(57)【要約】【課題】ネットワーク内のデータの異常の検出精度を向上する監視装置等を提供する。【解決手段】モビリティに搭載されたネットワークを介して送られるデータを監視する監視装置は、前記ネットワークに接続された情報処理装置間で送られるデータを取得する取得部と、前記取得部によって取得された前記データに基づき、前記データに対応する送信状態を決定する決定部と、前記決定部によって決定された前記送信状態に基づき、前記取得部によって取得されるデータの異常の有無を判定する判定部と、を備え、前記判定部は、前記取得部によってデータが取得されたとき、前記データに対応する前記送信状態が送信停止状態であると、前記データに異常があると判定する。【選択図】図２
2019220770.tif 000002
【特許請求の範囲】
【請求項１】
モビリティに搭載されたネットワークを介して送られるデータを監視する監視装置であって、
前記ネットワークに接続された情報処理装置間で送られるデータを取得する取得部と、
前記取得部によって取得された前記データに基づき、前記データに対応する送信状態を決定する決定部と、
前記決定部によって決定された前記送信状態に基づき、前記取得部によって取得されるデータの異常の有無を判定する判定部と、を備え、
前記判定部は、前記取得部によってデータが取得されたとき、前記データに対応する前記送信状態が送信停止状態であると、前記データに異常があると判定する、
監視装置。
【請求項２】
前記決定部は、前記取得部によって取得された第１のデータに基づき、前記第１のデータの送信先である第１の情報処理装置を送信元とする第２のデータに対応する前記送信状態を決定し、
前記判定部は、前記取得部によって前記第２のデータが取得されたとき、前記第２のデータに対応する前記送信状態が送信停止状態であると、前記第２のデータに異常があると判定する、
請求項１に記載の監視装置。
【請求項３】
前記第１のデータは、前記第１の情報処理装置に対するデータの送信実行又は送信停止の指令を含み、
前記決定部は、前記第１のデータに含まれる前記指令に従って、前記第２のデータに対応する前記送信状態を、送信実行状態又は送信停止状態に決定する、
請求項２に記載の監視装置。
【請求項４】
前記取得部は、第２の情報処理装置によって周期的に出力される第３のデータを取得し、
前記決定部は、前記取得部によって前記第３のデータが所定期間取得されないとき、前記第３のデータに対応する前記送信状態を送信停止状態に決定し、
前記判定部は、前記取得部によって前記第３のデータが取得されたとき、前記第３のデータに対応する前記送信状態が送信停止状態であると、前記第３のデータに異常があると判定する、
請求項１に記載の監視装置。
【請求項５】
前記決定部は、前記取得部によって前記第３のデータが所定期間取得されないとき、前記第２の情報処理装置を送信元とする他のデータである第４のデータに対応する前記送信状態を送信停止状態に決定し、
前記判定部は、前記取得部によって前記第４のデータが取得されたとき、前記第４のデータに対応する前記送信状態が送信停止状態であると、前記第４のデータに異常があると判定する、
請求項４に記載の監視装置。
【請求項６】
前記決定部は、前記取得部によって取得され且つ前記第２の情報処理装置を送信先とする第５のデータに含まれる指令に従って、前記第２の情報処理装置を送信元とする第６のデータに対応する前記送信状態を、送信実行状態又は送信停止状態に決定し、
前記第５のデータは、前記第２の情報処理装置に対するデータの送信実行又は送信停止の指令を含み、
前記判定部は、前記取得部によって前記第６のデータが取得されたとき、前記第６のデータに対応する前記送信状態が送信停止状態であると、前記第６のデータに異常があると判定する、
請求項４または５に記載の監視装置。
【請求項７】
前記情報処理装置と、前記情報処理装置を送信元とするデータと、前記情報処理装置を送信元とするデータの前記送信状態とを対応付けて記憶する記憶部、をさらに備え、
前記決定部は、前記決定部によって決定された前記送信状態を用いて、前記記憶部に記憶された前記送信状態を変更し、
前記判定部は、前記記憶部に記憶された前記送信状態に基づき判定を行う、
請求項１〜６のいずれか一項に記載の監視装置。
【請求項８】
前記情報処理装置間で送られる前記データと、前記データの前記送信状態とを対応付けて記憶する記憶部、をさらに備え、
前記決定部は、前記決定部によって決定された前記送信状態を用いて、前記記憶部に記憶された前記送信状態を変更し、
前記判定部は、前記記憶部に記憶された前記送信状態に基づき判定を行う、
請求項１〜６のいずれか一項に記載の監視装置。
【請求項９】
前記決定部は、前記情報処理装置の電源がオン状態であるとき、前記情報処理装置を送信元とするデータが送信実行状態であり、前記情報処理装置の電源がオフ状態であるとき、前記情報処理装置を送信元とするデータが送信停止状態であると決定する、
請求項１〜８のいずれか一項に記載の監視装置。
【請求項１０】
前記ネットワークは、複数のバスを含むバス型ネットワークであり、
前記監視装置は、前記複数のバスに対して設けられ、
前記監視装置の前記取得部は、前記複数のバスからデータを取得する、
請求項１〜９のいずれか一項に記載の監視装置。
【請求項１１】
前記ネットワークは、複数のバスを含むバス型ネットワークであり、
複数の前記監視装置が、前記複数のバスに設けられ、
前記監視装置の前記取得部はそれぞれ、１つの前記バスからデータを取得する、
請求項１〜９のいずれか一項に記載の監視装置。
【請求項１２】
モビリティに搭載されたネットワーク内で送られるデータを取得し、
取得された前記データに基づき、前記データに対応する送信状態を決定し、
決定された前記送信状態に基づき、取得されるデータの異常の有無を判定し、
前記判定では、データを取得したとき、前記データに対応する前記送信状態が送信停止状態であると、前記データに異常があると判定する、
監視方法。
【請求項１３】
モビリティに搭載されたネットワーク内で送られるデータを取得し、
取得された前記データに基づき、前記データに対応する送信状態を決定し、
決定された前記送信状態に基づき、取得されるデータの異常の有無を判定し、
前記判定では、データを取得したとき、前記データに対応する前記送信状態が送信停止状態であると、前記データに異常があると判定する、
ことをコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、監視装置、監視方法及びプログラムに関する。
【背景技術】
【０００２】
自動車等のモビリティ内のネットワークを監視する監視装置が検討されている。例えば、特許文献１は、バス型の車載ネットワークに接続された電子制御ユニットの不正を判断する技術を開示している。特許文献１の技術は、電子制御ユニットによって送信されるメッセージが所定の送信周期と異なる送信周期で送信されている異常メッセージである場合、当該メッセージの送信元であるはずの電子制御ユニットに対して、メッセージの送信を停止させる。さらに、特許文献１の技術は、送信元であるはずの電子制御ユニットが停止状態であるにもかかわらず異常メッセージが受信される場合、複数の電子制御ユニットのいずれかに成りすました電子制御ユニットがあると判断する。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１６−１２９３１４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１では、メッセージの送信周期の異常に基づき、メッセージの異常が判定されている。しかしながら、成りすました電子制御ユニットが、送信周期が正常である異常メッセージを送信するケースもある。よって、特許文献１の技術では、メッセージ等のデータの異常監視が十分でない。
【０００５】
本開示は、ネットワーク内のデータの異常の検出精度を向上する監視装置、監視方法及びプログラムを提供する。
【課題を解決するための手段】
【０００６】
本開示の非限定的で例示的な一態様に係る監視装置は、モビリティに搭載されたネットワークを介して送られるデータを監視する監視装置であって、前記ネットワークに接続された情報処理装置間で送られるデータを取得する取得部と、前記取得部によって取得された前記データに基づき、前記データに対応する送信状態を決定する決定部と、前記決定部によって決定された前記送信状態に基づき、前記取得部によって取得されるデータの異常の有無を判定する判定部と、を備え、前記判定部は、前記取得部によってデータが取得されたとき、前記データに対応する前記送信状態が送信停止状態であると、前記データに異常があると判定する。
【０００７】
本開示の非限定的で例示的な一態様に係る監視方法は、モビリティに搭載されたネットワーク内で送られるデータを取得し、取得された前記データに基づき、前記データに対応する送信状態を決定し、決定された前記送信状態に基づき、取得されるデータの異常の有無を判定し、前記判定では、データを取得したとき、前記データに対応する前記送信状態が送信停止状態であると、前記データに異常があると判定する。
【０００８】
本開示の非限定的で例示的な一態様に係るプログラムは、モビリティに搭載されたネットワーク内で送られるデータを取得し、取得された前記データに基づき、前記データに対応する送信状態を決定し、決定された前記送信状態に基づき、取得されるデータの異常の有無を判定し、前記判定では、データを取得したとき、前記データに対応する前記送信状態が送信停止状態であると、前記データに異常があると判定することをコンピュータに実行させる。
【０００９】
なお、上記の包括的又は具体的な態様は、システム、装置、方法、集積回路、コンピュータプログラム又はコンピュータ読取可能な記録ディスク等の記録媒体で実現されてもよく、システム、装置、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。コンピュータ読み取り可能な記録媒体は、例えばＣＤ−ＲＯＭ（Compact Disc-Read Only Memory）等の不揮発性の記録媒体を含む。
【発明の効果】
【００１０】
本開示の技術によれば、ネットワーク内のデータの異常の検出精度を向上することが可能になる。
【図面の簡単な説明】
【００１１】
【図１】実施の形態１に係る監視装置を備える車載ネットワークシステムの機能的な構成の一例を示すブロック図
【図２】実施の形態１に係る監視装置の機能的な構成の一例を示すブロック図
【図３】実施の形態１に係るデータＩＤと送信状態との関係の一例を示す図
【図４】実施の形態１に係るデータＩＤと送信状態との関係の他の一例を示す図
【図５Ａ】実施の形態１に係るデータＩＤと送信状態との関係の他の一例を示す図
【図５Ｂ】実施の形態１に係るデータＩＤと送信状態との関係の他の一例を示す図
【図６】図３の状態から送信状態が変更されたデータＩＤと送信状態との関係の一例を示す図
【図７】実施の形態１に係る監視装置の動作の流れの一例を示すフローチャート
【図８】実施の形態２に係る監視装置の機能的な構成の一例を示すブロック図
【図９】実施の形態２に係るデータＩＤと送信状態との関係の一例を示す図
