(57)【要約】【課題】移動体外部の外部ネットワークとの通信を可能としつつも、外部ネットワークに対する移動体内のネットワークのセキュリティーを好適に確保することのできる情報処理装置、及び情報処理方法を提供する。【解決手段】ＤＭＺ６０は、車両内の制御系機器（ＥＣＵ）に接続される制御系バス１０と、車両内の情報系機器に接続される情報系バス２０と、車両の外部機器に接続される外部バス３０とを含む複数のネットワークに接続されて情報処理を行う。ＤＭＺ６０は、制御系バス１０、情報系バス２０及び外部バス３０に各々接続される第１〜第３のＦＷ部６２〜６４と、第１〜第３のＦＷ部６２〜６４を介して制御系バス１０、情報系バス２０及び外部バス３０に接続される処理部７０とを備え、少なくとも制御系バス１０を情報系バス２０と外部バス３０とから隔離する。【選択図】図４
2014165641.tif 000002
【特許請求の範囲】
【請求項１】
移動体内の制御系機器に接続される制御系ネットワークと、移動体内の情報系機器に接続される情報系ネットワークと、移動体の外部機器に接続される外部ネットワークとを含む複数のネットワークに接続されて情報処理を行う情報処理装置であって、
前記ネットワークにそれぞれ接続されるファイアウォールと、それらファイアウォールを介して各ネットワークに接続される処理部とを備え、少なくとも前記制御系ネットワークを他のネットワークから隔離した
ことを特徴とする情報処理装置。
【請求項２】
前記ファイアウォールは、それぞれ自らが接続されているネットワークと前記処理部との間の通信のみを許可し、前記処理部は、前記制御系ネットワークから得られる制御系機器の制御情報を要求する要求信号を他のネットワークから受信することに基づいてその受信した要求信号の要求する制御情報を前記制御系ネットワークから取得するとともに、該取得した制御情報を含めて前記要求信号に応答する応答信号を作成し、該作成した応答信号を前記要求信号の送信元のネットワークへ送信する
請求項１に記載の情報処理装置。
【請求項３】
前記処理部は、前記外部ネットワーク又は前記情報系ネットワークから前記要求信号を受信する都度、前記制御系ネットワークから制御情報を取得する
請求項２に記載の情報処理装置。
【請求項４】
前記処理部は、前記制御系ネットワークから取得した制御情報を保持する保持部を備え、該保持した制御情報を前記作成する応答信号に含める
請求項２に記載の情報処理装置。
【請求項５】
前記処理部は、前記受信した要求信号の送信先を変更するプロキシサーバと、前記受信した要求信号に対応する応答信号を作成するデータサーバとを備え、
前記プロキシサーバは、前記受信した要求信号の送信先を前記データサーバに変更し、
前記データサーバは、前記プロキシサーバにより送信先が変更された要求信号を受信してその受信した要求信号の要求する制御情報を取得し、該取得した制御情報を含めて前記要求信号に応答する応答信号を作成する
請求項２〜４のいずれか一項に記載の情報処理装置。
【請求項６】
前記処理部は、前記受信した要求信号を送信した装置の認証を行う認証部をさらに備え、前記認証部により認証された装置から送信された要求信号のみに対して要求される制御情報を取得する
請求項２〜５のいずれか一項に記載の情報処理装置。
【請求項７】
前記処理部は、監視条件に応じて前記受信した要求信号を監視する監視部をさらに備え、
前記監視部は、前記監視条件に応じた監視によって前記受信した要求信号に異常が生じていると判断されるとき、前記処理部による制御情報の取得を禁止する
請求項２〜６のいずれか一項に記載の情報処理装置。
【請求項８】
前記処理部は、前記受信した要求信号を時系列的に記録するログ部をさらに備える
請求項２〜７のいずれか一項に記載の情報処理装置。
【請求項９】
前記処理部は、前記受信した要求信号による要求が複数の制御情報の取得であるとき、その受信した要求信号の要求する複数の制御情報を順次１つずつ前記制御系ネットワークから取得し、それら取得した制御情報を順に含めつつ前記要求信号に応答する応答信号の作成を繰り返す
請求項２〜８のいずれか一項に記載の情報処理装置。
【請求項１０】
前記制御系ネットワークに接続されるファイアウォールの該制御系ネットワーク側にはプロトコル変換部が設けられており、前記処理部で処理された要求信号の通信プロトコルを前記プロトコル変換部を通じて制御系ネットワークの通信プロトコルに変換する
請求項２〜９のいずれか一項に記載の情報処理装置。
【請求項１１】
前記処理部は、前記情報系ネットワークから受信した前記制御系ネットワーク内の機器への設定データに基づいて前記制御系ネットワークへ送信する送信信号を作成する
請求項２〜１０のいずれか一項に記載の情報処理装置。
【請求項１２】
前記処理部は、前記情報系ネットワークから受信した要求信号についてはその送信元を認証するとともに、当該受信した要求信号の要求する制御情報を前記制御系ネットワークから取得し、該取得した制御情報を含めて作成した応答信号を前記情報系ネットワークの前記認証した送信元に転送する
請求項２〜１０のいずれか一項に記載の情報処理装置。
【請求項１３】
移動体内の制御系機器に接続される制御系ネットワークと、移動体内の情報系機器に接続される情報系ネットワークと、移動体の外部機器に接続される外部ネットワークとを含む複数のネットワークに接続されて情報処理を行う情報処理装置における情報処理方法であって、
前記ネットワークにそれぞれ接続されるファイアウォールと、それらファイアウォールを介して各ネットワークに接続される処理部とを設け、少なくとも前記制御系ネットワークを他のネットワークから隔離する
ことを特徴とする情報処理方法。
【請求項１４】
前記ファイアウォールには、それぞれ自らが接続されているネットワークと前記処理部との間の通信のみを許可させ、前記処理部には、前記制御系ネットワークから得られる制御系機器の制御情報を要求する要求信号を他のネットワークから受信することに基づいてその受信した要求信号の要求する制御情報を前記制御系ネットワークから取得させるとともに、該取得された制御情報を含めて前記要求信号に応答する応答信号を作成させ、該作成された応答信号を前記要求信号の送信元のネットワークへ送信させる
請求項１３に記載の情報処理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、自動車等の移動体に搭載されている複数のネットワークの間で伝達される情報を処理する情報処理装置、及び情報処理方法に関する。
【背景技術】
【０００２】
周知のように、自動車にはエンジンやブレーキ等の各種車載機器を電子的に制御する電子制御装置をはじめ、車両の各種状態を表示するメータ等の機器を制御する電子制御装置、ナビゲーションシステムを構成する電子制御装置など、多くの電子制御装置が搭載されている。そして、自動車内では、それら各電子制御装置が通信線により通信可能に接続されて車内ネットワークが形成されており、この車内ネットワークを介して各電子制御装置間での各種データの送受信が行われている。
【０００３】
ところで車内ネットワークのうち、エンジンやブレーキ等の制御を担っている電子制御装置が接続される車内ネットワークには特に高いセキュリティーが要求される。しかし、こうした車内ネットワークは、当初、外部ネットワークとは隔離されることを前提に設計されていたことから、外部機器からのアクセスに対するセキュリティーとなると十分とはいえなかった。そこで従来から、外部機器の接続に対しても車内ネットワークとしてのセキュリティーを確保することのできる車載通信システムが提案されている。そして、こうしたシステムの一例が特許文献１に記載されている。
【０００４】
特許文献１に記載のシステムは、車外電力線通信ラインと車内ネットワークとの間のデータ通信を行う車載通信システムであって、車外電力線通信ラインと車内ネットワークとの間のデータ通信可否判断を行う情報処理装置であるセキュリティー手段と、車内ネットワークに接続される電子制御装置とを備える。そしてこの通信システムでは、セキュリティー手段がデータ通信を許可した場合に電子制御装置を介して車外電力線通信ラインと車内ネットワークとの間のデータ通信が行なわれる。つまり、セキュリティー手段による外部ネットワークから車内ネットワークへの通信の可否判断によって車内ネットワークのセキュリティーが確保される。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１２−１００２２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
近年、車内ネットワークと外部機器との連携の要求は益々増加する傾向にある。すなわち、車内ネットワークが有する車両情報を外部ネットワーク等を介して外部機器へ提供するなどの需要が高まりつつある。また、外部機器における情報処理が多彩になるなど、車内ネットワークに提供を求める情報の種類も多くなってきている。このことは、外部機器からの要求に応じて多くの情報を提供すれば、提供した情報の量に応じて、外部機器からも多くのサービスの提供が受けられるようになることを意味する。ただし、特許文献１に記載の通信システムでは、外部機器からの要求に応じて多くの通信を許可することはできるものの、一方で、多くの通信が許可されるようになると車内ネットワークのセキュリティーの低下が懸念されるようにもなる。
【０００７】
本発明は、このような実情に鑑みなされたものであって、その目的は、移動体外部の外部ネットワークとの通信を可能としつつも、外部ネットワークに対する移動体内のネットワークのセキュリティーを好適に確保することのできる情報処理装置、及び情報処理方法を提供することにある。
【課題を解決するための手段】
【０００８】
以下、上記課題を解決するための手段及びその作用効果を記載する。
上記課題を解決する情報処理装置は、移動体内の制御系機器に接続される制御系ネットワークと、移動体内の情報系機器に接続される情報系ネットワークと、移動体の外部機器に接続される外部ネットワークとを含む複数のネットワークに接続されて情報処理を行う情報処理装置であって、前記ネットワークにそれぞれ接続されるファイアウォールと、それらファイアウォールを介して各ネットワークに接続される処理部とを備え、少なくとも前記制御系ネットワークを他のネットワークから隔離したことを要旨とする。
