(57)【特許請求の範囲】
【請求項１】
複数の車載装置間でデータの通信を行う車載ネットワーク装置において、
自車両の状態を取得する状態取得部と、
前記車載装置におけるデータ処理の負荷を増大させずに、前記データを監視する通信監視部と、を有し、
前記監視は、監視対象とするデータのグループを定義したリストを使用した異常なデータの検知を含み、
前記自車両の状態に基づいて、前記データの監視方法を変えることを特徴とする車載ネットワーク装置。
【請求項２】
請求項１に記載の車載ネットワーク装置において、
前記自車両の状態は、自車両の制御状態、自車両の走行状態、自車両の自動運転状態、自車両に搭乗する運転者の状態、自車両の周辺環境の状態、自車両の通信状態のいずれかを含むことを特徴とする車載ネットワーク装置。
【請求項３】
請求項１または請求項２に記載の車載ネットワーク装置において、
前記データの通信状態を判定する通信判定部と、
前記通信状態の判定方法を設定する判定方法設定部４と、を有し、
前記データの監視方法を変えることとは、前記データの監視頻度を変えること、前記データの監視の優先度を変えること、前記通信状態の判定方法を変えること、のいずれかを含むことを特徴とする車載ネットワーク装置。
【請求項４】
請求項３に記載の車載ネットワーク装置において、
前記通信状態の判定方法を変えることとは、判定条件の種類を変えること、判定条件の数を変えること、判定のための閾値を変えること、のいずれかを含むことを特徴とする車載ネットワーク装置。
【請求項５】
請求項４に記載の車載ネットワーク装置において、
複数の前記判定方法を保有し、保有している前記判定方法のいずれかを削除、変更、または、新たな判定方法を追加するための判定方法更新部と、を有し、
前記自車両の状態に対応した前記判定方法がない場合には、前記判定方法を更新することを特徴とする車載ネットワーク装置。
【請求項６】
請求項１〜５のいずれかに記載の車載ネットワーク装置において、
前記通信監視部が監視する一つ以上の前記データを纏めてグループ化し、前記グループ毎に共通の監視方法によって、前記データを監視することを特徴とする車載ネットワーク装置。
【請求項７】
請求項６に記載の車載ネットワーク装置において、
複数の前記グループの情報を保有し、保有している前記グループの情報のいずれかを削除、変更、または、新たなグループの情報を追加するための監視グループ設定部と、を有し、
前記自車両の状態に対応した前記グループの情報がない場合には、前記グループの情報を更新することを特徴とする車載ネットワーク装置。
【請求項８】
請求項６または請求項７に記載の車載ネットワーク装置において、
前記グループ毎に前記データに関する情報から算出した判定固有情報を管理し、
前記通信監視部は、前記データの監視において、前記判定固有情報を用いることを特徴とする車載ネットワーク装置。
【請求項９】
請求項１〜８のいずれかに記載の車載ネットワーク装置において、
前記通信監視部は前記異常なデータを検知した場合に、前記自車両の状態と前記検知したデータの内容に対応する異常対策を実行することを特徴とする車載ネットワーク装置。
【請求項１０】
請求項９に記載の車載ネットワーク装置において、
前記自車両の状態または異常を検知した前記データの内容に対応した異常対策方法を複数保有し、保有する複数の前記異常対策方法の中から、前記異常対策を選択し実行することを特徴とする車載ネットワーク装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、自動車等に搭載される車載制御装置やネットワーク装置に関する。
【背景技術】
【０００２】
近年、自動車の車両制御は電子化され、複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）がＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）などの車載ネットワークを介して互いに通信を行うことで機能連携を実現している。さらに、自動車の情報化が進み、カーナビやスマートフォンなどの通信機器を経由したデータの送受信が行われている。このように電子化と情報化が進み、自動車の車両内外のネットワーク６を利用した機能連携を実現する際には、車載セキュリティの考慮が必要となる。例えば、自動車が不正なデータによって制御されないようにするため、ネットワーク６を監視し不正なデータの侵入を検知または防止する方法などが検討されている。
【０００３】
本技術分野の一例として、特開２０１３‐１３１９０７号公報（特許文献１）がある。この公報では、特に複雑な構成を要することなく車両ネットワーク６に取り込まれるデータの監視を通じて、セキュリティを高く維持することのできる車両ネットワーク監視装置を提供することを課題としている。そのための解決手段として、車両ネットワーク６には、通信プロトコルを運用する上で規定されたデータの通信形式の監視を通じて不正データを検知する監視用の車載制御装置を設けること，監視用の車載制御装置は、規定された通信形式とは異なる不正データを検知したとき、各車載制御装置に警告情報を送信する処理を行うとともに、ゲートウェイによる不正データのルーティングを禁止させる処理を行うこと，などが記載されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１３‐１３１９０７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１に記載されている方法などによって，ネットワーク６上の不正なデータを漏れなく検知するためには、ネットワーク６を通過する全てのデータを個別に監視する必要がある。しかしながら，ネットワーク６上を通過する通信データの数や種類が多い場合には、全てのデータを個別に監視すると、ＥＣＵやゲートウェイなどの車載装置の処理負荷が増大することになる。例えば、ゲートウェイにおけるデータのルーティング処理などが遅延する可能性があるが、そのための解決方法については特に記載されていない。
【０００６】
