知財求人 - 知財ポータルサイト「IP Force」
特開2024-93195異常フレーム判定装置、異常フレーム判定方法、及び異常フレーム判定プログラム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024093195
(43)【公開日】2024-07-09
(54)【発明の名称】異常フレーム判定装置、異常フレーム判定方法、及び異常フレーム判定プログラム
(51)【国際特許分類】
H04L 43/0876 20220101AFI20240702BHJP
H04L 12/28 20060101ALI20240702BHJP
【ＦＩ】
H04L43/0876
H04L12/28 100A
【審査請求】未請求
【請求項の数】18
【出願形態】ＯＬ
(21)【出願番号】P 2022209408
(22)【出願日】2022-12-27
(71)【出願人】
【識別番号】000004260
【氏名又は名称】株式会社デンソー
(74)【代理人】
【識別番号】230120499
【弁護士】
【氏名又は名称】藤江 和典
(74)【代理人】
【識別番号】100201385
【弁理士】
【氏名又は名称】中安 桂子
(72)【発明者】
【氏名】竹内 錬磨
(72)【発明者】
【氏名】川上 達郎
(72)【発明者】
【氏名】福島 理天
【テーマコード（参考）】
5K033
【Ｆターム（参考）】
5K033AA08
5K033BA06
5K033EA06
(57)【要約】
【課題】
複数のデータフレームのうちいずれのデータフレームが異常フレームであるかを判定する装置等を提供する。
【解決手段】
データフレームを所定の周期で送信するＥＣＵに接続された異常フレーム判定装置は、ＥＣＵから送信されたと推定される第１のデータフレームを受信する受信部１０１と、第１のデータフレームと、第１のデータフレームの直前に受信部が受信した第２のデータフレームとの受信間隔を算出する受信間隔算出部１０４と、異常フレームの検出に使用する判定値を保存する保存部１０６と、受信間隔が閾値よりも短い場合に判定値に所定の値を加算する判定値更新部１０７と、判定値が限界値に達した場合であって、受信間隔が、第１のデータフレームと第２のデータフレームとが近接して受信されたか否かの基準となる近接受信間隔よりも長い場合に、第２のデータフレームが異常フレームであると判定する、異常フレーム判定部１１０と、を備える。
【選択図】図２
複数のデータフレームのうちいずれのデータフレームが異常フレームであるかを判定する装置等を提供する。
【解決手段】
データフレームを所定の周期で送信するＥＣＵに接続された異常フレーム判定装置は、ＥＣＵから送信されたと推定される第１のデータフレームを受信する受信部１０１と、第１のデータフレームと、第１のデータフレームの直前に受信部が受信した第２のデータフレームとの受信間隔を算出する受信間隔算出部１０４と、異常フレームの検出に使用する判定値を保存する保存部１０６と、受信間隔が閾値よりも短い場合に判定値に所定の値を加算する判定値更新部１０７と、判定値が限界値に達した場合であって、受信間隔が、第１のデータフレームと第２のデータフレームとが近接して受信されたか否かの基準となる近接受信間隔よりも長い場合に、第２のデータフレームが異常フレームであると判定する、異常フレーム判定部１１０と、を備える。
【選択図】図２
【特許請求の範囲】
【請求項1】
データフレームを所定の周期で送信する電子制御装置（２０）に接続された異常フレーム判定装置であって、
前記電子制御装置から送信されたと推定される第１のデータフレームを受信する受信部（１０１）と、
前記第１のデータフレームと、前記第１のデータフレームの直前に前記受信部が受信した第２のデータフレームとの受信間隔を算出する受信間隔算出部（１０４）と、
異常フレームの検出に使用する判定値を保存する保存部（１０６）と、
前記受信間隔が閾値よりも短い場合に前記判定値に所定の値を加算する、判定値更新部（１０７）と、
前記判定値が限界値に達した場合であって、前記受信間隔が、前記第１のデータフレームと前記第２のデータフレームとが近接して受信されたか否かの基準となる近接受信間隔よりも長い場合に、前記第２のデータフレームが前記異常フレームであると判定する、異常フレーム判定部（１１０）と、
を備える、異常フレーム判定装置（１０）。
前記電子制御装置から送信されたと推定される第１のデータフレームを受信する受信部（１０１）と、
前記第１のデータフレームと、前記第１のデータフレームの直前に前記受信部が受信した第２のデータフレームとの受信間隔を算出する受信間隔算出部（１０４）と、
異常フレームの検出に使用する判定値を保存する保存部（１０６）と、
前記受信間隔が閾値よりも短い場合に前記判定値に所定の値を加算する、判定値更新部（１０７）と、
前記判定値が限界値に達した場合であって、前記受信間隔が、前記第１のデータフレームと前記第２のデータフレームとが近接して受信されたか否かの基準となる近接受信間隔よりも長い場合に、前記第２のデータフレームが前記異常フレームであると判定する、異常フレーム判定部（１１０）と、
を備える、異常フレーム判定装置（１０）。
【請求項2】
前記異常フレーム判定部はさらに、前記受信間隔が前記近接受信間隔以下の場合に、前記第１のデータフレーム又は前記第２のデータフレームの少なくとも一方が前記異常フレームであると判定する、
請求項１記載の異常フレーム判定装置。
請求項１記載の異常フレーム判定装置。
【請求項3】
前記異常フレーム判定部は、前記判定値が前記限界値に最初に達した場合であって、前記受信間隔が前記近接受信間隔よりも長い場合に、前記第２のデータフレームが前記異常フレームであると判定する、
請求項１記載の異常フレーム判定装置。
請求項１記載の異常フレーム判定装置。
【請求項4】
前記異常フレーム判定部は、前記判定値の初期値に前記所定の値が所定の回数加算されたことにより前記判定値が前記限界値に達した場合に、前記判定値が前記限界値に最初に達したと判定する、
請求項３記載の異常フレーム判定装置。
請求項３記載の異常フレーム判定装置。
【請求項5】
前記判定値更新部はさらに、前記受信間隔が前記閾値よりも長い場合に、前記判定値から前記所定の値を減算し、
前記異常フレーム判定部は、前記判定値から前記所定の値が減算された後に前記所定の値が所定の回数加算されたことにより前記判定値が前記限界値に達した場合に、前記判定値が前記限界値に最初に達したと判定する、
請求項３記載の異常フレーム判定装置。
前記異常フレーム判定部は、前記判定値から前記所定の値が減算された後に前記所定の値が所定の回数加算されたことにより前記判定値が前記限界値に達した場合に、前記判定値が前記限界値に最初に達したと判定する、
請求項３記載の異常フレーム判定装置。
【請求項6】
前記異常フレーム判定部は、前記限界値未満の前記判定値に前記所定の値が加算されたことにより前記判定値が前記限界値に達した場合であって、前記受信間隔が前記近接受信間隔よりも長い場合に、前記第２のデータフレームが前記異常フレームであると判定する、
請求項１記載の異常フレーム判定装置。
請求項１記載の異常フレーム判定装置。
【請求項7】
異常フレーム判定部は、前記限界値以上の前記判定値に前記所定の値がさらに加算された場合、前記第１のデータフレーム又は前記第２のデータフレームの少なくとも一方が前記異常フレームであると判定する、
請求項１記載の異常フレーム判定装置。
請求項１記載の異常フレーム判定装置。
【請求項8】
前記閾値は、前記所定の周期以下の値である、
請求項１記載の異常フレーム判定装置。
請求項１記載の異常フレーム判定装置。
【請求項9】
前記閾値は、前記電子制御装置から送信された前記データフレームである前記第１のデータフレームと前記第２のデータフレームとの前記受信間隔の最小値と等しい、
請求項８記載の異常フレーム判定装置。
請求項８記載の異常フレーム判定装置。
【請求項10】
前記所定の値は、前記受信間隔と前記閾値との差分であり、
前記限界値は、前記閾値の２倍から前記所定の周期を減じた値以下の値である、
請求項１記載の異常フレーム判定装置。
前記限界値は、前記閾値の２倍から前記所定の周期を減じた値以下の値である、
請求項１記載の異常フレーム判定装置。
【請求項11】
前記限界値は、前記閾値の２倍から、前記電子制御装置から送信された前記データフレームである前記第１のデータフレームと前記第２のデータフレームとの前記受信間隔の最大値を減じた値と等しい、
請求項１０記載の異常フレーム判定装置。
請求項１０記載の異常フレーム判定装置。
【請求項12】
前記判定値更新部はさらに、前記受信間隔が前記閾値よりも長い場合に、前記判定値から前記差分を減算し、
前記異常フレーム判定部は、前記差分が減算された後に前記差分が２回加算されたことにより前記判定値が前記限界値に達した場合であって、前記受信間隔が前記近接受信間隔よりも長い場合に、前記第２のデータフレームが前記異常フレームであると判定する、
請求項１０記載の異常フレーム判定装置。
前記異常フレーム判定部は、前記差分が減算された後に前記差分が２回加算されたことにより前記判定値が前記限界値に達した場合であって、前記受信間隔が前記近接受信間隔よりも長い場合に、前記第２のデータフレームが前記異常フレームであると判定する、
