JP6889196B2 - 車両用通信システム - Google Patents

車両用通信システム Download PDF

Info

Publication number
JP6889196B2
JP6889196B2 JP2019048615A JP2019048615A JP6889196B2 JP 6889196 B2 JP6889196 B2 JP 6889196B2 JP 2019048615 A JP2019048615 A JP 2019048615A JP 2019048615 A JP2019048615 A JP 2019048615A JP 6889196 B2 JP6889196 B2 JP 6889196B2
Authority
JP
Japan
Prior art keywords
cpu
transfer
built
frame
external
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2019048615A
Other languages
English (en)
Other versions
JP2020150495A (ja
Inventor
貴弘 中原
貴弘 中原
貴之 上田
貴之 上田
曜 ▲柳▼田
曜 ▲柳▼田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Yazaki Corp
Original Assignee
Yazaki Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Yazaki Corp filed Critical Yazaki Corp
Priority to JP2019048615A priority Critical patent/JP6889196B2/ja
Priority to US16/785,722 priority patent/US11535179B2/en
Priority to EP20156990.2A priority patent/EP3709167B1/en
Priority to CN202010091075.0A priority patent/CN111694299B/zh
Publication of JP2020150495A publication Critical patent/JP2020150495A/ja
Application granted granted Critical
Publication of JP6889196B2 publication Critical patent/JP6889196B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B60R16/0231—Circuits relating to the driving or the functioning of the vehicle
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0428—Safety, monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G06F11/0739—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function in a data processing system embedded in automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0766—Error or fault reporting or storing
    • G06F11/0772—Means for error signaling, e.g. using interrupts, exception flags, dedicated error registers
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1415—Saving, restoring, recovering or retrying at system level
    • G06F11/142—Reconfiguring to eliminate the error
    • G06F11/1428—Reconfiguring to eliminate the error with loss of hardware functionality
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/2002—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where interconnections or communication control functionality are redundant
    • G06F11/2005—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where interconnections or communication control functionality are redundant using redundant communication controllers
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2035—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant without idle spare hardware
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2048—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant where the redundant components share neither address space nor persistent storage
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/606—Protecting data by securing the transmission between two devices or processes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0654—Management of faults, events, alarms or notifications using network fault recovery
    • H04L41/0663—Performing the actions predefined by failover planning, e.g. switching to standby network elements
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/26—Pc applications
    • G05B2219/2637—Vehicle, car, auto, wheelchair
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/84—Vehicles

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • Automation & Control Theory (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Mechanical Engineering (AREA)
  • Computing Systems (AREA)
  • Medical Informatics (AREA)
  • Small-Scale Networks (AREA)

