CN117121446A - 车载通信系统、中继装置和中继方法 - Google Patents

Abstract

车载通信系统具备多个车载装置以及中继装置，第1车载装置将用于在与第2车载装置之间进行信息的收发的发给所述第2车载装置的帧发送给所述中继装置，所述中继装置基于要求安全等级与系统安全等级的比较结果来决定能否向所述第2车载装置中继所述帧，所述要求安全等级是所述第1车载装置和所述第2车载装置之间的通信所要求的安全性的等级，所述系统安全等级是至少基于所述第1车载装置和所述第2车载装置各自具有的与车辆的安全性相关的功能安全等级而确定的。

Description

车载通信系统、中继装置和中继方法

技术领域

本公开涉及一种车载通信系统、中继装置和中继方法。

本申请主张以2021年4月30日申请的日本申请特愿2021-77516号为基础的优先权，将其公开内容全部并入到本文。

背景技术

在专利文献1(国际公开第2020/145334号)中，公开了如下技术。即，车辆用控制装置基于将在内部构筑有由多个中继器构成的车辆网络的车辆的状态与对所述多个中继器分别设定的控制内容建立了对应的控制方案，控制所述多个中继器。

现有技术文献

专利文献

专利文献1：国际公开第2020/145334号

专利文献2：国际公开第2020/179123号。

发明内容

本公开的车载通信系统具备多个车载装置以及中继装置，第1车载装置将用于在与第2车载装置之间进行信息的收发的发给所述第2车载装置的帧向所述中继装置发送，所述中继装置基于要求安全等级与系统安全等级的比较结果来决定能否将所述帧中继给所述第2车载装置，所述要求安全等级是所述第1车载装置和所述第2车载装置之间的通信所要求的安全性的等级，所述系统安全等级时至少基于所述第1车载装置和所述第2车载装置各自具有的与车辆的安全性相关的功能安全等级而确定的。

本公开的中继装置被用于具备多个车载装置的车载通信系统，所述中继装置具备：设定部，基于要求安全等级和系统安全等级的比较结果来进行与能否中继用于在所述车载装置之间进行信息收发的帧相关的设定，所述要求安全等级是所述车载装置之间的通信所要求的安全性的等级，所述系统安全等级是至少基于各所述车载装置具有的与车辆的安全性相关的功能安全等级而确定的；以及中继部，遵循所述设定部的设定内容来进行所述帧的中继处理。

本公开的中继方法是被用于具备多个车载装置的车载通信系统的中继装置中的中继方法，所述中继方法包含以下步骤：基于要求安全等级与系统安全等级的比较结果来进行与能否中继用于在所述车载装置之间进行信息收发的帧相关的设定，所述要求安全等级是所述车载装置之间的通信所要求的安全性的等级，所述系统安全等级是至少基于各所述车载装置具有的与车辆的安全性相关的功能安全等级而确定的；以及遵循所设定的内容来进行所述帧的中继处理。

本公开的一种方式不仅能够实现为具备这样特征的处理部的中继装置，还能够实现为实现中继装置的一部分或者全部的半导体集成电路，或者能够实现为用于使计算机执行中继装置中的处理的步骤的程序，或者能够实现为实现具备中继装置的车载通信系统的一部分或者全部的半导体集成电路，或者能够实现为将车载通信系统中的处理设为步骤的中继方法，或者能够实现为用于使计算机执行车载通信系统中的处理的步骤的程序。

附图说明

图1是示出本公开的实施方式所涉及的车载通信系统的结构的图。

图2是示出本公开的实施方式所涉及的中继装置的结构的图。

图3是示出本公开的实施方式所涉及的中继装置中的存储部存储的系统管理列表的一个例子的图。

图4是示出本公开的实施方式所涉及的中继装置中的存储部存储的服务管理列表的一个例子的图。

图5是示出本公开的实施方式所涉及的中继装置中的更新部更新后的系统管理列表的一个例子的图。

图6是示出本公开的实施方式所涉及的中继装置中的更新部更新后的服务管理列表的一个例子的图。

图7是确定本公开的实施方式所涉及的中继装置进行中继处理时的动作步骤的一个例子的流程图。

图8是示出本公开的实施方式所涉及的车载通信系统中的通信的序列的一个例子的图。

图9是示出本公开的实施方式所涉及的车载通信系统中的通信的序列的另一个例子的图。

具体实施方式

开发了一种能够实现车载网络的结构的灵活的变更的技术。

[本公开所要解决的课题]

期望一种能够超过专利文献1和2的技术而提升车载网络中的安全的技术。

本公开是为了解决上述课题而完成的，其目的在于，提供能够提升车载网络中的安全的车载通信系统、中继装置和中继方法。

[本公开的效果]

根据本公开，能够提升车载网络中的安全。

[本公开的实施方式的说明]

首先，列举本公开的实施方式的内容来进行说明。

(1)本公开的实施方式所涉及的车载通信系统具备多个车载装置以及中继装置，第1车载装置将用于在与第2车载装置之间进行信息的收发的发给所述第2车载装置的帧发送给所述中继装置，所述中继装置基于要求安全等级与系统安全等级的比较结果来决定能否向所述第2车载装置中继所述帧，所述要求安全等级是所述第1车载装置和所述第2车载装置之间的通信所要求的安全性的等级，所述系统安全等级时至少基于所述第1车载装置和所述第2车载装置各自具有的与车辆的安全性相关的功能安全等级而确定的。

通过这样基于车载装置之间的通信所要求的要求安全等级与基于各车载装置具有的功能安全等级的系统安全等级的比较结果来决定能否进行帧的中继的结构，能够考虑车载装置之间的通信的要求安全等级的大小而决定能否进行帧的中继，所以，例如在车载装置之间的通信的要求安全等级高的情况下，能够不进行车载装置之间的帧的交换。因此，能够提升车载网络中的安全。

