(57)【要約】【課題】メッセージ通信のセキュリティ性を確保しつつ高速メッセージについては中継時間を短縮できる中継装置を提供する。【解決手段】車外機器から受信したメッセージが所定時間内に車内機器への送信が要求されるデータを含む高速メッセージであるか否かを判断し、判断結果に基づいて受信メッセージを所定の経路で転送する第１判断部と、メッセージを取得して不正メッセージであるか否かを判断する第２判断部と、メッセージを取得して少なくとも車内機器へ中継可能な中継処理部とを備え、高速メッセージは、第１判断部から第２判断部を経由せずに中継処理部に至る第１経路を通じて、中継処理部から第２判断部及び車内機器に出力され、通常メッセージは、第１判断部から第２判断部を経由して中継処理部に至る第２経路を通じて、中継処理部から車内機器に出力される。【選択図】図１
2020088732.tif 000002
【特許請求の範囲】
【請求項１】
車内ネットワークに接続された中継装置であって、
車外機器からメッセージを受信し、当該受信したメッセージが所定の時間以内に前記車内ネットワークに接続された車内機器への送信が要求されるデータを含む高速メッセージであるか否かを判断し、判断結果に基づいて受信したメッセージを所定の経路で送出する第１判断部と、
取得したメッセージが不正に侵入した不正メッセージであるか否かを判断する第２判断部と、
取得したメッセージを少なくとも前記車内機器へ中継可能な中継処理部と、を備え、
前記第１判断部が、受信したメッセージを高速メッセージであると判断した場合、前記第１判断部から前記第２判断部を経由せずに前記中継処理部に至る第１経路を通じて高速メッセージを前記中継処理部に送出し、前記中継処理部は、前記第１経路から取得した高速メッセージを前記第２判断部及び前記車内機器に出力し、
前記第１判断部が、受信したメッセージを高速メッセージ以外の通常メッセージと判断した場合、前記第１判断部から前記第２判断部を経由して前記中継処理部に至る第２経路を通じて通常メッセージを前記中継処理部に送出し、前記中継処理部は、前記第２経路から取得した通常メッセージを前記車内機器に出力する、
中継装置。
【請求項２】
前記第２経路には、
前記通常メッセージを一時的に保存する保存部と、
前記通常メッセージを取得し、当該取得した通常メッセージが所定の条件を満足する正規メッセージであるか否かを判断する第３判断部と、が設けられ、
前記第２経路に出力された前記通常メッセージは、前記保存部が保存し、第３判断部が所定のタイミングで前記保存部からメッセージを読み出し、読み出した前記通常メッセージが正規メッセージであれば前記通常メッセージを前記第２判断部に出力する、
請求項１に記載の中継装置。
【請求項３】
前記中継処理部は、前記第２判断部が前記第１経路に出力された前記高速メッセージが前記不正メッセージであると判断した場合、前記高速メッセージに対する応答として前記車内機器から受信する応答メッセージを破棄する、
請求項１に記載の中継装置。
【請求項４】
前記第３判断部は、前記第２判断部が前記第２経路に出力された前記通常メッセージが前記不正メッセージであると判断した場合、前記通常メッセージを破棄する、
請求項２に記載の中継装置。
【請求項５】
前記第２判断部は、前記高速メッセージ及び前記通常メッセージが前記不正メッセージであると判断した場合、その旨を前記第１監視部に通知する、
請求項１乃至４のいずれかに記載の中継装置。
【請求項６】
前記車内機器から前記中継処理部が受信したメッセージが前記高速メッセージであるか否かを判断する第４判断部をさらに備え、
前記第４判断部が、前記中継処理部が前記車内機器から受信したメッセージが前記高速メッセージであると判断した場合、前記中継処理部が、前記高速メッセージを複製して前記第２判断部及び前記車内機器に出力することで、メッセージの不正侵入検知処理と中継処理とが並行して行われ、
前記第４判断部が、前記中継処理部が前記車内機器から受信したメッセージが前記通常メッセージであると判断した場合、前記通常メッセージは、前記第２判断部が取得し、前記第２判断部が、取得した前記通常メッセージが不正メッセージでなければ前記通常メッセージを前記中継処理部に出力し、前記中継処理部が、前記第２判断部から取得した前記通常メッセージを宛先の車内機器に出力することでメッセージの中継処理を行う、
請求項１乃至５のいずれかに記載の中継装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車内ネットワークに接続された中継装置に関する。
【背景技術】
【０００２】
車内ネットワーク間（ＣＡＮバス１とＣＡＮバス２）でメッセージを中継するゲートウェイＥＣＵが、特許文献１に開示されている。この特許文献１に記載のゲートウェイＥＣＵは、受信するメッセージの正常性を確認し、正常性が確認されたメッセージのみを中継することにより、車内ネットワークの負荷上昇を抑制している。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００７−０３８９０４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、特許文献１に記載されているようなメッセージの正常性を確認するには時間がかかるため、出来るだけ少ない遅延時間で中継が要求される高速メッセージに対しては、中継処理の方法を改善する余地がある。
【０００５】
