(57)【要約】【課題】不正メッセージに対処するためのＥＣＵの処理負荷を抑制すること。【解決手段】第１のＥＣＵは、通信バスへのメッセージの送信を制御する送信制御部と、前記通信バスからのメッセージの受信を制御する受信制御部と、前記第１のＥＣＵが前記通信バスへ送信することが予め決められている通信メッセージに、前記受信制御部が前記通信バスから受信した受信メッセージが該当するか否かを判定する該否判定部と、前記通信メッセージが前記送信制御部により前記通信バスへ送信されたか否かを判定する送信有無判定部と、前記受信メッセージが前記通信メッセージに該当すると判定され、且つ、前記通信メッセージが前記送信制御部により前記通信バスへ送信されていないと判定された場合、第２のＥＣＵが前記通信バスから取得した前記通信メッセージを第２のＥＣＵから削除させるための信号を出力する信号出力部とを備える、通信システム。【選択図】図１
2018082254.tif 000002
【特許請求の範囲】
【請求項１】
第１のＥＣＵと、
第２のＥＣＵと、
前記第１のＥＣＵと前記第２のＥＣＵとが接続された通信バスとを備え、
前記第１のＥＣＵは、
前記通信バスへのメッセージの送信を制御する送信制御部と、
前記通信バスからのメッセージの受信を制御する受信制御部と、
前記第１のＥＣＵが前記通信バスへ送信することが予め決められている通信メッセージに、前記受信制御部が前記通信バスから受信した受信メッセージが該当するか否かを判定する該否判定部と、
前記通信メッセージが前記送信制御部により前記通信バスへ送信されたか否かを判定する送信有無判定部と、
前記受信メッセージが前記通信メッセージに該当すると前記該否判定部により判定され、且つ、前記通信メッセージが前記送信制御部により前記通信バスへ送信されていないと前記送信有無判定部により判定された場合、前記第２のＥＣＵが前記通信バスから取得した前記通信メッセージを前記第２のＥＣＵから削除させるための信号を出力する信号出力部とを備える、通信システム。
【請求項２】
前記第２のＥＣＵは、
前記第２のＥＣＵが前記通信バスから取得した前記通信メッセージが格納されるメッセージ格納部と、
前記通信メッセージが前記通信バスから前記第２のＥＣＵにより取得されてから所定時間が経過した後、前記メッセージ格納部から前記通信メッセージを受領して処理する処理部とを備え、
前記所定時間が経過するまでに前記信号の受信又は出力がある場合、前記通信メッセージが前記メッセージ格納部から削除される、請求項１に記載の通信システム。
【請求項３】
前記信号出力部は、前記通信バスを使用して前記信号を前記第２のＥＣＵに受信させる、請求項１又は２に記載の通信システム。
【請求項４】
前記通信バスとは別の信号線を備え、
前記信号出力部は、前記信号線を使用して前記信号を前記第２のＥＣＵに受信させる、請求項１又は２に記載の通信システム。
【請求項５】
前記信号出力部は、前記信号を出力することによって、前記第２のＥＣＵの電源を遮断させ、
前記第２のＥＣＵの電源が遮断されることにより、前記第２のＥＣＵが前記通信バスから取得した前記通信メッセージが前記第２のＥＣＵから削除される、請求項１又は２に記載の通信システム。
【請求項６】
前記第１のＥＣＵは、データ格納部を備え、
前記送信制御部は、前記通信バスへのメッセージの送信を完了させたとき、前記通信バスへのメッセージの送信が完了したことを表す送信完了データを前記データ格納部に格納し、前記送信完了データを前記データ格納部に格納してから、前記通信バスへのメッセージの送信を次に実行するまでに、前記データ格納部から前記送信完了データを削除し、
前記送信有無判定部は、前記送信完了データが前記データ格納部に格納されているか否かに基づいて、前記通信メッセージが前記送信制御部により前記通信バスへ送信されたか否かを判定する、請求項１から５のいずれか一項に記載の通信システム。
【請求項７】
前記該否判定部は、前記受信メッセージを前記通信メッセージのリストと照合することによって、前記受信メッセージが前記通信メッセージに該当するか否かを判定する、請求項１から６のいずれか一項に記載の通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システムに関する。
【背景技術】
【０００２】
従来、車両に搭載された通信システムにおいて、通信バスを伝送するメッセージの正当性を担保するため、メッセージ認証コード（Message Authentication Code：ＭＡＣ）を用いる方法が知られている（例えば、特許文献１を参照）。
【０００３】
特許文献１では、メッセージ送信側の送信ＥＣＵ（Electronic Control Unit）は、メインメッセージと、当該メインメッセージに基づき共通の暗号鍵を使用して生成したＭＡＣを含むＭＡＣメッセージとを、通信バスに送信する。メッセージ受信側の受信ＥＣＵは、通信バスから受信したメインメッセージに基づき共通の暗号鍵を使用して生成したＭＡＣと、通信バスから受信したＭＡＣメッセージに含まれるＭＡＣとを比較する。
【０００４】
受信ＥＣＵは、これら２つのＭＡＣが同じであれば、通信バスから受信したメインメッセージは正当と判断し、当該メインメッセージを処理する。一方、受信ＥＣＵは、これら２つのＭＡＣが異なれば、通信バスから受信したメインメッセージは不正と判断し、当該メインメッセージを処理しない。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１３−９８７１９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、従来の技術では、不正メッセージに対処するため、それぞれのＥＣＵがＭＡＣを生成する必要があるので、不正メッセージに対処するためのＥＣＵの処理負荷が増加するおそれがある。
【０００７】
そこで、本開示の一態様は、不正メッセージに対処するためのＥＣＵの処理負荷を抑制できる通信システムの提供を目的とする。
【課題を解決するための手段】
【０００８】
上記目的を達成するため、本開示の一態様では、
第１のＥＣＵと、
第２のＥＣＵと、
前記第１のＥＣＵと前記第２のＥＣＵとが接続された通信バスとを備え、
前記第１のＥＣＵは、
前記通信バスへのメッセージの送信を制御する送信制御部と、
前記通信バスからのメッセージの受信を制御する受信制御部と、
前記第１のＥＣＵが前記通信バスへ送信することが予め決められている通信メッセージに、前記受信制御部が前記通信バスから受信した受信メッセージが該当するか否かを判定する該否判定部と、
前記通信メッセージが前記送信制御部により前記通信バスへ送信されたか否かを判定する送信有無判定部と、