(2)也可以是，所述中继装置基于所述要求安全等级与还基于赋予所述帧的安全机构用的数据而确定的所述系统安全等级的比较结果，来决定能否向所述第2车载装置中继所述帧。

通过这样的结构，除了车载装置具有的功能安全等级之外，还能够使用赋予帧的安全机构用的数据来更适当地进行能否进行车载装置之间的帧的中继的判断。

(3)所述中继装置也可以具备存储表示所述车载装置的组与所述系统安全等级的对应关系的系统管理列表的存储部，所述车载装置也可以将自身的所述功能安全等级通知给所述中继装置，所述中继装置也可以基于从所述车载装置通知到的所述功能安全等级，更新所述存储部中的所述系统管理列表。

通过这样的结构，能够伴随着车载装置的功能安全等级的变更而更新存储部中的系统管理列表所表示的系统安全等级，所以，例如在由于更新车载装置的软件而变更了功能安全等级的情况下，也能够基于反映了变更后的功能安全等级的系统安全等级来更适当地进行能否进行车载装置之间的帧的中继的判断。

(4)所述中继装置也可以具备存储表示在所述车载装置之间发送接收的信息的种类与所述要求安全等级的对应关系的服务管理列表的存储部，所述车载装置也可以将自身和其他所述车载装置之间的通信所要求的所述要求安全等级通知给所述中继装置，所述中继装置也可以基于从所述车载装置通知到的所述要求安全等级，更新所述存储部中的所述服务管理列表。

通过这样的结构，当在车载装置之间进行新的种类的信息的发送接收的情况下，也能够基于从车载装置通知到的要求安全等级，适当地进行能否进行车载装置之间的帧的中继的判断。

(5)所述第1车载装置也可以将储存有遵循SOME/IP(Scalable service-OrientedMiddlewarE over IP，基于IP协议的面向服务的可扩展性通信中间件协议)的消息的所述帧发送给所述中继装置，所述中继装置也可以基于与所述消息中包含的服务ID对应的所述要求安全等级和所述系统安全等级的比较结果，决定能否向所述第2车载装置中继所述帧。

通过这样的结构，能够适当地进行能否进行车载装置之间的、储存有遵循SOME/IP的消息的帧的中继的判断。

(6)所述中继装置也可以在决定了不进行所述帧向所述第2车载装置中继的情况下，将进行所述帧向所述第2车载装置中继所需的条件通知给所述第1车载装置。

通过这样的结构，在考虑车载装置之间的通信的要求安全等级而决定为不进行车载装置之间的帧的中继的情况下，能够催促第2车载装置再次发送在中继装置中能够进行中继的帧。

(7)本公开的实施方式所涉及的中继装置被用于具备多个车载装置的车载通信系统，所述中继装置具备：设定部，基于要求安全等级和系统安全等级的比较结果来进行与能否中继用于在所述车载装置之间进行信息收发的帧相关的设定，所述要求安全等级是所述车载装置之间的通信所要求的安全性的等级，所述系统安全等级是至少基于各所述车载装置具有的与车辆的安全性相关的功能安全等级而确定的；以及中继部，遵循所述设定部的设定内容来进行所述帧的中继处理。

通过这样基于车载装置之间的通信所要求的要求安全等级与基于各车载装置具有的功能安全等级的系统安全等级的比较结果来进行与能否进行帧的中继相关的设定的结构，能够考虑车载装置之间的通信的要求安全等级的大小而进行与能否进行帧的中继相关的设定，所以，例如在车载装置之间的通信的要求安全等级高的情况下，能够不进行车载装置之间的帧的交换。因此，能够提升车载网络中的安全。

(8)本公开的实施方式所涉及的中继方法是被用于具备多个车载装置的车载通信系统的中继装置中的中继方法，所述中继方法包含以下步骤：基于要求安全等级与系统安全等级的比较结果来进行与能否中继用于在所述车载装置之间进行信息收发的帧相关的设定，所述要求安全等级是所述车载装置之间的通信所要求的安全性的等级，所述系统安全等级是至少基于各所述车载装置具有的与车辆的安全性相关的功能安全等级而确定的；以及遵循所设定的内容来进行所述帧的中继处理。

通过这样基于车载装置之间的通信所要求的要求安全等级与基于各车载装置具有的功能安全等级的系统安全等级的比较结果来进行与能否进行帧的中继相关的设定的方法，能够考虑车载装置之间的通信的要求安全等级的大小而进行与能否进行帧的中继相关的设定，所以，例如在车载装置之间的通信的要求安全等级高的情况下，能够不进行车载装置之间的帧的交换。因此，能够提升车载网络中的安全。

下面，使用附图来说明本公开的实施方式。此外，对图中相同或者相当部分附加相同符号，不重复其说明。另外，也可以将下面记载的实施方式的至少一部分任意地组合。

[结构和基本动作]

图1是示出本公开的实施方式所涉及的车载通信系统的结构的图。参照图1，车载通信系统301具备中继装置101和多个车载ECU111。例如，作为车载ECU111，车载通信系统301具备车载ECU111A、111B。车载通信系统301既可以是具备2个车载ECU111的结构，也可以是具备3个以上的车载ECU111的结构。车载ECU111是车载装置的一个例子。车载通信系统301搭载于车辆1。

中继装置101被用于车载通信系统301中。中继装置101经电缆2而与各车载ECU111连接。电缆2例如是遵循以太网(注册商标)的标准的电缆。中继装置101和车载ECU111构成车载网络。

车载ECU111例如是对电动动力转向装置(Electric Power Steering：EPS)、制动器控制装置、加速器控制装置、转向装置控制装置、驾驶辅助系统(Advanced Driver-Assistance System：ADAS)中的各种装置进行指示等的驾驶辅助装置或者传感器等。

中继装置101能够与车载ECU111进行通信。中继装置101例如进行对在连接于不同的电缆2的多个车载ECU111之间交换的信息进行中继的中继处理。

例如，车载ECU111定期地生成遵循LLDP(Link Layer Discovery Protocol，链路层发现协议)的帧即LLDP帧，将自身的MAC地址和自身的IP地址包含在所生成的LLDP帧中而发送给中继装置101。

中继装置101从车载ECU111接收LLDP帧，从所接收到的LLDP帧取得连接于自身的车载ECU111的MAC地址和IP地址等各种信息。下面，设为车载ECU111A的MAC地址是“MAC_A”，车载ECU111B的MAC地址是“MAC_B”。