【図１０】実施の形態２に係る監視装置の動作の流れの一例を示すフローチャート
【図１１】実施の形態３に係る監視装置の機能的な構成の一例を示すブロック図
【図１２】実施の形態４に係る監視装置の機能的な構成の一例を示すブロック図
【図１３】実施の形態１の変形例に係る監視装置の機能的な構成の一例を示すブロック図
【発明を実施するための形態】
【００１２】
本発明者らは、自動車等のモビリティ内のネットワークを監視する技術を検討した。モビリティは、移動体とも称し、様々な移動可能な機器を含む。モビリティは、人を載せることができる移動体であってもよく、物品を載せることができる移動体であってもよく、人も物品も載せない移動体であってもよい。モビリティの例は、車両、飛行体、船舶、及びロボットである。車両の例は、自動車、トラック、バス、二輪車、有軌道及び無軌道の列車、搬送車、並びに、建設機械及び荷役機械等の産業車両である。飛行体の例は、航空機、飛行船及びドローンである。
【００１３】
モビリティに搭載されたネットワークに接続された装置である情報処理装置（「信号処理装置」とも称す）は、ネットワークの外部から攻撃を受け、その機能が改変される可能性がある。そこで、本発明者らは、このような攻撃を受けた情報処理装置から出力された異常なデータを検出することで、ネットワークを監視する技術を検討した。
【００１４】
攻撃には、様々なケースがある。第１のケースは、正規の情報処理装置が正常なデータを定期的にネットワークに送信し続けている状況において、ネットワークへの侵入者が上記の正規の情報処理装置になりすまし偽装データを送信するケースである。このケースでは、攻撃実行中のネットワーク内において、上記の情報処理装置の正常なデータ及び偽装データが混在する。本明細書では、第１のケースの攻撃を「正規混在型偽装データ攻撃」と称す。
【００１５】
第２のケースは、ネットワークへの侵入者が、正規の情報処理装置に偽装ダイアグコマンドを送信して当該正規の情報処理装置を停止させ、代わりに偽装データを送信するケースである。第３のケースは、ネットワークへの侵入者が、正規の情報処理装置のファームウェアを改ざんし、代わりに偽装データを送信するケースである。第４のケースは、ネットワークへの侵入者が、ネットワークを中継するゲートウェイ等の中継装置のルーティングプログラムを改ざんして、中継を停止させ、代わりに中継データの偽装データを送信するケースである。第２〜第４のケースでは、攻撃実行中のネットワーク内において、上記の情報処理装置の正常なデータの送信は抑制され、偽装データのみが存在する。本明細書では、第２〜第４のケースの攻撃を「正規抑制型偽装データ攻撃」と称す。
【００１６】
正規混在型偽装データ攻撃では、正規の情報処理装置の正常なデータ及び偽装データが混在するため、攻撃中はデータの出力周期が正規の周期と異なる。正規抑制型偽装データ攻撃では、正規の情報処理装置の正常なデータに置き換えられる形で偽装データが存在するため、攻撃中でもデータの出力周期が変化しない場合がある。特許文献１の技術は、正規混在型偽装データ攻撃を受けたデータの異常を検出することができるが、正規抑制型偽装データ攻撃を受けたデータの異常を検出することができない。このため、特許文献１の技術は、データの異常の十分な監視を行うことができない。そこで、本発明者らは、正規抑制型偽装データ攻撃を受けた場合であってもデータの異常を検出することを可能にする技術を検討し、以下のような技術を創案した。
【００１７】
例えば、本開示の一態様に係る監視装置は、モビリティに搭載されたネットワークを介して送られるデータを監視する監視装置であって、前記ネットワークに接続された情報処理装置間で送られるデータを取得する取得部と、前記取得部によって取得された前記データに基づき、前記データに対応する送信状態を決定する決定部と、前記決定部によって決定された前記送信状態に基づき、前記取得部によって取得されるデータの異常の有無を判定する判定部と、を備え、前記判定部は、前記取得部によってデータが取得されたとき、前記データに対応する前記送信状態が送信停止状態であると、前記データに異常があると判定する。
【００１８】
上記態様によると、監視装置は、ネットワーク内で送られるデータに基づき、当該データに対応する送信状態を決定し、送信状態が送信停止状態であるデータを取得すると、当該データに異常があると判定する。このような監視装置は、出力周期の変更を伴ってデータが改ざんされた場合だけでなく、出力周期の変更を伴わずにデータが改ざんされた場合でも、データの異常を検出することができる。よって、監視装置は、ネットワーク内のデータの異常の検出精度を向上することができる。
【００１９】
本開示の一態様に係る監視装置において、前記決定部は、前記取得部によって取得された第１のデータに基づき、前記第１のデータの送信先である第１の情報処理装置を送信元とする第２のデータに対応する前記送信状態を決定し、前記判定部は、前記取得部によって前記第２のデータが取得されたとき、前記第２のデータに対応する前記送信状態が送信停止状態であると、前記第２のデータに異常があると判定してもよい。
【００２０】
上記態様によると、監視装置は、第１の情報処理装置に送られる第１のデータに基づき、第１の情報処理装置から送信されるデータに対応する送信状態を決定する。監視装置は、情報処理装置毎にデータの送信状態を管理する。よって、監視装置は、ネットワーク内のデータの異常の検出を、高精度に且つ簡略的に行うことができる。
【００２１】
本開示の一態様に係る監視装置において、前記第１のデータは、前記第１の情報処理装置に対するデータの送信実行又は送信停止の指令を含み、前記決定部は、前記第１のデータに含まれる前記指令に従って、前記第２のデータに対応する前記送信状態を、送信実行状態又は送信停止状態に決定してもよい。
【００２２】
上記態様によると、監視装置は、第１のデータに含まれる指令に従って、第１の情報処理装置から送信されるデータに対応する送信状態を決定する。よって、送信状態の決定処理の簡略化が可能になる。
【００２３】
本開示の一態様に係る監視装置において、前記取得部は、第２の情報処理装置によって周期的に出力される第３のデータを取得し、前記決定部は、前記取得部によって前記第３のデータが所定期間取得されないとき、前記第３のデータに対応する前記送信状態を送信停止状態に決定し、前記判定部は、前記取得部によって前記第３のデータが取得されたとき、前記第３のデータに対応する前記送信状態が送信停止状態であると、前記第３のデータに異常があると判定してもよい。
【００２４】
上記態様によると、取得部によって第３のデータが所定期間取得されないとき、第３のデータは、送信停止状態であると見なすことができる。監視装置は、このような送信停止状態の第３のデータが取得されると、第３のデータに異常があると判定する。監視装置は、出力周期の変更を伴ってデータが改ざんされた場合だけでなく、出力周期の変更を伴わずにデータが改ざんされた場合でも、データの異常を検出することができる。
【００２５】
本開示の一態様に係る監視装置において、前記決定部は、前記取得部によって前記第３のデータが所定期間取得されないとき、前記第２の情報処理装置を送信元とする他のデータである第４のデータに対応する前記送信状態を送信停止状態に決定し、前記判定部は、前記取得部によって前記第４のデータが取得されたとき、前記第４のデータに対応する前記送信状態が送信停止状態であると、前記第４のデータに異常があると判定してもよい。
【００２６】
上記態様によると、監視装置は、第２の情報処理装置が出力し得る第３のデータに基づき、第２の情報処理装置から送信され得る他のデータに対応する送信状態を決定する。監視装置は、情報処理装置毎にデータの送信状態を管理する。よって、監視装置は、ネットワーク内のデータの異常の検出を、高精度に且つ簡略的に行うことができる。
【００２７】
本開示の一態様に係る監視装置において、前記決定部は、前記取得部によって取得され且つ前記第２の情報処理装置を送信先とする第５のデータに含まれる指令に従って、前記第２の情報処理装置を送信元とする第６のデータに対応する前記送信状態を、送信実行状態又は送信停止状態に決定し、前記第５のデータは、前記第２の情報処理装置に対するデータの送信実行又は送信停止の指令を含み、前記判定部は、前記取得部によって前記第６のデータが取得されたとき、前記第６のデータに対応する前記送信状態が送信停止状態であると、前記第６のデータに異常があると判定してもよい。
【００２８】
上記態様によると、監視装置は、取得部によってデータが所定期間取得されない場合、及び、送信停止の指令を含むデータが取得された場合のいずれにおいても、データの送信停止状態を決定する。そして、監視装置は、このように決定された送信停止状態に基づき、取得部によって取得されるデータの異常の有無を判定する。よって、監視装置は、データの異常の検出精度を向上することができる。
【００２９】
本開示の一態様に係る監視装置は、前記情報処理装置と、前記情報処理装置を送信元とするデータと、前記情報処理装置を送信元とするデータの前記送信状態とを対応付けて記憶する記憶部、をさらに備え、前記決定部は、前記決定部によって決定された前記送信状態を用いて、前記記憶部に記憶された前記送信状態を変更し、前記判定部は、前記記憶部に記憶された前記送信状態に基づき判定を行ってもよい。
【００３０】
上記態様によると、データに対応する送信状態が、記憶部によって保持される。判定部は、記憶部に保持された送信状態を用いて判定を行うため、判定部の処理の簡略化が可能である。
【００３１】
本開示の一態様に係る監視装置は、前記情報処理装置間で送られる前記データと、前記データの前記送信状態とを対応付けて記憶する記憶部、をさらに備え、前記決定部は、前記決定部によって決定された前記送信状態を用いて、前記記憶部に記憶された前記送信状態を変更し、前記判定部は、前記記憶部に記憶された前記送信状態に基づき判定を行ってもよい。
【００３２】
上記態様によると、データに対応する送信状態が、記憶部によって保持される。判定部は、記憶部に保持された送信状態を用いて判定を行うため、判定部の処理の簡略化が可能である。
【００３３】
本開示の一態様に係る監視装置において、前記決定部は、前記情報処理装置の電源がオン状態であるとき、前記情報処理装置を送信元とするデータが送信実行状態であり、前記情報処理装置の電源がオフ状態であるとき、前記情報処理装置を送信元とするデータが送信停止状態であると決定してもよい。
【００３４】
上記態様によると、送信停止状態であると決定されるケースが増えるため、監視装置は、データに対する異常の検出精度を向上することができる。
【００３５】
本開示の一態様に係る監視装置において、前記ネットワークは、複数のバスを含むバス型ネットワークであり、前記監視装置は、前記複数のバスに対して設けられ、前記監視装置の前記取得部は、前記複数のバスからデータを取得してもよい。
【００３６】
上記態様によると、監視装置の数量の低減が可能であるため、コスト低減が可能になる。
【００３７】
本開示の一態様に係る監視装置において、前記ネットワークは、複数のバスを含むバス型ネットワークであり、複数の前記監視装置が、前記複数のバスに設けられ、前記監視装置の前記取得部はそれぞれ、１つの前記バスからデータを取得してもよい。
