JP5664799B2 - 通信システム及び通信方法 - Google Patents

Description

本発明は、車両などにおいて複数の通信装置がネットワーク接続されている通信システム、及び通信方法に関する。

周知のように、車両に搭載された複数の電子制御装置（ＥＣＵ）にあっては、それぞれがネットワーク接続されることによってそれら電子制御装置の有する情報（車両情報）を相互に通信可能とする通信システム、すなわち車両ネットワークシステムを構成していることが多い。そして、このような車両ネットワークシステムの一つにコントロールエリアネットワーク（ＣＡＮ）がある。

ＣＡＮは、通信線であるバスを共有する各ＥＣＵが各々の判断でバス上にメッセージを流すことができるようになっているため、各ＥＣＵからバスへのメッセージの送信が容易である。そのため、例えばＣＡＮのバスに不正なＥＣＵを接続して、当該バスに不正なメッセージを送信することも可能であり、そうした不正なメッセージが送信されると、これを受信したＥＣＵでは、当該不正なメッセージを正規のメッセージと同様に処理してしまうおそれもある。

そこで従来は、不正なメッセージを送信する不正なＥＣＵを検出する技術なども提案されており、その一例が特許文献１に記載されている。

特許文献１に記載の通信システムには、車両内の通信線（通信ライン）に複数のＥＣＵと１つのゲートウェイとが各々相互通信可能に接続されている。これら各ＥＣＵは、イグニッションスイッチのオフに伴い、自装置に内蔵されているデータのハッシュ値をゲートウェイへ送信する。これを受けたゲートウェイは、送信された各ＥＣＵのハッシュ値を比較用データとしてＥＥＰＲＯＭに記憶する。一方、イグニッションスイッチがオンされて動作を開始した各ＥＣＵは、自装置に内蔵されているデータのハッシュ値をゲートウェイへ送信する。これによりゲートウェイは、各ＥＣＵについて、新たに送信されたハッシュ値と、上記ＥＥＰＲＯＭ内に記憶されている対応する比較用データ（ハッシュ値）とを比較する。そして、この比較の結果が不一致と判断された場合、そのＥＣＵのデータが改ざんされていると判定する。これにより、改ざんされているＥＣＵを確実に検出することができるようになり、ひいてはこのようなＥＣＵからＣＡＮのバスに不正なメッセージが送信されることを防止することができるようになる。

特開２００５−２４２８７１号公報

ところで、車両用のＣＡＮには、ＣＡＮへの接続端子としてのデータリンクコネクタ（ＤＬＣ）を介して、メーカやカーディーラ等により用意された車両診断装置やＥＣＵのプログラムをアップデートさせる装置などを接続することができる。また近年は、上述の車両診断装置等の他に、ユーザが独自に用意した機器等が上記データリンクコネクタを介してＣＡＮに接続されることも多くなってきている。このため、こうしたユーザが独自に用意した機器等についても、不正なメッセージを送信することがないか否かを判断する必要がある。

ところが、上述の特許文献１に記載の通信システムは、イグニッションスイッチのオフ及びオンのいずれの際にも接続されているＥＣＵの改ざんを検出することはできるものの、イグニッションスイッチの状態にかかわらず、ＤＬＣを介して接続される機器となると、その改ざんの有無等を判定することはできない。

本発明は、このような実情に鑑みなされたものであって、その目的は、通信システムにて通信されているメッセージの正／不正を簡易な構成で判定することのできる通信システム及び、通信方法を提供することにある。

以下、上記課題を解決するための手段及びその作用効果を記載する。

上記目的を達成するために本発明が提供する通信システムは、複数の通信装置がメッセージを通信可能に通信線に接続された通信システムであって、前記通信装置には、通信されるメッセージに対して規定された通信間隔が設定されており、メッセージを送信する通信装置はこの規定された通信間隔に基づいてメッセージを送信するものであり、前記送信されたメッセージを受信する通信装置は、当該受信したメッセージの通信間隔を検出し、この検出した通信間隔と前記規定された通信間隔との差を、前記検出した通信間隔を正常と判断する範囲として設定された基準範囲と比較することに基づいて当該受信したメッセージの正／不正を判定するものであり、前記基準範囲は、送信されたメッセージが衝突した後に新たにメッセージが送信されるときの通信間隔と、前記規定された通信間隔との間の誤差を含むように設定されてなる。

上記目的を達成するために本発明が提供する通信方法は、複数の通信装置がメッセージを通信可能に通信線に接続された通信システムに用いられる通信方法であって、前記通信装置には、通信されるメッセージに対して規定された通信間隔を設定し、メッセージを送信する通信装置が前記設定された通信間隔に基づいてメッセージを送信する都度、メッセージを受信する通信装置には、当該受信したメッセージの通信間隔を検出させ、この検出した通信間隔と前記規定された通信間隔との差を、前記検出した通信間隔を正常と判断する範囲と比較することに基づいて当該受信したメッセージの正／不正を判定させ、前記正常と判断する範囲を、送信されたメッセージが衝突した後に新たにメッセージが送信されるときの通信間隔と、前記規定された通信間隔との間の誤差を含むように設定する。

このような構成もしくは方法によれば、メッセージを送信する通信装置と当該メッセージを受信する通信装置とが、それら通信装置の間で通信されるメッセージに対して規定された通信間隔を共有する。これにより、メッセージを受信する通信装置では、受信したメッセージの通信間隔を検出し、当該検出した通信間隔と規定された通信間隔との比較に基づいて通信されたメッセージの正／不正が判定できるようになる。具体的には、メッセージを受信する通信装置は、規定された通信間隔に従って受信されたメッセージを正規のメッセージであると判定する一方、規定された通信間隔から外れて受信されたメッセージを不正なメッセージであると判定する。これにより、通信されたメッセージに紛れ込んだ不正なメッセージが判別されるようになるため、受信されたメッセージから不正なメッセージが除外されるようになる。つまり、通信システムでは、通信装置間で通信されたメッセージの正／不正が簡易な構成で判定されるようになる。

好ましい構成として、前記メッセージを送信する通信装置には、前記規定された通信間隔でメッセージが送信されなかったとき当該メッセージの送信を待機させる再送間隔が設定されており、前記規定された通信間隔でメッセージが送信されなかったとき、前記規定された通信間隔に前記再送間隔を加算する。
このような構成によれば、通信装置間で通信されたメッセージの正／不正が簡易な構成で判定されるようになる。
好ましい構成として、前記通信線はコントロールエリアネットワークのプロトコルに対応する通信線であるとともに、前記通信されるメッセージがコントロールエリアネットワークのプロトコルに基づくメッセージである。

好ましい方法として、前記送信するメッセージ、及び受信するメッセージをコントロールエリアネットワークのプロトコルに基づくメッセージとして通信する。

このような構成もしくは方法によれば、コントロールエリアネットワーク（ＣＡＮ）のプロトコルで通信されるメッセージの正／不正を、規定された通信間隔に基づいて判定することができるようになる。ＣＡＮでは、バスに接続された通信装置は自己判断で通信を開始することができる、つまり各通信装置がそれぞれの都合でバス上にメッセージを送信することができるため、バスとしての通信線への通信装置の追加などが柔軟に行える。このため、このようにメッセージの正／不正を簡易に判定することができるようにすることで、ＣＡＮシステムからなる通信システムとしての信頼性を向上させることができるようになる。

