WO2015194323A1 - ネットワークシステム、通信制御方法および記憶媒体 - Google Patents

ネットワークシステム、通信制御方法および記憶媒体 Download PDF

Info

Publication number
WO2015194323A1
WO2015194323A1 PCT/JP2015/064955 JP2015064955W WO2015194323A1 WO 2015194323 A1 WO2015194323 A1 WO 2015194323A1 JP 2015064955 W JP2015064955 W JP 2015064955W WO 2015194323 A1 WO2015194323 A1 WO 2015194323A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication
ecu
unit
reliability
network
Prior art date
Application number
PCT/JP2015/064955
Other languages
English (en)
French (fr)
Inventor
秀一 瀬川
Original Assignee
株式会社リコー
秀一 瀬川
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社リコー, 秀一 瀬川 filed Critical 株式会社リコー
Priority to RU2016148638A priority Critical patent/RU2659489C1/ru
Priority to JP2016529196A priority patent/JP6327344B2/ja
Priority to CN201580031389.9A priority patent/CN106464566B/zh
Priority to EP15809972.1A priority patent/EP3157203B1/en
Publication of WO2015194323A1 publication Critical patent/WO2015194323A1/ja
Priority to US15/380,020 priority patent/US20170099201A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0876—Network utilisation, e.g. volume of load or congestion level
    • H04L43/0894—Packet rate
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/16—Threshold monitoring
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks

Definitions

  • One aspect of the present disclosure relates to a network system.
  • a technology for permitting communication of a reliable communication node by controlling access to the in-vehicle communication network based on authentication is known (see, for example, Patent Document 1).
  • this technology by identifying whether or not the tool connected to the connector for connecting an external device is a genuine product, an illegal act is performed on the in-vehicle device connected to the in-vehicle communication network via the connector. Stop that.
  • one aspect of the present disclosure is intended to make a communication node function according to the reliability of the communication node connected to the in-vehicle communication network.
  • a network system including one or more communication nodes and a gateway.
  • the gateway is configured to monitor a communication parameter in communication with a communication node newly connected to the network system, and based on whether the communication parameter monitored by the monitoring unit satisfies a predetermined communication condition.
  • a communication control unit that determines the reliability of the newly connected communication node and changes the predetermined communication condition according to the reliability.
  • the communication node can function according to the reliability of the communication node connected to the in-vehicle communication network.
  • movement of a vehicle-mounted communication network It is a figure which shows the example of application of a vehicle-mounted communication network. It is a figure which shows the modification of the hardware constitutions of a network controller. It is a functional block diagram which shows the modification of a network controller. It is a figure which shows the modification of an in-vehicle communication network. It is a figure which shows the modification of an in-vehicle communication network.
  • FIG. 1 shows an embodiment of an in-vehicle communication network.
  • the in-vehicle communication network is composed of a single network or an aggregate of multiple networks, and each network is connected to communication nodes such as one or more parts, devices, and electronic control units (ECU). Is done.
  • An external connection port to which a tool such as a vehicle diagnostic device is connected may be connected to the in-vehicle communication network.
  • Each communication node may be replaced at the time of repair, or non-genuine products such as non-genuine products and custom products may be connected to the network. Furthermore, an unspecified tool or measurement device may be connected to the external connection port.
  • an ECU is applied as an example of the communication node.
  • the in-vehicle communication network includes a head unit 100, an ECU 102, an ECU 104, a network controller 106, an ECU 110, an on-board diagnostic (OBD) port 202, an ECU 204, an information device 302, a network unit 304, and a wireless device 400.
  • OBD on-board diagnostic
  • the head unit 100, the ECU 102, the ECU 104, and the network controller 106 are connected by a first communication bus 108, so that CAN (Controller Area Network), Ethernet (registered trademark), a local area network (LAN: Local Area). Configure a first network such as Network).
  • the head unit 100, the OBD port 202, and the ECU 204 constitute a second network such as CAN, Ethernet (registered trademark), or a local area network by being connected by a second communication bus 206.
  • the head unit 100, the information device 302, and the network unit 304 constitute a third network such as CAN, Ethernet (registered trademark), and local area network by being connected by a third communication bus 306.
  • the network controller 106 and the ECU 110 constitute a fourth network such as CAN, Ethernet (registered trademark), or local area network by being connected by the fourth communication bus 112.
  • the head unit 100 has multimedia functions such as navigation, audio, and video, performs wireless communication with the wireless device 400, and reproduces music and moving image data transmitted from the wireless device 400. Further, as described later, the head unit 100 operates based on information input from the network unit 304.
  • the ECUs 102, 104, 110, and 204 mainly perform engine control such as ignition timing, fuel adjustment, throttle opening, valve timing, and idling adjustment.
  • the ECUs 102, 104, 110, and 204 include brake control such as an anti-lock brake system (ABS), traction control, airbags, air conditioners, meters, immobilizers, room lamps, etc. It is also possible to control the electrical components.
  • ABS anti-lock brake system
  • traction control airbags, air conditioners, meters, immobilizers, room lamps, etc. It is also possible to control the electrical components.
  • the network controller 106 determines whether or not to connect the ECU 110 to the first network according to the reliability of the ECU 110, and sets the band to be allocated to the ECU 110 according to the reliability. Then, transmission control such as setting a packet transmitted by the ECU 110 that outputs to the first network is performed. For example, the network controller 106 restricts the bandwidth to be assigned or restricts packets to be transferred to the first network by adjusting communication parameters for the ECU 110.
  • the OBD port 202 is a port for connecting a dedicated terminal or the like when acquiring the content of the fault diagnosis recorded by the OBD.
  • a vehicle mechanic or the like can acquire the fault diagnosis content acquired from the OBD port 202 and analyze the content. For example, when a failure diagnosis is made, the OBD notifies the location and content of the failure by turning on or blinking a lamp or ringing a buzzer sound and records a code corresponding to the content.
  • a radar detector, an external meter, and the like can be connected to the OBD port 202, and water temperature, boost pressure, fuel consumption, and the like during traveling can be measured.
  • the information device 302 stores information acquired by the network unit 304 and outputs it to the head unit 100.
  • the network unit 304 obtains map data from a server (not shown) connected to a network (not shown) connected to the access point 500 by performing wireless communication with the access point 500, Music data can be downloaded. For example, when the head unit 100 functions as navigation, the network unit 304 downloads updated map data, and when the head unit 100 functions as audio, the network unit 304 downloads music and video data. . Further, as will be described later, the network unit 304 performs service communication from a server (not shown) connected to a network (not shown) connected to the access point 500 by performing wireless communication with the access point 500. You can receive the offer.
  • the wireless device 400 includes a wireless device such as a wireless LAN module, and performs wireless communication with the head unit 100.
  • the network controller 106 and the ECU 110 are newly added after the in-vehicle communication network is once configured. That is, when a communication node such as the ECU 110 is newly added to the first network, the network controller 106 is connected to the first communication bus 108, and the ECU 110 to be newly added is connected to the network controller 106.
  • a case where a communication node such as the ECU 110 is newly added to the first network will be described.
  • the present invention can also be applied to a case where a communication node such as an ECU is newly added to the second network and the third network.
  • FIG. 2 shows a first network of the in-vehicle communication network of FIG.
  • the first network is a bus-type network
  • the head unit 100, the plurality of ECUs 102 and 104, and the network controller 106 are connected to the first communication bus 108, and the network controller 106 is connected.
  • ECU 110 is connected.
  • FIG. 3 is a hardware configuration diagram of the ECU 102 according to the present embodiment.
  • the ECU 102 includes a CPU (Central Processing Unit) 1024 that controls the operation of the entire ECU 102 and a ROM (Read Only Memory) that stores a program used to drive the CPU 1024. 1026.
  • the ECU 102 includes a RAM (Random Access Memory) 1028 used as a work area of the CPU 1024, and an address bus and a data bus for electrically connecting the above components as shown in FIG. A bus line 1023 is provided.
  • a bus line 1023 is provided.
  • the ECU 102 includes a communication unit 1030 that transmits transmission data input from the CPU 1024 to the transceiver 1032 to transmit the transmission data to the first communication bus 108 and inputs reception data input from the transceiver 1032 to the CPU 1024.
  • the CPU 1024, ROM 1026, RAM 1028, communication unit 1030, and bus line 1023 can also be configured as the microcontroller 1022.
  • the ECU 102 also includes a transceiver 1032 that transmits transmission data input from the communication unit 1030 to the first communication bus 108 and inputs reception data received from the first communication bus 108 to the communication unit 1030.
  • the hardware configuration of the ECU 102 shown in FIG. 3 can also be applied to the ECU 104, the ECU 110, and the ECU 204.
  • FIG. 4 is a hardware configuration diagram of the network controller 106 according to the present embodiment.
  • the network controller 106 of this embodiment includes a CPU 1064 that controls the operation of the entire network controller 106 and a ROM 1066 that stores a program used to drive the CPU 1064.
  • the network controller 106 includes a RAM 1068 used as a work area of the CPU 1064 and a bus line 1063 such as an address bus and a data bus for electrically connecting the above-described components as shown in FIG. Prepare.
  • the network controller 106 outputs transmission data input from the CPU 1064 to the first transceiver 1072 and the second transceiver 1074, thereby transmitting them to the first communication bus 108 and the fourth communication bus 112, respectively.
  • the CPU 1064, the ROM 1066, the RAM 1068, and the communication unit 1063 may be configured as the microcontroller 1062.
  • the network controller 106 transmits the transmission data input from the communication unit 1070 to the first communication bus 108, and inputs the reception data received from the first communication bus 108 to the communication unit 1070.
  • the transceiver 1072 includes a second transceiver 1074 that transmits transmission data input from the communication unit 1070 to the fourth communication bus 112 and inputs reception data received from the fourth communication bus 112 to the communication unit 1070. .
  • FIG. 5 is a functional block diagram of the network controller 106 and the ECU 110 of the present embodiment. As shown in FIG. 5, the network controller 106 and the ECU 110 are wired to be communicable.
  • the ECU 110 includes a transmission / reception unit 1102, an authentication processing unit 1104, a transmission data creation unit 1106, a storage / reading processing unit 1108, a storage unit 1110, and a communication control unit 1112.
  • Each of these units is a function realized by one of the constituent elements shown in FIG. 3 being operated by a command from the CPU 1024 in accordance with an ECU program developed from the ROM 1026 on the RAM 1028, or is functioned. Means.
  • each functional configuration of the ECU 110 will be described in detail with reference to FIGS. 3 and 5.
  • FIGS. 3 and 5 In the following, in describing each functional component of the ECU 110, a relationship with main components for realizing each functional component of the ECU 110 among the components illustrated in FIG. 3 will also be described. .
  • the transmission / reception unit 1102 of the ECU 110 shown in FIG. 5 is realized by a command from the CPU 1024 shown in FIG. 3 and the communication unit 1030 shown in FIG. 3, and is connected to the network controller via the fourth network.
  • Various data (or information) is transmitted / received to / from 106.
  • the storage / reading processing unit 1108 of the ECU 110 shown in FIG. 5 is realized by an instruction from the CPU 1024 shown in FIG. 3, and stores various data in the storage unit 1110 or stored in the storage unit 1110. Processing to read out various data.
  • the storage unit 1110 stores an authentication key such as a node ID for identifying the ECU 110, a reliability level of the ECU 110, and a password shared with the network controller 106. Note that the node ID may be stored in the storage unit 1110 in advance, or may be input to the storage unit 1110 when the user of the ECU 110 uses the node ID.
  • the node ID of the present embodiment indicates identification information such as language, characters, symbols, or various signs used to uniquely identify the ECU. Further, the node ID may be identification information in which at least two of the language, characters, symbols, and various indicia are combined.
  • the storage unit 1110 of the ECU 110 illustrated in FIG. 5 is realized by the ROM 1026 illustrated in FIG. 3, and stores an authentication key such as a node ID of the ECU 110, a reliability level of the ECU 110, and a password shared with the network controller 106.
  • an authentication key such as a node ID of the ECU 110, a reliability level of the ECU 110, and a password shared with the network controller 106.
  • the authentication processing unit 1104 of the ECU 110 shown in FIG. 5 is realized by a command from the CPU 1024 shown in FIG. 3, and requests the network controller 106 for authentication.
  • the authentication processing unit 1104 causes the storage / reading processing unit 1108 to read the node ID and the reliability level stored in the storage unit 1110, create an authentication request attached with the node ID and the reliability level, and transmit / receive From the unit 1102. Further, when a challenge transmitted from the network controller 106 is received by the transmission / reception unit 1102, the authentication processing unit 1104 acquires a nonce (random number) attached to the challenge, and stores the storage unit in the storage / reading processing unit 1108. The authentication key stored in 1110 is read.
  • the authentication processing unit 1104 performs a predetermined calculation by combining the acquired nonce and the authentication key, and transmits the calculation result from the transmission / reception unit 1102 as a response. Further, when an authentication response transmitted from the network controller 106 is received by the transmission / reception unit 1102, the authentication processing unit 1104 is authenticated by the communication control unit 1112 if the authentication response indicates that communication is permitted. Notify that. Further, for example, the authentication processing unit 1104 can perform authentication with the network controller 106 with each other by EAP-TLS, and can perform authentication with PEAP. The network controller 106 can also function as a RADIUS server.
  • the transmission data creation unit 1106 of the ECU 110 shown in FIG. 5 is realized by a command from the CPU 1024 shown in FIG. 3, creates various data (or information) to be transmitted to other communication nodes, and transmits and receives 1102 to transmit.
  • the communication control unit 1112 of the ECU 110 shown in FIG. 5 is realized by a command from the CPU 1024 shown in FIG. 3 and the communication unit 1030 shown in FIG.
  • the communication control unit 1112 controls transmission of the transmission data created by the transmission data creation unit 1106.
  • the network controller 106 includes a first transmission / reception unit 1076, an authentication processing unit 1078, a level setting unit 1080, a monitoring unit 1082, a storage / reading processing unit 1084, a storage unit 1086, a communication control unit 1088, a bandwidth measuring unit 1090, and a second Transmission / reception unit 1092.
  • Each of these units is a function realized by any one of the constituent elements shown in FIG. 4 being operated by a command from the CPU 1062 according to the network controller program developed from the ROM 1066 on the RAM 1068, or a function Means.
  • each functional configuration of the network controller 106 will be described in detail with reference to FIGS. 4 and 5.
  • the main components for realizing each functional component of the network controller 106 among the components illustrated in FIG. explain the relationship.
  • the first transmission / reception unit 1076 of the network controller 106 shown in FIG. 5 is realized by a command from the CPU 1064 shown in FIG. 4 and the communication unit 1070 shown in FIG. Through this, various data (or information) is transmitted / received to / from other ECUs (ECUs 102 and 104) or the head unit 100.
  • the second transmission / reception unit 1092 of the network controller 106 shown in FIG. 5 is realized by a command from the CPU 1064 shown in FIG. 4 and the communication unit 1070 shown in FIG. Via the ECU 110, various data (or information) is transmitted and received.
  • the level setting unit 1080 of the network controller 106 shown in FIG. 5 is realized by a command from the CPU 1064 shown in FIG. 4, and sets the level of reliability of the ECU 110.
  • the level of reliability is classified into a genuine product level, a quasi-genuine product level, a market product level, a quasi-market product level, and an uncertified level.
  • the genuine level ECU is a genuine product sold by a manufacturer that manufactures and sells a product such as a vehicle, and is certified by the manufacturer that manufactures and sells the product, and has the highest reliability.
  • the quasi-regular product level ECU has a special standard and performance that a manufacturer that manufactures and sells products such as vehicles instructs a component manufacturer such as a component manufacturer to manufacture, and is equivalent to a regular product level ECU. Having the above performance, it is the second most reliable next to the regular level ECU.
  • the market-level ECU is a non-genuine product that is a general-purpose part made according to a general standard, has the same performance as the regular-level ECU, and is compatible with the regular-level ECU. Reliable next to regular-level ECUs.
  • the semi-market level ECU is a general-purpose part made according to a general standard, and has the same performance as the regular level ECU, but is not guaranteed to be compatible with the regular level ECU. .
  • the semi-market level ECU is the second most reliable after the market level ECU.
  • the non-certified level ECU is a general-purpose part manufactured according to a general standard, and is not guaranteed to be compatible with a regular level ECU.
  • An unauthenticated ECU is the least reliable.
  • the level of reliability is an example, and it can be classified into 2-4 types, or 6 or more types. The contents of each classification can also be set as appropriate.
  • the storage / reading processing unit 1084 of the network controller 106 shown in FIG. 5 is realized by an instruction from the CPU 1064 shown in FIG. 4, stores various data in the storage unit 1086, and is stored in the storage unit 1086. To read various data.
  • the storage unit 1086 of the network controller 106 shown in FIG. 5 is realized by the ROM 1066 shown in FIG. 4, and is a node that describes a node ID for identifying an ECU that can communicate when authenticating the ECU. An ID table and an authentication key such as a password shared with ECU 110 are stored. Further, the storage unit 1086 stores a reliability level communication control content correspondence table. The reliability level communication control content correspondence table will be described later.
  • FIG. 6 shows a reliability level communication control correspondence table in which reliability levels are associated with communication control contents.
  • a communication band that can be set as a band to be used (usage band) is controlled by the transmission side, and the function can be fully utilized.
  • the use band is controlled by the transmission side, but the function is limited.
  • the network bandwidth is controlled by the network controller 106, and the function is limited.
  • ECUs with a reliability level of near-market level are limited to the band that can be used and the functions that can guarantee the safety, and the surrounding nodes are informed of the dangerous state, and the dangerous nodes are made safe. Move to a state where it can be disconnected.
  • the use band and the function are strongly limited to a level at which safety can be guaranteed.
  • FIG. 6 shows an example, and the content of communication control may be set differently from FIG.
  • FIG. 7 shows an example of the reliability level communication control content correspondence table.
  • the reliability level communication control content correspondence table associates each reliability level by associating the specific content of communication control.
  • the reliability level, the communication band, the communication target, the use function, the violation standard, and the action at the time of the violation are associated with each other.
  • the communication band is a band used for communication between the network controller 106 and the ECU 110
  • the communication target is a partner with which the ECU 100 can communicate.
  • the use function is a function that can be used by the ECU 110, and is information that can be referred to or acquired by the ECU 110.
  • the violation criterion is a criterion for determining the behavior of the ECU, and the action at the time of violation is a process performed on the ECU determined to correspond to the violation criterion.
  • the ECU whose reliability level is a genuine product level is not limited in terms of communication band, communication target, and usage function, and is not set for violation standards and actions for violations.
  • An ECU whose reliability level is a semi-regular product level can be controlled in a narrower range than an ECU whose reliability level is a normal product level, such as 1 Mbps, and the communication target can communicate with other than sensitive communication nodes.
  • Functions are limited to functions published by the vendor supplying the ECU.
  • the violation standard is when trying to access in a band exceeding 1 Mbps or when trying to access a function other than the function disclosed by the vendor.
  • the level of reliability is, for example, the reliability of the market level. The level is changed to a lower level.
  • An ECU whose reliability level is a marketed product level can be controlled in a narrower range than an ECU whose reliability level is a semi-regular product level such as 100 kbps, and the communication target is a communication node that can be accessed by an ECU at the marketed product level And the use function is limited to the function disclosed by the vendor supplying the ECU.
  • the violation criteria are when trying to access a communication node other than the communication node designated as an accessible node, or when trying to access a function other than the function disclosed by the vendor. For example, the level is changed to a low reliability level such as a quasi-market product level.
  • An ECU whose reliability level is a semi-market product level can be controlled in a narrower range than an ECU whose reliability level is a market level such as 10 kbps, and the communication target is a node that can be accessed by an ECU at the market level. It is limited to the designated node, and the function to be used is limited to the function disclosed by the vendor supplying the ECU. No violation criteria and no action for violations are set. This is because an ECU whose reliability level is a quasi-market level is strongly limited in communication band and function to a level at which safety can be guaranteed.
  • the ECU whose reliability level is the non-certified product level can be controlled in a narrower range than the ECU whose reliability level is 10 kbps, such as 10 kbps, the communication target is limited to the head unit 100, and the usage function is Limited to obtaining speed information. No violation criteria and no action for violations are set. This is because an ECU whose reliability level is a non-certified product level is strongly limited in communication band and function to a level at which safety can be guaranteed.
  • FIG. 7 shows an example, and the content of communication control may be set differently from FIG.
  • the authentication processing unit 1078 of the network controller 106 shown in FIG. 5 is realized by an instruction from the CPU 1064 shown in FIG.
  • the authentication processing unit 1078 acquires the node ID and the reliability level attached to the authentication request.
  • the authentication processing unit 1078 causes the storage / reading processing unit 1084 to read the node ID table stored in the storage unit 1086, and determines whether the node ID attached to the authentication request is described. When the node ID attached to the authentication request is described in the node ID table, the authentication processing unit 1078 generates a Nonce (random number) and transmits it from the second transmission / reception unit 1092.
  • the authentication processing unit 1078 performs a predetermined calculation in the same manner as the ECU 110 by combining the generated nonce and the authentication key, and a result calculated by the ECU 110 is received from the ECU 110 by the second transmitting / receiving unit 1092
  • the authentication processing is performed by collating the calculation result received by the second transmission / reception unit 1092 with the calculation result by the authentication processing unit 1078.
  • the authentication processing unit 1078 creates an authentication response accompanied by information indicating that the authentication was successful if the result of matching is the same, and authentication accompanied by information indicating that the authentication could not be performed if the result of the matching was not found
  • a response is created and transmitted from the second transmission / reception unit 1092.
  • the authentication processing unit 1078 notifies the communication control unit 1088 that the authentication has been successful when they match as a result of the collation.
  • the authentication processing unit 1078 may perform authentication with the ECU 110 by using EAP-TLS (Extensible Authentication Authentication Protocol Transport Layer Security) or authentication by PEAP (protected EAP). it can.
  • EAP-TLS Extensible Authentication Authentication Protocol Transport Layer Security
  • PEAP protected EAP
  • the network controller 106 can also function as a RADIUS server.
  • the monitoring unit 1082 of the network controller 106 shown in FIG. 5 is realized by the command from the CPU 1064 shown in FIG. 4 and the communication unit 1070 shown in FIG. 4, and the newly connected ECU 110 transmits the packet.
  • the behavior of the ECU 110 such as the bandwidth to be used and the access destination of the ECU 110 is monitored.
  • the communication control unit 1088 of the network controller 106 shown in FIG. 5 is realized by the command from the CPU 1064 shown in FIG. 4 and the communication unit 1070 shown in FIG.
  • the communication control unit 1088 causes the storage / reading processing unit 1084 to read the reliability level communication control content correspondence table stored in the storage unit 1086 and set the level.
  • ECU 110 is controlled based on a communication band, a communication target, and a use function associated with the reliability level determined by unit 1080.
  • the communication control unit 1088 determines whether or not the violation criterion is met according to the behavior of the ECU 110 monitored by the monitoring unit 1082 during communication with the ECU 110, and in the case of the violation action Accordingly, the reliability level is determined to be changed, and the reliability level set in the level setting unit 1080 is updated.
  • a bandwidth measuring unit 1090 of the network controller 106 shown in FIG. 5 is realized by a command from the CPU 1064 shown in FIG. 4 and a communication unit 1070 shown in FIG. 4, and between the network controller 106 and the ECU 110. Measure the bandwidth used for communication.
