(57)【要約】【課題】車両用通信装置に発生した異常に対する的確な対応処理を通じて、車両用通信装置の信頼性を維持することのできる新規な車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法を提供する。【解決手段】車両用制御装置１００Ａ〜１００Ｄは、車両用通信装置の異常を検知し、異常の発生要因となった車両用制御装置もしくはデータを特定する異常検知部を備える。また、車両用制御装置１００Ａ〜１００Ｄは、異常の発生要因として特定されたデータに関連付けされている固有ＩＤを、代替用ＩＤに代替する情報代替部を備える。【選択図】図１
2014226946.tif 000002
【特許請求の範囲】
【請求項１】
車両用ネットワークを介して複数の車両用制御装置の間でデータの通信が行われる車両用通信装置の異常への対応を行う車両用通信装置の異常対応システムであって、
前記車両用通信装置の異常を検知し、異常の発生要因となった車両用制御装置もしくはデータを特定する異常検知部と、
前記複数の車両用制御装置毎に割り当てられて各車両用制御装置が送信するデータに関連付けされる固有の識別情報のうち、前記異常の発生要因として特定された車両用制御装置に割り当てられている識別情報もしくは前記異常の発生要因として特定されたデータに関連付けされている識別情報を、代替用の識別情報に代替する情報代替部と、を備える
ことを特徴とする車両用通信装置の異常対応システム。
【請求項２】
前記固有の識別情報には、識別情報が関連付けされるデータの種別に応じた優先度が規定されてなり、
前記情報代替部は、前記識別情報の優先度が相対的に高い識別情報、もしくは、送信周期が相対的に短いデータに関連付けされる識別情報の少なくとも１つに対する代替用の識別情報を、他のデータに関連付けされる識別情報に対する代替用の識別情報よりも数多く保有する
請求項１に記載の車両用通信装置の異常対応システム。
【請求項３】
前記情報代替部は、前記代替用の識別情報として、前記複数の車両用制御装置に共有される代替用の識別情報を保有する
請求項１または２に記載の車両用通信装置の異常対応システム。
【請求項４】
前記情報代替部は、識別情報の代替に際し、
ａ；前記共有される代替用の識別情報の中に利用されていない識別情報が存在するとき、前記異常の発生要因として特定された車両用制御装置に割り当てられている識別情報もしくは前記異常の発生要因として特定されたデータに関連付けされている識別情報を、前記利用されていない共有用の識別情報に代替し、該代替した識別情報が関連付けられるデータを前記車両用通信装置に規定されている送信タイミングもしくは送信周期で送信させる処理、及び
ｂ；前記共有される代替用の識別情報の中に利用されていない識別情報が存在しないとき、前記異常の発生要因として特定された車両用制御装置が送信するデータもしくは異常の検知されたデータの送信を停止する処理
を実行する
請求項３に記載の車両用通信装置の異常対応システム。
【請求項５】
前記代替された識別情報が関連付けされているデータを受信した車両用制御装置は、該データの送信タイミング及び送信周期の少なくとも１つに基づき、データの種別もしくはデータの送信源を識別する
請求項３または４に記載の車両用通信装置の異常対応システム。
【請求項６】
前記情報代替部は、前記代替用の識別情報として、前記複数の車両用制御装置毎にそれぞれ、固有の１もしくは複数の代替用の識別情報を保有する
請求項１または２に記載の車両用通信装置の異常対応システム。
【請求項７】
前記情報代替部は、識別情報の代替に際し、
ｃ；代替可能な代替用の識別情報が複数存在するとき、前記異常の発生要因として特定された車両用制御装置に割り当てられている識別情報もしくは前記異常の発生要因として特定されたデータに関連付けされている識別情報を、ランダム方式もしくはラウンドロビン方式により前記複数の代替用の識別情報の中から選択した一の代替用の識別情報に代替し、該代替した識別情報が関連付けられるデータを前記車両用通信装置に規定されている送信タイミングもしくは送信周期で送信させる処理、及び
ｄ；前記代替用の識別情報が一つであるとき、前記異常の発生要因として特定された車両用制御装置に割り当てられている識別情報もしくは前記異常の発生要因として特定されたデータに関連付けされている識別情報を、該一つの代替用の識別情報に代替し、該代替した識別情報が関連付けられるデータを前記車両用通信装置に規定されている送信タイミングもしくは送信周期で送信させる処理
を実行する
請求項６に記載の車両用通信装置の異常対応システム。
【請求項８】
前記複数の車両用制御装置は、前記情報代替部が保有する代替用の識別情報と当該車両用制御装置毎に割り当てられている識別情報との対応関係を示す対応情報を保有し、
前記代替された識別情報が関連付けされたデータを受信した車両用制御装置は、前記対応情報及び該データの送信タイミング及び送信周期の少なくとも１つに基づき、データの種別もしくはデータの送信源を識別する
請求項６または７に記載の車両用通信装置の異常対応システム。
【請求項９】
前記車両用制御装置は、識別情報の代替が行われたとき、代替された識別情報を関連付けたデータを、該データに規定されている送信タイミングもしくは送信周期を所定時間だけシフトして前記車両用ネットワークに送信する
請求項１〜８のいずれか一項に記載の車両用通信装置の異常対応システム。
【請求項１０】
前記情報代替部は、前記代替用の識別情報による代替後、該代替したデータでの異常がさらに検知されたとき、
ｅ；当該情報代替部が保有する複数の代替用の識別情報を順次代替する処理、及び
ｆ；前記異常の検知されたデータの送信を停止させる処理
のいずれか一方の処理を実行する
請求項１〜９のいずれか一項に記載の車両用通信装置の異常対応システム。
【請求項１１】
前記車両用通信装置の通信規定として、同一の識別情報が関連付けされた異なるデータの同時送信時には、ネットワークエラーを示すエラーフレームが前記車両用ネットワークに送信される規定が定められてなり、
前記異常検知部は、前記エラーフレームを規定の回数以上検知したか否かに基づき前記車両用通信装置に異常が発生したことを検知し、
前記情報代替部は、前記同一の識別情報が付与された異なるデータを送信する車両用制御装置に割り当てられている固有の識別情報の代替を行う
請求項１〜１０のいずれか一項に記載の車両用通信装置の異常対応システム。
【請求項１２】
前記異常検知部は、前記車両用ネットワークに送信されるデータの送信間隔と該データに規定されている送信間隔との差が所定の間隔未満となったか否かに基づき、前記車両用通信装置に異常が発生したことを検知し、
前記情報代替部は、前記規定の送信間隔との差が所定の間隔未満となったデータに関連付けされる固有の識別情報の代替を行う
請求項１〜１１のいずれか一項に記載の車両用通信装置の異常対応システム。
【請求項１３】
前記異常検知部は、前記車両用ネットワークに送信される単位時間当たりのデータ量が所定のデータ量以上となったか否かに基づき、前記車両用通信装置に異常が発生したことを検知し、
前記情報代替部は、前記単位時間当たりのデータ量が所定のデータ量以上となったデータに関連付けされる固有の識別情報の代替を行う
請求項１〜１２のいずれか一項に記載の車両用通信装置の異常対応システム。
【請求項１４】
前記車両用ネットワークがコントローラ・エリア・ネットワークからなるものであって、前記固有の識別情報及び前記代替用の識別情報には優先度が規定されてなり、
前記情報代替部は、識別情報の代替に際し、代替すべき固有の識別情報よりも優先度の高い代替用の識別情報を選定する
請求項１〜１３のいずれか一項に記載の車両用通信装置の異常対応システム。
【請求項１５】
車両用ネットワークを介して複数の車両用制御装置の間でデータの通信が行われる車両用通信装置の異常への対応を行う車両用通信装置の異常対応方法であって、
前記車両用通信装置の異常の対応を管理するコンピュータは、
前記車両用通信装置の異常を検知し、異常の発生要因となった車両用制御装置もしくはデータを特定するステップと、
前記複数の車両用制御装置毎に割り当てられてデータに関連付けされる規定の識別情報のうち、前記特定した車両用制御装置に割り当てられている識別情報もしくは前記特定したデータに関連付けされている識別情報を代替用の識別情報に代替するステップと、を実行する
ことを特徴とする車両用通信装置の異常対応方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法に関する。
【背景技術】
【０００２】
近年の自動車等の車両には、ナビゲーションシステムを制御する車両用制御装置をはじめ、エンジンやブレーキ等の各種車載機器を電子的に制御する車両用制御装置、車両の各種状態を表示するメータ等の機器を制御する車両用制御装置などの多くの車両用制御装置が搭載されている。また、車両内では、各車両用制御装置が通信線により電気的に接続されて車両用ネットワークが形成されている。そして、この車両用ネットワークを介して各車両用制御装置間での各種データの送受信が行われている。なお、車両内では、複数の車両用制御装置と車両用ネットワークとによって、車両用の通信システムである車両用通信装置が構成される。
【０００３】
また、こうした車両用ネットワークは、該車両用ネットワークに接続される各車両用制御装置が車両に搭載されるエンジンやブレーキ等の各種車載機器の制御を担っていることから、極めて高いセキュリティーが要求される。もっとも、こうした車両用ネットワークは本来、外部のネットワークとは隔離されていることが普通である。このため、車両用ネットワークは、当該車両用ネットワークで送受信されるデータが正規の車両用制御装置から送信される正規のデータであることを前提に設計されている。
【０００４】
一方、最近は、例えば、車両用ネットワークと外部のネットワークとの各種データの授受や、車両に設けられたデータ・リンク・コネクタ（ＤＬＣ）に接続された外部機器との各種データの授受を可能とするシステムの開発が進められている。そして、こうしたシステムでは、そのセキュリティーを確保すべく、例えば、予め登録されたデータとシグネチャマッチングを行う不正検出や、通常とは異なる動作を異常として検出する異常検出といった手法により、不正アクセスを検知する侵入検知機能を導入することも検討されている。
【０００５】
その一例として、例えば特許文献１に記載のシステムでは、車両用ネットワークに送信されるデータの受信周期を監視するようにしている。このシステムでは、監視する受信周期に変動が生じたか否かに基づき、車両用制御装置や車両用ネットワークの異常、すなわち車両用通信装置の異常を検知する。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００７−３１２１９３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
