JP4774684B2 - 通信システム、暗号化／復号中継装置、及び通信制御装置 - Google Patents

Description

本発明は、複数の通信ノードが通信線を介して接続された通信システムと、その通信システムに用いられる暗号化／復号中継装置及び通信制御装置に関する。

従来、例えば車両に搭載される車内通信システム（車内ＬＡＮ）のような閉じられた狭い範囲内でのネットワークに対しては、セキュリティ性能を求められることはほとんどなかったため、その通信システム内では、データの暗号化などのセキュリティ技術を施すことなくそのままデータ伝送を行っていた。

しかし近年、従来はそれほどセキュリティ性能を求められていなかった通信システムに対しても、徐々にセキュリティ性能の向上が求められるようになってきており、データを暗号化して伝送するなどのセキュリティ対策を施す必要がでてきた。

一方、通信システムにおけるデータの暗号化技術としては、例えば、システムを構成する各通信ノードが暗号化・復号の機能を持ったものが知られている（例えば、特許文献１，２参照。）。

図１２は、上記特許文献１の技術が適用された通信システムの概略構成を示すものであり、ＥＣＵ−Ａ１０１、ＥＣＵ−Ｂ１０２、ＥＣＵ−Ｃ１０３、ＥＣＵ−Ｄ１０４などの複数のＥＣＵ（電子制御装置）がバス１１０に接続され、このバス１１０を介して相互にデータ通信できるよう構成されたものである。

このうちＥＣＵ−Ａ１０１は、他の各ＥＣＵに対するセンター装置としても機能し、乱数表に基づいて乱数を発生する乱数発生部１１１と、複数の暗号キーを記憶する暗号キー記憶部１１２と、他の各ＥＣＵ１０２，１０３，１０４・・・から送信された暗号化データを、暗号キー記憶部１１２が記憶する暗号キーの中から選択された暗号キーに従って復号する復号部１１３とを備える。他の各ＥＣＵ１０２，１０３，１０４・・・は、所定の暗号化アルゴリズムとＥＣＵ−Ａ１０１から指定される暗号キーとによって送信データを暗号化する暗号化部１０６を備える。

このように構成された従来の通信システムでは、ＥＣＵ−Ａ１０１以外の他のＥＣＵが通信を行う度に、センター装置としてのＥＣＵ−Ａ１０１が、乱数発生部１１１からの乱数に基づいて暗号キー記憶部１１２に記憶されている複数の暗号キーの中から選択した一つの暗号キーをその通信対象のＥＣＵへ送信する。ＥＣＵ−Ａ１０１以外の他のＥＣＵは、通信の都度、ＥＣＵ−Ａ１０１から送信される暗号キーに従って送信データを暗号化して送信する。
特開平５−３７５２３号公報 特開平１０−１４５３５２号公報

しかしながら、上記の特許文献１，２に記載された暗号化／復号技術を例えば車内ＬＡＮなどの既存の通信システムに適用してソフト的に実現しようとすると、システムを構成する通信ノードにおける処理負荷が増大し、暗号化／復号の処理或いはその他の処理に悪影響を及ぼすおそれがある。

即ち、車内ＬＡＮなどの既存の通信システムでは、システムを構成する各通信ノードに組み込まれるＣＰＵ（組み込みＣＰＵ）の性能は一般に高性能なものではなく、実行すべき処理量相応の性能である場合が一般的である。そのため、そのような既存の組み込みＣＰＵに対して暗号化／復号処理まで行わせると、処理負荷が過大となるのである。

特に、例えばＩＳＯ（国際標準化機構）などで安全性が認定されているような高レベルの暗号／復号アルゴリズムを適用すると、処理負荷はより過大となるため現実的ではない。また、ＣＰＵを高性能のものに変更すれば上記の暗号化／復号処理を実現することが可能となるが、ＣＰＵの性能を上げるとコストも大幅にアップする。そのため、技術的には可能であってもコスト的な面でやはり現実的ではない。

本発明は上記課題に鑑みなされたものであり、既存の通信システムに対し、通信ノードの処理負荷増大を抑え、ハードウェアの大幅な設計変更を加えることなく、暗号化されたデータによる通信が可能となるようにすることを目的とする。

本発明者は、例えばＩＳＯで規定された周知のＯＳＩ基本参照モデルにおける物理層或いはデータリンク層などのような、通信プロトコルにおける下位の階層（ハードウェアにより制御される機能を規定した階層）で暗号化／復号を行うようにすれば、既存の通信システムに対してソフト的な処理負荷を増大させることなく、且つハード的にも大幅な設計変更を加えることなくシステムの暗号化を実現できると考え、本発明に至った。

上記課題を解決するためになされた請求項１記載の通信システムは、車両に搭載され、複数の通信ノードが通信線を介して所定の通信プロトコルにより相互に通信可能に接続された通信システムであり、各通信ノードと通信線との間には、通信ノード毎にそれぞれ、暗号化／復号中継装置が設けられている。

この暗号化／復号中継装置は、対応する通信ノードから送信された送信データを暗号化して通信線上へ送出する。また、通信線を介して伝送されてきた暗号化されたデータを復号して対応する通信ノードへ送信する。
また、各暗号化／復号中継装置は、対応する通信ノードとの間における送信データの受信を含む通信、及び他の暗号化／復号中継装置との間における暗号化されたデータの受信を含む通信を、共に上記通信プロトコルにて行うよう構成されている。
また、通信ノードは、送信すべき送信データを、その送信データを含む所定のフォーマットのノード送信信号として送信し、外部からのデータを正常に受信したときはその旨を示す受信確認信号を出力し、自身が送信データを送信したときは、その送信データに対する外部からの受信確認信号を受信するまではその送信データを再送信するよう構成されている。
そして、暗号化／復号中継装置は、対応する通信ノードからのノード送信信号を受信するノード側受信手段と、そのノード側受信手段により受信されたノード送信信号に含まれる送信データを暗号化して暗号化送信データとする暗号化手段と、その暗号化手段にて暗号化された暗号化送信データを上記フォーマットの暗号化送信信号として通信線上へ送出する通信線側送信手段と、当該暗号化／復号中継装置以外の他の暗号化／復号中継装置から通信線を介して伝送されてきた暗号化送信信号を受信する通信線側受信手段と、その通信線側受信手段により受信された暗号化送信信号に含まれる暗号化送信データを元の送信データに復号する復号手段と、その復号手段にて復号された送信データを上記フォーマットの復号送信信号として対応する通信ノードへ送信するノード側送信手段と、通信線を介して伝送されてきたデータを正常に受信したときに受信確認信号を通信線上へ送出する通信線側確認信号出力手段と、対応する通信ノードから送信されたノード送信信号を正常に受信したときに受信確認信号をその対応する通信ノードへ出力するノード側確認信号出力手段と、通信線側送信手段が暗号化送信信号を通信線上へ送出したとき、その暗号化送信信号に対する他の暗号化／復号中継装置からの受信確認信号を通信線を介して受信したならば、その旨を示す送信完了信号をノード側確認信号出力手段へ出力する送信完了通知手段と、を備え、ノード側確認信号出力手段は、対応する通信ノードから送信されたノード送信信号を正常に受信した場合、送信完了通知手段からの送信完了信号を受信するまでは該通信ノードへの受信確認信号の出力は行わず、該送信完了信号を受信したときに、対応する通信ノードへ受信確認信号を出力する。
所定のフォーマットとは、例えば送信データに、その送信データの種類或いは優先度などを示すデータやエラーチェック用のデータ等を付加した一つのフレームとしたものなど、通信プロトコルによって種々のものが考えられる。

このように構成された通信システムによれば、通信ノードと通信線の間に暗号化／復号中継装置を設け、この暗号化／復号中継装置によって通信ノードからの送信データの暗号化及び通信線からの受信データの復号を行うようにしている。具体的には、各通信ノードに対応した暗号化／復号中継装置が、通信ノードからの送信データ（ノード送信信号）を暗号化手段にて暗号化して通信線上へ送出すると共に、通信線からのデータ（暗号化送信信号）を復号手段にて復号して通信ノードへ送信する。
そのため、既存の通信システムに対し、通信ノードの処理負荷増大を抑え、ハードウェアの大幅な設計変更を加えることなく、暗号化されたデータによる通信を可能とすることができる。

また、通信ノードからの送信データを暗号化／復号中継装置を介して通信線上へ送出するようにすると、例えば通信線上のトラフィックが混雑している場合、暗号化／復号中継装置がまだ暗号化したデータを通信線上へ送出していないにも拘わらず、対応する通信ノードからは新しいデータがどんどん入力され、通信ノードからの送信データが詰まってしまうおそれがある。
これに対し、本発明（請求項１）の通信システムでは、通信ノードが送信データを送信したとき、その送信データが暗号化／復号中継装置により暗号化されて通信線上への送出が完了するまでは、同じ送信データの再送信が行われ、送出が完了した後に次の新たなデータの送信が行われる。

そのため、暗号化／復号中継装置から通信線上へのデータ（暗号化されたデータ）の送出が完了していないにも拘わらず通信ノードから新しい送信データが次々と入力されるといった事態を防ぎ、通信線上のトラフィック状態に応じた適切な通信の実現が可能となる。

