(57)【要約】      （修正有）【課題】車内ネットワークにおける非正規のコントローラの有無を適切に判断する。【解決手段】優先順位が異なる複数のコントローラＥＣＵｎが、ＢＵＳ１を介してゲートウェイＧ／Ｗに通信可能に接続された車内ネットワークであって、ゲートウェイＧ／Ｗは、当該ゲートウェイＧ／Ｗへの返信を要求する返信要求信号を、ＢＵＳ１を介して、コントローラＥＣＵｎに同時に送信する送信手段２１１と、コントローラＥＣＵｎの各々から返信された返信信号の受信順に基づいて、異常の有無を判定する異常判定手段２１３と、を有する。車内ネットワークでは、ＢＵＳ１に、コントローラＥＣＵｎの各々から同時に信号（返信信号を含む）が出力された場合に、優先順位が高いコントローラの信号から順番に伝送される。【選択図】図２
2018011155.tif 000002
【特許請求の範囲】
【請求項１】
序列が異なる複数のコントローラが、共通の伝送路を介してゲートウェイ装置に通信可能に接続され、前記複数のコントローラから同時に信号が出力される場合、前記序列が高いコントローラの信号から順番に前記ゲートウェイ装置に伝送されるＣＡＮ通信システムであって、
前記ゲートウェイ装置は、
当該ゲートウェイ装置への返信を要求する返信要求信号を、前記共通の伝送路を介して、前記複数のコントローラに同時に送信する送信手段と、
前記コントローラの各々から返信信号を受信する受信手段と、
前記返信信号の受信順に基づいて、異常の有無を判定する異常判定手段と、を有する
ことを特徴とするＣＡＮ通信システム。
【請求項２】
前記ＣＡＮ通信システムでは、前記複数のコントローラのうち、遅れて出力されたコントローラの返信信号は、当該コントローラの序列よりも遅れて伝送され、
前記異常判定手段は、
前記コントローラの各々からの前記返信信号の受信順が、前記コントローラの序列順と異なる場合に、複数の前記コントローラの何れかと前記ゲートウェイ装置の間に不正なコントローラが介在するとして、異常ありと判定する請求項１に記載のＣＡＮ通信システム。
【請求項３】
前記異常判定手段は、
前記コントローラの各々からの前記返信信号の受信順が、前記コントローラの序列順と同じである場合に、異常なしと判定する請求項２に記載のＣＡＮ通信システム。
【請求項４】
前記返信要求信号には、前記コントローラ各々の序列を規定した序列データが付加されており、
前記コントローラは、
前記返信要求信号を受信すると、当該コントローラの序列を前記序列データを参照して特定し、特定した序列を示す情報を、前記返信信号に付加して送信する返信信号生成手段を有していることを特徴とする請求項１から請求項３の何れか一項に記載のＣＡＮ通信システム。
【請求項５】
前記送信手段は、前記ゲートウェイ装置の起動後に、前記共通の伝送路が前記返信要求信号で占有され続けるタイミングで、前記返信要求信号を連続して所定回数送信し、
前記異常判定手段は、
前記コントローラの各々からの前記返信信号が、前記コントローラの序列順で前記所定回数ずつ受信されていない場合に、異常ありと判定することを特徴とする請求項１、請求項２、請求項４の何れか一項に記載のＣＡＮ通信システム。
【請求項６】
前記送信手段による前記返信要求信号の送信回数は、
前記ゲートウェイ装置との間に不正なコントローラが介在する正規のコントローラの返信信号が、前記共通の伝送路に送信されるまでの間に、前記返信要求信号の送信が終了する回数に設定されていることを特徴とする請求項５に記載のＣＡＮ通信システム。
【請求項７】
前記異常判定手段は、
前記コントローラの各々からの前記返信信号が、前記コントローラの序列順で前記所定回数ずつ受信されている場合に、異常なしと判定する請求項５または請求項６に記載のＣＡＮ通信システム。
【請求項８】
前記異常判定手段は、
前記受信手段が受信した返信信号の返信元のコントローラの序列が、先に受信した返信信号の返信元のコントローラの序列よりも高い場合に、異常ありと判定することを特徴とする請求項５に記載のＣＡＮ通信システム。
【請求項９】
前記異常判定手段は、前記序列が同じコントローラからの返信信号を前記所定回数受信する間に、前記序列が同じコントローラよりも序列が高いコントローラからの返信信号を受信した場合に、異常ありと判定することを特徴とする請求項５に記載のＣＡＮ通信システム。
【請求項１０】
前記送信手段は、前記コントローラ各々の序列を規定した序列データを、前記返信要求信号に付加して送信すると共に、
前記返信要求信号を複数回送信する場合には、前記序列データにおいて最も序列が低いコントローラと、この最も序列が低いコントローラよりも序列が高いコントローラとの間で序列を入れ替えた確認用序列データを付加した返信要求信号を、少なくとも１回送信することを特徴とする請求項５から請求項９の何れか一項に記載のＣＡＮ通信システム。
【請求項１１】
前記返信要求信号の送信回数は、前記伝送路に接続された複数の前記コントローラのうち、前記返信信号の生成に最も時間のかかるコントローラでの前記返信信号の生成に要する時間に基づいて設定されていることを特徴とする請求項５から請求項１０の何れか一項に記載のＣＡＮ通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＣＡＮ通信システムに関する。
【背景技術】
【０００２】
車内ネットワークに接続された車載機器のコントローラ（ＣＰＵ）が、正規のコントローラ（ＣＰＵ）であるか否かを確認するために、外部サーバの情報を参照する技術が種々提案されている（例えば、特許文献１）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１４−１９３６５４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかし、特許文献１の技術の場合、自車両が、外部サーバと接続可能な通信環境下にいなければ、正規のコントローラ（ＣＰＵ）であるか否かを判断できないので、車内ネットワークに正規のコントローラ（ＣＰＵ）が接続されているか否かを適切に判断できるようにすることが求められている。
【課題を解決するための手段】
【０００５】
本発明は、