好ましい構成として、前記規定された通信間隔は、コントロールエリアネットワークのプロトコルの識別子に対応付けられており、前記メッセージを送信する通信装置は、前記メッセージに付与するコントロールエリアネットワークのプロトコルの識別子に基づいて規定された通信間隔を選択する。

通常、メッセージの通信間隔はそのメッセージの内容、つまりＣＡＮプロトコルにおいてメッセージの内容毎に付与される識別子毎に定まる。このため、このような構成によれば、規定された通信間隔の管理や選択をメッセージの内容に対応付けて行うことができるようになる。また、識別子は、ＣＡＮにおいて、ＣＡＮプロトコルに対応するメッセージの通信処理を行うＣＡＮコントローラにより認識可能である。このため、ＣＡＮコントローラが識別子に基づいて規定された通信間隔を選択し、当該規定された通信間隔でメッセージを送信することも容易にもなる。これにより、通信システムとしての適用可能性が高められる。

好ましい構成として、前記メッセージを受信する通信装置は、前記メッセージに付与されているコントロールエリアネットワークのプロトコルの識別子に基づいて当該メッセージの正／不正の判定に用いる規定された通信間隔を選択する。

このような構成によれば、ＣＡＮコントローラにより認識可能な識別子に基づいて規定された通信間隔が選択されるため、当該規定された通信間隔でメッセージが受信されたか否かの判定、つまりメッセージの正／不正の判定が容易に行えるようになる。

好ましい構成として、前記通信されるメッセージは複数種類あり、それら複数種類のメッセージの別に通信間隔がそれぞれ規定されている。

このような構成によれば、複数種類の通信されるメッセージのそれぞれに対し、それぞれに対応する規定された通信間隔に基づいて当該通信されるメッセージの正／不正が判定されるようになる。これにより、通信システムは、そこで通信される様々なメッセージについても、それらメッセージの正／不正を判定することができるようになる。

好ましい構成として、前記通信装置には、前記規定された通信間隔がメッセージを送信する通信装置から伝達される。

このような構成によれば、通信されるメッセージに対して規定された通信間隔がメッセージを受信する通信装置に設定されていない場合であれ、メッセージを受信する通信装置には規定された通信間隔が適宜設定され、同受信する通信装置は規定された通信間隔に基づいて通信されるメッセージの正／不正を判定することができるようになる。これにより、この通信システムの適用可能性や利便性の向上が図られるようになる。

また、通信線（ＣＡＮバス）にデータリンクコネクタを介して接続されたメーカやカーディーラ等で用意された診断装置やアップデート装置などの正規の装置が送信するメッセージに対しても、それら装置から通信するメッセージに対して規定された通信間隔を通信システムに伝達することができる。これにより、通信システムでは、データリンクコネクタを介して接続された装置に対してもメッセージの正／不正の判定が行えるようになる。

さらに、規定された通信間隔を動的に変更することもできるようになるため、セキュリティーを向上させることができるようにもなる。

これらのことによっても、この通信システムの適用可能性や利便性の向上が図られる。

好ましい構成として、前記通信装置には前記通信間隔を検出するためのタイマが設けられており、前記タイマの時刻が、前記複数の通信装置のうちの一つの通信装置から送信される同期用のメッセージに基づき全ての通信装置で同期される。

このような構成によれば、通信間隔の検出に用いられるタイマが複数の通信装置間で同期されるようになるため、いずれの通信装置間で通信されたメッセージであれ、当該メッセージの通信間隔が同期されたタイマに基づいて検出されるようになる。これにより、検出された通信間隔とメッセージに対して規定された通信間隔との比較結果の精度向上が期待されるようになる。よって、この通信システムによるメッセージの正／不正の判定がより好適になされるようになる。

好ましい構成として、前記同期用のメッセージは、メッセージを送信する通信装置から送信される。

このような構成によれば、メッセージを送信する通信装置のタイマに、メッセージを受信する通信装置のタイマが同期されるようになるため、通信されたメッセージの通信間隔がより高精度で検出されることが期待される。これにより、この通信システムによるメッセージの正／不正の判定がより一層好適になされるようになる。

本発明に係る通信システムを具体化した一つの実施形態について、その概略構成を示すブロック図。 図１に示すコントローラの概略構成を示すブロック図。 図１に示すコントローラがメッセージを送信する手順を示すフローチャート。 図１に示すコントローラがメッセージを受信する手順を示すフローチャート。 図１に示す通信システムがメッセージを通信する態様を示すシーケンス図。 図１に示す通信システムがメッセージの正／不正を判定する態様を説明する模式図。 本発明に係る通信システムを具体化した他の実施形態について、通信システムがメッセージを通信する態様を示すシーケンス図。 本発明に係る通信システムを具体化したその他の実施形態について、その概略構成を示すブロック図。

本発明に係る通信システムを具体化した第１の実施形態について、図１〜６に従って説明する。

図１に示すように、車両１は、通信システムとしての車載ネットワークシステムを備えている。車載ネットワークシステムは、第１〜第４電子制御装置（ＥＣＵ）１０〜１３と、第１〜第４ＥＣＵ１０〜１３が接続される通信用バス１５とを備えている。これにより、第１〜第４ＥＣＵ１０〜１３は、制御などに用いられる各種情報を通信用バス１５を介して相互に授受（送信受信）できるようになっている。なお、車載ネットワークシステムは、通信プロトコルとしてＣＡＮ（Ｃｏｎｔｒｏｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）プロトコルの適用されるＣＡＮネットワークとして構成されている。例えば、高速ＣＡＮの仕様は、伝送レートが５００ｋｂｐｓ、最大バス長が４０ｍ、最大接続ノード数が１６個と規定されている。また、ＣＡＮプロトコルで通信における１単位となるフレームであって、データ転送に用いられるデータ・フレームに含めて送信できるデータ量が最大で６４ビット（８バイト）に定められている。通信用バス１５は、例えばツイストペアケーブルである。

また、通信用バス１５には、当該通信用バス１５に外部機器を通信可能に接続させることのできる接続端子としてのデータリンクコネクタ（ＤＬＣ）１４が設けられている。ＤＬＣ１４には、メーカやカーディーラ等で用意された正規の通信装置として、車両状態等の診断を行う診断機器３０や、第１〜第４ＥＣＵ１０〜１３のソフトウェアをアップデートするための機器である正規ツール３１などが有線接続されている。診断機器３０は、通信用バス１５を介して収集した第１〜第４ＥＣＵ１０〜１３からの車両情報等に基づいて車両状態等の診断を行う。正規ツール３１は、第１〜第４ＥＣＵ１０〜１３に記憶されているソフトウェアをアップデートさせるために書き換えさせる、いわゆるリプログラミングさせることができる。

