(57)【要約】【課題】柔軟性と安全性を両立した車載ネットワークシステムを提供する。【解決手段】車載ネットワークシステム５００は、コントローラ５０と、複数のスイッチ５１〜５３と、制御装置群と、を備える。コントローラ５０は、オープンフロープロトコルに従って車載ネットワークシステム５００を制御する。複数のスイッチ５１〜５３は、コントローラ５０に通信線７０を介して接続され、コントローラ５０からの指示に応じて処理を実行する。複数のスイッチ５１〜５３は、互いに異なるスイッチ間は通信線８０で接続されている。制御装置群は、複数のＥＣＵ１１〜１３及びＥＣＵ２１〜２５を含み、複数のスイッチ５１〜５３のそれぞれに通信線１００，２００，３００を介して接続される。コントローラ５０は、車両の電源状態がイグニッションオンの場合において、車両の走行中は、車両の停止中よりも、ＥＣＵ間における通信ルートの再構築の制限を多くする。【選択図】図４
2020088717.tif 000002
【特許請求の範囲】
【請求項１】
車両に搭載された車載ネットワークシステム（５００）であって、
オープンフロープロトコルに従って前記車載ネットワークシステムを制御するコントローラ（５０）と、
前記コントローラに第１通信線（７０）を介して接続され、前記コントローラからの指示に応じて処理を実行する複数のスイッチであって、互いに異なるスイッチ間は、Ethernet（登録商標）プロトコルに従った第２通信線（８０）で接続されている、複数のスイッチ（５１，５２，５３）と、
複数の制御装置を含む制御装置群であって、前記複数のスイッチのそれぞれに第３通信線（１００，２００，３００）を介して接続されている制御装置群（１１〜１３，２１〜２５）と、を備え、
前記コントローラは、前記車両の電源状態がイグニッションオンの場合に、前記車両の走行中は、前記車両の停止中よりも、前記制御装置間における通信ルートの再構築の制限を多くする、
車載ネットワークシステム。
【請求項２】
前記コントローラは、
前記車両の走行中において、前記車載ネットワークシステムへの新規の制御装置の加入を拒否する、
請求項１に記載の車載ネットワークシステム。
【請求項３】
前記コントローラは、
前記車載ネットワークシステムに含まれる前記制御装置を、前記車両の走行の安全に関わる第１制御装置（１１〜１３）と、前記車両の走行の安全に関わらない第２制御装置（２１〜２５）とに分類し、
前記第２制御装置からの通信ルートの再構築の要求に対しては、前記第１制御装置からの通信ルートの再構築の要求に対してよりも、再構築の制限を多くする、
請求項１又は２に記載の車載ネットワークシステム。
【請求項４】
前記コントローラは、
前記車載ネットワークシステムに含まれる前記制御装置を、前記車両の走行の安全に関わる第１制御装置と、前記車両の走行の安全に関わらない第２制御装置とに分類し、
前記第１制御装置に関係する通信ルートの再構築の要求に対しては、前記第１制御装置に関係しない通信ルートの再構築の要求に対してよりも、再構築の制限を多くする、
請求項１〜３のいずれか１項に記載の車載ネットワークシステム。
【請求項５】
前記コントローラは、
前記車両の走行中において、前記第２制御装置からの前記第１制御装置に関係する通信ルートの再構築の要求を拒否する、
請求項３又は４に記載の車載ネットワークシステム。
【請求項６】
前記コントローラは、
前記車載ネットワークシステムに新規に参加する外部端末（６０）からの前記第１制御装置に関係する通信ルートを構築しない、
請求項３〜５のいずれか１項に記載の車載ネットワークシステム。
【請求項７】
前記コントローラは、
前記車載ネットワークシステムに含まれる前記制御装置を、外部に通信で繋がる第３制御装置と、外部に通信で繋がらない第４制御装置とに分類し、
前記第３制御装置からの通信ルートの再構築の要求に対しては、前記第４制御装置からの通信ルートの再構築の要求に対してよりも、再構築の制限を多くする、
請求項１〜６のいずれか１項に記載の車載ネットワークシステム。
【請求項８】
前記コントローラは、
前記車載ネットワークシステムに含まれる前記制御装置を、外部に通信で繋がる第３制御装置と、外部に通信で繋がらない第４制御装置とに分類し、
前記第３制御装置に関係する通信ルートの再構築の要求に対しては、前記第３制御装置に関係しない通信ルートの再構築の要求に対してよりも、再構築の制限を多くする、
請求項１〜７のいずれか１項に記載の車載ネットワークシステム。
【請求項９】
前記コントローラは、
前記車両の走行中において、前記第３制御装置からの通信ルートの再構築の要求を拒否する、
請求項７に記載の車載ネットワークシステム。
【請求項１０】
前記コントローラは、
前記車両の走行中において、前記第３制御装置に関係する通信ルートの再構築の要求を拒否する、
請求項８に記載の車載ネットワークシステム。
【請求項１１】
前記複数のスイッチに接続された前記制御装置のそれぞれの通信パターンが記憶された記憶部を備え、
前記コントローラは、
前記記憶部に記憶されている前記通信パターンから乖離した通信を行っている前記制御装置からの通信ルートの再構築の要求に対して、前記通信パターンから乖離した通信を行っていない前記制御装置からの通信ルートの再構築の要求に対してよりも、再構築の制限を多くする、