次に、請求項２載の通信システムは、車両に搭載され、複数の通信ノードが通信線を介して所定の通信プロトコルにより相互に通信可能に接続された通信システムであって、各通信ノードと前記通信線との間には、通信ノード毎にそれぞれ、暗号化／復号中継装置が設けられている。
この暗号化／復号中継装置は、対応する通信ノードから送信された送信データを暗号化して通信線上へ送出する。また、通信線を介して伝送されてきた暗号化されたデータを復号して対応する通信ノードへ送信する。
また、各暗号化／復号中継装置は、対応する通信ノードとの間における送信データの受信を含む通信、及び他の暗号化／復号中継装置との間における暗号化されたデータの受信を含む通信を、共に上記通信プロトコルにて行うよう構成されている。
また、通信ノードは、送信すべき送信データを、その送信データを含む所定のフォーマットのノード送信信号として送信し、送信データを送信中に外部から所定の停止信号を受信した場合は、その送信中の送信データを再送信するよう構成されている。
そして、暗号化／復号中継装置は、対応する通信ノードからのノード送信信号を受信するノード側受信手段と、そのノード側受信手段により受信されたノード送信信号に含まれる送信データを暗号化して暗号化送信データとする暗号化手段と、その暗号化手段にて暗号化された暗号化送信データを上記フォーマットの暗号化送信信号として通信線上へ送出する通信線側送信手段と、当該暗号化／復号中継装置以外の他の暗号化／復号中継装置から通信線を介して伝送されてきた暗号化送信信号を受信する通信線側受信手段と、その通信線側受信手段により受信された暗号化送信信号に含まれる暗号化送信データを元の送信データに復号する復号手段と、その復号手段にて復号された送信データを上記フォーマットの復号送信信号として対応する通信ノードへ送信するノード側送信手段と、ノード側受信手段にてノード送信信号を受信すると、そのノード送信信号に対応した暗号化送信信号の通信線上への送出が完了するまでは、対応する通信ノードからノード送信信号が送信される度に、その送信中における所定のタイミングで停止信号をその対応する通信ノードへ出力する停止信号出力手段と、通信線側送信手段による暗号化送信信号の送出が完了したときにその旨を示す送信完了信号を停止信号出力手段へ出力する送信完了通知手段と、を備え、停止信号出力手段は、送信完了通知手段から送信完了信号を受信するまでは、上記タイミングでの停止信号の出力を行う。

このように構成された通信システムによっても、通信ノードが送信データを送信したとき、その送信データが暗号化／復号中継装置により暗号化されて通信線上への送出が完了するまでは、同じ送信データの再送信が行われ、送出が完了した後に次の新たなデータの送信が行われる。或いは、通信線上への送出が完了するまでは次の新たなデータの再送信が行われ、送出が完了した後にさらに次のデータの送信が行われるようにすることもできる。

そのため、請求項１と同様、暗号化／復号中継装置から通信線上へのデータ（暗号化されたデータ）の送出が完了していないにも拘わらず通信ノードから新しい送信データが次々と入力されるといった事態を防ぎ、通信線上のトラフィック状態に応じた適切な通信の実現が可能となる。

次に、請求項３記載の通信システムは、請求項１又は２記載の通信システムであって、通信ノードは、ビットデータ形式のノード送信信号を通信線を伝送可能な形式にコード化して通信線上へ送出するよう構成されている。そして、暗号化／復号中継装置を構成する各手段のうち、ノード側受信手段、通信線側送信手段、通信線側受信手段、及びノード側送信手段が、それぞれ次のように構成されている。

まずノード側受信手段は、対応する通信ノードからのコード化されたノード送信信号をビットデータに変換するノード側受信処理部と、そのノード側受信処理部からのビットデータ形式のノード送信信号から送信データを抽出して暗号化手段へ出力する送信データ抽出部とを備える。

次に通信線側送信手段は、暗号化手段により暗号化された暗号化送信データに基づいてビットデータ形式の暗号化送信信号を生成する暗号化送信信号生成部と、その生成した暗号化送信信号をコード化して通信線上へ送出する通信線側送信処理部とを備える。

また通信線側受信手段は、通信線を介して伝送されてきた、コード化された暗号化送信信号をビットデータに変換する通信線側受信処理部と、その通信線側受信処理部からのビットデータ形式の暗号化送信信号から暗号化送信データを抽出して復号手段へ出力する暗号化データ抽出部とを備える。

そしてノード側送信手段は、復号手段により復号された送信データに基づいてビットデータ形式の復号送信信号を生成する復号送信信号生成部と、その生成した復号送信信号をコード化して対応する通信ノードへ送出するノード側送信処理部とを備える。

一方、通信ノードを、ビットデータ形式のノード送信信号を上記コード化せずにそのまま出力するよう構成すれば、例えば請求項４に記載のように、上記請求項３に記載の暗号化／復号中継装置の構成のうち、ノード側受信手段におけるノード側受信処理部と、ノード側送信手段におけるノード側送信処理部とがいずれも不要となる。

上記のように構成された請求項３又は請求項４に記載の通信システムによれば、暗号化／復号中継装置を、通信ノードから送信される送信データの形式（プロトコル階層）、通信線上を伝送されるデータの形式（プロトコル階層）に確実に適応したものとして構成できるため、既存の通信システムに対する設計変更等をより抑えつつ、暗号化されたデータによる良好な通信を可能とすることができる。

特に請求項４の構成によれば、上述の通り、暗号化／復号中継装置においてノード側受信処理部及びノード側送信処理部が不要となると共に、通信ノードについても、送信データの上記コード化が不要となるため、通信システム全体をより簡易的に構成することができる。

次に、請求項５記載の通信システムは、請求項１〜４いずれかに記載の通信システムであって、暗号化／復号中継装置は、送信データを暗号化する際、その送信データに所定の認証データを付加して暗号化する。そして、通信線を介して伝送されてきた暗号化されたデータを復号したときは、復号後のデータに含まれる認証データが正規のものであるか否か判断し、正規のものでなければ、その復号後のデータを無効とする。

このように構成された通信システムによれば、暗号化／復号中継装置から通信線上へ送出されたデータ（暗号化されたデータ）が途中で改竄された場合、暗号化／復号中継装置は、認証データの変化によってその改竄を検出でき、そのデータを無効として通信ノードへ入力させないようにする。そのため、改竄されたデータに基づいて通信ノードが無駄な処理或いは誤った処理を実行してしまうのを防ぐことができる。

尚、暗号化／復号中継装置は、例えば対応する通信ノードとは物理的に異なる一つの装置として構成してもよいし、対応する通信ノードに内蔵（物理的に一体化）した構成としてもよい。前者の場合は、既存の通信システムに対して通信ノードは何ら変更することなく単に暗号化／復号中継装置を接続するだけで済むため、通信ノードのハード的な変更が全く（或いはほとんど）不要となる。後者の場合、通信ノードに内蔵するためのハード的な設計変更は必要となるもののそれは微々たるものであり、むしろ一体化することで、見かけ上は従来と同じく通信線に各通信ノードが接続された状態となるため、システム構成を簡素化することが可能となる。しかも、通信ノードを密閉された筐体内に収めれば、通信ノードと暗号化／復号中継装置との接続部分も必然的にその筐体内に密閉された状態となるため、通信ノードと暗号化／復号中継装置との間で送受信される、暗号化されていないデータが不正に外部に引き出されるのを防ぐことができる。

また、このように暗号化／復号中継装置を通信ノード内に内蔵する構成の場合において、更に、例えば請求項６に記載のように暗号化／復号中継装置とそれに対応する通信ノードとを同一の半導体集積回路内に形成するようにすれば、通信ノード及び暗号化／復号中継装置の一体化構成をより小型化でき、しかも、上述した暗号化されていないデータの不正引き出しをより強固に防ぐことが可能となる。

ここで、請求項７に記載のように、請求項１〜５いずれかに記載の通信システムに用いられる暗号化／復号中継装置であって、当該各請求項において暗号化／復号中継装置に関して記載した構成を備える暗号化／復号中継装置や、請求項８に記載のように、請求項６記載の通信システムを構成する通信ノード及び暗号化／復号中継装置として用いられ、上記同一の半導体集積回路内に形成される通信制御装置であって、当該請求項において通信ノード及び暗号化／復号中継装置に関して記載した構成を備える通信制御装置についても、それぞれ単独で生産・使用・譲渡等することができる。

このような暗号化／復号中継装置や通信制御装置であれば、上述した通信システムに用いられることによって、上述の効果を発揮する上で有意な役割を果たすこととなる。

以下に、本発明の好適な実施形態を図面に基づいて説明する。
［第１実施形態］
図１は、本発明の通信システムを具現化した実施形態としての車内ＬＡＮ１０の概略構成を示す構成図である。この車内ＬＡＮ１０は、図示しない車両に搭載され、車両の各部を制御するための様々な種類のＥＣＵの相互間でデータ通信を行うように構成されている。各ＥＣＵ１，２，３，４（ＥＣＵ−Ａ１，ＥＣＵ−Ｂ２，ＥＣＵ−Ｃ３，ＥＣＵ−Ｄ４）は、例えば、車両のエンジンの燃料噴射や点火タイミング等を制御するエンジンＥＣＵ、車両に設けられた自動変速装置を制御するトランスミッション制御ＥＣＵ、車両のボデー系全体の制御を統括するボデーＥＣＵなど、種々のものがある。

そして、本実施形態の車内ＬＡＮ１０は、通信ノードとしての各ＥＣＵ１，２，３，４がそれぞれ、暗号化／復号中継装置としての暗号平文変換コネクタを介して、通信線としての暗号文バス７に接続されている。

