CN114128157A - 车载中继装置、车载通信系统、通信程序及通信方法 - Google Patents

Abstract

提供能够期待降低由于对车辆内的通信线连接不正当的装置导致的不良影响的车载中继装置、车载通信系统、通信程序及通信方法。本实施方式的车载中继装置是连接搭载于车辆的多条通信线并对所述多条通信线之间的数据发送接收进行中继的车载中继装置，具备：中继限制部，限制新连接到一条通信线的通信装置所发送的数据向其他通信线的中继；举动解析部，基于向所述通信装置的输入值和与该输入值相应的所述通信装置的动作结果的对应信息来解析所述通信装置的动作；及限制解除部，根据所述举动解析部的解析结果来解除由所述中继限制部实施的中继的限制。

Description

车载中继装置、车载通信系统、通信程序及通信方法

技术领域

本公开涉及对搭载于车辆的通信装置之间的数据发送接收进行中继的车载中继装置、车载通信系统、通信程序及通信方法。

背景技术

近年来，搭载于车辆的ECU(Electronic Control Unit，电子控制单元)处于增加的倾向。各ECU在与其他ECU之间进行通信而更换信息，进行各种处理。因此，伴随着车辆内的ECU的增加，为了ECU进行通信而设置的车辆内的通信线的量增加，车辆的重量增加，并且车辆内的配设通信线的空间减少。

在专利文献1中，记载了如下结构的车辆控制系统：将车辆内分成多个区域，在每个区域分别将多个功能ECU通过第一网络连接到中继ECU，并通过第二网络将多个中继ECU连接。

现有技术文献

专利文献

专利文献1：日本特开2015－67187号公报

发明内容

发明所要解决的课题

伴随着搭载于车辆的ECU的增加及高功能化，经由车辆内的网络的ECU之间的通信的重要性增加，与通信有关的安全的重要性增加。在对构成网络的车辆内的通信线连接了不正当的装置的情况下，该装置有可能进行不正当的数据发送。

本公开是鉴于上述情形而完成的，其目的在于，提供能够期待降低由于对车辆内的通信线连接不正当的装置导致的不良影响的车载中继装置、车载通信系统、通信程序及通信方法。

用于解决课题的技术方案

本方式的车载中继装置是连接搭载于车辆的多条通信线并对所述多条通信线之间的数据发送接收进行中继的车载中继装置，具备：中继限制部，限制新连接到一条通信线的通信装置所发送的数据向其他通信线的中继；举动解析部，基于向所述通信装置的输入值和与该输入值相应的所述通信装置的动作结果的对应信息来解析所述通信装置的动作；及限制解除部，根据所述举动解析部的解析结果来解除由所述中继限制部实施的中继的限制。

本申请不仅能够实现为具备这样的特征性的处理部的车载中继装置等装置，还能够实现为将上述特征性的处理设为步骤的通信方法，或实现为用于使计算机执行上述步骤的计算机程序。能够实现为实现这些装置的一部分或全部的半导体集成电路，或实现为包含这些装置的其他装置或系统。

发明效果

根据上述，能够期待降低由于对车辆内的通信线连接不正当的装置导致的不良影响。

附图说明

图1是用于说明本实施方式的车载通信系统的概要的示意图。

图2是示出本实施方式的第二中继装置的结构的框图。

图3是示出本实施方式的第一中继装置的结构的框图。

图4是示出本实施方式的第二中继装置进行的处理的次序的流程图。

图5是示出本实施方式的第二中继装置进行的举动解析处理的次序的流程图。

图6是用于说明本实施方式的车载通信系统进行的认证处理的概要的示意图。

图7是示出本实施方式的第二中继装置进行的认证处理的次序的流程图。

图8是示出本实施方式的第一中继装置进行的处理的次序的流程图。

图9是用于说明由实施方式2的车载通信系统实施的ECU的认证方法的示意图。

具体实施方式

[本公开的实施方式的说明]

首先，列举本公开的实施方式来说明。也可以将以下记载的实施方式的至少一部分任意地组合。

(1)本方式的车载中继装置是连接搭载于车辆的多条通信线并对所述多条通信线之间的数据发送接收进行中继的车载中继装置，具备：中继限制部，限制新连接到一条通信线的通信装置所发送的数据向其他通信线的中继；举动解析部，基于向所述通信装置的输入值和与该输入值相应的所述通信装置的动作结果的对应信息来解析所述通信装置的动作；及限制解除部，根据所述举动解析部的解析结果来解除由所述中继限制部实施的中继的限制。

在本方式中，连接多条通信线并对通信线间的数据发送接收进行中继的车载中继装置限制新连接到一条通信线的通信装置所发送的数据向其他通信线的中继。车载中继装置基于向通信装置的输入值及与该输入值相应的动作结果的对应信息，解析新连接的通信装置的动作(举动)。作为解析的结果，例如在判断为新连接的通信装置正当的情况等下，车载中继装置解除中继的限制，将该通信装置所发送的数据中继给其他通信线。由此，车载中继装置能够对进行正当的动作的通信装置所发送的数据进行中继，限制不进行正当的动作的通信装置所发送的数据的中继。因此，车载中继装置能够防止由不进行正当的动作的通信装置所发送的数据导致的不良影响波及到其他通信线。

(2)优选的是，具备从所述车辆的外部的装置取得所述对应信息的对应信息取得部及存储所述对应信息取得部取得的所述对应信息的存储部。

在本方式中，车载中继装置从车辆的外部的装置取得用于进行动作的解析的信息。由此，车载中继装置无需预先存储大量的信息，能够从外部的装置取得所需的信息来进行动作的解析。

(3)优选的是，所述对应信息包含向所述通信装置的输入值及所述通信装置针对该输入值而输出的期望值的信息，所述举动解析部向所述通信装置输入所述对应信息中包含的输入值，取得所述通信装置针对所述输入值的输出值，并对所取得的输出值与所述对应信息中包含的期望值进行比较。

在本方式中，用于动作的解析的信息包含向通信装置的输入值及通信装置针对该输入值而输出的输出值的期望值的信息。车载中继装置基于该信息，将输入值输入到通信装置，取得通信装置针对该输入的输出值。车载中继装置对所取得的输出值与信息中包含的期望值进行比较，能够判定该通信装置的动作是否正当。

(4)优选的是，具备在与所述通信装置之间进行认证处理的认证处理部，所述限制解除部根据所述举动解析部的解析结果及所述认证处理部的认证处理的结果，解除由所述中继限制部实施的中继的限制。

