JP2023024013A - 車載通信システム - Google Patents

Abstract

【課題】ブロードキャスト通信を行う複数のノードを含む構成において、グループ毎に仮想的なネットワーク分離ができる車載通信システムを提供することである。【解決手段】中継装置は、ステップＳ１５で、複数のＥＣＵのうち複数の仮想グループの一つである特定仮想グループに含まれているＥＣＵのみが起動しているか否かを判定する。中継装置は、ステップＳ１７では、特定仮想グループに含まれているＥＣＵのみが起動していると判定すると、そのＥＣＵが送受信する通信データを暗号化および復号化するための鍵データであり、特定仮想グループに固有の鍵データを配布する。【選択図】図５

Description

本開示は、車載通信システムに関する。

特許文献１には、ＣＡＮ（登録商標）の通信プロトコルに準拠したＣＡＮネットワークと、Ｅｔｈｅｒｎｅｔ（登録商標）の通信プロトコルに準拠したＥｔｈｅｒｎｅｔネットワークと、中継装置とを備えた車両ネットワークが開示されている。Ｅｔｈｅｒｎｅｔネットワークは、ＶＬＡＮを構築している。ＶＬＡＮは、Virtual Local Area Networkの略である。

特開２０１８－１２５６０１号公報

先行技術文献の構成は、ＶＬＡＮを構築しているため、Ｅｔｈｅｒｎｅｔネットワークに含まれているクライアントを仮想的にネットワーク分離できる。しかしながら、ブロードキャスト通信を行うネットワークでは、仮想的にネットワークを分離しようとしても、同じ通信線上のノードにデータを読まれてしまうという問題がある。

開示される一つの目的は、ブロードキャスト通信を行う複数のノードを含む構成において、グループ毎に仮想的なネットワーク分離ができる車載通信システムを提供することである。

ここに開示された車載通信システムは、
第１通信線（４１）と、第１通信線を介して通信データをブロードキャスト通信する複数のブロードキャストノード（２１～２６）と、第２通信線（４２）と、第２通信線を介して通信データを非ブロードキャスト通信する非ブロードキャストノード（３１～３４）と、少なくとも一つのブロードキャストノードと少なくとも一つの非ブロードキャストノードとを含む第１仮想グループと、少なくとも一つのブロードキャストノードを含む第２仮想グループを少なくとも含む複数の仮想グループを形成するとともに、ブロードキャストノードと非ブロードキャストノードとの間で通信データを中継する中継装置（１０）と、を備えた車両に搭載可能な車載通信システムであって、
中継装置は、
複数のブロードキャストノードのうち複数の仮想グループの一つである特定グループに含まれている対象ノードのみが起動しているか否かを判定する起動判定部（Ｓ１，Ｓ２，Ｓ１５，Ｓ２２）と、
対象ノードのみが起動していると判定すると、対象ノードが送受信する通信データを暗号化および復号化するための特定グループに固有の鍵情報を配布する鍵配布部（Ｓ３，Ｓ１７，Ｓ２３）と、を含み、
複数のブロードキャストノードは、
通信データを暗号化および復号化するために、起動中にのみ鍵情報を受信する受信部（Ｓ４）を備えている。

このように、車載通信システムの中継装置は、特定グループに含まれている対象ノードのみが起動している場合に、特定グループに固有の鍵情報を配布する。よって、車載通信システムは、特定グループに含まれているブロードキャストノードのみが、特定グループに固有の鍵情報を受信する。つまり、車載通信システムは、複数のブロードキャストノードが他の仮想グループに固有の鍵情報を受信することを防ぐことができる。

このため、鍵情報で暗号化された通信データは、その鍵情報を受信した特定グループのブロードキャストノードのみが復号化することができる。よって、車載通信システムは、ブロードキャスト通信を行う複数のブロードキャストノードを含む構成において、グループ毎に仮想的なネットワーク分離ができる。

さらに、ここに開示された車載通信システムは、
通信線（４１）と、通信線を介して通信データをブロードキャスト通信する複数のブロードキャストノード（２１～２７）と、少なくとも二つのブロードキャストノードを含む仮想グループを複数形成する通信制御装置（１０１）と、を備えた通信システムであって、
通信制御装置は、
複数のブロードキャストノードのうち複数の仮想グループの一つである特定グループに含まれている対象ノードのみが起動しているか否かを判定する起動判定部（Ｓ１，Ｓ２，Ｓ１５，Ｓ２２）と、
対象ノードのみが起動していると判定すると、対象ノードが送受信する通信データを暗号化および復号化するための特定グループに固有の鍵情報を配布する鍵配布部（Ｓ３，Ｓ１７，Ｓ２３）と、を含み、
複数のブロードキャストノードは、
通信データを暗号化および復号化するために、起動中にのみ鍵情報を受信する受信部（Ｓ４）を備えている。

このように、車載通信システムの通信制御装置は、特定グループに含まれている対象ノードのみが起動している場合に、特定グループに固有の鍵情報を配布する。よって、車載通信システムは、特定グループに含まれているブロードキャストノードのみが、特定グループに固有の鍵情報を受信する。つまり、車載通信システムは、複数のブロードキャストノードが他の仮想グループに固有の鍵情報を受信することを防ぐことができる。

このため、鍵情報で暗号化された通信データは、その鍵情報を受信した特定グループのブロードキャストノードのみが復号化することができる。よって、車載通信システムは、ブロードキャスト通信を行う複数のブロードキャストノードを含む構成において、グループ毎に仮想的なネットワーク分離ができる。

この明細書において開示された複数の態様は、それぞれの目的を達成するために、互いに異なる技術的手段を採用する。請求の範囲およびこの項に記載した括弧内の符号は、後述する実施形態の部分との対応関係を例示的に示すものであって、技術的範囲を限定することを意図するものではない。この明細書に開示される目的、特徴、および効果は、後続の詳細な説明、および添付の図面を参照することによってより明確になる。

第１実施形態における車載通信システムの概略構成を示すブロック図である。 第１実施形態における中継装置の機能を示す機能ブロック図である。 第１実施形態における第１ＥＣＵの機能を示す機能ブロック図である。 第１実施形態における車載通信システムの処理動作を示すフローチャートである。 第１実施形態における中継装置のＩＧオン時の処理動作を示すフローチャートである。 第１実施形態における中継装置のＩＧオフ時の処理動作を示すフローチャートである。 第１実施形態におけるテーブルの状態遷移を示すイメージ図である。 第１実施形態における第１ＥＣＵの処理動作を示すフローチャートである。 第１実施形態における第１ＥＣＵの処理動作を示すタイムチャートである。 第１実施形態における第１ＥＣＵの処理動作を示すタイムチャートである。 変形例における第１ＥＣＵの処理動作を示すタイムチャートである。 第２実施形態における第１ＥＣＵの処理動作を示すフローチャートである。 第２実施形態における第１ＥＣＵの処理動作を示すタイムチャートである。 第２実施形態における第１ＥＣＵの処理動作を示すタイムチャートである。 変形例における第１ＥＣＵの処理動作を示すタイムチャートである。 第３実施形態における車載通信システムの概略構成を示すブロック図である。

以下において、図面を参照しながら、本開示を実施するための複数の形態を説明する。各形態において、先行する形態で説明した事項に対応する部分には同一の参照符号を付して重複する説明を省略する場合がある。各形態において、構成の一部のみを説明している場合は、構成の他の部分については先行して説明した他の形態を参照し適用することができる。なお、図面においては、中継装置をＧＷＥＣＵ、処理装置をＰＲＤ、記憶装置をＳＲＤ、通信装置をＣＭＤと記載している。また、各ＥＣＵに関しては、全てＥＣＵと記載している。

（第１実施形態）
＜車載通信ネットワーク＞
図１を用いて、車載通信システムの構成に関して説明する。車載通信システムは、車両に搭載可能に構成された通信システムである。車載通信システムは、ブロードキャスト通信を行う通信ネットワークと、非ブロードキャスト通信を行う通信ネットワークとを備えている。非ブロードキャスト通信は、ユニキャスト通信やマルチキャスト通信などをあげることができる。

本実施形態では、ブロードキャスト通信を行う通信ネットワークの一例として、ＣＡＮの通信プロトコルに準拠したＣＡＮネットワークを採用する。一方、非ブロードキャスト通信を行う通信ネットワークの一例として、Ｅｔｈｅｒｎｅｔの通信プロトコルに準拠したＥｔｈｅｒｎｅｔネットワークを採用する。しかしながら、本開示は、これに限定されない。

ＣＡＮネットワークは、第１通信バス４１と、第１通信バス４１を介して通信データをブロードキャスト通信する複数のＥＣＵ２１～２６とを備えている。よって、複数のＥＣＵ２１～２６は、第１通信バス４１に通信可能な状態で接続されている。

各ＥＣＵ２１～２６は、ブロードキャストノードに相当する。本実施形態では、第１ＥＣＵ２１～第６ＥＣＵ２６の六つのブロードキャストノードが第１通信バス４１に接続された構成を採用している。しかしながら、ブロードキャストノードの個数は、これに限定されない。なお、各ＥＣＵ２１～２６は、ＣＡＮクライアントとも称することができる。

