JP6628106B2

JP6628106B2 - 通信システム、及び通信制御方法

Info

Publication number: JP6628106B2
Application number: JP2017101841A
Authority: JP
Inventors: 和樹八幡
Original assignee: Honda Motor Co Ltd
Current assignee: Honda Motor Co Ltd
Priority date: 2017-05-23
Filing date: 2017-05-23
Publication date: 2020-01-08
Anticipated expiration: 2037-05-23
Also published as: JP2018198363A

Description

本発明は、通信システム、及び通信制御方法に関する。

近年、車両内に設けた複数の制御装置同士が車両内のネットワークを共用して通信することで、車両における各種機能を制御するための通信システムがある。ネットワークを共用している特定の装置が、通信システムに不要な信号を送信する異常状態にあると、その影響が他の装置に波及する場合がある。通信システムの中には、ネットワークに対し不要な信号を送信する制御装置に対し、その信号の送信を制限するものがある（例えば、特許文献１参照）。このように不要な信号の送信が制限されれば、ネット―ワークの通信状況を所望の状況にすることができる。

特開２０１３−１９７９８２号公報

しかしながら、送信が禁止された対象の装置が、その送信の禁止によらずに信号を送信する異常状態にあるのか、その送信の禁止により信号の送信を制限しているのかを検証することが困難である。

本発明は、このような事情を考慮してなされたものであり、ネットワークに対する送信が停止していることをより簡便に検出できる通信システム、及び通信制御方法を提供することを目的の一つとする。

（１）：ネットワークに信号を送信する通信部に対して信号の送信を禁止させる禁止部と、前記ネットワークからの受信信号に基づいて前記送信の禁止が正常に行われているかの判定を行う制御部と、を備え、前記ネットワークはＣＡＮ（Controller Area Network）であり、前記制御部は、前記禁止部による禁止処理の実行時に、信号生成部が生成するフレームと受信フレームの両フレームを比較し、前記両フレームの送信ＩＤが一致する場合であって、前記両フレームのフレーム長が一致する場合に前記送信の禁止に係る禁止機能の異常と判定するとともに、前記両フレームの送信ＩＤが一致する場合であって、前記両フレームのフレーム長が一致しない場合になりすましと判定する通信システムである。

（２）：（１）において、前記通信部は、前記禁止部によって送信が禁止されている期間であっても、前記ネットワークから信号を受信可能であり、前記制御部は、前記通信部が受信する前記受信フレームに基づいて前記判定を行う。

（３）：（１）において、前記禁止部が信号の送信を禁止する対象とする前記通信部と、前記制御部とは、それぞれ異なる通信装置に含まれる。

（４）：（３）において、前記禁止機能の異常と判定した場合に、前記通信装置からの信号を破棄する指示を、前記ＣＡＮとは異なる信号線を通じて送信する。

（５）：（１）から（４）において、前記禁止機能の異常と判定した場合に、前記通信部への供給電力を遮断する。

（６）：（１）から（５）において、前記制御部は、前記両フレーム内の所定の位置の情報が一致する場合を、前記両フレームが一致する場合と判定する。

（７）：ネットワークに信号を送信する通信部に対して信号の送信を禁止部に禁止処理を実行させ、前記禁止部による禁止処理の実行時に、信号生成部が生成するフレームと前記ネットワークから受信した受信フレームの両フレームを比較して前記送信の禁止が正常に行われているかの判定を行う過程を含み、前記ネットワークはＣＡＮであり、前記判定を行う過程は、前記両フレームの比較により、前記両フレームの送信ＩＤが一致する場合であって、前記両フレームのフレーム長が一致する場合に前記送信の禁止に係る禁止機能の異常と判定するとともに、前記両フレームの送信ＩＤが一致する場合であって、前記両フレームのフレーム長が一致しない場合になりすましと判定する過程を含む通信制御方法である。

（１）によれば、通信システムは、ネットワークに信号を送信する通信部に対して信号の送信を禁止する禁止部と、前記ネットワークからの受信信号に基づいて前記送信の禁止が正常に行われているかの判定を行う制御部と、を備えることにより、ネットワークに対する送信が停止していることをより簡便に検出できる。