在本方式中，在车载中继装置和通信装置之间进行认证处理。认证处理例如能够采用使用公开密钥或秘密密钥等密钥信息的处理。车载中继装置基于解析的结果和认证处理的结果，解除关于通信装置所发送的数据的中继的限制。由此，车载中继装置关于进行正当的动作并且通过认证而判断为正当的通信装置，进行数据的中继，能够提高所中继的数据的可靠性。

(5)优选的是，具备中继处理部，该中继处理部在由所述限制解除部解除了中继的限制之后，对新连接到所述一条通信线的通信装置与连接到所述其他通信线的通信装置之间的与认证处理相关的数据的发送接收进行中继。

在本方式中，在解除了通信装置所发送的数据的中继的限制之后，车载中继装置对在连接到一条通信线的该通信装置与连接到其他通信线的通信装置之间进行的认证处理进行中继。通过这样，不是仅由1个车载中继装置而是能够由多个装置进行与新连接的通信装置的认证处理，从而能够提高与车辆内的通信有关的可靠性。

(6)本方式的车载通信系统具备搭载于车辆的第一车载中继装置、经由第一通信线分别连接到所述第一车载中继装置的多个第二车载中继装置及经由第二通信线连接到所述第二车载中继装置的通信装置，所述第一车载中继装置对所述多个第二车载中继装置之间的数据发送接收进行中继，所述第二车载中继装置对所述第一车载中继装置和所述通信装置之间的数据发送接收进行中继，所述第二车载中继装置具有：中继限制部，限制新连接到所述第二通信线的通信装置所发送的数据向所述第一通信线的中继；举动解析部，基于向所述通信装置的输入值和与该输入值相应的所述通信装置的动作结果的对应信息来解析所述通信装置的动作；及限制解除部，根据所述举动解析部的解析结果来解除由所述中继限制部实施的中继的限制。

在本方式中，与方式(1)同样地，能够防止由不进行正当的动作的通信装置所发送的数据导致的不良影响波及到其他通信线。

(7)所述第二车载中继装置具有中继处理部，该中继处理部在由所述限制解除部解除了中继的限制之后，对新连接到所述第二通信线的通信装置与连接到所述第一通信线的所述第一车载装置之间的与认证处理相关的数据的发送接收进行中继，所述第一车载中继装置具有经由所述第二车载中继装置而在与新连接到所述第二通信线的通信装置之间进行认证处理的认证处理部。

在本方式中，与方式(5)同样地，能够提高与车辆内的通信有关的可靠性。

(8)本方式的通信程序使连接搭载于车辆的多条通信线并对所述多条通信线之间的数据发送接收进行中继的车载中继装置进行如下处理：限制新连接到一条通信线的通信装置所发送的数据向其他通信线的中继；基于向所述通信装置的输入值和与该输入值相应的所述通信装置的动作结果的对应信息来解析所述通信装置的动作；及根据解析结果来解除中继的限制。

在本方式中，与方式(1)同样地，能够防止由不进行正当的动作的通信装置所发送的数据导致的不良影响波及到其他通信线。

(9)本方式的通信方法中，对搭载于车辆的多条通信线之间的数据发送接收进行中继的车载中继装置限制新连接到一条通信线的通信装置所发送的数据向其他通信线的中继，基于向所述通信装置的输入值和与该输入值相应的所述通信装置的动作结果的对应信息来解析所述通信装置的动作，并根据解析结果来解除中继的限制。

在本方式中，与方式(1)同样地，能够防止由不进行正当的动作的通信装置所发送的数据导致的不良影响波及到其他通信线。

[本公开的实施方式的详细内容]

下面，参照附图，说明本公开的实施方式的车载通信系统的具体例子。本公开不限定于这些示例，通过权利要求书来表示，旨在包含与权利要求书等同的含义和范围内的全部变更。

＜系统概要＞

图1是用于说明本实施方式的车载通信系统的概要的示意图。本实施方式的车载通信系统构成为具备搭载于车辆1的第一中继装置10、多个第二中继装置20、无线通信装置30和多个ECU40。图1的上下方向是车辆1的前后方向，图1的左右方向是车辆1的左右方向。车载通信系统中包含的装置的数量、通信线的数量、装置的连接形式和网络的结构等不限于图示。

本实施方式的车载通信系统是采用将多个第二中继装置20和1个无线通信装置30分别经由通信线2连接到1个第一中继装置10的星形的网络结构的系统。在本实施方式中，经由通信线2的第一中继装置10与第二中继装置20和无线通信装置30之间的通信依照以太网(注册商标)的通信标准进行。第一中继装置10进行对多个第二中继装置20和无线通信装置之间的数据发送接收、即连接到自身的多条通信线2之间的数据发送接收进行中继的处理。此外，在本实施方式中，设为第一中继装置10和第二中继装置20依照以太网的通信标准进行通信，但不限于此。第一中继装置10和第二中继装置20的通信例如能够采用CAN(Controller Area Network：控域网)、CAN－FD(CAN with Flexible Data-rate：具有灵活数据速率的CAN)或FlexRay等各种通信标准。

在本实施方式的车载通信系统中，第一中继装置10搭载于车辆1的中央，第二中继装置20分别搭载于车辆1的右前部、右中央部、右后部、左前部、左中央部和左后部这6处。在各第二中继装置20经由通信线3而连接有配设于其旁边的一个或多个ECU40。即，在本实施方式的车载通信系统中，基于车辆1中的搭载位置，使多个ECU40群组化，将群组内的多个ECU40连接到1个第二中继装置20。多个第二中继装置20连接到第一中继装置10，第一中继装置10进行群组间的通信。此外，多个ECU40的分组不限于车辆1中的搭载位置，可以依照例如装置各自的功能或各自的通信速度等那样的各种条件来进行。

在本实施方式中，第二中继装置20与多个ECU40经由共同的通信线3连接，构成总线型的网络。经由通信线3的第二中继装置20和ECU40之间的通信依照CAN的通信标准进行。通信线3被称为CAN总线，能够连接几个到十几个左右的ECU40。在图1中，图示出仅在搭载于车辆1的右后部的第二中继装置20经由通信线3连接有ECU40的结构，但这是为了简化图示。实际上，在其他第二中继装置20也连接一条或多条通信线3，并经由通信线3连接一个或多个ECU40。此外，在本实施方式中，设为第二中继装置20和ECU40依照CAN的通信标准进行通信，但不限于此。第二中继装置20和ECU40的通信能够采用例如以太网、CAN－FD或FlexRay等各种通信标准。

在本例子中，将2条通信线3连接到右后部的第二中继装置20，将2个ECU40连接到其中一条通信线3，将1个ECU40连接到另一条通信线3。该第二中继装置20将连接到其中一条通信线3的ECU40所发送的数据向另一条通信线3中继，并且向通信线2中继。第二中继装置20也可以基于例如附加于所接收到的数据的识别信息、即所谓的CANID来决定该数据的中继目标。在该情况下，第二中继装置20预先存储将附加于数据的CANID与作为中继目标的通信线对应起来的表格等信息。