Ｅｔｈｅｒｎｅｔネットワークは、第２通信バス４２と、第２通信バス４２を介して通信データを非ブロードキャスト通信する複数のＥＣＵ３１～３４とを備えている。よって、複数のＥＣＵ３１～３４は、第２通信バス４２に通信可能な状態で接続されている。

また、Ｅｔｈｅｒｎｅｔネットワークは、各ＥＣＵ３１～３４と第２通信バス４２を介して個別に接続されたスイッチ６０を備えている。スイッチ６０は、後ほど説明する中継装置１０と第２通信バス４２で接続されている。よって、各ＥＣＵ３１～３４は、第２通信バス４２に加えてスイッチ６０を介して中継装置１０と接続されている。

スイッチ６０は、各ＥＣＵ３１～３４からのデータを受信した際に、受信ポートのＶＬＡＮ－ＩＤを確認する。そして、スイッチ６０は、受信ポートと同じＶＬＡＮ－ＩＤを持つポートに、受信したデータを転送する。これにより、Ｅｔｈｅｒｎｅｔネットワークは、ネットワークを分離することができる。

さらに、本実施形態では、Ｅｔｈｅｒｎｅｔネットワークの各ＥＣＵ３１～３４と、ＣＡＮネットワークの各ＥＣＵ２１～２６とが中継装置１０を介して通信可能に構成されている。スイッチ６０は、例えば中継装置１０と接続された共有ポートを備えている。各ＥＣＵ３１～３４は、スイッチ６０は、各ＥＣＵ３１～３４からのデータを受信した際に、受信ポートと同じＶＬＡＮ－ＩＤを持つポートだけでなく共有ポートにも受信したデータを転送する。これによって、各ＥＣＵ３１～３４は、ネットワーク分離した状態で、各ＥＣＵ２１～２６と通信できる。各ＥＣＵ２１～２６から各ＥＣＵ３１～３４への通信も同様である。なお、ＶＬＡＮ－ＩＤに関しては、後ほど詳しく説明する。なお、スイッチ６０は、中継装置１０に含まれていてもよい。

各ＥＣＵ３１～３４は、非ブロードキャストノードに相当する。本実施形態では、第１１ＥＣＵ３１～第１４ＥＣＵ３４の四つの非ブロードキャストノードが第２通信バス４２に接続された構成を採用している。しかしながら、非ブロードキャストノードの個数は、これに限定されない。なお、各ＥＣＵ３１～３４は、Ｅｔｈｅｒｎｅｔクライアントとも称することができる。

第１通信バス４１は、第１通信線に相当する。第１通信バス４１は、ＣＡＮバスと称されることもある。第２通信バス４２は、第２通信線に相当する。

また、車載通信システムは、中継装置１０を備えている。中継装置１０は、第１通信バス４１および第２通信バス４２と、通信可能な状態で接続されている。

車載通信システムは、第１ドメイン５１、第２ドメイン５２、第３ドメイン５３を備えている。各ドメイン５１～５３は、仮想グループに相当する。各ドメイン５１～５３は、仮想的に分離されたグループである。以下においては、各ドメイン５１～５３を区別する必要がない場合に仮想グループとも記載する。車載通信システムは、例えば、第１ドメイン５１が第１仮想グループ、第２ドメインが第２仮想グループに相当する。また、第１ドメイン５１と第２ドメイン５２のいずれか一方は、非ブロードキャストノードが含まれいなくてもよい。

各ドメイン５１～５３は、少なくとも一つのＣＡＮクライアントと少なくとも一つのＥｔｈｅｒｎｅｔクライアントとを含んでいる。つまり、各ドメイン５１～５３は、複数のＥＣＵ２１～２６の少なくとも一つと、複数のＥＣＵ３１～３４の少なくとも一つを含んでいる。

このように、車載通信システムは、ドメイン５１～５３毎に、ネットワーク分離されている。このため、通信データは、各ドメイン５１～５３内でのみ送受信される。例えば、第１ドメイン５１内で送信された通信データは、第１ドメイン５１に含まれているＥＣＵのみが受信できる。また、後ほど説明するが、通信データは、暗号化されて送信される。よって、第１ドメイン５１内で送信された通信データは、第１ドメイン５１に含まれているＥＣＵのみが復号化できるといえる。よって、第１ドメイン５１内で送信された通信データは、他のドメイン５２，５３に含まれているＥＣＵで受信（復号化）できない。

各ドメイン５１～５３には、機能の関連があるＥＣＵが集められている。第１ドメイン５１（ＤＯＭ１）は、第１ＥＣＵ２１～第３ＥＣＵ２３、第１１ＥＣＵ３１、第１２ＥＣＵ３２を含んでいる。また、第２ドメイン５２（ＤＯＭ２）は、第４ＥＣＵ２４の一部、第５ＥＣＵ２５、第６ＥＣＵ２６、第１４ＥＣＵ３４を含んでいる。さらに、第３ドメイン５３（ＤＯＭ３）は、第４ＥＣＵ２４の一部、第１３ＥＣＵ３３を含んでいる。

第１ＥＣＵ２１～第３ＥＣＵ２３、第１１ＥＣＵ３１、第１２ＥＣＵ３２は、同じ制御に関連する機能を有している。第４ＥＣＵ２４の一部、第５ＥＣＵ２５、第６ＥＣＵ２６、第１４ＥＣＵ３４は、第１ＥＣＵ２１などとは異なる同じ制御に関する機能を有している。第４ＥＣＵ２４の一部、第１３ＥＣＵ３３は、第５ＥＣＵ２５などとは異なる同じ制御に関する機能を有している。

各ＥＣＵ２１～２６，３１～３４が有している機能としては、ＡＤＡＳの制御に関連する機能、ボデー機器の制御に関連する機能、空調の制御に関連する機能、車両の走行制御に関連する機能などをあげることができる。ＡＤＡＳの制御は、先進運転支援システムの制御といえる。空調の制御は、サーマルシステムといえる。以下においては、各ドメイン５１～５３は、上記機能に応じて、ＡＤＡＳドメイン、ボデードメイン、サーマルドメイン、パワートレインドメインと称することができる。なお、以下においては、一例として、第１ドメイン５１をサーマルドメイン、第２ドメイン５２をボデードメイン、第３ドメイン５３をパワートレインドメインとする。

なお、第４ＥＣＵ２４は、後ほど説明する処理装置２０ａがマルチコア構成となっている。よって、第４ＥＣＵ２４の一部とは、一部のコアを示している。つまり、第４ＥＣＵ２４は、一部のコアが第２ドメイン５２、他のコアが第３ドメイン５３となっている。つまり、第４ＥＣＵ２４は、第２ドメイン５２と第３ドメイン５３とでＥＣＵ統合しているといえる。

本実施形態では、一例として、上記のような構成のドメイン５１～５３を採用している。しかしながら、本開示は、これに限定されない。つまり、ドメイン数、各ドメインの機能、ドメインに含まれるＥＣＵの数などは、上記に限定されない。

以下においては、第１ドメイン５１に含まれるＥＣＵをまとめて第１ドメインＥＣＵ、第２ドメイン５２に含まれるＥＣＵ（コア）をまとめて第２ドメインＥＣＵ、第３ドメイン５３に含まれるＥＣＵ（コア）をまとめて第３ドメインＥＣＵとも称する。

＜中継装置＞
中継装置１０は、処理装置１０ａ、記憶装置１０ｂ、通信装置１０ｃなどを備えている。処理装置１０ａは、ＣＰＵなどを採用することができる。処理装置１０ａは、記憶装置１０ｂに記憶されたプログラムを実行することで演算処理を行う。また、処理装置１０ａは、記憶装置１０ｂの記憶内容を参照しながら演算処理を行う。これによって、中継装置１０は、通常処理や鍵交換処理などの処理動作を実行する。

中継装置１０は、通常処理として、例えば、複数のＥＣＵ２１～２６と複数のＥＣＵ３１～３４との間における通信データの中継を行う。中継装置１０は、鍵交換処理を行うことで、複数のドメイン５１～５３を形成している。中継装置１０は、鍵交換処理として、各ＥＣＵ２１～２６に新しい鍵データを配布して各ＥＣＵ２１～２６，３１～３４の鍵データを新しい鍵データに交換する。以下においては、新しい鍵データの配布を単に鍵データの配布や鍵配布とも称する。また、新しい鍵データを配布は、鍵交換ともいえる。

記憶装置１０ｂは、不揮発性メモリや揮発性メモリを備えている。不揮発性メモリは、処理装置１０ａが実行するプログラムが記憶されている。揮発性メモリは、処理装置１０ａの演算結果などが一時的に記憶される。

通信装置１０ｃは、トランシーバなどを備えている。通信装置１０ｃは、第１通信バス４１や第２通信バス４２を介した通信を行う装置である。処理装置１０ａは、通信装置１０ｃを用いて、各ＥＣＵ２１～２６，ＥＣＵ３１～３４と通信を行う。

