(57)【要約】【課題】モビリティネットワークの通信経路におけるバンド幅の不正な確保を判定することができるネットワーク監視器等等を提供すること。【解決手段】モビリティネットワークにおける通信経路を形成し、それぞれ複数の電子制御装置の一である送信元と受信先と１以上の中継器とのうちの１以上の中継器毎に含まれ、帯域確保の仕組みを用いて、送信元により送信された、送信元が第１データ通信を行うための第１バンド幅の値を含む告知を受信する受信部１０２と、データ通信の種類ごとの第２バンド幅が規定されているホワイトリストを保有するデータベース１０３と、第１バンド幅の値とホワイトリストに規定されている第１データ通信の第２バンド幅と比較し、第１バンド幅を確保するか否かを判定する判定部１０４と、判定部１０４の判定結果に応じて、第１バンド幅を確保するバンド幅確保部１０５と、判定部１０４の判定結果を送信する送信部１０６と、を備える。【選択図】図２
2019029992.tif 000002
【特許請求の範囲】
【請求項１】
複数の電子制御装置を有し、モビリティに搭載されるモビリティネットワークにおけるネットワーク監視器であって、
前記ネットワーク監視器は、
前記モビリティネットワークにおける通信経路を形成する送信元と受信先と１以上の中継器であって、それぞれ前記複数の電子制御装置の一である送信元と受信先と１以上の中継器とのうちの１以上の中継器それぞれに含まれ、
帯域確保の仕組みを用いて、前記送信元により送信された、前記送信元が第１データ通信を行うための第１バンド幅の値を含む告知を受信する受信部と、
データ通信の種類ごとの第２バンド幅が規定されているホワイトリストを保有するデータベースと、
前記第１バンド幅の値と前記ホワイトリストに規定されている前記第１データ通信の第２バンド幅と比較して、前記第１バンド幅を確保するか否かを判定する判定部と、
前記判定部の判定結果に応じて、前記第１バンド幅を確保するバンド幅確保部と、
前記判定部の前記判定結果を送信する送信部と、を備える、
ネットワーク監視器。
【請求項２】
前記ホワイトリストは、データ通信の種類ごとに、第２バンド幅を規定する正常バンド値、および、異常判断値を示すパラメータを含む、
請求項１に記載のネットワーク監視器。
【請求項３】
前記判定部は、前記第１バンド幅の値と、前記ホワイトリストに含まれる前記パラメータとを比較し、前記第１バンド幅の値が、前記正常バンド値および前記異常判断値で規定される第２バンド幅の範囲内に含まれるか否かにより、前記第１バンド幅を確保するか否かを判定する、
請求項２に記載のネットワーク監視器。
【請求項４】
前記判定部は、前記第１バンド幅の値が、前記正常バンド値および前記異常判断値で規定される第２バンド幅の範囲内に含まれるか否かを示す内容を、前記判定結果のログとして記憶部に記憶する、
請求項３に記載のネットワーク監視器。
【請求項５】
前記バンド幅確保部は、前記判定部により前記第１バンド幅の値が、前記正常バンド値および前記異常判断値で規定される第２バンド幅の範囲内に含まれると判定された場合、前記第１バンド幅を確保する、
請求項３または４に記載のネットワーク監視器。
【請求項６】
前記バンド幅確保部は、前記判定部により前記第１バンド幅の値が、前記正常バンド値および前記異常判断値で規定される第２バンド幅の範囲外に含まれると判定された場合、前記第１バンド幅を確保しない、
請求項３〜５のいずれか１項に記載のネットワーク監視器。
【請求項７】
前記判定部は、さらに、前記モビリティの動作状態を判定し、
前記判定結果には、前記モビリティの動作状態が含まれ、
前記バンド幅確保部は、前記モビリティの動作状態が走行状態である場合、前記判定部により前記第１バンド幅の値が、前記正常バンド値および前記異常判断値で規定される第２バンド幅の範囲外に含まれると判定されても、前記第１バンド幅を確保する、
請求項３〜６のいずれか１項に記載のネットワーク監視器。
【請求項８】
前記判定部は、さらに、前記モビリティの動作状態を判定し、
前記判定部は、前記第１バンド幅の値が、前記正常バンド値および前記異常判断値で規定される第２バンド幅の範囲外に含まれることを判定し、かつ、前記モビリティの動作状態が走行状態である場合には、前記モビリティを徐行させた後に停止させる旨を示す指示を前記モビリティに送信する、
請求項３〜７のいずれか１項に記載のネットワーク監視器。
【請求項９】
前記判定部は、さらに、前記モビリティの動作状態を判定し、
前記判定部は、前記第１バンド幅の値が、前記正常バンド値および前記異常判断値で規定される第２バンド幅の範囲外に含まれることを判定し、かつ、前記モビリティの動作状態が自動運転機能または運転アシスト機能の動作中である場合には、前記自動運転機能または前記運転アシスト機能の停止を示す指示を前記モビリティに送信する、
請求項３〜６のいずれか１項に記載のネットワーク監視器。
【請求項１０】
前記送信部は、前記判定部の前記判定結果を、前記送信元に送信する、
請求項１〜９のいずれか１項に記載のネットワーク監視器。
【請求項１１】
前記判定部は、前記第１バンド幅を確保すると判定した場合、前記通信経路上の次の中継器または前記受信先に前記第１バンド幅の値を転送する、
請求項１〜１０のいずれか１項に記載のネットワーク監視器。
【請求項１２】
前記帯域確保の仕組みは、Ｅｔｈｅｒｎｅｔ  ＡＶＢ／ＴＳＮの仕組みである、
請求項１〜１１のいずれか１項に記載のネットワーク監視器。
【請求項１３】
複数の電子制御装置を有し、モビリティに搭載されるモビリティネットワークにおけるネットワーク監視方法であって、
前記ネットワーク監視方法は、
