(57)【特許請求の範囲】
【請求項１】
車両に搭載され、前記車両の外部における外部装置と通信可能な車外通信装置であって、
制御部と、
耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶する記憶部とを備え、
前記制御部は、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記セキュア領域にアクセス可能な他の制御部を介して、前記セキュア領域から前記通信先情報および前記緊急時動作情報の少なくともいずれか一方を取得し、取得した情報に基づいて、通信対象とすべき情報の制限、通信先の制限、自動運転に関する制御、および前記不正アクセスに関する通知のうちの少なくともいずれか１つを行う、車外通信装置。
【請求項２】
車両に搭載され、前記車両の外部における外部装置と通信可能な車外通信装置であって、
通常時の所定の動作に関する通常時動作情報を記憶する記憶部と、
前記通常時動作情報に基づく処理を行うメイン制御部と、
耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶するセキュア記憶部と、
前記セキュア領域にアクセス可能であり、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記セキュア領域から前記通信先情報および前記緊急時動作情報の少なくともいずれか一方を取得し、取得した情報に基づいて、前記メイン制御部の代わりに、通信対象とすべき情報の制限、通信先の制限、自動運転に関する制御、および前記不正アクセスに関する通知のうちの少なくともいずれか１つを行うセキュア制御部とを備える、車外通信装置。
【請求項３】
車両に搭載され、前記車両の外部における外部装置と通信可能な車外通信装置であって、
制御部と、
前記制御部が所定の情報を出力した場合に前記制御部からのアクセスが許可されるセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶する記憶部とを備え、
前記制御部は、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記セキュア領域にアクセス可能な他の制御部を介して、前記セキュア領域から前記通信先情報および前記緊急時動作情報の少なくともいずれか一方を取得し、取得した情報に基づいて、通信対象とすべき情報の制限、通信先の制限、自動運転に関する制御、および前記不正アクセスに関する通知のうちの少なくともいずれか１つを行う、車外通信装置。
【請求項４】
車両に搭載され、前記車両の外部における外部装置と通信可能な車外通信装置であって、
通常時の所定の動作に関する通常時動作情報を記憶する記憶部と、
前記通常時動作情報に基づく処理を行うメイン制御部と、
セキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶するセキュア記憶部と、
前記セキュア領域にアクセス可能であり、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記セキュア領域から前記通信先情報および前記緊急時動作情報の少なくともいずれか一方を取得し、取得した情報に基づいて、前記メイン制御部の代わりに、通信対象とすべき情報の制限、通信先の制限、自動運転に関する制御、および前記不正アクセスに関する通知のうちの少なくともいずれか１つを行うセキュア制御部とを備える、車外通信装置。
【請求項５】
通信先の制限として、通信先を、前記車両の自動運転に必要な情報を送信する前記外部装置に制限する、請求項１から請求項４のいずれか１項に記載の車外通信装置。
【請求項６】
通信先の制限として、通信先を、緊急通報受理機関の前記外部装置に制限する、請求項１から請求項５のいずれか１項に記載の車外通信装置。
【請求項７】
前記不正アクセスに関する通知として、前記車両が前記不正アクセスを受けた旨の情報をブロードキャストする、請求項１から請求項６のいずれか１項に記載の車外通信装置。
【請求項８】
通信先の制限として、通信先を、前記外部装置および前記車載機器の少なくともいずれか一方に制限する、請求項１から請求項７のいずれか１項に記載の車外通信装置。
【請求項９】
自動運転に関する制御は、前記車両の自動運転から手動運転への切り換えである、請求項１から請求項８のいずれか１項に記載の車外通信装置。
【請求項１０】
自動運転に関する制御は、前記車両を路肩に停止させることである、請求項１から請求項９のいずれか１項に記載の車外通信装置。
【請求項１１】
前記セキュア領域は、セキュアデバイスの記憶領域に含まれる、請求項１から請求項１０のいずれか１項に記載の車外通信装置。
【請求項１２】
車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、制御部とを備える車外通信装置における通信制御方法であって、
前記記憶部は、耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、
前記制御部が、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記セキュア領域にアクセス可能な他の制御部を介して、前記セキュア領域から前記通信先情報および前記緊急時動作情報の少なくともいずれか一方を取得するステップと、
前記制御部が、取得した情報に基づいて、通信対象とすべき情報の制限、通信先の制限、自動運転に関する制御、および前記不正アクセスに関する通知のうちの少なくともいずれか１つを行うステップとを含む、通信制御方法。
【請求項１３】
車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、セキュア記憶部と、メイン制御部と、セキュア制御部とを備える車外通信装置における通信制御方法であって、
前記記憶部は、通常時の所定の動作に関する通常時動作情報を記憶し、
前記セキュア記憶部は、耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、
前記セキュア制御部は、前記セキュア領域にアクセス可能であり、
前記メイン制御部が、前記通常時動作情報に基づく処理を行うステップと、
前記セキュア制御部が、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記セキュア領域から前記通信先情報および前記緊急時動作情報の少なくともいずれか一方を取得し、取得した情報に基づいて、前記メイン制御部の代わりに、通信対象とすべき情報の制限、通信先の制限、自動運転に関する制御、および前記不正アクセスに関する通知のうちの少なくともいずれか１つを行うステップとを含む、通信制御方法。
【請求項１４】
車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、制御部とを備える車外通信装置における通信制御方法であって、
前記記憶部は、前記制御部が所定の情報を出力した場合に前記制御部からのアクセスが許可されるセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、
前記制御部が、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記セキュア領域にアクセス可能な他の制御部を介して、前記セキュア領域から前記通信先情報および前記緊急時動作情報の少なくともいずれか一方を取得するステップと、
前記制御部が、取得した情報に基づいて、通信対象とすべき情報の制限、通信先の制限、自動運転に関する制御、および前記不正アクセスに関する通知のうちの少なくともいずれか１つを行うステップとを含む、通信制御方法。
【請求項１５】
車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、セキュア記憶部と、メイン制御部と、セキュア制御部とを備える車外通信装置における通信制御方法であって、
前記記憶部は、通常時の所定の動作に関する通常時動作情報を記憶し、
前記セキュア記憶部は、セキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、
前記セキュア制御部は、前記セキュア領域にアクセス可能であり、
前記メイン制御部が、前記通常時動作情報に基づく処理を行うステップと、
前記セキュア制御部が、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記セキュア領域から前記通信先情報および前記緊急時動作情報の少なくともいずれか一方を取得し、取得した情報に基づいて、前記メイン制御部の代わりに、通信対象とすべき情報の制限、通信先の制限、自動運転に関する制御、および前記不正アクセスに関する通知のうちの少なくともいずれか１つを行うステップとを含む、通信制御方法。
【請求項１６】
車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、制御部とを備える車外通信装置において用いられる通信制御プログラムであって、
前記記憶部は、耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、
コンピュータを、
前記車両に搭載される車載機器における不正アクセスが検出された場合、前記セキュア領域にアクセス可能な他の制御部を介して、前記セキュア領域から前記通信先情報および前記緊急時動作情報の少なくともいずれか一方を取得し、取得した情報に基づいて、通信対象とすべき情報の制限、通信先の制限、自動運転に関する制御、および前記不正アクセスに関する通知のうちの少なくともいずれか１つを行う前記制御部、
として機能させるための、通信制御プログラム。
【請求項１７】
車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、セキュア記憶部とを備える車外通信装置において用いられる通信制御プログラムであって、
前記記憶部は、通常時の所定の動作に関する通常時動作情報を記憶し、
前記セキュア記憶部は、耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、
コンピュータを、
前記通常時動作情報に基づく処理を行うメイン制御部と、
前記セキュア領域にアクセス可能であり、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記セキュア領域から前記通信先情報および前記緊急時動作情報の少なくともいずれか一方を取得し、取得した情報に基づいて、前記メイン制御部の代わりに、通信対象とすべき情報の制限、通信先の制限、自動運転に関する制御、および前記不正アクセスに関する通知のうちの少なくともいずれか１つを行うセキュア制御部、
として機能させるための、通信制御プログラム。
【請求項１８】
車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、制御部とを備える車外通信装置において用いられる通信制御プログラムであって、
前記記憶部は、前記制御部が所定の情報を出力した場合に前記制御部からのアクセスが許可されるセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、
コンピュータを、
前記車両に搭載される車載機器における不正アクセスが検出された場合、前記セキュア領域にアクセス可能な他の制御部を介して、前記セキュア領域から前記通信先情報および前記緊急時動作情報の少なくともいずれか一方を取得し、取得した情報に基づいて、通信対象とすべき情報の制限、通信先の制限、自動運転に関する制御、および前記不正アクセスに関する通知のうちの少なくともいずれか１つを行う前記制御部、
として機能させるための、通信制御プログラム。
【請求項１９】
車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、セキュア記憶部とを備える車外通信装置において用いられる通信制御プログラムであって、
前記記憶部は、通常時の所定の動作に関する通常時動作情報を記憶し、
前記セキュア記憶部は、セキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、
コンピュータを、
前記通常時動作情報に基づく処理を行うメイン制御部と、
前記セキュア領域にアクセス可能であり、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記セキュア領域から前記通信先情報および前記緊急時動作情報の少なくともいずれか一方を取得し、取得した情報に基づいて、前記メイン制御部の代わりに、通信対象とすべき情報の制限、通信先の制限、自動運転に関する制御、および前記不正アクセスに関する通知のうちの少なくともいずれか１つを行うセキュア制御部、
として機能させるための、通信制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車外通信装置、通信制御方法および通信制御プログラムに関する。
この出願は、２０１７年６月１４日に出願された日本出願特願２０１７−１１６８５７号を基礎とする優先権を主張し、その開示のすべてをここに取り込む。
【背景技術】
【０００２】
特許文献１（特開２０１３−１６８８６５号公報）には、以下のような車載ネットワークシステムが開示されている。すなわち、車載ネットワークシステムは、車載ネットワーク上で用いられる通信規約のうち前記車載ネットワーク上における実装に依拠する部分を定義する定義データを格納するメモリを備えた車載制御装置と、前記車載制御装置に対して前記定義データを発行する通信規約発行装置とを備える。前記通信規約発行装置は、前記車載制御装置を前記車載ネットワークに参加させる登録装置から、前記車載制御装置を前記車載ネットワークに参加させるよう要求する登録要求を受け取ると、前記登録装置に対する認証を実施した上で、前記車載ネットワーク上における実装に準拠した前記定義データを作成して前記登録装置に返信する。前記登録装置は、前記通信規約発行装置が送信した前記定義データを受け取り、受け取った前記定義データを前記メモリ上に格納するよう前記車載制御装置に対して要求する。そして、前記車載制御装置は、前記登録装置から定義データを受け取って前記メモリ上に格納し、前記定義データが定義する前記部分にしたがって、前記通信規約に準拠して前記車載ネットワークを用いて通信する。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１３−１６８８６５号公報
【非特許文献】
【０００４】
【非特許文献１】“ウィキペディア”、［ｏｎｌｉｎｅ］、［平成２９年１月１６日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｊａ．ｗｉｋｉｐｅｄｉａ．ｏｒｇ／ｗｉｋｉ／Ｖｉｒｔｕａｌ＿Ｐｒｉｖａｔｅ＿Ｎｅｔｗｏｒｋ〉
【非特許文献２】“ＩＴ用語辞典  ｅ−Ｗｏｒｄｓ”、［ｏｎｌｉｎｅ］、［平成２９年５月１日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｅ−ｗｏｒｄｓ．ｊｐ／ｗ／耐タンパー性．ｈｔｍｌ〉
【発明の概要】
【０００５】
（１）本開示の車外通信装置は、車両に搭載され、前記車両の外部における外部装置と通信可能な車外通信装置であって、制御部と、耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶する記憶部とを備え、前記制御部は、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行う。
【０００６】
（２）本開示の車外通信装置は、車両に搭載され、前記車両の外部における外部装置と通信可能な車外通信装置であって、通常時の所定の動作に関する通常時動作情報を記憶する記憶部と、前記通常時動作情報に基づく処理を行うメイン制御部と、耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶するセキュア記憶部と、前記セキュア領域にアクセス可能であり、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記メイン制御部の代わりに、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行うセキュア制御部とを備える。
【０００７】
（３）本開示の車外通信装置は、車両に搭載され、前記車両の外部における外部装置と通信可能な車外通信装置であって、制御部と、前記制御部が所定の情報を出力した場合に前記制御部からのアクセスが許可されるセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶する記憶部とを備え、前記制御部は、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行う。
【０００８】
