車両ネットワークの通信管理装置
【課題】簡易な構成でありながら、外部データの入力規制を通じて、車両ネットワークとしての通信の信頼性を維持することのできる車両ネットワークの通信管理装置を提供する。
【解決手段】通信管理部２００は、ＣＡＮバス１１０の使用率、車両データの送信周期、及び単位時間当たりの送信データ量を監視する車両データ監視部２１０を備える。また、通信管理部２００は、外部データの送信周期、及び単位時間当たりの送信データ量を監視する外部データ監視部２２０を備える。そして、通信管理部２００は、車両データ監視部２１０及び外部データ監視部２２０の監視結果に基づき、ＣＡＮバス１１０の使用率が負荷基準値を超えているとき、及び、外部データの転送に伴いＣＡＮバス１１０の使用率が負荷基準値を超えることが予測されるとき、外部データの送信規制を実行する。
【解決手段】通信管理部２００は、ＣＡＮバス１１０の使用率、車両データの送信周期、及び単位時間当たりの送信データ量を監視する車両データ監視部２１０を備える。また、通信管理部２００は、外部データの送信周期、及び単位時間当たりの送信データ量を監視する外部データ監視部２２０を備える。そして、通信管理部２００は、車両データ監視部２１０及び外部データ監視部２２０の監視結果に基づき、ＣＡＮバス１１０の使用率が負荷基準値を超えているとき、及び、外部データの転送に伴いＣＡＮバス１１０の使用率が負荷基準値を超えることが予測されるとき、外部データの送信規制を実行する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、有線通信や無線通信を通じて外部のネットワークや情報端末に接続される車両ネットワークの通信を管理する車両ネットワークの通信管理装置に関する。
【背景技術】
【０００２】
近年の自動車等の車両には、ナビゲーションシステムを構成する電子制御装置をはじめ、エンジンやブレーキ等の各種車載機器を電子的に制御する電子制御装置、車両の各種状態を表示するメータ等の機器を制御する電子制御装置などの多くの電子制御装置が搭載されている。そして、車両内では、それら各電子制御装置が通信線により電気的に接続されて車両ネットワークが形成されており、この車両ネットワークを介して各電子制御装置間での各種車両データの授受が行われている。
【０００３】
さらに最近では、車両ネットワークと車両外部のネットワークとを接続し、これらネットワーク間での各種情報の授受を可能とするシステムの開発も進められている。このシステムでは、例えば、車両外部のネットワークを介して、ドライバが所有する情報端末から車両ネットワークへエンジンの起動要求が送信される。そして、車両ネットワークに接続されているエンジン制御装置がこの起動要求を受信することにより、同エンジン制御装置を通じてエンジンが起動される。このように車両ネットワークと車両外部のネットワークとの間での通信を通じて、車両の遠隔操作や車両状態の監視等を行うことが可能となっている。
【０００４】
一方、このように外部から車両ネットワークにアクセスできる状況下では、正当な利用権限を有さない不正なユーザ等による不正操作（不正アクセス）によって車両ネットワーク内に不正なデータが入力されることも想定される。そこで、例えば特許文献１に記載されているように、車両ネットワークに接続された車載機器とユーザが所有する情報端末との間での無線通信に先立ち、情報端末から送信されるデータの暗号化及び復号化による相互認証を通じて情報端末の正当性を検証することなども提案されている。この特許文献１に記載の装置によれば、正当な権限を有さない情報端末が車載機器にネットワーク接続されることが抑制され、ひいては車載機器を介して車両ネットワークに不正なデータが取り込まれることが抑制されるようになる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００３−１５２７１７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ところで、このように車両ネットワークに接続された車載機器に入力されるデータの正当性を同データの暗号化及び復号化による相互認証を通じて検証するためには、複雑な演算を伴う暗号化処理や復号化処理が必要となる。このため、これら暗号化処理や復号化処理を実行するための装置が必要になるばかりか、暗号化処理や復号化処理の実行に伴う演算負荷の増大が避けられない。
【０００７】
また、車両ネットワークとは、前述のように、複数の電子制御装置間で車両データを授受するために車両内に形成された専用のネットワークである。よって、車両ネットワークに取り込まれることのないデータが外部から取り込まれるようなことがあると、通信負荷が増大し、各電子制御装置間での本来の車両データの送受信が阻害されることにもなりかねない。
【０００８】
本発明は、このような実情に鑑みてなされたものであり、その目的は、簡易な構成でありながら、外部データの入力規制を通じて、車両ネットワークとしての通信の信頼性を維持することのできる車両ネットワークの通信管理装置を提供することにある。
【課題を解決するための手段】
【０００９】
以下、上記課題を解決するための手段及びその作用効果について記載する。
請求項１に記載の発明は、複数の車載制御装置の間で車両データの送受信が行われるとともに、有線通信もしくは無線通信を通じた車両外部からの外部データの入力が可能な車両ネットワークにあって通信データの管理を行う車両ネットワークの通信管理装置であって、前記車両ネットワークに送信される車両データの送信状況と外部から入力される外部データとを監視し、それら監視するデータの送信状況と外部データが前記車両ネットワークに及ぼす負荷とに応じて外部データの前記車両ネットワークへの送信を規制する通信管理部を備えることを要旨とする。
【００１０】
上記構成によれば、車両ネットワークにおける車両データの送信状況が監視されるとともに、同車両ネットワークに入力される外部データが監視される。そして、例えば、通信管理部に外部データが入力されると、各車載制御装置間で送受信される車両データが少ないために車両ネットワークの負荷が低いときには、外部データの送信規制が行われず、外部データが車両ネットワークに送信される。一方、例えば、車両状態の変化に伴い車載制御装置間で授受すべき車両データが増大し、車両ネットワークに送信される車両データが増大すると、この車両データの送受信を優先すべく、外部データの送信規制が実行される。この結果、車両ネットワークで送受信すべき車両データが増大したときには、車両ネットワークに外部データが取り込まれることがなく、車両ネットワークの通信量が飽和することが抑制される。このため、車両ネットワーク内に外部データを入力可能としながらも、この外部データの送信規制を通じて車両ネットワークによる車両データの送受信機能を的確に担保することが可能である。
【００１１】
また、上記構成によれば、例えば、大量の不正データが送りつけられるような、いわゆるＤｏｓ攻撃が行われたとしても、この大量の不正データが車両ネットワークに入力されることが抑制される。これにより、外部データを車両ネットワークに入力可能な構成としながらも、車両ネットワークに対するＤｏｓ攻撃等を抑制することが可能となり、車両ネットワークとしてのセキュリティー性が高められるようにもなる。
【００１２】
請求項２に記載の発明は、請求項１に記載の車両ネットワークの通信管理装置において、前記通信管理部は、前記外部データが前記車両ネットワークに送信されたときに予測される車両ネットワークの使用率が当該車両ネットワークの高負荷状態を示す所定の閾値を超えるとき、前記外部データの送信規制を実行することを要旨とする。
【００１３】
上記構成によれば、外部データの送信規制に際し、通信管理部に入力された外部データが車両ネットワークに送信されたときの同車両ネットワークの使用率が予測される。そして、この予測される使用率が車両ネットワークの高負荷状態を示す所定の閾値を超えるときには、外部データの送信規制が実行され、車両ネットワークには外部データが送信されない。この結果、監視中の車両ネットワークの負荷のみならず、外部データが送信されたときに増大が予測される車両ネットワークの使用率に基づいた送信規制が実行される。これにより、外部データが車両ネットワークに入力されることに起因して、車両ネットワークの使用率が過剰に増大することが的確に抑制されるようになる。また、これにより、例えば、ＣＡＮ（コントロール・エリア・ネットワーク）においては通常要求される使用率「３０％」といったように、ネットワーク負荷を規制すべき使用率の範囲内に維持することが可能となり、適用対象とする車両ネットワークの特性に応じた通信管理が行われるようになる。
【００１４】
請求項３に記載の発明は、請求項１又は２に記載の車両ネットワークの通信管理装置において、前記通信管理部は、前記外部データが前記車載制御装置のデータ書き換え用の書き換えデータであるとき、前記外部データの送信規制を一時的に緩和する処理を実行することを要旨とする。
【００１５】
車両ネットワークは一般に、各車載制御装置間での車両データの授受に利用されるが、各車載制御装置が有するデータ書き換え用の書き換えデータ、いわゆるリプログラミングデータの送受信にも利用される。そして、この書き換えデータも通常、車両ネットワークの外部から外部データとして車両ネットワークに入力される。
【００１６】
そこで、上記構成によるように、上記車両ネットワークに入力される外部データが車載制御装置の書き換えデータであるときには、この書き換えデータが、車両ネットワークに接続された車載制御装置に送信すべき優先度の高いデータであるとして、外部データの送信規制を緩和する処理を実行する。このため、車載制御装置の機能を維持する上で必要な書き換えデータが不要に送信規制されることが抑制され、車両ネットワークを介した書き換えデータの送受信を的確に実行することが可能となる。
【００１７】
請求項４に記載の発明は、請求項１〜３のいずれか一項に記載の車両ネットワークの通信管理装置において、前記通信管理部は、前記車両データの送信間隔もしくは単位時間当たりの送信データ量に基づき車両データの送信状況を監視するとともに、前記外部データが入力される際の外部データの送信間隔もしくは単位時間当たりの送信データ量を監視することを要旨とする。
【００１８】
車両ネットワークの負荷とは、同車両ネットワークに送受信される車両データの送信間隔や単位時間当たりに送信される車両データのデータ量（メッセージ量）に相関する。また、上記外部データが車両ネットワークに及ぼす負荷も、外部データが通信管理部に入力される際の同外部データの送信間隔や送信データ量、換言すれば、この外部データが車両ネットワークに送信される際の送信間隔や送信データ量に相関する。
【００１９】
そこで、上記構成によれば、車両データの送信間隔や送信データ量、並びに外部データの送信間隔や送信データ量に基づき、車両データ及び外部データが車両ネットワークに及ぼす負荷を的確に求めることが可能となり、それらの負荷に基づく送信規制を的確に実行することが可能になる。
【００２０】
請求項５に記載の発明は、請求項１〜４のいずれか一項に記載の車両ネットワークの通信管理装置において、前記通信管理部は、前記外部データの送信規制として、入力された外部データの破棄、入力された外部データの一時的な送信保留、入力される外部データの受信停止、及び前記車両ネットワークに送信する外部データの送信量を当該車両ネットワークの負荷に適応させる通信調整の少なくとも１つを実行することを要旨とする。
【００２１】
上記構成によれば、通信管理部に外部データが入力されたとしても、車両ネットワークが高負荷状態にあるときには、例えば、入力された外部データが破棄されることにより、この外部データが車両ネットワークに送信されることなく同車両ネットワークで通信されている車両データの送受信が優先される。
【００２２】
また、上記構成によれば、車両ネットワークが高負荷状態にあるときには、例えば、入力された外部データが一時的に保留されるとともに、車両ネットワークの負荷が低下したことをもって、一時的に保留され外部データが車両ネットワークに送信される。これにより、外部データの入力に伴う車両ネットワークの負荷の増大を抑制しつつも、通信管理部に入力された外部データを車両ネットワークに送信することが可能となる。
【００２３】
また同様に、上記構成によれば、車両ネットワークが高負荷状態にあるときには、例えば、通信管理部による外部データの受信が停止され、通信管理部に外部データが取り込まれることが抑止される。この結果、車両ネットワークが高負荷状態にあるときには通信管理部そのものに外部データが入力されることが抑制され、この通信管理部を介した車両ネットワークへの外部データの送信が規制される。
【００２４】
さらに、上記構成によれば、車両ネットワークに多少の負荷がかかっていたとしても、車両ネットワークの通信機能を維持可能な範囲で外部データが車両ネットワークに送信される。すなわち、車両ネットワークの負荷に反比例する態様で、また、車両ネットワークによる車両データの通信機能を維持できる範囲内で、車両ネットワークに送信される外部データの送信量が調整される。これにより、車両ネットワークの負荷に応じて外部データの送信量を調整することが可能となり、車両ネットワークの通信機能を最大限に活用する態様で、この車両ネットワークを介した車両データの送受信と外部データの送受信とを実現することが可能となる。
【００２５】
請求項６に記載の発明は、請求項１〜５のいずれか一項に記載の車両ネットワークの通信管理装置において、前記通信管理部は、前記監視する車両ネットワークの車両データの送信状況に応じて前記外部データの送信規制にかかる実行期間を可変設定することを要旨とする。
【００２６】
車両ネットワークによる車両データの送信状況、換言すれば、車両ネットワークの負荷とは、車両の走行状態等によって変化するものであり、車両ネットワークが一時的に高負荷状態となる場合や、車両ネットワークの高負荷状態が所定期間継続する場合などが想定される。
【００２７】
そこで、上記構成によるように、通信管理部による外部データの送信規制の実行期間を、車両ネットワークによる外部データの送信状況に応じて可変設定することとすれば、例えば、車両ネットワークが高負荷状態となる期間が一時的である場合には、この期間に応じた一時的な送信規制が実行される。これにより、外部データの送信規制が早期に解除され、車両ネットワークへの外部データの送信を早い段階で許可することが可能となる。
【００２８】
また、上記構成によれば、例えば、車両ネットワークが高負荷状態となる期間が長期間継続されるときには、この期間に応じた長期的な送信規制が実行される。このため、車両ネットワークが高負荷状態にあり、かつ、この高負荷状態が所定期間継続すると一旦判断されて以降は、車両データの送信状況に応じた期間だけ送信規制が実行される。そのため、車両ネットワークの負荷が低下するまでは一旦設定された送信規制の実行時間のもとに外部データの送信規制が実行されることとなり、車両ネットワークの負荷が低下するまでの間、外部データが車両ネットワークに送信されることを的確に抑制することが可能となる。
【００２９】
請求項７に記載の発明は、請求項１〜６のいずれか一項に記載の車両ネットワークの通信管理装置において、前記通信管理部は、前記車両データとして車両内でのイベントの発生に伴い送受信が開始されるイベントデータが前記車両ネットワークに送信されたとき、前記イベントが終了するまでの間、前記外部データの送信規制を実行することを要旨とする。
【００３０】
車両ネットワークを介して送受信される車両データは、例えば、各車載制御装置間で定期的に送受信されるデータや、所定のイベントが発生してから同イベントが終了するまでの間、一時的に送受信されるイベントデータがある。そして、このイベントデータは通常、送信時間が一時的ではあるものの、同イベントデータが送受信される間は車両ネットワークが高負荷状態になる傾向にある。また、こうしたイベントデータは通常、車両の走行状態の変化に起因して各車載制御装置間での送受信が必要になる緊急性の高いデータであり、このデータを送信対象となる車載制御装置に確実に送信する必要がある。
【００３１】
そこで、上記構成によるように、イベントデータが車両ネットワークに送信されたときには、このイベントデータの送信要因となったイベントが終了するまでの間、外部データの送信規制を実行する。この結果、イベントの発生に伴って車両ネットワークが高負荷状態になったとしても、イベントが終了するまで、すなわち、イベントの終了に伴い車両ネットワークが高負荷状態から低負荷状態に遷移するまでの間、外部データが車両ネットワークに送信されることが抑制される。これにより、上記イベントデータの送受信を確実に実行することが可能となる。
【００３２】
請求項８に記載の発明は、請求項１〜７のいずれか一項に記載の車両ネットワークの通信管理装置において、前記通信管理部は、前記車両ネットワークに定期的に送信される１ないし複数種のデータの識別子及びデータ長及び送信周期が登録された定期送信リストと、前記車両内でのイベントの発生に伴って前記車両ネットワークに送信される１ないし複数種のデータの識別子及びデータ長が登録されたイベント送信リストとを備え、それら定期送信リスト及びイベント送信リストを参照して前記車両ネットワークの送信状況を監視することを要旨とする。
【００３３】
通常、車両データの送信主体となる車載制御装置の規格等は予め特定可能なことから、この車載制御装置間で送受信される車両データの識別子、データ長、及び送信周期を、各車載制御装置の規格等に基づいて特定することが可能である。
【００３４】
そこで、上記構成によるように、送信フレームリスト及びイベント送信リストを通信管理部に設ける。そして、通信管理部による車両データの送信状況の監視を、これら送信フレームリスト及びイベント送信リストの参照を通じて実行させる。このため、通信管理部は、例えば、車両ネットワークを介して送受信される車両ネットワークの識別子の照合を通じて、車両データの種類、データ長、及び送信周期を特定することが可能となる。そのため、この特定した車両データの種類、データ長、及び送信周期に基づいて、車両ネットワークの負荷の増減を予測することや、車両ネットワークによる車両データの送信状況をより詳細に特定することが可能となる。これにより、車両データの監視を通じた外部データの送信規制をより的確に実行することが可能となる。
【００３５】
請求項９に記載の発明は、請求項１〜８のいずれか一項に記載の車両ネットワークの通信管理装置において、前記通信管理部は、車両に搭載される外部用ネットワークと前記車両ネットワークとの間に接続されてなり、該外部用ネットワークを介して送信される外部データの送信状況の監視を通じて前記外部データの送信規制を実行することを要旨とする。
【００３６】
上記構成によれば、車載制御装置の書き換えデータなどをはじめとする外部データを取り込んで同取り込んだ外部データを車両ネットワークに案内する外部用ネットワークと上記車両ネットワークとの間に、上記通信管理部が設けられる。そして、通信管理部による外部データの監視に際しては、外部用ネットワークを介して送信される外部データの送信状況の監視を通じて、外部データの通信規制が実行される。このため、外部データがネットワークを介して実際に送信される際の送信周期や単位時間当たりの送信データ量等に基づいて、この外部データがネットワークに及ぼす負荷を特定することが可能となる。これにより、この外部データが車両ネットワークに送信されたときの負荷を精度よく推定することが可能となる。
【００３７】
請求項１０に記載の発明は、請求項１〜９のいずれか一項に記載の車両ネットワークの通信管理装置において、前記通信管理部は、外部診断機器が接続されるコネクタとして車両内に設けられたデータ・リンク・コネクタと前記車両ネットワークとの間に設けられてなることを要旨とする。
【００３８】
車両ネットワークに接続されるデータ・リンク・コネクタ（ＤＬＣ）は一般に、車室内に露出された状態で設けられている。また、このＤＬＣは通常、例えばディーラーでの診断ツールを用いたダイアグ診断に際し、診断機器等の機器を接続するために用いられる。
【００３９】
