WO2019225317A1 - 車載通信装置及び通信方法 - Google Patents

車載通信装置及び通信方法 Download PDF

Info

Publication number
WO2019225317A1
WO2019225317A1 PCT/JP2019/018428 JP2019018428W WO2019225317A1 WO 2019225317 A1 WO2019225317 A1 WO 2019225317A1 JP 2019018428 W JP2019018428 W JP 2019018428W WO 2019225317 A1 WO2019225317 A1 WO 2019225317A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
communication
processing unit
microcomputer
performs
Prior art date
Application number
PCT/JP2019/018428
Other languages
English (en)
French (fr)
Inventor
好邦 下村
Original Assignee
住友電装株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 住友電装株式会社 filed Critical 住友電装株式会社
Publication of WO2019225317A1 publication Critical patent/WO2019225317A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks

Definitions

  • a plurality of in-vehicle devices mounted on a vehicle are connected via an in-vehicle network such as CAN (Controller Area Network) or Ethernet (registered trademark), and exchange information with other in-vehicle devices.
  • the vehicle is provided with a function of performing wireless communication with a server device or a terminal device provided outside the vehicle, and information is exchanged inside and outside the vehicle.
  • the vehicle is provided with a connector for connecting a terminal device for performing inspection or maintenance of the vehicle with a wire, for example, and an operator can use the terminal device connected with the wire to trouble the vehicle. It can be confirmed whether or not there is.
  • a gateway interposed in a communication path between a failure diagnosis device outside a vehicle and a vehicle-mounted network is a specific communication regarding a specific security item between the failure diagnosis device and an in-vehicle ECU (Electronic Control Unit).
  • the system that shuts down is described.
  • the gateway enables specific communication on the condition that a predetermined operation accompanied by an authentication process is performed and the operator is authenticated as a legitimate operator.
  • Patent Document 1 has a configuration in which a gateway determines whether or not authentication processing is possible and controls whether or not communication inside and outside the vehicle is possible according to the determination result.
  • a gateway determines whether or not authentication processing is possible and controls whether or not communication inside and outside the vehicle is possible according to the determination result.
  • an unauthorized device can illegally access the device in the vehicle.
  • an unauthorized device attacks the device in the vehicle, there is a possibility that it may adversely affect, for example, vehicle travel control.
  • the present disclosure has been made in view of such circumstances, and an object of the present disclosure is an in-vehicle communication device capable of reducing adverse effects on a vehicle caused by an attack from an external device existing outside the vehicle. And providing a communication method.
  • the in-vehicle communication device performs an external communication processing unit that performs processing related to communication with an external device existing outside the vehicle, and processing related to communication with other in-vehicle devices provided inside the vehicle.
  • the first processing unit having the first in-vehicle communication processing unit and the communication with the other in-vehicle device provided inside the vehicle do not perform the processing related to the communication with the external device existing outside the vehicle.
  • the in-vehicle communication device relates to communication with an in-vehicle communication processing unit that performs processing related to communication with an external device existing outside the vehicle and communication with other in-vehicle devices provided inside the vehicle.
  • a first processing unit having a first in-vehicle communication processing unit that performs processing, and other in-vehicle devices provided inside the vehicle without performing processing related to communication with an external device existing outside the vehicle
  • a second processing unit having a second in-vehicle communication processing unit for performing processing related to communication, wherein the first processing unit performs a first processing related to control of other in-vehicle devices provided in the vehicle.
  • the second processing unit performs a second process different from the first process related to the control of other in-vehicle devices provided in the vehicle.
  • the in-vehicle communication device includes two processing units, a first processing unit and a second processing unit.
  • the first processing unit performs processing related to communication with an external device existing outside the vehicle and performs processing related to communication with another in-vehicle device provided inside the vehicle.
  • the second processing unit does not perform processing related to communication with an external device existing outside the vehicle, but performs processing related to communication with other in-vehicle devices provided inside the vehicle.
  • the first processing unit performs first processing
  • the second processing unit performs second processing different from the first processing. Since the second processing unit does not communicate with an external device existing outside the vehicle, the second processing unit is not exposed to an attack from the external device.
  • the communication with the external device existing outside the vehicle by the in-vehicle communication device may be configured such that the in-vehicle communication device directly communicates with the external device, and the in-vehicle communication device is another device such as a wireless communication device. It may be configured to communicate with an external device via a network.
  • a plurality of communication lines for communicating with other communication devices provided inside the vehicle are connected, and the first in-vehicle communication processing unit of the first processing unit includes a plurality of communication lines. It is preferable that communication is performed using all, and the second in-vehicle communication processing unit of the second processing unit performs communication using a part of the plurality of communication lines.
  • a plurality of communication lines provided in the vehicle are connected to the in-vehicle communication device.
  • the first processing unit communicates with other in-vehicle devices using all connected communication lines.
  • the second processing unit communicates with other in-vehicle devices using a part of the plurality of connected communication lines.
  • the second process includes a process related to travel control of the vehicle.
  • the second process performed by the second processing unit that does not communicate with the external device includes a process related to vehicle travel control. Therefore, it can suppress that the process which concerns on driving control of a vehicle receives the bad influence by the attack from the outside.
  • the second process includes a process of updating a program executed by another vehicle-mounted device provided inside the vehicle.
  • the second process performed by the second processing unit that does not communicate with the external device includes a process of updating a program executed by another in-vehicle device. Therefore, it can suppress that the update process of the program of a vehicle-mounted apparatus receives the bad influence by the attack from the outside.
  • the in-vehicle communication device relays message transmission / reception between a plurality of in-vehicle devices and relays message transmission / reception performed inside and outside the vehicle.
  • a 1st process part performs the process which relays the message to which 1st identification information was attached
  • the second processing unit performs a process of relaying a message to which the second identification information different from the first identification information is attached as the second process.
  • the first processing performed by the first processing unit and the second processing performed by the second processing unit by setting the correspondence between the identification information attached to the message and the processing unit performing the message relay processing in the table. Can be easily distinguished from each other.
  • the in-vehicle communication device including the first processing unit and the second processing unit is connected to an external device existing outside the vehicle and another in-vehicle device provided inside the vehicle.
  • a communication method for performing communication wherein the first processing unit performs processing related to communication with an external device existing outside the vehicle, and the first processing unit is provided inside the vehicle.
  • the first processing unit performs a first process related to the control of another in-vehicle device provided inside the vehicle, and the second processing unit performs the process related to communication with the in-vehicle device.
  • the second processing unit is installed inside the vehicle without performing processing related to communication with an external device existing outside the vehicle, performing processing related to communication with other in-vehicle devices provided inside the vehicle.
  • the second process performed by the second processing unit can increase resistance to attacks from the outside.
  • FIG. 1 is a block diagram showing a configuration of a communication system according to the present embodiment.
  • a gateway 2 mounted on a vehicle 1 and a plurality of ECUs 3 are connected via a plurality of communication lines 1a to 1c, and messages are transmitted and received between the communication lines 1a to 1c. Is configured to relay.
  • two ECUs 3 are connected to the communication lines 1 a to 1 c by buses, and the three communication lines 1 a to 1 c are connected to one gateway 2.
  • the number of ECUs 3 mounted on the vehicle 1, the number of communication lines 1a to 1c, the number of ECUs 3 connected to the communication lines 1a to 1c, and the like are examples, and are not limited thereto.
  • the gateway 2 is connected to a connector 4 provided at an appropriate position of the vehicle 1 via a communication line 1d.
  • a communication line 1d For example, an inspection device 6 provided for a dealer or maintenance of the vehicle 1 is connected to the connector 4 via a communication cable 6a.
  • the gateway 2 can communicate with the inspection device 6 through the communication line 1d, the connector 4, and the communication cable 6a.
