(57)【要約】      （修正有）【課題】車載ネットワークに接続され、他のＥＣＵ（Ｅｌｅｃｔｒｉｃ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔ：電子制御装置）からのメッセージを取得して所定の処理を実行するＥＣＵにおいて、他のＥＣＵの置き換えによる不正な制御を制限することを容易にする。【解決手段】電子制御装置１００は、車載ネットワークを介して接続される他の電子制御装置から送信される制御メッセージを取得して、所定の処理を実行する電子制御装置であって、他の電子制御装置を識別する装置識別情報を記憶する識別情報記憶部５０３と、装置識別情報の送信を要求する要求メッセージに応じて、他の電子制御装置から送信される応答メッセージに含まれる装置識別情報を取得する取得部５０２と、応答メッセージに含まれる装置識別情報が、識別情報記憶部に記憶した装置識別情報と異なる場合、所定の処理の実行を制限する処理制御部５０４と、を有する。【選択図】図５
2020141195.tif 000002
【特許請求の範囲】
【請求項１】
車載ネットワークを介して接続される他の電子制御装置から送信される制御メッセージを取得して所定の処理を実行する電子制御装置であって、
前記他の電子制御装置を識別する装置識別情報を記憶する識別情報記憶部と、
前記装置識別情報の送信を要求する要求メッセージに応じて、前記他の電子制御装置から送信される応答メッセージに含まれる前記装置識別情報を取得する取得部と、
前記応答メッセージに含まれる前記装置識別情報が、前記識別情報記憶部に記憶した前記装置識別情報と異なる場合、前記所定の処理の実行を制限する処理制御部と、
を有する、電子制御装置。
【請求項２】
前記装置識別情報の送信を要求する要求メッセージに応じて、前記電子制御装置を識別する前記装置識別情報を前記車載ネットワークに送信する識別情報送信部を有する、請求項１に一項に記載の電子制御装置。
【請求項３】
前記識別情報記憶部は、前記取得部が前記装置識別情報を取得したときに、前記他の電子制御装置を識別する装置識別情報を記憶していない場合、前記取得部が取得した前記装置識別情報を記憶する、請求項１又は２に記載の電子制御装置。
【請求項４】
前記装置識別情報の削除を要求する削除メッセージに基づいて、前記識別情報記憶部に記憶した前記装置識別情報を削除する初期化部を有する、請求項１乃至３のいずれか一項に記載の電子制御装置。
【請求項５】
前記削除メッセージは、所定の保守用装置から送信される、暗号化されたデータを含むメッセージであり、
前記初期化部は、前記削除メッセージに含まれる前記暗号化されたデータを正しく復号できた場合、前記識別情報記憶部に記憶した前記装置識別情報を削除する、請求項４に記載の電子制御装置。
【請求項６】
前記他の電子制御装置に前記装置識別情報の送信を要求する前記要求メッセージを、前記車載ネットワークに送信する要求メッセージ送信部を有する、請求項１乃至５のいずれか一項に記載の電子制御装置。
【請求項７】
前記要求メッセージ送信部は、前記電子制御装置が前記車載ネットワークで通信を開始するときに、前記要求メッセージを前記車載ネットワークに送信する、請求項６に記載の電子制御装置。
【請求項８】
前記要求メッセージ送信部は、所定の時間間隔で、前記要求メッセージを前記車載ネットワークに送信する、請求項６又は７に記載の電子制御装置。
【請求項９】
前記処理制御部は、前記他の電子制御装置から送信される応答メッセージに含まれる前記装置識別情報が、前記識別情報記憶部に記憶した前記装置識別情報と異なる場合、前記他の電子制御装置の置き換えが行われたと判断する、請求項１乃至８のいずれか一項に記載の電子制御装置。
【請求項１０】
車載ネットワークに接続され、送信元の電子制御装置から送信される制御メッセージを取得して所定の処理を実行する複数の電子制御装置を含む車載通信システムであって、
前記電子制御装置は、
前記送信元の電子制御装置を識別する装置識別情報を記憶する識別情報記憶部と、
前記装置識別情報の送信を要求する要求メッセージに応じて、前記送信元の電子制御装置から送信される応答メッセージに含まれる前記装置識別情報を取得する取得部と、
前記応答メッセージに含まれる前記装置識別情報が、前記識別情報記憶部に記憶した前記装置識別情報と異なる場合、前記所定の処理の実行を制限する処理制御部と、
前記装置識別情報の送信を要求する要求メッセージに応じて、前記電子制御装置を識別する前記装置識別情報を前記車載ネットワークに送信する識別情報送信部と、
を有する、
車載通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電子制御装置、及び車載通信システムに関する。
【背景技術】
【０００２】
自動車等の車両に搭載され、車載ネットワークに接続された複数のＥＣＵ（Electric Control Unit：電子制御装置）の間でＣＡＮ（Controller Area Network）通信を行う車載通信システムが知られている。
【０００３】
また、ＣＡＮ通信を行う車載通信システムにおいて、不正なＥＣＵによるなりすましや、不正なフレームである攻撃フレーム等を検知する技術が知られている（例えば、特許文献１、２参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１４−１１６２１号公報
【特許文献２】特開２０１７−８５６６３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ＣＡＮ通信では、メッセージを送信するＥＣＵは、メッセージ毎に固有の識別子（以下、メッセージＩＤと呼ぶ）を含むメッセージを、車載ネットワークに接続された複数のＥＣＵに対して一斉に送信する。また、各ＥＣＵは、ＩＤフィルタ機能を有しており、車載ネットワークに送信されたメッセージを受信して、受信したメッセージの中から、予め設定されたメッセージＩＤを含むメッセージを取得する。これにより、各ＥＣＵが送信するメッセージは、予め設定された送信先のＥＣＵに通知される。
【０００６】
しかし、ＣＡＮ通信では、メッセージを受信するＥＣＵは、送信元のＥＣＵを識別することができないため、例えば、送信元のＥＣＵを不正なＥＣＵに置き換えて、同じメッセージＩＤでメッセージを送信した場合、なりすましを検知することは困難である。
【０００７】
例えば、特許文献１に開示された技術では、送信元のＩＤが自ノードのＩＤと同じである場合に、なりすましが存在すると検出するので、送信元のＥＣＵを、自ノードと異なるＩＤを送信する不正なＥＣＵと置き換えた場合、なりすましを検知することはできない。
【０００８】
また、特許文献２に開示された技術は、メッセージの送受信間隔の変化から不正なＥＣＵの存在を検知するので、送信元のＥＣＵを、同じタイミングでメッセージを送受信する不正なＥＣＵに置き換えた場合には、なりすましを検知することはできない。
【０００９】
従って、ＣＡＮ通信を行う車載ネットワークにおいて、送信元のＥＣＵが不正なＥＣＵに置き換えられた場合に、不正なＥＣＵによる制御を制限することには困難を伴っていた。
【００１０】
本発明の実施の一実施形態は、上記の問題点に鑑みてなされたものであって、車載ネットワークに接続され、他のＥＣＵからのメッセージを取得して所定の処理を実行するＥＣＵにおいて、他のＥＣＵの置き換えによる不正な制御を制限することを容易にする。
