JP2018041200A - 車載通信機、管理装置、管理方法および監視プログラム - Google Patents

Abstract

【課題】車両において良好なセキュリティを提供することが可能な車載通信機、管理装置、管理方法および監視プログラムを提供する。【解決手段】車載通信機１０１は、通信処理部５１と、監視部５２と、通知部５３と、動作ログ作成部５４とを備える。通信処理部は、中継部１１１の動作ログおよび中継部による制御部の監視結果に基づく監視ログを取得する。監視部は、中継部の動作を監視する監視処理を行う。通知部は、監視処理において中継部に異常があると判断された場合に、異常がある旨を通知する。動作ログ作成部は、車載通信機の動作ログを作成し、通信処理部の通信動作を監視し、通信処理部がログ情報を受信した時刻を示すタイムスタンプを車載通信器の動作ログ及び動作エラーを該動作ログに書き込む。通信処理部は、該動作ログ、および監視ログを外部の管理装置へ送信する。【選択図】図４

Description

本発明は、車載通信機、管理装置、管理方法および監視プログラムに関する。

従来、車載ネットワークにおけるセキュリティを向上させるための車載ネットワークシステムが開発されている。

たとえば、特許文献１（特開２０１３−１６８８６５号公報）には、以下のような車載ネットワークシステムが開示されている。すなわち、車載ネットワークシステムは、車載ネットワーク上で用いられる通信規約のうち前記車載ネットワーク上における実装に依拠する部分を定義する定義データを格納するメモリを備えた車載制御装置と、前記車載制御装置に対して前記定義データを発行する通信規約発行装置とを備える。前記通信規約発行装置は、前記車載制御装置を前記車載ネットワークに参加させる登録装置から、前記車載制御装置を前記車載ネットワークに参加させるよう要求する登録要求を受け取ると、前記登録装置に対する認証を実施した上で、前記車載ネットワークに上における実装に準拠した前記定義データを作成して前記登録装置に返信する。前記登録装置は、前記通信規約発行装置が送信した前記定義データを受け取り、受け取った前記定義データを前記メモリ上に格納するよう前記車載制御装置に対して要求する。そして、前記車載制御装置は、前記登録装置から定義データを受け取って前記メモリ上に格納し、前記定義データが定義する前記部分にしたがって、前記通信規約に準拠して前記車載ネットワークを用いて通信する。

特開２０１３−１６８８６５号公報

特許文献１には、車載ネットワークシステムにおけるゲートウェイＥＣＵが、通信規約発行装置の機能を有し、かつ車載制御装置を監視する構成が開示されている。

このようなゲートウェイＥＣＵが、成りすまし可能な不正なＥＣＵに交換されることがある。また、ゲートウェイＥＣＵが車両の外部と通信可能な場合、ハッキングされてゲートウェイＥＣＵのファームウェアが書き換えられることがある。

このような場合、車載制御装置に対する監視機能が低下したり、車両の外部からの車載制御装置に対する不正アクセスが可能となったりするため、好ましくない。

この発明は、上述の課題を解決するためになされたもので、その目的は、車両において良好なセキュリティを提供することが可能な車載通信機、管理装置、管理方法および監視プログラムを提供することである。

（１）上記課題を解決するために、この発明のある局面に係わる車載通信機は、車両に搭載される車載通信機であって、前記車両における機能部を制御可能な複数の制御部間の情報を中継する中継部、および前記車両の外部における管理装置と通信可能な通信部と、前記中継部の動作を監視する監視処理を行う監視部とを備える。

（７）上記課題を解決するために、この発明のある局面に係わる管理装置は、車両の外部に設けられる管理装置であって、前記車両に搭載され、前記車両における機能部を制御可能な複数の制御部間の情報を中継する中継部へ、前記車両の外部から送信された情報を中継する車載通信機と通信可能な通信部と、前記車載通信機の動作を監視する監視処理を行う監視部とを備える。

（１１）上記課題を解決するために、この発明のある局面に係わる管理方法は、車両の外部に設けられる管理装置における管理方法であって、前記車両に搭載され、前記車両における機能部を制御可能な複数の制御部間の情報を中継する中継部へ、前記車両の外部から送信された情報を中継する車載通信機と通信するステップと、前記車載通信機の動作を監視する監視処理を行うステップとを含む。

（１２）上記課題を解決するために、この発明のある局面に係わる監視プログラムは、車両に搭載される車載通信機において用いられる監視プログラムであって、コンピュータを、前記車両における機能部を制御可能な複数の制御部間の情報を中継する中継部、および前記車両の外部における管理装置と通信可能な通信部と、前記中継部の動作を監視する監視処理を行う監視部と、として機能させるためのプログラムである。

（１３）上記課題を解決するために、この発明の他の局面に係わる監視プログラムは、車両の外部に設けられる管理装置において用いられる監視プログラムであって、コンピュータを、前記車両に搭載され、前記車両における機能部を制御可能な複数の制御部間の情報を中継する中継部へ、前記車両の外部から送信された情報を中継する車載通信機と通信可能な通信部と、前記車載通信機の動作を監視する監視処理を行う監視部と、として機能させるためのプログラムである。

本発明は、このような特徴的な処理部を備える車載通信機として実現することができるだけでなく、車載通信機を備える監視システムとして実現したり、かかる特徴的な処理をステップとする方法として実現したりすることができる。また、本発明は、車載通信機の一部または全部を実現する半導体集積回路として実現したりすることができる。

本発明は、このような特徴的な処理部を備える管理装置として実現することができるだけでなく、管理装置を備える監視システムとして実現することができる。また、本発明は、管理装置の一部または全部を実現する半導体集積回路として実現したりすることができる。

本発明によれば、車両において良好なセキュリティを提供することができる。

図１は、本発明の実施の形態に係る通信システムの構成を示す図である。 図２は、本発明の実施の形態に係る車両に搭載される各装置の構成を示す図である。 図３は、本発明の実施の形態に係る系統別制御装置の構成を示す図である。 図４は、本発明の実施の形態に係る監視システムにおける車載通信機の構成を示す図である。 図５は、本発明の実施の形態に係る監視システムにおける管理装置の構成を示す図である。 図６は、本発明の実施の形態に係る監視システムにおける中継部が中継処理を行う際の動作手順を定めたフローチャートである。 図７は、本発明の実施の形態に係る監視システムにおける車載通信機が中継部の監視処理を行う際の動作手順を定めたフローチャートである。 図８は、本発明の実施の形態に係る監視システムにおける管理装置が車載通信機の監視処理を行う際の動作手順を定めたフローチャートである。

