JP2019009596A - 車載通信装置、通信制御方法および通信制御プログラム - Google Patents

Abstract

【課題】車載ネットワークにおいて、良好な通信を提供することが可能な車載通信装置、通信制御方法および通信制御プログラムを提供する。
【解決手段】車載通信装置は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、１または複数の前記機能部のＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスとＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部と、前記機能部に対する認証処理を行う認証部とを備え、前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除する。
【選択図】図３

Description

本発明は、車載通信装置、通信制御方法および通信制御プログラムに関する。

従来、車載ネットワークにおけるセキュリティを向上させるための車載ネットワークシステムが開発されている。

たとえば、特許文献１（特開２０１３−１６８８６５号公報）には、以下のような車載ネットワークシステムが開示されている。すなわち、車載ネットワークシステムは、車載ネットワーク上で用いられる通信規約のうち前記車載ネットワーク上における実装に依拠する部分を定義する定義データを格納するメモリを備えた車載制御装置と、前記車載制御装置に対して前記定義データを発行する通信規約発行装置とを備える。前記通信規約発行装置は、前記車載制御装置を前記車載ネットワークに参加させる登録装置から、前記車載制御装置を前記車載ネットワークに参加させるよう要求する登録要求を受け取ると、前記登録装置に対する認証を実施した上で、前記車載ネットワークに上における実装に準拠した前記定義データを作成して前記登録装置に返信する。前記登録装置は、前記通信規約発行装置が送信した前記定義データを受け取り、受け取った前記定義データを前記メモリ上に格納するよう前記車載制御装置に対して要求する。そして、前記車載制御装置は、前記登録装置から定義データを受け取って前記メモリ上に格納し、前記定義データが定義する前記部分にしたがって、前記通信規約に準拠して前記車載ネットワークを用いて通信する。

特開２０１３−１６８８６５号公報

特許文献１に記載の車載ネットワークでは、車載制御装置からのデータを中継する通信ゲートウェイが設けられる。

たとえば、通信ゲートウェイがレイヤ３（Ｌ３）の中継処理を行う場合、車載制御装置のＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスおよびＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスの対応関係を示す対応情報が用いられる。この対応情報が不正に改ざんされると、車載制御装置からのデータが適切に中継されなくなるため、車載ネットワークにおける通信が正常に行われなくなる。

この発明は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおいて、良好な通信を提供することが可能な車載通信装置、通信制御方法および通信制御プログラムを提供することである。

（１）上記課題を解決するために、この発明のある局面に係わる車載通信装置は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部と、前記機能部に対する認証処理を行う認証部とを備え、前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除する。

（５）上記課題を解決するために、この発明の他の局面に係わる車載通信装置は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部とを備え、前記アドレス管理部は、前記通信部を介して前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、前記アドレス管理部は、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除する。

（６）上記課題を解決するために、この発明の他の局面に係わる車載通信装置は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部と、前記機能部に対する認証処理を行う認証部とを備え、前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とする。

（７）上記課題を解決するために、この発明のある局面に係わる通信制御方法は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置における通信制御方法であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行うステップと、前記対応情報を作成するステップと、前記機能部に対する認証処理を行うステップとを含み、前記対応情報を作成するステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録し、前記認証処理を行うステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録した前記機能部に対して認証処理を行い、前記通信制御方法は、さらに、新たに登録した前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除するステップを含む。

（８）上記課題を解決するために、この発明の他の局面に係わる通信制御方法は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置における通信制御方法であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行うステップと、前記対応情報を作成するステップとを含み、前記対応情報を作成するステップにおいては、前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、前記通信制御方法は、さらに、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除するステップを含む。

（９）上記課題を解決するために、この発明の他の局面に係わる通信制御方法は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置における通信制御方法であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行うステップと、前記対応情報を作成するステップと、前記機能部に対する認証処理を行うステップとを含み、前記対応情報を作成するステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録し、前記認証処理を行うステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録した前記機能部に対して認証処理を行い、前記通信制御方法は、さらに、新たに登録した前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とするステップを含む。

（１０）上記課題を解決するために、この発明のある局面に係わる通信制御プログラムは、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置において用いられる通信制御プログラムであって、コンピュータを、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部と、前記機能部に対する認証処理を行う認証部、として機能させるためのプログラムであり、前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除する。

（１１）上記課題を解決するために、この発明の他の局面に係わる通信制御プログラムは、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置において用いられる通信制御プログラムであって、コンピュータを、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部、として機能させるためのプログラムであり、前記アドレス管理部は、前記通信部を介して前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、前記アドレス管理部は、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除する。

（１２）上記課題を解決するために、この発明の他の局面に係わる通信制御プログラムは、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置において用いられる通信制御プログラムであって、コンピュータを、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部と、前記機能部に対する認証処理を行う認証部、として機能させるためのプログラムであり、前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とする。

本発明は、このような特徴的な処理部を備える車載通信装置として実現することができるだけでなく、車載通信装置を備える車載通信システムとして実現することができる。また、本発明は、車載通信装置の一部または全部を実現する半導体集積回路として実現することができる。

本発明によれば、車載ネットワークにおいて、良好な通信を提供することができる。

図１は、本発明の第１の実施の形態に係る車載通信システムの構成を示す図である。 図２は、本発明の第１の実施の形態に係る車載通信システムの適用例を示す図である。 図３は、本発明の第１の実施の形態に係る車載通信システムにおける車載通信装置の構成を示す図である。 図４は、本発明の第１の実施の形態に係る車載通信装置におけるＬ２スイッチ部が保持するＡＲＬテーブルの一例を示す図である。 図５は、本発明の第１の実施の形態に係る車載通信装置におけるＬ３中継部が保持するＡＲＰテーブルの一例を示す図である。 図６は、本発明の第１の実施の形態に係る車載通信システムにおいて伝送されるＡＲＰリクエストフレームの一例を示す図である。 図７は、本発明の第１の実施の形態に係る車載通信装置におけるＬ３中継部が保持するＡＲＰテーブルの一例を示す図である。 図８は、本発明の第１の実施の形態に係る車載通信装置におけるＬ３中継部が保持するＡＲＰテーブルの一例を示す図である。 図９は、本発明の第１の実施の形態に係る車載通信システムにおける車載通信装置が、受信したＡＲＰリクエストフレームを処理する際の動作手順を定めたフローチャートである。 図１０は、本発明の第１の実施の形態に係る車載通信システムの変形例において伝送されるＮＤフレームの一例を示す図である。 図１１は、本発明の第１の実施の形態に係る車載通信システムの変形例における車載通信装置のＬ３中継部が保持するＮＤキャッシュの一例を示す図である。 図１２は、本発明の第１の実施の形態に係る車載通信システムの変形例における車載通信装置が、受信したＮＳフレームを処理する際の動作手順を定めたフローチャートである。 図１３は、本発明の第２の実施の形態に係る車載通信システムにおける車載通信装置の構成を示す図である。 図１４は、本発明の第２の実施の形態に係る車載通信システムにおける車載通信装置が、受信したＡＲＰリクエストフレームを処理する際の動作手順を定めたフローチャートである。 図１５は、本発明の第２の実施の形態に係る車載通信システムにおける車載通信装置が、書き替え不可期間を設定する際の動作手順を定めたフローチャートである。 図１６は、本発明の第２の実施の形態に係る車載通信装置におけるＬ３中継部が保持するＮＤキャッシュの一例を示す図である。 図１７は、本発明の第２の実施の形態に係る車載通信システムの変形例における車載通信装置が、受信したＮＳフレームを処理する際の動作手順を定めたフローチャートである。

最初に、本発明の実施形態の内容を列記して説明する。

（１）本発明の実施の形態に係る車載通信装置は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部と、前記機能部に対する認証処理を行う認証部とを備え、前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除する。

新たに登録された機能部との認証処理が成功しなかった場合、当該機能部は不正な機能部であると考えられる。上記の構成により、たとえば、不正な機能部が正当な機能部に成りすまし、誤った対応関係が対応情報に登録された場合においても、誤った対応関係を対応情報から削除することができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。これにより、機能部からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。

（２）好ましくは、前記アドレス管理部は、前記通信部を介して前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、前記アドレス管理部は、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除する。

データフィールドに含まれる送信元ＭＡＣアドレスとヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、不正なフレームである可能性が高い。上記の構成により、不正なフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの誤った対応関係が対応情報に登録され続けることを防ぐことができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。

（３）好ましくは、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とする。

新たに登録された機能部との認証処理が成功した場合、当該機能部は正当な機能部であると考えられる。上記の構成により、新たに登録された正しい対応関係を、所定条件を満たすまで保護することができるので、少なくとも所定条件が満たされるまで正しい対応関係を用いた中継処理を継続することができる。

（４）より好ましくは、前記所定条件は、新たに登録された前記機能部の通信が所定時間以上途絶えたことである。

このような構成により、新たに登録された正当な機能部との通信が継続している間、正しい対応関係を用いて、正当な機能部のデータの中継処理を継続することができる。

（５）本発明の実施の形態に係る車載通信装置は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部とを備え、前記アドレス管理部は、前記通信部を介して前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、前記アドレス管理部は、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除する。

データフィールドに含まれる送信元ＭＡＣアドレスとヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、不正なフレームである可能性が高い。上記の構成により、不正なフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの誤った対応関係が対応情報に登録され続けることを防ぐことができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。これにより、機能部からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。

（６）本発明の実施の形態に係る車載通信装置は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部と、前記機能部に対する認証処理を行う認証部とを備え、前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とする。

新たに登録された機能部との認証処理が成功した場合、当該機能部は正当な機能部であると考えられる。上記の構成により、新たに登録された正しい対応関係を、所定条件を満たすまで保護することができるので、少なくとも所定条件が満たされるまで正しい対応関係を用いた中継処理を継続することができる。これにより、機能部からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。

（７）本発明の実施の形態に係る通信制御方法は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置における通信制御方法であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行うステップと、前記対応情報を作成するステップと、前記機能部に対する認証処理を行うステップとを含み、前記対応情報を作成するステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録し、前記認証処理を行うステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録した前記機能部に対して認証処理を行い、前記通信制御方法は、さらに、新たに登録した前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除するステップを含む。

新たに登録された機能部との認証処理が成功しなかった場合、当該機能部は不正な機能部であると考えられる。上記の構成により、たとえば、不正な機能部が正当な機能部に成りすまし、誤った対応関係が対応情報に登録された場合においても、誤った対応関係を対応情報から削除することができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。これにより、機能部からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。

（８）本発明の実施の形態に係る通信制御方法は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置における通信制御方法であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行うステップと、前記対応情報を作成するステップとを含み、前記対応情報を作成するステップにおいては、前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、前記通信制御方法は、さらに、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除するステップを含む。

データフィールドに含まれる送信元ＭＡＣアドレスとヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、不正なフレームである可能性が高い。上記の構成により、不正なフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの誤った対応関係が対応情報に登録され続けることを防ぐことができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。これにより、機能部からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。

（９）本発明の実施の形態に係る通信制御方法は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置における通信制御方法であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行うステップと、前記対応情報を作成するステップと、前記機能部に対する認証処理を行うステップとを含み、前記対応情報を作成するステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録し、前記認証処理を行うステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録した前記機能部に対して認証処理を行い、前記通信制御方法は、さらに、新たに登録した前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とするステップを含む。