【課題を解決するための手段】
【００１１】
上記課題を解決するため、本発明の一実施形態に係る電子制御装置は、車載ネットワークを介して接続される他の電子制御装置から送信される制御メッセージを取得して所定の処理を実行する電子制御装置であって、前記他の電子制御装置を識別する装置識別情報を記憶する識別情報記憶部と、前記装置識別情報の送信を要求する要求メッセージに応じて、前記他の電子制御装置から送信される応答メッセージに含まれる前記装置識別情報を取得する取得部と、前記応答メッセージに含まれる前記装置識別情報が、前記識別情報記憶部に記憶した前記装置識別情報と異なる場合、前記所定の処理の実行を制限する処理制御部と、を有する。
【発明の効果】
【００１２】
本発明の一実施形態によれば、車載ネットワークに接続され、他のＥＣＵからのメッセージを取得して所定の処理を実行するＥＣＵにおいて、他のＥＣＵの置き換えによる不正な制御を制限することが容易になる。
【図面の簡単な説明】
【００１３】
【図１】一実施形態に係る車載通信システムのシステム構成の例を示す図である。
【図２】ＣＡＮ通信のイメージについて説明するための図である。
【図３】ＣＡＮ通信のメッセージについて説明するための図である。
【図４】一実施形態に係るＥＣＵのハードウェア構成の例を示す図である。
【図５】一実施形態に係るＥＣＵの機能構成の例を示す図である。
【図６】第１の実施形態に係るＥＣＵ１００ａにおける装置ＩＤの取得処理の例を示すシーケンス図である。
【図７】第１の実施形態に係るＥＣＵ１００ａの処理の例を示すフローチャートである。
【図８】第１の実施形態に係るＥＣＵ１００ｃにおける装置ＩＤの取得処理の例を示すシーケンス図である。
【図９】第１の実施形態に係るＥＣＵ１００ｃの処理の例を示すフローチャートである。
【図１０】第２の実施形態に係る各ＥＣＵにおける装置ＩＤの取得処理の例を示すシーケンス図である。
【図１１】第２の実施形態に係る各ＥＣＵの処理の例を示すフローチャートである。
【図１２】第３の実施形態に係る車載通信システムのシステム構成の例を示す図である。
【図１３】第３の実施形態に係る削除メッセージの送信処理の例を示すシーケンス図である。
【図１４】第３の実施形態に係る各ＥＣＵの処理の例を示すフローチャートである。
【発明を実施するための形態】
【００１４】
以下、図面を参照して発明を実施するための形態について説明する。
【００１５】
＜システム構成＞
図１は、一実施形態に係る車載通信システムのシステム構成の例を示す図である。車載通信システム１は、例えば、自動車等の車両に搭載され、車載ネットワーク１０に接続される複数のＥＣＵ（Electric Control Unit：電子制御装置）１００ａ〜１００ｅを含む。なお、以下の説明において、複数のＥＣＵ１００ａ〜１００ｅのうち、任意のＥＣＵを示す場合、「ＥＣＵ１００」を用いる。また、図１に示すＥＣＵ１００の数は一例であり、ＥＣＵ１００の数は、２つ以上の他の数であっても良い。
【００１６】
車載ネットワーク１０は、車両に搭載された複数のＥＣＵ１００の間で、ＣＡＮ（Controller Area Network）通信を行う通信ネットワークである。なお、車載ネットワーク１０は、車両に搭載された複数のＥＣＵ１００の間で、ＣＡＮ通信と同様の仕組みで通信を行う他の通信ネットワーク（例えば、各社でＣＡＮプロトコルを独自に拡張した独自プロトコルで通信を行う通信ネットワーク等）であっても良い。ここでは、車載ネットワーク１０に接続された複数のＥＣＵ１００が、ＣＡＮ通信を行うものとして以下の説明を行う。
【００１７】
ＥＣＵ１００は、車両に搭載され、車両における所定の処理を実行する電子制御装置である。ＥＣＵ１００が実行する所定の処理には、例えば、エンジンやモータ等のアクチュエータを駆動する処理、各種のセンサからデータを取得する処理、画像や音等の出力を制御する処理等、車両に関する様々な処理のうち、１つ以上の処理が含まれる。
【００１８】
なお、ＥＣＵ１００は、車載ネットワーク１０を介して接続される他の電子制御装置（ＥＣＵ）から送信される制御メッセージを取得した所定の処理を実行する電子制御装置の一例である。
【００１９】
（ＣＡＮ通信について）
ここで、本実施形態の前提となるＣＡＮ通信について簡単に説明する。ＣＡＮ通信では、メッセージを送信するＥＣＵ１００は、メッセージ毎に固有の識別子（以下、メッセージＩＤと呼ぶ）を含むメッセージを、車載ネットワーク１０に接続された複数のＥＣＵ１００に対して一斉に送信する。また、各ＥＣＵ１００は、ＩＤフィルタ機能を有しており、車載ネットワーク１０に送信されたメッセージを受信して、受信したメッセージの中から、予め設定されたメッセージＩＤを含むメッセージを取得する。これにより、各ＥＣＵが送信するメッセージは、予め設定された送信先のＥＣＵに通知される。
【００２０】
図２は、ＣＡＮ通信のイメージについて説明するための図である。図２において、ＥＣＵ１００ａは、ＥＣＵ１００ｂから指令メッセージ（メッセージＩＤ＝２００）を取得し、ＥＣＵ１００ｂとＥＣＵ１００ｃとに状態メッセージ（メッセージＩＤ＝１００）を通知しているものとする。また、ＥＣＵ１００ｄは、ＥＣＵ１００ｅから指令メッセージ（メッセージＩＤ＝５００）を取得し、ＥＣＵ１００ｅとＥＣＵ１００ｃとに状態メッセージ（メッセージＩＤ＝４００）を通知しているものとする。なお、指令メッセージ、及び状態メッセージは制御メッセージの一例である。
【００２１】
ＣＡＮ通信では、各ＥＣＵ１００が送受信するメッセージのメッセージＩＤが予め定義されている。例えば、図２において、ＥＣＵ１００ａは、メッセージＩＤ「２００」のメッセージを受信許可メッセージとし、メッセージＩＤ「１００」のメッセージを送信するように設定されている。また、ＥＣＵ１００ｂは、メッセージＩＤ「１００」のメッセージを受信許可メッセージとし、メッセージＩＤ「２００」のメッセージを送信するように設定されている。さらに、ＥＣＵ１００ｃは、メッセージＩＤ「１００」、「４００」のメッセージを受信許可メッセージとし、メッセージを送信しないように設定されている。
【００２２】
これにより、各ＥＣＵ１００が車載ネットワーク１０に送信したメッセージが、例えば、図２に示すように、予め設定された送信先のＥＣＵ１００に通知される。なお、図２に示す、各ＥＣＵ１００が送受信するメッセージのメッセージＩＤは、説明用の一例であり、他の値であっても良い。
【００２３】
図３は、ＣＡＮ通信のメッセージについて説明するための図である。図３（Ａ）は、ＣＡＮ通信のデータフレームの構成例を示している。データフレームは、データを送信するためのフレームであり、８バイト以内のデータフィールドを含む。
【００２４】
図３（Ｂ）は、ＣＡＮ通信のリモートフレームの構成例を示している。リモートフレームは、他のＥＣＵ１００にデータフレームの送信を要求するためのフレームであり、データフィールドが含まれていない。なお、データフレーム、及びリモートフレームの構成は、データフィールド以外は共通である。
【００２５】
なお、ＣＡＮのバスレベルには、「ドミナント」と「レセシブ」の２つのレベルがある。ドミナントはレセシブより優先順位が高く、車載ネットワーク１０に接続される複数のＥＣＵ１００のうち、１つでもドミナントを出力するＥＣＵ１００があると、バスレベルはドミナントなる。
【００２６】