  • the gateway 2 relays message transmission / reception between the ECU 3 and the inspection device 6 by transmitting the message received from the inspection device 6 to the ECU 3 of the vehicle 1 and transmitting the message received from the ECU 3 to the inspection device 6.
  • the gateway 2 is connected to an antenna 5 provided at an appropriate position of the vehicle 1 via a communication line 1e.
  • the gateway 2 communicates with a server device 7 provided outside the vehicle 1 through, for example, a public mobile phone communication network or a wireless LAN by transmitting and receiving wireless signals with the antenna 5. be able to.
  • the gateway 2 relays message transmission / reception between the ECU 3 and the server device 7 by transmitting the message received from the server device 7 to the ECU 3 of the vehicle 1 and transmitting the message received from the ECU 3 to the server device 7.
  • the gateway 2 performs a process of updating a program executed by the ECU 3 mounted on the vehicle 1 for, for example, version upgrade or defect correction.
  • the gateway 2 acquires and stores an update program for the ECU 3 from the inspection device 6 or the server device 7.
  • the gateway 2 reads the stored update program at an appropriate timing, for example, when the vehicle 1 is not traveling, transmits it to the ECU 3 to be updated, and gives an instruction to the ECU 3 to perform the update. Processing for updating the program of the ECU 3 is performed.
  • FIG. 2 is a block diagram showing a configuration of the gateway 2 according to the present embodiment.
  • the gateway 2 according to the present embodiment includes a first microcomputer (microcontroller) 21, a second microcomputer 22, a RAM (Random Access Memory) 23, and the like.
  • the microcomputer includes, for example, a processor, a memory, a communication unit, and the like configured as a single IC (Integrated Circuit), and can perform various arithmetic processing and control processing by executing a program stored in advance.
  • the gateway 2 according to this embodiment includes two microcomputers, a first microcomputer 21 and a second microcomputer 22.
  • the RAM 23 is configured using a memory element such as DRAM (Dynamic Random Access Memory) or SRAM (Static Random Access Memory).
  • the RAM 23 is configured to be readable and writable from both the first microcomputer 21 and the second microcomputer 22.
  • the RAM 23 is used, for example, for temporary storage of messages relayed by the gateway 2 or temporary storage of an update program for the ECU 3.
  • the gateway 2 may include a storage unit using a nonvolatile memory element such as a flash memory or an EEPROM (ElectricallyrErasable Programmable Read Only Memory) instead of the RAM 23 or separately from the RAM 23.
  • the gateway 2 includes five connection portions 25a to 25e for connecting the five communication lines 1a to 1e provided in the vehicle 1.
  • the five connection portions 25a to 25e are electrically connected to the terminals of the first microcomputer 21 mounted on the circuit board via wiring provided on the circuit board accommodated in the housing of the gateway 2, respectively. ing.
  • the two connection portions 25b and 25c are electrically connected to the terminals of the second microcomputer 22, respectively. That is, five communication lines 1a to 1e are connected to the first microcomputer 21, and two communication lines 1b and 1c are connected to the second microcomputer 22.
  • the first microcomputer 21 performs processing related to communication with the inspection device 6 and the server device 7 existing outside the vehicle 1, and the second microcomputer 22 does not perform this processing.
  • FIG. 3 is a block diagram showing a configuration of the first microcomputer 21 according to the present embodiment.
  • the first microcomputer 21 includes a processor 211, a memory 212, a CAN (Controller (Area Network) communication unit 213, a wireless communication unit 214, an I / F (interface) unit 215, and the like.
  • the processor 211 is an arithmetic processing unit that performs various arithmetic processes by reading and executing a program stored in the memory 212.
  • the I / F unit 215 is connected to the RAM 23 via one or a plurality of signal lines provided on the circuit board of the gateway 2.
  • the processor 211 can read and write data from and to the RAM 23 via the I / F unit 215.
  • FIG. 6 is a schematic diagram for explaining an example of the division of roles between the first microcomputer 21 and the second microcomputer 22, and shows an example of a relay table stored in the first microcomputer 21 and the second microcomputer 22. It is.
  • the ID given to the message of the CAN communication standard also represents the priority of the message in the system. The smaller the numerical value, the higher the priority.
  • IDs 1 to 50 are attached to messages transmitted and received in the system, and the relay table stores information for identifying the communication lines 1a to 1e as relay destinations corresponding to the IDs. Yes.
  • information with ID 1 to 19 is stored in the memory 222 as a relay table of the second microcomputer 22, and information with ID 20 to 50 is stored in the first microcomputer 21.
  • information with ID 20 to 50 is stored in the first microcomputer 21.
  • the first microcomputer 21 acquires the ID included in the message, refers to its relay table, and relays the message when the ID is registered in the relay table. Send to the destination.
  • the first microcomputer 21 and the second microcomputer 22 may discard this message.
  • messages with IDs 1 to 50 are divided into two messages, ID 1 to 19 and ID 20 to 50, based on the priority of IDs and assigned to two microcomputers. ing.
  • the half of the message as shown in FIG. 6 is not necessarily realized.
  • the second microcomputer 22 relays messages ID1 to 19 and 25, and the first microcomputer 21 relays messages ID20 to 24 and 26 to 50. It may be continuous. Or, conversely, in accordance with the assignment of FIG. 5, the message having the lowest priority (the ID value is large) among the messages to be relayed by the second microcomputer 22 is examined, and the two microcomputers are divided into two with the ID as a boundary. May be assigned.
  • FIG. 7 is a flowchart showing a procedure of processing performed by the first microcomputer 21 of the gateway 2 according to the present embodiment.
  • the processor 211 of the first microcomputer 21 of the gateway 2 according to the present embodiment determines whether a message is received by either the CAN communication unit 213 or the wireless communication unit 214 (step S1). If no message is received (S1: NO), the processor 211 waits until a message is received.
  • the processor 211 determines whether or not the received message is an update program for the ECU 3 mounted on the vehicle 1 (step S6). Whether or not the received message is an update program is assumed to include information in the header of the message, for example.
  • the processor 211 stores the received update program in the RAM 23 (step S7), and ends the process. If the received message is not an update program (S6: NO), the processor 211 discards the received message (step S8) and ends the process.
  • the processor 221 When the condition for performing the update process is satisfied (S31: YES), the processor 221 reads the update program stored in the RAM 23 (step S32). Next, the processor 221 transmits the read update program to the ECU 3 to be updated (step S33). After completing the transmission of the update program, the processor 221 transmits an instruction to execute the update process to the ECU 3 (step S34), and ends the process.
  • the second process performed by the second microcomputer 22 can be a process of updating a program executed by the ECU 3, for example. Thereby, it can suppress that the update process of the program of ECU3 receives the bad influence by the attack from the outside.
  • the gateway 2 performs relaying of message transmission / reception performed between the plurality of ECUs 3 and relaying of message transmission / reception performed inside and outside the vehicle 1.
  • the first microcomputer 21 and the second microcomputer 22 store the correspondence between the ID attached to the message and the relay destination of the message as a relay table.
  • the first microcomputer 21 performs the process of relaying the message with the ID set in its relay table as the first process
  • the second microcomputer 22 receives a message with an ID different from the message relayed by the first microcomputer 21.
  • the relay process is performed as the second process. This makes it possible to easily distinguish between the message relay process performed by the first microcomputer 21 as the first process and the message relay process performed by the second microcomputer 22 as the second process. It becomes possible.
  • one gateway 2 includes the first microcomputer 21 and the second microcomputer 22, but the present invention is not limited to this.
  • the communication system may have a configuration in which a first gateway including the first microcomputer 21 and a second gateway including the second microcomputer 22 are provided.
  • the processing unit for performing processing such as message relay is a microcomputer, the present invention is not limited to this, and various processing units other than the microcomputer may be used.
  • the communication in the vehicle 1 is performed according to the CAN communication standard, the present invention is not limited to this.
  • the communication within the vehicle 1 may be performed according to another communication standard such as Ethernet or FlexRay.
  • the communication standard used when communicating with the inspection device 6 via the connector 4 may be different from the communication standard used when the ECU 3 of the vehicle 1 performs communication.
  • the gateway 2 is configured to be connected to the antenna 5 via the communication line 1e.
  • the present invention is not limited to this, and the gateway 2 may incorporate the antenna 5.
  • Vehicle 1a to 1e Communication line 2 Gateway (vehicle communication device) 3 ECU (other communication devices) 4 Connector 5 Antenna 6 Inspection device (external device) 6a Communication cable 7 Server device (external device) 21 1st microcomputer (1st processing part) 22 Second microcomputer (second processing unit) 23 RAM 25a to 25e connection unit 211 processor 212 memory 213 CAN communication unit (external communication processing unit, first in-vehicle communication processing unit) 214 Wireless communication unit (External communication processing unit) 215 I / F unit 221 processor 222 memory 223 CAN communication unit (second in-vehicle communication processing unit)