請求項１〜１０のいずれか１項に記載の
【請求項１２】
前記通信パターンは、前記制御装置のそれぞれと、前記制御装置のそれぞれの通信量との対応関係を含む、
請求項１１に記載の車載ネットワークシステム。
【請求項１３】
前記制御装置から送信されるメッセージには、メッセージの種別ごとに識別子が割り当てられており、
前記通信パターンは、前記制御装置のそれぞれと、前記制御装置のそれぞれから送信されるメッセージの識別子との対応関係を含む、
請求項１１に記載の車載ネットワークシステム。
【請求項１４】
前記コントローラは、
前記電源状態を認識し、前記電源状態がイグニッションオフの場合には、イグニッションオンの場合よりも、通信ルートの再構築の要求に対する制限を多くする、
請求項１〜１３のいずれか１項に記載の車載ネットワークシステム。
【請求項１５】
前記コントローラは、
前記電源状態がイグニッションオフの場合には、前記車載ネットワークシステムへの新規の制御装置及び外部端末の加入を拒否する、
請求項１４に記載の車載ネットワークシステム。
【請求項１６】
前記外部端末は、モバイル通信機器である、
請求項６又は１５に記載の車載ネットワークシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、車載ネットワークシステムに関する。
【背景技術】
【０００２】
特許文献１に記載の車両データ取得装置は、車両の停止中において、車両ネットワーク接続部と車両ネットワークとを接続状態にし、車両の走行中において、車両ネットワーク接続部と車両ネットワークとを切断状態にする。これにより、上記車両データ取得装置は、通信負荷が相対的に低い停車中において車両データを取得し、通信負荷が相対的に高い走行中において通信負荷の増大を抑制している。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１５−１０１１１４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
近年、車両に搭載する制御装置の増加に伴い、車載ネットワークシステムの通信負荷の制御だけでは不十分と考えられ、制御装置の追加やネットワーク構成の変更が可能な柔軟性の高い車載ネットワークシステムが望まれている。しかしながら、車載ネットワークシステムの柔軟性を高くすると、悪意のある制御装置が車載ネットワークシステムに参加しやすくなるため、車載ネットワークシステムの安全性が低下するおそれがある。
【０００５】
本開示は、上記実情に鑑みてなされたものであり、柔軟性と安全性を両立した車載ネットワークシステムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本開示の一態様は、車両に搭載された車載ネットワークシステム（５００）であって、コントローラ（５０）と、複数のスイッチ（５１，５２，５３）と、制御装置群（１１〜１３，２１〜２５）と、を備える。コントローラは、オープンフロープロトコルに従って車載ネットワークシステムを制御する。複数のスイッチは、コントローラに第１通信線（７０）を介して接続され、コントローラからの指示に応じて処理を実行する。複数のスイッチは、互いに異なるスイッチ間は、Ethernet（登録商標）プロトコルに従った第２通信線（８０）で接続されている。制御装置群は、複数の制御装置を含み、複数のスイッチのそれぞれに第３通信線（１００，２００，３００）を介して接続されている。コントローラは、車両の電源状態がイグニッションオンの場合に、車両の走行中は、車両の停止中よりも、制御装置間における通信ルートの再構築の制限を多くする。
【０００７】
本開示の車載ネットワークシステムによれば、オープンフロープロトコルが用いられているため、制御装置の追加などに柔軟に対応することができる。一方、通常、制御装置の追加などは、イグニッションオンの車両の停車中に行われ走行中には行われない。よって、走行中における通信ルートの再構築の要求は、停車中における通信ルートの再構築の要求と比べて、悪意のある制御装置からの要求である可能性が高くなる。そのため、コントローラは、走行中において、停止中よりも通信ルートの再構築の制限を多くする。これにより、車載ネットワークシステムの安全性、ひいては車両の安全性を向上させることができる。したがって、柔軟性と安全性を両立した車載ネットワークシステムを実現することができる。
【図面の簡単な説明】
【０００８】
【図１】車載ネットワークシステムの構成を示す図である。
【図２】コントローラが実行する通信ルートの再構築処理を示すフローチャートである。
【図３】車両の停止中において、新規ＥＣＵの加入要求を受け入れる一例を示す図である。
【図４】車両の走行中において、新規ＥＣＵの加入を拒否する一例を示す図である。
【図５】安全に関わるＥＣＵからの通信ルートの変更の要求を受け入れる一例を示す図である。
【図６】安全に関わるＥＣＵからの通信ルートの変更の要求を受け入れて通信ルートを再構築する手順を示すシーケンス図である。
【図７】安全に関わらないＥＣＵからの通信ルートの変更の要求を拒否する一例を示す図である。
【図８】安全に関わらないＥＣＵからの安全に関わるＥＣＵが関係しない通信ルートの変更要求を受け入れる一例を示す図である。
【図９】外部装置が新規加入を要求する一例を示す図である。