（４）本開示の車外通信装置は、車両に搭載され、前記車両の外部における外部装置と通信可能な車外通信装置であって、通常時の所定の動作に関する通常時動作情報を記憶する記憶部と、前記通常時動作情報に基づく処理を行うメイン制御部と、セキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶するセキュア記憶部と、前記セキュア領域にアクセス可能であり、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記メイン制御部の代わりに、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行うセキュア制御部とを備える。
【０００９】
（１３）本開示の通信制御方法は、車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、制御部とを備える車外通信装置における通信制御方法であって、前記記憶部は、耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記通信先情報および前記緊急時動作情報の少なくともいずれか一方を前記記憶部から取得するステップと、取得した前記通信先情報を用いた前記通信先との通信の制御、および取得した前記緊急時動作情報に基づく処理の少なくともいずれか一方を行うステップとを含む。
【００１０】
（１４）本開示の通信制御方法は、車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、セキュア記憶部と、メイン制御部と、セキュア制御部とを備える車外通信装置における通信制御方法であって、前記記憶部は、通常時の所定の動作に関する通常時動作情報を記憶し、前記セキュア記憶部は、耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、前記セキュア制御部は、前記セキュア領域にアクセス可能であり、前記メイン制御部が、前記通常時動作情報に基づく処理を行うステップと、前記セキュア制御部が、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記メイン制御部の代わりに、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行うステップとを含む。
【００１１】
（１５）本開示の通信制御方法は、車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、制御部とを備える車外通信装置における通信制御方法であって、前記記憶部は、前記制御部が所定の情報を出力した場合に前記制御部からのアクセスが許可されるセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記通信先情報および前記緊急時動作情報の少なくともいずれか一方を前記記憶部から取得するステップと、取得した前記通信先情報を用いた前記通信先との通信の制御、および取得した前記緊急時動作情報に基づく処理の少なくともいずれか一方を行うステップとを含む。
【００１２】
（１６）本開示の通信制御方法は、車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、セキュア記憶部と、メイン制御部と、セキュア制御部とを備える車外通信装置における通信制御方法であって、前記記憶部は、通常時の所定の動作に関する通常時動作情報を記憶し、前記セキュア記憶部は、セキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、前記セキュア制御部は、前記セキュア領域にアクセス可能であり、前記メイン制御部が、前記通常時動作情報に基づく処理を行うステップと、前記セキュア制御部が、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記メイン制御部の代わりに、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行うステップとを含む。
【００１３】
（１７）本開示の通信制御プログラムは、車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、制御部とを備える車外通信装置において用いられる通信制御プログラムであって、前記記憶部は、耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、コンピュータを、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行う前記制御部、として機能させるためのプログラムである。
【００１４】
（１８）本開示の通信制御プログラムは、車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、セキュア記憶部とを備える車外通信装置において用いられる通信制御プログラムであって、前記記憶部は、通常時の所定の動作に関する通常時動作情報を記憶し、前記セキュア記憶部は、耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、コンピュータを、前記通常時動作情報に基づく処理を行うメイン制御部と、前記セキュア領域にアクセス可能であり、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記メイン制御部の代わりに、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行うセキュア制御部、として機能させるためのプログラムである。
【００１５】
（１９）本開示の通信制御プログラムは、車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、制御部とを備える車外通信装置において用いられる通信制御プログラムであって、前記記憶部は、前記制御部が所定の情報を出力した場合に前記制御部からのアクセスが許可されるセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、コンピュータを、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行う前記制御部、として機能させるためのプログラムである。
【００１６】
（２０）本開示の通信制御プログラムは、車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、セキュア記憶部とを備える車外通信装置において用いられる通信制御プログラムであって、前記記憶部は、通常時の所定の動作に関する通常時動作情報を記憶し、前記セキュア記憶部は、セキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、コンピュータを、前記通常時動作情報に基づく処理を行うメイン制御部と、前記セキュア領域にアクセス可能であり、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記メイン制御部の代わりに、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行うセキュア制御部、として機能させるためのプログラムである。
【００１７】
本開示の一態様は、このような特徴的な処理部を備える車外通信装置として実現され得るだけでなく、車外通信装置を備える車載通信システムとして実現され得る。また、本発明は、車外通信装置の一部または全部を実現する半導体集積回路として実現され得る。
【図面の簡単な説明】
【００１８】
【図１】図１は、本発明の第１の実施の形態に係る車載通信システムの構成を示す図である。
【図２】図２は、本発明の第１の実施の形態に係る車載通信システムにおける車外通信装置の構成を示す図である。
【図３】図３は、本発明の第１の実施の形態に係る車外通信装置における通信ＬＳＩの構成を示す図である。
【図４】図４は、本発明の第１の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【図５】図５は、本発明の第１の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【図６】図６は、本発明の第１の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【図７】図７は、本発明の第１の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【図８】図８は、本発明の第１の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【図９】図９は、本発明の第２の実施の形態に係る車載通信システムにおける車外通信装置の構成を示す図である。
【図１０】図１０は、本発明の第２の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【図１１】図１１は、本発明の第２の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【図１２】図１２は、本発明の第２の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【図１３】図１３は、本発明の第２の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【図１４】図１４は、本発明の第２の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【発明を実施するための形態】
【００１９】
従来、車載ネットワークにおけるセキュリティを向上させるための車載ネットワークシステムが開発されている。
【００２０】
［本開示が解決しようとする課題］
たとえば、特許文献１に記載の車載ネットワークが、車両の外部における外部ネットワークと接続される場合、外部ネットワークと通信するための車外通信装置が車両に設けられることがある。この場合、車外通信装置が車両の外部からハッキング等の不正アクセスを受けることが考えられ、このような不正アクセスを受けた場合に、車外通信装置として適切な処理を行うための技術が求められる。
【００２１】
本開示は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおいて、不正アクセスを受けても適切な処理をより確実に行うことが可能な車外通信装置、通信制御方法および通信制御プログラムを提供することである。
【００２２】
［本開示の効果］
本開示によれば、車載ネットワークにおいて、不正アクセスを受けても適切な処理をより確実に行うことができる。
【００２３】
［本願発明の実施形態の説明］
最初に、本発明の実施形態の内容を列記して説明する。
【００２４】
（１）本発明の実施の形態に係る車外通信装置は、車両に搭載され、前記車両の外部における外部装置と通信可能な車外通信装置であって、制御部と、耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶する記憶部とを備え、前記制御部は、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行う。
【００２５】
このように、たとえば、不正アクセスを受けた場合に行うべきと想定される処理に必要な通信先情報および緊急時動作情報の少なくともいずれか一方を、車両の外部からの書き換えが困難なセキュア領域に記憶する構成により、不正アクセスを受けた場合においても、不正アクセスによる書き換えの心配のない情報をセキュア領域から取得することができるので、想定した通信先との通信、および想定した処理の少なくともいずれか一方を確実に行うことができる。したがって、車載ネットワークにおいて、不正アクセスを受けても適切な処理をより確実に行うことができる。また、不正アクセスを受けた場合において、通信先情報を用いた通信先との通信を行う構成により、たとえば不正アクセスを受けた場合に外部装置との通信を完全に遮断する構成と比べて、不正アクセスに対処するために必要な情報の伝送を確保することができる。
【００２６】
（２）本発明の実施の形態に係る車外通信装置は、車両に搭載され、前記車両の外部における外部装置と通信可能な車外通信装置であって、通常時の所定の動作に関する通常時動作情報を記憶する記憶部と、前記通常時動作情報に基づく処理を行うメイン制御部と、耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶するセキュア記憶部と、前記セキュア領域にアクセス可能であり、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記メイン制御部の代わりに、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行うセキュア制御部とを備える。
【００２７】
このように、たとえば、不正アクセスを受けた場合に行うべきと想定される処理に必要な通信先情報および緊急時動作情報の少なくともいずれか一方を、セキュア制御部がアクセス可能なセキュア領域に記憶し、かつ不正アクセスが検出された場合に、セキュア制御部がメイン制御部の代わりに制御を行う構成により、不正アクセスを受けた場合においても、外部からの不正操作の困難なセキュア制御部が、不正アクセスによる書き換えの心配のないセキュア領域における情報を用いて、想定した通信先との通信、および想定した処理の少なくともいずれか一方を確実に行うことができる。したがって、車載ネットワークにおいて、不正アクセスを受けても適切な処理をより確実に行うことができる。また、不正アクセスを受けた場合において、通信先情報を用いた通信先との通信を行う構成により、たとえば不正アクセスを受けた場合に外部装置との通信を完全に遮断する構成と比べて、不正アクセスに対処するために必要な情報の伝送を確保することができる。
【００２８】
（３）本発明の実施の形態に係る車外通信装置は、車両に搭載され、前記車両の外部における外部装置と通信可能な車外通信装置であって、制御部と、前記制御部が所定の情報を出力した場合に前記制御部からのアクセスが許可されるセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶する記憶部とを備え、前記制御部は、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行う。
【００２９】
このように、たとえば、不正アクセスを受けた場合に行うべきと想定される処理に必要な通信先情報および緊急時動作情報の少なくともいずれか一方を、車両の外部からの書き換えが困難なセキュア領域に記憶する構成により、不正アクセスを受けた場合においても、不正アクセスによる書き換えの心配のない情報をセキュア領域から取得することができるので、想定した通信先との通信、および想定した処理の少なくともいずれか一方を確実に行うことができる。したがって、車載ネットワークにおいて、不正アクセスを受けても適切な処理をより確実に行うことができる。また、不正アクセスを受けた場合において、通信先情報を用いた通信先との通信を行う構成により、たとえば不正アクセスを受けた場合に外部装置との通信を完全に遮断する構成と比べて、不正アクセスに対処するために必要な情報の伝送を確保することができる。
【００３０】
（４）本発明の実施の形態に係る車外通信装置は、車両に搭載され、前記車両の外部における外部装置と通信可能な車外通信装置であって、通常時の所定の動作に関する通常時動作情報を記憶する記憶部と、前記通常時動作情報に基づく処理を行うメイン制御部と、セキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶するセキュア記憶部と、前記セキュア領域にアクセス可能であり、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記メイン制御部の代わりに、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行うセキュア制御部とを備える。
【００３１】
このように、たとえば、不正アクセスを受けた場合に行うべきと想定される処理に必要な通信先情報および緊急時動作情報の少なくともいずれか一方を、セキュア制御部がアクセス可能なセキュア領域に記憶し、かつ不正アクセスが検出された場合に、セキュア制御部がメイン制御部の代わりに制御を行う構成により、不正アクセスを受けた場合においても、外部からの不正操作の困難なセキュア制御部が、不正アクセスによる書き換えの心配のないセキュア領域における情報を用いて、想定した通信先との通信、および想定した処理の少なくともいずれか一方を確実に行うことができる。したがって、車載ネットワークにおいて、不正アクセスを受けても適切な処理をより確実に行うことができる。また、不正アクセスを受けた場合において、通信先情報を用いた通信先との通信を行う構成により、たとえば不正アクセスを受けた場合に外部装置との通信を完全に遮断する構成と比べて、不正アクセスに対処するために必要な情報の伝送を確保することができる。
