特開 2024-73252 中継装置、不正フレーム検出方法及び車載装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024073252

(43)【公開日】2024-05-29

(54)【発明の名称】中継装置、不正フレーム検出方法及び車載装置

(51)【国際特許分類】

   H04L 12/28 20060101AFI20240522BHJP

   H04L 12/46 20060101ALI20240522BHJP

   H04L 12/22 20060101ALI20240522BHJP

   H04L 12/66 20060101ALI20240522BHJP

【ＦＩ】

H04L12/28 200Z

H04L12/46 100C

H04L12/22

H04L12/66

【審査請求】未請求

【請求項の数】13

【出願形態】ＯＬ

(21)【出願番号】P 2022184354

(22)【出願日】2022-11-17

(71)【出願人】

【識別番号】395011665

【氏名又は名称】株式会社オートネットワーク技術研究所

(71)【出願人】

【識別番号】000183406

【氏名又は名称】住友電装株式会社

(71)【出願人】

【識別番号】000002130

【氏名又は名称】住友電気工業株式会社

(74)【代理人】

【識別番号】110000280

【氏名又は名称】弁理士法人サンクレスト国際特許事務所

(72)【発明者】

【氏名】上口 翔悟

【テーマコード（参考）】

5K030

5K033

【Ｆターム（参考）】

5K030GA15

5K030HA08

5K030HC14

5K030HD03

5K030LC13

5K033AA08

5K033BA06

5K033DA01

5K033DB19

(57)【要約】

【課題】中継装置における処理負荷を抑制しつつ、車載ネットワークに流れるフレームを網羅的に不正フレーム検出の対象とする。
【解決手段】
中継装置は、複数の車載装置が接続された車載ネットワークにおいて、前記複数の車載装置の間でフレームを中継する中継装置であって、前記車載装置において不正フレームが検出された場合に、不正フレームの検出の開始要求を前記車載装置から受信する受信部と、前記車載ネットワークを伝送されるフレームから不正フレームを検出する検出処理を実行することが可能な検出部と、を備え、前記検出部は、前記検出処理を停止している停止状態において、前記受信部によって前記開始要求が受信された場合に、前記停止状態から、前記検出処理を実行する実行状態に移行する。
【選択図】図４

【特許請求の範囲】

【請求項1】

複数の車載装置が接続された車載ネットワークにおいて、前記複数の車載装置の間でフレームを中継する中継装置であって、
前記車載装置において不正フレームが検出された場合に、不正フレームの検出の開始要求を前記車載装置から受信する受信部と、
前記車載ネットワークを伝送されるフレームから不正フレームを検出する検出処理を実行することが可能な検出部と、
を備え、
前記検出部は、前記検出処理を停止している停止状態において、前記受信部によって前記開始要求が受信された場合に、前記停止状態から、前記検出処理を実行する実行状態に移行する、
中継装置。

【請求項2】

前記中継装置は、車載ネットワークを構成する複数の通信線に接続されており、
前記検出部は、前記開始要求の送信元の前記車載装置が接続された通信線を伝送されるフレームを、前記検出処理の対象とする、
請求項１に記載の中継装置。

【請求項3】

前記開始要求は、前記不正フレームを検出した前記車載装置が接続された通信線を特定する特定情報を含む、
請求項２に記載の中継装置。

【請求項4】

前記開始要求は、前記車載装置による前記不正フレームの検出結果を含む、
請求項１に記載の中継装置。

【請求項5】

前記検出部は、前記複数の車載装置の間で中継されるフレームを、前記検出処理の対象とする、
請求項１に記載の中継装置。

【請求項6】

前記検出処理は、前記車載装置によって第１の種類のフレームから前記不正フレームが検出された場合に、前記第１の種類とは異なる第２の種類のフレームに基づいて、前記第１の種類のフレームから不正フレームを検出する処理である、
請求項１に記載の中継装置。

【請求項7】

前記検出処理は、複数の種類のフレームから不正フレームを検出する処理である、
請求項１に記載の中継装置。

【請求項8】

前記検出処理は、第１の種類のフレームの送信タイミングと、前記第１の種類とは異なる第２の種類のフレームの送信タイミングとに基づいて、前記第１の種類のフレームから不正フレームを検出する処理である、
請求項１から請求項７のいずれか１項に記載の中継装置。

【請求項9】

前記検出処理は、第１の種類のフレームと、前記第１の種類とは異なる第２の種類のフレームとの単位時間当たりの送信数に基づいて、不正フレームを検出する処理である、
請求項１から請求項７のいずれか１項に記載の中継装置。

【請求項10】

前記検出処理は、第１の種類のフレームに含まれる第１データ値と、前記第１の種類とは異なる第２の種類のフレームに含まれる第２データ値から推定される推定値とを比較することにより、不正フレームを検出する処理である、
請求項１から請求項７のいずれか１項に記載の中継装置。

【請求項11】

前記中継装置は、前記検出部によって前記不正フレームが検出された場合に、前記不正フレームの検出を通知する通知画面を表示するための表示情報を送信する送信部をさらに備える、
請求項１に記載の中継装置。

【請求項12】

複数の車載装置が接続された車載ネットワークにおいて、前記複数の車載装置の間でフレームを中継する中継装置によって不正フレームを検出する不正フレーム検出方法であって、
前記車載装置において不正フレームが検出された場合に、不正フレームの検出の開始要求を前記車載装置から受信するステップと、
前記車載ネットワークを伝送されるフレームから不正フレームを検出する検出処理が停止されている停止状態において、前記開始要求が受信された場合に、前記停止状態から、前記検出処理が実行される実行状態に移行するステップと、
を含む、
不正フレーム検出方法。

【請求項13】

車載ネットワークに接続された車載装置であって、
前記車載ネットワークを伝送されるフレームを受信した場合に、受信したフレームが不正フレームであるか否かを判定することにより前記不正フレームを検出する検出部と、
前記検出部によって前記不正フレームが検出された場合に、前記車載ネットワークにおいて複数の車載装置の間でフレームを中継する中継装置へ、不正フレームの検出の開始要求を送信する送信部と、
を備える、
車載装置。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、中継装置、不正フレーム検出方法及び車載装置に関する。