新たに登録された機能部との認証処理が成功した場合、当該機能部は正当な機能部であると考えられる。上記の構成により、新たに登録された正しい対応関係を、所定条件を満たすまで保護することができるので、少なくとも所定条件が満たされるまで正しい対応関係を用いた中継処理を継続することができる。これにより、機能部からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。

（１０）本発明の実施の形態に係る通信制御プログラムは、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置において用いられる通信制御プログラムであって、コンピュータを、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部と、前記機能部に対する認証処理を行う認証部、として機能させるためのプログラムであり、前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除する。

新たに登録された機能部との認証処理が成功しなかった場合、当該機能部は不正な機能部であると考えられる。上記の構成により、たとえば、不正な機能部が正当な機能部に成りすまし、誤った対応関係が対応情報に登録された場合においても、誤った対応関係を対応情報から削除することができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。これにより、機能部からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。

（１１）本発明の実施の形態に係る通信制御プログラムは、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置において用いられる通信制御プログラムであって、コンピュータを、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部、として機能させるためのプログラムであり、前記アドレス管理部は、前記通信部を介して前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、前記アドレス管理部は、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除する。

データフィールドに含まれる送信元ＭＡＣアドレスとヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、不正なフレームである可能性が高い。上記の構成により、不正なフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの誤った対応関係が対応情報に登録され続けることを防ぐことができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。これにより、機能部からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。

（１２）本発明の実施の形態に係る通信制御プログラムは、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置において用いられる通信制御プログラムであって、コンピュータを、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部と、前記機能部に対する認証処理を行う認証部、として機能させるためのプログラムであり、前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とする。

新たに登録された機能部との認証処理が成功した場合、当該機能部は正当な機能部であると考えられる。上記の構成により、新たに登録された正しい対応関係を、所定条件を満たすまで保護することができるので、少なくとも所定条件が満たされるまで正しい対応関係を用いた中継処理を継続することができる。これにより、機能部からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。

以下、本発明の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。

＜第１の実施の形態＞
［構成および基本動作］
図１は、本発明の第１の実施の形態に係る車載通信システムの構成を示す図である。

図１を参照して、車載通信システム３０１は、車載通信装置１０１と、複数の機能部１１１とを備える。車載通信システム３０１は、車両１に搭載される。

機能部１１１は、たとえば、自動運転ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）、センサ、ナビゲーション装置、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｕｎｉｔ）、ヒューマンマシンインタフェース、およびカメラ等であり、車載通信装置１０１と通信を行うことが可能である。

車載通信装置１０１および機能部１１１は、たとえば、車載のイーサネット（登録商標）通信用のケーブル（以下、イーサネットケーブルとも称する。）により互いに接続されている。

車載通信装置１０１および機能部１１１は、イーサネットケーブルを用いて互いに通信する。車載通信装置１０１および機能部１１１間では、たとえば、ＩＥＥＥ８０２．３に従うイーサネットフレームを用いて情報のやり取りが行われる。

図２は、本発明の第１の実施の形態に係る車載通信システムの適用例を示す図である。図２には、機能部１１１の具体例として、自動運転ＥＣＵ１１１Ａ、センサ１１１Ｂおよびナビゲーション装置１１１Ｃが示される。

なお、車載通信システム３０１は、３つの機能部１１１を備える構成に限らず、２つまたは４つ以上の機能部１１１を備える構成であってもよい。

車載ネットワーク１２において、たとえば、自動運転ＥＣＵ１１１Ａおよびセンサ１１１Ｂとナビゲーション装置１１１Ｃとは、互いに異なるサブネットに属する。

車載ネットワーク１２では、たとえば、ＩＰｖ４プロトコルに従って、ＩＰパケットを用いて情報の送受信が行われる。ＩＰパケットは、イーサネットフレームに格納されて伝送される。

車載通信装置１０１は、たとえば、車載ゲートウェイ装置であり、車載ネットワーク１２における機能部１１１間のデータを中継する中継処理を行う。

具体的には、車載通信装置１０１は、自動運転ＥＣＵ１１１Ａ、センサ１１１Ｂおよびナビゲーション装置１１１Ｃ間で伝送されるイーサネットフレームを中継する。

詳細には、車載通信装置１０１は、複数のレイヤを有する通信プロトコルに従って動作する。より詳細には、車載通信装置１０１は、Ｌ２（レイヤ２）スイッチとして機能することが可能であり、同じサブネットに属する機能部１１１間で伝送されるイーサネットフレームを中継する。

この例では、車載通信装置１０１は、自動運転ＥＣＵ１１１Ａおよびセンサ１１１Ｂ間で伝送されるイーサネットフレームを中継する。

また、車載通信装置１０１は、Ｌ３中継装置としても機能することが可能であり、異なるサブネットに属する機能部１１１間のイーサネットフレームを中継する。

この例では、車載通信装置１０１は、自動運転ＥＣＵ１１１Ａとナビゲーション装置１１１Ｃとの間で伝送されるイーサネットフレーム、およびセンサ１１１Ｂとナビゲーション装置１１１Ｃとの間で伝送されるイーサネットフレームを中継する。

より詳細には、センサ１１１Ｂは、たとえば、自己の車両１の周辺における物体を定期的にセンシングし、センシング結果を示すセンサ情報を含むＩＰパケットを作成してイーサネットフレームに格納する。

このＩＰパケットには、たとえば、送信元ＩＰアドレスおよび送信先ＩＰアドレスとして、センサ１１１ＢのＩＰアドレスおよび自動運転ＥＣＵ１１１ＡのＩＰアドレスがそれぞれ含まれる。

センサ１１１Ｂは、自己と自動運転ＥＣＵ１１１Ａとが同じサブネットに属していることから、自動運転ＥＣＵ１１１ＡのＭＡＣアドレスおよび自己のＭＡＣアドレスを、送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスとしてそれぞれイーサネットフレームに書き込む。

センサ１１１Ｂは、送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスを書き込んだイーサネットフレームを車載通信装置１０１へ送信する。

車載通信装置１０１は、センサ１１１Ｂからイーサネットフレームを受信すると、受信したイーサネットフレームに対してレイヤ２のスイッチ処理を行うことで、イーサネットフレームを自動運転ＥＣＵ１１１Ａへ送信する。

自動運転ＥＣＵ１１１Ａは、たとえば、センサ１１１Ｂから車載通信装置１０１経由で受信したイーサネットフレームからセンサ情報を取得し、取得したセンサ情報に基づいて、自己の車両１の運転の制御を行う。

また、自動運転ＥＣＵ１１１Ａは、たとえば、自己の車両１の自動運転の状況を示す状況情報を定期的にナビゲーション装置１１１Ｃへ送信する。

より詳細には、自動運転ＥＣＵ１１１Ａは、たとえば、状況情報を含むＩＰパケットを作成してイーサネットフレームに格納する。

このＩＰパケットには、たとえば、送信元ＩＰアドレスおよび送信先ＩＰアドレスとして、自動運転ＥＣＵ１１１ＡのＩＰアドレスおよびナビゲーション装置１１１ＣのＩＰアドレスがそれぞれ含まれる。

自動運転ＥＣＵ１１１Ａは、自己とナビゲーション装置１１１Ｃとが異なるサブネットに属していることから、デフォルトゲートウェイである車載通信装置１０１のＭＡＣアドレス、および自己のＭＡＣアドレスを、送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスとしてそれぞれイーサネットフレームに書き込む。

自動運転ＥＣＵ１１１Ａは、送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスを書き込んだイーサネットフレームを車載通信装置１０１へ送信する。

車載通信装置１０１は、自動運転ＥＣＵ１１１Ａからイーサネットフレームを受信すると、受信したイーサネットフレームに対してレイヤ３の中継処理を行うことで、イーサネットフレームをナビゲーション装置１１１Ｃへ送信する。

ナビゲーション装置１１１Ｃは、たとえば、自動運転ＥＣＵ１１１Ａから車載通信装置１０１経由で受信したイーサネットフレームから状況情報を取得し、取得した状況情報の示す車両１の自動運転の状況を表示装置に表示してドライバに通知する。

図３は、本発明の第１の実施の形態に係る車載通信システムにおける車載通信装置の構成を示す図である。

図３を参照して、車載通信装置１０１は、Ｌ３中継部（通信部）５１と、Ｌ２スイッチ部５２と、通信ポート５４Ａ，５４Ｂ，５４Ｃ，５４Ｄと、アドレス管理部５５とを備える。

以下、通信ポート５４Ａ，５４Ｂ，５４Ｃ，５４Ｄの各々を、通信ポート５４とも称する。通信ポート５４は、たとえば、イーサネットケーブルを接続可能な端子である。

なお、車載通信装置１０１では、４つの通信ポート５４が設けられる構成に限らず、２つ、３つまたは５つ以上の通信ポート５４が設けられる構成であってもよい。

複数の通信ポート５４は、車両１における複数の機能部にそれぞれ接続可能である。この例では、通信ポート５４Ａ，５４Ｂ，５４Ｃは、それぞれ自動運転ＥＣＵ１１１Ａ，センサ１１１Ｂ，ナビゲーション装置１１１Ｃにイーサネットケーブルを介して接続される。通信ポート５４Ｄは、たとえば、ユーザが機能部１１１を増設する場合等に用いられるポート（以下、増設用ポートとも称する。）であり、初期状態では空きポートである。

［レイヤ２のスイッチ処理］
Ｌ２スイッチ部５２およびＬ３中継部５１は、車載ネットワーク１２における機能部１１１間のデータを中継する中継処理を行う。

より詳細には、Ｌ２スイッチ部５２は、たとえば、Ｌ２スイッチＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）であり、同じサブネットに属する機能部１１１間で送受信されるイーサネットフレームを中継するレイヤ２のスイッチ処理を行う。

図４は、本発明の第１の実施の形態に係る車載通信装置におけるＬ２スイッチ部が保持するＡＲＬテーブルの一例を示す図である。

図３および図４を参照して、Ｌ２スイッチ部５２は、たとえば、通信ポート５４Ａ，５４Ｂ，５４Ｃ，５４ＤおよびＬ３中継部５１にそれぞれ接続される複数の端子を有する。各端子には、固有の論理ポート番号が割り当てられている。

この例では、Ｌ３中継部５１、通信ポート５４Ａ、通信ポート５４Ｂ、通信ポート５４Ｃおよび通信ポート５４Ｄに接続された端子の論理ポート番号は、それぞれ＃０、＃１、＃２、＃３および＃４である。

以下、＃１、＃２、＃３の論理ポート番号が割り当てられた端子を、通常端子とも称する。また、＃４の論理ポート番号が割り当てられた端子を、増設用端子とも称する。

Ｌ２スイッチ部５２は、たとえば、ＡＲＬ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｌｏｇｉｃ）テーブルを保持している。

ＡＲＬテーブルは、送信先ＭＡＣアドレスと出力先との対応関係を示す。ここで、出力先は、論理ポート番号である。

具体的には、ＡＲＬテーブルには、機能部１１１のＭＡＣアドレスと当該機能部１１１を接続先とする端子ここでは通常端子の論理ポート番号との対応関係、および自己の車載通信装置１０１のＭＡＣアドレスとＬ３中継部５１の論理ポート番号との対応関係が含まれる。

