JP2017059894A - 通信システム - Google Patents

Abstract

【課題】データ処理によって対応することが不可能な問題の発生を抑制することができる通信システムを提供する
【解決手段】通信システムでは、車内中継機３１は、車両内で通信線Ｌ１，Ｌ２のいずれかに接続されている複数のＥＣＵ夫々と通信することによって、複数のＥＣＵ間でデータを中継する。車外中継機３０には、通信器が、車両の外側にあるサーバから受信したデータが入力される。車外中継機３０は、通信器がサーバに送信するデータを通信器に出力する。車外中継機３０は、車内中継機３１とデータの受渡しを行うことによって、サーバとＥＣＵとの間でデータを中継する。車外中継機３０は、入力されたデータ、又は、出力したデータに関連する関連データを車内中継機３１に出力する。車内中継機３１は、車外中継機３０が出力した関連データに基づいて、車外中継機３０が行う中継を停止すべきか否かを判定する。
【選択図】図２

Description

本発明は、データの中継が行われる通信システムに関する。

現在、夫々が複数の通信線の１つに接続されている複数のＥＣＵ(Electronic Control Unit)間でデータが車両内で中継される通信システム（例えば、特許文献１を参照）が普及している。ＥＣＵは、自装置に接続されている電気機器の動作を制御する。複数のＥＣＵは、相互に通信することによって、複数の電気機器を連動させる制御処理を実現する。

特許文献１に記載の通信システムでは、車外に設置されている外部装置とＥＣＵとの間でもデータが中継される。これにより、ＥＣＵは、外部装置から種々のデータを取得することができる。

特開２０１４−１９３６５４号公報

特許文献１に記載されているような従来の通信システムでは、外部装置から受信した不適当なデータが中継されないように、データに対して種々のデータ処理を行い、データが正規のデータであることを確認する。例えば、データ及び暗号鍵を用いて認証コードを生成し、生成した認証コードがデータと共に送信された認証コードと一致しているか否かを判定する。生成した認証コードと、データと共に送信された認証コードとが一致している場合、受信したデータが正規のデータであると確認する。

しかしながら、不適当なデータが誤って正規のデータであると確認され、データを中継する中継装置が誤った処理を行う可能性がある。また、データ処理によって、不適当なデータが正規のデータではないと正しく確認されている場合であっても、不適当なデータが短い時間間隔で継続的に送信され、故障が発生する可能性もある。更に、秘密にされるべき重大なデータが外部装置に送信されるように、外部装置にデータを送信するための中継装置のプログラムが、一旦、改ざんされた場合、データ処理では、重大なデータの送信を抑制することができない。

本発明は斯かる事情に鑑みてなされたものであり、その目的とするところは、データ処理によって対応することが不可能な問題の発生を抑制することができる通信システムを提供することにある。

本発明に係る通信システムは、車両に搭載された複数の通信装置夫々と通信することによって、該複数の通信装置間でデータを中継する内部中継機を備える通信システムにおいて、前記内部中継機とデータの受渡しを行うことによって、前記車両の外側にある外部装置と前記通信装置との間でデータを中継する外部中継機を備え、該外部中継機は、前記外部装置から受信したデータが入力される入力部と、前記外部装置に送信するデータを出力する出力部と、前記入力部に入力されたデータ、又は、前記出力部が出力したデータに関連する関連データを前記内部中継機に出力する第２の出力部とを有し、前記内部中継機は、前記第２の出力部が出力した関連データに基づいて、前記外部中継機が行う中継を停止すべきか否かを判定する判定部を有することを特徴とする。

本発明にあっては、内部中継機は、車両に搭載された複数の通信装置夫々と通信することによって、複数の通信装置間でデータを中継する。外部中継機には、車両の外側にある外部装置から受信したデータが入力される。外部中継機は外部装置に送信されるデータを出力する。外部中継機は、内部中継機とデータの受渡しを行うことによって、外部装置と通信装置との間でデータを中継する。外部中継機は、入力されたデータ、又は、出力されたデータに関連する関連データを内部中継機に出力する。内部中継機は、外部中継機が出力した関連データに基づいて、外部中継機が行う中継を停止すべきか否かを判定する。

このため、外部中継機に入力されたデータ、又は、外部中継機から出力されたデータに対して行われるデータ処理で対応することが不可能な問題の発生を抑制することが可能となる。

本発明に係る通信システムは、前記外部中継機は、前記入力部に入力されたデータを認証する認証部を有し、前記関連データは、該認証部が行う認証の失敗又は成功に関する情報を含み、前記判定部は、前記認証部が認証に失敗した回数が所定失敗回数以上であるか、又は、前記認証部が認証に成功した回数が所定成功回数以上である場合に前記中継を停止すべきと判定することを特徴とする。

本発明にあっては、外部中継機は、入力されたデータを認証し、関連データは、外部中継機が行う認証の失敗又は成功に関する情報を含む。関連データに基づいて、一定期間内に認証に失敗した回数が所定失敗回数以上であるか、又は、一定期間内に認証に成功した回数が所定成功回数以上である場合に外部中継機が行う中継が停止される。

認証の失敗回数が多いことは、例えば、データと、複数の暗号鍵夫々を用いて該データから生成された複数の認証コードの１つとを繰り返し送信して、認証に成功する暗号鍵を検索している可能性がある。一定期間内での認証の失敗回数が所定失敗回数以上である場合に外部中継機が行う中継を停止するので、不適当なデータが中継されることが未然に防止される。
また、通常、認証は一定の確率で失敗するので、一定期間内での認証の成功回数が多いことは、不自然であり、認証するためのプログラムが改ざんされている可能性を示す。外部中継機が行う中継を停止することによって、改ざんされたプログラムによって生じる問題の発生が抑制される。

本発明に係る通信システムは、前記関連データは、前記入力部に入力されたデータ量に関する情報を含み、前記判定部は、前記入力部に入力されたデータ量が所定入力データ量以上である場合に前記中継を停止すべきと判定することを特徴とする。

本発明にあっては、外部中継機に入力されたデータ量に関する情報を含む関連データに基づいて、一定期間内に外部中継機に入力されたデータ量が所定入力データ量以上である場合に外部中継機が行う中継が停止される。
一定期間内に大量のデータが入力されていることは、不適当なデータが短い時間間隔で継続的に送信されている可能性がある。外部中継機が行う中継を停止することによって、不適当なデータの入力を停止することが可能である。

本発明に係る通信システムは、前記関連データは、前記出力部が出力したデータ量に関する情報を含み、前記判定部は、前記出力部が出力したデータ量が所定出力データ量以上である場合に前記中継を停止すべきと判定することを特徴とする。

本発明にあっては、外部中継機が出力したデータ量に関する情報を含む関連データに基づいて、一定期間内に外部中継機が出力したデータ量が所定出力データ量以上である場合に外部中継機が行う中継が停止される。
一定期間内に大量のデータが出力されていることは、データを出力するためのプログラムが改ざんされている可能性がある。外部中継機が行う中継を停止することによって、データの流出を抑制することが可能である。

本発明に係る通信システムは、前記関連データは、前記出力部が出力したデータの内容を示す情報を含み、前記判定部は、特定のデータが前記出力部から出力された場合に前記中継を停止すべきと判定することを特徴とする。

本発明にあっては、外部中継機が出力したデータの内容を示す情報を含む関連データに基づいて、外部中継機が出力したデータが特定のデータである場合に外部中継機が行う中継が停止される。
特定のデータは、例えば外部に出力されるはずがないデータである。従って、特定のデータが出力されたことは、データを出力するプログラムが改ざんされている可能性を示す。外部中継機が行う中継を停止することによって、特定のデータの流出を抑制することが可能である。

本発明に係る通信システムは、前記内部中継機は、前記判定部によって、前記外部中継機が行う前記中継を停止すべきと判定された場合に前記外部中継機への給電を停止する給電停止部を有することを特徴とする。

本発明にあっては、外部中継機への給電を停止することによって、外部中継機が行う中継を確実に停止する。

本発明に係る通信システムは、前記内部中継機は、前記判定部によって、前記外部中継機が行う前記中継を停止すべきと判定された場合に、該外部装置から前記入力部へのデータの入力と、前記出力部から該外部装置へのデータの出力とを禁止する禁止部を有することを特徴とする。

本発明にあっては、外部装置から外部中継機へのデータの入力と、外部中継機から外部装置へのデータの出力とを禁止することによって、外部中継機が行う中継を確実に停止する。

本発明に係る通信システムは、前記外部中継機は、前記外部装置と、第２の通信装置との間でデータを中継することを特徴とする。

本発明にあっては、外部中継機は、内部中継機とデータの受渡しを行うことによって外部装置と通信装置との間でデータを中継すると共に、外部装置と第２の通信装置との間でデータを中継する。