最初に、本発明の実施形態の内容を列記して説明する。

（１）本発明の実施の形態に係る車載通信機は、車両に搭載される車載通信機であって、前記車両における機能部を制御可能な複数の制御部間の情報を中継する中継部、および前記車両の外部における管理装置と通信可能な通信部と、前記中継部の動作を監視する監視処理を行う監視部とを備える。

このような構成により、たとえば、車載通信機が中継部の動作内容を取得することが可能であり、かつ高いセキュリティレベルで監視を行うことが可能な管理装置へ車載通信機の動作内容を送信することができる。これにより、車載通信機が中継部を外部から監視することができ、また管理装置が車載通信機を外部から監視することができる。このような段階的な監視を行うことで、中継部のすり替えおよびハッキングを良好に発見することができるので、制御部に対する監視機能の低下を抑制するとともに、車両の外部からの制御部に対する不正アクセスを防ぐことができる。したがって、車両において良好なセキュリティを提供することができる。

（２）好ましくは、前記車載通信機は、さらに、前記中継部の動作ログを取得する取得部を備え、前記監視部は、前記取得部によって取得された前記動作ログに基づいて前記監視処理を行う。

このような構成により、たとえば、所定の取り決めに従わない中継部における動作等を動作ログから発見することができるので、中継部が正常な動作を行っているか否かを正しく認識することができる。

（３）好ましくは、前記車載通信機は、さらに、前記中継部による前記制御部の監視結果に基づく監視ログを取得する取得部を備え、前記監視部は、前記取得部によって取得された前記監視ログに基づいて前記監視処理を行う。

このような構成により、たとえば、中継部が制御部とやり取りするデータについての認証状況および送受信状況等を監視ログから認識することができるので、中継部が制御部を適切に監視しているか否かを正しく認識することができる。

（４）好ましくは、前記車載通信機は、さらに、前記監視処理において前記中継部に異常があると判断された場合に、前記異常がある旨を通知する通知部を備える。

このような構成により、たとえば、中継部の異常をユーザに知らせたり、中継部の異常を示す情報を他の装置へ送信したりすることができるので、すり替えられた中継部を正当な中継部に交換すること、およびハッキングされた中継部のファームウェアをアップデートすることをユーザに促すことができる。

（５）好ましくは、前記通信部は、前記監視処理の結果に基づく情報を前記管理装置へ送信する。

このような構成により、車載通信機による中継部の監視処理が正当であるか否かを管理装置において確認することができるので、車載通信機のセキュリティを高めることができる。

（６）好ましくは、前記車載通信機は、さらに、自己の前記車載通信機の動作ログを作成するログ作成部を備え、前記通信部は、前記ログ作成部によって作成された前記動作ログを前記管理装置へ送信する。

このような構成により、管理装置において車載通信機による中継部に対する異常な監視動作を動作ログから発見することができるので、車載通信機が中継部を正しく監視しているか否かを確認することができる。これにより、車載通信機のセキュリティを高めることができる。

（７）本発明の実施の形態に係る管理装置は、車両の外部に設けられる管理装置であって、前記車両に搭載され、前記車両における機能部を制御可能な複数の制御部間の情報を中継する中継部へ、前記車両の外部から送信された情報を中継する車載通信機と通信可能な通信部と、前記車載通信機の動作を監視する監視処理を行う監視部とを備える。

このような構成により、たとえば、車載通信機が中継部へ中継する情報の内容を取得することが可能であり、かつ高いセキュリティレベルで監視を行うことが可能な管理装置が車載通信機の動作内容を取得することができる。これにより、車載通信機が中継部を外部から監視することができ、また管理装置が車載通信機を外部から監視することができる。このような段階的な監視を行うことで、中継部のすり替えおよびハッキングを良好に発見することができるので、制御部に対する監視機能の低下を抑制するとともに、車両の外部からの制御部に対する不正アクセスを防ぐことができる。したがって、車両において良好なセキュリティを提供することができる。

（８）好ましくは、前記管理装置は、さらに、前記車載通信機の動作ログを取得する取得部を備え、前記監視部は、前記取得部によって取得された前記動作ログに基づいて前記監視処理を行う。

このような構成により、車載通信機による中継部に対する異常な監視動作を動作ログから発見することができるので、車載通信機が中継部を正しく監視しているか否かを確認することができる。これにより、車載通信機のセキュリティを高めることができる。

（９）好ましくは、前記管理装置は、さらに、前記車載通信機による前記中継部の監視結果に基づく監視ログを取得する取得部を備え、前記監視部は、取得部によって取得された前記監視ログに基づいて前記監視処理を行う。

このような構成により、車載通信機による中継部の監視処理が正当であるか否かを確認することができるので、車載通信機のセキュリティを高めることができる。

（１０）好ましくは、前記管理装置は、さらに、前記監視処理において前記車載通信機に異常があると判断された場合に、前記車載通信機による前記車両の外部との通信を制限する処理を行う制限部を備える。

このような構成により、たとえば、車両における制御部を外部から不正に制御するための情報等が中継部へ中継されることを防ぐことができるので、中継部のすり替えおよびハッキングが行われた場合においても、被害を低減することができる。

（１１）本発明の実施の形態に係る管理方法は、車両の外部に設けられる管理装置における管理方法であって、前記車両に搭載され、前記車両における機能部を制御可能な複数の制御部間の情報を中継する中継部へ、前記車両の外部から送信された情報を中継する車載通信機と通信するステップと、前記車載通信機の動作を監視する監視処理を行うステップとを含む。

このような構成により、たとえば、車載通信機が中継部へ中継する情報の内容を取得することが可能であり、かつ高いセキュリティレベルで監視を行うことが可能な管理装置が車載通信機の動作内容を取得することができる。これにより、車載通信機が中継部を外部から監視することができ、また管理装置が車載通信機を外部から監視することができる。このような段階的な監視を行うことで、中継部のすり替えおよびハッキングを良好に発見することができるので、制御部に対する監視機能の低下を抑制するとともに、車両の外部からの制御部に対する不正アクセスを防ぐことができる。したがって、車両において良好なセキュリティを提供することができる。

（１２）本発明の実施の形態に係る監視プログラムは、車両に搭載される車載通信機において用いられる監視プログラムであって、コンピュータを、前記車両における機能部を制御可能な複数の制御部間の情報を中継する中継部、および前記車両の外部における管理装置と通信可能な通信部と、前記中継部の動作を監視する監視処理を行う監視部と、として機能させるためのプログラムである。

このような構成により、たとえば、車載通信機が中継部の動作内容を取得することが可能であり、かつ高いセキュリティレベルで監視を行うことが可能な管理装置へ車載通信機の動作内容を送信することができる。これにより、車載通信機が中継部を外部から監視することができ、また管理装置が車載通信機を外部から監視することができる。このような段階的な監視を行うことで、中継部のすり替えおよびハッキングを良好に発見することができるので、制御部に対する監視機能の低下を抑制するとともに、車両の外部からの制御部に対する不正アクセスを防ぐことができる。したがって、車両において良好なセキュリティを提供することができる。