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • Mechanical Engineering (AREA)
  • Mathematical Physics (AREA)
  • Small-Scale Networks (AREA)

Abstract

車両の外部に存在する外部装置からの攻撃により生じる車両への悪影響を低減することができる車載通信装置及び通信方法を提供する。　本実施の形態に係る車載通信装置は、車両の外部に存在する外部装置との通信に係る処理を行う車外通信処理部及び前記車両の内部に設けられた他の車載機器との通信に係る処理を行う第１車内通信処理部を有する第１処理部と、前記車両の外部に存在する外部装置との通信に係る処理を行わず、前記車両の内部に設けられた他の車載機器との通信に係る処理を行う第２車内通信処理部を有する第２処理部とを備え、前記第１処理部は、前記車両の内部に設けられた他の車載機器の制御に係る第１処理を行い、前記第２処理部は、前記車両の内部に設けられた他の車載機器の制御に係る、前記第１処理とは異なる第２処理を行う。

Description

車載通信装置及び通信方法
　本開示は、車両の内外との通信を行う車載通信装置及び通信方法に関する。
　従来、車両に搭載された複数の車載機器は、ＣＡＮ（Controller Area Network）又はイーサネット（登録商標）等の車内ネットワークを介して接続され、他の車載機器との通信により情報交換を行って、車両の制御などを協働して行っている。また車両には、車両の外部に設けられたサーバ装置又は端末装置等との間で無線を介した通信を行う機能が設けられ、車両内外での情報交換が行われている。また車両には、例えば車両の検査又は整備等を実施するための端末装置を有線で接続するためのコネクタなどが設けられており、有線接続された端末装置を利用して作業者は車両の故障の有無などを確認することができる。
　特許文献１においては、車両外の故障診断装置と車載ネットワークとの間の通信経路に介在するゲートウェイが、故障診断装置と車内のＥＣＵ（Electronic Control Unit）との間における特定のセキュリテイ項目に関する特定通信を遮断するシステムが記載されています。ゲートウェイは、認証処理を伴う所定の操作が行われ、操作者が正規の実施者であると認証されたことを条件に特定通信を可能とする。
特開２０１３－１０７４５４号公報
　特許文献１に記載のシステムは、ゲートウェイが認証処理の可否を判定し、判定結果に応じて車両内外の通信の可否を制御する構成である。しかしながら、悪意のある者が不正に認証処理を突破した場合、不正な装置が車両内の装置に不正にアクセスすることが可能となる。このような状況において不正な装置が車両内の装置への攻撃を行った場合、例えば車両の走行制御などに悪影響を及ぼす虞がある。
　本開示は、斯かる事情に鑑みてなされたものであって、その目的とするところは、車両の外部に存在する外部装置からの攻撃により生じる車両への悪影響を低減することができる車載通信装置及び通信方法を提供することにある。
　本態様に係る車載通信装置は、車両の外部に存在する外部装置との通信に係る処理を行う車外通信処理部及び前記車両の内部に設けられた他の車載機器との通信に係る処理を行う第１車内通信処理部を有する第１処理部と、前記車両の外部に存在する外部装置との通信に係る処理を行わず、前記車両の内部に設けられた他の車載機器との通信に係る処理を行う第２車内通信処理部を有する第２処理部とを備え、前記第１処理部は、前記車両の内部に設けられた他の車載機器の制御に係る第１処理を行い、前記第２処理部は、前記車両の内部に設けられた他の車載機器の制御に係る、前記第１処理とは異なる第２処理を行う。
　本態様に係る通信方法は、第１処理部及び第２処理部を備える車載通信装置が、車両の外部に存在する外部装置及び前記車両の内部に設けられた他の車載機器との通信を行う通信方法であって、前記第１処理部が、前記車両の外部に存在する外部装置との通信に係る処理を行い、前記第１処理部が、前記車両の内部に設けられた他の車載機器との通信に係る処理を行い、前記第１処理部が、前記車両の内部に設けられた他の車載機器の制御に係る第１処理を行い、前記第２処理部が、前記車両の外部に存在する外部装置との通信に係る処理を行わず、前記車両の内部に設けられた他の車載機器との通信に係る処理を行い、前記第２処理部が、前記車両の内部に設けられた他の車載機器の制御に係る、前記第１処理とは異なる第２処理を行う。
　なお、本願は、このような特徴的な処理部を備える車載通信装置として実現することができるだけでなく、かかる特徴的な処理をステップとする通信方法として実現したり、かかるステップをコンピュータに実行させるためのコンピュータプログラムとして実現したりすることができる。また、車載通信装置の一部又は全部を実現する半導体集積回路として実現したり、車載通信装置を含むその他の装置又はシステムとして実現したりすることができる。
　上記によれば、車両の外部に存在する外部装置からの攻撃により生じる車両への悪影響を低減することができる。
本実施の形態に係る通信システムの構成を示すブロック図である。 本実施の形態に係るゲートウェイの構成を示すブロック図である。 本実施の形態に係る第１マイコンの構成を示すブロック図である。 本実施の形態に係る第２マイコンの構成を示すブロック図である。 第１マイコン及び第２マイコンの役割分担の一例を説明するための模式図である。 第１マイコン及び第２マイコンの役割分担の一例を説明するための模式図である。 本実施の形態に係るゲートウェイの第１マイコンが行う処理の手順を示すフローチャートである。 本実施の形態に係るゲートウェイの第２マイコンが行う処理の手順を示すフローチャートである。 本実施の形態に係るゲートウェイの第２マイコンが行う更新処理の手順を示すフローチャートである。
［本開示の実施の形態の説明］
　最初に本開示の実施態様を列記して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。
（１）本態様に係る車載通信装置は、車両の外部に存在する外部装置との通信に係る処理を行う車外通信処理部及び前記車両の内部に設けられた他の車載機器との通信に係る処理を行う第１車内通信処理部を有する第１処理部と、前記車両の外部に存在する外部装置との通信に係る処理を行わず、前記車両の内部に設けられた他の車載機器との通信に係る処理を行う第２車内通信処理部を有する第２処理部とを備え、前記第１処理部は、前記車両の内部に設けられた他の車載機器の制御に係る第１処理を行い、前記第２処理部は、前記車両の内部に設けられた他の車載機器の制御に係る、前記第１処理とは異なる第２処理を行う。
　本態様にあっては、車載通信装置が第１処理部及び第２処理部の２つの処理部を備える。第１処理部は、車両の外部に存在する外部装置との通信に係る処理を行うと共に、車両の内部に設けられた他の車載機器との通信に係る処理を行う。これに対して第２処理部は、車両の外部に存在する外部装置との通信に係る処理を行わず、車両の内部に設けられた他の車載機器との通信に係る処理を行う。車両の内部に設けられた他の車載機器の制御に係る処理として、第１処理部は第１処理を行い、第２処理部は第１処理とは異なる第２処理を行う。第２処理部は車両の外部に存在する外部装置との通信を行わないため、外部装置からの攻撃にさらされることがない。これにより車載通信装置が行う処理のうち、第２処理部が行う第２処理については外部からの攻撃に対する耐性を高めることができる。
　例えば、外部からの攻撃を受けた場合に車両の挙動に大きな悪影響が与えられる可能性がある処理を、第２処理として第２処理部に行わせることができる。これにより、外部からの攻撃により車両の挙動に大きな悪影響が与えられることを防止できる。
　なお車載通信装置による車両の外部に存在する外部装置との通信は、車載通信装置が直接的に外部装置と通信する構成であってもよく、車載通信装置が例えば無線通信装置などの他の装置を介して外部装置と通信する構成であってもよい。
（２）前記車両の内部に設けられた他の通信装置との通信を行うための通信線が複数接続され、前記第１処理部の前記第１車内通信処理部は、複数の前記通信線の全てを用いて通信を行い、前記第２処理部の前記第２車内通信処理部は、複数の前記通信線のうちの一部を用いて通信を行うことが好ましい。
　本態様にあっては、車載通信装置には車両に設けられた複数の通信線が接続される。第１処理部は、接続された全ての通信線を用いて他の車載機器との通信を行う。第２処理部は、接続された複数の通信線のうちの一部を用いて他の車載機器との通信を行う。これにより第２処理部が扱う通信線の数を低減することができ、第２処理部の小型化及び低価格化等が期待できる。
（３）前記第２処理には、前記車両の走行制御に係る処理を含むことが好ましい。
　本態様にあっては、外部装置との通信を行わない第２処理部が行う第２処理には、車両の走行制御に係る処理を含む。これにより、車両の走行制御に係る処理が外部からの攻撃による悪影響を受けることを抑制できる。
