(57)【要約】【課題】車載ネットワークにおいて、良好な通信を提供することが可能な車載通信装置、通信制御方法および通信制御プログラムを提供する。【解決手段】車載通信装置は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、１または複数の前記機能部のＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスとＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部と、前記機能部に対する認証処理を行う認証部とを備え、前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除する。【選択図】図３
2019009596.tif 000002
【特許請求の範囲】
【請求項１】
車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、
１または複数の前記機能部のＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスとＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、
前記対応情報を作成するアドレス管理部と、
前記機能部に対する認証処理を行う認証部とを備え、
前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、
前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除する、車載通信装置。
【請求項２】
前記アドレス管理部は、前記通信部を介して前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、
前記アドレス管理部は、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除する、請求項１に記載の車載通信装置。
【請求項３】
前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とする、請求項１または請求項２に記載の車載通信装置。
【請求項４】
前記所定条件は、新たに登録された前記機能部の通信が所定時間以上途絶えたことである、請求項３に記載の車載通信装置。
【請求項５】
車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、
１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、
前記対応情報を作成するアドレス管理部とを備え、
前記アドレス管理部は、前記通信部を介して前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、
前記アドレス管理部は、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除する、車載通信装置。
【請求項６】
車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、
１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、
前記対応情報を作成するアドレス管理部と、
前記機能部に対する認証処理を行う認証部とを備え、
前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、
前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とする、車載通信装置。
【請求項７】
車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置における通信制御方法であって、
１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行うステップと、
前記対応情報を作成するステップと、
前記機能部に対する認証処理を行うステップとを含み、
前記対応情報を作成するステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録し、
前記認証処理を行うステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録した前記機能部に対して認証処理を行い、
前記通信制御方法は、さらに、
新たに登録した前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除するステップを含む、通信制御方法。
【請求項８】
車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置における通信制御方法であって、
１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行うステップと、
前記対応情報を作成するステップとを含み、
前記対応情報を作成するステップにおいては、前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、
前記通信制御方法は、さらに、
前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除するステップを含む、通信制御方法。
【請求項９】
車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置における通信制御方法であって、
１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行うステップと、
前記対応情報を作成するステップと、
前記機能部に対する認証処理を行うステップとを含み、
前記対応情報を作成するステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録し、
前記認証処理を行うステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録した前記機能部に対して認証処理を行い、
前記通信制御方法は、さらに、
新たに登録した前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とするステップを含む、通信制御方法。
【請求項１０】
車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置において用いられる通信制御プログラムであって、
コンピュータを、
１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、
前記対応情報を作成するアドレス管理部と、
前記機能部に対する認証処理を行う認証部、
として機能させるためのプログラムであり、
前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、
前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除する、通信制御プログラム。
【請求項１１】