請求項１０記載の異常フレーム判定装置。
【請求項13】
前記所定の値は、前記受信間隔と前記閾値との差分であり、
前記近接受信間隔は、前記閾値から前記限界値を減じた値以下の値である、
請求項１記載の異常フレーム判定装置。
前記近接受信間隔は、前記閾値から前記限界値を減じた値以下の値である、
請求項１記載の異常フレーム判定装置。
【請求項14】
前記近接受信間隔は、前記電子制御装置から送信された前記データフレームである前記第１のデータフレームと前記第２のデータフレームとの前記受信間隔の最大値から、前記電子制御装置から送信された前記データフレームである前記第１のデータフレームと前記第２のデータフレームとの前記受信間隔の最小値を減じた値と等しい、
請求項１３記載の異常フレーム判定装置。
請求項１３記載の異常フレーム判定装置。
【請求項15】
前記所定の値は、前記受信間隔と前記閾値との差分に基づく値である、
請求項１記載の異常フレーム判定装置。
請求項１記載の異常フレーム判定装置。
【請求項16】
前記判定値の最大値は、前記限界値と等しい、
請求項１記載の異常フレーム判定装置。
請求項１記載の異常フレーム判定装置。
【請求項17】
データフレームを所定の周期で送信する電子制御装置（２０）に接続された異常フレーム判定装置（１０）で実行される異常フレーム判定方法であって、
前記電子制御装置から送信されたと推定される第１のデータフレームを受信し（Ｓ１０１）、
前記第１のデータフレームと、前記第１のデータフレームの直前に受信した第２のデータフレームとの受信間隔を算出し（Ｓ１０３）、
前記受信間隔が閾値よりも短い場合に、保存部に保存され、異常フレームの検出に使用する判定値に所定の値を加算し（Ｓ１０５）、
前記判定値が限界値に達した場合であって、前記受信間隔が、前記第１のデータフレームと前記第２のデータフレームとが近接して受信されたか否かの基準となる近接受信間隔よりも長い場合に、前記第２のデータフレームが前記異常フレームであると判定する（Ｓ１０９）、
異常フレーム判定方法。
前記電子制御装置から送信されたと推定される第１のデータフレームを受信し（Ｓ１０１）、
前記第１のデータフレームと、前記第１のデータフレームの直前に受信した第２のデータフレームとの受信間隔を算出し（Ｓ１０３）、
前記受信間隔が閾値よりも短い場合に、保存部に保存され、異常フレームの検出に使用する判定値に所定の値を加算し（Ｓ１０５）、
前記判定値が限界値に達した場合であって、前記受信間隔が、前記第１のデータフレームと前記第２のデータフレームとが近接して受信されたか否かの基準となる近接受信間隔よりも長い場合に、前記第２のデータフレームが前記異常フレームであると判定する（Ｓ１０９）、
異常フレーム判定方法。
【請求項18】
データフレームを所定の周期で送信する電子制御装置（２０）に接続された異常フレーム判定装置（１０）で実行可能な異常フレーム判定プログラムであって、
前記電子制御装置から送信されたと推定される第１のデータフレームを受信し（Ｓ１０１）、
前記第１のデータフレームと、前記第１のデータフレームの直前に受信した第２のデータフレームとの受信間隔を算出し（Ｓ１０３）、
前記受信間隔が閾値よりも短い場合に、保存部に保存され、異常フレームの検出に使用する判定値に所定の値を加算し（Ｓ１０５）、
前記判定値が限界値に達した場合であって、前記受信間隔が、前記第１のデータフレームと前記第２のデータフレームとが近接して受信されたか否かの基準となる近接受信間隔よりも長い場合に、前記第２のデータフレームが前記異常フレームであると判定する（Ｓ１０９）、
異常フレーム判定プログラム。
前記電子制御装置から送信されたと推定される第１のデータフレームを受信し（Ｓ１０１）、
前記第１のデータフレームと、前記第１のデータフレームの直前に受信した第２のデータフレームとの受信間隔を算出し（Ｓ１０３）、
前記受信間隔が閾値よりも短い場合に、保存部に保存され、異常フレームの検出に使用する判定値に所定の値を加算し（Ｓ１０５）、
前記判定値が限界値に達した場合であって、前記受信間隔が、前記第１のデータフレームと前記第２のデータフレームとが近接して受信されたか否かの基準となる近接受信間隔よりも長い場合に、前記第２のデータフレームが前記異常フレームであると判定する（Ｓ１０９）、
異常フレーム判定プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、電子制御装置から送信されるデータフレームの中から異常なデータフレームを判定する装置、並びに当該装置で実行される方法及びプログラムに関する。
【背景技術】
【0002】
従来より、自動車には様々な種類の電子制御装置が搭載されており、これらの電子制御装置を通信ネットワークで互いに接続することにより、車載システムを構成している。このような車載システムでは、外部からの不審なアクセスやデータがないかを検出するために、ネットワーク侵入検知システム（ＮＩＤＳ：Network-based Intrusion Detection System）が用いられることが知られている。
【0003】
例えば、特許文献１は、通信システムにて通信されているメッセージの正／不正を簡易な構成で判定することのできる通信システムを開示している。この通信システムでは、複数のＥＣＵがメッセージを通信可能にするために通信用バスに接続されている。各ＥＣＵには、規定の通信間隔が設定されており、メッセージを送信するＥＣＵは、この規定の通信間隔に基づいてメッセージを送信する。そして、受信したメッセージの通信間隔が規定の通信間隔よりも短い場合には、メッセージが正常ではないと判定する。
【0004】
特許文献２は、電子制御ユニット間で送受信するメッセージを中継する中継接続ユニットが開示されている。この中継接続ユニットでは、予め規定した設定時間内に受信したメッセージの受信回数をカウントし、受信回数が設定回数を超えた場合にはメッセージが正常ではないと判定する。
【先行技術文献】
【特許文献】
【0005】
【特許文献1】国際公開第２０１３／０９４０７２号
【特許文献2】特開２００９－２５３５５７号公報
【発明の概要】
【発明が解決しようとする課題】
【0006】
特許文献１に記載されているメッセージの通信間隔は、受信されたメッセージに付与されるタイムスタンプが示す時刻を利用して算出することができる。しかしながら、タイムスタンプの時間分解能によっては、実際の時刻と付与されたタイムスタンプが示す時刻にずれが生じることがある。そのため、このような時刻のずれによって、メッセージの正／不正が誤って判定されることが起こりうる。また、特許文献２に記載されている手法によれば、タイムスタンプの時間分解能による誤判定の可能性は低くなるが、設定時間内に受信した全てのメッセージの受信時刻を一時的に保存しておく必要があるため、メモリの消費量が増大するおそれがある。さらに、特許文献２に記載されている手法では、受信回数がカウントされたメッセージのうち、いずれのメッセージが正常ではないメッセージであるかを特定することはできない。
【0007】
そこで、本発明の目的は、受信したデータフレームに不正なデータフレームがあるかどうかを判定するとともに、受信したデータフレームのいずれが不正なデータフレームであるかを判定することにある。
【課題を解決するための手段】
【0008】
本開示の一態様による異常フレーム判定装置（１０）は、データフレームを所定の周期で送信する電子制御装置（２０）に接続された異常フレーム判定装置であって、前記電子制御装置から送信されたと推定される第１のデータフレームを受信する受信部（１０１）と、前記第１のデータフレームと、前記第１のデータフレームの直前に前記受信部が受信した第２のデータフレームとの受信間隔を算出する受信間隔算出部（１０４）と、異常フレームの検出に使用する判定値を保存する保存部（１０６）と、前記受信間隔が閾値よりも短い場合に前記判定値に所定の値を加算する、判定値更新部（１０７）と、前記判定値が限界値に達した場合であって、前記受信間隔が、前記第１のデータフレームと前記第２のデータフレームとが近接して受信されたか否かの基準となる近接受信間隔よりも長い場合に、前記第２のデータフレームが前記異常フレームであると判定する、異常フレーム判定部（１１０）と、を備える。
【発明の効果】
【0009】
上述のような構成により、本開示の異常フレーム判定装置は、受信したデータフレームに不正なデータフレームが含まれることを高い精度で判定できることに加えて、受信したデータフレームのうちいずれのデータフレームが異常なデータフレームであるかを判定することができる。
【図面の簡単な説明】
【0010】
【図1】実施形態１又は２のログ判定装置を有する車載システムを説明する図
【図2】実施形態１又は２のログ判定装置の構成例を示す図
【図3】実施形態１又は２のタイムスタンプ付与部によって付与されるタイムスタンプを説明する図
【図4】実施形態１のデータフレームの受信間隔及び判定値を説明する図
【図5】実施形態１のデータフレームの受信間隔及び判定値を説明する図
