JP2022524596A - 通信システムにおけるアタックサーフェスの縮小 - Google Patents

Abstract

本発明は、発信パケットまたは着信パケットと呼ばれるデータパケットを、それぞれ少なくとも１つの電子制御ユニットＩＶＩ、ＥＣＵ１、ＥＣＵ２から、または少なくとも１つの電子制御ユニットＩＶＩ、ＥＣＵ１、ＥＣＵ２へ、ルーティングするシステムおよび方法に関し、少なくとも１つの電子制御ユニットＩＶＩ、ＥＣＵ１、ＥＣＵ２は第１のインターフェースＩＦ１を介して通信システムＩＶＣへ接続され、通信システムＩＶＣは、複数のアクセスポイントＡＰＮ１、ＡＰＮ２を通って、それぞれ少なくとも１つの電気通信ネットワークＮＴＷ１、ＮＴＷ２へ、または少なくとも１つの電気通信ネットワークＮＴＷ１、ＮＴＷ２から発信パケットおよび着信パケットを転送するのに適しているモデムＭＤＭへ、第２のインターフェースＩＦ２を介して接続されており、各アクセスポイントＡＰＮ１、ＡＰＮ２は、セキュアであるまたはセキュアでなく、発信パケットおよび着信パケットは、アクセスポイントＡＰＮ１、ＡＰＮ２のタイプに従って処理され、それによってパケットは、少なくとも１つの電気通信ネットワークＮＴＷ１、ＮＴＷ２へ、または少なくとも１つの電気通信ネットワークＮＴＷ１、ＮＴＷから転送される。【選択図】図１

Description

本発明は、無線通信システム内のデータの転送の分野に関し、より詳細には、通信機器により実施されるデータ転送セキュリティに関する。

ＩＴセキュリティの課題の１つは、非承認プログラムのＩＴシステムソフトウェア環境の中への導入である。認証されていないユーザがそのようなプログラムをＩＴシステムに導入できる全てのアクセスポイントは、システムの「アタックサーフェス」として知られている。そのようなアクセスポイントは、例えば、通信プロトコルスタックの様々な層、特にＴＣＰ／ＩＰ（伝送制御プロトコル／インターネットプロトコル）層のサービスのためのアクセスポイントである。ＩＴシステムのアタックサーフェスの縮小は、重要なセキュリティ対策である。

自動車は、ますます複雑になっており、エンドユーザにより多くの特徴を提供するためにますます多くの電子制御ユニットを備える。これらの電子制御ユニットは、電気通信ネットワークを介して遠隔ＩＴシステムとのリンクを直接または間接的に確立するために、通信インターフェースを装備し、これによって自動車が「コネクテッド」になることを可能にするが、サイバー攻撃の新たな潜在的脅威をもたらす。

一部のアーキテクチャでは、自動車の電子制御ユニットは、広域電気通信ネットワークとの通信を確立するのに適しているＲＦ（高周波）モデムを有する通信システムを介して、これらの広域電気通信ネットワーク、例えば、インターネットにアクセスする。したがって、通信システムは、それ自体のアプリケーションに関連するデータ転送と、自動車の他の電子制御ユニットと広域電気通信ネットワークとの間のデータ転送との両方を実行する。通信システムおよび電子制御ユニットは、ローカルエリアネットワーク内で相互接続され、通信システムは、ローカルエリアネットワーク内のこれらのユニットに割り当てられたアドレスに従って、およびデータパケットのソースアドレスおよび宛先アドレスに従って、電子制御ユニットからのおよび電子制御ユニットへのデータストリームをリダイレクトする。

従来のシステムでは、リダイレクトは、上記通信システムのソフトウェア環境中で実施されているプロトコルスタックのＴＣＰ／ＩＰ層内で実施されるネットワークアドレス変換（ＮＡＴ）と呼ばれる技法により、広域電気通信ネットワークへアクセスできるようにする通信システムによって行われる。その場合、広域ネットワークから受信したデータストリームは、通信システムがデータの受信者でない場合でも、通信システムによって実行されるＴＣＰ／ＩＰプロトコルスタックによって処理されなければならない。したがって、認証されていないデータが、通信システムのソフトウェア環境に導入される可能性がある。

ある種のデータストリーム、例えば、マルチメディアコンテンツは、機械的にセキュアでなく、通信システムのＴＣＰ／ＩＰプロトコルスタックによるその取扱いは、セキュリティの脆弱性をもたらす可能性があるが、それらを拒否するとユーザ経験の低下が引き起こされ得る。したがって、通信システムをサイバー攻撃にさらすことなく、様々な電子制御ユニットと広域電気通信ネットワークの間のデータ転送を確実にすることに対する需要が存在する。

サービスベースのルーティング選択を実現するとともに、データストリームの識別を必要とするシステムおよび方法が、文献ＣＮ１０１１２７６９８Ｂから知られており、ここではプロトコルスタックの上位層の関与が想定されている。

したがって、通信システムのソフトウェア環境のセキュリティを保ちつつ、データを検査することによって事前にストリームが識別されることを必要とせずに、広域電気通信ネットワークと自動車の電子制御ユニットとの間でデータをルーティングできることに対する需要が存在する。