また，不正データであることを判定するために，次の様な方法が記載されている。設定した送信回数を超えるエラーフレームが送信されたことをもって不正データの侵入を検知する。送信するエラーフレームの送信回数が異常発生の基準となる異常回数（例えば１５０回）を超えているか否かを監視する。しかしながら，このように不正データの検知方法として何らかの閾値を最適な値に設定するのは困難である。例えば、判定のための閾値を特定の値で固定してしまうと，自動運転のように状況に応じて複雑な制御を実行する際には，設定した値が常に最適であるかは保証できない。
【０００７】
本発明はこのような状況を鑑みてなされたものであり、自動運転のように複雑な制御をしている場合であっても，車載装置におけるデータ処理の負荷を増大させずに不正なデータを検知する手段を提供するものである。
【課題を解決するための手段】
【０００８】
上記課題を解決するために、複数の車載装置間でデータの通信を行う車載ネットワーク装置において、自車両の状態を取得する状態取得部と、前記データを監視する通信監視部とを有し、前記自車両の状態に基づいて、前記データの監視方法を変えることを特徴とする。
【発明の効果】
【０００９】
本発明によれば、車載ネットワーク上の不正データを検知するための処理負荷を低減することが可能である。また、専用のハードウェアなどを必要とせず簡易な構成で，複雑化する車両制御および多様化する車載ネットワークに対応したセキュリティ対策が可能である。
【図面の簡単な説明】
【００１０】
【図１】第１実施形態における車載ネットワーク装置の構成の一例を示した図である。
【図２】第１実施形態における車載ネットワーク装置の処理フローの一例を示した図である。
【図３】第１実施形態における通信監視部の処理フローの一例を示した図である。
【図４】第１実施形態における制御状態に対応した優先度および監視方法の設定の一例を示した図である。
【図５】第１実施形態における自動運転状態に対応した優先度および監視方法の設定の一例を示した図である。
【図６】第２実施形態における車載ネットワーク装置の構成の一例を示した図である。
【図７】第２実施形態における判定方法設定部の処理フローの一例を示した図である。
【図８】第２実施形態におけるフィルタ設定情報の一例を示した図である。
【図９】第２実施形態におけるフィルタリストの一例を示した図である。
【図１０】第２実施形態における通信判定方法の一例を示した図である。
【図１１】第３実施形態における車載ネットワーク装置の構成の一例を示した図である。
【図１２】第３実施形態における車載ネットワーク装置の処理フローの一例を示した図である。
【図１３】第３実施形態における監視データリストおよび監視グループリストの一例を示した図である。
【図１４】第４実施形態における車載ネットワーク装置の構成の一例を示した図である。
【図１５】第４実施形態における車載ネットワーク装置の処理フローの一例を示した図である。
【図１６】第４実施形態における異常対策リストの一例を示した図である。
【発明を実施するための形態】
【００１１】
本発明を実施するための形態（以降、「実施形態」と称す）について、適宜図面を参照しながら詳細に説明する。本実施形態は、主に自動車の車載システムにおける制御装置およびネットワーク装置について説明しているが、車載システム以外への適用を妨げるものではない。
【００１２】
（第１実施形態）
第１実施形態における車載ネットワーク装置１は、図１に示すように、通信監視部２と状態取得部３と判定方法設定部４とから構成される。なお、車載ネットワーク装置１は、他のＥＣＵ５と同様に、ＣＰＵ（中央処理装置）などの演算装置、不揮発性メモリや揮発性メモリなどの記憶装置、ネットワーク６と接続するための通信インタフェースを有し、ネットワーク６を介して他のＥＣＵ５と通信する機能を有する。
【００１３】
図１では２つのネットワーク６を介してそれぞれ３つのＥＣＵ５と接続しているが，接続するネットワーク６およびＥＣＵ５の種類や数につて特に限定はない。ネットワーク６の種類として例えば、 ＣＡＮ、Ｅｔｈｅｒｎｅｔ（登録商標）、ＦＬＥｘＲＡＹ（登録商標）、ＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）、ＭＯＳＴ（登録商標）などの有線ネットワークや、無線ＬＡＮ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、携帯電話などの無線ネットワークがある。
【００１４】
通信監視部２はネットワーク６を通過するデータを監視し、後述の状態取得部が取得した自車状態に応じて通信の監視方法を変更する機能を有する。通信の監視方法についての詳細は後述する。また、通信監視部２は、通信判定部７を有し、判定方法設定部４において設定した判定方法に従って、ネットワーク６を介して車載ネットワーク装置１を通過するデータに異常があるか否かを判定する機能を有する。また，データに異常を検知した場合には，当該データを通過させない機能を有していても良い。
【００１５】
状態取得部３は、自車状態として，自車の制御状態、自動運転状態、運転者の状態、周辺の環境状態、車外との通信状態のうちいずれかを取得する機能を有する。制御状態とは，自車の車載装置がどのような制御を実行中かを示す情報であり、自車の走行，停止などの走行状態に関する情報でも良いし、車載装置がどのような制御データを処理しているかを示す情報でも良い。例えば、機能安全の指標であるＡＳＩＬのレベル（Ａ〜Ｄ）のうちどのレベルに関わる制御処理を実行しているかなどでも良い。また、走行に関する制御だけでなく、 ＯＴＡ（Ｏｖｅｒ Ｔｈｅ Ａｉｒ）などにより、ＥＣＵのプログラムの書き換えを実行中か否かなど車載装置の内部処理に関わる情報でも良い。
【００１６】