无线通信装置30通过进行利用例如移动电话通信网或无线LAN(Local AreaNetwork)等无线网络的通信，从而能够在与存在于车辆1的外部的服务器装置50之间进行数据的发送接收。如上所述，无线通信装置30经由通信线2连接到第一中继装置10，第一中继装置10在无线通信装置30与第二中继装置20之间对数据的发送接收进行中继。由此，搭载于车辆1的各ECU40经由无线通信装置30、第一中继装置10和第二中继装置20，能够在与车辆1的外部的服务器装置50之间进行数据的发送接收。

ECU40能够包含例如控制车辆1的发动机的动作的ECU、控制门的锁定/解锁的ECU、控制灯的亮灯/熄灯的ECU、控制安全气囊的动作的ECU及控制ABS(Antilock BrakeSystem：防抱死制动系统)的动作的ECU等各种ECU。在本实施方式中，作为进行经由通信线3的数据的发送接收的车载通信装置，列举ECU40，但车载通信装置不限于这些。

有时例如由于对车辆1追加功能等，将新ECU40搭载到车辆1，并连接到车辆1内的网络。本实施方式的车载通信系统具备如下功能：在对连接有一个或多个ECU40的通信线3连接了新ECU40的情况下，判断该ECU40是否为正当的装置，在不是正当的装置的情况下，限制数据的中继。该中继的限制首先由第二中继装置20进行。例如，在图1中，在对连接到搭载于车辆1的右后部的第二中继装置20的其中一条通信线3连接了新ECU40的情况下，第二中继装置20不将该新ECU40所发送的数据中继给其他通信线2、3。第二中继装置20例如在将附加有与至今为止在该通信线3中进行过数据的发送接收的CANID不同的CANID的数据发送给通信线3的情况下，判断为连接了新ECU40，限制附加有该CANID的数据的中继(不进行中继)。

在限制数据的中继之后，第二中继装置20对新ECU40进行举动(动作)解析和认证处理。当在举动解析中ECU40进行正当的举动、并且在认证处理中ECU40的认证成立的情况下，第二中继装置20解除针对该ECU40所发送的数据的中继的限制。此后，第二中继装置20将该ECU40所发送的数据中继给其他通信线2、3。当在举动解析中ECU40未示出正当的举动的情况下，或在认证处理失败的情况下，第二中继装置20也可以继续限制ECU40所发送的数据的中继，并且进行将举动解析和认证处理的结果通知给车辆1的用户或服务器装置50等的处理。

在本实施方式的车载通信系统中，在第一中继装置10中也进行中继的限制。如上所述，在由第二中继装置20进行新连接到通信线3的ECU40所发送的数据的中继的情况下，第二中继装置20所中继的数据经由通信线2由第一中继装置10接收。第一中继装置10在接收到附加有与至今为止在通信线2中进行过数据的发送接收的CANID不同的CANID的数据的情况下，限制附加有该CANID的数据的中继(不进行中继)。

在限制数据的中继之后，第一中继装置10在与新连接的ECU40之间进行认证处理。第一中继装置10和ECU40之间的认证处理经由第二中继装置20进行。即，第二中继装置20对从第一中继装置10发送给ECU40的与认证处理相关的数据进行中继，并且对从ECU40发送给第一中继装置10的与认证处理相关的数据进行中继。在认证处理成功的情况下，第一中继装置10解除针对该ECU40所发送的数据的中继的限制。此后，第一中继装置10将该ECU40所发送的数据中继给其他通信线2。在认证处理失败的情况下，第一中继装置10也可以进行向车辆1的用户或服务器装置50等通知认证处理的失败的处理。

在本实施方式中，在由第一中继装置10解除限制而开始数据的中继之后，不进一步地在其他第二中继装置20中进行与ECU40的认证处理。本实施方式的车载通信系统能够视为将第一中继装置10设为最上级的第一层级、将第二中继装置20设为第二层级、将ECU40设为第三层级的层级构造的网络。车载通信系统也可以采用四层级以上的层级构造。在对网络追加了新装置的情况下，该装置的上一层级的中继装置进行新装置的举动解析和认证处理，更上级层级的装置进行认证处理。认证处理从下级的层级向上级的层级依次进行，在最上级层级处的认证处理成功的情况下，针对新装置的认证完成。

＜装置结构＞

图2是示出本实施方式的第二中继装置20的结构的框图。本实施方式的第二中继装置20构成为具备处理部(处理器)21、存储部(存储设备)22、第一通信部(收发器)23及两个第二通信部(收发器)24。处理部21例如使用CPU(Central Processing Unit：中央处理单元)或MPU(Micro-Processing Unit：微处理单元)等运算处理装置而构成。处理部21通过读出在存储部22中存储的程序来执行，从而能够进行各种处理。在本实施方式中，处理部21通过读出在存储部22中存储的程序22a来执行，从而进行对通信线2、3之间的报文进行中继的处理、限制报文的中继的处理、针对新连接的ECU40的举动解析和认证处理及解除报文的中继的限制的处理等。

存储部22例如使用闪存存储器或EEPROM(Electrically Erasable ProgrammableRead Only Memory：电可擦除可编程只读存储器)等非易失性的存储元件而构成。存储部22存储处理部21执行的各种程序及处理部21的处理所需的各种数据。在本实施方式中，存储部22存储有处理部21执行的程序22a、用于在中继处理中决定数据的中继目标的中继表格22b、用于进行新ECU40的举动解析的对应信息22c及用于在与ECU40之间进行认证处理的认证信息22d。

程序22a例如既可以在第二中继装置20的制造阶段中写入到存储部22，例如也可以由第二中继装置20通过通信取得远程的服务器装置等传送的程序，例如也可以由第二中继装置20读出记录于存储卡或光盘等记录介质99的程序并存储到存储部22，例如也可以由写入装置读出记录于记录介质99的程序并写入到第二中继装置20的存储部22。程序22a既可以以经由网络传送的形式提供，也可以以记录于记录介质99的形式提供。

中继表格22b是用于决定所接收到的数据的中继目标的表格。在中继表格22b中，例如将附加于数据的CANID等识别信息与识别作为中继目标的通信线2、3的识别信息对应起来地存储。

对应信息22c是用于进行新连接的ECU40的举动解析的信息，例如是将对ECU40的输入值与ECU40针对该输入值而输出的输出值的期望值对应起来的信息。第二中继装置20预先将对应信息22c存储于存储部22。但是，第二中继装置20也可以在将新ECU40连接到通信线3的情况下，经由无线通信装置30进行与服务器装置50的通信，取得新ECU40的举动解析所需的对应信息22c。在该情况下，也可以在举动解析结束后，从存储部22删除对应信息22c。