【図6】実施形態１のデータフレームの受信間隔及び判定値を説明する図
【図7】実施形態１のデータフレームの受信間隔及び判定値を説明する図
【図8】実施形態１の異常フレーム判定装置の動作を説明する図
【図9】実施形態１の異常フレーム判定装置の動作を説明する図
【図10】実施形態２の異常フレーム判定装置の動作を説明する図
【図11】実施形態２の異常フレーム判定装置の動作を説明する図
【発明を実施するための形態】
【0011】
以下、本発明の実施形態について、図面を参照して説明する。
【0012】
なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。
【0013】
特許請求の範囲の従属項に記載の構成及び方法は、特許請求の範囲の独立項に記載の発明において任意の構成及び方法である。従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明において任意の構成及び方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明において任意の構成及び方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。
【0014】
実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。
【0015】
複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせてもよい。また、複数の実施形態それぞれに開示の構成を集めて組み合わせてもよい。
【0016】
発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成及び方法と共に発明の進歩性を肯定する事実である。
【0017】
１．各実施形態に共通する構成
（１）車載システム１
図１は、異常フレーム判定装置１０、複数の電子制御装置２０（以下、ＥＣＵ（Electric Control Unitlectric））、及びこれらの装置を互いに接続する通信ネットワーク２から構成された車載システム１を示している。以下に示す各実施形態では、ゲートウェイとして構成された電子制御装置が異常フレーム判定装置１０としての機能を有し、ＥＣＵ２０から送信されたデータフレームを受信して、後述する一連の異常フレームの判定処理を行う構成を説明している。しかしながら、本実施形態の異常フレーム判定装置１０はゲートウェイの電子制御装置に限定されるものではない。例えば、本実施形態の異常フレーム判定装置１０は、異常フレーム判定専用の電子制御装置として車載システム１に設けられていてもよく、あるいは、車載システム１を構成する各ＥＣＵ２０が異常フレーム判定装置１０としての機能を有するものであってもよい。
（１）車載システム１
図１は、異常フレーム判定装置１０、複数の電子制御装置２０（以下、ＥＣＵ（Electric Control Unitlectric））、及びこれらの装置を互いに接続する通信ネットワーク２から構成された車載システム１を示している。以下に示す各実施形態では、ゲートウェイとして構成された電子制御装置が異常フレーム判定装置１０としての機能を有し、ＥＣＵ２０から送信されたデータフレームを受信して、後述する一連の異常フレームの判定処理を行う構成を説明している。しかしながら、本実施形態の異常フレーム判定装置１０はゲートウェイの電子制御装置に限定されるものではない。例えば、本実施形態の異常フレーム判定装置１０は、異常フレーム判定専用の電子制御装置として車載システム１に設けられていてもよく、あるいは、車載システム１を構成する各ＥＣＵ２０が異常フレーム判定装置１０としての機能を有するものであってもよい。
【0018】
通信ネットワーク２には、例えば、ＣＡＮ（Controller Area Network）、ＬＩＮ（Local Interconnect Network）といった通信方式の他、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等、任意の通信方式を用いることができるが、以下の例ではＣＡＮを用いる例を説明する。
【0019】
ＥＣＵ２０は、異常フレーム判定装置１０に、データフレームを周期的に、すなわち、所定の周期で送信する「電子制御装置」である。ＥＣＵ２０が所定の周期で送信するデータフレームには、車両に搭載されたセンサ等によって検出された様々なデータや車両を制御する制御値等が含まれている。
【0020】
ここで、「電子制御装置」とは、物理的に独立した電子制御装置の他、仮想化技術を用いて実現した仮想化電子制御装置であってもよい。
【0021】
なお、各実施形態では、異常フレーム判定装置１０及びＥＣＵ２０が車両に搭載された車載システム１を構成する装置である例を挙げて説明している。しかしながら、異常フレーム判定装置１０は車両に搭載される装置に限定されるものではなく、任意のシステムに適用することができる。
【0022】
（２）異常フレーム判定装置１０の構成
図２を用いて、異常フレーム判定装置１０の構成を説明する。異常フレーム判定装置１０は、受信部１０１、タイマ１０２、タイムスタンプ付与部１０３、受信間隔算出部１０４、データベース１０５、保存部１０６、判定値更新部１０７、および判定部１０８を備えている。判定部１０８は、異常有無判定部１０９及び異常フレーム判定部１１０を実現する。
図２を用いて、異常フレーム判定装置１０の構成を説明する。異常フレーム判定装置１０は、受信部１０１、タイマ１０２、タイムスタンプ付与部１０３、受信間隔算出部１０４、データベース１０５、保存部１０６、判定値更新部１０７、および判定部１０８を備えている。判定部１０８は、異常有無判定部１０９及び異常フレーム判定部１１０を実現する。
【0023】
受信部１０１は、ＥＣＵ２０から送信されたと推定されるデータフレーム（「第１のデータフレーム」に相当）をＣＡＮを介して受信する。受信部１０１が受信するデータフレームは原則としてＥＣＵ２０から送信されたデータフレームである。しかしながら、外部の攻撃者が、ＥＣＵ２０が送信元であるように偽装したデータフレームを不正アクセスによって挿入した場合、受信部１０１は、不正なデータフレームをＥＣＵ２０から送信されたデータフレームと誤認して受信する。つまり、受信部１０１は、ＥＣＵ２０から実際に送信されたデータフレームだけでなく、ＥＣＵ２０から送信されたと誤認されるデータフレームも受信する。
【0024】
タイマ１０２は、異常フレーム判定装置１０の時計である。タイマ１０２の構成は任意であり、例えば、異常フレーム判定装置１０の起動と同時に内部クロックをカウントするフリーランカウンタ、または内部クロックを分周してカウントとする分周カウンタから構成されてもよく、あるいは、ＧＰＳが取得した絶対時刻を参照するタイマであってもよい。
【0025】
タイムスタンプ付与部１０３は、タイマ１０２の時刻に基づいて、受信部１０１がデータフレームを受信した時刻を示すタイムスタンプをデータフレームに付与する。タイムスタンプ付与部１０３は、受信部１０１が受信したデータフレームを予め設定された周期でサンプリングしてタイムスタンプを付与する。そのため、データフレームに付与されるタイムスタンプ時刻と受信部１０１がデータフレームを実際に受信した時刻は、厳密には異なることがある。
【0026】
図３を参照して、タイムスタンプ付与部１０３によって付与されるタイムスタンプ、及びデータフレームの受信間隔を説明する。図３（ａ）は、受信部１０１が実際にデータフレームを受信した時刻におけるデータフレームＦ１～Ｆ４を示している。この例では、受信部１０１はデータフレームを約１０ｍｓの受信間隔で受信している。図３（ｂ）、図３（ｃ）は、図３（ａ）の各データフレームを２．５ｍｓ及び５ｍｓの周期でサンプリングした場合に付与されるタイムスタンプの時刻におけるデータフレームＦ１～Ｆ４をそれぞれ示している。図３（ａ）と、図３（ｂ）及び図３（ｃ）との比較から明らかなとおり、データフレームの実際の受信時刻とデータフレームに付与される時刻との間にずれが生じており、このずれはサンプリング周期が長くなるほど顕著になる。
【0027】
例えば、データフレームＦ１とＦ２の受信間隔は実際は約１０ｍｓであるにもかかわらず、図３（ｂ）に示すタイムスタンプ時刻に基づく受信間隔は７．５ｍｓである。また、図３（ｃ）に示すタイムスタンプ時刻に基づく受信間隔は５ｍｓである。このように、図３（ｂ）及び図３（ｃ）に示すデータフレームＦ１とＦ２の受信間隔は、ＥＣＵ２０が実際にデータフレームを送信した送信間隔よりも短い。そのため、２つのデータフレームの受信間隔のみに基づいてデータフレームが異常であるかどうかを判定すると、データフレームＦ１又はデータフレームＦ２が正常ではないデータフレーム（以下、異常フレームと称する）であると判定される可能性がある。
【0028】
また、データフレームＦ３とＦ４の受信間隔は実際は約１０ｍｓであるにもかかわらず、図３（ｂ）に示すタイムスタンプ時刻に基づく受信間隔は１２．５ｍｓである。また、図３（ｃ）に示すタイムスタンプ時刻に基づく受信間隔は１５ｍｓである。このように、図３（ｂ）及び図３（ｃ）に示すデータフレームＦ３とＦ４の受信間隔は、ＥＣＵ２０が実際にデータフレームを送信した送信間隔よりも長い。
