(57)【要約】【課題】通信処理を円滑に行うことができるようにしたゲートウェイ装置、及び、このゲートウェイ装置からデータ転送される電子制御装置を提供する。【解決手段】ゲートウェイ装置のマイコンは通信コントローラに出力要求した後、セキュリティチェック処理を開始する（Ｓ３〜Ｓ４）。これにより、マイコンがセキュリティチェック処理しているときに通信コントローラがネットワークへデータ出力する処理を並行して行うことができる。このため、並行して処理を行う時間だけ処理時間を短縮することができる。【選択図】図４
2018014557.tif 000002
【特許請求の範囲】
【請求項１】
セキュリティチェック処理と通信先ライン（３）にデータを出力することで通信先電子制御装置（５）に転送する処理とを実行するゲートウェイ装置（６）であって、
前記セキュリティチェック処理を行う処理部（１０、Ｓ４）と、
前記処理部から出力要求を受け付けると通信先ラインへのデータ出力を行うデータ出力部（１１）と、を備え、
前記処理部は前記セキュリティチェック処理を行う前に前記データ出力部に出力要求を行う（１０、Ｓ３、Ｔ３）ことで前記データ出力部が通信先ラインへのデータ出力を開始し、
前記処理部はセキュリティチェック処理している（１０、Ｓ４、Ｔ４）ときに前記データ出力部が前記通信先ラインへデータ出力する処理を並行して行い（１１、Ｔ５）、
前記処理部がセキュリティチェック処理を終了したときには前記通信先ラインにチェック結果を出力または無出力するチェック結果処理部（１０、１１、Ｓ６、Ｓ９、Ｔ７、Ｔ７ａ、Ｔ７ｂ、Ｔ７ｃ）を備えるゲートウェイ装置。
【請求項２】
請求項１記載のゲートウェイ装置において、
前記データ出力部によるデータ出力が未完了であるか判定する判定部（１０、Ｓ７）をさらに備え、
前記処理部によりセキュリティチェック処理された結果がＮＧであり、且つ、前記判定部により未完了であると判定されたときには、前記データ出力部は転送中のデータを棄却する（１１、Ｓ８）ゲートウェイ装置。
【請求項３】
請求項１または２記載のゲートウェイ装置において、
前記チェック結果処理部（１０、１１、Ｓ９、Ｔ７ｂ、Ｔ７ｃ）は、前記処理部によりセキュリティチェック処理された結果がＮＧとなる場合には前記通信先ラインにチェック結果を出力し、当該チェック結果がＯＫとなる場合には無出力とするゲートウェイ装置。
【請求項４】
セキュリティチェック処理と通信先ライン（３）にデータを出力する処理とを実行するゲートウェイ装置（６）から転送されたデータを受信する通信先の電子制御装置（５）であって、
前記ゲートウェイ装置は、前記セキュリティチェック処理を行う処理部（１０、Ｓ４）と、前記処理部から出力要求を受付けると通信先ラインへのデータ出力を行うデータ出力部（１１）と、を備え、前記処理部は前記セキュリティチェック処理を行う前に前記データ出力部に出力要求を行う（１０、Ｓ３、Ｔ３）ことで前記データ出力部が通信先ラインへのデータ出力を開始し、
前記処理部はセキュリティチェック処理している（１０、Ｓ４、Ｔ４）ときに前記データ出力部が前記通信先ラインへデータ出力する処理を並行して行い（１１、Ｔ５）、
前記処理部がセキュリティチェック処理を終了したときに前記通信先ラインにチェック結果を出力または無出力するチェック結果処理部（１０、１１、Ｓ６、Ｓ９、Ｔ７、Ｔ７ａ、Ｔ７ｂ、Ｔ７ｃ）を備えるものであって、
前記ゲートウェイ装置から転送されたデータを一時的に格納するバッファ（１４、Ｓ１２）と、
前記ゲートウェイ装置から出力又は無出力されたセキュリティチェック処理のチェック結果に応じて前記バッファに格納されたデータの扱いを変更する変更部（１５、Ｓ１４〜Ｓ１６）と、を備える電子制御装置（５）。