【００３２】
（５）好ましくは、前記通信先は、前記車両の自動運転に必要な情報を送信する前記外部装置である。
【００３３】
このような構成により、車両の自動運転に必要な情報を送信する外部装置とやり取りする情報の伝送を確保することができるので、不正アクセスを受けた場合における車両の自動運転の継続に寄与することができる。
【００３４】
（６）好ましくは、前記通信先は、緊急通報受理機関の前記外部装置である。
【００３５】
このような構成により、車両が不正アクセスを受けた旨等をより確実に緊急通報受理機関に通知することができる。
【００３６】
（７）好ましくは、前記通信先は、ブロードキャストを示す。
【００３７】
たとえば、通信先を特定している場合において、当該通信先が車外通信装置からの情報を受信することが困難なとき、車外通信装置から車外へ情報を伝送できなくなる一方、上記のように通信先を特定しない構成により、車外への情報伝送をより確実に行うことができる。
【００３８】
（８）より好ましくは、前記通信先との通信として、前記車両が前記不正アクセスを受けた旨の情報がブロードキャストされる。
【００３９】
このような構成により、車両が不正アクセスを受けた旨をいずれかの装置に報知することができる。
【００４０】
（９）好ましくは、前記緊急時の所定の動作は、前記外部装置および前記車載機器の少なくともいずれか一方との通信である。
【００４１】
このような構成により、通信の信頼性が損なわれる可能性の高い不正アクセスを受けた状況においても、不正アクセスによる書き換えの心配のないセキュア領域における緊急時動作情報に基づいて、外部装置および車載機器の少なくともいずれか一方と良好な通信を行うことができる。
【００４２】
（１０）好ましくは、前記緊急時の所定の動作は、前記車両の自動運転から手動運転への切り換えである。
【００４３】
このように、車両の自動運転の信頼性が損なわれる可能性の高い不正アクセスを受けた状況において、自動運転から手動運転に切り換える構成により、ドライバが車両を制御することができるので、不正アクセスを受けた場合においても車両の良好な運転を維持することができる。
【００４４】
（１１）好ましくは、前記緊急時の所定の動作は、前記車両を路肩に停止させることである。
【００４５】
このように、車両の自動運転の信頼性が損なわれる可能性の高い不正アクセスを受けた状況において、車両を路肩に停止させる構成により、車両の安全を確保するとともに、信頼性の低い自動運転が継続してしまうことを防ぐことができる。
【００４６】
（１２）好ましくは、前記セキュア領域は、セキュアデバイスの記憶領域に含まれる。
【００４７】
このように、たとえば汎用のセキュアデバイスにおけるセキュア領域を用いる構成により、車外通信装置においてセキュア領域を簡易に確保することができる。
【００４８】
（１３）本発明の実施の形態に係る通信制御方法は、車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、制御部とを備える車外通信装置における通信制御方法であって、前記記憶部は、耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記通信先情報および前記緊急時動作情報の少なくともいずれか一方を前記記憶部から取得するステップと、取得した前記通信先情報を用いた前記通信先との通信の制御、および取得した前記緊急時動作情報に基づく処理の少なくともいずれか一方を行うステップとを含む。
【００４９】
このように、たとえば、不正アクセスを受けた場合に行うべきと想定される処理に必要な通信先情報および緊急時動作情報の少なくともいずれか一方を、車両の外部からの書き換えが困難なセキュア領域に記憶する構成により、不正アクセスを受けた場合においても、不正アクセスによる書き換えの心配のない情報をセキュア領域から取得することができるので、想定した通信先との通信、および想定した処理の少なくともいずれか一方を確実に行うことができる。したがって、車載ネットワークにおいて、不正アクセスを受けても適切な処理をより確実に行うことができる。また、不正アクセスを受けた場合において、通信先情報を用いた通信先との通信を行う構成により、たとえば不正アクセスを受けた場合に外部装置との通信を完全に遮断する構成と比べて、不正アクセスに対処するために必要な情報の伝送を確保することができる。
【００５０】
（１４）本発明の実施の形態に係る通信制御方法は、車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、セキュア記憶部と、メイン制御部と、セキュア制御部とを備える車外通信装置における通信制御方法であって、前記記憶部は、通常時の所定の動作に関する通常時動作情報を記憶し、前記セキュア記憶部は、耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、前記セキュア制御部は、前記セキュア領域にアクセス可能であり、前記メイン制御部が、前記通常時動作情報に基づく処理を行うステップと、前記セキュア制御部が、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記メイン制御部の代わりに、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行うステップとを含む。
【００５１】
このように、たとえば、不正アクセスを受けた場合に行うべきと想定される処理に必要な通信先情報および緊急時動作情報の少なくともいずれか一方を、セキュア制御部がアクセス可能なセキュア領域に記憶し、かつ不正アクセスが検出された場合に、セキュア制御部がメイン制御部の代わりに制御を行う構成により、不正アクセスを受けた場合においても、外部からの不正操作の困難なセキュア制御部が、不正アクセスによる書き換えの心配のないセキュア領域における情報を用いて、想定した通信先との通信、および想定した処理の少なくともいずれか一方を確実に行うことができる。したがって、車載ネットワークにおいて、不正アクセスを受けても適切な処理をより確実に行うことができる。また、不正アクセスを受けた場合において、通信先情報を用いた通信先との通信を行う構成により、たとえば不正アクセスを受けた場合に外部装置との通信を完全に遮断する構成と比べて、不正アクセスに対処するために必要な情報の伝送を確保することができる。
【００５２】
（１５）本発明の実施の形態に係る通信制御方法は、車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、制御部とを備える車外通信装置における通信制御方法であって、前記記憶部は、前記制御部が所定の情報を出力した場合に前記制御部からのアクセスが許可されるセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記通信先情報および前記緊急時動作情報の少なくともいずれか一方を前記記憶部から取得するステップと、取得した前記通信先情報を用いた前記通信先との通信の制御、および取得した前記緊急時動作情報に基づく処理の少なくともいずれか一方を行うステップとを含む。
【００５３】
このように、たとえば、不正アクセスを受けた場合に行うべきと想定される処理に必要な通信先情報および緊急時動作情報の少なくともいずれか一方を、車両の外部からの書き換えが困難なセキュア領域に記憶する構成により、不正アクセスを受けた場合においても、不正アクセスによる書き換えの心配のない情報をセキュア領域から取得することができるので、想定した通信先との通信、および想定した処理の少なくともいずれか一方を確実に行うことができる。したがって、車載ネットワークにおいて、不正アクセスを受けても適切な処理をより確実に行うことができる。また、不正アクセスを受けた場合において、通信先情報を用いた通信先との通信を行う構成により、たとえば不正アクセスを受けた場合に外部装置との通信を完全に遮断する構成と比べて、不正アクセスに対処するために必要な情報の伝送を確保することができる。
【００５４】
（１６）本発明の実施の形態に係る通信制御方法は、車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、セキュア記憶部と、メイン制御部と、セキュア制御部とを備える車外通信装置における通信制御方法であって、前記記憶部は、通常時の所定の動作に関する通常時動作情報を記憶し、前記セキュア記憶部は、セキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、前記セキュア制御部は、前記セキュア領域にアクセス可能であり、前記メイン制御部が、前記通常時動作情報に基づく処理を行うステップと、前記セキュア制御部が、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記メイン制御部の代わりに、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行うステップとを含む。
【００５５】
このように、たとえば、不正アクセスを受けた場合に行うべきと想定される処理に必要な通信先情報および緊急時動作情報の少なくともいずれか一方を、セキュア制御部がアクセス可能なセキュア領域に記憶し、かつ不正アクセスが検出された場合に、セキュア制御部がメイン制御部の代わりに制御を行う構成により、不正アクセスを受けた場合においても、外部からの不正操作の困難なセキュア制御部が、不正アクセスによる書き換えの心配のないセキュア領域における情報を用いて、想定した通信先との通信、および想定した処理の少なくともいずれか一方を確実に行うことができる。したがって、車載ネットワークにおいて、不正アクセスを受けても適切な処理をより確実に行うことができる。また、不正アクセスを受けた場合において、通信先情報を用いた通信先との通信を行う構成により、たとえば不正アクセスを受けた場合に外部装置との通信を完全に遮断する構成と比べて、不正アクセスに対処するために必要な情報の伝送を確保することができる。
【００５６】
（１７）本発明の実施の形態に係る通信制御プログラムは、車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、制御部とを備える車外通信装置において用いられる通信制御プログラムであって、前記記憶部は、耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、コンピュータを、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行う前記制御部、として機能させるためのプログラムである。
【００５７】
このように、たとえば、不正アクセスを受けた場合に行うべきと想定される処理に必要な通信先情報および緊急時動作情報の少なくともいずれか一方を、車両の外部からの書き換えが困難なセキュア領域に記憶する構成により、不正アクセスを受けた場合においても、不正アクセスによる書き換えの心配のない情報をセキュア領域から取得することができるので、想定した通信先との通信、および想定した処理の少なくともいずれか一方を確実に行うことができる。したがって、車載ネットワークにおいて、不正アクセスを受けても適切な処理をより確実に行うことができる。また、不正アクセスを受けた場合において、通信先情報を用いた通信先との通信を行う構成により、たとえば不正アクセスを受けた場合に外部装置との通信を完全に遮断する構成と比べて、不正アクセスに対処するために必要な情報の伝送を確保することができる。
【００５８】
（１８）本発明の実施の形態に係る通信制御プログラムは、車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、セキュア記憶部とを備える車外通信装置において用いられる通信制御プログラムであって、前記記憶部は、通常時の所定の動作に関する通常時動作情報を記憶し、前記セキュア記憶部は、耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、コンピュータを、前記通常時動作情報に基づく処理を行うメイン制御部と、前記セキュア領域にアクセス可能であり、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記メイン制御部の代わりに、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行うセキュア制御部、として機能させるためのプログラムである。
【００５９】
このように、たとえば、不正アクセスを受けた場合に行うべきと想定される処理に必要な通信先情報および緊急時動作情報の少なくともいずれか一方を、セキュア制御部がアクセス可能なセキュア領域に記憶し、かつ不正アクセスが検出された場合に、セキュア制御部がメイン制御部の代わりに制御を行う構成により、不正アクセスを受けた場合においても、外部からの不正操作の困難なセキュア制御部が、不正アクセスによる書き換えの心配のないセキュア領域における情報を用いて、想定した通信先との通信、および想定した処理の少なくともいずれか一方を確実に行うことができる。したがって、車載ネットワークにおいて、不正アクセスを受けても適切な処理をより確実に行うことができる。また、不正アクセスを受けた場合において、通信先情報を用いた通信先との通信を行う構成により、たとえば不正アクセスを受けた場合に外部装置との通信を完全に遮断する構成と比べて、不正アクセスに対処するために必要な情報の伝送を確保することができる。
【００６０】
（１９）本発明の実施の形態に係る通信制御プログラムは、車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、制御部とを備える車外通信装置において用いられる通信制御プログラムであって、前記記憶部は、前記制御部が所定の情報を出力した場合に前記制御部からのアクセスが許可されるセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、コンピュータを、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行う前記制御部、として機能させるためのプログラムである。
【００６１】
このように、たとえば、不正アクセスを受けた場合に行うべきと想定される処理に必要な通信先情報および緊急時動作情報の少なくともいずれか一方を、車両の外部からの書き換えが困難なセキュア領域に記憶する構成により、不正アクセスを受けた場合においても、不正アクセスによる書き換えの心配のない情報をセキュア領域から取得することができるので、想定した通信先との通信、および想定した処理の少なくともいずれか一方を確実に行うことができる。したがって、車載ネットワークにおいて、不正アクセスを受けても適切な処理をより確実に行うことができる。また、不正アクセスを受けた場合において、通信先情報を用いた通信先との通信を行う構成により、たとえば不正アクセスを受けた場合に外部装置との通信を完全に遮断する構成と比べて、不正アクセスに対処するために必要な情報の伝送を確保することができる。
【００６２】
（２０）本発明の実施の形態に係る通信制御プログラムは、車両に搭載され、前記車両の外部における外部装置と通信可能であり、記憶部と、セキュア記憶部とを備える車外通信装置において用いられる通信制御プログラムであって、前記記憶部は、通常時の所定の動作に関する通常時動作情報を記憶し、前記セキュア記憶部は、セキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶し、コンピュータを、前記通常時動作情報に基づく処理を行うメイン制御部と、前記セキュア領域にアクセス可能であり、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記メイン制御部の代わりに、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行うセキュア制御部、として機能させるためのプログラムである。
【００６３】
このように、たとえば、不正アクセスを受けた場合に行うべきと想定される処理に必要な通信先情報および緊急時動作情報の少なくともいずれか一方を、セキュア制御部がアクセス可能なセキュア領域に記憶し、かつ不正アクセスが検出された場合に、セキュア制御部がメイン制御部の代わりに制御を行う構成により、不正アクセスを受けた場合においても、外部からの不正操作の困難なセキュア制御部が、不正アクセスによる書き換えの心配のないセキュア領域における情報を用いて、想定した通信先との通信、および想定した処理の少なくともいずれか一方を確実に行うことができる。したがって、車載ネットワークにおいて、不正アクセスを受けても適切な処理をより確実に行うことができる。また、不正アクセスを受けた場合において、通信先情報を用いた通信先との通信を行う構成により、たとえば不正アクセスを受けた場合に外部装置との通信を完全に遮断する構成と比べて、不正アクセスに対処するために必要な情報の伝送を確保することができる。