序列が異なる複数のコントローラが、共通の伝送路を介してゲートウェイ装置に通信可能に接続され、前記複数のコントローラから同時に信号が出力される場合、前記序列が高いコントローラの信号から順番に前記ゲートウェイ装置に伝送されるＣＡＮ通信システムであって、
前記ゲートウェイ装置は、
当該ゲートウェイ装置への返信を要求する返信要求信号を、前記共通の伝送路を介して、前記複数のコントローラに同時に送信する送信手段と、
前記コントローラの各々から返信信号を受信する受信手段と、
前記返信信号の受信順に基づいて、異常の有無を判定する異常判定手段と、を有する構成とした。
【発明の効果】
【０００６】
本発明によれば、車内ネットワークに正規のコントローラが接続されているか否かを適切に判断できる。
【図面の簡単な説明】
【０００７】
【図１】通常の車内ネットワークの概略構成図である。
【図２】車内ネットワークに接続されたゲートウェイとコントローラを説明する図である。
【図３】ゲートウェイＧ／Ｗが認証処理を実施する際のシーケンスチャートである
【図４】ＢＵＳとひとつのＥＣＵとの間に偽ＥＣＵが設けられた車内ネットワークの概略構成図である。
【図５】ゲートウェイＧ／Ｗが、返信要求信号を３回連続して送信する場合のシーケンスチャートである。
【図６】ゲートウェイＧ／Ｗが、返信要求信号を４回連続して送信する場合のシーケンスチャートである。
【発明を実施するための形態】
【０００８】
以下、本発明の実施の形態を、車両Ｖ内に敷設されたＣＡＮバス（以下、ＢＵＳ１と標記する）に、車両Ｖに搭載された各車載機器のコントローラ（ＥＣＵ１〜ＥＣＵｎ）が、ゲートウェイＧ／Ｗに通信可能に接続された車内ネットワーク２（ＣＡＮ：Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）の場合を例に挙げて説明する。
【０００９】
始めに、偽ＥＣＵ（非正規のコントローラ）が設けられていない通常の車内ネットワーク２と、この車内ネットワーク２に接続されたコントローラ（ＥＣＵ１〜ＥＣＵｎ）を説明する。
【００１０】
図１は、偽ＥＣＵが設けられていない通常の車内ネットワーク２の概略構成図である。
図２は、車内ネットワーク２に接続されたコントローラを説明する図であり、（ａ）は、コントローラの認証処理を行う機能を有するゲートウェイＧ／Ｗの認証処理に関わる部分のブロック図であり、（ｂ）は、ゲートウェイＧ／Ｗからの返信要求に従って、認証のための返信信号を生成する機能を有するコントローラ（以下、コントローラ（ＥＣＵｎ）とも標記する）の返信信号の生成に関わる部分のブロック図である。ここで、ＥＣＵｎの「ｎ」は、車内ネットワーク２に接続されたコントローラ（ＥＣＵ）の総数に応じて決まる任意の整数である。
【００１１】
図１に示すように、ＢＵＳ１には、ゲートウェイＧ／Ｗと、車両Ｖに搭載された車載機器のコントローラ（ＥＣＵ１、ＥＣＵ２、・・・、ＥＣＵｎ）と、が接続されており、コントローラ（ＥＣＵ１、ＥＣＵ２、・・・、ＥＣＵｎ）の各々は、共通のＢＵＳ１（伝送路）を介して、ゲートウェイＧ／Ｗおよび他のコントローラとの間で情報（信号）の交換を行えるようになっている。
【００１２】
ゲートウェイＧ／Ｗは、車載機器のコントローラ（ＥＣＵ１、ＥＣＵ２、・・・、ＥＣＵｎ）から出力された情報を集約するノードであり、本実施形態では不正アクセスを検知するセキュリティ機能を備えたコントローラである。なお、このゲートウェイＧ／Ｗは、異なるプロトコル間のフレーム変換機能や、異常を検知するセーフティ機能等を備えていてもよい。
【００１３】
また、ゲートウェイＧ／Ｗには、通信プロトコル毎に系統化された車載ネットワーク、或いは、制御系や安全系といった機能別に系統化された車載ネットワークといった複数の車載ネットワークを接続してもよい。本実施形態では、一つの車載ネットワーク２を取り上げて説明する。
【００１４】
車内ネットワーク２では、各コントローラ（ＥＣＵ１、ＥＣＵ２、・・・、ＥＣＵｎ）の出力信号がＢＵＳ１に同時に出力されると、優先順位（序列）の高いコントローラからの出力信号のほうが、優先順位（序列）の低いコントローラからの出力信号よりも先に伝送されるようになっている。
そのため、各コントローラの出力信号がＢＵＳ１に同時に出力されると、優先順位の高いコントローラの出力信号から順番に、ＢＵＳ１を通って伝送されるようになっている。
一方、各コントローラ（ＥＣＵ１、ＥＣＵ２、・・・、ＥＣＵｎ）の出力信号が異なるタイミング（非同時）で出力された場合には、出力された順番で、それらの出力信号がＢＵＳ１に伝送されるようになっている。
【００１５】
実施の形態では、ＢＵＳ１に接続された各コントローラ（ＥＣＵ１、ＥＣＵ２、・・・、ＥＣＵｎ）に、それぞれ異なる優先順位（序列）が設定されている。
コントローラ（ＥＣＵ１、ＥＣＵ２、・・・、ＥＣＵｎ）には、ＥＣＵ１からＥＣＵｎになるほど、低い優先順位が設定されている。
【００１６】
図２の（ａ）に示すように、ゲートウェイＧ／Ｗは、記憶部２０と、ＣＰＵ２１と、入出力ポート（Ｉ／Ｏ）２２と、を備えており、これらは、内部バス２３を介して、互いに接続されている。
このゲートウェイＧ／Ｗの入出力ポート２２には、ＢＵＳ１と、イグニッションスイッチ２４と、スピーカ２５と、インジケータパネル２６と、が接続されている。
【００１７】
ゲートウェイＧ／Ｗは、イグニッションスイッチ２４のオン操作により当該ゲートウェイＧ／Ｗが起動すると、ＢＵＳ１に接続された車載機器のコントローラ（ＥＣＵ１、ＥＣＵ２、・・・、ＥＣＵｎ）の認証処理を行って、偽ＥＣＵ（非正規のコントローラ）がＢＵＳ１に接続されているか否かを確認する機能を有している。
【００１８】
記憶部２０は、不揮発性メモリなどから構成されており、認証処理に必要なプログラムなどを記憶すると共に、認証処理の過程で算出された値や、認証処理の過程で参照される参照値などを記憶する。
【００１９】
ＣＰＵ２１は、送信手段２１１と、受信手段２１２と、異常判定手段２１３と、報知手段２１４と、認証手段２１５と、を有しており、記憶部２０に記憶されているプログラムに基づいて、認証処理を実施する。
【００２０】
送信手段２１１は、ＢＵＳ１に接続されたコントローラ（ＥＣＵ１〜ＥＣＵｎ）の認証処理を行うために、ゲートウェイＧ／Ｗへの返信を要求する返信要求信号（認証スタートメッセージ）を、ＢＵＳ１を介して、コントローラ（ＥＣＵ１〜ＥＣＵｎ）に送信する。