【背景技術】

【0002】

車両には、エンジン、トランスミッション等を制御する制御系ＥＣＵ（Electronic Control Unit）、ヘッドライト、パワーウインドウ等を制御するＢＣＭ（Body Control Module）、ナビゲーション装置、マルチメディア機器等の情報系ＥＣＵ等、多種の車載装置が搭載される。各車載装置は、車載ネットワークに接続され、相互に通信することができる。

【0003】

車載ネットワークに非正規の車載装置が正規の車載装置になりすまして接続され、非正規の車載装置から車載ネットワークに不正なフレームが送信されることにより、車両が不正に制御されることが問題となっている。このため、車載ネットワークにおいて不正なフレームを検出する技術が提案されている。

【0004】

特許文献１には、複数のＥＣＵ（Electronic Control Unit）と、各ＥＣＵの接続を中継するＧＷ－ＥＣＵとが接続された車載ネットワークにおいて、各ＥＣＵに不正なメッセージ（フレーム）を検出する機能を設け、各ＥＣＵにおける不正なメッセージの検出結果をＧＷ－ＥＣＵに記憶する車載ネットワークシステムが開示されている。特許文献１に開示された車載ネットワークシステムでは、各ＥＣＵにおいて不正なメッセージの検出が個別に行われる。

【0005】

特許文献２には、複数のＥＣＵと、各ＥＣＵの接続を中継する複数のＥスイッチとが接続された車載ネットワークにおいて、各Ｅスイッチに不正なフレームを検出する機能を設けたネットワークシステムが開示されている。特許文献２に開示されたネットワークシステムでは、各ＥＣＵではなく、Ｅスイッチにおいて不正なフレームの検出が集約して行われる。

【先行技術文献】

【特許文献】

【0006】

【特許文献1】国際公開第２０２１／１４５１１６号

【特許文献2】国際公開第２０１９／１１６９７３号

【発明の概要】

【発明が解決しようとする課題】

【0007】

しかしながら、特許文献１に開示された車載ネットワークシステムでは、各ＥＣＵは受信したメッセージしか不正メッセージ検出処理の対象としないため、車載ネットワークを伝送される各メッセージを網羅的に処理することができず、不正なメッセージの検出漏れが生じる可能性がある。

【0008】

一方、特許文献２に開示されたネットワークシステムでは、Ｅスイッチにおいてネットワークを伝送されるフレームを網羅的に処理することができるが、Ｅスイッチにおける処理負荷が高い。ネットワークに膨大なフレームが流れると、Ｅスイッチにおいて処理を完了することが困難となる。

【課題を解決するための手段】

【0009】

本開示の一態様に係る中継装置は、複数の車載装置が接続された車載ネットワークにおいて、前記複数の車載装置の間でフレームを中継する中継装置であって、前記車載装置において不正フレームが検出された場合に、不正フレームの検出の開始要求を前記車載装置から受信する受信部と、前記車載ネットワークを伝送されるフレームから不正フレームを検出する検出処理を実行することが可能な検出部と、を備え、前記検出部は、前記検出処理を停止している停止状態において、前記受信部によって前記開始要求が受信された場合に、前記停止状態から、前記検出処理を実行する実行状態に移行する。

【0010】

本開示は、上記のような特徴的な構成を備える中継装置、前記中継装置における特徴的な処理をステップとする不正フレーム検出方法、及び特徴的な構成を備える車載装置として実現することができるだけでなく、前記中継装置及び前記車載装置を含む車載システムとして実現したり、前記中継装置に特徴的な処理を実行させるための不正フレーム検出プログラムとして実現したり、前記中継装置の一部又は全部を半導体集積回路として実現したりすることができる。さらに、本開示は、前記車載装置における特徴的な処理をステップとする方法として実現したり、前記車載装置に特徴的な処理を実行させるためのプログラムとして実現したり、前記車載装置の一部又は全部を半導体集積回路として実現したりすることもできる。

【発明の効果】

【0011】

本開示によれば、中継装置における処理負荷を抑制しつつ、車載ネットワークに流れるフレームを網羅的に不正フレーム検出の対象とすることができる。

【図面の簡単な説明】

【0012】

【図1】図１は、実施形態に係る車載システムの構成の一例を示すブロック図である。

【図2】図２は、実施形態に係る中継ＥＣＵの構成の一例を示すブロック図である。

【図3】図３は、実施形態に係るＥＣＵの構成の一例を示すブロック図である。

【図4】図４は、実施形態に係る車載システムの機能の一例を示す機能ブロック図である。

【図5】図５は、第２検出部における第２検出処理の実行状態の遷移を示す状態遷移図である。

【図6】図６は、対応テーブルの一例を示す図である。

【図7】図７は、第１検出処理の一例を説明するための図である。

【図8】図８は、第２検出処理の一例を説明するための図である。

【図9】図９は、第１検出処理の他の例を説明するための図である。

【図10】図１０は、第２検出処理の一例を説明するための図である。

【図11】図１１は、通知画面の一例を示す図である。

【図12】図１２は、実施形態に係る車載システムの動作の一例を示すシーケンス図である。

【発明を実施するための形態】

【0013】

＜本開示の実施形態の概要＞
以下、本開示の実施形態の概要を列記して説明する。

【0014】

（１） 本実施形態に係る中継装置は、複数の車載装置が接続された車載ネットワークにおいて、前記複数の車載装置の間でフレームを中継する中継装置であって、前記車載装置において不正フレームが検出された場合に、不正フレームの検出の開始要求を前記車載装置から受信する受信部と、前記車載ネットワークを伝送されるフレームから不正フレームを検出する検出処理を実行することが可能な検出部と、を備え、前記検出部は、前記検出処理を停止している停止状態において、前記受信部によって前記開始要求が受信された場合に、前記停止状態から、前記検出処理を実行する実行状態に移行する。これにより、車載装置によって不正フレームが検出されるまでは中継装置における検出処理を停止状態とするため、中継装置における処理負荷を抑制することができる。さらに、検出処理が実行されれば、車載ネットワークに流れるフレームから網羅的に不正フレームを検出することができる。

【0015】

（２） 上記（１）において、前記中継装置は、車載ネットワークを構成する複数の通信線に接続されており、前記検出部は、前記開始要求の送信元の前記車載装置が接続された通信線を伝送されるフレームを、前記検出処理の対象としてもよい。これにより、不正フレームを効率的に検出することができる。

