(57)【要約】【課題】より簡便な構成により、ネットワークにおける不正行為から制御装置を守ることができる通信システム、送信装置、及び通信方法を提供する。【解決手段】通信システムは、ネットワークに対しメッセージを送信する順を定める優先度が付与部により付与され、前記付与されたメッセージのうち、より高い優先度が付与されたメッセージから順に前記ネットワークに送信する制御部を有する複数の送信装置を備え、前記制御部のうち少なくとも一部は、前記付与部により優先度が付与されたメッセージのうち最も高い優先度でない所定の優先度が付与されたメッセージが、所定時間に亘って前記ネットワークに送信されていない場合に、前記ネットワークに不正行為が生じていると判定する。【選択図】図１
2017085197.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに対しメッセージを送信する順を定める優先度が付与部により付与され、前記付与されたメッセージのうち、より高い優先度が付与されたメッセージから順に前記ネットワークに送信する制御部を有する複数の送信装置を備え、
前記制御部のうち少なくとも一部は、前記付与部により優先度が付与されたメッセージのうち最も高い優先度でない所定の優先度が付与されたメッセージが、所定時間に亘って前記ネットワークに送信されていない場合に、前記ネットワークに不正行為が生じていると判定する、
通信システム。
【請求項２】
前記制御部は、
前記付与部により前記所定の優先度を付与したモニタメッセージを生成し、前記ネットワークに送信しようとする、
請求項１記載の通信システム。
【請求項３】
メッセージ記憶部を更に備え、
前記制御部は、
前記付与部により優先度が付与されたメッセージを前記メッセージ記憶部に記憶させると共に、メッセージの送信に応じて前記メッセージ記憶部に記憶させた記憶したメッセージを消去し、
前記所定の優先度が付与されたメッセージが、所定の時間に亘って前記メッセージ記憶部に記憶され続けている場合に、前記所定のメッセージが、前記所定時間に亘って送信されていないと判断する、
請求項１または２記載の通信システム。
【請求項４】
前記制御部は、
前記メッセージ記憶部に、前記所定の優先度を示す識別情報が付加されたメッセージが記憶されているかを繰り返し判定し、前記判定において前記メッセージが記憶されていると判定した回数が所定回数を超えた場合に、前記所定のメッセージが、所定の時間に亘って前記メッセージ記憶部に記憶されていると判断する、
請求項３記載の通信システム。
【請求項５】
前記制御部は、
前記所定の優先度が付与されたメッセージが、所定時間に亘って送信されていないと判断した場合に、前記ネットワークに輻輳が生じていると判定する、
請求項１から請求項４の何れか１項記載の通信システム。
【請求項６】
前記制御部は、
前記所定の優先度が付与されたメッセージが、所定時間に亘って送信されていないと判断した場合に、不正な装置によるＤｏＳ攻撃が生じていると判定する、
請求項１から請求項４の何れか１項記載の通信システム。
【請求項７】
前記所定の優先度は、前記付与部により付与可能な最も低い優先度である、
請求項１から請求項６の何れか１項記載の通信システム。
【請求項８】
前記所定の優先度は、前記付与部により付与可能な優先度のうち基準優先度以下の優先度である、
請求項１から請求項６の何れか１項記載の通信システム。
【請求項９】
ネットワークに対しメッセージを送信する順を定める優先度が付与部により付与され、前記付与されたメッセージのうち、より高い優先度が付与されたメッセージから順に前記ネットワークに送信する制御部を有する送信装置であって、
前記制御部は、前記付与部により優先度が付与されたメッセージのうち最も高い優先度でない所定の優先度が付与されたメッセージが、所定時間に亘って前記ネットワークに送信されていない場合に、前記ネットワークに不正行為が生じていると判定する、
送信装置。
【請求項１０】
ネットワークに対してメッセージを送信する順を定める優先度を、前記メッセージに付与し、
前記優先度が付与されたメッセージのうち、より高い優先度が付与されたメッセージから順に前記ネットワークに送信し、
前記優先度が付与されたメッセージのうち最も高い優先度でない所定の優先度が付与されたメッセージが、所定時間に亘って前記ネットワークに送信されていない場合に、前記ネットワークに不正行為が生じていると判定する、
通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システム、送信装置、及び通信方法に関する。
【背景技術】
【０００２】
近年、車両内に設けた複数の制御装置同士が車両内のネットワークを介して通信し、車両における各種機能を制御するための通信システムがある。このような通信システムにおいて、ネットワークにおける不正行為がなされた際に、その影響を低減させるための技術が知られている（例えば、特許文献１参照。）。この技術では、通信メッセージの受信間隔が適正な受信間隔よりも短いとき、その監視する通信メッセージの通信状態に異常が生じていると判断する。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１４−１８７４４５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、特許文献１によれば、受信される通信メッセージ全てについて、通信メッセージの受信間隔を監視しなければならず、上記の監視のための処理が煩雑になる。また、不正装置によりＤｏＳ（Denial of Service）攻撃が行われている場合など、通信メッセージを受信する通信処理の負荷が過度に高められていると、通信メッセージの受信間隔を監視する処理を行うことは尚のこと煩雑になるという問題がある。
本発明は、このような事情を考慮してなされたものであり、より簡便な構成により、ネットワークにおける不正な行為から制御装置を守ることができる通信システム、送信装置、及び通信方法を提供することを目的の一つとする。
【課題を解決するための手段】
【０００５】
請求項１記載の発明は、ネットワーク（ＮＷ）に接続され、メッセージ（フレームＦ）を送信する順を定める優先度が付与部（通信制御部３４）により付与され、前記付与されたメッセージのうち、より高い優先度が付与されたメッセージから順に前記ネットワークに送信する制御部（制御部３０）を有する複数の送信装置（ＥＣＵ１０）を備え、前記制御部のうち少なくとも一部は、前記付与部により優先度が付与されたメッセージのうち最も高い優先度でない所定の優先度が付与されたメッセージ（モニタフレームＭ）が、所定時間に亘って前記ネットワークに送信されていない場合に、前記ネットワークに不正行為が生じていると判定する、通信システム（車両用通信システム１）である。