【0029】
受信間隔算出部１０４は、データフレームに付与されたタイムスタンプの時刻に基づいて、受信部１０１が受信したデータフレーム（「第１のデータフレーム」に対応）と、当該データフレームの直前に受信部１０１が受信したデータフレーム（「第２のデータフレーム」に対応）との受信間隔Ｐを算出する。
【0030】
上述したとおり、ＥＣＵ２０は所定の周期でデータフレームを送信する。そのため、異常フレーム判定装置１０の受信部１０１が受信するデータフレームの受信間隔は、原則、ＥＣＵ２０の送信間隔と等しくなる。しかしながら、不正アクセスによって挿入された異常フレームを受信した場合、データフレームの受信間隔は送信間隔よりも短くなる。また、図３に示すように、タイムスタンプ時刻と実際の受信時刻とにずれが生じることによって、あるいは、通信ネットワーク２が混雑していることでデータフレームが遅れることによって、データフレームの受信間隔が送信間隔よりも短く又は長くなることがある。
【0031】
データベース１０５は、受信部１０１が受信するデータフレームの受信間隔の閾値ＰＴを保存する。データベース１０５はさらに、後述する異常有無判定部１０９が受信部１０１が受信したデータフレームに異常フレームがあるか否かを判定する基準、すなわち、異常フレームを検出する基準となる判定値Ｃの限界値ＣＬを保存する。データベース１０５は、ＲＯＭ、フラッシュメモリ、又はハードディスク等の不揮発性メモリを想定している。なお、受信部１０１が異なる識別情報（例えば、ＥＣＵ－ＩＤ、ＣＡＮ－ＩＤなど）や異なるデータ種別を有する複数の種類のデータフレームを受信する場合には、データベース１０５には、データフレームの種類毎の受信間隔の閾値及び限界値が保存される。そして、後述する判定部１０８は、同じ識別情報やデータ種別を有するデータフレームについて、異常フレームの有無、及び、いずれのデータフレームが異常フレームであるかを判定する。
【0032】
本実施形態の閾値及び限界値は固定値であることを想定している。この場合、閾値及び限界値は例えば、異常フレーム判定装置１０の製造工場や車載システム１が搭載された車両を販売するディーラにおいてデータベース１０５に保存される。しかしながら、閾値及び限界値は、各種のパラメータによって動的に変化する可変値であってもよい。例えば、通信ネットワーク２が混雑している場合、データフレームが遅延して受信される可能性が高い。そこで、通信ネットワーク２の負荷が高い場合には、受信間隔の閾値や限界値が通常時と比較して大きくなるように値が自動的に設定されてもよい。データベース１０５に保存される閾値ＰＴ、限界値ＣＬについては後述する。
【0033】
保存部１０６は、異常フレームの検出に使用する判定値Ｃを保存する。保存部１０６に保存される判定値は、後述する判定値更新部１０７によって適宜更新される。保存部１０６はＲＡＭ等の揮発性メモリを想定しており、異常フレーム判定装置１０の電源がＯＦＦになると判定値のデータは消去される。この場合、電源が再びＯＮになると、判定値は予め設定された初期値（ＣIni）にリセットされる。ただし、保存部１０６は、ハードディスク（ＨＤＤ）やフラッシュメモリ等であってもよい。
【0034】
保存部１０６はさらに、判定値更新部１０７によって更新される前の判定値の値を保存してもよい。例えば、保存部１０６は、更新される前の判定値の値を少なくとも２つ、すなわち、判定値更新部１０７によって更新される直前の判定値Ｃ１と、判定値Ｃ１に更新される前の判定値Ｃ２を保存してもよい。これらの判定値（Ｃ、Ｃ１、Ｃ２）は、判定値更新部１０７が更新を行う度に変化する。判定値が新たに更新されると、それまで判定値Ｃとして保存されていた値は判定値Ｃ１となり、判定値Ｃ１として保存されていた値は判定値Ｃ２となる。
【0035】
判定値更新部１０７は、受信間隔算出部１０４が算出した受信間隔Ｐと、データベース１０５に保存されている閾値ＰＴとを比較する。そして、比較結果に応じて、保存部１０６に保存されている判定値を更新する。具体的には、判定値更新部１０７は、受信間隔が閾値「より」も短い場合に、判定値に「所定の」値を「加算」して判定値を更新する。判定更新部１０７はさらに、受信間隔が閾値「より」も長い場合に、判定値から「所定の」値を「減算」して判定値を更新する。更新された判定値は、保存部１０６に上書きして保存される。
【0036】
ここで、「より」とは、比較対象と同じ値を含む場合および含まない場合の両方が含まれる。
「所定の」とは、常に一定の場合の他、条件に応じて一意に定まる場合も含む。
「加算」する、とは、正の値を加える演算はもちろん、負の値を加える演算をも含む。また、「加算」する、とは、所定の値を加える演算が行われていれば足り、例えば、判定値の最大値又は最小値に達していることによって、演算前後の値は変化していなくともよい。
「減算」する、とは、正の値を減ずる演算はもちろん、負の値を減ずる演算をも含む。また、「減算」する、とは、所定の値を減ずる演算が行われていれば足り、例えば、判定値の最大値又は最小値に達していることによって、演算前後の値は必ずしも変化していなくともよい。
「所定の」とは、常に一定の場合の他、条件に応じて一意に定まる場合も含む。
「加算」する、とは、正の値を加える演算はもちろん、負の値を加える演算をも含む。また、「加算」する、とは、所定の値を加える演算が行われていれば足り、例えば、判定値の最大値又は最小値に達していることによって、演算前後の値は変化していなくともよい。
「減算」する、とは、正の値を減ずる演算はもちろん、負の値を減ずる演算をも含む。また、「減算」する、とは、所定の値を減ずる演算が行われていれば足り、例えば、判定値の最大値又は最小値に達していることによって、演算前後の値は必ずしも変化していなくともよい。
【0037】
所定の値とは、例えば、受信間隔算出部１０４が算出したデータフレームの受信間隔と、受信間隔の閾値との「差分」に基づいて算出される値である。一例として、受信間隔と閾値との「差分」そのものを所定の値としてもよい。具体的には、受信間隔が閾値よりも短い場合には、判定値更新部１０７は、保存部１０６に保存されている判定値に、所定の値としてデータフレームの受信間隔と閾値との差分（すなわち、ＰＴ－Ｐ）を加算して判定値を更新する。また、受信間隔が閾値よりも長い場合には、判定値更新部１０７は、判定値に、所定の値としてデータフレームの受信間隔と閾値との差分（すなわち、Ｐ－ＰＴ）を減算して判定値を更新する。この場合、判定値は、受信間隔と閾値との差分の合計値であるといえる。以下の実施形態は、所定の値が受信間隔と閾値との差分である場合を例に挙げて説明する。
【0038】
ここで、本発明の「差分」とは、減算が含まれていれば足り、単純差（ｙ－ｘ）のみならず、二乗差(ｙ２－ｘ２)、差の平方根(（ｙ－ｘ）１／２）、重みづけ差（ｂｙ－ａｘ：ａ、ｂは定数）なども含む。
【0039】
判定値は、受信間隔と閾値との差分そのものの合計値でなくともよく、差分の大きさに予め対応付けられた数値の合計値であってもよい。例えば、データフレームの受信間隔と閾値との差分が予め複数の範囲に分類され、データベース１０５には、受信間隔と閾値との差分の範囲と、各範囲に対応する数値とがテーブルに保存されている。そして、受信間隔と閾値との差分が特定の差分範囲内にある場合には、当該範囲に対応する数値を所定の値として加算又は減算することで、判定値を更新する。
【0040】
他の例では、判定値は、データフレームの受信間隔が閾値よりも短い回数を示す値である。例えば、判定値更新部１０７は、受信間隔が閾値よりも短い場合には、保存部１０６に保存されている判定値に所定の値として“１”を加算し、受信間隔が閾値よりも長い場合には、判定値から所定の値として“１”を減算する。なお、判定値に加算する所定の値は必ずしも“１”でなくともよく、その他の任意の数値に設定してもよい。
【0041】
判定値には、予め最小値及び最大値が設定されていてもよい。この場合、判定値が最小値の状態で、受信間隔が閾値よりも長い場合には、判定値更新部１０７は、減算処理後の判定値を最小値に差し替える、あるいは、減算処理を行わなくてもよい。同様に、判定値が最大値に達した後に、受信間隔が閾値よりも短い場合には、判定値更新部１０７は、加算処理後の判定値を最大値に差し替える、あるいは、加算処理を行わなくともよい。ただし、後述するように、異常フレーム判定部１１０が加算及び減算した順序に基づいて、判定値が限界値に最初に達したか否かを判定する場合には、減算処理又は加算処理が実際には実行されない場合であっても、判定値更新部１０７は、受信間隔が閾値よりも長い場合には減算処理を、受信間隔が閾値よりも短い場合には加算処理を行ったとみなす。一例として、判定値の最大値は、判定値の限界値ＣＬと等しくともよい。また、一例として、判定値の最小値はゼロ（０）に設定されてもよい。この場合、判定値は必ず正の値となる。また、判定値の最小値は、判定値の初期値ＣIniと等しくともよい。
【0042】