（４）前記第２処理には、前記車両の内部に設けられた他の車載機器が実行するプログラムを更新する処理を含むことが好ましい。
　本態様にあっては、外部装置との通信を行わない第２処理部が行う第２処理には、他の車載機器が実行するプログラムを更新する処理を含む。これにより、車載機器のプログラムの更新処理が外部からの攻撃による悪影響を受けることを抑制できる。
（５）前記第１処理部は、第１の識別情報が付されたメッセージを中継する処理を行い、前記第２処理部は、前記第１の識別情報とは異なる第２の識別情報が付されたメッセージを中継する処理を行うことが好ましい。
　本態様にあっては、車載通信装置は、複数の車載機器間で行われるメッセージの送受信の中継及び車両内外で行われるメッセージの送受信の中継を行う。第１処理部は、第１の識別情報が付されたメッセージを中継する処理を第１処理として行う。第２処理部は、第１の識別情報とは異なる第２の識別情報が付されたメッセージを中継する処理を第２処理として行う。例えば、メッセージに付される識別情報と、メッセージ中継の処理を行う処理部との対応などをテーブルに設定することによって、第１処理部が行う第１処理と第２処理部が行う第２処理とを容易に区別することが可能となる。
（６）本態様に係る通信方法は、第１処理部及び第２処理部を備える車載通信装置が、車両の外部に存在する外部装置及び前記車両の内部に設けられた他の車載機器との通信を行う通信方法であって、前記第１処理部が、前記車両の外部に存在する外部装置との通信に係る処理を行い、前記第１処理部が、前記車両の内部に設けられた他の車載機器との通信に係る処理を行い、前記第１処理部が、前記車両の内部に設けられた他の車載機器の制御に係る第１処理を行い、前記第２処理部が、前記車両の外部に存在する外部装置との通信に係る処理を行わず、前記車両の内部に設けられた他の車載機器との通信に係る処理を行い、前記第２処理部が、前記車両の内部に設けられた他の車載機器の制御に係る、前記第１処理とは異なる第２処理を行う。
　本態様にあっては、態様（１）と同様に、車載通信装置が行う処理のうち、第２処理部が行う第２処理については外部からの攻撃に対する耐性を高めることができる。
［本開示の実施形態の詳細］
　本開示の実施形態に係る車載通信装置の具体例を、以下に図面を参照しつつ説明する。なお、本開示はこれらの例示に限定されるものではなく、請求の範囲によって示され、請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。
　図１は、本実施の形態に係る通信システムの構成を示すブロック図である。本実施の形態に係る通信システムは、車両１に搭載されたゲートウェイ２と複数のＥＣＵ３とが複数の通信線１ａ～１ｃを介して接続され、通信線１ａ～１ｃ間のメッセージの送受信をゲートウェイ２が中継する構成である。図示の例では、各通信線１ａ～１ｃに対して２つのＥＣＵ３がそれぞれバス接続され、この３つの通信線１ａ～１ｃが１つのゲートウェイ２に接続されている。ただし、車両１に搭載されるＥＣＵ３の数、通信線１ａ～１ｃの数、各通信線１ａ～１ｃに接続されるＥＣＵ３の数等は、一例であって、これに限るものではない。
　またゲートウェイ２は、車両１の適所に設けられたコネクタ４に通信線１ｄを介して接続されている。コネクタ４には、例えば車両１のディーラ又は整備等に備えられた検査装置６が通信ケーブル６ａを介して接続される。コネクタ４に検査装置６が接続された場合、ゲートウェイ２は通信線１ｄ、コネクタ４及び通信ケーブル６ａを介して検査装置６との通信を行うことができる。ゲートウェイ２は、検査装置６から受信したメッセージを車両１のＥＣＵ３へ送信すると共に、ＥＣＵ３から受信したメッセージを検査装置６へ送信することにより、ＥＣＵ３及び検査装置６の間のメッセージ送受信を中継する。
　またゲートウェイ２は、車両１の適所に設けられたアンテナ５に通信線１ｅを介して接続されている。ゲートウェイ２は、アンテナ５にて無線信号の送受信を行うことによって、例えば公衆の携帯電話通信網又は無線ＬＡＮ等を介して車両１の外部に設けられたサーバ装置７などとの間で通信を行うことができる。ゲートウェイ２は、サーバ装置７から受信したメッセージを車両１のＥＣＵ３へ送信すると共に、ＥＣＵ３から受信したメッセージをサーバ装置７へ送信することにより、ＥＣＵ３及びサーバ装置７の間のメッセージ送受信を中継する。
　また本実施の形態に係るゲートウェイ２は、車両１に搭載されたＥＣＵ３が実行するプログラムを、例えばバージョンアップ又は不具合修正等のために、更新する処理を行う。ゲートウェイ２は、検査装置６又はサーバ装置７からＥＣＵ３の更新用プログラムを取得して記憶する。ゲートウェイ２は、例えば車両１が走行していない場合などの適宜のタイミングにて、記憶した更新用プログラムを読み出して更新対象のＥＣＵ３へ送信し、ＥＣＵ３に対して更新を行う指示を与えることで、ＥＣＵ３のプログラムを更新する処理を行う。
　図２は、本実施の形態に係るゲートウェイ２の構成を示すブロック図である。本実施の形態に係るゲートウェイ２は、第１マイコン（マイクロコントローラ）２１、第２マイコン２２及びＲＡＭ（Random Access Memory）２３等を備えて構成されている。マイコンは、例えばプロセッサ、メモリ及び通信ユニット等が１つのＩＣ（Integrated Circuit）として構成されたものであり、予め記憶したプログラムを実行することによって種々の演算処理及び制御処理等を行うことができる。本実施の形態に係るゲートウェイ２は第１マイコン２１及び第２マイコン２２の２つのマイコンを備えている。
　ＲＡＭ２３は、例えばＤＲＡＭ（Dynamic Random Access Memory）又はＳＲＡＭ（Static Random Access Memory）等のメモリ素子を用いて構成されている。ＲＡＭ２３は、第１マイコン２１及び第２マイコン２２のいずれからも読み書き可能な構成とされている。ＲＡＭ２３は、例えばゲートウェイ２が中継するメッセージの一時的な記憶、又は、ＥＣＵ３の更新用プログラムの一時的な記憶等に用いられる。ゲートウェイ２は、ＲＡＭ２３に代えて又はＲＡＭ２３とは別に、フラッシュメモリ又はＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）等の不揮発性のメモリ素子を用いた記憶部を備えてもよい。
　またゲートウェイ２には、車両１に設けられた５つの通信線１ａ～１ｅを接続するための５つの接続部２５ａ～２５ｅを備えている。５つの接続部２５ａ～２５ｅは、ゲートウェイ２の筐体内に収容される回路基板に設けられた配線を介して、この回路基板上に搭載された第１マイコン２１の端子にそれぞれ電気的に接続されている。また２つの接続部２５ｂ及び２５ｃは、第２マイコン２２の端子にそれぞれ電気的に接続されている。即ち、第１マイコン２１には５つの通信線１ａ～１ｅが接続され、第２マイコン２２には２つの通信線１ｂ及び１ｃが接続される。このため、車両１の外部に存在する検査装置６及びサーバ装置７との通信に関する処理は第１マイコン２１が行い、第２マイコン２２はこの処理を行わない。
　図３は、本実施の形態に係る第１マイコン２１の構成を示すブロック図である。第１マイコン２１は、プロセッサ２１１、メモリ２１２、ＣＡＮ（Controller Area Network）通信部２１３、無線通信部２１４及びＩ／Ｆ（インタフェース）部２１５等を備えて構成されている。プロセッサ２１１は、メモリ２１２に記憶されたプログラムを読み出して実行することにより、種々の演算処理を行う演算処理装置である。
　メモリ２１２は、ＥＥＰＲＯＭ又はフラッシュメモリ等の不揮発性のメモリ素子を用いて構成され、プロセッサ２１１が実行する各種のプログラム及びこのプログラムを実行するために必要なデータ等を記憶する。本実施の形態においてメモリ２１２は、第１プログラム及び中継テーブルを記憶している。中継テーブルは、受信したメッセージに付されたＩＤと、このメッセージの送信先との対応が記憶されている。メッセージの送信先は、例えば通信線１ａ～１ｅ又は接続部２５ａ～２５ｅを識別する情報とすることができる。
　ＣＡＮ通信部２１３は、ＣＡＮの通信規格に基づくメッセージの送受信を行う。本実施の形態に係る第１マイコン２１はＣＡＮ通信部２１３を４つ備えており、４つのＣＡＮ通信部２１３は４つの通信線１ａ～１ｄに接続される。ＣＡＮ通信部２１３は、プロセッサ２１１から与えられたメッセージを、通信線１ａ～１ｄを介してＥＣＵ３又は検査装置６へ送信する。またＣＡＮ通信部２１３は、通信線１ａ～１ｄを介してＥＣＵ３又は検査装置６から受信したメッセージをプロセッサ２１１へ与える。
