JP2016127299A - 中継装置及びネットワーク構築方法 - Google Patents

Abstract

【課題】ローカルネットワークへの非正規電子機器の接続を防止することが可能な中継装置を提供する。
【解決手段】本発明に係る中継装置１は、電子機器を有線で接続するための複数のポート（ポート１１ａ〜１１ｄで例示）を備える。さらに中継装置１は、記憶部１０ａと、中継装置１の電源が最初に投入されたタイミング又は所定回数有効な所定操作がなされたタイミングで、ポートに接続済みの電子機器からその電子機器を識別するための識別情報を取得し、取得した識別情報をその電子機器が接続されたポートを示すポート情報と関連付けて、記憶部１０ａに記憶させる初期設定部１０ｂと、初期設定部１０ｂで設定された識別情報とポート情報との関連付けに合致する電子機器との通信を許容し、合致しない電子機器との通信を許容しない制御を行う通信制御部１０ｃと、を備える。
【選択図】図１

Description

本発明は、中継装置及びネットワーク構築方法に関し、より詳細には、電子機器を有線で接続するためのポートを複数備えた中継装置、及びその中継装置を用いたネットワーク構築方法に関する。

ネットワークとしては、インターネットのような開かれたネットワーク（グローバルネットワーク）に加え、閉じたネットワーク（ローカルネットワーク）がある。ローカルネットワークとしては、企業内ネットワーク（イントラネット）、ＨＡＮ（Home Area Network）やそこで使用される宅内ＬＡＮ（Local Area Network）、ＣＡＮ（Controller Area Network）等の車載ネットワークなどが挙げられる。

そして、ローカルネットワークにはグローバルネットワークに接続可能になっているものが多く、外部からの盗聴やなりすましといったセキュリティ上の脅威が存在する。盗聴は、外部に接続されている非正規機器（又は非正規ユーザが使用する電子機器）によって、ローカルネットワーク中のデータ（正規機器に記憶されたデータも含む）を読み取る行為である。なりすまし攻撃は、非正規機器が正規機器になりすまし（或いは非正規ユーザが正規ユーザになりすまし）、ローカルネットワーク内部への不正データの送信や、内部データ（正規機器に記憶されたデータも含む）の書き換えを行う行為である。

このような、グローバルネットワークからローカルネットワークに対するセキュリティ上の脅威については、様々な対策が施されており、その対策の更新頻度も高く、新たな脅威にも早い時期に対応できるため、セキュリティの堅牢性が或る程度保たれていると言える。このようなセキュリティ対策の１つとして、例えば、ファイアウォールやゲートウェイにより、非正規機器（不正規機器）との通信をさせないようにすることで、盗聴の脅威を防いでいる。また、個人のＩＤ（Identification）を用いて個人認証することにより、なりすまし攻撃の脅威を防いでいる。

車載ネットワークへのセキュリティ対策に関し、特許文献１には、車外装置との間でデータ通信を行う通信装置と、車載ＬＡＮとの間に配置され、通信装置を介して接続される車外装置と車載ＬＡＮに接続された各種車両内電子装置との間の通信を中継する車両用中継装置が開示されている。この車両用中継装置は、アクセス要求してきた車外装置を予め車両内電子装置へのアクセスが許可された車外装置であると判断するか、アクセス要求を車外装置の認証を必要としないものであると判断すると、車外装置から通信装置を介して送信されてきた通信データを、アクセス先の車両内電子装置に配信することで、各種車両内電子装置に対する外部からの不正アクセスを防止しようとしている。

また、特許文献２には、車載装置を相互に接続する車載通信ネットワークとその車載通信ネットワークに外部装置を接続するためのコネクタとの間に配置され、外部装置と車載装置との通信を中継するゲートウェイ装置が開示されている。このゲートウェイ装置は、予め設定された第１のプロトコル（例えばＫ−Ｌｉｎｅプロトコル）とは異なる第２のプロトコル（例えばＣＡＮプロトコル）を使用して外部装置から送信されてくる特定フレーム（例えばリプログラミング用のＩＤを有する通信フレーム）以外の通信フレームについては、無条件に中継を実行する。一方で、このゲートウェイ装置は、上記特定フレームについては、第１のプロトコルを使用して外部装置から送信されてくる通信フレームを受信することを開始条件、開始条件が成立してから許容時間が経過することを終了条件として、開始条件が成立してから終了条件が成立するまでの間だけ、第２のプロトコルを使用して送信されてくる特定フレームの中継を実行する。このような処理により、このゲートウェイ装置は、コネクタに接続された外部装置が正規品であるか否かを識別し、車載通信ネットワークに接続された車載装置に対する不正行為を阻止している。

一方で、ローカルネットワークの内部についても、盗聴やなりすましといったセキュリティ上の脅威があり、その対策として個人認証などが施されている。しかしながら、セキュリティ対策が施された内側ネットワーク（及びその内側ネットワークに接続された電子機器）であるといった過信により、実際には十分な対策を施されているとは言えない。

従って、ローカルネットワークに接続された他の電子機器（正規機器）と通信可能な状態で非正規機器が接続できてしまい、結果として、その非正規機器から盗聴やなりすまし攻撃を受ける可能性が生じる。この場合の盗聴としては、上記正規機器に格納されたデータをその非正規機器に記録可能になるだけではない。その非正規機器がローカルネットワークの外部にデータを送信する通信部を具備した機器であった場合には、外部に上記正規機器に格納されたデータが直接漏れてしまうことになる。また、なりすまし攻撃を受けると、上記正規機器が正規の動作とは異なる動作をしてしまうことになる。

上述のように、ローカルネットワークに対するセキュリティ上の脅威の１つとして、ローカルネットワークに対して非正規機器が接続されてしまうことが挙げられる。このような非正規機器の接続への対策として、ＭＡＣ（Media Access Control）アドレスセキュリティ機能が設けられたハブも流通している。なお、ハブはスター型の中継装置であり、例えば、企業内や宅内などのローカルネットワークにおいてＰＣ（Personal Computer）、プリンタ装置、ＡＶ（Audio Visual）機器等の電子機器端末を接続する際に用いられる。

