JP2022171100A - 車載通信システム、中継装置および中継方法 - Google Patents

Abstract

【課題】車載ネットワークにおけるセキュリティを向上させる。
【解決手段】車載通信システムは、複数の車載装置と、中継装置とを備え、第１の前記車載装置は、第２の前記車載装置との間において情報の送受信を行うための第２の前記車載装置宛のフレームを前記中継装置へ送信し、前記中継装置は、前記第１の車載装置および前記第２の車載装置の間における通信に要求される安全性のレベルである要求安全レベルと、前記第１の車載装置および前記第２の車載装置がそれぞれ有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定する。
【選択図】図１

Description

本開示は、車載通信システム、中継装置および中継方法に関する。

車載ネットワークの構成の柔軟な変更を可能とする技術が開発されている。たとえば、特許文献１（国際公開第２０２０／１４５３３４号）には、以下のような技術が開示されている。すなわち、車両用制御装置は、複数の中継器からなる車両ネットワークが内部に構築された車両の状態と前記複数の中継器それぞれに設定する制御内容を対応付けた制御シナリオに基づき、前記複数の中継器を制御する。

国際公開第２０２０／１４５３３４号 国際公開第２０２０／１７９１２３号

特許文献１および２の技術を超えて、車載ネットワークにおけるセキュリティを向上させることが可能な技術が望まれる。

本開示は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおけるセキュリティを向上させることが可能な車載通信システム、中継装置および中継方法を提供することである。

本開示の車載通信システムは、複数の車載装置と、中継装置とを備え、第１の前記車載装置は、第２の前記車載装置との間において情報の送受信を行うための第２の前記車載装置宛のフレームを前記中継装置へ送信し、前記中継装置は、前記第１の車載装置および前記第２の車載装置の間における通信に要求される安全性のレベルである要求安全レベルと、前記第１の車載装置および前記第２の車載装置がそれぞれ有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定する。

本開示の中継装置は、複数の車載装置を備える車載通信システムに用いられる中継装置であって、前記車載装置間における通信に要求される安全性のレベルである要求安全レベルと、前記各車載装置が有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記車載装置間において情報の送受信を行うためのフレームの中継の可否に関する設定を行う設定部と、前記設定部による設定の内容に従って、前記フレームの中継処理を行う中継部とを備える。

本開示の中継方法は、複数の車載装置を備える車載通信システムに用いられる中継装置における中継方法であって、前記車載装置間における通信に要求される安全性のレベルである要求安全レベルと、前記各車載装置が有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記車載装置間において情報の送受信を行うためのフレームの中継の可否に関する設定を行うステップと、設定した内容に従って、前記フレームの中継処理を行うステップとを含む。

本開示は、このような特徴的な処理部を備える中継装置として実現され得るだけでなく、中継装置の一部または全部を実現する半導体集積回路として実現され得たり、中継装置における処理のステップをコンピュータに実行させるためのプログラムとして実現され得たり、中継装置を備える車載通信システムの一部または全部を実現する半導体集積回路として実現され得たり、車載通信システムにおける処理をステップとする中継方法として実現され得たり、車載通信システムにおける処理のステップをコンピュータに実行させるためのプログラムとして実現され得る。

本開示によれば、車載ネットワークにおけるセキュリティを向上させることができる。

図１は、本開示の実施の形態に係る車載通信システムの構成を示す図である。 図２は、本開示の実施の形態に係る中継装置の構成を示す図である。 図３は、本開示の実施の形態に係る中継装置における記憶部が記憶するシステム管理リストの一例を示す図である。 図４は、本開示の実施の形態に係る中継装置における記憶部が記憶するサービス管理リストの一例を示す図である。 図５は、本開示の実施の形態に係る中継装置における更新部による更新後のシステム管理リストの一例を示す図である。 図６は、本開示の実施の形態に係る中継装置における更新部による更新後のサービス管理リストの一例を示す図である。 図７は、本開示の実施の形態に係る中継装置が中継処理を行う際の動作手順の一例を定めたフローチャートである。 図８は、本開示の実施の形態に係る車載通信システムにおける通信のシーケンスの一例を示す図である。 図９は、本開示の実施の形態に係る車載通信システムにおける通信のシーケンスの他の例を示す図である。

最初に、本開示の実施形態の内容を列記して説明する。

（１）本開示の実施の形態に係る車載通信システムは、複数の車載装置と、中継装置とを備え、第１の前記車載装置は、第２の前記車載装置との間において情報の送受信を行うための第２の前記車載装置宛のフレームを前記中継装置へ送信し、前記中継装置は、前記第１の車載装置および前記第２の車載装置の間における通信に要求される安全性のレベルである要求安全レベルと、前記第１の車載装置および前記第２の車載装置がそれぞれ有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定する。

このように、車載装置間における通信に要求される要求安全レベルと、各車載装置が有する機能安全レベルに基づくシステム安全レベルとの比較結果に基づいてフレームの中継の可否を決定する構成により、車載装置間における通信の要求安全レベルの大きさを考慮してフレームの中継の可否を決定することができるので、たとえば、車載装置間における通信の要求安全レベルが高い場合に車載装置間におけるフレームのやり取りが行われないようにすることができる。したがって、車載ネットワークにおけるセキュリティを向上させることができる。

（２）好ましくは、前記中継装置は、前記要求安全レベルと、前記フレームに付与される安全機構用のデータにさらに基づく前記システム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定する。

このような構成により、車載装置が有する機能安全レベルに加えて、フレームに付与される安全機構用のデータを用いて、車載装置間におけるフレームの中継の可否の判断をより適切に行うことができる。

（３）好ましくは、前記中継装置は、前記車載装置の組と、前記システム安全レベルとの対応関係を示すシステム管理リストを記憶する記憶部を備え、前記車載装置は、自己の前記機能安全レベルを前記中継装置へ通知し、前記中継装置は、前記車載装置から通知された前記機能安全レベルに基づいて、前記記憶部における前記システム管理リストを更新する。

このような構成により、車載装置の機能安全レベルの変更に伴って、記憶部におけるシステム管理リストが示すシステム安全レベルを更新することができるので、たとえば、車載装置のソフトウェアが更新されることにより機能安全レベルが変更された場合においても、変更後の機能安全レベルを反映したシステム安全レベルに基づいて、車載装置間におけるフレームの中継の可否の判断をより適切に行うことができる。

（４）好ましくは、前記中継装置は、前記車載装置間において送受信される情報の種類と、前記要求安全レベルとの対応関係を示すサービス管理リストを記憶する記憶部を備え、前記車載装置は、自己および他の前記車載装置の間における通信に要求される前記要求安全レベルを前記中継装置へ通知し、前記中継装置は、前記車載装置から通知された前記要求安全レベルに基づいて、前記記憶部における前記サービス管理リストを更新する。

このような構成により、車載装置間において新たな種類の情報の送受信が行われる場合においても、車載装置から通知された要求安全レベルに基づいて、車載装置間におけるフレームの中継の可否の判断を適切に行うことができる。

（５）好ましくは、前記第１の車載装置は、ＳＯＭＥ／ＩＰ（Ｓｃａｌａｂｌｅ ｓｅｒｖｉｃｅ－Ｏｒｉｅｎｔｅｄ ＭｉｄｄｌｅｗａｒＥ ｏｖｅｒ ＩＰ）に従うメッセージが格納された前記フレームを前記中継装置へ送信し、前記中継装置は、前記メッセージに含まれるサービスＩＤに対応する前記要求安全レベルと、前記システム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定する。