本発明の目的は、従来技術の上述した欠点に対処することである。

この目的のために、本発明の第１の態様は、少なくとも１つの電子制御ユニットから来るまたは少なくとも１つの電子制御ユニットへ向かう、それぞれ発信パケット、着信パケットと呼ばれるデータパケットのルーティング方法であって、少なくとも１つの電子制御ユニットは第１のインターフェースを介して通信システムに接続され、通信システムは、複数のアクセスポイントを介して、少なくとも１つの電気通信ネットワークへ、および少なくとも１つの電気通信ネットワークから、それぞれ発信パケットおよび着信パケットを転送するのに適しているモデムへ、第２のインターフェースを介して接続されており、各アクセスポイントは、セキュアまたは非セキュアタイプであるとともに、電子制御ユニットに関連付けられ、この方法は、通信システムによって実行され、
－ 着信処理ステップ、および／または
－ 発信処理ステップを含む。

着信処理ステップは、
－ 第２のインターフェースを介して着信パケットおよびアクセスポイントの識別子を受信する第１の受信ステップであり、アクセスポイントを介して着信パケットが電気通信ネットワークからモデムによって受信されており、アクセスポイントは、受信アクセスポイントと呼ばれる、第１の受信ステップと、
－ 受信アクセスポイントのタイプを決定する第１の決定ステップとを含む。受信アクセスポイントが非セキュアタイプである場合、この方法は、受信者ユニットと呼ばれる、受信アクセスポイントに対応する電子制御ユニットを識別する、第１の識別ステップと、第１のインターフェースを介して、ＴＣＰ／ＩＰ層が関与することなく、ＴＣＰ／ＩＰプロトコルスタックのデータリンク層で、着信パケットを受信者ユニットへ転送する第１の転送ステップとを含む。受信アクセスポイントがセキュアタイプである場合、この方法は、通信システムにより実行されるＴＣＰ／ＩＰ電気通信プロトコルスタックによって着信パケットを処理する第１の内部処理ステップを含む。

発信処理ステップは、
－ ソースユニットと呼ばれる電子制御ユニットから発信パケットを第１のインターフェースを介して受信する第２の受信ステップと、
－ 伝送アクセスポイントと呼ばれる、電子的ソースユニットに対応するアクセスポイントを識別する、第２の識別ステップと、
－ 伝送アクセスポイントのタイプを決定する第２の決定ステップとを含む。伝送アクセスポイントが非セキュアタイプである場合、この方法は、第２のインターフェースを介して、ＴＣＰ／ＩＰプロトコルスタックのＴＣＰ／ＩＰ層が関与することなく、ＴＣＰ／ＩＰプロトコルスタックのデータリンク層で、モデムに発信パケットおよび伝送アクセスポイントの識別子を転送する第２の転送ステップを含む。伝送アクセスポイントがセキュアタイプである場合、この方法は、通信システムによって実行されるＴＣＰ／ＩＰ電気通信プロトコルスタックによって発信パケットを処理する第２の内部処理ステップを含む。

好ましい実施形態によれば、本発明は、別々に使用され得る、または互いに部分的に組み合わされ得る、またはすっかり互いに組み合わされ得る以下の特徴のうちの１つまたは複数を含む。

第１のインターフェースは、セキュアなアクセスポイントを含むセキュアな仮想ネットワークの少なくとも一部を実装するための、および少なくとも１つの電子制御ユニットと通信システムの間のデータリンク層を実装するポイントツーポイントローカルエリアネットワークを実装するための、データ伝送物理層および複数の論理層を備える。第１の転送ステップは、データリンク層に従ってヘッダを着信パケットに追加する第１のサブステップを含み、および／または第２の転送ステップは、通信システムとモデムの間のデータリンクプロトコルに従ってヘッダを発信パケットに追加する第２のサブステップを含む。

第１の転送ステップは、着信パケットの受入れを確認する第１のサブステップを含んでもよい。

好ましい実施形態では、
－ 少なくとも１つの電気通信ネットワークは、モバイル通信機器との通信ネットワークであり、
－ 第１の内部処理ステップおよび／または第２の内部処理ステップは、それぞれ、少なくとも１つの電気通信ネットワークとセキュアな仮想ネットワークの一部との間のアドレス変換（ＮＡＴ）の第１、第２のサブステップを含む。
－ 第１のインターフェースは、イーサネットインターフェースである。

本発明は、コンピューティングシステムのプロセッサにより実行されるときに、前述したデータパケットルーティング方法の実施をもたらす命令を含む、コンピュータプログラムにも関する。

本発明は、
－ 第１のインターフェースを介して少なくとも１つの電子制御ユニットに、および
－ 第２のインターフェースを介してモデムに
接続されるのに適している通信システムにも関し、このモデムは、複数のアクセスポイントを介して、少なくとも１つの電気通信ネットワークへ、または少なくとも１つの電気通信ネットワークから、それぞれ発信パケットまたは着信パケットと呼ばれるデータパケットを、それぞれ少なくとも１つの電子制御ユニットからまたは少なくとも１つの電子制御ユニットへ転送するのに適しており、各アクセスポイントは、セキュアまたは非セキュアタイプであり、電子制御ユニットに関連付けられている。

