(57)【要約】      （修正有）【課題】車載通信システムの通信負荷を過大にすることなく、車載通信システムへの不正なアクセスを阻害する技術を提供する。【解決手段】状態信号を出力する第１ノードと、前記状態信号を受け取る第２ノードと、を備える車載通信システムであって、車載通信システムのＥＣＵ２００は、前記第１ノードの動作を阻害する外因の不存在下で、前記状態信号をバス１２０に対して繰り返し出力する通信部を含む。【選択図】図３
2018007208.tif 000002
【特許請求の範囲】
【請求項１】
状態信号を出力する第１ノードと、
前記状態信号を受け取る第２ノードと、を備え、
前記第１ノードは、前記第１ノードの動作を阻害する外因の不存在下で、前記状態信号を繰り返し出力する通信部を含む
車載通信システム。
【請求項２】
前記第２ノードは、前記状態信号を所定期間受け取らないならば、前記外因の存在を通知する通知信号を生成する
請求項１に記載の車載通信システム。
【請求項３】
前記通信部は、前記所定期間より短い時間間隔で前記状態信号を繰り返し出力する
請求項２に記載の車載通信システム。
【請求項４】
前記時間間隔は、一定である
請求項３に記載の車載通信システム。
【請求項５】
前記時間間隔は、不定である
請求項３に記載の車載通信システム。
【請求項６】
前記第１ノードと前記第２ノードとを含む複数のノードに電気的に接続されたバスを更に備え、
前記複数のノードは、互いに異なる識別子が付された信号を前記バスへそれぞれ出力し、
前記第１ノードは、第１識別子が付された通信信号を生成する信号生成部と、前記通信部が前記第１ノード以外のノードから受け取った受信信号に付された識別子が、前記第１識別子であるか否かを判定する判定部と、を含み、
前記判定部が、前記受信信号に付された前記識別子が前記第１識別子であると判定すると、前記通信部は、前記状態信号の出力を停止する
請求項１乃至５のいずれか１項に記載の車載通信システム。
【請求項７】
前記信号生成部は、前記状態信号を符号化する
請求項６に記載の車載通信システム。
【請求項８】
前記信号生成部は、メッセージ認証符号を用いて、前記状態信号を符号化する符号化部を含み、
前記第２ノードは、前記状態信号の符号化に用いられた共通鍵を用いて、前記状態信号を復号する復号部を含む
請求項６に記載の車載通信システム。
【請求項９】
前記第１ノード及び前記第２ノードそれぞれは、エンジンを制御するように設計されたエレクトロニックコントロールユニットである
請求項１乃至８のいずれか１項に記載の車載通信システム。
【請求項１０】
前記第１ノード及び前記第２ノードそれぞれは、ブレーキを制御するように設計されたエレクトロニックコントロールユニットである
請求項１乃至８のいずれか１項に記載の車載通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車載通信システムに関する。
【背景技術】
【０００２】
車載通信システムは、自動車に対する様々な制御に利用される。しかしながら、近年、車載通信システムの脆弱性がしばしば指摘されている。特許文献１は、従来の車載通信システムが抱える脆弱性を克服するための技術を開示する。
【０００３】
特許文献１の開示技術は、車載通信システムに組み込まれた複数のエレクトロニックコントロールユニット（以下、「ＥＣＵ」と称される）間でやりとりされる信号全てを、メッセージ認証符号を用いて符号化し、車載通信システムへの不正アクセスを防止する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１３−９８７１９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１の開示技術は、車載通信システム内でやりとりされる信号のビット数を増加させる。この結果、過大な通信負荷が、車載通信システムに加わることとなる。
【０００６】
本発明は、車載通信システムの通信負荷を過大にすることなく、車載通信システムへの不正なアクセスを阻害する技術を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明の一局面に係る車載通信システムは、状態信号を出力する第１ノードと、前記状態信号を受け取る第２ノードと、を備える。前記第１ノードは、前記第１ノードの動作を阻害する外因の不存在下で、前記状態信号を繰り返し出力する通信部を含む。
【０００８】
上記構成によれば、第１ノードの通信部は、第１ノードの動作を阻害する外因の不存在下で、状態信号を繰り返し出力するので、状態信号を受け取った第２ノードは、第１ノードが、外因に曝されていないことを知ることができる。この間、第２ノードは、外因に対処する処理をしなくてもよいので、車載通信システムの通信負荷は、過度に大きくならない。
【０００９】
上記構成に関して、前記第２ノードは、前記状態信号を所定期間受け取らないならば、前記外因の存在を通知する通知信号を生成してもよい。
【００１０】
上記構成によれば、第２ノードは、状態信号を所定期間受け取らないならば、外因の存在を通知する通知信号を生成するので、車載通信システムは、外因に対処する処理を実行しうる。
【００１１】
上記構成に関して、前記通信部は、前記所定期間より短い時間間隔で前記状態信号を繰り返し出力してもよい。
【００１２】
上記構成によれば、通信部は、所定期間より短い時間間隔で状態信号を繰り返し出力するので、第２ノードは、所定期間内の状態信号の未受信を条件として、外因の存在を適切に判断することができる。
【００１３】
上記構成に関して、前記時間間隔は、一定であってもよい。
【００１４】
上記構成によれば、状態信号が送信される時間間隔は、一定であるので、状態信号を出力するための処理は、簡素化される。
【００１５】
上記構成に関して、前記時間間隔は、不定であってもよい。
【００１６】
上記構成によれば、状態信号が送信される時間間隔は、不定であるので、状態信号を模擬する外因は、車載通信システムに組み込まれにくくなる。
【００１７】
上記構成に関して、車載通信システムは、前記第１ノードと前記第２ノードとを含む複数のノードに電気的に接続されたバスを更に備えてもよい。前記複数のノードは、互いに異なる識別子が付された信号を前記バスへそれぞれ出力してもよい。前記第１ノードは、第１識別子が付された通信信号を生成する信号生成部と、前記通信部が前記第１ノード以外のノードから受け取った受信信号に付された識別子が、前記第１識別子であるか否かを判定する判定部と、を含んでもよい。前記判定部が、前記受信信号に付された前記識別子が前記第１識別子であると判定すると、前記通信部は、前記状態信号の出力を停止してもよい。
【００１８】