一方、最近では、このＤＬＣに情報端末を接続することで、車両ネットワークを流れる車両データを情報端末から取得したり、逆に情報端末から車両ネットワークへと各種データを出力するといった想定外の用途に用いられる傾向にある。そして、ＤＬＣに不正な情報端末が接続された場合や、情報端末に登録されているアプリケーションがウィルス等に感染している場合には、ＤＬＣを介して不正なデータが車両ネットワークに取り込まれることが想定される。また、ＤＬＣに接続された情報端末が正常な状態にあったとしても、ユーザの操作如何によっては大量のデータがＤＬＣを介して情報端末から車両ネットワークへと送信されることも想定される。
【００４０】
そこで、上記構成によれば、露出した状態で車室内に設けられ、また、外部データの送信元となる外部の情報端末等に接続される蓋然性の高いＤＬＣを介して入力される外部データに対しても、的確に送信規制を実行することが可能となる。これにより、ＤＬＣを介して外部から入力されてくる外部データの送信規制を的確に実行することが可能となる。
【００４１】
請求項１１に記載の発明は、請求項１〜１０のいずれか一項に記載の車両ネットワークの通信管理装置において、前記車両ネットワークがコントロール・エリア・ネットワークからなることを要旨とする。
【００４２】
上記車両ネットワークとしては、コントロール・エリア・ネットワーク（ＣＡＮ）が採用されることが多く、同コントロール・エリア・ネットワークでは、各種イベントの発生に伴い各種車両データの授受が行われる。また、こうしたコントロール・エリア・ネットワークでは、その特性上、たとえ車両データが送信すべき車載制御装置に送信されなかったとしても、この車両データを送信対象に再送することが難しい。よって、こうしたコントロール・エリア・ネットワークを介して車両データの送受信を行う上では、車両ネットワークの負荷を的確に管理して、この車両ネットワークによる車両データの送受信機能を維持する必要がある。
【００４３】
この点、上記構成によれば、汎用性が高く、また、送受信機能を維持する必要性が特に高いコントロール・エリア・ネットワークについても、外部データの送信機能を通じて、コントロール・エリア・ネットワークによる送受信機能を的確に維持することが可能となる。
【００４４】
請求項１２に記載の発明は、請求項１〜１０のいずれか一項に記載の車両ネットワークの通信管理装置において、前記車両ネットワークがフレックスレイからなることを要旨とする。
【００４５】
上記フレックスレイは通常、制御系、ボデー系、及び情報系によって構成される車両ネットワークのうち、制御系の車両ネットワークに適用可能である。そして、こうしたフレックスレイによれば、コントロール・エリア・ネットワークなどと比較し、車両データの送受信をより高速に実行することが可能なものの、同フレックスレイの通信負荷が増大したときには車両データを的確に送受信することは難しい。
【００４６】
この点、上記構成によれば、車両ネットワークとしてフレックスレイが採用される場合であれ、外部データの送信規制を通じて、各種車両データの円滑かつ確実な送受信を実現することが可能となる。
【図面の簡単な説明】
【００４７】
【図１】本発明にかかる車両ネットワークの通信管理装置の第１の実施の形態について、通信管理部と同通信管理部が設置される車両のネットワーク構成との概略構成を示すブロック図。
【図２】外部データの負荷のみに基づいた外部データの転送制御を想定した図であり、（ａ）は、外部データのＣＡＮバスへの転送前におけるＣＡＮバス及び外部用ネットワークのデータの送信状況を示す図。（ｂ）は、外部データのＣＡＮバスへの転送後におけるＣＡＮバス及び外部用ネットワークのデータの送信状況を示す図。
【図３】（ａ）は、外部データ監視部により監視される外部用ネットワークにおける外部データの送信状況の一例を示す図。（ｂ）は、外部データ監視部により監視される外部データの送信間隔の一例を示す図。（ｃ）は、外部データ監視部により監視される外部データの単位時間当たりの送信データ量の一例を示す図。
【図４】（ａ）は、車両データ監視部により監視されるＣＡＮバスにおける車両データの送信状況の一例を示す図。（ｂ）は、車両データ監視部により監視される車両データの送信間隔の一例を示す図。（ｃ）は、車両データ監視部により監視される車両データの単位時間当たりの送信データ量の一例を示す図。
【図５】本実施の形態の通信管理部による外部データの送信規制手順の一例を示すフローチャート。
【図６】本発明にかかる車両ネットワークの通信管理装置の第２の実施の形態について、通信管理部と同通信管理部が設置される車両のネットワーク構成との概略構成を示すブロック図。
【図７】本発明にかかる車両ネットワークの通信管理装置の第３の実施の形態について、通信管理部と同通信管理部が設置される車両のネットワーク構成との概略構成を示すブロック図。
【図８】本発明にかかる車両ネットワークの通信管理装置の他の実施の形態について、外部データ監視部により監視される外部データの単位時間当たりの送信データ量の一例を示す図。
【発明を実施するための形態】
【００４８】
（第１の実施の形態）
以下、本発明にかかる車両ネットワークの通信管理装置を具体化した第１の実施の形態について図１〜図５を参照して説明する。なお、本実施の形態は、車載制御装置間での信号の授受を、イベントトリガ方式で各種通信データが授受されるＣＡＮ（コントロール・エリア・ネットワーク）を介して行うものである。
【００４９】
図１に示すように、本実施の形態の通信管理装置は、車両Ｃに搭載された各種車載機器を制御する複数の車載制御装置（ＥＣＵ）１００と各種情報端末等から外部データが入力されるデータ・リンク・コネクタ（ＤＬＣ）３００との間に設けられる通信管理部２００によって構成される。
【００５０】
車載制御装置１００は、例えば、車室内の計器盤に設けられる速度計の表示態様を制御する計器制御装置、ドライバによるアクセルペダルの踏込み量に基づきエンジンの運転状態を制御するエンジン制御装置、ドライバによるブレーキペダルの踏込み量に基づきブレーキを制御するブレーキ制御装置などによって構成される。各車載制御装置１００は、車両ネットワークであるコントロール・エリア・ネットワーク（ＣＡＮ）を構成する通信線であるＣＡＮバス１１０に接続されている。ＣＡＮバス１１０に接続される各車載制御装置１００は、車両Ｃのドライバによる車両操作や車両Ｃの走行環境等に応じて各種車載機器を制御すべく、例えば、速度計の表示量、エンジンの制御量、ブレーキの制御量などをはじめとする車両データを、ＣＡＮバス１１０を介して各車載制御装置１００間で送受信する。なお、車両データは、ＣＡＮバス１１０内での転送ファイル形式である１ないし複数のデータフレームに変換されてＣＡＮバス１１０上で送受信される。また、各データフレームは、例えば、データ内容や送信ノードを識別するために使用されるＩＤ（識別子）や、最大で８バイトのデータを送信可能なデータフィールドなどを有したデータ構造となっている。
【００５１】
一方、車両Ｃには、同車両Ｃの診断に際して外部診断機器が接続されるＤＬＣ３００が設けられている。このＤＬＣ３００は、例えば、計器盤の下部に設けられており、ＣＡＮバス１１０に繋がる外部用ネットワーク３１０と電気的に接続されている。すなわち、ＤＬＣ３００は、車載制御装置１００が接続されるＣＡＮバス１１０に外部用ネットワーク３１０を介して接続される。そして、車両Ｃの診断に際しては、ＤＬＣ３００に外部診断機器が接続され、例えば診断用のデータが、ＣＡＮバス１１０内での転送ファイル形式であるデータフレームに変換されたのちに、同変換されたデータフレームが外部用ネットワーク３１０及びＣＡＮバス１１０を介して送信対象とする車載制御装置１００に送信される。また、外部用ネットワーク３１０及びＤＬＣ３００を介して、ＣＡＮバス１１０に送信される車両データが外部診断機器により取得される。なお、外部用ネットワーク３１０は、例えば、ＣＡＮバス１１０と同一の規格の通信線によって構成されており、外部用ネットワーク３１０により送受信可能なデータ量はＣＡＮバス１１０と共通したものとなっている。
【００５２】
また、ＤＬＣ３００は、各車載制御装置１００に組み込まれているアプリケーションプログラム等の制御プログラムや制御データに更新や修正の必要が生じた際、それらをリプログラミング（データ書き換え）するための書き換えデータが、車両Ｃの内部に取り込まれるときにも用いられる。そして、車載制御装置１００のデータ書き換えに際しては、ＤＬＣ３００に書き換えデータが車両Ｃの内部に入力され、この入力された書き換えデータが、外部用ネットワーク３１０及びＣＡＮバス１１０を介して書き換えの対象となる車載制御装置１００に送信される。
【００５３】
さらに、本実施の形態のＤＬＣ３００には、例えば、車両Ｃのドライバが所有する情報端末等が接続される。また、情報端末で利用される各種アプリケーション等のサービスの利用に際しては、同サービスを情報端末や車両Ｃで利用するための各種データがＤＬＣ３００を介して車両Ｃの内部に入力される。そして、この車両Ｃの内部に入力されデータも、外部用ネットワーク３１０及びＣＡＮバス１１０を介して、送信対象とする車載制御装置１００に送信される。
【００５４】
ところで、このようにＤＬＣ３００を介して取り込まれた各種データ（外部データ）が外部用ネットワーク３１０を介してＣＡＮバス１１０に送信されると、これに伴って、ＣＡＮバス１１０の使用率が増大し、同ＣＡＮバス１１０の負荷が増大する。このため、外部データが大量にＣＡＮバス１１０に送信されると、ＣＡＮバス１１０を介して本来送受信すべき車両データの送受信が阻害されることとなってしまう。
【００５５】
一方、図２（ａ）に例示するように、ＣＡＮバス１１０への入力を許容する所定の閾値を外部データＤ１に対して設け、そのデータ量が閾値以下であることを条件にＣＡＮバス１１０への外部データＤ１の送信を許可することも検討できる。しかし、図２（ｂ）に例示するように、外部データＤ１のデータ量のみを監視するだけでは、ＣＡＮバス１１０での車両データＦ１の送信状況によってはＣＡＮバス１１０の負荷が増大する虞がある。すなわち、ＣＡＮバス１１０では通常、車両データＦ１がブロードキャストで送信されることから、ＣＡＮバス１１０には車両データＦ１が定常的に送信される傾向にある。また、ＣＡＮバス１１０では、同ＣＡＮバス１１０に送信される車両データＦ１の送信周期やデータ量等が車両Ｃの状態等に起因して動的に変化する。よって、図２（ａ）及び（ｂ）に示したように、外部から入力される外部データＤ１のみを監視し、この外部データＤ１の入力を規制するだけでは、ＣＡＮバス１１０が高負荷になることを抑制し、ＣＡＮバス１１０による車両データＦ１の送受信機能を維持することは難しい。
【００５６】
そこで、本実施の形態では、図１に示すように、ＣＡＮバス１１０とＤＬＣ３００との間に設けられた通信管理部２００によって、ＤＬＣ３００から取り込まれた外部データの送信規制を実行することとする。なお、本実施の形態では、車両データがブロードキャストでＣＡＮバス１１０上を流れることから、ＣＡＮバス１１０に接続された通信管理部２００には、各車載制御装置１００間で送受信される全ての車両データが入力されるようになっている。
【００５７】
本実施の形態の通信管理部２００は、ＣＡＮバス１１０による車両データの送信状況を監視する車両データ監視部２１０を備えている。また、通信管理部２００は、ＤＬＣ３００に接続された外部診断機器や情報端末から出力されて外部用ネットワーク３１０を介して送信されてくる外部データの送信状況を監視する外部データ監視部２２０を備えている。
【００５８】
車両データ監視部２１０は、例えば、ＣＡＮバス１１０に送信される車両データのＩＤ、同車両データの送信間隔、同車両データの単位時間当たりの送信量（メッセージ量）等を監視し、この監視結果を示す信号を、同信号に基づき外部データの送信制御を行う制御判断部２３０に適宜出力する。また、車両データ監視部２１０は、ＣＡＮバス１１０に送信される車両データの送信間隔や送信量に基づきＣＡＮバス１１０の負荷を示す使用率を求め、この求めた使用率を示す信号を制御判断部２３０に出力する。なお、車両データ監視部２１０は、例えば、ＣＡＮバス１１０に実際に送信されている車両データの送信データ量をＣＡＮバス１１０により最大限送信可能なデータ量で除算した値をもとに、ＣＡＮバス１１０の使用率を求める。
【００５９】
外部データ監視部２２０は、例えば、外部用ネットワーク３１０に接続されており、ＤＬＣ３００及び外部用ネットワーク３１０を介して送信される外部データを受信する。そして、この外部データの受信状況に基づき、外部用ネットワーク３１０による外部データの送信状況を監視するとともに、この監視結果を示す信号を制御判断部２３０に適宜出力する。
【００６０】
本実施の形態の制御判断部２３０は、車両データ監視部２１０及び外部データ監視部２２０の監視結果に基づく外部データの送信制御を、ＣＡＮバス１１０の経路を示すルーティング情報やＣＡＮバス１１０が高負荷であるか否かの判断に際して基準となる閾値などが登録された保存領域２４０の参照を通じて行う。
【００６１】
保存領域２４０には、例えば、ＣＡＮバス１１０が高負荷状態であるか否かの判断に際して判断基準となる負荷基準値が登録されている。本実施の形態では、負荷基準値として、例えばコントロール・エリア・ネットワークの規格上推奨されている使用率約「３０％」を示す情報が登録されている。また、保存領域２４０には、ＣＡＮバス１１０の経路を示す情報であるルーティング情報が登録されている。
【００６２】
そして、制御判断部２３０は、こうした保存領域２４０の参照を通じて、例えば、車両データ監視部２１０から入力されたＣＡＮバス１１０の使用率が、保存領域２４０に登録された負荷基準値である約「３０％」を超えているか否かを判断する。また、制御判断部２３０は、外部データ監視部２２０による監視結果に基づき、ＤＬＣ３００及び外部用ネットワーク３１０を介して外部データが通信管理部２００に送信されているか否かを認識するとともに、この外部データの送信周期及びデータ量を認識する。そして、制御判断部２３０は、車両データの送受信に伴ってＣＡＮバス１１０の使用率が既に約「３０％」を超えており、かつ、外部データが通信管理部２００に送信されている旨判断すると、例えば通信管理部２００に送信されている外部データを破棄させる旨の制御指令を、外部データの送信規制を実行する送信規制部２５０に出力する。制御判断部２３０はまた、外部データの受信を所定時間停止させる旨の制御指令を送信規制部２５０に出力する。
【００６３】
一方、制御判断部２３０は、監視するＣＡＮバス１１０の使用率が約「３０％」以内であっても、ＤＬＣ３００及び外部用ネットワーク３１０を介して外部データが通信管理部２００に送信されているときには、この外部データがＣＡＮバス１１０に送信されたとき増大が予測されるＣＡＮバス１１０の使用率を算出する。そして、制御判断部２３０は、この算出したＣＡＮバス１１０の使用率が負荷基準値である約「３０％」を超える旨判断したときには、例えば、通信管理部２００に送信されてきた外部データを破棄させる旨の制御指令を送信規制部２５０に出力する。制御判断部２３０はまた、外部データの受信を所定時間停止させる旨の制御指令を送信規制部２５０に出力する。
【００６４】
送信規制部２５０は、外部データを破棄する旨の制御指令が制御判断部２３０から入力されると、この制御指令に従って、外部データ監視部２２０が受信した外部データを当該外部データ監視部２２０に破棄させる。すなわち、ＣＡＮバス１１０の使用率が約「３０％」を既に超えているとき、あるいは、外部データの入力に伴ってＣＡＮバス１１０の使用率が約「３０％」を超えることが予測されたときには、通信管理部２００に送信される外部データが一旦破棄され、この外部データがＣＡＮバス１１０内に送信されないこととなる。このため、ＣＡＮバス１１０の負荷が高い状態、あるいは、ＣＡＮバス１１０の負荷の増大が予測される状態では、ＤＬＣ３００及び外部用ネットワーク３１０を介して送信されてきた外部データがＣＡＮバス１１０に送信されることが禁止され、ＣＡＮバス１１０の負荷が過度に増大することが抑制される。また、送信規制部２５０は、外部データの受信を停止する旨の制御指令が制御判断部２３０から入力されると、この制御指令に従って、外部データ監視部２２０による外部データの受信を所定時間停止させる。このため、例えば、ＣＡＮバス１１０を介して送受信される車両データのデータ量が低減するまで、換言すれば、高負荷状態にあるＣＡＮバス１１０が低負荷状態に遷移するまでの間、外部データが通信管理部２００に入力されることが抑制される。そして、例えば、ＤＬＣ３００に接続された情報端末の画像表示部等には、外部データの送信エラーを示す画像や、所定期間経過後の外部データの再送信を促す画像等が表示される。
【００６５】
一方、送信規制部２５０は、外部データをＣＡＮバス１１０に送信したとしても同外部データの送信後のＣＡＮバス１１０の使用率を例えば約「３０％」以内に維持可能な場合には、外部データの送信規制を実行しない。これにより、ＤＬＣ３００及び外部用ネットワーク３１０を介して送信され、外部データ監視部２２０が受信した外部データが、ＣＡＮバス１１０に転送されることとなる。
【００６６】
次に、本実施の形態の外部データ監視部２２０による外部データの監視態様を図３を参照して説明する。
図３（ａ）に示すように、例えば、ＤＬＣ３００に接続された情報端末から外部データが入力され、この外部データが変換されたデータフレームＤａ〜Ｄｆが外部用ネットワーク３１０に送信されたとする。
【００６７】
外部データ監視部２２０はまず、外部用ネットワーク３１０を介して送信されたデータフレームＤａ〜Ｄｆを受信すると、外部データがＤＬＣ３００を介して車両Ｃの内部に入力された旨を認識する。
【００６８】
また、外部データ監視部２２０は、例えば、データフレームＤａ〜Ｄｆの受信間隔を計測することにより、図３（ｂ）に示すように、外部用ネットワーク３１０による各データフレームＤａ〜Ｄｆの送信間隔Δｔｄを求める。そして、外部データ監視部２２０は、この求めた送信間隔Δｔｄを示す信号を、上記制御判断部２３０に出力する。また一方、外部データ監視部２２０は、図３（ｃ）に示すように、データフレームＤａ〜Ｄｆの受信状況に基づき、例えば、期間Ｔ１におけるデータフレームの数を計測することにより、外部用ネットワーク３１０を介して送信される外部データの単位時間当たりの送信データ量を求める。そして、外部データ監視部２２０は、この求めた送信データ量を示す信号を、上記制御判断部２３０に出力する。
【００６９】
なお、例えば、ＤＬＣ３００を介して大量の外部データが車両Ｃの内部に送信されるＤｏｓ攻撃が行われたときには、外部用ネットワーク３１０における外部データの送信間隔Δｔｄは、車両データがＣＡＮバス１１０上を流れる際の送信間隔よりも短くなる。また同様に、外部用ネットワーク３１０における外部データの単位時間当たりのデータ量も、車両データがＣＡＮバス１１０上を流れる際の単位時間当たりのデータ量よりも多くなる。よって本実施の形態の制御判断部２３０では、車両データがＣＡＮバス１１０上を流れる際の送信間隔や単位時間当たりのデータ量と、外部用ネットワーク３１０上を流れる外部データの送信間隔や単位時間当たりのデータ量とを比較することによって、ＤＬＣ３００を介して入力される外部データがＤｏｓ攻撃であるか否かを把握することが可能となっている。
【００７０】
なお、こうした外部データ監視部２２０による外部データの監視は、例えば、通信管理部２００による外部データの受信状況を外部データ監視部２２０が監視することによって行われる。また、こうした外部データ監視部２２０による監視は所定の時間間隔のもとに実行され、例えば、外部用ネットワーク３１０に送信され得る外部データの送信間隔の最小値よりも短い時間間隔のもとに行われる。
【００７１】
続いて、本実施の形態の車両データ監視部２１０による車両データの監視態様を図４を参照して説明する。
図４（ａ）に示すように、例えば、車両データが変換されたデータフレームＦａ〜Ｆｅが各車載制御装置１００から送信されると、例えば、データフレームＦａ〜ＦｅはＣＡＮバス１１０の途中に設けられた通信管理部２００を経由して各車載制御装置１００に送信される。そして、車両データ監視部２１０は、通信管理部２００を経由するデータフレームＦａ〜Ｆｅを監視することにより、ＣＡＮバス１１０による車両データの送信状況を監視する。
【００７２】
