JP6521346B2 - 通信システム - Google Patents

Description

本発明は、通信システムに関する。
本願は、２０１６年３月１０日に出願された日本国特願２０１６−０４７３４１号に基づき優先権を主張し、その内容をここに援用する。

近年、車両内に設けた複数の制御装置同士が車両内のネットワークを介して通信する通信システムがある。このような通信システムに関連する技術として、発生した通信状態の異常を検出する技術が知られている（例えば、特許文献１参照）。特許文献１によれば、監視する通信メッセージの受信間隔が適正な受信間隔であるか否かを、計時情報に基づいて判断する。より具体的には、特許文献１に記載の装置は、通信メッセージの受信間隔を計時した結果に基づいて、通信状態の異常の発生を判定している。

日本国特開２０１４−１８７４４５号

ところで、通信メッセージをパケットにして送信する場合、その通信メッセージの送信処理を起動してから、ネットワークに実際に送信されるまでの時間に各制御装置の動作クロックのバラツキや送信処理自体の遅延や、通信ネットワーク上での通信メッセージの調停による通信フレームの揺らぎが生じる場合がある。等間隔で通信メッセージを送信するように送信処理を実施しても、上記の揺らぎが生じることにより、通信メッセージが到来する間隔は、必ずしも理論値通りにならない。従って、特許文献１に記載の技術では不十分である。
本発明に係る態様は、このような事情を考慮してなされたものであり、より正確に通信状態の異常を検出することができる通信システムを提供することを目的の一つとする。

（１）本発明の一態様に係る通信システムは、ネットワークに、情報を、通信メッセージとして、前記情報の種類に応じた所定の頻度で送信する送信装置と、前記送信された通信メッセージを受信する受信装置とを備える通信システムであって、前記ネットワークには、第１の頻度で送信される第１種情報と、前記第１の頻度より高い第２の頻度で送信される第２種情報とが、それぞれ異なる通信メッセージとして送信され、前記受信装置は、前記第１種情報を受信してから次に前記第１種情報を受信するまでの間に、前記第２種情報を受信した受信回数に基づいて、前記ネットワークにおける異常状態の発生を検出する。

（２）上記（１）の態様において、前記送信装置は、前記ネットワークに複数存在し、前記第１種情報と前記第２種情報は、それぞれ異なる送信装置によって送信されてもよい。

（３）上記（１）または（２）の態様において、前記第１の頻度は、前記ネットワークに送信される情報のうち最も低い頻度で送信される情報に対する頻度であってもよい。

（４）上記（１）から（３）いずれか１つの態様において、前記通信メッセージには、前記情報の種類を示す識別子が付されてもよい。
（５）上記（１）から（４）いずれか１つの態様において、前記識別子は、前記通信メッセージの送信元を示してもよい。

（６）上記（１）から（５）いずれか１つの態様において、前記送信装置と前記受信装置とは、車両に搭載され、前記ネットワークは、前記車両に設けられ、前記ネットワークから受信した通信メッセージに含まれた情報に基づいて、前記車両の走行と、停止と、旋回と、通報と、エネルギマネジメントとのうち一又は複数の項目の制御を実施する制御部をさらに備えてもよい。

（７）上記（１）から（６）いずれか１つの態様において、前記受信装置は、前記受信回数が第１の所定回数を超える場合に、前記送信装置になりすました不正装置が前記ネットワークに通信メッセージを送信しているという前記異常状態の発生を検出してもよい。

（８）上記（１）から（７）いずれか１つの態様において、前記受信装置は、前記受信回数が第２の所定回数よりも少ない場合に、前記ネットワークについて輻輳が生じているという前記異常状態の発生を検出してもよい。
（９）上記（１）から（８）いずれか１つの態様において、前記第１種情報の受信間隔が、所定の時間間隔か否かを判定してもよい。
（１０）上記（９）の態様において、前記所定の時間間隔か否かの判定を、衛星からの信号に基づく時刻情報をもとに行ってもよい。

本発明に係る態様によれば、送信装置は、情報を通信メッセージとして、前記情報の種類に基づいて定められた所定の頻度で送信する。ネットワークには、第１の頻度で送信される第１種情報と、第１の頻度より高い第２の頻度で送信される第２種情報とが、それぞれ異なる通信メッセージとして送信される。受信装置は、第１種情報を受信してから次に第１種情報を受信するまでの間に、第２種情報を受信した受信回数に基づいて、ネットワークにおける異常状態の発生を検出することにより、より正確に、通信状態の異常を検出する通信システムを提供することができる。

本実施形態の車両用通信システム１の構成を示す図である。 本実施形態のＥＣＵ１０の構成例を示す図である。 本実施形態のＥＣＵ１０がバス２に送信するフレームＦの形式例である。 本実施形態のＥＣＵ１０−Ｍの構成例を示す図である。 本実施形態のＥＣＵ１０−Ｍにおける処理の一例を示すフローチャートである。 本実施形態のＥＣＵ１０−Ｍによる異常検出処理の動作を示す説明図である。 本実施形態の第２の変形例を示す図である。

以下、図面を参照し、本発明の通信システムの実施形態について説明する。

＜実施形態＞
図１は、本実施形態の車両用通信システム１（通信システム）の構成を示す図である。
車両用通信システム１は、例えば車両に搭載される。車両用通信システム１は、少なくとも車両内にネットワークＮＷを構成する。ネットワークＮＷでは、例えば、バス２を介してＣＡＮ（Controller Area Network）に基づく通信が行われる。