上記構成によれば、バスに電気的に接続された複数のノードは、互いに異なる識別子が付された信号を出力するので、第１ノードは、外因の不存在下では、他のノードから第１識別子が付された信号を受け取らない。第１ノードの判定部が、第１ノード以外のノードからの受信信号に付された識別子が第１識別子であると判定すると、通信部は、状態信号の出力を停止するので、第２ノードは、外因の存在を適切に検出することができる。
【００１９】
上記構成に関して、前記信号生成部は、前記状態信号を符号化してもよい。
【００２０】
上記構成によれば、信号生成部は、状態信号を符号化するので、状態信号の内容は、解析されにくい。したがって、状態信号を模擬する外因は、車載通信システムに組み込まれにくくなる。
【００２１】
上記構成に関して、前記信号生成部は、メッセージ認証符号を用いて、前記状態信号を符号化する符号化部を含んでもよい。前記第２ノードは、前記通知信号の符号化に用いられた共通鍵を用いて、前記状態信号を復号する復号部を含んでもよい。
【００２２】
上記構成によれば、第１ノードの符号化部は、メッセージ認証符号を用いて、状態信号を符号化するので、状態信号の内容は、解析されにくい。したがって、状態信号を模擬する外因は、車載通信システムに組み込まれにくくなる。第２ノードの復号部は、状態信号の符号化に用いられた共通鍵を用いて、状態信号を復号するので、第２ノードは、外因が存在していることを認識することができる。
【００２３】
上記構成に関して、前記第１ノード及び前記第２ノードそれぞれは、エンジンを制御するように設計されたエレクトロニックコントロールユニットであってもよい。
【００２４】
上記構成によれば、第１ノード及び第２ノードは、エンジンを制御するように設計されたエレクトロニックコントロールユニットであるので、エンジンへの制御に対する不正な処理は阻害される。
【００２５】
上記構成に関して、前記第１ノード及び前記第２ノードそれぞれは、ブレーキを制御するように設計されたエレクトロニックコントロールユニットであってもよい。
【００２６】
上記構成によれば、第１ノード及び第２ノードは、ブレーキを制御するように設計されたエレクトロニックコントロールユニットであるので、ブレーキへの制御に対する不正な処理は阻害される。
【発明の効果】
【００２７】
上述の技術は、車載通信システムの通信負荷を過大にすることなく、車載通信システムへの不正なアクセスを阻害することに貢献する。
【図面の簡単な説明】
【００２８】
【図１】第１実施形態の車載通信システムの概念的なブロック図である。
【図２】図１に示される車載通信システムの概念的なブロック図である。
【図３】第２実施形態のＥＣＵの機能構成を表す概略的なブロック図である。
【図４】状態信号の生成処理の概略的なフローチャートである。
【図５】他のＥＣＵの適切な動作を阻害する外因を検出するための検出処理の概略的なフローチャートである。
【図６】図４に示される生成処理において用いられる閾値を変動させる処理を表すフローチャートである（第３実施形態）。
【図７】不正なＥＣＵが組み込まれた車載通信システムの概念的なブロック図である（第４実施形態）。
【図８】ＥＣＵの例示的な機能構成を表す概略的なブロック図である。
【図９】図８に示されるＥＣＵの第１判定部の処理を表す概略的なフローチャートである。
【図１０】図８に示されるＥＣＵの第２判定部の処理を表す概略的なフローチャートである。
【図１１】図８に示されるＥＣＵの第３判定部の処理を表す概略的なフローチャートである。
【図１２】第５実施形態のＥＣＵの例示的な機能構成を表す概略的なブロック図である。
【図１３】第６実施形態の車載通信システムの概念的なブロック図である。
【図１４】第７実施形態の車載通信システムの概念的なブロック図である。
【図１５】第８実施形態の車載通信システムの概念的なブロック図である。
【発明を実施するための形態】
【００２９】
＜第１実施形態＞
車載通信システムの正常な動作を妨げる外因の不存在が、車載通信システムに組み込まれた複数のＥＣＵに通知されるならば、これらのＥＣＵは、外因に対処するための処理を実行しなくてもよい。したがって、外因が不存在である間、車載通信システムの通信負荷は、低い水準に維持される。第１実施形態において、正常な動作を妨げる外因の不存在を通知する機能を有する例示的な車載通信システムが説明される。
【００３０】
図１は、第１実施形態の車載通信システム（以下、通信システム１００と称される）の概念的なブロック図である。図１を参照して、通信システム１００が説明される。
【００３１】
通信システム１００は、複数のＥＣＵと、バス１２０と、を備える。図１は、複数のＥＣＵとして、２つのＥＣＵ１１１，１１２を示す。ＥＣＵ１１１，１１２は、バス１２０によって、通信可能に接続されている。ＥＣＵ１１１は、状態信号ＣＤＳをバス１２０へ出力する。ＥＣＵ１１２は、バス１２０を通じて、状態信号ＣＤＳを受け取る。通信システム１００は、既知のコントローラエリアネットワーク（ＣＡＮ：Ｃｏｎｔｒｏｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）の技術に基づいて構築されてもよい。
【００３２】
図１に示される如く、状態信号ＣＤＳは、ＥＣＵ１１１からバス１２０へ繰り返し出力される。状態信号ＣＤＳの送信間隔は、一定であってもよいし、不定であってもよい。
【００３３】
図２は、通信システム１００の概念的なブロック図である。図１及び図２を参照して、通信システム１００が更に説明される。
【００３４】
図１は、ＥＣＵ１１１の動作を阻害する外因の不存在下での通信システム１００を示す一方で、図２は、外因の存在下での通信システム１００を示す。図１を参照して説明された如く、ＥＣＵ１１１は、外因の不存在下では、状態信号ＣＤＳを繰り返し出力する。一方、ＥＣＵ１１１は、外因の存在下では、状態信号ＣＤＳを出力しない。本実施形態において、第１ノードは、ＥＣＵ１１１によって例示される。
【００３５】
ＥＣＵ１１１の動作を阻害する外因として、ＥＣＵ１１１とバス１２０との間の接続解除、ＥＣＵ１１１の正常な動作を妨げる他のＥＣＵの存在、ＥＣＵ１１１になりすまし、不適切な信号をバス１２０に出力する他のＥＣＵの存在やＥＣＵ１１１の故障が例示される。本実施形態の原理は、ＥＣＵ１１１の動作を阻害する特定の外因に限定されない。
【００３６】
＜第２実施形態＞
ＥＣＵは、第１実施形態に関連して説明された状態信号の通信原理のために、様々な機能構成を有してもよい。第２実施形態において、ＥＣＵの例示的な機能構成が説明される。
【００３７】
図３は、第２実施形態のＥＣＵ２００の機能構成を表す概略的なブロック図である。図１及び図３を参照して、ＥＣＵ２００が説明される。第１実施形態の説明は、第１実施形態と同一の符号が付された要素に援用される。
【００３８】
ＥＣＵ２００の機能構成は、図１を参照して説明されたＥＣＵ１１１，１１２の両方に適用可能である。したがって、ＥＣＵ２００に関する説明は、ＥＣＵ１１１，１１２それぞれに援用されてもよい。
【００３９】