さらに、ＤＬＣ１４には、ユーザが独自に用意した非正規の通信装置として、ユーザツール３２を接続させることもできる。ユーザツール３２は、例えば非正規のテスターやスマートフォンなどであるため、ＣＡＮに接続されたときＣＡＮの通信に悪影響を与えないことが必ずしも保証されていない。特に、スマートフォン等では、ユーザが任意に選択した速度表示などのアプリケーションソフトウェアがＣＡＮプロトコルに基づくメッセージの送信受信を行うこととなる。こうしたアプリケーションソフトウェアによる通信は、ＣＡＮプロトコルに適合しているか、通信に不都合を生じさせないか、悪意のある機能が含まれていないかの検証が十分とは限らないため、通信システムとしては、メッセージを監視し、そのメッセージの正／不正を判定する必要がある。

第１〜第４ＥＣＵ１０〜１３はそれぞれ、車両１の各種制御に用いられる制御装置であって、例えば、駆動系や、走行系や、車体系や、情報機器系等を制御対象としているＥＣＵである。例えば、駆動系を制御対象とするＥＣＵとしては、エンジン用ＥＣＵが挙げられ、走行系を制御対象とするＥＣＵとしては、ステアリング用ＥＣＵやブレーキ用ＥＣＵが挙げられ、車体系を制御するＥＣＵとしては、ライト用ＥＣＵやウィンドウ用ＥＣＵが挙げられ、情報機器系を制御対象とするＥＣＵとしては、カーナビゲーション用ＥＣＵが挙げられる。なお、通信用バス１５に接続されるＥＣＵの数は、４つに限られず、３つ以下であっても、５つ以上であってもよい。なお、第１〜第４ＥＣＵ１０〜１３は、同様の構造を有しているため、以下では第１ＥＣＵ１０の構造について説明し、第２〜第４ＥＣＵ１１〜１３の構造についての説明を割愛する。

第１ＥＣＵ１０には、通信用バス１５を介してＣＡＮプロトコルに基づくメッセージの通信を行う通信部２０と、各種制御に必要とされる処理を行うとともに、通信部２０との間で通信データの授受を行う処理部２３とが設けられている。

処理部２３は、マイクロコンピュータを含み構成されており、各種処理を行う演算装置や、演算結果や各種制御機能を提供するプログラムなどを保持する記憶装置を有している。そして、処理部２３では、所定の制御機能を提供するプログラムが演算装置で実行処理されることによって当該所定の制御機能が提供される。

また、処理部２３には、速度センサやエンジン回転センサなど図示しない各種センサが第１ＥＣＵ１０の図示しない入出力インターフェースを介して接続されており、処理部２３は、センサの検出値を所定の間隔、例えば１２ｍｓｅｃ毎や、１００ｍｓｅｃ毎や、５００ｍｓｅｃ毎に検出する。

さらに、処理部２３は、通信部２０からメッセージにより取得された通信データを得るとともに、送信したい通信データを通信部２０に付与する。つまり、処理部２３は、制御機能に必要とされる各種データを通信用バス１５を介して取得することができるとともに、他のＥＣＵに配布したい各種データを通信用バス１５に送信することができるようになっている。

取得された通信データや、配布したい通信データとしては、各種センサの検出値に基づくデータや、情報系機器からの情報に基づくデータなどがある。各種センサの検出値に基づくデータのデータ長は、１つのデータ・フレームに収まるデータ長であることが多く、通常、このデータ転送は一つのメッセージの通信で完了するものの、このメッセージはセンサの検出間隔に従って定期的に送信される。なお、説明の便宜上、本実施形態では、一つのメッセージで通信が完了するとともに、定期的に送信されるメッセージを「定期メッセージ」と称する。また、情報系機器からの情報に基づくデータのデータ長は、１つのデータ・フレームに収まるデータ長よりも長いものもあり、その情報は複数のデータに分割され、該分割された各データを格納した複数のデータ・フレームがメッセージとして所定の間隔で順次連続的に通信される。なお、説明の便宜上、本実施形態では、分割されたデータを所定の間隔で順次連続的に送信するメッセージを「連続メッセージ」と称する。すなわち、「連続メッセージ」によるデータ転送は、複数に分割された各データを格納した各メッセージが全て通信されることにより完了する。

通信部２０には、トランシーバ２１とコントローラ２２とが設けられている。

トランシーバ２１は、通信用バス１５とコントローラ２２との間でＣＡＮプロトコルに基づくメッセージの中継を行う。具体的には、トランシーバ２１は、通信用バス１５にて通信されているメッセージの電気的特性をコントローラ２２の入力に適合する電気的特性に変換することで、通信用バス１５にて通信されたメッセージをコントローラ２２に入力させる。また、トランシーバ２１は、コントローラ２２から入力されたメッセージの電気的特性を通信用バス１５での通信に適合する電気的特性に変換することで、コントローラ２２から出力されたメッセージを通信用バス１５に伝達させるようにする。

コントローラ２２は、いわゆるＣＡＮコントローラであって、受信したメッセージを解析し、当該メッセージに含まれる通信データを取得するとともに、処理部２３から入力された通信データに基づいて、当該通信データに対応するメッセージを生成して送信する。すなわち、コントローラ２２は、トランシーバ２１から入力されたメッセージに含まれる通信データを処理部２３に提供するとともに、処理部２３から入力された通信データに基づいて生成したメッセージをトランシーバ２１に出力する。

図２に示すように、本実施形態では、コントローラ２２には、メッセージの正／不正の判定に関する各種パラメータ等を保持する保存領域２４と、ＣＡＮの通信状態を監視するＣＡＮフレーム監視機能２６と、メッセージの通信タイミングを判断する制御判断機能２７とが設けられている。また、コントローラ２２には、制御判断機能２７の判断に基づいてメッセージを送信するとともに、受信したメッセージの正／不正を判定する送受信制御機能２８と、通信間隔の測定等に用いられるタイマ２９Ａと、タイマ２９Ａの同期を確保させる同期機能２９とが設けられている。

保存領域２４は、不揮発性メモリやハードディスクなどに確保されたデータを保持することのできる領域であって、メッセージの正／不正の判定に関する各種パラメータがタイミング規定２５として保持されている。なお、保存領域２４には、ＣＡＮプロトコルの各種パラメータが保持されていてもよい。

タイミング規定２５には、メッセージに対して規定された通信間隔がメッセージの種類毎に保持されている。ＣＡＮプロトコルではメッセージの種類がメッセージに付与された識別子（ＩＤ）により区別されるため、タイミング規定２５には、メッセージに対して規定された通信間隔が識別子に対応付けられた態様で保持されている。タイミング規定２５には、例えば、メッセージの識別子「１Ａ０」には通信間隔「１２ｍｓｅｃ」が対応付けられ、メッセージの識別子「１Ａ１」には通信間隔「５００ｍｓｅｃ」が対応付けられ、メッセージの識別子「１Ａ２」には通信間隔「１００ｍｓｅｃ」が対応付けられて保持されている。つまり、タイミング規定２５は、第１〜第４ＥＣＵ１０〜１３に設定されているため、タイミング規定２５に保持されている規定された通信間隔は、第１〜第４ＥＣＵ１０〜１３で共有される。