自動運転状態とは、現在の運転がマニュアル運転か自動運転か、自動運転である場合には、どのような運転モードになっているかである。運転モードの例として、ＡＣＣ（Ａｄａｐｔｉｖｅ Ｃｒｕｉｓｅ Ｃｏｎｔｒｏｌ）、自動車線変更、先導車追従、車線維持支援、自動駐車などがある。運転者の状態とは運転者の個人識別情報、覚醒状態、健康状態、運転者の操作状態などである。操作状態とは例えば、運転者がハンドルに手を添えているか否か、運転者の視線がどこを向いているかなどである。周辺の環境状態とは、例えば車内外の気温や湿度、降雨量などに関する情報である。車外との通信状態とは，Ｃ２Ｘ（Ｃａｒ-ｔｏ-Ｘ）通信などにより，車々間通信や外部通信インフラと通信を行っているか否かなどを示す情報である。
【００１７】
状態取得部３は上記の各種状態を例えば前述のネットワーク６を介して外部のＥＣＵ５などの機器から取得しても良いし、ＯＢＤ（Ｏｎ Ｂｏａｒｄ Ｄｉａｇｎｏｓｉｓ）などの保守用コネクタや、シリアル通信などのローカル通信インタフェースを介して取得しても良いし、運転席に設置された各種操作スイッチや車内に装備された各種センサなどから取得しても良い。
【００１８】
判定方法設定部４は、前述の状態取得部３が取得した状態に応じて、通信監視部２が実行する通信の監視方法または通信判定部７の処理方法を設定する機能を有する。通信判定部７は，前述の判定方法設定部４が設定したデータの判定方法に従って，通信監視部が監視するデータに異常があるか否かを判定する機能を有する。
【００１９】
図２を用いて車載ネットワーク装置１の詳細な処理フローについて説明する。はじめに、車載ネットワーク装置１の通信監視部２はネットワーク６からのデータ受信の有無を判定する（処理Ｓ２０１）。データを受信した場合には状態取得部３により自車状態を取得し、過去の取得時から変更があるか否かを判定する（処理Ｓ２０２）。次に，取得した自車状態に変更があった場合には，変更された自車状態に対応した監視方法を新たに設定する（処理Ｓ２０３）。ここで、状態取得（処理Ｓ２０２）および監視方法設定（処理Ｓ２０３）の実行タイミングは、図２に示すように，データ受信は発生する毎ではなく、所定回数のデータ受信が発生した際、または、データ受信の有無に関わらず一定周期としても良い。
【００２０】
次に、通信監視部２は処理Ｓ２０３において設定したデータの監視方法により受信データを監視し、受信データに異常があるか否かを判定する（処理Ｓ２０４）。受信データに異常があると判定した場合にはエラー処理を実行する（処理Ｓ２０５）。エラー処理とは例えば上位システムに通知するなどの異常対策処理である。異常対策の詳細については後述する。通信監視により異常がないと判定された場合には、受信データを別のネットワーク６に転送する必要があるか否かを判定する（処理Ｓ２０６）。データの転送が必要な場合には、例えば受信データ内に設定されたアドレス情報などを参照して所定のネットワーク６を介してデータを転送する（処理Ｓ２０７）。データの転送が不要な場合にはそのまま処理を終了する。
【００２１】
図３を用いて通信監視部２の処理フローの一例について説明する。はじめに，通信監視部２は受信データの監視方法を変更する必要があるか否かを判定する（処理Ｓ３０１）。例えば、前述の処理Ｓ２０２において自車状態に変更があった場合には，監視方法の変更が必要と判定する。監視方法の変更が必要な場合には、自車状態に対応した監視方法を設定する（処理Ｓ３０２）。例えば，監視対象のデータに自車状態に対応した優先度を設定しておき，優先度に応じた監視方法を設定する。通信監視部２は自車状態から受信したデータの優先度を判定し（処理Ｓ３０３），優先度に応じたデータ監視方法を実行する（処理Ｓ３０４〜処理Ｓ３０６）。
【００２２】
自車状態に対応した優先度および監視方法の設定例について，図４および図５を用いて説明する。図４はデータ種別４０１毎に，自車の制御状態４０４に対応した優先度と監視方法を設定した例である。自車の制御状態４０４として例えば走行状態４０５、停止状態４０６、リプロ状態４０７などが挙げられる。走行状態４０５は更に高速、低速など速度に応じて細かく状態を分けても良い。同様に停止状態４０６についても、エンジン停止、アイドリング中、アクセサリー電源ＯＮなどの状態に分けても良い。リプロ状態４０７とはＥＣＵのファームウェアなどのリプログラミングを実行している状態であり、リプログラミングの進行状況に応じて、更新ソフトウェアダウンロード中、ソフトウェアの書換え中、ソフトウェア書換え終了後の再起動中など、更に細かい状態に分けても良い。
【００２３】
データ種別４０１は，特定の共通項目を有するデータを識別するための指標であり，例えば同一のネットワーク領域４０２を使用するデータ，同じネットワーク種別４０３を使用するデータごとに種別を定義する。図４に示すデータ種別４０１の種類や数および形式は一例であり，本例に限定されるものではない。
【００２４】
以上の様に定義した様々な自車状態において、監視対象のデータ種別４０１ごとに監視の優先度を設定する。例えば，高速での走行状態４０５において、ボディ制御情報およびインフォテイメントおよびＣ２Ｘ通信のデータ種別４０１には優先度１を設定し、シャシ制御情報およびパワートレイン制御情報および機能安全情報および自動運転情報および外界認識情報には優先度３を設定する。同様にして、各自車状態とデータ種別４０１にそれぞれ優先度０〜優先度３を設定する。
【００２５】
通信監視部２は設定した優先度に応じて，データ種別ごとのデータの監視方法を設定する。例えば、自車状態が高速の走行状態４０５の際には優先度の高いデータ種別４０１の属するネットワーク領域４０２を優先的に監視する。ネットワーク領域４０２とは例えば各データ種別４０１が主としてデータ送受信を実行する通信路、データバス、チャネル、ネットワークインタフェースなどである。例えば、シャシ制御情報であればネットワーク領域４０２Ｂを割り当てているため、ネットワーク領域４０２Ｂの監視頻度を高く設定する。同様に、高速の走行状態４０５の場合には、優先度３のネットワーク領域４０２Ｂ、Ｃ、Ｄ、Ｆを優先的に監視する。一方、優先度１のネットワーク領域４０２Ａ、Ｅ、Ｇに対する監視優先度は低く設定する。
【００２６】
また、ネットワーク領域４０２だけでなく、各データ種別４０１が使用しているネットワーク種別をもとにして監視対象の優先度を設定しても良い。例えば、高速の走行状態４０５の場合には優先度の高い（優先度３に設定されている）ネットワーク種別はＣＡＮ、Ｅｔｈｅｒｎｅｔ（登録商標）、ＬＶＤＳであるため、これらのネットワーク種別については優先的に監視する。一方、優先度の低い（優先度１に設定されている）無線ＬＡＮについては監視の優先度を下げる。
