(57)【要約】【課題】車載通信システムの処理負荷を過大にすることなく、車載通信システムへの不正なアクセスを阻害する技術を提供することを目的とする。【解決手段】本出願は、複数のノード間で互いに異なる識別子が付された複数の信号の通信がなされる車載通信システムを開示する。車載通信システムは、前記識別子として第１識別子が付された第１信号を出力する通信部を有する第１ノードを、前記複数のノードのうち１つとして備える。前記通信部は、前記複数のノードのうち他のもう１つとして前記車載通信システムに組み込まれた第２ノードから第２信号を受信する。前記第１ノードは、前記第２信号に前記第１識別子が付されているならば、前記車載通信システムの異常を通知する通知信号を生成する信号生成部を含む。【選択図】図１
2018007211.tif 000002
【特許請求の範囲】
【請求項１】
複数のノード間で互いに異なる識別子が付された複数の信号の通信がなされる車載通信システムであって、
前記識別子として第１識別子が付された第１信号を出力する通信部を有する第１ノードを、前記複数のノードのうち１つとして備え、
前記通信部は、前記複数のノードのうち他のもう１つとして前記車載通信システムに組み込まれた第２ノードから第２信号を受信し、
前記第１ノードは、前記第２信号に前記第１識別子が付されているならば、前記車載通信システムの異常を通知する通知信号を生成する信号生成部を含む
車載通信システム。
【請求項２】
前記信号生成部は、前記通知信号を符号化する
請求項１に記載の車載通信システム。
【請求項３】
前記複数のノードそれぞれに通信可能に接続されたバスを更に備え、
前記信号生成部は、メッセージ認証符号を用いて、前記通知信号を符号化し、
前記通信部は、前記符号化された通知信号を前記バスへ出力し、
前記複数のノードは、前記通知信号を受信する第３ノードを含み、
前記第３ノードは、前記通知信号の符号化に用いられた共通鍵を用いて、前記通知信号を復号する
請求項１に記載の車載通信システム。
【請求項４】
前記第１ノードは、前記バスを通じて前記通信部が受け取った信号が前記第１信号であるか否かを判定する判定部を含み、
前記判定部が、前記信号が前記第１信号でないと判定することを条件として、前記信号生成部は、前記通知信号を生成する
請求項３に記載の車載通信システム。
【請求項５】
前記通知信号は、前記第１識別子を表すメッセージを含む
請求項２乃至４のいずれか１項に記載の車載通信システム。
【請求項６】
前記第１ノードは、エンジンを制御するように設計されたエレクトロニックコントロールユニットである
請求項１乃至５のいずれか１項に記載の車載通信システム。
【請求項７】
前記第１ノードは、ブレーキを制御するように設計されたエレクトロニックコントロールユニットである
請求項１乃至５のいずれか１項に記載の車載通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車載通信システムに関する。
【背景技術】
【０００２】
車載通信システムは、自動車に対する様々な制御に利用される。しかしながら、近年、車載通信システムの脆弱性がしばしば指摘されている。特許文献１は、従来の車載通信システムが抱える脆弱性を克服するための技術を開示する。
【０００３】
特許文献１の開示技術は、メッセージ認証符号を用いて、車載通信システムへの不正アクセスを防止する。特許文献１の開示技術は、メッセージ認証符号を用いて符号化された信号を利用し、不正アクセスの防止措置を常時採る。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１３−９８７１９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
不正アクセスに対する常時の防止措置は、車載通信システムの処理負荷を過大にする。
【０００６】
本発明は、車載通信システムの処理負荷を過大にすることなく、車載通信システムへの不正なアクセスを阻害する技術を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明の一局面に係る車載通信システムは、複数のノード間で互いに異なる識別子が付された複数の信号の通信がなされるように設計される。車載通信システムは、前記識別子として第１識別子が付された第１信号を出力する通信部を有する第１ノードを、前記複数のノードのうち１つとして備える。前記通信部は、前記複数のノードのうち他のもう１つとして前記車載通信システムに組み込まれた第２ノードから第２信号を受信する。前記第１ノードは、前記第２信号に前記第１識別子が付されているならば、前記車載通信システムの異常を通知する通知信号を生成する信号生成部を含む。
【０００８】
上記構成によれば、第１ノードの通信部は、識別子として第１識別子が付された第１信号を出力するので、車載通信システムの他のノードは、第１信号を、第１ノードから出力された信号として認識することができる。通信部が、第１識別子が付されている第２信号を第２ノードから受け取るならば、信号生成部は、車載通信システムの異常を通知する通知信号を生成するので、他のノードは、通知信号によって車載通信システムの異常を知ることができる。この結果、他のノードは、通知信号に応じて、車載通信システムへの不正なアクセスを阻害するための措置を採ることができる。第２信号に第１識別子が付されていないならば、車載通信システムへの不正なアクセスを阻害するための処理はなされないので、車載通信システムの処理負荷は、過度に大きくならない。
【０００９】
上記構成に関して、前記信号生成部は、前記通知信号を符号化してもよい。
【００１０】
上記構成によれば、第１識別子が、第２信号に付されているならば、第２ノードは、車載通信システムに不正に組み込まれている。不正に組み込まれた第２ノードは、符号化された通知信号を復号するための手段を有さないので、第２ノードは、通知信号の内容を認識することができない。したがって、第２ノードは、通知信号に対する不正な処理を実行することはできない。
【００１１】
上記構成に関して、車載通信システムは、前記複数のノードそれぞれに通信可能に接続されたバスを更に備えてもよい。前記信号生成部は、メッセージ認証符号を用いて、前記通知信号を符号化してもよい。前記通信部は、前記符号化された通知信号を前記バスへ出力してもよい。前記複数のノードは、前記通知信号を受信する第３ノードを含んでもよい。前記第３ノードは、前記通知信号の符号化に用いられた共通鍵を用いて、前記通知信号を復号してもよい。
【００１２】
上記構成によれば、第１ノードは、メッセージ認証符号を用いて、通知信号を符号化するので、第２ノードは、通知信号の内容を認識することができない。したがって、第２ノードは、通知信号に対する不正な処理を実行することはできない。一方、第３ノードは、通知信号の符号化に用いられた共通鍵を用いて、通知信号を復号するので、第３ノードは、車載通信システムに異常が生じていることを認識することができる。
【００１３】