また、タイミング規定２５には、メッセージの正／不正の判定に必要とされる情報として、メッセージの送信を開始する時間や、送信が停止・休止される条件や、タイマの同期制御を行うタイミングや、通信間隔の正／不正判定をするための基準となる所定の範囲、例えば、誤差範囲やマージン期間なども保持されている。誤差範囲やマージン期間は、試験や経験、シミュレーションなどに基づいて設定される。

ＣＡＮフレーム監視機能２６は、トランシーバ２１から入力されるメッセージを監視することにより、通信用バス１５に送信されているメッセージ（フレーム）の通信間隔を算出したり、通信用バス１５の通信容量に対する負荷状態を算出したりすることなどに基づいて通信用バス１５の通信状態を把握する。

制御判断機能２７は、ＣＡＮフレーム監視機能２６から得られる通信用バス１５の通信状態に基づいてメッセージの送信の可否を判定するとともに、メッセージの送信が可能な場合、保存領域２４内に格納されているタイミング規定２５に規定される通信間隔に従って通信させるメッセージの送信タイミングを送受信制御機能２８へ指示する。つまり、制御判断機能２７は、通信用バス１５に所定の通信量以上のメッセージが流れているときには、コントローラ２２からの送信を抑制させる。なお、本実施形態では、所定の通信量は、当該通信用バス１５の最大通信容量の３０〜４０％に相当する量としているが、３０％よりも小さくしたり、４０％よりも大きくしてもよい。

また、制御判断機能２７は、送受信制御機能２８が受信したメッセージに対して規定された通信間隔をタイミング規定２５を参照して取得するとともに、受信されたメッセージの通信間隔を算出する。そして、制御判断機能２７は、算出された通信間隔と規定された通信間隔とを比較して差を算出し、通信間隔の差が所定の誤差範囲内である場合、当該メッセージは正規のメッセージであると判定するとともに、当該メッセージを通常通り処理するように送受信制御機能２８に指示する。一方、制御判断機能２７は、同通信間隔の差が所定の誤差範囲を超える場合、当該メッセージが不正なメッセージであると判定するとともに、当該メッセージを破棄するように送受信制御機能２８に指示する。なお、受信されたメッセージが１つだけであるなど、受信されたメッセージの通信間隔を算出することができない場合、メッセージの正／不正の判定を一旦保留して、当該受信されたメッセージを保持しておくように送受信制御機能２８に指示する。

送受信制御機能２８は、処理部２３から入力された通信データに基づきコントローラ２２で作成されたメッセージを制御判断機能２７の指示に従いトランシーバ２１を介して送信させる。つまり、送受信制御機能２８は、送信するメッセージの識別子を制御判断機能２７に通知した後、制御判断機能２７から当該通知に応じて指示される送信タイミングに対応してメッセージを送信する。このため、メッセージは制御判断機能２７の指示する通信間隔により送信されるようになる一方、制御判断機能２７から送信が指示されるまでメッセージの送信が停止される。

また、送受信制御機能２８は、メッセージを受信すると当該メッセージを識別子と受信時刻とともに保存領域２４に一時保存するとともに、当該メッセージを受信した旨を制御判断機能２７に通知する。そして、この通知に応答して制御判断機能２７から受けた指示に従って、受信したメッセージを処理する。例えば、送受信制御機能２８は、制御判断機能２７から通常通り処理する旨の指示を受けると当該対象とするメッセージをコントローラ２２で解析処理し通信データを処理部２３が取得可能にする。また、送受信制御機能２８は、制御判断機能２７からメッセージを破棄する旨の指示を受けると一時保持したメッセージ等を保存領域２４から消去させることで当該メッセージを破棄する。さらに、送受信制御機能２８は、制御判断機能２７から保留する旨の指示を受けると保存領域２４におけるメッセージ等の一時保持を継続させて当該メッセージを維持する。また、送受信制御機能２８は、通信されているメッセージが「連続メッセージ」の場合、データ転送の途中で不正なメッセージが検出されたとき、以降のメッセージの受信を停止するようにしてもよい。

タイマ２９Ａは、いわゆる時計であって、計測される時間に基づいて同一の識別子を有する２つのメッセージの通信間隔が、例えば数ミリ秒から数秒の範囲で計測される。そのため、通信間隔の計測中に通信している他のＥＣＵとの間で時刻に誤差が生じないことが好ましい。そこでタイマ２９Ａは、計測している時刻が通信システムに設定されたマスタのタイマに同期するように修正可能となっている。

同期機能２９は、タイマ２９Ａの時刻を、通信システムに接続されている他のＥＣＵに同期させる機能を有している。同期機能２９には、タイマ２９Ａの時刻に基づいて同期タイミングを指示する時刻同期メッセージＭ５（図１参照）を発生するマスタモードと、受け取った時刻同期メッセージＭ５に従ってタイマ２９Ａを同期させるスレーブモードとが選択可能に設けられている。このように、この同期は、ＣＡＮプロトコルに規定されており、メッセージ（フレーム）を正確に送受信するためにＥＣＵ（ノード）間で行われる同期とは異なるものである。

本実施形態では、第１ＥＣＵ１０の同期機能２９はマスタモードに設定されており、該同期機能２９はタイマ２９Ａが所定期間を計測する毎に時刻同期メッセージＭ５を生成し、それを通信用バス１５に送信する。なお、時刻同期メッセージＭ５には、所定の識別子（ＩＤ）が付与されているとともに、前回送信されてからの経過時間などが含まれている。

一方、第２〜第４ＥＣＵ１１〜１３の同期機能２９はスレーブモードに設定されている。つまり第２〜第４ＥＣＵ１１〜１３の同期機能２９は、時刻同期メッセージＭ５を受信すると、「前回の時刻同期メッセージＭ５」から「今回の時刻同期メッセージＭ５」までのタイマ２９Ａの経過時間を、時刻同期メッセージＭ５に含まれている経過時間に同期させる、つまりタイマ２９Ａの時刻を修正させる。

図１に示すように、診断機器３０、正規ツール３１及びユーザツール３２には、通信部２０及び処理部４０がそれぞれ設けられている。

通信部２０は、上述の第１ＥＣＵ１０の通信部２０と同様の機能を有するものであって、ＤＬＣ１４を介して接続した通信用バス１５を通じてＣＡＮプロトコルに基づくメッセージの通信を可能にさせる。つまり、タイミング規定２５は、診断機器３０、正規ツール３１及びユーザツール３２にそれぞれ設定されているため、タイミング規定２５に保持されている規定された通信間隔は、第１〜第４ＥＣＵ１０〜１３とともに、診断機器３０、正規ツール３１及びユーザツール３２でも共有される。