认证信息22d是用于在与新连接的ECU40之间进行认证处理的信息。认证信息22d例如能够设为公开密钥或秘密密钥等信息。

第一通信部23连接通信线2，进行经由通信线2的与第一中继装置10的通信。在本实施方式中，第一通信部23进行依照以太网的通信标准的数据的发送接收。第一通信部23例如能够使用以太网PHY(PHYsical layer；物理层)的IC(Integrated Circuit：集成电路)而构成。第一通信部23通过将从处理部21提供的数据作为电信号输出给通信线2，从而进行数据发送。第一通信部23通过采样取得通信线2的电位，从而将通信线2上的电信号转换成数字数据，将转换而得到的数据作为接收数据提供给处理部21。

本实施方式的第二中继装置20具备2个第二通信部24。各第二通信部24连接通信线3，经由通信线3进行与一个或多个ECU40的通信。在本实施方式中，第二通信部24进行依照CAN的通信标准的数据的发送接收。第二通信部24例如能够使用CAN控制器的IC而构成。第二通信部24通过将从处理部21提供的数据作为电信号输出给通信线3，从而进行数据发送。第二通信部24通过采样取得通信线3的电位，从而将通信线3上的电信号转换成数字数据，将转换而得到的数据作为接收数据提供给处理部21。第二通信部24在多个装置对通信线3同时发送了数据的情况下，进行用于将发送权利确定给某一个装置的仲裁处理。

在本实施方式中，第二中继装置20通过处理部21读出在存储部22中存储的程序22a来执行，从而在处理部21中作为软件功能模块而实现中继处理部21a、中继限制部21b、限制解除部21c、对应信息取得部21d、举动解析部21e和认证处理部21f等。中继处理部11a通过将由第一通信部23或第二通信部24接收到的数据从其他第一通信部23或第二通信部24发送，从而进行对数据进行中继的处理。中继处理部21a取得附加于所接收到的数据的CANID，参照存储部22的中继表格22b，在中继表格22b中查询与CANID对应起来的发送目标。中继处理部21a将数据提供给作为在中继表格22b中指定的发送目标的第一通信部23或第二通信部24，使第一通信部23或第二通信部24进行该数据的发送。

中继限制部21b进行限制由中继处理部21a实施的数据的中继的处理。中继限制部21b关于对通信线3新连接的ECU40所发送的数据，限制中继处理部21a将数据中继给通信线2和其他通信线3。中继限制部21b例如在附加于由第二通信部24接收到的数据的CANID是至今为止未由该第二通信部24接收过的CANID的情况下，将该数据视为新ECU40所发送的数据，不使中继处理部21a进行中继。由中继限制部21b实施的数据的中继的限制例如通过将限制中继的数据的CANID登记到中继表格22b来进行。中继处理部21a当在中继表格22b中设定有表示禁止中继的意思的标记等的情况下，不进行该CANID的数据的中继。

限制解除部21c进行解除由中继限制部21b实施的数据的中继的限制的处理。限制解除部21c在基于针对新连接的ECU40进行的举动解析和认证处理的结果而判断为该ECU40是正当的装置的情况下，解除中继的限制。限制解除部21c例如能够通过进行将设定于中继表格22b的禁止中继的标记变更为许可中继的处理来解除中继的限制。

对应信息取得部21d进行取得用于进行针对新连接的ECU40的举动解析的对应信息的处理。对应信息取得部21d通过经由无线通信装置30进行与服务器装置50的通信，从而取得与作为解析对象的ECU40有关的对应信息，并存储到存储部22中。对应信息取得部21d例如基于中继限制部21b限制了数据的中继的CANID，从服务器装置50取得对应信息，或从限制了中继的ECU40取得装置ID或制造编号等与装置有关的信息，基于所取得的与装置有关的信息，从服务器装置50取得对应信息。

举动解析部21e使用对应信息取得部21d取得并存储到存储部22的对应信息22c，进行数据的中继受到限制的ECU40的举动解析。对应信息22c是用于确认ECU40的举动的所谓的测试图案。在对应信息22c中，将对ECU40输入的输入值与ECU40针对该输入值而输出的输出值的期望值对应起来地存储。举动解析部21e取得对应信息22c的输入值，作为发送数据从第二通信部24发送给ECU40。接收到该数据的ECU40进行针对该数据的预定处理，将处理结果的输出值作为发送数据发送给第二中继装置20。举动解析部21e接收来自ECU40的数据，基于在接收数据中包含的输出值是否与对应信息22c的期望值一致，能够判定ECU40是否为正当的装置。

认证处理部21f使用在存储部22中存储的认证信息22d，在与由中继限制部21b限制了数据的中继的ECU40之间进行认证处理。在本实施方式中，作为认证信息22d，存储有共用密钥的信息，在是正当的装置的情况下，使ECU40具有相同的共享密钥。认证处理例如按以下的次序进行。认证处理部21f生成随机数，并发送给ECU40。接收到该随机数的ECU40基于随机数和自身存储的共用密钥，使用预定的散列函数来计算散列值，将散列值发送给第二中继装置20。接收到来自ECU40的散列值的第二中继装置20的认证处理部21f基于发送给ECU40的随机数和自身存储的共用密钥，使用预定的散列函数来计算散列值，判定自身计算出的散列值与从ECU40接收到的散列值是否一致。在两散列值一致的情况下，认证处理部21f判定为该ECU40是正当的装置，认为认证处理成功。

图3是示出本实施方式的第一中继装置10的结构的框图。本实施方式的第一中继装置10构成为具备处理部(处理器)11、存储部(存储设备)12和多个通信部(收发器)13。处理部11例如使用CPU或MPU等运算处理装置而构成。处理部11通过读出在存储部12中存储的程序来执行，从而能够进行各种处理。在本实施方式中，处理部11通过读出在存储部12中存储的程序12a来执行，从而进行对多条通信线2之间的报文进行中继的处理、限制报文的中继的处理、针对新连接的ECU40的认证处理及解除报文的中继的限制的处理等。

存储部12例如使用闪存存储器或EEPROM等非易失性的存储元件来构成。存储部12存储处理部11执行的各种程序及处理部11的处理所需的各种数据。在本实施方式中，存储部12存储有处理部11执行的程序12a、用于在中继处理中决定数据的中继目标的中继表格12b及用于在与ECU40之间进行认证处理的认证信息12c。