このような構成により、車載装置間における、ＳＯＭＥ／ＩＰに従うメッセージが格納されたフレームの中継の可否の判断を適切に行うことができる。

（６）好ましくは、前記中継装置は、前記フレームの前記第２の車載装置への中継を行わないことを決定した場合、前記フレームの前記第２の車載装置への中継を行うために必要な条件を前記第１の車載装置へ通知する。

このような構成により、車載装置間における通信の要求安全レベルを考慮して車載装置間におけるフレームの中継を行わないと決定した場合において、中継装置において中継を行うことが可能なフレームの再送信を第２の車載装置に促すことができる。

（７）本開示の実施の形態に係る中継装置は、複数の車載装置を備える車載通信システムに用いられる中継装置であって、前記車載装置間における通信に要求される安全性のレベルである要求安全レベルと、前記各車載装置が有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記車載装置間において情報の送受信を行うためのフレームの中継の可否に関する設定を行う設定部と、前記設定部による設定の内容に従って、前記フレームの中継処理を行う中継部とを備える。

このように、車載装置間における通信に要求される要求安全レベルと、各車載装置が有する機能安全レベルに基づくシステム安全レベルとの比較結果に基づいてフレームの中継の可否に関する設定を行う構成により、車載装置間における通信の要求安全レベルの大きさを考慮してフレームの中継の可否に関する設定を行うことができるので、たとえば、車載装置間における通信の要求安全レベルが高い場合に車載装置間におけるフレームのやり取りが行われないようにすることができる。したがって、車載ネットワークにおけるセキュリティを向上させることができる。

（８）本開示の実施の形態に係る中継方法は、複数の車載装置を備える車載通信システムに用いられる中継装置における中継方法であって、前記車載装置間における通信に要求される安全性のレベルである要求安全レベルと、前記各車載装置が有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記車載装置間において情報の送受信を行うためのフレームの中継の可否に関する設定を行うステップと、設定した内容に従って、前記フレームの中継処理を行うステップとを含む。

このように、車載装置間における通信に要求される要求安全レベルと、各車載装置が有する機能安全レベルに基づくシステム安全レベルとの比較結果に基づいてフレームの中継の可否に関する設定を行う方法により、車載装置間における通信の要求安全レベルの大きさを考慮してフレームの中継の可否に関する設定を行うことができるので、たとえば、車載装置間における通信の要求安全レベルが高い場合に車載装置間におけるフレームのやり取りが行われないようにすることができる。したがって、車載ネットワークにおけるセキュリティを向上させることができる。

以下、本開示の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。

［構成および基本動作］
図１は、本開示の実施の形態に係る車載通信システムの構成を示す図である。図１を参照して、車載通信システム３０１は、中継装置１０１と、複数の車載ＥＣＵ１１１とを備える。たとえば、車載通信システム３０１は、車載ＥＣＵ１１１として、車載ＥＣＵ１１１Ａ，１１１Ｂを備える。車載通信システム３０１は、２つの車載ＥＣＵ１１１を備える構成であってもよいし、３つ以上の車載ＥＣＵ１１１を備える構成であってもよい。車載ＥＣＵ１１１は、車載装置の一例である。車載通信システム３０１は、車両１に搭載される。

中継装置１０１は、車載通信システム３０１に用いられる。中継装置１０１は、ケーブル２を介して各車載ＥＣＵ１１１と接続されている。ケーブル２は、たとえば、イーサネット（登録商標）の規格に従うケーブルである。中継装置１０１および車載ＥＣＵ１１１は、車載ネットワークを構成する。

車載ＥＣＵ１１１は、たとえば、電動パワーステアリング（Ｅｌｅｃｔｒｉｃ Ｐｏｗｅｒ Ｓｔｅｅｒｉｎｇ：ＥＰＳ）、ブレーキ制御装置、アクセル制御装置、ステアリング制御装置、運転支援システム（Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ－Ａｓｓｉｓｔａｎｃｅ Ｓｙｓｔｅｍ：ＡＤＡＳ）における各種装置への指示等を行う運転支援装置、またはセンサ等である。

中継装置１０１は、車載ＥＣＵ１１１と通信を行うことが可能である。中継装置１０１は、たとえば、異なるケーブル２に接続された複数の車載ＥＣＵ１１１間においてやり取りされる情報を中継する中継処理を行う。

たとえば、車載ＥＣＵ１１１は、定期的に、ＬＬＤＰ（Ｌｉｎｋ Ｌａｙｅｒ Ｄｉｓｃｏｖｅｒｙ Ｐｒｏｔｏｃｏｌ）に従うフレームであるＬＬＤＰフレームを生成し、生成したＬＬＤＰフレームに自己のＭＡＣアドレスおよび自己のＩＰアドレスを含めて中継装置１０１へ送信する。

中継装置１０１は、車載ＥＣＵ１１１からＬＬＤＰフレームを受信し、受信したＬＬＤＰフレームから、自己に接続された車載ＥＣＵ１１１のＭＡＣアドレスおよびＩＰアドレス等の各種情報を取得する。以下では、車載ＥＣＵ１１１ＡのＭＡＣアドレスは「ＭＡＣ＿Ａ」であり、車載ＥＣＵ１１１ＢのＭＡＣアドレスは「ＭＡＣ＿Ｂ」であるものとする。

（ＳＯＭＥ／ＩＰ）
車載通信システム３０１においては、たとえば、イーサネットプロトコル群のアプリケーション層のプロトコルであるＳＯＭＥ／ＩＰに従って、メッセージの送受信が行われる。より詳細には、車載ＥＣＵ１１１は、各種情報が格納されたメッセージを１または複数のフレームに格納し、当該フレームを、ＳＯＭＥ／ＩＰに従って中継装置１０１経由で他の車載ＥＣＵ１１１へ送信することが可能である。

以下、ＳＯＭＥ／ＩＰに従ってサービスの提供を行う側の車載ＥＣＵ１１１を「サーバ」とも称する。また、サービスの提供を受ける側の車載ＥＣＵ１１１を「クライアント」とも称する。車載ＥＣＵ１１１は、サーバとしてのみ機能してもよいし、クライアントとしてのみ機能してもよいし、サービスの内容に応じてサーバまたはクライアントとして機能してもよい。以下では、一例として、車載ＥＣＵ１１１Ａはサーバであり、車載ＥＣＵ１１１Ｂはクライアントであるものとする。

たとえば、クライアントである車載ＥＣＵ１１１Ｂがサービスの提供を受けようとする場合、当該サービスに対応するサービスＩＤを含むサービス探索メッセージを生成する。車載ＥＣＵ１１１Ｂは、生成したサービス探索メッセージが格納されたフレームＦ１を中継装置１０１へ送信する。中継装置１０１は、車載ＥＣＵ１１１Ｂから受信したフレームＦ１を車載ＥＣＵ１１１Ａ等の他の車載ＥＣＵへマルチキャストする。

サービス探索メッセージを受信した車載ＥＣＵ１１１のうち、サービス探索メッセージに付されたサービスＩＤに対応するサービスを提供可能な車載ＥＣＵ１１１たとえば車載ＥＣＵ１１１Ａは、サーバとして、当該サービスに対応するサービスＩＤを含むサービス提供通知メッセージを生成する。車載ＥＣＵ１１１Ａは、生成したサービス提供通知メッセージが格納されたフレームＦ２を中継装置１０１へ送信する。中継装置１０１は、車載ＥＣＵ１１１Ａから受信したフレームＦ２をフレームＦ１の送信元の車載ＥＣＵ１１１Ｂへ送信する。これにより、車載ＥＣＵ１１１Ａと車載ＥＣＵ１１１Ｂとの間で通信接続を確立することができる。