Description

本発明は、車両用通信システムに関する。
従来、車両用通信システムとして、例えば、特許文献１には、車両に搭載され、車両内の高速通信線と低速通信線との間でデータの中継を行う中継装置を備えた通信システムが開示されている。この中継装置は、データを中継するための情報が記載されたテーブルと、当該テーブルに基づいてデータを中継するＣＰＵとを備えている。
特開２０１７−１１８４０７号公報
ところで、上述の特許文献１に記載の通信システムは、例えば、中継装置のＣＰＵが異常である場合でも、データの中継を継続できるようにすることが望まれている。
そこで、本発明は、上記に鑑みてなされたものであって、情報を適正に転送することができる車両用通信システムを提供することを目的とする。
上述した課題を解決し、目的を達成するために、本発明に係る車両用通信システムは、内蔵制御部を有し車両に搭載され機器に接続され前記機器に情報を転送する転送処理を行う制御回路、及び、前記制御回路の外側に設けられ前記制御回路に接続され前記内蔵制御部よりも情報処理能力が高く前記転送処理を行うように指令する転送指令処理を実行可能であり且つ前記転送指令処理を実行する際に転送対象の情報のセキュリティを確保するセキュリティ処理を実行可能である外付制御部、を含んで構成される転送ユニットを備え、前記内蔵制御部は、前記外付制御部の動作を監視し、前記外付制御部が異常である場合、前記外付制御部の代わりに前記転送指令処理を実行することを特徴とする。
上記車両用通信システムにおいて、前記内蔵制御部は、前記外付制御部が異常である場合、前記外付制御部の機能を無効とし前記外付制御部の代わりに前記転送指令処理を実行し且つ前記セキュリティ処理を実行しないことが好ましい。
上記車両用通信システムにおいて、前記転送ユニットは、複数設けられ、複数の前記転送ユニットは、第１転送ユニットと、前記第１転送ユニットにより送信された情報を転送する第２転送ユニットとを含み、前記第１転送ユニットは、当該第１転送ユニットの前記外付制御部が正常である場合、自らの前記外付制御部により前記セキュリティ処理を実行しセキュリティを確保したセキュリティ確保情報を前記第２転送ユニットに送信し、前記第２転送ユニットは、前記第１転送ユニットにより送信された前記セキュリティ確保情報を、前記セキュリティ処理を実行せずに転送し、前記第１転送ユニットは、当該第１転送ユニットの前記外付制御部が異常である場合、前記セキュリティ処理を実行していないセキュリティ未確保情報を前記第２転送ユニットに送信し、前記第２転送ユニットは、前記第１転送ユニットにより送信された前記セキュリティ未確保情報に対して、自らの前記外付制御部により前記セキュリティ処理を実行して転送することが好ましい。
本発明に係る車両用通信システムは、外付制御部が異常である場合、内蔵制御部が外付制御部の代わりに転送指令処理を実行するので情報を適正に転送することができる。
図１は、実施形態に係る車両用通信システムの構成例及び動作例を示すブロック図である。 図２は、実施形態に係る車両用通信システムの動作例を示すブロック図である。 図３は、実施形態に係るスイッチングハブの構成例及び動作例を示すブロック図である。 図４は、実施形態に係るスイッチングハブの動作例を示すブロック図である。 図５は、実施形態に係るフレームの構成例を示す図である。 図６は、実施形態に係るエラーコード追加時のフレームの構成例を示す図である。 図７は、実施形態に係る車両用通信システムの正常時の動作例を示すブロック図である。 図８は、実施形態に係る車両用通信システムの異常時（その１）の動作例を示すブロック図である。 図９は、実施形態に係る車両用通信システムの異常時（その２）の動作例を示すブロック図である。 図１０は、実施形態に係る車両用通信システムの動作例を示すフローチャートである。
本発明を実施するための形態（実施形態）につき、図面を参照しつつ詳細に説明する。以下の実施形態に記載した内容により本発明が限定されるものではない。また、以下に記載した構成要素には、当業者が容易に想定できるもの、実質的に同一のものが含まれる。更に、以下に記載した構成は適宜組み合わせることが可能である。また、本発明の要旨を逸脱しない範囲で構成の種々の省略、置換又は変更を行うことができる。
〔実施形態〕
図面を参照しながら実施形態に係る車両用通信システム１００について説明する。図１は、実施形態に係る車両用通信システム１００の構成例及び動作例を示すブロック図である。図２は、実施形態に係る車両用通信システム１００の動作例を示すブロック図である。図３は、実施形態に係るスイッチングハブ１の構成例及び動作例を示すブロック図である。図４は、実施形態に係るスイッチングハブ１の動作例を示すブロック図である。図５は、実施形態に係るフレームＦ１の構成例を示す図である。図６は、実施形態に係るエラーコード追加時のフレームＦ２の構成例を示す図である。
車両用通信システム１００は、車両に搭載され、当該車両に設けられた複数の通信機器２、３を通信可能に接続するシステムである。車両用通信システム１００は、複数の転送ユニットとしての複数のスイッチングハブ１を備えている。各スイッチングハブ１は、複数の通信機器２、３を接続し、当該複数の通信機器２、３に情報を転送するものである。各スイッチングハブ１は、車両に設けられた通信ネットワークである車載ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）を構成している。車載ＬＡＮは、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）の通信規格が採用されているが、これに限定されない。
複数のスイッチングハブ１は、図１〜図４に示すように、入出力Ｉ／Ｆ１０と、メモリ２０と、制御回路としてのスイッチＩＣ５０と、外付ＣＰＵ３０と、設定回路４０（図３等参照）とを備えている。複数のスイッチングハブ１は、第１スイッチングハブ１Ａと、第２スイッチングハブ１Ｂとを含んで構成される。第１スイッチングハブ１Ａは、第１入出力Ｉ／Ｆ１０Ａと、第１メモリ２０Ａと、第１外付ＣＰＵ３０Ａと、設定回路４０と、第１スイッチＩＣ５０Ａとを備えている。
第１入出力Ｉ／Ｆ１０Ａは、各種機器と接続されるインターフェースである。第１入出力Ｉ／Ｆ１０Ａは、第１スイッチＩＣ５０Ａに設けられ、且つ、通信線を介して通信機器２等に接続されている。第１入出力Ｉ／Ｆ１０Ａは、ポート１１ａ〜１１ｄを含んで構成される。ポート１１ａ、１１ｂは、それぞれ通信線を介して通信機器２ａ、２ｂに接続されている。ポート１１ｃは、通信線を介して第２スイッチングハブ１Ｂに接続されている。ポート１１ｄは、通信線を介して第１外付ＣＰＵ３０Ａに接続されている。
第１メモリ２０Ａは、情報を記憶するものである。第１メモリ２０Ａは、例えば、不揮発性のメモリであり、磁気記憶装置、光ディスク、フラッシュメモリ等により構成される。第１メモリ２０Ａは、第１スイッチＩＣ５０Ａの外部に設けられ、通信線を介して第１スイッチＩＣ５０Ａに接続されている。第１メモリ２０Ａには、第１外付ＣＰＵ３０Ａ及び第１スイッチＩＣ５０Ａを動作させるためのプログラムや情報が記憶されている。第１メモリ２０Ａには、例えば、第１外付ＣＰＵ３０Ａが正常の場合に適用される正常モード用のプログラム及び正常モード用のルーテイングテーブル、第１外付ＣＰＵ３０Ａが異常の場合に適用されるセーフモード用のプログラム及びセーフモード用のルーテイングテーブル等が記憶されている。
各ルーテイングテーブルは、情報を転送する際に用いられる。ルーテイングテーブルには、各通信機器２等のＭＡＣアドレスと、第１入出力Ｉ／Ｆ１０Ａのポート番号とが対応づけられている。例えば、通信機器２ａのＭＡＣアドレスとポート１１ａのポート番号とが対応付けられ、通信機器２ｂのＭＡＣアドレスとポート１１ｂのポート番号とが対応付けられ、第２スイッチングハブ１ＢのＭＡＣアドレスとポート１１ｃのポート番号とが対応付けられ、第１外付ＣＰＵ３０ＡのＭＡＣアドレスとポート１１ｄのポート番号とが対応付けられている。
