JP2021027448A - 車載中継装置、車載通信システム、通信プログラム及び通信方法 - Google Patents

Abstract

【課題】車両内の通信線に対する不正な装置の接続による悪影響を低減することが期待できる車載中継装置、車載通信システム、通信プログラム及び通信方法を提供する。【解決手段】車載中継装置は、車両に搭載された複数の通信線２、３が接続され、複数の通信線の間のデータ送受信を中継する車載中継装置２０であって、一の通信線に対して新たに接続された通信装置が送信するデータの他の通信線への中継を制限する中継制限部２１ｂと、通信装置への入力値及び当該入力値に応じた通信装置の動作結果の対応情報に基づいて、通信装置の動作を解析する挙動解析部２１ｅと、挙動解析部の解析結果に応じて前記中継制限部による中継の制限を解除する制限解除部２１ｃとを備える。【選択図】図２

Description

本開示は、車両に搭載された通信装置の間のデータ送受信を中継する車載中継装置、車載通信システム、通信プログラム及び通信方法に関する。

近年、車両に搭載されるＥＣＵ（Electronic Control Unit）は増加する傾向にある。各ＥＣＵは、他のＥＣＵとの間で通信を行って情報を交換し、各々の処理を行っている。このため、車両内のＥＣＵの増加に伴って、ＥＣＵが通信を行うために設けられる車両内の通信線の量が増加し、車両の重量の増加及び車両内の通信線を配するスペースが減少している。

特許文献１においては、車両内を複数の領域に分け、領域毎に複数の機能ＥＣＵを第１ネットワークにて中継ＥＣＵに接続し、複数の中継ＥＣＵを第２ネットワークにて接続した構成の車両制御システムが記載されている。

特開２０１５−６７１８７号公報

車両に搭載されるＥＣＵの増加及び高機能化に伴い、車両内のネットワークを介したＥＣＵ間の通信の重要性が増し、通信に関するセキュリティの重要性が増している。ネットワークを構成する車両内の通信線に対して不正な装置が接続された場合に、この装置が不正なデータ送信を行うことが懸念される。

本開示は、斯かる事情に鑑みてなされたものであって、その目的とするところは、車両内の通信線に対する不正な装置の接続による悪影響を低減することが期待できる車載中継装置、車載通信システム、通信プログラム及び通信方法を提供することにある。

本態様に係る車載中継装置は、車両に搭載された複数の通信線が接続され、前記複数の通信線の間のデータ送受信を中継する車載中継装置であって、一の通信線に対して新たに接続された通信装置が送信するデータの他の通信線への中継を制限する中継制限部と、前記通信装置への入力値及び当該入力値に応じた前記通信装置の動作結果の対応情報に基づいて、前記通信装置の動作を解析する挙動解析部と、前記挙動解析部の解析結果に応じて前記中継制限部による中継の制限を解除する制限解除部とを備える。

本願は、このような特徴的な処理部を備える車載中継装置等の装置として実現することができるだけでなく、かかる特徴的な処理をステップとする通信方法として実現したり、かかるステップをコンピュータに実行させるためのコンピュータプログラムとして実現したりすることができる。これらの装置の一部又は全部を実現する半導体集積回路として実現したり、これらの装置を含むその他の装置又はシステムとして実現したりすることができる。

上記によれば、車両内の通信線に対する不正な装置の接続による悪影響を低減することが期待できる。

本実施の形態に係る車載通信システムの概要を説明するための模式図である。 本実施の形態に係る第２中継装置の構成を示すブロック図である。 本実施の形態に係る第１中継装置の構成を示すブロック図である。 本実施の形態に係る第２中継装置が行う処理の手順を示すフローチャートである。 本実施の形態に係る第２中継装置が行う挙動解析処理の手順を示すフローチャートである。 本実施の形態に係る車載通信システムが行う認証処理の概要を説明するための模式図である。 本実施の形態に係る第２中継装置が行う認証処理の手順を示すフローチャートである。 本実施の形態に係る第１中継装置が行う処理の手順を示すフローチャートである。 実施の形態２に係る車載通信システムによるＥＣＵの認証方法を説明するための模式図である。

［本開示の実施の形態の説明］
最初に本開示の実施態様を列記して説明する。以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

（１）本態様に係る車載中継装置は、車両に搭載された複数の通信線が接続され、前記複数の通信線の間のデータ送受信を中継する車載中継装置であって、一の通信線に対して新たに接続された通信装置が送信するデータの他の通信線への中継を制限する中継制限部と、前記通信装置への入力値及び当該入力値に応じた前記通信装置の動作結果の対応情報に基づいて、前記通信装置の動作を解析する挙動解析部と、前記挙動解析部の解析結果に応じて前記中継制限部による中継の制限を解除する制限解除部とを備える。

本態様にあっては、複数の通信線が接続されて通信線間のデータ送受信を中継する車載中継装置が、一の通信線に対して新たに接続された通信装置が送信するデータの他の通信線への中継を制限する。車載中継装置は、通信装置への入力値及びこの入力値に応じた動作結果の対応情報に基づいて、新たに接続された通信装置の動作（挙動）を解析する。解析の結果、例えば新たに接続された通信装置が正当なものであると判断される場合等には、車載中継装置は、中継の制限を解除し、この通信装置が送信するデータを他の通信線へ中継する。これにより車載中継装置は、正当な動作を行う通信装置が送信するデータを中継し、正当な動作を行わない通信装置が送信するデータの中継を制限することができる。よって車載中継装置は、正当な動作を行わない通信装置が送信するデータによる悪影響が、他の通信線へまで及ぶことを防止できる。

（２）前記車両の外部の装置から前記対応情報を取得する対応情報取得部と、前記対応情報取得部が取得した前記対応情報を記憶する記憶部とを備えることが好ましい。

本態様にあっては、動作の解析を行うための情報を車載中継装置が車両の外部の装置から取得する。これにより車載中継装置は、予め多くの情報を記憶しておくことなく、必要な情報を外部の装置から取得して動作の解析を行うことができる。

（３）前記対応情報には、前記通信装置への入力値及び当該入力値に対して前記通信装置が出力する期待値の情報を含み、前記挙動解析部は、前記対応情報に含まれる入力値を前記通信装置へ入力し、前記入力値に対する前記通信装置の出力値を取得し、取得した出力値と前記対応情報に含まれる期待値とを比較することが好ましい。

本態様にあっては、動作の解析に用いられる情報には、通信装置への入力値と、この入力値に対して通信装置が出力する出力値の期待値との情報が含まれる。車載中継装置は、この情報に基づいて通信装置へ入力値を入力し、この入力に対する通信装置の出力値を取得する。車載中継装置は、取得した出力値と、情報に含まれる期待値とを比較し、この通信装置の動作の正否を判定することができる。

（４）前記通信装置との間で認証処理を行う認証処理部を備え、前記制限解除部は、前記挙動解析部の解析結果及び前記認証処理部の認証処理の結果に応じて、前記中継制限部による中継の制限を解除することが好ましい。

本態様にあっては、車載中継装置及び通信装置の間で認証処理を行う。認証処理は、例えば公開鍵又は秘密鍵等の鍵情報を用いたものを採用し得る。車載中継装置は、解析の結果と、認証処理の結果とに基づいて、通信装置が送信するデータについての中継の制限を解除する。これにより車載中継装置は、正当な動作を行い、且つ、認証により正当と判断された通信装置についてデータの中継を行うこととなり、中継されるデータの信頼性を向上することができる。

（５）前記制限解除部による中継の制限を解除した後、前記一の通信線に対して新たに接続された通信装置と、前記他の通信線に接続された通信装置との間の認証処理に係るデータの送受信を中継する中継処理部を備えることが好ましい。

本態様にあっては、通信装置が送信するデータの中継の制限を解除した後、車載中継装置は、一の通信線に接続されたこの通信装置と、他の通信線に接続された通信装置との間で行われる認証処理を中継する。このように新たに接続された通信装置との認証処理を１つの車載中継装置のみが行うのではなく、複数の装置が行うことを可能とすることで、車両内の通信に関する信頼性を向上することができる。