また、中継装置１０は、処理装置１０ａが記憶装置１０ｂや通信装置１０ｃを用いつつ演算処理を行うことで複数の機能を実行する。図２には、中継装置１０が実行する機能を機能ブロックとして図示している。中継装置１０は、機能ブロックとして、鍵管理スケジューリング部１ａ、鍵配布処理部１ｂ、通信テスト処理部１ｃ、スリープ監視部１ｄ、ウェイクアップ操作部１ｅ、暗号処理部１ｆを備えている。各機能ブロックに関しては、後ほど説明する。なお、図２では、鍵管理スケジューリング部１ａをＳＣＨＤ、鍵配布処理部１ｂをＫＤＳＤ、通信テスト処理部１ｃをＣＯＭＴ、スリープ監視部１ｄをＳＬＭＤ、ウェイクアップ操作部１ｅをＷＵＭＤ、暗号処理部１ｆをＣＲＰＵと記載している。しかしながら、本実施形態では、通信テスト処理部１ｃを備えていなくてもよい。

また、図２に示すように、記憶装置１０ｂの不揮発性メモリには、鍵管理テーブル１ｇ、スケジュールテーブル１ｈ、ドメインメンバテーブル１ｉが記憶されている。なお、図２では、鍵管理テーブル１ｇをＫＭＭＴ、スケジュールテーブル１ｈをＳＣＨＴ、ドメインメンバテーブル１ｉをＤＯＭＴと記載している。

鍵管理テーブル１ｇは、図７に示すように、ＶＬＡＮ－ＩＤ毎に、ＰＮ－ＩＮＦＯ、データ秘匿度（ＤＣＯＦ）、鍵データ（ＫＤＡＴ）、更新日（ＵＰＤ）が関連付けて記憶されている。また、鍵管理テーブル１ｇは、新しい鍵データの配布を行うことで、鍵データと更新日が更新される。図７の例では、新しい鍵データの配布前のタイミングｔ１から、新しい鍵データの配布後のタイミングｔ５で鍵データと更新日が更新されている。

ＶＬＡＮ－ＩＤは、各ドメイン５１～５３に個別に割り当てられた識別情報である。ここでは、第１ドメイン５１にＩＤ１、第２ドメイン５２にＩＤ２、第３ドメイン５３にＩＤ３が割り当てられた例を採用している。また、第１ドメインＥＣＵにＩＤ１、第２ドメインＥＣＵにＩＤ２、第３ドメインＥＣＵにＩＤ３が割り当てられているともいえる。つまり、ＶＬＡＮ－ＩＤは、仮想的にネットワーク分離されたグループ毎に割り当てられている。ＶＬＡＮ－ＩＤは、Virtual LAN Identifierの略称である。

ＰＮ－ＩＮＦＯは、各ＥＣＵ２１～２６（ＣＡＮクライアント）を個別に起動させる際に用いられる情報である。同じドメインに含まれているＥＣＵ（コア）は、同じＰＮ－ＩＮＦＯが割り当てられている。ここでは、第１ＥＣＵ２１～第３ＥＣＵ２３に00000001が割り当てられている。また、第４ＥＣＵ２４の一部のコア、第５ＥＣＵ２５、第６ＥＣＵ２６には、00000010が割り当てられている。第４ＥＣＵ２４の一部のコアには、00000100が割り当てられている。ＰＮ－ＩＮＦＯは、複数のＥＣＵ２１～２６をドメイン毎にウェイクアップさせるための識別情報である。ＰＮ－ＩＮＦＯは、Partial Networking- informationの略称である。

データ秘匿度は、各ドメイン５１～５３で扱う通信データの秘匿性を示す情報である。また、データ秘匿度は、各ドメイン５１～５３で扱う通信データの重要度を示す情報ともいえる。データ秘匿度は、予め、各ドメイン５１～５３ごとに設定される。

鍵データは、通信データを暗号化および復号化する際に用いられる鍵である。本実施形態では、鍵データが更新される例を採用している。同じドメインに含まれているＥＣＵ（コア）は、同じ鍵データが割り当てられている。鍵データは、鍵情報に相当する。更新日は、鍵データを更新した日付である。

図７は、第１ドメイン５１と第３ドメイン５３に新しい鍵データを配布した例を採用している。鍵管理テーブル１ｇは、第１ドメイン５１の鍵データＸＸがＢＢに更新されており、第３ドメイン５３の鍵データＺＺがＡＡに更新されている。また、鍵管理テーブル１ｇは、第１ドメイン５１と第３ドメイン５３の更新日が２０２０年５月２５日に更新されている。なお、各ドメイン５１～５３への鍵データの配布とは、各ドメインＥＣＵへの鍵データの配布と同意である。

スケジュールテーブル１ｈは、図６に示すように、鍵データの配布対象であるドメインのＶＬＡＮ－ＩＤと、そのドメインの情報が記憶されている。ドメインの情報としては、ＶＬＡＮ－ＩＤ毎に、順序（ＯＲＤ）、ＰＮ－ＩＮＦＯ、新鍵データ（ＮＫＤＡＴ）、鍵配布結果（ＤＳＴＲ）が関連付けられている。

順序は、鍵データを配布する順序である。新鍵データは、鍵データを更新した後の新たな鍵データである。鍵配布結果は、鍵データの配布が完了したか否かを示す情報である。ここでは、配布する前は０で、配布が終了すると１に更新する。

ここで、中継装置１０による鍵データを配布する際のスケジューリングに関して説明する。中継装置１０は、鍵データの配布に使える配布時間を計算する。次に、中継装置１０は、鍵管理テーブル１ｇを参照して、各ＥＣＵ２１～２６の古さと、データ秘匿度を加味してドメインを並び替える。次に、中継装置１０は、配布時間を加味しつつ、どのドメインまで鍵データの配布を実施するかを決める。そして、中継装置１０は、鍵データの配布が完了したら、配布にかかった時間を記録する。なお、古さとは、更新日に基づく値である。

一般的に、ドメインによって通信データの秘匿度が異なる。このため、鍵データの配布は、全てのドメインを同一の間隔で行う必要はない。例えば、車両の走行に関わるパワートレインドメインは、サーマルドメインよりも通信データの秘匿度が高い。このため、パワートレインドメインは、サーマルドメインよりも鍵データの配布が重要になる。しかしながら、秘匿度だけでスケジューリングすると、特定のドメインの鍵データだけが古くなってしまう可能性がある。

そこで、中継装置１０は、通信データの秘匿度と、鍵データの古さの両方を加味して、鍵データの配布に関するスケジューリングを行う。つまり、中継装置１０は、通信データの秘匿度と鍵データの古さを加味して、バランスよく鍵データを配布する。例えば、中継装置１０は、鍵データの古さと秘匿度を乗算する。中継装置１０は、乗算の結果に応じて、鍵データを配布するドメインの順番を並び替える。秘匿度は、秘匿度が高くなるほど大きな値である。同様に、古さは、古くなるほど大きな値である。よって、中継装置１０は、乗算した結果が大きな値であるほど早い順番とする。また、鍵交換の必要性によって、ドメインの順番を並び変えてもよい。鍵交必要性は（秘匿度×ｗ＋古さ×（１－ｗ））／１０で算出する。なお、ｗ（重み）は、０＜ｗ＜１である。秘匿度および古さは、例えば１～１０の１０段階の値を用いる。

このように、本実施形態では、一例として、鍵配布に使える時間を計算して、その時間内に鍵配布できるドメインに関する情報をスケジュールテーブル１ｈに記憶している。しかしながら、本開示は、これに限定されない。

ドメインメンバテーブル１ｉは、各ＥＣＵ２１～２６ごとの起動状態を示す情報が記憶されている。つまり、各ＥＣＵ２１～２６がウェイクアップしているのか、スリープしているのかを示す情報が記憶されている。中継装置１０は、各ＥＣＵ２１～２６，３１～３４からのウェイクアップ宣言やスリープ宣言などに応じて、ドメインメンバテーブル１ｉの記憶内容を更新する。

なお、ウェイクアップ宣言およびスリープ宣言は、各ＥＣＵ２１～２６から送信される。各ＥＣＵ２１～２６は、自身がウェイクアップすると、ウェイクアップしたことを示すウェイクアップ宣言を送信する。各ＥＣＵ２１～２６は、自身がスリープする場合に、スリープすることを示すスリープ宣言を送信する。また、各ＥＣＵ２１～２６は、予め決められたスリープ条件を満たすとスリープする。よって、各ＥＣＵ２１～２６は、スリープ条件を満たすとスリープ宣言を送信するともいえる。ウェイクアップ宣言は、起動情報に相当する。スリープ宣言は、スリープ情報に相当する。また、ＥＣＵ２４は、コアが異なるドメインに配置されている。よって、ＥＣＵ２４は、コア毎にウェイクアップ宣言とスリープ宣言を送信する。

＜ブロードウェイノード＞
第１ＥＣＵ２１～第６ＥＣＵ２６は、第１通信バス４１を介して通信データをブロードキャスト通信するものである。第１ＥＣＵ２１～第６ＥＣＵ２６は、同様の構成を有している。よって、ここでは、第１ＥＣＵ２１を用いて説明する。第１ＥＣＵ２１は、処理装置２０ａ、記憶装置２０ｂ、通信装置２０ｃなどを備えている。第１ＥＣＵ２１は、制御対象である車載装置が接続されていてもよい。

