特開 2022-170353 車載中継装置、中継方法および中継プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022170353

(43)【公開日】2022-11-10

(54)【発明の名称】車載中継装置、中継方法および中継プログラム

(51)【国際特許分類】

   H04L 12/28 20060101AFI20221102BHJP

   B60R 16/023 20060101ALN20221102BHJP

【ＦＩ】

H04L12/28 200D

H04L12/28 100A

B60R16/023 Z

【審査請求】未請求

【請求項の数】9

【出願形態】ＯＬ

(21)【出願番号】P 2021076437

(22)【出願日】2021-04-28

(71)【出願人】

【識別番号】395011665

【氏名又は名称】株式会社オートネットワーク技術研究所

(71)【出願人】

【識別番号】000183406

【氏名又は名称】住友電装株式会社

(71)【出願人】

【識別番号】000002130

【氏名又は名称】住友電気工業株式会社

(74)【代理人】

【識別番号】110000682

【氏名又は名称】弁理士法人ワンディ－ＩＰパ－トナ－ズ

(72)【発明者】

【氏名】上口 翔悟

【テーマコード（参考）】

5K033

【Ｆターム（参考）】

5K033AA05

5K033BA06

5K033CB06

5K033DB18

(57)【要約】

【課題】車載ネットワークにおけるセキュリティを容易に向上させる。
【解決手段】車載中継装置は、車載ネットワークにおける車載装置間で送受信されるフレームを中継する中継部と、前記中継部が前記車載装置から受信した他の前記車載装置宛ての複数の前記フレームに基づいて、前記他の車載装置の処理負荷を算出する算出部と、前記算出部により算出された前記処理負荷に基づいて、前記他の車載装置宛ての前記フレームを前記中継部において中継すべきか否かを判断する判断処理を行う判断部とを備える。
【選択図】図２

【特許請求の範囲】

【請求項1】

車載ネットワークにおける車載装置間で送受信されるフレームを中継する中継部と、
前記中継部が前記車載装置から受信した他の前記車載装置宛ての複数の前記フレームに基づいて、前記他の車載装置の処理負荷を算出する算出部と、
前記算出部により算出された前記処理負荷に基づいて、前記他の車載装置宛ての前記フレームを前記中継部において中継すべきか否かを判断する判断処理を行う判断部とを備える、車載中継装置。

【請求項2】

前記車載中継装置は、さらに、
前記フレームの種類ごとの、前記フレームの前記車載装置における処理負荷を示すフレーム処理情報を記憶する記憶部を備え、
前記算出部は、前記複数のフレームの各々の種類および前記フレーム処理情報に基づいて、前記処理負荷を算出する、請求項１に記載の車載中継装置。

【請求項3】

前記フレーム処理情報は、さらに、前記フレームの種類ごとの、前記車載装置において前記フレームの処理に要する処理時間を示し、
前記算出部は、前記中継部が前記フレームを受信または中継してからの経過時間、および前記フレームに対応する前記処理時間に基づいて、前記処理負荷を更新する、請求項２に記載の車載中継装置。

【請求項4】

前記車載中継装置は、さらに、
前記車載装置ごとの、前記フレームの前記車載装置における処理負荷を示すフレーム処理情報を記憶する記憶部を備え、
前記算出部は、前記フレーム処理情報における前記他の車載装置に対応する前記処理負荷に基づいて、前記処理負荷を算出する、請求項１から請求項３のいずれか１項に記載の車載中継装置。

【請求項5】

前記フレーム処理情報は、さらに、前記車載装置ごとの、前記車載装置において前記フレームの処理に要する処理時間を示し、
前記算出部は、前記中継部が前記フレームを受信または中継してからの経過時間、および前記フレームに対応する前記処理時間に基づいて、前記処理負荷を更新する、請求項４に記載の車載中継装置。

【請求項6】

前記車載中継装置は、さらに、
前記車載装置ごとの、前記処理負荷の閾値を示すフレーム処理情報を記憶する記憶部を備え、
前記判断部は、前記算出部により算出された前記処理負荷と前記フレーム処理情報における前記他の車載装置に対応する前記閾値との比較結果に基づいて、前記判断処理を行う、請求項１から請求項５のいずれか１項に記載の車載中継装置。

【請求項7】

前記判断部は、前記算出部により算出された前記処理負荷と閾値との比較結果に基づいて、前記判断処理を行い、
前記閾値は、所定のネットワーク構成を有する車両におけるフレームの送信周期の計測結果に基づく値である、請求項１から請求項６のいずれか１項に記載の車載中継装置。

【請求項8】

車載ネットワークにおける車載装置間で送受信されるフレームを中継する中継部を備える車載中継装置における中継方法であって、
前記中継部が前記車載装置から受信した他の前記車載装置宛ての複数の前記フレームに基づいて、前記他の車載装置の処理負荷を算出するステップと、
算出した前記処理負荷に基づいて、前記他の車載装置宛ての前記フレームを前記中継部において中継すべきか否かを判断する判断処理を行うステップとを含む、中継方法。