ＳＯＦ（Start Of Frame）は、１ビットのドミナントでフレームの開始を示す。ＩＤ(
Identifier）は、メッセージを識別する識別子であり、本実施形態のメッセージＩＤに対応している。ＲＴＲ（Remote Transmission Requesut）は、データフレームではドミナント、リモートフレームではレセシブとなり、データフレームとリモートフレームを識別するために用いられる。
【００２７】
ＲＴＲに続く、ＩＤＥ（Identifier Extension）、予約ビットｒ、及びＤＬＣ（Data length Code）は、コントロールフィールドと呼ばれ、標準フォーマットの場合、ＩＤＥ、及び予約ビットｒは、ドミナントとなる。ＤＬＣは、データフィールドにおいて何バイトのデータが送信されるかを表す。
【００２８】
ＣＲＣ（Cyclic Redundancy Check）は、１５ビット長であり、ＣＲＣシーケンスの演算結果が格納される。ＣＲＣに続くＤＥＬは、１ビットのレセシブで、ＣＲＣシーケンスの終了を表す。
【００２９】
ＡＣＫ（Acknowledgement）は、受信ノードがフレームを正しく受信できたときに、確認応答として１ビットのドミナントを送信する。ＡＣＫに続くＤＥＬは、１ビットのレセシブでＡＣＫスロットの終了を表す。ＥＯＦ（End of Frame）は、７ビットのレセシブで、フレームの終了を表す。
【００３０】
（処理の概要）
続いて、本実施形態の処理の概要について説明する。図３に示すように、ＣＡＮ通信のフレームには、送信元を特定するための情報（例えば、送信元のアドレス、装置ＩＤ等）が含まれないので、メッセージを受信するＥＣＵ１００は、送信元のＥＣＵ１００を識別することができない。従って、例えば、送信元のＥＣＵ１００を不正なＥＣＵに置き換えて、同じメッセージＩＤでメッセージを送信した場合、メッセージを受信するＥＣＵ１００は、なりすましを検知することができないという問題がある。
【００３１】
そこで、本実施形態に係るＥＣＵ１００は、ＥＣＵ１００を識別する装置識別情報（以下、装置ＩＤと呼ぶ）を有しており、装置ＩＤの送信を要求する要求メッセージ（リモートフレーム）に応じて、装置ＩＤ含む応答メッセージ（データフレーム）を送信する。
【００３２】
また、ＥＣＵ１００は、受信が許可された制御メッセージを送信する送信元のＥＣＵの装置ＩＤを記憶する記憶部を有しており、制御メッセージに含まれる装置ＩＤが、記憶部に記憶した装置ＩＤと異なる場合、所定の処理の実行を制限する。
【００３３】
これにより、本実施形態によれば、車載ネットワーク１０に接続され、他のＥＣＵからの制御に従って所定の処理を実行するＥＣＵ１００において、他のＥＣＵの置き換えによる不正な制御を制限することができる。
【００３４】
＜ハードウェア構成＞
図４は、一実施形態に係るＥＣＵのハードウェア構成の例を示す図である。ＥＣＵ１００は、コンピュータの構成を有しており、例えば、ＣＰＵ（Central Processing Unit）４０１、メモリ４０２、ストレージデバイス４０３、外部接続Ｉ／Ｆ（Interface）４０４、通信Ｉ／Ｆ４０５、及びバス４０６等を有する。
【００３５】
ＣＰＵ４０１は、ストレージデバイス４０３等に格納されたプログラムやデータ等をメモリ４０２上に読み出し、処理を実行することで、ＥＣＵ１００の各機能を実現する演算装置である。メモリ４０２には、例えば、ＣＰＵ４０１のワークエリア等として用いられる揮発性のメモリであるＲＡＭ（Random Access Memory）や、ＥＣＵ１００の起動プログラム等を記憶したＲＯＭ（Read Only Memory）等が含まれ得る。ストレージデバイス４０３は、例えば、ＯＳ（Operating System）、プログラム、及び各種データ等を記憶する、ＳＳＤ（Solid State Drive）、フラッシュＲＯＭ等の大容量の記憶装置である。
【００３６】
外部接続Ｉ／Ｆ４０４は、例えば、ＥＣＵ１００が制御するアクチュエータや、各種のセンサ等を接続するためのインタフェースである。通信Ｉ／Ｆ４０５は、ＥＣＵ１００を車載ネットワーク１０に接続する、例えば、ＣＡＮトランシーバ等の通信インタフェースである。バス４０６は、上記の各構成要素に共通に接続され、例えば、アドレス信号、データ信号、各種制御信号等を伝達する。
【００３７】
なお、図４に示すＥＣＵ１００のハードウェア構成は一例である。例えば、ＥＣＵ１００が制御するアクチュエータやセンサ等は、ＥＣＵ１００に含まれていても良い。
【００３８】
＜機能構成＞
図５は、一実施形態に係るＥＣＵの機能構成の例を示す図である。ＥＣＵ１００は、例えば、図４のＣＰＵ４０１で所定のプログラムを実行することにより、通信制御部５０１、取得部５０２、識別情報記憶部５０３、処理制御部５０４、要求メッセージ送信部５０５、初期化部５０６、及び識別情報送信部５０７等を実現している。なお、上記の各機能構成のうち、少なくとも一部は、ハードウェアによって実現されるものであっても良い。
【００３９】
通信制御部５０１は、例えば、図４の通信Ｉ／Ｆ４０５を用いて、ＥＣＵ１００を車載ネットワーク１０に接続し、例えば、図２で説明したような、ＣＡＮ通信におけるメッセージの送受信を制御する。
【００４０】
取得部５０２は、装置ＩＤの送信を要求する要求メッセージに応じて、送信元のＥＣＵ１００（他のＥＣＵ１００）から送信される応答メッセージに含まれる装置ＩＤを取得する。
【００４１】
例えば、図２において、ＥＣＵ１００ａには、受信許可メッセージとして、ＥＣＵ１００ｂが送信するメッセージＩＤ「２００」の指令メッセージに加えて、ＥＣＵ１００ｂが送信する応答メッセージ（例えば、メッセージＩＤ＝２０１）が予め設定されている。これにより、ＥＣＵ１００ａの取得部５０２は、ＥＣＵ１００ｂが送信する、メッセージＩＤ「２０１」の応答メッセージを取得するとともに、応答メッセージに含まれるＥＣＵ１００ｂの装置ＩＤを取得することができる。
【００４２】
なお、装置ＩＤは、ＥＣＵ１００毎に固有の識別情報であり、例えば、製造時等にＥＣＵ１００の不揮発性の記憶装置に書き込まれるシリアル番号や、デバイスＩＤ等を利用することができる。ただし、これに限られず、装置ＩＤは、ＥＣＵ１００毎に固有の他の情報を用いても良い。
【００４３】
識別情報記憶部５０３は、例えば、図４のＣＰＵ４０１で実行されるプログラム、及びストレージデバイス４０３、メモリ４０２等によって実現され、ＥＣＵ１００にメッセージを送信する送信元のＥＣＵ１００（他のＥＣＵ１００）を識別する装置ＩＤを記憶する。
【００４４】
例えば、識別情報記憶部５０３は、取得部５０２が装置ＩＤを取得したときに、送信元のＥＣＵ１００を識別する装置ＩＤを記憶していない場合、取得部５０２が取得した装置ＩＤを、送信元のＥＣＵ１００を識別する装置ＩＤとして記憶する。
【００４５】
なお、識別情報記憶部５０３が送信元のＥＣＵ１００を識別する装置ＩＤを記憶していない場合には、車両が組み立てられてＥＣＵ１００が初めてＣＡＮ通信を行う場合や、後述する保守用装置等によって識別情報記憶部５０３が初期化された場合等が含まれる。
【００４６】
処理制御部５０４は、受信許可メッセージに予め設定されているメッセージＩＤを含む制御メッセージを受け付けるとともに、所定の処理を実行する。なお、処理制御部５０４が実行する所定の処理には、前述した車両に関する様々な処理のうち、１つ以上の処理が含まれる。