通信システムは、
－ ソースユニットと呼ばれる少なくとも１つの電子制御ユニットから発信パケットを受信する第１の受信手段と、
－ 伝送アクセスポイントと呼ばれる、電子的ソースユニットに対応するアクセスポイントを識別する、識別手段と、
－ 着信パケットおよびアクセスポイントの識別子をモデムから受信する第２の受信手段であり、アクセスポイントを介して着信パケットが電気通信ネットワークからモデムによって受信されており、アクセスポイントは、受信アクセスポイントと呼ばれる、第２の受信手段と、
－ 伝送アクセスポイントおよび／または受信アクセスポイントのタイプを決定する決定手段と、
－ ＴＣＰ／ＩＰプロトコルスタックのＴＣＰ／ＩＰ層が関与することなく、ＴＣＰ／ＩＰプロトコルスタックのリンク層で、
〇 伝送アクセスポイントタイプが非セキュアである場合、発信パケットおよび伝送アクセスポイントの識別子をモデムに、
〇 受信アクセスポイントタイプが非セキュアである場合、着信パケットを受信者ユニットに
転送する転送手段と、
－ 受信アクセスポイントタイプがセキュアである場合、ＴＣＰ／ＩＰ電気通信プロトコルスタックによって着信パケットおよび／または発信パケットを処理する内部処理手段と、をさらに備える。

本発明の別の態様は、共有メモリ、イーサネット、ＵＳＢ、またはＣＡＮタイプの第１のインターフェースを介して接続される、前述したような通信システムと、少なくとも１つの電子制御ユニットとを備える、モバイル通信機器に関する。

本発明は、前述したような通信機器を備える、自動車にも関する。

本発明の他の特徴および利点は、例にとして与えられ、全く限定でなく、添付図面によって図示されている下記の詳細な説明を読むと、より明確になろう。

本発明を実施することができる無線通信機器の一例を概略的に表す図である。 本発明を実施することができる無線通信機器のアーキテクチャを概略的に表す図である。 本発明の一実施形態によるデータパケットルーティング方法のステップを概略的に表す図である。 本発明の一実施形態によるデータパケットルーティング方法の着信処理ステップを概略的に表す図である。 本発明の一実施形態によるデータパケットルーティング方法の発信処理ステップを概略的に表す図である。

図１には、本発明を実施することができる無線通信機器ＥＳが概略的に示されている。この機器ＥＳ（例えば、自動車のマルチメディア管理システム）は、２つの広域電気通信ネットワークＮＴＷ１、ＮＴＷ２に接続されている。

通信機器ＥＳは、第１のインターフェースＩＦ１を介して接続されている、マルチメディアシステムＩＶＩと、アプリケーションサービスを提供する２つの電子制御ユニットＥＣＵ１、ＥＣＵ２と、通信システムＩＶＣとを備える。マルチメディアシステムＩＶＩは、マルチメディアシステムＩＶＩがコンピュータを組み込むので、本出願における制御ユニットとそれ自体等価である。

通信システムＩＶＣは、通信システムＩＶＣとの接続、およびそれを通じた電子制御ユニットＩＶＩ、ＥＣＵ１、ＥＣＵ２から広域電気通信ネットワークＮＴＷ１、ＮＴＷ２との接続を可能にする高周波モデムＭＤＭ、例えば、ＧＰＲＳ、ＵＭＴＳ、およびＬＴＥマルチモードモデムを有する。

電子制御ユニットＩＶＩ、ＥＣＵ１、ＥＣＵ２は、アクセスポイントＡＰＮ１、ＡＰＮ２を介して広域電気通信ネットワークにアクセスする。各アクセスポイントは、このアクセスポイントを通過するデータがＩＴシステムのセキュリティリスクをもたらさないと考えられる場合にセキュアタイプとなり得、またはそうでない場合に非セキュアタイプとなり得る。各アクセスポイントは、電子制御ユニットに関連しており、逆も同様である。

高周波モデムＭＤＭは、インターフェースＩＦ２を介して通信システムＩＶＣに接続されている。

通信システムＩＶＣは、プロセッサＰと、コンピュータプログラムおよびデータを記憶するメモリＭＥＭｐ、ＭＥＭｄと、通信インターフェースＩＦ１、ＩＦ２への接続をそれぞれ提供する専用回路ＥＴＨ、Ｉとをさらに備える。無線通信機器ＥＳは、ある種の実施形態において、プロセッサＰおよびメモリＭＥＭｐ、ＭＥＭｄを使用するソフトウェアモジュールと協働する電子回路によって実施され得る以下の専用手段も備える。
● ソースユニットと呼ばれる電子制御ユニットＩＶＩ、ＥＣＵ１、ＥＣＵ２のうちの１つから発信パケットを受信する第１の受信手段ＩＦ１、ＥＴＨ、Ｐ、ＭＥＭｐ、ＭＥＭｄ
● 伝送アクセスポイントと呼ばれる、電子的ソースユニットＩＶＩ、ＥＣＵ１、ＥＣＵ２に対応するアクセスポイントＡＰＮ１、ＡＰＮ２を識別する識別手段
● モデムＭＤＭから着信パケットおよびアクセスポイントＡＰＮ１、ＡＰＮ２の識別子を受信する第２の受信手段ＩＦ２、Ｉ、Ｐ、ＭＥＭｐ、ＭＥＭｄであって、これによって着信パケットが受信アクセスポイントと呼ばれる電気通信ネットワークＮＴＷ１、ＮＴＷ２からモデムＭＤＭによって受信されている、第２の受信手段ＩＦ２、Ｉ、Ｐ、ＭＥＭｐ、ＭＥＭｄ
● 伝送アクセスポイントおよび／または受信アクセスポイントのタイプを決定する決定手段Ｐ、ＭＥＭｐ、ＭＥＭｄ
● 以下に説明されるように、それぞれ受信アクセスポイントタイプ、伝送アクセスポイントタイプの関数として、着信パケットおよび発信パケットを転送する手段Ｐ、ＭＥＭｐ、ＭＥＭｄ、Ｉ、ＥＴＨ、ならびに着信パケットおよび発信パケットを内部処理する手段Ｐ、ＭＥＭｐ、ＭＥＭｄ