　無線通信部２１４は、例えば携帯電話通信網又は無線ＬＡＮ等の無線通信を行う。無線通信部２１４は、プロセッサ２１１から与えられたメッセージを変調した信号をアンテナ５へ出力することによりメッセージを送信する。また無線通信部２１４は、アンテナ５にて受信した信号を復調して得られたメッセージをプロセッサ２１１へ与える。本実施の形態においては、無線通信部２１４を第１マイコン２１が備える構成としたが、これに限るものではない。無線通信の機能を有する別のＩＣをゲートウェイ２が備え、第１マイコン２１がこのＩＣを制御して無線通信を行う構成としてもよい。また、無線通信の機能を有する無線通信装置をゲートウェイ２とは別に設け、第１マイコン２１が無線通信装置を利用して無線通信を行う構成としてもよい。この場合には第１マイコン２１には無線通信部２１４に代えてＣＡＮ通信部２１３が設けられ、ＣＡＮの通信規格により無線通信装置との通信を行う構成とすることができる。
　Ｉ／Ｆ部２１５は、ゲートウェイ２の回路基板に設けられた一又は複数の信号線を介してＲＡＭ２３に接続されている。プロセッサ２１１は、Ｉ／Ｆ部２１５を介して、ＲＡＭ２３に対するデータの読み出し及び書き込みを行うことができる。
　図４は、本実施の形態に係る第２マイコン２２の構成を示すブロック図である。第２マイコン２２は、プロセッサ２２１、メモリ２２２、ＣＡＮ通信部２２３及びＩ／Ｆ部２２４等を備えて構成されている。第２マイコン２２の構成は、第１マイコン２１から２つのＣＡＮ通信部２１３と無線通信部２１４とを除いた構成である。プロセッサ２２１は、メモリ２２２に記憶されたプログラムを読み出して実行することにより、種々の演算処理を行う演算処理装置である。
　メモリ２２２は、ＥＥＰＲＯＭ又はフラッシュメモリ等の不揮発性のメモリ素子を用いて構成され、プロセッサ２２１が実行する各種のプログラム及びこのプログラムを実行するために必要なデータ等を記憶する。本実施の形態においてメモリ２２２は、第２プログラム及び中継テーブルを記憶している。中継テーブルは、受信したメッセージに付されたＩＤと、このメッセージの送信先との対応が記憶されている。メッセージの送信先は、例えば通信線１ｂ，１ｃ又は接続部２５ｂ，２５ｃを識別する情報とすることができる。第２マイコン２２の中継テーブルの構成は、第１マイコン２１の中継テーブルの構成と同じであるが、テーブルに記憶されている情報が異なっている。
　ＣＡＮ通信部２２３は、ＣＡＮの通信規格に基づくメッセージの送受信を行う。本実施の形態に係る第２マイコン２２はＣＡＮ通信部２２３を２つ備えており、２つのＣＡＮ通信部２２３は２つの通信線１ｂ，１ｃに接続される。ＣＡＮ通信部２２３は、プロセッサ２２１から与えられたメッセージを、通信線１ｂ，１ｃを介してＥＣＵ３へ送信する。またＣＡＮ通信部２２３は、通信線１ｂ，１ｃを介してＥＣＵ３から受信したメッセージをプロセッサ２２１へ与える。
　Ｉ／Ｆ部２２４は、ゲートウェイ２の回路基板に設けられた一又は複数の信号線を介してＲＡＭ２３に接続されている。プロセッサ２２１は、Ｉ／Ｆ部２２４を介して、ＲＡＭ２３に対するデータの読み出し及び書き込みを行うことができる。
　図５は、第１マイコン２１及び第２マイコン２２の役割分担の一例を説明するための模式図である。本実施の形態に係るゲートウェイ２においては、第１マイコン２１が行う処理（第１処理）と、第２マイコン２２が行う処理（第２処理）とが区別されている。第１マイコン２１が行う処理は、車両の挙動に影響を与えない制御に関するメッセージの中継である。第１マイコン２１は、例えば車両１に搭載されたカメラ、カーナビゲーション、エアーコンディショナー、ライト及びワイパー等の制御に関するメッセージを中継する処理を行う。これに対して第２マイコン２２が行う処理は、車両の挙動に影響を与える制御に関するメッセージの中継である。第２マイコン２２は、例えば車両１のエンジン又はモータ等の原動機、及び、ブレーキ等の制御に関するメッセージを中継する処理を行う。
　また本実施の形態に係るゲートウェイ２は、車両１に搭載されたＥＣＵ３が実行するプログラムを更新する処理を行う。このプログラムの更新処理は、第２マイコン２２が行う。第２マイコン２２は、ＲＡＭ２３に記憶された更新用プログラムを、更新対象のＥＣＵ３へ送信し、このＥＣＵ３へ更新処理を開始する命令を送信することによって、ＥＣＵ３のプログラムを更新する。更新用プログラムは検査装置６又はサーバ装置７から取得するが、この更新用プログラムの取得処理は第１マイコン２１が行う。第１マイコン２１は、検査装置６又はサーバ装置７から取得した更新用プログラムをＲＡＭ２３に記憶する。即ち、本実施の形態において第２マイコン２２が行う更新処理は、更新用プログラムをＥＣＵ３へ送信する処理であり、更新用プログラムを取得する処理は含まない。
　本実施の形態においてはゲートウェイ２、ＥＣＵ３及び検査装置６はＣＡＮの通信規格に基づくメッセージの送受信を行うため、メッセージにはＩＤが付される。メッセージのＩＤは、図５に示すような制御対象毎に異なる値が設定され、第１マイコン２１及び第２マイコン２２はメッセージに付されたＩＤに基づいて自身が中継すべきメッセージであるか否かを判断することができる。第１マイコン２１のメモリ２１２の中継テーブルと、第２マイコン２２のメモリ２２２の中継テーブルとには、それぞれ中継すべきメッセージのＩＤと、中継先の通信線１ａ～１ｅを識別する情報とが対応付けて記憶されている。第１マイコン２１及び第２マイコン２２は、自身が記憶している中継テーブルに従ってメッセージの中継を行うことによって、図５に示す分担でメッセージを中継することができる。中継テーブルに記憶されるＩＤ及び中継先の対応情報は、車両１のシステムの設計者などが予め決定する。
　図６は、第１マイコン２１及び第２マイコン２２の役割分担の一例を説明するための模式図であり、第１マイコン２１及び第２マイコン２２が記憶している中継テーブルの一例を示したものである。ＣＡＮの通信規格のメッセージに付されるＩＤは、システムにおけるメッセージの優先度を表すものでもあり、その数値が小さいほど優先度が高い。図示の例では、システム中で送受信されるメッセージには１～５０のＩＤが付されるものとし、中継テーブルにはＩＤに対応する中継先として通信線１ａ～１ｅを識別する情報が記憶されている。
　例えば、図６に示すＩＤ及び中継先の対応関係のうち、ＩＤが１～１９の情報が第２マイコン２２の中継テーブルとしてメモリ２２２に記憶され、ＩＤが２０～５０の情報が第１マイコン２１の中継テーブルとしてメモリ２１２に記憶される。第１マイコン２１及び第２マイコン２２は、メッセージを受信した場合にこのメッセージに含まれるＩＤを取得して自身の中継テーブルを参照し、ＩＤが中継テーブルに登録されている場合にこのメッセージを中継先へ送信する。受信したメッセージのＩＤが自身の中継テーブルに登録されていない場合、第１マイコン２１及び第２マイコン２２は、このメッセージを破棄すればよい。
　図６に示す例では、ＩＤの優先度の高低に基づきＩＤが１～５０のメッセージを、ＩＤが１～１９のメッセージと、ＩＤが２０～５０のメッセージとに二分して２つのマイコンに割り当てている。しかし図５に示した分担でメッセージを２つのマイコンに割り当てた場合、必ずしも図６に示すようなメッセージの二分が実現されるとは限らない。例えば、ＩＤ１～１９，２５のメッセージを第２マイコン２２が中継し、ＩＤ２０～２４，２６～５０のメッセージを第１マイコン２１が中継するなどのように、各マイコンに割り当てられるメッセージのＩＤが非連続となってもよい。あるいは逆に、図５の分担に従って第２マイコン２２が中継すべきメッセージの中で最も優先度が低い（ＩＤの値が大きい）メッセージを調べ、このＩＤを境界としてメッセージを二分して２つのマイコンに割り当ててもよい。
　図７は、本実施の形態に係るゲートウェイ２の第１マイコン２１が行う処理の手順を示すフローチャートである。本実施の形態に係るゲートウェイ２の第１マイコン２１のプロセッサ２１１は、ＣＡＮ通信部２１３又は無線通信部２１４のいずれかにてメッセージを受信したか否かを判定する（ステップＳ１）。メッセージを受信していない場合（Ｓ１：ＮＯ）、プロセッサ２１１は、メッセージを受信するまで待機する。
　メッセージを受信した場合（Ｓ１：ＹＥＳ）、プロセッサ２１１は、受信したメッセージに含まれるＩＤを取得する（ステップＳ２）。プロセッサ２１１は、取得したＩＤに基づいて、メモリ２１２に記憶した中継テーブルを参照する（ステップＳ３）。プロセッサ２１１は、ステップＳ２にて取得したＩＤが中継テーブルに含まれているか否かを判定することによって、ステップＳ１にて受信したメッセージが中継対象であるか否かを判定する（ステップＳ４）。受信したメッセージが中継対象である場合（Ｓ４：ＹＥＳ）、プロセッサ２１１は、中継テーブルにおいて受信メッセージのＩＤに対応付けられた中継先を特定し、この中継先へメッセージを送信し（ステップＳ５）、処理を終了する。
　受信したメッセージが中継対象でない場合（Ｓ４：ＮＯ）、プロセッサ２１１は、受信したメッセージが車両１に搭載されたＥＣＵ３の更新用プログラムであるか否かを判定する（ステップＳ６）。受信したメッセージが更新用プログラムであるか否かは、例えばメッセージのヘッダに情報が含まれているものとする。受信したメッセージが更新用プログラムである場合（Ｓ６：ＹＥＳ）、プロセッサ２１１は、受信した更新用プログラムをＲＡＭ２３に記憶し（ステップＳ７）、処理を終了する。また、受信したメッセージが更新用プログラムでない場合（Ｓ６：ＮＯ）、プロセッサ２１１は、受信したメッセージを破棄し（ステップＳ８）、処理を終了する。