前記モビリティネットワークにおける通信経路を形成する送信元と受信先と１以上の中継器であって、それぞれ前記複数の電子制御装置の一である送信元と受信先と１以上の中継器とのうちの１以上の中継器それぞれで実行され、
帯域確保の仕組みを用いて、前記送信元により送信された、前記送信元が第１データ通信を行うための第１バンド幅の値を含む告知を受信する受信ステップと、
前記第１バンド幅の値と、データベースに保有されるデータ通信の種類ごとの第２バンド幅が規定されているホワイトリストに規定されている前記第１データ通信の第２バンド幅と比較して、前記第１バンド幅を確保するか否かを判定する判定ステップと、
前記判定ステップの判定結果に応じて、前記第１バンド幅を確保するバンド幅確保ステップと、
前記判定ステップの前記判定結果を送信する送信ステップと、を含む、
ネットワーク監視方法。
【請求項１４】
複数の電子制御装置を有し、モビリティに搭載されるモビリティネットワークにおけるネットワーク監視を行うためプログラムであって、
前記プログラムは、
前記モビリティネットワークにおける通信経路を形成する送信元と受信先と１以上の中継器であって、それぞれ前記複数の電子制御装置の一である送信元と受信先と１以上の中継器とのうちの１以上の中継器それぞれで実行され、
帯域確保の仕組みを用いて、前記送信元により送信された、前記送信元が第１データ通信を行うための第１バンド幅の値を含む告知を受信する受信ステップと、
前記第１バンド幅の値と、データベースに保有されるデータ通信の種類ごとの第２バンド幅が規定されているホワイトリストに規定されている前記第１データ通信の第２バンド幅と比較して、前記第１バンド幅を確保するか否かを判定する判定ステップと、
前記判定ステップの判定結果に応じて、前記第１バンド幅を確保するバンド幅確保ステップと、
前記判定ステップの前記判定結果を送信する送信ステップと、を、
コンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、モビリティネットワークにおけるネットワーク監視器、ネットワーク監視方法およびプログラムに関する。
【背景技術】
【０００２】
近年、自動車の内のシステムには、電子制御ユニット（以下、ＥＣＵ：ElectronicControl Unit）と呼ばれる装置が多数配置されている。これらのＥＣＵを相互に接続するネットワークは、車載ネットワークと呼ばれる。車載ネットワークには、多数の規格が存在するが、一般的にＣＡＮ（Controller Area Network（登録商標））という規格が利用されている。なお、ＣＡＮの通信速度は最大１Ｍｂｐｓ程度と低速である。
【０００３】
一方、完全自動運転に向けて、車載ネットワークに搭載されるＥＣＵの数はさらに増加することが見込まれている。そのため、通信速度が低速なＣＡＮでは限界があるといえる。そこで、車載ネットワークの通信速度の高速化のために、インターネットなどに代表され、一般の情報ネットワークとして既に実績のあるＥｔｈｅｒｎｅｔ（登録商標）を車載ネットワークへ適用しようとする動きがある。Ｅｔｈｅｒｎｅｔ（登録商標）は、通信速度がＣＡＮの１００倍の１００Ｍｂｐｓであるため、ＣＡＮに置き換わる技術として期待されている。ただし、Ｅｔｈｅｒｎｅｔ（登録商標）を車載ネットワークで利用するためには、通信のリアルタイム性および安全性の面で課題すなわち弱点がある。
【０００４】
そして、Ｅｔｈｅｒｎｅｔ（登録商標）の弱点を補うため、時刻同期、帯域保障および遅延保障の機能を強化したＥｔｈｅｒｎｅｔ  ＡＶＢ／ＴＳＮ（Audio Video Bridging/Time Sensitive Networking）が提案されている。完全自動運転では、取り扱うデータ量が膨大になるため、各種センサのデータおよび映像データなどの大容量データを同時に並列で処理できなければならない。Ｅｔｈｅｒｎｅｔ  ＡＶＢ／ＴＳＮは大容量データを同時に並列で処理できるので有効である。
【０００５】
しかしながら、Ｅｔｈｅｒｎｅｔ  ＡＶＢ／ＴＳＮを車載ネットワークで利用したとしても、データが不正に扱われると、完全自動運転が阻害され、大事故に繋がる可能性もある。
【０００６】
それに対して、例えば、特許文献１では、Ｅｔｈｅｒｎｅｔ  ＡＶＢ／ＴＳＮにおいて不正なデータの検出を行う手法が開示されている。特許文献１に開示される手法では、Ｅｔｈｅｒｎｅｔ  ＡＶＢ／ＴＳＮによって利用されるＩＥＥＥ１７２２フレームに含まれるストリームＩＤと、ストリームＩＤに対応する送信元ＭＡＣアドレスのテーブルを予め用意する。そして、実際に送受信されるフレームに含まれるストリームＩＤから抽出したＭＡＣアドレスを比較することで、不正なデータの検出を行う。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２０１６−１９０３１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、特許文献１では、フレーム単位で不正なデータの検出を行うことができるものの、データを送受信するために必要なネットワークの帯域であるバンド幅が正しく確保されているか否かまでは検出できない。従って、あるサービスが車載ネットワークを介してデータ通信を行う際、使用するバンド幅が不正に大きく確保されると、車載ネットワークが不正に占有され、他のサービスが通信できなくなるといった問題が発生する。自動車に限らず、建機、農機、船舶、鉄道、飛行機などのモビリティネットワークも同様である。
【０００９】
本開示は、上述の事情を鑑みてなされたもので、モビリティネットワークの通信経路におけるバンド幅の不正な確保を判定することができるネットワーク監視器等を提供することを目的とする。
【課題を解決するための手段】