図２は、関与する機能モジュールおよび実施されるデータ経路を強調して、通信機器ＥＳのアーキテクチャの要素を概略的に表す。

一例として、たった１つの電子制御ユニット（ＩＶＩ）が表されている。

電子制御ユニットＩＶＩによって広域ネットワークＮＴＷ１、ＮＴＷ２へ伝送されるデータパケットは、電子制御ユニットＩＶＩによって第１のインターフェースＩＦ１を介して通信システムＩＶＣへ伝送することによって送られ、通信システムＩＶＣは、受信者広域ネットワークＮＴＷ１、ＮＴＷ２への伝送のために、このパケットを第２のインターフェースＩＦ２を介して高周波モデムＭＤＭへルーティングする。

同様に、広域ネットワークＮＴＷ１、ＮＴＷ２から来て電子制御ユニットＩＶＩ、ＥＣＵ１、ＥＣＵ２へ向かうデータパケットは、受信者の電子ユニットへルーティングされるために、高周波モデムＭＤＭによって受信され、次いで、第２のインターフェースＩＦ２を介して通信システムＩＶＣへ伝送される。

通信システムＩＶＣは、インターフェースＩＦ１、ＩＦ２を制御する「インターフェースドライバ」モジュールを実施する。示された例では、第１のインターフェースＩＦ１は、「ＩＦ１ドライバ」モジュールによって制御されるイーサネットインターフェースであり、第２のインターフェースＩＦ２は、「ＭＤＭドライバ」モジュールによって制御される共有メモリインターフェースである。

電気通信ネットワークＮＴＷ１、ＮＴＷ２と通信するために、高周波モデムＭＤＭは、ＩＰセルラーパケットトランスポートプロトコル、すなわち、「パケットデータプロトコル」の省略形であるプロトコル「ＰＤＰ」を実施する。このＰＤＰプロトコルによれば、モデムＭＤＭは、「ＰＤＰコンテキスト」と呼ばれるとともに電気通信ネットワークＮＴＷ１、ＮＴＷ２内のデータストリームを処理およびルーティングするのに使用されるタイプのデータ構造を定義する。モデムＭＤＭは、使用されるアクセスポイントごとにＰＤＰコンテキスト構造を設定する。したがって、ＰＤＰプロトコルおよびＰＤＰコンテキストデータ構造を使用することによって、モデムＭＤＭによりデータパケットが受信されるアクセスポイントが、識別され得る。

すでに述べたように、各アクセスポイントＡＰＮ１、ＡＰＮ２は、電子制御ユニットＩＶＩ、ＥＣＵ１、ＥＣＵ２に関連付けられている。この関連付けは、通信機器ＥＳのユーザに提供されるサービスによって決定され得る。例えば、ＩＶＩは、非セキュアと考えられるインターネットネットワークＮＴＷ２への接続を有しなければならない。ＩＶＩは、セキュアであると考えられる自動車製造業者の内部ネットワーク（ＮＴＷ１）への接続も要求し、ＩＶＣは、制御ユニットＩＶＩとのこのセキュアな接続を共有するためにアドレス変換モジュール（ＮＡＴ）を使用する。

いくつかの実施形態では、アクセスポイントＡＰＮ１、ＡＰＮ２ｌ、・・・、ＡＰＮｉと、電子制御ユニットＩＶＩ、ＥＣＵ１、ＥＣＵ２、・・・、ＥＣＵｊとの間の関連付けは、１対１である。

他の実施形態では、電子制御ユニット（ＥＣＵｋ）は、他の電子制御ユニットＥＣＵｋ１、ＥＣＵｋ２、ＥＣＵｋｎが非セキュアアクセスポイントＡＰＮｋ１、ＡＰＮｋ２、・・・、ＡＰＮｋｎにアクセスすることを可能にするために、通信システムＩＶＣとの電子制御ユニット（ＥＣＵｋ）の接続を、他の電子制御ユニットＥＣＵｋ１、ＥＣＵｋ２、ＥＣＵｋｎと共有することができる。その場合には、電子制御ユニットＥＣＵｋ１、ＥＣＵｋ２、ＥＣＵｋｎ向けの全てのパケットは、通信システムＩＶＣによって電子制御ユニットＥＣＵｋへ転送される。次いで、電子制御ユニットＥＣＵｋは、知られた技法、例えば、アドレス変換機構に従って、電子制御ユニットＥＣＵｋ１、ＥＣＵｋ２、ＥＣＵｋｎへのパケットのアドレス指定を管理することができる。

どちらの場合も、本発明によるデータパケットルーティング方法は、通信システムＩＶＣによって実施されるプロトコルスタックのＴＣＰ／ＩＰ層が関与することなく、非セキュアアクセスポイントからのまたは非セキュアアクセスポイントへのパケットの転送を確実にし、したがって、通信システムＩＶＣを非セキュアデータストリームにさらすことなく、これらの非セキュアアクセスポイントを介して提供されるサービスにユーザがアクセスすることを可能にする。

以下、本文献では、電子制御ユニットから来るデータパケットは「発信パケット」と呼ばれ、電子制御ユニットへ向かうデータパケットは「着信パケット」と呼ばれる。通信システムＩＶＣによってそれぞれ着信データパケット、発信データパケットに適用される処理動作は、それぞれ「着信処理」、「発信処理」動作と呼ばれる。