車両用通信システム１は、バス２に接続されたＥＣＵ１０−１からＥＣＵ１０−３と、ＥＣＵ１０−Ｍ（受信装置）とを備える。以下、ＥＣＵ１０−１からＥＣＵ１０−３を区別しない場合は、単にＥＣＵ１０（送信装置）と表記する。バス２は、ＥＣＵ１０間で信号を伝達する。なお、ＥＣＵ１０−１からＥＣＵ１０−３等の装置は、共通のバス２に接続されたものとして説明するが、不図示の中継装置等により互いに通信可能に接続された異なるバスに接続されていてもよい。

例えば、ＥＣＵ１０は、車両を駆動するエンジンを制御するエンジンＥＣＵや、車両のブレーキを制御するブレーキＥＣＵ、車両の操舵を制御する操舵制御ＥＣＵ、車両における異常状態の表示などの表示処理を実行する表示制御ＥＣＵ、車両に搭載された蓄電池に蓄えられたエネルギー量を調整する処理（エネルギマネジメント）を実行するＥＣＵ、搭乗者のシートベルトの装着状況を検出し検出結果を他のＥＣＵに通知するシートベルトＥＣＵ等であってもよく、これに限らない。即ち、１又は複数のＥＣＵ１０は、車両の走行と、停止と、旋回と、通報と、エネルギマネジメントとのうち一又は複数の項目の制御を、単独で又は連携して実施する。

ＥＣＵ１０は、自装置が所属するネットワークＮＷに送信されたフレームを受信する。
以下、ネットワークＮＷに送信される各フレームのことをフレームＦという。フレームＦは、それぞれに附された識別子（以下、ＩＤという。）により識別される。ＥＣＵ１０は、受信したフレームＦに附されたＩＤ（以下、受信ＩＤという）を参照して、受信したフレームＦのうちから、自ＥＣＵ１０に係るフレームＦを識別するＩＤ（以下、登録ＩＤという）を記憶部２０（図２）に格納しておき、登録ＩＤと同じ値の受信ＩＤが附されたフレームを抽出して取得する。また、ＥＣＵ１０は、例えば、自ＥＣＵ１０の登録ＩＤと同じ値の受信ＩＤを含むフレームＦを受信したことを条件として、予め設定された優先度に応じてフレームをバス２に送信する。

このネットワークＮＷに送信される各フレームＦにはそれぞれ優先度が設定されており、ＥＣＵ１０は、優先度が高いフレームＦから送信する。

図２は、ＥＣＵ１０の構成例を示す図である。ＥＣＵ１０は、例えば、記憶部２０と、制御部３０と、ＣＡＮコントローラ３６と、ＣＡＮトランシーバ３８とを備える。制御部３０は、例えば、ＣＰＵ（Central Processing Unit）等のプロセッサを有する。

記憶部２０は、例えば、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable and Programmable Read Only Memory）、ＨＤＤ（Hard Disk Drive）等の不揮発性の記憶装置と、ＲＡＭ（Random Access Memory）、レジスタ等の揮発性の記憶装置によって実現される。記憶部２０は、アプリケーションプログラム２２や、通信制御プログラム２４等のプログラムと、上記のプログラムが参照する各種情報を格納する。記憶部２０は、送信バッファ２６２（メッセージ記憶部）と、受信バッファ２６４とを含む一時記憶領域２６を有する。送信バッファ２６２には、ＥＣＵ１０からフレームＦに含めて送信するメッセージが格納される。受信バッファ２６４には、ＥＣＵ１０が受信したフレームＦに含まれたメッセージが格納される。また、記憶部２０は、各種情報として、例えばネットワークＮＷを介して送受信するフレームＦのＩＤが格納されたＩＤテーブルを記憶する。例えば、フレームＦのＩＤは、送信元、宛先、フレームＦの種類等を示す情報を含む。
より具体的には、ＩＤテーブルには、ＥＣＵ１０のそれぞれが個別に受信すべきフレームＦのＩＤとＥＣＵ１０のそれぞれが個別に送信すべきフレームＦのＩＤとが含まれる。また、記憶部２０には、ネットワークＮＷに送信されるフレームＦの送信スケジュールおよびフレームＦの優先度を示す情報である優先度情報が記憶されている。

アプリケーションプログラム２２は、ＥＣＵ１０にそれぞれ割り当てられた情報処理を行うためのプログラムである。例えば、アプリケーションプログラム２２は、車両に設けられた各種機能部を制御するためのプログラム、ネットワークＮＷを介する通信を中継するためのプログラム、ネットワークＮＷの通信を統制するためのプログラムなどを含むものであってもよい。

通信制御プログラム２４は、アプリケーションプログラム２２または監視制御プログラム２５からの要求に応じてＣＡＮコントローラ３６を制御して通信処理を実施させるとともに、ＣＡＮコントローラ３６を介した通信に係る通信処理の結果を管理情報として取得するためのプログラムである。通信制御プログラム２４は、ＣＡＮコントローラ３６自身が実行する制御プログラムを含めて構成してもよく、或いは、ＣＡＮコントローラ３６自身が実行する制御プログラムをＣＡＮコントローラ３６が有する場合には、ＣＡＮコントローラ３６自身が実行する制御プログラムを含まずに構成してもよい。以下の説明では、通信制御プログラム２４は、ＣＡＮコントローラ３６の制御プログラムを含めて構成した場合を例示する。