このうちＥＣＵ−Ａ１は、平文バス−Ａ２１を介して暗号平文変換コネクタ−Ａ１１と接続され、ＥＣＵ−Ｂ２は、平文バス−Ｂ２２を介して暗号平文変換コネクタ−Ｂ１２と接続され、ＥＣＵ−Ｃ３は、平文バス−Ｃ２３を介して暗号平文変換コネクタ−Ｃ１３と接続され、ＥＣＵ−Ｄ４は、平文バス−Ｄ２４を介して暗号平文変換コネクタ−Ｄ１４と接続されている。そして、各暗号平文変換コネクタ１１，１２，１３，１４が、共通の暗号文バス７に接続されている。そのため、各ＥＣＵ１，２，３，４は、それぞれ対応する（平文バスを介して接続されている）各暗号平文変換コネクタ１１，１２，１３，１４及び暗号文バス７を介して相互にデータ通信を行うことができる。

各暗号平文変換コネクタ１１，１２，１３，１４は、それぞれ対応する各ＥＣＵ１，２，３，４から送信されたデータ（送信データ）を所定の暗号化アルゴリズムにて暗号化して、その暗号化されたデータ（暗号化送信データ）を暗号文バス７上へ送出すると共に、暗号文バス７を介して伝送されてきた他の暗号平文変換コネクタからの暗号化されたデータを元のデータに復号して、その復号したデータをそれぞれ対応する各ＥＣＵ１，２，３，４へ送信する機能を有する。

そして、本実施形態の車内ＬＡＮ１０では、通信プロトコルとしてＣＡＮ（Controller Area Network ）が採用されている。ＣＡＮは、ＩＳＯで規格化され、自動車を始め様々な分野で採用されている周知のシリアル通信プロトコルである。

このように、ＣＡＮはよく知られた通信プロトコルではあるが、参考までに、その概要について簡単に説明しておく。
まず、ＣＡＮでは、バス上の信号レベルにドミナント（優性）とレセッシブ（劣性）とがあり、ドミナントビットは論理「０」であり、レセッシブビットは論理「１」である。そのため、例えばバスに接続された二つの通信ノードが同時にデータを送信した場合に、一方がドミナントビットを、他方がレセッシブビットを送信したときは、ドミナントビットがレセッシブビットを上書きする。つまり、レセッシブビットはドミナントビットによって消されるわけである。

尚、この二つのレベルにより表されるデータがバス上に送出される際は、実際には、ＣＡＮプロトコルにおける物理層の機能として規定されている通り、二本のワイヤの電位差として出力される。つまり、本実施形態の暗号文バス７や各平文バス２１，２２，２３，２４は、詳細には二本のワイヤにより構成されている。そして、各ＥＣＵ１，２，３，４や各暗号平文変換コネクタ１１，１２，１３，１４は、バスを構成する二本のワイヤの電位差に基づいてバスのレベル（ドミナント又はレセッシブ）を判断するのである。

ＣＡＮバス上でやりとりされるデータのフォーマット（データフレーム）は、図２に示す通りである。尚、このデータフレームは、説明の簡略化のため、アービトレーションフィールド、データフィールド、及びＡＣＫフィールドのみを示し、他のフィールドについては図示を省略している。

アービトレーションフィールドは、データの種類及びフレームの優先順位を表すフィールドであり、所定ビット数のＩＤ（識別子）を有する。そのため、バス上のデータフレームを受信した通信ノードは、このＩＤをみることでデータの種類を知ることができる。更に、複数の通信ノードが同時にデータフレームを送信開始した場合は、このＩＤによる調停が行われる。この調停は、ＣＡＮプロトコルにおけるデータリンク層の機能である。

即ち、送信側の各通信ノードは、アービトレーションフィールドの第１ビット目からアービトレーション（調停）を行う。そして、調停に勝ったデータフレームを送信している通信ノードが送信権を獲得し、他の全ての通信ノードは受信動作に入る。具体的には、例えば二つの通信ノードが同時にデータ送信を開始した場合であって、一方のＩＤが「００１・・・」、他方のＩＤが「０００・・・」であるとすると、３ビット目にて、他方のＩＤがドミナントレベルであるため、ここで調停に勝つことになる。

データフィールドは、実際のデータが格納されるフィールドであり、例えば０〜８バイトのデータが格納される。
ＡＣＫフィールドは、送信したデータを受信側で正常に受信できたか否かを確認するためのフィールドである。送信側の通信ノードは、データフレームの送信時、このフィールド中のＡＣＫスロットでレセッシブビット「１」を送信する。一方、このデータフレームを受信する受信側では、正常に受信できた場合、このＡＣＫスロットでドミナントビット「０」を送る。このことを、“ＡＣＫを返す”ともいう。正常に受信できなかった場合は、このＡＣＫスロットでレセッシブビット「１」を送る。つまり、ＡＣＫを返さない。

送信側では、このＡＣＫスロットのレベルによって、正常に受信されたか否かを判断する。即ち、正常に受信された場合は、ＡＣＫスロットにおいて自身はレセッシブビット「１」を送信しているにも拘わらずバス上のレベルがドミナントレベル「０」となるため、正常に受信されたことが判断できる。逆に、正常に受信されなかった場合は、ＡＣＫスロットにおけるバスレベルもレセッシブレベル「１」のままとなるため、正常に受信されなかったことが判断できる。

送信側の通信ノードは、このＡＣＫフィールド（詳細にはＡＣＫスロット）においてＡＣＫが返って来なかった場合は、ＡＣＫエラーとして、そのデータフレームを再送信することになる。

また、ＣＡＮプロトコルでは、各種エラーを検出する機能も備えており、データフレームの送信時或いは受信時にエラーを検出した場合、その通信ノードは、エラーフレーム（例えば、６ビットのドミナントビットからなるエラーフラグと８ビットのレセッシブビットからなるエラーデリミタとからなる）を出力して、バスに接続された他の通信ノードに対しエラーが発生したことを通知する。

データフレーム送信中の通信ノードがエラーを検出した場合、その送信を強制的に終了して上記エラーフレームをバス上へ送出し、その後、そのデータフレームが正常に送信完了するまで再送信を繰り返す。尚、上述したＡＣＫフィールドに基づく正常受信の判断や、各種エラーの検出は、いずれも、ＣＡＮプロトコルにおけるデータリンク層の機能として規定されたものである。

次に、本実施形態の車内ＬＡＮ１０を構成する各ＥＣＵ１，２，３，４及びこれらに対応してそれぞれ接続されている各暗号平文変換コネクタ１１，１２，１３，１４のより具体的な構成・動作について、図３に基づいて説明する。図３は、ＥＣＵ−Ａ１及びこれに平文バス−Ａ２１を介して接続された暗号平文変換コネクタ−Ａ１１の概略構成を示す構成図である。尚、他の各ＥＣＵ１２，１３，１４及び各暗号平文変換コネクタ１２，１３，１４も、ＣＡＮプロトコルに基づくデータ通信を行うための構成及びその通信動作のみに着目すれば、図３と全く同様の構成・動作である。そのため、以下の説明では、代表としてＥＣＵ−Ａ１及び暗号平文変換コネクタ−Ａ１１について説明する（必要に応じて他のＥＣＵ、暗号平文変換コネクタも適宜参照する）。

ＥＣＵ−Ａ１は、ＣＡＮプロトコルに基づく通信処理はもちろん、車両における所定の制御処理（例えばエンジン制御に関する各種制御処理）を実行するＣＰＵ３１と、ＣＰＵ３１から他のＥＣＵ（詳細には他のＥＣＵ内のＣＰＵ）へのデータを、ＣＡＮプロトコルに従い、図２で説明したフォーマット（ビットデータ形式）のデータフレーム（本発明のノード送信信号）としてＣＡＮトランシーバ３３を介して送信すると共に、ＣＡＮトランシーバ３３から入力されたデータフレームに基づいて調停やエラー検出などの各種処理を行い、正常に受信したときにそのフレーム中のデータをＣＰＵ３１へ出力するＥＣＵ内ＣＡＮコントローラ３２と、ＥＣＵ内ＣＡＮコントローラ３２から外部（平文バス−Ａ２１側）へ送信されるデータフレームを実際にバス上に送出可能な形式（つまり上述した二本のワイヤの電位差にて表される形式）にコード化して平文バス−Ａ２１上へ送出すると共に、平文バス−Ａ２１を介して入力された信号からバスレベルを読み取ってビットデータ形式のデータフレームとして、ＥＣＵ内ＣＡＮコントローラ３２へ出力するＣＡＮトランシーバ３３とを備える。

そして、ＥＣＵ内ＣＡＮコントローラ３２にて、送信すべきデータのビットデータ化・フレーム化やＣＡＮトランシーバ３３からのデータフレームの解析が行われる。上述したＩＤによる調停やＡＣＫの応答、エラー検出などもこのＥＣＵ内ＣＡＮコントローラ３２にて行われる。尚、受信側で正常に受信されたときにその受信側から返ってくるＡＣＫ（ドミナントビット）は本発明の受信確認信号に相当するものである。

即ち、ＣＡＮトランシーバ３３は、ＣＡＮプロトコルにおける物理層の機能として規定された各種機能を実現するものであり、ＥＣＵ内ＣＡＮコントローラ３２は、ＣＡＮプロトコルにおけるデータリンク層の機能として規定された各種機能を実現するものである。そしてこれらは、いずれもハードウェアにて構成され、上記各種機能はハードウェアによる機能として実現される。