前記受信メッセージが前記通信メッセージに該当すると前記該否判定部により判定され、且つ、前記通信メッセージが前記送信制御部により前記通信バスへ送信されていないと前記送信有無判定部により判定された場合、前記第２のＥＣＵが前記通信バスから取得した前記通信メッセージを前記第２のＥＣＵから削除させるための信号を出力する信号出力部とを備える、通信システムが提供される。
【０００９】
以下、前記受信メッセージが前記通信メッセージに該当すると前記該否判定部により判定され、且つ、前記通信メッセージが前記送信制御部により前記通信バスへ送信されていないと前記送信有無判定部により判定された場合を、「場合Ｘ」とする。本開示の一態様に係る通信システムによれば、場合Ｘにおいて、前記第２のＥＣＵが前記通信バスから取得した前記通信メッセージを前記第２のＥＣＵから削除させるための信号が出力される。
【００１０】
例えば、前記第１のＥＣＵが、前記送信制御部により、前記第１のＥＣＵが前記通信バスへ送信することが予め決められている通信メッセージを前記通信バスへ送信した場面を、「場面Ａ」とする。場面Ａにおいて、前記第１のＥＣＵの前記受信制御部は、前記通信メッセージを前記通信バスから受信することになる。よって、場面Ａでは、前記受信制御部が前記通信バスから受信した受信メッセージが前記通信メッセージに該当すると前記該否判定部により判定され、且つ、前記通信メッセージが前記送信制御部により前記通信バスへ送信されたと前記送信有無判定部により判定される。
【００１１】
一方、前記第１のＥＣＵとは別の不正機器が、前記第１のＥＣＵになりすまして、前記第１のＥＣＵが前記通信バスへ送信することが予め決められている通信メッセージを、前記通信バスへ送信する場面を、「場面Ｂ」とする。場面Ｂでも、前記第１のＥＣＵの前記受信制御部は、前記通信メッセージを前記通信バスから受信することになるので、前記受信制御部が前記通信バスから受信した受信メッセージが前記通信メッセージに該当すると前記該否判定部により判定される。しかしながら、場面Ｂでは、前記第１のＥＣＵは、前記送信制御部により、前記通信メッセージを前記通信バスへ送信していない。よって、場面Ｂでは、前記受信制御部が前記通信バスから受信した受信メッセージが前記通信メッセージに該当すると前記該否判定部により判定され、且つ、前記通信メッセージが前記送信制御部により前記通信バスへ送信されていないと前記送信有無判定部により判定される。つまり、場面Ｂでは、場合Ｘが成立する。また、場面Ｂでは、当該不正機器が前記第１のＥＣＵから送信されるべき前記通信メッセージを前記通信バスへ送信するので、前記第２のＥＣＵが前記通信バスから取得した前記通信メッセージは、当該不正機器が前記通信バスへ送信した不正メッセージに相当する。
【００１２】
したがって、場合Ｘにおいて、前記第２のＥＣＵが前記通信バスから取得した前記通信メッセージは、前記第１のＥＣＵが前記通信バスへ送信した通信メッセージではなく、前記第１のＥＣＵとは別の不正機器が前記通信バスへ送信した不正メッセージと推定可能である。
【００１３】
場合Ｘにおいて、本開示の一態様に係る通信システムでは、前記信号出力部は、前記第２のＥＣＵが前記通信バスから取得した前記通信メッセージを前記第２のＥＣＵから削除させるための信号を出力する。
【００１４】
場合Ｘにおいて当該信号が出力されると、前記第２のＥＣＵが前記通信バスから取得した前記通信メッセージ（すなわち、この場合、不正メッセージ）が前記第２のＥＣＵから削除される。したがって、前記第２のＥＣＵが従来の技術のようにＭＡＣを生成したりＭＡＣによる認証を行なったりしなくても、不正メッセージを削除するという対処が可能となる。よって、不正メッセージに対処するための前記第２のＥＣＵの処理負荷を抑制することができる。また、前記第１のＥＣＵは、従来の技術のようにＭＡＣを生成しなくても、当該信号を出力することによって、不正メッセージを削除するという対処が可能となる。よって、不正メッセージに対処するための前記第１のＥＣＵの処理負荷を抑制することができる。
【００１５】
また、本開示の一態様に係る通信システムにおいて、
前記第２のＥＣＵは、
前記第２のＥＣＵが前記通信バスから取得した前記通信メッセージが格納されるメッセージ格納部と、
前記通信メッセージが前記通信バスから前記第２のＥＣＵにより取得されてから所定時間が経過した後、前記メッセージ格納部から前記通信メッセージを受領して処理する処理部とを備え、
前記所定時間が経過するまでに前記信号の受信又は出力がある場合、前記通信メッセージが前記メッセージ格納部から削除される。
【００１６】
これにより、場合Ｘにおいて、前記第２のＥＣＵが前記通信バスから取得した前記通信メッセージ（すなわち、この場合、不正メッセージ）は、前記所定時間が経過するまでに前記信号の受信又は出力により削除される。そのため、前記所定時間の経過後に前記メッセージ格納部に残存しているメッセージは、前記第１のＥＣＵから送信されるべき前記通信メッセージ（すなわち、正当メッセージ）となる。したがって、前記処理部は、前記所定時間の経過後に、前記メッセージ格納部から前記通信メッセージを受領して処理することによって、不正メッセージを誤って処理することなく、正当メッセージを正しく処理することができる。
【００１７】
また、前記処理部は、前記所定時間の経過後、前記メッセージ格納部から前記通信メッセージを受領して処理する。これにより、前記第２のＥＣＵが前記所定時間の経過後に前記通信バスからメッセージを取得しても、前記メッセージ格納部に格納された正当メッセージが、前記処理部に受領されないまま、その取得メッセージによって上書きされることを防止することができる。
【００１８】
また、本開示の一態様に係る通信システムにおいて、
前記信号出力部は、前記通信バスを使用して前記信号を前記第２のＥＣＵに受信させる。
【００１９】
これにより、前記通信メッセージと前記信号とが共通の前記通信バスを伝送するので、前記信号を前記第２のＥＣＵに受信させるための新たな信号線の導入コストを抑えることができる。
【００２０】
また、本開示の一態様に係る通信システムにおいて、
前記通信バスとは別の信号線を備え、
前記信号出力部は、前記信号線を使用して前記信号を前記第２のＥＣＵに受信させる。
【００２１】
これにより、前記通信メッセージと前記信号とが別々の伝送路を伝送するので、前記通信バスの通信負荷の増大を抑えることができ、前記信号の送信遅延を抑えることができる。
【００２２】
また、本開示の一態様に係る通信システムにおいて、
前記信号出力部は、前記信号を出力することによって、前記第２のＥＣＵの電源を遮断させ、
前記第２のＥＣＵの電源が遮断されることにより、前記第２のＥＣＵが前記通信バスから取得した前記通信メッセージが前記第２のＥＣＵから削除される。
【００２３】
これにより、前記信号が出力されることにより、前記第２のＥＣＵの電源が強制的に遮断されるので、不正メッセージを前記第２のＥＣＵから速やかに削除することができる。