（１３）本発明の実施の形態に係る監視プログラムは、車両の外部に設けられる管理装置において用いられる監視プログラムであって、コンピュータを、前記車両に搭載され、前記車両における機能部を制御可能な複数の制御部間の情報を中継する中継部へ、前記車両の外部から送信された情報を中継する車載通信機と通信可能な通信部と、前記車載通信機の動作を監視する監視処理を行う監視部と、として機能させるためのプログラムである。

このような構成により、たとえば、車載通信機が中継部へ中継する情報の内容を取得することが可能であり、かつ高いセキュリティレベルで監視を行うことが可能な管理装置が車載通信機の動作内容を取得することができる。これにより、車載通信機が中継部を外部から監視することができ、また管理装置が車載通信機を外部から監視することができる。このような段階的な監視を行うことで、中継部のすり替えおよびハッキングを良好に発見することができるので、制御部に対する監視機能の低下を抑制するとともに、車両の外部からの制御部に対する不正アクセスを防ぐことができる。したがって、車両において良好なセキュリティを提供することができる。

以下、本発明の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。

［構成および基本動作］
図１は、本発明の実施の形態に係る通信システムの構成を示す図である。図２は、本発明の実施の形態に係る車両に搭載される各装置の構成を示す図である。

図１および図２を参照して、監視システム３０１は、車載通信機１０１と、中継部１１１と、管理装置１５１とを備える。なお、監視システム３０１は、２つ以上の車載通信機１０１を備える構成であってもよい。また、監視システム３０１は、２つ以上の中継部１１１を備える構成であってもよい。

車載通信機１０１は、道路を走行する車両１に搭載される。図２に示すように、中継部１１１および複数の系統別制御装置１２１は、車載通信機１０１に対応して設けられ、車両１に搭載される。管理装置１５１は、たとえばサーバであり、車両１の外部に設けられる。

車載通信機１０１は、たとえば、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｕｎｉｔ）であり、ＬＴＥ（Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ）または３Ｇ等の通信規格に従って、無線基地局装置１６１と無線通信を行うことが可能である。

ゲートウェイ装置１７１および無線基地局装置１６１は、たとえば通信会社により運営される。無線基地局装置１６１は、無線通信により車載通信機１０１から受信した情報をゲートウェイ装置１７１へ送信し、また、ゲートウェイ装置１７１から受信した情報を無線通信により車載通信機１０１へ送信する。

ゲートウェイ装置１７１は、ネットワーク１０と車載通信機１０１および無線基地局装置１６１間の無線通信回線とを接続する。

より詳細には、ゲートウェイ装置１７１は、無線基地局装置１６１から受けた情報をネットワーク１０経由で管理装置１５１へ送信し、また、管理装置１５１からネットワーク１０経由で受信した情報を無線基地局装置１６１へ送信する。

中継部１１１は、たとえば、セントラルゲートウェイ（Ｃｅｎｔｒａｌ Ｇａｔｅｗａｙ：ＣＧＷ）であり、車載通信機１０１と通信を行うことが可能である。

図３は、本発明の実施の形態に係る系統別制御装置の構成を示す図である。

図３を参照して、系統別制御装置１２１は、複数の制御部１２２と、複数の機能部１２３とを備える。

なお、系統別制御装置１２１は、複数の制御部１２２を備える構成に限らず、１つの制御部１２２を備える構成であってもよい。また、系統別制御装置１２１は、複数の機能部１２３を備える構成に限らず、１つの機能部１２３を備える構成であってもよい。

図２および図３を参照して、車両１における制御ネットワーク１２は、たとえば、駆動系ネットワーク、シャーシ／安全系ネットワーク、ボディ／電装系ネットワークおよびＡＶ／情報系ネットワークである。

駆動系ネットワークには、制御部１２２の一例であるエンジン制御部、ＡＴ（Ａｕｔｏｍａｔｉｃ Ｔｒａｎｓｍｉｓｓｉｏｎ）制御部およびＨＥＶ（Ｈｙｂｒｉｄ Ｅｌｅｃｔｒｉｃ Ｖｅｈｉｃｌｅ）制御部が接続されている。エンジン制御部、ＡＴ制御部およびＨＥＶ制御部は、機能部１２３の一例であるエンジン、ＡＴおよびエンジンとモータとの切替をそれぞれ制御する。

シャーシ／安全系ネットワークには、制御部１２２の一例であるブレーキ制御部、シャーシ制御部およびステアリング制御部が接続されている。ブレーキ制御部、シャーシ制御部およびステアリング制御部は、機能部１２３の一例であるブレーキ、シャーシおよびステアリングをそれぞれ制御する。

ボディ／電装系ネットワークには、制御部１２２の一例である計器表示制御部、エアコン制御部および盗難防止制御部が接続されている。計器表示制御部、エアコン制御部および盗難防止制御部は、機能部１２３の一例である計器、エアコンおよび盗難防止機構をそれぞれ制御する。

ＡＶ／情報系ネットワークには、制御部１２２の一例であるナビゲーション制御部、オーディオ制御部、ＥＴＣ（Ｅｌｅｃｔｒｏｎｉｃ Ｔｏｌｌ Ｃｏｌｌｅｃｔｉｏｎ Ｓｙｓｔｅｍ）（登録商標）制御部および電話制御部が接続されている。ナビゲーション制御部、オーディオ制御部、ＥＴＣ制御部および電話制御部は、機能部１２３の一例であるナビゲーション装置、オーディオ装置、ＥＴＣ装置および携帯電話装置をそれぞれ制御する。

中継部１１１は、車両１における機能部１２３を制御可能な複数の制御部１２２間の情報を中継する。

より詳細には、車両１では、たとえば、所定の取り決めに従って、ある制御部１２２から他の制御部１２２へ周期的に制御情報が送信される。

中継部１１１は、ある制御部１２２から対応の制御ネットワーク１２経由で制御情報を受信すると、受信した制御情報を他の制御部１２２へ対応の制御ネットワーク１２経由で送信する中継処理を行う。

中継部１１１は、たとえば、動作ログＬＭ１および監視ログＬＳ１を保持している。中継部１１１は、たとえば、中継処理を行うごとに、当該中継処理に応じたフラグ、およびタイムスタンプを動作ログＬＭ１に書き込む。

制御情報には、たとえば完全性を保護するためのメッセージ認証コード（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ：ＭＡＣ）が含まれる。