ＡＲＬテーブルにおける対応関係は、たとえば、イーサネットケーブルを介して機能部１１１が通信ポート５４に接続され、機能部１１１およびＬ２スイッチ部５２間においてリンクアップが行われる際に登録される。なお、ＡＲＬテーブルにおける対応関係は、たとえば、車載ネットワーク１２において接続関係が固定されている場合、ユーザにより予め定められてもよい。

Ｌ２スイッチ部５２は、通信ポート５４経由で機能部１１１からイーサネットフレームを受信すると、受信したイーサネットフレームに含まれる送信先ＭＡＣアドレスを参照する。

Ｌ２スイッチ部５２は、参照した送信先ＭＡＣアドレスに対応する出力先をＡＲＬテーブルから取得し、受信したイーサネットフレームを、取得した出力先へ出力する。

具体的には、Ｌ２スイッチ部５２は、たとえば、センサ１１１Ｂから自動運転ＥＣＵ１１１Ａへ伝送されるイーサネットフレームのように、同一のサブネット内で伝送されるイーサネットフレームに対しては、参照した送信先ＭＡＣアドレスに対応する論理ポート番号として、＃１〜＃３のうちのいずれか１つを取得する。

そして、Ｌ２スイッチ部５２は、機能部１１１から通信ポート５４経由で受信したイーサネットフレームを、取得した論理ポート番号の端子から他の通信ポート５４経由で他の機能部１１１へ送信する。

一方、Ｌ２スイッチ部５２は、たとえば、自動運転ＥＣＵ１１１Ａからナビゲーション装置１１１Ｃへ伝送されるイーサネットフレームのように、異なるサブネット間で伝送されるイーサネットフレームに対しては、参照した送信先ＭＡＣアドレスに対応する論理ポート番号として、＃０を取得する。

そして、Ｌ２スイッチ部５２は、機能部１１１から通信ポート５４経由で受信したイーサネットフレームをＬ３中継部５１へ出力する。

また、Ｌ２スイッチ部５２は、Ｌ３中継部５１からイーサネットフレームを受けると、受けたイーサネットフレームに含まれる送信先ＭＡＣアドレスを参照する。

Ｌ２スイッチ部５２は、参照した送信先ＭＡＣアドレスに対応する出力先をＡＲＬテーブルから取得し、Ｌ３中継部５１から受けたイーサネットフレームを、取得した出力先に対応する端子から通信ポート５４経由で機能部１１１へ送信する。

［レイヤ３の中継処理］
再び図３を参照して、Ｌ３中継部５１は、複数の機能部１１１のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いてレイヤ３の中継処理を行う。

より詳細には、Ｌ３中継部５１は、Ｌ２スイッチ部５２からイーサネットフレームを受けると、受けたイーサネットフレームの送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスを書き換えるＬ３中継処理を行う。

より詳細には、Ｌ３中継部５１は、たとえば、送信先ネットワークと送出インタフェースとの対応関係を示すルーティングテーブルを保持している。また、Ｌ３中継部５１は、たとえば、対応情報の一例であるＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）テーブルを送出インタフェースごとに保持している。

図５は、本発明の第１の実施の形態に係る車載通信装置におけるＬ３中継部が保持するＡＲＰテーブルの一例を示す図である。

図５には、たとえば、自動運転ＥＣＵ１１１Ａおよびセンサ１１１Ｂの属するサブネットのＡＲＰテーブルが示される。

ＡＲＰテーブルにおいて、「ＩＰ−Ａ」および「ＭＡＣ−Ａ」は、それぞれ自動運転ＥＣＵ１１１ＡのＩＰアドレスおよびＭＡＣアドレスである。また、「ＩＰ−Ｂ」および「ＭＡＣ−Ｂ」は、それぞれセンサ１１１ＢのＩＰアドレスおよびＭＡＣアドレスである。

Ｌ３中継部５１は、Ｌ２スイッチ部５２からイーサネットフレームを受けると、受けたイーサネットフレームに含まれるＩＰパケットから送信先ＩＰアドレスを取得し、たとえば、取得した送信先ＩＰアドレスに対してサブネットマスク計算を行うことにより送信先ネットワークを特定する。

Ｌ３中継部５１は、ルーティングテーブルを参照し、特定した送信先ネットワークに対応する送出インタフェースを特定する。

そして、Ｌ３中継部５１は、特定した送出インタフェースに対応するＡＲＰテーブルを参照し、送信先ＩＰアドレスに対応するＭＡＣアドレスを当該ＡＲＰテーブルから取得する。

Ｌ３中継部５１は、イーサネットフレームの送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスを、それぞれ取得したＭＡＣアドレス、および自己の車載通信装置１０１のＭＡＣアドレスに書き換え、書き換え後のイーサネットフレームをＬ２スイッチ部５２へ出力する。

［ＡＲＰリクエストフレーム］
図６は、本発明の第１の実施の形態に係る車載通信システムにおいて伝送されるＡＲＰリクエストフレームの一例を示す図である。

図６を参照して、ＡＲＰリクエストフレームは、ヘッダフィールドと、データフィールドと、ＣＲＣ（Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ Ｃｈｅｃｋ）フィールドとを有する。

ヘッダフィールドには、送信先ＭＡＣアドレス、送信元ＭＡＣアドレスおよびタイプが格納される。

データフィールドには、ハードウェアタイプ、プロトコルタイプ、ハードウェアアドレス長、プロトコルアドレス長、オペレーション、送信元ハードウェアアドレス、送信元プロトコルアドレス、送信先ハードウェアアドレスおよび送信先プロトコルアドレスが格納される。ＣＲＣフィールドには、ＣＲＣ値が格納される。

図３および図６を参照して、たとえば、新たな機能部１１１（以下、加入装置とも称する。）が、イーサネットケーブルを介して通信ポート５４Ｄに接続された状況を想定する。ここでは、加入装置のＩＰアドレスおよびＭＡＣアドレスは、それぞれ「ＩＰ−Ｄ」および「ＭＡＣ−Ｄ」である。「ＩＰ−Ｄ」は、たとえば、自動運転ＥＣＵ１１１Ａおよびセンサ１１１Ｂの属するサブネットのアドレス範囲に含まれる。

加入装置は、たとえば、ＩＰプロトコルに従う通信を行うためにアドレス解決を行う。具体的には、加入装置は、たとえば、デフォルトゲートウェイである車載通信装置１０１のＩＰアドレスを保持しているが、当該ＩＰアドレスに対応するＭＡＣアドレスを保持していない。加入装置は、車載通信装置１０１のＭＡＣアドレスを取得することを目的として、図６に示すＡＲＰリクエストフレームをブロードキャストする。

この場合、ＡＲＰリクエストフレームでは、各フィールドに以下の値が設定される。すなわち、ヘッダフィールドにおける送信先ＭＡＣアドレス、送信元ＭＡＣアドレスおよびタイプの設定値は、それぞれ「ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ」、「ＭＡＣ−Ｄ」および「０ｘ０８０６」である。ここで、「０ｘ」で始まる数字は、「０ｘ」以降の数字が１６進数で表されていることを意味する。

データフィールドにおけるハードウェアタイプ、プロトコルタイプ、ハードウェアアドレス長、プロトコルアドレス長およびオペレーションの設定値は、それぞれ「０ｘ０００１」、「０ｘ０８００」、「０ｘ０６」、「０ｘ０４」および「０ｘ０００１」である。

また、データフィールドにおける送信元ハードウェアアドレス、送信元プロトコルアドレス、送信先ハードウェアアドレスおよび送信先プロトコルアドレスの設定値は、それぞれ「ＭＡＣ−Ｄ」、「ＩＰ−Ｄ」、ゼロおよび車載通信装置１０１のＩＰアドレスである。

車載通信装置１０１におけるＬ２スイッチ部５２は、加入装置から通信ポート５４Ｄ経由でＡＲＰリクエストフレームを受信すると、受信したＡＲＰリクエストフレームをＬ３中継部５１へ出力する。

Ｌ３中継部５１は、Ｌ２スイッチ部５２からＡＲＰリクエストフレームを受けると、受けたＡＲＰリクエストフレームをアドレス管理部５５へ出力する。

図７は、本発明の第１の実施の形態に係る車載通信装置におけるＬ３中継部が保持するＡＲＰテーブルの一例を示す図である。

図７を参照して、アドレス管理部５５は、対応情報を作成する。詳細には、アドレス管理部５５は、たとえば、Ｌ３中継部５１を介して機能部１１１から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を対応情報に登録する。

より詳細には、アドレス管理部５５は、Ｌ３中継部５１からＡＲＰリクエストフレームを受けると、受けたＡＲＰリクエストフレームに含まれる送信先プロトコルアドレスが自己の車載通信装置１０１のＩＰアドレスであることから、当該ＡＲＰリクエストフレームが自己宛であることを認識する。

アドレス管理部５５は、ＡＲＰリクエストフレームに含まれる送信元プロトコルアドレスすなわち「ＩＰ−Ｄ」および送信元ハードウェアアドレスすなわち「ＭＡＣ−Ｄ」を、図７に示すようにＡＲＰテーブルに登録する。このようにして、ＡＲＰテーブルが作成される。

ＡＲＰテーブルにおける「ＩＰ−Ａ」および「ＭＡＣ−Ａ」、ならびに「ＩＰ−Ｂ」および「ＭＡＣ−Ｂ」もＡＲＰリクエストフレームに基づいて登録されたアドレスである。

再び図３を参照して、アドレス管理部５５は、たとえば、送信元ハードウェアアドレスおよび送信元プロトコルアドレスとして、それぞれ自己の車載通信装置１０１のＭＡＣアドレスおよびＩＰアドレスを含むＡＲＰリプライフレームを作成し、作成したＡＲＰリプライフレームをＬ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４Ｄ経由で加入装置へ送信する。

加入装置は、車載通信装置１０１からＡＲＰリプライフレームを受信すると、受信したＡＲＰリプライフレームから送信元ハードウェアアドレスを取得し、取得した送信元ハードウェアアドレスを、車載通信装置１０１のＩＰアドレスに対応するＭＡＣアドレスとして保持する。これにより、加入装置と車載通信装置１０１との間において通信接続が確立する。

［課題］
たとえば、正当な機能部１１１に成りすました新たな機能部（以下、偽機能部とも称する。）が、車載通信装置１０１に接続されることがある。

より詳細には、偽機能部は、たとえば、自動運転ＥＣＵ１１１Ａに成りすますことにより自動運転ＥＣＵ１１１Ａおよび車載通信装置１０１間の通信を妨害することを目的として、悪意を持ったユーザによって車載通信装置１０１における通信ポート５４Ｄに接続される。ここでは、偽機能部のＭＡＣアドレスは、「ＭＡＣ−Ｚ」であるとする。

偽機能部は、自動運転ＥＣＵ１１１Ａに成りすますために、たとえば、以下のＡＲＰリクエストフレームを作成する（図６参照）。

すなわち、このＡＲＰリクエストフレームでは、ヘッダフィールドにおける送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスの設定値は、それぞれ「ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ」および「ＭＡＣ−Ｚ」である。