ところで、従来のシステムでは、たとえ車両用通信装置の異常が検知されたとしても、異常の発生がドライバ等に警告されるのみで、発生した車両用通信装置の異常をいかに解消するかまでは検討されていない。すなわち、検知された異常に対するシステムとしての対応は確立されていないのが現状である。
【０００８】
本発明は、このような実情に鑑みてなされたものであり、その目的は、車両用通信装置に発生した異常に対する的確な対応処理を通じて、車両用通信装置の信頼性を維持することのできる新規な車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法を提供することにある。
【課題を解決するための手段】
【０００９】
以下、上記課題を解決するための手段及びその作用効果について記載する。
上記課題を解決する車両用通信装置の異常対応システムは、車両用ネットワークを介して複数の車両用制御装置の間でデータの通信が行われる車両用通信装置の異常への対応を行う車両用通信装置の異常対応システムであって、前記車両用通信装置の異常を検知し、異常の発生要因となった車両用制御装置もしくはデータを特定する異常検知部と、前記複数の車両用制御装置毎に割り当てられて各車両用制御装置が送信するデータに関連付けされる固有の識別情報のうち、前記異常の発生要因として特定された車両用制御装置に割り当てられている識別情報もしくは前記異常の発生要因として特定されたデータに関連付けされている識別情報を、代替用の識別情報に代替する情報代替部と、を備える。
【００１０】
上記課題を解決する車両用通信装置の異常対応方法は、車両用ネットワークを介して複数の車両用制御装置の間でデータの通信が行われる車両用通信装置の異常への対応を行う車両用通信装置の異常対応方法であって、前記車両用通信装置の異常の対応を管理するコンピュータは、前記車両用通信装置の異常を検知し、異常の発生要因となった車両用制御装置もしくはデータを特定するステップと、前記複数の車両用制御装置毎に割り当てられてデータに関連付けされる規定の識別情報のうち、前記特定した車両用制御装置に割り当てられている識別情報もしくは前記特定したデータに関連付けされている識別情報を代替用の識別情報に代替するステップと、を実行する。
【００１１】
車両用通信装置では、データの種別やデータの送信源の識別用に、固有の識別情報が割り当てられる。このため、車両用通信装置の正常時には、個々のデータに付与される識別情報や個々の車両用通信装置に割り当てられている識別情報が、それぞれ固有のものとなっている。
【００１２】
一方、例えば、不正な装置等が上記固有の識別情報を不正に取得して、この識別情報を付与した不正なデータを不正送信する、いわゆるなりすましが行われることがある。また、こうした不正なデータが車両用通信装置に送信されると、車両用通信装置で種々の異常が発生する。
【００１３】
この点、上記構成或いは方法によれば、車両用通信装置で異常が発生すると、この異常の発生が検知され、異常の発生要因となるデータもしくは車両用制御装置が特定される。そして、特定されたデータに付与される固有の識別情報、もしくは、特定された車両用制御装置に割り当てられている固有の識別情報が、それら固有の識別情報に代替可能な代替用の識別情報に変更される。このため、正規の固有の識別情報が付与されたデータと、該識別情報と共通して該識別情報になりすました識別情報が付与されたデータとが、異なる送信源から車両用通信装置に送信されることが抑制される。すなわち、同一の識別情報が異なる送信源から車両用通信装置に送信されることに起因して発生した異常が抑制される。これにより、車両用通信装置の異常の解消が促される。
【００１４】
好ましい構成として、前記固有の識別情報には、識別情報が関連付けされるデータの種別に応じた優先度が規定されてなり、前記情報代替部は、前記識別情報の優先度が相対的に高い識別情報、もしくは、送信周期が相対的に短いデータに関連付けされる識別情報の少なくとも１つに対する代替用の識別情報を、他のデータに関連付けされる識別情報に対する代替用の識別情報よりも数多く保有する。
【００１５】
上記車両用通信装置では、通信規定として例えば、データの種別に応じた優先度が規定されており、この優先度に対応する固有の識別情報が各データに付与される。一方、優先度が高いデータほど送信先に送信される必要性が高く、異常への対応の必要性も高い。また、送信周期が短い正規のデータほど車両用通信装置に頻繁に送信されることから、送信周期が短い正規のデータは不正なデータのなりすましの対象とされやすい。
【００１６】
この点、上記構成によれば、優先度が相対的に高い固有の識別情報に対する代替用の識別情報が相対的に多く用意される。このため、代替用の識別情報が特定され難くなる。また、例えば、識別情報の代替後さらに、優先度が相対的に高い固有の識別情報が付与されたデータもしくは該データを送信する車両用制御装置が異常の発生要因となったとしても、異なる代替用の識別情報への代替がさらに行われることが可能となる。
【００１７】
また、上記構成によれば、送信周期の短いデータに付与される固有の識別情報に対する代替用の識別情報が相対的に多く用意される。換言すれば、なりすましの対象とされやすいデータに付与される固有の識別情報に対する代替用の識別情報が相対的に多く用意される。このデータに付与される固有の識別情報に代替可能な識別情報が特定され難くなる。また、例えば、識別情報の代替後、なりすましがさらに行われたとしても、異なる代替用の識別情報への代替が随時行われることで、送信頻度の高いデータへのなりすましが抑制される。
【００１８】
好ましい構成として、前記情報代替部は、前記代替用の識別情報として、前記複数の車両用制御装置に共有される代替用の識別情報を保有する。
車両用通信装置で利用可能な識別情報の数は有限であることが多い。また、通常、車両用通信装置には、各種データに応じた固有の識別情報が既に規定されていることから、代替用の識別情報として利用可能な識別情報の数には制限があることが多い。一方、複数の異常が同時に発生することは少なく、複数の固有情報に対する代替を同時に行う必要性は低い。
【００１９】
そこで、上記構成では、代替用の識別情報として、複数の車両用制御装置に共有される代替用の識別情報が用いられる。このため、限られた識別情報が、代替用の識別情報として有効に利用される。これにより、車両用通信装置としての識別情報の代替が促進される。また、既存の車両用通信装置に対する本システムの適用可能性も大幅に高められる。
【００２０】
好ましい構成として、前記情報代替部は、識別情報の代替に際し、ａ；前記共有される代替用の識別情報の中に利用されていない識別情報が存在するとき、前記異常の発生要因として特定された車両用制御装置に割り当てられている識別情報もしくは前記異常の発生要因として特定されたデータに関連付けされている識別情報を、前記利用されていない共有用の識別情報に代替し、該代替した識別情報が関連付けられるデータを前記車両用通信装置に規定されている送信タイミングもしくは送信周期で送信させる処理、及びｂ；前記共有される代替用の識別情報の中に利用されていない識別情報が存在しないとき、前記異常の発生要因として特定された車両用制御装置が送信するデータもしくは異常の検知されたデータの送信を停止する処理を実行する。
【００２１】
上記構成では、異常の発生要因が特定されると、利用可能な代替用の識別情報が存在するか否か、換言すれば、代替用の識別情報に空きが存在するか否かが確認される。利用可能な代替用の識別情報が存在するときには、この識別情報との代替が行われる。また、代替された識別情報が関連付けられるデータが、車両用通信装置に規定されている送信タイミングもしくは送信周期で送信される。つまり、識別情報の代替前後でのデータの送信タイミングもしくは送信周期が共通したものとなる。よって、識別情報の代替されたデータが、通信規定に従って送信されることで、識別情報の代替が行われたこと以外は該データの送信態様は共通したものとなる。これにより、識別情報の代替されたデータを受信した側での代替の有無、及び代替された識別情報が付与されたデータの種別や送信源等の特定も容易となる。
【００２２】
また、上記構成では、利用可能な代替用の識別情報が存在しないときには、異常の発生要因として特定された車両用制御装置が送信するデータもしくは異常の検知されたデータの送信を停止する処理が実行される。これにより、識別情報の代替が困難なときには、データの送信が停止されることで、このデータの送信に伴う異常の解消が促される。
【００２３】
好ましい構成として、前記代替された識別情報が関連付けされているデータを受信した車両用制御装置は、該データの送信タイミング及び送信周期の少なくとも１つに基づき、データの種別もしくはデータの送信源を識別する。
【００２４】
上記構成では、代替された識別情報が関連付けされているデータが受信されると、該データの送信タイミング及び送信周期の少なくとも１つに基づき、データの種別もしくはデータの送信源が識別される。すなわち、代替された識別情報が関連付けされているデータは、該データの通信規定に従って送信されることから、該データの送信タイミングや送信周期も通信規定に従った固有のものとなる。このため、データの受信側では、受信したデータの送信タイミングや送信周期に基づき、データの種別やデータの送信源を識別することが可能となる。これにより、たとえ識別情報が代替されたとしても、代替後におけるデータの送受信が円滑に行われる。
【００２５】
好ましい構成として、前記情報代替部は、前記代替用の識別情報として、前記複数の車両用制御装置毎にそれぞれ、固有の１もしくは複数の代替用の識別情報を保有する。
上記構成によれば、複数の車両用制御装置毎に、１もしくは複数の代替用の識別情報が個別に割り当てられる。これにより、代替可能な識別情報の数が増加し、識別情報の代替にかかる自由度が高められる。また、複数の車両用制御装置毎に、１もしくは複数の代替用の識別情報が個別に割り当てられることで、複数のデータや車両用制御装置で異常が発生したとしても、複数の異常発生要因に対する対応が的確に行われる。
【００２６】