（６）本態様に係る車載通信システムは、車両に搭載された第１車載中継装置と、前記第１車載中継装置にそれぞれ第１通信線を介して接続された複数の第２車載中継装置と、前記第２車載中継装置に第２通信線を介して接続された通信装置とを備え、前記第１車載中継装置が前記複数の第２車載中継装置の間のデータ送受信を中継し、前記第２車載中継装置が前記第１車載中継装置及び前記通信装置の間のデータ送受信を中継する車載通信システムであって、前記第２車載中継装置は、前記第２通信線に対して新たに接続された通信装置が送信するデータの前記第１通信線への中継を制限する中継制限部と、前記通信装置への入力値及び当該入力値に応じた前記通信装置の動作結果の対応情報に基づいて、前記通信装置の動作を解析する挙動解析部と、前記挙動解析部の解析結果に応じて前記中継制限部による中継の制限を解除する制限解除部とを有する。

本態様にあっては、態様（１）と同様に、正当な動作を行わない通信装置が送信するデータによる悪影響が、他の通信線へまで及ぶことを防止できる。

（７）前記第２車載中継装置は、前記制限解除部による中継の制限を解除した後、前記第２通信線に対して新たに接続された通信装置と、前記第１通信線に接続された前記第１車載装置との間の認証処理に係るデータの送受信を中継する中継処理部を有し、前記第１車載中継装置は、前記第２車載中継装置を介して、前記第２通信線に対して新たに接続された通信装置との間で認証処理を行う認証処理部を有することが好ましい。

本態様にあっては、態様（５）と同様に、車両内の通信に関する信頼性を向上することができる。

（８）本態様に係る通信プログラムは、車両に搭載された複数の通信線が接続され、前記複数の通信線の間のデータ送受信を中継する車載中継装置に、一の通信線に対して新たに接続された通信装置が送信するデータの他の通信線への中継を制限し、前記通信装置への入力値及び当該入力値に応じた前記通信装置の動作結果の対応情報に基づいて、前記通信装置の動作を解析し、解析結果に応じて中継の制限を解除する処理を行わせる。

本態様にあっては、態様（１）と同様に、正当な動作を行わない通信装置が送信するデータによる悪影響が、他の通信線へまで及ぶことを防止できる。

（９）本態様に係る通信方法は、車両に搭載された複数の通信線の間のデータ送受信を中継する車載中継装置が、一の通信線に対して新たに接続された通信装置が送信するデータの他の通信線への中継を制限し、前記通信装置への入力値及び当該入力値に応じた前記通信装置の動作結果の対応情報に基づいて、前記通信装置の動作を解析し、解析結果に応じて中継の制限を解除する。

本態様にあっては、態様（１）と同様に、正当な動作を行わない通信装置が送信するデータによる悪影響が、他の通信線へまで及ぶことを防止できる。

［本開示の実施形態の詳細］
本開示の実施形態に係る車載通信システムの具体例を、以下に図面を参照しつつ説明する。本開示はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

＜システム概要＞
図１は、本実施の形態に係る車載通信システムの概要を説明するための模式図である。本実施の形態に係る車載通信システムは、車両１に搭載された第１中継装置１０、複数の第２中継装置２０、無線通信装置３０及び複数のＥＣＵ４０を備えて構成されている。図１の上下方向が車両１の前後方向であり、図１の左右方向が車両１の左右方向である。車載通信システムに含まれる装置の数、通信線の数、装置の接続態様及びネットワークの構成等は、図示のものに限らない。

本実施の形態に係る車載通信システムは、１つの第１中継装置１０に対して複数の第２中継装置２０及び１つの無線通信装置３０がそれぞれ通信線２を介して接続されたスター型のネットワーク構成が採用されたシステムである。本実施の形態においては、通信線２を介する第１中継装置１０と第２中継装置２０及び無線通信装置３０との間の通信は、イーサネット（登録商標）の通信規格に従って行われる。第１中継装置１０は、複数の第２中継装置２０及び無線通信装置の間のデータ送受信、即ち自身に接続された複数の通信線２の間のデータ送受信を中継する処理を行う。なお本実施の形態においては第１中継装置１０及び第２中継装置２０がイーサネットの通信規格に従って通信を行うものとするが、これに限るものではない。第１中継装置１０及び第２中継装置２０の通信は、例えばＣＡＮ（Controller Area Network）、ＣＡＮ−ＦＤ（CAN with Flexible Data-rate）又はＦｌｅｘＲａｙ等の種々の通信規格が採用され得る。

本実施の形態に係る車載通信システムでは、第１中継装置１０が車両１の中央に搭載され、第２中継装置２０が車両１の右前部、右中央部、右後部、左前部、左中央部及び左後部の６ヵ所にそれぞれ搭載されている。各第２中継装置２０には、その近傍に配された一又は複数のＥＣＵ４０が通信線３を介して接続されている。即ち本実施の形態に係る車載通信システムでは、車両１における搭載位置に基づいて複数のＥＣＵ４０がグループ化され、グループ内の複数のＥＣＵ４０が１つの第２中継装置２０に接続されている。複数の第２中継装置２０は第１中継装置１０に接続され、グループ間の通信を第１中継装置１０が行う。なお複数のＥＣＵ４０のグループ分けは、車両１における搭載位置に限らず、例えば装置の機能毎又は通信速度毎等のように種々の条件に従って行われてよい。

本実施の形態において第２中継装置２０と複数のＥＣＵ４０とは、共通の通信線３を介して接続され、バス型のネットワークを構成している。通信線３を介する第２中継装置２０及びＥＣＵ４０の間の通信は、ＣＡＮの通信規格に従って行われる。通信線３は、ＣＡＮバスと呼ばれ、数個から十数個程度のＥＣＵ４０が接続され得る。図１においては、車両１の右後部に搭載された第２中継装置２０にのみＥＣＵ４０が通信線３を介して接続された構成が図示されているが、これは図の簡略化を目的としたものである。実際には、他の第２中継装置２０にも一又は複数の通信線３が接続され、一又は複数のＥＣＵ４０が通信線３を介して接続される。なお本実施の形態においては第２中継装置２０及びＥＣＵ４０がＣＡＮの通信規格に従って通信を行うものとするが、これに限るものではない。第２中継装置２０及びＥＣＵ４０の通信は、例えばイーサネット、ＣＡＮ−ＦＤ又はＦｌｅｘＲａｙ等の種々の通信規格が採用され得る。

本例では、右後部の第２中継装置２０には２つの通信線３が接続され、一方の通信線３には２つのＥＣＵ４０が接続され、他方の通信線３には１つのＥＣＵ４０が接続されている。この第２中継装置２０は、一方の通信線３に接続されたＥＣＵ４０が送信したデータを、他方の通信線３へ中継すると共に、通信線２へ中継する。第２中継装置２０は、例えば受信したデータに付された識別情報、いわゆるＣＡＮＩＤに基づいて、このデータの中継先を決定してもよい。この場合、第２中継装置２０は、データに付されるＣＡＮＩＤと、中継先の通信線とを対応付けたテーブル等の情報を予め記憶している。

無線通信装置３０は、例えば携帯電話通信網又は無線ＬＡＮ（Local Area Network）等の無線ネットワークを利用した通信を行うことにより、車両１の外部に存在するサーバ装置５０との間でデータの送受信を行うことができる。上述のように無線通信装置３０は通信線２を介して第１中継装置１０に接続されており、第１中継装置１０は無線通信装置３０と第２中継装置２０との間でデータの送受信を中継する。これにより、車両１に搭載された各ＥＣＵ４０は、無線通信装置３０、第１中継装置１０及び第２中継装置２０を介して、車両１の外部のサーバ装置５０との間でデータの送受信を行うことができる。

ＥＣＵ４０は、例えば車両１のエンジンの動作を制御するＥＣＵ、ドアのロック／アンロックを制御するＥＣＵ、ライトの点灯／消灯を制御するＥＣＵ、エアバッグの動作を制御するＥＣＵ、及び、ＡＢＳ（Antilock Brake System）の動作を制御するＥＣＵ等の種々のＥＣＵが含まれ得る。本実施の形態においては、通信線３を介したデータの送受信を行う車載通信装置としてＥＣＵ４０を挙げるが、車載通信装置はこれらに限るものではない。