車載ＥＣＵ１１１Ａとの間で通信接続を確立した車載ＥＣＵ１１１Ｂは、車載ＥＣＵ１１１Ａに対して周期的なサービスの提供を要求する場合、当該サービスに対応するサービスＩＤを含むサービス購読要求メッセージを生成する。車載ＥＣＵ１１１Ｂは、生成したサービス購読要求メッセージが格納されたフレームＦ３を中継装置１０１へ送信する。中継装置１０１は、車載ＥＣＵ１１１Ｂから受信したフレームＦ３を車載ＥＣＵ１１１Ａへ送信する。

車載ＥＣＵ１１１Ａは、サービス購読要求メッセージを受信すると、受信したサービス購読要求メッセージに含まれる車載ＥＣＵ１１１ＢのＩＤ等に基づいて、サービスの提供を許可するか否かを決定する。車載ＥＣＵ１１１Ａは、サービスの提供を許可することを決定した場合、当該サービスに対応するサービスＩＤを含むサービス購読許可メッセージを生成する。車載ＥＣＵ１１１Ａは、生成したサービス購読許可メッセージが格納されたフレームＦ４を中継装置１０１へ送信する。中継装置１０１は、車載ＥＣＵ１１１Ａから受信したフレームＦ４を車載ＥＣＵ１１１Ｂへ送信する。

そして、車載ＥＣＵ１１１Ａは、サービスとして提供する情報と、当該サービスに対応するサービスＩＤとを含むサービス提供メッセージを周期的に生成し、生成したサービス提供メッセージが格納されたフレームＦ５を中継装置１０１へ送信する。中継装置１０１は、車載ＥＣＵ１１１Ａから受信したフレームＦ５を車載ＥＣＵ１１１Ｂへ送信する。一例として、センサである車載ＥＣＵ１１１Ａは、車両１の走行状態または周囲の状態に関するセンサ情報を含むサービス提供メッセージを運転支援装置である車載ＥＣＵ１１１Ｂへ送信する。車載ＥＣＵ１１１Ｂは、受信したサービス提供メッセージから、サービスとして提供されたセンサ情報を取得し、当該センサ情報を用いて、車両１の運転に関する各種制御情報を生成し、生成した各種制御情報をブレーキ制御装置およびステアリング制御装置等へ送信する。

サービス探索メッセージ、サービス提供通知メッセージ、サービス購読要求メッセージ、サービス購読許可メッセージ、およびサービス提供メッセージは、ＳＯＭＥ／ＩＰに従うメッセージの一例である。フレームＦ１，Ｆ２，Ｆ３，Ｆ４，Ｆ５は、サーバとクライアントとの間において情報の送受信を行うためのフレームの一例である。

車載ＥＣＵ１１１は、当該車載ＥＣＵ１１１の機能に応じて、「Ａ」、「Ｂ」、「Ｃ」または「Ｄ」の機能安全レベルが割り当てられる。「Ｄ」が割り当てられた機能は最も高いレベルの安全方策が求められ、「Ａ」が割り当てられた機能は求められる安全方策が最も低い。すなわち、車載ＥＣＵ１１１の機能安全レベルは、「Ｄ」、「Ｃ」、「Ｂ」および「Ａ」の順に高い。

一例として、機能安全レベルは、ＩＳＯ２６２６２により規定されるＡＳＩＬ（Ａｕｔｏｍｏｔｉｖｅ Ｓａｆｅｔｙ Ｉｎｔｅｇｒｉｔｙ Ｌｅｖｅｌ）である。

なお、車載ＥＣＵ１１１は、複数の機能を有する構成であってもよい。この場合、車載ＥＣＵ１１１は、機能ごとの複数の機能安全レベルを有する。

＜課題＞
ところで、車載通信システム３０１において、車載ネットワークの構成が変更されることにより、変更前は要求安全レベルの低い通信しか行わなかった車載ＥＣＵ１１１が、変更前は要求安全レベルの高い通信しか行わなかった車載ＥＣＵ１１１と通信を行う場合がある。

具体的には、一例として、車両１の外部のＯＴＡ（Ｏｖｅｒ Ｔｈｅ Ａｉｒ）サーバからの更新データに基づいて、ある車載ＥＣＵ１１１のソフトウェアが更新されることにより、当該車載ＥＣＵ１１１の機能安全レベルが「Ｂ」から「Ｄ」に変更される場合がある。この場合、当該車載ＥＣＵ１１１と、機能安全レベルが「Ｄ」である他の車載ＥＣＵ１１１との間において新たに通信が開始される場合がある。

また、他の例として、車載ネットワークに新たな車載ＥＣＵ１１１が追加される場合がある。当該車載ＥＣＵ１１１と、要求安全レベルの高い通信しか行わなかった既存の車載ＥＣＵ１１１との間において新たに通信が開始される場合がある。

従来、このように、要求安全レベルの低い通信しか行わなかった車載ＥＣＵ１１１が要求安全レベルの高い通信を開始する場合において、セキュリティの観点から懸念が指摘されている。

そこで、本開示の車載通信システム３０１および中継装置１０１では、以下のような構成および動作により、このような課題を解決する。

＜中継装置＞
図２は、本開示の実施の形態に係る中継装置の構成を示す図である。図２を参照して、中継装置１０１は、通信ポート１５Ａ，１５Ｂ，１５Ｃと、中継部１１と、設定部２１と、更新部３１と、通知部４１と、記憶部５１とを備える。以下、通信ポート１５Ａ，１５Ｂ，１５Ｃの各々を通信ポート１５とも称する。なお、中継装置１０１は、２つの通信ポート１５を備える構成であってもよいし、４つ以上の通信ポート１５を備える構成であってもよい。

中継部１１は、たとえばスイッチＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）により実現される。設定部２１、更新部３１および通知部４１は、たとえば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）およびＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等のプロセッサにより実現される。記憶部５１は、たとえば不揮発性メモリである。

通信ポート１５は、たとえばケーブル２を接続可能な端子である。なお、通信ポート１５は、集積回路の端子であってもよい。通信ポート１５Ａは、ケーブル２を介して車載ＥＣＵ１１１Ａに接続されている。通信ポート１５Ｂは、ケーブル２を介して車載ＥＣＵ１１１Ｂに接続されている。

中継部１１は、車載ＥＣＵ１１１から受信したフレームを他の車載ＥＣＵ１１１へ中継することが可能である。すなわち、中継部１１は、車載ＥＣＵ１１１から送信されたフレームを、当該車載ＥＣＵ１１１に対応する通信ポート１５経由で受信し、受信したフレームに対して中継処理を行うことが可能である。

たとえば、記憶部５１には、通信ポート１５のポート番号と、ケーブル２を介して通信ポート１５に接続された車載ＥＣＵ１１１のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスとの対応関係を示すアドレステーブルが保存されている。中継部１１は、記憶部５１におけるアドレステーブルを用いて中継処理を行う。

（システム管理リスト）
図３は、本開示の実施の形態に係る中継装置における記憶部が記憶するシステム管理リストの一例を示す図である。図３を参照して、記憶部５１は、車載ＥＣＵ１１１の組と、システム安全レベルとの対応関係を示すシステム管理リストＬｓｙを記憶する。より詳細には、システム管理リストＬｓｙは、２つの車載ＥＣＵ１１１を構成要素として含む通信システムのシステムＩＤと、当該通信システムのシステム安全レベルとの対応関係を示している。通信システムのシステム安全レベルは、車載ＥＣＵ１１１の機能安全レベルと同様に、「Ｄ」、「Ｃ」、「Ｂ」および「Ａ」の順に高い。

通信システムのシステム安全レベルは、当該通信システムの構成要素である２つの車載ＥＣＵ１１１がそれぞれ有する機能安全レベルに少なくとも基づいて設定される。たとえば、通信システムのシステム安全レベルは、当該通信システムの構成要素である車載ＥＣＵ１１１間において送受信されるフレームに付与される安全機構用のデータにさらに基づいて設定される。