好ましい構成として、前記情報代替部は、識別情報の代替に際し、ｃ；代替可能な代替用の識別情報が複数存在するとき、前記異常の発生要因として特定された車両用制御装置に割り当てられている識別情報もしくは前記異常の発生要因として特定されたデータに関連付けされている識別情報を、ランダム方式もしくはラウンドロビン方式により前記複数の代替用の識別情報の中から選択した一の代替用の識別情報に代替し、該代替した識別情報が関連付けられるデータを前記車両用通信装置に規定されている送信タイミングもしくは送信周期で送信させる処理、及びｄ；前記代替用の識別情報が一つであるとき、前記異常の発生要因として特定された車両用制御装置に割り当てられている識別情報もしくは前記異常の発生要因として特定されたデータに関連付けされている識別情報を、該一つの代替用の識別情報に代替し、該代替した識別情報が関連付けられるデータを前記車両用通信装置に規定されている送信タイミングもしくは送信周期で送信させる処理を実行する。
【００２７】
上記構成では、代替可能な代替用の識別情報が複数存在するとき、代替用の識別情報がランダム方式もしくはラウンドロビン方式により選択される。そして、選択された代替用の識別情報が、対象となる固有の識別情報と代替される。このため、識別情報の代替にかかる選定範囲が広がる。これにより、識別情報の代替後においても、代替用の識別情報が不正な装置等から特定され難くなる。
【００２８】
また、上記構成では、代替用の識別情報が一つであるときには、この識別情報が固有の識別情報と代替される。このため、代替用の識別情報が一つであるときの識別情報の代替が円滑に行われる。また、代替用の識別情報が一つであるときには、データの受信側は、この代替用の識別情報と対応する固有の識別情報とを対として把握することが可能となる。これにより、データの受信側での代替の有無、データの種別、及び送信源等の特定がより容易になる。
【００２９】
なお、上記構成では、代替された識別情報が関連付けられるデータが、車両用通信装置に規定されている送信タイミングもしくは送信周期で送信される。これにより、受信側でのデータの識別や送信源の特定が容易となる。
【００３０】
好ましい構成として、前記複数の車両用制御装置は、前記情報代替部が保有する代替用の識別情報と当該車両用制御装置毎に割り当てられている識別情報との対応関係を示す対応情報を保有し、前記代替された識別情報が関連付けされたデータを受信した車両用制御装置は、前記対応情報及び該データの送信タイミング及び送信周期の少なくとも１つに基づき、データの種別もしくはデータの送信源を識別する。
【００３１】
上記構成では、代替された識別情報が関連付けされているデータが受信されると、該データの送信タイミング及び送信周期の少なくとも１つに基づき、データの種別もしくはデータの送信源が識別される。すなわち、代替された識別情報が関連付けされているデータは、該データの通信規定に従って送信されることから、該データの送信タイミングや送信周期も、通信規定に従った固有のものとなる。このため、データの受信側では、受信したデータの送信タイミングや送信周期に基づき、データの種別やデータの送信源を識別することが可能となる。これにより、たとえ識別情報が代替されたとしても、代替後におけるデータの送受信が円滑に行われる。
【００３２】
また、上記構成では、データの送受信を行う各車両用制御装置が、情報代替部が保有する代替用の識別情報と当該車両用制御装置毎に割り当てられている識別情報との対応関係を示す対応情報を保有する。このため、各車両用制御装置は、対応情報を参照するだけで、受信したデータに付与されている識別情報が代替用もしくは固有用のいずれであるかを識別することができる。また、各車両用制御装置は、こうした対応を通じて代替される前の固有の識別情報を特定し、この特定した固有の識別情報が示すデータの種別や送信源等を容易に把握することができる。
【００３３】
好ましい構成として、前記車両用制御装置は、識別情報の代替が行われたとき、代替された識別情報を関連付けたデータを、該データに規定されている送信タイミングもしくは送信周期を所定時間だけシフトして前記車両用ネットワークに送信する。
【００３４】
車両用通信装置で異常が発生する際には、正規の車両用制御装置になりすました不正手段が、正規のデータと同一の送信タイミングや送信周期で不正データを送信していることが多い。
【００３５】
この点、上記構成によれば、識別情報の代替後のデータの送信に際し、データに規定されている送信タイミングもしくは送信周期が所定時間だけシフトされる。これにより、不正データと正規のデータとの衝突が回避される。なお、この場合であれ、シフト量が予め受信側で把握されることで、受信側でのデータの種別や送信源の特定も可能となる。同様に、データの受信側で通信規定が示すデータ毎の送信タイミングもしくは送信周期に基づく送信源等の特定に際しての閾値にバッファが設けられることで、受信側でのデータの種別や送信源の特定も可能となる。
【００３６】
好ましい構成として、前記情報代替部は、前記代替用の識別情報による代替後、該代替したデータでの異常がさらに検知されたとき、ｅ；当該情報代替部が保有する複数の代替用の識別情報を順次代替する処理、及びｆ；前記異常の検知されたデータの送信を停止させる処理のいずれか一方の処理を実行する。
【００３７】
上記構成では、識別情報の代替が行われてもなお異常が検知されると、代替可能な識別情報が複数存在するときには、異常が治まるまで代替用の識別情報による順次の代替が行われる。なお、この際、複数の代替用の識別情報が、優先度の低い方から高い方へと順次代替されると、代替後のデータが優先して送信されやすくなり、代替用の識別情報の付与されたデータの円滑な送信が促される。そして、代替用の識別情報による順次の代替が行われることで、代替用の識別情報へのなりすまし等が困難となり、異常の解消が促される。
【００３８】
また、上記構成では、識別情報の代替が行われてもなお異常が検知されると、異常の検知されたデータの送信を停止させる処理が実行されることも可能である。これにより、識別情報の代替によっても異常が解消されないときには、例えば、正規の車両用制御装置が異常動作していたりするとして、該車両用制御装置のデータの送信が停止される。これにより、車両用通信装置の健全性が的確に維持される。
【００３９】
好ましい構成として、前記車両用通信装置の通信規定として、同一の識別情報が関連付けされた異なるデータの同時送信時には、ネットワークエラーを示すエラーフレームが前記車両用ネットワークに送信される規定が定められてなり、前記異常検知部は、前記エラーフレームを規定の回数以上検知したか否かに基づき前記車両用通信装置に異常が発生したことを検知し、前記情報代替部は、前記同一の識別情報が付与された異なるデータを送信する車両用制御装置に割り当てられている固有の識別情報の代替を行う。
【００４０】
車両用通信装置には、通信規定として上記エラーフレームが規定されることもある。このエラーフレームは、例えば、ネットワークに送信されているデータの固有の識別情報が正規の車両用制御装置が使用する識別情報と一致するものの該車両用制御装置が送信したデータの内容と異なる内容のデータが検出されたときに、異常が発生したとして当該車両用制御装置が送信するものである。よって、エラーフレームの送信が行われたときには、正規の車両用制御装置のデータになりすました不正なデータがネットワークに送信されている蓋然性が高い。
【００４１】
そこで、上記構成では、エラーフレームが規定の回数以上検知されたことをもって、車両用通信装置に異常が発生したことが検知される。そして、同一の識別情報が付与された異なるデータを送信する車両用制御装置に割り当てられている固有の識別情報のうち、ネットワークに同時送信されているデータに付与された固有の識別情報が代替される。このため、同一の識別情報が付与されたデータの衝突が回避され、エラーフレームの発生が抑制される。
【００４２】
好ましい構成として、前記異常検知部は、前記車両用ネットワークに送信されるデータの送信間隔と該データに規定されている送信間隔との差が所定の間隔未満となったか否かに基づき、前記車両用通信装置に異常が発生したことを検知し、前記情報代替部は、前記規定の送信間隔との差が所定の間隔未満となったデータに関連付けされる固有の識別情報の代替を行う。
【００４３】
不正なデータが車両用ネットワークに送信されると、車両用ネットワークの通信負荷が増大し、車両用ネットワークに送信されているデータの送信間隔が相対的に短くなる。このため、例えば、車両用ネットワークの正常時における送信間隔として規定されている間隔よりも、データの送信間隔が短くなったときには、正規のデータの他に不正なデータが車両用ネットワークに送信されている蓋然性が高い。また、送信間隔が低下している期間では、正規のデータの送信効率が低下する傾向にある。
【００４４】
そこで、上記構成では、車両用ネットワークに送信されるデータの送信間隔と該データに規定されている送信間隔との差が所定の間隔未満となったか否かに基づき、車両用通信装置に異常が発生したことが検知される。そして、規定の送信間隔との差が所定の間隔未満となったデータに関連付けされる固有の識別情報が代替される。このため、識別情報の代替が行われることで、車両用ネットワークでは該識別情報が付与されているデータの送信にかかる優先度が変化する。これにより、こうした優先度の変化を通じて、識別情報の代替されたデータの送信の円滑化が図られる。
【００４５】
好ましい構成として、前記異常検知部は、前記車両用ネットワークに送信される単位時間当たりのデータ量が所定のデータ量以上となったか否かに基づき、前記車両用通信装置に異常が発生したことを検知し、前記情報代替部は、前記単位時間当たりのデータ量が所定のデータ量以上となったデータに関連付けされる固有の識別情報の代替を行う。
【００４６】
不正なデータが車両用ネットワークに送信されると、車両用ネットワークの通信負荷が増大し、車両用ネットワークに送信される単位時間当たりのデータ量が増大する。このため、例えば、車両用ネットワークの正常時における単位時間当たりのデータ量よりも車両用ネットワーク上のデータ量が多くなったときには、正規のデータの他に、不正なデータが車両用ネットワークに送信されている蓋然性が高い。また、単位時間当たりのデータ量が増加している期間においては、正規のデータの送信効率が低下する傾向にある。
【００４７】
そこで、上記構成では、車両用ネットワークの単位時間当たりのデータ量が所定のデータ量以上となったか否かに基づき、車両用通信装置に異常が発生したことが検知される。そして、車両用ネットワークの単位時間当たりのデータ量が所定のデータ量以上となったとき、車両用ネットワークに送信されているデータに関連付けされる固有の識別情報が代替される。このため、識別情報の代替が行われることで、車両用ネットワークでは該識別情報が付与されているデータの送信にかかる優先度が変化する。これにより、こうした優先度の変化を通じて、識別情報の代替されたデータの送信の円滑化が図られる。
【００４８】