【０００６】
請求項２記載の発明における前記制御部は、前記付与部により前記所定の優先度を付与したモニタメッセージを生成し、前記ネットワークに送信しようとする。
【０００７】
請求項３記載の発明は、メッセージ記憶部を更に備え、前記制御部は、前記付与部により優先度が付与されたメッセージを前記メッセージ記憶部に記憶させると共に、メッセージの送信に応じて前記メッセージ記憶部に記憶させた記憶したメッセージを消去し、前記所定の優先度が付与されたメッセージが、所定の時間に亘って前記メッセージ記憶部に記憶され続けている場合に、前記所定のメッセージが、前記所定時間に亘って送信されていないと判断する。
【０００８】
請求項４記載の発明の前記制御部は、前記メッセージ記憶部に、前記所定の優先度を示す識別情報が付加されたメッセージが記憶されているかを繰り返し判定し、前記判定において前記メッセージが記憶されていると判定した回数が所定回数を超えた場合に、前記所定のメッセージが、所定の時間に亘って前記メッセージ記憶部に記憶されていると判断する。
【０００９】
請求項５記載の発明の前記制御部は、前記所定の優先度が付与されたメッセージが、所定時間に亘って送信されていないと判断した場合に、前記ネットワークに輻輳が生じていると判定する。
【００１０】
請求項６記載の発明の前記制御部は、前記所定の優先度が付与されたメッセージが、所定時間に亘って送信されていないと判断した場合に、不正な装置によるＤｏＳ攻撃が生じていると判定する。
【００１１】
請求項７記載の発明における前記所定の優先度は、前記付与部により付与可能な最も低い優先度である。
【００１２】
請求項８記載の発明における前記所定の優先度は、前記付与部により付与可能な優先度のうち基準優先度以下の優先度である。
【００１３】
請求項９記載の発明は、ネットワーク（ＮＷ）に接続され、メッセージ（フレームＦ）を送信する順を定める優先度が付与部（通信制御部３４）により付与され、前記付与されたメッセージのうち、より高い優先度が付与されたメッセージから順に前記ネットワークに送信する制御部（制御部３０）を有する送信装置（ＥＣＵ１０−２）であって、前記制御部は、前記付与部により優先度が付与されたメッセージのうち最も高い優先度でない所定の優先度が付与されたメッセージ（モニタフレームＭ）が、所定時間に亘って前記ネットワークに送信されていない場合に、前記ネットワークに不正行為が生じていると判定する、送信装置である。
【００１４】
請求項１０記載の発明は、ネットワーク（ＮＷ）に対してメッセージを送信する順を定める優先度を、前記メッセージに付与し、前記優先度が付与されたメッセージのうち、より高い優先度が付与されたメッセージから順に前記ネットワークに送信し、前記優先度が付与されたメッセージのうち最も高い優先度でない所定の優先度が付与されたメッセージ（モニタフレームＭ）が、所定時間に亘って前記ネットワークに送信されていない場合に、前記ネットワークに不正行為が生じていると判定する、通信方法である。
【発明の効果】
【００１５】
請求項１から請求項１０に記載の発明によれば、ネットワークに対しメッセージを送信する順を定める優先度が付与部により付与されたメッセージのうち、より高い優先度が付与されたメッセージから順に前記ネットワークに送信する制御部を有する複数の送信装置を備え、前記制御部のうち少なくとも一部は、前記付与部により優先度が付与されたメッセージのうち最も高い優先度でない所定の優先度が付与されたメッセージが、所定時間に亘って前記ネットワークに送信されていない場合に、前記ネットワークに不正行為が生じていると判定することにより、より簡便な構成により、ネットワークにおける不正な行為から制御装置を守ることができる。
【図面の簡単な説明】
【００１６】
【図１】実施形態の車両用通信システム１の構成を示す図である。
【図２】ＥＣＵ１０の構成例を示す図である。
【図３】ＥＣＵ１０がバス２に送信するフレームＦの形式例である。
【図４】ＥＣＵ１０における通信障害検出処理の一例を示すフローチャートである。
【図５】ネットワークＮＷにおいて通信障害が発生している場合の車両用通信システム１の動作を示す図である。
【図６】第１の変形例のＥＣＵ１０により実行される通信障害検出処理のフローチャートの一例である。
【図７】第２の変形例のＥＣＵ１０により実行される通信障害検出処理のフローチャートの一例である。
【図８】第３の変形例のＥＣＵ１０により実行される通信障害検出処理のフローチャートの一例である。
【発明を実施するための形態】
【００１７】
以下、図面を参照し、本発明の通信システム、送信装置、及び通信方法の実施形態について説明する。
【００１８】
＜実施形態＞
図１は、本実施形態の車両用通信システム１（通信システム）の構成を示す図である。車両用通信システム１は、例えば車両に搭載される。車両用通信システム１は、少なくとも車両内にネットワークＮＷを構成する。ネットワークＮＷでは、例えば、バス２を介してＣＡＮ（Controller Area Network）に基づく通信が行われる。
【００１９】
車両用通信システム１は、バス２に接続されたＥＣＵ１０−１からＥＣＵ１０−３を備える。以下、ＥＣＵ１０−１からＥＣＵ１０−３を区別しない場合は、単にＥＣＵ１０（送信装置）と表記する。バス２は、例えば、ツイストペアケーブルであり、差動電圧方式によって信号を伝達する。ＥＣＵ１０−１からＥＣＵ１０−３等の装置は、共通のバス２に接続されたものとして説明するが、不図示の中継装置等により互いに通信可能に接続された異なるバスに接続されていてもよい。
【００２０】
ＥＣＵ１０は、例えばエンジンを制御するエンジンＥＣＵや、シートベルトを制御するシートベルトＥＣＵ等である。ＥＣＵ１０は、自装置が所属するネットワークＮＷに送信されたフレームを受信する。以下、ネットワークＮＷに送信される各フレームのことをフレームＦという。フレームＦは、それぞれに附された識別子（以下、ＩＤという。）により識別される。ＥＣＵ１０は、受信したフレームＦに附されたＩＤ（以下、受信ＩＤという）を参照して、受信したフレームＦのうちから、自ＥＣＵ１０に係るフレームＦを識別するＩＤ（以下、登録ＩＤという）を記憶部２０（図２）に格納しておき、登録ＩＤと同じ値の受信ＩＤが附されたフレームを抽出して取得する。また、ＥＣＵ１０は、例えば、自ＥＣＵ１０の登録ＩＤと同じ値の受信ＩＤを含むフレームＦを受信したことを条件として、予め設定された優先度に応じてフレームをバス２に送信する。
【００２１】
ネットワークＮＷには、検証装置等の外部装置が接続されるＤＬＣ３が設けられている。ＤＬＣ３は、外部装置と通信するための接続端子を有している。車両の点検時等にＤＬＣ３に接続される検証装置等は、バス２に接続されたＥＣＵ１０と通信して、車両用通信システム１の状態を検査・検証する。車両の点検時等を除けば、ＤＬＣ３に検証装置等を接続することなく、車両用通信システム１を機能させることができる。