【００２４】
また、本開示の一態様に係る通信システムにおいて、
前記第１のＥＣＵは、データ格納部を備え、
前記送信制御部は、前記通信バスへのメッセージの送信を完了させたとき、前記通信バスへのメッセージの送信が完了したことを表す送信完了データを前記データ格納部に格納し、前記送信完了データを前記データ格納部に格納してから、前記通信バスへのメッセージの送信を次に実行するまでに、前記データ格納部から前記送信完了データを削除し、
前記送信有無判定部は、前記送信完了データが前記データ格納部に格納されているか否かに基づいて、前記通信メッセージが前記送信制御部により前記通信バスへ送信されたか否かを判定する。
【００２５】
例えば、前記第１のＥＣＵは、前記送信制御部により、前記第１のＥＣＵから送信されるべき前記通信メッセージを前記通信バスへ送信した場合、前記通信バスへの前記通信メッセージの送信が完了すると、前記送信完了データが前記データ格納部に格納される。したがって、前記送信有無判定部は、前記送信完了データが前記データ格納部に格納されているので、前記通信メッセージが前記送信制御部により前記通信バスへ送信されたと判定できる。
【００２６】
一方、前記第１のＥＣＵとは別の不正機器が、前記第１のＥＣＵになりすまして、前記第１のＥＣＵから送信されるべき前記通信メッセージを、前記通信バスへ送信した場合、前記送信制御部が前記通信メッセージを前記通信バスへ送信していないことになる。この場合、前記送信完了データは、前記データ格納部に格納されない。したがって、前記送信有無判定部は、前記送信完了データが前記データ格納部に格納されていないので、前記通信メッセージが前記送信制御部により前記通信バスへ送信されていないと判定できる。
【００２７】
また、本開示の一態様に係る通信システムにおいて、
前記該否判定部は、前記受信メッセージを前記通信メッセージのリストと照合することによって、前記受信メッセージが前記通信メッセージに該当するか否かを判定する。
【００２８】
例えば、前記第１のＥＣＵは、前記送信制御部により、前記第１のＥＣＵから送信されるべき前記通信メッセージを前記通信バスへ送信した場合、前記受信メッセージは当該リスト内に含まれている。また、前記第１のＥＣＵとは別の不正機器が、前記第１のＥＣＵになりすまして、前記第１のＥＣＵから送信されるべき前記通信メッセージを、前記通信バスへ送信した場合も、前記受信メッセージは当該リスト内に含まれている。したがって、これらの場合、前記受信メッセージは当該リスト内に含まれているので、前記該否判定部は、前記受信メッセージが前記通信メッセージに該当すると判定できる。
【００２９】
一方、前記第１のＥＣＵとは別の正当機器が前記通信バスへ送信することが予め決められている通信メッセージを、当該正当機器が前記通信バスへ送信した場合、前記受信メッセージは当該リスト内に含まれていない。したがって、この場合、前記受信メッセージは当該リスト内に含まれていないので、前記該否判定部は、前記受信メッセージが前記第１のＥＣＵから送信されるべき前記通信メッセージに該当しないと判定できる。
【発明の効果】
【００３０】
本開示の一態様によれば、不正メッセージに対処するためのＥＣＵの処理負荷を抑制することができる。
【図面の簡単な説明】
【００３１】
【図１】第１の実施形態に係る通信システムの構成の一例を示す図である。
【図２】第１の実施形態に係る通信システムの動作の一例を示す図である。
【図３】第１の実施形態に係る第１のＥＣＵの動作の一例を示すタイミングチャートである。
【図４】第１の実施形態に係る第１のＥＣＵの動作の一例を示すフローチャートである。
【図５】第１の実施形態に係る第２のＥＣＵの動作の一例を示すフローチャートである。
【図６】第２の実施形態に係る通信システムの構成の一例を示す図である。
【図７】第３の実施形態に係る通信システムの構成の一例を示す図である。
【図８】第３の実施形態に係る通信システムの動作の一例を示す図である。
【図９】第３の実施形態に係る第１のＥＣＵの動作の一例を示すフローチャートである。
【図１０】第３の実施形態に係る第２のＥＣＵの動作の一例を示すフローチャートである。
【発明を実施するための形態】
【００３２】
以下、本発明に係る実施形態を図面を参照して説明する。
【００３３】
＜第１の実施形態＞
図１は、第１の実施形態に係る通信システムの構成の一例を示す図である。図１に示される通信システム１は、車両に搭載されるシステムの一例である。通信システム１は、通信バス６０上を伝送する不正メッセージを監視する機能を有する。通信システム１は、送信ＥＣＵ１０と、受信ＥＣＵ３０と、通信バス６０とを備える。通信システム１では、送信ＥＣＵ１０と受信ＥＣＵ３０との間のメッセージの送受が、例えば、ＣＡＮ（Control Area Network）通信により行われる。
【００３４】
送信ＥＣＵ１０は、通信バス６０に接続されており、通信バス６０へ通信メッセージを送信する。送信ＥＣＵ１０は、第１のＥＣＵの一例である。受信ＥＣＵ３０は、通信バス６０に接続されており、通信バス６０からメッセージを受信する。受信ＥＣＵ３０は、第２のＥＣＵの一例である。通信バス６０は、送信ＥＣＵ１０と受信ＥＣＵ３０との間で送受されるメッセージが伝送する伝送路である。
【００３５】
送信ＥＣＵ１０は、通信コントローラ１７と、マイコン１１とを備える電子制御装置の一例である。
【００３６】
通信コントローラ１７は、マイコン１１と通信バス６０との間のメッセージの送受を制御する。マイコン１１は、通信コントローラ１７内の送信制御部１９が通信バス６０へ送信すべき通信メッセージを、送信ＥＣＵ１０とは別の不正機器５０が送信していないかどうかを監視する。送信制御部１９が通信バス６０へ送信すべき通信メッセージは、送信ＥＣＵ１０が通信バス６０へ送信することが予め決められている通信メッセージを表す。
【００３７】
以下、送信制御部１９が通信バス６０へ送信すべき通信メッセージを、「通信メッセージＭ」と称する。通信メッセージＭは、通信バス６０に接続される複数のＥＣＵのうち送信ＥＣＵ１０のみが通信バス６０へ送信することが通信仕様上予め決められたメッセージを表す。
【００３８】
受信ＥＣＵ３０は、通信コントローラ３７と、マイコン３１とを備える電子制御装置の一例である。
【００３９】
通信コントローラ３７は、マイコン３１と通信バス６０との間のメッセージの送受を制御する。マイコン３１は、フィルタ部３３と、処理部３２とを有する。フィルタ部３３は、通信コントローラ３７内の受信制御部４２が通信バス６０から受信した受信メッセージをメッセージ格納部３５に一時的に保管する。処理部３２は、メッセージ格納部３５に一時的に保管された受信メッセージを、所定時間の経過後にフィルタ部３３から受領して、その受領した受信メッセージを処理する。