好ましい構成として、前記車両用ネットワークがコントローラ・エリア・ネットワークからなるものであって、前記固有の識別情報及び前記代替用の識別情報には優先度が規定されてなり、前記情報代替部は、識別情報の代替に際し、代替すべき固有の識別情報よりも優先度の高い代替用の識別情報を選定する。
【００４９】
上記構成では、車両用ネットワークに送信されたデータは、識別情報の優先度に応じて送信される。このため、例えば、識別情報の異なる複数のデータが所定期間内に車両用ネットワークに送信されると、優先度の高いデータが優先して送信される。
【００５０】
この点、上記構成では、識別情報の代替に際し、代替すべき固有の識別情報よりも優先度の高い代替用の識別情報が選定される。このため、例えば、代替される固有の識別情報が不正な装置等により模倣され、この識別情報と同一の優先度の識別情報が付与された不正なデータが車両用ネットワークに送信されたとしても、代替される識別情報の方が不正なデータに付与されている識別情報よりも優先度が高くなる。これにより、異常の発生時には、優先度の高い識別情報への代替を通じて、異常の発生要因となったデータの優先度が変更される。よって、代替用の識別情報が付与されたデータの的確な送信が促される。
【図面の簡単な説明】
【００５１】
【図１】本発明にかかる車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法の第１の実施の形態について、車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法が適用される車両の概略構成を示すブロック図。
【図２】車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法が適用される車両用制御装置の概略構成を示すブロック図。
【図３】（ａ）は、バスレベルの推移例を示す図。（ｂ）は、車両用ネットワークに送信されたデータの一例を示す図。
【図４】保存領域に保存された対応情報の一例を示す図。
【図５】（ａ）は、固有ＩＤ及び代替用ＩＤの割り当て態様の一例を示す図。（ｂ）は、車両用制御装置と固有ＩＤ及び代替用ＩＤとの対応関係の一例を示す図。
【図６】（ａ）は、固有ＩＤ及び代替用ＩＤの割り当て態様の一例を示す図。（ｂ）は、識別情報の代替時における車両用制御装置と固有ＩＤ及び代替用ＩＤとの対応関係の一例を示す図。
【図７】データの送信側における識別情報の代替手順の一例を示すフローチャート。
【図８】データの受信側におけるデータの処理手順の一例を示すフローチャート。
【図９】同一の固有ＩＤが付与された２つのデータの衝突態様の一例を示す図。
【図１０】不正データへの対応例の一例を示す図。
【図１１】本発明にかかる車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法の第２の実施の形態について、共有される代替用ＩＤと固有ＩＤとの対応情報の一例を示す図。
【図１２】（ａ）は、固有ＩＤ及び代替用ＩＤの割り当て態様の一例を示す図。（ｂ）は、車両用制御装置と固有ＩＤ及び代替用ＩＤとの対応関係の一例を示す図。
【図１３】（ａ）は、固有ＩＤ及び代替用ＩＤの割り当て態様の一例を示す図。（ｂ）は、識別情報の代替時における車両用制御装置と固有ＩＤ及び代替用ＩＤとの対応関係の一例を示す図。
【図１４】データの送信側における識別情報の代替手順の一例を示すフローチャート。
【図１５】データの受信側におけるデータの処理手順の一例を示すフローチャート。
【図１６】本発明にかかる車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法の第３の実施の形態について、優先度に応じて割り当てられる代替用ＩＤと、固有ＩＤとの対応関係の一例を示す図。
【図１７】本発明にかかる車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法の他の実施の形態について、１つの装置で管理される車両用制御装置毎の固有ＩＤ及び代替用ＩＤの対応情報の一例を示す図。
【図１８】本発明にかかる車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法の他の実施の形態について、１つの装置で管理される車両用制御装置毎の固有ＩＤ及び代替用ＩＤの対応情報の一例を示す図。
【図１９】本発明にかかる車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法の他の実施の形態について、固有ＩＤ及び代替用ＩＤの割り当て態様の一例を示す図。
【図２０】本発明にかかる車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法の他の実施の形態について、複数の代替用ＩＤの代替手順の一例を示す図。
【発明を実施するための形態】
【００５２】
（第１の実施の形態）
以下、本発明にかかる車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法を具体化した第１の実施の形態について図１〜図１０を参照して説明する。なお、本実施の形態では、車両ネットワークとして車両に搭載されたコントローラ・エリア・ネットワーク（ＣＡＮ）を介してデータの送受信が行われる。また、ＣＡＮにより構成される車両ネットワークでは、ＣＡＮの通信規定であるＣＡＮプロトコルに従ったデータ通信が行われる。
【００５３】
図１に示すように、本実施の形態の車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法が適用される車両１０には、該車両１０に搭載された各種機器の制御等を行う複数の車両用制御装置（ＥＣＵ）１００Ａ〜１００Ｄが搭載されている。車両用制御装置１００Ａは、例えば、エンジンやブレーキ、ステアリング等の各種車両駆動系の機器を制御する。また、車両用制御装置１００Ｂ、１００Ｃは、例えば現在地から目的地までの経路案内等を行うカーナビゲーションシステムをはじめとする各種情報系の機器を制御する。車両用制御装置１００Ｄは、例えば、エアコンや車両１０の各種状態を表示するメータ等のボディ系の機器を制御する。
【００５４】
各車両用制御装置１００Ａ〜１００Ｄは、ＣＡＮバスを構成する通信用バス２０に接続されることにより、車両用通信装置を構成する。
また、通信用バス２０には、外部機器との接続が行われるＤＬＣ（データ・リンク・コネクタ）２００が接続されている。ＤＬＣ２００は、例えば、車両用制御装置１００Ａ〜１００Ｄの診断機器や多機能電話機器等の外部機器との接続を行う。ＤＬＣ２００は、こうした外部機器と車両用制御装置１００Ａ〜１００Ｄとのデータ通信を中継する。
【００５５】
このため、車両用ネットワーク接続時の動作についての検証が不十分な外部機器が通信用バス２０に接続されると、その外部機器から送信される通信メッセージが通信用バス２０における通信の一部又は全般に悪影響を与えるおそれもある。例えば、非正規テスターやスマートフォンなどの非正規な外部機器は、不適切なソフトウェアやウィルスなどの実行が不正な通信メッセージを通信用バス２０に送信させて、通信用バス２０における通信の一部又は全般に悪影響を生じさせるおそれがある。さらに、通信用バス２０における通信を妨害する意図を含む不正なＥＣＵが通信用バス２０に接続されるおそれもある。そのため、通信システムとしては、通信用バス２０における通信に影響を生じるおそれのある通信メッセージによる通信を防止したり、該通信メッセージによる通信に対処する必要がある。
【００５６】
本実施の形態の車両用制御装置１００Ａ〜１００Ｄは、データの送受信に際し、予め規定された固有の識別情報である固有ＩＤをデータに関連付けする。例えば、車両用制御装置１００Ａ〜１００Ｄにはそれぞれ、当該車両用制御装置１００Ａ〜１００Ｄが送信するデータの種別に応じた複数の固有ＩＤが割り当てられている。固有ＩＤが関連付けされたデータを受信した各車両用制御装置１００Ａ〜１００Ｄは、固有ＩＤを識別することにより、受信したデータの要否及び該データの正当性を判定する。そして、車両用制御装置１００Ａ〜１００Ｄは、必要かつ正当なものであると判定したデータの取得を許可する。車両用制御装置１００Ａ〜１００Ｄは、この取得したデータを各種制御に用いる。
【００５７】
また、上記ＣＡＮプロトコルには、送受信されるデータ、すなわち通信メッセージの構造であるフレームが規定されている。フレームには、通信メッセージの内容を示す「固有ＩＤ」（識別子）が格納される領域などが設けられている。固有ＩＤは、通信メッセージの種類毎に特定の値が定められている。各車両用制御装置１００Ａ〜１００Ｄは、送信する通信メッセージに含む情報の内容に対応する固有ＩＤを付与して送信する。また、車両用制御装置１００Ａ〜１００Ｄは、受信した通信メッセージに含まれる情報の内容を固有ＩＤに基づいて判断する。
【００５８】
また、ＣＡＮプロトコルでは固有ＩＤにより通信メッセージの優先度が定められており、固有ＩＤの値が小さくなるに従って通信メッセージの優先度が高くなり、逆に固有ＩＤの値が大きくなるに従って通信メッセージの優先度が低くなる。例えば、３種類の固有ＩＤ、「１０」と「１００」と「２００」とを比較すると、固有ＩＤが「１０」の通信メッセージの優先度が最も高く、固有ＩＤが「１００」の通信メッセージの優先度が次に高く、固有ＩＤが「２００」の通信メッセージの優先度が最も低い。
【００５９】
通信用バス２０は、ツイストケーブルなどの通信線などから構成され、その通信線を介してＣＡＮプロトコルにおいて通信における１単位となる通信メッセージを伝達する。通信用バス２０には、ＣＡＮプロトコルに基づいて通信する車両用制御装置等の追加が可能である。また、追加された車両用制御装置等がその通信メッセージを通信用バス２０に送信することも可能となっている。なお、通信用バス２０は、通信経路の一部に無線通信を含んでいたり、ゲートウェイなどを介して他のネットワークを経由する経路が含まれていたりしてもよい。
【００６０】
図２に、一例として車両用制御装置１００Ａの概略構成を示す。なお、他の車両用制御装置１００Ｂ〜１００Ｄも、図２に例示した車両用制御装置１００Ａと同様の構成となっている。
【００６１】
車両用制御装置１００Ａは、他の車両用制御装置１００Ｂ〜１００ＤやＤＬＣ２００に接続された外部機器との通信を行うドライバ１１０を有している。また、車両用制御装置１００Ａは、各種センサから取得された情報や演算処理により得られた情報などに基づいて各種制御に必要な情報処理を行う情報処理部１２０を備えている。
【００６２】
情報処理部１２０は、マイクロコンピュータ等によって構成されている。また、情報処理部１２０は、各種処理を行う演算装置や、演算結果や各種制御機能を提供するプログラムや制御機能に用いられるパラメータなどを記憶する記憶装置を有している。そして、情報処理部１２０では、例えばエンジン制御などの所定の制御機能を提供するプログラムが演算装置で実行されることによって該制御機能が提供される。