【００２２】
このネットワークＮＷに送信される各フレームＦにはそれぞれ優先度が設定されており、車両用通信システム１では、優先度が高いフレームＦから送信されるように優先度制御が行われる。
【００２３】
図２は、ＥＣＵ１０の構成例を示す図である。ＥＣＵ１０は、例えば、記憶部２０と、制御部３０と、ＣＡＮコントローラ３６と、ＣＡＮトランシーバ３８とを備える。制御部３０は、例えば、ＣＰＵ（Central Processing Unit）等のプロセッサを有する。
【００２４】
記憶部２０は、例えば、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable and Programmable Read Only Memory）、ＨＤＤ（Hard Disk Drive）等の不揮発性の記憶装置と、ＲＡＭ（Random Access Memory）、レジスタ等の揮発性の記憶装置によって実現される。記憶部２０は、アプリケーションプログラム２２や、通信制御プログラム２４等のプログラムと、上記のプログラムが参照する各種情報を格納する。また、記憶部２０は、送信バッファ２６２（メッセージ記憶部）と、受信バッファ２６４とを含む一時記憶領域２６を有する。送信バッファ２６２には、ＥＣＵ１０からフレームＦに含めて送信するメッセージが格納される。受信バッファ２６４には、ＥＣＵ１０が受信したフレームＦに含まれたメッセージが格納される。また、記憶部２０は、各種情報として、例えばネットワークＮＷを介して送受信するフレームＦのＩＤが格納されたＩＤテーブルを記憶する。例えば、フレームＦのＩＤは、送信元、宛先、フレームＦの種類等を示す情報を含む。より具体的には、ＩＤテーブルには、ＥＣＵ１０のそれぞれが個別に受信すべきフレームＦのＩＤとＥＣＵ１０のそれぞれが個別に送信すべきフレームＦのＩＤとが含まれる。また、記憶部２０には、ネットワークＮＷに送信されるフレームＦの送信スケジュールおよびフレームＦの優先度を示す情報である優先度情報が記憶されている。
【００２５】
アプリケーションプログラム２２は、ＥＣＵ１０にそれぞれ割り当てられた情報処理を行うためのプログラムである。例えば、アプリケーションプログラム２２は、車両に設けられた各種機能部を制御するためのプログラム、ネットワークＮＷを介する通信を中継するためのプログラム、ネットワークＮＷの通信を統制するためのプログラムなどを含むものであってもよい。通信制御プログラム２４は、アプリケーションプログラム２２または監視制御プログラム２５からの要求に応じてＣＡＮコントローラ３６を制御して通信処理を実施させるとともに、ＣＡＮコントローラ３６を介した通信に係る通信処理の結果を管理情報として取得するためのプログラムである。通信制御プログラム２４は、ＣＡＮコントローラ３６自身が実行する制御プログラムを含めて構成してもよく、或いは、ＣＡＮコントローラ３６自身が実行する制御プログラムをＣＡＮコントローラ３６が有する場合には、ＣＡＮコントローラ３６自身が実行する制御プログラムを含まずに構成してもよい。以下の説明では、通信制御プログラム２４は、ＣＡＮコントローラ３６の制御プログラムを含めて構成した場合を例示する。通信制御プログラム２４は、監視制御部３５からの要求に応じて通信状態を管理するための処理を含む。監視制御プログラム２５は、通信状態を管理するためのプログラムであり、通信障害検出処理のプログラムを含む。通信障害検出処理の詳細については後述する。
【００２６】
制御部３０は、中央制御部３２と、通信制御部３４（付与部）と、監視制御部３５とを備える。中央制御部３２は、アプリケーションプログラム２２を実行することにより機能し、ＥＣＵ１０に与えられた制御を実行する。中央制御部３２は、ＥＣＵ１０からメッセージ等を送信する場合、送信するメッセージ等を含む情報を一時記憶領域２６の送信バッファ２６２に格納して、通信制御部３４に送信要求を通知する。中央制御部３２は、他のＥＣＵ１０等からメッセージ等を受信する場合、通信制御部３４からメッセージ等の受信があったことの通知を受け、一時記憶領域２６の送信バッファ２６２に格納された情報を取得する。
【００２７】
通信制御部３４は、通信制御プログラム２４を実行することにより機能し、中央制御部３２からの制御を受けＥＣＵ１０の通信処理を実行する。通信制御部３４は、ＣＡＮトランシーバ３８を介して受信されたフレームＦの受信ＩＤとＩＤテーブルに格納された登録ＩＤとを参照し、受信されたフレームＦに関して自装置の中央制御部３２が使用する情報が含まれたフレームＦであるか否かを判定する。通信制御部３４は、上記の判定を実施する際に、例えば、ＩＤテーブルにおける登録受信ＩＤを利用する。
【００２８】
通信制御部３４は、自ＥＣＵ１０が使用する情報がフレームＦに含まれる場合、フレームＦに含まれた情報（メッセージ等）を取得し、記憶部２０の一時記憶領域２６の受信バッファ２６４に格納する。一方、通信制御部３４は、自ＥＣＵ１０が使用する情報がフレームＦに含まれていない場合、例えば、フレームＦに含まれた情報を破棄するように制御する。
【００２９】
通信制御部３４は、ＣＡＮコントローラ３６にＣＡＮトランシーバ３８からフレームＦを送信させる。例えば通信制御部３４は、自装置がフレームＦを送信することを示すＩＤが付されたフレームＦ（要求フレーム）をバス２に送信し、送信された要求フレームを受信した場合に、一時記憶領域２６の送信バッファ２６２に格納されているメッセージを、自装置が送信することを示すＩＤを含めたフレームＦ（応答フレーム）に含めてバス２に送信する。なお、通信制御部３４は、優先度を付与したフレームＦを送信バッファ２６２に記憶させると共に、フレームＦの送信に応じて送信バッファ２６２に記憶させたフレームを消去する。
【００３０】
監視制御部３５は、監視制御プログラム２５を実行することにより機能する。監視制御部３５は、ネットワークＮＷにおける通信状態、及び、ＥＣＵ１０における通信状態を定期的に監視する通信障害検出処理を実行して、ネットワークＮＷにおける通信障害の発生状況を管理する。監視制御部３５による通信障害検出処理の詳細については後述する。
【００３１】