通信システムＩＶＣによって実施されるルーティング方法は、図３に示されるように、着信処理ステップＥ１００、および／または発信処理ステップＥ２００を含む。

次に、本発明の一実施形態による着信処理ステップＥ１００が、図２および図４を参照して詳述される。

着信パケットが電気通信ネットワークＮＴＷ１、ＮＴＷ２から受信されているとき、モデムＭＤＭは、ＰＤＰプロトコルおよびＰＤＰコンテキストデータ構造によって、それを介してこのデータパケットが受信されたアクセスポイントを識別する。このアクセスポイントの識別子は、受信したデータパケットと共に第２のインターフェースＩＦ２を介して通信システムＩＶＣへ伝送される。

通信システムＩＶＣは、第１の受信ステップＥ１１０中に、第２のインターフェースＩＦ２を介して、着信パケットおよび受信アクセスポイントＡＰＮ１、ＡＰＮ２の識別子を受信する。これらの情報項目は、「ＭＤＭドライバ」によって処理される。

次いで、第１の決定ステップＥ１２０中に、受信アクセスポイントのタイプが決定される。ＩＶＣがモデムに（ネットワークＮＴＷ１を識別する）所与のＡＰＮへの接続をセットアップするように要求するとき、ＩＶＣは、この接続のためにデータを送受信できることが望まれるのはどのＩＦ２の論理チャンネルかを示す。それは、データがネットワークＮＴＷ１またＮＴＷ２に属するかＩＶＣが判定することを可能にするＡＰＮ／論理チャンネルの関連付けである。

まず、着信パケットが非セキュアタイプのアクセスポイントＡＰＮ２を介してネットワークＮＴＷ２から受信されると仮定する。

したがって、ステップＥ１２０の実行後に、受信アクセスポイントが非セキュアタイプであることが決定される。

この場合、通信システムＩＶＣは、受信者ユニットと呼ばれる受信アクセスポイントに対応する電子制御ユニット（ＩＶＩ）を識別する第１の識別ステップＥ１３０を実行する。

次いで、受信者ユニットＩＶＩへ着信パケットを転送する第１の転送ステップＥ１４０が実行される。このステップ中に、転送が、ＴＣＰ／ＩＰ層が関与することなく、ＩＶＣ通信システムのＴＣＰ／ＩＰプロトコルスタックのデータリンク層で実行される。言い換えれば、転送は、ネットワーク層の介入なしで、ＩＰパケットのカプセル化のみを修正することによって、データの再コピー（または「ｍｅｍｃｏｐｙ」）を行うことなく、およびパケットの形式および内容を解析することなく実行される。

サブステップＥ１４２中に、ＰＤＰプロトコル層を管理するドライバ（「ＭＤＭドライバ」）によって伝送されるフレームの開始フィールドおよび終了フィールドだけが、第１のインターフェースＩＦ１のデータリンク層に特有のフィールドによって除去および置換される。

いくつかの実施形態では、第１の転送ステップＥ１４０は、着信パケットの受入れを確認する第１のサブステップＥ１４４を含む。この確認は、従来のデータ処理中にＴＣＰ／ＩＰ層によって伝送される受入れ確認と同様のやり方でＰＤＰプロトコル層を管理するドライバ（「ＭＤＭドライバ」）によって使用され得る。

ステップＥ１４０中に実行される転送は、図２に示された例ではイーサネットインターフェースである第１のインターフェースＩＦ１を使用する。この場合には、ＰＤＰプロトコル層を管理するドライバ（「ＭＤＭドライバ」）により受信されるＩＰパケットは、このプロトコルに特有のフィールドの追加によってイーサネットフレーム内にカプセル化される。「宛先アドレス」フィールドは、通信機器ＥＳ内に形成されたイーサネットローカルエリアネットワーク内で受信者ユニットＩＶＩに割り当てられたアドレスが充てられる。

次いで、イーサネットフレームおよびこれらのフレーム内に含まれるＩＰパケットは、受信者ユニットＩＶＩのＴＣＰ／ＩＰプロトコルスタックによって従来の方法で処理され、アプリケーションデータは、アプリケーションＡＰＰ２へ供給される。

もちろん、他のインターフェースが、第１のインターフェースＩＦ１、例えば、ＵＳＢインターフェースまたはＣＡＮデータバスを実装するために使用されてもよい。

非セキュアタイプのアクセスポイントを介して受信されたパケットのために実施されるデータ経路は、図２の点線によって表されている。

ここで、着信パケットは、セキュアタイプのアクセスポイントＡＰＮ１を介してネットワークＮＴＷ１から受信されると仮定する。したがって、ステップＥ１２０の実行後に、受信アクセスポイントがセキュアタイプであることが決定される。

この場合、通信システムＩＶＣは、第１の内部処理ステップＥ１５０を実行する。着信パケットは、通信システムＩＶＣによって実行されるＴＣＰ／ＩＰ電気通信プロトコルスタックによって処理される。最終的なアプリケーションＡＰＰ１、ＡＰＰ１’が通信システムＩＶＣ自体のアプリケーション層によって、または電子制御ユニットＩＶＩ、ＥＣＵ１、ＥＣＵ２のアプリケーション層によって実行され得ることに留意されたい。後者の場合には、通信システムＩＶＣは、ＴＣＰ／ＩＰ層が関与するアドレス変換技法ＮＡＴに従って、セキュアなアクセスを他の電子制御ユニットと共有する。アクセスポイントＡＰＮ１がセキュアタイプであるとき、通信システムＩＶＣによって実行されるＴＣＰ／ＩＰプロトコルスタックによる内部処理は、システムのセキュリティを保つ。