第１外付ＣＰＵ３０Ａは、転送指令処理及びセキュリティ処理を行うものである。第１外付ＣＰＵ３０Ａは、例えば、第１スイッチＩＣ５０Ａの基板とは異なる基板に、トランジスタ、抵抗、コンデンサ等の素子を形成した電子部品である。第１外付ＣＰＵ３０Ａは、第１スイッチＩＣ５０Ａの外側に設けられ、通信線を介してスイッチＩＣ５０に接続されている。つまり、第１外付ＣＰＵ３０Ａは、第１スイッチＩＣ５０Ａに外付けされている。第１外付ＣＰＵ３０Ａは、後述する第１内蔵ＣＰＵ５１Ａよりも情報処理能力が高い。つまり、第１外付ＣＰＵ３０Ａは、第１内蔵ＣＰＵ５１Ａよりも情報を演算する演算能力が高い。第１外付ＣＰＵ３０Ａは、例えば、ＣＰＵを動作させるクロック周波数が第１内蔵ＣＰＵ５１Ａよりも高く、ＣＰＵのコア数が第１内蔵ＣＰＵ５１Ａよりも多く、キャッシュメモリの容量が第１内蔵ＣＰＵ５１Ａよりも大きいことが好ましい。
第１外付ＣＰＵ３０Ａは、各種機器に情報を転送する転送処理を行うように指令する転送指令処理を実行する。第１外付ＣＰＵ３０Ａは、例えば、第１メモリ２０Ａに記憶された正常用のルーテイングテーブルに基づいて、各種機器に情報を転送する指令を行う転送指令処理を実行する。第１外付ＣＰＵ３０Ａは、例えば、通信機器２からＥｔｈｅｒｎｅｔのフレームＦ１（図５参照）が出力された場合、正常用のルーテイングを参照する。ここで、フレームＦ１には、周知のように、プリアンブル、ＳＦＤ、ＭＡＣアドレス、ＶＬＡＮタグ、タイプフィールド、ペイロード、ＣＲＣ等のフィールドが含まれている（図５参照）。第１外付ＣＰＵ３０Ａは、ＥｔｈｅｒｎｅｔのフレームＦ１に含まれるＭＡＣアドレスと、正常用のルーテイングテーブルに登録された各種機器のＭＡＣアドレスと比較する。そして、第１外付ＣＰＵ３０Ａは、フレームＦ１のＭＡＣアドレスと一致する各種機器のＭＡＣアドレスを検出し、検出した各種機器のＭＡＣアドレスに対応づけられたポート番号を取得する。そして、第１外付ＣＰＵ３０Ａは、取得したポート番号が示すポート１１ａ〜１１ｃにＥｔｈｅｒｎｅｔのフレームＦ１を転送することを指令する転送指令信号を第１内蔵ＣＰＵ５１Ａに出力する。
第１外付ＣＰＵ３０Ａは、更に、転送指令処理を実行する際に転送対象の情報のセキュリティを確保するセキュリティ処理を実行する。第１外付ＣＰＵ３０Ａは、例えば、不審なフレームＦ１を破棄することによりセキュリティ処理を実行する。具体的には、第１外付ＣＰＵ３０Ａは、転送対象のフレームＦ１のＭＡＣアドレスと予め定められた通過許可のＭＡＣアドレスとを比較し、転送対象のフレームＦ１のＭＡＣアドレスが通過許可のＭＡＣアドレスに一致しない場合、転送対象のフレームＦ１を不審なフレームＦ１と判定し、当該不審なフレームＦ１を破棄する。一方、第１外付ＣＰＵ３０Ａは、転送対象のフレームＦ１のＭＡＣアドレスが通過許可のＭＡＣアドレスに一致する場合、転送対象のフレームＦ１を信用のあるフレームＦ１と判定し、当該フレームＦ１を破棄しない。
また、第１外付ＣＰＵ３０Ａは、動作確認用のリンク情報Ｌ（図３等参照）を第１内蔵ＣＰＵ５１Ａに出力する。第１外付ＣＰＵ３０Ａは、例えば、当該第１外付ＣＰＵ３０Ａのメイン処理１回に対して１つのパルス信号をリンク情報Ｌとして第１内蔵ＣＰＵ５１Ａに出力する。第１外付ＣＰＵ３０Ａは、当該第１外付ＣＰＵ３０Ａが正常である場合、一定周期のパルス信号をリンク情報Ｌとして第１内蔵ＣＰＵ５１Ａに出力する（図３参照）。一方、第１外付ＣＰＵ３０Ａは、当該第１外付ＣＰＵ３０Ａが異常である場合、不定周期のパルス信号やパルス信号が途絶した信号をリンク情報Ｌとして第１内蔵ＣＰＵ５１Ａに出力する（図４参照）。
設定回路４０は、入出力Ｉ／Ｆ１０（ポート１１ｄ）の通信を許可又は不可に設定するものである。設定回路４０は、第１内蔵ＣＰＵ５１Ａ及びポート１１ｄに接続され、第１内蔵ＣＰＵ５１Ａから出力される指令に基づいて、ポート１１ｄを制御する。設定回路４０は、第１内蔵ＣＰＵ５１Ａから、第１外付ＣＰＵ３０Ａにより行われる通信を不可にする指令が出力された場合、ポート１１ｄの通信を不可にする。一方、設定回路４０は、第１内蔵ＣＰＵ５１Ａから、第１外付ＣＰＵ３０Ａにより行われる通信を不可にする指令が出力されていない場合、ポート１１ｄの通信許可を継続する。
第１スイッチＩＣ５０Ａは、各種機器に接続され、当該各種機器に情報を転送する転送処理を行うものである。第１スイッチＩＣ５０Ａは、トランジスタ、抵抗、コンデンサ等の素子を基板に形成した電子部品である。第１スイッチＩＣ５０Ａは、第１内蔵ＣＰＵ５１Ａを含んで構成される。第１内蔵ＣＰＵ５１Ａは、第１スイッチＩＣ５０Ａの基板に搭載され、当該第１スイッチＩＣ５０Ａに内蔵されている。第１内蔵ＣＰＵ５１Ａは、第１メモリ２０Ａ及び設定回路４０に接続され、更に、第１入出力Ｉ／Ｆ１０Ａを介して第１外付ＣＰＵ３０Ａ、通信機器２、及び、第２スイッチングハブ１Ｂに接続されている。
第１内蔵ＣＰＵ５１Ａは、各種機器に情報を転送する転送処理を行う。第１内蔵ＣＰＵ５１Ａは、第１外付ＣＰＵ３０Ａが正常である場合、第１メモリ２０Ａに記憶された正常用のプログラムに基づいて動作する。第１内蔵ＣＰＵ５１Ａは、例えば、第１外付ＣＰＵ３０Ａから出力された転送指令信号に基づいて転送対象の情報を各ポート１１ａ〜１１ｄに出力する。第１内蔵ＣＰＵ５１Ａは、例えば、転送指令信号が転送対象の情報をポート１１ａに出力することを表す場合、当該転送対象の情報をポート１１ａに出力し、転送指令信号が転送対象の情報をポート１１ｂに出力することを表す場合、当該転送対象の情報をポート１１ｂに出力する。なお、転送対象の情報を各ポート１１ａ〜１１ｄに出力する制御は、第１内蔵ＣＰＵ５１Ａとは異なるＣＰＵにより行ってもよい。
第１内蔵ＣＰＵ５１Ａは、更に、第１外付ＣＰＵ３０Ａの動作を監視する。第１内蔵ＣＰＵ５１Ａは、例えば、図３に示すように、第１外付ＣＰＵ３０Ａから出力されるリンク情報Ｌに基づいて第１外付ＣＰＵ３０Ａの動作を監視する。第１内蔵ＣＰＵ５１Ａは、第１外付ＣＰＵ３０Ａから出力されるリンク情報Ｌに基づいて、第１外付ＣＰＵ３０Ａの正常又は異常を判定する。第１内蔵ＣＰＵ５１Ａは、例えば、リンク情報Ｌが一定周期のパルス信号である場合、第１外付ＣＰＵ３０Ａが正常であると判定する。一方、第１内蔵ＣＰＵ５１Ａは、リンク情報Ｌが不定周期のパルス信号やパルス信号が途絶した信号を表す場合、第１外付ＣＰＵ３０Ａが異常であると判定する。
第１内蔵ＣＰＵ５１Ａは、第１外付ＣＰＵ３０Ａが異常である場合、第１メモリ２０Ａに記憶されたセーフモード用のプログラム及びセーフモード用のルーテイングテーブルに基づいて動作する。この場合、第１内蔵ＣＰＵ５１Ａは、第１外付ＣＰＵ３０Ａの機能を無効とする。第１内蔵ＣＰＵ５１Ａは、例えば、第１外付ＣＰＵ３０Ａにより行われる通信を不可にする指令を設定回路４０に出力する。そして、第１内蔵ＣＰＵ５１Ａは、第１外付ＣＰＵ３０Ａの代わりに転送指令処理を実行する。第１内蔵ＣＰＵ５１Ａは、例えば、セーフモード用のルーテイングテーブルに基づいて、各通信機器２等に情報を転送する指令を行う転送指令処理を実行する。第１内蔵ＣＰＵ５１Ａは、転送指令処理により自ら定めた転送指令に基づいて、転送対象の情報を各ポート１１ａ〜１１ｄに出力する。このとき、第１内蔵ＣＰＵ５１Ａは、情報処理能力が不足している関係で、不審なフレームＦ１を破棄するセキュリティ処理を実行しない。
次に、第２スイッチングハブ１Ｂについて説明する。第２スイッチングハブ１Ｂは、上述した第１スイッチングハブ１Ａと同様に構成されている。なお、以下の第２スイッチングハブ１Ｂの説明では、第１スイッチングハブ１Ａと同様な構成の説明については可能な限り省略する。第２スイッチングハブ１Ｂは、第２入出力Ｉ／Ｆ１０Ｂと、第２メモリ２０Ｂと、第２スイッチＩＣ５０Ｂと、設定回路４０と、第２外付ＣＰＵ３０Ｂとを備えている。
第２入出力Ｉ／Ｆ１０Ｂは、各種機器と接続されるインターフェースである。第２入出力Ｉ／Ｆ１０Ｂは、ポート１２ａ〜１２ｄを含んで構成される。