ＥＣＵ２００は、通信部２１０と、判定部２２０と、信号生成部２３０と、を含む。通信部２１０は、送信部２１１と、受信部２１２と、を含む。状態信号は、送信部２１１からバス１２０へ出力される（図１のＥＣＵ１１１を参照）。受信部２１２は、他のＥＣＵが出力した状態信号を、バス１２０を通じて受け取る（図１のＥＣＵ１１２を参照）。通信部２１０は、一般的なＥＣＵが有するトランシーバであってもよい。判定部２２０は、一般的なＥＣＵが有するＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）であってもよい。信号生成部２３０は、一般的なＥＣＵが有するＣＡＮコントローラであってもよい。
【００４０】
判定部２２０は、リセット部２２１と第２計時部２２２とを含む。第２計時部２２２は、計時する。リセット部２２１は、他のＥＣＵが出力した状態信号を、受信部２１２から受け取る。リセット部２２１は、受信部２１２から受け取った状態信号に応じて、リセット信号を生成する。リセット信号は、リセット部２２１から第２計時部２２２へ出力される。第２計時部２２２は、リセット信号に応じて、計時値をゼロに設定する。
【００４１】
受信部２１２が、他のＥＣＵから状態信号を受け取らないならば、計時値は増加し続ける。計時値が、所定の閾値を超えると、第２計時部２２２は、トリガ信号を生成する。トリガ信号は、第２計時部２２２から信号生成部２３０へ出力される。
【００４２】
信号生成部２３０は、通知信号生成部２３１と、第１計時部２３２と、状態信号生成部２３３と、を含む。通知信号生成部２３１は、トリガ信号を、第２計時部２２２から受け取る。通知信号生成部２３１は、トリガ信号に応じて、通知信号を生成する。
【００４３】
図３は、警告動作部ＡＭＰを示す。通知信号は、通知信号生成部２３１から警告動作部ＡＭＰへ出力される。警告動作部ＡＭＰは、通知信号に応じて、所定の警告動作を行う。警告動作部ＡＭＰは、インスツルメントパネルに組み込まれた警告表示板であってもよい。この場合、警告表示板は、通知信号に応じて、他のＥＣＵに異常が生じたことを表す情報を表示する。本実施形態の原理は、警告動作部ＡＭＰとして用いられる特定の装置に限定されない。
【００４４】
第１計時部２３２は、計時する。計時値が所定値になると、第１計時部２３２は、要求信号を生成する。要求信号は、第１計時部２３２から状態信号生成部２３３へ出力される。状態信号生成部２３３は、要求信号に応じて、状態信号を生成する。状態信号生成部２３３は、一般的なパケット信号のフォーマットに基づいて、状態信号を生成してもよい。状態信号は、状態信号生成部２３３から送信部２１１へ伝達される。その後、状態信号は、送信部２１１からバス１２０へ出力される。
【００４５】
図４は、状態信号の生成処理の概略的なフローチャートである。図３及び図４を参照して、状態信号の生成処理が説明される。
【００４６】
（ステップＳ１１０）
ＥＣＵ２００は、車載通信システムの起動処理の完了を待つ。起動処理が完了すると、ステップＳ１２０が実行される。
【００４７】
（ステップＳ１２０）
第１計時部２３２は、計時を開始する。この結果、計時値「Ｔ１」は、ゼロから増加する。計時の開始の後、ステップＳ１３０が実行される。
【００４８】
（ステップＳ１３０）
第１計時部２３２は、計時値「Ｔ１」が、閾値「ＴＨ１」を超えるのを待つ。計時値「Ｔ１」が、閾値「ＴＨ１」を超えると、ステップＳ１４０が実行される。
【００４９】
（ステップＳ１４０）
第１計時部２３２は、要求信号を生成する。要求信号は、第１計時部２３２から状態信号生成部２３３へ伝達される。要求信号の伝達の後、ステップＳ１５０が実行される。
【００５０】
（ステップＳ１５０）
状態信号生成部２３３は、要求信号に応じて、状態信号を生成する。状態信号は、状態信号生成部２３３から送信部２１１へ伝達される。その後、送信部２１１は、状態信号を、バス１２０へ出力する。バス１２０への状態信号の出力の後、ステップＳ１６０が実行される。
【００５１】
（ステップＳ１６０）
車載通信システムがシャットダウンされるならば、状態信号の生成処理は終了する。他の場合には、ステップＳ１２０が実行される。
【００５２】
図５は、他のＥＣＵの適切な動作を阻害する外因を検出するための検出処理の概略的なフローチャートである。図３乃至図５を参照して、検出処理が説明される。
【００５３】
（ステップＳ２１０）
ＥＣＵ２００は、車載通信システムの起動処理の完了を待つ。起動処理が完了すると、ステップＳ２２０が実行される。
【００５４】
（ステップＳ２２０）
第２計時部２２２は、計時を開始する。この結果、計時値「Ｔ２」は、ゼロから増加する。計時の開始の後、ステップＳ２３０が実行される。
【００５５】
（ステップＳ２３０）
受信部２１２が、バス１２０を通じて、状態信号を受け取るならば、状態信号は、受信部２１２からリセット部２２１へ伝達される。この場合、ステップＳ２２０が実行される。他の場合には、ステップＳ２４０が実行される。
【００５６】
（ステップＳ２４０）
第２計時部２２２は、計時値「Ｔ２」が、閾値「ＴＨ２」を超えているか否かを判定する。計時値「Ｔ２」が、閾値「ＴＨ２」を超えていると、ステップＳ２５０が実行される。他の場合には、ステップＳ２３０が実行される。
【００５７】
（ステップＳ２５０）
第２計時部２２２は、トリガ信号を生成する。トリガ信号は、第２計時部２２２から通知信号生成部２３１へ伝達される。通知信号生成部２３１へのトリガ信号の伝達の後、ステップＳ２６０が実行される。
【００５８】
（ステップＳ２６０）
通知信号生成部２３１は、トリガ信号に応じて、通知信号を生成する。通知信号は、通知信号生成部２３１から警告動作部ＡＭＰへ出力される。警告動作部ＡＭＰは、通知信号に応じて、所定の警告動作を実行する。
【００５９】
本実施形態において、閾値「ＴＨ１」，「ＴＨ２」はともに、一定値である。ステップＳ２４０で用いられる閾値「ＴＨ２」は、図４を参照して説明された閾値「ＴＨ１」よりも大きな値に設定される。車載通信システムに組み込まれた複数のＥＣＵが、ＥＣＵ２００と同様の機能構成（図３を参照）を有するならば、状態信号の出力の時間間隔は、ステップＳ２５０の実行の要否の決定のために用いられる期間（閾値「ＴＨ２」によって定められる期間）よりも短くなる。したがって、状態信号が繰り返し出力されているならば、通知信号は生成されない。本実施形態において、所定期間は、閾値「ＴＨ２」によって定められる期間によって例示される。
【００６０】
＜第３実施形態＞
第２実施形態に関連して説明された状態信号の生成処理において用いられる閾値は、一定である。代替的に、閾値は、変動してもよい。この場合、状態信号の出力の時間間隔は、不定になる。第３実施形態において、閾値を変動させる例示的な生成処理が説明される。
【００６１】
図６は、閾値「ＴＨ１」を変動させる処理を表すフローチャートである。図３、図４及び図６を参照して、状態信号の生成処理が説明される。
【００６２】
