(57)【要約】【課題】車載ネットワークにおいて、外部装置からの情報を中継するゲートウェイのより安定化した動作を実現することが可能なゲートウェイ、車載通信システム、通信制御方法および通信制御プログラムを提供する。【解決手段】ゲートウェイは、車両に搭載されるゲートウェイであって、前記車両の外部における外部装置と通信可能な他のゲートウェイを介して前記外部装置と通信可能な通信部を備え、前記他のゲートウェイは、通信データを中継する中継処理を行うスイッチ部と、前記スイッチ部の前記中継処理を制御する処理部とを含み、前記通信部は、前記スイッチ部から受けた通信データを前記車両の内部における装置へ中継可能であり、前記ゲートウェイは、さらに、前記処理部の異常を判定し、前記異常が発生したと判断した場合、前記スイッチ部の前記中継処理を制御する制御部を備える。【選択図】図３
2018056680.tif 000002
【特許請求の範囲】
【請求項１】
車両に搭載されるゲートウェイであって、
前記車両の外部における外部装置と通信可能な他のゲートウェイを介して前記外部装置と通信可能な通信部を備え、
前記他のゲートウェイは、
通信データを中継する中継処理を行うスイッチ部と、
前記スイッチ部の前記中継処理を制御する処理部とを含み、
前記通信部は、前記スイッチ部から受けた通信データを前記車両の内部における装置へ中継可能であり、
前記ゲートウェイは、さらに、
前記処理部の異常を判定し、前記異常が発生したと判断した場合、前記スイッチ部の前記中継処理を制御する制御部を備える、ゲートウェイ。
【請求項２】
前記制御部は、前記スイッチ部の前記中継処理を制御することにより、前記外部装置の前記スイッチ部を介した通信を制御する、請求項１に記載のゲートウェイ。
【請求項３】
前記制御部は、前記外部装置からの通信が遮断されるように前記スイッチ部の前記中継処理を制御する、請求項２に記載のゲートウェイ。
【請求項４】
前記制御部は、前記スイッチ部の前記中継処理を制御することにより、前記車両の内部における装置の前記スイッチ部を介した通信を制御する、請求項１から請求項３のいずれか１項に記載のゲートウェイ。
【請求項５】
前記制御部は、前記スイッチ部の異常を判定し、判定結果に応じた処理を行う、請求項１から請求項４のいずれか１項に記載のゲートウェイ。
【請求項６】
前記制御部は、前記スイッチ部の異常が発生したと判断した場合に、前記車両の内部における装置の自己の前記ゲートウェイを介した通信を遮断する、請求項５に記載のゲートウェイ。
【請求項７】
前記制御部は、前記スイッチ部の異常の判定結果に基づく内容を報知する、請求項５または請求項６に記載のゲートウェイ。
【請求項８】
車両に搭載される車載通信システムであって、
前記車両の外部における外部装置と通信可能な第１のゲートウェイと、
前記第１のゲートウェイを介して前記外部装置と通信可能な第２のゲートウェイとを備え、
前記第１のゲートウェイは、
通信データを中継する中継処理を行うスイッチ部と、
前記スイッチ部の前記中継処理を制御する処理部とを含み、
前記第２のゲートウェイは、前記スイッチ部から受けた通信データを前記車両の内部における装置へ中継可能であり、
前記第２のゲートウェイは、前記処理部の異常を判定し、前記異常が発生したと判断した場合、前記スイッチ部の前記中継処理を制御する、車載通信システム。
【請求項９】
車両に搭載されるゲートウェイにおける通信制御方法であって、
前記ゲートウェイは、前記車両の外部における外部装置と通信可能な他のゲートウェイを介して前記外部装置と通信可能であり、
前記他のゲートウェイは、
通信データを中継する中継処理を行うスイッチ部と、
前記スイッチ部の前記中継処理を制御する処理部とを含み、
前記ゲートウェイは、前記スイッチ部から受けた通信データを前記車両の内部における装置へ中継可能であり、
前記処理部の異常を判定するステップと、
前記異常が発生したと判断した場合、前記スイッチ部の前記中継処理を制御するステップとを含む、通信制御方法。
【請求項１０】
車両に搭載される車載通信システムにおける通信制御方法であって、
前記車載通信システムは、
前記車両の外部における外部装置と通信可能な第１のゲートウェイと、
前記第１のゲートウェイを介して前記外部装置と通信可能な第２のゲートウェイとを備え、
前記第１のゲートウェイは、
通信データを中継する中継処理を行うスイッチ部と、
前記スイッチ部の前記中継処理を制御する処理部とを含み、
前記第２のゲートウェイは、前記スイッチ部から受けた通信データを前記車両の内部における装置へ中継可能であり、
前記第２のゲートウェイが、前記処理部の異常を判定するステップと、
前記第２のゲートウェイが、前記異常が発生したと判断した場合、前記スイッチ部の前記中継処理を制御するステップとを含む、通信制御方法。
【請求項１１】
車両に搭載されるゲートウェイにおいて用いられる通信制御プログラムであって、
コンピュータを、
前記車両の外部における外部装置と通信可能な他のゲートウェイを介して前記外部装置と通信可能な通信部、
として機能させるためのプログラムであり、
前記他のゲートウェイは、
通信データを中継する中継処理を行うスイッチ部と、
前記スイッチ部の前記中継処理を制御する処理部とを含み、
前記通信部は、前記スイッチ部から受けた通信データを前記車両の内部における装置へ中継可能であり、
さらに、コンピュータを、
前記処理部の異常を判定し、前記異常が発生したと判断した場合、前記スイッチ部の前記中継処理を制御する制御部、
として機能させるための、通信制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ゲートウェイ、車載通信システム、通信制御方法および通信制御プログラムに関する。
【背景技術】
【０００２】
従来、高品質サービスを提供するためにシステムの二重化（冗長化）を行うための技術が開発されている。
【０００３】
たとえば、特許文献１（特開２０１６−１２９３２号公報）には、以下のような局側装置が開示されている。すなわち、局側装置は、運用系（現用）ＯＳＵ１〜Ｎと待機系（予備）ＯＳＵ  Ｎ＋１と、制御部とを備える。制御部は、ネットワーク管理システム（ＮＭＳ）との間で、論理回線に紐付けられたＯＮＵの管理情報を伝達する。論理回線は、光回線ユニットと受動的光ネットワークとの固定的な組み合わせにより定義される。一方、ＯＳＵは、実回線に紐付けられた管理情報を取得する。実回線は、光回線ユニットおよび受動的光ネットワークの実際の組み合わせを示す。制御部は、マッピング情報を用いて、管理情報に紐付けられた回線を、論理回線と実回線との間で相互に変換する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１６−１２９３２号公報
【特許文献２】特開２０１５−８８８１５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
