standards.
  • a plurality of in-vehicle ECUs 111B are connected to the in-vehicle relay device 101 via a bus 1B conforming to CAN standards.
  • the in-vehicle ECUs 111A and 111B transmit and receive CAN frames, which are frames conforming to CAN standards.
  • FIG. 2 is a diagram showing an example of a CAN frame transmitted by an in-vehicle ECU in the in-vehicle communication system according to the embodiment of the present disclosure.
  • a CAN frame includes an SOF (Start Of Frame) field, an ID field, a DLC field, a data field (hereinafter also referred to as a DAT field), a CRC (Cyclic Redundancy Check) field, and an ACK field. field and EOF field in this order.
  • the in-vehicle ECU 111A periodically or irregularly generates a CAN frame in which data to be transmitted to the other in-vehicle ECU 111A and the in-vehicle ECU 111B is stored in the DAT field, and transmits the generated CAN frame to the other in-vehicle ECU 111A and the other in-vehicle ECU 111B via the bus 1A. It transmits to the in-vehicle relay device 101 .
  • the in-vehicle ECU 111B periodically or irregularly generates a CAN frame in which data to be transmitted to the in-vehicle ECU 111A and the other in-vehicle ECU 111B is stored in the DAT field, and transmits the generated CAN frame to the other in-vehicle ECU 111B via the bus 1B. It is transmitted to the ECU 111B and the in-vehicle relay device 101 .
  • the in-vehicle relay device 101 can relay CAN frames received from the in-vehicle ECU 111A via the bus 1A to the in-vehicle ECU 111B. Further, the in-vehicle relay device 101 can relay CAN frames received from the in-vehicle ECU 111B via the bus 1B to the in-vehicle ECU 111A.
  • FIG. 3 is a diagram showing a configuration of an in-vehicle relay device according to an embodiment of the present disclosure.
  • in-vehicle relay device 101 includes multiple communication ports 10 , communication unit 20 , relay IC 30 , and detection IC 40 .
  • the communication unit 20 is an example of a receiving unit.
  • the relay IC 30 is an example of a first IC.
  • the detection IC 40 is an example of a second IC.
  • the communication section 20, the relay IC 30, and the detection IC 40 are connected to each other via conductive patterns on the substrate.
  • the in-vehicle relay device 101 includes communication ports 10A and 10B, which are the communication ports 10 .
  • a bus 1A is connected to the communication port 10A.
  • a bus 1B is connected to the communication port 10B.
  • the communication unit 20 includes CAN transceivers 21A and 21B.
  • Each of the CAN transceivers 21A and 21B is also referred to as a CAN transceiver 21 hereinafter.
  • the relay IC 30 includes CAN controllers 31A and 31B, a relay section 32, and a storage section 33.
  • Storage unit 33 is, for example, a non-volatile memory.
  • Each of the CAN controllers 31A and 31B is also referred to as the CAN controller 31 hereinafter.
  • the CAN controller 31 is a general-purpose CAN controller, and outputs the CAN frame to the relay section 32 after receiving the data of each field from the SOF field at the beginning of the CAN frame to the EOF field at the end.
  • the relay IC 30 is a processor.
  • the relay IC 30 is a microcontroller.
  • the detection IC 40 includes CAN controllers 41A and 41B, a detection section 42, a confirmation section 43, and a storage section 44.
  • Storage unit 44 is, for example, a non-volatile memory.
  • Each of the CAN controllers 41A and 41B is also referred to as the CAN controller 41 hereinafter.
  • the CAN controller 41 is a custom product, and is capable of acquiring information stored in the CAN frame, which is acquired halfway through reception of the CAN frame, and outputting the acquired information to the detection unit 42 .
  • the sensing IC 40 has circuitry made up of PLDs. More specifically, the detection IC 40 has a circuit composed of FPGA, ASIC (Application Specific Integrated Circuit), or CPLD (Complex Programmable Logic Device).
  • the communication unit 20 receives CAN frames from the in-vehicle ECUs 111A and 111B. More specifically, the CAN transceiver 21A receives CAN frames from the in-vehicle ECU 111A via the communication port 10A. CAN transceiver 21A outputs the received CAN frame to relay IC 30 and detection IC 40 . Also, the CAN transceiver 21B receives CAN frames from the in-vehicle ECU 111B via the communication port 10B. CAN transceiver 21B outputs the received CAN frame to relay IC 30 and detection IC 40 .
  • CAN transceiver 21 outputs the received CAN frame to relay IC 30 and detection IC 40 . That is, the CAN frame is output in parallel from the CAN transceiver 21 to the relay IC 30 and the detection IC 40 .
  • the relay IC 30 relays the CAN frame received by the communication unit 20 .
  • the relay IC 30 relays a plurality of CAN frames received by the communication section 20 via a plurality of communication ports 10 . More specifically, the relay IC 30 performs relay processing for CAN frames received by the communication unit 20 via the communication port 10A and relay processing for CAN frames received by the communication unit 20 via the communication port 10B.
  • the relay IC 30 acquires the CAN frame received by the communication unit 20 and performs relay processing.
  • the CAN controller 31A acquires the CAN frame received by the CAN transceiver 21A in the communication unit 20. Specifically, the CAN controller 31A detects the beginning of the CAN frame by receiving the SOF in the CAN frame received from the CAN transceiver 21A, and starts the acquisition process of the CAN frame. Then, the CAN controller 31A receives the EOF in the CAN frame received from the CAN transceiver 21A, determines that the acquisition processing of the CAN frame is completed, and outputs the acquired CAN frame to the relay unit 32.
  • the relay unit 32 receives the CAN frame from the CAN controller 31A and performs reception confirmation processing to confirm the contents of the received CAN frame. Specifically, in the reception confirmation process, the relay unit 32 confirms whether or not the CAN frame to be relayed has been normally received using information stored in the CRC field, for example.
  • the relay unit 32 performs the relay process for the CAN frame to be relayed. Specifically, the relay unit 32 outputs the CAN frame to be relayed received from the CAN controller 31A to the CAN controller 31B.
  • the CAN controller 31B receives the CAN frame from the relay section 32 and outputs the received CAN frame to the communication section 20 and the detection IC 40.
  • the CAN transceiver 21B in the communication unit 20 receives the CAN frame from the CAN controller 31B and transmits the received CAN frame to the in-vehicle ECU 111B via the communication port 10B and the bus 1B.
  • the CAN controller 31B acquires the CAN frame received by the CAN transceiver 21B in the communication unit 20. Specifically, the CAN controller 31B detects the beginning of the CAN frame by receiving the SOF in the CAN frame received from the CAN transceiver 21B, and starts the acquisition process of the CAN frame. Then, the CAN controller 31B receives the EOF in the CAN frame received from the CAN transceiver 21B, determines that the acquisition processing of the CAN frame is completed, and outputs the acquired CAN frame to the relay unit 32 .
  • the relay unit 32 receives the CAN frame from the CAN controller 31B and performs reception confirmation processing to confirm the contents of the received CAN frame.
  • the relay unit 32 performs the relay process for the CAN frame to be relayed. Specifically, the relay unit 32 outputs the CAN frame to be relayed received from the CAN controller 31B to the CAN controller 31A.
  • the CAN controller 31A receives the CAN frame from the relay section 32 and outputs the received CAN frame to the communication section 20 and the detection IC 40.
  • the CAN transceiver 21A in the communication unit 20 receives a CAN frame from the CAN controller 31A and transmits the received CAN frame to the in-vehicle ECU 111A via the communication port 10A and bus 1A.
  • the detection IC 40 performs a detection process of detecting an unauthorized frame by monitoring CAN frames received by the communication unit 20 .
  • the detection IC 40 monitors multiple CAN frames received by the communication unit 20 via multiple communication ports 10 .
  • the detection IC 40 monitors CAN frames received by the communication unit 20 via the communication port 10A and monitors CAN frames received by the communication unit 20 via the communication port 10B.
  • the CAN controller 41A in the detection IC 40 acquires the information stored in the CAN frame received by the CAN transceiver 21 in the communication unit 20.
  • the CAN controller 41A detects the beginning of the CAN frame by receiving the SOF in the CAN frame received from the CAN transceiver 21, acquires information stored in at least one field in the CAN frame, and acquires The information obtained is output to the detection unit 42 .
  • the detection IC 40 performs detection processing based on the ID stored in the ID field of the CAN frame.
  • the CAN controller 41A acquires the ID of the CAN frame stored in the ID field of the CAN frame received from the CAN transceiver 21, and outputs received frame information indicating the acquired ID to the detector 42.
  • the detection unit 42 performs detection processing based on the received frame information received from the CAN controller 41A. More specifically, the detection unit 42 determines whether or not the CAN frame received by the communication unit 20 is an illegal frame based on the received frame information.
  • the storage unit 44 stores an ID list indicating a list of IDs stored in valid CAN frames to be relayed by the in-vehicle relay device 101 .
  • the detection unit 42 collates the ID indicated by the received frame information received from the CAN controller 41A with the ID list in the storage unit 44 . If the ID list includes an ID that matches the ID indicated by the received frame information, the detector 42 determines that the CAN frame received by the CAN controller 41A from the CAN transceiver 21 is not an illegal frame. On the other hand, if the ID list does not include an ID that matches the ID indicated by the received frame information, the detection unit 42 determines that the CAN frame received by the CAN controller 41A from the CAN transceiver 21 is an illegal frame.
  • the detection IC 40 performs detection processing based on the DLC stored in the DLC field of the CAN frame.
  • the CAN controller 41A obtains the ID and DLC of the CAN frame, which are respectively stored in the ID field and the DLC field of the CAN frame received from the CAN transceiver 21, and displays received frame information indicating the obtained ID and DLC. is output to the detection unit 42 .
  • the storage unit 44 stores a DLC list indicating a list of DLCs stored in valid CAN frames to be relayed by the in-vehicle relay device 101 .
  • the detection unit 42 collates the DLC indicated by the received frame information received from the CAN controller 41A with the DLC list in the storage unit 44 . If the DLC list includes a DLC that matches the DLC indicated by the received frame information, the detection unit 42 determines that the CAN frame received by the CAN controller 41A from the CAN transceiver 21 is not an illegal frame. On the other hand, when the DLC that matches the DLC indicated by the received frame information is not included in the DLC list, the detector 42 determines that the CAN frame received by the CAN controller 41A from the CAN transceiver 21 is an illegal frame.
  • the detection IC 40 performs detection processing based on data stored in the DAT field of the CAN frame.
  • the CAN controller 41A acquires the ID and data of the CAN frame respectively stored in the ID field and the DAT field of the CAN frame received from the CAN transceiver 21, and obtains received frame information indicating the acquired ID and data. is output to the detection unit 42 .
  • the storage unit 44 stores a numerical value list indicating an appropriate numerical range of data to be stored in valid CAN frames to be relayed by the in-vehicle relay device 101 .
  • the detection unit 42 collates the data value indicated by the received frame information received from the CAN controller 41A with the numerical range indicated by the numerical value list in the storage unit 44 .
  • the detector 42 determines that the CAN frame received by the CAN controller 41A from the CAN transceiver 21 is not an illegal frame.
  • the detector 42 determines that the CAN frame received by the CAN controller 41A from the CAN transceiver 21 is an illegal frame. do.
  • the detection IC 40 may be configured to perform detection processing based on the CRC, ACK, or EOF of the CAN frame. Further, the detection IC 40 may be configured to perform detection processing using a plurality of pieces of information among ID, DLC, data stored in the DAT field, CRC, ACK, and EOF.
  • the detection unit 42 stores the ID indicated by the received frame information received from the CAN controller 41A in the storage unit 44 as the ID of the illegal frame. do.
  • the detection IC 40 notifies the relay IC 30 of a detection result indicating that an unauthorized frame has been detected. More specifically, when the CAN controller 41A determines that the CAN frame received from the CAN transceiver 21 is an illegal frame, the detection unit 42 transmits the illegality detection information indicating the ID of the illegal frame to, for example, a UART (Universal Asynchronous Receiver). Transmitter) to output to the relay IC 30 by communication. On the other hand, when the CAN controller 41A determines that the CAN frame received from the CAN transceiver 21 is not an illegal frame, the detection unit 42 outputs normal detection information to the relay IC 30 through communication using UART.
  • UART Universal Asynchronous Receiver
  • the relay IC 30 stops the relay processing of the illegal frame based on the detection result notified from the detection IC 40 . More specifically, when the relay unit 32 in the relay IC 30 receives the fraud detection information from the detection unit 42, the ID indicated by the received fraud detection information is saved in the storage unit 33 as the ID of the fraud frame. On the other hand, when the relay unit 32 receives normal detection information from the detection unit 42 , the relay unit 32 does not store the ID in the storage unit 33 .
  • the relay unit 32 When the relay unit 32 receives the CAN frame from the CAN controller 31A and completes reception confirmation processing of the received CAN frame, the ID included in the ID field of the received CAN frame matches the ID of the illegal frame in the storage unit 33. Check whether or not
  • the relay unit 32 It determines that the CAN frame received from the CAN controller 31A is a valid CAN frame, and performs relay processing for the CAN frame.
  • relay unit 32 receives the CAN frame from CAN controller 31A.
  • the received CAN frame is determined to be an illegal frame, and the CAN frame is discarded without relaying the CAN frame.
  • the detection IC 40 checks whether or not the relay IC 30 has stopped relaying the unauthorized frame.
  • the CAN controller 41B in the detection IC 40 acquires the information stored in the CAN frame output from the CAN controller 31 in the relay IC 30.
  • the CAN controller 41B detects the beginning of the CAN frame by receiving the SOF in the CAN frame received from the CAN controller 31, acquires the ID of the CAN frame stored in the ID field of the CAN frame, It outputs transmission frame information indicating the acquired ID to the confirmation unit 43 .
  • the confirmation unit 43 receives the transmission frame information from the CAN controller 41B and compares the ID indicated by the received transmission frame information with the ID of the illegal frame in the storage unit 44 .
  • the confirmation unit 43 determines that the relay IC 30 has not stopped the relay processing of the unauthorized frame. In this case, for example, the confirmation unit 43 creates error log information indicating the ID indicated by the transmission frame information and stores it in the storage unit 44 . Further, for example, the confirmation unit 43 transmits alert information indicating that the unauthorized frame has been relayed to a device external to the in-vehicle relay device 101 .
  • FIG. 4 is a diagram showing a timing chart of relay processing in an in-vehicle communication system according to a comparative example.
  • FIG. 4 shows a timing chart of relay processing when the relay IC 30 performs relay processing and detection processing.
  • in-vehicle ECU 111A transmits a CAN frame to other in-vehicle ECU 111A and in-vehicle relay device 101 via bus 1A at time t11.
  • the CAN controller 31A in the relay IC 30 detects the beginning of the CAN frame by receiving the SOF in the CAN frame from the CAN transceiver 21A in the communication unit 20, and starts CAN frame acquisition processing. Then, at time t12 after time t11, the CAN controller 31A receives the EOF in the CAN frame received from the CAN transceiver 21A, determines that the acquisition processing of the CAN frame is completed, and transmits the acquired CAN frame to the relay unit. 32.
  • the relay unit 32 in the relay IC 30 receives the CAN frame from the CAN controller 31A and performs reception confirmation processing, detection processing and relay processing in this order.
  • the in-vehicle ECU 111A receives the CAN frame from the relay IC 30 via the CAN transceiver 21B, communication port 10B, and bus 1B.
  • a relay delay time from time t12 to time t13 occurs.
  • FIG. 5 is a diagram showing an example of a timing chart of relay processing in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 5 shows a timing chart when the detection IC 40 performs the specific example 1 of detection processing described above.
  • in-vehicle ECU 111A transmits a CAN frame to other in-vehicle ECU 111A and in-vehicle relay device 101 via bus 1A at time t21.
  • the CAN controller 31A in the relay IC 30 detects the beginning of the CAN frame by receiving the SOF in the CAN frame from the CAN transceiver 21A in the communication unit 20, and starts CAN frame acquisition processing.
  • the CAN controller 41A in the detection IC 40 detects the beginning of the CAN frame by receiving the SOF in the CAN frame received from the CAN transceiver 21A at time t21.
  • the detection IC 40 performs detection processing before the acquisition of the CAN frame by the relay IC 30 is completed.
  • the detection IC 40 starts the detection process when it acquires the ID of the CAN frame received from the CAN transceiver 21A. More specifically, at time t22 after time t21, the CAN controller 41A acquires the ID of the CAN frame stored in the ID field of the CAN frame, and detects received frame information indicating the acquired ID. 42.
  • Detection unit 42 starts detection processing based on the received frame information received from CAN controller 41A, ends detection processing at time t23 after time t22, and outputs normal detection information to relay IC 30, for example.
  • the relay unit 32 in the relay IC 30 receives normal detection information from the detection unit 42 at time t24 after time t23.
  • the CAN controller 31A in the relay IC 30 receives the EOF in the CAN frame received from the CAN transceiver 21A, determines that the acquisition processing of the CAN frame is completed, and outputs the acquired CAN frame. Output to relay unit 32 .
  • the relay unit 32 in the relay IC 30 receives the CAN frame from the CAN controller 31A and performs reception confirmation processing and relay processing in this order. For example, the relay unit 32 relays the CAN frame received from the CAN controller 31A because the ID included in the ID field of the CAN frame received from the CAN controller 31A does not match the ID of the illegal frame in the storage unit 33 .
  • the in-vehicle ECU 111A receives the CAN frame from the relay IC 30 via the CAN transceiver 21B, communication port 10B and bus 1B.
  • a relay delay time from time t25 to time t26 occurs.
  • FIG. 6 is a diagram showing an example of a timing chart of relay processing in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 6 shows a timing chart when the detecting IC 40 performs the specific example 2 of the detecting process described above.
  • in-vehicle ECU 111A transmits a CAN frame to other in-vehicle ECU 111A and in-vehicle relay device 101 via bus 1A at time t31.
  • the CAN controller 31A in the relay IC 30 detects the beginning of the CAN frame by receiving the SOF in the CAN frame received from the CAN transceiver 21A in the communication unit 20, and starts CAN frame acquisition processing.
  • the CAN controller 41A in the detection IC 40 detects the beginning of the CAN frame by receiving the SOF in the CAN frame received from the CAN transceiver 21A at time t31.
  • the detection IC 40 performs detection processing before the acquisition of the CAN frame by the relay IC 30 is completed.
  • the detection IC 40 starts the detection process when it acquires the DLC of the CAN frame received from the CAN transceiver 21A. More specifically, at time t32 after time t31, the CAN controller 41A acquires the DLC of the CAN frame stored in the DLC field of the CAN frame, and detects received frame information indicating the acquired DLC. 42.