暗号平文変換コネクタ−Ａ１１は、平文バス−Ａ２１に接続されたＣＡＮトランシーバ４１と、このＣＡＮトランシーバ４１に接続されたＥＣＵ側ＣＡＮコントローラ４２と、暗号文バス７に接続されたＣＡＮトランシーバ４６と、このＣＡＮトランシーバ４６に接続されたＬＡＮ側ＣＡＮコントローラ４５と、各コントローラ４２，４５の双方に接続された暗号部４３及び復号部４４とを備える。

このうち、ＣＡＮトランシーバ４１及びＣＡＮトランシーバ４６はいずれも、ＥＣＵ−Ａ１内のＣＡＮトランシーバ３３と全く同じ構成であって同じ機能を有する。つまり、ＣＡＮプロトコルにおける物理層での機能を実行する。

また、ＥＣＵ側ＣＡＮコントローラ４２及びＬＡＮ側ＣＡＮコントローラ４５も、基本的には、ＥＣＵ−Ａ１内のＥＣＵ内ＣＡＮコントローラ３２と同じ構成であって同じ機能を有する。つまり、ＣＡＮプロトコルにおけるデータリンク層での機能を実行する。

そして、ＥＣＵ−Ａ１から平文バス−Ａ２１上へ送出されたデータフレームがＣＡＮトランシーバ４１を介してＥＣＵ側ＣＡＮコントローラ４２にて受信されると、このＥＣＵ側ＣＡＮコントローラ４２は、上記データリンク層で規定された機能を実行すると共に、正常に受信できたとき、データフレーム中のデータを抽出して暗号部４３へ出力する。

暗号部４３は、入力されたデータを所定の暗号化アルゴリズムにて暗号化し、暗号化後のデータをＬＡＮ側ＣＡＮコントローラ４５へ出力する。暗号化の具体的なアルゴリズムは様々なものが知られており、適宜採用することができるため、ここではその詳細説明は省略する。

暗号部４３にて暗号化されたデータは、ＬＡＮ側ＣＡＮコントローラ４５にて再びデータフレーム化され、ＣＡＮトランシーバ４６を介して暗号文バス７上へ送出される。このとき暗号文バス７上へ送出されるデータフレームは、本発明の暗号化送信信号に相当するものである。また、このデータフレーム中のＩＤは、暗号化前のデータがＥＣＵ−Ａ１から送信されてきたときのデータフレーム中に含まれていたＩＤと同じものである。

一方、暗号文バス７を介して他の暗号平文変換コネクタ１２，１３，１４から送信されてきたデータ（暗号化されたデータを含むデータフレーム）は、ＣＡＮトランシーバ４６にてビットデータに変換されてＬＡＮ側ＣＡＮコントローラ４５に入力され、ここで、データリンク層で規定された各種機能が実行される。そして、正常に受信できたとき、このデータフレーム中に含まれる暗号化されたデータを抽出して復号部４４へ出力する。

復号部４４は、暗号部４３に対応して設けられたものであり、暗号部４３にてなされた所定のアルゴリズムに基づく暗号化処理に対して、その暗号化されたデータを元のデータに復号する機能を有する。

復号部４４にて復号されたデータは、ＥＣＵ側ＣＡＮコントローラ４２にて再びデータフレーム化され、ＣＡＮトランシーバ４１を介して平文バス−Ａ２１上へ送出される。このとき平文バス−Ａ２１上へ送出されるデータフレームが、本発明の復号送信信号に相当するものである。また、このデータフレーム中のＩＤは、復号前のデータが暗号文バス７を介して受信されたときのデータフレーム中に含まれていたＩＤと同じものである。

これらに加え、本実施形態では更に、平文バス−Ａ２１と暗号文バス７との通信トラフィック状態の差を吸収するためのＥＣＵ側データフレーム再送機能や、暗号化されたデータが暗号文バス７上のどこかで改竄された場合にそれを検出することができる改竄検出機能を有する。

即ち、暗号文バス７は、複数の暗号平文変換コネクタに接続された共通のバスであるため、通信トラフィックが混雑するおそれがある。これに対し、平文バス−Ａ２１は、ＥＣＵ−Ａ１と暗号平文変換コネクタ−Ａ１１との間で送受されるデータフレームだけが伝送される専用線であるため、通信トラフィックが混雑するおそれはない。

そのため、例えばＥＣＵ−Ａ１（ＣＰＵ３１）が複数のデータを順次送信しようとしてまず一つ目のデータフレームを平文バス−Ａ２１上へ送出すると、暗号平文変換コネクタ−Ａ１１はそれを受信してデータの暗号化を行い、再びデータフレーム化して暗号文バス７上へ送出するが、この暗号文バス７上への送出時に調停に負けてしまうと、そのデータフレームを再送信することになる。つまり、調停に勝つまでは同じデータフレームが再送信され続けることになる。

そしてその再送信している間、ＥＣＵ−Ａ１が新しいデータフレームを順次送出してしまうと、ＥＣＵ−Ａ１からのデータフレームが必然的に詰まってしまう。これを解消するための一手段として、例えば暗号平文変換コネクタ−Ａ１１内にバッファを設けてその中にＥＣＵ−Ａ１からのデータを順次バッファリングすることも考えられるが、そうすると容量の大きいバッファを備える必要があるため、コスト的にも現実的ではない。

そこで本実施形態の暗号平文変換コネクタ−Ａ１１は、ＥＣＵ側データフレーム再送機能を備えている。即ち、ＥＣＵ−Ａ１からデータが送信されたとき、最初のデータフレーム、即ち暗号平文変換コネクタ−Ａ１１に未送信データがない状態で最初に受信したデータフレームについては、そのまま受信してＥＣＵ−Ａ１側にＡＣＫを返すようにするが、次の新たなデータフレームに対しては、先に受信したデータの暗号化後のデータがデータフレームにて暗号文バス７上へ完全に送出される（調停に勝つ）までは、ＡＣＫを返さないようにするのである。

具体的には、調停に勝って暗号文バス７上へ完全に送出されたときに、ＬＡＮ側ＣＡＮコントローラ４５が送信完了信号をＥＣＵ側ＣＡＮコントローラ４２へ出力する。これにより、ＥＣＵ側ＣＡＮコントローラ４２は暗号化されたデータの送信が完了したことを知り、暗号平文変換コネクタ−Ａ１１で次の新たなデータの受信態勢が整ったものとみて、次にＥＣＵ−Ａ１から送信されてきたデータフレームに対し、エラー等がない限りＡＣＫを返すのである。

これによりＥＣＵ−Ａ１は、先に送信したデータが暗号平文変換コネクタ−Ａ１１から暗号文バス７上へ完全に送出されるまでは、同じデータフレームの再送を繰り返すことになる。そのため、暗号平文変換コネクタＡ−１１から暗号文バス７上へのデータフレーム送出が調停負けしているにも拘わらずその暗号平文変換コネクタ−Ａ１１に新しいデータがどんどん入力されてしまうということはない。このように、本実施形態では、暗号平文変換コネクタ−Ａ１１からのデータ送信が完了するまでＥＣＵ−Ａ１にデータを再送させるために、データ送信が完了するまではＥＣＵ−Ａ１にＡＣＫを返さないようにしているのであり、このような方式を以下「ＡＣＫによる再送要求方式１」ともいう。

また、暗号平文変換コネクタ−Ａ１１が備える改竄検出機能とは、データに付加された認証子に基づいて改竄の有無を検出する機能である。即ち、暗号部４３がデータを暗号化する際、そのデータに所定の認証子（本発明の認証データに相当）を付加して暗号化する。そして暗号化されたデータが受信されたとき、復号部４４は、その認証子が付加されたデータを復号すると共に、復号された認証子が正規のもの（つまり暗号部４３にて付加されたもの）であるか否かを判断し、その判断結果としての認証完了信号をＥＣＵ側ＣＡＮコントローラ４２へ出力する。

ＥＣＵ側ＣＡＮコントローラ４２は、復号部４４からの認証完了信号に基づいてデータ改竄の有無を判断し、改竄されていなければ引き続き通常通りの処理を行うが、改竄されていた場合は、受信したデータ（復号したデータ）を無効とし、ＥＣＵ−Ａ１側へ送信しないようにする。これにより、ＥＣＵ−Ａ１が改竄されたデータに基づく処理を実行してしまうのを防いでいる。

次に、上記説明した本実施形態の車内ＬＡＮ１０において行われるデータ通信動作の一例（ＡＣＫによる再送要求方式１）を、図４に示す。図４は、ＥＣＵ−Ａ１から送信されたデータがＥＣＵ−Ｂ２にて受信される様子を説明している。

図示の如く、時刻ｔ１にてＥＣＵ−Ａ１内のＣＰＵ３１がデータＸを出力すると、ＥＣＵ内ＣＡＮコントローラ３２がそのデータＸを含むデータフレームを出力する。このときのアービトレーションフィールド中のＩＤはＩＤａである。

これにより平文バス−Ａ２１上にこのデータフレームが送出されるが、このとき、暗号平文変換コネクタ−Ａ１１内には未送信データがないため、暗号平文変換コネクタ−Ａ１１内のＥＣＵ側ＣＡＮコントローラ４２は、その平文バス−Ａ２１上のデータフレームを受信してＡＣＫを返す。そのため、データフレーム送出中におけるＡＣＫスロットでのバスレベルは、ドミナントレベル「０」となる。

尚、図中「ＡＣＫｒ」は、送信側が出力するＡＣＫフィールドであってその中のＡＣＫスロットがレセッシブレベルであることを意味し、「ＡＣＫｄ」は、受信側にて正常に受信された場合にその受信側がＡＣＫを返すことにより、ＡＣＫスロットにおいてバスレベルがドミナントレベルになることを意味している。