上記構成に関して、前記第１ノードは、前記バスを通じて前記通信部が受け取った信号が前記第１信号であるか否かを判定する判定部を含んでもよい。前記判定部が、前記信号が前記第１信号でないと判定することを条件として、前記信号生成部は、前記通知信号を生成してもよい。
【００１４】
上記構成によれば、第１ノードの判定部は、バスを通じて通信部が受け取った信号が第１信号であるか否かを判定するので、第１ノードは、第１信号がバスへ適切に出力されたか否かを判定することができる。判定部が、信号が第１信号でないと判定することを条件として、信号生成部は、通知信号を生成するので、通知信号は、不必要に生成されない。
【００１５】
上記構成に関して、前記通知信号は、前記第１識別子を表すメッセージを含んでもよい。
【００１６】
上記構成によれば、通知信号は、第１識別子を表すメッセージを含むので、車載通信システムに適正に組み込まれたノードは、第１識別子が付された信号に関して、不正のリスクを有する信号として処理することができる。
【００１７】
上記構成に関して、前記第１ノードは、エンジンを制御するように設計されたエレクトロニックコントロールユニットであってもよい。
【００１８】
上記構成によれば、第１ノードは、エンジンを制御するように設計されたエレクトロニックコントロールユニットであるので、エンジンへの制御に対する不正な処理は阻害される。
【００１９】
上記構成に関して、前記第１ノードは、ブレーキを制御するように設計されたエレクトロニックコントロールユニットであってもよい。
【００２０】
上記構成によれば、第１ノードは、ブレーキを制御するように設計されたエレクトロニックコントロールユニットであるので、ブレーキへの制御に対する不正な処理は阻害される。
【発明の効果】
【００２１】
上述の技術は、車載通信システムの処理負荷を過大にすることなく、車載通信システムへの不正なアクセスを阻害することに貢献する。
【図面の簡単な説明】
【００２２】
【図１】第１実施形態の車載通信システムの概念的なブロック図である。
【図２】不正に改変された車載通信システムの概念的なブロック図である。
【図３】図１に示される車載通信システムのＥＣＵの例示的な機能構成を表す概略的なブロック図である。
【図４】図３に示されるＥＣＵ内で実行される例示的な処理を表す概略的なフローチャートである。
【図５】図４に示される処理の警戒ルーチンを表す概略的なフローチャートである。
【図６】図４に示される処理の通常ルーチンを表す概略的なフローチャートである。
【図７】第２実施形態のＥＣＵの例示的な機能構成を表す概略的なブロック図である。
【図８】第３実施形態のＥＣＵの例示的な機能構成を表す概略的なブロック図である。
【図９】図８に示されるＥＣＵ内で実行される例示的な処理を表す概略的なフローチャートである。
【図１０】図９に示される処理の警戒ルーチンを表す概略的なフローチャートである。
【図１１】図９に示される処理の通常ルーチンを表す概略的なフローチャートである。
【図１２】図９に示される処理の復号ルーチンを表す概略的なフローチャートである。
【図１３】第４実施形態の車載通信システムの概念的なブロック図である。
【図１４】第５実施形態の車載通信システムの概念的なブロック図である。
【図１５】第６実施形態の車載通信システムの概念的なブロック図である。
【発明を実施するための形態】
【００２３】
＜第１実施形態＞
車載通信システムに対する不正アクセスへの対抗措置が常時採られるならば、対抗措置にために必要とされる演算処理や通信処理は、車載通信システムに過大な負荷を与える。不正アクセスを検出することができる検出技術が、車載通信システムに組み込まれるならば、不正アクセスへの対抗措置は、不正アクセスが検出されたときのみ実行されればよい。第１実施形態において、不正アクセスを検出するための例示的な技術が説明される。
【００２４】
図１は、第１実施形態の車載通信システム（以下、通信システム１００と称される）の概念的なブロック図である。図１を参照して、通信システム１００が説明される。
【００２５】
通信システム１００は、複数のエレクトロニックコントロールユニット（Ｅｌｅｃｔｒｏｎｉｃ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔ：以下、ＥＣＵ１１１，１１２，１１３，１１４と称される）と、バス１２０と、を備える。バス１２０は、ＥＣＵ１１１，１１２，１１３，１１４それぞれに接続される。ＥＣＵ１１１，１１２，１１３，１１４それぞれは、バス１２０にパケット信号を出力する。パケット信号は、バス１２０を通じて、ＥＣＵ１１１，１１２，１１３，１１４間でやりとりされる。通信システム１００は、既知のコントローラエリアネットワーク（ＣＡＮ：Ｃｏｎｔｒｏｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）の技術に基づいて構築されてもよい。本実施形態において、複数のノードは、ＥＣＵ１１１，１１２，１１３，１１４によって例示される。車載通信システムは、４未満のＥＣＵを有してもよいし、４を超えるＥＣＵを有してもよい。本実施形態の原理は、いくつのＥＣＵが車載通信システムに組み込まれるかによっては何ら限定されない。
【００２６】
ＥＣＵ１１１，１１２，１１３，１１４は、通信システム１００が搭載された車両のエンジンを制御するために用いられてもよい。代替的に、ＥＣＵ１１１，１１２，１１３，１１４は、通信システム１００が搭載された車両のナビゲーションシステムを制御するために用いられてもよい。更に代替的に、ＥＣＵ１１１，１１２，１１３，１１４は、通信システム１００が搭載された車両のブレーキを制御するために用いられてもよい。更に代替的に、ＥＣＵ１１１，１１２，１１３，１１４は、通信システム１００が搭載された車両のエアコンディショナを制御するために用いられてもよい。本実施形態の原理は、ＥＣＵ１１１，１１２，１１３，１１４それぞれの特定の制御対象に限定されない。
【００２７】
図１に示される如く、ＥＣＵ１１１，１１２，１１３，１１４から出力されるパケット信号には、互いに異なる識別子が付される。本実施形態において、複数の信号は、ＥＣＵ１１１，１１２，１１３，１１４から出力されるパケット信号によって例示される。
【００２８】
ＥＣＵ１１１から出力されるパケット信号には、「ＩＤ１１１」との識別子が付されている。「ＩＤ１１１」との識別子が、バス１２０から取得されたパケット信号に付されているならば、ＥＣＵ１１２，１１３，１１４は、パケット信号が、エンジンを制御するための制御因子に関する情報（データ（Ｗ１１１，Ｘ１１１，Ｙ１１１，Ｚ１１１））を含んでいると認識してもよい。ＥＣＵ１１２，１１３，１１４が、ＥＣＵ１１１が制御対象とする制御因子に関する情報を必要とするならば、ＥＣＵ１１２，１１３，１１４は、「ＩＤ１１１」との識別子が付されたパケット信号を取り込む。
【００２９】