【０００９】
上記課題を解決する情報処理方法は、移動体内の制御系機器に接続される制御系ネットワークと、移動体内の情報系機器に接続される情報系ネットワークと、移動体の外部機器に接続される外部ネットワークとを含む複数のネットワークに接続されて情報処理を行う情報処理装置における情報処理方法であって、前記ネットワークにそれぞれ接続されるファイアウォールと、それらファイアウォールを介して各ネットワークに接続される処理部とを設け、少なくとも前記制御系ネットワークを他のネットワークから隔離することを要旨とする。
【００１０】
このような構成もしくは方法によれば、インターネットや情報端末などが接続される外部ネットワーク、並びにオーディオ装置やナビゲーション装置などの情報系機器が接続される情報系ネットワークから制御系ネットワークが隔離されるため、移動体の移動にとって重要な制御情報の授受が行われる制御系ネットワークのセキュリティーが好適に確保される。
【００１１】
また、処理部はそれぞれファイアウォールを介して各ネットワークに接続されており、制御系ネットワークはその他のネットワークから直接アクセスされることがなくとも、処理部を介して制御系ネットワーク内の情報をその他のネットワークに伝達することが可能でもある。
【００１２】
これにより、制御系ネットワークとその他のネットワークとの通信を可能としつつも、外部ネットワークなどに対する制御系ネットワークのセキュリティーを好適に確保することができる。
【００１３】
さらに、制御系ネットワークからの情報取得に処理部を介在させることで、外部ネットワークは制御系ネットワークのプロトコルに適合しない通信メッセージによって制御系ネットワーク内の情報を取得することが可能にもなる。
【００１４】
また、移動体が車両であれば、車両には要求されるセキュリティーレベルの異なる少なくとも３つのネットワーク、つまり制御系ネットワーク、情報系ネットワーク及び外部ネットワークが設けられることが普通である。つまり、車両においては、高いセキュリティーレベルの要求される制御系ネットワークと、それほど高いセキュリティーの要求されない情報系ネットワークと、セキュリティーの確保が難しい外部ネットワークに別々のファイアウォールを設けることで各ネットワークにおいて確保すべきセキュリティーレベルを適切に設定することができるようになる。
【００１５】
好ましい構成として、前記ファイアウォールは、それぞれ自らが接続されているネットワークと前記処理部との間の通信のみを許可し、前記処理部は、前記制御系ネットワークから得られる制御系機器の制御情報を要求する要求信号を他のネットワークから受信することに基づいてその受信した要求信号の要求する制御情報を前記制御系ネットワークから取得するとともに、該取得した制御情報を含めて前記要求信号に応答する応答信号を作成し、該作成した応答信号を前記要求信号の送信元のネットワークへ送信する。
【００１６】
好ましい方法として、前記ファイアウォールには、それぞれ自らが接続されているネットワークと前記処理部との間の通信のみを許可させ、前記処理部には、前記制御系ネットワークから得られる制御系機器の制御情報を要求する要求信号を他のネットワークから受信することに基づいてその受信した要求信号の要求する制御情報を前記制御系ネットワークから取得させるとともに、該取得された制御情報を含めて前記要求信号に応答する応答信号を作成させ、該作成された応答信号を前記要求信号の送信元のネットワークへ送信させる。
【００１７】
このような構成又は方法によれば、外部ネットワークや情報系ネットワークからの要求信号は制御系ネットワークに直接流されずに処理部によって所定に加工されるため、少なくとも制御系ネットワークのセキュリティーは好適に維持される。例えば移動体が車両であれば、処理部は、要求信号に基づいて、制御系ネットワークの速度情報やセンサ情報などの車両情報を制御情報として取得し、取得した制御情報を含むように要求信号に応答する応答信号を作成する。これにより、制御系ネットワークに他のネットワークからの要求信号が流れなくとも、他のネットワークの要求信号の送信元には、要求信号を通じて要求した情報が応答信号に含まれて送信されるようになる。
【００１８】
また、外部ネットワークなどから受信される要求信号は処理部にて加工処理されるため、外部ネットワークなどはその要求信号を制御系ネットワークのプロトコルに適合させる必要がない。このため外部ネットワークや情報系ネットワークによる制御系ネットワークの制御情報の取得が容易にもなる。
【００１９】
好ましい構成として、前記処理部は、前記外部ネットワーク又は前記情報系ネットワークから前記要求信号を受信する都度、前記制御系ネットワークから制御情報を取得する。
このような構成によれば、外部ネットワークなどから要求信号を受信する都度、制御系ネットワーク側から制御情報が取得されるため、受信される要求信号に対する制御情報のリアルタイム性を高めることができるようになる。
【００２０】
好ましい構成として、前記処理部は、前記制御系ネットワークから取得した制御情報を保持する保持部を備え、該保持した制御情報を前記作成する応答信号に含める。
このような構成によれば、外部ネットワークや情報系ネットワークから受信される要求信号に応答する応答信号が、制御系ネットワークから取得されて保持されている制御情報に基づいて作成される。このため、受信される要求信号に対応して作成される応答信号の送信までに要する時間が短くなり、要求信号に対する応答信号の応答性が高められる。
【００２１】
好ましい構成として、前記処理部は、前記受信した要求信号の送信先を変更するプロキシサーバと、前記受信した要求信号に対応する応答信号を作成するデータサーバとを備え、前記プロキシサーバは、前記受信した要求信号の送信先を前記データサーバに変更し、前記データサーバは、前記プロキシサーバにより送信先が変更された要求信号を受信してその受信した要求信号の要求する制御情報を取得し、該取得した制御情報を含めて前記要求信号に応答する応答信号を作成する。
【００２２】
このような構成によれば、外部ネットワークなどからの要求信号は、プロキシサーバを経由することで制御系ネットワークの送信先の情報を外部ネットワークに対して隠蔽することができるようになるため、制御系ネットワークのセキュリティーをより高く確保することができる。
【００２３】
また、要求信号の処理をデータサーバに行わせることで、外部ネットワークなどからの要求信号を制御系ネットワークへ送信しなくとも要求信号に対応する応答信号を作成することができるようになる。これによっても、制御系ネットワークのセキュリティーが高く維持される。
【００２４】
好ましい構成として、前記処理部は、前記受信した要求信号を送信した装置の認証を行う認証部をさらに備え、前記認証部により認証された装置から送信された要求信号のみに対して要求される制御情報を取得する。
【００２５】
このような構成によれば、認証された装置から送信された要求信号のみに対して処理部が制御情報を取得する処理を行うため、認証されていない装置に制御系ネットワークの制御情報が不正に取得されることが防止される。これによっても、制御系ネットワークのセキュリティーを高く維持することができる。
【００２６】
好ましい構成として、前記処理部は、監視条件に応じて前記受信した要求信号を監視する監視部をさらに備え、前記監視部は、前記監視条件に応じた監視によって前記受信した要求信号に異常が生じていると判断されるとき、前記処理部による制御情報の取得を禁止する。
【００２７】
このような構成によれば、監視により異常が生じていると判断される要求信号に基づく制御情報の取得が禁止されるため、これによっても制御系ネットワークのセキュリティーの向上が図られる。
【００２８】
好ましい構成として、前記処理部は、前記受信した要求信号を時系列的に記録するログ部をさらに備える。
このような構成によれば、要求信号をログデータとして時系列的に、あるいは統計的に記憶することによって外部ネットワークなどからの攻撃などによる異常な要求信号の存在の有無を判断することができるようになる。これにより、移動体に搭載される通信システムの管理を好適に行うことができるようになるとともに、制御系ネットワークのさらなるセキュリティーの向上が図られる。
【００２９】
好ましい構成として、前記処理部は、前記受信した要求信号による要求が複数の制御情報の取得であるとき、その受信した要求信号の要求する複数の制御情報を順次１つずつ前記制御系ネットワークから取得し、それら取得した制御情報を順に含めつつ前記要求信号に応答する応答信号の作成を繰り返す。
【００３０】
このような構成によれば、外部ネットワークからの要求信号によって例えば連続した複数の制御情報が要求されたとしても処理部により適切に対応することができる。すなわち、処理部は、適宜の記憶部に時系列的に格納される複数の制御情報を順に含めつつ要求信号に応答する応答信号を作成することもできる。また、短周期の情報や分割された情報などからなる制御情報を制御系ネットワークから取得する順に、その取得した制御情報を含む応答信号を作成してもよい。これにより、制御系ネットワークのセキュリティーを高く確保しつつ、複数の制御情報の取得要求に応じることができるようになる。
【００３１】
好ましい構成として、前記制御系ネットワークに接続されるファイアウォールの該制御系ネットワーク側にはプロトコル変換部が設けられており、前記処理部で処理された要求信号の通信プロトコルを前記プロトコル変換部を通じて制御系ネットワークの通信プロトコルに変換する。
【００３２】
移動体の制御系ネットワークには、外部ネットワークとは異なる通信プロトコルが採用されていることも多い。よって、このような構成によれば、制御系ネットワークの通信プロトコルと、外部ネットワークの通信プロトコルなどが相違していたとしても、外部ネットワークから入力されて処理部で処理される要求信号の通信プロトコルが制御系ネットワークの通信プロトコルに変換される。これによって、外部ネットワークと、制御系ネットワークとの間の情報伝達が適切に行われるようになる。
【００３３】
好ましい構成として、前記処理部は、前記情報系ネットワークから受信した前記制御系ネットワーク内の機器への設定データに基づいて前記制御系ネットワークへ送信する送信信号を作成する。
【００３４】