【図１０】従来の車載ネットワークシステムの構成を示す図である。
【発明を実施するための形態】
【０００９】
以下、図面を参照しながら、本開示を実施するための形態を説明する。
＜１．構成＞
まず、本実実施形態に係る車載ネットワークシステム（以下、ネットワークシステム）５００の構成について、図１を参照して説明する。
【００１０】
ネットワークシステム５００は、コントローラ５０と、第１〜第３スイッチ５１〜５３と、ＥＣＵ１１〜１３と、ＥＣＵ２１〜２５と、を備える。
コントローラ５０は、ＣＰＵ、ＲＯＭ、ＲＡＭ、半導体メモリ等の記憶部、及びＩ／Ｏ等を備えた、オープンフロープロトコルにおけるコントローラとして機能する。コントローラ５０は、オープンフロープロトコルに従ってネットワークシステム５００を制御する。
【００１１】
第１〜第３スイッチ５１〜５３は、ＣＰＵ、ＲＯＭ、ＲＡＭ、半導体メモリ等の記憶部、及びＩ／Ｏ等を備え、オープンフロープロトコルにおけるスイッチとして機能する。第１〜第３スイッチ５１〜５３は、コントローラ５０からの指令に応じて処理を実行する。コントローラ５０と、第１〜第３スイッチ５１〜５３のそれぞれとは、フローコントロール用通信線７０によって接続されている。これにより、コントローラ５０と第１〜第３スイッチ５１〜５３との間で、オープンフロープロトコルに従ったオープンフローメッセージの送受信が行われる。本実施形態では、フローコントロール用通信線７０が第１通信線に相当する。
【００１２】
また、第１スイッチ５１と第２スイッチ５２との間、第１スイッチ５１と第３スイッチ５３との間、第２スイッチ５２と第３スイッチ５３との間は、それぞれ、Ethernet通信線８０によって接続されている。Ethernet通信線８０は、Ethernetプロトコルに従ったフレームを送信するための通信線である。なお、Ethernetは登録商標である。本実施形態では、Ethernet通信線８０が第２通信線に相当する。
【００１３】
ＥＣＵ１１〜１３及びＥＣＵ２１〜２５は、エンジンＥＣＵ，ブレーキＥＣＵ、自動運転ＥＣＵ、エアコンＥＣＵ、車内ランプＥＣＵ、メータＥＣＵなど、それぞれ異なる制御を実行する制御装置である。
【００１４】
ＥＣＵ１１〜１３及びＥＣＵ２１〜２５は、車両における搭載位置に応じて、ＥＣＵ１１，２１，２２の第１制御装置群と、ＥＣＵ１２，２３，２４の第２制御装置群と、ＥＣＵ１３，２５の第３制御装置群とに分けられている。各制御装置群には、互いに搭載位置が近いＥＣＵが属している。
【００１５】
また、ＥＣＵ１１〜１３及びＥＣＵ２１〜２５は、それぞれ、機能安全における重要度に基づいてランク付けされている。そして、コントローラ５０は、付けられているランクに基づいて、ＥＣＵ１１〜１３及びＥＣＵ２１〜２５を、走行安全に関わるドメイン１と、走行安全に関わらないドメイン２とに分類する。ドメイン１には、例えば、エンジンＥＣＵやブレーキＥＣＵ、自動運転ＥＣＵが属する。ドメイン２には、例えば、エアコンＥＣＵや車内ランプＥＣＵ、メータＥＣＵが属する。本実施形態では、ＥＣＵ１１〜１３はドメイン１に属し、ＥＣＵ２１〜２５はドメイン２に属する。また、ドメイン１に属するＥＣＵ１１〜１３が第１制御装置に相当し、ドメイン２に属するＥＣＵ２１〜２５が第２制御装置に相当する。
【００１６】
第１制御装置群のＥＣＵ１１，２１，２２は、ＣＡＮ通信線１００によって第１スイッチ５１に接続されている。ＣＡＮ通信線は、ＣＡＮプロトコルに従ったフレームを送信するための通信線である。なお、ＣＡＮは登録商標である。第２制御装置群のＥＣＵ１２，２３，２４は、Ethernet通信線２００によって第２スイッチ５２に接続されている。第３制御装置群のＥＣＵ１３，２５は、Ethernet通信線３００によって第３スイッチ５３に接続されている。本実施形態では、ＣＡＮ通信線１００、Ethernet通信線２００，３００が第３通信線に相当する。
【００１７】
すなわち、ネットワークシステム５００は、EthernetネットワークとＣＡＮネットワークとが混在したネットワークシステムにオープンフロープロトコルを適用して構成されている。このように、ネットワークシステム５００にオープンフロープロトコルを適用することにより、ネットワークシステム５００に対するＥＣＵの追加や変更が容易になり、通信ルートの再構築を柔軟に実行できるようになっている。さらに、コントローラ５０が、通信ルートの構築を適切に制御することにより、ネットワークシステム５００の安全性も担保することができるようになっている。
【００１８】
一方、オープンフロープロコルを適用していないネットワークシステム５１０を図１０に示す。ネットワークシステム５１０では、第１制御装置群のＥＣＵ１１，２１，２２が、ＣＡＮ信号線１１０によってEthernet_ＥＣＵ１５１に接続されている。また、第２制御装置群のＥＣＵ１２，２３，２４が、Ethernet通信線２１０によってEthernet_ＥＣＵ１５２に接続されている。また、第３制御装置群のＥＣＵ１３，２５が、Ethernet通信線３１０によってEthernet_ＥＣＵ１５３に接続されている。そして、Ethernet_ＥＣＵ１５１〜１５３は、互いにEthernet通信線１７０によって接続されている。Ethernet_ＥＣＵ１５１〜１５３は、Ethernetフレームを中継する中継装置として機能する。