上記ＭＡＣアドレスセキュリティ機能は、ハブにおいて、各ポートに接続された端末のＭＡＣアドレスをポート毎に登録しておき、それ以外の異なる端末（不正端末）が接続されて通信されようとした場合に、その接続されたポートを通信不能にさせ、これによりネットワークへの不正侵入を防ぐものである。

特開２００３−０４６５３６号公報 特開２０１３−１３５３１１号公報

しかしながら、上記ＭＡＣアドレスセキュリティ機能では、ローカルネットワーク内の端末の故障等による新品との取り換えが前提となっているため、ＭＡＣアドレスの再登録が制限なく可能となっている。従って、ＭＡＣアドレスを再登録するだけで、不正な端末がネットワークに接続される恐れがある。また、このＭＡＣアドレスセキュリティ機能を車載ネットワークに適用した場合にも、中継装置に接続された正規機器を非正規機器に容易に交換することができるため、車両の違法改造を防止する対策が施されているとは言えない。

なお、特許文献１，２に記載の技術は、外部からの不正アクセスを防止するための技術に過ぎず、電子制御装置（ＥＣＵ：Electronic Control Unit）等の車両内電子装置（電子機器）の取り換えを防止することはできない。また、特許文献２に記載の技術では、内部のローカルネットワーク内において非正規機器が接続された場合であっても、その非正規機器がローカルネットワーク内で予め使用していた通信プロトコルと同じ通信プロトコルを使用するものであった場合には、その非正規機器からの不正アクセスを防止することはできない。

また、車載ネットワークを例に挙げると、ＥＣＵ間で相互に認証させるような機能を各ＥＣＵに搭載することも考えられるが、各ＥＣＵにそのような認証処理機能を追加する必要がある。そして、車両によっては特に１００を超えるようなＥＣＵが含まれるため、このような対策では車載ネットワークを構築するコストが非常に上がってしまう。

本発明は、上述のような実状に鑑みてなされたものであり、その目的は、ローカルネットワークへの非正規電子機器の接続を防止することが可能な中継装置を提供することにある。

上記の課題を解決するために、本発明の第１の技術手段は、電子機器を有線で接続するためのポートを複数備えた中継装置であって、記憶部と、前記中継装置の電源が最初に投入されたタイミング又は所定回数有効な所定操作がなされたタイミングで、前記ポートに接続済みの電子機器から該電子機器を識別するための識別情報を取得し、取得した該識別情報を該電子機器が接続された前記ポートを示すポート情報と関連付けて、前記記憶部に記憶させる初期設定部と、該初期設定部で設定された前記識別情報と前記ポート情報との関連付けに合致する電子機器との通信を許容し、合致しない電子機器との通信を許容しない制御を行う通信制御部と、を備えたことを特徴としたものである。

本発明の第２の技術手段は、第１の技術手段において、前記ポートに前記初期設定部で設定された前記識別情報と前記ポート情報との関連付けに合致しない電子機器が物理的に接続された場合に、該接続についてのログを蓄積するログ蓄積部を、さらに備えたことを特徴としたものである。

本発明の第３の技術手段は、第１又は第２の技術手段において、前記所定操作がなされた場合に、該所定操作についてのログを蓄積する操作ログ蓄積部を、さらに備えたことを特徴としたものである。

本発明の第４の技術手段は、電子機器を有線で接続するためのポートを複数備えた中継装置を用い、ローカルネットワークを構築するためのネットワーク構築方法であって、前記中継装置が、前記中継装置の電源が最初に投入されたタイミング又は所定回数有効な所定操作がなされたタイミングで、前記ポートに接続済みの電子機器から該電子機器を識別するための識別情報を取得する取得ステップと、前記中継装置が、前記取得ステップで取得された前記識別情報を前記電子機器が接続された前記ポートを示すポート情報と関連付けて、前記中継装置に具備された記憶部に記憶させる初期設定ステップと、前記中継装置が、前記初期設定ステップで設定された前記識別情報と前記ポート情報との関連付けに合致する電子機器との通信を許容し、合致しない電子機器との通信を許容しない制御を行う通信制御ステップと、を有することを特徴としたものである。

本発明に係る中継装置によれば、ローカルネットワークへの非正規電子機器の接続を防止することが可能になる。

本発明の一実施形態に係る中継装置の一構成例、並びにその中継装置を備えたローカルネットワークの一構成例を示す図である。 図１の中継装置における初期設定処理の一例を説明するためのフロー図である。 図１の中継装置における記憶部に記憶される対応関係の一例を示す図である。 図３Ａの対応関係のデータの一例を示す図である。 図１の中継装置における通信処理の一例を説明するためのフロー図である。 図１の中継装置における認証処理の一例を説明するためのフロー図である。 本発明の他の実施形態に係る中継装置の一構成例、並びにその中継装置を備えたローカルネットワークの一構成例を示す図である。 本発明に係る中継装置を備えたローカルネットワークの他の例を示す図である。

本発明に係る中継装置は、電子機器を有線で接続するためのポートを複数備えた装置であり、ローカルネットワーク（閉じたネットワーク）を構築するためのものである。この中継装置は中継器、集線装置などとも呼ばれる。また、このローカルネットワークとしては、例えば、ＣＡＮ等の車載ネットワークをはじめ、社内ネットワークや宅内ネットワークなど、様々なものが挙げられる。以下、本発明に係る中継装置、並びにこれを用いたネットワーク構築方法について、図面を参照しながら具体例を挙げて説明する。

図１は、本発明の一実施形態に係る中継装置の一構成例、並びにその中継装置を備えたローカルネットワークの一構成例を示す図である。

図１で例示する中継装置１は、所謂、スター型の中継装置であり、電子機器を有線で接続するためのポートを複数備えると共に、通信制御部１０ｃを備える。ここでは、複数のポートとして４つのポート１１ａ，１１ｂ，１１ｃ，１１ｄをもたせた例を挙げるが、ポート数は複数であればよい。また、ここでは、ポート１１ａ，１１ｂ，１１ｄにそれぞれ、信号線３ａ，３ｂ，３ｃ経由で電子機器２ａ，２ｂ，２ｃが接続されたローカルネットワークを構築する例を挙げる。但し、中継装置１に有線接続される電子機器の数はポート数以下であればよい。