第２メモリ２０Ｂは、情報を記憶するものである。第２メモリ２０Ｂは、第２スイッチＩＣ５０Ｂの外部に設けられ、通信線を介して第２スイッチＩＣ５０Ｂに接続されている。第２メモリ２０Ｂには、第２外付ＣＰＵ３０Ｂ及び第２スイッチＩＣ５０Ｂを動作させるためのプログラムや情報が記憶されている。第２メモリ２０Ｂには、例えば、第２外付ＣＰＵ３０Ｂが正常の場合に適用される正常モード用のプログラム及び正常モード用のルーテイングテーブルや、第２外付ＣＰＵ３０Ｂが異常の場合に適用されるセーフモード用のプログラム及びセーフモード用のルーテイングテーブル等が記憶されている。
第２外付ＣＰＵ３０Ｂは、転送指令処理及びセキュリティ処理を行うものである。第２外付ＣＰＵ３０Ｂは、第２スイッチＩＣ５０Ｂの外側に設けられ、通信線を介して第２スイッチＩＣ５０Ｂに接続されている。第２外付ＣＰＵ３０Ｂは、後述する第２内蔵ＣＰＵ５１Ｂよりも情報処理能力が高い。
第２外付ＣＰＵ３０Ｂは、通信機器３に情報を転送する指令を行う転送指令処理を実行する。第２外付ＣＰＵ３０Ｂは、例えば、第２メモリ２０Ｂに記憶された正常用のルーテイングテーブルに基づいて、各種機器に情報を転送する指令を行う転送指令処理を実行する。第２外付ＣＰＵ３０Ｂは、更に、転送指令処理を実行する際に転送対象の情報のセキュリティを確保するセキュリティ処理を実行する。第２外付ＣＰＵ３０Ｂは、例えば、不審なフレームＦ１を破棄することによりセキュリティ処理を実行する。また、第２外付ＣＰＵ３０Ｂは、動作確認用のリンク情報Ｌを第２内蔵ＣＰＵ５１Ｂに出力する。
第２スイッチＩＣ５０Ｂは、各種機器に接続され、当該各種機器に情報を転送する転送処理を行うものである。第２スイッチＩＣ５０Ｂは、トランジスタ、抵抗、コンデンサ等の素子を基板に形成した電子部品である。第２スイッチＩＣ５０Ｂは、第２内蔵ＣＰＵ５１Ｂを含んで構成される。第２内蔵ＣＰＵ５１Ｂは、第２スイッチＩＣ５０Ｂの基板に搭載され、当該第２スイッチＩＣ５０Ｂに内蔵されている。第２内蔵ＣＰＵ５１Ｂは、第２メモリ２０Ｂ及び設定回路４０に接続され、更に、第２入出力Ｉ／Ｆ１０Ｂを介して第２外付ＣＰＵ３０Ｂ、通信機器３、及び、第１スイッチングハブ１Ａに接続されている。
第２内蔵ＣＰＵ５１Ｂは、各種機器に情報を転送する転送処理を行う。第２内蔵ＣＰＵ５１Ｂは、第２外付ＣＰＵ３０Ｂが正常である場合、第２メモリ２０Ｂに記憶された正常用のプログラムに基づいて動作する。第２内蔵ＣＰＵ５１Ｂは、例えば、第２外付ＣＰＵ３０Ｂから出力された転送指令信号に基づいて転送対象の情報を各ポート１２ａ〜１２ｄに出力する。なお、転送対象の情報を各ポート１２ａ〜１２ｄに出力する制御は、第２内蔵ＣＰＵ５１Ｂとは異なるＣＰＵにより行ってもよい。
第２内蔵ＣＰＵ５１Ｂは、更に、外付ＣＰＵ３０の動作を監視する。第２内蔵ＣＰＵ５１Ｂは、例えば、第２外付ＣＰＵ３０Ｂから出力されるリンク情報Ｌに基づいて第２外付ＣＰＵ３０Ｂの動作を監視し、第２外付ＣＰＵ３０Ｂの正常又は異常を判定する。
第２内蔵ＣＰＵ５１Ｂは、第２外付ＣＰＵ３０Ｂが異常である場合、第２メモリ２０Ｂに記憶されたセーフモード用のプログラム及びセーフモード用のルーテイングテーブルに基づいて動作する。この場合、第２内蔵ＣＰＵ５１Ｂは、第２外付ＣＰＵ３０Ｂの機能を無効とする。そして、第２内蔵ＣＰＵ５１Ｂは、第２外付ＣＰＵ３０Ｂの代わりに転送指令処理を実行する。第２内蔵ＣＰＵ５１Ｂは、例えば、セーフモード用のルーテイングテーブルに基づいて、各種機器に情報を転送する指令を行う転送指令処理を実行する。第２内蔵ＣＰＵ５１Ｂは、転送指令処理により自ら定めた転送指令に基づいて、転送対象の情報を各ポート１２ａ〜１２ｄに出力する。このとき、第２内蔵ＣＰＵ５１Ｂは、情報処理能力が不足している関係で、上述の不審なフレームＦ１を破棄するセキュリティ処理を実行しない。
次に、車両用通信システム１００の正常時の動作例について説明する。図７は、実施形態に係る車両用通信システム１００の正常時の動作例を示すブロック図である。この例では、車両用通信システム１００は、第１及び第２スイッチングハブ１Ａ、１Ｂに加えて第３スイッチングハブ１Ｃを備えている。第３スイッチングハブ１Ｃは、入出力Ｉ／Ｆ１０と、第３メモリ２０Ｃと、第３外付ＣＰＵ３０Ｃと、設定回路４０と、第３スイッチＩＣ５０Ｃとを備えている。入出力Ｉ／Ｆ１０は、ポート１３ａ〜１３ｄを備えている。第３スイッチングハブ１Ｃは、第３スイッチＩＣ５０Ｃがポート１３ｄを介して第３外付ＣＰＵ３０Ｃに接続され、第３スイッチＩＣ５０Ｃがポート１３ａを介して第１スイッチングハブ１Ａに接続され、第３スイッチＩＣ５０Ｃがポート１３ｃを介して第２スイッチングハブ１Ｂに接続されている。
第１外付ＣＰＵ３０Ａは、例えば、図７に示すように、当該第１外付ＣＰＵ３０Ａが正常である場合、セキュリティ処理を実行する。例えば、第１外付ＣＰＵ３０Ａは、通信機器２から出力されたフレームＦ１のＭＡＣアドレスと予め定められた通過許可のＭＡＣアドレスとを比較し、転送対象のフレームＦ１のＭＡＣアドレスが通過許可のＭＡＣアドレスに一致しない場合、転送対象のフレームＦ１を不審なフレームＦ１と判定し、当該不審なフレームＦ１を破棄する。一方、第１外付ＣＰＵ３０Ａは、転送対象のフレームＦ１のＭＡＣアドレスが通過許可のＭＡＣアドレスに一致する場合、転送対象のフレームＦ１を信用のあるフレームと判定し、当該フレームＦ１を破棄しない。
第１外付ＣＰＵ３０Ａは、フレームＦ１が信用のあるフレームである場合、第１メモリ２０Ａに記憶された正常用のルーテイングテーブルに基づいて、通信機器２から出力されたフレームＦ１を転送する指令を行う転送指令処理を実行する。第１外付ＣＰＵ３０Ａは、例えば、フレームＦ１に含まれるＭＡＣアドレスと、正常用のルーテイングテーブルに登録された各種機器のＭＡＣアドレスと比較する。そして、第１外付ＣＰＵ３０Ａは、フレームＦ１のＭＡＣアドレスと一致する第２スイッチングハブ１ＢのＭＡＣアドレスを検出し、検出した第２スイッチングハブ１ＢのＭＡＣアドレスに対応づけられたポート番号を取得する。そして、第１外付ＣＰＵ３０Ａは、取得したポート番号が示すポート１１ｃにフレームＦ１を転送することを指令する転送指令信号を第１内蔵ＣＰＵ５１Ａに出力する。第１内蔵ＣＰＵ５１Ａは、転送指令信号が転送対象の情報をポート１１ｃに出力することを表す場合、当該転送対象のフレームＦ１をポート１１ｃに出力し第２スイッチングハブ１ＢにフレームＦ１を転送する（図７参照）。
第２スイッチングハブ１Ｂの第２外付ＣＰＵ３０Ｂは、第１内蔵ＣＰＵ５１ＡからフレームＦ１が出力された場合、当該フレームＦ１に含まれるＭＡＣアドレスと、正常用のルーテイングテーブルに登録された各種機器のＭＡＣアドレスと比較する。そして、第２外付ＣＰＵ３０Ｂは、フレームＦ１のＭＡＣアドレスと一致する通信機器３のＭＡＣアドレスを検出し、検出した通信機器３のＭＡＣアドレスに対応づけられたポート番号を取得する。そして、第２外付ＣＰＵ３０Ｂは、取得したポート番号が示すポート１２ａにフレームＦ１を転送することを指令する転送指令信号を第２内蔵ＣＰＵ５１Ｂに出力する。第２内蔵ＣＰＵ５１Ｂは、転送指令信号が転送対象のフレームＦ１をポート１２ａに出力することを表す場合、当該転送対象のフレームＦ１をポート１２ａに出力する（図７参照）。なお、第２外付ＣＰＵ３０Ｂは、第１外付ＣＰＵ３０Ａによりセキュリティ処理が既に実施されているので、セキュリティ処理を実施しなくてもよいが、これに限定されない。車両用通信システム１００は、２重のフェールセーフを行う場合には、第２外付ＣＰＵ３０Ｂにおいてもセキュリティ処理を行うようにする。