【００１０】
本開示の一態様に係るネットワーク監視器は、複数の電子制御装置を有し、モビリティに搭載されるモビリティネットワークにおけるネットワーク監視器であって、前記ネットワーク監視器は、前記モビリティネットワークにおける通信経路を形成する送信元と受信先と１以上の中継器であって、それぞれ前記複数の電子制御装置の一である送信元と受信先と１以上の中継器とのうちの１以上の中継器それぞれに含まれ、帯域確保の仕組みを用いて、前記送信元により送信された、前記送信元が第１データ通信を行うための第１バンド幅の値を含む告知を受信する受信部と、データ通信の種類ごとの第２バンド幅が規定されているホワイトリストを保有するデータベースと、前記第１バンド幅の値と前記ホワイトリストに規定されている前記第１データ通信の第２バンド幅と比較して、前記第１バンド幅を確保するか否かを判定する判定部と、前記判定部の判定結果に応じて、前記第１バンド幅を確保するバンド幅確保部と、前記判定部の前記判定結果を送信する送信部と、を備える。
【００１１】
なお、これらの全般的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータで読み取り可能なＣＤ−ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。
【発明の効果】
【００１２】
本開示のネットワーク監視器等によれば、モビリティネットワークの通信経路におけるバンド幅の不正な確保を判定することができる。
【図面の簡単な説明】
【００１３】
【図１】実施の形態に係る車載ネットワークの全体構成の一例を示す図である。
【図２】実施の形態に係るネットワーク監視器の構成の一例を示す図である。
【図３】実施の形態に係るデータベースが保有するホワイトリストの一例を示す図である。
【図４】実施の形態に係る車載ネットワークの通信経路の構成の一例を示す図である。
【図５】実施形態に係るネットワーク監視器の処理を示すフローチャートである。
【図６】本開示に係るデータベースが保有するホワイトリストの別の一例を示す図である。
【発明を実施するための形態】
【００１４】
本開示の一態様に係るネットワーク監視器は、複数の電子制御装置を有し、モビリティに搭載されるモビリティネットワークにおけるネットワーク監視器であって、前記ネットワーク監視器は、前記モビリティネットワークにおける通信経路を形成する送信元と受信先と１以上の中継器であって、それぞれ前記複数の電子制御装置の一である送信元と受信先と１以上の中継器とのうちの１以上の中継器それぞれに含まれ、帯域確保の仕組みを用いて、前記送信元により送信された、前記送信元が第１データ通信を行うための第１バンド幅の値を含む告知を受信する受信部と、データ通信の種類ごとの第２バンド幅が規定されているホワイトリストを保有するデータベースと、前記第１バンド幅の値と前記ホワイトリストに規定されている前記第１データ通信の第２バンド幅と比較して、前記第１バンド幅を確保するか否かを判定する判定部と、前記判定部の判定結果に応じて、前記第１バンド幅を確保するバンド幅確保部と、前記判定部の前記判定結果を送信する送信部と、を備える。
【００１５】
ここで、例えば、前記ホワイトリストは、データ通信の種類ごとに、第２バンド幅を規定する正常バンド値、および、異常判断値を示すパラメータを含む。
【００１６】
また、例えば、前記判定部は、前記第１バンド幅の値と、前記ホワイトリストに含まれる前記パラメータとを比較し、前記第１バンド幅の値が、前記正常バンド値および前記異常判断値で規定される第２バンド幅の範囲内に含まれるか否かにより、前記第１バンド幅を確保するか否かを判定するとしてもよい。
【００１７】
ここで、例えば、前記判定部は、前記第１バンド幅の値が、前記正常バンド値および前記異常判断値で規定される第２バンド幅の範囲内に含まれるか否かを示す内容を、前記判定結果のログとして記憶部に記憶するとしてもよい。
【００１８】
また、例えば、前記バンド幅確保部は、前記判定部により前記第１バンド幅の値が、前記正常バンド値および前記異常判断値で規定される第２バンド幅の範囲内に含まれると判定された場合、前記第１バンド幅を確保するとしてもよい。
【００１９】
また、例えば、前記バンド幅確保部は、前記判定部により前記第１バンド幅の値が、前記正常バンド値および前記異常判断値で規定される第２バンド幅の範囲外に含まれると判定された場合、前記第１バンド幅を確保しないとしてもよい。
【００２０】
また、例えば、前記判定部は、さらに、前記モビリティの動作状態を判定し、前記判定結果には、前記モビリティの動作状態が含まれ、前記バンド幅確保部は、前記モビリティの動作状態が走行状態である場合、前記判定部により前記第１バンド幅の値が、前記正常バンド値および前記異常判断値で規定される第２バンド幅の範囲外に含まれると判定されても、前記第１バンド幅を確保するとしてもよい。
【００２１】
また、例えば、前記判定部は、さらに、前記モビリティの動作状態を判定し、前記判定部は、前記第１バンド幅の値が、前記正常バンド値および前記異常判断値で規定される第２バンド幅の範囲外に含まれることを判定し、かつ、前記モビリティの動作状態が走行状態である場合には、前記モビリティを徐行させた後に停止させる旨を示す指示を前記モビリティに送信するとしてもよい。
【００２２】
また、例えば、前記判定部は、さらに、前記モビリティの動作状態を判定し、前記判定部は、前記第１バンド幅の値が、前記正常バンド値および前記異常判断値で規定される第２バンド幅の範囲外に含まれることを判定し、かつ、前記モビリティの動作状態が自動運転機能または運転アシスト機能の動作中である場合には、前記自動運転機能または前記運転アシスト機能の停止を示す指示を前記モビリティに送信するとしてもよい。