より詳細には、車載ＥＣＵ１１１Ａは、安全機構としてＥＣＣ（Ｅｒｒｏｒ Ｃｏｒｒｅｃｔｉｏｎ Ｃｏｄｅ）等を有しており、車載ＥＣＵ１１１Ａの機能安全レベルは「Ｂ」である。また、車載ＥＣＵ１１１Ｂは、安全機構としてＥＣＣ等を有しており、車載ＥＣＵ１１１Ｂの機能安全レベルは「Ｃ」である。そして、システムＩＤが「Ｓ００１」である通信システムのシステム安全レベルは、当該通信システムの構成要素である車載ＥＣＵ１１１Ａ，１１１Ｂの各機能安全レベルに基づいて、「Ｂ」に設定されている。

また、システムＩＤが「Ｓ００２」である通信システムのシステム安全レベルは、当該通信システムの構成要素である車載ＥＣＵ１１１Ａ，１１１Ｂの各機能安全レベル、および車載ＥＣＵ１１１Ａ，１１１Ｂ間において送受信されるフレームに安全機構用のデータとして付与されるＣＲＣ（Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ Ｃｈｅｃｋ）に基づいて、「Ｃ」に設定されている。

（サービス管理リスト）
図４は、本開示の実施の形態に係る中継装置における記憶部が記憶するサービス管理リストの一例を示す図である。図４を参照して、記憶部５１は、車載ＥＣＵ１１１間において送受信される情報の種類と、車載ＥＣＵ１１１間における通信に要求される安全性のレベルである要求安全レベルとの対応関係を示すサービス管理リストＬｓｅを記憶する。より詳細には、サービス管理リストＬｓｅは、ＳＯＭＥ／ＩＰに従うサービスのサービスＩＤと、車載ＥＣＵ１１１間において当該サービスを行うための通信に要求される要求安全レベルとの対応関係を示している。要求安全レベルは、車載ＥＣＵ１１１の機能安全レベルと同様に、「Ｄ」、「Ｃ」、「Ｂ」および「Ａ」の順に高い。

たとえば、サービスＩＤが「２００１」であるサービスに対応する要求安全レベルは「Ｄ」であるので、車載ＥＣＵ１１１間において当該サービスを行うための通信には最も高いレベルの安全方策が求められる。

たとえば、システム管理リストＬｓｙおよびサービス管理リストＬｓｅは、車両１の製造者により作成され、車両１の出荷時に記憶部５１に保存される。

（システム管理リストの更新）
車載ＥＣＵ１１１は、自己の機能安全レベルを中継装置１０１へ通知する。より詳細には、車載ＥＣＵ１１１は、たとえば上述したＬＬＤＰフレームに自己の現在の機能安全レベルを示すレベル情報Ｌ１を含めて中継装置１０１へ送信する。

たとえば、ＯＴＡサーバからの更新データに基づいて車載ＥＣＵ１１１Ａのソフトウェアが更新されることにより、車載ＥＣＵ１１１Ａの機能安全レベルが「Ｂ」から「Ｃ」に変更される。車載ＥＣＵ１１１Ａは、ＬＬＤＰフレームに更新後の自己の機能安全レベルを示すレベル情報Ｌ１を含めて中継装置１０１へ送信する。

また、たとえば、車載ネットワークに新たな車載ＥＣＵ１１１である車載ＥＣＵ１１１Ｃが追加される。より詳細には、車両１のユーザの操作により、車載ＥＣＵ１１１Ｃがケーブル２を介して中継装置１０１における通信ポート１５Ｃに接続される。車載ＥＣＵ１１１Ｃは、ＬＬＤＰフレームに自己のＭＡＣアドレス、自己のＩＰアドレスおよび自己の現在の機能安全レベルを示すレベル情報Ｌ１を含めて中継装置１０１へ送信する。以下では、車載ＥＣＵ１１１ＣのＭＡＣアドレスは「ＭＡＣ＿Ｃ」であるものとする。

中継部１１は、対応の通信ポート１５経由で車載ＥＣＵ１１１からＬＬＤＰフレームを受信すると、受信したＬＬＤＰフレームからレベル情報Ｌ１を取得して更新部３１へ出力する。

更新部３１は、車載ＥＣＵ１１１から通知された機能安全レベルに基づいて、記憶部５１におけるシステム管理リストＬｓｙを更新する。より詳細には、更新部３１は、中継部１１からレベル情報Ｌ１を受けて、受けたレベル情報Ｌ１に基づいて、記憶部５１におけるシステム管理リストＬｓｙを更新する。

図５は、本開示の実施の形態に係る中継装置における更新部による更新後のシステム管理リストの一例を示す図である。

図５を参照して、更新部３１は、中継部１１経由で車載ＥＣＵ１１１Ａからレベル情報Ｌ１を受信すると、記憶部５１のシステム管理リストＬｓｙにおける車載ＥＣＵ１１１Ａの機能安全レベルを「Ｂ」から「Ｃ」に変更する。また、更新部３１は、システムＩＤが「Ｓ００１」である通信システムのシステム安全レベルを、車載ＥＣＵ１１１Ａの機能安全レベルの変更に伴って、「Ｂ」から「Ｃ」に変更する。また、更新部３１は、システムＩＤが「Ｓ００２」である通信システムのシステム安全レベルを、車載ＥＣＵ１１１Ａの機能安全レベルの変更に伴って、「Ｃ」から「Ｄ」に変更する。

また、更新部３１は、中継部１１経由で車載ＥＣＵ１１１Ｃからレベル情報Ｌ１を受信すると、記憶部５１におけるシステム管理リストＬｓｙに、車載ＥＣＵ１１１Ａ，１１１Ｃを構成要素として含む新たな通信システムのシステムＩＤである「Ｓ１０３」を追加し、当該通信システムのシステム安全レベルを、車載ＥＣＵ１１１Ａ，１１１Ｃの各機能安全レベルに基づいて、たとえば「Ｂ」に設定する。

（サービス管理リストの更新）
車載ＥＣＵ１１１は、自己および他の車載ＥＣＵ１１１の間における通信に要求される要求安全レベルを中継装置１０１へ通知する。より詳細には、車載ＥＣＵ１１１は、たとえばサービス探索メッセージが格納されたフレームＦ１に、当該サービス探索メッセージに含まれるサービスＩＤが示すサービスを行うための通信に要求される要求安全レベルを示すレベル情報Ｌ２を含めて中継装置１０１へ送信する。

たとえば、車載ＥＣＵ１１１Ｂは、サービスＩＤとして「３００１」を含むサービス探索メッセージが格納されたフレームＦ１に、当該サービスＩＤが示すサービスを行うための通信に要求される要求安全レベルが「Ｄ」であることを示すレベル情報Ｌ２を含めて中継装置１０１へ送信する。

中継部１１は、対応の通信ポート１５経由で車載ＥＣＵ１１１からフレームＦ１を受信すると、受信したフレームＦ１からレベル情報Ｌ２を取得して更新部３１へ出力する。

更新部３１は、車載ＥＣＵ１１１から通知された要求安全レベルに基づいて、記憶部５１におけるサービス管理リストＬｓｅを更新する。より詳細には、更新部３１は、中継部１１からレベル情報Ｌ２を受けて、受けたレベル情報Ｌ２に基づいて、記憶部５１におけるサービス管理リストＬｓｅを更新する。