なお、信号線３ａ〜３ｃのそれぞれは、例えば１又は２本の導線、ＬＡＮ用の光ケーブルなど様々な信号線が適用でき、どのような信号線を用いるかは構築するローカルネットワークにより異なる。また、信号線３ａ〜３ｃの伝送方式はパラレル伝送であってもシリアル伝送であってもよい。さらに、伝送される信号は差動信号であってもよい。

また、電子機器２ａ等としてどのような種類の電子機器を接続するかについても、構築するローカルネットワークにより異なる。電子機器としては、自動車や自動二輪車等の車両に設けるＥＣＵ、社内や宅内に設置するＰＣやサーバ、宅内に設けるＡＶ機器やドアフォンやＨＥＭＳ（Home Energy Management System）に含まれる機器（例えば給湯器、太陽光発電装置、蓄電池等）など、様々なものが挙げられる。

通信制御部１０ｃは、各ポート１１ａ〜１１ｄを介してそれらに繋がれた電子機器（この例では電子機器２ａ〜２ｃ）間での通信を行うように制御する。通信制御部１０ｃは１つのポートからの入力信号を他のポートにコピーして出力するだけでもよいが、スイッチング機能をもたせて２つのポート間で通信させる制御を行うことが好ましい。また、通信制御部１０ｃにはゲートウェイ機能又はプロトコル変換機能をもたせてもよい。

また、中継装置１は、記憶部１０ａ及び初期設定部１０ｂを備える。図１の構成例では、中継装置１がその全体を制御する制御部１０を備え、その制御部１０内に記憶部１０ａ、初期設定部１０ｂ、及び通信制御部１０ｃを有する例を挙げているが、これに限ったものではない。

ここで、記憶部１０ａは、半導体メモリ等の記憶装置でなる。半導体メモリとしては、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）等が挙げられるがこれに限らない。また、記憶部１０ａは半導体メモリに限ったものではないが、ＥＥＰＲＯＭで例示した不揮発性メモリのように通電状態に依らずにデータを保持できるものとする。また、記憶部１０ａは書き換え可能に限らず、一度だけ書き込めればそれ以降、書き換え不能なものであっても適用できるケースがある。

初期設定部１０ｂは、（Ｉ）中継装置１の電源が最初に投入されたタイミング又は（ＩＩ）所定操作がなされたタイミングで、ポートに接続済みの電子機器からその電子機器を識別するための識別情報（個体識別番号等）を取得し、取得した識別情報をその電子機器が接続されたポートを示すポート情報と関連付けて、記憶部１０ａに記憶させる。以下、この初期設定部１０ｂによる識別情報の取得、ポート情報との関連付け、及び記憶の処理を「初期設定処理」と呼ぶ。

但し、上記所定操作は、所定回数有効な操作とする。例えば、中継装置１に所定回数までの押下が有効なリセットボタンを設けるか、中継装置１に専用のポート（ポート１１ａ〜１１ｄとは異なるポート）を設けてそこに接続した専用機器（上記初期化専用機器又は上記テスト用機器であってもよい）からリセット信号を送信するなどにより、上記所定操作が可能となる。なお、上記所定回数まで有効にするためには、リセット回数をカウントして必要に応じて記録し、上記所定回数以下であるか否かを判定するようにしておけばよい。なお、上記所定回数が２回以上の場合、記憶部１０ａは書き換え可能としておけばよく、１回の場合にも製造時の初期設定処理のテストを考慮して記憶部１０ａは書き換え可能としておくことが好ましい。

また、上記（Ｉ），（ＩＩ）のうち、いずれのタイミングを採用するか並びに上記（ＩＩ）のタイミングを採用する場合には上記所定回数として何回を採用するかは、構築するネットワーク（つまり中継装置１の使用環境）が車載用、宅内用、社内用などのうちいずれであるか、必要とされるセキュリティレベルなどによって、適宜決めておけばよい。上記所定回数は少ない方がセキュリティ上好ましい。

車載ネットワークの場合、自動車や自動二輪車等の車両の安全性を考慮すると、ＥＣＵ等の電子機器が取り換え可能となる場面をなくすか、かなり少なくする必要があるため、上記（Ｉ）のタイミングを採用するか、上記（ＩＩ）のタイミングを採用する場合でも有効回数は少なくすることが好ましく、よって１又は２回のみ有効とすることがより好ましいと言える。

上記（Ｉ）のタイミングを採用する場合の車両製造工程について、簡単に説明する。まず、中継装置１の製造業者が中継装置１を製造して通電のテストや通常の中継機能のテスト等を行った後に車両製造業者に納品する。このとき、中継装置１の製造業者は、中継装置１の電源をＯＮして正常にテストが終了した段階で、初期設定プログラムを書き込み（若しくは元々無効状態で書き込んでいたものを有効にし）、電源をＯＦＦにして納品すればよい。上記初期設定プログラムは、初期設定部１０ｂの機能を中継装置１のＣＰＵ（Central Processing Unit）等の制御部に実行させるためのプログラムである。

その後、車両製造業者が車両製造時に必要な電子機器を納品された中継装置１に接続した段階で、中継装置１の電源をＯＮにすれば（このときが完成した中継装置１の最初の電源投入時に該当する）、上記初期設定プログラムが稼働し、上記初期設定処理が開始される。

上記（ＩＩ）のタイミング（且つ１回のみ有効）を採用する場合の車両製造工程についても基本的に同様である。違いは納品後にあり、車両製造業者が車両製造時に必要な電子機器を納品された中継装置１に接続し且つ中継装置１の電源をＯＮにした段階（接続と電源ＯＮの順序は問わない）で、リセットボタンを押下すれば、上記初期設定プログラムが稼働し、上記初期設定処理が開始される。なお、このような１回のみ有効なリセットボタンは、その押下により接続状態が確定されるため、確定（決定）ボタンであると言える。

また、上記（Ｉ）のタイミング、上記（ＩＩ）のタイミング（且つ１回のみ有効）のいずれを採用する場合でも、納品（販売）前に上記初期設定プログラムのテストを実施することもできる。但し、そのためには、テスト終了後、中継装置１に専用の機器（以下、初期化専用機器と言う）などに接続するなどして（或いはテスト用機器をテスト開始時から接続するなどして）、上記初期設定プログラムを上書きするか、若しくは記憶部１０ａにおける対応関係の格納領域をＮＵＬＬ等の初期状態に戻すなどの処理が必要となる。これにより、電源が最初に投入された時点でのみ、或いは１回のみ、初期設定が有効な中継装置１を販売することができる。