【００６４】
以下、本発明の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。
【００６５】
＜第１の実施の形態＞
［構成および基本動作］
図１は、本発明の第１の実施の形態に係る車載通信システムの構成を示す図である。
【００６６】
図１を参照して、車載通信システム３０１は、車外通信装置１０１と、車載ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔ）１１１と、自動運転ＥＣＵ１１２と、スイッチ装置１５１とを備える。車載通信システム３０１は、対象車両１に搭載される。
【００６７】
車外通信装置１０１、車載ＥＣＵ１１１、自動運転ＥＣＵ１１２およびスイッチ装置１５１は、車載機器の一例である。
【００６８】
スイッチ装置１５１が、車外通信装置１０１、車載ＥＣＵ１１１および自動運転ＥＣＵ１１２と接続されることにより、車載ネットワーク１０が形成される。
【００６９】
なお、車載機器は、これらの具体例に限らず、対象車両１に搭載される機器であれば、他のデバイスであってもよい。
【００７０】
車外通信装置１０１は、対象車両１の外部における外部装置と通信可能である。具体的には、車外通信装置１０１は、たとえば、外部装置の一例である、無線基地局装置１６１、通報先サーバ１８２、キャリアサーバ１８３、地図サーバ１８４、管制サーバ１８５、一般サーバ１８６、および他の車両２における車載通信装置１８７と通信可能である。
【００７１】
通報先サーバ１８２、キャリアサーバ１８３、地図サーバ１８４、管制サーバ１８５および一般サーバ１８６の各々は、たとえば、ＩＰプロトコルに従って通信を行うことが可能なサーバである。以下、これらのサーバの各々を、ＩＰサーバとも称する。
【００７２】
なお、外部装置は、これらの具体例に限らず、対象車両１の外部に設けられる装置であれば、他の装置であってもよい。
【００７３】
通報先サーバ１８２は、たとえば、警察機関および消防機関等の緊急通報受理機関によって運営されるサーバであり、車外通信装置１０１等の無線通信装置からの緊急通報を受け付けることが可能である。
【００７４】
キャリアサーバ１８３は、たとえば、通信キャリアによって運営されるサーバであり、車外通信装置１０１等の無線通信装置を認証することにより、当該無線通信装置が無線基地局装置１６１を介して外部ネットワーク１１にアクセスすることを可能にする。
【００７５】
地図サーバ１８４および管制サーバ１８５は、たとえば、対象車両１の自動運転に必要な情報を送信する。
【００７６】
より詳細には、地図サーバ１８４は、たとえば絶対座標に基づくマップを示す地図情報を車外通信装置１０１等の無線通信装置へ送信する。
【００７７】
管制サーバ１８５は、たとえば、無人の車両を遠隔の位置から自動運転するための遠隔自動運転情報、および自動運転によって車両を指定した位置、具体的には路肩等へ安全に停止させるための誘導指示情報等の管制情報を車外通信装置１０１等の無線通信装置へ送信する。
【００７８】
一般サーバ１８６は、たとえば、車外通信装置１０１等の無線通信装置の要求に応じて、テキスト情報、画像情報、動画情報および音声情報等を当該無線通信装置へ送信する。
【００７９】
スイッチ装置１５１は、たとえばレイヤ２（Ｌ２）スイッチであり、イーサネット（登録商標）の通信規格に従って、イーサネットフレームの中継処理を行う。
【００８０】
具体的には、スイッチ装置１５１は、たとえば、車外通信装置１０１、車載ＥＣＵ１１１および自動運転ＥＣＵ１１２間でやり取りされるイーサネットフレームを中継する。
【００８１】
車載ＥＣＵ１１１は、たとえば、カメラおよびレーザーセンサ等であり、対象車両１の周囲における他の車両２、歩行者および構造物等の物体を検知し、検知結果を示す周辺検知情報を作成する。
【００８２】
車載ＥＣＵ１１１は、たとえば、作成した周辺検知情報をイーサネットフレームに格納し、当該イーサネットフレームの宛先ＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスを自動運転ＥＣＵ１１２のＭＡＣアドレスに設定してスイッチ装置１５１へ送信する。
【００８３】
スイッチ装置１５１は、車載ＥＣＵ１１１からイーサネットフレームを受信すると、受信したイーサネットフレームの宛先ＭＡＣアドレスを確認し、当該イーサネットフレームを自動運転ＥＣＵ１１２へ送信する。
【００８４】
自動運転ＥＣＵ１１２は、自己の対象車両１の運転を制御する。詳細には、自動運転ＥＣＵ１１２は、自己の対象車両１について、完全自動運転の制御および一部自動運転の制御を行うことが可能である。
【００８５】
ここで、完全自動運転の制御は、たとえば、運転者の対象車両１に対する操作を要しない制御である。また、一部自動運転の制御は、たとえば、ブレーキアシストおよびレーンキープ等の運転者の対象車両１に対する操作の一部を自動化する制御である。
【００８６】
より詳細には、自動運転ＥＣＵ１１２は、たとえば、周辺検知情報が格納されたイーサネットフレームをスイッチ装置１５１から受信すると、受信したイーサネットフレームから周辺検知情報を取得する。
【００８７】
また、自動運転ＥＣＵ１１２は、たとえば、所定周期ごとに、ＧＰＳ衛星からの電波に基づいて自己の対象車両１の位置を取得し、取得した位置を示す車両位置情報を作成する。
【００８８】
また、自動運転ＥＣＵ１１２は、たとえば、外部ネットワーク１１、無線基地局装置１６１、車外通信装置１０１およびスイッチ装置１５１経由で、地図サーバ１８４および管制サーバ１８５から地図情報および管制情報をそれぞれ取得する。
【００８９】
自動運転ＥＣＵ１１２は、たとえば、対象車両１が無人車両の場合において、周辺検知情報、車両位置情報、地図情報および管制情報等に基づいて、自己の対象車両１について完全自動運転の制御を行う。
【００９０】
具体的には、自動運転ＥＣＵ１１２は、たとえば、管制サーバ１８５からの指示に従って、道路および駐車場等を走行したり、指定された路肩に停車したりするように、自己の対象車両１について完全自動運転の制御を行う。
【００９１】
また、たとえば、対象車両１が有人車両の場合、自動運転ＥＣＵ１１２は、周辺検知情報、車両位置情報および地図情報等に基づいて、自己の対象車両１について、完全自動運転の制御を行うことが可能である。
【００９２】
また、自動運転ＥＣＵ１１２は、たとえば、周辺検知情報等に基づいて一部自動運転の制御を行う。
【００９３】
［緊急時における通信制御の基本例］
図２は、本発明の第１の実施の形態に係る車載通信システムにおける車外通信装置の構成を示す図である。
【００９４】
図２を参照して、車外通信装置１０１は、メインＩＣ（Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）５１と、セキュアＩＣ５２と、通信ＬＳＩ（Ｌａｒｇｅ−Ｓｃａｌｅ  Ｉｎｔｅｇｒａｔｉｏｎ）５３とを備える。
【００９５】
メインＩＣ５１は、メイン制御部２３と、不正アクセス検出部２４と、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）３０と、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）３１とを含む。
【００９６】
セキュアＩＣ５２は、記憶部２６と、セキュア制御部２８と、ＲＡＭ２９とを含む。記憶部２６は、セキュア領域２７を含む。
【００９７】
メインＩＣ５１におけるＲＡＭ３１は、メイン制御部２３の作業領域、およびプログラムの一時保存領域等に用いられる。
【００９８】
ＲＯＭ３０は、たとえば、ＦＲＯＭ（Ｆｌａｓｈ  ＲＯＭ）であり、通常時の所定の動作に関する通常時動作情報を記憶する。
【００９９】
通常時動作情報は、具体的には、不正アクセスを受けていない通常時における所定の動作を行うためのメインプログラムを含む。詳細には、通常時動作情報は、メインプログラムとして、たとえば、メイン外部通信プログラムと、メイン内部通信プログラムとを含む。
【０１００】
メイン外部通信プログラムは、外部装置との情報の送受信を通信ＬＳＩ５３に行わせるためのプログラムである。
【０１０１】
メイン内部通信プログラムは、車載機器との情報の送受信を通信ＬＳＩ５３に行わせるためのプログラムである。
【０１０２】
セキュアＩＣ５２は、セキュアデバイスの一例であり、具体的にはＳＩＭ（Ｓｕｂｓｃｒｉｂｅｒ  Ｉｄｅｎｔｉｔｙ  Ｍｏｄｕｌｅ）カードである。セキュアＩＣ５２におけるセキュア制御部２８を外部から不正操作すること、およびセキュア領域２７に保存された情報を外部から不正に書き換えることは困難である。
【０１０３】
セキュアＩＣ５２におけるＲＡＭ２９は、セキュア制御部２８の作業領域、およびプログラムの一時保存領域等に用いられる。
【０１０４】
記憶部２６は、セキュア領域２７に、緊急時の所定の動作に関する緊急時動作情報を記憶する。
【０１０５】
また、記憶部２６は、たとえば、セキュア領域２７に、通信速度および加入者認証情報等を含む契約者情報を記憶する。
【０１０６】
より詳細には、緊急時動作情報は、具体的には、たとえば緊急時の所定の動作を行うための緊急時プログラムを含む。この例では、緊急時動作情報は、緊急時プログラムとして、緊急時外部通信プログラムと、緊急時内部通信プログラムとを含む。
【０１０７】
緊急時外部通信プログラムは、外部装置との通信を行うためのプログラムである。より詳細には、緊急時外部通信プログラムは、外部装置との情報の送受信を通信ＬＳＩ５３に最低限行わせるためのプログラムである。
【０１０８】
緊急時内部通信プログラムは、車載機器との通信を行うためのプログラムである。より詳細には、緊急時内部通信プログラムは、車載機器との情報の送受信を通信ＬＳＩ５３に最低限行わせるためのプログラムである。
【０１０９】
セキュア領域２７は、メイン制御部２３が所定の情報を出力した場合にメイン制御部２３からのアクセスが許可される。
【０１１０】
この例では、セキュア領域２７は、メイン制御部２３が所定の手順Ｐ１に従った場合にメイン制御部２３からアクセス可能であり、手順Ｐ１に従わない場合にはアクセスできない。
【０１１１】
より詳細には、セキュア制御部２８は、セキュア領域２７にアクセス可能である。一方、メイン制御部２３は、セキュアＩＣ５２におけるセキュア制御部２８により認証された場合にしかセキュア領域２７にアクセスできない。
【０１１２】
メイン制御部２３は、セキュア領域２７にアクセスしようとする場合、たとえば、アクセス要求をセキュア制御部２８へ出力する。
【０１１３】
セキュア制御部２８は、メイン制御部２３からアクセス要求を受けると、認証情報の要求を示す認証情報要求をメイン制御部２３へ出力する。
【０１１４】
メイン制御部２３は、セキュア制御部２８から認証情報要求を受けると、受けた認証情報要求に従って、たとえば、パスワード、またはパスワードとＩＤとの組み合わせ等を含む認証情報をセキュア制御部２８へ出力する。
【０１１５】
セキュア制御部２８は、メイン制御部２３から認証情報を受けると、受けた認証情報を認証する。セキュア制御部２８は、認証情報の認証に成功した場合、アクセス許可を示す許可情報をメイン制御部２３へ出力する。一方、セキュア制御部２８は、認証情報の認証に失敗した場合、アクセス不許可を示す不許可情報をメイン制御部２３へ出力する。
【０１１６】
メイン制御部２３は、セキュア制御部２８から許可情報を受けた場合、セキュア制御部２８を介してセキュア領域２７へのアクセスが可能となるが、セキュア制御部２８から不許可情報を受けた場合、セキュア領域２７へのアクセスがセキュア制御部２８によってブロックされる。
【０１１７】
なお、セキュア制御部２８によるメイン制御部２３の認証は、上記の手順Ｐ１に従う構成に限らず、たとえば、メイン制御部２３が認証情報をセキュア制御部２８へ送信し、セキュア制御部２８が、メイン制御部２３から受けた認証情報を認証する構成であってもよい。
【０１１８】
図３は、本発明の第１の実施の形態に係る車外通信装置における通信ＬＳＩの構成を示す図である。
【０１１９】
図３を参照して、通信ＬＳＩ５３は、車外通信部２１と、通信データ処理部２２と、車内通信部２５とを含む。
【０１２０】
通信ＬＳＩ５３における通信データ処理部２２は、メイン制御部２３の制御に従って動作する。
【０１２１】
車外通信部２１は、外部装置と通信を行うことが可能である。詳細には、車外通信部２１は、たとえば、ＩＰプロトコルに従い、無線基地局装置１６１を介してＩＰサーバと通信することが可能である。
【０１２２】
より詳細には、車外通信部２１は、たとえば、ＬＴＥ（Ｌｏｎｇ  Ｔｅｒｍ  Ｅｖｏｌｕｔｉｏｎ）または３Ｇ等の通信規格に従って、無線基地局装置１６１と無線通信を行うことが可能である。
【０１２３】
具体的には、車外通信部２１は、たとえば、ＩＰサーバからのＩＰパケットが格納された無線フレームを無線基地局装置１６１から受信すると、受信した無線フレームから当該ＩＰパケットを取得し、取得したＩＰパケットを通信データ処理部２２へ出力する。
【０１２４】
また、車外通信部２１は、ＩＰサーバを宛先とするＩＰパケットを通信データ処理部２２から受けると、受けたＩＰパケットを無線フレームに格納し、当該無線フレームを無線基地局装置１６１へ送信する。
【０１２５】
再び図１を参照して、無線基地局装置１６１は、車外通信装置１０１から無線フレームを受信すると、受信した無線フレームからＩＰパケットを取得し、取得したＩＰパケットを外部ネットワーク１１経由で宛先のＩＰサーバへ送信する。
【０１２６】
また、無線基地局装置１６１は、ＩＰサーバから外部ネットワーク１１経由でＩＰパケットを受信すると、受信したＩＰパケットを無線フレームに格納し、当該無線フレームを車外通信装置１０１へ送信する。
【０１２７】
再び図２を参照して、車外通信部２１は、たとえば、他の車両２における車載通信装置１８７と車車間通信を行うことが可能である。
【０１２８】
車内通信部２５は、スイッチ装置１５１と通信を行うことが可能である。詳細には、車内通信部２５は、たとえば、イーサネットの通信規格に従って、スイッチ装置１５１と通信することが可能である。
【０１２９】
より詳細には、車内通信部２５は、スイッチ装置１５１からイーサネットフレームを受信すると、受信したイーサネットフレームからＩＰパケットを取得し、取得したＩＰパケットを通信データ処理部２２へ出力する。
【０１３０】
また、車内通信部２５は、ＩＰパケットを通信データ処理部２２から受けると、受けたＩＰパケットをイーサネットフレームに格納し、当該イーサネットフレームをスイッチ装置１５１へ送信する。
【０１３１】
［動作の流れ］
車載通信システム３０１における各装置は、コンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のシーケンス図またはフローチャートの各ステップの一部または全部を含むプログラムを図示しないメモリからそれぞれ読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。
【０１３２】
図４は、本発明の第１の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【０１３３】
図４を参照して、たとえば、車外通信装置１０１の電源がオンされた状況を想定する。
【０１３４】
まず、車外通信装置１０１は、メイン外部通信プログラムおよびメイン内部通信プログラムをＲＯＭ３０から取得する（ステップＳ１０２）。
【０１３５】
より詳細には、メイン制御部２３は、たとえば、自己の車外通信装置１０１の電源がオンされた場合、メイン外部通信プログラムおよびメイン内部通信プログラムをＲＯＭ３０から取得する。
【０１３６】
次に、車外通信装置１０１は、取得したメイン外部通信プログラムおよびメイン内部通信プログラムを実行する（ステップＳ１０４）。
【０１３７】
より詳細には、メイン制御部２３は、通常時動作情報に基づく処理を行う。具体的には、メイン制御部２３は、メイン内部通信プログラムおよびメイン外部通信プログラムに従って通信ＬＳＩ５３における通信データ処理部２２を初期化する。
【０１３８】
これにより、通信データ処理部２２と無線基地局装置１６１およびスイッチ装置１５１との間において、データの送受信が可能な状態となる。
【０１３９】
そして、メイン制御部２３は、たとえば、メイン外部通信プログラムに従って、キャリアサーバ１８３との通線接続を確立する。
【０１４０】
より詳細には、メイン制御部２３は、手順Ｐ１に従ってセキュア制御部２８と情報をやり取りすることでセキュア制御部２８に自己を認証させ、契約者情報を、セキュア制御部２８を介してセキュア領域２７から取得する。
【０１４１】
メイン制御部２３は、キャリアサーバ１８３から認証を受けるために、通契約者情報を通信ＬＳＩ５３、無線基地局装置１６１および外部ネットワーク１１経由でキャリアサーバ１８３へ送信する。
【０１４２】