【００１９】
ネットワークシステム５１０に採用できるルールとして、静的ルーティングと動的ルーティングがある。静的ルーティングは、ネットワークシステム５１０の全ＥＣＵに固定アドレスを割り振り、全ＥＣＵに固定アドレスを記憶させるとともに、ルーティング経路を事前に記憶させる。動的ルーティングは、Ethernetプロトコルに従い、各ＥＣＵが個別に情報を収集して、動的にネットワークを構築する。
【００２０】
ネットワークシステム５１０に静的ルーティングを採用した場合、悪意のあるＥＣＵがなりすましで参加することが困難なため、ネットワークシステム５１０の安全性が高くなる。しかしながら、ＥＣＵを変更したり新規ＥＣＵを追加したりする場合に、他のＥＣＵに記憶されているルーティング経路等を書き換える必要があるため、手間がかかり、ネットワークシステム５１０の柔軟性が低くなる。
【００２１】
また、ネットワークシステム５１０に動的ルーティングを採用した場合、ＥＣＵの変更や新規ＥＣＵの追加が容易で、ネットワークシステム５１０の柔軟性が高くなる。しかしながら、ネットワークシステム５１０に容易に悪意のあるＥＣＵが参加できるため、ネットワークシステム５１０の安全性が低くなる。すなわち、ネットワークシステム５１０は、ネットワークシステム５００とは異なり、安全性と柔軟性とを両立させることが困難である。
【００２２】
＜２．処理＞
次に、コントローラ５０が実行する通信ルートの再構築処理について、図２のフローチャートを参照して説明する。コントローラ５０は、電源状態がイグニッションオンのときだけでなく、イグニッションオフのときにも、車載バッテリから電力の供給を受けて、通信ルートの再構築処理を実行する。
【００２３】
まず、Ｓ１０では、コントローラ５０は、ネットワークシステム５００の状態を収集する。具体的には、コントローラ５０は、第１〜第３スイッチ５１〜５３へ、情報取得用のオープンフローメッセージを送信する。第１〜第３スイッチ５１〜５３は、コントローラ５０から情報取得用のオープンフローメッセージを取得すると、要求に応じた情報を含むオープンフローメッセージを、コントローラ５０へ送信する。コントローラ５０は、収集したネットワーク状態に応じて、通信ルートを構築する。
【００２４】
続いて、Ｓ２０では、コントローラ５０は、ＥＣＵ１１〜１３及びＥＣＵ２１〜２６からの通信ルートの再構築要求を待つ。
続いて、Ｓ３０では、コントローラ５０は、第１〜第３スイッチ５１〜５３を介して、ＥＣＵ１１〜１３及びＥＣＵ２１〜２６から通信ルートの再構築要求があるか否か判定する。再構築要求がない場合には、Ｓ１０の処理へ戻り、再構築要求がある場合には、Ｓ４０の処理へ進む。
【００２５】
Ｓ４０では、コントローラ５０は、再構築要求を受け付けるか否か判定する。コントローラ５０がどのような再構築要求も受け付けてしまうと、悪意のあるＥＣＵが容易にネットワークシステム５００に参加できることになり、ネットワークシステム５００の安全性が低下する。ひいては、車両の走行安全性が低下する可能性がある。一方、コントローラ５０がどのような再構築要求も拒否してしまうと、ネットワークシステム５００の柔軟性が低下する。
【００２６】
そこで、コントローラ５０は、ネットワークシステム５００の安全性と柔軟性の両方を考慮して、所定のルールを用いて、再構築要求を受け付けるか否か判定する。具体的には、コントローラ５０は、車両の電源状態、すなわち、イグニッションオフでバッテリ電源状態か、イグニッションオン状態かを認識する。そして、電源状態がイグニッションオンの場合に、車両の走行中は、車両の停止中よりも、通信ルートの再構築の制限を多くする。
【００２７】
また、ドメイン２に属するＥＣＵ２１〜２５からの再構築要求に対しては、ドメイン１に属するＥＣＵ１１〜１３からの再構築要求に対してよりも、通信ルートの再構築の制限を多くする。
【００２８】
また、ドメイン１に属するＥＣＵ１１〜１３に関係する通信ルートの再構築要求に対しては、ドメイン１に属するＥＣＵ１１〜１３に関係しない通信ルートの再構築要求に対してよりも、通信ルートの再構築の制限を多くする。
【００２９】
また、コントローラ５０は、ＥＣＵ１１〜１３及びＥＣＵ２１〜２５を、外部に通信で繋がるＥＣＵと、外部に通信で繋がらないＥＣＵとに分類する。外部に通信で繋がるＥＣＵは、例えば、外部の情報センターと通信を行うデータコミュニケーションモジュール（すなわち、ＤＣＭ）などである。そして、外部に通信で繋がるＥＣＵからの再構築要求に対しては、外部に通信で繋がらないＥＣＵからの再構築要求に対してよりも、再構築の制限を多くする。
【００３０】
また、外部に通信で繋がるＥＣＵに関係する通信ルートの再構築要求に対しては、外部に通信で繋がるＥＣＵに関係しない通信ルートの再構築要求に対してよりも、再構築の制限を多くする。
【００３１】
さらに、予め登録されている通信パターンから乖離し通信を行っているＥＣＵからの再構築要求に対しては、通信パターンから乖離しない通信を行っているＥＣＵからの再構築要求に対してよりも、通信ルートの再構築の制限を多くする。通常、ネットワークシステム５００では、各ＥＣＵが、決まったＥＣＵと決まった通信を行うため、各ＥＣＵの通信パターンは予め決まっている。
【００３２】