図６に示される処理は、図４のステップＳ１３０において実行される。
【００６３】
（ステップＳ１３１）
第１計時部２３２は、所定の値「ＴＨ」にランダム関数から得られた値を加算し、閾値「ＴＨ１」を設定する。値「ＴＨ」は、一定である。第１計時部２３２は、ランダム関数に代えて、他の関数から得られた値を用いて、閾値「ＴＨ１」を設定してもよい。例えば、計時値「Ｔ１」を変数とする関数は、閾値「ＴＨ１」を設定するために好適に利用可能である。閾値「ＴＨ１」の設定の後、ステップＳ１３２が実行される。
【００６４】
（ステップＳ１３２）
第１計時部２３２は、閾値「ＴＨ１」が、閾値「ＴＨ２」よりも小さいか否かを判定する。閾値「ＴＨ１」が、閾値「ＴＨ２」よりも小さいならば、ステップＳ１３３が実行される。他の場合には、ステップＳ１３１が実行される。
【００６５】
（ステップＳ１３３）
第１計時部２３２は、閾値「ＴＨ１」を計時値「Ｔ１」と比較する。
【００６６】
＜第４実施形態＞
バスに不正に追加されたＥＣＵは、正規のＥＣＵの正常な動作を阻害する外因のうちの１つである。第４実施形態において、バスへのＥＣＵの不正な接続を検出する例示的な技術が説明される。
【００６７】
図７は、不正なＥＣＵが組み込まれた通信システム１０１の概念的なブロック図である。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。
【００６８】
第１実施形態と同様に、通信システム１０１は、ＥＣＵ１１１，１１２とバス１２０とを備える。第１実施形態の説明は、これらの要素に援用される。
【００６９】
通信システム１０１は、ＥＣＵ１１３，１１４，１１５を更に備える。ＥＣＵ１１１，１１２と同様に、ＥＣＵ１１３，１１４，１１５それぞれは、バス１２０に電気的に接続されている。ＥＣＵ１１１，１１２，１１３，１１４は、正規品である一方で、ＥＣＵ１１５は、バス１２０に不正に取り付けられている。
【００７０】
ＥＣＵ１１１，１１２，１１３，１１４それぞれは、バス１２０にデータ信号を出力する。データ信号は、パケット信号であってもよい。データ信号は、バス１２０を通じて、ＥＣＵ１１１，１１２，１１３，１１４間でやりとりされる。本実施形態において、複数のノードは、ＥＣＵ１１１，１１２，１１３，１１４によって例示される。車載通信システムは、４未満のＥＣＵを有してもよいし、４を超えるＥＣＵを有してもよい。本実施形態の原理は、いくつのＥＣＵが車載通信システムに組み込まれるかによっては何ら限定されない。
【００７１】
ＥＣＵ１１１，１１２，１１３，１１４は、車両のエンジンを制御するために用いられてもよい。代替的に、ＥＣＵ１１１，１１２，１１３，１１４は、車両のナビゲーションシステムを制御するために用いられてもよい。更に代替的に、ＥＣＵ１１１，１１２，１１３，１１４は、車両のブレーキを制御するために用いられてもよい。更に代替的に、ＥＣＵ１１１，１１２，１１３，１１４は、車両のエアコンディショナを制御するために用いられてもよい。本実施形態の原理は、ＥＣＵ１１１，１１２，１１３，１１４それぞれの特定の制御対象に限定されない。
【００７２】
図７に示される如く、ＥＣＵ１１１，１１２，１１３，１１４からバス１２０へ出力されるデータ信号には、互いに異なる識別子が付される。本実施形態において、互いに異なる識別子が付された信号は、ＥＣＵ１１１，１１２，１１３，１１４から出力されるデータ信号によって例示される。
【００７３】
ＥＣＵ１１１から出力されるデータ信号には、「ＩＤ１１１」との識別子が付されている。「ＩＤ１１１」との識別子が、バス１２０から取得されたデータ信号に付されているならば、ＥＣＵ１１２，１１３，１１４は、データ信号が、エンジンを制御するための制御因子に関する情報（データ（Ｗ１１１，Ｘ１１１，Ｙ１１１，Ｚ１１１））を含んでいると認識してもよい。ＥＣＵ１１２，１１３，１１４が、ＥＣＵ１１１が制御対象とする制御因子に関する情報を必要とするならば、ＥＣＵ１１２，１１３，１１４は、「ＩＤ１１１」との識別子が付されたデータ信号を取り込む。本実施形態において、第１ノードは、ＥＣＵ１１１によって例示される。第１識別子は、識別子「ＩＤ１１１」によって例示される。通信信号は、ＥＣＵ１１１から出力されるデータ信号によって例示される。
【００７４】
ＥＣＵ１１２から出力されるデータ信号には、「ＩＤ１１２」との識別子が付されている。「ＩＤ１１２」との識別子が、バス１２０から取得されたデータ信号に付されているならば、ＥＣＵ１１１，１１３，１１４は、データ信号が、エンジンを制御するための他のもう１つの制御因子に関する情報（データ（Ｗ１１２，Ｘ１１２，Ｙ１１２，Ｚ１１２））を含んでいると認識してもよい。ＥＣＵ１１１，１１３，１１４が、ＥＣＵ１１２が制御対象とする制御因子に関する情報を必要とするならば、ＥＣＵ１１１，１１３，１１４は、「ＩＤ１１２」との識別子が付されたデータ信号を取り込む。
【００７５】
ＥＣＵ１１３から出力されるデータ信号には、「ＩＤ１１３」との識別子が付されている。「ＩＤ１１３」との識別子が、バス１２０から取得されたデータ信号に付されているならば、ＥＣＵ１１１，１１２，１１４は、データ信号が、エンジンを制御するための他のもう１つの制御因子に関する情報（データ（Ｗ１１３，Ｘ１１３，Ｙ１１３，Ｚ１１３））を含んでいると認識してもよい。ＥＣＵ１１１，１１２，１１４が、ＥＣＵ１１３が制御対象とする制御因子に関する情報を必要とするならば、ＥＣＵ１１１，１１２，１１４は、「ＩＤ１１３」との識別子が付されたデータ信号を取り込む。
【００７６】
ＥＣＵ１１４から出力されるデータ信号には、「ＩＤ１１４」との識別子が付されている。「ＩＤ１１４」との識別子が、バス１２０から取得されたデータ信号に付されているならば、ＥＣＵ１１１，１１２，１１３は、データ信号が、エンジンを制御するための他のもう１つの制御因子に関する情報（データ（Ｗ１１４，Ｘ１１４，Ｙ１１４，Ｚ１１４））を含んでいると認識してもよい。ＥＣＵ１１１，１１２，１１３が、ＥＣＵ１１４が制御対象とする制御因子に関する情報を必要とするならば、ＥＣＵ１１１，１１２，１１３は、「ＩＤ１１４」との識別子が付されたデータ信号を取り込む。
【００７７】
ＥＣＵ１１１，１１２，１１３，１１４と同様に、ＥＣＵ１１５は、データ信号を、バス１２０へ出力する。ＥＣＵ１１５から出力されたデータ信号は、通信システム１０１が搭載された車両のエンジンの不適切な動作を引き起こしうるデータ（Ｗ１１５，Ｘ１１５，Ｙ１１５，Ｚ１１５）を含んでいる。
【００７８】
ＥＣＵ１１５から出力されたデータ信号には、ＥＣＵ１１１によって付される識別子と同一の識別子「ＩＤ１１１」が付されている。したがって、ＥＣＵ１１２，１１３，１１４は、ＥＣＵ１１５から出力されたデータ信号が、ＥＣＵ１１１が制御対象とする制御因子に関する情報を含んでいると認識しうる。一方、ＥＣＵ１１１は、自身が固有に付すはずの識別子「ＩＤ１１１」が、ＥＣＵ１１１が送信していないデータ信号に付されているので、ＥＣＵ１１５から出力されたデータ信号を、不正な信号として認識し得る。本実施形態において、第１ノード以外のノードは、ＥＣＵ１１２，１１３，１１４，１１５のうち１つによって例示される。