次に、車両用通信システム１００の異常時の動作例について説明する。図８は、実施形態に係る車両用通信システム１００の異常時（その１）の動作例を示すブロック図である。車両用通信システム１００において、例えば、図８に示すように、第１外付ＣＰＵ３０Ａが異常である例について説明する。この場合、第１スイッチＩＣ５０Ａの第１内蔵ＣＰＵ５１Ａは、第１外付ＣＰＵ３０Ａにより行われる通信を不可にする指令を設定回路４０に出力する。設定回路４０は、第１内蔵ＣＰＵ５１Ａから、第１外付ＣＰＵ３０Ａにより行われる通信を不可にする指令が出力された場合、ポート１１ｄを通信不可に設定する。
第１内蔵ＣＰＵ５１Ａは、ポート１１ｄを通信不可に設定後、第１外付ＣＰＵ３０Ａの代わりに転送指令処理を実行する。第１内蔵ＣＰＵ５１Ａは、例えば、セーフモード用のルーテイングテーブルに基づいて、各種機器に情報を転送する指令を行う転送指令処理を実行する。第１内蔵ＣＰＵ５１Ａは、例えば、通信機器２からフレームＦ１が出力された場合、セーフモード用のルーテイングテーブルを参照する。そして、第１内蔵ＣＰＵ５１Ａは、フレームＦ１に含まれるＭＡＣアドレスと、セーフモード用のルーテイングテーブルに登録された各種機器のＭＡＣアドレスと比較する。そして、第１外付ＣＰＵ３０Ａは、フレームＦ１のＭＡＣアドレスと一致する第２スイッチングハブ１ＢのＭＡＣアドレスを検出し、検出した第２スイッチングハブ１ＢのＭＡＣアドレスに対応づけられたポート番号を取得する。ここで、第１内蔵ＣＰＵ５１Ａは、第１外付ＣＰＵ３０Ａが異常でありセーフモードで動作していることを表すエラーコードＥＣを、フレームＦ１のペイロードのフィールドに追加したフレームＦ２（図６参照）を生成する。第１内蔵ＣＰＵ５１Ａは、取得したポート番号が示すポート１１ｃにフレームＦ２を転送することを指令を行う転送指令処理を実行する。第１内蔵ＣＰＵ５１Ａは、転送指令処理により自ら定めた転送指令に基づいて、転送対象のフレームＦ２をポート１１ｃに出力し、フレームＦ２を第２スイッチングハブ１Ｂに転送する。このとき、第１内蔵ＣＰＵ５１Ａは、情報処理能力が不足している関係で、セキュリティ処理を実行しない。
第２スイッチングハブ１Ｂの第２外付ＣＰＵ３０Ｂは、フレームＦ２のペイロードのフィールドにエラーコードＥＣが追加されているので、セーフモード用のプログラム及びセーフモード用のルーテイングテーブルに基づいて動作する。第２外付ＣＰＵ３０Ｂは、フレームＦ２の転送元（第１スイッチングハブ１Ａ）でセキュリティ処理が実施されていないので、代わりにセキュリティ処理を実施する。例えば、第２外付ＣＰＵ３０Ｂは、第１スイッチングハブ１Ａから出力されたフレームＦ２のＭＡＣアドレスと予め定められた通過許可のＭＡＣアドレスとを比較し、転送対象のフレームＦ２のＭＡＣアドレスが通過許可のＭＡＣアドレスに一致しない場合、転送対象のフレームＦ２を不審なフレームＦ２と判定し、当該不審なフレームＦ２を破棄する。一方、第２外付ＣＰＵ３０Ｂは、転送対象のフレームＦ２のＭＡＣアドレスが通過許可のＭＡＣアドレスに一致する場合、転送対象のフレームＦ２を信用のあるフレームと判定し、当該フレームＦ２を破棄しない。
第２外付ＣＰＵ３０Ｂは、フレームＦ２が信用のあるフレームである場合、セーフモード用のルーテイングテーブルに基づいて、第１スイッチングハブ１Ａから出力されたフレームＦ２を転送する指令を行う転送指令処理を実行する。第２外付ＣＰＵ３０Ｂは、例えば、フレームＦ２に含まれるＭＡＣアドレスと、セーフモード用のルーテイングテーブルに登録された各種機器のＭＡＣアドレスと比較する。そして、第２外付ＣＰＵ３０Ｂは、フレームＦ２のＭＡＣアドレスと一致する通信機器３のＭＡＣアドレスを検出し、検出した通信機器３のＭＡＣアドレスに対応づけられたポート番号を取得する。そして、第２外付ＣＰＵ３０Ｂは、取得したポート番号が示すポート１２ａにフレームＦ２を転送することを指令する転送指令信号を第２内蔵ＣＰＵ５１Ｂに出力する。第２内蔵ＣＰＵ５１Ｂは、転送指令信号が転送対象の情報をポート１２ａに出力することを表す場合、当該転送対象のフレームＦ２をポート１２ａに出力し通信機器３にフレームＦ２を転送する（図８参照）。
次に、車両用通信システム１００の異常時の他の動作例について説明する。図９は、実施形態に係る車両用通信システム１００の異常時（その２）の動作例を示すブロック図である。車両用通信システム１００において、例えば、図９に示すように、第１外付ＣＰＵ３０Ａが異常である例について説明する。図９に示す例では、第１外付ＣＰＵ３０Ａの異常時に、第３スイッチングハブ１Ｃによりセキュリティ処理を行う例について説明する。なお、第１外付ＣＰＵ３０Ａの異常時にセキュリティ処理を行うスイッチングハブ１の選定は、設計により予め定めておいてもよいし、通信負荷の高低を判定して適宜切り替えるようにしてもよい。例えば、中央ＣＰＵ（図示省略）は、複数のスイッチングハブ１の通信負荷を監視し、複数のスイッチングハブ１の中で、通信負荷が相対的に小さいスイッチングハブ１にセキュリティ処理を行わせる。例えば、中央ＣＰＵは、第２スイッチングハブ１Ｂ及び第３スイッチングハブ１Ｃの通信負荷を監視し、第１外付ＣＰＵ３０Ａの異常時に、第３スイッチングハブ１Ｃが第２スイッチングハブ１Ｂよりも通信負荷が小さい場合、第３スイッチングハブ１Ｃにセキュリティ処理を行わせる。
図９に示す第１スイッチＩＣ５０Ａの第１内蔵ＣＰＵ５１Ａは、第１外付ＣＰＵ３０Ａの異常時に、当該第１外付ＣＰＵ３０Ａにより行われる通信を不可にする指令を設定回路４０に出力する。設定回路４０は、第１内蔵ＣＰＵ５１Ａから、第１外付ＣＰＵ３０Ａにより行われる通信を不可にする指令が出力された場合、ポート１１ｄを通信不可に設定する。
第１内蔵ＣＰＵ５１Ａは、第１外付ＣＰＵ３０Ａの代わりに転送指令処理を実行する。第１内蔵ＣＰＵ５１Ａは、例えば、第１外付ＣＰＵ３０Ａが異常でありセーフモードで動作していることを表すエラーコードＥＣを、フレームＦ１のペイロードのフィールドに追加したフレームＦ２を生成する。そして、第１内蔵ＣＰＵ５１Ａは、取得したポート番号が示すポート１１ｅにフレームＦ２を転送することを指令を行う転送指令処理を実行する。第１内蔵ＣＰＵ５１Ａは、転送指令処理により自ら定めた転送指令に基づいて、転送対象のフレームＦ２をポート１１ｅに出力し、フレームＦ２を第３スイッチングハブ１Ｃに転送する。このとき、第１内蔵ＣＰＵ５１Ａは、情報処理能力が不足している関係で、セキュリティ処理を実行しない。
第３スイッチングハブ１Ｃの第３外付ＣＰＵ３０Ｃは、フレームＦ２の転送元（第１スイッチングハブ１Ａ）でセキュリティ処理が実施されていないので、代わりにセキュリティ処理を実施する。例えば、第３外付ＣＰＵ３０Ｃは、第１スイッチングハブ１Ａから出力されたフレームＦ２のＭＡＣアドレスと予め定められた通過許可のＭＡＣアドレスとを比較し、転送対象のフレームＦ２のＭＡＣアドレスが通過許可のＭＡＣアドレスに一致しない場合、転送対象のフレームＦ２を不審なフレームＦ２と判定し、当該不審なフレームＦ２を破棄する。一方、第３外付ＣＰＵ３０Ｃは、転送対象のフレームＦ２のＭＡＣアドレスが通過許可のＭＡＣアドレスに一致する場合、転送対象のフレームＦ２を信用のあるフレームと判定し、当該フレームＦ２を破棄しない。
第３外付ＣＰＵ３０Ｃは、フレームＦ２が信用のあるフレームである場合、セーフモード用のルーテイングテーブルに基づいて、第１スイッチングハブ１Ａから出力されたフレームＦ２を転送する指令を行う転送指令処理を実行する。第３外付ＣＰＵ３０ｃは、例えば、フレームＦ２に含まれるＭＡＣアドレスと、セーフモード用のルーテイングテーブルに登録された各種機器のＭＡＣアドレスと比較する。そして、第３外付ＣＰＵ３０Ｃは、フレームＦ２のＭＡＣアドレスと一致する第２スイッチングハブ１ＢのＭＡＣアドレスを検出し、検出した第２スイッチングハブ１ＢのＭＡＣアドレスに対応づけられたポート番号を取得する。そして、第３外付ＣＰＵ３０Ｃは、取得したポート番号が示すポート１３ｃにフレームＦ２を転送することを指令する転送指令信号を第３内蔵ＣＰＵ（図示省略）に出力する。第３内蔵ＣＰＵは、転送指令信号が転送対象のフレームＦ２をポート１３ｃに出力することを表す場合、当該転送対象のフレームＦ２をポート１３ｃに出力し第２スイッチングハブ１ＢにフレームＦ２を転送する（図９参照）。