【００２３】
また、例えば、前記送信部は、前記判定部の前記判定結果を、前記送信元に送信するとしてもよい。
【００２４】
また、例えば、前記判定部は、前記第１バンド幅を確保すると判定した場合、前記通信経路上の次の中継器または前記受信先に前記第１バンド幅の値を転送するとしてもよい。
【００２５】
ここで、例えば、前記帯域確保の仕組みは、Ｅｔｈｅｒｎｅｔ  ＡＶＢ／ＴＳＮの仕組みであってもよい。
【００２６】
以下で説明する実施の形態は、いずれも本開示の一具体例を示すものである。以下の実施の形態で示される数値、形状、構成要素、ステップ、ステップの順序などは、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。また全ての実施の形態において、各々の内容を組み合わせることもできる。
【００２７】
（実施の形態）
以下では、図面を参照しながら、実施の形態におけるネットワーク監視器等について説明する。
【００２８】
［車載ネットワークの全体構成］
図１は、本実施の形態に係る車載ネットワークの全体構成の一例を示す図である。
【００２９】
図１に示される車載ネットワークは、複数の電子制御装置（ＥＣＵ）を有し、車両１に搭載される。図１に示す例では、車両１の車載ネットワークは、例えばＥｔｈｅｒｎｅｔ２とＣＡＮバス３とで構成される。なお、Ｅｔｈｅｒｎｅｔ２だけで構成されてもよい。
【００３０】
セントラルゲートウェイ１０には、Ｅｔｈｅｒｎｅｔ−ＣＡＮゲートウェイ２０と、テレマティクスコントロールユニット３０と、情報系ＤＣＵ（ＤＣＵ：DomainControl Unit)４０と、自動運転系ＤＣＵ５０とが、Ｅｔｈｅｒｎｅｔ２で接続されている。本実施の形態では、セントラルゲートウェイ１０は一のＥＣＵに該当する。
【００３１】
テレマティクスコントロールユニット３０は、車両１が外部ネットワーク５にあるクラウドサーバ４と通信するためユニットである。テレマティクスコントロールユニット３０は、例えば携帯電話網またはＷｉ−Ｆｉ（登録商標）などの無線通信を行う。
【００３２】
情報系ＤＣＵ４０は、ＩＶＩ（In-Vehicle Infotainment）４１とＥｔｈｅｒｎｅｔ２で接続されており、情報系ネットワークのドメイン管理を行う。本実施の形態では、情報系ＤＣＵ４０は一のＥＣＵに該当する。
【００３３】
自動運転系ＤＣＵ５０は、ＡＤＡＳ（Advanced Driver-Assistance Systems）５１と、ＬＩＤＡＲ５２と、カメラ５３と、ＤＹＮＡＭＩＣ ＭＡＰ５４とが、Ｅｔｈｅｒｎｅｔ２で接続されている。本実施の形態では、自動運転系ＤＣＵ５０は一のＥＣＵに該当する。ＡＤＡＳ５１は、事故などの可能性を事前に検知して、回避するシステムである。ＬＩＤＡＲ５２は、車外の障害物を感知するためのものである。カメラ５３は車外の状況を撮影し、ＤＹＮＡＭＩＣ ＭＡＰ５４はダイナミックマップの受信または制御をする。
【００３４】
Ｅｔｈｅｒｎｅｔ−ＣＡＮゲートウェイ２０は、Ｅｔｈｅｒｎｅｔ２とＣＡＮバス３との中継地点に設置されている。Ｅｔｈｅｒｎｅｔ−ＣＡＮゲートウェイ２０は、ミラーＥＣＵ２１と、ウィンドウＥＣＵ２２と、ブレーキＥＣＵ２３と、アクセルＥＣＵ２４とが接続されるＣＡＮバスを備えている。ミラーＥＣＵ２１は、車両１のミラーの開閉を制御する。ウィンドウＥＣＵ２２は、車両１のウィンドウの開閉を制御する。ブレーキＥＣＵ２３は、車両１のブレーキの動作を制御する。アクセルＥＣＵ２４は、車両１の速度を制御する。
【００３５】
［ネットワーク監視器］
図２は、本実施の形態に係るネットワーク監視器１０１の構成の一例を示す図である。
【００３６】
ネットワーク監視器１０１は、車両１の車載ネットワークにおけるネットワーク監視器の一例である。ネットワーク監視器１０１は、車両１の車載ネットワークにおける通信経路を形成する送信元と受信先と１以上の中継器であって、それぞれ複数のＥＣＵの一である送信元と受信先と１以上の中継器とのうちの１以上の中継器それぞれに含まれる。すなわち、図２に示すように、ネットワーク監視器１０１は、中継器１００の内部に構成される。
【００３７】
ここで、中継器１００は、車載ネットワークを構成する複数のＥＣＵの一であり、車載ネットワークを構成する複数のＥＣＵにより形成される通信経路を流れるＥｔｈｅｒｎｅｔ  ＡＶＢ／ＴＳＮのＥｔｈｅｒｎｅｔフレームを中継する。Ｅｔｈｅｒｎｅｔ  ＡＶＢ／ＴＳＮは、Ｅｔｈｅｒｎｅｔ網を利用してマルチメディア機器および／またはコンピュータを相互接続するための規格である。当該規格により、Ｅｔｈｅｒｎｅｔ（登録商標）の弱点である時刻同期、帯域保障および遅延保障を実現することができる。また、本実施の形態では、使用するバンド幅を確保する帯域確保の仕組みとして、ストリームに必要なバンド幅を事前に予約することで帯域を保障するＩＥＥＥ８０２．１Ｑａｔプロトコルを用いた場合について以下説明するが、これに限らない。帯域確保の仕組みとして、Ethernet AVB/TSNの仕組みであってもよいし、その他の規格等により定められる仕組みであってもよい。
【００３８】
ネットワーク監視器１０１は、図２に示すように、受信部１０２と、データベース１０３と、判定部１０４と、バンド幅確保部１０５と、送信部１０６とを有する。
【００３９】
＜受信部１０２＞
受信部１０２は、帯域確保の仕組みを用いて、送信元により送信された、送信元が第１データ通信を行うための第１バンド幅の値を含む告知を受信する。告知に含まれる第１バンド幅の値は、送信元がサービスを行うために確保したいバンド幅の値である。
【００４０】