例えば車両１に対する機能の追加等により、車両１に新たなＥＣＵ４０が搭載され、車両１内のネットワークに接続されることがある。本実施の形態に係る車載通信システムは、一又は複数のＥＣＵ４０が接続された通信線３に対して、新たなＥＣＵ４０が接続された場合に、このＥＣＵ４０が正当な装置であるか否かを判断し、正当な装置でない場合にデータの中継を制限する機能を備えている。この中継の制限は、まず第２中継装置２０により行われる。例えば、図１において車両１の右後部に搭載された第２中継装置２０に接続された一方の通信線３に対して新たなＥＣＵ４０が接続された場合、第２中継装置２０は、この新たなＥＣＵ４０が送信するデータを他の通信線２，３へ中継しない。第２中継装置２０は、例えばこの通信線３においてこれまでにデータの送受信がなされていたＣＡＮＩＤとは異なるＣＡＮＩＤが付されたデータが通信線３へ送信された場合に、新たなＥＣＵ４０が接続されたものと判断し、このＣＡＮＩＤが付されたデータの中継を制限する（中継しない）。

データの中継を制限した後、第２中継装置２０は、新たなＥＣＵ４０に対して挙動（動作）解析及び認証処理を行う。挙動解析においてＥＣＵ４０が正当な挙動を行い、且つ、認証処理においてＥＣＵ４０の認証が成立した場合、第２中継装置２０は、このＥＣＵ４０が送信するデータに対する中継の制限を解除する。以後、第２中継装置２０は、このＥＣＵ４０が送信するデータを他の通信線２，３へ中継する。挙動解析においてＥＣＵ４０が正当な挙動を示さなかった場合、又は、認証処理に失敗した場合、第２中継装置２０は、ＥＣＵ４０が送信するデータの中継の制限を継続すると共に、挙動解析及び認証処理の結果を車両１のユーザ又はサーバ装置５０等へ通知する処理を行ってもよい。

本実施の形態に係る車載通信システムでは、第１中継装置１０においても中継の制限が行われる。上述のように、通信線３へ新たに接続されたＥＣＵ４０が送信するデータの中継が第２中継装置２０により行われた場合、第２中継装置２０が中継したデータは通信線２を介して第１中継装置１０にて受信される。第１中継装置１０は、通信線２においてこれまでにデータの送受信がなされていたＣＡＮＩＤとは異なるＣＡＮＩＤが付されたデータを受信した場合、このＣＡＮＩＤが付されたデータの中継を制限する（中継しない）。

データの中継を制限した後、第１中継装置１０は、新たに接続されたＥＣＵ４０との間で認証処理を行う。第１中継装置１０及びＥＣＵ４０の間の認証処理は、第２中継装置２０を介して行われる。即ち、第２中継装置２０は、第１中継装置１０からＥＣＵ４０へ送信される認証処理に係るデータを中継すると共に、ＥＣＵ４０から第１中継装置１０へ送信される認証処理に係るデータを中継する。認証処理に成功した場合、第１中継装置１０は、このＥＣＵ４０が送信するデータに対する中継の制限を解除する。以後、第１中継装置１０は、このＥＣＵ４０が送信するデータを他の通信線２へ中継する。認証処理に失敗した場合、第１中継装置１０は、車両１のユーザ又はサーバ装置５０等へ認証処理の失敗を通知する処理を行ってもよい。

本実施の形態においては、第１中継装置１０にて制限が解除されてデータの中継が開始された後、更に別の第２中継装置２０においてＥＣＵ４０との認証処理が行われることはない。本実施の形態に係る車載通信システムは、第１中継装置１０を最上位の第１階層とし、第２中継装置２０を第２階層とし、ＥＣＵ４０を第３階層とする階層構造のネットワークとみなすことができる。車載通信システムは、４階層以上の階層構造が採用されてもよい。ネットワークに対する新たな装置の追加がなされた場合、この装置の１つ上の階層の中継装置が新たな装置の挙動解析及び認証処理を行い、更に上位階層の装置が認証処理を行う。認証処理は下位の階層から上位の階層へ順に行われ、最上位階層での認証処理に成功した場合に、新たな装置に対する認証が完了する。

＜装置構成＞
図２は、本実施の形態に係る第２中継装置２０の構成を示すブロック図である。本実施の形態に係る第２中継装置２０は、処理部（プロセッサ）２１、記憶部（ストレージ）２２、第１通信部（トランシーバ）２３、及び、２つの第２通信部（トランシーバ）２４を備えて構成されている。処理部２１は、例えばＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro-Processing Unit）等の演算処理装置を用いて構成されている。処理部２１は、記憶部２２に記憶されたプログラムを読み出して実行することにより、種々の処理を行うことができる。本実施の形態において処理部２１は、記憶部２２に記憶されたプログラム２２ａを読み出して実行することにより、通信線２，３の間のメッセージを中継する処理、メッセージの中継を制限する処理、新たに接続されたＥＣＵ４０に対する挙動解析及び認証処理、並びに、メッセージの中継の制限を解除する処理等を行う。

記憶部２２は、例えばフラッシュメモリ又はＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）等の不揮発性のメモリ素子を用いて構成されている。記憶部２２は、処理部２１が実行する各種のプログラム、及び、処理部２１の処理に必要な各種のデータを記憶する。本実施の形態において記憶部２２は、処理部２１が実行するプログラム２２ａと、中継処理においてデータの中継先を決定するための中継テーブル２２ｂと、新たなＥＣＵ４０の挙動解析を行うための対応情報２２ｃと、ＥＣＵ４０との間で認証処理を行うための認証情報２２ｄとを記憶している。

プログラム２２ａは、例えば第２中継装置２０の製造段階において記憶部２２に書き込まれてもよく、例えば遠隔のサーバ装置などが配信するものを第２中継装置２０が通信にて取得してもよく、例えばメモリカード又は光ディスク等の記録媒体９９に記録されたプログラムを第２中継装置２０が読み出して記憶部２２に記憶してもよく、例えば記録媒体９９に記録されたものを書込装置が読み出して第２中継装置２０の記憶部２２に書き込んでもよい。プログラム２２ａは、ネットワークを介した配信の態様で提供されてもよく、記録媒体９９に記録された態様で提供されてもよい。

中継テーブル２２ｂは、受信したデータの中継先を決定するために用いられるテーブルである。中継テーブル２２ｂには、例えばデータに付されるＣＡＮＩＤ等の識別情報と、中継先となる通信線２，３を識別する識別情報が対応付けて記憶されている。

対応情報２２ｃは、新たに接続されたＥＣＵ４０の挙動解析を行うための情報であり、例えばＥＣＵ４０に対する入力値と、この入力値に対してＥＣＵ４０が出力する出力値の期待値とが対応付けられた情報である。第２中継装置２０は、予め対応情報２２ｃを記憶部２２に記憶している。ただし第２中継装置２０は、通信線３に新たなＥＣＵ４０が接続された場合に、無線通信装置３０を介してサーバ装置５０との通信を行い、新たなＥＣＵ４０の挙動解析に必要な対応情報２２ｃを取得してもよい。この場合、挙動解析の終了後は、記憶部２２から対応情報２２ｃが削除されてもよい。

認証情報２２ｄは、新たに接続されたＥＣＵ４０との間で認証処理を行うための情報である。認証情報２２ｄは、例えば公開鍵又は秘密鍵等の情報とすることができる。

第１通信部２３は、通信線２が接続され、通信線２を介した第１中継装置１０との通信を行う。本実施の形態において第１通信部２３は、イーサネットの通信規格に従うデータの送受信を行う。第１通信部２３は、例えばイーサネットＰＨＹ（PHYsical layer）のＩＣ（Integrated Circuit）を用いて構成され得る。第１通信部２３は、処理部２１から与えられたデータを電気信号として通信線２へ出力することによりデータ送信を行う。第１通信部２３は、通信線２の電位をサンプリングして取得することにより、通信線２上の電気信号をデジタルデータに変換し、変換したデータを受信データとして処理部２１へ与える。

本実施の形態に係る第２中継装置２０は、２つの第２通信部２４を備えている。各第２通信部２４は、通信線３が接続され、通信線３を介して一又は複数のＥＣＵ４０との通信を行う。本実施の形態において第２通信部２４は、ＣＡＮの通信規格に従うデータの送受信を行う。第２通信部２４は、例えばＣＡＮコントローラのＩＣを用いて構成され得る。第２通信部２４は、処理部２１から与えられたデータを電気信号として通信線３へ出力することによりデータ送信を行う。第２通信部２４は、通信線３の電位をサンプリングして取得することにより、通信線３上の電気信号をデジタルデータに変換し、変換したデータを受信データとして処理部２１へ与える。第２通信部２４は、通信線３に対して複数の装置が同時的にデータを送信した場合に、いずれか１つの装置に送信権利を確定するためのアービトレーション処理を行う。