ＥＣＵ１１２から出力されるパケット信号には、「ＩＤ１１２」との識別子が付されている。「ＩＤ１１２」との識別子が、バス１２０から取得されたパケット信号に付されているならば、ＥＣＵ１１１，１１３，１１４は、パケット信号が、エンジンを制御するための他のもう１つの制御因子に関する情報（データ（Ｗ１１２，Ｘ１１２，Ｙ１１２，Ｚ１１２））を含んでいると認識してもよい。ＥＣＵ１１１，１１３，１１４が、ＥＣＵ１１２が制御対象とする制御因子に関する情報を必要とするならば、ＥＣＵ１１１，１１３，１１４は、「ＩＤ１１２」との識別子が付されたパケット信号を取り込む。
【００３０】
ＥＣＵ１１３から出力されるパケット信号には、「ＩＤ１１３」との識別子が付されている。「ＩＤ１１３」との識別子が、バス１２０から取得されたパケット信号に付されているならば、ＥＣＵ１１１，１１２，１１４は、パケット信号が、エンジンを制御するための他のもう１つの制御因子に関する情報（データ（Ｗ１１３，Ｘ１１３，Ｙ１１３，Ｚ１１３））を含んでいると認識してもよい。ＥＣＵ１１１，１１２，１１４が、ＥＣＵ１１３が制御対象とする制御因子に関する情報を必要とするならば、ＥＣＵ１１１，１１２，１１４は、「ＩＤ１１３」との識別子が付されたパケット信号を取り込む。
【００３１】
ＥＣＵ１１４から出力されるパケット信号には、「ＩＤ１１４」との識別子が付されている。「ＩＤ１１４」との識別子が、バス１２０から取得されたパケット信号に付されているならば、ＥＣＵ１１１，１１２，１１３は、パケット信号が、エンジンを制御するための他のもう１つの制御因子に関する情報（データ（Ｗ１１４，Ｘ１１４，Ｙ１１４，Ｚ１１４））を含んでいると認識してもよい。ＥＣＵ１１１，１１２，１１３が、ＥＣＵ１１４が制御対象とする制御因子に関する情報を必要とするならば、ＥＣＵ１１１，１１２，１１３は、「ＩＤ１１４」との識別子が付されたパケット信号を取り込む。
【００３２】
図２は、不正に改変された車載通信システム（以下、通信システム１０１と称される）の概念的なブロック図である。図１及び図２を参照して、通信システム１０１が説明される。
【００３３】
通信システム１００と同様に、通信システム１０１は、ＥＣＵ１１１，１１２，１１３，１１４と、バス１２０と、を備える。通信システム１０１は、第三者によって不正に組み込まれたＥＣＵ１１５を更に備える。ＥＣＵ１１５は、バス１２０に通信可能に接続される。
【００３４】
ＥＣＵ１１１，１１２，１１３，１１４と同様に、ＥＣＵ１１５は、パケット信号を、バス１２０へ出力する。ＥＣＵ１１５から出力されたパケット信号は、通信システム１０１が搭載された車両のエンジンの不適切な動作を引き起こしうるデータ（Ｗ１１５，Ｘ１１５，Ｙ１１５，Ｚ１１５）を含んでいる。
【００３５】
ＥＣＵ１１５から出力されたパケット信号には、ＥＣＵ１１１によって付される識別子と同一の識別子「ＩＤ１１１」が付されている。したがって、ＥＣＵ１１２，１１３，１１４は、ＥＣＵ１１５から出力されたパケット信号が、ＥＣＵ１１１が制御対象とする制御因子に関する情報を含んでいると認識しうる。一方、ＥＣＵ１１１は、自身が固有に付すはずの識別子「ＩＤ１１１」が、ＥＣＵ１１１が送信していないパケット信号に付されているので、ＥＣＵ１１５から出力されたパケット信号を、不正な信号として認識し得る。
【００３６】
本実施形態において、第１ノードは、ＥＣＵ１１１によって例示される。第１信号は、ＥＣＵ１１１から出力されたパケット信号によって例示される。第１識別子は、ＥＣＵ１１１が固有に付す識別子「ＩＤ１１１」によって例示される。第２ノードは、ＥＣＵ１１２，１１３，１１４のうち１つ又はＥＣＵ１１５によって例示される。第２信号は、ＥＣＵ１１２，１１３，１１４のうち１つ又はＥＣＵ１１５から出力されたパケット信号によって例示される。
【００３７】
図３は、ＥＣＵ２００の例示的な機能構成を表す概略的なブロック図である。ＥＣＵ２００の機能構成は、ＥＣＵ１１１，１１２，１１３，１１４それぞれに適用されてもよい。図２及び図３を参照して、ＥＣＵ２００が説明される。
【００３８】
ＥＣＵ２００は、通信部２１０と、判定部２２０と、信号処理部２３０と、信号生成部２４０と、を含む。通信部２１０は、一般的なＥＣＵが有するトランシーバであってもよい。判定部２２０及び信号処理部２３０は、一般的なＥＣＵが有するＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）であってもよい。信号生成部２４０は、一般的なＥＣＵが有するＣＡＮコントローラであってもよい。
【００３９】
通信部２１０は、送信部２１１と受信部２１２とを含む。送信部２１１は、パケット信号をバス１２０へ出力する。受信部２１２は、バス１２０を通じて、他のＥＣＵから出力されたパケット信号を受け取る。受信部２１２が受け取ったパケット信号は、判定部２２０へ伝達される。
【００４０】
判定部２２０は、受信部２１２から受け取ったパケット信号に付された識別子を参照する。パケット信号が、信号処理部２３０によって実行される処理に必要とされる情報を含んでいることを、識別子が表すならば、判定部２２０は、パケット信号に含まれるデータを信号処理部２３０へ出力する。パケット信号が、信号処理部２３０によって実行される処理とは無関係な情報を含んでいることを、識別子が表すならば、判定部２２０は、パケット信号に含まれるデータの伝達を遮断する。
【００４１】
たとえば、ＥＣＵ１１１の信号処理部２３０は、ＥＣＵ１１２，１１３から出力されたパケット信号に含まれる情報を必要とする一方で、ＥＣＵ１１４からの出力されたパケット信号に含まれる情報を必要としなくてもよい。この場合、識別子「ＩＤ１１２」又は「ＩＤ１１３」が、受信部２１２が受け取ったパケット信号に付されているならば、ＥＣＵ１１１の判定部２２０は、データ（Ｗ１１２，Ｘ１１２，Ｙ１１２，Ｚ１１２）又はデータ（Ｗ１１３，Ｘ１１３，Ｙ１１３，Ｚ１１３）を、ＥＣＵ１１１の信号処理部２３０へ伝達する。識別子「ＩＤ１１４」が、受信部２１２が受け取ったパケット信号に付されているならば、ＥＣＵ１１１の判定部２２０は、受信部２１２が受け取ったパケット信号の伝達を遮断する。
【００４２】
受信部２１２から受け取ったパケット信号に付された識別子が、信号生成部２４０によって付されるはずの識別子に一致するならば、判定部２２０は、受信部２１２が受け取ったパケット信号が不正であると判定してもよい。たとえば、ＥＣＵ１１１の判定部２２０は、ＥＣＵ１１１の受信部２１２が受け取ったパケット信号に、識別子「ＩＤ１１１」が付されているならば、判定部２２０は、不正なパケット信号が存在していると判定することができる。この場合、判定部２２０は、トリガ信号を生成する。トリガ信号は、判定部２２０から信号生成部２４０へ出力される。
【００４３】
信号処理部２３０は、判定部２２０から信号処理部２３０へのデータの伝達に応じて、所定の処理を行う。たとえば、信号処理部２３０は、制御対象（たとえば、エンジン）の制御に必要とされる情報を得るための演算処理を実行してもよい。本実施形態の原理は、信号処理部２３０が実行する特定の処理に限定されない。
【００４４】