【請求項５】
請求項４記載の電子制御装置において、
前記ゲートウェイ装置は、前記データ出力部によるデータ出力が未完了であるか判定する判定部（１０、Ｓ７）をさらに備え、前記処理部によりセキュリティチェック処理されたチェック結果がＮＧであり、且つ、前記判定部により未完了であると判定されたときには前記データ出力部は転送中のデータを棄却する（１１、Ｓ８）ものであって、
前記ゲートウェイ装置により前記データが棄却されたときには受信データをなしと見做す判定部（１５、Ｔ６ａ）をさらに備える電子制御装置。
【請求項６】
請求項４または５記載の電子制御装置において、
前記ゲートウェイ装置のチェック結果処理部（１０、１１、Ｓ９、Ｔ７ｂ、Ｔ７ｃ）は、前記処理部がセキュリティチェック処理を終了したときに当該チェック結果がＮＧとなる場合に前記通信先ラインにチェック結果を出力し、当該チェック結果がＯＫとなる場合には無出力とするものであって、
前記処理部によるセキュリティチェック処理のチェック結果を所定時間だけ待機する待機部（１５、Ｓ１３ａ）と、
前記所定時間にチェック結果としてＮＧを受信しない場合には、チェック結果をＯＫと見做して前記バッファに格納されたデータを利用し（Ｓ１５）、チェック結果としてＮＧを受信した場合には前記バッファに格納されたデータを破棄する（Ｓ１６）処理部（１５）と、
をさらに備える電子制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、受信したデータにセキュリティチェック処理を施し通信先電子制御装置に転送する処理を実行するゲートウェイ装置及び電子制御装置に関する。
【背景技術】
【０００２】
例えば、ネットワークに機器を容易に接続可能となっており、当該ネットワークのプロトコルも周知となっている場合には、悪意を持った第三者がネットワークに不正に機器を接続し、これにより情報を搾取することが考えられる。このため、ネットワークセキュリティを向上する技術が様々提案されている（例えば、特許文献１参照）。特許文献１記載の技術では、暗号化、復号化の手法を用いてセキュリティを向上している。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００５−２７８００７号公報
【特許文献２】特開２００３−１３４１１０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、近年、例えば車両内のネットワークが複雑化する傾向にあると共に、複数の電子制御装置（ＥＣＵ：Electronic Control Unit）の間を通信するデータ量も増加する傾向にある。ゲートウェイ装置は、例えば複数の電子制御装置の間に介在して通信データを通信先ラインに出力して通信先の電子制御装置に転送しているが、通信データ量が増加すると処理負荷も増大する。
【０００５】
このため、ゲートウェイ装置が、セキュリティチェック処理しつつ通信先電子制御装置に転送する処理を行う場合には、このセキュリティ技術の処理負荷と共に通信データの転送処理の処理負荷も加わるため、処理負荷が大幅に大きくなり、通信処理を円滑に行うことができない虞を生じている。
【０００６】
本発明の目的は、通信処理を円滑に行うことができるようにしたゲートウェイ装置、及び、このゲートウェイ装置からデータ転送される電子制御装置を提供することにある。
【課題を解決するための手段】
【０００７】
請求項１記載の発明によれば、処理部がセキュリティチェック処理しているときにデータ出力部が通信先ラインへデータ出力する処理を並行して行っているため、並行して行う時間だけ処理時間を短縮することができ、通信処理を円滑に行うことができるようになる。