受信手段２１２は、各コントローラ（ＥＣＵ１〜ＥＣＵｎ）から返信された返信信号（応答メッセージ）を受信する。
【００２１】
異常判定手段２１３は、コントローラ（ＥＣＵ１〜ＥＣＵｎ）の各々から返信された返信信号の受信順に基づいて、異常の有無を判定する。
具体的には、ＢＵＳ１に偽ＥＣＵ（非正規のコントローラ）が接続されているか否かを確認し、偽ＥＣＵが接続されていると判定された場合に、「異常あり」と判定する。
また、異常判定手段２１３は、偽ＥＣＵが接続されていないと判定された場合に、「異常なし」と判定する。
【００２２】
報知手段２１４は、異常判定手段が「異常あり」と判定した場合に、インジケータパネル２６の警告灯２６１を点灯させて、自車両の乗員などに異常の発生を報知する。
なお、スピーカ２５からの音声情報の出力により、「異常あり」と判定された旨を、報知するようにしても良い。
【００２３】
認証手段２１５は、各コントローラ（ＥＣＵ１〜ＥＣＵｎ）から返信された返信信号（応答メッセージ）に基づいて、返信信号を返信した各コントローラ（ＥＣＵ１〜ＥＣＵｎ）の認証処理を実施する。
【００２４】
図２の（ｂ）に示すように、コントローラＥＣＵｎは、記憶部３０と、ＣＰＵ３１と、入出力ポート（Ｉ／Ｏ）３２と、を備えており、これらは、内部バス３３を介して、互いに接続されている。
このコントローラＥＣＵｎの入出力ポート３２には、ＢＵＳ１が接続されている。
【００２５】
コントローラＥＣＵｎは、ＢＵＳ１の信号レベルを確認して、他のコントローラの出力信号が、ＢＵＳ１を介して伝送されているか否かを確認し、他のコントローラの出力信号が伝送されている場合には、他のコントローラの出力信号の伝送完了を待って、コントローラＥＣＵｎで生成した出力信号を、ＢＵＳ１に出力するように構成されている。
【００２６】
さらに、コントローラＥＣＵｎで生成した出力信号をＢＵＳ１に出力している間も、ＢＵＳ１の信号レベルを確認し、優先順位が自分よりも高いコントローラの出力信号もＢＵＳ１に同時に出力されている場合には、出力信号のＢＵＳ１への出力を中止し、優先順位が自分よりも高いコントローラの出力信号の伝送終了を待って、コントローラＥＣＵｎで生成した出力信号を、ＢＵＳ１に再度出力するように構成されている。
【００２７】
ここで、コントローラＥＣＵｎが、ゲートウェイＧ／Ｗからの返信要求信号を受信した場合には、それぞれのコントローラＥＣＵｎは、認証のための返信信号を生成し、生成した返信信号を、ＢＵＳ１を介してゲートウェイＧ／Ｗに返信する機能を有している。コントローラＥＣＵｎが、ゲートウェイＧ／Ｗからの返信要求信号を受信して、それぞれのコントローラＥＣＵｎが同時に返信信号を出力すると、上述したように、それぞれのコントローラＥＣＵｎは、優先順位が自分よりも高いコントローラの返信信号の伝送終了を待って、自身の返信信号をＢＵＳ１に再度出力するように構成されている。
【００２８】
記憶部３０は、不揮発性メモリなどから構成されており、返信信号の生成処理に必要なプログラムなどを記憶すると共に、返信信号の生成処理の過程で算出された値や、返信信号の生成処理の過程で参照される参照値などを記憶する。
【００２９】
ＣＰＵ３１は、返信信号生成手段３１１を有しており、記憶部３０に記憶されているプログラムに基づいて、返信信号の生成処理を実施する。
返信信号生成手段３１１は、ゲートウェイＧ／Ｗからの返信要求信号を受信すると、返信信号を生成し、生成した返信信号を、ＢＵＳ１を介してゲートウェイＧ／Ｗに返信する。
【００３０】
以下、ゲートウェイＧ／Ｗが認証処理を実施する際のゲートウェイＧ／Ｗとコントローラ（ＥＣＵ１〜ＥＣＵｎ）で実施される処理と、ゲートウェイＧ／Ｗとコントローラ（ＥＣＵ１〜ＥＣＵｎ）との間で交換される信号（情報）を説明する。
図３は、ゲートウェイＧ／Ｗが認証処理を実施する際のシーケンスチャートである。
【００３１】
図３に示すように、イグニッションスイッチ２４のオン操作によりゲートウェイＧ／Ｗが起動すると（ステップＳ１０１、Ｙｅｓ）、ステップＳ１０２においてゲートウェイＧ／Ｗの送信手段２１１は、ＢＵＳ１に接続された車載機器のコントローラ（ＥＣＵ１〜ＥＣＵｎ）の認証処理を行うために、ゲートウェイＧ／Ｗへの返信を要求する返信要求信号（認証スタートメッセージ）を生成する。
【００３２】
ここで、返信要求信号は、ゲートウェイＧ／Ｗの優先順位を示す識別ＩＤと、ＢＵＳ１に接続された車載機器の各コントローラ（ＥＣＵ１〜ＥＣＵｎ）での返信信号の生成に必要な情報（必須情報）と、を含んでいる。
各コントローラ（ＥＣＵ１〜ＥＣＵｎ）での返信信号の生成に必要な必須情報は、コントローラ毎に用意されており、例えば、コントローラＥＣＵ１での処理に必要な情報には、コントローラＥＣＵ１の優先順位を示す情報（識別子ＩＤ）と、コントローラＥＣＵ１で生成される返信信号に付加させる情報（付加情報）とが含まれており、これらの情報は、コントローラＥＣＵ１でのみ復号可能な方式で暗号化されている。
なお、返信要求信号では、ゲートウェイＧ／Ｗの識別子ＩＤと、各コントローラ（ＥＣＵ１〜ＥＣＵｎ）の各必須情報とが、直列に連なっている。
【００３３】
そして、返信要求信号の生成（ステップＳ１０２）が完了すると、ステップＳ１０３において送信手段２１１は、生成した返信要求信号を、入出力ポート２２を介してＢＵＳ１に出力する。
これにより、ＢＵＳ１に直接接続された他の車載機器のコントローラ（ＥＣＵ１〜ＥＣＵｎ）は、ゲートウェイＧ／Ｗが送信した返信要求信号を同時に受信することになる。
【００３４】
返信要求信号を受信したコントローラ（ＥＣＵ１〜ＥＣＵｎ）の返信信号生成手段３１１は、返信信号を生成する（ステップＳ１０４）。
具体的には、各コントローラ（ＥＣＵ１〜ＥＣＵｎ）は、返信要求信号の復号化により、返信信号の生成に必要な必須情報、すなわち、コントローラの優先順位を示す情報（識別子ＩＤ）と、コントローラで生成される返信信号に付加させる情報（付加情報）とを取得する。
【００３５】
ここで、コントローラ（ＥＣＵ１）の場合を例に挙げて説明すると、コントローラ（ＥＣＵ１）は、返信要求信号に含まれる必須情報であって、当該コントローラ（ＥＣＵ１）での返信信号の生成に必要な必須情報を復号化により取得する。
すなわち、各コントローラ（ＥＣＵ１〜ＥＣＵｎ）は、自身での返信信号の生成に必要な必須情報を復号化して取得できるようになっている。