そして、暗号平文変換コネクタ−Ａ１１により受信されたデータＸは暗号部４３により暗号化されて暗号化データＸｅとなり、その暗号化データＸｅがＬＡＮ側ＣＡＮコントローラ４５からデータフレームとして暗号文バス７上へ送出される（時刻ｔ２）。このときのＩＤは、暗号化前のデータＸをＥＣＵ−Ａ１から受信したときのＩＤと同じくＩＤａである。

これに対し、ＥＣＵ−Ｂ２に接続されている暗号平文変換コネクタ−Ｂ１２は、暗号文バス７上の暗号化データＸｅを受信してＡＣＫを返す。そのため、暗号文バス７上のＡＣＫスロットにおけるバスレベルはドミナントレベルとなる。

暗号平文変換コネクタ−Ｂ１２は、この受信した暗号化データＸｅを元のデータＸに復号し、その復号されたデータＸを含むデータフレーム（ＩＤ＝ＩＤａ）を平文バス−Ｂ２２上へ送出する（時刻ｔ３）。そして、このデータフレームをＥＣＵ−Ｂ２が正常に受信すると、ＥＣＵ−Ｂ２内のＥＣＵ内ＣＡＮコントローラからＡＣＫが返ってくる。そのため、平文バス−Ｂ２２上のＡＣＫスロットにおけるバスレベルはドミナントレベルとなる。

一方、ＥＣＵ−Ａ１は、最初に時刻ｔ１でデータＸを送信した後、時刻ｔ２では次の新たなデータであるデータＹを送信する。尚、このときのＩＤはＩＤｂである。ところが、このデータＹがデータフレームにて平文バス−Ａ２１上へ送出されたときは、暗号平文変換コネクタ−Ａ１１では、先に受信したデータＸの暗号化後のデータＸｅが暗号文バス７上へ送出されている最中である。そのため、暗号平文変換コネクタ−Ａ１１内のＥＣＵ側ＣＡＮコントローラ４２は、ＥＣＵ−Ａ１からの新規データＹに対してはＡＣＫを返さない。つまり、平文バス−Ａ２１上のＡＣＫスロットにおけるバスレベルはレセッシブレベルのままとなる。

そのため、ＥＣＵ−Ａ１からは、データＹが再送信されることになる。但し、暗号平文変換コネクタ−Ａ１１からの暗号化データＸｅの送出が完了すると、ＬＡＮ側ＣＡＮコントローラ４５はＥＣＵ側ＣＡＮコントローラ４２へ送信完了信号を出力するため、ＥＣＵ側ＣＡＮコントローラ４２は、次にデータを正常受信したときはそれに対してＡＣＫを返すようになる。そのため、時刻ｔ３にてデータＹを含むデータフレームがＥＣＵ−Ａ１から再送信されると、暗号平文変換コネクタ−Ａ１１内のＥＣＵ側ＣＡＮコントローラ４２は、そのデータフレームに対してＡＣＫを返す。

よって、ＥＣＵ−Ａ１では、データＹが正常に受信されたことを知り、次の新たなデータＺを送信することとなる（時刻ｔ４）。このデータＺについても、暗号平文変換コネクタ−Ａ１１から暗号文バス７上への暗号化データＹｅの送出が完了するまで、つまり暗号化データＹｅに対する送信完了信号をＥＣＵ側ＣＡＮコントローラ４２が受信するまでは、ＥＣＵ−Ａ１は再送信することになる。

次に、ＥＣＵ−Ａ１とＥＣＵ−Ｂ２とが同時にデータ送信を開始した場合について、図５に基づいて説明する。図示の如く、時刻ｔ１にて、ＥＣＵ−Ａ１からのデータＸを含むフレーム（ＩＤ＝ＩＤａ）の送信とＥＣＵ−Ｂ２からのデータＰを含むフレーム（ＩＤ＝ＩＤｊ）の送信が同時に開始された場合、時刻ｔ２にて、データＸが暗号化された暗号化データＸｅを暗号平文変換コネクタ−Ａ１１が暗号文バス７へ送出開始すると共に、データＰが暗号化された暗号化データＰｅを暗号平文変換コネクタ−Ｂ１２が暗号文バス７へ送出開始する。つまり、各コネクタ１１，１２が同時に暗号文バス７上へデータフレームを送出する。

このとき、ＩＤａ＞ＩＤｊ（ＩＤａの方がＩＤｊより優先順位が高い）であるため、暗号平文変換コネクタ−Ａ１１からの暗号化データＸｅが調停に勝って暗号平文変換コネクタ−Ｂ１２に受信される。

そのため、時刻ｔ３において、暗号平文変換コネクタ−Ｂ１２は、先の調停負けによる暗号化データＰｅの再送信を行うと同時に、受信した暗号化データＸｅが復号されたデータＸをＥＣＵ−Ｂ１２へ送出する。そして、再送信された暗号化データＰｅは、暗号平文変換コネクタ−Ａ１１にて受信され、復号部４４にて元のデータＰに復号されて、時刻ｔ４でＥＣＵ−Ａ１へ送出される。

以上説明した本実施形態の車内ＬＡＮ１０によれば、各ＥＣＵ１，２，３，４と暗号文バス７との間にそれぞれ各暗号平文変換コネクタ１１，１２，１３，１４を設け、これら各暗号平文変換コネクタ１１，１２，１３，１４によって対応するＥＣＵからの送信データの暗号化及び暗号文バス７からの受信データ（暗号化データ）の復号を行うようにしているため、暗号・復号機能のない既存の車内ＬＡＮ通信システムに対し、ＥＣＵ内のＣＰＵの処理負荷増大を抑え、ハードウェア（各ＥＣＵ１，２，３，４など）の大幅な設計変更を加えることなく、暗号化されたデータによる通信を可能とすることができる。

また、各ＥＣＵ１，２，３，４は、データを送信したとき、その送信データが対応する暗号平文変換コネクタにより暗号化されて暗号文バス７上への送出が完了するまでは、次の新たなデータの再送信させ続けるようにしている。そのため、各暗号平文変換コネクタ１１，１２，１３，１４から暗号文バス７上への暗号化データの送出が完了していないにも拘わらず対応するＥＣＵから新しい送信データが次々と入力されるといった事態を防ぐことができ、暗号文バス７上のトラフィック状態に応じた適切な通信の実現が可能となる。

更に、暗号文バス７上へ送出された暗号化データが途中で改竄された場合、それを受信した暗号平文変換コネクタ１１，１２，１３，１４は、データに付加された認証子の変化によってその改竄を検出でき、そのデータを無効として対応するＥＣＵへ送信しないようにする。そのため、改竄されたデータに基づいて各ＥＣＵ１，２，３，４が無駄な処理或いは誤った処理を実行してしまうのを防ぐことができる。

ここで、本実施形態の構成要素と本発明の構成要素の対応関係を明らかにする。本実施形態において、暗号平文変換コネクタ−Ａ１１を構成するＣＡＮトランシーバ４１は本発明のノード側受信処理部及びノード側送信処理部に相当し、ＥＣＵ側ＣＡＮコントローラ４２は本発明の送信データ抽出部、復号送信信号生成部及びノード側確認信号出力手段に相当し、ＬＡＮ側ＣＡＮコントローラ４５は本発明の暗号化送信信号生成部、暗号化データ抽出部及び送信完了通知手段に相当し、ＣＡＮトランシーバ４６は本発明の通信線側送信処理部及び通信線側受信処理部に相当し、暗号部４３は本発明の暗号化手段に相当し、復号部４４は本発明の復号手段に相当する。

［第２実施形態］
次に、第２実施形態の車内ＬＡＮにおけるデータ通信動作について、図６に基づいて説明する。尚、本実施形態の車内ＬＡＮは、そのハード構成自体は、図１や図３で説明した第１実施形態の車内ＬＡＮ１０と同じである。そのため、車内ＬＡＮの構成に関する説明は省略し、本実施形態においても図１又は図３を参照して説明する。

そして、本実施形態の車内ＬＡＮは、第１実施形態の車内ＬＡＮ１０と比較すると、ＥＣＵ−Ａ１から暗号平文変換コネクタ−Ａ１１へデータが送信された後、そのデータが暗号化されて暗号平文変換コネクタ−Ａ１１から暗号文バス７上へ完全に送出されるまでの間に、ＥＣＵ−Ａ１に新規データを再送信させるための方法が異なっている。

即ち、上記第１実施形態では、暗号平文変換コネクタ−Ａ１１は、ＥＣＵ−Ａ１からのデータを受信後、そのデータを暗号化して暗号文バス７上への送出が完了するまで（つまり暗号文バス７を介してＡＣＫが返ってくるまで）は、ＥＣＵ−Ａ１から新規データが送信される度にそのデータに対してＡＣＫを返さないようにすることで、ＥＣＵ−Ａ１にデータの再送信を行わせるようにしていた。

これに対し本実施形態では、暗号化データの暗号文バス７上への送出が完了するまでは、ＥＣＵ−Ａ１から新規データが送信される度に、そのデータ送信中の所定のタイミングでＥＣＵ側ＣＡＮコントローラ４２がエラーフレームを生成して平文バス−Ａ２１へ送出することにより、強制的にデータの再送を行わせるようにしている。つまり、エラーを検出したからエラーフレームを出力するのではなく、再送させるための手段としてエラーフレームを出力するのである。このようにしてデータを再送させる方式を以下「エラーフレームによる再送要求方式」ともいう。また、このエラーフレームは本発明の停止信号に相当するものである。