【００３８】
上記態様において、例えば、複数のバスが、ゲートウェイ等の中継装置を介して接続される場合、各バスに監視装置が配置されることによって、監視装置は、中継装置の処理との干渉を抑えた状態で、バスを監視することができる。つまり、各バスの確実な監視が可能になる。
【００３９】
また、本開示の一態様に係る監視方法は、モビリティに搭載されたネットワーク内で送られるデータを取得し、取得された前記データに基づき、前記データに対応する送信状態を決定し、決定された前記送信状態に基づき、取得されるデータの異常の有無を判定し、前記判定では、データを取得したとき、前記データに対応する前記送信状態が送信停止状態であると、前記データに異常があると判定する。上記態様によると、本開示の一態様に係る監視装置と同様の効果が得られる。
【００４０】
また、本開示の一態様に係るプログラムは、モビリティに搭載されたネットワーク内で送られるデータを取得し、取得された前記データに基づき、前記データに対応する送信状態を決定し、決定された前記送信状態に基づき、取得されるデータの異常の有無を判定し、前記判定では、データを取得したとき、前記データに対応する前記送信状態が送信停止状態であると、前記データに異常があると判定する、ことをコンピュータに実行させる。上記態様によると、本開示の一態様に係る監視装置と同様の効果が得られる。
【００４１】
なお、上記の包括的又は具体的な態様は、システム、装置、方法、集積回路、コンピュータプログラム又はコンピュータ読取可能な記録ディスク等の記録媒体で実現されてもよく、システム、装置、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。コンピュータ読み取り可能な記録媒体は、例えばＣＤ−ＲＯＭ等の不揮発性の記録媒体を含む。また、装置は、１つ以上の装置で構成されてもよい。装置が２つ以上の装置で構成される場合、当該２つ以上の装置は、１つの機器内に配置されてもよく、分離した２つ以上の機器内に分かれて配置されてもよい。本明細書及び特許請求の範囲では、「装置」とは、１つの装置を意味し得るだけでなく、複数の装置からなるシステムも意味し得る。
【００４２】
以下、本開示に係る監視装置等について、図面を参照しながら具体的に説明する。なお、以下で説明する実施の形態は、いずれも包括的又は具体的な例を示すものである。以下の実施の形態で示される数値、形状、構成要素、構成要素の配置位置及び接続形態、ステップ（工程）、並びにステップの順序等は、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。また、各図は模式図であり、必ずしも厳密に図示されたものではない。さらに、各図において、実質的に同一の構成要素に対しては同一の符号を付しており、重複する説明は省略又は簡略化される場合がある。
【００４３】
［実施の形態１］
実施の形態１に係る監視装置１００を説明する。以下の実施の形態では、監視装置１００は、車両に搭載されたネットワーク内のデータを監視するとして、説明する。なお、監視装置１００が監視する対象は、車載ネットワークに限定されず、いかなる機器に搭載されたネットワークであってもよい。
【００４４】
［１−１．監視装置の構成］
実施の形態１に係る監視装置１００及びその周辺の構成を説明する。図１は、実施の形態１に係る監視装置１００を備える車載ネットワークシステム１の機能的な構成の一例を示すブロック図である。車載ネットワークシステム１は、ネットワーク１０と、ネットワーク１０に接続される複数の情報処理装置２０と、ネットワーク１０に接続される監視装置１００とを備える。
【００４５】
情報処理装置２０は、図示しない車両内の各デバイスの動作を制御する。情報処理装置２０の例は、ＥＣＵ（電子制御ユニット：Electronic Control Unit）である。情報処理装置２０の制御対象の例は、車両の駆動装置、車両の付属装置、及び車両に搭載される外部インターフェースである。駆動装置の例は、イグニッション装置、各種メータ、トランスミッション、ＡＢＳ（Antilock Brake System）、エンジン及び駐車支援装置等であるが、これらに限定されない。付属装置の例は、電動ミラー、エアコンディショナ、車載カメラ、ドアのロック装置及びパワーウィンドウ等であるが、これらに限定されない。外部インターフェースの例は、タッチパネルなどのディスプレイを備え且つユーザからの入力を受け付けるヘッドユニット、車両の自己診断結果を出力するＯＢＤ（On-board diagnostics）ユニット、通信モジュール、ナビゲーションシステム等であるが、これらに限定されない。
【００４６】
ネットワーク１０には、複数の情報処理装置２０と監視装置１００とが接続されている。ネットワーク１０は、複数の情報処理装置２０間を接続し、さらに情報処理装置２０と監視装置１００との間を接続する。本実施の形態では、ネットワーク１０は、複数の情報処理装置２０及び監視装置１００等の２つの装置間を１対１で接続するものではなく、ネットワーク１０に出力された信号が、ネットワーク１０に接続された全ての装置に受信されるバス型ネットワークであるとする。例えば、図１において、１つの情報処理装置２０が、ネットワーク１０に信号を送信したとき、ネットワーク１０の全ての他の情報処理装置２０及び監視装置１００は当該信号を受信可能である。ネットワーク１０の一例は、ＣＡＮ（Controller Area Network）である。本実施の形態では、バス型のネットワーク１０において、各情報処理装置２０は、所定の周期で信号をネットワーク１０に出力する。周期の例は、２０ｍｓ（ミリ秒）である。
【００４７】
情報処理装置２０からネットワーク１０に出力される信号、つまりデータは、メッセージとも呼ばれる。データは、識別情報であるＩＤ（以下、「データＩＤ」とも称す）と、指令内容を含むペイロードとを含む。データＩＤには、データの送信先が予め設定されている。情報処理装置２０は、取得したデータのデータＩＤを確認することによって、当該データが当該情報処理装置２０宛てであることを認識し、ペイロードに含まれる指令を実行する。
【００４８】
監視装置１００は、各情報処理装置２０からネットワーク１０に出力されるデータを監視する、具体的には常時監視する。監視装置１００は、ネットワーク１０内を通るデータが、正常なデータであるか異常なデータであるかを検出する。異常なデータは、車載ネットワークシステム１の外部から攻撃を受けることによって、正常に機能することができなくなった情報処理装置２０、又は、他の情報処理装置２０になりすました情報処理装置等から出力されるデータである。正常なデータは、外部からの攻撃を受けておらず正常に機能することができる情報処理装置２０から出力されるデータである。
【００４９】
図２は、実施の形態１に係る監視装置１００の機能的な構成の一例を示すブロック図である。図２に示すように、監視装置１００は、取得部１０１と、送信状態監視部１０２と、送信状態管理部１０３と、異常検出部１０４と、出力部１０５と、記憶部１０６とを含む。
【００５０】
記憶部１０６は、種々の情報の格納及び取り出しを可能にする。記憶部１０６は、例えば、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、フラッシュメモリなどの半導体メモリ、ハードディスクドライブ、又はＳＳＤ（Solid State Drive）等の記憶装置によって実現される。記憶部１０６は、情報処理装置２０から出力されるデータに関する情報を格納する。また、記憶部１０６は、監視装置１００の各構成要素を動作させるためのプログラムを格納してもよい。
【００５１】
取得部１０１は、各情報処理装置２０からネットワーク１０に出力されるデータを、ネットワーク１０から取得し、送信状態監視部１０２及び異常検出部１０４に出力する。取得部１０１は全ての情報処理装置２０からネットワーク１０に出力されるデータを取得する。
【００５２】
送信状態監視部１０２は、取得部１０１によって取得されたデータに基づき、当該データに対応する送信状態、つまり当該データのデータＩＤの送信状態を決定する。決定される送信状態は、データがネットワーク１０に送信される送信実行状態と、ネットワーク１０へのデータの送信が停止される送信停止状態とを含む。送信状態監視部１０２は、決定した送信状態と、当該送信状態の対象であるデータＩＤとを送信状態管理部１０３に出力する。
【００５３】
本実施の形態では、送信状態監視部１０２は、情報処理装置２０に対するデータの送信実行又は送信停止を命令する指令を含むデータ（以下、「指令データ」とも称す）に基づき、当該情報処理装置２０の送信状態を決定する。指令データの送信先は、上記情報処理装置２０である。送信状態監視部１０２は、指令データに含まれる指令内容に従って、指令データの送信先の情報処理装置２０の送信状態を決定する。情報処理装置２０の送信状態がわかれば、当該情報処理装置２０を送信元とするデータに対応する送信状態を決定することが可能となる。指令データの例は、ダイアグデータであり、ダイアグメッセージとも称す。ダイアグデータの指令内容の例は、送信先の情報処理装置２０に対する自己の診断モードへの遷移若しくは診断モードからの復帰の指示、又は、プログラムを変更するリプロモードへの遷移若しくはリプロモードからの復帰の指示である。情報処理装置２０は、診断モード及びリプロモードの実行中はデータの出力つまり送信を停止し、診断モード及びリプロモードから通常のモードへの復帰後にデータの送信を再開する。送信状態監視部１０２は、指令データの指令内容から判断される送信状態と、指令データのデータＩＤとを、送信状態管理部１０３に出力する。
【００５４】
送信状態管理部１０３は、データＩＤ毎に、データの送信状態を管理する。送信状態管理部１０３は、送信状態監視部１０２から送られるデータの送信状態に基づき、記憶部１０６に格納されている当該データの送信状態を変更、つまり更新する。送信状態管理部１０３は、記憶部１０６に格納されている送信状態が送信状態監視部１０２から送られる送信状態と異なる場合、記憶部１０６の送信状態を、送信状態監視部１０２から送られる送信状態に変更する。ここで、送信状態監視部１０２及び送信状態管理部１０３は、決定部の一例である。
【００５５】
本実施の形態では、記憶部１０６には、図３に示すように、各データＩＤに対して、当該データＩＤのデータの送信状態が対応付けられて、記憶されている。図３は、実施の形態１に係るデータＩＤと送信状態との関係の一例を示す図である。図３では、データＩＤは、当該データＩＤのデータの送信元である情報処理装置２０のＩＤと対応付けられて示されている。記憶部１０６には、図３に示すように、データＩＤと、当該データＩＤのデータの送信元の情報処理装置２０のＩＤと、当該データＩＤのデータの送信状態とが対応付けられて、記憶されてもよい。しかしながら、データＩＤとそのデータの送信元の情報処理装置２０とは、例えば、データＩＤの設定時に予め対応付けられている。このため、データＩＤを確認することによって、そのデータの送信元の情報処理装置２０の特定が可能である。よって、記憶部１０６には、図４に示すように、データＩＤと、当該データＩＤの送信状態とのみが対応付けられて、記憶されてもよい。なお、図４は、実施の形態１に係るデータＩＤと送信状態との関係の他の一例を示す図である。