ＣＡＮコントローラ３６は、ＣＡＮトランシーバ３８を介して、バス２との間で種々のフレームＦを送受信する。ＣＡＮコントローラ３６は、バス２にフレームＦを送信する際には、一時記憶領域２６の送信バッファに格納されたフレームＦを、例えばＮＲＺ（Non‐Return‐to‐Zero）方式でシリアルの送信信号に変換し、ＣＡＮトランシーバ３８に出力する。ＣＡＮコントローラ３６は、変換後の信号が「０」（ドミナント）のビットには論理レベルがLowの電圧を出力し、「１」（レセシブ）のビットには論理レベルがHighの電圧を出力する。また、ＣＡＮコントローラ３６は、ＣＡＮトランシーバ３８からフレームＦを受信する際には、ＣＡＮトランシーバ３８から供給される受信信号からフレームＦを抽出して、抽出したフレームＦを一時記憶領域２６の受信バッファ２６４に格納する。ＣＡＮコントローラ３６は、フレームＦにおける誤り検出処理を実行する誤り検出処理部（不図示）を含む。誤り検出処理部は、フレームＦを送信する際には、フレームＦの一部に含めて送信させる所定の誤り検出符号を生成する。誤り検出処理部は、フレームＦを受信する際には、フレームＦの一部に含まれた誤り検出情報の検出の結果を出力する。
【００３２】
ＣＡＮトランシーバ３８は、フレームＦを送信する送信部、またはフレームＦを受信する受信部として機能する。ＣＡＮトランシーバ３８は、バス２にフレームＦを送信する際には、ＣＡＮコントローラ３６から取得した送信信号の論理状態に応じた差動電圧を生成してバス２に出力する。また、ＣＡＮトランシーバ３８は、バス２からフレームＦを取得する際には、バス２の差動電圧から所定の電圧範囲に含まれるように整形した受信信号を生成して、ＣＡＮコントローラ３６に送信する。上記の受信信号を受けたＣＡＮコントローラ３６は、上記の受信信号からフレームＦを抽出して記憶部２０に格納する。
【００３３】
以上に示すように、各ＥＣＵ１０は、上記の通信処理に関する共通の構成を有する。
【００３４】
図３は、ＥＣＵ１０がバス２に送信するフレームＦの形式例である。図３（ａ）に、１回の送信において送信されるフレームＦを示す。フレームＦは、フレームＦの開始を表すスタートオブフレーム（ＳＯＦ）、フレームＦのＩＤ及びフレームＦとリモートフレームを識別するためのリモートトランスミッションリクエスト（ＲＴＲ）を含むアービトレーションフィールド、フレームＦのバイト数等を表すコントロールフィールド、転送するフレームＦの実体であるデータフィールド、フレームＦの誤りを検出するための誤り検出符号（ＣＲＣ）を付加するＣＲＣフィールド、正しいフレームＦを受信したユニットからの通知（ＡＣＫ）を受けるＡＣＫスロット及びＡＣＫデリミタ、フレームＦの終了を表すエンドオブフレーム（ＥＯＦ）等を含む。
ＥＣＵ１０は、フレームＦのデータフィールド内の所定の位置にユーザデータを割り付けて通信する。
【００３５】
続いて、車両用通信システム１の通信障害検出処理について説明する。
【００３６】
（通信障害検出処理の概要）
本実施形態の車両用通信システム１は、ネットワークＮＷにおける通信の輻輳を招く通信障害を検出する通信障害検出処理を実施する。なお、通信障害検出処理は、ネットワークＮＷに接続される、ネットワークＮＷの通信を仲介するゲートウェイ装置、ネットワークＮＷの通信を統制する統合制御装置やサーバー装置などの装置が備える制御部が実行してもよい。上記のゲートウェイ装置、統合制御装置、サーバー装置などの装置は、ＥＣＵ１０の一態様である。以降の説明では、ＥＣＵ１０が通信障害検出処理を実行する例を示す。
【００３７】
ネットワークＮＷにおける通信の輻輳を招く通信障害が発生すると、各ＥＣＵ１０からバス２に送信するフレームＦの送信が滞る。通信の輻輳が継続している間、各ＥＣＵ１０が送信を要求したフレームＦを送信できずに送信バッファ２６２に滞留する。ただし、各ＥＣＵ１０の制御部３０等が正常に機能している状態では、ネットワークＮＷにおける通信の輻輳を招く確率は極めて低く、また、その輻輳が継続することはほとんど生じない。
【００３８】
ここでは、正当な外部装置ではないノード５０(図１)がＤＬＣ３に接続された場合を例示する。ノード５０は、ネットワークＮＷにおける不正な行為として、なりすまし、ＤｏＳ（Denial of Service）攻撃、不正アクセス等を実施する。例えば、ノード５０は、車両の走行時等に活性化して上記の不正な行為を実施する。このようなノード５０による不正な行為は、車両用通信システム１の処理に影響を及ぼすものになる。
【００３９】
例えば、ノード５０によるＤｏＳ攻撃は、ネットワークＮＷにおける通信の輻輳を招く要因になる。ＤｏＳ攻撃は、通信障害を発生させて通信システムの機能を低下させることを目的に実施されることから、その攻撃が継続する場合が多い。なお、ノード５０は、ＤｏＳ攻撃のフレームを特定のＥＣＵ１０に送信するため、自装置が正当なＥＣＵ１０であるかのようにフレームに附すＩＤを偽装して、正当なＥＣＵ１０になりすまして上記フレームを送信することが有る。
【００４０】
ネットワークＮＷにおける通信の輻輳が生じた場合、下記する要因等により各ＥＣＵ１０が要求するフレームＦを送信できず、送信前のフレームＦのデータが送信バッファ２６２に滞留する。ＥＣＵ１０がフレームＦを送信できなくなる要因には、下記の要因が含まれる。
（１）フレームＦを送信するタイミングが他の通信の送信タイミングに重なり、バス２上でフレームの衝突（コリージョン）が生じて、ＥＣＵ１０がフレームＦの送信に失敗すること。
（２）フレームＦの優先度より高い優先度が設定された他のフレームと、フレームＦが競合して、ＥＣＵ１０が要求するフレームＦの送信が待機状態になること。
【００４１】
そこで、本実施形態の車両用通信システム１は、周期的にネットワークＮＷの通信状態を検出する通信障害検出処理を実施することにより、ネットワークＮＷに生じた通信の輻輳による通信障害を検出する。上記の通信障害が検出された場合、車両用通信システム１は、ＤｏＳ攻撃等のようなネットワークＮＷにおける不正な行為が実施された可能性が高いと判定する。
【００４２】
なお、ＥＣＵ１０は、通信障害検出処理をそれぞれ実施することができる。車両用通信システム１は、通信障害検出処理を実施する少なくとも１台のＥＣＵ１０を有するものであってもよい。以下の説明では、ＥＣＵ１０−２が通信障害検出処理を実施する場合を例示する。
【００４３】
（モニタフレームＭと優先度制御を利用した通信について）
車両用通信システム１における各ＥＣＵ１０は、優先度制御により送信タイミングを調整することで、通信の衝突（コリージョン）を回避しつつ通信する。
【００４４】
ＥＣＵ１０−２の監視制御部３５は、送信の優先度を設定した状態監視用のモニタフレームＭ（モニタメッセージ）を利用して、通信障害検出処理を実施する。状態監視用のモニタフレームＭも、他の通信のフレームＦと同様の方法で優先度制御による送信タイミングの調整が行われる。
【００４５】
監視制御部３５は、モニタフレームＭの優先度を、例えば下記の何れかに決定し、決定した優先度を示すＩＤをモニタフレームＭに付与して、監視制御部３５から送信させる。
【００４６】
（１）監視制御部３５は、モニタフレームＭの優先度を、通信に利用する優先度として通信制御部３４が付与可能な優先度で最も低い優先度に決定する。
【００４７】