信号処理部２３０の演算処理の結果が、他のＥＣＵに必要とされる情報であるならば、信号処理部２３０は、演算結果を表すパケット信号の生成を要求する要求信号を生成する。信号処理部２３０は、演算結果を表す情報を要求信号に含める。要求信号は、信号処理部２３０から信号生成部２４０へ出力される。
【００４５】
信号生成部２４０は、要求信号に応じて、演算結果を表すデータを含むパケット信号を生成する。加えて、信号生成部２４０は、パケット信号に、ＥＣＵ２００に固有に定められた識別子を付す。たとえば、ＥＣＵ１１１の信号生成部２４０は、パケット信号に識別子「ＩＤ１１１」を付す。パケット信号は、信号生成部２４０から送信部２１１へ出力される。その後、パケット信号は、送信部２１１からバス１２０へ出力される。
【００４６】
信号生成部２４０は、トリガ信号に応じて、バス１２０に不正なパケット信号が流されていることを表す通知信号を生成する。通知信号は、パケット信号のフォーマットで生成されてもよい。
【００４７】
信号生成部２４０は、通知信号に、ＥＣＵ２００に固有に定められた識別子を付してもよい。たとえば、ＥＣＵ１１１の信号生成部２４０は、パケット信号に識別子「ＩＤ１１１」を付す。この場合、識別子「ＩＤ１１１」が付されたパケット信号を信号処理する他のＥＣＵは、通知信号の受信によって、識別子「ＩＤ１１１」が付されたパケット信号が不正である可能性があることを認識することができる。他のＥＣＵは、通知信号の受信に応じて、不正なパケット信号に対する所定の警戒措置（たとえば、インストルメントパネル上の警告ランプを点灯させること）を採ることができる。本実施形態の原理は、通知信号の通信後に行われる特定の措置に限定されない。
【００４８】
代替的に、信号生成部２４０は、通知信号に、他のパケット信号とは区別するための識別子を付してもよい。この場合、バス１２０に接続された全てのＥＣＵは、識別子「ＩＤ１１１」が付されたパケット信号が不正である可能性があることを認識することができる。本実施形態の原理は、通知信号に付される特定の識別子に限定されない。
【００４９】
図４は、ＥＣＵ２００内で実行される例示的な処理を表す概略的なフローチャートである。図２乃至図４を参照して、ＥＣＵ２００が実行する処理が説明される。
【００５０】
（ステップＳ１１０）
受信部２１２は、他のＥＣＵがバス１２０に出力したパケット信号を待つ。受信部２１２がパケット信号を受信すると、ステップＳ１２０が実行される。
【００５１】
（ステップＳ１２０）
受信部２１２は、パケット信号を判定部２２０へ伝達する。その後、ステップＳ１３０が実行される。
【００５２】
（ステップＳ１３０）
判定部２２０は、パケット信号に付された識別子を参照する。信号生成部２４０が付するはずの識別子が、パケット信号に付されているならば、ステップＳ１４０が実行される。他の場合には、ステップＳ１５０が実行される。
【００５３】
（ステップＳ１４０：警戒ルーチン）
通知信号を生成するための処理が実行される。この結果、他のＥＣＵに不正なパケット信号の存在が通知される。
【００５４】
（ステップＳ１５０：通常ルーチン）
パケット信号を処理するための演算が実行される。この結果、ＥＣＵ２００によって得られた演算結果が他のＥＣＵに通知される。
【００５５】
図５は、警戒ルーチン（図４のステップＳ１４０）を表す概略的なフローチャートである。図２乃至図５を参照して、警戒ルーチンが説明される。
【００５６】
（ステップＳ２１０）
判定部２２０は、トリガ信号を生成する。トリガ信号は、判定部２２０から信号生成部２４０へ伝達される。判定部２２０から信号生成部２４０へのトリガ信号の伝達の後、ステップＳ２２０が実行される。
【００５７】
（ステップＳ２２０）
信号生成部２４０は、トリガ信号に応じて、通知信号を生成する。通知信号は、信号生成部２４０から送信部２１１へ伝達される。信号生成部２４０から送信部２１１への通知信号の伝達の後、ステップＳ２３０が実行される。
【００５８】
（ステップＳ２３０）
送信部２１１は、バス１２０へ通知信号を出力する。この結果、他のＥＣＵに不正なパケット信号の存在が通知される。
【００５９】
図６は、通常ルーチン（図４のステップＳ１５０）を表す概略的なフローチャートである。図２乃至図４及び図６を参照して、通常ルーチンが説明される。
【００６０】
（ステップＳ３１０）
判定部２２０は、パケット信号に付された識別子からパケット信号に含まれるデータが信号処理部２３０での処理に必要とされるか否かを判定する。信号処理部２３０が、データを必要としているならば、ステップＳ３２０が実行される。他の場合には、通常ルーチンは終了される。
【００６１】
（ステップＳ３２０）
パケット信号に含まれるデータは、判定部２２０から信号処理部２３０へ伝達される。その後、ステップＳ３３０が実行される。
【００６２】
（ステップＳ３３０）
信号処理部２３０は、判定部２２０から受け取ったデータを用いて、所定の演算処理を行う。その後、ステップＳ３４０が実行される。
【００６３】
（ステップＳ３４０）
演算処理の結果が、他のＥＣＵに必要とされるならば、ステップＳ３５０が実行される。他の場合には、通常ルーチンは終了される。この場合、ＥＣＵ２００は、演算結果を用いた他の制御動作を実行してもよい。
【００６４】
（ステップＳ３５０）
信号処理部２３０は、他のＥＣＵへの演算結果の伝達を要求する要求信号を生成する。要求信号は、信号処理部２３０から信号生成部２４０へ伝達される。その後、ステップＳ３６０が実行される。
【００６５】
（ステップＳ３６０）
信号生成部２４０は、要求信号に応じて、演算結果を表すパケット信号を生成する。信号生成部２４０は、ＥＣＵ２００に固有に定められた識別子をパケット信号に付す。パケット信号は、信号生成部２４０から送信部２１１へ伝達される。その後、ステップＳ３７０が実行される。
【００６６】
（ステップＳ３７０）
送信部２１１は、バス１２０へパケット信号を出力する。この結果、他のＥＣＵに、パケット信号に含まれるデータ（演算結果）が伝達される。
【００６７】
＜第２実施形態＞
通知信号のみが符号化処理を受けるならば、車載通信システムの通信負荷はあまり大きくならない。したがって、通知信号を選択的に符号化する技術が、第１実施形態に組み込まれてもよい。第２実施形態において、符号化技術として、メッセージ認証符号（以下、ＭＡＣ（Ｍｅｓｓａｇｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｃｏｄｅ）と称される）が用いられる。代替的に、符号化技術は、他の様々な技術であってもよい。
【００６８】
通知信号が符号化処理を受けるならば、不正に組み込まれたＥＣＵは、通知信号が出力されたことを認識しにくい。このことは、不正に組み込まれたＥＣＵが通知信号を無効化することができないことを意味する。第２実施形態において、符号化技術が組み込まれた車載通信システムが説明される。
【００６９】
図７は、第２実施形態のＥＣＵ２００Ａの例示的な機能構成を表す概略的なブロック図である。第１実施形態の説明は、第１実施形態と同一の符号が付された要素に援用される。図２、図４乃至図７を参照して、ＥＣＵ２００Ａが説明される。
【００７０】