処理部４０は、診断機器３０、正規ツール３１及びユーザツール３２などで必要な処理を行うことができる性能を有するマイクロコンピュータを含み構成されており、各種処理を行う演算装置や、演算結果や各種制御機能を提供するプログラムなどを保持する記憶装置を有している。つまり、処理部４０は、上述の第１ＥＣＵ１０の処理部２３と同様の機能を有するものであって、所定の機能を提供するプログラムが演算装置で実行処理されることによって当該所定の機能が提供される。また、処理部４０は、第１ＥＣＵ１０の処理部２３と同様に、通信部２０から通信データを得るとともに、送信したい通信データを通信部２０に付与する。つまり、処理部４０は、機能提供に必要とされる各種データを通信用バス１５を介して取得するとともに、他のＥＣＵに配布したい各種データを通信用バス１５に送信することができる。

このように、診断機器３０、正規ツール３１及びユーザツール３２は、上述した第１ＥＣＵ１０と同様に、メッセージを当該メッセージに対して規定された通信間隔に従って通信用バス１５に送信することができる。また、上述した第２ＥＣＵ１１と同様に、通信用バス１５から受信したメッセージの正／不正を当該メッセージに対して規定された通信間隔に基づいて判定することができる。

次に、メッセージの正／不正を判定可能にする通信処理について、図３及び図４を参照して説明する。

なお、本実施形態では、第１〜第４ＥＣＵ１０〜１３、診断機器３０、正規ツール３１及びユーザツール３２のいずれもメッセージを送信受信することができるが、説明の便宜上、以下では、第１ＥＣＵ１０がメッセージを送信するとともに、当該送信されたメッセージを第２ＥＣＵ１１が受信する場合についてのみ説明する。また、メッセージには、上述のようにセンサ検出値などの「定期メッセージ」と、情報系機器からの情報などの「連続メッセージ」とがあるが、「定期メッセージ」に対する処理と「連続メッセージ」に対する処理は類似している。このため、以下では主に「定期メッセージ」に対する処理について説明し、「連続メッセージ」に対する処理については「定期メッセージ」の処理に対して相違する点についてのみ説明する。

まず、メッセージを送信する場合について説明する。なおこの処理は、メッセージが送信される都度、実行される。

図３に示すように、第１ＥＣＵ１０において、メッセージの送信が開始されると、コントローラ２２は、当該メッセージに対して規定された通信間隔を取得する（ステップＳ１０）。その後、タイマ２９Ａの計測する時間に基づいて通信間隔を確保する（ステップＳ１１）。具体的には、コントローラ２２は、直前に送信した同じ識別子を有するメッセージの送信タイミングからの経過時間を計測し、計測される経過時間が規定された通信間隔に等しくなるまで次のステップへの移行を待つ。なお、以前に同じ識別子のメッセージを送信していない場合や、以前の送信が規定された通信間隔よりも前の場合、規定された通信間隔を確保する必要がないため、直ちに次のステップに移行する。例えば、「定期メッセージ」が初めて送信される場合や、「連続メッセージ」のうちの「最初のメッセージ」が送信される場合、直ちに次のステップに移行される。

そして、コントローラ２２は、通信させるメッセージを通信用バス１５に送信する（ステップＳ１２）とともに、通信させるメッセージが残っていること、つまり通信させるメッセージが終了したか否かを確認する（ステップＳ１３）。通信させるメッセージが終了したと判断された場合（ステップＳ１３でＹＥＳ）、コントローラ２２は、メッセージの送信を終了する。

一方、通信させるメッセージが終了していないと判断された場合（ステップＳ１３でＮＯ）、コントローラ２２は、次のメッセージを送信するためにステップＳ１１に戻り、上述したステップを繰り返す。

つまり、「定期メッセージ」の場合は、送信するメッセージが１つであることからメッセージの送信（ステップＳ１２）は一度で終了する。一方、「連続メッセージ」の場合は、送信するメッセージが複数であることからメッセージの送信（ステップＳ１２）は一度では終了せず複数回実行される。

続いて、メッセージを受信する場合について説明する。なお、この処理は、メッセージの受信の都度、実行される。

図４に示すように、第２ＥＣＵ１１において、メッセージの受信が開始されると、コントローラ２２は、通信されたメッセージを受信し（ステップＳ２０）、受信したメッセージに対応する通信間隔を算出する（ステップＳ２１）。そして、コントローラ２２は、算出された通信間隔が当該通信されたメッセージに対して規定された通信間隔に適合するか否かを判断する（ステップＳ２２）。算出された通信間隔が規定された通信間隔に適合していることは、算出された通信間隔が規定された通信間隔に対する誤差範囲内に含まれることで判断される。

算出された通信間隔が規定された通信間隔に適合すると判断された場合（ステップＳ２２でＹＥＳ）、コントローラ２２は、受信したメッセージは正規のメッセージであると判断して、当該メッセージを正常に通常通り処理する（ステップＳ２３）。そして、メッセージの受信を終了する。

一方、算出された通信間隔が規定された通信間隔に適合しないと判断された場合（ステップＳ２２でＮＯ）、コントローラ２２は、受信したメッセージを不正なメッセージであると判断して、当該受信したメッセージを破棄する（ステップＳ２４）。

つまり、「定期メッセージ」の場合は、送信されたメッセージが１つであることからこれで通信が終了（データ転送が完了）する。一方、「連続メッセージ」の場合は、送信されるメッセージが複数であることから最後のメッセージが受信されるまで上記処理が繰り返されることで通信が終了（データ転送が完了）する。

次に、この通信システムの作用について、図５及び図６を参照して説明する。なおここでは、規定された通信間隔に対応する送信間隔Ｔｃ１が第１及び第２ＥＣＵ１０，１１に設定されており、第２ＥＣＵ１１は、受信したメッセージから算出した通信間隔として受信間隔Ｔｃ２を算出するようにしている。また、第１のメッセージＭ１と第２のメッセージＭ２とは同一の識別子が設定されているメッセージとする。

図５に示すように、第１ＥＣＵ１０からメッセージの送信が開始されると、最初のメッセージである第１のメッセージＭ１が通信用バス１５を介して第２ＥＣＵ１１に受信される。こうして第１のメッセージＭ１を受信した第２ＥＣＵ１１は、第１のメッセージＭ１の識別子とともに受信時刻を記憶する。なお、メッセージを１つしか受信していない場合、メッセージの正／不正を判定することはできないため、第２ＥＣＵ１１は、「定期メッセージ」の場合、メッセージを破棄するようにしている。なお、第２ＥＣＵ１１は、「定期メッセージ」を、保持してもよいし、直ちに使用してもよい。一方、「連続メッセージ」の場合、全てのメッセージを受信しないとデータ転送が完了しないことから、メッセージを保持しておくようにすることが好ましい。

一方、第１のメッセージＭ１を送信した第１ＥＣＵ１０は、当該第１のメッセージＭ１に対して規定された通信間隔に対応する送信間隔Ｔｃ１だけ次の第２のメッセージＭ２の送信を待つとともに、当該送信間隔Ｔｃ１が経過することに伴って、第２のメッセージＭ２を送信する。こうして送信された第２のメッセージＭ２は、第２ＥＣＵ１１に受信されるとともに、受信された第２ＥＣＵ１１にて、第２のメッセージＭ２の識別子とともに受信時刻が記憶される。

