JP2014027517A - 通信システム及び通信方法 - Google Patents

Abstract

【課題】通信メッセージの信頼性を、低負荷、かつ、リアルタイムな処理で確保することのできる通信システム、及び通信方法を提供する。
【解決手段】通信システムは、複数のＥＣＵが接続されているバスが複数接続されるとともに、それらバスの間で各ＥＣＵが出力した通信メッセージを相互に中継する１つのゲートウェイ（ＧＷ）１０とを備える。ＧＷ１０は、複数のバスのうちの第１のバス２０から入力された通信メッセージＭ１に第１のバス２０を示すバス情報と該ＧＷ１０に入力されたことを示す中継用のメッセージＩＤとを含む中継用の通信メッセージＭ２を生成して、該生成した中継用の通信メッセージＭ２を第１のバス２０以外の第３のバス４０に転送する。ＥＣＵ４１は、受信した中継用の通信メッセージＭ２に含まれるバス情報と中継用のメッセージＩＤとに基づいて、当該受信した中継用の通信メッセージＭ２の信頼性を判断する。
【選択図】図１

Description

本発明は、車両などに搭載された複数の電子制御装置がネットワーク接続されている通信システム、及び通信方法に関する。

周知のように、車両に搭載された複数の電子制御装置（ＥＣＵ）は、それぞれが互いにネットワーク接続されることによってそれら電子制御装置の有する情報（車両情報）を相互に通信可能とする通信システムを構成していることが多い。すなわちこうした通信システムは、ＥＣＵを通信装置にした車両ネットワークシステムとして構成されている。そして、このような車両ネットワークシステムの一つにコントローラエリアネットワーク（ＣＡＮ）がある。

ＣＡＮからなる通信システムは、接続されているＥＣＵが増加するなどしてそのシステム構成が複雑になると、該システムに生じた異常や、該システムに接続された不正なＥＣＵなどを検出したり、特定したりすることが難しくなる傾向にある。そこで従来は、通信システムに生じた異常等を検出する技術なども提案されており、その一例が特許文献１に記載されている。

特許文献１に記載の通信システム（車載通信ネットワークシステム）は、ネットワークシステムの異常箇所を的確に検知するシステムである。この通信システムには、複数のバス異なるバスが接続されているとともに、それら複数のバス間で通信メッセージを中継するゲートウェイと、各バスに通信メッセージによる通信が可能に接続されている１つ以上のＥＣＵと、ゲートウェイに接続されている外部診断器とが設けられている。ゲートウェイは外部診断器から入力される接続確認要求信号に基づき、各バスの各ＥＣＵに対して返答要求信号を出力する。ＥＣＵは受信した返答要求信号に応じて、当該ＥＣＵに固有の送信元識別子データを含む返答信号を接続されているバスに出力する。そしてゲートウェイは、バス毎に受信した返答信号に含まれる送信元識別子データまたは予め記憶されているバス毎の記憶値とこの送信元識別データとの比較結果を外部診断器に出力して、通信できないＥＣＵを特定する。

特開２０１０−２０６６９７号公報

ところで、ＣＡＮは、通信回線であるバスを共有する各ＥＣＵが各々の判断でバス上にメッセージを流すことができるようになっているため、各ＥＣＵからバスへのメッセージの送信が容易である。そのため、例えばＣＡＮのバスに不正なＥＣＵを接続して、当該バスに不正なメッセージを送信することも可能であり、そうした不正なメッセージによる通信についてはこれをリアルタイムで防止する必要がある。しかし、上記特許文献１に記載の通信システムのように、異常の検知を、外部診断器から入力される接続要求確認信号の送出などに基づいて行うとすると、異常の検知をリアルタイムで行うことが難しい。また、通信メッセージを暗号化することによって不正なメッセージによる通信を防止する方法もあるものの、処理負荷の高い暗号化処理をリアルタイムで実行するとなるとＥＣＵでの負荷の増大も無視できないものとなる。

なお、こうした課題は、ＣＡＮのみならず、ネットワーク接続させる通信装置間で通信メッセージの送受信を行うとする通信システムにおいては概ね共通した課題となっている。

本発明は、このような実情に鑑みてなされたものであって、その目的は、通信メッセージの信頼性を、低負荷、かつ、リアルタイムな処理で確保することのできる通信システム、及び通信方法を提供することにある。

以下、上記課題を解決するための手段及びその作用効果を記載する。
上記目的を達成するため、請求項１に記載の発明は、通信線に接続され、その接続された通信線を介して通信メッセージによる通信を行う１乃至複数の通信装置と、前記通信線が複数接続されるとともに、それら通信線の間で通信メッセージを相互に中継する１乃至複数のゲートウェイとを備える通信システムであって、ゲートウェイは、前記複数の通信線のうちの一の通信線から入力された通信メッセージに当該一の通信線を示す第１の経路情報と該ゲートウェイに入力されたことを示す第２の経路情報とを含む中継用の通信メッセージを生成して、該生成した中継用の通信メッセージを前記一の通信線以外の１つもしくは複数の通信線に転送し、前記通信装置は、受信した通信メッセージに含まれる前記第１の経路情報と前記第２の経路情報とに基づいて、当該受信した通信メッセージの信頼性を判断することを要旨とする。

上記目的を達成するため、請求項１１に記載の発明は、通信線に接続され、その接続された通信線を介して通信メッセージによる通信を行う１乃至複数の通信装置と、前記通信線が複数接続されるとともに、それら通信線の間で通信メッセージを相互に中継する１乃至複数のゲートウェイとを有する通信システムに使用される通信方法であって、前記複数の通信線のうちの一の通信線からゲートウェイに入力された通信メッセージに当該一の通信線を示す第１の経路情報と該ゲートウェイに入力されたことを示す第２の経路情報とが含まれる中継用の通信メッセージを前記ゲートウェイを通じて生成する工程と、前記生成された中継用の通信メッセージを前記ゲートウェイから前記一の通信線以外の１つもしくは複数の通信線に転送する工程と、前記中継用の通信メッセージを受信した通信装置に、受信した通信メッセージに含まれる前記第１の経路情報と前記第２の経路情報とに基づいて、当該受信した通信メッセージの信頼性を判断させる工程とを備えることを要旨とする。

このような構成もしくは方法によれば、通信メッセージの信頼性の判断が、ゲートウェイに入力させた通信線を示す第１の経路情報とゲートウェイに入力されたことを示す第２の経路情報とに基づいて行われる。つまり、受信した通信メッセージを、その通信メッセージが通過した経路に基づいて検証することで、受信した通信メッセージの信頼性がリアルタイムで判断される。例えば、リアルタイムに判断することで、通信装置では、所定の経路以外を通過した通信メッセージの処理を中止にしたりすることができる。

また単に、通信経路を示すだけの情報である、第１の経路情報と第２の経路情報とに基づいて通信メッセージの信頼性を判断するため、負荷の低い処理で通信メッセージの信頼性を判定することができるようになる。

請求項２に記載の発明は、請求項１に記載の通信システムにおいて、前記通信装置には、前記複数の通信線の各第１の経路情報にそれぞれ対応する通信線情報が設定されており、前記通信装置では、前記受信した通信メッセージに含まれている前記第１の経路情報が前記設定されている通信線情報に対応するか否かに基づいて前記受信した通信メッセージの信頼性を判断することを要旨とする。

このような構成によれば、第１の経路情報が、通信装置に設定されている通信線情報に対応するか否かに基づいて、例えば第１の経路情報と設定されている通信線情報との比較に基づいて、通信メッセージの信頼性を判定するため、判断に係るデータ処理の負荷を低くすることができる。

請求項３に記載の発明は、請求項１又は２に記載の通信システムにおいて、前記通信装置には、ゲートウェイの各第２の経路情報に対応するゲートウェイ情報が設定されており、前記通信装置では、前記受信した通信メッセージに含まれている前記第２の経路情報が前記設定されているゲートウェイ情報に対応するか否かに基づいて前記受信した通信メッセージの信頼性を判断することを要旨とする。