監視制御プログラム２５は、通信状態を管理するためのプログラムであり、通信障害検出処理のプログラムを含む。通信障害検出処理の詳細については後述する。なお、この監視制御プログラム２５は、通信障害検出処理を実施するＥＣＵ１０が備えるものとしてよい。

制御部３０は、中央制御部３２と、通信制御部３４と、監視制御部３５とを備える。中央制御部３２は、アプリケーションプログラム２２を実行することにより機能し、ＥＣＵ１０に与えられた制御を実行する。中央制御部３２は、ＥＣＵ１０からメッセージ等を送信する場合、送信するメッセージ等を含む情報を一時記憶領域２６の送信バッファ２６２に格納して、通信制御部３４に送信要求を通知する。中央制御部３２は、他のＥＣＵ１０等からメッセージ等を受信する場合、通信制御部３４からメッセージ等の受信があったことの通知を受け、一時記憶領域２６の送信バッファ２６２に格納された情報を取得する。

通信制御部３４は、通信制御プログラム２４を実行することにより機能し、中央制御部３２からの制御を受けＥＣＵ１０の通信処理を実行する。通信制御部３４は、ＣＡＮトランシーバ３８を介して受信されたフレームＦの受信ＩＤとＩＤテーブルに格納された登録ＩＤとを参照し、受信されたフレームＦに関して自装置の中央制御部３２が使用する情報が含まれたフレームＦであるか否かを判定する。通信制御部３４は、上記の判定を実施する際に、例えば、ＩＤテーブルにおける登録受信ＩＤを利用する。

通信制御部３４は、自ＥＣＵ１０が使用する情報がフレームＦに含まれる場合、フレームＦに含まれた情報（メッセージ等）を取得し、記憶部２０の一時記憶領域２６の受信バッファ２６４に格納する。一方、通信制御部３４は、自ＥＣＵ１０が使用する情報がフレームＦに含まれていない場合、例えば、フレームＦに含まれた情報を破棄するように制御する。

通信制御部３４は、ＣＡＮコントローラ３６にＣＡＮトランシーバ３８からフレームＦを送信させる。例えば通信制御部３４は、自装置がフレームＦを送信することを示すＩＤが付されたフレームＦ（要求フレーム）をバス２に送信し、送信された要求フレームを受信した場合に、一時記憶領域２６の送信バッファ２６２に格納されているメッセージを、自装置が送信することを示すＩＤを含めたフレームＦ（応答フレーム）に含めてバス２に送信する。なお、通信制御部３４は、優先度を付与したフレームＦを送信バッファ２６２に記憶させると共に、フレームＦの送信に応じて送信バッファ２６２に記憶させたフレームを消去する。

監視制御部３５は、監視制御プログラム２５を実行することにより機能する。監視制御部３５は、フレームＦを受信する度にＥＣＵ１０における通信状態を監視する通信障害検出処理を実行して、ネットワークＮＷにおける通信障害の発生状況を管理する。なお、この監視制御部３５は、通信障害検出処理を実施するＥＣＵ１０が備えるものとしてよく、また、後述する監視制御部３５Ｍと同様の処理を実施するようにしてもよい。

ＣＡＮコントローラ３６は、ＣＡＮトランシーバ３８を介して、バス２との間で種々のフレームＦを送受信する。また、ＣＡＮコントローラ３６は、ＣＡＮトランシーバ３８からフレームＦを受信する際には、ＣＡＮトランシーバ３８から供給される受信信号からフレームＦを抽出して、抽出したフレームＦを一時記憶領域２６の受信バッファ２６４に格納する。

ＣＡＮトランシーバ３８は、フレームＦをバス２に送信する送信部、またはフレームＦをバス２から受信する受信部として機能する。

図３は、ＥＣＵ１０がバス２に送信するフレームＦの形式例である。図３（ａ）に、１回の送信において送信されるフレームＦを示す。フレームＦは、フレームＦの開始を表すスタートオブフレーム（ＳＯＦ）、フレームＦのＩＤ及びフレームＦとリモートフレームを識別するためのリモートトランスミッションリクエスト（ＲＴＲ）を含むアービトレーションフィールド、フレームＦのバイト数等を表すコントロールフィールド、転送するフレームＦの実体であるデータフィールド、フレームＦの誤りを検出するための誤り検出符号（ＣＲＣ）を付加するＣＲＣフィールド、正しいフレームＦを受信したユニットからの通知（ＡＣＫ）を受けるＡＣＫスロット及びＡＣＫデリミタ、フレームＦの終了を表すエンドオブフレーム（ＥＯＦ）等を含む。ＥＣＵ１０は、フレームＦのデータフィールド内の所定の位置にユーザデータを割り付けて通信する。

図４は、本実施形態のＥＣＵ１０−Ｍの構成例を示す図である。ＥＣＵ１０−Ｍは、上記のＥＣＵ１０の構成と一部が異なる。その点について説明する。ＥＣＵ１０−Ｍは、制御部３０に代えて、制御部３０Ｍを備える。制御部３０Ｍは、中央制御部３２と、通信制御部３４Ｍと、監視制御部３５Ｍとを備える。

通信制御部３４Ｍは、通信制御部３４の処理に加え、次の処理をする。通信制御部３４Ｍが参照するＩＤテーブルには、監視対象のＥＣＵ１０を識別するＩＤが登録されており、監視対象のＥＣＵ１０宛のフレームを受信する。