また、データフィールドにおける送信元ハードウェアアドレスおよび送信元プロトコルアドレスは、「ＭＡＣ−Ｘ」および「ＩＰ−Ａ」である。この「ＭＡＣ−Ｘ」は、たとえば、車載通信装置１０１におけるＡＲＰテーブルに対して誤ったＭＡＣアドレスを学習させるための架空のアドレスである。

その他の設定値は、加入装置が作成したＡＲＰリクエストフレームにおける設定値と同様である。偽機能部は、作成したＡＲＰリクエストフレームをブロードキャストする。

図８は、本発明の第１の実施の形態に係る車載通信装置におけるＬ３中継部が保持するＡＲＰテーブルの一例を示す図である。

図３および図８を参照して、車載通信装置１０１におけるアドレス管理部５５は、通信ポート５４Ｄ、Ｌ２スイッチ部５２およびＬ３中継部５１経由でＡＲＰリクエストフレームを偽機能部から受信すると、受信したＡＲＰリクエストフレームに含まれる送信先プロトコルアドレスが自己の車載通信装置１０１のＩＰアドレスであることから、当該ＡＲＰリクエストフレームが自己宛であることを認識する。

たとえば、アドレス管理部５５が、ＡＲＰリクエストフレームに含まれる送信元プロトコルアドレスすなわち「ＩＰ−Ａ」および送信元ハードウェアアドレスすなわち「ＭＡＣ−Ｘ」を、図８に示すようにＡＲＰテーブルに登録してしまうと、以下の問題が発生する。

すなわち、アドレス管理部５５が対応関係を誤学習することにより、図５に示す正当なＡＲＰテーブルが、図８に示すＡＲＰテーブルに改変される。

このため、自動運転ＥＣＵ１１１Ａは、自己のＭＡＣアドレスが「ＭＡＣ−Ａ」であるにもかかわらず車載通信装置１０１におけるＡＲＰテーブルにおいて「ＭＡＣ−Ｘ」が誤登録されたため、車載ネットワーク１２において正常に通信を行うことができなくなってしまう。

また、他の例として、たとえば、車載通信装置１０１の増設用ポートに検査ツールが機能部１１１として接続される状況において、偽機能部が検査ツールの通信を妨害することがある。

より詳細には、検査ツールは、たとえば、スイッチ装置を介して車載通信装置１０１における増設用ポートに接続される。このスイッチ装置には、偽機能部も接続される。

なお、検査ツールおよび偽機能部が、スイッチ装置を介して車載通信装置１０１における増設用ポートに接続される構成に限らず、たとえば、車載通信装置１０１に複数の増設用ポートが設けられている場合、検査ツールおよび偽機能部が、それぞれ別個の増設用ポートに接続される構成であってもよい。

検査ツールは、たとえば、車載通信装置１０１および機能部１１１におけるファームウェアの更新および検査を行うために、車載通信装置１０１および機能部１１１と通信を行う。

車載通信装置１０１には、検査ツールのＩＰアドレスとＭＡＣアドレスとの対応関係が登録されている。

偽機能部は、検査ツールに成りすますために、たとえば、以下のＡＲＰリクエストフレームを作成する（図６参照）。

すなわち、このＡＲＰリクエストフレームでは、ヘッダフィールドにおける送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスの設定値は、それぞれ「ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ」および「ＭＡＣ−Ｚ」である。

また、データフィールドにおける送信元ハードウェアアドレスおよび送信元プロトコルアドレスは、「ＭＡＣ−Ｘ」および検査ツールのＩＰアドレスである。

その他の設定値は、加入装置が作成したＡＲＰリクエストフレームにおける設定値と同様である。偽機能部は、作成したＡＲＰリクエストフレームをブロードキャストする。

車載通信装置１０１では、このＡＲＰリクエストフレームによってＡＲＰテーブルが改変される。このため、検査ツールによるファームウェアの更新および検査が遮断されてしまう。

そこで、本発明の実施の形態に係る車載通信装置では、以下のような構成および動作により、このような課題を解決する。

図３を参照して、アドレス管理部５５は、たとえば、Ｌ３中継部５１を介して機能部１１１から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＭＡＣアドレスと当該フレームのヘッダフィールドに含まれる送信元ＭＡＣアドレスとが一致しない場合、以下の処理を行う。

すなわち、アドレス管理部５５は、当該データフィールドに含まれるＩＰアドレスとＭＡＣアドレスとの対応関係を対応情報に登録しない。

具体的には、アドレス管理部５５は、機能部１１１から受信したＡＲＰリクエストフレームのヘッダフィールドにおける送信元ＭＡＣアドレス、およびデータフィールドにおける送信元ハードウェアアドレスが一致するか否かを確認する。

より具体的には、アドレス管理部５５は、たとえば、偽機能部から受信したＡＲＰリクエストフレームについては、送信元ＭＡＣアドレスおよび送信元ハードウェアアドレスがそれぞれ「ＭＡＣ−Ｚ」および「ＭＡＣ−Ｘ」であることから、両アドレスが一致しないことを確認する。

この場合、アドレス管理部５５は、ＡＲＰリクエストフレームに含まれる送信元プロトコルアドレスすなわち「ＩＰ−Ａ」および送信元ハードウェアアドレスすなわち「ＭＡＣ−Ｘ」をＡＲＰテーブルに登録しない。また、アドレス管理部５５は、ＡＲＰリクエストフレームを破棄する。これにより、図５に示すＡＲＰテーブルを正当なまま維持することができる。

一方、アドレス管理部５５は、たとえば、加入装置から受信したＡＲＰリクエストフレームについては、送信元ＭＡＣアドレスおよび送信元ハードウェアアドレスがそれぞれ「ＭＡＣ−Ｄ」および「ＭＡＣ−Ｄ」であることから、両アドレスが一致することを確認する。

この場合、アドレス管理部５５は、ＡＲＰリクエストフレームに含まれる送信元プロトコルアドレスすなわち「ＩＰ−Ｄ」および送信元ハードウェアアドレスすなわち「ＭＡＣ−Ｄ」をＡＲＰテーブルに登録する。これにより、図５に示すＡＲＰテーブルは、図７に示すＡＲＰテーブルに更新され、加入装置は車載ネットワーク１２において正常に通信を行うことができる。

なお、本発明の第１の実施の形態係る車載通信装置では、アドレス管理部５５は、偽機能部からのデータフィールドに含まれるＩＰアドレスとＭＡＣアドレスとの対応関係を対応情報に登録しない構成であるとしたが、これに限定するものではない。アドレス管理部５５は、当該対応関係を対応情報から削除する構成であってもよい。

具体的には、たとえば、図８に示すように、「ＩＰ−Ａ」および「ＭＡＣ−Ｘ」の組がＡＲＰテーブルに登録されている状況において、アドレス管理部５５は、ＡＲＰリクエストフレームを偽機能部から受信すると、以下の処理を行う。

すなわち、アドレス管理部５５は、偽機能部から受信したＡＲＰリクエストフレームにおいて、送信元ＭＡＣアドレスおよび送信元ハードウェアアドレスがそれぞれ「ＭＡＣ−Ｚ」および「ＭＡＣ−Ｘ」であることから、両アドレスが一致しないことを確認する。

そして、アドレス管理部５５は、ＡＲＰリクエストフレームに含まれる送信元プロトコルアドレスすなわち「ＩＰ−Ａ」および送信元ハードウェアアドレスすなわち「ＭＡＣ−Ｘ」に基づいて、図８に示すＡＲＰテーブルから「ＩＰ−Ａ」および「ＭＡＣ−Ｘ」の組を削除する。

［動作の流れ］
車載通信システム３０１における各装置は、コンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のシーケンス図またはフローチャートの各ステップの一部または全部を含むプログラムを図示しないメモリからそれぞれ読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。

図９は、本発明の第１の実施の形態に係る車載通信システムにおける車載通信装置が、受信したＡＲＰリクエストフレームを処理する際の動作手順を定めたフローチャートである。

図９を参照して、まず、車載通信装置１０１は、ＡＲＰリクエストフレームを受信するまで、機能部１１１間のデータを中継する中継処理を行う（ステップＳ１０２でＮＯ）。

そして、車載通信装置１０１は、ＡＲＰリクエストフレームを受信すると（ステップＳ１０２でＹＥＳ）、受信したＡＲＰリクエストフレームのヘッダフィールドにおける送信元ＭＡＣアドレスとデータフィールドにおける送信元ハードウェアアドレスとを比較する（ステップＳ１０４）。

次に、車載通信装置１０１は、両アドレスが一致しない場合（ステップＳ１０６でＮＯ）、受信したＡＲＰリクエストフレームのデータフィールドにおける送信元プロトコルアドレスおよび送信元ハードウェアアドレスをＡＲＰテーブルに登録せずにＡＲＰリクエストフレームを破棄し、受信したＡＲＰリクエストフレームの処理を終了する（ステップＳ１１０）。

一方、車載通信装置１０１は、両アドレスが一致する場合（ステップＳ１０６でＹＥＳ）、受信したＡＲＰリクエストフレームのデータフィールドにおける送信元プロトコルアドレスおよび送信元ハードウェアアドレスをＡＲＰテーブルに登録する（ステップＳ１０８）。

次に、車載通信装置１０１は、新たなＡＲＰリクエストフレームを受信するまで中継処理を行う（ステップＳ１０２でＮＯ）。

なお、車載通信装置１０１は、上記ステップＳ１１０において、たとえば、受信したＡＲＰリクエストフレームのデータフィールドにおける送信元プロトコルアドレスおよび送信元ハードウェアアドレスの組がＡＲＰテーブルに登録されていた場合、ＡＲＰリクエストフレームの破棄に加えて、当該組のＡＲＰテーブルからの削除を行ってもよい。

［車載通信システム３０１の変形例］
車載通信システム３０１では、ＩＰｖ４プロトコルに従って通信が行われる構成であるとしたが、これに限定するものではない。車載通信システム３０１では、ＩＰｖ６プロトコルに従って通信が行われる構成であってもよい。

［ＮＤフレーム］
図１０は、本発明の第１の実施の形態に係る車載通信システムの変形例において伝送されるＮＤフレームの一例を示す図である。

図１０を参照して、ＮＤ（Ｎｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙ）フレームは、ヘッダフィールドと、データフィールドと、ＣＲＣフィールドとを有する。

ヘッダフィールドには、送信先ＭＡＣアドレス、送信元ＭＡＣアドレスおよびタイプが格納される。

データフィールドには、ＩＰｖ６ヘッダおよびＩＰｖ６メッセージが格納される。ＩＰｖ６ヘッダには、送信元ＩＰｖ６アドレスおよび宛先ＩＰｖ６アドレスが格納される。ＩＰｖ６メッセージには、メッセージタイプ、ターゲットＩＰｖ６アドレスおよびＬ２アドレスが格納される。ＣＲＣフィールドには、ＣＲＣ値が格納される。

メッセージタイプの設定値が１３５のＮＤフレームは、ＩＰｖ４におけるＡＲＰリクエストフレームに相当するＮＳ（Ｎｅｉｇｈｂｏｒ Ｓｏｌｉｃｉｔａｔｉｏｎ）フレームである。

また、メッセージタイプの設定値が１３６のＮＤフレームは、ＩＰｖ４におけるＡＲＰリプライフレームに相当するＮＡ（Ｎｅｉｇｈｂｏｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔ）フレームである。