本発明は、上記課題を鑑みてなされたものであり、メッセージ通信におけるセキュリティ性を確保しつつ、高速メッセージについては中継にかかる時間を短縮することができる中継装置を提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記課題を解決するために、本発明の一態様は、車内ネットワークに接続された中継装置であって、車外機器からメッセージを受信し、受信したメッセージが所定の時間以内に車内ネットワークに接続された車内機器への送信が要求されるデータを含む高速メッセージであるか否かを判断し、判断結果に基づいて受信したメッセージを所定の経路で送出する第１判断部と、取得したメッセージが不正に侵入した不正メッセージであるか否かを判断する第２判断部と、取得したメッセージを少なくとも車内機器へ中継可能な中継処理部と、を備え、第１判断部が、受信したメッセージを高速メッセージであると判断した場合、第１判断部から第２判断部を経由せずに中継処理部に至る第１経路を通じて高速メッセージを中継処理部に送出し、中継処理部は、第１経路から取得した高速メッセージを第２判断部及び車内機器に出力し、第１判断部が、受信したメッセージを高速メッセージ以外の通常メッセージと判断した場合、第１判断部から第２判断部を経由して中継処理部に至る第２経路を通じて通常メッセージを中継処理部に送出し、中継処理部は、第２経路から取得した通常メッセージを車内機器に出力する。
【発明の効果】
【０００７】
上記本発明の中継装置によれば、メッセージ通信におけるセキュリティ性を確保しつつ、高速メッセージについては中継にかかる時間を短縮することができる。
【図面の簡単な説明】
【０００８】
【図１】本実施形態に係る中継装置を適用した車載通信システムの概略構成例を示す図
【図２】中継装置が入出力装置から受信する車外メッセージを判定する処理のシーケンス
【図３】中継装置が高速メッセージをＥＣＵに中継する処理のシーケンス
【図４】中継装置が通常メッセージをＥＣＵに中継する処理のシーケンス
【図５】中継装置が実行する車外メッセージの高速メッセージ判定処理のフローチャート
【図６】高速メッセージテーブルの一例
【図７】中継装置が高速メッセージを中継する処理のフローチャート
【図８】中継装置が任意のＥＣＵから受信する車内メッセージを別のＥＣＵに中継する処理のフローチャート
【図９】中継装置が車外機器から更新プログラムを受信する処理のフローチャート
【図１０】本実施形態の変形例１に係る中継装置を適用した車載通信システムの概略構成例を示す図
【図１１】本実施形態の変形例２に係る中継装置を適用した車載通信システムの概略構成例を示す図
【発明を実施するための形態】
【０００９】
＜実施形態＞
本発明の中継装置は、ファイアウォールが受信した正規メッセージが高速メッセージであるか否かを確認する構成と高速メッセージを複製する構成とを設ける。正規メッセージが高速メッセージである場合には、高速メッセージを複製し、一方を車内ネットワークに中継すると同時に他方を不正侵入の有無を判断に使用する。正規メッセージが通常メッセージである場合には、まず不正侵入の有無を判断し、その後不正侵入で無ければ通常メッセージを車内ネットワークに中継する。これにより、メッセージ通信におけるセキュリティ性を確保しつつ、高速メッセージについては中継にかかる時間を短縮できる。
【００１０】
［構成］
図１は、本発明の一実施形態に係る中継装置２０を適用した車載通信システム１の概略構成を示す図である。図１に例示した車載通信システム１は、中継装置２０、中継装置２０と有線などで通信可能に接続される入出力装置１０、及び中継装置２０と車内ネットワークで通信可能に接続される複数のＥＣＵ３０、を備えている。
【００１１】
入出力装置１０としては、情報管理センターやスマートフォンなどのモバイル機器などの車外機器と無線通信（４Ｇ、Ｗｉ−Ｆｉなど）で接続されるデータ通信モジュール（ＤＣＭ：Data Communication Module）１１や、車両診断などを行うサービスツール１２を例示できる。車外機器と接続されたデータ通信モジュール１１やサービスツール１２は、ＥＣＵ３０に対して各種情報の収集や操作のための要求を送信する。
【００１２】
中継装置２０は、車外機器と車内機器であるＥＣＵ３０との間で通信されるメッセージを中継し、また複数のＥＣＵ３０の間で通信されるメッセージを中継する。中継装置２０は、例えばセントラルゲートウェイ（ＣＧＷ）ＥＣＵである。中継装置２０は、第１判断部であるファイアウォール２１及び高速メッセージ（高速Ｍｓｇ）確認部２２と、保存部２３と、第３判断部であるファイアウォール２４と、第２判断部である不正侵入検知部２５と、中継処理部である中継部２６及び高速メッセージ（高速Ｍｓｇ）複製部２７と、を含む。
【００１３】
ファイアウォール２１は、車外機器に接続され、入出力装置１０から中継装置２０が受信するメッセージを監視し、所定の第１条件に基づいて受信メッセージが正規メッセージであるか否かを判断する。このファイアウォール２１では、メッセージのヘッダ情報を確認して、中継装置２０に宛てられた正規メッセージであるか否かを判断する。第１条件は、例えば中継装置２０の宛先を示す情報とすることができる。ファイアウォール２１は、入出力装置１０から受信したメッセージが正規メッセージであることを判断すると、この正規メッセージが高速メッセージであるか否かの判定を高速メッセージ確認部２２に要求する。そして、ファイアウォール２１は、高速メッセージ確認部２２の判定結果に基づいて、受信したメッセージを所定の経路で送出する。具体的には、ファイアウォール２１は、正規メッセージが高速メッセージである場合は、メッセージを高速メッセージ複製部２７に出力し（第１経路）、正規メッセージが通常メッセージである場合はメッセージを保存部２３に出力する（第２経路）。
【００１４】
なお、サービスツール１２からは、中継装置２０に宛てられた正規メッセージしか出力されず、不正なメッセージを受信するおそれがなければ、ファイアウォール２１をデータ通信モジュール１１内に設けてもよい。