本発明によれば、データ処理によって対応することが不可能な問題の発生を抑制することができる。

実施の形態１における通信システムの要部構成を示すブロック図である。 ゲートウェイの要部構成を示すブロック図である。 車外中継機における記憶部の記憶領域の説明図である。 車外中継機の制御部が実行するサーバデータ記憶処理の手順を示すフローチャートである。 車外中継機の制御部が実行する車両データ出力処理の手順を示すフローチャートである。 車外中継機の制御部が実行するサーバ送信要求データ出力処理の手順を示すフローチャートである。 車内中継機における記憶部の記憶領域の説明図である。 関連データ領域に記憶されている関連データの情報の例を示す図表である。 車内中継機の制御部が実行する第１ＥＣＵデータ記憶処理の手順を示すフローチャートである。 車内中継機の制御部が実行する中継停止処理の手順を示すフローチャートである。 車外中継機の中継を停止すべきか否かを判定するための判定基準を示す図表である。 実施の形態２におけるゲートウェイの要部構成を示すブロック図である。 実施の形態３における通信システムの要部構成を示すブロック図である。 実施の形態４における通信システムの要部構成を示すブロック図である。

以下、本発明をその実施の形態を示す図面に基づいて詳述する。
（実施の形態１）
図１は、実施の形態１における通信システム１の要部構成を示すブロック図である。通信システム１はサーバ１１及び車両１２を備える。サーバ１１は、車両１２の外側にあり、ネットワークＮ１を介して車両１２と通信する。サーバ１１は車両１２にデータを送信する。以下では、サーバ１１が車両１２に送信するデータをサーバデータと記載する。

サーバ１１は、車両１２へのデータの送信をサーバ１１に要求するサーバ送信要求データを、車両１２からネットワークＮ１を介して受信する。サーバ送信要求データには、サーバ１１が送信すべきサーバデータを示す情報が含まれている。サーバ１１は、サーバ送信要求データを受信した場合、サーバ送信要求データに含まれている情報が示すサーバデータを送信する。

また、サーバ１１は、車両１２に関する車両データのサーバ１１への送信を車両１２に要求する車両送信要求データを、ネットワークＮ１を介して、車両１２に送信する。車両データは、車両１２の位置、又は、ブレーキペダルの踏み込み量等を示す。車両送信要求データには、サーバ１１に送信すべき車両データを示す情報が含まれている。車両１２は、車両送信要求データを受信した場合、受信した車両送信要求データに含まれている情報が示す車両データを、ネットワークＮ１を介してサーバ１１に送信する。サーバ１１は車両データを車両１２から受信する。

サーバ１１及び車両１２夫々には共通の暗号鍵が記憶されている。暗号鍵は、例えば、数字の羅列である。サーバ１１は、サーバデータを送信する場合、サーバデータと暗号鍵とを用いて認証コードを生成する。サーバ１１は、サーバデータと共に、該サーバデータから生成された認証コードを車両１２に送信する。同様に、サーバ１１は、車両送信要求データを送信する場合、車両送信要求データと暗号鍵とを用いて認証コードを生成する。サーバ１１は、車両送信要求データと共に、車両送信要求データから生成された認証コードを車両１２に送信する。

車両１２はサーバ１１から受信したサーバデータ、及び、車両送信要求データを認証する。具体的には、車両１２は、サーバ１１から受信したデータと暗号鍵とを用いて認証コードを生成し、生成した認証コードと、サーバ１１から受信した認証コードとが一致しているか否かを判定する。車両１２は、生成した認証コードと、受信した認証コードとが互いに一致していると判定した場合、認証に成功したと判定し、生成した認証コードと、受信した認証コードとが互いに一致していないと判定した場合、認証に失敗したと判定する。

車両１２は、ゲートウェイ２０、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ、電気機器２３ａ，２３ｂ、通信器２４、バッテリ２５及び通信線Ｌ１，Ｌ２，Ｌ３を有する。ゲートウェイ２０は、通信器２４、バッテリ２５の正極、及び、通信線Ｌ１，Ｌ２，Ｌ３に各別に接続されている。バッテリ２５の負極は接地されている。ＥＣＵ２１ａ，２１ｂ夫々は通信線Ｌ１に接続されている。ＥＣＵ２２ａ，２２ｂ夫々は通信線Ｌ２に接続されている。電気機器２３ａ，２３ｂ夫々は通信線Ｌ３に接続されている。

通信器２４は、ネットワークＮ１を介して、サーバ１１から、サーバデータ及び車両送信要求データを受信する。このとき、通信器２４は、サーバデータ又は車両送信要求データと共に認証コードを受信する。通信器２４は、サーバ１１から、サーバデータ又は車両送信要求データを受信した場合、認証コードと共に、受信したデータをゲートウェイ２０に出力する。

また、通信器２４には、ゲートウェイ２０からサーバ送信要求データ及び車両データが入力される。通信器２４は、サーバ送信要求データ又は車両データが入力された場合、ネットワークＮ１を介して、入力されたデータをサーバ１１に送信する。

ゲートウェイ２０には、通信器２４から、サーバデータ及び車両送信要求データが入力される。このとき、認証コードが、サーバデータ又は車両送信要求データと共にゲートウェイ２０に入力される。ゲートウェイ２０には前述した暗号鍵が記憶されている。ゲートウェイ２０は、サーバデータ又は車両送信要求データが入力された場合、このデータと共に入力された認証コードと暗号鍵とを用いて、前述したように、認証を行う。

ゲートウェイ２０は、認証に成功したサーバデータを、電気機器２３ａ，２３ｂの少なくとも１つ、又は、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂの少なくとも１つに送信する。

このとき、ゲートウェイ２０は、サーバデータを、機器データとして、電気機器２３ａ，２３ｂの少なくとも１つに送信する。機器データは、電気機器２３ａ，２３ｂに送信するデータである。
また、ゲートウェイ２０は、サーバデータを、ＥＣＵデータとして、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂの少なくとも１つに送信する。ＥＣＵデータは、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂによって送受信されるデータである。

以上のように、ゲートウェイ２０は、サーバ１１から電気機器２３ａ，２３ｂへのデータの中継と、サーバ１１からＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂへのデータの中継とを行う。

また、ゲートウェイ２０は、ＥＣＵ２１ａ，２１ｂ夫々が送信したＥＣＵデータを、通信線Ｌ１を介して受信し、ＥＣＵ２２ａ，２２ｂ夫々が送信したＥＣＵデータを、通信線Ｌ２を介して受信する。ゲートウェイ２０は、通信器２４から入力された車両送信要求データの認証に成功した場合、受信したＥＣＵデータを車両データとして、通信器２４に出力する。前述したように、通信器２４は、ゲートウェイ２０から入力された車両データをサーバ１１へ送信する。このように、ゲートウェイ２０は、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂからサーバ１１へのデータの中継を行う。

更に、ゲートウェイ２０は、電気機器２３ａ，２３ｂ夫々からサーバ送信要求データを受信する。ゲートウェイ２０は、電気機器２３ａ，２３ｂの１つからサーバ送信要求データを受信した場合、サーバ送信要求データを通信器２４に出力する。前述したように、通信器２４は、ゲートウェイ２０から入力されたサーバ送信要求データをサーバ１１に送信する。このように、ゲートウェイ２０は、電気機器２３ａ，２３ｂからサーバ１１へのデータの中継を行う。

また、ゲートウェイ２０は、ＥＣＵ２１ａ，２１ｂの１つから受信したＥＣＵデータをＥＣＵ２２ａ，２２ｂに送信し、ＥＣＵ２２ａ，２２ｂの１つから受信したＥＣＵデータをＥＣＵ２１ａ，２１ｂに送信する。このように、ゲートウェイ２０は、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ夫々と通信することによって、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ間でデータを中継する。
ゲートウェイ２０はバッテリ２５から電力を供給される。ゲートウェイ２０は、供給された電力を用いて種々の処理を実行する。

ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ間でＥＣＵデータの送受信が行われる。通信線Ｌ１を介して、ゲートウェイ２０及びＥＣＵ２１ａ，２１ｂが相互に通信する。通信線Ｌ２を介して、ゲートウェイ２０及びＥＣＵ２２ａ，２２ｂが相互に通信する。通信線Ｌ１，Ｌ２夫々を介した通信は、ＣＡＮ(Controller Area Network)プロトコル、又は、ＣＡＮ−ＦＤ(Controller Area Network with Flexible Data rate)等に従って行われる。ＥＣＵ２１ａ，２１ｂの少なくとも１つは、ゲートウェイ２０を介して、ＥＣＵ２２ａ，２２ｂの少なくとも１つとＥＣＵデータを送受信する。

ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ夫々には図示しない車載機器が接続されている。ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ夫々は、受信したＥＣＵデータ、及び／又は、図示しないセンサから取得したデータに基づいて、自装置に接続されている車載機器の動作を制御する。ＥＣＵデータの例として、車両１２の速度を示すデータ、又は、ブレーキペダルの踏み込み量を示すデータ等が挙げられる。これらのデータは、例えば、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂの１つによってセンサから取得される。

ゲートウェイ２０及びＥＣＵ２１ａ，２１ｂ中の１つの装置が通信線Ｌ１を介して送信したデータは、通信線Ｌ１に接続されている全ての他の装置によって受信される。同様に、ゲートウェイ２０及びＥＣＵ２２ａ，２２ｂ中の１つの装置が通信線Ｌ２を介して送信したデータは、通信線Ｌ２に接続されている全ての他の装置によって受信される。

ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ夫々には固有の識別情報が割り当てられている。ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ夫々は、自装置に割り当てられている識別情報を含むＥＣＵデータを通信線Ｌ１，Ｌ２の一方を介して送信する。

ゲートウェイ２０は、通信線Ｌ１，Ｌ２の一方を介してＥＣＵデータを受信した場合、ＥＣＵデータに含まれる識別情報に基づいて、受信したＥＣＵデータを中継すべきか否かを判定する。ゲートウェイ２０は、ＥＣＵデータを中継すべきと判定した場合、受信したＥＣＵデータを記憶し、記憶されているＥＣＵデータを通信線Ｌ１，Ｌ２の他方を介して送信する。

ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ夫々は、ＥＣＵデータを受信した場合、受信したＥＣＵデータに含まれる識別情報に基づいて、受信したＥＣＵデータを受け付けるか否かを判定する。ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ夫々は、受信したＥＣＵデータを受け付けると判定した場合、受信したＥＣＵデータに基づいて、自装置に接続されている車載機器の動作を制御する。ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ夫々は、受信したＥＣＵデータを受け付けないと判定した場合、受信したＥＣＵデータを破棄する。

電気機器２３ａ，２３ｂ夫々は、カーナビゲーションシステム又はオーディオ機器等であり、ゲートウェイ２０から機器データを受信する。電気機器２３ａ，２３ｂ夫々は、機器データを受信した場合、受信した機器データに従って種々の処理を行う。

電気機器２３ａが例えばカーナビゲーションシステムである場合、電気機器２３ａは、図示しない表示部に地図と共に表示すべき経路を示す経路情報を含む機器データをゲートウェイ２０から受信する。電気機器２３ａは、この機器データを受信した場合、受信した機器データに含まれている経路情報が示す経路を地図と共に表示部に表示する。

電気機器２３ｂが例えばオーディオ機器である場合、電気機器２３ｂは、音声に係る機器データをゲートウェイ２０から受信する。電気機器２３ｂは、この機器データを受信した場合、受信した機器データに係る音声を出力する。

電気機器２３ａ，２３ｂ夫々は、機器データを受信するため、サーバ送信要求データを、通信線Ｌ３を介してゲートウェイ２０に送信する。前述したように、ゲートウェイ２０は、サーバ送信要求データを受信した場合、サーバ送信要求データを通信器２４に出力する。通信器２４は、サーバ送信要求データをサーバ１１に送信する。その後、サーバ１１から通信器２４に送信したサーバデータが、機器データとして、ゲートウェイ２０を介して、サーバ送信要求データの送信元に送信される。

図２はゲートウェイ２０の要部構成を示すブロック図である。ゲートウェイ２０は、車外中継機３０、車内中継機３１及びスイッチ３２，３３，３４，３５を有する。バッテリ２５の正極は、車内中継機３１と、スイッチ３２の一端とに接続されている。スイッチ３２の他端は車外中継機３０に接続されている。車外中継機３０は、更に、スイッチ３３，３４夫々の一端に接続されている。スイッチ３３の他端は通信器２４に接続されている。スイッチ３４の他端は車内中継機３１に接続されている。車外中継機３０は、更に、通信線Ｌ３に接続されている。通信線Ｌ３の中途にスイッチ３５が設けられており、車外中継機３０はスイッチ３５を介して電気機器２３ａ，２３ｂに接続されている。車内中継機３１は、更に、通信線Ｌ１，Ｌ２に各別に接続されている。

スイッチ３２，３３，３４，３５のオン及びオフは車内中継機３１によって各別に切替えられる。車内中継機３１にはバッテリ２５から電力が供給される。これにより、車内中継機３１は作動する。車外中継機３０には、バッテリ２５からスイッチ３２を介して電力が供給される。車外中継機３０は、スイッチ３２がオンである場合に作動し、スイッチ３２がオフである場合、バッテリ２５から車外中継機３０への電力供給が途絶えるので、動作を停止する。

車外中継機３０には、サーバデータ及び車両送信要求データが、スイッチ３３を介して、通信器２４から入力される。このとき、認証コードがサーバデータ又は車両送信要求データと共に入力される。車外中継機３０には前述した暗号鍵が記憶されている。車外中継機３０は、サーバデータ又は車両送信要求データが入力された場合、このデータと共に入力された認証コードと暗号鍵とを用いて、前述したように認証を行う。

車外中継機３０は、認証に成功したサーバデータを、機器データとして、通信線Ｌ３を介して送信すべきか、又は、認証に成功したサーバデータを、ＥＣＵデータとして、通信線Ｌ１，Ｌ２の一方を介して送信すべきかを判定する。

車外中継機３０は、サーバデータを機器データとして送信すべきと判定した場合、機器データを、スイッチ３５を介して電気機器２３ａ，２３ｂの少なくとも１つに送信する。前述したように、通信器２４は、サーバ１１から受信したサーバデータを車外中継機３０に出力するので、車外中継機３０は、サーバ１１から電気機器２３ａ，２３ｂへのデータを中継する。

車外中継機３０は、サーバデータをＥＣＵデータとして送信すべきと判定した場合、ＥＣＵデータを、スイッチ３４を介して車内中継機３１に出力する。後述するように、車外中継機３０から車内中継機３１に出力されたＥＣＵデータは、車内中継機３１によって、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂの少なくとも１つに送信される。車外中継機３０は、車内中継機３１にＥＣＵデータを渡すことによって、サーバ１１からＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂへのデータを中継する。サーバ１１は外部装置に相当する。

車外中継機３０には車内中継機３１から車両データが入力される。車外中継機３０には、車内中継機３１から車外中継機３０に入力された複数の車両データが記憶されている。車外中継機３０は、通信器２４から入力された車両送信要求データの認証に成功した場合、記憶されている複数の車両データから、車両送信要求データに含まれている情報が示す車両データを、スイッチ３３を介して通信器２４に出力する。前述したように、通信器２４は、車外中継機３０から入力された車両データをサーバ１１に送信する。後述するように、車内中継機３１は、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ夫々から受信したＥＣＵデータを車両データとして車外中継機３０に出力する。車外中継機３０は、車内中継機３１から車両データを受けることによって、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂの１つからサーバ１１へのデータを中継する。

車外中継機３０は、電気機器２３ａ，２３ｂ夫々からスイッチ３５を介してサーバ送信要求データを受信する。車外中継機３０は、サーバ送信要求データを受信した場合、サーバ送信要求データを通信器２４にスイッチ３３を介して出力する。前述したように、通信器２４は、車外中継機３０から入力されたサーバ送信要求データをサーバ１１へ送信する。車外中継機３０は、電気機器２３ａ，２３ｂからサーバ１１へのデータを中継する。

車内中継機３１には、スイッチ３４を介して車外中継機３０からＥＣＵデータが入力される。車内中継機３１は、入力されたＥＣＵデータをＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂの少なくとも１つに送信する。また、車内中継機３１は、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂの１つから受信したＥＣＵデータを、車両データとしてスイッチ３４を介して車外中継機３０に出力する。

車内中継機３１は、ＥＣＵ２１ａ，２１ｂの１つから受信したＥＣＵデータをＥＣＵ２２ａ，２２ｂに送信し、ＥＣＵ２２ａ，２２ｂの１つから受信したＥＣＵデータをＥＣＵ２１ａ，２１ｂに送信する。このように、車内中継機３１は、車両１２に搭載されたＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ夫々と通信することによって、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ間でデータを中継する。
車外中継機３０及び車内中継機３１夫々は外部中継機及び内部中継機として機能する。ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ夫々は通信装置として機能する。電気機器２３ａ，２３ｂ夫々は第２の通信装置として機能する。