処理装置２０ａは、ＣＰＵなどを採用することができる。処理装置２０ａは、記憶装置２０ｂに記憶されたプログラムを実行することで演算処理を行う。また、処理装置２０ａは、記憶装置２０ｂの記憶内容を参照しながら演算処理を行う。これによって、中継装置２０は、通常処理や鍵交換処理などの処理動作を実行する。

第１ＥＣＵ２１は、通常処理として、例えば、同じドメイン内のＥＣＵとの間で通信データの送受信を行う。また、第１ＥＣＵ２１は、自身に接続されている車載装置の制御を行う。なお、各ＥＣＵ２１～２７は、接続されている車載装置や制御内容が異なる。第１ＥＣＵ２１は、鍵交換処理を行うことで、自身が有している鍵データを中継装置１０から配布された新しい鍵データに交換する。

記憶装置２０ｂは、不揮発性メモリや揮発性メモリを備えている。不揮発性メモリは、処理装置２０ａが実行するプログラムが記憶されている。揮発性メモリは、処理装置２０ａの演算結果などが一時的に記憶される。

通信装置２０ｃは、トランシーバなどを備えている。通信装置２０ｃは、第１通信バス４１を介した通信を行う装置である。処理装置２０ａは、通信装置２０ｃを用いて、中継装置１０や同じドメイン内のＥＣＵと通信を行う。よって、処理装置２０ａは、通信装置２０ｃを制御するコントローラを含んでいるといえる。

また、第１ＥＣＵ２１は、処理装置２０ａが記憶装置２０ｂや通信装置２０ｃを用いつつ演算処理を行うことで複数の機能を実行する。図３には、第１ＥＣＵ２１が実行する機能を機能ブロックとして図示している。第１ＥＣＵ２１は、機能ブロックとして、スリープ処理部２ａ、暗号処理部２ｂ、鍵受信部２ｃ、通信テスト処理部２ｄを備えている。各機能ブロックに関しては、後ほど説明する。記憶装置２０ｂの不揮発性メモリには、鍵データ記憶部２ｅが記憶されている。

なお、図３では、スリープ処理部２ａをＳＬＰＵ、暗号処理部２ｂをＣＲＰＵ、鍵受信部２ｃをＫＥＹＲ、通信テスト処理部２ｄをＣＯＭＴ、鍵データ記憶部２ｅをＫＥＹＳと記載している。しかしながら、本実施形態は、通信テスト処理部２ｄを備えていなくてもよい。

＜非ブロードウェイノード＞
第１１ＥＣＵ３１～第１４ＥＣＵ３４は、第２通信バス４２を介して通信データを非ブロードキャスト通信するものである。第１１ＥＣＵ３１～第１４ＥＣＵ３４は、同様の構成を有している。よって、ここでは、第１１ＥＣＵ３１を用いて説明する。第１１ＥＣＵ３１は、処理装置３０ａ、記憶装置３０ｂ、通信装置３０ｃなどを備えている。第１１ＥＣＵ３１は、制御対象である車載装置が接続されていてもよい。

処理装置３０ａは、ＣＰＵなどを採用することができる。処理装置３０ａは、記憶装置３０ｂに記憶されたプログラムを実行することで演算処理を行う。また、処理装置３０ａは、記憶装置３０ｂの記憶内容を参照しながら演算処理を行う。

なお、中継装置１０、複数のＥＣＵ２１～２６複数のＥＣＵ３１～３４などのＥＣＵは、少なくとも一つのコンピュータを含む制御システムによって提供される。制御システムは、データ通信装置によってリンクされた複数のコンピュータを含む場合がある。コンピュータは、ハードウェアである少なくとも一つのプロセッサ（ハードウェアプロセッサ）を含む。ハードウェアプロセッサは、下記（ｉ）、（ｉｉ）、または（ｉｉｉ）により提供することができる。

（ｉ）ハードウェアプロセッサは、少なくとも一つのメモリに格納されたプログラムを実行する少なくとも一つのプロセッサコアである場合がある。この場合、コンピュータは、少なくとも一つのメモリと、少なくとも一つのプロセッサコアとによって提供される。プロセッサコアは、ＣＰＵ：Central Processing Unit、ＧＰＵ：Graphics Processing Unit、ＲＩＳＣ－ＣＰＵなどと呼ばれる。メモリは、記憶媒体とも呼ばれる。メモリは、プロセッサによって読み取り可能な「プログラムおよび／またはデータ」を非一時的に格納する非遷移的かつ実体的な記憶媒体である。記憶媒体は、半導体メモリ、磁気ディスク、または光学ディスクなどによって提供される。プログラムは、それ単体で、またはプログラムが格納された記憶媒体として流通する場合がある。

（ｉｉ）ハードウェアプロセッサは、ハードウェア論理回路である場合がある。この場合、コンピュータは、プログラムされた多数の論理ユニット（ゲート回路）を含むデジタル回路によって提供される。デジタル回路は、ロジック回路アレイ、例えば、ＡＳＩＣ：Application Apecific Integrated Circuit、ＦＰＧＡ：Field Programmable Gate Array、ＳｏＣ：System on a Chip、ＰＧＡ：Programmable Gate Array、ＣＰＬＤ：Complex Programmable Logic Deviceなどとも呼ばれる。デジタル回路は、プログラムおよび／またはデータを格納したメモリを備える場合がある。コンピュータは、アナログ回路によって提供される場合がある。コンピュータは、デジタル回路とアナログ回路との組み合わせによって提供される場合がある。

（ｉｉｉ）ハードウェアプロセッサは、上記（ｉ）と上記（ｉｉ）との組み合わせである場合がある。（ｉ）と（ｉｉ）とは、異なるチップの上、または共通のチップの上に配置される。これらの場合、（ｉｉ）の部分は、アクセラレータとも呼ばれる。

この開示に記載の処理装置及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリを構成することによって提供された専用コンピュータにより、実現されてもよい。代替的に、この開示に記載の制御部及びその手法は、一つ以上の専用ハードウェア論理回路によってプロセッサを構成することによって提供された専用コンピュータにより、実現されてもよい。代替的に、この開示に記載の制御部及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリと一つ以上のハードウェア論理回路によって構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されていてもよい。

＜処理動作＞
ここで、車載通信システムの処理動作に関して説明する。ここでは、主に、中継装置１０と第１ＥＣＵ２１との鍵交換に関する処理に関して説明する。まず、図４を用いて、車載通信システムの全体的な処理動作の概略を説明する。

ステップＳ１では、ＩＧオン時に、仮想グループのスリープ検知を行う（起動判定部）。車両は、ＩＧオン時であるため走行中もしくは走行可能な状態である。この場合、中継装置１０のスリープ監視部１ｄは、特定仮想グループ以外の仮想グループがスリープするタイミングを待つ。特定仮想グループ以外がスリープするタイミングは、特定仮想グループを対象として鍵交換するタイミングである。なお、特定仮想グループは、特定ドメインともいえる。また、特定仮想グループは、特定グループに相当する。

中継装置１０は、複数の仮想グループに対して鍵交換する場合、複数の仮想グループをそれぞれ個別に鍵交換する。また、特定仮想グループとは、今回の鍵交換対象である仮想グループである。

特定仮想グループに含まれるＥＣＵは、一部のＣＡＮクライアントである。例えば、特定仮想グループが第１ドメイン５１の場合、特定仮想グループ以外のＥＣＵは、ＥＣＵ２４～２６となる。一方、特定仮想グループのＥＣＵは、ＥＣＵ２１～２３となる。よって、スリープ監視部１ｄは、仮想グループのスリープ検知として、特定仮想グループ以外のＣＡＮクライアントがスリープしていることを検知する。

なお、ＩＧは、イグニッションスイッチの略称である。特定仮想グループに含まれるＥＣＵは、対象ノードに相当する。

ステップＳ２では、ＩＧオフ時に、ＣＡＮクライアントのウェイクアップ操作を行う（起動判定部）。中継装置１０のウェイクアップ操作部１ｅは、ＩＧオフ後、全ＣＡＮクライアントをスリープさせる。そして、中継装置１０のウェイクアップ操作部１ｅは、全ＣＡＮクライアントがスリープすると、特定仮想グループのＥＣＵのみをウェイクアップさせて鍵交換のタイミングを作る。全ＣＡＮクライアントは、全ＥＣＵ２１～２６である。

このように、中継装置１０は、複数のＥＣＵ２１～２６のうち複数の仮想グループの一つである特定グループに含まれている対象ノードのみが起動しているか否かを判定する。その後、中継装置１０は、鍵交換を行う。

ステップＳ３では、ＣＡＮクライアントへ鍵配布する（鍵配布部）。鍵配布処理部１ｂは、特定仮想グループに含まれているＣＡＮクライアントに鍵データを配布する。このように、鍵配布処理部１ｂは、対象ノードのみが起動していると判定すると、対象ノードが含まれている特定仮想グループに固有の鍵データを配布する。

ステップＳ４では、ＣＡＮクライアントが鍵受信する（受信部）。特定仮想グループに含まれているＣＡＮクライアントの鍵受信部２ｃは、中継装置１０から配布された鍵データを受信する。