【００１５】
高速メッセージ確認部２２は、ファイアウォール２１からの要求を受け付けて、正規メッセージが、所定の時間以内にＥＣＵ３０への送信が要求されるデータを含む高速メッセージであるか又は高速メッセージ以外の通常メッセージであるか、を判定する。所定の時間以内にＥＣＵ３０への送信が要求されるデータとしては、ＯＢＤ（On-Board Diagnostics）法規などで通信応答遅延時間（通信要求してから応答受信までに許容される時間）が規定されているデータを例示できる。所定の時間は、通信応答遅延時間やＥＣＵ３０の処理時間などに基づいて設定することができる。ここで、セキュリティの観点から、ＯＢＤ法規などで通信応答遅延時間を考慮すべき高速メッセージのうち、万一メッセージが悪用されたとしても車両の安全性に影響が及ばない機能に関する高速メッセージを対象とすることが望ましい。
【００１６】
高速メッセージ確認部２２は、例えば高速メッセージとして判定するための情報を記述したテーブル（以下「高速メッセージテーブル」という）を使用して、ファイアウォール２１が判断した正規メッセージが、高速メッセージであるか通常メッセージであるかを判定することが可能である。なお、高速メッセージテーブルについては後述する。高速メッセージ確認部２２は、正規メッセージの判定結果をファイアウォール２１に返信する。なお、図１では、高速メッセージ確認部２２が、ファイアウォール２１内に設けられている例を記載しているが、ファイアウォール２１外に設けられていてもよい。
【００１７】
保存部２３は、ファイアウォール２１の後段に設けられ（第２経路）、ファイアウォール２１で判断された正規メッセージのうち、高速メッセージ確認部２２において通常メッセージであると判定されたメッセージのみを一時的に保存する。この保存部２３は、ＤＭＺ（DeMilitarized Zone）として機能する。
【００１８】
ファイアウォール２４は、保存部２３の後段に設けられ（第２経路）、所定のタイミングで保存部２３に保存されている通常メッセージを読み出して、所定の第３条件に基づいて通常メッセージが正規メッセージであるか否かを判断する。このファイアウォール２４では、メッセージに含まれるデータ内容を確認して、ＥＣＵ３０に必要な正しいデータであるか否かを判断する。第３条件は、例えばデータに付与されているデジタル署名を検証するための情報とすることができる。保存部２３に保存されているメッセージを読み出すタイミングは、保存部２３にメッセージが保存された直後でもよいし、中継部２６又はＥＣＵ３０から要求が発生したときでもよい。
【００１９】
不正侵入検知部２５は、中継部２６から高速メッセージを取得し、及び不正侵入検知部２５から通常メッセージを取得して、取得したメッセージが中継装置２０に不正に侵入した不正メッセージであるか否かを所定の第２条件に基づいて判断する。この不正侵入検知部２５では、中継装置２０が受信したメッセージが予め定められたメッセージルールから逸脱していることを検知することによって、受信したメッセージが不正メッセージであると判断する。第２条件は、例えば、一定の周期で受信するはずのメッセージを周期よりも早い（遅い）タイミングで受信したことや、決まった順序で送信されてくるはずのメッセージを異なる順番で受信したことや、複数のメッセージとの相関関係のずれが大きいメッセージを検知したこと、とすることができる。検知した不正メッセージについては、ログが保存される。
【００２０】
高速メッセージ複製部２７は、ファイアウォール２１から高速メッセージを取得して、その高速メッセージを複製する。なお、図１では、高速メッセージ複製部２７が、中継部２６内に設けられている例を記載しているが、中継部２６外に設けられていてもよい。
【００２１】
なお、高速メッセージ複製部２７は、上記高速メッセージ確認部２２と同様に、高速メッセージを判定するための情報を記述した高速メッセージテーブルを保持していてもよい。高速メッセージ確認部２２と同じテーブルを高速メッセージ複製部２７にも持たせておくことで、例えばファイアウォール２１に不正なアクセスがあり高速メッセージ確認部２２が保持する高速メッセージテーブルが改ざんされたとしても、高速メッセージ複製部２７が保持する高速メッセージテーブルでファイアウォール２１で判断された正規メッセージが高速メッセージであるか通常メッセージであるかを判定することができる。
【００２２】
中継部２６は、高速メッセージ複製部２７が複製した高速メッセージをＥＣＵ３０及び不正侵入検知部２５に並列に送信したり、不正侵入検知部２５から取得する通常メッセージをＥＣＵ３０に送信したり、ＥＣＵ３０から受信するメッセージ（高速及び通常）を車内ネットワークの他のＥＣＵ３０や入出力装置１０を介して車外機器に送信したりすることで、メッセージを中継する。
【００２３】
複数のＥＣＵ（Electronic Control Unit）３０は、車両に搭載される各種のアクチュエーターを制御する電子制御装置である。これら複数のＥＣＵ３０は、車内ネットワークを介した通信を使用して、複数のアクチュエーターを協調的に動作させることができる。
【００２４】
［制御］
次に、図２乃至図７をさらに参照して、本実施形態に係る中継装置２０が実行する制御を順に説明する。図２は、中継装置２０が入出力装置１０から受信する車外メッセージを判定する処理のシーケンスである。図３は、中継装置２０が高速メッセージをＥＣＵ３０に中継する処理のシーケンスである。図４は、中継装置２０が通常メッセージをＥＣＵ３０に中継する処理のシーケンスである。図５は、中継装置２０が実行する車外メッセージの高速メッセージ判定処理のフローチャートである。図６は、高速メッセージテーブルの一例である。図７は、中継装置２０が高速メッセージを中継する処理のフローチャートである。
