WO2022230496A1 - 車載通信システム、中継装置および中継方法 - Google Patents

車載通信システム、中継装置および中継方法 Download PDF

Info

Publication number
WO2022230496A1
WO2022230496A1 PCT/JP2022/014308 JP2022014308W WO2022230496A1 WO 2022230496 A1 WO2022230496 A1 WO 2022230496A1 JP 2022014308 W JP2022014308 W JP 2022014308W WO 2022230496 A1 WO2022230496 A1 WO 2022230496A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
relay
frame
safety level
relay device
Prior art date
Application number
PCT/JP2022/014308
Other languages
English (en)
French (fr)
Inventor
大津智弘
萩原剛志
浦山博史
呉ダルマワン
菊地慶剛
田中秀幸
泉達也
山本祐輔
Original Assignee
株式会社オートネットワーク技術研究所
住友電装株式会社
住友電気工業株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社オートネットワーク技術研究所, 住友電装株式会社, 住友電気工業株式会社 filed Critical 株式会社オートネットワーク技術研究所
Priority to CN202280028037.8A priority Critical patent/CN117121446A/zh
Publication of WO2022230496A1 publication Critical patent/WO2022230496A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks

Definitions

  • the present disclosure relates to an in-vehicle communication system, a relay device, and a relay method.
  • This application claims priority based on Japanese Patent Application No. 2021-77516 filed on April 30, 2021, and the entire disclosure thereof is incorporated herein.
  • Patent Document 1 International Publication No. 2020/1453364 discloses the following technology. That is, the vehicular control device, based on a control scenario in which a state of a vehicle in which a vehicle network made up of a plurality of repeaters is built and control details set for each of the plurality of repeaters, is associated with each of the plurality of repeaters. control the instrument.
  • An in-vehicle communication system of the present disclosure includes a plurality of in-vehicle devices and a relay device, wherein the first in-vehicle device is the second in-vehicle device for transmitting and receiving information to and from the second in-vehicle device.
  • a frame addressed to a device is transmitted to the relay device, and the relay device receives a required safety level, which is a level of safety required for communication between the first vehicle-mounted device and the second vehicle-mounted device, and the relaying the frame to the second on-board device based on a result of comparison with a system safety level based at least on functional safety levels relating to vehicle safety possessed by the first on-board device and the second on-board device, respectively; Decide whether to accept or reject.
  • a relay device of the present disclosure is a relay device used in an in-vehicle communication system including a plurality of in-vehicle devices, and includes a required safety level, which is a level of safety required for communication between the in-vehicle devices, and each of the in-vehicle devices.
  • a setting unit for setting whether or not to relay a frame for transmitting and receiving information between the in-vehicle devices based on the result of comparison with the system safety level based at least on the functional safety level related to the safety of the vehicle; and a relay unit that relays the frame according to the content of the setting by the setting unit.
  • a relay method of the present disclosure is a relay method in a relay device used in an in-vehicle communication system including a plurality of in-vehicle devices, and includes a required safety level that is a level of safety required for communication between the in-vehicle devices; setting whether or not to relay a frame for transmitting and receiving information between the in-vehicle devices based on a comparison result with a system safety level based at least on a functional safety level related to vehicle safety possessed by each in-vehicle device; and a step of relaying the frame according to the set contents.
  • One aspect of the present disclosure can be implemented not only as a relay device including such a characteristic processing unit, but also as a semiconductor integrated circuit that implements part or all of the relay device, and can be implemented as a semiconductor integrated circuit that implements processing in the relay device. It can be realized as a program for causing a computer to execute the steps of, it can be realized as a semiconductor integrated circuit that realizes a part or all of an in-vehicle communication system equipped with a relay device, or a relay whose steps are the processes in the in-vehicle communication system It can be implemented as a method or as a program for causing a computer to execute processing steps in an in-vehicle communication system.
  • FIG. 1 is a diagram showing the configuration of an in-vehicle communication system according to an embodiment of the present disclosure.
  • FIG. 2 is a diagram illustrating a configuration of a relay device according to an embodiment of the present disclosure
  • FIG. 3 is a diagram illustrating an example of a system management list stored in a storage unit in the relay device according to the embodiment of the present disclosure
  • FIG. 4 is a diagram illustrating an example of a service management list stored in a storage unit in the relay device according to the embodiment of the present disclosure
  • FIG. 5 is a diagram illustrating an example of the system management list updated by the updating unit in the relay device according to the embodiment of the present disclosure.
  • FIG. 1 is a diagram showing the configuration of an in-vehicle communication system according to an embodiment of the present disclosure.
  • FIG. 2 is a diagram illustrating a configuration of a relay device according to an embodiment of the present disclosure
  • FIG. 3 is a diagram illustrating an example of a system management list stored in a storage unit in the relay device according
  • FIG. 6 is a diagram illustrating an example of a service management list updated by an updating unit in the relay device according to the embodiment of the present disclosure.
  • FIG. 7 is a flowchart that defines an example of an operation procedure when the relay device according to the embodiment of the present disclosure performs relay processing.
  • FIG. 8 is a diagram showing an example of a communication sequence in the vehicle-mounted communication system according to the embodiment of the present disclosure.
  • FIG. 9 is a diagram showing another example of the communication sequence in the in-vehicle communication system according to the embodiment of the present disclosure.
  • the present disclosure has been made to solve the above-described problems, and its purpose is to provide an in-vehicle communication system, a relay device, and a relay method capable of improving security in an in-vehicle network.
  • An in-vehicle communication system includes a plurality of in-vehicle devices and a relay device, wherein the first in-vehicle device transmits and receives information to and from the second in-vehicle device. to the relay device, and the relay device determines the level of security required for communication between the first and second vehicle-mounted devices. and a system safety level based on at least a functional safety level relating to vehicle safety possessed by each of the first vehicle-mounted device and the second vehicle-mounted device. 2 determines whether or not to relay to the in-vehicle device.
  • the frame relay is determined based on the result of comparison between the required safety level required for communication between on-vehicle devices and the system safety level based on the functional safety level of each on-board device. Since it is possible to decide whether or not to relay a frame in consideration of the required safety level of communication between devices, for example, if the required safety level of communication between on-board devices is high, it is possible to exchange frames between on-board devices. can be prevented from occurring. Therefore, security in the in-vehicle network can be improved.
  • the relay device transfers the frame to the second vehicle-mounted device based on a comparison result between the required safety level and the system safety level further based on safety mechanism data attached to the frame. You may decide whether to relay the
  • the relay device may include a storage unit that stores a system management list showing a correspondence relationship between the set of the in-vehicle devices and the system safety level. may be notified to the relay device, and the relay device may update the system management list in the storage unit based on the functional safety level notified from the in-vehicle device.
  • the system safety level indicated by the system management list in the storage unit can be updated as the functional safety level of the in-vehicle device is changed. Even when the safety level is changed, it is possible to more appropriately determine whether or not to relay the frame between the in-vehicle devices based on the system safety level that reflects the functional safety level after the change.
  • the relay device may include a storage unit that stores a service management list indicating correspondence between types of information transmitted and received between the in-vehicle devices and the required safety level, and the in-vehicle device:
  • the relay device may be notified of the required safety level required for communication between the self and other in-vehicle devices, and the relay device, based on the required safety level notified from the in-vehicle device,
  • the service management list in the storage unit may be updated.
  • the first in-vehicle device may transmit the frame in which a message conforming to SOME/IP (Scalable service-oriented Middleware over IP) is stored to the relay device, and the relay device may transmit Whether or not to relay the frame to the second in-vehicle device may be determined based on a comparison result between the required safety level corresponding to the included service ID and the system safety level.
  • SOME/IP Scalable service-oriented Middleware over IP
  • the relay device determines not to relay the frame to the second vehicle-mounted device, the relay device sets the conditions necessary for relaying the frame to the second vehicle-mounted device as the You may notify to a 1st vehicle-mounted apparatus.
  • a relay device is a relay device used in an in-vehicle communication system including a plurality of in-vehicle devices. Regarding whether or not to relay frames for transmitting and receiving information between the onboard devices based on the result of comparison between the safety level and the system safety level based at least on the functional safety level related to vehicle safety possessed by each of the onboard devices A setting unit that performs setting and a relay unit that relays the frame according to the content of the setting by the setting unit.
  • a relay method is a relay method in a relay device used in an in-vehicle communication system including a plurality of in-vehicle devices, and a level of safety required for communication between the in-vehicle devices and a system safety level based at least on the functional safety level related to the safety of the vehicle possessed by each of the in-vehicle devices. and a step of relaying the frame according to the set content.
  • FIG. 1 is a diagram showing the configuration of an in-vehicle communication system according to an embodiment of the present disclosure.
  • in-vehicle communication system 301 includes relay device 101 and multiple in-vehicle ECUs 111 .
  • the in-vehicle communication system 301 includes in-vehicle ECUs 111A and 111B as the in-vehicle ECU 111 .
  • the in-vehicle communication system 301 may be configured to include two in-vehicle ECUs 111 or may be configured to include three or more in-vehicle ECUs 111 .
  • the in-vehicle ECU 111 is an example of an in-vehicle device.
  • the in-vehicle communication system 301 is mounted on the vehicle 1 .
  • the relay device 101 is used for the in-vehicle communication system 301 .
  • the relay device 101 is connected to each in-vehicle ECU 111 via the cable 2 .
  • the cable 2 is, for example, a cable conforming to the Ethernet (registered trademark) standard.
  • Relay device 101 and in-vehicle ECU 111 constitute an in-vehicle network.
  • the in-vehicle ECU 111 gives instructions to various devices in an electric power steering (EPS), a brake control device, an accelerator control device, a steering control device, and an advanced driver-assistance system (ADAS). It is a driving assistance device, a sensor, or the like.
  • EPS electric power steering
  • ADAS advanced driver-assistance system
  • the relay device 101 can communicate with the in-vehicle ECU 111 .
  • the relay device 101 performs relay processing for relaying information exchanged between a plurality of in-vehicle ECUs 111 connected to different cables 2, for example.
  • the in-vehicle ECU 111 periodically generates an LLDP frame, which is a frame conforming to LLDP (Link Layer Discovery Protocol), and transmits the generated LLDP frame to the relay apparatus 101 including its own MAC address and own IP address. .
  • LLDP Link Layer Discovery Protocol
  • the relay device 101 receives the LLDP frame from the in-vehicle ECU 111 and acquires various information such as the MAC address and IP address of the in-vehicle ECU 111 connected to itself from the received LLDP frame.
  • various information such as the MAC address and IP address of the in-vehicle ECU 111 connected to itself from the received LLDP frame.
  • the MAC address of the in-vehicle ECU 111A is "MAC_A”
  • the MAC address of the in-vehicle ECU 111B is "MAC_B".
  • SOME/IP In the in-vehicle communication system 301, for example, messages are transmitted and received according to SOME/IP, which is an application layer protocol of the Ethernet protocol group. More specifically, the in-vehicle ECU 111 can store a message containing various information in one or a plurality of frames, and transmit the frame to another in-vehicle ECU 111 via the relay device 101 according to SOME/IP. be.
  • the in-vehicle ECU 111 that provides services according to SOME/IP is also referred to as a "server”. Further, the in-vehicle ECU 111 that receives the service is also called a "client”.
  • the in-vehicle ECU 111 may function only as a server, may function only as a client, or may function as a server or a client depending on the content of the service.
  • the in-vehicle ECU 111A is assumed to be a server
  • the in-vehicle ECU 111B is assumed to be a client.
  • the in-vehicle ECU 111B which is a client, wants to receive a service, it generates a service search message including a service ID corresponding to the service.
  • In-vehicle ECU 111 ⁇ /b>B transmits frame F ⁇ b>1 storing the generated service search message to relay device 101 .
  • the relay device 101 multicasts the frame F1 received from the in-vehicle ECU 111B to other in-vehicle ECUs such as the in-vehicle ECU 111A.
  • the in-vehicle ECU 111 that can provide the service corresponding to the service ID attached to the service search message serves as a server and sends a service provision notification including the service ID corresponding to the service.
  • In-vehicle ECU 111 ⁇ /b>A transmits frame F ⁇ b>2 containing the generated service provision notification message to relay device 101 .
  • the relay device 101 transmits the frame F2 received from the in-vehicle ECU 111A to the in-vehicle ECU 111B, which is the transmission source of the frame F1. Thereby, a communication connection can be established between the in-vehicle ECU 111A and the in-vehicle ECU 111B.
  • the in-vehicle ECU 111B which has established a communication connection with the in-vehicle ECU 111A, generates a service subscription request message including a service ID corresponding to the service when requesting the in-vehicle ECU 111A to periodically provide a service.
  • the in-vehicle ECU 111B transmits to the relay device 101 a frame F3 in which the generated service subscription request message is stored.
  • the relay device 101 transmits the frame F3 received from the in-vehicle ECU 111B to the in-vehicle ECU 111A.
  • the in-vehicle ECU 111A Upon receiving the service subscription request message, the in-vehicle ECU 111A determines whether or not to permit the provision of the service based on the ID of the in-vehicle ECU 111B included in the received service subscription request message. When the in-vehicle ECU 111A determines to permit the provision of the service, it generates a service subscription permission message including the service ID corresponding to the service. In-vehicle ECU 111A transmits frame F4 in which the generated service subscription permission message is stored to relay device 101 . The relay device 101 transmits the frame F4 received from the in-vehicle ECU 111A to the in-vehicle ECU 111B.
  • the in-vehicle ECU 111A periodically generates a service provision message including information to be provided as a service and a service ID corresponding to the service, and transmits a frame F5 storing the generated service provision message to the relay device 101. do.
  • the relay device 101 transmits the frame F5 received from the in-vehicle ECU 111A to the in-vehicle ECU 111B.
  • the in-vehicle ECU 111A which is a sensor, transmits a service providing message including sensor information regarding the driving state of the vehicle 1 or the surrounding state to the in-vehicle ECU 111B, which is a driving support device.
  • the in-vehicle ECU 111B acquires sensor information provided as a service from the received service providing message, uses the sensor information to generate various control information related to driving of the vehicle 1, and transmits the generated various control information to the brake control device. and to the steering control device, etc.
  • a service search message, a service offer notification message, a service subscription request message, a service subscription authorization message, and a service offer message are examples of messages according to SOME/IP.
  • Frames F1, F2, F3, F4, and F5 are examples of frames for transmitting and receiving information between the server and the client.
  • the in-vehicle ECU 111 is assigned a functional safety level of "A", “B", “C” or “D” according to the function of the in-vehicle ECU 111.
  • Features assigned a “D” require the highest level of safety measures, and features assigned an "A” require the lowest safety measures. That is, the functional safety level of the in-vehicle ECU 111 is higher in the order of "D", "C", "B” and "A".