【0016】

（３） 上記（２）において、前記開始要求は、前記不正フレームを検出した前記車載装置が接続された通信線を特定する特定情報を含んでもよい。これにより、特定情報によって特定された通信線を流れるフレームを検出処理の対象とすることができる。

【0017】

（４） 上記（１）又は（２）において、前記開始要求は、前記車載装置による前記不正フレームの検出結果を含んでもよい。これにより、車載装置における不正フレームの検出結果を中継装置が検出処理に利用することができる。

【0018】

（５） 上記（１）から（４）のいずれか１つにおいて、前記検出部は、前記複数の車載装置の間で中継されるフレームを、前記検出処理の対象としてもよい。これにより、中継装置宛てではないフレームを検出処理の対象とすることができ、中継装置によって中継されるフレームから網羅的に不正フレームを検出することができる。

【0019】

（６） 上記（１）から（５）のいずれか１つにおいて、前記検出処理は、前記車載装置によって第１の種類のフレームから前記不正フレームが検出された場合に、前記第１の種類とは異なる第２の種類のフレームに基づいて、前記第１の種類のフレームから不正フレームを検出する処理であってもよい。これにより、車載装置において検出された不正フレームと同じ第１の種類フレームを検出処理の対象として、効率的に不正フレームを検出することができる。

【0020】

（７） 上記（１）から（６）のいずれか１つにおいて、前記検出処理は、複数の種類のフレームから不正フレームを検出する処理であってもよい。これにより、車載ネットワークを流れる複数の種類のフレームから網羅的に不正フレームを検出することができる。

【0021】

（８） 上記（１）から（７）のいずれか１つにおいて、前記検出処理は、第１の種類のフレームの送信タイミングと、前記第１の種類とは異なる第２の種類のフレームの送信タイミングとに基づいて、前記第１の種類のフレームから不正フレームを検出する処理であってもよい。これにより、第１の種類のフレームの送信タイミングだけでなく、第２の種類のフレームの送信タイミングを用いて、高精度に不正フレームを検出することができる。

【0022】

（９） 上記（１）から（７）のいずれか１つにおいて、前記検出処理は、第１の種類のフレームと、前記第１の種類とは異なる第２の種類のフレームとの単位時間当たりの送信数に基づいて、不正フレームを検出する処理であってもよい。これにより、第１の種類のフレームだけでなく、第２の種類のフレームも用いて、高精度に不正フレームを検出することができる。

【0023】

（１０） 上記（１）から（７）のいずれか１つにおいて、前記検出処理は、第１の種類のフレームに含まれる第１データ値と、前記第１の種類とは異なる第２の種類のフレームに含まれる第２データ値から推定される推定値とを比較することにより、不正フレームを検出する処理であってもよい。これにより、第２データ値を用いて、高精度に不正フレームを検出することができる。

【0024】

（１１） 上記（１）から（１０）のいずれか１つにおいて、前記中継装置は、前記検出部によって前記不正フレームが検出された場合に、前記不正フレームの検出を通知する通知画面を表示するための表示情報を送信する送信部をさらに備えてもよい。これにより、不正フレームが検出されたことをユーザに通知することができる。

【0025】

（１２） 本実施形態に係る不正フレーム検出方法は、複数の車載装置が接続された車載ネットワークにおいて、前記複数の車載装置の間でフレームを中継する中継装置によって不正フレームを検出する不正フレーム検出方法であって、前記車載装置において不正フレームが検出された場合に、不正フレームの検出の開始要求を前記車載装置から受信するステップと、前記車載ネットワークを伝送されるフレームから不正フレームを検出する検出処理が停止されている停止状態において、前記開始要求が受信された場合に、前記停止状態から、前記検出処理が実行される実行状態に移行するステップと、を含む。これにより、車載装置によって不正フレームが検出されるまでは中継装置における検出処理を停止状態とするため、中継装置における処理負荷を抑制することができる。さらに、検出処理が実行されれば、車載ネットワークに流れるフレームから網羅的に不正フレームを検出することができる。

【0026】

（１３） 本実施形態に係る車載装置は、車載ネットワークに接続された車載装置であって、前記車載ネットワークを伝送されるフレームを受信した場合に、受信したフレームが不正フレームであるか否かを判定することにより前記不正フレームを検出する検出部と、前記検出部によって前記不正フレームが検出された場合に、前記車載ネットワークにおいて複数の車載装置の間でフレームを中継する中継装置へ、不正フレームの検出の開始要求を送信する送信部と、を備える。これにより、車載装置によって不正フレームが検出されるまでは中継装置における検出処理を停止状態とすることができ、中継装置における処理負荷を抑制することができる。さらに、検出処理が実行されれば、車載ネットワークに流れるフレームから網羅的に不正フレームを検出することができる。

【0027】

＜本開示の実施形態の詳細＞
以下、図面を参照しつつ、本発明の実施形態の詳細を説明する。なお、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

【0028】

［１．車載システム］
図１は、本実施形態に係る車載システムの構成の一例を示すブロック図である。車載システム１００は、車両に搭載される。

【0029】

本実施系に係る車載システム１００は、中継ＥＣＵ２００と、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅとを含む。車載システム１００は、中継ＥＣＵ２００、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅ、及びそれらを繋ぐ通信線（通信バス）によって構成される車載ネットワークである。

【0030】

複数のＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅは、車両の各部に配置される。ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅは、車両の各部のハードウェアを個別に制御したり、車両の各部のハードウェアの状態を監視したりする。例えば、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅは、制御系、ボディ系、情報系のＥＣＵである。ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅは、「車載装置」の一例である。なお、以下の説明では、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄを総称して「ＥＣＵ３００」ともいう。

【0031】

中継ＥＣＵ２００は、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００ＥのそれぞれとＣＡＮ（Controller Area Network）バスのような通信バス４００Ａ，４００Ｂ，４００Ｃを介して接続されている。具体的には、バス４００Ａには、ＥＣＵ３００Ａ，３００Ｂが接続されている。バス４００Ｂには、ＥＣＵ３００Ｃ，３００Ｄが接続されている。バス４００Ｃには、ＥＣＵ３００Ｅが接続されている。中継ＥＣＵ２００は、ＥＣＵ３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅのそれぞれと相互に通信することができる。