【００７９】
図８は、ＥＣＵ２００Ａの例示的な機能構成を表す概略的なブロック図である。ＥＣＵ２００Ａの機能構成は、ＥＣＵ１１１，１１２，１１３，１１４それぞれに適用されてもよい。図４、図５、図７及び図８を参照して、ＥＣＵ２００Ａが説明される。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。
【００８０】
ＥＣＵ２００Ａは、通信部２１０Ａと、判定部２２０Ａと、信号生成部２３０Ａと、データ処理部２４０と、を含む。通信部２１０Ａは、一般的なＥＣＵが有するトランシーバであってもよい。判定部２２０Ａ及びデータ処理部２４０は、一般的なＥＣＵが有するＣＰＵであってもよい。信号生成部２３０Ａは、一般的なＥＣＵが有するＣＡＮコントローラであってもよい。
【００８１】
通信部２１０Ａは、送信部２１１Ａと受信部２１２Ａとを含む。第２実施形態と同様に、送信部２１１Ａは、状態信号を、バス１２０へ出力する。加えて、送信部２１１Ａは、データ信号を、バス１２０へ出力する。第２実施形態と同様に、受信部２１２Ａは、バス１２０を通じて、状態信号を受け取る。加えて、受信部２１２Ａは、バス１２０を通じて、他のＥＣＵから出力されたデータ信号を受け取る。受信部２１２Ａが受け取った状態信号及びデータ信号は、判定部２２０Ａへ伝達される。本実施形態において、受信信号は、受信部２１２Ａが受け取った状態信号又はデータ信号によって例示される。
【００８２】
判定部２２０Ａは、第１判定部２２３と、第２判定部２２４と、第３判定部２２５と、を更に含む。第１判定部２２３は、状態信号及びデータ信号を、受信部２１２Ａから受け取る。第１判定部２２３は、受信部２１２Ａからの信号が、状態信号であるかデータ信号であるかを判定する。受信部２１２Ａからの信号が、状態信号であるならば、状態信号は、第１判定部２２３から第３判定部２２５へ伝達される。その後、第３判定部２２５は、バス１２０に接続された他のＥＣＵが状態信号を適切に出力しているか否かを判定する。バス１２０に接続された他のＥＣＵのうち１つが所定期間に亘って状態信号を出力していないならば、トリガ信号を生成する。受信部２１２Ａからの信号がデータ信号であるならば、データ信号は、第１判定部２２３から第２判定部２２４へ伝達される。
【００８３】
第２判定部２２４は、データ信号に付された識別子を参照する。データ信号が、データ処理部２４０によって実行される処理に必要とされる情報を含んでいることを、識別子が表すならば、第２判定部２２４は、データ信号に含まれるデータをデータ処理部２４０へ出力する。データ信号が、データ処理部２４０によって実行される処理とは無関係な情報を含んでいることを、識別子が表すならば、第２判定部２２４は、データ信号に含まれるデータの伝達を遮断する。
【００８４】
たとえば、ＥＣＵ１１１のデータ処理部２４０は、ＥＣＵ１１２，１１３から出力されたデータ信号に含まれるデータを必要とする一方で、ＥＣＵ１１４からの出力されたデータ信号に含まれるデータを必要としなくてもよい。この場合、識別子「ＩＤ１１２」又は「ＩＤ１１３」が、第１判定部２２３からのデータ信号に付されているならば、ＥＣＵ１１１の第２判定部２２４は、データ（Ｗ１１２，Ｘ１１２，Ｙ１１２，Ｚ１１２）又はデータ（Ｗ１１３，Ｘ１１３，Ｙ１１３，Ｚ１１３）を、ＥＣＵ１１１のデータ処理部２４０へ伝達する。識別子「ＩＤ１１４」が、第１判定部２２３からのデータ信号に付されているならば、ＥＣＵ１１１の第２判定部２２４は、受信部２１２Ａが受け取ったデータ信号の伝達を遮断する。
【００８５】
受信部２１２Ａから受け取ったデータ信号に付された識別子が、信号生成部２３０Ａによって付されるはずの識別子に一致するならば、判定部２２０Ａは、受信部２１２Ａが受け取ったデータ信号が不正であると判定してもよい。たとえば、ＥＣＵ１１１の第２判定部２２４は、ＥＣＵ１１１の第１判定部２２３からのデータ信号に、識別子「ＩＤ１１１」が付されているならば、ＥＣＵ１１１の第２判定部２２４は、不正なデータ信号が存在していると判定することができる。この場合、ＥＣＵ１１１の第２判定部２２４は、停止信号を生成する。停止信号は、第２判定部２２４から信号生成部２３０Ａへ出力される。
【００８６】
データ処理部２４０は、第２判定部２２４からデータ処理部２４０へのデータの伝達に応じて、所定の処理を行う。たとえば、データ処理部２４０は、制御対象（たとえば、エンジン）の制御に必要とされる情報を得るための演算処理を実行してもよい。本実施形態の原理は、データ処理部２４０が実行する特定の処理に限定されない。
【００８７】
データ処理部２４０の演算処理の結果が、他のＥＣＵに必要とされる情報であるならば、データ処理部２４０は、演算結果を表すデータ信号の生成を要求する要求信号を生成する。データ処理部２４０は、演算結果を表す情報を要求信号に含める。要求信号は、データ処理部２４０から信号生成部２３０Ａへ出力される。
【００８８】
第２実施形態と同様に、信号生成部２３０Ａは、通知信号生成部２３１を含む。第２実施形態の説明は、通知信号生成部２３１に援用される。
【００８９】
信号生成部２３０Ａは、第１計時部２３２Ａと、状態信号生成部２３３Ａと、データ信号生成部２３４と、を含む。上述の停止信号は、第２判定部２２４から第１計時部２３２Ａへ伝達される。第１計時部２３２Ａは、停止信号の不存在下では、図４を参照して説明されたステップＳ１２０乃至ステップＳ１４０の処理を実行する。状態信号生成部２３３Ａは、ステップＳ１２０乃至ステップＳ１４０の実行に応じて、ステップＳ１５０を実行する。このとき、状態信号生成部２３３Ａは、ＥＣＵ２００Ａに固有に割り当てられた識別子を、状態信号に付す。たとえば、ＥＣＵ１１１の状態信号生成部２３３Ａは、識別子「ＩＤ１１１」を状態信号に付す。ＥＣＵ１１２の状態信号生成部２３３Ａは、識別子「ＩＤ１１２」を状態信号に付す。ＥＣＵ１１３の状態信号生成部２３３Ａは、識別子「ＩＤ１１３」を状態信号に付す。ＥＣＵ１１４の状態信号生成部２３３Ａは、識別子「ＩＤ１１４」を状態信号に付す。
【００９０】
第１計時部２３２Ａは、停止信号に応じて、計時を停止する。この結果、状態信号生成部２３３Ａは、状態信号を以後生成しない。したがって、ＥＣＵ２００Ａ以外の正規のＥＣＵは、車載通信システム内での異常の発生を認識することができる。
【００９１】