既述の通り、ＣＡＮプロトコルではデータ送信中にエラーフレームを受信すると、そのデータを再送信するように規定されている。そのため、ＥＣＵ−Ａ１は、データ送信中に暗号平文変換コネクタ−Ａ１１側からエラーフレームを受信する度に、そのデータを再送信することになる。そして、暗号平文変換コネクタ−Ａ１１からの暗号化データが送信完了すると、ＥＣＵ側ＣＡＮコントローラ４２は、ＬＡＮ側ＣＡＮコントローラ４５からの送信完了信号を受けて、エラーフレームの出力をやめる。但しもちろん、本当にエラーを検出した場合は通常通りエラーフレームを出力するのはいうまでもない。

図６に、上述したエラーフレームによる再送要求方式が適用されたデータ通信動作の例を示す。本図において、第１実施形態の図４と異なる点は、時刻ｔ２と時刻ｔ４におけるＥＣＵ−Ａ１からのデータ送信状態及び平文バス−Ａ２１の状態であり、その他は図４と同じである。

時刻ｔ１でＥＣＵ−Ａ１から送信されたデータＸが暗号平文変換コネクタ−Ａ１１にて受信されると、時刻ｔ２でＥＣＵ−Ａ１は次の新たなデータＹを出力しようとする。
ところが、暗号平文変換コネクタ−Ａ１１では、先に受信したデータＸの暗号化データＸｅをまだ暗号文バス７上へ送出していない。そのため暗号平文変換コネクタ−Ａ１１内のＥＣＵ側ＣＡＮコントローラ４２は、時刻ｔ２でＥＣＵ−Ａ１から出力開始されたデータＹを含むデータフレームに対し、その送信中の所定のタイミングでエラーフレームを出力するのである。これに対し、ＥＣＵ−Ａ１は、エラーフレームが出力されたことをバスレベルに基づいて判断し、それによってデータ送信を停止する。そして、次の時刻ｔ３で再び同じデータＹを送信する。時刻ｔ４におけるデータＺの送信の際も全く同様である。

そして、暗号平文変換コネクタ−Ａ１１からの暗号化データＸｅが暗号文バス７上へ完全に送出されると、ＬＡＮ側ＣＡＮコントローラ４５が送信完了信号を出力するため、時刻ｔ３で再送信されるデータＹに対しては、実際にエラーが生じない限り、ＡＣＫを返して受信する。時刻ｔ５についても同様である。

このように構成された本実施形態の車内ＬＡＮによれば、暗号化データが完全に暗号文ＬＡＮ７上へ送出されるまでの間は、暗号平文変換コネクタ−Ａ１１が、ＥＣＵ−Ａ１にデータを再送信させるためのエラーフレームを生成してＥＣＵ−Ａ１へ送信するようにしているため、第１実施形態と同様の効果が得られる。

［第３実施形態］
本実施形態の車内ＬＡＮシステムは、基本的には上記第２実施形態の車内ＬＡＮと同じであり、ＥＣＵにデータの再送信をさせるための方式が若干異なるだけである。

即ち、上記第２実施形態では、各暗号平文変換コネクタ１１，１２，１３，１４が「エラーフレームによる再送要求方式」によって対応する各ＥＣＵ１，２，３，４にデータの再送信をさせるようにし、その具体的方法として、例えばＥＣＵ−Ａ１からのデータ送信中に暗号平文変換コネクタ−Ａ１１が平文バス−Ａ２１上へエラーフレームを送出するようにしていた。

これに対し本実施形態では、上記のエラーフレームの送出に代えて、ＥＣＵ側から送信されてくるデータフレーム中のＩＤよりも優先順位の高いＩＤを擬似的に生成して平文バス−Ａ２１上へ送出するようにしている。このようにしてデータを再送させる方式を以下「ＩＤ調停負けによる再送要求方式」ともいう。また、この擬似的に生成する優先順位の高いＩＤも、本発明の停止信号に相当するものである。

図７に、本実施形態のデータ通信動作の例を示す。本図において、上記第２実施形態の図６と異なる部分は、時刻ｔ２と時刻ｔ４におけるＥＣＵ−Ａ１からのデータ送信状態及び平文バス−Ａ２１の状態であり、その他は図６と同じである。

図示の如く、本実施形態では、時刻ｔ２においてＥＣＵ−Ａ１がデータＹを含むデータフレームの送信を開始してまずそのＩＤ（ＩＤｂ）が平文バス−Ａ２１上へ送出される。すると、暗号平文変換コネクタ−Ａ１１内のＥＣＵ側ＣＡＮコントローラ４２は、このＩＤｂよりも優先順位の高いＩＤである「０００・・・」を平文バス−Ａ２１上へ送出する。つまり、ＥＣＵ−Ａ１側が調停負けするまで、アービトレーションフィールドにおいてドミナントビットを送信し続けるのである。

この擬似的なＩＤにより調停負けしたＥＣＵ−Ａ１は、次の時刻ｔ３にて、再びそのデータＹを送信する。すると、この場合は既に暗号平文変換コネクタ−Ａ１１内で送信完了信号が出力された状態となっているため、暗号平文変換コネクタ−Ａ１１は、再送されたデータＹに対してＡＣＫを返す。時刻ｔ４〜ｔ５についても同様である。

このように構成された本実施形態の車内ＬＡＮによっても、暗号化データが完全に暗号文ＬＡＮ７上へ送出されるまでの間は、暗号平文変換コネクタ−Ａ１１が、ＥＣＵ−Ａ１にデータを再送信させるための擬似的なＩＤを生成（ドミナントビットを連続出力）してＥＣＵ−Ａ１へ送信するようにしているため、第１実施形態と同様の効果が得られる。

［第４実施形態］
次に、第４実施形態の車内ＬＡＮを構成するＥＣＵ及びこれに接続される暗号平文変換コネクタについて、図８に基づいて説明する。尚、図８において、第１実施形態の車内ＬＡＮ１０（図１）とそれを構成するＥＣＵ−Ａ１及び暗号平文変換コネクタ−Ａ１１（図３）と同じ構成要素には、同一の符号を付し、詳細な説明を省略する。

図８に示す如く、本実施形態のＥＣＵ−Ａ５１（他の各ＥＣＵ−Ａ，ＥＣＵ−Ｂ，ＥＣＵ−Ｃも同様）は、第１実施形態のＥＣＵ−Ａ１からＣＡＮトランシーバ３３を取り除いた構成となっている。つまり、データリンク層で扱われるビットデータが、対応する暗号平文変換コネクタ−Ａ５３との間で送受信されるのである。

そのため、平文バス−Ａ５５を介してこのＥＣＵ−Ａ５１に接続される暗号平文変換コネクタ−Ａ５３も、第１実施形態の暗号平文変換コネクタ−Ａ１１からＣＡＮトランシーバ４１を取り除いた構成となっている。

つまり、ＥＣＵ−Ａ５１と暗号平文変換コネクタ−Ａ５３との間のメッセージのやりとりが、物理層のレベルにまで落として行われるのではなく、データリンク層のレベルのまま行われるのである。

尚、本実施形態の暗号平文変換コネクタ（暗号平文変換コネクタ−Ａ５３等）による、対応するＥＣＵに対するデータ再送信要求方式としても、第１実施形態の「ＡＣＫによる再送要求方式１」、第２実施形態の「エラーフレームによる再送要求方式」、第３実施形態の「ＩＤ調停負けによる再送要求方式」のいずれも適用することができる。

このような第４実施形態の構成によれば、暗号平文変換コネクタにおいてＥＣＵと接続されるＣＡＮトランシーバが不要となると共に、ＥＣＵにおいても、暗号平文変換コネクタに接続されるＣＡＮトランシーバが不要となるため、ＥＣＵ及び暗号平文変換コネクタの構成を共に簡素化でき、延いては車内ＬＡＮ全体をより簡易的に構成することが可能となる。

尚、本実施形態において、ＥＣＵ−Ａ５１は本発明（請求項４）の通信ノードに相当し、暗号平文変換コネクタ−Ａ５３は同じく本発明（請求項４）の暗号化／復号中継装置に相当するものである。

［第５実施形態］
次に、第５実施形態の車内ＬＡＮを構成するＥＣＵ及びこれに接続される暗号平文変換コネクタについて、図９に基づいて説明する。尚、図９において、第４実施形態（図８）と同じ構成要素には、同一の符号を付し、詳細な説明を省略する。

図９に示す如く、本実施形態では、図８で説明した第４実施形態のＥＣＵ−Ａ５１とそれに接続される暗号平文変換コネクタ−Ａ５３とが一体化され、全体として一つのＥＣＵ−Ａ６０として構成されている。しかも、ＣＰＵ３１及びＥＣＵ内ＣＡＮコントローラ３２が、暗号平文変換コネクタとして機能する暗号平文変換部６２と共に同一の半導体集積回路内に形成された、１チップＬＳＩ構成となっている。

つまり、本実施形態では、ＥＣＵ−Ａ６０内に暗号平文変換機能付ＣＡＮ内蔵マイコン（１チップＬＳＩ構成）６１が搭載されており、このマイコン６１の中に、ＣＰＵ３１，ＥＣＵ内ＣＡＮコントローラ３２，及び暗号平文変換部６２が形成されているのである。この暗号平文変換機能付ＣＡＮ内蔵マイコン６１は、本発明（請求項８）の通信制御装置に相当するものである。