程序12a例如既可以在第一中继装置10的制造阶段中写入到存储部12，例如也可以由第一中继装置10通过通信取得远程的服务器装置等传送的程序，例如也可以由第一中继装置10读出记录于存储卡或光盘等记录介质98的程序并存储到存储部12，例如也可以由写入装置读出记录于记录介质98的程序并写入到第一中继装置10的存储部12。程序12a既可以以经由网络传送的形式提供，也可以以记录于记录介质98的形式提供。

中继表格12b是用于决定所接收到的数据的中继目标的表格。认证信息12c是用于在与新连接的ECU40之间进行认证处理的信息。第一中继装置10的中继表格12b和认证信息12c等是与第二中继装置20的中继表格22b和认证信息22d大致相同的结构，所以省略说明。

通信部13连接通信线2，进行经由通信线2的与第二中继装置20的通信。在本实施方式中，通信部13进行依照以太网的通信标准的数据的发送接收。通信部13例如能够使用以太网PHY的IC来构成。在本实施方式中，第一中继装置10具备7个通信部13，但在图2中，省略通信部13的数量而图示。

在本实施方式中，第一中继装置10通过处理部11读出在存储部12中存储的程序12a来执行，从而在处理部11中，作为软件功能模块而实现中继处理部11a、中继限制部11b、限制解除部11c和认证处理部11d等。中继处理部11a通过将由一个通信部13接收到的数据从其他通信部13发送，从而对数据进行中继。此时，中继处理部11a使用存储部12的中继表格12b来决定中继目标。

中继限制部11b进行限制由中继处理部11a实施的数据的中继的处理。中继限制部11b关于在新连接到通信线3之后被解除了由第二中继装置20实施的中继的限制的ECU40，限制将该ECU40所发送的数据中继给其他通信线2。中继限制部11b例如在附加于由通信部13接收到的数据的CANID是至今为止未由该通信部13接收过的CANID的情况下，将该数据视为新ECU40所发送的数据，不使中继处理部11a进行中继。

限制解除部11c进行解除由中继限制部11b实施的数据的中继的限制的处理。限制解除部11c在基于针对新连接的ECU40进行的认证处理的结果而判断为该ECU40是正当的装置的情况下，解除中继的限制。

认证处理部11f使用在存储部12中存储的认证信息12c，在与由中继限制部11b限制了数据的中继的ECU40之间进行认证处理。认证处理的次序与第二中继装置20的认证处理部21f进行的认证处理相同。

＜中继的限制及限制的解除＞

图4是示出本实施方式的第二中继装置20进行的处理的次序的流程图。本实施方式的第二中继装置20的处理部21的中继限制部21b判定有没有新ECU40对通信线3的连接(步骤S1)。在未连接新ECU40的情况下(S1：“否”)，中继限制部21b待机直至连接新ECU40为止。

例如，中继限制部21b能够对连接到通信线3的一个或多个ECU40一并发送装置ID或制造编号等信息的取得请求，基于作为针对该请求的响应而从各ECU40发送的数据，判定有没有新ECU40的连接。中继限制部21b接收针对取得请求而从ECU40发送的数据并存储，周期性地重复进行取得请求，查询相对于以前的数据有没有变化，从而能够判定有没有新ECU40的连接。

例如，中继限制部21b在接收到附加有至今为止未接收过的CANID的数据的情况下，能够判定为连接了新ECU40。例如，也可以设为新连接的ECU40将该意思通知给第二中继装置20的结构，在该情况下，中继限制部21b能够根据有没有通知来判定有没有新ECU40的连接。

在连接了新ECU40的情况下(S1：“是”)，中继限制部21b限制该ECU40所发送的数据的中继(步骤S2)。中继限制部21b例如通过在存储部22的中继表格22b中设定禁止该ECU40所发送的数据的中继的标记，从而能够限制数据的中继。

接下来，处理部21的对应信息取得部21d取得与新连接的ECU40有关的装置ID或制造编号等装置信息(步骤S3)。对应信息取得部21d例如能够通过对新连接的ECU40请求发送预定的信息，接收ECU40根据该请求而发送的数据，从而取得装置信息。对应信息取得部21d基于在步骤S3中取得的装置信息，从服务器装置50取得该装置的举动解析所需的对应信息(步骤S4)，并存储到存储部22。

处理部21的举动解析部21e使用在步骤S4中取得的对应信息来进行新连接的ECU40的举动解析处理(步骤S5)。处理部21的认证处理部21f使用在存储部22中存储的认证信息22d来进行新连接的ECU40的认证处理(步骤S6)。在步骤S5中进行的举动解析处理和在步骤S6中进行的认证处理的详细处理在后面叙述。处理部21的限制解除部21c基于步骤S5的举动解析处理和步骤S6的认证处理的结果，判定新连接的ECU40是否为正当的装置(步骤S7)。

在判定为新连接的ECU40是正当的装置的情况下(S7：“是”)，处理部21的限制解除部21c解除该ECU40发送的数据的中继的限制(步骤S8)，结束处理。限制解除部21c能够通过在存储部22的中继表格22b中将中继限制部21b设定的中继的禁止的标记变更为许可，从而解除中继的限制。在判定为新连接的ECU40不是正当的装置的情况下(S7：“否”)，处理部21对表示异常的ECU40连接到通信线3的意思进行通知(步骤S9)，结束处理。处理部21例如能够通过在搭载于车辆1的显示器等中显示报文来进行通知，例如能够通过由无线通信装置30向服务器装置50发送包含异常内容的数据来进行通知。

图5是示出本实施方式的第二中继装置20进行的举动解析处理的次序的流程图，是在图4所示的流程图的步骤S5中进行的处理。本实施方式的第二中继装置20从服务器装置50取得并存储到存储部22的对应信息是将用于使ECU40进行预定的举动的输入值即所谓的测试图案与在ECU40针对该输入值进行了预定的举动的情况下输出的输出值的期望值对应起来的信息。输入值可以是多个值的组合，例如可能包含针对ECU40的控制命令等。在对应信息中包含的输入值和输出值的组可以是多个，第二中继装置20可以通过多个测试图案来解析ECU40的举动。

本实施方式的第二中继装置20的处理部21的举动解析部21e从在存储部22中存储的对应信息22c取得向作为解析对象的ECU40的输入值(步骤S21)。举动解析部21e通过将包含所取得的输入值的发送数据提供给与连接有该ECU40的通信线3对应的第二通信部24，从而向ECU40发送输入值(步骤S22)。举动解析部21e判定与1个测试图案有关的输入值向ECU40的输入是否全部结束(步骤S23)。在全部输入值的输入未结束的情况下(S23：“否”)，举动解析部21e使处理返回到步骤S21，继续进行该测试图案所需的剩余的输入值的输入。