判定部１０８の異常有無判定部１０９は、判定値更新部１０７によって更新された判定値Ｃと、データベース１０５に保存されている限界値ＣＬとを比較する。そして、判定値Ｃが限界値ＣＬに達したと判定した場合、すなわち、判定値Ｃが限界値ＣＬ以上であると判定した場合（Ｃ≧ＣＬ）、受信部１０１において受信したデータフレームに異常フレームがあると判定する。なお、判定値の最大値と限界値が等しい場合、判定値は限界値よりも大きい値にならないため、判定値Ｃが限界値ＣＬと等しい場合（Ｃ＝ＣＬ）に、異常有無判定部１０９は異常フレームがあると判定する。
【0043】
判定部１０８の異常フレーム判定部１１０は、異常有無判定部１０９が異常フレームがあると判定した場合に、受信部１０１が受信したデータフレームのうちいずれが異常フレームであるかを判定する。異常フレーム判定部１１０による判定方法については各実施形態で後述する。
【0044】
なお、異常フレーム判定部１１０が特定のデータフレームを異常フレームであると判定した場合、異常フレーム判定部１１０はさらに、異常フレームであると判定したデータフレームを破棄してもよい。あるいは、異常フレームであることを示す情報をデータフレームに付与してもよい。
【0045】
（３）各種パラメータの設定
次に、各実施形態で使用されるパラメータの設定について説明する。
（ａ）閾値（ＰＴ）
受信間隔の閾値ＰＴは、ＥＣＵ２０がデータフレームを送信する所定の周期Ｔ以下の値に設定する（すなわち、閾値ＰＴ≦所定の周期Ｔ）。２つのデータフレームの受信間隔が所定の周期Ｔ以下の場合には、いずれかのデータフレームが不正に挿入された異常フレームである可能性があるためである。しかしながら、上述したように、ＥＣＵ２０から送信されたデータフレームの受信時刻は、タイムスタンプ時刻と実際の受信時刻とのずれや通信ネットワーク２の混雑によってずれる可能性がある。そのため、２つの正常なデータフレームの受信間隔が所定の周期Ｔ以下となることも起こりうる。そこで、より好適には、受信間隔の閾値ＰＴは、ＥＣＵ２０から送信された正常な２つのデータフレームの受信間隔の最小値ＰMinと等しい値に設定する（すなわち、閾値ＰＴ＝受信間隔の最小値ＰMin）。閾値を受信間隔の最小値と等しい値に設定することにより、受信部１０１が異常フレームを受信せず、ＥＣＵ２０から送信された正常なデータフレームのみを受信している場合、２つのデータフレームの受信間隔は必ず閾値ＰＴよりも長くなる。
次に、各実施形態で使用されるパラメータの設定について説明する。
（ａ）閾値（ＰＴ）
受信間隔の閾値ＰＴは、ＥＣＵ２０がデータフレームを送信する所定の周期Ｔ以下の値に設定する（すなわち、閾値ＰＴ≦所定の周期Ｔ）。２つのデータフレームの受信間隔が所定の周期Ｔ以下の場合には、いずれかのデータフレームが不正に挿入された異常フレームである可能性があるためである。しかしながら、上述したように、ＥＣＵ２０から送信されたデータフレームの受信時刻は、タイムスタンプ時刻と実際の受信時刻とのずれや通信ネットワーク２の混雑によってずれる可能性がある。そのため、２つの正常なデータフレームの受信間隔が所定の周期Ｔ以下となることも起こりうる。そこで、より好適には、受信間隔の閾値ＰＴは、ＥＣＵ２０から送信された正常な２つのデータフレームの受信間隔の最小値ＰMinと等しい値に設定する（すなわち、閾値ＰＴ＝受信間隔の最小値ＰMin）。閾値を受信間隔の最小値と等しい値に設定することにより、受信部１０１が異常フレームを受信せず、ＥＣＵ２０から送信された正常なデータフレームのみを受信している場合、２つのデータフレームの受信間隔は必ず閾値ＰＴよりも長くなる。
【0046】
受信間隔の最小値ＰMinは、例えば、実際に車載システム１に搭載されたＥＣＵ２０を用いて所定の周期Ｔでデータフレームを送信した場合に計測された受信間隔の最小値を最小値ＰMinに設定してもよい。別の例では、ＥＣＵ２０がデータフレームを送信する所定の周期Ｔの９０％や８０％の値を最小値ＰMinとして設定してもよい。
【0047】
（ｂ）限界値（ＣＬ）
判定値の限界値ＣＬは、ＥＣＵ２０から送信された２つの正常なデータフレームの間に不正なデータフレームが挿入された場合に、後の正常なデータフレームの受信時に判定値が限界値に達するような値に設定されることが望ましい。例えば、限界値は、閾値ＰＴの２倍から所定のＴを減じた値以下の値に設定する（すなわち、限界値ＣＬ≦２×閾値ＰＴ－所定の周期Ｔ）。
判定値の限界値ＣＬは、ＥＣＵ２０から送信された２つの正常なデータフレームの間に不正なデータフレームが挿入された場合に、後の正常なデータフレームの受信時に判定値が限界値に達するような値に設定されることが望ましい。例えば、限界値は、閾値ＰＴの２倍から所定のＴを減じた値以下の値に設定する（すなわち、限界値ＣＬ≦２×閾値ＰＴ－所定の周期Ｔ）。
【0048】
図４は、２つの正常なデータフレームＦ１、Ｆ３の間に異常フレームＦ２が挿入された場合の一例を説明する図である。図４（ａ）は、データフレームに付与されたタイムスタンプの時刻、及びタイムスタンプの時刻に基づく受信間隔を示している。データフレームＦ１～Ｆ３を受信した時刻はそれぞれ、ｔ、ｔ＋ｘ、ｔ＋Ｔである。つまり、この例では、正常なデータフレームＦ１、Ｆ３の受信間隔は、ＥＣＵ２０が送信した所定の周期Ｔと等しい。また、図４（ｂ）は、データフレームＦ１～Ｆ３の受信間隔に応じて変化する判定値を示している。また、データフレームＦ１を受信した時点での判定値Ｃは、判定値の初期値ＣIniであり、この例では０である。
【0049】
図４に示すとおり、データフレームＦ１、Ｆ２の受信間隔Ｐ１は閾値ＰＴよりも短いため、判定値更新部１０７は、データフレームＦ１、Ｆ２の受信間隔Ｐ１と閾値ＰＴとの差分（ＰＴ－Ｐ１）を判定値Ｃに加算する。ここで、データフレームＦ１、Ｆ２の受信時刻はそれぞれｔ、ｔ＋ｘであるため、受信間隔Ｐ１は、（ｔ＋ｘ）－ｘ、すなわちｘである。したがって、差分（ＰＴ－ｘ）が判定値Ｃに加算される。また、データフレームＦ２、Ｆ３の受信間隔Ｐ２は閾値ＰＴよりも短いため、判定値更新部１０７は、データフレームＦ２、Ｆ３の受信間隔Ｐ２と閾値ＰＴとの差分（ＰＴ－Ｐ２）を判定値Ｃに加算する。ここで、データフレームＦ２、Ｆ３の受信時刻はそれぞれｔ＋ｘ、ｔ＋Ｔであるため、受信間隔Ｐ２は、（ｔ＋Ｔ）－（ｔ＋ｘ）、すなわちＴ－ｘである。したがって、差分ＰＴ－Ｔ－ｘ）が判定値Ｃに加算される。
【0050】
図４の例では、データフレームＦ３の受信後に判定値Ｃは限界値ＣＬに達する。したがって、以下の式が成立する。
ＣＬ≦（ＰＴ－ｘ）＋（ＰＴ－（Ｔ－ｘ））
ＣＬ≦２ＰＴ－Ｔ
以上の式に示すとおり、限界値ＣＬは閾値ＰＴの２倍から所定のＴを減じた値以下の値に設定される。
ＣＬ≦（ＰＴ－ｘ）＋（ＰＴ－（Ｔ－ｘ））
ＣＬ≦２ＰＴ－Ｔ
以上の式に示すとおり、限界値ＣＬは閾値ＰＴの２倍から所定のＴを減じた値以下の値に設定される。
【0051】
なお、図４は、正常なデータフレームＦ１、Ｆ３の受信間隔が所定の周期Ｔである場合を例に挙げて説明した。しかしながら、タイムスタンプ時刻と実際の受信時刻とのずれや通信ネットワーク２の混雑による遅延によって、正常なデータフレームＦ１、Ｆ３の受信間隔が所定の周期Ｔよりも長くなった場合、上述した限界値の設定では、データフレームＦ３の受信後に判定値Ｃが限界値ＣＬに達しないことが起こりうる。
【0052】
そこで、より好適には、限界値ＣＬは、閾値の２倍から、ＥＣＵ２０から送信された正常な２つのデータフレームの受信間隔の最大値ＰMaxを減じた値と等しい値に設定する（すなわち、限界値ＣＬ＝２×閾値ＰＴ－受信間隔の最大値ＰMax）。このように限界値を設定することにより、ＥＣＵ２０から送信された２つの正常なデータフレームの間に不正なデータフレームが挿入された場合に、後の正常なデータフレームの受信時に必ず判定値が限界値に達することになる。
【0053】
受信間隔の最大値ＰMaxは、例えば、実際に車載システム１に搭載されたＥＣＵ２０を用いて所定の周期Ｔでデータフレームを送信した場合に計測された受信間隔の最大値を最大値ＰMaxに設定してもよい。別の例では、ＥＣＵ２０がデータフレームを送信する所定の周期Ｔの１１０％や１２０％の値を最大値ＰMaxとして設定してもよい。
【0054】
なお、上述した限界値は、受信間隔と閾値との差分を所定の値とする場合に使用される設定の一例にすぎず、この例に限定されるものではない。例えば、受信間隔と閾値との差分の大きさに対応付けられた数値を所定の値とする場合には、上述した限界値とは異なる値に限界値を設定してもよい。
【0055】
（ｃ）近接受信間隔（Ｄ）
次に、後述する実施形態で使用する近接受信間隔Ｄについて説明する。近接受信間隔Ｄは、２つのデータフレームが近接して受信されたか否かの基準となる受信間隔である。すなわち、２つのデータフレームの受信間隔が近接受信間隔以下の場合、これらの２つのデータフレームは近接して受信されたデータフレームであると判定されることになる。
次に、後述する実施形態で使用する近接受信間隔Ｄについて説明する。近接受信間隔Ｄは、２つのデータフレームが近接して受信されたか否かの基準となる受信間隔である。すなわち、２つのデータフレームの受信間隔が近接受信間隔以下の場合、これらの２つのデータフレームは近接して受信されたデータフレームであると判定されることになる。