中継部１１１は、ＭＡＣに基づいて、制御部１２２から受信した制御情報の認証を行い、たとえば認証の処理過程および認証結果を監視ログＬＳ１に書き込む。

また、中継部１１１は、制御部１２２における制御情報の受信状況を監視ログＬＳ１に書き込む。より詳細には、中継部１１１は、制御情報を制御部１２２へ送信した後、当該制御部１２２が正常に当該制御情報を受信した場合に送信されるＡＣＫを待ち受ける。中継部１１１は、当該制御部１２２からＡＣＫを受信できたか否かを示す受信確認結果、および受信確認の処理過程を監視ログＬＳ１に書き込む。

中継部１１１は、認証結果および受信確認結果の少なくともいずれか一方が異常を示す場合、異常処理を行う。具体的には、中継部１１１は、たとえば、異常の発生した制御ネットワーク１２との接続を切断したり、計器表示制御部に当該異常の内容を表示させたりする。

中継部１１１は、たとえば、監視ログＬＳ１および動作ログＬＭ１を含むログ情報ＬＡを作成し、作成したログ情報ＬＡを定期的に車載通信機１０１へ送信する。

図４は、本発明の実施の形態に係る監視システムにおける車載通信機の構成を示す図である。

図４を参照して、車載通信機１０１は、通信処理部（通信部および取得部）５１と、監視部５２と、通知部５３と、動作ログ作成部５４とを備える。

通信処理部５１は、中継部１１１および管理装置１５１と通信可能である。また、通信処理部５１は、車両１の外部から送信された情報を中継部１１１へ中継する。

具体的には、通信処理部５１は、たとえば、中継部１１１から情報の要求を受信する。そして、通信処理部５１は、たとえば、ＬＴＥまたは３Ｇ等の通信規格に従って無線基地局装置１６１と通信を行うことにより、中継部１１１から受信した要求を示す要求情報を無線基地局装置１６１へ送信する。

通信処理部５１は、要求情報の応答としてたとえばオーディオ情報および地図情報等を無線基地局装置１６１から受信すると、受信したこれらの情報を中継部１１１へ送信する。

また、通信処理部５１は、たとえば、無線基地局装置１６１から送信される、中継部１１１のファームウェアを更新するためのアップデート情報を受信すると、受信したアップデート情報を中継部１１１へ送信する。

通信処理部５１は、たとえば、中継部１１１の動作ログＬＭ１、および中継部１１１による制御部１２２の監視結果に基づく監視ログＬＳ１を取得する。具体的には、通信処理部５１は、中継部１１１から定期的に送信されるログ情報ＬＡを受信し、受信したログ情報ＬＡを監視部５２へ出力する。

監視部５２は、中継部１１１の動作を監視する監視処理ＳＣを行う。詳細には、監視部５２は、たとえば、通信処理部５１によって取得された動作ログＬＭ１および監視ログＬＳ１に基づいて監視処理ＳＣを行う。

より詳細には、監視部５２は、通信処理部５１からログ情報ＬＡを受けると、受けたログ情報ＬＡに含まれる動作ログＬＭ１を参照し、たとえば、フラグごとにタイムスタンプを整理し、タイムスタンプの示す時間の間隔が所定の取り決めに従っているか否かを確認する。

監視部５２は、当該間隔が所定の取り決めに従っている場合、中継部１１１が各制御部１２２を正常に監視していると判断する。

一方、監視部５２は、当該間隔が所定の取り決めに従っていない場合、中継部１１１が各制御部１２２を正常に監視していないと判断する。

また、監視部５２は、ログ情報ＬＡに含まれる監視ログＬＳ１を参照し、たとえば、認証の処理過程、認証結果、受信確認の処理過程および受信確認結果が正当であるか否かを確認する。

監視部５２は、認証の処理過程、認証結果、受信確認の処理過程および受信確認結果が正当である場合、中継部１１１が各制御部１２２を正常に監視していると判断する。

一方、監視部５２は、認証の処理過程、認証結果、受信確認の処理過程および受信確認結果のうちの少なくともいずれか１つが正当でない場合、中継部１１１が各制御部１２２を正常に監視していないと判断する。

監視部５２は、たとえば、監視処理ＳＣの結果に基づく情報の一例である監視ログＬＳ２を作成する。具体的には、監視部５２は、たとえば監視ログＬＳ２を保持している。監視部５２は、動作ログＬＭ１に基づく判断の処理過程および結果、ならびに監視ログＬＳ１に基づく判断の処理過程および結果を監視ログＬＳ２に書き込み、書き込みを行った監視ログＬＳ２を通信処理部５１へたとえば定期的に出力する。

また、監視部５２は、中継部１１１が各制御部１２２を正常に監視していないと判断した場合、判断結果を通知部５３へ通知する。

通知部５３は、たとえば、監視処理ＳＣにおいて中継部１１１に異常があると判断された場合に、異常がある旨を通知する。

具体的には、通知部５３は、監視部５２から判断結果の通知を受けると、たとえば当該判断結果をユーザに通知する。

より詳細には、通知部５３は、たとえば、中継部１１１が各制御部１２２を正常に監視していない旨を含む通知情報を作成し、作成した通知情報を通信処理部５１経由で中継部１１１へ送信する。中継部１１１は、車載通信機１０１から通知情報を受信すると、受信した通知情報を計器表示制御部へ送信する。計器表示制御部は、中継部１１１から受信した通知情報の内容を計器に表示する制御を行う。

また、通知部５３は、たとえば、ユーザの保持するスマートホン等の無線端末装置を宛先として、通知情報を通信処理部５１経由で無線基地局装置１６１へ送信する。無線基地局装置１６１は、車載通信機１０１から通知情報を受信すると、受信した通知情報を当該無線端末装置へ直接送信するか、または他の無線基地局装置１６１経由で送信する。

動作ログ作成部５４は、たとえば、自己の車載通信機１０１の動作ログＬＭ２を作成する。具体的には、動作ログ作成部５４は、たとえば動作ログＬＭ２を保持している。動作ログ作成部５４は、たとえば、通信処理部５１の通信動作を監視し、通信処理部５１がログ情報ＬＡを受信した時刻を示すタイムスタンプを動作ログＬＭ２に書き込む。

また、動作ログ作成部５４は、自己の車載通信機１０１における動作エラーを動作ログＬＭ２に書き込む。具体的には、動作ログ作成部５４は、たとえば、通信処理部５１において通信エラーが発生した場合、通信エラーの内容を動作ログＬＭ２に書き込む。

通信処理部５１は、たとえば、動作ログ作成部５４によって作成された動作ログＬＭ２、および監視部５２によって作成された監視ログＬＳ２を管理装置１５１へ送信する。

具体的には、通信処理部５１は、監視部５２から監視ログＬＳ２を受けると、動作ログ作成部５４から動作ログＬＭ２を取得し、動作ログＬＭ２および監視ログＬＳ２を含むログ情報ＬＢを作成する。そして、通信処理部５１は、作成したログ情報ＬＢを定期的に管理装置１５１へ送信する。