［ＩＰｖ６におけるＮＤキャッシュ］
図３および図１０を参照して、たとえば、加入装置は、イーサネットケーブルを介して通信ポート５４Ｄに新たに接続された状況において、以下のＮＳフレームを作成し、作成したＮＳフレームをマルチキャストする。

すなわち、ヘッダフィールドにおける送信先ＭＡＣアドレスの設定値は、車載通信装置１０１の要請ノードマルチキャストアドレスに基づくＩＰｖ６マルチキャストのＭＡＣアドレスである。また、ヘッダフィールドにおける送信元ＭＡＣアドレスの設定値は、「ＭＡＣ−Ｄ」である。

データフィールドのＩＰｖ６ヘッダにおける送信元ＩＰｖ６アドレスおよび宛先ＩＰｖ６アドレスの設定値は、それぞれ加入装置のグローバルユニキャストアドレスである「ＩＰｖ６−Ｄ」および車載通信装置１０１の要請ノードマルチキャストアドレスである。

データフィールドのＩＰｖ６メッセージにおけるメッセージタイプ、ターゲットＩＰｖ６アドレスおよびＬ２アドレスの設定値は、それぞれ「１３５」、車載通信装置１０１のグローバルユニキャストアドレスおよび「ＭＡＣ−Ｄ」である。

図１１は、本発明の第１の実施の形態に係る車載通信システムの変形例における車載通信装置のＬ３中継部が保持するＮＤキャッシュの一例を示す図である。

図１１を参照して、Ｌ３中継部５１は、たとえば、送信先ネットワークと送出インタフェースとの対応関係を示すルーティングテーブルを保持している。また、Ｌ３中継部５１は、たとえば、対応情報の一例であるＮＤキャッシュを送出インタフェースごとに保持している。

アドレス管理部５５は、通信ポート５４Ｄ、Ｌ２スイッチ部５２およびＬ３中継部５１経由で加入装置からＮＳフレームを受信すると、受信したＮＳフレームに含まれるターゲットＩＰｖ６アドレスが自己のグローバルユニキャストアドレスであることから、当該ＮＳフレームが自己宛であることを認識する。

そして、アドレス管理部５５は、受信したＮＳフレームのヘッダフィールドにおける送信元ＭＡＣアドレス、およびデータフィールドにおけるＬ２アドレスが一致するか否かを確認する。

この場合、アドレス管理部５５は、たとえば、送信元ＭＡＣアドレスおよびＬ２アドレスがそれぞれ「ＭＡＣ−Ｄ」および「ＭＡＣ−Ｄ」であることから、両アドレスが一致することを確認する。

アドレス管理部５５は、ＮＳフレームに含まれる送信元ＩＰｖ６アドレスすなわち「ＩＰｖ６−Ｄ」およびＬ２アドレスすなわち「ＭＡＣ−Ｄ」を、図１１に示すようにＮＤキャッシュに登録する。このようにして、ＮＤキャッシュが作成される。

ＮＤキャッシュにおける「ＩＰｖ６−Ａ」および「ＭＡＣ−Ａ」、ならびに「ＩＰｖ６−Ｂ」および「ＭＡＣ−Ｂ」もＮＳフレームに基づいて登録されたアドレスである。ここで、「ＩＰｖ６−Ａ」および「ＩＰｖ６−Ｂ」は、それぞれ自動運転ＥＣＵ１１１Ａおよびセンサ１１１ＢのＩＰｖ６アドレスである。

再び図３を参照して、アドレス管理部５５は、たとえば、メッセージタイプ、ターゲットＩＰｖ６アドレスおよびＬ２アドレスとして、それぞれ「１３６」、自己の車載通信装置１０１のグローバルユニキャストアドレスおよび自己の車載通信装置１０１のＭＡＣアドレスを含むＮＡフレームを作成し、作成したＮＡフレームをＬ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４Ｄ経由で加入装置へ送信する。

加入装置は、車載通信装置１０１からＮＡフレームを受信すると、受信したＮＡフレームからＬ２アドレスを取得し、取得したＬ２アドレスを、車載通信装置１０１のＩＰｖ６アドレスに対応するＭＡＣアドレスとして保持する。これにより、加入装置と車載通信装置１０１との間において通信接続が確立する。

［ＩＰｖ６における偽装したＮＳフレーム］
偽機能部は、自動運転ＥＣＵ１１１Ａに成りすますために、たとえば、以下のＮＳフレームを作成し、作成したＮＳフレームをマルチキャストする。

すなわち、このＮＳフレームでは、ヘッダフィールドにおける送信先ＭＡＣアドレスの設定値は、車載通信装置１０１の要請ノードマルチキャストアドレスに基づくＩＰｖ６マルチキャストのＭＡＣアドレスである。また、ヘッダフィールドにおける送信元ＭＡＣアドレスの設定値は、「ＭＡＣ−Ｚ」である（図１０参照）。

また、データフィールドにおける送信元ＩＰｖ６アドレスおよびＬ２アドレスは、それぞれ「ＩＰｖ６−Ａ」および「ＭＡＣ−Ｘ」である。その他の設定値は、加入装置が作成したＮＳフレームにおける設定値と同様である。

車載通信装置１０１におけるアドレス管理部５５は、通信ポート５４Ｄ、Ｌ２スイッチ部５２およびＬ３中継部５１経由で偽機能部からＮＳフレームを受信すると、受信したＮＳフレームに含まれるターゲットＩＰｖ６アドレスが自己のグローバルユニキャストアドレスであることから、当該ＮＳフレームが自己宛であることを認識する。

そして、アドレス管理部５５は、受信したＮＳフレームのヘッダフィールドにおける送信元ＭＡＣアドレス、およびデータフィールドにおけるＬ２アドレスが一致するか否かを確認する。

この場合、アドレス管理部５５は、送信元ＭＡＣアドレスおよびＬ２アドレスがそれぞれ「ＭＡＣ−Ｚ」および「ＭＡＣ−Ｘ」であることから、両アドレスが一致しないことを確認する。

アドレス管理部５５は、ＮＳフレームに含まれる送信元ＩＰｖ６アドレスすなわち「ＩＰｖ６−Ａ」およびＬ２アドレスすなわち「ＭＡＣ−Ｘ」をＮＤキャッシュに登録しない。また、アドレス管理部５５は、ＮＳフレームを破棄する。これにより、ＮＤキャッシュを正当なまま維持することができる。

［動作の流れ］
図１２は、本発明の第１の実施の形態に係る車載通信システムの変形例における車載通信装置が、受信したＮＳフレームを処理する際の動作手順を定めたフローチャートである。

図１２を参照して、まず、車載通信装置１０１は、ＮＳフレームを受信するまで、機能部１１１間のデータを中継する中継処理を行う（ステップＳ２０２でＮＯ）。

そして、車載通信装置１０１は、ＮＳフレームを受信すると（ステップＳ２０２でＹＥＳ）、受信したＮＳフレームのヘッダフィールドにおける送信元ＭＡＣアドレスとデータフィールドにおけるＬ２アドレスとを比較する（ステップＳ２０４）。

次に、車載通信装置１０１は、両アドレスが一致しない場合（ステップＳ２０６でＮＯ）、受信したＮＳフレームのデータフィールドにおける送信元ＩＰｖ６アドレスおよびＬ２アドレスをＮＤキャッシュに登録せずにＮＳフレームを破棄し、受信したＮＳフレームの処理を終了する（ステップＳ２１０）。

一方、車載通信装置１０１は、両アドレスが一致する場合（ステップＳ２０６でＹＥＳ）、受信したＮＳフレームのデータフィールドにおける送信元ＩＰｖ６アドレスおよびＬ２アドレスをＮＤキャッシュに登録する（ステップＳ２０８）。

次に、車載通信装置１０１は、新たなＮＳフレームを受信するまで中継処理を行う（ステップＳ２０２でＮＯ）。

なお、車載通信装置１０１は、上記ステップＳ２１０において、たとえば、受信したＮＳフレームのデータフィールドにおける送信元ＩＰｖ６アドレスおよびＬ２アドレスの組がＮＤキャッシュに登録されていた場合、ＮＳフレームの破棄に加えて、当該組のＮＤキャッシュからの削除を行ってもよい。

また、本発明の第１の実施の形態に係る車載通信装置では、ＡＲＰテーブルおよびＮＤキャッシュにおいて、ＩＰアドレスおよびＭＡＣアドレスの複数の組が登録されるケースについて例示したが、これに限定するものではない。車載ネットワークにおける接続関係に応じて、ＡＲＰテーブルおよびＮＤキャッシュにおいて１つの上記組が登録されるケースがあってもよい。

ところで、特許文献１に記載の車載ネットワークでは、車載制御装置からのデータを中継する通信ゲートウェイが設けられる。

たとえば、通信ゲートウェイがレイヤ３の中継処理を行う場合、車載制御装置のＩＰアドレスおよびＭＡＣアドレスの対応関係を示す対応情報が用いられる。この対応情報が不正に改ざんされると、車載制御装置からのデータが適切に中継されなくなるため、車載ネットワークにおける通信が正常に行われなくなる。

これに対して、本発明の第１の実施の形態に係る車載通信装置は、車載ネットワークにおける機能部１１１間のデータを中継する中継処理を行う。Ｌ３中継部５１は、１または複数の機能部１１１のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて中継処理を行う。アドレス管理部５５は、対応情報を作成する。アドレス管理部５５は、Ｌ３中継部５１を介して機能部１１１から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を対応情報に登録する。そして、アドレス管理部５５は、当該送信元ＭＡＣアドレスと当該フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、当該対応関係を対応情報に登録しないかまたは対応情報から削除する。

データフィールドに含まれる送信元ＭＡＣアドレスとヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、不正なフレームである可能性が高い。上記の構成により、不正なフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの誤った対応関係が対応情報に登録され続けることを防ぐことができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。これにより、機能部１１１からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。

次に、本発明の他の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。

＜第２の実施の形態＞
本実施の形態は、第１の実施の形態に係る車載通信装置と比べて、機能部の認証を行う車載通信装置に関する。以下で説明する内容以外は第１の実施の形態に係る車載通信装置と同様である。

本発明の第２の実施の形態に係る車載通信システムでは、ＩＰｖ４プロトコルに従って通信が行われる。

［課題］
ＩＰｖ４プロトコルに従う車載ネットワーク１２では、偽機能部は、ヘッダフィールドにおける送信元ＭＡＣアドレスおよびデータフィールドにおける送信元ハードウェアアドレスを同じアドレスに設定したＡＲＰリクエストフレームを作成することがある（図６参照）。

このようなＡＲＰリクエストフレームに対しては、送信元ＭＡＣアドレスおよび送信元ハードウェアアドレスが一致するか否かに基づいて、ＡＲＰテーブルに誤学習させるためのＡＲＰリクエストフレームを検知することが困難である。

図１３は、本発明の第２の実施の形態に係る車載通信システムにおける車載通信装置の構成を示す図である。

図１３を参照して、車載通信装置１０２は、Ｌ３中継部（通信部）５１と、Ｌ２スイッチ部５２と、認証部５３と、通信ポート５４Ａ，５４Ｂ，５４Ｃ，５４Ｄと、アドレス管理部６５とを備える。