【００２５】
（１）車外メッセージの判定処理
図２を参照して、車外機器とＥＣＵ３０との間で通信される車外メッセージの判定処理を説明する。図２に示す処理シーケンスは、中継装置２０が入出力装置１０からメッセージを受信することによって開始される。
【００２６】
ステップＳ２０１：入出力装置１０は、車外機器から受信したメッセージ（Ｍｓｇ）をファイアウォール２１に送信する。
ステップＳ２０２：ファイアウォール２１は、入出力装置１０から送信されたメッセージが正規メッセージ（正規Ｍｓｇ）であることを判断する。メッセージが正規メッセージでない場合は、本シーケンスは終了する。
ステップＳ２０３：ファイアウォール２１は、正規メッセージが高速メッセージ（高速Ｍｓｇ）であるか否かの判定を高速メッセージ確認部２２に要求する。
ステップＳ２０４：高速メッセージ確認部２２は、ファイアウォール２１からの要求に応じて、高速メッセージ判定処理（図５）を行う。
ステップＳ２０５：高速メッセージ確認部２２は、高速メッセージ判定処理（図５）の結果をファイアウォール２１に返信する。
【００２７】
中継装置２０は、ファイアウォール２１が受信した判定結果に基づいて、正規メッセージが高速メッセージであると判定された場合は高速メッセージの中継処理（図３）を実行し、正規メッセージが通常メッセージであると判定された場合は通常メッセージの中継処理（図４）を実行する。
【００２８】
（２）高速メッセージの中継処理
図３を参照して、高速メッセージ確認部２２において判定された高速メッセージの第１経路を用いた中継処理を説明する。
【００２９】
ステップＳ３０１：ファイアウォール２１は、高速メッセージ（高速Ｍｓｇ）を高速メッセージ複製部２７に送信する。
ステップＳ３０２：高速メッセージ複製部２７は、ファイアウォール２１から取得した高速メッセージを複製する。
ステップＳ３０３：高速メッセージ複製部２７は、複製した高速メッセージの一方を中継部２６に送信する。中継部２６は、高速メッセージ複製部２７から取得した高速メッセージをＥＣＵ３０に送信する。
ステップＳ３０４：高速メッセージ複製部２７は、複製した高速メッセージの他方の高速メッセージを不正侵入検知部２５に送信し、不正侵入の確認を要求する。この要求は、上記ステップＳ３０３の処理による中継通信とは独立して（非同期）で行われる。
ステップＳ３０５：不正侵入検知部２５は、高速メッセージ複製部２７からの要求に基づいて高速メッセージを取得し、取得した高速メッセージが不正メッセージであるか否かを判断することによって不正侵入を検知する。
【００３０】
このステップＳ３０１〜Ｓ３０５の処理によれば、高速メッセージを複製して、高速メッセージのＥＣＵ３０への中継処理と、高速メッセージによる不正侵入検知処理とを、並行して実施することで、高速メッセージの中継遅延時間が大きくなることを防止することができる。
【００３１】
ステップＳ３０６：高速メッセージが不正メッセージではないと判断した場合、不正侵入検知部２５は、不正侵入が無い旨の検知結果を中継部２６に送信する。
ステップＳ３０７：中継部２６は、ＥＣＵ３０から高速メッセージに対する応答メッセージ（応答Ｍｓｇ）を受信する。
ステップＳ３０８：中継部２６は、不正侵入検知部２５に対して、ＥＣＵ３０から受信した応答メッセージを用いて不正侵入の確認を要求する。この要求は、上記ステップＳ３０７の処理に応じて（同期）で行われる。
ステップＳ３０９：不正侵入検知部２５は、中継部２６からの要求に基づいて、応答メッセージが不正メッセージであるか否かを判断することによって不正侵入を検知する。
ステップＳ３１０：不正侵入検知部２５は、応答メッセージが不正メッセージではないので、不正侵入が無い旨の検知結果を中継部２６に送信する。なお、応答メッセージが不正メッセージである場合には、後述するステップＳ３１３以降の処理が行われる。
ステップＳ３１１：中継部２６は、ＥＣＵ３０から受信した応答メッセージをファイアウォール２１に中継する。
ステップＳ３１２：ファイアウォール２１は、中継部２６から取得した応答メッセージを入出力装置１０に送信する。
【００３２】
このステップＳ３０６〜Ｓ３１２の処理によれば、車内ネットワークへ中継した高速メッセージが不正メッセージでなければ、中継処理を優先して行った高速メッセージからの応答メッセージを少ない遅延時間で入出力装置１０に出力することができる。
【００３３】
ステップＳ３１３：高速メッセージが不正メッセージであると判断した場合、不正侵入検知部２５は、不正侵入が有る旨の検知結果を中継部２６に送信する。
ステップＳ３１４：不正侵入検知部２５は、不正メッセージが車内ネットワークに中継された旨のログを保存する。
ステップＳ３１５：不正侵入検知部２５は、不正メッセージに対するセキュリティを強化させるため、高速メッセージの情報をファイアウォール２１に通知する。ファイアウォール２１では、不正侵入検知部２５から通知を受けて、例えば該当する高速メッセージを恒久的に又は一定期間だけ受け入れないようにしてもよい。
ステップＳ３１６：ファイアウォール２１は、不正メッセージの情報を車外機器である情報管理センターなどに提供すべく、高速メッセージの情報を入出力装置１０に送信する。
ステップＳ３１７：中継部２６は、ＥＣＵ３０から高速メッセージに対する応答メッセージを受信する。
ステップＳ３１８：中継部２６は、不正侵入検知部２５からの結果に応じて、ＥＣＵ３０から受信した応答メッセージを破棄する。対処の方法としては、応答メッセージを破棄する他に応答メッセージの中継を中止してもよい。
【００３４】