(SOME/IP)

在车载通信系统301中，例如，遵循以太网协议群的应用程序层的协议即SOME/IP，进行消息的收发。更详细来说，车载ECU111将储存有各种信息的消息储存到一个或者多个帧中，能够遵循SOME/IP将该帧经由中继装置101发送给其他车载ECU111。

下面，将遵循SOME/IP进行服务的提供这一方的车载ECU111也称为“服务器”。另外，将接受服务的提供这一方的车载ECU111也称为“客户端”。车载ECU111既可以仅作为服务器发挥功能，也可以仅作为客户端发挥功能，还可以根据服务的内容而作为服务器或者客户端发挥功能。下面，作为一个例子，设为车载ECU111A是服务器，车载ECU111B是客户端。

例如，在作为客户端的车载ECU111B将要接受服务的提供的情况下，生成包含与该服务对应的服务ID的服务探索消息。车载ECU111B将储存有所生成的服务探索消息的帧F1发送给中继装置101。中继装置101将从车载ECU111B接收到的帧F1向车载ECU111A等其他车载ECU进行多路广播。

接收到服务探索消息的车载ECU111中的、能够提供与服务探索消息所附的服务ID对应的服务的车载ECU111例如车载ECU111A作为服务器，生成包含与该服务对应的服务ID的服务提供通知消息。车载ECU111A将储存有所生成的服务提供通知消息的帧F2发送给中继装置101。中继装置101将从车载ECU111A接收到的帧F2发送给作为帧F1的发送源的车载ECU111B。由此，在车载ECU111A与车载ECU111B之间，能够确立通信连接。

在与车载ECU111A之间确立了通信连接的车载ECU111B在要求车载ECU111A周期性地提供服务的情况下，生成包含与该服务对应的服务ID的服务订阅要求消息。车载ECU111B将储存有所生成的服务订阅要求消息的帧F3发送给中继装置101。中继装置101将从车载ECU111B接收到的帧F3发送给车载ECU111A。

车载ECU111A如果接收到服务订阅要求消息，则基于所接收到的服务订阅要求消息中包含的车载ECU111B的ID等，决定是否允许提供服务。车载ECU111A在决定了允许提供服务的情况下，生成包含与该服务对应的服务ID的服务订阅许可消息。车载ECU111A将储存有所生成的服务订阅许可消息的帧F4发送给中继装置101。中继装置101将从车载ECU111A接收到的帧F4发送给车载ECU111B。

并且，车载ECU111A周期性地生成包含作为服务而提供的信息和与该服务对应的服务ID的服务提供消息，将储存有所生成的服务提供消息的帧F5发送给中继装置101。中继装置101将从车载ECU111A接收到的帧F5发送给车载ECU111B。作为一个例子，作为传感器的车载ECU111A将包含与车辆1的行驶状态或者周围的状态相关的传感器信息的服务提供消息发送给作为驾驶辅助装置的车载ECU111B。车载ECU111B从所接收到的服务提供消息取得作为服务而提供的传感器信息，使用该传感器信息来生成与车辆1的驾驶相关的各种控制信息，将所生成的各种控制信息发送给制动器控制装置和转向装置控制装置等。

服务探索消息、服务提供通知消息、服务订阅要求消息、服务订阅许可消息和服务提供消息是遵循SOME/IP的消息的一个例子。帧F1、F2、F3、F4、F5是用于在服务器与客户端之间进行信息的收发的帧的一个例子。

车载ECU111根据该车载ECU111的功能，被分配“A”、“B”、“C”或者“D”的功能安全等级。被分配了“D”的功能要求最高等级的安全对策，被分配了“A”的功能所要求的安全对策最低。即，车载ECU111的功能安全等级按“D”、“C”、“B”和“A”的顺序变高。

作为一个例子，功能安全等级是通过ISO26262规定的ASIL(Automotive SafetyIntegrity Level，车辆安全完整性等级)。

此外，车载ECU111也可以是具有多个功能的结构。在该情况下，车载ECU111针对每个功能具有多个功能安全等级。

＜课题＞

但是，在车载通信系统301中，由于车载网络的结构被变更，有时在变更前仅进行要求安全等级低的通信的车载ECU111与在变更前仅进行要求安全等级高的通信的车载ECU111进行通信。

具体来说，作为一个例子，有时通过基于来自车辆1的外部的OTA(Over The Air，无线方式)服务器的更新数据来更新某个车载ECU111的软件，将该车载ECU111的功能安全等级从“B”变更为“D”。在该情况下，有时在该车载ECU111与功能安全等级是“D”的其他车载ECU111之间，新开始进行通信。

另外，作为另一个例子，有时将新的车载ECU111追加到车载网络。有时在该车载ECU111与仅进行要求安全等级高的通信的既有的车载ECU111之间，新开始进行通信。

以往，在这样仅进行要求安全等级低的通信的车载ECU111开始进行要求安全等级高的通信的情况下，从安全的角度，被指出存在担忧。

因此，在本公开的车载通信系统301和中继装置101中，通过如下的结构和动作，解决这样的课题。

＜中继装置＞

图2是示出本公开的实施方式所涉及的中继装置的结构的图。参照图2，中继装置101具备通信端口15A、15B、15C、中继部11、设定部21、更新部31、通知部41和存储部51。下面，将通信端口15A、15B、15C分别也称为通信端口15。此外，中继装置101既可以是具备2个通信端口15的结构，也可以是具备4个以上的通信端口15的结构。

中继部11例如通过开关IC(Integrated Circuit，集成电路)来实现。设定部21、更新部31和通知部41例如通过CPU(Central Processing Unit，中央处理单元)和DSP(Digital Signal Processor，数字信号处理器)等处理器来实现。存储部51例如是非易失性存储器。

通信端口15例如是能够连接电缆2的端子。此外，通信端口15也可以是集成电路的端子。通信端口15A经电缆2连接于车载ECU111A。通信端口15B经电缆2连接于车载ECU111B。