車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置において用いられる通信制御プログラムであって、
コンピュータを、
１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、
前記対応情報を作成するアドレス管理部、
として機能させるためのプログラムであり、
前記アドレス管理部は、前記通信部を介して前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、
前記アドレス管理部は、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除する、通信制御プログラム。
【請求項１２】
車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置において用いられる通信制御プログラムであって、
コンピュータを、
１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、
前記対応情報を作成するアドレス管理部と、
前記機能部に対する認証処理を行う認証部、
として機能させるためのプログラムであり、
前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、
前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とする、通信制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車載通信装置、通信制御方法および通信制御プログラムに関する。
【背景技術】
【０００２】
従来、車載ネットワークにおけるセキュリティを向上させるための車載ネットワークシステムが開発されている。
【０００３】
たとえば、特許文献１（特開２０１３−１６８８６５号公報）には、以下のような車載ネットワークシステムが開示されている。すなわち、車載ネットワークシステムは、車載ネットワーク上で用いられる通信規約のうち前記車載ネットワーク上における実装に依拠する部分を定義する定義データを格納するメモリを備えた車載制御装置と、前記車載制御装置に対して前記定義データを発行する通信規約発行装置とを備える。前記通信規約発行装置は、前記車載制御装置を前記車載ネットワークに参加させる登録装置から、前記車載制御装置を前記車載ネットワークに参加させるよう要求する登録要求を受け取ると、前記登録装置に対する認証を実施した上で、前記車載ネットワークに上における実装に準拠した前記定義データを作成して前記登録装置に返信する。前記登録装置は、前記通信規約発行装置が送信した前記定義データを受け取り、受け取った前記定義データを前記メモリ上に格納するよう前記車載制御装置に対して要求する。そして、前記車載制御装置は、前記登録装置から定義データを受け取って前記メモリ上に格納し、前記定義データが定義する前記部分にしたがって、前記通信規約に準拠して前記車載ネットワークを用いて通信する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１３−１６８８６５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１に記載の車載ネットワークでは、車載制御装置からのデータを中継する通信ゲートウェイが設けられる。
【０００６】
たとえば、通信ゲートウェイがレイヤ３（Ｌ３）の中継処理を行う場合、車載制御装置のＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスおよびＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスの対応関係を示す対応情報が用いられる。この対応情報が不正に改ざんされると、車載制御装置からのデータが適切に中継されなくなるため、車載ネットワークにおける通信が正常に行われなくなる。
【０００７】
この発明は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおいて、良好な通信を提供することが可能な車載通信装置、通信制御方法および通信制御プログラムを提供することである。
【課題を解決するための手段】
【０００８】
（１）上記課題を解決するために、この発明のある局面に係わる車載通信装置は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部と、前記機能部に対する認証処理を行う認証部とを備え、前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除する。
【０００９】
（５）上記課題を解決するために、この発明の他の局面に係わる車載通信装置は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部とを備え、前記アドレス管理部は、前記通信部を介して前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、前記アドレス管理部は、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除する。
【００１０】
（６）上記課題を解決するために、この発明の他の局面に係わる車載通信装置は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部と、前記機能部に対する認証処理を行う認証部とを備え、前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とする。
【００１１】
（７）上記課題を解決するために、この発明のある局面に係わる通信制御方法は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置における通信制御方法であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行うステップと、前記対応情報を作成するステップと、前記機能部に対する認証処理を行うステップとを含み、前記対応情報を作成するステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録し、前記認証処理を行うステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録した前記機能部に対して認証処理を行い、前記通信制御方法は、さらに、新たに登録した前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除するステップを含む。
【００１２】
（８）上記課題を解決するために、この発明の他の局面に係わる通信制御方法は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置における通信制御方法であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行うステップと、前記対応情報を作成するステップとを含み、前記対応情報を作成するステップにおいては、前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、前記通信制御方法は、さらに、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除するステップを含む。