車両などの移動体に搭載されている情報系ネットワークは、外部ネットワークよりも高いセキュリティーが確保されていることが普通である。そして、このような構成によれば、情報系ネットワークから制御系ネットワークの機器への設定データの送信が許可される。これにより、外部ネットワークに対する制御系ネットワークのセキュリティーを維持しつつ、制御系ネットワークに接続されている制御系機器の管理を容易にすることができる。
【００３５】
好ましい構成として、前記処理部は、前記情報系ネットワークから受信した要求信号についてはその送信元を認証するとともに、当該受信した要求信号の要求する制御情報を前記制御系ネットワークから取得し、該取得した制御情報を含めて作成した応答信号を前記情報系ネットワークの前記認証した送信元に転送する。
【００３６】
このような構成によれば、認証された情報系ネットワークの送信元に対しては、制御系ネットワークから取得した制御情報を含めて作成した応答信号が転送される。これにより、処理部の処理負荷を軽減できるとともに、情報系ネットワークの機器による制御系ネットワークの制御情報の取得を容易かつ迅速に行うことができるようになる。
【図面の簡単な説明】
【００３７】
【図１】情報処理装置の一実施形態、及び該情報処理装置を備える通信システムの一例についてその概略構成を示すブロック図。
【図２】同通信システムの制御系バスの概略構成を示すブロック図。
【図３】同通信システムの情報系バスの概略構成を示すブロック図。
【図４】同通信システムのＤＭＺの概略構成を示すブロック図。
【図５】同通信システムにおける外部バスからの要求信号の送信元の認証態様について説明する模式図。
【図６】同通信システムにおける外部バスへの応答信号の送信態様について説明する模式図。
【図７】同通信システムにおける内部バスから外部バスへの複数の応答信号の送信態様について説明する模式図。
【図８】同通信システムにおける情報系バスからの要求信号の内部バスへの伝達態様について説明する模式図。
【図９】同通信システムにおける内部バスから情報系バスへの複数の応答信号の送信態様について説明する模式図。
【図１０】情報処理装置の他の実施形態、及び該情報処理装置を備える通信システムについてその概略構成を示すブロック図。
【図１１】情報処理装置のさらに他の実施形態、及び該情報処理装置を備える通信システムについてその概略構成を示すブロック図。
【発明を実施するための形態】
【００３８】
情報処理装置の一実施形態、及び該情報処理装置を備える通信システムの一例について、図に従って説明する。
まず、図１に従って、この通信システムの概要について説明する。
【００３９】
図１に示すように、移動体としての車両１は、その車内に、該車両１の電子制御装置（ＥＣＵ）等が通信可能に接続される複数の通信用のネットワークを備えている。複数の通信用のネットワークは、制御系ネットワークとしての制御系バス１０と、情報系ネットワークとしての情報系バス２０と、外部ネットワークとしての外部バス３０とを含んでいる。制御系バス１０は、車両１の走行、操舵、停止に関する制御を行なうＥＣＵ等が接続されるネットワークであることから、高い信頼性や安全性、すなわち高いセキュリティーが要求されている。なお本実施形態では、制御系バス１０には、複数の通信用バス（バス１１やバス１６）が含まれている。情報系バス２０は、ナビゲーション装置やオーディオ装置などのＥＣＵ等が接続されるネットワークであって、やはり高いセキュリティーは求められているものの、要求されるレベルは制御系バス１０のセキュリティーほどは高くない。外部バス３０は、データリンクコネクタ（ＤＬＣ）３２などを介して車載式故障診断装置（ＯＢＤ）や各種の外部装置、もしくはインターネットなどの外部ネットワークを接続させることができるネットワークである。つまり外部バス３０は、車両１の外部に開放されているため、そのセキュリティーを一定のレベルに維持することが困難であり、制御系バス１０や情報系バス２０に比べてそのセキュリティーレベルも自ずと低いものとなる。
【００４０】
車両１は、制御系バス１０、情報系バス２０及び外部バス３０が接続されるセントラルゲートウェイ４０を備えている。セントラルゲートウェイ４０は、制御系バス１０、情報系バス２０及び外部バス３０のそれぞれの間における通信メッセージによる通信を制御する各種機能を有する装置である。
【００４１】
セントラルゲートウェイ４０は、制御系バス１０の複数の通信用バス（バス１１やバス１６など）の間における通信メッセージを中継するとともに、制御系バス１０の内外の通信メッセージを中継する制御系ゲートウェイ５０を備えている。この制御系ゲートウェイ５０は、制御系バス１０の一部を構成する。また、セントラルゲートウェイ４０は、セキュリティーを確保するための各種機能を含み構成されるネットワーク領域、いわゆる非武装地帯（ＤＭＺ：ＤｅＭｉｌｉｔａｒｉｚｅｄ  Ｚｏｎｅ）６０を備えている。ＤＭＺ６０は、外部バス３０に対して制御系バス１０や情報系バス２０のセキュリティーを確保する。ＤＭＺ６０は、情報系バス２０及び外部バス３０がそれぞれ通信可能に接続されているとともに、通信バス４１を介して制御系バス１０が通信可能に接続されている。ＤＭＺ６０は、接続されている制御系バス１０、情報系バス２０及び外部バス３０の相互間での通信メッセージの伝達を規制しつつも、通信メッセージに含まれる情報内容のみを伝達させる通信制御を行なうことによって、制御系バス１０や情報系バス２０の高いセキュリティーを確保している。例えば、制御系バス１０には、情報系バス２０や外部バス３０からの通信メッセージが伝達されないようになっており、通信メッセージの伝達に関して、制御系バス１０は情報系バス２０や外部バス３０から隔離されている。同様に、通信メッセージの伝達に関しては、情報系バス２０も、外部バス３０から隔離されている。なお本実施形態において、ＤＭＺ６０にはイーサーネット（登録商標）規格の通信線が接続されるようになっており、通信にはインターネット・プロトコル（ＩＰ）が用いられる。つまり、制御系バス１０、情報系バス２０及び外部バス３０は、ＤＭＺ６０にイーサーネット（登録商標）を介して接続され、ＤＭＺ６０との通信はＩＰに基づいて行う。
【００４２】
次に、通信システムの詳細について説明する。
図２に示すように、制御系バス１０は、上述した制御系ゲートウェイ５０と、制御系ゲートウェイ５０に接続される複数のバス型のネットワークとを備えている。制御系ゲートウェイ５０は、イーサーネット（登録商標）規格の通信バス４１を介してＤＭＺ６０に通信可能に接続されている。また、制御系ゲートウェイ５０は、パワートレインゲートウェイ（ＧＷ）５１、シャーシＧＷ５２、安全ＧＷ５３及び車体ＧＷ５４を備えている。パワートレインＧＷ５１、シャーシＧＷ５２、安全ＧＷ５３及び車体ＧＷ５４は通信バス４１に通信可能に接続されている。これにより、パワートレインＧＷ５１、シャーシＧＷ５２、安全ＧＷ５３及び車体ＧＷ５４は、通信バス４１を介して通信可能になっている。さらに、制御系バス１０には複数の通信用バスとして、第１〜第４のＣＡＮ（コントローラエリアネットワーク）バス１１〜１４とＬＩＮ（ローカルインターコネクトネットワーク）バス１６が設けられている。
【００４３】
パワートレインＧＷ５１、シャーシＧＷ５２及び安全ＧＷ５３はそれぞれ、ＣＡＮプロトコルによる通信を可能にするＣＡＮコントローラ（図示略）を備えている。そして、各ＧＷは、そのＣＡＮコントローラに対応する第１〜第４のＣＡＮバス１１〜１４が接続されている。つまり、パワートレインＧＷ５１には第１及び第２のＣＡＮバス１１，１２が通信可能に接続され、シャーシＧＷ５２には第３のＣＡＮバス１３が通信可能に接続され、安全ＧＷ５３には第４のＣＡＮバス１４が通信可能に接続されている。
【００４４】
車体ＧＷ５４は、ＬＩＮプロトコルによる通信を可能にするＬＩＮコントローラ（図示略）を備えている。そして、車体ＧＷ５４は、そのＬＩＮコントローラにＬＩＮバス１６を介して通信可能に接続されている。
【００４５】
パワートレインＧＷ５１、シャーシＧＷ５２及び安全ＧＷ５３は、それぞれプロトコル変換部５１１〜５１３を備えている。プロトコル変換部５１１〜５１３は、通信バス４１での通信に用いられるＩＰと、第１〜第４のＣＡＮバス１１〜１４での通信に用いられるＣＡＮプロトコルとを相互に変換する。これにより、各ＧＷ５１〜５３を介して、ＣＡＮバス１１〜１４と通信バス４１との間で通信メッセージの転送などによる相互通信を行うことができる。なお、パワートレインＧＷ５１は、２つのＣＡＮバス１１，１２間においてＣＡＮプロトコルの通信メッセージを相互に転送することもできる。
【００４６】
車体ＧＷ５４は、プロトコル変換部５１４を備えている。プロトコル変換部５１４は、通信バス４１での通信に用いられるＩＰと、ＬＩＮバス１６での通信に用いられるＬＩＮプロトコルとを相互に変換する。これにより、車体ＧＷ５４を介して、ＬＩＮバス１６と通信バス４１との間でも通信メッセージの転送などによる相互通信を行うことができる。
【００４７】
また、パワートレインＧＷ５１、シャーシＧＷ５２、安全ＧＷ５３及び車体ＧＷ５４は、それぞれのプロトコル変換部５１１〜５１４によりＩＰに変換された通信メッセージを介して相互に通信を行うことができる。
【００４８】
第１〜第４のＣＡＮバス１１〜１４は、ＣＡＮネットワークとして構成されているため、通信プロトコルにはＣＡＮプロトコルが適用される。第１〜第４のＣＡＮバス１１〜１４は、ツイストケーブルなどの通信線などから構成され、その通信線を介してマルチマスタ方式の通信であるＣＡＮプロトコルにおいて通信の１単位となる通信メッセージを伝達する。なお、第１〜第４のＣＡＮバス１１〜１４は、通信経路の一部に無線通信による経路を含んでいたり、ゲートウェイなどを介して他のネットワークを経由する経路が含まれていたりしてもよい。
【００４９】
ＬＩＮバス１６は、ＬＩＮネットワークとして構成されているため、通信プロトコルにはＬＩＮプロトコルが適用される。ＬＩＮバス１６は、単一ケーブルなどの通信線などから構成され、その通信線を介してタイムスケジュールに基づくマスタースレーブ通信であるＬＩＮプロトコルによって通信メッセージが伝達される。なお、ＬＩＮバス１６も、通信経路の一部に無線通信による経路を含んでいたり、ゲートウェイなどを介して他のネットワークを経由する経路が含まれていたりしてもよい。