データ処理部２４０は、要求信号をデータ信号生成部２３４へ伝達する。データ信号生成部２３４は、要求信号が表す演算結果を表すデータ信号を生成する。データ信号生成部２３４は、ＥＣＵ２００Ａに固有に割り当てられた識別子を、データ信号に付す。たとえば、ＥＣＵ１１１のデータ信号生成部２３４は、識別子「ＩＤ１１１」をデータ信号に付す。ＥＣＵ１１２のデータ信号生成部２３４は、識別子「ＩＤ１１２」をデータ信号に付す。ＥＣＵ１１３のデータ信号生成部２３４は、識別子「ＩＤ１１３」をデータ信号に付す。ＥＣＵ１１４のデータ信号生成部２３４は、識別子「ＩＤ１１４」をデータ信号に付す。
【００９２】
データ信号は、データ信号生成部２３４から送信部２１１Ａへ伝達される。その後、送信部２１１Ａは、データ信号を、バス１２０へ出力する。
【００９３】
図９は、第１判定部２２３の処理を表す概略的なフローチャートである。図８及び図９を参照して、第１判定部２２３の処理が説明される。
【００９４】
（ステップＳ３１０）
第１判定部２２３は、受信部２１２Ａからの信号伝達を待つ。受信部２１２Ａからの信号伝達の後、ステップＳ３２０が実行される。
【００９５】
（ステップＳ３２０）
第１判定部２２３は、受信部２１２Ａからの信号が、状態信号であるか否かを判定する。受信部２１２Ａからの信号が、状態信号であるならば、ステップＳ３３０が実行される。
【００９６】
（ステップＳ３３０）
第１判定部２２３は、第３判定部２２５へ状態信号を伝達する。
【００９７】
（ステップＳ３４０）
第１判定部２２３は、第３判定部２２５へデータ信号を伝達する。
【００９８】
図１０は、第２判定部２２４の処理を表す概略的なフローチャートである。図８及び図１０を参照して、第２判定部２２４の処理が説明される。
【００９９】
（ステップＳ４１０）
第２判定部２２４は、第１判定部２２３からのデータ信号の伝達を待つ。第１判定部２２３からのデータ信号の伝達があるならば、ステップＳ４２０が実行される。
【０１００】
（ステップＳ４２０）
第２判定部２２４は、データ信号に付された識別子を参照し、データ信号が含むデータが、データ処理部２４０によって必要とされているか否かを判定する。データ信号が含むデータが、データ処理部２４０によって必要とされているならば、ステップＳ４３０が実行される。他の場合には、第２判定部２２４は、処理を終了する。
【０１０１】
（ステップＳ４３０）
データ信号が含むデータは、第２判定部２２４からデータ処理部２４０へ伝達される。
【０１０２】
図１１は、ＥＣＵ１１１の第３判定部２２５の処理を表す概略的なフローチャートである。図７、図８及び図１０を参照して、ＥＣＵ１１１の第３判定部２２５の処理が説明される。
【０１０３】
（ステップＳ５０５）
ＥＣＵ１１１の第３判定部２２５は、車載通信システムの起動処理の完了を待つ。起動処理が完了すると、ステップＳ５１０が実行される。
【０１０４】
（ステップＳ５１０）
ＥＣＵ１１１の第３判定部２２５は、計時を開始する。この結果、計時値「Ｔ１１２」，「Ｔ１１３」，「Ｔ１１４」は、ゼロから増加する。計時値「Ｔ１１２」は、ＥＣＵ１１２に対応している。計時値「Ｔ１１３」は、ＥＣＵ１１３に対応している。計時値「Ｔ１１４」は、ＥＣＵ１１４に対応している。計時の開始の後、ステップＳ５１５が実行される。
【０１０５】
（ステップＳ５１５）
ＥＣＵ１１１の第３判定部２２５は、ＥＣＵ１１１の第１判定部２２３からの状態信号の伝達を待つ。ＥＣＵ１１１の第１判定部２２３からの状態信号の伝達があると、ステップＳ５２０が実行される。他の場合には、ステップＳ５６０が実行される。
【０１０６】
（ステップＳ５２０）
ＥＣＵ１１１の第３判定部２２５は、状態信号に付された識別子を参照し、状態信号が、ＥＣＵ１１２から出力されているか否かを判定する。状態信号が、ＥＣＵ１１２から出力されているならば、ステップＳ５２５が実行される。他の場合には、ステップＳ５３０が実行される。
【０１０７】
（ステップＳ５２５）
ＥＣＵ１１１の第３判定部２２５は、ＥＣＵ１１２に関して、計時を再開始する。この結果、計時値「Ｔ１１２」は、ゼロから増加する。計時の再開始の後、ステップＳ５１５が実行される。
【０１０８】
（ステップＳ５３０）
ＥＣＵ１１１の第３判定部２２５は、計時値「Ｔ１１２」が閾値「ＴＨ２」を超えているか否かを判定する。計時値「Ｔ１１２」が閾値「ＴＨ２」を超えているならば、ステップＳ５６５が実行される。他の場合には、ステップＳ５３５が実行される。
【０１０９】
（ステップＳ５３５）
ＥＣＵ１１１の第３判定部２２５は、状態信号に付された識別子を参照し、状態信号が、ＥＣＵ１１３から出力されているか否かを判定する。状態信号が、ＥＣＵ１１３から出力されているならば、ステップＳ５４０が実行される。他の場合には、ステップＳ５４５が実行される。
【０１１０】
（ステップＳ５４０）
ＥＣＵ１１１の第３判定部２２５は、ＥＣＵ１１３に関して、計時を再開始する。この結果、計時値「Ｔ１１３」は、ゼロから増加する。計時の再開始の後、ステップＳ５１５が実行される。
【０１１１】
（ステップＳ５４５）
ＥＣＵ１１１の第３判定部２２５は、計時値「Ｔ１１３」が閾値「ＴＨ２」を超えているか否かを判定する。計時値「Ｔ１１３」が閾値「ＴＨ２」を超えているならば、ステップＳ５６５が実行される。他の場合には、ステップＳ５５０が実行される。
【０１１２】
（ステップＳ５５０）
ＥＣＵ１１１の第３判定部２２５は、計時値「Ｔ１１４」が閾値「ＴＨ２」を超えているか否かを判定する。計時値「Ｔ１１４」が閾値「ＴＨ２」を超えているならば、ステップＳ５６５が実行される。他の場合には、ステップＳ５５５が実行される。
【０１１３】
（ステップＳ５５５）
ＥＣＵ１１１の第３判定部２２５は、ＥＣＵ１１４に関して、計時を再開始する。この結果、計時値「Ｔ１１４」は、ゼロから増加する。計時の再開始の後、ステップＳ５１５が実行される。
【０１１４】
（ステップＳ５６０）
ＥＣＵ１１１の第３判定部２２５は、計時値「Ｔ１１２」，「Ｔ１１３」，「Ｔ１１４」のうち少なくとも１つが閾値「ＴＨ２」を超えているか否かを判定する。計時値「Ｔ１１２」，「Ｔ１１３」，「Ｔ１１４」のうち少なくとも１つが閾値「ＴＨ２」を超えているならば、ステップＳ５６５が実行される。他の場合には、ステップＳ５１５が実行される。
【０１１５】
（ステップＳ５６５）
ＥＣＵ１１１の第３判定部２２５は、トリガ信号を生成する。トリガ信号は、その後、ＥＣＵ１１１の第３判定部２２５からＥＣＵ１１１の通知信号生成部２３１へ伝達される。
【０１１６】
＜第５実施形態＞
状態信号のみが符号化処理を受けるならば、車載通信システムの通信負荷はあまり大きくならない。したがって、状態信号を選択的に符号化する技術が、上述の実施形態に組み込まれてもよい。第５実施形態において、符号化技術として、メッセージ認証符号（以下、ＭＡＣ（Ｍｅｓｓａｇｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｃｏｄｅ）と称される）が用いられる。代替的に、符号化技術は、他の様々な技術であってもよい。
【０１１７】