  • the functional safety level is ASIL (Automotive Safety Integrity Level) defined by ISO26262.
  • the in-vehicle ECU 111 may be configured to have multiple functions. In this case, the in-vehicle ECU 111 has multiple functional safety levels for each function.
  • the in-vehicle ECU 111 which performed only communication with a low required safety level before the change, can now perform only communication with a high required safety level before the change. Communication with the ECU 111 may be performed.
  • the functional safety level of the in-vehicle ECU 111 is raised to "B”. ” to “D”.
  • new communication may be started between the in-vehicle ECU 111 and another in-vehicle ECU 111 whose functional safety level is "D".
  • a new in-vehicle ECU 111 may be added to the in-vehicle network. New communication may be started between the in-vehicle ECU 111 and the existing in-vehicle ECU 111 that has only performed communication with a high required safety level.
  • FIG. 2 is a diagram illustrating a configuration of a relay device according to an embodiment of the present disclosure
  • relay device 101 includes communication ports 15A, 15B and 15C, relay unit 11, setting unit 21, update unit 31, notification unit 41, and storage unit 51.
  • Each of the communication ports 15A, 15B, and 15C will also be referred to as a communication port 15 hereinafter.
  • the relay device 101 may be configured to include two communication ports 15 or may be configured to include four or more communication ports 15 .
  • the relay unit 11 is realized by, for example, a switch IC (Integrated Circuit).
  • the setting unit 21, the update unit 31 and the notification unit 41 are implemented by processors such as a CPU (Central Processing Unit) and a DSP (Digital Signal Processor).
  • Storage unit 51 is, for example, a nonvolatile memory.
  • the communication port 15 is a terminal to which the cable 2 can be connected, for example. Note that the communication port 15 may be a terminal of an integrated circuit.
  • the communication port 15A is connected via the cable 2 to the in-vehicle ECU 111A.
  • the communication port 15B is connected via the cable 2 to the in-vehicle ECU 111B.
  • the relay unit 11 can relay frames received from the in-vehicle ECU 111 to other in-vehicle ECUs 111 . That is, the relay unit 11 can receive a frame transmitted from the in-vehicle ECU 111 via the communication port 15 corresponding to the in-vehicle ECU 111 and perform relay processing on the received frame.
  • the storage unit 51 stores an address table showing the correspondence between the port number of the communication port 15 and the MAC (Media Access Control) address of the in-vehicle ECU 111 connected to the communication port 15 via the cable 2.
  • the relay unit 11 performs relay processing using the address table in the storage unit 51 .
  • FIG. 3 is a diagram illustrating an example of a system management list stored in a storage unit in the relay device according to the embodiment of the present disclosure
  • storage unit 51 stores a system management list Lsy indicating the correspondence relationship between a set of in-vehicle ECUs 111 and a system safety level. More specifically, the system management list Lsy indicates the correspondence relationship between the system ID of a communication system including two in-vehicle ECUs 111 as components and the system safety level of the communication system.
  • the system safety level of the communication system is higher in the order of "D", "C", "B” and "A", similar to the functional safety level of the in-vehicle ECU 111 .
  • the system safety level of the communication system is set based on at least the functional safety levels of the two in-vehicle ECUs 111 that are components of the communication system.
  • the system safety level of the communication system is further set based on safety mechanism data attached to frames transmitted and received between the in-vehicle ECUs 111 that are components of the communication system.
  • the in-vehicle ECU 111A has an ECC (Error Correction Code) or the like as a safety mechanism, and the functional safety level of the in-vehicle ECU 111A is "B".
  • the in-vehicle ECU 111B has an ECC or the like as a safety mechanism, and the functional safety level of the in-vehicle ECU 111B is "C”.
  • the system safety level of the communication system with the system ID of "S001" is set to "B" based on the functional safety levels of the in-vehicle ECUs 111A and 111B, which are components of the communication system.
  • system safety level of the communication system with the system ID "S002" includes the functional safety levels of the in-vehicle ECUs 111A and 111B, which are components of the communication system, and the safety mechanisms for frames transmitted and received between the in-vehicle ECUs 111A and 111B. It is set to "C” based on a CRC (Cyclic Redundancy Check) given as data for.
  • CRC Cyclic Redundancy Check
  • FIG. 4 is a diagram illustrating an example of a service management list stored in a storage unit in the relay device according to the embodiment of the present disclosure;
  • storage unit 51 performs service management indicating the correspondence relationship between the type of information transmitted and received between in-vehicle ECUs 111 and the required safety level, which is the level of safety required for communication between in-vehicle ECUs 111 .
  • Store the list Lse More specifically, the service management list Lse indicates the correspondence relationship between the service ID of the service according to SOME/IP and the required safety level required for communication between the in-vehicle ECUs 111 for performing the service.
  • the required safety level is higher in the order of "D", "C", "B” and "A".
  • the required safety level corresponding to the service with the service ID of "2001” is "D", so communication for performing the service between the in-vehicle ECUs 111 requires the highest level of safety measures.
  • system management list Lsy and the service management list Lse are created by the manufacturer of the vehicle 1 and stored in the storage unit 51 when the vehicle 1 is shipped.
  • the in-vehicle ECU 111 notifies the relay device 101 of its own functional safety level. More specifically, the in-vehicle ECU 111 transmits, for example, the above-described LLDP frame to the relay device 101 including level information L1 indicating its own current functional safety level.
  • the functional safety level of the in-vehicle ECU 111A is changed from "B" to "C".
  • the in-vehicle ECU 111 ⁇ /b>A transmits the LLDP frame including the level information L ⁇ b>1 indicating its own functional safety level after updating to the relay device 101 .
  • an in-vehicle ECU 111C which is a new in-vehicle ECU 111, is added to the in-vehicle network. More specifically, the in-vehicle ECU 111 ⁇ /b>C is connected to the communication port 15 ⁇ /b>C of the relay device 101 via the cable 2 by the operation of the user of the vehicle 1 .
  • the in-vehicle ECU 111C transmits an LLDP frame including its own MAC address, its own IP address, and level information L1 indicating its own current functional safety level to the relay device 101 .
  • the MAC address of vehicle-mounted ECU 111C shall be "MAC_C.”
  • the relay section 11 Upon receiving the LLDP frame from the in-vehicle ECU 111 via the corresponding communication port 15 , the relay section 11 acquires the level information L1 from the received LLDP frame and outputs it to the updating section 31 .
  • the update unit 31 updates the system management list Lsy in the storage unit 51 based on the functional safety level notified from the in-vehicle ECU 111 . More specifically, updating unit 31 receives level information L1 from relay unit 11 and updates system management list Lsy in storage unit 51 based on the received level information L1.
  • FIG. 5 is a diagram showing an example of the system management list after being updated by the updating unit in the relay device according to the embodiment of the present disclosure.
  • updating unit 31 when updating unit 31 receives level information L1 from in-vehicle ECU 111A via relay unit 11, updating unit 31 changes the functional safety level of in-vehicle ECU 111A from “B” to “C” in system management list Lsy of storage unit 51. change to In addition, the updating unit 31 changes the system safety level of the communication system with the system ID of "S001" from “B” to “C” along with the change in the functional safety level of the in-vehicle ECU 111A. In addition, the updating unit 31 changes the system safety level of the communication system with the system ID of "S002" from “C” to “D” along with the change in the functional safety level of the in-vehicle ECU 111A.
  • the system management list Lsy in the storage unit 51 contains the system ID of a new communication system including the in-vehicle ECUs 111A and 111C as components. "S103" is added, and the system safety level of the communication system is set to, for example, "B" based on each functional safety level of the in-vehicle ECUs 111A and 111C.
  • In-vehicle ECU 111 notifies relay device 101 of the required safety level required for communication between itself and other in-vehicle ECUs 111 . More specifically, the in-vehicle ECU 111 stores level information L2 indicating the required safety level required for communication for performing the service indicated by the service ID included in the service search message, for example, in the frame F1 storing the service search message. is transmitted to the relay apparatus 101.
  • the in-vehicle ECU 111B determines that the required safety level required for communication for performing the service indicated by the service ID is "D" in the frame F1 storing the service search message including "3001" as the service ID. is transmitted to the relay device 101 including the level information L2 indicating
  • the relay unit 11 Upon receiving the frame F1 from the in-vehicle ECU 111 via the corresponding communication port 15, the relay unit 11 acquires the level information L2 from the received frame F1 and outputs it to the update unit 31.
  • the updating unit 31 updates the service management list Lse in the storage unit 51 based on the required safety level notified from the in-vehicle ECU 111 . More specifically, the updating unit 31 receives the level information L2 from the relay unit 11 and updates the service management list Lse in the storage unit 51 based on the received level information L2.
  • FIG. 6 is a diagram showing an example of a service management list updated by the updating unit in the relay device according to the embodiment of the present disclosure.
  • the update unit 31 when the update unit 31 receives the level information L2 from the in-vehicle ECU 111 via the relay unit 11, it adds the service ID "3001" to the service management list Lse in the storage unit 51. Then, the update unit 31 sets the required safety level corresponding to the service indicated by "3001" to "D" based on the level information L2.
  • the setting unit 21 sets whether or not relaying by the relay unit 11 is permitted based on the result of comparison between the required safety level and the system safety level.
  • the relay unit 11 when the relay unit 11 receives a frame F1 in which a service search message is stored from the in-vehicle ECU 111B via the communication port 15B, the relay unit 11 acquires the service search message from the received frame F1 and outputs it to the setting unit 21. Then, the relay unit 11 multicasts the frame F1 via the multiple communication ports 15 .
  • the setting unit 21 receives the service search message from the relay unit 11 and acquires the service ID from the received service search message.
  • the setting unit 21 uses the acquired service ID to set whether or not relaying by the relaying unit 11 is permitted.
  • the setting unit 21 acquires the required safety level corresponding to the acquired service ID from the service management list Lse in the storage unit 51. Then, based on the system management list Lsy in the storage unit 51, the setting unit 21 stores a frame containing a message including the service ID, which is transmitted and received in a communication system having a system safety level equal to or higher than the acquired required safety level.
  • Set a relay processing condition that permits relay but does not permit relay of a frame containing a message containing the service ID that is transmitted and received in a communication system having a system safety level lower than the acquired required safety level. conduct.
  • the setting unit 21 obtains "D", which is the required safety level corresponding to "2001", from the service management list Lse in the storage unit 51. do.
  • the setting unit 21 stores a frame containing a message including "2001" as the service ID, which is transmitted and received in a communication system having a system safety level of "D" or higher. is permitted to be relayed, but relaying of frames containing a message containing "2001" as a service ID, which is transmitted and received in a communication system having a system safety level lower than "D", is not permitted to be relayed. Make settings.
  • the setting unit 21 permits the relay of a frame containing a message including "2001" as the service ID, which is transmitted and received in the communication system with the system ID of "S002".
  • a relay processing condition is set to the effect that the relay of a frame containing a message containing "2001" as the service ID, which is transmitted and received in the communication system, is not permitted.
  • the relay unit 11 includes an ACL (Access Control List).
  • ACL Access Control List
  • the setting unit 21 sets the destination MAC address of the frame to "MAC_A” or “MAC_B” and the source MAC address of the frame to "MAC_A” or “MAC_B” in the frame storing the message including "2001" as the service ID.
  • a relay processing condition that the frame is relayed if the frame is "MAC_B” and that the frame contains a CRC, while the frame is not relayed if the above condition is not satisfied,
  • the ACL in the relay unit 11 is set.
  • the relay unit 11 determines whether or not to relay the frames F2, F3, F4, and F5 based on the comparison result between the required safety level and the system safety level in the setting unit 21 . That is, the relay unit 11 performs relay processing for the frames F2, F3, F4, and F5 according to the settings made by the setting unit 21.
  • the relay unit 11 stores a service provision notification message including "2001" as the service ID, the destination MAC address is "MAC_B”, the source MAC address is "MAC_A”, and A frame F2 containing a CRC is received from the in-vehicle ECU 111A via the communication port 15A.
  • the relay unit 11 since the received frame F2 satisfies the relay processing condition, the relay unit 11 performs relay processing for the frame F2. Specifically, the relay unit 11 transmits the frame F2 to the in-vehicle ECU 111B via the communication port 15B.
  • the relay unit 11 stores a service subscription request message including “2001” as the service ID, the destination MAC address is “MAC_A”, the source MAC address is “MAC_B”, and the CRC is The included frame F3 is received from the in-vehicle ECU 111B via the communication port 15B.
  • the relay unit 11 since the received frame F3 satisfies the relay processing condition, the relay unit 11 performs relay processing for the frame F3. Specifically, the relay unit 11 transmits the frame F3 to the in-vehicle ECU 111A via the communication port 15A.
  • the relay unit 11 stores a service subscription request message including “2001” as the service ID, the destination MAC address is “MAC_A”, the source MAC address is “MAC_B”, and the CRC is included.
  • a frame F3 that does not exist is received from the in-vehicle ECU 111B via the communication port 15B. In this case, since the received frame F3 does not satisfy the relay processing conditions, the relay unit 11 does not perform the relay processing for the frame F3.
  • the relay unit 11 stores a service provision notification message including “2001” as the service ID, the destination MAC address is “MAC_C”, the source MAC address is “MAC_A”, and the CRC is included. received from the in-vehicle ECU 111A via the communication port 15. In this case, since the received frame F2 does not satisfy the relay processing conditions, the relay unit 11 does not perform the relay processing for the frame F2.
  • the relay unit 11 transmits the frame to the destination in-vehicle ECU 111 via the corresponding communication port 15, while the received frame is relayed. If the processing conditions are not satisfied, the frame F2 is not relayed.
  • the relay unit 11 outputs frames that do not satisfy the relay processing conditions to the notification unit 41 .
  • the notification unit 41 notifies the transmission source in-vehicle ECU 111 of the conditions necessary for relaying the frame to the destination in-vehicle ECU 111.
  • the notification unit 41 stores a service subscription request message including “2001” as the service ID, the destination MAC address is “MAC_A”, the source MAC address is “MAC_B”, and the CRC is A frame F3 that is not included is received from the relay unit 11. - ⁇
  • the notification unit 41 refers to the system management list Lsy and the service management list Lse in the storage unit 51, and since the CRC is included in the frame F3, the system safety level of the communication system becomes "D", and the system safety level becomes the required safety level. Recognize that it will be above the level.
  • the notification unit 41 generates relay condition information indicating that a CRC should be included in the frame F3 as a condition necessary for relaying the frame F3 to the in-vehicle ECU 111A, and the in-vehicle ECU 111B including the generated relay condition information. and transmits the generated frame to the in-vehicle ECU 111B via the relay unit 11 and the communication port 15B.
  • the in-vehicle ECU 111B receives the frame from the relay device 101 and acquires the relay condition information from the received frame. For example, the in-vehicle ECU 111B retransmits the frame F3 including the CRC in accordance with the acquired relay condition information.