【図面の簡単な説明】
【０００８】
【図１】第１実施形態における通信システムの構成例
【図２】ゲートウェイＥＣＵの電気的構成例を示す図
【図３】ＥＣＵの電気的構成例を示す図
【図４】ゲートウェイＥＣＵの処理を示すフローチャート
【図５】ＥＣＵの処理を示すフローチャート
【図６】通信の流れを示すタイミングチャート（その１）
【図７】通信の流れを示すタイミングチャート（その２）
【図８】通信の流れを示すタイミングチャート（その３）
【図９】第２実施形態におけるゲートウェイＥＣＵの処理を示すフローチャート
【図１０】ＥＣＵの処理を示すフローチャート
【図１１】通信の流れを示すタイミングチャート
【発明を実施するための形態】
【０００９】
以下、ゲートウェイ装置及び電子制御装置の幾つかの実施形態について図面を参照しながら説明する。以下に説明する各実施形態において、同一又は類似の動作を行う構成、ステップ番号については、同一又は類似の符号を付して必要に応じて説明を省略する。
【００１０】
（第１実施形態）
図１から図８は第１実施形態の説明図を示している。図１に通信システム１の構成例を示す。車両用ネットワーク１は、複数のネットワーク２、３を備えており、それぞれの車両用ネットワーク２、３にはそれぞれＥＣＵ（Electronic Control Unit：電子制御装置相当）、すなわち、ＥＣＵ＿Ａ４、及び、ＥＣＵ＿Ｂ５が接続されている。ＥＣＵ４、５は、予め定められたプロトコルに基づいてデータ、メッセージをフレームとして送受信可能になっている。これらのネットワーク２、３の間にはゲートウェイＥＣＵ６がゲートウェイ装置として接続されており、ゲートウェイＥＣＵ６が車両用ネットワーク２、３にデータ転送処理をする。これにより、ＥＣＵ４〜５は、ネットワーク２、３及びゲートウェイＥＣＵ６を介して相互に通信可能となっている。本実施形態では、ネットワーク２を通信元ラインとし、ネットワーク３を通信先ラインとして示す。なお、図示していないが、データ、メッセージの通信先ラインは、複数のネットワークとなる場合もあれば、通信先ラインはなく、中継されることなくゲートウェイＥＣＵ６の内部で消滅することもある。
【００１１】
図２はゲートウェイＥＣＵの電気的構成を示しており、図３はＥＣＵ４〜５の電気的構成を示している。ゲートウェイＥＣＵ６は、例えばＣＰＵ７、ＲＯＭ８、ＲＡＭ９、その他のメモリ（例えばバックアップＲＡＭ、ＥＥＰＲＯＭ等：図示せず）をバス接続したマイクロコンピュータ（以下、マイコン）１０と、通信コントローラ１１と、を備える。以下、ＲＯＭ８、ＲＡＭ９、その他のメモリ（例えばバックアップＲＡＭ、ＥＥＰＲＯＭ）をメモリと総称して説明を行う。またＲＡＭ９の所定領域は、他の機器（例えばＥＣＵ４、５）から受信するデータを一時的に格納するバッファとして設けられている。ＲＡＭ９内におけるデータの一時的格納バッファは、各ネットワーク２、３に対応してそれぞれ設けられており、先入れ先出し型のＦＩＦＯ構造とされている。
【００１２】
通信コントローラ１１は、例えばＣＡＮプロトコルを用いてネットワーク２，３とデータを入出力するデータ入力部、データ出力部として機能するものでデータの通信処理を行うように構成されている。
【００１３】
ゲートウェイＥＣＵ６のマイコン１０は、通信コントローラ１１とバス接続し、車両用ネットワーク２，３に接続されるＥＣＵ４，５と通信可能となっており、例えばＥＣＵ４から送信されたデータを車両用ネットワーク２から受信してバッファに格納し、ＥＣＵ５が接続された車両用ネットワーク３に転送するようになっている。マイコン１０は、非遷移的実体的記録媒体としてのメモリに記憶されたプログラムを実行することで転送処理を実行でき、処理部、判定部として機能するようになっている。マイコン１０は、通信コントローラ１１と合わせてチェック結果処理部として機能する。