スイッチ３３がオンである場合、通信器２４及び車外中継機３０間でデータの入出力を行うことが可能であり、スイッチ３３がオフである場合、通信器２４及び車外中継機３０間でのデータの入出力が禁止される。
スイッチ３４がオンである場合、車外中継機３０及び車内中継機３１間でのデータの入出力を行うことが可能であり、スイッチ３４がオフである場合、車外中継機３０及び車内中継機３１間でのデータの入出力が禁止される。
スイッチ３５がオンである場合、電気機器２３ａ，２３ｂ及び車外中継機３０は通信線Ｌ３を介して通信を行うことが可能であり、スイッチ３５がオフである場合、通信線Ｌ３を介した通信が禁止される。

スイッチ３２，３３，３４，３５は、通常、オンに維持される。スイッチ３２，３３，３４，３５は、車外中継機３０が行う中継を停止する場合にオンからオフに切替えられる。

車外中継機３０は、通信器２４に入力されたデータ、又は、通信器２４から出力したデータに関連する関連データを、スイッチ３４を介して車内中継機３１に出力する。車内中継機３１は、車外中継機３０から入力された関連データに基づいて、スイッチ３２，３３，３４，３５をオンからオフに切替える。

次に、車外中継機３０の詳細な構成を説明する。車外中継機３０は、入出力部４０，４１、通信部４２、時計部４３、記憶部４４及び制御部４５を有する。これらはバス４６に接続されている。入出力部４０は、バス４６の他に、スイッチ３３の一端に接続されている。入出力部４１は、バス４６の他に、スイッチ３４の一端に接続されている。通信部４２は通信線Ｌ３に接続されている。
入出力部４０，４１、通信部４２、時計部４３、記憶部４４及び制御部４５夫々は、スイッチ３２を介してバッテリ２５から車外中継機３０へ電力が供給されている場合に作動し、スイッチ３２がオフとなってバッテリ２５から車外中継機３０への電力供給が停止した場合に動作を停止する。

入出力部４０には、通信器２４がサーバ１１から受信したサーバデータ及び車両送信要求データが、スイッチ３３を介して、通信器２４から入力される。入出力部４０は、通信器２４から、サーバデータ又は車両送信要求データが入力された場合、その旨を制御部４５に通知する。また、入出力部４０は、制御部４５の指示に従って、車両データ又はサーバ送信要求データを、スイッチ３３を介して出力する。入出力部４０が出力したデータは通信器２４によってサーバ１１に送信される。入出力部４０は入力部及び出力部として機能する。

入出力部４１は、制御部４５の指示に従って、ＥＣＵデータ又は関連データを、スイッチ３４を介して車内中継機３１に出力する。入出力部４１には、車内中継機３１から、スイッチ３４を介して車両データが入力される。入出力部４１は、車両データが入力された場合、その旨を制御部４５に通知する。

通信部４２は、制御部４５の指示に従って、電気機器２３ａ，２３ｂへ機器データを、スイッチ３５を介して送信する。また、通信部４２は、電気機器２３ａ，２３ｂからサーバ送信要求データを、スイッチ３５を介して受信する。通信部４２は、サーバ送信要求データを受信した場合、その旨を制御部４５に通知する。
制御部４５は、時計部４３から日時を示す日時データを取得する。日時データは、制御部４５が取得した時点の日時を示す。日時は年月日及び時刻である。

記憶部４４には、制御プログラムＰ１及び暗号鍵が記憶されている。更に、記憶部４４には、車外中継機３０が中継を行うための記憶領域が設けられている。

図３は、車外中継機３０における記憶部４４の記憶領域の説明図である。記憶部４４には、記憶領域として、機器中継領域Ａ１、ＥＣＵ中継領域Ａ２及び車両データ領域Ａ３が設けられている。
機器中継領域Ａ１には、電気機器２３ａ，２３ｂに送信すべき機器データが記憶される。ＥＣＵ中継領域Ａ２には、車内中継機３１に出力すべきＥＣＵデータが記憶される。車両データ領域Ａ３には、車内中継機３１から入力された車両データが記憶される。

制御部４５は、記憶部４４に記憶されている制御プログラムＰ１を実行することによって、サーバデータ記憶処理、機器データ送信処理、ＥＣＵデータ出力処理、車両データ記憶処理、車両データ出力処理及びサーバ送信要求データ出力処理を実行する。

サーバデータ記憶処理では、入出力部４０に入力されたサーバデータを機器データ又はＥＣＵデータとして、機器中継領域Ａ１又はＥＣＵ中継領域Ａ２に記憶する。機器データ送信処理では、機器データを電気機器２３ａ，２３ｂの少なくとも１つに送信する。ＥＣＵデータ出力処理では、ＥＣＵデータを車内中継機３１に出力する。これにより、車外中継機３０はＥＣＵデータを車内中継機３１に渡す。車両データ記憶処理では、車内中継機３１から入力された車両データを記憶する。車両データ出力処理では、車両データを通信器２４に出力する。サーバ送信要求データ出力処理では、サーバ送信要求データを通信器２４に出力する。

図４は、車外中継機３０の制御部４５が実行するサーバデータ記憶処理の手順を示すフローチャートである。制御部４５は、通信器２４から入出力部４０にサーバデータ及び認証コードが入力された場合にサーバデータ記憶処理を実行する。まず、制御部４５は時計部４３から日時データを取得する（ステップＳ１）。

次に、制御部４５は、記憶部４４に記憶されている暗号鍵を用いて、通信器２４から入出力部４０に入力されたサーバデータを認証する（ステップＳ２）。具体的には、制御部４５は、前述したように、入出力部４０に入力されたサーバデータと暗号鍵とを用いて認証コードを生成する。制御部４５は、生成した認証コードと、サーバデータと共に入出力部４０に入力された認証コードとが一致するか否かを判定する。この判定を行うことによって、サーバデータを認証する。制御部４５は認証部としても機能する。

次に、制御部４５は、入出力部４０に入力されたサーバデータの認証が成功したか否かを判定する（ステップＳ３）。制御部４５は、サーバデータと暗号鍵とを用いて生成された認証コードと、サーバデータと共に入出力部４０に入力された認証コードとが一致している場合、認証が成功したと判定する。また、制御部４５は、サーバデータと暗号鍵とを用いて生成された認証コードと、サーバデータと共に入出力部４０に入力された認証コードとが一致していない場合、認証が失敗したと判定する。

制御部４５は、認証が成功したと判定した場合（Ｓ３：ＹＥＳ）、サーバデータを電気機器２６ａ，２６ｂの少なくとも１つに中継すべきか否かを判定する（ステップＳ４）。例えば、サーバデータに送信先を示す送信先情報が含まれている場合、制御部４５は、送信先情報が示す送信先に基づいて、電気機器２６ａ，２６ｂの少なくとも１つに送信すべきか否かを判定する。

制御部４５は、サーバデータを電気機器２６ａ，２６ｂの少なくとも１つに中継すべきと判定した場合（Ｓ４：ＹＥＳ）、サーバデータを機器データとして記憶部４４の機器中継領域Ａ１に記憶する（ステップＳ５）。制御部４５は、サーバデータを電気機器２６ａ，２６ｂのいずれにも中継すべきではないと判定した場合、即ち、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂの少なくとも１つに送信すべきと判定した場合（Ｓ４：ＮＯ）、サーバデータをＥＣＵデータとして記憶部４４のＥＣＵ中継領域Ａ２に記憶する（ステップＳ６）。

制御部４５は、認証が失敗したと判定した場合（Ｓ３：ＮＯ）、又は、ステップＳ５，Ｓ６の一方を実行した後、通信器２４から入出力部４０に入力されたサーバデータに関連する関連データを生成する（ステップＳ７）。ステップＳ７で生成される関連データは、通信器２４から入出力部４０にサーバデータが入力された日時と、通信器２４が行った動作が受信であることと、認証の成否と、入出力部４０に入力されたデータの内容と、入出力部４０に入力されたデータ量とを示す情報を含む。ここで、日時は、ステップＳ１で取得された日時データが示す日時である。

次に、制御部４５は、入出力部４１に指示して、ステップＳ７で生成した関連データを車内中継機３１に出力させる（ステップＳ８）。その後、制御部４５はサーバデータ記憶処理を終了する。入出力部４１は第２の出力部として機能する。

制御部４５は機器データ送信処理を周期的に実行する。機器データ送信処理では、制御部４５は、記憶部４４の機器中継領域Ａ１に機器データが記憶されているか否かを判定する。制御部４５は、機器データが機器中継領域Ａ１に記憶されていないと判定した場合、機器データ送信処理を終了する。制御部４５は、機器データが機器中継領域Ａ１に記憶されていると判定した場合、通信部４２に指示して、機器中継領域Ａ１に記憶されている機器データを電気機器２３ａ，２３ｂの少なくとも１つに送信させる。機器データに送信先情報が含まれている場合、通信器２４は、電気機器２３ａ，２３ｂの中で送信先情報が示す送信先に機器データを送信する。その後、制御部４５は、通信部４２が送信した機器データを機器中継領域Ａ１から削除し、機器データ送信処理を終了する。