第１の実施形態の通信システムの構成を示す図である。本実施形態のＥＣＵのハードウエア構成を示す図である。本実施形態のＥＣＵの機能構成を示す図である。本実施形態の送信禁止処理の判定基準について説明するための図である。本実施形態の送信禁止処理の手順を示すフローチャートである。第２の実施形態の送信禁止処理の判定基準について説明するための図である。本実施形態の送信禁止処理の手順を示すフローチャートである。第３の実施形態の通信システム１の概略構成を示す図である。本実施形態の送信禁止処理の手順を示すフローチャートである。

以下、図面を参照し、本発明の通信システム、及び通信制御方法の実施形態について説明する。以下の説明において、同じ機能を有する構成には、同じ符号を付す。

（第１の実施形態）
図１は、本実施形態の通信システム１の構成を示す図である。通信システム１は、例えば車両４（移動体）に搭載される。通信システム１は、少なくとも車両４内にネットワークＮＷを構成する。ネットワークＮＷでは、例えば、バス２（通信バス）を介してＣＡＮ（Controller Area Network）、ＩＥＥＥ８０２．３などの通信方式に基づく通信が行われる。

通信システム１は、バス２に接続されたＥＣＵ１０−１からＥＣＵ１０−３とインタフェース装置（ＩＦ装置）３とを備える。以下、ＥＣＵ１０−１からＥＣＵ１０−３を区別しない場合は、単にＥＣＵ１０と表記する。「−１」から「−３」などの記載は以下で説明する他の構成についても同様である。ＥＣＵ１０とＩＦ装置３は、通信装置の一例である。

以下の説明では、ＥＣＵ１０は、車両４のデバイスを制御する制御装置として説明するが、信号の中継機能を有する中継装置であってもよい。また、ＥＣＵ１０は、共通のバス２に接続されたものとして説明するが、バス２と、バス２以外のバスとに接続されていてもよい。

ＥＣＵ１０は、例えばエンジンを制御するエンジンＥＣＵや、シートベルトを制御するシートベルトＥＣＵ等である。ＥＣＵ１０は、自装置が所属するネットワークＮＷに送信されたフレームを受信する。以下、ネットワークＮＷに送信される各フレームのことをフレームＦという。フレームＦは、それぞれに附された識別子（以下、ＩＤという。）により識別される。ＥＣＵ１０は、自ＥＣＵ１０に係るフレームＦを識別するＩＤ（以下、受信ＩＤという）を記憶部１２（図２Ｂ）に格納しておく。ＥＣＵ１０は、フレームＦを受信する際には、受け付けたフレームＦに附されたＩＤ（以下、送信ＩＤという）を参照して、受信ＩＤと同じ値の送信ＩＤが附されたフレームＦを抽出して取得する。ＥＣＵ１０は、通信をする際に通信相手の認証処理を実施する。

ネットワークＮＷには、ＥＣＵ１０の他に、外部装置５０が接続されるＩＦ装置３が設けられている。例えば、ＩＦ装置３は、外部装置５０と有線回線を利用して通信するための接続端子（ＤＬＣ）、又は、外部装置５０と無線回線を利用して通信するための無線通信部を有している。

例えば、外部装置５０は、ＥＣＵ１０の状態を判定する測定器である。外部装置５０は、図１に示すようにＩＦ装置３に接続される。ＩＦ装置３は、ゲートウエイとして機能して、外部装置５０とＥＣＵ１０の通信を中継する。なお、外部装置５０をＩＦ装置３に接続することなく、通信システム１を機能させることができる。

図２は、本実施形態のＥＣＵ１０のハードウエア構成を示す図である。ＥＣＵ１０は、ＣＰＵ１０Ａと、ＲＡＭ（Random Access Memory）、レジスタ等の揮発性記憶装置１０Ｂと、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable and Programmable Read Only Memory）、ＨＤＤ（Hard Disk Drive）の不揮発性記憶装置１０Ｃと、無線通信インタフェース１０Ｄと、入出力装置１０Ｅと、通信インタフェース１０Ｆなどを含むコンピュータである。なお、ＥＣＵ１０は、その種類又は用途により、無線通信インタフェース１０Ｄと入出力装置１０Ｅの何れか又は両方を含まない場合がある。