このステップＳ３１３〜Ｓ３１８の処理によれば、車内ネットワークへ中継した高速メッセージが不正メッセージであると判明した場合、ファイアウォール２１において新たな不正メッセージの侵入を防いだり、不正メッセージから生成された応答メッセージを破棄したりすることで、被害の拡大を防止することができる。
【００３５】
（３）通常メッセージの中継処理
図４を参照して、高速メッセージ確認部２２において判定された通常メッセージの第２経路を用いた中継処理を説明する。
【００３６】
ステップＳ４０１：ファイアウォール２１は、通常メッセージ（通常Ｍｓｇ）のデータを保存部２３に保存する。
ステップＳ４０２：ファイアウォール２１は、通常メッセージが保存されたことをファイアウォール２４に通知する。
ステップＳ４０３：ファイアウォール２４は、ファイアウォール２１からの通知を受けて保存部２３に保存されている通常メッセージのデータを読み出して取得する。
ステップＳ４０４：ファイアウォール２４は、データに基づいて通常メッセージが正規メッセージ（正規Ｍｓｇ）であることを判断する。通常メッセージが正規メッセージでない場合は、本シーケンスは終了する。
ステップＳ４０５：ファイアウォール２４は、通常メッセージを不正侵入検知部２５に送信して、不正侵入の確認を要求する。この要求は、上記ステップＳ４０４の処理に応じて（同期）で行われる。
ステップＳ４０６：不正侵入検知部２５は、ファイアウォール２４からの要求に基づいて通常メッセージを取得し、取得した通常メッセージが不正メッセージであるか否かを判断することによって不正侵入を検知する。
【００３７】
このステップＳ４０１〜Ｓ４０６の処理によれば、通常メッセージに関しては、車内ネットワークへ中継する前に不正侵入の確認を実施することで、セキュリティを優先させることができる。
【００３８】
ステップＳ４０７：通常メッセージが不正メッセージではないと判断した場合、不正侵入検知部２５は、不正侵入が無い旨の検知結果をファイアウォール２４に送信する。
ステップＳ４０８：ファイアウォール２４は、通常メッセージを中継部２６に送信し、中継を要求する。
ステップＳ４０９：中継部２６は、ファイアウォール２４から取得した通常メッセージをＥＣＵ３０に送信する。
ステップＳ４１０：中継部２６は、ＥＣＵ３０から通常メッセージに対する応答メッセージ（応答Ｍｓｇ）を受信する。
ステップＳ４１１：中継部２６は、ＥＣＵ３０から受信した応答メッセージを不正侵入検知部２５に送信して、不正侵入の確認を要求する。この要求は、上記ステップＳ４１０の処理に応じて（同期）で行われる。
ステップＳ４１２：不正侵入検知部２５は、中継部２６からの要求に基づいて応答メッセージを取得し、取得した応答メッセージが不正メッセージであるか否かを判断することによって不正侵入を検知する。
ステップＳ４１３：不正侵入検知部２５は、応答メッセージが不正メッセージではないので、不正侵入が無い旨の検知結果を中継部２６に送信する。なお、応答メッセージが不正メッセージであると判断した場合には、上述したステップＳ３１８の処理が行われる。
ステップＳ４１４：中継部２６は、ＥＣＵ３０から受信した応答メッセージをファイアウォール２１に中継する。
ステップＳ４１５：ファイアウォール２１は、中継部２６から取得した応答メッセージを入出力装置１０に送信する。
【００３９】
このステップＳ４０７〜Ｓ４１５の処理によれば、中継装置２０が受信した通常メッセージが不正メッセージでないことを確認してから、通常メッセージをＥＣＵ３０に中継することができるので、セキュリティ性が高くなる。
【００４０】
ステップＳ４１６：通常メッセージが不正メッセージであると判断した場合、不正侵入検知部２５は、不正侵入が有る旨の検知結果をファイアウォール２４に送信する。
ステップＳ４１７：不正侵入検知部２５は、不正メッセージが中継装置２０によって受信された旨のログを保存する。
ステップＳ４１８：ファイアウォール２４は、不正侵入検知部２５からの結果に応じて、保存部２３から読み出して取得した通常メッセージのデータを破棄する。
ステップＳ４１９：不正侵入検知部２５は、不正メッセージに対するセキュリティを強化させるため、通常メッセージの情報をファイアウォール２１に通知する。ファイアウォール２１では、不正侵入検知部２５から通知を受けて、例えば該当する通常メッセージを恒久的に又は一定期間だけ受け入れないようにしてもよい。
ステップＳ４２０：ファイアウォール２１は、不正メッセージの情報を車外機器である情報管理センターなどに提供すべく、通常メッセージの情報を入出力装置１０に送信する。
【００４１】
このステップＳ４１６〜Ｓ４２０の処理によれば、中継装置２０が受信した通常メッセージが不正メッセージであると判明した場合、ファイアウォール２１において新たな不正メッセージの侵入を防いだり、不正メッセージのデータを破棄したりすることで、被害の拡大を防止することができる。
【００４２】
（４）高速メッセージの判定処理
図５及び図６を参照して、高速メッセージ確認部２２が実行する高速メッセージの判定処理を説明する。図５に示す処理フローは、高速メッセージ確認部２２が、ファイアウォール２１から正規メッセージが高速メッセージであるか否かの判定要求を受け付けると開始される。
【００４３】
ステップＳ５０１：高速メッセージ確認部２２は、高速メッセージテーブル（高速Ｍｓｇテーブル）を読み出す。高速メッセージテーブルが読み出されると、ステップＳ５０２に処理が進む。
【００４４】