本実施の形態に第２中継装置２０は、記憶部２２に記憶されたプログラム２２ａを処理部２１が読み出して実行することにより、中継処理部２１ａ、中継制限部２１ｂ、制限解除部２１ｃ、対応情報取得部２１ｄ、挙動解析部２１ｅ及び認証処理部２１ｆ等が処理部２１にソフトウェア的な機能ブロックとして実現される。中継処理部１１ａは、第１通信部２３又は第２通信部２４のいずれかにて受信したデータを、別の第１通信部２３又は第２通信部２４から送信することで、データを中継する処理を行う。中継処理部２１ａは、受信したデータに付されたＣＡＮＩＤを取得して記憶部２２の中継テーブル２２ｂを参照し、中継テーブル２２ｂにてＣＡＮＩＤに対応付けられた送信先を調べる。中継処理部２１ａは、中継テーブル２２ｂにて指定された送信先の第１通信部２３又は第２通信部２４へデータを与え、第１通信部２３又は第２通信部２４にこのデータの送信を行わせる。

中継制限部２１ｂは、中継処理部２１ａによるデータの中継を制限する処理を行う。中継制限部２１ｂは、通信線３に対して新たに接続されたＥＣＵ４０が送信したデータについて、中継処理部２１ａが通信線２及び他の通信線３へデータを中継することを制限する。中継制限部２１ｂは、例えば第２通信部２４にて受信されたデータに付されたＣＡＮＩＤが、これまでにこの第２通信部２４にて受信されたことのないＣＡＮＩＤである場合、このデータを新たなＥＣＵ４０が送信したものとみなし、中継処理部２１ａに中継を行わせない。中継制限部２１ｂによるデータの中継の制限は、例えば中継を制限するデータのＣＡＮＩＤを中継テーブル２２ｂに登録することで行われる。中継処理部２１ａは、中継テーブル２２ｂに中継を禁止する旨のフラグ等が設定されている場合、このＣＡＮＩＤのデータの中継を行わない。

制限解除部２１ｃは、中継制限部２１ｂによるデータの中継の制限を解除する処理を行う。制限解除部２１ｃは、新たに接続されたＥＣＵ４０に対して行われる挙動解析及び認証処理の結果に基づき、このＥＣＵ４０が正当な装置であるとの判断がなされた場合に、中継の制限を解除する。制限解除部２１ｃは、例えば中継テーブル２２ｂに設定された中継禁止のフラグを中継許可に変更する処理を行うことで、中継の制限を解除することができる。

対応情報取得部２１ｄは、新たに接続されたＥＣＵ４０に対する挙動解析を行うための対応情報を取得する処理を行う。対応情報取得部２１ｄは、無線通信装置３０を介してサーバ装置５０との通信を行うことによって、解析対象のＥＣＵ４０に関する対応情報を取得し、記憶部２２に記憶する。対応情報取得部２１ｄは、例えば中継制限部２１ｂがデータの中継を制限したＣＡＮＩＤに基づいてサーバ装置５０から対応情報を取得するか、又は、中継を制限したＥＣＵ４０から装置ＩＤ又は製造番号等の装置に関する情報を取得し、取得した装置に関する情報に基づいてサーバ装置５０から対応情報を取得する。

挙動解析部２１ｅは、対応情報取得部２１ｄが取得して記憶部２２に記憶した対応情報２２ｃを用いて、データの中継が制限されたＥＣＵ４０の挙動解析を行う。対応情報２２ｃは、ＥＣＵ４０の挙動を確認するためのいわゆるテストパターンである。対応情報２２ｃには、ＥＣＵ４０に対して入力する入力値と、この入力値に対してＥＣＵ４０が出力する出力値の期待値とが対応付けて記憶されている。挙動解析部２１ｅは、対応情報２２ｃの入力値を取得して送信データとして第２通信部２４からＥＣＵ４０へ送信する。このデータを受信したＥＣＵ４０は、このデータに対する所定の処理を行って、処理結果の出力値を送信データとして第２中継装置２０へ送信する。挙動解析部２１ｅは、ＥＣＵ４０からのデータを受信し、受信データに含まれる出力値が対応情報２２ｃの期待値と一致するか否かに基づいて、ＥＣＵ４０が正当な装置であるか否かを判定することができる。

認証処理部２１ｆは、記憶部２２に記憶された認証情報２２ｄを用いて、中継制限部２１ｂによりデータの中継を制限されたＥＣＵ４０との間で認証処理を行う。本実施の形態においては、認証情報２２ｄとして共通鍵の情報が記憶されており、正当な装置である場合には同じ共有鍵をＥＣＵ４０が有しているものとする。認証処理は、例えば以下の手順で行われる。認証処理部２１ｆは、乱数を生成してＥＣＵ４０へ送信する。この乱数を受信したＥＣＵ４０は、乱数と自身が記憶している共通鍵とを基に所定のハッシュ関数を用いてハッシュ値を算出し、ハッシュ値を第２中継装置２０へ送信する。ＥＣＵ４０からのハッシュ値を受信した第２中継装置２０の認証処理部２１ｆは、ＥＣＵ４０へ送信した乱数と自身が記憶している共通鍵とを基に所定のハッシュ関数を用いてハッシュ値を算出し、自身が算出したハッシュ値とＥＣＵ４０から受信したハッシュ値とが一致するか否かを判定する。両ハッシュ値が一致する場合、認証処理部２１ｆは、このＥＣＵ４０が正当な装置であると判定し、認証処理を成功とする。

図３は、本実施の形態に係る第１中継装置１０の構成を示すブロック図である。本実施の形態に係る第１中継装置１０は、処理部（プロセッサ）１１、記憶部（ストレージ）１２及び複数の通信部（トランシーバ）１３を備えて構成されている。処理部１１は、例えばＣＰＵ又はＭＰＵ等の演算処理装置を用いて構成されている。処理部１１は、記憶部１２に記憶されたプログラムを読み出して実行することにより、種々の処理を行うことができる。本実施の形態において処理部１１は、記憶部１２に記憶されたプログラム１２ａを読み出して実行することにより、複数の通信線２の間のメッセージを中継する処理、メッセージの中継を制限する処理、新たに接続されたＥＣＵ４０に対する認証処理、及び、メッセージの中継の制限を解除する処理等を行う。

記憶部１２は、例えばフラッシュメモリ又はＥＥＰＲＯＭ等の不揮発性のメモリ素子を用いて構成されている。記憶部１２は、処理部１１が実行する各種のプログラム、及び、処理部１１の処理に必要な各種のデータを記憶する。本実施の形態において記憶部１２は、処理部１１が実行するプログラム１２ａと、中継処理においてデータの中継先を決定するための中継テーブル１２ｂと、ＥＣＵ４０との間で認証処理を行うための認証情報１２ｃとを記憶している。

プログラム１２ａは、例えば第１中継装置１０の製造段階において記憶部１２に書き込まれてもよく、例えば遠隔のサーバ装置などが配信するものを第１中継装置１０が通信にて取得してもよく、例えばメモリカード又は光ディスク等の記録媒体９８に記録されたプログラムを第１中継装置１０が読み出して記憶部１２に記憶してもよく、例えば記録媒体９８に記録されたものを書込装置が読み出して第１中継装置１０の記憶部１２に書き込んでもよい。プログラム１２ａは、ネットワークを介した配信の態様で提供されてもよく、記録媒体９８に記録された態様で提供されてもよい。

中継テーブル１２ｂは、受信したデータの中継先を決定するために用いられるテーブルである。認証情報１２ｃは、新たに接続されたＥＣＵ４０との間で認証処理を行うための情報である。第１中継装置１０の中継テーブル１２ｂ及び認証情報１２ｃ等は、第２中継装置２０の中継テーブル２２ｂ及び認証情報２２ｄと略同じ構成であるため、説明を省略する。

通信部１３は、通信線２が接続され、通信線２を介した第２中継装置２０との通信を行う。本実施の形態において通信部１３は、イーサネットの通信規格に従うデータの送受信を行う。通信部１３は、例えばイーサネットＰＨＹのＩＣを用いて構成され得る。本実施の形態において第１中継装置１０は７つの通信部１３を備えているが、図２においては通信部１３の数を省略して図示している。