図３は、本実施形態のＥＣＵ１０の機能構成を示す図である。ＥＣＵ１０は、制御部１１と、記憶部１２と、通信制御部１３（送信信号生成部）と、禁止部１９とを含む。例えば、制御部１１と通信制御部１３は、ＣＰＵ１０Ａ等のプロセッサが制御プログラム（ソフトウェアプログラム）を実行することにより実現される。

制御部１１は、ＥＣＵ１０内の各部を制御する。例えば、制御部１１は、他のＥＣＵ１０、ＩＦ装置３、外部装置５０等の他の装置からの通信要求を受け付ける。

記憶部１２は、揮発性記憶装置１０Ｂと不揮発性記憶装置１０Ｃとによって実現される。記憶部１２は、アプリケーションプログラム、通信制御プログラム等の制御プログラム１２５と、上記の制御プログラムの実行により参照される各種情報とを格納する。各種情報には、送信ＩＤ１２１と受信ＩＤ１２２とが含まれる。送信ＩＤ１２１には、信号の送信時に付与する識別情報が格納されている。受信ＩＤ１２２には、受信を許容する信号（受信フレーム）を抽出するための識別情報が格納されている。

通信制御部１３は、通信インタフェース１０Ｆ（通信部）を介した外部の装置との通信を制御する。通信インタフェース１０Ｆは、ＥＣＵ１０をバス２に接続するインタフェースである。通信制御部１３が生成した送信信号は、有効状態に設定された通信インタフェース１０Ｆによって変換されてバス２に出力される。なお、無効状態として設定された通信インタフェース１０Ｆは、バス２に信号を出力しない。無効状態とは、バス２に信号を出力しないように送信が禁止された状態、つまり、送信に関する機能が制限された状態である。

例えば、通信インタフェース１０Ｆは、フレーム処理部１５と、ドライバ回路１７とを備える。フレーム処理部１５は、通信制御部１３が生成した送信信号を、所定のフレーム形式の送信フレームに変換して、ドライバ回路１７を介してバス２に送信する。フレーム処理部１５は、バス２からドライバ回路１７を介して受信した信号から所定のフレーム形式の受信フレームを抽出して、通信制御部１３に受信信号を供給する。

通信インタフェース１０Ｆは、上記の無効状態に制御されて送信が禁止されている期間であっても、バス２から信号を受信する。通信制御部１３は、バス２から受信した信号に対する受信処理をして、他の装置からの通信要求を制御部１１に通知する。

禁止部１９は、例えば、所定の条件が満たされた場合に、バス２に信号を送信する通信インタフェース１０Ｆによって、信号の送信を禁止する。例えば、禁止部１９は、ドライバ回路１７からバス２に対する信号の送信を禁止する。

ここで、制御部１１による送信禁止制御について説明する。制御部１１は、ネットワークＮＷからの受信信号に基づいて、送信の禁止が正常に行われているかを判定する。

図４は、本実施形態の送信禁止処理の判定基準について説明するための図である。
送信ＩＤと所定の程度の同一性を判定対象にした判定基準の一例を示す。
第１のケースとして、送信ＩＤと所定の程度の同一性がともにある場合には、自ＥＣＵ１０が送信状態にある可能性が高いものと判断し得ることから「異常状態」と判定する。
第２のケースとして、送信ＩＤと所定の程度の同一性がともにない場合には、他のＥＣＵ１０が送信したものを受信したと判断し得ることから「正常状態」と判定する。
第３のケースとして、送信ＩＤが一致して、所定の程度の同一性がない場合には、自ＥＣＵ１０の送信ＩＤを詐称してなりすました装置が存在する可能性が高いものと判断し得ることから「なりすまし」の疑義があると判定する。
第４のケースとして、送信ＩＤが一致せずに、所定の程度の同一性がある場合には、他のＥＣＵ１０が送信した信号に、単に所定の範囲と同じ情報が含まれていた可能性が高いものと判断し得ることから「正常状態」と判定する。
なお、上記の判定は、制御部１１が実施する。