中继部11能够将从车载ECU111接收到的帧中继给其他车载ECU111。即，中继部11能够经由与该车载ECU111对应的通信端口15接收从车载ECU111发送的帧，对所接收到的帧进行中继处理。

例如，在存储部51中，保存有表示通信端口15的端口编号与经电缆2连接于通信端口15的车载ECU111的MAC(Media Access Control，媒体访问控制)地址的对应关系的地址表格。中继部11使用存储部51中的地址表格来进行中继处理。

(系统管理列表)

图3是示出本公开的实施方式所涉及的中继装置中的存储部存储的系统管理列表的一个例子的图。参照图3，存储部51存储表示车载ECU111的组与系统安全等级的对应关系的系统管理列表Lsy。更详细来说，系统管理列表Lsy示出包含2个车载ECU111作为结构要素的通信系统的系统ID与该通信系统的系统安全等级的对应关系。通信系统的系统安全等级与车载ECU111的功能安全等级同样地，按“D”、“C”、“B”和“A”的顺序变高。

通信系统的系统安全等级至少基于该通信系统的结构要素即2个车载ECU111分别具有的功能安全等级来设定。例如，通信系统的系统安全等级还基于在该通信系统的结构要素即车载ECU111之间发送接收的帧所附的安全机构用的数据来设定。

更详细来说，作为安全机构，车载ECU111A具有ECC(Error Correction Code，错误校正码)等，车载ECU111A的功能安全等级是“B”。另外，作为安全机构，车载ECU111B具有ECC等，车载ECU111B的功能安全等级是“C”。并且，系统ID是“S001”的通信系统的系统安全等级基于该通信系统的结构要素即车载ECU111A、111B的各功能安全等级而设定为“B”。

另外，系统ID是“S002”的通信系统的系统安全等级基于该通信系统的结构要素即车载ECU111A、111B的各功能安全等级以及作为安全机构用的数据而对在车载ECU111A、111B之间发送接收的帧赋予的CRC(Cyclic Redundancy Check，循环冗余校验)，设定为“C”。

(服务管理列表)

图4是示出本公开的实施方式所涉及的中继装置中的存储部存储的服务管理列表的一个例子的图。参照图4，存储部51存储表示在车载ECU111之间发送接收的信息的种类与车载ECU111之间的通信所要求的安全性的等级即要求安全等级的对应关系的服务管理列表Lse。更详细来说，服务管理列表Lse表示遵循SOME/IP的服务的服务ID与用于在车载ECU111之间进行该服务的通信所要求的要求安全等级的对应关系。要求安全等级与车载ECU111的功能安全等级同样地，按“D”、“C”、“B”和“A”的顺序变高。

例如，因为与服务ID是“2001”的服务对应的要求安全等级是“D”，所以，对于用于在车载ECU111之间进行该服务的通信，要求最高等级的安全对策。

例如，系统管理列表Lsy和服务管理列表Lse由车辆1的制造商制作，在车辆1上市时，保存于存储部51。

(系统管理列表的更新)

车载ECU111将自身的功能安全等级通知给中继装置101。更详细来说，车载ECU111例如将表示自身的当前的功能安全等级的等级信息L1包含在上述LLDP帧中，发送给中继装置101。

例如，通过基于来自OTA服务器的更新数据来更新车载ECU111A的软件，车载ECU111A的功能安全等级从“B”变更为“C”。车载ECU111A将表示更新后的自身的功能安全等级的等级信息L1包含在LLDP帧中，发送给中继装置101。

另外，例如，将新的车载ECU111即车载ECU111C追加到车载网络。更详细来说，通过车辆1的用户的操作，将车载ECU111C经电缆2连接于中继装置101中的通信端口15C。车载ECU111C将表示自身的MAC地址、自身的IP地址和自身的当前的功能安全等级的等级信息L1包含在LLDP帧中，发送给中继装置101。下面，设为车载ECU111C的MAC地址是“MAC_C”。

中继部11如果经由对应的通信端口15从车载ECU111接收到LLDP帧，则从所接收到的LLDP帧取得等级信息L1并输出给更新部31。

更新部31基于从车载ECU111通知到的功能安全等级，更新存储部51中的系统管理列表Lsy。更详细来说，更新部31从中继部11接受等级信息L1，基于所接受的等级信息L1，更新存储部51中的系统管理列表Lsy。

图5是示出本公开的实施方式所涉及的中继装置中的更新部更新后的系统管理列表的一个例子的图。

参照图5，更新部31如果经由中继部11从车载ECU111A接收到等级信息L1，则将存储部51的系统管理列表Lsy中的车载ECU111A的功能安全等级从“B”变更为“C”。另外，更新部31伴随着车载ECU111A的功能安全等级的变更，将系统ID是“S001”的通信系统的系统安全等级从“B”变更为“C”。另外，更新部31伴随着车载ECU111A的功能安全等级的变更，将系统ID是“S002”的通信系统的系统安全等级从“C”变更为“D”。

另外，更新部31如果经由中继部11从车载ECU111C接收到等级信息L1，则将包含车载ECU111A、111C作为结构要素的新的通信系统的系统ID即“S103”追加到存储部51中的系统管理列表Lsy中，基于车载ECU111A、111C的各功能安全等级，将该通信系统的系统安全等级设定为例如“B”。

(服务管理列表的更新)

车载ECU111将自身和其他车载ECU111之间的通信所要求的要求安全等级通知给中继装置101。更详细来说，车载ECU111例如将等级信息L2包含在储存有服务探索消息的帧F1中，并发送给中继装置101，所述等级信息L2表示用于进行该服务探索消息中包含的服务ID所表示的服务的通信所要求的要求安全等级。

例如，车载ECU111B在储存有包含“3001”作为服务ID的服务探索消息的帧F1中包含表示用于进行该服务ID所表示的服务的通信所要求的要求安全等级是“D”的等级信息L2，并发送给中继装置101。

中继部11如果经由对应的通信端口15从车载ECU111接收到帧F1，则从所接收到的帧F1取得等级信息L2，并输出给更新部31。

更新部31基于从车载ECU111通知到的要求安全等级，更新存储部51中的服务管理列表Lse。更详细来说，更新部31从中继部11接受等级信息L2，基于所接受的等级信息L2，更新存储部51中的服务管理列表Lse。