そして、第２ＥＣＵ１１は、２つのメッセージを受信したことに基づいて、当該メッセージＭ２の正当性の判定を行う。つまり第２ＥＣＵ１１は、メッセージ間の通信間隔として受信間隔Ｔｃ２を算出するとともに、当該算出された受信間隔Ｔｃ２と規定された通信間隔としての送信間隔Ｔｃ１とを比較する。そして、算出された受信間隔Ｔｃ２と規定された送信間隔Ｔｃ１との差が、所定の範囲である誤差範囲内である場合、受信された第２のメッセージＭ２は正規のメッセージであると判定する。なおこのとき、第１のメッセージＭ１も正規のメッセージであったと判定してもよい。「定期メッセージ」の場合、第１のメッセージＭ１を、必要があれば用いてもよいが、過去のデータであるため破棄するようにしている。一方、「連続メッセージ」の場合は、第１のメッセージＭ１は通信データの一部を構成するため、第１のメッセージＭ１も正規のメッセージと判定して通常通り処理を行うようにしている。

一方、算出された通信間隔と規定された通信間隔との差が、所定の範囲である誤差範囲を超える場合、受信された第２のメッセージＭ２を不正なメッセージであると判定する。なお本来、２つ目のメッセージまでしか受信していない時点では、第１のメッセージＭ１と第２のメッセージＭ２のいずれが不正なメッセージであるか特定できないため、第１のメッセージＭ１は正規のメッセージであると判定することはできない。

図６に示すように、通信用バス１５に不正ツール３３が接続されており、第１ＥＣＵ１０が送信する第２のメッセージＭ２の後に、不正ツール３３が同じ識別子を有する不正なメッセージＭｂ３を送信したとする。このとき、不正なメッセージＭｂ３を受信した第２ＥＣＵ１１は、第２のメッセージＭ２と不正なメッセージＭｂ３との間の通信間隔を算出するとともに、算出された通信間隔と規定された通信間隔（送信間隔Ｔｃ１）とを比較してその差（＝Ｔｃ１−Ｔｂ）を得る。このとき、前記差（Ｔｃ１−Ｔｂ）が、送信間隔Ｔｃ１に対する誤差範囲（例えば±１ｍｓｅｃ）を超えるため、第２ＥＣＵ１１は、不正なメッセージＭｂ３を不正なメッセージと判定し、破棄する。

その後、第１ＥＣＵ１０は、第２のメッセージＭ２を送信してから送信間隔Ｔｃ１経過することに伴って第３のメッセージＭ３を送信させて、こうして送信された第３のメッセージＭ３が、第２ＥＣＵ１１に受信される。そして第２ＥＣＵ１１は、メッセージ間の通信間隔として算出された受信間隔Ｔｃ２と規定された通信間隔としての送信間隔Ｔｃ１とを比較する。このとき、不正なメッセージＭｂ３は破棄されているため、受信間隔の算出には第２のメッセージＭ２の受信時刻が用いられる。そして、算出された受信間隔Ｔｃ２と規定された送信間隔Ｔｃ１との差が、所定の範囲である誤差範囲内であることから、受信された第３のメッセージＭ３は正規のメッセージであると判定するとともに、通常通り処理するようにする。

以上説明したように、本実施形態に係る通信装置を備える通信システムは、以下に列記する効果を有する。

（１）メッセージを送信する第１ＥＣＵ１０と当該メッセージを受信する第２ＥＣＵ１１とが、それら第１及び第２ＥＣＵ１０，１１の間で通信されるメッセージに対して規定された通信間隔を共有する。これにより、メッセージを受信する第２ＥＣＵ１１は、受信したメッセージの通信間隔（受信間隔Ｔｃ２）を検出し、当該検出した通信間隔と規定された通信間隔（送信間隔Ｔｃ１）との比較に基づいて通信されたメッセージの正／不正が判定できるようになる。具体的には、メッセージを受信する第２ＥＣＵ１１は、規定された通信間隔に従って受信されたメッセージを正規のメッセージであると判定する一方、規定された通信間隔から外れて受信されたメッセージを不正なメッセージであると判定する。これにより、通信されたメッセージに紛れ込んだ不正メッセージ（Ｍｂ３）が判別されるようになるため、受信されたメッセージ（Ｍ１，Ｍ２，Ｍｂ３，Ｍ３）から不正なメッセージ（Ｍｂ３）が除外されるようになる。つまり、通信システムでは、ＥＣＵ１０〜１３、診断機器３０、正規ツール３１及びユーザツール３２間で通信されたメッセージの正／不正が簡易な構成で判定されるようになる。

（２）ＣＡＮプロトコルで通信されるメッセージの正／不正を、規定された通信間隔に基づいて判定することができる。ＣＡＮでは、通信用バス１５に接続されたＥＣＵ等は自己判断で通信を開始することができる、つまり各ＥＣＵ等がそれぞれの都合で通信用バス上にメッセージを送信することができるため、通信用バス１５へのＥＣＵやユーザツール３２や不正ツール３３等の追加などが柔軟に行える。このため、このようにメッセージの正／不正を簡易に判定することができるようにすることで、ＣＡＮシステムからなる通信システムとしての信頼性を向上させることができるようになる。

（３）通常、メッセージの通信間隔はそのメッセージの内容、つまりＣＡＮプロトコルにおいてメッセージの内容毎に付与される識別子（ＩＣ）毎に定まるため、規定された通信間隔の管理や選択をメッセージの内容に対応付けて行うようにした。また、識別子は、ＣＡＮにおいて、ＣＡＮプロトコルに対応するメッセージの通信処理を行うコントローラ２２により認識可能である。このため、コントローラ２２が識別子に基づいて規定された通信間隔を選択し、当該規定された通信間隔でメッセージを送信することも容易にもなる。これにより、通信システムとしての適用可能性が高められる。

（４）コントローラ２２により認識可能な識別子に基づいて規定された通信間隔が選択されるため、当該規定された通信間隔でメッセージが受信されたか否かの判定、つまりメッセージの正／不正の判定が容易に行えるようになる。

（５）複数種類のメッセージの別に通信間隔がそれぞれ規定されているため、複数種類の通信されるメッセージのそれぞれに対しメッセージの正／不正が判定できる。これにより、通信システムは、そこで通信される様々なメッセージについても、それらメッセージの正／不正を判定することができるようになる。

（６）通信間隔の検出に用いられるタイマ２９Ａが複数のＥＣＵなどの間で同期されるようになるため、いずれのＥＣＵ等の間で通信されたメッセージであれ、当該メッセージの通信間隔が同期されたタイマ２９Ａに基づいて検出される。これにより、検出された通信間隔とメッセージに対して規定された通信間隔との比較結果の精度向上が期待されるようになる。よって、この通信システムによるメッセージの正／不正の判定がより好適になされるようになる。