在关于1个测试图案而全部输入值的输入结束的情况下(S23：“是”)，举动解析部21e取得作为ECU40针对该输入进行预定的举动的结果而输出的输出值(步骤S24)。此时，ECU40通过将包含输出值的数据发送到通信线3，由第二通信部24接收该数据，从而举动解析部21e能够取得输出值。接下来，举动解析部21e对在步骤S24中取得的输出值与在对应信息22c中包含的该测试图案的期望值进行比较，判定输出值和期望值是否一致(步骤S25)。

在输出值和期望值一致的情况下(S25：“是”)，举动解析部21e关于该测试图案，判断为进行了正当的举动，为了实施接下来的测试图案，判定在对应信息22c中包含的全部测试图案是否结束(步骤S26)。在未结束全部测试图案的情况下(S26：“否”)，举动解析部21e使处理返回到步骤S21，关于接下来的测试图案进行相同的处理。在结束了全部测试图案的情况下(S26：“是”)，举动解析部21e判定为作为解析对象的ECU40是正当的装置(步骤S27)，结束举动解析处理。在输出值和期望值不一致的情况下(S25：“否”)，举动解析部21e判定为作为解析对象的ECU40不是正当的装置，即是异常的装置(步骤S28)，结束举动解析处理。

图6是用于说明本实施方式的车载通信系统进行的认证处理的概要的示意图。在本实施方式的车载通信系统中，采用将多个第二中继装置20连接到1个第一中继装置10、并将多个ECU40连接到各第二中继装置20的层级构造的网络。本实施方式的车载通信系统通过由存在于上级层级的第二中继装置20和第一中继装置10分别针对新连接的ECU40进行认证处理，从而提高认证处理的可靠性。在本实施方式中，进行所谓的挑战与回应方式的认证处理。

新连接到通信线3的ECU40对通信线3进行认证请求数据的发送，该认证请求数据由第二中继装置20接收。第二中继装置20判断为发送了该认证请求数据的ECU40是新连接的，开始ECU40的认证处理。首先，第二中继装置20生成随机数，将生成的随机数发送给ECU40。该随机数的发送相当于挑战与回应方式中的挑战。接收到该随机数的ECU40基于所接收到的随机数和自身存储的共用密钥，使用预定的散列函数来计算散列值。ECU40将计算出的散列值发送给第二中继装置20。该散列值的发送相当于挑战与回应方式中的回应。

接收到来自ECU40的散列值的第二中继装置20基于发送给ECU40的随机数和自身存储的共用密钥，使用预定的散列函数来计算散列值。正当的ECU40设为能够存储与第二中继装置20相同的共用密钥，使用相同的散列函数来计算散列值。第二中继装置20进行判定从ECU40接收到的散列值与自身计算出的散列值是否一致的散列值的核对。在两散列值一致的情况下，第二中继装置20判断为认证成功，将该意思通知给ECU40。

在第二中继装置20和ECU40的认证处理成功之后，在本实施方式的车载通信系统中，进行第一中继装置10和ECU40的认证处理。第二中继装置20因为与ECU40的认证处理成功，所以能够将ECU40所发送的数据中继给第一中继装置10。在ECU40和第一中继装置10之间进行认证处理的期间，第二中继装置20对在ECU40和第一中继装置10之间发送接收的与认证处理相关的数据进行中继。

在与第二中继装置20的认证处理结束后，ECU40经由第二中继装置20向第一中继装置10进行数据发送，该数据由第一中继装置10接收。第一中继装置10开始与发送了该数据的ECU40的认证处理。首先，第一中继装置10生成随机数，将生成的随机数发送给ECU40。接收到该随机数的ECU40基于所接收到的随机数和自身存储的共用密钥，使用预定的散列函数来计算散列值。第一中继装置10存储的共用密钥与第二中继装置20存储的共用密钥不同，ECU40需要预先存储双方的共用密钥。ECU40将计算出的散列值发送给第一中继装置10。

接收到来自ECU40的散列值的第一中继装置10基于发送给ECU40的随机数和自身存储的共用密钥，使用预定的散列函数来计算散列值。第一中继装置10进行判定从ECU40接收到的散列值与自身计算出的散列值是否一致的散列值的核对。在两散列值一致的情况下，第一中继装置10判断为认证成功，将该意思通知给ECU40。

图7是示出本实施方式的第二中继装置20进行的认证处理的次序的流程图，是在图4所示的流程图的步骤S6中进行的处理。本实施方式的第二中继装置20的处理部21的认证处理部21f通过预定的随机数生成算法来生成随机数(步骤S41)。认证处理部21f通过由第二通信部24发送包含所生成的随机数的数据，从而向作为认证对方的ECU40发送随机数(步骤S42)。其后，认证处理部21f判定在经过预定的待机时间之前是否接收到ECU40针对随机数而发送的散列值(步骤S43)。在即使经过待机时间仍未接收到来自ECU40的散列值的情况下(S43：“否”)，认证处理部21f使处理返回到步骤S41，再次进行随机数的生成和发送。此外，认证处理部21f可以在即使重复进行预定次数的随机数的生成和发送仍未接收到散列值的情况下，判断为认证处理失败。

在接收到来自ECU40的散列值的情况下(S43：“是”)，认证处理部21f读出在存储部22中存储的认证信息22d(步骤S44)。认证处理部21f基于在步骤S41中生成的随机数和在步骤S44中读出的认证信息22d中包含的共用密钥，使用预定的散列函数来计算散列值(步骤S45)。认证处理部21f对在步骤S43中接收到的ECU40的散列值与在步骤S45中自身计算出的散列值进行比较，判定两散列值是否一致(步骤S46)。在两散列值一致的情况下(S46：“是”)，认证处理部21f将认证成功通知给ECU40(步骤S47)，结束认证处理。在两散列值不一致的情况下(S46：“否”)，认证处理部21f将认证失败通知给ECU40(步骤S48)，结束认证处理。

此外，在本实施方式中，在一次判定为散列值不一致的情况下，认证处理部21f认为认证失败，但不限于此。例如，认证处理部21f也可以在散列值不一致的情况下，使处理返回到步骤S1，从而进行再判定，在即使进行预定次数的再判定而散列值仍不一致的情况下，认为认证失败。

图8是示出本实施方式的第一中继装置10进行的处理的次序的流程图。本实施方式的第一中继装置10的处理部11的中继限制部11b判定有没有新ECU40对车辆1内的网络的连接(步骤S61)。中继限制部11b例如能够对连接到通信线3的一个或多个ECU40一并发送装置ID或制造编号等信息的取得请求，基于作为针对该请求的响应而从各ECU40发送的数据，判定有没有新ECU40的连接。在未连接新ECU40的情况下(S61：“否”)，中继限制部11b待机直至连接新ECU40为止。