図６は、本開示の実施の形態に係る中継装置における更新部による更新後のサービス管理リストの一例を示す図である。

図６を参照して、更新部３１は、中継部１１経由で車載ＥＣＵ１１１からレベル情報Ｌ２を受信すると、記憶部５１におけるサービス管理リストＬｓｅに、サービスＩＤである「３００１」を追加する。そして、更新部３１は、レベル情報Ｌ２に基づいて、「３００１」が示すサービスに対応する要求安全レベルを「Ｄ」に設定する。

（設定処理）
設定部２１は、要求安全レベルと、システム安全レベルとの比較結果に基づいて、中継部１１による中継の可否に関する設定を行う。

たとえば、中継部１１は、通信ポート１５Ｂ経由で車載ＥＣＵ１１１Ｂからサービス探索メッセージが格納されたフレームＦ１を受信すると、受信したフレームＦ１からサービス探索メッセージを取得して設定部２１へ出力する。そして、中継部１１は、フレームＦ１を複数の通信ポート１５経由でマルチキャストする。

設定部２１は、中継部１１からサービス探索メッセージを受けて、受けたサービス探索メッセージからサービスＩＤを取得する。設定部２１は、取得したサービスＩＤを用いて、中継部１１による中継の可否に関する設定を行う。

より詳細には、設定部２１は、記憶部５１におけるサービス管理リストＬｓｅから、取得したサービスＩＤに対応する要求安全レベルを取得する。そして、設定部２１は、記憶部５１におけるシステム管理リストＬｓｙに基づいて、取得した要求安全レベル以上のシステム安全レベルを有する通信システムにおいて送受信される、当該サービスＩＤを含むメッセージが格納されたフレームの中継を許可する一方で、取得した要求安全レベル未満のシステム安全レベルを有する通信システムにおいて送受信される、当該サービスＩＤを含むメッセージが格納されたフレームの中継を許可しない旨の中継処理条件の設定を行う。

一例として、設定部２１は、サービス探索メッセージから取得したサービスＩＤが「２００１」である場合、記憶部５１におけるサービス管理リストＬｓｅから、「２００１」に対応する要求安全レベルである「Ｄ」を取得する。

そして、設定部２１は、記憶部５１におけるシステム管理リストＬｓｙに基づいて、「Ｄ」以上のシステム安全レベルを有する通信システムにおいて送受信される、サービスＩＤとして「２００１」を含むメッセージが格納されたフレームの中継を許可する一方で、「Ｄ」未満のシステム安全レベルを有する通信システムにおいて送受信される、サービスＩＤとして「２００１」を含むメッセージが格納されたフレームの中継を許可しない旨の中継処理条件の設定を行う。

すなわち、設定部２１は、システムＩＤが「Ｓ００２」である通信システムにおいて送受信される、サービスＩＤとして「２００１」を含むメッセージが格納されたフレームの中継を許可する一方で、システムＩＤが「Ｓ００１」または「Ｓ１０３」である通信システムにおいて送受信される、サービスＩＤとして「２００１」を含むメッセージが格納されたフレームの中継を許可しない旨の中継処理条件の設定を行う。

たとえば、中継部１１は、ＡＣＬ（Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｌｉｓｔ）を含む。

設定部２１は、サービスＩＤとして「２００１」を含むメッセージが格納されたフレームにおいて、当該フレームの宛先ＭＡＣアドレスが「ＭＡＣ＿Ａ」または「ＭＡＣ＿Ｂ」であり、当該フレームの送信元ＭＡＣアドレスが「ＭＡＣ＿Ａ」または「ＭＡＣ＿Ｂ」であり、かつ当該フレームにＣＲＣが含まれている旨の条件を満たす場合に当該フレームを中継する一方で、上記条件を満たさない場合に当該フレームを中継しない旨の中継処理条件を、中継部１１におけるＡＣＬに設定する。

（フレームＦ２，Ｆ３，Ｆ４，Ｆ５の中継処理）
中継部１１は、設定部２１における要求安全レベルとシステム安全レベルとの比較結果に基づいて、フレームＦ２，Ｆ３，Ｆ４，Ｆ５の中継の可否を決定する。すなわち、中継部１１は、設定部２１による設定の内容に従って、フレームＦ２，Ｆ３，Ｆ４，Ｆ５の中継処理を行う。

より詳細には、たとえば、中継部１１は、サービスＩＤとして「２００１」を含むサービス提供通知メッセージが格納され、宛先ＭＡＣアドレスが「ＭＡＣ＿Ｂ」であり、送信元ＭＡＣアドレスが「ＭＡＣ＿Ａ」であり、かつＣＲＣが含まれているフレームＦ２を通信ポート１５Ａ経由で車載ＥＣＵ１１１Ａから受信する。この場合、中継部１１は、受信したフレームＦ２が上記中継処理条件を満たすので、当該フレームＦ２の中継処理を行う。具体的には、中継部１１は、当該フレームＦ２を通信ポート１５Ｂ経由で車載ＥＣＵ１１１Ｂへ送信する。

次に、たとえば、中継部１１は、サービスＩＤとして「２００１」を含むサービス購読要求メッセージが格納され、宛先ＭＡＣアドレスが「ＭＡＣ＿Ａ」であり、送信元ＭＡＣアドレスが「ＭＡＣ＿Ｂ」であり、かつＣＲＣが含まれているフレームＦ３を通信ポート１５Ｂ経由で車載ＥＣＵ１１１Ｂから受信する。この場合、中継部１１は、受信したフレームＦ３が上記中継処理条件を満たすので、当該フレームＦ３の中継処理を行う。具体的には、中継部１１は、当該フレームＦ３を通信ポート１５Ａ経由で車載ＥＣＵ１１１Ａへ送信する。

あるいは、中継部１１は、サービスＩＤとして「２００１」を含むサービス購読要求メッセージが格納され、宛先ＭＡＣアドレスが「ＭＡＣ＿Ａ」であり、送信元ＭＡＣアドレスが「ＭＡＣ＿Ｂ」であり、かつＣＲＣが含まれてないフレームＦ３を通信ポート１５Ｂ経由で車載ＥＣＵ１１１Ｂから受信する。この場合、中継部１１は、受信したフレームＦ３が上記中継処理条件を満たさないので、当該フレームＦ３の中継処理を行わない。

また、たとえば、中継部１１は、サービスＩＤとして「２００１」を含むサービス提供通知メッセージが格納され、宛先ＭＡＣアドレスが「ＭＡＣ＿Ｃ」であり、送信元ＭＡＣアドレスが「ＭＡＣ＿Ａ」であり、かつＣＲＣが含まれているフレームＦ２を通信ポート１５経由で車載ＥＣＵ１１１Ａから受信する。この場合、中継部１１は、受信したフレームＦ２が上記中継処理条件を満たさないので、当該フレームＦ２の中継処理を行わない。

中継部１１は、フレームＦ４，Ｆ５についても同様に、受信したフレームが中継処理条件を満たす場合は当該フレームを対応の通信ポート１５経由で宛先の車載ＥＣＵ１１１へ送信する一方で、受信したフレームが中継処理条件を満たさない場合は当該フレームＦ２の中継処理を行わない。

たとえば、中継部１１は、中継処理条件を満たさないフレームを、通知部４１へ出力する。

通知部４１は、中継部１１によりフレームの中継を行わないことが決定された場合、当該フレームの宛先の車載ＥＣＵ１１１への中継を行うために必要な条件を送信元の車載ＥＣＵ１１１へ通知する。

より詳細には、通知部４１は、サービスＩＤとして「２００１」を含むサービス購読要求メッセージが格納され、宛先ＭＡＣアドレスが「ＭＡＣ＿Ａ」であり、送信元ＭＡＣアドレスが「ＭＡＣ＿Ｂ」であり、かつＣＲＣが含まれてないフレームＦ３を中継部１１から受ける。