たとえば、車両の外部における外部装置からの情報を車両の内部における内部装置へ中継するゲートウェイが車両に設けられる場合がある。このような構成において、たとえば、大量のデータを送りつける意図的な攻撃をゲートウェイが外部装置から受けると、ゲートウェイの動作が不安定になってしまう。システムの冗長化により、ゲートウェイのより安定化した動作を実現可能な技術が望まれる。しかしながら、特許文献１にはこのような冗長化については開示されていない。
【０００６】
この発明は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおいて、外部装置からの情報を中継するゲートウェイのより安定化した動作を実現することが可能なゲートウェイ、車載通信システム、通信制御方法および通信制御プログラムを提供することである。
【課題を解決するための手段】
【０００７】
（１）上記課題を解決するために、この発明のある局面に係わるゲートウェイは、車両に搭載されるゲートウェイであって、前記車両の外部における外部装置と通信可能な他のゲートウェイを介して前記外部装置と通信可能な通信部を備え、前記他のゲートウェイは、通信データを中継する中継処理を行うスイッチ部と、前記スイッチ部の前記中継処理を制御する処理部とを含み、前記通信部は、前記スイッチ部から受けた通信データを前記車両の内部における装置へ中継可能であり、前記ゲートウェイは、さらに、前記処理部の異常を判定し、前記異常が発生したと判断した場合、前記スイッチ部の前記中継処理を制御する制御部を備える。
【０００８】
（８）上記課題を解決するために、この発明のある局面に係わる車載通信システムは、車両に搭載される車載通信システムであって、前記車両の外部における外部装置と通信可能な第１のゲートウェイと、前記第１のゲートウェイを介して前記外部装置と通信可能な第２のゲートウェイとを備え、前記第１のゲートウェイは、通信データを中継する中継処理を行うスイッチ部と、前記スイッチ部の前記中継処理を制御する処理部とを含み、前記第２のゲートウェイは、前記スイッチ部から受けた通信データを前記車両の内部における装置へ中継可能であり、前記第２のゲートウェイは、前記処理部の異常を判定し、前記異常が発生したと判断した場合、前記スイッチ部の前記中継処理を制御する。
【０００９】
（９）上記課題を解決するために、この発明の他の局面に係わる通信制御方法は、車両に搭載されるゲートウェイにおける通信制御方法であって、前記ゲートウェイは、前記車両の外部における外部装置と通信可能な他のゲートウェイを介して前記外部装置と通信可能であり、前記他のゲートウェイは、通信データを中継する中継処理を行うスイッチ部と、前記スイッチ部の前記中継処理を制御する処理部とを含み、前記ゲートウェイは、前記スイッチ部から受けた通信データを前記車両の内部における装置へ中継可能であり、前記処理部の異常を判定するステップと、前記異常が発生したと判断した場合、前記スイッチ部の前記中継処理を制御するステップとを含む。
【００１０】
（１０）上記課題を解決するために、この発明のある局面に係わる通信制御方法は、車両に搭載される車載通信システムにおける通信制御方法であって、前記車載通信システムは、前記車両の外部における外部装置と通信可能な第１のゲートウェイと、前記第１のゲートウェイを介して前記外部装置と通信可能な第２のゲートウェイとを備え、前記第１のゲートウェイは、通信データを中継する中継処理を行うスイッチ部と、前記スイッチ部の前記中継処理を制御する処理部とを含み、前記第２のゲートウェイは、前記スイッチ部から受けた通信データを前記車両の内部における装置へ中継可能であり、前記第２のゲートウェイが、前記処理部の異常を判定するステップと、前記第２のゲートウェイが、前記異常が発生したと判断した場合、前記スイッチ部の前記中継処理を制御するステップとを含む。
【００１１】
（１１）上記課題を解決するために、この発明のある局面に係わる通信制御プログラムは、車両に搭載されるゲートウェイにおいて用いられる通信制御プログラムであって、コンピュータを、前記車両の外部における外部装置と通信可能な他のゲートウェイを介して前記外部装置と通信可能な通信部、として機能させるためのプログラムであり、前記他のゲートウェイは、通信データを中継する中継処理を行うスイッチ部と、前記スイッチ部の前記中継処理を制御する処理部とを含み、前記通信部は、前記スイッチ部から受けた通信データを前記車両の内部における装置へ中継可能であり、さらに、コンピュータを、前記処理部の異常を判定し、前記異常が発生したと判断した場合、前記スイッチ部の前記中継処理を制御する制御部、として機能させるためのプログラムである。
【００１２】
本発明は、このような特徴的な処理部を備えるゲートウェイとして実現することができるだけでなく、ゲートウェイの一部または全部を実現する半導体集積回路として実現することができる。
【００１３】
また、本発明は、このような特徴的な処理部を備える車載通信システムとして実現することができるだけでなく、車載通信システムの一部または全部を実現する半導体集積回路として実現することができる。
【発明の効果】
【００１４】
本発明によれば、車載ネットワークにおいて、外部装置からの情報を中継するゲートウェイのより安定化した動作を実現することができる。
【図面の簡単な説明】
【００１５】
【図１】図１は、本発明の実施の形態に係る車載通信システムの構成を示す図である。
【図２】図２は、本発明の実施の形態に係る車載通信システムにおける車外ゲートウェイの構成を示す図である。
【図３】図３は、本発明の実施の形態に係る車載通信システムにおける車内ゲートウェイの構成を示す図である。
【図４】図４は、本発明の実施の形態に係る車載通信システムにおける車内ゲートウェイが、車外ゲートウェイにおける中継処理の制御を行う際の動作手順を定めたフローチャートである。
【発明を実施するための形態】
【００１６】
最初に、本発明の実施形態の内容を列記して説明する。
【００１７】
（１）本発明の実施の形態に係るゲートウェイは、車両に搭載されるゲートウェイであって、前記車両の外部における外部装置と通信可能な他のゲートウェイを介して前記外部装置と通信可能な通信部を備え、前記他のゲートウェイは、通信データを中継する中継処理を行うスイッチ部と、前記スイッチ部の前記中継処理を制御する処理部とを含み、前記通信部は、前記スイッチ部から受けた通信データを前記車両の内部における装置へ中継可能であり、前記ゲートウェイは、さらに、前記処理部の異常を判定し、前記異常が発生したと判断した場合、前記スイッチ部の前記中継処理を制御する制御部を備える。
【００１８】
このような構成により、たとえば、他のゲートウェイが、外部装置から意図的な攻撃を受け、自己の中継処理を良好に制御することが困難な場合において、ゲートウェイは、他のゲートウェイの代わりに他のゲートウェイの中継処理を制御することができる。したがって、車載ネットワークにおいて、外部装置からの情報を中継するゲートウェイの動作についての冗長化を実現し、ゲートウェイのより安定化した動作を実現することができる。これにより、通信データを安定に中継することができるので、たとえば、自動運転等の車両の制御にとって重要な通信データが中継されない状況を回避することができる。