【００５６】
また、記憶部１０６には、図５Ａ及び図５Ｂに示すように、図３に示す関係が２つに分けて記憶されていてもよい。図５Ａ及び図５Ｂは、実施の形態１に係るデータＩＤと送信状態との関係の他の一例を示す図である。具体的には、記憶部１０６には、図５Ａに示すように、データＩＤと当該データＩＤのデータの送信元である情報処理装置２０のＩＤとが対応付けられて記憶される。さらに、記憶部１０６には、図５Ｂに示すように、データＩＤと当該データＩＤの送信状態とが対応付けられて記憶される。この場合、送信状態管理部１０３は、図５Ａ及び図５Ｂに示すような２つの関係を参照することによって、各データＩＤの送信状態を管理する。
【００５７】
送信状態管理部１０３は、送信状態監視部１０２から送信状態及び指令データのデータＩＤを取得すると、当該データＩＤの指令データの送信先である情報処理装置２０を送信元とする全てのデータＩＤを特定し、特定されたデータＩＤの送信状態を、取得された送信状態に変更する。例えば、図３において、指令データのデータＩＤの送信先が、ＩＤ「００１」の情報処理装置２０であり、取得された送信状態が送信停止状態である場合、送信状態管理部１０３は、図６に示すように、ＩＤ「００１」の情報処理装置２０を送信元とするデータＩＤ「０×０１３」、「０×１０３」及び「０×０４５」の全ての送信状態を、送信実行状態から送信停止状態に変更する。なお、図６は、図３の状態から送信状態が変更されたデータＩＤと送信状態との関係の一例を示す図である。
【００５８】
さらに、送信状態管理部１０３は、異常検出部１０４からデータＩＤの送信状態の問い合わせを受けると、記憶部１０６を参照することによって、当該データＩＤに対応する送信状態を取得し、当該送信状態を異常検出部１０４に出力する。
【００５９】
異常検出部１０４は、取得部１０１から取得された各データについて、そのデータＩＤの送信状態を送信状態管理部１０３に問い合わせる。異常検出部１０４は、取得された送信状態に基づき、当該データＩＤのデータについて異常の有無を判定する。具体的には、異常検出部１０４は、取得されたデータＩＤの送信状態が送信停止状態の場合、当該データＩＤのデータに異常があると判定し、送信実行状態の場合、当該データＩＤのデータが正常であると判定する。異常検出部１０４は、判定結果を出力部１０５に出力する。本実施の形態では、異常検出部１０４は、異常ありの判定結果を出力部１０５に出力し、正常である判定結果を出力しないが、これに限定されない。ここで、異常検出部１０４は、判定部の一例である。
【００６０】
また、異常検出部１０４は、取得部１０１から取得された各データの送信状態を送信状態管理部１０３に問い合わせず、直接記憶部１０６を参照してもよい。この場合、異常検出部１０４は、取得されたデータＩＤを、記憶部１０６に格納されたデータＩＤと送信状態との関係に照合することによって、送信状態を取得してもよい。
【００６１】
出力部１０５は、異常検出部１０４から取得された判定結果を監視装置１００の外部に出力する。出力部１０５は、図示しない車両の報知装置、及び、判定結果の対象のデータＩＤのデータを送信元とする情報処理装置２０を制御管理する管理装置等に、判定結果を出力する。報知装置の例は、ディスプレイ、スピーカ、警告灯及び警告ブザーである。ディスプレイの例は、液晶パネル、及び有機又は無機ＥＬ（Electroluminescence）パネルである。報知装置は、判定結果をユーザに報知する。管理装置は、判定結果が異常である場合、例えば、電源を遮断する等により情報処理装置２０を停止させる、又は、車両を停止させる等の制御を行ってもよい。
【００６２】
上述のような監視装置１００の取得部１０１、送信状態監視部１０２、送信状態管理部１０３、異常検出部１０４及び出力部１０５等の各構成要素は、ＣＰＵ（Central Processing Unit）又はＤＳＰ（Digital Signal Processor）等のプロセッサ、並びに、ＲＡＭ及びＲＯＭ等のメモリなどからなるコンピュータシステム（図示せず）により構成されてもよい。各構成要素の一部又は全部の機能は、ＣＰＵ又はＤＳＰがＲＡＭを作業用のメモリとして用いてＲＯＭに記録されたプログラムを実行することによって達成されてもよい。また、各構成要素の一部又は全部の機能は、電子回路又は集積回路等の専用のハードウェア回路によって達成されてもよい。各構成要素の一部又は全部の機能は、上記のソフトウェア機能とハードウェア回路との組み合わせによって構成されてもよい。プログラムは、予めＲＯＭに格納されていてもよく、アプリケーションとして、インターネット等の通信網を介した通信、モバイル通信規格による通信、その他の無線ネットワーク、有線ネットワーク、又は放送等で提供されＲＯＭに格納されてもよい。
【００６３】
［１−２．監視装置の動作］
次に、実施の形態１に係る監視装置１００の動作を説明する。図７は、実施の形態１に係る監視装置１００の動作の流れの一例を示すフローチャートである。図７に示すように、ステップＳ１において、取得部１０１は、各情報処理装置２０からネットワーク１０に出力されるデータを、ネットワーク１０から取得する。
【００６４】
次いで、ステップＳ２において、取得部１０１は、取得されたデータのデータＩＤに基づき、当該データが指令データ以外の通常データであるか否かを判定する。なお、データＩＤと、通常データ及び指令データとの関係は、予め対応付けられている。このため、取得部１０１は、データＩＤを認識することで、当該データＩＤのデータが通常データ及び指令データのいずれであるかを判定することができる。取得部１０１は、通常データである場合（ステップＳ２でＹｅｓ）、そのデータＩＤを異常検出部１０４へ出力し、ステップＳ３へ進む。取得部１０１は、指令データである場合（ステップＳ２でＮｏ）、当該指令データを送信状態監視部１０２へ出力し、ステップＳ４へ進む。
【００６５】
ステップＳ３において、異常検出部１０４は、取得されたデータのデータＩＤを送信状態管理部１０３へ問い合わせ、当該データＩＤの送信状態を取得する。送信状態管理部１０３は、問い合わせされたデータＩＤを、記憶部１０６に格納されたデータＩＤと送信状態との関係に照合することによって、当該データＩＤの送信状態を取得し、異常検出部１０４へ出力する。次いで、ステップＳ５において、異常検出部１０４は、ステップＳ３で問い合わせしたデータＩＤが送信停止状態であるか否かを判定する。異常検出部１０４は、送信停止状態である場合（ステップＳ５でＹｅｓ）、ステップＳ６へ進み、送信実行状態である場合（ステップＳ５でＮｏ）、ステップＳ１へ戻る。
【００６６】
ステップＳ６において、異常検出部１０４は、取得されたデータに異常があると判定する。ステップＳ１において取得されたデータは、送信停止状態のデータＩＤのデータであるため、異常なデータであると判定することができる。異常検出部１０４は、異常の判定結果を出力部１０５へ出力する。次いで、ステップＳ７において、出力部１０５は、判定結果を監視装置１００の外部に出力し、ステップＳ１に戻る。
【００６７】
また、ステップＳ４において、送信状態監視部１０２は、取得された指令データのペイロードの内容を確認し、その内容が送信停止又は送信再開の指令を含むか否かを判定する。送信状態監視部１０２は、当該指令を含む場合（ステップＳ４でＹｅｓ）、指令データの対象の情報処理装置２０の送信状態を、送信停止状態又は送信実行状態に決定する。送信状態監視部１０２は、決定した送信停止状態又は送信実行状態の情報と、これを指令する指令データのデータＩＤとを送信状態管理部１０３に出力し、ステップＳ８へ進む。送信状態監視部１０２は、送信停止又は送信再開の指令を含まない場合（ステップＳ４でＮｏ）、ステップＳ１へ戻る。
【００６８】
ステップＳ８において、送信状態管理部１０３は、データＩＤの送信状態を更新する。具体的には、送信状態管理部１０３は、送信停止状態の情報を取得した場合、一緒に取得された指令データのデータＩＤの送信先の情報処理装置２０を送信元とする全てのデータＩＤについて、記憶部１０６に記憶されている送信状態を送信停止状態へ変更する。送信状態管理部１０３は、送信実行状態の情報を取得した場合、一緒に取得された指令データのデータＩＤの送信先の情報処理装置２０を送信元とする全てのデータＩＤについて、記憶部１０６に記憶されている送信状態を送信実行状態へ変更する。変更後、送信状態管理部１０３は、ステップＳ１へ戻る。
【００６９】
［１−３．効果等］
上述したように、実施の形態１に係る監視装置１００は、モビリティに搭載されたネットワーク１０を介して送られるデータを監視する。監視装置１００は、ネットワーク１０に接続された情報処理装置２０間で送られるデータを取得する取得部１０１と、取得部１０１によって取得されたデータに基づき、当該データに対応する送信状態を決定する決定部としての送信状態監視部１０２及び送信状態管理部１０３と、送信状態監視部１０２及び送信状態管理部１０３によって決定された送信状態に基づき、取得部１０１によって取得されるデータの異常の有無を判定する判定部としての異常検出部１０４とを備える。異常検出部１０４は、取得部１０１によってデータが取得されたとき、当該データに対応する送信状態が送信停止状態であると、当該データに異常があると判定する。
【００７０】
上記構成によると、監視装置１００は、ネットワーク１０内で送られるデータに基づき、当該データに対応する送信状態を決定し、送信状態が送信停止状態であるデータを取得すると、当該データに異常があると判定する。このような監視装置１００は、出力周期の変更を伴ってデータが改ざんされた場合だけでなく、出力周期の変更を伴わずにデータが改ざんされた場合でも、データの異常を検出することができる。例えば、監視装置１００は、正規混在型偽装データ攻撃及び正規抑制型偽装データ攻撃のいずれの攻撃を受けたデータに対しても、異常を検出することができる。よって、監視装置１００は、ネットワーク１０内のデータの異常の検出精度を向上することができる。
【００７１】
また、実施の形態１に係る監視装置１００において、送信状態監視部１０２及び送信状態管理部１０３は、取得部１０１によって取得された第１のデータに基づき、第１のデータの送信先である第１の情報処理装置２０を送信元とする第２のデータに対応する送信状態を決定してもよい。さらに、異常検出部１０４は、取得部１０１によって第２のデータが取得されたとき、第２のデータに対応する送信状態が送信停止状態であると、第２のデータに異常があると判定してもよい。上記構成によると、監視装置１００は、第１の情報処理装置２０に送られる第１のデータに基づき、第１の情報処理装置２０から送信されるデータに対応する送信状態を決定する。つまり、監視装置１００は、情報処理装置２０毎にデータの送信状態を管理する。よって、監視装置１００は、ネットワーク１０内のデータの異常の検出を、高精度に且つ簡略的に行うことができる。
【００７２】