通知部４１は、記憶部５１におけるシステム管理リストＬｓｙおよびサービス管理リストＬｓｅを参照し、当該フレームＦ３にＣＲＣが含まれることにより通信システムのシステム安全レベルが「Ｄ」となり、システム安全レベルが要求安全レベル以上となることを認識する。

そして、通知部４１は、フレームＦ３の車載ＥＣＵ１１１Ａへの中継を行うために必要な条件として、フレームＦ３にＣＲＣを含めるべき旨を示す中継条件情報を生成し、生成した中継条件情報を含む車載ＥＣＵ１１１Ｂのフレームを生成し、生成したフレームを中継部１１および通信ポート１５Ｂ経由で車載ＥＣＵ１１１Ｂへ送信する。

車載ＥＣＵ１１１Ｂは、中継装置１０１から当該フレームを受信し、受信したフレームから中継条件情報を取得する。たとえば、車載ＥＣＵ１１１Ｂは、取得した中継条件情報に従い、フレームＦ３にＣＲＣを含めて再送信する。

［動作の流れ］
本開示の実施の形態に係る車載通信システムにおける各装置は、メモリを含むコンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のシーケンスの各ステップの一部または全部を含むプログラムを当該メモリから読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態でまたは通信回線を介して流通する。

図７は、本開示の実施の形態に係る中継装置が中継処理を行う際の動作手順の一例を定めたフローチャートである。

図７を参照して、まず、中継装置１０１は、中継処理条件を設定する。より詳細には、中継装置１０１は、通信ポート１５Ｂ経由で車載ＥＣＵ１１１Ｂから受信したフレームＦ１からサービス探索メッセージを取得する。中継装置１０１は、サービス探索メッセージからサービスＩＤを取得し、記憶部５１におけるサービス管理リストＬｓｅから、当該サービスＩＤに対応する要求安全レベルを取得する。そして、設定部２１は、記憶部５１におけるシステム管理リストＬｓｙに基づいて、取得した要求安全レベル以上のシステム安全レベルを有する通信システムにおいて送受信される、当該サービスＩＤを含むメッセージが格納されたフレームの中継を許可する一方で、取得した要求安全レベル未満のシステム安全レベルを有する通信システムにおいて送受信される、当該サービスＩＤを含むメッセージが格納されたフレームの中継を許可しない旨の中継処理条件の設定を行う（ステップＳ１０２）。

次に、中継装置１０１は、フレームＦ２，Ｆ３，Ｆ４，Ｆ５を待ち受け（ステップＳ１０４でＮＯ）、たとえば通信ポート１５Ａ経由で車載ＥＣＵ１１１ＡからフレームＦ２を受信すると（ステップＳ１０４でＹＥＳ）、受信したフレームＦ２が中継処理条件を満たすか否かを判断する（ステップＳ１０６）。

中継装置１０１は、受信したフレームＦ２が中継処理条件を満たす場合、当該フレームＦ２の中継処理を行う（ステップＳ１０８）。

次に、中継装置１０１は、新たなフレームＦ２，Ｆ３，Ｆ４，Ｆ５を待ち受ける（ステップＳ１０４でＮＯ）。

一方、中継装置１０１は、受信したフレームＦ２が中継処理条件を満たさない場合、中継条件情報を生成し、生成した中継条件情報を含むフレームを生成して車載ＥＣＵ１１１Ａへ送信する（ステップＳ１１０）。

次に、中継装置１０１は、当該フレームＦ２を破棄する（ステップＳ１１２）。

次に、中継装置１０１は、新たなフレームＦ２，Ｆ３，Ｆ４，Ｆ５を待ち受ける（ステップＳ１０４でＮＯ）。

図８は、本開示の実施の形態に係る車載通信システムにおける通信のシーケンスの一例を示す図である。図８は、サーバである車載ＥＣＵ１１１Ａおよびクライアントである車載ＥＣＵ１１１Ｂが中継装置１０１を介してフレームの送受信を行う際のシーケンスを示している。

図８を参照して、まず、ＯＴＡサーバからの更新データに基づいて車載ＥＣＵ１１１Ａのソフトウェアが更新されることにより、車載ＥＣＵ１１１Ａの機能安全レベルが変更される（ステップＳ２０２）。

次に、車載ＥＣＵ１１１Ａは、ＬＬＤＰフレームに自己の現在の機能安全レベルを示すレベル情報Ｌ１を含めて中継装置１０１へ送信する（ステップＳ２０４）。

また、車載ＥＣＵ１１１Ｂは、ＬＬＤＰフレームに自己の現在の機能安全レベルを示すレベル情報Ｌ１を含めて中継装置１０１へ送信する（ステップＳ２０６）。

次に、中継装置１０１は、車載ＥＣＵ１１１Ａ，１１１Ｂの各々から受信したレベル情報Ｌ１に基づいて、記憶部５１におけるシステム管理リストＬｓｙを更新する（ステップＳ２０８）。

次に、車載ＥＣＵ１１１Ｂは、サービス探索メッセージが格納されたフレームＦ１を中継装置１０１へ送信する（ステップＳ２１０）。

次に、中継装置１０１は、受信したフレームＦ１に格納されたサービス探索メッセージからサービスＩＤを取得し、記憶部５１におけるサービス管理リストＬｓｅから、当該サービスＩＤに対応する要求安全レベルを取得する。そして、中継装置１０１は、取得した要求安全レベルおよび記憶部５１におけるシステム管理リストＬｓｙに基づいて、中継処理条件の設定を行う（ステップＳ２１２）。

次に、中継装置１０１は、サービス探索メッセージが格納されたフレームＦ１を車載ＥＣＵ１１１Ａへ送信する。具体的には、中継装置１０１は、フレームＦ１をマルチキャストする（ステップＳ２１４）。

次に、車載ＥＣＵ１１１Ａは、サービス提供通知メッセージが格納されたフレームＦ２を中継装置１０１へ送信する（ステップＳ２１６）。

次に、中継装置１０１は、受信したフレームＦ２が、設定した中継処理条件を満たすので、当該フレームＦ２の中継処理を行う。具体的には、中継装置１０１は、サービス提供通知メッセージが格納された当該フレームＦ２を車載ＥＣＵ１１１Ｂへ送信する（ステップＳ２１８）。

次に、車載ＥＣＵ１１１Ｂは、サービス購読要求メッセージが格納されたフレームＦ３を中継装置１０１へ送信する（ステップＳ２２０）。

次に、中継装置１０１は、たとえばフレームＦ３にＣＲＣが含まれていないことから当該フレームＦ３が中継処理条件を満たさないので、当該フレームＦ３の中継処理を行う代わりに、中継条件情報を含むフレームを車載ＥＣＵ１１１Ｂへ送信する（ステップＳ２２２）。

次に、中継装置１０１は、フレームＦ３を破棄する（ステップＳ２２４）。

次に、車載ＥＣＵ１１１Ｂは、中継装置１０１から受信したフレームから取得した中継条件情報に従い、サービス購読要求メッセージが格納された、ＣＲＣを含むフレームＦ３を中継装置１０１へ送信する（ステップＳ２２６）。

次に、中継装置１０１は、受信したフレームＦ３にＣＲＣが含まれており、フレームＦ３が中継処理条件を満たすので、当該フレームＦ３の中継処理を行う。具体的には、中継装置１０１は、サービス購読要求メッセージが格納された当該フレームＦ３を車載ＥＣＵ１１１Ａへ送信する（ステップＳ２２８）。

次に、車載ＥＣＵ１１１Ａは、サービス購読許可メッセージが格納されたフレームＦ４を中継装置１０１へ送信する（ステップＳ２３０）。

次に、中継装置１０１は、受信したフレームＦ４が、設定した中継処理条件を満たすので、当該フレームＦ４の中継処理を行う。具体的には、中継装置１０１は、サービス購読許可メッセージが格納された当該フレームＦ４を車載ＥＣＵ１１１Ｂへ送信する（ステップＳ２３２）。