【0032】

中継ＥＣＵ２００及びＥＣＵ３００は、周期的又は非周期的にメッセージを送受信するための通信プロトコルを使用する。通信プロトコルは、例えば、ＣＡＮ又はＣＡＮ ＦＤ（CAN with Flexible Data Rate）である。他の例では、プロトコルは、イーサネット（登録商標）である。

【0033】

中継ＥＣＵ２００は、複数のＥＣＵ３００間の通信を中継するゲートウェイとしての機能を有する。ＥＣＵ３００は、フレームを送信することができる。中継ＥＣＵ２００は、異なるバスに接続されたＥＣＵ間のフレームを中継する。例えば、中継ＥＣＵ２００は、バス４００Ａに接続されたＥＣＵ３００Ａと、バス４００Ｂに接続されたＥＣＵ３００Ｃとの間でフレームを中継することができる。

【0034】

中継ＥＣＵ２００は、バス４００Ｃを介して外部通信装置３５０に接続されている。外部通信装置３５０は、例えば５Ｇ（第５世代移動通信システム）又は４Ｇ（第４世代移動通信システム）に準拠した無線通信端末であり、例えば、ＴＳＵ（Telematics Control Unit）である。外部通信装置３５０は、サーバ５００と通信することができる。外部通信装置３５０は、中継ＥＣＵ２００とサーバ５００との間の通信を中継する。

【0035】

中継ＥＣＵ２００は、バス４００Ｃを介してユーザインタフェース装置（以下、「ＵＩ装置」ともいう）３７０に接続されている。ＵＩ装置３７０は、車両に搭載された車載装置の１つである。ＵＩ装置３７０は、車両のドライバによって使用される。ＵＩ装置３７０は、入力装置及び表示装置を含み、ドライバからの入力を受け付け、ドライバへ提供する情報を表示することができる。例えば、ＵＩ装置３７０は、中継ＥＣＵ２００又はサーバ５００から送信された情報を表示することができる。

【0036】

［２．中継ＥＣＵの構成］
図２は、本実施形態に係る中継ＥＣＵの構成の一例を示すブロック図である。中継ＥＣＵ２００は、プロセッサ２０１と、不揮発性メモリ２０２と、揮発性メモリ２０３と、通信インタフェース（以下、「通信Ｉ／Ｆ」ともいう）２０４Ａ，２０４Ｂ，２０４Ｃとを含む。

【0037】

揮発性メモリ２０３は、例えばＳＲＡＭ（Static Random Access Memory）、ＤＲＡＭ（Dynamic Random Access Memory）等の半導体メモリである。不揮発性メモリ２０２は、例えばフラッシュメモリ、ハードディスク、ＲＯＭ（Read Only Memory）等である。不揮発性メモリ２０２には、コンピュータプログラムである不正フレーム検出プログラム２１０、及び不正フレーム検出プログラム２１０の実行に使用されるデータが格納される。中継ＥＣＵ２００の後述する機能は、不正フレーム検出プログラム２１０がプロセッサ２０１によって実行されることで発揮される。

【0038】

プロセッサ２０１は、例えばＣＰＵ（Central Processing Unit）である。ただし、プロセッサ２０１は、ＣＰＵに限られない。プロセッサ２０１は、ＧＰＵ（Graphics Processing Unit）であってもよい。具体的な一例では、プロセッサ２０１は、マルチコアプロセッサである。プロセッサ２０１は、シングルコアプロセッサであってもよい。プロセッサ２０１は、コンピュータプログラムを実行可能に構成される。ただしプロセッサ２０１は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）であってもよいし、ＦＰＧＡ（Field Programmable Gate Array）等のプログラマブルロジックデバイスであってもよい。この場合、ＡＳＩＣ又はプログラマブルロジックデバイスは、不正フレーム検出プログラム２１０と同じ機能を実行可能に構成される。

【0039】

通信Ｉ／Ｆ２０４Ａ，２０４Ｂ，２０４Ｃは、上述した車載ネットワーク用の通信プロトコルに準拠した通信インタフェースである。通信Ｉ／Ｆ２０４Ａ，２０４Ｂ，２０４Ｃは、例えばＣＡＮインタフェースである。通信Ｉ／Ｆ２０４Ａ，２０４Ｂ，２０４Ｃは、イーサネットインタフェースであってもよい。

【0040】

通信Ｉ／Ｆ２０４Ａは、バス４００Ａに接続されている。通信Ｉ／Ｆ２０４Ｂは、バス４００Ｂに接続されている。通信Ｉ／Ｆ２０４Ｃは、バス４００Ｃに接続されている。中継ＥＣＵ２００は、通信Ｉ／Ｆ２０４Ａによって、ＥＣＵ３００Ａ及び３００Ｂと通信することができる。中継ＥＣＵ２００は、通信Ｉ／Ｆ２０４Ｂによって、ＥＣＵ３００Ｃ及び３００Ｄと通信することができる。中継ＥＣＵ２００は、通信Ｉ／Ｆ２０４Ｃによって、ＥＣＵ３００Ｅと通信することができる。さらに、中継ＥＣＵ２００は、通信Ｉ／Ｆ２０４Ｃによって、ＵＩ装置３７０と通信することができ、外部通信装置３５０を介してサーバ５００と通信することができる。

【0041】

不揮発性メモリ２０２には、対応テーブル２１１が格納されている。対応テーブル２１１は、不正フレーム検出プログラム２１０によって用いられる。対応テーブル２１１については後述する。

【0042】

［３．ＥＣＵの構成］
図３は、本実施形態に係るＥＣＵの構成の一例を示すブロック図である。ＥＣＵ３００は、プロセッサ３０１と、不揮発性メモリ３０２と、揮発性メモリ３０３と、通信Ｉ／Ｆ３０４とを含む。

【0043】

揮発性メモリ３０３は、例えばＳＲＡＭ、ＤＲＡＭ等の半導体メモリである。不揮発性メモリ３０２は、例えばフラッシュメモリ、ハードディスク、ＲＯＭ等である。不揮発性メモリ３０２には、コンピュータプログラムである不正フレーム検出プログラム３１０、及び不正フレーム検出プログラム３１０の実行に使用されるデータが格納される。ＥＣＵ３００の後述する機能は、不正フレーム検出プログラム３１０がプロセッサ３０１によって実行されることで発揮される。