本実施の形態に第１中継装置１０は、記憶部１２に記憶されたプログラム１２ａを処理部１１が読み出して実行することにより、中継処理部１１ａ、中継制限部１１ｂ、制限解除部１１ｃ及び認証処理部１１ｄ等が処理部１１にソフトウェア的な機能ブロックとして実現される。中継処理部１１ａは、一の通信部１３にて受信したデータを他の通信部１３から送信することによって、データを中継する。このときに中継処理部１１ａは、記憶部１２の中継テーブル１２ｂを用いて中継先を決定する。

中継制限部１１ｂは、中継処理部１１ａによるデータの中継を制限する処理を行う。中継制限部１１ｂは、通信線３に対して新たに接続された後に第２中継装置２０による中継の制限が解除されたＥＣＵ４０について、このＥＣＵ４０が送信するデータを他の通信線２へ中継することを制限する。中継制限部１１ｂは、例えば通信部１３にて受信されたデータに付されたＣＡＮＩＤが、これまでにこの通信部１３にて受信されたことのないＣＡＮＩＤである場合、このデータを新たなＥＣＵ４０が送信したものとみなし、中継処理部１１ａに中継を行わせない。

制限解除部１１ｃは、中継制限部１１ｂによるデータの中継の制限を解除する処理を行う。制限解除部１１ｃは、新たに接続されたＥＣＵ４０に対して行われる認証処理の結果に基づき、このＥＣＵ４０が正当な装置であるとの判断がなされた場合に、中継の制限を解除する。

認証処理部１１ｆは、記憶部１２に記憶された認証情報１２ｃを用いて、中継制限部１１ｂによりデータの中継を制限されたＥＣＵ４０との間で認証処理を行う。認証処理の手順は、第２中継装置２０の認証処理部２１ｆが行う認証処理と同様である。

＜中継の制限及び制限の解除＞
図４は、本実施の形態に係る第２中継装置２０が行う処理の手順を示すフローチャートである。本実施の形態に係る第２中継装置２０の処理部２１の中継制限部２１ｂは、通信線３に対する新たなＥＣＵ４０の接続の有無を判定する（ステップＳ１）。新たなＥＣＵ４０が接続されていない場合（Ｓ１：ＮＯ）、中継制限部２１ｂは、新たなＥＣＵ４０が接続されるまで待機する。

例えば、中継制限部２１ｂは、通信線３に接続された一又は複数のＥＣＵ４０に対して、装置ＩＤ又は製造番号等の情報の取得要求を一斉送信し、この要求に対する応答として各ＥＣＵ４０から送信されるデータに基づいて新たなＥＣＵ４０の接続の有無を判定することができる。中継制限部２１ｂは、取得要求に対してＥＣＵ４０から送信されるデータを受信して記憶しておき、取得要求を周期的に繰り返し行って、以前のデータからの変化の有無を調べることによって、新たなＥＣＵ４０の接続の有無を判定することができる。

例えば、中継制限部２１ｂは、これまでに受信したことのないＣＡＮＩＤが付されたデータを受信した場合に、新たなＥＣＵ４０が接続されたと判定することができる。例えば、新たに接続されたＥＣＵ４０がその旨を第２中継装置２０へ通知する構成としてもよく、この場合には中継制限部２１ｂは通知の有無に応じて新たなＥＣＵ４０の接続の有無を判定することができる。

新たなＥＣＵ４０が接続された場合（Ｓ１：ＹＥＳ）、中継制限部２１ｂは、このＥＣＵ４０が送信するデータの中継を制限する（ステップＳ２）。中継制限部２１ｂは、例えば記憶部２２の中継テーブル２２ｂにこのＥＣＵ４０が送信するデータの中継を禁止するフラグを設定することにより、データの中継を制限することができる。

次いで処理部２１の対応情報取得部２１ｄは、新たに接続されたＥＣＵ４０に関する装置ＩＤ又は製造番号等の装置情報を取得する（ステップＳ３）。対応情報取得部２１ｄは、例えば新たに接続されたＥＣＵ４０に対して所定の情報の送信を要求し、この要求に応じてＥＣＵ４０が送信するデータを受信することにより、装置情報を取得することができる。対応情報取得部２１ｄは、ステップＳ３にて取得した装置情報に基づき、この装置の挙動解析に必要な対応情報をサーバ装置５０から取得し（ステップＳ４）、記憶部２２に記憶する。

処理部２１の挙動解析部２１ｅは、ステップＳ４にて取得した対応情報を用いて、新たに接続されたＥＣＵ４０の挙動解析処理を行う（ステップＳ５）。処理部２１の認証処理部２１ｆは、記憶部２２に記憶された認証情報２２ｄを用いて、新たに接続されたＥＣＵ４０の認証処理を行う（ステップＳ６）。ステップＳ５にて行う挙動解析処理と、ステップＳ６にて行う認証処理との詳細な処理は後述する。処理部２１の制限解除部２１ｃは、ステップＳ５の挙動解析処理及びステップＳ６の認証処理の結果に基づいて、新たに接続されたＥＣＵ４０が正当な装置であるか否かを判定する（ステップＳ７）。

新たに接続されたＥＣＵ４０が正当な装置であると判定した場合（Ｓ７：ＹＥＳ）、処理部２１の制限解除部２１ｃは、このＥＣＵ４０が送信するデータの中継の制限を解除して（ステップＳ８）、処理を終了する。制限解除部２１ｃは、記憶部２２の中継テーブル２２ｂに中継制限部２１ｂが設定した中継の禁止のフラグを許可に変更することで、中継の制限を解除することができる。新たに接続されたＥＣＵ４０が正当な装置ではないと判定した場合（Ｓ７：ＮＯ）、処理部２１は、異常なＥＣＵ４０が通信線３に対して接続された旨を通知し（ステップＳ９）、処理を終了する。処理部２１は、例えば車両１に搭載されたディスプレイ等にメッセージを表示することで通知を行うことができ、例えば無線通信装置３０にてサーバ装置５０へ異常内容を含むデータを送信することで通知を行うことができる。

図５は、本実施の形態に係る第２中継装置２０が行う挙動解析処理の手順を示すフローチャートであり、図４に示したフローチャートのステップＳ５にて行われる処理である。本実施の形態に係る第２中継装置２０がサーバ装置５０から取得して記憶部２２に記憶する対応情報は、ＥＣＵ４０に所定の挙動を行わせるための入力値、いわゆるテストパターンと、この入力値に対してＥＣＵ４０が所定の挙動を行った場合に出力される出力値の期待値とが対応付けられた情報である。入力値は、複数の値の組み合わせであってよく、例えばＥＣＵ４０に対する制御コマンド等を含み得る。対応情報に含まれる入力値及び出力値の組は複数であってよく、第２中継装置２０は複数のテストパターンでＥＣＵ４０の挙動を解析してよい。

本実施の形態に係る第２中継装置２０の処理部２１の挙動解析部２１ｅは、記憶部２２に記憶された対応情報２２ｃから、解析対象のＥＣＵ４０への入力値を取得する（ステップＳ２１）。挙動解析部２１ｅは、取得した入力値を含む送信データをこのＥＣＵ４０が接続された通信線３に対応する第２通信部２４へ与えることにより、ＥＣＵ４０へ入力値を送信する（ステップＳ２２）。挙動解析部２１ｅは、１つのテストパターンに関する入力値のＥＣＵ４０への入力が全て終了したか否かを判定する（ステップＳ２３）。全ての入力値の入力が終了していない場合（Ｓ２３：ＮＯ）、挙動解析部２１ｅは、ステップＳ２１へ処理を戻し、このテストパターンに必要な残りの入力値の入力を継続して行う。

１つのテストパターンについて全ての入力値の入力が終了した場合（Ｓ２３：ＹＥＳ）、挙動解析部２１ｅは、この入力に対してＥＣＵ４０が所定の挙動を行った結果として出力する出力値を取得する（ステップＳ２４）。このときにＥＣＵ４０は出力値を含むデータを通信線３に送信し、このデータを第２通信部２４にて受信することで、挙動解析部２１ｅは出力値を取得することができる。次いで挙動解析部２１ｅは、ステップＳ２４にて取得した出力値と、対応情報２２ｃに含まれるこのテストパターンの期待値とを比較し、出力値及び期待値が一致するか否かを判定する（ステップＳ２５）。