セキュアなアクセスポイントＡＰＮ１を介して受信されるパケットのために実施され、アプリケーションＡＰＰ１、ＡＰＰ１’によって使用されることが意図され、それぞれ通信システムＩＶＣおよび電子制御ユニットＩＶＩによって実行されるデータ経路は、図２の実線によって表される。

次に、本発明の一実施形態による発信処理ステップＥ２００が、図５を参照して詳述される。

通信システムＩＶＣは、第２の受信ステップＥ２１０中に、第１のインターフェース（ＩＦ１）を介して、ソースユニットと呼ばれる電子制御ユニット（ＩＶＩ、ＥＣＵ１、ＥＣＵ２）からの発信パケットを受信する。

次いで、第２の識別ステップＥ２２０中に、伝送アクセスポイントと呼ばれる電子的ソースユニットＩＶＩ、ＥＣＵ１、ＥＣＵ２に対応するアクセスポイントＡＰＮ１、ＡＰＮ２が識別される。

第２の決定ステップＥ２３０中に、伝送アクセスポイントＡＰＮ１、ＡＰＮ２のタイプが決定される。

伝送アクセスポイントＡＰＮ２が非セキュアタイプである場合、第２の転送ステップＥ２４０は、発信パケットおよび伝送アクセスポイントＡＰＮ１、ＡＰＮ２の識別子をモデムＭＤＭに転送するように実行される。この転送は、第２のインターフェースＩＦ２を介して、ＴＣＰ／ＩＰプロトコルスタックのＴＣＰ／ＩＰ層が関与することなく、スタックのデータリンク層で実施される。着信処理ステップＥ１００の場合のように、転送は、ネットワーク層の介入なしで、ＩＰパケットのカプセル化のみを修正することによって、データの再コピー（または「ｍｅｍｃｏｐｙ」）を行うことなく、およびパケットの形式および内容を解析することなく実行される。

第１のインターフェースのデータリンク層によって伝送されるフレームの開始フィールドおよび終了フィールドだけが、ＰＤＰプロトコル層に特有のフィールドによって除去および置換される。したがって、通信システムＩＶＣは、非セキュアデータストリームにさらされない。

非セキュアタイプのアクセスポイントを介してパケットを送信するために実施されるデータ経路は、図２の点線によって表される。

第２の決定ステップＥ２３０の実行後、伝送アクセスポイントはセキュアタイプであることであるという結果の場合、例えば、アクセスポイントＡＰＮ１において、通信システムＩＶＣにより実行されるＴＣＰ／ＩＰ電気通信プロトコルスタックによって発信パケットについての第２の内部処理ステップＥ２５０が続く。着信処理ステップの場合におけるように、発信処理ステップ中に実行される内部処理は、セキュアなデータストリームのみと関係がある。

アプリケーションＡＰＰ１、ＡＰＰ１’からセキュアなアクセスポイントＡＰＮ１を介してパケットを送信するために実施され、通信システムＩＶＣおよび電子制御ユニットＩＶＩによってそれぞれ実施されるデータ経路は、図２の実線によって表される。従来通り、通信システムＩＶＣは、ＴＣＰ／ＩＰ層が関与するアドレス変換技法ＮＡＴに従って、セキュアなアクセスを他の電子制御ユニットと共有する。アクセスポイントＡＰＮ１がセキュアなタイプのとき、通信システムＩＶＣによって実行されるＴＣＰ／ＩＰプロトコルスタックによる内部処理が、システムのセキュリティを保つ。

好ましい実施形態では、第１のインターフェースＩＦ１は、データ伝送物理層および複数の論理層を備える。この構成は、
● 電子制御ユニットＩＶＩ、ＥＣＵ１、ＥＣＵ２、およびセキュアなアクセスポイントＡＰＮ１上のサービスへのアクセスポイントを備えるセキュアな仮想ネットワークＶ１の少なくとも一部、ならびに
● 電子制御ユニットＩＶＩ、ＥＣＵ１、ＥＣＵ２と通信システムＩＶＣの間のデータリンク層Ｌ２を実装するポイントツーポイントローカルエリアネットワークＶ２
を実装することを可能にする。

当業者に明らかである様々な修正および改善が、添付の特許請求の範囲によって定められる本発明の範囲から逸脱することなく、本明細書に記載されている本発明の様々な実施形態になされてもよいことが理解されよう。

Claims (8)