上記（ＩＩ）のタイミング（且つ２回のみ有効）を採用する場合の車両製造工程について、簡単に説明する。まず、中継装置１の製造業者が中継装置１を製造し、上述したテストを実行すると共に、リセットボタン押下による上記初期設定プログラムのテストを実行する。このリセットボタンの押下は、或る電子機器を中継装置１に接続し且つ中継装置１の電源をＯＮにした段階（接続と電源ＯＮの順序は問わない）で行えばよい。これにより、上記初期設定プログラムが稼働し、テストとしての上記初期設定処理が開始される。そして、正常にテストが終了した段階で中継装置１の電源をＯＦＦにして車両製造業者に納品する。

その後、車両製造業者が車両製造時に必要な電子機器を納品された中継装置１に接続し且つ中継装置１の電源をＯＮにした段階（接続と電源ＯＮの順序は問わない）で、リセットボタンを押下すれば（２回目のリセットボタン押下がなされた場合）、上記初期設定プログラムが稼働し、上記初期設定処理が開始される。

ここで、このような２度目のリセット操作を受けた上記初期設定プログラムは、１度目のリセット操作によって記憶部１０ａに記憶されているポート情報と識別情報の対応関係を、現在の接続状態の対応関係に上書きし、その後の書き込みを許可しない状態にすればよい。このように２回のみ有効とすることでも、販売時点で１回のみ初期設定が有効な中継装置１を提供することができる。なお、上書きの代わりに、上記２度目のリセット操作を受けた上記初期設定プログラムが、記憶部１０ａに対応関係を記憶させるための新たな格納領域を割り当てるなどの処理を行った後に、現在接続された電子機器についての対応関係をそこに書き込むようにしてもよい。無論、その場合、後述の通信制御部１０ｃでは最後に書き込んだ対応関係を参照するようにしておく。

また、車両製造業者が下請け業者に一部の仕事を委託する場合などには、中継装置１の製造業者、１社以上の下請け業者、及び車両製造業者でリセット操作を行う必要性がある場合があり、上記所定回数を３回以上に設定しておくことが考えられる。その場合も、リセット操作により、対応関係を書き込むと共に、リセット回数をカウントアップしておけば、次回のリセット操作時に上記所定回数とリセット回数とを比較してリセット操作の回数を制限することができる。

また、宅内用／社内用のローカルネットワークの場合、車両製造業者が宅内ユーザ／社内の管理者ユーザに対応し、車両製造時がネットワーク構築時に対応しているが、基本的に同様であり、車載ネットワークの説明を援用できる。但し、宅内用、社内用のローカルネットワークの場合、上記（Ｉ）に比べ上記（ＩＩ）のタイミングを採用することが好ましい。また、社内用に比べて宅内用の方について所定回数を多目に設定した中継装置を使用するようにしてもよい。また、社内や宅内用については、販売時に所定回数が異なる中継装置１を同時に販売することで、ユーザの使用形態に合った中継装置１の提供が可能になる。

なお、ローカルネットワークの種類に依らず、リセットは電源ボタンにより電源をＯＦＦにすることで実行するように構成しておくこともできる。但し、この場合、リセットボタンを設けた場合やリセット信号を受け取り可能に構成した場合とは異なり、テスト後の電源ＯＦＦも回数に入れて上記所定回数を決定しておく必要がある。

次に、初期設定処理における識別情報の取得方法について説明する。識別情報の取得は、初期設定部１０ｂが、各ポート１１ａ〜１１ｄに信号線を介して接続（物理的に接続）済みの電子機器に対して識別情報を送信させるための要求を送信し、その電子機器から返信された識別情報を受信するようにすればよい。代替処理として、単に、初期設定部１０ｂが上記接続済みの電子機器に対して、予め定められた記憶領域に格納された識別情報をその電子機器から読み出すようにしてもよい。なお、接続済みの電子機器は、中継装置１が、その電子機器から受信した通信要求（回線接続要求）で検知するようにしてもよいし、全ポートに対して接続確認を実行することで検知してもよい。無論、全てのポートに対して上記要求を送信するようにしてもよい。

また、取得する識別情報は、構築するローカルネットワークにより（具体的には接続対象となる電子機器により）異なる。但し、中継装置１が電子機器を識別する必要があるため、識別情報としては、ＯＳＩ（Open Systems Interconnection）参照モデルの例で言うところのネットワーク層より下層の固有情報（ＭＡＣアドレス等）を用いることが好ましい。無論、識別情報はＭＡＣアドレスに限ったものではなく、その電子機器を識別するために付与された情報であればよい。

次に、図２、図３Ａ、及び図３Ｂを参照しながら、中継装置１における初期設定処理の一例について説明する。図２は、中継装置１における初期設定処理の一例を説明するためのフロー図である。また、図３Ａは、中継装置１の記憶部１０ａに記憶される対応関係の一例を示す図で、図３Ｂは、図３Ａの対応関係のデータの一例を示す図である。

まず、中継装置１の電源ボタンがＯＮされると（ステップＳ１）、初期設定部１０ｂは予め定めた所定の順番の最初のポートに電子機器が物理的に接続されたか否かを判定する（ステップＳ２）。ステップＳ２でＹＥＳの場合、初期設定部１０ｂは、その接続ポートに接続された電子機器の識別情報を取得する（ステップＳ３）。次いで初期設定部１０ｂは、その接続ポートについて、ポートを示す情報（ポート番号等のポート情報）に取得した識別情報を関連付けて、記憶部１０ａに記憶する（ステップＳ４）。ステップＳ２でＮＯの場合、初期設定部１０ｂは、その未接続ポートについて、ポート情報に未接続を示す情報（例えば“０”など）を関連付けて記憶する（ステップＳ５）。ステップＳ４の処理後、並びにステップＳ５の処理後は、初期設定部１０ｂが全てのポートの処理が完了したか否かを判定し（ステップＳ６）、ＹＥＳの場合には初期設定処理を終了し、ＮＯの場合にはステップＳ２に戻り、上記所定の順番に従って次のポートについての処理を進める。