出力値及び期待値が一致する場合（Ｓ２５：ＹＥＳ）、挙動解析部２１ｅは、このテストパターンについては正当な挙動がなされたと判断し、次のテストパターンを実施すべく、対応情報２２ｃに含まれる全てのテストパターンを終了したか否かを判定する（ステップＳ２６）。全てのテストパターンを終了していない場合（Ｓ２６：ＮＯ）、挙動解析部２１ｅは、ステップＳ２１へ処理を戻し、次のテストパターンについて同様の処理を行う。全ての他ストパターンを終了した場合（Ｓ２６：ＹＥＳ）、挙動解析部２１ｅは、解析対象のＥＣＵ４０が正当な装置であると判定し（ステップＳ２７）、挙動解析処理を終了する。出力値及び期待値が一致しない場合（Ｓ２５：ＮＯ）、挙動解析部２１ｅは、解析対象のＥＣＵ４０が正当な装置ではない、即ち異常な装置であると判定し（ステップＳ２８）、挙動解析処理を終了する。

図６は、本実施の形態に係る車載通信システムが行う認証処理の概要を説明するための模式図である。本実施の形態に係る車載通信システムでは、１つの第１中継装置１０に複数の第２中継装置２０が接続され、各第２中継装置２０に複数のＥＣＵ４０が接続される階層構造のネットワークが採用されている。本実施の形態に係る車載通信システムは、新たに接続されたＥＣＵ４０に対して上位階層に存在する第２中継装置２０及び第１中継装置１０にてそれぞれ認証処理を行うことで、認証処理の信頼性を高めている。本実施の形態においては、いわゆるチャレンジ＆レスポンス方式の認証処理が行われる。

通信線３に対して新たに接続されたＥＣＵ４０は、通信線３に対して認証要求データの送信を行い、この認証要求データは第２中継装置２０にて受信される。第２中継装置２０は、この認証要求データを送信したＥＣＵ４０は新たに接続されたものであると判断し、ＥＣＵ４０の認証処理を開始する。まず第２中継装置２０は、乱数を生成し、生成した乱数をＥＣＵ４０へ送信する。この乱数の送信は、チャレンジ＆レスポンス方式におけるチャレンジに相当する。この乱数を受信したＥＣＵ４０は、受信した乱数と、自身が記憶している共通鍵とを基に、所定のハッシュ関数を用いてハッシュ値を算出する。ＥＣＵ４０は、算出したハッシュ値を第２中継装置２０へ送信する。このハッシュ値の送信は、チャレンジ＆レスポンス方式におけるレスポンスに相当する。

ＥＣＵ４０からのハッシュ値を受信した第２中継装置２０は、ＥＣＵ４０へ送信した乱数と、自身が記憶している共通鍵とを基に、所定のハッシュ関数を用いてハッシュ値を算出する。正当なＥＣＵ４０は、第２中継装置２０と同じ共通鍵を記憶し、同じハッシュ関数を用いてハッシュ値を算出することができるものとする。第２中継装置２０は、ＥＣＵ４０から受信したハッシュ値と、自身が算出したハッシュ値とが一致するか否かを判定するハッシュ値の照合を行う。両ハッシュ値が一致する場合、第２中継装置２０は、認証に成功したと判断し、その旨をＥＣＵ４０へ通知する。

第２中継装置２０及びＥＣＵ４０の認証処理が成功した後、本実施の形態に係る車載通信システムでは、第１中継装置１０及びＥＣＵ４０の認証処理が行われる。第２中継装置２０は、ＥＣＵ４０との認証処理に成功しているため、ＥＣＵ４０が送信したデータを第１中継装置１０へ中継することができる。ＥＣＵ４０及び第１中継装置１０の間で認証処理が行われている間、第２中継装置２０は、ＥＣＵ４０及び第１中継装置１０の間で送受信される認証処理に係るデータを中継する。

第２中継装置２０との認証処理の終了後、ＥＣＵ４０は、第２中継装置２０を介して第１中継装置１０へデータ送信を行い、このデータは第１中継装置１０にて受信される。第１中継装置１０は、このデータを送信したＥＣＵ４０との認証処理を開始する。まず第１中継装置１０は、乱数を生成し、生成した乱数をＥＣＵ４０へ送信する。この乱数を受信したＥＣＵ４０は、受信した乱数と、自身が記憶している共通鍵とを基に、所定のハッシュ関数を用いてハッシュ値を算出する。第１中継装置１０が記憶している共通鍵と、第２中継装置２０が記憶している共通鍵とは異なるものであり、ＥＣＵ４０は、両方の共通鍵を予め記憶している必要がある。ＥＣＵ４０は、算出したハッシュ値を第１中継装置１０へ送信する。

ＥＣＵ４０からのハッシュ値を受信した第１中継装置１０は、ＥＣＵ４０へ送信した乱数と、自身が記憶している共通鍵とを基に、所定のハッシュ関数を用いてハッシュ値を算出する。第１中継装置１０は、ＥＣＵ４０から受信したハッシュ値と、自身が算出したハッシュ値とが一致するか否かを判定するハッシュ値の照合を行う。両ハッシュ値が一致する場合、第１中継装置１０は、認証に成功したと判断し、その旨をＥＣＵ４０へ通知する。

図７は、本実施の形態に係る第２中継装置２０が行う認証処理の手順を示すフローチャートであり、図４に示したフローチャートのステップＳ６にて行われる処理である。本実施の形態に係る第２中継装置２０の処理部２１の認証処理部２１ｆは、所定の乱数生成アルゴリズムにより、乱数を生成する（ステップＳ４１）。認証処理部２１ｆは、生成した乱数を含むデータを第２通信部２４にて送信することにより、認証相手となるＥＣＵ４０へ乱数を送信する（ステップＳ４２）。その後、認証処理部２１ｆは、乱数に対してＥＣＵ４０が送信するハッシュ値を、所定の待機時間が経過する前に受信したか否かを判定する（ステップＳ４３）。待機時間が経過してもＥＣＵ４０からのハッシュ値を受信していない場合（Ｓ４３：ＮＯ）、認証処理部２１ｆは、ステップＳ４１へ処理を戻し、乱数の生成及び送信を再び行う。なお認証処理部２１ｆは、乱数の生成及び送信を所定回数繰り返して行ってもハッシュ値を受信しない場合には、認証処理が失敗したと判断してよい。

ＥＣＵ４０からのハッシュ値を受信した場合（Ｓ４３：ＹＥＳ）、認証処理部２１ｆは、記憶部２２に記憶された認証情報２２ｄを読み出す（ステップＳ４４）。認証処理部２１ｆは、ステップＳ４１にて生成した乱数と、ステップＳ４４にて読み出した認証情報２２ｄに含まれる共通鍵とを基に、所定のハッシュ関数を用いてハッシュ値を算出する（ステップＳ４５）。認証処理部２１ｆは、ステップＳ４３にて受信したＥＣＵ４０のハッシュ値と、ステップＳ４５にて自身が算出したハッシュ値とを比較し、両ハッシュ値が一致するか否かを判定する（ステップＳ４６）。両ハッシュ値が一致する場合（Ｓ４６：ＹＥＳ）、認証処理部２１ｆは、認証成功をＥＣＵ４０へ通知し（ステップＳ４７）、認証処理を終了する。両ハッシュ値が一致しない場合（Ｓ４６：ＮＯ）、認証処理部２１ｆは、認証失敗をＥＣＵ４０へ通知し（ステップＳ４８）、認証処理を終了する。

なお本実施の形態においては、ハッシュ値が一致しないと一度判定した場合に認証処理部２１ｆは認証失敗としているが、これに限るものではない。例えば認証処理部２１ｆは、ハッシュ値が一致しない場合にステップＳ１へ処理を戻すことで再判定を行い、所定回数の再判定を行ってもハッシュ値が一致しない場合に認証失敗としてもよい。