図６に、高速メッセージテーブルの一例を示す。図６の例では、正規メッセージが高速メッセージであるか否かを判別するための情報として、メッセージに使用されるプロトコル、識別ＩＤ、及び識別値の情報を組とした複数のレコードが登録されている。第２レコードと第３レコードのように、同一のプロトコルで複数の識別ＩＤを指定してもよい。登録するレコードをＯＢＤ法規で通信応答遅延時間が規定されているデータを含むメッセージなど、必要最小限に留めておくことで、高速メッセージテーブルを記憶するメモリのサイズを縮小できる。例えば、高速メッセージであることを示す専用ＩＤを予め規定しておき、外部機器やＥＣＵ３０などが高速メッセージを送信する際にはメッセージの所定のフィールドにこの専用ＩＤを格納するようにルール化しておけば、高速メッセージテーブルには専用ＩＤを登録するだけで済む。このような高速メッセージテーブルを用いることで、プロトコルに依存することなく高速メッセージを判定することができる。高速メッセージテーブルは、改ざんができないセキュア領域に保存しておくことが望ましい。
【００４５】
ステップＳ５０２：高速メッセージ確認部２２は、高速メッセージテーブルに登録されている複数のレコードの中から１つのレコードを選択する。レコードが選択されると、ステップＳ５０３に処理が進む。
【００４６】
ステップＳ５０３：高速メッセージ確認部２２は、正規メッセージのプロトコルが選択したレコードのプロトコルと同じがか否かを判断する。双方のプロトコルが同じである場合は（Ｓ５０３、はい）、ステップＳ５０４に処理が進み、双方のプロトコルが同じでない場合（Ｓ５０３、いいえ）、ステップＳ５０２に処理が進む。
【００４７】
ステップＳ５０４：高速メッセージ確認部２２は、正規メッセージの識別ＩＤ及び識別値が選択したレコードの識別ＩＤ及び識別値と同じか否かを判断する。双方の識別ＩＤ及び識別値が同じである場合は（Ｓ５０４、はい）、ステップＳ５０６に処理が進み、双方の識別ＩＤ及び識別値が同じでない場合（Ｓ５０３、いいえ）、ステップＳ５０２に処理が進む。
【００４８】
上記ステップＳ５０２〜Ｓ５０４の処理は、高速メッセージテーブルに登録されている複数のレコードについて所定の順に実施され、正規メッセージと同じ情報のレコードが存在した時点で終了する。高速メッセージテーブルに登録されている全てのレコードについて実施した結果、正規メッセージと同じ情報のレコードが存在しなければ、ステップＳ５０５に処理が進む。
【００４９】
ステップＳ５０５：高速メッセージ確認部２２は、正規メッセージが通常メッセージであると判定し、本処理を終了する。
【００５０】
ステップＳ５０６：高速メッセージ確認部２２は、正規メッセージが高速メッセージであると判定し、本処理を終了する。
【００５１】
（５）高速メッセージの複製処理
図７を参照して、ファイアウォール２４、不正侵入検知部２５、中継部２６、及び高速メッセージ複製部２７が実行する高速メッセージの複製処理を説明する。図７に示す処理フローは、高速メッセージ複製部２７が、ファイアウォール２１から高速メッセージを受信すると開始される。
【００５２】
ステップＳ７０１：高速メッセージ複製部２７は、ファイアウォール２１から取得した高速メッセージ（高速Ｍｓｇ）が、高速メッセージテーブル（高速Ｍｓｇテーブル）に登録されているか否かを判断する。この判断は、上述したように高速メッセージ確認部２２の高速メッセージテーブルが万一改ざんされた場合でも、ファイアウォール２１で判断された正規メッセージが高速メッセージであるか否かを正しく判断することができるようにするものである。判断は、上述した図５のステップＳ５０１〜Ｓ５０６の処理に基づいて行われる。高速メッセージテーブルに登録されている場合は（Ｓ７０１、はい）、ステップＳ７０２に処理が進み、高速メッセージテーブルに登録されていない場合は（Ｓ７０１、いいえ）、ステップＳ７０６に処理が進む。
【００５３】
ステップＳ７０２：高速メッセージ複製部２７は、高速メッセージを複製する。複製が完了すると、ステップＳ７０３に処理が進む。
【００５４】
ステップＳ７０３：中継部２６は、ファイアウォール２１から取得した高速メッセージ及び高速メッセージ複製部２７が複製した高速メッセージのいずれか一方の高速メッセージを車内ネットワークを介してＥＣＵ３０に中継する。高速メッセージの中継が完了すると、ステップＳ７０４に処理が進む。
【００５５】
ステップＳ７０４：不正侵入検知部２５は、ファイアウォール２１から取得した高速メッセージ及び高速メッセージ複製部２７が複製した高速メッセージのいずれか他方の高速メッセージを用いて、不正侵入の有無を判断する処理を行う。具体的には、高速メッセージが不正メッセージに該当するか否かを判断する処理が行われる。不正侵入の有無の判断処理が完了すると、ステップＳ７０５に処理が進む。
【００５６】
ステップＳ７０５：不正侵入検知部２５は、高速メッセージが不正メッセージであるか否かによって、不正侵入が有ったか無かったかを判断する。不正侵入が有った場合は（Ｓ７０５、いいえ）、ステップＳ７０６に処理が進み、不正侵入が無かった場合は（Ｓ７０５、はい）、本処理が終了する。
【００５７】
ステップＳ７０６：不正侵入検知部２５は、不正メッセージが車内ネットワークに中継されたとのログを保存する。
【００５８】
ステップＳ７０７：不正侵入検知部２５は、不正メッセージに対するセキュリティを強化させるため、高速メッセージの情報を外部機器である情報管理センターなどに通知する。
【００５９】
ステップＳ７０８：ファイアウォール２４は、不正侵入検知部２５からの結果に応じて、保存部２３から読み出して取得した通常メッセージのデータを破棄する。これにより、本処理が終了する。
【００６０】
＜応用例１＞
図８を参照して、ＥＣＵ３０間で通信される車内メッセージの判定処理を説明する。図８は、中継装置２０が任意のＥＣＵ３０から受信する車内メッセージを別のＥＣＵ３０に中継する処理のフローチャートである。
【００６１】
車内メッセージの判定処理を実施するにあたって、図１に示した中継装置２０の構成において、中継部２６に高速メッセージ確認部２８が新たに追加される（図面は省略する）。この高速メッセージ確認部２８は、上述した高速メッセージ確認部２２と機能は同じである。図８に示す処理シーケンスは、中継装置２０がＥＣＵ３０からメッセージを受信することによって開始される。
