JP7003884B2 - 車両用中継装置 - Google Patents

Description

本開示は、車両内の通信ネットワークを構成する中継装置に関する。

近年、車両内の通信ネットワークとして、通信速度向上等の観点から、イーサネット（Ethernet）の導入が進んでいる（例えば特許文献１）。なお、イーサネットは登録商標である。

特開２０１８－５６６７９号公報

車両内に構築される通信ネットワーク（以降、車載ネットワーク）は、セキュリティ性を確保する必要がある。セキュリティ性を確保するための１つの方法としては、アクセス制御リスト（以降、ＡＣＬ：Access Control List）等を用いて、中継装置のポート毎に、接続可能なノードを接続許可ノードとして予め登録しておく方法が考えられる。

中継装置の各ポートに接続許可ノードを予め登録しておく構成によれば、接続許可ノードとして登録されていないノード（以降、未登録ノード）は、中継装置に接続できず、当然、中継装置を介して車載ネットワークにも加入できない。なお、ここでの「中継装置に接続できない」とは、物理的に接続できない状態を指すのではなく、仮に物理的に接続されても中継装置を含む他のノードと通信できない状態を意味する。

そのため、中継装置の各ポートに接続許可ノードを予め登録しておく構成によれば、不審なノードが中継装置を介して車載ネットワークに接続する恐れを低減することができる。しかしながら、予め登録された接続許可ノードしか中継装置に接続できない構成では、例えば工場出荷後に、車両の機能の向上等のために、新規のノードを中継装置に追加接続することが困難となる。また、故障等によってノードを取り替える必要が生じた場合も同様に、代替ノードを車載ネットワークに接続することが困難である。

なお、上述のＡＣＬは、中継装置において、通過を許可（permit）する通信フレームの条件や、通過を禁止（deny）する通信フレームの条件を列挙したリストに相当する。このようなＡＣＬは、車載ネットワークへの接続を許可するノードや、接続を禁止するノードのリストとして機能させることができる。

本開示は、この事情に基づいて成されたものであり、その目的とするところは、車載ネットワークのセキュリティを確保しつつ、車載ネットワークに新規ノードを接続可能に構成されている車両用中継装置を提供することにある。

その目的を達成するための車両用中継装置は、一例として、ノードとしての通信装置とイーサネット規格に準拠した通信を実施するための複数の通信ポート（３、３１～３６）を備える車両用中継装置であって、通信ポート毎に接続可能なノードである接続許可ノードが予め設定されており、接続許可ノードとして登録されていないノードである未登録ノードとは通信しないように構成されている中継処理部（５）と、所定の解除器が有線接続されるためのポートである解除器用ポート（４）と、解除器用ポートに接続しているデバイスである接続デバイスと通信することにより、接続デバイスが解除器であることを認証する解除器認証部（Ｆ１）と、解除器としての接続デバイスから、新規ノードとしての未登録ノードが接続される通信ポートである対象ポートの番号を取得する対象ポート取得部（Ｓ３４）と、解除器認証部によって解除器用ポートに解除器が接続されていると判定されていることを条件として、対象ポートを介して未登録ノードとも通信を実施するように中継処理部の動作設定を変更する接続条件緩和部（Ｓ３５）と、対象ポートを介して新規ノードと通信することによって新規ノードの情報を取得し、当該新規ノードを対象ポートの接続許可ノードとして登録するノード追加処理部（Ｓ３９）と、を備える。

以上の構成によれば、解除器用ポートに解除器が接続されていない場合には、車両用中継装置は、未登録ノードとは通信を実施しない。そのため、車載ネットワークのセキュリティを確保することができる。

また、解除器用ポートに解除器が接続されている場合には、対象ポートに限って、未登録ノードとも通信可能な状態に移行し、対象ポートを介して新規ノードと通信を実施することにより、当該新規ノードを対象ポートの接続許可ノードとして登録する。故に、工場出荷後に、車両の機能の向上等のために、新規のノードを中継装置に追加接続する必要が生じた場合や、故障等によってノードを取り替える必要が生じた場合であっても、柔軟に（換言すれば動的に）、中継装置を介して新規ノードを車載ネットワークに接続させることができる。

なお、特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本開示の技術的範囲を限定するものではない。

車載通信システム１００の構成例を示す図である。 中継装置２の構成例を示す図である。 ＡＣＬが備えるアクセス制御ルールの一例を示す図である。 各ポートに適用されるアクセス制御ルールを示す図である。 新規ノードを車載ネットワークへ加入させるための処理手順を示すシーケンス図である。 Ｓ３５におけるＡＣＬ変更部Ｆ３の作動例を示す図である。 Ｓ３５におけるＡＣＬ変更部Ｆ３の他の作動例を示す図である。 ネットワーク加入処理完了後のＡＣＬの一例を示す図である。 ネットワーク加入処理完了後のポート毎の適用ルールを示す図である。 接続条件緩和処理の変形例を説明するための図である。 接続条件緩和処理の変形例を説明するための図である。

以下、本開示の実施形態について図を用いて説明する。図１は、本開示に係る車載通信システム１００の構成例を示す図である。車載通信システム１００は、車両に構築されている通信システムである。本実施形態の車載通信システム１００は、車載イーサネットの規格に従って構成されている。以下では、イーサネット通信プロトコルに準拠したデータ通信をイーサネット通信という。また、以降における通信フレームとは、イーサネット通信プロトコルに従った通信フレーム（いわゆるイーサネットフレーム）を指す。

車載通信システム１００は、複数のノード１と、少なくとも１つの中継装置２と、を備えている。図１に示す車載通信システム１００は一例として、６つのノード１と、２つの中継装置２とを備えている。２つの中継装置２を区別する場合には、中継装置２ａ、２ｂと記載する。また、６つのノード１のそれぞれを区別する場合には、ノード１ａ～１ｃ、１α～１γと記載する。中継装置２が車両用中継装置に相当する。

ノード１ａ～１ｃはそれぞれ通信ケーブル９を介して中継装置２ａと相互通信可能に接続されている。ノード１α～１γはそれぞれ通信ケーブル９を介して中継装置２ｂと相互通信可能に接続されている。中継装置２ａと中継装置２ｂもまた通信ケーブル９を介して相互通信可能に接続されている。通信ケーブル９は、たとえば、ツイストペアケーブルである。