図５は、本実施形態の送信禁止処理の手順を示すフローチャートである。この図５に示す処理は、図４の判定基準に従った処理の一例を示すものである。

まず、制御部１１は、送信の禁止を設定する処理を実施する（ＳＡ１１）。例えば、制御部１１は、通信インタフェース１０Ｆを活性化状態にしたまま、上位処理が通信要求を発行しないように制御して、通信インタフェース１０Ｆに対する信号（送信信号）が出力されないように制御する。上記の制御により送信信号の出力が停止することが期待されるが、何らかの要因により送信信号の出力が停止しないことがある。以下の処理により、そのような状況が生じたことを検出する。

次に、制御部１１は、バス２から受信した信号に基づく受信信号と、通信制御部１３から出力された送信信号とを検出する（ＳＡ１２）。例えば、制御部１１は、フレーム処理部１５が抽出した受信フレームに含まれた受信信号と、通信制御部１３が生成した送信信号と、を検出する。

次に、制御部１１は、その受信信号が、対象の制御部１１を含むＥＣＵ１０（例えば、ＥＣＵ１０−１）を送信元とするものであるか否かを判定する（ＳＡ１３）。例えば、受信信号が、制御部１１を含むＥＣＵ１０を送信元とするものであるか否かの判定は、受信信号に含まれる送信ＩＤが、送信ＩＤ１２１に格納されているものと一致するか否かを判定の基準にしてもよい。

制御部１１は、受信信号に含まれる送信ＩＤが送信ＩＤ１２１に格納されているものと一致せず、その受信信号がＥＣＵ１０−１を送信元とするものと識別されなかった場合には、「正常状態」にあると判定し（ＳＡ１４）、上記の一連の処理を終える。

制御部１１は、受信信号に含まれる送信ＩＤが送信ＩＤ１２１に格納されているものと一致して、その受信信号がＥＣＵ１０−１を送信元とするものと識別された場合には、ＥＣＵ１０−１の通信制御部１３が生成する信号と所定の程度で同一であるか否かを判定する（ＳＡ１５）。

制御部１１は、受信信号が、通信制御部１３が生成する信号と所定の程度で同一である場合に、送信の禁止が正常に行われていない「異常状態」にあると判定し（ＳＡ１６）、例えば、通信インタフェース１０Ｆに供給する電力を遮断して通信インタフェース１０Ｆからバス２に対する信号の送信を停止させるといった所定の異常判定時処理を行う（ＳＡ１７）。その後、上記の一連の処理を終える。

制御部１１は、その受信信号が、通信制御部１３が生成する信号と所定の程度で同一ではない場合に、ＥＣＵ１０−１になりすました装置（「なりすまし」）が存在すると判定する（ＳＡ１８）。つまり、上記の場合は、ＥＣＵ１０−１を送信元とする信号であり、且つ、通信制御部１３が生成する信号と所定の程度で同一ではない場合に相当する。制御部１１は、上記の一連の処理を終える。

なお、所定の程度で同一であることとは、下記の例が挙げられる。下記の例のうちの何れか又は複数を組み合わせにより、所定の程度で同一性を判定してもよい。

第１の例として、所定の期間内の送出信号と受信信号の論理が、所定の個数連続して一致するかを判定する場合がある。
第２の例として、所定の期間内で送出信号と受信信号の論理が一致した比率が、所定値以上であるかを判定する場合がある。
第３の例として、所定の期間内で送出信号と受信信号の論理が一致しなかった比率が、所定値以下であるかを判定する場合がある。
第４の例として、送出信号と受信信号のフレーム構造の特徴が一致するかを判定する場合がある。例えば、上記の特徴は、所定のフレーム様式、フレーム長などである。
第５の例として、送出信号と受信信号のフレーム内の所定の位置の情報が一致する場合がある。例えば、上記の情報は、通信エラー検出のための補助情報、暗号鍵、特定の識別情報などである。