  • Detection unit 42 starts detection processing based on the received frame information received from CAN controller 41A, ends detection processing at time t33 after time t32, and outputs normal detection information to relay IC 30, for example.
  • the relay unit 32 in the relay IC 30 receives normal detection information from the detection unit 42 at time t34 after time t33.
  • the CAN controller 31A in the relay IC 30 receives the EOF in the CAN frame received from the CAN transceiver 21A, determines that the acquisition processing of the CAN frame is completed, and outputs the acquired CAN frame. Output to relay unit 32 .
  • the relay unit 32 in the relay IC 30 receives the CAN frame from the CAN controller 31A and performs reception confirmation processing and relay processing in this order. For example, the relay unit 32 relays the CAN frame received from the CAN controller 31A because the ID included in the ID field of the CAN frame received from the CAN controller 31A does not match the ID of the illegal frame in the storage unit 33 .
  • the in-vehicle ECU 111A receives the CAN frame from the relay IC 30 via the CAN transceiver 21B, communication port 10B and bus 1B.
  • a relay delay time from time t35 to time t36 occurs.
  • a relay delay time corresponding to the time required for the reception confirmation processing, detection processing and relay processing in the relay IC 30 occurs.
  • the detection processing by the detection IC 40 is performed in parallel with the acquisition processing of the CAN frame by the relay IC 30.
  • the time required for confirmation processing and relay processing can be reduced.
  • Each device in the in-vehicle communication system includes a computer including a memory, and an arithmetic processing unit such as a CPU in the computer is a program including part or all of each step of the following flowcharts and sequences is read from the memory and executed. Programs for these multiple devices can each be installed from the outside. Programs for these devices are distributed in a state stored in recording media or via communication lines.
  • FIG. 7 is a flowchart defining an example of an operation procedure when the in-vehicle relay device according to the embodiment of the present disclosure performs relay processing and detection processing.
  • communication unit 20 in in-vehicle relay device 101 waits for a CAN frame from in-vehicle ECU 111A or in-vehicle ECU 111B (NO in step S102), for example, receives the CAN frame from in-vehicle ECU 111A via communication port 10A. Then (YES in step S102), the received CAN frame is output to relay IC 30 and detection IC 40 (step S104).
  • the detection IC 40 performs detection processing to detect unauthorized frames by monitoring CAN frames received by the communication unit 20 (step S106).
  • the relay IC 30 performs relay processing for the CAN frame received by the communication unit 20 (step S108).
  • the communication unit 20 waits for a new CAN frame from the in-vehicle ECU 111A or the in-vehicle ECU 111B (NO in step S102).
  • FIG. 8 is a flow chart defining an example of an operation procedure when the in-vehicle relay device according to the embodiment of the present disclosure performs detection processing.
  • FIG. 8 shows details of step S106 in FIG. 7 when the detection IC 40 performs the specific example 1 of the detection processing described above.
  • detection IC 40 in in-vehicle relay device 101 waits for the beginning of the CAN frame received from communication unit 20 (NO in step S202), and detects the beginning of the CAN frame by receiving the SOF. (YES in step S202), for example, the ID of the CAN frame stored in the ID field of the CAN frame is obtained (step S204).
  • the detection IC 40 performs detection processing based on the acquired ID. Specifically, the detection IC 40 determines whether or not the CAN frame is an unauthorized frame based on the acquired ID (step S206).
  • the detection IC 40 determines that the CAN frame is not an illegal frame (NO in step S208)
  • the detection IC 40 outputs normal detection information to the relay IC 30 (step S210).
  • the detection IC 40 waits for the head of a new CAN frame received from the communication unit 20 (NO in step S202).
  • the detection IC 40 determines that the CAN frame is an unauthorized frame (YES in step S208)
  • the detection IC 40 stores the ID of the CAN frame as an ID of the unauthorized frame in the storage unit 44, and uses the unauthorized detection information for relaying. Output to IC 30 (step S212).
  • the detection IC 40 waits for the head of a new CAN frame received from the communication unit 20 (NO in step S202).
  • FIG. 9 is a flow chart defining an example of an operation procedure when the in-vehicle relay device according to the embodiment of the present disclosure confirms stoppage of relay processing of unauthorized frames.
  • detection IC 40 in in-vehicle relay device 101 first waits for a CAN frame from relay IC 30 (NO in step S222), and upon receiving the CAN frame from relay IC 30 (YES in step S222). , confirms whether or not the relay processing of the illegal frame has been stopped in the relay IC 30 . More specifically, the detection IC 40 checks whether or not the ID of the received CAN frame matches the ID of the unauthorized frame (step S224).
  • the detection IC 40 determines that the received CAN frame is an unauthorized frame and that the relay processing of the unauthorized frame has not been stopped (YES in step S226). ), the error log information is created and stored in the storage unit 44 (step S228).
  • the detection IC 40 waits for a new CAN frame from the relay IC 30 (NO in step S222).
  • the detection IC 40 determines that the received CAN frame is not an unauthorized frame (NO in step S226), and receives a new message from the relay IC 30. A CAN frame is awaited (NO in step S222).
  • FIG. 10 is a flowchart defining an example of an operation procedure when the in-vehicle relay device according to the embodiment of the present disclosure performs relay processing.
  • FIG. 10 shows details of step S108 in FIG.
  • relay IC 30 in in-vehicle relay device 101 waits for the beginning of the CAN frame received from communication unit 20 (NO in step S302), and detects the beginning of the CAN frame by receiving the SOF. (YES in step S302), the CAN frame is acquired (step S304).
  • the relay IC 30 performs reception confirmation processing to confirm the content of the acquired CAN frame (step S306).
  • step S308 when the ID included in the ID field of the obtained CAN frame matches the ID of the unauthorized frame in the storage unit 33 (YES in step S308), the relay IC 30 determines that the CAN frame is an unauthorized frame. , the CAN frame is discarded (step S310).
  • the relay IC 30 waits for the head of a new CAN frame received from the communication unit 20 (NO in step S302).
  • the CAN frame is determined to be a valid CAN frame, and the CAN frame is relayed (step S312).
  • the relay IC 30 waits for the head of a new CAN frame received from the communication unit 20 (NO in step S302).
  • the detection IC 40 is configured to notify the relay IC 30 of the detection result indicating that an unauthorized frame has been detected. isn't it.
  • the detection IC 40 may be configured not to notify the relay IC 30 of the detection result. In this case, for example, the detection IC 40 transmits fraud detection information indicating the ID of the fraudulent frame to a device outside the in-vehicle relay device 101 .
  • the relay IC 30 is a processor and the detection IC 40 is a PLD, but the present invention is not limited to this.
  • relay IC 30 may be a PLD.
  • the sensing IC 40 may be a processor.
  • the detection IC 40 is configured to perform detection processing before acquisition of the CAN frame by the relay IC 30 is completed. isn't it. Due to the processing capability of each IC, the detection IC 40 starts the detection process before the acquisition of the CAN frame by the relay IC 30 is completed, and the detection process is started after the acquisition of the CAN frame by the relay IC 30 is completed. It may be a timing relationship that terminates. Moreover, the timing relationship may be such that the detection IC 40 starts the detection process after acquisition of the CAN frame by the relay IC 30 is completed.
  • the relay IC 30 performs relay processing of CAN frames received by the communication unit 20 via the communication port 10A, and relay processing of CAN frames received by the communication unit 20 via the communication port 10B.
  • the relay IC 30 is configured not to perform either relay processing of the CAN frame received by the communication unit 20 via the communication port 10A or relay processing of the CAN frame received by the communication unit 20 via the communication port 10B. There may be.
  • the detection IC 40 monitors CAN frames received by the communication unit 20 via the communication port 10A, and monitors CAN frames received by the communication unit 20 via the communication port 10B.
  • the configuration is such that the CAN frame is monitored, the configuration is not limited to this.
  • the detection IC 40 is configured not to monitor either the CAN frame received by the communication unit 20 via the communication port 10A or the CAN frame received by the communication unit 20 via the communication port 10B. good too.
  • the detection IC 40 is configured to include the confirmation unit 43, but it is not limited to this.
  • the detection IC 40 may have a configuration that does not include the confirmation unit 43 .
  • the in-vehicle ECUs 111A and 111B are configured to be connected to the in-vehicle relay device 101 via the buses 1A and 1B complying with CAN standards, respectively. is not limited to The in-vehicle ECU 111A and the in-vehicle ECU 111B may be configured to be connected to the in-vehicle relay device 101 via a bus complying with standards other than CAN.
  • the in-vehicle ECU 111A and the in-vehicle ECU 111B may be configured to be connected to the in-vehicle relay device 101 via a bus conforming to the CAN FD standard.
  • the communication unit 20 in the in-vehicle relay device 101 includes a CAN FD transceiver instead of the CAN transceiver 21
  • the relay IC 30 includes a CAN FD controller instead of the CAN controller
  • the detection IC 40 includes a CAN controller 41.
  • the in-vehicle ECU 111A and the in-vehicle ECU 111B may be configured to be respectively connected to the in-vehicle relay device 101 via a bus conforming to the LIN (Local Interconnect Network) standard.
  • the communication unit 20 in the in-vehicle relay device 101 includes a LIN transceiver instead of the CAN transceiver 21
  • the relay IC 30 includes a LIN controller instead of the CAN controller 31
  • the detection IC 40 replaces the CAN controller 41. contains the LIN controller.
  • the in-vehicle ECU 111A and the in-vehicle ECU 111B may be configured to be connected to the in-vehicle relay device 101 via a bus conforming to the CXPI (Clock Extension Peripheral Interface) standard.
  • the communication unit 20 in the in-vehicle relay device 101 includes a CXPI transceiver instead of the CAN transceiver 21
  • the relay IC 30 includes a CXPI controller instead of the CAN controller 31
  • the detection IC 40 replaces the CAN controller 41. contains the CXPI controller.
  • the in-vehicle communication system 301 may be configured to include in-vehicle ECUs that are connected to the in-vehicle relay device 101 via buses conforming to different standards.
  • FIG. 11 is a diagram showing the configuration of an in-vehicle communication system according to a modification of the embodiment of the present disclosure.
  • in-vehicle communication system 302 includes in-vehicle relay device 102 instead of in-vehicle relay device 101 and in-vehicle ECU 111C in place of in-vehicle ECU 111B.
  • the in-vehicle ECU 111C is an example of an in-vehicle device.
  • a plurality of in-vehicle ECUs 111C are connected to the in-vehicle relay device 101 via a bus 1C conforming to the LIN standard.
  • the in-vehicle ECU 111C periodically or irregularly generates a LIN frame containing data to be transmitted to the in-vehicle ECU 111A and the other in-vehicle ECU 111C, and transmits the generated LIN frame to the other in-vehicle ECU 111C and the in-vehicle relay device via the bus 1C. 102.
  • FIG. 12 is a diagram showing a configuration of an in-vehicle relay device according to a modification of the embodiment of the present disclosure.
  • in-vehicle relay device 102 includes communication port 10C instead of communication port 10B, communication unit 120 instead of communication unit 20, and relay IC 30 instead of relay IC 30. is provided with a relay IC 130, and a detection IC 140 is provided instead of the detection IC 40.
  • a bus 1C is connected to the communication port 10C.
  • the communication section 120 includes a LIN transceiver 21C instead of the CAN transceiver 21B.
  • the relay IC 130 includes a LIN controller 31C instead of the CAN controller 31B and a relay section 132 instead of the relay section 32, compared to the relay IC 30.
  • the detection IC 140 includes a detection section 142 instead of the detection section 42, a confirmation section 143 instead of the confirmation section 43, and further includes LIN controllers 141A and 141B, as compared with the detection IC 40.
  • the LIN transceiver 21C in the communication unit 120 receives the LIN frame from the in-vehicle ECU 111C via the communication port 10C, and outputs the received LIN frame to the relay IC 130 and the detection IC 140.
  • the LIN controller 31C in the relay IC 130 acquires the LIN frame received by the LIN transceiver 21C in the communication unit 120 and outputs the acquired LIN frame to the relay unit 132.
  • the relay unit 132 receives a LIN frame from the LIN controller 31C, performs reception confirmation processing for confirming the content of the received LIN frame, and upon completion of the reception confirmation processing, performs relay processing for the LIN frame to be relayed. Specifically, the relay unit 132 converts the relay target LIN frame received from the LIN controller 31C into a CAN frame, and outputs the CAN frame to the CAN controller 31A.
  • the relay unit 132 receives a CAN frame from the CAN controller 31A, performs reception confirmation processing for confirming the contents of the received CAN frame, and when the reception confirmation processing is completed, converts the CAN frame to be relayed into a LIN frame. and output to the LIN controller 31C.
  • the LIN controller 31C receives the LIN frame from the relay section 132 and outputs the received LIN frame to the communication section 120 and the detection IC 140.
  • the LIN transceiver 21C in the communication unit 120 receives the LIN frame from the LIN controller 31C and transmits the received LIN frame to the in-vehicle ECU 111C via the communication port 10C and bus 1C.
  • the LIN controller 141A in the detection IC 140 acquires the information stored in the LIN frame received by the LIN transceiver 21C in the communication unit 120. For example, the LIN controller 141A detects the beginning of the LIN frame by receiving the header in the LIN frame received from the LIN transceiver 21C, acquires information stored in at least one field in the LIN frame, and acquires the information. The information obtained is output to the detection unit 142 .
  • the detection unit 142 performs detection processing based on the information received from the LIN controller 141A. More specifically, the detection unit 142 determines whether or not the LIN frame received by the communication unit 120 is an unauthorized frame based on the received information.
  • the LIN controller 141B in the detection IC 140 acquires the information stored in the LIN frame output from the LIN controller 31C in the relay IC 130. For example, the LIN controller 141B detects the beginning of the LIN frame by receiving the header of the LIN frame received from the LIN controller 31C, acquires information stored in at least one field in the LIN frame, and acquires The information obtained is output to the confirmation unit 143 .
  • the confirmation unit 143 confirms whether or not the relay processing of the illegal frame has been stopped in the relay IC 130.
  • FIG. 13 is a diagram showing the configuration of an in-vehicle communication system according to a modification of the embodiment of the present disclosure.
  • in-vehicle communication system 303 includes in-vehicle relay device 103 instead of in-vehicle relay device 101, and in-vehicle ECUs 111D, 111D and 111D in place of multiple in-vehicle ECUs 111A and 111B. 111E.
  • the in-vehicle ECUs 111D and 111E are examples of in-vehicle devices.
  • the in-vehicle ECUs 111D and 111E are connected to the in-vehicle relay device 103 via Ethernet (registered trademark) cables (hereinafter also referred to as Eth cables) 1D and 1E, respectively.
  • the in-vehicle ECU 111D periodically or irregularly generates an Ethernet frame (hereinafter also referred to as an Eth frame) containing data to be transmitted to the in-vehicle ECU 111E, and transmits the generated Eth frame to the in-vehicle relay device 103 via the Eth cable 1D.
  • the in-vehicle ECU 111E periodically or irregularly generates an Eth frame containing data to be transmitted to the in-vehicle ECU 111D, and transmits the generated Eth frame to the in-vehicle relay device 103 via the Eth cable 1E.
  • the in-vehicle communication system 303 may be configured to include three or more in-vehicle ECUs connected to the in-vehicle relay device 103 via an Eth cable.
  • the configuration may further include an in-vehicle ECU connected to the in-vehicle relay device 103 .
  • FIG. 14 is a diagram showing the configuration of an in-vehicle relay device according to a modification of the embodiment of the present disclosure.
  • in-vehicle relay device 103 includes communication ports 10D and 10E instead of communication ports 10A and 10B, switch unit 220 in place of communication unit 20, and relay device 101.
  • a relay IC 230 is provided instead of the IC 30 for use, and an IC 240 for detection is provided instead of the IC 40 for detection.
  • An Eth cable 1D is connected to the communication port 10D.
  • An Eth cable 1E is connected to the communication port 10E.
  • the relay IC 230 includes Ethernet controllers (hereinafter also referred to as Eth controllers) 31D and 31E instead of the CAN controllers 31A and 31B, and a relay section 232 instead of the relay section 32, compared to the relay IC 30.
  • the detection IC 240 includes Eth controllers 241A and 241B instead of the CAN controllers 41A and 41B, a detection unit 242 instead of the detection unit 42, and a confirmation unit 243 instead of the confirmation unit 43, compared to the detection IC 40. include.
  • the switch unit 220 receives an Eth frame from the in-vehicle ECU 111D via the corresponding communication port 10D, and outputs the received Eth frame to the relay IC 230 and the detection IC 240.
  • the Eth controller 31D in the relay IC 230 acquires the Eth frame received by the switch section 220 and outputs the acquired Eth frame to the relay section 232.
  • the relay unit 232 receives an Eth frame from the Eth controller 31D, performs reception confirmation processing for confirming the content of the received Eth frame, and when the reception confirmation processing is completed, relays the Eth frame to be relayed. Specifically, the relay unit 232 outputs the Eth frame to be relayed received from the Eth controller 31D to the Eth controller 31E.
  • the Eth controller 31E receives the Eth frame from the relay unit 232 and outputs the received Eth frame to the switch unit 220.
  • the switch unit 220 receives the Eth frame from the Eth controller 31E and transmits the received Eth frame to the destination in-vehicle ECU 111E via the corresponding communication port 10E and the Eth cable 1E. Also, the switch unit 220 outputs the Eth frame received from the Eth controller 31E to the IC 240 for detection.
  • the Eth controller 241A in the detection IC 240 acquires the information stored in the Eth frame received by the switch section 220. For example, Eth controller 241A detects the beginning of the Eth frame by receiving a header such as a preamble in the Eth frame received from switch unit 220, and acquires information stored in at least one field of the Eth frame. , outputs the acquired information to the detection unit 242 . As an example, the Eth controller 241A acquires information stored in the length field of the Eth frame and outputs the acquired information to the detector 242. FIG.
  • the detection unit 242 performs detection processing based on the information received from the Eth controller 241A. More specifically, the detection unit 242 determines whether or not the Eth frame received by the switch unit 220 is an unauthorized frame based on the received information.
  • the Eth controller 241B in the detection IC 240 acquires the information stored in the Eth frame output from the switch section 220. For example, Eth controller 241B detects the beginning of the Eth frame by receiving a header such as a preamble in the Eth frame received from switch unit 220, and acquires information stored in at least one field of the Eth frame. , and outputs the acquired information to the confirmation unit 243 .
  • the confirmation unit 243 confirms whether or not the relay processing of the illegal frame has been stopped in the relay IC 230.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Small-Scale Networks (AREA)