【００６３】
ドライバ１１０は、通信用バス２０から通信メッセージを受信したタイミングを取得する。また、ドライバ１１０は、受信した通信メッセージを解析し、当該通信メッセージに含まれるメッセージＩＤや、転送したいデータ本体である通信データなどを取得する。そして、ドライバ１１０は、通信メッセージの受信タイミング、メッセージＩＤや通信データなどの情報を情報処理部１２０に提供する。一方、ドライバ１１０には、情報処理部１２０からメッセージＩＤや通信データ、送信タイミングなどが入力される。ドライバ１１０は、入力されたメッセージＩＤや通信データに基づき、該メッセージＩＤと該通信データとを含む通信メッセージを生成する。そしてドライバ１１０は、入力された送信タイミングで生成した通信メッセージを通信用バス２０へ送信する。
【００６４】
つまり、車両用制御装置１００Ａは、送信させる通信データ等を情報処理部１２０からドライバ１１０に付与する。また、車両用制御装置１００Ａは、該通信データ等を含む通信メッセージをドライバ１１０に作成させ、この作成させた通信メッセージをドライバ１１０から通信用バス２０へ送信させる。また、車両用制御装置１００Ａでは、通信用バス２０に送信されている通信メッセージがドライバ１１０によって受信され、この受信された通信メッセージに含まれている通信データ等がドライバ１１０から情報処理部１２０に取得される。
【００６５】
これにより、車両用制御装置１００Ａの情報処理部１２０は、他の車両用制御装置１００Ｂ〜１００Ｄなどから送信される各種データを、通信用バス２０に流れる通信メッセージから取得する。また、情報処理部１２０は、他の車両用制御装置１００Ｂ〜１００Ｄ等に伝達させる各種データを含む通信メッセージを通信用バス２０に送信することができる。
【００６６】
情報処理部１２０は、車両用ネットワーク及び車両用制御装置１００Ａ〜１００Ｄの異常を検知する異常検知部１２１、検知された異常への対応を行う情報代替部１２２、及び各車両用制御装置１００Ａ〜１００Ｄ毎の制御に従いデータの送受信を行う送受信制御部１２３を備えている。また、情報処理部１２０は、通信メッセージの受信間隔の良否判断に関する各種パラメータである制御間隔規定や異常発生時に用いられる代替用の識別情報である代替用ＩＤに関する情報が記憶された保存領域１２４を備えている。
【００６７】
異常検知部１２１は、車両用制御装置１００Ａが通信用バス２０に送信したデータの送信周期もしくは送信タイミングを算出する。異常検知部１２１は、例えば、算出したデータの送信周期もしくは送信タイミングと、保存領域１２４に保存されている通信規定が示す当該データの送信周期もしくは送信タイミングとが略同一であるときには、該データが正常に送信されていると判断する。一方、異常検知部１２１は、各送信周期の差が、異常の検知用に規定された所定の差以上であるときには、通信用バス２０、車両用制御装置１００Ａ、もしくは該車両用制御装置１００Ａが送信するデータに異常が発生したと判断する。
【００６８】
また、異常検知部１２１は、車両用ネットワークに送信されるエラーフレームの数が異常の検知用に規定された所定回数以上となったとき、車両用ネットワークに異常が発生したと判断する。なお、エラーフレームは、同一の固有ＩＤが関連付けされた異なるデータが同時に送信されたときに、この同時の送信を検知した車両用制御装置１００Ａ〜１００Ｄが送信するものである。
【００６９】
ここで、図３（ａ）に示すように、例えば車両用制御装置１００Ａは、ＣＡＮプロトコルの仕様に基づくデータ通信に際し、通信用バス２０の電位であるバスレベルを「０」と「１」との間で変化させることによってデータ通信を行う。車両用制御装置１００Ａのドライバ１１０は、自身が送信したデータを示すバスレベルと、各通信用バス２０のバスレベルとが一致しているかを監視する。
【００７０】
ここで、例えば、ＤＬＣ２００に不正に接続された不正な外部機器が車両用制御装置１００Ａになりすまして該車両用制御装置１００Ａが送信するデータを模倣したデータを送信したとする。
【００７１】
この結果、図３（ｂ）に示すタイミングｔ１において、車両用制御装置１００Ａが送信したデータと不正な外部機器が送信したデータとが相違するために、車両用制御装置１００Ａが指示したバスレベルと通信用バス２０のバスレベルとの相違が発生する。
【００７２】
そして、車両用制御装置１００Ａのドライバ１１０はビットエラーの発生を認知すると、データの送信エラーが発生した旨を示すエラーフレームを通信用バス２０に送信する。また、ドライバ１１０は、自身が送信したエラーフレームの送信回数をカウントする。なおドライバ１１０は、エラーフレームをカウントするごとに、自身が管理するエラーカウンタに例えば「８」を加算する。逆に、ドライバ１１０は、データの送信に成功したことを検知したとき、カウントしたエラーカウンタから「３」を減算する。
【００７３】
ドライバ１１０は、このようにしてカウントされるエラーカウンタの数が例えば「２５５」を超えたとき、バスレベルの相違するデータもしくは該データを送信する車両用制御装置１００Ａに異常が発生したと判断する。そして、ドライバ１１０は、異常の発生と該データに関連付けされている固有ＩＤとを示す情報を情報処理部１２０の異常検知部１２１に出力する。
【００７４】
異常検知部１２１は、ドライバ１１０から入力される情報に基づき、異常の発生を検知する。また、異常検知部１２１は、ドライバ１１０から入力される固有ＩＤを示す情報に基づき、車両用制御装置１００Ａが送信するデータのうち、異常の発生要因となったデータを特定する。
【００７５】
また、図２に示す情報代替部１２２は、ドライバ１１０から異常の発生及び固有ＩＤを示す情報が入力されると、この固有ＩＤの代替用の識別情報として車両用制御装置１００Ａに保有された代替用ＩＤを、保存領域１２４を参照して選定する。そして、情報代替部１２２は、選定した代替用ＩＤを固有ＩＤに代替すべき旨の指令を送受信制御部１２３に出力する。
【００７６】
なお、図４に示すように、保存領域１２４には、該保存領域１２４が搭載される車両用制御装置１００Ａが送信する各データに割り当てられた固有ＩＤに関する情報である対応情報が登録されている。
【００７７】
例えば、車両用制御装置１００Ａが送信するデータとして、車両１０の走行速度を示す車速データをはじめ、複数の種別のデータが規定されている。また、各種のデータに割り当てられる固有ＩＤとして、「ＩＤ−Ａ１」、「ＩＤ−Ａ２」、…「ＩＤ−Ａｎ」がそれぞれ規定されている。
【００７８】
さらに、本実施の形態では、各固有ＩＤ毎にそれぞれ、代替用ＩＤである「ＩＤ−Ａｃｇ１」、「ＩＤ−Ａｃｇ２」、…「ＩＤ−Ａｃｇｎ」が対応付けされている。各代替用ＩＤは、各固有ＩＤが利用されているデータの送信に伴い発生した異常への対応用として予め用意されたＩＤである。そして、これら保存領域１２４に保存されている代替用ＩＤが、上記情報代替部１２２によるＩＤの代替に用いられる。
【００７９】
送受信制御部１２３は、情報代替部１２２が選定した代替用ＩＤに固有ＩＤを代替すべき指令が入力されると、該固有ＩＤに替えて、代替用ＩＤを対象となるデータに関連付けする。これにより、例えば、車速データが異常の発生要因として特定されたときには、この車速データに関連付けされるＩＤが、「ＩＤ−Ａ１」から「ＩＤ−Ａｃｇ１」に変更される。この結果、車両用制御装置１００Ａは、「ＩＤ−Ａｃｇ１」を関連付けした車速データを通信用バス２０に送信する。
【００８０】
なお、本実施の形態の送受信制御部１２３は、ＩＤの代替が行われたとき、例えば、代替用ＩＤが付与されたデータの送信タイミング、送信周期、送信間隔の少なくとも１つを、所定の範囲内で変更する。
【００８１】
以下、図５及び図６を参照して本実施の形態の車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法による固有ＩＤの代替態様を説明する。なお、図５及び図６の例では、簡単のために、車両用制御装置を示すＥＣＵ１〜ＥＣＵ８には、それぞれ一つの固有ＩＤ及び代替用ＩＤが割り振られたものとなっている。また、各ＥＣＵ１〜ＥＣＵ８には、それらが送信するデータの内容に応じた優先度が規定されている。そして、固有ＩＤ及び代替用ＩＤは、こうした優先度に応じて割り振られている。
【００８２】
図５（ａ）に示すように、ＥＣＵ１〜ＥＣＵ８には、固有ＩＤである固有ＩＤ１〜固有ＩＤ８が割り当てられている。ここでの例では、「ＩＤ１」が最も優先度が高く、「ＩＤ２」、「ＩＤ３」、…「ＩＤ８」といった順に優先度が順次低くなっている。
【００８３】
また、図５（ｂ）に示すように、本実施の形態では、固有ＩＤ１〜固有ＩＤ８の代替用のＩＤとして、「代替用ＩＤ１」〜「代替用ＩＤ８」がそれぞれ設定されている。例えば、「固有ＩＤ」の代替用ＩＤとして「代替用ＩＤ１」が設定されている。さらに、「代替用ＩＤ１」〜「代替用ＩＤ８」はそれぞれ、代替すべき固有ＩＤ１〜固有ＩＤ８よりも、優先度が高いものが設定されている。つまり、ＥＣＵ１の固有ＩＤ１よりも、その代替用ＩＤである「代替用ＩＤ１」の方が、通信規定に基づく優先度が高くなっている。
【００８４】
図６（ａ）に示すように、例えば、ＥＣＵ６の送信するデータに関連付けされる固有ＩＤ６と同一のＩＤが付与されたデータが車両用ネットワークに同時送信されたことによりエラーフレームが発生したとする。すると、上記異常検知部１２１は、固有ＩＤ６もしくは該固有ＩＤ６を送信するＥＣＵ６が異常の発生要因であると特定する。
【００８５】
図６（ｂ）に示すように、異常の発生要因が固有ＩＤ６もしくはＥＣＵ６であると特定されると、情報代替部１２２は、固有ＩＤ６が付与されるデータに付与すべきＩＤを、固有ＩＤ６から「代替用ＩＤ６」に代替する。これにより、固有ＩＤ６が付与されるデータには、該固有ＩＤ６よりも優先度の高い「代替用ＩＤ６」が付与される。
【００８６】
この結果、例えば、不正な外部機器が、正規のＥＣＵ６になりすまして固有ＩＤ６と同一の不正ＩＤを付与した不正なデータの同時送信を行っていたとしても、この不正ＩＤよりも代替用ＩＤ６の方が優先度は高くなる。このため、車両用ネットワークでは、データの同時送信が行われても、不正ＩＤが付与されたデータよりも、代替用ＩＤ６が付与されたデータが優先して送信される。さらに、不正ＩＤと代替用ＩＤ６とはＩＤが相違するため、エラーフレームの発生が抑制される。
【００８７】
次に、図７及び図８を参照して、データの送信側及び受信側の処理手順を説明する。