上記の実施形態によれば、通信システム１は、ネットワーク（バス２）に信号を送信する通信インタフェース１０Ｆに対して信号の送信を禁止させる禁止部１９と、ネットワーク（バス２）からの受信信号に基づいて、上記の送信の禁止が正常に行われているかの判定を行う制御部１１と、を備えていることにより、ネットワークに対する送信が停止していることをより簡便に検出できる。

なお、通信インタフェース１０Ｆは、禁止部１９によって送信が禁止されている期間であっても、機能が活性化されていてネットワーク（バス２）から信号を受信可能である。制御部１１は、通信インタフェース１０Ｆが受信する受信信号に基づいて判定を行うことができ、これにより、ネットワークに対する送信が停止していることをより簡便に検出できる。

なお、制御部１１は、受信信号が、制御部１１を含むＥＣＵ１０の通信制御部１３が生成する信号と所定の程度で同一の場合に、送信の禁止が正常に行われていないと判定することにより、ネットワークに対する送信が停止していることをより簡便に検出できる。

なお、制御部１１は、受信信号が、制御部１１を含むＥＣＵ１０を送信元とする信号であり且つ通信制御部１３が生成する信号と所定の程度で同一の場合に、送信の禁止が正常に行われていないと判定してもよい。

なお、制御部１１は、受信信号が、制御部１１を含むＥＣＵ１０を送信元とする信号であり且つ通信制御部１３が生成する信号と所定の程度で同一ではない場合に、ＥＣＵ１０になりすました装置が存在すると判定してもよい。

（第１の実施形態の変形例）
第１の実施形態の変形例について説明する。第１の実施形態の判定基準は、送信ＩＤと所定の程度の同一性について判定するものであった。これに代えて、本変形例の判定基準は、送信ＩＤの同一性について判定するものであり、この点が第１の実施形態の判定基準とは異なる。以下、これについて説明する。

例えば、図５のＳＡ１５とＳＡ１７の処理を省略することにより、制御部１１は、受信信号が、通信制御部１３が生成する信号と所定の程度で同一である場合に、送信の禁止が正常に行われていない「異常状態」にあると判定し（ＳＡ１６）、上記の一連の処理を終えてもよい。

この場合、ＥＣＵ１０自体の異常状態なのか、なりすましが存在するのかの識別結果を得ることはできないが、通信システム１内に「異常状態」が生じていることを検出することができる。

本変形例によれば、上記の差異があるものの、第１の実施形態と同様の効果を奏する。

（第２の実施形態）
第２の実施形態について説明する。第１の実施形態の判定基準は、送信ＩＤと所定の程度の同一性を判定するものであった。これに代えて、本実施形態の判定基準は、所定の程度の同一性を判定するものであり、第１の実施形態の判定基準とは異なる。以下、これについて説明する。

図６は、本実施形態の送信禁止処理の判定基準について説明するための図である。
図６に、所定の程度の同一性を判定対象にした判定基準の一例を示す。
第１のケースとして、所定の程度の同一性がある場合には、自ＥＣＵ１０が送信状態にある可能性が高いものと判断し得ることから「異常状態」と判定する。
第２のケースとして、所定の程度の同一性がない場合には、他のＥＣＵ１０が送信したものを受信したと判断し得ることから「正常状態」と判定する。

図７は、本実施形態の送信禁止処理の手順を示すフローチャートである。この図７に示す処理は、図６の判定基準に従った処理の一例を示すものである。

まず、制御部１１は、送信の禁止を設定する処理を実施する（ＳＢ１１）。

次に、制御部１１は、バス２から受信した信号と、通信制御部１３から出力された信号を検出する（ＳＢ１２）。

次に、制御部１１は、その受信信号が、制御部１１を含むＥＣＵ１０（例えば、ＥＣＵ１０−１）の通信制御部１３が生成する信号と所定の程度で同一性があるか否かを判定する（ＳＢ１３）。