図７は、ＥＣＵ２００Ａと、警告動作部ＡＭＰと、を示す。ＥＣＵ２００Ａの機能構成は、図２に示されるＥＣＵ１１１，１１２，１１３，１１４それぞれに適用されてもよい。
【００７１】
ＥＣＵ２００Ａは、他のＥＣＵから通知信号を受け取ったとき、警告信号を生成する。警告信号は、ＥＣＵ２００Ａから警告動作部ＡＭＰへ出力される。警告動作部ＡＭＰは、警告信号に応じて、所定の動作を行う。警告動作部ＡＭＰは、インスツルメントパネルに組み込まれた警告表示板であってもよい。この場合、警告表示板は、警告信号に応じて、不正アクセスに曝されている車両部位（たとえば、エンジンやブレーキ）に関する情報を表示する。本実施形態の原理は、警告動作部ＡＭＰとして用いられる特定の装置に限定されない。
【００７２】
第１実施形態と同様に、ＥＣＵ２００Ａは、通信部２１０を備える。第１実施形態の説明は、通信部２１０に援用される。
【００７３】
ＥＣＵ２００Ａは、判定部２２０Ａと、信号処理部２３０Ａと、信号生成部２４０Ａと、を更に備える。判定部２２０Ａ及び信号処理部２３０Ａは、一般的なＥＣＵが有するＣＰＵであってもよい。信号生成部２４０Ａは、一般的なＥＣＵが有するＣＡＮコントローラであってもよい。
【００７４】
第１実施形態と同様に、受信部２１２は、他のＥＣＵからパケット信号を受信する。パケット信号は、その後、受信部２１２から判定部２２０Ａへ出力される。
【００７５】
信号処理部２３０Ａは、演算部２３１と復号部２３２とを含む。パケット信号が符号化されていないならば、判定部２２０Ａは、図４乃至図６のフローチャートに関連して説明された処理を実行する。パケット信号が符号化されているならば、判定部２２０Ａは、符号化されたパケット信号を復号部２３２へ出力する。
【００７６】
復号部２３２は、パケット信号を復号する。パケット信号の復号に利用される鍵は、他のＥＣＵにも共有されている（すなわち、共通鍵）。復号部２３２は、復号されたパケット信号に含まれるデータから、不正アクセスに曝されている車両部位に関する情報を見出してもよい。復号部２３２は、該当する車両部位を表す警告信号を生成してもよい。警告信号は、復号部２３２から警告動作部ＡＭＰへ出力される。
【００７７】
他のもう１つのＥＣＵに割り当てられた識別子が、受信部２１２によって受け取られたパケット信号に付されているならば、パケット信号に含まれるデータは、判定部２２０Ａから演算部２３１へ伝達される。演算部２３１は、データを用いて、所定の演算処理を実行する。必要に応じて、演算部２３１は、要求信号を生成する。要求信号は、演算部２３１から信号生成部２４０Ａへ出力される。
【００７８】
信号生成部２４０Ａは、通知信号生成部２４１と、パケット信号生成部２４２と、符号化部２４３と、を含む。パケット信号生成部２４２は、要求信号を演算部２３１から受け取る。パケット信号生成部２４２は、演算結果を表すデータを含むパケット信号を生成する。パケット信号は、パケット信号生成部２４２から送信部２１１へ直接的に伝達される。したがって、パケット信号生成部２４２によって生成されたパケット信号は、符号化されることなく、送信部２１１からバス１２０へ出力される。
【００７９】
第１実施形態と同様に、ＥＣＵ２００Ａに割り当てられた識別子が、受信部２１２によって受け取られたパケット信号に付されているならば、判定部２２０Ａは、トリガ信号を生成する。トリガ信号は、判定部２２０Ａから通知信号生成部２４１へ出力される。通知信号生成部２４１は、トリガ信号に応じて、通知信号を生成する。通知信号生成部２４１は、ＥＣＵ２００Ａに割り当てられた識別子と、ＥＣＵ２００Ａに割り当てられた識別子を表すデータと、を通知信号に組み込む。通知信号は、通知信号生成部２４１から符号化部２４３へ伝達される。本実施形態において、メッセージは、ＥＣＵ２００Ａに割り当てられた識別子を表すデータによって例示される。
【００８０】
符号化部２４３は、復号部２３２が復号に利用した鍵と同一の鍵を用いて、通知信号を符号化する。この結果、ＭＡＣが、通知信号に組み込まれる。既知の様々な符号化技術が、通知信号へのＭＡＣの組み込みに利用可能である。本実施形態の原理は、特定の符号化技術に限定されない。
【００８１】
符号化された通知信号は、符号化部２４３から送信部２１１へ伝達される。送信部２１１は、符号化された通知信号をバス１２０へ出力する。
【００８２】
図２を参照して説明された通信システム１０１に関して、ＥＣＵ１１１が、符号化された通知信号をバス１２０へ出力すると、ＥＣＵ１１２，１１３，１１４それぞれの復号部２３２は、通知信号を復号することができる。この結果、ＥＣＵ１１２，１１３，１１４は、所定の警告動作を実行することができる。一方、不正なＥＣＵ１１５は、復号部２３２を有さない、或いは、復号のための共通鍵を有していない。したがって、ＥＣＵ１１５は、通知信号を復号できず、通知信号の内容を把握することができない。この結果、ＥＣＵ１１５は、通知信号を無効化する不正な動作を実行することはできない。本実施形態において、第３ノードは、ＥＣＵ１１２，１１３，１１４のうち１つによって例示される。
【００８３】
通知信号は、ＭＡＣの分だけ、パケット信号生成部２４２によって生成されるパケット信号よりもビット数において大きい。しかしながら、ビット数において大きい信号の通信は、不正アクセスの存在下でのみ生ずるので、通信負荷は、過度に大きくならない。
【００８４】
＜第３実施形態＞
ＥＣＵは、パケット信号がバスへ適切に出力されたか否かを検証する機能を有してもよい。第３実施形態において、パケット信号がバスへ適切に出力されたか否かを検証する機能を有する車載通信システムが説明される。
【００８５】
図８は、第３実施形態のＥＣＵ２００Ｂの例示的な機能構成を表す概略的なブロック図である。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。図２及び図８を参照して、ＥＣＵ２００Ｂが説明される。
【００８６】
図８は、ＥＣＵ２００Ｂと、警告動作部ＡＭＰと、を示す。ＥＣＵ２００Ｂの機能構成は、図２に示されるＥＣＵ１１１，１１２，１１３，１１４それぞれに適用されてもよい。
【００８７】
ＥＣＵ２００Ｂは、他のＥＣＵから通知信号を受け取ったとき、警告信号を生成する。警告信号は、ＥＣＵ２００Ｂから警告動作部ＡＭＰへ出力される。警告動作部ＡＭＰは、警告信号に応じて、所定の動作を行う。警告動作部ＡＭＰは、インスツルメントパネルに組み込まれた警告表示板であってもよい。この場合、警告表示板は、警告信号に応じて、不正アクセスに曝されている部位に関する情報を表示する。本実施形態の原理は、警告動作部ＡＭＰとして用いられる特定の装置に限定されない。
【００８８】
第１実施形態と同様に、ＥＣＵ２００Ｂは、通信部２１０を備える。第１実施形態の説明は、通信部２１０に援用される。
【００８９】
第２実施形態と同様に、ＥＣＵ２００Ｂは、信号処理部２３０Ａと、信号生成部２４０Ａと、を更に備える。第２実施形態の原理は、これらの要素に援用される。
【００９０】