図５は、本発明の実施の形態に係る監視システムにおける管理装置の構成を示す図である。

図５を参照して、管理装置１５１は、通信処理部（通信部および取得部）７１と、監視部７２と、制限部７３と、動作ログ作成部７４とを備える。通信処理部７１は、車載通信機１０１と通信可能である。

通信処理部７１は、たとえば、車載通信機１０１の動作ログＬＭ２、および車載通信機１０１による中継部１１１の監視結果に基づく監視ログＬＳ２を取得する。

具体的には、通信処理部７１は、車載通信機１０１から定期的に送信されるログ情報ＬＢを無線基地局装置１６１、ゲートウェイ装置１７１およびネットワーク１０経由で受信すると、受信したログ情報ＬＢを監視部７２へ出力する。

監視部７２は、車載通信機１０１の動作を監視する監視処理ＳＳを行う。詳細には、監視部７２は、たとえば、通信処理部７１によって取得された動作ログＬＭ２および監視ログＬＳ２に基づいて監視処理ＳＳを行う。

より詳細には、監視部７２は、通信処理部７１からログ情報ＬＢを受けると、受けたログ情報ＬＢに含まれる動作ログＬＭ２を参照し、たとえば、タイムスタンプの示す時間の間隔が規則的であるか否かを確認する。

監視部７２は、当該間隔が規則的である場合、車載通信機１０１が中継部１１１を正常に監視していると判断する。一方、監視部７２は、当該間隔が不規則である場合、車載通信機１０１が中継部１１１を正常に監視していないと判断する。

また、監視部７２は、ログ情報ＬＢに含まれる監視ログＬＳ２を参照し、動作ログＬＭ１に基づく判断の処理過程および結果、ならびに監視ログＬＳ１に基づく判断の処理過程および結果を確認する。

監視部７２は、上記各処理過程および上記各結果が正当である場合、車載通信機１０１が中継部１１１を正常に監視していると判断する。一方、監視部７２は、上記各処理過程および上記各結果のうちの少なくともいずれか１つが正当でない場合、車載通信機１０１が中継部１１１を正常に監視していないと判断する。

監視部７２は、たとえば、監視ログＬＳ３を保持しており、動作ログＬＭ２に基づく判断の処理過程および結果、ならびに監視ログＬＳ２に基づく判断の処理過程および結果を監視ログＬＳ３に書き込む。

監視部７２は、車載通信機１０１が中継部１１１を正常に監視していないと判断した場合、判断結果を示す通知情報を通信処理部７１へ出力する。

通信処理部７１は、監視部７２から通知情報を受けると、たとえば、ユーザの保持する無線端末装置を宛先として、通知情報をネットワーク１０、ゲートウェイ装置１７１および無線基地局装置１６１経由で当該無線端末装置へ送信する。

なお、通信処理部７１は、通知情報を車載通信機１０１経由で中継部１１１へ送信してもよい。中継部１１１は、管理装置１５１から受信した通知情報を計器に表示する制御を行う。また、通信処理部７１は、車両１を製造または販売した会社の管理するサーバを宛先として、通知情報をネットワーク１０経由で当該サーバへ送信してもよい。

また、監視部７２は、車載通信機１０１が中継部１１１を正常に監視していないと判断した場合、または車載通信機１０１における判断結果が、中継部１１１が各制御部１２２を正常に監視していないことを示す場合、接続制限命令を制限部７３へ出力する。

制限部７３は、たとえば、監視処理ＳＳにおいて車載通信機１０１に異常があると判断された場合、または車載通信機１０１における判断結果が、中継部１１１が各制御部１２２を正常に監視していないことを示す場合、車載通信機１０１による車両１の外部との通信を制限する処理を行う。

具体的には、制限部７３は、監視部７２から接続制限命令を受けると、受けた接続制限命令に従って、車載通信機１０１に与えられる情報をアップデート情報、オーディオ情報および地図情報に制限するための通信制限要求を作成して通信処理部７１へ出力する。

通信処理部７１は、制限部７３から通信制限要求を受けると、受けた通信制限要求をネットワーク１０経由でゲートウェイ装置１７１へ送信する。

ゲートウェイ装置１７１は、通信制限要求を管理装置１５１から受信すると、受信した通信制限要求に従って、アップデート情報、オーディオ情報および地図情報以外の情報の車載通信機１０１への送信を制限する。

なお、制限部７３は、車載通信機１０１が車両１の外部と通信可能な情報の種類を制限する構成であるとしたが、これに限定するものではない。制限部７３は、車載通信機１０１による車両１の外部との通信をゲートウェイ装置１７１等により遮断する構成であってもよい。

動作ログ作成部７４は、たとえば、自己の管理装置１５１の動作ログＬＭ３を作成する。具体的には、動作ログ作成部７４は、通信処理部７１の通信動作を監視し、通信処理部７１がログ情報ＬＢを受信した時刻を示すタイムスタンプを動作ログＬＭ３に書き込む。

［動作］
監視システム３０１における各装置は、コンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のシーケンス図またはフローチャートの各ステップの一部または全部を含むプログラムを図示しないメモリからそれぞれ読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。

図６は、本発明の実施の形態に係る監視システムにおける中継部が中継処理を行う際の動作手順を定めたフローチャートである。

図６を参照して、まず、中継部１１１は、ログ情報ＬＡの送信タイミングが到来するか、または制御情報を制御部１２２から受信するまで待機する（ステップＳ１０２でＮＯおよびステップＳ１０４でＮＯ）。

そして、中継部１１１は、制御情報を制御部１２２から受信すると（ステップＳ１０４でＹＥＳ）、受信した制御情報を認証する（ステップＳ１０６）。

次に、中継部１１１は、認証した制御情報を宛先の制御部１２２へ送信する（ステップＳ１０８）。

次に、中継部１１１は、認証の処理過程、認証結果、受信確認の処理過程および受信確認結果を監視ログＬＳ１に書き込むとともに、フラグおよびタイムスタンプを動作ログＬＭ１に書き込む（ステップＳ１１０）。

次に、中継部１１１は、認証結果および受信確認結果の少なくともいずれか一方が異常を示す場合（ステップＳ１１２でＹＥＳ）、異常処理を行う（ステップＳ１１４）。

次に、中継部１１１は、認証結果および受信確認結果が正常を示すか（ステップＳ１１２でＮＯ）、または異常処理を行うと（ステップＳ１１４）、ログ情報ＬＡの送信タイミングが到来するか、または新たな制御情報を制御部１２２から受信するまで待機する（ステップＳ１０２でＮＯおよびステップＳ１０４でＮＯ）。