制御部１１は、受信信号が、ＥＣＵ１０−１の通信制御部１３が生成する信号と所定の程度で同一性がない場合には、対象のＥＣＵ１０−１とは異なるＥＣＵ１０が送信した可能性が見込まれる。制御部１１は、対象のＥＣＵ１０−１が送信の禁止状態にあり「正常状態」と判定し（ＳＢ１４）、上記の一連の処理を終える。

制御部１１は、受信信号が、ＥＣＵ１０−１の通信制御部１３が生成する信号と所定の程度で同一性がある場合には、対象のＥＣＵ１０−１が送信した可能性が見込まれる。制御部１１は、対象のＥＣＵ１０−１における送信の禁止が正常に行われていない「異常状態」にあると判定し（ＳＢ１６）、例えば、通信インタフェース１０Ｆに供給する電力を遮断して通信インタフェース１０Ｆからバス２に対する信号の送信を停止させるといった所定の異常判定時処理を行う所定の異常判定時処理を行う（ＳＢ１７）。その後、上記の一連の処理を終える。

上記の実施形態によれば、第１の実施形態と同様の効果を奏することの他、所定の程度の同一性を判定するという構成により、ネットワークに対する送信が停止していることをより簡便に検出できる。
（異常判定時処理の例）
前述の実施例で示したＳＡ１７およびＳＢ１７における「異常判定時処理」については、例えば以下のものから１つまたは複数を組み合わせて実施することができる。
（ア）通信インタフェース１０Ｆに供給する電力を遮断する。これにより、通信インタフェース１０Ｆを不活性化させ、バス２に対して信号が送信されることを停止させる。
（イ）ＥＣＵ１０−１を送信元とする信号を受信する場合にこれを破棄することを要求する信号を、他の通信装置に対して送信する。
当該信号は、制御部を制御することによりバス２を介して送信されてもよいし、通信装置同士を接続する、バス２とは異なる信号線を介して送信されてもよい。

（第３の実施形態）
第３の実施形態について説明する。第１の実施形態と第２の実施形態の事例は、共に１つのＥＣＵ１０内で判定処理を実施するものである。これに代えて、本実施形態では、禁止部が信号の送信を禁止する対象とする通信部と、ＥＣＵ１０の送信状態を判定する制御部（判定部）とが互いに異なるＥＣＵ１０に含まれて構成され、これらの複数のＥＣＵ１０が連携して機能するものであり、この点が前述の実施形態の事例とは異なる。以下、これについて説明する。

図８は、本実施形態の通信システム１の概略構成を示す図である。図８に示す通信システム１は、監視装置と被監視装置の関係にある３つのＥＣＵ１０を含む。例えば、ＥＣＵ１０−１が監視装置であり、ＥＣＵ１０−２とＥＣＵ１０−３とが被監視装置である。

ＥＣＵ１０−１は、制御部１１−１と、記憶部１２−１と、通信制御部１３−１とを含む。ＥＣＵ１０−２は、制御部１１−２と、記憶部１２−２と、通信制御部１３−２（送信信号生成部）と、禁止部１９−２とを含む。ＥＣＵ１０−３は、制御部１１−３と、記憶部１２−３と、通信制御部１３−３（送信信号生成部）と、禁止部１９−３とを含む。

つまり、禁止部１９−２は、被監視装置としてのＥＣＵ１０−２に設けられ、禁止部１９−３は、被監視装置としてのＥＣＵ１０−３に設けられている。制御部１１−１は、監視装置としてのＥＣＵ１０−１に設けられている。このように、実施形縦の制御部は、制御対象の禁止部とは別体で構成されている。

ＥＣＵ１０−２の禁止部１９−２に関する機能は、ＥＣＵ１０−１の制御部１１−１から制御される。この点が、第１の実施形態と第２の実施形態とに示した禁止部１９とは異なる。前述の実施形態との相違点を中心に説明する。

各ＥＣＵ１０は、バス２を介して接続されており、さらに、バス２とは異なる制御線により接続されている。実施形態のＥＣＵ１０−２は、平常時に少なくともＥＣＵ１０−３に対して所定の周期で制御信号を送信する。