1. 少なくとも１つの電子制御ユニット（ＩＶＩ、ＥＣＵ１、ＥＣＵ２）から、または前記少なくとも１つの電子制御ユニット（ＩＶＩ、ＥＣＵ１、ＥＣＵ２）への、それぞれ発信パケット、着信パケットと呼ばれるデータパケットのルーティング方法であって、前記少なくとも１つの電子制御ユニット（ＩＶＩ、ＥＣＵ１、ＥＣＵ２）は第１のインターフェース（ＩＦ１）を介して通信システム（ＩＶＣ）に接続され、前記通信システム（ＩＶＣ）は、複数のアクセスポイント（ＡＰＮ１、ＡＰＮ２）を介して、少なくとも１つの電気通信ネットワーク（ＮＴＷ１、ＮＴＷ２）へ、および少なくとも１つの電気通信ネットワーク（ＮＴＷ１、ＮＴＷ２）から、それぞれ前記発信パケットおよび前記着信パケットを転送するのに適しているモデム（ＭＤＭ）へ、第２のインターフェース（ＩＦ２）を介して接続されており、各アクセスポイント（ＡＰＮ１、ＡＰＮ２）は、セキュアまたは非セキュアタイプであるとともに、電子制御ユニット（ＩＶＩ、ＥＣＵ１、ＥＣＵ２）に関連付けられ、前記方法は、前記通信システム（ＩＶＣ）によって実行され、
   着信処理ステップ（Ｅ１００）、および／または
   発信処理ステップ（Ｅ２００）
   を含み、
   前記着信処理ステップ（Ｅ１００）は、
   前記第２のインターフェース（ＩＦ２）を介して着信パケットおよびアクセスポイント（ＡＰＮ１、ＡＰＮ２）の識別子を受信する第１の受信ステップ（Ｅ１１０）であり、前記アクセスポイントを介して前記着信パケットが前記電気通信ネットワーク（ＮＴＷ１、ＮＴＷ２）から前記モデム（ＭＤＭ）によって受信されており、前記アクセスポイントは、受信アクセスポイント（ＡＰＮ１、ＡＰＮ２）と呼ばれる、第１の受信ステップ（Ｅ１１０）と、
   前記受信アクセスポイントのタイプを決定する第１の決定ステップ（Ｅ１２０）と、
   前記受信アクセスポイント（ＡＰＮ２）が前記非セキュアタイプである場合に、
   受信者ユニットと呼ばれる、前記受信アクセスポイントに対応する電子制御ユニット（ＩＶＩ、ＥＣＵ１、ＥＣＵ２）を識別する、第１の識別ステップ（Ｅ１３０）と、
   前記第１のインターフェース（ＩＦ１）を介して、ＴＣＰ／ＩＰ層が関与することなく、ＴＣＰ／ＩＰプロトコルスタックのデータリンク層で、前記着信パケットを前記受信者ユニット（ＩＶＩ、ＥＣＵ１、ＥＣＵ２）へ転送する第１の転送ステップ（Ｅ１４０）と、
   前記受信アクセスポイント（ＡＰＮ１）が前記セキュアタイプである場合に、
   前記通信システム（ＩＶＣ）により実行されるＴＣＰ／ＩＰ電気通信プロトコルスタックによって前記着信パケットを処理する第１の内部処理ステップ（Ｅ１５０）と
   を含み、
   前記発信処理ステップ（Ｅ２００）は、
   ソースユニットと呼ばれる電子制御ユニット（ＩＶＩ、ＥＣＵ１、ＥＣＵ２）から発信パケットを前記第１のインターフェース（ＩＦ１）を介して受信する第２の受信ステップ（Ｅ２１０）と、
   伝送アクセスポイントと呼ばれる、電子的ソースユニット（ＩＶＩ、ＥＣＵ１、ＥＣＵ２）に対応するアクセスポイント（ＡＰＮ１、ＡＰＮ２）を識別する、第２の識別ステップ（Ｅ２２０）と、
   前記伝送アクセスポイント（ＡＰＮ１、ＡＰＮ２）のタイプを決定する第２の決定ステップ（Ｅ２３０）と、
   前記伝送アクセスポイント（ＡＰＮ２）が前記非セキュアタイプである場合に、
   前記第２のインターフェース（ＩＦ２）を介して、ＴＣＰ／ＩＰプロトコルスタックのＴＣＰ／ＩＰ層が関与することなく、ＴＣＰ／ＩＰプロトコルスタックのデータリンク層で、前記モデム（ＭＤＭ）に前記発信パケットおよび前記伝送アクセスポイント（ＡＰＮ１、ＡＰＮ２）の識別子を転送する第２の転送ステップ（Ｅ２４０）と、
   前記伝送アクセスポイント（ＡＰＮ１）が前記セキュアタイプである場合に、
   前記通信システム（ＩＶＣ）によって実行されるＴＣＰ／ＩＰ電気通信プロトコルスタックによって前記発信パケットを処理する第２の内部処理ステップ（Ｅ２５０）と
   を含む、ルーティング方法。
2. 前記第１のインターフェース（ＩＦ１）は、セキュアなアクセスポイント（ＡＰＮ１）を含むセキュアな仮想ネットワーク（Ｖ１）の少なくとも一部を実装するための、および前記少なくとも１つの電子制御ユニット（ＩＶＩ、ＥＣＵ１、ＥＣＵ２）と前記通信システム（ＩＶＣ）の間のデータリンク層（Ｌ２）を実装するポイントツーポイントローカルエリアネットワーク（Ｖ２）を実装するための、データ伝送物理層および複数の論理層を備え、
   前記第１の転送ステップ（Ｅ１４０）は、前記データリンク層（Ｌ２）に従ってヘッダを前記着信パケットに追加する第１のサブステップ（Ｅ１４２）を含み、および／または