【0044】

プロセッサ３０１は、例えばＣＰＵである。ただし、プロセッサ３０１は、ＣＰＵに限られない。プロセッサ３０１は、ＧＰＵであってもよい。具体的な一例では、プロセッサ３０１は、マルチコアプロセッサである。プロセッサ３０１は、シングルコアプロセッサであってもよい。プロセッサ３０１は、コンピュータプログラムを実行可能に構成される。ただしプロセッサ３０１は、例えば、ＡＳＩＣであってもよいし、ＦＰＧＡ等のプログラマブルロジックデバイスであってもよい。この場合、ＡＳＩＣ又はプログラマブルロジックデバイスは、不正フレーム検出プログラム３１０と同じ機能を実行可能に構成される。

【0045】

通信Ｉ／Ｆ３０４は、上述した車載ネットワーク用の通信プロトコルに準拠した通信インタフェースである。通信Ｉ／Ｆ３０４は、例えばＣＡＮインタフェースである。通信Ｉ／Ｆ３０４は、イーサネットインタフェースであってもよい。

【0046】

通信Ｉ／Ｆ３０４は、バス４００に接続されている。ＥＣＵ３００は、通信Ｉ／Ｆ３０４によって、ＥＣＵ３００及び中継ＥＣＵ２００と通信することができる。

【0047】

［４．車載システムの機能］
図４は、本実施形態に係る車載システムの機能の一例を示す機能ブロック図である。

【0048】

ＥＣＵ３００のプロセッサ３０１が不正フレーム検出プログラム３１０を実行することにより、第１検出部３２１と、第１送信部３２２との各機能が実現される。中継ＥＣＵ２００のプロセッサ２０１が不正フレーム検出プログラム３１０を実行することにより、受信部２２１と、第２検出部２２２と、第２送信部２２３との各機能が実現される。

【0049】

ＣＡＮでは、フレームにＣＡＮＩＤと呼ばれる識別情報が含まれる。ＣＡＮＩＤは、フレームの種類を示している。例えば、「エンジン回転数」のデータを含むフレームのＣＡＮＩＤは「１００」であり、「アクセル開度」のデータを含むフレームのＣＡＮＩＤは「２００」である等である。ＣＡＮＩＤは、フレームの送信元もまた示している。例えば、ＥＣＵ３００Ａから送信されるフレームのＣＡＮＩＤは「１００」であり、ＥＣＵ３００Ｂから送信されるフレームのＣＡＮＩＤは「２００」である等である（図１参照）。

【0050】

例えば、不正フレームは、正規のＥＣＵ３００とは異なる非正規のＥＣＵ（以下、「不正ＥＣＵ」ともいう）から送信される。不正ＥＣＵは、正規のＥＣＵ３００になりすまし、正規のＥＣＵ３００が使用するＣＡＮＩＤを含む不正フレームを送信する。不正フレームには、不正なデータが含まれる。

【0051】

例えば、ＣＡＮＩＤが「１００」であり、エンジン回転数のデータを含むフレームがＥＣＵ３００Ａから送信され、ＥＣＵ３００Ｂによって受信されることを想定する。ＥＣＵ３００Ｂは、エンジン回転数のデータを特定の処理に用いるために、ＣＡＮＩＤ「１００」のフレームを受信する。つまり、ＣＡＮＩＤ「１００」は、フレームの送信元の識別情報であると共に、フレームの宛先（ＥＣＵ３００Ｂ）の識別情報でもある。バス４００Ａに接続された不正ＥＣＵが、ＣＡＮＩＤ「１００」を含む不正フレームをバス４００Ａへ送出すると、ＥＣＵ３００Ｂは不正フレームを受信し、不正フレームに含まれる不正なデータを使用して処理を行ってしまうことが考えられる。

【0052】

各ＥＣＵ３００は、このような不正フレームを検出する機能を有する。ＥＣＵ３００の第１検出部３２１は、車載ネットワークを伝送されるフレームをＥＣＵ３００が受信した場合に、受信したフレームが不正フレームであるか否かを判定することにより不正フレームを検出する第１検出処理を実行する。

【0053】

例えば、ＥＣＵ３００Ｂは、ＣＡＮＩＤ「１００」のフレームを受信すると、受信したフレームが不正フレームであるか否かを判定する。不正フレームであると判定した場合、ＣＡＮＩＤは、当該フレームを不正フレームとして検出する。

【0054】

第１検出部３２１の第１検出処理によって不正フレームが検出された場合に、第１送信部３２２は、中継ＥＣＵ２００へ、不正フレームの検出開始要求を送信する。

【0055】

中継ＥＣＵ２００の受信部２２１は、ＥＣＵ３００において不正フレームが検出された場合に、不正フレームの検出開始要求をＥＣＵ３００から受信する。

【0056】

第２検出部２２２は、車載ネットワークを伝送されるフレームから不正フレームを検出する第２検出処理を実行することが可能である。

【0057】

第２検出部２２２は、第２検出処理の実行状態を変化させることができる。図５は、第２検出部における第２検出処理の実行状態の遷移を示す状態遷移図である。初期状態において、第２検出部２２２の状態は、第２検出処理を停止している停止状態である。第２検出部２２２は、受信部２２１によって検出開始要求が受信された場合に、停止状態から、第２検出処理を実行する実行状態に移行する。すなわち、ＥＣＵ３００から送信された検出開始要求をトリガーとして、第２検出部２２２は第２検出処理を開始する。

【0058】

図４に戻り、第２検出部２２２は、検出開始要求の送信元のＥＣＵ３００が接続されたバス４００を伝送されるフレームを、第２検出処理の対象とする。例えば、ＥＣＵ３００Ｂが第１検出処理によって不正フレームを検出し、検出開始要求を送信した場合、第２検出部２２２は、ＥＣＵ３００Ｂが接続されたバス４００Ａを伝送されるフレームを、第２検出処理の対象とする。