また、車両データ監視部２１０は、ＣＡＮバス１１０の監視を通じて、図４（ｂ）に示すように、それら検知した各データフレームＦａ〜Ｆｅの送信間隔Δｔｆを計測する。そして、車両データ監視部２１０は、この計測した送信間隔Δｔｆを示す信号を、上記制御判断部２３０に出力する。また一方、車両データ監視部２１０は、車両データ監視部２１０の監視を通じて、図４（ｃ）に示すように、例えば、期間Ｔ２におけるデータフレームの数を計測することにより、ＣＡＮバス１１０による車両データの単位時間当たりの送信データ量を求める。そして、車両データ監視部２１０は、この求めた送信データ量を示す信号を、上記制御判断部２３０に出力する。さらに、車両データ監視部２１０は、例えば、これら計測したデータフレームＦａ〜Ｆｅの送信間隔Δｔｆや送信データ量に基づき、ＣＡＮバス１１０の使用率を求め、この求めた使用率を示す信号を制御判断部２３０に出力する。
【００７３】
以下、本実施の形態の車両ネットワークの通信管理装置の作用について図５を参照して説明する。
図５に示すように、ＤＬＣ３００に情報端末等が接続され、この情報端末により所定のデータ量の外部データがＤＬＣ３００及び外部用ネットワーク３１０に送信されると、外部用ネットワーク３１０に送信された外部データを外部データ監視部２２０が受信する（ステップＳ１０１）。そして、外部データ監視部２２０は、この外部データの受信状況に基づき、外部データの送信間隔及び単位時間当たりの送信データ量を求め、それら求めた外部データの送信間隔及び送信データ量を示す信号を制御判断部２３０に出力する。
【００７４】
次いで、制御判断部２３０は、車両データ監視部２１０による車両データの監視を通じて、ＣＡＮバス１１０の使用率、ＣＡＮバス１１０上を流れる車両データの送信間隔、及び同車両データの単位時間当たりの送信データ量を示す信号を取得する（ステップＳ１０２）。
【００７５】
制御判断部２３０は、車両データ監視部２１０から取得したＣＡＮバス１１０の使用率が、例えばＣＡＮバス１１０の高負荷状態を示す約「３０％」以下、すなわち、負荷基準値以下であるか否かを判断する（ステップＳ１０３）。
【００７６】
そして、ＣＡＮバス１１０の使用率が約「３０％」以下であると、制御判断部２３０は、車両データ監視部２１０及び外部データ監視部２２０による監視結果に基づき、外部データ監視部２２０が受信した外部データをＣＡＮバス１１０に送信したときに増大が予測されるＣＡＮバス１１０の使用率を求める（ステップＳ１０３：ＹＥＳ、Ｓ１０４）。次いで、制御判断部２３０は、この求めた使用率が例えば約「３０％」以下であるか否かを判断する（ステップＳ１０５）。
【００７７】
そして、制御判断部２３０は、外部データ監視部２２０が受信した外部データをＣＡＮバス１１０に送信したとしてもＣＡＮバス１１０の使用率が約「３０％」以内に維持される旨判断すると（ステップＳ１０５：ＹＥＳ）、外部データ監視部２２０が受信した外部データをＣＡＮバス１１０に転送させる（ステップＳ１０６）。
【００７８】
一方、ステップＳ１０３において、ＣＡＮバス１１０の使用率が約「３０％」を超えている旨判断されたときには、ＣＡＮバス１１０が既に高負荷状態にあるとして、外部データ監視部２２０が受信した外部データが破棄される（ステップＳ１０３：ＮＯ、Ｓ１０７）。同様に、ＣＡＮバス１１０の使用率が約「３０％」以下であったとしても、外部データ監視部２２０が受信した外部データをＣＡＮバス１１０に送信することによってＣＡＮバス１１０の使用率が約「３０％」を超えることが予測されるときには、外部データ監視部２２０が受信した外部データが破棄される（ステップＳ１０５：ＮＯ、Ｓ１０７）。
【００７９】
また、外部データの破棄後は、外部データ監視部２２０により外部データを受信することが所定期間だけ停止され、ＤＬＣ３００及び外部用ネットワーク３１０を介して送信される外部データが外部データ監視部２２０（通信管理部２００）に取り込まれることが停止される（ステップＳ１０８、Ｓ１０９）。
【００８０】
こうして、所定期間が経過し（ステップＳ１０９：ＹＥＳ）、例えばＤＬＣ３００に接続された情報端末から外部データが再送されると、再び、外部用ネットワーク３１０側での外部データの監視とＣＡＮバス１１０側での車両データの監視とが行われる。そして、ＣＡＮバス１１０の負荷を踏まえて外部データのＣＡＮバス１１０への入力の要否が決定されるようになる。
【００８１】
以上説明したように、本実施の形態にかかる車両ネットワークの通信管理装置によれば、以下の効果が得られるようになる。
（１）車両ネットワークであるＣＡＮバス１１０に送信される車両データの送信状況を車両データ監視部２１０により監視するとともに、外部から入力される外部データを外部データ監視部２２０により監視することとした。そして、車両データ及び外部データの送信状況と外部データがＣＡＮバス１１０に及ぼす負荷とに応じて、ＣＡＮバス１１０への外部データの送信を規制することとした。このため、ＣＡＮバス１１０で送受信すべき車両データが増大したときには、外部データがＣＡＮバス１１０に取り込まれることがなく、ＣＡＮバス１１０の通信量が飽和することが抑制される。これにより、ＣＡＮバス１１０内に外部データを入力可能としながらも、この外部データの送信規制を通じてＣＡＮバス１１０による車両データの送受信機能を的確に担保することが可能である。また、このため、例えば、大量の不正データがＣＡＮバス１１０に送りつけられるようなＤｏｓ攻撃が行われたとしても、この大量の不正データの送信規制を通じて、同データがＣＡＮバス１１０に入力されることが抑制される。これにより、外部から送信される外部データをＣＡＮバス１１０の内部に入力可能な構成としながらも、車両Ｃの制御に必要な各車載制御装置１００が接続されるＣＡＮバス１１０に対するＤｏｓ攻撃等を抑制することが可能となり、ＣＡＮバス１１０としてのセキュリティー性が高められるようにもなる。
【００８２】
（２）車両データ監視部２１０によりＣＡＮバス１１０の使用率を監視することとした。そして、外部データがＣＡＮバス１１０に送信されたときに増加が予測されるＣＡＮバス１１０の使用率が、ＣＡＮバス１１０の高負荷状態を示す所定の閾値を超えるとき、送信規制部２５０による外部データの送信規制を実行することとした。このため、監視中のＣＡＮバス１１０の負荷のみならず、外部データが送信されたときに増大が予測されるＣＡＮバス１１０の使用率に基づいた送信規制が実行される。これにより、外部データがＣＡＮバス１１０に入力されることに起因してＣＡＮバス１１０の使用率が過剰に増大することが的確に抑制されるようになる。また、上記閾値として例えばＣＡＮバス１１０の規格上推奨される約「３０％」を設定することにより、外部データをＣＡＮバス１１０に入力可能な構成としながらもＣＡＮバス１１０の使用率を約「３０％」以内に抑えることが可能となる。これにより、ＣＡＮバス１１０による車両データの送受信を、送信遅延や送信不良等を発生させることなく行うことが可能となり、ＣＡＮバス１１０の特性を踏まえた的確な通信管理が行われるようになる。
【００８３】
（３）車両データ監視部２１０により車両データの送信間隔及び単位時間当たりの送信データ量を監視するとともに、外部データ監視部２２０により外部データの送信間隔及び単位時間当たりの送信データ量を監視することとした。これにより、車両データの送信間隔や送信データ量、並びに外部データの送信間隔や送信データ量に基づき、車両データ及び外部データがＣＡＮバス１１０に及ぼす負荷を的確に求めることが可能となり、この求めた負荷に基づく外部データの送信規制を的確に実行することが可能になる。
【００８４】
（４）送信規制部２５０による外部データの送信規制として、外部データ監視部２２０が受信した外部データの破棄を実行することとした。通信管理部２００に外部データが入力されたとしても、ＣＡＮバス１１０が高負荷状態にあるときには、入力された外部データが破棄されることにより、この外部データがＣＡＮバス１１０に送信されず、ＣＡＮバス１１０で通信中の車両データの送受信を優先して行わせることが可能となる。
【００８５】
（５）送信規制部２５０による外部データの送信規制として、外部データ監視部２２０に入力される外部データの受信停止を所定期間だけ実行することとした。これにより、ＣＡＮバス１１０に外部データを取り込ませる余裕がないと判断されて以降は、通信管理部２００に外部データが取り込まれることがなく、ＣＡＮバス１１０の負荷に応じて外部データを破棄する必要もない。
【００８６】
（６）通信管理部２００を、ＣＡＮバス１１０と外部用ネットワーク３１０との間に配置した。そして、外部用ネットワーク３１０を介して送信される外部データの送信状況の監視を通じて、送信規制部２５０による外部データの送信規制を実行することとした。このため、外部用ネットワーク３１０を介して送信されてきた外部データは通信管理部２００を経由してＣＡＮバス１１０に送信されることとなり、同通信管理部２００による外部データの送信規制を的確に実行することが可能となる。また、このため、外部データが外部用ネットワーク３１０を介して実際に送信される際の送信周期や単位時間当たりの送信データ量等に基づいて、この外部データがＣＡＮバス１１０に及ぼす負荷を特定することが可能となる。これにより、この外部データがＣＡＮバス１１０に送信されたときの負荷を精度よく推定することが可能となる。
【００８７】
（７）上記通信管理部２００を、外部診断機器が接続されるコネクタとして車両内に設けられたＤＬＣ３００とＣＡＮバス１１０との間に設けることとした。このため、露出した状態で車室内に設けられ、外部の情報端末等と車両ネットワークとを容易に接続可能なＤＬＣ３００を介して入力される外部データが送信規制される。これにより、ＤＬＣ３００を介して外部から入力されてくる外部データの送信規制を的確に実行することが可能となる。
【００８８】
（８）上記車両ネットワークとして、コントロール・エリア・ネットワークからなるＣＡＮバス１１０を対象とした。このため、車両ネットワークとしての汎用性が高く、また、送受信機能を維持する必要性が特に高いコントロール・エリア・ネットワークについても、外部データの送信機能を通じて、コントロール・エリア・ネットワークによる送受信機能を的確に維持することが可能となる。
【００８９】
（第２の実施の形態）
次に、本発明にかかる車両ネットワークの通信管理装置の第２の実施の形態を、第１の実施の形態との相違点を中心に、先の図１に対応する図である図６を参照して説明する。なお、本実施の形態にかかる車両ネットワークの通信管理装置も、その基本的な構成は第１の実施の形態と同等であり、本実施の形態においても第１の実施の形態と実質的に同一の要素にはそれぞれ同一の符号を付して示し、重複する説明は割愛する。
【００９０】
図６に示すように、本実施の形態の通信管理部２００Ａを構成する制御判断部２３０Ａは、外部データが、車載制御装置１００に組み込まれているアプリケーションプログラム等の制御プログラムや制御データをリプログラミング（データ書き換え）するための書き換えデータであるか否かを判定する書き換えデータ判定部２３１を備えている。また、本実施の形態の制御判断部２３０Ａは、外部から入力されたデータが書き換えデータであったとき、外部データをＣＡＮバス１１０に転送するか否かの判断に際して基準となる負荷基準値を変更する負荷基準値変更部２３２を備えている。
【００９１】
また、車載制御装置１００に組み込まれている制御プログラムや制御データの更新や修正に際しては、ＤＬＣ３００に専用の機器が接続されて、この接続された機器から書き換えデータが入力される。なお、書き換えデータには、例えば、同データが車載制御装置１００のデータを書き換えるための書き換えデータである旨を示すＩＤが予め付与されている。
【００９２】
そして、ＤＬＣ３００に専用の機器が接続され、この接続された機器から書き換えデータが送信されると、この書き換えデータは、外部用ネットワーク３１０を介して通信管理部２００Ａに送信されて外部データ監視部２２０により監視される。外部データ監視部２２０は、書き換えデータの送信間隔及び単位時間当たりの送信データ量を監視し、この監視結果を制御判断部２３０Ａに出力する。また、本実施の形態の外部データ監視部２２０は、書き換えデータに付与されているＩＤを認識すると、この認識したＩＤを示す信号を、制御判断部２３０Ａに出力する。
【００９３】
そして、本実施の形態の制御判断部２３０Ａでは、外部データ監視部２２０からＩＤを示す信号が入力されると、書き換えデータ判定部２３１によって、外部データ監視部２２０により監視対象とされる外部データが書き換えデータであるか否かが判定される。また、本実施の形態の書き換えデータ判定部２３１は、外部データ監視部２２０により認識されたＩＤと、例えば、保存領域２４０Ａに予め登録されている書き換えデータＩＤとの照合を通じて、外部データが書き換えデータであるか否かを判定する。そして、書き換えデータ判定部２３１は、この判定結果を負荷基準値変更部２３２に出力する。
【００９４】
負荷基準値変更部２３２は、外部データが書き換えデータである旨の判定結果が書き換えデータ判定部２３１から入力されると、この書き換えデータに対する送信規制を緩和すべく、外部データの送信規制を実行するか否かの基準となる負荷基準値を変更する処理を実行する。本実施の形態の負荷基準値変更部２３２は、外部データが書き換えデータであるときには、送信規制を実行するか否かの基準値として設定されているＣＡＮバス１１０の使用率を、例えば「３０％」から「４０％」へと一時的に高める処理を実行する。
【００９５】
そして、送信規制部２５０による書き換えデータの送信規制に際しては、ＣＡＮバス１１０の使用率が「４０％」を超えているか否か、及び、ＣＡＮバス１１０への書き換えデータの転送後に予測される同ＣＡＮバス１１０の使用率が「４０％」を超えるか否かを基準として、書き換えデータの転送の可否が決定される。
【００９６】
この結果、ＣＡＮバス１１０の使用率が「４０％」以内であり、かつ、ＣＡＮバス１１０への書き換えデータの転送後に予測される同ＣＡＮバス１１０の使用率が「４０％」以内であるときには、外部から入力された書き換えデータがＣＡＮバス１１０に転送されることとなる。そして、このＣＡＮバス１１０に転送された書き換えデータは、書き換えの対象となる車載制御装置１００に送信され、同車載制御装置１００に組み込まれているデータが書き換えられることとなる。
【００９７】
なお、負荷基準値変更部２３２は、書き換えデータ判定部２３１の判定結果に基づき負荷基準値を一度変更したとしても、書き換えデータとは異なる外部データが新たに入力されたときには、一旦高めた使用率（負荷基準値）を、例えば「４０％」から初期値である「３０％」に戻す処理を実行する。こうして、外部データが書き換えデータであるか否かに応じて、送信規制部２５０による送信規制の実行基準が動的に変更されることとなる。
【００９８】
以上説明したように、本実施の形態にかかる車両ネットワークの通信管理装置によれば、前記（１）〜（８）の効果が得られるとともに、さらに以下の効果が得られるようになる。
【００９９】
（９）制御判断部２３０Ａに、外部データが車載制御装置１００に組み込まれている制御プログラムや制御データをデータ書き換えするための書き換えデータであるか否かを判定する書き換えデータ判定部２３１を設ける構成とした。また、外部から入力されたデータが書き換えデータであったときに負荷基準値を変更する負荷基準値変更部２３２を制御判断部２３０Ａに設ける構成とした。このため、外部から入力されたデータが書き換えデータであったときには、書き換えデータを他の外部データよりも優先してＣＡＮバス１１０に転送すべく、送信規制部２５０による送信規制が緩和される。これにより、車載制御装置１００のデータ書き換えに必要なデータが不要に送信規制されることが抑制され、ＣＡＮバス１１０を介した書き換えデータの送受信を的確に実行することが可能となる。
【０１００】
（第３の実施の形態）
次に、本発明にかかる車両ネットワークの通信管理装置の第３の実施の形態を、第１の実施の形態との相違点を中心に、先の図１に対応する図である図７を参照して説明する。なお、本実施の形態にかかる車両ネットワークの通信管理装置も、その基本的な構成は第１の実施の形態と同等であり、本実施の形態においても第１の実施の形態と実質的に同一の要素にはそれぞれ同一の符号を付して示し、重複する説明は割愛する。
【０１０１】
図７に示すように、本実施の形態の通信管理部２００Ｂを構成する制御判断部２３０Ｂは、各車載制御装置１００間で送受信される車両データの種別を識別する車両データ種別識別部２３３と、この車両データ種別識別部２３３による識別結果に応じて外部データの送信規制の実行期間を設定する送信規制時間設定部２３４とを備えている。
【０１０２】
すなわち、各車載制御装置１００間で送受信される車両データには通常、例えば、車両Ｃの室外の温度を示す温度データなど、予め定められた周期のもとに定期的に送信される定期データが存在する。そして、車両データが定期データであるか否かは、車両データの送信に際して同車両データに予め付与されるＩＤに基づき識別することが可能となっている。
【０１０３】
そこで、本実施の形態の保存領域２４０Ｂには、車両データが定期データであるか否かを識別すべく、ＣＡＮバス１１０に送信され得る定期データの１ないし複数種のデータの識別子及びデータ長及び送信周期を示す定期送信リストが予め登録されている。
【０１０４】
また、車両データには通常、車両Ｃが所定の交通要素に接近することやドライバにより各種操作が行われることに起因して車両Ｃの状態が変化することにより、各車載制御装置１００間での送受信が一時的に必要となるイベントデータが存在する。イベントデータとしては、例えば、車両Ｃがカーブ等の所定の交通要素に接近したことに伴い、車両Ｃに搭載されたナビゲーションシステムを制御する制御装置と各車載制御装置１００との間での送受信が必要となるデータや、ドライバにより減速操作や加速操作が行われたことにより各車載制御装置１００で送受信が必要となるデータが存在する。そして、こうしたイベントデータは、車両Ｃの交通要素への接近等の各種イベントに伴って発生するものであり、車両Ｃが交通要素を通過するなど、イベントが終了したのちには各車載制御装置１００間での送受信が不要になるデータである。そして、車両データがこうしたイベントデータであるか否か、及び、イベントデータの種別についても、車両データの送信に際して同車両データに予め付与されるＩＤに基づき識別することが可能となっている。
【０１０５】
そこで、本実施の形態の保存領域２４０Ｂには、車両データがイベントデータであるか否かを判定可能とするとともにイベントデータの種別を識別可能とすべく、ＣＡＮバス１１０に送信され得るイベントデータの１ないし複数種のデータの識別子及びデータ長及び送信周期を示すイベント送信リストが予め登録されている。
【０１０６】
そして、本実施の形態の通信管理部２００Ｂによる外部データの送信規制に際してはまず、車両データ種別識別部２３３が、車両データ監視部２１０による監視を通じて、監視対象とされた車両データに付与されているＩＤを取得する。
【０１０７】
車両データ種別識別部２３３は、この取得したＩＤをもとに、保存領域２４０Ｂに登録されている定期送信リスト及びイベント送信リストを参照することにより、車両データ監視部２１０により監視対象とされた車両データの種別が、定期データ及びイベントデータのいずれであるかを識別する。また、車両データ種別識別部２３３は、種別を識別した車両データのデータ長や送信周期を、定期送信リスト及びイベント送信リストの参照を通じて識別する。そして、車両データ種別識別部２３３は、この識別結果を送信規制時間設定部２３４に出力する。
【０１０８】
送信規制時間設定部２３４は、車両データ種別識別部２３３から入力された車両データの種別、送信周期、データ長に基づいて、外部データの送信規制の実行時間を設定する。例えば、送信規制時間設定部２３４は、ＣＡＮバス１１０上を流れている車両データが車両Ｃでのイベントに伴って発生したイベントデータであるときには、イベントの終了までに要する時間を予測し、この予測した時間を外部データの送信規制の実行時間として定める。この送信規制の実行時間の設定に際しては、例えば、イベントデータが、走行中の車両Ｃが或る交通要素に接近したことに伴って発生したデータであるときには、車両Ｃが交通要素を通過するまでに要する時間が送信規制の実行時間として設定される。また、送信規制の実行時間は、例えば、保存領域２４０Ｂの参照を通じて識別されたイベントデータの送信周期やデータ長に基づいて定められる。同様に、ＣＡＮバス１１０上を流れている車両データが定期データであるときにも、例えば、保存領域２４０Ｂの参照を通じて識別された定期データの送信周期やデータ長に基づいて送信規制の実行時間が定められる。