【００４０】
不正機器５０は、通信バス６０に接続される非正規の機器である。不正機器５０は、コネクタやゲートウェイ装置などを介して通信バス６０に接続される機器でもよいし、不図示の無線通信モジュールを介して通信バス６０に接続される機器でもよい。
【００４１】
送信ＥＣＵ１０は、通信メッセージＭを送信制御部１９が通信バス６０へ送信していないにもかかわらず、通信コントローラ１７内の受信制御部２２が通信メッセージＭを通信バス６０から受信することがある。マイコン１１は、通信メッセージＭを送信制御部１９が通信バス６０へ送信していないにもかかわらず、受信制御部２２が通信メッセージＭを通信バス６０から受信した場合、当該受信した通信メッセージＭを不正機器５０が送信した不正メッセージと判定する。
【００４２】
マイコン１１は、当該受信した通信メッセージＭを不正機器５０が送信した不正メッセージと判定した場合（不正メッセージを検出した場合）、不正メッセージの検出を知らせる通知メッセージを受信ＥＣＵ３０に対して通信バス６０を介して通知する。以下、不正メッセージの検出を知らせる通知メッセージを、「通知メッセージＮ」と称する。
【００４３】
受信ＥＣＵ３０は、通知メッセージＮを通信バス６０から受信した場合、通信バス６０から取得してフィルタ部３３に一時的に保管された通信メッセージＭを不正メッセージとして削除する。
【００４４】
したがって、受信ＥＣＵ３０は、従来の技術のようにＭＡＣを生成したりＭＡＣによる認証を行なったりしなくても、不正メッセージを削除するという対処が可能となる。よって、不正メッセージに対処するための受信ＥＣＵ３０の処理負荷を抑制することができる。また、送信ＥＣＵ１０は、従来の技術のようにＭＡＣを生成しなくても、通知メッセージＮを出力することによって、不正メッセージを削除するという対処が可能となる。よって、不正メッセージに対処するための送信ＥＣＵ１０の処理負荷を抑制することができる。
【００４５】
図２は、第１の実施形態に係る通信システムの動作の一例を示す図である。図２は、不正機器５０が不正メッセージを送信した場面において、通信システム１の動作の一例を示す。
【００４６】
ステップＳ１にて、不正機器５０は、送信ＥＣＵ１０になりすまして、不正メッセージ（すなわち、送信ＥＣＵ１０の送信制御部１９が送信すべき通信メッセージＭ）を通信バス６０へ送信する。不正機器５０から通信バス６０へ送信されたメッセージは、送信ＥＣＵ１０と受信ＥＣＵ３０で受信される。
【００４７】
ステップＳ２にて、送信ＥＣＵ１０のマイコン１１は、ステップＳ１にて受信した受信メッセージが、マイコン１１自身が保有する送信メッセージリストの中に含まれるか否かを判定する。送信メッセージリストは、送信ＥＣＵ１０が通信バス６０へ送信することが予め決められている通信メッセージＭが複数記されたリストデータを表す。マイコン１１は、通信メッセージＭを送信制御部１９が通信バス６０へ送信していないにもかかわらず、ステップＳ１にて受信した受信メッセージが送信メッセージリストに含まれているため、ステップＳ１にて受信した受信メッセージを不正メッセージと判定する。
【００４８】
一方、ステップＳ３にて、受信ＥＣＵ３０のフィルタ部３３は、ステップＳ１にて受信した受信メッセージを、メッセージ格納部３５に一時的に保存する。
【００４９】
ステップＳ４にて、マイコン１１は、ステップＳ１にて受信した受信メッセージを不正メッセージと判定した場合、不正メッセージを検出したことを知らせる通知メッセージＮが通信バス６０へ送信されるように送信制御部１９を制御する。
【００５０】
ステップＳ５にて、受信ＥＣＵ３０のフィルタ部３３は、通信バス６０から通知メッセージＮを受信したことを通信コントローラ３７により検知すると、ステップＳ１での受信によりメッセージ格納部３５に保存されていた受信メッセージを破棄する。
【００５１】
これにより、受信ＥＣＵ３０は、不正機器５０から通信バス６０へ送信された不正メッセージを受信しても、通知メッセージＮを受信することにより、その受信した不正メッセージを自身から削除できる。
【００５２】
次に、図１に示される通信システム１の構成について、より詳細に説明する。
【００５３】
送信ＥＣＵ１０は、マイコン１１を備える。マイコン１１は、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）などを備えたマイクロコンピュータの一例である。マイコン１１は、処理部１２、該否判定部１３、送信有無判定部１４、信号出力部１５、リストメモリ１６を備える。処理部１２、該否判定部１３、送信有無判定部１４及び信号出力部１５の各機能は、ＣＰＵが処理するプログラムによって実現される。リストメモリ１６は、ＲＯＭにより実現される。
【００５４】
送信ＥＣＵ１０は、通信コントローラ１７を備える。通信コントローラ１７は、送信完了レジスタ１８、送信制御部１９、送信メッセージバッファ２０、受信完了レジスタ２１、受信制御部２２、受信メッセージバッファ２３を備える。
【００５５】
処理部１２は、通信メッセージＭの送信要求が発生した場合、通信メッセージＭに識別番号を付与し、識別番号を付与した通信メッセージＭを送信メッセージバッファ２０に格納する。送信メッセージバッファ２０に格納されている通信メッセージＭには、その通信メッセージＭを識別可能な識別番号が付与されている。識別番号は、通信バス６０を介して送受されるメッセージを識別するための符号を表す。受信ＥＣＵ３０の通信コントローラ１７は、通信バス６０から受信したメッセージに付与された識別番号を参照することにより、その受信メッセージが、受信ＥＣＵ３０が受信すべきメッセージであるか否かを判断する受信制御部４２を有する。
【００５６】
送信制御部１９は、送信メッセージバッファ２０に格納された通信メッセージＭを通信バス６０へ送信することを制御する。送信制御部１９は、通信メッセージＭが送信メッセージバッファ２０に格納された場合、送信メッセージバッファ２０に格納された通信メッセージＭを通信バス６０へ送信することを試みる。送信制御部１９は、通信バス６０上を伝送する他のメッセージとの通信調停に勝った場合、その通信メッセージＭの通信バス６０への送信が完了したことを表す送信完了データを、送信完了レジスタ１８に格納する。送信完了レジスタ１８は、データ格納部の一例である。送信完了データは、送信完了フラグデータとも称する。
【００５７】
受信制御部２２は、通信バス６０からのメッセージの受信を制御する。受信制御部２２は、送信制御部１９が通信バス６０へ送信した通信メッセージＭも受信できるように設定されている。
【００５８】