図８は、本実施の形態に係る第１中継装置１０が行う処理の手順を示すフローチャートである。本実施の形態に係る第１中継装置１０の処理部１１の中継制限部１１ｂは、車両１内のネットワークに対する新たなＥＣＵ４０の接続の有無を判定する（ステップＳ６１）。中継制限部１１ｂは、例えば通信線３に接続された一又は複数のＥＣＵ４０に対して、装置ＩＤ又は製造番号等の情報の取得要求を一斉送信し、この要求に対する応答として各ＥＣＵ４０から送信されるデータに基づいて新たなＥＣＵ４０の接続の有無を判定することができる。新たなＥＣＵ４０が接続されていない場合（Ｓ６１：ＮＯ）、中継制限部１１ｂは、新たなＥＣＵ４０が接続されるまで待機する。

新たなＥＣＵ４０が接続された場合（Ｓ６１：ＹＥＳ）、中継制限部１１ｂは、このＥＣＵ４０が送信するデータの中継を制限する（ステップＳ６２）。中継制限部１１ｂは、例えば記憶部１２の中継テーブル１２ｂにこのＥＣＵ４０が送信するデータの中継を禁止するフラグを設定することにより、データの中継を制限することができる。次いで処理部１１の認証処理部１１ｄは、記憶部１２に記憶された認証情報１２ｃを用いて、新たに接続されたＥＣＵ４０の認証処理を行う（ステップＳ６３）。ステップＳ６３にて行う認証処理は、図７に示した第２中継装置２０の認証処理と同じ手順で行われるため、詳細な説明は省略する。

処理部１１の制限解除部１１ｃは、ステップＳ６３の認証処理の結果に基づいて、新たに接続されたＥＣＵ４０が正当な装置であるか否かを判定する（ステップＳ６４）。新たに接続されたＥＣＵ４０が正当な装置であると判定した場合（Ｓ６４：ＹＥＳ）、制限解除部１１ｃは、このＥＣＵ４０が送信するデータの中継の制限を解除して（ステップＳ６５）、処理を終了する。制限解除部１１ｃは、記憶部１２の中継テーブル１２ｂに中継制限部１１ｂが設定した中継の禁止のフラグを許可に変更することで、中継の制限を解除することができる。新たに接続されたＥＣＵ４０が正当な装置ではないと判定した場合（Ｓ６４：ＮＯ）、処理部１１は、異常なＥＣＵ４０が接続された旨を通知し（ステップＳ６６）、処理を終了する。処理部１１は、例えば車両１に搭載されたディスプレイ等にメッセージを表示することで通知を行うことができ、例えば無線通信装置３０にてサーバ装置５０へ異常内容を含むデータを送信することで通知を行うことができる。

＜まとめ＞
以上の構成の本実施の形態に係る車載通信システムでは、複数の通信線２，３が接続されて、通信線２，３間のデータ送受信を中継する第２中継装置２０が、一の通信線３に対して新たに接続されたＥＣＵ４０が送信するデータの他の通信線２，３への中継を制限する。第２中継装置２０は、予め定められたＥＣＵ４０の対応情報２２ｃに基づき、新たに接続されたＥＣＵ４０の挙動解析を行う。挙動解析の結果、例えば新たに接続されたＥＣＵ４０が正当なものであると判断される場合等には、第２中継装置２０は、中継の制限を解除し、このＥＣＵ４０が送信するデータを他の通信線２，３へ中継する。これにより第２中継装置２０は、正当な挙動を行うＥＣＵ４０が送信するデータを中継し、正当な挙動を行わないＥＣＵ４０が送信するデータの中継を制限することができる。よって第２中継装置２０は、正当な挙動を行わないＥＣＵ４０が送信するデータによる悪影響が、他の通信線２，３へまで及ぶことを防止できる。

本実施の形態に係る車載通信システムでは、挙動解析を行うための対応情報を第２中継装置２０が無線通信装置３０を介して車両１の外部のサーバ装置５０から取得する。これにより第２中継装置２０は、予め多くの対応情報を記憶部２２に記憶しておくことなく、必要な対応情報を外部のサーバ装置５０から取得して挙動解析を行うことができる。

本実施の形態に係る車載通信システムでは、挙動解析に用いられる対応情報２２ｃには、ＥＣＵ４０への入力値と、この入力値に対してＥＣＵ４０が出力する出力値の期待値とが含まれる。第２中継装置２０は、対応情報２２ｃに基づいてＥＣＵ４０へテストパターンとなる入力値を入力し、この入力に対するＥＣＵ４０の出力値を取得する。第２中継装置２０は、ＥＣＵ４０から取得した出力値と、対応情報２２ｃに含まれる期待値とを比較し、このＥＣＵ４０の挙動の正否を判定することができる。

本実施の形態に係る車載通信システムでは、第２中継装置２０及びＥＣＵ４０との間で認証処理を行う。認証処理は、例えば共通鍵を用いたチャレンジ＆レスポンス方式の認証処理を採用し得る。第２中継装置２０は、挙動解析の結果と、認証処理の結果とに基づいて、ＥＣＵ４０が送信するデータについての中継の制限を解除する。これにより第２中継装置２０は、正当な挙動を行い、且つ、認証により正当と判断されたＥＣＵ４０についてデータの中継を行うこととなり、中継されるデータの信頼性を向上することができる。

本実施の形態に係る車載通信システムでは、ＥＣＵ４０との認証処理を第２中継装置２０のみでなく、第１中継装置１０においても行う。第２中継装置２０は、ＥＣＵ４０が送信するデータの中継の制限を解除した後、ＥＣＵ４０と第１中継装置１０との間で行われる認証処理を中継する。このように、新たに接続されたＥＣＵ４０との認証処理を１つの中継装置のみが行うのではなく、複数の中継装置が行うことを可能とすることで、車両１内の通信に関する信頼性を向上することができる。

本実施の形態においては、第２中継装置２０が挙動解析及び認証処理を行ってＥＣＵ４０が正当な装置であるか否かを判定しているが、これに限るものではなく、第２中継装置２０は挙動解析又は認証処理のいずれか一方のみを行ってＥＣＵ４０が正当な装置であるか否かを判定してもよい。第１中継装置１０は、ＥＣＵ４０との間で認証処理のみを行っているが、これに限るものではなく、第１中継装置１０は挙動解析及び認証処理の両方をＥＣＵ４０との間で行ってもよい。第１中継装置１０及び第２中継装置２０がＥＣＵ４０との認証処理を行っているが、これに限るものではなく、第１中継装置１０又は第２中継装置２０のいずれか一方のみが認証処理を行ってもよい。また本実施の形態に係る第２中継装置２０は、挙動解析を行った後で認証処理を行っているが、これに限るものではなく、認証処理を行った後で挙動解析を行ってもよい。図１に示した車載通信システムの各装置の配置、装置の搭載数、ネットワーク構成等は、一例であって、これに限るものではない。

＜実施の形態２＞
実施の形態２に係る車載通信システムは、ＥＣＵ４０の認証方式として共通の秘密鍵を用いたチャレンジ＆レスポンス方式の認証処理を行うのではなく、電子証明書を用いた認証を行う。図９は、実施の形態２に係る車載通信システムによるＥＣＵ４０の認証方法を説明するための模式図である。実施の形態２に係る車載通信システムは、いわゆる公開鍵方式の暗号化技術を利用した通信を行う。車載通信システムに含まれる第１中継装置１０、第２中継装置２０及びＥＣＵ４０は、送信するデータ又はこのデータのハッシュ値を暗号化するための秘密鍵と、暗号化されたデータを復号するための公開鍵とを有している。

例えばＥＣＵ４０は、秘密鍵により暗号化された暗号化データと、これを復号するための公開鍵と、この公開鍵が正当なものであることを証明する電子的な証明書の情報とを含む電子署名を、送信データに付して他のＥＣＵ４０等へ送信する。ＥＣＵ４０は、発行された電子証明書の情報を記憶しておき、データの送信を行う都度、記憶された電子証明書の情報を用いる。このときに必要となるＥＣＵ４０の電子証明書は、第２中継装置２０が作成する。同様に、第２中継装置２０の電子証明書は第１中継装置１０が作成し、第１中継装置１０の電子証明書はサーバ装置５０が作成する。実施の形態２に係る車載通信システムでは、サーバ装置５０が電子証明書を発行する認証局の役割を持つものとする。