制御部４５はＥＣＵデータ出力処理を周期的に実行する。ＥＣＵデータ出力処理では、制御部４５は、記憶部４４のＥＣＵ中継領域Ａ２にＥＣＵデータが記憶されているか否かを判定する。制御部４５は、ＥＣＵデータがＥＣＵ中継領域Ａ２に記憶されていないと判定した場合、ＥＣＵデータ出力処理を終了する。制御部４５は、ＥＣＵデータがＥＣＵ中継領域Ａ２に記憶されていると判定した場合、入出力部４１に指示して、ＥＣＵ中継領域Ａ２に記憶されているＥＣＵデータを車内中継機３１に出力させる。その後、制御部４５は、入出力部４０が出力したＥＣＵデータをＥＣＵ中継領域Ａ２から削除し、ＥＣＵデータ出力処理を終了する。

制御部４５は、車内中継機３１から入出力部４１に車両データが入力された場合に車両データ記憶処理を実行する。車両データ記憶処理では、制御部４５は、車内中継機３１から入出力部４１に入力された車両データを記憶部４４の車両データ領域Ａ３に記憶し、車両データ記憶処理を終了する。

図５は、車外中継機３０の制御部４５が実行する車両データ出力処理の手順を示すフローチャートである。制御部４５は、車両送信要求データが認証コードと共に入出力部４０に入力された場合に車両データ出力処理を実行する。まず、制御部４５は時計部４３から日時データを取得する（ステップＳ１１）。

次に、制御部４５は、記憶部４４に記憶されている暗号鍵を用いて、入出力部４０に入力された車両送信要求データを認証する（ステップＳ１２）。具体的には、制御部４５は、前述したように、入出力部４０に入力された車両送信要求データと暗号鍵とを用いて認証コードを生成する。制御部４５は、生成した認証コードと、車両送信要求データと共に入出力部４０に入力された認証コードとが一致するか否かを判定する。この判定を行うことによって、車両送信要求データを認証する。

次に、制御部４５は、入出力部４０に入力された車両送信要求データの認証が成功したか否かを判定する（ステップＳ１３）。制御部４５は、車両送信要求データと暗号鍵とを用いて生成された認証コードと、車両送信要求データと共に入出力部４０に入力された認証コードとが一致している場合、認証が成功したと判定する。また、制御部４５は、車両送信要求データと暗号鍵とを用いて生成された認証コードと、車両送信要求データと共に入出力部４０に入力された認証コードとが一致していない場合、認証が失敗したと判定する。

制御部４５は、認証が成功したと判定した場合（Ｓ１３：ＹＥＳ）、入出力部４０に入力された車両送信要求データに含まれている情報が示す車両データを記憶部４４の車両データ領域Ａ３から読み出す（ステップＳ１４）。次に、制御部４５は、入出力部４０に指示して、ステップＳ１４で読み出した車両データを通信器２４に出力させ（ステップＳ１５）、入出力部４０が通信器２４に出力した車両データに関連する関連データを生成する（ステップＳ１６）。ステップＳ１６で生成される関連データは、入出力部４０から通信器２４に車両データが出力された日時と、通信器２４が行った動作が送信であることと、入出力部４０から出力されたデータの内容と、入出力部４０から出力されたデータ量とを示す情報を含む。ここで、日時は、ステップＳ１１で取得された日時データが示す日時である。

制御部４５は、認証に失敗したと判定した場合（Ｓ１３：ＮＯ）、又は、ステップＳ１６を実行した後、通信器２４から入出力部４０に入力された車両送信要求データに関連する関連データを生成する（ステップＳ１７）。ステップＳ１７で生成される関連データは、通信器２４から入出力部４０に車両送信要求データが入力された日時と、認証の成否と、通信器２４が行った動作が受信であることと、入出力部４０に入力されたデータの内容と、入出力部４０に入力されたデータ量とを示す情報を含む。ここで、日時は、ステップＳ１１で取得された日時データが示す日時である。

制御部４５は、ステップＳ１７を実行した後、入出力部４１に指示して、関連データを車内中継機３１に出力させる（ステップＳ１８）。制御部４５は、ステップＳ１３で認証が成功したと判定した場合、ステップＳ１８では、ステップＳ１６，Ｓ１７夫々で生成した関連データを車内中継機３１に出力する。また、制御部４５は、ステップＳ１３で認証が失敗したと判定した場合、ステップＳ１８では、ステップＳ１７で生成した関連データを車内中継機３１に出力する。
制御部４５は、ステップＳ１８を実行した後、車両データ出力処理を終了する。

図６は、車外中継機３０の制御部４５が実行するサーバ送信要求データ出力処理の手順を示すフローチャートである。制御部４５は、通信部４２がサーバ送信要求データを電気機器２３ａ，２３ｂの一方から受信した場合にサーバ送信要求データ出力処理を実行する。まず、制御部４５は時計部４３から日時データを取得する（ステップＳ２１）。

次に、制御部４５は、入出力部４０に指示して、通信部４２が受信したサーバ送信要求データを通信器２４に出力させ（ステップＳ２２）、入出力部４０が出力したサーバ送信要求データに関連する関連データを生成する（ステップＳ２３）。ステップＳ２３で生成される関連データは、入出力部４０が車両データを出力した日時と、通信器２４が行った動作は送信であることと、入出力部４０から出力されたデータの内容と、入出力部４０から出力されたデータ量とを示す情報を含む。ここで、日時は、ステップＳ２１で取得された日時データが示す日時である。

次に、制御部４５は、入出力部４１に指示して、ステップＳ２３で生成した関連データを車内中継機３１に出力させ（ステップＳ２４）、サーバ送信要求データ出力処理を終了する。

次に、車内中継機３１の詳細な構成を述べる。図２に示すように、車内中継機３１は、入出力部５０、通信部５１，５２、切替え部５３、報知部５４、記憶部５５及び制御部５６を有する。これらは、バス５７に接続されている。入出力部５０は、バス５７の他に、スイッチ３４の他端に接続されている。通信部５１，５２夫々は、バス５７の他に、通信線Ｌ１，Ｌ２に接続されている。
入出力部５０、通信部５１，５２、切替え部５３、報知部５４、記憶部５５及び制御部５６夫々は、バッテリ２５から車内中継機３１へ供給された電力を用いて作動する。

入出力部５０には、ＥＣＵデータ及び関連データが車外中継機３０の入出力部４１からスイッチ３４を介して入力される。入出力部５０は、車外中継機３０の入出力部４１から、ＥＣＵデータ又は関連データが入力された場合、その旨を制御部５６に通知する。また、入出力部５０は、制御部５６の指示に従って、車両データを、スイッチ３４を介して出力する。

通信部５１は、ＥＣＵ２１ａ，２１ｂ夫々から通信線Ｌ１を介してＥＣＵデータを受信する。通信部５１は、ＥＣＵデータを受信した場合、その旨を制御部５６に通知する。通信部５１は、制御部５６の指示に従って、ＥＣＵデータをＥＣＵ２１ａ，２１ｂに送信する。
同様に、通信部５２は、ＥＣＵ２２ａ，２２ｂ夫々から通信線Ｌ２を介してＥＣＵデータを受信する。通信部５２は、ＥＣＵデータを受信した場合、その旨を制御部５６に通知する。通信部５２は、制御部５６の指示に従って、ＥＣＵデータをＥＣＵ２２ａ，２２ｂに送信する。

切替え部５３は、制御部５６の指示に従って、スイッチ３２，３３，３４，３５夫々をオン又はオフに切替える。
報知部５４は、制御部５６の指示に従って報知を行う。報知部５４は、図示しないランプの点灯、又は、図示しない表示部へのメッセージの表示等を行うことによって報知を行う。

記憶部５５には、制御プログラムＰ２が記憶されている。更に、記憶部４４には、関連データを記憶するための記憶領域と、車内中継機３１が中継を行うための記憶領域とが設けられている。

図７は、車内中継機３１における記憶部５５の記憶領域の説明図である。記憶部５５には、記憶領域として、ＥＣＵ中継領域Ｂ１、車両データ領域Ｂ２及び関連データ領域Ｂ３が設けられている。
ＥＣＵ中継領域Ｂ１には、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂの少なくとも１つに送信すべきＥＣＵデータが記憶される。車両データ領域Ｂ２には、車外中継機３０の入出力部４１に出力すべき車両データが記憶される。関連データ領域Ｂ３には、入出力部５０に入力された関連データが記憶される。