【００１３】
（９）上記課題を解決するために、この発明の他の局面に係わる通信制御方法は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置における通信制御方法であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行うステップと、前記対応情報を作成するステップと、前記機能部に対する認証処理を行うステップとを含み、前記対応情報を作成するステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録し、前記認証処理を行うステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録した前記機能部に対して認証処理を行い、前記通信制御方法は、さらに、新たに登録した前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とするステップを含む。
【００１４】
（１０）上記課題を解決するために、この発明のある局面に係わる通信制御プログラムは、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置において用いられる通信制御プログラムであって、コンピュータを、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部と、前記機能部に対する認証処理を行う認証部、として機能させるためのプログラムであり、前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除する。
【００１５】
（１１）上記課題を解決するために、この発明の他の局面に係わる通信制御プログラムは、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置において用いられる通信制御プログラムであって、コンピュータを、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部、として機能させるためのプログラムであり、前記アドレス管理部は、前記通信部を介して前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、前記アドレス管理部は、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除する。
【００１６】
（１２）上記課題を解決するために、この発明の他の局面に係わる通信制御プログラムは、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置において用いられる通信制御プログラムであって、コンピュータを、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部と、前記機能部に対する認証処理を行う認証部、として機能させるためのプログラムであり、前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とする。
【００１７】
本発明は、このような特徴的な処理部を備える車載通信装置として実現することができるだけでなく、車載通信装置を備える車載通信システムとして実現することができる。また、本発明は、車載通信装置の一部または全部を実現する半導体集積回路として実現することができる。
【発明の効果】
【００１８】
本発明によれば、車載ネットワークにおいて、良好な通信を提供することができる。
【図面の簡単な説明】
【００１９】
【図１】図１は、本発明の第１の実施の形態に係る車載通信システムの構成を示す図である。
【図２】図２は、本発明の第１の実施の形態に係る車載通信システムの適用例を示す図である。
【図３】図３は、本発明の第１の実施の形態に係る車載通信システムにおける車載通信装置の構成を示す図である。
【図４】図４は、本発明の第１の実施の形態に係る車載通信装置におけるＬ２スイッチ部が保持するＡＲＬテーブルの一例を示す図である。
【図５】図５は、本発明の第１の実施の形態に係る車載通信装置におけるＬ３中継部が保持するＡＲＰテーブルの一例を示す図である。
【図６】図６は、本発明の第１の実施の形態に係る車載通信システムにおいて伝送されるＡＲＰリクエストフレームの一例を示す図である。
【図７】図７は、本発明の第１の実施の形態に係る車載通信装置におけるＬ３中継部が保持するＡＲＰテーブルの一例を示す図である。
【図８】図８は、本発明の第１の実施の形態に係る車載通信装置におけるＬ３中継部が保持するＡＲＰテーブルの一例を示す図である。
【図９】図９は、本発明の第１の実施の形態に係る車載通信システムにおける車載通信装置が、受信したＡＲＰリクエストフレームを処理する際の動作手順を定めたフローチャートである。
【図１０】図１０は、本発明の第１の実施の形態に係る車載通信システムの変形例において伝送されるＮＤフレームの一例を示す図である。
【図１１】図１１は、本発明の第１の実施の形態に係る車載通信システムの変形例における車載通信装置のＬ３中継部が保持するＮＤキャッシュの一例を示す図である。
【図１２】図１２は、本発明の第１の実施の形態に係る車載通信システムの変形例における車載通信装置が、受信したＮＳフレームを処理する際の動作手順を定めたフローチャートである。
【図１３】図１３は、本発明の第２の実施の形態に係る車載通信システムにおける車載通信装置の構成を示す図である。
【図１４】図１４は、本発明の第２の実施の形態に係る車載通信システムにおける車載通信装置が、受信したＡＲＰリクエストフレームを処理する際の動作手順を定めたフローチャートである。
【図１５】図１５は、本発明の第２の実施の形態に係る車載通信システムにおける車載通信装置が、書き替え不可期間を設定する際の動作手順を定めたフローチャートである。
【図１６】図１６は、本発明の第２の実施の形態に係る車載通信装置におけるＬ３中継部が保持するＮＤキャッシュの一例を示す図である。
【図１７】図１７は、本発明の第２の実施の形態に係る車載通信システムの変形例における車載通信装置が、受信したＮＳフレームを処理する際の動作手順を定めたフローチャートである。
【発明を実施するための形態】
【００２０】
最初に、本発明の実施形態の内容を列記して説明する。
【００２１】
（１）本発明の実施の形態に係る車載通信装置は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部と、前記機能部に対する認証処理を行う認証部とを備え、前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除する。
【００２２】
新たに登録された機能部との認証処理が成功しなかった場合、当該機能部は不正な機能部であると考えられる。上記の構成により、たとえば、不正な機能部が正当な機能部に成りすまし、誤った対応関係が対応情報に登録された場合においても、誤った対応関係を対応情報から削除することができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。これにより、機能部からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