图6是示出本公开的实施方式所涉及的中继装置中的更新部更新后的服务管理列表的一个例子的图。

参照图6，更新部31如果经由中继部11从车载ECU111接收到等级信息L2，则将服务ID即“3001”追加到存储部51中的服务管理列表Lse。并且，更新部31基于等级信息L2，将与“3001”所表示的服务对应的要求安全等级设定为“D”。

(设定处理)

设定部21基于要求安全等级与系统安全等级的比较结果，进行与能否进行由中继部11实施的中继相关的设定。

例如，中继部11如果经由通信端口15B从车载ECU111B接收到储存有服务探索消息的帧F1，则从所接收到的帧F1取得服务探索消息，并输出给设定部21。并且，中继部11经由多个通信端口15对帧F1进行多路广播。

设定部21从中继部11接受服务探索消息，从所接受的服务探索消息取得服务ID。设定部21使用所取得的服务ID，进行与能否进行由中继部11实施的中继相关的设定。

更详细来说，设定部21从存储部51中的服务管理列表Lse取得与所取得的服务ID对应的要求安全等级。并且，设定部21基于存储部51中的系统管理列表Lsy，设定如下的中继处理条件：允许在具有所取得的要求安全等级以上的系统安全等级的通信系统中发送接收的、储存有包含该服务ID的消息的帧的中继，另一方面，不允许在具有低于所取得的要求安全等级的系统安全等级的通信系统中发送接收的、储存有包含该服务ID的消息的帧的中继。

作为一个例子，设定部21在从服务探索消息取得的服务ID是“2001”的情况下，从存储部51中的服务管理列表Lse取得与“2001”对应的要求安全等级即“D”。

并且，设定部21基于存储部51中的系统管理列表Lsy，设定如下的中继处理条件：允许在具有“D”以上的系统安全等级的通信系统中发送接收的、储存有包含“2001”作为服务ID的消息的帧的中继，另一方面，不允许在具有低于“D”的系统安全等级的通信系统中发送接收的、储存有包含“2001”作为服务ID的消息的帧的中继。

即，设定部21设定如下的中继处理条件：允许在系统ID是“S002”的通信系统中发送接收的、储存有包含“2001”作为服务ID的消息的帧的中继，另一方面，不允许在系统ID是“S001”或者“S103”的通信系统中发送接收的、储存有包含“2001”作为服务ID的消息的帧的中继。

例如，中继部11包含ACL(Access Control List，访问控制列表)。

设定部21在中继部11中的ACL中设定如下的中继处理条件：在储存有包含“2001”作为服务ID的消息的帧中，在满足该帧的收信方MAC地址是“MAC_A”或者“MAC_B”、该帧的发送源MAC地址是“MAC_A”或者“MAC_B”、并且在该帧中包含有CRC的条件的情况下，对该帧进行中继，另一方面，在不满足上述条件的情况下，不对该帧进行中继。

(帧F2、F3、F4、F5的中继处理)

中继部11基于设定部21中的要求安全等级与系统安全等级的比较结果，决定能否进行帧F2、F3、F4、F5的中继。即，中继部11遵循设定部21的设定内容，进行帧F2、F3、F4、F5的中继处理。

更详细来说，例如，中继部11经由通信端口15A从车载ECU111A接收储存有包含“2001”作为服务ID的服务提供通知消息、收信方MAC地址是“MAC_B”、发送源MAC地址是“MAC_A”、并且包含有CRC的帧F2。在该情况下，中继部11因为所接收到的帧F2满足上述中继处理条件，所以，进行该帧F2的中继处理。具体来说，中继部11经由通信端口15B将该帧F2发送给车载ECU111B。

接下来，例如，中继部11经由通信端口15B从车载ECU111B接收储存有包含“2001”作为服务ID的服务订阅要求消息、收信方MAC地址是“MAC_A”、发送源MAC地址是“MAC_B”、并且包含有CRC的帧F3。在该情况下，中继部11因为所接收到的帧F3满足上述中继处理条件，所以，进行该帧F3的中继处理。具体来说，中继部11经由通信端口15A将该帧F3发送给车载ECU111A。

或者，中继部11经由通信端口15B从车载ECU111B接收储存有包含“2001”作为服务ID的服务订阅要求消息、收信方MAC地址是“MAC_A”、发送源MAC地址是“MAC_B”、并且不包含CRC的帧F3。在该情况下，中继部11因为所接收到的帧F3不满足上述中继处理条件，所以，不进行该帧F3的中继处理。

另外，例如，中继部11经由通信端口15从车载ECU111A接收储存有包含“2001”作为服务ID的服务提供通知消息、收信方MAC地址是“MAC_C”、发送源MAC地址是“MAC_A”、并且包含有CRC的帧F2。在该情况下，中继部11因为所接收到的帧F2不满足上述中继处理条件，所以，不进行该帧F2的中继处理。

中继部11对于帧F4、F5也同样地，在所接收到的帧满足中继处理条件的情况下，经由对应的通信端口15将该帧发送给作为收信方的车载ECU111，另一方面，在所接收到的帧不满足中继处理条件的情况下，不进行该帧F2的中继处理。

例如，中继部11将不满足中继处理条件的帧输出给通知部41。

通知部41在由中继部11决定了不进行帧的中继的情况下，将进行该帧向作为收信方的车载ECU111中继所需的条件通知给作为发送源的车载ECU111。

更详细来说，通知部41从中继部11接受储存有包含“2001”作为服务ID的服务订阅要求消息、收信方MAC地址是“MAC_A”、发送源MAC地址是“MAC_B”、并且不包含CRC的帧F3。

通知部41参照存储部51中的系统管理列表Lsy和服务管理列表Lse，认识到通过在该帧F3中包含CRC，通信系统的系统安全等级将为“D”，系统安全等级成为要求安全等级以上。