なお、車載通信システムを構成するノード１や中継装置２の数は一例であり、適宜変更可能である。また、図１に示す車載通信システム１００のネットワークトポロジは一例であってこれに限らない。車載通信システム１００のネットワークトポロジは、メッシュ型や、スター型、バス型、リング型などであってもよい。ネットワーク形状も適宜変更可能である。

ノード１は、例えば電子制御装置（以降、ＥＣＵ：Electronic Control Unit）である。例えばノード１ａは自動運転機能を提供するＥＣＵ（いわゆる自動運転ＥＣＵ）である。また、ノード１ｂは、外部サーバと無線通信することによってＥＣＵのソフトウェアを更新するためのプログラムを取得し、当該プログラムを用いて、当該プログラムの適用対象となるＥＣＵのソフトウェアアップデートを実行するＥＣＵである。ノード１ｃは、スマートエントリ機能を提供するＥＣＵである。中継装置２には様々な機能を提供するＥＣＵがノード１として接続されうる。

各ノード１は、中継装置２を介して他のノード１とイーサネット通信プロトコルに従ったデータの送受信を実行する。それぞれのノード１は、直接的には、中継装置２とのみ通信を行う。なお、中継装置２に接続されるノード１は、例えば車室外を撮像するカメラや、測距センサなど、ＥＣＵ以外のものでもよい。ここでのノード１とはイーサネット規格に準拠した通信を実施可能な通信装置を指す。また、中継装置２自身も、別の観点によれば通信ネットワークにおけるノードに相当する。例えば中継装置２ａにとって中継装置２ｂは自装置に接続するノードの１つに該当する。ノード１や中継装置２などにはそれぞれ固有の識別情報（ＭＡＣアドレス）が付与されている。

中継装置２は、或る通信ケーブル９から入力された通信フレームを、当該通信フレームの宛先に応じた通信ケーブル９に送出する装置である。中継装置２は、車両に搭載されているノード１間を接続する通信ネットワーク（つまり車載ネットワーク）を提供する。中継装置２は図２に示すように、複数のポート３と、解除器用ポート４と、中継処理部５と、マイクロコンピュータ（以降、マイコン６）とを備えている。

ポート３は、イーサネット用の通信ケーブル９と電気的にかつ物理的に接続される構成であって、ＯＳＩ参照モデルにおける物理層を提供する。中継装置２が備えるポート３の数は、中継装置２が直接的に接続可能なノード１の数に相当する。本実施形態の中継装置２は一例として、最大６つのノード１とイーサネット通信可能なように、６つのポート３を備える。なお、他の構成として、中継装置２が備えるポート３の数は４や８などであっても良い。ポート３が通信ポートに相当する。

中継装置２が備える複数のポート３にはそれぞれ固有のポート番号が設定されている。便宜上、中継装置２が備える複数のポート３をそれぞれ区別する場合には、そのポート３に設定されているポート番号Ｋを用いて第Ｋポートと記載する。例えば、第１ポート３１はポート番号が１番に設定されているポート３を指し、第２ポート３２はポート番号が２番に設定されているポート３を指す。本実施形態の中継装置２は、第１ポート３１から第６ポート３６までを備える。

なお、ポート３は、通信ケーブル９から入力された信号を、中継処理部５で処理可能なデジタル信号に変換して中継処理部５に出力するとともに、中継処理部５から入力されたデジタル信号を通信ケーブル９へ伝送可能なアナログ信号に変換して出力する。ポート３はアナログ回路などを備えたＩＣ、すなわち、ハードウェア回路である。このようなポート３としては、例えば車載イーサネット用のＰＨＹチップとしてパッケージ化されたものを採用可能である。各ポート３と中継処理部５（具体的にはＭＡＣ部）とは、例えばＭＩＩ（Media Independent Interface）規格で通信するように構成されている。

解除器用ポート４は、別途後述する解除器８が接続されるためのポートである。解除器用ポート４及び解除器８の役務及び作動については別途後述する。解除器用ポート４と解除器８との通信規格は、イーサネットやＵＳＢなど、多様なものを採用可能である。

中継処理部５は、複数のポート３のそれぞれと接続されているとともに、マイコン６とも相互通信可能に接続されている。中継処理部５は、ＯＳＩ参照モデルにおける第２層（データリンク層）～第３層（いわゆるネットワーク層）の機能を実行できるようにプログラムされている。具体的には、中継処理部５は、ＭＡＣ部と、スイッチ処理部と、第３層提供部と、を備える。ＭＡＣ部は、イーサネット通信プロトコルにおける媒体アクセス制御（Medium Access Control）を実施する機能（以降、ＭＡＣ部）を備える。ＭＡＣ部は、複数のポート３のそれぞれに対して用意されている。

スイッチ処理部は、ＭＡＣ部から入力された通信フレームを、当該通信フレームに含まれる宛先ＭＡＣアドレスとアドレステーブルに基づいて、該通信フレームを送出するべきポート３（厳密にはポート３）を特定する。そして、特定したポート３に対応するＭＡＣ部へ当該通信フレームを出力することにより、受信フレームの中継を実施する。アドレステーブルは、各ポート３（具体的には各ポート３）に接続しているノード１のＭＡＣアドレスを示すデータである。

各ポート３に接続しているノード１のＭＡＣアドレスについてはラーニングブリッジやＡＲＰ（Address Resolution Protocol）など、多様な方法で学習される。ここではアドレステーブルの生成方法についての詳細な説明は省略する。なお、ポート３毎の接続先のＭＡＣアドレスを学習する機能（以降、アドレステーブル更新機能）は、マイコン６が備えていても良い。第３層提供部は、ＩＰ（Internet Protocol）アドレスを用いた中継処理を実施する構成である。換言すれば、第３層提供部は、異なるネットワーク間での通信フレームの中継を実施する。なお、ＯＳＩ参照モデルにおける第３層の機能は、マイコン６が備えていても良い。中継装置２内における機能配置は適宜変更可能である。

当該中継処理部５は、例えばＦＰＧＡ（field-programmable gate array）を用いて実現されている。なお、中継処理部５は、ＡＳＩＣ（application specific integrated circuit）を用いて実現されていても良い。また、中継処理部５は、ＭＰＵや、ＣＰＵ、ＧＰＵを用いて実現されていても良い。なお、上記の機能を備える中継処理部５は、スイッチ（換言すればスイッチングハブ）や、ルータとして作動する構成に相当する。なお、中継処理部５は後述するＡＣＬに従って動作する。