受信制御部２２は、通信バス６０から受信した受信メッセージに付与された識別番号に基づいて、送信ＥＣＵ１０が受信すべきメッセージであると判断した場合、当該受信メッセージを受信メッセージバッファ２３に格納する。受信制御部２２は、通信バス６０から受信した受信メッセージを受信メッセージバッファ２３に格納することが完了した場合、その受信メッセージの受信が完了したことを表す受信完了データを、受信完了レジスタ２１に格納する。受信完了データは、受信完了フラグデータとも称する。
【００５９】
該否判定部１３は、受信制御部２２が通信バス６０から受信した受信メッセージが、送信制御部１９が通信バス６０へ送信すべき通信メッセージＭに該当するか否かを判定する。該否判定部１３は、受信完了データが受信完了レジスタ２１に格納された場合、その受信完了データによって受信完了が示された受信メッセージを受信メッセージバッファ２３から取得する。
【００６０】
該否判定部１３は、例えば、受信制御部２２が通信バス６０から受信した受信メッセージを、識別番号の比較により、送信メッセージリストと照合することによって、当該受信メッセージが通信メッセージＭに該当するか否かを判定する。
【００６１】
送信メッセージリストは、送信ＥＣＵ１０が通信バス６０へ送信することが予め決められている通信メッセージＭが複数記されたリストデータを表す。送信メッセージリストは、例えば、リストメモリ１６に予め記憶されている。
【００６２】
例えば、送信制御部１９が、通信メッセージＭを通信バス６０へ送信した場合、受信制御部２２が通信バス６０から受信した受信メッセージは、送信メッセージリスト内に含まれている。また、不正機器５０が、送信ＥＣＵ１０になりすまして、通信メッセージＭを通信バス６０へ送信した場合も、受信制御部２２が通信バス６０から受信した受信メッセージは、当該リスト内に含まれている。したがって、これらの場合、受信制御部２２が通信バス６０から受信した受信メッセージは、送信メッセージリスト内に含まれているので、該否判定部１３は、当該受信メッセージが通信メッセージＭに該当すると判定する。
【００６３】
一方、送信ＥＣＵ１０とは別の正当機器が通信バス６０へ送信することが予め決められている通信メッセージを、当該正当機器が通信バス６０へ送信した場合、受信制御部２２が通信バス６０から受信した受信メッセージは、送信メッセージリスト内に含まれていない。したがって、この場合、受信制御部２２が通信バス６０から受信した受信メッセージは、送信メッセージリスト内に含まれていないので、該否判定部１３は、当該受信メッセージが通信メッセージＭに該当しないと判定する。
【００６４】
なお、送信ＥＣＵ１０とは別の正当機器とは、通信バス６０に接続される一又は複数の正規の機器である。当該正当機器には、受信ＥＣＵ３０が送信ＥＣＵ１０と同様の送信機能を有している場合、受信ＥＣＵ３０が含まれてもよい。
【００６５】
送信有無判定部１４は、通信メッセージＭが送信制御部１９により通信バス６０へ送信されたか否かを判定する。例えば、送信有無判定部１４は、送信完了データが送信完了レジスタ１８に格納されているか否かに基づいて、通信メッセージＭが送信制御部１９により通信バス６０へ送信されたか否かを判定する。具体的には、送信有無判定部１４は、送信完了レジスタ１８に送信完了データが格納されている通信メッセージＭは、送信制御部１９により通信バス６０へ送信されたと判定する。一方、送信有無判定部１４は、送信完了レジスタ１８に送信完了データが格納されていない通信メッセージＭは、送信制御部１９により通信バス６０へ送信されていないと判定する。
【００６６】
信号出力部１５は、受信メッセージが通信メッセージＭに該当すると該否判定部１３により判定され、且つ、その通信メッセージＭが送信制御部１９により通信バス６０へ送信されていないと送信有無判定部１４により判定された場合、通知メッセージＮを出力する。
【００６７】
通知メッセージＮは、受信ＥＣＵ３０が通信バス６０から取得した通信メッセージＭを受信ＥＣＵ３０から削除させるための信号の一例である。信号出力部１５は、通信メッセージＭに該当すると判定され且つ通信バス６０へ送信されていないと判定された受信メッセージ（つまり、不正メッセージ）の識別番号を通知メッセージＮに追加する。これにより、受信ＥＣＵ３０のフィルタ部３３は、通知メッセージＮに追加された識別番号と同一の受信メッセージ（つまり、不正メッセージ）をメッセージ格納部３５から削除できる。
【００６８】
信号出力部１５は、通信バス６０を使用して、通知メッセージＮを受信ＥＣＵ３０に受信させる。これにより、通信メッセージＭと通知メッセージＮとが共通の通信バス６０を伝送するので、通知メッセージＮを受信ＥＣＵ３０に受信させるための新たな信号線の導入コストを抑えることができる。
【００６９】
一方、受信ＥＣＵ３０は、マイコン３１を備える。マイコン３１は、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）などを備えたマイクロコンピュータの一例である。マイコン３１は、フィルタ部３３、処理部３２を備える。フィルタ部３３は、受領判定部３４、メッセージ格納部３５を備える。処理部３２及び受領判定部３４の各機能は、ＣＰＵが処理するプログラムによって実現される。メッセージ格納部３５は、ＲＡＭにより実現される。
【００７０】
受信ＥＣＵ３０は、通信コントローラ３７を備える。通信コントローラ３７は、受信完了レジスタ４１、受信制御部４２、受信メッセージバッファ４３を備える。
【００７１】
受信制御部４２は、通信バス６０から受信した受信メッセージに付与された識別番号に基づいて、受信ＥＣＵ３０が受信すべきメッセージであると判断した場合、当該受信メッセージを受信メッセージバッファ４３に格納する。受信制御部４２は、通信バス６０から受信した受信メッセージを受信メッセージバッファ４３に格納することが完了した場合、その受信メッセージの受信が完了したことを表す受信完了データを、受信完了レジスタ４１に格納する。受信完了データは、受信完了フラグデータとも称する。
【００７２】
受領判定部３４は、受信完了データが受信完了レジスタ４１に格納された場合、その受信完了データによって受信完了が示された受信メッセージを受信メッセージバッファ４３から取得する。受領判定部３４は、受信メッセージバッファ４３から取得した受信メッセージをメッセージ格納部３５に一時的に保管する。
【００７３】
受領判定部３４は、全ての受信メッセージをメッセージ格納部３５に一時的に保管してもよいが、予め決められた一部の受信メッセージのみをメッセージ格納部３５に一時的に保管してもよい。例えば、受領判定部３４は、不正の疑いが比較的高いことが事前に予想される一部の受信メッセージのみをメッセージ格納部３５に一時的に保管し、その一部以外の残りの受信メッセージをメッセージ格納部３５に保管することなく処理部３２に提供してもよい。これにより、受信メッセージが受信されてから処理部３２により処理されるまでの平均時間を、全ての受信メッセージをメッセージ格納部３５に一時的に保管する場合に比べて短縮することができる。