図９は、本実施形態の送信禁止処理の手順を示すフローチャートである。

まず、ＥＣＵ１０−２は、ＥＣＵ１０−３に対して所定の周期で所望の制御信号を送信する（ＳＣ２１１からＳＣ２１３）。ＥＣＵ１０−３は、ＥＣＵ１０−２からの制御信号を受信して、その制御信号に応じた所定の処理を実施する（ＳＣ３１１からＳＣ３１３）。

次に、ＥＣＵ１０−１の制御部１１−１は、バス２を介した通信を利用してＥＣＵ１０−２の送信の禁止を指示するための処理を実施する（ＳＣ１１１）。その後、制御部１１−１は、バス２を介した通信の信号を継続して受信する。

ＥＣＵ１０−２の制御部１１−２は、ＥＣＵ１０−１から送信の禁止に関する通知を受け、送信の禁止を設定する処理を実施する（ＳＣ２１４）。例えば、制御部１１−２は、通信インタフェース１０Ｆ−２を活性化状態にしたまま、上位処理が通信要求を発行しないように制御して、通信制御部１３−２から通信インタフェース１０Ｆ−２に対する信号（送信信号）が出力されないように制御する。

次に、制御部１１−１は、バス２から信号（受信信号）を受信する（ＳＣ１１２）。同じ信号は、バス２に接続された他のＥＣＵ１０においても受信可能である。例えば、制御部１１−３は、バス２から上記と同じ受信信号を受信する（ＳＣ３１４）。

次に、制御部１１−１は、その受信信号が、ＥＣＵ１０−２を送信元とするものであるか否かを、受信信号に付与された送信ＩＤに基づいて判定する（ＳＣ１１３）。

制御部１１−１は、受信信号に含まれる送信ＩＤがＥＣＵ１０−２の送信ＩＤに一致しなかった場合には、「正常状態」にあると判定し、上記の一連の処理を終える。

制御部１１−１は、受信信号に含まれる送信ＩＤがＥＣＵ１０−２の送信ＩＤに一致した場合には、所望の異常判定処理を実施する（ＳＣ１１６）。
例えば、制御部１１−１は、所望の異常判定処理として、ＥＣＵ１０−２を送信元とする信号を受信する場合に、これを破棄することを要求する信号（破棄要求信号）を、他のＥＣＵ１０に対して送信する（ＳＣ１１４）。例えば、ＥＣＵ１０−３は、上記の破棄要求信号を受け、先にＳＣ３１４において受信していた受信信号を無効化して、所定の制御に適用せずに破棄する（ＳＣ３１５）。

制御部１１−１は、ＥＣＵ１０−２の禁止部１９−２に対して送信停止を指示する（ＳＣ１１５）。

次に、ＥＣＵ１０−２の禁止部１９−２は、送信停止の指示を受け、通信インタフェース１０Ｆからバス２に対する信号の送信を停止させる（ＳＣ２１５）。その後、上記の一連の処理を終える。

上記の実施形態によれば、第１の実施形態と同様の効果を奏することの他、通信インタフェース１０Ｆ−２と、制御部１１−１とは、それぞれ異なるＥＣＵ１０に含まれており、これらの複数のＥＣＵ１０を連系させることにより、送信の禁止を指示する監視装置からの指示に従って、被監視装置がネットワークに対する送信を停止することが可能になる。この被監視装置は、ネットワークに対する送信が停止していることを自装置内で検出することができ、より簡便な方法で送信の停止を検出することができる。

（異常判定時処理の例）
上記実施例で示したＥＣＵ１０−１における「異常判定時処理」については、例えば以下のものから１つまたは複数を組み合わせて実施することができる。

（ア）通信インタフェース１０Ｆ−２に供給する電力を遮断する。これにより、通信インタフェース１０Ｆ−２を不活性化させ、バス２に対して信号が送信されることを停止させる。

（イ）ＥＣＵ１０−２を送信元とする信号を受信する場合にこれを破棄することを要求する信号を、他の通信装置に対して送信する。
当該信号は、制御部１１−１を制御することによりバス２を介して送信されてもよいし、通信装置同士を接続する、バス２とは異なる信号線を介して送信されてもよい。なお、「異常判定時処理」を、当該信号線を介して当該信号を送信する処理とすることは、ＳＣ２１４での「送信禁止（送信停止）」の処理が、例えば、通信インタフェース１０Ｆ−２に供給する電力を遮断して通信インタフェース１０Ｆ−２を不活性化させる処理である場合に、より好適となる場合がある。