マイコン６は、ＣＰＵ、フラッシュメモリ２１、ＲＡＭＩ／Ｏ、およびこれらの構成を接続するバスラインなどを備えた汎用的なコンピュータである。ＲＯＭには、汎用的なコンピュータを、マイコン６として機能させるためのプログラムが格納されている。ＣＰＵが、ＲＡＭの一時記憶機能を利用しつつ、フラッシュメモリ２１に記憶されたプログラムを実行することで、マイコン６は、ＯＳＩ参照モデルにおける第４層から第７層までの機能を提供する。

また、マイコン６は、フラッシュメモリ２１に保存されているプログラム（以降、中継装置用プログラム）を実行することにより発現される機能ブロックとして、ツール認証部Ｆ１、モード変更部Ｆ２、及びＡＣＬ変更部Ｆ３を備える。加えて、マイコン６は、ＡＣＬ記憶部Ｍ１を備える。ＡＣＬ記憶部Ｍ１は、当該中継装置２を通過させる通信フレームの条件や、通過させない通信フレームの条件を示すアクセス制御リスト（以降、ＡＣＬ：Access Control List）を記憶している構成である。ＡＣＬ記憶部Ｍ１は、例えばフラッシュメモリ２１が備える記憶領域の一部を用いて実現することができる。ＡＣＬ記憶部Ｍ１は、フラッシュメモリ２１とは独立した、不揮発性であって書き換え可能な記憶媒体を用いて実現されていても良い。

ツール認証部Ｆ１、モード変更部Ｆ２、及びＡＣＬ変更部Ｆ３は、中継装置２に新規ノードを接続するための構成である。中継装置２に新規ノードを接続することは、車載ネットワークに新規ノードを追加することに相当する。ツール認証部Ｆ１、モード変更部Ｆ２、及びＡＣＬ変更部Ｆ３の作動や、ＡＣＬの技術的意義については別途後述する。なお、中継装置用プログラムを記憶する記憶媒体はフラッシュメモリ２１に限定されない。中継装置用プログラムは、非遷移的実体的記録媒体(non-transitory tangible storage medium)に記憶されていればよい。

＜ＡＣＬについて＞
以降では、便宜上、適宜中継装置２ａを例にとってＡＣＬについて説明する。なお、中継装置２ａが備える各ポート３は、次のように構成されているものとする。第１ポート３１にはノード１ａが接続されている。第２ポート３２にはノード１ｂが接続されている。第３ポート３３にはノード１ｃが接続されている。第４ポート３４には中継装置２ｂが接続されている。第５ポート３５及び第６ポート３６は、ノードが接続されていない（つまり空きポートとなっている）。

中継装置２ａを含む各中継装置２には、前述の通り、当該中継装置２を通過させる通信フレームの条件や、通過させない通信フレームの条件を示すＡＣＬが設定されている。ＡＣＬは、複数のルール（以降、アクセス制御ルール）によって構成されている。ＡＣＬが備える個々のアクセス制御ルールは、通過を許可（permit）する通信フレームの条件や、通過を拒否（deny）する通信フレームの条件を示す。アクセス制御ルールを構成する要素としては、送信元のＭＡＣアドレスや、宛先ＭＡＣアドレス、通信フレームのタイプ、プロトコル種別など、多様な要素を採用可能である。複数のアクセス制御ルールはそれぞれ固有の識別番号（以降、ルールＩＤ）によって区別される。アクセス制御ルールが通過条件に相当する。

各アクセス制御ルールは、適用対象とするポート３を指定可能に構成されている。各ポート３には、予め定められているノード１のみが接続可能なように、それぞれ異なる組み合わせのアクセス制御ルールが適用されている。換言すれば、本実施形態におけるＡＣＬは、中継装置２への接続を許可するノードや、接続を禁止するノードのリストとして機能するように構成及び適用されている。

例えば中継装置２ａには、図３に示すように、ルールＩＤが１～４、及び、９７～９９のアクセス制御ルールを備えるＡＣＬが登録されている。ルールＩＤ＝１のアクセス制御ルールは、ノード１ａを宛先／送信元とする通信フレームを通過させるものであり、ルールＩＤ＝２のアクセス制御ルールは、ノード１ｂを宛先／送信元とする通信フレームを通過させるものである。宛先／送信元ノードの識別はＭＡＣアドレスによって実施されればよい。

ルールＩＤ＝３のアクセス制御ルールは、ノード１ｃを宛先／送信元とする通信フレームを通過させるものであり、ルールＩＤ＝４のアクセス制御ルールは、中継装置２ｂを宛先／送信元とする通信フレームを通過させるものである。中継装置２ｂを宛先／送信元とする通信フレームを通過させるアクセス制御ルールは、ノード１α～１γを宛先／送信元とする通信フレームを通過させるアクセス制御ルールに相当する。

ルールＩＤ＝９７のアクセス制御ルールは、ブロードキャストフレームを通過させるものである。ブロードキャストフレームは、全ノードを宛先とする通信フレームであって、宛先ＭＡＣアドレスが所定のブロードキャストアドレス（例えば全てのビットが１）に設定されている通信フレームを指す。ルールＩＤ＝９８のアクセス制御ルールは、どんな通信フレームも通過させないものである。どんな通信フレームも通過させないといった主旨のアクセス制御ルールは、一般的に“any deny”や“deny all”とも称される。以降では、当該“any deny”に相当するアクセス制御ルールのことを、全拒否ルールとも記載する。ルールＩＤ＝９９のアクセス制御ルールは、全ての通信フレームを通過させるものである。

各アクセス制御ルールは、前述の通り、当該ルールを適用するポート３を指定可能に構成されている。例えばルールＩＤ＝１のアクセス制御ルールは、第１ポート３１に対して適用されるように設定されている。ルールＩＤ＝２のアクセス制御ルールは、第２ポート３２に対して適用されるように設定されている。ルールＩＤ＝３のアクセス制御ルールは、第３ポート３３に対して適用されるように設定されている。ルールＩＤ＝４のアクセス制御ルールは、第４ポート３４に対して適用されるように設定されている。