【００２７】
高優先度（例えば優先度３）のデータ監視方法として、監視頻度を高く（データ受信が発生する毎に監視）設定し、データのヘッダ、ペイロード、フッタの全てを監視対象とするなどの方法がある（処理Ｓ３０４）。例えば，ヘッダ、ペイロード、フッタの値が規定値か否かなどを監視する。
【００２８】
中優先度（例えば優先度２）のデータ監視方法としては、監視頻度を中程度（複数回に一回、一定時間毎など）に設定し、データのヘッダやフッタのみを監視対象とするなどの方法がある（処理Ｓ３０５）。低優先度（例えば優先度１）のデータ監視方法としては、監視頻度を中優先度より更に低く設定し、データのヘッダの一部分（例えばＩＤ）のみを監視対象とするなどの方法がある（処理Ｓ３０６）。ここで、最低の優先度（例えば優先度０）については監視対象から外すという設定にしても良い。
【００２９】
例えば、エンジン停止の停止状態４０６にある場合には、データ種別４０１のボディ制御情報に関わるネットワーク領域４０２Ａもしくはネットワーク種別がＣＡＮのデータに関してはデータ送受信が発生する毎にデータのヘッダ、ペイロード、フッタの全てを監視する。一方、シャシ制御情報、パワートレイン制御情報、機能安全情報、自動運転情報、インフォテイメント、外界認識情報に関わるネットワーク領域４０２Ｂ、Ｃ、Ｄ、Ｅ、Ｆやネットワーク種別がＥｔｈｅｒｎｅｔ（登録商標）のネットワーク６に関してはデータ監視対象から除外する。Ｃ２Ｘ通信に関するネットワーク領域４０２Ｇ、もしくは無線ＬＡＮのネットワークについては、監視頻度を下げてデータのＩＤのみを監視対象とする。
【００３０】
リプロ状態４０７の場合には、優先度の高いＣ２Ｘ通信に関わるネットワーク領域４０２Ｇもしくは無線ＬＡＮを使用するデータについては毎回，受信データのヘッダ、ペイロード、フッタの全てを監視する。同様に、データ種別４０１がインフォテイメントのデータに関しては、中優先度の監視とし、ボディ制御情報に関しては低優先度の監視とし、その他のデータ種別４０１については監視対象から外す。
【００３１】
本実施形態において、制御状態４０４、データ種別４０１、および優先度の設定値などは図４に示す例に限定されるものではない。すなわち、データ種別４０１、ネットワーク領域４０２、ネットワーク６種別、制御状態４０４の種類や数、優先度の値設定などが、図４と異なっていても、本実施例は成立する。
【００３２】
図５は個別のデータ毎に，自車の自動運転状態に応じた優先度および監視方法を設定した例である。自動運転状態５０７として例えば、マニュアル運転５０８、ＡＣＣ５０９、先導車追従５１０、自動駐車５１１を定義する。監視対象のデータにはデータＩＤ５０１、データ名５０２、データの送信元５０３，送信先５０４、伝送方式５０５、通信方式５０６のいずれかの情報が設定されているものとする。
【００３３】
データＩＤ５０１やデータ名５０２はデータの種類を示す情報であり他のデータ特別できるものであればどのような形式であっても良い。データの送信元５０３および送信先５０４は、例えばデータ送信元および送信先のＥＣＵを示すアドレス情報などである。伝送方式５０５は、データの物理ネットワークの種類であり、例えばＥｔｈｅｒｎｅｔ（登録商標）やＣＡＮなどである。通信方式５０６はネットワークプロトコルの種類であり、例えばＥｔｈｅｒｎｅｔ（登録商標）であればＴＣＰ、ＵＤＰ、ＩＰ、Ｅｔｈｅｒｎｅｔ（登録商標） ＡＶＢ（Ａｕｄｉｏ/Ｖｉｄｅｏ Ｂｒｉｄｇｉｎｇ、以降ＡＶＢと略す）などである。
【００３４】
図５の例では，データＩＤ５０１が「１」のレーン認識情報は、送信元５０３がＥＣＵ＿Ａであり、送信先５０４がＥＣＵ＿Ｂ、伝送方式５０５としてＥｔｈｅｒｎｅｔ（登録商標）、通信方式５０６としてＴＣＰ/ＩＰを使用している事を示している。また、レーン認識情報のデータについては、自動運転状態５０７がマニュアル運転５０８の場合には優先度０、ＡＣＣ５０９の場合には優先度３、先導車追従５１０の場合には優先度３、自動駐車５１１の場合には優先度１を設定している。
【００３５】
同様に、ランドマーク認識情報やステカメ（ステレオカメラ）認識情報など、各データについて、自動運転状態５０７ごとに優先度を設定している。通信監視部２は自動運転状態５０７に応じて優先度を設定し、データを受信した際に設定された優先度に応じた監視方法によりデータ監視を実行する。
【００３６】
例えば、自動運転状態５０７がマニュアル運転５０８の場合には、ランドマーク認識情報の監視を高優先度（優先度３）に設定し、車線変更可否フラグ、ＡＣＣ可否フラグ、先導車追従可否フラグのデータ監視を中優先度（優先度２）に設定し、その他のデータは監視対象外とする。同様に、自動運転状態５０７がＡＣＣ５０９の場合には、レーン認識情報、前方物体情報、車速設定情報のデータの監視を高優先度（優先度３）に設定し、ＡＣＣ可否フラグ、自動運転中断フラグのデータの監視を中優先度（優先度２）に設定し、ランドマーク認識情報、ステカメ標識認識情報、先行車情報のデータの監視を低優先度（優先度１）に設定し、その他のデータは監視対象外とする。
【００３７】
高優先度（例えば優先度３）のデータ監視方法としては、監視頻度を高く（毎回監視など）設定し、データのデータＩＤ５０１、送信元５０３、送信先５０４、伝送方式５０５、通信方式５０６に関する情報の全てを監視するなどの方法がある（処理Ｓ３０４）。例えば、データのデータＩＤ５０１、送信元５０３、送信先５０４、伝送方式５０５、通信方式５０６が規定値か否かなどを監視する。また、中優先度（例えば優先度２）のデータ監視方法としては、監視頻度を中程度（複数回に一回、一定時間ごとなど）に設定し、対象のデータのデータＩＤ５０１、送信元５０３、送信先５０４、伝送方式５０５、通信方式５０６のうち何れかを監視するなどの方法がある（処理Ｓ３０５）。
【００３８】