図８は、関連データ領域Ｂ３に記憶されている関連データの情報の例を示す図表である。図８には５つの関連データ夫々に含まれる情報が示されている。Ｔ１，Ｔ２，・・・，Ｔ５夫々は日時を示す。
関連データは、通信器２４が行った動作が受信及び送信のいずれであるかを示す情報を含む。通信器２４が行った動作が受信である場合、関連データは、データが車外中継機３０の入出力部４０に入力された日時、入出力部４０に入力されたデータの認証の成否、入出力部４０に入力されたデータの内容、及び、入出力部４０に入力されたデータ量を示す情報を含む。

通信器２４が行った送信である場合、関連データは、データが車外中継機３０の入出力部４０からサーバ１１に出力された日時、入出力部４０から出力されたデータの内容、及び、入出力部４０から出力されたデータ量を示す情報を含む。通信器２４が行った動作が送信である場合、認証が行われることはないので、関連データには認証の成否を示す情報は含まれていない。また、関連データの情報が示すデータの内容は、プログラムの更新、送信要求、車速又はブレーキペダルの踏み込み量等である。

関連データの情報に関して、日時と通信器２４が行った送受信の動作とは、入出力部４０へのデータの入力、又は、入出力部４０からのデータの出力に関する。認証の成否は、車外中継機３０の制御部５６が行う認証の失敗又は成功に関する。データ量は、通信器２４から車外中継機３０の入出力部４０に入力されたデータ量、又は、車外中継機３０の入出力部４０から通信器２４に出力されたデータ量に関する。
前述したように、関連データに基づいて、スイッチ３２，３３，３４，３５はオン又はオフに切替えられる。

図２に示す車内中継機３１の制御部５６は、記憶部５５に記憶されている制御プログラムＰ２を実行することによって、第１ＥＣＵデータ記憶処理、第２ＥＣＵデータ記憶処理、ＥＣＵデータ送信処理、車両データ出力処理、関連データ記憶処理及び中継停止処理を行う。

第１ＥＣＵデータ記憶処理では、通信部５１，５２が受信したＥＣＵデータを記憶する。第２ＥＣＵデータ記憶処理では、車外中継機３０の入出力部４１から車内中継機３１の入出力部５０に入力されたＥＣＵデータを記憶する。ＥＣＵデータ送信処理では、ＥＣＵデータをＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂの少なくとも１つに送信する。車両データ出力処理では、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ夫々から受信したＥＣＵデータを車両データとして車外中継機３０の入出力部４１に出力する。これにより、車外中継機３０は車内中継機３１からデータを受ける。関連データ記憶処理では、車外中継機３０の入出力部４１から車内中継機３１の入出力部５０に入力された関連データを記憶する。中継停止処理では、関連データに基づいて、車外中継機３０が行う中継を停止する。

図９は、車内中継機３１の制御部５６が実行する第１ＥＣＵデータ記憶処理の手順を示すフローチャートである。制御部５６は、通信部５１が通信線Ｌ１を介してＥＣＵデータを受信したか、又は、通信部５２が通信線Ｌ２を介してＥＣＵデータを受信した場合に第１ＥＣＵデータ記憶処理を実行する。

まず、制御部５６は、通信部５１，５２の一方が受信したＥＣＵデータを車両データとして、記憶部５５の車両データ領域Ｂ２に記憶し（ステップＳ３１）、通信部５１，５２の一方が受信したＥＣＵデータを通信線Ｌ１，Ｌ２の一方を介して中継すべきか否かを判定する（ステップＳ３２）。記憶部５５には、識別情報とＥＣＵデータを送信すべき通信部を示す情報とが対応付けられた対応表が記憶されている。ステップＳ３２において、制御部５６は、ＥＣＵデータに含まれている識別情報が対応表に示されている場合にＥＣＵデータを中継すべきと判定し、制御部５６は、ＥＣＵデータに含まれている識別情報が対応表に示されていない場合、ＥＣＵデータを中継すべきではないと判定する。

制御部５６は、ＥＣＵデータを中継すべきと判定した場合（Ｓ３２：ＹＥＳ）、通信部５１，５２の一方が受信したＥＣＵデータをＥＣＵ中継領域Ｂ１に記憶する（ステップＳ３３）。
なお、ステップＳ３１，Ｓ３２，Ｓ３３において、通信部５１がＥＣＵデータを受信したことによって第１ＥＣＵデータ記憶処理が実行された場合、通信部５１，５２の一方は通信部５１である。また、通信部５２がＥＣＵデータを受信したことによって第１ＥＣＵデータ記憶処理が実行された場合、通信部５１，５２の一方は通信部５２である。

制御部５６は、ＥＣＵデータを中継すべきではないと判定した場合（Ｓ３２：ＮＯ）、又は、ステップＳ３３を実行した後、第１ＥＣＵデータ記憶処理を終了する。

制御部５６は、車外中継機３０の入出力部４１から車内中継機３１の入出力部５０にＥＣＵデータが入力された場合に、第２ＥＣＵデータ記憶処理を実行する。第２ＥＣＵデータ記憶処理では、制御部５６は、入出力部５０に入力されたＥＣＵデータに、送信元、即ち、サーバ１１を示す識別情報を含め、この識別情報が含まれたＥＣＵデータを記憶部５５のＥＣＵ中継領域Ｂ１に記憶する。その後、第２ＥＣＵデータ記憶処理を終了する。

制御部５６はＥＣＵデータ送信処理を周期的に実行する。ＥＣＵデータ送信処理では、制御部５６は、記憶部５５のＥＣＵ中継領域Ｂ１にＥＣＵデータが記憶されているか否かを判定する。制御部５６は、ＥＣＵ中継領域Ｂ１にＥＣＵデータが記憶されていないと判定した場合、ＥＣＵデータ送信処理を終了する。制御部５６は、ＥＣＵ中継領域Ｂ１にＥＣＵデータが記憶されていると判定した場合、ＥＣＵデータに含まれる識別情報と、前述した対応表とに基づいて、通信部５１，５２の中からＥＣＵデータを送信すべき通信部を選択する。次に、制御部５６は、選択した通信部に指示してＥＣＵデータを送信させ、送信されたＥＣＵデータをＥＣＵ中継領域Ｂ１から削除する。その後、制御部５６はＥＣＵデータ送信処理を終了する。

ＥＣＵデータに含まれる識別情報がサーバ１１を示す場合、例えば、対応表では、サーバ１１を示す識別情報に通信部５１，５２の両方を示す情報が対応付けられており、サーバ１１を示す識別情報を含むＥＣＵデータはＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ全てに送信される。例えば、サーバ１１の識別情報を含むＥＣＵデータに更に送信先を示す送信先情報が含まれている場合においては、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ夫々は、サーバ１１の識別情報を含むＥＣＵデータを受信したとき、ＥＣＵデータに含まれる送信先情報が示す送信先に基づいて、受信したＥＣＵデータを受け付けるべきか否かを判定する。この場合、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ夫々は、送信先情報が示す送信先が自装置である場合には、受信したＥＣＵデータを受け付け、送信先情報が示す送信先が自装置ではない場合には、受信したＥＣＵデータを破棄する。

制御部５６は、通信部５１，５２の一方がＥＣＵデータを受信した場合に車両データ出力処理を実行する。車両データ出力処理では、制御部５６は、入出力部５０に指示して、通信部５１，５２の一方が受信したＥＣＵデータを車両データとして車外中継機３０の入出力部４１に出力させる。

制御部５６は、車外中継機３０の入出力部４１から入出力部５０に関連データが入力された場合に関連データ記憶処理を実行する。関連データ記憶処理では、制御部５６は、入出力部５０に入力された関連データを記憶部５５の関連データ領域Ｂ３に記憶する。

図１０は、車内中継機３１の制御部５６が実行する中継停止処理の手順を示すフローチャートである。スイッチ３２，３３，３４，３５がオンである場合において、制御部５６は中継停止処理を周期的に実行する。まず、制御部５６は、記憶部５５の関連データ領域Ｂ３に記憶されている一又は複数の関連データに基づいて、車外中継機３０が行う中継を停止すべきか否かを判定する（ステップＳ４１）。制御部５６は判定部として機能する。

記憶部５５には、車外中継機３０が行う中継を停止すべきか否かを判定するための判定基準が記憶されている。ステップＳ４１では、制御部５６は、記憶部５５に記憶されている一又は複数の関連データと判定基準とに基づいて車外中継機３０が行う中継を停止すべきか否かを判定する。

図１１は、車外中継機３０の中継を停止すべきか否かを判定するための判定基準を示す図表である。記憶部５５には、図１１に判定基準Ｊ１，Ｊ２，・・・，Ｊ７が記憶されている。ステップＳ４１では、制御部５６は、判定基準Ｊ１，Ｊ２，・・・，Ｊ７の少なくとも１つが満たされた場合、車外中継機３０が行う中継を停止すべきと判定し、判定基準Ｊ１，Ｊ２，・・・，Ｊ７全てを満たさない場合、車外中継機３０が行う中継を停止すべきではないと判定する。