ステップＳ５では、ＣＡＮクライアントへ鍵更新する（更新部）。特定仮想グループに含まれているＣＡＮクライアントは、中継装置１０から配布された鍵データを受信すると鍵データを更新する。このように、ＣＡＮクライアントは、鍵データ記憶部２ｅに鍵データをすでに記憶している場合に、ステップＳ４で鍵データを受信すると、記憶している鍵データを受信した鍵データに更新する。

次に、図５、図６、図７を用いて、中継装置１０の処理動作に関して詳しく説明する。中継装置１０は、所定時間ごとに図５のフローチャートに示す処理を開始する。なお、図５と図６は、便宜的に二つのフローチャートに分けている。しかしながら、図５のフローチャートと図６のフローチャートは、点Ａを介して連続的に実行される。つまり、中継装置１０は、図５のステップＳ１４でＹＥＳ判定すると、図６のステップＳ１８へ進む。

なお、本実施形態では、図７のスケジュールテーブル１ｈを用いるものとする。よって、複数のドメイン５１～５３のうち、第１ドメイン５１と第３ドメイン５３が鍵交換の対象となる。つまり、ここでは、特定グループとして第１ドメイン５１と第３ドメイン５３を採用する。

ステップＳ１０では、ＩＧオンであるか否かを判定する。中継装置１０は、イグニッションスイッチがオンであるか否かを判定する。中継装置１０は、イグニッションスイッチがオンであると判定するとステップＳ１１へ進み、オンであると判定しないとステップＳ１０を繰り返し実行する。なお、このとき、鍵管理テーブル１ｇは、図７のタイミングｔ１の状態とする。

ステップＳ１１では、初期化処理を行う。中継装置１０は、自身の初期化処理を行う。ステップＳ１２では、鍵配布スケジューリングを行う。鍵管理スケジューリング部１ａは、鍵管理テーブル１ｇのデータ秘匿度および更新日を参照しつつ、上記のようにスケジューリングする。このとき、鍵管理スケジューリング部１ａは、図７のタイミングｔ２に示すスケジュールテーブル１ｈを生成する。

ステップＳ１３では、通常処理を行う。中継装置１０は、同じドメイン内のＥＣＵ間での送受信される通信データを中継する。このとき、中継装置１０は、例えば暗号処理部１ｆによって、通信データを暗号化して送信したり、受信した通信データを復号化したりする。

ステップＳ１４では、ＩＧオフであるか否かを判定する。中継装置１０は、イグニッションスイッチがオフであるか否かを判定する。中継装置１０は、イグニッションスイッチがオフであると判定するとステップＳ１８へ進み、オフであると判定しないとステップＳ１５へ進む。

ステップＳ１５では、特定仮想グループのみがウェイクアップしているか否かを判定する（起動判定部）。スリープ監視部１ｄは、ステップＳ１２で生成したスケジュールテーブル１ｈを参照する。タイミングｔ２のスケジュールテーブル１ｈでは、第１ドメイン５１と第３ドメイン５３の両方で鍵データの配布が終了しておらず、順序１が第３ドメイン５３である。よって、スリープ監視部１ｄは、第３ドメイン５３を特定仮想グループと認識する。このため、ここでは、ＥＣＵ２４の一部のコアが対象ノードに相当する。なお、特定仮想グループのみがウェイクアップしているか否かとは、特定仮想グループに含まれているＥＣＵがウェイクアップしているか否かと同意である。

よって、スリープ監視部１ｄは、複数のＥＣＵ２１～２６のうち複数のドメイン５１～５３の一つである第３ドメイン５３に含まれているＥＣＵ２４の一部のコアのみが起動しているか否かを判定する。スリープ監視部１ｄは、ドメインメンバテーブル１ｉを参照して、ＥＣＵ２４の一部のコアのみが起動しているか否かを判定する。つまり、スリープ監視部１ｄは、複数のＥＣＵ２１～２６からのウェイクアップ宣言やスリープ宣言に基づいて、ＥＣＵ２４の一部のコアのみが起動しているか否かを判定する。

そして、スリープ監視部１ｄは、ＥＣＵ２４の一部のコアのみが起動していると判定するとステップＳ１６へ進む。また、スリープ監視部１ｄは、ＥＣＵ２４の一部のコアのみが起動していると判定しないとステップＳ１３へ戻る。

なお、中継装置１０は、車両のイグニッションスイッチがオンの場合とオフの場合の少なくとも一方において、対象ノードのみが起動しているか否かを判定する。また、ステップ１５は、イグニッションスイッチがオンの場合である。この場合、中継装置１０は、ウェイクアップ宣言およびスリープ宣言に基づいて、対象ノードのみが起動しているか否かを判定する。これによって、中継装置１０は、容易に対象ノードのみが起動しているか否かを判定できる。

ステップＳ１６では、該当ドメインの鍵データを作成する。ここでの該当ドメインは、第３ドメイン５３である。よって、鍵配布処理部１ｂは、第３ドメイン５３のＥＣＵ２４の一部のコアに配布するための鍵データを作成する。

ステップＳ１７では、鍵データを配布する（鍵配布部）。鍵配布処理部１ｂは、ステップＳ１６で生成した鍵データを配布する。鍵データの配布対象は、第３ドメイン５３（ＥＣＵ２４の一部のコア）である。第３ドメイン５３に配布する鍵データは、第３ドメイン５３に固有の鍵データ（ＡＡ）である。このように、中継装置１０は、対象ノードであるＥＣＵ２４の一部のコアのみが起動していると判定すると、第３ドメイン５３に固有の鍵データを配布する。なお、鍵配布処理部１ｂは、通信装置１０ｃおよび第１通信バス４１を介して、鍵データを送信する。

ステップＳ１８は、イグニッションスイッチがオフであると判定された場合に実行される。よって、中継装置１０は、イグニッションスイッチがオンの場合とオフの場合の両行で鍵交換を行う。しかしながら、本開示は、イグニッションスイッチがオンの場合のみ、鍵交換を行ってもよい。また、本開示は、イグニッションスイッチがオフの場合のみ、鍵交換を行ってもよい。

ステップＳ１８では、鍵配布スケジューリングを行う。鍵管理スケジューリング部１ａは、ステップＳ１７を行うと、鍵配布結果を更新する。よって、鍵データの配布後のスケジュールテーブル１ｈは、図７のタイミングｔ３に示すように、第３ドメイン５３の鍵配布結果が１に更新される。

ステップＳ１９では、各ドメインの鍵データを作成する。ここでの各ドメインは、スケジュールテーブル１ｈにおいて、鍵配布結果が配布前となっているドメインである。よって、本実施形態では、各ドメインである第１ドメイン５１の鍵データを作成する。鍵配布処理部１ｂは、第１ドメイン５１のＥＣＵ２１～２３に配布するための鍵データを作成する。

ステップＳ２０では、全ＥＣＵのスリープが完了したか否かを判定する（スリープ判定部）。ここでの全ＥＣＵは、全ＣＡＮクライアントである。また、スリープ宣言を受信した場合に、スリープが完了しているとみなす。

スリープ監視部１ｄは、ドメインメンバテーブル１ｉを参照して、全ＥＣＵ２１～２６のスリープが完了したか否かを判定する。つまり、スリープ監視部１ｄは、全ＣＵ２１～２６からのスリープ宣言に基づいて、全ＣＵ２１～２６がスリープしたか否かを判定する。スリープ監視部１ｄは、全ＥＣＵのスリープが完了したと判定するとステップＳ２１へ進み、完了したと判定しないとステップＳ２０を繰り返す。

中継装置１０は、イグニッションスイッチがオフになると、特定仮想グループのみをウェイクアップさせるために、全ＣＵ２１～２６がスリープしたか否かを確認する。つまり、中継装置１０は、全ＣＡＮクライアントがスリープするのを待ってステップＳ２１へ進む。

ステップＳ２１では、特定仮想グループのみをウェイクアップ操作する（起動部）。ウェイクアップ操作部１ｅは、ステップＳ２０で全ＣＡＮクライアントがスリープしていると判定された場合に、特定仮想グループのみを起動させる。ウェイクアップ操作部１ｅは、ステップＳ１８で生成したスケジュールテーブル１ｈを参照する。タイミングｔ３のスケジュールテーブル１ｈでは、第３ドメイン５３が鍵データの配布が終了しており、第１ドメイン５１が鍵データの配布が終了していない。よって、ウェイクアップ操作部１ｅは、第１ドメイン５１を特定仮想グループと認識する。このため、ここでは、ＥＣＵ２１～２３が対象ノードに相当する。ウェイクアップ操作部１ｅは、第１ドメイン５１であるＥＣＵ２１～２３をウェイクアップさせる。

ステップＳ２２では、特定仮想グループがウェイクアップしたか否かを判定する（起動判定部）。ステップＳ２２は、ステップＳ１５と同様である。しかしながら、ここでの特定仮想グループは、第１ドメイン５１である。

ステップＳ２３では、ドメイン内ＥＣＵに鍵データを配布する（鍵配布部）。ステップＳ２３は、ステップＳ１７と同様である。ここでのドメインは、ステップＳ２２で対象とした特定仮想グループである。なお、鍵管理スケジューリング部１ａは、ステップＳ２３を行うと、鍵配布結果を更新する。よって、鍵データの配布後のスケジュールテーブル１ｈは、図７のタイミングｔ４に示すように、第１ドメイン５１の鍵配布結果も１に更新される。