【００６２】
ステップＳ８０１：ＥＣＵ（送信）３０は、メッセージ（Ｍｓｇ）を中継部２６に送信する。
ステップＳ８０２：中継部２６は、ＥＣＵ（送信）３０から送信されたメッセージが高速メッセージ（高速Ｍｓｇ）であるか否かの判定を、高速メッセージ確認部２８に要求する。
ステップＳ８０３：高速メッセージ確認部２８は、中継部２６からの要求に応じて、高速メッセージ判定処理（図５）を行う。
ステップＳ８０４：高速メッセージ確認部２８は、高速メッセージ判定処理（図５）の結果を中継部２６に返信する。
【００６３】
ステップＳ８０５：高速メッセージであると判定された場合、中継部２６は、高速メッセージを高速メッセージ複製部２７に送信する。
ステップＳ８０６：高速メッセージ複製部２７は、中継部２６から取得した高速メッセージを複製する。
ステップＳ８０７：高速メッセージ複製部２７は、中継部２６から取得した高速メッセージ及び自らが複製した高速メッセージのいずれか一方の高速メッセージを中継部２６に送信する。中継部２６は、高速メッセージ複製部２７から取得した高速メッセージをＥＣＵ（受信）３０に送信する。
ステップＳ８０８：高速メッセージ複製部２７は、中継部２６から取得した高速メッセージ及び自らが複製した高速メッセージのいずれか他方の高速メッセージを不正侵入検知部２５に送信し、不正侵入の確認を要求する。以降の不正侵入有無の確認処理は、図３に準じて実施される。
【００６４】
ステップＳ８０９：通常メッセージであると判定された場合、中継部２６は、通常メッセージを不正侵入検知部２５に送信して、不正侵入の確認を要求する。以降の不正侵入有無の確認処理は、図４に準じて実施される。
ステップＳ８１０：不正侵入検知部２５は、通常メッセージが不正メッセージではないと判断した場合、不正侵入が無い旨の検知結果を中継部２６に送信する。
ステップＳ８１１：中継部２６は、検知結果に応じて通常メッセージをＥＣＵ（受信）３０に送信する。
【００６５】
この応用例１のステップＳ８０１〜Ｓ８１１の処理によれば、車内ネットワークに接続された任意のＥＣＵ（送信）３０から別のＥＣＵ（受信）３０へ向けたメッセージ通信に関しても、実施形態で説明した車外機器から車内ネットワークに接続されたＥＣＵ３０へ向けたメッセージ通信と同様に、中継装置２０は、メッセージの中継処理を実行することができる。
【００６６】
＜応用例２＞
図９を参照して、不正侵入検知部２５において高速メッセージの不正侵入が有ると判断された場合に、外部機器から中継部２６の高速メッセージ複製部２７及び高速メッセージ確認部２８のプログラムを更新するＯＴＡリプロ処理を説明する。図９は、中継装置２０が車外機器から更新プログラムを受信する処理のフローチャートである。
【００６７】
ステップＳ９０１：ファイアウォール２１は、入出力装置１０又はＥＣＵ３０から入力し高速メッセージ確認部２２で確認した高速メッセージ（高速Ｍｓｇ）を、高速メッセージ複製部２７に送信する。
ステップＳ９０２：高速メッセージ複製部２７は、ファイアウォール２１から取得した高速メッセージを複製する。
ステップＳ９０３：高速メッセージ複製部２７は、ファイアウォール２１から取得した高速メッセージ及び自らが複製した高速メッセージのいずれか一方のを中継部２６に送信する。中継部２６は、高速メッセージ複製部２７から取得した高速メッセージをＥＣＵ３０に送信する。
ステップＳ９０４：高速メッセージ複製部２７は、ファイアウォール２１から取得した高速メッセージ及び自らが複製した高速メッセージのいずれか他方の高速メッセージを不正侵入検知部２５に送信して、不正侵入の確認を要求する。この要求は、上記ステップＳ９０３の処理による中継通信とは独立して（非同期）で行われる。
ステップＳ９０５：不正侵入検知部２５は、高速メッセージ複製部２７からの要求に基づいて高速メッセージを取得し、取得した高速メッセージが不正メッセージであるか否かを判断することによって不正侵入を検知する。
【００６８】
ステップＳ９０６：高速メッセージが不正メッセージであると判断した場合、不正侵入検知部２５は、不正メッセージが車内ネットワークに中継された旨のログを保存する。
ステップＳ９０７：不正侵入検知部２５は、不正メッセージに対するセキュリティを強化させるため、高速メッセージの情報をファイアウォール２１に通知する。
ステップＳ９０８：ファイアウォール２１は、不正メッセージの情報を車外機器である情報管理センターに提供すべく、高速メッセージの情報を入出力装置１０に送信する。入出力装置１０は、高速メッセージの情報を情報管理センターに送信する。
ステップＳ９０９：情報管理センターは、高速メッセージについて、不正侵入検知部２５における不正侵入検知処理をメッセージに同期させて実行できる更新プログラムを、入出力装置１０及びファイアウォール２１を介して中継部２６の高速メッセージ確認部２８に送信する。
ステップＳ９１０：情報管理センターは、上述した更新プログラムを、入出力装置１０及びファイアウォール２１を介して中継部２６の高速メッセージ複製部２７に送信する。
ステップＳ９１１：高速メッセージ確認部２８は、受信した更新プログラムに基づいて自らのプログラムを更新する。
ステップＳ９１２：高速メッセージ複製部２７は、受信した更新プログラムに基づいて自らのプログラムを更新する。
【００６９】
この応用例２のステップＳ９０１〜Ｓ９１２の処理によれば、車内ネットワークへ中継した高速メッセージが不正メッセージであると判明した場合、高速メッセージに対しては次回から中継にかかる時間の短縮を優先させる処理（非同期処理）からセキュリティを優先させる処理（同期処理）に変更することができる。