このような構成によれば、第２の経路情報とゲートウェイ情報との処理に基づいて、例えば、第２の経路情報と設定されているゲートウェイ情報とを比較する処理に基づいて通信メッセージの信頼性を判定することができるようになるため、判定に係るデータ処理の負荷を低くすることができる。

請求項４に記載の発明は、請求項１〜３のいずれか一項に記載の通信システムにおいて、前記通信メッセージはコントローラエリアネットワークのプロトコルとして構成されることを要旨とする。

このような構成によれば、必要最低限の処理能力しか備えないことの多いＥＣＵを通信装置とする車載ネットワークに採用されるＣＡＮプロトコルの通信システムに対し、低負荷かつリアルタイム性のある通信メッセージの信頼性の判定を適用することができる。

請求項５に記載の発明は、請求項４に記載の通信システムにおいて、ゲートウェイは、前記プロトコルで規定されている通信メッセージのデータフィールドに前記第１の経路情報を持たせ、前記通信装置は、前記通信メッセージのデータフィールドから前記第１の経路情報を取得することを要旨とする。

このような構成によれば、ＣＡＮプロトコルにおいて、ユーザが内容を自由に設定できるデータ領域であるデータフィールドに第１の経路情報を含ませることができるため、通信メッセージに対して第１の経路情報を含めさせる処理を比較的高い自由度で行うことができるようになる。

請求項６に記載の発明は、請求項４又は５に記載の通信システムにおいて、ゲートウェイは、前記プロトコルで規定されている通信メッセージのメッセージＩＤを前記第２の経路情報を含むメッセージＩＤに変更し、前記通信装置は、前記通信メッセージに含まれる前記変更されたメッセージＩＤから第２の経路情報を取得することを要旨とする。

このような構成によれば、変更されたメッセージＩＤに基づいて第２の経路情報を取得することができるため、第２の経路情報を用いての通信メッセージの信頼性の判断が容易になる。また、ＣＡＮプロトコルではメッセージＩＤはリアルタイムに処理されるため、第２の経路情報を用いた通信メッセージの信頼性の判断を速やかに行うことができるようにもなる。

請求項７に記載の発明は、請求項６に記載の通信システムにおいて、前記通信メッセージは拡張フォーマットであり、前記メッセージＩＤは前記拡張フォーマットで規定されている拡張ＩＤ領域に対応する部分が変更されたものであることを要旨とする。

このような構成によれば、メッセージＩＤの拡張ＩＤ部分が第２の経路情報に基づいて変更される一方、標準フォーマットにて用いられる標準ＩＤの部分は変更されない。つまり、通信システムにおいて、その他の通信メッセージに対する影響を抑えつつ、第２の経路情報などに基づく通信メッセージの信頼性を判定することができるようになる。

請求項８に記載の発明は、請求項１〜７のいずれか一項に記載の通信システムにおいて、ゲートウェイは、前記一の通信線から入力された通信メッセージの情報を、前記第１の経路情報とともにログデータとして保存するとともに、前記通信装置は、前記受信した通信メッセージの情報を、前記受信した通信メッセージに含まれている前記第１の経路情報及び前記第２の経路情報とともにログデータとして保存することを要旨とする。

このような構成によれば、通信メッセージの中継や受信がログに時系列データ（ログデータ）として記録されるため、事後的であれ通信メッセージの信頼性を評価することができるようにもなる。

請求項９に記載の発明は、請求項８に記載の通信システムにおいて、前記ログデータは、定期的に所定のルールに基づいて解析され、該解析により得られた解析結果に置きかえられることを要旨とする。

このような構成によれば、ログとして記憶されたデータの内容が解析結果に置きかえられることによってログとして記憶されているデータ容量を少なくすることができる。これにより、記憶容量に余裕の少ないＥＣＵにおいてログデータを保存することができるようになる。

請求項１０に記載の発明は、請求項８又は９に記載の通信システムにおいて、前記通信装置は、ゲートウェイに保存されているログデータを取得するとともに、当該取得したログデータを前記通信装置に保存されているログデータと比較することによって通信メッセージの信頼性を評価することを要旨とする。

このような構成によれば、通信メッセージの経路を、ゲートウェイのログデータと通信装置のログデータとから検証することができるため、通信メッセージの信頼性を検証できるようにもなる。これにより、通信メッセージの信頼性をより高く確保することができるようになる。

本発明に係る通信システムを具体化した第１の実施形態について、その概略構成を示すブロック図。 同実施形態におけるゲートウェイの概略構成を示すブロック図。 同実施形態における通信メッセージのデータフォーマットを模式的に示す模式図。 同実施形態において通信メッセージにバス情報が含まれる態様を模式的に示す模式図。 同実施形態において通信メッセージに含まれるメッセージＩＤを模式的に示す模式図であって、（ａ）はＥＣＵが付加した送信用のメッセージＩＤが含まれる図、（ｂ）はゲートウェイが付加した中継用のメッセージＩＤが含まれる図、（ｃ）はゲートウェイが付加した中継用のメッセージＩＤが含まれる図。 同実施形態におけるＥＣＵの概略構成を示すブロック図。 同実施形態において通信メッセージが処理される手順を示すシーケンス図。 本発明に係る通信システムを具体化した第２の実施形態について、ゲートウェイの概略構成を示すブロック図。 同実施形態におけるＥＣＵの概略構成を示すブロック図。 本発明に係る通信システムを具体化したその他の実施形態における通信メッセージのデータフォーマットを模式的に示す模式図。

（第１の実施形態）
本発明に係る通信システムを具体化した第１の実施形態について、図１〜７に従って説明する。

図１に示すように、車両１は、通信システムとしての車載ネットワークシステムを備えている。
まず、本実施形態における車載ネットワークシステムの通信規格について説明する。

車載ネットワークシステムは、通信プロトコルとしてＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）プロトコルの適用されるネットワークとして構成されている。ＣＡＮプロトコルでは、通信メッセージの送受信によって通信装置間の通信が行われ、その通信メッセージはＣＡＮプロトコルにて通信の一単位として規定されるフレームによって構成されている。ＣＡＮプロトコルでは複数のフレームが定義されており、その中に、データ転送に用いられるデータ・フレームがある。例えば、図３に示すように、標準フォーマットのデータ・フレームには、通信メッセージの識別に用いられる「メッセージＩＤ」（ＣＡＮ ＩＤ）の格納領域である「ＩＤ領域」が１１ビットの大きさで設けられ、転送するデータの格納領域である「データ領域」（データフィールド）が０〜６４ビットの範囲の大きさで設けられている。

続いて、本実施形態における車載ネットワークシステムの構成について説明する。
図１に示すように、車載ネットワークシステムには、通信線としての通信用のバスである第１のバス２０、第２のバス３０、第３のバス４０及び第４のバス５０と、それら第１〜第４のバス２０，３０，４０，５０が通信可能に接続されたゲートウェイ（ＧＷ）１０とが設けられている。第１〜第４のバス２０，３０，４０，５０は、ＣＡＮプロトコルの通信メッセージを伝送可能なバスであって、例えばツイストペアケーブルである。

第１〜第３のバス２０，３０，４０にはそれぞれ、１又は複数の通信装置としての電子制御装置（ＥＣＵ）が当該バスを介して他のＥＣＵとの間で通信が可能であるように接続されている。つまり、第１のバス２０には、通信装置としての第２１及び第２２ＥＣＵ２１，２２が接続され、第２のバス３０には、通信装置としての第３１及び第３２ＥＣＵ３１，３２が接続され、第３のバス４０には、通信装置としての第４１及び第４２ＥＣＵ４１，４２が接続されている。これにより、例えば、第２１ＥＣＵ２１は第１のバス２０へ送信用の通信メッセージＭ１を送信することができ、第４１ＥＣＵ４１は第３のバス４０から通信メッセージＭ２を受信することができる。なお、第２１ＥＣＵ２１は通信メッセージを受信することもでき、第４１ＥＣＵ４１は通信メッセージを送信することもできる。また、ＣＡＮプロトコルでは、同一のバスに接続されている複数のＥＣＵは、それらが接続されているバスを介して相互に通信メッセージを授受できる。