Abstract

車載中継装置は、車載装置からフレームを受信する受信部と、前記受信部により受信された前記フレームの中継処理を行う第１のＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）と、前記受信部により受信された前記フレームを監視することにより不正フレームを検知する検知処理を行う第２のＩＣとを備える。

Description

車載中継装置、車載中継方法および車載中継プログラム
　本開示は、車載中継装置、車載中継方法および車載中継プログラムに関する。
　この出願は、２０２１年９月７日に出願された日本出願特願２０２１－１４５３８０号を基礎とする優先権を主張し、その開示のすべてをここに取り込む。
　特許文献１（特開２００７－１６６３０２号公報）には、以下のような車載ネットワーク中継装置が開示されている。すなわち、車載ネットワーク中継装置は、複数のネットワークを備えると共に、通信フレームの最初の情報領域に該通信フレームの送信先を特定可能なＩＤが配置される通信プロトコルに従って、前記各ネットワークに接続された電子装置が通信を行う車載通信システムに用いられ、異なるネットワーク間で転送されるべき通信フレームを中継する車載ネットワーク中継装置であって、中継元のネットワークに接続された電子装置から該ネットワークへ送出された通信フレームを受信して、その通信フレームの各ビットを順次出力する受信手段と、前記受信手段から出力される通信フレームの各ビットを順次格納するバッファと、前記バッファと並行して動作し、前記受信手段から出力される通信フレームにおける前記ＩＤに基づいて、当該通信フレームを中継すべき中継先のネットワーク（以下、中継先ネットワークという）を決定する中継先決定手段と、前記中継先決定手段により中継先ネットワークが決定されると、その決定された中継先ネットワークにデータを送信するための送信手段へ、送信対象として、前記バッファに格納されている各ビットを先頭のビットから順に供給する中継転送手段と、を備えている。
　また、車載ネットワークのセキュリティ性を向上させるために、車載ネットワークにおいて送信された不正フレームを検知する技術が開発されている。たとえば、特許文献２（特開２０１７－１２３６３９号公報）には、以下のような監視電子制御ユニットが開示されている。すなわち、監視電子制御ユニットは、バスを介して通信を行う複数の電子制御ユニットを備える車載ネットワークシステムにおいて前記バスに接続された監視電子制御ユニットであって、第１識別子を有するフレームと、第１識別子とは異なる識別子を有するフレームとの内容の関係についての条件である第１条件を示す不正検知ルール情報を保持する不正検知ルール保持部と、前記バスからフレームを逐次受信する受信部と、前記受信部により前記バスから受信されたフレームの集合が、前記不正検知ルール情報が示す前記第１条件を満たすか否かを判定する不正判定部とを備える。
特開２００７－１６６３０２号公報 特開２０１７－１２３６３９号公報
　本開示の車載中継装置は、車載装置からフレームを受信する受信部と、前記受信部により受信された前記フレームの中継処理を行う第１のＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）と、前記受信部により受信された前記フレームを監視することにより不正フレームを検知する検知処理を行う第２のＩＣとを備える。
　本開示の車載中継方法は、第１のＩＣおよび第２のＩＣを備える車載中継装置における車載中継方法であって、車載装置からフレームを受信するステップと、前記第１のＩＣが、前記フレームの中継処理を行うステップと、前記第２のＩＣが、前記フレームを監視することにより不正フレームを検知するステップとを含む。
　本開示の車載中継プログラムは、車載装置からフレームを受信する車載中継装置において用いられる車載中継プログラムであって、受信した前記フレームの中継処理を行う第１のＩＣと、受信した前記フレームを監視することにより不正フレームを検知する検知処理を行う第２のＩＣ、として機能させるためのプログラムである。
　本開示の一態様は、このような特徴的な処理部を備える車載中継装置として実現され得るだけでなく、車載中継装置の一部または全部を実現する半導体集積回路として実現され得たり、車載中継装置を含む車載通信システムとして実現され得る。
図１は、本開示の実施の形態に係る車載通信システムの構成を示す図である。 図２は、本開示の実施の形態に係る車載通信システムにおける車載ＥＣＵにより送信されるＣＡＮフレームの一例を示す図である。 図３は、本開示の実施の形態に係る車載中継装置の構成を示す図である。 図４は、比較例に係る車載通信システムにおける中継処理のタイミングチャートを示す図である。 図５は、本開示の実施の形態に係る車載通信システムにおける中継処理のタイミングチャートの一例を示す図である。 図６は、本開示の実施の形態に係る車載通信システムにおける中継処理のタイミングチャートの一例を示す図である。 図７は、本開示の実施の形態に係る車載中継装置が中継処理および検知処理を行う際の動作手順の一例を定めたフローチャートである。 図８は、本開示の実施の形態に係る車載中継装置が検知処理を行う際の動作手順の一例を定めたフローチャートである。 図９は、本開示の実施の形態に係る車載中継装置が不正フレームの中継処理の停止の確認を行う際の動作手順の一例を定めたフローチャートである。 図１０は、本開示の実施の形態に係る車載中継装置が中継処理を行う際の動作手順の一例を定めたフローチャートである。 図１１は、本開示の実施の形態の変形例に係る車載通信システムの構成を示す図である。 図１２は、本開示の実施の形態の変形例に係る車載中継装置の構成を示す図である。 図１３は、本開示の実施の形態の変形例に係る車載通信システムの構成を示す図である。 図１４は、本開示の実施の形態の変形例に係る車載中継装置の構成を示す図である。
　従来、車載ネットワークにおいて中継処理を行う中継装置が開発されている。
　［本開示が解決しようとする課題］
　しかしながら、車載中継装置において不正フレームを検知する処理および中継処理を行う場合、車載中継装置における処理負荷が増大し、通信遅延が生じる場合がある。
　本開示は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおける通信遅延を抑制しながらセキュリティ性を向上させることが可能な車載中継装置、車載中継方法および車載中継プログラムを提供することである。
　［本開示の効果］
　本開示によれば、車載ネットワークにおける通信遅延を抑制しながらセキュリティ性を向上させることができる。
　［本開示の実施形態の説明］
　最初に、本開示の実施形態の内容を列記して説明する。
　（１）本開示の実施の形態に係る車載中継装置は、車載装置からフレームを受信する受信部と、前記受信部により受信された前記フレームの中継処理を行う第１のＩＣと、前記受信部により受信された前記フレームを監視することにより不正フレームを検知する検知処理を行う第２のＩＣとを備える。
　このように、本開示の車載中継装置は、中継処理を行う第１のＩＣとは別に、検知処理を行う第２のＩＣを備える構成により、第１のＩＣにおいて中継処理および検知処理を行う構成と比べて、車載中継装置における処理負荷を分散し、第１のＩＣの処理負荷を低減することができる。したがって、本開示の車載中継装置は、車載ネットワークにおける通信遅延を抑制しながらセキュリティ性を向上させることができる。
　（２）前記第２のＩＣは、前記不正フレームを検知したことを示す検知結果を前記第１のＩＣへ通知してもよく、前記第１のＩＣは、前記第２のＩＣから通知された前記検知結果に基づいて、前記不正フレームの前記中継処理を停止してもよい。
　このような構成により、本開示の車載中継装置は、中継先の車載装置による不正フレームの受信を防止することができるので、セキュリティ性をより向上させることができる。
　（３）前記第１のＩＣは、プロセッサであり、前記第２のＩＣは、ＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ　Ｌｏｇｉｃ　Ｄｅｖｉｃｅ）から構成される回路を有してもよい。
　このような構成により、本開示の車載中継装置の製造者またはユーザは、中継処理を行う既存のプロセッサにより構成される車載中継装置に当該ＰＬＤを加えることより、高性能なプロセッサにアップグレードすることなく、セキュリティ性を向上させた車載中継装置を実現することができる。
　（４）前記第２のＩＣは、ＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）から構成される回路を有してもよい。
　このような構成により、本開示の車載中継装置の製造者またはユーザは、第２のＩＣにより行われる検知処理の内容をより柔軟に変更することができる。
　（５）前記第１のＩＣは、前記受信部により受信された前記フレームを取得して前記中継処理を行ってもよく、前記第２のＩＣは、前記第１のＩＣによる前記フレームの取得が完了する前に前記検知処理を行ってもよい。
　このような構成により、本開示の車載中継装置は、検知処理を行うことに起因して発生する中継遅延時間をより短くすることができる。
　（６）前記車載中継装置は、さらに、複数の通信ポートを備えてもよく、前記第１のＩＣは、前記受信部により前記複数の通信ポート経由でそれぞれ受信された複数の前記フレームの前記中継処理を行ってもよく、前記第２のＩＣは、前記受信部により前記複数の通信ポート経由でそれぞれ受信された前記複数のフレームを監視してもよい。
　このような構成により、本開示の車載中継装置は、中継処理の対象が広範で中継処理の処理負荷が大きい場合においても、通信遅延を許容可能なレベルに抑制しながらセキュリティ性を向上させることができる。
　（７）前記第２のＩＣは、前記不正フレームを検知したことを示す検知結果を前記第１のＩＣへ通知した場合、前記第１のＩＣにおいて前記不正フレームの前記中継処理が停止されたか否かを確認してもよい。
　このような構成により、本開示の車載中継装置は、何らかの要因により不正フレームの中継処理が停止されなかった場合において、不正フレームの中継処理が行われたことを検知し、たとえば、不正フレームの中継処理が行われたことをログとして記録したり、車載中継装置の外部の装置にアラートを送信したりすることができる。
　（８）前記受信部は、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）またはＣＡＮ　ＦＤ（ＣＡＮ　ｗｉｔｈ　Ｆｌｅｘｉｂｌｅ　Ｄａｔａ　ｒａｔｅ）の規格に従う前記フレームを受信し、受信した前記フレームを前記第２のＩＣへ出力してもよく、前記第２のＩＣは、前記受信部から受ける前記フレームのＩＤを取得した時点において、前記検知処理を開始してもよい。
　このような構成により、本開示の車載中継装置は、フレームのＥＯＦ（Ｅｎｄ　Ｏｆ　Ｆｒａｍｅ）を受信する前に検知処理を開始することができるので、検知処理を行うことに起因して発生する中継遅延時間をより短くすることができる。また、たとえば第１のＩＣが第２のＩＣから検知結果を受信する場合において第１のＩＣが当該検知結果の受信処理に要する時間は、検知処理に要する時間よりも短い。したがって、本開示の車載中継装置は、第１のＩＣにおいて検知処理を行う構成と比べて、中継遅延時間の発生を抑制しながら、第１のＩＣにおいて、検知結果に基づいて不正フレームの破棄等を行うことができる。
　（９）前記受信部は、ＣＡＮまたはＣＡＮ　ＦＤの規格に従う前記フレームを受信し、受信した前記フレームを前記第２のＩＣへ出力してもよく、前記第２のＩＣは、前記受信部から受ける前記フレームのＤＬＣ（Ｄａｔａ　Ｌｅｎｇｔｈ　Ｃｏｄｅ）を取得した時点において、前記検知処理を開始してもよい。
　このような構成により、本開示の車載中継装置は、フレームのＥＯＦを受信する前に検知処理を開始することができるので、検知処理を行うことに起因して発生する中継遅延時間をより短くすることができる。また、たとえば第１のＩＣが第２のＩＣから検知結果を受信する場合において第１のＩＣが当該検知結果の受信処理に要する時間は、検知処理に要する時間よりも短い。したがって、本開示の車載中継装置は、第１のＩＣにおいて検知処理を行う構成と比べて、中継遅延時間の発生を抑制しながら、第１のＩＣにおいて、検知結果に基づいて不正フレームの破棄等を行うことができる。