【００１９】
（２）好ましくは、前記制御部は、前記スイッチ部の前記中継処理を制御することにより、前記外部装置の前記スイッチ部を介した通信を制御する。
【００２０】
このような構成により、スイッチ部の中継処理の対象に応じた制御を行うことができる。具体的には、たとえば、車両の内部における装置間の通信データの中継処理を継続する一方で、外部装置との通信データの中継処理を停止または抑制することができる。
【００２１】
（３）より好ましくは、前記制御部は、前記外部装置からの通信が遮断されるように前記スイッチ部の前記中継処理を制御する。
【００２２】
このような構成により、攻撃目的の大量のデータ、および不正なデータ等の好ましくないデータが車載ネットワークへ流入してしまうことを防ぐことができるので、車載ネットワークにおけるセキュリティを向上させることができる。
【００２３】
（４）好ましくは、前記制御部は、前記スイッチ部の前記中継処理を制御することにより、前記車両の内部における装置の前記スイッチ部を介した通信を制御する。
【００２４】
このような構成により、スイッチ部の中継処理の対象に応じた制御を行うことができる。具体的には、たとえば、車両の内部における装置のスイッチ部を介した通信を停止または抑制することができる。
【００２５】
（５）好ましくは、前記制御部は、前記スイッチ部の異常を判定し、判定結果に応じた処理を行う。
【００２６】
このような構成により、たとえば、通信データの通信経路を示す経路テーブルの異常、および中継処理の成功率が低い等の異常を、処理部の正常および異常に関係なく判定することができる。また、スイッチ部が異常であると判定した場合には、車両の内部における装置間の中継処理が適切に行われない状況であると認識して必要な処理を行い、また、スイッチ部が正常であると判定した場合には、車両の内部における装置間の中継処理を継続することができる。
【００２７】
（６）より好ましくは、前記制御部は、前記スイッチ部の異常が発生したと判断した場合に、前記車両の内部における装置の自己の前記ゲートウェイを介した通信を遮断する。
【００２８】
このような構成により、たとえば、車両の内部における装置が他のゲートウェイを介さずに車両の外部のネットワークに接続されている場合において、好ましくないデータが外部のネットワークから車載ネットワークへ誤って流入してしまうことを防ぐことができるので、車載ネットワークにおけるセキュリティを向上させることができる。
【００２９】
（７）より好ましくは、前記制御部は、前記スイッチ部の異常の判定結果に基づく内容を報知する。
【００３０】
このような構成により、たとえば、他のゲートウェイにおける異常な中継処理の状況をユーザに報知することができる。
【００３１】
（８）本発明の実施の形態に係る車載通信システムは、車両に搭載される車載通信システムであって、前記車両の外部における外部装置と通信可能な第１のゲートウェイと、前記第１のゲートウェイを介して前記外部装置と通信可能な第２のゲートウェイとを備え、前記第１のゲートウェイは、通信データを中継する中継処理を行うスイッチ部と、前記スイッチ部の前記中継処理を制御する処理部とを含み、前記第２のゲートウェイは、前記スイッチ部から受けた通信データを前記車両の内部における装置へ中継可能であり、前記第２のゲートウェイは、前記処理部の異常を判定し、前記異常が発生したと判断した場合、前記スイッチ部の前記中継処理を制御する。
【００３２】
このような構成により、たとえば、第１のゲートウェイが、外部装置から意図的な攻撃を受け、自己の中継処理を良好に制御することが困難な場合において、第２のゲートウェイは、第１のゲートウェイの代わりに第１のゲートウェイの中継処理を制御することができる。したがって、車載ネットワークにおいて、外部装置からの情報を中継するゲートウェイの動作についての冗長化を実現し、ゲートウェイのより安定化した動作を実現することができる。これにより、通信データを安定に中継することができるので、たとえば、自動運転等の車両の制御にとって重要な通信データが中継されない状況を回避することができる。
【００３３】
（９）本発明の実施の形態に係る通信制御方法は、車両に搭載されるゲートウェイにおける通信制御方法であって、前記ゲートウェイは、前記車両の外部における外部装置と通信可能な他のゲートウェイを介して前記外部装置と通信可能であり、前記他のゲートウェイは、通信データを中継する中継処理を行うスイッチ部と、前記スイッチ部の前記中継処理を制御する処理部とを含み、前記ゲートウェイは、前記スイッチ部から受けた通信データを前記車両の内部における装置へ中継可能であり、前記処理部の異常を判定するステップと、前記異常が発生したと判断した場合、前記スイッチ部の前記中継処理を制御するステップとを含む。
【００３４】
このような構成により、たとえば、他のゲートウェイが、外部装置から意図的な攻撃を受け、自己の中継処理を良好に制御することが困難な場合において、ゲートウェイは、他のゲートウェイの代わりに他のゲートウェイの中継処理を制御することができる。したがって、車載ネットワークにおいて、外部装置からの情報を中継するゲートウェイの動作についての冗長化を実現し、ゲートウェイのより安定化した動作を実現することができる。これにより、通信データを安定に中継することができるので、たとえば、自動運転等の車両の制御にとって重要な通信データが中継されない状況を回避することができる。
【００３５】
（１０）本発明の実施の形態に係る通信制御方法は、車両に搭載される車載通信システムにおける通信制御方法であって、前記車載通信システムは、前記車両の外部における外部装置と通信可能な第１のゲートウェイと、前記第１のゲートウェイを介して前記外部装置と通信可能な第２のゲートウェイとを備え、前記第１のゲートウェイは、通信データを中継する中継処理を行うスイッチ部と、前記スイッチ部の前記中継処理を制御する処理部とを含み、前記第２のゲートウェイは、前記スイッチ部から受けた通信データを前記車両の内部における装置へ中継可能であり、前記第２のゲートウェイが、前記処理部の異常を判定するステップと、前記第２のゲートウェイが、前記異常が発生したと判断した場合、前記スイッチ部の前記中継処理を制御するステップとを含む。
【００３６】
このような構成により、たとえば、第１のゲートウェイが、外部装置から意図的な攻撃を受け、自己の中継処理を良好に制御することが困難な場合において、第２のゲートウェイは、第１のゲートウェイの代わりに第１のゲートウェイの中継処理を制御することができる。したがって、車載ネットワークにおいて、外部装置からの情報を中継するゲートウェイの動作についての冗長化を実現し、ゲートウェイのより安定化した動作を実現することができる。これにより、通信データを安定に中継することができるので、たとえば、自動運転等の車両の制御にとって重要な通信データが中継されない状況を回避することができる。
【００３７】