【００５０】
第１〜第４のＣＡＮバス１１〜１４やＬＩＮバス１６には、各種の電子制御装置（ＥＣＵ）１１１〜１１３，１３１，１３２，１４１，１４２，１６１が接続されている。各ＥＣＵ（ＥＣＵ１１１など）は、各種制御に要する処理を実行する情報処理部（図示略）と、接続される通信用バスに対応するプロトコルに基づく通信メッセージを送信及び受信する通信コントローラ（図示略）とを備えている。
【００５１】
第１〜第４のＣＡＮバス１１〜１４に接続されるＥＣＵ１１１〜１１３，１３１，１３２，１４１，１４２は、車両１の各種制御に用いられる制御装置である。各ＥＣＵは、車両の制御に用いられる制御情報としての車両情報を保持しており、それら保持している車両情報を、各々接続されている通信用バスに通信メッセージとして出力することができる。各ＥＣＵは、例えば、駆動系、走行系、車台系、又は安全系等を制御対象にするＥＣＵである。例えば、駆動系を制御対象とするＥＣＵとしては、エンジン用ＥＣＵが挙げられ、走行系を制御対象とするＥＣＵとしては、ステアリング用ＥＣＵやブレーキ用ＥＣＵが挙げられ、車台系を制御対象とするＥＣＵとしては、ライト用ＥＣＵや方向指示機用ＥＣＵが挙げられる。また、安全系を制御対象とするＥＣＵとしては、ＡＢＳ（アンチロックブレーキシステム）用ＥＣＵや、衝突防止用ＥＣＵ等が挙げられる。このように、第１〜第４のＣＡＮバス１１〜１４には、車両１の走行、操舵及び停止にかかわる重要な制御に関するＥＣＵが接続されている。なお本実施形態では、ＥＣＵ１１１，１１２は第１及び第２のＣＡＮバス１１，１２にそれぞれ通信可能に接続され、ＥＣＵ１１３は第１及び第３のＣＡＮバス１１，１３にそれぞれ通信可能に接続されている。また、１つの機器に含まれる２つのＥＣＵ１３１，１３２はそれぞれ第３のＣＡＮバス１３に通信可能に接続されている。さらに、ＥＣＵ１４１は第４のＣＡＮバス１４に通信可能に接続されているとともに、そのＥＣＵ１４１にはＥＣＵ１４２が通信可能に接続されている。
【００５２】
ＬＩＮバス１６に接続されるＥＣＵ１６１は、車両１の各種制御に用いられる制御装置であって、車両の制御に用いられる車両情報を保持しており、その保持している車両情報を接続されているＬＩＮバス１６に通信メッセージとして出力することができる。ＥＣＵ１６１は、車体系等を制御対象にするＥＣＵである。車体系を制御するＥＣＵとしては、ミラー用ＥＣＵやウィンドウ用ＥＣＵが挙げられる。つまり、ＬＩＮバス１６には、車両１の運行に影響を及ぼすおそれのある設備の制御に関するＥＣＵが接続されている。
【００５３】
図３に示すように、情報系バス２０は、イーサーネット（登録商標）規格の通信バス２１を備え、該通信バス２１を介してＩＰによるＤＭＺ６０との通信が可能に接続されている。通信バス２１には、ＥＣＵ２１１と、イーサーネットスイッチ２１２を介した２つのＥＣＵ２１３，２１４とが接続されている。イーサーネットスイッチ２１２は、スイッチング・ハブであって、通信バス２１を介して入力されたＤＭＺ６０からの通信メッセージを、当該通信メッセージの送信先であるＥＣＵ（２１３又は２１４）に振り分ける。これにより、イーサーネットスイッチ２１２は、２つのＥＣＵ２１３，２１４との間のそれぞれの通信線における通信の混雑を緩和している。
【００５４】
情報系バス２０に接続される各ＥＣＵ２１１，２１３，２１４は、車両１の各情報機器に用いられるＥＣＵであって、例えば、オーディオ装置やナビゲーション装置などの情報機器系等を制御対象にするＥＣＵである。つまり、情報系バス２０には、車両１の走行ルートを案内したり、車内の快適性を維持したりするための装備の制御に関するＥＣＵが接続される。各ＥＣＵ２１１，２１３，２１４は、制御系バス１０のＥＣＵに車両情報を要求する通信メッセージ、いわゆる要求信号を出力することができる。
【００５５】
図１に示すように、外部バス３０は、イーサーネット（登録商標）規格の通信バス３１を備え、該通信バス３１を介してＩＰによるＤＭＺ６０との通信が可能に接続されている。通信バス３１のＤＬＣ（データリンクコネクタ）３２は、車両１のネットワークに外部機器を通信可能に接続するコネクタであって、車載式故障診断装置（ＯＢＤ）やスマートフォンなどの携帯情報端末などの外部機器を通信可能に接続することができる。つまり、ＤＬＣ３２に接続された外部機器がＤＬＣ３２を介して制御系バス１０や情報系バス２０に向けて通信メッセージを送信することができる。このように送信することができる通信メッセージには、要求信号として制御系バス１０のＥＣＵに車両情報を要求する通信メッセージも含まれる。なお、本実施形態では、ＤＬＣ３２から入力された通信メッセージは、セントラルゲートウェイ４０で受信されるとともに、セントラルゲートウェイ４０にて当該通信メッセージに応じた処理が行なわれる。そして、外部バス３０から入力された通信メッセージは、制御系バス１０や情報系バス２０に直接流れたり、そのまま転送されたりすることはない。
【００５６】
また、通信バス３１には、ＤＬＣ３２を介さずに、イーサーネット（登録商標）規格に適合する機器、例えば無線通信部３３（図５参照）などを接続することもできる。このように、外部バス３０は車両１の外部に開放されており、ＤＬＣ３２や無線通信装置などを介した外部機器の接続や、インターネットなど、車外のネットワークの接続に利用される。このため、外部バス３０はそのセキュリティーを車両１で管理することができない。そこで本実施形態では、ＤＭＺ６０を介在させることにより、外部バス３０に対する制御系バス１０や情報系バス２０のセキュリティーを維持するようにしている。
【００５７】
図４に示すように、ＤＭＺ６０は、ＩＰ（インターネットプロトコル）の通信メッセージを流すことのできる内部バス６１と、内部バス６１に接続された第１〜第３のファイアウォール（ＦＷ）部６２〜６４とを備えている。また、ＤＭＺ６０は、内部バス６１に流される通信メッセージに各種処理を行なう処理部７０を備えている。ＤＭＺ６０は、処理部７０における各種処理によって制御系バス１０や情報系バス２０のセキュリティーを確保する。
【００５８】
第１のＦＷ部６２は、内部バス６１と制御系バス１０との間に設けられ、第２のＦＷ部６３は、内部バス６１と情報系バス２０との間に設けられ、第３のＦＷ部６４は、内部バス６１と外部バス３０との間に設けられている。第１〜第３のＦＷ部６２〜６４は、要求信号などの通信メッセージに含まれる送信元や送信先のアドレスなどが、予め定められている各規制条件に適合するか否かに基づいて通信メッセージの通過の可否を判断し、通信規制を行なう。第１のＦＷ部６２は、その規制条件に基づいて、内部バス６１と制御系バス１０との間の通信メッセージの通過を許可する一方、情報系バス２０や外部バス３０からの通信メッセージの内部バス６１を介しての制御系バス１０への流入を遮断する。第２のＦＷ部６３は、その規制条件に基づいて、内部バス６１と情報系バス２０との間の通信メッセージの通過を許可する一方、制御系バス１０や外部バス３０からの通信メッセージの内部バス６１を介しての情報系バス２０への流入を遮断する。第３のＦＷ部６４は、その規制条件に基づいて、内部バス６１と外部バス３０との間の通信メッセージの通過を許可する一方、制御系バス１０や情報系バス２０からの通信メッセージの内部バス６１を介しての外部バス３０への流入を遮断する。
【００５９】
処理部７０は、要求信号として受信した通信メッセージの送信先を処理部７０内に変更するプロキシ部７１と、要求信号の送信元の機器を認証する認証部７２と、要求信号の通信状況を監視する監視部７３とを備えている。また、処理部７０は、要求信号の通信状況を時系列的や統計的に記憶するログ部７４を備えている。さらに処理部７０は、制御系バス１０のＥＣＵから出力される車両情報を保持するとともに、制御系バス１０、情報系バス２０及び外部バス３０からの要求信号に応答信号として応答する通信メッセージを作成するデータサーバ部７５を備えている。処理部７０では、プロキシ部７１と第１〜第３のＦＷ部６２〜６４とが内部バス６１を介してそれぞれ通信可能に接続されている。また、処理部７０内において、プロキシ部７１は、認証部７２、監視部７３、ログ部７４、及びデータサーバ部７５にそれぞれ通信可能に接続されている。そして本実施形態では、第１〜第３のＦＷ部６２〜６４から入力されたすべての通信メッセージは内部バス６１を介して処理部７０のプロキシ部７１に伝達されるようになっている。
【００６０】
プロキシ部７１は、いわゆるプロキシサーバであって、各バスのＥＣＵを送信先とする要求信号の送信先を処理部７０へ変更する。これにより、送信先がバスのＥＣＵになっている要求信号の処理が、まずは処理部７０にて行われるようになる。プロキシ部７１は、要求信号が要求している処理を判断し、要求している処理内容に応じて認証部７２やデータサーバ部７５に処理を依頼する。例えば、プロキシ部７１は、要求信号が認証に関する処理を要求していると判断すると、当該要求信号を認証部７２に伝達し、認証部７２にて処理されるようにする。またプロキシ部７１は、要求信号が制御系バス１０のＥＣＵに車両情報の出力を要求していると判断すると、当該要求信号をデータサーバ部７５に伝達し、データサーバ部７５にて処理されるようにする。さらに、プロキシ部７１は、情報系バス２０や外部バス３０に接続されている認証済の外部機器には、制御系バス１０から受信した通信メッセージに所定の加工を施した応答信号を送信することもできる。また、プロキシ部７１は、不正な送信元に関する情報を管理しており、不正な送信元からの要求信号を処理しないようにしている。例えば、プロキシ部７１は、不正な送信元からの要求信号を処理しないことで、不正な送信元からの要求信号に応答しないという対応をとる。さらに、プロキシ部７１は、不正な送信元に関する情報を、認証部７２による送信元の認証結果や、監視部７３による通信メッセージの監視結果に基づいて更新することができる。また、プロキシ部７１は、制御系バス１０のＥＣＵへの通信用のアドレスに代わる別のアドレスを外部に公開することで、外部バス３０に対する制御系バス１０のセキュリティーを確保している。
【００６１】