図１２は、第５実施形態のＥＣＵ２００Ｂの例示的な機能構成を表す概略的なブロック図である。ＥＣＵ２００Ｂの機能構成は、図７を参照して説明されたＥＣＵ１１１，１１２，１１３，１１４それぞれに適用されてもよい。図７、図９及び図１２を参照して、ＥＣＵ２００Ｂが説明される。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。
【０１１８】
第４実施形態と同様に、ＥＣＵ２００Ｂは、通信部２１０Ａと、データ処理部２４０と、を含む。第４実施形態の説明は、これらの要素に援用される。
【０１１９】
ＥＣＵ２００Ｂは、判定部２２０Ｂと、信号生成部２３０Ｂと、を更に含む。判定部２２０Ｂ及びデータ処理部２４０は、一般的なＥＣＵが有するＣＰＵであってもよい。信号生成部２３０Ｂは、一般的なＥＣＵが有するＣＡＮコントローラであってもよい。
【０１２０】
第４実施形態と同様に、判定部２２０Ｂは、第２判定部２２４と第３判定部２２５とを含む。第４実施形態の説明は、これらの要素に援用される。
【０１２１】
判定部２２０Ｂは、第１判定部２２３Ｂと、復号部２２６と、を含む。受信部２１２Ａは、バス１２０を通じて、状態信号を受け取る。本実施形態において、状態信号は、符号化されている一方で、データ信号は符号化されていない。したがって、第１判定部２２３Ｂは、データ信号の識別子を参照することができる一方で、状態信号の識別子を参照することはできない。第１判定部２２３Ｂが、図９を参照して説明されたステップＳ３２０において、受信部２１２Ａからの信号の識別子を参照することができないならば、受信部２１２Ａからの信号を状態信号として判定してもよい。この場合、受信部２１２Ａからの信号は、第１判定部２２３Ｂを通じて、復号部２２６へ出力される。
【０１２２】
第４実施形態と同様に、信号生成部２３０Ｂは、第１計時部２３２Ａと、状態信号生成部２３３Ａと、データ信号生成部２３４と、を更に含む。第４実施形態の説明は、これらの要素に援用される。
【０１２３】
信号生成部２３０Ｂは、通知信号生成部２３１Ｂと、符号化部２３５と、を更に含む。符号化部２３５は、状態信号生成部２３３Ａが生成した状態信号を、メッセージ認証符号を用いて符号化する。符号化された状態信号は、符号化部２３５から送信部２１１Ａへ伝達される。その後、送信部２１１Ａは、符号化された状態信号を、バス１２０へ出力する。
【０１２４】
復号部２２６は、符号化部２３５が状態信号を符号化するのに用いた鍵と同一の鍵（すなわち、共通鍵）を用いて、第１判定部２２３Ｂから伝達された信号を復号する。信号が、適切に復号されるならば、復号された信号は、第３判定部２２５へ出力される。信号の復号が失敗するならば、第１判定部２２３Ｂから伝達された信号は、不正なＥＣＵに由来するリスクがある。この場合、復号部２２６は、トリガ信号を生成する。トリガ信号は、その後、復号部２２６から通知信号生成部２３１Ｂへ伝達される。
【０１２５】
第２実施形態と同様に、通知信号生成部２３１Ｂは、第２計時部２２２から受け取ったトリガ信号に応じて、通知信号を生成する。加えて、通知信号生成部２３１Ｂは、復号部２２６から受け取ったトリガ信号に応じて、通知信号を生成する。
【０１２６】
＜第６実施形態＞
上述の実施形態に説明された技術は、車載通信システムに搭載された複数のＥＣＵのうち一部に適用されてもよい。不正アクセスが深刻な事態を引き起こし得るＥＣＵにのみ、上述の実施形態に関連して説明された技術が適用されるならば、車載通信システムへの通信負荷の増大は抑制される。第６実施形態において、不正アクセスを検知する機能を有するＥＣＵと、不正アクセスの検知機能を有さないＥＣＵと、を含む車載通信システムが説明される。
【０１２７】
図１３は、第６実施形態の車載通信システム（以下、通信システム１００Ｃと称される）の概念的なブロック図である。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。図１２及び図１３を参照して、通信システム１００Ｃが説明される。
【０１２８】
通信システム１００Ｃは、ゲートウェイＥＣＵ３００と、バス１２１，１２２，１２３，１２４，１２５と、ＥＣＵ３１１〜３１４，３２１〜３２４，３３１〜３３４，３４１〜３４４，３５１〜３５４と、を含む。バス１２１，１２２，１２３，１２４，１２５は、ゲートウェイＥＣＵ３００に接続される。
【０１２９】
ＥＣＵ３１１〜３１４は、バス１２１に接続される。ＥＣＵ３１１〜３１４は、協働して、通信システム１００Ｃが搭載された車両のエンジンを制御する。ＥＣＵ３２１〜３２４は、バス１２２に接続される。ＥＣＵ３２１〜３２４は、協働して、通信システム１００Ｃが搭載された車両のブレーキを制御する。ＥＣＵ３３１〜３３４は、バス１２３に接続される。ＥＣＵ３３１〜３３４は、協働して、通信システム１００Ｃが搭載された車両のナビゲーションシステムを制御する。ＥＣＵ３４１〜３４４は、バス１２４に接続される。ＥＣＵ３４１〜３４４は、協働して、通信システム１００Ｃが搭載された車両のエアコンディショナを制御する。ＥＣＵ３５１〜３５４は、バス１２５に接続される。ＥＣＵ３５１〜３５４は、協働して、通信システム１００Ｃが搭載された車両の先進運転支援システム（ＡＤＡＳ：ＡＤＶＡＮＣＥＤ  Ｄｒｉｖｅｒ  Ａｓｓｉｓｔａｎｃｅ  Ｓｙｓｔｅｍｓ）を制御する。
【０１３０】
ゲートウェイＥＣＵ３００及びＥＣＵ３１１〜３１４，３２１〜３２４それぞれは、図１２を参照して説明されたＥＣＵ２００Ｂと同様の機能構成を有する。したがって、ＥＣＵ２００Ｂの説明は、ゲートウェイＥＣＵ３００及びＥＣＵ３１１〜３１４，３２１〜３２４に援用される。一方、ＥＣＵ３３１〜３３４，３４１〜３４４，３５１〜３５４それぞれは、一般的なＥＣＵであってもよい。
【０１３１】
エンジンの制御に影響を与える不正アクセスが生じたとき、ゲートウェイＥＣＵ３００及びＥＣＵ３１１〜３１４のうち少なくとも１つは、通知信号を生成する。ゲートウェイＥＣＵ３００及びＥＣＵ３１１〜３１４のうち少なくとも他のもう１つは、通知信号を生成し、車両を運転する運転者に警告を与えることができる。
【０１３２】
ブレーキの制御に影響を与える不正アクセスが生じたとき、ゲートウェイＥＣＵ３００及びＥＣＵ３２１〜３２４のうち少なくとも１つは、通知信号を生成する。ゲートウェイＥＣＵ３００及びＥＣＵ３２１〜３２４のうち少なくとも他のもう１つは、通知信号を生成し、車両を運転する運転者に警告を与えることができる。
【０１３３】
＜第７実施形態＞
車載通信システムは、複数のＥＣＵ間の通信を統括的に管理及び制御するドメインマスタＥＣＵを含んでもよい。第７実施形態において、ドメインマスタＥＣＵを含む車載通信システムが説明される。
【０１３４】
図１４は、第７実施形態の車載通信システム（以下、通信システム１００Ｄと称される）の概念的なブロック図である。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。図１４を参照して、通信システム１００Ｄが説明される。