（１１）本発明の実施の形態に係る通信制御プログラムは、車両に搭載されるゲートウェイにおいて用いられる通信制御プログラムであって、コンピュータを、前記車両の外部における外部装置と通信可能な他のゲートウェイを介して前記外部装置と通信可能な通信部、として機能させるためのプログラムであり、前記他のゲートウェイは、通信データを中継する中継処理を行うスイッチ部と、前記スイッチ部の前記中継処理を制御する処理部とを含み、前記通信部は、前記スイッチ部から受けた通信データを前記車両の内部における装置へ中継可能であり、さらに、コンピュータを、前記処理部の異常を判定し、前記異常が発生したと判断した場合、前記スイッチ部の前記中継処理を制御する制御部、として機能させるための。
【００３８】
このような構成により、たとえば、他のゲートウェイが、外部装置から意図的な攻撃を受け、自己の中継処理を良好に制御することが困難な場合において、ゲートウェイは、他のゲートウェイの代わりに他のゲートウェイの中継処理を制御することができる。したがって、車載ネットワークにおいて、外部装置からの情報を中継するゲートウェイの動作についての冗長化を実現し、ゲートウェイのより安定化した動作を実現することができる。これにより、通信データを安定に中継することができるので、たとえば、自動運転等の車両の制御にとって重要な通信データが中継されない状況を回避することができる。
【００３９】
以下、本発明の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。
【００４０】
［構成および基本動作］
図１は、本発明の実施の形態に係る車載通信システムの構成を示す図である。
【００４１】
図１を参照して、車載通信システム３０１は、車内ゲートウェイ１０１と、車外ゲートウェイ１５１とを備える。
【００４２】
車載通信システム３０１は、車両に搭載される。また、当該車両には、当該車両の内部における装置の一例である、複数の車内通信デバイス１１１、複数の車外通信デバイス１１２、および複数の制御デバイス１１３が搭載される。
【００４３】
なお、車両では、複数の車内通信デバイス１１１が搭載される構成に限らず、１つの車内通信デバイス１１１が搭載される構成であってもよい。また、車両では、複数の車外通信デバイス１１２が搭載される構成に限らず、１つの車外通信デバイス１１２が搭載される構成であってもよい。また、車両では、複数の制御デバイス１１３が搭載される構成に限らず、１つの制御デバイス１１３が搭載される構成であってもよい。
【００４４】
車内通信デバイス１１１は、たとえば、ヒューマンマシンインタフェース、カメラ、レーザーレーダ、センサ、オーディオ、ナビゲーション装置および自動運転のための運転支援装置等であり、車外ゲートウェイ１５１と通信を行うことが可能である。
【００４５】
車外通信デバイス１１２は、たとえば、無線通信装置および通信モジュール等である。無線通信装置は、たとえば、ＬＴＥ（Ｌｏｎｇ  Ｔｅｒｍ  Ｅｖｏｌｕｔｉｏｎ）または３Ｇ等の通信規格に従って、無線基地局装置１６１と無線通信を行うことが可能であり、かつ車外ゲートウェイ１５１と通信を行うことが可能である。
【００４６】
通信モジュールは、たとえば、ＯＢＤ２（Ｏｎ  Ｂｏａｒｄ  Ｄｉａｇｎｏｓｉｓ  ｓｅｃｏｎｄ  ｇｅｎｅｒａｔｉｏｎ）の通信規格に従って、整備用端末装置１６３と無線通信を行うことが可能であり、かつ車外ゲートウェイ１５１と通信を行うことが可能である。なお、整備用端末装置１６３は、整備時以外では通信モジュールに接続されないことがある。
【００４７】
制御デバイス１１３は、たとえば、エンジン制御デバイス、ＡＴ（Ａｕｔｏｍａｔｉｃ  Ｔｒａｎｓｍｉｓｓｉｏｎ）制御デバイス、ＨＥＶ（Ｈｙｂｒｉｄ  Ｅｌｅｃｔｒｉｃ  Ｖｅｈｉｃｌｅ）制御デバイス、ブレーキ制御デバイス、シャーシ制御デバイス、ステアリング制御デバイスおよび計器表示制御デバイス等である。
【００４８】
車内ゲートウェイ１０１は、具体的にはセントラルゲートウェイであり、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）１１経由で制御デバイス１１３と通信を行うことが可能であり、かつ車外ゲートウェイ１５１と通信を行うことが可能である。
【００４９】
車内ゲートウェイ１０１は、制御デバイス１１３と車内通信デバイス１１１および車外通信デバイス１１２との間でやり取りされる情報の中継処理を行う。
【００５０】
車外ゲートウェイ１５１は、たとえば、イーサネット（登録商標）ケーブル１０により車内通信デバイス１１１、車外通信デバイス１１２および車内ゲートウェイ１０１と接続されている。
【００５１】
車外ゲートウェイ１５１は、自己に直接接続された車内通信デバイス１１１、車外通信デバイス１１２および車内ゲートウェイ１０１と通信を行うことが可能である。
【００５２】
車外ゲートウェイ１５１、および車外ゲートウェイ１５１に直接接続された他の装置間では、たとえば、イーサネットフレームを用いて情報のやり取りが行われる。
【００５３】
また、車外ゲートウェイ１５１は、車両の外部における外部装置と通信可能である。具体的には、車外ゲートウェイ１５１は、外部装置の一例であるサーバと、車外通信デバイス１１２および無線基地局装置１６１経由で通信を行うことが可能である。
【００５４】
また、車外ゲートウェイ１５１は、外部装置の一例である整備用端末装置１６３と対応の車外通信デバイス１１２経由で通信を行うことが可能である。
【００５５】
［車外ゲートウェイ１５１の構成］
図２は、本発明の実施の形態に係る車載通信システムにおける車外ゲートウェイの構成を示す図である。
【００５６】
図２を参照して、車外ゲートウェイ１５１は、スイッチ部５１と、処理部５２と、複数の通信ポート５４とを備える。
【００５７】
車外ゲートウェイ１５１における通信ポート５４は、たとえばイーサネットケーブル１０を接続可能な端子である。なお、通信ポート５４は、集積回路の端子であってもよい。
【００５８】
複数の通信ポート５４の各々は、イーサネットケーブル１０を介して車内ゲートウェイ１０１、車内通信デバイス１１１および車外通信デバイス１１２のうちのいずれか１つに接続されている。
【００５９】
また、複数の通信ポート５４は、各ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）と対応付けられている。具体的には、たとえば、車内通信デバイス１１１の一例であるヒューマンマシンインタフェース、カメラ、レーザーレーダ、センサ、オーディオ、ナビゲーション装置および運転支援装置、ならびに車内ゲートウェイ１０１は、たとえばＬＡＮ１に属している。これらの装置と接続する通信ポート５４は、ＬＡＮ１に対応付けられる。
【００６０】
また、複数の車外通信デバイス１１２は、たとえば、ＬＡＮ１と異なるＬＡＮ２に属している。各車外通信デバイス１１２と接続する通信ポート５４は、ＬＡＮ２に対応付けられている。
【００６１】
スイッチ部５１は、通信データを中継する中継処理を行う。具体的には、スイッチ部５１は、たとえばＬ２（レイヤ２）スイッチであり、通信ポート５４ごとに固有のＭＡＣアドレスが割り当てられている。