【００３６】
そして、各コントローラ（ＥＣＵ１〜ＥＣＵｎ）の返信信号生成手段３１１は、自身での返信信号の生成に必要な必須情報から、識別子ＩＤと付加情報とを取得し、取得した付加情報をゲートウェイＧ／Ｗで復号可能な方式で暗号化し、暗号化した付加情報に、コントローラの優先順位を示す情報（識別子ＩＤ）を付加して返信信号を生成する。
【００３７】
例えば、コントローラＥＣＵ１の場合には、返信信号生成手段３１１は、コントローラＥＣＵ１の優先順位を示す情報（識別子ＩＤ）と、コントローラ（ＥＣＵ１）用の付加情報とを、返信要求信号から取得する。
そして、返信信号生成手段３１１は、取得した付加情報をゲートウェイＧ／Ｗで復号可能な方式で暗号化し、暗号化した付加情報に、識別子ＩＤに付加して、コントローラ（ＥＣＵ１）専用の返信信号を生成する。
【００３８】
ここで、前記したように、コントローラ（ＥＣＵ１）用の付加情報は、コントローラ（ＥＣＵ１）でのみ復号化可能な方式で暗号化されている。なお、このようなゲートウェイＧ／ＷとコントローラＥＣＵｎの間の通信には、ＭＡＣ（Message Authentication Code）を利用することが知られている。
【００３９】
そして、各コントローラ（ＥＣＵ１〜ＥＣＵｎ）は、生成した返信信号を、ゲートウェイＧ／Ｗに返信するために、ＢＵＳ１に出力する（ステップＳ１０５）。
前記したように、ＢＵＳ１に複数の信号が出力された場合、優先順位の高い信号から順番に、伝送されるようになっている。
【００４０】
そのため、各コントローラ（ＥＣＵ１〜ＥＣＵｎ）から、返信信号がＢＵＳ１に同時に出力されると、コントローラＥＣＵ１の返信信号、コントローラＥＣＵ２の返信信号、コントローラＥＣＵ３の返信信号、・・・、コントローラＥＣＵｎの返信信号という順番で、ゲートウェイＧ／Ｗに入力されることになる。
【００４１】
そして、ゲートウェイＧ／Ｗでは、受信手段２１２が、コントローラ（ＥＣＵ１〜ＥＣＵｎ）から返信された返信信号を受信すると、ステップＳ１０６において認証手段２１５が、返信信号に含まれた付加情報に基づいて、認証の成立／不成立を判定する。
具体的には、ゲートウェイＧ／Ｗの認証手段２１５は、受信した返信信号の識別子ＩＤから、返信信号を送信したコントローラ（ＥＣＵ１〜ＥＣＵｎ）を特定すると共に、返信情報の復号化により、付加情報を取得する。
そして、取得した付加情報と、前記した返信要求信号に付加した付加情報とを比較して、両付加情報が一致した場合に、認証が成立したと判定し、一致しない場合に認証が成立しない（認証不成立）と判定する。
【００４２】
例えば、コントローラＥＣＵ１からの返信信号の場合、返信信号から取得した付加情報と、返信要求信号に付加した付加情報であってコントローラＥＣＵ１用の付加情報と、を比較し、両付加情報が一致した場合に、認証が成立したと判定される。
【００４３】
続くステップＳ１０７において、ゲートウェイＧ／Ｗの異常判定手段２１３は、ゲートウェイＧ／Ｗでの返信信号の受信順に基づいて、車内ネットワーク２に偽ＥＣＵ（非正規のコントローラ）が接続されているか否かを確認し、偽ＥＣＵが接続されていると判定された場合には、「異常あり」と判定し、偽ＥＣＵが接続されていると判定されなかった場合には、「異常なし」と判定する。
なお、このステップＳ１０７の処理については、後に詳細に説明する。
【００４４】
続くステップＳ１０８において、ゲートウェイＧ／Ｗの報知手段２１４は、前記したステップＳ１０６において「認証不成立」と判定されていた場合には、「認証不成立」である旨を報知するための音声情報を、スピーカ２５から出力する。
また、前記したステップＳ１０７において、「異常あり」と判定されていた場合には、報知手段２１４は、車内ネットワーク２に偽ＥＣＵが接続されていることを報知するために、インジケータパネル２６に設けた警告灯２６１を点灯させる。
【００４５】
さらに、報知手段２１４は、記憶部２０に記憶された異常判定用のフラグを「オン」にする。これにより、車両Ｖの点検などのために、ゲートウェイＧ／Ｗに外部の検査機器が接続された際に、検査機器側で、「異常あり」と判定されていたことを把握できるようになる。
なお、この際に、車内ネットワーク２に偽ＥＣＵが接続されていることを報知するための音声情報を、スピーカ２５から出力しても良い。
【００４６】
以下、異常判定手段２１３による異常の有無の判定を、ＢＵＳ１に接続されているコントローラが３つである場合であって、ＢＵＳ１とコントローラＥＣＵ１との間に、偽ＥＣＵ（非正規のコントローラ）が設けられている場合を例に挙げて説明する。
【００４７】
図４の（ａ）は、ＢＵＳ１（ＣＡＮバス）とＥＣＵ１（コントローラ）との間に、偽ＥＣＵ（非正規のコントローラ）が設けられている場合の車内ネットワーク２の概略構成図であり、（ｂ）は、（ａ）の場合において、ゲートウェイＧ／Ｗが認証処理を実施する際のシーケンスチャートである。
【００４８】
ここで、偽ＥＣＵが、ゲートウェイＧ／Ｗとコントローラ（ＥＣＵ１）と間の通信を仲介し、正規のコントローラ（ＥＣＵ１）からの返信信号を、そのままゲートウェイＧ／Ｗに入力する場合には、通常の認証処理（図３：ステップＳ１０６）では、この偽ＥＣＵの存在を検知できない。以下においては、このような偽ＥＣＵを想定したセキュリティ対策について説明する。
【００４９】
ゲートウェイＧ／Ｗからの返信要求信号が、偽ＥＣＵとコントローラ（ＥＣＵ２、ＥＣＵ３）で同時に受信されると、偽ＥＣＵが、受信した返信要求信号をコントローラ（ＥＣＵ１）に転送する一方で、コントローラ（ＥＣＵ２、ＥＣＵ３）は、返信信号を生成してゲートウェイＧ／Ｗに返信する。
そうすると、コントローラ（ＥＣＵ１）は、転送された返信要求信号に応じて返信信号を生成して、ゲートウェイＧ／Ｗに返信することになるが、この返信信号もまた、偽ＥＣＵにより転送されるので、偽ＥＵＣが介在するコントローラ（ＥＣＵ１）からの返信信号は、他のコントローラ（ＥＣＵ２、ＥＣＵ３）からの返信信号に遅れて、ゲートウェイＧ／Ｗに入力されることになる。
【００５０】
この際に、コントローラ（ＥＣＵ２、ＥＣＵ３）からの返信信号のゲートウェイＧ／Ｗでの受信から、コントローラ（ＥＣＵ１）からの返信信号のゲートウェイＧ／Ｗでの受信までの遅延時間Ｔは、偽ＥＣＵによる転送遅延の時間Ｔｘの２回分に相当する（Ｔ＝２×Ｔｘ）。