【００４７】
また、本実施形態に係る処理制御部５０４は、取得部５０２が取得した送信元のＥＣＵ１００（他のＥＣＵ１００）の装置ＩＤが、識別情報記憶部５０３に記憶した装置ＩＤと異なる場合、制御メッセージによる所定の処理の実行を制限する。例えば、処理制御部５０４は、取得部５０２が取得した送信元のＥＣＵ１００の装置ＩＤが、識別情報記憶部５０３に記憶した装置ＩＤと異なる場合、メッセージの受信を行うが、所定の処理の実行を禁止する動作禁止状態にＥＣＵ１００を移行させる。或いは、処理制御部５０４は、取得部５０２が取得した送信元のＥＣＵ１００の装置ＩＤが、識別情報記憶部５０３に記憶した装置ＩＤと異なる場合、所定の処理のうち、一部の処理の実行を禁止するもの等であっても良い。
【００４８】
なお、取得部５０２が取得した送信元のＥＣＵ１００の装置ＩＤが、識別情報記憶部５０３に記憶した装置ＩＤと異なる場合、処理制御部５０４は、送信元のＥＣＵ１００が、別のＥＣＵに置き換えられたと判断することができる。
【００４９】
要求メッセージ送信部５０５は、送信元のＥＣＵ１００（他のＥＣＵ１００）に装置ＩＤの送信を要求する要求メッセージを車載ネットワーク１０に送信する。例えば、要求メッセージ送信部５０５は、ＥＣＵ１００が、車載ネットワーク１０で通信を開始するときに、送信元のＥＣＵ１００に装置ＩＤの送信を要求する要求メッセージを車載ネットワーク１０に送信する。また、要求メッセージ送信部５０５は、通信を開始するときに代えて（又は加えて）、所定の時間間隔で、他のＥＣＵ１００に装置ＩＤの送信を要求する要求メッセージを車載ネットワーク１０に送信しても良い。
【００５０】
初期化部５０６は、通信制御部５０１が、装置ＩＤの初期化を要求する削除メッセージを受信した場合、識別情報記憶部５０３に記憶した装置ＩＤを削除（初期化）する。
【００５１】
好ましくは、装置ＩＤの初期化を要求する削除メッセージは、車載ネットワーク１０に接続される所定の保守用装置から送信される。
【００５２】
また、好ましくは、保守用装置から送信される削除メッセージは、所定の暗号化アルゴリズムにより暗号化されたデータを含むメッセージである。また、初期化部５０６は、削除メッセージに含まれる暗号化されたデータを正しく復号できた場合、識別情報記憶部５０３に記憶した装置ＩＤを削除する。
【００５３】
識別情報送信部５０７は、ＥＣＵ１００、又は車載ネットワーク１０に接続する全てのＥＣＵ１００に装置ＩＤの送信を要求する要求メッセージに応じて、自装置を識別する装置ＩＤを含む応答メッセージを、車載ネットワーク１０に送信する。
【００５４】
＜処理の流れ＞
続いて、ＥＣＵ（電子制御装置）１００、及び車載通信システム１による通信方法の流れについて、複数の実施形態を例示して説明する。
【００５５】
［第１の実施形態］
（装置ＩＤの取得処理１）
図６は、第１の実施形態に係るＥＣＵ１００ａにおける装置ＩＤの取得処理の例を示すシーケンス図である。この処理は、図２に示す車載通信システム１において、ＥＣＵ１００ａが、指令メッセージ（制御メッセージの一例）の送信元であるＥＣＵ１００ｂの装置ＩＤを取得する処理の一例を示している。
【００５６】
この処理は、例えば、ＥＣＵ１００ａが車載ネットワーク１０で通信を開始するとき（例えば、電源オン時、通信異常からの復旧時等）に実行される。或いは、この処理は、ＥＣＵ１００ａが車載ネットワーク１０で通信を開始するときに代えて（又は加えて）、所定の時間間隔で定期的に実行されるものであっても良い。
【００５７】
なお、図６に示す処理の開始時点において、ＥＣＵ１００ｂには、メッセージＩＤ「１０１」の要求メッセージを受信許可メッセージとし、メッセージＩＤ「２０１」の応答メッセージを送信するように、予め設定されているものとする。また、ＥＣＵ１００ａには、メッセージＩＤ「２０１」の応答メッセージを受信許可メッセージとするように予め設定されているものとする。
【００５８】
ステップＳ６０１において、ＥＣＵ１００ａの要求メッセージ送信部５０５は、例えば、装置ＩＤの送信を要求する要求メッセージ（メッセージＩＤ＝１０１）を、リモートフレームで車載ネットワーク１０に送信する。この要求メッセージは、メッセージＩＤ「１０１」のメッセージが、受信許可メッセージとして設定されているＥＣＵ１００ｂによって取得される。
【００５９】
ステップＳ６０２において、ＥＣＵ１００ｂの識別情報送信部５０７は、取得した要求メッセージに応じて、ＥＣＵ１００ｂの装置ＩＤを含む、メッセージＩＤ「２０１」の応答メッセージを、データフレームで車載ネットワーク１０に送信する。この応答メッセージは、メッセージＩＤ「２０１」のメッセージが、受信許可メッセージとして設定されているＥＣＵ１００ａによって取得される。
【００６０】
ステップＳ６０３において、ＥＣＵ１００ａの取得部５０２は、取得した応答メッセージに含まれるＥＣＵ１００ｂの装置ＩＤを取得する。
【００６１】
このように、車載通信システム１に含まれる各ＥＣＵ１００は、自装置にメッセージを送信する他のＥＣＵ１００（送信元のＥＣＵ１００）から、装置ＩＤを取得することができる。
【００６２】
（ＥＣＵ１００ａの処理）
図７は、第１の実施形態に係るＥＣＵ１００ａの処理の例を示すフローチャートである。この処理は、ＥＣＵ１００ａが、図６に示す装置ＩＤの取得処理により、ＥＣＵ１００ｂの装置ＩＤを取得したときに実行する処理の一例を示している。
【００６３】
ステップＳ７０１において、ＥＣＵ１００ａが、図６に示す装置ＩＤの取得処理により、ＥＣＵ１００ｂの装置ＩＤを取得すると、ステップＳ７０２以降の処理が実行される。
【００６４】
ステップＳ７０２において、ＥＣＵ１００ａは、識別情報記憶部５０３に、送信元のＥＣＵ１００を識別する装置ＩＤが記憶されているか否かを判断する。識別情報記憶部５０３に、送信元のＥＣＵ１００を識別する装置ＩＤが記憶されていない場合、ＥＣＵ１００ａは、ＥＣＵ１００ａが初期状態であると判断し、処理をステップＳ７０３に移行させる。一方、識別情報記憶部５０３に、送信元のＥＣＵ１００を識別する装置ＩＤが記憶されている場合、ＥＣＵ１００ａは、ＥＣＵ１００ａが初期状態でないと判断し、処理をステップＳ７０４に移行させる。
【００６５】
なお、ステップＳ７０２の処理は、ＥＣＵ１００ａが初期状態であるか否かを判断する処理の一例である。例えば、ＥＣＵ１００ａは、ＥＣＵ１００ａが初期状態であるか否かを示すフラグ情報を、ストレージデバイス４０３等の不揮発性の記憶装置に記憶して管理するものであっても良い。この場合、ＥＣＵ１００ａは、記憶装置に記憶したフラグ情報を参照して、ＥＣＵ１００ａが初期状態であるか否かを判断することができる。
【００６６】
これらの処理により、ＥＣＵ１００ａは、ＥＣＵ１００ａが初期状態である場合のみ、ステップＳ７０３の処理を実行し、ＥＣＵ１００ａが初期状態でない場合、ステップＳ７０３の処理の実行を禁止する。
【００６７】
なお、ＥＣＵ１００が初期状態である場合には、例えば、車両が工場で組み立てられた後にＥＣＵ１００が初めて通信を開始する場合や、所定の保守用装置等により、ＥＣＵ１００が初期化された場合等が含まれる。
【００６８】
ステップＳ７０３に移行すると、ＥＣＵ１００ａは、ステップＳ７０１で取得したＥＣＵ１００ｂの装置ＩＤを、識別情報記憶部５０３に記憶する。表１は、識別情報記憶部５０３に記憶される装置ＩＤの一例のイメージを示している。