【００６２】
また、スイッチ部５１は、たとえば、同じＬＡＮに属する装置間においてやり取りされるイーサネットフレームの通信経路を示す経路テーブルをＬＡＮごとに保持する。
【００６３】
経路テーブルには、たとえば、ナビゲーション装置から受信したイーサネットフレームを車内ゲートウェイ１０１へ送信する通信経路が示される。具体的には、経路テーブルには、送信元のナビゲーション装置のＭＡＣアドレス、および送信先の車内ゲートウェイ１０１のＭＡＣアドレスと、車内ゲートウェイ１０１に接続する通信ポート５４のポート番号との対応関係が含まれる。
【００６４】
スイッチ部５１は、たとえば、ナビゲーション装置からイーサネットフレームを受信すると、受信したイーサネットフレームに含まれる送信元ＭＡＣアドレスおよび宛先ＭＡＣアドレスを確認し、これらのアドレスに対応するポート番号を経路テーブルから取得する。そして、スイッチ部５１は、受信したイーサネットフレームを、取得したポート番号に対応する通信ポート５４経由で宛先の装置すなわち車内ゲートウェイ１０１へ送信する。
【００６５】
また、スイッチ部５１は、たとえば、中継処理の成否結果を通信経路ごとに示す管理データベースを保持する。ここで、通信経路は、たとえば、中継処理を行ったイーサネットフレームに含まれる送信元ＭＡＣアドレスおよび宛先ＭＡＣアドレス、ならびにこれらのアドレスに対応するポート番号によって特定される。
【００６６】
スイッチ部５１は、中継処理を行うごとに、当該中継処理の成否の結果を管理データベースに記録する。これにより、管理データベースでは、中継処理されたイーサネットフレーム数、および中継処理に失敗したイーサネットフレーム数が通信経路ごとに集計される。
【００６７】
また、スイッチ部５１は、たとえば、異なるＬＡＮに属する装置間において伝送されるイーサネットフレームを受信すると、受信したイーサネットフレームからＩＰパケットを取得し、取得したＩＰパケットを処理部５２へ出力する。
【００６８】
具体的には、スイッチ部５１は、たとえば、車内ゲートウェイ１０１へ送信されるべきイーサネットフレームを車外通信デバイス１１２から受信すると、受信したイーサネットフレームからＩＰパケットを取得し、取得したＩＰパケットを処理部５２へ出力する。
【００６９】
処理部５２は、スイッチ部５１の中継処理を制御する。具体的には、処理部５２は、たとえば、スイッチ部５１における経路テーブルの内容を設定するとともに、レイヤ３（Ｌ３）ルーティングおよびレイヤ４（Ｌ４）ルーティングを行うことによりスイッチ部５１の中継処理を制御する。
【００７０】
より詳細には、処理部５２は、たとえば、通信ポート５４のポート番号と当該ポート番号に対応するＩＰアドレスとの対応関係を示すルーティングテーブルを保持する。
【００７１】
たとえば、処理部５２は、スイッチ部５１からＩＰパケットを受けると、受けたＩＰパケットに含まれるＩＰアドレス、およびルーティングテーブルに基づいて、ＬＡＮ２に属する車外通信デバイス１１２から受けたＩＰパケットを、ＬＡＮ１に属する車内ゲートウェイ１０１へ転送すべきと判断する。
【００７２】
そして、処理部５２は、当該ＩＰアドレスに対応するポート番号をルーティングテーブルから取得し、取得したポート番号およびＩＰパケットをスイッチ部５１へ出力する。
【００７３】
スイッチ部５１は、処理部５２からポート番号およびＩＰパケットを受けると、受けたＩＰパケットをイーサネットフレームに格納し、当該イーサネットフレームを当該ポート番号の通信ポート５４経由で宛先の装置すなわち車内ゲートウェイ１０１へ送信する。
【００７４】
また、スイッチ部５１および処理部５２は、たとえば、シリアルケーブル１２を介して車内ゲートウェイ１０１と接続されており、車内ゲートウェイ１０１とシリアル通信を行うことが可能である。
【００７５】
［課題］
車外ゲートウェイ１５１では、処理部５２が、外部装置から車外通信デバイス１１２経由で大量のデータを送りつけられるＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅｓ）攻撃等を受けることがある。
【００７６】
処理部５２がＤｏＳ攻撃を受けると、スイッチ部５１における中継処理の制御を良好に行うことが困難になってしまう。このような状況では、カメラおよびレーザーレーダからのイーサネットフレームのような自動運転に用いる通信データが運転支援装置へ適切に中継されないことがある。また、たとえば、ナビゲーション装置が車外ゲートウェイ１５１を介さずに車両外部のネットワークに接続されている場合、ナビゲーション装置からの通信データにより車両の内部における装置のファームウェアが不正に書き換えられることがある。
【００７７】
そこで、本発明の実施の形態に係る車載通信システムでは、以下のような構成および動作により、このような課題を解決する。
【００７８】
［車内ゲートウェイ１０１の構成］
図３は、本発明の実施の形態に係る車載通信システムにおける車内ゲートウェイの構成を示す図である。
【００７９】
図３を参照して、車内ゲートウェイ１０１は、通信部３１と、制御部３２とを備える。
【００８０】
車内ゲートウェイ１０１における通信部３１は、車外ゲートウェイ１５１を介して外部装置すなわちサーバおよび整備用端末装置１６３と通信可能である。
【００８１】
また、通信部３１は、車外ゲートウェイ１５１におけるスイッチ部５１から受信した通信データを制御デバイス１１３へ中継可能である。また、通信部３１は、制御デバイス１１３から受信した通信データをスイッチ部５１へ中継可能である。
【００８２】
具体的には、通信部３１は、ＣＡＮプロトコルおよびイーサネットの通信プロトコル間のプロトコル変換を行うことにより通信データを中継する。通信部３１は、スイッチ部５１からイーサネットフレームを受信すると、受信したイーサネットフレームから情報を取得し、取得した情報が格納されたＣＡＮプロトコルに従うパケットを制御デバイス１１３へ送信する。
【００８３】
また、通信部３１は、制御デバイス１１３からＣＡＮプロトコルに従うパケットを受信すると、受信したパケットから情報を取得し、取得した情報が格納されたイーサネットフレームをスイッチ部５１へ送信する。
【００８４】
図２および図３を参照して、制御部３２は、車外ゲートウェイ１５１における処理部５２の異常を判定する。具体的には、制御部３２は、たとえば処理部５２のヘルスチェックを定期的に行う。
【００８５】
より具体的には、制御部３２は、たとえば、処理部５２に含まれるＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）におけるレジスタの値をシリアルケーブル１２経由で定期的に取得し、取得した値に基づいて、処理部５２がハングアップしているか否かを判定する。なお、制御部３２は、上記ＣＰＵにおけるレジスタの値を通信部３１およびイーサネットケーブル１０経由で取得してもよい。
【００８６】
制御部３２は、処理部５２がハングアップしている場合、処理部５２が異常であると判定し、また、処理部５２がハングアップせず正常に動作している場合、処理部５２が正常であると判定する。