  • FIG. 8 shows an embodiment of the operation of the in-vehicle communication network.
  • an authentication key such as a password is preset in the ECU 110 and the network controller 106, and the ECU 110 and the network controller 106 have an authentication key according to a predetermined algorithm, and Calculate by combining Nonce.
  • step S802 the authentication processing unit 1104 of the ECU 110 creates an authentication request accompanied by the node ID and the reliability level.
  • step S804 the transmission / reception unit 1102 of the ECU 110 transmits the authentication request created by the authentication processing unit 1104 to the network controller 106.
  • step S806 when the authentication request is received by the second transmission / reception unit 1092 of the network controller 106, the authentication processing unit 1078 acquires the authentication request.
  • the authentication processing unit 1078 checks the node ID attached to the authentication request and the reliability level.
  • step S808 the authentication processing unit 1078 of the network controller 106 generates a nonce after confirming that communication is possible between the own network controller 106 and the ECU 110 based on the node ID.
  • the authentication processing unit 1075 can also inquire the ECU 110 for the node ID again. If it is not possible to confirm that communication is possible even after inquiring a predetermined number of times, the node ID as the account can be account-locked.
  • step S810 the second transmission / reception unit 1092 of the network controller 106 transmits a nonce (challenge) generated by the authentication processing unit 1078 to the ECU 110.
  • step S812 when the nonce is received by the transmission / reception unit 1102 of the ECU 110, the authentication processing unit 1104 calculates by combining the authentication key and the nonce received by the transmission / reception unit 1102.
  • step S814 the authentication processing unit 1078 of the network controller 106 calculates by combining the authentication key and the generated nonce.
  • step S816 the transmission / reception unit 1102 of the ECU 110 transmits the result calculated by the authentication processing unit 1104 to the network controller 106 as a response.
  • step S818 when the response is received by the second transmission / reception unit 1092 of the network controller 106, the authentication processing unit 1078 collates the calculation result in step S814 with the calculation result transmitted from the ECU 110 in step S816.
  • the ECU 110 is authenticated.
  • step S820 the authentication processing unit 1078 of the network controller 106 transmits the authentication result in step S818 from the second transmission / reception unit 1092 to the ECU 110.
  • the authentication processing unit 1078 sets the reliability level of the ECU 110 in the level setting unit 1080 and notifies the communication control unit 1088 that the authentication is successful.
  • the network controller 106 can determine whether or not communication with the newly connected ECU 110 is possible, and can set the reliability level of the ECU 110 when communication is possible.
  • the sequence chart shown in FIG. 8 is an example, and processing can be performed in an order different from the order of the sequence chart. For example, steps S814 and S816 may be reversed.
  • FIG. 9 shows an embodiment of the operation of the in-vehicle communication network.
  • FIG. 9 shows operations after the ECU 110 is authenticated by the network controller 106.
  • step S902 the authentication processing unit 1078 of the network controller 106 authenticates the ECU 110.
  • the authentication processing unit 1078 succeeds in the authentication of the ECU 110.
  • step S904 when the authentication of the ECU 110 is successful, the authentication processing unit 1078 of the network controller 106 sets the reliability level of the ECU 110 in the level setting unit 1080 and notifies the communication control unit 1088 that the authentication of the ECU 110 is successful. To do.
  • step S906 the communication control unit 1088 of the network controller 106 notifies the second transmission / reception unit 1076 that the entity has been added to the head unit 100, the ECU 102, and the ECU 104 that constitute the first network.
  • step S908 the transmission data creation unit 1106 of the ECU 110 creates a packet accompanied by the transmission data, and the communication control unit 1112 transmits the packet created by the transmission data creation unit 1106 from the transmission / reception unit 1102.
  • step S910 the packet transmitted from the ECU 110 is received by the second transmission / reception unit 1092 of the network controller 106 and input to the communication control unit 1088.
  • the communication control unit 1088 causes the storage / read processing unit 1084 to acquire the reliability level communication control content correspondence table stored in the storage unit 1086 and transmit the packet.
  • the communication control unit 1088 refers to the communication band associated with the reliability level of the ECU 110 in the reliability level communication control content correspondence table, the communication target, and the function to be used, and whether or not the packet transmitted from the ECU 110 is satisfied. Determine.
  • step S912 when it is determined in the reliability level communication control content correspondence table that the packet transmitted from the ECU 110 satisfies the communication band, the communication target, and the function to be used associated with the reliability level of the ECU 110, The communication control unit 1088 transmits the packet from the first transmission / reception unit 1076 to the first network.
  • step S914 the transmission data creation unit 1106 of the ECU 110 creates a packet accompanied by the transmission data, and the communication control unit 1112 transmits the packet created by the transmission data creation unit 1106 from the transmission / reception unit 1102.
  • step S916 the packet transmitted from the ECU 110 is received by the second transmission / reception unit 1092 of the network controller 106 and input to the communication control unit 1088.
  • the communication control unit 1088 causes the storage / read processing unit 1084 to acquire the reliability level communication control content correspondence table stored in the storage unit 1086 and transmit the packet.
  • the communication control unit 1088 refers to the communication band associated with the reliability level of the ECU 110 in the reliability level communication control content correspondence table, the communication target, and the function to be used, and whether or not the packet transmitted from the ECU 110 is satisfied. Determine.
  • step S918 when it is determined in the reliability level communication control content correspondence table that the packet transmitted from the ECU 110 does not satisfy the communication band associated with the reliability level of the ECU 110, the communication target, and the function to be used.
  • the communication control unit 1088 rejects the packet transfer. Further, the communication control unit 1088 determines whether or not a violation criterion associated with the reliability level of the ECU 110 in the reliability level communication control content correspondence table is satisfied, and changes the reliability level of the ECU 110 if applicable. .
  • the communication The control unit 1088 can also limit the function to be used by a packet transmitted from the ECU 110 after the determination. Moreover, the communication control part 1088 can also restrict
  • the communication control unit 1088 can also transmit the packet with a delay. Further, the communication control unit 1088 can reduce the frequency of transferring a packet from the ECU 110. Further, the communication control unit 1088 can invalidate the packet by transferring a part of the packet from the ECU 110 and destroying the remaining packet.
  • the network controller 106 can determine whether or not to transfer the packet transmitted from the ECU 110 to the first network according to the reliability level of the newly connected ECU 110. Therefore, even after the network controller 106 authenticates the ECU 110, even if the packet transmitted from the ECU 110 is transferred to the first network, a security-safe packet can be transferred.
  • FIG. 10 shows an embodiment of the operation of the in-vehicle communication network.
  • FIG. 10 shows a process in which the network controller 106 determines a packet transmitted from the ECU 110. That is, the processing of steps S910, S916, and S918 in FIG. 9 is shown.
  • step S1002 the monitoring unit 1082 of the network controller 106 analyzes the packet transmitted from the ECU 110. Specifically, the monitoring unit 1082 analyzes a band in which the ECU 110 transmits a packet, a function used by the packet, and the like.
  • step S1004 the communication control unit 1088 of the network controller 106 causes the storage / read processing unit 1084 to read the reliability level communication control content correspondence table stored in the storage unit 1086. Further, the communication control unit 1088 determines whether or not the use function of the packet analyzed by the monitoring unit 1082 matches the use function of the reliability level communication control content correspondence table.
  • step S1006 when the packet usage function analyzed by the monitoring unit 1082 matches the usage function of the reliability level communication control content correspondence table, the communication control unit 1088 determines that the communication bandwidth of the packet analyzed by the monitoring unit 1082 is It is determined whether or not the communication band of the reliability level communication control content correspondence table is satisfied.
  • step S1008 when it is determined that the communication band of the packet analyzed by the monitoring unit 1082 satisfies the communication band of the reliability level communication control content correspondence table, the communication control unit 1088 transmits the packet from the first transmission / reception unit 1076. Send.
  • step S1010 the bandwidth measuring unit 1090 of the network controller 106 measures and updates the bandwidth used for communication between the network controller 106 and the ECU 110.
  • the updated bandwidth is used when determining the communication bandwidth in step S1006 for a packet transmitted thereafter.
  • step S1012 if the packet usage function analyzed by the monitoring unit 1082 in step S1004 does not match the usage function of the reliability level communication control content correspondence table, or the packet communication bandwidth analyzed by the monitoring unit 1082 in step S1006 Does not satisfy the communication band of the reliability level communication control content correspondence table, the communication control unit 1088 does not transmit the packet.
  • step S1014 the communication control unit 1088 of the network controller 106 determines whether or not the violation criterion is met according to the behavior of the ECU 110 monitored by the monitoring unit 1082, and if so, the action at the time of violation is taken. Therefore, it is determined that the reliability level is changed, and the reliability level set in the level setting unit 1080 is updated.
  • the network controller 106 can determine whether or not the packet transmitted from the newly connected ECU 110 is safe, and can transfer the packet determined to be safe to the first network.
  • bus network in which the head unit 100, the plurality of ECUs 102 and 104, and the network controller 106 are connected to the first bus 108 and the ECU 110 is connected to the network controller 106 has been described. Not limited to bus-type networks.
  • FIG. 11 shows an example in which the first network is applied to a star network.
  • the head unit 100, the ECU 102, the ECU 104, and the ECU 110 are radially connected to the network controller 114 with the network controller 114 serving as a hub.
  • ECU 110 is a newly connected communication node.
  • the newly connected ECU 110 is connected to the network controller 114 that already configures the first network.
  • the present invention can also be applied to a network other than the first network, for example, the second to fourth networks.
  • the network controller 114 and the head unit 100 are connected by a fifth communication bus 116, the network controller 114 and the ECU 102 are connected by a sixth communication bus 118, the network controller 114 and the ECU 104 are connected by a seventh communication bus 120, Network controller 114 and ECU 110 are connected by an eighth communication bus 122.
  • the configuration described above can be applied to ECU 102, ECU 104, and ECU 110, but network controller 114 is different from the configuration of network controller 106 because four nodes are connected.
  • FIG. 12 is a hardware configuration diagram of the network controller 114.
  • the network controller 114 includes a CPU 1144 that controls the operation of the entire network controller 114 and a ROM 1146 that stores a program used to drive the CPU 1144.
  • the network controller 114 includes a RAM 1148 used as a work area for the CPU 1144 and a bus line 1143 such as an address bus and a data bus for electrically connecting the above components as shown in FIG. Prepare.
  • the network controller 114 outputs transmission data input from the CPU 1144 to the first transceiver 1152, the second transceiver 1154, the third transceiver 1156, and the fourth transceiver 1158, respectively, so that the fifth communication is performed. Transmit to bus 116, sixth communication bus 118, seventh communication bus 120, and eighth communication bus 122, first transceiver 1152, second transceiver 1154, third transceiver 1156, and fourth A communication unit 1150 is provided for inputting received data input from the transceiver 1158 to the CPU 1144.
  • the CPU 1144, the ROM 1146, the RAM 1148, and the communication unit 1150 can be configured as the microcontroller 1142.
  • the network controller 114 transmits the transmission data input from the communication unit 1150 to the fifth communication bus 116, and inputs the reception data received from the fifth communication bus 116 to the communication unit 1150.
  • a transceiver 1152 is provided.
  • the network controller 114 transmits the transmission data input from the communication unit 1150 to the sixth communication bus 118 and the second transceiver 1154 that inputs the reception data received from the sixth communication bus 118 to the communication unit 1150. Is provided.
  • the network controller 114 transmits the transmission data input from the communication unit 1150 to the seventh communication bus 120 and inputs the reception data received from the seventh communication bus 120 to the communication unit 1150.
  • a transceiver 1156 is provided.
  • the network controller 114 transmits the transmission data input from the communication unit 1150 to the eighth communication bus 122 and the fourth transceiver 1158 that inputs the reception data received from the eighth communication bus 122 to the communication unit 1150. Is provided.
  • FIG. 13 is a functional block diagram of the network controller 114.
  • the network controller 114 includes a first transmission / reception unit 1160, a second transmission / reception unit 1162, a third transmission / reception unit 1164, a fourth transmission / reception unit 1166, an authentication processing unit 1168, a level setting unit 1170, a monitoring unit 1172, storage / reading A processing unit 1174, a storage unit 1176, a communication control unit 1178, and a band measurement unit 1180 are included.
  • Each of these units is a function realized by any one of the constituent elements shown in FIG. 12 being operated by an instruction from the CPU 1144 according to the network controller program expanded from the ROM 1146 to the RAM 1148, or a function Means.
  • each functional configuration of the network controller 114 will be described in detail with reference to FIGS. 12 and 13.
  • the main components for realizing the functional components of the network controller 114 are described. Explain the relationship.
  • the first transmission / reception unit 1160 of the network controller 114 shown in FIG. 13 is realized by a command from the CPU 1144 shown in FIG. 12 and the communication unit 1150 shown in FIG.
  • Various data (or information) is exchanged with the head unit 100 via 116.
  • the second transmission / reception unit 1162 of the network controller 114 shown in FIG. 13 is realized by a command from the CPU 1144 shown in FIG. 12 and the communication unit 1150 shown in FIG.
  • Various data (or information) is transmitted to and received from the ECU 102 via 118.
  • the third transmission / reception unit 1164 of the network controller 114 shown in FIG. 13 is realized by a command from the CPU 1144 shown in FIG. 12 and the communication unit 1150 shown in FIG.
  • Various data (or information) is transmitted to and received from the ECU 104 via 120.
  • the fourth transmission / reception unit 1166 of the network controller 114 shown in FIG. 13 is realized by an instruction from the CPU 1144 shown in FIG. 12 and the communication unit 1150 shown in FIG. Various data (or information) is transmitted / received to / from ECU 110 via 122.
  • the level setting unit 1170 of the network controller 114 shown in FIG. 13 is realized by a command from the CPU 1144 shown in FIG. 12, and sets the level of reliability of the ECU 110.
  • the level of reliability is classified into a genuine product level, a quasi-genuine product level, a market product level, a quasi-market product level, and an uncertified level. As the reliability level, those described above can be applied.
  • the storage / reading processing unit 1174 of the network controller 114 shown in FIG. 13 is realized by an instruction from the CPU 1144 shown in FIG. 12, stores various data in the storage unit 1176, and is stored in the storage unit 1176. To read various data.
  • the storage unit 1176 stores a node ID table in which node IDs for identifying ECUs that can communicate when authenticating the ECU are described. Further, the storage unit 1176 stores a reliability level communication control content correspondence table. The above-described reliability level communication control content correspondence table can be applied.
  • the storage unit 1176 of the network controller 114 shown in FIG. 13 is realized by the ROM 1146 shown in FIG. 12, and is a node that describes a node ID for identifying an ECU that can communicate when authenticating the ECU. An ID table and an authentication key such as a password shared with ECU 110 are stored. Further, the storage unit 1076 stores a reliability level communication control content correspondence table. The above-described reliability level communication control content correspondence table can be applied.
  • the authentication processing unit 1168 of the network controller 114 shown in FIG. 13 is realized by an instruction from the CPU 1144 shown in FIG.
  • the authentication processing unit 1168 acquires a node ID and a reliability level attached to the authentication request.
  • the authentication processing unit 1168 causes the storage / reading processing unit 1174 to read the node ID table stored in the storage unit 1176, and determines whether or not the node ID attached to the authentication request is described.
  • the authentication processing unit 1168 generates a Nonce (random number) and transmits it from the fourth transmission / reception unit 1166.
  • the authentication processing unit 1168 performs a predetermined calculation in the same manner as the ECU 110 by combining the generated nonce and the authentication key, and a result calculated by the ECU 110 is received from the ECU 110 by the fourth transmission / reception unit 1166
  • the authentication processing is performed by collating the calculation result received by the fourth transmission / reception unit 1166 with the calculation result by the authentication processing unit 1168.
  • the authentication processing unit 1168 creates an authentication response accompanied by information indicating that the authentication is successful if they match, and if the result of the matching does not match, the authentication processing unit 1168 adds information indicating that the authentication cannot be performed.
  • a response is created and transmitted from the fourth transmission / reception unit 1166.
  • the authentication processing unit 1168 notifies the communication control unit 1178 that the authentication has been successful. Further, for example, the authentication processing unit 1168 can authenticate with the ECU 110 by using EAP-TLS and can authenticate by using PEAP.
  • the network controller 106 can also function as a RADIUS server.
  • the monitoring unit 1172 of the network controller 114 shown in FIG. 13 is realized by the command from the CPU 1144 shown in FIG. 12, the communication unit 1150 shown in FIG. 12, and the newly connected ECU 110 transmits the packet.
  • the behavior of the ECU 110 such as the bandwidth to be used and the access destination of the ECU 110 is monitored.
  • the communication control unit 1178 of the network controller 114 shown in FIG. 13 is realized by a command from the CPU 1144 shown in FIG. 12 and the communication unit 1150 shown in FIG.
  • the communication control unit 1178 causes the storage / reading processing unit 1174 to read the reliability level communication control content correspondence table stored in the storage unit 1176 and set the level.
  • ECU 110 is controlled based on a communication band, a communication target, and a use function associated with the reliability level determined by unit 1170.
  • the communication control unit 1178 determines whether or not the violation criterion is met according to the behavior of the ECU 110 monitored by the monitoring unit 1172 during communication with the ECU 110, and in the case of the violation action Accordingly, the reliability level is determined to be changed, and the reliability level set in the level setting unit 1170 is updated.
  • a bandwidth measuring unit 1180 of the network controller 114 shown in FIG. 13 is realized by a command from the CPU 1144 shown in FIG. 12 and a communication unit 1150 shown in FIG. 12, and between the network controller 114 and the ECU 110. Measure the bandwidth used for communication.
  • the in-vehicle communication network can be applied not only to a bus type network but also to a star type network.
  • the head unit 100 and the ECU 102 may constitute a first subnetwork
  • the ECU 104 and the ECU 110 may constitute a second subnetwork.
  • the network controller 114 performs the processing described above for communication such as communication between the communication nodes belonging to different sub-networks, for example, communication between the head unit 100 and the ECU 104 or ECU 110, or communication between the ECU 102 and the ECU 104 or ECU 110. It can also be done.
  • the functions of ECUs and tools participating in the in-vehicle communication network can be limited according to their reliability levels.
  • FIG. 14 shows a modification of the in-vehicle communication network.
  • One variation of the in-vehicle communication network connects the tool to the in-vehicle communication network.
  • the in-vehicle communication network includes an ECU 502, an ECU 504, an ECU 506, an ECU 508, and a network controller 510.
  • ECU 502, ECU 504, ECU 506, ECU 508, and network controller 510 constitute a fifth network such as CAN, Ethernet (registered trademark), or local area network by being connected by a ninth communication bus 550.
  • ECU502, ECU504, ECU506, and ECU508 can apply ECU shown in FIG.3, FIG.5,
  • the transceiver 1032 is connected to the 9th communication bus
  • FIG. 4 and 5 can be applied to the network controller 510.
  • the first transceiver 1072 is connected to the ninth communication bus 550
  • the second transceiver 1074 is connected to the tenth communication bus 560.
  • the network controller 510 can also function as a gateway, a data link connector (DLC: “Data Link Connector”), and a connection port for diagnosis.
  • DLC Data Link Connector
  • a network communication node 600 is newly connected to the network controller 510 that also functions as a data link connector.
  • ECU 110 shown in FIGS. 3 and 5 can be applied to the configuration of network communication node 600.
  • a diagnostic tool such as an engine adjustment debugging tool or a development debugging tool can be connected to the network controller 510 that also functions as a diagnostic connection port.
  • the network controller 510 can be adjusted by setting the access target, the use function, etc. according to the reliability level of the diagnostic tool.
  • a battery as a supply part can be connected to the network controller 510.
  • the network controller 510 can provide a finer management service for the genuine battery.
  • the function of the network controller 106 can be mounted on the network unit 304 of FIG.
  • the network unit 304 can communicate with a server (not shown) via an access point by wireless communication such as WiFi (Wi-Fi: Wireless Fidelity), Bluetooth (registered trademark), and mobile communication.
  • the function of the controller 106 can change a service based on information obtained by wireless communication depending on whether the driver is a vehicle owner or a non-owner. Further, the function of the network controller 106 can adjust the communication band with the access point 500 and the priority of information input to the information device 302 based on information obtained by wireless communication.
  • the access level to ECU etc. can also be changed based on the information obtained by radio
  • OEM original equipment manufacturer
  • FIG. 15 shows a third modification of the in-vehicle communication network.
  • the in-vehicle communication network includes a head unit 100, a network controller 106, an ECU 110, and a network unit 304.
  • the head unit 100, the network controller 106, the ECU 110, and the network unit 304 are those described above (FIGS. 3 to 5).
  • the network controller 106 causes the network unit 304 to access the cloud server 700 that provides the authentication service via the head unit 100, and the authentication result from the cloud server 700 is obtained.
  • the network controller 106 causes the network unit 304 to access the cloud server 700 that provides the authentication service via the head unit 100, and the authentication result from the cloud server 700 is obtained.
  • the network controller 106 transmits an authentication request transmitted from the ECU 110 to the network unit 304 via the head unit 100.
  • the network unit 304 redirects the authentication request transmitted from the network controller 106 by wireless transmission to the cloud server 700 that provides the authentication service via the access point 500.
  • the network unit 304 accesses the cloud server 700 that provides an authentication service via the access point 500 by wireless communication such as WiFi, Bluetooth (registered trademark), and mobile communication.
  • the network unit 304 authenticates the ECU 110 based on a response from the cloud server 700 that provides the authentication service.
  • the network unit 304 can also cache information processed by the cloud server 700 that provides the authentication service. As a result, the performance of the network unit 304 can be improved.
  • security since it is assumed that the latest information is stored in the cloud server 700, and authentication processing is performed based on the latest information, security can be further improved.
  • the in-vehicle network is an example of a network system
  • the ECU is an example of a communication node
  • the network controller is an example of a gateway.
  • the communication band, the communication target, and the use function are examples of communication parameters
  • the violation standard is an example of communication conditions.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Environmental & Geological Engineering (AREA)
  • Health & Medical Sciences (AREA)
  • Computing Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Small-Scale Networks (AREA)