【００５１】
そうすると、車内ネットワーク２（ＣＡＮ通信ネットワーク）では、まず、同時に出力された返信信号のなかでコントローラ（ＥＣＵ２、ＥＣＵ３）の優先順位（ＥＣＵ２→ＥＣＵ３）に応じて、当該返信信号が伝送され、次いで、遅れて出力されたコントローラ（ＥＣＵ１）からの返信信号が伝送される。この結果、ゲートウェイＧ／Ｗは、ＥＣＵ２→ＥＣＵ３→ＥＣＵ１の順番で返信信号を受信する。
【００５２】
すなわち、偽ＥＣＵが介在するコントローラ（ＥＣＵ１）の返信信号は、本来の優先順（ＥＣＵ１→ＥＣＵ２→ＥＣＵ３）からは繰り下がって伝送されることとなる。
【００５３】
そのため、異常判定手段２１３は、前記した異常判定処理Ｓ１０７の際に、コントローラ（ＥＣＵｎ）からの返信信号が、予め設定された優先順位の高い順番で入力されたか否かを確認し、コントローラ（ＥＣＵｎ）からの返信信号を、優先順位に応じた順番で受信しない場合に、車内ネットワーク２に非正規のコントローラが接続されていると認定して、「異常あり」と判定するようになっている。
【００５４】
これにより、ゲートウェイＧ／Ｗとコントローラ（ＥＣＵ１）と間の通信を仲介する機能を有する偽ＥＣＵが、ＢＵＳ１とコントローラ（ＥＣＵ１）との間に設置されている場合のように、認証手段２１５での認証処理では、非正規のコントローラ（偽ＥＣＵ）の存在をゲートウェイＧ／Ｗ側で検知できない場合であっても、異常判定手段２１３による上記した判定処理により、非正規のコントローラ（偽ＥＣＵ）の存在を検知できるようになっている。
【００５５】
なお、異常判定手段２１３は、コントローラ（ＥＣＵｎ）からの返信信号を、優先順位に応じた順番で受信した場合には、車内ネットワーク２に非正規のコントローラが接続されていないと認定して、「異常なし」と判定する。
【００５６】
以上の通り、実施の形態では、
（１）優先順位（序列）が異なる複数のコントローラ（ＥＣＵ１〜ＥＣＵｎ）が、ＢＵＳ１（共通の伝送路）を介してゲートウェイ装置（Ｇ／Ｗ）に通信可能に接続されていると共に、複数のコントローラ（ＥＣＵ１〜ＥＣＵｎ）から同時に信号が出力された場合に、優先順位が高いコントローラの信号から順番にゲートウェイ装置（Ｇ／Ｗ）に伝送されるＣＡＮ通信システムであって、
ゲートウェイ装置（Ｇ／Ｗ）は、
当該ゲートウェイ装置（Ｇ／Ｗ）への返信を要求する返信要求信号を、ＢＵＳ１を介して、複数のコントローラ（ＥＣＵ１〜ＥＣＵｎ）に同時に送信する送信手段２１１と、
コントローラ（ＥＣＵ１〜ＥＣＵｎ）の各々からの返信信号を受信する受信手段２１２と、
返信信号の受信順に基づいて、異常の有無を判定する異常判定手段２１３と、を有する構成とした。
【００５７】
ＢＵＳ１と、正規のコントローラ（ＥＣＵ１〜ＥＣＵｎ）うちの少なくともひとつとの間に、ＢＵＳ１と正規のコントローラとの間の信号の伝達を仲介する非正規のコントローラ（偽ＥＣＵ）が設置されている場合には、信号の伝達に偽ＥＣＵが介在する分だけ、返信信号がＢＵＳ１に出力されるタイミングが遅延する。
そうすると、例えば、偽ＥＣＵが、ＢＵＳ１とコントローラ（ＥＣＵ１）との間に設けられている場合には、偽ＥＣＵを介してＢＵＳ１に接続された正規のコントローラ（ＥＣＵ１）が出力する返信信号は、このコントローラ（ＥＣＵ１）よりも優先順位の低いコントローラ（ＥＣＵ２）が出力する返信信号よりも遅れて、ゲートウェイＧ／Ｗの受信手段２１２で受信されることになる。
よって、上記のように構成して、コントローラから返信された返信信号の受信順を確認することで、信号の伝達を仲介する非正規のコントローラ（偽ＥＣＵ）が接続されているか否かを適切に判断できる。
【００５８】
（２）ＣＡＮ通信システムでは、他のコントローラからの返信信号の出力に遅れて出力された返信信号は、当該遅れて出力された返信信号の返信元のコントローラの優先順位（序列）よりも遅れて伝送されるように構成されており、
異常判定手段２１３は、
コントローラ（ＥＣＵ１〜ＥＣＵｎ）の各々から返信された返信信号の受信順が、コントローラ（ＥＣＵ１〜ＥＣＵｎ）の優先順位の順番と異なる場合に、複数のコントローラ（ＥＣＵ１〜ＥＣＵｎ）の何れかと、ゲートウェイ装置（Ｇ／Ｗ）との間に不正なコントローラが介在するとして、「異常あり」と判定し、
コントローラ（ＥＣＵ１〜ＥＣＵｎ）の各々から返信された返信信号の受信順が、コントローラ（ＥＣＵ１〜ＥＣＵｎ）の優先順位の順番と同じである場合に、「異常なし」と判定し、
車内ネットワーク２は、
異常判定手段２１３が「異常あり」と判定した場合に、異常の発生を報知する報知手段２１４をさらに備えている構成とした。
【００５９】
前記したように、ＢＵＳ１と、何れかのコントローラ（ＥＣＵ１〜ＥＣＵｎ）との間に、信号の伝達を仲介する非正規のコントローラ（偽ＥＣＵ）が設置されている場合には、信号の伝達に偽ＥＣＵが介在する分だけ、返信信号がＢＵＳ１に出力されるタイミングが遅延する。
よって、上記のように構成すると、コントローラ（ＥＣＵ１〜ＥＣＵｎ）から返信された返信信号の受信順と、コントローラ（ＥＣＵ１〜ＥＣＵｎ）の優先順位の順番とを比較することで、偽ＥＣＵ（非正規のコントローラ）が接続されているか否かを適切に判断できる。
【００６０】
また、異常判定手段２１３が「異常あり」と判定した場合に、報知手段２１４が、（ａ）インジケータパネル２６の警告灯２６１を点灯させて、車両Ｖの乗員などに異常の発生を報知する、および／または（ｂ）スピーカ２５からの音声情報の出力により、「異常あり」と判定された旨を報知することで、車内ネットワーク２に偽ＥＣＵが設置されたと認められる異常の検知を、車両Ｖの乗員に確実に伝えることができる。
【００６１】
さらに、異常判定手段２１３が「異常あり」と判定した場合に、報知手段２１４が、（ｃ）記憶部２０に記憶された異常判定用のフラグを「オン」にすることで、車両Ｖの点検などのために、ゲートウェイＧ／Ｗに外部の検査機器が接続された際に、検査機器側で、「異常あり」と判定されていたことを把握できるようになる。
【００６２】
（３）返信要求信号には、コントローラ（ＥＣＵ１〜ＥＣＵｎ）各々の優先順位を規定した序列データ（識別ＩＤ）が付加されており、
コントローラ（ＥＣＵ１〜ＥＣＵｎ）は、