なお、上記の実施形態によれば、上記のＳＣ１１１とＳＣ２１４の処理によりＥＣＵ１０−２からの送信信号の出力が停止することが期待されるが、何らかの要因により送信信号の出力が停止しないことがあっても、上記の処理により、そのような状況が生じたことの影響を低減させることができる。

以上説明した少なくともひとつの実施形態によれば、通信システム１は、ネットワーク（バス２）に信号を送信する通信部に対して信号の送信を禁止させる禁止部１９と、ネットワーク（バス２）からの受信信号に基づいて前記送信の禁止が正常に行われているかの判定を行う制御部１１と、を備える。ネットワーク（バス２）からの受信信号に基づいて通信部からの送信の禁止が正常に行われているかの判定を行い、判定の結果に基づいて通信部に対して信号の送信を禁止させることができることにより、ネットワークに対する送信が停止していることをより簡便に検出できる。

以上、本発明を実施するための形態について実施形態を用いて説明したが、本発明はこうした実施形態に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。

１‥通信システム、２…バス、３…ＩＦ装置、１０、１０−１、１０−２、１０−３…ＥＣＵ、１１…制御部、１２…記憶部、５０…外部装置。

Claims

ネットワークに信号を送信する通信部に対して信号の送信を禁止させる禁止部と、
前記禁止部による禁止処理の実行時に、信号生成部が生成するフレームと前記ネットワークから受信した受信フレームの両フレームを比較して前記送信の禁止が正常に行われているかの判定を行う制御部と、
を備え、
前記ネットワークはＣＡＮ（Controller Area Network）であり、
前記制御部は、
前記両フレームの比較により、
前記両フレームの送信ＩＤが一致する場合であって、前記両フレームのフレーム長が一致する場合に前記送信の禁止に係る禁止機能の異常と判定するとともに、
前記両フレームの送信ＩＤが一致する場合であって、前記両フレームのフレーム長が一致しない場合になりすましと判定する
通信システム。
前記通信部は、前記禁止部によって送信が禁止されている期間であっても、前記ネットワークから信号を受信可能であり、
前記制御部は、前記通信部が受信する前記受信フレームに基づいて前記判定を行う、
ことを特徴とする請求項１に記載の通信システム。
前記禁止部が信号の送信を禁止する対象とする前記通信部と、前記制御部とは、それぞれ異なる通信装置に含まれる、
ことを特徴とする請求項１に記載の通信システム。
前記禁止機能の異常と判定した場合に、前記通信装置からの信号を破棄する指示を、前記ＣＡＮとは異なる信号線を通じて送信する
ことを特徴とする請求項３に記載の通信システム。
前記禁止機能の異常と判定した場合に、前記通信部への供給電力を遮断する
ことを特徴とする請求項１から請求項４の何れか１項に記載の通信システム。
前記制御部は、
前記両フレーム内の所定の位置の情報が一致する場合を、前記両フレームが一致する場合と判定する
ことを特徴とする請求項１から請求項５の何れか１項に記載の通信システム。
ネットワークに信号を送信する通信部に対して信号の送信を禁止部に禁止処理を実行させ、
前記禁止部による禁止処理の実行時に、信号生成部が生成するフレームと前記ネットワークから受信した受信フレームの両フレームを比較して前記送信の禁止が正常に行われているかの判定を行う過程
を含み、
前記ネットワークはＣＡＮであり、
前記判定を行う過程は、
前記両フレームの比較により、
前記両フレームの送信ＩＤが一致する場合であって、前記両フレームのフレーム長が一致する場合に前記送信の禁止に係る禁止機能の異常と判定するとともに、
前記両フレームの送信ＩＤが一致する場合であって、前記両フレームのフレーム長が一致しない場合になりすましと判定する過程
を含む通信制御方法。