第４のバス５０には、車載式故障診断装置（ＯＢＤ）５１が通信可能に接続されているとともに、車載ネットワークシステムに外部機器を通信可能に接続させるコネクタであるデータリンクコネクタ（ＤＬＣ）５２が設けられている。これにより、例えば、ＤＬＣ５２に接続された外部機器（５３，５４）がＤＬＣ５２を介して第４のバス５０へ通信メッセージＭ３を送信することができる。なお、外部機器はＤＬＣ５２を介して通信メッセージを受信することもできる。

なお、本実施形態では、第１のバス２０はセンサ系のＥＣＵが接続されるセンサ系のバス、第２のバス３０は走行系のＥＣＵが接続される走行系のバス、第３のバス４０は駆動系のＥＣＵが接続される駆動系のバス、第４のバス５０は情報機器系のＥＣＵや、診断装置や、外部機器等が接続される情報機器系のバスとする。

ゲートウェイ（ＧＷ）１０は、一のバスから入力された通信メッセージを、その他のバスに出力する装置、いわゆるバス間に通信メッセージを中継する装置である。つまりＧＷ１０は、そこに接続されている第１〜第４のバス２０，３０，４０，５０から通信メッセージを受信するとともに、該受信した通信メッセージを、その通信メッセージが入力されたバス以外のバスに転送する。例えば、ＧＷ１０は、第１のバス２０から入力された送信用の通信メッセージＭ１を、中継用の通信メッセージＭ２として第２〜４のバス３０，４０，５０にそれぞれ出力することができる。このとき、中継用の通信メッセージＭ２は、送信用の通信メッセージＭ１に対応する通信メッセージであって、ＧＷ１０により必要な処理が施された通信メッセージである。なお、中継用の通信メッセージＭ２が、送信用の通信メッセージＭ１と同じメッセージであることがあってもよい。

このように、ＧＷ１０が異なるバス間に通信メッセージを転送させることで、異なるバスに接続されているＥＣＵの間であっても、通信メッセージを相互に送受信（授受）できるようになっている。

第２１〜第４２ＥＣＵ２１〜４２はそれぞれ、車両１の各種制御に用いられる制御装置であって、例えば、駆動系や、走行系や、センサ系や、情報機器系等を制御対象としているＥＣＵである。例えば、駆動系を制御対象とするＥＣＵとしては、エンジン用ＥＣＵが挙げられ、走行系を制御対象とするＥＣＵとしては、ステアリング用ＥＣＵやブレーキ用ＥＣＵが挙げられ、センサ系のＥＣＵとしては、温度センサや速度センサなどのセンサ類が接続されるＥＣＵが挙げられる。また、情報機器系を制御対象とするＥＣＵとしては、カーナビゲーション用ＥＣＵなどが挙げられる。

なお、本実施形態では、第２１及び第２２ＥＣＵ２１，２２はセンサー系のＥＣＵであって、センサ系のバスである第１のバス２０に接続されている。また、第３１及び第３２ＥＣＵ３１，３２は走行系のＥＣＵであって、走行系のバスである第２のバス３０に接続されている。さらに、第４１及び第４２ＥＣＵ４１，４２は駆動系のＥＣＵであって、駆動系のバスである第３のバス４０に接続されている。なお、第２１〜第４２ＥＣＵ２１〜４２は、同様の構造を有しているため、以下では第４１ＥＣＵ４１の構造について説明し、その他のＥＣＵ２１〜３２，４２の構造についての説明を割愛する。

ＯＢＤ５１は、車両状態等の診断を行う診断機器であって、正規の通信装置として、メーカ等により車両に搭載されている。
ＤＬＣ５２は、第４のバス５０に外部機器（５３，５４）を通信可能に接続させることのできる接続端子であって、ＤＬＣ５２には、メーカやカーディーラ等で用意された正規の通信装置５３を接続させることができる。正規の通信装置５３としては、例えば、外部診断機器や、ソフトウェアをアップデートさせる機器などが挙げられる。また、ＤＬＣ５２には、ユーザが用意した非正規の通信装置５４を接続させることもできる。非正規の通信装置５４としては、例えば非正規のテスターやスマートフォンなどが挙げられる。そして、これらＯＢＤ５１やＤＬＣ５２は、情報機器系のバスである第４のバス５０に接続されている。

なお非正規の通信装置５４は、それがバスに出力した通信メッセージの車載ネットワークシステムへの影響、特に悪影響についての検証が十分なされていないことが懸念される。とりわけ、スマートフォンは、速度表示などのアプリケーションソフトウェアをユーザがインターネットから任意に選択、実行することができ、そうしたアプリケーションソフトウェアが車載ネットワークシステムに対して通信を行うこととなる。こうしたアプリケーションソフトウェアには、ＣＡＮプロトコルに適合していない通信メッセージの送信や、通信に不都合を生じさせる通信メッセージの送信や、悪意のある機能による通信メッセージの送信など行われ車載ネットワークシステムに悪影響を及ぼすことが懸念されている。

図２に示すように、ＧＷ１０には、第１〜第４のバス２０，３０，４０，５０（第１のバス２０のみ図示）に接続されている信号受信部１１と、接続された信号受信部１１から入力された送信用の通信メッセージＭ１に所定の処理を行って生成した中継用の通信メッセージＭ２をバスに出力（転送）する信号変更部１２とが設けられている。またＧＷ１０には、信号変更部１２が中継用の通信メッセージＭ２を生成するときに用いられる各種の情報が格納される記憶装置１３とが設けられている。

記憶装置１３には、第１〜第４のバス２０，３０，４０，５０にそれぞれ対応する複数の第１の経路情報としてのバス情報１４と、入力された送信用の通信メッセージＭ１（図３参照）に第２１ＥＣＵ２１が付与する送信用のメッセージＩＤに対応する複数の第２の経路情報としての中継用のメッセージＩＤ１５とが設定されている。

各バス情報１４は、相互に異なる値として設定されている。例えば、２進数で示すと、バス情報として、第１のバス２０には「００」が、第２のバス３０には「０１」が、第３のバス４０には「１０」が、第４のバス５０には「１１」がそれぞれ設定されている。

中継用のメッセージＩＤ１５は、送信用の通信メッセージＭ１に付与されるメッセージＩＤに対応付けられたメッセージＩＤである。また、中継用のメッセージＩＤ１５は、その値（ＩＤ）から中継されたゲートウェイを識別できるように、ＧＷ１０に対して固有に設定されている値であり、例えば他のＧＷがあった場合、ＧＷ１０用の中継用のメッセージＩＤ１５とは異なる値が設定される。例えば、ＧＷ１０には、第２１ＥＣＵ２１が送信用の通信メッセージＭ１に付与した送信用のメッセージＩＤ「０ｘ０２０」（図５（ａ）参照）に対応する中継用のメッセージＩＤ１５として２つの値、「０ｘ０２１」及び「０ｘ０２２」（図５（ｂ）及び（ｃ）参照）が設定されている。なお、中継用のメッセージＩＤ１５のうち、「０ｘ０２１」は、このメッセージＩＤを受信したＥＣＵにバス経路の適否に基づいて通信メッセージの信頼性を判断させたい場合に、中継用の通信メッセージＭ２に付与されるメッセージＩＤである。一方、中継用のメッセージＩＤ１５のうち、「０ｘ０２２」は、このメッセージＩＤを受信したＥＣＵにバス経路の適否に基づいて通信メッセージの信頼性を判断させる必要がない場合に、中継用の通信メッセージＭ２に付与されるメッセージＩＤである。ＧＷ１０が中継用のメッセージＩＤ１５を切り換えて、通信メッセージの信頼性の判断がＥＣＵで必要か否かを指定することで、ＥＣＵに対して多少なりとも負荷を生じさせるバス経路の適否の判断を行わせるかどうか、つまりＥＣＵの負荷を調整できるようになっている。