ステップＳ２４では、鍵配布スケジュールを完遂したか否かを判定する。鍵管理スケジューリング部１ａは、スケジュールテーブル１ｈを参照して、鍵データを配布予定である全ドメインの鍵配布結果が１であるか否かを判定する。鍵管理スケジューリング部１ａは、全ドメインの鍵配布結果が１であると判定した場合、鍵配布スケジュールを完遂したとみなしてステップＳ２５へ進む。鍵管理スケジューリング部１ａは、全ドメインの鍵配布結果が１であると判定しなかった場合、鍵配布スケジュールを完遂したとみなさずにステップＳ２０へ戻る。よって、中継装置１０は、複数の特定仮想グループのそれぞれに対して、個別に鍵データを配布する。ここでの全ドメインは、第１ドメイン５１と第３ドメイン５３である。

ステップＳ２５では、鍵データを配布した全ドメインをウェイクアップ操作する（全起動部）。これは、鍵データを配布したＥＣＵに鍵データの更新を指示するためである。ウェイクアップ操作部１ｅは、鍵データを配布した全ドメインをウェイクアップさせる。つまり、ウェイクアップ操作部１ｅは、鍵データを配布した全ドメインに含まれる全ＣＡＮクライアントをウェイクアップさせる。また、ウェイクアップ操作部１ｅは、ＰＮ－ＩＮＦＯを指定してウェイクアップさせる。

ここでの、全ＣＡＮクライアントは、ＥＣＵ２１～２３，ＥＣＵ２４の一部のコアである。なお、鍵データを配布した全ドメインは、全特定仮想グループである。全特定仮想グループは、全特定グループに相当する。

ステップＳ２６では、ウェイクアップが完了したか否かを判定する（全起動部）。ウェイクアップ操作部１ｅは、ドメインメンバテーブル１ｉを参照して、ステップＳ２５でウェイクアップ操作した全ＣＡＮクライアントのウェイクアップが完了したか否かを判定する。つまり、ウェイクアップ操作部１ｅは、ＥＣＵ２１～２３，ＥＣＵ２４の一部のコアからのウェイクアップ宣言に基づいてウェイクアップが完了したか否かを判定する。ウェイクアップ操作部１ｅは、ウェイクアップが完了したと判定するとステップＳ２７へ進み、完了したと判定しないとステップＳ２５に戻る。

ステップＳ２７では、鍵更新開始要求を行う（更新指示部）。鍵配布処理部１ｂは、ステップＳ２５でウェイクアップさせたＣＡＮクライアントに、鍵データの更新を指示する指示情報を送信することで鍵更新開始要求を行う。このとき、鍵配布処理部１ｂは、ステップＳ２５でウェイクアップさせた全ＣＡＮクライアントに同じタイミングで鍵更新開始要求を行う。なお、鍵配布処理部１ｂは、通信装置１０ｃおよび第１通信バス４１を介して、指示情報を送信する。

このように、中継装置１０は、鍵データの配布後に、鍵データの配布対象の全特定仮想グループに含まれるＣＡＮクライアントのみを起動させる。そして、中継装置１０は、鍵データを配布した全ドメインをウェイクアップさせると、鍵データの配布対象の全特定仮想グループに含まれるＣＡＮクライアントに対して、鍵データの更新を指示する指示情報を送信する。

ステップＳ２８では、鍵データを配布した全ＥＣＵから更新応答があったか否かを判定する。鍵配布処理部１ｂは、スケジュールテーブル１ｈとＣＡＮクライアントからの更新応答に基づいて、鍵データを配布した全ＥＣＵから更新応答があったか否かを判定する。鍵配布処理部１ｂは、鍵データを配布した全ＥＣＵから更新応答があったと判定すると図５、図６のフローチャートを終了する。鍵配布処理部１ｂは、鍵データを配布した全ＥＣＵから更新応答があったと判定しないとステップＳ２８を繰り返す。

次に、図８、図９、図１０、図１１を用いて、ＣＡＮクライアントの処理動作に関して説明する。ＣＡＮクライアントであるＥＣＵ２１～２６は、全て同じ処理を行う。よって、図８では、第１ＥＣＵ２１を用いて説明する。第１ＥＣＵ２１は、ウェイクアップするたびに、図８のフローチャートに示す処理を開始する。

ステップＳ３０では、ウェイクアップ宣言を行う（起動通知部）。第１ＥＣＵ２１は、ウェイクアップ宣言を中継装置１０に送信する。なお、スリープ処理部２ａは、通信装置２０ｃおよび第１通信バス４１を介して、ウェイクアップ宣言を送信する。また、第１ＥＣＵ２１は、機能ブロックとして、ウェイクアップ宣言を送信するウェイクアップ処理部を備えているともいえる。

ステップＳ３２では、更新開始要求があるか否かを判定する。鍵受信部２ｃは、中継装置１０から送信される指示情報を受信した場合、更新開始要求ありと判定しステップＳ４４へ進む。鍵受信部２ｃは、中継装置１０から送信される指示情報を受信してない場合、更新開始要求ありと判定せずにステップＳ３４へ進む。なお、第１ＥＣＵ２１は、ステップＳ３２でＮＯ判定すると通常処理を行ってステップＳ３４へ進んでもよい。

ステップＳ３４では、スリープ条件を満たすか否かを判定する。スリープ処理部２ａは、スリープ条件を満たすと判定するステップＳ３６へ進み、満たすと判定しないとステップＳ４０へ進む。

ステップＳ３６では、スリープ宣言を行う（スリープ通知部）。スリープ処理部２ａは、スリープする際に、スリープ宣言を中継装置１０に送信する。なお、スリープ処理部２ａは、通信装置２０ｃおよび第１通信バス４１を介して、スリープ宣言を送信する。

ステップＳ３８では、スリープする。スリープ処理部２ａは、スリープ宣言を送信した後に、自身でスリープする。

ステップＳ４０では、鍵データを受信したか否かを判定する。鍵受信部２ｃは、中継装置１０から送信された鍵データを受信した場合はステップＳ４２へ進み、受信してない場合はステップＳ３４へ戻る。なお、鍵受信部２ｃは、第１通信バス４１および通信装置２０ｃを介して、鍵データを受信する（受信部）。ここでの鍵データは、既に記憶している鍵データではなく、既に記憶している鍵データを更新するための鍵データである。つまり、鍵データは、中継装置１０によって新たに生成された鍵データ（新しい鍵データ）である。

ステップＳ４２では、鍵データを一時的に保存する（一時保存部）。第１ＥＣＵ２１は、鍵データを受信すると、鍵データを更新する前に、鍵データを一時的に保存する。第１ＥＣＵ２１は、記憶装置２０ｂの揮発性メモリなどに受信した鍵データを一時的に保存しておく。

ステップＳ４４では、鍵データを更新する（更新部）。鍵受信部２ｃは、指示情報を受信して更新開始要求ありと判定すると、鍵データを更新する。鍵受信部２ｃは、鍵データを既に鍵データ記憶部２ｅに記憶している場合、鍵データ記憶部２ｅに記憶している鍵データを、受信した鍵データに更新する。例えば、第１ＥＣＵ２１は、第１ドメイン５１に含まれている。よって、第１ＥＣＵ２１は、鍵データをＸＸからＢＢに更新する。

ステップＳ４６では、更新応答を行う。第１ＥＣＵ２１は、鍵データの更新が終わると、中継装置に更新応答を行う。第１ＥＣＵ２１は、第１通信バス４１および通信装置２０ｃを介して、更新応答を行う。第１ＥＣＵ２１は、更新が終わったことを示す終了情報を送信することで更新応答を行う。

ここで、ＣＡＮクライアントの処理動作に関して、図９～図１１を用いて説明する。図９～図１１は、ドメイン５１～５３に含まれているＣＡＮクライアントの処理動作を示している。図９は、イグニッションスイッチがオンのときに鍵交換する場合を示している。図１０は、イグニッションスイッチがオフのときに鍵交換する場合を示している。また、図１１は、鍵データを一時保存しない場合を示している。なお、以下においては、各ＣＡＮクライアントをまとめてドメイン名で記載する。例えば、第１ドメイン５１に含まれるＣＡＮクライアントは、第１ドメイン５１と記載する。

図９に示すように、イグニッションスイッチがオンの期間中、第１ドメイン５１のみが鍵データを受信（ＫＹＲ）し、鍵データを一時的に保存（ＴＰＳ）する。このとき、第２ドメイン５２と第３ドメイン５３は、スリープ状態（ＳＬＳ）である。

そして、イグニッションスイッチがオフすると、第２ドメイン５２がウェイクアップ操作（ＷＵＯ）され、鍵データを受信し、鍵データを一時的に保存する。このとき、第１ドメイン５１と第３ドメイン５３は、スリープ状態である。その後、第３ドメイン５３がウェイクアップ操作され、鍵データを受信し、鍵データを一時的に保存する。このとき、第１ドメイン５１と第２ドメイン５２は、スリープ状態である。