Abstract

　１以上の通信ノード、およびゲートウェイを含むネットワークシステムであって、前記ゲートウェイは、前記ネットワークシステムに新たに接続される通信ノードとの通信における通信パラメータを監視する監視部と、前記監視部によって監視される通信パラメータが所定の通信条件を満たすか否かに基づいて前記新たに接続される通信ノードの信頼性を判断し、該信頼性に応じて前記所定の通信条件を変更する通信制御部とを有する。

Description

ネットワークシステム、通信制御方法および記憶媒体
　本開示の一側面は、ネットワークシステムに関する。
　車載通信ネットワークには、様々な通信ノードが参加することが想定され、その中には、通信ノードのプログラムの不正な書き換えなどの不正行為が行われた信用できない通信ノードが含まれる可能性がある。車載通信ネットワークに、信用できない通信ノードの接続が許可されることによって、周辺デバイスの損傷、通信帯域が食いつぶされるなどの問題が発生するおそれがある。
　認証に基づいて車載通信ネットワークへのアクセスを制御することによって、信用できる通信ノードの通信を許可する技術が知られている（例えば、特許文献１参照）。この技術では、外部装置接続用のコネクタに接続されたツールが正規品であるか否かを識別することで、該コネクタを介して、車載通信ネットワークに接続された車載装置に対する不正行為が行われることを阻止する。
特開２０１３－１３５３１１号公報
　しかし、従来の車載通信ネットワークへのアクセス制御方式では、証明書やパスワードによって認証を行った通信ノードの接続の可否を制御している。このため、認証できない通信ノードについては、正常に動作することが見込まれるものでも一律に接続が拒否されるため、機能させることができない。
　仮に、正規品でないために、認証できない通信ノードの接続を許可するようにした場合、車載通信ネットワークへの悪影響が懸念される。
　そこで、本開示の一側面は、車載通信ネットワークに接続する通信ノードの信頼性に応じて、その通信ノードを機能させることを目的とする。
　本開示の一側面によれば、１以上の通信ノード、およびゲートウェイを含むネットワークシステムが提供される。前記ゲートウェイは、前記ネットワークシステムに新たに接続される通信ノードとの通信における通信パラメータを監視する監視部と、前記監視部によって監視される通信パラメータが所定の通信条件を満たすか否かに基づいて前記新たに接続される通信ノードの信頼性を判断し、該信頼性に応じて前記所定の通信条件を変更する通信制御部とを有する。
　本開示の一側面によれば、車載通信ネットワークに接続する通信ノードの信頼性に応じて、その通信ノードを機能させることができる。
車載通信ネットワークの一実施例を示す図である。 図１に示す車載通信ネットワークの一部分を示す図である。 ＥＣＵのハードウェア構成の一実施例を示す図である。 ネットワークコントローラのハードウェア構成の一実施例を示す図である。 ＥＣＵ、およびネットワークコントローラの一実施例を示す機能ブロック図である。 信頼性レベル通信制御対応テーブルの一例を示す図である。 信頼性レベル通信制御内容対応テーブルの一例を示す図である。 車載通信ネットワークの動作の一実施例を示すシーケンスチャートである。 車載通信ネットワークの動作の一実施例を示すシーケンスチャートである。 車載通信ネットワークの動作の一実施例を示すフローチャートである。 車載通信ネットワークの適用例を示す図である。 ネットワークコントローラのハードウェア構成の一変形例を示す図である。 ネットワークコントローラの一変形例を示す機能ブロック図である。 車載通信ネットワークの一変形例を示す図である。 車載通信ネットワークの一変形例を示す図である。
　次に、本発明を実施するための形態を、以下の実施例に基づき図面を参照しつつ説明する。以下で説明する実施例は一例に過ぎず、本発明が適用される実施の形態は、以下の実施例に限られない。なお、実施例を説明するための全図において、同一機能を有するものは同一符号を用い、繰り返しの説明は省略する。
　＜実施例＞
　＜車載通信ネットワーク＞
　図１は、車載通信ネットワークの一実施例を示す。
　車載通信ネットワークは１つのネットワークまたは複数のネットワークが結合された集合体によって構成され、各ネットワークには、１または複数の部品、デバイス、電子制御ユニット(ECU: Electronic Control Unit)などの通信ノードが接続される。車載通信ネットワークには、車両診断用装置などのツールが接続される外部接続ポートなども接続されることがある。
　各通信ノードは修理の際に置き換えられたり、ネットワークに正規品ではない社外品、カスタム品などの非正規品が接続される可能性がある。さらに、外部接続ポートに不特定のツールや計測装置などが接続される可能性がある。ここでは、通信ノードの一例として、ＥＣＵを適用する。
　車載通信ネットワークは、ヘッドユニット１００、ＥＣＵ１０２、ＥＣＵ１０４、ネットワークコントローラ１０６、ＥＣＵ１１０、自己故障診断(OBD: On-board diagnostics)ポート２０２、ＥＣＵ２０４、情報デバイス３０２、ネットワークユニット３０４、および無線デバイス４００を備える。
　ヘッドユニット１００、ＥＣＵ１０２、ＥＣＵ１０４、およびネットワークコントローラ１０６は、第１の通信バス１０８によって接続されることによりＣＡＮ(Controller Area Network)、イーサネット(Ethernet)（登録商標）、ローカルエリアネットワーク(LAN: Local Area Network)などの第１のネットワークを構成する。ヘッドユニット１００、ＯＢＤポート２０２、およびＥＣＵ２０４は、第２の通信バス２０６によって接続されることによりＣＡＮ、イーサネット（登録商標）、ローカルエリアネットワークなどの第２のネットワークを構成する。ヘッドユニット１００、情報デバイス３０２、およびネットワークユニット３０４は、第３の通信バス３０６によって接続されることによりＣＡＮ、イーサネット（登録商標）、ローカルエリアネットワークなどの第３のネットワークを構成する。ネットワークコントローラ１０６、およびＥＣＵ１１０は、第４の通信バス１１２によって接続されることによりＣＡＮ、イーサネット（登録商標）、ローカルエリアネットワークなどの第４のネットワークを構成する。
　ヘッドユニット１００は、ナビゲーションやオーディオ、ビデオなどのマルチメディア機能を有し、無線デバイス４００との間で無線通信を行い、無線デバイス４００から送信される音楽や動画データを再生する。さらに、後述するが、ヘッドユニット１００は、ネットワークユニット３０４から入力される情報に基づいて動作する。
　ＥＣＵ１０２、１０４、１１０、および２０４は、主に、点火時期や燃料調整、スロットル開度、バルブタイミング、アイドリング調整などのエンジン制御を行う。また、ＥＣＵ１０２、１０４、１１０、および２０４は、アンチロック・ブレーキ・システム(ABS: Antilock Brake System)などのブレーキ制御、トラクションコントロールの制御、エアバッグ、エアコン、各メーター類、イモビライザー、ルームランプなどの電装品を制御するようにすることもできる。
　ネットワークコントローラ１０６は、ＥＣＵ１１０の信頼性に応じてＥＣＵ１１０を第１のネットワークに接続するか否かを判断するとともに、接続するものについては、その信頼性に応じて、ＥＣＵ１１０へ割り当てる帯域を設定したり、第１のネットワークに出力するＥＣＵ１１０が送信するパケットを設定したりするなどの送信制御を行う。例えば、ネットワークコントローラ１０６は、ＥＣＵ１１０に対する通信パラメータを調整することによって、割り当てる帯域を制限したり、第１のネットワークに転送するパケットを制限したりする。
　ＯＢＤポート２０２は、ＯＢＤが記録した故障診断した内容を取得する際に、専用端末などを接続するポートである。車両の整備士などは、ＯＢＤポート２０２から取得した故障診断した内容を取得し、その内容を解析できる。例えば、ＯＢＤは故障診断した際に、故障の箇所や内容をランプの点灯や明滅あるいはブザー音などの鳴動で通知し、その内容に応じたコードを記録する。また、ＯＢＤポート２０２には、レーダー探知機、外部メータなどを接続することもでき、走行中の水温やブースト圧、燃費などを計測することもできる。
　情報デバイス３０２は、ネットワークユニット３０４によって取得される情報を格納するとともに、ヘッドユニット１００へ出力する。
　ネットワークユニット３０４は、アクセスポイント５００との間で無線通信を行うことによって、アクセスポイント５００と接続されるネットワーク（図示なし）に接続されるサーバ(図示無し)などから地図データの取得を行ったり、音楽データのダウンロードなどを行うことができる。例えば、ヘッドユニット１００がナビゲーションとして機能する場合には、ネットワークユニット３０４は更新された地図データをダウンロードし、ヘッドユニット１００がオーディオとして機能する場合には、ネットワークユニット３０４は音楽や動画データをダウンロードする。さらに、後述するが、ネットワークユニット３０４は、アクセスポイント５００との間で無線通信を行うことによって、アクセスポイント５００と接続されるネットワーク（図示なし）に接続されるサーバ(図示無し)などからサービスの提供を受けることができる。
　無線デバイス４００は、無線ＬＡＮモジュールなどの無線装置を備え、ヘッドユニット１００との間で無線通信を行う。
　図１に示す車載通信ネットワークにおいて、ネットワークコントローラ１０６、およびＥＣＵ１１０は、一旦車載通信ネットワークが構成された後に、新たに追加されたものである。つまり、第１のネットワークに新たにＥＣＵ１１０などの通信ノードを追加する場合、第１の通信バス１０８にネットワークコントローラ１０６を接続し、そのネットワークコントローラ１０６に新たに追加するＥＣＵ１１０を接続する。
　ここでは、第１のネットワークに新たにＥＣＵ１１０などの通信ノードを追加する場合について説明する。第２のネットワーク、第３のネットワークに新たにＥＣＵなどの通信ノードを追加する場合についても適用できる。
　図２は、図１の車載通信ネットワークの第１のネットワークを示す。図２に示されるように、第１のネットワークはバス型のネットワークであり、第１の通信バス１０８に、ヘッドユニット１００、複数のＥＣＵ１０２、１０４、およびネットワークコントローラ１０６が接続され、ネットワークコントローラ１０６にＥＣＵ１１０が接続される。
　＜ＥＣＵ１０２のハードウェア構成＞
　図３は、本実施形態に係るＥＣＵ１０２のハードウェア構成図である。図３に示されているように、本実施形態に係るＥＣＵ１０２は、ＥＣＵ１０２全体の動作を制御するＣＰＵ(Central Processing Unit)１０２４、およびＣＰＵ１０２４の駆動に用いられるプログラムを記憶したＲＯＭ(Read Only Memory)１０２６を備える。さらに、ＥＣＵ１０２は、ＣＰＵ１０２４のワークエリアとして使用されるＲＡＭ(Random Access Memory)１０２８、および上記各構成要素を図３に示されているように電気的に接続するためのアドレスバスやデータバスなどのバスライン１０２３を備える。
　また、ＥＣＵ１０２は、ＣＰＵ１０２４から入力される送信データをトランシーバ１０３２へ出力することによって、第１の通信バス１０８へ送信するとともに、トランシーバ１０３２から入力される受信データをＣＰＵ１０２４へ入力する通信部１０３０を備える。ＣＰＵ１０２４、ＲＯＭ１０２６、ＲＡＭ１０２８、通信部１０３０、およびバスライン１０２３をマイクロコントローラ１０２２として構成することもできる。また、ＥＣＵ１０２は、通信部１０３０から入力される送信データを第１の通信バス１０８へ送信するとともに、第１の通信バス１０８から受信される受信データを通信部１０３０へ入力するトランシーバ１０３２を備える。
　図３に示すＥＣＵ１０２のハードウェア構成は、ＥＣＵ１０４、ＥＣＵ１１０、ＥＣＵ２０４にも適用できる。
　＜ネットワークコントローラ１０６のハードウェア構成＞
　図４は、本実施形態に係るネットワークコントローラ１０６のハードウェア構成図である。図４に示されているように、本実施形態のネットワークコントローラ１０６は、ネットワークコントローラ１０６全体の動作を制御するＣＰＵ１０６４、およびＣＰＵ１０６４の駆動に用いられるプログラムを記憶したＲＯＭ１０６６を備える。さらに、ネットワークコントローラ１０６は、ＣＰＵ１０６４のワークエリアとして使用されるＲＡＭ１０６８、および上記各構成要素を図４に示されているように電気的に接続するためのアドレスバスやデータバスなどのバスライン１０６３を備える。
　また、ネットワークコントローラ１０６は、ＣＰＵ１０６４から入力される送信データを第１のトランシーバ１０７２、第２のトランシーバ１０７４へ出力することによって、それぞれ第１の通信バス１０８、第４の通信バス１１２へ送信するとともに、第１のトランシーバ１０７２、または第２のトランシーバ１０７４から入力される受信データをＣＰＵ１０６４へ入力する通信部１０７０を備える。ＣＰＵ１０６４、ＲＯＭ１０６６、ＲＡＭ１０６８、および通信部１０６３をマイクロコントローラ１０６２として構成することもできる。
　また、ネットワークコントローラ１０６は、通信部１０７０から入力される送信データを第１の通信バス１０８へ送信するとともに、第１の通信バス１０８から受信される受信データを通信部１０７０へ入力する第１のトランシーバ１０７２、通信部１０７０から入力される送信データを第４の通信バス１１２へ送信するとともに、第４の通信バス１１２から受信される受信データを通信部１０７０へ入力する第２のトランシーバ１０７４を備える。
　＜機能構成＞
　次に、本実施形態の機能構成について説明する。図５は、本実施形態のネットワークコントローラ１０６、およびＥＣＵ１１０の機能ブロック図である。図５に示されるように、ネットワークコントローラ１０６とＥＣＵ１１０とは、通信可能なように有線接続されている。
　＜ＥＣＵ１１０の機能構成＞
　ＥＣＵ１１０は、送受信部１１０２、認証処理部１１０４、送信データ作成部１１０６、記憶・読出処理部１１０８、記憶部１１１０、および通信制御部１１１２を有している。これら各部は、図３に示されている各構成要素のいずれかが、ＲＯＭ１０２６からＲＡＭ１０２８上に展開されたＥＣＵ用プログラムに従ったＣＰＵ１０２４からの命令によって動作することで実現される機能、または機能される手段である。
　（ＥＣＵ１１０の各機能構成の説明）
　次に、図３および図５を用いて、ＥＣＵ１１０の各機能構成について詳細に説明する。なお、以下では、ＥＣＵ１１０の各機能構成部を説明するにあたって、図３に示されている各構成要素のうち、ＥＣＵ１１０の各機能構成部を実現させるための主な構成要素との関係も説明する。
　図５に示されているＥＣＵ１１０の送受信部１１０２は、図３に示されているＣＰＵ１０２４からの命令、図３に示されている通信部１０３０によって実現され、第４のネットワークを介して、ネットワークコントローラ１０６と各種データ（または情報）の送受信を行う。
　図５に示されているＥＣＵ１１０の記憶・読出処理部１１０８は、図３に示されているＣＰＵ１０２４からの命令によって実現され、記憶部１１１０に各種データを記憶したり、記憶部１１１０に記憶された各種データを読み出す処理を行う。この記憶部１１１０には、ＥＣＵ１１０を識別するためのノードＩＤ、ＥＣＵ１１０の信頼性レベル、およびネットワークコントローラ１０６と共有されるパスワードなどの認証キーが記憶される。なお、ノードＩＤは予め記憶部１１１０に記憶されていてもよいし、ＥＣＵ１１０の利用者が利用する際に記憶部１１１０に入力してもよい。