【０１０９】
こうして、通信管理部２００Ｂは、外部データの送信規制に際し、車両データ種別識別部２３３により定められた実行時間のもとに送信規制を実行する。これにより、例えば、先の図５に示したステップＳ１０８、Ｓ１０９において外部データの受信が停止される期間が、送信規制時間設定部２３４により定められた値へと可変設定される。こうして、車両データの種別や送信周期等に応じた送信規制が実行されることとなる。
【０１１０】
この結果、ＣＡＮバス１１０が高負荷状態となる期間が一時的であることが予測されるときには、この期間に応じて、例えば外部データの受信停止が一時的に実行される。これにより、送信規制部２５０による外部データの送信規制が早期に解除され、外部データの転送条件さえ満たされると、ＣＡＮバス１１０への外部データの転送を早い段階で許可することが可能となる。
【０１１１】
一方、ＣＡＮバス１１０が高負荷状態となる期間が長期間継続されると予測されるときには、この期間に応じて、例えば外部データの受信停止が長期的に実行される。このため、一旦、ＣＡＮバス１１０が高負荷状態にあり、かつ、この高負荷状態が所定期間継続すると判断されて以降は、車両データの送信状況に応じた期間だけ外部データの送信規制が実行される。そのため、ＣＡＮバス１１０の負荷が低下するまで、一旦設定された送信規制の実行時間のもとに外部データの受信が停止されることとなる。これにより、外部データの受信を停止している期間においては、先の図５のステップＳ１０１〜Ｓ１０５等に示した処理を実行する必要もなく、通信管理部２００Ｂの演算負荷が軽減されることとなる。またこれにより、ＣＡＮバス１１０の負荷が低下するまでの間、通信管理部２００Ｂによる外部データの受信を停止することが可能となり、この外部データがＣＡＮバス１１０に送信されることを的確に抑制することが可能となる。
【０１１２】
以上説明したように、本実施の形態にかかる車両ネットワークの通信管理装置によれば、前記（１）〜（８）の効果が得られるとともに、さらに以下の効果が得られるようになる。
【０１１３】
（１０）ＣＡＮバス１１０の車両データの送信状況に応じて外部データの送信規制にかかる実行期間を可変設定することとした。これにより、車両データの送信状況に応じた送信規制を実行することが可能となり、車両データの送信状況に見合った的確な送信規制を実行することが可能となる。
【０１１４】
（１１）車両データとして車両内でのイベントの発生に伴い送受信が開始されるイベントデータが前記車両ネットワークに送信されたとき、イベントが終了するまでの間、送信規制部２５０による外部データの送信規制を実行することとした。このため、車両Ｃ内でのイベントの発生に伴ってＣＡＮバス１１０が高負荷状態になったとしても、イベントが終了するまで、すなわち、イベントの終了に伴いＣＡＮバス１１０が高負荷状態から低負荷状態に遷移するまでの間、外部データがＣＡＮバス１１０に送信されることが抑制される。これにより、車両Ｃ内でのイベントの発生を踏まえた外部データの送信規制を通じて、各車載制御装置１００間でのイベントデータの送受信を確実に実行することが可能となる。
【０１１５】
（１２）保存領域２４０Ｂに、定期データのＩＤ及びデータ長及び送信周期が登録された定期送信リストと、イベントデータのＩＤ及びデータ長が登録されたイベント送信リストとを設ける構成とした。また、定期送信リスト及びイベント送信リストの参照を通じて、車両データの種別、データ長、送信周期等を識別する車両データ種別識別部２３３と、この車両データ種別識別部２３３による識別結果に応じて外部データの送信規制の実行時間を定める送信規制時間設定部２３４とを制御判断部２３０Ｂに設ける構成とした。このため、車両データ種別識別部２３３により識別した車両データの種類、データ長、及び送信周期に基づいて、ＣＡＮバス１１０の負荷の増減を予測することや、ＣＡＮバス１１０による車両データの送信状況をより詳細に特定することが可能となる。これにより、車両データの監視を通じた外部データの送信規制をより的確に実行することが可能となる。
【０１１６】
（１３）送信規制時間設定部２３４により定めた送信規制時間を、外部データ監視部２２０による外部データの受信停止期間に反映させることとした。このため、車両Ｃ内でのイベントの終了に伴って、高負荷状態にあったＣＡＮバス１１０が低負荷状態に遷移することが予測されるまの間は、外部データ監視部２２０による外部データの受信が停止される。これにより、車両Ｃ内のイベントが終了し、ＣＡＮバス１１０が低負荷状態となるまでの間は、外部データがＣＡＮバス１１０に転送されることもない。また、これにより、送信規制時間設定部２３４により定めた送信規制時間が経過するまでの間は、外部データの受信が停止されることから、外部データの監視や同外部データがＣＡＮバス１１０に与える負荷の予測等の演算を行う必要もない。
【０１１７】
（他の実施の形態）
なお、上記各実施の形態は、以下のような形態をもって実施することもできる。
・上記各実施の形態では、先の図５に示した処理を、所定のデータ単位で行うこととした。これに限られず、例えば、データフレーム単位でステップＳ１０１〜Ｓ１０８の処理を実行するようにしてもよい。
【０１１８】
・上記各実施の形態では、ＤＬＣ３００及び外部用ネットワーク３１０を介して入力される外部データがＣＡＮバス１１０に及ぼす負荷とＣＡＮバス１１０での車両データの送信状況とに応じて、外部データの送信規制を行った。さらに、この外部データの送信規制に先立ち、例えば、外部から入力された外部データのＩＤやデータ長を識別するとともに、ＣＡＮバス１１０に適合しないと識別された外部データをフィルタリングする機能を上記通信管理部２００、２００Ａ、２００Ｂに設けてもよい。これにより、予めフィルタリングされた外部データに対して送信規制の要否を実行することが可能となり、ＣＡＮバス１１０に適合する外部データのみを、通信管理部２００、２００Ａ、２００ＢからＣＡＮバス１１０へと転送することが可能となる。
【０１１９】
・上記第３の実施の形態では、車両データが定期データ及びイベントデータのいずれであるか否かを、車両データのＩＤと保存領域２４０Ｂに登録されたイベント送信リストとの照合を通じて行った。これに限らず、例えば、車両データに付与されている識別子に基づいて車両データがイベントデータであるか否かを識別可能な場合には、保存領域２４０Ｂのイベント送信リストや定期送信リストを割愛する構成としてもよい。この場合には、例えば、先の図４（ｂ）に対応する図として図８に示すように、各データフレームＦｉａ〜Ｆｉｃがイベントデータである旨を示す識別子Ｉｂが検知されたことに基づき、各データフレームＦｉａ〜Ｆｉｃがイベントデータであると識別される。そして、この識別子Ｉｂが付与されたデータフレームＦｉａ〜Ｆｉｃが所定期間Δｔｆ２の間に所定数検知されたとき、イベントの発生に伴いＣＡＮバス１１０の負荷が増大するとして、外部データの送信規制を実行するようにしてもよい。
【０１２０】
・上記各実施の形態では、外部データの送信規制として、外部データ監視部２２０が受信した外部データの破棄、及び外部データ監視部２２０に入力される外部データの受信停止を実行することとした。これに限らず、例えば、外部データ監視部２２０が受信した外部データを一時的に格納可能な記憶領域を通信管理部２００に設け、外部データの送信規制に際しては、外部データ監視部２２０が受信した外部データを記憶領域に格納させるようにしてもよい。そして、車両データの負荷が低下したことをもって、記憶領域に格納された外部データをＣＡＮバス１１０に送信する送信保留を実行するようにしてもよい。この場合には、ＤＬＣ３００を介して入力された外部データは、ＣＡＮバス１１０が低負荷状態となるのを待って同ＣＡＮバス１１０に送信されることとなり、ＤＬＣ３００を介して入力された外部データをＣＡＮバス１１０に的確に送信することが可能となる。また、これに限らず、外部データの送信規制として、ＣＡＮバス１１０に送信する外部データの送信量をＣＡＮバス１１０の負荷に適応させる通信調整を実行するようにしてもよい。この場合には、外部データをＣＡＮバス１１０に転送することによりＣＡＮバス１１０の負荷が負荷基準値を超えることが予測されたときには、外部データ監視部２２０が受信した外部データの送信周期や単位時間当たりの送信データ量が調整されて外部データがＣＡＮバス１１０に転送される。この結果、ＣＡＮバス１１０の負荷が負荷基準値の以内となる範囲で、外部データがＣＡＮバス１１０に漸次転送されることとなり、ＣＡＮバス１１０の負荷を負荷基準値以内に抑えつつ、余剰部分を利用した外部データの転送を行うことが可能となる。
【０１２１】
・上記各実施の形態では、車両データ監視部２１０によりＣＡＮバス１１０の使用率及び車両データの送信間隔及び単位時間当たりの送信データ量を監視するとともに、外部データ監視部２２０により外部データの送信間隔及び単位時間当たりの送信データ量を監視することとした。これに限らず、例えば、車両データ監視部２１０により、ＣＡＮバス１１０の使用率及び車両データの送信間隔及び単位時間当たりの送信データ量のいずれか一方のみを監視するようにしてもよい。同様に、外部データ監視部２２０により、外部データの送信間隔及び単位時間当たりの送信データ量のいずれか一方を監視するようにしてもよい。この場合であれ、ＣＡＮバス１１０の使用率、車両データの送信間隔、あるいは単位時間当たりの送信データ量、並びに、車両データの送信間隔あるいは単位時間当たりの送信データ量に基づき、車両データ及び外部データがＣＡＮバス１１０に及ぼす負荷を踏まえた送信規制を実行することができる。またこの他、例えば、車両データや外部データに付与されているＩＤのみを監視し、この監視するＩＤに基づき車両データや外部データのデータ長や送信周期などを監視するようにしてもよい。要は、車両データの送受信に伴うＣＡＮバス１１０の負荷や、外部データの負荷を監視することができればよく、車両データ監視部２１０及び外部データ監視部２２０により監視対象とする要素は適宜変更できる。
【０１２２】
・上記各実施の形態では、外部データの送信規制の実行基準となるＣＡＮバス１１０の使用率として「３０％」を規定した。これに限らず、外部データの送信規制の実行基準となるＣＡＮバス１１０の使用率としては、ＣＡＮバス１１０の通信機能を維持できる使用率であればよく、「２９％」以下とすることや、「３１％」以上とすることも可能である。
【０１２３】
・上記各実施の形態では、車両データ監視部２１０によりＣＡＮバス１１０の使用率を監視することとした。そして、外部データがＣＡＮバス１１０に送信されたときに増加が予測されるＣＡＮバス１１０の使用率が、ＣＡＮバス１１０の高負荷状態を示す所定の閾値を超えるとき、送信規制部２５０による外部データの送信規制を実行することとした。これに限らず、例えば、ＣＡＮバス１１０により円滑に送信可能なデータ量を予め規定し、この規定したデータ量を、車両データ及び外部データの合計値が超えるときに、送信規制部２５０による外部データの送信規制を実行するようにしてもよい。要は、送信規制部２５０による外部データの送信規制の実行基準となる負荷基準値とは、ＣＡＮバス１１０の負荷が反映されるものであればよく、適宜変更することができる。
【０１２４】
・上記通信管理部２００を、外部診断機器が接続されるコネクタとして車両内に設けられたＤＬＣ３００とＣＡＮバス１１０との間に設けることとした。これに限らず、通信管理部２００の配置位置とは、外部データがＣＡＮバス１１０に送信される以前に、この外部データが車両データに及ぼす負荷に応じて外部データがＣＡＮバス１１０に送信されることを抑制可能な位置であればよく、適宜変更することができる。
【０１２５】
・上記各実施の形態は、ＤＬＣ３００と通信管理部２００とを、車両Ｃの内部に設けられた外部用ネットワーク３１０を設けることとした。これに限らず、外部用ネットワーク３１０を割愛する構成とし、ＤＬＣ３００に通信管理部２００を直接接続する構成としてもよい。そして、ＤＬＣ３００から通信管理部２００に入力される外部データの受信状況に基づき、外部データがＣＡＮバス１１０に及ぼす負荷を求めるようにしてもよい。
【０１２６】
・上記各実施の形態では、外部データ監視部２２０による外部データの監視を通じて、外部データの検知、ひいては、ＤＬＣ３００に接続された情報端末の検知を行うこととした。これに限らず、例えば、外部用ネットワーク３１０のホストである「ＣＡＮ Ｈｉｇｈ」（もしくは「ＣＡＮ Ｌｏｗ」）をプルダウン抵抗により“Ｌ”レベルに維持させ、ＤＬＣ３００に接続される情報端末の接続部にプルアップ抵抗を設ける構成としてもよい。この場合には、情報端末の接続部がＤＬＣ３００に接続されることにより“Ｌ”レベルに維持された「ＣＡＮ Ｈｉｇｈ」が“Ｈ”レベルに変化することとなり、この変化に基づいてＤＬＣ３００に情報端末が接続された旨を検知することが可能となる。そして、例えば、こうした“Ｌ”レベルから“Ｈ”への変化を通じて情報端末等がＤＬＣ３００に接続されていることが検知されたことを条件として、通信管理部２００による車両データ及び外部データを監視することとし、外部データの送信規制を実行するようにしてもよい。これにより、外部データが外部から送信されてくる蓋然性の高い状況下でのみ、両データ及び外部データの監視、並びに外部データの送信規制に必要な処理が行われることとなり、必要最小限の処理のもとに、外部データの送信規制を実現することが可能となる。
【０１２７】
・上記各実施の形態では、上記外部データを、ＤＬＣ３００に接続可能な情報端末等から入力可能な構成とした。これに限らず、ＤＬＣ３００に代えて、外部の情報端末等と無線通信可能な通信部を車両Ｃに設ける構成としてもよい。この場合であれ、無線通信を通じて外部から入力される外部データに対する送信規制を通じて、ＣＡＮバス１１０による車両データの送受信を円滑に行うことが可能となる。なおこの場合には、例えば、通信部から通信対象機器に対し、通信対象機器との接続確認用データを送信する片方向通信を定期的に実行し、通信対象機器の接続の有無を検知するようにしてもよい。そして、例えば、通信対象機器との通信が確立していることが検知されたことを条件として、通信管理部２００による車両データ及び外部データを監視することとし、外部データの送信規制を実行するようにしてもよい。これにより、外部データが外部から送信されてくる蓋然性の高い状況下でのみ、両データ及び外部データの監視、並びに外部データの送信規制に必要な処理が行われることとなり、必要最小限の処理のもとに、外部データの送信規制を実現することが可能となる。また、例えば、通信部から通信対象機器に対し、接続確認用データを送信するとともに、この接続確認用データを受信した通信対象機器から通信部に対し、接続確認用データを受信した旨を示す応答データや認証用のデータを返信する双方向通信を実行するようにしてもよい。この場合には、外部データの送信元となる通信対象機器の存在をより的確に認識することが可能になるとともに、認証用のデータに基づき通信対象機器を検証することが可能ともなる。これにより、ＣＡＮバス１１０に対するセキュリティー性がより高められるようになる。
【０１２８】
・上記車両ネットワークとして、ＣＡＮバス１１０を採用することとした。これに限らず、車両ネットワークとしては、車両データや外部データを送信可能なものであればよく、例えばフレックスレイを上記車両ネットワークとして採用することも可能である。この場合であれ、外部データの送信規制を通じて、各種車両データの円滑かつ確実な送受信を実現することが可能となる。またこの他、例えば制御系の車両ネットワークとしてＩＤＢ−１３９４（登録商標）を採用したり、ボデー系の車両ネットワークとして、ＢＥＡＮ、ＬＩＮを採用することも可能である。同様に、情報系の車両ネットワークとしてＡＶＣ−ＬＡＮを採用することも可能である。これらの場合であれ、車両ネットワークに対する外部データの送信規制を通じて、車両データの円滑かつ送受信を実現することが可能となる。またこの他、バス型の車両ネットワークであれば、本発明の適用は可能である。
【符号の説明】
【０１２９】
１００…車載制御装置、１１０…ＣＡＮバス、２００、２００Ａ、２００Ｂ…通信管理部、２１０…車両データ監視部、２２０…外部データ監視部、２３０、２３０Ａ、２３０Ｂ…制御判断部、２３１…書き換えデータ判定部、２３２…負荷基準値変更部、２３３…車両データ種別識別部、２３４…送信規制時間設定部、２４０、２４０Ａ、２４０Ｂ…保存領域、２５０…送信規制部、３００…データ・リンク・コネクタ（ＤＬＣ）、３１０…外部用ネットワーク、Ｃ…車両、Ｄａ−Ｄｆ…外部データ、Ｆａ−Ｆｅ…車両データ、Ｆｉａ−Ｆｉｃ…イベントデータ。
【技術分野】
【０００１】
本発明は、有線通信や無線通信を通じて外部のネットワークや情報端末に接続される車両ネットワークの通信を管理する車両ネットワークの通信管理装置に関する。
【背景技術】
【０００２】
近年の自動車等の車両には、ナビゲーションシステムを構成する電子制御装置をはじめ、エンジンやブレーキ等の各種車載機器を電子的に制御する電子制御装置、車両の各種状態を表示するメータ等の機器を制御する電子制御装置などの多くの電子制御装置が搭載されている。そして、車両内では、それら各電子制御装置が通信線により電気的に接続されて車両ネットワークが形成されており、この車両ネットワークを介して各電子制御装置間での各種車両データの授受が行われている。
【０００３】
さらに最近では、車両ネットワークと車両外部のネットワークとを接続し、これらネットワーク間での各種情報の授受を可能とするシステムの開発も進められている。このシステムでは、例えば、車両外部のネットワークを介して、ドライバが所有する情報端末から車両ネットワークへエンジンの起動要求が送信される。そして、車両ネットワークに接続されているエンジン制御装置がこの起動要求を受信することにより、同エンジン制御装置を通じてエンジンが起動される。このように車両ネットワークと車両外部のネットワークとの間での通信を通じて、車両の遠隔操作や車両状態の監視等を行うことが可能となっている。
【０００４】
一方、このように外部から車両ネットワークにアクセスできる状況下では、正当な利用権限を有さない不正なユーザ等による不正操作（不正アクセス）によって車両ネットワーク内に不正なデータが入力されることも想定される。そこで、例えば特許文献１に記載されているように、車両ネットワークに接続された車載機器とユーザが所有する情報端末との間での無線通信に先立ち、情報端末から送信されるデータの暗号化及び復号化による相互認証を通じて情報端末の正当性を検証することなども提案されている。この特許文献１に記載の装置によれば、正当な権限を有さない情報端末が車載機器にネットワーク接続されることが抑制され、ひいては車載機器を介して車両ネットワークに不正なデータが取り込まれることが抑制されるようになる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００３−１５２７１７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ところで、このように車両ネットワークに接続された車載機器に入力されるデータの正当性を同データの暗号化及び復号化による相互認証を通じて検証するためには、複雑な演算を伴う暗号化処理や復号化処理が必要となる。このため、これら暗号化処理や復号化処理を実行するための装置が必要になるばかりか、暗号化処理や復号化処理の実行に伴う演算負荷の増大が避けられない。
【０００７】
また、車両ネットワークとは、前述のように、複数の電子制御装置間で車両データを授受するために車両内に形成された専用のネットワークである。よって、車両ネットワークに取り込まれることのないデータが外部から取り込まれるようなことがあると、通信負荷が増大し、各電子制御装置間での本来の車両データの送受信が阻害されることにもなりかねない。
【０００８】
本発明は、このような実情に鑑みてなされたものであり、その目的は、簡易な構成でありながら、外部データの入力規制を通じて、車両ネットワークとしての通信の信頼性を維持することのできる車両ネットワークの通信管理装置を提供することにある。
【課題を解決するための手段】
【０００９】