ルールＩＤ＝９７のアクセス制御ルールは、第３ポート３３に対して適用されるように設定されている。ノード１が接続されている第１ポート３１～第４ポート３４に適用されるように設定されている。ルールＩＤ＝９８のアクセス制御ルールは、全てのポート３に対して適用されるように設定されている。ルールＩＤ＝９９のアクセス制御ルールは、動的接続モードを実現するためのルールであって、通常の動作時には何れのポート３にも適用されない。

以上の設定により、中継装置２ａの各ポートには図４に示すように、種々のアクセス制御ルールが適用される。例えば第１ポート３１には、ルールＩＤ＝１、９７、９９のアクセス制御ルールが適用される。各ポート３に設定される種々のアクセス制御ルールは、登録順等に応じた優先度が存在する。図４に示す例では左のルールが右のルールよりも優先されることを示している。例えば第１ポート３１に対しては、ルールＩＤ＝１のアクセス制御ルールが最も優先的に適用される。また、ルールＩＤ＝９７のアクセス制御ルールは、ルールＩＤ＝９８のアクセス制御ルールよりも優先的に適用される。優先度が高いルール（換言すれば条件）が適用された場合には、以降のルールはチェックされない。故に、中継処理の対象とする通信フレームがルールＩＤ＝１のアクセス制御ルールを充足している場合、第１ポート３１に関しては、ルールＩＤ＝９７、９９のアクセス制御ルールは無視される。

各ポート３には、基本的に、全拒否ルールよりも他のルールが優先されるように種々のアクセス制御ルールが設定されている。例えば、第１ポート３１から第４ポート３４には、ブロードキャストフレームを通過させるアクセス制御ルール（以降、ブロードキャスト通過ルール）のほうが全拒否ルールよりも優先度は高く設定されている。故に、図４に示す例では、中継装置２はブロードキャストフレームについては、第１ポート３１から第４ポート３４までの各ポート３を通過させる。

また、図４に示す例では、第５ポート３５や第６ポート３６には全拒否ルールしか適用されていない。そのため、第５ポート３５や第６ポート３６には、ブロードキャストフレーム等、どんな通信フレームも通らない。よって仮に第５ポート３５に新たにノードを接続した場合であっても、ＡＣＬが変更されない限りは、当該第５ポート３５に接続されているノードは、中継装置２や他のノード１の何れとも通信することはできない。なお、全拒否ルールは、明文化されずに、暗黙のルールとして全てのポート３に適用されるように構成されていても良い。全拒否ルールは通常、最も優先度が低い（換言すれば最下位の）アクセス制御ルールとして各ポート３に適用される。

上記のＡＣＬ設定によれば、各ポート３には、所定のノード１しか、接続できない。ここでの「接続できない」とは、物理的に接続できない状態を指すのではなく、中継装置２を含む他のノードと通信できない状態を意味する。例えば中継装置２ａの第１ポート３１にはノード１ａしか他のノードと通信可能な状態で接続できず、第２ポート３２にはノード１ｂしか他のノードと通信可能な状態で接続できない。第３ポート３３や第４ポート３４もまた、実質的にノード１ｃや中継装置２ｂしか接続できない。つまり、本実施形態のＡＣＬは、中継装置２への接続を許可するノード（以降、接続許可ノード）をポート３毎に規定するリストとして機能する。

なお、ここでは一例として、１つのＡＣＬに９９個のアクセス制御ルールを登録可能に構成されている態様を例示しているが、ＡＣＬに登録可能なルールの数は適宜変更可能である。図３に示すルールＩＤの数値もまた一例であり適宜変更可能である。例えば全拒否ルールのＩＤは１番に設定されていても良い。ルールＩＤとして１００～１９９までの番号が使用可能に構成されていても良い。

また、中継装置２には複数のＡＣＬを設定可能である。図３に示す種々のルールは複数のＡＣＬに分けて登録されていてもよい。第１ポート３１用のＡＣＬや、第２ポート３２用のＡＣＬなど、複数のポート３のそれぞれに対応するＡＣＬが用意されていても良い。複数のＡＣＬは、固有の識別番号（ＡＣＬ－ＩＤ）によって識別可能である。各中継装置２が備えるＡＣＬ記憶部Ｍ１は、当該中継装置２に設定されているＡＣＬを記憶する構成である。ＡＣＬ記憶部Ｍ１がアクセス制御リスト記憶部に相当する。

＜ツール認証部Ｆ１、モード変更部Ｆ２、及びＡＣＬ変更部Ｆ３について＞
次に、ツール認証部Ｆ１、モード変更部Ｆ２、及びＡＣＬ変更部Ｆ３について説明する。ツール認証部Ｆ１は、解除器用ポート４に解除器８が接続されたことを検出する構成である。解除器８は、車載通信システム１００（実体的には中継装置２）のネットワークセキュリティを一時的に解除するためのツールである。ここでのセキュリティの解除とは、接続許可ノード以外のノード（以降、未登録ノード）が中継装置２に接続可能な状態にすることを指す。未登録ノードが中継装置２に接続可能な状態とは、未登録ノードが中継装置２やノード１と通信可能な状態を指す。より具体的には、未登録ノードが送信した通信フレームを中継装置２が受信するとともに、中継装置２がその受信した通信フレームの内容に応じた応答処理や転送処理を実行する状態を指す。

解除器８は、例えば対象ＥＣＵのソフトウェアの更新や書き換えを行うためのツール（いわゆるリプログラミングツール）や、診断ツール（いわゆるダイアグツール）である。解除器８は、操作者が新規ノードとしての未登録ノードを接続するポート３を指定可能なように、例えばディスプレイとタッチパネルといったＨＭＩ（Human Machine Interface）デバイスを備えている。

ツール認証部Ｆ１は、解除器用ポート４にデバイスが接続された場合に、当該接続デバイスと通信による認証処理を実行する事により、接続デバイスが所定の解除器８であるか否かを判定する。接続デバイスが解除器８であることを確認するための認証方法は例えばチャレンジ－レスポンス方式など多様な認証方法を採用可能である。ツール認証部Ｆ１が解除器認証部に相当する。