【００８７】
また、制御部３２は、たとえば、Ｐｉｎｇパケットを通信部３１およびイーサネットケーブル１０経由で定期的に送信する。制御部３２は、車外ゲートウェイ１５１における処理部５２がハングアップしているためＰｉｎｇパケットの応答パケットを所定時間以内に車外ゲートウェイ１５１からイーサネットケーブル１０および通信部３１経由で受信できない場合、処理部５２が異常であると判定する。一方、制御部３２は、当該応答を所定時間以内に車外ゲートウェイ１５１からイーサネットケーブル１０および通信部３１経由で受信できた場合、処理部５２が正常であると判定する。
【００８８】
制御部３２は、処理部５２において異常が発生したと判断した場合、スイッチ部５１の中継処理を制御する。詳細には、制御部３２は、たとえば、スイッチ部５１の中継処理を制御することにより、外部装置のスイッチ部５１を介した通信を制御する。
【００８９】
より詳細には、制御部３２は、たとえば、外部装置からの通信が遮断されるようにスイッチ部５１の中継処理を制御する。
【００９０】
具体的には、制御部３２は、たとえば、シリアルケーブル１２を介して車外ゲートウェイ１５１におけるスイッチ部５１を制御することにより、スイッチ部５１のホストを処理部５２から自己に切り替える。
【００９１】
そして、制御部３２は、外部装置から車外通信デバイス１１２経由で受信するイーサネットフレームを破棄させる設定をスイッチ部５１に対して行う。
【００９２】
具体的には、制御部３２は、たとえば、上記設定を示す設定命令Ｓ１をシリアルケーブル１２経由で車外ゲートウェイ１５１へ送信する。
【００９３】
車外ゲートウェイ１５１におけるスイッチ部５１は、車内ゲートウェイ１０１から設定命令Ｓ１を受信すると、受信した設定命令Ｓ１に従って、外部装置から車外通信デバイス１１２経由で受信するイーサネットフレームを破棄する動作を行う。
【００９４】
これにより、車外ゲートウェイ１５１では、外部装置から車外通信デバイス１１２経由で受信するイーサネットフレームに含まれるＩＰパケットが処理部５２へ出力されなくなるので、処理部５２をハングアップ状態から回復させることができる。
【００９５】
また、制御部３２は、たとえば、スイッチ部５１の中継処理を制御することにより、車両の内部における装置のスイッチ部５１を介した通信を制御する。
【００９６】
より詳細には、制御部３２は、たとえば、スイッチ部５１の異常を判定する。具体的には、制御部３２は、たとえば正しい経路テーブルである正規経路テーブルを保持している。制御部３２は、車外ゲートウェイ１５１におけるスイッチ部５１が保持する経路テーブルをシリアルケーブル１２経由で取得し、取得した経路テーブルと正規経路テーブルとを比較する。
【００９７】
制御部３２は、スイッチ部５１から取得した経路テーブルと正規経路テーブルとが一致しない場合、当該経路テーブルが不正に書き換えられたと判断し、スイッチ部５１が異常であると判定する。
【００９８】
また、制御部３２は、たとえば、スイッチ部５１から管理データベースをシリアルケーブル１２経由で取得する。制御部３２は、取得した管理データベースを参照し、スイッチ部５１における中継処理の成否状況を確認する。
【００９９】
制御部３２は、たとえば、管理データベースに基づいて中継処理の成功率を通信経路ごとに算出し、算出した各成功率において所定のしきい値以下の成功率が存在する場合、スイッチ部５１が異常であると判定する。
【０１００】
なお、制御部３２は、経路テーブルおよび管理データベースをシリアルケーブル１２経由で取得する構成に限らず、経路テーブルおよび管理データベースの少なくともいずれか一方を通信部３１およびイーサネットケーブル１０経由で取得する構成であってもよい。
【０１０１】
制御部３２は、たとえば、スイッチ部５１の異常の判定結果に応じた処理を行う。具体的には、制御部３２は、たとえば、異常が発生したと判断した場合に、車両の内部における装置の自己の車内ゲートウェイ１０１を介した通信を遮断する。
【０１０２】
具体的には、制御部３２は、たとえば、シリアルケーブル１２を介して車外ゲートウェイ１５１におけるスイッチ部５１を制御することにより、スイッチ部５１のホストを処理部５２から自己に切り替える。
【０１０３】
制御部３２は、たとえば、車内通信デバイス１１１から制御デバイス１１３へのイーサネットフレームを破棄させる設定を車外ゲートウェイ１５１におけるスイッチ部５１に対して行う。
【０１０４】
具体的には、制御部３２は、たとえば、上記設定を示す設定命令Ｓ２をシリアルケーブル１２経由で車外ゲートウェイ１５１へ送信する。
【０１０５】
車外ゲートウェイ１５１におけるスイッチ部５１は、車内ゲートウェイ１０１から設定命令Ｓ２を受信すると、受信した設定命令Ｓ２に従って、車内通信デバイス１１１から制御デバイス１１３へ送信すべきイーサネットフレームを破棄する動作を行う。
【０１０６】
これにより、車載通信システム３０１では、たとえば、車両外部のネットワークに車外ゲートウェイ１５１を介さずに接続されたナビゲーション装置等の車内通信デバイス１１１からのイーサネットフレームが制御デバイス１１３へ中継されることを防ぐことができるので、制御デバイス１１３におけるファームウェアが不正に書き換えられることを防ぐことができる。
【０１０７】
また、制御部３２は、たとえば、異常の判定結果に基づく内容を報知する。より詳細には、制御部３２は、たとえば、オーディオおよびナビゲーション装置等のマルチメディア系の車内通信デバイス１１１が接続された通信ポート５４を介した中継処理の成功率が所定のしきい値以下である場合、マルチメディア系の車内通信デバイス１１１の通信に異常が発生したことを示す注意情報を作成する。
【０１０８】
一方、制御部３２は、カメラおよびレーザーレーダ等の自動運転に用いるデータを取得する車内通信デバイス１１１が接続された通信ポート５４を介した中継処理の成功率が所定のしきい値以下である場合、自動運転系の車内通信デバイス１１１の通信に異常が発生したことを示す警告情報を作成する。
【０１０９】
制御部３２は、作成した注意情報および警告情報を通信部３１およびＣＡＮ１１経由でたとえば計器表示制御デバイスへ送信する。
【０１１０】
計器表示制御デバイスは、注意情報および警告情報を車内ゲートウェイ１０１から受信すると、受信した情報の内容を計器に表示することによりユーザへ報知する。
【０１１１】
なお、制御部３２は、作成した注意情報および警告情報を計器表示制御デバイスへ送信する構成に限らず、注意情報および警告情報を車外ゲートウェイ１５１および車外通信デバイス１１２経由でユーザの保持するスマートホン等の無線端末装置へ送信してもよい。
【０１１２】
［動作］
車載通信システム３０１における各装置は、コンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のシーケンス図またはフローチャートの各ステップの一部または全部を含むプログラムを図示しないメモリからそれぞれ読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。