認証部７２は、外部バス３０に接続されている外部機器や、情報系バス２０に接続されている情報系機器が正規の機器であるか否かを所定の認証条件に基づいて認証する認証機能を備える。認証部７２には認証条件として、通信を許可された外部機器を特定する情報が予め設定されている。認証部７２は、情報系バス２０や外部バス３０に接続されている外部装置と通信を開始するとき、その通信しようとする外部装置の認証を行う。認証機能としては、ＳＳＬ（セキュリティーソケットレイヤー）やＴＬＳ（トランスポートレイヤーセキュリティー）などの公知の認証機能を採用することができる。そして認証部７２は、認証の結果をプロキシ部７１に伝達する。これにより、プロキシ部７１は、認証されなかった送信元の装置からの要求信号の処理部７０における処理を禁止する。これにより認証部７２が認証した外部機器からの要求信号は、処理部７０において処理され、応答信号が作成されたりする一方、認証部７２により認証されなかった外部機器からの要求信号は、処理部７０において処理されることはない。よって、不正な外部機器からの要求信号によって制御系バス１０や情報系バス２０のセキュリティーが低下することが防止される。
【００６２】
なお、認証された後の要求信号は暗号化されることがあるが、暗号化された要求信号については認証部７２によって復号するようにしてもよいし、認証部７２にて定められた鍵を用いてプロキシ部７１などで復号するようにしてもよい。
【００６３】
また、認証部７２は、監視部７３による監視結果を受けて不正な要求信号に基づく認証を停止することもできる。
監視部７３は、外部バス３０や情報系バス２０から受信された要求信号の振る舞いを監視して要求信号の異常の存在の有無を判断する監視機能を備える。監視部７３は、要求信号の不正な振る舞いを判断するための監視条件を有している。監視条件には、異常な通信と判断される通信頻度や通信間隔が、要求信号の全体に対して、または要求信号の種類や内容に応じて設定されている。つまり監視部７３は、受信された要求信号の通信頻度や通信間隔などの振る舞いを監視条件に応じて監視し、監視条件に該当する要求信号を異常な要求信号と判断する。そして監視部７３は、要求信号の監視結果をプロキシ部７１に伝達する。これにより、プロキシ部７１は、異常と判断された要求信号の処理部７０における処理を禁止する。よって、異常な要求信号によって制御系バス１０や情報系バス２０のセキュリティーが低下することが防止される。
【００６４】
ログ部７４は、外部バス３０や情報系バス２０から受信された要求信号をログデータとして記憶する。ログ部７４は、外部バス３０や情報系バス２０から受信された要求信号を時間情報などとともに記憶したり、統計処理などの処理を行った結果を記憶したりする。また、ログ部７４は、記憶したログデータを解析し、その解析結果に基づいて外部バス３０や情報系バス２０から受信された要求信号の異常の存在の有無を判定する。例えば、ログ部７４は、ログデータに不当な要求と判断される要求信号が含まれていないか否かなどを解析する。さらに、ログ部７４は、記憶したログデータを外部バス３０や情報系バス２０を介して要求信号を解析する車外のログ解析装置などに送信することができる。車外の解析装置としては、自動車メーカのサーバなどが挙げられる。これにより、外部バス３０や情報系バス２０から受信された要求信号の異常の存在の有無を車外のログ解析装置などで判断することもできるようになる。
【００６５】
データサーバ部７５は、外部バス３０や情報系バス２０から受信された要求信号による要求を解析し、その要求に対応する処理を行う。また、データサーバ部７５は、受信した要求信号に応答する応答信号を作成することができる。データサーバ部７５は、制御系バス１０の車両情報を制御系バス１０から定期的に取得して保持する保持部（図示略）を備えている。例えば、データサーバ部７５は、要求信号により制御系バス１０の車両情報として速度が要求されると、制御系バス１０から直接、もしくは、制御系バス１０から得た速度が記憶されている保持部から間接的に速度を取得する。そして、データサーバ部７５は、要求に応答する応答信号を作成して、当該作成した応答信号を外部バス３０の送信元に送信する。
【００６６】
データサーバ部７５は、制御系バス１０の車両情報を、制御系バス１０の車両情報を一時保存する制御系ゲートウェイ５０のメッセージバッファ５０１（図６参照）から取得することもできる。また、データサーバ部７５は、制御系バス１０の車両情報を取得する通信メッセージを制御系バス１０のＥＣＵに送信し、その送信したＥＣＵから返信された通信メッセージから取得対象とする車両情報を取得してもよい。
【００６７】
次に、図５〜９を参照して、上記ＤＭＺ６０を中心とした本実施形態の情報処理装置の動作について説明する。なお、ＤＭＺ６０の各種の動作を説明するために、制御系バス１０、情報系バス２０及び外部バス３０に上述以外の構成をその都度便宜的に付加して説明することもある。
【００６８】
図５は、処理部７０にて外部装置を認証する処理を示している。
図５に示すように、外部バス３０には、インターネットＷに接続可能な無線通信部３３が接続されている。無線通信部３３は、外部バス３０にＤＬＣ３２やその他のコネクタを介して接続される。無線通信部３３は、インターネットＷへの通信経路を確保することができる機器であって、例えば、スマートフォンや携帯電話、無線ＬＡＮの子機、又は無線ルータなどである。
【００６９】
そして車両１には、外部バス３０を介してインターネットＷに接続されている外部装置（図示略）から制御系バス１０への通信開始を要求する要求信号ＭＡ１が伝達されたとする。この要求信号ＭＡ１は、まず第３のＦＷ部６４にて通過の可否が判断され、通過が許可されるとプロキシ部７１に伝達される。なお、外部バス３０から入力される要求信号ＭＡ１は、第１及び第２のＦＷ部６２，６３の通過を禁止されるため、制御系バス１０や情報系バス２０に伝達されることはない。ここで、伝達された要求信号ＭＡ１が制御系バス１０への通信開始を要求する通信メッセージであることから、プロキシ部７１は、該要求信号ＭＡ１の送信元の認証が必要であると判断し、認証部７２に認証処理を依頼する。認証処理の依頼を受けた認証部７２は、所定の認証手順に基づいて、要求信号ＭＡ１の送信元である外部装置に対する認証処理を行い、その認証結果をプロキシ部７１に通知する。そして、要求信号ＭＡ１の送信元が認証されたとき、プロキシ部７１は、当該外部装置から伝達された通信メッセージについての処理部７０での処理を許可する。例えば、外部装置から制御系バス１０の制御情報である車両情報を要求する要求信号が受信されたとき、当該要求信号に対する処理をデータサーバ部７５に依頼する。一方、要求信号ＭＡ１の送信元が認証されなかったとき、プロキシ部７１は、当該外部装置から伝達された要求信号の処理部７０での処理を禁止する。
【００７０】
なお、プロキシ部７１は、認証部７２において認証処理の済んでいない送信元から制御系バス１０の車両情報を要求する要求信号を受信する都度、その要求信号の送信元についての認証処理を認証部７２に要求する。そして、プロキシ部７１は、認証部７２により送信元が認証されることを条件に、車両情報を要求する要求信号についての処理部７０での処理を許可する。
【００７１】
認証処理の際、監視部７３は、外部装置と認証部７２との間の要求信号の挙動を監視する。そして、監視部７３は、要求信号の挙動が正常であれば認証部７２の認証処理を継続させ、一方、要求信号の挙動が不審であると判断すると認証部７２における該要求信号の認証処理を中止させる。この中止により要求信号の送信元は認証されないため、プロキシ部７１は、その送信元からの要求信号が受信されてもその処理を禁止、すなわち処理部７０にて処理させないようにする。
【００７２】
図６は、外部装置からの要求に応じて、制御系バス１０の車両情報を送信する処理を示している。なお、ここでは、図５に示した認証処理によって外部装置は認証済であるものとする。
【００７３】
車両１は、外部バス３０を介してインターネットＷに接続されている外部装置（図示略）から制御系バス１０に車両情報を要求する要求信号ＭＢ１を受信する。この要求信号ＭＢ１は、第３のＦＷ部６４にて通過の可否が判断され、通過を許可されるとプロキシ部７１に伝達される。プロキシ部７１は、外部装置が認証済であること、及び、制御系バス１０の車両情報を要求する通信メッセージであることから、この要求信号ＭＢ１の送信先をデータサーバ部７５に変更する。つまり、プロキシ部７１は、データサーバ部７５に要求信号ＭＢ１の処理を要求する。
【００７４】
データサーバ部７５は、プロキシ部７１から伝達された要求信号ＭＢ１を解析し、要求信号ＭＢ１が要求する車両情報を取得する。データサーバ部７５は、こうして取得した車両情報を制御系バス１０から得るための通信メッセージＭＢ２を作成するとともに、作成した通信メッセージＭＢ２をプロキシ部７１に伝達する。プロキシ部７１は、伝達された通信メッセージＭＢ２を制御系バス１０へ送信する。通信メッセージＭＢ２は、第１のＦＷ部６２にて通過の可否が判断され、通過を許可されると、通信バス４１を介して制御系ゲートウェイ５０に入力される。なおこのとき、第１のＦＷ部６２は、通信メッセージＭＢ２が処理部７０から制御系バス１０への通信メッセージであることを条件にその通過を許可することとなる。制御系ゲートウェイ５０は、通信メッセージＭＢ２が要求している車両情報をメッセージバッファ５０１から取得し、この取得した車両情報を含む返信用の通信メッセージＭＢ３を生成してデータサーバ部７５へ返信する。通信メッセージＭＢ３も、第１のＦＷ部６２にて通過の可否が判断され、通過を許可されると、プロキシ部７１に入力され、プロキシ部７１からデータサーバ部７５に伝達される。このときも第１のＦＷ部６２は、通信メッセージＭＢ３が制御系バス１０から処理部７０への通信メッセージであることを条件にその通過を許可することとなる。
【００７５】
通信メッセージＭＢ３が伝達されたデータサーバ部７５は、通信メッセージＭＢ３から車両情報を取得し、車両情報を要求した要求信号ＭＢ１に対する応答メッセージとしてこの取得した車両情報を含ませた応答信号ＭＢ４を作成する。つまり、応答信号ＭＢ４は、外部バス３０に送信可能な通信メッセージとして作成される。そしてデータサーバ部７５は、作成した応答信号ＭＢ４をプロキシ部７１に伝達する。プロキシ部７１は伝達された応答信号ＭＢ４の送信元や送信先を必要に応じて加工・変更してから、この応答信号ＭＢ４をその送信元である外部バス３０に接続された外部装置へ送信する。この応答信号ＭＢ４は、第３のＦＷ部６４にて通過の可否が判断され、通過を許可されると外部バス３０に伝達される。このとき第３のＦＷ部６４は、応答信号ＭＢ４が処理部７０から外部バス３０への通信メッセージであることを条件にその通過を許可することとなる。
