(57)【特許請求の範囲】
【請求項１】
受信したデータを保留して処理を遅延させる遅延手段を備え、
他のネットワーク装置から保留しているデータに関する不正検知通知を受信した場合には、正当なデータに対して行われる処理を中止し、
所定期間、前記不正検知通知を受信しなかった場合は遅延させたデータを転送することを特徴とするネットワーク装置。
【請求項２】
請求項１に記載のネットワーク装置において、
他のネットワーク装置へデータを転送する機能を有し、
不正検知通知を受信した場合には、保留しているデータの転送を中止することを特徴とするネットワーク装置。
【請求項３】
請求項１に記載のネットワーク装置において、
不正検知通知を受信した場合には、保留しているデータを破棄することを特徴とするネットワーク装置。
【請求項４】
請求項１に記載のネットワーク装置において、
不正検知通知を受信した場合には、保留しているデータを処理しないことを特徴とするネットワーク装置。
【請求項５】
請求項１に記載のネットワーク装置において、
受信したデータのうち、所定の条件を満たすデータを保留して処理を遅延させることを特徴とするネットワーク装置。
【請求項６】
請求項５に記載のネットワーク装置において、
前記所定の条件は、データの識別子によって規定され、
保留して処理を遅延させるデータの識別子を任意に設定可能であることを特徴とするネットワーク装置。
【請求項７】
請求項１に記載のネットワーク装置において、
データを保留して処理を遅延させる遅延期間を任意に設定可能であることを特徴とするネットワーク装置。
【請求項８】
請求項７に記載のネットワーク装置において、
不正検知通知の所要時間を演算する不正検知通知時間測定手段を備え、
前記遅延期間は、前記不正検知通知時間測定手段により演算した前記所要時間に基づいて設定されることを特徴とするネットワーク装置。
【請求項９】
請求項１に記載のネットワーク装置と、
該ネットワーク装置と接続される他のネットワーク装置とを備えて構成され、
前記他のネットワーク装置は、該他のネットワーク装置に関する特定識別子を持つデータを受信した場合に、不正検知通知を送信し、
前記ネットワーク装置は、該ネットワーク装置が保留しているデータに関する不正検知通知を受信した場合には、保留しているデータを破棄することを特徴とするネットワークシステム。
【請求項１０】
請求項１に記載のネットワーク装置において、
前記遅延手段は所定の条件に該当する場合、遅延処理を行い、
前記条件とは、前記受信したデータのデータ・フィールドの一部が前記受信したデータより前に取得されたデータの値から変化した場合であることを特徴とするネットワーク装置。
【請求項１１】
請求項１に記載のネットワーク装置において、
前記遅延手段は所定の条件に該当する場合、遅延処理を行い、
前記条件とは、前記受信したデータのデータ・フィールドの一部が所定の値、又は範囲外となった場合であることを特徴とするネットワーク装置。
【請求項１２】
請求項１に記載のネットワーク装置において、
前記遅延手段は所定の条件に該当する場合、遅延処理を行い、
前記条件とは、前記受信したデータと前記受信したデータより前に取得されたデータとの差分が所定値以上となった場合であることを特徴とするネットワーク装置。
【請求項１３】
請求項１に記載のネットワーク装置において、
前記遅延手段は所定の条件に該当する場合、遅延処理を行い、
前記条件とは、前記受信したデータより前に取得されたデータから前記受信したデータまでの受信周期が設計周期と比較して異常となった場合であることを特徴とするネットワーク装置。
【請求項１４】
請求項１に記載のネットワーク装置において、
前記不正検知通知は、IDを固定ＩＤとし、データ・フィールドになりすまし攻撃発生ＩＤを含み、
前記固定IDを高い優先度で用いることを特徴とするネットワーク装置。
【請求項１５】
請求項１に記載のネットワーク装置において、
前記不正検知通知は、IDをなりすまし攻撃が発生したデータＩＤ、データ・フィールドを含まないことを特徴とするネットワーク装置。
【請求項１６】
請求項１に記載のネットワーク装置において、
前記不正検知通知は、IDをなりすまし攻撃が発生したデータＩＤとし、データ・フィールドは正常時データとすることを特徴とするネットワーク装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク装置およびネットワークシステムに関する。
【背景技術】
【０００２】
本技術分野の背景技術として、特開２００１−２８５９６２号公報（特許文献１）がある。この公報には、「コントローラになりすました偽装機器が各端末を不正に操作してしまうなどの不具合を未然に防止することができる安全性にすぐれたホームネットワークシステムを提供する」ことを目的とし、解決手段として、「ホームネットワークシステム上で伝送される電文を監視し、各電文の中に、コントローラが送信元ではないのに同コントローラのアドレスと同じアドレスを送信元として有する電文が有れば、コントローラになりすました偽装機器による不正なアクセスが存在するとの判断の下に、コントローラから各端末へ遠隔制御受付禁止命令を送信し、一方、各エアコン端末では、遠隔制御受付禁止命令を受信した際に、コントローラからの命令を無視するモードを設定する」と記載されている。【０００３】
また、特開２００４−２５３９０８号公報（特許文献２）がある。この公報には、「送信していないにもかかわらず送信元が自アドレスとなっている不正データを検出することにより、自身になりすましている機器が存在することを検出することが可能な不正データ検出方法及び車載機器を提供する」ことを目的とし、解決手段として「車載通信ネットワークに接続される車載機器の制御部を、送信した通信データ（パケット）に関する送信パケット情報を作成する手段、送信元が自アドレスの通信データを検出する送信データ検出手段、及び、検出した通信データに基づいて、送信していないにもかかわらず送信元が自アドレスとなっている不正データを検出する不正データ検出手段として動作させる。制御部は、作成した送信データ情報及び検出した通信データに基づいて、不正データを検出する」と記載されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００１−２８５９６２号公報