并且，作为进行帧F3向车载ECU111A中继所需的条件，通知部41生成表示应该将CRC包含在帧F3中的中继条件信息，生成包含所生成的中继条件信息的车载ECU111B的帧，将所生成的帧经由中继部11和通信端口15B发送给车载ECU111B。

车载ECU111B从中继装置101接收该帧，从所接收到的帧取得中继条件信息。例如，车载ECU111B遵循所取得的中继条件信息，将CRC包含在帧F3中并再次发送。

[动作的流程]

本公开的实施方式所涉及的车载通信系统中的各装置具备包含存储器的计算机，该计算机中的CPU等运算处理部从该存储器读出包含下面的序列的各步骤的一部分或者全部的程序来执行。这多个装置的程序分别能够从外部安装。这多个装置的程序分别以储存于记录介质的状态或者经由通信线路进行流通。

图7是确定本公开的实施方式所涉及的中继装置进行中继处理时的动作步骤的一个例子的流程图。

参照图7，首先，中继装置101设定中继处理条件。更详细来说，中继装置101从经由通信端口15B从车载ECU111B接收到的帧F1取得服务探索消息。中继装置101从服务探索消息取得服务ID，从存储部51中的服务管理列表Lse取得与该服务ID对应的要求安全等级。并且，设定部21基于存储部51中的系统管理列表Lsy，设定如下的中继处理条件：允许在具有所取得的要求安全等级以上的系统安全等级的通信系统中发送接收的、储存有包含该服务ID的消息的帧的中继，另一方面，不允许在具有低于所取得的要求安全等级的系统安全等级的通信系统中发送接收的、储存有包含该服务ID的消息的帧的中继(步骤S102)。

接下来，中继装置101等待帧F2、F3、F4、F5(在步骤S104中为“否”)，例如如果经由通信端口15A从车载ECU111A接收到帧F2(在步骤S104中为“是”)，则判断所接收到的帧F2是否满足中继处理条件(步骤S106)。

中继装置101在所接收到的帧F2满足中继处理条件的情况下，进行该帧F2的中继处理(步骤S108)。

接下来，中继装置101等待新的帧F2、F3、F4、F5(在步骤S104中为“否”)。

另一方面，中继装置101在所接收到的帧F2不满足中继处理条件的情况下，生成中继条件信息，生成包含所生成的中继条件信息的帧，并发送给车载ECU111A(步骤S110)。

接下来，中继装置101丢弃该帧F2(步骤S112)。

接下来，中继装置101等待新的帧F2、F3、F4、F5(在步骤S104中为“否”)。

图8是示出本公开的实施方式所涉及的车载通信系统中的通信的序列的一个例子的图。图8示出作为服务器的车载ECU111A和作为客户端的车载ECU111B经中继装置101进行帧的发送接收时的序列。

参照图8，首先，通过基于来自OTA服务器的更新数据来更新车载ECU111A的软件，车载ECU111A的功能安全等级被变更(步骤S202)。

接下来，车载ECU111A将表示自身的当前的功能安全等级的等级信息L1包含在LLDP帧中，发送给中继装置101(步骤S204)。

另外，车载ECU111B将表示自身的当前的功能安全等级的等级信息L1包含在LLDP帧中，发送给中继装置101(步骤S206)。

接下来，中继装置101基于从车载ECU111A、111B分别接收到的等级信息L1，更新存储部51中的系统管理列表Lsy(步骤S208)。

接下来，车载ECU111B将储存有服务探索消息的帧F1发送给中继装置101(步骤S210)。

接下来，中继装置101从所接收到的帧F1中储存的服务探索消息取得服务ID，从存储部51中的服务管理列表Lse取得与该服务ID对应的要求安全等级。并且，中继装置101基于所取得的要求安全等级和存储部51中的系统管理列表Lsy，进行中继处理条件的设定(步骤S212)。

接下来，中继装置101将储存有服务探索消息的帧F1发送给车载ECU111A。具体来说，中继装置101对帧F1进行多路广播(步骤S214)。

接下来，车载ECU111A将储存有服务提供通知消息的帧F2发送给中继装置101(步骤S216)。

接下来，中继装置101因为所接收到的帧F2满足所设定的中继处理条件，所以，进行该帧F2的中继处理。具体来说，中继装置101将储存有服务提供通知消息的该帧F2发送给车载ECU111B(步骤S218)。

接下来，车载ECU111B将储存有服务订阅要求消息的帧F3发送给中继装置101(步骤S220)。

接下来，中继装置101因为例如由于在帧F3中不包含CRC而该帧F3不满足中继处理条件，所以，代替进行该帧F3的中继处理，而将包含中继条件信息的帧发送给车载ECU111B(步骤S222)。

接下来，中继装置101丢弃帧F3(步骤S224)。

接下来，车载ECU111B遵循从接收自中继装置101的帧取得的中继条件信息，将储存有服务订阅要求消息并包含CRC的帧F3发送给中继装置101(步骤S226)。

接下来，中继装置101因为在所接收到的帧F3中包含有CRC，帧F3满足中继处理条件，所以，进行该帧F3的中继处理。具体来说，中继装置101将储存有服务订阅要求消息的该帧F3发送给车载ECU111A(步骤S228)。

接下来，车载ECU111A将储存有服务订阅许可消息的帧F4发送给中继装置101(步骤S230)。

接下来，中继装置101因为所接收到的帧F4满足所设定的中继处理条件，所以，进行该帧F4的中继处理。具体来说，中继装置101将储存有服务订阅许可消息的该帧F4发送给车载ECU111B(步骤S232)。

接下来，车载ECU111A将储存有服务提供消息的帧F5发送给中继装置101(步骤S234)。

接下来，中继装置101因为所接收到的帧F5满足所设定的中继处理条件，所以，进行该帧F5的中继处理。具体来说，中继装置101将储存有服务提供消息的该帧F5发送给车载ECU111B(步骤S236)。

图9是示出本公开的实施方式所涉及的车载通信系统中的通信的序列的另一个例子的图。图9示出作为服务器的车载ECU111A和作为客户端的车载ECU111C经中继装置101进行帧的发送接收时的序列。