（７）メッセージを送信する第１ＥＣＵ１０のタイマ２９Ａに、メッセージを受信する第２ＥＣＵ１１のタイマ２９Ａが同期されるようになるため、通信されたメッセージの通信間隔がより高精度で検出されることが期待される。これにより、この通信システムによるメッセージの正／不正の判定がより一層好適になるようになされる。

（その他の実施形態）
なお上記実施形態は、以下の態様で実施することもできる。

・上記実施形態では、規定された通信間隔でメッセージが通信される場合について例示した。しかしこれに限らず、メッセージが規定された通信間隔で通信されない場合にも不正なメッセージを適切に判定できるようにすることもできる。

例えば、図７に示すように、第１ＥＣＵ１０が第１のメッセージＭ１を送信した後、送信間隔Ｔｃ１が経過したタイミングで次の第２のメッセージＭ２を送信しようとしたとき、当該タイミングでは通信用バス上の都合でメッセージが送れない場合もある。このようにメッセージが送れない場合としては、例えば第１ＥＣＵ１０がメッセージを送信した際にコリジョン（衝突）が生じ、アービトレーションの結果、第１ＥＣＵ１０は送信権が得られず送信が中止される場合などがある。このようなとき、第１ＥＣＵ１０からの第２のメッセージＭ２の送信が少しだけ遅れることとなるが、アービトレーションが生じた場合を考慮した誤差範囲、例えばマージン期間Ｔｍを設定しておけば、第２ＥＣＵ１１は、少し遅れて受信された第２のメッセージＭ２を正規のメッセージと判定することができるようになる。

また、例えば、第１ＥＣＵ１０が規定された通信間隔で第２のメッセージＭ２を送信ができなかったとき、予め定められた再送間隔Ｔｒだけ待機することを決めておくこともできる。このように決めておけば、第２ＥＣＵ１１では、算出された通信間隔（＝Ｔｃ２＋Ｔｒ）と規定された通信間隔（＝Ｔｃ１＋Ｔｒ）との比較を通じて受信された第２のメッセージＭ２の正／不正を判定することができる。

さらに、通信用バスに生じたコリジョン（衝突）をＣＡＮプロトコルに規定されているエラー・フレームから検知し、送信側及び受信側ともに、そのタイミングから規定された送信間隔Ｔｃ１で通信するようにしてもよいし、同タイミングから再送間隔Ｔｒだけ待機してから通信するようにしてもよい。

また、第２ＥＣＵ１１は、誤差範囲に、予めもしくは必要に応じて、マージン期間Ｔｍを追加したり、誤差範囲を、予めもしくは必要に応じて、マージン期間Ｔｍだけ広げたりするようにしてもよい。

上述のように、メッセージが規定された通信間隔で通信されない場合であれ、不正なメッセージを判定することができるようにする、換言すれば、正規なメッセージを不正なメッセージと判定しないようにすることで、メッセージの転送を効率化することができるようになる。これにより通信システムの適用可能性の向上が図られるようになる。

・上記実施形態では、時刻同期メッセージＭ５には経過時間が含まれている場合について例示したがこれに限らず、時刻同期メッセージの通信周期が予め定められているのであれば当該メッセージに経過時間が含まれていなくてもよい。これにより、通信システムが簡易になるとともに設計自由度が向上するようになる。

・上記実施形態では、送受信制御機能２８から送信される時刻同期メッセージＭ５により各ＥＣＵのタイマ２９Ａの時刻が同期される場合について例示した。しかしこれに限らず、送受信制御機能から定期的に送信されるメッセージをモニタすることに基づいて各ＥＣＵがタイマを同期させてもよい。これによっても、通信システムが簡易になるとともに設計自由度が向上するようになる。

・上記実施形態では、コントローラ２２には、同期機能２９が含まれている場合について例示したがこれに限らず、通信間隔の計測が適切に行えるのであれば各タイマを同期させなくてもよい。これにより、通信システムが簡易になる。

・上記実施形態では、不正ツール３３（図６参照）は、通信用バス１５に直接接続されている場合について例示した。しかしこれに限らず、不正ツールはＤＬＣを介して接続されていても構わない。例えば、ＤＬＣに接続されたユーザツールが不正ツールとして不正メッセージを送信したとしても、その送信された不正なメッセージを判定することができる。これにより、通信システムの信頼性が向上されるようになる。

・上記実施形態では、ＤＬＣ１４に外部機器が有線接続される場合について例示した。しかしこれに限らず、ＤＬＣには外部機器が無線通信を介して接続されてもよい。例えば、ＤＬＣに無線通信端末を接続して、外部機器にも無線通信装置を設け、ＤＬＣと外部機器との間の通信を無線通信させるようにすればよい。これにより、ＤＬＣへの外部機器の接続態様にかかわらずメッセージの正／不正を判定することができるようになる。

・上記実施形態では、メッセージとしてセンサ出力などの「定期メッセージ」と情報機器からの情報などの「連続メッセージ」とがある場合について例示した。しかしこれに限らず、メッセージは、全く同一のメッセージが複数回送出されるものでもよいし、他のメッセージによる通信を一時的に全て停止させ、リプログラミング用のプログラムデータなどを大量のデータ・フレームを用いて連続して送るようなメッセージであってもよい。つまり、メッセージに含まれる通信データにかかわらず、同一の識別子で複数回通信されるメッセージであれば、この通信システムによって、メッセージの正／不正を判定することができる。これにより、この通信システムの利便性が向上し、適用可能性の向上が図られるようになる。

・上記実施形態では、第１〜第４ＥＣＵ１０〜１３や診断機器３０、正規ツール３１などに通信間隔が予め静的に設定されている場合について例示した。しかしこれに限らず、ＥＣＵなどには、動的に通信間隔が設定されるようにしてもよい。具体的には、図８に示すように、メッセージを送信する第１ＥＣＵ１０が、メッセージを受信する第２ＥＣＵ１１などにメッセージに応じて規定された通信間隔を伝送するとともに、動的に設定させるようにしてもよい。このような動的な通信間隔の設定は、通信間隔設定するためのＣＡＮプロトコルの識別子を付与した通信間隔メッセージＭ６を用意し、各ＥＣＵ等は、当該通信間隔メッセージＭ６を受信して識別子に応じた通信間隔を設定するようにすればよい。また、通信間隔を設定すると予め決められたＥＣＵが、通信先のＥＣＵに通信間隔を伝送するとともに、動的に設定させるようにしてもよい。

これにより、通信されるメッセージに対して規定された通信間隔が設定されていない場合であれ、メッセージを受信するＥＣＵ等には規定された通信間隔が適宜設定され、同受信するＥＣＵ等は規定された通信間隔に基づいて通信されるメッセージの正／不正を判定することができるようになる。これにより、この通信システムの適用可能性や利便性の向上が図られるようになる。