なお、上述した通信経路において、送信元は、ＩＥＥＥ８０２．１Ｑａｔプロトコルにおけるｔａｋｌｅｒに該当し、告知は、ＩＥＥＥ８０２．１Ｑａｔプロトコルにおけるａｄｖｅｒｔｉｓｅに該当する。受信先は、ＩＥＥＥ８０２．１Ｑａｔプロトコルにおけるｌｉｓｔｅｎｅｒに該当する。
【００４１】
＜データベース１０３＞
データベース１０３は、データ通信の種類ごとの第２バンド幅が規定されているホワイトリストを保有する。ここで、ホワイトリストは、データ通信の種類ごとに、第２バンド幅を規定する正常バンド値、および、異常判断値を示すパラメータを含む。また、データ通信の種類は、例えばリアカメラ映像、ライダー信号、遠隔制御データといった各サービスが扱うデータを示す。正常バンド値は、各サービスが車載ネットワークにおいて正常に使用する場合に発生するバンド幅の値であるので、第２バンド幅としてもよい。また、異常判断値は、各サービスが車載ネットワークにおいて正常に使用する場合のゆらぎの範囲を示す値である。本実施の形態では、正常バンド値と異常判定値とを合わせた値を第２バンド幅として説明する。
【００４２】
図３は、本実施の形態に係るデータベース１０３が保有するホワイトリストの一例を示す図である。
【００４３】
図３に示すホワイトリストは、データ通信の種類ごとに、正常バンド値および異常判断値を示すパラメータで構成され、第２バンド幅を規定する。また、図３に示すホワイトリストには、データ通信の種類の一例として、リアカメラ映像、ライダー信号および遠隔制御データといった３種類のサービスがネットワーク上で扱うデータ通信の種類が示されている。
【００４４】
より具体的には、図３に示す例では、サービスが取り扱うデータ通信の種類は、リアカメラ映像、ライダー信号、遠隔制御データである。リアカメラ映像では、正常バンド値が５Ｍｂｐｓ（Mega bits par second）であり、正常なバンド値の範囲が当該正常バンド値に対して、上下１Ｍｂｐｓ（具体的には、４Ｍｂｐｓ〜６Ｍｂｐｓ）の範囲である。ライダー信号では、正常バンド値が２Ｍｂｐｓであって、正常なバンド値の範囲が当該正常バンド値に対して、上下０．５Ｍｂｐｓの範囲である。遠隔制御データでは、正常バンド値が１Ｍｂｐｓであって、正常なバンド値の範囲は当該正常バンド値に対して、上下０．１Ｍｂｐｓの範囲である。
【００４５】
なお、正常バンド値および異常判断値の単位は、図３に示す場合に限らない。ｂｐｓのほかに、ｐｐｓ（packets par second）を用いて記載してもよいし、フロー数など様々なネットワークの性能指標の単位を用いて記載してもよい。
【００４６】
＜判定部１０４＞
判定部１０４は、第１バンド幅の値とホワイトリストに規定されている第１データ通信の第２バンド幅と比較して、第１バンド幅を確保するか否かを判定する。
【００４７】
例えば、判定部１０４は、第１バンド幅の値と、ホワイトリストに含まれるパラメータとを比較し、第１バンド幅の値が、正常バンド値および異常判断値で規定される第２バンド幅の範囲内に含まれるか否かにより、第１バンド幅を確保するか否かを判定してもよい。
【００４８】
また、例えば、判定部１０４は、１バンド幅を確保すると判定した場合、通信経路上の次の中継器または受信先に第１バンド幅の値を転送してもよい。
【００４９】
なお、判定部１０４は、第１バンド幅の値が、正常バンド値および異常判断値で規定される第２バンド幅の範囲内に含まれるか否かを示す内容を、判定結果のログとして記憶部に記憶してもよい。ここで、記憶部は、判定部１０４が有するメモリなどであるが、ネットワーク監視器１０１が有するメモリなどであってもよい。
【００５０】
本実施の形態では、判定部１０４は、受信部１０２が受信した告知に含まれる第１バンド幅の値をもとに、データベース１０３が保有するホワイトリストと比較し、比較した結果である判定結果を、送信部１０６に通知する。例えば、判定部１０４は、第１バンド幅が正常バンド値および異常判断値で規定される第２バンド幅の範囲外である場合、送信部１０６にその旨を示す判定結果を通知する。また、例えば、判定部１０４は、第１バンド幅が正常バンド値および異常判断値で規定される第２バンド幅の範囲内である場合、送信部１０６にその旨を示す判定結果を通知するとともに、バンド幅確保部１０５に、第１バンド幅の値を通知する。そして、判定部１０４は、さらに、通信経路上の次の中継器へ告知を転送する。なお、判定部１０４は、通信経路上に次の中継器がなく受信先がある場合には、受信先に当該告知を転送すればよい。
【００５１】
＜バンド幅確保部１０５＞
バンド幅確保部１０５は、判定部１０４の判定結果に応じて、第１バンド幅を確保する。例えば、バンド幅確保部１０５は、判定部１０４により第１バンド幅の値が、正常バンド値および異常判断値で規定される第２バンド幅の範囲内に含まれると判定された場合、第１バンド幅を確保すればよい。また、例えば、バンド幅確保部１０５は、判定部１０４により第１バンド幅の値が、正常バンド値および異常判断値で規定される第２バンド幅の範囲外に含まれると判定された場合、第１バンド幅を確保しなくてよい。
【００５２】
このように、バンド幅確保部１０５は、判定部１０４から通知された判定結果に従って、車載ネットワークの通信経路上での帯域を確保する。
【００５３】
＜送信部１０６＞
送信部１０６は、判定部１０４の判定結果を送信する。より具体的には、送信部１０６は、判定部１０４の送信元に送信する。
【００５４】
［通信経路の構成例］
図４は、本実施の形態に係る車載ネットワークの通信経路の構成の一例を示す図である。
【００５５】