信号受信部１１は、受信した通信メッセージが入力されたバスを判定する。例えば、第２１ＥＣＵ２１から送信された送信用の通信メッセージＭ１が第１のバス２０からＧＷ１０に入力された場合、信号受信部１１は、送信用の通信メッセージＭ１が第１のバス２０から入力されたことを検出する。そして信号受信部１１は、この入力されたバスの検出結果を、送信用の通信メッセージＭ１とともに信号変更部１２に伝達する。

信号変更部１２は、受信した送信用の通信メッセージＭ１に所定の処理を施す。所定の処理には、受信した送信用の通信メッセージＭ１に、バスの情報を含める処理と、ゲートウェイの情報を含める処理とが含まれる。バスの情報を含める処理では、信号受信部１１から伝達されたバスの検出結果に対応するバス情報１４が選択され、この選択されたバス情報１４と送信用の通信メッセージＭ１とに基づいて中継用の通信メッセージＭ２が生成される。また、ゲートウェイの情報を含める処理では、送信用の通信メッセージＭ１のメッセージＩＤに対応する中継用のメッセージＩＤ１５が選択され、この選択された中継用のメッセージＩＤ１５が送信用の通信メッセージＭ１のメッセージＩＤに置き換えられて、中継用の通信メッセージＭ２（２ａ、２ｂ又は２ｃ）のメッセージＩＤとされる。

図４に示すように、信号変更部１２は、バスの情報を含める処理では、送信用の通信メッセージＭ１の「データ領域」の最後の２ビットに、選択したバス情報１４を書き込む。例えば、送信用の通信メッセージＭ１は第１のバス２０から入力されたため、送信用の通信メッセージＭ１の「データ領域」の最後の２ビットには「００」が書き込まれる。つまり、信号変更部１２は、受信した送信用の通信メッセージＭ１を、バス情報１４を含めた中継用の通信メッセージＭ２に変更する。

図５に示すように、信号変更部１２は、ゲートウェイの情報を含める処理では、中継用の通信メッセージＭ２のメッセージＩＤを選択した中継用のメッセージＩＤ１５に変更する。例えば、送信用の通信メッセージＭ１のメッセージＩＤ「０ｘ０２０」が、中継用のメッセージＩＤである「０ｘ０２１」又は「０ｘ０２２」に置き換えられる。つまり、信号変更部１２は、バス情報１４を含む中継用の通信メッセージＭ２として、メッセージＩＤを「０ｘ０２０」のまま維持した中継用の通信メッセージＭ２ａ、及びメッセージＩＤを「０ｘ０２１」とした中継用の通信メッセージＭ２ｂ、及びメッセージＩＤを「０ｘ０２２」とした中継用の通信メッセージＭ２ｃのいずれかを生成する。

なお、本実施形態では、ゲートウェイの情報を含める処理では、送信用の通信メッセージＭ１のメッセージＩＤ「０ｘ０２０」を、受信したＥＣＵでバス経路の適否を判断する必要があることを示す中継用のメッセージＩＤ「０ｘ０２１」に変更させるように設定されている。

図６に示すように、第４１ＥＣＵ４１には、第３のバス４０に接続され、第３のバス４０から入力される中継用の通信メッセージＭ２を受信する信号受信部４１１と、信号受信部４１１に接続され、信号受信部４１１から送られる通信メッセージに対してバス経路の適否の判断を行う判断部４１２とが設けられている。また、第４１ＥＣＵ４１には、信号受信部４１１及び判断部４１２に接続され、受信された通信メッセージに含まれるデータを処理する信号処理部４１３と、通信メッセージの信頼性の判断に必要な情報等が記憶される記憶装置４１４とが設けられている。

信号処理部４１３は、マイクロコンピュータを含み構成されており、各種処理を行う演算装置や、演算結果や各種制御機能を提供するプログラムなどを保持する記憶装置を有している。そして、信号処理部４１３では、所定の制御機能を提供するプログラムが演算装置で実行処理されることによって当該所定の制御機能が提供される。これにより、信号処理部４１３は、記憶装置に保持されている制御用プログラムを演算装置に読み込み、実行することで、制御対象に対して同プログラムの機能を提供して当該制御対象の制御を行なう。なおプログラムでは、中継用の通信メッセージＭ２から得られた他のＥＣＵが送信したデータを処理したり、各種処理により得られたデータから送信用の通信メッセージを作成させて、第３のバス４０に送信させたりする。

記憶装置４１４には、第１〜第４のバス２０，３０，４０，５０のそれぞれに対応するバス情報１４のうち、第４１ＥＣＵ４１に通信メッセージＭ２を入力することが許可されるバス情報１４に対応する通信線情報４１６が設定されている。例えば、記憶装置４１４には、通信線情報４１６として、第１のバス２０に対応する値「００」（２進数）と第２のバス３０に対応する値「０１」（２進数）とが設定されている。また、記憶装置４１４には、第４１ＥＣＵ４１が受信する必要のある通信メッセージのメッセージＩＤに対応するゲートウェイ情報４１７が設定されており、例えば、ゲートウェイ情報４１７として、送信用のメッセージＩＤの「０ｘ０２０」と、中継用のメッセージＩＤ１５のうちの「０ｘ０２１」と「０ｘ０２２」とが設定されている。

信号受信部４１１は、第３のバス４０を流れている中継用の通信メッセージＭ２などを受信する部分であって、いわゆるＣＡＮコントローラの受信機能に対応する。なお、ＣＡＮコントローラの送信機能に対応する部分の図示は省略している。信号受信部４１１は、中継用の通信メッセージＭ２のメッセージＩＤがゲートウェイ情報４１７に含まれているか否かに基づいて、中継用の通信メッセージＭ２が第４１ＥＣＵ４１に必要であるか否かを判断する。そして、必要であると判断された場合には中継用の通信メッセージＭ２を取得する一方、不要である場合には受信した中継用の通信メッセージＭ２などを取得せずに破棄する。

また、本実施形態では、中継用の通信メッセージＭ２のメッセージＩＤに基づいて、バス経路の適否の判断の要／不要を判定する。つまり、信号受信部４１１は、中継用のメッセージＩＤ１５が「０ｘ０２１」の場合、つまり中継用の通信メッセージＭ２ｂの場合、バス経路の適否の判断が必要と判断して中継用の通信メッセージＭ２ｂを判断部４１２に伝達する。一方、信号受信部４１１は、中継用のメッセージＩＤ１５が「０ｘ０２２」の場合、つまり中継用の通信メッセージＭ２ｃの場合、バス経路の適否の判断が不要であると判断して中継用の通信メッセージＭ２を信号処理部４１３に伝達する。また、信号受信部４１１は、メッセージＩＤが「０ｘ０２０」の場合、つまり中継用の通信メッセージＭ２ａの場合、バス経路の適否を判断しないと判断して中継用の通信メッセージＭ２などを信号処理部４１３に伝達する。なお、中継用の通信メッセージＭ２ａの場合、ＧＷ１０により中継されていないことから、通信経路が不適切であるとして、中継用の通信メッセージＭ２ａを破棄してもよい。

このように、信号受信部４１１では、中継用のメッセージＩＤ１５に基づいて中継用の通信メッセージＭ２を取得するか否かが判断される。中継用のメッセージＩＤ１５は、ＧＷ１０が中継した通信メッセージに付与されるメッセージＩＤであることから、その中継用の通信メッセージＭ２は通信経路中でＧＷ１０により中継されたということが確認される。つまり、ＧＷ１０によって中継されたか否かという点に基づいて、中継用の通信メッセージＭ２の信頼性を判断することができるようになる。