また、実施の形態１に係る監視装置１００において、第１のデータは、第１の情報処理装置２０に対するデータの送信実行又は送信停止の指令を含んでもよい。さらに、送信状態監視部１０２及び送信状態管理部１０３は、第１のデータに含まれる指令に従って、第２のデータに対応する送信状態を、送信実行状態又は送信停止状態に決定してもよい。上記構成によると、監視装置１００は、第１のデータに含まれる指令に従って、第１の情報処理装置２０から送信されるデータに対応する送信状態を決定する。よって、送信状態の決定処理の簡略化が可能になる。
【００７３】
また、実施の形態１に係る監視装置１００は、情報処理装置２０と、情報処理装置２０を送信元とするデータと、情報処理装置２０を送信元とするデータの送信状態とを対応付けて記憶する記憶部１０６をさらに備えてもよい。送信状態管理部１０３は、送信状態監視部１０２によって決定された送信状態を用いて、記憶部１０６に記憶された送信状態を変更してもよい。異常検出部１０４は、記憶部１０６に記憶された送信状態に基づき、判定を行ってもよい。上記構成によると、データに対応する送信状態が、記憶部１０６によって保持される。異常検出部１０４は、記憶部１０６に保持された送信状態を用いて判定を行うため、その処理の簡略化が可能である。
【００７４】
［実施の形態２］
実施の形態２に係る監視装置２００を説明する。実施の形態２に係る監視装置２００は、データの送信状態をデータの出力周期に基づき決定する点で、実施の形態１と異なる。実施の形態２に係る監視装置２００は、データと情報処理装置２０とを対応付けずに、データＩＤ毎に、送信状態を管理する。以下において、実施の形態１と異なる点を中心に説明し、実施の形態１と同様の点の説明を省略する。
【００７５】
［２−１．監視装置の構成］
図８は、実施の形態２に係る監視装置２００の機能的な構成の一例を示すブロック図である。図８に示すように、監視装置２００は、取得部２０１と、送信状態監視部２０２と、送信状態管理部２０３と、異常検出部１０４と、出力部１０５と、記憶部１０６と、計時部２０７とを含む。異常検出部１０４、出力部１０５及び記憶部１０６の構成は、実施の形態１と同様であるため、その詳細な説明を省略する。
【００７６】
計時部２０７は、タイマ又はクロック等の経過時間を計測する装置で構成される。計時部２０７は、データＩＤ毎に、取得部２０１によって当該データＩＤのデータが取得された時点からの経過時間を計測する。計時部２０７は、計測結果をデータＩＤと対応付けて送信状態監視部２０２に出力する。計時部２０７は、計測中、当該データＩＤの新たなデータが取得されると、経過時間を零にリセットし、新たな計測を開始する。さらに、計時部２０７は、データＩＤそれぞれについて、当該データＩＤのデータが連続して取得されない状態の経過時間が所定期間に達すると、この状態をタイムアウト状態として検出する。そして、計時部２０７は、当該データＩＤとタイムアウト状態である情報とを対応付けて送信状態監視部２０２に出力する。
【００７７】
取得部２０１は、各情報処理装置２０からネットワーク１０に出力されるデータを、ネットワーク１０から取得し、送信状態監視部２０２、異常検出部１０４及び計時部２０７に出力する。取得部２０１は、指令データ及び通常データのいずれも、送信状態監視部２０２、異常検出部１０４及び計時部２０７に出力する。
【００７８】
送信状態監視部２０２は、取得部２０１によって取得され得るデータのデータＩＤ毎に、計時部２０７によって計測される当該データＩＤに対応する経過時間に基づき、当該データＩＤに対応する送信状態を決定する。具体的には、送信状態監視部２０２は、データＩＤ毎に、当該データＩＤのデータが情報処理装置２０からネットワーク１０に周期的に出力されているかを監視する。なお、情報処理装置２０は、自身に設定されたデータＩＤのデータを所定の周期で出力する。送信状態監視部２０２は、データＩＤのデータが所定期間以上にわたって連続して取得されないとき、具体的には、計時部２０７から当該データＩＤがタイムアウト状態である情報が取得されると、当該データＩＤに対応する送信状態を送信停止状態に決定する。送信状態監視部２０２は、データＩＤのデータが所定期間未満の間に取得されるとき、具体的には、計時部２０７から当該データＩＤがタイムアウト状態である情報が取得されずに当該データＩＤのデータが取得されるとき、当該データＩＤに対応する送信状態を送信実行状態に決定する。送信状態監視部２０２は、決定した送信状態と、当該送信状態の対象のデータＩＤとを送信状態管理部２０３に出力する。
【００７９】
所定期間は、情報処理装置２０によるデータＩＤのデータの出力周期よりも長い期間である。出力周期は、データＩＤ毎に設定される。例えば、所定期間は、Ｎ周期（Ｎ≧２）としてもよい。Ｎ＝１０であり且つ出力周期が４０ｍｓである場合、所定周期は、４００ｍｓである。
【００８０】
送信状態管理部２０３は、データＩＤ毎に、データの送信状態を管理する。送信状態管理部２０３は、送信状態監視部２０２から送られるデータＩＤの送信状態に基づき、記憶部１０６に格納されている当該データＩＤの送信状態を更新する。本実施の形態では、記憶部１０６には、図９に示すように、各データＩＤと当該データＩＤの送信状態とが対応付けられて、記憶されている。図９は、実施の形態２に係るデータＩＤと送信状態との関係の一例を示す図である。送信状態管理部２０３は、送信状態監視部２０２から送信状態及びデータＩＤを取得すると、当該データＩＤの送信状態を、取得された送信状態に変更する。さらに、送信状態管理部２０３は、異常検出部１０４から、データＩＤの送信状態の問い合わせを受けると、記憶部１０６を参照することによって、当該データＩＤの送信状態を取得し、異常検出部１０４に出力する。
【００８１】
異常検出部１０４は、取得部２０１から取得された各データについて、そのデータＩＤの送信状態を送信状態管理部２０３に問い合わせ、送信状態管理部２０３から取得される送信状態に基づき、当該データＩＤのデータについて異常の有無を判定する。異常検出部１０４は、取得されたデータＩＤの送信状態が送信停止状態の場合、当該データＩＤのデータに異常があると判定し、送信実行状態の場合、当該データＩＤのデータが正常であると判定する。なお、異常検出部１０４は、取得部２０１から取得された各データの送信状態を送信状態管理部２０３に問い合わせず、直接記憶部１０６から取得してもよい。
【００８２】
［２−２．監視装置の動作］
次に、実施の形態２に係る監視装置２００の動作を説明する。図１０は、実施の形態２に係る監視装置２００の動作の流れの一例を示すフローチャートである。なお、図１０は、１つの情報処理装置２０から出力されたデータに対する監視装置２００の動作を示す。
【００８３】
図１０に示すように、ステップＳ２１において、取得部２０１又は計時部２０７は、情報処理装置２０からのデータの取得又はタイムアウト状態を検出し、検出結果を送信状態監視部２０２へ出力する。具体的には、取得部２０１は、上記情報処理装置２０からネットワーク１０に出力されるデータをネットワーク１０から取得すると、取得されたデータを送信状態監視部２０２へ出力する。これにより、送信状態監視部２０２へは、取得されたデータのデータＩＤも出力されることになる。又は、計時部２０７は、上記情報処理装置２０からネットワーク１０に周期的に出力されるはずである上記データＩＤのデータのタイムアウト状態を検出すると、当該データＩＤとタイムアウト状態の情報とを対応付けて送信状態監視部２０２へ出力する。
【００８４】
次いで、ステップＳ２２において、送信状態監視部２０２は、取得されたデータＩＤについて、当該データＩＤは取得されたデータのデータＩＤであるか否かを判定する。送信状態監視部２０２は、当該データＩＤが取得されたデータに関する場合（ステップＳ２２でＹｅｓ）、ステップＳ２３へ進む。送信状態監視部２０２は、当該データＩＤが取得されたデータに関しない、つまり、タイムアウトに関する場合、（ステップＳ２２でＮｏ）、送信状態監視部２０２は、当該データＩＤの送信状態を送信停止状態に決定する。さらに、送信状態監視部２０２は、送信停止状態の情報と、これの対象であるデータＩＤとを送信状態管理部２０３に出力し、ステップＳ２４へ進む。
【００８５】
ステップＳ２４において、送信状態管理部２０３は、データＩＤの送信状態を更新する。具体的には、送信状態管理部２０３は、取得された送信停止状態の情報に対応するデータＩＤについて、記憶部１０６に記憶されている送信状態を送信停止状態へ変更する。そして、送信状態管理部２０３は、ステップＳ２１へ戻る。
【００８６】
また、ステップＳ２３において、異常検出部１０４は、ステップＳ２２で取得されたデータＩＤが送信停止状態であるか否かを判定する。異常検出部１０４は、送信停止状態である場合（ステップＳ２３でＹｅｓ）、ステップＳ２５へ進み、送信実行状態である場合（ステップＳ２３でＮｏ）、ステップＳ２１へ戻る。
【００８７】
ステップＳ２５において、異常検出部１０４は、取得されたデータＩＤのデータに異常があると判定する。異常検出部１０４は、異常の判定結果を出力部１０５へ出力する。次いで、ステップＳ２６において、出力部１０５は、判定結果を監視装置２００の外部に出力し、ステップＳ２１に戻る。
【００８８】
［２−３．効果等］
上述したような実施の形態２に係る監視装置２００のその他の構成及び動作は、実施の形態１と同様であるため、その説明を省略する。そして、実施の形態２に係る監視装置２００によると、実施の形態１と同様の効果が得られる。
【００８９】
さらに、実施の形態２に係る監視装置２００において、取得部２０１は、情報処理装置２０によって周期的に出力される第３のデータを取得し、送信状態監視部２０２は、取得部２０１によって第３のデータが所定期間取得されないとき、第３のデータに対応する送信状態を送信停止状態に決定し、異常検出部１０４は、取得部２０１によって第３のデータが取得されたとき、第３のデータに対応する送信状態が送信停止状態であると、第３のデータに異常があると判定してもよい。
【００９０】
上記構成によると、取得部２０１によって第３のデータが所定期間取得されないとき、第３のデータは、送信停止状態であると見なすことができる。監視装置２００は、このような送信停止状態の第３のデータが取得されると、第３のデータに異常があると判定する。監視装置２００は、出力周期の変更を伴ってデータが改ざんされた場合だけでなく、出力周期の変更を伴わずにデータが改ざんされた場合でも、データの異常を検出することができる。
【００９１】
また、実施の形態２に係る監視装置２００は、情報処理装置２０間で送られるデータと、情報処理装置２０間で送られるデータの送信状態とを対応付けて記憶する記憶部１０６をさらに備えてもよい。送信状態管理部２０３は、送信状態監視部２０２によって決定された送信状態を用いて、記憶部１０６に記憶された送信状態を変更してもよい。異常検出部１０４は、記憶部１０６に記憶された送信状態に基づき判定を行ってもよい。上記構成によると、データに対応する送信状態が、記憶部１０６によって保持される。異常検出部１０４は、記憶部１０６に保持された送信状態を用いて判定を行うため、その処理の簡略化が可能である。
【００９２】
［実施の形態３］