【００７６】
ログ部７４は、要求信号ＭＢ１に関するログデータを取得する。例えば、ログ部７４は、外部装置との通信が開始されてから終了されるまでログデータを取得し、通信が終了されたことを条件に、ログデータを解析して不正な通信の有無を判断したり、ログデータを外部のログ解析装置に送出したりする。通信の開始としては、接続経路や接続回線の確立が挙げられ、通信の終了としては、接続経路や接続回線の切断などが挙げられる。なお事後的判断が不要であれば、ログ部７４によるログデータの取得を割愛してもよい。
【００７７】
図７は、外部装置からの要求に応じて、制御系バス１０の車両情報を連続して送信する処理を示している。なおここでは、図５に示した認証処理によって外部装置は認証されているとともに、図６に示した処理によって、車両情報を連続して要求する要求信号も送信先の制御系バス１０のＥＣＵに伝達済であるものとする。
【００７８】
ここでは、制御系ゲートウェイ５０にはさらに、イーサーネット（登録商標）規格の通信バス１７が接続されており、その通信バス１７には、４つのカメラ、つまりＦＲ（前方右側）カメラ１７１，ＦＬ（前方左側）カメラ１７２，ＲＲ（後方右側）カメラ１７３，ＲＬ（後方左側）カメラ１７４が接続されている。各カメラ１７１〜１７４は、車両１の車外環境を撮像するカメラであって、ＦＲカメラ１７１は車両１の前方右側を撮像し、ＦＬカメラ１７２は車両１の前方左側を撮像し、ＲＲカメラ１７３は車両１の後方右側を撮像し、ＲＬカメラ１７４は車両１の後方左側を撮像する。そして、例えばＦＬカメラ１７２には、プロキシ部７１、第１のＦＷ部６２及び制御系ゲートウェイ５０を介してデータサーバ部７５が作成した車両情報を連続して要求する要求信号が伝達される。この車両情報を連続して要求する要求信号とは、例えば、カメラで撮像された画像を短周期で送り続ける指示である。また、プロキシ部７１は、車両情報を連続して要求する要求信号をＦＬカメラ１７２に伝達したことを記憶しておく。
【００７９】
ＦＬカメラ１７２は、車両情報を連続して要求する要求信号が伝達されると、当該指示に応じて撮像画像を含む返信用の通信メッセージＭＣ１を生成して送信することを周期的に行う。つまりＦＬカメラ１７２は、動画をリアルタイムに送信する。なお、ＦＬカメラ１７２は通信メッセージＭＣ１をＩＰ（インターネットプロトコル）で送信可能に作成する。ＦＬカメラ１７２から送信された通信メッセージＭＣ１は、制御系ゲートウェイ５０から第１のＦＷ部６２へ伝達される。通信メッセージＭＣ１は、第１のＦＷ部６２にて通過の可否が判断され、通過を許可されると、プロキシ部７１に伝達される。このとき第１のＦＷ部６２は、通信メッセージＭＣ１が制御系バス１０から処理部７０への通信メッセージであることを条件にその通過を許可することとなる。プロキシ部７１は、通信メッセージＭＣ１が、ＦＬカメラ１７２へ伝達した車両情報を連続して要求する通信メッセージに対する応答メッセージであることを判定すると、該通信メッセージＭＣ１の送信先や送信元の情報を必要に応じて変更した応答信号ＭＣ２に加工・変更する。そして、プロキシ部７１は、加工・変更した応答信号ＭＣ２を第３のＦＷ部６４を介して外部バス３０の外部装置へ送信する。この応答信号ＭＣ２は、第３のＦＷ部６４にて通過の可否が判断され、通過を許可されると外部バス３０に伝達される。このとき第３のＦＷ部６４も、応答信号ＭＣ２が処理部７０から外部バス３０への通信メッセージであることを条件にその通過を許可することとなる。このように、プロキシ部７１にて通信メッセージを処理することで、連続して送信される車両情報によりデータサーバ部７５の処理負荷が上昇するようなことを防ぐことができる。この場合であれ、制御系バス１０からの通信メッセージＭＣ１はプロキシ部７１の処理により応答信号ＭＣ２に変更されて出力されるため、第３のＦＷ部６４の規制条件を変更しなくとも、処理部７０から外部バス３０への通過が許可される。また、第３のＦＷ部６４の規制条件の変更などが必要ないため、外部バス３０に対する制御系バス１０や情報系バス２０のセキュリティーも高く維持される。
【００８０】
図８は、情報系バス２０の情報提供サーバＭＳからの要求に応じて、制御系バス１０の制御情報である車両情報を送信する処理を示している。なおここでは、図５に例示した認証処理によって、情報提供サーバＭＳは認証済であるものとする。
【００８１】
車両１は、情報系バス２０の無線通信部２３を介してナビゲーション装置などの情報提供サーバＭＳに接続されている。そして、車両１は、情報提供サーバＭＳから制御系バス１０の車両情報を要求する要求信号ＭＤ１を受信する。この要求信号ＭＤ１は、第２のＦＷ部６３にて通過の可否が判断され、通過を許可されるとプロキシ部７１に伝達される。プロキシ部７１は、情報提供サーバＭＳが認証済であることから、この要求信号ＭＤ１の送信先をデータサーバ部７５に変更する。つまり、プロキシ部７１は、データサーバ部７５に要求信号ＭＤ１の処理を依頼する。データサーバ部７５は、プロキシ部７１から伝達された要求信号ＭＤ１を解析する。なお、情報系バス２０を経由する要求信号ＭＤ１は、接続先が通常はメーカの情報提供サーバＭＳであってインターネットよりもセキュリティーが高いと考えられることから、要求信号ＭＤ１のセキュリティーはインターネットからのメッセージよりも高いと考えられる。
【００８２】
データサーバ部７５は、要求信号ＭＤ１に基づいて作成した車両情報を取得する通信メッセージＭＤ２をプロキシ部７１及び第１のＦＷ部６２を介して制御系バス１０へ送信する。制御系バス１０の制御系ゲートウェイ５０は、メッセージバッファ５０１から取得した通信メッセージＭＤ２が要求している車両情報を含む返信用の通信メッセージＭＤ３を生成し、第１のＦＷ部６２及びプロキシ部７１を介してデータサーバ部７５へ返信する。データサーバ部７５は、通信メッセージＭＢ３から取得した車両情報を含ませた応答信号ＭＤ４を作成し、これをプロキシ部７１を介して情報系バス２０へ送信する。この作成した応答信号ＭＤ４は、応答信号ＭＤ４に含まれている車両情報を要求した要求信号ＭＤ１に対する応答メッセージとなる。
【００８３】
ログ部７４は、情報系バス２０から入力される要求信号ＭＤ１は、セキュリティーが比較的高く確保されていることからログデータを取得しない。なお、ログ部７４は、要求信号ＭＤ１についてもログデータを取得し、この取得したログデータを解析したり、ログ解析装置に送出したりしてもよい。
【００８４】
図９は、外部装置からの要求に応じて、制御系バス１０の車両情報を連続して送信する処理を示している。なお、ここでは既に、情報系バス２０の次世代車載情報通信システム（ＩＶＩ：車載インフォテインメント）２４が認証済であるとする。ＩＶＩ２４は、車両１に搭載された情報提供装置であって、電話機能、ナビゲーション機能、オーディオ機能、及びインターネット接続・検索機能などを幅広く提供する。また、図７に示したように、制御系ゲートウェイ５０のイーサーネット（登録商標）規格の通信バス１７には、４つのＦＲカメラ１７１，ＦＬカメラ１７２，ＲＲカメラ１７３，ＲＬカメラ１７４が接続されている。
【００８５】
情報系バス２０からの車両情報を連続して要求する要求信号は、図６に例示した態様にて制御系バス１０のＦＬカメラ１７２に伝達済である。つまり、ＩＶＩ２４からの通信メッセージに対応するデータサーバ部７５が作成した通信メッセージが、プロキシ部７１、第１のＦＷ部６２及び制御系ゲートウェイ５０を介してＦＬカメラ１７２に伝達されている。この車両情報を連続して要求する要求信号は、ＦＬカメラ１７２にそのカメラで撮像した画像を短周期で送り続けさせる。なお、プロキシ部７１は、ＦＬカメラ１７２に車両情報を連続して要求する通信メッセージを伝達したことを記憶するとともに、同通信メッセージの伝達に応じて第２のＦＷ部６３の規制条件を制御系バス１０から情報系バス２０への通信メッセージの通過を許可するように変更する。制御系バス１０のセキュリティーは情報系バス２０のセキュリティーよりも高いため、このときの第２のＦＷ部６３の規制条件の変更によって情報系バス２０のセキュリティーのレベルが低下するおそれはない。
【００８６】
ＦＬカメラ１７２は、車両情報を連続して要求する通信メッセージに応じて撮像画像を含む応答する通信メッセージとして応答信号ＭＥ１を生成して送信することを周期的に行う。なお、ＦＬカメラ１７２は応答信号ＭＥ１をＩＰで送信可能に作成する。ＦＬカメラ１７２から送信された応答信号ＭＥ１は、制御系ゲートウェイ５０から第１のＦＷ部６２へ伝達され、第１のＦＷ部６２で通過が許可される。第１のＦＷ部６２を通過した応答信号ＭＥ１は、内部バス６１を介してプロキシ部７１や第２のＦＷ部６３に伝達される。第２のＦＷ部６３は、伝達された応答信号ＭＥ１の通過を許可し、該応答信号ＭＥ１は情報系バス２０へ送信される。そして応答信号ＭＥ１は、情報系バス２０を介して要求信号の送信元であるＩＶＩ２４へ入力される。一方、プロキシ部７１は、応答信号ＭＥ１が第２のＦＷ部６３から情報系バス２０へ直接送信されるため、該応答信号ＭＥ１に対する処理を行わない。
【００８７】
これにより、制御系バス１０から連続して送信される応答信号ＭＥ１の処理によってデータサーバ部７５やプロキシ部７１の処理負荷の上昇が防止される。そしてこの場合であれ、制御系バス１０からの応答信号ＭＥ１が情報系バス２０に送信されることが許可されるだけである。つまり、第２のＦＷ部６３の規制条件のうちの入力される要求信号に対する規制条件や、第３のＦＷ部６４の規制条件は変更されないため、外部バス３０に対する制御系バス１０や情報系バス２０のセキュリティーは確保される。
【００８８】
以上説明したように、本実施形態に係る情報処理装置を備える通信システムは、以下に列記する効果を有する。
（１）インターネットや情報端末などが接続される外部バス３０、並びにオーディオ装置やナビゲーション装置などの情報系機器が接続される情報系バス２０から制御系バス１０が隔離されるため、車両１の移動にとって重要な車両情報（制御情報）の授受が行われる制御系バス１０のセキュリティーが好適に確保される。