信号受信部４１１は、受信の要否の判断をメッセージＩＤに基づいて行うようにしている。これは、通常、通信メッセージのアービトレーションに利用されるメッセージＩＤは、ＣＡＮコントローラではフィルタリングなどでリアルタイムかつ迅速に処理される。このリアルタイムかつ迅速に行われるメッセージＩＤに対する処理を利用することで、通信メッセージの信頼性の判断やバス経路の適否の判断の要否判断をリアルタイムかつ迅速に行うことができるようになる。また、ＣＡＮコントローラにより実行されるアービトレーションは、ＥＣＵの信号処理部に負荷を生じさせないか、生じさせても低いため、このように通信メッセージの信頼性の判断等にメッセージＩＤを利用することでＥＣＵの負荷を低くすることもできるようになる。つまり、信号受信部４１１では、中継用のメッセージＩＤ１５に対する、ＧＷ１０による中継の有無の判断、及びバス経路の適否の判断の要否判断がリアルタイム、迅速かつ低負荷で行えるようになる。

判断部４１２は、信号受信部４１１から中継用の通信メッセージＭ２ｂのみが伝達され、この伝達された中継用の通信メッセージＭ２ｂに含まれているバス情報１４に基づいて、この通信メッセージＭ２ｂの信頼性を判断する。判断部４１２は、中継用の通信メッセージＭ２ｂの「データ領域」の最後の２ビットを取得して、当該取得された２ビットの値が、通信線情報４１６に含まれるか否かを判定する。例えば、第４１ＥＣＵ４１には、第１のバス２０や第２のバス３０から送信された通信メッセージの入力が許可されている一方、第４のバス５０から送信された通信メッセージ（Ｍ３）の入力は許可されていないとする。このとき、判断部４１２は、バス情報１４が通信線情報４１６としての値「００」又は「０１」であれば、通信メッセージＭ２ｂを信号処理部４１３に伝達する。一方、バス情報１４が通信線情報４１６としての値「１０」又は「１１」であれば、通信メッセージＭ２ｂを破棄し、信号処理部４１３には伝達しない。

例えば、外部機器（５３，５４）から第４のバス５０を介してＧＷ１０に入力される送信用の通信メッセージＭ３にはバス情報１４として「１１」が付与されるので、この送信用の通信メッセージＭ３に対応する中継用の通信メッセージＭ２が信号受信部４１１から判断部４１２に伝達されたとしても破棄される。つまり、本来第１のバス２０から送られてくる通信メッセージが、不正な装置などにより第４のバス５０経由で送られたとしても、当該通信メッセージは判断部４１２にて破棄され、信号処理部４１３が処理することのないようになっている。

なお、バス情報１４の値「１０」は、第３のバス４０に対応する値であるが、通常、第４１ＥＣＵ４１が接続されている第３のバス４０を流れた通信メッセージがＧＷ１０によって再度、第３のバス４０に中継されることはない。このため、第４１ＥＣＵ４１は、自身が接続されている第３のバス４０のバス情報１４の値「１０」が通信メッセージに含まれている場合、不適切な通信経路と判断するようにしている。

本実施形態の作用について、図７を参照して説明する。
図７に示すように、第１のバス２０に接続されている第２１ＥＣＵ２１が送信用の通信メッセージＭ１を送信する（ステップＳ１）。これにより、第２１ＥＣＵ２１から送信された送信用の通信メッセージＭ１は第１のバス２０を介して、第１のバス２０に接続されているＧＷ１０に入力される。

ＧＷ１０は、送信用の通信メッセージＭ１が「第１のバス２０」から入力されたことを信号受信部１１において検出（識別）する（ステップＳ２）。ＧＷ１０は、信号変更部１２において、信号受信部１１の検出結果と送信用の通信メッセージＭ１とに基づいて、バス情報１４の値「００」を含む中継用の通信メッセージＭ２を生成する（ステップＳ３）。さらに、ＧＷ１０は、信号変更部１２において、送信用の通信メッセージＭ１のメッセージＩＤの値「０ｘ０２０」に対応する中継用のメッセージＩＤ１５の値「０ｘ０２１」を選択し、選択した中継用のメッセージＩＤ１５を中継用の通信メッセージＭ２のメッセージＩＤに置き換える。こうして、例えば、中継用の通信メッセージＭ２ｂが生成される（ステップＳ４）。ＧＷ１０は、こうして生成した中継用の通信メッセージＭ２ｂを中継する。つまりＧＷ１０は、中継用の通信メッセージＭ２ｂを、第３のバス４０などに出力（送信する）（ステップＳ５）。

第３のバス４０に送信された中継用の通信メッセージＭ２ｂは、第４１ＥＣＵ４１に受信される。中継用の通信メッセージＭ２ｂを受信した第４１ＥＣＵ４１は、その信号受信部４１１によって、中継用の通信メッセージＭ２ｂのメッセージＩＤの値「０ｘ０２１」に基づいて、ＧＷ１０により中継されたことを確認することで、その中継用の通信メッセージＭ２ｂの信頼性が判断される。またさらにバス経路の適否を判断するか否かを判断する（ステップＳ６）。

このとき、中継用の通信メッセージＭ２ｂのメッセージＩＤの値が「０ｘ０２１」であるので、第４１ＥＣＵ４１は、中継用の通信メッセージＭ２ｂの信頼性をバス経路の適否に基づいて判断するため、中継用の通信メッセージＭ２ｂを判断部４１２に伝達する。そして、中継用の通信メッセージＭ２ｂが伝達された判断部４１２は、当該通信メッセージＭ２ｂの「データ領域」からバス情報１４を取得して、通信線情報４１６の値「００」及び「０１」に含まれるか否かを判断する。バス情報１４が通信線情報４１６の値「００」又は「０１」である場合、判断部４１２は、中継用の通信メッセージＭ２ｂはバス経路が適切であると判断して、当該中継用の通信メッセージＭ２ｂを信号処理部４１３に伝達する（ステップＳ７）。これにより、中継用の通信メッセージＭ２ｂがＧＷ１０に入力されたバスが確認され、ＧＷ１０に入力されたバスを通ったことに基づいて、中継用の通信メッセージＭ２ｂの信頼性が確保される。そして、信頼性の高い中継用の通信メッセージＭ２ｂのデータ等が信号処理部４１３にて処理される。

一方、バス情報１４の値が「００」又は「０１」以外である場合、判断部４１２は中継用の通信メッセージＭ２ｂのバス経路が適切ではないとい判断して、当該中継用の通信メッセージＭ２ｂを、信号処理部４１３に伝達せずに、破棄する。これにより、信頼性が低い中継用の通信メッセージＭ２ｂが信号処理部４１３にて処理され、車両１の動作などに違和感や不都合などを生じさせることを防ぐことができる。

なお、例えば、メッセージＩＤが「０ｘ０２２」である中継用の通信メッセージＭ２ｃの場合、第４１ＥＣＵ４１は、中継用の通信メッセージＭ２ｃの信頼性をバス経路の適否に基づいて判断する必要がないため、中継用の通信メッセージＭ２ｃを信号処理部４１３に伝達する。そうしたことから、ＧＷ１０が送信用の通信メッセージＭ１に基づいて生成する２つの中継用の通信メッセージＭ２ｂ，Ｍ２ｃを、生成した回数や時間間隔などで切り換えることで、バス経路の適否に基づく判断により生じる第４１ＥＣＵ４１の負荷を軽減させることもできるようになる。

以上説明したように、本実施形態に係る通信システムは、以下に列記する効果を有する。
（１）第４１ＥＣＵ４１は、中継用の通信メッセージＭ２の信頼性の判断を、ゲートウェイ１０に入力させたバスを示すバス情報１４（第１の経路情報）とゲートウェイ１０に入力されたことを示す中継用のメッセージＩＤ１５（第２の経路情報）とに基づいて行う。つまり、第４１ＥＣＵ４１は、受信した中継用の通信メッセージＭ２をその通信メッセージが通過してきた経路に基づいて検証することで、受信した中継用の通信メッセージＭ２の信頼性をリアルタイムで判断する。例えば、リアルタイムに判定することで、第４１ＥＣＵ４１では、所定の経路以外を通過した中継用の通信メッセージＭ２の処理を中止にしたりすることができる。