通信パターンは、ＥＣＵ１１〜１３及びＥＣＵ２１〜２５のそれぞれと、ＥＣＵ１１〜１３及びＥＣＵ２１〜２５のそれぞれが行う通信の通信量との対応関係を含む。また、通信パターンは、ＥＣＵ１１〜１３及びＥＣＵ２１〜２５のそれぞれと、ＥＣＵ１１〜１３及びＥＣＵ２１〜２５のそれぞれから送信されるメッセージのＩＤ（すなわち識別子）との対応関係を含む。ネットワークシステム５００において送受信されるメッセージには、メッセージの種別ごとにＩＤが割り当てられている。
【００３３】
コントローラ５０は、例えば、通信量の差異が閾値以上の場合に、通信パターンが乖離していると判定する。また、コントローラ５０は、メッセージＩＤが異なっている場合に、通信パターンが乖離していると判定する。
【００３４】
また、電源状態がイグニッションオフすなわちバッテリ電源状態の場合には、車両が無人の状態であるため、イグニッションオンの場合よりも、通信ルートン再構築要求に対する制限を多くする。なお、再構築要求を受け付けの可否判定の具体例については、後述する。
【００３５】
Ｓ４０において、再構築要求を拒否すると判定した場合は、Ｓ１０の処理へ戻り、再構築要求を受け付けると判定した場合は、Ｓ５０の処理へ進む。
Ｓ５０では、コントローラ５０は、再構築の対象である通信ルートの代わりとなる代替ルートを決定する。
【００３６】
続いて、Ｓ６０では、コントローラ５０は、第１〜第３スイッチ５１〜５３に、Ｓ５０で決定した代替ルートを指示する。これにより、再構築の対象である通信ルートの代わりに、代替ルートを用いて、ＥＣＵ間での通信が行われる。Ｓ６０の処理の終了後、Ｓ１０の処理へ戻る。
【００３７】
＜３．再構築要求の受け付けの可否判定＞
次に、再構築要求の受け付けの可否判定の具体例について説明する。
図３は、電源状態がイグニッションオンの場合における車両の停止中に、第２スイッチ５２に接続されたＥＣＵ２４が、第３スイッチ５３に接続されたＥＣＵ２６に交換された場合のネットワークシステム５００を示す。
【００３８】
通常、ＥＣＵの交換や新規ＥＣＵの取り付けは、イグニッションオン時の停止中にディーラー等において行われる。ＥＣＵの交換や新規ＥＣＵの取り付けが行われると、交換されたＥＣＵや新規ＥＣＵが他のＥＣＵと通信を行うことができるように、コントローラ５０に対して通信ルートの再構築が要求される。
【００３９】
図３に示すように、ＥＣＵ２４からＥＣＵ２６への変更前、ＥＣＵ２４の通信対象はＥＣＵ２２であり、ＥＣＵ２４から第２スイッチ５２及び第１スイッチ５１を介してＥＣＵ２２へ至る通信ルートが構築されている。よって、ＥＣＵ２４からＥＣＵ２６へ変更した場合、ＥＣＵ２６とＥＣＵ２２が通信できるように、構築されている通信ルートを、ＥＣＵ２６から、第３スイッチ５３及び第１スイッチ５１を介してＥＣＵ２２へ至る通信ルートに変更する必要がある。そのため、ＥＣＵ２６は、第３スイッチ５３を介して、コントローラ５０へ通信ルートの再構築を要求する。
【００４０】
コントローラ５０は、このようなイグニッションオン時の停止中に発生する再構築要求は許可して、代替ルートを構築する。これにより、ディーラーでの修理や改修等が妨げられない。
【００４１】
次に、図４は、イグニッションオンの場合における走行中に、ＥＣＵ２６が第３スイッチ５３に接続された場合のネットワークシステム５００を示す。
一般に、車両の走行中に新規ＥＣＵがネットワークシステム５００に追加されることは考えられない。走行中にネットワークシステム５００に新規ＥＣＵが追加された場合、悪意のあるＥＣＵから攻撃を受けている可能性が高い。
【００４２】
よって、コントローラ５０は、イグニッションオン時の走行中において、ネットワークシステム５００への新規のＥＣＵ２６の加入を拒否し、新規のＥＣＵ２６が接続されている第３スイッチ５３へＥＣＵ２６からの通信を拒否するように指示する。第３スイッチ５３は、コントローラ５０からの指示に従い、既存のＥＣＵ１３，２５からの通信のみを許可し、ＥＣＵ２６からの通信を破棄する。
【００４３】
図５は、第２スイッチ５２と第３スイッチ５３とを接続するEthernet通信線８０に障害が発生した場合のネットワークシステム５００を示す。ネットワークシステム５００において、ＥＣＵ１３の通信対象はＥＣＵ１２であり、ＥＣＵ１３とＥＣＵ１２との間の通信ルートとして、第３スイッチ５３、第２スイッチ５２を経由する最短の通信ルートが構築されている。
【００４４】
第２スイッチ５２と第３スイッチ５３とを接続するEthernet通信線８０に障害が発生した場合、ＥＣＵ１３とＥＣＵ１２は既存の通信ルートでは通信できなくなる。ここで、ＥＣＵ１２は、カメラや赤外線、レーダ等のセンサを制御するセンサＥＣＵであり、ＥＣＵ１３は、センサ情報を基に動作する自動運転ＥＣＵである。ＥＣＵ１３は、ＥＣＵ１２と通信不可能になり、ＥＣＵ１２からのセンサ情報が途絶えると、動作できなくなる。ＥＣＵ１３が動作できなくなると、車両の走行安全に支障が生じる可能性がある。
【００４５】
よって、コントローラ５０は、イグニッションオン時において、走行中と停止中のいずれの場合でも、ドメイン１に属するＥＣＵ１３からのドメイン１に属するＥＣＵ１２に関係する通信ルートの再構築の要求は受け付ける。そして、コントローラ５０は、ＥＣＵ１３から、第３スイッチ５３、第１スイッチ５１、第２スイッチ５２の順に経由して、ＥＣＵ１２へ至る代替ルートを決定し、代替ルートを第１〜第３スイッチ５１〜５３へ指示する。これにより、ＥＣＵ１３とＥＣＵ１２との間の通信が維持される。