【0056】
近接受信間隔Ｄは、２つのデータフレームが近接して受信された場合に、判定値が直ちに限界値に達するように設定する。つまり、閾値ＰＴと近接受信間隔Ｄの差分が限界値以上となるように、近接受信間隔Ｄを設定する。この場合、以下の式が成立する。
ＰＴ－Ｄ≧ＣＬ
Ｄ≦ＰＴ－ＣＬ
以上の式に示すとおり、近接受信間隔Ｄは閾値ＰＴから限界値ＣＬを減じた値以下の値に設定する。
ＰＴ－Ｄ≧ＣＬ
Ｄ≦ＰＴ－ＣＬ
以上の式に示すとおり、近接受信間隔Ｄは閾値ＰＴから限界値ＣＬを減じた値以下の値に設定する。
【0057】
なお、上述したように、好適には、閾値ＰＴは正常なデータフレームの受信間隔の最小値ＰMinと等しい値に設定され、限界値ＣＬは、閾値の２倍から正常なデータフレームの受信間隔の最大値ＰMaxを減じた値に設定される。閾値ＰＴ、限界値ＣＬがこれらの値に設定される場合、近接受信間隔Ｄは以下の式で表されてもよい。
Ｄ＝（受信間隔の最小値ＰMin）－｛２×（受信間隔の最小値ＰMin）－受信間隔の最大値ＰMax｝
Ｄ＝受信間隔の最大値ＰMax－受信間隔の最小値ＰMin
すなわち、近接受信間隔Ｄは、正常なデータフレームの受信間隔の最大値ＰMaxから、正常なデータフレームの受信間隔の最小値ＰMinを減じた値と等しい値に設定される。
Ｄ＝（受信間隔の最小値ＰMin）－｛２×（受信間隔の最小値ＰMin）－受信間隔の最大値ＰMax｝
Ｄ＝受信間隔の最大値ＰMax－受信間隔の最小値ＰMin
すなわち、近接受信間隔Ｄは、正常なデータフレームの受信間隔の最大値ＰMaxから、正常なデータフレームの受信間隔の最小値ＰMinを減じた値と等しい値に設定される。
【0058】
２．第１の実施形態
（１）異常フレームの判定方法
次に、本実施形態における異常フレーム判定部１１０による異常フレームの判定方法を説明する。
（１）異常フレームの判定方法
次に、本実施形態における異常フレーム判定部１１０による異常フレームの判定方法を説明する。
【0059】
異常フレーム判定部１１０はまず、判定値が限界値に「最初に」達したか否かを判定する。一例として、異常フレーム判定部１１０は、限界値未満の判定値に所定の値が加算されたことにより判定値が限界値に達した場合に、判定値が限界値に最初に達したものと判定する。別の例では、判定値の初期値ＣIniに所定の値が予め設定された所定の回数加算されたことにより判定値が限界値に達した場合、あるいは、判定値更新部１０７によって所定の値が減算された後に、所定の値が判定値に所定の回数加算されたことにより判定値が初めて限界値に達した場合に、異常フレーム判定部１１０は判定値が限界値に最初に達したと判定してもよい。例えば、上述したように、限界値が、２つの正常なデータフレームの間に異常フレームが挿入されると、後の正常なデータフレームの受信時に判定値が限界値に達するように設定される場合には、所定の回数として２回が設定されることが望ましい。この場合、２つの正常なデータフレームの間に異常フレームが挿入されたことにより、初期値に所定の値が２回加算されると、異常フレーム判定部１１０は判定値が限界値に最初に達したと判定する。
【0060】
ここで「最初に」とは、例えば、装置を起動してから初めて達する場合はもちろん、所定の期間内で初めて、あるいは、所定の条件を満たしてから初めて達する場合も含む。
【0061】
図５は、４つのデータフレーム（Ｆ１～Ｆ４）を受信した場合の一例を説明する図である。図５（ａ）は、データフレームに付与されたタイムスタンプの時刻、及びタイムスタンプの時刻に基づく受信間隔を示しており、図５（ｂ）は、データフレームＦ１～Ｆ４の受信間隔に応じて変化する判定値を示している。図５の例では、４つのデータフレームのうち、データフレーム（Ｆ１、Ｆ２、Ｆ４）は正常なデータフレームであり、データフレームＦ３が異常フレームである。
【0062】
ここで、以下の例では、判定値の初期値ＣIniが判定値の最小値であり、所定の回数として２回が設定されている場合を例に挙げて説明する。
【0063】
例えば、図５に示す例では、データフレームＦ１とデータフレームＦ２の受信間隔Ｐ１は閾値ＰＴよりも長いため、判定値更新部１０７は、判定値から受信間隔と閾値の差分（Ｐ１－ＰＴ）を減算する。ただし、この例では、減算処理をする前の判定値の値は、判定値の最小値である初期値（ＣIni＝０）であるため、更新後の判定値は初期値のままである。次いで、データフレームＦ２とデータフレームＦ３の受信間隔Ｐ２、及びデータフレームＦ３とデータフレームＦ４の受信間隔Ｐ３はいずれも閾値ＰＴよりも短いため、判定値更新部１０７は、判定値に受信間隔と閾値の差分を加算する。図５（ｂ）に示すとおり、判定値に受信間隔と閾値との差分（ＰＴ－Ｐ３）を加算すると、判定値Ｃは限界値ＣＬに達するため、異常有無判定部１０９は異常フレームがあると判定する。
【0064】
ここで、図５では、判定値更新部１０７が、データフレームＦ２の受信後に所定の値を減算した後に、データフレームＦ３及びデータフレームＦ４の受信後に所定の値を２回判定値に加算したことによって判定値が限界値に達している。そのため、データフレームＦ４の受信後に異常有無判定部１０９が異常フレームがあると判定したとき、異常フレーム判定部１１０は判定値が限界値に最初に達したと判定する。
【0065】
なお、図５では、判定値更新部１０７が、判定値の初期値ＣIniに、所定の値を２回加算したことによって判定値が限界値に達している。また、判定値更新部１０７が、限界値未満の判定値（すなわち、初期値にＣIniにＰＴ－Ｐ２を加算した後の判定値）に所定の値を加算したことによって判定値が限界値に達している。したがって、これらのことからも、異常フレーム判定部１１０は判定値が限界値に最初に達したと判定することができる。
【0066】
図６は、図５のデータフレームＦ４の後に、異常フレームＦ５をさらに受信した場合を示している。データフレームＦ４とデータフレームＦ５の受信間隔Ｐ４は閾値ＰＴよりも短いため、判定値更新部１０７は、判定値に受信間隔と閾値の差分（ＰＴ－Ｐ４）を加算する。ただし、更新前の判定値は、判定値の限界値、すなわち最大値であるため、更新後の判定値は限界値ＣＬのままである。そして、更新後の判定値Ｃは限界値ＣＬに達しているため、異常有無判定部１０９は異常フレームがあると判定する。ここで、データフレームＦ５の受信後に異常有無判定部１０９が異常フレームがあると判定したとき、判定値更新部１０７が判定値に対して３回加算されたことにより判定値が限界値に達している。そのため、異常フレーム判定部１１０は判定値が限界値に最初に達したとは判定しない。図５で説明したとおり、異常有無判定部１０９は、データフレームＦ４の受信後に判定値が限界値に達しているため、データフレームＦ５の受信後に判定値が限界値に達したとき、判定値が限界値に達したのが最初ではないことは明らかである。
【0067】
また、図６の例では、データフレームＦ５の受信後に異常有無判定部１０９が異常フレームがあると判定したとき、判定値更新部１０７は、限界値以上である判定値に所定の値が加算されている。このことからも、データフレームＦ５の受信後に判定値が限界値に達したときに、判定値が限界値に達したのが最初ではないと判定することができる。
【0068】
あるいは、異常フレーム判定部１１０は、所定の値が減算された後に所定の値が２回加算されたことにより判定値が限界値に達した場合であって、且つ、所定の値が減算された後の判定値が判定値の初期値である場合に、判定値が限界値に最初に達したと判定してもよい。所定の値が２回目に加算された後の判定値をＣ、判定値Ｃに更新される前の判定値であって、所定の値が１回目に加算された後の判定値をＣ１とすると、減算された後の判定値とは、判定値Ｃ１に更新される前の判定値Ｃ２であり、保存部１０６に保存されている。所定の値が減算された後の判定値が初期値以外の値である場合、異常有無判定部１０９が異常フレームがあると判定したときに受信したデータフレームや、その直前に受信したデータフレームよりもさらに前に受信した異常フレームが原因で加算された値が判定値に含まれている。これに対し、所定の値が減算された後の判定値が初期値である場合、この判定値には、過去に異常フレームを受信したことによって加算された値の影響はない。そこで、所定の値が減算された後の判定値が、判定値の初期値である場合に、判定値が限界値に最初に達したと判定してもよい。
【0069】
なお、異常フレーム判定部１１０が、判定値が限界値に達したのが最初であるか否かを判定する方法は、上述した例に限定されるものではない。例えば、異常有無判定部１０９が過去に異常フレームがあると判定してから所定の期間が経過している場合には、異常フレーム判定部１１０は判定が限界値に達したのが最初であると判定してもよい。
【0070】