【００６９】
【表１】
2020141195.tif 000003
表１の例では、識別情報記憶部５０３には、ＥＣＵ１００ｂのＥＣＵ種別と装置ＩＤとが対応付けて記憶されている。ただし、これに限られず、識別情報記憶部５０３に記憶される装置ＩＤは、例えば、ＥＣＵ１００ｂが送信するメッセージのメッセージＩＤと対応付けて記憶されているもの等であっても良い。
【００７０】
なお、ＥＣＵ１００ａは、ステップＳ７０３の処理を実行後に、例えば、処理をステップＳ７０１に戻す。或いは、ＥＣＵ１００ａは、処理をステップＳ７０５に移行させるものであっても良い。
【００７１】
ステップＳ７０２からステップＳ７０４に移行すると、ＥＣＵ１００ａの処理制御部５０４は、ステップＳ７０１で取得したＥＣＵ１００ｂの装置ＩＤが、識別情報記憶部５０３に記憶済の装置ＩＤ（送信元のＥＣＵ１００の装置ＩＤ）と同じであるかを判断する。
【００７２】
ＥＣＵ１００ｂの装置ＩＤが、識別情報記憶部５０３に記憶済の装置ＩＤと同じである場合、ＥＣＵ１００ａは、処理をステップＳ７０５に移行させる。一方、ＥＣＵ１００ｂの装置ＩＤが、識別情報記憶部５０３に記憶済の装置ＩＤと異なる場合、ＥＣＵ１００ａは、処理をステップＳ７０６に移行させる。
【００７３】
ステップＳ７０５に移行すると、ＥＣＵ１００ａの処理制御部５０４は、ＥＣＵ１００ａの処理を許可する。これにより、ＥＣＵ１００ａは、所定の処理を実行することができるようになる。
【００７４】
一方、ステップＳ７０６に移行すると、ＥＣＵ１００ａの処理制御部５０４は、例えば、ＥＣＵ１００ｂが別のＥＣＵに置き換えられたと判断し、ＥＣＵ１００ａの処理を制限する。なお、処理制御部５０４が、別のＥＣＵに置き換えられたと判断する処理は必須ではなく、処理制御部５０４は、ＥＣＵ１００ａの処理を制限する処理のみを行うものであっても良い。
【００７５】
これにより、ＥＣＵ１００ａは、例えば、メッセージの受信を行うが、所定の処理の実行を禁止する動作禁止状態に移行する。或いは、ＥＣＵ１００ａは、ＥＣＵ１００ａが実行する処理のうち、一部の処理の実行を禁止するもの等であっても良い。
【００７６】
（装置ＩＤの取得処理２）
図８は、第１の実施形態に係るＥＣＵ１００ｃにおける装置ＩＤの取得処理の例を示すシーケンス図である。この処理は、図２に示す車載通信システム１において、ＥＣＵ１００ｃが、状態メッセージ（制御メッセージの一例）の送信元であるＥＣＵ１００ａ、及びＥＣＵ１００ｄの装置ＩＤを取得する処理の一例を示している。
【００７７】
この処理は、例えば、ＥＣＵ１００ｃが車載ネットワーク１０で通信を開始するとき（例えば、電源オン時、通信異常からの復旧時等）に実行される。或いは、この処理は、ＥＣＵ１００ｃが車載ネットワーク１０で通信を開始するときに代えて（又は加えて）、所定の時間間隔で定期的に実行されるものであっても良い。
【００７８】
なお、図８に示す処理の開始時点において、ＥＣＵ１００ａには、メッセージＩＤ「３０１」の要求メッセージを受信許可メッセージとし、メッセージＩＤ「１１０」の応答メッセージを送信するように、予め設定されているものとする。また、ＥＣＵ１００ｄには、メッセージＩＤ「３０１」の要求メッセージを受信許可メッセージとし、メッセージＩＤ「４１０」の応答メッセージを送信するように、予め設定されているものとする。さらに、ＥＣＵ１００ｃには、メッセージＩＤ「１１０」、「４１０」の応答メッセージを受信許可メッセージとするように予め設定されているものとする。
【００７９】
ステップＳ８０１において、ＥＣＵ１００ｃの要求メッセージ送信部５０５は、例えば、装置ＩＤの送信を要求する要求メッセージ（メッセージＩＤ＝３０１）を、リモートフレームで車載ネットワーク１０に送信する。この要求メッセージは、メッセージＩＤ「３０１」のメッセージが、受信許可メッセージとして設定されているＥＣＵ１００ａ、ＥＣＵ１００ｄによって取得される。
【００８０】
ステップＳ８０２において、ＥＣＵ１００ａの識別情報送信部５０７は、取得した要求メッセージに応じて、ＥＣＵ１００ａの装置ＩＤを含む、メッセージＩＤ「１１０」の応答メッセージを、データフレームで車載ネットワーク１０に送信する。この応答メッセージは、メッセージＩＤ「１１０」のメッセージが、受信許可メッセージとして設定されているＥＣＵ１００ｃによって取得される。
【００８１】
ステップＳ８０３において、ＥＣＵ１００ｄの識別情報送信部５０７は、取得した要求メッセージに応じて、ＥＣＵ１００ｄの装置ＩＤを含む、メッセージＩＤ「４１０」の応答メッセージを、データフレームで車載ネットワーク１０に送信する。この応答メッセージは、メッセージＩＤ「４１０」のメッセージが、受信許可メッセージとして設定されているＥＣＵ１００ｃによって取得される。
【００８２】
ステップＳ８０４において、ＥＣＵ１００ｃの取得部５０２は、取得した応答メッセージに含まれるＥＣＵ１００ａの装置ＩＤ、及びＥＣＵ１００ｄの装置ＩＤを取得する。
【００８３】
このように、車載通信システム１に含まれる各ＥＣＵ１００は、自装置にメッセージを送信する他のＥＣＵ１００（送信元のＥＣＵ１００）が複数ある場合、複数の他のＥＣＵ１００から装置ＩＤを取得することができる。
【００８４】
（ＥＣＵ１００ｃの処理）
図９は、第１の実施形態に係るＥＣＵ１００ｃの処理の例を示すフローチャートである。この処理は、ＥＣＵ１００ｃが、図８に示す装置ＩＤの取得処理により、ＥＣＵ１００ａ、ＥＣＵ１００ｄの装置ＩＤを取得したときに実行する処理の一例を示している。
【００８５】
ステップＳ９０１において、ＥＣＵ１００ｃが、図８に示す装置ＩＤの取得処理により、ＥＣＵ１００a、ＥＣＵ１００ｄの装置ＩＤを取得すると、ステップＳ９０２以降の処理が実行される。
【００８６】
ステップＳ９０２において、ＥＣＵ１００ｃは、識別情報記憶部５０３に、送信元のＥＣＵ１００を識別する装置ＩＤが記憶されているか否かを判断する。識別情報記憶部５０３に、送信元のＥＣＵ１００を識別する装置ＩＤが記憶されていない場合、ＥＣＵ１００ｃは、ＥＣＵ１００ｃが初期状態であると判断し、処理をステップＳ９０３に移行させる。一方、識別情報記憶部５０３に、送信元のＥＣＵ１００を識別する装置ＩＤが記憶されている場合、ＥＣＵ１００ｃは、ＥＣＵ１００ｃが初期状態でないと判断し、処理をステップＳ９０４に移行させる。なお、この処理は、図７のステップＳ７０２の処理と同様で良いので、ここでは詳細な説明を省略する。
【００８７】
ステップＳ９０３に移行すると、ＥＣＵ１００ｃは、ステップＳ９０１で取得したＥＣＵ１００ａ、ＥＣＵ１００ｄの装置ＩＤを識別情報記憶部５０３に記憶する。表２に、識別情報記憶部５０３に記憶される装置ＩＤの一例のイメージを示す。
【００８８】
【表２】
2020141195.tif 000004
表２の例では、識別情報記憶部５０３には、ＥＣＵ１００ａ、ＥＣＵ１００ｄのＥＣＵ種別と装置ＩＤとが対応付けて記憶されている。ただし、これに限られず、識別情報記憶部５０３に記憶される装置ＩＤは、例えば、ＥＣＵ１００ａ、ＥＣＵ１００ｄが送信するメッセージのメッセージＩＤと装置ＩＤとが対応付けて記憶されるもの等であっても良い。
【００８９】
なお、ＥＣＵ１００ｃは、ステップＳ９０３の処理を実行後に、例えば、処理をステップＳ９０１に戻す。或いは、ＥＣＵ１００ｃは、処理をステップＳ９０６に移行させるもの等であっても良い。