【特許文献２】特開２００４−２５３９０８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ネットワークを介した不正攻撃として、不正機器が不正なデータを送信し、機器の異常動作を引き起こす攻撃事例（後述するなりすまし攻撃など）がある。【０００６】
従来技術において、特許文献１については、なりすまし攻撃を検知し、その後の通信（遠隔制御）を禁止する命令を発行することにより、なりすまし攻撃に対策する方法が記載されている。また特許文献２については、なりすまし攻撃の検知方法として、ネットワーク上に送信されているデータと、内部に保持する送信データとを比較して判定する方法が記載されている。【０００７】
しかし、特許文献１の方法はなりすまし攻撃発生後の対処方法であり、なりすまし攻撃の最初のデータに関して、機器が攻撃を防御する方法について記載が無い。特許文献２ではなりすまし攻撃を検知および攻撃の発生を通知するのみで、具体的な攻撃の防御方法について記載が無い。【０００８】
本発明は上記状況に鑑みて為されたものであり、なりすまし攻撃などによる不正なデータに対するネットワーク装置又はネットワークシステムの安全性を向上させることを目的とする。
【課題を解決するための手段】
【０００９】
本発明は、受信したデータを保留して処理を遅延させる遅延手段を備え、他のネットワーク装置から保留しているデータに関する不正検知通知を受信した場合には、正当なデータに対して行われる処理を中止することを特徴とする。
【発明の効果】
【００１０】
本発明によれば、なりすまし攻撃などによる不正なデータに対するネットワーク装置又はネットワークシステムの安全性を向上させることが可能となる。
【図面の簡単な説明】
【００１１】
【図１】データ受信時の制御部における遅延判定処理を表すフローチャートである。
【図２】システムの例である。
【図３】ネットワークシステム内部構成の例である。
【図４】ネットワーク装置の構成例である。
【図５】ネットワーク装置のソフトウェアモジュール構成の例である。
【図６】ネットワーク上の通信プロトコルにおけるデータ構造の例である。
【図７】ネットワーク上のデータ送信およびなりすまし攻撃の例である。
【図８】フィルタテーブルの例である。
【図９】ネットワーク装置におけるなりすまし判定処理フローチャートの例である。
【図１０】制御部におけるアラーム受信時処理および不正検知通知受信時処理のフローチャートの例である。
【図１１】なりすまし攻撃に対して第１の実施例を適用した場合の例である。
【図１２】不正検知対応処理におけるメッセージ情報表示の例である。
【図１３】異常ログ情報を有する場合のネットワーク装置のソフトウェアモジュール構成の例である。
【図１４】第２の実施例におけるフィルタテーブルの例である。
【図１５】第２の実施例における制御部の遅延判定処理を表すフローチャートである。
【図１６】第２の実施例における制御部のアラーム受信時処理を表すフローチャートである。
【図１７】第４の実施例における制御部の不正検知通知時間測定処理を表すフローチャートである。
【図１８】ネットワーク上の通信プロトコルにおけるデータ構造の例である。
【図１９】ネットワーク上の通信プロトコルにおけるデータ構造の例である。
【図２０】バッファに保留されたデータの例である。
【図２１】異常ログ情報の例である。
【発明を実施するための形態】
【００１２】
以下、本発明の好適な実施形態を説明する。本実施形態にかかるネットワーク装置は、ネットワークを介して受信したデータを保留して処理を遅延させる遅延手段を備え、他のネットワーク装置から保留しているデータに関する不正検知通知を受信した場合には、正当なデータに対して行われる処理を中止するものである。具体的には、ネットワーク装置は、受信したデータを所定時間保留するように構成されており、この間、転送処理や制御処理を遅延させる。不正検知通知を受信したネットワーク装置は、遅延させている該当データがなりすまし攻撃によるデータと判断し、このデータを破棄するか、または処理しないように制御される。なお、受信したデータを保留する所定時間は、データを保留する観点からは保留時間ということができ、処理を遅延させる観点からは遅延時間ということができる。
【００１３】
本実施形態にかかるネットワーク装置は、主には車載ネットワークなどの周期的なデータ送受信を行うネットワークにおける装置およびシステムの動作について説明してあり、車載ネットワーク装置および車載ネットワークにおけるネットワークシステム（即ち、データ送受信システム）の実施に好適であるが、ネットワーク装置およびデータ送受信システム以外への適用を妨げるものではない。
【実施例１】
【００１４】
＜ネットワークシステムの構成＞
図２は本実施例のネットワーク装置を有するシステムの概要である。【００１５】
１は自動車など内部にネットワークシステムを有する制御システム、２は例えば車載ネットワーク（ＣＡＮ：Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ、Ｅｔｈｅｒｎｅｔ（登録商標）等）により構成されるネットワークシステム、３は、制御システム１の外部と無線通信（例えば携帯電話の通信、無線ＬＡＮ、ＷＡＮ、等のプロトコルを使用した通信）を行う無線通信部、４は、例えばネットワーク２と異なる、または同一のプロトコルを用いたネットワークシステム、５は、例えば、診断端子（ＯＢＤ）やＥｔｈｅｒｎｅｔ端子、外部記録媒体（例えばＵＳＢメモリ、ＳＤカード、等）端子などを有し、有線接続を行いネットワークシステム２にアクセスを行う有線通信部、６は、ネットワークシステムに有線または無線で接続され、ネットワークシステムから送出されるデータを受信し、メッセージ情報（例えば映像、音）など必要な情報を表示または出力する、液晶ディスプレイ、警告灯、スピーカなどの出力装置、を示している。【００１６】
ネットワークシステム２は、ネットワークシステム４、無線通信部３、有線通信部５、出力装置６、などと接続され、それぞれ情報の送受信を行う。【００１７】
図３は、ネットワークシステム２の内部構成例を示している。３０１はネットワーク上のネットワーク装置を接続するネットワークリンクであり、例えばＣＡＮバスなどのネットワークバス、３０２はネットワークバス３０１および図示していないＨ／Ｗ（例えばセンサ、アクチュエータ）やネットワークバス３０１以外のネットワーク（専用線含む）に接続され、Ｈ／Ｗの制御およびネットワークとのデータ送受信を行うＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔ：電子制御ユニット）、３０３はネットワークバス間を接続し、それぞれのネットワークバスとデータの送受信を行うゲートウェイ（以下ＧＷ）を示している。【００１８】