【００１４】
各ＥＣＵ４〜５は、例えばＣＰＵ１２、ＲＯＭ１３、ＲＡＭ１４、その他のメモリ（例えばバックアップＲＡＭ、ＥＥＰＲＯＭ：図示せず）をバス接続したマイクロコンピュータ（以下、マイコン）１５と、通信コントローラ１６と、を備え、図示しないが、センサ、アクチュエータなどを接続して構成されている。以下、ＲＯＭ１３、ＲＡＭ１４、その他のメモリ（例えばバックアップＲＡＭ、ＥＥＰＲＯＭ）をメモリと総称して説明を行う。またＲＡＭ１４の所定領域は、他の機器（例えばゲートウェイＥＣＵ６）から受信するデータを一時的に格納するバッファとして設けられている。
【００１５】
ＥＣＵ（例えば４）のマイコン１５は、通信コントローラ１６と接続し、ネットワーク（例えば３）に接続される他のＥＣＵ（例えば５）との間でデータ通信する。マイコン１５は、非遷移的実体的記録媒体としてのメモリに記憶されたプログラムを実行することで所定の処理を実行でき、変更部、判定部として機能するようになっている。
【００１６】
本実施形態の特徴となる動作を説明する。図４はゲートウェイＥＣＵ６が行う処理を示している。また図５は通信先電子制御装置となるＥＣＵ５が行う処理を示している。図４に示す処理は概ねゲートウェイＥＣＵ６のマイコン１０が実行する処理であり、図５に示す処理は概ねＥＣＵ５のマイコン１５が実行する処理である。ここでは、ＥＣＵ４がデータをネットワーク２に送信し、ゲートウェイＥＣＵ６がこのデータを受信してネットワーク３に転送し、ＥＣＵ５がこのデータを受信する一連の流れについて説明する。また、図６の「本実施形態」中の記載事項は、ゲートウェイＥＣＵ６により正常に転送処理が行われた場合のタイミングチャートを示している。また、図７はゲートウェイＥＣＵ６の内部において、マイコン１０がセキュリティチェックを終了した時点で、通信コントローラ１１が出力未完了であったときの処理を示すタイミングチャートである。さらに、図８はゲートウェイＥＣＵ内においてＣＰＵ７がセキュリティチェックを終了した時点で通信コントローラ１１がデータを出力完了している場合の処理を示すタイミングチャートである。
【００１７】
図４に示すように、ゲートウェイＥＣＵ６はネットワーク２にフレームを探索し、Ｓ１においてデータ有りと判定するとＳ１にてＹＥＳと判定してこのデータを受信し、Ｓ２においてこの受信データをＲＡＭ９内のバッファに一時的に格納する。図６の本実施形態中の期間Ｔ１、Ｔ２を参照。そして、ゲートウェイＥＣＵ６のマイコン１０は、Ｓ３において通信コントローラ１１にデータを出力要求する。図６の本実施形態中の期間Ｔ３を参照。
【００１８】
このとき通信コントローラ１１は、マイコン１０から出力要求を受付けると、マイコン１０のＲＡＭ９のバッファからデータを取得し、ネットワーク３を通じて取得したデータを出力し始める。他方、マイコン１０はＳ４において受信データのセキュリティチェック処理を並行して行う。このとき通信コントローラ１１は並行してデータ出力し続けている。図６の本実施形態中の期間Ｔ４、Ｔ５を参照。
【００１９】
他方、図５のＳ１１において、ＥＣＵ５の通信コントローラ１６はネットワーク３からデータを受信するとＳ１１にてＹＥＳと判定し、Ｓ１２においてこの受信データをＲＡＭ１４内のバッファに一時的に格納する。図６の本実施形態中の期間Ｔ６を参照。そしてＥＣＵ５は、Ｓ１３においてゲートウェイＥＣＵ６からチェック結果のＯＫ／ＮＧの情報を待機し、Ｓ１１に戻して処理を繰り返す。
【００２０】