判定基準Ｊ１は、所定期間内に、通信器２４から車外中継機３０に入力されたサーバデータの認証に失敗した回数が基準失敗回数以上であることである。所定期間内での認証の失敗回数が多いことは、例えば、データと、複数の暗号鍵夫々を用いて該データから生成した複数の認証コードの１つとを繰り返し通信器２４に送信し、認証に成功する暗号鍵を検索している可能性を示す。この場合、車外中継機３０が行う中継を停止することによって、不適当なデータがＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ及び電気機器２３ａ，２３ｂの少なくとも１つに中継されることが未然に防止される。
所定期間内に認証が失敗した回数は、関連データ領域Ｂ３に記憶されている一又は複数の関連データが示す情報に基づいて算出される。基準失敗回数は、一定であり、記憶部５５に予め記憶されている。

判定基準Ｊ２は、所定期間内に、通信器２４から車外中継機３０に入力されたサーバデータの認証に成功した回数が基準成功回数以上であることである。通常、車外中継機３０の制御部５６が行う認証は一定の確率で失敗する。このため、所定期間内での認証の成功回数が多いことは、不自然であり、通信器２４から車外中継機３０の入出力部４０に入力されたデータについて認証が成功したと判定されるように、制御プログラムＰ１が改ざんされている可能性を示す。この場合、車外中継機３０が行う中継を停止することによって、改ざんされたプログラムによって生じる問題の発生を抑制することが可能である。
所定期間内に認証が成功した回数は、関連データ領域Ｂ３に記憶されている一又は複数の関連データが示す情報に基づいて算出される。基準成功回数は、一定であり、記憶部５５に予め記憶されている。

判定基準Ｊ３は、所定期間内に通信器２４から車外中継機３０の入出力部４０に入力されたデータ量が基準受信量以上であることである。所定期間内に大量のデータが通信器２４から車外中継機３０の入出力部４０に入力されていることは、不適当なデータが短い時間間隔で通信器２４に継続的に送信されている可能性がある。この場合、車外中継機３０が行う中継を停止することによって、不適当なデータの入力を停止することが可能である。
所定期間内に車外中継機３０の入出力部４０に入力されたデータ量は、関連データ領域Ｂ３に記憶されている一又は複数の関連データが示す情報に基づいて算出される。基準受信量は、一定であり、記憶部５５に予め記憶されている。

判定基準Ｊ４は、所定期間内に車外中継機３０の入出力部４０から通信器２４に出力したデータ量が基準送信量以上であることである。所定期間内に大量のデータが車外中継機３０の入出力部４０から通信器２４に出力されていることは、制御プログラムＰ１が改ざんされ、車両データ出力処理又はサーバ送信要求データ出力処理等の内容が変更されている可能性がある。この場合、車外中継機３０が行う中継を停止することによって、車両１２からの車両データの流出を抑制することが可能である。
所定期間内に車外中継機３０の入出力部４０から出力されたデータ量は、関連データ領域Ｂ３に記憶されている一又は複数の関連データが示す情報に基づいて算出される。基準送信量は、一定であり、記憶部５５に予め記憶されている。

判定基準Ｊ５は、特定の車両データが車外中継機３０の入出力部４０から通信器２４に出力されたことである。特定の車両データは、例えば、車外中継機３０の入出力部４０から通信器２４に出力されるはずがない車両データである。従って、特定の車両データが通信器２４に出力されたことは、制御プログラムＰ１が改ざんされ、例えば車両データ出力処理の内容が変更されている可能性を示す。この場合、車外中継機３０が行う中継を停止することによって、特定の車両データの流出を抑制することが可能である。

特定の車両データの内容を示す情報を含む内容データは例えば予め記憶部５５に記憶されている。この場合、特定の車両データが車外中継機３０の入出力部４０から出力されたか否かは、関連データ及び内容データに含まれる情報に基づいて判定される。

判定基準Ｊ６は、所定期間内に、通信器２４から車外中継機３０にデータが入力された回数が基準入力回数以上であることである。所定期間内に通信器２４から車外中継機３０の入出力部４０にデータが入力された回数が多いことは、不適当なデータが短い時間間隔で通信器２４に継続的に送信されている可能性がある。この場合、車外中継機３０が行う中継を停止することによって不適当なデータの入力を停止することが可能である。
所定期間内に車外中継機３０の入出力部４０にデータが入力された回数は、関連データ領域Ｂ３に記憶されている一又は複数の関連データが示す情報に基づいて算出される。基準入力回数は、一定であり、記憶部５５に予め記憶されている。

判定基準Ｊ７は、所定期間内に、車外中継機３０の入出力部４０が通信器２４にデータを出力した回数が基準出力回数以上であることである。所定期間内に車外中継機３０の入出力部４０が通信器２４にデータを出力した回数が多いことは、制御プログラムＰ１が改ざんされ、車両データ出力処理又はサーバ送信要求データ出力処理等の内容が変更されている可能性がある。この場合、車外中継機３０が行う中継を停止することによって、車両１２からの車両データの流出を抑制することが可能である。
所定期間内に車外中継機３０の入出力部４０がデータを出力した回数は、関連データ領域Ｂ３に記憶されている一又は複数の関連データが示す情報に基づいて算出される。基準出力回数は、一定であり、記憶部５５に予め記憶されている。

判定基準Ｊ１，Ｊ２，・・・，Ｊ７夫々に関する所定期間は、一定であり、各別に設定されている。

中継停止処理において、制御部５６は、車外中継機３０が行う中継を停止すべきと判定した場合（Ｓ４１：ＹＥＳ）、切替え部５３に、スイッチ３２，３３，３４，３５をオンからオフに切替えさせることによって、車外中継機３０が行う中継を停止させる（ステップＳ４２）。

切替え部５３がスイッチ３２をオフに切替えることによって、バッテリ２５から車外中継機３０への電力の供給が停止される。これにより、車外中継機３０が行う中継が確実に停止する。切替え部５３は給電停止部として機能する。

切替え部５３がスイッチ３３をオフに切替えることによって、通信器２４と、通信器２４と車外中継機３０の入出力部４０との間で行われるデータの入出力、即ち、通信器２４を介したサーバ１１から入出力部４０へのデータの入力と、通信器２４を介した入出力部４０からサーバ１１へのデータの出力が禁止される。これにより、車外中継機３０が行う中継が更に確実に停止する。切替え部５３は禁止部として機能する。

切替え部５３がスイッチ３４をオフに切替えることによって、車外中継機３０の入出力部４１と、車内中継機３１の入出力部５０との間で行われるデータの入出力が停止される。これにより、サーバ１１と、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂの１つとの間で行われるデータの中継が停止される。
切替え部５３がスイッチ３５をオフに切替えることによって、車外中継機３０の通信部４２と、電気機器２３ａ，２３ｂの１つとの間で行われるデータの送受信が停止される。これにより、サーバ１１と、電気機器２３ａ，２３ｂの１つとの間で行われるデータの中継が停止される。

従って、切替え部５３がスイッチ３４，３５をオフに切替えた場合、サーバ１１からＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ及び電気機器２３ａ，２３ｂにデータが送信されることはなく、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ及び電気機器２３ａ，２３ｂ夫々からサーバ１１にデータが送信されることもない。このため、切替え部５３がスイッチ３４，３５をオフに切替えた場合、車外中継機３０が行う中継が停止される。

中継停止処理では、制御部４５は、ステップＳ４２を実行した後、報知部５４に指示して報知を行わせる（ステップＳ４３）。報知部５４は、例えば、車外中継機３０が中継を停止した旨と、判定基準Ｊ１，Ｊ２，・・・，Ｊ７の中で満たされた判定基準とを示すメッセージを表示部に表示する。これにより、使用者はサーバ１１と車外中継機３０との間で行われる中継に異常が発生したことを認識することができる。

制御部４５は、車外中継機３０が行う中継を停止すべきではないと判定した場合（Ｓ４１：ＮＯ）、又は、ステップＳ４３を実行した後、中継停止処理を停止する。

以上のように、通信システム１では、制御部５６が中継停止処理を実行することによって、車外中継機３０の入出力部４０に入力されたデータ、又は、車外中継機３０の入出力部４０から出力されたデータに対して行われるデータ処理、例えば、前述した認証で対応することが不可能な問題の発生を抑制することができる。ここで述べた問題は、制御プログラムＰ１を改ざんするデータの入出力部４０への入力、大量のデータの流出、又は、特定の車両データの流出等である。