以下、上記課題を解決するための手段及びその作用効果について記載する。
請求項１に記載の発明は、複数の車載制御装置の間で車両データの送受信が行われるとともに、有線通信もしくは無線通信を通じた車両外部からの外部データの入力が可能な車両ネットワークにあって通信データの管理を行う車両ネットワークの通信管理装置であって、前記車両ネットワークに送信される車両データの送信状況と外部から入力される外部データとを監視し、それら監視するデータの送信状況と外部データが前記車両ネットワークに及ぼす負荷とに応じて外部データの前記車両ネットワークへの送信を規制する通信管理部を備えることを要旨とする。
【００１０】
上記構成によれば、車両ネットワークにおける車両データの送信状況が監視されるとともに、同車両ネットワークに入力される外部データが監視される。そして、例えば、通信管理部に外部データが入力されると、各車載制御装置間で送受信される車両データが少ないために車両ネットワークの負荷が低いときには、外部データの送信規制が行われず、外部データが車両ネットワークに送信される。一方、例えば、車両状態の変化に伴い車載制御装置間で授受すべき車両データが増大し、車両ネットワークに送信される車両データが増大すると、この車両データの送受信を優先すべく、外部データの送信規制が実行される。この結果、車両ネットワークで送受信すべき車両データが増大したときには、車両ネットワークに外部データが取り込まれることがなく、車両ネットワークの通信量が飽和することが抑制される。このため、車両ネットワーク内に外部データを入力可能としながらも、この外部データの送信規制を通じて車両ネットワークによる車両データの送受信機能を的確に担保することが可能である。
【００１１】
また、上記構成によれば、例えば、大量の不正データが送りつけられるような、いわゆるＤｏｓ攻撃が行われたとしても、この大量の不正データが車両ネットワークに入力されることが抑制される。これにより、外部データを車両ネットワークに入力可能な構成としながらも、車両ネットワークに対するＤｏｓ攻撃等を抑制することが可能となり、車両ネットワークとしてのセキュリティー性が高められるようにもなる。
【００１２】
請求項２に記載の発明は、請求項１に記載の車両ネットワークの通信管理装置において、前記通信管理部は、前記外部データが前記車両ネットワークに送信されたときに予測される車両ネットワークの使用率が当該車両ネットワークの高負荷状態を示す所定の閾値を超えるとき、前記外部データの送信規制を実行することを要旨とする。
【００１３】
上記構成によれば、外部データの送信規制に際し、通信管理部に入力された外部データが車両ネットワークに送信されたときの同車両ネットワークの使用率が予測される。そして、この予測される使用率が車両ネットワークの高負荷状態を示す所定の閾値を超えるときには、外部データの送信規制が実行され、車両ネットワークには外部データが送信されない。この結果、監視中の車両ネットワークの負荷のみならず、外部データが送信されたときに増大が予測される車両ネットワークの使用率に基づいた送信規制が実行される。これにより、外部データが車両ネットワークに入力されることに起因して、車両ネットワークの使用率が過剰に増大することが的確に抑制されるようになる。また、これにより、例えば、ＣＡＮ（コントロール・エリア・ネットワーク）においては通常要求される使用率「３０％」といったように、ネットワーク負荷を規制すべき使用率の範囲内に維持することが可能となり、適用対象とする車両ネットワークの特性に応じた通信管理が行われるようになる。
【００１４】
請求項３に記載の発明は、請求項１又は２に記載の車両ネットワークの通信管理装置において、前記通信管理部は、前記外部データが前記車載制御装置のデータ書き換え用の書き換えデータであるとき、前記外部データの送信規制を一時的に緩和する処理を実行することを要旨とする。
【００１５】
車両ネットワークは一般に、各車載制御装置間での車両データの授受に利用されるが、各車載制御装置が有するデータ書き換え用の書き換えデータ、いわゆるリプログラミングデータの送受信にも利用される。そして、この書き換えデータも通常、車両ネットワークの外部から外部データとして車両ネットワークに入力される。
【００１６】
そこで、上記構成によるように、上記車両ネットワークに入力される外部データが車載制御装置の書き換えデータであるときには、この書き換えデータが、車両ネットワークに接続された車載制御装置に送信すべき優先度の高いデータであるとして、外部データの送信規制を緩和する処理を実行する。このため、車載制御装置の機能を維持する上で必要な書き換えデータが不要に送信規制されることが抑制され、車両ネットワークを介した書き換えデータの送受信を的確に実行することが可能となる。
【００１７】
請求項４に記載の発明は、請求項１〜３のいずれか一項に記載の車両ネットワークの通信管理装置において、前記通信管理部は、前記車両データの送信間隔もしくは単位時間当たりの送信データ量に基づき車両データの送信状況を監視するとともに、前記外部データが入力される際の外部データの送信間隔もしくは単位時間当たりの送信データ量を監視することを要旨とする。
【００１８】
車両ネットワークの負荷とは、同車両ネットワークに送受信される車両データの送信間隔や単位時間当たりに送信される車両データのデータ量（メッセージ量）に相関する。また、上記外部データが車両ネットワークに及ぼす負荷も、外部データが通信管理部に入力される際の同外部データの送信間隔や送信データ量、換言すれば、この外部データが車両ネットワークに送信される際の送信間隔や送信データ量に相関する。
【００１９】
そこで、上記構成によれば、車両データの送信間隔や送信データ量、並びに外部データの送信間隔や送信データ量に基づき、車両データ及び外部データが車両ネットワークに及ぼす負荷を的確に求めることが可能となり、それらの負荷に基づく送信規制を的確に実行することが可能になる。
【００２０】
請求項５に記載の発明は、請求項１〜４のいずれか一項に記載の車両ネットワークの通信管理装置において、前記通信管理部は、前記外部データの送信規制として、入力された外部データの破棄、入力された外部データの一時的な送信保留、入力される外部データの受信停止、及び前記車両ネットワークに送信する外部データの送信量を当該車両ネットワークの負荷に適応させる通信調整の少なくとも１つを実行することを要旨とする。
【００２１】
上記構成によれば、通信管理部に外部データが入力されたとしても、車両ネットワークが高負荷状態にあるときには、例えば、入力された外部データが破棄されることにより、この外部データが車両ネットワークに送信されることなく同車両ネットワークで通信されている車両データの送受信が優先される。
【００２２】
また、上記構成によれば、車両ネットワークが高負荷状態にあるときには、例えば、入力された外部データが一時的に保留されるとともに、車両ネットワークの負荷が低下したことをもって、一時的に保留され外部データが車両ネットワークに送信される。これにより、外部データの入力に伴う車両ネットワークの負荷の増大を抑制しつつも、通信管理部に入力された外部データを車両ネットワークに送信することが可能となる。
【００２３】
また同様に、上記構成によれば、車両ネットワークが高負荷状態にあるときには、例えば、通信管理部による外部データの受信が停止され、通信管理部に外部データが取り込まれることが抑止される。この結果、車両ネットワークが高負荷状態にあるときには通信管理部そのものに外部データが入力されることが抑制され、この通信管理部を介した車両ネットワークへの外部データの送信が規制される。
【００２４】
さらに、上記構成によれば、車両ネットワークに多少の負荷がかかっていたとしても、車両ネットワークの通信機能を維持可能な範囲で外部データが車両ネットワークに送信される。すなわち、車両ネットワークの負荷に反比例する態様で、また、車両ネットワークによる車両データの通信機能を維持できる範囲内で、車両ネットワークに送信される外部データの送信量が調整される。これにより、車両ネットワークの負荷に応じて外部データの送信量を調整することが可能となり、車両ネットワークの通信機能を最大限に活用する態様で、この車両ネットワークを介した車両データの送受信と外部データの送受信とを実現することが可能となる。
【００２５】
請求項６に記載の発明は、請求項１〜５のいずれか一項に記載の車両ネットワークの通信管理装置において、前記通信管理部は、前記監視する車両ネットワークの車両データの送信状況に応じて前記外部データの送信規制にかかる実行期間を可変設定することを要旨とする。
【００２６】
車両ネットワークによる車両データの送信状況、換言すれば、車両ネットワークの負荷とは、車両の走行状態等によって変化するものであり、車両ネットワークが一時的に高負荷状態となる場合や、車両ネットワークの高負荷状態が所定期間継続する場合などが想定される。
【００２７】
そこで、上記構成によるように、通信管理部による外部データの送信規制の実行期間を、車両ネットワークによる外部データの送信状況に応じて可変設定することとすれば、例えば、車両ネットワークが高負荷状態となる期間が一時的である場合には、この期間に応じた一時的な送信規制が実行される。これにより、外部データの送信規制が早期に解除され、車両ネットワークへの外部データの送信を早い段階で許可することが可能となる。
【００２８】
また、上記構成によれば、例えば、車両ネットワークが高負荷状態となる期間が長期間継続されるときには、この期間に応じた長期的な送信規制が実行される。このため、車両ネットワークが高負荷状態にあり、かつ、この高負荷状態が所定期間継続すると一旦判断されて以降は、車両データの送信状況に応じた期間だけ送信規制が実行される。そのため、車両ネットワークの負荷が低下するまでは一旦設定された送信規制の実行時間のもとに外部データの送信規制が実行されることとなり、車両ネットワークの負荷が低下するまでの間、外部データが車両ネットワークに送信されることを的確に抑制することが可能となる。
【００２９】
請求項７に記載の発明は、請求項１〜６のいずれか一項に記載の車両ネットワークの通信管理装置において、前記通信管理部は、前記車両データとして車両内でのイベントの発生に伴い送受信が開始されるイベントデータが前記車両ネットワークに送信されたとき、前記イベントが終了するまでの間、前記外部データの送信規制を実行することを要旨とする。
【００３０】
車両ネットワークを介して送受信される車両データは、例えば、各車載制御装置間で定期的に送受信されるデータや、所定のイベントが発生してから同イベントが終了するまでの間、一時的に送受信されるイベントデータがある。そして、このイベントデータは通常、送信時間が一時的ではあるものの、同イベントデータが送受信される間は車両ネットワークが高負荷状態になる傾向にある。また、こうしたイベントデータは通常、車両の走行状態の変化に起因して各車載制御装置間での送受信が必要になる緊急性の高いデータであり、このデータを送信対象となる車載制御装置に確実に送信する必要がある。
【００３１】
そこで、上記構成によるように、イベントデータが車両ネットワークに送信されたときには、このイベントデータの送信要因となったイベントが終了するまでの間、外部データの送信規制を実行する。この結果、イベントの発生に伴って車両ネットワークが高負荷状態になったとしても、イベントが終了するまで、すなわち、イベントの終了に伴い車両ネットワークが高負荷状態から低負荷状態に遷移するまでの間、外部データが車両ネットワークに送信されることが抑制される。これにより、上記イベントデータの送受信を確実に実行することが可能となる。
【００３２】
請求項８に記載の発明は、請求項１〜７のいずれか一項に記載の車両ネットワークの通信管理装置において、前記通信管理部は、前記車両ネットワークに定期的に送信される１ないし複数種のデータの識別子及びデータ長及び送信周期が登録された定期送信リストと、前記車両内でのイベントの発生に伴って前記車両ネットワークに送信される１ないし複数種のデータの識別子及びデータ長が登録されたイベント送信リストとを備え、それら定期送信リスト及びイベント送信リストを参照して前記車両ネットワークの送信状況を監視することを要旨とする。
【００３３】
通常、車両データの送信主体となる車載制御装置の規格等は予め特定可能なことから、この車載制御装置間で送受信される車両データの識別子、データ長、及び送信周期を、各車載制御装置の規格等に基づいて特定することが可能である。
【００３４】
そこで、上記構成によるように、送信フレームリスト及びイベント送信リストを通信管理部に設ける。そして、通信管理部による車両データの送信状況の監視を、これら送信フレームリスト及びイベント送信リストの参照を通じて実行させる。このため、通信管理部は、例えば、車両ネットワークを介して送受信される車両ネットワークの識別子の照合を通じて、車両データの種類、データ長、及び送信周期を特定することが可能となる。そのため、この特定した車両データの種類、データ長、及び送信周期に基づいて、車両ネットワークの負荷の増減を予測することや、車両ネットワークによる車両データの送信状況をより詳細に特定することが可能となる。これにより、車両データの監視を通じた外部データの送信規制をより的確に実行することが可能となる。
【００３５】
請求項９に記載の発明は、請求項１〜８のいずれか一項に記載の車両ネットワークの通信管理装置において、前記通信管理部は、車両に搭載される外部用ネットワークと前記車両ネットワークとの間に接続されてなり、該外部用ネットワークを介して送信される外部データの送信状況の監視を通じて前記外部データの送信規制を実行することを要旨とする。
【００３６】
上記構成によれば、車載制御装置の書き換えデータなどをはじめとする外部データを取り込んで同取り込んだ外部データを車両ネットワークに案内する外部用ネットワークと上記車両ネットワークとの間に、上記通信管理部が設けられる。そして、通信管理部による外部データの監視に際しては、外部用ネットワークを介して送信される外部データの送信状況の監視を通じて、外部データの通信規制が実行される。このため、外部データがネットワークを介して実際に送信される際の送信周期や単位時間当たりの送信データ量等に基づいて、この外部データがネットワークに及ぼす負荷を特定することが可能となる。これにより、この外部データが車両ネットワークに送信されたときの負荷を精度よく推定することが可能となる。
【００３７】
請求項１０に記載の発明は、請求項１〜９のいずれか一項に記載の車両ネットワークの通信管理装置において、前記通信管理部は、外部診断機器が接続されるコネクタとして車両内に設けられたデータ・リンク・コネクタと前記車両ネットワークとの間に設けられてなることを要旨とする。
【００３８】
車両ネットワークに接続されるデータ・リンク・コネクタ（ＤＬＣ）は一般に、車室内に露出された状態で設けられている。また、このＤＬＣは通常、例えばディーラーでの診断ツールを用いたダイアグ診断に際し、診断機器等の機器を接続するために用いられる。
【００３９】
一方、最近では、このＤＬＣに情報端末を接続することで、車両ネットワークを流れる車両データを情報端末から取得したり、逆に情報端末から車両ネットワークへと各種データを出力するといった想定外の用途に用いられる傾向にある。そして、ＤＬＣに不正な情報端末が接続された場合や、情報端末に登録されているアプリケーションがウィルス等に感染している場合には、ＤＬＣを介して不正なデータが車両ネットワークに取り込まれることが想定される。また、ＤＬＣに接続された情報端末が正常な状態にあったとしても、ユーザの操作如何によっては大量のデータがＤＬＣを介して情報端末から車両ネットワークへと送信されることも想定される。
【００４０】
そこで、上記構成によれば、露出した状態で車室内に設けられ、また、外部データの送信元となる外部の情報端末等に接続される蓋然性の高いＤＬＣを介して入力される外部データに対しても、的確に送信規制を実行することが可能となる。これにより、ＤＬＣを介して外部から入力されてくる外部データの送信規制を的確に実行することが可能となる。
【００４１】
請求項１１に記載の発明は、請求項１〜１０のいずれか一項に記載の車両ネットワークの通信管理装置において、前記車両ネットワークがコントロール・エリア・ネットワークからなることを要旨とする。
【００４２】
上記車両ネットワークとしては、コントロール・エリア・ネットワーク（ＣＡＮ）が採用されることが多く、同コントロール・エリア・ネットワークでは、各種イベントの発生に伴い各種車両データの授受が行われる。また、こうしたコントロール・エリア・ネットワークでは、その特性上、たとえ車両データが送信すべき車載制御装置に送信されなかったとしても、この車両データを送信対象に再送することが難しい。よって、こうしたコントロール・エリア・ネットワークを介して車両データの送受信を行う上では、車両ネットワークの負荷を的確に管理して、この車両ネットワークによる車両データの送受信機能を維持する必要がある。
【００４３】
この点、上記構成によれば、汎用性が高く、また、送受信機能を維持する必要性が特に高いコントロール・エリア・ネットワークについても、外部データの送信機能を通じて、コントロール・エリア・ネットワークによる送受信機能を的確に維持することが可能となる。
【００４４】
請求項１２に記載の発明は、請求項１〜１０のいずれか一項に記載の車両ネットワークの通信管理装置において、前記車両ネットワークがフレックスレイからなることを要旨とする。
【００４５】
上記フレックスレイは通常、制御系、ボデー系、及び情報系によって構成される車両ネットワークのうち、制御系の車両ネットワークに適用可能である。そして、こうしたフレックスレイによれば、コントロール・エリア・ネットワークなどと比較し、車両データの送受信をより高速に実行することが可能なものの、同フレックスレイの通信負荷が増大したときには車両データを的確に送受信することは難しい。
【００４６】
この点、上記構成によれば、車両ネットワークとしてフレックスレイが採用される場合であれ、外部データの送信規制を通じて、各種車両データの円滑かつ確実な送受信を実現することが可能となる。
【図面の簡単な説明】
【００４７】
【図１】本発明にかかる車両ネットワークの通信管理装置の第１の実施の形態について、通信管理部と同通信管理部が設置される車両のネットワーク構成との概略構成を示すブロック図。
【図２】外部データの負荷のみに基づいた外部データの転送制御を想定した図であり、（ａ）は、外部データのＣＡＮバスへの転送前におけるＣＡＮバス及び外部用ネットワークのデータの送信状況を示す図。（ｂ）は、外部データのＣＡＮバスへの転送後におけるＣＡＮバス及び外部用ネットワークのデータの送信状況を示す図。
【図３】（ａ）は、外部データ監視部により監視される外部用ネットワークにおける外部データの送信状況の一例を示す図。（ｂ）は、外部データ監視部により監視される外部データの送信間隔の一例を示す図。（ｃ）は、外部データ監視部により監視される外部データの単位時間当たりの送信データ量の一例を示す図。
【図４】（ａ）は、車両データ監視部により監視されるＣＡＮバスにおける車両データの送信状況の一例を示す図。（ｂ）は、車両データ監視部により監視される車両データの送信間隔の一例を示す図。（ｃ）は、車両データ監視部により監視される車両データの単位時間当たりの送信データ量の一例を示す図。
【図５】本実施の形態の通信管理部による外部データの送信規制手順の一例を示すフローチャート。
【図６】本発明にかかる車両ネットワークの通信管理装置の第２の実施の形態について、通信管理部と同通信管理部が設置される車両のネットワーク構成との概略構成を示すブロック図。
【図７】本発明にかかる車両ネットワークの通信管理装置の第３の実施の形態について、通信管理部と同通信管理部が設置される車両のネットワーク構成との概略構成を示すブロック図。
【図８】本発明にかかる車両ネットワークの通信管理装置の他の実施の形態について、外部データ監視部により監視される外部データの単位時間当たりの送信データ量の一例を示す図。
【発明を実施するための形態】
【００４８】
（第１の実施の形態）
以下、本発明にかかる車両ネットワークの通信管理装置を具体化した第１の実施の形態について図１〜図５を参照して説明する。なお、本実施の形態は、車載制御装置間での信号の授受を、イベントトリガ方式で各種通信データが授受されるＣＡＮ（コントロール・エリア・ネットワーク）を介して行うものである。