【００８９】
また、処理部７０は第１〜第３のＦＷ部６２〜６４を介して制御系バス１０、情報系バス２０又は外部バス３０に接続されており、制御系バス１０は情報系バス２０及び外部バス３０から直接アクセスされることがなくとも、処理部７０を介して制御系バス１０内の情報を情報系バス２０及び外部バス３０に伝達することが可能でもある。
【００９０】
これにより、制御系バス１０と情報系バス２０及び外部バス３０との通信を可能としつつも、外部バス３０などに対する制御系バス１０のセキュリティーを好適に確保することができる。
【００９１】
さらに、制御系バス１０からの情報取得に処理部７０を介在させることで、外部バス３０は制御系バス１０のプロトコルに適合しない要求信号によって制御系バス１０内の情報を取得することが可能にもなる。
【００９２】
また、車両１には、要求されるセキュリティーレベルの異なる少なくとも３つのネットワーク、つまり制御系バス１０、情報系バス２０及び外部バス３０が設けられることが普通である。つまり、車両１においては、高いセキュリティーレベルの要求される制御系バス１０と、それほど高いセキュリティーの要求されない情報系バス２０と、セキュリティーの確保が難しい外部バス３０とがあるが、それらに別々のファイアウォールを設けたことで各バスにおいて確保すべきセキュリティーレベルをそれぞれ適切に設定することができる。
【００９３】
（２）外部バス３０や情報系バス２０から受信した要求信号は制御系バス１０に直接流されずに処理部７０によって所定に加工されるため、少なくとも制御系バス１０のセキュリティーは好適に維持される。車両１であれば、処理部７０は、受信した要求信号に基づいて、制御系バス１０の速度情報やセンサ情報などの車両情報を取得し、取得した車両情報を含むように要求信号に応答する応答信号を作成する。これにより、制御系ネットワークに他のネットワークからの要求信号が流れなくとも、他のネットワークの要求信号の送信元には、要求信号を通じて要求した情報が応答信号に含まれて送信されるようになる。
【００９４】
また、外部バス３０などから受信される要求信号は処理部７０にて加工処理されるため、外部バス３０などはその要求信号を制御系バス１０のプロトコルに適合させる必要がない。このため外部バス３０や情報系バス２０による制御系バス１０の車両情報の取得が容易にもなる。
【００９５】
（３）制御系バス１０から車両情報を取得すれば、外部バス３０などから要求信号を受信する都度、制御系バス１０側から車両情報が取得されるため、受信される要求信号に対する車両情報のリアルタイム性を高めることができるようになる。
【００９６】
（４）データサーバ部７５の保持部から車両情報を取得すれば、外部ネットワークや情報系ネットワークから受信される要求信号に応答する応答信号が、制御系ネットワークから取得されて保持されている制御情報に基づいて作成される。このため、受信される要求信号に対応して作成される応答信号の送信までに要する時間が短くなり、要求信号に対する応答信号の応答性が高められる。
【００９７】
（５）外部バス３０などからの要求信号は、プロキシ部７１を経由することで制御系バス１０の送信先の情報を外部バス３０に対して隠蔽することができるようになるため、制御系バス１０のセキュリティーをより高く確保することができる。
【００９８】
また、要求信号の処理をデータサーバ部７５に行わせることで、外部バス３０などからの要求信号を制御系バス１０へ送信しなくとも要求信号に対応する応答信号を作成することができるようになる。これによっても、制御系バス１０のセキュリティーが高く維持される。
【００９９】
（６）認証された外部装置から送信された要求信号のみに対して処理部７０が車両情報を取得する処理を行うため、認証されていない外部装置に制御系バス１０の車両情報が不正に取得されることが防止される。これによっても、制御系バス１０のセキュリティーを高く維持することができる。
【０１００】
（７）監視により異常が生じていると判断される要求信号に基づく車両情報の取得が禁止されるため、これによっても制御系バス１０のセキュリティーの向上が図られる。
（８）要求信号をログデータとして時系列的に、あるいは統計的に記憶することによって、外部バス３０などからの攻撃などによる異常な要求信号の存在の有無を判断することができるようになる。これにより、車両１に搭載される通信システムの管理が好適に行うことができるようになるとともに、制御系バス１０のさらなるセキュリティーの向上が図られる。
【０１０１】
（９）外部バス３０からの要求信号によって例えば連続した複数の車両情報が要求されたとしても処理部７０により適切に対応することができる。すなわち、処理部７０は、適宜の記憶部としてのデータサーバ部７５に時系列的に格納される複数の車両情報を順に含めつつ要求信号に応答する応答信号を作成することもできる。また、短周期の情報や分割された情報などからなる車両情報を制御系バス１０から取得する順に、その取得した車両情報を含む応答信号を作成してもよい。これにより、制御系バス１０のセキュリティーを高く確保しつつ、複数の車両情報の取得要求に応じることができるようになる。
【０１０２】
（１０）車両の制御系バス１０の通信プロトコルはＣＡＮであり、外部バス３０の通信プロトコルはＩＰであり相違する。よって、第１のＦＷ部６２より制御系バス１０側にプロトコル変換部５１１〜５１４を設けたことにより、制御系バス１０の通信プロトコルと、外部バス３０の通信プロトコルなどが相違していたとしても、外部バス３０から入力されて処理部７０で処理される要求信号が制御系バス１０の通信プロトコルに変換される。これによって、外部バス３０と、制御系バス１０との間の情報伝達が適切に行われるようになる。
【０１０３】
（１１）認証された情報系バス２０の送信元に対しては、制御系バス１０から取得した制御情報を含めて作成した応答信号を転送するようにした。これにより、処理部７０の処理負荷を軽減できるとともに、情報系バス２０の機器としての情報提供サーバＭＳによる制御系バス１０の車両情報の取得を容易かつ迅速に行うことができるようになる。
【０１０４】
（その他の実施形態）
なお、上記実施形態は以下の態様で実施することもできる。
・上記実施形態では、制御系バス１０や情報系バス２０に複数のＥＣＵが接続される場合について例示したが、これに限らず、ＥＣＵは１つ以上接続されていればよい。これにより、情報処理装置を含む通信システムの適用範囲の拡張が図られるようになる。
【０１０５】
・上記実施形態では、制御系バス１０や情報系バス２０にＥＣＵが接続される場合について例示したが、これに限らず、各バスには、通信バスを介して通信することのできる機器であれば、ＥＣＵ以外の情報処理装置などが接続されてもよい。これにより、情報処理装置を含む通信システムの適用範囲の拡張が図られるようになる。
【０１０６】
・上記実施形態では、制御系バス１０には、ＣＡＮバス、ＬＩＮバス、イーサーネット（登録商標）バスが含まれる場合について例示した。しかしこれに限らず、制御系バスには、ＣＡＮバス、ＬＩＮバス、及びイーサーネット（登録商標）バス以外の通信規格、例えばＦｌｅｘＲａｙ（登録商標）などの通信規格が含まれていてもよい。また、制御系バスには、ＣＡＮバス、ＬＩＮバス、及びイーサーネット（登録商標）バスやそれ以外バスの少なくとも１つが含まれていていればよい。これにより、情報処理装置を含む通信システムの適用範囲の拡張が図られるようになる。
【０１０７】
・上記実施形態では、制御系バス１０には複数の通信用バス（バス１１〜１６，１７）が設けられている場合について例示した。しかしこれに限らず、制御系バスには、少なくとも１つの通信バスが設けられていればよい。これにより、情報処理装置を含む通信システムの適用範囲の拡張が図られるようになる。
【０１０８】
・上記実施形態では、制御系ゲートウェイ５０にはパワートレインＧＷ５１、シャーシＧＷ５２、安全ＧＷ５３及び車体ＧＷ５４が設けられている場合について例示した。しかしこれに限らず、制御系ゲートウェイには、パワートレインＧＷ、シャーシＧＷ、安全ＧＷ及び車体ＧＷのうちの少なくとも１つのゲートウェイが設けられていてもよい。これにより、情報処理装置を含む通信システムとしての適用範囲の拡張が図られるようになる。
【０１０９】
・上記実施形態では、制御系ゲートウェイ５０にはパワートレインＧＷ５１、シャーシＧＷ５２、安全ＧＷ５３及び車体ＧＷ５４が別々に設けられている場合について例示した。しかしこれに限らず、制御系ゲートウェイは、パワートレインＧＷ、シャーシＧＷ、安全ＧＷ及び車体ＧＷのうちのいずれか複数のゲートウェイが一体とされた構成であってもよい。これにより、情報処理装置を含む通信システムの設計自由度の向上が図られるようになる。
【０１１０】
・上記実施形態では、ＤＭＺ６０と制御系ゲートウェイ５０とがセントラルゲートウェイ４０に一体的に設けられている場合について例示した。例えば、セントラルゲートウェイ４０の処理装置に、ＤＭＺ６０と制御系ゲートウェイ５０との機能を配置し、各バスをソフトウェアにより論理的に隔離する場合、いずれかの機能に変更が生じるとセントラルゲートウェイ４０の全体に係わる設計変更やソフトウェアのアップデートの手間が生じる。そこで、ＤＭＺと制御系ゲートウェイとが別々の構成であってもよい。
【０１１１】
例えば図１０に示すように、ＤＭＺ６０と、パワートレインＧＷ、シャーシＧＷ、安全ＧＷ及び車体ＧＷの４つのゲートウェイをひとつにまとめた構成を有する制御系ゲートウェイ５０Ａとを別にするようにしてもよい。つまり、ＤＭＺ６０の機能を実現する処理装置と、制御系ゲートウェイ５０Ａの機能を実現する処理装置とを物理的に分離してもよい。この場合、機能に変更が生じた処理装置に係わる設計変更やソフトウェアのアップデートのみの手間だけで済むようにもなる。これにより、情報処理装置を含む通信システムの設計自由度の向上が図られるようになる。
【０１１２】
・さらに、図１１に示すように、制御系バス１０は、各通信用バスに別々の処理装置からなるゲートウェイ（スイッチ）５１Ａ〜５４Ａを備える構成であってもよい。この場合、各通信用バスに生じた仕様変更を、対応するゲートウェイ（スイッチ）の設計変更などだけ済ますことができるようになる。これにより、情報処理装置を含む通信システムの設計自由度の向上や適用範囲の拡張が図られるようになる。