モード変更部Ｆ２は中継装置２の動作モードを変更する構成である。本実施形態の中継装置２は、動作モードとして、セキュアモードと、動的接続モードと、を備える。セキュアモードは、ＡＣＬ記憶部Ｍ１に保存されているＡＣＬに従って中継処理を行うモードである。セキュアモードは、換言すれば、予め登録されているノード１からの通信フレームのみを受信したり中継したりする動作モードである。

故に、セキュアモードで動作している中継装置２の空きポート３に新規ノードが接続されても、ＡＣＬによって中継装置２は当該新規ノードからの通信フレームは受信せずに破棄する。故に、新規ノードは、セキュアモードで動作している中継装置２に接続されても、既存のノード１とは通信できない。セキュアモードは、新規ノードが車載ネットワークに加入できない動作モードに相当する。一方、動的接続モードは、新規ノードを車載ネットワークに加入させるための動作モードである。動的接続モードでは、別途後述するように、所定のポート３に対するアクセス制御ルールを部分的に緩和することにより、新規ノードが中継装置２等と通信可能にする。

当該モード変更部Ｆ２は、ツール認証部Ｆ１によって解除器用ポート４に解除器８が接続していると判定されている場合に、解除器８からの要求に基づいて、中継装置２の動作モードを動的接続モードに設定する。モード変更部Ｆ２は、ツール認証部Ｆ１によって解除器用ポート４に解除器８が接続していると判定されていない場合には、中継装置２の動作モードをセキュアモードに設定する。

ＡＣＬ変更部Ｆ３は、ＡＣＬ記憶部Ｍ１が保持しているＡＣＬを書き換える構成である。ＡＣＬ変更部Ｆ３は、中継装置２が動的接続モードで動作している場合に、解除器８からの要求に基づいて、解除器８から指定されているポート３に対するアクセス制御ルールを変更する。ＡＣＬは、中継処理部５の動作態様を規定する要素である。ＡＣＬを変更することは、中継処理部５の動作設定を変更することに相当する。

＜新規ノードの登録手順について＞
次に、図５に示すシーケンス図を用いて、未登録ノードである新規ノード１ｘが中継装置２を介して車載ネットワークに加入する際の各構成の作動について説明する。便宜上、新規ノード１ｘを車載ネットワークに加入させるために中継装置２が実行する一連の処理をネットワーク構成変更処理と称する。図５のシーケンス図は、解除器用ポート４に解除器８が物理的に有線接続されてから、新規ノード１ｘが車載ネットワークに加入して他のノード１と通信可能な状態となるまでの流れの一例を示している。

なお、本フロー開始時点においては、中継装置２はセキュアモードで動作している。図５に示すステップＳ１１～Ｓ１６は解除器８によって実行され、ステップＳ３１～Ｓ４２は中継装置２（主としてマイコン６）によって実行される。ステップＳ５１～Ｓ５６は新規ノード１ｘによって実行される。

まず、解除器８は、作業者による操作に基づいて中継装置２の解除器用ポート４と有線接続されると、中継装置２と接続されたことを検出する（ステップＳ１１）。そして、解除器８は、中継装置２に対して認証処理の実行を要求する信号（以降、認証要求信号）を送信する（ステップＳ１２）。中継装置２は、解除器用ポートに接続されているデバイス（実体的には解除器８）からの認証要求信号を受信すると（ステップＳ３１）、当該接続デバイスと通信を実施し、接続デバイスが解除器８であることの確認（つまり接続デバイスの認証）を実施する（ステップＳ３３）。

例えばツール認証部Ｆ１は、接続デバイスに対して乱数を用いてなるコード（いわゆるチャレンジコード）を送信することにより、レスポンスコードを返送させる。レスポンスコードは、接続デバイスに対して当該チャレンジコードに所定の演算処理を実行してなるコードである。そして、ツール認証部Ｆ１は、接続デバイスから返送されてきたレスポンスコードと、自身で別途生成した検算用コードとを照らし合わせることで、接続デバイスが解除器８であるか否かの判断を行う。

ツール認証部Ｆ１は、接続デバイスが解除器８であると判断した場合には、接続デバイスとしての解除器８に対して、認証が成功したことを示す認証応答信号を送信する（ステップＳ３２）。また、ツール認証部Ｆ１が接続デバイスは解除器８であると判断した場合には、モード変更部Ｆ２が中継装置２の動作モードをセキュアモードから動的接続モードへと切り替え、解除器８からの指示を待機する（ステップＳ３３）。なお、ツール認証部Ｆ１は、接続デバイスの認証が失敗した場合には、接続デバイスに対して認証が失敗したことを示す認証応答信号を送信すればよい。

解除器８は、中継装置２からの認証応答信号を受信すると（ステップＳ１３）、作業者による操作に基づいて、新規ノードを接続するためのポート３の番号（以降、接続ポート番号）を取得する（ステップＳ１４）。例えば解除器８は、中継装置２からの認証応答信号を受信したことをトリガとして、ノード接続用画面を表示する。ノード接続用画面は、例えば作業者がノードを接続するポート３の番号を指定可能に構成されている。

解除器８は、作業者の操作に基づき接続ポート番号を取得すると、当該接続ポート番号を中継装置２に送信する（ステップＳ１５）。中継装置２は、解除器８から送信された接続ポート番号を取得する（ステップＳ３４）。ステップＳ３４を実行する中継装置２の構成（例えばマイコン６）が対象ポート取得部に相当する。そして、ＡＣＬ変更部Ｆ３が、当該接続ポート番号に対応するポート３（以降、対象ポート）に対するアクセス制御ルールを無効化する（ステップＳ３５）。具体的には対象ポートに対して、ルールＩＤ＝９９のアクセス制御ルール、すなわち、全ての通信フレームを通過させるといったルール（以降、全許可ルール）を適用する。

例えば対象ポートとして第５ポート３５が指定されている場合には、図６に示すように、第５ポートに対して、全許可ルール（ＩＤ＝９９）を設定する。全許可ルールは全拒否ルール（ＩＤ＝９８）よりも優先されるように設定されていれば良い。また、全拒否ルールは、必ずしも保持される必要はない。図７に示すように対象ポートとしての第５ポートについては、全拒否ルールは解除されても良い。図６及び図７における破線は、図３、図４に対する変更箇所を明示するためのオブジェクトである。ステップＳ３５の処理は、中継装置２に接続するノードの条件を、対象ポートに限って緩和する処理に相当する。故に、以降ではステップＳ３５での処理を接続条件緩和処理とも称する。ステップＳ３５を実行する中継装置２の構成（例えばマイコン６）が接続条件緩和部に相当する。なお、本実施形態の接続条件緩和処理は、対象ポートに接続するノードの条件を無しとする（つまり無条件化する）処理に相当する。