監視制御部３５Ｍは、監視制御部３５の処理に加え、次の処理をする。監視制御部３５Ｍは、受信したフレームＦの種別を基準にして、受信したフレーム数を、フレームＦの種別ごとに計数し、計数結果を受信カウンタの値として管理する。監視制御部３５Ｍは、フレームＦの種別の識別は、ＩＤテーブルに予め登録されているＩＤを基準にする。

監視制御部３５Ｍは、フレームＦを受信する度にネットワークＮＷにおける通信状態、及び、ＥＣＵ１０における通信状態を定期的に監視する通信障害検出処理を実行して、ネットワークＮＷにおける通信障害の発生状況を管理する。監視制御部３５Ｍによる通信障害検出処理の詳細については後述する。

（通信異常検出処理の概要）
図１に戻り、車両用通信システム１における通信異常検出処理について説明する。
ＥＣＵ１０−１は、性質の異なる制御情報を含む通信メッセージを制御の項目ごとに送信する。例えば、ＥＣＵ１０−１は、フレームＡ、フレームＢ、フレームＣの各フレームは、性質の異なる制御情報を含む通信メッセージに対応する。フレームＡは、フレームＢとフレームＣとに比べて、送信周期が短く、短い周期で制御状態を指示する必要がある制御項目に対応するものである。これに対し、フレームＣは、フレームＡとフレームＢとに比べて、送信周期が長く、長い周期で制御状態を指示しても制御の目的を満たすことができる制御項目に対応するものである。

ＥＣＵ１０−Ｍは、性質の異なる情報を含むフレームＦを監視の対象にする通信異常検出処理を実行する。例えば、ＥＣＵ１０−Ｍは、到来するフレームＦの個数に基づいて車両用通信システム１における通信の異常を検出する。

図５は、ＥＣＵ１０−Ｍによる通信異常検出処理の手順を示すフローチャートである。
ＥＣＵ１０−Ｍの通信制御部３４Ｍは、バス２からフレームを受信して（Ｓ１０）、フレームの種別ごとに分類する。監視制御部３５Ｍは、フレームＣ以外に受信したフレームの種別ごとに受信カウンタの値を加算する（Ｓ１５）。

次に、監視制御部３５Ｍは、受信したフレームに、監視の基準にするフレームＣが含まれていたか否かを判定する（Ｓ２０）。受信したフレームにフレームＣが含まれていない場合には、次にフレームを検出するため、この図に示す処理を終えて待機する。

一方、受信したフレームにフレームＣが含まれていた場合には、監視制御部３５Ｍは、フレームの種別ごとに以下の処理をする。監視制御部３５Ｍは、Ｓ１５において算出された結果の受信カウンタの値をフレームの種別毎に定められている第２閾値と対比して（Ｓ３０）、上記の種別ごとの受信カウンタの値が第２閾値（第２の所定回数）を超えたか否かを判定する（Ｓ４０）。

次に、受信カウンタの値が第２閾値以下の場合には、監視制御部３５Ｍは、輻輳状態の発生を検出し（Ｓ４５）、Ｓ６０の処理を実施する。

一方、受信カウンタの値が第２閾値を超えていた場合には、監視制御部３５Ｍは、受信カウンタの値が第１閾値を超えたか否かを判定する（Ｓ５０）。受信カウンタの値が第１閾値を超えていた場合には、監視制御部３５Ｍは、当該フレームの送信元になりすまして、送信元を詐称したフレーム（詐称フレーム）を送信する装置が存在すると判定する（Ｓ５５）。

次に、Ｓ４５又はＳ５５の処理を終えた後、監視制御部３５Ｍは、異常状態の発生を通知するフレームをバス２に送出するとともに、異常状態の発生を表示部に表示させる（Ｓ６０）。

次に、Ｓ５０又はＳ６０の処理を終えた後、監視制御部３５Ｍは、受信カウンタの値を初期化して（Ｓ７０）、この判定周期の判定処理を終える。

図６を参照して、ＥＣＵ１０−１とＥＣＵ１０−Ｍとの通信による異常検出処理の動作を説明する。図６は、ＥＣＵ１０−Ｍによる異常検出処理の動作を示す説明図である。図６に、ＥＣＵ１０−Ｍによる異常検出処理の動作の一例を、タイミングチャートにして示す。このタイミングチャートにおいて、時刻ｔ２から時刻ｔ２１までを判定周期（Ａ−Ｃｎ）とするｎ回目の異常検出処理と、時刻ｔ２１から時刻ｔ３２までを判定周期（Ａ−Ｃ（ｎ＋１））とする（ｎ＋１）回目の異常検出処理とを実施する場合について説明する。
判定周期の回数、周期の長さは、図示する回数や長さに限定されない。