ＧＷ３０３とＥＣＵ３０２については、それぞれＧＷ機能を有するＥＣＵ、またはＥＣＵの機能を有するＧＷと、両方の機能を有する場合がある。【００１９】
また、ＧＷ３０３やＥＣＵ３０２など、ネットワークバスで接続される装置のことをネットワーク装置とも呼び、例えば、出力装置６をネットワーク装置が制御する。【００２０】
ＥＣＵ３０２はネットワークから受信したデータをもとに、Ｈ／Ｗへの制御信号の出力、ネットワークへの制御信号および情報の出力、内部状態の変更、などの制御処理を行う。これらネットワークから受信したデータに応じた処理をデータ対応制御処理と呼ぶ。【００２１】
ＧＷ３０３は複数のネットワークバスに接続されている場合があり、それぞれのバスについてＩＤを付与して内部処理時にどのバスに対する処理かの識別を行う。この識別を行うＩＤをバスＩＤと呼ぶ。バスＩＤについては「Ｃｈａｎｎｅｌ  ＩＤ」とも呼ぶ。【００２２】
ネットワークシステムのトポロジについては、ここではＣＡＮで用いられるバス型の接続を示しているが、本発明はスター型、メッシュ型、リング型などの異なるトポロジにおいても同様に適用可能である。【００２３】
図４は、本実施例にかかるネットワーク装置であるＧＷ３０３またはＥＣＵ３０２の内部構成の一例である。４０１はキャッシュやレジスタなどの記憶素子を持ち、制御を実行するＣＰＵなどのプロセッサ、４０２は複数のネットワークバス３０１に対してデータの送受信を行う通信Ｉ／Ｆ、４０３は図示しないクロックなどを使用し、時間および時刻の管理を行うタイマ、４０４はプログラムおよび不揮発性のデータを保存するＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、４０５は揮発性のデータを保存するＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）、４０６はＥＣＵ内部での通信に用いられる内部バスを示している。【００２４】
ＥＣＵ３０２の内部構成に関しても、ＧＷ３０３の内部構成と同様であるが、各ネットワークバス３０１間でデータの転送処理を行わない点のみが異なる。【００２５】
次にＣＰＵ４０１で動作するソフトウェアモジュールの構成について図５に示す。５０２は、通信Ｉ／Ｆ４０２の動作および状態を管理し、内部バス４０６を介し通信Ｉ／Ｆ４０２に指示を行う通信管理部、５０３は、タイマ４０３を管理し、時間に関する情報取得や制御を行う時間管理部、５０１は通信Ｉ／Ｆ４０２から取得したデータの解析や、ソフトウェアモジュール全体の制御を行う制御部、５０４は後述するフィルタテーブル、５０５はデータを保留することによりデータ処理の遅延を行う遅延手段としてのバッファを表している。【００２６】
これら図５の構成についてはプロセッサ４０１上の動作概念を示したものであり、動作時に必要な情報はＲＯＭ４０４およびＲＡＭ４０５から適宜取得、またはＲＯＭ４０４およびＲＡＭ４０５に適宜書き込みを行い動作する。
＜ネットワークプロトコルの例＞
図６に、ネットワークバス３０２上での通信プロトコルにおけるデータ構造の例を示す。ここではＣＡＮを使用した場合のフレームのデータ構造を示している。ここでの数値はフィールドごとのビット数を表している。【００２７】
ＣＡＮでは同一バス上に接続されたネットワーク装置が、送信時にバス信号をドミナント（０）に設定し、送信時または受信時にバス信号のドミナント（０）またはリセッシブ（１）を検知することにより通信を行う。【００２８】
ＳＯＦ（Ｓｔａｒｔ  Ｏｆ  Ｆｒａｍｅ）はフレームの開始位置を示しており、フレームの同期を取るためにも用いられている。【００２９】
識別子（ＩＤ）は、データのＩＤ（以下データＩＤ）を示しており、データＩＤによりデータの種類を識別可能である。【００３０】
ＩＤおよびＲＴＲ（Ｒｅｍｏｔｅ  Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｒｅｑｕｅｓｔ）ビットをアービトレーション・フィールドと呼び、このフィールドでバスのアービトレーション（調停）を行っている。【００３１】
ＲＢ１、ＲＢ０は予約ビットであり、図６（ａ）の例では常にドミナントが入力される。一方、ＲＢ０の値がリセッシブの場合には、図６（ｂ）のような拡張フォーマットを表し、ＩＤを２９ビットで表現可能となる。拡張フォーマットのデータ・フィールド以降の構成は図６（ａ）と同様である。【００３２】
データ長コードは、データ・フィールドのデータ長（バイト数）を表している。【００３３】
データ・フィールドは、送信するデータの内容を示しており、Ｎバイト分のデータが可変長で送信される。データ・フィールドのことをペイロードとも呼ぶ。【００３４】
ＣＲＣ・フィールドはフレームのＣＲＣが入力され、ＣＲＣ境界はアクノリッジとの境界のために、常にリセッシブで送信される。【００３５】
アクノリッジは、受信ノード（ネットワーク装置）が正しくデータを受信した場合に、応答のためにアクノリッジビットをドミナントにする。このようにして送信データの応答を返す。【００３６】
ＥＯＦ（Ｅｎｄ  Ｏｆ  Ｆｒａｍｅ）はフレームの終端を示し、７ビットのリセッシブとなっている。【００３７】
このようなフォーマットでデータの送受信を行っている。【００３８】
車載ネットワークなどでは、特定のネットワーク装置が定期的にネットワークに対して自ネットワーク装置が観測した値（例えばセンサの値）を発信し、別のネットワーク装置に状態を通知する処理などを行っている。【００３９】
ＣＡＮではデータの送信時にアービトレーション・フィールドで調停を行っており、同時に送信を開始した場合、優先度の低い（ＩＤが大きい、つまり調停期間により少なくドミナントを送信した）ネットワーク装置は送信を中断する。そのため各ネットワーク装置が周期的にデータを送信したい場合でも、調停の結果中断が発生、または送信開始タイミングに他ネットワーク装置がデータを送信している場合、送出周期がずれる可能性がある。このように、データの送出タイミングが重複する、またはデータを送信したい時に、バスを使用されている、などの状態を衝突と呼ぶ。【００４０】