メイン制御部２３は、通信ＬＳＩ５３を介してキャリアサーバ１８３と所定の情報をやり取りすることでキャリアサーバ１８３から認証を受けて、キャリアサーバ１８３との通信接続を確立する。
【０１４３】
これにより、通信データ処理部２２は、外部装置および車載機器間で送受信されるＩＰパケットの伝送制御が可能な状態になる。
【０１４４】
次に、車外通信装置１０１は、外部装置から受信したＩＰパケットをスイッチ装置１５１へ送信するとともに、スイッチ装置１５１から受信したＩＰパケットを外部装置へ送信するＩＰパケットの伝送処理を行う（ステップＳ１０６）。
【０１４５】
より詳細には、通信ＬＳＩ５３における通信データ処理部２２は、たとえば、管制情報、地図情報、テキスト情報、画像情報、動画情報および音声情報等の要求を含むＩＰパケットを車内通信部２５から受けると、受けたＩＰパケットを車外通信部２１、無線基地局装置１６１および外部ネットワーク１１経由で宛先のＩＰサーバへ出力する。
【０１４６】
また、通信データ処理部２２は、たとえば、管制情報、地図情報、テキスト情報、画像情報、動画情報および音声情報等を含むＩＰパケットを外部ネットワーク１１、無線基地局装置１６１および車外通信部２１経由でＩＰサーバから受信すると、受信したＩＰパケットを上記要求の送信元の車載機器へ車内通信部２５およびスイッチ装置１５１経由で送信する。
【０１４７】
この場合において、通信データ処理部２２が送受信するＩＰパケットの通信経路は制限されない。
【０１４８】
次に、車外通信装置１０１は、車載機器における不正アクセスの検出を試みる（ステップＳ１０８）。
【０１４９】
より詳細には、不正アクセス検出部２４は、対象車両１に搭載される車載機器における不正アクセスを検出する。具体的には、不正アクセス検出部２４は、自己の車外通信装置１０１、スイッチ装置１５１、車載ＥＣＵ１１１および自動運転ＥＣＵ１１２等における不正アクセスを検出する。
【０１５０】
不正アクセス検出部２４は、たとえば、車載機器への攻撃、当該車載機器の不正な制御、および当該車載機器が用いるファームウェアの書き換え等を検出する。
【０１５１】
また、車載機器の１つが不正な機器にすり替えられた場合等において、車載ネットワーク１０において伝送される不正なメッセージを検出する。
【０１５２】
具体的には、不正アクセス検出部２４は、たとえば、通信ＬＳＩ５３における車外通信部２１が送受信する情報を監視し、監視結果に基づいて対象車両１の外部からの不正アクセスを検出する。また、不正アクセス検出部２４は、たとえば、通信ＬＳＩ５３における車内通信部２５が送受信する情報を監視し、監視結果に基づいて対象車両１の内部からの不正アクセスを検出する。
【０１５３】
より具体的には、不正アクセス検出部２４は、たとえば、異常なＩＰアドレス、異常なフレーム構成および異常なＩＰパケットの内容等を検出すると、車載機器において不正アクセスがあったと判断する。
【０１５４】
また、不正アクセス検出部２４は、たとえば、スイッチ装置１５１等の不正アクセスを検出することが可能な車載機器から、不正アクセスの検出結果を取得する。
【０１５５】
より詳細には、スイッチ装置１５１は、たとえば、自己が中継する情報を監視し、監視結果に基づいて車載機器おける不正アクセスを検出する。スイッチ装置１５１は、たとえば、不正アクセスを検出した場合、不正アクセスを検出したことを示す検出情報を車外通信装置１０１へ送信する。
【０１５６】
不正アクセス検出部２４は、スイッチ装置１５１から車内通信部２５経由で検出情報を受信すると、車載機器において不正アクセスがあったと判断する。
【０１５７】
車外通信装置１０１は、車載機器における不正アクセスを検出していない場合（ステップＳ１０８でＮＯ）、ＩＰパケットの伝送処理を継続する（ステップＳ１０６）。
【０１５８】
一方、車外通信装置１０１は、車載機器における不正アクセスを検出すると（ステップＳ１０８でＹＥＳ）、緊急時動作情報、具体的には緊急時外部通信プログラムおよび緊急時内部通信プログラムを記憶部２６におけるセキュア領域２７から取得する（ステップＳ１１０）。
【０１５９】
より詳細には、不正アクセス検出部２４は、車載機器において不正アクセスがあったと判断すると、判断内容を示す判断情報をメイン制御部２３へ出力する。
【０１６０】
メイン制御部２３は、車載機器における不正アクセスが検出された場合、緊急時動作情報に基づく処理を行う。
【０１６１】
具体的には、メイン制御部２３は、不正アクセス検出部２４から判断情報を受けると、手順Ｐ１に従ってセキュア制御部２８と情報をやり取りすることでセキュア制御部２８に自己を認証させ、緊急時外部通信プログラムおよび緊急時内部通信プログラムを、セキュア制御部２８を介してセキュア領域２７から取得する。
【０１６２】
次に、車外通信装置１０１は、取得した緊急時外部通信プログラムおよび緊急時内部通信プログラムを実行する（ステップＳ１１２）。
【０１６３】
より詳細には、メイン制御部２３は、取得した緊急時外部通信プログラムおよび緊急時内部通信プログラムに従って、外部装置との情報の送受信および車載機器との情報の送受信を通信ＬＳＩ５３に最低限行わせる。
【０１６４】
この場合において、通信データ処理部２２が送受信するＩＰパケットの通信経路は制限されない。
【０１６５】
このような構成により、車外通信装置１０１では、不正アクセスを受けた場合においても、セキュア領域２７に保存された安全なプログラムを用いて不特定の外部装置との通信を安全に行うことができる。
【０１６６】
なお、車外通信装置１０１におけるメイン制御部２３は、上記ステップＳ１１０において、緊急時外部通信プログラムおよび緊急時内部通信プログラムを記憶部２６におけるセキュア領域２７から取得する構成であるとしたが、これに限定するものではない。メイン制御部２３は、たとえば、セキュア領域２７に保存される緊急時プログラムが緊急時外部通信プログラムおよび緊急時内部通信プログラムのいずれか一方である場合、保存されている緊急時外部通信プログラムおよび緊急時内部通信プログラムのいずれか一方を取得する構成であってもよい。この場合、メイン制御部２３は、外部装置との情報の送受信および車載機器との情報の送受信のいずれか一方を通信ＬＳＩ５３に最低限行わせる。
【０１６７】
［緊急時における通信制御の変形例１］
車外通信装置１０１は、不正アクセス発生時に不特定の外部装置と通信する構成に限らず、通信先を特定の外部装置に制限する構成であってもよい。
【０１６８】
再び図２を参照して、この例では、記憶部２６におけるセキュア領域２７では、対象車両１の外部における緊急時の通信先に関する緊急時通信先情報、および緊急時動作情報が保存されている。
【０１６９】
詳細には、緊急時の通信先は、たとえば、対象車両１の自動運転に必要な情報を送信する外部装置（以下、運転関係外部装置とも称する。）である。
【０１７０】
より詳細には、緊急時通信先情報は、たとえば、運転関係外部装置のアドレスとして、地図サーバ１８４のＩＰアドレスおよび管制サーバ１８５のＩＰアドレスを含む。
【０１７１】
また、この例では、緊急時動作情報は、緊急時伝送制限プログラムを緊急時プログラムとして含む。緊急時伝送制限プログラムは、通信ＬＳＩ５３に対して、中継対象の情報を制限させるためのプログラムである。
【０１７２】
また、メイン制御部２３は、たとえば、継続モードおよび非継続モードのいずれか一方を設定する。継続モードおよび非継続モードのいずれに設定するかについては、たとえばユーザによって選択される。
【０１７３】
継続モードでは、自動運転を行っている状態において上記不正アクセスが検出された場合、自動運転が継続して行われる。一方、非継続モードでは、自動運転を行っている状態において上記不正アクセスが検出された場合、自動運転が手動運転に切り換えられる。
【０１７４】
［動作の流れ］
図５は、本発明の第１の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【０１７５】
図５を参照して、たとえば、車外通信装置１０１の電源がオンされ、メイン制御部２３が継続モードを設定し、かつ対象車両１において自動運転が行われている状況を想定する。
【０１７６】
ステップＳ２０２〜Ｓ２０８の動作は、図４に示すステップＳ１０２〜Ｓ１０８の動作と同様である。
【０１７７】
次に、車外通信装置１０１は、車載機器における不正アクセスを検出すると（ステップＳ２０８でＹＥＳ）、緊急時動作情報、具体的には緊急時伝送制限プログラムを記憶部２６におけるセキュア領域２７から取得する（ステップＳ２１０）。
【０１７８】
詳細には、メイン制御部２３は、車載機器における不正アクセスが検出された場合、緊急時通信先情報を用いた通信先との通信、および緊急時動作情報に基づく処理を行う。
【０１７９】
より詳細には、メイン制御部２３は、不正アクセス検出部２４から判断情報を受けると、手順Ｐ１に従ってセキュア制御部２８と情報をやり取りすることでセキュア制御部２８に自己を認証させ、緊急時伝送制限プログラムを、セキュア制御部２８を介してセキュア領域２７から取得する。
【０１８０】
次に、車外通信装置１０１は、取得した緊急時伝送制限プログラムを実行する（ステップＳ２１２）。
【０１８１】
より詳細には、メイン制御部２３は、取得した緊急時伝送制限プログラムに従って動作し、セキュア制御部２８を介してセキュア領域２７から緊急時通信先情報を取得する。
【０１８２】
そして、メイン制御部２３は、通信ＬＳＩ５３が中継するＩＰパケットを、緊急時通信先情報の示す通信先を送信元とするＩＰパケット、および緊急時通信先情報の示す通信先を送信先とするＩＰパケットに制限する。
【０１８３】
具体的には、通信ＬＳＩ５３における通信データ処理部２２には、地図サーバ１８４のＩＰアドレスおよび管制サーバ１８５のＩＰアドレスがメイン制御部２３によって登録される。
【０１８４】
通信データ処理部２２は、たとえば、登録された地図サーバ１８４のＩＰアドレスおよび管制サーバ１８５のＩＰアドレスを用いて、地図サーバ１８４および管制サーバ１８５と送受信されるＩＰパケット以外を破棄する。
【０１８５】
より詳細には、通信データ処理部２２は、車外通信部２１からＩＰパケット受けると、受けたＩＰパケットの差出元ＩＰアドレスが地図サーバ１８４のＩＰアドレスまたは管制サーバ１８５のＩＰアドレスと一致するか否かを確認する。
【０１８６】
通信データ処理部２２は、いずれか一方のＩＰアドレスと一致することを確認した場合、当該ＩＰパケットを車内通信部２５へ出力する。一方、通信データ処理部２２は、いずれのＩＰアドレスとも一致しないことを確認した場合、当該ＩＰパケットを破棄する。
【０１８７】
また、通信データ処理部２２は、車内通信部２５からＩＰパケット受けると、受けたＩＰパケットの宛先ＩＰアドレスが地図サーバ１８４のＩＰアドレスまたは管制サーバ１８５のＩＰアドレスと一致するか否かを確認する。
【０１８８】
通信データ処理部２２は、いずれか一方のＩＰアドレスと一致することを確認した場合、当該ＩＰパケットを車外通信部２１へ出力する。一方、通信データ処理部２２は、いずれのＩＰアドレスとも一致しないことを確認した場合、当該ＩＰパケットを破棄する。
【０１８９】
このような構成により、通常時において伝送される管制情報、地図情報、テキスト情報、画像情報、動画情報および音声情報等のうち、不正アクセスが発生した場合に、対象車両１の自動運転に必要な管制情報および地図情報以外の情報の伝送を制限することができるので、自動運転を良好に継続することができる。
【０１９０】
なお、メイン制御部２３は、車載機器における不正アクセスが検出された場合、対象車両１の自動運転に必要な情報以外の情報の伝送を制限するとともに、以下の処理を行ってもよい。すなわち、メイン制御部２３は、たとえば、非特許文献１（“ウィキペディア”、［ｏｎｌｉｎｅ］、［平成２９年１月１６日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｊａ．ｗｉｋｉｐｅｄｉａ．ｏｒｇ／ｗｉｋｉ／Ｖｉｒｔｕａｌ＿Ｐｒｉｖａｔｅ＿Ｎｅｔｗｏｒｋ〉）に記載のインターネットＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）またはＩＰ−ＶＰＮによる運転関係外部装置との通信接続を確立する構成であってもよい。
【０１９１】
このような構成により、車外通信装置１０１および運転関係外部装置が、１本の仮想的な専用線で通信接続されることから、不正な外部装置が車載ネットワーク１０へアクセスする機会を減少させることができるので、車載ネットワーク１０における不正アクセスの悪影響を抑制することができる。
【０１９２】
［緊急時における通信制御の変形例２］
車外通信装置１０１は、不正アクセス発生時に不特定の外部装置と通信する構成に限らず、所定の通信先に不正アクセスを受けたことを通知する構成であってもよい。
【０１９３】
再び図２を参照して、この例では、記憶部２６は、セキュア領域２７に、緊急時通信先情報、緊急時動作情報および契約者情報を記憶する。
【０１９４】
緊急時の通信先は、たとえば、緊急通報受理機関の外部装置（以下、通報先外部装置とも称する。）である。
【０１９５】
より詳細には、緊急時通信先情報は、たとえば、通報先外部装置のアドレスとして、通報先サーバ１８２のＩＰアドレスを含む。
【０１９６】
また、緊急時動作情報は、緊急時通報プログラムを緊急時プログラムとして含む。緊急時通報プログラムは、通信ＬＳＩ５３に対して、不正アクセスを受けたことを緊急通報受理機関へ通知させるためのプログラムである。
【０１９７】
［動作の流れ］
図６は、本発明の第１の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【０１９８】
図６を参照して、たとえば、車外通信装置１０１の電源がオンされた状況を想定する。
【０１９９】
ステップＳ３０２〜Ｓ３０８の動作は、図４に示すステップＳ１０２〜Ｓ１０８の動作と同様である。
【０２００】
次に、車外通信装置１０１は、車載機器における不正アクセスを検出すると（ステップＳ３０８でＹＥＳ）、緊急時動作情報、具体的には緊急時通報プログラムを記憶部２６におけるセキュア領域２７から取得する（ステップＳ３１０）。
【０２０１】
より詳細には、メイン制御部２３は、不正アクセス検出部２４から判断情報を受けると、手順Ｐ１に従ってセキュア制御部２８と情報をやり取りすることでセキュア制御部２８に自己を認証させ、そして、緊急時通報プログラムを、セキュア制御部２８を介してセキュア領域２７から取得する。
【０２０２】
次に、車外通信装置１０１は、取得した緊急時通報プログラムを実行する（ステップＳ３１２）。
【０２０３】
より詳細には、メイン制御部２３は、取得した緊急時通報プログラムに従って動作し、セキュア制御部２８を介してセキュア領域２７から緊急時通信先情報を取得する。
【０２０４】
そして、メイン制御部２３は、たとえば、緊急時通信先情報に含まれる通報先サーバ１８２のＩＰアドレスを用いて、対象車両１において不正アクセスが発生したことを緊急通報受理機関に通知する。
【０２０５】
より詳細には、メイン制御部２３は、たとえば、対象車両１において不正アクセスが発生したことを示す緊急通知情報を作成し、作成した緊急通知情報をペイロードに含むＩＰパケットを作成する。
【０２０６】
メイン制御部２３は、作成したＩＰパケットの宛先ＩＰアドレスを通報先サーバ１８２のＩＰアドレスに設定し、通信ＬＳＩ５３に対して、当該ＩＰパケットを通報先サーバ１８２へ送信させる。
【０２０７】
［緊急時における通信制御の変形例３］
車外通信装置１０１は、不正アクセス発生時に不特定の外部装置と通信する構成に限らず、不正アクセスの発生を報知する構成であってもよい。
【０２０８】
再び図２を参照して、この例では、記憶部２６は、セキュア領域２７に、緊急時通信先情報、緊急時動作情報および契約者情報を記憶する。
【０２０９】
緊急時の通信先は、たとえばブロードキャストを示す。より詳細には、緊急時通信先情報は、たとえば、ブロードキャストを示す通信先として、ブロードキャストアドレスを示す。
【０２１０】
また、緊急時動作情報は、緊急時周辺報知プログラムを緊急時プログラムとして含む。緊急時周辺報知プログラムは、通信ＬＳＩ５３に対して、不正アクセスを受けたことを周辺の車両へ報知させるためのプログラムである。
【０２１１】
［動作の流れ］
図７は、本発明の第１の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【０２１２】
図７を参照して、たとえば、車外通信装置１０１の電源がオンされた状況を想定する。
【０２１３】
ステップＳ４０２〜Ｓ４０８の動作は、図４に示すステップＳ１０２〜Ｓ１０８の動作と同様である。
【０２１４】
次に、車外通信装置１０１は、車載機器における不正アクセスを検出すると（ステップＳ４０８でＹＥＳ）、緊急時動作情報、具体的には緊急時周辺報知プログラムを記憶部２６におけるセキュア領域２７から取得する（ステップＳ４１０）。
【０２１５】