  • Each device in the in-vehicle communication system includes a computer including a memory, and an arithmetic processing unit such as a CPU in the computer executes a program including part or all of each step of the following sequence. Read from memory and execute. Programs for these multiple devices can each be installed from the outside. Programs for these devices are distributed in a state stored in recording media or via communication lines.
  • FIG. 7 is a flowchart defining an example of an operation procedure when the relay device according to the embodiment of the present disclosure performs relay processing.
  • relay device 101 sets relay processing conditions. More specifically, the relay device 101 acquires the service search message from the frame F1 received from the in-vehicle ECU 111B via the communication port 15B. The relay device 101 acquires the service ID from the service search message, and acquires the requested safety level corresponding to the service ID from the service management list Lse in the storage unit 51 . Then, based on the system management list Lsy in the storage unit 51, the setting unit 21 stores a frame containing a message including the service ID, which is transmitted and received in a communication system having a system safety level equal to or higher than the acquired required safety level. Set a relay processing condition that permits relay but does not permit relay of a frame containing a message containing the service ID that is transmitted and received in a communication system having a system safety level lower than the acquired required safety level. (Step S102).
  • relay device 101 waits for frames F2, F3, F4, and F5 (NO in step S104), for example, when frame F2 is received from in-vehicle ECU 111A via communication port 15A (YES in step S104), received frame F2 satisfies the relay processing condition (step S106).
  • the relay device 101 When the received frame F2 satisfies the relay processing conditions, the relay device 101 performs relay processing for the frame F2 (step S108).
  • the relay device 101 waits for new frames F2, F3, F4, and F5 (NO in step S104).
  • the relay device 101 when the received frame F2 does not satisfy the relay processing conditions, the relay device 101 generates relay condition information, generates a frame including the generated relay condition information, and transmits the frame to the in-vehicle ECU 111A (step S110).
  • the relay device 101 discards the frame F2 (step S112).
  • the relay device 101 waits for new frames F2, F3, F4, and F5 (NO in step S104).
  • FIG. 8 is a diagram showing an example of a communication sequence in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 8 shows a sequence when the in-vehicle ECU 111A as a server and the in-vehicle ECU 111B as a client transmit and receive frames via the relay device 101.
  • FIG. 8 shows a sequence when the in-vehicle ECU 111A as a server and the in-vehicle ECU 111B as a client transmit and receive frames via the relay device 101.
  • the functional safety level of the in-vehicle ECU 111A is changed by updating the software of the in-vehicle ECU 111A based on the update data from the OTA server (step S202).
  • the in-vehicle ECU 111A transmits the LLDP frame including the level information L1 indicating its own current functional safety level to the relay device 101 (step S204).
  • the in-vehicle ECU 111B also transmits the LLDP frame including the level information L1 indicating its own current functional safety level to the relay device 101 (step S206).
  • the relay device 101 updates the system management list Lsy in the storage unit 51 based on the level information L1 received from each of the in-vehicle ECUs 111A and 111B (step S208).
  • the in-vehicle ECU 111B transmits the frame F1 in which the service search message is stored to the relay device 101 (step S210).
  • the relay device 101 acquires the service ID from the service search message stored in the received frame F1, and acquires the required safety level corresponding to the service ID from the service management list Lse in the storage unit 51. Then, the relay device 101 sets relay processing conditions based on the obtained required safety level and the system management list Lsy in the storage unit 51 (step S212).
  • the relay device 101 transmits the frame F1 in which the service search message is stored to the in-vehicle ECU 111A. Specifically, the relay device 101 multicasts the frame F1 (step S214).
  • the in-vehicle ECU 111A transmits the frame F2 in which the service provision notification message is stored to the relay device 101 (step S216).
  • the relay device 101 since the received frame F2 satisfies the set relay processing conditions, the relay device 101 performs relay processing for the frame F2. Specifically, the relay device 101 transmits the frame F2 in which the service provision notification message is stored to the in-vehicle ECU 111B (step S218).
  • the in-vehicle ECU 111B transmits the frame F3 containing the service subscription request message to the relay device 101 (step S220).
  • the relay device 101 receives the frame containing the relay condition information instead of performing the relay processing for the frame F3 because the frame F3 does not satisfy the relay processing condition, for example, because the frame F3 does not contain the CRC. It is transmitted to the in-vehicle ECU 111B (step S222).
  • the relay device 101 discards the frame F3 (step S224).
  • the in-vehicle ECU 111B transmits a frame F3 containing a service subscription request message and including a CRC to the relay device 101 according to the relay condition information acquired from the frame received from the relay device 101 (step S226).
  • the relay device 101 relays the frame F3 because the received frame F3 contains a CRC and the frame F3 satisfies the relay processing conditions. Specifically, the relay device 101 transmits the frame F3 in which the service subscription request message is stored to the in-vehicle ECU 111A (step S228).
  • the in-vehicle ECU 111A transmits the frame F4 containing the service subscription permission message to the relay device 101 (step S230).
  • the relay device 101 since the received frame F4 satisfies the set relay processing conditions, the relay device 101 performs relay processing for the frame F4. Specifically, the relay device 101 transmits the frame F4 in which the service subscription permission message is stored to the in-vehicle ECU 111B (step S232).
  • the in-vehicle ECU 111A transmits the frame F5 in which the service provision message is stored to the relay device 101 (step S234).
  • the relay device 101 since the received frame F5 satisfies the set relay processing conditions, the relay device 101 performs relay processing for the frame F5. Specifically, the relay device 101 transmits the frame F5 in which the service provision message is stored to the in-vehicle ECU 111B (step S236).
  • FIG. 9 is a diagram showing another example of the communication sequence in the vehicle-mounted communication system according to the embodiment of the present disclosure.
  • FIG. 9 shows a sequence when the in-vehicle ECU 111A as a server and the in-vehicle ECU 111C as a client transmit and receive frames via the relay device 101.
  • FIG. 9 shows a sequence when the in-vehicle ECU 111A as a server and the in-vehicle ECU 111C as a client transmit and receive frames via the relay device 101.
  • a new in-vehicle ECU 111C is added to the in-vehicle network (step S302).
  • the in-vehicle ECU 111A transmits the LLDP frame including the level information L1 indicating its own current functional safety level to the relay device 101 (step S304).
  • the in-vehicle ECU 111C transmits the LLDP frame including level information L1 indicating its own current functional safety level to the relay device 101 (step S306).
  • the relay device 101 updates the system management list Lsy in the storage unit 51 based on the level information L1 received from each of the in-vehicle ECUs 111A and 111C (step S308).
  • the in-vehicle ECU 111C transmits the frame F1 in which the service search message is stored to the relay device 101 (step S310).
  • the relay device 101 acquires the service ID from the service search message stored in the received frame F1, and acquires the required safety level corresponding to the service ID from the service management list Lse in the storage unit 51. Then, the relay device 101 sets relay processing conditions based on the obtained required safety level and the system management list Lsy in the storage unit 51 (step S312).
  • the relay device 101 transmits the frame F1 in which the service search message is stored to the in-vehicle ECU 111A. Specifically, the relay device 101 multicasts the frame F1 (step S314).
  • the in-vehicle ECU 111A transmits the frame F2 in which the service provision notification message is stored to the relay device 101 (step S316).
  • the relay device 101 discards the frame F3 because the destination MAC address of the frame F3 is "MAC_C" and thus the frame F3 does not satisfy the relay processing conditions (step S318).
  • the relay device 101 may be configured to decompose the system safety level of the communication system with the system ID "S103" in addition to discarding the frame F3 in step S316. More specifically, relay device 101 generates, for example, relay condition information indicating that a failure detection mechanism should be added, and transmits a frame including the generated relay condition information to in-vehicle ECU 111C.
  • the in-vehicle ECU 111C adds a failure detection mechanism according to the relay condition information obtained from the frame received from the relay device 101.
  • the system safety level of the communication system whose system ID is "S103" can be raised, so that the frames F2, F3, F4, and F5 transmitted and received between the in-vehicle ECU 111A and the in-vehicle ECU 111C satisfy the relay processing condition.
  • the relay device 101 can relay the frames F2, F3, F4, and F5.
  • the storage unit 51 in the relay device 101 further includes data for a safety mechanism attached to a frame transmitted and received between the set of in-vehicle ECUs 111 and the in-vehicle ECUs 111.
  • the configuration stores the system management list Lsy indicating the correspondence relationship with the system safety level set based on the configuration, the present invention is not limited to this.
  • the storage unit 51 may be configured to store a system management list Lsy indicating a correspondence relationship between a set of in-vehicle ECUs 111 and a system safety level set based only on the functional safety levels of the two in-vehicle ECUs 111 respectively. .
  • the relay device 101 determines whether or not to relay the frame based on the result of comparison between the required safety level and the system safety level based only on the functional safety levels of the two in-vehicle ECUs 111 .
  • the in-vehicle ECU 111 is configured to include the level information L1 in the LLDP frame and transmit it to the relay device 101, but the configuration is not limited to this.
  • the in-vehicle ECU 111 may be configured not to notify the relay device 101 of its own functional safety level. That is, the in-vehicle ECU 111 may be configured not to include the level information L1 in the LLDP frame.
  • update unit 31 in relay device 101 may be configured not to update system management list Lsy in storage unit 51 .
  • the in-vehicle ECU 111 may be configured to include the level information L1 in a frame conforming to a protocol other than LLDP and transmit the frame to the relay device 101 instead of the LLDP frame.
  • in-vehicle ECU 111 may be configured to include level information L1 in a frame conforming to SNMP (Simple Network Management Protocol) and transmit the frame to relay device 101 .
  • SNMP Simple Network Management Protocol
  • the in-vehicle ECU 111 is configured to include the level information L2 in the frame F1 in which the service search message is stored and transmit it to the relay device 101.
  • the in-vehicle ECU 111 may be configured not to notify the relay device 101 of the required safety level required for communication between itself and other in-vehicle ECUs 111 . That is, the in-vehicle ECU 111 may be configured not to include the level information L2 in the frame F1.
  • the update unit 31 in the relay device 101 may be configured not to update the service management list Lse in the storage unit 51 .
  • the in-vehicle ECU 111 may be configured to include the level information L2 in a frame other than the frame F1 and transmit it to the relay device 101 instead of the frame F1 in which the service search message is stored.
  • the relay device 101 receives frames F2, F3, F4, and F5 in which messages conforming to SOME/IP are stored, and the service ID included in the message is
  • the configuration is such that whether or not to relay frames F2, F3, F4, and F5 is determined based on the result of comparison between the corresponding required safety level and the system safety level, the present invention is not limited to this.
  • the relay device 101 may be configured to receive a frame other than a frame in which a message conforming to SOME/IP is stored, and determine whether or not to relay the received frame.
  • the relay device 101 determines not to relay the frame, the conditions necessary for relaying the frame to the destination in-vehicle ECU 111 is notified to the in-vehicle ECU 111 of the transmission source, but the present invention is not limited to this.
  • the relay device 101 may be configured not to notify the in-vehicle ECU 111 of the transmission source of the condition. That is, the relay device 101 may be configured without the notification unit 41 .
  • the setting unit 21 acquires the service ID from the service search message stored in the frame F1 received by the relay unit 11, and uses the acquired service ID to , the relay processing conditions are set, but the present invention is not limited to this.
  • the setting unit 21 may be configured to set relay processing conditions in advance using each service ID in the service management list Lse.
  • the relay unit 11 is configured to perform frame relay processing in accordance with the content of the setting by the setting unit 21, but the configuration is not limited to this.
  • the setting unit 21 may be configured to determine whether or not to relay the frame each time the relay unit 11 receives the frame. Specifically, the following configuration may be used.
  • the relay unit 11 upon receiving a frame from the in-vehicle ECU 111 , the relay unit 11 outputs the received frame to the setting unit 21 and suspends relaying of the frame until receiving an instruction from the setting unit 21 .
  • the setting unit 21 determines whether or not to relay the frame based on the result of comparison between the required safety level and the system safety level. Specifically, the setting unit 21 receives a frame from the relay unit 11, acquires the service ID from the message stored in the received frame, and stores the acquired service ID from the service management list Lse in the storage unit 51. Gets the requested safety level. Also, the setting unit 21 acquires the system security level of the communication system indicated by the destination MAC address, source MAC address, etc. of the frame from the system management list Lsy in the storage unit 51 .
  • the setting unit 21 compares the acquired required safety level with the acquired system safety level, and if the system safety level is equal to or higher than the required safety level, the setting unit 21 issues a relay instruction indicating that the frame should be relayed to the relay unit 11 . On the other hand, if the system safety level is less than the required safety level, it outputs a discard instruction indicating that the frame should be discarded to the relay unit 11 .
  • the relay unit 11 relays frames based on the determination result by the setting unit 21 . Specifically, when receiving a relay instruction from the setting unit 21, the relay unit 11 relays the frame whose relay has been suspended to the in-vehicle ECU 111 of the destination. On the other hand, when receiving a discard instruction from the setting unit 21, the relay unit 11 discards the frame whose relay has been suspended without relaying it.
  • [Appendix 1] a plurality of in-vehicle devices; and a relay device, the first in-vehicle device transmits to the relay device a frame addressed to the second in-vehicle device for transmitting and receiving information with the second in-vehicle device;
  • the relay device has a required safety level, which is a level of safety required for communication between the first vehicle-mounted device and the second vehicle-mounted device, and a safety level between the first vehicle-mounted device and the second vehicle-mounted device.
  • the relay device determines whether or not to relay the frame to the second in-vehicle device based on the result of comparison with the system safety level based at least on the functional safety level related to vehicle safety possessed by each, The in-vehicle communication system, wherein the relay device sets whether or not to relay based on the comparison result, and relays the frame according to the set content.
  • a communication method in an in-vehicle communication system comprising a plurality of in-vehicle devices and a relay device, a step in which the first in-vehicle device transmits to the relay device a frame addressed to the second in-vehicle device for transmitting and receiving information to and from the second in-vehicle device;
  • the relay device has a required safety level, which is a level of safety required for communication between the first vehicle-mounted device and the second vehicle-mounted device, and the first vehicle-mounted device and the second vehicle-mounted device. determining whether or not to relay the frame to the second in-vehicle device based on a comparison result with a system safety level based at least on the functional safety level related to vehicle safety possessed by each.
  • Reference Signs List 1 vehicle 2 cable 11 relay unit 15, 15A, 15B, 15C communication port 21 setting unit 31 update unit 41 notification unit 51 storage unit 101 relay device 111, 111A, 111B in-vehicle ECU 301 In-vehicle communication system Lsy System management list Lse Service management list