また単に、通信経路を示すだけの情報である、バス情報１４と中継用のメッセージＩＤ１５とに基づいて中継用の通信メッセージＭ２の信頼性を判断するため、負荷の低い処理で中継用の通信メッセージＭ２の信頼性を判定することができるようになる。

（２）バス情報１４が、第４１ＥＣＵ４１に設定されている通信線情報４１６に対応するか否かを、バス情報１４と通信線情報４１６との比較に基づいて判断することに基づいて、中継用の通信メッセージの信頼性を判断するため、判断に係るデータ処理の負荷が低くなる。

（３）中継用のメッセージＩＤ１５とゲートウェイ情報４１７とを比較する処理に基づいて中継用の通信メッセージＭ２の信頼性を判定することができるようになるため、判定に係るデータ処理の負荷を低くすることができる。

（４）必要最低限の処理能力しか備えないことの多い第４１ＥＣＵ４１を通信装置とする車載ネットワークに採用されるＣＡＮプロトコルの通信システムに対し、低負荷かつリアルタイム性のある中継用の通信メッセージＭ２の信頼性の判定を適用することができる。

（５）ＣＡＮプロトコルにおいて、ユーザが内容を自由に設定できる「データ領域」であるデータフィールドにバス情報１４を持たせることができるため、通信メッセージに対してバス情報１４を持たせる処理を比較的高い自由度で行うことができるようになる。

（６）通信用のメッセージＩＤに対応するように変更されたメッセージＩＤに基づいて中継用のメッセージＩＤ１５を取得することができるため、中継用のメッセージＩＤ１５を用いての中継用の通信メッセージＭ２の信頼性の判断が容易になる。また、ＣＡＮプロトコルではメッセージＩＤはリアルタイムに処理されるため、中継用のメッセージＩＤ１５を用いた中継用の通信メッセージＭ２の信頼性の判断を速やかに行うことができるようにもなる。

（第２の実施形態）
次に、本発明にかかる通信システムについて、図８及び図９を参照して説明する。
本実施形態では、ＧＷ１０と第４１ＥＣＵ４１とに、通信メッセージに関するログデータを取得する構成が設けられることが、第１の実施形態の構成と異なるが、その他の構成は同様である。そこで以下では、第１の実施形態に対して相違する点を中心に説明し、同様の構成については同一の符号を付してその詳細な説明を割愛する。

図８に示すように、ＧＷ１０は、信号受信部１１に、ログ取得部１１Ａを有している。信号受信部１１のログ取得部１１Ａは、送信用の通信メッセージＭ１と、その送信用の通信メッセージＭ１を入力したバスの検出結果とを関連付けて記憶装置１３に時系列データであるログ１６（ログデータ）として記憶させる。なお、ログ取得部１１Ａは、送信用の通信メッセージＭ１の代わりに、送信用の通信メッセージＭ１が入力されたことを特定できる送信用の通信メッセージＭ１に関する情報をバスの検出結果に関連付けて記憶装置１３にログ１６として記憶させてもよい。

ログ解析部１７は、定期的に記憶装置１３のログ１６を解析するとともに、その解析の結果、記憶装置１３のログ１６のデータ量を減少させる。例えば、ログ解析部１７は、記憶装置１３に記憶されるログ１６が所定量になったり、所定時間が経過したりすると、ログ１６のデータを解析し、その解析結果を記憶装置１３にログ１６として記憶させるとともに、解析されたデータを削除する。これにより記憶装置１３に記憶されるログ１６のデータ量が減少する。ログデータの解析では、例えば、同様のログデータをまとめたり、同様の内容は最新のデータだけを残すようにしたり、正常なログデータを削除したりする。

これにより、ログ１６には信号受信部１１に入力された送信用の通信メッセージＭ１の情報が入力したバスの情報とともに格納されていることから、事後的であれ送信用の通信メッセージＭ１の信頼性について検証することができるようになる。また、解析されずに消去されてしまうデータが発生することを防止することができる。

図９に示すように、第４１ＥＣＵ４１は、信号受信部４１１に、ログ取得部４１９を有している。信号受信部４１１のログ取得部４１９は、中継用の通信メッセージＭ２を中継用のメッセージＩＤ１５とともに、記憶装置４１４に時系列データであるログ４１８（ログデータ）として記録させる。なお、ログ取得部４１９は、中継用の通信メッセージＭ２の代わりに、中継用の通信メッセージＭ２が入力されたことを特定できる中継用の通信メッセージＭ２に関する情報を記憶装置４１４にログ４１８として記録させてもよい。

第４１ＥＣＵ４１は、判断部４１２に、ログ取得部４２０を有している。判断部４１２のログ取得部４２０は、中継用の通信メッセージＭ２（Ｍ２ｂ）と、「データ領域」のバス情報１４とを関連付けて記憶装置４１４に時系列データであるログ４１８（ログデータ）として記憶させる。つまり、ログ取得部４２０は、バス情報１４を、すでにログ４１８として記憶されている中継用の通信メッセージＭ２（Ｍ２ｂ）のデータに関連付けて記憶させる。

ログ解析部４１５は、定期的に記憶装置４１４のログ４１８を解析するとともに、その解析の結果、記憶装置４１４のログ４１８のデータ量を減少させる。例えば、ログ解析部４１５は、記憶装置４１４に記憶されるログ４１８が所定量になったり、所定時間が経過したりすると、ログ４１８のデータを解析し、その解析結果を記憶装置４１４にログ４１８として記憶させるとともに、解析されたログデータを削除する。これにより記憶装置４１４に記憶されるログ４１８のデータ量が減少する。ログデータの解析では、例えば、同様のログデータをまとめたり、同様の内容は最新のデータだけを残すようにしたり、正常なログデータを削除したりする。

これにより、ログ４１８には、信号受信部４１１に入力された中継用の通信メッセージＭ２の情報が、バス情報１４とともに格納されていることから、事後的であれ中継用の通信メッセージＭ２の信頼性について検証することができるようになる。また、解析されずに消去されてしまうデータが発生することを防止することができる。

また、ログ解析部４１５は、ＧＷ１０に記憶されているログ１６を取得して、第４１ＥＣＵ４１のログ４１８と比較することで、事後的であれ中継用の通信メッセージＭ２がＧＷ１０により中継されたことを判定することもできる。こうすれば、中継用の通信メッセージＭ２の信頼性がより好適に検証（評価）できるようになる。

以上説明したように、本実施形態の通信システムによれば、先の第１の実施形態で記載した効果（１）〜（６）に加え、以下に列記するような効果が得られるようになる。
（７）送信用の通信メッセージＭ１の中継や、中継用の通信メッセージＭ２の受信がそれぞれログ１６，４１８に時系列データ（ログデータ）として記録されるため、事後的であれ通信メッセージの信頼性を評価することができるようになる。

（８）ログ１６，４１８として記憶されたデータの内容が解析結果に置きかえられることによってログ１６，４１８として記憶されているデータ容量を少なくすることができる。これにより、記憶容量に余裕の少ないＥＣＵにおいてログデータを保存することができるようになる。

（９）中継用の通信メッセージＭ２の経路を、ゲートウェイ１０のログ１６（ログデータ）と第４１ＥＣＵ４１のログ４１８（ログデータ）とから検証することができるため、中継用の通信メッセージＭ２の信頼性を検証できるようにもなる。これにより、中継用の通信メッセージＭ２の信頼性をより高く確保することができるようになる。

（その他の実施形態）
なお上記各実施形態は、以下の態様で実施することもできる。
・上記各実施形態では、データ・フレームは標準フォーマットであって、「ＩＤ領域」と「データ領域」とが設けられている場合について例示した。しかしこれに限らず、データ・フレームを拡張フォーマットとして、さらに「拡張ＩＤ領域」が設けられてもよい。