低優先度（例えば優先度１）のデータ監視方法としては、監視頻度を中優先度より低く設定し、対象のデータのデータＩＤ５０１、送信元５０３、送信先５０４、伝送方式５０５、通信方式５０６のうち何れか一つのみを監視するなどの方法がある（処理Ｓ３０６）。また、最低の優先度（例えば優先度０）については監視対象から外すという設定にしても良い。
【００３９】
本実施形態において、データの種類に関連する定義や自動運転状態５０７の定義、優先度の設定値については、図５に示す例に限定されるものではない。すなわち、データＩＤ５０１、データ名５０２、送信元５０３、送信先５０４、伝送方式５０５、通信方式５０６の種類や数に関する定義、自動運転状態５０７の種類や数に関する定義、各自動運転状態５０７における監視優先度の設定値などが図５と異なっていても本実施形態は成立する。
【００４０】
以上のように、本実施形態によれば、自車状態に応じて、車載ネットワーク上で監視するデータの優先度を設定することにより、全データを監視せず重要なデータのみを厳選して監視する事ができる。したがって，車載ネットワークにおいてデータの異常を検知するための処理負荷を低減することが可能である。
【００４１】
（第２実施形態）
第２実施形態における車載ネットワーク装置２１は図６に示すように、通信監視部２２と状態取得部２３と判定方法設定部２４とから構成され第１実施形態における車載ネットワーク装置１と同様の機能を有する。通信監視部２２および状態取得部２３は第１実施形態と同様の機能を有する。
【００４２】
判定方法設定部２４は、第１実施形態における判定法設定部４と同様の機能を有する。判定方法設定部２４は、更に、フィルタ選択部２５、フィルタリスト２６、フィルタ段数設定部２８、および、フィルタ更新部２９を有し、状態取得部２３が取得した自車状態に応じて、通信監視部２２が実行する通信の監視方法や通信判定部２７における通信判定方法を設定する機能を有する。
【００４３】
フィルタ選択部２５は状態取得部２３が取得した自車状態に応じて、フィルタリスト２６から通信判定のために使用するフィルタを選択する機能を有する。フィルタ段数設定部２８は状態取得部２３が取得した自車状態に応じて、使用するフィルタの段数を設定する機能を有する。フィルタ更新部２９はフィルタリスト２６を更新する機能を有する。フィルタリスト２６の詳細については後述する。フィルタリスト２６およびフィルタ更新部２９は車載ネットワーク装置２１の外部にあっても良く、フィルタリスト２６の変更が不要な場合にはフィルタ更新部２９は無くても良い。
【００４４】
図７および図８を用いて判定方法設定部２４の処理フローの一例について説明する。はじめに、判定方法設定部２４は状態取得部２３により自車状態を取得し、前回取得時から変更があるか否かを判定する（処理Ｓ７０１）。自車状態に変更がある場合には、フィルタ設定情報８００に，該当するフィルタが登録済みであるか否かを判定する（処理Ｓ７０２）。フィルタ設定情報８００については詳細を後述する。
【００４５】
フィルタ設定情報８００として登録済みであれば、登録済みのフィルタ設定に変更する（処理Ｓ７０３）。一方、フィルタ設定が未設定の場合には、フィルタリスト２６に変更後の自車状態に対応したフィルタがあるか否かを判定する（処理Ｓ７０４）。フィルタリスト２６に変更後の自車状態に対応したフィルタがある場合には、フィルタ段数設定部２８はフィルタの段数を設定する（処理Ｓ７０５）。
【００４６】
次に、フィルタ選択部２５は使用するフィルタの種類を選択する（処理Ｓ７０６）。処理Ｓ７０５において複数の段数を設定した場合には、段数分のフィルタをそれぞれ選択する。処理Ｓ７０４において対応するフィルタが無い場合には、フィルタリスト２６を更新可能か否かを判定する（処理Ｓ７０７）。フィルタリスト２６を更新可能な場合にはフィルタ更新部２９は新しいフィルタを追加もしくは既存のフィルタを変更する（処理Ｓ７０８）。
【００４７】
以降は追加もしくは変更されたフィルタを用いて処理Ｓ７０５および処理Ｓ２０６の処理を実行する。フィルタ更新が不可能な場合には、エラー処理を実行する（処理Ｓ２０９）。エラー処理の例としては上位システムへの通知などの異常対策がある。異常対策の詳細については後述する。
【００４８】
フィルタ設定情報８００の例を図８、フィルタリスト２６の例を図９に示す。フィルタ設定情報８００には、自車状態８０１に応じたフィルタ８０２を設定する。フィルタ８０２にはフィルタ対象のデータリスト８０３（以降，対象データリスト８０３とする）およびフィルタ種類８０４を設定する。対象データリスト８０３には，フィルタ対象とするデータを識別するための情報，例えばデータＩＤなどを設定する。
【００４９】
フィルタ８０２の数は図８のように３つに限定するものではなく、自車状態８０１に応じて設定する数を変更しても良い。例えば、自車状態８０１がマニュアル運転の場合には、１つ目のフィルタ８０２は、データＩＤが０ｘ０１、０ｘ０２のデータを対象として、ネットワーク種別に関する通信判定を行う。２つ目のフィルタ８０２は、データデータＩＤが０ｘ０１、０ｘ０２のデータを対象として、送信元/送信先に関する通信判定を行う。３つ目のフィルタ８０２は、データＩＤが０ｘ０１、０ｘ０２のデータを対象として，データサイズに関する通信判定を行う。
【００５０】
同様に、自車状態８０１がＡＣＣの場合には、１つ目のフィルタ８０２は、０ｘ０１のデータを対象として，データＩＤに関する通信判定を行う。２つ目のフィルタ８０２は，０ｘ０２のデータを対象として，データの送信周期に関する通信判定を行う。
【００５１】
図８に示すフィルタ設定の詳細について図１０を用いて説明する。図１０に示すように、マニュアル運転のフィルタ設定１００２は、同一の監視対象データに対して複数のフィルタ８０２を選択しているため判定処理（処理１００３〜処理１００５）は直列に実行される。一方、ＡＣＣのフィルタ設定１００６については、異なる監視対象データに対して，それぞれ異なるフィルタ８０２を設定しているため判定処理（処理１００７，処理１００８）は並列に実行される。また、先導車追従のフィルタ設定１００９のように，直列に実行する判定処理（対象データが０ｘ０４の場合の処理１０１０，処理１０１１）と並列に実行する判定処理（対象データが０ｘ０３の処理１０１０，対象データが０ｘ０５の処理１０１１）とを混在させても良い。