   前記第２の転送ステップ（Ｅ２４０）は、前記通信システム（ＩＶＣ）と前記モデム（ＭＤＭ）の間のデータリンクプロトコルに従ってヘッダを前記発信パケットに追加する第２のサブステップ（Ｅ２４２）を含む
   請求項１に記載のルーティング方法。
3. 前記第１の転送ステップ（Ｅ１４０）は、前記着信パケットの受入れを確認する第１のサブステップ（Ｅ１４４）を含む、請求項１または２に記載のルーティング方法。
4. 前記少なくとも１つの電気通信ネットワーク（ＮＴＷ１、ＮＴＷ２）は、モバイル通信機器（ＥＳ、ＥＵ）との通信ネットワークであり、
   前記第１の内部処理ステップ（Ｅ１５０）および／または前記第２の内部処理ステップ（Ｅ２５０）は、それぞれ、前記少なくとも１つの電気通信ネットワーク（ＮＴＷ１、ＮＴＷ２）とセキュアな仮想ネットワーク（Ｖ１）の一部との間のアドレス変換（ＮＡＴ）の第１、第２のサブステップ（Ｅ１５２、Ｅ２５２）を含み、
   前記第１のインターフェース（ＩＦ１）は、イーサネットインターフェースである、
   請求項１から３のいずれか一項に記載のルーティング方法。
5. コンピューティングシステムのプロセッサにより実行されるときに、請求項１から４のいずれか一項に記載のルーティング方法の実施をもたらす命令を含む、コンピュータプログラム。
6. 第１のインターフェース（ＩＦ１）を介して少なくとも１つの電子制御ユニット（ＩＶＩ、ＥＣＵ１、ＥＣＵ２）に、および
   第２のインターフェース（ＩＦ２）を介してモデム（ＭＤＭ）
   に接続されるのに適している通信システム（ＩＶＣ）であって、前記モデム（ＭＤＭ）は、複数のアクセスポイント（ＡＰＮ１、ＡＰＮ２）を介して、少なくとも１つの電気通信ネットワーク（ＮＴＷ１、ＮＴＷ２）へ、または前記少なくとも１つの電気通信ネットワーク（ＮＴＷ１、ＮＴＷ２）から、それぞれ発信パケットまたは着信パケットと呼ばれるデータパケットを、それぞれ前記少なくとも１つの電子制御ユニット（ＩＶＩ、ＥＣＵ１、ＥＣＵ２）からまたは前記少なくとも１つの電子制御ユニット（ＩＶＩ、ＥＣＵ１、ＥＣＵ２）へ転送するのに適しており、各アクセスポイント（ＡＰＮ１、ＡＰＮ２）は、セキュアまたは非セキュアタイプであり、電子制御ユニット（ＩＶＩ、ＥＣＵ１、ＥＣＵ２）に関連付けられており、
   前記通信システム（ＩＶＣ）は、
   ソースユニットと呼ばれる前記少なくとも１つの電子制御ユニット（ＩＶＩ、ＥＣＵ１、ＥＣＵ２）から発信パケットを受信する第１の受信手段（ＩＦ１、ＥＴＨ、Ｐ、ＭＥＭｐ、ＭＥＭｄ）と、
   伝送アクセスポイント（ＡＰＮ１、ＡＰＮ２）と呼ばれる、電子的ソースユニット（ＩＶＩ、ＥＣＵ１、ＥＣＵ２）に対応するアクセスポイント（ＡＰＮ１、ＡＰＮ２）を識別する、識別手段と、
   着信パケットおよびアクセスポイント（ＡＰＮ１、ＡＰＮ２）の識別子を前記モデム（ＭＤＭ）から受信する第２の受信手段（ＩＦ２、Ｉ、Ｐ、ＭＥＭｐ、ＭＥＭｄ）であり、前記アクセスポイントを介して前記着信パケットが前記電気通信ネットワーク（ＮＴＷ１、ＮＴＷ２）から前記モデム（ＭＤＭ）によって受信されており、前記アクセスポイントは、受信アクセスポイント（ＡＰＮ１、ＡＰＮ２）と呼ばれる、第２の受信手段（ＩＦ２、Ｉ、Ｐ、ＭＥＭｐ、ＭＥＭｄ）と、
   前記伝送アクセスポイントおよび／または前記受信アクセスポイントのタイプを決定する決定手段（Ｐ、ＭＥＭｐ、ＭＥＭｄ）と、
   ＴＣＰ／ＩＰプロトコルスタックのＴＣＰ／ＩＰ層が関与することなく、ＴＣＰ／ＩＰプロトコルスタックのリンク層で、
   前記伝送アクセスポイントタイプが非セキュアである場合、前記発信パケットおよび前記伝送アクセスポイント（ＡＰＮ１、ＡＰＮ２）の前記識別子を前記モデム（ＭＤＭ）に、
   前記受信アクセスポイントタイプが非セキュアである場合、前記着信パケットを受信者ユニット（ＩＶＩ、ＥＣＵ１、ＥＣＵ２）に
   転送する転送手段（Ｐ、ＭＥＭｐ、ＭＥＭｄ、Ｉ、ＥＴＨ、ＩＦ１、ＩＦ２）と、
   前記受信アクセスポイントタイプがセキュアである場合、ＴＣＰ／ＩＰ電気通信プロトコルスタックによって前記着信パケットおよび／または前記発信パケットを処理する内部処理手段（Ｐ、ＭＥＭｐ、ＭＥＭｄ）と
   をさらに備える、通信システム（ＩＶＣ）。
7. イーサネット、ＵＳＢ、またはＣＡＮタイプの第１のインターフェース（ＩＦ１）を介して接続される、請求項６に記載の通信システム（ＩＶＣ）と、少なくとも１つの電子制御ユニット（ＩＶＩ、ＥＣＵ１、ＥＣＵ２）とを備える、モバイル通信機器（ＥＳ、ＵＥ）。
8. 請求項７に記載の通信機器（ＥＳ、ＵＥ）を備える、自動車（Ｖ）。

Images