図１０に示すように、データ・フレームが拡張フォーマットである場合、「拡張ＩＤ領域」にバス情報を含めるようにしてもよい。バス情報を「拡張ＩＤ領域」に含めることで、「データ領域」の一部がバス情報に使用されること、つまり「データ領域」に格納できるデータが少なくなることを防ぐことができる。また、「拡張ＩＤ領域」は１８ビットの大きさがあるので、多数のバスを識別することが可能になる。

また、メッセージＩＤの拡張ＩＤ部分が中継用のメッセージＩＤに基づいて変更される一方、標準フォーマットにて用いられる標準ＩＤの部分は変更されない。つまり、通信システムにおけるその他の通信メッセージに対する影響を抑えつつ、中継用のメッセージＩＤに基づく中継用の通信メッセージの信頼性を判定することができるようになる。

これにより、通信システムの設計自由度の向上が図られるようになる。
・上記各実施形態では、第１〜第４のバス２０，３０，４０，５０の合計４つのバスが設けられている場合について例示した。しかしこれに限らず、通信システムに設けられているバスの数は、複数であれば、３つ以下であってもよいし、５つ以上であってもよい。これにより、通信システムの適用可能性が高められる。

・上記各実施形態では、第１のバス２０はセンサ系のバス、第２のバス３０は走行系のバス、第３のバス４０は駆動系のバス、第４のバス５０は情報機器系のバスである場合について例示した。しかしこれに限らず、各バスに接続されるＥＣＵ等の系列（種類）はこれ以外の組み合わせでもよいし、一つのバスに複数の系列（種類）のＥＣＵ等が接続されてもよい。これにより、通信システムの構成の自由度の向上が図られる。

・上記各実施形態では、第１〜第４のバス２０，３０，４０，５０に接続されるＥＣＵ等の数が２つである場合について例示した。しかしこれに限らず、バスに接続されるＥＣＵ等は、ＣＡＮプロトコルの規格に適合する数であればよく、１つであっても、３つ以上であってもよい。これにより、通信システムの構成の自由度の向上が図られる。

・上記各実施形態では、第２１ＥＣＵ２１〜第４２ＥＣＵ４２は同様な構成である場合について例示した。しかしこれに限らず、通信メッセージの信頼性を確保したい場合、対象となる通信メッセージを受信するＥＣＵのみに、通信メッセージの信頼性を確保できる信号受信部と判定部とを設けるようにしてもよい。これにより、従来のシステムを含めて、通信システムの適用可能性の向上が図られるようになる。

・上記各実施形態では、送信用の通信メッセージＭ１が第２１ＥＣＵ２１から出力される場合について例示した。しかしこれに限らず、送信用の通信メッセージを出力するＥＣＵには特に制限はない。また、上記各実施形態では、中継用の通信メッセージＭ２が第４１ＥＣＵ４１に受信される場合について例示した。しかしこれに限らず、中継用の通信メッセージを受信するＥＣＵにも特に制限はない。これにより、通信システムの構成の自由度の向上が図られるとともに、適用可能性が高められるようになる。

・上記各実施形態では、ＧＷ１０は、第１のバス２０から入力された送信用の通信メッセージＭ１を第２〜第４のバス３０，４０，５０にそれぞれ中継する場合について例示した。しかしこれに限らず、必要なバスに中継できるのであれば、ゲートウェイは、送信用の通信メッセージを特定のバスに中継するようにしてもよい。これにより、通信システムの構成の自由度を向上させることができる。

・上記各実施形態では、ＧＷ１０では、バスの情報を含める処理と、ゲートウェイの情報を含める処理とが順に実行される場合について例示した。しかしこれに限らず、中継用の通信メッセージが生成されるのであれば、各処理の順番に制限はなく、例えば、ゲートウェイの情報を含める処理の次に、バスの情報を含める処理が実行されてもよい。これにより、通信システムの設計自由度の向上が図られるようになる。

・上記各実施形態では、バス情報１４や通信線情報４１６は２進数の数値で示される場合について例示した。しかしこれに限らず、バス情報や通信線情報は、２進数以外の１０進数などで示されてもよいし、文字や記号を含んでもよい。このとき、バス情報を格納する「データ領域」等には、バス情報の大きさに適した大きさを確保すればよい。これにより、通信システムの設計自由度の向上が図られる。

・上記各実施形態では、バス情報１４は２進数の数値、中継用のメッセージＩＤ１５はメッセージＩＤでそれぞれ示される場合について例示した。しかしこれに限らず、バス情報と中継用のメッセージＩＤとから、通信メッセージの信頼性の判断に用いられる設定値を一つ定めるようにしてもよい。そして、この設定値にメッセージＩＤを用いてもよい。例えば、４つのバスと、１つのゲートウェイからなる通信システムであれば、それら４つのバスと、１つの中継用のメッセージＩＤの組み合わせからなる４つの中継用のメッセージＩＤで示すことができる。またこれに、バス経路の適否の有無を含める場合、８つのメッセージＩＤで示すことができる。これによっても、迅速に処理されるメッセージＩＤを用いて通信メッセージの信頼性を判断することができ、通信システムの設計自由度の向上が図られる。

・上記各実施形態では、送信用のメッセージＩＤの値と、中継用のメッセージＩＤ１５の値とが連番である場合について例示した。しかしこれに限らず、送信用のメッセージＩＤに対応する中継用のメッセージＩＤ１５が選択可能であれば、送信用のメッセージＩＤの値と、中継用のメッセージＩＤ１５の値とは、連番でなくてもよい。これにより、通信システムの設計自由度の向上が図られるようになる。

・上記各実施形態では、複数のバス情報１４及び複数の中継用のメッセージＩＤ１５が記憶装置１３に記憶され、複数の通信線情報４１６及びゲートウェイ情報４１７が記憶装置４１４に記憶される場合について例示した。しかしこれに限らず、複数のバス情報や中継用のメッセージＩＤが、１つなどそれらよりも少ない数のリストや表、データベースなどで管理されていてもよい。同様に、複数の通信線情報やゲートウェイ情報が、１つなどそれらよりも少ない数のリストや表、データベースなどで管理されていてもよい。これにより、情報の管理の自由度が向上し、通信システムとしての設計自由度の向上も図られるようになる。

・上記実施形態では、送信用のメッセージＩＤの値に、２つの中継用のメッセージＩＤ１５の値が対応する場合について例示した。しかしこれに限らず、送信用のメッセージＩＤの値に、１つの中継用のメッセージＩＤの値が対応してもよい。この場合、通信メッセージがゲートウェイに中継されたことを確認することができる。また、送信用のメッセージＩＤの値に、３つ以上の中継用のメッセージＩＤの値が対応してもよい。この場合、中継用の通信メッセージに付与する中継用のメッセージＩＤを切り換えて使うようにすることができる。これにより、通信システムとしての設計自由度の向上が図られる。

・上記各実施形態では、第４１ＥＣＵ４１の信号受信部４１１は受信した中継用の通信メッセージＭ２を判断部４１２に伝達するか否かを判断する場合につていて例示した。しかしこれに限らず、ＥＣＵの信号受信部は、受信した中継用の通信メッセージを全て判断部に伝達してもよい。これにより、中継用のメッセージＩＤによるゲートウェイの通過の有無の判断を行わなくとも、バス経路に基づいて通信メッセージの信頼性を判断することができるようになる。これにより、通信システムの設計自由度の向上が図られるようになる。