【００５２】
対象データリスト８０３とフィルタ種類８０４の組合せについては、図９に示すフィルタリスト２６から選択する。例えば、データＩＤ９０１が０ｘ０１のデータについては、周期９０２に関するフィルタ８０２を利用する際には、判定の閾値として、規定の周期１０ｍｓに対して誤差±５％以内の周期であれば正常と判定する。データサイズ９０３に関するフィルタ８０２については、規定の４Ｂｙｔｅに対して誤差±１Ｂｙｔｅ以内のサイズであれば正常と判定する。ネットワーク種別４０３に関するフィルタ８０２を利用する際には、ＣＡＮを使用した通信であれば正常と判定する。送信元５０３および送信先５０４に関するフィルタ８０２を利用する際には、送信元５０３がＥＣＵ＿Ａを示すアドレスであり、送信先５０４がＥＣＵ＿ＢもしくはＥＣＵ＿Ｃを示すアドレスであれば正常と判定する。
【００５３】
以上のように、各フィルタ８０２による判定対象とする対象データ毎に，フィルタの種類と判定閾値を設定する。図８の対象データリスト８０３、図９の対象データＩＤ９０１、図１０の監視対象データ１００１は全てデータＩＤを利用しているが、互いに関連付けが可能な情報であれば異なる識別情報を利用しても良い。例えば、対象データリスト８０３には特定の通信路、バス、チャネルを経由するデータであることを示す識別情報であっても良い。
【００５４】
また、図８のフィルタ設定情報８００および図９のフィルタリスト２６は一例であり、本例に示す以外の設定方法を使用しても良い。したがって、フィルタ設定情報８００は自車状態８０１ごとに、フィルタ８０２の数、種類、組合せ方法が設定できればどのような形式でも良い。同様に，フィルタリスト２６は、監視対象データ１００１ごとに、フィルタの方法、判定のための閾値情報が設定できればどのような形式でも良い。
【００５５】
以上のように、本実施形態によれば自車状態に応じて、車載ネットワーク上で監視するデータの正常または異常判定方法を変更できるため、固定のフィルタを用いて判定する場合に比べ，状況に応じて処理速度，処理負荷，判定精度などを柔軟に調整することが可能である。
【００５６】
（第３実施形態）
第３実施形態における車載ネットワーク装置３１は図１１に示すように、通信監視部３２と状態取得部３３と判定方法設定部３４とから構成され第１実施形態における車載ネットワーク装置１と同様の機能を有する。通信監視部３２および状態取得部３３は第１実施形態と同様の機能を有する。
【００５７】
判定方法設定部３４は、第１実施形態における判定方法設定部４または第２実施形態における判定方法設定部２４と同様の機能を有する。さらに、判定方法設定部３４は、監視グループリスト３５とグループ判定方法設定部３６、監視グループ設定部３８と監視データリスト３９を有し、状態取得部３３が取得した自車状態に応じて、監視データをグループ分けし、グループ毎に通信データの判定方法を設定する機能を有する。
【００５８】
監視データリスト３９は通信監視部３２が監視するデータのリストであり、データの識別情報、データの送信元/送信先に関するアドレス情報、データの伝送方式や通信方式に関する情報、データサイズに関する情報、データの送信周期に関する情報のうちいずれかの情報を有する。監視データリスト３９は判定方法設定部３４の外部に保存されていても良い。
【００５９】
監視グループ設定部３８は、監視データリスト３９に登録されているデータを状態取得部３３が取得した自車状態に基づいてグループ化し、監視グループリスト３５に登録する機能を有する。監視グループリスト３５は、自車状態ごとに監視対象とするデータのグループを定義したリストであり、グループごとの判定方法、グループの識別情報、グループと個別データを関連付ける情報、判定のための固有情報、判定のための閾値情報、監視優先度のうち何れかの情報を有する。監視グループリスト３５は判定方法設定部３４の外部に保存されていても良い。
【００６０】
グループ判定方法設定部３４は状態取得部３３が取得した自車状態に基づいて、監視グループリスト３５に登録されている監視データのグループを選択し、グループ毎のデータ判定方法を設定する機能を有する。
【００６１】
図１２を用いて車載ネットワーク装置３１の詳細な処理フローについて説明する。はじめに、状態取得部３３は自車状態を取得し前回取得から変更があるか否かを判定する（処理Ｓ１２０１）。自車状態に変更がある場合には、自車状態に応じた監視グループリスト３５があるか否かを確認し、新たに監視グループリスト３５の作成または更新が必要か否かを判定する（処理Ｓ１２０２）。
【００６２】
監視グループリスト３５の作成または更新が必要な場合には、監視グループリスト３５を作成または更新する（処理Ｓ１２０３）。監視グループリスト３５の例およびリストの作成方法の例については後述する。次に、監視グループリスト３５の中から後述の通信判定のために使用するグループ判定方法を選択し、自車状態毎に設定する（処理Ｓ１２０４）。
【００６３】
次に、通信監視部３２においてデータ受信の監視を行う（処理Ｓ１２０５）。ここでは、監視グループリスト３５に従って、特定のグループ毎に通信データを監視し、処理Ｓ１２０４において設定したグループ判定方法に従って、グループ内の通信データが異常であるか否かを判定する（処理Ｓ１２０６）。通信データの判定方法に関する詳細な例は後述する。データが異常であると判定した場合にはエラー処理を実行する（処理Ｓ１２０７）。エラー処理とは例えば上位システムに通知するなどの異常対策処理である。異常対策の詳細については後述する。
【００６４】