【０１１３】
図４は、本発明の実施の形態に係る車載通信システムにおける車内ゲートウェイが、車外ゲートウェイにおける中継処理の制御を行う際の動作手順を定めたフローチャートである。
【０１１４】
図４を参照して、車外ゲートウェイ１５１における処理部５２がスイッチ部５１のホストである状況を想定する。
【０１１５】
まず、車内ゲートウェイ１０１は、たとえば定期的な判定を行うべきタイミングが到来するまで待機する（ステップＳ１０２でＮＯ）。
【０１１６】
そして、車内ゲートウェイ１０１は、判定を行うべきタイミングが到来すると（ステップＳ１０２でＹＥＳ）、車外ゲートウェイ１５１におけるスイッチ部５１および処理部５２の異常を判定する（ステップＳ１０４）。
【０１１７】
次に、車内ゲートウェイ１０１は、処理部５２が異常であると判断した場合（ステップＳ１０６でＹＥＳ）、設定命令Ｓ１を車外ゲートウェイ１５１におけるスイッチ部５１へ送信する（ステップＳ１０８）。
【０１１８】
次に、車内ゲートウェイ１０１は、設定命令Ｓ１を車外ゲートウェイ１５１へ送信するか（ステップＳ１０８）、または処理部５２が正常であると判断した場合（ステップＳ１０６でＮＯ）、以下の処理を行う。
【０１１９】
すなわち、車内ゲートウェイ１０１は、スイッチ部５１が異常であると判断した場合（ステップＳ１１０でＹＥＳ）、設定命令Ｓ２を車外ゲートウェイ１５１におけるスイッチ部５１へ送信する（ステップＳ１１２）。
【０１２０】
次に、車内ゲートウェイ１０１は、スイッチ部５１による中継処理の異常が発生した通信経路に応じて作成した注意情報および警告情報の内容を報知する（ステップＳ１１４）。
【０１２１】
次に、車内ゲートウェイ１０１は、注意情報および警告情報の内容を報知するか（ステップＳ１１４）、またはスイッチ部５１が正常であると判断した場合（ステップＳ１１０でＮＯ）、新たな判定を行うべきタイミングが到来するまで待機する（ステップＳ１０２でＮＯ）。
【０１２２】
なお、上記ステップＳ１０６〜Ｓ１０８とステップＳ１１０〜Ｓ１１４の順番は、上記に限らず、順番を入れ替えてもよい。
【０１２３】
また、上記ステップＳ１１２およびＳ１１４の順番は、上記に限らず、順番を入れ替えてもよい。
【０１２４】
また、本発明の実施の形態に係る車載通信システムでは、車内ゲートウェイ１０１における制御部３２は、車外ゲートウェイ１５１における処理部５２の異常が発生したと判断した場合、外部装置のスイッチ部５１を介した通信、および車両の内部における装置のスイッチ部５１を介した通信を制御する構成であるとしたが、これに限定するものではない。制御部３２は、処理部５２の異常が発生したと判断した場合、これらの通信のいずれか一方を制御する構成であってもよい。
【０１２５】
また、本発明の実施の形態に係る車載通信システムでは、車内ゲートウェイ１０１における制御部３２は、外部装置からの通信が遮断されるようにスイッチ部５１の中継処理を制御する構成であるとしたが、これに限定するものではない。制御部３２は、外部装置からの通信テータ量が抑制されるようにスイッチ部５１の中継処理を制御する構成であってもよい。
【０１２６】
また、本発明の実施の形態に係る車載通信システムでは、車内ゲートウェイ１０１における制御部３２は、車両の内部における装置の車内ゲートウェイ１０１を介した通信を遮断する構成であるとしたが、これに限定するものではない。制御部３２は、車両の内部における装置の車内ゲートウェイ１０１を介した通信における通信テータ量を抑制する構成であってもよい。
【０１２７】
また、本発明の実施の形態に係る車載通信システムでは、車内ゲートウェイ１０１における制御部３２は、車外ゲートウェイ１５１における処理部５２の異常およびスイッチ部５１の異常の両方を判定する構成であるとしたが、これに限定するものではない。制御部３２は、処理部５２の異常を判定する一方、スイッチ部５１の異常を判定しない構成であってもよい。
【０１２８】
また、本発明の実施の形態に係る車載通信システムでは、車内ゲートウェイ１０１における制御部３２は、スイッチ部５１の異常が発生したと判断した場合に、車両の内部における装置のスイッチ部５１を介した通信を制御する構成であるとしたが、これに限定するものではない。制御部３２は、処理部５２の異常が発生したと判断した場合に、車両の内部における装置のスイッチ部５１を介した通信を制御する構成であってもよい。具体的には、処理部５２は、たとえば、処理部５２がハングアップしていると判断した場合に、車両の内部における装置のスイッチ部５１を介した通信を制御する。
【０１２９】
また、本発明の実施の形態に係る車載通信システムでは、車内ゲートウェイ１０１における制御部３２は、シリアルケーブル１２を介して車外ゲートウェイ１５１におけるスイッチ部５１の中継処理を制御する構成であるとしたが、これに限定するものではない。制御部３２は、通信部３１およびイーサネットケーブル１０を介して車外ゲートウェイ１５１におけるスイッチ部５１の中継処理を制御する構成であってもよい。
【０１３０】
ところで、たとえば、車両の外部における外部装置からの情報を車両の内部における内部装置へ中継するゲートウェイが車両に設けられる場合がある。このような構成において、たとえば、大量のデータを送りつける意図的な攻撃をゲートウェイが外部装置から受けると、ゲートウェイの動作が不安定になってしまう。システムの冗長化により、ゲートウェイのより安定化した動作を実現可能な技術が望まれる。しかしながら、特許文献１にはこのような冗長化については開示されていない。
【０１３１】
これに対して、本発明の実施の形態に係る車内ゲートウェイは、車両に搭載される。通信部３１は、車両の外部における外部装置と通信可能な他のゲートウェイを介して外部装置と通信可能である。他のゲートウェイは、通信データを中継する中継処理を行うスイッチ部５１と、スイッチ部５１の中継処理を制御する処理部５２とを含む。通信部３１は、スイッチ５１部から受けた通信データを車両の内部における装置へ中継可能である。そして、制御部３２は、処理部５２の異常を判定し、異常が発生したと判断した場合、スイッチ部５１の中継処理を制御する。
【０１３２】
このような構成により、たとえば、他のゲートウェイが、外部装置から意図的な攻撃を受け、自己の中継処理を良好に制御することが困難な場合において、車内ゲートウェイ１０１は、他のゲートウェイの代わりに他のゲートウェイの中継処理を制御することができる。したがって、車載ネットワークにおいて、外部装置からの情報を中継するゲートウェイの動作についての冗長化を実現し、ゲートウェイのより安定化した動作を実現することができる。これにより、通信データを安定に中継することができるので、たとえば、自動運転等の車両の制御にとって重要な通信データが中継されない状況を回避することができる。
【０１３３】
また、本発明の実施の形態に係る車内ゲートウェイでは、制御部３２は、スイッチ部５１の中継処理を制御することにより、外部装置のスイッチ部５１を介した通信を制御する。