図４において、マイコン１０は、Ｓ４に示すセキュリティチェック処理を終了すると、Ｓ５においてこのチェック結果がＯＫであるか否かを判定する。マイコン１０は、チェック結果がＯＫであるときには、チェック結果ＯＫである旨の情報を通信コントローラ１１を通じてネットワーク３に出力する。図６の本実施形態中の期間Ｔ７、Ｔ８を参照。
【００２１】
この場合、ＥＣＵ５のマイコン１５が、図５のＳ１３において通信コントローラ１６を通じてＯＫ情報を受信し、チェック結果をＯＫと判定してＳ１４でＹＥＳと判定し、Ｓ１５において受信データを利用した制御処理を行うことになる。図６の本実施形態中の期間Ｔ９を参照。
【００２２】
他方、図４に示すように、マイコン１０はＳ５においてチェック結果をＮＧであると判定したときにはＳ５にてＮＯと判定する。このときマイコン１０は通信コントローラ１１と情報を送受信することで、データを出力完了しているか否かの情報を取得し、Ｓ７において通信コントローラ１１が出力未完了であると判定したときには、Ｓ７にてＹＥＳと判定しデータを棄却、破棄するように通信コントローラ１１に指示する。このとき通信コントローラ１１はネットワーク３にエラーフレームを送信する。図７の期間Ｔ７ａ参照。これにより、ゲートウェイＥＣＵ６の通信コントローラ１１はデータフレームをエンドオブフレーム（ＥＯＦ）まで正常に送信することなくデータ出力を中断する。これにより、ネットワーク３にはデータが送出されなくなる。図７の期間Ｔ５ａ参照。ＥＣＵ５のマイコン１５は、Ｓ１６において受信エラーとして受信データなしと見做すことになる。図７の期間Ｔ６ａ参照。
【００２３】
図４において、マイコン１０は、Ｓ７において通信コントローラ１１が出力完了であると判定したときにはＳ７にてＮＯと判定し、チェック結果ＮＧを出力するように通信コントローラ１１に指示する。通信コントローラ１１はチェック結果ＮＧの情報をネットワーク３に出力する。図８の期間Ｔ７ｂ参照。これにより、ゲートウェイＥＣＵ６の通信コントローラ１１は、エンドオブファイル（ＥＯＦ）までデータフレームを出力しきった後にチェック結果ＮＧの情報を出力することになる。
【００２４】
ＥＣＵ５のマイコン１５は、図５のＳ１３において通信コントローラ１６を通じてＮＧ情報を受信し、チェック結果をＮＧと判定してＳ１４でＮＯと判定し、Ｓ１６において受信データを破棄する。
【００２５】
すなわち、図８の期間Ｔ６に示すように、ＥＣＵ５のマイコン１５は制御データを受信処理するものの、その後、期間Ｔ７ｂ、Ｔ８に示すように、ＮＧ出力のメッセージを受信するため、このデータを棄却することになる。このため、マイコン１５は制御データを利用した制御処理を行うことなく、期間Ｔ９ｂにおいてデータを破棄、棄却することになる。これにより、ＥＣＵ５のマイコン１５は、制御データを一時的にＲＡＭ１４内のバッファに格納するものの、Ｓ１４〜Ｓ１６に示すように、ゲートウェイ装置６から出力されたセキュリティチェック処理のチェック結果に応じてこのバッファに格納されたデータの扱いを変更することになる。
【００２６】
図６の上部には、比較例についての処理の流れをタイミングチャートで示している。図６の上部に示すように、ゲートウェイＥＣＵは、セキュリティチェック処理と出力処理とを順次行うことになると、これらの処理を終了する時間も遅くなってしまう。本実施形態によれば、マイコン１０により行われるセキュリティチェック処理と通信コントローラ１１により行われるデータ出力処理とを並行して行っているため、図６に示すように、期間Ｔｏ１だけ処理時間を短縮できるようになる。
【００２７】