　（１０）本開示の実施の形態に係る車載中継方法は、第１のＩＣおよび第２のＩＣを備える車載中継装置における車載中継方法であって、車載装置からフレームを受信するステップと、前記第１のＩＣが、前記フレームの中継処理を行うステップと、前記第２のＩＣが、前記フレームを監視することにより不正フレームを検知するステップとを含む。
　このように、本開示の車載中継方法は、中継処理を行う第１のＩＣとは別に、検知処理を行う第２のＩＣを用いる車載中継方法により、第１のＩＣにおいて中継処理および検知処理を行う車載中継方法と比べて、車載中継装置における処理負荷を分散し、第１のＩＣの処理負荷を低減することができる。したがって、本開示の車載中継方法は、車載ネットワークにおける通信遅延を抑制しながらセキュリティ性を向上させることができる。
　（１１）本開示の実施の形態に係る車載中継プログラムは、車載装置からフレームを受信する車載中継装置において用いられる車載中継プログラムであって、受信した前記フレームの中継処理を行う第１のＩＣと、受信した前記フレームを監視することにより不正フレームを検知する検知処理を行う第２のＩＣ、として機能させるためのプログラムである。
　このように、本開示の車載中継プログラムは、中継処理を行う第１のＩＣとは別に、検知処理を行う第２のＩＣを備える構成により、第１のＩＣにおいて中継処理および検知処理を行う構成と比べて、車載中継装置における処理負荷を分散し、第１のＩＣの処理負荷を低減することができる。したがって、本開示の車載中継プログラムは、車載ネットワークにおける通信遅延を抑制しながらセキュリティ性を向上させることができる。
　以下、本開示の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。
　［構成および基本動作］
　＜車載通信システム＞
　図１は、本開示の実施の形態に係る車載通信システムの構成を示す図である。図１を参照して、車載通信システム３０１は、車載中継装置１０１と、複数の車載ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）１１１Ａと、複数の車載ＥＣＵ１１１Ｂとを備える。車載ＥＣＵ１１１Ａ，１１１Ｂは、車載装置の一例である。
　複数の車載ＥＣＵ１１１Ａは、ＣＡＮ（登録商標）の規格に従うバス１Ａを介して車載中継装置１０１に接続される。複数の車載ＥＣＵ１１１Ｂは、ＣＡＮの規格に従うバス１Ｂを介して車載中継装置１０１に接続される。
　車載ＥＣＵ１１１Ａ，１１１Ｂは、ＣＡＮの規格に従うフレームであるＣＡＮフレームの送受信を行う。
　図２は、本開示の実施の形態に係る車載通信システムにおける車載ＥＣＵにより送信されるＣＡＮフレームの一例を示す図である。図２を参照して、ＣＡＮフレームは、ＳＯＦ（Ｓｔａｒｔ　Ｏｆ　Ｆｒａｍｅ）フィールドと、ＩＤフィールドと、ＤＬＣフィールドと、データフィールド（以下、ＤＡＴフィールドとも称する）と、ＣＲＣ（Ｃｙｃｌｉｃ　Ｒｅｄｕｎｄａｎｃｙ　Ｃｈｅｃｋ）フィールドと、ＡＣＫフィールドと、ＥＯＦフィールドとをこの順に有する。
　車載ＥＣＵ１１１Ａは、定期的または不定期に、他の車載ＥＣＵ１１１Ａおよび車載ＥＣＵ１１１Ｂへ送信すべきデータがＤＡＴフィールドに格納されたＣＡＮフレームを生成し、生成したＣＡＮフレームをバス１Ａ経由で他の車載ＥＣＵ１１１Ａおよび車載中継装置１０１へ送信する。
　また、車載ＥＣＵ１１１Ｂは、定期的または不定期に、車載ＥＣＵ１１１Ａおよび他の車載ＥＣＵ１１１Ｂへ送信すべきデータがＤＡＴフィールドに格納されたＣＡＮフレームを生成し、生成したＣＡＮフレームをバス１Ｂ経由で他の車載ＥＣＵ１１１Ｂおよび車載中継装置１０１へ送信する。
　車載中継装置１０１は、バス１Ａ経由で車載ＥＣＵ１１１Ａから受信したＣＡＮフレームを車載ＥＣＵ１１１Ｂへ中継することが可能である。また、車載中継装置１０１は、バス１Ｂ経由で車載ＥＣＵ１１１Ｂから受信したＣＡＮフレームを車載ＥＣＵ１１１Ａへ中継することが可能である。
　［車載中継装置］
　図３は、本開示の実施の形態に係る車載中継装置の構成を示す図である。図３を参照して、車載中継装置１０１は、複数の通信ポート１０と、通信部２０と、中継用ＩＣ３０と、検知用ＩＣ４０とを備える。通信部２０は、受信部の一例である。中継用ＩＣ３０は、第１のＩＣの一例である。検知用ＩＣ４０は、第２のＩＣの一例である。たとえば、通信部２０、中継用ＩＣ３０および検知用ＩＣ４０は、基板の導電パターンを介して互いに接続されている。
　一例として、車載中継装置１０１は、通信ポート１０である通信ポート１０Ａ，１０Ｂを備える。通信ポート１０Ａには、バス１Ａが接続されている。通信ポート１０Ｂには、バス１Ｂが接続されている。
　通信部２０は、ＣＡＮトランシーバ２１Ａ，２１Ｂを含む。以下、ＣＡＮトランシーバ２１Ａ，２１Ｂの各々をＣＡＮトランシーバ２１とも称する。
　中継用ＩＣ３０は、ＣＡＮコントローラ３１Ａ，３１Ｂと、中継部３２と、記憶部３３とを含む。記憶部３３は、たとえば不揮発性メモリである。以下、ＣＡＮコントローラ３１Ａ，３１Ｂの各々をＣＡＮコントローラ３１とも称する。ＣＡＮコントローラ３１は、汎用のＣＡＮコントローラであり、ＣＡＮフレームの先頭のＳＯＦフィールドから末尾のＥＯＦフィールドまでの各フィールドのデータを受信してから当該ＣＡＮフレームを中継部３２へ出力する。たとえば、中継用ＩＣ３０は、プロセッサである。一例として、中継用ＩＣ３０は、マイクロコントローラである。
　検知用ＩＣ４０は、ＣＡＮコントローラ４１Ａ，４１Ｂと、検知部４２と、確認部４３と、記憶部４４とを含む。記憶部４４は、たとえば不揮発性メモリである。以下、ＣＡＮコントローラ４１Ａ，４１Ｂの各々をＣＡＮコントローラ４１とも称する。ＣＡＮコントローラ４１は、カスタム品であり、ＣＡＮフレームの受信途中までで取得した、当該ＣＡＮフレームに格納されている情報を取得して検知部４２へ出力することが可能である。たとえば、検知用ＩＣ４０は、ＰＬＤから構成される回路を有する。より詳細には、検知用ＩＣ４０は、ＦＰＧＡ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）またはＣＰＬＤ（Ｃｏｍｐｌｅｘ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｌｏｇｉｃ　Ｄｅｖｉｃｅ）から構成される回路を有する。
　通信部２０は、車載ＥＣＵ１１１Ａ，１１１ＢからＣＡＮフレームを受信する。より詳細には、ＣＡＮトランシーバ２１Ａは、通信ポート１０Ａ経由で車載ＥＣＵ１１１ＡからＣＡＮフレームを受信する。ＣＡＮトランシーバ２１Ａは、受信したＣＡＮフレームを中継用ＩＣ３０および検知用ＩＣ４０へ出力する。また、ＣＡＮトランシーバ２１Ｂは、通信ポート１０Ｂ経由で車載ＥＣＵ１１１ＢからＣＡＮフレームを受信する。ＣＡＮトランシーバ２１Ｂは、受信したＣＡＮフレームを中継用ＩＣ３０および検知用ＩＣ４０へ出力する。
　たとえば、ＣＡＮトランシーバ２１は、受信したＣＡＮフレームを中継用ＩＣ３０および検知用ＩＣ４０へ出力する。すなわち、ＣＡＮフレームは、ＣＡＮトランシーバ２１から中継用ＩＣ３０および検知用ＩＣ４０へ並行して出力される。
　（中継処理）
　中継用ＩＣ３０は、通信部２０により受信されたＣＡＮフレームの中継処理を行う。たとえば、中継用ＩＣ３０は、通信部２０により複数の通信ポート１０経由でそれぞれ受信された複数のＣＡＮフレームの中継処理を行う。より詳細には、中継用ＩＣ３０は、通信部２０により通信ポート１０Ａ経由で受信されたＣＡＮフレームの中継処理と、通信部２０により通信ポート１０Ｂ経由で受信されたＣＡＮフレームの中継処理とを行う。
　中継用ＩＣ３０は、通信部２０により受信されたＣＡＮフレームを取得して中継処理を行う。
　より詳細には、ＣＡＮコントローラ３１Ａは、通信部２０におけるＣＡＮトランシーバ２１Ａにより受信されたＣＡＮフレームを取得する。具体的には、ＣＡＮコントローラ３１Ａは、ＣＡＮトランシーバ２１Ａから受けるＣＡＮフレームにおけるＳＯＦを受信することにより当該ＣＡＮフレームの先頭を検知し、ＣＡＮフレームの取得処理を開始する。そして、ＣＡＮコントローラ３１Ａは、ＣＡＮトランシーバ２１Ａから受けるＣＡＮフレームにおけるＥＯＦを受信して、当該ＣＡＮフレームの取得処理が完了したと判断し、取得したＣＡＮフレームを中継部３２へ出力する。
　中継部３２は、ＣＡＮコントローラ３１ＡからＣＡＮフレームを受けて、受けたＣＡＮフレームの内容を確認する受信確認処理を行う。具体的には、中継部３２は、受信確認処理において、たとえばＣＲＣフィールドに格納された情報を用いて、中継対象のＣＡＮフレームが正常に受信されたか否かを確認する。
　そして、中継部３２は、受信確認処理が完了すると、中継対象のＣＡＮフレームの中継処理を行う。具体的には、中継部３２は、ＣＡＮコントローラ３１Ａから受けた中継対象のＣＡＮフレームをＣＡＮコントローラ３１Ｂへ出力する。
　ＣＡＮコントローラ３１Ｂは、中継部３２からＣＡＮフレームを受けて、受けたＣＡＮフレームを通信部２０および検知用ＩＣ４０へ出力する。
　通信部２０におけるＣＡＮトランシーバ２１Ｂは、ＣＡＮコントローラ３１ＢからＣＡＮフレームを受けて、受けたＣＡＮフレームを通信ポート１０Ｂおよびバス１Ｂ経由で車載ＥＣＵ１１１Ｂへ送信する。
　また、ＣＡＮコントローラ３１Ｂは、通信部２０におけるＣＡＮトランシーバ２１Ｂにより受信されたＣＡＮフレームを取得する。具体的には、ＣＡＮコントローラ３１Ｂは、ＣＡＮトランシーバ２１Ｂから受けるＣＡＮフレームにおけるＳＯＦを受信することにより当該ＣＡＮフレームの先頭を検知し、ＣＡＮフレームの取得処理を開始する。そして、ＣＡＮコントローラ３１Ｂは、ＣＡＮトランシーバ２１Ｂから受けるＣＡＮフレームにおけるＥＯＦを受信して、当該ＣＡＮフレームの取得処理が完了したと判断し、取得したＣＡＮフレームを中継部３２へ出力する。
　中継部３２は、ＣＡＮコントローラ３１ＢからＣＡＮフレームを受けて、受けたＣＡＮフレームの内容を確認する受信確認処理を行う。
　そして、中継部３２は、受信確認処理が完了すると、中継対象のＣＡＮフレームの中継処理を行う。具体的には、中継部３２は、ＣＡＮコントローラ３１Ｂから受けた中継対象のＣＡＮフレームをＣＡＮコントローラ３１Ａへ出力する。
　ＣＡＮコントローラ３１Ａは、中継部３２からＣＡＮフレームを受けて、受けたＣＡＮフレームを通信部２０および検知用ＩＣ４０へ出力する。
　通信部２０におけるＣＡＮトランシーバ２１Ａは、ＣＡＮコントローラ３１ＡからＣＡＮフレームを受けて、受けたＣＡＮフレームを通信ポート１０Ａおよびバス１Ａ経由で車載ＥＣＵ１１１Ａへ送信する。
　（検知処理）
　検知用ＩＣ４０は、通信部２０により受信されたＣＡＮフレームを監視することにより不正フレームを検知する検知処理を行う。たとえば、検知用ＩＣ４０は、通信部２０により複数の通信ポート１０経由でそれぞれ受信された複数のＣＡＮフレームを監視する。詳細には、検知用ＩＣ４０は、通信部２０により通信ポート１０Ａ経由で受信されたＣＡＮフレームの監視と、通信部２０により通信ポート１０Ｂ経由で受信されたＣＡＮフレームの監視とを行う。
　より詳細には、検知用ＩＣ４０におけるＣＡＮコントローラ４１Ａは、通信部２０におけるＣＡＮトランシーバ２１により受信されたＣＡＮフレームに格納された情報を取得する。たとえば、ＣＡＮコントローラ４１Ａは、ＣＡＮトランシーバ２１から受けるＣＡＮフレームにおけるＳＯＦを受信することにより当該ＣＡＮフレームの先頭を検知し、当該ＣＡＮフレームにおける少なくともいずれか１つのフィールドに格納された情報を取得し、取得した情報を検知部４２へ出力する。
　（検知処理の具体例１）
　たとえば、検知用ＩＣ４０は、ＣＡＮフレームのＩＤフィールドに格納されたＩＤに基づいて検知処理を行う。
　より詳細には、ＣＡＮコントローラ４１Ａは、ＣＡＮトランシーバ２１から受けるＣＡＮフレームにおけるＩＤフィールドに格納された、当該ＣＡＮフレームのＩＤを取得し、取得したＩＤを示す受信フレーム情報を検知部４２へ出力する。
　検知部４２は、ＣＡＮコントローラ４１Ａから受けた受信フレーム情報に基づいて、検知処理を行う。より詳細には、検知部４２は、受けた受信フレーム情報に基づいて、通信部２０により受信されたＣＡＮフレームが不正フレームであるか否かを判断する。
　たとえば、記憶部４４は、車載中継装置１０１における中継処理の対象となる正当なＣＡＮフレームに格納されるＩＤの一覧を示すＩＤリストを記憶している。