以上の接続条件緩和処理により、中継装置２は、対象ポートを介して新規ノード１ｘと通信可能な状態となる。以降では適宜、中継装置２の第５ポート３５に新規ノード１ｘを接続する場合を例にとって、各構成の作動を説明する。なお、アクセス制御ルールが無効化された状態とは、どのようなノードからの通信フレームも受信可能な状態に相当する。対象ポート以外のポート３（例えば第６ポート３６など）については、通常時のアクセス制御ルールが維持される。

新規ノード１ｘは、作業者によって対象ポートとしての第５ポート３５に接続されると、通信ケーブル９から入力される信号に基づき、中継装置２と接続されたことを検出する（ステップＳ５１）。そして、中継装置２に対して定期的にＡＲＰリクエストを送信する（ステップＳ５２～Ｓ５４）。ＡＲＰリクエストは、所定のＩＰアドレスを有するノードに対してＭＡＣアドレスの返送を要求する信号である。宛先とするＩＰアドレスは、任意のアドレス値が設定されれば良い。ＡＲＰリクエストには、送信元である新規ノード１ｘのＭＡＣアドレス等が含まれる。なお、ＡＲＰについての詳細な説明はここでは省略する。

なお、ここでは一例としてステップＳ５２、Ｓ５３でのＡＲＰリクエストの送信は、ステップＳ３５以前に実行されたものとし、ステップＳ５４でのＡＲＰリクエストの送信は、ステップＳ３５の後に実行されたものとする。ステップＳ３５にて対象ポートのアクセス制御ルールが無効化されるまでは、新規ノード１ｘが発する通信フレームは全拒否ルール等の、対象ポートに予め設定されているアクセス制御ルールに基づき破棄される。つまり、ステップＳ５２やＳ５３で発せされたＡＲＰリクエストは、中継装置２にて受信されない。

一方、ステップＳ３５以降に実施されたステップＳ５４にて発せられたＡＲＰリクエストは、中継装置２にて受信される。中継装置２は、新規ノード１ｘからのＡＲＰリクエストを受信すると（ステップＳ３６）、当該ＡＲＰリクエストに基づいて、新規のノードについての情報（以降、新規ノード情報）を取得する（ステップＳ３７）。新規ノード情報は、例えば新規ノード１ｘのＭＡＣアドレスである。新規ノード情報は、その他、新規ノード１ｘのＩＰアドレス等の情報を含んでいても良い。なお、中継装置２は、新規ノード１ｘからのＡＲＰリクエストを受信すると、ＡＲＰリクエストに対する応答フレーム（いわゆるＡＲＰ応答）を返送する（ステップＳ３８）。

また、中継装置２は、ステップＳ３７で取得した新規ノード情報を用いて、当該新規ノード１ｘを車載ネットワークに加入させる処理であるネットワーク加入処理を実行する（ステップＳ３９）。具体的にはまずＡＣＬ変更部Ｆ３が、図８に示すように、新規ノード１ｘを宛先／送信元とする通信フレームを通過させるアクセス制御ルールを、例えばルールＩＤ＝５としてＡＣＬに登録する。そして、当該ルールを対象ポートとしての第５ポート３５に適用する。また、第５ポート３５に対して、第１ポート３１等と同様に、ブロードキャスト通過ルール（ＩＤ＝９７）や、全拒否ルール（ＩＤ＝９８）を適用する。加えて、第５ポート３５への全許可ルールの適用は解除する。

以上の処置により、中継装置２が備えるＡＣＬは、図９に示すように、第５ポート３５は実質的に新規ノード１ｘのみが接続可能なポート３とするＡＣＬへと更新される。その他、中継装置２は、ネットワーク加入処理として、第２層でのスイッチング処理に使用されるアドレステーブルを更新する。すなわち、新規ノード１ｘのＭＡＣアドレスを、第５ポート３５に接続するノード１のＭＡＣアドレスとして登録する。なお、図８及び図９における破線は、図３、図４に対する変更箇所を明示するためのオブジェクトである。ステップＳ３９を実行する中継装置２の構成（例えばマイコン６）がノード追加処理部に相当する。

また、中継装置２は、ステップＳ３７にて取得した新規ノード情報に基づいて、ＡＲＰテーブルを更新する（ステップＳ４０）。具体的には、ＡＲＰテーブルに、新規ノードのＩＰアドレスと、ＭＡＣアドレス（換言すれば物理アドレス）を対応づけて登録する。ＡＲＰテーブルの更新は、ＡＲＰによって特定できているＩＰアドレスとＭＡＣアドレスとの対応関係を示すデータ（いわゆるＡＲＰキャッシュ）を更新する処理に相当する。

なお、ステップＳ４０の実行タイミングはステップＳ３９よりも前（例えばステップＳ３８の直後）であっても良い。図５に示す各処理の実行順は一例であって、適宜変更可能である。なお、以上の処理によって更新されたＡＲＰテーブルやＡＣＬ、アドレステーブルは、中継処理部５の動作態様を規定するレジスタに速やかに反映される。これにより、中継処理部５は、更新されたＡＣＬやアドレステーブル等に基づいて、新規ノード１ｘを含む種々のノード１からの通信フレームを受信したり中継したりするようになる。

以上の一連の処理が完了するとモード変更部Ｆ２は、中継装置２の動作モードを動的接続モードからセキュアモードへと切り戻す（ステップＳ４１）。そして、中継装置２は、解除器８に対して新規ノード１ｘの登録が完了したことを示す信号（以降、接続完了報告）を出力する（ステップＳ４２）。なお、接続完了報告には、より好ましい態様として、ステップＳ３７で取得したＭＡＣアドレス等の新規ノード情報が含まれている。