そして、異常フレーム判定部１１０は、判定値が限界値に達したのが最初ではないと判定した場合、異常フレームがあると判定した時に受信したデータフレーム、又はその直前に受信したデータフレームの少なくとも一方が異常フレームであると判定する。図６の例では、データフレームＦ５を受信した時点で異常有無判定部１０９が異常フレームがあると判定した場合、異常フレーム判定部１１０は判定値が限界値に達したのが最初ではないと判定し、異常フレームがあると判定した時に受信したデータフレームＦ５、又はその直前に受信したデータフレームＦ４の少なくとも一方が異常フレームであると判定する。つまり、異常フレーム判定部１１０は、限界値以上の判定値に所定の値がさらに加算された場合には、異常フレームがあると判定した時に受信したデータフレームＦ５、又はその直前に受信したデータフレームＦ４の少なくとも一方が異常フレームであると判定する。
【0071】
これに対し、異常フレーム判定部１１０が、判定値が限界値に達したのが最初であると判定した場合、異常フレーム判定部１１０はさらに、異常フレームがあると判定した時に受信したデータフレームと、その直前に受信したデータフレームとが近接して受信されたか否かを判定する。２つのデータフレームが近接して受信されたか否かは、２つのデータフレームの受信間隔が近接受信間隔Ｄよりも短いか否かによって判定する。
【0072】
上述したとおり、近接受信間隔Ｄは、２つのデータフレームが近接して受信されたか否かの基準となる受信間隔であり、２つのデータフレームの受信間隔が近接受信間隔よりも長い場合、これらのデータフレームは近接して受信されていないと判定する。また、２つのデータフレームの受信間隔が近接受信間隔以下の場合、これらの２つのデータフレームは近接して受信されたと判定する。２つのデータフレームの受信間隔が近接受信間隔以下の場合、閾値と２つのデータフレームの受信間隔との差分は限界値よりも大きい値となり、判定値は直ちに限界値に達する。
【0073】
異常フレーム判定部１１０は、２つのデータフレームの受信間隔が近接受信間隔よりも長いと判定した場合、異常フレーム判定部１１０は、異常フレームがあると判定した時に受信したデータフレームの直前に受信したデータフレームが異常フレームであると判定する。これに対し、２つのデータフレームの受信間隔が近接受信間隔以下であり、２つのデータフレームが近接して受信されたと判定した場合には、異常フレームがあると判定した時に受信したデータフレーム、又はその直前に受信したデータフレームの少なくとも一方が異常フレームであると判定する。例えば、図５の例では、データフレームＦ４の受信後に、判定値は限界値に最初に達する。また、データフレームＦ３とデータフレームＦ４との受信間隔は近接受信間隔よりも長い。そのため、異常フレーム判定部１１０は、異常フレームがあると判定した時に受信したデータフレームＦ４の直前に受信したデータフレームＦ３が異常フレームであると判定する。
【0074】
図７は、３つのデータフレーム（Ｆ１～Ｆ３）を受信した場合の一例を説明する図である。図７（ａ）、図７（ｂ）は、データフレームに付与されたタイムスタンプの時刻、及びタイムスタンプの時刻に基づく受信間隔を示しており、図７（ｃ）は、データフレームＦ１～Ｆ３の受信間隔に応じて変化する判定値を示している。図７（a）、図７（ｂ）はいずれもデータフレームＦ２とデータフレームＦ３とが近接して受信している場合を示しているが、図７（ａ）ではデータフレームＦ２が異常フレームであるのに対し、図７（ｂ）ではデータフレームＦ３が異常フレームである。
【0075】
図７（ａ）では、上述したように、データフレームＦ２とデータフレームＦ３とは近接して受信しているため、これらの受信間隔Ｐ２は近接受信間隔Ｄよりも短い。ここで、正常なデータフレームＦ１とデータフレームＦ３の受信間隔（Ｐ１＋Ｐ２）が、ＥＣＵ２０の送信間隔である所定の周期Ｔと同じである場合、正常なデータフレームＦ１と異常フレームＦ２との受信間隔は閾値ＰＴよりも長くなる。そのため、データフレームＦ２を受信した時点では、判定値に加算処理はされない。そして、データフレームＦ３の受信時に、閾値ＰＴと受信間隔Ｐ２との差分（ＰＴ－Ｐ２）が判定値に加算されることで、判定値Ｃが限界値ＣＬに達する。
【0076】
同様に、図７（ｂ）では、データフレームＦ２とデータフレームＦ３とは近接して受信しているため、これらの受信間隔Ｐ２は近接受信間隔Ｄよりも短い。ここで、正常なデータフレームＦ１及びデータフレームＦ２の受信間隔Ｐ１は閾値ＰＴよりも長いため、データフレームＦ２を受信した時点では、判定値に加算処理はされない。そして、データフレームＦ３の受信時に、閾値ＰＴと受信間隔Ｐ２との差分（ＰＴ－Ｐ２）が判定値に加算されることで、判定値Ｃが限界値ＣＬに達する。
【0077】
図７（ａ）、図７（ｂ）において、データフレームＦ１とデータフレームＦ２の受信間隔Ｐ１、データフレームＦ１とデータフレームＦ３の受信間隔（Ｐ１＋Ｐ２）はいずれも閾値ＰＴよりも長く、正常なデータフレームの受信間隔である。つまり、正常なデータフレームＦ１の次に受信する正常なデータフレームの受信時刻は、データフレームＦ２の受信時刻、データフレームＦ３の受信時刻のどちらにもなりうる。また、図７（ａ）、図７（ｂ）のいずれも、判定値は図７（ｃ）に示すように変化するため、データフレームＦ２とデータフレームＦ３のいずれが異常フレームであるかを特定することは困難である。つまり、２つのデータフレームを近接して受信した場合には、２つのデータフレームのいずれが異常フレームであるかを判定することは難しい。そこで、この場合は、異常検知時のデータフレームと、その直前に受信したデータフレームの少なくとも一方が異常フレームであると判定する。図７の場合、データフレームＦ２、Ｆ３の少なくとも一方が異常フレームであると判定する。
【0078】
（２）異常フレーム判定装置１０の動作
【0079】
次に、図８を参照して異常フレーム判定装置１０の動作を説明する。なお、図８は異常フレーム判定装置１０における、異常フレームの判定方法を示すだけでなく、異常フレーム判定装置１０で実行されるプログラムの処理手順を示すものである。そして、これらの処理は、図８に示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。以下の実施形態のフロー図においても同様である。また、図８に示す処理手順は、異常フレーム判定装置１０がデータフレームを受信する度に繰り返し実行される。
【0080】
受信部１０１は、ＥＣＵ２０から送信されたと推定されるデータフレームを受信する（Ｓ１０１）。
タイムスタンプ付与部１０３は、受信したデータフレームに対してタイムスタンプを付与する（Ｓ１０２）。
受信間隔算出部１０４は、Ｓ１０２で付与されたタイムスタンプが示す時刻に基づいて、Ｓ１０１にて受信したデータフレームと、当該データフレームの直前に受信部１０１が受信したデータフレームとの受信間隔Ｐを算出する（Ｓ１０３）。
判定値更新部１０７は、Ｓ１０３で算出した受信間隔Ｐと、受信間隔の閾値ＰＴとを比較する（Ｓ１０４）。ここで、受信間隔が閾値よりも短い場合（Ｓ１０４：ＹＥＳ）には、次のＳ１０５の処理に進む。これに対し、受信間隔が閾値よりも長い場合（Ｓ１０４：ＮＯ）には、Ｓ１０６の処理に進む。なお、図８では、受信間隔が閾値と等しい場合にも、Ｓ１０６の処理に進むフローチャートを例示している。しかしながら、受信間隔が閾値と等しい場合にＳ１０５の処理に進んでもよい。Ｓ１０５及びＳ１０６はいずれも、判定値更新部１０７における判定値の更新処理である。
タイムスタンプ付与部１０３は、受信したデータフレームに対してタイムスタンプを付与する（Ｓ１０２）。
受信間隔算出部１０４は、Ｓ１０２で付与されたタイムスタンプが示す時刻に基づいて、Ｓ１０１にて受信したデータフレームと、当該データフレームの直前に受信部１０１が受信したデータフレームとの受信間隔Ｐを算出する（Ｓ１０３）。
判定値更新部１０７は、Ｓ１０３で算出した受信間隔Ｐと、受信間隔の閾値ＰＴとを比較する（Ｓ１０４）。ここで、受信間隔が閾値よりも短い場合（Ｓ１０４：ＹＥＳ）には、次のＳ１０５の処理に進む。これに対し、受信間隔が閾値よりも長い場合（Ｓ１０４：ＮＯ）には、Ｓ１０６の処理に進む。なお、図８では、受信間隔が閾値と等しい場合にも、Ｓ１０６の処理に進むフローチャートを例示している。しかしながら、受信間隔が閾値と等しい場合にＳ１０５の処理に進んでもよい。Ｓ１０５及びＳ１０６はいずれも、判定値更新部１０７における判定値の更新処理である。
【0081】
受信間隔が閾値よりも短い場合（Ｓ１０４：ＹＥＳ）、判定値更新部１０７は、保存部１０６に保存されている判定値Ｃに、Ｓ１０３で算出した受信間隔Ｐと閾値ＰＴとの差分（ＰＴ－Ｐ）を加算して、判定値を更新する（Ｓ１０５）。ここで、加算後の判定値Ｃが判定値の最大値Ｃmax以上である場合には、判定値の最大値を更新後の判定値とする。
【0082】
次いで、異常有無判定部１０９は、Ｓ１０５で更新した判定値Ｃと限界値ＣＬとを比較する（Ｓ１０７）。
ここで、判定値が限界値に達している場合（Ｓ１０７：ＹＥＳ）には、異常有無判定部１０９は、データフレームに異常フレームがあると判定する（Ｓ１０８）。
そして、異常フレーム判定部１１０は、受信したデータフレームのいずれが異常フレームであるかを判定する（Ｓ１０９）。Ｓ１０９の処理の詳細については詳述する。
ここで、判定値が限界値に達している場合（Ｓ１０７：ＹＥＳ）には、異常有無判定部１０９は、データフレームに異常フレームがあると判定する（Ｓ１０８）。