第２スイッチングハブ１Ｂの第２外付ＣＰＵ３０Ｂは、フレームＦ２のペイロードのフィールドにエラーコードＥＣが追加されているので、セーフモード用のプログラム及びセーフモード用のルーテイングテーブルに基づいて動作する。第２外付ＣＰＵ３０Ｂは、フレームＦ２の転送元（第３スイッチングハブ１Ｃ）でセキュリティ処理が実施されているので、セキュリティ処理を実施しない。
第２外付ＣＰＵ３０Ｂは、セーフモード用のルーテイングテーブルに基づいて、第１スイッチングハブ１Ａから出力されたフレームＦ２を転送する指令を行う転送指令処理を実行する。第２外付ＣＰＵ３０Ｂは、例えば、フレームＦ２のＭＡＣアドレスと一致する通信機器３のＭＡＣアドレスに対応づけられたポート番号を取得する。そして、第２外付ＣＰＵ３０Ｂは、取得したポート番号が示すポート１２ａにフレームＦ２を転送することを指令する転送指令信号を第２内蔵ＣＰＵ５１Ｂに出力する。第２内蔵ＣＰＵ５１Ｂは、転送指令信号が転送対象の情報をポート１２ａに出力することを表す場合、当該転送対象のフレームＦ２をポート１２ａに出力し通信機器３にフレームＦ２を転送する（図９参照）。
次に、フローチャートを参照しながら、車両用通信システム１００の動作例について説明する。図１０は、実施形態に係る車両用通信システム１００の動作例を示すフローチャートである。車両用通信システム１００は、通信機器２から情報を受信する（ステップＳ１）。例えば、外付ＣＰＵ３０は、通信機器２からフレームＦ１を受信する。次に、外付ＣＰＵ３０は、セキュリティ処理及び転送指令処理を実行する（ステップＳ２）。次に、内蔵ＣＰＵ５１は、外付ＣＰＵ３０のリンク情報Ｌを取得し（ステップＳ３）、外付ＣＰＵ３０が正常であるか否かを判定する（ステップＳ４）。内蔵ＣＰＵ５１は、外付ＣＰＵ３０が正常である場合（ステップＳ４；Ｙｅｓ）、外付ＣＰＵ３０の通信許可を継続し（ステップＳ５）、対応するポート１１ａ〜１１ｅへ転送対象の情報を転送する（ステップＳ６）。
上記ステップＳ４で、内蔵ＣＰＵ５１は、外付ＣＰＵ３０が異常である場合（ステップＳ４；Ｎｏ）、設定回路４０に通信不可を指示し（ステップＳ７）、外付ＣＰＵ３０の通信を不可にする（ステップＳ８）。そして、内蔵ＣＰＵ５１は、転送指令処理を実施し（ステップＳ９）、フレームＦ１内のペイロードにエラーコードＥＣを追加する（ステップＳ１０）。次に、車両用通信システム１００は、必要に応じて通信ルートを切り替える（ステップＳ１１）。車両用通信システム１００は、例えば、通信負荷に応じて、第１スイッチングハブ１Ａから第２スイッチングハブ１Ｂに通信する第１通信ルートから、第１スイッチングハブ１Ａから第３スイッチングハブ１Ｃを介して第２スイッチングハブ１Ｂに通信する第２通信ルートに切り替える。そして、車両用通信システム１００は、メータやマルチディスプレイ等にエラー表示を行い、車両の搭乗者に異常を通知する（Ｓ１２）。
以上のように、実施形態に係る車両用通信システム１００は、車両に搭載され、スイッチＩＣ５０及び外付ＣＰＵ３０を含んで構成されるスイッチングハブ１を備える。スイッチＩＣ５０は、内蔵ＣＰＵ３１を有し、通信機器２に情報を転送する転送処理を行う。外付ＣＰＵ３０は、スイッチＩＣ５０の外側に設けられ、スイッチＩＣ５０に接続され、内蔵ＣＰＵ３１よりも情報処理能力が高い。外付ＣＰＵ３０は、上記転送処理を行うように指令する転送指令処理を実行可能であり、且つ、転送指令処理を実行する際に転送対象の情報のセキュリティを確保するセキュリティ処理を実行可能である。内蔵ＣＰＵ３１は、外付ＣＰＵ３０の動作を監視し、外付ＣＰＵ３０が異常である場合、外付ＣＰＵ３０の代わりに転送指令処理を実行する。
ここで、従来のスイッチングハブは、外付ＣＰＵ３０に異常が生じた場合、バックアップ用として機能するサブＣＰＵを搭載しているが、部品点数の増加やユニットの大型化を招いていた。これに対して、実施形態に係るスイッチングハブ１は、外付ＣＰＵ３０に異常が生じた場合、内蔵ＣＰＵ３１により転送指令処理を実行するので、バックアップ用のサブＣＰＵを搭載する必要がなく、部品点数の増加やユニットの大型化を抑制することができると共に軽量化することができる。また、実施形態に係るスイッチングハブ１は、外付ＣＰＵ３０に異常が生じた場合、転送指令処理を継続することができ、信頼性の低下を抑制できる。この結果、車両用通信システム１００は、情報を適正に転送することができる。
上記車両用通信システム１００において、内蔵ＣＰＵ３１は、外付ＣＰＵ３０が異常である場合、外付ＣＰＵ３０の機能を無効とし外付ＣＰＵ３０の代わりに転送指令処理を実行し且つセキュリティ処理を実行しない。この構成により、スイッチングハブ１は、外付ＣＰＵ３０に異常が生じた場合、転送指令処理を継続することができ、信頼性の低下を抑制できる。
上記車両用通信システム１００において、スイッチングハブ１は、複数設けられ、複数のスイッチングハブ１は、少なくとも、第１スイッチングハブ１Ａと、第１スイッチングハブ１Ａにより送信された情報を転送する第２スイッチングハブ１Ｂとを含んで構成される。第１スイッチングハブ１Ａは、当該第１スイッチングハブ１Ａの第１外付ＣＰＵ３０Ａが正常である場合、自らの第１外付ＣＰＵ３０Ａによりセキュリティ処理を実行し、セキュリティを確保したセキュリティ確保情報（フレームＦ１）を第２スイッチングハブ１Ｂに送信する。第２スイッチングハブ１Ｂは、第１スイッチングハブ１Ａにより送信されたセキュリティ確保情報（フレームＦ１）を、セキュリティ処理を実行せずに転送する。一方、第１スイッチングハブ１Ａは、当該第１スイッチングハブ１Ａの第１外付ＣＰＵ３０Ａが異常である場合、セキュリティ処理を実行していないセキュリティ未確保情報（フレームＦ２）を第２スイッチングハブ１Ｂに送信する。第２スイッチングハブ１Ｂは、第１スイッチングハブ１Ａに送信されたセキュリティ未確保情報（フレームＦ２）に対して、自らの第２外付ＣＰＵ３０Ｂによりセキュリティ処理を実行して転送する。この構成により、車両用通信システム１００は、第１スイッチングハブ１Ａの第１外付ＣＰＵ３０Ａに異常が生じた場合でも、他の第２スイッチングハブ１Ｂによりセキュリティ処理を実行することができるので、セキュリティの低下を抑制することができる。
上記説明において、外付ＣＰＵ３０は、転送指令処理及びセキュリティ処理を実行する例について説明したが、これに限定されず、例えば、接続機器の設定を自動的に行うプラグ・アンド・プレイ等のその他の処理を実行してもよい。
内蔵ＣＰＵ３１は、外付ＣＰＵ３０が異常である場合、外付ＣＰＵ３０の機能を無効とする例について説明したが、これに限定されず、内蔵ＣＰＵ３１とは異なる処理部により外付ＣＰＵ３０の機能を無効としてもよい。
転送ユニットは、ルーテイングテーブルに基づいて特定のポートに情報を転送するスイッチングハブ１である例について説明したが、これに限定されず、例えば、全てのポートに情報を転送するハブであってもよい。
メモリ２０は、スイッチＩＣ５０の外部に設けられる例について説明したが、これに限定されず、スイッチＩＣ５０に内蔵されていてもよい。
車両用通信システム１００は、第１外付ＣＰＵ３０Ａ及び第２外付ＣＰＵ３０Ｂの両方が異常であり、第２スイッチングハブ２Ｂよりも後段にスイッチングハブ１が存在する場合、後段のスイッチングハブ１によりセキュリティ処理を実施するようにしてもよい。
スイッチングハブ１は、自らの外付ＣＰＵ３０が異常である場合、転送対象の情報がセキュリティ処理を実施されているか否かにかかわらず、情報処理能力が不足している関係で、セキュリティ処理を実施せずに情報を転送する。
１ スイッチングハブ（転送ユニット）
１Ａ 第１スイッチングハブ（第１転送ユニット）
１Ｂ 第２スイッチングハブ（第２転送ユニット）
２ 通信機器（機器）
３０ 外付ＣＰＵ（外付制御部）
５０ スイッチＩＣ（制御回路）
５１ 内蔵ＣＰＵ（内蔵制御部）
１００ 車両用通信システム