【００９０】
ステップＳ９０２からステップＳ９０４に移行すると、ＥＣＵ１００ｃの処理制御部５０４は、ステップＳ７０１で取得したＥＣＵ１００ａの装置ＩＤが、識別情報記憶部５０３に記憶済の装置ＩＤ（送信元のＥＣＵ１００の装置ＩＤ）と同じであるかを判断する。
【００９１】
ＥＣＵ１００ａの装置ＩＤが、識別情報記憶部５０３に記憶済の装置ＩＤと同じである場合（ＥＣＵ１００ａの装置ＩＤが、記憶済の装置ＩＤのいずれかと一致する場合）、ＥＣＵ１００ｃは、処理をステップＳ９０５に移行させる。一方、ＥＣＵ１００ａの装置ＩＤが、識別情報記憶部５０３に記憶済の装置ＩＤと異なる場合（ＥＣＵ１００ａの装置ＩＤが、記憶済の装置ＩＤのいずれとも一致しない場合）、ＥＣＵ１００ｃは、処理をステップＳ９０７に移行させる。
【００９２】
ステップＳ９０５に移行すると、ＥＣＵ１００ｃの処理制御部５０４は、ステップＳ７０１で取得したＥＣＵ１００ｄの装置ＩＤが、識別情報記憶部５０３に記憶済の装置ＩＤと同じであるか否かを判断する。
【００９３】
ＥＣＵ１００ｄの装置ＩＤが、識別情報記憶部５０３に記憶済の装置ＩＤと同じである場合（ＥＣＵ１００ｄの装置ＩＤが、記憶済の装置ＩＤのいずれかと一致する場合）、ＥＣＵ１００ｃは、処理をステップＳ９０６に移行させる。一方、ＥＣＵ１００ｄの装置ＩＤが、識別情報記憶部５０３に記憶済の装置ＩＤと異なる場合（ＥＣＵ１００ｄの装置ＩＤが、記憶済の装置ＩＤのいずれとも一致しない場合）、ＥＣＵ１００ｃは、処理をステップＳ９０７に移行させる。
【００９４】
なお、ステップＳ９０４、Ｓ９０５の処理は一例である。例えば、ＥＣＵｃの処理制御部５０４は、ステップＳ９０４、Ｓ９０５の処理に代えて、ステップＳ９０１で取得した全ての装置ＩＤが、記憶済の装置ＩＤと同じであるか否かをまとめて判断するものであっても良い。この場合、処理制御部５０４は、取得した全ての装置ＩＤが、記憶済の装置ＩＤと同じである場合、処理をステップＳ９０６に移行させる。また、処理制御部５０４は、取得した装置ＩＤのうちの少なくとも１つが、記憶済の装置ＩＤと異なる場合、処理をステップＳ９０７に移行させる。
【００９５】
ステップＳ９０６に移行すると、ＥＣＵ１００ｃの処理制御部５０４は、ＥＣＵ１００ｃの処理を許可する。これにより、ＥＣＵ１００ｃは、所定の処理を実行することができるようになる。
【００９６】
一方、ステップＳ９０７に移行すると、ＥＣＵ１００ｃの処理制御部５０４は、例えば、ＥＣＵ１００ａ、又はＥＣＵ１００ｄが、別のＥＣＵに置き換えられたと判断し、ＥＣＵ１００ｃの処理を制限する。このとき、処理制御部５０４が、別のＥＣＵに置き換えられたと判断する処理は必須ではなく、処理制御部５０４は、ＥＣＵ１００ｃの処理を制限する処理のみを行うものであっても良い。
【００９７】
これにより、ＥＣＵ１００ｃは、例えば、メッセージの受信を行うが、所定の処理の実行を禁止する動作禁止状態に移行する。或いは、ＥＣＵ１００ｃは、ＥＣＵ１００ｃが実行する処理のうち、一部の処理の実行を禁止するもの等であっても良い。
【００９８】
なお、ここでは、図２のＥＣＵ１００ａ、ＥＣＵ１００ｃの処理のみを説明したが、車載通信システム１に含まれる各ＥＣＵ１００は、同様の処理を実行することができる。
【００９９】
以上、第１の実施形態によれば、車載ネットワーク１０に接続され、送信元のＥＣＵ１００（他のＥＣＵ）からのメッセージを取得して所定の処理を実行するＥＣＵ１００において、送信元のＥＣＵ１００の置き換えによる不正な制御を制限することが容易になる。
【０１００】
また、本実施形態によれば、例えば、車両を組み立てたとき等に、図６〜９に示すような処理を各ＥＣＵ１００が実行することにより、各ＥＣＵ１００に、例えば、表１、２に示すように、メッセージの送信元の装置ＩＤが記憶される。従って、車載ネットワーク１０に接続された既定のＥＣＵ１００を、車載通信システム１に登録する作業が容易になる。
【０１０１】
［第２の実施形態］
第１の実施形態では、各ＥＣＵ１００が、自装置にメッセージを送信する送信元のＥＣＵ１００に対して、装置ＩＤの送信を要求する要求メッセージを送信する場合の例について説明した。
【０１０２】
第２の実施形態では、所定のＥＣＵ１００（例えば、ＥＣＵ１００ａ）が、他の全てのＥＣＵ１００に対して、装置ＩＤの送信を要求する要求メッセージを送信する場合の処理の例について説明する。
【０１０３】
（装置ＩＤの取得処理）
図１０は、第２の実施形態に係る各ＥＣＵにおける装置ＩＤの取得処理の例を示すシーケンス図である。
【０１０４】
この処理は、例えば、各ＥＣＵ１００が車載ネットワーク１０で通信を開始するとき（例えば、電源オン時、通信異常からの復旧時等）に実行される。或いは、この処理は、ＥＣＵ１００ａが車載ネットワーク１０で通信を開始するときに代えて（又は加えて）、所定の時間間隔で定期的に実行されるものであっても良い。
【０１０５】
なお、図１０に示す処理の開始時点において、ＥＣＵ１００ｂは、メッセージＩＤ「１０１」の要求メッセージに対して、メッセージＩＤ「２１０」の応答メッセージを送信するように予め設定されているものとする。ＥＣＵ１００ｃは、メッセージＩＤ「１０１」の要求メッセージに対して、メッセージＩＤ「３１０」の応答メッセージを送信するように予め設定されているものとする。ＥＣＵ１００ｄは、メッセージＩＤ「１０１」の要求メッセージに対して、メッセージＩＤ「４１０」の応答メッセージを送信するように予め設定されているものとする。ＥＣＵ１００ｅは、メッセージＩＤ「１０１」の要求メッセージに対して、メッセージＩＤ「５１０」の応答メッセージを送信するように予め設定されているものとする。
【０１０６】
また、図１０に示す処理の開始時点において、ＥＣＵ１００ａには、メッセージＩＤ「２１０」のメッセージが受信許可メッセージとして予め設定されているものとする。ＥＣＵ１００ｂには、メッセージＩＤ「１１０」のメッセージが受信許可メッセージとして予め設定されているものとする。ＥＣＵ１００ｃには、メッセージＩＤ「１１０」、「４１０」のメッセージが受信許可メッセージとして予め設定されているものとする。ＥＣＵ１００ｄには、メッセージＩＤ「５１０」のメッセージが受信許可メッセージとして予め設定されているものとする。ＥＣＵ１００ｅには、メッセージＩＤ「４１０」のメッセージが受信許可メッセージとして予め設定されているものとする。
【０１０７】
ステップＳ１００１において、ＥＣＵ１００ａの要求メッセージ送信部５０５は、例えば、装置ＩＤの送信を要求する要求メッセージ（メッセージＩＤ＝１０１）を、リモートフレームで車載ネットワーク１０に送信する。この要求メッセージは、メッセージＩＤ「１０１」のメッセージが、受信許可メッセージとして設定されているＥＣＵ１００ｂ〜１００ｅによって取得される。
【０１０８】
ステップＳ１００２において、ＥＣＵ１００ａの識別情報送信部５０７は、要求メッセージ送信部５０５が要求メッセージを送信した後に、ＥＣＵ１００ａの装置ＩＤを含む応答メッセージ（メッセージＩＤ＝１１０）を、車載ネットワーク１０に送信する。
【０１０９】
ステップＳ１００３において、ＥＣＵ１００ｂの識別情報送信部５０７は、ＥＣＵ１００ａが送信した要求メッセージに応じて、ＥＣＵ１００ｂの装置ＩＤを含む応答メッセージ（メッセージＩＤ「２１０」）を、車載ネットワーク１０に送信する。
【０１１０】