図４では、車両１の車載ネットワークにおいて、送信元２００から受信先３００までをつなぐ通信経路の構成の一例が示されている。図４に示す通信経路では、送信元２００から受信先３００までを、ｎ（ｎは１以上の自然数）個の中継器を介してつながれている例が示されている。なお、車両１の車載ネットワークにおける通信経路は、単にネットワークと称されてもよい。送信元２００、受信先３００、および、中継器１００−１〜中継器１００−ｎはそれぞれ、車両１の車載ネットワークが有するＥＣＵの一である。また、中継器１００−１〜中継器１００−ｎのそれぞれは、内部に上述したネットワーク監視器１０１を備える。
【００５６】
送信元２００が、あるサービスを行うために、図４に示す通信経路上で必要な第１バンド幅を確保したいとする。このとき、送信元２００は、自身と最初に接続されている中継器１００−１へ第１バンド幅の値を含む告知を送信する。
【００５７】
すると、中継器１００−１は、内部に有するネットワーク監視器１０１により、第１バンド幅が不正であるか否かに応じて第１バンド幅を確保するか否かを判定する第１バンド幅の確保判定を行う。中継器１００−１は、第１バンド幅を正しく確保した場合、次の中継器１００−２へ第１バンド幅の値を含む告知を転送すなわち送信する。
【００５８】
同様に、中継器１００−２では、内部に有するネットワーク監視器１０１により、第１バンド幅の確保判定を行い、第１バンド幅を正しく確保した場合、次の中継器１００−３へ第１バンド幅の値を含む告知を送信する。
【００５９】
つまり、中継器１００−１〜中継器１００−（Ｎ−１）のそれぞれは、内部に有するネットワーク監視器１０１により、第１バンド幅の確保判定を行い、第１バンド幅を正しく確保した場合、次の中継器へ第１バンド幅の値を含む告知を送信する。また、中継器１００−Ｎは、内部に有するネットワーク監視器１０１により、第１バンド幅の確保判定を行い、第１バンド幅を正しく確保した場合、受信先３００へ第１バンド幅の値を含む告知を送信する動作を繰り返す。
【００６０】
なお、図４では、図を簡略化するために、中継器１００−２に中継器１００−Ｎが接続されているが、中継器１００−２と中継器１００−Ｎとの間に複数の中継器が接続されていてもよい。
【００６１】
このように、図４に示す通信経路において、送信元２００から受信先３００まで第１バンド幅の値を含む告知を送信することで、送信元２００から受信先３００までの第１バンド幅が確保される。
【００６２】
［ネットワーク監視器１０１の動作等］
以上のように構成されるネットワーク監視器１０１の動作について以下説明する。
【００６３】
図５は、本実施の形態に係るネットワーク監視器１０１の処理を示すフローチャートである。図５では、ネットワーク監視器１０１が、通信経路における送信元から第１バンド幅を告知を受信し、通信経路上に第１バンド幅を確保するまでの処理が示されている。
【００６４】
まず、ステップＳ１０において、受信部１０２は、送信元から告知を受信する。より具体的には、受信部１０２は、帯域確保の仕組みを用いて、送信元により送信された、送信元が第１データ通信を行うための第１バンド幅の値を含む告知を受信する。
【００６５】
次に、ステップＳ１１において、判定部１０４は、受信部１０２が受信した告知に含まれる第１バンド幅の値をもとに、データベース１０３が保有するホワイトリストと比較する。より具体的には、判定部１０４は、データベース１０３に保有されるホワイトリストに規定されている第１データ通信の第２バンド幅と比較する。
【００６６】
次に、ステップＳ１２において、判定部１０４は、第１バンド幅がホワイトリストに規定される第２バンド幅に含まれるか否かを判定する。より具体的には、判定部１０４は、第１バンド幅の値が、例えば図４に示すような正常バンド値および異常判断値で規定される第２バンド幅の範囲内に含まれるか否かを判定する。
【００６７】
次に、ステップＳ１２において、第１バンド幅が第２バンド幅の範囲に収まっている場合（Ｓ１３でＹＥＳ）、バンド幅確保部１０５は、通信経路上に第１バンド幅を確保する（Ｓ１３）。より具体的には、判定部１０４により、第１バンド幅の値が、正常バンド値および異常判断値で規定される第２バンド幅の範囲内に含まれると判定した場合、バンド幅確保部１０５は、第１バンド幅を確保する。
【００６８】
次に、ステップＳ１４において、判定部１０４は、次の中継器へ告知を転送する。より具体的には、ステップＳ１３で判定部１０４は、第１バンド幅を確保すると判定したので、通信経路上の次の中継器に第１バンド幅の値を含む告知を転送する。
【００６９】
次に、ステップＳ１５において、送信部１０６は、送信元へ第１バンド幅を確保した旨を示す確保成功の結果を送信する。
【００７０】
一方、ステップＳ１２において、第１バンド幅が第２バンド幅の範囲に収まっていない場合（Ｓ１２でＮＯ）、バンド幅確保部１０５は、通信経路上に第１バンド幅を確保しない（Ｓ１６）。
【００７１】
次に、ステップＳ１７において、送信部１０６は、送信元へ第１バンド幅を確保しなかった旨を示す確保失敗の結果を送信する。
【００７２】
［効果等］
以上のように、本実施の形態のネットワーク監視器１０１等は、通信経路を形成する送信元からの告知において要求される第１バンド幅の値と、データベース１０３が保有するホワイトリストにより規定される第２バンド幅の値とを比較する。これにより、車載ネットワークの通信経路におけるバンド幅の不正な確保を判定することができる。
【００７３】
また、本実施の形態のネットワーク監視器１０１等は、車載ネットワークの通信経路において必要な帯域であるバンド幅の不正な確保を判定することができるので、予め決められた通信範囲を逸脱するような不正なバンド幅の要求を破棄できる。それにより、あるサービスが、不正に大きくバンド幅を確保することを防止できるので、通信帯域を不正に占有し、他のサービスが通信できなくなることを抑制できる。