　なお、本実施形態のノードＩＤは、ＥＣＵを一意に識別するために使われる言語、文字、記号、または各種のしるし等の識別情報を示す。また、ノードＩＤは、上記言語、文字、記号、および各種のしるしのうち、少なくとも２つが組み合わされた識別情報であってもよい。
　図５に示されているＥＣＵ１１０の記憶部１１１０は、図３に示されているＲＯＭ１０２６によって実現され、ＥＣＵ１１０のノードＩＤ、ＥＣＵ１１０の信頼性レベル、およびネットワークコントローラ１０６と共有するパスワードなどの認証キーを記憶する。
　図５に示されているＥＣＵ１１０の認証処理部１１０４は、図３に示されているＣＰＵ１０２４からの命令によって実現され、ネットワークコントローラ１０６へ認証を要求する。認証処理部１１０４は、記憶・読出処理部１１０８に記憶部１１１０に格納されたノードＩＤ、および信頼性レベルを読み出させ、そのノードＩＤ、および信頼性レベルを付帯した認証要求を作成し、送受信部１１０２から送信する。さらに、ネットワークコントローラ１０６から送信されるチャレンジが送受信部１１０２によって受信されると、認証処理部１１０４は、そのチャレンジに付帯されたＮｏｎｃｅ（乱数）を取得するとともに、記憶・読出処理部１１０８に記憶部１１１０に格納された認証キーを読み出させる。さらに、認証処理部１１０４は、取得したＮｏｎｃｅ、および認証キーを組み合わせて所定の演算を行い、その演算結果をレスポンスとして、送受信部１１０２から送信する。さらに、ネットワークコントローラ１０６から送信される認証応答が送受信部１１０２によって受信されると、認証処理部１１０４は、その認証応答が通信を許可することを示す場合には、通信制御部１１１２へ認証されたことを通知する。また、例えば、認証処理部１１０４は、ＥＡＰ－ＴＬＳによって、ネットワークコントローラ１０６との間で相互で証明書による認証を行うことや、ＰＥＡＰによって認証を行うことができる。ネットワークコントローラ１０６をＲＡＤＩＵＳサーバとして機能させることもできる。
　図５に示されているＥＣＵ１１０の送信データ作成部１１０６は、図３に示されているＣＰＵ１０２４からの命令によって実現され、他の通信ノードへ送信する各種データ（または情報）を作成し、送受信部１１０２から送信する。
　図５に示されているＥＣＵ１１０の通信制御部１１１２は、図３に示されているＣＰＵ１０２４からの命令、図３に示される通信部１０３０によって実現される。通信制御部１１１２は、送信データ作成部１１０６によって作成した送信データの送信制御を行う。
　＜ネットワークコントローラ１０６の機能構成＞
　ネットワークコントローラ１０６は、第１の送受信部１０７６、認証処理部１０７８、レベル設定部１０８０、監視部１０８２、記憶・読出処理部１０８４、記憶部１０８６、通信制御部１０８８、帯域計測部１０９０、および第２の送受信部１０９２を有している。これら各部は、図４に示されている各構成要素のいずれかが、ＲＯＭ１０６６からＲＡＭ１０６８上に展開されたネットワークコントローラ用プログラムに従ったＣＰＵ１０６２からの命令によって動作することで実現される機能、または機能される手段である。
　（ネットワークコントローラ１０６の各機能構成の説明）
　次に、図４および図５を用いて、ネットワークコントローラ１０６の各機能構成について詳細に説明する。なお、以下では、ネットワークコントローラ１０６の各機能構成部を説明するにあたって、図４に示されている各構成要素のうち、ネットワークコントローラ１０６の各機能構成部を実現させるための主な構成要素との関係も説明する。
　図５に示されているネットワークコントローラ１０６の第１の送受信部１０７６は、図４に示されているＣＰＵ１０６４からの命令、図４に示されている通信部１０７０によって実現され、第１のネットワークを介して、他のＥＣＵ（ＥＣＵ１０２、１０４）、またはヘッドユニット１００と各種データ（または情報）の送受信を行う。
　図５に示されているネットワークコントローラ１０６の第２の送受信部１０９２は、図４に示されているＣＰＵ１０６４からの命令、図４に示されている通信部１０７０によって実現され、第４のネットワークを介して、ＥＣＵ１１０と各種データ（または情報）の送受信を行う。
　図５に示されているネットワークコントローラ１０６のレベル設定部１０８０は、図４に示されているＣＰＵ１０６４からの命令によって実現され、ＥＣＵ１１０の信頼性のレベルを設定する。信頼性のレベルは、正規品レベル、準正規品レベル、市場品レベル、準市場品レベル、および非認証レベルに分類される。
　＜信頼性レベル＞
　正規品レベルのＥＣＵは、車両などの製品を製造販売するメーカーによって販売されている純正品であり、製品を製造販売するメーカーによって認定されたものであり、最も信頼性が高い。
　準正規品レベルのＥＣＵは、車両などの製品を製造販売するメーカーが部品メーカーなどの部品製造会社に指示して製造させた特殊な規格や性能を持つものであり、正規品レベルのＥＣＵと同等以上の性能を有し、正規品レベルのＥＣＵに次いで信頼性が高い。
　市場品レベルのＥＣＵは、一般的な規格でつくられた汎用部品であり、正規品レベルのＥＣＵと同等の性能を有し、正規品レベルのＥＣＵと互換性を有する非純正品であり、準正規品レベルのＥＣＵに次いで信頼性が高い。
　準市場品レベルのＥＣＵは、一般的な規格でつくられた汎用部品であり、正規品レベルのＥＣＵと同等の性能を有するが、正規品レベルのＥＣＵと互換性を有することは保証されていない。準市場品レベルのＥＣＵは、市場品レベルのＥＣＵに次いで信頼性が高い。
　非認証レベルのＥＣＵは、一般的な規格で製造された汎用部品であり、正規品レベルのＥＣＵと互換性を有することは保証されていない。非認証レベルのＥＣＵは最も信頼性が低い。上記信頼性のレベルは、一例であり、２－４種類で分類することや、６種類以上に分類することもできる。また、各分類の内容についても適宜設定できる。
　図５に戻り説明を続ける。図５に示されているネットワークコントローラ１０６の記憶・読出処理部１０８４は、図４に示されているＣＰＵ１０６４からの命令によって実現され、記憶部１０８６に各種データを記憶し、記憶部１０８６に記憶された各種データを読み出す処理を行う。
　図５に示されているネットワークコントローラ１０６の記憶部１０８６は、図４に示されているＲＯＭ１０６６によって実現され、ＥＣＵを認証する際に通信可能なＥＣＵを識別するためのノードＩＤが記載されたノードＩＤテーブル、およびＥＣＵ１１０と共有されるパスワードなどの認証キーが記憶される。さらに、記憶部１０８６には、信頼性レベル通信制御内容対応テーブルが格納される。信頼性レベル通信制御内容対応テーブルについては後述する。
　図６は、信頼性レベルと通信制御の内容とを対応づけた信頼性レベル通信制御対応テーブルを示す。図６に示すように、信頼性レベルが正規品レベルであるＥＣＵは、利用する帯域（利用帯域）として設定できる通信帯域は送信側が制御し、機能をフルに利用できる。信頼性レベルが準正規品レベルであるＥＣＵは、利用帯域は送信側が制御するが、機能は制限される。信頼性レベルが市場品レベルであるＥＣＵは、利用帯域はネットワークコントローラ１０６が制御し、機能は制限される。信頼性レベルが準市場品レベルであるＥＣＵは、利用帯域、および機能は安全性が保証できるレベルに制限されるとともに、周辺のノードに危険な状態であることを通知し、危険なノードを安全に切断できる状態へ移行させる。信頼性レベルが非認証レベルであるＥＣＵは、利用帯域、および機能は安全性が保証できるレベルに強く制限される。
　図６に示されるのは一例であり、図６とは異なるように通信制御の内容が設定されてもよい。
　＜信頼性レベル通信制御内容対応テーブル＞
　図７は、信頼性レベル通信制御内容対応テーブルの一例を示す。信頼性レベル通信制御内容対応テーブルは、信頼性レベルの各々について、通信制御の具体的内容を紐付けることによって対応付ける。
　図７に示すように、信頼性レベル、通信帯域、通信対象、利用機能、違反基準、および違反時アクションが紐付けられることによって対応付けられる。ここで、通信帯域はネットワークコントローラ１０６とＥＣＵ１１０との間の通信に使用する帯域であり、通信対象はＥＣＵ１００の通信できる相手である。また、利用機能はＥＣＵ１１０が利用できる機能であり、ＥＣＵ１１０が参照できる情報や、取得できる情報である。また、違反基準はＥＣＵの振る舞いを判定する基準であり、違反時アクションは違反基準に該当すると判定されたＥＣＵに対して行われる処理である。
　信頼性レベルが正規品レベルであるＥＣＵは、通信帯域、通信対象、および利用機能の制限は行われず、違反基準、および違反時アクションについても設定されない。
　信頼性レベルが準正規品レベルであるＥＣＵは、通信帯域は１Ｍｂｐｓなどの信頼性レベルが正規品レベルであるＥＣＵよりも狭い範囲で制御でき、通信対象はセンシティブな通信ノード以外と通信でき、利用機能はそのＥＣＵを供給するベンダーによって公開された機能に制限される。違反基準は、１Ｍｂｐｓを超えた帯域でアクセスしようとした場合またはベンダーによって公開された機能以外の機能にアクセスしようとした場合であり、違反時には信頼性のレベルが、例えば、市場品レベルなどの信頼性が低いレベルへ変更される。
　信頼性レベルが市場品レベルであるＥＣＵは、通信帯域は１００ｋｂｐｓなどの信頼性レベルが準正規品レベルであるＥＣＵよりも狭い範囲で制御でき、通信対象は市場品レベルのＥＣＵがアクセスできる通信ノードとして指定されたノードに制限され、利用機能はそのＥＣＵを供給するベンダーによって公開された機能に制限される。違反基準は、アクセスできるノードとして指定された通信ノード以外の通信ノードにアクセスしようとした場合またはベンダーによって公開された機能以外の機能にアクセスしようとした場合であり、違反時には信頼性のレベルが、例えば、準市場品レベルなどの信頼性が低いレベルへ変更される。
　信頼性レベルが準市場品レベルであるＥＣＵは、通信帯域は１０ｋｂｐｓなどの信頼性レベルが市場品レベルであるＥＣＵよりも狭い範囲で制御でき、通信対象は市場品レベルのＥＣＵがアクセスできるノードとして指定されたノードに制限され、利用機能はそのＥＣＵを供給するベンダーによって公開された機能に制限される。違反基準、および違反時アクションについても設定されない。信頼性レベルが準市場品レベルであるＥＣＵは、通信帯域および機能は安全性が保証できるレベルに強く制限されているためである。
　信頼性レベルが非認証品レベルであるＥＣＵは、利用帯域は１０ｋｂｐｓなどの信頼性レベルが市場品レベルであるＥＣＵよりも狭い範囲で制御でき、通信対象はヘッドユニット１００に制限され、利用機能は速度情報の取得に制限される。違反基準、および違反時アクションについても設定されない。信頼性レベルが非認証品レベルであるＥＣＵは、通信帯域および機能は安全性が保証できるレベルに強く制限されているためである。図７に示されるのは一例であり、図７とは異なるように通信制御の内容が設定されてもよい。
　図５に戻り説明を続ける。図５に示されているネットワークコントローラ１０６の認証処理部１０７８は、図４に示されているＣＰＵ１０６４からの命令によって実現され、ＥＣＵ１１０を認証する。認証処理部１０７８は、第２の送受信部１０９２によってＥＣＵ１１０から送信される認証要求が受信された場合に、その認証要求に付帯されるノードＩＤ、および信頼性レベルを取得する。
　さらに、認証処理部１０７８は、記憶・読出処理部１０８４に記憶部１０８６に格納されたノードＩＤテーブルを読み出させ、認証要求に付帯されるノードＩＤが記載されているか否かを判定する。認証処理部１０７８は、ノードＩＤテーブルに認証要求に付帯されるノードＩＤが記載されている場合には、Ｎｏｎｃｅ（乱数）を生成し、第２の送受信部１０９２から送信する。さらに、認証処理部１０７８は、生成したＮｏｎｃｅ、および認証キーを組み合わせてＥＣＵ１１０と同様に、所定の演算を行い、ＥＣＵ１１０からそのＥＣＵ１１０により演算された結果が第２の送受信部１０９２によって受信された場合、第２の送受信部１０９２によって受信された演算結果と、認証処理部１０７８による演算結果とを照合することによって、認証処理を行う。認証処理部１０７８は、照合の結果一致する場合には認証できたことを表す情報を付帯した認証応答を作成し、照合の結果一致しない場合には認証できなかったことを表す情報を付帯した認証応答を作成し、第２の送受信部１０９２から送信する。認証処理部１０７８は、照合の結果一致する場合には、通信制御部１０８８に認証ができたことを通知する。また、例えば、認証処理部１０７８は、ＥＡＰ－ＴＬＳ(Extensible Authentication Protocol Transport Layer Security）によって、ＥＣＵ１１０との間で相互に証明書による認証を行うことや、ＰＥＡＰ（protected EAP）によって認証を行うことができる。ネットワークコントローラ１０６をＲＡＤＩＵＳサーバとして機能させることもできる。
　図５に示されているネットワークコントローラ１０６の監視部１０８２は、図４に示されているＣＰＵ１０６４からの命令、図４に示される通信部１０７０によって実現され、新たに接続されるＥＣＵ１１０がパケットを送信する帯域、ＥＣＵ１１０のアクセス先などのＥＣＵ１１０の振る舞いを監視する。
　図５に示されているネットワークコントローラ１０６の通信制御部１０８８は、図４に示されているＣＰＵ１０６４からの命令、図４に示される通信部１０７０によって実現される。通信制御部１０８８は、認証処理部１０７８から認証できたことが通知されると、記憶・読出処理部１０８４に記憶部１０８６に格納された信頼性レベル通信制御内容対応テーブルを読み出させ、レベル設定部１０８０によって判断された信頼性レベルに紐付けられた通信帯域、通信対象、利用機能に基づいて、ＥＣＵ１１０を制御する。また、通信制御部１０８８は、ＥＣＵ１１０との間で通信中に監視部１０８２によって監視されるＥＣＵ１１０の振る舞いに応じて、違反基準に該当するか否かを判断し、該当する場合には違反時アクションにしたがって信頼性レベルを変更すると判断し、レベル設定部１０８０へ設定されている信頼性レベルを更新する。
　図５に示されているネットワークコントローラ１０６の帯域計測部１０９０は、図４に示されているＣＰＵ１０６４からの命令、図４に示される通信部１０７０によって実現され、ネットワークコントローラ１０６とＥＣＵ１１０との間の通信に利用された帯域を計測する。
　＜車載通信ネットワークの動作＞
　図８は、車載通信ネットワークの動作の一実施例を示す。
　図８に示される車載通信ネットワークの動作の前提として、ＥＣＵ１１０、およびネットワークコントローラ１０６にはパスワードなどの認証キーが予め設定され、ＥＣＵ１１０、およびネットワークコントローラ１０６は予め決定されるアルゴリズムにしたがって認証キー、およびＮｏｎｃｅを組み合わせて演算する。
　ステップＳ８０２では、ＥＣＵ１１０の認証処理部１１０４は、ノードＩＤ、および信頼性レベルを付帯した認証要求を作成する。
　ステップＳ８０４では、ＥＣＵ１１０の送受信部１１０２は、認証処理部１１０４によって作成した認証要求をネットワークコントローラ１０６へ送信する。