（２）監視制御部３５は、モニタフレームＭの優先度を、モニタフレームＭの通信と異なる通信に利用する優先度として通信制御部３４が付与可能な優先度のうちで所定の優先度（基準優先度）よりも低い優先度に決定する。例えば、監視制御部３５は、バス２を介した他の通信に利用する優先度のうち最も低い優先度より低い優先度に決定する。
（３）監視制御部３５は、モニタフレームＭの優先度を、通信に利用する優先度として通信制御部３４が付与可能な優先度で最も高い優先度でない所定の優先度に決定する。
【００４８】
監視制御部３５は、上記の何れかにモニタフレームＭの優先度を設定することにより、モニタフレームＭの送信が他の通信に影響を与えることなく、通信障害の発生を検出できる。特に、上記の（１）に従って優先度を決定した場合には、上記（２）または（３）に従って優先度を決定した場合より通信障害の検出の信頼度が高くなる。
【００４９】
例えば、ＥＣＵ１０−２が付与する優先度のうちで最も低い優先度にモニタフレームＭの優先度が付与されている場合、通信制御部３４は、モニタフレームＭ以外の通信を優先させるため、下記の場合にモニタフレームＭの送信を保留する。モニタフレームＭの送信を保留する場合には、モニタフレームＭの優先度α１より高い優先度α２が設定されたフレームＦが、ＥＣＵ１０−２が送信を要求するフレームの中に存在している場合、或いは、ＥＣＵ１０−２以外の何れかのＥＣＵ１０が送信を要求するフレームの中に存在している場合などが含まれる。
【００５０】
本実施形態の以下の説明では、制御部３０が、通信制御部３４により付与可能な最も低い優先度を付与したモニタフレームＭを生成し、ネットワークＮＷに送信しようとする場合の一例について説明する。
【００５１】
（優先度制御を利用した通信障害の検出について）
車両用通信システム１におけるＥＣＵ１０−２は、例えば、監視制御部３５による処理によって、上記の優先度α１の優先度に設定されたモニタフレームＭを所定の周期Ｔで繰り返し送信する。ネットワークＮＷに通信障害が生じていなければ、モニタフレームＭの送信が滞ることはない。つまり、監視制御部３５が（ｋ−１）回の処理で送信するように指令したモニタフレームＭ（ｋ）は、今回（ｋ回）の処理で、（ｋ＋１）回の処理のためのモニタフレームＭ（ｋ＋１）を送信するように指令するまでにＥＣＵ１０−２から送信される。上記のｋは、繰り返し回数を示す。
【００５２】
そこで、監視制御部３５は、送信を指令したモニタフレームＭ（ｋ）が送信されたか否かを、モニタフレームＭ（ｋ＋１）の送信を指令するまでに検出する。監視制御部３５は、モニタフレームＭ（ｋ）が送信されたか否かの送信状況の検出を、送信バッファ２６２の状態を検出して実施する。送信バッファ２６２に未送信データがなく空であれば、通信障害が発生しておらず、送信バッファ２６２に未送信データがあって空でなければ、通信障害が発生している可能性が有ると判定する。
【００５３】
このように、監視制御部３５は、上記のモニタフレームＭを用いることで、複数のＥＣＵ１０のうち少なくとも１つのＥＣＵ１０、例えばＥＣＵ１０−２が優先度を付与したモニタフレームＭが、所定時間に亘って送信されていないと判断した場合に、ネットワークＮＷに不正行為が生じていると判定する。
【００５４】
なお、各ＥＣＵ１０の送信要求は、互いに独立して発生することから、複数のＥＣＵ１０の送信要求が集中した期間に、ＥＣＵ１０−２がモニタフレームＭを送信するタイミングに一致することもあり得る。そこで、監視制御部３５は、モニタフレームＭ（ｋ）が送信されていない状況が継続している場合に、通信障害と検出するように判定の条件を追加する。以上の判定を追加して実施することにより、ＥＣＵ１０−２は、ネットワークＮＷに生じた通信障害の検出の精度を高めることができる。
【００５５】
また、監視制御部３５は、上記のモニタフレームＭを、上記の所定の周期Ｔに対応するタイミングで一時記憶領域２６の送信バッファ２６２に設定して、通信制御部３４の制御によりＣＡＮコントローラ３６に送信させるようにしてもよい。
【００５６】
図４は、ＥＣＵ１０における通信障害検出処理の一例を示すフローチャートである。以下、通信障害検出処理の一例を示す。通信障害検出処理は、例えば所定の周期Ｔで繰り返し実施される。
【００５７】
監視制御部３５は、送信バッファ２６２の空状況を検出する（Ｓ１０）。監視制御部３５は、送信バッファ２６２に最も優先度が低い未送信データが有るか否かを判定する（Ｓ１２）。
【００５８】
Ｓ１２において、送信バッファ２６２に最も優先度が低い未送信データがないと判定した場合（Ｓ１２：Ｎｏ）、監視制御部３５は、通信障害が発生していない状態にあり、即ち不正な装置によるＤｏＳ（Denial of Service）攻撃がなされていないと判定し、次の回の判定の対象にするモニタフレームＭ（ｋ＋１）に最も低い優先度を付与して送信するための処理を実施する（Ｓ１４）。例えば、監視制御部３５は、次のモニタフレームＭ（ｋ＋１）を送信バッファ２６２に書き込んで、通信制御部３４にモニタフレームＭ（ｋ＋１）の送信要求を通知する。上記の処理を実施した後、監視制御部３５は、図示する一連の手順の処理を終える。
【００５９】
Ｓ１２において、送信バッファ２６２に最も優先度が低い未送信データがあると判定した場合（Ｓ１２：Ｙｅｓ）、監視制御部３５は、ネットワークＮＷに通信障害が発生していて、前回の処理で送付したモニタフレームＭ（ｋ）が送信されずに送信バッファに２６２に滞留している可能性が高いと判定する。
【００６０】
次に、監視制御部３５は、送信バッファ２６２に最も優先度が低い未送信データが記憶されている状態が所定時間に亘って継続しているか否かを判定する（Ｓ１６）。例えば、上記の所定の時間は、周期ＴのＮ倍に予め設定されている。Ｎの値は自然数とする。
【００６１】
Ｓ１６において、送信バッファ２６２に最も優先度が低い未送信データが記憶されている状態が所定時間に亘って継続していないと判定した場合（Ｓ１６：Ｎｏ）、監視制御部３５は、次回の通信障害検出処理に備え、図示する一連の手順の処理を終える。
【００６２】
一方、Ｓ１６において、送信バッファ２６２に最も優先度が低い未送信データが記憶されている状態が所定時間に亘って継続していると判定した場合（Ｓ１６：Ｙｅｓ）、監視制御部３５は、通信障害が発生していると判定し、即ち不正な装置によるＤｏＳ攻撃が生じていると判定する。監視制御部３５は、通信障害を招いたＤｏＳ攻撃に対するフェイルセーフ処理を実施する（Ｓ１８）。例えば、監視制御部３５は、通信障害に対するフェイルセーフ処理として、ＣＡＮコントローラ３６に対してバス２を介した通信の停止（ＢｕｓＯｆｆ）を指示して、バス２を介する通信を遮断する。監視制御部３５は、通信の停止（ＢｕｓＯｆｆ）の指示を、通信制御部３４を介してＣＡＮコントローラ３６に通知してもよく、或いは、直接ＣＡＮコントローラ３６に通知してもよい。監視制御部３５は、上記の処理を実施した後、図示する一連の手順の処理を終える。