車載通信装置１０２におけるＬ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４の動作は、図３に示す車載通信装置１０１におけるＬ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４とそれぞれ同様である。

なお、車載通信装置１０２では、４つの通信ポート５４が設けられる構成に限らず、２つ、３つまたは５つ以上の通信ポート５４が設けられる構成であってもよい。

［加入装置からのＡＲＰリクエストフレーム］
たとえば、加入装置が、イーサネットケーブルを介して通信ポート５４Ｄに新たに接続された状況を想定する。ここでは、加入装置のＩＰアドレスおよびＭＡＣアドレスは、それぞれ「ＩＰ−Ｄ」および「ＭＡＣ−Ｄ」である。

加入装置は、車載通信装置１０２のＭＡＣアドレスを取得することを目的として、図６に示すＡＲＰリクエストフレームをブロードキャストする。

この場合、ＡＲＰリクエストフレームでは、各フィールドに以下の値が設定される。すなわち、ヘッダフィールドにおける送信先ＭＡＣアドレス、送信元ＭＡＣアドレスおよびタイプの設定値は、それぞれ「ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ」、「ＭＡＣ−Ｄ」および「０ｘ０８０６」である。

データフィールドにおける送信元ハードウェアアドレス、送信元プロトコルアドレス、送信先ハードウェアアドレスおよび送信先プロトコルアドレスの設定値は、それぞれ「ＭＡＣ−Ｄ」、「ＩＰ−Ｄ」、ゼロおよび車載通信装置１０２のＩＰアドレスである。

車載通信装置１０２におけるアドレス管理部６５は、通信ポート５４Ｄ、Ｌ２スイッチ部５２およびＬ３中継部５１経由でＡＲＰリクエストフレームを加入装置から受信すると、受信したＡＲＰリクエストフレームに含まれる送信先プロトコルアドレスが自己の車載通信装置１０２のＩＰアドレスであることから、当該ＡＲＰリクエストフレームが自己宛であることを認識する。

アドレス管理部６５は、ＡＲＰリクエストフレームに含まれる送信元プロトコルアドレスすなわち「ＩＰ−Ｄ」および送信元ハードウェアアドレスすなわち「ＭＡＣ−Ｄ」をＡＲＰテーブルに登録する（図７参照）。

アドレス管理部６５は、送信元ハードウェアアドレスおよび送信元プロトコルアドレスとして、それぞれ自己の車載通信装置１０２のＭＡＣアドレスおよびＩＰアドレスを含むＡＲＰリプライフレームを作成し、作成したＡＲＰリプライフレームをＬ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４Ｄ経由で加入装置へ送信する。

また、アドレス管理部６５は、ＡＲＰテーブルに新たに登録したＩＰアドレスおよびＭＡＣアドレスの組すなわち「ＩＰ−Ｄ」および「ＭＡＣ−Ｄ」の組を示す登録アドレス情報を認証部５３へ出力する。

認証部５３は、機能部１１１に対する認証処理を行う。詳細には、認証部５３は、アドレス管理部６５によって対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された機能部１１１に対して認証処理を行う。

より詳細には、認証部５３は、アドレス管理部６５から登録アドレス情報を受けると、受けた登録アドレス情報の示す「ＩＰ−Ｄ」および「ＭＡＣ−Ｄ」を宛先に用いて、認証用のＩＰパケットを作成する。

認証部５３は、Ｌ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４Ｄを介して加入装置と認証用のＩＰパケットをやり取りすることにより加入装置の認証を試みる。

ここでは、認証部５３は、加入装置の認証に成功し、加入装置からのＩＰパケット、および加入装置宛のＩＰパケットに対するＬ３中継処理の許可をＬ３中継部５１に与える。これにより、加入装置と車載通信装置１０２との間においてセキュリティを保ちながらＩＰパケットの送受信が行われる。また、認証部５３は、認証結果をアドレス管理部６５へ通知する。

アドレス管理部６５は、たとえば、新たに登録された機能部１１１の認証処理が成功した後、所定条件Ｃ１を満たすまで新たに登録した対応関係の書き換えを不可とする。ここで、所定条件Ｃ１は、たとえば、新たに登録された機能部１１１の通信が所定時間Ｔ１以上途絶えたことである。

より詳細には、アドレス管理部６５は、認証が成功した旨の通知を認証部５３から受けると、たとえば、登録アドレス情報の示す「ＩＰ−Ｄ」および「ＭＡＣ−Ｄ」の組がＡＲＰテーブル（図７参照）に登録されたタイミングから所定時間Ｔ１が経過するタイミングまでの当該組の書き替え不可期間を設定する。

また、アドレス管理部６５は、ＡＲＰテーブルにおける「ＩＰ−Ｄ」および「ＭＡＣ−Ｄ」の組のＬ３中継部５１による使用を監視する。

アドレス管理部６５は、Ｌ３中継部５１が「ＩＰ−Ｄ」および「ＭＡＣ−Ｄ」の組を使用すると、書き替え不可期間の終了タイミングを、Ｌ３中継部５１が使用したタイミングから所定時間Ｔ１経過後のタイミングに延長する。

アドレス管理部６５は、書き替え不可期間が終了するまで「ＩＰ−Ｄ」および「ＭＡＣ−Ｄ」の組の書き換えを許可せず、書き替え不可期間が終了すると、「ＩＰ−Ｄ」および「ＭＡＣ−Ｄ」の組の書き換えを許可する。

［偽機能部からのＡＲＰリクエストフレーム］
偽機能部は、たとえば、自動運転ＥＣＵ１１１Ａに成りすますことにより自動運転ＥＣＵ１１１Ａおよび車載通信装置１０２間の通信を妨害することを目的として、悪意を持ったユーザによって車載通信装置１０２における通信ポート５４Ｄに接続される。ここでは、偽機能部のＭＡＣアドレスは、「ＭＡＣ−Ｘ」であるとする。

偽機能部は、自動運転ＥＣＵ１１１Ａに成りすますために、たとえば、以下のＡＲＰリクエストフレームを作成する（図６参照）。

すなわち、このＡＲＰリクエストフレームでは、ヘッダフィールドにおける送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスの設定値は、それぞれ「ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ」および「ＭＡＣ−Ｘ」である。

また、データフィールドにおける送信元ハードウェアアドレスおよび送信元プロトコルアドレスの設定値は、それぞれ「ＭＡＣ−Ｘ」および「ＩＰ−Ａ」である。

その他の設定値は、加入装置が作成したＡＲＰリクエストフレームにおける設定値と同様である。偽機能部は、作成したＡＲＰリクエストフレームをブロードキャストする。

車載通信装置１０２におけるアドレス管理部６５は、通信ポート５４Ｄ、Ｌ２スイッチ部５２およびＬ３中継部５１経由でＡＲＰリクエストフレームを偽機能部から受信すると、受信したＡＲＰリクエストフレームに含まれる送信先プロトコルアドレスが自己の車載通信装置１０２のＩＰアドレスであることから、当該ＡＲＰリクエストフレームが自己宛であることを認識する。

アドレス管理部６５は、受信したＡＲＰリクエストフレームに基づいて、送信元プロトコルアドレスすなわち「ＩＰ−Ａ」および送信元ハードウェアアドレスすなわち「ＭＡＣ−Ｘ」をＡＲＰテーブルに登録する（図８参照）。

また、アドレス管理部６５は、ＡＲＰテーブルに新たに登録したＩＰアドレスおよびＭＡＣアドレスの組すなわち「ＩＰ−Ａ」および「ＭＡＣ−Ｘ」の組を示す登録アドレス情報を認証部５３へ出力する。

認証部５３は、アドレス管理部６５から登録アドレス情報を受けると、受けた登録アドレス情報の示す「ＩＰ−Ａ」および「ＭＡＣ−Ｘ」を宛先に用いて、認証用のＩＰパケットを作成する。

認証部５３は、Ｌ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４Ｄを介して認証用のＩＰパケットを偽機能部へ送信し、偽機能部と認証用のＩＰパケットをやり取りすることにより加入装置の認証を試みる。

ここでは、偽機能部が正当な機能部１１１ではないため、認証部５３は、偽機能部の認証に失敗し、認証が失敗した旨をアドレス管理部６５へ通知する。

アドレス管理部６５は、新たに登録された機能部１１１の認証処理が成功しなかった場合、機能部１１１の対応関係を対応情報から削除する。

より詳細には、アドレス管理部６５は、認証が失敗した旨の通知を認証部５３から受けると、図８に示すＡＲＰテーブルから「ＩＰ−Ａ」および「ＭＡＣ−Ｘ」の組を削除する。

たとえば、ＡＲＰテーブルから上記組が削除された後、Ｌ３中継部５１は、ナビゲーション装置１１１Ｃから自動運転ＥＣＵ１１１Ａへ伝送されるイーサネットフレームをＬ２スイッチ部５２から受けると、自動運転ＥＣＵ１１１ＡのＩＰアドレスすなわち「ＩＰ−Ａ」がＡＲＰテーブルに含まれないため、「ＩＰ−Ａ」のアドレス解決をアドレス管理部６５へ要求する。

アドレス管理部６５は、Ｌ３中継部５１からのアドレス解決の要求に応じてＡＲＰリクエストフレームをＬ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４経由でブロードキャストする。

そして、アドレス管理部６５は、通信ポート５４Ａ、Ｌ２スイッチ部５２およびＬ３中継部５１経由で自動運転ＥＣＵ１１１Ａから受信した、ＡＲＰリクエストフレームの応答であるＡＲＰリプライフレームに基づいて、「ＩＰ−Ａ」および「ＭＡＣ−Ａ」をＡＲＰテーブルに登録する（図５参照）。このようにして、誤学習したＡＲＰテーブルが正しいＡＲＰテーブルに再生される。

［動作の流れ］
図１４は、本発明の第２の実施の形態に係る車載通信システムにおける車載通信装置が、受信したＡＲＰリクエストフレームを処理する際の動作手順を定めたフローチャートである。

図１４を参照して、まず、車載通信装置１０２は、ＡＲＰリクエストフレームを受信するまで、機能部１１１間のデータを中継する中継処理を行う（ステップＳ３０２でＮＯ）。

そして、車載通信装置１０２は、ＡＲＰリクエストフレームを受信すると（ステップＳ３０２でＹＥＳ）、受信したＡＲＰリクエストフレームのデータフィールドにおける送信元プロトコルアドレスおよび送信元ハードウェアアドレスの組をＡＲＰテーブルに登録する（ステップＳ３０４）。

次に、車載通信装置１０２は、登録した組を用いて、ＡＲＰリクエストフレームを送信した装置と認証用のＩＰパケットをやり取りすることにより当該装置の認証を試みる（ステップＳ３０６）。

次に、車載通信装置１０２は、ＡＲＰリクエストフレームを送信した装置の認証に失敗した場合（ステップＳ３０８でＮＯ）、登録した組をＡＲＰテーブルから削除し、当該装置からのＩＰパケット、および当該装置宛のＩＰパケットに対するＬ３中継処理を許可しない（ステップＳ３１２）。

一方、車載通信装置１０２は、ＡＲＰリクエストフレームを送信した装置の認証に成功した場合（ステップＳ３０８でＹＥＳ）、当該装置からのＩＰパケット、および当該装置宛のＩＰパケットに対するＬ３中継処理を許可する（ステップＳ３１０）。