　ステップＳ８０６では、ネットワークコントローラ１０６の第２の送受信部１０９２によって認証要求が受信されると、認証処理部１０７８はその認証要求を取得する。認証処理部１０７８は、認証要求に付帯されているノードＩＤ、および信頼性レベルをチェックする。
　ステップＳ８０８では、ネットワークコントローラ１０６の認証処理部１０７８は、ノードＩＤに基づいて自ネットワークコントローラ１０６とＥＣＵ１１０との間で通信可能であることが確認できた後に、Ｎｏｎｃｅを発生する。ここで、認証処理部１０７５は、ノードＩＤに基づいてネットワークコントローラ１０６とＥＣＵ１１０との間で通信可能であることが確認できない場合には、再度ノードＩＤをＥＣＵ１１０へ問い合わせることもできる。所定の回数問い合わせても通信可能であることが確認できない場合には、そのアカウントとしてのノードＩＤをアカウントロックすることもできる。
　ステップＳ８１０では、ネットワークコントローラ１０６の第２の送受信部１０９２は、認証処理部１０７８によって発生したＮｏｎｃｅ（チャレンジ）をＥＣＵ１１０へ送信する。
　ステップＳ８１２では、ＥＣＵ１１０の送受信部１１０２によってＮｏｎｃｅを受信すると、認証処理部１１０４は、認証キー、および送受信部１１０２によって受信したＮｏｎｃｅを組み合わせて演算する。
　ステップＳ８１４では、ネットワークコントローラ１０６の認証処理部１０７８は、認証キー、および発生したＮｏｎｃｅを組み合わせて演算する。
　ステップＳ８１６では、ＥＣＵ１１０の送受信部１１０２は、認証処理部１１０４によって演算した結果をレスポンスとして、ネットワークコントローラ１０６へ送信する。
　ステップＳ８１８では、ネットワークコントローラ１０６の第２の送受信部１０９２によってレスポンスを受信すると、認証処理部１０７８は、ステップＳ８１４における演算結果と、ステップＳ８１６においてＥＣＵ１１０から送信された演算結果とを照合することによって、ＥＣＵ１１０を認証する。
　ステップＳ８２０では、ネットワークコントローラ１０６の認証処理部１０７８は、第２の送受信部１０９２からステップＳ８１８における認証結果をＥＣＵ１１０へ送信する。
　ステップＳ８１８においてＥＣＵ１１０の認証が成功した場合には、認証処理部１０７８は、ＥＣＵ１１０の信頼性レベルをレベル設定部１０８０に設定するとともに、通信制御部１０８８に認証が成功したことを通知する。
　これによってネットワークコントローラ１０６は、新たに接続されるＥＣＵ１１０との間で通信できるか否かを判断できるとともに、通信できる場合にＥＣＵ１１０の信頼性レベルを設定できる。
　図８に示すシーケンスチャートは一例であり、このシーケンスチャートの順番とは異なる順番で処理することも可能である。例えば、ステップＳ８１４とＳ８１６は逆の順番としてもよい。
　図９は、車載通信ネットワークの動作の一実施例を示す。
　図９は、ネットワークコントローラ１０６によってＥＣＵ１１０が認証された以降の動作を示す。
　ステップＳ９０２では、ネットワークコントローラ１０６の認証処理部１０７８によって、ＥＣＵ１１０の認証が行われる。ここでは、認証処理部１０７８は、ＥＣＵ１１０の認証に成功する。
　ステップＳ９０４では、ネットワークコントローラ１０６の認証処理部１０７８は、ＥＣＵ１１０の認証が成功すると、レベル設定部１０８０にＥＣＵ１１０の信頼性レベルを設定するとともに、通信制御部１０８８にＥＣＵ１１０の認証が成功したことを通知する。
　ステップＳ９０６では、ネットワークコントローラ１０６の通信制御部１０８８は、第２の送受信部１０７６から、第１のネットワークを構成するヘッドユニット１００、ＥＣＵ１０２およびＥＣＵ１０４にエンティティが追加されたことを通知する。
　ステップＳ９０８では、ＥＣＵ１１０の送信データ作成部１１０６は、送信データを付帯したパケットを作成し、通信制御部１１１２は、送信データ作成部１１０６が作成したパケットを送受信部１１０２から送信する。
　ステップＳ９１０では、ＥＣＵ１１０から送信されたパケットは、ネットワークコントローラ１０６の第２の送受信部１０９２によって受信され、通信制御部１０８８へ入力される。通信制御部１０８８は、第２の送受信部１０９２からパケットが入力されると、記憶・読出処理部１０８４に記憶部１０８６に格納された信頼性レベル通信制御内容対応テーブルを取得させるとともに、パケットが送信された通信帯域、パケットの通信対象、およびパケットによって利用する機能を特定する。
　通信制御部１０８８は、信頼性レベル通信制御内容対応テーブルのＥＣＵ１１０の信頼性レベルに紐付けられた通信帯域、通信対象、および利用する機能を参照し、ＥＣＵ１１０から送信されたパケットが満たすか否かを判定する。
　ステップＳ９１２では、信頼性レベル通信制御内容対応テーブルにおいて、ＥＣＵ１１０の信頼性レベルに紐付けられた通信帯域、通信対象、および利用する機能を、ＥＣＵ１１０から送信されたパケットが満たすと判定された場合、通信制御部１０８８は、パケットを第１の送受信部１０７６から第１のネットワークへ送信する。
　ステップＳ９１４では、ＥＣＵ１１０の送信データ作成部１１０６は、送信データを付帯したパケットを作成し、通信制御部１１１２は、送信データ作成部１１０６が作成したパケットを送受信部１１０２から送信する。
　ステップＳ９１６では、ＥＣＵ１１０から送信されたパケットは、ネットワークコントローラ１０６の第２の送受信部１０９２によって受信され、通信制御部１０８８へ入力される。通信制御部１０８８は、第２の送受信部１０９２からパケットが入力されると、記憶・読出処理部１０８４に記憶部１０８６に格納された信頼性レベル通信制御内容対応テーブルを取得させるとともに、パケットが送信された通信帯域、パケットの通信対象、およびパケットによって利用する機能を特定する。通信制御部１０８８は、信頼性レベル通信制御内容対応テーブルのＥＣＵ１１０の信頼性レベルに紐付けられた通信帯域、通信対象、および利用する機能を参照し、ＥＣＵ１１０から送信されたパケットが満たすか否かを判定する。
　ステップＳ９１８では、信頼性レベル通信制御内容対応テーブルにおいて、ＥＣＵ１１０の信頼性レベルに紐付けられた通信帯域、通信対象、および利用する機能を、ＥＣＵ１１０から送信されたパケットが満たさないと判定した場合、通信制御部１０８８は、パケットの転送を拒絶する。さらに、通信制御部１０８８は、信頼性レベル通信制御内容対応テーブルのＥＣＵ１１０の信頼性レベルに紐付けられた違反基準に該当するか否かを判定し、該当する場合ＥＣＵ１１０の信頼性レベルを変更する。
　ステップＳ９１８において、信頼性レベル通信制御内容対応テーブルのＥＣＵ１１０の信頼性レベルに紐付けられた通信帯域、通信対象、および利用する機能を、ＥＣＵ１１０から送信されたパケットが満たさないと判定した場合、通信制御部１０８８は、その判定した後にＥＣＵ１１０から送信されるパケットによって利用しようとする機能を制限することもできる。また、通信制御部１０８８は、その判定した後にＥＣＵ１１０から送信されるパケットの通信帯域を狭くすることによって制限することもできる。
　また、ステップＳ９１８において、信頼性レベル通信制御内容対応テーブルのＥＣＵ１１０の信頼性レベルに紐付けられた通信帯域、通信対象、および利用する機能を、ＥＣＵ１１０から送信されたパケットが満たさないと判定した場合、通信制御部１０８８は、そのパケットを遅延させて送信することもできる。さらに、通信制御部１０８８は、ＥＣＵ１１０からのパケットを転送する頻度を下げることもできる。また、通信制御部１０８８は、ＥＣＵ１１０からのパケットの一部を転送し、残のパケットは壊すことなどによって無効化することもできる。
　これによってネットワークコントローラ１０６は、新たに接続されるＥＣＵ１１０の信頼性レベルに応じて、ＥＣＵ１１０から送信されるパケットを第１のネットワークに転送するか否かを判定できる。したがって、ネットワークコントローラ１０６がＥＣＵ１１０を認証した後であっても、ＥＣＵ１１０から送信されるパケットのうち、第１のネットワークへ転送しても、セキュリティ上安全なパケットを転送できる。
　図１０は、車載通信ネットワークの動作の一実施例を示す。
　図１０は、ネットワークコントローラ１０６がＥＣＵ１１０から送信されるパケットを判定する処理を示す。つまり、図９のステップＳ９１０、Ｓ９１６、およびＳ９１８の処理を示す。
　ステップＳ１００２では、ネットワークコントローラ１０６の監視部１０８２は、ＥＣＵ１１０から送信されるパケットを解析する。具体的には、監視部１０８２は、ＥＣＵ１１０がパケットを送信する帯域、パケットによって利用する機能などを解析する。
　ステップＳ１００４では、ネットワークコントローラ１０６の通信制御部１０８８は、記憶・読出処理部１０８４に記憶部１０８６に格納された信頼性レベル通信制御内容対応テーブルを読み出させる。さらに、通信制御部１０８８は、監視部１０８２によって解析されたパケットの利用機能が信頼性レベル通信制御内容対応テーブルの利用機能と合致するか否か判断する。
　ステップＳ１００６では、監視部１０８２によって解析されたパケットの利用機能が信頼性レベル通信制御内容対応テーブルの利用機能と合致する場合、通信制御部１０８８は、監視部１０８２によって解析されたパケットの通信帯域が信頼性レベル通信制御内容対応テーブルの通信帯域を満たすか否かを判断する。
　ステップＳ１００８では、監視部１０８２によって解析されたパケットの通信帯域が信頼性レベル通信制御内容対応テーブルの通信帯域を満たすと判定した場合、通信制御部１０８８は、そのパケットを第１の送受信部１０７６から送信する。
　ステップＳ１０１０では、ネットワークコントローラ１０６の帯域計測部１０９０は、ネットワークコントローラ１０６とＥＣＵ１１０との間の通信に利用された帯域を計測し、更新する。ここで、更新された帯域は、その後に送信されるパケットに対して、ステップＳ１００６で通信帯域を判断する際に使用される。
　ステップＳ１０１２では、ステップＳ１００４で監視部１０８２によって解析されたパケットの利用機能が信頼性レベル通信制御内容対応テーブルの利用機能と合致しない場合、またはステップＳ１００６で監視部１０８２によって解析されたパケットの通信帯域が信頼性レベル通信制御内容対応テーブルの通信帯域を満たさない場合、通信制御部１０８８は、そのパケットを送信しない。
　ステップＳ１０１４では、ネットワークコントローラ１０６の通信制御部１０８８は、監視部１０８２によって監視されるＥＣＵ１１０の振る舞いに応じて、違反基準に該当するか否かを判断し、該当する場合には、違反時アクションにしたがって、信頼性レベルを変更すると判断し、レベル設定部１０８０に設定される信頼性レベルを更新する。
　これにより、ネットワークコントローラ１０６は、新たに接続されるＥＣＵ１１０から送信されるパケットが安全であるか否かを判定でき、安全であると判定したパケットを第１のネットワークへ転送できる。図１０では、パケットの送信された帯域および利用機能でパケットが安全であるか否かを判定したが、さらに通信相手などの他の要素に基づいて判定することもできる。
　上述した実施例では、第１のバス１０８に、ヘッドユニット１００、複数のＥＣＵ１０２、１０４、およびネットワークコントローラ１０６が接続され、ネットワークコントローラ１０６にＥＣＵ１１０が接続される、いわゆるバス型のネットワークについて説明したが、バス型のネットワークに限られない。
　図１１は、第１のネットワークをスター型のネットワークに適用した例を示す。図１１に示すように、第１のネットワークをスター型のネットワークに適用した場合、ネットワークコントローラ１１４をハブとして、ネットワークコントローラ１１４にヘッドユニット１００、ＥＣＵ１０２、ＥＣＵ１０４、およびＥＣＵ１１０が放射状に接続される。図１１において、ＥＣＵ１１０は、新たに接続される通信ノードである。第１のネットワークをスター型のネットワークに適用した場合、新たに接続されるＥＣＵ１１０は、既に第１のネットワークを構成しているネットワークコントローラ１１４に接続される。
　ここでは、第１のネットワークをスター型のネットワークに適用する場合について説明するが、第１のネットワーク以外のネットワーク、例えば、第２－第４のネットワークにも適用できる。
　ネットワークコントローラ１１４およびヘッドユニット１００は第５の通信バス１１６によって接続され、ネットワークコントローラ１１４およびＥＣＵ１０２は第６の通信バス１１８によって接続され、ネットワークコントローラ１１４およびＥＣＵ１０４は第７の通信バス１２０によって接続され、ネットワークコントローラ１１４およびＥＣＵ１１０は第８の通信バス１２２によって接続される。ここで、ＥＣＵ１０２、ＥＣＵ１０４、およびＥＣＵ１１０については、上述した構成を適用できるが、ネットワークコントローラ１１４は、４つのノードが接続されるため、ネットワークコントローラ１０６の構成とは異なる。
　図１２は、ネットワークコントローラ１１４のハードウェア構成図である。図１２に示すように、ネットワークコントローラ１１４は、ネットワークコントローラ１１４全体の動作を制御するＣＰＵ１１４４、およびＣＰＵ１１４４の駆動に用いられるプログラムを記憶したＲＯＭ１１４６を備える。さらに、ネットワークコントローラ１１４は、ＣＰＵ１１４４のワークエリアとして使用されるＲＡＭ１１４８、および上記各構成要素を図１２に示されているように電気的に接続するためのアドレスバスやデータバスなどのバスライン１１４３を備える。
　また、ネットワークコントローラ１１４は、ＣＰＵ１１４４から入力される送信データを第１のトランシーバ１１５２、第２のトランシーバ１１５４、第３のトランシーバ１１５６、および第４のトランシーバ１１５８へ出力することによって、それぞれ第５の通信バス１１６、第６の通信バス１１８、第７の通信バス１２０、および第８の通信バス１２２へ送信し、第１のトランシーバ１１５２、第２のトランシーバ１１５４、第３のトランシーバ１１５６、および第４のトランシーバ１１５８から入力される受信データをＣＰＵ１１４４へ入力する通信部１１５０を備える。ＣＰＵ１１４４、ＲＯＭ１１４６、ＲＡＭ１１４８、および通信部１１５０をマイクロコントローラ１１４２として構成することもできる。
　さらに、ネットワークコントローラ１１４は、通信部１１５０から入力される送信データを第５の通信バス１１６へ送信するとともに、第５の通信バス１１６から受信される受信データを通信部１１５０へ入力する第１のトランシーバ１１５２を備える。ネットワークコントローラ１１４は、通信部１１５０から入力される送信データを第６の通信バス１１８へ送信するとともに、第６の通信バス１１８から受信される受信データを通信部１１５０へ入力する第２のトランシーバ１１５４を備える。
　さらに、ネットワークコントローラ１１４は、通信部１１５０から入力される送信データを第７の通信バス１２０へ送信するとともに、第７の通信バス１２０から受信される受信データを通信部１１５０へ入力する第３のトランシーバ１１５６を備える。ネットワークコントローラ１１４は、通信部１１５０から入力される送信データを第８の通信バス１２２へ送信するとともに、第８の通信バス１２２から受信される受信データを通信部１１５０へ入力する第４のトランシーバ１１５８を備える。
　＜ネットワークコントローラ１１４の機能構成＞
　図１３は、ネットワークコントローラ１１４の機能ブロック図である。