図６の上段側から順に、ＥＣＵ１０−Ｍの絶対時間、ＥＣＵ１０−１の送信要求タイミング、バス２の状態、ＥＣＵ１０−Ｍの状態を示す。

ＥＣＵ１０−Ｍの絶対時間は、単位時間ＴＭを基準に生成されるＥＣＵ１０−Ｍにおける時間を示す。ＥＣＵ１０−Ｍでは、この絶対時間を各処理が実施される。

ＥＣＵ１０−１の送信要求タイミングには、フレームＣと、フレームＢと、フレームＡの各フレームの送信を実施する基準のタイミングを示し、その時刻を送信要求タイミングとする。例えば、○印のタイミングで、フレームＣの送信が要求され、その周期をＴＣとする。□印のタイミングで、フレームＢの送信が要求され、その周期をＴＢとする。六角形印のタイミングで、フレームＡの送信が要求され、その周期をＴＡとする。この送信要求タイミングに、各フレームの送信が行われることを基準にするが、ＥＣＵ１０−１における制御部の処理状況が過負荷状態にあったり、バス２が他のＥＣＵ１０等により利用されている通信状態にあったりするなどの要因により、実際にバス２フレームが送信されるタイミングが遅れる場合がある。その詳細については、具体的な例を挙げて後述する。

ＥＣＵ１０−Ｍの状態として、判定周期と、受信したフレームＡを計数した結果を示す受信カウンタの値と、その受信カウンタが示す値に基づいた異常検知の結果を示す。

ところで、ＥＣＵ１０とＥＣＵ１０−Ｍは、基準にするクロックは非同期である。各ＥＣＵ１０とＥＣＵ１０−Ｍとは、自身が備えるクロックに基づいて絶対時間に基づいて各種処理を実行する。このような車両用通信システム１では、各ＥＣＵ１０のクロックの周波数に差があることにより、各ＥＣＵ１０の絶対時間には誤差が生じる。

例えば、ＥＣＵ１０−Ｍの絶対時間の基準の単位時間ＴＭは、ＥＣＵ１０−１のフレームＡの送信周期ＴＡとの関係は、１：２の関係にあるものとする。ただし、ＥＣＵ１０−Ｍの絶対時間とＥＣＵ１０−１の絶対時間とが非同期であることから、単位時間ＴＭと送信周期ＴＡとの関係は、上記の比のとおりにならない。図６に示す例では、（単位時間ＴＭｘ２＜送信周期ＴＡ）の関係にあり、時間の経過に応じて、実際に送信される時刻が相対的に遅れている。例えば、時刻ｔ１から単位時間ＴＭの２倍の時間が経過した時刻と時刻ｔ３とを比べると、誤差時間Δｔが生じる。即ち、フレームＡを１回送信する度に、ＥＣＵ１０−１の絶対時間とＥＣＵ１０−Ｍの絶対時間と間に誤差時間Δｔが積算される。

例えば、この図に示すＥＣＵ１０−１におけるフレームＡとフレームＢとフレームＣのそれぞれの送信周期ＴＡ：ＴＢ：ＴＣは、１：４：６の比で規定される。フレームＡとフレームＢとフレームＣは、フレームＦの一例である。この場合、ＥＣＵ１０−１は、フレームＣの送信周期ＴＣの１周期の間に、フレームＡを６回送信する。なお、時刻ｔ１から単位時間ＴＭの８倍の時間が経過した時刻と時刻ｔ８とを比べると、誤差時間（Δｔｘ４）が生じる。即ち、フレームＢを１回送信する度に、ＥＣＵ１０−１の絶対時間とＥＣＵ１０−Ｍの絶対時間と間に誤差時間（Δｔｘ４）が積算される。また、時刻ｔ１から単位時間ＴＭの１２倍の時間が経過した時刻と時刻ｔ１２とを比べると、誤差時間（Δｔｘ６）が生じる。即ち、フレームＣを１回送信する度に、ＥＣＵ１０−１の絶対時間とＥＣＵ１０−Ｍの絶対時間と間に誤差時間（Δｔｘ６）が積算される。このように、ＥＣＵ１０−１の絶対時間とＥＣＵ１０−Ｍの絶対時間と間には誤差時間が累積されるが、ＥＣＵ１０−Ｍが受信するフレームの受信間隔は、上記の累積される誤差時間による影響は受けることはない。ＥＣＵ１０−Ｍは、上記の各フレームのうち最も周期の長いフレームＣを受信するタイミングを基準にした異常検出処理を実行する。

以下、時間の経過に従って、異常検出処理の一例について説明する。

図６に示す時刻ｔ１において、ＥＣＵ１０−１は、フレームＡとフレームＢとフレームＣの３つのフレームを送信する。フレームＡとフレームＢとフレームＣの３つのフレームは、予め定められた優先度に応じて送信の順序が決定される。例えば、ＥＣＵ１０−１は、優先度の順に従って、フレームＡとフレームＢとフレームＣの順に送信する。この優先度の制御により、フレームＣの送信が終了するタイミングは、時刻ｔ２まで遅延する。

ここで、ＥＣＵ１０−Ｍは、フレームＡとフレームＢとフレームＣとを受信して、フレームＡとフレームＢについての判定処理を実施した後に、フレームＡとフレームＢの受信カウンタをそれぞれ初期化して０にする。判定処理の詳細は後述する。

時刻ｔ１から送信周期ＴＡが経過して時刻ｔ３になると、ＥＣＵ１０−１は、次のフレームＡを送信する。ＥＣＵ１０−Ｍは、フレームＡを受信して、受信カウンタを加算して１にする。

時刻ｔ３から送信周期ＴＡが経過した時刻ｔ５になる前の時刻ｔ４に、バス２に偽装フレームＡが送信され、ＥＣＵ１０−Ｍは、偽装フレームＡを受信して、フレームＡの受信カウンタを加算する。この段階では、ＥＣＵ１０−Ｍは、偽装フレームＡと正統なフレームＡとを識別することができず、偽装フレームＡと正統なフレームＡとして誤検出したことになるが、上記のとおり、フレームＡの受信カウンタを加算する。その結果、フレームＡの受信カウンタの値は２になる。