返信要求信号を受信すると、当該コントローラ（ＥＣＵ１〜ＥＣＵｎ）の優先順位を識別ＩＤを参照して特定し、特定した優先順位を示す識別ＩＤを、返信信号に付加して送信する返信信号生成手段３１１を有している構成とした。
【００６３】
このように構成すると、コントローラ（ＥＣＵ１〜ＥＣＵｎ）から返信される返信信号に、優先順位を示す識別ＩＤが付加されているので、コントローラ（ＥＣＵ１〜ＥＣＵｎ）から出力される返信信号を、優先順位に応じた適切な順番で、ゲートウェイＧ／Ｗに伝送することができる。
【００６４】
特に、コントローラ（ＥＣＵ１〜ＥＣＵｎ）は、当該コントローラ（ＥＣＵ１〜ＥＣＵｎ）で生成した出力信号をＢＵＳ１に出力している間も、ＢＵＳ１の信号レベルを確認し、優先順位が自分よりも高いコントローラの出力信号もＢＵＳ１に同時に出力されている場合には、出力信号のＢＵＳ１への出力を中止し、優先順位が自分よりも高いコントローラの出力信号の伝送終了を待って、コントローラＥＣＵｎで生成した出力信号を、ＢＵＳ１に再度出力するように構成されているものとしたので、各コントローラ（ＥＣＵ１〜ＥＣＵｎ）からＢＵＳ１への信号の出力が同じタイミングで行われた場合であっても、優先順位の高い信号から順番に、ＢＵＳ１を介して伝送することができる。
【００６５】
さらに、ゲートウェイＧ／Ｗ側で、返信要求信号に含まれる序列データを設定する構成とすることで、コントローラ（ＥＣＵ１〜ＥＣＵｎ）各々の優先順位を、コントローラ（ＥＣＵ１〜ＥＣＵｎ）各々の本来の機能の発揮を阻害することがない範囲内で変更することが可能である構成としたので、コントローラ（ＥＣＵ１〜ＥＣＵｎ）各々からＢＵＳ１に出力される返信信号の順番を定期的に変更することができる。
【００６６】
［変形例１］
前記した実施の形態では、ゲートウェイＧ／Ｗが、返信要求信号を１回送信しており、コントローラ（ＥＣＵ１〜ＥＣＵｎ）が、返信要求信号を同じタイミングで受信して、同じタイミングで返信信号の生成を開始するようになっている。
しかし、ＢＵＳ１に接続された車載機器のコントローラ（ＥＣＵ１〜ＥＣＵｎ）は、コントローラ毎に処理速度などの性能が異なっており、処理速度が遅いコントローラの場合には、当該コントローラよりも優先順位の低いコントローラのほうが先に返信信号を生成する場合も想定される。
この場合には、偽ＥＣＵが設けられていないにもかかわらず、異常判定手段２１３が、「異常あり」と判定する可能性がある。
【００６７】
そこで、変形例１では、ゲートウェイＧ／Ｗが、返信要求信号を複数回連続して送信するように設定されており、返信要求信号の送信回数は、ＢＵＳ１に接続されたコントローラ（ＥＣＵ１〜ＥＣＵｎ）のうち、最も返信信号の生成に時間のかかるコントローラでの返信信号の生成に要する時間に基づいて設定されている。
【００６８】
以下、ゲートウェイＧ／Ｗが、返信要求信号を複数回連続して送信するように設定されている場合を例に挙げて説明する。
図５は、ゲートウェイＧ／Ｗが、返信要求信号を３回連続して送信する場合のシーケンスチャートであって、ＢＵＳ１に接続された３つのコントローラ（ＥＣＵ１〜ＥＣＵ３）のうち、ＢＵＳ１とコントローラ（ＥＣＵ１）との間に偽ＥＣＵが設けられている場合のシーケンスチャートである。
【００６９】
ＢＵＳ１に直接接続されたコントローラ（ＥＣＵ２、ＥＣＵ３）は、返信要求信号の受信から返信信号の生成までに要する時間Δｔａ、Δｔｂが異なっており、優先順位の高いコントローラ（ＥＣＵ２）のほうが、このコントローラ（ＥＣＵ２）よりも優先順位の低いコントローラ（ＥＣＵ３）より、返信信号の生成に時間がかかるようになっている。
そのため、返信要求信号を１回のみ送信すると、コントローラ（ＥＣＵ２）の返信信号のほうが、コントローラ（ＥＣＵ３）の返信信号よりも遅れて生成されるので、コントローラ（ＥＣＵ２）の返信信号のＢＵＳ１への出力タイミングが、コントローラ（ＥＣＵ３）の返信信号の出力タイミングよりも遅れてしまう。
【００７０】
そうすると、ＢＵＳ１では、異なるタイミングで信号が出力された場合に、ＢＵＳ１に信号を出力した順番で、信号が伝送されるようになっており、他のコントローラからの返信信号の出力に遅れて出力された返信信号は、当該遅れて出力された返信信号の返信元のコントローラの優先順位（序列）よりも遅れて伝送されるようになっているので、コントローラ（ＥＣＵ３）の返信信号のほうが、コントローラ（ＥＣＵ２）の返信信号よりも先にゲートウェイＧ／Ｗに伝送される結果、偽ＥＣＵが設けられていないにもかかわらず、コントローラ（ＥＣＵ２）に対して「異常あり」と判定されてしまう。
【００７１】
そのため、かかる事態の発生を防止するために、変形例１では、返信信号の生成が遅いコントローラ（ＥＣＵ２）での返信信号の生成を待ってから、各コントローラがＢＵＳ１に返信信号を出力するようにするために、ゲートウェイＧ／Ｗが、返信要求信号を連続して複数回送信するようになっている。
【００７２】
前記したように、車内ネットワーク２では、共通のＢＵＳ１を利用して、各コントローラが信号の送受信を行うようになっており、ＢＵＳ１で伝送される信号が競合した場合には、競合した信号のうち、優先順位が最も高いコントローラが出力した信号のみが伝送されるように設定されている。
そして、ゲートウェイＧ／Ｗの優先順位は、コントローラ（ＥＣＵ１〜ＥＣＵ３）よりも高いので、ゲートウェイＧ／Ｗが返信要求信号を出力してＢＵＳ１を占有している間は、コントローラ（ＥＣＵ１〜ＥＣＵ３）は、ＢＵＳ１を介して信号を送信できないようになっている。
【００７３】
そのため、実施の形態では、返信信号の生成が最も遅いコントローラ（図５の場合には、コントローラ（ＥＣＵ２））での返信信号の生成に要する時間Δｔａよりも長い時間（Δｔ）、ゲートウェイＧ／Ｗが返信要求信号を繰り返し送信している。
なお、ゲートウェイＧ／Ｗによる返信要求信号の送信間隔Δｔｘ（図５参照）は、総ての返信要求信号の送信が完了するまでＢＵＳ１を占有して、ＢＵＳ１に接続された他のコントローラから信号を送信させないようにすることができる送信間隔に設定されている。
【００７４】
そして、返信要求信号が送信されている間にコントローラ（ＥＣＵ２、ＥＣＵ３）が生成した返信信号は、ＢＵＳ１が返信要求信号の伝送に占有されているので、当該コントローラ（ＥＣＵ２、ＥＣＵ３）の記憶部３０に記憶され、返信要求信号によるＢＵＳ１の占有が終了したのちに、優先順位の高い返信信号から伝送されるようになっている。