【００４９】
図１に示すように、本実施の形態の通信管理装置は、車両Ｃに搭載された各種車載機器を制御する複数の車載制御装置（ＥＣＵ）１００と各種情報端末等から外部データが入力されるデータ・リンク・コネクタ（ＤＬＣ）３００との間に設けられる通信管理部２００によって構成される。
【００５０】
車載制御装置１００は、例えば、車室内の計器盤に設けられる速度計の表示態様を制御する計器制御装置、ドライバによるアクセルペダルの踏込み量に基づきエンジンの運転状態を制御するエンジン制御装置、ドライバによるブレーキペダルの踏込み量に基づきブレーキを制御するブレーキ制御装置などによって構成される。各車載制御装置１００は、車両ネットワークであるコントロール・エリア・ネットワーク（ＣＡＮ）を構成する通信線であるＣＡＮバス１１０に接続されている。ＣＡＮバス１１０に接続される各車載制御装置１００は、車両Ｃのドライバによる車両操作や車両Ｃの走行環境等に応じて各種車載機器を制御すべく、例えば、速度計の表示量、エンジンの制御量、ブレーキの制御量などをはじめとする車両データを、ＣＡＮバス１１０を介して各車載制御装置１００間で送受信する。なお、車両データは、ＣＡＮバス１１０内での転送ファイル形式である１ないし複数のデータフレームに変換されてＣＡＮバス１１０上で送受信される。また、各データフレームは、例えば、データ内容や送信ノードを識別するために使用されるＩＤ（識別子）や、最大で８バイトのデータを送信可能なデータフィールドなどを有したデータ構造となっている。
【００５１】
一方、車両Ｃには、同車両Ｃの診断に際して外部診断機器が接続されるＤＬＣ３００が設けられている。このＤＬＣ３００は、例えば、計器盤の下部に設けられており、ＣＡＮバス１１０に繋がる外部用ネットワーク３１０と電気的に接続されている。すなわち、ＤＬＣ３００は、車載制御装置１００が接続されるＣＡＮバス１１０に外部用ネットワーク３１０を介して接続される。そして、車両Ｃの診断に際しては、ＤＬＣ３００に外部診断機器が接続され、例えば診断用のデータが、ＣＡＮバス１１０内での転送ファイル形式であるデータフレームに変換されたのちに、同変換されたデータフレームが外部用ネットワーク３１０及びＣＡＮバス１１０を介して送信対象とする車載制御装置１００に送信される。また、外部用ネットワーク３１０及びＤＬＣ３００を介して、ＣＡＮバス１１０に送信される車両データが外部診断機器により取得される。なお、外部用ネットワーク３１０は、例えば、ＣＡＮバス１１０と同一の規格の通信線によって構成されており、外部用ネットワーク３１０により送受信可能なデータ量はＣＡＮバス１１０と共通したものとなっている。
【００５２】
また、ＤＬＣ３００は、各車載制御装置１００に組み込まれているアプリケーションプログラム等の制御プログラムや制御データに更新や修正の必要が生じた際、それらをリプログラミング（データ書き換え）するための書き換えデータが、車両Ｃの内部に取り込まれるときにも用いられる。そして、車載制御装置１００のデータ書き換えに際しては、ＤＬＣ３００に書き換えデータが車両Ｃの内部に入力され、この入力された書き換えデータが、外部用ネットワーク３１０及びＣＡＮバス１１０を介して書き換えの対象となる車載制御装置１００に送信される。
【００５３】
さらに、本実施の形態のＤＬＣ３００には、例えば、車両Ｃのドライバが所有する情報端末等が接続される。また、情報端末で利用される各種アプリケーション等のサービスの利用に際しては、同サービスを情報端末や車両Ｃで利用するための各種データがＤＬＣ３００を介して車両Ｃの内部に入力される。そして、この車両Ｃの内部に入力されデータも、外部用ネットワーク３１０及びＣＡＮバス１１０を介して、送信対象とする車載制御装置１００に送信される。
【００５４】
ところで、このようにＤＬＣ３００を介して取り込まれた各種データ（外部データ）が外部用ネットワーク３１０を介してＣＡＮバス１１０に送信されると、これに伴って、ＣＡＮバス１１０の使用率が増大し、同ＣＡＮバス１１０の負荷が増大する。このため、外部データが大量にＣＡＮバス１１０に送信されると、ＣＡＮバス１１０を介して本来送受信すべき車両データの送受信が阻害されることとなってしまう。
【００５５】
一方、図２（ａ）に例示するように、ＣＡＮバス１１０への入力を許容する所定の閾値を外部データＤ１に対して設け、そのデータ量が閾値以下であることを条件にＣＡＮバス１１０への外部データＤ１の送信を許可することも検討できる。しかし、図２（ｂ）に例示するように、外部データＤ１のデータ量のみを監視するだけでは、ＣＡＮバス１１０での車両データＦ１の送信状況によってはＣＡＮバス１１０の負荷が増大する虞がある。すなわち、ＣＡＮバス１１０では通常、車両データＦ１がブロードキャストで送信されることから、ＣＡＮバス１１０には車両データＦ１が定常的に送信される傾向にある。また、ＣＡＮバス１１０では、同ＣＡＮバス１１０に送信される車両データＦ１の送信周期やデータ量等が車両Ｃの状態等に起因して動的に変化する。よって、図２（ａ）及び（ｂ）に示したように、外部から入力される外部データＤ１のみを監視し、この外部データＤ１の入力を規制するだけでは、ＣＡＮバス１１０が高負荷になることを抑制し、ＣＡＮバス１１０による車両データＦ１の送受信機能を維持することは難しい。
【００５６】
そこで、本実施の形態では、図１に示すように、ＣＡＮバス１１０とＤＬＣ３００との間に設けられた通信管理部２００によって、ＤＬＣ３００から取り込まれた外部データの送信規制を実行することとする。なお、本実施の形態では、車両データがブロードキャストでＣＡＮバス１１０上を流れることから、ＣＡＮバス１１０に接続された通信管理部２００には、各車載制御装置１００間で送受信される全ての車両データが入力されるようになっている。
【００５７】
本実施の形態の通信管理部２００は、ＣＡＮバス１１０による車両データの送信状況を監視する車両データ監視部２１０を備えている。また、通信管理部２００は、ＤＬＣ３００に接続された外部診断機器や情報端末から出力されて外部用ネットワーク３１０を介して送信されてくる外部データの送信状況を監視する外部データ監視部２２０を備えている。
【００５８】
車両データ監視部２１０は、例えば、ＣＡＮバス１１０に送信される車両データのＩＤ、同車両データの送信間隔、同車両データの単位時間当たりの送信量（メッセージ量）等を監視し、この監視結果を示す信号を、同信号に基づき外部データの送信制御を行う制御判断部２３０に適宜出力する。また、車両データ監視部２１０は、ＣＡＮバス１１０に送信される車両データの送信間隔や送信量に基づきＣＡＮバス１１０の負荷を示す使用率を求め、この求めた使用率を示す信号を制御判断部２３０に出力する。なお、車両データ監視部２１０は、例えば、ＣＡＮバス１１０に実際に送信されている車両データの送信データ量をＣＡＮバス１１０により最大限送信可能なデータ量で除算した値をもとに、ＣＡＮバス１１０の使用率を求める。
【００５９】
外部データ監視部２２０は、例えば、外部用ネットワーク３１０に接続されており、ＤＬＣ３００及び外部用ネットワーク３１０を介して送信される外部データを受信する。そして、この外部データの受信状況に基づき、外部用ネットワーク３１０による外部データの送信状況を監視するとともに、この監視結果を示す信号を制御判断部２３０に適宜出力する。
【００６０】
本実施の形態の制御判断部２３０は、車両データ監視部２１０及び外部データ監視部２２０の監視結果に基づく外部データの送信制御を、ＣＡＮバス１１０の経路を示すルーティング情報やＣＡＮバス１１０が高負荷であるか否かの判断に際して基準となる閾値などが登録された保存領域２４０の参照を通じて行う。
【００６１】
保存領域２４０には、例えば、ＣＡＮバス１１０が高負荷状態であるか否かの判断に際して判断基準となる負荷基準値が登録されている。本実施の形態では、負荷基準値として、例えばコントロール・エリア・ネットワークの規格上推奨されている使用率約「３０％」を示す情報が登録されている。また、保存領域２４０には、ＣＡＮバス１１０の経路を示す情報であるルーティング情報が登録されている。
【００６２】
そして、制御判断部２３０は、こうした保存領域２４０の参照を通じて、例えば、車両データ監視部２１０から入力されたＣＡＮバス１１０の使用率が、保存領域２４０に登録された負荷基準値である約「３０％」を超えているか否かを判断する。また、制御判断部２３０は、外部データ監視部２２０による監視結果に基づき、ＤＬＣ３００及び外部用ネットワーク３１０を介して外部データが通信管理部２００に送信されているか否かを認識するとともに、この外部データの送信周期及びデータ量を認識する。そして、制御判断部２３０は、車両データの送受信に伴ってＣＡＮバス１１０の使用率が既に約「３０％」を超えており、かつ、外部データが通信管理部２００に送信されている旨判断すると、例えば通信管理部２００に送信されている外部データを破棄させる旨の制御指令を、外部データの送信規制を実行する送信規制部２５０に出力する。制御判断部２３０はまた、外部データの受信を所定時間停止させる旨の制御指令を送信規制部２５０に出力する。
【００６３】
一方、制御判断部２３０は、監視するＣＡＮバス１１０の使用率が約「３０％」以内であっても、ＤＬＣ３００及び外部用ネットワーク３１０を介して外部データが通信管理部２００に送信されているときには、この外部データがＣＡＮバス１１０に送信されたとき増大が予測されるＣＡＮバス１１０の使用率を算出する。そして、制御判断部２３０は、この算出したＣＡＮバス１１０の使用率が負荷基準値である約「３０％」を超える旨判断したときには、例えば、通信管理部２００に送信されてきた外部データを破棄させる旨の制御指令を送信規制部２５０に出力する。制御判断部２３０はまた、外部データの受信を所定時間停止させる旨の制御指令を送信規制部２５０に出力する。
【００６４】
送信規制部２５０は、外部データを破棄する旨の制御指令が制御判断部２３０から入力されると、この制御指令に従って、外部データ監視部２２０が受信した外部データを当該外部データ監視部２２０に破棄させる。すなわち、ＣＡＮバス１１０の使用率が約「３０％」を既に超えているとき、あるいは、外部データの入力に伴ってＣＡＮバス１１０の使用率が約「３０％」を超えることが予測されたときには、通信管理部２００に送信される外部データが一旦破棄され、この外部データがＣＡＮバス１１０内に送信されないこととなる。このため、ＣＡＮバス１１０の負荷が高い状態、あるいは、ＣＡＮバス１１０の負荷の増大が予測される状態では、ＤＬＣ３００及び外部用ネットワーク３１０を介して送信されてきた外部データがＣＡＮバス１１０に送信されることが禁止され、ＣＡＮバス１１０の負荷が過度に増大することが抑制される。また、送信規制部２５０は、外部データの受信を停止する旨の制御指令が制御判断部２３０から入力されると、この制御指令に従って、外部データ監視部２２０による外部データの受信を所定時間停止させる。このため、例えば、ＣＡＮバス１１０を介して送受信される車両データのデータ量が低減するまで、換言すれば、高負荷状態にあるＣＡＮバス１１０が低負荷状態に遷移するまでの間、外部データが通信管理部２００に入力されることが抑制される。そして、例えば、ＤＬＣ３００に接続された情報端末の画像表示部等には、外部データの送信エラーを示す画像や、所定期間経過後の外部データの再送信を促す画像等が表示される。
【００６５】
一方、送信規制部２５０は、外部データをＣＡＮバス１１０に送信したとしても同外部データの送信後のＣＡＮバス１１０の使用率を例えば約「３０％」以内に維持可能な場合には、外部データの送信規制を実行しない。これにより、ＤＬＣ３００及び外部用ネットワーク３１０を介して送信され、外部データ監視部２２０が受信した外部データが、ＣＡＮバス１１０に転送されることとなる。
【００６６】
次に、本実施の形態の外部データ監視部２２０による外部データの監視態様を図３を参照して説明する。
図３（ａ）に示すように、例えば、ＤＬＣ３００に接続された情報端末から外部データが入力され、この外部データが変換されたデータフレームＤａ〜Ｄｆが外部用ネットワーク３１０に送信されたとする。
【００６７】
外部データ監視部２２０はまず、外部用ネットワーク３１０を介して送信されたデータフレームＤａ〜Ｄｆを受信すると、外部データがＤＬＣ３００を介して車両Ｃの内部に入力された旨を認識する。
【００６８】
また、外部データ監視部２２０は、例えば、データフレームＤａ〜Ｄｆの受信間隔を計測することにより、図３（ｂ）に示すように、外部用ネットワーク３１０による各データフレームＤａ〜Ｄｆの送信間隔Δｔｄを求める。そして、外部データ監視部２２０は、この求めた送信間隔Δｔｄを示す信号を、上記制御判断部２３０に出力する。また一方、外部データ監視部２２０は、図３（ｃ）に示すように、データフレームＤａ〜Ｄｆの受信状況に基づき、例えば、期間Ｔ１におけるデータフレームの数を計測することにより、外部用ネットワーク３１０を介して送信される外部データの単位時間当たりの送信データ量を求める。そして、外部データ監視部２２０は、この求めた送信データ量を示す信号を、上記制御判断部２３０に出力する。
【００６９】
なお、例えば、ＤＬＣ３００を介して大量の外部データが車両Ｃの内部に送信されるＤｏｓ攻撃が行われたときには、外部用ネットワーク３１０における外部データの送信間隔Δｔｄは、車両データがＣＡＮバス１１０上を流れる際の送信間隔よりも短くなる。また同様に、外部用ネットワーク３１０における外部データの単位時間当たりのデータ量も、車両データがＣＡＮバス１１０上を流れる際の単位時間当たりのデータ量よりも多くなる。よって本実施の形態の制御判断部２３０では、車両データがＣＡＮバス１１０上を流れる際の送信間隔や単位時間当たりのデータ量と、外部用ネットワーク３１０上を流れる外部データの送信間隔や単位時間当たりのデータ量とを比較することによって、ＤＬＣ３００を介して入力される外部データがＤｏｓ攻撃であるか否かを把握することが可能となっている。
【００７０】
なお、こうした外部データ監視部２２０による外部データの監視は、例えば、通信管理部２００による外部データの受信状況を外部データ監視部２２０が監視することによって行われる。また、こうした外部データ監視部２２０による監視は所定の時間間隔のもとに実行され、例えば、外部用ネットワーク３１０に送信され得る外部データの送信間隔の最小値よりも短い時間間隔のもとに行われる。
【００７１】
続いて、本実施の形態の車両データ監視部２１０による車両データの監視態様を図４を参照して説明する。
図４（ａ）に示すように、例えば、車両データが変換されたデータフレームＦａ〜Ｆｅが各車載制御装置１００から送信されると、例えば、データフレームＦａ〜ＦｅはＣＡＮバス１１０の途中に設けられた通信管理部２００を経由して各車載制御装置１００に送信される。そして、車両データ監視部２１０は、通信管理部２００を経由するデータフレームＦａ〜Ｆｅを監視することにより、ＣＡＮバス１１０による車両データの送信状況を監視する。
【００７２】
また、車両データ監視部２１０は、ＣＡＮバス１１０の監視を通じて、図４（ｂ）に示すように、それら検知した各データフレームＦａ〜Ｆｅの送信間隔Δｔｆを計測する。そして、車両データ監視部２１０は、この計測した送信間隔Δｔｆを示す信号を、上記制御判断部２３０に出力する。また一方、車両データ監視部２１０は、車両データ監視部２１０の監視を通じて、図４（ｃ）に示すように、例えば、期間Ｔ２におけるデータフレームの数を計測することにより、ＣＡＮバス１１０による車両データの単位時間当たりの送信データ量を求める。そして、車両データ監視部２１０は、この求めた送信データ量を示す信号を、上記制御判断部２３０に出力する。さらに、車両データ監視部２１０は、例えば、これら計測したデータフレームＦａ〜Ｆｅの送信間隔Δｔｆや送信データ量に基づき、ＣＡＮバス１１０の使用率を求め、この求めた使用率を示す信号を制御判断部２３０に出力する。
【００７３】
以下、本実施の形態の車両ネットワークの通信管理装置の作用について図５を参照して説明する。
図５に示すように、ＤＬＣ３００に情報端末等が接続され、この情報端末により所定のデータ量の外部データがＤＬＣ３００及び外部用ネットワーク３１０に送信されると、外部用ネットワーク３１０に送信された外部データを外部データ監視部２２０が受信する（ステップＳ１０１）。そして、外部データ監視部２２０は、この外部データの受信状況に基づき、外部データの送信間隔及び単位時間当たりの送信データ量を求め、それら求めた外部データの送信間隔及び送信データ量を示す信号を制御判断部２３０に出力する。
【００７４】
次いで、制御判断部２３０は、車両データ監視部２１０による車両データの監視を通じて、ＣＡＮバス１１０の使用率、ＣＡＮバス１１０上を流れる車両データの送信間隔、及び同車両データの単位時間当たりの送信データ量を示す信号を取得する（ステップＳ１０２）。
【００７５】
制御判断部２３０は、車両データ監視部２１０から取得したＣＡＮバス１１０の使用率が、例えばＣＡＮバス１１０の高負荷状態を示す約「３０％」以下、すなわち、負荷基準値以下であるか否かを判断する（ステップＳ１０３）。
【００７６】
そして、ＣＡＮバス１１０の使用率が約「３０％」以下であると、制御判断部２３０は、車両データ監視部２１０及び外部データ監視部２２０による監視結果に基づき、外部データ監視部２２０が受信した外部データをＣＡＮバス１１０に送信したときに増大が予測されるＣＡＮバス１１０の使用率を求める（ステップＳ１０３：ＹＥＳ、Ｓ１０４）。次いで、制御判断部２３０は、この求めた使用率が例えば約「３０％」以下であるか否かを判断する（ステップＳ１０５）。
【００７７】
そして、制御判断部２３０は、外部データ監視部２２０が受信した外部データをＣＡＮバス１１０に送信したとしてもＣＡＮバス１１０の使用率が約「３０％」以内に維持される旨判断すると（ステップＳ１０５：ＹＥＳ）、外部データ監視部２２０が受信した外部データをＣＡＮバス１１０に転送させる（ステップＳ１０６）。
【００７８】
一方、ステップＳ１０３において、ＣＡＮバス１１０の使用率が約「３０％」を超えている旨判断されたときには、ＣＡＮバス１１０が既に高負荷状態にあるとして、外部データ監視部２２０が受信した外部データが破棄される（ステップＳ１０３：ＮＯ、Ｓ１０７）。同様に、ＣＡＮバス１１０の使用率が約「３０％」以下であったとしても、外部データ監視部２２０が受信した外部データをＣＡＮバス１１０に送信することによってＣＡＮバス１１０の使用率が約「３０％」を超えることが予測されるときには、外部データ監視部２２０が受信した外部データが破棄される（ステップＳ１０５：ＮＯ、Ｓ１０７）。
【００７９】
また、外部データの破棄後は、外部データ監視部２２０により外部データを受信することが所定期間だけ停止され、ＤＬＣ３００及び外部用ネットワーク３１０を介して送信される外部データが外部データ監視部２２０（通信管理部２００）に取り込まれることが停止される（ステップＳ１０８、Ｓ１０９）。
【００８０】
こうして、所定期間が経過し（ステップＳ１０９：ＹＥＳ）、例えばＤＬＣ３００に接続された情報端末から外部データが再送されると、再び、外部用ネットワーク３１０側での外部データの監視とＣＡＮバス１１０側での車両データの監視とが行われる。そして、ＣＡＮバス１１０の負荷を踏まえて外部データのＣＡＮバス１１０への入力の要否が決定されるようになる。
【００８１】
以上説明したように、本実施の形態にかかる車両ネットワークの通信管理装置によれば、以下の効果が得られるようになる。
（１）車両ネットワークであるＣＡＮバス１１０に送信される車両データの送信状況を車両データ監視部２１０により監視するとともに、外部から入力される外部データを外部データ監視部２２０により監視することとした。そして、車両データ及び外部データの送信状況と外部データがＣＡＮバス１１０に及ぼす負荷とに応じて、ＣＡＮバス１１０への外部データの送信を規制することとした。このため、ＣＡＮバス１１０で送受信すべき車両データが増大したときには、外部データがＣＡＮバス１１０に取り込まれることがなく、ＣＡＮバス１１０の通信量が飽和することが抑制される。これにより、ＣＡＮバス１１０内に外部データを入力可能としながらも、この外部データの送信規制を通じてＣＡＮバス１１０による車両データの送受信機能を的確に担保することが可能である。また、このため、例えば、大量の不正データがＣＡＮバス１１０に送りつけられるようなＤｏｓ攻撃が行われたとしても、この大量の不正データの送信規制を通じて、同データがＣＡＮバス１１０に入力されることが抑制される。これにより、外部から送信される外部データをＣＡＮバス１１０の内部に入力可能な構成としながらも、車両Ｃの制御に必要な各車載制御装置１００が接続されるＣＡＮバス１１０に対するＤｏｓ攻撃等を抑制することが可能となり、ＣＡＮバス１１０としてのセキュリティー性が高められるようにもなる。