在连接了新ECU40的情况下(S61：“是”)，中继限制部11b限制该ECU40所发送的数据的中继(步骤S62)。中继限制部11b例如通过在存储部12的中继表格12b中设定禁止该ECU40所发送的数据的中继的标记，从而能够限制数据的中继。接下来，处理部11的认证处理部11d使用在存储部12中存储的认证信息12c来进行新连接的ECU40的认证处理(步骤S63)。在步骤S63中进行的认证处理按与图7所示的第二中继装置20的认证处理相同的次序进行，所以省略详细说明。

处理部11的限制解除部11c基于步骤S63的认证处理的结果，判定新连接的ECU40是否为正当的装置(步骤S64)。在判定为新连接的ECU40是正当的装置的情况下(S64：“是”)，限制解除部11c解除该ECU40所发送的数据的中继的限制(步骤S65)，结束处理。限制解除部11c通过在存储部12的中继表格12b中将中继限制部11b设定的中继的禁止的标记变更为许可，从而能够解除中继的限制。在判定为新连接的ECU40不是正当的装置的情况下(S64：“否”)，处理部11通知表示连接了异常的ECU40的意思(步骤S66)，结束处理。处理部11例如能够通过在搭载于车辆1的显示器等中显示报文来进行通知，例如能够通过由无线通信装置30向服务器装置50发送包含异常内容的数据来进行通知。

＜总结＞

在以上结构的本实施方式的车载通信系统中，连接多条通信线2、3并对通信线2、3之间的数据发送接收进行中继的第二中继装置20限制新连接到一条通信线3的ECU40所发送的数据向其他通信线2、3的中继。第二中继装置20基于预先确定的ECU40的对应信息22c，进行新连接的ECU40的举动解析。作为举动解析的结果，例如在判断为新连接的ECU40正当的情况等下，第二中继装置20解除中继的限制，将该ECU40所发送的数据中继给其他通信线2、3。由此，第二中继装置20能够对进行正当的举动的ECU40所发送的数据进行中继，限制不进行正当的举动的ECU40所发送的数据的中继。因此，第二中继装置20能够防止由不进行正当的举动的ECU40所发送的数据导致的不良影响波及到其他通信线2、3。

在本实施方式的车载通信系统中，第二中继装置20经由无线通信装置30从车辆1的外部的服务器装置50取得用于进行举动解析的对应信息。由此，第二中继装置20无需预先将大量的对应信息存储于存储部22，能够从外部的服务器装置50取得所需的对应信息来进行举动解析。

在本实施方式的车载通信系统中，在用于举动解析的对应信息22c中，包含向ECU40的输入值及ECU40针对该输入值而输出的输出值的期望值。第二中继装置20基于对应信息22c，向ECU40输入作为测试图案的输入值，取得ECU40针对该输入的输出值。第二中继装置20能够对从ECU40取得的输出值与在对应信息22c中包含的期望值进行比较，判定该ECU40的举动是否正当。

在本实施方式的车载通信系统中，在第二中继装置20和ECU40之间进行认证处理。认证处理例如能够采用使用共用密钥的挑战与回应方式的认证处理。第二中继装置20基于举动解析的结果和认证处理的结果，解除关于ECU40所发送的数据的中继的限制。由此，第二中继装置20关于进行正当的举动并且通过认证而判断为正当的ECU40，进行数据的中继，能够提高所中继的数据的可靠性。

在本实施方式的车载通信系统中，不仅在第二中继装置20中，在第一中继装置10中也进行与ECU40的认证处理。第二中继装置20在解除ECU40所发送的数据的中继的限制之后，对在ECU40与第一中继装置10之间进行的认证处理进行中继。通过这样，不是仅由1个中继装置而是能够由多个中继装置进行与新连接的ECU40的认证处理，从而能够提高与车辆1内的通信有关的可靠性。

在本实施方式中，第二中继装置20进行举动解析和认证处理来判定ECU40是否为正当的装置，但不限于此，第二中继装置20也可以仅进行举动解析或认证处理来判定ECU40是否为正当的装置。第一中继装置10在与ECU40之间仅进行认证处理，但不限于此，第一中继装置10也可以在与ECU40之间进行举动解析和认证处理这两者。第一中继装置10和第二中继装置20进行与ECU40的认证处理，但不限于此，也可以仅由第一中继装置10或第二中继装置20进行认证处理。另外，本实施方式的第二中继装置20在进行举动解析之后进行认证处理，但不限于此，也可以在进行认证处理之后进行举动解析。图1所示的车载通信系统的各装置的配置、装置的搭载数量、网络结构等是一个例子，不限于此。

＜实施方式2＞

在实施方式2的车载通信系统中，作为ECU40的认证方式，不进行使用共同的秘密密钥的挑战与回应方式的认证处理，而进行使用电子证书的认证。图9是用于说明由实施方式2的车载通信系统实施的ECU40的认证方法的示意图。实施方式2的车载通信系统进行利用所谓的公开密钥方式的加密技术的通信。在车载通信系统中包含的第一中继装置10、第二中继装置20和ECU40具有用于对所发送的数据或该数据的散列值进行加密的秘密密钥及用于对经加密的数据进行解码的公开密钥。

例如，ECU40将包含通过秘密密钥加密过的加密数据、用于对加密数据进行解码的公开密钥及证明该公开密钥正当的电子证书的信息的电子签名附加到发送数据并发送给其他ECU40等。ECU40存储有所发行的电子证书的信息，每当进行数据的发送时，使用所存储的电子证书的信息。第二中继装置20制作此时所需的ECU40的电子证书。同样地，第一中继装置10制作第二中继装置20的电子证书，服务器装置50制作第一中继装置10的电子证书。在实施方式2的车载通信系统中，服务器装置50具有发行电子证书的认证中心的作用。

如本图所示，实施方式2的车载通信系统构成为从上级按服务器装置50、第一中继装置10、第二中继装置20和ECU40的顺序层级化而成的系统结构。第一中继装置10、第二中继装置20和ECU40的各装置在新连接到车载通信系统的情况下等，对位于上一层级的装置发送电子证书的发行委托。服务器装置50、第一中继装置10和第二中继装置20的各装置接收从下一层级的装置发送的电子证书的发行委托，与此相应地，制作电子证书的信息，将制作出的电子证书的信息发送给作为委托源的装置。