　検知部４２は、ＣＡＮコントローラ４１Ａから受けた受信フレーム情報が示すＩＤと、記憶部４４におけるＩＤリストとを照合する。検知部４２は、当該受信フレーム情報が示すＩＤと一致するＩＤが当該ＩＤリストに含まれる場合、ＣＡＮコントローラ４１ＡがＣＡＮトランシーバ２１から受けたＣＡＮフレームは不正フレームではないと判断する。一方、検知部４２は、当該受信フレーム情報が示すＩＤと一致するＩＤが当該ＩＤリストに含まれない場合、ＣＡＮコントローラ４１ＡがＣＡＮトランシーバ２１から受けたＣＡＮフレームは不正フレームであると判断する。
　（検知処理の具体例２）
　たとえば、検知用ＩＣ４０は、ＣＡＮフレームのＤＬＣフィールドに格納されたＤＬＣに基づいて検知処理を行う。
　より詳細には、ＣＡＮコントローラ４１Ａは、ＣＡＮトランシーバ２１から受けるＣＡＮフレームにおけるＩＤフィールドおよびＤＬＣフィールドにそれぞれ格納された、当該ＣＡＮフレームのＩＤおよびＤＬＣを取得し、取得したＩＤおよびＤＬＣを示す受信フレーム情報を検知部４２へ出力する。
　たとえば、記憶部４４は、車載中継装置１０１における中継処理の対象となる正当なＣＡＮフレームに格納されるＤＬＣの一覧を示すＤＬＣリストを記憶している。
　検知部４２は、ＣＡＮコントローラ４１Ａから受けた受信フレーム情報が示すＤＬＣと、記憶部４４におけるＤＬＣリストとを照合する。検知部４２は、当該受信フレーム情報が示すＤＬＣと一致するＤＬＣが当該ＤＬＣリストに含まれる場合、ＣＡＮコントローラ４１ＡがＣＡＮトランシーバ２１から受けたＣＡＮフレームは不正フレームではないと判断する。一方、検知部４２は、当該受信フレーム情報が示すＤＬＣと一致するＤＬＣが当該ＤＬＣリストに含まれない場合、ＣＡＮコントローラ４１ＡがＣＡＮトランシーバ２１から受けたＣＡＮフレームは不正フレームであると判断する。
　（検知処理の具体例３）
　たとえば、検知用ＩＣ４０は、ＣＡＮフレームのＤＡＴフィールドに格納されたデータに基づいて検知処理を行う。
　より詳細には、ＣＡＮコントローラ４１Ａは、ＣＡＮトランシーバ２１から受けるＣＡＮフレームにおけるＩＤフィールドおよびＤＡＴフィールドにそれぞれ格納された、当該ＣＡＮフレームのＩＤおよびデータを取得し、取得したＩＤおよびデータを示す受信フレーム情報を検知部４２へ出力する。
　たとえば、記憶部４４は、車載中継装置１０１における中継処理の対象となる正当なＣＡＮフレームに格納されるデータの適正な数値範囲を示す数値リストを記憶している。
　検知部４２は、ＣＡＮコントローラ４１Ａから受けた受信フレーム情報が示すデータの値と、記憶部４４における数値リストが示す数値範囲とを照合する。検知部４２は、当該受信フレーム情報が示すデータの値が、当該数値リストが示す数値範囲に含まれる場合、ＣＡＮコントローラ４１ＡがＣＡＮトランシーバ２１から受けたＣＡＮフレームは不正フレームではないと判断する。一方、検知部４２は、当該受信フレーム情報が示すデータの値が、当該数値リストが示す数値範囲に含まれない場合、ＣＡＮコントローラ４１ＡがＣＡＮトランシーバ２１から受けたＣＡＮフレームは不正フレームであると判断する。
　なお、検知用ＩＣ４０は、ＣＡＮフレームのＣＲＣ、ＡＣＫまたはＥＯＦに基づいて検知処理を行う構成であってもよい。また、検知用ＩＣ４０は、ＩＤ、ＤＬＣ、ＤＡＴフィールドに格納されたデータ、ＣＲＣ、ＡＣＫおよびＥＯＦのうちの複数の情報を用いて検知処理を行う構成であってもよい。
　（中継処理の停止）
　検知部４２は、ＣＡＮコントローラ４１ＡがＣＡＮトランシーバ２１から受けたＣＡＮフレームは不正フレームであると判断した場合、ＣＡＮコントローラ４１Ａから受けた受信フレーム情報が示すＩＤを不正フレームのＩＤとして記憶部４４に保存する。
　たとえば、検知用ＩＣ４０は、不正フレームを検知したことを示す検知結果を中継用ＩＣ３０へ通知する。より詳細には、検知部４２は、ＣＡＮコントローラ４１ＡがＣＡＮトランシーバ２１から受けたＣＡＮフレームは不正フレームであると判断した場合、当該不正フレームのＩＤを示す不正検知情報を、たとえばＵＡＲＴ（Ｕｎｉｖｅｒｓａｌ　Ａｓｙｎｃｈｒｏｎｏｕｓ　Ｒｅｃｅｉｖｅｒ　Ｔｒａｎｓｍｉｔｔｅｒ）を用いた通信により中継用ＩＣ３０へ出力する。一方、検知部４２は、ＣＡＮコントローラ４１ＡがＣＡＮトランシーバ２１から受けたＣＡＮフレームは不正フレームではないと判断した場合、正常検知情報を、ＵＡＲＴを用いた通信により中継用ＩＣ３０へ出力する。
　たとえば、中継用ＩＣ３０は、検知用ＩＣ４０から通知された検知結果に基づいて、不正フレームの中継処理を停止する。より詳細には、中継用ＩＣ３０における中継部３２は、検知部４２から不正検知情報を受けた場合、受けた不正検知情報が示すＩＤを不正フレームのＩＤとして記憶部３３に保存する。一方、中継部３２は、検知部４２から正常検知情報を受けた場合、記憶部３３へのＩＤの保存を行わない。
　中継部３２は、ＣＡＮコントローラ３１ＡからＣＡＮフレームを受けて、受けたＣＡＮフレームの受信確認処理を完了すると、受けたＣＡＮフレームのＩＤフィールドに含まれるＩＤが記憶部３３における不正フレームのＩＤと一致するか否かを確認する。
　中継部３２は、ＣＡＮコントローラ３１Ａから受けたＣＡＮフレームのＩＤフィールドに含まれるＩＤが記憶部３３における不正フレームのＩＤと一致しないか、または記憶部３３に不正フレームのＩＤが保存されていない場合、ＣＡＮコントローラ３１Ａから受けたＣＡＮフレームは正当なＣＡＮフレームであると判断し、当該ＣＡＮフレームの中継処理を行う。
　一方、中継部３２は、ＣＡＮコントローラ３１Ａから受けたＣＡＮフレームのＩＤフィールドに含まれるＩＤが記憶部３３における不正フレームのＩＤが記憶部３３における不正フレームのＩＤと一致する場合、ＣＡＮコントローラ３１Ａから受けたＣＡＮフレームは不正フレームであると判断し、当該ＣＡＮフレームの中継処理を行うことなく、当該ＣＡＮフレームを破棄する。
　たとえば、検知用ＩＣ４０は、不正フレームを検知したことを示す検知結果を中継用ＩＣ３０へ通知した場合、中継用ＩＣ３０において当該不正フレームの中継処理が停止されたか否かを確認する。
　より詳細には、検知用ＩＣ４０におけるＣＡＮコントローラ４１Ｂは、中継用ＩＣ３０におけるＣＡＮコントローラ３１から出力されたＣＡＮフレームに格納された情報を取得する。たとえば、ＣＡＮコントローラ４１Ｂは、ＣＡＮコントローラ３１から受けるＣＡＮフレームにおけるＳＯＦを受信することにより当該ＣＡＮフレームの先頭を検知し、当該ＣＡＮフレームにおけるＩＤフィールドに格納された、当該ＣＡＮフレームのＩＤを取得し、取得したＩＤを示す送信フレーム情報を確認部４３へ出力する。
　確認部４３は、ＣＡＮコントローラ４１Ｂから送信フレーム情報を受けて、受けた送信フレーム情報が示すＩＤと、記憶部４４における不正フレームのＩＤとを照合する。
　確認部４３は、当該送信フレーム情報が示すＩＤと、記憶部４４における不正フレームのＩＤとが一致する場合、中継用ＩＣ３０において不正フレームの中継処理が停止されていないと判断する。この場合、たとえば、確認部４３は、当該送信フレーム情報が示すＩＤを示す異常ログ情報を作成して記憶部４４に保存する。また、たとえば、確認部４３は、不正フレームが中継されたことを示すアラート情報を車載中継装置１０１の外部の装置へ送信する。
　（中継遅延）
　図４は、比較例に係る車載通信システムにおける中継処理のタイミングチャートを示す図である。図４は、中継用ＩＣ３０が中継処理および検知処理を行う場合における中継処理のタイミングチャートを示している。
　図４を参照して、たとえば、車載ＥＣＵ１１１Ａは、時刻ｔ１１において、ＣＡＮフレームをバス１Ａ経由で他の車載ＥＣＵ１１１Ａおよび車載中継装置１０１へ送信する。
　中継用ＩＣ３０におけるＣＡＮコントローラ３１Ａは、時刻ｔ１１において、通信部２０におけるＣＡＮトランシーバ２１Ａから受けるＣＡＮフレームにおけるＳＯＦを受信することにより当該ＣＡＮフレームの先頭を検知し、ＣＡＮフレームの取得処理を開始する。そして、ＣＡＮコントローラ３１Ａは、時刻ｔ１１の後の時刻ｔ１２において、ＣＡＮトランシーバ２１Ａから受けるＣＡＮフレームにおけるＥＯＦを受信して、当該ＣＡＮフレームの取得処理が完了したと判断し、取得したＣＡＮフレームを中継部３２へ出力する。
　中継用ＩＣ３０における中継部３２は、ＣＡＮコントローラ３１ＡからＣＡＮフレームを受けて、受信確認処理、検知処理および中継処理をこの順に行う。
　そして、車載ＥＣＵ１１１Ａは、時刻ｔ１２の後の時刻ｔ１３において、ＣＡＮトランシーバ２１Ｂ、通信ポート１０Ｂおよびバス１Ｂ経由で中継用ＩＣ３０からＣＡＮフレームを受信する。
　したがって、比較例に係る車載通信システムにおける中継処理では、時刻ｔ１２から時刻ｔ１３までの長さの中継遅延時間が生じる。
　図５は、本開示の実施の形態に係る車載通信システムにおける中継処理のタイミングチャートの一例を示す図である。図５は、検知用ＩＣ４０が上述した検知処理の具体例１を行う場合のタイミングチャートを示している。
　図５を参照して、たとえば、車載ＥＣＵ１１１Ａは、時刻ｔ２１において、ＣＡＮフレームをバス１Ａ経由で他の車載ＥＣＵ１１１Ａおよび車載中継装置１０１へ送信する。
　中継用ＩＣ３０におけるＣＡＮコントローラ３１Ａは、時刻ｔ２１において、通信部２０におけるＣＡＮトランシーバ２１Ａから受けるＣＡＮフレームにおけるＳＯＦを受信することにより当該ＣＡＮフレームの先頭を検知し、ＣＡＮフレームの取得処理を開始する。
　また、検知用ＩＣ４０におけるＣＡＮコントローラ４１Ａは、時刻ｔ２１において、ＣＡＮトランシーバ２１Ａから受けるＣＡＮフレームにおけるＳＯＦを受信することにより当該ＣＡＮフレームの先頭を検知する。
　たとえば、検知用ＩＣ４０は、中継用ＩＣ３０によるＣＡＮフレームの取得が完了する前に検知処理を行う。たとえば、検知用ＩＣ４０は、ＣＡＮトランシーバ２１Ａから受けるＣＡＮフレームのＩＤを取得した時点において、検知処理を開始する。より詳細には、ＣＡＮコントローラ４１Ａは、時刻ｔ２１の後の時刻ｔ２２において、当該ＣＡＮフレームにおけるＩＤフィールドに格納された、当該ＣＡＮフレームのＩＤを取得し、取得したＩＤを示す受信フレーム情報を検知部４２へ出力する。検知部４２は、ＣＡＮコントローラ４１Ａから受けた受信フレーム情報に基づいて検知処理を開始し、時刻ｔ２２の後の時刻ｔ２３において検知処理を終了し、たとえば正常検知情報を中継用ＩＣ３０へ出力する。
　そして、中継用ＩＣ３０における中継部３２は、時刻ｔ２３の後の時刻ｔ２４において、検知部４２から正常検知情報を受ける。
　中継用ＩＣ３０におけるＣＡＮコントローラ３１Ａは、時刻ｔ２４の後の時刻ｔ２５において、ＣＡＮトランシーバ２１Ａから受けるＣＡＮフレームにおけるＥＯＦを受信して、当該ＣＡＮフレームの取得処理が完了したと判断し、取得したＣＡＮフレームを中継部３２へ出力する。
　中継用ＩＣ３０における中継部３２は、ＣＡＮコントローラ３１ＡからＣＡＮフレームを受けて、受信確認処理および中継処理をこの順に行う。たとえば、中継部３２は、ＣＡＮコントローラ３１Ａから受けたＣＡＮフレームのＩＤフィールドに含まれるＩＤが記憶部３３における不正フレームのＩＤと一致しないので、ＣＡＮコントローラ３１Ａから受けたＣＡＮフレームの中継処理を行う。
　そして、車載ＥＣＵ１１１Ａは、時刻ｔ２５の後の時刻ｔ２６において、ＣＡＮトランシーバ２１Ｂ、通信ポート１０Ｂおよびバス１Ｂ経由で中継用ＩＣ３０からＣＡＮフレームを受信する。
　したがって、車載通信システム３０１における中継処理では、時刻ｔ２５から時刻ｔ２６までの長さの中継遅延時間が生じる。
　図６は、本開示の実施の形態に係る車載通信システムにおける中継処理のタイミングチャートの一例を示す図である。図６は、検知用ＩＣ４０が上述した検知処理の具体例２を行う場合のタイミングチャートを示している。
　図６を参照して、たとえば、車載ＥＣＵ１１１Ａは、時刻ｔ３１において、ＣＡＮフレームをバス１Ａ経由で他の車載ＥＣＵ１１１Ａおよび車載中継装置１０１へ送信する。
　中継用ＩＣ３０におけるＣＡＮコントローラ３１Ａは、時刻ｔ３１において、通信部２０におけるＣＡＮトランシーバ２１Ａから受けるＣＡＮフレームにおけるＳＯＦを受信することにより当該ＣＡＮフレームの先頭を検知し、ＣＡＮフレームの取得処理を開始する。
　また、検知用ＩＣ４０におけるＣＡＮコントローラ４１Ａは、時刻ｔ３１において、ＣＡＮトランシーバ２１Ａから受けるＣＡＮフレームにおけるＳＯＦを受信することにより当該ＣＡＮフレームの先頭を検知する。