本実施形態の特徴をまとめる。ゲートウェイ装置６のマイコン１０は通信コントローラ１１に出力要求した後、セキュリティチェック処理を開始している。ゲートウェイ装置６は、マイコン１０によりセキュリティチェック処理しているときに通信コントローラ１１がネットワーク３へデータ出力する処理を並行して行うことができる。このため、これらの処理を並行して行う時間だけ処理時間を短縮できる。この結果、ゲートウェイＥＣＵ６による通信処理を円滑に行うことができる。
【００２８】
このとき、受信側のＥＣＵ５は、ゲートウェイ装置６から転送されたデータを一時的にＲＡＭ１４に格納し、チェック結果を待機し、ゲートウェイ装置６から出力されたセキュリティチェック処理のチェック結果に応じてＲＡＭ１４に格納されたデータの扱いを変更するようにしている。このため、必要なデータを有効に活用することができ、不要なデータを破棄できる。マイコン１５は、ゲートウェイ装置６から出力されたセキュリティ処理のチェック結果がＯＫであるときにはデータを利用した制御処理を行い、ＮＧであるときにはデータを破棄できる。
【００２９】
また、ゲートウェイ装置６のマイコン１０は、セキュリティのチェック結果がＮＧであり、且つ、通信コントローラ１１によるデータ出力が未完了であると判定されたときには、通信コントローラ１１は転送中のデータを棄却するようにしているため、チェック結果がＮＧの場合には即座にデータ出力を停止する。このとき、受信側のＥＣＵ５は、ゲートウェイ装置６によりデータが棄却されたときにはデータがネットワーク３に流れなくなるため、受信データをなしと見做すことができる。
【００３０】
（第２実施形態）
図９〜図１１は第２実施形態の追加説明図を示す。第２実施形態では、チェック結果のＯＫ情報を送信しない形態を示す。図９はゲートウェイＥＣＵ６の処理内容を示すもので、図１０はＥＣＵ５の処理内容を示すものである。図１１はタイミングチャートを概略的に示している。同一処理を行うステップでは同一のステップ番号を付してその説明を省略し、異なる部分に添え字「ａ」を付している。
【００３１】
本実施形態においては、マイコン１５は、非遷移的実体的記録媒体としてのメモリに記憶されたプログラムを実行することで、前述実施形態の機能に代えて又は加えて、待機部、処理部としても機能するようになっている。
【００３２】
本実施形態では、図９に示すように、ゲートウェイＥＣＵ６のマイコン１０は、Ｓ４においてセキュリティチェックを行い、このチェック結果がＯＫであったとしてもチェック結果がＯＫとなる場合にはＯＫ情報の出力を行わない、すなわち無出力としている。図１１の期間Ｔ７ｃ参照。ゲートウェイＥＣＵ６はＯＫ情報を無出力しているため、ネットワーク３の通信負荷を低減できる。
【００３３】
このとき、図１０に示すように、ＥＣＵ５側のマイコン１５は、データを受信するとＲＡＭ１４内のバッファに一時的に格納するが、Ｓ１３ａにおいて所定時間Ｔｘを経過するか、又は、ＮＧ情報を受信するまで待機する。
【００３４】
ここで、この所定時間Ｔｘは、ゲートウェイＥＣＵ６のマイコン１０からデータを受信する時間と、ゲートウェイＥＣＵ６のマイコン１０がセキュリティチェック処理を行い通信コントローラ１１を通じてＮＧ情報を送信し、マイコン１５がこのＮＧ情報を受信する最大時間とを加算し、さらに予め定められたマージンを加算した時間に設定されている。すなわち図１１に示すように、所定時間ＴｘはＮＧ待機時間として設定されており、所定時間Ｔｘが経過すれば、ＥＣＵ５のマイコン１５は明らかにチェック結果ＯＫであると見做すことが可能になっている。
【００３５】
図１０に示すように、ＥＣＵ５のマイコン１５は、Ｓ１４ａにおいてチェック結果ＮＧがあるときにはＹＥＳと判定し、Ｓ１６において受信データを破棄するが、チェック結果ＮＧがなければＮＯと判定し、Ｓ１５において受信データを利用した制御処理を行う。図１１の期間Ｔ９参照。