接收到ECU40所发送的带电子证书的数据的其他装置能够使用该电子证书的制作源即第二中继装置20的公开密钥来判定电子证书是否正当，能够使用附加于判定为正当的电子证书的ECU40的公开密钥来对经加密的数据进行解码。第二中继装置20当在连接到自身的多条通信线3之间对ECU40的发送数据进行中继时，将由一条通信线接收到的数据直接发送给其他通信线。第二中继装置20在将由通信线3接收到的数据中继给通信线2、即中继给第一中继装置10时，对接收数据附加自身的电子证书并发送给通信线2。第一中继装置10由一条通信线2接收来自第二中继装置20的数据，将所接收到的数据直接发送给其他通信线2。第一中继装置10在经由无线通信装置30进行与车辆1的外部的服务器装置50等的通信时，对发送数据附加自身的电子证书的信息。

第二中继装置20在从ECU40被委托了电子证书的制作的情况下，关于作为委托源的ECU40进行上述举动解析，对通过举动解析判断为进行了正确的举动的ECU40发行电子证书。第一中继装置10也可以根据来自第二中继装置20的电子证书的制作委托，进行第二中继装置20的举动解析。

以上结构的实施方式2的车载通信系统将车载通信系统设为层级网络结构，按层级进行搭载于车辆1的装置的认证。由此，实施方式2的车载通信系统例如能够使针对秘密密钥的泄漏等的影响的范围局部化，所以能够提高通信的可靠性。实施方式2的车载通信系统能够使认证处理的负荷分散。

实施方式2的车载通信系统的其他结构与实施方式1的车载通信系统相同，所以，对相同的部位附加相同的附图标记，省略详细说明。

车载通信系统中的各装置具备包含微处理器、ROM和RAM等而构成的计算机。微处理器等运算处理部可以从ROM、RAM等存储部分别读出包含图4～图8所示的序列图或流程图的各步骤的一部分或全部的计算机程序来执行。这些多个装置的计算机程序能够分别从外部的服务器装置等安装。这些多个装置的计算机程序分别以储存于CD－ROM、DVD－ROM、半导体存储器等记录介质的状态流通。另外，在本实施方式中说明的各种处理既可以通过微处理器等执行计算机程序来进行，也可以实现为进行这些处理的逻辑电路。

应该认为，本次公开的实施方式在所有方面都是示例性的，而非限制性的。本公开的范围不通过上述含义而通过权利要求书来表示，旨在包含与权利要求书等同含义和范围内的全部变更。

附图标记说明

1 车辆

2 通信线(第一通信线)

3 通信线(第二通信线)

10 第一中继装置(第一车载中继装置)

11 处理部

11a 中继处理部

11b 中继限制部

11c 限制解除部

11d 认证处理部

12 存储部

12a 程序

12b 中继表格

12c 认证信息

13 通信部

20 第二中继装置(车载中继装置、第二车载中继装置)

21 处理部

21a 中继处理部

21b 中继限制部

21c 限制解除部

21d 对应信息取得部

21e 举动解析部

21f 认证处理部

22 存储部

22a 程序(通信程序)

22b 中继表格

22c 对应信息

22d 认证信息

23 第一通信部

24 第二通信部

30 无线通信装置

40 ECU(通信装置)

98、99 记录介质。

Claims (9)

1.一种车载中继装置，连接搭载于车辆的多条通信线，并对所述多条通信线之间的数据发送接收进行中继，

所述车载中继装置具备：

中继限制部，限制新连接到一条通信线的通信装置所发送的数据向其他通信线的中继；

举动解析部，基于向所述通信装置的输入值和与该输入值相应的所述通信装置的动作结果的对应信息，解析所述通信装置的动作；及

限制解除部，根据所述举动解析部的解析结果，解除由所述中继限制部实施的中继的限制。

2.根据权利要求1所述的车载中继装置，具备：

对应信息取得部，从所述车辆的外部的装置取得所述对应信息；及

存储部，存储所述对应信息取得部取得的所述对应信息。

3.根据权利要求1或2所述的车载中继装置，其中，

所述对应信息包含向所述通信装置的输入值及所述通信装置针对该输入值而输出的期望值的信息，

所述举动解析部向所述通信装置输入所述对应信息中包含的输入值，取得所述通信装置针对所述输入值的输出值，并对所取得的输出值与所述对应信息中包含的期望值进行比较。

4.根据权利要求1至3中任一项所述的车载中继装置，其中，

所述车载中继装置具备在与所述通信装置之间进行认证处理的认证处理部，

所述限制解除部根据所述举动解析部的解析结果及所述认证处理部的认证处理的结果，解除由所述中继限制部实施的中继的限制。

5.根据权利要求1至4中任一项所述的车载中继装置，具备：

中继处理部，在由所述限制解除部解除了中继的限制之后，对新连接到所述一条通信线的通信装置与连接到所述其他通信线的通信装置之间的与认证处理相关的数据的发送接收进行中继。

6.一种车载通信系统，具备：

第一车载中继装置，搭载于车辆；

多个第二车载中继装置，经由第一通信线分别连接到所述第一车载中继装置；及

通信装置，经由第二通信线连接到所述第二车载中继装置，

所述第一车载中继装置对所述多个第二车载中继装置之间的数据发送接收进行中继，所述第二车载中继装置对所述第一车载中继装置和所述通信装置之间的数据发送接收进行中继，

所述第二车载中继装置具有：

中继限制部，限制新连接到所述第二通信线的通信装置所发送的数据向所述第一通信线的中继；

举动解析部，基于向所述通信装置的输入值和与该输入值相应的所述通信装置的动作结果的对应信息，解析所述通信装置的动作；及

限制解除部，根据所述举动解析部的解析结果，解除由所述中继限制部实施的中继的限制。

7.根据权利要求6所述的车载通信系统，其中，

所述第二车载中继装置具有中继处理部，该中继处理部在由所述限制解除部解除了中继的限制之后，对新连接到所述第二通信线的通信装置与连接到所述第一通信线的所述第一车载中继装置之间的与认证处理相关的数据的发送接收进行中继，

所述第一车载中继装置具有经由所述第二车载中继装置而在与新连接到所述第二通信线的通信装置之间进行认证处理的认证处理部。

8.一种通信程序，使连接搭载于车辆的多条通信线并对所述多条通信线之间的数据发送接收进行中继的车载中继装置进行如下处理：

限制新连接到一条通信线的通信装置所发送的数据向其他通信线的中继；

基于向所述通信装置的输入值和与该输入值相应的所述通信装置的动作结果的对应信息来解析所述通信装置的动作；及

根据解析结果来解除中继的限制。

9.一种通信方法，

对搭载于车辆的多条通信线之间的数据发送接收进行中继的车载中继装置限制新连接到一条通信线的通信装置所发送的数据向其他通信线的中继，基于向所述通信装置的输入值和与该输入值相应的所述通信装置的动作结果的对应信息来解析所述通信装置的动作，并根据解析结果来解除中继的限制。

Images