解除器８は、中継装置２からの接続完了報告を受信すると、新規ノード１ｘの車載ネットワークへの接続が完了したことを示す接続完了画面をディスプレイに表示する（ステップＳ１６）。本実施形態ではより好ましい態様として、接続完了画面には、接続完了報告に含まれている新規ノード情報が含まれているものとする。このような構成によれば、対象ポートに接続された新規ノード１ｘの情報が表示されるため、作業者は、予定していたノードが正常に接続されたことを確認することができる。なお、新規ノード１ｘは、中継装置２でのネットワーク加入処理及びＡＲＰテーブルの更新が完了すると、適宜中継装置２を介して他のノード１との通信を開始する（ステップＳ５６）。

＜実施形態のまとめ＞
上記実施形態では、中継装置２は、基本的にＡＣＬを用いて未登録のノードがネットワークに接続することを防ぐように作動する。つまり、中継装置２は、ポート３毎に登録されているノード１とのみ通信を実施するように作動する。一方、中継装置２は、解除器８が解除器用ポート４に接続されていることを条件として、未登録のノードが所定の対象ポートを介して車載ネットワークに接続可能な動作モード（つまり動的接続モード）に移行する。

動的接続モードにおいて中継装置２は、解除器８を介して新規ノード１ｘが接続される対象ポートを特定するとともに、新規ノード１ｘからの通信フレームを受信可能なように、当該対象ポートに対するアクセス制御ルールを変更する。次に、対象ポートを介して新規ノード１ｘと通信を実施することによって新規ノード１ｘの情報を取得し、ＡＣＬの内容を、対象ポートを新規ノード１ｘのみが接続可能なポート３とする内容に変更する。つまり、対象ポートの接続許可ノードとして新規ノード１ｘを登録する。そして、以上の処理が完了すると、中継装置２は、動的接続モードを終了し、セキュアモードとして動作し始める。

上記構成によれば、車載ネットワークのセキュリティを確保しつつ、車載ネットワークに新規ノードを接続可能となる。また、新規ノードの接続作業として作業者は、中継装置２に新規ノードや解除器８を接続した状態で接続ポート番号の入力をすれば、後は自動的に中継装置２内部のＡＣＬ等が更新される。故に、作業者の操作数を抑制でき、作業者の負担を減らしたり、作業効率を高めたりすることができる。また、新規ノード１ｘの車載ネットワークの加入に伴うＡＣＬの変更が自動で行われるため、例えば、ＭＡＣアドレスの入力ミスなどの人為的ミスが発生する恐れを低減することができる。

以上、本開示の実施形態を説明したが、本開示は上述の実施形態に限定されるものではなく、以降で述べる種々の変形例も本開示の技術的範囲に含まれ、さらに、下記以外にも要旨を逸脱しない範囲内で種々変更して実施することができる。例えば下記の種々の変形例は、技術的な矛盾が生じない範囲において適宜組み合わせて実施することができる。なお、前述の実施形態で述べた部材と同一の機能を有する部材については、同一の符号を付し、その説明を省略する。また、構成の一部のみに言及している場合、他の部分については先に説明した実施形態の構成を適用することができる。

［変形例１］
上述した実施形態では、接続条件緩和処理（ステップＳ３５）として、一時的に対象ポートに全許可ルール（ＩＤ＝９９）を適用することにより、新規ノード１ｘから発せられる通信フレームを中継装置２が受信できるようにする態様を開示したが、これに限らない。接続条件緩和処理は、全許可ルールの代わりに、新規ノード情報を取得するために利用可能な特定の通信フレームのみを通過させるアクセス制御ルールを適用する処理として構成されていてもよい。例えば、接続条件緩和処理は、図１０に示すように全許可ルールの代わりにＡＲＰリクエストのみを通過させるアクセス制御ルールを対象ポートに適用するものであってもよい。

また、接続条件緩和処理は、全許可ルールの代わりに、中継装置２に接続可能な新規ノード１ｘの属性をある程度限定するアクセス制御ルールを適用するものであっても良い。例えば、送信元ＭＡＣアドレスが特定の範囲内に収まっている通信フレームだけを通過させるアクセス制御ルールを適用するように構成されていても良い。その場合には図１１に示すように、送信元ＭＡＣアドレスが特定の範囲内に収まっている通信フレームだけを通過させるアクセス制御ルールを予め登録しておけばよい。また、接続条件緩和処理は、送信元ＭＡＣアドレスの上位２４ビットが特定の値になっている通信フレームのみを通過させるアクセス制御ルールを対象ポートに適用する処理であっても良い。接続条件緩和処理として対象ポートに一時的に適用するアクセス制御ルールは、特定のベンダーが生成した装置からの通信フレームのみを通すものであっても良い。

［変形例２］
上述した実施形態では中継装置２は、新規ノード１ｘから送信されたＡＲＰリクエストを受信することで新規ノード情報を取得する態様を開示したが、新規ノード情報の取得する利用する通信フレームの種類は、これに限定されない。新規ノード情報を含むものであれば適宜採用可能である。例えば、ＲＡＲＰ（Reverse Address Resolution Protocol）リクエストであってもよいし、その他、DHCP（Dynamic Host Configuration Protocol）のDISCOVERフレームや、REQUESTフレームなどであってもよい。

［変形例３］
ＡＣＬ及びアクセス制御ルールは、中継装置２を通過させる通信パケットの条件や、通過させない通信パケットの条件を示すものであってもよい。例えば、アクセス制御ルールは、宛先／送信元ＩＰアドレスが接続許可ノードに割り当てられているアドレス値となっている通信フレームを通すものであってもよい。本開示は、第２層での通信フレームのフィルタリングと、第３層での通信パケットのフィルタリングのどちらにも（又は両方に）適用可能である。上記の通信フレームは、通信パケットに置き換えて実施することができる。

なお、本開示を第２層における通信フレームのフィルタリングに適用した態様は、中継処理部５が、通信フレームに含まれる送信元ＭＡＣアドレスを用いて、各ポート３に接続しているノードが接続許可ノードであるか否かを識別する構成に相当する。また、本開示を第３層における通信フレーム（実体的には通信パケット）のフィルタリングに適用した態様は、中継処理部５が、通信フレームに含まれる送信元ＩＰアドレスを用いて、各ポート３に接続しているノードが接続許可ノードであるか否かを識別する構成に相当する。送信元ＩＰアドレス及び送信元ＭＡＣアドレスは何れも送信元を示すアドレスである。図面に記載の送信元アドレスは、送信元ＩＰアドレスであってもよいし、送信元ＭＡＣアドレスであってもよい。宛先アドレスも同様に、宛先ＩＰアドレスであってもよいし、宛先ＭＡＣアドレスであってもよい。