時刻ｔ５と時刻ｔ６とにおいて、ＥＣＵ１０−１は、フレームＡをそれぞれ送信する。
ＥＣＵ１０−Ｍは、フレームＡをそれぞれ受信して、フレームＡの受信カウンタを順に加算する。

時刻ｔ６から送信周期ＴＡが経過した時刻ｔ８になる前の時刻ｔ７に、再びバス２に偽装フレームＡが送信され、ＥＣＵ１０−Ｍは、偽装フレームＡを受信して、フレームＡの受信カウンタを加算する。この時点で、フレームＡの受信カウンタの値は５になる。なお、上記の加算により、フレームＡの受信カウンタの値は、フレームＡの第２閾値を超える。

時刻ｔ８は、ＥＣＵ１０−１がフレームＡとフレームＢとを送信するタイミング（送信要求タイミング）である。ただし、時刻ｔ８の時点で、バス２が他の通信に占用される状態が生じていて、送信要求タイミング通りの送信が行えない。時刻ｔ８以降に記載されている●印は、フレームＡやフレームＢよりも優先して送信されるフレームを示す。ＥＣＵ１０−１は、バス２の占用が解除されて（時刻ｔ９）からフレームＡとフレームＢの送信を優先度の順に従って送信する。ＥＣＵ１０−Ｍは、フレームＡとフレームＢをそれぞれ受信して、それぞれの受信カウンタを個々に加算する。

時刻ｔ８から送信周期ＴＡが経過した時刻ｔ１０において、ＥＣＵ１０−１は、フレームＡを送信する。ＥＣＵ１０−Ｍは、フレームＡを受信して、フレームＡの受信カウンタを加算する。なお、上記の加算により、フレームＡの受信カウンタの値は、フレームＡの第１閾値を超える。

時刻ｔ１０から送信周期ＴＡが経過した時刻ｔ１２になる前の時刻ｔ１１に、再びバス２に偽装フレームＡが送信され、ＥＣＵ１０−Ｍは、偽装フレームＡを受信して、フレームＡの受信カウンタを加算する。

時刻ｔ１２は、フレームＡとフレームＣとを送信するタイミング（送信要求タイミング）である。ＥＣＵ１０−１は、フレームＡとフレームＣとを順に送信する。ＥＣＵ１０−Ｍは、フレームＡを受信して、フレームＡの受信カウンタを加算する。さらに、時刻ｔ２１に、ＥＣＵ１０−Ｍは、フレームＣを検出したことにより、フレームの種別毎の判定処理を実施する。図６に示されているフレームＡの受信カウンタの値は９である。

フレームＡの受信カウンタの値が第１閾値を超える９であることから、ＥＣＵ１０−Ｍは、フレームＡの受信カウンタの値に基づいた判定の結果により、なりすましの存在を検出する。

ＥＣＵ１０−Ｍは、同様に、フレームＢについても受信カウンタの値に基づいて判定する。フレームＢについては、偽装フレームＢを受信していないことから、フレームＢの受信カウンタの値は、フレームＢの第１閾値と第２閾値との間の値をとる。例えば、フレームＢの第１閾値と第２閾値について、それぞれ０と２が予め設定されているものとする。
同図に例示した結果の場合、フレームＢの受信カウンタの値が１であることから、ＥＣＵ１０−Ｍは、フレームＢの受信カウンタの値がフレームＢの第１閾値と第２閾値との間の値であり、フレームＢの受信に異常はなかったと判定する。

ＥＣＵ１０−Ｍは、時刻ｔ２１以降も同様に、次の判定周期の処理を繰り返す。次の判定周期では、偽装フレームＡの発生がなく、ＥＣＵ１０−Ｍは、フレームＡの検出を順に行う。

時刻ｔ３１に、ＥＣＵ１０−１は、時刻ｔ１と同様に、フレームＡとフレームＢとフレームＣの３つのフレームを送信する。ＥＣＵ１０−Ｍは、フレームＡとフレームＢとフレームＣとを受信して、フレームＡとフレームＢの受信カウンタの加算と、それぞれの判定処理を実施する。

この判定周期では、ＥＣＵ１０−Ｍは、偽装フレームＡも偽装フレームＢも受信していないことから、フレームＡもフレームＢもそれぞれの受信カウンタの値は、それぞれのフレームの第１閾値と第２閾値との間の値をとる。ＥＣＵ１０−Ｍは、フレームＡとフレームＢの受信に異常はなかったと判定する。

なお、この判定周期の時刻ｔ２３の送信要求タイミングにおけるフレームＡとフレームＢの送信が時刻ｔ２４まで遅延している状況が示されている。この時刻ｔ２３の場合には、先に説明した時刻ｔ８の場合と異なり、バス２は占用されていない。時刻ｔ２３では、ＥＣＵ１０−１内部の処理の負荷が高くなる要因が生じていて、ＥＣＵ１０−１は、その処理を優先させた結果、フレームＡとフレームＢの送信を遅延させている。

上記のように、バス２の状況や、送信側のＥＣＵ１０−１内の処理の負荷状況などにより、バス２に送信されるフレームの送信タイミングに揺らぎが発生する。ＥＣＵ１０−Ｍは、上記のように揺らぎが生じた場合でも、フレームの送信状況を正確に判定することができる。