【０１３４】
このような構成により、スイッチ部５１の中継処理の対象に応じた制御を行うことができる。具体的には、たとえば、車両の内部における装置間の通信データの中継処理を継続する一方で、外部装置との通信データの中継処理を停止または抑制することができる。
【０１３５】
また、本発明の実施の形態に係る車内ゲートウェイでは、制御部３２は、外部装置からの通信が遮断されるようにスイッチ部５１の中継処理を制御する。
【０１３６】
このような構成により、攻撃目的の大量のデータ、および不正なデータ等の好ましくないデータが車載ネットワークへ流入してしまうことを防ぐことができるので、車載ネットワークにおけるセキュリティを向上させることができる。
【０１３７】
また、本発明の実施の形態に係る車内ゲートウェイでは、制御部３２は、スイッチ部５１の中継処理を制御することにより、車両の内部における装置のスイッチ部５１を介した通信を制御する。
【０１３８】
このような構成により、スイッチ部５１の中継処理の対象に応じた制御を行うことができる。具体的には、たとえば、車両の内部における装置のスイッチ部５１を介した通信を停止または抑制することができる。
【０１３９】
また、本発明の実施の形態に係る車内ゲートウェイでは、制御部３２は、スイッチ部５１の異常を判定し、判定結果に応じた処理を行う。
【０１４０】
このような構成により、たとえば、通信データの通信経路を示す経路テーブルの異常、および中継処理の成功率が低い等の異常を、処理部５２の正常および異常に関係なく判定することができる。また、スイッチ部５１が異常であると判定した場合には、車両の内部における装置間の中継処理が適切に行われない状況であると認識して必要な処理を行い、また、スイッチ部が正常であると判定した場合には、車両の内部における装置間の中継処理を継続することができる。
【０１４１】
また、本発明の実施の形態に係る車内ゲートウェイでは、制御部３２は、スイッチ部５１の異常が発生したと判断した場合に、車両の内部における装置の自己の車内ゲートウェイ１０１を介した通信を遮断する。
【０１４２】
このような構成により、たとえば、車両の内部における装置が他のゲートウェイを介さずに車両の外部のネットワークに接続されている場合において、好ましくないデータが外部のネットワークから車載ネットワークへ誤って流入してしまうことを防ぐことができるので、車載ネットワークにおけるセキュリティを向上させることができる。
【０１４３】
また、本発明の実施の形態に係る車内ゲートウェイでは、制御部３２は、スイッチ部５１の異常の判定結果に基づく内容を報知する。
【０１４４】
このような構成により、たとえば、他のゲートウェイにおける異常な中継処理の状況をユーザに報知することができる。
【０１４５】
また、本発明の実施の形態に係る車載通信システムは、車両に搭載される。車外ゲートウェイ１５１は、車両の外部における外部装置と通信可能である。車内ゲートウェイ１０１は、車外ゲートウェイ１５１を介して外部装置と通信可能である。車外ゲートウェイ１５１では、スイッチ部５１は、通信データを中継する中継処理を行う。処理部５２は、スイッチ部５１の中継処理を制御する。車内ゲートウェイ１０１は、スイッチ部５１から受けた通信データを車両の内部における装置へ中継可能である。そして、車内ゲートウェイ１０１は、処理部５２の異常を判定し、異常が発生したと判断した場合、スイッチ部５１の中継処理を制御する。
【０１４６】
このような構成により、たとえば、車外ゲートウェイ１５１が、外部装置から意図的な攻撃を受け、自己の中継処理を良好に制御することが困難な場合において、車内ゲートウェイ１０１は、車外ゲートウェイ１５１の代わりに車外ゲートウェイ１５１の中継処理を制御することができる。したがって、車載ネットワークにおいて、外部装置からの情報を中継するゲートウェイの動作についての冗長化を実現し、ゲートウェイのより安定化した動作を実現することができる。これにより、通信データを安定に中継することができるので、たとえば、自動運転等の車両の制御にとって重要な通信データが中継されない状況を回避することができる。
【０１４７】
上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【０１４８】
以上の説明は、以下に付記する特徴を含む。
【０１４９】
［付記１］
車両に搭載されるゲートウェイであって、
前記車両の外部における外部装置と通信可能な他のゲートウェイを介して前記外部装置と通信可能な通信部を備え、
前記他のゲートウェイは、
通信データを中継する中継処理を行うスイッチ部と、
前記スイッチ部の前記中継処理を制御する処理部とを含み、
前記通信部は、前記スイッチ部から受けた通信データを前記車両の内部における装置へ中継可能であり、
前記ゲートウェイは、さらに、
前記処理部の異常を判定し、前記異常が発生したと判断した場合、前記スイッチ部の前記中継処理を制御する制御部を備え、
前記外部装置は、サーバおよび整備用端末装置であり、
前記ゲートウェイは、セントラルゲートウェイであり、
前記車両の内部における装置は、ＣＡＮを介して接続された制御デバイスであり、
前記制御部は、前記判定として、前記処理部がハングアップしているか否かを判定する、ゲートウェイ。
【０１５０】
［付記２］
車両に搭載される車載通信システムであって、
前記車両の外部における外部装置と通信可能な第１のゲートウェイと、
前記第１のゲートウェイを介して前記外部装置と通信可能な第２のゲートウェイとを備え、
前記第１のゲートウェイは、
通信データを中継する中継処理を行うスイッチ部と、
前記スイッチ部の前記中継処理を制御する処理部とを含み、
前記第２のゲートウェイは、前記スイッチ部から受けた通信データを前記車両の内部における装置へ中継可能であり、
前記第２のゲートウェイは、前記処理部の異常を判定し、前記異常が発生したと判断した場合、前記スイッチ部の前記中継処理を制御し、
前記外部装置は、サーバおよび整備用端末装置であり、
前記第２のゲートウェイは、セントラルゲートウェイであり、
前記車両の内部における装置は、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）を介して接続された制御デバイスであり、
前記第２のゲートウェイは、前記判定として、前記処理部がハングアップしているか否かを判定する、車載通信システム。
【符号の説明】
【０１５１】
１０  イーサネットケーブル
１１  ＣＡＮ
１２  シリアルケーブル
３１  通信部
３２  制御部
５１  スイッチ部
５２  処理部
５４  通信ポート
１０１  車内ゲートウェイ
１１１  車内通信デバイス
１１２  車外通信デバイス
１１３  制御デバイス
１５１  車外ゲートウェイ
１６１  無線基地局装置
１６３  整備用端末装置
３０１  車載通信システム
【図１】
2018056680.tif 000003
【図２】
2018056680.tif 000004
【図３】
2018056680.tif 000005
【図４】
2018056680.tif 000006