【００７０】
＜作用・効果＞
以上のように、本発明の一実施形態に係る中継装置２０によれば、ファイアウォール２１が受信した正規メッセージが高速メッセージであるか否かを確認する高速メッセージ確認部２２と、高速メッセージを複製する高速メッセージ複製部２７と、を設ける。そして、中継装置２０は、正規メッセージが高速メッセージである場合には、高速メッセージ複製部２７で複製された２つの高速メッセージのうち、一方の高速メッセージを車内ネットワークに中継すると同時に他方の高速メッセージを用いて不正侵入の有無を判断する。また、中継装置２０は、正規メッセージが通常メッセージである場合には、受信したオリジナルの通常メッセージを用いて不正侵入の有無を判断した後、不正侵入が無ければ通常メッセージを車内ネットワークに中継する。
【００７１】
この処理により、高速メッセージについては、車内ネットワークへの中継と不正侵入の有無の確認とを並行して実施することで、高速メッセージの中継遅延時間が大きくなることを防止することができる。また、通常メッセージについては、車内ネットワークへ中継する前に不正侵入の有無の確認を実施することで、セキュリティを優先させることができる。
【００７２】
また、本実施形態に係る中継装置２０によれば、正規メッセージが高速メッセージである場合には、保存部２３に高速メッセージを保存することなく高速メッセージ複製部２７に送信して中継処理を実施し、正規メッセージが通常メッセージである場合には、保存部２３に通常メッセージを保存して中継処理を実施する。
【００７３】
この処理により、高速メッセージについては、保存部２３に一時保存することなく車内ネットワークへ中継することができるので、高速メッセージの中継遅延時間が大きくなることを防止することができる。また、通常メッセージについては、保存部２３に一時保存して、所定のタイミングで不正侵入の有無を確認した後に車内ネットワークへ中継するので、セキュリティを優先させることができる。
【００７４】
また、本実施形態に係る中継装置２０によれば、高速メッセージが不正メッセージである場合には、ファイアウォール２１において新たな不正な高速メッセージの侵入を防いだり、ＥＣＵ３０から受信した不正な高速メッセージから生成された応答メッセージを中継部２６で破棄したりする。この処理により、不正な高速メッセージによる被害の拡大を防止することができる。
【００７５】
また、本実施形態に係る中継装置２０によれば、通常メッセージが不正メッセージである場合には、ファイアウォール２１において新たな不正な通常メッセージの侵入を防いだり、保存部２３に保存されている通常メッセージをファイアウォール２４で破棄したりする。この処理により、不正な通常メッセージによる被害の拡大を防止することができる。
【００７６】
＜変形例１＞
上記実施形態では、高速メッセージ複製部２７による高速メッセージの複製機能と、保存部２３による通常メッセージの一時保存機能とを併用した中継装置２０を説明した。しかし、図１０に示す変形例１のように、中継装置２０を高速メッセージ複製部２７を省く構成にしてもよい。この構成では、図３、図８、図９のシーケンスにおける高速メッセージの複製処理及び高速メッセージの不正侵入検知処理が省かれる。この変形例１の構成によれば、高速メッセージが不正メッセージであるか否かは判断できないが、高速メッセージについては中継時間を優先させ、かつ、通常メッセージについてはセキュリティを優先させた中継処理を実施することができる。
【００７７】
＜変形例２＞
また、図１１に示す変形例２のように、中継装置２０を保存部２３及びファイアウォール２４を省く構成にしてもよい。この構成では、図４のシーケンスにおける通常メッセージの保存部２３への保存処理及びファイアウォール２４による通常メッセージの正規データ確認処理が省略される。この変形例２の構成によれば、保存部２３及びファイアウォール２４を用いた二重のセキュリティは実現できないが、高速メッセージについては中継時間を優先させ、かつ、通常メッセージについてはセキュリティを優先させる中継処理を実施することができる。
【００７８】
以上、本発明の一実施形態を説明したが、本発明は、中継装置、中継装置を含んだ車載通信システム、中継装置が実行するメッセージ中継処理方法、メッセージ中継処理プログラム及び当該プログラムを記憶したコンピューター読み取り可能な非一時的な記録媒体、あるいは中継装置を搭載した車両として捉えることができる。
【産業上の利用可能性】
【００７９】
本発明の中継装置は、車外機器及び車内機器を接続する車載通信システムを搭載した車両などに利用可能である。
【符号の説明】
【００８０】
１  車載通信システム
１０  入出力装置
１１  データ通信モジュール（ＤＣＭ）
１２  サービスツール
２０  中継装置（ＣＧＷ−ＥＣＵ）
２１、２４  ファイアウォール
２２、２８  高速メッセージ確認部
２３  保存部
２５  不正侵入検知部
２６  中継部
２７  高速メッセージ複製部
３０  電子制御装置（ＥＣＵ）
【図１】
2020088732.tif 000003
【図２】
2020088732.tif 000004
【図３】
2020088732.tif 000005
【図４】
2020088732.tif 000006
【図５】
2020088732.tif 000007
【図６】
2020088732.tif 000008
【図７】
2020088732.tif 000009
【図８】
2020088732.tif 000010
【図９】
2020088732.tif 000011
【図１０】
2020088732.tif 000012
【図１１】
2020088732.tif 000013