このような処理により、例えば図３Ａで例示するような対応関係のテーブル３０が記憶部１０ａに記憶される。テーブル３０には、ポート情報の一例としてのポート番号３１と識別情報３２とが関連付けて格納されているのが分かる。テーブル３０は、例えば図３Ｂで例示するデータ３０ａのように、１ワード目に最初のポートのポート番号を記し、２ワード目にそれに対応する識別情報の上５桁を記し、３ワード目にその識別情報の下５桁を記し、その後、各ポートについて記すなどすればよい。無論、そのデータの格納規則はこれに限らず、また、通信制御部１０ｃ以外からの判読を防止するために暗号化を行って記憶させてもよい。

上述のステップＳ２〜Ｓ６のような処理の具体例について、図１及び図３Ａの例で説明する。まず、ポート１１ａについてステップＳ２のように電子機器が接続されているかを判定する。この場合、接続されているため、ポート１１ａに接続された電子機器２ａの識別情報（例えば“４３９８１２５６３２”）を取得し（ステップＳ３）、その識別情報をポート１１ａのポート情報（例えばポート番号“１”）に関連付けて記憶する（ステップＳ４）。次にステップＳ６でＮＯとなり、ステップＳ２に戻り、ポート１１ｂについて同様の処理を行う。次にステップＳ６でＮＯとなり、ステップＳ２に戻り、ポート１１ｃについての処理を実行する。ポート１１ｃについては、接続判定により未接続である（つまり空ポートである）ことが分かるため（ステップＳ２でＮＯ）、“０”をポート１１ｃのポート情報（例えばポート番号“３”）と関連付けて記憶する（ステップＳ５）。次にステップＳ６でＮＯとなり、ステップＳ２に戻り、最後のポート１１ｄについてポート１１ａ，１１ｂと同様の処理を行う。その後はステップＳ６でＹＥＳとなるため、この初期設定処理を終了する。

次に、上記初期設定処理がなされた後の通信制御部１０ｃにおける通信制御について説明する。通信制御部１０ｃは、上述のようにポートに接続された電子機器間での信号のやり取りを中継するが、その際に上記初期設定処理に基づく認証処理を実行し、認証されなければ中継を遮断するようにしておく。

具体的に説明すると、通信制御部１０ｃは、初期設定部１０ｂで設定された識別情報とポート情報との関連付け（対応関係）に合致する電子機器との通信（中継装置１での中継のための通信を意味する）を許容し、合致しない電子機器との通信を許容しない制御を行う。関連付けに合致するか否かは、通信制御部１０ｃが記憶部１０ａに記憶された対応関係（例えばテーブル３０）を参照して判定すればよい。通信を許容しないようにするためには、例えばそのポートに対しては物理的な接続があったとしても論理的な接続を遮断するようにすればよい。無論、上記初期設定処理時に電子機器が物理接続されていないポート（空ポート）についても、上記関連付けに含まれないため、未使用のポート（使用禁止ポート）と判断し、論理的な接続を遮断するようにしておけばよい。

そして、通信を許容する電子機器からの信号（及びその電子機器へ送信する信号）については、そのまま他のポート（スイッチング機能がある場合には送信／受信先の電子機器に接続されたポート；以下同様。）との通信がなされ、他のポートに接続された電子機器に中継される。一方で通信を許容しない電子機器からの信号（及びその電子機器へ送信する信号）については、通信制御部１０ｃはその信号を論理的に遮断し、他のポートには中継しないようにすればよい。なお、通信制御部１０ｃはハードウェアのみで構成するに限らず、以上のような通信制御を制御部１０に実行させるための通信制御プログラムとして制御部１０に組み込むこともできる。

次に、図４Ａのフロー図を参照しながら、中継装置１における通信処理の一例を説明する。上記初期設定処理がなされた後の段階で、通信制御部１０ｃはポート１１ａ〜１１ｄのいずれかについて電子機器からの信号を受信したか或いは電子機器への信号を送信する必要があるか、否かを判定する（ステップＳ１１）。なお、論理的に接続が遮断されたポートについても、この遮断は通信制御部１０ｃで行っているため電子機器からの信号の受信は可能である。また、電子機器Ａへの信号を送信する必要がある場合とは、他の電子機器Ｂからの信号を受信した場合を指し、この場合、電子機器Ａが接続されたポートを含む全てのポートにその信号を送信するか、スイッチングにより電子機器Ａにのみその信号を送信する要求が発生する。ステップＳ１１でＮＯの場合にはそのような信号の受信又は信号の送信イベントを待つことになる。

ステップＳ１１でＹＥＳとなった場合、通信制御部１０ｃが初期設定部１０ｂに識別情報の取得処理を依頼し、初期設定部１０ｂがその対象のポートに接続された電子機器から識別情報を取得する（ステップＳ１２）。無論、通信制御部１０ｃ側に識別情報の取得機能をもたせておいてもよい。次に、通信制御部１０ｃは、接続されたポートのポート情報と接続された電子機器の識別情報との対応関係が、記憶部１０ａに記憶されたもの（例えばテーブル３０）と一致しているか否かを判定する（ステップＳ１３）。この判定が認証処理の主な部分となる。

そして、ステップＳ１３でＹＥＳであった場合、通信制御部１０ｃは通信を実行し（ステップＳ１４）、通信処理を終了する。つまり、ステップＳ１３でＹＥＳの場合には、初期設定処理で論理的に接続可能な状態になるため、その電子機器についての通信が許可され、中継がなされることになる。一方、ステップＳ１３でＮＯの場合には、初期設定処理で論理的に接続が遮断されるため、その状態を維持したまま（中継しないまま）何も処理せず、通信処理を終了する。

例えば、初期設定処理の後、ポート１１ｃに何らかの電子機器が物理的に接続された場合には、実際には正規機器であろうと識別情報が違い、テーブル３０にはそのような対応関係が記憶されていない。例えば取り外し後の電子機器２ａがポート１１ｃに接続された場合も同様である。よって、通信制御部１０ｃは、ステップＳ１３により非正規機器であると見做し、論理的に接続を遮断した状態を維持する。

他の例として、初期設定処理の後、電子機器２ａが取り外された場合におけるポート１１ａへの電子機器の接続について説明する。電子機器２ａが取り外された後、他の電子機器がポート１１ａに物理的に接続された場合、テーブル３０にはそのような対応関係が記憶されていない。よって、通信制御部１０ｃは、ステップＳ１３により非正規機器であると見做し、論理的に接続を遮断した状態を維持する。