【００７５】
図５の場合には、ゲートウェイＧ／Ｗが、返信要求信号を合計３回送信するようになっており、この返信要求信号が送信されている間は、ＢＵＳ１がこの返信要求信号により占有されるので、コントローラ（ＥＣＵ３）の返信信号が、ＢＵＳ１を介してゲートウェイＧ／Ｗに伝送されないようになっている。
【００７６】
なお、返信要求信号が送信されている間に、コントローラ（ＥＣＵ２）による返信信号の生成が完了するので、返信要求信号の送信が完了した時点で、コントローラ（ＥＣＵ２）による返信信号と、コントローラ（ＥＣＵ３）による返信信号とが競合することになるが、コントローラ（ＥＣＵ２）のほうが、コントローラ（ＥＣＵ３）よりも優先順位が高いので、コントローラ（ＥＣＵ２）の返信信号が、先に生成されたコントローラ（ＥＣＵ３）の返信信号よりも先に、ＢＵＳ１を介してゲートウェイＧ／Ｗに伝送されるようになっている。
【００７７】
ここで、図５の場合にも、ＢＵＳ１とコントローラ（ＥＣＵ１）との間に、前記した実施の形態の場合と同じ信号の転送機能を有する偽ＥＣＵが設けられている。
この場合には、偽ＥＣＵによる２回の転送に起因して、正規のコントローラ（ＥＣＵ１）が生成した返信信号の伝送が遅延する結果、コントローラ（ＥＣＵ１）の返信信号が、コントローラ（ＥＣＵ２）の返信信号に遅れて、ゲートウェイＧ／Ｗに伝送されることになる。
【００７８】
したがって、この場合には、ゲートウェイＧ／Ｗに返信信号が伝送される順序が、予め決められた優先順位と異なることになるので、前記した異常判定手段２１３が、コントローラ（ＥＣＵ１）に対して「異常あり」と判定することになる。
【００７９】
なお、ゲートウェイＧ／Ｗが返信要求信号を繰り返し送信する回数（時間（Δｔ））は、少なくとも正規のコントローラ（ＥＣＵ１）が生成した最初の返信信号が偽ＥＣＵに伝送される前までに、返信要求信号によるＢＵＳ１の占有が終了する回数（時間）に設定されている。
返信要求信号によるＢＵＳ１の占有が終了するまでの間に、正規のコントローラ（ＥＣＵ１）が生成した返信信号が偽ＥＣＵに伝送されていると、ゲートウェイＧ／Ｗに返信信号が伝送される順序が、予め決められた優先順位と同じになって、偽ＥＣＵの存在を検出できなくなる場合があるからである。
【００８０】
このように変形例１では、ＢＵＳ１に直接接続された正規のコントローラ（ＥＣＵ２、ＥＣＵ３）各々が、コントローラ（ＥＣＵ２、ＥＣＵ３）における返信信号の生成に要する時間の差（信号処理能力の差）に起因して、「異常あり」と誤って判定されることを防止しつつ、ＢＵＳ１に偽ＥＣＵ１を介して接続された正規のコントローラ（ＥＣＵ１）に対して、「異常あり」と正確に判定できるようになっている。
【００８１】
なお、この変形例１の場合には、コントローラ（ＥＣＵ１〜ＥＣＵ３）からの返信信号が、返信要求信号と同じ回数、予め決められた優先順位の順番でゲートウェイＧ／Ｗに入力されたか否かを確認することで、偽ＥＣＵの有無を判定している。
すなわち、変形例１の場合には、コントローラ（ＥＣＵ１〜ＥＣＵ３）からの返信信号が、返信要求信号と同じ回数、予め決められた優先順位の順番でゲートウェイＧ／Ｗに入力された場合に、偽ＥＣＵが設けられていない（「異常なし」）と判定するようになっている。
【００８２】
しかし、図６に示すように、返信要求信号の送信時間Δｔ（送信回数）が長く（多く）なると、コントローラ（ＥＣＵ２）が生成した返信信号を送信している途中で、正規のコントローラ（ＥＣＵ１）が生成した返信信号が、偽ＥＣＵに伝送されて、偽ＥＣＵが、正規のコントローラ（ＥＣＵ１）が生成した返信信号をＢＵＳ１に出力する場合がある。
【００８３】
この場合には、コントローラ（ＥＣＵ２）が生成した返信信号の総てがゲートウェイＧ／Ｗに伝送される前に、コントローラ（ＥＣＵ１）が生成した返信信号が、ゲートウェイＧ／Ｗに伝送されることになる。
【００８４】
そのため、異常判定手段２１３は、（ａ）直前の返信信号の優先順位よりも高い優先順位の返信信号を受信した場合や、（ｂ）直前の返信信号の優先順位よりも高い優先順位の返信信号を受信したのちに、直前に伝送された返信信号を再び受信した場合に、「異常あり」と判定することが好ましい。
【００８５】
また、優先順位が最も低いコントローラ（図５の場合には、ＥＣＵ３）とＢＵＳ１との間に偽ＥＣＵが設けられている場合には、ＥＣＵ３は優先順位が最も低く、ＥＣＵ３よりも後に返信信号を送信するＥＣＵが存在しないため、上記した方法のみで、偽ＥＣＵの存在を検知することができない。
【００８６】
そのため、返信要求信号を複数回送信する場合、少なくとも一回の返信要求信号において、優先順位が最も低いコントローラ（ＥＣＵ３）の優先順位と、このコントローラよりも優先順位が高いコントローラ（ＥＣＵ２）の優先順位とを入れ替えて、優先順位を入れ替えたときの返信要求信号に対する返信信号にも基づいて、優先順位が最も低いコントローラ（ＥＣＵ３）に対する異常の有無を判定することが好ましい。
【００８７】
この場合において、複数のコントローラ（ＥＣＵ１〜ＥＣＵｎ）がＢＵＳ１に接続されている場合には、優先順位が最も低いコントローラ（ＥＣＵｎ）と、このコントローラ（ＥＣＵｎ）よりも優先順位が高い残りのコントローラ（ＥＣＵ１〜ＥＣＵｎ−１）のうちの少なくとも１つのコントローラとの間で、優先順位を交換すれば良い。
よって、ＢＵＳ１に接続されたコントローラ（ＥＣＵ１〜ＥＣＵｎ）に異常があるか否かを判断する場合には、ゲートウェイＧ／Ｗが、少なくとも２回、返信要求信号をコントローラ（ＥＣＵ１〜ＥＣＵｎ）に向けて送信する構成とすることが好ましい。
【００８８】
以上の通り、
（４）ゲートウェイＧ／Ｗは、コントローラ（ＥＣＵ１〜ＥＣＵｎ）よりも優先順位が高いコントローラであり、
送信手段２１１は、ゲートウェイＧ／Ｗの起動後に、共通の伝送路であるＢＵＳ１が、返信要求信号で占有され続けるタイミング（図５、Δｔｘ）で、返信要求信号を連続して所定回数送信して、所定時間Δｔの間、返信要求信号の伝送でＢＵＳ１を占有し、
異常判定手段２１３は、