参照图9，首先，新的车载ECU111C被追加于车载网络(步骤S302)。

接下来，车载ECU111A将表示自身的当前的功能安全等级的等级信息L1包含在LLDP帧中，发送给中继装置101(步骤S304)。

另外，车载ECU111C将表示自身的当前的功能安全等级的等级信息L1包含在LLDP帧中，发送给中继装置101(步骤S306)。

接下来，中继装置101基于从车载ECU111A、111C分别接收到的等级信息L1，更新存储部51中的系统管理列表Lsy(步骤S308)。

接下来，车载ECU111C将储存有服务探索消息的帧F1发送给中继装置101(步骤S310)。

接下来，中继装置101从所接收到的帧F1中储存的服务探索消息取得服务ID，从存储部51中的服务管理列表Lse取得与该服务ID对应的要求安全等级。并且，中继装置101基于所取得的要求安全等级和存储部51中的系统管理列表Lsy，进行中继处理条件的设定(步骤S312)。

接下来，中继装置101将储存有服务探索消息的帧F1发送给车载ECU111A。具体来说，中继装置101对帧F1进行多路广播(步骤S314)。

接下来，车载ECU111A将储存有服务提供通知消息的帧F2发送给中继装置101(步骤S316)。

接下来，中继装置101因为例如由于帧F3的收信方MAC地址是“MAC_C”而该帧F3不满足中继处理条件，所以，丢弃帧F3(步骤S318)。

此外，中继装置101也可以是在步骤S316中除了丢弃帧F3之外还对系统ID是“S103”的通信系统的系统安全等级进行分解的结构。更详细来说，中继装置101例如生成表示应该追加故障检测机构的中继条件信息，将包含所生成的中继条件信息的帧发送给车载ECU111C。

车载ECU111C遵循从接收自中继装置101的帧取得的中继条件信息，追加故障检测机构。由此，能够提高系统ID是“S103”的通信系统的系统安全等级，所以，在车载ECU111A和车载ECU111C之间发送接收的帧F2、F3、F4、F5将满足中继处理条件，在中继装置101中能够进行帧F2、F3、F4、F5的中继处理。

此外，在本公开的实施方式所涉及的车载通信系统301中，设为中继装置101中的存储部51是存储表示车载ECU111的组与还基于对在车载ECU111之间发送接收的帧赋予的安全机构用的数据而设定的系统安全等级的对应关系的系统管理列表Lsy的结构，但不限定于此。存储部51也可以是存储表示车载ECU111的组与仅基于2个车载ECU111分别具有的功能安全等级而设定的系统安全等级的对应关系的系统管理列表Lsy的结构。在该情况下，中继装置101基于要求安全等级与仅基于2个车载ECU111分别具有的功能安全等级的系统安全等级的比较结果，决定能否进行帧的中继。

另外，在本公开的实施方式所涉及的车载通信系统301中，设为车载ECU111是将等级信息L1包含在LLDP帧中发送给中继装置101的结构，但不限定于此。车载ECU111也可以是不进行向中继装置101通知自身的功能安全等级的结构。即，车载ECU111也可以是不在LLDP帧中包含等级信息L1的结构。在该情况下，中继装置101中的更新部31也可以是不进行存储部51中的系统管理列表Lsy的更新的结构。

另外，车载ECU111也可以是代替LLDP帧而在遵循LLDP以外的协议的帧中包含等级信息L1并发送给中继装置101的结构。例如，车载ECU111也可以是将等级信息L1包含在遵循SNMP(Simple Network Management Protocol，简单网络管理协议)的帧中发送给中继装置101的结构。

另外，在本公开的实施方式所涉及的车载通信系统301中，设为车载ECU111是将等级信息L2包含在储存有服务探索消息的帧F1中发送给中继装置101的结构，但不限定于此。车载ECU111也可以是不进行向中继装置101通知自身和其他车载ECU111之间的通信所要求的要求安全等级的结构。即，车载ECU111也可以是不在帧F1中包含等级信息L2的结构。在该情况下，中继装置101中的更新部31也可以是不进行存储部51中的服务管理列表Lse的更新的结构。

另外，车载ECU111也可以是代替储存有服务探索消息的帧F1而在帧F1以外的帧中包含等级信息L2并发送给中继装置101的结构。

另外，在本公开的实施方式所涉及的车载通信系统301中，设为中继装置101是接收储存有遵循SOME/IP的消息的帧F2、F3、F4、F5、并基于与该消息中包含的服务ID对应的要求安全等级和系统安全等级的比较结果来决定能否进行帧F2、F3、F4、F5的中继的结构，但不限定于此。中继装置101也可以是接收储存有遵循SOME/IP的消息的帧以外的帧、并决定能否对所接收到的帧进行中继的结构。

另外，在本公开的实施方式所涉及的车载通信系统301中，设为中继装置101是在决定了不进行帧的中继的情况下将进行该帧向作为收信方的车载ECU111中继所需的条件通知给作为发送源的车载ECU111的结构，但不限定于此。中继装置101也可以是不向作为发送源的车载ECU111通知该条件的结构。即，中继装置101也可以是不具备通知部41的结构。

另外，在本公开的实施方式所涉及的中继装置101中，设为设定部21是从由中继部11接收到的帧F1中储存的服务探索消息取得服务ID、并使用所取得的服务ID来进行中继处理条件的设定的结构，但不限定于此。设定部21也可以是预先使用服务管理列表Lse中的各服务ID来进行中继处理条件的设定的结构。

另外，在本公开的实施方式所涉及的中继装置101中，设为中继部11是遵循设定部21的设定内容来进行帧的中继处理的结构，但不限定于此。例如，设定部21也可以是每当由中继部11接收到帧时决定能否进行该帧的中继的结构。具体来说，也可以是如下结构。