【００４６】
図６は、ＥＣＵ１２（すなわち、第１ＥＣＵ）とＥＣＵ１３（すなわち、第２ＥＣＵ）との間の通信路に障害が発生し、代替ルートを構築する場合の処理シーケンスを示す。
Ｓ１００では、ＥＣＵ１２が、第２スイッチ５２へ通信データを送信する。続いて、Ｓ１１０では、第２スイッチ５２が、第３スイッチ５３へ通信データを送信する。続いて、Ｓ１２０では、第３スイッチ５３が、ＥＣＵ１３へ通信データを送信する。
【００４７】
続いて、Ｓ１３０では、ＥＣＵ１３が、第３スイッチ５３へ通信データの送信を要求するメッセージを送信する。続いて、Ｓ１４０では、第３スイッチ５３が、第２スイッチ５２へメッセージを送信する。続いて、Ｓ１５０では、第２スイッチ５２が、ＥＣＵ１２へメッセージを送信する。
【００４８】
Ｓ１５０の処理の後、第２スイッチ５２と第３スイッチ５３とを接続するEthernet通信線８０に障害が発生すると、Ｓ１６０において、第２スイッチ５２が、コントローラ５０へ通信路異常を通知する。Ｓ１７０では、第３スイッチ５３が、コントローラ５０へ通信路異常を通知する。
【００４９】
Ｓ１８０では、ＥＣＵ１２が、第２スイッチ５２へ通信データを送信する。続いて、Ｓ１９０では、通信ルートがまだ再構築されていないため、第２スイッチ５２が、第３スイッチ５３へ通信データを送信しようとするが、通信路断絶により通信データは消滅する。
【００５０】
続いて、Ｓ２００では、ＥＣＵ１３が、通信データの送信を要求するメッセージを送信してから規定時間経過しても通信データを受信しないため、通信データの途絶を確認する。続いて、Ｓ２１０では、ＥＣＵ１３が、コントローラ５０へ通信ルートの変更を要求する。
【００５１】
続いて、Ｓ２２０では、コントローラ５０が、通信ルートの変更要求を受理する。続いて、Ｓ２３０では、コントローラ５０が、第１スイッチ５１へ通信ルートの変更を指示する。Ｓ２４０では、コントローラ５０が、第２スイッチ５２へ通信ルートの変更を指示する。Ｓ２５０では、コントローラ５０が、第３スイッチ５３へ通信ルートの変更を指示する。
【００５２】
Ｓ２６０では、ＥＣＵ１２が、第２スイッチ５２へ通信データを送信する。続いて、Ｓ２７０では、第２スイッチ５２が、コントローラ５０からの通信ルートの変更指示に従って、第３スイッチ５３ではなく第１スイッチ５１へ通信データを送信する。続いて、Ｓ２８０では、第１スイッチ５１が、第３スイッチ５３へ通信データを送信する。続いて、Ｓ２９０では、第３スイッチ５３がＥＣＵ１３へ通信データを送信する。以上により、断絶した通信路を迂回して、ＥＣＵ１２からＥＣＵ１３へ通信データが送信される。
【００５３】
次に、図７は、ドメイン２に属するＥＣＵ２５から、ドメイン１に属するＥＣＵに関係する通信ルートの再構築が要求された場合のネットワークシステム５００を示す図である。
ＥＣＵ１２とＥＣＵ１３との通信に無関係なＥＵＣ２５からの、ＥＣＵ１２とＥＣＵ１３との間の通信ルートの変更要求は、許可した場合に、ＥＣＵ１２とＥＣＵ１３との通信が乱れる可能性がある。また、図５に示すように、ＥＣＵ１２とＥＣＵ１３との間の通信路に障害が発生している場合は、ＥＣＵ１２とＥＣＵ１３のいずれかから通信ルートの再構築が要求されるはずである。ＥＣＵ２５が、ＥＣＵ２５と無関係なＥＣＵ１２とＥＣＵ１３との間の通信ルートの変更を要求する場合、ＥＣＵ２５が改ざんされている可能性が高い。よって、コントローラ５０は、ＥＣＵ２５からのＥＣＵ１２とＥＣＵ１３間の通信ルートの再構築要求を拒否する。
【００５４】
また、ＥＣＵ２５からのＥＣＵ１３との新規の通信ルートの構築要求は、許可した場合に、ＥＣＵ１３の処理が阻害される可能性がある。走行中に、ドメイン１に属するＥＣＵ１３の処理が阻害されると、車両の走行安全に支障が生じる可能性がある。よって、コントローラ５０は、走行中において、ＥＣＵ２５からのＥＣＵ１３との新規の通信ルートの構築要求を拒否し、イグニッションオン時の停止中に、その新規の通信ルートの構築要求を許可する。
【００５５】
すなわち、コントローラ５０は、走行中に、ドメイン２に属するＥＣＵからのドメイン１に属するＥＣＵに関係する通信ルートの再構築の要求を拒否する。
図８は、ドメイン２に属するＥＣＵ２１が故障した場合のネットワークシステム５００を示す。ＥＣＵ２１は車速センサＥＣＵであり、ＥＣＵ２３はＧＰＳ情報を有するＥＣＵである。ＥＣＵ２５は、メータＥＣＵであり、ＥＣＵ２１の車速情報に基づいて時速を表示している。
【００５６】
ＥＣＵ２１が故障した場合、ＥＣＵ２５は、ＥＣＵ２１と通信できなくなり、ＥＣＵ２１から車速情報を取得できなくなる。よって、ＥＣＵ２５は、ＥＣＵ２３から車速情報に類似するＧＰＳ情報を取得するため、コントローラ５０に通信ルートの変更を要求する。
【００５７】
ここで、コントローラ５０は、ドメイン２に属するＥＣＵからのドメイン１に属するＥＣＵに関係しない通信ルートの変更要求は受け付ける。コントローラ５０は、ＥＣＵ２５から、第３スイッチ５３及び第２スイッチ５２を経由してＥＣＵ２３に至る通信ルートが、ドメイン１に属するＥＣＵ１１〜１３に関係しないため、通信ルートの変更要求を受け付ける。そして、コントローラ５０は、代替ルートを構築して、第２スイッチ５２及び第３スイッチ５３へ代替ルートを指示する。これにより、ＥＣＵ２５は、速度表示を維持することができる。