【００２３】
（２）好ましくは、前記アドレス管理部は、前記通信部を介して前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、前記アドレス管理部は、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除する。
【００２４】
データフィールドに含まれる送信元ＭＡＣアドレスとヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、不正なフレームである可能性が高い。上記の構成により、不正なフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの誤った対応関係が対応情報に登録され続けることを防ぐことができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。
【００２５】
（３）好ましくは、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とする。
【００２６】
新たに登録された機能部との認証処理が成功した場合、当該機能部は正当な機能部であると考えられる。上記の構成により、新たに登録された正しい対応関係を、所定条件を満たすまで保護することができるので、少なくとも所定条件が満たされるまで正しい対応関係を用いた中継処理を継続することができる。
【００２７】
（４）より好ましくは、前記所定条件は、新たに登録された前記機能部の通信が所定時間以上途絶えたことである。
【００２８】
このような構成により、新たに登録された正当な機能部との通信が継続している間、正しい対応関係を用いて、正当な機能部のデータの中継処理を継続することができる。
【００２９】
（５）本発明の実施の形態に係る車載通信装置は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部とを備え、前記アドレス管理部は、前記通信部を介して前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、前記アドレス管理部は、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除する。
【００３０】
データフィールドに含まれる送信元ＭＡＣアドレスとヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、不正なフレームである可能性が高い。上記の構成により、不正なフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの誤った対応関係が対応情報に登録され続けることを防ぐことができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。これにより、機能部からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
【００３１】
（６）本発明の実施の形態に係る車載通信装置は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部と、前記機能部に対する認証処理を行う認証部とを備え、前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とする。
【００３２】
新たに登録された機能部との認証処理が成功した場合、当該機能部は正当な機能部であると考えられる。上記の構成により、新たに登録された正しい対応関係を、所定条件を満たすまで保護することができるので、少なくとも所定条件が満たされるまで正しい対応関係を用いた中継処理を継続することができる。これにより、機能部からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
【００３３】
（７）本発明の実施の形態に係る通信制御方法は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置における通信制御方法であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行うステップと、前記対応情報を作成するステップと、前記機能部に対する認証処理を行うステップとを含み、前記対応情報を作成するステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録し、前記認証処理を行うステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録した前記機能部に対して認証処理を行い、前記通信制御方法は、さらに、新たに登録した前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除するステップを含む。
【００３４】
新たに登録された機能部との認証処理が成功しなかった場合、当該機能部は不正な機能部であると考えられる。上記の構成により、たとえば、不正な機能部が正当な機能部に成りすまし、誤った対応関係が対応情報に登録された場合においても、誤った対応関係を対応情報から削除することができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。これにより、機能部からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
【００３５】
（８）本発明の実施の形態に係る通信制御方法は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置における通信制御方法であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行うステップと、前記対応情報を作成するステップとを含み、前記対応情報を作成するステップにおいては、前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、前記通信制御方法は、さらに、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除するステップを含む。
【００３６】
データフィールドに含まれる送信元ＭＡＣアドレスとヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、不正なフレームである可能性が高い。上記の構成により、不正なフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの誤った対応関係が対応情報に登録され続けることを防ぐことができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。これにより、機能部からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
【００３７】