【００７４】
（その他の変形例）
なお、本開示を上記実施の形態に基づいて説明してきたが、本開示は、上記実施の形態に限定されないのはもちろんである。以下のような場合も本開示に含まれる。
【００７５】
（１）上記実施の形態では、ネットワーク監視器１０１は、通信経路を形成する中継器の内部に構成されているとして説明したが、これに限定されない。ネットワーク監視器１０１は、通信経路においてメッセージを中継する任意の装置に構成されてもよい。例えば、ネットワーク監視器１０１は、Ｅｔｈｅｒｎｅｔ  Ｓｗｉｔｃｈ、ＣＧＷ、各ドメインに配置されるドメインコントローラ、または、ＣＡＮおよびＥｔｈｅｒｎｅｔの変換装置などに構成されてもよい。
【００７６】
（２）上記実施の形態では、ネットワーク監視器１０１は、第１バンド幅が、データベース１０３が保有するホワイトリストにより規定される第２バンド幅の範囲に含まれない場合、通信経路上に第１バンド幅を確保しないと説明したが、これに限らない。つまり、ネットワーク監視器１０１は、データベース１０３が保有するホワイトリストにより、通信経路上に第１バンド幅を確保するか否かを判定するとして説明したが、これに限らない。ネットワーク監視器１０１は、第１バンド幅が、データベース１０３が保有するブラックリストにより規定されるバンド幅の範囲に含まれると、通信経路上に第１バンド幅を確保しないとしてもよい。このように、データベース１０３は、ホワイトリストを保有してもよいし、ブラックリストを保有してもよい。また、データベース１０３は、ホワイトリストおよびブラックリストの両方の保有してもよい。
【００７７】
（３）上記実施の形態では、ネットワーク監視器１０１は、第１バンド幅が、データベース１０３が保有するホワイトリストにより規定される第２バンド幅の範囲に含まれない場合、通信経路上に第１バンド幅を確保しないと説明したが、これに限らない。
【００７８】
ネットワーク監視器１０１は、第１バンド幅が当該第２バンド幅の範囲外であっても、通信経路上に第１バンド幅を一旦確保し、第１バンド幅が当該第２バンド幅の範囲外である旨を示す判定結果をログとして保存するとしてもよい。ネットワーク監視器１０１が構成されるＥＣＵを含む車載ネットワークを搭載する車両の動作状態によっては、通信経路上に第１バンド幅を一旦確保してからでないと車両の搭乗者がかえって危険となる場合があるからである。そして、ログを解析し、一旦確保した第１バンド幅が真に不正であったときに、車両の動作状態に応じて第１バンド幅を破棄等すればよい。
【００７９】
すなわち、より具体的には、ネットワーク監視器１０１において、判定部１０４は、さらに、車両１の動作状態を判定し、判定部１０４の判定結果には、車両１の動作状態が含まれるとすればよい。そして、バンド幅確保部１０５は、車両１の動作状態が走行状態である場合、判定部１０４により第１バンド幅の値が、正常バンド値および異常判断値で規定される第２バンド幅の範囲外に含まれると判定されても、第１バンド幅を確保してもよい。そして、判定結果をログとして保存すればよい。
【００８０】
また、さらに、データベース１０３が保有するホワイトリストのエントリごとに、第１バンド幅が当該第２バンド幅の範囲外であっても、通信経路上に第１バンド幅を確保する、または確保しないといったアクションを切り替えるための対応アクション項目を保持していてもよい。この場合、例えば、特定のエントリでは、通信経路上に第１バンド幅を確保せず、判定結果を常にログとして保存してもよい。なお、この特定のエントリでは、通信経路上に第１バンド幅を確保しない場合に、判定結果を常にログとして保存するとしてもよい。これにより、車両の動作状態に応じて第１バンド幅を一旦確保し判定結果をログに保存したり、破棄等したりすることができる。
【００８１】
また、上記実施の形態では、ネットワーク監視器１０１は、第１バンド幅が当該第２バンド幅の範囲外である場合、第１バンド幅を確保しなかった旨を示す確保失敗の結果を送信元へ送信するとしているが、当該結果を送信しなくてもよい。
【００８２】
（４）上記実施の形態では、ネットワーク監視器１０１は、第１バンド幅が当該第２バンド幅の範囲外である場合のアクションとして、車両１に徐行して停止させるとしてもよい。また、当該アクションとして自動運転の停止、ＡＤＡＳ機能を中止させるとしてもよい。
【００８３】
より具体的には、判定部１０４は、さらに、車両１の動作状態を判定してもよい。この場合、判定部１０４は、第１バンド幅の値が、正常バンド値および異常判断値で規定される第２バンド幅の範囲外に含まれることを判定し、かつ、車両１の動作状態が走行状態である場合、車両１を徐行させた後に停止させる旨を示す指示を車両に送信してもよい。これにより、第１バンド幅が不正か否かの判定結果に応じて、車両の動作状態を変更できるので、自動運転等が阻害され大事故に繋がることを抑制することができる。
【００８４】
また、判定部１０４は、第１バンド幅の値が、正常バンド値および異常判断値で規定される第２バンド幅の範囲外に含まれることを判定し、かつ、車両１の動作状態が自動運転機能または運転アシスト機能の動作中である場合、自動運転機能または運転アシスト機能の停止を示す指示を車両１に送信してもよい。これにより、第１バンド幅が不正か否かの判定結果に応じて、車両の動作状態を変更できるので、自動運転等が阻害され大事故に繋がることを抑制することができる。
【００８５】