図７に示すように、データの送信側ではまず、ステップＳ１００にて、例えば、上記車両用制御装置１００Ａが、特定のイベントの発生か通信規定に基づき固有ＩＤ「ＩＤ−Ａ１」を付与したデータを送信する。
【００８８】
次いで、固有ＩＤ「ＩＤ−Ａ１」が付与されたデータの送信タイミングで、固有ＩＤ「ＩＤ−Ａ１」と同一の不正ＩＤが付与されたデータが車両用ネットワークに送信されると、車両用制御装置１００Ａはエラーフレームを車両用ネットワークに送信する（ステップＳ１０１）。
【００８９】
このエラーフレームの送信回数が通信規定に基づき規定されている規定の回数に達すると（ステップＳ１０２：ＹＥＳ）、情報代替部１２２は、保存領域１２４に規定された通信規定を参照する。これにより、情報代替部１２２は、固有ＩＤ「ＩＤ−Ａ１」の代替用のＩＤとして「ＩＤ−Ａｃｇ１」を選定する。また、情報代替部１２２は、選定した「ＩＤ−Ａｃｇ１」を付与したデータを、該データに規定されている送信タイミング、及び送信周期で車両用ネットワークに送信する（ステップＳ１０３）。
【００９０】
こうして、代替用の「ＩＤ−Ａｃｇ１」が付与されたデータの送信処理が完了すると（ステップＳ１０４：ＹＥＳ）、本処理が終了する。
一方、ＩＤがＩＤ「ＩＤ−Ａｃｇ１」に代替されてもなお、例えば、この「ＩＤ−Ａｃｇ１」と同一の不正ＩＤが付与されたデータが車両用ネットワークに同時送信されることによりエラーフレームの発生が抑制されないときには（ステップＳ１０４：ＮＯ）、該データの送信処理が一旦停止される（ステップＳ１０６）。
【００９１】
そして、例えば、所定期間経過後、「ＩＤ−Ａｃｇ１」と同一の不正ＩＤが付与されたデータが車両用ネットワークにされないことが確認されると、車両用制御装置１００Ａは、代替した「ＩＤ−Ａｃｇ１」を付与した正規のデータを、再度、車両用ネットワークに送信する（ステップＳ１０７）。
【００９２】
なお、所定期間が経過しても、エラーフレームが継続して発生するときには、例えば、車両用ネットワークでの異常の発生がユーザに通知されたり、車両用制御装置１００Ａが動作を停止したりする。
【００９３】
図８に示すように、データの受信側となる例えば車両用制御装置１００Ｂ〜１００Ｄでは、車両用制御装置１００Ａからデータが送信されると、このデータに付与された固有ＩＤもしくは代替用ＩＤを識別する。これにより、車両用制御装置１００Ａから送信されたデータの受信の要否が決定される（ステップＳ２００）。
【００９４】
次いで、データの受信が許可され、該データもしくが該データの送信源に起因するエラーフレームが発生していることが検知されると、車両用制御装置１００Ａから送信されたデータに付与されているＩＤが固有ＩＤ及び代替用ＩＤのいずれであるかが判定される（ステップＳ２０１、Ｓ２０２）。なお、車両用制御装置１００Ａから送信されたデータに付与されているＩＤが固有ＩＤ及び代替用ＩＤのいずれであるかは、例えば、先の図４に示されたリストに基づき識別される。
【００９５】
そして、車両用制御装置１００Ａから送信されたデータに付与されているＩＤが固有ＩＤであるときには（ステップＳ２０２：ＮＯ）、例えば、エラーフレームの発生が車両用制御装置１００Ａもしくは該車両用制御装置１００Ａから送信されたデータに起因するものではないと判定される。この結果、データの受信側では、ＣＡＮの通信規定に基づき通常の処理が行われる。
【００９６】
一方、車両用制御装置１００Ａから送信されたデータに付与されているＩＤが代替用ＩＤであるときには（ステップＳ２０２：ＹＥＳ）、この代替用ＩＤが付与されたデータもしくはその送信源である車両用制御装置１００Ａに起因するエラーフレームが継続して発生しているか否かが判定される（ステップＳ２０３）。
【００９７】
ステップＳ２０１で検知されたエラーフレームが既に停止しているとき（ステップＳ２０３：ＮＯ）、ＩＤの代替によって異常が解消されたとして、本処理が終了される。すなわち、代替用ＩＤの付与されたデータが、その受信側となる車両用制御装置１００Ｂ〜１００Ｄ等で処理される。
【００９８】
一方、ステップＳ２０１で検知されたエラーフレームが継続して発生しているとき（ステップＳ２０３：ＹＥＳ）、ＩＤの代替によっても異常が解消されないとして、所定期間、車両用制御装置１００Ａから送信されたデータの受信が一旦許否される（ステップＳ２０５）。
【００９９】
そして、例えば、所定期間経過後、代替用ＩＤと同一の不正ＩＤが付与されたデータが車両用ネットワークにされないことが確認されると、受信側では、一旦許否されたデータの受信が許可される（ステップＳ２０６）。
【０１００】
なお、所定期間が経過しても、エラーフレームが継続して発生するときには、データの受信側となる車両用制御装置１００Ｂ〜１００Ｄ等は、車両用制御装置１００Ａから送信されるデータの受信を禁止する。
【０１０１】
以下、図９及び図１０を参照して本実施の形態の車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法の作用を説明する。
図９に示すように、例えば、正規のＥＣＵ２が正規の固有ＩＤ「ＩＤ：Ｂ」を付与したデータを車両用ネットワークに送信したとする。なお、ここでの例では、ＥＣＵ２は、固有ＩＤ「ＩＤ：Ｂ」の代替用ＩＤとして、「ＩＤ：Ｊ」及び「ＩＤ：Ｙ」を保有している。
【０１０２】
ここで、不正な外部機器が、正規の固有ＩＤ「ＩＤ：Ｂ」と同一のＩＤが付与された不正なデータを、ＥＣＵ２になりすまして車両用ネットワークに送信すると、同一のＩＤが付与された２つのデータが衝突する。
【０１０３】
図１０に示すように、正規のＥＣＵ２は、データの衝突を検知すると、固有ＩＤ「ＩＤ：Ｂ」を例えば代替用ＩＤ「ＩＤ：Ｊ」に代替させる。そして、正規のＥＣＵ２は、この「ＩＤ：Ｊ」を付与したデータを車両用ネットワークに送信する。これにより、本実施の形態では、同一のＩＤが付与されたデータの衝突が解消され、車両用ネットワークエラーが抑制される。
【０１０４】
以上説明したように、本実施の形態にかかる車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法によれば、以下の効果が得られるようになる。
（１）異常検知部１２１が、車両用通信装置の異常を検知し、異常の発生要因となった車両用制御装置もしくはデータを特定した。また、情報代替部１２２が、異常の発生要因として特定されたデータに関連付けされている識別情報である固有ＩＤを、代替用ＩＤに代替した。これにより、車両用通信装置に異常が発生すると、この異常に対する的確な対応が行われる。
【０１０５】
（２）情報代替部１２２は、代替用の識別情報として、車両用制御装置１００Ａ〜１００Ｄ毎であって、各固有ＩＤに対応する代替用ＩＤが用いられた。これにより、各固有ＩＤが付与されるデータが異常の発生要因となっても、個々の固有ＩＤの代替を通じて、異常の解消が促される。
【０１０６】
（３）情報代替部１２２は、固有ＩＤに対応する代替用ＩＤが一つであるとき、異常の発生要因として特定された車両用制御装置に割り当てられている固有ＩＤもしくは異常の発生要因として特定されたデータに関連付けされている固有ＩＤを、該一つの代替用ＩＤに代替した。そして、情報代替部１２２は、代替した代替用ＩＤが関連付けられるデータを車両用通信装置に規定されている送信タイミングもしくは送信周期で送信させた。このため、個々の固有ＩＤに対応する代替用ＩＤが一つであるときの識別情報の代替が円滑に行われる。また、個々の固有ＩＤに対応する代替用ＩＤが一つであることから、データの受信側は、この代替用ＩＤと対応する固有ＩＤとを対として把握することが可能となる。これにより、データの受信側での代替の有無、データの種別、及び送信源等の特定がより容易になる。
【０１０７】
（４）車両用制御装置１００Ａ〜１００Ｄが、代替用ＩＤと固有ＩＤとの対応関係を示す対応情報が記録された保存領域１２４を有した。そして、車両用制御装置１００Ａ〜１００Ｄは、対応情報及び該データの送信タイミング及び送信周期の少なくとも１つに基づき、データの種別もしくはデータの送信源を識別した。このため、データの受信側では、受信したデータの送信タイミングや送信周期に基づき、データの種別やデータの送信源を識別することが可能となる。これにより、たとえ固有ＩＤが代替されたとしても、代替後におけるデータの送受信が円滑に行われる。また、これにより、車両用制御装置１００Ａ〜１００Ｄは、対応情報を参照するだけで、受信したデータに付与されているＩＤが代替用もしくは固有用のいずれであるかを識別することができる。
【０１０８】
（５）車両用制御装置１００Ａ〜１００Ｄの送受信制御部１２３は、代替用ＩＤへの代替が行われたとき、この代替用ＩＤが関連付けされたデータを、該データに規定されている送信タイミングもしくは送信周期を所定時間だけシフトして車両用ネットワークに送信した。これにより、不正データと正規のデータとの衝突が回避される。なお、この場合であれ、シフト量が予め受信側で把握されていたり、データの受信側で、通信規定が示すデータ毎の送信タイミングもしくは送信周期に基づく送信源等の特定に際しての閾値にバッファが設けられたりすることで、受信側でのデータの種別や送信源の特定も可能となる。
【０１０９】
（６）情報代替部１２２は、代替用ＩＤによる代替後、該代替したデータでの異常がさらに検知されたとき、異常の検知されたデータの送信を停止させる処理を実行した。これにより、ＩＤの代替によっても異常が解消されないときには、例えば、正規の車両用制御装置が異常動作していたりするとして、該車両用制御装置のデータの送信が停止される。これにより、車両用通信装置の健全性が的確に維持される。
【０１１０】
（７）異常検知部１２１は、エラーフレームを規定の回数以上検知したか否かに基づき車両用通信装置に異常が発生したことを検知した。情報代替部１２２は、エラーフレームの発生源となったデータに関連付けされている固有ＩＤの代替を行った。このため、同一の固有ＩＤが付与されたデータの衝突が回避され、エラーフレームの発生が抑制される。
【０１１１】
（第２の実施の形態）
次に、本発明にかかる車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法の第２の実施の形態を、第１の実施の形態との相違点を中心に、図１１〜図１５を参照して説明する。なお、本実施の形態にかかる車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法も、その基本的な構成は第１の実施の形態と同等であり、図１１〜図１５においても第１の実施の形態と実質的に同一の要素にはそれぞれ同一の符号を付して示し、重複する説明は割愛する。
【０１１２】