ＥＣＵ２００Ｂは、判定部２２０Ｂを更に備える。判定部２２０Ｂ及び信号処理部２３０Ａは、一般的なＥＣＵが有するＣＰＵであってもよい。信号生成部２４０Ａは、一般的なＥＣＵが有するＣＡＮコントローラであってもよい。
【００９１】
第１実施形態と同様に、受信部２１２は、他のＥＣＵからパケット信号を受信する。パケット信号は、その後、受信部２１２から判定部２２０Ｂへ出力される。
【００９２】
判定部２２０Ｂは、第１判定部２２１と、第２判定部２２２と、第３判定部２２３と、記憶部２２４と、を含む。第１判定部２２１は、受信部２１２からパケット信号を受け取る。第１判定部２２１は、パケット信号に付された識別子を参照する。パケット信号が符号化されていないならば、第１判定部２２１は、パケット信号から識別子を見出すことができる。この場合、パケット信号を、第２判定部２２２へ伝達する。パケット信号が符号化されているならば、第１判定部２２１は、パケット信号から識別子を見出すことができない。この場合、第１判定部２２１は、パケット信号を、復号部２３２へ伝達する。復号部２３２は、第２実施形態と同様に、パケット信号を復号し、警告信号を生成する。警告動作部ＡＭＰは、警告信号に応じて、所定の警告動作を実行する。
【００９３】
第２判定部２２２は、第１判定部２２１からパケット信号を受け取る。他のＥＣＵに割り当てられた識別子が、第１判定部２２１からのパケット信号に付され、且つ、演算部２３１によって必要とされる情報を出力するＥＣＵに割り当てられているものであるならば、第２判定部２２２は、パケット信号に含まれるデータを演算部２３１へ出力する。第２実施形態と同様に、演算部２３１は、第２判定部２２２から受け取ったデータを用いて、所定の演算処理を実行する。必要に応じて、演算部２３１は、要求信号を生成する。要求信号は、演算部２３１からパケット信号生成部２４２へ出力される。パケット信号生成部２４２は、要求信号に応じて、パケット信号を生成する。パケット信号生成部２４２によって生成されたパケット信号は、送信部２１１へ出力される。送信部２１１は、パケット信号をバス１２０へ出力する。加えて、パケット信号生成部２４２が生成したパケット信号は、記憶部２２４へ出力される。この結果、記憶部２２４は、パケット信号生成部２４２が生成したパケット信号を表す信号データを記憶することができる。
【００９４】
送信部２１１が、パケット信号生成部２４２によって生成された正規のパケット信号をバス１２０へ出力すると、受信部２１２は、送信部２１１が出力した正規のパケット信号を受信する。この場合、正規のパケット信号は、第１判定部２２１を通じて、第２判定部２２２へ伝達される。加えて、ＥＣＵ２００Ｂに成り代わろうとする不正なＥＣＵが、不正なパケット信号をバス１２０へ出力したときにも、不正なパケット信号は、不正なパケット信号は、第１判定部２２１を通じて、第２判定部２２２へ伝達される。これらの場合、第１判定部２２１からのパケット信号は、第２判定部２２２から第３判定部２２３へ伝達される。
【００９５】
第３判定部２２３は、第２判定部２２２からのパケット信号の伝達に応じて、記憶部２２４から信号データを読み出す。第３判定部２２３は、パケット信号を、信号データと比較し、受信部２１２が受け取った信号が正規のパケット信号であるか否かを判定する。パケット信号が、信号データによって表される信号に一致しているならば、第３判定部２２３は、正規のパケット信号がバス１２０へ適切に出力されたことを確認することができる。パケット信号が、信号データによって表される信号に一致していないならば、第３判定部２２３は、トリガ信号を生成する。トリガ信号は、第３判定部２２３から通知信号生成部２４１へ出力する。通知信号生成部２４１は、トリガ信号に応じて、通知信号を生成する。その後、符号化部２４３は、通知信号を符号化する。符号化された通知信号は、符号化部２４３から送信部２１１へ伝達される。送信部２１１は、符号化された通知信号をバス１２０へ出力する。本実施形態において、第１信号は、正規のパケット信号によって例示される。
【００９６】
図９は、ＥＣＵ２００Ｂ内で実行される例示的な処理を表す概略的なフローチャートである。図２、図８及び図９を参照して、ＥＣＵ２００Ｂが実行する処理が説明される。
【００９７】
（ステップＳ１１１）
受信部２１２は、バス１２０に出力されたパケット信号を待つ。受信部２１２がパケット信号を受信すると、ステップＳ１２１が実行される。
【００９８】
（ステップＳ１２１）
受信部２１２は、パケット信号を第１判定部２２１へ伝達する。その後、ステップＳ１３１が実行される。
【００９９】
（ステップＳ１３１）
第１判定部２２１は、パケット信号に付された識別子を参照する。第１判定部２２１が識別子を参照することができるならば、ステップＳ１３２が実行される。他の場合には、ステップＳ１６０が実行される。
【０１００】
（ステップＳ１３２）
信号生成部２４０Ａが付するはずの識別子が、パケット信号に付されているならば、ステップＳ１４１が実行される。他の場合には、ステップＳ１５１が実行される。
【０１０１】
（ステップＳ１４１：警戒ルーチン）
通知信号を生成するための処理が実行される。この結果、他のＥＣＵに不正なパケット信号の存在が通知される。
【０１０２】
（ステップＳ１５１：通常ルーチン）
パケット信号を処理するための演算が実行される。この結果、ＥＣＵ２００Ｂによって得られた演算結果が他のＥＣＵに通知される。
【０１０３】
（ステップＳ１６０：復号ルーチン）
パケット信号を復号する処理が実行される。パケット信号が復号された後、所定の警告動作が実行される。
【０１０４】
図１０は、警戒ルーチン（図９のステップＳ１４１）を表す概略的なフローチャートである。図８乃至図１０を参照して、警戒ルーチンが説明される。
【０１０５】
（ステップＳ２０１）
パケット信号は、第２判定部２２２から第３判定部２２３へ伝達される。その後、ステップＳ２０２が実行される。
【０１０６】
（ステップＳ２０２）
第３判定部２２３は、記憶部２２４から信号データを読み出す。その後、ステップＳ２０３が実行される。
【０１０７】
（ステップＳ２０３）
第３判定部２２３は、パケット信号が、信号データによって表される信号に一致するか否かを判定する。パケット信号が、信号データによって表される信号に一致するならば、警戒ルーチンは終了する。他の場合には、ステップＳ２１１が実行される。
【０１０８】
（ステップＳ２１１）
第３判定部２２３は、トリガ信号を生成する。トリガ信号は、第３判定部２２３から通知信号生成部２４１へ伝達される。第３判定部２２３から通知信号生成部２４１へのトリガ信号の伝達の後、ステップＳ２２１が実行される。
【０１０９】
（ステップＳ２２１）
通知信号生成部２４１は、トリガ信号に応じて、通知信号を生成する。通知信号は、通知信号生成部２４１から符号化部２４３へ伝達される。通知信号生成部２４１から符号化部２４３への通知信号の伝達の後、ステップＳ２２２が実行される。
【０１１０】
（ステップＳ２２２）
符号化部２４３は、通知信号を符号化する。符号化された通知信号は、符号化部２４３から送信部２１１へ伝達される。その後、ステップＳ２３１が実行される。