【０１１３】
・上記実施形態では、制御系ゲートウェイ５０にメッセージバッファ５０１が設けられている場合について例示したが、これに限らず、制御系ゲートウェイにはメッセージバッファが設けられていなくてもよい。ちなみにこの場合、各通信バスのゲートウェイがそれぞれメッセージバッファを有していてもよいし、又は、通信バスの間で車両情報が必要な場合、その都度対象となるＥＣＵから車両情報を送信してもらうようにしてもよい。これにより、情報処理装置を含む通信システムの設計自由度の向上や適用範囲の拡張が図られるようになる。
【０１１４】
・上記実施形態では、制御系バス１０の車両情報が、制御系バス１０のＥＣＵから取得される場合と、制御系ゲートウェイ５０のメッセージバッファ５０１から取得される場合とについて例示した。車両情報がＥＣＵから取得されるときは最新の情報が取得されることが期待され、メッセージバッファ５０１から取得されるときは迅速な応答が期待される。しかしこれに限らず、制御系バスの車両情報は、制御系バスのＥＣＵのみから取得されるか、制御系ゲートウェイのメッセージバッファのみから取得されてもよい。いずれの場合であれ、処理部における車両情報の取得に関する処理には大きな相違が生じないため、処理部はいずれの場合にも好適に対応することができる。
【０１１５】
・上記実施形態では、情報系バス２０から制御系バス１０の車両情報を取得する場合について例示した。しかしこれに限らず、情報系バスから制御系バスのＥＣＵにパラメータを設定してもよい。通常、車両に搭載されている情報系バスは、外部バスよりも高いセキュリティーが確保されている。つまり、情報系バスのセキュリティーは所定のレベルに保たれていることから、情報系バスからは制御系バスの制御系機器へデータを設定する設定データの送信が許可されてもよい。このように、情報系バスから制御系バスのＥＣＵにパラメータを設定することが可能であったとしても、制御系バスのセキュリティーは適切なレベルに維持されることが普通である。これにより、外部バスに対する制御系バスのセキュリティーを維持しつつ、制御系バスに接続されている制御系機器の管理を容易にすることができる。
【０１１６】
・上記実施形態では、連続する車両情報がカメラ画像、いわゆる動画である場合について例示した。しかしこれに限らず、連続する車両情報は、大きなデータが複数に分割されたものであってもよい。これにより、情報処理装置の適用範囲の拡大が図られるようになる。
【０１１７】
・上記実施形態では、ログ部７４にてログデータを解析してもよいし、ログデータを外部のログ解析装置に送信してもよい場合について例示した。つまり、ログデータをログ部にて解析するだけでもよいし、ログデータを外部のログ解析装置に送るだけでもよいし、ログ部による解析とログ解析装置へのログデータの送信との両方を行ってもよい。いずれにせよ、ログデータに基づいて要求信号の異常の存在の有無が事後的に解析されるようになる。これにより、情報処理装置の設計自由度の向上が図られるようになる。
【０１１８】
・上記実施形態では、ログ部７４やログ解析装置によるログデータの解析が事後的に行われる場合について例示した。しかしこれに限らず、ログ部やログ解析装置は、リアルタイムでログデータを解析してもよい。これにより、異常な通信メッセージへの情報処理装置の応答性の向上が図られるようになる。
【０１１９】
・上記実施形態では、処理部７０には認証部７２、監視部７３及びログ部７４が含まれている場合について例示した。しかしこれに限らず、認証部、監視部及びログ部の全部もしくは一部が処理部から割愛される構成であってもよい。これにより、情報処理装置の設計自由度の向上が図られるようになる。
【０１２０】
・上記実施形態では、認証部７２は外部装置等との通信を開始するときに外部装置の認証を行う場合について例示した。しかしこれに限らず、認証部は、外部装置から車両情報の要求信号を受信したとき、その受信した要求信号に基づいて認証処理を開始するようにしてもよい。例えば、車両情報の要求信号の受信に応じて、認証処理を開始し、認証に必要な情報を外部装置に要求してもよい。また、車両情報の要求信号に認証用データが付与されているのであれば、車両情報の要求信号に対して認証処理を行ってもよい。これにより、情報処理装置の適用範囲の拡張が図られるようになる。
【０１２１】
・上記実施形態では、プロキシ部７１の不正な送信元に関する情報は、プロキシ部７１が認証部７２の認証結果や監視部７３の監視結果に基づいて更新する場合について例示した。しかしこれに限らず、プロキシ部の不正な送信元に関する情報を、認証部自身が認証結果に基づいて更新したり、監視部自身が監視結果に基づいて更新したりしてもよい。これにより、情報処理装置の設計自由度の向上が図られるようになる。
【０１２２】
・上記実施形態では、処理部７０にプロキシ部７１とデータサーバ部７５とが別々に設けられる場合について例示した。しかしこれに限らず、プロキシ部とデータサーバ部とは、それらの機能が実現されるのであれば一体的に構成されてもよい。これにより、情報処理装置の設計自由度の向上が図られるようになる。
【０１２３】
・上記実施形態では、第１〜第３のＦＷ部６２〜６４の規制条件が送信元や送信先のアドレスに基づいて設定されている場合について例示した。しかしこれに限らず、各ＦＷ部の規制条件は、送信元や送信先のアドレスではなく、通信メッセージの内容によって定められていてもよいし、送信元や送信先のアドレスと通信メッセージの内容とによって定められてもよい。これにより、ファイアウォールにおける通信規制の設定自由度が向上し、不正な通信メッセージのＤＭＺへの進入をより好適に防ぐことができるようになる。
【０１２４】
・上記実施形態では、ＤＭＺ６０には第１〜第３のＦＷ部６２〜６４の３つが設けられている場合について例示した。しかしこれに限らず、ＤＭＺに設けられるファイアウォールは、それらの機能が発揮されるのであれば、対応するネットワークの別に分離している構成でも、３つのネットワークに対して一体的な構成でもよい。これにより、情報処理装置の設計自由度の向上が図られるようになる。
【０１２５】
・上記実施形態では、ＤＭＺ６０において、第１〜第３のＦＷ部６２〜６４と処理部７０とが別々に設けられている場合について例示した。しかしこれに限らず、ＤＭＺにおいて、各ＦＷ部と処理部との機能が実現されるのであれば、それらは一体的に構成されてもよい。これにより、情報処理装置の設計自由度の向上が図られるようになる。
【０１２６】
・上記実施形態では、制御系バス１０から車両情報が取得される場合について例示した。しかしこれに限らず、制御系バスから車両の制御には無関係な情報、つまり車両情報以外の制御情報が取得されてもよい。これにより、情報処理装置の適用範囲の拡大が図られるようになる。
【０１２７】
・上記実施形態では、各ネットワークは制御系バス１０、情報系バス２０及び外部バス３０のバス型のネットワークである場合について例示した。しかしこれに限らず、各ネットワークは、スター型のネットワークやリング型のネットワークであってもよい。これにより、情報処理装置を含む通信システムの適用範囲の拡張が図られるようになる。
【０１２８】
・上記実施形態では、情報系バス２０や外部バス３０は、イーサーネット（登録商標）である場合について例示した。しかし、これに限らず、情報系バスや外部バスは、イーサーネット（登録商標）以外の通信規格、例えば、ＣＡＮ、ＬＩＮ、ＦｌｅｘＲａｙなどであってもよい。これにより、情報処理装置を含む通信システムの適用範囲の拡張が図られるようになる。
【０１２９】
・上記実施形態では、ＤＭＺ６０に３つのバスが接続されている場合について例示した。しかしこれに限らず、ＤＭＺには４つ以上のバスが接続されていてもよい。これにより、情報処理装置の適用範囲の拡張が図られるようになる。
【０１３０】
・上記実施形態では、制御系バス１０のセキュリティーを確保する場合について主に例示したが、これに限らず、同様にして情報系バスのセキュリティーも確保される。これにより、情報処理装置により車両の情報系バスのセキュリティーが好適に維持されるようになる。
【０１３１】
・上記実施形態では、車両１は自動車である場合について例示した。しかしこれに限らず、上記情報処理装置は自動車以外の移動体、例えば船舶、鉄道、産業機械やロボットなどに設けられていてもよい。これにより、情報処理装置を含む通信システムの適用範囲の拡大が図られるようになる。
【符号の説明】
【０１３２】
１…車両、１０…制御系バス、１１〜１４…第１〜第４のＣＡＮバス、１６…ＬＩＮバス、１７…通信バス、２０…情報系バス、２１…通信バス、２３…無線通信部、２４…次世代車載情報通信システム（ＩＶＩ）、３０…外部バス、３１…通信バス、３２…データリンクコネクタ（ＤＬＣ）、３３…無線通信部、４０…セントラルゲートウェイ、４１…通信バス、５０，５０Ａ…制御系ゲートウェイ、５１…パワートレインＧＷ、５２…シャーシＧＷ、５３…安全ＧＷ、５４…車体ＧＷ、５１Ａ〜５４Ａ…ゲートウェイ、６０…非武装地帯（ＤＭＺ）、６１…内部バス、６２〜６４…第１〜第３のファイアウォール（ＦＷ）部、７０…処理部、７１…プロキシ部、７２…認証部、７３…監視部、７４…ログ部、７５…データサーバ部、１１１〜１１３，１３１，１３２，１４１，１４２，１６１…電子制御装置（ＥＣＵ）、１７１…ＦＲカメラ、１７２…ＦＬカメラ、１７３…ＲＲカメラ、１７４…ＲＬカメラ、２１１，２１３，２１４…ＥＣＵ、２１２…イーサーネットスイッチ、５０１…メッセージバッファ、５１１〜５１４…プロトコル変換部、Ｗ…インターネット、ＭＳ…情報提供サーバ。
【図１】
2014165641.tif 000003
【図２】
2014165641.tif 000004
【図３】
2014165641.tif 000005
【図４】
2014165641.tif 000006
【図５】
2014165641.tif 000007
【図６】
2014165641.tif 000008
【図７】
2014165641.tif 000009
【図８】
2014165641.tif 000010
【図９】
2014165641.tif 000011
【図１０】
2014165641.tif 000012
【図１１】
2014165641.tif 000013