ここではＣＡＮの通信プロトコルを例に説明している。Ｅｔｈｅｒｎｅｔ等他の通信プロトコルの例については別の実施例にて説明する。
＜通信Ｉ／Ｆにおけるデータ送受信処理および転送処理＞
通信Ｉ／Ｆ４０２のデータ受信処理として、例えば設計時に定められた受信が必要なデータＩＤをプロセッサ４０１がフィルタテーブル５０４から読み出し、通信Ｉ／Ｆ４０２に指定する。指定を受けた通信Ｉ／Ｆ４０２はネットワークバス３０１で送信される信号を監視し、指定されたデータＩＤを有するデータがネットワークバス３０１上で送信された場合に、そのデータを受信し、データを受信したことをそのデータと共にプロセッサ４０１に通知する、といったデータ受信処理を行う。【００４１】
同様に通信Ｉ／Ｆ４０２のデータ送信処理としては、プロセッサ４０１からデータの送信処理指示と送信する情報を受信した場合に、必要な情報を付加しネットワークプロトコルに合わせたデータ形式でネットワークバス３０１に対してデータを送信する。【００４２】
あるネットワークバス（転送元）にて受信処理を行ってデータを受信し、受信したデータを別のネットワークバス（転送先）に対してデータを送信することを転送処理と呼ぶ。
＜出力装置におけるメッセージ情報の出力方法＞
出力装置６でのメッセージ情報出力方法として、出力装置６は、ＧＷ３０３やＥＣＵ３０２と専用線、またはネットワークバス３０１などの通信路で接続されており、通信路から、例えば通信プロトコルで定めた形式でのデータ（例えば、データＩＤ０ｘ３００のデータは警告画面表示要求、データＩＤ０ｘ３０１のデータは警告画面で表示する後述する異常ログ情報、等）を受信し、そのデータに対応した図形や文字情報などの映像情報を作成し、出力装置６が有するディスプレイに表示する。またはデータ（例えばデータＩＤ０ｘ３０２は警告灯点灯要求、そのデータのペイロードが警告灯の点灯パターンを指定）を基に警告灯を点灯する。またはデータ（例えばデータＩＤ０ｘ３０３は警告音声出力要求、そのデータのペイロードが警告音声のパターンを指定）を基に、出力装置６が内部に保持する音声パターンの音声を出力する。【００４３】
これら制御により、制御システムの状態（特に異常発生）について、ユーザーに対してメッセージ情報を出力することにより通知する。
＜なりすまし攻撃の例＞
次に図７を用いて、本実施例で主に防御の対象とするなりすまし攻撃の例について説明する。【００４４】
図７は、それぞれ異なるネットワークバスであるネットワークバスＡとネットワークバスＢにおけるデータ送信の例を示しており、横軸が時間、図の四角形がデータ・フレームの送信期間を表している。７０１が図６で示したデータ・フレームを表し、一定周期ごとに、データ・フレームが送信されている状況を表している。ここでは簡略化のために、ある特定ＩＤを持つデータ・フレームのみを記載している。【００４５】
７０２がなりすまし攻撃により送信されたデータ・フレームを示しており、同一のＩＤを持っているが、異なるタイミングでデータを送信している。【００４６】
またＧＷ３０３は、ネットワークバスＡのデータ・フレーム７０１をネットワークバスＢに転送する。転送した結果のデータ・フレームを７０３とし、同様にネットワークバスＡのなりすまし攻撃によるデータ・フレーム７０２をネットワークバスＢに転送した結果のデータ・フレームを７０４とする。【００４７】
ここでネットワークバスＢに存在する、なりすまし攻撃が発生したＩＤのデータを受信するネットワーク装置は、どちらのデータが正しいかを判定することができず、誤った動作を行う可能性がある。
＜なりすまし攻撃の防御動作＞
次に、なりすまし攻撃の防御動作例ついて以下に示す。ここでは図３におけるＧＷ３０３が本実施例にかかるネットワーク装置である場合について例に示す。【００４８】
ＧＷ３０３が有するフィルタテーブル５０４の形式について、図８を用いて説明する。フィルタテーブル５０４は、処理の対象となるデータのＩＤを示すデータＩＤ８０２、データ転送元ネットワークバスのバスＩＤ８０３、データ転送先ネットワークバスのバスＩＤ８０４、対応するデータＩＤが監視対象か否かを表す監視対象フラグ８０５、データＩＤごとの遅延時間８０６により構成される。【００４９】
ここでデータ転送元バスＩＤ８０３およびデータ転送先バスＩＤ８０４については、ＧＷ３０３が転送を行うネットワークバスが一対の場合には、それぞれ記載する必要が無く、いずれかのネットワークバスにおいて、フィルタテーブル５０４に記載のあるデータＩＤのデータを受信した場合には、反対のネットワークバスに転送を行えば良い。このような場合には、データ転送元バスＩＤ８０３およびデータ転送先バスＩＤ８０４は不要である。【００５０】
監視対象フラグ８０５は、ここでは“○”が監視対象であり、“×”が監視対象で無いことを示している。監視対象フラグ８０５についても、すべてのデータＩＤのデータを監視対象とする場合には、不要となる。【００５１】
データＩＤごとの遅延時間８０６は、後述する遅延処理により各データを遅延させる時間を示すものである。これは設計情報によりあらかじめ設定される。また遅延時間はデータＩＤごとに可変ではなく、全データＩＤに関して固定（例えば全て５００μｓｅｃ）でも良い。その場合フィルタテーブル５０４の遅延時間８０６は不要となる。【００５２】
これらフィルタテーブル５０４に登録されている情報は全てシステム設計時に決定され、システムの起動以前に登録されている。フィルタテーブル５０４の値をシステム起動後に変更する例については別の実施例にて説明する。
＜遅延判定処理＞
次にＧＷ３０３での制御部５０１でのデータ受信時の処理内容について説明する。まず、通信Ｉ／Ｆ４０２がネットワークバス３０１からデータを受信した場合、通信管理部５０２が受信を検知し、検知したタイミングでデータの受信時刻を時間管理部５０３から取得し、制御部５０１に対して、受信したデータの内容、およびデータの受信時刻を通知する。【００５３】
通信管理部５０２から通知を受信した制御部５０１は、データがフィルタテーブル５０４に存在している、つまり処理対象のデータである場合、図１に示すフローチャートの遅延判定処理を行う。【００５４】
具体的にはまず、受信データのデータＩＤが、フィルタテーブル５０４が示す監視対象であるか否かを判定する（Ｓ１０１）。受信データのデータＩＤがフィルタテーブル５０４が示す監視対象ではない場合（Ｓ１０１：Ｎｏ）、フィルタテーブル５０４に記載の情報を基に、受信したデータの転送処理を実行する（Ｓ１０２）。【００５５】