以上に示した実施形態によれば、ネットワークＮＷには、第１の頻度で送信される第１種情報と、第１の頻度より高い第２の頻度で送信される第２種情報とが、それぞれ異なるフレームＦとして送信される。ＥＣＵ１０−Ｍは、第１種情報を受信してから次に第１種情報を受信するまでの間に、フレームＡに分類される第２種情報を受信した受信回数に基づいて、ネットワークＮＷにおける異常状態の発生を検出する。これにより、車両用通信システム１は、より正確に、通信状態の異常を検出することができる。

なお、上記の車両用通信システム１において、ＥＣＵ１０は、ネットワークＮＷに複数存在する。第１種情報と第２種情報は、それぞれ異なるＥＣＵ１０によって送信される。複数のＥＣＵ１０は、第１種情報を送信するＥＣＵ１０と第２種情報を送信するＥＣＵ１０を含むことにより、車両用通信システム１は、第１種情報と第２種情報とに基づいて、通信状態の異常を検出することができる。

なお、上記の車両用通信システム１において、第１の頻度は、ネットワークに，フレームＦにより送信される情報のうち最も低い頻度で送信される情報に対する頻度である。上記の場合、第１の頻度は、フレームＣにより情報を送信する頻度である。これにより、車両用通信システム１は、最も低い頻度で送信される情報を受信したタイミングを基準に、受信したフレームＦを計数するという簡易な処理により、通信状態の異常を検出することができる。また、上記の実施形態においては、最も低い頻度で送信される情報に対する頻度を第１の頻度と捉えて、ネットワークＮＷに生じる本実施形態にかかる異常の検出を説明した。本実施形態において第１の頻度を、最も低い頻度とすることは必須ではなく、これに代えて、受信個数をカウントするフレームに割り当てられた頻度（第２の頻度）よりも低い頻度で送信されるフレームの頻度を第１の頻度と捉えるようにしてもよい。上記のように構成しても、前述の実施形態と同様の異常の検出を行うことができる。すなわち、フレームＢの頻度を第１の頻度として、これより高い頻度である第２の頻度で送信されるフレームＡについて、フレームＢの次の受信までの間の、受信回数をカウントすることによっても、同様の異常検出が可能である。

また、上記の車両用通信システム１において、フレームＦには、フレームＦの送信元を示すＩＤが付されていることにより、ＥＣＵ１０−Ｍは、フレームＦの送信元を、受信したフレームＦの受信ＩＤから判別し、情報の種別に加え、送信元を条件に加えて受信したフレームＦを分類することができる。これにより、同じ種別のフレームＦを送信する複数のＥＣＵ１０が存在する場合にも、それらを分類することができ、より正確に、通信状態の異常を検出することができる。

また、上記の車両用通信システム１において、ＥＣＵ１０−Ｍは、受信回数が第１閾値で定める所定回数を超える場合に、ＥＣＵ１０になりすました不正装置がネットワークＮＷにフレームを送信しているという異常状態の発生を検出する。即ち、ＥＣＵ１０−Ｍは、所望の値に基づいて定めた第１閾値で定める所定回数よりも多く受信した場合には、検出すべきフレームＦ以外のフレームがネットワークＮＷに送信されているという状況を検出することができ、そのような状況を、なりすましの存在として検出することができる。

また、上記の車両用通信システム１において、ＥＣＵ１０−Ｍは、受信回数が第２閾値で定める所定回数よりも少ない場合に、ネットワークＮＷについて輻輳が生じているという異常状態の発生を検出する。即ち、ＥＣＵ１０−Ｍは、所望の値に基づいて定めた第２閾値で定める所定回数よりも少ない回数しか受信しなかった場合には、検出すべきフレームＦをネットワークＮＷに送信できない状況が生じていたことを検出することができ、そのような検出の結果から、ネットワークＮＷの輻輳を検出することができる。

（実施形態の第１の変形例）
以下、実施形態の第１の変形例について説明する。図１に示すようにＥＣＵ１０−１とＥＣＵ１０−２とＥＣＵ１０−Ｍは、車両に搭載され、ネットワークＮＷが車両に設けられている。上記の実施形態では、ＥＣＵ１０−Ｍが、異常検出処理を実施する場合を例示したが、これに限らない。例えば、ＥＣＵ１０−２は、ネットワークＮＷから受信したフレーム（通信メッセージ）に含まれた情報に基づいて、車両の走行と、停止と、旋回と、通報と、エネルギマネジメントとのうち一又は複数の項目の制御を実施する制御部３０を備え、制御部３０が、異常検出処理もさらに実施するようにしてもよい。
このような第１の変形例の車両用通信システム１によれば、上記のようにＥＣＵ１０−２を構成することにより、個別にＥＣＵ１０−Ｍを設けることなく、各ＥＣＵ１０がそれぞれ異常検出処理を実施することができる。

（実施形態の第２の変形例）
以下、実施形態の第２の変形例について説明する。以上の実施形態では、フレームＡ、Ｂ、ＣのすべてをＥＣＵ１０−１が送信する例を説明したが、第２の変形例では、これに代えて、予め設定された頻度に応じて情報を送信する複数のＥＣＵ１０が、ネットワークＮＷに存在する場合を例示する。例えば、図７に示すように、ＥＣＵ１０−１がフレームＡとフレームＣを、ＥＣＵ１０−３が、フレームＢを送信して、ＥＣＵ１０−ＭやＥＣＵ１０−２がこれを受信する場合は、予め設定された頻度に応じて情報を送信する送信装置が複数ネットワークに存在する場合に相当する。