図１１に示すように、本実施の形態では、各車両用制御装置１００Ａ〜１００Ｄの保存領域１２４には、例えば、三つの固有ＩＤである「ＩＤ−Ａ１」、「ＩＤ−Ａ２」、「ＩＤ−Ａ３」の代替用のＩＤとして単一の「ＩＤ−Ａｃｇ１」が規定されている。同様に、三つの固有ＩＤである「ＩＤ−Ａ４」、「ＩＤ−Ａ５」、「ＩＤ−Ａ６」の代替用のＩＤとして単一の「ＩＤ−Ａｃｇ２」が規定されている。
【０１１３】
なお、代替用ＩＤ「ＩＤ−Ａｃｇ１」として、各「ＩＤ−Ａ１」、「ＩＤ−Ａ２」、「ＩＤ−Ａ３」のいずれよりも優先度の高いＩＤが用いられる。同様に、代替用ＩＤ「ＩＤ−Ａｃｇ２」として、各「ＩＤ−Ａ４」、「ＩＤ−Ａ５」、「ＩＤ−Ａ６」のいずれよりも優先度の高いＩＤが用いられる。
【０１１４】
このように、本実施の形態では、ＣＡＮで利用されるＩＤの数に制限があることに鑑み、単一の代替用ＩＤが複数の固有ＩＤの代替用のＩＤとして共有される。
以下、図１２及び図１３を参照して本実施の形態の車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法による固有ＩＤの代替態様を説明する。なお、図１２及び図１３の例では、簡単のために、車両用制御装置を示すＥＣＵ１〜ＥＣＵｎには、それぞれ一つの固有ＩＤが割り振られたものとなっている。また、各ＥＣＵ１〜ＥＣＵｎには、それらが送信するデータの内容に応じた優先度が規定されている。
【０１１５】
図１２（ａ）に示すように、ＥＣＵ１〜ＥＣＵｎには、固有ＩＤである「ＩＤ１」〜「ＩＤｎ」が割り当てられている。ここでの例でも、「ＩＤ１」が最も優先度が高く、「ＩＤ２」、「ＩＤ３」、…「ＩＤｎ」といった順に優先度が順次低くなっている。
【０１１６】
また、図１２（ｂ）に示すように、本実施の形態では、例えば４つの固有ＩＤ「ＩＤ５」〜「ＩＤ８」の代替用のＩＤとして、各固有ＩＤの数の合計値よりも少ない２つの代替用ＩＤ「ＩＤ３」、「ＩＤ４」が設定されている。なお、各代替用ＩＤ「ＩＤ３」、「ＩＤ４」のいずれも、固有ＩＤ「ＩＤ５」〜「ＩＤ８」よりも優先度が高くなっている。
【０１１７】
図１３（ａ）に示すように、例えば、ＥＣＵ８の送信するデータに関連付けされる固有ＩＤ８と同一のＩＤが付与されたデータが車両用ネットワークに同時送信されたことによりエラーフレームが発生したとする。すると、上記異常検知部１２１は、固有ＩＤ８もしくは該固有ＩＤ８を送信するＥＣＵ８が異常の発生要因であると特定する。
【０１１８】
図１３（ｂ）に示すように、異常の発生要因が固有ＩＤ８もしくはＥＣＵ８であると特定されると、情報代替部１２２は、利用可能な代替用ＩＤとして「代替用ＩＤ３」及び「代替用ＩＤ４」が存在することを確認する。次いで、情報代替部１２２は、固有ＩＤ８が付与されるデータに付与すべきＩＤを、固有ＩＤ８から、該固有ＩＤ８よりも優先度の高い「代替用ＩＤ３」に代替する。これにより、固有ＩＤ８が付与されていたデータには、固有ＩＤ８よりも優先度の高い「代替用ＩＤ３」が付与される。
【０１１９】
なお、「代替用ＩＤ３」の利用中には、固有ＩＤ「ＩＤ５」〜「ＩＤ７」に代替可能な代替用ＩＤは「代替用ＩＤ４」の一つとなる。そして、以後、ＩＤの代替が行われる際には、「代替用ＩＤ４」が、固有ＩＤ「ＩＤ５」〜「ＩＤ７」のいずれか一つと代替されることとなる。
【０１２０】
次に、図１４及び図１５を参照して、データの送信側及び受信側の処理手順を説明する。
図１４に示すように、データの送信側ではまず、ステップＳ３００にて、例えば、上記車両用制御装置１００Ａが、規定された特定のイベントが発生したこと、もしくはデータの送信条件が規定されている通信規定に基づき固有ＩＤ「ＩＤ−Ａ１」を付与したデータを送信する。
【０１２１】
次いで、固有ＩＤ「ＩＤ−Ａ１」が付与されたデータの送信タイミングで、固有ＩＤ「ＩＤ−Ａ１」と同一の不正ＩＤが付与されたデータが車両用ネットワークに送信されると、車両用制御装置１００Ａは、エラーフレームを車両用ネットワークに送信する（ステップＳ３０１）。
【０１２２】
このエラーフレームの送信回数が通信規定に基づき規定されている規定の回数に達すると（ステップＳ３０２：ＹＥＳ）、情報代替部１２２は、保存領域１２４に規定された代替用ＩＤの利用状況を確認する（ステップＳ３０３）。
【０１２３】
情報代替部１２２は、利用可能な代替用ＩＤとして代替用の「ＩＤ−Ａｃｇ１」が存在することを確認すると（ステップＳ３０３：ＹＥＳ）、一旦、「ＩＤ−Ａｃｇ１」を固有ＩＤ「ＩＤ−Ａ１」に代替する。そして、送受信制御部１２３は、「ＩＤ−Ａｃｇ１」が付与されたデータを、該データに規定されている送信タイミング、及び送信周期で車両用ネットワークに送信する（ステップＳ３０４）。
【０１２４】
こうして、代替用の「ＩＤ−Ａｃｇ１」が付与されたデータの送信処理が完了すると（ステップＳ３０５：ＹＥＳ）、異常検知部１２１は、エラーフレームが停止したか否かを判定する。
【０１２５】
エラーフレームが停止していると、情報代替部１２２は、エラーフレームが停止していることを条件に代替用の「ＩＤ−Ａｃｇ１」を開放する（ステップＳ３０６）。すなわち、情報代替部１２２は、代替した「ＩＤ−Ａｃｇ１」を付与しているデータに割り当てるべきＩＤとして、該データに規定されている元の固有ＩＤ「ＩＤ−Ａ１」を選定する。
【０１２６】
一方、ＩＤがＩＤ「ＩＤ−Ａｃｇ１」に代替されてもなお、該「ＩＤ−Ａｃｇ１」と同一の不正ＩＤが付与されたデータが車両用ネットワークに同時送信されることによりエラーフレームの発生が抑制されないときには（ステップＳ３０５：ＮＯ）、該データの送信処理が一旦停止される（ステップＳ３０８）。
【０１２７】
そして、例えば、所定期間経過後、「ＩＤ−Ａｃｇ１」と同一の不正ＩＤが付与されたデータが車両用ネットワークにされないことが確認されると、車両用制御装置１００Ａは、代替した「ＩＤ−Ａｃｇ１」を付与した正規のデータを車両用ネットワークに再度送信する（ステップＳ３０９）。
【０１２８】
なお、所定期間が経過しても、エラーフレームが継続して発生するときには、例えば、車両用ネットワークでの異常の発生がユーザに通知されたり、車両用制御装置１００Ａが動作を停止したりする。
【０１２９】
また、ステップＳ３０３にて、利用可能な代替用ＩＤが存在しない、すなわち、代替用ＩＤが全て利用中であると判定されると、データの送信処理が停止される（ステップＳ３１０）。そして、例えば、所定期間経過後、固有ＩＤ「ＩＤ−Ａ１」と同一の不正ＩＤが付与されたデータが車両用ネットワークにされないことが確認されると、車両用制御装置１００Ａは、固有ＩＤ「ＩＤ−Ａ１」を付与した正規のデータを車両用ネットワークに再度送信する（ステップＳ３１１）。
【０１３０】
図１５に示すように、データの受信側となる例えば車両用制御装置１００Ｂ〜１００Ｄでは、車両用制御装置１００ＡからデータであるメッセージＩＤが送信されると、このデータもしくは該データの送信源である車両用制御装置１００Ａが原因となってエラーフレームが発生しているか否かが判定される（ステップＳ４００、Ｓ４０１）。
【０１３１】
エラーフレームが発生しているときには（ステップＳ４０１：ＹＥＳ）、車両用制御装置１００ＡでＩＤの代替が行われる。なお、車両用制御装置１００Ａから送信されたデータに付与されているＩＤが固有ＩＤ及び代替用ＩＤのいずれであるか、並びにいずれの共有用の代替用ＩＤに代替されたか否かは、例えば、先の図１１に示されたリスト、データの送信タイミング、及びデータの送信周期の少なくとも１つに基づき識別される。
【０１３２】
次いで、ＩＤの代替が行われたことによりエラーフレームの発生が解消されたか否かが判定される（ステップＳ４０２）。エラーフレームの発生が解消されると、代替用ＩＤの付与されたデータが、その受信側となる車両用制御装置１００Ｂ〜１００Ｄ等で処理される。
【０１３３】
一方、エラーフレームが継続して発生しているとき（ステップＳ４０２：ＹＥＳ）、ＩＤの代替によっても異常が解消されないとして、所定期間、車両用制御装置１００Ａから送信されたデータの受信が一旦許否される（ステップＳ４０３）。
【０１３４】
そして、例えば、所定期間経過後、代替用ＩＤと同一の不正ＩＤが付与されたデータが車両用ネットワークにされないことが確認されると、受信側では、一旦許否されたデータの受信が許可される（ステップＳ４０４）。
【０１３５】
なお、所定期間が経過しても、エラーフレームが継続して発生するときには、データの受信側となる車両用制御装置１００Ｂ〜１００Ｄ等は、車両用制御装置１００Ａから送信されるデータの受信を禁止する。
【０１３６】
以上説明したように、本実施の形態にかかる車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法によれば、前記（１）〜（７）の効果が得られるとともに、さらに以下の効果が得られるようになる。
【０１３７】
（８）代替用ＩＤが、複数の固有ＩＤの代替用として共有された。このため、代替用ＩＤが用意される上で、必要最小限のＩＤが有効に活用される。
（９）情報代替部１２２は、ＩＤの代替に際し、共有される代替用ＩＤの中に利用されていない代替用ＩＤが存在するとき、固有ＩＤから代替用ＩＤへの代替を実行した。そして、情報代替部１２２は、代替した代替用ＩＤが関連付けられるデータを、通信規定により規定されている送信タイミングもしくは送信周期で送信させる処理を実行した。これにより、ＩＤの代替されたデータを受信した側での代替の有無、及び代替された識別情報が付与されたデータの種別や送信源等の特定も容易となる。
【０１３８】
（１０）情報代替部１２２は、ＩＤの代替に際し、共有される代替用ＩＤの中に利用されていない代替用ＩＤが存在しないとき、異常の発生要因として特定された車両用制御装置が送信するデータもしくは異常の検知されたデータの送信を停止する処理を実行した。これにより、ＩＤの代替が困難なときには、データの送信が停止されることで、このデータの送信に伴う異常の解消が促される。
【０１３９】
（１１）代替用ＩＤが関連付けされているデータの受信側では、該データの送信タイミング及び送信周期の少なくとも１つに基づき、データの種別もしくはデータの送信源が識別された。このため、データの受信側では、受信したデータの送信タイミングや送信周期に基づき、データの種別やデータの送信源を識別することが可能となる。これにより、たとえ固有ＩＤから代替用ＩＤへの代替が実行されたとしても、代替後におけるデータの送受信が円滑に行われる。
【０１４０】
（第３の実施の形態）
次に、本発明にかかる車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法の第３の実施の形態を、第１の実施の形態との相違点を中心に、図１６を参照して説明する。なお、本実施の形態にかかる車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法も、その基本的な構成は第１の実施の形態と同等であり、図１６においても第１の実施の形態と実質的に同一の要素にはそれぞれ同一の符号を付して示し、重複する説明は割愛する。