実施の形態３に係る監視装置３００を説明する。実施の形態３に係る監視装置３００は、実施の形態２と同様に、データの送信状態をデータの出力周期に基づき決定する。しかしながら、実施の形態３に係る監視装置３００は、データと情報処理装置２０とを対応付けて、各データＩＤの送信状態を管理する点で、実施の形態２と異なる。以下において、実施の形態１及び２と異なる点を中心に説明し、実施の形態１及び２と同様の点の説明を省略する。
【００９３】
図１１は、実施の形態３に係る監視装置３００の機能的な構成の一例を示すブロック図である。図１１に示すように、監視装置３００は、取得部２０１と、送信状態監視部２０２と、送信状態管理部３０３と、異常検出部１０４と、出力部１０５と、記憶部１０６と、計時部２０７とを含む。取得部２０１、送信状態監視部２０２、異常検出部１０４、出力部１０５、記憶部１０６及び計時部２０７の構成は、実施の形態２と同様であるため、その詳細な説明を省略する。
【００９４】
送信状態管理部３０３は、実施の形態１の送信状態管理部１０３と同様の処理を行う。具体的には、送信状態管理部３０３は、送信状態監視部２０２から送られるデータＩＤの送信状態に基づき、記憶部１０６に格納されている当該データＩＤの送信状態を更新する。本実施の形態では、記憶部１０６には、図３に示すように、データＩＤと、当該データＩＤのデータの送信元の情報処理装置２０のＩＤと、当該データＩＤのデータの送信状態とが対応付けられて、記憶されている。
【００９５】
送信状態管理部３０３は、送信状態監視部２０２から送信状態と当該送信状態の対象のデータＩＤとを取得すると、当該データＩＤを送信元とする情報処理装置２０が送信元である全てのデータＩＤの送信状態を、取得された送信状態に変更する。なお、本実施の形態では、送信状態管理部３０３は、取得された送信状態が送信停止状態である場合、データＩＤの送信状態を変更し、取得された送信状態が送信実行状態である場合、データＩＤの送信状態を現状のまま維持し変更しないが、これに限定されない。後者の場合も、データＩＤの送信状態が変更されてもよい。
【００９６】
異常検出部１０４は、取得部２０１から取得されたデータのデータＩＤの送信状態を送信状態管理部３０３に問い合わせ、送信状態管理部３０３から取得される送信状態に基づき、当該データＩＤのデータについて異常の有無を判定する。なお、異常検出部１０４は、データＩＤの送信状態を送信状態管理部３０３に問い合わせず、直接記憶部１０６から取得してもよい。
【００９７】
上述したような実施の形態３に係る監視装置３００のその他の構成及び動作は、実施の形態１又は２と同様であるため、その説明を省略する。そして、実施の形態３に係る監視装置３００によると、実施の形態２と同様の効果が得られる。さらに、実施の形態３に係る監視装置３００において、送信状態監視部２０２及び送信状態管理部３０３は、取得部２０１によってデータが所定期間取得されないとき、当該データに対応する情報処理装置２０を送信元とする他のデータである第４のデータに対応する送信状態を送信停止状態に決定してもよい。異常検出部１０４は、取得部２０１によって第４のデータが取得されたとき、第４のデータに対応する送信状態が送信停止状態であると、第４のデータに異常があると判定してもよい。上記態様によると、監視装置３００は、情報処理装置２０が出力し得る第３のデータに基づき、当該情報処理装置２０から送信され得るデータに対応する送信状態を決定する。監視装置３００は、情報処理装置２０毎にデータの送信状態を管理する。よって、監視装置３００は、ネットワーク１０内のデータの異常の検出を、高精度に且つ簡略的に行うことができる。
【００９８】
［実施の形態４］
実施の形態４に係る監視装置４００を説明する。実施の形態４に係る監視装置４００は、データの送信状態を、指令データの指令内容とデータの出力周期とに基づき決定する点で、実施の形態１〜３と異なる。実施の形態４に係る監視装置４００は、データと情報処理装置２０とを対応付けて、データＩＤ毎に送信状態を管理する。以下において、実施の形態１〜３と異なる点を中心に説明し、実施の形態１〜３と同様の点の説明を省略する。
【００９９】
図１２は、実施の形態４に係る監視装置４００の機能的な構成の一例を示すブロック図である。図１２に示すように、監視装置４００は、取得部２０１と、送信状態監視部４０２と、送信状態管理部４０３と、異常検出部４０４と、出力部１０５と、記憶部１０６と、計時部２０７とを含む。取得部２０１、出力部１０５、記憶部１０６及び計時部２０７の構成は、実施の形態２と同様であるため、その詳細な説明を省略する。
【０１００】
取得部２０１は、各情報処理装置２０からネットワーク１０に出力される指令データ及び通常データのいずれも、ネットワーク１０から取得し、送信状態監視部４０２、異常検出部４０４及び計時部２０７に出力する。
【０１０１】
送信状態監視部４０２は、実施の形態３と同様に、取得部２０１から取得され得るデータのデータＩＤ毎に、計時部２０７によって計測される当該データＩＤに対応する経過時間に基づき、当該データＩＤに対応する送信状態を決定する。送信状態監視部４０２は、データＩＤのデータが所定期間以上にわたって連続して取得されないとき、具体的には、計時部２０７から当該データＩＤがタイムアウト状態である情報が取得されると、当該データＩＤに対応する送信状態を送信停止状態に決定する。また、送信状態監視部２０２は、データＩＤのデータが所定期間未満の間に取得されるとき、当該データＩＤに対応する送信状態を送信実行状態に決定する。以下において、上述のような所定期間に基づく送信状態監視部４０２の決定内容を、「第１の決定内容」と称す。
【０１０２】
また、送信状態監視部４０２は、実施の形態１と同様に、取得部２０１から指令データを取得した場合、指令データに含まれる指令内容に従って、指令データの送信先の情報処理装置２０の送信状態を決定する。以下において、上述のような指令データに基づく送信状態監視部４０２の決定内容を、「第２の決定内容」と称す。送信状態監視部４０２は、第１決定内容又は第２の決定内容と、当該決定内容の対象のデータＩＤとを対応付けて、送信状態管理部４０３に出力する。
【０１０３】
送信状態管理部４０３は、第１の決定内容を取得した場合、実施の形態３の送信状態管理部３０３と同様に処理を行い、第２の決定内容を取得した場合、実施の形態１の送信状態管理部１０３と同様に処理を行う。なお、記憶部１０６には、データＩＤと、当該データＩＤのデータの送信元の情報処理装置２０のＩＤと、当該データＩＤのデータの送信状態とが、例えば図３に示すように対応付けられて記憶されている。
【０１０４】
具体的には、送信状態管理部４０３は、第１の決定内容及び第２の決定内容のいずれを取得した場合も、取得された決定内容に含まれる送信状態に基づき、記憶部１０６に格納される送信状態を更新する。具体的には、送信状態管理部４０３は、送信実行状態を含む第１の決定内容を取得した場合、第１の決定内容の対象のデータＩＤを送信元とする情報処理装置２０が送信元である全てのデータＩＤの送信状態を現状のまま維持する。送信状態管理部４０３は、送信停止状態を含む第１の決定内容を取得した場合、第１の決定内容の対象のデータＩＤを送信元とする情報処理装置２０が送信元である全てのデータＩＤの送信状態を、送信停止状態に変更する。
【０１０５】
また、送信状態管理部４０３は、送信停止状態を含む第２の決定内容を取得した場合、第２の決定内容に対応する指令データのデータＩＤの送信先である情報処理装置２０が送信元である全てのデータＩＤの送信状態を、送信停止状態に変更する。送信状態管理部４０３は、送信実行状態を含む第２の決定内容を取得した場合、第２の決定内容に対応する指令データのデータＩＤの送信先である情報処理装置２０が送信元である全てのデータＩＤの送信状態を、送信実行状態に変更する。
【０１０６】
異常検出部４０４は、取得部２０１から取得された各データについて、そのデータＩＤの送信状態を送信状態管理部４０３に問い合わせ、送信状態管理部４０３から取得される送信状態に基づき、当該データＩＤのデータについて異常の有無を判定する。このとき、データＩＤの問い合わせを受けた送信状態管理部４０３は、記憶部１０６の図３に示すような関係を参照することによって、当該データＩＤの送信状態を取得し、異常検出部４０４に出力する。なお、異常検出部４０４は、送信状態を送信状態管理部４０３に問い合わせず、直接記憶部１０６から送信状態を取得してもよい。
【０１０７】
上述したような実施の形態４に係る監視装置４００のその他の構成及び動作は、実施の形態１〜３と同様であるため、その説明を省略する。そして、実施の形態４に係る監視装置４００によると、実施の形態１及び３と同様の効果が得られる。
【０１０８】
さらに、実施の形態４に係る監視装置４００において、送信状態監視部４０２及び送信状態管理部４０３は、取得部２０１によってデータが所定期間取得されないとき、当該データに対応する情報処理装置２０を送信元とする第４のデータに対応する送信状態を送信停止状態に決定してもよい。さらに、異常検出部４０４は、取得部２０１によって第４のデータが取得されたとき、第４のデータに対応する送信状態が送信停止状態であると、第４のデータに異常があると判定してもよい。また、送信状態監視部４０２及び送信状態管理部４０３は、取得部２０１によって取得され且つ情報処理装置２０を送信先とする第５のデータに含まれる指令に従って、当該情報処理装置を送信元とする第６のデータに対応する送信状態を、送信実行状態又は送信停止状態に決定してもよい。なお、第５のデータは、情報処理装置２０に対するデータの送信実行又は送信停止の指令を含んでもよい。さらに、異常検出部４０４は、取得部２０１によって第６のデータが取得されたとき、第６のデータに対応する送信状態が送信停止状態であると、第６のデータに異常があると判定してもよい。
【０１０９】
上記構成によると、監視装置４００は、取得部２０１によってデータが所定期間取得されない場合、及び、送信停止の指令を含むデータが取得された場合のいずれにおいても、データの送信停止状態を決定する。そして、監視装置４００は、このように決定された送信停止状態に基づき、取得部２０１によって取得されるデータの異常の有無を判定する。よって、監視装置４００は、データの異常の検出精度を向上することができる。
【０１１０】
［その他の変形例］
以上、１つ又は複数の態様に係る監視装置等について、実施の形態に基づいて説明したが、本開示は、これらの実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、１つ又は複数の態様の範囲内に含まれてもよい。
【０１１１】
例えば、実施の形態に係る監視装置について、監視装置が接続されるネットワーク１０は、１つのバスを含み、当該バスに複数の情報処理装置２０が接続されるように構成されていたが、これに限定されない。監視装置が接続されるネットワークは、複数のバスを含むバス型ネットワークであってもよい。この場合、１つの監視装置が、複数のバスに対して設けられ、複数のバスを一括して監視対象とし、監視装置の取得部は、複数のバスからデータを取得してもよい。上記構成によると、監視装置の数量の低減が可能であるため、コスト低減が可能になる。
【０１１２】