【0059】

一例では、中継ＥＣＵ２００は、検出開始要求を受信したポート（通信Ｉ／Ｆ２０４）を特定し、第２検出部２２２は、特定したポートに接続されたバス４００を伝送されるフレームを、第２検出処理の対象とすることができる。例えば、通信Ｉ／Ｆ２０４Ａが検出開始要求を受信した場合、バス４００Ａを伝送されるフレームが、第２検出処理の対象とされる。他の例では、検出開始要求は、不正フレームを検出したＥＣＵ３００が接続されたバス４００を特定する特定情報を含んでもよい。例えば、ＥＣＵ３００Ｂが検出開始要求を送信する場合、検出開始要求にはバス４００Ａを特定する特定情報が含まれる。中継ＥＣＵ２００は、検出開始要求に含まれる特定情報によって特定されるバス４００Ａを流れるフレームを、第２検出処理の対象とすることができる。

【0060】

検出開始要求は、ＥＣＵ３００による不正フレームの検出結果を含んでもよい。これにより、第２検出部２２２は、第１検出処理による検出結果を、第２検出処理に利用することができる。

【0061】

例えば、第１検出部３２１による第１検出処理は、簡易的に不正フレームを検出する処理であり、第２検出部２２２による第２検出処理は、網羅的に不正フレームを検出する処理である。

【0062】

具体的な一例では、第１検出処理は、不正フレーム検出の対象とするフレーム（以下、「対象フレーム」ともいう）のみを用いて、不正フレームの検出を行う処理である。例えば、ＥＣＵ３００Ｂによって実行される第１検出処理では、ＥＣＵ３００Ｂによって受信されたＣＡＮＩＤ「１００」のフレームが対象フレームであり、対象フレーム以外のフレームは用いられない。

【0063】

これに対して、第２検出処理は、対象フレームに加え、対象フレームとは異なるフレーム、すなわち、第１検出処理の対象とされなかったフレームも用いて、不正フレームの検出を行う処理である。

【0064】

具体的な一例では、第２検出部２２２は、複数のＥＣＵ３００の間で中継されるフレームを、第２検出処理の対象とすることができる。中継ＥＣＵ２００は、自装置が宛先のフレーム以外にも、中継処理の対象であるフレームを受信する。例えば、ＥＣＵ３００ＣからＥＣＵ３００Ａ宛てのフレームがバス４００Ｂに送出されると、中継ＥＣＵ２００はバス４００Ｂから当該フレームを受信し、バス４００Ａへ送出する。このような中継処理のために中継ＥＣＵ２００に受信されたフレームも、第２検出処理の対象とされる。したがって、第２検出処理では第１検出処理に比べて対象フレームの範囲が拡大され、網羅的に不正フレームが検出される。

【0065】

第２検出処理は、ＥＣＵ３００によって対象フレーム（第１の種類のフレーム）から不正フレームが検出された場合に、第１の種類とは異なる第２の種類のフレームに基づいて、対象フレームから不正フレームを検出する処理であってもよい。例えば、車速のデータを含む、ＣＡＮＩＤ「３００」のフレーム（第１の種類のフレーム）が対象フレームである場合、第２検出部２２２は、エンジン回転数のデータを含む、ＣＡＮＩＤ「１００」のフレーム（第２の種類のフレーム）に基づいて、ＣＡＮＩＤ「３００」のフレームから不正フレームを検出することができる。

【0066】

さらに具体的な一例では、第２検出処理では、対象フレームに関連するフレーム（以下、「関連フレーム」ともいう）が用いられる。例えば、第２検出部２２２は、対応テーブル２１１（図２参照）を用いて、関連フレームを特定することができる。

【0067】

図６は、対応テーブルの一例を示す図である。対応テーブル２１１では、対象フレームのＣＡＮＩＤと、関連フレームのＣＡＮＩＤとの対応関係が定義されている。

【0068】

例えば、アクセル開度に応じて、エンジン回転数は変化する。すなわち、エンジン回転数に対してアクセル開度は関連する。したがって、エンジン回転数のデータを含むＣＡＮＩＤ「１００」のフレームには、アクセル開度のデータを含むＣＡＮＩＤ「２００」のフレームが関連する。対応テーブル２１１には、対象フレームのＣＡＮＩＤ「１００」に対して、関連フレームのＣＡＮＩＤ「２００」が対応付けられている。

【0069】

例えば、エンジン回転数、シフトポジション、及びブレーキの状態に応じて、車速は変化する。すなわち、車速に対して、エンジン回転数、シフトポジション、及びブレーキ状態は関連する。したがって、車速のデータを含むＣＡＮＩＤ「３００」のフレームには、エンジン回転数のデータを含むＣＡＮＩＤ「１００」のフレーム、シフトポジションのデータを含むＣＡＮＩＤ「４００」のフレーム、及びブレーキ状態のデータを含むＣＡＮＩＤ「５００」のフレームが関連する。対応テーブル２１１には、対象フレームのＣＡＮＩＤ「３００」に対して、関連フレームのＣＡＮＩＤ「１００」、「４００」及び「５００」が対応付けられている。

【0070】

例えば、ドライバ等の乗員が車両を乗り降りする場合、シートベルトは外されており、乗員が車両に乗った後に、シートベルトが装着される。すなわち、ドアの開閉状態に対してシートベルトの着脱状態は関連する。したがって、ドアの開閉状態のデータを含むＣＡＮＩＤ「６００」のフレームには、シートベルトの着脱状態のデータを含むＣＡＮＩＤ「７００」のフレームが関連する。対応テーブル２１１には、対象フレームのＣＡＮＩＤ「６００」に対して、関連フレームのＣＡＮＩＤ「７００」が対応付けられている。

【0071】

図４に戻り、ＥＣＵ３００の第１送信部３２２から送信された検出開始要求を受信部２２１が受信した場合、第２検出部２２２は、不正フレームが検出された第１検出処理における対象フレームのＣＡＮＩＤに基づいて、対応テーブル２１１から関連フレームのＣＡＮＩＤを決定することができる。

【0072】

第２検出処理は、対象フレーム（第１の種類のフレーム）の送信タイミングと、関連フレーム（第２の種類のフレーム）の送信タイミングとに基づいて、対象フレームから不正フレームを検出する処理であってもよい。この場合において、簡易的な第１検出処理は、対象フレームの送信タイミングのみに基づいて、対象フレームから不正フレームを検出する処理であってもよい。