　たとえば、検知用ＩＣ４０は、中継用ＩＣ３０によるＣＡＮフレームの取得が完了する前に検知処理を行う。たとえば、検知用ＩＣ４０は、ＣＡＮトランシーバ２１Ａから受けるＣＡＮフレームのＤＬＣを取得した時点において、検知処理を開始する。より詳細には、ＣＡＮコントローラ４１Ａは、時刻ｔ３１の後の時刻ｔ３２において、当該ＣＡＮフレームにおけるＤＬＣフィールドに格納された、当該ＣＡＮフレームのＤＬＣを取得し、取得したＤＬＣを示す受信フレーム情報を検知部４２へ出力する。検知部４２は、ＣＡＮコントローラ４１Ａから受けた受信フレーム情報に基づいて検知処理を開始し、時刻ｔ３２の後の時刻ｔ３３において検知処理を終了し、たとえば正常検知情報を中継用ＩＣ３０へ出力する。
　そして、中継用ＩＣ３０における中継部３２は、時刻ｔ３３の後の時刻ｔ３４において、検知部４２から正常検知情報を受ける。
　中継用ＩＣ３０におけるＣＡＮコントローラ３１Ａは、時刻ｔ３４の後の時刻ｔ３５において、ＣＡＮトランシーバ２１Ａから受けるＣＡＮフレームにおけるＥＯＦを受信して、当該ＣＡＮフレームの取得処理が完了したと判断し、取得したＣＡＮフレームを中継部３２へ出力する。
　中継用ＩＣ３０における中継部３２は、ＣＡＮコントローラ３１ＡからＣＡＮフレームを受けて、受信確認処理および中継処理をこの順に行う。たとえば、中継部３２は、ＣＡＮコントローラ３１Ａから受けたＣＡＮフレームのＩＤフィールドに含まれるＩＤが記憶部３３における不正フレームのＩＤと一致しないので、ＣＡＮコントローラ３１Ａから受けたＣＡＮフレームの中継処理を行う。
　そして、車載ＥＣＵ１１１Ａは、時刻ｔ３５の後の時刻ｔ３６において、ＣＡＮトランシーバ２１Ｂ、通信ポート１０Ｂおよびバス１Ｂ経由で中継用ＩＣ３０からＣＡＮフレームを受信する。
　したがって、車載通信システム３０１における中継処理では、時刻ｔ３５から時刻ｔ３６までの長さの中継遅延時間が生じる。
　図４～図６を参照して、比較例に係る車載通信システムにおける中継処理では、中継用ＩＣ３０における受信確認処理、検知処理および中継処理に要する時間に対応する中継遅延時間が発生する。
　これに対して、車載通信システム３０１における中継処理では、検知用ＩＣ４０による検知処理が中継用ＩＣ３０によるＣＡＮフレームの取得処理と並行して行われるので、発生する中継遅延時間は、中継用ＩＣ３０における受信確認処理および中継処理に要する時間に抑えることができる。
　［動作の流れ］
　本開示の実施の形態に係る車載通信システムにおける各装置は、メモリを含むコンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のフローチャートおよびシーケンスの各ステップの一部または全部を含むプログラムを当該メモリから読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態でまたは通信回線を介して流通する。
　図７は、本開示の実施の形態に係る車載中継装置が中継処理および検知処理を行う際の動作手順の一例を定めたフローチャートである。
　図７を参照して、まず、車載中継装置１０１における通信部２０は、車載ＥＣＵ１１１Ａまたは車載ＥＣＵ１１１ＢからのＣＡＮフレームを待ち受け（ステップＳ１０２でＮＯ）、たとえば通信ポート１０Ａ経由で車載ＥＣＵ１１１ＡからＣＡＮフレームを受信すると（ステップＳ１０２でＹＥＳ）、受信したＣＡＮフレームを中継用ＩＣ３０および検知用ＩＣ４０へ出力する（ステップＳ１０４）。
　次に、検知用ＩＣ４０は、通信部２０により受信されたＣＡＮフレームを監視することにより不正フレームを検知する検知処理を行う（ステップＳ１０６）。
　次に、中継用ＩＣ３０は、通信部２０により受信されたＣＡＮフレームの中継処理を行う（ステップＳ１０８）。
　次に、通信部２０は、車載ＥＣＵ１１１Ａまたは車載ＥＣＵ１１１Ｂからの新たなＣＡＮフレームを待ち受ける（ステップＳ１０２でＮＯ）。
　図８は、本開示の実施の形態に係る車載中継装置が検知処理を行う際の動作手順の一例を定めたフローチャートである。図８は、検知用ＩＣ４０が上述した検知処理の具体例１を行う場合の、図７におけるステップＳ１０６の詳細を示している。
　図８を参照して、まず、車載中継装置１０１における検知用ＩＣ４０は、通信部２０から受けるＣＡＮフレームの先頭を待ち受け（ステップＳ２０２でＮＯ）、ＳＯＦを受信することによりＣＡＮフレームの先頭を検知すると（ステップＳ２０２でＹＥＳ）、たとえば当該ＣＡＮフレームにおけるＩＤフィールドに格納された、当該ＣＡＮフレームのＩＤを取得する（ステップＳ２０４）。
　次に、検知用ＩＣ４０は、取得したＩＤに基づいて検知処理を行う。具体的には、検知用ＩＣ４０は、取得したＩＤに基づいて、当該ＣＡＮフレームが不正フレームであるか否かを判断する（ステップＳ２０６）。
　次に、検知用ＩＣ４０は、当該ＣＡＮフレームが不正フレームではないと判断した場合（ステップＳ２０８でＮＯ）、正常検知情報を中継用ＩＣ３０へ出力する（ステップＳ２１０）。
　次に、検知用ＩＣ４０は、新たに通信部２０から受けるＣＡＮフレームの先頭を待ち受ける（ステップＳ２０２でＮＯ）。
　一方、検知用ＩＣ４０は、当該ＣＡＮフレームが不正フレームであると判断した場合（ステップＳ２０８でＹＥＳ）、当該ＣＡＮフレームのＩＤを不正フレームのＩＤとして記憶部４４に保存し、不正検知情報を中継用ＩＣ３０へ出力する（ステップＳ２１２）。
　次に、検知用ＩＣ４０は、新たに通信部２０から受けるＣＡＮフレームの先頭を待ち受ける（ステップＳ２０２でＮＯ）。
　図９は、本開示の実施の形態に係る車載中継装置が不正フレームの中継処理の停止の確認を行う際の動作手順の一例を定めたフローチャートである。
　図９を参照して、まず、車載中継装置１０１における検知用ＩＣ４０は、中継用ＩＣ３０からのＣＡＮフレームを待ち受け（ステップＳ２２２でＮＯ）、中継用ＩＣ３０からＣＡＮフレームを受信すると（ステップＳ２２２でＹＥＳ）、中継用ＩＣ３０において不正フレームの中継処理が停止されたか否かを確認する。より詳細には、検知用ＩＣ４０は、受信したＣＡＮフレームのＩＤが、不正フレームのＩＤと一致するか否かを確認する（ステップＳ２２４）。
　検知用ＩＣ４０は、受信したＣＡＮフレームのＩＤが、不正フレームのＩＤと一致する場合、受信したＣＡＮフレームは不正フレームであり、不正フレームの中継処理が停止されていないと判断し（ステップＳ２２６でＹＥＳ）、異常ログ情報を作成して記憶部４４に保存する（ステップＳ２２８）。
　次に、検知用ＩＣ４０は、中継用ＩＣ３０からの新たなＣＡＮフレームを待ち受ける（ステップＳ２２２でＮＯ）。
　一方、検知用ＩＣ４０は、受信したＣＡＮフレームのＩＤが、不正フレームのＩＤと一致しない場合、受信したＣＡＮフレームは不正フレームではないと判断し（ステップＳ２２６でＮＯ）、中継用ＩＣ３０からの新たなＣＡＮフレームを待ち受ける（ステップＳ２２２でＮＯ）。
　図１０は、本開示の実施の形態に係る車載中継装置が中継処理を行う際の動作手順の一例を定めたフローチャートである。図１０は、図７におけるステップＳ１０８の詳細を示している。
　図１０を参照して、まず、車載中継装置１０１における中継用ＩＣ３０は、通信部２０から受けるＣＡＮフレームの先頭を待ち受け（ステップＳ３０２でＮＯ）、ＳＯＦを受信することによりＣＡＮフレームの先頭を検知すると（ステップＳ３０２でＹＥＳ）、当該ＣＡＮフレームを取得する（ステップＳ３０４）。
　次に、中継用ＩＣ３０は、取得したＣＡＮフレームの内容を確認する受信確認処理を行う（ステップＳ３０６）。
　次に、中継用ＩＣ３０は、取得したＣＡＮフレームのＩＤフィールドに含まれるＩＤが記憶部３３における不正フレームのＩＤと一致する場合（ステップＳ３０８でＹＥＳ）、当該ＣＡＮフレームは不正フレームであると判断し、当該ＣＡＮフレームを破棄する（ステップＳ３１０）。
　次に、中継用ＩＣ３０は、新たに通信部２０から受けるＣＡＮフレームの先頭を待ち受ける（ステップＳ３０２でＮＯ）。
　一方、中継用ＩＣ３０は、取得したＣＡＮフレームのＩＤフィールドに含まれるＩＤが記憶部３３における不正フレームのＩＤと一致しないか、または記憶部３３に不正フレームのＩＤが保存されていない場合（ステップＳ３０８でＮＯ）、当該ＣＡＮフレームは正当なＣＡＮフレームであると判断し、当該ＣＡＮフレームの中継処理を行う（ステップＳ３１２）。
　次に、中継用ＩＣ３０は、新たに通信部２０から受けるＣＡＮフレームの先頭を待ち受ける（ステップＳ３０２でＮＯ）。
　なお、本開示の実施の形態に係る車載中継装置１０１では、検知用ＩＣ４０は、不正フレームを検知したことを示す検知結果を中継用ＩＣ３０へ通知する構成であるとしたが、これに限定するものではない。検知用ＩＣ４０は、中継用ＩＣ３０への検知結果の通知を行わない構成であってもよい。この場合、たとえば、検知用ＩＣ４０は、不正フレームのＩＤを示す不正検知情報を車載中継装置１０１の外部における装置へ送信する。
　また、本開示の実施の形態に係る車載中継装置１０１では、中継用ＩＣ３０はプロセッサであり、検知用ＩＣ４０はＰＬＤであるとしたが、これ限定するものではない。たとえば、中継用ＩＣ３０は、ＰＬＤであってもよい。また、たとえば、検知用ＩＣ４０は、プロセッサであってもよい。
　また、本開示の実施の形態に係る車載中継装置１０１では、検知用ＩＣ４０は、中継用ＩＣ３０によるＣＡＮフレームの取得が完了する前に検知処理を行う構成であるとしたが、これに限定するものではない。各ＩＣの処理能力等に起因して、検知用ＩＣ４０が、中継用ＩＣ３０によるＣＡＮフレームの取得が完了する前に検知処理を開始し、中継用ＩＣ３０によるＣＡＮフレームの取得が完了した後に検知処理を終了するタイミング関係であってもよい。また、検知用ＩＣ４０が、中継用ＩＣ３０によるＣＡＮフレームの取得が完了した後に検知処理を開始するタイミング関係であってもよい。
　また、本開示の実施の形態に係る車載中継装置１０１では、中継用ＩＣ３０は、通信部２０により通信ポート１０Ａ経由で受信されたＣＡＮフレームの中継処理と、通信部２０により通信ポート１０Ｂ経由で受信されたＣＡＮフレームの中継処理とを行う構成であるとしたが、これに限定するものではない。中継用ＩＣ３０は、通信部２０により通信ポート１０Ａ経由で受信されたＣＡＮフレームの中継処理、および通信部２０により通信ポート１０Ｂ経由で受信されたＣＡＮフレームの中継処理のいずれか一方を行わない構成であってもよい。
　また、本開示の実施の形態に係る車載中継装置１０１では、検知用ＩＣ４０は、通信部２０により通信ポート１０Ａ経由で受信されたＣＡＮフレームの監視と、通信部２０により通信ポート１０Ｂ経由で受信されたＣＡＮフレームの監視とを行う構成であるとしたが、これに限定するものではない。検知用ＩＣ４０は、通信部２０により通信ポート１０Ａ経由で受信されたＣＡＮフレームの監視、および通信部２０により通信ポート１０Ｂ経由で受信されたＣＡＮフレームの監視のいずれか一方を行わない構成であってもよい。
　また、本開示の実施の形態に係る車載中継装置１０１では、検知用ＩＣ４０は、確認部４３を含む構成であるとしたが、これに限定するものではない。検知用ＩＣ４０は、確認部４３を含まない構成であってもよい。
　また、本開示の実施の形態に係る車載通信システム３０１では、車載ＥＣＵ１１１Ａ，１１１Ｂが、ＣＡＮの規格に従うバス１Ａ，１Ｂを介して車載中継装置１０１にそれぞれ接続される構成であるとしたが、これに限定するものではない。車載ＥＣＵ１１１Ａおよび車載ＥＣＵ１１１Ｂは、ＣＡＮ以外の他の規格に従うバスを介して車載中継装置１０１にそれぞれ接続される構成であってもよい。
　たとえば、車載ＥＣＵ１１１Ａおよび車載ＥＣＵ１１１Ｂは、ＣＡＮ　ＦＤの規格に従うバスを介して車載中継装置１０１にそれぞれ接続される構成であってもよい。この場合、車載中継装置１０１における通信部２０は、ＣＡＮトランシーバ２１の代わりにＣＡＮ　ＦＤトランシーバを含み、中継用ＩＣ３０は、ＣＡＮコントローラ３１の代わりにＣＡＮ　ＦＤコントローラを含み、検知用ＩＣ４０は、ＣＡＮコントローラ４１の代わりにＣＡＮ　ＦＤコントローラを含む。
　また、たとえば、車載ＥＣＵ１１１Ａおよび車載ＥＣＵ１１１Ｂは、ＬＩＮ（Ｌｏｃａｌ　Ｉｎｔｅｒｃｏｎｎｅｃｔ　Ｎｅｔｗｏｒｋ）の規格に従うバスを介して車載中継装置１０１にそれぞれ接続される構成であってもよい。この場合、車載中継装置１０１における通信部２０は、ＣＡＮトランシーバ２１の代わりにＬＩＮトランシーバを含み、中継用ＩＣ３０は、ＣＡＮコントローラ３１の代わりにＬＩＮコントローラを含み、検知用ＩＣ４０は、ＣＡＮコントローラ４１の代わりにＬＩＮコントローラを含む。