Claims (3)

  1. 内蔵制御部を有し車両に搭載され機器に接続され前記機器に情報を転送する転送処理を行う制御回路、及び、前記制御回路の外側に設けられ前記制御回路に接続され前記内蔵制御部よりも情報処理能力が高く前記転送処理を行うように指令する転送指令処理を実行可能であり且つ前記転送指令処理を実行する際に転送対象の情報のセキュリティを確保するセキュリティ処理を実行可能である外付制御部、を含んで構成される転送ユニットを備え、
    前記内蔵制御部は、前記外付制御部の動作を監視し、前記外付制御部が異常である場合、前記外付制御部の代わりに前記転送指令処理を実行することを特徴とする車両用通信システム。
  2. 前記内蔵制御部は、前記外付制御部が異常である場合、前記外付制御部の機能を無効とし前記外付制御部の代わりに前記転送指令処理を実行し且つ前記セキュリティ処理を実行しない請求項１に記載の車両用通信システム。
  3. 前記転送ユニットは、複数設けられ、
    複数の前記転送ユニットは、第１転送ユニットと、前記第１転送ユニットにより送信された情報を転送する第２転送ユニットとを含み、
    前記第１転送ユニットは、当該第１転送ユニットの前記外付制御部が正常である場合、自らの前記外付制御部により前記セキュリティ処理を実行しセキュリティを確保したセキュリティ確保情報を前記第２転送ユニットに送信し、前記第２転送ユニットは、前記第１転送ユニットにより送信された前記セキュリティ確保情報を、前記セキュリティ処理を実行せずに転送し、
    前記第１転送ユニットは、当該第１転送ユニットの前記外付制御部が異常である場合、前記セキュリティ処理を実行していないセキュリティ未確保情報を前記第２転送ユニットに送信し、前記第２転送ユニットは、前記第１転送ユニットにより送信された前記セキュリティ未確保情報に対して、自らの前記外付制御部により前記セキュリティ処理を実行して転送する請求項１又は２に記載の車両用通信システム。
JP2019048615A 2019-03-15 2019-03-15 車両用通信システム Active JP6889196B2 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2019048615A JP6889196B2 (ja) 2019-03-15 2019-03-15 車両用通信システム
US16/785,722 US11535179B2 (en) 2019-03-15 2020-02-10 Vehicle communication system
EP20156990.2A EP3709167B1 (en) 2019-03-15 2020-02-12 Vehicle communication system
CN202010091075.0A CN111694299B (zh) 2019-03-15 2020-02-13 车辆用通信系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2019048615A JP6889196B2 (ja) 2019-03-15 2019-03-15 車両用通信システム