より詳細には、メイン制御部２３は、不正アクセス検出部２４から判断情報を受けると、手順Ｐ１に従ってセキュア制御部２８と情報をやり取りすることでセキュア制御部２８に自己を認証させ、そして、緊急時周辺報知プログラムを、セキュア制御部２８を介してセキュア領域２７から取得する。
【０２１６】
次に、車外通信装置１０１は、取得した緊急時周辺報知プログラムを実行する（ステップＳ４１２）。
【０２１７】
より詳細には、メイン制御部２３は、取得した緊急時周辺報知プログラムに従って動作し、セキュア制御部２８を介してセキュア領域２７から緊急時通信先情報を取得する。
【０２１８】
そして、メイン制御部２３は、緊急時通信先情報の示すブロードキャストアドレスを用いて、緊急時通信先情報を用いた通信先との通信として、対象車両１が不正アクセスを受けた旨の情報をブロードキャストする。
【０２１９】
より詳細には、メイン制御部２３は、たとえば、対象車両１において不正アクセスが発生したことを示す周辺通知情報を作成し、作成した周辺通知情報をペイロードに含むＩＰパケットを作成する。
【０２２０】
メイン制御部２３は、作成したＩＰパケットの宛先ＩＰアドレスをブロードキャストアドレスに設定し、通信ＬＳＩ５３に対して、当該ＩＰパケットをブロードキャストさせる。
【０２２１】
より詳細には、通信ＬＳＩ５３における車外通信部２１は、メイン制御部２３の制御に従って、メイン制御部２３からのＩＰパケットの宛先ＩＰアドレスがブロードキャストアドレスであることを確認する。そして、車外通信部２１は、当該ＩＰパケットを無線フレームに格納し、当該無線フレームをブロードキャストする。
【０２２２】
再び図１を参照して、他の車両２における車載通信装置１８７は、たとえば他の車両２の自動運転を行っている場合に対象車両１から周辺通知情報を受信すると、受信した周辺通知情報に基づいて、対象車両１との衝突を回避する運転制御を行う。
【０２２３】
また、車載通信装置１８７は、たとえば他の車両２が運転者によって手動運転されている場合に対象車両１から周辺通知情報を受信すると、受信した周辺通知情報の内容を当該運転者に通知する。
【０２２４】
［緊急時における自動運転の制御］
車外通信装置１０１は、不正アクセス発生時に不特定の外部装置と通信する構成に限らず、自己の対象車両１の自動運転を制御する構成であってもよい。
【０２２５】
再び図２を参照して、この例では、記憶部２６は、セキュア領域２７に、緊急時動作情報および契約者情報を記憶する。
【０２２６】
緊急時動作情報は、緊急時運転指示プログラムおよび緊急時運転切替プログラムを緊急時プログラムとして含む。
【０２２７】
緊急時運転指示プログラムは、上述の継続モードにおいて、自動運転により対象車両１を安全に停止させるための指示を自動運転ＥＣＵ１１２に与えるためのプログラムである。緊急時運転切替プログラムは、上述の非継続モードにおいて、対象車両１の運転を自動運転から手動運転に切り替えるためのプログラムである。
【０２２８】
［動作の流れ］
図８は、本発明の第１の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【０２２９】
図８を参照して、たとえば、車外通信装置１０１の電源がオンされた状況を想定する。
【０２３０】
ステップＳ５０２〜Ｓ５０８の動作は、図４に示すステップＳ１０２〜Ｓ１０８の動作と同様である。
【０２３１】
次に、車外通信装置１０１は、継続モードが設定されている場合（ステップＳ５１０でＹＥＳ）、緊急時動作情報、具体的には緊急時運転指示プログラムを記憶部２６におけるセキュア領域２７から取得する（ステップＳ５１２）。
【０２３２】
より詳細には、メイン制御部２３は、継続モードが設定されている場合において不正アクセス検出部２４から判断情報を受けると、手順Ｐ１に従ってセキュア制御部２８と情報をやり取りすることでセキュア制御部２８に自己を認証させ、そして、緊急時運転指示プログラムを、セキュア制御部２８を介してセキュア領域２７から取得する。
【０２３３】
一方、車外通信装置１０１は、非継続モードが設定されている場合（ステップＳ５１０でＮＯ）、緊急時動作情報、具体的には緊急時運転切替プログラムを記憶部２６におけるセキュア領域２７から取得する（ステップＳ５１４）。
【０２３４】
より詳細には、メイン制御部２３は、非継続モードが設定されている場合において不正アクセス検出部２４から判断情報を受けると、手順Ｐ１に従ってセキュア制御部２８と情報をやり取りすることでセキュア制御部２８に自己を認証させ、そして、緊急時運転切替プログラムを、セキュア制御部２８を介してセキュア領域２７から取得する。
【０２３５】
次に、車外通信装置１０１は、取得した緊急時運転指示プログラムまたは緊急時運転切替プログラムを実行する（ステップＳ５１６）。
【０２３６】
詳細には、メイン制御部２３は、緊急時運転指示プログラムをセキュア領域２７から取得した場合、緊急時運転指示プログラムに従って動作し、自己の対象車両１を安全に停止させる制御を自動運転ＥＣＵ１１２に対して行うとともに、その旨を運転者に通知する。
【０２３７】
より詳細には、メイン制御部２３は、対象車両１を路肩に停止させることを示す路肩停止命令をペイロードに含むＩＰパケットを作成する。
【０２３８】
メイン制御部２３は、作成したＩＰパケットの宛先ＩＰアドレスを自動運転ＥＣＵ１１２のＩＰアドレスに設定し、通信ＬＳＩ５３に対して、当該ＩＰパケットを自動運転ＥＣＵ１１２へ送信させる。
【０２３９】
自動運転ＥＣＵ１１２は、車外通信装置１０１からスイッチ装置１５１経由で路肩停止命令を受信して、受信した路肩停止命令に従って、自動運転により自己の対象車両１を路肩に停止させる（図１参照）。
【０２４０】
また、メイン制御部２３は、不正アクセスが発生したため、対象車両１を路肩に停止させる旨を示す状態情報を作成し、作成した状態情報をペイロードに含むＩＰパケットを作成する。
【０２４１】
メイン制御部２３は、作成したＩＰパケットの宛先ＩＰアドレスを車載ＥＣＵ１１１の一例である計器表示制御装置のＩＰアドレスに設定し、通信ＬＳＩ５３に対して、当該ＩＰパケットを計器表示制御装置へ送信させる。
【０２４２】
計器表示制御装置は、車外通信装置１０１からスイッチ装置１５１経由で状態情報を受信して、受信した制御状態情報を計器に表示することで、状態情報の内容を運転者に通知する（図１参照）。
【０２４３】
また、メイン制御部２３は、緊急時運転切替プログラムをセキュア領域２７から取得した場合、緊急時運転切替プログラムに従って動作し、対象車両１の運転制御を完全自動運転または一部自動運転から手動運転へ切り換えるとともに、その旨を運転者に通知する。
【０２４４】
より詳細には、メイン制御部２３は、手動運転切り換え命令をペイロードに含むＩＰパケットを作成する。
【０２４５】
メイン制御部２３は、作成したＩＰパケットの宛先ＩＰアドレスを自動運転ＥＣＵ１１２のＩＰアドレスに設定し、通信ＬＳＩ５３に対して、当該ＩＰパケットを自動運転ＥＣＵ１１２へ送信させる。
【０２４６】
自動運転ＥＣＵ１１２は、車外通信装置１０１からスイッチ装置１５１経由で手動運転切り換え命令を受信して、受信した手動運転切り換え命令に従って、自己の対象車両１の運転制御を完全自動運転または一部自動運転から手動運転へ切り換える（図１参照）。
【０２４７】
また、メイン制御部２３は、不正アクセスが発生したため、自動運転から手動運転に切り替える旨を示す状態情報を作成し、作成した状態情報をペイロードに含むＩＰパケットを作成する。
【０２４８】
メイン制御部２３は、作成したＩＰパケットの宛先ＩＰアドレスを計器表示制御装置のＩＰアドレスに設定し、通信ＬＳＩ５３に対して、当該ＩＰパケットを計器表示制御装置へ送信させる。
【０２４９】
なお、本発明の第１の実施の形態に係る車外通信装置では、記憶部２６は、緊急時動作情報をセキュア領域２７において記憶するか、または緊急時通信先情報および緊急時動作情報をセキュア領域２７において記憶する構成であるとしたが、これに限定するものではない。記憶部２６は、緊急時通信先情報をセキュア領域２７において記憶する構成であってもよい。この場合、たとえば、メイン制御部２３は、ＲＯＭ３０におけるメインプログラムに従って動作し、セキュア領域２７から緊急時通信先情報を取得して用いる。
【０２５０】
また、本発明の第１の実施の形態に係る車外通信装置では、メイン制御部２３は、車載機器における不正アクセスが検出された場合、緊急時動作情報に基づく処理を行うか、または、緊急時通信先情報を用いた通信先との通信および緊急時動作情報に基づく処理を行う構成であるとしたが、これに限定するものではない。メイン制御部２３は、上記不正アクセスが検出された場合、緊急時通信先情報を用いた通信先との通信を行う構成であってもよい。この場合、たとえば、メイン制御部２３は、ＲＯＭ３０におけるメインプログラムに従って、セキュア領域２７から緊急時通信先情報を取得し、取得した緊急時通信先情報の通信先と通信する。
【０２５１】
また、本発明の第１の実施の形態に係る車外通信装置では、ＩＰパケットの伝送の制限、およびＩＰパケットを用いた通信先への情報の伝送等が行われる構成であるとしたが、これに限定するものではない。ＩＰパケット以外の、たとえば、イーサネットフレーム、無線フレーム、およびＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）の通信規格に従うメッセージの伝送の制限、ならびにイーサネットフレーム、無線フレームおよびメッセージを用いた通信先への情報の伝送等が行われる構成であってもよい。
【０２５２】
また、本発明の第１の実施の形態に係る車外通信装置では、セキュア領域２７は、メイン制御部２３が所定の情報を出力した場合にメイン制御部２３からのアクセスが許可される構成であるとしたが、これに限定するものではない。セキュア領域２７は、たとえば非特許文献１（“ＩＴ用語辞典  ｅ−Ｗｏｒｄｓ”、［ｏｎｌｉｎｅ］、［平成２９年５月１日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｅ−ｗｏｒｄｓ．ｊｐ／ｗ／耐タンパー性．ｈｔｍｌ〉）に記載の耐タンパー性を有する構成であってもよい。ここで、耐タンパー性は、ソフトウェアおよびハードウェアが備える、内部構造およびデータ等の解析の困難さを表す。言い換えると、耐タンパー性は、非正規な手段による機密データの読み取りを防ぐ能力である。この例では、耐タンパー性を有するセキュア領域２７には、緊急時通信先情報、緊急時動作情報および契約者情報等の情報が、解析が困難になるように保存されている。具体的には、通信先情報または緊急時動作情報は、たとえば、セキュアＩＣ５２におけるセキュア制御部２８によって暗号化されてセキュア領域２７に保存されている。セキュア制御部２８は、メインＩＣ５１におけるメイン制御部２３の要求に応じて、通信先情報または緊急時動作情報をセキュア領域２７から取得して復号し、復号した通信先情報または緊急時動作情報をメイン制御部２３へ出力する。このように、通信先情報または緊急時動作情報を暗号化してセキュア領域２７に保存する構成により、通信先情報または緊急時動作情報を外部から不正に書き換えることを困難にすることができるので、不正アクセスを受けた場合においても、書き換えの心配のない通信先情報または緊急時動作情報を用いることができる。
【０２５３】
また、本発明の第１の実施の形態に係る車外通信装置では、記憶部２６は、運転関係外部装置のＩＰアドレス、通報先外部装置のＩＰアドレスまたはブロードキャストアドレスを通信先として示す緊急時通信先情報を記憶する構成であるとしたが、これに限定するものではない。記憶部２６は、運転関係外部装置のＩＰアドレス、通報先外部装置のＩＰアドレスおよびブロードキャストアドレスと異なる１または複数のアドレスを通信先として示す緊急時通信先情報を記憶する構成であってもよい。
【０２５４】
また、本発明の第１の実施の形態に係る車外通信装置では、メイン制御部２３は、車載機器における不正アクセスが検出された場合、対象車両１が不正アクセスを受けた旨の情報をブロードキャストする構成であるとしたが、これに限定するものではない。メイン制御部２３は、上記場合に、たとえば、対象車両１を停止させる旨の情報をブロードキャストする構成であってもよい。
【０２５５】
また、本発明の第１の実施の形態に係る車外通信装置では、緊急時の所定の動作は、対象車両１の自動運転から手動運転への切替である構成であるとしたが、これに限定するものではない。緊急時の所定の動作は、たとえば、対象車両１の自動運転を継続する構成であってもよい。
【０２５６】
また、本発明の第１の実施の形態に係る車外通信装置では、緊急時の所定の動作は、対象車両１を路肩に停止させる構成であるとしたが、これに限定するものではない。緊急時の所定の動作は、たとえば、対象車両１を路肩以外の場所に停止させる構成であってもよい。
【０２５７】
また、本発明の第１の実施の形態に係る車外通信装置では、セキュア領域２７は、ＳＩＭカードの記憶領域に含まれる構成であるとしたが、これに限定するものではない。セキュア領域２７は、ＳＩＭカードと異なるセキュアデバイス、具体的には、ｅＳＩＭ（Ｅｍｂｅｄｄｅｄ  ＳＩＭ）、および所定の規格に従うセキュアデバイス等に含まれる構成であってもよい。
【０２５８】
より詳細には、ｅＳＩＭは、たとえば、車外通信装置１０１の内部または外部から契約者情報を書き換え可能であり、車外通信装置１０１に半田付けされる。また、上記所定の規格は、たとえば、ＴＰＭ（Ｔｒｕｓｔｅｄ  Ｐｌａｔｆｏｒｍ  Ｍｏｄｕｌｅ）のバージョン２．０の規格、ＳＨＥ（Ｓｅｃｕｒｅ  Ｈａｒｄｗａｒｅ  Ｅｘｔｅｎｓｉｏｎ）の規格、およびＥＶＩＴＡ（Ｅ−ｓａｆｅｔｙ  Ｖｅｈｉｃｌｅ  Ｉｎｔｒｕｓｉｏｎ  ｐｒｏＴｅｃｔｅｄ  Ａｐｐｌｉｃａｔｉｏｎｓ）の規格等である。
【０２５９】
また、本発明の第１の実施の形態に係る車外通信装置では、契約者情報、緊急時通信先情報および緊急時動作情報がＳＩＭカードに含まれるセキュア領域２７に保存される構成であるとしたが、これに限定するものではない。契約者情報、緊急時通信先情報および緊急時動作情報が、複数のセキュア領域に分散されて保存される構成であってもよい。具体的には、たとえば、契約者情報がＳＩＭカードに含まれるセキュア領域２７に保存され、かつ緊急時通信先情報および緊急時動作情報が、当該ＳＩＭカードと異なるセキュアデバイスに含まれるセキュア領域に保存される構成であってもよい。
【０２６０】
ところで、たとえば、特許文献１に記載の車載ネットワークが、車両の外部における外部ネットワークと接続される場合、外部ネットワークと通信するための車外通信装置が車両に設けられることがある。この場合、車外通信装置が車両の外部からハッキング等の不正アクセスを受けることが考えられ、このような不正アクセスを受けた場合に、車外通信装置として適切な処理を行うための技術が求められる。
【０２６１】
これに対して、本発明の第１の実施の形態に係る車外通信装置は、対象車両１に搭載され、対象車両１の外部における外部装置と通信可能である。記憶部２６は、耐タンパー性を有するセキュア領域２７を有し、セキュア領域２７に、対象車両１の外部における通信先に関する緊急時通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶する。そして、メイン制御部２３は、対象車両１に搭載される車載機器における不正アクセスが検出された場合、緊急時通信先情報を用いた通信先との通信の制御、および緊急時動作情報に基づく処理の少なくともいずれか一方を行う。
【０２６２】
このように、たとえば、不正アクセスを受けた場合に行うべきと想定される処理に必要な緊急時通信先情報および緊急時動作情報の少なくともいずれか一方を、対象車両１の外部からの書き換えが困難なセキュア領域２７に記憶する構成により、不正アクセスを受けた場合においても、不正アクセスによる書き換えの心配のない情報をセキュア領域２７から取得することができるので、想定した通信先との通信、および想定した処理の少なくともいずれか一方を確実に行うことができる。したがって、車載ネットワーク１０において、不正アクセスを受けても適切な処理をより確実に行うことができる。また、不正アクセスを受けた場合において、緊急時通信先情報を用いた通信先との通信を行う構成により、たとえば不正アクセスを受けた場合に外部装置との通信を完全に遮断する構成と比べて、不正アクセスに対処するために必要な情報の伝送を確保することができる。
【０２６３】
また、本発明の第１の実施の形態に係る車外通信装置は、対象車両１に搭載され、対象車両１の外部における外部装置と通信可能である。記憶部２６は、メイン制御部２３が所定の情報を出力した場合にメイン制御部２３からアクセスが許可されるセキュア領域２７を有し、セキュア領域２７に、対象車両１の外部における通信先に関する緊急時通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶する。そして、メイン制御部２３は、対象車両１に搭載される車載機器における不正アクセスが検出された場合、緊急時通信先情報を用いた通信先との通信の制御、および緊急時動作情報に基づく処理の少なくともいずれか一方を行う。