そして、異常フレーム判定部１１０は、受信したデータフレームのいずれが異常フレームであるかを判定する（Ｓ１０９）。Ｓ１０９の処理の詳細については詳述する。
【0083】
これに対し、受信間隔が閾値よりも長い場合（Ｓ１０４：ＮＯ）、判定値更新部１０７は、保存部１０６に保存されている判定値Ｃから、Ｓ１０３で算出した受信間隔Ｐと閾値ＰＴとの差分（Ｐ－ＰＴ）を減算して、判定値を更新する（Ｓ１０６）。ここで、減算後の判定値Ｃが判定値の最小値Ｃmin以下である場合には、判定値の最小値を更新後の判定値とする。
【0084】
そして、Ｓ１０５又はＳ１０６で更新した判定値Ｃを保存部１０６に記録して処理を終了する（Ｓ１１０）。
【0085】
図９は、Ｓ１０９の処理を説明する図である。
異常フレーム判定部１１０は、判定値が限界値に達したのが最初であるか否かを判定する（Ｓ２０１）。上述した通り、判定値が限界値に達したのが最初であるか否かを判定する方法は、任意の方法を用いることができる。
判定値が限界値に達したのが最初であると判定した場合（Ｓ２０１：ＹＥＳ）、異常フレーム判定部１１０はさらに、Ｓ１０１で受信したデータフレームと、当該データフレームの直前に受信したデータフレームの受信間隔が近接受信間隔よりも短いか否か、すなわち、２つのデータフレームを近接して受信したか否かを判定する（Ｓ２０２）。
そして、受信間隔が近接受信間隔よりも長く、受信したデータフレームとその直前に受信したデータフレームが近接して受信されていない場合には、直前のフレームが異常フレームであると判定する（Ｓ２０３）。
これに対し、判定値が限界値に達したのが最初ではない場合（Ｓ２０１：ＮＯ）、又は、受信間隔が近接受信間隔以下の場合には、受信したデータフレームとその直前に受信したデータフレームの少なくとも一方が異常フレームであると判定する（Ｓ２０４）。
異常フレーム判定部１１０は、判定値が限界値に達したのが最初であるか否かを判定する（Ｓ２０１）。上述した通り、判定値が限界値に達したのが最初であるか否かを判定する方法は、任意の方法を用いることができる。
判定値が限界値に達したのが最初であると判定した場合（Ｓ２０１：ＹＥＳ）、異常フレーム判定部１１０はさらに、Ｓ１０１で受信したデータフレームと、当該データフレームの直前に受信したデータフレームの受信間隔が近接受信間隔よりも短いか否か、すなわち、２つのデータフレームを近接して受信したか否かを判定する（Ｓ２０２）。
そして、受信間隔が近接受信間隔よりも長く、受信したデータフレームとその直前に受信したデータフレームが近接して受信されていない場合には、直前のフレームが異常フレームであると判定する（Ｓ２０３）。
これに対し、判定値が限界値に達したのが最初ではない場合（Ｓ２０１：ＮＯ）、又は、受信間隔が近接受信間隔以下の場合には、受信したデータフレームとその直前に受信したデータフレームの少なくとも一方が異常フレームであると判定する（Ｓ２０４）。
【0086】
（３）小括
本実施形態によれば、所定の条件を満たす場合には、受信したデータフレームの直前に受信したデータフレームが異常フレームであると判定し、所定の条件を満たさない場合であっても、受信したデータフレーム又はその直前のデータフレームの少なくとも一方が異常フレームであると判定することができる。
本実施形態によれば、所定の条件を満たす場合には、受信したデータフレームの直前に受信したデータフレームが異常フレームであると判定し、所定の条件を満たさない場合であっても、受信したデータフレーム又はその直前のデータフレームの少なくとも一方が異常フレームであると判定することができる。
【0087】
３．第２の実施形態
上述した実施形態では、判定値が限界値に達した後、判定値は最大値である限界値のまま保存部１０６に保存される構成を説明した。本実施形態では、判定値が限界値に達した場合、判定値を初期値にリセットする。以下、本実施形態の構成を実施形態１との相違点を中心に説明する。
上述した実施形態では、判定値が限界値に達した後、判定値は最大値である限界値のまま保存部１０６に保存される構成を説明した。本実施形態では、判定値が限界値に達した場合、判定値を初期値にリセットする。以下、本実施形態の構成を実施形態１との相違点を中心に説明する。
【0088】
本実施形態の異常フレーム判定装置１０の構成は実施形態１と同じであり、図２を参照して説明する。異常フレーム判定装置１０の各構成は、実施形態１と同様の機能を有する。本実施形態では、判定値が限界値に達すると、判定値は初期値ＣIniにリセットされるため、判定値が限界値に達する場合とは、判定値がリセットされた後に限界値に最初に達する場合に相当する。したがって、本実施形態の異常フレーム判定部１１０は、判定値が限界値に達したのが最初であるか否かを判定する必要はない。
【0089】
図１０、図１１を参照して、本実施形態の異常フレーム判定装置１０の動作を説明する。図８と共通する処理については説明を省略する。図８では、Ｓ１０９で異常フレームを判定した後、Ｓ１０５又はＳ１０６で更新した後の判定値を保存部１０６に保存（Ｓ１１０）した。しかしながら、本実施形態では、図１０に示すように、Ｓ１０９で異常フレームを判定した後、判定値Ｃを初期値ＣIniに更新することで、判定値をリセットする（Ｓ３０１）。また、Ｓ１０３で算出した受信間隔が閾値よりも長い（Ｓ１０４：ＮＯ）、又は判定値が限界値に達していない場合（Ｓ１０７：ＮＯ）にのみ、Ｓ１０５又はＳ１０６で更新後の判定値を保存部１０６に保存（Ｓ３０２）する。
【0090】
さらに、図１１は、図１０のＳ１０９の処理を説明する図である。図９とは異なり、Ｓ２０１の処理が行われない。これは、本実施形態において、判定値が限界値に達する場合とは、必ず、判定値がリセットされた後に限界値に最初に達する場合であるためである。
【0091】
本実施形態によれば、判定値が限界値に最初に達したか否かを判定することなく、受信したデータフレームの直前に受信したデータフレームが、あるいは、受信したデータフレーム又はその直前のデータフレームの少なくとも一方が異常フレームであると判定することができる。
【0092】
４．総括
以上、本発明の異常フレーム判定装置等の特徴について説明した。
以上、本発明の異常フレーム判定装置等の特徴について説明した。
【0093】
各実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。
【0094】
実施形態の説明に用いたブロック図は、装置の構成を機能毎に分類及び整理したものである。それぞれの機能を示すブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、及び当該方法を実現するプログラムの発明の開示としても把握できるものである。
【0095】
各実施形態に記載した処理、フロー、及び方法として把握できる機能ブロック、については、一のステップでその前段の他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。
【0096】
各実施形態、及び特許請求の範囲で使用する、第１、第２、乃至、第Ｎ（Ｎは整数）、の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。
【0097】
各実施形態は、車両に搭載される異常フレーム判定装置を前提としているが、本発明は、特許請求の範囲で特に限定する場合を除き、車両用以外の専用又は汎用の装置も含むものである。
【0098】
また、本発明の異常フレーム判定装置の形態の例として、以下のものが挙げられる。
部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバが挙げられる。
その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。
部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバが挙げられる。
その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。
【0099】
また異常フレーム判定装置に、アンテナや通信用インターフェースなど、必要な機能を追加してもよい。
【0100】
加えて、本発明は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及びメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。
【0101】
専用や汎用のハードウェアの非遷移的実体的記録媒体（例えば、外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、又は内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。
【符号の説明】
【0102】
１０ 異常フレーム判定装置、２０ 電子制御装置、１０１ 受信部、１０４ 受信間隔算出部、１０６ 保存部、１０７ 判定値更新部、１１０ 異常フレーム判定部
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