次に、車載通信装置１０２は、新たなＡＲＰリクエストフレームを受信するまで中継処理を行う（ステップＳ３０２でＮＯ）。

図１５は、本発明の第２の実施の形態に係る車載通信システムにおける車載通信装置が、書き替え不可期間を設定する際の動作手順を定めたフローチャートである。

図１５を参照して、車載通信装置１０２は、ＡＲＰリクエストフレームを送信した装置の認証に成功し、当該装置からのＩＰパケット、および当該装置宛のＩＰパケットに対するＬ３中継処理を許可した場合に、組を登録したタイミングから所定時間Ｔ１が経過するタイミングまでの当該組の書き替え不可期間を設定する（ステップＳ４０２）。

次に、車載通信装置１０２は、設定した書き替え不可期間が終了するまでに（ステップＳ４０８でＮＯ）、登録した組が使用されると（ステップＳ４０４でＹＥＳ）、書き替え不可期間の終了タイミングを、使用したタイミングから所定時間Ｔ１経過後のタイミングに延長する（ステップＳ４０６）。

一方、車載通信装置１０２は、設定した書き替え不可期間が終了すると（ステップＳ４０８でＹＥＳ）、登録した組の書き換えを許可する（ステップＳ４１０）。

［車載通信システム３０１の変形例］
本発明の第２の実施の形態に係る車載通信システムでは、ＩＰｖ４プロトコルに従って通信が行われる構成であるとしたが、これに限定するものではない。本発明の第２の実施の形態に係る車載通信システムでは、ＩＰｖ６プロトコルに従って通信が行われる構成であってもよい。

［課題］
ＩＰｖ６プロトコルに従う車載ネットワーク１２では、偽機能部は、ヘッダフィールドにおける送信元ＭＡＣアドレスおよびデータフィールドにおけるＬ２アドレスを同じアドレスに設定したＮＳフレームを作成することがある（図１０参照）。

このようなＮＳフレームに対しては、送信元ＭＡＣアドレスおよびＬ２アドレスが一致するか否かに基づいて、ＮＤキャッシュに誤学習させるためのＮＳフレームを検知することが困難である。

［加入装置からのＮＳフレーム］
たとえば、加入装置が、イーサネットケーブルを介して通信ポート５４Ｄに新たに接続された状況を想定する。ここでは、加入装置のＩＰアドレスおよびＭＡＣアドレスは、それぞれ「ＩＰｖ６−Ｄ」および「ＭＡＣ−Ｄ」である。

加入装置は、車載通信装置１０２のＭＡＣアドレスを取得することを目的として、図１０に示すＮＳフレームをマルチキャストする。

この場合、ＮＳフレームでは、各フィールドに以下の値が設定される。すなわち、ヘッダフィールドにおける送信先ＭＡＣアドレスの設定値は、車載通信装置１０２の要請ノードマルチキャストアドレスに基づくＩＰｖ６マルチキャストのＭＡＣアドレスである。また、ヘッダフィールドにおける送信元ＭＡＣアドレスの設定値は、「ＭＡＣ−Ｄ」である。

データフィールドのＩＰｖ６ヘッダにおける送信元ＩＰｖ６アドレスおよび宛先ＩＰｖ６アドレスの設定値は、それぞれ加入装置のグローバルユニキャストアドレスである「ＩＰｖ６−Ｄ」および車載通信装置１０２の要請ノードマルチキャストアドレスである。

データフィールドのＩＰｖ６メッセージにおけるメッセージタイプ、ターゲットＩＰｖ６アドレスおよびＬ２アドレスの設定値は、それぞれ「１３５」、車載通信装置１０２のグローバルユニキャストアドレスおよび「ＭＡＣ−Ｄ」である。

車載通信装置１０２におけるアドレス管理部６５は、通信ポート５４Ｄ、Ｌ２スイッチ部５２およびＬ３中継部５１経由でＮＳフレームを加入装置から受信すると、受信したＮＳフレームに含まれるターゲットＩＰｖ６アドレスが自己のグローバルユニキャストアドレスであることから、当該ＮＳフレームが自己宛であることを認識する。

アドレス管理部６５は、ＮＳフレームに含まれる送信元ＩＰｖ６アドレスすなわち「ＩＰｖ６−Ｄ」およびＬ２アドレスすなわち「ＭＡＣ−Ｄ」をＮＤキャッシュに登録する（図１１参照）。

アドレス管理部６５は、たとえば、メッセージタイプ、ターゲットＩＰｖ６アドレスおよびＬ２アドレスとして、それぞれ「１３６」、自己の車載通信装置１０２のグローバルユニキャストアドレスおよび自己の車載通信装置１０２のＭＡＣアドレスを含むＮＡフレームを作成し、作成したＮＡフレームをＬ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４Ｄ経由で加入装置へ送信する。

また、アドレス管理部６５は、ＮＤキャッシュに新たに登録したＩＰアドレスおよびＭＡＣアドレスの組すなわち「ＩＰｖ６−Ｄ」および「ＭＡＣ−Ｄ」の組を示す登録アドレス情報を認証部５３へ出力する。

認証部５３は、アドレス管理部６５から登録アドレス情報を受けると、受けた登録アドレス情報の示す「ＩＰｖ６−Ｄ」および「ＭＡＣ−Ｄ」を宛先に用いて、認証用のＩＰパケットを作成する。

認証部５３は、Ｌ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４Ｄを介して加入装置と認証用のＩＰパケットをやり取りすることにより加入装置の認証を試みる。

ここでは、認証部５３は、加入装置の認証に成功し、加入装置からのＩＰパケット、および加入装置宛のＩＰパケットに対するＬ３中継処理の許可をＬ３中継部５１に与えるとともに、認証結果をアドレス管理部６５へ通知する。

アドレス管理部６５は、認証が成功した旨の通知を認証部５３から受けると、登録アドレス情報の示す「ＩＰｖ６−Ｄ」および「ＭＡＣ−Ｄ」の組がＮＤキャッシュ（図１１参照）に登録されたタイミングから所定時間Ｔ１が経過するタイミングまでの当該組の書き替え不可期間を設定する。

また、アドレス管理部６５は、Ｌ３中継部５１が「ＩＰｖ６−Ｄ」および「ＭＡＣ−Ｄ」の組を使用すると、書き替え不可期間の終了タイミングを、Ｌ３中継部５１が使用したタイミングから所定時間Ｔ１経過後のタイミングに延長する。

［偽機能部からのＮＳフレーム］
偽機能部は、たとえば、自動運転ＥＣＵ１１１Ａに成りすますことにより自動運転ＥＣＵ１１１Ａおよび車載通信装置１０２間の通信を妨害することを目的として、悪意を持ったユーザによって車載通信装置１０２における通信ポート５４Ｄに接続される。ここでは、偽機能部のＭＡＣアドレスは、「ＭＡＣ−Ｘ」であるとする。

偽機能部は、自動運転ＥＣＵ１１１Ａに成りすますために、たとえば、以下のＮＳフレームを作成する（図１０参照）。

すなわち、このＮＳフレームでは、ヘッダフィールドにおける送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスの設定値は、それぞれ、車載通信装置１０２の要請ノードマルチキャストアドレスに基づくＩＰｖ６マルチキャストのＭＡＣアドレス、および「ＭＡＣ−Ｘ」である。

また、データフィールドにおける送信元ＩＰｖ６アドレスおよびＬ２アドレスの設定値は、それぞれ「ＩＰｖ６−Ａ」および「ＭＡＣ−Ｘ」である。

その他の設定値は、加入装置が作成したＮＳフレームにおける設定値と同様である。偽機能部は、作成したＮＳフレームをマルチキャストする。

図１６は、本発明の第２の実施の形態に係る車載通信装置におけるＬ３中継部が保持するＮＤキャッシュの一例を示す図である。

図１３および図１６を参照して、車載通信装置１０２におけるアドレス管理部６５は、通信ポート５４Ｄ、Ｌ２スイッチ部５２およびＬ３中継部５１経由でＮＳフレームを偽機能部から受信すると、受信したＮＳフレームに含まれるターゲットＩＰｖ６アドレスが自己のグローバルユニキャストアドレスであることから、当該ＮＳフレームが自己宛であることを認識する。

アドレス管理部６５は、受信したＮＳフレームに基づいて、送信元ＩＰｖ６アドレスすなわち「ＩＰｖ６−Ａ」およびＬ２アドレスすなわち「ＭＡＣ−Ｘ」を、図１６に示すようにＮＤキャッシュに登録する。

また、アドレス管理部６５は、ＮＤキャッシュに新たに登録したＩＰアドレスおよびＭＡＣアドレスの組すなわち「ＩＰｖ６−Ａ」および「ＭＡＣ−Ｘ」の組を示す登録アドレス情報を認証部５３へ出力する。

ここでは、認証部５３は、アドレス管理部６５から受けた「ＩＰｖ６−Ａ」および「ＭＡＣ−Ｘ」を宛先に用いて偽機能部の認証を試みるが、偽機能部が正当な機能部１１１ではないため偽機能部の認証に失敗し、認証が失敗した旨をアドレス管理部６５へ通知する。

アドレス管理部６５は、認証が失敗した旨の通知を認証部５３から受けると、図１６に示すＮＤキャッシュから「ＩＰｖ６−Ａ」および「ＭＡＣ−Ｘ」の組を削除する。

「ＩＰｖ６−Ａ」および「ＭＡＣ−Ｘ」の組がＮＤキャッシュから削除された後、上述したように「ＩＰｖ６−Ａ」および「ＭＡＣ−Ａ」の正しい組がＮＤキャッシュに登録されるので、誤学習したＮＤキャッシュが正しいＮＤキャッシュに再生される。

［動作の流れ］
図１７は、本発明の第２の実施の形態に係る車載通信システムの変形例における車載通信装置が、受信したＮＳフレームを処理する際の動作手順を定めたフローチャートである。

図１７を参照して、まず、車載通信装置１０２は、ＮＳフレームを受信するまで、機能部１１１間のデータを中継する中継処理を行う（ステップＳ５０２でＮＯ）。

そして、車載通信装置１０２は、ＮＳフレームを受信すると（ステップＳ５０２でＹＥＳ）、受信したＮＳフレームのデータフィールドにおける送信元ＩＰｖ６アドレスおよびＬ２アドレスの組をＮＤキャッシュに登録する（ステップＳ５０４）。

次に、車載通信装置１０２は、登録した組を用いて、ＮＳフレームを送信した装置と認証用のＩＰパケットをやり取りすることにより当該装置の認証を試みる（ステップＳ５０６）。

次に、車載通信装置１０２は、ＮＳフレームを送信した装置の認証に失敗した場合（ステップＳ５０８でＮＯ）、登録した組をＮＤキャッシュから削除し、当該装置からのＩＰパケット、および当該装置宛のＩＰパケットに対するＬ３中継処理を許可しない（ステップＳ５１２）。

一方、車載通信装置１０２は、ＮＳフレームを送信した装置の認証に成功した場合（ステップＳ５０８でＹＥＳ）、当該装置からのＩＰパケット、および当該装置宛のＩＰパケットに対するＬ３中継処理を許可する（ステップＳ５１０）。