　図８は、本実施の形態に係るゲートウェイ２の第２マイコン２２が行う処理の手順を示すフローチャートである。本実施の形態に係るゲートウェイ２の第２マイコン２２のプロセッサ２２１は、ＣＡＮ通信部２２３のいずれかにてメッセージを受信したか否かを判定する（ステップＳ２１）。メッセージを受信していない場合（Ｓ２１：ＮＯ）、プロセッサ２２１は、メッセージを受信するまで待機する。
　メッセージを受信した場合（Ｓ２１：ＹＥＳ）、プロセッサ２２１は、受信したメッセージに含まれるＩＤを取得する（ステップＳ２２）。プロセッサ２２１は、取得したＩＤに基づいて、メモリ２２２に記憶した中継テーブルを参照する（ステップＳ２３）。プロセッサ２２１は、ステップＳ２２にて取得したＩＤが中継テーブルに含まれているか否かを判定することによって、ステップＳ２１にて受信したメッセージが中継対象であるか否かを判定する（ステップＳ２４）。受信したメッセージが中継対象である場合（Ｓ２４：ＹＥＳ）、プロセッサ２２１は、中継テーブルにおいて受信メッセージのＩＤに対応付けられた中継先を特定し、この中継先へメッセージを送信し（ステップＳ２５）、処理を終了する。また、受信したメッセージが中継対象でない場合（Ｓ２４：ＮＯ）、プロセッサ２１１は、受信したメッセージを破棄し（ステップＳ２６）、処理を終了する。
　図９は、本実施の形態に係るゲートウェイ２の第２マイコン２２が行う更新処理の手順を示すフローチャートである。本実施の形態に係るゲートウェイ２の第２マイコン２２のプロセッサ２１１は、ＥＣＵ３のプログラムの更新処理を行う条件が成立したか否かを判定する（ステップＳ３１）。更新処理を行う条件は、例えばＲＡＭ２３に更新用プログラムが記憶されており、且つ、車両１のエンジン又はモータ等が停止中であることなどとすることができるが、この条件は一例であって、どのような条件であってもよい。更新処理を行う条件が成立していない場合（Ｓ３１：ＮＯ）、プロセッサ２２１は、条件が成立するまで待機する。
　更新処理を行う条件が成立した場合（Ｓ３１：ＹＥＳ）、プロセッサ２２１は、ＲＡＭ２３に記憶された更新用プログラムを読み出す（ステップＳ３２）。次いでプロセッサ２２１は、読み出した更新用プログラムを、更新処理の対象となるＥＣＵ３へ送信する（ステップＳ３３）。更新用プログラムの送信完了後、プロセッサ２２１は、更新処理を実行する命令をＥＣＵ３へ送信し（ステップＳ３４）、処理を終了する。
　以上の構成の本実施の形態に係るゲートウェイ２は、第１マイコン２１及び第２マイコン２２の２つのマイコンを備える。第１マイコン２１は、車両１の外部に存在する検査装置６及びサーバ装置７等との通信に係る処理を行うと共に、車両１の内部に設けられたＥＣＵ３との通信に係る処理を行う。これに対して第２マイコン２２は、車両１の外部に存在する検査装置６及びサーバ装置７等との通信に係る処理を行わず、車両１の内部に設けられたＥＣＵ３との通信に係る処理を行う。第２マイコン２２は、車両１の外部に存在する外部装置との通信を行わないため、外部装置からの攻撃にさらされることがない。これにより、ゲートウェイ２が行う処理のうち、第２マイコン２２が行う処理については、外部からの攻撃に対する耐性を高めることができる。
　また本実施の形態に係るゲートウェイ２は、複数の通信線１ａ～１ｅが接続される。第１マイコン２１は、接続された全ての通信線１ａ～１ｅを用いて通信を行う。第２マイコン２２は、接続された複数の通信線１ａ～１ｅのうちの一部の通信線１ｂ，１ｃを用いて通信を行う。これにより第２マイコン２２が扱う通信線の数を低減することができ、第２マイコン２２の小型化及び低価格化等が期待できる。
　また本実施の形態に係るゲートウェイ２は、車両１のＥＣＵ３の制御に係る処理として、第１マイコン２１は第１処理を行い、第２マイコン２２は第１処理とは異なる第２処理を行う。第２マイコン２２が行う第２処理は、例えば車両１の走行制御に係る処理とすることができる。これにより、車両１の走行制御に係る処理が外部からの攻撃による悪影響を受けることを抑制できる。
　また第２マイコン２２が行う第２処理は、例えばＥＣＵ３が実行するプログラムを更新する処理とすることができる。これにより、ＥＣＵ３のプログラムの更新処理が外部からの攻撃による悪影響を受けることを抑制できる。
　また本実施の形態に係るゲートウェイ２は、複数のＥＣＵ３の間で行われるメッセージの送受信の中継及び車両１の内外で行われるメッセージの送受信の中継を行う。ゲートウェイ２は、メッセージに対して付されるＩＤとメッセージの中継先との対応を、第１マイコン２１及び第２マイコン２２がそれぞれ中継テーブルとして記憶している。第１マイコン２１は自身の中継テーブルに設定されたＩＤのメッセージを中継する処理を第１処理として行い、第２マイコン２２は第１マイコン２１が中継するメッセージとは異なるＩＤが付されたメッセージを中継する処理を第２処理として行う。これにより、第１マイコン２１が第１処理として行うメッセージの中継処理と、第２マイコン２２が第２処理として行うメッセージの中継処理とを容易に区別することが可能となり、容易に設定することが可能となる。
　なお本実施の形態においては、１つのゲートウェイ２が第１マイコン２１及び第２マイコン２２を備える構成としたが、これに限るものではない。例えば通信システムは、第１マイコン２１を備える第１ゲートウェイと第２マイコン２２を備える第２ゲートウェイとを設ける構成としてもよい。またメッセージの中継などの処理を行う処理部をマイコンとしたが、これに限るものではなく、マイコン以外の種々の処理部であってよい。また車両１内の通信をＣＡＮの通信規格に従って行う構成としたが、これに限るものではなく、例えばイーサネット又はＦｌｅｘＲａｙ等の他の通信規格に従って車両１内の通信を行う構成としてもよい。またコネクタ４を介して検査装置６との通信を行う際の通信規格は、車両１のＥＣＵ３が通信を行う際の通信規格とは別のものを採用してもよい。またゲートウェイ２は通信線１ｅを介してアンテナ５に接続される構成としたが、これに限るものではなく、ゲートウェイ２がアンテナ５を内蔵していてもよい。
　またゲートウェイ２が行う処理には、第１マイコン２１が行う第１処理及び第２マイコン２２が行う第２処理の他に、第１マイコン２１及び第２マイコン２２が行う第３処理が含まれていてもよい。例えば、ゲートウェイ２が中継するメッセージには、第１マイコン２１のみが中継するメッセージ及び第２マイコン２２のみが中継するメッセージの他に、第１マイコン２１及び第２マイコン２２が中継するメッセージが含まれていてよい。例えばＩＤ１～１０のメッセージを第２マイコン２２のみが中継し、ＩＤ１１～２９のメッセージを第１マイコン２１又は第２マイコン２２のいずれかが中継し、ＩＤ３０～５０のメッセージを第１マイコン２１のみが中継する構成とすることができる。この場合、ＩＤ１１～２９のメッセージをいずれのマイコンが中継するかは、例えばメッセージを受信した時点におけるマイコンの処理負荷などに基づいて決定され得る。
　通信システムにおける各装置は、マイクロプロセッサ、ＲＯＭ及びＲＡＭ等を含んで構成されるコンピュータを備える。マイクロプロセッサ等の演算処理部は、図７～図９に示すような、シーケンス図またはフローチャートの各ステップの一部又は全部を含むコンピュータプログラムを、ＲＯＭ、ＲＡＭ等の記憶部からそれぞれ読み出して実行する。これら複数の装置のコンピュータプログラムは、それぞれ、外部のサーバ装置等からインストールすることができる。また、これら複数の装置のコンピュータプログラムは、それぞれ、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、半導体メモリ等の記録媒体に格納された状態で流通する。
　今回開示された実施形態はすべての点で例示であって、制限的なものではないと考えられるべきである。本開示の範囲は、上記した意味ではなく、請求の範囲によって示され、請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。
　１　車両
　１ａ～１ｅ　通信線
　２　ゲートウェイ（車載通信装置）
　３　ＥＣＵ（他の通信装置）
　４　コネクタ
　５　アンテナ
　６　検査装置（外部装置）
　６ａ　通信ケーブル
　７　サーバ装置（外部装置）
　２１　第１マイコン（第１処理部）
　２２　第２マイコン（第２処理部）
　２３　ＲＡＭ
　２５ａ～２５ｅ　接続部
　２１１　プロセッサ
　２１２　メモリ
　２１３　ＣＡＮ通信部（車外通信処理部、第１車内通信処理部）
　２１４　無線通信部（車外通信処理部）
　２１５　Ｉ／Ｆ部
　２２１　プロセッサ
　２２２　メモリ
　２２３　ＣＡＮ通信部（第２車内通信処理部）
 