一方で、電子機器２ａが取り外された後、喩え他の電子機器の接続、取り外しがなされた場合であっても、再度、電子機器２ａがポート１１ａに物理的に接続された場合、テーブル３０にはそのような対応関係が記憶されている。よって、通信制御部１０ｃは、ステップＳ１３により正規機器であると見做し、ポートが論理的に開かれた状態を維持し、中継を行う。これらの例から分かるように、ステップＳ１３でＹＥＳとなるのは、初期設定後に電子機器が取り外されて同じ電子機器が再接続された場合に限る。つまり、中継装置１との論理的な接続を上記初期設定処理後に解除したポートでは、上記対応関係が記憶されているため、次に同一の電子機器が接続されるまで使用可能にできるような状態で待つことになる。

次に、図４Ａの通信処理に代わる通信処理について、図４Ｂを参照しながら説明する。図４Ｂは、中継装置１における通信処理に含まれる認証処理の一例を説明するためのフロー図である。以下、図４Ｂで説明する認証処理の間も、通常の中継は実行可能となっているものとする。但し、信号の混線は避けるようにする。

上記初期設定処理がなされた後の段階で、通信制御部１０ｃはポート１１ａ〜１１ｄのいずれかで電子機器が取り外されたか否かを判定する（ステップＳ２１）。この判定（検知）は、例えば電子機器からの回線の接続解除要求を受信することで行うか、定期的に接続確認を接続済みの電子機器に対して送信することで行うなどすればよい。ステップＳ１１でＹＥＳとなった場合、通信制御部１０ｃは電子機器が取り外されたポートでの接続を論理的に遮断する（ステップＳ２２）。その後、通信制御部１０ｃはポート１１ａ〜１１ｄのいずれかで新たに電子機器が物理接続されたか否かを判定する（ステップＳ２３）。また、ステップＳ２１でＮＯの場合にはステップＳ２２を経ずにステップＳ２３に進む。ステップＳ２３でＮＯの場合にはステップＳ２１に戻る。

ステップＳ２３でＹＥＳとなった場合、通信制御部１０ｃが初期設定部１０ｂに識別情報の取得処理を依頼し、初期設定部１０ｂがその新たに接続された電子機器から識別情報を取得する（ステップＳ２４）。無論、通信制御部１０ｃ側に識別情報の取得機能をもたせておいてもよい。次に、通信制御部１０ｃは、接続されたポートのポート情報と接続された電子機器の識別情報との対応関係が、記憶部１０ａに記憶されたもの（例えばテーブル３０）と一致しているか否かを判定する（ステップＳ２５）。この判定が認証処理の主な部分となる。

そして、ステップＳ２５でＹＥＳであった場合、通信制御部１０ｃはその新たに接続された電子機器との中継を許可するために、接続されたポートについて論理的な接続の遮断を解除し（ステップＳ２６）、認証処理を終了する。一方、ステップＳ２５でＮＯの場合には論理的に接続が遮断された状態を維持したまま（中継を許可しないまま）、認証処理を終了する。

例えば、初期設定処理の後、ポート１１ｃに何らかの電子機器が物理的に接続された場合には、実際には正規機器であろうと識別情報が違い、テーブル３０にはそのような対応関係が記憶されていない。例えば取り外し後の電子機器２ａがポート１１ｃに接続された場合も同様である。よって、通信制御部１０ｃは、ステップＳ２５の認証処理により非正規機器であると見做し、論理的に接続を遮断した状態を維持する。

他の例として、初期設定処理の後、電子機器２ａが取り外された場合におけるポート１１ａへの電子機器の接続について説明する。電子機器２ａが取り外された後、他の電子機器がポート１１ａに物理的に接続された場合、テーブル３０にはそのような対応関係が記憶されていない。よって、通信制御部１０ｃは、ステップＳ２５により非正規機器であると見做し、論理的に接続を遮断した状態を維持する。

一方で、電子機器２ａが取り外された後、喩え他の電子機器の接続、取り外しがなされた場合であっても、再度、電子機器２ａがポート１１ａに物理的に接続された場合、テーブル３０にはそのような対応関係が記憶されている。よって、通信制御部１０ｃは、ステップＳ２５により正規機器であると見做し、論理的な接続の遮断を解除する（つまりポートを開く）。これにより、信号受信時には中継を行うことになる。これらの例から分かるように、ステップＳ２５でＹＥＳとなるのは、初期設定後に電子機器が取り外されて同じ電子機器が再接続された場合に限る。つまり、中継装置１との論理的な接続を上記初期設定処理後に解除したポートでは、上記対応関係が記憶されているため、次に同一の電子機器が接続されるまで使用可能にできるような状態で待つことになる。

以上のように、中継装置１で実行される初期設定処理は、ローカルネットワークを構築するためのネットワーク構築処理であり、ここで構築されるローカルネットワークは初期設定処理に基づく認証処理（つまり電子機器の真贋判定処理）を含む通信制御を行い、初期設定を経ていない電子機器とポートとの対応関係についての中継を排除するように遮断するため、セキュアなネットワークとなる。つまり、本発明の中継装置１によれば、ローカルネットワークへの非正規電子機器の接続を防止することが可能になる。そして、このような防止策により、非正規の電子機器による誤動作を防止し、より安全にローカルネットワーク内のシステムを運用することができる。例えば、この防止策では、ローカルネットワーク内の正規電子機器の識別情報を非正規電子機器によってローカルネットワークの外部に漏らされることも防げるため、盗聴や盗聴後のなりすまし攻撃（例えば車両製造業者が安全性を保障できないような変更処理）を防ぐことができ、セキュリティの堅牢性を確保することができる。また、搭載するＥＣＵ等の電子機器のそれぞれに認証処理機能を追加する必要がないため、そのような追加に比べてローカルネットワークを構築するコストを下げることができる。

特に、上記（Ｉ）のタイミングを採用する場合、或いは上記（ＩＩ）のタイミングを採用し且つ上記所定回数を１回にする場合には、１回のみの設定処理を生かした認証処理であるため「ワンタイム認証処理」と呼べる。