ステップＳ１０１の判定において、受信データのデータＩＤが、フィルタテーブル５０４が示す監視対象である場合（Ｓ１０１：Ｙｅｓ）は、データ遅延処理を行う（Ｓ１０３）。データ遅延処理においては、受信データをバッファ５０５に保留する。バッファ５０５に保留する際には、データＩＤとデータ・フィールドを関連付けて保存しておく。バッファ５０５におけるデータ保留例について図２０に示す。ここでは３つのデータを保留している例について記載している。それぞれデータＩＤ２００１、受信時刻２００２、データ長２００３、データ２００４の値を保持している。ここでデータ２００４の値については、データ・フィールドの値のみだけでなく、データ全体を記録しておいても良い。そのようにすることにより、転送時のＣＲＣの再計算やヘッダ作成が不要となる。追加で保留するデータについてはこの表の形式で順次追加し、転送または破棄した場合にはテーブルから削除していく。【００５６】
次に、遅延時間を管理するためにアラームを設定する（Ｓ１０４）。このアラームは、遅延時間が経過したことを判断するために用いられるものである。アラームの設定時刻は、受信データのデータＩＤに関する遅延時間８０６をフィルタテーブル５０４から取得し、データの受信時刻に遅延時間を加算した時刻にアラームを受信するように設定する。またアラームを受信した際に、アラームを設定した時に受信したデータのデータＩＤが解るように、アラームのパラメータにデータＩＤを含むように設定を行う。
＜ＥＣＵでのなりすまし判定処理＞
ここではＥＣＵ３０２で行われるなりすまし判定処理について説明する。なりすまし攻撃が発生した場合、ＧＷ３０３でなりすまし攻撃のデータを遅延させている間に、本来そのデータを送信するべきＥＣＵ３０２がなりすましを検知し、不正検知通知を送信する。その処理について説明する。【００５７】
ＥＣＵ３０２においてもＧＷ３０３での処理同様、通信Ｉ／Ｆ４０２がネットワークバス３０１からデータを受信した場合、通信管理部５０２が受信を検知し、検知したタイミングでデータの受信時刻を時間管理部５０３から取得し、制御部５０１に対して、受信したデータの内容、およびデータの受信時刻を通知する。【００５８】
図９は、ＥＣＵ３０２の制御部５０１においてデータ受信時に実行されるなりすまし判定処理のフローである。まず制御部５０１は、受信したデータが、自ＥＣＵが送信すべきＩＤか否かの判定（自送信ＩＤ判定）を行う（Ｓ９０１）。【００５９】
自送信ＩＤ判定方法としては、自ＥＣＵが送信すべきデータＩＤの一覧を設計情報から保持しておき、その一覧に記載のデータＩＤのデータを受信した場合に、自送信ＩＤ受信と判定する。【００６０】
自送信ＩＤ受信で無い場合は（Ｓ９０１：Ｎｏ）、ＥＣＵ３０２が通常そのデータＩＤのデータを受信した場合の処理（即ち、正当なデータに対して行われる処理）をおこない、特になりすまし攻撃に対する処理を行わない（Ｓ９０２）
自送信ＩＤ受信の場合は（Ｓ９０１：Ｙｅｓ）、次に自ＥＣＵが送信したデータか否かの判定（自己送信有無判定）を行う（Ｓ９０３）。自ＥＣＵが送信したデータのループバック（自分が送信したデータを受信）の場合にはなりすまし攻撃ではないため、その判定が必要である。【００６１】
自己送信有無判定としては、例えばＥＣＵの受信処理において自ＥＣＵが送信したデータを常に受信する場合には、データ送信時に送信済フラグをＯＮにし、同一データＩＤのデータを受信した場合（自己の送信データ受信）には、送信済フラグをＯＦＦにし、処理を終了する（Ｓ９０３：Ｙｅｓ）。送信済フラグがＯＦＦにもかかわらず同一データＩＤのデータを受信した場合（自己の送信データでは無い）には、自ＥＣＵ（即ち、正規の自ＥＣＵ）以外に自身になりすます不正なＥＣＵによるなりすまし攻撃と判定し次の処理を行う（Ｓ９０３：Ｎｏ）
また別の受信処理の形態として、自ＥＣＵが送信したデータは受信しない（送信中は受信処理を行わない）場合には、自己送信有無判定は常に“自己送信無し”と判定する（Ｓ９０３：Ｎｏ）。これは自送信データを受信することは無いため、自送信ＩＤを受信した場合には、常になりすまし攻撃が発生しているとみなせるためである。【００６２】
自己が送信していない自送信ＩＤのデータを受信した場合には、不正検知通知を送信する（Ｓ９０４）不正検知通知のデータ構造については後述する。【００６３】
このようにしてＥＣＵ３０２でなりすまし攻撃が発生していることを検知し、ＧＷ３０３に対してネットワークバス３０１を介して不正検知を通知する。
＜不正検知通知のデータ構造＞
ＥＣＵ３０２がＳ９０４にて送信する不正検知通知のデータ構造について説明する。【００６４】
不正検知通知のデータ構造の例としては下記３つのパターンがあり、あらかじめＥＣＵ３０２とＧＷ３０３がどの例を使用するかを設計時に決定する。
（１）ＩＤは固定ＩＤ（不正検知通知用）データ・フィールドになりすまし攻撃発生ＩＤ
（２）ＩＤはなりすまし攻撃が発生したデータＩＤ、データ・フィールドなし
（３）ＩＤはなりすまし攻撃が発生したデータＩＤ、データ・フィールドは正常時データ
まず（１）のパターンを用いることにより、例えば固定ＩＤを高い優先度（システムで使用する最高優先度）を用いることにより、アービトレーションで不正検知通知のデータを送信できないということを防ぐことが可能となる。【００６５】
また（２）のパターンを用いることにより、既存のデータＩＤを用いた処理が可能となり、新規で不正検知通知用のＩＤを追加することが不要となる。さらにデータ・フィールドを持たないことにより早期にデータの送受信が完了し、通知が早く行われることになる。【００６６】
また（３）のパターンを用いることにより、（２）と同様に既存のデータＩＤを用いた処理が可能となり、新規で不正検知通知用のＩＤを追加することが不要となる。さらに正常なデータを送付していることから、誤ってなりすまし攻撃による不正なデータを受信したＥＣＵ３０２が不正なデータにより処理を実施してしまった場合でも、直後に正常なデータにより処理を再実施（訂正）することが可能となる。
＜ＧＷでの遅延判定処理後の処理＞
次に、ＧＷ３０３で遅延判定処理によりデータを遅延させた後の処理について図１０を用いて説明する。図１０は遅延判定処理実施後の制御部５０１の処理フローである。【００６７】