【００６３】
図５を参照して、車両用通信システム１の動作についての説明を補足する。
図５は、ネットワークＮＷにおいて通信障害が発生している場合の車両用通信システム１の動作を示す図である。車両用通信システム１のネットワークＮＷにおいて、ノード５０からバス２に複数の不正なフレームが送信されている。ノード５０が送信するフレームＡは、例えば、ＥＣＵ１０−２などの特定のＥＣＵ１０を宛先にしているＩＤが附されたものである。図示する状況は、フレームＡの単位時間当たりの個数が、ＥＣＵ１０−２における通信処理により処理可能な個数を超えていて、いわゆるＤｏＳ攻撃が実施されている状況を示す。
【００６４】
例えば、ネットワークＮＷにおける特定のＥＣＵ１０（例えば、ＥＣＵ１０−２）がＤｏＳ攻撃を受けていると、ネットワークＮＷのトラフィック密度が高くなる。このような状況になった場合、ＥＣＵ１０−２をはじめとする各ＥＣＵ１０は、所望のフレームをバス２に送信できなくなる。
【００６５】
ネットワークＮＷに対する各フレームの送信は、優先度管理がなされており、モニタフレームＭを含む所望のフレームの送信が滞留する。ＥＣＵ１０−２においても同様に、送信すべきフレームが送信バッファ２６２に滞留する。ＥＣＵ１０−２の監視制御部３５は、送信バッファ２６２の空状態を所定の周期Ｔで検出して、フレームが送信されない状況、または、フレームが継続して送信されない状況を検出する。
【００６６】
上記の検出の結果により、車両用通信システム１は、ネットワークＮＷにおいて通信障害が発生していると判定し、所望のフェイルセーフ処理、検出結果の報知などを実施する。
【００６７】
以上に説明した、本実施形態の車両用通信システム１は、通信制御部２４と、制御部３０（監視制御部３５）とを備える複数のＥＣＵ１０を備える。通信制御部２４は、ネットワークＮＷに対しフレームＦを送信する順を定める優先度をフレームＦに付与する。制御部３０は、通信制御部２４により優先度が付与されたフレームＦのうち、より高い優先度が付与されたフレームＦから順にネットワークＮＷに送信する。制御部３０のうち少なくとも一部は、通信制御部２４は、通信制御部２４により優先度が付与されたフレームＦのうち最も低い優先度が付与されたモニタフレームＭが、所定時間に亘ってネットワークＮＷに送信されていない場合に、ネットワークＮＷに不正行為が生じていると判定することにより、より簡便な構成により、ネットワークにおける不正な行為から制御装置を守ることができる。
【００６８】
これにより、車両用通信システム１は、不正な行為の対象とされたＥＣＵ１０−２に不正な行為の影響がおよぶことを軽減し、より簡便な構成により、ＤｏＳ攻撃のようなネットワークＮＷにおける不正な行為からＥＣＵ１０を守ることができる。
【００６９】
このような車両用通信システム１におけるＥＣＵ１０−２は、ＥＣＵ１０−２が付加するＩＤのうちで最も低い優先度示すＩＤが付与されたフレーム（モニタフレームＭ）の送信状態を監視の対象にする。上記のように、モニタフレームＭの優先度を決定することにより、ＥＣＵ１０−２は、監視の対象を制限しても通信障害を発生させるＤｏＳ攻撃を漏れなく検出することができる。制御部３０の監視制御部３５による監視を実施する通信方法であれば、ＥＣＵ１０−２における送信状態を送信バッファ２６２の空状態を検出することで実現できる。そのため、受信処理の中で状態の検出を実施する必要が無く、受信処理と独立させて処理できる。このように、車両用通信システム１は、ＤｏＳ攻撃により受信処理による影響が出るような状況であっても、ネットワークＮＷにおける通信障害を検出できる。さらに上記の監視を実施する通信方法であれば、上記のＥＣＵ１０−２が付加するＩＤのうちで最も低い優先度を示すＩＤが付与されたフレーム（モニタフレームＭ）以外の送信状態を監視の対象に含まない。これにより、車両用通信システム１は、ネットワークＮＷにおける不正な行為を監視する処理の負荷を軽減できる。
以上の観点からも、本実施形態の車両用通信システム１は、より簡便な構成を用いて、ネットワークにおける不正行為からＥＣＵ１０を守ることができるものである。
【００７０】
＜実施形態の第１の変形例＞
上記の実施形態の第１の変形例について説明する。
上記の実施形態の車両用通信システム１によれば、図４に示すモニタフレームＭの送信要求処理（Ｓ１４）において、モニタフレームＭに付与する優先度を、通信に利用する優先度として通信制御部３４が付与可能な優先度で最も低い優先度にするものとして説明したが、これに代えて、本変形例の車両用通信システム１Ａは、以下に示すフローチャートの処理を実行してもよい。
【００７１】
車両用通信システム１Ａの通信制御部３４は、モニタフレームＭに付与する優先度を、モニタフレームＭの通信と異なる通信に利用する優先度として通信制御部３４が付与可能な優先度のうちで所定の優先度（以下、基準優先度という。）よりも低い優先度に変更してもよい。その場合、図４におけるＳ１２からＳ１６の処理を、下記するＳ１２ＡからＳ１６Ａの処理に変更する。
【００７２】
図６は、第１の変形例のＥＣＵ１０により実行される通信障害検出処理のフローチャートの一例である。ここでは、図４との共通処理については説明を省略し、相違点のみ説明する。
監視制御部３５は、送信バッファ２６２の空状況を検出する（Ｓ１０）。監視制御部３５は、送信バッファ２６２に基準優先度より優先度が低い未送信データが有るか否かを判定する（Ｓ１２Ａ）。
【００７３】
Ｓ１２Ａにおいて、送信バッファ２６２に基準優先度より優先度が低い未送信データがないと判定した場合（Ｓ１２Ａ：Ｎｏ）、監視制御部３５は、通信障害が発生していない状態にあり、即ち不正な装置によるＤｏＳ（Denial of Service）攻撃がなされていないと判定し、次の回の判定の対象にするモニタフレームＭ（ｋ＋１）に基準優先度より低い優先度を付与して送信するための処理を実施して（Ｓ１４Ａ）、監視制御部３５は、図示する一連の手順の処理を終える。
【００７４】
Ｓ１２Ａにおいて、送信バッファ２６２に基準優先度より優先度が低い未送信データがあると判定した場合（Ｓ１２Ａ：Ｙｅｓ）、監視制御部３５は、ネットワークＮＷに通信障害が発生していて、前回の処理で送付したモニタフレームＭ（ｋ）が送信されずに送信バッファに２６２に滞留している可能性が高いと判定する。
【００７５】
次に、監視制御部３５は、送信バッファ２６２に基準優先度より優先度が低い未送信データが記憶されている状態が所定時間に亘って継続しているか否かを判定する（Ｓ１６Ａ）。
【００７６】