次に、図５を参照しながら、本発明の他の実施形態に係る中継装置の一構成例、並びにその中継装置を備えたローカルネットワークの一構成例について説明する。図５で例示する中継装置１ｓは、図１の中継装置１においてログ蓄積部１０ｄを設けたものである。

ログ蓄積部１０ｄは、ポートに初期設定部１０ｂで設定された識別情報とポート情報との関連付けに合致しない電子機器が物理的に接続された場合に、その接続についてのログ（以下、接続ログと呼ぶ）を蓄積する。この接続ログの蓄積処理は、例えば図４Ａの処理で言うところのステップＳ１３でＮＯの場合に実行してもよいし、図４Ｂの処理で言うところのステップＳ２５でＮＯの場合に実行してもよい。このような接続ログの蓄積により、例えばポート１１ｃに非正規電子機器５を接続しようとした場合などに、その痕跡を残すことができる。無論、接続ログとして、関連付けに合致する電子機器の再接続についてのログも残してもよい。この場合、図４Ｂの処理で言うところのステップＳ２３でＹＥＳの場合、又はステップＳ２５でＹＥＳの場合に実行するなどすればよい。

なお、ログ蓄積部１０ｄを制御部１０内に設けた例を挙げたが制御部１０とは別に設けてもよい。また、ログ蓄積部１０ｄには記憶部１０ａで説明したような記憶装置が含まれる。この記憶装置は記憶部１０ａとしての記憶装置を利用することもできる。但し、ログ蓄積部１０ｄではログを蓄積するため、ログの増加も考慮し、１度だけ書き込み可能なものではなく書き換え可能であることが好ましい。

また、中継装置は、ログ蓄積部１０ｄの代わりに、或いはログ蓄積部１０ｄに加えて、操作ログ蓄積部を備えるようにすることが好ましい。この操作ログ蓄積部は、上記（ＩＩ）のタイミングを採用する場合に設けるものであり、上記所定操作がなされた場合に、その所定操作についてのログ（以下、操作ログと呼ぶ）を蓄積する。この操作ログ蓄積部も、操作ログを蓄積する必要があるため、ログ蓄積部１０ｄと同様に記憶装置を備える。この記憶装置も、記憶部１０ａとしての記憶装置及び／又はログ蓄積部１０ｄの記憶装置を利用することができる。無論、操作ログの蓄積は上記所定回数に制限されない。以上のような操作ログの蓄積により、例えばポート１１ｃに非正規電子機器５を接続しようとした場合などに、リセットボタンの押下等の所定操作を行ったことが記録されるため、不正に非正規の電子機器を接続しようとしている記録を残すことができる。

以上では、中継装置に有線接続される電子機器の数はポート数以下であればよいと説明した。しかし、ローカルネットワークの中では、別の中継装置を介しても、つまりカスケード接続を許容してもよい。ここで、図６を参照しながら、本発明に係る中継装置を備えたローカルネットワークの他の例（カスケード接続がなされた例）について説明する。

図６に示すローカルネットワークにおいて、中継装置１ａは中継装置１又は中継装置１ｓ（或いは操作ログ蓄積部を備えた中継装置）であり、中継装置１ｂも同様である。但し、中継装置１ａと中継装置１ｂとは、ポート数、接続ログ蓄積機能や操作ログ蓄積機能の有無など全く同じである必要はなく、その接続対象の電子機器やセキュリティの度合いに応じたものを用いればよい。

中継装置１ｂは、中継装置１ａの１つのポートに接続する電子機器であり、中継装置１ａには中継装置１ｂ、電子機器２ｃ、及び電子機器２ｄの合計３つの電子機器が接続されている。つまり、中継装置１ａの記憶部には、初期設定処理によりこれら３つの電子機器の識別情報とその接続先のポートの情報との対応関係が記憶されることになる。また、中継装置１ｂは、中継装置１ａ、電子機器２ａ、及び電子機器２ｂが接続されており、中継装置１ｂの記憶部には初期設定処理によりこれら３つの電子機器の識別情報とその接続先のポートの情報との対応関係が記憶されることになる。

ここでは、中継装置同士の接続において双方の記憶部に対応関係を記憶させた例を挙げたが、一方のみに記憶させるようにしてもよい。上層の中継装置である中継装置１ａの記憶部にだけ対応関係を記憶させる例を挙げて説明する。この場合、中継装置１ａは上述の例と同様であるが、中継装置１ｂでは、本発明に係る初期設定処理を行う対象とはならないポートを用意しておき、初期設定処理により電子機器２ａ，２ｂについての対応関係のみを記憶するようにすればよい。

このように、中継装置には、記憶部でその対応関係を管理しておくポート以外に、管理対象外のポートを具備することもできる。よって、例えば、図６のローカルネットワークにおける中継装置１ａの１つのポートを電子機器の取り換えが可能なポートとするようなこともできる。このような取り換え可能ポートは、例えば車載ネットワークで言うところのナビゲーションシステムを接続するためのポートなどとして利用することもできる。一方で、特にエンジン、トランスミッション、ステアリングの処理等の制御系の処理を行うＥＣＵや、ブレーキ制御やエアバックの処理等の安全系の処理を行うＥＣＵなどには、取り換え不能なポートに接続させるようにしておけばよい。また、車載ネットワークなどでは、その制御の種類毎に中継装置を用意することもできる。

また、以上の様々な例においては、記憶部に記憶させる識別情報は、実際に電子機器がもつ識別情報（個体識別番号）としたが、その識別情報の一部（例えば上ｘ桁や下ｙ桁のみなど）であってもよい。このように識別情報の一部だけをポート情報に関連付けて記憶させておくことで、複数の個体（同種の電子機器）間での機器の取り換えが可能となる。

例えば、取り換え可能なポートに接続するように説明したナビゲーションシステムを接続するポートをはじめ、診断用機器を接続するためのＯＢＤ（On-Board Diagnostics）−ＩＩのポートなども、識別情報の一部だけをポート情報に関連付けて記憶させることで、正しく安全に稼働する正規の電子機器にだけ交換可能なように、車載ネットワークを構築することができる。これにより、ＯＢＤ−ＩＩポートに車両診断用の機器が接続されても、その機器が正規機器であれば（識別情報の一部で正規か否かを判定）、通信が許可され、診断が実行可能になる。