他の各ＥＣＵとそれに対応する各暗号平文変換コネクタについても同様であり、いずれも一体化され、且つＥＣＵ内のＣＰＵとＥＣＵ内ＣＡＮコントローラ、及び暗号平文変換部（暗号平文変換コネクタに相当する部分）が１チップＬＳＩ化されている。

このような第５実施形態の構成によれば、ＥＣＵ内のＣＰＵ及びＣＡＮコントローラと、暗号平文変換コネクタとが一体化され、且つ、これらが１チップＬＳＩ化されているため、車内ＬＡＮの構成をより簡素化することができる。しかも、暗号化されていない状態のデータが送受信される部分、即ちＥＣＵ内ＣＡＮコントローラ３２とＥＣＵ側ＣＡＮコントローラ４２との間の通信部分がＥＣＵ−Ａ６０の内部（延いてはマイコン６１を構成するＬＳＩ内部）に位置している。そのため、暗号化されていないデータが不正に外部に引き出されるのを防ぐことも可能となり、データ通信の秘匿性をより強固にすることが可能となる。

［変形例］
以上、本発明の実施の形態について説明したが、本発明の実施形態は上記各実施形態に何ら限定されるものではなく、本発明の技術的範囲に属する限り種々の形態を採り得ることはいうまでもない。

例えば、図４で説明した第１実施形態のデータ通信動作（ＡＣＫによる再送要求方式１が適用）では、最初に受信したデータＸについてはＡＣＫを返すようにし、次にＥＣＵ−Ａ１から送信されるデータＹについては、先のデータＸの暗号化データＸｅが暗号文バス７上へ完全に送出されるまではＡＣＫを返さずに再送信させるようにしたが、図１０に示すように、最初に送信されるデータＸについても、その暗号化データＸｅが暗号文バス７上へ完全に送出されるまではＥＣＵ−Ａ１に再送させ続けるようにしてもよい。このようにしてデータを再送させる方式を以下「ＡＣＫによる再送要求方式２」ともいう。

即ち、図１０に示すように、時刻ｔ１でデータＸを含むデータフレームを送信したとき、暗号平文変換コネクタ−Ａ１１は、そのデータフレームを受信処理するものの、ＡＣＫはまだ返さないのである。そのため、ＥＣＵ−Ａ１は時刻ｔ２で再び同じデータＸを再送することになり、この再送したデータＸに対しても、暗号平文変換コネクタ−Ａ１１は、まだその暗号化データＸｅの送出が終わっていないため、やはりＡＣＫを返さない。そのため、ＥＣＵ−Ａ１は次の時刻ｔ３でも同じデータＸを再送することになる。

一方、暗号平文変換コネクタ−Ａ１１は、時刻ｔ２にて暗号文バス７上へ送出した暗号化データＸｅに対してＡＣＫが返ってくると、ＬＡＮ側ＣＡＮコントローラ４５がＥＣＵ側ＣＡＮコントローラ４２へ送信完了信号を出力する。そのため、時刻ｔ３でＥＣＵ−Ａ１が再送信したデータＸに対しては、暗号平文変換コネクタ−Ａ１１からＡＣＫが返されることになる。そのため、次の時刻ｔ４にて、ＥＣＵ−Ａ１は、次の新たなデータＹを送信することができる。

また、上述した「ＡＣＫによる再送要求方式２」が適用されたシステムにおいて、例えばＥＣＵ−Ａ１とＥＣＵ−Ｂ２とが同時にデータ送信を開始した場合の通信動作は、図１１に示すようになる。

図１１において、ＥＣＵ−Ａ１からのデータ送信については、基本的に図１０と同じである。一方、ＥＣＵ−Ｂ２からのデータＰについても、時刻ｔ１での送信後、そのデータＰが暗号平文変換コネクタ−Ｂ１２で受信はされるものの、それに対して暗号平文変換コネクタ−Ｂ１２からはＡＣＫが返ってこない。そのため、ＡＣＫが返ってくるまでは、時刻ｔ２以降もそのデータＰを再送信することになる。

そして、時刻ｔ２で、各暗号平文変換コネクタ１１，１２からそれぞれ暗号化データＸｅ，Ｐｅが同時に出力開始されるが、図５で説明した通り、ここではＩＤａ＞ＩＤｊであるためデータＸｅが調停に勝って暗号平文変換コネクタ−Ｂ１２にて受信処理される。暗号平文変換コネクタ−Ｂ１２からの暗号化データＰｅについては、調停負けしたことにより、時刻ｔ３にて再送信される。

暗号平文変換コネクタ−Ｂ１２は、暗号平文変換コネクタ−Ａ１１側からの暗号化データＸｅを受信して元のデータＸに復号し、それを時刻ｔ３にてＥＣＵ−Ｂ２側へ（つまり平文バス−Ｂ２２上へ）送出する。一方このとき、平文バス−Ｂ２２上には、ＥＣＵ−Ｂ２から再送データＰも同時に送出される。

しかし、暗号平文変換コネクタ−Ｂ１２からのデータＸのＩＤ（ＩＤａ）は、ＥＣＵ−Ｂ２からのデータＰのＩＤ（ＩＤｊ）よりも優先順位が高いため、暗号平文変換コネクタ−Ｂ１２からのデータＸを含むデータフレームが調停に勝ち、ＥＣＵ−Ｂ２にて受信処理される。

ＥＣＵ−Ｂ２からのデータＰの再送信は、暗号平文変換コネクタ−Ｂ１２から暗号文バス７への暗号データＰｅの送出が完了することによりこの暗号平文変換コネクタ−Ｂ１２内のＬＡＮ側ＣＡＮコントローラが送信完了信号を出力した後の次の再送信タイミング（時刻ｔ４）まで行われる。そして、この時刻ｔ４にて再送信されたデータＰに対して暗号平文変換コネクタ−Ｂ１２がＡＣＫを返すことにより、ＥＣＵ−Ｂ２はデータＰの再送信を終了する。

また、上記第１〜第４実施形態の車内ＬＡＮは、各ＥＣＵと各暗号平文変換コネクタとが物理的に独立したものとして構成され、それぞれ対応するもの同士が平文バスによって接続された構成とした。そのため、暗号化されていないデータが伝送される部分、即ちＥＣＵと暗号平文変換コネクタとの接続部分が外部に露出されることになり、データが不正にモニタされてしまうおそれがある。

そこで、このＥＣＵと暗号平文変換コネクタとの接続部分を、外部からモニタ出来ないようにカプセル化するようにしてもよい。更にその場合、カプセル化した接続部分を一旦外すとそれに接続された暗号平文変換コネクタの機能が無効となるように構成してもよい。このようにすれば、例えば想定外のＥＣＵが不正に接続されて車両がそのＥＣＵにより制御されてしまうといった事態を防ぐことができる。

更に、暗号平文変換コネクタ内の暗号化／復号処理で使用される暗号鍵を外部からモニタできなくするために、例えば暗号鍵が入出力される端子部分に外部からのモニタができなくなるような処理を施すようにしてもよい。

また、上記各実施形態では、車内ＬＡＮにおける通信プロトコルとしてＣＡＮを例に挙げて説明したが、本発明の適用はＣＡＮに限定されるものではないことはいうまでもなく、他の通信プロトコルにおいても適用することが可能である。

本実施形態の車内ＬＡＮの概略構成を示す説明図である。 ＣＡＮにおける通信データフォーマット（データフレーム）を説明するための説明図である。 車内ＬＡＮを構成するＥＣＵ−Ａ及び暗号平文変換コネクタ−Ａの概略構成を示す構成図である。 第１実施形態のデータ通信動作を説明するためのタイムチャートである。 第１実施形態のデータ通信動作（送受信が重なった場合）を説明するためのタイムチャートである。 第２実施形態のデータ通信動作を説明するためのタイムチャートである。 第３実施形態のデータ通信動作を説明するためのタイムチャートである。 第４実施形態の車内ＬＡＮを構成するＥＣＵ−Ａ及び暗号平文変換コネクタ−Ａの概略構成を示す構成図である。 第５実施形態の車内ＬＡＮを構成するＥＣＵ−Ａの概略構成を示す構成図である。 ＡＣＫによる再送要求方式２が適用されたデータ通信動作を説明するためのタイムチャートである。 ＡＣＫによる再送要求方式２が適用されたデータ通信動作（送受信が重なった場合）を説明するためのタイムチャートである。 従来の通信システムの概略構成を示す構成図である。

符号の説明

１，５１，６０・・・ＥＣＵ−Ａ、２・・・ＥＣＵ−Ｂ、３・・・ＥＣＵ−Ｃ、４・・・ＥＣＵ−Ｄ、７・・・暗号文バス、１０・・・車内ＬＡＮ、１１，５３・・・暗号平文変換コネクタ−Ａ、１２・・・暗号平文変換コネクタ−Ｂ、１３・・・暗号平文変換コネクタ−Ｃ、１４・・・暗号平文変換コネクタ−Ｄ、２１，５５・・・平文バス−Ａ、２２・・・平文バス−Ｂ、２３・・・平文バス−Ｃ、２４・・・平文バス−Ｄ、３１・・・ＣＰＵ、３２・・・ＥＣＵ内ＣＡＮコントローラ、３３，４１，４６・・・ＣＡＮトランシーバ、４２・・・ＥＣＵ側ＣＡＮコントローラ、４３・・・暗号部、４４・・・復号部、４５・・・ＬＡＮ側ＣＡＮコントローラ、６１・・・暗号平文変換機能付ＣＡＮ内蔵マイコン、６２・・・暗号平文変換部

Claims (8)