本図に示すように、実施の形態２に係る車載通信システムは、上位からサーバ装置５０、第１中継装置１０、第２中継装置２０及びＥＣＵ４０の順で階層化されたシステム構成をなしている。第１中継装置１０、第２中継装置２０及びＥＣＵ４０の各装置は、車載通信システムに対して新たに接続された場合等に、１つ上の階層に位置する装置に対して電子証明書の発行依頼を送信する。サーバ装置５０、第１中継装置１０及び第２中継装置２０の各装置は、１つ下の階層の装置から送信される電子証明書の発行依頼を受信し、これに応じて電子証明書の情報を作成し、作成した電子証明書の情報を依頼元の装置へ送信する。

ＥＣＵ４０が送信した電子証明書付きのデータを受信した他の装置は、この電子証明書の作成元である第２中継装置２０の公開鍵を用いて電子証明書の正否を判定することができ、正当と判定した電子証明書に付されたＥＣＵ４０の公開鍵を用いて暗号化されたデータを復号することができる。第２中継装置２０は、自身に接続された複数の通信線３間でＥＣＵ４０の送信データを中継する際には、一の通信線にて受信したデータを直接的に他の通信線へ送信する。第２中継装置２０は、通信線３にて受信したデータを通信線２へ、即ち第１中継装置１０へ中継する際には、受信データに対して自身の電子証明書を付して通信線２へ送信する。第１中継装置１０は、一の通信線２にて第２中継装置２０からのデータを受信し、受信したデータを他の通信線２へ直接的に送信する。第１中継装置１０は、無線通信装置３０を介して車両１の外部のサーバ装置５０等との通信を行う際に、送信データに対して自身の電子証明書の情報を付す。

第２中継装置２０は、ＥＣＵ４０からの電子証明書の作成を依頼された場合に、上述の挙動解析を依頼元のＥＣＵ４０について行い、挙動解析により正しい挙動を行ったと判断されるＥＣＵ４０に対して電子証明書を発行する。第１中継装置１０は、第２中継装置２０からの電子証明書の作成依頼に応じて、第２中継装置２０の挙動解析を行ってもよい。

以上の構成の実施の形態２に係る車載通信システムは、車載通信システムを階層的なネットワーク構成とし、車両１に搭載された装置の認証を階層的に行う。これにより実施の形態２に係る車載通信システムは、例えば秘密鍵の漏洩などに対する影響の範囲を局所化することができるため、通信の信頼性を向上することができる。実施の形態２に係る車載通信システムは、認証処理の負荷を分散させることができる。

実施の形態２に係る車載通信システムのその他の構成は、実施の形態１に係る車載通信システムと同様であるため、同様の箇所には同じ符号を付し、詳細な説明を省略する。

車載通信システムにおける各装置は、マイクロプロセッサ、ＲＯＭ及びＲＡＭ等を含んで構成されるコンピュータを備える。マイクロプロセッサ等の演算処理部は、図４〜図８に示すような、シーケンス図又はフローチャートの各ステップの一部又は全部を含むコンピュータプログラムを、ＲＯＭ、ＲＡＭ等の記憶部からそれぞれ読み出して実行してよい。これら複数の装置のコンピュータプログラムは、それぞれ、外部のサーバ装置等からインストールすることができる。これら複数の装置のコンピュータプログラムは、それぞれ、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等の記録媒体に格納された状態で流通する。また本実施の形態において説明した種々の処理は、コンピュータプログラムをマイクロプロセッサ等が実行することにより行われてもよく、これらの処理を行うロジック回路として実現されてもよい。

今回開示された実施形態はすべての点で例示であって、制限的なものではないと考えられるべきである。本開示の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

１ 車両
２ 通信線（第１通信線）
３ 通信線（第２通信線）
１０ 第１中継装置（第１車載中継装置）
１１ 処理部
１１ａ 中継処理部
１１ｂ 中継制限部
１１ｃ 制限解除部
１１ｄ 認証処理部
１２ 記憶部
１２ａ プログラム
１２ｂ 中継テーブル
１２ｃ 認証情報
１３ 通信部
２０ 第２中継装置（車載中継装置、第２車載中継装置）
２１ 処理部
２１ａ 中継処理部
２１ｂ 中継制限部
２１ｃ 制限解除部
２１ｄ 対応情報取得部
２１ｅ 挙動解析部
２１ｆ 認証処理部
２２ 記憶部
２２ａ プログラム（通信プログラム）
２２ｂ 中継テーブル
２２ｃ 対応情報
２２ｄ 認証情報
２３ 第１通信部
２４ 第２通信部
３０ 無線通信装置
４０ ＥＣＵ（通信装置）
９８，９９ 記録媒体

Claims (9)

1. 車両に搭載された複数の通信線が接続され、前記複数の通信線の間のデータ送受信を中継する車載中継装置であって、
   一の通信線に対して新たに接続された通信装置が送信するデータの他の通信線への中継を制限する中継制限部と、
   前記通信装置への入力値及び当該入力値に応じた前記通信装置の動作結果の対応情報に基づいて、前記通信装置の動作を解析する挙動解析部と、
   前記挙動解析部の解析結果に応じて前記中継制限部による中継の制限を解除する制限解除部と
   を備える、車載中継装置。
2. 前記車両の外部の装置から前記対応情報を取得する対応情報取得部と、
   前記対応情報取得部が取得した前記対応情報を記憶する記憶部と
   を備える、請求項１に記載の車載中継装置。
3. 前記対応情報には、前記通信装置への入力値及び当該入力値に対して前記通信装置が出力する期待値の情報を含み、
   前記挙動解析部は、
   前記対応情報に含まれる入力値を前記通信装置へ入力し、
   前記入力値に対する前記通信装置の出力値を取得し、
   取得した出力値と前記対応情報に含まれる期待値とを比較する、請求項１又は請求項２に記載の車載中継装置。
4. 前記通信装置との間で認証処理を行う認証処理部を備え、
   前記制限解除部は、前記挙動解析部の解析結果及び前記認証処理部の認証処理の結果に応じて、前記中継制限部による中継の制限を解除する、請求項１から請求項３までのいずれか１項に記載の車載中継装置。
5. 前記制限解除部による中継の制限を解除した後、前記一の通信線に対して新たに接続された通信装置と、前記他の通信線に接続された通信装置との間の認証処理に係るデータの送受信を中継する中継処理部を備える、請求項１から請求項４までのいずれか１項に記載の車載中継装置。
6. 車両に搭載された第１車載中継装置と、前記第１車載中継装置にそれぞれ第１通信線を介して接続された複数の第２車載中継装置と、前記第２車載中継装置に第２通信線を介して接続された通信装置とを備え、前記第１車載中継装置が前記複数の第２車載中継装置の間のデータ送受信を中継し、前記第２車載中継装置が前記第１車載中継装置及び前記通信装置の間のデータ送受信を中継する車載通信システムであって、
   前記第２車載中継装置は、
   前記第２通信線に対して新たに接続された通信装置が送信するデータの前記第１通信線への中継を制限する中継制限部と、
   前記通信装置への入力値及び当該入力値に応じた前記通信装置の動作結果の対応情報に基づいて、前記通信装置の動作を解析する挙動解析部と、
   前記挙動解析部の解析結果に応じて前記中継制限部による中継の制限を解除する制限解除部と
   を有する、車載通信システム。
7. 前記第２車載中継装置は、前記制限解除部による中継の制限を解除した後、前記第２通信線に対して新たに接続された通信装置と、前記第１通信線に接続された前記第１車載中継装置との間の認証処理に係るデータの送受信を中継する中継処理部を有し、
   前記第１車載中継装置は、前記第２車載中継装置を介して、前記第２通信線に対して新たに接続された通信装置との間で認証処理を行う認証処理部を有する、請求項６に記載の車載通信システム。
8. 車両に搭載された複数の通信線が接続され、前記複数の通信線の間のデータ送受信を中継する車載中継装置に、
   一の通信線に対して新たに接続された通信装置が送信するデータの他の通信線への中継を制限し、
   前記通信装置への入力値及び当該入力値に応じた前記通信装置の動作結果の対応情報に基づいて、前記通信装置の動作を解析し、
   解析結果に応じて中継の制限を解除する
   処理を行わせる、通信プログラム。
9. 車両に搭載された複数の通信線の間のデータ送受信を中継する車載中継装置が、
   一の通信線に対して新たに接続された通信装置が送信するデータの他の通信線への中継を制限し、
   前記通信装置への入力値及び当該入力値に応じた前記通信装置の動作結果の対応情報に基づいて、前記通信装置の動作を解析し、
   解析結果に応じて中継の制限を解除する、
   通信方法。

Images