【００８２】
（２）車両データ監視部２１０によりＣＡＮバス１１０の使用率を監視することとした。そして、外部データがＣＡＮバス１１０に送信されたときに増加が予測されるＣＡＮバス１１０の使用率が、ＣＡＮバス１１０の高負荷状態を示す所定の閾値を超えるとき、送信規制部２５０による外部データの送信規制を実行することとした。このため、監視中のＣＡＮバス１１０の負荷のみならず、外部データが送信されたときに増大が予測されるＣＡＮバス１１０の使用率に基づいた送信規制が実行される。これにより、外部データがＣＡＮバス１１０に入力されることに起因してＣＡＮバス１１０の使用率が過剰に増大することが的確に抑制されるようになる。また、上記閾値として例えばＣＡＮバス１１０の規格上推奨される約「３０％」を設定することにより、外部データをＣＡＮバス１１０に入力可能な構成としながらもＣＡＮバス１１０の使用率を約「３０％」以内に抑えることが可能となる。これにより、ＣＡＮバス１１０による車両データの送受信を、送信遅延や送信不良等を発生させることなく行うことが可能となり、ＣＡＮバス１１０の特性を踏まえた的確な通信管理が行われるようになる。
【００８３】
（３）車両データ監視部２１０により車両データの送信間隔及び単位時間当たりの送信データ量を監視するとともに、外部データ監視部２２０により外部データの送信間隔及び単位時間当たりの送信データ量を監視することとした。これにより、車両データの送信間隔や送信データ量、並びに外部データの送信間隔や送信データ量に基づき、車両データ及び外部データがＣＡＮバス１１０に及ぼす負荷を的確に求めることが可能となり、この求めた負荷に基づく外部データの送信規制を的確に実行することが可能になる。
【００８４】
（４）送信規制部２５０による外部データの送信規制として、外部データ監視部２２０が受信した外部データの破棄を実行することとした。通信管理部２００に外部データが入力されたとしても、ＣＡＮバス１１０が高負荷状態にあるときには、入力された外部データが破棄されることにより、この外部データがＣＡＮバス１１０に送信されず、ＣＡＮバス１１０で通信中の車両データの送受信を優先して行わせることが可能となる。
【００８５】
（５）送信規制部２５０による外部データの送信規制として、外部データ監視部２２０に入力される外部データの受信停止を所定期間だけ実行することとした。これにより、ＣＡＮバス１１０に外部データを取り込ませる余裕がないと判断されて以降は、通信管理部２００に外部データが取り込まれることがなく、ＣＡＮバス１１０の負荷に応じて外部データを破棄する必要もない。
【００８６】
（６）通信管理部２００を、ＣＡＮバス１１０と外部用ネットワーク３１０との間に配置した。そして、外部用ネットワーク３１０を介して送信される外部データの送信状況の監視を通じて、送信規制部２５０による外部データの送信規制を実行することとした。このため、外部用ネットワーク３１０を介して送信されてきた外部データは通信管理部２００を経由してＣＡＮバス１１０に送信されることとなり、同通信管理部２００による外部データの送信規制を的確に実行することが可能となる。また、このため、外部データが外部用ネットワーク３１０を介して実際に送信される際の送信周期や単位時間当たりの送信データ量等に基づいて、この外部データがＣＡＮバス１１０に及ぼす負荷を特定することが可能となる。これにより、この外部データがＣＡＮバス１１０に送信されたときの負荷を精度よく推定することが可能となる。
【００８７】
（７）上記通信管理部２００を、外部診断機器が接続されるコネクタとして車両内に設けられたＤＬＣ３００とＣＡＮバス１１０との間に設けることとした。このため、露出した状態で車室内に設けられ、外部の情報端末等と車両ネットワークとを容易に接続可能なＤＬＣ３００を介して入力される外部データが送信規制される。これにより、ＤＬＣ３００を介して外部から入力されてくる外部データの送信規制を的確に実行することが可能となる。
【００８８】
（８）上記車両ネットワークとして、コントロール・エリア・ネットワークからなるＣＡＮバス１１０を対象とした。このため、車両ネットワークとしての汎用性が高く、また、送受信機能を維持する必要性が特に高いコントロール・エリア・ネットワークについても、外部データの送信機能を通じて、コントロール・エリア・ネットワークによる送受信機能を的確に維持することが可能となる。
【００８９】
（第２の実施の形態）
次に、本発明にかかる車両ネットワークの通信管理装置の第２の実施の形態を、第１の実施の形態との相違点を中心に、先の図１に対応する図である図６を参照して説明する。なお、本実施の形態にかかる車両ネットワークの通信管理装置も、その基本的な構成は第１の実施の形態と同等であり、本実施の形態においても第１の実施の形態と実質的に同一の要素にはそれぞれ同一の符号を付して示し、重複する説明は割愛する。
【００９０】
図６に示すように、本実施の形態の通信管理部２００Ａを構成する制御判断部２３０Ａは、外部データが、車載制御装置１００に組み込まれているアプリケーションプログラム等の制御プログラムや制御データをリプログラミング（データ書き換え）するための書き換えデータであるか否かを判定する書き換えデータ判定部２３１を備えている。また、本実施の形態の制御判断部２３０Ａは、外部から入力されたデータが書き換えデータであったとき、外部データをＣＡＮバス１１０に転送するか否かの判断に際して基準となる負荷基準値を変更する負荷基準値変更部２３２を備えている。
【００９１】
また、車載制御装置１００に組み込まれている制御プログラムや制御データの更新や修正に際しては、ＤＬＣ３００に専用の機器が接続されて、この接続された機器から書き換えデータが入力される。なお、書き換えデータには、例えば、同データが車載制御装置１００のデータを書き換えるための書き換えデータである旨を示すＩＤが予め付与されている。
【００９２】
そして、ＤＬＣ３００に専用の機器が接続され、この接続された機器から書き換えデータが送信されると、この書き換えデータは、外部用ネットワーク３１０を介して通信管理部２００Ａに送信されて外部データ監視部２２０により監視される。外部データ監視部２２０は、書き換えデータの送信間隔及び単位時間当たりの送信データ量を監視し、この監視結果を制御判断部２３０Ａに出力する。また、本実施の形態の外部データ監視部２２０は、書き換えデータに付与されているＩＤを認識すると、この認識したＩＤを示す信号を、制御判断部２３０Ａに出力する。
【００９３】
そして、本実施の形態の制御判断部２３０Ａでは、外部データ監視部２２０からＩＤを示す信号が入力されると、書き換えデータ判定部２３１によって、外部データ監視部２２０により監視対象とされる外部データが書き換えデータであるか否かが判定される。また、本実施の形態の書き換えデータ判定部２３１は、外部データ監視部２２０により認識されたＩＤと、例えば、保存領域２４０Ａに予め登録されている書き換えデータＩＤとの照合を通じて、外部データが書き換えデータであるか否かを判定する。そして、書き換えデータ判定部２３１は、この判定結果を負荷基準値変更部２３２に出力する。
【００９４】
負荷基準値変更部２３２は、外部データが書き換えデータである旨の判定結果が書き換えデータ判定部２３１から入力されると、この書き換えデータに対する送信規制を緩和すべく、外部データの送信規制を実行するか否かの基準となる負荷基準値を変更する処理を実行する。本実施の形態の負荷基準値変更部２３２は、外部データが書き換えデータであるときには、送信規制を実行するか否かの基準値として設定されているＣＡＮバス１１０の使用率を、例えば「３０％」から「４０％」へと一時的に高める処理を実行する。
【００９５】
そして、送信規制部２５０による書き換えデータの送信規制に際しては、ＣＡＮバス１１０の使用率が「４０％」を超えているか否か、及び、ＣＡＮバス１１０への書き換えデータの転送後に予測される同ＣＡＮバス１１０の使用率が「４０％」を超えるか否かを基準として、書き換えデータの転送の可否が決定される。
【００９６】
この結果、ＣＡＮバス１１０の使用率が「４０％」以内であり、かつ、ＣＡＮバス１１０への書き換えデータの転送後に予測される同ＣＡＮバス１１０の使用率が「４０％」以内であるときには、外部から入力された書き換えデータがＣＡＮバス１１０に転送されることとなる。そして、このＣＡＮバス１１０に転送された書き換えデータは、書き換えの対象となる車載制御装置１００に送信され、同車載制御装置１００に組み込まれているデータが書き換えられることとなる。
【００９７】
なお、負荷基準値変更部２３２は、書き換えデータ判定部２３１の判定結果に基づき負荷基準値を一度変更したとしても、書き換えデータとは異なる外部データが新たに入力されたときには、一旦高めた使用率（負荷基準値）を、例えば「４０％」から初期値である「３０％」に戻す処理を実行する。こうして、外部データが書き換えデータであるか否かに応じて、送信規制部２５０による送信規制の実行基準が動的に変更されることとなる。
【００９８】
以上説明したように、本実施の形態にかかる車両ネットワークの通信管理装置によれば、前記（１）〜（８）の効果が得られるとともに、さらに以下の効果が得られるようになる。
【００９９】
（９）制御判断部２３０Ａに、外部データが車載制御装置１００に組み込まれている制御プログラムや制御データをデータ書き換えするための書き換えデータであるか否かを判定する書き換えデータ判定部２３１を設ける構成とした。また、外部から入力されたデータが書き換えデータであったときに負荷基準値を変更する負荷基準値変更部２３２を制御判断部２３０Ａに設ける構成とした。このため、外部から入力されたデータが書き換えデータであったときには、書き換えデータを他の外部データよりも優先してＣＡＮバス１１０に転送すべく、送信規制部２５０による送信規制が緩和される。これにより、車載制御装置１００のデータ書き換えに必要なデータが不要に送信規制されることが抑制され、ＣＡＮバス１１０を介した書き換えデータの送受信を的確に実行することが可能となる。
【０１００】
（第３の実施の形態）
次に、本発明にかかる車両ネットワークの通信管理装置の第３の実施の形態を、第１の実施の形態との相違点を中心に、先の図１に対応する図である図７を参照して説明する。なお、本実施の形態にかかる車両ネットワークの通信管理装置も、その基本的な構成は第１の実施の形態と同等であり、本実施の形態においても第１の実施の形態と実質的に同一の要素にはそれぞれ同一の符号を付して示し、重複する説明は割愛する。
【０１０１】
図７に示すように、本実施の形態の通信管理部２００Ｂを構成する制御判断部２３０Ｂは、各車載制御装置１００間で送受信される車両データの種別を識別する車両データ種別識別部２３３と、この車両データ種別識別部２３３による識別結果に応じて外部データの送信規制の実行期間を設定する送信規制時間設定部２３４とを備えている。
【０１０２】
すなわち、各車載制御装置１００間で送受信される車両データには通常、例えば、車両Ｃの室外の温度を示す温度データなど、予め定められた周期のもとに定期的に送信される定期データが存在する。そして、車両データが定期データであるか否かは、車両データの送信に際して同車両データに予め付与されるＩＤに基づき識別することが可能となっている。
【０１０３】
そこで、本実施の形態の保存領域２４０Ｂには、車両データが定期データであるか否かを識別すべく、ＣＡＮバス１１０に送信され得る定期データの１ないし複数種のデータの識別子及びデータ長及び送信周期を示す定期送信リストが予め登録されている。
【０１０４】
また、車両データには通常、車両Ｃが所定の交通要素に接近することやドライバにより各種操作が行われることに起因して車両Ｃの状態が変化することにより、各車載制御装置１００間での送受信が一時的に必要となるイベントデータが存在する。イベントデータとしては、例えば、車両Ｃがカーブ等の所定の交通要素に接近したことに伴い、車両Ｃに搭載されたナビゲーションシステムを制御する制御装置と各車載制御装置１００との間での送受信が必要となるデータや、ドライバにより減速操作や加速操作が行われたことにより各車載制御装置１００で送受信が必要となるデータが存在する。そして、こうしたイベントデータは、車両Ｃの交通要素への接近等の各種イベントに伴って発生するものであり、車両Ｃが交通要素を通過するなど、イベントが終了したのちには各車載制御装置１００間での送受信が不要になるデータである。そして、車両データがこうしたイベントデータであるか否か、及び、イベントデータの種別についても、車両データの送信に際して同車両データに予め付与されるＩＤに基づき識別することが可能となっている。
【０１０５】
そこで、本実施の形態の保存領域２４０Ｂには、車両データがイベントデータであるか否かを判定可能とするとともにイベントデータの種別を識別可能とすべく、ＣＡＮバス１１０に送信され得るイベントデータの１ないし複数種のデータの識別子及びデータ長及び送信周期を示すイベント送信リストが予め登録されている。
【０１０６】
そして、本実施の形態の通信管理部２００Ｂによる外部データの送信規制に際してはまず、車両データ種別識別部２３３が、車両データ監視部２１０による監視を通じて、監視対象とされた車両データに付与されているＩＤを取得する。
【０１０７】
車両データ種別識別部２３３は、この取得したＩＤをもとに、保存領域２４０Ｂに登録されている定期送信リスト及びイベント送信リストを参照することにより、車両データ監視部２１０により監視対象とされた車両データの種別が、定期データ及びイベントデータのいずれであるかを識別する。また、車両データ種別識別部２３３は、種別を識別した車両データのデータ長や送信周期を、定期送信リスト及びイベント送信リストの参照を通じて識別する。そして、車両データ種別識別部２３３は、この識別結果を送信規制時間設定部２３４に出力する。
【０１０８】
送信規制時間設定部２３４は、車両データ種別識別部２３３から入力された車両データの種別、送信周期、データ長に基づいて、外部データの送信規制の実行時間を設定する。例えば、送信規制時間設定部２３４は、ＣＡＮバス１１０上を流れている車両データが車両Ｃでのイベントに伴って発生したイベントデータであるときには、イベントの終了までに要する時間を予測し、この予測した時間を外部データの送信規制の実行時間として定める。この送信規制の実行時間の設定に際しては、例えば、イベントデータが、走行中の車両Ｃが或る交通要素に接近したことに伴って発生したデータであるときには、車両Ｃが交通要素を通過するまでに要する時間が送信規制の実行時間として設定される。また、送信規制の実行時間は、例えば、保存領域２４０Ｂの参照を通じて識別されたイベントデータの送信周期やデータ長に基づいて定められる。同様に、ＣＡＮバス１１０上を流れている車両データが定期データであるときにも、例えば、保存領域２４０Ｂの参照を通じて識別された定期データの送信周期やデータ長に基づいて送信規制の実行時間が定められる。
【０１０９】
こうして、通信管理部２００Ｂは、外部データの送信規制に際し、車両データ種別識別部２３３により定められた実行時間のもとに送信規制を実行する。これにより、例えば、先の図５に示したステップＳ１０８、Ｓ１０９において外部データの受信が停止される期間が、送信規制時間設定部２３４により定められた値へと可変設定される。こうして、車両データの種別や送信周期等に応じた送信規制が実行されることとなる。
【０１１０】
この結果、ＣＡＮバス１１０が高負荷状態となる期間が一時的であることが予測されるときには、この期間に応じて、例えば外部データの受信停止が一時的に実行される。これにより、送信規制部２５０による外部データの送信規制が早期に解除され、外部データの転送条件さえ満たされると、ＣＡＮバス１１０への外部データの転送を早い段階で許可することが可能となる。
【０１１１】
一方、ＣＡＮバス１１０が高負荷状態となる期間が長期間継続されると予測されるときには、この期間に応じて、例えば外部データの受信停止が長期的に実行される。このため、一旦、ＣＡＮバス１１０が高負荷状態にあり、かつ、この高負荷状態が所定期間継続すると判断されて以降は、車両データの送信状況に応じた期間だけ外部データの送信規制が実行される。そのため、ＣＡＮバス１１０の負荷が低下するまで、一旦設定された送信規制の実行時間のもとに外部データの受信が停止されることとなる。これにより、外部データの受信を停止している期間においては、先の図５のステップＳ１０１〜Ｓ１０５等に示した処理を実行する必要もなく、通信管理部２００Ｂの演算負荷が軽減されることとなる。またこれにより、ＣＡＮバス１１０の負荷が低下するまでの間、通信管理部２００Ｂによる外部データの受信を停止することが可能となり、この外部データがＣＡＮバス１１０に送信されることを的確に抑制することが可能となる。
【０１１２】
以上説明したように、本実施の形態にかかる車両ネットワークの通信管理装置によれば、前記（１）〜（８）の効果が得られるとともに、さらに以下の効果が得られるようになる。
【０１１３】
（１０）ＣＡＮバス１１０の車両データの送信状況に応じて外部データの送信規制にかかる実行期間を可変設定することとした。これにより、車両データの送信状況に応じた送信規制を実行することが可能となり、車両データの送信状況に見合った的確な送信規制を実行することが可能となる。
【０１１４】
（１１）車両データとして車両内でのイベントの発生に伴い送受信が開始されるイベントデータが前記車両ネットワークに送信されたとき、イベントが終了するまでの間、送信規制部２５０による外部データの送信規制を実行することとした。このため、車両Ｃ内でのイベントの発生に伴ってＣＡＮバス１１０が高負荷状態になったとしても、イベントが終了するまで、すなわち、イベントの終了に伴いＣＡＮバス１１０が高負荷状態から低負荷状態に遷移するまでの間、外部データがＣＡＮバス１１０に送信されることが抑制される。これにより、車両Ｃ内でのイベントの発生を踏まえた外部データの送信規制を通じて、各車載制御装置１００間でのイベントデータの送受信を確実に実行することが可能となる。
【０１１５】
（１２）保存領域２４０Ｂに、定期データのＩＤ及びデータ長及び送信周期が登録された定期送信リストと、イベントデータのＩＤ及びデータ長が登録されたイベント送信リストとを設ける構成とした。また、定期送信リスト及びイベント送信リストの参照を通じて、車両データの種別、データ長、送信周期等を識別する車両データ種別識別部２３３と、この車両データ種別識別部２３３による識別結果に応じて外部データの送信規制の実行時間を定める送信規制時間設定部２３４とを制御判断部２３０Ｂに設ける構成とした。このため、車両データ種別識別部２３３により識別した車両データの種類、データ長、及び送信周期に基づいて、ＣＡＮバス１１０の負荷の増減を予測することや、ＣＡＮバス１１０による車両データの送信状況をより詳細に特定することが可能となる。これにより、車両データの監視を通じた外部データの送信規制をより的確に実行することが可能となる。
【０１１６】
（１３）送信規制時間設定部２３４により定めた送信規制時間を、外部データ監視部２２０による外部データの受信停止期間に反映させることとした。このため、車両Ｃ内でのイベントの終了に伴って、高負荷状態にあったＣＡＮバス１１０が低負荷状態に遷移することが予測されるまの間は、外部データ監視部２２０による外部データの受信が停止される。これにより、車両Ｃ内のイベントが終了し、ＣＡＮバス１１０が低負荷状態となるまでの間は、外部データがＣＡＮバス１１０に転送されることもない。また、これにより、送信規制時間設定部２３４により定めた送信規制時間が経過するまでの間は、外部データの受信が停止されることから、外部データの監視や同外部データがＣＡＮバス１１０に与える負荷の予測等の演算を行う必要もない。
【０１１７】
（他の実施の形態）
なお、上記各実施の形態は、以下のような形態をもって実施することもできる。