遅延判定処理実施後に、図１のＳ１０４で設定したアラームを受信した場合の処理（図１０（ａ））について説明する。アラームを受信した場合には、所定時間に、ＥＣＵ３０２から不正検知通知が行われなかったと考えられるため、遅延させたデータを転送させる処理（即ち、正当なデータに対して行われる処理）を実施する。そのために、アラーム設定時に設定したパラメータからデータＩＤを取得し（Ｓ１００１）、そのデータＩＤに関連するデータ・フィールドをバッファ５０５から取得し、転送先ネットワークバスに転送する転送処理を行う（Ｓ１００２）。【００６８】
一方、遅延判定処理実施後に不正検知通知を受信した場合の処理（図１０（ｂ））については、不正検知通知のデータ構造に含まれるデータＩＤを取得し（Ｓ１００３）、Ｓ１０４で設定したアラームを解除し（Ｓ１００４）、取得したデータＩＤに対応するバッファ５０５のデータを破棄する処理を行う（Ｓ１００５）。その後必要に応じて不正検知対応処理を行う（Ｓ１００６）。不正検知対応処理の例については後述する。【００６９】
このようにして、遅延させたデータに対し、所定期間不正検知通知を受信しなかった場合にはデータを転送し、不正検知通知を受信した場合にはデータを破棄する処理を行う。【００７０】
このような処理を行った場合のなりすまし攻撃発生時のネットワーク上のデータについて図１１に示す。なりすまし攻撃が発生している状況については、図７の場合と同様である。ここで１１０２が、ＧＷ３０３における遅延処理による遅延時間（遅延期間）を示している。１１０１は不正検知通知のデータを表している。【００７１】
正常なデータの送信７０１においては、遅延期間において不正検知通知が無いため、ネットワークバス２に転送される。一方で、なりすまし攻撃７０２が発生した場合には、なりすまし攻撃を検知したＥＣＵ３０２が不正検知通知を送信する。ＧＷ３０３が遅延期間にその不正検知通知を受信した場合には、ＧＷ３０３はなりすまし攻撃のデータを破棄し、データを転送しない。これにより、なりすまし攻撃のデータをネットワーク２に対して転送することを防ぐことが可能となる。なお、ＧＷ３０３は、不正検知通知を受信した場合に、なりすまし攻撃のデータを破棄する代わりに、その後の処理（この場合には、転送）を中止するように制御されるものであってもよい。【００７２】
所定時間の判定方法として、本実施例ではアラームを使用したが、定期的な現在時刻のチェック（ポーリング）により、各データの遅延時間の到来を確認しても良い。その場合にはアラームなどのリソースを使用せずに、遅延時間を確認することが可能となる。【００７３】
またアラームにデータＩＤのパラメータを付与困難な場合は、アラームを受信した際に、バッファ５０５に保留してあるデータを確認し、データの受信時刻と遅延時間を加算した時刻より、現在時刻が大きいデータのデータＩＤを、Ｓ１００１のアラーム対象ＩＤ取得のＩＤとしても良い。このようにすることにより、アラームへのパラメータ付与が不要となる。
＜不正検知対応処理：メッセージ情報出力＞
なりすまし攻撃を検知した場合の不正検知対応処理Ｓ１００６の例として、なりすまし攻撃が発生したことをユーザーに通知する例について説明する。その場合のＧＷ３０３のソフトウェア構成を図１３に示す。ここではＲＡＭ４０５またはＲＯＭ４０４に記録する異常ログ情報１３０４を追加する。【００７４】
Ｓ１００５などでＧＷ３０３によりなりすまし攻撃によるデータを破棄した場合に、後述する異常ログ情報１３０４に、なりすまし攻撃が発生した（破棄した）データのデータＩＤ、データ・フィールド、最新発生時刻、今までの発生回数の累積、発生したバスＩＤ、などを異常ログ情報として記録する。異常ログ情報の例を図２１に示す。ここではデータＩＤ２１０１、最新発生時刻２１０２、累積発生回数２１０３、発生バスＩＤ２１０４、データ・フィールド２１０５、を記録している例を示している。【００７５】
なりすまし攻撃が発生していることを通知するために、例えばなりすまし攻撃を検知したネットワーク装置が出力装置６に対して異常ログ情報を通信路を介して通知し、出力装置６がメッセージ情報を表示する。メッセージ情報の出力方法については上記に記載の通りである。【００７６】
メッセージ情報表示の例を図１２に示す。１２００は出力装置６が有するディスプレイ全体、１２０１が表示されているメッセージ情報例を示している。メッセージ情報の内容としては、なりすまし攻撃を検出したデータＩＤ、累積での発生回数、最新の発生時刻、なりすまし攻撃を検知したバスＩＤ、等の情報が表示されている例を示している。これらの情報を提示することにより、ユーザーに対してネットワークで異常が発生していることと、さらにその詳細な内容を、ユーザーに対して警告として通知することが可能になる。＜不正検知対応処理：フェールセーフ＞
その他の不正検知対応処理例として、ネットワークシステム全体をフェールセーフな状態とするために、制御部５０１は、あらかじめ定められた特定の信号（警告信号）を、ネットワークバス３０１に送信するように処理を行う。警告信号を受信したＥＣＵ３０２またはＧＷ３０３は異常が発生していることを検知し、システムを安全な状態で停止するような処理（例えばＨ／Ｗをあらかじめ定められた最も安全な状態に制御した後に、システムを停止、その他通信機器にもフェールセーフ実行の旨を通知、等）を実行する。このようにすることにより、異常が検知された場合にシステムを安全な状態で停止を行うことが可能になる。【００７７】
異常を検知したネットワーク装置が警告信号を送信する対象としては、異常を検出したバス以外のネットワークバス、別のネットワークシステム、無線通信部３、有線通信部５、などに通知を行うことによりシステム全体をフェールセーフ状態とすることが可能となる。【００７８】
特に警告信号に、なりすまし攻撃が発生したと判断した該当するデータＩＤを含むことにより、そのデータＩＤに該当する処理のみフェールセーフを実施し、それ以外のデータＩＤを持つデータは攻撃発生と判断しないことにより、該当するデータに関してのみフェールセーフ動作を実行することも可能となる。【００７９】
以上のように、本実施例にかかるネットワーク装置及びネットワークシステムは、なりすまし攻撃などによって侵入し得る不正なデータに対する安全性を向上させることができる。従って、なりすまし攻撃からネットワーク装置やネットワークシステムを防御する（即ち、攻撃成立を阻止する）ことができ、ネットワーク装置又はネットワークシステムが不正なデータによって誤動作してしまうのを良好に防止できる。
【実施例２】