又は、複数の監視装置が、複数のバスに設けられ、監視装置の取得部はそれぞれ、１つのバスからデータを取得してもよい。例えば、複数のバスが、ゲートウェイ等の中継装置を介して接続される場合、各バスに監視装置が配置されることによって、監視装置は、中継装置の処理との干渉を抑えた状態で、バスを監視することができる。つまり、各バスの確実な監視が可能になる。
【０１１３】
また、実施の形態に係る監視装置は、指令データに送信停止の指令が含まれる場合、及び、データが所定期間以上にわたって連続して取得されない場合、データの送信停止状態を決定していたが、これに限定されない。例えば、監視装置の送信状態監視部は、情報処理装置２０の電源がオン状態であるとき、当該情報処理装置２０を送信元とするデータが送信実行状態であり、情報処理装置２０の電源がオフ状態であるとき、当該情報処理装置２０を送信元とするデータが送信停止状態であると決定してもよい。上記構成によると、送信停止状態を正確に判断できるケースが増えるため、監視装置は、データに対する異常の検出精度を向上することができる。例えば、監視装置が接続されるネットワークが車載ネットワークの場合、上記情報処理装置２０は、車両のイグニッション電源で動作してもよい。そして、監視装置は、イグニッション電源のオン状態からオフ状態への変化、又は、イグニッション電源のオフ状態からオン状態への変化を検出すると、情報処理装置２０の送信状態を、送信停止状態又は送信実行状態に決定してもよい。
【０１１４】
また、実施の形態に係る監視装置は、専用の監視装置としてネットワークに接続される構成に限定されない。監視装置は、ネットワークの既存の情報処理装置又はゲートウェイ等の中継装置に、追加機能として、実装されてもよい。中継装置に実装された場合、中継装置は、監視装置が異常を検出したデータＩＤのデータの転送を停止するように構成されてもよい。これにより、中継装置に接続された他のネットワークへの異常なデータの拡散が抑止される。
【０１１５】
また、実施の形態に係る監視装置は、図１３に示すように、データ自体の正当性を認証する認証部を含んでもよい。そして、監視装置は、取得されたデータの正当性を確認できた場合に限り、当該データを用いて送信状態を決定してもよい。なお、図１３は、実施の形態１の変形例に係る監視装置５００の機能的な構成の一例を示すブロック図である。本変形例では、監視装置５００の認証部５０８は、指令データの正当性を認証する。この場合、指令データは、メッセージ認証コード（ＭＡＣ（Message Authentication Code））等の認証コードを含む。認証部５０８は、指令データの認証コードを検証することによって、指令データの正当性を認証する。送信状態監視部１０２は、正当である指令データに含まれる送信状態の指令に従って、指令データの対象データの送信状態を決定し、正当でない指令データに含まれる送信状態の指令には従わない。なお、認証部５０８の認証結果は、送信状態監視部１０２によって用いられず、異常検出部１０４によって異常の判定の際に用いられてもよい。また、実施の形態２〜４のように、データの取得間隔に基づき送信停止状態が決定される場合、送信状態監視部は、正当であるデータのみの取得間隔に基づき、送信停止状態を決定してもよい。
【０１１６】
また、実施の形態に係る監視装置は、記憶部１０６に記憶されたデータＩＤと送信状態とが対応付けられた関係を用いて、各データＩＤの送信状態を管理していたが、これに限定されない。例えば、監視装置は、データの内容と送信状態とが対応付けられた関係を用いて、各データの送信状態を管理してもよい。
【０１１７】
また、実施の形態に係る監視装置は、ＣＡＮ等のバス型ネットワークに接続されていたが、これに限定されない。監視装置は、イーサネット（登録商標）、ＭＯＳＴ（Media Oriented System Transport）、ＬＩＮ（Local Interconnect Network）、及びＦｌｅｘＲａｙ等の他の規格のネットワークと接続され、当該ネットワークを監視してもよい。
【０１１８】
また、上述したように、本開示の技術は、システム、装置、方法、集積回路、コンピュータプログラム又はコンピュータ読取可能な記録ディスク等の記録媒体で実現されてもよく、システム、装置、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。コンピュータ読み取り可能な記録媒体は、例えばＣＤ−ＲＯＭ等の不揮発性の記録媒体を含む。
【０１１９】
例えば、上記実施の形態及び変形例に含まれる各処理部は典型的には集積回路であるＬＳＩ（Large Scale Integration：大規模集積回路）として実現される。これらは個別に１チップ化されてもよいし、一部又は全てを含むように１チップ化されてもよい。
【０１２０】
また、集積回路化はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後にプログラムすることが可能なＦＰＧＡ（Field Programmable Gate Array）、又はＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用してもよい。
【０１２１】
なお、上記実施の形態及び変形例において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵなどのプロセッサ等のプログラム実行部が、ハードディスク又は半導体メモリ等の記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。
【０１２２】
また、上記構成要素の一部又は全部は、脱着可能なＩＣ（Integrated Circuit）カード又は単体のモジュールから構成されてもよい。ＩＣカード又はモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。ＩＣカード又はモジュールは、上記のＬＳＩ又はシステムＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、ＩＣカード又はモジュールは、その機能を達成する。これらＩＣカード及びモジュールは、耐タンパ性を有するとしてもよい。
【０１２３】
本開示の技術は、以下の監視方法のような方法によって実現されてもよい。監視方法は、ＭＰＵ（Micro Processing Unit）及びＣＰＵなどのプロセッサ、ＬＳＩなどの回路、ＩＣカード又は単体のモジュール等によって、実現されてもよい。このような監視方法は、モビリティに搭載されたネットワーク内で送られるデータを取得し、取得された前記データに基づき、前記データに対応する送信状態を決定し、決定された前記送信状態に基づき、取得されるデータの異常の有無を判定し、前記判定では、データを取得したとき、前記データに対応する前記送信状態が送信停止状態であると、前記データに異常があると判定する。
【０１２４】
さらに、本開示の技術は、ソフトウェアプログラム又はソフトウェアプログラムからなるデジタル信号によって実現されてもよく、プログラムが記録された非一時的なコンピュータ読み取り可能な記録媒体であってもよい。また、上記プログラムは、インターネット等の伝送媒体を介して流通させることができるのは言うまでもない。このようなプログラムは、モビリティに搭載されたネットワーク内で送られるデータを取得し、取得された前記データに基づき、前記データに対応する送信状態を決定し、決定された前記送信状態に基づき、取得されるデータの異常の有無を判定し、前記判定では、データを取得したとき、前記データに対応する前記送信状態が送信停止状態であると、前記データに異常があると判定する、ことをコンピュータに実行させる。
【０１２５】
また、上記で用いた序数、数量等の数字は、全て本開示の技術を具体的に説明するために例示するものであり、本開示は例示された数字に制限されない。また、構成要素間の接続関係は、本開示の技術を具体的に説明するために例示するものであり、本開示の機能を実現する接続関係はこれに限定されない。
【０１２６】
また、ブロック図における機能ブロックの分割は一例であり、複数の機能ブロックを１つの機能ブロックとして実現したり、１つの機能ブロックを複数に分割したり、一部の機能を他の機能ブロックに移してもよい。また、類似する機能を有する複数の機能ブロックの機能を単一のハードウェア又はソフトウェアが並列又は時分割に処理してもよい。
【産業上の利用可能性】
【０１２７】
本開示の技術は、ネットワークの監視に有用である。
【符号の説明】
【０１２８】
１  車載ネットワークシステム
１０  ネットワーク
２０  情報処理装置
１００，２００，３００，４００，５００  監視装置
１０１，２０１  取得部
１０２，２０２，４０２  送信状態監視部（決定部）
１０３，２０３，３０３，４０３  送信状態管理部（決定部）
１０４，４０４  異常検出部（判定部）
１０５  出力部
１０６  記憶部
２０７  計時部
５０８  認証部
【図１】
2019220770.tif 000003
【図２】
2019220770.tif 000004
【図３】
2019220770.tif 000005
【図４】
2019220770.tif 000006
【図５Ａ】
2019220770.tif 000007
【図５Ｂ】
2019220770.tif 000008
【図６】
2019220770.tif 000009
【図７】
2019220770.tif 000010
【図８】
2019220770.tif 000011
【図９】
2019220770.tif 000012
【図１０】
2019220770.tif 000013
【図１１】
2019220770.tif 000014
【図１２】
2019220770.tif 000015
【図１３】
2019220770.tif 000016
【手続補正書】
【提出日】平成31年2月19日(2019.2.19)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
システムに搭載されたネットワークを介して送られるデータを取得する取得部と、
前記取得部によって取得されたデータに対応する送信状態に基づき、前記データの異常の有無を判定する判定部と、を備え、
前記判定部は、前記取得部によって取得された前記データに対応する送信状態が送信停止状態であると、前記データに異常があると判定する、
電子制御装置。
【請求項２】
前記取得部によって取得された前記データに基づき、前記データに対応する送信状態を決定する決定部をさらに備える、
請求項１に記載の電子制御装置。
【請求項３】
前記決定部は、前記取得部によって取得された第１のデータに基づき、前記第１のデータの送信先である情報処理装置を送信元とする第２のデータに対応する送信状態を決定し、
前記判定部は、前記取得部によって取得された前記第２のデータに対応する前記送信状態が送信停止状態であると、前記第２のデータに異常があると判定する、
請求項２に記載の電子制御装置。
【請求項４】
前記第１のデータは、前記情報処理装置に対するデータの送信実行又は送信停止の指令を含み、
前記決定部は、前記第１のデータに含まれる前記指令に従って、前記第２のデータに対応する前記送信状態を、送信実行状態又は送信停止状態に決定する、