【0073】

図７は、第１検出処理の一例を説明するための図である。図７の例は、ＣＡＮフレームの周期性に着目した処理である。ＣＡＮでは、同一のＣＡＮＩＤのフレームは一定の周期で送信される。図７の例では、ＣＡＮＩＤ「１００」のフレーム（図において「１００」と記載された四角形のマークで示す）が周期Ｔ１で繰り返し送信されている。ＣＡＮＩＤ「１００」の不正フレーム（図においてハッチングが付された四角形のマークで示す）が挿入されると、正規のフレームと不正フレームとの間の間隔ＴＥ１は、周期Ｔ１とは異なる。第１検出部３２１は、第１検出処理において、ＣＡＮＩＤ「１００」のフレームの送信タイミングが周期Ｔ１から逸脱している場合、不正フレームを検出する。

【0074】

図８は、第２検出処理の一例を説明するための図である。図８の例は、ＣＡＮフレームの周期性に着目した処理である。図８の例において、ＣＡＮＩＤ「１００」のフレームの送信周期と、ＣＡＮＩＤ「２００」のフレーム（図において「２００」と記載された四角形のマークで示す）の送信周期とは同一である。この場合、ＣＡＮＩＤ「１００」のフレームと、ＣＡＮＩＤ「２００」のフレームとの間隔Ｔ１２は一定値となる。ＣＡＮＩＤ「１００」の不正フレームが挿入されると、ＣＡＮＩＤ「２００」の正規のフレームと不正フレームとの間の間隔ＴＥ１２は、間隔Ｔ１２とは異なる。第２検出部２２２は、第２検出処理において、ＣＡＮＩＤ「１００」のフレームとＣＡＮＩＤ「２００」のフレームとの間隔が一定の間隔ＴＥ１２から逸脱している場合、不正フレームを検出する。

【0075】

第２検出処理は、第１の種類のフレームと、第２の種類のフレームとのそれぞれを対象フレームとし、対象フレームの単位時間当たりの送信数に基づいて、不正フレームを検出する処理であってもよい。この場合において、簡易的な第１検出処理は、第１の種類のフレームのみを対象フレームとし、対象フレームの単位時間当たりの送信数に基づいて、不正フレームを検出する処理であってもよい。

【0076】

図９は、第１検出処理の他の例を説明するための図である。図９の例は、バスにおける負荷（フレーム送信数）に着目した処理である。ＣＡＮでは、非周期的にフレームが送信される場合もある。例えば、特定のイベントの発生をトリガーとしてフレームが送信されるイベントドリブン型のフレーム送信がある。例えば、正規のイベントドリブン型のフレームの単位時間当たりの送信数の上限値が把握されている場合、この上限値を用いて不正フレームの検出を行うことができる。図９の例において、ＣＡＮＩＤ「１００」のイベントドリブン型のフレームの単位時間Ｔ２における送信数の上限値は「４」であり、上限値「４」を基準値とする。ＣＡＮＩＤ「１００」の１又は複数の不正フレームが挿入されると、不正フレームを含めたＣＡＮＩＤ「１００」のフレームの単位時間Ｔ２当たりの送信数は基準値を超える。第１検出部３２１は、第１検出処理において、ＣＡＮＩＤ「１００」のフレームの単位時間当たりの送信数が基準値を超える場合、不正フレームを検出する。

【0077】

図１０は、第２検出処理の一例を説明するための図である。図１０の例は、バスにおける負荷（フレーム送信数）に着目した処理である。図１０の例において、ＣＡＮＩＤ「１００」のイベントドリブン型のフレームと、ＣＡＮＩＤ「２００」のイベントドリブン型のフレームとの単位時間Ｔ２当たりの送信数の上限値は「６」であり、上限値「６」を基準値とする。ＣＡＮＩＤ「１００」の不正フレームが挿入されると、不正フレームを含めたＣＡＮＩＤ「１００」及び「２００」のフレームの単位時間Ｔ２当たりの送信数は基準値を超える。第２検出部２２２は、第２検出処理において、ＣＡＮＩＤ「１００」及び「２００」のフレームの単位時間当たりの送信数が基準値を超える場合、不正フレームを検出する。

【0078】

図４に戻り、第２検出処理は、対象フレーム（第１の種類のフレーム）に含まれる第１データ値と、関連フレーム（第２の種類のフレーム）に含まれる第２データ値から推定される推定値とを比較することにより、不正フレームを検出する処理であってもよい。この場合において、簡易的な第１検出処理は、対象フレームに含まれる第１データ値（今回値）と、前回の対象フレームに含まれる第１データ値（前回値）から推定される推定値とを比較することにより、不正フレームを検出する処理であってもよい。

【0079】

例えば、第１検出部３２１は、エンジン回転数のデータ値を含むＣＡＮＩＤ「１００」のフレームを対象フレームとする場合、エンジン回転数の前回値から、今回値を推定する。具体的な一例では、エンジン回転数の前々回値と前回値との差分値を前回値に加算することで、今回値の推定値を算出することができる。第１検出部３２１は、第１検出処理において、エンジン回転数の今回値と推定値との差分が許容範囲を超える場合、不正フレームを検出する。

【0080】

例えば、第２検出部２２２は、エンジン回転数のデータ値を含むＣＡＮＩＤ「１００」のフレームを対象フレームとする場合、アクセル開度のデータ値を含むＣＡＮＩＤ「２００」のフレームを関連フレームとし、アクセル開度のデータ値からエンジン回転数を推定する。具体的な一例では、エンジン回転数とアクセル開度との予め定められた対応関係に基づいて、アクセル開度からエンジン回転数を推定することができる。第２検出部２２２は、第２検出処理において、エンジン回転数のデータ値と推定値との差分が許容範囲を超える場合、不正フレームを検出する。

【0081】

第２送信部２２３は、第２検出部によって不正フレームが検出された場合に、不正フレームの検出を通知する通知画面を表示するための表示情報をＵＩ装置３７０へ送信する。

【0082】

図１１は、通知画面の一例を示す図である。ＵＩ装置３７０は、表示情報を受信すると、通知画面６００を表示する。図１１に示される通知画面６００は、「不正な信号を検出しました。」の文字情報を含む。この文字情報によって、ドライバに不正なフレーム（信号）が検出されたことを通知することができる。