【００７４】
処理部３２は、メッセージ格納部３５に一時的に保管された受信メッセージを、所定時間の経過後にフィルタ部３３から受領して、その受領した受信メッセージを処理する。例えば、処理部３２は、所定時間の経過後に受領した受信メッセージを、所定の制御に使用する。具体的には、処理部３２は、所定時間の経過後に受領した受信メッセージを、受信ＥＣＵ３０内で実行される制御で使用したり、受信ＥＣＵ３０外部の装置に送信したりする。
【００７５】
次に、図１に示される通信システム１の動作について、説明する。
【００７６】
図３は、第１の実施形態に係る第１のＥＣＵの動作の一例を示すタイミングチャートである。図３は、送信ＥＣＵ１０の動作の一例を示す。
【００７７】
処理部１２は、識別番号を付与した通信メッセージＭを送信メッセージバッファ２０に格納する（タイミングｔ１）。これにより、送信制御部１９は、送信メッセージバッファ２０に格納された通信メッセージＭを、通信バス６０へ送信し始める。受信制御部２２は、送信制御部１９が送信し始めた通信メッセージＭを通信バス６０から受信し始め、受信し始めた通信メッセージＭを受信メッセージバッファ２３に格納し始める（タイミングｔ２）。
【００７８】
送信制御部１９は、通信バス６０へ送信した通信メッセージＭが、通信バス６０上を伝送する他のメッセージとの通信調停に勝った場合、その通信メッセージＭの送信を完了させることができる。送信制御部１９は、通信バス６０への通信メッセージＭの送信を完了させたとき、その通信メッセージＭの通信バス６０への送信が完了したことを表す送信完了データを、送信完了レジスタ１８に格納する（タイミングｔ３）。受信制御部２２は、通信バス６０から受信し始めて通信メッセージＭを受信メッセージバッファ２３に格納することが完了した場合、その通信メッセージＭの通信バス６０からの受信が完了したことを表す受信完了データを、受信完了レジスタ２１に格納する（タイミングｔ４）。
【００７９】
送信有無判定部１４は、送信完了データが送信完了レジスタ１８にタイミングｔ４で格納されているので、その送信完了データが送信完了したことを示す通信メッセージＭが送信制御部１９により通信バス６０へ送信されたと判定する。
【００８０】
送信制御部１９は、送信完了データを送信完了レジスタ１８に格納してから、通信バス６０へのメッセージの送信を次に実行するまでに、その送信完了レジスタ１８からその送信完了データを削除する（タイミングｔ５）。送信制御部１９は、例えば、予め決められた一定時間の経過後に、送信完了レジスタ１８に格納された送信完了データを削除する。
【００８１】
受信制御部２２は、受信完了データを受信完了レジスタ２１に格納してから、通信バス６０からのメッセージの受信を次に実行するまでに、その受信完了レジスタ２１からその受信完了データを削除する（タイミングｔ６）。受信制御部２２は、例えば、予め決められた一定時間の経過後に、受信完了レジスタ２１に格納された受信完了データを削除する。
【００８２】
一方、不正機器５０が、送信ＥＣＵ１０になりすまして、識別番号を付与した通信メッセージＭを通信バス６０へ送信した場合、その通信メッセージＭは送信メッセージバッファ２０には格納されない（タイミングｔ７）。受信制御部２２は、不正機器５０が送信し始めた通信メッセージＭを通信バス６０から受信し始め、受信し始めた通信メッセージＭを受信メッセージバッファ２３に格納し始める（タイミングｔ７）。
【００８３】
受信制御部２２は、通信バス６０から受信し始めて通信メッセージＭを受信メッセージバッファ２３に格納することが完了した場合、その通信メッセージＭの通信バス６０からの受信が完了したことを表す受信完了データを、受信完了レジスタ２１に格納する（タイミングｔ８）。
【００８４】
送信有無判定部１４は、送信完了データが送信完了レジスタ１８にタイミングｔ８で格納されていないので、通信メッセージＭが送信制御部１９により通信バス６０へ送信されていないと判定する。
【００８５】
信号出力部１５は、通信メッセージＭが受信制御部２２により受信されたにもかかわらず、その通信メッセージＭが送信制御部１９により通信バス６０へ送信されていないので、その通信メッセージＭを削除させる通知メッセージＮを出力する（タイミングｔ９）。通知メッセージＮが出力されることにより、受信ＥＣＵ３０が受信した通信メッセージＭが削除される。
【００８６】
受信制御部２２は、受信完了データを受信完了レジスタ２１に格納してから、通信バス６０からのメッセージの受信を次に実行するまでに、その受信完了レジスタ２１からその受信完了データを削除する（タイミングｔ１０）。
【００８７】
なお、図３において、受信制御部２２は、受信完了データを受信完了レジスタ２１に格納してから、通信バス６０からのメッセージの受信を次に実行するまでに、その受信完了レジスタ２１からその受信完了データを削除する（タイミングｔ６）。この理由は、送信ＥＣＵ１０の送信メッセージと不正機器５０の送信メッセージとが図示のように連続する場面において、送信有無判定部１４が不正機器５０の送信メッセージを送信ＥＣＵ１０の送信メッセージと誤判定することを防ぐためである。図示のような場面では、受信完了データが仮にタイミングｔ８まで受信完了レジスタ２１に保持されているとすると、送信有無判定部１４は、不正機器５０の送信メッセージを送信ＥＣＵ１０の送信メッセージと誤判定してしまう。
【００８８】
図４は、第１の実施形態に係る第１のＥＣＵの動作の一例を示すフローチャートである。図４は、送信ＥＣＵ１０のマイコン１１が不正メッセージを検出する方法の一例を示す。図４に示される一連の処理は、受信制御部２２が通信バス６０から受信メッセージを受信したことが該否判定部１３により検知されたときに開始する。
【００８９】
該否判定部１３は、受信制御部２２が通信バス６０から受信した受信メッセージが、送信制御部１９が通信バス６０へ送信すべき通信メッセージＭを複数記した送信メッセージリスト内に含まれているか否かを判定する（ステップＳ２０）。
【００９０】
該否判定部１３は、受信制御部２２が通信バス６０から受信した受信メッセージが送信メッセージリスト内に含まれていない場合、当該受信メッセージは通信メッセージＭに該当しないと判定する。この場合、本フローは、終了する。
【００９１】
一方、該否判定部１３は、受信制御部２２が通信バス６０から受信した受信メッセージが送信メッセージリスト内に含まれている場合、当該受信メッセージは通信メッセージＭに該当すると判定する。この場合、ステップＳ３０の処理が実行される。
【００９２】