請求項３に記載の電子制御装置。
【請求項５】
前記決定部は、前記ネットワークに接続された情報処理装置によって周期的に出力される第３のデータが所定期間取得されないとき、前記第３のデータに対応する送信状態を送信停止状態に決定し、
前記判定部は、前記取得部によって取得された前記第３のデータに対応する前記送信状態が送信停止状態であると、前記第３のデータに異常があると判定する、
請求項２に記載の電子制御装置。
【請求項６】
前記決定部は、前記ネットワークに接続された情報処理装置によって周期的に出力される第３のデータが所定期間取得されないとき、前記情報処理装置を送信元とする前記第３のデータとは異なる第４のデータに対応する送信状態を送信停止状態に決定し、
前記判定部は、前記取得部によって取得された前記第４のデータに対応する前記送信状態が送信停止状態であると、前記第４のデータに異常があると判定する、
請求項２に記載の電子制御装置。
【請求項７】
前記決定部は、前記情報処理装置を送信先とする第５のデータに含まれる指令に従って、前記第４のデータに対応する前記送信状態を、送信実行状態又は送信停止状態に決定し、
前記第５のデータは、前記情報処理装置に対するデータの送信実行又は送信停止の指令を含み、
前記判定部は、前記取得部によって取得された前記第４のデータに対応する前記送信状態が送信停止状態であると、前記第４のデータに異常があると判定する、
請求項６に記載の電子制御装置。
【請求項８】
前記ネットワークに接続された情報処理装置と、前記情報処理装置を送信元とするデータと、前記情報処理装置を送信元とするデータの前記送信状態とを対応付けて記憶する記憶部、をさらに備え、
前記決定部は、前記決定部によって決定された前記送信状態を用いて、前記記憶部に記憶された前記送信状態を変更し、
前記判定部は、前記記憶部に記憶された前記送信状態に基づき判定を行う、
請求項２〜７のいずれか一項に記載の電子制御装置。
【請求項９】
前記ネットワークに接続された情報処理装置間で送られる前記データと、前記データの前記送信状態とを対応付けて記憶する記憶部、をさらに備え、
前記決定部は、前記決定部によって決定された前記送信状態を用いて、前記記憶部に記憶された前記送信状態を変更し、
前記判定部は、前記記憶部に記憶された前記送信状態に基づき判定を行う、
請求項２〜７のいずれか一項に記載の電子制御装置。
【請求項１０】
前記決定部は、前記ネットワークに接続された情報処理装置の電源がオン状態であるとき、前記情報処理装置を送信元とするデータが送信実行状態であり、前記情報処理装置の電源がオフ状態であるとき、前記情報処理装置を送信元とするデータが送信停止状態であると決定する、
請求項２〜９のいずれか一項に記載の電子制御装置。
【請求項１１】
前記決定部は、前記ネットワークに接続された情報処理装置が診断モード又はプログラム変更モードの状態であるとき、前記情報処理装置を送信元とするデータが送信停止状態であると決定する、
請求項２〜１０のいずれか一項に記載の電子制御装置。
【請求項１２】
前記ネットワークは、複数のバスを含むバス型ネットワークであり、
前記電子制御装置は、前記複数のバスに対して設けられ、
前記電子制御装置の前記取得部は、前記複数のバスからデータを取得する、
請求項１〜１１のいずれか一項に記載の電子制御装置。
【請求項１３】
前記ネットワークは、複数のバスを含むバス型ネットワークであり、
前記電子制御装置が、前記複数のバスのそれぞれに設けられ、
前記電子制御装置の前記取得部は、前記複数のバスのそれぞれからデータを取得する、
請求項１〜１１のいずれか一項に記載の電子制御装置。
【請求項１４】
電子制御装置による監視方法であって、
システムに搭載されたネットワークを介して送信されるデータを取得し、
取得された前記データに対応する送信状態が送信停止状態であると、前記データに異常があると判定する、
監視方法。
【請求項１５】
システムに搭載されたネットワークを介して送られるデータを取得する処理と、
取得された前記データに対応する送信状態が送信停止状態であると、前記データに異常があると判定する処理と、
をコンピュータに実行させるプログラム。
【請求項１６】
システムに搭載されたネットワークを介して送られるデータを取得する取得部と、
前記取得部によって取得された前記データに対応する送信状態が送信停止状態であると、前記データに異常があると判定する判定部と、
前記判定部によって前記データに異常があると判定された場合、前記データの転送を停止する転送部と、
を備えるゲートウェイ装置。
【手続補正書】
【提出日】令和1年6月5日(2019.6.5)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
システムに搭載されたネットワークを介して送られるデータを取得する取得部と、
前記取得部によって取得された前記データに基づき、前記データに対応する送信状態を決定する決定部と、
前記取得部によって取得された前記データに対応する前記送信状態に基づき、前記データの異常の有無を判定する判定部と、を備え、
前記判定部は、前記取得部によって取得された前記データに対応する前記送信状態が送信停止状態であると、前記データに異常があると判定する、
電子制御装置。
【請求項２】
前記決定部は、前記取得部によって取得された第１のデータに基づき、前記第１のデータの送信先である情報処理装置を送信元とする第２のデータに対応する送信状態を決定し、
前記判定部は、前記取得部によって取得された前記第２のデータに対応する前記送信状態が送信停止状態であると、前記第２のデータに異常があると判定する、
請求項１に記載の電子制御装置。
【請求項３】
前記第１のデータは、前記情報処理装置に対するデータの送信実行又は送信停止の指令を含み、
前記決定部は、前記第１のデータに含まれる前記指令に従って、前記第２のデータに対応する前記送信状態を、送信実行状態又は送信停止状態に決定する、
請求項２に記載の電子制御装置。
【請求項４】
前記決定部は、前記ネットワークに接続された情報処理装置によって周期的に出力される第３のデータが所定期間取得されないとき、前記第３のデータに対応する送信状態を送信停止状態に決定し、
前記判定部は、前記取得部によって取得された前記第３のデータに対応する前記送信状態が送信停止状態であると、前記第３のデータに異常があると判定する、
請求項１に記載の電子制御装置。
【請求項５】
前記決定部は、前記ネットワークに接続された情報処理装置によって周期的に出力される第３のデータが所定期間取得されないとき、前記情報処理装置を送信元とする前記第３のデータとは異なる第４のデータに対応する送信状態を送信停止状態に決定し、
前記判定部は、前記取得部によって取得された前記第４のデータに対応する前記送信状態が送信停止状態であると、前記第４のデータに異常があると判定する、
請求項１に記載の電子制御装置。
【請求項６】
前記決定部は、前記情報処理装置を送信先とする第５のデータに含まれる指令に従って、前記第４のデータに対応する前記送信状態を、送信実行状態又は送信停止状態に決定し、
前記第５のデータは、前記情報処理装置に対するデータの送信実行又は送信停止の指令を含み、
前記判定部は、前記取得部によって取得された前記第４のデータに対応する前記送信状態が送信停止状態であると、前記第４のデータに異常があると判定する、
請求項５に記載の電子制御装置。
【請求項７】
前記ネットワークに接続された情報処理装置と、前記情報処理装置を送信元とするデータと、前記情報処理装置を送信元とするデータの前記送信状態とを対応付けて記憶する記憶部、をさらに備え、
前記決定部は、前記決定部によって決定された前記送信状態を用いて、前記記憶部に記憶された前記送信状態を変更し、
前記判定部は、前記記憶部に記憶された前記送信状態に基づき判定を行う、
請求項１〜６のいずれか一項に記載の電子制御装置。
【請求項８】
前記ネットワークに接続された情報処理装置間で送られる前記データと、前記データの前記送信状態とを対応付けて記憶する記憶部、をさらに備え、
前記決定部は、前記決定部によって決定された前記送信状態を用いて、前記記憶部に記憶された前記送信状態を変更し、
前記判定部は、前記記憶部に記憶された前記送信状態に基づき判定を行う、
請求項１〜６のいずれか一項に記載の電子制御装置。
【請求項９】
前記決定部は、前記ネットワークに接続された情報処理装置の電源がオン状態であるとき、前記情報処理装置を送信元とするデータが送信実行状態であり、前記情報処理装置の電源がオフ状態であるとき、前記情報処理装置を送信元とするデータが送信停止状態であると決定する、
請求項１〜８のいずれか一項に記載の電子制御装置。
【請求項１０】
前記決定部は、前記ネットワークに接続された情報処理装置が診断モード又はプログラム変更モードの状態であるとき、前記情報処理装置を送信元とするデータが送信停止状態であると決定する、
請求項１〜９のいずれか一項に記載の電子制御装置。
【請求項１１】
前記ネットワークは、複数のバスを含むバス型ネットワークであり、
前記電子制御装置は、前記複数のバスに対して設けられ、
前記電子制御装置の前記取得部は、前記複数のバスからデータを取得する、
請求項１〜１０のいずれか一項に記載の電子制御装置。
【請求項１２】
前記ネットワークは、複数のバスを含むバス型ネットワークであり、
前記電子制御装置が、前記複数のバスのそれぞれに設けられ、
前記電子制御装置の前記取得部は、前記複数のバスのそれぞれからデータを取得する、
請求項１〜１０のいずれか一項に記載の電子制御装置。
【請求項１３】
電子制御装置による監視方法であって、
システムに搭載されたネットワークを介して送信されるデータを取得し、
取得された前記データに基づき、前記データに対応する送信状態を決定し、
取得された前記データに対応する前記送信状態が送信停止状態であると、前記データに異常があると判定する、
監視方法。
【請求項１４】
システムに搭載されたネットワークを介して送られるデータを取得する処理と、
取得された前記データに基づき、前記データに対応する送信状態を決定する処理と、
取得された前記データに対応する前記送信状態が送信停止状態であると、前記データに異常があると判定する処理と、
をコンピュータに実行させるプログラム。
【請求項１５】
システムに搭載されたネットワークを介して送られるデータを取得する取得部と、
前記取得部によって取得された前記データに基づき、前記データに対応する送信状態を決定する決定部と、
前記取得部によって取得された前記データに対応する前記送信状態が送信停止状態であると、前記データに異常があると判定する判定部と、
前記判定部によって前記データに異常があると判定された場合、前記データの転送を停止する転送部と、
を備えるゲートウェイ装置。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００７９
【補正方法】変更
【補正の内容】
【００７９】
所定期間は、情報処理装置２０によるデータＩＤのデータの出力周期よりも長い期間である。出力周期は、データＩＤ毎に設定される。例えば、所定期間は、Ｎ周期（Ｎ≧２）としてもよい。Ｎ＝１０であり且つ出力周期が４０ｍｓである場合、所定期間は、４００ｍｓである。