（５）上記実施の形態では、ネットワーク監視器１０１は、データベース１０３が保有するホワイトリストとの比較した結果である判定結果を、送信元へ送信するとしているが、これに限らない。ネットワーク監視器１０１は、当該判定結果を、クラウドサーバ４または車載ネットワークの外部のネットワーク上にあるサーバへ送信してもよい。また、ネットワーク監視器１０１は、当該判定結果を、ＩＶＩ（In-Vehicle Infotainment）へ送信してもよい。また、ネットワーク監視器１０１は、Ｖ２Ｘ（Vehicle-to-Everything）を介して当該判定結果を他車へ送信してもよい。また、ネットワーク監視器１０１は、Ｖ２ｉ（Vehicle-to-Infrastracture）を介して、信号機または道路標識などのインフラへ当該判定結果を送信してもよい。
【００８６】
（６）上記実施の形態では、データベース１０３は、予め決められたホワイトリストを保有している。ホワイトリストに記載される第２バンド幅を規定する正常バンド値および異常判断値といったパラメータは、データ通信の仕様に基づき決定されてもよい。すなわち、当該パラメータは、各サービスの仕様に基づいて、各サービスがデータ通信を行う際に正常とされる第２バンド幅に基づき、決定されてもよい。また、当該パラメータの決定方法は、上記のデータ通信の仕様に基づく場合に限らず、学習により決定されるとしてもよい。また、当該パラメータは、一旦決定された後に、車種ごとに試験運転された結果がフィードバックされて更新されてもよい。更新頻度としては２週間に一度などが考えられる。
【００８７】
（７）また、上記実施の形態では、データベース１０３は、ホワイトリストに第２バンド幅を規定するパラメータとして正常バンド値および異常判断値が挙げられているが、これに限らない。例えば、図６に示すように、データ通信の種類ごとに、一定時間の頻度を定めたリストをホワイトリストに含めてもよいし、通信経路を通過するデータ通信の総合回数であるTotalにおける一定時間の頻度をホワイトリストに含めてもよい。
【００８８】
ここで、図６は、本開示に係るデータベース１０３が保有するホワイトリストの別の一例を示す図である。図６に示す例でも、サービスが取り扱うデータ通信の種類は、リアカメラ映像、ライダー信号、遠隔制御データ、通信経路を通過するデータ通信の総合回数であるTotalである。リアカメラ映像では、上限回数が例えば１／ｍｉｎである。ライダー信号では、上限回数が例えば５／ｍｉｎである。遠隔制御データでは、上限回数が例えば１０／ｍｉｎである。Totalでは、上限回数が例えば２０／ｍｉｎである。なお、これらの値は一例であるので、各サービスを正常に一定時間利用し、一定時間におけるトラフィック量の増減から別の値を決定してもよい。さらに、利用者が任意の値を設定してもよい。
【００８９】
これにより、第１バンド幅が正常の範囲であっても大量の第１バンド幅の確保を要求するといった不正にも対応することができる。つまり、これにより、ネットワークリソースに意図的に過剰な負荷をかけるといった攻撃であるＤＤｏＳ（Distributed Denial of Service）攻撃にも対応できるようになる。
【００９０】
（８）上記実施の形態では、ネットワーク監視器１０１が、データベース１０３を用いて扱うデータ通信の種類は、ＩＥＥＥ１７２２フレームに含まれるストリームＩＤであってもよいし、ＴＣＰ／ＵＤＰで扱われるポート番号、ＩＰアドレスまたはＭＡＣアドレスなどであってもよい。
【００９１】
（９）上記実施の形態では、車載ネットワークをＥｔｈｅｒｎｅｔとして説明したが、これに限定されることなく、ＣＡＮ、ＣＡＮ−ＦＤ、ＬＩＮ、Ｆｌｅｘｒａｙであってもよいし、それぞれを組み合わせた構成であってもよい。
【００９２】
また、上記の実施の形態では、自動車に搭載される車載ネットワークにおけるサイバーセキュリティ対策として説明したが、適用範囲はこれに限られない。自動車に限らず、建機、農機、船舶、鉄道、飛行機などのモビリティにも適用してもよい。すなわち、モビリティネットワークおよびモビリティネットワークシステムにおけるサイバーセキュリティ対策としても適用可能である。
【００９３】
（１０）上記の実施の形態における各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
【産業上の利用可能性】
【００９４】
本開示は、モビリティネットワークにおけるネットワーク監視器、ネットワーク監視方法およびプログラムに利用でき、特に、安全な状態の確保を目指す車両等のモビリティの開発に貢献するためにモビリティネットワーク上に配置されるネットワーク監視器、ネットワーク監視方法およびプログラムに利用できる。
【符号の説明】
【００９５】
１  車両
２  Ｅｔｈｅｒｎｅｔ
３  ＣＡＮバス
４  クラウドサーバ
５  外部ネットワーク
１０  セントラルゲートウェイ
２０  Ｅｔｈｅｒｎｅｔ−ＣＡＮゲートウェイ
２１  ミラーＥＣＵ
２２  ウィンドウＥＣＵ
２３  ブレーキＥＣＵ
２４  アクセルＥＣＵ
３０  テレマティクスコントロールユニット
４０  情報系ＤＣＵ
４１  ＩＶＩ
５０  自動運転系ＤＣＵ
５１  ＡＤＡＳ
５２  ＬＩＤＡＲ
５３  カメラ
５４  ＤＹＮＡＭＩＣ ＭＡＰ
１００、１００−１、１００−２、１００−ｎ  中継器
１０１  ネットワーク監視器
１０２  受信部
１０３  データベース
１０４  判定部
１０５  バンド幅確保部
１０６  送信部
２００  送信元
３００  受信先
【図１】
2019029992.tif 000003
【図２】
2019029992.tif 000004
【図３】
2019029992.tif 000005
【図４】
2019029992.tif 000006
【図５】
2019029992.tif 000007
【図６】
2019029992.tif 000008