ステップＳ３０にて、送信有無判定部１４は、その通信メッセージＭの送信が送信制御部１９により完了しているか否かを判定する。
【００９３】
その通信メッセージＭの送信を送信制御部１９が完了させていないと送信有無判定部１４により判定された場合、信号出力部１５は、受信ＥＣＵ３０に対して不正メッセージの検出を知らせる通知メッセージＮを出力する（ステップＳ４０）。この際、信号出力部１５は、通信メッセージＭに該当すると判定され且つ通信バス６０への送信が完了していないと判定された受信メッセージ（つまり、不正メッセージ）の識別番号を通知メッセージＮに含ませる。
【００９４】
一方、その通信メッセージＭの送信を送信制御部１９が完了させていると送信有無判定部１４により判定された場合、信号出力部１５は、通知メッセージＮを出力しない。この場合、本フローは、終了する。
【００９５】
図５は、第１の実施形態に係る第２のＥＣＵの動作の一例を示すフローチャートである。図５は、受信ＥＣＵ３０のマイコン３１が受信メッセージを受領又は破棄する方法の一例を示す。図５に示される一連の処理は、受信制御部４２が通信バス６０から受信メッセージ受信したことが受領判定部３４により検知されたときに開始する。
【００９６】
受領判定部３４は、受信制御部４２が通信バス６０から受信メッセージ受信したことが受領判定部３４により検知されたとき、当該受信メッセージを受信メッセージバッファ４３から取得する。そして、受領判定部３４は、その取得した受信メッセージをメッセージ格納部３５に一時的に格納する（ステップＳ５０）。
【００９７】
受領判定部３４は、不正メッセージの検出を知らせる通知メッセージＮが受信制御部４２により受信されているか否かを判定する（ステップＳ６０）。
【００９８】
受領判定部３４は、不正メッセージの検出を知らせる通知メッセージＮが受信制御部４２により受信されていると判定した場合、当該通知メッセージＮに含まれている識別番号と同一の受信メッセージ（つまり、不正メッセージ）をメッセージ格納部３５から抽出する。そして、受領判定部３４は、その抽出した受信メッセージを破棄する（ステップＳ７０）。これにより、受信ＥＣＵ３０で受信された不正メッセージは、処理部３２により処理されることなく、削除される。
【００９９】
一方、受領判定部３４は、不正メッセージの検出を知らせる通知メッセージＮが受信制御部４２により受信されていないと判定した場合、ステップＳ８０の処理を行う。受領判定部３４は、受信メッセージが通信バス６０から受信制御部４２により受信（取得）されてから所定時間が経過したか否かを判定する（ステップＳ８０）。
【０１００】
受領判定部３４は、受信メッセージの受信から所定時間経過していない場合、ステップＳ６０の判定を再び実施する。一方、受領判定部３４は、受信メッセージの受信から所定時間経過していると受領判定部３４により判定された場合、ステップＳ９０の処理が行われる。
【０１０１】
ステップＳ９０にて、処理部３２は、通信バス６０からの受信から所定時間経過した受信メッセージをメッセージ格納部３５から受領し、その受領した受信メッセージを処理する。これにより、処理部３２は、受信ＥＣＵ３０で受信された不正メッセージを誤って処理することなく、受信ＥＣＵ３０で受信された正当メッセージを正しく処理できる。
【０１０２】
このように、第１の実施形態によれば、受信ＥＣＵ３０は、従来の技術のようにＭＡＣを生成したりＭＡＣによる認証を行なったりしなくても、不正メッセージを削除するという対処が可能となる。よって、不正メッセージに対処するための受信ＥＣＵ３０の処理負荷を抑制することができる。また、送信ＥＣＵ１０は、従来の技術のようにＭＡＣを生成しなくても、通知メッセージＮを出力することによって、不正メッセージを削除するという対処が可能となる。よって、不正メッセージに対処するための送信ＥＣＵ１０の処理負荷を抑制することができる。
【０１０３】
また、暗号鍵を使用しなくても、不正メッセージの削除が可能となる。したがって、暗号鍵の外部漏洩を防ぐための新たな工場設備（例えば、各ＥＣＵに共通の暗号鍵を書き込むためのセキュアルーム）の導入が不要となる。また、ＭＡＣを使用しなくても、不正メッセージの削除が可能となる。したがって、ＭＡＣのデータサイズ分、メッセージのデータサイズが減少することを防ぐことができる。
【０１０４】
＜第２の実施形態＞
図６は、第２の実施形態に係る通信システムの構成の一例を示す図である。図６に示される第２の実施形態に係る通信システム２は、通信バス６０とは別の信号線６１を備える点で、第１の実施形態に係る通信システム１と異なる。第２の実施形態の構成及び効果のうち第１の実施形態と同様の内容については、第１の実施形態についての上述の説明を援用する。
【０１０５】
通信システム２では、信号出力部１５は、信号線６１を使用して、通知メッセージＮを受信ＥＣＵ３０に受信させる。これにより、通信メッセージＭと通知メッセージＮとが別々の伝送路を伝送するので、通信バス６０の通信負荷の増大を抑えることができ、通知メッセージＮの送信遅延を抑えることができる。
【０１０６】
受領判定部３４は、所定時間経過するまでに、信号線６１を介しての通知メッセージＮの受信がある場合、当該通知メッセージＮに含まれている識別番号と同一の受信メッセージ（つまり、不正メッセージ）をメッセージ格納部３５から削除する。
【０１０７】
＜第３の実施形態＞
図７は、第３の実施形態に係る通信システムの構成の一例を示す図である。図７に示される第３の実施形態に係る通信システム３は、電源遮断信号の出力によって不正メッセージをメッセージ格納部３５から削除する点で、第１の実施形態に係る通信システム１と異なる。第３の実施形態の構成及び効果のうち第１の実施形態と同様の内容については、第１の実施形態についての上述の説明を援用する。
【０１０８】
通信システム３では、信号出力部１５は、電源遮断信号を出力することによって、受信ＥＣＵ３０の電源６５を遮断させ、電源６５が遮断されることにより、受信ＥＣＵ３０が通信バス６０から取得した通信メッセージがメッセージ格納部３５から削除される。
【０１０９】
これにより、電源遮断信号が出力されることにより、受信ＥＣＵ３０の電源６５が強制的に遮断されるので、不正メッセージを受信ＥＣＵ３０から速やかに削除することができる。
【０１１０】
通信システム３は、リレー６２を備える。リレー６２は、コイル６３と、スイッチ６４とを有する。
【０１１１】
信号出力部１５は、受信メッセージが通信メッセージＭに該当すると該否判定部１３により判定され、且つ、その通信メッセージＭが送信制御部１９により通信バス６０へ送信されていないと送信有無判定部１４により判定された場合、電源遮断信号を出力する。
【０１１２】