コントローラ（ＥＣＵ１〜ＥＣＵｎ）の各々から返信されたの返信信号が、コントローラ（ＥＣＵ１〜ＥＣＵｎ）の優先順位の順番で所定回数ずつ、受信手段２１２で受信されていない場合に、「異常あり」と判定し、
コントローラ（ＥＣＵ１〜ＥＣＵｎ）の各々から返信されたの返信信号が、コントローラ（ＥＣＵ１〜ＥＣＵｎ）の優先順位の順番で所定回数ずつ、受信手段２１２で受信されている場合に、「異常なし」と判定する構成とした。
【００８９】
このように構成すると、返信要求信号の１回の送信のみで、異常の有無を判定する場合よりも、異常の有無を正確に判定できる。
【００９０】
（５）送信手段２２１による返信要求信号の送信回数（時間Δｔ）は、ゲートウェイＧ／Ｗとの間に、信号（返信要求信号、返信信号）の伝送を仲介する偽ＥＣＵ（不正なコントローラ）が介在する正規のコントローラ（ＥＣＵ１）が生成した返信信号が、ＢＵＳ１（共通の伝送路）に伝送（送信）されるまでの間に、返信要求信号の送信が終了する回数（時間）に設定されている構成とした。
【００９１】
このように構成すると、返信要求信号によるＢＵＳ１の占有が終了するまでの間に、正規のコントローラ（ＥＣＵ１）が生成した返信信号が偽ＥＣＵに伝送されていると、ゲートウェイＧ／Ｗに返信信号が伝送される順序が、予め決められた優先順位と同じになって、偽ＥＣＵの存在を検出できなくなることを防止しつつ、異常の有無を判定することができる。
【００９２】
（６）異常判定手段２１３は、
受信手段２１２が受信した返信信号の返信元のコントローラの優先順位（序列）が、先に受信した返信信号の返信元のコントローラの優先順位（序列）よりも高い場合に、「異常あり」と判定する構成とした。
【００９３】
このように構成すると、コントローラから返信された返信信号の受信順を確認することで、信号の伝達を仲介する非正規のコントローラ（偽ＥＣＵ）が接続されているか否かを適切に判断できる。
【００９４】
（７）異常判定手段２１３は、優先順位（序列）が同じコントローラからの返信信号を所定回数受信する間に、優先順位（序列）が同じコントローラよりも優先順位（序列）が高いコントローラからの返信信号を受信した場合に、「異常あり」と判定する構成とした。
【００９５】
図６に示すように、返信要求信号の送信時間Δｔ（送信回数）が長く（多く）なると、コントローラ（ＥＣＵ２）が生成した返信信号を送信している途中で、正規のコントローラ（ＥＣＵ１）が生成した返信信号が、偽ＥＣＵに伝送されて、偽ＥＣＵが、正規のコントローラ（ＥＣＵ１）が生成した返信信号をＢＵＳ１に出力する場合がある。
この場合には、コントローラ（ＥＣＵ１）が生成して偽ＥＣＵが伝送した返信信号が、コントローラ（ＥＣＵ２）が生成した返信信号の送信の間に割り込んで、ゲートウェイＧ／Ｗに伝送されることになる。
【００９６】
よって、上記のように構成して、コントローラから返信された返信信号を複数回受信する途中に、他のコントローラから返信された送信信号の割込があるか否かを確認することによっても、信号の伝達を仲介する非正規のコントローラ（偽ＥＣＵ）が接続されているか否かを適切に判断できる。
【００９７】
（８）送信手段２１１は、コントローラ（ＥＣＵ１〜ＥＣＵｎ）の優先順位（序列）を規定した識別ＩＤ（序列データ）を、返信要求信号に付加して送信すると共に、
返信要求信号を複数回送信する場合には、識別ＩＤのうちの最も優先順位が低いコントローラ（ＥＣＵｎ）と、この最も優先順位が低いコントローラよりも優先順位が高いコントローラ（ＥＣＵ１〜ＥＣＵｎ−１）との間で優先順位を入れ替えた確認用序列データを付加した返信要求信号を、少なくとも１回送信する構成とした。
【００９８】
優先順位が最も低いコントローラ（ＥＣＵｎ）とＢＵＳ１との間に偽ＥＣＵが設けられている場合には、ゲートウェイＧ／Ｗでの返信信号の受信順で、異常の有無を判定することができない。
上記のように構成して、優先順位を入れ替えていない返信要求信号に対する返信信号の受信順と、優先順位を入れ替えた返信要求信号に対する返信信号の受信順との両方により、異常の有無を判定することで、優先順位が最も低いコントローラ（ＥＣＵｎ）とＢＵＳ１との間に偽ＥＣＵが設けられている場合でも、異常の有無、すなわち偽ＥＣＵの有無を確認することができる。
【００９９】
（９）返信要求信号の送信回数は、ＢＵＳ１に接続されたコントローラ（ＥＣＵ１〜ＥＣＵｎ）のうち、最も返信信号の生成に時間のかかるコントローラでの返信信号の生成に要する時間に基づいて設定されており、最も返信信号の生成に時間のかかるコントローラでの返信信号の生成に要する時間よりも長い時間に亘って、ゲートウェイＧ／Ｗが出力する返信要求信号で、ＢＵＳ１が占有されるように設定されているものとした。
【０１００】
このように構成すると、返信信号の生成が遅いコントローラでの返信信号の生成を待ってから、各コントローラ（ＥＣＵ１〜ＥＣＵｎ）がＢＵＳ１に返信信号を出力することになるので、返信信号の生成が速いコントローラの返信信号が、このコントローラよりも優先順位の高いコントローラの返信信号よりも先にゲートウェイＧ／Ｗで受信されることを好適に防止できる。
これにより、異常判定手段２１３が、偽ＥＣＵが設けられていないにもかかわらず、返信信号の生成が遅いコントローラに対して「異常あり」と判定することを好適に防止できる。
【符号の説明】
【０１０１】
１      ＢＵＳ
２      車内ネットワーク
２０    記憶部
２１    ＣＰＵ
２２    入出力ポート
２３    内部バス
２４    イグニッションスイッチ
２５    スピーカ
２６    インジケータパネル
３０    記憶部
３１    ＣＰＵ
３１    記憶部
３２    入出力ポート
３３    内部バス
２１１  送信手段
２１２  受信手段
２１３  異常判定手段
２１４  報知手段
２１５  認証手段
２１７  報知手段
２６１  警告灯
３１１  返信信号生成手段
Ｇ／Ｗ      ゲートウェイ
ＥＣＵ１〜ＥＣＵｎ    コントローラ
Ｖ      車両
【図１】
2018011155.tif 000003
【図２】
2018011155.tif 000004
【図３】
2018011155.tif 000005
【図４】
2018011155.tif 000006
【図５】
2018011155.tif 000007
【図６】
2018011155.tif 000008