　ネットワークコントローラ１１４は、第１の送受信部１１６０、第２の送受信部１１６２、第３の送受信部１１６４、第４の送受信部１１６６、認証処理部１１６８、レベル設定部１１７０、監視部１１７２、記憶・読出処理部１１７４、記憶部１１７６、通信制御部１１７８、および帯域計測部１１８０を有している。これら各部は、図１２に示されている各構成要素のいずれかが、ＲＯＭ１１４６からＲＡＭ１１４８上に展開されたネットワークコントローラ用プログラムに従ったＣＰＵ１１４４からの命令によって動作することで実現される機能、または機能される手段である。
　（ネットワークコントローラ１１４の各機能構成の説明）
　次に、図１２および図１３を用いて、ネットワークコントローラ１１４の各機能構成について詳細に説明する。なお、以下では、ネットワークコントローラ１１４の各機能構成部を説明するにあたって、図１２に示されている各構成要素のうち、ネットワークコントローラ１１４の各機能構成部を実現させるための主な構成要素との関係も説明する。
　図１３に示されているネットワークコントローラ１１４の第１の送受信部１１６０は、図１２に示されているＣＰＵ１１４４からの命令、図１２に示されている通信部１１５０によって実現され、第５の通信バス１１６を介して、ヘッドユニット１００と各種データ（または情報）の送受信を行う。
　図１３に示されているネットワークコントローラ１１４の第２の送受信部１１６２は、図１２に示されているＣＰＵ１１４４からの命令、図１２に示されている通信部１１５０によって実現され、第６の通信バス１１８を介して、ＥＣＵ１０２と各種データ（または情報）の送受信を行う。
　図１３に示されているネットワークコントローラ１１４の第３の送受信部１１６４は、図１２に示されているＣＰＵ１１４４からの命令、図１２に示されている通信部１１５０によって実現され、第７の通信バス１２０を介して、ＥＣＵ１０４と各種データ（または情報）の送受信を行う。
　図１３に示されているネットワークコントローラ１１４の第４の送受信部１１６６は、図１２に示されているＣＰＵ１１４４からの命令、図１２に示されている通信部１１５０によって実現され、第８の通信バス１２２を介して、ＥＣＵ１１０と各種データ（または情報）の送受信を行う。
　図１３に示されているネットワークコントローラ１１４のレベル設定部１１７０は、図１２に示されているＣＰＵ１１４４からの命令によって実現され、ＥＣＵ１１０の信頼性のレベルを設定する。信頼性のレベルは、正規品レベル、準正規品レベル、市場品レベル、準市場品レベル、および非認証レベルに分類される。信頼性レベルについては、上述したものを適用できる。
　図１３に示されているネットワークコントローラ１１４の記憶・読出処理部１１７４は、図１２に示されているＣＰＵ１１４４からの命令によって実現され、記憶部１１７６に各種データを記憶し、記憶部１１７６に記憶された各種データを読み出す処理を行う。この記憶部１１７６には、ＥＣＵを認証する際に通信可能なＥＣＵを識別するためのノードＩＤが記載されたノードＩＤテーブルが記憶される。さらに、記憶部１１７６には、信頼性レベル通信制御内容対応テーブルが格納される。信頼性レベル通信制御内容対応テーブルについては上述したものを適用できる。
　図１３に示されているネットワークコントローラ１１４の記憶部１１７６は、図１２に示されているＲＯＭ１１４６によって実現され、ＥＣＵを認証する際に通信可能なＥＣＵを識別するためのノードＩＤが記載されたノードＩＤテーブル、およびＥＣＵ１１０と共有されるパスワードなどの認証キーが記憶される。さらに、記憶部１０７６には、信頼性レベル通信制御内容対応テーブルが格納される。信頼性レベル通信制御内容対応テーブルは上述したものを適用できる。
　図１３に示されているネットワークコントローラ１１４の認証処理部１１６８は、図１２に示されているＣＰＵ１１４４からの命令によって実現され、ＥＣＵ１１０を認証する。認証処理部１１６８は、第４の送受信部１１６６がＥＣＵ１１０から送信される認証要求を受信した場合に、その認証要求に付帯されるノードＩＤ、および信頼性レベルを取得する。
　さらに、認証処理部１１６８は、記憶・読出処理部１１７４に記憶部１１７６に格納されたノードＩＤテーブルを読み出させ、認証要求に付帯されるノードＩＤが記載されているか否かを判定する。認証処理部１１６８は、ノードＩＤテーブルに認証要求に付帯されるノードＩＤが記載されている場合には、Ｎｏｎｃｅ（乱数）を生成し、第４の送受信部１１６６から送信する。さらに、認証処理部１１６８は、生成したＮｏｎｃｅ、および認証キーを組み合わせてＥＣＵ１１０と同様に、所定の演算を行い、ＥＣＵ１１０からそのＥＣＵ１１０により演算された結果が第４の送受信部１１６６によって受信された場合、第４の送受信部１１６６によって受信された演算結果と、認証処理部１１６８による演算結果とを照合することによって、認証処理を行う。認証処理部１１６８は、照合の結果一致する場合には認証できたことを表す情報を付帯した認証応答を作成し、照合の結果一致しない場合には認証できなかったことを表す情報を付帯した認証応答を作成し、第４の送受信部１１６６から送信する。認証処理部１１６８は、照合の結果一致する場合には、通信制御部１１７８に認証ができたことを通知する。また、例えば、認証処理部１１６８は、ＥＡＰ－ＴＬＳによって、ＥＣＵ１１０との間で相互に証明書による認証を行うことや、ＰＥＡＰによって認証を行うことができる。ネットワークコントローラ１０６をＲＡＤＩＵＳサーバとして機能させることもできる。
　図１３に示されているネットワークコントローラ１１４の監視部１１７２は、図１２に示されているＣＰＵ１１４４からの命令、図１２に示される通信部１１５０によって実現され、新たに接続されるＥＣＵ１１０がパケットを送信する帯域、ＥＣＵ１１０のアクセス先などのＥＣＵ１１０の振る舞いを監視する。
　図１３に示されているネットワークコントローラ１１４の通信制御部１１７８は、図１２に示されているＣＰＵ１１４４からの命令、図１２に示される通信部１１５０によって実現される。通信制御部１１７８は、認証処理部１１６８から認証できたことが通知されると、記憶・読出処理部１１７４に記憶部１１７６に格納された信頼性レベル通信制御内容対応テーブルを読み出させ、レベル設定部１１７０によって判断された信頼性レベルに紐付けられた通信帯域、通信対象、利用機能に基づいて、ＥＣＵ１１０を制御する。また、通信制御部１１７８は、ＥＣＵ１１０との間で通信中に監視部１１７２によって監視されるＥＣＵ１１０の振る舞いに応じて、違反基準に該当するか否かを判断し、該当する場合には違反時アクションにしたがって信頼性レベルを変更すると判断し、レベル設定部１１７０へ設定されている信頼性レベルを更新する。
　図１３に示されているネットワークコントローラ１１４の帯域計測部１１８０は、図１２に示されているＣＰＵ１１４４からの命令、図１２に示される通信部１１５０によって実現され、ネットワークコントローラ１１４とＥＣＵ１１０との間の通信に利用された帯域を計測する。
　このように、車載通信ネットワークは、バス型のネットワーク限らず、スター型のネットワークにも適用できる。
　図１１に示す第１のネットワークをスター型のネットワークに適用した例において、ヘッドユニット１００、およびＥＣＵ１０２によって第１のサブネットワークを構成し、ＥＣＵ１０４、およびＥＣＵ１１０によって第２のサブネットワークを構成することもできる。この場合、ネットワークコントローラ１１４は、異なるサブネットワークに属する通信ノード間、例えば、ヘッドユニット１００と、ＥＣＵ１０４またはＥＣＵ１１０間の通信や、ＥＣＵ１０２と、ＥＣＵ１０４またはＥＣＵ１１０間の通信などの通信について、上述した処理を行うこともできる。
　車載通信ネットワークの一実施例によれば、車載通信ネットワークに参加するＥＣＵや、ツールについて、その信頼性レベルに応じて、機能を制限することができる。
　＜変形例１＞
　図１４は、車載通信ネットワークの一変形例を示す。車載通信ネットワークの一変形例は、車載通信ネットワークにツールを接続する。
　車載通信ネットワークは、ＥＣＵ５０２、ＥＣＵ５０４、ＥＣＵ５０６、ＥＣＵ５０８、およびネットワークコントローラ５１０を備える。
　ＥＣＵ５０２、ＥＣＵ５０４、ＥＣＵ５０６、ＥＣＵ５０８、およびネットワークコントローラ５１０は、第９の通信バス５５０によって接続されることによりＣＡＮ、イーサネット（登録商標）、ローカルエリアネットワークなどの第５のネットワークを構成する。
　ＥＣＵ５０２、ＥＣＵ５０４、ＥＣＵ５０６、およびＥＣＵ５０８は図３、図５に示したＥＣＵを適用でき、この場合トランシーバ１０３２は第９の通信バス５５０に接続される。ネットワークコントローラ５１０は、図４、図５に示したネットワークコントローラ１０６を適用でき、この場合第１のトランシーバ１０７２は第９の通信バス５５０に接続され、第２のトランシーバ１０７４は第１０の通信バス５６０に接続される。さらに、ネットワークコントローラ５１０は、ゲートウェイ、データリンクコネクタ(DLC: Data Link Connector)、診断用の接続用ポートとして機能させることもできる。
　データリンクコネクタとしても機能するネットワークコントローラ５１０に、新たにネットワーク通信ノード６００が接続される。ここで、ネットワーク通信ノード６００の構成は、図３、図５に示したＥＣＵ１１０を適用できる。また、診断用の接続用ポートとしても機能するネットワークコントローラ５１０に、エンジン調整用デバッグツール、開発用デバッグツールなどの診断用ツールを接続することもできる。この場合、ネットワークコントローラ５１０は、診断用ツールの信頼性レベルに応じて、アクセス対象、利用機能などを設定することによって調整できる。
　また、車両がハイブリッドカー（Hybrid car）や、電気自動車（electric car）などである場合には、ネットワークコントローラ５１０に、サプライパーツとしての電池を接続することもできる。この場合、ネットワークコントローラ５１０は、正規品の電池については、より細かい管理サービスを提供できる。
　＜変形例２＞
　図１のネットワークユニット３０４にネットワークコントローラ１０６の機能を搭載することもできる。ネットワークユニット３０４は、ＷｉＦｉ(Wi-Fi: Wireless Fidelity）、Bluetooth（登録商標）、移動体通信などの無線通信によってアクセスポイントを経由して、サーバ(図示無し)と通信を行うことができ、ネットワークコントローラ１０６の機能によって、運転手が車両の所有者か非所有者かによって、無線通信によって得られる情報に基づくサービスを変えることができる。また、ネットワークコントローラ１０６の機能によって、無線通信によって得られる情報に基づいて、アクセスポイント５００との間の通信帯域や、情報デバイス３０２へ入力する情報の優先度を調整することもできる。また、無線通信によって得られる情報に基づいて、ＥＣＵなどへのアクセスレベルを変更することもできる。例えば、無線通信によって得られる情報がＯＥＭ(original equipment manufacturer)によって提供されるサービスであるか、サプライヤ、販売店によって提供されるサービスであるかによって、車両へのアクセスレベルを変更することができる。
　＜変形例３＞
　図１５は、車載通信ネットワークの一変形例３を示す。図１５に示すように、車載通信ネットワークは、ヘッドユニット１００、ネットワークコントローラ１０６、ＥＣＵ１１０、およびネットワークユニット３０４によって構成される。ここで、ヘッドユニット１００、ネットワークコントローラ１０６、ＥＣＵ１１０、およびネットワークユニット３０４は、上述したもの（図３－図５）である。
　さらに、車載通信ネットワークの一変形例３では、ネットワークコントローラ１０６は、ヘッドユニット１００を経由して、ネットワークユニット３０４に、認証サービスを提供するクラウドサーバ７００にアクセスさせ、クラウドサーバ７００からの認証の結果にしたがって処理を行う。
　具体的には、ネットワークコントローラ１０６は、ＥＣＵ１１０から送信される認証要求をヘッドユニット１００を経由して、ネットワークユニット３０４へ送信する。ネットワークユニット３０４は、ネットワークコントローラ１０６から送信される認証要求を、アクセスポイント５００を経由して、認証サービスを提供するクラウドサーバ７００へ無線送信することによってリダイレクトする。例えば、ネットワークユニット３０４は、ＷｉＦｉ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、移動体通信などの無線通信によって、アクセスポイント５００を経由して、認証サービスを提供するクラウドサーバ７００へアクセスする。ネットワークユニット３０４は、認証サービスを提供するクラウドサーバ７００からの応答に基づいて、ＥＣＵ１１０を認証する。ここで、ネットワークユニット３０４は、認証サービスを提供するクラウドサーバ７００によって処理された情報をキャッシュすることもできる。これによって、ネットワークユニット３０４のパフォーマンスを向上させることができる。さらに、クラウドサーバ７００には、最新の情報が格納されていることが想定され、その最新の情報に基づいて認証処理が行われるため、よりセキュリティを高めることができる。
　本実施例、および変形例において、車載ネットワークはネットワークシステムの一例であり、ＥＣＵは通信ノードの一例であり、ネットワークコントローラはゲートウェイの一例である。また、通信帯域、通信対象、および利用機能は通信パラメータの一例であり、違反基準は通信条件の一例である。
　本発明は特定の実施例、変形例を参照しながら説明されてきたが、各実施例、変形例は単なる例示に過ぎず、当業者は様々な変形例、修正例、代替例、置換例等を理解するであろう。説明の便宜上、本発明の実施例に従った装置は機能的なブロック図を用いて説明されたが、そのような装置はハードウェアで、ソフトウエアでまたはそれらの組み合わせで実現されてもよい。本発明は上記実施例に限定されず、本発明の精神から逸脱することなく、様々な変形例、修正例、代替例、置換例等が包含される。
　本願は２０１４年６月１６日に出願した日本国特許出願第２０１４－１２３０４６号に基づきその優先権を主張するものであり、同日本国出願の全内容を参照することにより本願に援用する。
　１００　ヘッドユニット
　１０２　ＥＣＵ
　１０４　ＥＣＵ
　１０６　ネットワークコントローラ
　１０８　第１の通信バス
　１１０　ＥＣＵ
　１１２　第４の通信バス
　２０２　ＯＢＤポート
　２０４　ＥＣＵ
　２０６　第２の通信バス
　３０２　情報デバイス
　３０４　ネットワークユニット
　３０６　第３の通信バス
　４００　無線デバイス
　５００　アクセスポイント
　１０２２　マイクロコントローラ
　１０２４　ＣＰＵ
　１０２６　ＲＯＭ
　１０２８　ＲＡＭ
　１０３０　通信部
　１０３２　トランシーバ
　１０６２　マイクロコントローラ
　１０６４　ＣＰＵ
　１０６６　ＲＯＭ
　１０６８　ＲＡＭ
　１０７０　通信部
　１０７２　第１のトランシーバ
　１０７４　第２のトランシーバ
　１０７６　第１の送受信部
　１０７８　認証処理部
　１０８０　レベル設定部
　１０８２　監視部
　１０８４　記憶・読出処理部
　１０８６　記憶部
　１０８８　通信制御部
　１０９０　帯域計測部
　１０９２　第２の送受信部
　１１０２　送受信部
　１１０４　認証処理部
　１１０６　送信データ作成部
　１１０８　記憶・読出処理部
　１１１０　記憶部
　１１１２　通信制御部