【０１１１】
（ステップＳ２３１）
送信部２１１は、バス１２０へ通知信号を出力する。この結果、他のＥＣＵに不正なパケット信号の存在が通知される。
【０１１２】
図１１は、通常ルーチン（図９のステップＳ１５１）を表す概略的なフローチャートである。図８、図９及び図１１を参照して、通常ルーチンが説明される。
【０１１３】
（ステップＳ３１１）
第２判定部２２２は、パケット信号に付された識別子からパケット信号に含まれるデータが演算部２３１での処理に必要とされるか否かを判定する。演算部２３１が、データを必要としているならば、ステップＳ３２１が実行される。他の場合には、通常ルーチンは終了される。
【０１１４】
（ステップＳ３２１）
パケット信号に含まれるデータは、第２判定部２２２から演算部２３１へ伝達される。その後、ステップＳ３３１が実行される。
【０１１５】
（ステップＳ３３１）
演算部２３１は、第２判定部２２２から受け取ったデータを用いて、所定の演算処理を行う。その後、ステップＳ３４１が実行される。
【０１１６】
（ステップＳ３４１）
演算処理の結果が、他のＥＣＵに必要とされるならば、ステップＳ３５１が実行される。他の場合には、通常ルーチンは終了される。この場合、ＥＣＵ２００Ｂは、演算結果を用いた他の制御動作を実行してもよい。
【０１１７】
（ステップＳ３５１）
演算部２３１は、他のＥＣＵへの演算結果の伝達を要求する要求信号を生成する。要求信号は、演算部２３１からパケット信号生成部２４２へ伝達される。その後、ステップＳ３６１が実行される。
【０１１８】
（ステップＳ３６１）
パケット信号生成部２４２は、要求信号に応じて、演算結果を表すパケット信号を生成する。パケット信号生成部２４２は、ＥＣＵ２００Ｂに固有に定められた識別子をパケット信号に付す。パケット信号は、パケット信号生成部２４２から送信部２１１及び記憶部２２４へ伝達される。パケット信号生成部２４２から記憶部２２４へのパケット信号の伝達の結果、パケット信号を表す信号データが記憶部２２４に書き込まれる。パケット信号生成部２４２から送信部２１１及び記憶部２２４への伝達の後、ステップＳ３７１が実行される。
【０１１９】
（ステップＳ３７１）
送信部２１１は、バス１２０へパケット信号を出力する。この結果、他のＥＣＵに、パケット信号に含まれるデータ（演算結果）が伝達される。
【０１２０】
図１２は、復号ルーチン（図９のステップＳ１６０）を表す概略的なフローチャートである。図８、図９及び図１２を参照して、復号ルーチンが説明される。
【０１２１】
（ステップＳ４１０）
パケット信号は、第１判定部２２１から復号部２３２へ出力される。その後、ステップＳ４２０が実行される。
【０１２２】
（ステップＳ４２０）
復号部２３２は、パケット信号を復号する。パケット信号の復号が成功するならば、ステップＳ４３０が実行される。他の場合には、ステップＳ４５０が実行される。
【０１２３】
（ステップＳ４３０）
復号部２３２は、パケット信号に含まれる情報から、不正アクセスがなされている可能性がある車両部位を特定してもよい。復号部２３２は、特定された車両部位に関する情報を含む警告信号を生成してもよい。警告信号の生成の後、ステップＳ４４０が実行される。
【０１２４】
（ステップＳ４４０）
警告信号は、復号部２３２から警告動作部ＡＭＰへ伝達される。警告動作部ＡＭＰは、警告信号に応じて、所定の警告動作を実行する。
【０１２５】
（ステップＳ４５０）
復号部２３２は、所定のエラー処理を実行する。たとえば、復号部２３２は、第２判定部２２２から受け取った信号をノイズ信号として処理してもよい。
【０１２６】
＜第４実施形態＞
上述の実施形態に説明された技術は、車載通信システムに搭載された複数のＥＣＵのうち一部に適用されてもよい。不正アクセスが深刻な事態を引き起こし得るＥＣＵにのみ、上述の実施形態に関連して説明された技術が適用されるならば、車載通信システムへの通信負荷の増大は抑制される。第４実施形態において、不正アクセスを検知する機能を有するＥＣＵと、不正アクセスの検知機能を有さないＥＣＵと、を含む車載通信システムが説明される。
【０１２７】
図１３は、第４実施形態の車載通信システム（以下、通信システム１００Ｃと称される）の概念的なブロック図である。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。図８及び図１３を参照して、通信システム１００Ｃが説明される。
【０１２８】
通信システム１００Ｃは、ゲートウェイＥＣＵ３００と、バス１２１，１２２，１２３，１２４，１２５と、ＥＣＵ３１１〜３１４，３２１〜３２４，３３１〜３３４，３４１〜３４４，３５１〜３５４と、を含む。バス１２１，１２２，１２３，１２４，１２５は、ゲートウェイＥＣＵ３００に接続される。
【０１２９】
ＥＣＵ３１１〜３１４は、バス１２１に接続される。ＥＣＵ３１１〜３１４は、協働して、通信システム１００Ｃが搭載された車両のエンジンを制御する。ＥＣＵ３２１〜３２４は、バス１２２に接続される。ＥＣＵ３２１〜３２４は、協働して、通信システム１００Ｃが搭載された車両のブレーキを制御する。ＥＣＵ３３１〜３３４は、バス１２３に接続される。ＥＣＵ３３１〜３３４は、協働して、通信システム１００Ｃが搭載された車両のナビゲーションシステムを制御する。ＥＣＵ３４１〜３４４は、バス１２４に接続される。ＥＣＵ３４１〜３４４は、協働して、通信システム１００Ｃが搭載された車両のエアコンディショナを制御する。ＥＣＵ３５１〜３５４は、バス１２５に接続される。ＥＣＵ３５１〜３５４は、協働して、通信システム１００Ｃが搭載された車両の先進運転支援システム（ＡＤＡＳ：ＡＤＶＡＮＣＥＤ  Ｄｒｉｖｅｒ  Ａｓｓｉｓｔａｎｃｅ  Ｓｙｓｔｅｍｓ）を制御する。
【０１３０】
ゲートウェイＥＣＵ３００及びＥＣＵ３１１〜３１４，３２１〜３２４それぞれは、図８を参照して説明されたＥＣＵ２００Ｂと同様の機能構成を有する。したがって、ＥＣＵ２００Ｂの説明は、ゲートウェイＥＣＵ３００及びＥＣＵ３１１〜３１４，３２１〜３２４に援用される。一方、ＥＣＵ３３１〜３３４，３４１〜３４４，３５１〜３５４それぞれは、一般的なＥＣＵであってもよい。
【０１３１】
エンジンの制御に影響を与える不正アクセスが生じたとき、ゲートウェイＥＣＵ３００及びＥＣＵ３１１〜３１４のうち少なくとも１つは、通知信号を生成する。ゲートウェイＥＣＵ３００及びＥＣＵ３１１〜３１４のうち少なくとも他のもう１つは、警告信号を生成し、車両を運転する運転者に警告を与えることができる。
【０１３２】
ブレーキの制御に影響を与える不正アクセスが生じたとき、ゲートウェイＥＣＵ３００及びＥＣＵ３２１〜３２４のうち少なくとも１つは、通知信号を生成する。ゲートウェイＥＣＵ３００及びＥＣＵ３２１〜３２４のうち少なくとも他のもう１つは、警告信号を生成し、車両を運転する運転者に警告を与えることができる。
【０１３３】
＜第５実施形態＞
車載通信システムは、複数のＥＣＵ間の通信を統括的に管理及び制御するドメインマスタＥＣＵを含んでもよい。第５実施形態において、ドメインマスタＥＣＵを含む車載通信システムが説明される。