一方、中継部１１１は、ログ情報ＬＡの送信タイミングが到来すると（ステップＳ１０２でＹＥＳ）、監視ログＬＳ１および動作ログＬＭ１を含むログ情報ＬＡを車載通信機１０１へ送信する（ステップＳ１１６）。

次に、中継部１１１は、ログ情報ＬＡの新たな送信タイミングが到来するか、または制御情報を制御部１２２から受信するまで待機する（ステップＳ１０２でＮＯおよびステップＳ１０４でＮＯ）。

図７は、本発明の実施の形態に係る監視システムにおける車載通信機が中継部の監視処理を行う際の動作手順を定めたフローチャートである。

図７を参照して、まず、車載通信機１０１は、ログ情報ＬＢの送信タイミングが到来するか、またはログ情報ＬＡを中継部１１１から受信するまで待機する（ステップＳ２０２でＮＯおよびステップＳ２０４でＮＯ）。

そして、車載通信機１０１は、ログ情報ＬＡを中継部１１１から受信すると（ステップＳ２０４でＹＥＳ）、受信したログ情報ＬＡに含まれる動作ログＬＭ１に基づいて中継部１１１における各制御部１２２の監視状態を判断する（ステップＳ２０６）。

次に、車載通信機１０１は、ログ情報ＬＡに含まれる監視ログＬＳ１に基づいて中継部１１１における各制御部１２２の監視状態を判断する（ステップＳ２０８）。

次に、車載通信機１０１は、動作ログＬＭ１に基づく判断の処理過程および結果、ならびに監視ログＬＳ１に基づく判断の処理過程および結果を監視ログＬＳ２に書き込むとともに、タイムスタンプを動作ログＬＭ２に書き込む（ステップＳ２１０）。

次に、車載通信機１０１は、中継部１１１が各制御部１２２を正常に監視していないと判断した場合（ステップＳ２１２でＹＥＳ）、通知情報を中継部１１１および無線端末装置へ送信する（ステップＳ２１４）。

次に、車載通信機１０１は、中継部１１１が各制御部１２２を正常に監視していないと判断するか（ステップＳ２１２でＮＯ）、または通知情報を送信すると（ステップＳ２１４）、ログ情報ＬＢの送信タイミングが到来するか、または新たなログ情報ＬＡを中継部１１１から受信するまで待機する（ステップＳ２０２でＮＯおよびステップＳ２０４でＮＯ）。

一方、車載通信機１０１は、ログ情報ＬＢの送信タイミングが到来すると（ステップＳ２０２でＹＥＳ）、監視ログＬＳ２および動作ログＬＭ２を含むログ情報ＬＢを管理装置１５１へ送信する（ステップＳ２１６）。

次に、車載通信機１０１は、ログ情報ＬＢの新たな送信タイミングが到来するか、またはログ情報ＬＡを中継部１１１から受信するまで待機する（ステップＳ２０２でＮＯおよびステップＳ２０４でＮＯ）。

なお、上記ステップＳ２０６およびＳ２０８の順番は、上記に限らず、順番を入れ替えてもよい。

図８は、本発明の実施の形態に係る監視システムにおける管理装置が車載通信機の監視処理を行う際の動作手順を定めたフローチャートである。

図８を参照して、まず、管理装置１５１は、ログ情報ＬＢを車載通信機１０１から受信するまで待機する（ステップＳ３０２でＮＯ）。

そして、管理装置１５１は、ログ情報ＬＢを車載通信機１０１から受信すると（ステップＳ３０２でＹＥＳ）、受信したログ情報ＬＢに含まれる動作ログＬＭ２に基づいて車載通信機１０１における中継部１１１の監視状態を判断する（ステップＳ３０４）。

次に、管理装置１５１は、ログ情報ＬＢに含まれる監視ログＬＳ２に基づいて車載通信機１０１における中継部１１１の監視状態を判断する（ステップＳ３０６）。

次に、管理装置１５１は、動作ログＬＭ２に基づく判断の処理過程および結果、ならびに監視ログＬＳ２に基づく判断の処理過程および結果を監視ログＬＳ３に書き込むとともに、タイムスタンプを動作ログＬＭ３に書き込む（ステップＳ３０８）。

次に、管理装置１５１は、車載通信機１０１が中継部１１１を正常に監視していないと判断した場合（ステップＳ３１０でＹＥＳ）、通知情報を無線端末装置へ送信する（ステップＳ３１２）。そして、管理装置１５１は、通信制限要求をネットワーク１０経由でゲートウェイ装置１７１へ送信する（ステップＳ３１４）。

一方、管理装置１５１は、車載通信機１０１が中継部１１１を正常に監視していると判断した場合（ステップＳ３１０でＮＯ）、車載通信機１０１における判断結果が、中継部１１１が各制御部１２２を正常に監視していないことを示すか否かを確認する（ステップＳ３１６）。

管理装置１５１は、車載通信機１０１における判断結果が、中継部１１１が各制御部１２２を正常に監視していないことを示す場合（ステップＳ３１６でＹＥＳ）、通信制限要求をネットワーク１０経由でゲートウェイ装置１７１へ送信する（ステップＳ３１４）。

また、管理装置１５１は、車載通信機１０１における判断結果が、中継部１１１が各制御部１２２を正常に監視していることを示すか（ステップＳ３１６でＮＯ）、または通信制限要求を送信すると（ステップＳ３１４）、ログ情報ＬＢを車載通信機１０１から受信するまで待機する（ステップＳ３０２でＮＯ）。

なお、上記ステップＳ３０４およびＳ３０６の順番は、上記に限らず、順番を入れ替えてもよい。

また、本発明の実施の形態に係る監視システムでは、中継部１１１が車載通信機１０１の外部に設けられる構成であるとしたが、これに限定するものではない。中継部１１１が車載通信機１０１の内部に設けられる構成であってもよい。

また、本発明の実施の形態に係る車載通信機では、監視部５２は、監視ログＬＳ１および動作ログＬＭ１に基づいて監視処理ＳＣを行う構成であるとしたが、これに限定するものではない。監視部５２は、これらのログを用いずに、中継部１１１の動作を直接監視する構成であってもよいし、監視ログＬＳ１および動作ログＬＭ１のいずれか一方に基づいて監視処理ＳＣを行う構成であってもよい。

また、本発明の実施の形態に係る車載通信機では、監視部５２は、監視ログＬＳ２を作成する構成であるとしたが、これに限定するものではない。監視部５２は、監視ログＬＳ２を作成しない構成であってもよい。

また、本発明の実施の形態に係る車載通信機では、動作ログ作成部５４は、動作ログＬＭ２を作成する構成であるとしたが、これに限定するものではない。動作ログ作成部５４は、動作ログＬＭ２を作成しない構成であってもよい。