Ｓ１６Ａにおいて、送信バッファ２６２に基準優先度より優先度が低い未送信データが記憶されている状態が所定時間に亘って継続していないと判定した場合（Ｓ１６Ａ：Ｎｏ）、監視制御部３５は、次回の通信障害検出処理に備え、図示する一連の手順の処理を終える。
【００７７】
一方、Ｓ１６Ａにおいて、送信バッファ２６２に基準優先度より優先度が低い未送信データが記憶されている状態が所定時間に亘って継続していると判定した場合（Ｓ１６Ａ：Ｙｅｓ）、監視制御部３５は、ＤｏＳ攻撃に対するフェイルセーフ処理を実施して（Ｓ１８）コントローラ３６コントローラ３６コントローラ３６、図示する一連の手順の処理を終える。
【００７８】
上記のとおり、変形例の車両用通信システム１Ａは、モニタフレームＭに付与する優先度を、基準優先度よりも低い優先度に変更して、上記の処理を実施することができる。これにより、変形例の車両用通信システム１Ａは、実施形態の車両用通信システム１と同様に、不正な行為の対象とされたＥＣＵ１０−２に不正な行為の影響がおよぶことを軽減し、より簡便な構成により、ＤｏＳ攻撃のようなネットワークＮＷにおける不正な行為からＥＣＵ１０を守ることができる。
【００７９】
＜実施形態の第２の変形例＞
上記の実施形態の第２の変形例について説明する。
上記の実施形態の車両用通信システム１によれば、図４に示すモニタフレームＭの送信要求処理（Ｓ１４）において、モニタフレームＭに付与する優先度を、通信に利用する優先度として通信制御部３４が付与可能な優先度で最も低い優先度にするものとして説明したが、これに代えて、本変形例の車両用通信システム１Ｂは、以下に示すフローチャートの処理を実行してもよい。
【００８０】
車両用通信システム１Ｂの通信制御部３４は、モニタフレームＭに付与する優先度を、モニタフレームＭの通信と異なる通信に利用する優先度として通信制御部３４が付与可能な優先度のうちで最も高い優先度と異なる優先度（以下、最も高い優先度と異なる優先度という。）より低い優先度に変更してもよい。その場合、図４におけるＳ１２からＳ１６の処理を、下記するＳ１２ＢからＳ１６Ｂの処理に変更する。
【００８１】
図７は、第２の変形例のＥＣＵ１０により実行される通信障害検出処理のフローチャートの一例である。ここでは、図４との共通処理については説明を省略し、相違点のみ説明する。
監視制御部３５は、送信バッファ２６２の空状況を検出する（Ｓ１０）。監視制御部３５は、送信バッファ２６２に最も高い優先度と異なる優先度より優先度が低い未送信データが有るか否かを判定する（Ｓ１２Ｂ）。
【００８２】
Ｓ１２Ｂにおいて、送信バッファ２６２に最も高い優先度と異なる優先度より優先度が低い未送信データがないと判定した場合（Ｓ１２Ｂ：Ｎｏ）、監視制御部３５は、通信障害が発生していない状態にあり、即ち不正な装置によるＤｏＳ（Denial of Service）攻撃がなされていないと判定し、次の回の判定の対象にするモニタフレームＭ（ｋ＋１）に最も高い優先度と異なる優先度を付与して送信するための処理を実施して（Ｓ１４Ｂ）、監視制御部３５は、図示する一連の手順の処理を終える。
【００８３】
Ｓ１２Ｂにおいて、送信バッファ２６２に最も高い優先度と異なる優先度より優先度が低い未送信データがあると判定した場合（Ｓ１２Ｂ：Ｙｅｓ）、監視制御部３５は、ネットワークＮＷに通信障害が発生していて、前回の処理で送付したモニタフレームＭ（ｋ）が送信されずに送信バッファに２６２に滞留している可能性が高いと判定する。
【００８４】
次に、監視制御部３５は、送信バッファ２６２に最も高い優先度と異なる優先度より優先度が低い未送信データが記憶されている状態が所定時間に亘って継続しているか否かを判定する（Ｓ１６Ｂ）。
【００８５】
Ｓ１６Ｂにおいて、送信バッファ２６２に最も高い優先度と異なる優先度より優先度が低い未送信データが記憶されている状態が所定時間に亘って継続していないと判定した場合（Ｓ１６Ｂ：Ｎｏ）、監視制御部３５は、次回の通信障害検出処理に備え、図示する一連の手順の処理を終える。
【００８６】
一方、Ｓ１６Ｂにおいて、送信バッファ２６２に最も高い優先度と異なる優先度より優先度が低い未送信データが記憶されている状態が所定時間に亘って継続していると判定した場合（Ｓ１６Ｂ：Ｙｅｓ）、監視制御部３５は、ＤｏＳ攻撃に対するフェイルセーフ処理を実施して（Ｓ１８）、図示する一連の手順の処理を終える。
【００８７】
上記のとおり、変形例の車両用通信システム１Ｂは、モニタフレームＭに付与する優先度を、最も高い優先度と異なる優先度よりも低い優先度に変更して、上記の処理を実施することができる。これにより、変形例の車両用通信システム１Ｂは、実施形態の車両用通信システム１と同様に、不正な行為の対象とされたＥＣＵ１０−２に不正な行為の影響がおよぶことを軽減し、より簡便な構成により、ＤｏＳ攻撃のようなネットワークＮＷにおける不正な行為からＥＣＵ１０を守ることができる。
【００８８】
＜実施形態の第３の変形例＞
上記の実施形態の第３の変形例について説明する。
上記の実施形態の車両用通信システム１によれば、図４に示す通信障害検出処理（Ｓ１６等）において、監視制御部３５が、送信バッファ２６２に未送信データが記憶されている状態が所定時間に亘って継続しているか否かを、時間をキーにして判定するものとして説明したが、これに代えて、本変形例の車両用通信システム１Ｃは、以下に示すフローチャートの処理を実行してもよい。
【００８９】
車両用通信システム１Ｃの通信制御部３４は、上記の通信障害検出処理を繰り返して実施する回数をキーにして判定するようにしてもよい。その場合、図４におけるＳ１６の処理を、下記するＳ１６Ｃの処理に変更する。また、Ｓ１５、Ｓ１７、Ｓ１９の処理を追加する。
【００９０】
図８は、第３の変形例のＥＣＵ１０により実行される通信障害検出処理のフローチャートの一例である。ここでは、図４との共通処理については説明を省略し、相違点のみ説明する。
【００９１】
Ｓ１２において、送信バッファ２６２に最も優先度が低い未送信データがないと判定した場合（Ｓ１２：Ｎｏ）、Ｓ１４に示したように、監視制御部３５は、モニタフレームＭに最も低い優先度を付与して送信するための処理を実施する。監視制御部３５は、上記の処理をした後、計数値ｊを１にして、計数値ｊを更新し（Ｓ１５）、次回の通信障害検出処理に備え、図示する一連の手順の処理を終える。
【００９２】
一方、Ｓ１２において、送信バッファ２６２に最も優先度が低い未送信データがあると判定した場合（Ｓ１２：Ｙｅｓ）、監視制御部３５は、送信バッファ２６２に最も優先度が低い未送信データが記憶されている状態が所定の回数Ｋ（所定回数）を超えて連続して検出されたか否かを判定する（Ｓ１６Ｃ）。例えば、上記の所定の回数Ｋは、周期Ｔごとに実施する通信障害検出処理の回数ｋに対応する値に予め設定される。Ｋは自然数である。
【００９３】