また、ＯＢＤ−ＩＩポートなどの診断用のポートは、車両に限らず設けられることも想定できる。従って、上記初期化専用機器や上記テスト用機器を除き、中継装置に対していずれのポートからも本発明に関するプログラム（初期設定プログラムや通信制御プログラムを含む）や対応関係の書き換えなどを実行できないようにしておくことが好ましい。そのため、本発明に係る中継装置は耐タンパー性をもたせておくことが好ましく、耐タンパー性をもたせないまでも書き換え不能なようにセキュリティ対策を施すことが好ましい。これにより、喩え診断用のポートであっても取り換え可能なポートとして取り扱うようにすることも可能となる。但し、コスト上、このような対策が施せない場合には、少なくとも上記ログ蓄積部及び／又は上記操作ログ蓄積部を設けておけば、不正接続の追跡は可能であり、ある程度の販売者責任は果たせる。

また、初期設定部１０ｂ（及び通信制御部１０ｃ）は、ＦＰＧＡ（Field-Programmable Gate Array）で構成してもよい。さらに、記憶部１０ａもＦＰＧＡで構成してもよい。特に、これらのＦＰＧＡはアンチヒューズ方式のＦＰＧＡであることが好ましい。これにより、プログラムや対応関係を書き換えることができないようなセキュリティ対策を施すことができる。

なお、記憶部１０ａにＦＰＧＡを用いた例を挙げたが、このようなＦＰＧＡの使用方法は、本発明に係る中継装置に限らず、様々な電子機器にも適用することができる。つまり、或る電子機器において１回（又は所定回数）のみ設定可能な設定情報をもたせたい場合、その設定情報の書き込み領域にＦＰＧＡの素子を対応させておけばよい。この場合にも、上記或る電子機器内の処理プログラムもＦＰＧＡで構築することもできる。

また、例えば宅内や社内のローカルネットワークを構築する場合、中継装置１に接続する電子機器（ＰＣ等）を買い替える必要が生じることがある。その場合には、新たに中継装置１も購入するなどして用意し、その新たな中継装置１に正常に稼働する既存の電子機器と買い替えた電子機器とを接続して初期設定処理を実行すればよい。

以上、複数の実施形態で説明したように、本発明に係る中継装置を用いることでセキュアなローカルネットワークが構築できる。そして、本発明はこのようなネットワーク構築方法の形態も採り得る。このネットワーク構築方法について、その概略を説明する。なお、その詳細については中継装置１についての説明した通りであり、その説明を省略する。

このネットワーク構築方法は、次の取得ステップ、初期設定ステップ、及び通信制御ステップを有する。上記取得ステップは、中継装置が、中継装置の電源が最初に投入されたタイミング又は所定回数有効な所定操作がなされたタイミングで、ポートに接続済みの電子機器からその電子機器を識別するための識別情報を取得するステップである。上記初期設定ステップは、中継装置が、上記取得ステップで取得された識別情報を上記電子機器が接続されたポートを示すポート情報と関連付けて、中継装置に具備された記憶部に記憶させるステップである。上記通信制御ステップは、中継装置が、上記初期設定ステップで設定された識別情報とポート情報との関連付けに合致する電子機器との通信を許容し、合致しない電子機器との通信を許容しない制御を行うステップである。

また本発明は、このようなネットワーク構築方法における中継装置内の制御部（制御用のコンピュータ）に実行させるためのプログラム（上記初期設定プログラムや上記通信制御プログラムを含む）としての形態も採り得る。このコンピュータとしては、マイクロコンピュータやプログラム可能な汎用の集積回路／チップセットなど、様々な形態のコンピュータが適用できる。またこのプログラムは、インターネット等のネットワークを介して、また放送波を介して、さらには可搬の記録媒体を介して流通させることができる。

１，１ａ，１ｂ，１ｓ…中継装置、２ａ，２ｂ，２ｃ，２ｄ…電子機器、３ａ，３ｂ，３ｃ…信号線、５…非正規電子機器、１０…制御部、１０ａ…記憶部、１０ｂ…初期設定部、１０ｃ…通信制御部、１０ｄ…ログ蓄積部、１１ａ，１１ｂ，１１ｃ，１１ｄ…ポート、３０…テーブル、３０ａ…データ、３１…ポート番号、３２…識別情報。

Claims (4)

1. 電子機器を有線で接続するためのポートを複数備えた中継装置であって、
   記憶部と、
   前記中継装置の電源が最初に投入されたタイミング又は所定回数有効な所定操作がなされたタイミングで、前記ポートに接続済みの電子機器から該電子機器を識別するための識別情報を取得し、取得した該識別情報を該電子機器が接続された前記ポートを示すポート情報と関連付けて、前記記憶部に記憶させる初期設定部と、
   該初期設定部で設定された前記識別情報と前記ポート情報との関連付けに合致する電子機器との通信を許容し、合致しない電子機器との通信を許容しない制御を行う通信制御部と、
   を備えたことを特徴とする中継装置。
2. 前記ポートに前記初期設定部で設定された前記識別情報と前記ポート情報との関連付けに合致しない電子機器が物理的に接続された場合に、該接続についてのログを蓄積するログ蓄積部を、さらに備えたことを特徴とする請求項１に記載の中継装置。
3. 前記所定操作がなされた場合に、該所定操作についてのログを蓄積する操作ログ蓄積部を、さらに備えたことを特徴とする請求項１又は２に記載の中継装置。
4. 電子機器を有線で接続するためのポートを複数備えた中継装置を用い、ローカルネットワークを構築するためのネットワーク構築方法であって、
   前記中継装置が、前記中継装置の電源が最初に投入されたタイミング又は所定回数有効な所定操作がなされたタイミングで、前記ポートに接続済みの電子機器から該電子機器を識別するための識別情報を取得する取得ステップと、
   前記中継装置が、前記取得ステップで取得された前記識別情報を前記電子機器が接続された前記ポートを示すポート情報と関連付けて、前記中継装置に具備された記憶部に記憶させる初期設定ステップと、
   前記中継装置が、前記初期設定ステップで設定された前記識別情報と前記ポート情報との関連付けに合致する電子機器との通信を許容し、合致しない電子機器との通信を許容しない制御を行う通信制御ステップと、
   を有することを特徴とするネットワーク構築方法。
   

Images