【０１４１】
図１６に示すように、本実施の形態では、固有ＩＤの優先度、及び送信周期に応じて、割り当てられる代替用ＩＤの数が異なる。なお、固有ＩＤの優先度が高いほど重要性が高く、送信周期が短いほど不正データと衝突する可能性が高まる。このため、本実施の形態では、優先度が高く、かつ送信周期の短いデータの付与される固有ＩＤに対応する代替用ＩＤの数が最も多く設定される。
【０１４２】
ここでの例では、例えば、固有の「ＩＤ１」及び「ＩＤ２」の優先度が「高」であり、それら「ＩＤ１」及び「ＩＤ２」が付与されるデータの送信周期が規定周期以下であるために短周期となる。よって、例えば、固有の「ＩＤ１」、「ＩＤ２」にはそれぞれ、５つの代替用ＩＤが用意されている。
【０１４３】
一方、優先度が「高」であっても、送信周期が所定の周期以上であるために長周期とされるデータに付与される固有の「ＩＤ３」及び「ＩＤ４」は、相対的に周期が長いために不正データと衝突する可能性が低いとして、それぞれ２つの代替用ＩＤが用意されている。
【０１４４】
なお、長周期であっても、優先度が低い固有の「ＩＤ５」及び「ＩＤ６」については、重要性が低いとして、それぞれ３つの代替用ＩＤが用意されている。
そして、本実施の形態では、例えば、複数の代替用ＩＤが用意された固有の「ＩＤ１」でエラーフレームが発生すると、ランダム方式かラウンドロビン方式により５つの代替用ＩＤの中から一つの代替用ＩＤが選択される。この選択された代替用ＩＤによってもなおエラーフレームが発生するときには、残る４つの代替用ＩＤの中からランダム方式かラウンドロビン方式により一つの代替用ＩＤが選択される。なお、ラウンドロビン方式により選択されるときは、優先度が順次高くなる態様で代替用ＩＤが選択される。
【０１４５】
こうして、同一のＩＤが付与されたデータの衝突が解消されるまで、代替用ＩＤが随時変更される。
以上説明したように、本実施の形態にかかる車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法によれば、前記（１）〜（７）の効果が得られるとともに、さらに以下の効果が得られるようになる。
【０１４６】
（１２）優先度が高く、かつ送信周期の短いデータの付与される固有ＩＤに対応する代替用ＩＤの数が最も多く設定された。このため、重要性が高く、かつデータの衝突が発生しやすいデータに付与される代替用ＩＤの多様化が図られる。よって、多様な代替用ＩＤが用いられることで、この代替用ＩＤが模倣され難くなる。
【０１４７】
（１３）優先度が高いＩＤほど、代替用ＩＤの数が最も多く用意された。このため、優先度が高いために規定の周期で送信する必要性の高いデータが、複数の代替用ＩＤが用いられることで不正データとの衝突の回避がされ易くなる。
【０１４８】
（他の実施の形態）
なお、上記各実施の形態は、以下のような形態をもって実施することもできる。
・上記各実施形態では、受信側での固有ＩＤ及び代替用ＩＤの識別が、図４等に示されたリストに基づき行われた。これに限らず、データの送信タイミング及びデータの送信周期の少なくとも１つが、固有ＩＤの付与されていたデータと近似するか否かに基づき、固有ＩＤが代替用ＩＤに代替されたことが識別されてもよい。
【０１４９】
・上記各実施形態では、異常検知部１２１、情報代替部１２２が、情報処理部１２０に配置された。この他、異常検知部１２１、情報代替部１２２は、車両用制御装置１００Ａ〜１００Ｄの他の部分に配置されていてもよい。これにより、車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法の設計にかかる自由度が高められるようになる。
【０１５０】
・上記第１及び第３の実施の形態では、各車両用制御装置１００Ａ〜１００Ｄが、異常検知部１２１及び情報代替部１２２を備えた。これに限らず、車両用ネットワークの異常に対応する専用の制御装置やゲートウェイが、異常検知部１２１及び情報代替部１２２を備えてもよい。これによれば、専用の制御装置やゲートウェイは、図１７に示すように、各車両用制御装置１００Ａ〜１００Ｄの送信データに割り当てられた固有ＩＤ及び代替用ＩＤに関する情報を保有する。そして、エラーフレームの送信源となる車両用制御装置及びデータが特定されると、該車両用制御装置に対してＩＤの代替指示が行われる。同様に、上記第２の実施の形態において、車両用ネットワークの異常に対応する専用の制御装置やゲートウェイが、異常検知部１２１及び情報代替部１２２を備えてもよい。この構成では、図１８に示すように、各車両用制御装置１００Ａ〜１００Ｄの送信データに割り当てられた固有ＩＤ及び共有用の代替用ＩＤに関する情報を、専用の制御装置やゲートウェイが保有する。
【０１５１】
・上記第１及び第３の各実施の形態では、ＩＤの規定順序において、固有ＩＤ及び代替用ＩＤが交互に用いられた。これに限らず、図１９に例示するように、固有の「ＩＤ１」〜「ＩＤ４」、「ＩＤ５」〜「ＩＤ８」がＩＤの規定順序において連続するときには、例えば、その他の空きＩＤが、代替用ＩＤとして用いられてもよい。
【０１５２】
・上記第１の実施の形態では、図４に例示したように、各固有ＩＤに一つの代替用ＩＤが設定された。これに限らず、図２０に示すように、各固有ＩＤに複数の代替用ＩＤが設定されてもよい。これによれば、複数の代替用ＩＤが、例えば優先度に応じたラウンドロビン方式によって順次選択される。また、例えば、複数の代替用ＩＤが、ランダム方式によって順次選択される。
【０１５３】
・上記各実施の形態では、異常検知部１２１は、異常の発生要因となった車両用制御装置１００Ａ〜１００Ｄもしくはデータを特定した。車両用制御装置１００Ａ〜１００Ｄが送信するデータが一種類であるときには、各車両用制御装置１００Ａ〜１００Ｄに割り当てられる固有ＩＤが１つとなる。このため、異常検知部１２１は、衝突の発生したデータを送信する車両用制御装置を異常の発生要因として特定してもよい。これによれば、情報代替部１２２は、異常の発生要因として特定された車両用制御装置に割り当てられている単一の固有ＩＤを代替用ＩＤに代替する。
【０１５４】
・上記各実施の形態では、代替後のデータの種別や送信源の特定が、データの送信タイミングや送信周期に基づき行われた。これに限らず、情報代替部１２２が、ＩＤの代替を行ったときは、代替した固有ＩＤ及び代替用ＩＤに関する情報を、データの送信先に送付してもよい。これによれば、データの受信側では、情報代替部１２２から送信される情報に基づき、代替の有無、データの種別、及び送信源等を特定することが可能となる。
【０１５５】
・上記各実施の形態では、ＩＤの代替が行われたとき、代替用ＩＤが付与されたデータの送信タイミング、送信周期、送信間隔の少なくとも１つが、所定の範囲内で変更された。これに限らず、ＩＤの代替が行われたとにおいて、代替用ＩＤが付与されたデータが、代替前と同一の送信タイミング、同一の送信周期、同一の送信間隔で送信されてもよい。
【０１５６】
・上記各実施の形態では、不正データとして、不正な外部機器から送信されたデータが対象とされた。この他、不正データとしては、外部の車両用ネットワークからの不正アクセスにより、通信用バス２０に不正に送信されたデータであってもよい。また、通信用バス２０に不正に取り付けられた制御装置から通信用バス２０に不正に送信されたデータであってもよい。
【０１５７】
・上記各実施の形態では、異常検知部１２１が、エラーフレームの回数に基づいて異常の発生を検知した。この他、異常検知部１２１は、車両用ネットワークに送信されるデータの送信間隔と該データに規定されている送信間隔との差が所定の間隔未満となったか否かに基づき、異常が発生したことを検知してもよい。これによれば、情報代替部１２２は、規定の送信間隔との差が所定の差未満となったデータに関連付けされる固有ＩＤの代替を行う。また、異常検知部１２１は、車両用ネットワークに送信される単位時間当たりのデータ量が所定のデータ量以上となったか否かに基づき、異常が発生したことを検知してもよい。これによれば、異常検知部１２１は、例えば、通信用バス２０の負荷が例えば約７０％以上になったことをもって、異常の発生を検知する。そして、情報代替部１２２は、単位時間当たりのデータ量が所定のデータ量以上となったデータに関連付けされる固有ＩＤの代替を行う。
【０１５８】
・上記各実施の形態では、車両用ネットワークとしてＣＡＮが採用された。これに限らず、車両ネットワークとは、通信プロトコルを運用する上でデータの通信形式が規定されたものであればよく、例えば、フレックスレイ、ＩＤＢ−１３９４、ＢＥＡＮ、ＣＡＮ、ＬＩＮ、ＡＶＣ−ＬＡＮ、ＭＯＳＴ（登録商標）等であってもよい。
【０１５９】
・上記実施形態では、車両１０が自動車である場合について例示された。これに限らず、自動車以外の移動体、例えば鉄道、産業機械やロボットなどに適用されてもよい。これにより、車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法の適用範囲の拡大が図られる。
【符号の説明】
【０１６０】
１０…車両、２０…通信用バス、１００Ａ−１００Ｄ…車両用制御装置、１１０…ドライバ、１２０…情報処理部、１２１…異常検知部、１２２…情報代替部、１２３…送受信制御部、１２４…保存領域、２００…ＤＬＣ。
【図１】
2014226946.tif 000003
【図２】
2014226946.tif 000004
【図３】
2014226946.tif 000005
【図４】
2014226946.tif 000006
【図５】
2014226946.tif 000007
【図６】
2014226946.tif 000008
【図７】
2014226946.tif 000009
【図８】
2014226946.tif 000010
【図９】
2014226946.tif 000011
【図１０】
2014226946.tif 000012
【図１１】
2014226946.tif 000013
【図１２】
2014226946.tif 000014
【図１３】
2014226946.tif 000015
【図１４】
2014226946.tif 000016
【図１５】
2014226946.tif 000017
【図１６】
2014226946.tif 000018
【図１７】
2014226946.tif 000019
【図１８】
2014226946.tif 000020
【図１９】
2014226946.tif 000021
【図２０】
2014226946.tif 000022