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mechanical Engineering (AREA)
  • Small-Scale Networks (AREA)

Abstract

車載通信システムは、複数の車載装置と、中継装置とを備え、第１の前記車載装置は、第２の前記車載装置との間において情報の送受信を行うための第２の前記車載装置宛のフレームを前記中継装置へ送信し、前記中継装置は、前記第１の車載装置および前記第２の車載装置の間における通信に要求される安全性のレベルである要求安全レベルと、前記第１の車載装置および前記第２の車載装置がそれぞれ有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定する。

Description

車載通信システム、中継装置および中継方法
　本開示は、車載通信システム、中継装置および中継方法に関する。
　この出願は、２０２１年４月３０日に出願された日本出願特願２０２１－７７５１６号を基礎とする優先権を主張し、その開示のすべてをここに取り込む。
　特許文献１（国際公開第２０２０／１４５３３４号）には、以下のような技術が開示されている。すなわち、車両用制御装置は、複数の中継器からなる車両ネットワークが内部に構築された車両の状態と前記複数の中継器それぞれに設定する制御内容を対応付けた制御シナリオに基づき、前記複数の中継器を制御する。
国際公開第２０２０／１４５３３４号 国際公開第２０２０／１７９１２３号
　本開示の車載通信システムは、複数の車載装置と、中継装置とを備え、第１の前記車載装置は、第２の前記車載装置との間において情報の送受信を行うための第２の前記車載装置宛のフレームを前記中継装置へ送信し、前記中継装置は、前記第１の車載装置および前記第２の車載装置の間における通信に要求される安全性のレベルである要求安全レベルと、前記第１の車載装置および前記第２の車載装置がそれぞれ有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定する。
　本開示の中継装置は、複数の車載装置を備える車載通信システムに用いられる中継装置であって、前記車載装置間における通信に要求される安全性のレベルである要求安全レベルと、前記各車載装置が有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記車載装置間において情報の送受信を行うためのフレームの中継の可否に関する設定を行う設定部と、前記設定部による設定の内容に従って、前記フレームの中継処理を行う中継部とを備える。
　本開示の中継方法は、複数の車載装置を備える車載通信システムに用いられる中継装置における中継方法であって、前記車載装置間における通信に要求される安全性のレベルである要求安全レベルと、前記各車載装置が有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記車載装置間において情報の送受信を行うためのフレームの中継の可否に関する設定を行うステップと、設定した内容に従って、前記フレームの中継処理を行うステップとを含む。
　本開示の一態様は、このような特徴的な処理部を備える中継装置として実現され得るだけでなく、中継装置の一部または全部を実現する半導体集積回路として実現され得たり、中継装置における処理のステップをコンピュータに実行させるためのプログラムとして実現され得たり、中継装置を備える車載通信システムの一部または全部を実現する半導体集積回路として実現され得たり、車載通信システムにおける処理をステップとする中継方法として実現され得たり、車載通信システムにおける処理のステップをコンピュータに実行させるためのプログラムとして実現され得る。
図１は、本開示の実施の形態に係る車載通信システムの構成を示す図である。 図２は、本開示の実施の形態に係る中継装置の構成を示す図である。 図３は、本開示の実施の形態に係る中継装置における記憶部が記憶するシステム管理リストの一例を示す図である。 図４は、本開示の実施の形態に係る中継装置における記憶部が記憶するサービス管理リストの一例を示す図である。 図５は、本開示の実施の形態に係る中継装置における更新部による更新後のシステム管理リストの一例を示す図である。 図６は、本開示の実施の形態に係る中継装置における更新部による更新後のサービス管理リストの一例を示す図である。 図７は、本開示の実施の形態に係る中継装置が中継処理を行う際の動作手順の一例を定めたフローチャートである。 図８は、本開示の実施の形態に係る車載通信システムにおける通信のシーケンスの一例を示す図である。 図９は、本開示の実施の形態に係る車載通信システムにおける通信のシーケンスの他の例を示す図である。
　車載ネットワークの構成の柔軟な変更を可能とする技術が開発されている。
　［本開示が解決しようとする課題］
　特許文献１および２の技術を超えて、車載ネットワークにおけるセキュリティを向上させることが可能な技術が望まれる。
　本開示は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおけるセキュリティを向上させることが可能な車載通信システム、中継装置および中継方法を提供することである。
　［本開示の効果］
　本開示によれば、車載ネットワークにおけるセキュリティを向上させることができる。
　［本開示の実施形態の説明］
　最初に、本開示の実施形態の内容を列記して説明する。
　（１）本開示の実施の形態に係る車載通信システムは、複数の車載装置と、中継装置とを備え、第１の前記車載装置は、第２の前記車載装置との間において情報の送受信を行うための第２の前記車載装置宛のフレームを前記中継装置へ送信し、前記中継装置は、前記第１の車載装置および前記第２の車載装置の間における通信に要求される安全性のレベルである要求安全レベルと、前記第１の車載装置および前記第２の車載装置がそれぞれ有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定する。
　このように、車載装置間における通信に要求される要求安全レベルと、各車載装置が有する機能安全レベルに基づくシステム安全レベルとの比較結果に基づいてフレームの中継の可否を決定する構成により、車載装置間における通信の要求安全レベルの大きさを考慮してフレームの中継の可否を決定することができるので、たとえば、車載装置間における通信の要求安全レベルが高い場合に車載装置間におけるフレームのやり取りが行われないようにすることができる。したがって、車載ネットワークにおけるセキュリティを向上させることができる。
　（２）前記中継装置は、前記要求安全レベルと、前記フレームに付与される安全機構用のデータにさらに基づく前記システム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定してもよい。
　このような構成により、車載装置が有する機能安全レベルに加えて、フレームに付与される安全機構用のデータを用いて、車載装置間におけるフレームの中継の可否の判断をより適切に行うことができる。
　（３）前記中継装置は、前記車載装置の組と、前記システム安全レベルとの対応関係を示すシステム管理リストを記憶する記憶部を備えてもよく、前記車載装置は、自己の前記機能安全レベルを前記中継装置へ通知してもよく、前記中継装置は、前記車載装置から通知された前記機能安全レベルに基づいて、前記記憶部における前記システム管理リストを更新してもよい。
　このような構成により、車載装置の機能安全レベルの変更に伴って、記憶部におけるシステム管理リストが示すシステム安全レベルを更新することができるので、たとえば、車載装置のソフトウェアが更新されることにより機能安全レベルが変更された場合においても、変更後の機能安全レベルを反映したシステム安全レベルに基づいて、車載装置間におけるフレームの中継の可否の判断をより適切に行うことができる。
　（４）前記中継装置は、前記車載装置間において送受信される情報の種類と、前記要求安全レベルとの対応関係を示すサービス管理リストを記憶する記憶部を備えてもよく、前記車載装置は、自己および他の前記車載装置の間における通信に要求される前記要求安全レベルを前記中継装置へ通知してもよく、前記中継装置は、前記車載装置から通知された前記要求安全レベルに基づいて、前記記憶部における前記サービス管理リストを更新してもよい。
　このような構成により、車載装置間において新たな種類の情報の送受信が行われる場合においても、車載装置から通知された要求安全レベルに基づいて、車載装置間におけるフレームの中継の可否の判断を適切に行うことができる。
　（５）前記第１の車載装置は、ＳＯＭＥ／ＩＰ（Ｓｃａｌａｂｌｅ　ｓｅｒｖｉｃｅ－Ｏｒｉｅｎｔｅｄ　ＭｉｄｄｌｅｗａｒＥ　ｏｖｅｒ　ＩＰ）に従うメッセージが格納された前記フレームを前記中継装置へ送信してもよく、前記中継装置は、前記メッセージに含まれるサービスＩＤに対応する前記要求安全レベルと、前記システム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定してもよい。
　このような構成により、車載装置間における、ＳＯＭＥ／ＩＰに従うメッセージが格納されたフレームの中継の可否の判断を適切に行うことができる。
　（６）前記中継装置は、前記フレームの前記第２の車載装置への中継を行わないことを決定した場合、前記フレームの前記第２の車載装置への中継を行うために必要な条件を前記第１の車載装置へ通知してもよい。
　このような構成により、車載装置間における通信の要求安全レベルを考慮して車載装置間におけるフレームの中継を行わないと決定した場合において、中継装置において中継を行うことが可能なフレームの再送信を第２の車載装置に促すことができる。
　（７）本開示の実施の形態に係る中継装置は、複数の車載装置を備える車載通信システムに用いられる中継装置であって、前記車載装置間における通信に要求される安全性のレベルである要求安全レベルと、前記各車載装置が有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記車載装置間において情報の送受信を行うためのフレームの中継の可否に関する設定を行う設定部と、前記設定部による設定の内容に従って、前記フレームの中継処理を行う中継部とを備える。
　このように、車載装置間における通信に要求される要求安全レベルと、各車載装置が有する機能安全レベルに基づくシステム安全レベルとの比較結果に基づいてフレームの中継の可否に関する設定を行う構成により、車載装置間における通信の要求安全レベルの大きさを考慮してフレームの中継の可否に関する設定を行うことができるので、たとえば、車載装置間における通信の要求安全レベルが高い場合に車載装置間におけるフレームのやり取りが行われないようにすることができる。したがって、車載ネットワークにおけるセキュリティを向上させることができる。
　（８）本開示の実施の形態に係る中継方法は、複数の車載装置を備える車載通信システムに用いられる中継装置における中継方法であって、前記車載装置間における通信に要求される安全性のレベルである要求安全レベルと、前記各車載装置が有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記車載装置間において情報の送受信を行うためのフレームの中継の可否に関する設定を行うステップと、設定した内容に従って、前記フレームの中継処理を行うステップとを含む。
　このように、車載装置間における通信に要求される要求安全レベルと、各車載装置が有する機能安全レベルに基づくシステム安全レベルとの比較結果に基づいてフレームの中継の可否に関する設定を行う方法により、車載装置間における通信の要求安全レベルの大きさを考慮してフレームの中継の可否に関する設定を行うことができるので、たとえば、車載装置間における通信の要求安全レベルが高い場合に車載装置間におけるフレームのやり取りが行われないようにすることができる。したがって、車載ネットワークにおけるセキュリティを向上させることができる。
　以下、本開示の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。
　［構成および基本動作］
　図１は、本開示の実施の形態に係る車載通信システムの構成を示す図である。図１を参照して、車載通信システム３０１は、中継装置１０１と、複数の車載ＥＣＵ１１１とを備える。たとえば、車載通信システム３０１は、車載ＥＣＵ１１１として、車載ＥＣＵ１１１Ａ，１１１Ｂを備える。車載通信システム３０１は、２つの車載ＥＣＵ１１１を備える構成であってもよいし、３つ以上の車載ＥＣＵ１１１を備える構成であってもよい。車載ＥＣＵ１１１は、車載装置の一例である。車載通信システム３０１は、車両１に搭載される。
　中継装置１０１は、車載通信システム３０１に用いられる。中継装置１０１は、ケーブル２を介して各車載ＥＣＵ１１１と接続されている。ケーブル２は、たとえば、イーサネット（登録商標）の規格に従うケーブルである。中継装置１０１および車載ＥＣＵ１１１は、車載ネットワークを構成する。
　車載ＥＣＵ１１１は、たとえば、電動パワーステアリング（Ｅｌｅｃｔｒｉｃ　Ｐｏｗｅｒ　Ｓｔｅｅｒｉｎｇ：ＥＰＳ）、ブレーキ制御装置、アクセル制御装置、ステアリング制御装置、運転支援システム（Ａｄｖａｎｃｅｄ　Ｄｒｉｖｅｒ－Ａｓｓｉｓｔａｎｃｅ　Ｓｙｓｔｅｍ：ＡＤＡＳ）における各種装置への指示等を行う運転支援装置、またはセンサ等である。
　中継装置１０１は、車載ＥＣＵ１１１と通信を行うことが可能である。中継装置１０１は、たとえば、異なるケーブル２に接続された複数の車載ＥＣＵ１１１間においてやり取りされる情報を中継する中継処理を行う。
　たとえば、車載ＥＣＵ１１１は、定期的に、ＬＬＤＰ（Ｌｉｎｋ　Ｌａｙｅｒ　Ｄｉｓｃｏｖｅｒｙ　Ｐｒｏｔｏｃｏｌ）に従うフレームであるＬＬＤＰフレームを生成し、生成したＬＬＤＰフレームに自己のＭＡＣアドレスおよび自己のＩＰアドレスを含めて中継装置１０１へ送信する。