（実施の形態２）
実施の形態１における通信システム１では、車両１２は、ゲートウェイ２０及び通信器２４を各別に有する。しかしながら、通信システム１の構成は、車両１２がゲートウェイ２０及び通信器２４を各別に有する構成に限定されない。
以下では、実施の形態２について、実施の形態１と異なる点を説明する。後述する構成を除く実施の形態２の他の構成については、実施の形態１と同様であるため、同様の符号を付してその説明を省略する。

図１２は、実施の形態２におけるゲートウェイ２０の要部構成を示すブロック図である。実施の形態２における通信システム１では、ゲートウェイ２０は、車外中継機３０、車内中継機３１及びスイッチ３２，３３，３４，３５の他に、通信器２４を有する。従って、車両１２は、ゲートウェイ２０内において通信器２４を有する。
以上のように構成された実施の形態２における通信システム１も、実施の形態１における通信システム１と同様の効果を奏する。

（実施の形態３）
実施の形態１における通信システム１では、ゲートウェイ２０が車外中継機３０、車内中継機３１及びスイッチ３２，３３，３４，３５を有する。しかしながら、通信システム１の構成は、ゲートウェイ２０内に、車外中継機３０、車内中継機３１及びスイッチ３２，３３，３４，３５が設けられる構成に限定されない。
以下では、実施の形態３について、実施の形態１と異なる点を説明する。後述する構成を除く実施の形態３の他の構成については、実施の形態１と同様であるため、同様の符号を付してその説明を省略する。

図１３は、実施の形態３における通信システム１の要部構成を示すブロック図である。実施の形態３における通信システム１では、車外中継機３０、車内中継機３１及びスイッチ３２，３３，３４，３５は、ゲートウェイ２０内に設けられておらず、車両１２に直接に含まれている。
以上のように構成された実施の形態３における通信システム１も、実施の形態１における通信システム１と同様の効果を奏する。

（実施の形態４）
実施の形態４では、実施の形態３とは異なる他の構成を説明する。
以下では、実施の形態４について、実施の形態１と異なる点を説明する。後述する構成を除く実施の形態４の他の構成については、実施の形態１と同様であるため、同様の符号を付してその説明を省略する。

図１４は、実施の形態４における通信システム１の要部構成を示すブロック図である。実施の形態４における通信システム１では、車両１２が有するゲートウェイ２０内に、通信器２４、車外中継機３０及びスイッチ３３が含まれている。車内中継機３１、スイッチ３２，３４，３５は、車両１２内に直接に含まれ、ゲートウェイ２０の外側に設けられている。
以上のように構成された実施の形態４における通信システム１も、実施の形態１における通信システム１と同様の効果を奏する。

なお、実施の形態１，２，３，４において、車外中継機３０が行う中継を停止するために、車内中継機３１の制御部５６は、切替え部５３にスイッチ３２，３３，３４，３５全てをオンからオフに切替えさせなくてもよい。スイッチ３２のオフへの切替え、スイッチ３３のオフへの切替え、及び、スイッチ３４，３５のオフへの切替えの１つを切替え部５３が行った場合、前述したように、車外中継機３０が行う中継が停止される。

また、車内中継機３１の制御部５６は、入出力部５０に指示して、中継の停止を指示する中継停止信号を車外中継機３０の入出力部４１に出力させることによって、車外中継機３０に中継を停止させてもよい。更に、車内中継機３１の制御部５６は、図示しない出力部に、サーバ１１又は車外中継機３０とのデータの送受信の停止を指示する送受信停止信号を通信器２４に出力する。これにより、通信器２４は、サーバ１１又は車外中継機３０とのデータの送受信を停止し、車外中継機３０が行う中継が停止する。このように、制御部５６は、出力部に指示して送受信停止信号を通信器２４に出力させることによって、車外中継機３０を停止してもよい。

車外中継機３０の制御部４５が行う認証は、暗号鍵を用いた認証に限定されず、受信したデータが正規のデータであるか否かを判定することができる認証であればよい。
関連データには、認証の成否の代わりに、所定期間内に認証が失敗した回数、及び／又は、所定期間内に認証が成功した回数を示す情報が含まれていてもよい。また、関連データには、所定期間内に車外中継機３０から入出力部４０に入力されたデータ量、及び／又は、所定期間内に車外中継機３０の入出力部４０から通信器２４に出力したデータ量を示す情報が含まれていてもよい。

また、車外中継機３０が行う中継を停止すべきか否かを判定するための判定基準は、判定基準Ｊ１，Ｊ２，・・・，Ｊ７に限定されず、例えば、認証を行った回数を母数とする認証の成功率又は失敗率が所定比率以上であることであってもよい。更に、サーバ１１が暗号化されたデータを通信器２４に送信し、車外中継機３０の制御部４５が、通信器２４から入出力部４０に入力されたデータを復号化する場合には、判定基準は、復号化に失敗した回数若しくは成功した回数が所定数以上であること、又は、復号化の失敗率若しくは成功率が所定比率以上であることであってもよい。この場合、関連データには、復号化の失敗又は成功に関する情報が含まれる。

更に、判定基準の数は、７に限定されず、１以上６以下、又は、８以上であってもよい。例えば、中継停止処理のステップＳ４１で用いられる判定基準は、判定基準Ｊ１，Ｊ２，Ｊ５であってもよい。

また、車内中継機３１に接続される通信線の数は、２に限定されず、３以上であってもよい。更に、各通信線に接続されるＥＣＵの数は、２に限定されず、１又は３以上であってもよい。また、通信線Ｌ３に接続される電気機器の数は、２に限定されず、１又は３以上であってもよい。

開示された実施の形態１，２，３，４は全ての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

１ 通信システム
１１ サーバ（外部装置）
２１ａ，２１ｂ，２２ａ，２２ｂ ＥＣＵ（通信装置）
２３ａ，２３ｂ 電気機器（第２の通信装置）
３０ 車外中継機（外部中継機）
３１ 車内中継機（内部中継機）
４０ 入出力部（入力部、出力部）
４１ 入出力部（第２の出力部）
４５ 制御部（認証部）
５３ 切替え部（給電停止部、禁止部）
５６ 制御部（判定部）

Claims (8)

1. 車両に搭載された複数の通信装置夫々と通信することによって、該複数の通信装置間でデータを中継する内部中継機を備える通信システムにおいて、
   前記内部中継機とデータの受渡しを行うことによって、前記車両の外側にある外部装置と前記通信装置との間でデータを中継する外部中継機を備え、
   該外部中継機は、
   前記外部装置から受信したデータが入力される入力部と、
   前記外部装置に送信するデータを出力する出力部と、
   前記入力部に入力されたデータ、又は、前記出力部が出力したデータに関連する関連データを前記内部中継機に出力する第２の出力部と
   を有し、
   前記内部中継機は、前記第２の出力部が出力した関連データに基づいて、前記外部中継機が行う中継を停止すべきか否かを判定する判定部を有すること
   を特徴とする通信システム。
2. 前記外部中継機は、前記入力部に入力されたデータを認証する認証部を有し、
   前記関連データは、該認証部が行う認証の失敗又は成功に関する情報を含み、
   前記判定部は、前記認証部が認証に失敗した回数が所定失敗回数以上であるか、又は、前記認証部が認証に成功した回数が所定成功回数以上である場合に前記中継を停止すべきと判定すること
   を特徴とする請求項１に記載の通信システム。
3. 前記関連データは、前記入力部に入力されたデータ量に関する情報を含み、
   前記判定部は、前記入力部に入力されたデータ量が所定入力データ量以上である場合に前記中継を停止すべきと判定すること
   を特徴とする請求項１又は請求項２に記載の通信システム。
4. 前記関連データは、前記出力部が出力したデータ量に関する情報を含み、
   前記判定部は、前記出力部が出力したデータ量が所定出力データ量以上である場合に前記中継を停止すべきと判定すること
   を特徴とする請求項１から請求項３に記載の通信システム。
5. 前記関連データは、前記出力部が出力したデータの内容を示す情報を含み、
   前記判定部は、特定のデータが前記出力部から出力された場合に前記中継を停止すべきと判定すること
   を特徴とする請求項１から請求項４に記載の通信システム。
6. 前記内部中継機は、前記判定部によって、前記外部中継機が行う前記中継を停止すべきと判定された場合に前記外部中継機への給電を停止する給電停止部を有すること
   を特徴とする請求項１から請求項５のいずれか１つに記載の通信システム。
7. 前記内部中継機は、前記判定部によって、前記外部中継機が行う前記中継を停止すべきと判定された場合に、該外部装置から前記入力部へのデータの入力と、前記出力部から該外部装置へのデータの出力とを禁止する禁止部を有すること
   を特徴とする請求項１から請求項６のいずれか１つに記載の通信システム。
8. 前記外部中継機は、前記外部装置と、第２の通信装置との間でデータを中継すること
   を特徴とする請求項１から請求項７のいずれか１つに記載の通信システム。

Images