　また、たとえば、車載ＥＣＵ１１１Ａおよび車載ＥＣＵ１１１Ｂは、ＣＸＰＩ（Ｃｌｏｃｋ　Ｅｘｔｅｎｓｉｏｎ　Ｐｅｒｉｐｈｅｒａｌ　Ｉｎｔｅｒｆａｃｅ）の規格に従うバスを介して車載中継装置１０１にそれぞれ接続される構成であってもよい。この場合、車載中継装置１０１における通信部２０は、ＣＡＮトランシーバ２１の代わりにＣＸＰＩトランシーバを含み、中継用ＩＣ３０は、ＣＡＮコントローラ３１の代わりにＣＸＰＩコントローラを含み、検知用ＩＣ４０は、ＣＡＮコントローラ４１の代わりにＣＸＰＩコントローラを含む。
　また、本開示の実施の形態に係る車載通信システム３０１は、互いに異なる規格に従うバスを介して車載中継装置１０１にそれぞれ接続される車載ＥＣＵを備える構成であってもよい。
　図１１は、本開示の実施の形態の変形例に係る車載通信システムの構成を示す図である。図１１を参照して、車載通信システム３０２は、車載通信システム３０１と比べて、車載中継装置１０１の代わりに車載中継装置１０２を備え、車載ＥＣＵ１１１Ｂの代わりに車載ＥＣＵ１１１Ｃを備える。車載ＥＣＵ１１１Ｃは、車載装置の一例である。
　複数の車載ＥＣＵ１１１Ｃは、ＬＩＮの規格に従うバス１Ｃを介して車載中継装置１０１に接続される。車載ＥＣＵ１１１Ｃは、定期的または不定期に、車載ＥＣＵ１１１Ａおよび他の車載ＥＣＵ１１１Ｃへ送信すべきデータが格納されたＬＩＮフレームを生成し、生成したＬＩＮフレームをバス１Ｃ経由で他の車載ＥＣＵ１１１Ｃおよび車載中継装置１０２へ送信する。
　図１２は、本開示の実施の形態の変形例に係る車載中継装置の構成を示す図である。図１２を参照して、車載中継装置１０２は、車載中継装置１０１と比べて、通信ポート１０Ｂの代わりに通信ポート１０Ｃを備え、通信部２０の代わりに通信部１２０を備え、中継用ＩＣ３０の代わりに中継用ＩＣ１３０を備え、検知用ＩＣ４０の代わりに検知用ＩＣ１４０を備える。通信ポート１０Ｃには、バス１Ｃが接続されている。
　通信部１２０は、通信部２０と比べて、ＣＡＮトランシーバ２１Ｂの代わりにＬＩＮトランシーバ２１Ｃを含む。中継用ＩＣ１３０は、中継用ＩＣ３０と比べて、ＣＡＮコントローラ３１Ｂの代わりにＬＩＮコントローラ３１Ｃを含み、中継部３２の代わりに中継部１３２を含む。検知用ＩＣ１４０は、検知用ＩＣ４０と比べて、検知部４２の代わりに検知部１４２を含み、確認部４３の代わりに確認部１４３を含み、ＬＩＮコントローラ１４１Ａ，１４１Ｂをさらに含む。
　通信部１２０におけるＬＩＮトランシーバ２１Ｃは、通信ポート１０Ｃ経由で車載ＥＣＵ１１１ＣからＬＩＮフレームを受信し、受信したＬＩＮフレームを中継用ＩＣ１３０および検知用ＩＣ１４０へ出力する。
　中継用ＩＣ１３０におけるＬＩＮコントローラ３１Ｃは、通信部１２０におけるＬＩＮトランシーバ２１Ｃにより受信されたＬＩＮフレームを取得し、取得したＬＩＮフレームを中継部１３２へ出力する。
　中継部１３２は、ＬＩＮコントローラ３１ＣからＬＩＮフレームを受けて、受けたＬＩＮフレームの内容を確認する受信確認処理を行い、受信確認処理が完了すると、中継対象のＬＩＮフレームの中継処理を行う。具体的には、中継部１３２は、ＬＩＮコントローラ３１Ｃから受けた中継対象のＬＩＮフレームをＣＡＮフレームに変換し、ＣＡＮコントローラ３１Ａへ出力する。
　また、中継部１３２は、ＣＡＮコントローラ３１ＡからＣＡＮフレームを受けて、受けたＣＡＮフレームの内容を確認する受信確認処理を行い、受信確認処理が完了すると、中継対象のＣＡＮフレームをＬＩＮフレームに変換してＬＩＮコントローラ３１Ｃへ出力する。
　ＬＩＮコントローラ３１Ｃは、中継部１３２からＬＩＮフレームを受けて、受けたＬＩＮフレームを通信部１２０および検知用ＩＣ１４０へ出力する。
　通信部１２０におけるＬＩＮトランシーバ２１Ｃは、ＬＩＮコントローラ３１ＣからＬＩＮフレームを受けて、受けたＬＩＮフレームを通信ポート１０Ｃおよびバス１Ｃ経由で車載ＥＣＵ１１１Ｃへ送信する。
　検知用ＩＣ１４０におけるＬＩＮコントローラ１４１Ａは、通信部１２０におけるＬＩＮトランシーバ２１Ｃにより受信されたＬＩＮフレームに格納された情報を取得する。たとえば、ＬＩＮコントローラ１４１Ａは、ＬＩＮトランシーバ２１Ｃから受けるＬＩＮフレームにおけるヘッダを受信することにより当該ＬＩＮフレームの先頭を検知し、当該ＬＩＮフレームにおける少なくともいずれか１つのフィールドに格納された情報を取得し、取得した情報を検知部１４２へ出力する。
　検知部１４２は、ＬＩＮコントローラ１４１Ａから受けた当該情報に基づいて、検知処理を行う。より詳細には、検知部１４２は、受けた情報に基づいて、通信部１２０により受信されたＬＩＮフレームが不正フレームであるか否かを判断する。
　検知用ＩＣ１４０におけるＬＩＮコントローラ１４１Ｂは、中継用ＩＣ１３０におけるＬＩＮコントローラ３１Ｃから出力されたＬＩＮフレームに格納された情報を取得する。たとえば、ＬＩＮコントローラ１４１Ｂは、ＬＩＮコントローラ３１Ｃから受けるＬＩＮフレームにおけるヘッダを受信することにより当該ＬＩＮフレームの先頭を検知し、当該ＬＩＮフレームにおける少なくともいずれか１つのフィールドに格納された情報を取得し、取得した情報を確認部１４３へ出力する。
　確認部１４３は、ＬＩＮコントローラ１４１Ｂから当該情報に基づいて、中継用ＩＣ１３０において不正フレームの中継処理が停止されたか否かを確認する。
　図１３は、本開示の実施の形態の変形例に係る車載通信システムの構成を示す図である。図１３を参照して、車載通信システム３０３は、車載通信システム３０１と比べて、車載中継装置１０１の代わりに車載中継装置１０３を備え、複数の車載ＥＣＵ１１１Ａおよび複数の車載ＥＣＵ１１１Ｂの代わりに車載ＥＣＵ１１１Ｄ，１１１Ｅを備える。車載ＥＣＵ１１１Ｄ，１１１Ｅは、車載装置の一例である。
　車載ＥＣＵ１１１Ｄ，１１１Ｅは、イーサネット（登録商標）ケーブル（以下、Ｅｔｈケーブルとも称する）１Ｄ，１Ｅを介して車載中継装置１０３にそれぞれ接続される。車載ＥＣＵ１１１Ｄは、定期的または不定期に、車載ＥＣＵ１１１Ｅへ送信すべきデータが格納されたイーサネットフレーム（以下、Ｅｔｈフレームとも称する）を生成し、生成したＥｔｈフレームをＥｔｈケーブル１Ｄ経由で車載中継装置１０３へ送信する。車載ＥＣＵ１１１Ｅは、定期的または不定期に、車載ＥＣＵ１１１Ｄへ送信すべきデータが格納されたＥｔｈフレームを生成し、生成したＥｔｈフレームをＥｔｈケーブル１Ｅ経由で車載中継装置１０３へ送信する。
　なお、車載通信システム３０３は、Ｅｔｈケーブルを介して車載中継装置１０３に接続される３つ以上の車載ＥＣＵを備える構成であってもよいし、イーサネット以外の他の規格に従うバスまたはケーブルを介して車載中継装置１０３に接続される車載ＥＣＵをさらに備える構成であってもよい。
　図１４は、本開示の実施の形態の変形例に係る車載中継装置の構成を示す図である。図１４を参照して、車載中継装置１０３は、車載中継装置１０１と比べて、通信ポート１０Ａ，１０Ｂの代わりに通信ポート１０Ｄ，１０Ｅを備え、通信部２０の代わりにスイッチ部２２０を備え、中継用ＩＣ３０の代わりに中継用ＩＣ２３０を備え、検知用ＩＣ４０の代わりに検知用ＩＣ２４０を備える。通信ポート１０Ｄには、Ｅｔｈケーブル１Ｄが接続されている。通信ポート１０Ｅには、Ｅｔｈケーブル１Ｅが接続されている。
　中継用ＩＣ２３０は、中継用ＩＣ３０と比べて、ＣＡＮコントローラ３１Ａ，３１Ｂの代わりにイーサネットコントローラ（以下、Ｅｔｈコントローラとも称する）３１Ｄ，３１Ｅを含み、中継部３２の代わりに中継部２３２を含む。検知用ＩＣ２４０は、検知用ＩＣ４０と比べて、ＣＡＮコントローラ４１Ａ，４１Ｂの代わりにＥｔｈコントローラ２４１Ａ，２４１Ｂを含み、検知部４２の代わりに検知部２４２を含み、確認部４３の代わりに確認部２４３を含む。
　スイッチ部２２０は、車載ＥＣＵ１１１Ｄから対応の通信ポート１０Ｄ経由でＥｔｈフレームを受信し、受信したＥｔｈフレームを中継用ＩＣ２３０および検知用ＩＣ２４０へ出力する。
　中継用ＩＣ２３０におけるＥｔｈコントローラ３１Ｄは、スイッチ部２２０により受信されたＥｔｈフレームを取得し、取得したＥｔｈフレームを中継部２３２へ出力する。
　中継部２３２は、Ｅｔｈコントローラ３１ＤからＥｔｈフレームを受けて、受けたＥｔｈフレームの内容を確認する受信確認処理を行い、受信確認処理が完了すると、中継対象のＥｔｈフレームの中継処理を行う。具体的には、中継部２３２は、Ｅｔｈコントローラ３１Ｄから受けた中継対象のＥｔｈフレームをＥｔｈコントローラ３１Ｅへ出力する。
　Ｅｔｈコントローラ３１Ｅは、中継部２３２からＥｔｈフレームを受けて、受けたＥｔｈフレームをスイッチ部２２０へ出力する。
　スイッチ部２２０は、Ｅｔｈコントローラ３１ＥからＥｔｈフレームを受けて、受けたＥｔｈフレームを宛先の車載ＥＣＵ１１１Ｅへ対応の通信ポート１０ＥおよびＥｔｈケーブル１Ｅ経由で送信する。また、スイッチ部２２０は、Ｅｔｈコントローラ３１Ｅから受けたＥｔｈフレームを検知用ＩＣ２４０へ出力する。
　検知用ＩＣ２４０におけるＥｔｈコントローラ２４１Ａは、スイッチ部２２０により受信されたＥｔｈフレームに格納された情報を取得する。たとえば、Ｅｔｈコントローラ２４１Ａは、スイッチ部２２０から受けるＥｔｈフレームにおけるヘッダたとえばプリアンブルを受信することにより当該Ｅｔｈフレームの先頭を検知し、当該Ｅｔｈフレームにおける少なくともいずれか１つのフィールドに格納された情報を取得し、取得した情報を検知部２４２へ出力する。一例として、Ｅｔｈコントローラ２４１Ａは、Ｅｔｈフレームにおける長さフィールドに格納された情報を取得し、取得した情報を検知部２４２へ出力する。
　検知部２４２は、Ｅｔｈコントローラ２４１Ａから受けた当該情報に基づいて、検知処理を行う。より詳細には、検知部２４２は、受けた情報に基づいて、スイッチ部２２０により受信されたＥｔｈフレームが不正フレームであるか否かを判断する。
　検知用ＩＣ２４０におけるＥｔｈコントローラ２４１Ｂは、スイッチ部２２０から出力されたＥｔｈフレームに格納された情報を取得する。たとえば、Ｅｔｈコントローラ２４１Ｂは、スイッチ部２２０から受けるＥｔｈフレームにおけるヘッダたとえばプリアンブルを受信することにより当該Ｅｔｈフレームの先頭を検知し、当該Ｅｔｈフレームにおける少なくともいずれか１つのフィールドに格納された情報を取得し、取得した情報を確認部２４３へ出力する。
　確認部２４３は、Ｅｔｈコントローラ２４１Ｂから受けた当該情報に基づいて、中継用ＩＣ２３０において当該不正フレームの中継処理が停止されたか否かを確認する。
　上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
　以上の説明は、以下に付記する特徴を含む。
　［付記１］
　車載装置からフレームを受信する受信部と、
　前記受信部により受信された前記フレームの中継処理を行う第１のＩＣと、
　前記受信部により受信された前記フレームを監視することにより不正フレームを検知する検知処理を行う第２のＩＣとを備え、
　前記第１のＩＣは、前記受信部により受信された前記フレームを取得して前記中継処理を行い、
　前記第２のＩＣは、前記第１のＩＣによる前記フレームの取得処理と並行して前記検知処理を行う、車載中継装置。
　１Ａ，１Ｂ，１Ｃ　バス
　１Ｄ，１Ｅ　イーサネットケーブル
　１０Ａ，１０Ｂ，１０Ｃ，１０Ｄ，１０Ｅ，１０　通信ポート
　２０，１２０　通信部
　２１Ａ，２１Ｂ，２１　ＣＡＮトランシーバ
　２１Ｃ　ＬＩＮトランシーバ
　３０，１３０，２３０　中継用ＩＣ
　３１Ａ，３１Ｂ，３１　ＣＡＮコントローラ
　３１Ｃ　ＬＩＮコントローラ
　３１Ｄ，３１Ｅ　イーサネットコントローラ
　３２，１３２，２３２　中継部
　３３　記憶部
　４０，１４０，２４０　検知用ＩＣ
　４１Ａ，４１Ｂ，４１　ＣＡＮコントローラ
　４２，１４２，２４２　検知部
　４３，１４３，２４３　確認部
　４４　記憶部
　１０１，１０２，１０３　車載中継システム
　１１１Ａ，１１１Ｂ，１１１Ｃ　車載ＥＣＵ
　１４１Ａ，１４１Ｂ　ＬＩＮコントローラ
　２２０　スイッチ部
　２４１Ａ，２４１Ｂ　イーサネットコントローラ
　３０１，３０２，３０３　車載通信システム
 