［変形例４］
中継装置２は、ステップＳ３５にて接続条件緩和処理を実行してから所定の待機時間が経過しても、新規ノード１ｘからＡＲＰリクエストが来ない場合は、タイムアウトと判断して対象ポートの接続条件を元に戻すように構成されていても良い。対象ポートの接続条件を元に戻すという表現は、解除器８が接続される前の状態に戻すことを指す。新規ノード１ｘからＡＲＰリクエストが来ない場合には、正しいＡＲＰフレームが来ない場合も含まれる。

なお、中継装置２は、タイムアウトに伴って対象ポートの接続条件を元に戻す場合には、解除器８に所定の接続エラー信号を出力することが好ましい。接続エラー信号は、例えば新規ノード１ｘからの信号を受信できなかったことを示す信号である。解除器８は、接続エラー信号を受信すると、中継装置２が新規ノード１ｘを発見できなかったことを示すエラー通知画面を表示するように構成されていることが好ましい。

［変形例５］
中継装置２は、ネットワーク加入処理もしくはＡＲＰテーブルを更新する処理のいずれかにてエラーが発生した場合には、設定エラーと判断し、解除器８へ設定エラー信号を出力した上で、対象ポートの接続条件を元に戻すように構成されていても良い。接続エラー信号は、中継装置２の動作設定を変更するための処理においてエラーが生じたことを示す信号である。解除器８は、設定エラー信号を受信すると、新規ノード１ｘを対象ポートの接続許可ノードとして登録する処理が予期しないエラーによって失敗したことを示すエラー通知画面を表示するように構成されていることが好ましい。

その他、中継装置２は、ネットワーク加入処理もしくはＡＲＰテーブルを更新する処理のいずれかにてエラーが発生した場合には、設定エラーと判断し、ネットワーク加入処理とＡＲＰテーブル更新のリトライを一定回数繰り返すように構成されていても良い。

＜付言＞
中継装置２が提供する手段および／または機能は、実体的なメモリ装置に記録されたソフトウェアおよびそれを実行するコンピュータ、ソフトウェアのみ、ハードウェアのみ、あるいはそれらの組合せによって提供することができる。中継装置２が備える機能の一部又は全部はハードウェアとして実現されても良い。或る機能をハードウェアとして実現する態様には、１つ又は複数のＩＣなどを用いて実現する態様が含まれる。中継装置２が備える機能の一部又は全部が、ハードウェアである電子回路によって提供される場合、それは多数の論理回路を含むデジタル回路、またはアナログ回路によって提供することができる。

１００ 車載通信システム、１・１ａ～１ｃ・１α～１γ ノード、１ｘ 新規ノード、２ 中継装置、３ ポート（通信ポート）、４ 解除器用ポート、５ 中継処理部、６ マイコン、Ｆ１ ツール認証部、Ｆ２ モード変更部、Ｆ３ ＡＣＬ更新部、Ｍ１ ＡＣＬ記憶部（アクセス制御リスト記憶部）、Ｓ３４ 対象ポート取得部、Ｓ３５ 接続条件緩和部、Ｓ３９ ノード追加処理部

Claims (5)

1. ノードとしての通信装置とイーサネット規格に準拠した通信を実施するための複数の通信ポート（３、３１～３６）を備える車両用中継装置であって、
   前記通信ポート毎に接続可能なノードである接続許可ノードが予め設定されており、
   前記接続許可ノードとして登録されていないノードである未登録ノードとは通信しないように構成されている中継処理部（５）と、
   所定の解除器が有線接続されるためのポートである解除器用ポート（４）と、
   前記解除器用ポートに接続しているデバイスである接続デバイスと通信することにより、前記接続デバイスが前記解除器であることを認証する解除器認証部（Ｆ１）と、
   前記解除器としての前記接続デバイスから、新規ノードとしての未登録ノードが接続される前記通信ポートである対象ポートの番号を取得する対象ポート取得部（Ｓ３４）と、
   前記解除器認証部によって前記解除器用ポートに前記解除器が接続されていると判定されていることを条件として、前記対象ポートを介して前記未登録ノードとも通信を実施するように前記中継処理部の動作設定を変更する接続条件緩和部（Ｓ３５）と、
   前記対象ポートを介して前記新規ノードと通信することによって前記新規ノードの情報を取得し、当該新規ノードを前記対象ポートの前記接続許可ノードとして登録するノード追加処理部（Ｓ３９）と、を備える車両用中継装置。
2. 請求項１に記載の車両用中継装置であって、
   前記通信ポートを通過させる通信フレームの条件である通過条件を示すアクセス制御リストを記憶するアクセス制御リスト記憶部（Ｍ１）を備え、
   前記アクセス制御リスト記憶部が記憶している前記アクセス制御リストは、前記通信ポート毎の前記通過条件を備え、
   前記通信ポート毎の前記通過条件は、前記通信ポート毎の前記接続許可ノードを表すように構成されており、
   前記ノード追加処理部は、前記アクセス制御リストを変更することによって、前記新規ノードを前記対象ポートの前記接続許可ノードとして登録するように構成されている車両用中継装置。
3. 請求項１又は２に記載の車両用中継装置であって、
   前記解除器認証部によって前記解除器用ポートに前記解除器が接続されていると判定されている場合であっても、前記対象ポート以外の前記通信ポートについては、前記接続許可ノードとして登録されていないノードからの通信フレームは受信しないように構成されている車両用中継装置。
4. 請求項１から３の何れか１項に記載の車両用中継装置であって、
   前記中継処理部は、通信フレームに含まれる送信元ＭＡＣアドレスを用いて、前記通信ポートに接続しているノードが前記接続許可ノードであるか否かを識別するように構成されている車両用中継装置。
5. 請求項１から４の何れか１項に記載の車両用中継装置であって、
   前記中継処理部は、通信フレームに含まれる送信元ＩＰアドレスを用いて、前記通信ポートに接続しているノードが前記接続許可ノードであるか否かを識別するように構成されている車両用中継装置。

Images