即，中继部11如果从车载ECU111接收到帧，则将所接收到的帧输出给设定部21，保留该帧的中继，直至接受到来自设定部21的指示为止。

设定部21基于要求安全等级与系统安全等级的比较结果，决定能否进行帧的中继。具体来说，设定部21从中继部11接受帧，从所接受的帧中储存的消息取得服务ID，从存储部51中的服务管理列表Lse取得与所取得的服务ID对应的要求安全等级。另外，设定部21从存储部51中的系统管理列表Lsy取得该帧的收信方MAC地址和发送源MAC地址等所表示的通信系统的系统安全等级。并且，设定部21对所取得的要求安全等级与所取得的系统安全等级进行比较，在系统安全等级是要求安全等级以上的情况下，向中继部11输出表示应该对帧进行中继的中继指示，另一方面，在系统安全等级低于要求安全等级的情况下，向中继部11输出表示应该丢弃帧的丢弃指示。

中继部11基于设定部21的决定结果，进行帧的中继。具体来说，中继部11在从设定部21接受到中继指示的情况下，将保留着中继的帧中继给作为收信方的车载ECU111。另一方面，中继部11在从设定部21接受到丢弃指示的情况下，将保留着中继的帧丢弃而不进行中继。

应当认为，上述实施方式在所有方面都是示例性的，而非限制性的。本发明的范围不通过上述说明而是通过权利要求书来表示，旨在包含与权利要求书等同含义和范围内的全部变更。

以上的说明包含下面备注的特征。

[备注1]

一种车载通信系统，具备：

多个车载装置；以及

中继装置，

第1车载装置将用于在与第2车载装置之间进行信息的收发的发给所述第2车载装置的帧发送给所述中继装置，

所述中继装置基于要求安全等级与系统安全等级的比较结果，决定能否向所述第2车载装置中继所述帧，所述要求安全等级是所述第1车载装置和所述第2车载装置之间的通信所要求的安全性的等级，所述系统安全等级是至少基于所述第1车载装置和所述第2车载装置各自具有的与车辆的安全性相关的功能安全等级而确定的，

所述中继装置基于所述比较结果，进行与能否进行中继相关的设定，遵循所设定的内容，进行所述帧的中继处理。

[备注2]

一种通信方法，是具备多个车载装置和中继装置的车载通信系统中的通信方法，

所述通信方法包含以下步骤：

第1车载装置将用于在与第2车载装置之间进行信息的收发的发给所述第2车载装置的帧发送给所述中继装置；以及

所述中继装置基于要求安全等级与系统安全等级的比较结果来决定能否向所述第2车载装置中继所述帧，所述要求安全等级是所述第1车载装置和所述第2车载装置之间的通信所要求的安全性的等级，所述系统安全等级是至少基于所述第1车载装置和所述第2车载装置各自具有的与车辆的安全性相关的功能安全等级而确定的。

附图标记说明

1 车辆

2 电缆

11 中继部

15、15A、15B、15C 通信端口

21 设定部

31 更新部

41 通知部

51 存储部

101 中继装置

111、111A、111B 车载ECU

301 车载通信系统

Lsy 系统管理列表

Lse 服务管理列表。

Claims (8)

1.一种车载通信系统，具备：

多个车载装置；以及

中继装置，

第1车载装置将用于在该第1车载装置与第2车载装置之间进行信息收发的发给所述第2车载装置的帧向所述中继装置发送，

所述中继装置基于要求安全等级与系统安全等级的比较结果来决定能否向所述第2车载装置中继所述帧，所述要求安全等级是所述第1车载装置和所述第2车载装置之间的通信所要求的安全性的等级，所述系统安全等级是至少基于所述第1车载装置和所述第2车载装置各自具有的与车辆的安全性相关的功能安全等级而确定的。

2.根据权利要求1所述的车载通信系统，其中，

所述中继装置基于所述要求安全等级与还基于赋予所述帧的安全机构用的数据而确定的所述系统安全等级的比较结果，来决定能否向所述第2车载装置中继所述帧。

3.根据权利要求1或2所述的车载通信系统，其中，

所述中继装置具备存储表示所述车载装置的组与所述系统安全等级的对应关系的系统管理列表的存储部，

所述车载装置将自身的所述功能安全等级通知给所述中继装置，

所述中继装置基于由所述车载装置通知的所述功能安全等级来更新所述存储部中的所述系统管理列表。

4.根据权利要求1至3中任一项所述的车载通信系统，其中，

所述中继装置具备存储表示在所述车载装置之间发送接收的信息的种类与所述要求安全等级的对应关系的服务管理列表的存储部，

所述车载装置将自身和其他所述车载装置之间的通信所要求的所述要求安全等级通知给所述中继装置，

所述中继装置基于由所述车载装置通知的所述要求安全等级来更新所述存储部中的所述服务管理列表。

5.根据权利要求1至4中任一项所述的车载通信系统，其中，

所述第1车载装置将储存有遵循SOME/IP的消息的所述帧发送给所述中继装置，

所述中继装置基于与所述消息中包含的服务ID对应的所述要求安全等级与所述系统安全等级的比较结果，来决定能否向所述第2车载装置中继所述帧。

6.根据权利要求1至5中任一项所述的车载通信系统，其中，

所述中继装置在决定了不向所述第2车载装置中继所述帧的情况下，将向所述第2车载装置中继所述帧所需的条件通知给所述第1车载装置。

7.一种中继装置，被用于具备多个车载装置的车载通信系统，

所述中继装置具备：

设定部，基于要求安全等级与系统安全等级的比较结果，进行与能否中继用于在所述车载装置之间进行信息收发的帧相关的设定，所述要求安全等级是所述车载装置之间的通信所要求的安全性的等级，所述系统安全等级是至少基于各所述车载装置具有的与车辆的安全性相关的功能安全等级而确定的；以及

中继部，遵循所述设定部的设定内容，来进行所述帧的中继处理。

8.一种中继方法，是被用于具备多个车载装置的车载通信系统的中继装置中的中继方法，

所述中继方法包含以下步骤：

基于要求安全等级与系统安全等级的比较结果，来进行与能否中继用于在所述车载装置之间进行信息收发的帧相关的设定，所述要求安全等级是所述车载装置之间的通信所要求的安全性的等级，所述系统安全等级是至少基于各所述车载装置具有的与车辆的安全性相关的功能安全等级而确定的；以及

遵循所设定的内容，来进行所述帧的中继处理。