次に、車載ＥＣＵ１１１Ａは、サービス提供メッセージが格納されたフレームＦ５を中継装置１０１へ送信する（ステップＳ２３４）。

次に、中継装置１０１は、受信したフレームＦ５が、設定した中継処理条件を満たすので、当該フレームＦ５の中継処理を行う。具体的には、中継装置１０１は、サービス提供メッセージが格納された当該フレームＦ５を車載ＥＣＵ１１１Ｂへ送信する（ステップＳ２３６）。

図９は、本開示の実施の形態に係る車載通信システムにおける通信のシーケンスの他の例を示す図である。図９は、サーバである車載ＥＣＵ１１１Ａおよびクライアントである車載ＥＣＵ１１１Ｃが中継装置１０１を介してフレームの送受信を行う際のシーケンスを示している。

図９を参照して、まず、車載ネットワークに新たな車載ＥＣＵ１１１Ｃが追加される（ステップＳ３０２）。

次に、車載ＥＣＵ１１１Ａは、ＬＬＤＰフレームに自己の現在の機能安全レベルを示すレベル情報Ｌ１を含めて中継装置１０１へ送信する（ステップＳ３０４）。

また、車載ＥＣＵ１１１Ｃは、ＬＬＤＰフレームに自己の現在の機能安全レベルを示すレベル情報Ｌ１を含めて中継装置１０１へ送信する（ステップＳ３０６）。

次に、中継装置１０１は、車載ＥＣＵ１１１Ａ，１１１Ｃの各々から受信したレベル情報Ｌ１に基づいて、記憶部５１におけるシステム管理リストＬｓｙを更新する（ステップＳ３０８）。

次に、車載ＥＣＵ１１１Ｃは、サービス探索メッセージが格納されたフレームＦ１を中継装置１０１へ送信する（ステップＳ３１０）。

次に、中継装置１０１は、受信したフレームＦ１に格納されたサービス探索メッセージからサービスＩＤを取得し、記憶部５１におけるサービス管理リストＬｓｅから、当該サービスＩＤに対応する要求安全レベルを取得する。そして、中継装置１０１は、取得した要求安全レベルおよび記憶部５１におけるシステム管理リストＬｓｙに基づいて、中継処理条件の設定を行う（ステップＳ３１２）。

次に、中継装置１０１は、サービス探索メッセージが格納されたフレームＦ１を車載ＥＣＵ１１１Ａへ送信する。具体的には、中継装置１０１は、フレームＦ１をマルチキャストする（ステップＳ３１４）。

次に、車載ＥＣＵ１１１Ａは、サービス提供通知メッセージが格納されたフレームＦ２を中継装置１０１へ送信する（ステップＳ３１６）。

次に、中継装置１０１は、たとえばフレームＦ３の宛先ＭＡＣアドレスが「ＭＡＣ＿Ｃ」であることから当該フレームＦ３が中継処理条件を満たさないので、フレームＦ３を破棄する（ステップＳ３１８）。

なお、中継装置１０１は、ステップＳ３１６において、フレームＦ３を破棄することに加えて、システムＩＤが「Ｓ１０３」である通信システムのシステム安全レベルをデコンポジションする構成であってもよい。より詳細には、中継装置１０１は、たとえば、故障検出機構を追加すべき旨を示す中継条件情報を生成し、生成した中継条件情報を含むフレームを車載ＥＣＵ１１１Ｃへ送信する。

車載ＥＣＵ１１１Ｃは、中継装置１０１から受信したフレームから取得した中継条件情報に従い、故障検出機構を追加する。これにより、システムＩＤが「Ｓ１０３」である通信システムのシステム安全レベルを上げることができるので、車載ＥＣＵ１１１Ａおよび車載ＥＣＵ１１１Ｃ間において送受信されるフレームＦ２，Ｆ３，Ｆ４，Ｆ５が中継処理条件を満たすものとなり、中継装置１０１においてフレームＦ２，Ｆ３，Ｆ４，Ｆ５の中継処理を行うことができる。

なお、本開示の実施の形態に係る車載通信システム３０１では、中継装置１０１における記憶部５１は、車載ＥＣＵ１１１の組と、車載ＥＣＵ１１１間において送受信されるフレームに付与される安全機構用のデータにさらに基づいて設定されるシステム安全レベルとの対応関係を示すシステム管理リストＬｓｙを記憶する構成であるとしたが、これに限定するものではない。記憶部５１は、車載ＥＣＵ１１１の組と、２つの車載ＥＣＵ１１１がそれぞれ有する機能安全レベルのみに基づいて設定されるシステム安全レベルとの対応関係を示すシステム管理リストＬｓｙを記憶する構成であってもよい。この場合、中継装置１０１は、要求安全レベルと、２つの車載ＥＣＵ１１１がそれぞれ有する機能安全レベルのみに基づくシステム安全レベルとの比較結果に基づいて、フレームの中継の可否を決定する。

また、本開示の実施の形態に係る車載通信システム３０１では、車載ＥＣＵ１１１は、ＬＬＤＰフレームにレベル情報Ｌ１を含めて中継装置１０１へ送信する構成であるとしたが、これに限定するものではない。車載ＥＣＵ１１１は、自己の機能安全レベルの中継装置１０１への通知を行わない構成であってもよい。すなわち、車載ＥＣＵ１１１は、ＬＬＤＰフレームにレベル情報Ｌ１を含めない構成であってもよい。この場合、中継装置１０１における更新部３１は、記憶部５１におけるシステム管理リストＬｓｙの更新を行わない構成であってもよい。

また、車載ＥＣＵ１１１は、ＬＬＤＰフレームの代わりに、ＬＬＤＰ以外のプロトコルに従うフレームにレベル情報Ｌ１を含めて中継装置１０１へ送信する構成であってもよい。たとえば、車載ＥＣＵ１１１は、ＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）に従うフレームにレベル情報Ｌ１を含めて中継装置１０１へ送信する構成であってもよい。

また、本開示の実施の形態に係る車載通信システム３０１では、車載ＥＣＵ１１１は、サービス探索メッセージが格納されたフレームＦ１にレベル情報Ｌ２を含めて中継装置１０１へ送信する構成であるとしたが、これに限定するものではない。車載ＥＣＵ１１１は、自己および他の車載ＥＣＵ１１１の間における通信に要求される要求安全レベルの中継装置１０１への通知を行わない構成であってもよい。すなわち、車載ＥＣＵ１１１は、フレームＦ１にレベル情報Ｌ２を含めない構成であってもよい。この場合、中継装置１０１における更新部３１は、記憶部５１におけるサービス管理リストＬｓｅの更新を行わない構成であってもよい。

また、車載ＥＣＵ１１１は、サービス探索メッセージが格納されたフレームＦ１の代わりに、フレームＦ１以外のフレームにレベル情報Ｌ２を含めて中継装置１０１へ送信する構成であってもよい。

また、本開示の実施の形態に係る車載通信システム３０１では、中継装置１０１は、ＳＯＭＥ／ＩＰに従うメッセージが格納されたフレームＦ２，Ｆ３，Ｆ４，Ｆ５を受信し、当該メッセージに含まれるサービスＩＤに対応する要求安全レベルと、システム安全レベルとの比較結果に基づいて、フレームＦ２，Ｆ３，Ｆ４，Ｆ５の中継の可否を決定する構成であるとしたが、これに限定するものではない。中継装置１０１は、ＳＯＭＥ／ＩＰに従うメッセージが格納されたフレーム以外のフレームを受信し、受信したフレームの中継の可否を決定する構成であってもよい。