ステップＳ１００４において、ＥＣＵ１００ｃの識別情報送信部５０７は、ＥＣＵ１００ａが送信した要求メッセージに応じて、ＥＣＵ１００ｃの装置ＩＤを含む応答メッセージ（メッセージＩＤ「３１０」）を、車載ネットワーク１０に送信する。
【０１１１】
ステップＳ１００５において、ＥＣＵ１００ｄの識別情報送信部５０７は、ＥＣＵ１００ａが送信した要求メッセージに応じて、ＥＣＵ１００ｄの装置ＩＤを含む応答メッセージ（メッセージＩＤ「４１０」）を、車載ネットワーク１０に送信する。
【０１１２】
ステップＳ１００６において、ＥＣＵ１００ｅの識別情報送信部５０７は、ＥＣＵ１００ａが送信した要求メッセージに応じて、ＥＣＵ１００ｅの装置ＩＤを含む応答メッセージ（メッセージＩＤ「５１０」）を、車載ネットワーク１０に送信する。
【０１１３】
ステップＳ１００７において、ＥＣＵ１００ａの取得部５０２は、例えば、ステップＳ００２〜Ｓ１００６の処理と並行して、受信許可メッセージとして予め設定されているメッセージＩＤ「２１０」のメッセージを取得する。これにより、ＥＣＵ１００ａの取得部５０２は、ステップＳ１００３でＥＣＵ１００ｂが送信した応答メッセージを受信し、応答メッセージに含まれるＥＣＵ１００ｂの装置ＩＤを取得する。
【０１１４】
ステップＳ１００８において、ＥＣＵ１００ｂの取得部５０２は、例えば、ステップＳ００２〜Ｓ１００６の処理と並行して、受信許可メッセージとして予め設定されているメッセージＩＤ「１１０」のメッセージを取得する。これにより、ＥＣＵ１００ｂの取得部５０２は、ステップＳ１００２でＥＣＵ１００ａが送信した応答メッセージを受信し、応答メッセージに含まれるＥＣＵ１００ａの装置ＩＤを取得する。
【０１１５】
ステップＳ１００９において、ＥＣＵ１００ｃの取得部５０２は、例えば、ステップＳ００２〜Ｓ１００６の処理と並行して、受信許可メッセージとして予め設定されているメッセージＩＤ「１１０」、「４１０」のメッセージを取得する。これにより、ＥＣＵ１００ｃの取得部５０２は、ＥＣＵ１００ａ、ＥＣＵ１００ｄが送信した応答メッセージを受信し、応答メッセージに含まれるＥＣＵ１００ａ、ＥＣＵ１００ｄの装置ＩＤを取得する。
【０１１６】
ステップＳ１０１０において、ＥＣＵ１００ｄの取得部５０２は、例えば、ステップＳ００２〜Ｓ１００６の処理と並行して、受信許可メッセージとして予め設定されているメッセージＩＤ「５１０」のメッセージを取得する。これにより、ＥＣＵ１００ｄの取得部５０２は、ステップＳ１００６でＥＣＵ１００ｅが送信した応答メッセージを受信し、応答メッセージに含まれるＥＣＵ１００ｅの装置ＩＤを取得する。
【０１１７】
ステップＳ１０１１において、ＥＣＵ１００ｅの取得部５０２は、例えば、ステップＳ００２〜Ｓ１００６の処理と並行して、受信許可メッセージとして予め設定されているメッセージＩＤ「４１０」のメッセージを取得する。これにより、ＥＣＵ１００ｅの取得部５０２は、ステップＳ１００５でＥＣＵ１００ｄが送信した応答メッセージを受信し、応答メッセージに含まれるＥＣＵ１００ｄの装置ＩＤを取得する。
【０１１８】
上記の処理により、例えば、図２に示す車載通信システム１において、各ＥＣＵ１００は、自ＥＣＵ１００にメッセージを送信する送信元のＥＣＵ１００の装置ＩＤを取得することができる。
【０１１９】
（各ＥＣＵの処理）
図１１は、第２の実施形態に係る各ＥＣＵの処理の例を示すフローチャートである。この処理は、図１０に示す装置ＩＤの取得処理により、装置ＩＤを取得した各ＥＣＵ１００が実行する処理の例を示している。なお、基本的な処理内容は、図７、又は図９に示す第１の実施形態に係るＥＣＵの処理と同様なので、ここでは、第１の実施形態と同様の処理に対する詳細な説明は省略する。
【０１２０】
ステップＳ１１０１において、ＥＣＵ１００が、図１０に示す装置ＩＤの取得処理により、自装置にメッセージを送信する送信元のＥＣＵ１００（他のＥＣＵ１００）の装置ＩＤを取得すると、ステップＳ１１０２以降の処理が実行される。
【０１２１】
ステップＳ１１０２において、ＥＣＵ１００は、識別情報記憶部５０３に、送信元のＥＣＵ１００を識別する装置ＩＤが記憶されているか否かを判断する。識別情報記憶部５０３に、送信元のＥＣＵ１００を識別する装置ＩＤが記憶されていない場合、ＥＣＵ１００は、自装置が初期状態であると判断し、処理をステップＳ１１０３に移行させる。一方、識別情報記憶部５０３に、送信元のＥＣＵ１００を識別する装置ＩＤが記憶されている場合、ＥＣＵ１００は、自装置が初期状態でないと判断し、処理をステップＳ１１０４に移行させる。
【０１２２】
ステップＳ１１０３に移行すると、ＥＣＵ１００は、ステップＳ１１０１で取得した送信元のＥＣＵ１００の装置ＩＤを識別情報記憶部５０３に記憶し、例えば、処理をステップＳ１１０１に戻す。
【０１２３】
ステップＳ１１０２からステップＳ１１０４に移行すると、ＥＣＵ１００の処理制御部５０４は、ステップＳ７０１で取得した全ての装置ＩＤが、識別情報記憶部５０３に記憶済の装置ＩＤ（送信元のＥＣＵ１００を識別する装置ＩＤ）と同じであるかを判断する。取得した全ての装置ＩＤが、識別情報記憶部５０３に記憶済の装置ＩＤと同じである場合、ＥＣＵ１００は、処理をステップＳ１１０５に移行させる。一方、取得した全ての装置ＩＤが、識別情報記憶部５０３に記憶済の装置ＩＤと同じでない場合（取得した装置ＩＤのうちの少なくとも１つが、識別情報記憶部５０３に記憶されていない場合）、ＥＣＵ１０は、処理をステップＳ１１０６に移行させる。
【０１２４】
ステップＳ１１０５に移行すると、ＥＣＵ１００の処理制御部５０４は、ＥＣＵ１００の処理を許可する。これにより、ＥＣＵ１００は、所定の処理を実行することができるようになる。
【０１２５】
一方、ステップＳ１１０６に移行すると、ＥＣＵ１００の処理制御部５０４は、例えば、自装置にメッセージを送信する送信元のＥＣＵが、別のＥＣＵに置き換えられたと判断し、ＥＣＵ１００の処理を制限する。
【０１２６】
これにより、ＥＣＵ１００は、例えば、メッセージの受信を行うが、所定の処理の実行を禁止する動作禁止状態に移行する。或いは、ＥＣＵ１００は、ＥＣＵ１００が実行する処理のうち、一部の処理の実行を禁止するもの等であっても良い。
【０１２７】
以上、第２の実施形態においても、車載ネットワーク１０に接続され、送信元のＥＣＵ１００（他のＥＣＵ）からのメッセージを取得して所定の処理を実行するＥＣＵ１００において、送信元のＥＣＵの置き換えによる不正な制御を制限することが容易になる。
【０１２８】
［第３の実施形態］
第３の実施形態では、所定の保守用装置等を用いて、各ＥＣＵ１００の識別情報記憶部５０３に記憶した装置ＩＤを初期化（削除）する場合の処理の例について説明する。
【０１２９】
＜システム構成＞
図１２は、第３の実施形態に係る車載通信システムのシステム構成の例を示す図である。図１２に示すように、第３の実施形態に係る車載通信システム１は、図１に示す一実施形態に係る車載通信システム１のシステム構成に加えて、保守用装置１２００を含む。なお、説明を容易にするため、ここでは、ＥＣＵ１００ｄ、１００ｅに関する説明を省略する。
【０１３０】
保守用装置１２００は、例えば、図４に示すＥＣＵ１００のハードウェア構成と同様のハードウェア構成を有しており、図４の通信Ｉ／Ｆ４０５を用いて、車載ネットワーク１０に一時的に接続することができる。また、保守用装置１２００は、例えば、予め定められたメッセージＩＤで、各ＥＣＵ１００に対して、識別情報記憶部５０３に記憶した装置ＩＤの削除を要求する削除メッセージを送信することができる。