【０２６４】
このように、たとえば、不正アクセスを受けた場合に行うべきと想定される処理に必要な緊急時通信先情報および緊急時動作情報の少なくともいずれか一方を、対象車両１の外部からの書き換えが困難なセキュア領域２７に記憶する構成により、不正アクセスを受けた場合においても、不正アクセスによる書き換えの心配のない情報をセキュア領域２７から取得することができるので、想定した通信先との通信、および想定した処理の少なくともいずれか一方を確実に行うことができる。したがって、車載ネットワーク１０において、不正アクセスを受けても適切な処理をより確実に行うことができる。また、不正アクセスを受けた場合において、緊急時通信先情報を用いた通信先との通信を行う構成により、たとえば不正アクセスを受けた場合に外部装置との通信を完全に遮断する構成と比べて、不正アクセスに対処するために必要な情報の伝送を確保することができる。
【０２６５】
また、本発明の第１の実施の形態に係る車外通信装置では、通信先は、対象車両１の自動運転に必要な情報を送信する運転関係外部装置である。
【０２６６】
このような構成により、対象車両１の自動運転に必要な情報を送信する運転関係外部装置とやり取りする情報の伝送を確保することができるので、不正アクセスを受けた場合における対象車両１の自動運転の継続に寄与することができる。
【０２６７】
また、本発明の第１の実施の形態に係る車外通信装置では、通信先は、緊急通報受理機関の通報先外部装置である。
【０２６８】
このような構成により、対象車両１が不正アクセスを受けた旨等をより確実に緊急通報受理機関に通知することができる。
【０２６９】
また、本発明の第１の実施の形態に係る車外通信装置では、通信先は、ブロードキャストを示す。
【０２７０】
たとえば、通信先を特定している場合において、当該通信先が車外通信装置１０１からの情報を受信することが困難なとき、車外通信装置１０１から車外へ情報を伝送できなくなる一方、上記のように通信先を特定しない構成により、車外への情報伝送をより確実に行うことができる。
【０２７１】
また、本発明の第１の実施の形態に係る車外通信装置では、緊急時通信先情報を用いた通信先との通信として、対象車両１が不正アクセスを受けた旨の情報がブロードキャストされる。
【０２７２】
このような構成により、対象車両１が不正アクセスを受けた旨をいずれかの装置に報知することができる。
【０２７３】
また、本発明の第１の実施の形態に係る車外通信装置では、緊急時の所定の動作は、外部装置および車載機器の少なくともいずれか一方との通信である。
【０２７４】
このような構成により、通信の信頼性が損なわれる可能性の高い不正アクセスを受けた状況においても、不正アクセスによる書き換えの心配のないセキュア領域２７における緊急時動作情報に基づいて、外部装置および車載機器の少なくともいずれか一方と良好な通信を行うことができる。
【０２７５】
また、本発明の第１の実施の形態に係る車外通信装置では、緊急時の所定の動作は、対象車両１の自動運転から手動運転への切り換えである。
【０２７６】
このように、対象車両１の自動運転の信頼性が損なわれる可能性の高い不正アクセスを受けた状況において、自動運転から手動運転に切り換える構成により、ドライバが対象車両１を制御することができるので、不正アクセスを受けた場合においても対象車両１の良好な運転を維持することができる。
【０２７７】
また、本発明の第１の実施の形態に係る車外通信装置では、緊急時の所定の動作は、対象車両１を路肩に停止させることである。
【０２７８】
このように、対象車両１の自動運転の信頼性が損なわれる可能性の高い不正アクセスを受けた状況において、対象車両１を路肩に停止させる構成により、対象車両１の安全を確保するとともに、信頼性の低い自動運転が継続してしまうことを防ぐことができる。
【０２７９】
また、本発明の第１の実施の形態に係る車外通信装置では、セキュア領域２７は、セキュアデバイスの記憶領域に含まれる。
【０２８０】
このように、たとえば汎用のセキュアデバイスにおけるセキュア領域２７を用いる構成により、車外通信装置１０１においてセキュア領域２７を簡易に確保することができる。
【０２８１】
次に、本発明の他の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。
【０２８２】
＜第２の実施の形態＞
本実施の形態は、第１の実施の形態に係る車外通信装置と比べて、緊急時にセキュア制御部が通信ＬＳＩを制御する車外通信装置に関する。以下で説明する内容以外は第１の実施の形態に係る車外通信装置と同様である。
【０２８３】
図９は、本発明の第２の実施の形態に係る車載通信システムにおける車外通信装置の構成を示す図である。
【０２８４】
図９を参照して、車外通信装置１０２は、メインＩＣ６１と、セキュアＩＣ６２と、通信ＬＳＩ５３とを備える。メインＩＣ６１は、不正アクセス検出部２４と、ＲＯＭ（記憶部）３０と、ＲＡＭ３１と、メイン制御部４３とを含む。セキュアＩＣ６２は、記憶部（セキュア記憶部）２６と、ＲＡＭ２９と、セキュア制御部４８とを含む。記憶部２６は、セキュア領域２７を含む。セキュアＩＣ６２は、セキュアデバイスの一例であり、具体的にはＳＩＭカードである。
【０２８５】
車外通信装置１０２における不正アクセス検出部２４、記憶部２６、セキュア領域２７、ＲＡＭ２９、ＲＯＭ３０、ＲＡＭ３１および通信ＬＳＩ５３の動作は、図２に示す車外通信装置１０１におけるおける不正アクセス検出部２４、記憶部２６、セキュア領域２７、ＲＡＭ２９、ＲＯＭ３０、ＲＡＭ３１および通信ＬＳＩ５３とそれぞれ同様である。
【０２８６】
ＲＯＭ３０は、通常時の所定の動作に関する通常時動作情報を記憶する。より詳細には、通常時動作情報は、メインプログラムとして、たとえば、メイン外部通信プログラムと、メイン内部通信プログラムとを含む。
【０２８７】
記憶部２６は、セキュア領域２７に、緊急時動作情報および契約者情報を記憶する。この例では、緊急時動作情報は、緊急時プログラムとして、たとえば、緊急時外部通信プログラムと、緊急時内部通信プログラムとを含む。
【０２８８】
セキュア領域２７は、メイン制御部４３が所定の情報を出力した場合にメイン制御部４３からのアクセスが許可される。
【０２８９】
この例では、セキュア領域２７は、メイン制御部４３が所定の手順Ｐ１に従った場合にメイン制御部４３からアクセス可能であり、手順Ｐ１に従わない場合にはアクセスできない。
【０２９０】
車外通信装置１０２は、不正アクセスを受けていない場合において通常時モードで動作し、不正アクセスを受けると緊急時モードで動作する。
【０２９１】
［動作の流れ］
図１０は、本発明の第２の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【０２９２】
図１０を参照して、たとえば、車外通信装置１０２の電源がオンされ、かつ車外通信装置１０２が通常時モードで動作する状況を想定する。
【０２９３】
まず、車外通信装置１０２は、メイン外部通信プログラムおよびメイン内部通信プログラムをＲＯＭ３０から取得する（ステップＳ６０２）。
【０２９４】
より詳細には、メイン制御部４３は、たとえば、自己の車外通信装置１０２の電源がオンされた場合、メイン外部通信プログラムおよびメイン内部通信プログラムをＲＯＭ３０から取得する。
【０２９５】
次に、車外通信装置１０２は、取得したメイン外部通信プログラムおよびメイン内部通信プログラムを実行する（ステップＳ６０４）。
【０２９６】
より詳細には、メイン制御部４３は、通常時動作情報に基づく処理を行う。具体的には、メイン制御部４３は、メイン内部通信プログラムおよびメイン外部通信プログラムに従って通信ＬＳＩ５３における通信データ処理部２２を初期化する。
【０２９７】
そして、メイン制御部４３は、たとえば、メイン外部通信プログラムに従って、キャリアサーバ１８３との通線接続を確立する。
【０２９８】
次に、車外通信装置１０２は、車載機器における不正アクセスを検出していない場合（ステップＳ６０８でＮＯ）、ＩＰパケットの伝送処理を行う（ステップＳ６０６）。この場合において、通信データ処理部２２が送受信するＩＰパケットの通信経路は制限されない。
【０２９９】
一方、車外通信装置１０２は、車載機器における不正アクセスを検出すると（ステップＳ６０８でＹＥＳ）、通常時モードから緊急時モードへ切り替える。
【０３００】
より詳細には、メイン制御部４３は、不正アクセス検出部２４から判断情報を受けると、制御交代要求をセキュア制御部４８へ出力するとともに、自己をバイパス状態に遷移させる。
【０３０１】
バイパス状態では、メイン制御部４３は、セキュア制御部４８から受けるコマンドを通信ＬＳＩ５３へバイパスさせる。また、メイン制御部４３は、通信ＬＳＩ５３からの各種情報をセキュア制御部４８へバイパスさせる。
【０３０２】
次に、車外通信装置１０２は、緊急時動作情報、具体的には緊急時外部通信プログラムおよび緊急時内部通信プログラムを記憶部２６におけるセキュア領域２７から取得する（ステップＳ６１２）。
【０３０３】
詳細には、セキュア制御部４８は、セキュア領域２７にアクセス可能であり、対象車両１に搭載される車載機器における不正アクセスが検出された場合、メイン制御部４３の代わりに、緊急時動作情報に基づく処理を行う。
【０３０４】
より詳細には、セキュア制御部４８は、メイン制御部４３から制御交代要求を受けると、受けた制御交代要求に従って、バイパス状態のメイン制御部４３を介して通信ＬＳＩ５３を制御する。
【０３０５】
具体的には、セキュア制御部４８は、緊急時外部通信プログラムおよび緊急時内部通信プログラムをセキュア領域２７から取得する。
【０３０６】
次に、車外通信装置１０２は、取得した緊急時外部通信プログラムおよび緊急時内部通信プログラムを実行する（ステップＳ６１４）。
【０３０７】
より詳細には、セキュア制御部４８は、取得した緊急時外部通信プログラムおよび緊急時内部通信プログラムに従って、外部装置との情報の送受信および車載機器との情報の送受信を通信ＬＳＩ５３に最低限行わせる。
【０３０８】
この場合において、通信データ処理部２２が送受信するＩＰパケットの通信経路は制限されない。
【０３０９】
このような構成により、車外通信装置１０２では、不正アクセスを受けた場合においても、セキュア領域２７に保存された安全なプログラムを用いて不特定の外部装置との通信をより安全に行うことができる。
【０３１０】
なお、車外通信装置１０２におけるセキュア制御部４８は、上記ステップＳ６１２において、緊急時外部通信プログラムおよび緊急時内部通信プログラムを記憶部２６におけるセキュア領域２７から取得する構成であるとしたが、これに限定するものではない。セキュア制御部４８は、たとえば、セキュア領域２７に保存される緊急時プログラムが緊急時外部通信プログラムおよび緊急時内部通信プログラムのいずれか一方である場合、保存されている緊急時外部通信プログラムおよび緊急時内部通信プログラムのいずれか一方を取得する構成であってもよい。この場合、セキュア制御部４８は、外部装置との情報の送受信および車載機器との情報の送受信のいずれか一方を通信ＬＳＩ５３に最低限行わせる。
【０３１１】
［緊急時における通信制御の変形例１］
車外通信装置１０２は、不正アクセス発生時に不特定の外部装置と通信する構成に限らず、通信先を特定の外部装置に制限する構成であってもよい。
【０３１２】
再び図９を参照して、この例では、記憶部２６は、セキュア領域２７に、対象車両１の外部における緊急時の通信先に関する緊急時通信先情報、緊急時動作情報および契約者情報を記憶する。
【０３１３】
緊急時通信先情報は、たとえば、運転関係外部装置のアドレスとして、地図サーバ１８４のＩＰアドレスおよび管制サーバ１８５のＩＰアドレスを含む。緊急時動作情報は、緊急時伝送制限プログラムを緊急時プログラムとして含む。
【０３１４】
［動作の流れ］
図１１は、本発明の第２の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【０３１５】
図１１を参照して、たとえば、車外通信装置１０２の電源がオンされ、車外通信装置１０２が通常時モードで動作し、メイン制御部４３が継続モードに設定し、かつ対象車両１において自動運転が行われている状況を想定する。
【０３１６】
ステップＳ７０２〜Ｓ７１０の動作は、図１０に示すステップＳ６０２〜Ｓ６１０の動作と同様である。
【０３１７】
次に、車外通信装置１０２は、緊急時動作情報、具体的には緊急時伝送制限プログラムを記憶部２６におけるセキュア領域２７から取得する（ステップＳ７１２）。
【０３１８】
詳細には、セキュア制御部４８は、対象車両１に搭載される車載機器における不正アクセスが検出された場合、メイン制御部４３の代わりに、緊急時通信先情報を用いた通信先との通信の制御、および緊急時動作情報に基づく処理を行う。
【０３１９】
より詳細には、セキュア制御部４８は、メイン制御部４３から制御交代要求を受けると、緊急時伝送制限プログラムをセキュア領域２７から取得する。
【０３２０】
次に、車外通信装置１０２は、取得した緊急時伝送制限プログラムを実行する（ステップＳ７１４）。
【０３２１】
より詳細には、セキュア制御部４８は、取得した緊急時伝送制限プログラムに従って動作し、セキュア領域２７から緊急時通信先情報を取得する。
【０３２２】
そして、セキュア制御部４８は、通信ＬＳＩ５３が中継するＩＰパケットを、緊急時通信先情報の示す通信先を送信元とするＩＰパケット、および緊急時通信先情報の示す通信先を送信先とするＩＰパケットに制限する。
【０３２３】
このような構成により、通常時において伝送される管制情報、地図情報、テキスト情報、画像情報、動画情報および音声情報等のうち、不正アクセスが発生した場合に、対象車両１の自動運転に必要な管制情報および地図情報以外の情報の伝送をより確実に制限することができるので、自動運転をより良好に継続することができる。
【０３２４】
［緊急時における通信制御の変形例２］
車外通信装置１０２は、不正アクセス発生時に不特定の外部装置と通信する構成に限らず、所定の通信先に不正アクセスを受けたことを通知する構成であってもよい。
【０３２５】
再び図９を参照して、この例では、記憶部２６は、セキュア領域２７に、緊急時通信先情報、緊急時動作情報および契約者情報を記憶する。
【０３２６】
緊急時通信先情報は、通報先外部装置のアドレスとして、通報先サーバ１８２のＩＰアドレスを含む。緊急時動作情報は、緊急時通報プログラムを緊急時プログラムとして含む。
【０３２７】
［動作の流れ］
図１２は、本発明の第２の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【０３２８】
図１２を参照して、たとえば、車外通信装置１０２の電源がオンされ、かつ車外通信装置１０２が通常時モードで動作する状況を想定する。
【０３２９】
ステップＳ８０２〜Ｓ８１０の動作は、図１０に示すステップＳ６０２〜Ｓ６１０の動作と同様である。
【０３３０】
次に、車外通信装置１０２は、緊急時動作情報、具体的には緊急時通報プログラムを記憶部２６におけるセキュア領域２７から取得する（ステップＳ８１２）。
【０３３１】
より詳細には、セキュア制御部４８は、メイン制御部４３から制御交代要求を受けると、緊急時通報プログラムをセキュア領域２７から取得する。
【０３３２】
次に、車外通信装置１０２は、取得した緊急時通報プログラムを実行する（ステップＳ８１４）。
【０３３３】
より詳細には、セキュア制御部４８は、取得した緊急時通報プログラムに従って動作し、セキュア領域２７から緊急時通信先情報を取得する。
【０３３４】
そして、セキュア制御部４８は、たとえば、対象車両１において不正アクセスが発生したことを示す緊急通知情報を作成し、作成した緊急通知情報をペイロードに含むＩＰパケットを作成する。
【０３３５】
セキュア制御部４８は、作成したＩＰパケットの宛先ＩＰアドレスを、緊急時通信先情報に含まれる通報先サーバ１８２のＩＰアドレスに設定し、通信ＬＳＩ５３に対して、当該ＩＰパケットを通報先サーバ１８２へ送信させる。
【０３３６】
［緊急時における通信制御の変形例３］
車外通信装置１０２は、不正アクセス発生時に不特定の外部装置と通信する構成に限らず、不正アクセスの発生を報知する構成であってもよい。
【０３３７】
再び図９を参照して、この例では、記憶部２６は、セキュア領域２７に、緊急時通信先情報、緊急時動作情報および契約者情報を記憶する。
【０３３８】
緊急時通信先情報は、たとえば、ブロードキャストを示す通信先として、ブロードキャストアドレスを示す。緊急時動作情報は、緊急時周辺報知プログラムを緊急時プログラムとして含む。
【０３３９】
［動作の流れ］
図１３は、本発明の第２の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【０３４０】
図１３を参照して、たとえば、車外通信装置１０２の電源がオンされ、かつ車外通信装置１０２が通常時モードで動作する状況を想定する。
【０３４１】
ステップＳ９０２〜Ｓ９１０の動作は、図１０に示すステップＳ６０２〜Ｓ６１０の動作と同様である。