・上記各実施の形態では、先の図５に示した処理を、所定のデータ単位で行うこととした。これに限られず、例えば、データフレーム単位でステップＳ１０１〜Ｓ１０８の処理を実行するようにしてもよい。
【０１１８】
・上記各実施の形態では、ＤＬＣ３００及び外部用ネットワーク３１０を介して入力される外部データがＣＡＮバス１１０に及ぼす負荷とＣＡＮバス１１０での車両データの送信状況とに応じて、外部データの送信規制を行った。さらに、この外部データの送信規制に先立ち、例えば、外部から入力された外部データのＩＤやデータ長を識別するとともに、ＣＡＮバス１１０に適合しないと識別された外部データをフィルタリングする機能を上記通信管理部２００、２００Ａ、２００Ｂに設けてもよい。これにより、予めフィルタリングされた外部データに対して送信規制の要否を実行することが可能となり、ＣＡＮバス１１０に適合する外部データのみを、通信管理部２００、２００Ａ、２００ＢからＣＡＮバス１１０へと転送することが可能となる。
【０１１９】
・上記第３の実施の形態では、車両データが定期データ及びイベントデータのいずれであるか否かを、車両データのＩＤと保存領域２４０Ｂに登録されたイベント送信リストとの照合を通じて行った。これに限らず、例えば、車両データに付与されている識別子に基づいて車両データがイベントデータであるか否かを識別可能な場合には、保存領域２４０Ｂのイベント送信リストや定期送信リストを割愛する構成としてもよい。この場合には、例えば、先の図４（ｂ）に対応する図として図８に示すように、各データフレームＦｉａ〜Ｆｉｃがイベントデータである旨を示す識別子Ｉｂが検知されたことに基づき、各データフレームＦｉａ〜Ｆｉｃがイベントデータであると識別される。そして、この識別子Ｉｂが付与されたデータフレームＦｉａ〜Ｆｉｃが所定期間Δｔｆ２の間に所定数検知されたとき、イベントの発生に伴いＣＡＮバス１１０の負荷が増大するとして、外部データの送信規制を実行するようにしてもよい。
【０１２０】
・上記各実施の形態では、外部データの送信規制として、外部データ監視部２２０が受信した外部データの破棄、及び外部データ監視部２２０に入力される外部データの受信停止を実行することとした。これに限らず、例えば、外部データ監視部２２０が受信した外部データを一時的に格納可能な記憶領域を通信管理部２００に設け、外部データの送信規制に際しては、外部データ監視部２２０が受信した外部データを記憶領域に格納させるようにしてもよい。そして、車両データの負荷が低下したことをもって、記憶領域に格納された外部データをＣＡＮバス１１０に送信する送信保留を実行するようにしてもよい。この場合には、ＤＬＣ３００を介して入力された外部データは、ＣＡＮバス１１０が低負荷状態となるのを待って同ＣＡＮバス１１０に送信されることとなり、ＤＬＣ３００を介して入力された外部データをＣＡＮバス１１０に的確に送信することが可能となる。また、これに限らず、外部データの送信規制として、ＣＡＮバス１１０に送信する外部データの送信量をＣＡＮバス１１０の負荷に適応させる通信調整を実行するようにしてもよい。この場合には、外部データをＣＡＮバス１１０に転送することによりＣＡＮバス１１０の負荷が負荷基準値を超えることが予測されたときには、外部データ監視部２２０が受信した外部データの送信周期や単位時間当たりの送信データ量が調整されて外部データがＣＡＮバス１１０に転送される。この結果、ＣＡＮバス１１０の負荷が負荷基準値の以内となる範囲で、外部データがＣＡＮバス１１０に漸次転送されることとなり、ＣＡＮバス１１０の負荷を負荷基準値以内に抑えつつ、余剰部分を利用した外部データの転送を行うことが可能となる。
【０１２１】
・上記各実施の形態では、車両データ監視部２１０によりＣＡＮバス１１０の使用率及び車両データの送信間隔及び単位時間当たりの送信データ量を監視するとともに、外部データ監視部２２０により外部データの送信間隔及び単位時間当たりの送信データ量を監視することとした。これに限らず、例えば、車両データ監視部２１０により、ＣＡＮバス１１０の使用率及び車両データの送信間隔及び単位時間当たりの送信データ量のいずれか一方のみを監視するようにしてもよい。同様に、外部データ監視部２２０により、外部データの送信間隔及び単位時間当たりの送信データ量のいずれか一方を監視するようにしてもよい。この場合であれ、ＣＡＮバス１１０の使用率、車両データの送信間隔、あるいは単位時間当たりの送信データ量、並びに、車両データの送信間隔あるいは単位時間当たりの送信データ量に基づき、車両データ及び外部データがＣＡＮバス１１０に及ぼす負荷を踏まえた送信規制を実行することができる。またこの他、例えば、車両データや外部データに付与されているＩＤのみを監視し、この監視するＩＤに基づき車両データや外部データのデータ長や送信周期などを監視するようにしてもよい。要は、車両データの送受信に伴うＣＡＮバス１１０の負荷や、外部データの負荷を監視することができればよく、車両データ監視部２１０及び外部データ監視部２２０により監視対象とする要素は適宜変更できる。
【０１２２】
・上記各実施の形態では、外部データの送信規制の実行基準となるＣＡＮバス１１０の使用率として「３０％」を規定した。これに限らず、外部データの送信規制の実行基準となるＣＡＮバス１１０の使用率としては、ＣＡＮバス１１０の通信機能を維持できる使用率であればよく、「２９％」以下とすることや、「３１％」以上とすることも可能である。
【０１２３】
・上記各実施の形態では、車両データ監視部２１０によりＣＡＮバス１１０の使用率を監視することとした。そして、外部データがＣＡＮバス１１０に送信されたときに増加が予測されるＣＡＮバス１１０の使用率が、ＣＡＮバス１１０の高負荷状態を示す所定の閾値を超えるとき、送信規制部２５０による外部データの送信規制を実行することとした。これに限らず、例えば、ＣＡＮバス１１０により円滑に送信可能なデータ量を予め規定し、この規定したデータ量を、車両データ及び外部データの合計値が超えるときに、送信規制部２５０による外部データの送信規制を実行するようにしてもよい。要は、送信規制部２５０による外部データの送信規制の実行基準となる負荷基準値とは、ＣＡＮバス１１０の負荷が反映されるものであればよく、適宜変更することができる。
【０１２４】
・上記通信管理部２００を、外部診断機器が接続されるコネクタとして車両内に設けられたＤＬＣ３００とＣＡＮバス１１０との間に設けることとした。これに限らず、通信管理部２００の配置位置とは、外部データがＣＡＮバス１１０に送信される以前に、この外部データが車両データに及ぼす負荷に応じて外部データがＣＡＮバス１１０に送信されることを抑制可能な位置であればよく、適宜変更することができる。
【０１２５】
・上記各実施の形態は、ＤＬＣ３００と通信管理部２００とを、車両Ｃの内部に設けられた外部用ネットワーク３１０を設けることとした。これに限らず、外部用ネットワーク３１０を割愛する構成とし、ＤＬＣ３００に通信管理部２００を直接接続する構成としてもよい。そして、ＤＬＣ３００から通信管理部２００に入力される外部データの受信状況に基づき、外部データがＣＡＮバス１１０に及ぼす負荷を求めるようにしてもよい。
【０１２６】
・上記各実施の形態では、外部データ監視部２２０による外部データの監視を通じて、外部データの検知、ひいては、ＤＬＣ３００に接続された情報端末の検知を行うこととした。これに限らず、例えば、外部用ネットワーク３１０のホストである「ＣＡＮ Ｈｉｇｈ」（もしくは「ＣＡＮ Ｌｏｗ」）をプルダウン抵抗により“Ｌ”レベルに維持させ、ＤＬＣ３００に接続される情報端末の接続部にプルアップ抵抗を設ける構成としてもよい。この場合には、情報端末の接続部がＤＬＣ３００に接続されることにより“Ｌ”レベルに維持された「ＣＡＮ Ｈｉｇｈ」が“Ｈ”レベルに変化することとなり、この変化に基づいてＤＬＣ３００に情報端末が接続された旨を検知することが可能となる。そして、例えば、こうした“Ｌ”レベルから“Ｈ”への変化を通じて情報端末等がＤＬＣ３００に接続されていることが検知されたことを条件として、通信管理部２００による車両データ及び外部データを監視することとし、外部データの送信規制を実行するようにしてもよい。これにより、外部データが外部から送信されてくる蓋然性の高い状況下でのみ、両データ及び外部データの監視、並びに外部データの送信規制に必要な処理が行われることとなり、必要最小限の処理のもとに、外部データの送信規制を実現することが可能となる。
【０１２７】
・上記各実施の形態では、上記外部データを、ＤＬＣ３００に接続可能な情報端末等から入力可能な構成とした。これに限らず、ＤＬＣ３００に代えて、外部の情報端末等と無線通信可能な通信部を車両Ｃに設ける構成としてもよい。この場合であれ、無線通信を通じて外部から入力される外部データに対する送信規制を通じて、ＣＡＮバス１１０による車両データの送受信を円滑に行うことが可能となる。なおこの場合には、例えば、通信部から通信対象機器に対し、通信対象機器との接続確認用データを送信する片方向通信を定期的に実行し、通信対象機器の接続の有無を検知するようにしてもよい。そして、例えば、通信対象機器との通信が確立していることが検知されたことを条件として、通信管理部２００による車両データ及び外部データを監視することとし、外部データの送信規制を実行するようにしてもよい。これにより、外部データが外部から送信されてくる蓋然性の高い状況下でのみ、両データ及び外部データの監視、並びに外部データの送信規制に必要な処理が行われることとなり、必要最小限の処理のもとに、外部データの送信規制を実現することが可能となる。また、例えば、通信部から通信対象機器に対し、接続確認用データを送信するとともに、この接続確認用データを受信した通信対象機器から通信部に対し、接続確認用データを受信した旨を示す応答データや認証用のデータを返信する双方向通信を実行するようにしてもよい。この場合には、外部データの送信元となる通信対象機器の存在をより的確に認識することが可能になるとともに、認証用のデータに基づき通信対象機器を検証することが可能ともなる。これにより、ＣＡＮバス１１０に対するセキュリティー性がより高められるようになる。
【０１２８】
・上記車両ネットワークとして、ＣＡＮバス１１０を採用することとした。これに限らず、車両ネットワークとしては、車両データや外部データを送信可能なものであればよく、例えばフレックスレイを上記車両ネットワークとして採用することも可能である。この場合であれ、外部データの送信規制を通じて、各種車両データの円滑かつ確実な送受信を実現することが可能となる。またこの他、例えば制御系の車両ネットワークとしてＩＤＢ−１３９４（登録商標）を採用したり、ボデー系の車両ネットワークとして、ＢＥＡＮ、ＬＩＮを採用することも可能である。同様に、情報系の車両ネットワークとしてＡＶＣ−ＬＡＮを採用することも可能である。これらの場合であれ、車両ネットワークに対する外部データの送信規制を通じて、車両データの円滑かつ送受信を実現することが可能となる。またこの他、バス型の車両ネットワークであれば、本発明の適用は可能である。
【符号の説明】
【０１２９】
１００…車載制御装置、１１０…ＣＡＮバス、２００、２００Ａ、２００Ｂ…通信管理部、２１０…車両データ監視部、２２０…外部データ監視部、２３０、２３０Ａ、２３０Ｂ…制御判断部、２３１…書き換えデータ判定部、２３２…負荷基準値変更部、２３３…車両データ種別識別部、２３４…送信規制時間設定部、２４０、２４０Ａ、２４０Ｂ…保存領域、２５０…送信規制部、３００…データ・リンク・コネクタ（ＤＬＣ）、３１０…外部用ネットワーク、Ｃ…車両、Ｄａ−Ｄｆ…外部データ、Ｆａ−Ｆｅ…車両データ、Ｆｉａ−Ｆｉｃ…イベントデータ。
【特許請求の範囲】
【請求項１】
複数の車載制御装置の間で車両データの送受信が行われるとともに、有線通信もしくは無線通信を通じた車両外部からの外部データの入力が可能な車両ネットワークにあって通信データの管理を行う車両ネットワークの通信管理装置であって、
前記車両ネットワークに送信される車両データの送信状況と外部から入力される外部データとを監視し、それら監視するデータの送信状況と外部データが前記車両ネットワークに及ぼす負荷とに応じて外部データの前記車両ネットワークへの送信を規制する通信管理部を備える
ことを特徴とする車両ネットワークの通信管理装置。
【請求項２】
前記通信管理部は、前記外部データが前記車両ネットワークに送信されたときに予測される車両ネットワークの使用率が当該車両ネットワークの高負荷状態を示す所定の閾値を超えるとき、前記外部データの送信規制を実行する
請求項１に記載の車両ネットワークの通信管理装置。
【請求項３】
前記通信管理部は、前記外部データが前記車載制御装置のデータ書き換え用の書き換えデータであるとき、前記外部データの送信規制を一時的に緩和する処理を実行する
請求項１又は２に記載の車両ネットワークの通信管理装置。
【請求項４】
前記通信管理部は、前記車両データの送信間隔もしくは単位時間当たりの送信データ量に基づき車両データの送信状況を監視するとともに、前記外部データが入力される際の外部データの送信間隔もしくは単位時間当たりの送信データ量を監視する
請求項１〜３のいずれか一項に記載の車両ネットワークの通信管理装置。
【請求項５】
前記通信管理部は、前記外部データの送信規制として、入力された外部データの破棄、入力された外部データの一時的な送信保留、入力される外部データの受信停止、及び前記車両ネットワークに送信する外部データの送信量を当該車両ネットワークの負荷に適応させる通信調整の少なくとも１つを実行する
請求項１〜４のいずれか一項に記載の車両ネットワークの通信管理装置。
【請求項６】
前記通信管理部は、前記監視する車両ネットワークの車両データの送信状況に応じて前記外部データの送信規制にかかる実行期間を可変設定する
請求項１〜５のいずれか一項に記載の車両ネットワークの通信管理装置。
【請求項７】
前記通信管理部は、前記車両データとして車両内でのイベントの発生に伴い送受信が開始されるイベントデータが前記車両ネットワークに送信されたとき、前記イベントが終了するまでの間、前記外部データの送信規制を実行する
請求項１〜６のいずれか一項に記載の車両ネットワークの通信管理装置。
【請求項８】
前記通信管理部は、前記車両ネットワークに定期的に送信される１ないし複数種のデータの識別子及びデータ長及び送信周期が登録された定期送信リストと、前記車両内でのイベントの発生に伴って前記車両ネットワークに送信される１ないし複数種のデータの識別子及びデータ長が登録されたイベント送信リストとを備え、それら定期送信リスト及びイベント送信リストを参照して前記車両ネットワークの送信状況を監視する
請求項１〜７のいずれか一項に記載の車両ネットワークの通信管理装置。
【請求項９】
前記通信管理部は、車両に搭載される外部用ネットワークと前記車両ネットワークとの間に接続されてなり、該外部用ネットワークを介して送信される外部データの送信状況の監視を通じて前記外部データの送信規制を実行する
請求項１〜８のいずれか一項に記載の車両ネットワークの通信管理装置。
【請求項１０】
前記通信管理部は、外部診断機器が接続されるコネクタとして車両内に設けられたデータ・リンク・コネクタと前記車両ネットワークとの間に設けられてなる
請求項１〜９のいずれか一項に記載の車両ネットワークの通信管理装置。
【請求項１１】
前記車両ネットワークがコントロール・エリア・ネットワークからなる
請求項１〜１０のいずれか一項に記載の車両ネットワークの通信管理装置。
【請求項１２】
前記車両ネットワークがフレックスレイからなる
請求項１〜１０のいずれか一項に記載の車両ネットワークの通信管理装置。
【請求項１】
複数の車載制御装置の間で車両データの送受信が行われるとともに、有線通信もしくは無線通信を通じた車両外部からの外部データの入力が可能な車両ネットワークにあって通信データの管理を行う車両ネットワークの通信管理装置であって、
前記車両ネットワークに送信される車両データの送信状況と外部から入力される外部データとを監視し、それら監視するデータの送信状況と外部データが前記車両ネットワークに及ぼす負荷とに応じて外部データの前記車両ネットワークへの送信を規制する通信管理部を備える
ことを特徴とする車両ネットワークの通信管理装置。
【請求項２】
前記通信管理部は、前記外部データが前記車両ネットワークに送信されたときに予測される車両ネットワークの使用率が当該車両ネットワークの高負荷状態を示す所定の閾値を超えるとき、前記外部データの送信規制を実行する
請求項１に記載の車両ネットワークの通信管理装置。
【請求項３】
前記通信管理部は、前記外部データが前記車載制御装置のデータ書き換え用の書き換えデータであるとき、前記外部データの送信規制を一時的に緩和する処理を実行する
請求項１又は２に記載の車両ネットワークの通信管理装置。
【請求項４】
前記通信管理部は、前記車両データの送信間隔もしくは単位時間当たりの送信データ量に基づき車両データの送信状況を監視するとともに、前記外部データが入力される際の外部データの送信間隔もしくは単位時間当たりの送信データ量を監視する
請求項１〜３のいずれか一項に記載の車両ネットワークの通信管理装置。
【請求項５】
前記通信管理部は、前記外部データの送信規制として、入力された外部データの破棄、入力された外部データの一時的な送信保留、入力される外部データの受信停止、及び前記車両ネットワークに送信する外部データの送信量を当該車両ネットワークの負荷に適応させる通信調整の少なくとも１つを実行する
請求項１〜４のいずれか一項に記載の車両ネットワークの通信管理装置。
【請求項６】
前記通信管理部は、前記監視する車両ネットワークの車両データの送信状況に応じて前記外部データの送信規制にかかる実行期間を可変設定する
請求項１〜５のいずれか一項に記載の車両ネットワークの通信管理装置。
【請求項７】
前記通信管理部は、前記車両データとして車両内でのイベントの発生に伴い送受信が開始されるイベントデータが前記車両ネットワークに送信されたとき、前記イベントが終了するまでの間、前記外部データの送信規制を実行する
請求項１〜６のいずれか一項に記載の車両ネットワークの通信管理装置。
【請求項８】
前記通信管理部は、前記車両ネットワークに定期的に送信される１ないし複数種のデータの識別子及びデータ長及び送信周期が登録された定期送信リストと、前記車両内でのイベントの発生に伴って前記車両ネットワークに送信される１ないし複数種のデータの識別子及びデータ長が登録されたイベント送信リストとを備え、それら定期送信リスト及びイベント送信リストを参照して前記車両ネットワークの送信状況を監視する
請求項１〜７のいずれか一項に記載の車両ネットワークの通信管理装置。
【請求項９】
前記通信管理部は、車両に搭載される外部用ネットワークと前記車両ネットワークとの間に接続されてなり、該外部用ネットワークを介して送信される外部データの送信状況の監視を通じて前記外部データの送信規制を実行する
請求項１〜８のいずれか一項に記載の車両ネットワークの通信管理装置。
【請求項１０】
前記通信管理部は、外部診断機器が接続されるコネクタとして車両内に設けられたデータ・リンク・コネクタと前記車両ネットワークとの間に設けられてなる
請求項１〜９のいずれか一項に記載の車両ネットワークの通信管理装置。
【請求項１１】
前記車両ネットワークがコントロール・エリア・ネットワークからなる
請求項１〜１０のいずれか一項に記載の車両ネットワークの通信管理装置。
【請求項１２】
前記車両ネットワークがフレックスレイからなる
請求項１〜１０のいずれか一項に記載の車両ネットワークの通信管理装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２０１３−３８７１１（Ｐ２０１３−３８７１１Ａ）
【公開日】平成２５年２月２１日（２０１３．２．２１）
【国際特許分類】
【出願番号】特願２０１１−１７５１６２（Ｐ２０１１−１７５１６２）
【出願日】平成２３年８月１０日（２０１１．８．１０）
【出願人】（０００００３２０７）トヨタ自動車株式会社 (59,920)
【Ｆターム（参考）】
【公開日】平成２５年２月２１日（２０１３．２．２１）
【国際特許分類】
【出願日】平成２３年８月１０日（２０１１．８．１０）
【出願人】（０００００３２０７）トヨタ自動車株式会社 (59,920)
【Ｆターム（参考）】
[ Back to top ]