監視グループリスト３５の例およびリストの作成方法の例について，図１３を用いて説明する。監視グループリスト３５は、図１３に示す監視データリスト３９に基づいて作成する。監視データリスト３９は、通信監視部３２が監視対象とするデータに関する情報である。例えば、図１３（ａ）に示す通り、データの識別情報としてデータＩＤ１３０１、データの送受信元を示すアドレス情報（送信元５０３および送信先５０４）、データの伝送方式５０５、データサイズ１３０２、データの送信周期１３０３などを有する。例えば、データＩＤ１３０１が「１００」のデータは送信元５０３のアドレス情報として「ＥＣＵ＿Ａ」、送信先５０４のアドレス情報として「ＥＣＵ＿Ｂ」、伝送方式５０５として「Ｅｔｈｅｒｎｅｔ（登録商標）」、データサイズ１３０２として「１００Ｂｙｔｅ」、データ送信周期１３０３として「１０００ｍｓ」が設定されている。
【００６５】
監視グループ設定部３８は、自車状態毎に監視データリスト３９の中から特定のデータ群選択しグループ化する。グループ化の基準として例えば、データＩＤ１３０１が近いものを纏める、送信元５０３または送信先５０４が同一のものを纏める、伝送方式５０５が同一のものを纏める、データサイズ１３０２や送信周期１３０３が同一または近似しているものを纏めるなどの方法がある。その他、データ毎に予め重要度を設定しておき、重要度に応じてグループ化するなどの方法でも良い。本実施形態において、データを纏めるためのルールについては特に限定しない。
【００６６】
図１３では、送信元５０３および送信先５０４が同一のデータを同じグループとして纏めている例を示すが、その他の方法でグループ化しても本実施形態は成立する。監視グループリスト３５にはグループの識別情報を設定する。例えば、データＩＤ１３０１が「１０１」「１０２」のデータのグループにはグループＩＤ１３０４「Ｂ」を付与する。ここで、グループにはデータが一つでも良く、データＩＤ１３０１が「１００」のデータについては、１つのデータから構成されるグループＩＤ１３０４が「Ａ」のグループとしても良い。
【００６７】
また，監視グループリスト３５を作成する際には、監視データリスト３９の登録情報をキーとして、後述する通信データ判定のための固有情報（判定固有情報と略す）を設定しても良い。以下に，送信元５０３、送信先５０４、伝送方式５０５をキーとして判定固有情報を生成する例を示す。判定固有情報Ｉ１３０５は次式により生成する。
【００６８】
判定固有情報Ｉ＝（送信元 << ８）＋（送信先 << ４）＋ 伝送方式
ここで、（送信元<< ８）は送信元５０３を示すビット情報を８ビット上位にシフト演算する事を示す。例えば、データＩＤ１３０１「１００」のデータから構成されるグループＩＤ１３０４「Ａ」のグループには、送信元５０３のＥＣＵ＿Ａのアドレス情報（仮に「０ｘＡ」とする）および、送信先５０４のＥＣＵ＿Ｂのアドレス情報（仮に「０ｘＢ」とする）、伝送方式５０５がＥｔｈｅｒｎｅｔ（登録商標）（仮に「０ｘＥ」とする）であることから、判定固有情報Ｉ１３０５は（０ｘＡ << ８ ）＋ （０ｘＢ <<４）＋０ｘＥ ＝ ０ｘＡＢＥとする。
【００６９】
同様に、グループＩＤ１３０４「Ｂ」のグループについては、送信元５０３のＥＣＵ＿Ｂのアドレス情報（仮に「０ｘＢ」とする）および、送信先５０４のＥＣＵ＿Ａのアドレス情報（仮に「０ｘＡ」とする）、伝送方式５０５がＣＡＮ（仮に「０ｘＣ」とする）であることから、判定固有情報Ｉ１３０５は「０ｘＢＡＣ」とする。
【００７０】
以下に、データＩＤ１３０１、データサイズ１３０２、送信周期１３０３をキーとして判定固有情報を生成する例を示す。判定固有情報II１３０６は次式により生成する。
【００７１】
判定固有情報II＝ データＩＤ＋ データサイズ＋ 送信周期÷ １００ 
例えば、データＩＤ１３０１が「１００」のデータはデータサイズ１３０２が「１００」、送信周期１３０３が「１０００」であることから、判定固有情報II１３０６は「１００＋１００＋１０００÷１０＝３００」となる。ここで、データ毎に個別に算出した判定固有情報II１３０６は一つのグループ内に複数個を割当てても良い。
【００７２】
例では説明を簡単とするため、単純な変換式を利用しているが、監視データリスト３９中の特定情報をキーとしてハッシュ関数などを用いることにより、判定固有情報を生成しても良い。すなわちグループ内のデータが有する何らかの情報をキーとして、特定の判定固有情報を生成できれば，どのような方式を用いても本実施例は成立する。
【００７３】
処理Ｓ１２０６における通信データの判定方法の例について説明する。通信監視部３２は通信データを受信した際に、判定固有情報を算出する。算出した判定固有情報が監視グループリスト３５に登録されているか否かを検索し、登録されていない場合には異常と判定する。ここで、異常なデータであっても、判定固有情報が偶然一致する可能性もあるため、判定固有情報は複数種類を組合せて使用しても良い。例えば、判定固有情報Ｉ１３０５をまず検索し、値が一致した場合には次に判定固有情報II１３０６を検索し、両方の値が一致した場合のみを正常データと判定する。
【００７４】
監視グループリスト３５および処理Ｓ１２０６における通信データの判定方法に関する他の例を、図１３（ｂ）を用いて説明する。図１３（ｂ）に示すように、監視グループリスト３５は判定固有情報以外に、優先度１３０８や判定方法１３０９に関する情報を有していても良い。例えばグループＩＤ１３０４毎に監視の優先度１３０８を設定する。
【００７５】
優先度１３０８については第１実施形態において示した方法などを利用する。例えば、優先度１３０８の高いグループのデータについては個別にデータを監視し、優先度１３０８の低いグループのデータは監視対象外とするなどの方法がある。
【００７６】
判定方法１３０９の例として、グループ毎にデータの上限サイズや下限サイズを設定しておき、データサイズ１３０２が所定の閾値内に収まらないデータは異常なデータとして判定する方法がある。また、グループ内のデータの平均データ転送量を設定しておき、所定の閾値内に収まらない場合には異常と判定しても良い。
【００７７】
なお、監視グループリスト３５は図１３に示す例に限定せず，グループごとの判定方法、グループの識別情報、グループと個別データを関連付ける情報、判定のための固有情報、判定のための閾値情報、判定のための優先度情報のうち何れかの情報を有していれば良い。
【００７８】