【請求項9】

車載中継装置において用いられる中継プログラムであって、
コンピュータを、
車載ネットワークにおける車載装置間で送受信されるフレームを中継する中継部と、
前記中継部が前記車載装置から受信した他の前記車載装置宛ての複数の前記フレームに基づいて、前記他の車載装置の処理負荷を算出する算出部と、
前記算出部により算出された前記処理負荷に基づいて、前記他の車載装置宛ての前記フレームを前記中継部において中継すべきか否かを判断する判断処理を行う判断部、
として機能させるための、中継プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、車載中継装置、中継方法および中継プログラムに関する。

【背景技術】

【0002】

従来、車載ネットワークにおけるセキュリティを向上させるための技術が開発されている。

【0003】

たとえば、特開２００８－２５２２２１号公報（特許文献１）には、以下のような装置が開示されている。すなわち、通信端末と、ネットワークを介して前記通信端末に接続されるサーバとにおいて、送受信されるパケットを監視するＤｏＳ攻撃防御装置であって、前記パケットを受信するパケット受信手段と、受信した前記パケットに基づいて、当該パケットを送信可能か判断すると共に、送信可能な場合には、当該パケットを送信するパケット送信手段と、を備える。この装置では、パケットのレート、すなわち、単位時間あたりのパケットの数を計測し、予め設定した閾値を超えた場合にパケットを破棄する。

【0004】

また、特表２０１９－５２３５８４号公報（特許文献２）には、以下のような方法が開示されている。すなわち、ネットワーク攻撃防御方法であって、保護サイトについての１セットの１または複数のサイト属性の統計値を収集することによって前記保護サイトについての１セットの１または複数の統計的属性を取得する工程であって、前記保護サイトについての前記１セットの１または複数のサイト属性は、前記保護サイトの動作モードを示す、工程と、前記１セットの１または複数の統計的属性に少なくとも部分的に基づいて、前記保護サイトが現在の動作モードから目標動作モードへ移行することを決定する工程であって、前記現在の動作モードは現在の防御戦略を有し、前記目標動作モードは目標防御戦略を有し、前記現在の防御戦略は前記目標防御戦略とは異なる、工程と、前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行するとの前記決定に応じて、前記現在の動作モードから前記目標動作モードへ移行し、前記目標防御戦略を前記保護サイトに適用する工程と、を備える。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２００８－２５２２２１号公報

【特許文献2】特表２０１９－５２３５８４号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

車載ネットワークにおいては、走行パターンおよび使用する機能等によって、車載ネットワークにおいて伝送されるパケットの量が異なる。仮に、車載ネットワークにおいて伝送されるパケットの統計量を把握する場合、多種多様な、走行パターン別および機能の有無別の種々の状況を試行する必要がある。

【0007】

本開示は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおけるセキュリティを容易に向上させることが可能な車載中継装置、中継方法および中継プログラムを提供することである。

【課題を解決するための手段】

【0008】

本開示の車載中継装置は、車載ネットワークにおける車載装置間で送受信されるフレームを中継する中継部と、前記中継部が前記車載装置から受信した他の前記車載装置宛ての複数の前記フレームに基づいて、前記他の車載装置の処理負荷を算出する算出部と、前記算出部により算出された前記処理負荷に基づいて、前記他の車載装置宛ての前記フレームを前記中継部において中継すべきか否かを判断する判断処理を行う判断部とを備える。

【0009】

本開示の中継方法は、車載ネットワークにおける車載装置間で送受信されるフレームを中継する中継部を備える車載中継装置における中継方法であって、前記中継部が前記車載装置から受信した他の前記車載装置宛ての複数の前記フレームに基づいて、前記他の車載装置の処理負荷を算出するステップと、算出した前記処理負荷に基づいて、前記他の車載装置宛ての前記フレームを前記中継部において中継すべきか否かを判断する判断処理を行うステップとを含む。

【0010】

本開示の中継プログラムは、車載中継装置において用いられる中継プログラムであって、コンピュータを、車載ネットワークにおける車載装置間で送受信されるフレームを中継する中継部と、前記中継部が前記車載装置から受信した他の前記車載装置宛ての複数の前記フレームに基づいて、前記他の車載装置の処理負荷を算出する算出部と、前記算出部により算出された前記処理負荷に基づいて、前記他の車載装置宛ての前記フレームを前記中継部において中継すべきか否かを判断する判断処理を行う判断部、として機能させるためのプログラムである。

【0011】

本開示の一態様は、このような特徴的な処理部を備える車載中継装置として実現され得るだけでなく、車載中継装置の一部または全部を実現する半導体集積回路として実現され得たり、車載中継装置を含むシステムとして実現され得る。

【発明の効果】

【0012】

本開示によれば、車載ネットワークにおけるセキュリティを容易に向上させることができる。

【図面の簡単な説明】

【0013】

【図1】図１は、本開示の実施の形態に係る車載システムの構成を示す図である。

【図2】図２は、本開示の実施の形態に係る車載システムにおける車載中継装置の構成を示す図である。

【図3】図３は、本開示の実施の形態に係る車載中継装置におけるフレーム処理情報の一例を示す図である。

【図4】図４は、本開示の実施の形態に係る車載中継装置における負荷情報の一例を示す図である。

【図5】図５は、本開示の実施の形態に係る車載中継装置における負荷情報の一例を示す図である。

【図6】図６は、本開示の実施の形態に係る車載中継装置がフレームを制限する処理の一例を示す図である。

【図7】図７は、本開示の実施の形態に係る車載中継装置がフレームを受信した際の動作手順の一例を定めたフローチャートである。

【図8】図８は、本開示の実施の形態に係る車載中継装置が負荷情報を更新する際の動作手順の一例を定めたフローチャートである。

【発明を実施するための形態】

【0014】

最初に、本開示の実施形態の内容を列記して説明する。
（１）本開示の実施の形態に係る車載中継装置は、車載ネットワークにおける車載装置間で送受信されるフレームを中継する中継部と、前記中継部が前記車載装置から受信した他の前記車載装置宛ての複数の前記フレームに基づいて、前記他の車載装置の処理負荷を算出する算出部と、前記算出部により算出された前記処理負荷に基づいて、前記他の車載装置宛ての前記フレームを前記中継部において中継すべきか否かを判断する判断処理を行う判断部とを備える。

【0015】

このように、中継装置において受信された同じ車載装置宛ての複数のフレームに基づいて当該車載装置の処理負荷を算出し、算出結果を用いて当該車載装置宛てのフレームの中継の是非を判断する構成により、たとえば、走行パターンおよび使用する機能等によって、車載ネットワークにおいて伝送されるパケットの量が異なる車載ネットワークにおいて、多種多様な、走行パターン別および機能の有無別の種々の状況を試行することなく、車載装置へのフレーム送信を用いた攻撃を防御することができる。したがって、車載ネットワークにおけるセキュリティを容易に向上させることができる。

【0016】

（２）前記車載中継装置は、さらに、前記フレームの種類ごとの、前記フレームの前記車載装置における処理負荷を示すフレーム処理情報を記憶する記憶部を備え、前記算出部は、前記複数のフレームの各々の種類および前記フレーム処理情報に基づいて、前記処理負荷を算出してもよい。

【0017】

受信したパケットを装置が処理する際の負荷は、パケットの種類によって異なる。上記のような構成により、単に単位時間あたりのパケット数等の通信トラフィックを判断基準に用いる構成と比べて、パケットの種類に応じた処理負荷の相違を考慮した判断を行うことができるため、たとえば、高い負荷の処理を要する少数のパケットを特定の車載装置へ送信する攻撃が行われた場合、このような攻撃をより確実に防御することができる。

【0018】

（３）前記フレーム処理情報は、さらに、前記フレームの種類ごとの、前記車載装置において前記フレームの処理に要する処理時間を示し、前記算出部は、前記中継部が前記フレームを受信または中継してからの経過時間、および前記フレームに対応する前記処理時間に基づいて、前記処理負荷を更新してもよい。

【0019】

このような構成により、パケットの種類に応じた処理完了時間の相違をさらに考慮した適切な判断を行うことができる。

【0020】

（４）前記車載中継装置は、さらに、前記車載装置ごとの、前記フレームの前記車載装置における処理負荷を示すフレーム処理情報を記憶する記憶部を備え、前記算出部は、前記フレーム処理情報における前記他の車載装置に対応する前記処理負荷に基づいて、前記処理負荷を算出してもよい。

【0021】

受信したパケットを装置が処理する際の負荷は、車載装置の仕様等によって異なる。上記のような構成により、単に単位時間あたりのパケット数等の通信トラフィックを判断基準に用いる構成と比べて、車載装置の仕様等に応じた処理負荷の相違を考慮した適切な判断を行うことができる。

【0022】

（５）前記フレーム処理情報は、さらに、前記車載装置ごとの、前記車載装置において前記フレームの処理に要する処理時間を示し、前記算出部は、前記中継部が前記フレームを受信または中継してからの経過時間、および前記フレームに対応する前記処理時間に基づいて、前記処理負荷を更新してもよい。

【0023】

このような構成により、車載装置の仕様等に応じた処理完了時間の相違をさらに考慮した適切な判断を行うことができる。

【0024】

（６）前記車載中継装置は、さらに、前記車載装置ごとの、前記処理負荷の閾値を示すフレーム処理情報を記憶する記憶部を備え、前記判断部は、前記算出部により算出された前記処理負荷と前記フレーム処理情報における前記他の車載装置に対応する前記閾値との比較結果に基づいて、前記判断処理を行ってもよい。

【0025】

車載装置において許容される処理負荷の値は、車載装置の仕様等によって異なる。上記のような構成により、車載装置の仕様等に応じた処理負荷の許容値の相違を考慮した適切な判断を行うことができる。

【0026】

（７）前記判断部は、前記算出部により算出された前記処理負荷と閾値との比較結果に基づいて、前記判断処理を行い、前記閾値は、所定のネットワーク構成を有する車両におけるフレームの送信周期の計測結果に基づく値であってもよい。

【0027】

このような構成により、たとえばベストエフォート型の通信が行われ、車両の状況に応じて使用帯域にばらつきが生じる車載ネットワークにおいて、より適切な閾値を設定することができる。

【0028】

（８）本開示の実施の形態に係る中継方法は、車載ネットワークにおける車載装置間で送受信されるフレームを中継する中継部を備える車載中継装置における中継方法であって、前記中継部が前記車載装置から受信した他の前記車載装置宛ての複数の前記フレームに基づいて、前記他の車載装置の処理負荷を算出するステップと、算出した前記処理負荷に基づいて、前記他の車載装置宛ての前記フレームを前記中継部において中継すべきか否かを判断する判断処理を行うステップとを含む。

【0029】

このように、中継装置において受信された同じ車載装置宛ての複数のフレームに基づいて当該車載装置の処理負荷を算出し、算出結果を用いて当該車載装置宛てのフレームの中継の是非を判断する構成により、たとえば、走行パターンおよび使用する機能等によって、車載ネットワークにおいて伝送されるパケットの量が異なる車載ネットワークにおいて、多種多様な、走行パターン別および機能の有無別の種々の状況を試行することなく、車載装置へのフレーム送信を用いた攻撃を防御することができる。したがって、車載ネットワークにおけるセキュリティを容易に向上させることができる。

【0030】

（９）本開示の実施の形態に係る中継プログラムは、車載中継装置において用いられる中継プログラムであって、コンピュータを、車載ネットワークにおける車載装置間で送受信されるフレームを中継する中継部と、前記中継部が前記車載装置から受信した他の前記車載装置宛ての複数の前記フレームに基づいて、前記他の車載装置の処理負荷を算出する算出部と、前記算出部により算出された前記処理負荷に基づいて、前記他の車載装置宛ての前記フレームを前記中継部において中継すべきか否かを判断する判断処理を行う判断部、として機能させるためのプログラムである。

【0031】

このように、中継装置において受信された同じ車載装置宛ての複数のフレームに基づいて当該車載装置の処理負荷を算出し、算出結果を用いて当該車載装置宛てのフレームの中継の是非を判断する構成により、たとえば、走行パターンおよび使用する機能等によって、車載ネットワークにおいて伝送されるパケットの量が異なる車載ネットワークにおいて、多種多様な、走行パターン別および機能の有無別の種々の状況を試行することなく、車載装置へのフレーム送信を用いた攻撃を防御することができる。したがって、車載ネットワークにおけるセキュリティを容易に向上させることができる。

【0032】

以下、本開示の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。

【0033】

［構成および基本動作］
図１は、本開示の実施の形態に係る車載システムの構成を示す図である。図１を参照して、車載システム３０１は、車両に搭載され、車載中継装置１０１と、複数の車載装置２０２とを備える。

【0034】

なお、車載システム３０１は、複数の車載中継装置１０１を備える構成であってもよい。図１では、一例として、車載システム３０１が１つの車載中継装置１０１および４つの車載ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）２０２を備える場合を示している。

【0035】

車載ＥＣＵ２０２は、車載装置の一例であり、たとえば、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）、自動運転ＥＣＵ、エンジンＥＣＵ、センサ、ナビゲーション装置、ヒューマンマシンインタフェース、およびカメラ等である。ＴＣＵは、車両の外部における装置たとえばサーバ４０１と図示しない無線基地局等を介して通信を行う。なお、車載装置は、ユーザが車両に持ち込む装置、一例として、タブレット等の携帯端末またはＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ等の電子機器であってもよい。

【0036】

車載中継装置１０１および車載ＥＣＵ２０２は、車載ネットワーク１５１を構成する。車載ＥＣＵ２０２および車載中継装置１０１は、車載ネットワーク１５１における車載装置の一例である。車載ネットワーク１５１における各車載装置の種類、接続関係および通信プロトコル等のネットワーク構成は、たとえば固定的である。なお、車載ネットワーク１５１に新たな車載装置または電子機器等が追加されてもよい。

【0037】

車載中継装置１０１は、車載ネットワーク１５１における複数の車載ＥＣＵ２０２間の情報を中継可能である。より詳細には、車載中継装置１０１は、たとえば、ＯＳＩ（Ｏｐｅｎ Ｓｙｓｔｅｍｓ Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）参照モデルの、レイヤ２に従う中継処理を行うことが可能である。なお、車載中継装置１０１は、レイヤ２に加えて、レイヤ２よりも上位のレイヤ３に従う中継処理を行う構成であってもよい。

【0038】

車載ネットワーク１５１において、車載ＥＣＵ２０２は、たとえばイーサネット（登録商標）ケーブル９１を介して車載中継装置１０１に接続される。

【0039】

車載中継装置１０１は、イーサネットの通信規格に従って、イーサネットフレームの中継処理を行う。具体的には、車載中継装置１０１は、たとえば、車載ＥＣＵ２０２間でやり取りされるイーサネットフレームを中継する。イーサネットフレームには、ＩＰパケットが格納される。

【0040】

なお、車載システム３０１では、イーサネットの通信規格に従ってイーサネットフレームの中継が行われる構成に限らず、たとえば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）（登録商標）、ＦｌｅｘＲａｙ（登録商標）、ＭＯＳＴ（Ｍｅｄｉａ Ｏｒｉｅｎｔｅｄ Ｓｙｓｔｅｍｓ Ｔｒａｎｓｐｏｒｔ）（登録商標）およびＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）等の通信規格に従ってデータの中継が行われる構成であってもよい。

【0041】

図２は、本開示の実施の形態に係る車載システムにおける車載中継装置の構成を示す図である。図２を参照して、車載中継装置１０１は、４つの通信ポート２１と、中継部２２と、処理部２４と、記憶部２５とを備える。処理部２４は、算出部１と、判断部２とを含む。なお、車載中継装置１０１は、４つの通信ポート２１を備える構成に限らず、２つ、３つまたは５つ以上の通信ポート２１を備える構成であってもよい。

【0042】

通信ポート２１は、たとえばイーサネットケーブル９１を接続可能な端子である。なお、通信ポート２１は、集積回路の端子であってもよい。４つの通信ポート２１は、イーサネットケーブル９１を介して車載ＥＣＵ２０２に接続されている。

【0043】

処理部２４は、たとえば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）およびＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等のプロセッサにより実現される。中継部２２は、たとえば、Ｌ２スイッチＩＣおよびプロセッサにより実現される。記憶部２５は、たとえば不揮発性メモリである。

【0044】

中継部２２は、車載ネットワーク１５１における車載ＥＣＵ２０２間で送受信されるフレームを中継する。たとえば、中継部２２は、Ｌ２スイッチとして機能することが可能であり、自己の車載中継装置１０１に接続された車載ＥＣＵ２０２間において伝送されるイーサネットフレームに対して中継処理を行う。より詳細には、中継部２２は、ある車載ＥＣＵ２０２から対応のイーサネットケーブル９１経由でイーサネットフレームを受信すると、受信したイーサネットフレームを宛先の車載ＥＣＵ２０２へ対応のイーサネットケーブル９１経由で送信する。なお、中継部２２は、Ｌ３スイッチとして機能することが可能であり、異なる車載中継装置１０１に接続された車載ＥＣＵ２０２間において伝送されるイーサネットフレームに対して中継処理を行う構成であってもよい。

【0045】

中継部２２は、たとえば、記憶部２５に保存されている、宛先ＭＡＣアドレスおよび通信ポート２１の対応関係等を示すテーブルを参照することにより、上記のような中継処理を行う。

【0046】

算出部１は、中継部２２が車載ＥＣＵ２０２から受信した他の車載ＥＣＵ２０２宛ての複数のフレームに基づいて、当該他の車載ＥＣＵ２０２（以下、宛先ＥＣＵとも称する。）の処理負荷を算出する、すなわち、車載ＥＣＵ２０２における処理負荷の推定値を算出する。

【0047】

判断部２は、算出部１により算出された処理負荷に基づいて、当該他の車載ＥＣＵ２０２宛てのフレームを中継部２２において中継すべきか否かを判断する判断処理を行う。

【0048】

図３は、本開示の実施の形態に係る車載中継装置におけるフレーム処理情報の一例を示す図である。

【0049】

記憶部２５は、車載ＥＣＵ２０２ごとかつフレームの種類ごとの、フレームの車載ＥＣＵ２０２における処理負荷を示すフレーム処理情報を記憶する。たとえば、フレーム処理情報は、さらに、車載ＥＣＵ２０２ごとかつフレームの種類ごとの、車載ＥＣＵ２０２においてフレームの処理に要する処理時間を示す。

【0050】

また、記憶部２５は、車載ＥＣＵ２０２ごとの、処理負荷の閾値を示すフレーム処理情報を記憶する。

【0051】

具体的には、図３を参照して、フレーム処理情報は、車載ＥＣＵ、処理対象フレーム、増加負荷率、処理時間および処理負荷率の閾値の対応関係を示す情報である。

【0052】

たとえば、車載ＥＣＵ－Ａは、処理対象フレームであるＮｏ．１のフレームを処理する際にプロセッサの処理負荷率がａ％上昇し、当該フレームの処理を完了するまでに要する処理時間はｗミリ秒であり、また、処理対象フレームであるＮｏ．２のフレームを処理する際にプロセッサの処理負荷率がｂ％上昇し、当該フレームの処理を完了するまでに要する処理時間はｘミリ秒である。車載ＥＣＵ－Ｂは、処理対象フレームであるＮｏ．１のフレームを処理する際にプロセッサの処理負荷率がｃ％上昇し、当該フレームの処理を完了するまでに要する処理時間はｙミリ秒であり、また、処理対象フレームであるＮｏ．３のフレームを処理する際にプロセッサの処理負荷率がｄ％上昇し、当該フレームの処理を完了するまでに要する処理時間はｚミリ秒である。

【0053】

また、判断部２は、車載ＥＣＵ－Ａのプロセッサの処理負荷率がＭ％を超えた場合、車載ＥＣＵ－Ａ宛てのイーサネットフレームの中継を停止すべきであると判断し、車載ＥＣＵ－Ｂのプロセッサの処理負荷率がＮ％を超えた場合、車載ＥＣＵ－Ｂ宛てのイーサネットフレームの中継を停止すべきであると判断する。

【0054】

図４および図５は、本開示の実施の形態に係る車載中継装置における負荷情報の一例を示す図である。

【0055】

図４および図５を参照して、記憶部２５は、車載ＥＣＵ２０２ごとの、現在の処理負荷率の推定値、処理中のフレーム、およびフレームの処理開始時刻の対応関係を示す負荷情報を記憶している。

【0056】

たとえば図４に示す例では、車載ＥＣＵ－Ａは、Ｎｏ．１の２つのフレームに関する処理を行っており、これら２つのフレームの処理開始時刻がそれぞれｔ１，ｔ２であり、現在の処理負荷率の推定値はＰ％である。ここで、処理開始時刻は、たとえば、車載中継装置１０１が当該フレームを受信した時刻または当該フレームを宛先の車載ＥＣＵ２０２へ送信した時刻である。

【0057】

また、中継部２２は、イーサネットフレームを受信して、受信したイーサネットフレームの宛先ＭＡＣアドレスおよび論理ポート番号等の情報を処理部２４に通知する。

【0058】

処理部２４は、中継部２２から通知された情報を用いて、当該イーサネットフレームの宛先および種類等を判別する。

【0059】

中継部２２は、当該情報の通知後、処理部２４から当該イーサネットフレームの中継「許可」を通知された場合、当該イーサネットフレームを宛先の車載ＥＣＵ２０２へ中継し、中継「禁止」を通知された場合、当該イーサネットフレームを中継せずに破棄する。

【0060】

図６は、本開示の実施の形態に係る車載中継装置がフレームを制限する処理の一例を示す図である。

【0061】

算出部１は、複数のフレームにそれぞれ対応する増加負荷率の合計を他の車載ＥＣＵ２０２の処理負荷として算出する。

【0062】

たとえば、算出部１は、中継部２２が車載ＥＣＵ２０２から受信した他の車載ＥＣＵ２０２宛ての複数のフレーム、およびフレーム処理情報における当該他の車載ＥＣＵ２０２に対応する処理負荷すなわち増加負荷率に基づいて、当該他の車載ＥＣＵ２０２の処理負荷率を算出する。

【0063】

また、たとえば、算出部１は、上記複数のフレームの各々の種類およびフレーム処理情報に基づいて、当該他の車載ＥＣＵ２０２の処理負荷率を算出する。

【0064】

判断部２は、算出部１により算出された処理負荷率とフレーム処理情報における当該他の車載ＥＣＵ２０２に対応する閾値との比較結果に基づいて、判断処理を行う。

【0065】

具体的には、図６を参照して、車載ＥＣＵ２０２である車載ＥＣＵ－Ｚを介して、車載ＥＣＵ２０２である車載ＥＣＵ－Ａのリソースを枯渇させるために大量のフレームが流されるケースを説明する。

【0066】

まず、車載ＥＣＵ－Ｚから車載ＥＣＵ－Ａ宛てのＮｏ．１のフレームが車載中継装置１０１へ送信される。算出部１は、車載ＥＣＵ－Ａの処理負荷率にａ％を加算する。判断部２は、算出部１による加算後の処理負荷率がＭ％を超えていないため、負荷情報において、加算後の処理負荷率、およびＮｏ．１のフレームの処理開始時刻ｔ１を登録し、当該フレームの中継「許可」を中継部２２に通知する。

【0067】

次に、車載ＥＣＵ－Ｚから車載ＥＣＵ－Ａ宛てのＮｏ．１のフレームが車載中継装置１０１へ送信される。算出部１は、車載ＥＣＵ－Ａの処理負荷率にａ％を加算する。処理負荷率はＭ％より小さいＰ％となる。判断部２は、算出部１による加算後の処理負荷率がＭ％を超えていないため、負荷情報において、加算後の処理負荷率、およびＮｏ．１のフレームの処理開始時刻ｔ２を登録し、当該フレームの中継「許可」を中継部２２に通知する。図４は、この状態を示している。

【0068】

次に、車載ＥＣＵ－Ｚから車載ＥＣＵ－Ａ宛てのＮｏ．２のフレームが車載中継装置１０１へ送信される。算出部１は、車載ＥＣＵ－Ａの処理負荷率にｂ％を加算する。処理負荷率はＭ％より小さいＱ％となる。判断部２は、算出部１による加算後の処理負荷率がＭ％を超えていないため、負荷情報において、加算後の処理負荷率、およびＮｏ．２のフレームの処理開始時刻ｔ３を登録し、当該フレームの中継「許可」を中継部２２に通知する。図５は、この状態を示している。

【0069】

次に、車載ＥＣＵ－Ｚから車載ＥＣＵ－Ａ宛てのＮｏ．１のフレームが車載中継装置１０１へ送信される。算出部１は、車載ＥＣＵ－Ａの処理負荷率にａ％を加算する。処理負荷率はＭ％より大きいＲ％となる。判断部２は、算出部１による加算後の処理負荷率がＭ％を超えたため、当該フレームの中継「禁止」を中継部２２に通知する。負荷情報は、たとえば図５に示す状態のままである。

【0070】

以降、処理負荷率が減少し、新たに受信するフレームに対応する増加負荷率を加算した後の処理負荷率がＭ％以下となるまで、判断部２はフレームの中継を禁止し、中継部２２は、受信した車載ＥＣＵ－Ａ宛てのフレームを破棄する。これにより、車載ＥＣＵ－Ｚから車載ＥＣＵ－Ａへ大量のフレームが流される攻撃を防御することができる。

【0071】

たとえば、算出部１により算出された処理負荷との比較に判断部２が用いる閾値は、所定のネットワーク構成を有する車両におけるフレームの送信周期の計測結果に基づく値であってもよい。

【0072】

具体的には、たとえば、ある車両における測定結果のログを解析して宛先の車載ＥＣＵ２０２およびフレームの種類ごとの通信周期を算出し、当該通信周期の設計値からの分散を算出し、分散が大きい場合、閾値を低めに設定し、分散が小さい場合、閾値を高めに設定する。当該ログは、一例として、車種および型番等が同じ他の車両において得られたログである。

【0073】

［動作の流れ］
本開示の実施の形態に車載システムにおける各装置は、メモリを含むコンピュータを備え、当該コンピュータにおけるＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等の演算処理部は、以下のフローチャートの各ステップの一部または全部を含むプログラムを当該メモリから読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。

【0074】

図７は、本開示の実施の形態に係る車載中継装置がフレームを受信した際の動作手順の一例を定めたフローチャートである。

【0075】

図７を参照して、まず、車載中継装置１０１は、車載ＥＣＵ２０２から宛先の車載ＥＣＵ２０２（以下、宛先ＥＣＵとも称する。）へのフレームを待ち受け（ステップＳ１でＮＯ）、フレームを受信した場合（ステップＳ１でＹＥＳ）、フレーム処理情報を参照し、当該フレームに対応する増加負荷率を宛先ＥＣＵの処理負荷率に加算する（ステップＳ２）。

【0076】

次に、車載中継装置１０１は、加算後の処理負荷率が宛先ＥＣＵに対応する閾値を超えない場合（ステップＳ３でＮＯ）、当該フレームの中継を許可すべきと判断し（ステップＳ４）、負荷情報において、加算後の処理負荷率、および当該フレームの情報を登録する。車載中継装置１０１は、当該フレームを宛先ＥＣＵへ中継する（ステップＳ５）。

【0077】

一方、車載中継装置１０１は、加算後の処理負荷率が宛先ＥＣＵに対応する閾値を超える場合（ステップＳ３でＹＥＳ）、当該フレームの中継を禁止すべきと判断し、負荷情報を更新しない。車載中継装置１０１は、当該フレームを破棄する（ステップＳ６）。

【0078】

図８は、本開示の実施の形態に係る車載中継装置が負荷情報を更新する際の動作手順の一例を定めたフローチャートである。

【0079】

たとえば、算出部１は、中継部２２がフレームを受信または中継してからの経過時間、および当該フレームに対応する処理時間に基づいて、宛先ＥＣＵの処理負荷を更新する。

【0080】

より詳細には、算出部１は、各フレームの処理開始時刻からの経過時間を監視し、あるフレームの処理開始時刻から対応の処理時間が経過した場合、負荷情報における処理負荷率から対応の増加負荷率を減算し、当該フレームの情報を負荷情報から削除する。

【0081】

具体的には、図８を参照して、まず、車載中継装置１０１は、中継したフレームの処理開始時刻から当該フレームに対応する処理時間の経過を待ち受ける（ステップＳ１１でＮＯ）。

【0082】

次に、車載中継装置１０１における算出部１は、中継したフレームの処理開始時刻から対応の処理時間が経過した場合（ステップＳ１１でＹＥＳ）、負荷情報において、フレーム処理情報を参照し、当該フレームに対応する増加負荷率を宛先ＥＣＵの処理負荷率から減算し、当該フレームの情報を負荷情報から削除し（ステップＳ１２）、中継済みの他のフレームの処理開始時刻からの対応の処理時間の経過を待ち受ける（ステップＳ１１でＮＯ）。

【0083】

上記のように、直近で受信したフレームの処理負荷だけでなく、以前に受信したフレームの処理負荷の累積値を用いて、直近で受信した中継前のフレームを宛先の車載ＥＣＵ２０２が処理すると仮定した場合の当該車載ＥＣＵ２０２の処理負荷を算出することにより、車載ＥＣＵ２０２の処理負荷をより正確に予測することができる。

【0084】

また、フレームの中継を停止している状態においても、以前中継したフレームの処理完了を考慮した処理負荷率の更新を継続することにより、中継再開の判断を適切に行うことができる。また、中継再開後における中継再停止の判断も適切に行うことができる。

【0085】

上述のように、車載ネットワークでは、各車載装置の種類、接続関係および通信プロトコル等のネットワーク構成は、固定的である場合が多く、図３に示すようなフレーム処理情報を予め登録することが容易であることから、車載ネットワークにおいて上述のようなフレーム中継制御を行う構成は、特に有効である。

【0086】

なお、車載中継装置１０１は、自己に直接接続された車載ＥＣＵ２０２に限らず、たとえば他の車載中継装置を経由して伝送されるフレームを受信して上記のような判断処理等の各種処理を行うことも可能である。

【0087】

また、イーサネットのようにピアツーピアで通信を行うスター型トポロジーでの使用に限らず、車載システム３０１がＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）バスを備える場合、車載中継装置１０１は、異なるＣＡＮバスに接続された車載装置間のフレームを中継し、当該フレームについて上述のような判断処理等の各種処理を行う構成であってもよい。

【0088】

また、本開示の実施の形態に係る車載システムでは、車載中継装置１０１は、処理負荷率を用いる構成であるとしたが、これに限定するものではない。たとえば、車載中継装置１０１は、処理負荷量、および処理負荷量の閾値を用いてフレームの中継制御を行う構成であってもよい。

【0089】

また、本開示の実施の形態に係る車載システムでは、車載中継装置１０１は、車載ＥＣＵ２０２ごとかつフレームの種類ごとの情報が登録されたフレーム処理情報を用いる構成であるとしたが、これに限定するものではない。車載中継装置１０１は、車載ネットワーク１５１における各車載ＥＣＵ２０２で共通の情報が登録されたフレーム処理情報を用いる構成であってもよいし、フレームの各種類で共通の情報が登録されたフレーム処理情報を用いる構成であってもよいし、車載ネットワーク１５１における各車載ＥＣＵ２０２およびフレームの種類で共通の情報が登録されたフレーム処理情報を用いる構成であってもよい。

【0090】

また、本開示の実施の形態に係る車載システムでは、車載中継装置１０１は、中継部２２がフレームを受信または中継してからの経過時間に基づいて、処理負荷率を更新する構成であるとしたが、これに限定するものではない。たとえば、車載中継装置１０１は、負荷情報において、１つの車載ＥＣＵ２０２について登録されたフレームの数を所定値に制限し、新たなフレームを受信して当該所定値を超える場合に最も古いフレームの情報を削除するとともに、処理負荷率から対応の増加負荷率を減算する構成であってもよい。

【0091】

上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

【0092】

以上の説明は、以下に付記する特徴を含む。
［付記１］
車載ネットワークにおける車載装置間で送受信されるフレームを中継する中継部と、
前記中継部が前記車載装置から受信した他の前記車載装置宛ての複数の前記フレームに基づいて、前記他の車載装置の処理負荷を算出する算出部と、
前記算出部により算出された前記処理負荷に基づいて、前記他の車載装置宛ての前記フレームを前記中継部において中継すべきか否かを判断する判断処理を行う判断部とを備え、
前記算出部は、前記複数のフレームにそれぞれ対応する前記処理負荷の合計を前記他の車載装置の処理負荷として算出する、車載中継装置。

【符号の説明】

【0093】

１ 算出部
２ 判断部
２１ 通信ポート
２２ 中継部
２４ 処理部
２５ 記憶部
９１ イーサネットケーブル
１０１ 車載中継装置
２０２ 車載装置
３０１ 車載システム
４０１ サーバ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】