【０３４２】
次に、車外通信装置１０２は、緊急時動作情報、具体的には緊急時周辺報知プログラムを記憶部２６におけるセキュア領域２７から取得する（ステップＳ９１２）。
【０３４３】
より詳細には、セキュア制御部４８は、メイン制御部４３から制御交代要求を受けると、緊急時周辺報知プログラムをセキュア領域２７から取得する。
【０３４４】
次に、車外通信装置１０２は、取得した緊急時周辺報知プログラムを実行する（ステップＳ９１４）。
【０３４５】
より詳細には、セキュア制御部４８は、取得した緊急時周辺報知プログラムに従って動作し、セキュア領域２７から緊急時通信先情報を取得する。
【０３４６】
そして、セキュア制御部４８は、対象車両１において不正アクセスが発生したことを示す周辺通知情報を作成し、作成した周辺通知情報をペイロードに含むＩＰパケットを作成する。
【０３４７】
セキュア制御部４８は、作成したＩＰパケットの宛先ＩＰアドレスを、緊急時通信先情報の示すブロードキャストアドレスに設定し、通信ＬＳＩ５３に対して、当該ＩＰパケットをブロードキャストさせる。
【０３４８】
［緊急時における自動運転の制御］
車外通信装置１０２は、不正アクセス発生時に不特定の外部装置と通信する構成に限らず、自己の対象車両１の自動運転を制御する構成であってもよい。
【０３４９】
再び図９を参照して、この例では、記憶部２６は、セキュア領域２７に、緊急時動作情報および契約者情報を記憶する。
【０３５０】
緊急時動作情報は、緊急時運転指示プログラムおよび緊急時運転切替プログラムを緊急時プログラムとして含む。
【０３５１】
［動作の流れ］
図１４は、本発明の第２の実施の形態に係る車外通信装置が、不正アクセスを検出したときに行う各処理の動作手順を定めたフローチャートである。
【０３５２】
図１４を参照して、たとえば、車外通信装置１０２の電源がオンされ、かつ車外通信装置１０２が通常時モードで動作する状況を想定する。
【０３５３】
ステップＳ１００２〜Ｓ１０１０の動作は、図１０に示すステップＳ６０２〜Ｓ６１０の動作と同様である。
【０３５４】
次に、車外通信装置１０２は、継続モードが設定されている場合（ステップＳ１０１２でＹＥＳ）、緊急時動作情報、具体的には緊急時運転指示プログラムを記憶部２６におけるセキュア領域２７から取得する（ステップＳ１０１４）。
【０３５５】
より詳細には、セキュア制御部４８は、継続モードが設定されている場合においてメイン制御部４３から制御交代要求を受けると、緊急時運転指示プログラムをセキュア領域２７から取得する。
【０３５６】
一方、車外通信装置１０２は、非継続モードが設定されている場合（ステップＳ１０１２でＮＯ）、緊急時動作情報、具体的には緊急時運転切替プログラムを記憶部２６におけるセキュア領域２７から取得する（ステップＳ１０１６）。
【０３５７】
より詳細には、セキュア制御部４８は、非継続モードが設定されている場合においてメイン制御部４３から制御交代要求を受けると、緊急時運転切替プログラムをセキュア領域２７から取得する。
【０３５８】
次に、車外通信装置１０２は、取得した緊急時運転指示プログラムまたは緊急時運転切替プログラムを実行する（ステップＳ１０１８）。
【０３５９】
より詳細には、セキュア制御部４８は、緊急時運転指示プログラムをセキュア領域２７から取得した場合、緊急時運転指示プログラムに従って動作し、対象車両１を路肩に停止させることを示す路肩停止命令をペイロードに含むＩＰパケットを作成する。
【０３６０】
セキュア制御部４８は、作成したＩＰパケットの宛先ＩＰアドレスを自動運転ＥＣＵ１１２のＩＰアドレスに設定し、通信ＬＳＩ５３に対して、当該ＩＰパケットを自動運転ＥＣＵ１１２へ送信させる。
【０３６１】
また、セキュア制御部４８は、不正アクセスが発生したため、対象車両１を路肩に停止させる旨を示す状態情報を作成し、作成した状態情報をペイロードに含むＩＰパケットを作成する。
【０３６２】
セキュア制御部４８は、作成したＩＰパケットの宛先ＩＰアドレスを上述の計器表示制御装置のＩＰアドレスに設定し、通信ＬＳＩ５３に対して、当該ＩＰパケットを計器表示制御装置へ送信させる。
【０３６３】
一方、セキュア制御部４８は、緊急時運転切替プログラムをセキュア領域２７から取得した場合、緊急時運転切替プログラムに従って動作し、手動運転切り換え命令をペイロードに含むＩＰパケットを作成する。
【０３６４】
セキュア制御部４８は、作成したＩＰパケットの宛先ＩＰアドレスを自動運転ＥＣＵ１１２のＩＰアドレスに設定し、通信ＬＳＩ５３に対して、当該ＩＰパケットを自動運転ＥＣＵ１１２へ送信させる。
【０３６５】
また、セキュア制御部４８は、不正アクセスが発生したため、自動運転から手動運転に切り替える旨を示す状態情報を作成し、作成した状態情報をペイロードに含むＩＰパケットを作成する。
【０３６６】
セキュア制御部４８は、作成したＩＰパケットの宛先ＩＰアドレスを計器表示制御装置のＩＰアドレスに設定し、通信ＬＳＩ５３に対して、当該ＩＰパケットを計器表示制御装置へ送信させる。
【０３６７】
なお、本発明の第２の実施の形態に係る車外通信装置では、メイン制御部２３は、車載機器における不正アクセスが検出された場合、緊急時動作情報に基づく処理を行うか、または、緊急時通信先情報を用いた通信先との通信および緊急時動作情報に基づく処理を行う構成であるとしたが、これに限定するものではない。メイン制御部２３は、上記不正アクセスが検出された場合、緊急時通信先情報を用いた通信先との通信を行う構成であってもよい。
【０３６８】
以上のように、本発明の第２の実施の形態に係る車外通信装置は、対象車両１に搭載され、対象車両１の外部における外部装置と通信可能である。ＲＯＭ３０は、通常時の所定の動作に関する通常時動作情報を記憶する。メイン制御部４３は、通常時動作情報に基づく処理を行う。記憶部２６は、耐タンパー性を有するセキュア領域２７を有し、セキュア領域２７に、対象車両１の外部における通信先に関する緊急時通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶する。そして、セキュア制御部４８は、セキュア領域２７にアクセス可能であり、対象車両１に搭載される車載機器における不正アクセスが検出された場合、メイン制御部４３の代わりに、緊急時通信先情報を用いた通信先との通信の制御、および緊急時動作情報に基づく処理の少なくともいずれか一方を行う。
【０３６９】
このように、たとえば、不正アクセスを受けた場合に行うべきと想定される処理に必要な緊急時通信先情報および緊急時動作情報の少なくともいずれか一方を、セキュア制御部４８がアクセス可能なセキュア領域２７に記憶し、かつ不正アクセスが検出された場合に、セキュア制御部４８がメイン制御部４３の代わりに制御を行う構成により、不正アクセスを受けた場合においても、外部からの不正操作の困難なセキュア制御部４８が、不正アクセスによる書き換えの心配のないセキュア領域２７における情報を用いて、想定した通信先との通信、および想定した処理の少なくともいずれか一方を確実に行うことができる。したがって、車載ネットワークにおいて、不正アクセスを受けても適切な処理をより確実に行うことができる。また、不正アクセスを受けた場合において、緊急時通信先情報を用いた通信先との通信を行う構成により、たとえば不正アクセスを受けた場合に外部装置との通信を完全に遮断する構成と比べて、不正アクセスに対処するために必要な情報の伝送を確保することができる。
【０３７０】
また、本発明の第２の実施の形態に係る車外通信装置は、対象車両１に搭載され、対象車両１の外部における外部装置と通信可能である。ＲＯＭ３０は、通常時の所定の動作に関する通常時動作情報を記憶する。メイン制御部４３は、通常時動作情報に基づく処理を行う。記憶部２６は、セキュア領域２７を有し、セキュア領域２７に、対象車両１の外部における通信先に関する緊急時通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶する。そして、セキュア制御部４８は、セキュア領域２７にアクセス可能であり、対象車両１に搭載される車載機器における不正アクセスが検出された場合、メイン制御部４３の代わりに、緊急時通信先情報を用いた通信先との通信の制御、および緊急時動作情報に基づく処理の少なくともいずれか一方を行う。
【０３７１】
このように、たとえば、不正アクセスを受けた場合に行うべきと想定される処理に必要な緊急時通信先情報および緊急時動作情報の少なくともいずれか一方を、セキュア制御部４８がアクセス可能なセキュア領域２７に記憶し、かつ不正アクセスが検出された場合に、セキュア制御部４８がメイン制御部４３の代わりに制御を行う構成により、不正アクセスを受けた場合においても、外部からの不正操作の困難なセキュア制御部４８が、不正アクセスによる書き換えの心配のないセキュア領域２７における情報を用いて、想定した通信先との通信、および想定した処理の少なくともいずれか一方を確実に行うことができる。したがって、車載ネットワークにおいて、不正アクセスを受けても適切な処理をより確実に行うことができる。また、不正アクセスを受けた場合において、緊急時通信先情報を用いた通信先との通信を行う構成により、たとえば不正アクセスを受けた場合に外部装置との通信を完全に遮断する構成と比べて、不正アクセスに対処するために必要な情報の伝送を確保することができる。
【０３７２】
その他の構成および動作は第１の実施の形態に係る車外通信装置と同様であるため、ここでは詳細な説明を繰り返さない。
【０３７３】
なお、本発明の第１の実施の形態および第２の実施の形態に係る各装置の構成要素および動作のうち、一部または全部を適宜組み合わせることも可能である。
【０３７４】
上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【０３７５】
以上の説明は、以下に付記する特徴を含む。
【０３７６】
［付記１］
車両に搭載され、前記車両の外部における外部装置と通信可能な車外通信装置であって、
制御部と、
耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶する記憶部とを備え、
前記制御部は、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行い、
前記外部装置は、通報先サーバ、キャリアサーバ、地図サーバ、管制サーバ、一般サーバ、または他の車両における車載通信装置であり、
前記緊急時の所定の動作は、前記車両の自動運転から手動運転への切り換え、または前記車両を路肩に停止させることであり、
前記セキュア領域は、ｅＳＩＭ（Ｅｍｂｅｄｄｅｄ  Ｓｕｂｓｃｒｉｂｅｒ  Ｉｄｅｎｔｉｔｙ  Ｍｏｄｕｌｅ）の記憶領域、ＳＩＭカードの記憶領域、またはＴＰＭ（Ｔｒｕｓｔｅｄ  Ｐｌａｔｆｏｒｍ  Ｍｏｄｕｌｅ）のバージョン２．０の規格、ＳＨＥ（Ｓｅｃｕｒｅ  Ｈａｒｄｗａｒｅ  Ｅｘｔｅｎｓｉｏｎ）の規格、もしくはＥＶＩＴＡ（Ｅ−ｓａｆｅｔｙ  Ｖｅｈｉｃｌｅ  Ｉｎｔｒｕｓｉｏｎ  ｐｒｏＴｅｃｔｅｄ  Ａｐｐｌｉｃａｔｉｏｎｓ）の規格に従うセキュリティＩＣ（Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）の記憶領域に含まれる、車外通信装置。
【０３７７】
［付記２］
車両に搭載され、前記車両の外部における外部装置と通信可能な車外通信装置であって、
通常時の所定の動作に関する通常時動作情報を記憶する記憶部と、
前記通常時動作情報に基づく処理を行うメイン制御部と、
耐タンパー性を有するセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶するセキュア記憶部と、
前記セキュア領域にアクセス可能であり、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記メイン制御部の代わりに、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行うセキュア制御部とを備え、
前記外部装置は、通報先サーバ、キャリアサーバ、地図サーバ、管制サーバ、一般サーバ、または他の車両における車載通信装置であり、
前記緊急時の所定の動作は、前記車両の自動運転から手動運転への切り換え、または前記車両を路肩に停止させることであり、
前記セキュア制御部および前記セキュア記憶部は、セキュアデバイスに含まれ、
前記メイン制御部および前記記憶部は、前記セキュアデバイスと異なるＩＣに含まれ、
前記記憶部は、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）であり、
前記セキュアデバイスは、ｅＳＩＭ、ＳＩＭカード、またはＴＰＭのバージョン２．０の規格、ＳＨＥの規格、もしくはＥＶＩＴＡの規格に従うセキュアＩＣである、車外通信装置。
【０３７８】
［付記３］
車両に搭載され、前記車両の外部における外部装置と通信可能な車外通信装置であって、
制御部と、
前記制御部が所定の情報を出力した場合に前記制御部からのアクセスが許可されるセキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶する記憶部とを備え、
前記制御部は、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行い、
前記外部装置は、通報先サーバ、キャリアサーバ、地図サーバ、管制サーバ、一般サーバ、または他の車両における車載通信装置であり、
前記緊急時の所定の動作は、前記車両の自動運転から手動運転への切り換え、または前記車両を路肩に停止させることであり、
前記セキュア領域は、ｅＳＩＭの記憶領域、ＳＩＭカードの記憶領域、またはＴＰＭのバージョン２．０の規格、ＳＨＥの規格、もしくはＥＶＩＴＡの規格に従うセキュリティＩＣの記憶領域に含まれる、車外通信装置。
【０３７９】
［付記４］
車両に搭載され、前記車両の外部における外部装置と通信可能な車外通信装置であって、
通常時の所定の動作に関する通常時動作情報を記憶する記憶部と、
前記通常時動作情報に基づく処理を行うメイン制御部と、
セキュア領域を有し、前記セキュア領域に、前記車両の外部における通信先に関する通信先情報、および緊急時の所定の動作に関する緊急時動作情報の少なくともいずれか一方を記憶するセキュア記憶部と、
前記セキュア領域にアクセス可能であり、前記車両に搭載される車載機器における不正アクセスが検出された場合、前記メイン制御部の代わりに、前記通信先情報を用いた前記通信先との通信の制御、および前記緊急時動作情報に基づく処理の少なくともいずれか一方を行うセキュア制御部とを備え、
前記外部装置は、通報先サーバ、キャリアサーバ、地図サーバ、管制サーバ、一般サーバ、または他の車両における車載通信装置であり、
前記緊急時の所定の動作は、前記車両の自動運転から手動運転への切り換え、または前記車両を路肩に停止させることであり、
前記セキュア制御部および前記セキュア記憶部は、セキュアデバイスに含まれ、
前記メイン制御部および前記記憶部は、前記セキュアデバイスと異なるＩＣに含まれ、
前記記憶部は、ＲＯＭであり、
前記セキュアデバイスは、ｅＳＩＭ、ＳＩＭカード、またはＴＰＭのバージョン２．０の規格、ＳＨＥの規格、もしくはＥＶＩＴＡの規格に従うセキュアＩＣである、車外通信装置。
【符号の説明】
【０３８０】
１  対象車両
２  他の車両
１０  車載ネットワーク
１１  外部ネットワーク
２１  車外通信部
２２  通信データ処理部
２３  メイン制御部２３
２４  不正アクセス検出部
２５  車内通信部
２６  記憶部（セキュア記憶部）
２７  セキュア領域
２８  セキュア制御部
２９  ＲＡＭ
３０  ＲＯＭ（記憶部）
３１  ＲＡＭ
４３  メイン制御部
４８  セキュア制御部
５１  メインＩＣ
５２  セキュアＩＣ
５３  通信ＬＳＩ
６１  メインＩＣ
６２  セキュアＩＣ
１０１，１０２  車外通信装置
１１１  車載ＥＣＵ
１１２  自動運転ＥＣＵ
１５１  スイッチ装置
１６１  無線基地局装置
１８２  通報先サーバ
１８３  キャリアサーバ
１８４  地図サーバ
１８５  管制サーバ
１８６  一般サーバ
１８７  車載通信装置
３０１  車載通信システム
【図１】
0006988893.tif 000002
【図２】
0006988893.tif 000003
【図３】
0006988893.tif 000004
【図４】
0006988893.tif 000005
【図５】
0006988893.tif 000006
【図６】
0006988893.tif 000007
【図７】
0006988893.tif 000008
【図８】
0006988893.tif 000009
【図９】
0006988893.tif 000010
【図１０】
0006988893.tif 000011
【図１１】
0006988893.tif 000012
【図１２】
0006988893.tif 000013
【図１３】
0006988893.tif 000014
【図１４】
0006988893.tif 000015