電源遮断信号は、受信ＥＣＵ３０が通信バス６０から取得した通信メッセージＭを受信ＥＣＵ３０から削除させるための信号の一例である。信号出力部１５は、電源遮断信号の出力によりスイッチ２５をオフさせる。これにより、送信ＥＣＵ１０の電源２４からコイル６３に流れる電流は遮断されるので、スイッチ６４はオフとなる。スイッチ６４がオフとなることにより、電源６５から受信ＥＣＵ３０に供給される電源電力は遮断されるので、メッセージ格納部３５は、それまで格納されていた受信メッセージを保持できなくなる。つまり、メッセージ格納部３５に格納されていた受信メッセージは消失する。
【０１１３】
図８は、第３の実施形態に係る通信システムの動作の一例を示す図である。図８は、不正機器５０が不正メッセージを送信した場面において、通信システム３の動作の一例を示す。
【０１１４】
図８のステップＳ１，Ｓ２，Ｓ３は、図２の場合と同様である。ステップＳ１にて、不正機器５０は、送信ＥＣＵ１０になりすまして、不正メッセージ（すなわち、送信ＥＣＵ１０の送信制御部１９が送信すべき通信メッセージＭ）を通信バス６０へ送信する。ステップＳ２にて、マイコン１１は、通信メッセージＭを送信制御部１９が通信バス６０へ送信していないにもかかわらず、ステップＳ１にて受信した受信メッセージが送信メッセージリストに含まれているため、当該受信メッセージを不正メッセージと判定する。一方、ステップＳ３にて、受信ＥＣＵ３０のフィルタ部３３は、ステップＳ１にて受信した受信メッセージを、メッセージ格納部３５に一時的に保存する。
【０１１５】
ステップＳ７にて、マイコン１１の信号出力部１５は、ステップＳ１にて受信した受信メッセージを不正メッセージと判定した場合、リレー６２をオフさせるための電源遮断信号を出力する。
【０１１６】
ステップＳ８にて、リレー６２のオフにより、受信ＥＣＵ３０の電源６５は遮断されるため、ステップＳ１での受信によりメッセージ格納部３５に保存されていた受信メッセージは、消失する。
【０１１７】
これにより、受信ＥＣＵ３０は、不正機器５０から通信バス６０へ送信された不正メッセージを受信しても、電源６５が遮断されることにより、その受信した不正メッセージを自身から削除できる。
【０１１８】
図９は、第３の実施形態に係る第１のＥＣＵの動作の一例を示すフローチャートである。図９は、送信ＥＣＵ１０のマイコン１１が不正メッセージを検出する方法の一例を示す。図９に示される一連の処理は、受信制御部２２が通信バス６０から受信メッセージを受信したことが該否判定部１３により検知されたときに開始する。図９のステップＳ１２０，Ｓ１３０は、それぞれ、図４のステップＳ２０，Ｓ３０と同様である。
【０１１９】
通信メッセージＭの送信を送信制御部１９が完了させていないとステップＳ１３０にて判定された場合、信号出力部１５は、電源遮断信号を出力する（ステップＳ１４０）。一方、通信メッセージＭの送信を送信制御部１９が完了させているとステップＳ１３０にて判定された場合、信号出力部１５は、電源遮断信号を出力しない。この場合、本フローは、終了する。
【０１２０】
図１０は、第３の実施形態に係る第２のＥＣＵの動作の一例を示すフローチャートである。図１０は、受信ＥＣＵ３０の受領判定部３４が受信メッセージの受領判定を行う方法の一例を示す。図１０に示される一連の処理は、受信制御部４２が通信バス６０から受信メッセージ受信したことが受領判定部３４により検知されたときに開始する。
【０１２１】
受領判定部３４は、受信制御部４２が通信バス６０から受信メッセージ受信したことが受領判定部３４により検知されたとき、当該受信メッセージを受信メッセージバッファ４３から取得する。そして、受領判定部３４は、その取得した受信メッセージをメッセージ格納部３５に一時的に格納する（ステップＳ１５０）。
【０１２２】
受領判定部３４は、メッセージ格納部３５に一時的に格納された受信メッセージが通信バス６０から受信制御部４２により受信（取得）されてから所定時間が経過したか否かを当該所定時間が経過するまで判定する（ステップＳ１８０）。
【０１２３】
当該所定時間が経過するまでに電源遮断信号の出力がある場合、受信ＥＣＵ３０の電源が強制的に遮断されるので、メッセージ格納部３５に一時的に格納された受信メッセージは、不正か否かにかかわらず、メッセージ格納部３５から削除される。これにより、受信ＥＣＵ３０で受信された不正メッセージは、処理部３２により処理されることなく、削除される。
【０１２４】
一方、当該所定時間が経過するまでに電源遮断信号の出力がない場合、ステップＳ１９０の処理が行われる。ステップＳ１９０にて、処理部３２は、通信バス６０からの受信から所定時間経過した受信メッセージをメッセージ格納部３５から受領し、その受領した受信メッセージを処理する。これにより、処理部３２は、受信ＥＣＵ３０で受信された不正メッセージを誤って処理することなく、受信ＥＣＵ３０で受信された正当メッセージを正しく処理できる。
【０１２５】
以上、通信システムを実施形態により説明したが、本発明は上記実施形態に限定されるものではない。他の実施形態の一部又は全部との組み合わせや置換などの種々の変形及び改良が、本発明の範囲内で可能である。
【０１２６】
例えば、ＥＣＵは、メッセージを中継する中継装置（具体的には、ゲートウェイ装置）でもよい。また、送信ＥＣＵ１０と受信ＥＣＵ３０との間で送受されるメッセージが中継装置を経由してもよい。また、本開示の技術は、Ethernet（登録商標）を用いた通信システム等にも適用可能である。
【符号の説明】
【０１２７】
１，２，３  通信システム
１０  送信ＥＣＵ
１１  マイコン
１２  処理部
１３  該否判定部
１４  送信有無判定部
１５  信号出力部
１６  リストメモリ
１７  通信コントローラ
１８  送信完了レジスタ
１９  送信制御部
２０  送信メッセージバッファ
２１  受信完了レジスタ
２２  受信制御部
２３  受信メッセージバッファ
２４  電源
２５  スイッチ
３０  受信ＥＣＵ
３１  マイコン
３２  処理部
３３  フィルタ部
３４  受領判定部
３５  メッセージ格納部
３７  通信コントローラ
４１  受信完了レジスタ
４２  受信制御部
４３  受信メッセージバッファ
５０  不正機器
６０  通信バス
６１  信号線
６２  リレー
【図１】
2018082254.tif 000003
【図２】
2018082254.tif 000004
【図３】
2018082254.tif 000005
【図４】
2018082254.tif 000006
【図５】
2018082254.tif 000007
【図６】
2018082254.tif 000008
【図７】
2018082254.tif 000009
【図８】
2018082254.tif 000010
【図９】
2018082254.tif 000011
【図１０】
2018082254.tif 000012