以上のように、本実施形態によれば複数の監視データを特定の規則に従って纏めてグループ化し、グループ毎にデータを監視する事により、個別にデータ監視を行う場合に比べてより少ない処理負荷でデータの監視が可能である。
【００７９】
（第４実施形態）
第４実施形態における車載ネットワーク装置４１は図１４に示すように、通信監視部４２と状態取得部４３と判定方法設定部４４とから構成され、第１実施形態または第２実施形態または第３実施形態における車載ネットワーク装置１／２１／３１と同様の機能を有する。
【００８０】
また、車載ネットワーク装置４１は異常対策リスト４５と対策実行部４６を有し、通信監視部４２の通信判定部４７において通信データの異常を検知した場合に、異常対策リスト４５から対策方法を選択し実行する機能を有する。通信監視部４２、状態取得部４３、判定方法設定部４４は第１実施形態または第２実施形態または第３実施形態と同様の機能を有する。
【００８１】
異常対策リスト４５は状態取得部４３が取得する自車状態、または、通信判定部４７において異常を検知した通信データの内容に対応した対策方法のリストを有する。対策実行部４６は異常対策リスト４５に登録されている異常対策方法の中から、自車状態、または、通信判定部４７において異常を検知した通信データの内容に対応した対策方法を選択し実行する機能を有する。
【００８２】
図１５を用いて車載ネットワーク装置４１の詳細な処理フローについて説明する。通信監視部４２は、第１実施形態、第２実施形態、第３実施形態のいずれかの処理フローに従って、通信データに異常があるか否かの判定を行う（処理Ｓ１５０１）。通信データに異常を検知した場合には、異常検知時の自車状態と異常を検知した通信データの内容に対応した、対策方法が異常対策リスト４５にあるか否かを判定する（処理Ｓ１５０２）。異常対策リスト４５に対策方法がある場合にはその対策方法を選択し実行する（処理Ｓ１５０３）。異常対策リスト４５に適切な対策方法が無い場合にはエラー処理を実行する（処理Ｓ１５０４）。エラー処理として例えば、上位システムに異常を通知する、異常対策リスト４５に新たな対策方法を登録するなどの方法がある。また、予め該当する条件が無い場合の対策方法を異常対策リスト４５に登録しておき、その対策方法をエラー処理として実行しても良い。
【００８３】
異常対策リスト４５および異常対策方法の例について図１６を用いて説明する。まず、図１６（ａ）は第１実施形態に関連する異常対策リスト４５の例である。例えば、自車状態および異常を検知したデータのネットワーク種別４０３、送信元５０３、送信先５０４に対応した対策方法を登録する。対策方法１６０２の例として、異常通知、減速、停止、自動運転解除、ネットワーク切断、ログ保存などがあげられるが、本例に記載する以外の対策を新たに登録しても良い。また、対策方法１６０２には識別情報として例えば対策ＩＤ１６０３を付与し、複数の対策方法１６０２を組合せた対策方法１６０２を登録しても良い。
【００８４】
図１６（ｂ）は第２実施形態に関連する異常対策リスト４５の例である。例えば、自車状態１６０１と異常を検知したフィルタ種類１６０５に対応した対策方法１６０２を登録する。図１６（ｃ）は第３実施形態に関連する異常対策リスト４５の例である。例えば、自車状態１６０１と異常を検知したデータのグループＩＤ１３０４またはデータＩＤ１３０１または判定固有情報１６０７などに対応した対策方法１６０２を登録する。図１６に示す異常対策リスト４５の項目や形式は本例に限定するものではない。また複数の異常対策リスト４５を同時または切換えて利用しても良い。
【００８５】
以上のように、本実施形態によれば、通信データにおける異常を検知した際に、自車状態に対応した適切な異常対策を実行する事が可能である。
【符号の説明】
【００８６】
１，２１，３１，４１  車載ネットワーク装置
２，２２，３２，４２  通信監視部
３，２３，３３，４３  状態取得部
４，２４，３４，４４  判定方法設定部
５  ＥＣＵ
６  ネットワーク
７，２７，３７，４７  通信判定部
２５  フィルタ選択部
２６  フィルタリスト
２８  フィルタ段数設定部
２９  フィルタ更新部
３５  監視グループリスト
３６  グループ判定方法設定部
３８  監視グループ設定部
３９  監視データリスト
４５  異常対策リスト
４６  対策実行部
４０１  データ種別
４０２  ネットワーク領
４０３  ネットワーク種別
４０４  制御状態
４０５  走行状態
４０６  停止状態
４０７  リプロ状態
５０１，９０１，１３０１  データＩＤ
５０２  データ名
５０３  送信元
５０４  送信先
５０５  伝送方式
５０６  通信方式
５０７  自動運転状態
５０８  マニュアル運転
５０９  ＡＣＣ
５１０  先導車追従
５１１  自動駐車
８００  フィルタ設定情報
８０１  自車状態
８０２  フィルタ
８０３  対象データリスト
８０４  フィルタ種類
９０２，１３０３  周期
９０３，１３０２  データサイズ
１３０４  グループＩＤ
１３０５，１３０６，１６０７  判定固有情報
１３０８  優先度
１３０９  判定方法
１６０１  自車状態
１６０２  対策方法
１６０３  対策ＩＤ
【図１】
0006531011.tif 000002
【図２】
0006531011.tif 000003
【図３】
0006531011.tif 000004
【図４】
0006531011.tif 000005
【図５】
0006531011.tif 000006
【図６】
0006531011.tif 000007
【図７】
0006531011.tif 000008
【図８】
0006531011.tif 000009
【図９】
0006531011.tif 000010
【図１０】
0006531011.tif 000011
【図１１】
0006531011.tif 000012
【図１２】
0006531011.tif 000013
【図１３】
0006531011.tif 000014
【図１４】
0006531011.tif 000015
【図１５】
0006531011.tif 000016
【図１６】
0006531011.tif 000017