　中継装置１０１は、車載ＥＣＵ１１１からＬＬＤＰフレームを受信し、受信したＬＬＤＰフレームから、自己に接続された車載ＥＣＵ１１１のＭＡＣアドレスおよびＩＰアドレス等の各種情報を取得する。以下では、車載ＥＣＵ１１１ＡのＭＡＣアドレスは「ＭＡＣ＿Ａ」であり、車載ＥＣＵ１１１ＢのＭＡＣアドレスは「ＭＡＣ＿Ｂ」であるものとする。
　（ＳＯＭＥ／ＩＰ）
　車載通信システム３０１においては、たとえば、イーサネットプロトコル群のアプリケーション層のプロトコルであるＳＯＭＥ／ＩＰに従って、メッセージの送受信が行われる。より詳細には、車載ＥＣＵ１１１は、各種情報が格納されたメッセージを１または複数のフレームに格納し、当該フレームを、ＳＯＭＥ／ＩＰに従って中継装置１０１経由で他の車載ＥＣＵ１１１へ送信することが可能である。
　以下、ＳＯＭＥ／ＩＰに従ってサービスの提供を行う側の車載ＥＣＵ１１１を「サーバ」とも称する。また、サービスの提供を受ける側の車載ＥＣＵ１１１を「クライアント」とも称する。車載ＥＣＵ１１１は、サーバとしてのみ機能してもよいし、クライアントとしてのみ機能してもよいし、サービスの内容に応じてサーバまたはクライアントとして機能してもよい。以下では、一例として、車載ＥＣＵ１１１Ａはサーバであり、車載ＥＣＵ１１１Ｂはクライアントであるものとする。
　たとえば、クライアントである車載ＥＣＵ１１１Ｂがサービスの提供を受けようとする場合、当該サービスに対応するサービスＩＤを含むサービス探索メッセージを生成する。車載ＥＣＵ１１１Ｂは、生成したサービス探索メッセージが格納されたフレームＦ１を中継装置１０１へ送信する。中継装置１０１は、車載ＥＣＵ１１１Ｂから受信したフレームＦ１を車載ＥＣＵ１１１Ａ等の他の車載ＥＣＵへマルチキャストする。
　サービス探索メッセージを受信した車載ＥＣＵ１１１のうち、サービス探索メッセージに付されたサービスＩＤに対応するサービスを提供可能な車載ＥＣＵ１１１たとえば車載ＥＣＵ１１１Ａは、サーバとして、当該サービスに対応するサービスＩＤを含むサービス提供通知メッセージを生成する。車載ＥＣＵ１１１Ａは、生成したサービス提供通知メッセージが格納されたフレームＦ２を中継装置１０１へ送信する。中継装置１０１は、車載ＥＣＵ１１１Ａから受信したフレームＦ２をフレームＦ１の送信元の車載ＥＣＵ１１１Ｂへ送信する。これにより、車載ＥＣＵ１１１Ａと車載ＥＣＵ１１１Ｂとの間で通信接続を確立することができる。
　車載ＥＣＵ１１１Ａとの間で通信接続を確立した車載ＥＣＵ１１１Ｂは、車載ＥＣＵ１１１Ａに対して周期的なサービスの提供を要求する場合、当該サービスに対応するサービスＩＤを含むサービス購読要求メッセージを生成する。車載ＥＣＵ１１１Ｂは、生成したサービス購読要求メッセージが格納されたフレームＦ３を中継装置１０１へ送信する。中継装置１０１は、車載ＥＣＵ１１１Ｂから受信したフレームＦ３を車載ＥＣＵ１１１Ａへ送信する。
　車載ＥＣＵ１１１Ａは、サービス購読要求メッセージを受信すると、受信したサービス購読要求メッセージに含まれる車載ＥＣＵ１１１ＢのＩＤ等に基づいて、サービスの提供を許可するか否かを決定する。車載ＥＣＵ１１１Ａは、サービスの提供を許可することを決定した場合、当該サービスに対応するサービスＩＤを含むサービス購読許可メッセージを生成する。車載ＥＣＵ１１１Ａは、生成したサービス購読許可メッセージが格納されたフレームＦ４を中継装置１０１へ送信する。中継装置１０１は、車載ＥＣＵ１１１Ａから受信したフレームＦ４を車載ＥＣＵ１１１Ｂへ送信する。
　そして、車載ＥＣＵ１１１Ａは、サービスとして提供する情報と、当該サービスに対応するサービスＩＤとを含むサービス提供メッセージを周期的に生成し、生成したサービス提供メッセージが格納されたフレームＦ５を中継装置１０１へ送信する。中継装置１０１は、車載ＥＣＵ１１１Ａから受信したフレームＦ５を車載ＥＣＵ１１１Ｂへ送信する。一例として、センサである車載ＥＣＵ１１１Ａは、車両１の走行状態または周囲の状態に関するセンサ情報を含むサービス提供メッセージを運転支援装置である車載ＥＣＵ１１１Ｂへ送信する。車載ＥＣＵ１１１Ｂは、受信したサービス提供メッセージから、サービスとして提供されたセンサ情報を取得し、当該センサ情報を用いて、車両１の運転に関する各種制御情報を生成し、生成した各種制御情報をブレーキ制御装置およびステアリング制御装置等へ送信する。
　サービス探索メッセージ、サービス提供通知メッセージ、サービス購読要求メッセージ、サービス購読許可メッセージ、およびサービス提供メッセージは、ＳＯＭＥ／ＩＰに従うメッセージの一例である。フレームＦ１，Ｆ２，Ｆ３，Ｆ４，Ｆ５は、サーバとクライアントとの間において情報の送受信を行うためのフレームの一例である。
　車載ＥＣＵ１１１は、当該車載ＥＣＵ１１１の機能に応じて、「Ａ」、「Ｂ」、「Ｃ」または「Ｄ」の機能安全レベルが割り当てられる。「Ｄ」が割り当てられた機能は最も高いレベルの安全方策が求められ、「Ａ」が割り当てられた機能は求められる安全方策が最も低い。すなわち、車載ＥＣＵ１１１の機能安全レベルは、「Ｄ」、「Ｃ」、「Ｂ」および「Ａ」の順に高い。
　一例として、機能安全レベルは、ＩＳＯ２６２６２により規定されるＡＳＩＬ（Ａｕｔｏｍｏｔｉｖｅ　Ｓａｆｅｔｙ　Ｉｎｔｅｇｒｉｔｙ　Ｌｅｖｅｌ）である。
　なお、車載ＥＣＵ１１１は、複数の機能を有する構成であってもよい。この場合、車載ＥＣＵ１１１は、機能ごとの複数の機能安全レベルを有する。
　＜課題＞
　ところで、車載通信システム３０１において、車載ネットワークの構成が変更されることにより、変更前は要求安全レベルの低い通信しか行わなかった車載ＥＣＵ１１１が、変更前は要求安全レベルの高い通信しか行わなかった車載ＥＣＵ１１１と通信を行う場合がある。
　具体的には、一例として、車両１の外部のＯＴＡ（Ｏｖｅｒ　Ｔｈｅ　Ａｉｒ）サーバからの更新データに基づいて、ある車載ＥＣＵ１１１のソフトウェアが更新されることにより、当該車載ＥＣＵ１１１の機能安全レベルが「Ｂ」から「Ｄ」に変更される場合がある。この場合、当該車載ＥＣＵ１１１と、機能安全レベルが「Ｄ」である他の車載ＥＣＵ１１１との間において新たに通信が開始される場合がある。
　また、他の例として、車載ネットワークに新たな車載ＥＣＵ１１１が追加される場合がある。当該車載ＥＣＵ１１１と、要求安全レベルの高い通信しか行わなかった既存の車載ＥＣＵ１１１との間において新たに通信が開始される場合がある。
　従来、このように、要求安全レベルの低い通信しか行わなかった車載ＥＣＵ１１１が要求安全レベルの高い通信を開始する場合において、セキュリティの観点から懸念が指摘されている。
　そこで、本開示の車載通信システム３０１および中継装置１０１では、以下のような構成および動作により、このような課題を解決する。
　＜中継装置＞
　図２は、本開示の実施の形態に係る中継装置の構成を示す図である。図２を参照して、中継装置１０１は、通信ポート１５Ａ，１５Ｂ，１５Ｃと、中継部１１と、設定部２１と、更新部３１と、通知部４１と、記憶部５１とを備える。以下、通信ポート１５Ａ，１５Ｂ，１５Ｃの各々を通信ポート１５とも称する。なお、中継装置１０１は、２つの通信ポート１５を備える構成であってもよいし、４つ以上の通信ポート１５を備える構成であってもよい。
　中継部１１は、たとえばスイッチＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）により実現される。設定部２１、更新部３１および通知部４１は、たとえば、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）およびＤＳＰ（Ｄｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒ）等のプロセッサにより実現される。記憶部５１は、たとえば不揮発性メモリである。
　通信ポート１５は、たとえばケーブル２を接続可能な端子である。なお、通信ポート１５は、集積回路の端子であってもよい。通信ポート１５Ａは、ケーブル２を介して車載ＥＣＵ１１１Ａに接続されている。通信ポート１５Ｂは、ケーブル２を介して車載ＥＣＵ１１１Ｂに接続されている。
　中継部１１は、車載ＥＣＵ１１１から受信したフレームを他の車載ＥＣＵ１１１へ中継することが可能である。すなわち、中継部１１は、車載ＥＣＵ１１１から送信されたフレームを、当該車載ＥＣＵ１１１に対応する通信ポート１５経由で受信し、受信したフレームに対して中継処理を行うことが可能である。
　たとえば、記憶部５１には、通信ポート１５のポート番号と、ケーブル２を介して通信ポート１５に接続された車載ＥＣＵ１１１のＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）アドレスとの対応関係を示すアドレステーブルが保存されている。中継部１１は、記憶部５１におけるアドレステーブルを用いて中継処理を行う。
　（システム管理リスト）
　図３は、本開示の実施の形態に係る中継装置における記憶部が記憶するシステム管理リストの一例を示す図である。図３を参照して、記憶部５１は、車載ＥＣＵ１１１の組と、システム安全レベルとの対応関係を示すシステム管理リストＬｓｙを記憶する。より詳細には、システム管理リストＬｓｙは、２つの車載ＥＣＵ１１１を構成要素として含む通信システムのシステムＩＤと、当該通信システムのシステム安全レベルとの対応関係を示している。通信システムのシステム安全レベルは、車載ＥＣＵ１１１の機能安全レベルと同様に、「Ｄ」、「Ｃ」、「Ｂ」および「Ａ」の順に高い。
　通信システムのシステム安全レベルは、当該通信システムの構成要素である２つの車載ＥＣＵ１１１がそれぞれ有する機能安全レベルに少なくとも基づいて設定される。たとえば、通信システムのシステム安全レベルは、当該通信システムの構成要素である車載ＥＣＵ１１１間において送受信されるフレームに付与される安全機構用のデータにさらに基づいて設定される。
　より詳細には、車載ＥＣＵ１１１Ａは、安全機構としてＥＣＣ（Ｅｒｒｏｒ　Ｃｏｒｒｅｃｔｉｏｎ　Ｃｏｄｅ）等を有しており、車載ＥＣＵ１１１Ａの機能安全レベルは「Ｂ」である。また、車載ＥＣＵ１１１Ｂは、安全機構としてＥＣＣ等を有しており、車載ＥＣＵ１１１Ｂの機能安全レベルは「Ｃ」である。そして、システムＩＤが「Ｓ００１」である通信システムのシステム安全レベルは、当該通信システムの構成要素である車載ＥＣＵ１１１Ａ，１１１Ｂの各機能安全レベルに基づいて、「Ｂ」に設定されている。
　また、システムＩＤが「Ｓ００２」である通信システムのシステム安全レベルは、当該通信システムの構成要素である車載ＥＣＵ１１１Ａ，１１１Ｂの各機能安全レベル、および車載ＥＣＵ１１１Ａ，１１１Ｂ間において送受信されるフレームに安全機構用のデータとして付与されるＣＲＣ（Ｃｙｃｌｉｃ　Ｒｅｄｕｎｄａｎｃｙ　Ｃｈｅｃｋ）に基づいて、「Ｃ」に設定されている。
　（サービス管理リスト）
　図４は、本開示の実施の形態に係る中継装置における記憶部が記憶するサービス管理リストの一例を示す図である。図４を参照して、記憶部５１は、車載ＥＣＵ１１１間において送受信される情報の種類と、車載ＥＣＵ１１１間における通信に要求される安全性のレベルである要求安全レベルとの対応関係を示すサービス管理リストＬｓｅを記憶する。より詳細には、サービス管理リストＬｓｅは、ＳＯＭＥ／ＩＰに従うサービスのサービスＩＤと、車載ＥＣＵ１１１間において当該サービスを行うための通信に要求される要求安全レベルとの対応関係を示している。要求安全レベルは、車載ＥＣＵ１１１の機能安全レベルと同様に、「Ｄ」、「Ｃ」、「Ｂ」および「Ａ」の順に高い。
　たとえば、サービスＩＤが「２００１」であるサービスに対応する要求安全レベルは「Ｄ」であるので、車載ＥＣＵ１１１間において当該サービスを行うための通信には最も高いレベルの安全方策が求められる。
　たとえば、システム管理リストＬｓｙおよびサービス管理リストＬｓｅは、車両１の製造者により作成され、車両１の出荷時に記憶部５１に保存される。
　（システム管理リストの更新）
　車載ＥＣＵ１１１は、自己の機能安全レベルを中継装置１０１へ通知する。より詳細には、車載ＥＣＵ１１１は、たとえば上述したＬＬＤＰフレームに自己の現在の機能安全レベルを示すレベル情報Ｌ１を含めて中継装置１０１へ送信する。
　たとえば、ＯＴＡサーバからの更新データに基づいて車載ＥＣＵ１１１Ａのソフトウェアが更新されることにより、車載ＥＣＵ１１１Ａの機能安全レベルが「Ｂ」から「Ｃ」に変更される。車載ＥＣＵ１１１Ａは、ＬＬＤＰフレームに更新後の自己の機能安全レベルを示すレベル情報Ｌ１を含めて中継装置１０１へ送信する。
　また、たとえば、車載ネットワークに新たな車載ＥＣＵ１１１である車載ＥＣＵ１１１Ｃが追加される。より詳細には、車両１のユーザの操作により、車載ＥＣＵ１１１Ｃがケーブル２を介して中継装置１０１における通信ポート１５Ｃに接続される。車載ＥＣＵ１１１Ｃは、ＬＬＤＰフレームに自己のＭＡＣアドレス、自己のＩＰアドレスおよび自己の現在の機能安全レベルを示すレベル情報Ｌ１を含めて中継装置１０１へ送信する。以下では、車載ＥＣＵ１１１ＣのＭＡＣアドレスは「ＭＡＣ＿Ｃ」であるものとする。
　中継部１１は、対応の通信ポート１５経由で車載ＥＣＵ１１１からＬＬＤＰフレームを受信すると、受信したＬＬＤＰフレームからレベル情報Ｌ１を取得して更新部３１へ出力する。
　更新部３１は、車載ＥＣＵ１１１から通知された機能安全レベルに基づいて、記憶部５１におけるシステム管理リストＬｓｙを更新する。より詳細には、更新部３１は、中継部１１からレベル情報Ｌ１を受けて、受けたレベル情報Ｌ１に基づいて、記憶部５１におけるシステム管理リストＬｓｙを更新する。
　図５は、本開示の実施の形態に係る中継装置における更新部による更新後のシステム管理リストの一例を示す図である。