【０１３１】
また、各ＥＣＵ１００には、削除メッセージのメッセージＩＤが、受信許可メッセージとして予め設定されている。
【０１３２】
好ましくは、削除メッセージは、データフレームで送信され、データフレームのデータフィールドには、なりすましを防止するために、予め定められた暗号化アルゴリズムで暗号化されたデータが設定されている。この場合、各ＥＣＵ１００は、削除メッセージを受信すると、データフィールドに設定された暗号化されたデータを復号し、正しく復号できたとき、識別情報記憶部５０３に記憶した装置ＩＤを削除する。
【０１３３】
上記の構成により、保守等により、ＥＣＵ１００が、正当なＥＣＵに置き換えられた場合、保守用装置１２００を用いて削除メッセージを送信することにより、各ＥＣＵ１００の識別情報記憶部５０３に記憶した装置ＩＤを削除（初期化）することができる。
【０１３４】
＜処理の流れ＞
（削除メッセージの送信処理）
図１３は、第３の実施形態に係る削除メッセージの送信処理の例を示すシーケンス図である。
【０１３５】
ステップＳ１３０１において、例えば、保守等により、いずれかのＥＣＵ１００を置き換え（交換）した後に、保守担当者は、保守用装置１２００を車載ネットワーク１０に接続して、削除メッセージの送信操作を行う。これにより、車載ネットワーク１０に、削除メッセージが送信される。この削除メッセージは、削除メッセージのメッセージＩＤが、受信許可メッセージとして設定されている各ＥＣＵ１００１００によって受信される。
【０１３６】
ステップＳ１３０２〜Ｓ１３０４において、削除メッセージを受信した各ＥＣＵ１００は、例えば、図１４のステップＳ１４０３〜Ｓ１４０６に示すような、削除メッセージ受信時の処理を実行する。
【０１３７】
（各ＥＣＵの処理）
図１４は、第３の実施形態に係る各ＥＣＵの処理の例を示すフローチャートである。この処理は、ＥＣＵ１００が、車載ネットワーク１０から、受信許可されたメッセージを取得したときに実行する処理の例を示している。
【０１３８】
ステップＳ１４０１において、ＥＣＵ１００がメッセージを取得すると、ステップＳ１４０２以降の処理が実行される。
【０１３９】
ステップＳ１４０２において、ＥＣＵ１００の初期化部５０６は、取得したメッセージが削除メッセージであるか否かを判断する。例えば、初期化部５０６は、取得したメッセージのメッセージＩＤが、削除メッセージのメッセージＩＤであるか否かにより、取得したメッセージが削除メッセージであるか否かを判断する。
【０１４０】
受信したメッセージが削除メッセージである場合、ＥＣＵ１００は、処理をステップＳ１４０３に移行させる。一方、受信したメッセージが削除メッセージでない場合、ＥＣＵ１００は、処理をステップＳ１４０７に移行させる。
【０１４１】
ステップＳ１４０３に移行すると、ＥＣＵ１００の初期化部５０６は、削除メッセージのデータフィールドに設定された暗号化データを、予め定められた復号アルゴリズムで復号する。
【０１４２】
ステップＳ１４０４において、ＥＣＵ１００の初期化部５０６は、復号結果によって、取得した削除メッセージが正当な削除メッセージであるか否かを判断する。例えば、初期化部５０６は、ステップＳ１４０３で、削除メッセージに含まれる暗号化データを正しく復号できた場合（所定のデータが得られた場合）、取得した削除メッセージが正当な削除メッセージであると判断する。また、初期化部５０６は、暗号化データを正しく復号できなかった場合（所定のデータが得られない場合）、取得した削除メッセージが正当な削除メッセージではないと判断する。
【０１４３】
取得した削除メッセージが正当な削除メッセージである場合、ＥＣＵ１００は、処理をステップＳ１４０５に移行させる。一方、取得した削除メッセージが正当な削除メッセージでない場合、ＥＣＵ１００は、処理をステップＳ１４０６に移行させる。
【０１４４】
ステップＳ１４０５に移行すると、ＥＣＵ１００の初期化部５０６は、識別情報記憶部５０３に記憶している装置ＩＤを削除する。
【０１４５】
ステップＳ１４０６に移行すると、ＥＣＵ１００を、例えば、動作禁止状態へ遷移させる。動作禁止状態では、ＥＣＵ１００は、メッセージの受信は行うが、制御メッセージに応じた所定の処理の実行は禁止される。
【０１４６】
なお、ステップＳ１４０２からステップＳ１４０７に移行すると、ＥＣＵ１００の処理制御部５０４は、ＥＣＵ１００の状態が動作禁止状態であるか否かを判断する。動作禁止状態でない場合、処理制御部５０４は、ステップＳ１４０８において、例えば、取得したメッセージに応じた所定の処理を実行する。
【０１４７】
一方、動作禁止状態である場合、処理制御部５０４は、取得したメッセージに応じた所定の処理を実行せずに、動作禁止状態を維持する。
【０１４８】
上記の処理により、ＥＣＵ１００は、所定の保守用装置１２００から正当な削除メッセージを取得した場合、識別情報記憶部５０３に記憶した装置ＩＤを削除し、例えば、図６〜９に示す処理が実行されるまで、動作禁止状態を維持する。
【０１４９】
また、ＥＣＵ１００は、電源オンされたとき等に、例えば、図６〜９に示す処理を実行することにより、各ＥＣＵ１００の識別情報記憶部５０３に、正当な送信元のＥＣＵ１００の装置ＩＤを記憶することができる。
【０１５０】
＜まとめ＞
以上、本発明の各実施形態によれば、車載ネットワーク１０に接続され、他のＥＣＵ１００からのメッセージを取得して所定の処理を実行するＥＣＵ１００において、他のＥＣＵの置き換えによる不正な制御を制限することが容易になる。
【０１５１】
例えば、本発明の各実施形態によれば、製造時、保守時等に、暗号化の設定、認証情報の書き込み、装置ＩＤの書き換え等の困難を伴わずに、容易にＥＣＵの置き換えによる不正な制御を制限することができるようになる
本発明の実施形態について詳述したが、本発明は特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
【符号の説明】
【０１５２】
１          車載通信システム
１０        車載ネットワーク
１００      ＥＣＵ（電子制御装置）
５０２      取得部
５０３      識別情報記憶部
５０４      処理制御部
５０５      要求メッセージ送信部
５０６      初期化部
５０７      識別情報送信部
【図１】
2020141195.tif 000005
【図２】
2020141195.tif 000006
【図３】
2020141195.tif 000007
【図４】
2020141195.tif 000008
【図５】
2020141195.tif 000009
【図６】
2020141195.tif 000010
【図７】
2020141195.tif 000011
【図８】
2020141195.tif 000012
【図９】
2020141195.tif 000013
【図１０】
2020141195.tif 000014
【図１１】
2020141195.tif 000015
【図１２】
2020141195.tif 000016
【図１３】
2020141195.tif 000017
【図１４】
2020141195.tif 000018