また、通信用バスにデータリンクコネクタを介して接続されたメーカやカーディーラ等で用意された診断装置や正規ツールなどの正規の装置が送信するメッセージに対しても、それら装置から通信するメッセージに対して規定された通信間隔を通信システムに伝達することができる。これにより、通信システムでは、データリンクコネクタを介して接続された装置に対してもメッセージの正／不正の判定が行えるようになる。

さらに、規定された通信間隔を動的に変更することもできるようになるため、セキュリティーを向上させることができるようにもなる。

これらのことによっても、この通信システムの適用可能性や利便性の向上が図られる。

・上記実施形態では、１つのメッセージの識別子に、１つの通信間隔が対応する場合について例示した。しかしこれに限らず、１つのメッセージの識別子に、ルールを有する複数の通信間隔を対応させてもよい。例えば、メッセージの識別子「１Ａ５」は２つの通信間隔「２０ｍｓｅｃ」と「４０ｍｓｅｃ」とが交互に繰り返されるものと設定されていてもよい。これにより、正／不正を判定することのできるメッセージの種類をさらに増やすことができるようになるとともに、模倣が難しくなりセキュリティーが向上するようになる。

・上記実施形態では、メッセージに対して通信間隔が設定されている場合について例示した。しかしこれに限らず、メッセージの通信間隔が規定されるのであれば、メッセージに対して規定された通信間隔は、通信周期に基づき確保される間隔であってもよいし、所定の時刻に基づき確保される間隔でもよいし、所定の条件に基づき確保される間隔であってもよい。つまり、通信間隔として、通信周期や、時刻や、所定の条件を設定するようにしてもよい。これにより、正／不正を判定することのできるメッセージの種類を増やすことができるようになる。

・上記実施形態では、通信間隔がメッセージに対して規定されている場合について例示した。しかしこれに限らず、通信間隔は、ＥＣＵ等の間でのメッセージのセキュリティーを確保できるように定められていればよいものであり、ＥＣＵや診断機器等毎にメッセージに対して通信間隔を規定するようにしてもよい。これにより、通信間隔の規定の設定が簡単になり、通信システムの適用を容易にすることができるようになる。

・上記実施形態では、通信システムが車両１に搭載されている場合について例示した。しかしこれに限らず、通信システムは、その一部もしくは全部が車両以外に設けられていてもよい。これにより、車両以外で用いられているＣＡＮからなる通信システムに対してもメッセージの正／不正の判定ができるようになるため、この通信システムの適用可能性の向上が図られるようになる。

・上記実施形態では、通信システムがＣＡＮプロトコルに基づくシステムである場合について例示した。しかしこれに限らず、通信システムは、複数の通信装置が任意のタイミングで通信を開始することのできる通信プロトコル、例えば、バスなどの通信線にアクセスする際、アクセス権を適切に与えるためのアービトレーションが行われるようなプロトコルに対しても適用することができる。これにより、このような通信システムの適用可能性の向上が図られるようになる。

１…車両、１０〜１３…第１〜第４電子制御装置（ＥＣＵ）、１４…データリンクコネクタ（ＤＬＣ）、１５…通信用バス、２０…通信部、２１…トランシーバ、２２…コントローラ、２３…処理部、２４…保存領域、２５…タイミング規定、２６…ＣＡＮフレーム監視機能、２７…制御判断機能、２８…送受信制御機能、２９…同期機能、２９Ａ…タイマ、３０…診断機器、３１…正規ツール、３２…ユーザツール、３３…不正ツール、４０…処理部。

Claims (11)

1. 複数の通信装置がメッセージを通信可能に通信線に接続された通信システムであって、
   前記通信装置には、通信されるメッセージに対して規定された通信間隔が設定されており、
   メッセージを送信する通信装置はこの規定された通信間隔に基づいてメッセージを送信するものであり、
   前記送信されたメッセージを受信する通信装置は、当該受信したメッセージの通信間隔を検出し、この検出した通信間隔と前記規定された通信間隔との差を、前記検出した通信間隔を正常と判断する範囲として設定された基準範囲と比較することに基づいて当該受信したメッセージの正／不正を判定するものであり、
   前記基準範囲は、送信されたメッセージが衝突した後に新たにメッセージが送信されるときの通信間隔と、前記規定された通信間隔との間の誤差を含むように設定されてなる
   ことを特徴とする通信システム。
2. 前記メッセージを送信する通信装置には、前記規定された通信間隔でメッセージが送信されなかったとき当該メッセージの送信を待機させる再送間隔が設定されており、
   前記規定された通信間隔でメッセージが送信されなかったとき、前記規定された通信間隔に前記再送間隔を加算する
   請求項１に記載の通信システム。
3. 前記通信線はコントロールエリアネットワークのプロトコルに対応する通信線であるとともに、前記通信されるメッセージがコントロールエリアネットワークのプロトコルに基づくメッセージである
   請求項１又は２に記載の通信システム。
4. 前記規定された通信間隔は、コントロールエリアネットワークのプロトコルの識別子に対応付けられており、
   前記メッセージを送信する通信装置は、前記メッセージに付与するコントロールエリアネットワークのプロトコルの識別子に基づいて規定された通信間隔を選択する
   請求項３に記載の通信システム。
5. 前記メッセージを受信する通信装置は、前記メッセージに付与されているコントロールエリアネットワークのプロトコルの識別子に基づいて当該メッセージの正／不正の判定に用いる規定された通信間隔を選択する
   請求項４に記載の通信システム。
6. 前記通信されるメッセージは複数種類あり、それら複数種類のメッセージの別に通信間隔がそれぞれ規定されている
   請求項１〜５のいずれか一項に記載の通信システム。
7. 前記通信装置には、前記規定された通信間隔がメッセージを送信する通信装置から伝達される
   請求項１〜６のいずれか一項に記載の通信システム。
8. 前記通信装置には前記通信間隔を検出するためのタイマが設けられており、前記タイマの時刻が、前記複数の通信装置のうちの一つの通信装置から送信される同期用のメッセージに基づき全ての通信装置で同期される
   請求項１〜７のいずれか一項に記載の通信システム。
9. 前記同期用のメッセージは、メッセージを送信する通信装置から送信される
   請求項８に記載の通信システム。
10. 複数の通信装置がメッセージを通信可能に通信線に接続された通信システムに用いられる通信方法であって、
    前記通信装置には、通信されるメッセージに対して規定された通信間隔を設定し、
    メッセージを送信する通信装置が前記設定された通信間隔に基づいてメッセージを送信する都度、メッセージを受信する通信装置には、当該受信したメッセージの通信間隔を検出させ、この検出した通信間隔と前記規定された通信間隔との差を、前記検出した通信間隔を正常と判断する範囲と比較することに基づいて当該受信したメッセージの正／不正を判定させ、前記正常と判断する範囲を、送信されたメッセージが衝突した後に新たにメッセージが送信されるときの通信間隔と、前記規定された通信間隔との間の誤差を含むように設定する
    ことを特徴とする通信方法。
11. 前記送信するメッセージ、及び受信するメッセージをコントロールエリアネットワークのプロトコルに基づくメッセージとして通信する
    請求項１０に記載の通信方法。

Images