そして、第１ドメイン５１と第２ドメイン５２は、ウェイクアップ操作される。これによって、全ドメイン５１～５３は、ウェイクアップする。この状態で、各ドメイン５１～５３は、鍵データ記憶部２ｅに記憶している鍵データを、一時的に保存していた鍵データに更新（ＫＹＵ）する。

図１０に示すように、イグニッションスイッチがオフの期間中、各ドメイン５１～５２が順番にウェイクアップ操作され、鍵データを受信し、鍵データを一時的に保存する。そして、全ドメイン５１～５３が鍵データを一時的に保存すると、全ドメイン５１～５３がウェイクアップする。この状態で、各ドメイン５１～５３は、鍵データ記憶部２ｅに記憶している鍵データを、一時的に保存していた鍵データに更新する。

このように、本実施形態では、中継装置１０からＣＡＮクライアントへ鍵データの更新を指示している（Ｓ２７）。そして、本実施形態では、鍵データを一時的に保存しておき、複数の特定仮想グループのＣＡＮクライアントがまとめて鍵データを更新する例を採用している。

しかしながら、本開示は、これに限定されない。ＣＡＮクライアントは、変形例として、受信したデータを一時的に保存しなくてもよい。この場合、ＣＡＮクライアントは、図８のステップＳ３２，Ｓ４２の実行が不要となる。また、ＣＡＮクライアントは、ステップＳ４０でＹＥＳ判定するとステップＳ４４，４６を実行して、ステップＳ３４に戻る。つまり、ＣＡＮクライアントは、ステップＳ３２でＹＥＳ判定すると実行していたステップＳ４４，４６を、ステップＳ４０でＹＥＳ判定すると実行する。一方、中継装置１０は、鍵データの更新を指示しなくてもよい。つまり、中継装置１０は、図６のステップＳ２５～Ｓ２７の実行が不要になる。

この場合、各ドメイン５１～５２は、図１１に示すように、イグニッションスイッチがオフの期間中、各ドメイン５１～５２が順番にウェイクアップ操作され、鍵データを受信し、鍵データを更新する。つまり、各ドメイン５１～５３は、他のドメインが鍵データを受信し、鍵データを更新する間、スリープ状態となる。このように、鍵データを一時的に保存しない場合、各ドメイン５１～５３は、それぞれが異なるタイミングで鍵データの更新を行う。

これに対して、図９、図１０に示すように、鍵データを一時的に保存する場合、各ドメイン５１～５３は、一時的に保存していた鍵データを用いて、同じタイミングで鍵データを更新できる。よって、車載通信システムは、各ドメイン５１～５３が異なるタイミングで鍵データを更新する場合よりも、全ドメイン５１～５３が鍵データの更新を完了するまでの時間を短縮できる。

＜効果＞
以上のように、車載通信システムの中継装置１０は、特定仮想グループに含まれているＣＡＮクライアントのみが起動している場合に、特定仮想グループに固有の鍵データを配布する。よって、車載通信システムは、特定仮想グループに含まれているＣＡＮクライアントのみが、特仮想定グループに固有の鍵データを受信する。つまり、車載通信システムは、複数のＣＡＮクライアントが他の仮想グループに固有の鍵情報を受信することを防ぐことができる。

このため、鍵データで暗号化された通信データは、その鍵データを受信した特定仮想グループのＣＡＮクライアントのみが復号化することができる。よって、車載通信システムは、ブロードキャスト通信を行う複数のブロードキャストノードを含む構成において、グループ毎に仮想的なネットワーク分離ができる。

また、車載通信システムは、上記のようにネットワーク分離ができるため、物理的に通信バスを分けることなくドメイン集権化を実現できる。よって、車載通信システムは、物理的に通信バスを分ける場合よりもコストを削減できる。

なお、本実施形態では、ＥＣＵ統合された第４ＥＣＵ２４を採用している。しかしながら、本開示は、これに限定されず、ＥＣＵ統合されていなくてもグループ毎に仮想的なネットワーク分離ができる。

以上、本開示の好ましい実施形態について説明した。しかしながら、本開示は、上記実施形態に何ら制限されることはなく、本開示の趣旨を逸脱しない範囲において、種々の変形が可能である。以下に、本開示のその他の形態として、第２実施形態、第３実施形態に関して説明する。上記実施形態および第２実施形態、第３実施形態は、それぞれ単独で実施することも可能であるが、適宜組み合わせて実施することも可能である。本開示は、実施形態において示された組み合わせに限定されることなく、種々の組み合わせによって実施可能である。

（第２実施形態）
図１２～図１５を用いて、第２実施形態の車載通信システムに関して説明する。第２実施形態の車載通信システムは、通信テスト（ＴＳＴ）を行う点が上記実施形態と異なる。構成や処理動作は、上記実施形態と同様である。なお、図１３～図１５では、便宜的に第１ドメイン５１と第２ドメイン５２のみを図示している。

中継装置１０は、機能ブロックとして、通信テスト処理部１ｃを備えている。通信テスト処理部１ｃは、ＣＡＮクライアントに通信テストの開始要求を行う。通信テスト処理部１ｃは、通信装置１０ｃおよび第１通信バス４１を介して、通信テストの開始要求を示すテスト指示情報を送信する。また、通信テスト処理部１ｃは、図６のステップＳ２６とステップＳ２７の間で通信テストの開始要求を行う。

これに対して、ＣＡＮクライアントは、通信テスト処理部２ｄを備えている。通信テスト処理部２ｄは、通信テストの開始要求に応じて通信テストを行う。また、通信テスト処理部２ｄは、鍵データの更新前に、一時的に保存した鍵データを用いて通信テストを行う。

通信テストは、ドメイン５１～５３毎に、Ｅｔｈｅｒｎｅｔクライアントを含めて行われる。通信テストは、鍵データが正常であるか否かを確認するテストである。また、各ドメイン５１～５３は、通信テストにおいて、鍵データが正常であることを確認したうえで、鍵データの更新を行う。

まず、図１２を用いて、ＣＡＮクライアントの処理動作に関して説明する。ここでは、図８と異なる点のみを説明する。第１ＥＣＵ２１は、ステップＳ４２の後にステップＳ４３を行う。ステップＳ４３では、通信テストを行う（テスト部）。第１ＥＣＵ２１は、鍵データの更新前に、一時的に保存した鍵データを用いて通信テストを行う。

次に、図１３～図１５は、ドメイン５１，５２に含まれているＣＡＮクライアントの処理動作を示している。図１３は、イグニッションスイッチがオンのときに鍵交換する場合を示している。図１４は、イグニッションスイッチがオフのときに鍵交換する場合を示している。また、図１５は、鍵データを一時保存しない場合を示している。なお、以下においては、上記実施形態と同様、各ＣＡＮクライアントをまとめてドメイン名で記載する。

図１３に示すように、イグニッションスイッチがオンの期間中、第１ドメイン５１のみが鍵データを受信（ＫＹＲ）し、鍵データを一時的に保存（ＴＰＳ）する。第２ドメイン５２は、スリープ状態（ＳＬＳ）である。

イグニッションスイッチがオフすると、第２ドメイン５２がウェイクアップ操作（ＷＵＯ）され、鍵データを受信し、鍵データを一時的に保存する。このとき、第１ドメイン５１は、スリープ状態である。

そして、第１ドメイン５１は、ウェイクアップ操作される。これによって、全ドメイン５１，５２は、ウェイクアップする。この状態で、各ドメイン５１，５２は、一時的に保存していた鍵データを用いて通信テストを行う。そして、各ドメイン５１，５２は、通信テスト後に、鍵データの更新を行う。

図１４に示すように、イグニッションスイッチがオフの期間中、各ドメイン５１，５２が順番にウェイクアップ操作され、鍵データを受信し、鍵データを一時的に保存する。そして、全ドメイン５１，５２が鍵データを一時的に保存すると、全ドメイン５１，５２がウェイクアップする。この状態で、各ドメイン５１，５２は、一時的に保存していた鍵データを用いて通信テストを行う。そして、各５１，５２は、通信テスト後に、鍵データの更新を行う。

また、ＣＡＮクライアントは、上記実施形態の変形例と同様、鍵データを一時的に保存しなくてもよい。各ドメイン５１，５２は、図１５に示すように、鍵データを受信すると、通信テストを行い、その後、鍵データの更新を行う。この場合、イグニッションスイッチがオフの期間中、各ドメイン５１，５２が順番にウェイクアップ操作され、鍵データを受信し、通信テストを行い、鍵データの更新を行う。つまり、各ドメイン５１，５２は、他のドメインが鍵データを受信し、通信テストおよび鍵データの更新を行う間、スリープ状態となる。このように、鍵データを一時的に保存しない場合、各ドメイン５１，５２は、それぞれが異なるタイミングで通信テストおよび鍵データの更新を行う。

これに対して、図１３、図１４に示すように、鍵データを一時的に保存する場合、各ドメイン５１，５２は、一時的に保存していた鍵データを用いて、同じタイミングで通信テストと鍵データの更新を行うことができる。よって、車載通信システムは、各ドメイン５１，５２が異なるタイミングで通信テストと鍵データを更新する場合よりも、全ドメイン５１，５２が鍵データの更新を完了するまでの時間を短縮できる。また、車載通信システムは、鍵データが適切であることを確認しつつ、全ドメイン５１，５２が鍵データの更新を完了するまでの時間を短縮できる。