　図５を参照して、更新部３１は、中継部１１経由で車載ＥＣＵ１１１Ａからレベル情報Ｌ１を受信すると、記憶部５１のシステム管理リストＬｓｙにおける車載ＥＣＵ１１１Ａの機能安全レベルを「Ｂ」から「Ｃ」に変更する。また、更新部３１は、システムＩＤが「Ｓ００１」である通信システムのシステム安全レベルを、車載ＥＣＵ１１１Ａの機能安全レベルの変更に伴って、「Ｂ」から「Ｃ」に変更する。また、更新部３１は、システムＩＤが「Ｓ００２」である通信システムのシステム安全レベルを、車載ＥＣＵ１１１Ａの機能安全レベルの変更に伴って、「Ｃ」から「Ｄ」に変更する。
　また、更新部３１は、中継部１１経由で車載ＥＣＵ１１１Ｃからレベル情報Ｌ１を受信すると、記憶部５１におけるシステム管理リストＬｓｙに、車載ＥＣＵ１１１Ａ，１１１Ｃを構成要素として含む新たな通信システムのシステムＩＤである「Ｓ１０３」を追加し、当該通信システムのシステム安全レベルを、車載ＥＣＵ１１１Ａ，１１１Ｃの各機能安全レベルに基づいて、たとえば「Ｂ」に設定する。
　（サービス管理リストの更新）
　車載ＥＣＵ１１１は、自己および他の車載ＥＣＵ１１１の間における通信に要求される要求安全レベルを中継装置１０１へ通知する。より詳細には、車載ＥＣＵ１１１は、たとえばサービス探索メッセージが格納されたフレームＦ１に、当該サービス探索メッセージに含まれるサービスＩＤが示すサービスを行うための通信に要求される要求安全レベルを示すレベル情報Ｌ２を含めて中継装置１０１へ送信する。
　たとえば、車載ＥＣＵ１１１Ｂは、サービスＩＤとして「３００１」を含むサービス探索メッセージが格納されたフレームＦ１に、当該サービスＩＤが示すサービスを行うための通信に要求される要求安全レベルが「Ｄ」であることを示すレベル情報Ｌ２を含めて中継装置１０１へ送信する。
　中継部１１は、対応の通信ポート１５経由で車載ＥＣＵ１１１からフレームＦ１を受信すると、受信したフレームＦ１からレベル情報Ｌ２を取得して更新部３１へ出力する。
　更新部３１は、車載ＥＣＵ１１１から通知された要求安全レベルに基づいて、記憶部５１におけるサービス管理リストＬｓｅを更新する。より詳細には、更新部３１は、中継部１１からレベル情報Ｌ２を受けて、受けたレベル情報Ｌ２に基づいて、記憶部５１におけるサービス管理リストＬｓｅを更新する。
　図６は、本開示の実施の形態に係る中継装置における更新部による更新後のサービス管理リストの一例を示す図である。
　図６を参照して、更新部３１は、中継部１１経由で車載ＥＣＵ１１１からレベル情報Ｌ２を受信すると、記憶部５１におけるサービス管理リストＬｓｅに、サービスＩＤである「３００１」を追加する。そして、更新部３１は、レベル情報Ｌ２に基づいて、「３００１」が示すサービスに対応する要求安全レベルを「Ｄ」に設定する。
　（設定処理）
　設定部２１は、要求安全レベルと、システム安全レベルとの比較結果に基づいて、中継部１１による中継の可否に関する設定を行う。
　たとえば、中継部１１は、通信ポート１５Ｂ経由で車載ＥＣＵ１１１Ｂからサービス探索メッセージが格納されたフレームＦ１を受信すると、受信したフレームＦ１からサービス探索メッセージを取得して設定部２１へ出力する。そして、中継部１１は、フレームＦ１を複数の通信ポート１５経由でマルチキャストする。
　設定部２１は、中継部１１からサービス探索メッセージを受けて、受けたサービス探索メッセージからサービスＩＤを取得する。設定部２１は、取得したサービスＩＤを用いて、中継部１１による中継の可否に関する設定を行う。
　より詳細には、設定部２１は、記憶部５１におけるサービス管理リストＬｓｅから、取得したサービスＩＤに対応する要求安全レベルを取得する。そして、設定部２１は、記憶部５１におけるシステム管理リストＬｓｙに基づいて、取得した要求安全レベル以上のシステム安全レベルを有する通信システムにおいて送受信される、当該サービスＩＤを含むメッセージが格納されたフレームの中継を許可する一方で、取得した要求安全レベル未満のシステム安全レベルを有する通信システムにおいて送受信される、当該サービスＩＤを含むメッセージが格納されたフレームの中継を許可しない旨の中継処理条件の設定を行う。
　一例として、設定部２１は、サービス探索メッセージから取得したサービスＩＤが「２００１」である場合、記憶部５１におけるサービス管理リストＬｓｅから、「２００１」に対応する要求安全レベルである「Ｄ」を取得する。
　そして、設定部２１は、記憶部５１におけるシステム管理リストＬｓｙに基づいて、「Ｄ」以上のシステム安全レベルを有する通信システムにおいて送受信される、サービスＩＤとして「２００１」を含むメッセージが格納されたフレームの中継を許可する一方で、「Ｄ」未満のシステム安全レベルを有する通信システムにおいて送受信される、サービスＩＤとして「２００１」を含むメッセージが格納されたフレームの中継を許可しない旨の中継処理条件の設定を行う。
　すなわち、設定部２１は、システムＩＤが「Ｓ００２」である通信システムにおいて送受信される、サービスＩＤとして「２００１」を含むメッセージが格納されたフレームの中継を許可する一方で、システムＩＤが「Ｓ００１」または「Ｓ１０３」である通信システムにおいて送受信される、サービスＩＤとして「２００１」を含むメッセージが格納されたフレームの中継を許可しない旨の中継処理条件の設定を行う。
　たとえば、中継部１１は、ＡＣＬ（Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ　Ｌｉｓｔ）を含む。
　設定部２１は、サービスＩＤとして「２００１」を含むメッセージが格納されたフレームにおいて、当該フレームの宛先ＭＡＣアドレスが「ＭＡＣ＿Ａ」または「ＭＡＣ＿Ｂ」であり、当該フレームの送信元ＭＡＣアドレスが「ＭＡＣ＿Ａ」または「ＭＡＣ＿Ｂ」であり、かつ当該フレームにＣＲＣが含まれている旨の条件を満たす場合に当該フレームを中継する一方で、上記条件を満たさない場合に当該フレームを中継しない旨の中継処理条件を、中継部１１におけるＡＣＬに設定する。
　（フレームＦ２，Ｆ３，Ｆ４，Ｆ５の中継処理）
　中継部１１は、設定部２１における要求安全レベルとシステム安全レベルとの比較結果に基づいて、フレームＦ２，Ｆ３，Ｆ４，Ｆ５の中継の可否を決定する。すなわち、中継部１１は、設定部２１による設定の内容に従って、フレームＦ２，Ｆ３，Ｆ４，Ｆ５の中継処理を行う。
　より詳細には、たとえば、中継部１１は、サービスＩＤとして「２００１」を含むサービス提供通知メッセージが格納され、宛先ＭＡＣアドレスが「ＭＡＣ＿Ｂ」であり、送信元ＭＡＣアドレスが「ＭＡＣ＿Ａ」であり、かつＣＲＣが含まれているフレームＦ２を通信ポート１５Ａ経由で車載ＥＣＵ１１１Ａから受信する。この場合、中継部１１は、受信したフレームＦ２が上記中継処理条件を満たすので、当該フレームＦ２の中継処理を行う。具体的には、中継部１１は、当該フレームＦ２を通信ポート１５Ｂ経由で車載ＥＣＵ１１１Ｂへ送信する。
　次に、たとえば、中継部１１は、サービスＩＤとして「２００１」を含むサービス購読要求メッセージが格納され、宛先ＭＡＣアドレスが「ＭＡＣ＿Ａ」であり、送信元ＭＡＣアドレスが「ＭＡＣ＿Ｂ」であり、かつＣＲＣが含まれているフレームＦ３を通信ポート１５Ｂ経由で車載ＥＣＵ１１１Ｂから受信する。この場合、中継部１１は、受信したフレームＦ３が上記中継処理条件を満たすので、当該フレームＦ３の中継処理を行う。具体的には、中継部１１は、当該フレームＦ３を通信ポート１５Ａ経由で車載ＥＣＵ１１１Ａへ送信する。
　あるいは、中継部１１は、サービスＩＤとして「２００１」を含むサービス購読要求メッセージが格納され、宛先ＭＡＣアドレスが「ＭＡＣ＿Ａ」であり、送信元ＭＡＣアドレスが「ＭＡＣ＿Ｂ」であり、かつＣＲＣが含まれてないフレームＦ３を通信ポート１５Ｂ経由で車載ＥＣＵ１１１Ｂから受信する。この場合、中継部１１は、受信したフレームＦ３が上記中継処理条件を満たさないので、当該フレームＦ３の中継処理を行わない。
　また、たとえば、中継部１１は、サービスＩＤとして「２００１」を含むサービス提供通知メッセージが格納され、宛先ＭＡＣアドレスが「ＭＡＣ＿Ｃ」であり、送信元ＭＡＣアドレスが「ＭＡＣ＿Ａ」であり、かつＣＲＣが含まれているフレームＦ２を通信ポート１５経由で車載ＥＣＵ１１１Ａから受信する。この場合、中継部１１は、受信したフレームＦ２が上記中継処理条件を満たさないので、当該フレームＦ２の中継処理を行わない。
　中継部１１は、フレームＦ４，Ｆ５についても同様に、受信したフレームが中継処理条件を満たす場合は当該フレームを対応の通信ポート１５経由で宛先の車載ＥＣＵ１１１へ送信する一方で、受信したフレームが中継処理条件を満たさない場合は当該フレームＦ２の中継処理を行わない。
　たとえば、中継部１１は、中継処理条件を満たさないフレームを、通知部４１へ出力する。
　通知部４１は、中継部１１によりフレームの中継を行わないことが決定された場合、当該フレームの宛先の車載ＥＣＵ１１１への中継を行うために必要な条件を送信元の車載ＥＣＵ１１１へ通知する。
　より詳細には、通知部４１は、サービスＩＤとして「２００１」を含むサービス購読要求メッセージが格納され、宛先ＭＡＣアドレスが「ＭＡＣ＿Ａ」であり、送信元ＭＡＣアドレスが「ＭＡＣ＿Ｂ」であり、かつＣＲＣが含まれてないフレームＦ３を中継部１１から受ける。
　通知部４１は、記憶部５１におけるシステム管理リストＬｓｙおよびサービス管理リストＬｓｅを参照し、当該フレームＦ３にＣＲＣが含まれることにより通信システムのシステム安全レベルが「Ｄ」となり、システム安全レベルが要求安全レベル以上となることを認識する。
　そして、通知部４１は、フレームＦ３の車載ＥＣＵ１１１Ａへの中継を行うために必要な条件として、フレームＦ３にＣＲＣを含めるべき旨を示す中継条件情報を生成し、生成した中継条件情報を含む車載ＥＣＵ１１１Ｂのフレームを生成し、生成したフレームを中継部１１および通信ポート１５Ｂ経由で車載ＥＣＵ１１１Ｂへ送信する。
　車載ＥＣＵ１１１Ｂは、中継装置１０１から当該フレームを受信し、受信したフレームから中継条件情報を取得する。たとえば、車載ＥＣＵ１１１Ｂは、取得した中継条件情報に従い、フレームＦ３にＣＲＣを含めて再送信する。
　［動作の流れ］
　本開示の実施の形態に係る車載通信システムにおける各装置は、メモリを含むコンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のシーケンスの各ステップの一部または全部を含むプログラムを当該メモリから読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態でまたは通信回線を介して流通する。
　図７は、本開示の実施の形態に係る中継装置が中継処理を行う際の動作手順の一例を定めたフローチャートである。
　図７を参照して、まず、中継装置１０１は、中継処理条件を設定する。より詳細には、中継装置１０１は、通信ポート１５Ｂ経由で車載ＥＣＵ１１１Ｂから受信したフレームＦ１からサービス探索メッセージを取得する。中継装置１０１は、サービス探索メッセージからサービスＩＤを取得し、記憶部５１におけるサービス管理リストＬｓｅから、当該サービスＩＤに対応する要求安全レベルを取得する。そして、設定部２１は、記憶部５１におけるシステム管理リストＬｓｙに基づいて、取得した要求安全レベル以上のシステム安全レベルを有する通信システムにおいて送受信される、当該サービスＩＤを含むメッセージが格納されたフレームの中継を許可する一方で、取得した要求安全レベル未満のシステム安全レベルを有する通信システムにおいて送受信される、当該サービスＩＤを含むメッセージが格納されたフレームの中継を許可しない旨の中継処理条件の設定を行う（ステップＳ１０２）。
　次に、中継装置１０１は、フレームＦ２，Ｆ３，Ｆ４，Ｆ５を待ち受け（ステップＳ１０４でＮＯ）、たとえば通信ポート１５Ａ経由で車載ＥＣＵ１１１ＡからフレームＦ２を受信すると（ステップＳ１０４でＹＥＳ）、受信したフレームＦ２が中継処理条件を満たすか否かを判断する（ステップＳ１０６）。
　中継装置１０１は、受信したフレームＦ２が中継処理条件を満たす場合、当該フレームＦ２の中継処理を行う（ステップＳ１０８）。
　次に、中継装置１０１は、新たなフレームＦ２，Ｆ３，Ｆ４，Ｆ５を待ち受ける（ステップＳ１０４でＮＯ）。
　一方、中継装置１０１は、受信したフレームＦ２が中継処理条件を満たさない場合、中継条件情報を生成し、生成した中継条件情報を含むフレームを生成して車載ＥＣＵ１１１Ａへ送信する（ステップＳ１１０）。
　次に、中継装置１０１は、当該フレームＦ２を破棄する（ステップＳ１１２）。
　次に、中継装置１０１は、新たなフレームＦ２，Ｆ３，Ｆ４，Ｆ５を待ち受ける（ステップＳ１０４でＮＯ）。
　図８は、本開示の実施の形態に係る車載通信システムにおける通信のシーケンスの一例を示す図である。図８は、サーバである車載ＥＣＵ１１１Ａおよびクライアントである車載ＥＣＵ１１１Ｂが中継装置１０１を介してフレームの送受信を行う際のシーケンスを示している。
　図８を参照して、まず、ＯＴＡサーバからの更新データに基づいて車載ＥＣＵ１１１Ａのソフトウェアが更新されることにより、車載ＥＣＵ１１１Ａの機能安全レベルが変更される（ステップＳ２０２）。
　次に、車載ＥＣＵ１１１Ａは、ＬＬＤＰフレームに自己の現在の機能安全レベルを示すレベル情報Ｌ１を含めて中継装置１０１へ送信する（ステップＳ２０４）。
　また、車載ＥＣＵ１１１Ｂは、ＬＬＤＰフレームに自己の現在の機能安全レベルを示すレベル情報Ｌ１を含めて中継装置１０１へ送信する（ステップＳ２０６）。
　次に、中継装置１０１は、車載ＥＣＵ１１１Ａ，１１１Ｂの各々から受信したレベル情報Ｌ１に基づいて、記憶部５１におけるシステム管理リストＬｓｙを更新する（ステップＳ２０８）。
　次に、車載ＥＣＵ１１１Ｂは、サービス探索メッセージが格納されたフレームＦ１を中継装置１０１へ送信する（ステップＳ２１０）。