【０１３５】
第６実施形態と同様に、通信システム１００Ｄは、ゲートウェイＥＣＵ３００と、バス１２１，１２２，１２３と、ＥＣＵ３１２〜３１４，３２２〜３２４，３３２〜３３４と、を含む。第６実施形態の説明は、これらの要素に援用される。
【０１３６】
通信システム１００Ｄは、ドメインマスタＥＣＵ３１５，３２５，３３５を更に含む。ドメインマスタＥＣＵ３１５は、バス１２１に接続される。ドメインマスタＥＣＵ３２５は、バス１２２に接続される。ドメインマスタＥＣＵ３３５は、バス１２３に接続される。
【０１３７】
ドメインマスタＥＣＵ３１５は、ＥＣＵ３１２〜３１４を統括的に管理及び制御する。たとえば、ドメインマスタＥＣＵ３１５は、ＥＣＵ３１２〜３１４から受け取った情報をまとめ、ゲートウェイＥＣＵ３００へ伝達してもよい。ドメインマスタＥＣＵ３１５がまとめた情報は、その後、ゲートウェイＥＣＵ３００を通じて、バス１２２，１２３のうち少なくとも一方に伝達される。
【０１３８】
ドメインマスタＥＣＵ３２５は、ＥＣＵ３２２〜３２４を統括的に管理及び制御する。たとえば、ドメインマスタＥＣＵ３２５は、ＥＣＵ３２２〜３２４から受け取った情報をまとめ、ゲートウェイＥＣＵ３００へ伝達してもよい。ドメインマスタＥＣＵ３２５がまとめた情報は、その後、ゲートウェイＥＣＵ３００を通じて、バス１２１，１２３のうち少なくとも一方に伝達される。
【０１３９】
ドメインマスタＥＣＵ３３５は、ＥＣＵ３３２〜３３４を統括的に管理及び制御する。たとえば、ドメインマスタＥＣＵ３３５は、ＥＣＵ３３２〜３３４から受け取った情報をまとめ、ゲートウェイＥＣＵ３００へ伝達してもよい。ドメインマスタＥＣＵ３３５がまとめた情報は、その後、ゲートウェイＥＣＵ３００を通じて、バス１２１，１２２のうち少なくとも一方に伝達される。
【０１４０】
＜第８実施形態＞
ドメインマスタＥＣＵ間の通信は、Ｅｔｈｅｒｎｅｔといった高速通信技術に依存してもよい。この場合、ゲートウェイＥＣＵは必要とされない。第８実施形態において、ドメインマスタＥＣＵ間で高速通信を行う車載通信システムが説明される。
【０１４１】
図１５は、第８実施形態の車載通信システム（以下、通信システム１００Ｅと称される）の概念的なブロック図である。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。図１５を参照して、通信システム１００Ｅが説明される。
【０１４２】
第７実施形態と同様に、通信システム１００Ｅは、バス１２１，１２２，１２３と、ＥＣＵ３１２〜３１４，３２２〜３２４，３３２〜３３４と、ドメインマスタＥＣＵ３１５，３２５，３３５と、を含む。第７実施形態の説明は、これらの要素に援用される。
【０１４３】
通信システム１００Ｅは、高速通信回線３０１を更に含む。高速通信回線３０１は、一般的なＥｔｈｅｒｎｅｔ回線であってもよい。
【０１４４】
通信システム１００Ｅは、ドメインマスタＥＣＵ３１５，３２５，３３５それぞれに接続される。通信システム１００Ｅは、ドメインマスタＥＣＵ３１５，３２５，３３５間の相互の情報伝達を可能にする。
【０１４５】
第７実施形態に関連して説明された如く、ドメインマスタＥＣＵ３１５は、ＥＣＵ３１２〜３１４を統括的に管理及び制御する。ＥＣＵ３１５は、ＥＣＵ３１２〜３１４から受け取った情報をまとめ、高速通信回線３０１へ出力する。ドメインマスタＥＣＵ３１５によってまとめられた情報は、その後、高速通信回路３０１を通じて、ドメインマスタＥＣＵ３２５，３３５のうち少なくとも１つに伝達される。
【０１４６】
第７実施形態に関連して説明された如く、ドメインマスタＥＣＵ３２５は、ＥＣＵ３２２〜３２４を統括的に管理及び制御する。ドメインマスタＥＣＵ３２５は、ＥＣＵ３２２〜３２４から受け取った情報をまとめ、高速通信回線３０１へ出力する。ドメインマスタＥＣＵ３２５によってまとめられた情報は、その後、高速通信回路３０１を通じて、ドメインマスタＥＣＵ３１５，３３５のうち少なくとも１つに伝達される。
【０１４７】
第７実施形態に関連して説明された如く、ドメインマスタＥＣＵ３３５は、ＥＣＵ３３２〜３３４を統括的に管理及び制御する。ドメインマスタＥＣＵ３３５は、ＥＣＵ３３２〜３３４から受け取った情報をまとめ、高速通信回線３０１へ出力する。ドメインマスタＥＣＵ３３５によってまとめられた情報は、その後、高速通信回路３０１を通じて、ドメインマスタＥＣＵ３１５，３２５のうち少なくとも１つに伝達される。
【０１４８】
上述の様々な実施形態の原理は、車両に対する要求に適合するように、組み合わされてもよい。上述の様々な実施形態のうち１つに関連して説明された様々な特徴のうち一部が、他のもう１つの実施形態に関連して説明された制御装置に適用されてもよい。
【産業上の利用可能性】
【０１４９】
上述の実施形態の原理は、様々な車両の制御に好適に利用される。
【符号の説明】
【０１５０】
１００，１００Ｃ・・・・・・・・・・・・・・・通信システム
１０１・・・・・・・・・・・・・・・・・・・・通信システム
１１１〜１１５・・・・・・・・・・・・・・・・ＥＣＵ
１２０〜１２５・・・・・・・・・・・・・・・・バス
２００，２００Ａ，２００Ｂ・・・・・・・・・・ＥＣＵ
２１０，２１０Ａ・・・・・・・・・・・・・・・通信部
２２０，２２０Ａ，２２０Ｂ・・・・・・・・・・判定部
２２６・・・・・・・・・・・・・・・・・・・・復号部
２３０，２３０Ａ，２３０Ｂ・・・・・・・・・・信号生成部
２３５・・・・・・・・・・・・・・・・・・・・符号化部
３００・・・・・・・・・・・・・・・・・・・・ゲートウェイＥＣＵ
３１１〜３１４・・・・・・・・・・・・・・・・ＥＣＵ
３２１〜３２４・・・・・・・・・・・・・・・・ＥＣＵ
３３１〜３３４・・・・・・・・・・・・・・・・ＥＣＵ
３４１〜３４４・・・・・・・・・・・・・・・・ＥＣＵ
３５１〜３５４・・・・・・・・・・・・・・・・ＥＣＵ
ＣＤＳ・・・・・・・・・・・・・・・・・・・・状態信号
【図１】
2018007208.tif 000003
【図２】
2018007208.tif 000004
【図３】
2018007208.tif 000005
【図４】
2018007208.tif 000006
【図５】
2018007208.tif 000007
【図６】
2018007208.tif 000008
【図７】
2018007208.tif 000009
【図８】
2018007208.tif 000010
【図９】
2018007208.tif 000011
【図１０】
2018007208.tif 000012
【図１１】
2018007208.tif 000013
【図１２】
2018007208.tif 000014
【図１３】
2018007208.tif 000015
【図１４】
2018007208.tif 000016
【図１５】
2018007208.tif 000017