【００３６】
このため、図１１に示すように、ＥＣＵ５のマイコン１５がたとえ所定時間Ｔｘを待機したとしても、セキュリティチェック処理をデータの出力処理とを並行して実行しているため、比較例の技術に比較して時間Ｔｏ２だけ全体の処理を短縮できる。特に、ゲートウェイＥＣＵ５が行うセキュリティチェック処理の大半（９割以上）はＯＫと判断する場合には、この処理の削減による効果は相当大きなものとなる。
【００３７】
本実施形態によれば、ゲートウェイＥＣＵ６のマイコン１０はセキュリティチェック処理がＯＫであったとしてもＯＫ情報を送信しないため通信負荷を低減できる。このような場合においても、受信側のＥＣＵ５のマイコン１５はＮＧ待機時間Ｔｘだけ待機しＮＧ情報を受信しなければ、ゲートウェイ装置６によるセキュリティチェック結果がＯＫであると判断することができる。
【００３８】
（他の実施形態）
本発明は、前述した実施形態に限定されるものではなく、種々変形して実施することができ、その要旨を逸脱しない範囲で種々の実施形態に適用可能である。例えば以下に示す変形又は拡張が可能である。
【００３９】
第２実施形態ではセキュリティチェック結果がＯＫであるときにＯＫ情報を無出力とする形態を示したが、これは逆でも良い。すなわち、ゲートウェイ装置６のマイコン１０は、セキュリティチェック結果がＮＧであるときにＮＧ情報を無出力とする形態に適用しても良い。この場合、受信側のＥＣＵ５では、マイコン１５は、所定時間内にＮＧ情報を受信しない場合にＮＧであると見做しＲＡＭ１４内のバッファに蓄積されたデータを破棄すると良い。すなわち受信側のＥＣＵ５のマイコン１５は、データのセキュリティ性が保証されていないものと判断しバッファ内に格納された受信データを棄却できる。
【００４０】
マイコン１０、１５が実行する機能の一部または全部を、一つあるいは複数のＩＣによりハードウェア的に構成しても良い。前述した複数の実施形態を組み合わせて構成しても良い。なお、特許請求の範囲に記載した括弧内の符号は、本発明の一つの態様として前述する実施形態に記載の具体的手段との対応関係の一例を示すものであって、本発明の技術的範囲を限定するものではない。
【００４１】
本開示は、前述した実施形態に準拠して記述したが、本開示は当該実施形態や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、さらには、それらに一要素、それ以上、あるいはそれ以下、を含む他の組み合わせや形態をも、本開示の範畴や思想範囲に入るものである。
【符号の説明】
【００４２】
図面中、３はネットワーク（通信先ライン）、５はＥＣＵ（通信先電子制御装置、電子制御装置）、６はゲートウェイＥＣＵ（ゲートウェイ装置）、１０はマイコン（処理部、チェック結果処理部、判定部）、１１は通信コントローラ（データ出力部、チェック結果処理部）、１４はＲＡＭ（バッファ）、１５はマイコン（変更部、判定部、待機部、処理部）、を示す。
【図１】
2018014557.tif 000003
【図２】
2018014557.tif 000004
【図３】
2018014557.tif 000005
【図４】
2018014557.tif 000006
【図５】
2018014557.tif 000007
【図６】
2018014557.tif 000008
【図７】
2018014557.tif 000009
【図８】
2018014557.tif 000010
【図９】
2018014557.tif 000011
【図１０】
2018014557.tif 000012
【図１１】
2018014557.tif 000013