　次に、中継装置１０１は、受信したフレームＦ１に格納されたサービス探索メッセージからサービスＩＤを取得し、記憶部５１におけるサービス管理リストＬｓｅから、当該サービスＩＤに対応する要求安全レベルを取得する。そして、中継装置１０１は、取得した要求安全レベルおよび記憶部５１におけるシステム管理リストＬｓｙに基づいて、中継処理条件の設定を行う（ステップＳ２１２）。
　次に、中継装置１０１は、サービス探索メッセージが格納されたフレームＦ１を車載ＥＣＵ１１１Ａへ送信する。具体的には、中継装置１０１は、フレームＦ１をマルチキャストする（ステップＳ２１４）。
　次に、車載ＥＣＵ１１１Ａは、サービス提供通知メッセージが格納されたフレームＦ２を中継装置１０１へ送信する（ステップＳ２１６）。
　次に、中継装置１０１は、受信したフレームＦ２が、設定した中継処理条件を満たすので、当該フレームＦ２の中継処理を行う。具体的には、中継装置１０１は、サービス提供通知メッセージが格納された当該フレームＦ２を車載ＥＣＵ１１１Ｂへ送信する（ステップＳ２１８）。
　次に、車載ＥＣＵ１１１Ｂは、サービス購読要求メッセージが格納されたフレームＦ３を中継装置１０１へ送信する（ステップＳ２２０）。
　次に、中継装置１０１は、たとえばフレームＦ３にＣＲＣが含まれていないことから当該フレームＦ３が中継処理条件を満たさないので、当該フレームＦ３の中継処理を行う代わりに、中継条件情報を含むフレームを車載ＥＣＵ１１１Ｂへ送信する（ステップＳ２２２）。
　次に、中継装置１０１は、フレームＦ３を破棄する（ステップＳ２２４）。
　次に、車載ＥＣＵ１１１Ｂは、中継装置１０１から受信したフレームから取得した中継条件情報に従い、サービス購読要求メッセージが格納された、ＣＲＣを含むフレームＦ３を中継装置１０１へ送信する（ステップＳ２２６）。
　次に、中継装置１０１は、受信したフレームＦ３にＣＲＣが含まれており、フレームＦ３が中継処理条件を満たすので、当該フレームＦ３の中継処理を行う。具体的には、中継装置１０１は、サービス購読要求メッセージが格納された当該フレームＦ３を車載ＥＣＵ１１１Ａへ送信する（ステップＳ２２８）。
　次に、車載ＥＣＵ１１１Ａは、サービス購読許可メッセージが格納されたフレームＦ４を中継装置１０１へ送信する（ステップＳ２３０）。
　次に、中継装置１０１は、受信したフレームＦ４が、設定した中継処理条件を満たすので、当該フレームＦ４の中継処理を行う。具体的には、中継装置１０１は、サービス購読許可メッセージが格納された当該フレームＦ４を車載ＥＣＵ１１１Ｂへ送信する（ステップＳ２３２）。
　次に、車載ＥＣＵ１１１Ａは、サービス提供メッセージが格納されたフレームＦ５を中継装置１０１へ送信する（ステップＳ２３４）。
　次に、中継装置１０１は、受信したフレームＦ５が、設定した中継処理条件を満たすので、当該フレームＦ５の中継処理を行う。具体的には、中継装置１０１は、サービス提供メッセージが格納された当該フレームＦ５を車載ＥＣＵ１１１Ｂへ送信する（ステップＳ２３６）。
　図９は、本開示の実施の形態に係る車載通信システムにおける通信のシーケンスの他の例を示す図である。図９は、サーバである車載ＥＣＵ１１１Ａおよびクライアントである車載ＥＣＵ１１１Ｃが中継装置１０１を介してフレームの送受信を行う際のシーケンスを示している。
　図９を参照して、まず、車載ネットワークに新たな車載ＥＣＵ１１１Ｃが追加される（ステップＳ３０２）。
　次に、車載ＥＣＵ１１１Ａは、ＬＬＤＰフレームに自己の現在の機能安全レベルを示すレベル情報Ｌ１を含めて中継装置１０１へ送信する（ステップＳ３０４）。
　また、車載ＥＣＵ１１１Ｃは、ＬＬＤＰフレームに自己の現在の機能安全レベルを示すレベル情報Ｌ１を含めて中継装置１０１へ送信する（ステップＳ３０６）。
　次に、中継装置１０１は、車載ＥＣＵ１１１Ａ，１１１Ｃの各々から受信したレベル情報Ｌ１に基づいて、記憶部５１におけるシステム管理リストＬｓｙを更新する（ステップＳ３０８）。
　次に、車載ＥＣＵ１１１Ｃは、サービス探索メッセージが格納されたフレームＦ１を中継装置１０１へ送信する（ステップＳ３１０）。
　次に、中継装置１０１は、受信したフレームＦ１に格納されたサービス探索メッセージからサービスＩＤを取得し、記憶部５１におけるサービス管理リストＬｓｅから、当該サービスＩＤに対応する要求安全レベルを取得する。そして、中継装置１０１は、取得した要求安全レベルおよび記憶部５１におけるシステム管理リストＬｓｙに基づいて、中継処理条件の設定を行う（ステップＳ３１２）。
　次に、中継装置１０１は、サービス探索メッセージが格納されたフレームＦ１を車載ＥＣＵ１１１Ａへ送信する。具体的には、中継装置１０１は、フレームＦ１をマルチキャストする（ステップＳ３１４）。
　次に、車載ＥＣＵ１１１Ａは、サービス提供通知メッセージが格納されたフレームＦ２を中継装置１０１へ送信する（ステップＳ３１６）。
　次に、中継装置１０１は、たとえばフレームＦ３の宛先ＭＡＣアドレスが「ＭＡＣ＿Ｃ」であることから当該フレームＦ３が中継処理条件を満たさないので、フレームＦ３を破棄する（ステップＳ３１８）。
　なお、中継装置１０１は、ステップＳ３１６において、フレームＦ３を破棄することに加えて、システムＩＤが「Ｓ１０３」である通信システムのシステム安全レベルをデコンポジションする構成であってもよい。より詳細には、中継装置１０１は、たとえば、故障検出機構を追加すべき旨を示す中継条件情報を生成し、生成した中継条件情報を含むフレームを車載ＥＣＵ１１１Ｃへ送信する。
　車載ＥＣＵ１１１Ｃは、中継装置１０１から受信したフレームから取得した中継条件情報に従い、故障検出機構を追加する。これにより、システムＩＤが「Ｓ１０３」である通信システムのシステム安全レベルを上げることができるので、車載ＥＣＵ１１１Ａおよび車載ＥＣＵ１１１Ｃ間において送受信されるフレームＦ２，Ｆ３，Ｆ４，Ｆ５が中継処理条件を満たすものとなり、中継装置１０１においてフレームＦ２，Ｆ３，Ｆ４，Ｆ５の中継処理を行うことができる。
　なお、本開示の実施の形態に係る車載通信システム３０１では、中継装置１０１における記憶部５１は、車載ＥＣＵ１１１の組と、車載ＥＣＵ１１１間において送受信されるフレームに付与される安全機構用のデータにさらに基づいて設定されるシステム安全レベルとの対応関係を示すシステム管理リストＬｓｙを記憶する構成であるとしたが、これに限定するものではない。記憶部５１は、車載ＥＣＵ１１１の組と、２つの車載ＥＣＵ１１１がそれぞれ有する機能安全レベルのみに基づいて設定されるシステム安全レベルとの対応関係を示すシステム管理リストＬｓｙを記憶する構成であってもよい。この場合、中継装置１０１は、要求安全レベルと、２つの車載ＥＣＵ１１１がそれぞれ有する機能安全レベルのみに基づくシステム安全レベルとの比較結果に基づいて、フレームの中継の可否を決定する。
　また、本開示の実施の形態に係る車載通信システム３０１では、車載ＥＣＵ１１１は、ＬＬＤＰフレームにレベル情報Ｌ１を含めて中継装置１０１へ送信する構成であるとしたが、これに限定するものではない。車載ＥＣＵ１１１は、自己の機能安全レベルの中継装置１０１への通知を行わない構成であってもよい。すなわち、車載ＥＣＵ１１１は、ＬＬＤＰフレームにレベル情報Ｌ１を含めない構成であってもよい。この場合、中継装置１０１における更新部３１は、記憶部５１におけるシステム管理リストＬｓｙの更新を行わない構成であってもよい。
　また、車載ＥＣＵ１１１は、ＬＬＤＰフレームの代わりに、ＬＬＤＰ以外のプロトコルに従うフレームにレベル情報Ｌ１を含めて中継装置１０１へ送信する構成であってもよい。たとえば、車載ＥＣＵ１１１は、ＳＮＭＰ（Ｓｉｍｐｌｅ　Ｎｅｔｗｏｒｋ　Ｍａｎａｇｅｍｅｎｔ　Ｐｒｏｔｏｃｏｌ）に従うフレームにレベル情報Ｌ１を含めて中継装置１０１へ送信する構成であってもよい。
　また、本開示の実施の形態に係る車載通信システム３０１では、車載ＥＣＵ１１１は、サービス探索メッセージが格納されたフレームＦ１にレベル情報Ｌ２を含めて中継装置１０１へ送信する構成であるとしたが、これに限定するものではない。車載ＥＣＵ１１１は、自己および他の車載ＥＣＵ１１１の間における通信に要求される要求安全レベルの中継装置１０１への通知を行わない構成であってもよい。すなわち、車載ＥＣＵ１１１は、フレームＦ１にレベル情報Ｌ２を含めない構成であってもよい。この場合、中継装置１０１における更新部３１は、記憶部５１におけるサービス管理リストＬｓｅの更新を行わない構成であってもよい。
　また、車載ＥＣＵ１１１は、サービス探索メッセージが格納されたフレームＦ１の代わりに、フレームＦ１以外のフレームにレベル情報Ｌ２を含めて中継装置１０１へ送信する構成であってもよい。
　また、本開示の実施の形態に係る車載通信システム３０１では、中継装置１０１は、ＳＯＭＥ／ＩＰに従うメッセージが格納されたフレームＦ２，Ｆ３，Ｆ４，Ｆ５を受信し、当該メッセージに含まれるサービスＩＤに対応する要求安全レベルと、システム安全レベルとの比較結果に基づいて、フレームＦ２，Ｆ３，Ｆ４，Ｆ５の中継の可否を決定する構成であるとしたが、これに限定するものではない。中継装置１０１は、ＳＯＭＥ／ＩＰに従うメッセージが格納されたフレーム以外のフレームを受信し、受信したフレームの中継の可否を決定する構成であってもよい。
　また、本開示の実施の形態に係る車載通信システム３０１では、中継装置１０１は、フレームの中継を行わないことを決定した場合、当該フレームの宛先の車載ＥＣＵ１１１への中継を行うために必要な条件を送信元の車載ＥＣＵ１１１へ通知する構成であるとしたが、これに限定するものではない。中継装置１０１は、送信元の車載ＥＣＵ１１１への当該条件の通知を行わない構成であってもよい。すなわち、中継装置１０１は、通知部４１を備えない構成であってもよい。
　また、本開示の実施の形態に係る中継装置１０１では、設定部２１は、中継部１１により受信されたフレームＦ１に格納されたサービス探索メッセージからサービスＩＤを取得し、取得したサービスＩＤを用いて、中継処理条件の設定を行う構成であるとしたが、これに限定するものではない。設定部２１は、予め、サービス管理リストＬｓｅにおける各サービスＩＤを用いて、中継処理条件の設定を行う構成であってもよい。
　また、本開示の実施の形態に係る中継装置１０１では、中継部１１は、設定部２１による設定の内容に従って、フレームの中継処理を行う構成であるとしたが、これに限定するものではない。たとえば、設定部２１は、中継部１１によりフレームが受信されるたびに、当該フレームの中継の可否を決定する構成であってもよい。具体的には、以下のような構成であってもよい。
　すなわち、中継部１１は、車載ＥＣＵ１１１からフレームを受信すると、受信したフレームを設定部２１へ出力し、設定部２１からの指示を受けるまで当該フレームの中継を保留する。
　設定部２１は、要求安全レベルと、システム安全レベルとの比較結果に基づいて、フレームの中継の可否を決定する。具体的には、設定部２１は、中継部１１からフレームを受けて、受けたフレームに格納されたメッセージからサービスＩＤを取得し、記憶部５１におけるサービス管理リストＬｓｅから、取得したサービスＩＤに対応する要求安全レベルを取得する。また、設定部２１は、記憶部５１におけるシステム管理リストＬｓｙから、当該フレームの宛先ＭＡＣアドレスおよび送信元ＭＡＣアドレス等が示す通信システムのシステム安全レベルを取得する。そして、設定部２１は、取得した要求安全レベルと取得したシステム安全レベルとを比較し、システム安全レベルが要求安全レベル以上である場合、フレームを中継すべき旨を示す中継指示を中継部１１へ出力する一方で、システム安全レベルが要求安全レベル未満である場合、フレームを破棄すべき旨を示す破棄指示を中継部１１へ出力する。
　中継部１１は、設定部２１による決定結果に基づいて、フレームの中継を行う。具体的には、中継部１１は、設定部２１から中継指示を受けた場合、中継を保留していたフレームを宛先の車載ＥＣＵ１１１へ中継する。一方、中継部１１は、設定部２１から破棄指示を受けた場合、中継を保留していたフレームを中継することなく破棄する。
　上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
　以上の説明は、以下に付記する特徴を含む。
　［付記１］
　複数の車載装置と、
　中継装置とを備え、
　第１の前記車載装置は、第２の前記車載装置との間において情報の送受信を行うための第２の前記車載装置宛のフレームを前記中継装置へ送信し、
　前記中継装置は、前記第１の車載装置および前記第２の車載装置の間における通信に要求される安全性のレベルである要求安全レベルと、前記第１の車載装置および前記第２の車載装置がそれぞれ有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定し、
　前記中継装置は、前記比較結果に基づいて、中継の可否に関する設定を行い、設定した内容に従って前記フレームの中継処理を行う、車載通信システム。
　［付記２］
　複数の車載装置と、中継装置とを備える車載通信システムにおける通信方法であって、
　第１の前記車載装置が、第２の前記車載装置との間において情報の送受信を行うための第２の前記車載装置宛のフレームを前記中継装置へ送信するステップと、
　前記中継装置が、前記第１の車載装置および前記第２の車載装置の間における通信に要求される安全性のレベルである要求安全レベルと、前記第１の車載装置および前記第２の車載装置がそれぞれ有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定するステップとを含む、通信方法。
　１　　　　　車両
　２　　　　　ケーブル
　１１　　　　中継部
　１５，１５Ａ，１５Ｂ，１５Ｃ　　通信ポート
　２１　　　　設定部
　３１　　　　更新部
　４１　　　　通知部
　５１　　　　記憶部
　１０１　　　中継装置
　１１１，１１１Ａ，１１１Ｂ　車載ＥＣＵ
　３０１　　　車載通信システム
　Ｌｓｙ　　　システム管理リスト
　Ｌｓｅ　　　サービス管理リスト