このような第２の変形例の車両用通信システム１によれば、実施形態の車両用通信システム１と同様の効果を奏することに加えて、上記のような場合であっても、ＥＣＵ１０−ＭやＥＣＵ１０−２において上記と同様の異常検出処理を行うことができる。

（実施形態の第３の変形例）
以下、実施形態の第３の変形例について説明する。変形例の車両用通信システム１は、異常状態の発生を検出する条件が、上記の車両用通信システム１と異なる。以下、その点について説明する。

ＥＣＵ１０−Ｍは、ネットワークＮＷから、少なくともフレームＡとフレームＣとを種別に含むフレームＦを受信する。例えば、ＥＣＵ１０−Ｍは、第１種情報を含むフレームＣを受信してから次に第１種情報を含むフレームＣを受信するまでの間に、第２種情報を含むフレームＡを受信した受信回数に基づいて、ネットワークＮＷにおける異常状態の発生を検出する。

このような第３の変形例の車両用通信システム１によれば、実施形態の車両用通信システム１と同様の効果を奏することに加えて、以下の効果を奏する。例えば、ＥＣＵ１０−Ｍは、受信したフレームＦに付与された識別子に基づいて、受信回数を計数してもよい。
これにより、ＥＣＵ１０−Ｍは、受信したフレームＦに付与された識別子をキーにしてフレームＦを分類することが可能になり、情報の詳細を分析することなく受信回数を計数することができる。

以上の観点からも、本実施形態及びその変形例の車両用通信システム１は、より正確に、通信状態の異常を検出することができるものである。

以上、本発明を実施するための形態について実施形態を用いて説明したが、本発明はこうした実施形態に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。
例えば、以上の実施例についてはＣＡＮ方式による通信システムを例に説明を行ったが、これに代えて、その他の通信方式による通信システムにおいても本発明に係る異常検出を行うことができる。
また、第１種情報を受信してから次に第１種情報を受信するまでの期間（第１種情報の受信間隔）が、所定の時間間隔か否かを判定することができる。所定の時間間隔か否かの判定は、衛星からの信号に基づきタイマー補正が行われた時刻情報をもとに行うことができる。これにより、正確な時刻情報の下でより信頼性の高い通信状態の異常の検出ができる。

１…車両用通信システム（通信システム）、２…バス、１０…ＥＣＵ、１０−１…ＥＣＵ（送信装置）、１０−２…ＥＣＵ（受信装置）、１０−３…ＥＣＵ、１０−Ｍ…ＥＣＵ（受信装置）、２０…記憶部、３０、３０Ｍ…制御部、３６…ＣＡＮコントローラ、３８…ＣＡＮトランシーバ、５０…ノード、ＮＷ…ネットワーク

Claims (10)

1. ネットワークに、情報を、通信メッセージとして、前記情報の種類に応じた所定の頻度で送信する送信装置と、前記送信された通信メッセージを受信する受信装置とを備える通信システムであって、
   前記ネットワークには、
   第１の頻度で送信される第１種情報と、前記第１の頻度より高い第２の頻度で送信される第２種情報とが、それぞれ異なる通信メッセージとして送信され、
   前記受信装置は、
   前記第１種情報を受信してから次に前記第１種情報を受信するまでの間に、前記第２種情報を受信した受信回数に基づいて、前記ネットワークにおける異常状態の発生を検出する、
   通信システム。
2. 前記送信装置は、前記ネットワークに複数存在し、
   前記第１種情報と前記第２種情報は、それぞれ異なる送信装置によって送信される、
   請求項１記載の通信システム。
3. 前記第１の頻度は、
   前記ネットワークに送信される情報のうち最も低い頻度で送信される情報に対する頻度である
   請求項１又は請求項２記載の通信システム。
4. 前記通信メッセージには、前記情報の種類を示す識別子が付される
   請求項１から請求項３の何れか１項に記載の通信システム。
5. 前記識別子は、前記通信メッセージの送信元を示す
   請求項１から請求項４の何れか１項に記載の通信システム。
6. 前記送信装置と前記受信装置とは、車両に搭載され、
   前記ネットワークは、前記車両に設けられ、
   前記ネットワークから受信した通信メッセージに含まれた情報に基づいて、前記車両の走行と、停止と、旋回と、通報と、エネルギマネジメントとのうち一又は複数の項目の制御を実施する制御部をさらに備える、
   請求項１から請求項５の何れか１項に記載の通信システム。
7. 前記受信装置は、
   前記受信回数が第１の所定回数を超える場合に、前記送信装置になりすました不正装置が前記ネットワークに通信メッセージを送信しているという前記異常状態の発生を検出する、
   請求項１から請求項６の何れか１項に記載の通信システム。
8. 前記受信装置は、
   前記受信回数が第２の所定回数よりも少ない場合に、前記ネットワークについて輻輳が生じているという前記異常状態の発生を検出する、
   請求項１から請求項７の何れか１項に記載の通信システム。
9. 前記第１種情報の受信間隔が、所定の時間間隔か否かを判定する、
   請求項１から請求項８の何れか１項に記載の通信システム。
10. 前記所定の時間間隔か否かの判定を、衛星からの信号に基づく時刻情報をもとに行う
    請求項９に記載の通信システム。

Images