また、本開示の実施の形態に係る車載通信システム３０１では、中継装置１０１は、フレームの中継を行わないことを決定した場合、当該フレームの宛先の車載ＥＣＵ１１１への中継を行うために必要な条件を送信元の車載ＥＣＵ１１１へ通知する構成であるとしたが、これに限定するものではない。中継装置１０１は、送信元の車載ＥＣＵ１１１への当該条件の通知を行わない構成であってもよい。すなわち、中継装置１０１は、通知部４１を備えない構成であってもよい。

また、本開示の実施の形態に係る中継装置１０１では、設定部２１は、中継部１１により受信されたフレームＦ１に格納されたサービス探索メッセージからサービスＩＤを取得し、取得したサービスＩＤを用いて、中継処理条件の設定を行う構成であるとしたが、これに限定するものではない。設定部２１は、予め、サービス管理リストＬｓｅにおける各サービスＩＤを用いて、中継処理条件の設定を行う構成であってもよい。

また、本開示の実施の形態に係る中継装置１０１では、中継部１１は、設定部２１による設定の内容に従って、フレームの中継処理を行う構成であるとしたが、これに限定するものではない。たとえば、設定部２１は、中継部１１によりフレームが受信されるたびに、当該フレームの中継の可否を決定する構成であってもよい。具体的には、以下のような構成であってもよい。

すなわち、中継部１１は、車載ＥＣＵ１１１からフレームを受信すると、受信したフレームを設定部２１へ出力し、設定部２１からの指示を受けるまで当該フレームの中継を保留する。

設定部２１は、要求安全レベルと、システム安全レベルとの比較結果に基づいて、フレームの中継の可否を決定する。具体的には、設定部２１は、中継部１１からフレームを受けて、受けたフレームに格納されたメッセージからサービスＩＤを取得し、記憶部５１におけるサービス管理リストＬｓｅから、取得したサービスＩＤに対応する要求安全レベルを取得する。また、設定部２１は、記憶部５１におけるシステム管理リストＬｓｙから、当該フレームの宛先ＭＡＣアドレスおよび送信元ＭＡＣアドレス等が示す通信システムのシステム安全レベルを取得する。そして、設定部２１は、取得した要求安全レベルと取得したシステム安全レベルとを比較し、システム安全レベルが要求安全レベル以上である場合、フレームを中継すべき旨を示す中継指示を中継部１１へ出力する一方で、システム安全レベルが要求安全レベル未満である場合、フレームを破棄すべき旨を示す破棄指示を中継部１１へ出力する。

中継部１１は、設定部２１による決定結果に基づいて、フレームの中継を行う。具体的には、設定部２１から中継指示を受けた場合、中継を保留していたフレームを宛先の車載ＥＣＵ１１１へ中継する。一方、設定部２１から破棄指示を受けた場合、中継を保留していたフレームを中継することなく破棄する。

上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

以上の説明は、以下に付記する特徴を含む。
［付記１］
複数の車載装置と、
中継装置とを備え、
第１の前記車載装置は、第２の前記車載装置との間において情報の送受信を行うための第２の前記車載装置宛のフレームを前記中継装置へ送信し、
前記中継装置は、前記第１の車載装置および前記第２の車載装置の間における通信に要求される安全性のレベルである要求安全レベルと、前記第１の車載装置および前記第２の車載装置がそれぞれ有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定し、
前記中継装置は、前記比較結果に基づいて、中継の可否に関する設定を行い、設定した内容に従って前記フレームの中継処理を行う、車載通信システム。

［付記２］
複数の車載装置と、中継装置とを備える車載通信システムにおける通信方法であって、
第１の前記車載装置が、第２の前記車載装置との間において情報の送受信を行うための第２の前記車載装置宛のフレームを前記中継装置へ送信するステップと、
前記中継装置が、前記第１の車載装置および前記第２の車載装置の間における通信に要求される安全性のレベルである要求安全レベルと、前記第１の車載装置および前記第２の車載装置がそれぞれ有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定するステップとを含む、通信方法。

１ 車両
２ ケーブル
１１ 中継部
１５，１５Ａ，１５Ｂ，１５Ｃ 通信ポート
２１ 設定部
３１ 更新部
４１ 通知部
５１ 記憶部
１０１ 中継装置
１１１，１１１Ａ，１１１Ｂ 車載ＥＣＵ
３０１ 車載通信システム
Ｌｓｙ システム管理リスト
Ｌｓｅ サービス管理リスト

Claims (8)

1. 複数の車載装置と、
   中継装置とを備え、
   第１の前記車載装置は、第２の前記車載装置との間において情報の送受信を行うための第２の前記車載装置宛のフレームを前記中継装置へ送信し、
   前記中継装置は、前記第１の車載装置および前記第２の車載装置の間における通信に要求される安全性のレベルである要求安全レベルと、前記第１の車載装置および前記第２の車載装置がそれぞれ有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定する、車載通信システム。
2. 前記中継装置は、前記要求安全レベルと、前記フレームに付与される安全機構用のデータにさらに基づく前記システム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定する、請求項１に記載の車載通信システム。
3. 前記中継装置は、前記車載装置の組と、前記システム安全レベルとの対応関係を示すシステム管理リストを記憶する記憶部を備え、
   前記車載装置は、自己の前記機能安全レベルを前記中継装置へ通知し、
   前記中継装置は、前記車載装置から通知された前記機能安全レベルに基づいて、前記記憶部における前記システム管理リストを更新する、請求項１または請求項２に記載の車載通信システム。
4. 前記中継装置は、前記車載装置間において送受信される情報の種類と、前記要求安全レベルとの対応関係を示すサービス管理リストを記憶する記憶部を備え、
   前記車載装置は、自己および他の前記車載装置の間における通信に要求される前記要求安全レベルを前記中継装置へ通知し、
   前記中継装置は、前記車載装置から通知された前記要求安全レベルに基づいて、前記記憶部における前記サービス管理リストを更新する、請求項１から請求項３のいずれか１項に記載の車載通信システム。
5. 前記第１の車載装置は、ＳＯＭＥ／ＩＰ（Ｓｃａｌａｂｌｅ ｓｅｒｖｉｃｅ－Ｏｒｉｅｎｔｅｄ ＭｉｄｄｌｅｗａｒＥ ｏｖｅｒ ＩＰ）に従うメッセージが格納された前記フレームを前記中継装置へ送信し、
   前記中継装置は、前記メッセージに含まれるサービスＩＤに対応する前記要求安全レベルと、前記システム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定する、請求項１から請求項４のいずれか１項に記載の車載通信システム。
6. 前記中継装置は、前記フレームの前記第２の車載装置への中継を行わないことを決定した場合、前記フレームの前記第２の車載装置への中継を行うために必要な条件を前記第１の車載装置へ通知する、請求項１から請求項５のいずれか１項に記載の車載通信システム。
7. 複数の車載装置を備える車載通信システムに用いられる中継装置であって、
   前記車載装置間における通信に要求される安全性のレベルである要求安全レベルと、前記各車載装置が有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記車載装置間において情報の送受信を行うためのフレームの中継の可否に関する設定を行う設定部と、
   前記設定部による設定の内容に従って、前記フレームの中継処理を行う中継部とを備える、中継装置。
8. 複数の車載装置を備える車載通信システムに用いられる中継装置における中継方法であって、
   前記車載装置間における通信に要求される安全性のレベルである要求安全レベルと、前記各車載装置が有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記車載装置間において情報の送受信を行うためのフレームの中継の可否に関する設定を行うステップと、
   設定した内容に従って、前記フレームの中継処理を行うステップとを含む、中継方法。

Images