Claims (8)

  1. 　複数の車載装置と、
    　中継装置とを備え、
    　第１の前記車載装置は、第２の前記車載装置との間において情報の送受信を行うための第２の前記車載装置宛のフレームを前記中継装置へ送信し、
    　前記中継装置は、前記第１の車載装置および前記第２の車載装置の間における通信に要求される安全性のレベルである要求安全レベルと、前記第１の車載装置および前記第２の車載装置がそれぞれ有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定する、車載通信システム。
  2. 　前記中継装置は、前記要求安全レベルと、前記フレームに付与される安全機構用のデータにさらに基づく前記システム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定する、請求項１に記載の車載通信システム。
  3. 　前記中継装置は、前記車載装置の組と、前記システム安全レベルとの対応関係を示すシステム管理リストを記憶する記憶部を備え、
    　前記車載装置は、自己の前記機能安全レベルを前記中継装置へ通知し、
    　前記中継装置は、前記車載装置から通知された前記機能安全レベルに基づいて、前記記憶部における前記システム管理リストを更新する、請求項１または請求項２に記載の車載通信システム。
  4. 　前記中継装置は、前記車載装置間において送受信される情報の種類と、前記要求安全レベルとの対応関係を示すサービス管理リストを記憶する記憶部を備え、
    　前記車載装置は、自己および他の前記車載装置の間における通信に要求される前記要求安全レベルを前記中継装置へ通知し、
    　前記中継装置は、前記車載装置から通知された前記要求安全レベルに基づいて、前記記憶部における前記サービス管理リストを更新する、請求項１から請求項３のいずれか１項に記載の車載通信システム。
  5. 　前記第１の車載装置は、ＳＯＭＥ／ＩＰ（Ｓｃａｌａｂｌｅ　ｓｅｒｖｉｃｅ－Ｏｒｉｅｎｔｅｄ　ＭｉｄｄｌｅｗａｒＥ　ｏｖｅｒ　ＩＰ）に従うメッセージが格納された前記フレームを前記中継装置へ送信し、
    　前記中継装置は、前記メッセージに含まれるサービスＩＤに対応する前記要求安全レベルと、前記システム安全レベルとの比較結果に基づいて、前記フレームの前記第２の車載装置への中継の可否を決定する、請求項１から請求項４のいずれか１項に記載の車載通信システム。
  6. 　前記中継装置は、前記フレームの前記第２の車載装置への中継を行わないことを決定した場合、前記フレームの前記第２の車載装置への中継を行うために必要な条件を前記第１の車載装置へ通知する、請求項１から請求項５のいずれか１項に記載の車載通信システム。
  7. 　複数の車載装置を備える車載通信システムに用いられる中継装置であって、
    　前記車載装置間における通信に要求される安全性のレベルである要求安全レベルと、前記各車載装置が有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記車載装置間において情報の送受信を行うためのフレームの中継の可否に関する設定を行う設定部と、
    　前記設定部による設定の内容に従って、前記フレームの中継処理を行う中継部とを備える、中継装置。
  8. 　複数の車載装置を備える車載通信システムに用いられる中継装置における中継方法であって、
    　前記車載装置間における通信に要求される安全性のレベルである要求安全レベルと、前記各車載装置が有する車両の安全性に関する機能安全レベルに少なくとも基づくシステム安全レベルとの比較結果に基づいて、前記車載装置間において情報の送受信を行うためのフレームの中継の可否に関する設定を行うステップと、
    　設定した内容に従って、前記フレームの中継処理を行うステップとを含む、中継方法。
PCT/JP2022/014308 2021-04-30 2022-03-25 車載通信システム、中継装置および中継方法 WO2022230496A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202280028037.8A CN117121446A (zh) 2021-04-30 2022-03-25 车载通信系统、中继装置和中继方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2021-077516 2021-04-30
JP2021077516A JP2022171100A (ja) 2021-04-30 2021-04-30 車載通信システム、中継装置および中継方法

Publications (1)

Publication Number Publication Date
WO2022230496A1 true WO2022230496A1 (ja) 2022-11-03

Family

ID=83847939

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/014308 WO2022230496A1 (ja) 2021-04-30 2022-03-25 車載通信システム、中継装置および中継方法

Country Status (3)

Country Link
JP (1) JP2022171100A (ja)
CN (1) CN117121446A (ja)
WO (1) WO2022230496A1 (ja)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014174778A (ja) * 2013-03-11 2014-09-22 Hitachi Automotive Systems Ltd ゲートウェイ装置及びサービス提供システム
US20170150361A1 (en) * 2015-11-20 2017-05-25 Faraday&Future Inc. Secure vehicle network architecture
WO2018047510A1 (ja) * 2016-09-07 2018-03-15 日立オートモティブシステムズ株式会社 車載用処理装置
JP2019129500A (ja) * 2018-01-26 2019-08-01 住友電気工業株式会社 なりすまし検出装置、検出方法、およびコンピュータプログラム
CN112602303A (zh) * 2020-08-28 2021-04-02 华为技术有限公司 一种数据传输方法以及装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014174778A (ja) * 2013-03-11 2014-09-22 Hitachi Automotive Systems Ltd ゲートウェイ装置及びサービス提供システム
US20170150361A1 (en) * 2015-11-20 2017-05-25 Faraday&Future Inc. Secure vehicle network architecture
WO2018047510A1 (ja) * 2016-09-07 2018-03-15 日立オートモティブシステムズ株式会社 車載用処理装置
JP2019129500A (ja) * 2018-01-26 2019-08-01 住友電気工業株式会社 なりすまし検出装置、検出方法、およびコンピュータプログラム
CN112602303A (zh) * 2020-08-28 2021-04-02 华为技术有限公司 一种数据传输方法以及装置

Also Published As

Publication number Publication date
CN117121446A (zh) 2023-11-24
JP2022171100A (ja) 2022-11-11

Similar Documents

Publication Publication Date Title
US11496577B2 (en) Broker-based bus protocol and multi-client architecture
CN108370343B (zh) 网络集线器、转送方法以及车载网络系统
US10315520B2 (en) Apparatuses and methods of an in-vehicle gateway system for monitoring and controling in-vehicle subsystems
KR20210095944A (ko) 차량 내 게이트웨이 통신 방법, 차량 내 게이트웨이, 및 지능형 차량
US11917018B2 (en) Broker-based bus protocol and multi-client architecture
WO2021002261A1 (ja) 異常検知装置および異常検知方法
WO2022178871A1 (zh) 获取密钥的方法、装置及密钥管理系统
US20240146604A1 (en) Relay device, vehicle communication system, vehicle, communication method, and communication program
JP2024010202A (ja) 管理装置、通信システム、車両通信管理方法および車両通信管理プログラム
JP2018041200A (ja) 車載通信機、管理装置、管理方法および監視プログラム
JP7476896B2 (ja) 中継装置、車両通信方法および車両通信プログラム
WO2022230496A1 (ja) 車載通信システム、中継装置および中継方法
JP7447911B2 (ja) 中継装置、車載通信システム、車載通信プログラムおよび車載通信方法
WO2024029196A1 (ja) 管理装置、機能部、車載通信システムおよび車両通信管理プログラム
JP7360417B2 (ja) 管理装置、中継装置、管理方法および管理プログラム
US20240187503A1 (en) Vehicle-mounted relay device, vehicle-mounted communication system, and communication control method
JP7491316B2 (ja) 中継装置、車載通信システム、車載通信プログラムおよび車載通信方法
JP7447912B2 (ja) 中継装置、車載通信システム、車載通信プログラムおよび車載通信方法
WO2024101115A1 (ja) 車載装置、機能制御方法および機能制御プログラム
CN117675810A (zh) 一种数据传输的方法、装置、电子设备及存储介质
CN115225706A (zh) 数据传输方法、装置、车辆以及存储介质
CN116366735A (zh) 一种数据传输方法和装置、电子设备和可读存储介质
CN115514639A (zh) 跨设备链路聚合的网管方法、系统、交换机及存储介质
CN113892247A (zh) 中继装置、车辆、通信方法以及通信程序

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22795413

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 18556134

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 22795413

Country of ref document: EP

Kind code of ref document: A1