Claims (7)

  1. 　１以上の通信ノード、およびゲートウェイを含むネットワークシステムであって、
    　前記ゲートウェイは、
    　前記ネットワークシステムに新たに接続される通信ノードとの通信における通信パラメータを監視する監視部と、
    　前記監視部によって監視される通信パラメータが所定の通信条件を満たすか否かに基づいて前記新たに接続される通信ノードの信頼性を判断し、該信頼性に応じて前記所定の通信条件を変更する通信制御部と
    　を有する、ネットワークシステム。
  2. 　前記ゲートウェイは、
    　前記新たに接続される通信ノードを認証する第１の認証処理部をさらに有し、
    　前記監視部は、前記第１の認証処理部によって認証された前記新たに接続される通信ノードとの通信における通信パラメータを監視し、
    　前記通信制御部は、前記新たに接続される通信ノードから送信される信頼性を表す情報に基づいて前記所定の通信条件を決定し、該所定の通信条件に基づいて、前記新たに接続される通信ノードの信頼性を判断し、
    　前記新たに接続される通信ノードは、
    　前記ゲートウェイへ認証を要求する際に、該新たに接続される通信ノードの信頼性を表す情報を送信する第２の認証処理部
    　を有する、請求項１に記載のネットワークシステム。
  3. 　前記ゲートウェイは、
    　前記新たに接続される通信ノードの認証を、認証サービスを提供するクラウドサーバに要求するとともに、該クラウドサーバから認証結果を取得する第１の認証処理部をさらに有し、
    　前記監視部は、前記第１の認証処理部からの認証結果が成功したことを示す場合に、前記新たに接続される通信ノードとの通信における通信パラメータを監視し、
    　前記通信制御部は、前記新たに接続される通信ノードから送信される信頼性を表す情報に基づいて前記所定の通信条件を決定し、該所定の通信条件に基づいて、前記新たに接続される通信ノードの信頼性を判断し、
    　前記新たに接続される通信ノードは、
    　前記ゲートウェイへ認証を要求する際に、該新たに接続される通信ノードの信頼性を表す情報を送信する第２の認証処理部
    　を有する、請求項１に記載のネットワークシステム。
  4. 　前記ネットワークシステムは、複数の前記通信ノードを含み、
    　前記複数の通信ノードによって複数のサブネットワークが構成され、
    　前記通信制御部は、各通信ノードが異なるサブネットワークに属する通信ノードと通信を行う際に、前記監視部によって監視される通信パラメータが所定の通信条件を満たすか否かに基づいて、前記新たに接続される通信ノードの信頼性を判断し、該信頼性に応じて、前記所定の通信条件を変更する、請求項１に記載のネットワークシステム。
  5. 　前記監視部は、前記新たに接続される通信ノードとの通信に使用される帯域、該通信ノードの通信相手、該通信ノードが利用できる機能のいずれかを監視する、請求項１に記載のネットワークシステム。
  6. 　１以上の通信ノード、およびゲートウェイを含むネットワークシステムにおいて、ゲートウェイが実行する通信制御方法であって、
    　前記ネットワークシステムに新たに接続される通信ノードとの通信における通信パラメータを監視し、
    　前記監視される通信パラメータが所定の通信条件を満たすか否かに基づいて、前記新たに接続される通信ノードの信頼性を判断し、
    　該信頼性に応じて、前記所定の通信条件を変更する、通信制御方法。
  7. 　１以上の通信ノード、およびゲートウェイを含むネットワークシステムにおけるゲートウェイに、
    　前記ネットワークシステムに新たに接続される通信ノードとの通信における通信パラメータを監視させ、
    　前記監視される通信パラメータが所定の通信条件を満たすか否かに基づいて、前記新たに接続される通信ノードの信頼性を判断させ、
    　該信頼性に応じて、前記所定の通信条件を変更させる処理を実行させるプログラムを格納した、コンピュータ読み取り可能な記憶媒体。
PCT/JP2015/064955 2014-06-16 2015-05-25 ネットワークシステム、通信制御方法および記憶媒体 WO2015194323A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
RU2016148638A RU2659489C1 (ru) 2014-06-16 2015-05-25 Сетевая система, способ управления связью и носитель данных
JP2016529196A JP6327344B2 (ja) 2014-06-16 2015-05-25 ネットワークシステム、通信制御方法および記憶媒体
CN201580031389.9A CN106464566B (zh) 2014-06-16 2015-05-25 网络系统、通信控制方法以及存储介质
EP15809972.1A EP3157203B1 (en) 2014-06-16 2015-05-25 Network system, communication control method, and storage medium
US15/380,020 US20170099201A1 (en) 2014-06-16 2016-12-15 Network system, communication control method, and storage medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2014123046 2014-06-16
JP2014-123046 2014-06-16

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US15/380,020 Continuation US20170099201A1 (en) 2014-06-16 2016-12-15 Network system, communication control method, and storage medium

Publications (1)

Publication Number Publication Date
WO2015194323A1 true WO2015194323A1 (ja) 2015-12-23

Family

ID=54935317

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2015/064955 WO2015194323A1 (ja) 2014-06-16 2015-05-25 ネットワークシステム、通信制御方法および記憶媒体

Country Status (6)

Country Link
US (1) US20170099201A1 (ja)
EP (1) EP3157203B1 (ja)
JP (1) JP6327344B2 (ja)
CN (1) CN106464566B (ja)
RU (1) RU2659489C1 (ja)
WO (1) WO2015194323A1 (ja)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108023872A (zh) * 2016-11-04 2018-05-11 丰田自动车株式会社 车载网络系统
JP2020047992A (ja) * 2018-09-14 2020-03-26 株式会社デンソー 車両用中継装置
WO2022255005A1 (ja) * 2021-05-31 2022-12-08 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 監視システム、監視方法、監視装置および機能制限装置
US12024184B2 (en) 2018-12-25 2024-07-02 Mitsubishi Electric Corporation ECU, monitoring ECU, and CAN system
US12113782B2 (en) 2018-12-12 2024-10-08 Mitsubishi Electric Corporation Information processing apparatus, information processing method and computer readable medium

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102016206630A1 (de) * 2016-04-20 2017-11-09 Robert Bosch Gmbh Verfahren und Vorrichtung zur Vermeidung von Manipulation einer Datenübertragung
CN108694849B (zh) * 2018-06-05 2021-02-19 宁波市鄞州智伴信息科技有限公司 汽车辅助驾驶导航系统
CN109257374B (zh) * 2018-10-31 2021-09-03 百度在线网络技术（北京）有限公司 安全控制方法、装置和计算机设备
CN112148325B (zh) * 2019-06-28 2024-07-23 长城汽车股份有限公司 一种车载信息通信终端升级系统、方法及车辆
CN112448816B (zh) * 2019-08-31 2021-10-19 华为技术有限公司 一种身份验证方法及装置
CN112689982B (zh) * 2020-04-15 2022-04-29 华为技术有限公司 数据验证方法、装置及存储介质
JP7355073B2 (ja) * 2021-05-19 2023-10-03 トヨタ自動車株式会社 車両制御装置、車両、車両制御方法及びプログラム
WO2023137728A1 (zh) * 2022-01-21 2023-07-27 Oppo广东移动通信有限公司 通信方法及通信装置

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008092465A (ja) * 2006-10-04 2008-04-17 Internatl Business Mach Corp <Ibm> コンピュータ端末がネットワークに接続して通信することを管理・制御するための装置および方法。
JP2010087800A (ja) * 2008-09-30 2010-04-15 Fujitsu Ltd 機器使用管理システム、情報機器、その方法及びプログラム
JP2012168755A (ja) * 2011-02-15 2012-09-06 Internatl Business Mach Corp <Ibm> 異常検知システム、異常検知装置、異常検知方法、プログラムおよび記録媒体
JP2013110458A (ja) * 2011-11-17 2013-06-06 Denso Corp ゲートウェイ装置
WO2014045354A1 (ja) * 2012-09-19 2014-03-27 トヨタ自動車 株式会社 通信装置及び通信方法

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
ATE176744T1 (de) * 1992-11-27 1999-02-15 Ibm Mehrfachsende-leitweglenkung zwischen bereichen
US7797367B1 (en) * 1999-10-06 2010-09-14 Gelvin David C Apparatus for compact internetworked wireless integrated network sensors (WINS)
US7065454B2 (en) * 2003-08-21 2006-06-20 Csi Technology, Inc. Analysis of particles in fluid
US8041942B2 (en) * 2006-09-05 2011-10-18 Panasonic Corporation Robust peer-to-peer networks and methods of use thereof
US8769611B2 (en) * 2007-05-31 2014-07-01 Qualcomm Incorporated Methods and apparatus for providing PMIP key hierarchy in wireless communication networks
US8931038B2 (en) * 2009-06-19 2015-01-06 Servicemesh, Inc. System and method for a cloud computing abstraction layer
US8750286B2 (en) * 2009-03-19 2014-06-10 Nec Corporation Network communication system, communication device, network linkage method and program thereof
US8862774B2 (en) * 2011-09-12 2014-10-14 Cisco Technology, Inc. Dynamic keepalive parameters for reverse path validation in computer networks
JP2013135311A (ja) * 2011-12-26 2013-07-08 Denso Corp ゲートウェイ装置
DE102013101508B4 (de) * 2012-02-20 2024-10-02 Denso Corporation Datenkommunikationsauthentifizierungssystem für ein Fahrzeug und Netzkopplungsvorrichtung für ein Fahrzeug
US9800483B2 (en) * 2012-04-13 2017-10-24 CirrusWorks, Inc. Method and apparatus for dynamic bandwidth allocation for optimizing network utilization
US8942120B2 (en) * 2012-05-24 2015-01-27 Mitsubishi Electric Research Laboratories, Inc. Reputation-based routing and error-correction coding in ad hoc networks
US8688110B1 (en) * 2012-09-13 2014-04-01 Qualcomm Incorporated Apparatus and method for limiting searches for a home PLMN according to its proximity

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008092465A (ja) * 2006-10-04 2008-04-17 Internatl Business Mach Corp <Ibm> コンピュータ端末がネットワークに接続して通信することを管理・制御するための装置および方法。
JP2010087800A (ja) * 2008-09-30 2010-04-15 Fujitsu Ltd 機器使用管理システム、情報機器、その方法及びプログラム
JP2012168755A (ja) * 2011-02-15 2012-09-06 Internatl Business Mach Corp <Ibm> 異常検知システム、異常検知装置、異常検知方法、プログラムおよび記録媒体
JP2013110458A (ja) * 2011-11-17 2013-06-06 Denso Corp ゲートウェイ装置
WO2014045354A1 (ja) * 2012-09-19 2014-03-27 トヨタ自動車 株式会社 通信装置及び通信方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3157203A4 *

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108023872A (zh) * 2016-11-04 2018-05-11 丰田自动车株式会社 车载网络系统
JP2020047992A (ja) * 2018-09-14 2020-03-26 株式会社デンソー 車両用中継装置
JP7003884B2 (ja) 2018-09-14 2022-01-21 株式会社デンソー 車両用中継装置
US12113782B2 (en) 2018-12-12 2024-10-08 Mitsubishi Electric Corporation Information processing apparatus, information processing method and computer readable medium
US12024184B2 (en) 2018-12-25 2024-07-02 Mitsubishi Electric Corporation ECU, monitoring ECU, and CAN system
WO2022255005A1 (ja) * 2021-05-31 2022-12-08 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 監視システム、監視方法、監視装置および機能制限装置
WO2022254521A1 (ja) * 2021-05-31 2022-12-08 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 監視システム、監視方法、監視装置および機能制限装置

Also Published As

Publication number Publication date
EP3157203B1 (en) 2018-07-04
CN106464566B (zh) 2020-01-21
CN106464566A (zh) 2017-02-22
EP3157203A4 (en) 2017-07-26
EP3157203A1 (en) 2017-04-19
JPWO2015194323A1 (ja) 2017-04-20
JP6327344B2 (ja) 2018-05-23
RU2659489C1 (ru) 2018-07-02
US20170099201A1 (en) 2017-04-06

Similar Documents

Publication Publication Date Title
JP6327344B2 (ja) ネットワークシステム、通信制御方法および記憶媒体
US11618394B2 (en) Vehicle secure messages based on a vehicle private key
US11755713B2 (en) System and method for controlling access to an in-vehicle communication network
KR101480605B1 (ko) 차량 네트워크 접속 장치 및 그 접속 제어 방법
CN106154903B (zh) 用于整车网络与外设进行信息交互的系统和方法
US20190187291A1 (en) Secure vehicle control unit update
US20180217828A1 (en) Over-the-air updates security
CN109428716A (zh) 车内组的密钥分配
US10135866B2 (en) Method of preventing drive-by hacking, and apparatus and system therefor
JP6852604B2 (ja) 車載装置、管理方法および管理プログラム
US20130166138A1 (en) Vehicle information transmission apparatus
CN111355701A (zh) 针对连接性的基于策略和令牌的授权框架
CN109286595A (zh) 汽车及其控制方法和控制装置及计算机设备
JP6981755B2 (ja) 車載ネットワークシステム
CN114301596A (zh) 车内网ota安全通讯方法、装置、车载系统及存储介质
CN112423266A (zh) 一种车辆诊断方法、装置及汽车
KR20150089697A (ko) 모바일 단말을 이용한 스마트 카 보안 시스템 및 그 방법
CN114640995A (zh) 认证方法、设备及系统
Mokhadder et al. Evaluation of vehicle system performance of an SAE J1939-91C network security implementation
JP2018060295A (ja) 制御装置、制御方法、及びコンピュータプログラム
JP6470344B2 (ja) 制御装置、制御方法、及びコンピュータプログラム
WO2018037894A1 (ja) 車両用認証装置
KR20130052865A (ko) 차량 네트워크 통신 장치 및 방법
KR20120010693A (ko) 전자 제어 장치간 인증방법 및 그 방법을 이용한 전자 제어 장치
MASTHAN et al. A Practical Wireless Attack on the Connected Car and Security Protocol for In-Vehicle CAN

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15809972

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2016529196

Country of ref document: JP

Kind code of ref document: A

REEP Request for entry into the european phase

Ref document number: 2015809972

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2015809972

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2016148638

Country of ref document: RU

Kind code of ref document: A