【００５８】
図９は、外部端末６０が第３スイッチ５３に接続された場合のネットワークシステム５００を示す。
外部端末６０は、例えば、スマートフォン、ノートパッド、ノートパソコンなどのモバイル通信機器である。通常、外部端末６０は、車載オーディオ等の走行安全に関わらない機能を操作するために、ネットワークシステム５００に接続され、ドメイン２に属するＥＣＵとの通信ルートの構築を要求する。
【００５９】
コントローラ５０は、イグニッションオン時において、走行中と停止中のいずれの場合でも、外部端末６０からドメイン２に属するＥＣＵとの通信ルートの構築を要求された場合は要求を受け付け、通信ルートを構築する。
【００６０】
一方、外部端末６０が、ドメイン１に属するＥＣＵに関係する通信ルートの構築を要求する場合、外部端末６０が改ざんされている可能性がある。よって、コントローラ５０は、イグニッションオン時において、走行中と停止中のいずれの場合でも、外部端末６０からドメイン１に属するＥＣＵに関係する通信ルートの構築を要求された場合には、要求を拒否する。すなわち、コントローラ５０は、ドメイン１に属するＥＣＵに関係する通信ルートを構築しない。
【００６１】
また、コントローラ５０は、走行中において、外部に通信で繋がるＥＣＵからの通信ルートの再構築の要求を拒否する。
また、コントローラ５０は、走行中において、外部に通信で繋がるＥＣＵに関係する通信ルートの再構築の要求を拒否する。
【００６２】
また、コントローラ５０は、電源状態がイグニッションオフの場合には、ネットワークシステム５００への新規ＥＣＵの加入を拒否する。さらに、コントローラ５０は、電源状態がイグニッションオフの場合には、ネットワークシステム５００への外部端末６０の加入を拒否する。
【００６３】
＜４．効果＞
以上説明した本実施形態によれば、以下の効果が得られる。
（１）ネットワークシステム５００は、オープンフロープロトコルが用いられているため、ＥＣＵの追加などに柔軟に対応することができる。一方、通常、ＥＣＵの追加などは、イグニッションオン時の停車中に行われ走行中には行われない。よって、走行中における通信ルートの再構築の要求は、停車中における通信ルートの再構築の要求と比べて、悪意のあるＥＣＵからの要求である可能性が高くなる。そのため、コントローラ５０は、走行中において、停止中よりも通信ルートの再構築の制限を多くする。これにより、ネットワークシステム５００の安全性、ひいては車両の安全性を向上させることができる。したがって、柔軟性と安全性を両立したネットワークシステム５００を実現することができる。
【００６４】
（２）走行中において、コントローラ５０が新規ＥＣＵの加入を拒否し、第１〜第３スイッチ５１〜５３が新規ＥＣＵからの通信を破棄することによって、ネットワークシステム５００の安全性を向上させることができる。
【００６５】
（３）ドメイン２に属するＥＣＵ２１〜２５からの通信ルートの再構築の要求は、許可しなくても走行安全に支障が生じることがない。一方、ドメイン１に属するＥＣＵからの通信ルートの再構築の要求は、許可しない場合に走行安全に支障が生じる可能性がある。そこで、ドメイン２に属するＥＣＵ２１〜２５からの通信ルートの再構築の要求に対して、ドメイン１に属するＥＣＵ１１〜１３からの通信ルートの再構築の要求に対してよりも、制限を多くする。これにより、車両の安全性を担保しつつ、利便性を享受することができる。
【００６６】
（４）ドメイン１に属するＥＣＵ１１〜１３に関係する通信ルートの再構築要求は、悪意のあるＥＣＵから出されていた場合に、受け付けると走行安全に支障が生じる可能性がある。一方、ドメイン１に属するＥＣＵ１１〜１３に関係しない通信ルートの再構築要求は、悪意のあるＥＣＵから出されていた場合に、受け付けても走行安全に支障が生じることがない。そこで、ＥＣＵ１１〜１３に関係する通信ルートの再構築の要求に対して、ＥＣＵ１１〜１３に関係しない通信ルートの再構築の要求に対してよりも、制限を多くすることにより、車両の安全性を担保しつつ、利便性を享受することができる。
【００６７】
（５）ドメイン１に属するＥＣＵ１１〜１３関係する通信ルートに障害が発生した場合、ＥＣＵ１１〜１３から通信ルートの再構築の要求が出されれば、通信ルートが再構築される。一方、ドメイン２に属するＥＣＵ２１〜２５からＥＣＵ１１〜１３に関係する通信ルートの再構築の要求が出された場合、悪意のあるＥＣＵが、無関係な通信ルートの再構築を要求している可能性がある。また、再構築の要求を許可することによって、ＥＣＵ１１〜１３の処理が阻害されるおそれがある。よって、走行中において、ＥＣＵ２１〜２５からのＥＣＵ１１〜１３に関係する通信ルートの再構築の要求は拒否される。これにより、車両の安全性を担保することができる。
【００６８】
（６）外部端末６０からのドメイン１に属するＥＣＵ１１〜１３に関係しない通信ルートは構築され、外部端末６０からのＥＣＵ１１〜１３に関係する通信ルートは構築されない。これにより、悪意のない外部端末６０をネットワークシステム５００に接続して利用することができるとともに、悪意のある外部端末６０がネットワークシステム５００に接続した場合に、外部端末６０からの攻撃を防ぐことができる。よって、車両の安全性を担保しつつ、利便性を享受することができる。