1. 車両に搭載され、複数の通信ノードが通信線を介して所定の通信プロトコルにより相互に通信可能に接続された通信システムであって、
   前記各通信ノードと前記通信線との間にそれぞれ設けられ、対応する通信ノードから送信された送信データを暗号化して前記通信線上へ送出し、前記通信線を介して伝送されてきた暗号化されたデータを復号して前記対応する通信ノードへ送信する、暗号化／復号中継装置を備え、
   前記各暗号化／復号中継装置は、対応する前記通信ノードとの間における前記送信データの受信を含む通信、及び他の前記暗号化／復号中継装置との間における前記暗号化されたデータの受信を含む通信を、共に前記通信プロトコルにて行うよう構成されており、
   前記通信ノードは、送信すべき送信データを、その送信データを含む所定のフォーマットのノード送信信号として送信し、外部からのデータを正常に受信したときはその旨を示す受信確認信号を出力し、自身が前記送信データを送信したときは、その送信データに対する外部からの前記受信確認信号を受信するまではその送信データを再送信するよう構成されており、
   前記暗号化／復号中継装置は、
   対応する通信ノードからの前記ノード送信信号を受信するノード側受信手段と、
   前記ノード側受信手段により受信されたノード送信信号に含まれる前記送信データを暗号化して暗号化送信データとする暗号化手段と、
   前記暗号化手段にて暗号化された暗号化送信データを前記フォーマットの暗号化送信信号として前記通信線上へ送出する通信線側送信手段と、
   当該暗号化／復号中継装置以外の他の暗号化／復号中継装置から前記通信線を介して伝送されてきた前記暗号化送信信号を受信する通信線側受信手段と、
   前記通信線側受信手段により受信された暗号化送信信号に含まれる前記暗号化送信データを元の前記送信データに復号する復号手段と、
   前記復号手段にて復号された送信データを前記フォーマットの復号送信信号として前記対応する通信ノードへ送信するノード側送信手段と、
   前記通信線を介して伝送されてきたデータを正常に受信したときに前記受信確認信号を前記通信線上へ送出する通信線側確認信号出力手段と、
   対応する前記通信ノードから送信された前記ノード送信信号を正常に受信したときに前記受信確認信号をその対応する通信ノードへ出力するノード側確認信号出力手段と、
   前記通信線側送信手段が前記暗号化送信信号を前記通信線上へ送出したとき、その暗号化送信信号に対する他の前記暗号化／復号中継装置からの前記受信確認信号を前記通信線を介して受信したならば、その旨を示す送信完了信号を前記ノード側確認信号出力手段へ出力する送信完了通知手段と、
   を備え、
   前記ノード側確認信号出力手段は、対応する前記通信ノードから送信された前記ノード送信信号を正常に受信した場合、前記送信完了通知手段からの前記送信完了信号を受信するまでは該通信ノードへの前記受信確認信号の出力は行わず、該送信完了信号を受信したときに、該対応する通信ノードへ前記受信確認信号を出力する
   ことを特徴とする通信システム。
2. 車両に搭載され、複数の通信ノードが通信線を介して所定の通信プロトコルにより相互に通信可能に接続された通信システムであって、
   前記各通信ノードと前記通信線との間にそれぞれ設けられ、対応する通信ノードから送信された送信データを暗号化して前記通信線上へ送出し、前記通信線を介して伝送されてきた暗号化されたデータを復号して前記対応する通信ノードへ送信する、暗号化／復号中継装置を備え、
   前記各暗号化／復号中継装置は、対応する前記通信ノードとの間における前記送信データの受信を含む通信、及び他の前記暗号化／復号中継装置との間における前記暗号化されたデータの受信を含む通信を、共に前記通信プロトコルにて行うよう構成されており、
   前記通信ノードは、送信すべき送信データを、その送信データを含む所定のフォーマットのノード送信信号として送信し、前記送信データを送信中に外部から所定の停止信号を受信した場合は、その送信中の送信データを再送信するよう構成されており、
   前記暗号化／復号中継装置は、
   対応する通信ノードからの前記ノード送信信号を受信するノード側受信手段と、
   前記ノード側受信手段により受信されたノード送信信号に含まれる前記送信データを暗号化して暗号化送信データとする暗号化手段と、
   前記暗号化手段にて暗号化された暗号化送信データを前記フォーマットの暗号化送信信号として前記通信線上へ送出する通信線側送信手段と、
   当該暗号化／復号中継装置以外の他の暗号化／復号中継装置から前記通信線を介して伝送されてきた前記暗号化送信信号を受信する通信線側受信手段と、
   前記通信線側受信手段により受信された暗号化送信信号に含まれる前記暗号化送信データを元の前記送信データに復号する復号手段と、
   前記復号手段にて復号された送信データを前記フォーマットの復号送信信号として前記対応する通信ノードへ送信するノード側送信手段と、
   前記ノード側受信手段にて前記ノード送信信号を受信すると、そのノード送信信号に対応した前記暗号化送信信号の前記通信線上への送出が完了するまでは、対応する通信ノードからノード送信信号が送信される度に、その送信中における所定のタイミングで前記停止信号を該対応する通信ノードへ出力する停止信号出力手段と、
   前記通信線側送信手段による前記暗号化送信信号の送出が完了したときにその旨を示す送信完了信号を前記停止信号出力手段へ出力する送信完了通知手段と、
   を備え、
   前記停止信号出力手段は、前記送信完了通知手段から前記送信完了信号を受信するまでは、前記タイミングでの前記停止信号の出力を行う
   ことを特徴とする通信システム。
3. 請求項１又は２記載の通信システムであって、
   前記通信ノードは、ビットデータ形式の前記ノード送信信号を、前記通信線を伝送可能な形式にコード化して通信線上へ送出するよう構成されており、
   前記暗号化／復号中継装置を構成する前記各手段のうち、
   前記ノード側受信手段は、対応する通信ノードからの前記コード化された前記ノード送信信号をビットデータに変換するノード側受信処理部と、そのノード側受信処理部からのビットデータ形式の前記ノード送信信号から前記送信データを抽出して前記暗号化手段へ出力する送信データ抽出部とを備え、
   前記通信線側送信手段は、前記暗号化手段により暗号化された暗号化送信データに基づいてビットデータ形式の前記暗号化送信信号を生成する暗号化送信信号生成部と、その生成した暗号化送信信号を前記コード化して前記通信線上へ送出する通信線側送信処理部とを備え、
   前記通信線側受信手段は、前記通信線を介して伝送されてきた、前記コード化された前記暗号化送信信号をビットデータに変換する通信線側受信処理部と、その通信線側受信処理部からのビットデータ形式の前記暗号化送信信号から前記暗号化送信データを抽出して前記復号手段へ出力する暗号化データ抽出部とを備え、
   前記ノード側送信手段は、前記復号手段により復号された前記送信データに基づいてビットデータ形式の前記復号送信信号を生成する復号送信信号生成部と、その生成した復号送信信号を前記コード化して前記対応する通信ノードへ送出するノード側送信処理部とを備えている
   ことを特徴とする通信システム。
4. 請求項１又は２記載の通信システムであって、
   前記通信ノードは、ビットデータ形式の前記ノード送信信号を、前記通信線を伝送可能な形式にコード化せずにそのまま出力するよう構成されており、
   前記暗号化／復号中継装置を構成する前記各手段のうち、
   前記ノード側受信手段は、対応する通信ノードからの前記ノード送信信号から前記送信データを抽出して前記暗号化手段へ出力する送信データ抽出部を備え、
   前記通信線側送信手段は、前記暗号化手段により暗号化された暗号化送信データに基づいてビットデータ形式の前記暗号化送信信号を生成する暗号化送信信号生成部と、その生成した暗号化送信信号を前記コード化して前記通信線上へ送出する通信線側送信処理部とを備え、
   前記通信線側受信手段は、前記通信線を介して伝送されてきた、前記コード化された前記暗号化送信信号をビットデータに変換する通信線側受信処理部と、その通信線側受信処理部からのビットデータ形式の前記暗号化送信信号から前記暗号化送信データを抽出して前記復号手段へ出力する暗号化データ抽出部とを備え、
   前記ノード側送信手段は、前記復号手段により復号された前記送信データに基づいてビットデータ形式の前記復号送信信号を生成し、前記対応する通信ノードへ送出するノード側送信処理部を備えている
   ことを特徴とする通信システム。
5. 請求項１〜４いずれかに記載の通信システムであって、
   前記暗号化／復号中継装置は、
   前記送信データを暗号化する際、その送信データに所定の認証データを付加して暗号化し、
   前記通信線を介して伝送されてきた暗号化されたデータを復号したとき、復号後のデータに含まれる前記認証データが正規のものであるか否か判断し、正規のものでなければ、その復号後のデータを無効とする
   ことを特徴とする通信システム。
6. 請求項１〜５いずれかに記載の通信システムであって、
   前記暗号化／復号中継装置とそれに対応する通信ノードとが同一の半導体集積回路内に形成されている
   ことを特徴とする通信システム。
7. 請求項１〜５いずれかに記載の通信システムに用いられる暗号化／復号中継装置であって、
   当該各請求項において暗号化／復号中継装置に関して記載した構成を備えることを特徴とする暗号化／復号中継装置。
8. 請求項６記載の通信システムを構成する通信ノード及び暗号化／復号中継装置として用いられ、前記半導体集積回路内に形成される通信制御装置であって、
   当該請求項において通信ノード及び暗号化／復号中継装置に関して記載した構成を備えることを特徴とする通信制御装置。

Images