【００８０】
次に、後述する遅延処理条件に一致するデータのみを遅延させ、それ以外のデータについては遅延を行わない例について説明する。【００８１】
実施例２におけるネットワーク装置の構成は、実施例１の場合と同様であり、ＧＷ３０３の制御部５０１における遅延判定処理、およびアラーム受信時処理、フィルタテーブル５０４の構成、が異なる。【００８２】
実施例２におけるフィルタテーブル５０４の構成について図１４に示す。本実施例においては、フィルタテーブル５０４に、遅延処理条件１４０１を追加している。遅延処理条件の詳細については後述する。【００８３】
次に制御部５０１の遅延判定処理フローについて図１５に示す。ここで異なる点は、監視対象のＩＤ（特定識別子）のデータであることを判定した後に（Ｓ１０１：Ｙｅｓ）、受信したデータが遅延処理条件１４０１と一致しているかを判定する（Ｓ１５０１）処理を追加している。遅延処理条件と一致している場合（Ｓ１５０１：Ｙｅｓ）、実施例１の場合と同様に、Ｓ１０３、Ｓ１０４を実施する。遅延処理条件と一致していない場合（Ｓ１５０１：Ｎｏ）、次回の遅延処理条件の判定用に、前回受信データとして受信したデータをデータＩＤと関連付けてバッファ５０５に保存する（Ｓ１５０２）。ここでのデータの保存の形式は、図２０の場合と同様である。データの保存については、後述する遅延処理条件の判定において、前回のデータを必要としない場合には保存しなくてもよい。【００８４】
次にアラーム受信時処理の差異について図１６を用いて説明する。実施例１と異なる点は、Ｓ１００２の処理の後にＳ１６０２の該当データを保存する処理が追加されている点である。ここでの該当データ保存処理としては、Ｓ１５０２の処理と同様である。【００８５】
遅延処理条件の例としては、データ・フィールドについて、
・いずれかが前回値と比べ変化（データ・フィールドのいずれか、または特定部分が変化）
・いずれかの値が、あらかじめ定められた特定条件（値・範囲、設計数値外等）となった
・特定のデータについて、差分が大きい（例：差分が５以上で、特定データが０ｘ１０から０ｘ１５になった場合は該当）
・前回受信時刻からの時間（周期）が設計周期と比較して異常
・条件なし（全てが遅延処理条件に該当）
といった例が挙げられる。これら条件については設計時に検討し、あらかじめフィルタテーブル５０４に登録しておく。設計周期についても、同様にフィルタテーブル等に必要に応じて記録しておく。【００８６】
これらの遅延処理条件に該当するデータについては、例えばＥＣＵ３０２が受信した場合に、特徴的な動作を行うことが多く、攻撃の対象となりやすい。そこでそれらデータについては遅延処理を行い、不正検知通知を待つようにする。また逆に上記にあてはまらないデータについては、ＥＣＵ３０２が受信した場合にも特徴的な動作を行うことは少ないため、不正検知通知を待たずに転送をする。【００８７】
以上のように、本実施例にかかるネットワーク装置及びネットワークシステムによれば、特定条件のデータのみを遅延させることにより、リアルタイム性を確保することが可能となる。
【実施例３】
【００８８】
次に、ＥＣＵ３０２において遅延処理を行い、なりすまし攻撃から防御を行う例について説明する。実施例１および２との違いは、遅延判定処理におけるＳ１０２またはＳ１００２の転送処理、およびアラーム受信時処理における該当データ転送処理が、ＥＣＵにおけるデータ対応制御処理に置き換わる点と、フィルタテーブル５０４の構造において、データ転送元バスＩＤ８０３およびデータ転送先バスＩＤ８０４が不要となる点である。それ以外の構造は同様である。【００８９】
これにより、ＥＣＵ３０２においても、なりすまし攻撃によるデータを受信した場合でも、即座にデータ対応制御処理を実行せず、不正検知通知を受信することによりなりすまし攻撃のデータを破棄し、なりすまし攻撃を防ぐことが可能になる。【００９０】
また、特定の遅延処理条件を満たすデータのみを遅延処理の対象とすることにより、それ以外のデータに関する処理を遅延させることを防ぐことが可能となる。
【実施例４】
【００９１】
次に、フィルタテーブル５０４におけるデータ（対応するデータＩＤが監視対象か否かを表す監視対象フラグ８０５、データＩＤごとの遅延時間８０６、遅延処理条件１４０１）について、制御システム１の起動後などに決定する例について説明する。【００９２】
ＥＣＵ３０２は起動処理後など任意のタイミングで、ＧＷ３０３に対して監視対象決定通知を送信する。監視対象決定通知は、例えば通知専用のデータＩＤ（例えば０ｘ５００など）と、データ・フィールドに、監視対象となるデータＩＤ、遅延時間、遅延処理条件、などを含んでいる。【００９３】
監視対象決定通知を受信したＧＷ３０３は監視対象決定通知に含まれる監視対象となるデータＩＤについて、監視対象フラグ８０５を監視対象とし、遅延時間、遅延処理条件を設定する。このようにすることにより、例えばネットワーク構成が変更になった場合でも、ＧＷ３０３のフィルタテーブル５０４における監視対象となるデータＩＤと遅延時間、遅延処理条件を自動的に設定することが可能になり、あらかじめＧＷ３０３に登録しておくことが不要となる。【００９４】
さらに、遅延時間をＧＷ３０３が計算する例について説明する。この例では、ＧＷ３０３が不正検知通知の所要時間を演算する不正検知通知時間測定手段を備えており、この所要時間に基づいて遅延期間が設定される。図１７はＧＷ３０３の制御部５０１における不正検知通知時間測定処理である。この処理は例えば制御システム１の起動時などに実行される。【００９５】
制御部５０１は、遅延時間を測定したいデータＩＤについて、ネットワークバス３０１にそのデータＩＤを持つデータを送信し、疑似的になりすまし攻撃を発生させ（Ｓ１７０１）、時間測定を開始する（Ｓ１７０２）。疑似的ななりすまし攻撃を受信したＥＣＵ３０２は、実施例１の場合と同様になりまし判定処理（図９）を実施し、不正検知通知をネットワークバス３０１に送信する。ＧＷ３０３は、該当するデータＩＤに関する不正検知通知を受信するまで待ち（Ｓ１７０３：Ｎｏ）、不正検知通知を受信した後に（Ｓ１７０３：Ｙｅｓ）、時間測定を停止し（Ｓ１７０４）、測定した時間を基に遅延時間を計算し、該データＩＤに関する遅延時間として登録する。【００９６】
遅延時間の計算方法としては、測定時間（時間測定開始から時間測定停止までの時間）を直接遅延時間とする方法や、測定時間に固定値（たとえば１００μｓｅｃ）を追加して遅延時間とする方法。複数回の不正検知通知時間測定処理を実施し、その平均や最悪値を用いる方法、などがある。【００９７】