 

Claims (11)

  1. 　車載装置からフレームを受信する受信部と、
    　前記受信部により受信された前記フレームの中継処理を行う第１のＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）と、
    　前記受信部により受信された前記フレームを監視することにより不正フレームを検知する検知処理を行う第２のＩＣとを備える、車載中継装置。
  2. 　前記第２のＩＣは、前記不正フレームを検知したことを示す検知結果を前記第１のＩＣへ通知し、
    　前記第１のＩＣは、前記第２のＩＣから通知された前記検知結果に基づいて、前記不正フレームの前記中継処理を停止する、請求項１に記載の車載中継装置。
  3. 　前記第１のＩＣは、プロセッサであり、
    　前記第２のＩＣは、ＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ　Ｌｏｇｉｃ　Ｄｅｖｉｃｅ）から構成される回路を有する、請求項１または請求項２に記載の車載中継装置。
  4. 　前記第２のＩＣは、ＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）から構成される回路を有する、請求項３に記載の車載中継装置。
  5. 　前記第１のＩＣは、前記受信部により受信された前記フレームを取得して前記中継処理を行い、
    　前記第２のＩＣは、前記第１のＩＣによる前記フレームの取得が完了する前に前記検知処理を行う、請求項１から請求項４のいずれか１項に記載の車載中継装置。
  6. 　前記車載中継装置は、さらに、
    　複数の通信ポートを備え、
    　前記第１のＩＣは、前記受信部により前記複数の通信ポート経由でそれぞれ受信された複数の前記フレームの前記中継処理を行い、
    　前記第２のＩＣは、前記受信部により前記複数の通信ポート経由でそれぞれ受信された前記複数のフレームを監視する、請求項１から請求項５のいずれか１項に記載の車載中継装置。
  7. 　前記第２のＩＣは、前記不正フレームを検知したことを示す検知結果を前記第１のＩＣへ通知した場合、前記第１のＩＣにおいて前記不正フレームの前記中継処理が停止されたか否かを確認する、請求項２に記載の車載中継装置。
  8. 　前記受信部は、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）またはＣＡＮ　ＦＤ（ＣＡＮ　ｗｉｔｈ　Ｆｌｅｘｉｂｌｅ　Ｄａｔａ　ｒａｔｅ）の規格に従う前記フレームを受信し、受信した前記フレームを前記第２のＩＣへ出力し、
    　前記第２のＩＣは、前記受信部から受ける前記フレームのＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）を取得した時点において、前記検知処理を開始する、請求項１から請求項７のいずれか１項に記載の車載中継装置。
  9. 　前記受信部は、ＣＡＮまたはＣＡＮ　ＦＤの規格に従う前記フレームを受信し、受信した前記フレームを前記第２のＩＣへ出力し、
    　前記第２のＩＣは、前記受信部から受ける前記フレームのＤＬＣ（Ｄａｔａ　Ｌｅｎｇｔｈ　Ｃｏｄｅ）を取得した時点において、前記検知処理を開始する、請求項１から請求項７のいずれか１項に記載の車載中継装置。
  10. 　第１のＩＣおよび第２のＩＣを備える車載中継装置における車載中継方法であって、
    　車載装置からフレームを受信するステップと、
    　前記第１のＩＣが、前記フレームの中継処理を行うステップと、
    　前記第２のＩＣが、前記フレームを監視することにより不正フレームを検知するステップとを含む、車載中継方法。
  11. 　車載装置からフレームを受信する車載中継装置において用いられる車載中継プログラムであって、
    　コンピュータを、
    　受信した前記フレームの中継処理を行う第１のＩＣと、
    　受信した前記フレームを監視することにより不正フレームを検知する検知処理を行う第２のＩＣ、
    として機能させるための、車載中継プログラム。
PCT/JP2022/025512 2021-09-07 2022-06-27 車載中継装置、車載中継方法および車載中継プログラム WO2023037711A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2021145380A JP2023038577A (ja) 2021-09-07 2021-09-07 車載中継装置、車載中継方法および車載中継プログラム
JP2021-145380 2021-09-07

Publications (1)

Publication Number Publication Date
WO2023037711A1 true WO2023037711A1 (ja) 2023-03-16

Family

ID=85506419

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/025512 WO2023037711A1 (ja) 2021-09-07 2022-06-27 車載中継装置、車載中継方法および車載中継プログラム

Country Status (2)

Country Link
JP (1) JP2023038577A (ja)
WO (1) WO2023037711A1 (ja)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2020039177A (ja) * 2014-12-01 2020-03-12 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知電子制御ユニット、車載ネットワークシステム及び不正検知方法
WO2020122145A1 (ja) * 2018-12-11 2020-06-18 株式会社オートネットワーク技術研究所 ワイヤハーネス、コネクタ及び通信中継方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2020039177A (ja) * 2014-12-01 2020-03-12 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知電子制御ユニット、車載ネットワークシステム及び不正検知方法
WO2020122145A1 (ja) * 2018-12-11 2020-06-18 株式会社オートネットワーク技術研究所 ワイヤハーネス、コネクタ及び通信中継方法

Also Published As

Publication number Publication date
JP2023038577A (ja) 2023-03-17

Similar Documents

Publication Publication Date Title
EP3358788B1 (en) Illegality detection electronic control unit, vehicle onboard network system, and communication method
US8015445B2 (en) Fault location device, communication device, and fault location method
US10153825B2 (en) Vehicle-mounted control device
CN108476155B (zh) 不正当消息检测装置、方法、记录介质、以及电子控制装置
KR20150100790A (ko) 프로토콜 예외 상태를 이용하는 데이터 전송
CN112347021B (zh) 用于串行通信装置的安全模块
US20220239576A1 (en) Error detection test device for a subscriber station of a serial bus system and method for testing mechanisms for detecting errors in a communication in a serial bus system
US11128650B2 (en) Detection of manipulations in a CAN network by checking CAN identifiers
US10462161B2 (en) Vehicle network operating protocol and method
CN112347023A (zh) 用于can节点的安全模块
US20140047146A1 (en) Communication load determining apparatus
CN105981319A (zh) 总线系统的用户站和提高总线系统的数据速率的方法
JP5696685B2 (ja) 車載通信システム、車載通信システムの通信異常監視方法、及び車載通信システムの通信異常監視プログラム
US20230198800A1 (en) Apparatus for a controller area network
WO2023037711A1 (ja) 車載中継装置、車載中継方法および車載中継プログラム
WO2023149205A1 (ja) 車載中継装置、車載中継方法および車載中継プログラム
WO2020130136A1 (ja) 車載中継装置、中継方法及びプログラム
US20230353417A1 (en) Can module, can transceiver, can system and method for can module
JP4959484B2 (ja) 中継接続ユニット
US20230198807A1 (en) Apparatus for a controller area network
US20230231737A1 (en) Controller area network module and method for the module
JP2015202839A (ja) 車載ネットワークシステム及び車載中継装置
KR101992713B1 (ko) 통신 인터페이스 장치
JP2011229079A (ja) 電子制御ユニット
CN116266804A (zh) 用于控制器局域网的设备

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22865926

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE