特開 2024-100287 電子制御装置、ＭＡＣ送信方法、ＭＡＣ送信プログラム、及び電子制御システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024100287

(43)【公開日】2024-07-26

(54)【発明の名称】電子制御装置、ＭＡＣ送信方法、ＭＡＣ送信プログラム、及び電子制御システム

(51)【国際特許分類】

   H04L 69/00 20220101AFI20240719BHJP

   H04L 12/28 20060101ALI20240719BHJP

   H04L 47/43 20220101ALI20240719BHJP

   H04L 49/9057 20220101ALI20240719BHJP

【ＦＩ】

H04L69/00

H04L12/28 100A

H04L47/43

H04L49/9057

【審査請求】未請求

【請求項の数】16

【出願形態】ＯＬ

(21)【出願番号】P 2023004165

(22)【出願日】2023-01-13

(71)【出願人】

【識別番号】000004260

【氏名又は名称】株式会社デンソー

(74)【代理人】

【識別番号】230120499

【弁護士】

【氏名又は名称】藤江 和典

(74)【代理人】

【識別番号】100201385

【弁理士】

【氏名又は名称】中安 桂子

(72)【発明者】

【氏名】伊藤 惇浩

【テーマコード（参考）】

5K030

5K033

【Ｆターム（参考）】

5K030GA15

5K030HA08

5K030HC14

5K030JA05

5K030KA15

5K030LE14

5K033AA08

5K033BA06

5K033CB01

5K033DA13

5K033DB16

(57)【要約】      （修正有）

【課題】フレームのデータフィールドのサイズ若しくは長さに依らず、より安全性を確保するＭＡＣを送信する電子制御装置、ＭＡＣ送信方法、ＭＡＣ送信プログラム及び電子制御システムを提供する。
【解決手段】電子制御装置ＥＣＵ１００は、送信データに基づきメッセージ認証コード（ＭＡＣ）を生成するＭＡＣ生成部１０１ａと、ＭＡＣを複数の部分ＭＡＣに分割するＭＡＣ分割部１０１ｂと、ＭＡＣにおいて各部分ＭＡＣがそれぞれ占めていた部分を示す情報である各識別情報を生成する識別情報生成部１０１ｃと、送信データを複数のフレームのうち少なくとも１つに格納するとともに、複数のフレームのそれぞれに各部分ＭＡＣ及び対応する各識別情報を格納するフレーム生成部１０１ｄと、複数のフレームを送信する送信部１０３と、を備える。
【選択図】図５

【特許請求の範囲】

【請求項1】

送信データに基づきメッセージ認証コード（ＭＡＣ）を生成するＭＡＣ生成部（１０１ａ）と、
前記ＭＡＣを複数の部分ＭＡＣに分割するＭＡＣ分割部（１０１ｂ）と、
前記ＭＡＣにおいて各部分ＭＡＣがそれぞれ占めていた部分を示す情報である各識別情報を生成する識別情報生成部（１０１ｃ）と、
前記送信データを複数のフレームのうち少なくとも１つに格納するとともに、前記複数のフレームのそれぞれに前記各部分ＭＡＣ及び対応する前記各識別情報を格納するフレーム生成部（１０１ｄ）と、
前記複数のフレームを送信する送信部（１０３）と、を備える、
電子制御装置。

【請求項2】

前記識別情報は、前記ＭＡＣにおける前記部分ＭＡＣの絶対的な位置を示す、
請求項１記載の電子制御装置。

【請求項3】

前記識別情報は、前記ＭＡＣの先頭を起点とした前記部分ＭＡＣの順序を示す、
請求項１記載の電子制御装置。

【請求項4】

前記複数のフレームのうち前記送信部からの送信順序が最後であるフレームに格納されている前記識別情報は、送信順序が最後であることを示す終端情報を兼ねている、
請求項１記載の電子制御装置。

【請求項5】

前記終端情報は、前記識別情報が取りうる値のうち最大の値である、
請求項４記載の電子制御装置。

【請求項6】

前記フレーム生成部は、前記複数のフレームのうち前記送信部からの送信順序が最後であるフレームに、送信順序が最後であることを示す終端情報を格納する、
請求項１記載の電子制御装置。

【請求項7】

前記フレーム生成部が生成する前記フレームがＣＡＮ通信プロトコルに準拠する場合、
前記識別情報は、前記フレームのコントロールフィールドに格納されるデータ長コード（ＤＬＣ）に割当てられる、
請求項１記載の電子制御装置。

【請求項8】

前記ＤＬＣに割当てられた前記識別情報は、８から１５の範囲の数値である、
請求項７に記載の電子制御装置。

【請求項9】

前記識別情報は、前記フレームのデータフィールドに格納される、
請求項１記載の電子制御装置。

【請求項10】

前記フレーム生成部が生成する前記フレームがＣＡＮ通信プロトコルに準拠する場合、
前記識別情報は、前記フレームのアービトレーションフィールドに格納された識別子（ＩＤ）に割当てられる、
請求項１記載の電子制御装置。

【請求項11】

さらに、前記送信データの種類又は前記送信データの送信先に基づき、前記複数の部分ＭＡＣの全てを送信するか否かを決定するＭＡＣ範囲決定部（１０１ｅ）を備え、
前記ＭＡＣ範囲決定部が前記複数の部分ＭＡＣの全てを送信しないと決定した場合、
前記送信部は、前記送信データ及び前記複数の部分ＭＡＣのうち少なくとも１つの部分ＭＡＣを格納したフレームを送信する、
請求項１記載の電子制御装置。

【請求項12】

当該電子制御装置は、移動体に搭載されている、
請求項１～１１いずれかに記載の電子制御装置。

【請求項13】

電子制御装置で実行されるメッセージ認証コード（ＭＡＣ）送信方法であって、
送信データに基づき前記ＭＡＣを生成し（Ｓ１）、
前記ＭＡＣを複数の部分ＭＡＣに分割し（Ｓ３）、
前記ＭＡＣにおいて各部分ＭＡＣがそれぞれ占めていた部分を示す情報である各識別情報を生成し（Ｓ４）、
前記送信データを複数のフレームのうち少なくとも１つに格納するとともに、前記複数のフレームのそれぞれに前記各部分ＭＡＣ及び前記各識別情報を格納し（Ｓ５）、
前記複数のフレームを送信する（Ｓ６）、
ＭＡＣ送信方法。

【請求項14】

電子制御装置で実行可能なメッセージ認証コード（ＭＡＣ）送信プログラムであって、
送信データに基づき前記ＭＡＣを生成し（Ｓ１）、
前記ＭＡＣを複数の部分ＭＡＣに分割し（Ｓ３）、
前記ＭＡＣにおいて各部分ＭＡＣがそれぞれ占めていた部分を示す情報である各識別情報を生成し（Ｓ４）、
前記送信データを複数のフレームのうち少なくとも１つに格納するとともに、前記複数のフレームのそれぞれに前記各部分ＭＡＣ及び前記各識別情報を格納し（Ｓ５）、
前記複数のフレームを送信する（Ｓ６）、
ＭＡＣ送信プログラム。

【請求項15】

第１の電子制御装置（１００）及び第２の電子制御装置（２００）からなる電子制御システムであって、
前記第１の電子制御装置は、
送信データに基づきメッセージ認証コード（ＭＡＣ）を生成するＭＡＣ生成部（１０１ａ）と、
前記ＭＡＣを複数の部分ＭＡＣに分割するＭＡＣ分割部（１０１ｂ）と、
前記ＭＡＣにおいて各部分ＭＡＣがそれぞれ占めていた部分を示す情報である各識別情報を生成する識別情報生成部（１０１ｃ）と、
前記送信データを複数のフレームのうち少なくとも１つに格納するとともに、前記複数のフレームのそれぞれに前記各部分ＭＡＣ及び前記各識別情報を格納するフレーム生成部（１０１ｄ）と、
前記複数のフレームを送信する送信部（１０３）と、を備え、
前記第２の電子制御装置は、
前記複数のフレームを受信する受信部（２０４）と、
前記複数のフレームそれぞれに格納されている前記各部分ＭＡＣ及び前記各識別情報を用いて第１のＭＡＣを生成するするＭＡＣ復元部（２０１ａ）と、
前記受信部で受信した前記複数のフレームのうち少なくとも１つに格納された前記送信データに基づき第２のＭＡＣを生成するＭＡＣ生成部（２０１ｂ）と、
前記第１のＭＡＣと前記第２のＭＡＣとを比較して前記送信データに対する認証を行う認証部（２０１ｃ）と、を備える、
電子制御システム。

【請求項16】

前記第２の電子制御装置は、さらに、前記受信部で受信した前記複数のフレームの少なくとも１つに格納された前記送信データの種類に基づき、前記各部分ＭＡＣ全てを用いて認証を行うか否かを決定するＭＡＣ範囲決定部（２０１ｄ）を備え、
前記ＭＡＣ範囲決定部が前記各部分ＭＡＣ全てを用いないと決定した場合、
前記ＭＡＣ復元部は、前記複数のフレームのうち１つに含まれる前記部分ＭＡＣである第１の部分ＭＡＣと前記識別情報を抽出し、
前記ＭＡＣ生成部は、前記受信部で受信した前記複数のフレームの少なくとも１つに格納された前記送信データ及び前記識別情報に基づき第２の部分ＭＡＣを生成し、
前記認証部は、前記第１の部分ＭＡＣと前記第２の部分ＭＡＣとを比較して前記送信データに対する認証を行う、
請求項１５記載の電子制御システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、メッセージ認証コード（ＭＡＣ：Message Authentication Code）の送信に係る電子制御装置、ＭＡＣ送信方法、ＭＡＣ送信プログラム及び電子制御システムに関する。

【背景技術】

【0002】

特許文献１には、車載機器を制御する複数のＥＣＵ（Electronic Control Unit）と、各ＥＣＵが相互に通信するためのＣＡＮ（Controller Area Network）等の車載ネットワークと、ＥＣＵ間の通信を中継するゲートウェイ装置と、を備える車載ネットワークシステムについて開示されている。各ＥＣＵは、フレームを送受信して通信を行う。

【0003】

ところで、ＣＡＮでは、不正なフレームが送信されるようなケースを想定したセキュリティ機能が存在しない。そのため、不正なフレームの送信による妨害、ハッキングなどを防止するために、ＣＡＮにおけるデータフィールドにメッセージ認証コード（ＭＡＣ：Message Authentication Code）を付加して送信することがある。このＭＡＣによって、正規のＥＣＵから送信されたフレームであるかを識別することができる。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２０２１－１６１８６号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

ここで、本発明者は、以下の課題を見出した。
引用文献１に記載される通り、ＣＡＮにおけるデータフィールドは、０～６４ｂｉｔの領域である。すなわち、ＭＡＣは最大６４ｂｉｔのサイズ若しくは長さに抑えなければならない。実際には、６４ｂｉｔの領域をデータとＭＡＣで共有しなければならず、例えば引用文献１の図２のように、データが３２ｂｉｔ、ＭＡＣが３２ｂｉｔのようになる。
その一方で、ＭＡＣによるセキュリティは、そのサイズが大きくなるほど、安全性を担保することができる。例えば１０ｂｙｔｅ（８０ｂｉｔ）以上のサイズを持つＭＡＣを使用することができれば、より高い安全性を確保することができる。しかしながら、そもそもＣＡＮにおけるデータフィールドが０～６４ｂｉｔのサイズであるため、より安全性の高い１０ｂｙｔｅのサイズを持つようなＭＡＣをデータフィールドに格納することができない。その結果、安全性を十分に高めることが困難であった。ＣＡＮ以外の通信プロトコルにおいても、データフィールドの最大サイズが決まっている場合は、同様な課題がある。

【0006】

本発明は、フレームのデータフィールドのサイズ若しくは長さに依らず、より安全性を確保することができるＭＡＣを送信することができる電子制御装置、ＭＡＣ送信方法、ＭＡＣ送信プログラム、及び電子制御システムを実現することを目的とする。

【課題を解決するための手段】

【0007】

本開示の電子制御装置は、送信データに基づきメッセージ認証コード（ＭＡＣ）を生成するＭＡＣ生成部（１０１ａ）と、
前記ＭＡＣを複数の部分ＭＡＣに分割するＭＡＣ分割部（１０１ｂ）と、
前記ＭＡＣにおいて各部分ＭＡＣがそれぞれ占めていた部分を示す情報である各識別情報を生成する識別情報生成部（１０１ｃ）と、
前記送信データを複数のフレームのうち少なくとも１つに格納するとともに、前記複数のフレームのそれぞれに前記各部分ＭＡＣ及び対応する前記各識別情報を格納するフレーム生成部（１０１ｄ）と、
前記複数のフレームを送信する送信部（１０３）と、を備える。

【0008】

なお、特許請求の範囲、及び本項に記載した発明の構成要件に付した括弧内の番号は、本発明と後述の実施形態との対応関係を示すものであり、本発明を限定する趣旨ではない。

【発明の効果】

【0009】

上述のような構成により、フレームのデータフィールドのサイズ若しくは長さに依らず、より安全性を確保することができるＭＡＣを送信することができる。

【図面の簡単な説明】

【0010】

【図1】本開示の各実施形態の電子制御システムを示す図

【図2】本開示の各実施形態で用いられるＣＡＮフレームの構成を示す図

【図3】本開示の各実施形態で行われるＭＡＣの分割及び格納を説明する図

【図4】本開示の各実施形態で用いる識別情報及び終端情報を説明する図

【図5】本開示の実施形態１の電子制御システム及びそれを構成する電子制御装置の構成例を示すブロック図

【図6ab】本開示の実施形態１の識別情報／終端情報をコントロールフィールドのＤＬＣに割当てる場合を説明する図

【図6cd】本開示の実施形態１の識別情報／終端情報をコントロールフィールドのＤＬＣに割当てる場合を説明する図

【図7】本開示の実施形態１の識別情報／終端情報をデータフィールドに格納する場合を説明する図

【図8】本開示の実施形態１の識別情報／終端情報をアービトレーションフィールドのＣＡＮ ＩＤに割当てる場合を説明する図

【図9】本開示の実施形態１の識別情報と終端情報を別のフィールドに割当てる場合を説明する図

【図10】本開示の実施形態１の識別情報と終端情報を別のフィールドに割当てる場合の組み合わせを示す図

【図11】本開示の実施形態１の電子制御装置の動作を示すフローチャート

【図12】本開示の実施形態１の電子制御装置の詳細な動作を示すフローチャート

【図13】本開示の実施形態２の電子制御システム及びそれを構成する電子制御装置の構成例を示すブロック図

【図14】本開示の実施形態３の電子制御システム及びそれを構成する電子制御装置の構成例を示すブロック図

【発明を実施するための形態】

【0011】

以下、本発明の実施形態について、図面を参照して説明する。

【0012】

なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。

【0013】

特許請求の範囲の従属項に記載の構成及び方法は、特許請求の範囲の独立項に記載の発明において任意の構成及び方法である。従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明において任意の構成及び方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明において任意の構成及び方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。

【0014】

実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。

【0015】

複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせてもよい。また、複数の実施形態それぞれに開示の構成を集めて組み合わせてもよい。

【0016】

発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成及び方法と共に発明の進歩性を肯定する事実である。

【0017】

１．実施形態の前提となる構成等について
（１）電子制御装置と電子制御システム
図１を用いて、電子制御システム１の全体構成を説明する。
電子制御システム１は、複数の電子制御装置（ＥＣＵ（Electric Control Unit）、以下ＥＣＵと略する。））及びＥＣＵ同士を接続する車載ネットワークから構成されている。図１では、複数の電子制御装置の例としてＥＣＵ１００、２００、３００を有する例を示している。以降、ＥＣＵ１００、２００、３００を区別しない場合は、単にＥＣＵと記載する。

【0018】

ＥＣＵは任意の機能を有する個別ＥＣＵで構成することができる。例えば、エンジン、ハンドル、ブレーキ等の制御を行う駆動系電子制御装置、メータやパワーウインドウ等の制御を行う車体系電子制御装置、ナビゲーション装置等の情報系電子制御装置、あるいは、障害物や歩行者との衝突を防止するための制御を行う安全制御系電子制御装置が挙げられる。

【0019】

また、ＥＣＵは、外部通信ＥＣＵや統合ＥＣＵであってもよい。
外部通信ＥＣＵは、外部との通信を行うＥＣＵである。外部通信ＥＣＵが用いる通信方式は、任意の無線通信方式又は有線通信方式を用いることができる。
統合ＥＣＵは、個別ＥＣＵや外部通信ＥＣＵを仲介するゲートウェイ機能を備えたＥＣＵである。また、統合ＥＣＵに電子制御システム１の全体を制御する機能、例えばセキュリティ機能やログ管理アプリ等のセキュリティイベントログを管理する機能を設けるようにしてもよい。統合ＥＣＵは、ゲートウェイＥＣＵ（Ｇ－ＥＣＵ）やモビリティコンピュータ（ＭＣ）と呼ばれることもある。また、統合ＥＣＵは、中継装置やゲートウェイ装置であってもよい。

【0020】

ＥＣＵ同士は並列ではなく、マスタとスレーブとに分類されていてもよい。
ＥＣＵは、物理的に独立したＥＣＵである場合の他、仮想的に実現された仮想ＥＣＵ（あるいは、仮想マシンと呼ぶこともある。）であってもよい。

【0021】

ＥＣＵ間を接続する車載ネットワークの例として、例えばＣＡＮ（Controller Area Network）、ＬＩＮ（Local Interconnect Network）が挙げられる。ＣＡＮ通信プロトコルには、従来型のＣｌａｓｓｉｃ ＣＡＮや、ＣＡＮ ＦＤ等の仕様があるが、本実施形態ではＣｌａｓｓｉｃ ＣＡＮを例に説明する。
その他の例として、Ｅｔｈｅｒｎｅｔ（登録商標）、Ｗｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等、有線無線を問わず任意の通信方式を用いて接続されてもよい。
なお、接続とは、データのやり取りが可能な状態をいい、異なるハードウェアが有線又は無線の通信ネットワークを介して接続されている場合はもちろん、同一のハードウェア上で実現された仮想マシン同士が仮想的に接続されている場合も含む。

【0022】

図１では、ＥＣＵやＥＣＵから構成される電子制御システム１は、「移動体」に「搭載」されている例を示している。もっとも、ＥＣＵや電子制御システム１は、必ずしも移動体に搭載されていなくてもよい。
ここで、
「移動体」とは、移動可能な物体をいい、移動速度は任意である。また移動体が停止している場合も当然含む。例えば、自動車、自動二輪車、自転車、歩行者、船舶、航空機、及びこれらに搭載される物を含み、またこれらに限らない。
「搭載」される、とは、移動体に直接固定されている場合の他、移動体に固定されていないが移動体と共に移動する場合も含む。例えば、移動体に乗った人が所持している場合、移動体に載置された積荷に搭載されている場合、が挙げられる。

【0023】

（２）ＣＡＮフレーム
図２を用いて、Ｃｌａｓｓｉｃ ＣＡＮフレーム（以下、ＣＡＮフレームとする）のフォーマットを示す。ＣＡＮフレームは、ＳＯＦ（Start Of Frame）、アービトレーションフィールド、コントロールフィールド、データフィールド、ＣＲＣ（Cyclic Redundancy Check）、ＡＣＫ（Acknowledgement）及び、ＥＯＦ（End Of Frame）の各フィールドで構成される。

【0024】

アービトレーションフィールドは、ＩＤ及びＲＴＲで構成されている。
ＩＤは１１ｂｉｔで構成され、データの種類を値で示す識別子（ＩＤ）である。ＩＤはＣＡＮ ＩＤとも称される。

【0025】

コントロールフィールドは、ＩＤＥ、予約ビットr、ＤＬＣで構成されている。ＤＬＣは、４ｂｉｔで構成され、データフィールドのサイズ（ｂｙｔｅ）を示す値である。すなわちＤＬＣは、Ｃｌａｓｓｉｃ ＣＡＮの場合データフィールドの長さは最大８ｂｙｔｅなので、０～８の値を設定することができる。

【0026】

データフィールドは、ユーザが定義できる領域、すなわち送信するデータの内容を格納するフィールドであり、最大６４ｂｉｔで構成される。データフィールドは、８ｂｉｔ（１ｂｙｔｅ）毎にサイズを調整できる。

【0027】

図２及びそれ以降の図面では、アービトレーションフィールドを太線枠で、コントロールフィールドを斜線で、データフィールドを細線枠で、それぞれ記載し、その他のフィールドについては以降の図面では記載を省略する。

【0028】

２．実施形態１の電子制御装置（ＥＣＵ）について
（１）ＥＣＵの主要な動作と関係する情報
（Ａ）ＭＡＣの分割
本実施形態では、送信側のＥＣＵは、ＭＡＣを分割して複数のフレームに格納して送信する。そこで、まず図３を用いて、ＭＡＣの分割について説明する。

【0029】

従来技術では、図３（ａ）に示すように、１つのフレームの中のデータフィールドに、送信データとＭＡＣを格納する。前述したように、ＣＡＮフレームのデータフィールドは最大８ｂｙｔｅ（６４ｂｉｔ）であるので、典型的には４ｂｙｔｅのデータと４ｂｙｔｅのＭＡＣを１つのＣＡＮフレームに格納する。その結果、図３（ａ）の場合、４ｂｙｔｅ以上のサイズを持つＭＡＣを格納することができない。

【0030】

そこで本実施形態では、図４（ｂ）に示すように、例えば１８ｂｙｔｅのサイズを持つＭＡＣを複数の部分ＭＡＣに分割する。この際、データフィールドは最大８ｂｙｔｅであることを踏まえ、ＭＡＣ（１）：４ｂｙｔｅ、ＭＡＣ（２）：８ｂｙｔｅ、ＭＡＣ（３）：６ｂｙｔｅ、の３つの部分ＭＡＣに分割している。分割数Ｎは、

Ｎ＞（送信データのサイズ＋ＭＡＣサイズ）／８ｂｙｔｅ

の式が成り立つ整数の最小値である。

【0031】

続いて、１番目のフレームに４ｂｙｔｅの送信データと４ｂｙｔｅのＭＡＣ（１）とを格納し、２番目のフレームに８ｂｙｔｅのＭＡＣ（２）を格納し、３番目のフレームに６ｂｙｔｅのＭＡＣ（３）を格納する。３番目のフレームのデータフィールドの残りの領域は値０で埋めるパディングを施してもよい。この３つのフレームのように、送信データと、この送信データに基づいて生成されたＭＡＣを分割した複数の部分ＭＡＣと、を格納する複数のフレームの集まりをフレームセットと呼ぶ。

【0032】

図３の例では、部分ＭＡＣのサイズをフレームに格納できる最大の大きさになるように分割している、すなわち分割数が最小となるように分割しているが、他の分割方法を用いてもよい。例えば、例えば１ｂｙｔｅ程度の小さいサイズの部分ＭＡＣに分割し、これを規則的又はランダムに複数のフレームに振り分けるようにしてもよい。
また、送信データも分割して複数のフレームに振り分けるようにしてもよい。

【0033】

図３では、ＭＡＣの分割数は３であったが、ＭＡＣのサイズに応じて分割数を２や４以上としてもよい。

【0034】

（Ｂ）識別情報と終端情報（総論）
ａ）識別情報
受信側のＥＣＵで部分ＭＡＣからＭＡＣを復元する場合、必ずしも送信側のＥＣＵで送信したフレーム順に受信側のＥＣＵが受信するとは限らないので、ＭＡＣを復元するためにはＭＡＣにおいて各部分ＭＡＣがそれぞれ占めていた「部分を示す」情報が必要となる。本実施形態ではこの情報を識別情報と称する。

【0035】

識別情報は、ＭＡＣにおける部分ＭＡＣの絶対的な位置を示してもよい。例えば、図４のｅｘ１のように、ＭＡＣ（１）はＭＡＣの先頭部分から開始するので０（ｂｙｔｅ）、ＭＡＣ（２）はＭＡＣの４ｂｙｔｅ目から開始するので４（ｂｙｔｅ）、ＭＡＣ（３）はＭＡＣの１２ｂｙｔｅ目から開始するので１２（ｂｙｔｅ）とする。

【0036】

識別情報は、ＭＡＣにおける部分ＭＡＣの相対的な位置を示してもよい。例えば、ＭＡＣの先頭を起点とした部分ＭＡＣの「順序」を示してもよい。例えば、図４のｅｘ２のように、ＭＡＣ（１）はＭＡＣの中で先頭の部分ＭＡＣなので１、ＭＡＣ（２）は先頭から２番目の部分ＭＡＣなので２、ＭＡＣ（３）は先頭から３番目の部分ＭＡＣなので３とする。
ｅｘ２は順序を昇順で示したが、降順であってもよい。例えば、図４のｅｘ３のように、ＭＡＣ（１）はＭＡＣの中で最後尾から３番目の部分ＭＡＣなので３、ＭＡＣ（２）は最後尾から２番目の部分ＭＡＣなので２、ＭＡＣ（３）は最後尾の部分ＭＡＣなので１とする。
ｅｘ２は全てのフレームに部分ＭＡＣの順序を示したが、一部であってもよい。例えば、図４のｅｘ４のように、最後のフレームを除いたフレームにｅｘ２と同様の識別情報を付与してもよい。
ここで、「順序」とは、昇順（カウントアップ）でも降順（カウントダウン）でもよい。

【0037】

部分ＭＡＣのサイズが固定（例えば１ｂｙｔｅ）であって、下位又は上位から順次送信する場合、かつ通信路上でのフレームの順序の入れ替わりを考慮する必要がない場合は、例えば図４のｅｘ５のように、ＭＡＣ（１）は後続の部分ＭＡＣがあることを示す０、ＭＡＣ（２）も後続の部分ＭＡＣがあることを示す０、ＭＡＣ（３）は後続の部分ＭＡＣがないことを示す０以外の値としてもよい。ｅｘ５では、ＭＡＣ（３）は部分ＭＡＣの合計数である３としている。ｅｘ５の場合も、部分ＭＡＣのサイズが固定で順次送信かつフレームの順序の入れ替わりを考慮する必要がないという条件下において、識別情報は各部分ＭＡＣがそれぞれ占めていた部分を示す情報といえる。

【0038】

ｂ）終端情報
受信側のＥＣＵで部分ＭＡＣからＭＡＣを復元する場合、受信側のＥＣＵはシーケンシャルにフレームを受信するので、全ての部分ＭＡＣが揃っているかどうかを判断できることが望ましい。そこで、本実施形態では、送信側のＥＣＵからの送信順序が最後であるフレームに、送信順序が最後であることを示す情報を格納して送信する。本実施形態では、この情報を終端情報と称する。

【0039】

例えば、図４ではＭＡＣ（３）に終端情報としてＥを格納している。その他、終端情報の内容は任意であり、例えばフレームの特定の領域のビットを終端情報としてフラグで示すようにしてもよい。

【0040】

もっとも、上述の識別情報が終端情報を兼ねるようにしてもよい。すなわち、送信側のＥＣＵからの送信順序が最後であるフレームに格納されている識別情報が、送信順序が最後であることを示す終端情報を兼ねるようにしてもよい。

【0041】

例えば、識別情報が取りうる値のうち最大の値を終端情報としてもよい。例えば、図４ｅｘ４において、識別情報が取りうる値の最大値を１０とした場合、送信順序が最後であるフレームに値１０を格納している。
あるいは、識別情報が降順の場合は、識別情報が取りうる値のうち最小の値を終端情報としてもよい。例えば、図４のｅｘ３において、値１が識別情報と終端情報を兼ねている。
さらに、ｅｘ５のように、分割によって生成した部分ＭＡＣの合計数を終端情報としてもよい。
その他、ＭＡＣが固定長でありフレームセットのフレーム数が一定値である場合、フレームの分割数が一定の場合、受信側のＥＣＵにおいて送信順序が最後であることが既知である場合は、該当する識別情報の値が終端情報となる。例えば、ｅｘ１やｅｘ２の場合においても、ＭＡＣ（３）は終端情報を兼ねることができる。

【0042】

なお、終端情報を設けることは任意である。

【0043】

（２）電子制御システム及び電子制御装置（ＥＣＵ）の構成
次に、図５を用いて本実施形態における電子制御システム及びそれを構成する各ＥＣＵの構成について説明する。ここでは、ＥＣＵ１００がフレームセットを送信する送信側のＥＣＵ、ＥＣＵ２００がフレームセットを受信する受信側のＥＣＵとして説明するが、ＥＣＵ１００及びＥＣＵ２００は、送信及び受信の両方の機能を有していてもよい。

【0044】

ＥＣＵ１００は、制御部１０１、記憶部１０２、送信部１０３、受信部１０４を備える。制御部１０１は、ＭＡＣ生成部１０１ａ、ＭＡＣ分割部１０１ｂ、識別情報生成部１０１ｃ、フレーム生成部１０１ｄを実現する。

【0045】

ＭＡＣ生成部１０１ａは、送信データに基づきメッセージ認証コード（ＭＡＣ）を生成する。ＭＡＣとは、送受信されるデータが途中で改ざん等がされていないかを検証するための情報である。ＭＡＣは、送信側と受信側が共有する共有鍵と送信データとから生成される。生成されたＭＡＣは、記憶部１０２に記憶される。

【0046】

ＭＡＣ分割部１０１ｂは、ＭＡＣ生成部１０１ａが生成したＭＡＣを複数に分割し、複数の部分ＭＡＣを生成する。ＭＡＣの分割は、図３で説明した通りである。

【0047】

識別情報生成部１０１ｃは、ＭＡＣにおいて各部分ＭＡＣがそれぞれ占めていた「部分を示す」情報である各識別情報を生成する。識別情報の概略については、図４を用いて既に説明した通りである。識別情報は、格納するフレームのフィールドに応じて形式・内容を決めればよい。識別情報の具体例は（Ａ）～（Ｄ）で後述する。
なお、識別情報生成部１０１ｃは、さらに終端情報を生成してもよい。
ここで、「部分を示す」とは、ＭＡＣの絶対的な位置（ｅｘ：先頭ビット）で示される場合の他、各部分ＭＡＣの相対関係から定まるＭＡＣの相対的な位置（ｅｘ：ＭＡＣの先頭（又は最後尾）を起点に定まる順序）で示される場合であってもよい。また、「部分」は、ＭＡＣ内の連続する部分でなくてもよく、離散的な位置で示される場合であってもよい。

【0048】

フレーム生成部１０１ｄは、送信データを複数のフレームのうち少なくとも１つに格納するとともに、複数のフレームのそれぞれに各部分ＭＡＣ及び対応する各識別情報を格納する。識別情報を格納するフィールドの具体例は、識別情報の具体例とともに（Ａ）～（Ｄ）で後述する。
フレーム生成部１０１ｄは、さらに、複数のフレームのうち送信部１０３からの送信順序が最後であるフレームに、送信順序が最後であることを示す終端情報を格納してもよい。

【0049】

送信部１０３は、フレーム生成部１０１ｄが生成した各フレームであるフレームセットをＥＣＵ２００やその他のＥＣＵに送信する。受信部１０４は、ＥＣＵ２００や他のＥＣＵから送信されたフレームなどを受信する。

【0050】

次に、ＥＣＵ２００について説明する。ＥＣＵ２００は、制御部２０１、記憶部２０２、送信部２０３、受信部２０４を備える。制御部２０１は、ＭＡＣ復元部２０１ａ、ＭＡＣ生成部２０１ｂ、認証部２０１ｃを実現する。

【0051】

ＭＡＣ復元部２０１ａは、ＥＣＵ１００から受信したフレームセットの複数のフレームそれぞれに格納されている各部分ＭＡＣ及び各識別情報を用いて、ＥＣＵ１００で分割したＭＡＣを復元し、復元ＭＡＣ（「第１のＭＡＣ」に相当）を生成する。

【0052】

ＭＡＣ生成部２０１ｂは、ＥＣＵ１００から受信したフレームセットの複数のフレームのうち少なくとも１つに格納された送信データに基づきＭＡＣ（「第２のＭＡＣに相当」を生成する。上述したように、送信側と受信側とは共有する鍵を持っているので、送信データが改ざんされていなければ、送信側と受信側とで同一のＭＡＣを生成することができる。

【0053】

認証部２０１ｃは、ＭＡＣ復元部２０１ａによって復元した復元ＭＡＣとＭＡＣ生成部２０１ｂが生成したＭＡＣとを比較して、送信データに対する認証を行う。すなわち、復元ＭＡＣとＭＡＣとを比較して同一であれば、送信データは信頼してもよい。一方、復元ＭＡＣとＭＡＣとを比較して異なる場合は、送信データは信頼できない。

【0054】

送信部２０３は、ＥＣＵ１００や他のＥＣＵにフレームなどを送信する。

【0055】

受信部２０４は、ＥＣＵ１００や他のＥＣＵからフレームセットを受信する。

【0056】

（Ａ）識別情報等をコントロールフィールドに格納する場合
図６を用いて、識別情報や終端情報をコントロールフィールドに格納する例を説明する。
この例では、フレーム生成部１０１ｄが生成するフレームがＣｌａｓｓｉｃ ＣＡＮ通信プロトコルに準拠する場合、識別情報をコントロールフィールドに格納されるデータ長コード（ＤＬＣ）に割当てる。

【0057】

図２で説明した通り、コントロールフィールドは６ｂｉｔで構成され、図２に示すように４ｂｉｔがＤＬＣである。ＤＬＣは、データフィールドのサイズ若しくは長さを表すものである。データフィールドは最大８ｂｙｔｅであるので、ＤＬＣは０～８の数値を取りうる。一方、ＤＬＣは４ｂｉｔで構成されるので、０～１５までの数値を表現することができる。したがって、ＤＬＣでは９～１５の数値は使用されていない。そこで、９～１５の範囲の数値を識別情報として活用する。
なお、複数のフレームを送信する前提であれば、最初に送信されるフレームのデータサイズは８ｂｙｔｅになるので、ＤＬＣには８が割当てられる。したがって、識別情報としては、８～１５の範囲の数値が割当てられるといえる。

【0058】

図６（ａ）は、ＤＬＣの値と送信の順序、及びデータサイズの関係を示している。ＭＡＣを分割しない場合は、ＤＬＣは０～８の値をとり、その値がデータサイズに相当する。ＭＡＣを分割する場合は、最初に送信されるフレームのＤＬＣに８を割当てる。２番目に送信されるフレームのＤＬＣに９を割当て、データサイズは８ｂｙｔｅである。以降、送信順に１０、１１と増加し、８つに分割して送信する場合まで対応することができる。

【0059】

図６（ｂ）はＭＡＣを３つに分割して送信する場合を示している。図６（ｂ）においては、ＭＡＣのサイズが１８ｂｙｔｅであるため、１番目のフレームに４ｂｙｔｅの送信データ及び４ｂｙｔｅのＭＡＣ（１）を、２番目のフレームに８ｂｙｔｅのＭＡＣ（２）を、３番目のフレームに６ｂｙｔｅのＭＡＣ（３）及び２ｂｙｔｅのパディングを格納している。そして、この順序で各フレームが送信される。
この場合、図６（ａ）に示すルールに従えば、１番目のフレームは、データフィールドのサイズが８ｂｙｔｅとなるので、通常通りＤＬＣに８を割当てる。２番目のフレームは、データフィールドのサイズが８ｂｙｔｅとなるが、通常通りＤＬＣに８を割当てるのではなく、９を割当てる。３番目のフレームは、データフィールドのサイズが８ｂｙｔｅとなるが、通常通りＤＬＣに８を割当てるのではなく、１０を割当てる。

【0060】

図６（ｃ）は、ＤＬＣの値と送信の順序、及びデータサイズの関係の別の例を示している。図６（ａ）との相違は、ＤＬＣが１５の場合、最後に送信されるフレームであることを示している点である。すなわち、ＤＬＣが最大値である１５の場合であり、これが終端情報としても機能している。
この場合、図６（ｃ）に示すルールに従えば、図６（ｄ）に示す通り、３番目のフレームは最後に送信されるフレームであるので、ＤＬＣに１５を割当てる。

【0061】

この例によれば、ＤＬＣとして使用されていなかった範囲を識別情報や終端情報に割当てるので、データフィールドを用いることなく識別情報や終端情報をフレームに格納することができる。すなわち、データフィールドを圧迫することなく、部分ＭＡＣを送受信することができる。

【0062】

（Ｂ）識別情報等をデータフィールドに格納する場合
図７を用いて、識別情報や終端情報をデータフィールドに格納する例を説明する。
この例では、フレーム生成部１０１ｄが生成するフレームがＣｌａｓｓｉｃ ＣＡＮ通信プロトコルに準拠する場合、データフィールドが最大８ｂｙｔｅとなるので、例えばそのうちの１ｂｙｔｅを識別情報に割当てる。

【0063】

図７（ａ）はＭＡＣを３つに分割して送信する場合を示している。図７（ａ）においては、ＭＡＣのサイズが１６ｂｙｔｅであるため、１番目のフレームに４ｂｙｔｅの送信データ及び３ｂｙｔｅのＭＡＣ（１）を、２番目のフレームに７ｂｙｔｅのＭＡＣ（２）を、３番目のフレームに６ｂｙｔｅのＭＡＣ（３）を格納している。そして、この順序で各フレームが送信される。
図７（ａ）の場合、１番目のフレームのデータフィールドには、識別情報として０ｘ００を格納する。２番目のフレームのデータフィールドには、識別情報として０ｘ０１を格納する。３番目のフレームのデータフィールドには、識別情報として０ｘ０２を格納する。これによって、各フレームが分割ＭＡＣを格納しているか否かと、フレームセットのうちの何番目のフレームであるかを識別することができる。なお、データフィールドに識別情報を格納する場合の識別情報のサイズは１ｂｙｔｅ以外でもよい。例えば、２～４ｂｉｔとしてもよい。

【0064】

図７（ｂ）は、別の例を示している。図７（ａ）との相違は、３番目のフレームのデータフィールドには、識別情報として０ｘＦＦを格納している点である。すなわち、識別情報が最大値である０ｘＦＦの場合であり、これが終端情報としても機能している。

【0065】

この例によれば、データフィールドに識別情報や終端情報を格納するので、ＭＡＣのサイズが大きい場合、すなわちＭＡＣの分割数が多い場合にも対応することができる。また、データフィールドのサイズが大きい場合や可変長であるような通信プロトコル、例えばＥｔｈｅｒｎｅｔ（登録商標）を使う場合に有用である。

【0066】

（Ｃ）識別情報等をアービトレーションフィールドに格納する場合
図８を用いて、識別情報や終端情報をアービトレーションフィールドに格納する例を説明する。
この例では、フレーム生成部１０１ｄが生成するフレームがＣｌａｓｓｉｃ ＣＡＮ通信プロトコルに準拠する場合、識別情報は、アービトレーションフィールドに格納されたＣＡＮ ＩＤ（１１ｂｙｔｅ）に「割当てられる」。
ここで、「割当てられる」とは、ＩＤに識別情報そのものが割当てられる場合の他、ＩＤ本来の意義を有する情報とともに識別情報が割当てられてもよい。

【0067】

ＣＡＮ ＩＤは１１ｂｉｔで構成され、送受信するデータの種類を示す識別子である。すなわち、送受信するデータフィールド内のデータの種類によって、対応するＣＡＮ ＩＤを予め定義しておくことで、ＣＡＮ ＩＤによりデータフィールドに格納されたデータの種類を識別することができる。この例では、ＣＡＮ ＩＤに識別情報を割当てている。例えば使用されていない１１ｂｉｔのＣＡＮ ＩＤに識別情報を割当ててもよい。あるいは、使用されているＣＡＮ ＩＤのうち使用されていない下位ｂｉｔに識別情報を割当ててもよい。

【0068】

図８（ａ）の場合、１番目のフレームのＣＡＮ ＩＤに識別情報として下位ｂｉｔに１００を割当て、２番目のフレームのＣＡＮ ＩＤに識別情報として下位ｂｉｔに１０１を割当て、３番目のフレームのＣＡＮ ＩＤに識別情報として下位ｂｉｔに１０２を割当てる。

【0069】

図８（ｂ）は、別の例を示している。図８（ａ）との相違は、３番目のフレームのＣＡＮ ＩＤに識別情報として下位ｂｉｔに１０９を割当てている点である。すなわち、識別情報が最大値である１０９の場合であり、これが終端情報としても機能している。

【0070】

この例によれば、ＣＡＮ ＩＤとして使用されていなかった範囲を識別情報や終端情報に割当てるので、データフィールドを用いることなく識別情報や終端情報をフレームに格納することができる。すなわち、データフィールドを圧迫することなく、部分ＭＡＣを送受信することができる。

【0071】

（Ｄ）識別情報と終端情報を別のフィールドに格納する場合
図９を用いて、識別情報と終端情報をそれぞれ別のフィールドに格納する例を説明する。
図９（ａ）は、アービトレーションフィールドのＣＡＮ ＩＤに識別情報を、コントロールフィールドのＤＬＣに終端情報を、割当てている例を示す。

【0072】

図９（ａ）の場合、１番目のフレームのＣＡＮ ＩＤに識別情報として下位ｂｉｔに１００を割当て、２番目のフレームのＣＡＮ ＩＤに識別情報として下位ｂｉｔに１０１を割当て、３番目のフレームのＣＡＮ ＩＤに識別情報として下位ｂｉｔに１０２を割当てる。

【0073】

また、１番目のフレームは、データフィールドのサイズが８ｂｙｔｅとなるので、ＤＬＣに８を割当てる。２番目のフレームは、データフィールドのサイズが８ｂｙｔｅとなるので、ＤＬＣに８を割当てる。３番目のフレームは、最後に送信されるフレームであるので、ＤＬＣに１５を割当てる。２番目のフレームに９を割当てないのは、ＤＬＣに識別情報の機能を持たせる必要がないからである。
なお、ＤＬＣに識別情報の機能を持たせる必要がない場合は、ＤＬＣは０～８の範囲の値しか取らないので、９以上の値を終端情報としてもよい。

【0074】

図９（ｂ）は、コントロールフィールドのＤＬＣに識別情報を割当て、データフィールドに終端情報を格納している例を示す。

【0075】

図９（ｂ）の場合、１番目のフレームは、識別情報としてＤＬＣに８を割当てる。２番目のフレームは、識別情報としてＤＬＣに９を割当てる。３番目のフレームは、識別情報としてＤＬＣに１０を割当てる。

【0076】

また、１番目のフレームのデータフィールドには、識別情報として０ｘ００を格納する。２番目のフレームのデータフィールドには、識別情報として０ｘ００を格納する。３番目のフレームのデータフィールドには、識別情報として０ｘＦＦを格納する。１番目のフレームのデータフィールドに０ｘ０１、２番目のフレームのデータフィールドに０ｘ０２を格納しないのは、データフィールドに識別情報の機能を持たせる必要がないからである。

【0077】

識別情報と終端情報を異なるフィールドに格納する場合の組み合わせは、図９（ａ）、（ｂ）に限られず、図１０に示すような組み合わせが考えられる。すなわち、コントロールフィールドのＤＬＣ、データフィールド、アービトレーションフィールドのＣＡＮ ＩＤのいずれか１つを識別情報として機能させ、他の２つのうち１つを終端情報として機能させるとよい。

【0078】

（３）電子制御装置（ＥＣＵ）の動作
図１１及び図１２のフローチャートを用いて、本実施形態のＥＣＵ１００及びＥＣＵ２００の動作について説明する。
なお、以下の動作は、ＥＣＵ１００で実行されるＭＡＣ送信方法を示すだけでなく、ＥＣＵ１００で実行可能なＭＡＣ送信プログラムの処理手順を示すものである。また、ＥＣＵ２００で実行されるＭＡＣ受信方法を示すだけでなく、ＥＣＵ２００で実行可能なＭＡＣ受信プログラムの処理手順を示すものである。そして、これらの処理は、図１１及び図１２で示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

【0079】

送信側のＥＣＵ１００において、ＭＡＣ生成部１０１ａは、送信データに基づきメッセージ認証コード（ＭＡＣ）を生成する（Ｓ１）。

【0080】

ＭＡＣ分割部１０１ｂは、送信データとＳ１で生成したＭＡＣとの合計のサイズを算出する（Ｓ２）。図３の場合であれば、送信データが４ｂｙｔｅであり、ＭＡＣが１８ｂｙｔｅであるので、合計サイズは２２ｂｙｔｅとなる。

【0081】

続いて、合計サイズからフレームの分割数を算出してＭＡＣを分割し（Ｓ３）、複数の部分ＭＡＣを生成する。（Ｓ３）。図３の場合であれば、合計サイズが２２ｂｙｔｅであり、１つのフレームのデータフィールドの最大のサイズが８ｂｙｔｅであるので、

Ｎ＞（送信データのサイズ＋ＭＡＣサイズ）／８ｂｙｔｅ

の式に基づき３つのフレームに分割する。

【0082】

識別情報生成部１０１ｃは、Ｓ１で生成したＭＡＣにおいて、Ｓ３で生成した各部分ＭＡＣがそれぞれ占めていた部分を示す情報である各識別情報を生成する（Ｓ４）。さらに、識別情報生成部１０１ｃは、必要に応じて終端情報を生成する（Ｓ４）。

【0083】

フレーム生成部１０１ｄは、送信データを複数のフレームのうち少なくとも１つに格納するとともに、複数のフレームのそれぞれにＳ３で生成した各部分ＭＡＣ並びにＳ４で生成した各識別情報及び終端情報を格納することにより、複数のフレームを生成する（Ｓ５）。なお、フレームの枠自体の生成は、送信データの生成時、部分ＭＡＣの生成時、識別情報の生成時のいずれであってもよい。また、情報の格納時は、各情報の生成時でもよい。

【0084】

送信部１０３は、Ｓ５で生成したフレームセットである複数のフレームをＥＣＵ２００及びその他のＥＣＵに送信する。
なお、Ｓ５でのフレーム生成及びＳ６でのフレーム送信は、複数のフレームをまとめて生成及び送信しているが、１つずつフレームを生成し送信することを繰り返すようにしてもよい。

【0085】

受信側のＥＣＵ２００において、受信部２０４はＳ６でＥＣＵ１００から送信されたフレームセットである複数のフレームを受信する（Ｓ１１）。

【0086】

ＭＡＣ復元部２０１ａは、Ｓ１１で受信した複数のフレームそれぞれに格納されている各部分ＭＡＣ並びに各識別情報及び終端情報を用いて復元ＭＡＣ（「第１のＭＡＣ」に相当）を生成する（Ｓ１２）。Ｓ１２については、後ほど図１２を用いて詳細に説明する。

【0087】

ＭＡＣ復元部２０１ａは、連結終了フラグがＯＮになっているかどうかを判断する（Ｓ１３）。ＯＮになっている場合（Ｓ１３：ＹＥＳ）、Ｓ１４に処理を移す。ＯＦＦになっている場合（Ｓ１２：Ｎｏ）は終了する。連結終了フラグはＭＡＣの復元が完了したか否かを示すフラグであり、生成方法については図１２で説明する。

【0088】

ＭＡＣ生成部２０１ｂは、Ｓ１１で受信した複数のフレームのうち少なくとも１つに格納された送信データに基づきＭＡＣ（「第２のＭＡＣ」に相当）を生成する（Ｓ１３）。

【0089】

認証部２０１ｃは、Ｓ１２で復元した復元ＭＡＣとＳ１３で生成したＭＡＣとを比較して、送信データに対する認証を行う（Ｓ１４）。

【0090】

次に、図１２を参照して、復元ＭＡＣの生成（Ｓ１２）について詳細に説明する。この例では、識別情報は０から始まり、終端情報を兼ねた識別情報を示す整数Ｅまでとする。

【0091】

まず、受信したフレームに対して、識別情報が１番目のフレームを指しているかを判定する（Ｓ２１）。図１２では、識別情報が０の時、１番目のフレームを指しているとする。識別情報が１番目のフレームを指している場合（Ｓ２１：ＹＥＳ）、記憶部２０２に設けられたバッファをクリアし（Ｓ２２）、Ｓ１１で受信したフレームから送信データ及び／又は部分ＭＡＣをバッファに格納する（Ｓ２３）。そして、識別情報（ここでは０）を、連結完了識別情報とする（Ｓ２４）。

【0092】

受信したフレームの識別情報が１番目のフレームを指していない場合（Ｓ２１：ＮＯ）、連結完了識別情報に１を加えた数字と、今回受信したフレームの識別情報の数字とが一致するかどうかを判定する（Ｓ２５）。一致する場合（Ｓ２５：ＹＥＳ）、受信したフレームから部分ＭＡＣをバッファに格納し、既にバッファに格納されている部分ＭＡＣと連結する（Ｓ２６）。そして、識別情報を、連結完了識別情報とする（Ｓ２７）。

【0093】

連結完了情報がＭＡＣの終端情報を示す整数Ｅであるか否かを判定する（Ｓ２８）。整数Ｅ、すなわち送信順序が最後であることを示す場合（Ｓ２８：ＹＥＳ）、連結終了フラグをＯＮとする（Ｓ２９）。整数Ｅでない、すなわち送信順序が最後でないことを示す場合（Ｓ２８：ＮＯ）、連結終了フラグをＯＦＦとする（Ｓ３０）。

【0094】

なお、Ｓ２５で一致しない場合（Ｓ２５：ＮＯ）、送受信が適切に行われていない可能性があるので受信した部分ＭＡＣを破棄し（Ｓ３１）、連結終了フラグをＯＦＦとする（Ｓ３２）。

【0095】

なお、受信側のＥＣＵが部分ＭＡＣの復元に対応していない場合は、送信データと部分ＭＡＣを備える１番目のフレームのみを使ってＭＡＣ認証を行うようにすればよい。これについては、実施形態３で説明する。

【0096】

以上、本実施形態の構成例及び動作例は通信プロトコルとしてＣＡＮが使用される場合に基づき説明したが、ＣＡＮに限らず他の通信プロトコルに適用してもよい。

【0097】

（４）小括
以上、本実施形態によれば、フレームのデータフィールドのサイズ若しくは長さに依らず、より安全性を確保することができるＭＡＣを送信することができる。
また、本実施形態によれば、車載ネットワークにおいて、部分ＭＡＣの復元に対応せず一部の部分ＭＡＣのみでＭＡＣ認証を行うような受信側のＥＣＵが接続されている場合においても、当該受信側のＥＣＵは動作することができる。すなわち、一部の部分ＭＡＣのみでＭＡＣ認証を行う機器との間で上位互換を有することになる。

【0098】

３．実施形態２
実施形態１は、ＥＣＵ１００において、ＭＡＣを分割して複数の部分ＭＡＣを生成した場合に、全ての部分ＭＡＣを送信部１０３から送信していた。本実施形態は、ＥＣＵ１００がＭＡＣを分割して複数の部分ＭＡＣを生成した場合に、全ての部分ＭＡＣを送信するか否かを決定し、一部の部分ＭＡＣ又は全ての部分ＭＡＣを送信する。以下、実施形態１と異なる部分のみ説明を行い、実施形態１と同じ部分は実施形態１の説明を引用する。

【0099】

図１３を参照して、本実施形態における電子制御システム及びそれを構成する各ＥＣＵの構成について説明する。ＥＣＵ１００の制御部１０１は、実施形態１の構成であるＭＡＣ生成部１０１ａ、ＭＡＣ分割部１０１ｂ、識別情報生成部１０１ｃ、フレーム生成部１０１ｄに加えて、さらにＭＡＣ範囲決定部１０１ｅを備える。

【0100】

ＭＡＣ範囲決定部１０１ｅは、「送信データの種類」又は送信データの送信先に基づき、複数の部分ＭＡＣの全てを送信するか否かを決定する。例えば、図３（ｂ）のように３つのフレームからなるフレームセットの全てを送信するか、１番目のフレームのみを送信するか、を決定する。一部の部分ＭＡＣを送信する場合、送信する部分ＭＡＣは１つでも複数でもよい。
ここで、「送信データの種類」とは、送信データが示す情報の内容の他、送信データの特徴や属性であってもよい。

【0101】

送信データの種類は、例えばＣＡＮ ＩＤによって判断できる。複数の部分ＭＡＣの全てを送信する場合としては、走行制御など移動体（車両）の挙動に関するような高いセキュリティを確保したい送信データなどが挙げられる。一方で、走行に直接関係しないような送信データなど、セキュリティの優先順位が比較的低い送信データに対しては、フレームセットのうちの一部の部分ＭＡＣのみ送信してもよい。
また、送信データの送信先として、例えば部分ＭＡＣからＭＡＣを復元することに対応していない送信先である場合は、複数の部分ＭＡＣのうち１番目の部分ＭＡＣのみを送信するとよい。

【0102】

ＭＡＣ範囲決定部１０１ｅの決定は、図１１のＳ６までの任意のタイミングで行えばよい。そして、ＭＡＣ範囲決定部１０１ｅが複数の部分ＭＡＣの全てを送信しないと決定した場合、送信部１０３は、送信データ及び複数の部分ＭＡＣのうち少なくとも１つの部分ＭＡＣを格納したフレームを送信する。

【0103】

なお、本実施形態では、フレーム生成部１０１ｄは複数のフレームからなるフレームセットを生成し、送信部１０３がそのうち少なくとも１つの部分ＭＡＣを格納したフレームを送信しているが、フレーム生成部１０１ｄは、送信部１０３が送信するフレームのみを生成するようにしてもよい。

【0104】

このように、実施形態２では、送信データの種類又は送信データの送信先に基づき、複数の部分ＭＡＣの全てを送信するか否か選択できる。これによって、大きなサイズのＭＡＣによる高いセキュリティを維持したい送信データは複数のフレームからなるフレームセットを使用して送信することができ、セキュリティの優先順位が低い送信データに対してはフレームの数を一部に限定することで、フレームを送信するための処理を減らすとともに、車載ネットワークの通信量を減らすことができる。

【0105】

４．実施形態３
実施形態１は、ＥＣＵ１００において、ＭＡＣを分割して複数の部分ＭＡＣを生成した場合に、全ての部分ＭＡＣを送信部１０３から送信していた。そして、これを受信するＥＣＵ２００においては、受信した複数の部分ＭＡＣの全てを用いてＭＡＣを復元し、ＭＡＣ認証を行っていた。本実施形態は、ＥＣＵ２００が、全ての部分ＭＡＣを用いて認証を行うか否かを決定し、全ての部分ＭＡＣを用いないと決定した場合、一部の部分ＭＡＣを用いて認証を行う。以下、実施形態１と異なる部分のみ説明を行い、実施形態１と同じ部分は実施形態１の説明を引用する。

【0106】

図１４を参照して、本実施形態における電子制御システム及びそれを構成する各ＥＣＵの構成について説明する。ＥＣＵ２００の制御部２０１は、実施形態１の構成であるＭＡＣ復元部２０１ａ、ＭＡＣ生成部２０１ｂ、認証部２０１ｃに加えて、さらにＭＡＣ範囲決定部２０１ｄを備える。

【0107】

ＭＡＣ範囲決定部２０１ｄは、受信部２０４で受信した複数のフレームの少なくとも１つに格納された「送信データの種類」に基づき、各部分ＭＡＣ全てを用いて認証を行うか否かを決定する。例えば図３（ｂ）のように、１番目のフレームに格納された送信データに基づいて、１番目から３番目までの全てのフレームの部分ＭＡＣ全てを用いて認証を行うか、１番目のフレームの部分ＭＡＣのみを用いて認証を行うかを決定する。
ここで、「送信データの種類」とは、送信データが示す情報の内容の他、送信データの特徴や属性であってもよい。

【0108】

送信データの種類に基づくとは、ＣＡＮ ＩＤによって送信データの内容を把握することができるため、ＣＡＮ ＩＤに基づいて各部分ＭＡＣ全てを用いて認証を行うか否かを決定することも含まれる。複数の部分ＭＡＣの全てを用いて認証するものとしては、走行制御など移動体（車両）の挙動に関するような高いセキュリティを確保したい送信データなどが挙げられる。一方で、走行に関係のないような送信データなど、セキュリティの優先順位が比較的低いデータに対しては、フレームセットのうちの一部のフレームの部分ＭＡＣのみを使って認証してもよい。
複数の部分ＭＡＣの全てを用いて認証を行うとは、複数の部分ＭＡＣの全てを用いてＥＣＵ１００が生成したＭＡＣを復元し、この復元ＭＡＣを用いて認証を行うことと同義である。

【0109】

ＭＡＣ範囲決定部２０１ｄの決定は、例えば図１１のＳ１１の後に行われるとよい。ＭＡＣ範囲決定部２０１ｄが各部分ＭＡＣ全てを用いないと決定した場合、ＭＡＣ復元部２０１ａは、複数のフレームのうち１つのフレームに含まれる部分ＭＡＣ（「第１の部分ＭＡＣ」に相当）と識別情報を抽出する。また、ＭＡＣ生成部２０１ｂは、受信部２０４で受信した複数のフレームの少なくとも１つに格納された送信データ及び識別情報に基づき部分ＭＡＣ（「第２の部分ＭＡＣ」に相当）を生成する。認証部２０１ｃは、ＭＡＣ復元部２０１ａで抽出した部分ＭＡＣとＭＡＣ生成部２０１ｂで生成した部分ＭＡＣとを比較して、送信データに対する認証を行う。

【0110】

なお、ＭＡＣ復元部２０１ａで抽出した部分ＭＡＣとＭＡＣ生成部２０１ｂで生成した部分ＭＡＣとの比較により送信データに対する認証を行った後に、実施形態１で行ったように全ての部分ＭＡＣを連結して生成した復元ＭＡＣとＭＡＣ生成部２０１ｂで生成したＭＡＣとで再度認証を行ってもよい。

【0111】

このように、実施形態３では、受信した複数のフレームの少なくとも１つに格納された送信データの種類に基づいて、各部分ＭＡＣ全てを用いて認証を行うか否かを選択できる。これによって、高いセキュリティを維持したい送信データは各部分ＭＡＣ全てを用いて認証を行うことができ、セキュリティの優先順位が低い送信データに対しては、一部の部分ＭＡＣを用いて迅速に認証を行うことができる。

【0112】

５．総括
以上、本発明の各実施形態における電子制御システム及び電子制御装置の特徴について説明した。

【0113】

各実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。

【0114】

実施形態の説明に用いたブロック図は、装置の構成を機能毎に分類及び整理したものである。それぞれの機能を示すブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、及び当該方法を実現するプログラムの発明の開示としても把握できるものである。

【0115】

各実施形態に記載した処理、フロー、及び方法として把握できる機能ブロック、については、一のステップでその前段の他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

【0116】

各実施形態、及び特許請求の範囲で使用する、第１、第２、乃至、第Ｎ（Ｎは整数）、の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。

【0117】

各実施形態では、各実施形態に開示の電子制御装置を車両に搭載する前提で説明したが、歩行者が所持する前提としてもよい。

【0118】

また、本発明の電子制御装置の形態の例として、以下のものが挙げられる。
部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバ、クラウドサーバが挙げられる。
その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。

【0119】

また電子制御装置に、アンテナや通信用インターフェースなど、必要な機能を追加してもよい。

【0120】

加えて、本発明は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及びメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。

【0121】

専用や汎用のハードウェアの非遷移的実体的記録媒体（例えば、外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、又は内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。

【産業上の利用可能性】

【0122】

本発明の電子制御装置は、主として自動車に搭載される車両用の電子制御装置として説明したが、自動二輪車、電動機付自転車、鉄道はもちろん、歩行者、船舶、航空機等、移動する移動体全般に適用することが可能である。

【符号の説明】

【0123】

１ 電子制御システム
１００，２００，３００ ＥＣＵ
１０１，２０１ 制御部
１０３，２０３ 送信部
１０４，２０４ 受信部
１０１ａ ＭＡＣ生成部
１０１ｂ ＭＡＣ分割部
１０１ｃ 識別情報生成部
１０１ｄ フレーム生成部
１０１ｅ ＭＡＣ範囲決定部
２０１ａ ＭＡＣ復元部
２０１ｂ ＭＡＣ生成部
２０１ｃ 認証部
２０１ｄ ＭＡＣ範囲決定部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6ab】

【図6cd】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】