また、本発明の実施の形態に係る管理装置では、監視部７２は、監視ログＬＳ２および動作ログＬＭ２に基づいて監視処理ＳＳを行う構成であるとしたが、これに限定するものではない。監視部７２は、これらのログを用いずに、車載通信機１０１の動作を直接監視する構成であってもよいし、監視ログＬＳ２および動作ログＬＭ２のいずれか一方に基づいて監視処理ＳＳを行う構成であってもよい。

また、本発明の実施の形態に係る管理装置の機能の一部または全部が、クラウドコンピューティングによって提供されてもよい。すなわち、本発明の実施の形態に係る管理装置が、複数のクラウドサーバ等によって構成されてもよい。

ところで、特許文献１には、車載ネットワークシステムにおけるゲートウェイＥＣＵが、通信規約発行装置の機能を有し、かつ車載制御装置を監視する構成が開示されている。

このようなゲートウェイＥＣＵが、成りすまし可能な不正なＥＣＵに交換されることがある。また、ゲートウェイＥＣＵが車両の外部と通信可能な場合、ハッキングされてゲートウェイＥＣＵのファームウェアが書き換えられることがある。

このような場合、車載制御装置に対する監視機能が低下したり、車両の外部からの車載制御装置に対する不正アクセスが可能となったりするため、好ましくない。

これに対して、本発明の実施の形態に係る車載通信機は、車両１に搭載される。通信処理部５１は、車両１における機能部１２３を制御可能な複数の制御部１２２間の情報を中継する中継部１１１、および車両１の外部における管理装置１５１と通信可能である。そして、監視部５２は、中継部１１１の動作を監視する監視処理ＳＣを行う。

このような構成により、たとえば、車載通信機１０１が中継部１１１の動作内容を取得することが可能であり、かつ高いセキュリティレベルで監視を行うことが可能な管理装置１５１へ車載通信機１０１の動作内容を送信することができる。これにより、車載通信機１０１が中継部１１１を外部から監視することができ、また管理装置１５１が車載通信機１０１を外部から監視することができる。このような段階的な監視を行うことで、中継部１１１のすり替えおよびハッキングを良好に発見することができるので、制御部１２２に対する監視機能の低下を抑制するとともに、車両１の外部からの制御部１２２に対する不正アクセスを防ぐことができる。したがって、車両において良好なセキュリティを提供することができる。

また、本発明の実施の形態に係る車載通信機では、通信処理部５１は、中継部１１１の動作ログＬＭ１を取得する。そして、監視部５２は、通信処理部５１によって取得された動作ログＬＭ１に基づいて監視処理ＳＣを行う。

このような構成により、たとえば、所定の取り決めに従わない中継部１１１における動作等を動作ログＬＭ１から発見することができるので、中継部１１１が正常な動作を行っているか否かを正しく認識することができる。

また、本発明の実施の形態に係る車載通信機では、通信処理部５１は、中継部１１１による制御部１２２の監視結果に基づく監視ログＬＳ１を取得する。そして、監視部５２は、通信処理部５１によって取得された監視ログＬＳ１に基づいて監視処理ＳＣを行う。

このような構成により、たとえば、中継部１１１が制御部１２２とやり取りするデータについての認証状況および送受信状況等を監視ログＬＳ１から認識することができるので、中継部１１１が制御部１２２を適切に監視しているか否かを正しく認識することができる。

また、本発明の実施の形態に係る車載通信機では、通知部５３は、監視処理ＳＣにおいて中継部１１１に異常があると判断された場合に、異常がある旨を通知する。

このような構成により、たとえば、中継部１１１の異常をユーザに知らせたり、中継部１１１の異常を示す情報を他の装置へ送信したりすることができるので、すり替えられた中継部１１１を正当な中継部に交換すること、およびハッキングされた中継部１１１のファームウェアをアップデートすることをユーザに促すことができる。

また、本発明の実施の形態に係る車載通信機では、通信処理部５１は、監視処理ＳＣの結果に基づく情報を管理装置１５１へ送信する。

このような構成により、車載通信機１０１による中継部１１１の監視処理ＳＣが正当であるか否かを管理装置１５１において確認することができるので、車載通信機１０１のセキュリティを高めることができる。

また、本発明の実施の形態に係る車載通信機では、動作ログ作成部５４は、自己の車載通信機１０１の動作ログＬＭ２を作成する。そして、通信処理部５１は、動作ログ作成部５４によって作成された動作ログＬＭ２を管理装置１５１へ送信する。

このような構成により、管理装置１５１において車載通信機１０１による中継部１１１に対する異常な監視動作を動作ログＬＭ２から発見することができるので、車載通信機１０１が中継部１１１を正しく監視しているか否かを確認することができる。これにより、車載通信機１０１のセキュリティを高めることができる。

また、本発明の実施の形態に係る管理装置は、車両１の外部に設けられる。通信処理部７１は、車両１に搭載され、車両１における機能部１２３を制御可能な複数の制御部１２２間の情報を中継する中継部１１１へ、車両１の外部から送信された情報を中継する車載通信機１０１と通信可能である。そして、監視部７２は、車載通信機１０１の動作を監視する監視処理ＳＳを行う。

このような構成により、たとえば、車載通信機１０１が中継部１１１へ中継する情報の内容を取得することが可能であり、かつ高いセキュリティレベルで監視を行うことが可能な管理装置１５１が車載通信機１０１の動作内容を取得することができる。これにより、車載通信機１０１が中継部１１１を外部から監視することができ、また管理装置１５１が車載通信機１０１を外部から監視することができる。このような段階的な監視を行うことで、中継部１１１のすり替えおよびハッキングを良好に発見することができるので、制御部１２２に対する監視機能の低下を抑制するとともに、車両１の外部からの制御部１２２に対する不正アクセスを防ぐことができる。したがって、車両において良好なセキュリティを提供することができる。

また、本発明の実施の形態に係る管理装置では、通信処理部７１は、車載通信機１０１の動作ログＬＭ２を取得する。そして、監視部７２は、通信処理部７１によって取得された動作ログＬＭ２に基づいて監視処理ＳＳを行う。

このような構成により、車載通信機１０１による中継部１１１に対する異常な監視動作を動作ログＬＭ２から発見することができるので、車載通信機１０１が中継部１１１を正しく監視しているか否かを確認することができる。これにより、車載通信機１０１のセキュリティを高めることができる。

また、本発明の実施の形態に係る管理装置では、通信処理部７１は、車載通信機１０１による中継部１１１の監視結果に基づく監視ログＬＳ２を取得する。そして、監視部７２は、通信処理部７１によって取得された監視ログＬＳ２に基づいて監視処理ＳＳを行う。