次に、車載通信装置１０２は、新たなＮＳフレームを受信するまで中継処理を行う（ステップＳ５０２でＮＯ）。

なお、車載通信装置１０２は、上記ステップＳ５１０において、ＮＳフレームを送信した装置からのＩＰパケット、および当該装置宛のＩＰパケットに対するＬ３中継処理を許可した場合、図１５に示す動作の流れに従って書き替え不可期間を設定する。

また、本発明の第２の実施の形態に係る車載通信装置では、アドレス管理部６５は、新たに登録された機能部１１１の認証処理が成功した後、所定条件Ｃ１を満たすまで新たに登録した対応関係の書き換えを不可とする構成であるとしたが、これに限定するものではない。アドレス管理部６５は、認証処理が成功した後でも、登録した対応関係の書き換えを可とする構成であってもよい。

また、本発明の第２の実施の形態に係る車載通信装置では、所定条件Ｃ１は、新たに登録された機能部１１１の通信が所定時間Ｔ１以上途絶えたことであるとしたが、これに限定するものではない。所定条件Ｃ１は、たとえば、新たに登録された機能部１１１の認証処理が成功してから所定時間Ｔ２経過すること等の他の条件であってもよい。

以上のように、本発明の第２の実施の形態に係る車載通信装置は、車載ネットワークにおける機能部１１１間のデータを中継する中継処理を行う。Ｌ３中継部５１は、１または複数の機能部１１１のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて中継処理を行う。アドレス管理部６５は、対応情報を作成する。認証部５３は、機能部１１１に対する認証処理を行う。機能部１１１は、アドレス管理部６５によって対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された機能部１１１に対して認証処理を行う。そして、アドレス管理部６５は、新たに登録された機能部１１１の認証処理が成功しなかった場合、当該機能部１１１の対応関係を対応情報から削除する。

新たに登録された機能部１１１との認証処理が成功しなかった場合、当該機能部１１１は不正な機能部１１１であると考えられる。上記の構成により、たとえば、不正な機能部１１１が正当な機能部１１１に成りすまし、誤った対応関係が対応情報に登録された場合においても、誤った対応関係を対応情報から削除することができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。これにより、機能部１１１からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。

また、本発明の第２の実施の形態に係る車載通信装置では、アドレス管理部６５は、新たに登録された機能部１１１の認証処理が成功した後、所定条件Ｃ１を満たすまで新たに登録した対応関係の書き換えを不可とする。

新たに登録された機能部１１１との認証処理が成功した場合、当該機能部１１１は正当な機能部１１１であると考えられる。上記の構成により、新たに登録された正しい対応関係を、所定条件Ｃ１を満たすまで保護することができるので、少なくとも所定条件Ｃ１が満たされるまで正しい対応関係を用いた中継処理を継続することができる。

また、本発明の第２の実施の形態に係る車載通信装置では、所定条件Ｃ１は、新たに登録された機能部１１１の通信が所定時間Ｔ１以上途絶えたことである。

このような構成により、新たに登録された正当な機能部１１１との通信が継続している間、正しい対応関係を用いて、正当な機能部１１１のデータの中継処理を継続することができる。

また、本発明の第２の実施の形態に係る車載通信装置は、車載ネットワークにおける機能部１１１間のデータを中継する中継処理を行う。Ｌ３中継部５１は、１または複数の機能部１１１のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて中継処理を行う。アドレス管理部６５は、対応情報を作成する。認証部５３は、機能部１１１に対する認証処理を行う。機能部１１１は、アドレス管理部６５によって対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された機能部１１１に対して認証処理を行う。そして、アドレス管理部６５は、新たに登録された機能部１１１の認証処理が成功した後、所定条件Ｃ１を満たすまで新たに登録した対応関係の書き換えを不可とする。

新たに登録された機能部１１１との認証処理が成功した場合、当該機能部１１１は正当な機能部１１１であると考えられる。上記の構成により、新たに登録された正しい対応関係を、所定条件Ｃ１を満たすまで保護することができるので、少なくとも所定条件Ｃ１が満たされるまで正しい対応関係を用いた中継処理を継続することができる。これにより、機能部１１１からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。

その他の構成および動作は第１の実施の形態に係る車載通信装置と同様であるため、ここでは詳細な説明を繰り返さない。

なお、本発明の第１の実施の形態および第２の実施の形態に係る各装置の構成要素および動作のうち、一部または全部を適宜組み合わせることも可能である。

具体的には、本発明の第２の実施の形態に係る車載通信装置では、アドレス管理部６５は、Ｌ３中継部５１を介して機能部１１１から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を対応情報に登録する。そして、アドレス管理部６５は、当該送信元ＭＡＣアドレスと当該フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、当該対応関係を対応情報に登録しないかまたは対応情報から削除する。

データフィールドに含まれる送信元ＭＡＣアドレスとヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、不正なフレームである可能性が高い。上記の構成により、不正なフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの誤った対応関係が対応情報に登録され続けることを防ぐことができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。

上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

以上の説明は、以下に付記する特徴を含む。

［付記１］
車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、
１または複数の前記機能部のＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスとＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、
前記対応情報を作成するアドレス管理部と、
前記機能部に対する認証処理を行う認証部とを備え、
前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、
前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除し、
前記機能部は、自動運転ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）、センサ、ナビゲーション装置、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｕｎｉｔ）、ヒューマンマシンインタフェースまたはカメラであり、
前記車載通信装置は、車載ゲートウェイ装置であり、
前記対応情報は、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）テーブルまたはＮＤ（Ｎｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙ）キャッシュであり、
前記通信部は、ＩＰｖ４プロトコルに従って、前記ＡＲＰテーブルを用いて前記中継処理を行うか、またはＩＰｖ６プロトコルに従って、前記ＮＤキャッシュを用いて前記中継処理を行う、車載通信装置。

［付記２］
車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、
１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、
前記対応情報を作成するアドレス管理部とを備え、
前記アドレス管理部は、前記通信部を介して前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、
前記アドレス管理部は、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除し、
前記機能部は、自動運転ＥＣＵ、センサ、ナビゲーション装置、ＴＣＵ、ヒューマンマシンインタフェースまたはカメラであり、
前記車載通信装置は、車載ゲートウェイ装置であり、
前記対応情報は、ＡＲＰテーブルまたはＮＤキャッシュであり、
前記通信部は、ＩＰｖ４プロトコルに従って、前記ＡＲＰテーブルを用いて前記中継処理を行うか、またはＩＰｖ６プロトコルに従って、前記ＮＤキャッシュを用いて前記中継処理を行い、
前記アドレス管理部は、前記ＩＰｖ４プロトコルに従って、前記通信部を介して前記機能部から受信したＡＲＰリクエストフレームのデータフィールドに含まれる送信元プロトコルアドレスと送信元ハードウェアアドレスとの対応関係を前記対応情報に登録するか、または前記ＩＰｖ６プロトコルに従って、前記通信部を介して前記機能部から受信したＮＳ（Ｎｅｉｇｈｂｏｒ Ｓｏｌｉｃｉｔａｔｉｏｎ）フレームのデータフィールドに含まれる送信元ＩＰｖ６アドレスとＬ２（レイヤ２）アドレスとの対応関係を前記対応情報に登録し、
前記アドレス管理部は、前記送信元ハードウェアアドレスまたは前記Ｌ２アドレスと前記ヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除する、車載通信装置。

［付記３］
車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、
１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、
前記対応情報を作成するアドレス管理部と、
前記機能部に対する認証処理を行う認証部とを備え、
前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、
前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とし、
前記機能部は、自動運転ＥＣＵ、センサ、ナビゲーション装置、ＴＣＵ、ヒューマンマシンインタフェースまたはカメラであり、
前記車載通信装置は、車載ゲートウェイ装置であり、
前記対応情報は、ＡＲＰテーブルまたはＮＤキャッシュであり、
前記通信部は、ＩＰｖ４プロトコルに従って、前記ＡＲＰテーブルを用いて前記中継処理を行うか、またはＩＰｖ６プロトコルに従って、前記ＮＤキャッシュを用いて前記中継処理を行う、車載通信装置。

１ 車両
１２ 車載ネットワーク
５１ Ｌ３中継部（通信部）
５２ Ｌ２スイッチ部
５３ 認証部
５４ 通信ポート
５５，６５ アドレス管理部
１０１，１０２ 車載通信装置
１１１ 機能部
３０１ 車載通信システム

Claims (12)

1. 車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、
   １または複数の前記機能部のＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスとＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、
   前記対応情報を作成するアドレス管理部と、
   前記機能部に対する認証処理を行う認証部とを備え、
   前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、
   前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除する、車載通信装置。
2. 前記アドレス管理部は、前記通信部を介して前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、
   前記アドレス管理部は、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除する、請求項１に記載の車載通信装置。
3. 前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とする、請求項１または請求項２に記載の車載通信装置。
4. 前記所定条件は、新たに登録された前記機能部の通信が所定時間以上途絶えたことである、請求項３に記載の車載通信装置。
5. 車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、
   １または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、
   前記対応情報を作成するアドレス管理部とを備え、
   前記アドレス管理部は、前記通信部を介して前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、
   前記アドレス管理部は、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除する、車載通信装置。
6. 車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、
   １または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、
   前記対応情報を作成するアドレス管理部と、
   前記機能部に対する認証処理を行う認証部とを備え、
   前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、
   前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とする、車載通信装置。
7. 車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置における通信制御方法であって、
   １または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行うステップと、
   前記対応情報を作成するステップと、
   前記機能部に対する認証処理を行うステップとを含み、
   前記対応情報を作成するステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録し、
   前記認証処理を行うステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録した前記機能部に対して認証処理を行い、
   前記通信制御方法は、さらに、
   新たに登録した前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除するステップを含む、通信制御方法。
8. 車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置における通信制御方法であって、
   １または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行うステップと、
   前記対応情報を作成するステップとを含み、
   前記対応情報を作成するステップにおいては、前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、
   前記通信制御方法は、さらに、
   前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除するステップを含む、通信制御方法。
9. 車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置における通信制御方法であって、
   １または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行うステップと、
   前記対応情報を作成するステップと、
   前記機能部に対する認証処理を行うステップとを含み、
   前記対応情報を作成するステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録し、
   前記認証処理を行うステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録した前記機能部に対して認証処理を行い、
   前記通信制御方法は、さらに、
   新たに登録した前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とするステップを含む、通信制御方法。
10. 車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置において用いられる通信制御プログラムであって、
    コンピュータを、
    １または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、
    前記対応情報を作成するアドレス管理部と、
    前記機能部に対する認証処理を行う認証部、
    として機能させるためのプログラムであり、
    前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、
    前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除する、通信制御プログラム。
11. 車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置において用いられる通信制御プログラムであって、
    コンピュータを、
    １または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、
    前記対応情報を作成するアドレス管理部、
    として機能させるためのプログラムであり、
    前記アドレス管理部は、前記通信部を介して前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、
    前記アドレス管理部は、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除する、通信制御プログラム。
12. 車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置において用いられる通信制御プログラムであって、
    コンピュータを、
    １または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、
    前記対応情報を作成するアドレス管理部と、
    前記機能部に対する認証処理を行う認証部、
    として機能させるためのプログラムであり、
    前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、
    前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とする、通信制御プログラム。

Images