Publications (2)

Publication Number Publication Date
JP2020150495A JP2020150495A (ja) 2020-09-17
JP6889196B2 true JP6889196B2 (ja) 2021-06-18

Family

ID=69581941

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019048615A Active JP6889196B2 (ja) 2019-03-15 2019-03-15 車両用通信システム

Country Status (4)

Country Link
US (1) US11535179B2 (ja)
EP (1) EP3709167B1 (ja)
JP (1) JP6889196B2 (ja)
CN (1) CN111694299B (ja)

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002307983A (ja) * 2001-04-16 2002-10-23 Denso Corp 車両制御システム
JP2004179772A (ja) * 2002-11-25 2004-06-24 Sumitomo Electric Ind Ltd 車載ゲートウェイ装置及び車載通信システム
JP5720162B2 (ja) * 2010-03-19 2015-05-20 ヤマハ株式会社 通信システム、スイッチングハブ、およびルータ
JP5651442B2 (ja) * 2010-11-29 2015-01-14 矢崎総業株式会社 動作支援装置、電子機器、電子制御装置、及び、制御システム
JP6024564B2 (ja) * 2013-03-28 2016-11-16 株式会社オートネットワーク技術研究所 車載通信システム
EP3023304B1 (en) * 2014-09-25 2018-01-31 NSK Ltd. Vehicle-mounted electronic device control device and control method
JP6390520B2 (ja) * 2015-06-02 2018-09-19 株式会社デンソー 車載通信システム
JP6544230B2 (ja) 2015-12-25 2019-07-17 株式会社デンソー 通信システム
JP6424870B2 (ja) 2016-09-27 2018-11-21 住友電気工業株式会社 ゲートウェイ、車載通信システム、通信制御方法および通信制御プログラム
JP2018157463A (ja) * 2017-03-21 2018-10-04 オムロンオートモーティブエレクトロニクス株式会社 車載通信システム、通信管理装置、車両制御装置
JP6926708B2 (ja) * 2017-06-14 2021-08-25 住友電気工業株式会社 車載通信システム、スイッチ装置、通信制御方法および通信制御プログラム

Also Published As

Publication number Publication date
EP3709167A1 (en) 2020-09-16
JP2020150495A (ja) 2020-09-17
EP3709167B1 (en) 2021-08-18
CN111694299A (zh) 2020-09-22
US20200290532A1 (en) 2020-09-17
US11535179B2 (en) 2022-12-27
CN111694299B (zh) 2023-04-28

Similar Documents

Publication Publication Date Title
JP4532421B2 (ja) ネットワーク中継装置
JP2006506862A (ja) 例えば車両におけるサブネットワークを接続するためのゲートウェイユニット
WO2016101488A1 (zh) 一种三态内容可寻址存储器tcam查表方法及装置
CN111510398A (zh) 用于控制平面网络中的冗余连接的控制设备和方法
CN111585835B (zh) 一种带外管理系统的控制方法、装置和存储介质
JP5408361B2 (ja) スイッチ装置、情報処理装置、スイッチ装置の制御方法及びプログラム
JP6889196B2 (ja) 車両用通信システム
CN108008657B (zh) 一种控制板和交换板总线直连的负载均衡冗余交换系统
US10097457B1 (en) Resolving a mismatch among control plane parameter values received from multiple routing control devices
US20210243046A1 (en) Vehicle relay device
US10432424B2 (en) Ring network system and network node
JP2010166488A (ja) ネットワーク中継装置
US11431623B2 (en) Method for configuring private line service, device, and storage medium
US20180013671A1 (en) Embedded communications network of a vehicle
JP2018106459A (ja) マイクロコンピュータ、論理回路
US10735310B2 (en) Controller, method for adjusting flow rule, and network communication system
JP5299261B2 (ja) 電子制御装置
JP7205439B2 (ja) 電子制御装置
US11757799B2 (en) Line monitor device and network switch
US20180069725A1 (en) In-vehicle control device
US20230016684A1 (en) Communications Method and Related Apparatus
KR102111359B1 (ko) Ｏｔａ 애드온 장치
JP2003324497A (ja) 通信システム及び通信制御装置
JP2020150494A (ja) 車両用通信システム
KR100295894B1 (ko) 엘리베이터의 군관리 제어장치

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20200716

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20210513

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20210518

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20210520

R150 Certificate of patent or registration of utility model

Ref document number: 6889196

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

S531 Written request for registration of change of domicile

Free format text: JAPANESE INTERMEDIATE CODE: R313531

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250