【００６９】
（７）外部と通信で繋がるＥＣＵは、外部に通信で繋がらないＥＣＵと比べて、攻撃を受けるリスクが高い。よって、外部と通信で繋がるＥＣＵからの通信ルートの再構築要求に対して、外部と通信で繋がらないＥＣＵからの通信ルートの再構築要求に対してよりも制限を多くする。これにより、ネットワークシステム５００の安全性ひいては車両の安全性を担保しつつ、利便性を享受することができる。
【００７０】
（８）外部と通信で繋がるＥＣＵに関係する通信ルートの再構築要求に対して、外部と通信で繋がるＥＣＵに関係しない通信ルートの再構築要求に対してよりも制限を多くする。これにより、ネットワークシステム５００の安全性ひいては車両の安全性を担保しつつ、利便性を享受することができる。
【００７１】
（９）走行中において、外部と通信で繋がるＥＣＵからの通信ルートの再構築要求を拒否することにより、車両の安全性を向上させることができる。
（１０）走行中において、外部と通信で繋がるＥＣＵに関係する通信ルートの再構築要求を拒否することにより、車両の安全性を向上させることができる。
【００７２】
（１１）ＥＣＵが、コントローラ５０の記憶部に予め記憶されている通信パターンから乖離した通信を行っている場合、そのＥＣＵは改ざんされている可能性が高い。よって、そのＥＣＵからの通信ルートの再構築要求に対しては、通信パターンから乖離していない通信を行っているＥＣＵからの通信ルートの再構築要求に対してよりも制限される。これにより、ネットワークシステム５００の安全性ひいては車両の安全性を担保しつつ、利便性を享受することができる。
【００７３】
（１２）通常、ネットワークシステム５００では、各ＥＣＵは、決まったＥＣＵと決まった通信を行うため、通信量も決まった通信量から大きく異なることはない。よって、記憶されている通信量から乖離する通信量の通信を行っているＥＣＵは、改ざんされている可能性が高い。
【００７４】
（１３）通常、ネットワークシステム５００では、各ＥＣＵは、決まったＥＣＵに決まったメッセージを送信する。よって、記憶されているメッセージと異なるメッセージを送信するＥＣＵは、改ざんされている可能性が高い。
【００７５】
（１４）イグニッションオンの場合には、車両に運転手などが乗車している状態だが、イグニッションオフの場合には、車両は無人の状態である。車両が無人の状態において通信ルートの再構築の要求が出された場合には、車両に運転手などが乗車している状態において通信ルートの再構築の要求が出された場合と比べて、悪意のある攻撃である可能性が高い。よって、イグニッションオフの場合には、イグニッションオンの場合よりも、通信ルートの再構築の要求に対する制限を多くすることにより、ネットワークシステム５００の安全性を担保しつつ、利便性を享受することができる。
【００７６】
（１５）イグニッションオフの場合には、ネットワークシステム５００への新規ＥＣＵ及び外部端末６０の加入が拒否される。これにより、ネットワークシステム５００の安全性を担保しつつ、利便性を享受することができる。
【００７７】
（他の実施形態）
以上、本開示を実施するための形態について説明したが、本開示は上述の実施形態に限定されることなく、種々変形して実施することができる。
【００７８】
（ａ）上記実施形態では、ネットワークシステム５００が、３個の第１〜第３スイッチ５１〜５３を備えているが、４個以上のスイッチを備えていてもよい。また、第１〜第３スイッチ５１〜５３のそれぞれと第１〜第３制御装置群とは、ＣＡＮ通信線で接続してもよいし、Ethernet通信線で接続してもよい。
【００７９】
（ｂ）上記実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしてもよい。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしてもよい。また、上記実施形態の構成の一部を省略してもよい。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加又は置換してもよい。
【符号の説明】
【００８０】
１１〜１３，２１〜２５…ＥＣＵ、５０…コントローラ、５１…第１スイッチ、５２…第２スイッチ、５３…第３スイッチ、６０…外部端末、７０…フローコントロール用通信線、８０…Ethernet通信線、１００…ＣＡＮ通信線、２００，３００…Ethernet通信線、５００…車載ネットワークシステム。
【図１】
2020088717.tif 000003
【図２】
2020088717.tif 000004
【図３】
2020088717.tif 000005
【図４】
2020088717.tif 000006
【図５】
2020088717.tif 000007
【図６】
2020088717.tif 000008
【図７】
2020088717.tif 000009
【図８】
2020088717.tif 000010
【図９】
2020088717.tif 000011
【図１０】
2020088717.tif 000012