このような構成により、車載通信機１０１による中継部１１１の監視処理ＳＣが正当であるか否かを確認することができるので、車載通信機１０１のセキュリティを高めることができる。

また、本発明の実施の形態に係る管理装置では、制限部７３は、監視処理ＳＳにおいて車載通信機１０１に異常があると判断された場合に、車載通信機１０１による車両１の外部との通信を制限する処理を行う。

このような構成により、たとえば、車両１における制御部１２２を外部から不正に制御するための情報等が中継部１１１へ中継されることを防ぐことができるので、中継部１１１のすり替えおよびハッキングが行われた場合においても、被害を低減することができる。

上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

以上の説明は、以下に付記する特徴を含む。

［付記１］
車両に搭載される車載通信機であって、
前記車両における機能部を制御可能な複数の制御部間の情報を中継する中継部、および前記車両の外部における管理装置と通信可能な通信部と、
前記中継部の動作を監視する監視処理を行う監視部とを備え、
前記車載通信機は、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｕｎｉｔ）であり、
前記管理装置は、サーバであり、
前記中継部は、ＣＧＷ（Ｃｅｎｔｒａｌ Ｇａｔｅｗａｙ）であり、第１の制御ネットワークおよび第２の制御ネットワークが接続され、
前記中継部は、前記第１の制御ネットワーク経由で第１の前記制御部から制御情報を受信し、受信した前記制御情報を前記第２の制御ネットワーク経由で第２の前記制御部へ送信する中継処理を行い、
前記監視部は、前記中継部における前記中継処理を監視対象とし、
前記通信部は、ＬＴＥ（Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ）または３Ｇの通信規格に従って、前記管理装置と通信可能である、車載通信機。

［付記２］
車両の外部に設けられる管理装置であって、
前記車両に搭載され、前記車両における機能部を制御可能な複数の制御部間の情報を中継する中継部へ、前記車両の外部から送信された情報を中継する車載通信機と通信可能な通信部と、
前記車載通信機の動作を監視する監視処理を行う監視部とを備え、
前記管理装置は、サーバであり、
前記中継部は、ＣＧＷであり、第１の制御ネットワークおよび第２の制御ネットワークが接続され、
前記中継部は、前記第１の制御ネットワーク経由で第１の前記制御部から制御情報を受信し、受信した前記制御情報を前記第２の制御ネットワーク経由で第２の前記制御部へ送信し、
前記車載通信機は、ＴＣＵであり、
前記通信部は、ＬＴＥまたは３Ｇの通信規格に従って、前記車載通信機と通信可能である、管理装置。

１ 車両
１０ ネットワーク
１２ 制御ネットワーク
５１ 通信処理部（通信部および取得部）
５２ 監視部
５３ 通知部
５４ 動作ログ作成部
７１ 通信処理部（通信部および取得部）
７２ 監視部
７３ 制限部
７４ 動作ログ作成部
１０１ 車載通信機
１１１ 中継部
１２１ 系統別制御装置
１２２ 制御部
１２３ 機能部
１５１ 管理装置
１６１ 無線基地局装置
１７１ ゲートウェイ装置
３０１ 監視システム

Claims (13)

1. 車両に搭載される車載通信機であって、
   前記車両における機能部を制御可能な複数の制御部間の情報を中継する中継部、および前記車両の外部における管理装置と通信可能な通信部と、
   前記中継部の動作を監視する監視処理を行う監視部とを備える、車載通信機。
2. 前記車載通信機は、さらに、
   前記中継部の動作ログを取得する取得部を備え、
   前記監視部は、前記取得部によって取得された前記動作ログに基づいて前記監視処理を行う、請求項１に記載の車載通信機。
3. 前記車載通信機は、さらに、
   前記中継部による前記制御部の監視結果に基づく監視ログを取得する取得部を備え、
   前記監視部は、前記取得部によって取得された前記監視ログに基づいて前記監視処理を行う、請求項１または請求項２に記載の車載通信機。
4. 前記車載通信機は、さらに、
   前記監視処理において前記中継部に異常があると判断された場合に、前記異常がある旨を通知する通知部を備える、請求項１から請求項３のいずれか１項に記載の車載通信機。
5. 前記通信部は、前記監視処理の結果に基づく情報を前記管理装置へ送信する、請求項１から請求項４のいずれか１項に記載の車載通信機。
6. 前記車載通信機は、さらに、
   自己の前記車載通信機の動作ログを作成するログ作成部を備え、
   前記通信部は、前記ログ作成部によって作成された前記動作ログを前記管理装置へ送信する、請求項１から請求項５のいずれか１項に記載の車載通信機。
7. 車両の外部に設けられる管理装置であって、
   前記車両に搭載され、前記車両における機能部を制御可能な複数の制御部間の情報を中継する中継部へ、前記車両の外部から送信された情報を中継する車載通信機と通信可能な通信部と、
   前記車載通信機の動作を監視する監視処理を行う監視部とを備える、管理装置。
8. 前記管理装置は、さらに、
   前記車載通信機の動作ログを取得する取得部を備え、
   前記監視部は、前記取得部によって取得された前記動作ログに基づいて前記監視処理を行う、請求項７に記載の管理装置。
9. 前記管理装置は、さらに、
   前記車載通信機による前記中継部の監視結果に基づく監視ログを取得する取得部を備え、
   前記監視部は、取得部によって取得された前記監視ログに基づいて前記監視処理を行う、請求項７または請求項８に記載の管理装置。
10. 前記管理装置は、さらに、
    前記監視処理において前記車載通信機に異常があると判断された場合に、前記車載通信機による前記車両の外部との通信を制限する処理を行う制限部を備える、請求項７から請求項９のいずれか１項に記載の管理装置。
11. 車両の外部に設けられる管理装置における管理方法であって、
    前記車両に搭載され、前記車両における機能部を制御可能な複数の制御部間の情報を中継する中継部へ、前記車両の外部から送信された情報を中継する車載通信機と通信するステップと、
    前記車載通信機の動作を監視する監視処理を行うステップとを含む、管理方法。
12. 車両に搭載される車載通信機において用いられる監視プログラムであって、
    コンピュータを、
    前記車両における機能部を制御可能な複数の制御部間の情報を中継する中継部、および前記車両の外部における管理装置と通信可能な通信部と、
    前記中継部の動作を監視する監視処理を行う監視部と、
    として機能させるための、監視プログラム。
13. 車両の外部に設けられる管理装置において用いられる監視プログラムであって、
    コンピュータを、
    前記車両に搭載され、前記車両における機能部を制御可能な複数の制御部間の情報を中継する中継部へ、前記車両の外部から送信された情報を中継する車載通信機と通信可能な通信部と、
    前記車載通信機の動作を監視する監視処理を行う監視部と、
    として機能させるための、監視プログラム。

Images