このように測定することにより、遅延時間の事前の登録が不要となり、それぞれのデータＩＤについて、実環境における処理遅延やネットワーク遅延を測定し、フィルタテーブル５０４の遅延時間として登録することが可能となる。【００９８】
不正検知通知時間測定処理については、疑似なりすまし攻撃により他のＥＣＵが誤動作を起こさないように、データ・フィールドについて疑似なりすまし攻撃であることを示すフラグ、データ・フィールドにおけるデフォルト値（設計情報により事前に決定）、直前にＥＣＵ３０２が使用したデータ、をデータ・フィールドの値として用いることにより、他のＥＣＵの誤動作（攻撃成立）を防ぐことが可能となる。【００９９】
以上のように、本実施例にかかるネットワーク装置及びネットワークシステムによれば、遅延に関する情報を各ネットワーク装置が自ら通知、またはネットワーク上で疑似的なデータを送信して通知の遅延を測定することにより、ネットワーク構成変更を容易化することができる。
【実施例５】
【０１００】
次に、ネットワークバス３０１のデータとして、ＥｔｈｅｒｎｅｔおよびＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）のデータが送信される場合について説明する。Ｅｔｈｅｒｎｅｔのデータ（フレーム）構造について図１８に示す。（ａ）はＤＩＸ形式の構造であり、（ｂ）はＩＥＥＥ８０２．３形式の構造を表している。【０１０１】
プリアンブルおよびＳＦＤ（Ｓｔａｒｔ  Ｆｒａｍｅ  Ｄｅｌｉｍｉｔｅｒ）とは通信の同期を取るための固定パターンのデータ、宛先アドレスとはデータ送信先のアドレス、送信元アドレスとはデータ送信元のアドレス、タイプとは上位層のプロトコルの種別を示す値、長さとはデータ部分の長さ（オクテット：８ｂｉｔ単位）、データはデータのペイロード、ＦＣＳ（Ｆｒａｍｅ  Ｃｈｅｃｋ  Ｓｅｑｕｅｎｃｅ）はフレームのエラーを検出するためのフィールド、を表しており、数値はそれぞれのフィールドの長さ（オクテット単位）を示している。【０１０２】
このように通信プロトコルとしてＥｔｈｅｒｎｅｔを使用した場合でも、送信元アドレスを詐称するなりすまし攻撃は発生する。その際にも、実施例１から４の場合のデータＩＤに代わり、送信元アドレスを使用することにより、同様に実施することが可能である。【０１０３】
また図１９では、通信プロトコルとしてＩＰのパケット（データ）の形式を示している。この例においても同様に送信元アドレスのフィールドを用いることにより、同様に実施可能である。【０１０４】
実施例１から４の例においては、送信データが不正検知通知であるか否かを表すためにデータＩＤを用いていたが、Ｅｔｈｅｒｎｅｔの場合には“タイプ”のフィールド、ＩＰの場合には“フラグ”または“プロトコル”または“拡張情報”のフィールドを用いて、そのデータが不正検知通知のデータであると示すことも可能である。【０１０５】
以上説明した実施例によれば、なりすまし攻撃等により不正なデータを送信された場合でも、データの転送処理を遅延させ、さらに正規ネットワーク装置からの不正検知通知を受信した場合に前記データを破棄することにより、なりすまし攻撃のデータ転送を防御することが可能となる。【０１０６】
また別の例では、遅延を行うデータについてさらに条件（遅延処理条件）を設定することにより、攻撃の可能性が高い、または異常な動作を発生させる可能性が高いデータのみを遅延させ、それ以外のデータを遅延させずに通過させることにより、怪しいデータのみは遅延させて確認を行い、それ以外のデータは遅延させずにリアルタイム性を確保することが可能となる。【０１０７】
また別の例では、ＥＣＵ３０３でデータ対応制御処理を遅延させることにより、各ＥＣＵでなりすまし攻撃を防御することが可能となる。【０１０８】
また別の例では、フィルタテーブルの各種パラメータを起動後に各ＥＣＵから通知することにより、ネットワーク構成が変更になった場合でも容易に対応可能であり、また遅延時間について起動後に測定することにより、事前に遅延時間の決定が不要となり、ネットワークの状態に合わせた遅延時間を自動的に決定することが可能となる。【０１０９】
また通信プロトコルとして、ＣＡＮ以外の通信プロトコル（Ｅｔｈｅｒｎｅｔ、ＩＰ）などの場合についても、同様にＧＷにて遅延処理を行い、ＥＣＵが送信元アドレスのなりすましを検知して不正検知を通知することにより、なりすまし攻撃を防御することが可能となる。
【符号の説明】
【０１１０】
１…制御システム，２…ネットワークシステム，３…無線通信部，４…ネットワークシスム，５…有線通信部，６…出力装置，３０１…ネットワークバス，３０２…ＥＣＵ，３０３…ＧＷ，４０１…プロセッサ，４０２…通信Ｉ／Ｆ，４０３…タイマ，４０４…ＲＯＭ，４０５…ＲＡＭ，５０１…制御部，５０２…通信管理部，５０３…時間管理部，５０４…フィルタテーブル，５０５…バッファ，１２００…ディスプレイ，１２０１…メッセージ情報，１３０４…異常ログ情報
【図１】
0006012867.tif 000002
【図２】
0006012867.tif 000003
【図３】
0006012867.tif 000004
【図４】
0006012867.tif 000005
【図５】
0006012867.tif 000006
【図６】
0006012867.tif 000007
【図７】
0006012867.tif 000008
【図８】
0006012867.tif 000009
【図９】
0006012867.tif 000010
【図１０】
0006012867.tif 000011
【図１１】
0006012867.tif 000012
【図１２】
0006012867.tif 000013
【図１３】
0006012867.tif 000014
【図１４】
0006012867.tif 000015
【図１５】
0006012867.tif 000016
【図１６】
0006012867.tif 000017
【図１７】
0006012867.tif 000018
【図１８】
0006012867.tif 000019
【図１９】
0006012867.tif 000020
【図２０】
0006012867.tif 000021
【図２１】
0006012867.tif 000022