Ｓ１６Ｃにおいて、送信バッファ２６２に最も優先度が低い未送信データが記憶されている状態が所定の回数Ｋを超えて連続して検出されていないと判定した場合（Ｓ１６Ｃ：Ｎｏ）、監視制御部３５は、送信バッファ２６２に最も優先度が低い未送信データが記憶されている状態の計数値ｊに１を加算して、計数値ｊを更新し（Ｓ１７）、次回の通信障害検出処理に備え、図示する一連の手順の処理を終える。
【００９４】
一方、Ｓ１６Ｃにおいて、送信バッファ２６２に最も優先度が低い未送信データが記憶されている状態が所定の回数Ｋを超えて連続して検出されていると判定した場合（Ｓ１６Ｃ：Ｙｅｓ）、Ｓ１８に示したように、監視制御部３５は、不正な装置によるＤｏＳ攻撃に対するフェイルセーフ処理を実施する。監視制御部３５は、フェイルセーフ処理をした後、計数値ｊを０に初期化して、計数値ｊを更新し（Ｓ１９）、次回の通信障害検出処理に備え、図示する一連の手順の処理を終える。
【００９５】
上記のとおり、第３の変形例の車両用通信システム１Ｃは、通信障害検出処理を繰り返して実施する回数をキーにして、上記の判定することができる。これにより、変形例の車両用通信システム１Ｃは、実施形態の車両用通信システム１と同様に、不正な行為の対象とされたＥＣＵ１０−２に不正な行為の影響がおよぶことを軽減し、より簡便な構成により、ＤｏＳ攻撃のようなネットワークＮＷにおける不正な行為からＥＣＵ１０を守ることができる。
【００９６】
なお、第３の変形例の車両用通信システム１ＣのＳ１６Ｃの判定基準は、最も優先度が低い未送信データが記憶されている状態が所定の回数Ｋを超えて連続して検出されていることであるが、前述の第２の変形例または第３の変形例と同様の判定基準であってもよい。第２の変形例からの応用例について説明する。例えば、第２の変形例のようにモニタフレームＭの優先度を基準優先度以下に設定する（Ｓ１４Ａ）ことで、車両用通信システム１Ｃは、優先度が基準優先度以下の未送信データが記憶されている状態が所定の回数Ｋを超えて連続して検出されていることを、Ｓ１６Ｃの判定基準として設定してもよい。また、第３の変形例からの応用例として、第３の変形例と同様の判定基準を設定する場合も、上記の第２の変形例からの応用例と同様にするとよい。
【００９７】
＜実施形態の第４の変形例＞
上記の実施形態の第４の変形例について説明する。
上記の実施形態の車両用通信システム１によれば、車両用通信システム１は、通信制御部２４と、制御部３０（監視制御部３５）とを備える複数のＥＣＵ１０を備え、通信制御部２４が、ネットワークＮＷに対しフレームＦを送信する順を定める優先度をフレームＦに付与するものとして説明したが、これに代えて、本変形例の車両用通信システム１Ｄは、下記する制御部３０を備える複数のＥＣＵ１０を備えるものである。制御部３０は、ネットワークＮＷに対しメッセージを送信する順を定める優先度が付与部により付与され、付与されたメッセージのうち、より高い優先度が付与されたメッセージから順にネットワークＮＷに送信する。本変形例の場合、上記の付与部は、必ずしも監視制御部３５を備えるＥＣＵ１０に設けられていなくてもよい。本変形例のＥＣＵ１０の一例を示すとすれば、ＥＣＵ１０は、異なるネットワーク間の通信を中継するゲートウェイ装置である。ゲートウェイ装置として機能するＥＣＵ１０は、メッセージに含まれる必要な情報を透過して、そのメッセージを異なるネットワーク間で中継する。透過させる情報にＩＤが含まれる場合、ＥＣＵ１０は、他のＥＣＵ等の付与部により付与されたＩＤを透過させて通信を中継する。上記のように通信を中継する場合も、ＥＣＵ１０の制御部３０は、他の装置の付与部によりＩＤが付与されたメッセージのうち、より高い優先度のＩＤが付与されたメッセージから順にネットワークＮＷに送信する。
【００９８】
以上に説明した、本変形例の車両用通信システム１Ｄは、制御部３０（監視制御部３５）を有する複数のＥＣＵ１０を備えることにより、ＥＣＵ１０が付与部を必ずしも備えずに構成できる。制御部３０のうち少なくとも一部は、付与部により優先度が付与されたフレームＦのうち最も高い優先度でない所定の優先度が付与されたモニタフレームＭが、所定時間に亘ってネットワークＮＷに送信されていない場合に、ネットワークＮＷに不正行為が生じていると判定する。これにより車両用通信システム１Ｄは、より簡便な構成により、ＤｏＳ攻撃のようなネットワークにおける不正な行為から制御装置を守ることができる。
【００９９】
なお、図示するＥＣＵ１０は、ネットワークＮＷに対して１つのＣＡＮトランシーバ３８を介して接続されている例を例示したが、複数のＣＡＮトランシーバ３８を備え、それぞれ異なるネットワークに接続するようにしてもよい。
【０１００】
また、本変形例に示す、付与部を備えないＥＣＵ１０を、前述の実施形態と各変形例の構成に適用してもよい。
【０１０１】
以上説明した少なくともひとつの実施形態によれば、車両用通信システム１は、制御部３０（監視制御部３５）を備える複数のＥＣＵ１０を備える。ネットワークＮＷに対しフレームＦを送信する順を定める優先度が通信制御部２４などの付与部によってフレームＦに付与され、制御部３０は、付与部により優先度が付与されたフレームＦのうち、より高い優先度が付与されたフレームＦから順にネットワークＮＷに送信する。制御部３０のうち少なくとも一部は、付与部により優先度が付与されたフレームＦのうち最も高い優先度でない所定の優先度が付与されたモニタフレームＭが、所定時間に亘ってネットワークＮＷに送信されていない場合に、ネットワークＮＷに不正行為が生じていると判定することにより、より簡便な構成により、ネットワークにおける不正な行為から制御装置を守ることができる。
【０１０２】
以上、本発明を実施するための形態について実施形態を用いて説明したが、本発明はこうした実施形態に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。
【符号の説明】
【０１０３】
１、１Ａ、１Ｂ、１Ｃ‥車両用通信システム（通信システム）、２…バス、３…ＤＬＣ、１０、１０−１、１０−２、１０−３…ＥＣＵ（車載制御装置）、２０…記憶部、２６…一時記憶部、２６２…送信バッファ（メッセージ記憶部）、２６４…受信バッファ、３０…制御部、３４…通信制御部（付与部）、３５…監視制御部、３６…ＣＡＮコントローラ、３８…ＣＡＮトランシーバ、５０…ノード、ＮＷ…ネットワーク
【図１】
2017085197.tif 000003
【図２】
2017085197.tif 000004
【図３】
2017085197.tif 000005
【図４】
2017085197.tif 000006
【図５】
2017085197.tif 000007
【図６】
2017085197.tif 000008
【図７】
2017085197.tif 000009
【図８】
2017085197.tif 000010