・上記各実施形態では、主に、送信用のメッセージＩＤ「０ｘ０２０」が、中継用のメッセージＩＤ「０ｘ０２１」又は「０ｘ０２２」に変更される場合について例示した。しかしこれに限らず、送信用のメッセージＩＤと、それに対応する中継用のメッセージＩＤとが設定されていれば、ゲートウェイは、どのような値の送信用のメッセージＩＤであれ、対応する中継用のメッセージＩＤに変更してもよい。また、そもそも、送信用のメッセージＩＤを中継用のメッセージＩＤに変更しない旨が設定されていれば、送信用のメッセージＩＤをそのまま中継用のメッセージＩＤとして採用してもよい。さらに、送信用のメッセージＩＤを中継用のメッセージＩＤに変更するか、又は、しないかを、所定の条件等によって自動的に変更するようにしてもよい。また、送信用のメッセージＩＤに複数の中継用のメッセージＩＤが対応付けられている場合、どの中継用メッセージＩＤに変更するかについても、所定の条件等によって自動的に変更するようにしてもよい。例えば、ＥＣＵの負荷を所定の条件とし、そのＥＣＵの負荷が小さいときは、中継用のメッセージＩＤを、バス経路の確認が必要なメッセージＩＤに変更し、逆に、ＥＣＵの負荷が大きいときは、中継用のメッセージＩＤを、バス経路の確認が不要なメッセージＩＤに変更するようにしてもよい。これにより、通信システムの設計自由度の向上が図られるようになる。

・上記各実施形態では、通信システムにＧＷ１０が一つだけである場合について例示した。しかしこれに限らず、通信システムには複数のゲートウェイが設けられていてもよい。複数のゲートウェイが設けられている場合、通信メッセージの信頼性の判断を、どれか１つのゲートウェイに中継されたことに基づいて判断してもよいし、複数のゲートウェイに中継されたことに基づいて判断してもよい。これにより、この通信システムの適用可能性が向上するようになる。

・上記各実施形態では、中継用の通信メッセージにバス情報１４と中継用のメッセージＩＤ１５を含ませる場合について例示した。しかしこれに限らず、通信メッセージの信頼性判断に役立つ他の情報、例えば、ＧＷと相互認証を済ませているＥＣＵが送信した通信メッセージに対しては、相互認証済であることを中継用の通信メッセージに含ませるようにしてもよい。これにより、通信メッセージの信頼性をより向上させることができるようになる。

・上記各実施形態では、通信システムがＣＡＮプロトコルに基づくシステムである場合について例示した。しかしこれに限らず、通信メッセージがゲートウェイを介して複数のバス間で転送されるものであれば、通信システムに適用される通信プロトコルは、ＣＡＮプロトコル以外のプロトコル、例えば、イーサーネット（登録商標）やフレックスレイ（登録商標）などの通信プロトコルであってもよい。これにより、このような通信システムの適用可能性の向上が図られるようになる。

・上記各実施形態では、通信システムが車両１に搭載されている場合について例示した。しかしこれに限らず、通信システムは、その一部が車両以外に設けられていてもよい。これにより、車両を含む通信システムに対して通信メッセージの信頼性の判断ができるようになるため、この通信システムの適用可能性の向上が図られるようになる。

・上記各実施形態は、通信システムが車両１に搭載される場合について例示した。しかしこれに限らず、通信システムが搭載される装置は、通信メッセージをゲートウェイを介して複数のバス間で転送するものであれば、車両以外の装置、例えば鉄道用車両、船舶、ロボットや産業機械であってもよい。これにより、通信システムとしての適用範囲の拡大が図られるようになる。

１…車両、１０…ゲートウェイ（ＧＷ）、１１…信号受信部、１１Ａ…ログ取得部、１２…信号変更部、１３…記憶装置、１４…バス情報、１６…ログ、１７…ログ解析部、２０…第１のバス、２１，２２，３１，３２，４１，４２…電子制御装置（ＥＣＵ）、２０，３０，４０，５０…バス、５１…車載式故障診断装置（ＯＢＤ）、５２…データリンクコネクタ（ＤＬＣ）、５３，５４…通信装置、４１１…信号受信部、４１２…判断部、４１３…信号処理部、４１４…記憶装置、４１５…ログ解析部、４１６…通信線情報、４１７…ゲートウェイ情報、４１８…ログ、４１９，４２０…ログ取得部、Ｍ１，Ｍ２…通信メッセージ。

Claims (11)

1. 通信線に接続され、その接続された通信線を介して通信メッセージによる通信を行う１乃至複数の通信装置と、前記通信線が複数接続されるとともに、それら通信線の間で通信メッセージを相互に中継する１乃至複数のゲートウェイとを備える通信システムであって、
   ゲートウェイは、前記複数の通信線のうちの一の通信線から入力された通信メッセージに当該一の通信線を示す第１の経路情報と該ゲートウェイに入力されたことを示す第２の経路情報とを含む中継用の通信メッセージを生成して、該生成した中継用の通信メッセージを前記一の通信線以外の１つもしくは複数の通信線に転送し、
   前記通信装置は、受信した通信メッセージに含まれる前記第１の経路情報と前記第２の経路情報とに基づいて、当該受信した通信メッセージの信頼性を判断する
   ことを特徴とする通信システム。
2. 前記通信装置には、前記複数の通信線の各第１の経路情報にそれぞれ対応する通信線情報が設定されており、前記通信装置では、前記受信した通信メッセージに含まれている前記第１の経路情報が前記設定されている通信線情報に対応するか否かに基づいて前記受信した通信メッセージの信頼性を判断する
   請求項１に記載の通信システム。
3. 前記通信装置には、ゲートウェイの各第２の経路情報に対応するゲートウェイ情報が設定されており、前記通信装置では、前記受信した通信メッセージに含まれている前記第２の経路情報が前記設定されているゲートウェイ情報に対応するか否かに基づいて前記受信した通信メッセージの信頼性を判断する
   請求項１又は２に記載の通信システム。
4. 前記通信メッセージはコントローラエリアネットワークのプロトコルとして構成される
   請求項１〜３のいずれか一項に記載の通信システム。
5. ゲートウェイは、前記プロトコルで規定されている通信メッセージのデータフィールドに前記第１の経路情報を持たせ、
   前記通信装置は、前記通信メッセージのデータフィールドから前記第１の経路情報を取得する
   請求項４に記載の通信システム。
6. ゲートウェイは、前記プロトコルで規定されている通信メッセージのメッセージＩＤを前記第２の経路情報を含むメッセージＩＤに変更し、
   前記通信装置は、前記通信メッセージに含まれる前記変更されたメッセージＩＤから第２の経路情報を取得する
   請求項４又は５に記載の通信システム。
7. 前記通信メッセージは拡張フォーマットであり、前記メッセージＩＤは前記拡張フォーマットで規定されている拡張ＩＤ領域に対応する部分が変更されたものである
   請求項６に記載の通信システム。
8. ゲートウェイは、前記一の通信線から入力された通信メッセージの情報を、前記第１の経路情報とともにログデータとして保存するとともに、
   前記通信装置は、前記受信した通信メッセージの情報を、前記受信した通信メッセージに含まれている前記第１の経路情報及び前記第２の経路情報とともにログデータとして保存する
   請求項１〜７のいずれか一項に記載の通信システム。
9. 前記ログデータは、定期的に所定のルールに基づいて解析され、該解析により得られた解析結果に置きかえられる
   請求項８に記載の通信システム。
10. 前記通信装置は、ゲートウェイに保存されているログデータを取得するとともに、当該取得したログデータを前記通信装置に保存されているログデータと比較することによって通信メッセージの信頼性を評価する
    請求項８又は９に記載の通信システム。
11. 通信線に接続され、その接続された通信線を介して通信メッセージによる通信を行う１乃至複数の通信装置と、前記通信線が複数接続されるとともに、それら通信線の間で通信メッセージを相互に中継する１乃至複数のゲートウェイとを有する通信システムに使用される通信方法であって、
    前記複数の通信線のうちの一の通信線からゲートウェイに入力された通信メッセージに当該一の通信線を示す第１の経路情報と該ゲートウェイに入力されたことを示す第２の経路情報とが含まれる中継用の通信メッセージを前記ゲートウェイを通じて生成する工程と、
    前記生成された中継用の通信メッセージを前記ゲートウェイから前記一の通信線以外の１つもしくは複数の通信線に転送する工程と、
    前記中継用の通信メッセージを受信した通信装置に、受信した通信メッセージに含まれる前記第１の経路情報と前記第２の経路情報とに基づいて、当該受信した通信メッセージの信頼性を判断させる工程とを備える
    ことを特徴とする通信方法。

Images