Claims (6)

  1. 　車両の外部に存在する外部装置との通信に係る処理を行う車外通信処理部及び前記車両の内部に設けられた他の車載機器との通信に係る処理を行う第１車内通信処理部を有する第１処理部と、
    　前記車両の外部に存在する外部装置との通信に係る処理を行わず、前記車両の内部に設けられた他の車載機器との通信に係る処理を行う第２車内通信処理部を有する第２処理部と
    　を備え、
    　前記第１処理部は、前記車両の内部に設けられた他の車載機器の制御に係る第１処理を行い、
    　前記第２処理部は、前記車両の内部に設けられた他の車載機器の制御に係る、前記第１処理とは異なる第２処理を行う、車載通信装置。
  2. 　前記車両の内部に設けられた他の通信装置との通信を行うための通信線が複数接続され、
    　前記第１処理部の前記第１車内通信処理部は、複数の前記通信線の全てを用いて通信を行い、
    　前記第２処理部の前記第２車内通信処理部は、複数の前記通信線のうちの一部を用いて通信を行う、請求項１に記載の車載通信装置。
  3. 　前記第２処理には、前記車両の走行制御に係る処理を含む、請求項１又は請求項２に記載の車載通信装置。
  4. 　前記第２処理には、前記車両の内部に設けられた他の車載機器が実行するプログラムを更新する処理を含む、請求項１から請求項３までのいずれか１項に記載の車載通信装置。
  5. 　前記第１処理部は、第１の識別情報が付されたメッセージを中継する処理を行い、
    　前記第２処理部は、前記第１の識別情報とは異なる第２の識別情報が付されたメッセージを中継する処理を行う、請求項１から請求項４までのいずれか１項に記載の車載通信装置。
  6. 　第１処理部及び第２処理部を備える車載通信装置が、車両の外部に存在する外部装置及び前記車両の内部に設けられた他の車載機器との通信を行う通信方法であって、
    　前記第１処理部が、前記車両の外部に存在する外部装置との通信に係る処理を行い、
    　前記第１処理部が、前記車両の内部に設けられた他の車載機器との通信に係る処理を行い、
    　前記第１処理部が、前記車両の内部に設けられた他の車載機器の制御に係る第１処理を行い、
    　前記第２処理部が、前記車両の外部に存在する外部装置との通信に係る処理を行わず、前記車両の内部に設けられた他の車載機器との通信に係る処理を行い、
    　前記第２処理部が、前記車両の内部に設けられた他の車載機器の制御に係る、前記第１処理とは異なる第２処理を行う、通信方法。
     