【0083】

第２送信部２２３は、第２検出部によって不正フレームが検出された場合に、不正フレームの検出結果をサーバ５００へ送信してもよい。サーバ５００は、受信した不正フレームの検出結果を記憶し、ディーラー（に設置された管理装置又はディーラーの作業者の携帯端末）へ不正フレームが検知されたことを通知する。例えば、ディーラーの作業者は、不正フレームの検出結果を確認し、ドライバへメンテナンスが必要であることを知らせることができる。これにより、車両がディーラーにおいてメンテナンスされる場合、作業車は、不正ＥＣＵを除去する等必要な措置を講じた後、中継ＥＣＵ２００を初期化することができる。図５を参照し、中継ＥＣＵ２００が初期化されると、第２検出部２２２は、第２検出処理の実行状態から停止状態へと移行する。

【0084】

［５．車載システムの動作］
以下、本実施形態に係る車載システムの動作を説明する。図１２は、本実施形態に係る車載システムの動作の一例を示すシーケンス図である。

【0085】

各ＥＣＵ３００は、第１検出処理を実行する。この時点では、中継ＥＣＵ２００は、第２検出処理を停止している（停止状態）。図１２の例では、ＥＣＵ３００Ａが不正フレームを検出する（ステップＳ１）。ＥＣＵ３００Ａのプロセッサ３０１は、検出開始要求を中継ＥＣＵ２００へ送信する（ステップＳ２）。

【0086】

中継ＥＣＵ２００が検出開始要求を受信すると、プロセッサ２０１は、第２検出処理を開始する（ステップＳ３）。これにより、プロセッサ２０１は、第２検出処理の停止状態から実行状態へ移行する。

【0087】

プロセッサ２０１は、第２検出処理により不正フレームを検出すると（ステップＳ４）、表示情報をＵＩ装置３７０へ送信する（ステップＳ５）。ＵＩ装置３７０は表示情報を受信すると、通知画面６００を表示する（ステップＳ６）。これにより、ドライバに不正フレームの検出を通知することができる。

【0088】

プロセッサ２０１は、不正フレームの検出結果をサーバ５００へ送信する（ステップＳ７）。サーバ５００は、不正フレームの検出結果を受信すると、受信した検出結果を記憶する。さらに、サーバ５００は、ディーラーへ不正フレームの検出を通知する。これにより、ディーラーの作業員がドライバへ連絡し、メンテナンスが必要であることをドライバに通知することができる。

【0089】

車両のメンテナンス作業において、不正ＥＣＵが除去され、中継ＥＣＵ２００が初期化される。これにより、中継ＥＣＵ２００の第２検出処理が停止状態に戻る。

【0090】

［６．付記］
（付記１）
複数の車載装置が接続された車載ネットワークにおいて、前記複数の車載装置の間でフレームを中継する中継装置に不正フレームを検出させるためのコンピュータプログラムであって、
コンピュータに、
前記車載装置において不正フレームが検出された場合に、不正フレームの検出の開始要求を前記車載装置から受信するステップと、
前記車載ネットワークを伝送されるフレームから不正フレームを検出する検出処理が停止されている停止状態において、前記開始要求が受信された場合に、前記停止状態から、前記検出処理が実行される実行状態に移行するステップと、
を実行させるための、
コンピュータプログラム。

【0091】

（付記２）
車載ネットワークに接続された車載装置を制御するためのコンピュータプログラムであって、
コンピュータに、
前記車載ネットワークを伝送されるフレームを受信した場合に、受信したフレームが不正フレームであるか否かを判定することにより前記不正フレームを検出するステップと、
前記不正フレームが検出された場合に、前記車載ネットワークにおいて複数の車載装置の間でフレームを中継する中継装置へ、不正フレームの検出の開始要求を送信するステップと、
を実行させるための、
コンピュータプログラム。

【0092】

（付記３）
車載ネットワークに接続された車載装置を制御するための制御方法であって、
前記車載ネットワークを伝送されるフレームを受信した場合に、受信したフレームが不正フレームであるか否かを判定することにより前記不正フレームを検出するステップと、
前記不正フレームが検出された場合に、前記車載ネットワークにおいて複数の車載装置の間でフレームを中継する中継装置へ、不正フレームの検出の開始要求を送信するステップと、
を含む、
制御方法。

【0093】

（付記４）
車載ネットワークに接続された複数の車載装置と、
前記車載ネットワークにおいて前記複数の車載装置の間でフレームを中継する中継装置と、
を備え、
前記車載装置は、
前記車載ネットワークを伝送されるフレームを受信した場合に、受信したフレームが不正フレームであるか否かを判定することにより前記不正フレームを検出する第１検出部と、
前記第１検出部によって前記不正フレームが検出された場合に、前記中継装置へ、不正フレームの検出の開始要求を送信する第１送信部と、
を含み、
前記中継装置は、
前記開始要求を前記車載装置から受信する受信部と、
前記車載ネットワークを伝送されるフレームから不正フレームを検出する検出処理を実行することが可能な第２検出部と、
を含み、
前記第２検出部は、前記検出処理を停止している停止状態において、前記受信部によって前記開始要求が受信された場合に、前記停止状態から、前記検出処理を実行する実行状態に移行する、
車載システム。

【0094】

［７．補記］
今回開示された実施の形態はすべての点で例示であって、制限的ではない。本発明の権利範囲は、上述の実施形態ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味及びその範囲内でのすべての変更が含まれる。

【符号の説明】

【0095】

１００ 車載システム
２００ 中継ＥＣＵ（中継装置）
２０１ プロセッサ
２０２ 不揮発性メモリ
２０３ 揮発性メモリ
２０４Ａ，２０４Ｂ，２０４Ｃ 通信インタフェース（通信Ｉ／Ｆ）
２１０ 不正フレーム検出プログラム
２１１ 対応テーブル
２２１ 受信部
２２２ 第２検出部
２２３ 第２送信部
３００，３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ，３００Ｅ ＥＣＵ（車載装置）
３０１ プロセッサ
３０２ 不揮発性メモリ
３０３ 揮発性メモリ
３０４ 通信インタフェース（通信Ｉ／Ｆ）
３１０ 不正フレーム検出プログラム
３２１ 第１検出部
３２２ 第１送信部
３５０ 外部通信装置
３７０ ユーザインタフェース装置（ＵＩ装置）
４００，４００Ａ，４００Ｂ，４００Ｃ 通信バス（通信線）
５００ サーバ
６００ 通知画面
Ｔ１ 周期
ＴＥ１，Ｔ１２，ＴＥ１２ 間隔
Ｔ２ 単位時間

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】