【０１３４】
図１４は、第５実施形態の車載通信システム（以下、通信システム１００Ｄと称される）の概念的なブロック図である。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。図１４を参照して、通信システム１００Ｄが説明される。
【０１３５】
第４実施形態と同様に、通信システム１００Ｄは、ゲートウェイＥＣＵ３００と、バス１２１，１２２，１２３と、ＥＣＵ３１２〜３１４，３２２〜３２４，３３２〜３３４と、を含む。第４実施形態の説明は、これらの要素に援用される。
【０１３６】
通信システム１００Ｄは、ドメインマスタＥＣＵ３１５，３２５，３３５を更に含む。ドメインマスタＥＣＵ３１５は、バス１２１に接続される。ドメインマスタＥＣＵ３２５は、バス１２２に接続される。ドメインマスタＥＣＵ３３５は、バス１２３に接続される。
【０１３７】
ドメインマスタＥＣＵ３１５は、ＥＣＵ３１２〜３１４を統括的に管理及び制御する。たとえば、ドメインマスタＥＣＵ３１５は、ＥＣＵ３１２〜３１４から受け取った情報をまとめ、ゲートウェイＥＣＵ３００へ伝達してもよい。ドメインマスタＥＣＵ３１５がまとめた情報は、その後、ゲートウェイＥＣＵ３００を通じて、バス１２２，１２３のうち少なくとも一方に伝達される。
【０１３８】
ドメインマスタＥＣＵ３２５は、ＥＣＵ３２２〜３２４を統括的に管理及び制御する。たとえば、ドメインマスタＥＣＵ３２５は、ＥＣＵ３２２〜３２４から受け取った情報をまとめ、ゲートウェイＥＣＵ３００へ伝達してもよい。ドメインマスタＥＣＵ３２５がまとめた情報は、その後、ゲートウェイＥＣＵ３００を通じて、バス１２１，１２３のうち少なくとも一方に伝達される。
【０１３９】
ドメインマスタＥＣＵ３３５は、ＥＣＵ３３２〜３３４を統括的に管理及び制御する。たとえば、ドメインマスタＥＣＵ３３５は、ＥＣＵ３３２〜３３４から受け取った情報をまとめ、ゲートウェイＥＣＵ３００へ伝達してもよい。ドメインマスタＥＣＵ３３５がまとめた情報は、その後、ゲートウェイＥＣＵ３００を通じて、バス１２１，１２２のうち少なくとも一方に伝達される。
【０１４０】
＜第６実施形態＞
ドメインマスタＥＣＵ間の通信は、Ｅｔｈｅｒｎｅｔといった高速通信技術に依存してもよい。この場合、ゲートウェイＥＣＵは必要とされない。第６実施形態において、ドメインマスタＥＣＵ間で高速通信を行う車載通信システムが説明される。
【０１４１】
図１５は、第６実施形態の車載通信システム（以下、通信システム１００Ｅと称される）の概念的なブロック図である。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。図１５を参照して、通信システム１００Ｅが説明される。
【０１４２】
第５実施形態と同様に、通信システム１００Ｅは、バス１２１，１２２，１２３と、ＥＣＵ３１２〜３１４，３２２〜３２４，３３２〜３３４と、ドメインマスタＥＣＵ３１５，３２５，３３５と、を含む。第５実施形態の説明は、これらの要素に援用される。
【０１４３】
通信システム１００Ｅは、高速通信回線３０１を更に含む。高速通信回線３０１は、一般的なＥｔｈｅｒｎｅｔ回線であってもよい。
【０１４４】
通信システム１００Ｅは、ドメインマスタＥＣＵ３１５，３２５，３３５それぞれに接続される。通信システム１００Ｅは、ドメインマスタＥＣＵ３１５，３２５，３３５間の相互の情報伝達を可能にする。
【０１４５】
第５実施形態に関連して説明された如く、ドメインマスタＥＣＵ３１５は、ＥＣＵ３１２〜３１４を統括的に管理及び制御する。ＥＣＵ３１５は、ＥＣＵ３１２〜３１４から受け取った情報をまとめ、高速通信回線３０１へ出力する。ドメインマスタＥＣＵ３１５によってまとめられた情報は、その後、高速通信回路３０１を通じて、ドメインマスタＥＣＵ３２５，３３５のうち少なくとも１つに伝達される。
【０１４６】
第５実施形態に関連して説明された如く、ドメインマスタＥＣＵ３２５は、ＥＣＵ３２２〜３２４を統括的に管理及び制御する。ドメインマスタＥＣＵ３２５は、ＥＣＵ３２２〜３２４から受け取った情報をまとめ、高速通信回線３０１へ出力する。ドメインマスタＥＣＵ３２５によってまとめられた情報は、その後、高速通信回路３０１を通じて、ドメインマスタＥＣＵ３１５，３３５のうち少なくとも１つに伝達される。
【０１４７】
第５実施形態に関連して説明された如く、ドメインマスタＥＣＵ３３５は、ＥＣＵ３３２〜３３４を統括的に管理及び制御する。ドメインマスタＥＣＵ３３５は、ＥＣＵ３３２〜３３４から受け取った情報をまとめ、高速通信回線３０１へ出力する。ドメインマスタＥＣＵ３３５によってまとめられた情報は、その後、高速通信回路３０１を通じて、ドメインマスタＥＣＵ３１５，３２５のうち少なくとも１つに伝達される。
【０１４８】
上述の様々な実施形態の原理は、車両に対する要求に適合するように、組み合わされてもよい。上述の様々な実施形態のうち１つに関連して説明された様々な特徴のうち一部が、他のもう１つの実施形態に関連して説明された制御装置に適用されてもよい。
【産業上の利用可能性】
【０１４９】
上述の実施形態の原理は、様々な車両の制御に好適に利用される。
【符号の説明】
【０１５０】
１００，１００Ｃ・・・・・・・・・・・・・・・通信システム
１０１・・・・・・・・・・・・・・・・・・・・通信システム
１１１〜１１５・・・・・・・・・・・・・・・・ＥＣＵ
１２０〜１２５・・・・・・・・・・・・・・・・バス
２００，２００Ａ，２００Ｂ・・・・・・・・・・ＥＣＵ
２１０・・・・・・・・・・・・・・・・・・・・通信部
２２０，２２０Ａ，２２０Ｂ・・・・・・・・・・判定部
２４０，２４０Ａ・・・・・・・・・・・・・・・信号生成部
３００・・・・・・・・・・・・・・・・・・・・ゲートウェイＥＣＵ
３１１〜３１４・・・・・・・・・・・・・・・・ＥＣＵ
３２１〜３２４・・・・・・・・・・・・・・・・ＥＣＵ
３３１〜３３４・・・・・・・・・・・・・・・・ＥＣＵ
３４１〜３４４・・・・・・・・・・・・・・・・ＥＣＵ
３５１〜３５４・・・・・・・・・・・・・・・・ＥＣＵ
【図１】
2018007211.tif 000003
【図２】
2018007211.tif 000004
【図３】
2018007211.tif 000005
【図４】
2018007211.tif 000006
【図５】
2018007211.tif 000007
【図６】
2018007211.tif 000008
【図７】
2018007211.tif 000009
【図８】
2018007211.tif 000010
【図９】
2018007211.tif 000011
【図１０】
2018007211.tif 000012
【図１１】
2018007211.tif 000013
【図１２】
2018007211.tif 000014
【図１３】
2018007211.tif 000015
【図１４】
2018007211.tif 000016
【図１５】
2018007211.tif 000017