（第３実施形態）
図１６を用いて、第３実施形態の車載通信システムに関して説明する。第３実施形態の車載通信システムは、複数のＣＡＮクライアントを備えており、Ｅｔｈｅｒｎｅｔクライアントを備えていない点が第１および第２実施形態と異なる。

車載通信システムは、二つの通信バス４１と、各通信バス４１を介して通信データをブロードキャスト通信する複数のＥＣＵ２１～２７と、少なくとも二つのＣＡＮクライアントを含むドメイン５１，５２を複数形成する中継装置１０１と、を備えている。つまり、中継装置１０１は、仮想グループとして、二つのドメイン５１，５２を形成する。ＣＡＮクライアントは、ブロードキャストノードに相当する。中継装置１０１は、通信制御装置に相当する。

中継装置１０１は、第１および第２実施形態の中継装置１００と同様の処理動作を行う。複数のＥＣＵ２１～２７は、第１および第２実施形態の各ＣＡＮクライアントと同様の処理動作を行う。よって、中継装置１０１は、図５、図６のフローチャートに示す処理を行う。一方、複数のＥＣＵ２１～２７は、図８のフローチャートに示す処理を行う。

このように構成された、車載通信システムは、第１および第２実施形態の各ＣＡＮクライアントと同様の効果を奏することができる。

なお、本実施形態では、二つの通信バス４１を備えた例を採用している。しかしながら、本開示は、これに限定されず通信バス４１を一つのみ備えた構成でも採用できる。

また、本実施形態では、二つのドメイン５１，５２を備えた例を採用している。しかしながら、本開示は、これに限定されず三つ以上のドメインを備えていてもよい。

本開示は、実施形態に準拠して記述されたが、本開示は当該実施形態や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態が本開示に示されているが、それらに一要素のみ、それ以上、あるいはそれ以下、を含む他の組み合わせや形態をも、本開示の範畴や思想範囲に入るものである。

１０…中継装置、１０ａ…処理装置、１０ｂ…記憶装置、１０ｃ…通信装置、１ａ…鍵管理スケジューリング部、１ｂ…鍵配布処理部、１ｃ…通信テスト処理部、１ｄ…スリープ監視部、１ｅ…ウェイクアップ操作部、１ｆ…暗号処理部、１ｇ…鍵管理テーブル、１ｈ…スケジュールテーブル、１ｉ…ドメインメンバテーブル、２１…第１ＥＣＵ、２２…第２ＥＣＵ、２３…第３ＥＣＵ、２４…第４ＥＣＵ、２５…第５ＥＣＵ、２６…第６ＥＣＵ、２７…第７ＥＣＵ、２０ａ…処理装置、２０ｂ…記憶装置、２０ｃ…通信装置、２ａ…スリープ処理部、２ｂ…暗号処理部、２ｃ…鍵受信部、２ｄ…通信テスト処理部、２ｅ…鍵データ記憶部、３１…第１１ＥＣＵ、３２…第１２ＥＣＵ、３３…第１３ＥＣＵ、３４…第１４ＥＣＵ、３０ａ…処理装置、３０ｂ…記憶装置、３０ｃ…通信装置、４１…第１通信バス、４２…第２通信バス、５１…第１ドメイン、５２…第２ドメイン、５３…第３ドメイン

Claims (10)

1. 第１通信線（４１）と、前記第１通信線を介して通信データをブロードキャスト通信する複数のブロードキャストノード（２１～２６）と、第２通信線（４２）と、前記第２通信線を介して通信データを非ブロードキャスト通信する非ブロードキャストノード（３１～３４）と、少なくとも一つの前記ブロードキャストノードと少なくとも一つの前記非ブロードキャストノードとを含む第１仮想グループと、少なくとも一つの前記ブロードキャストノードを含む第２仮想グループを少なくとも含む複数の仮想グループを形成するとともに、前記ブロードキャストノードと前記非ブロードキャストノードとの間で前記通信データを中継する中継装置（１０）と、を備えた車両に搭載可能な車載通信システムであって、
   前記中継装置は、
   複数の前記ブロードキャストノードのうち複数の前記仮想グループの一つである特定グループに含まれている対象ノードのみが起動しているか否かを判定する起動判定部（Ｓ１，Ｓ２，Ｓ１５，Ｓ２２）と、
   前記対象ノードのみが起動していると判定すると、前記対象ノードが送受信する前記通信データを暗号化および復号化するための前記特定グループに固有の鍵情報を配布する鍵配布部（Ｓ３，Ｓ１７，Ｓ２３）と、を含み、
   複数の前記ブロードキャストノードは、
   前記通信データを暗号化および復号化するために、起動中にのみ前記鍵情報を受信する受信部（Ｓ４）を備えている車載通信システム。
2. 前記ブロードキャストノードは、前記鍵情報をすでに記憶している場合に、前記受信部にて前記鍵情報を受信すると、記憶している前記鍵情報を受信した前記鍵情報に更新する更新部（Ｓ５，Ｓ４４）を、さらに備えている請求項１に記載の車載通信システム。
3. 前記起動判定部は、前記車両のイグニッションスイッチがオンの場合とオフの場合の少なくとも一方において、前記対象ノードのみが起動しているか否かを判定する請求項２に記載の車載通信システム。
4. 前記ブロードキャストノードは、自身がウェイクアップしたことを示す起動情報および自身がスリープすることを示すスリープ情報を前記中継装置に送信する起動通知部（Ｓ３０，Ｓ３６）をさらに備えている請求項３に記載の車載通信システム。
5. 前記起動判定部は、前記オンの場合、前記起動情報と前記スリープ情報に基づいて、前記対象ノードのみが起動しているか否かを判定する請求項４に記載の車載通信システム。
6. 前記中継装置は、
   前記オフの場合に、前記スリープ情報に基づいて、全ての前記ブロードキャストノードがスリープしているか否かを判定するスリープ判定部（Ｓ２０）と、
   全ての前記ブロードキャストノードがスリープしていると判定された場合に、前記対象ノードのみを起動させる起動部（Ｓ２１）と、
   前記起動判定部は、前記オフの場合、前記起動情報と前記スリープ情報に基づいて、前記特定グループに含まれている前記対象ノードのみが起動しているか否かを判定する請求項４または５に記載の車載通信システム。
7. 前記ブロードキャストノードは、
   前記受信部にて前記鍵情報を受信すると、前記鍵情報を更新する前に、前記鍵情報を一時的に保存する一時保存部（Ｓ４２）を、さらに備え、
   前記鍵配布部は、複数の前記特定グループのそれぞれに対して、個別に前記鍵情報を配布するものであり、
   前記中継装置は、
   前記鍵情報を配布後に、前記鍵情報の配布対象の全特定グループに含まれる前記対象ノードのみを起動させる全起動部（Ｓ２５，Ｓ２６）と、
   前記全起動部によって前記鍵情報の配布対象の全特定グループに含まれる前記対象ノードのみを起動させた後に、前記鍵情報の配布対象の全特定グループに含まれる前記対象ノードに対して、前記鍵情報の更新を指示する指示情報を送信する更新指示部（Ｓ２７）と、をさらに備え、
   前記更新部は、前記指示情報を受信すると、受信した前記鍵情報に更新する請求項６に記載の車載通信システム。
8. 前記ブロードキャストノードは、
   前記鍵情報の更新前に、一時的に保存した前記鍵情報を用いて通信テストを行うテスト部（Ｓ４３）をさらに備えている請求項７に記載の車載通信システム。
9. 前記中継装置は、前記仮想グループ毎に、前記鍵情報と、前記鍵情報の更新日時と、前記仮想グループに含まれている前記ブロードキャストノードと前記非ブロードキャストノードとで通信される前記通信データの秘匿度とを関連付けて記憶しており、
   前記中継装置は、前記鍵情報の配布に使える配布時間を計算し、前記更新日時と前記秘匿度から、複数の前記仮想グループのうち前記配布時間内に前記鍵情報を配布する前記特定グループを決めるスケジューリング部（Ｓ１２，Ｓ１８）をさらに備えている請求項１～８のいずれか２項に記載の車載通信システム。
10. 通信線（４１）と、前記通信線を介して通信データをブロードキャスト通信する複数のブロードキャストノード（２１～２７）と、少なくとも二つの前記ブロードキャストノードを含む仮想グループを複数形成する通信制御装置（１０１）と、を備えた通信システムであって、
    前記通信制御装置は、
    複数の前記ブロードキャストノードのうち複数の前記仮想グループの一つである特定グループに含まれている対象ノードのみが起動しているか否かを判定する起動判定部（Ｓ１，Ｓ２，Ｓ１５，Ｓ２２）と、
    前記対象ノードのみが起動していると判定すると、前記対象ノードが送受信する前記通信データを暗号化および復号化するための前記特定グループに固有の鍵情報を配布する鍵配布部（Ｓ３，Ｓ１７，Ｓ２３）と、を含み、
    複数の前記ブロードキャストノードは、
    前記通信データを暗号化および復号化するために、起動中にのみ前記鍵情報を受信する受信部（Ｓ４）を備えている車載通信システム。

Images