PCT/JP2019/018428 2018-05-22 2019-05-08 車載通信装置及び通信方法 WO2019225317A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018098067A JP2019202605A (ja) 2018-05-22 2018-05-22 車載通信装置及び通信方法
JP2018-098067 2018-05-22

Publications (1)

Publication Number Publication Date
WO2019225317A1 true WO2019225317A1 (ja) 2019-11-28

Family

ID=68616416

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/018428 WO2019225317A1 (ja) 2018-05-22 2019-05-08 車載通信装置及び通信方法

Country Status (2)

Country Link
JP (1) JP2019202605A (ja)
WO (1) WO2019225317A1 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7251489B2 (ja) * 2020-01-21 2023-04-04 株式会社オートネットワーク技術研究所 車載無線通信装置、無線通信システム、無線通信装置及び車両制御方法
JP2022114879A (ja) * 2021-01-27 2022-08-08 株式会社オートネットワーク技術研究所 車載装置、及び情報処理方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006333007A (ja) * 2005-05-25 2006-12-07 Nissan Motor Co Ltd 車両通信システム及びデータ通信方法
JP2014072673A (ja) * 2012-09-28 2014-04-21 Toyota Motor Corp 中継装置
JP2017010097A (ja) * 2015-06-17 2017-01-12 三菱電機株式会社 プログラム更新システム
JP2017220220A (ja) * 2016-06-02 2017-12-14 株式会社デンソー 車両用電子制御装置及び車両用サービス管理システム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006333007A (ja) * 2005-05-25 2006-12-07 Nissan Motor Co Ltd 車両通信システム及びデータ通信方法
JP2014072673A (ja) * 2012-09-28 2014-04-21 Toyota Motor Corp 中継装置
JP2017010097A (ja) * 2015-06-17 2017-01-12 三菱電機株式会社 プログラム更新システム
JP2017220220A (ja) * 2016-06-02 2017-12-14 株式会社デンソー 車両用電子制御装置及び車両用サービス管理システム

Also Published As

Publication number Publication date
JP2019202605A (ja) 2019-11-28

Similar Documents

Publication Publication Date Title
US9635151B2 (en) In-vehicle communication system and in-vehicle relay apparatus
CN104955680B (zh) 访问限制装置、车载通信系统及通信限制方法
JP6485429B2 (ja) 車載ネットワークシステム
US20210237668A1 (en) On-board communication device, on-board communication system, and specific processing prohibition method for a vehicle
US11556331B2 (en) Program update management device
WO2019225317A1 (ja) 車載通信装置及び通信方法
WO2019004173A1 (ja) 車載通信システム、車載中継装置及び中継プログラム
JP6677132B2 (ja) 車載通信機、管理装置、管理方法および監視プログラム
WO2020066790A1 (ja) 中継装置システム
WO2020195066A1 (ja) 車載通信システム、車載中継装置及び車載制御装置
CN112673594B (zh) 中继装置
US20220385553A1 (en) Vehicle-mounted relay device and information processing method
JP2021166335A (ja) 車載中継装置、情報処理方法及びプログラム
JP2006023850A (ja) 車両用診断システム及びこれに用いる統合制御装置
CN114128222B (zh) 中继装置系统
JP2021093572A (ja) 判定装置、判定プログラム及び判定方法
WO2021095589A1 (ja) 車載中継装置及び情報処理方法
JP7081415B2 (ja) 通信装置、通信方法、および通信プログラム
US20220231997A1 (en) Setting device, communication system, and vehicle communication management method

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19806456

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19806456

Country of ref document: EP

Kind code of ref document: A1