（９）本発明の実施の形態に係る通信制御方法は、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置における通信制御方法であって、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行うステップと、前記対応情報を作成するステップと、前記機能部に対する認証処理を行うステップとを含み、前記対応情報を作成するステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録し、前記認証処理を行うステップにおいては、前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスを登録した前記機能部に対して認証処理を行い、前記通信制御方法は、さらに、新たに登録した前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とするステップを含む。
【００３８】
新たに登録された機能部との認証処理が成功した場合、当該機能部は正当な機能部であると考えられる。上記の構成により、新たに登録された正しい対応関係を、所定条件を満たすまで保護することができるので、少なくとも所定条件が満たされるまで正しい対応関係を用いた中継処理を継続することができる。これにより、機能部からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
【００３９】
（１０）本発明の実施の形態に係る通信制御プログラムは、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置において用いられる通信制御プログラムであって、コンピュータを、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部と、前記機能部に対する認証処理を行う認証部、として機能させるためのプログラムであり、前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除する。
【００４０】
新たに登録された機能部との認証処理が成功しなかった場合、当該機能部は不正な機能部であると考えられる。上記の構成により、たとえば、不正な機能部が正当な機能部に成りすまし、誤った対応関係が対応情報に登録された場合においても、誤った対応関係を対応情報から削除することができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。これにより、機能部からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
【００４１】
（１１）本発明の実施の形態に係る通信制御プログラムは、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置において用いられる通信制御プログラムであって、コンピュータを、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部、として機能させるためのプログラムであり、前記アドレス管理部は、前記通信部を介して前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、前記アドレス管理部は、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除する。
【００４２】
データフィールドに含まれる送信元ＭＡＣアドレスとヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、不正なフレームである可能性が高い。上記の構成により、不正なフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの誤った対応関係が対応情報に登録され続けることを防ぐことができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。これにより、機能部からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
【００４３】
（１２）本発明の実施の形態に係る通信制御プログラムは、車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置において用いられる通信制御プログラムであって、コンピュータを、１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、前記対応情報を作成するアドレス管理部と、前記機能部に対する認証処理を行う認証部、として機能させるためのプログラムであり、前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とする。
【００４４】
新たに登録された機能部との認証処理が成功した場合、当該機能部は正当な機能部であると考えられる。上記の構成により、新たに登録された正しい対応関係を、所定条件を満たすまで保護することができるので、少なくとも所定条件が満たされるまで正しい対応関係を用いた中継処理を継続することができる。これにより、機能部からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
【００４５】
以下、本発明の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。
【００４６】
＜第１の実施の形態＞
［構成および基本動作］
図１は、本発明の第１の実施の形態に係る車載通信システムの構成を示す図である。
【００４７】
図１を参照して、車載通信システム３０１は、車載通信装置１０１と、複数の機能部１１１とを備える。車載通信システム３０１は、車両１に搭載される。
【００４８】
機能部１１１は、たとえば、自動運転ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔ）、センサ、ナビゲーション装置、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ  Ｃｏｍｍｕｎｉｃａｔｉｏｎ  Ｕｎｉｔ）、ヒューマンマシンインタフェース、およびカメラ等であり、車載通信装置１０１と通信を行うことが可能である。
【００４９】
車載通信装置１０１および機能部１１１は、たとえば、車載のイーサネット（登録商標）通信用のケーブル（以下、イーサネットケーブルとも称する。）により互いに接続されている。
【００５０】
車載通信装置１０１および機能部１１１は、イーサネットケーブルを用いて互いに通信する。車載通信装置１０１および機能部１１１間では、たとえば、ＩＥＥＥ８０２．３に従うイーサネットフレームを用いて情報のやり取りが行われる。
【００５１】
図２は、本発明の第１の実施の形態に係る車載通信システムの適用例を示す図である。図２には、機能部１１１の具体例として、自動運転ＥＣＵ１１１Ａ、センサ１１１Ｂおよびナビゲーション装置１１１Ｃが示される。
【００５２】
なお、車載通信システム３０１は、３つの機能部１１１を備える構成に限らず、２つまたは４つ以上の機能部１１１を備える構成であってもよい。
【００５３】
車載ネットワーク１２において、たとえば、自動運転ＥＣＵ１１１Ａおよびセンサ１１１Ｂとナビゲーション装置１１１Ｃとは、互いに異なるサブネットに属する。
【００５４】
車載ネットワーク１２では、たとえば、ＩＰｖ４プロトコルに従って、ＩＰパケットを用いて情報の送受信が行われる。ＩＰパケットは、イーサネットフレームに格納されて伝送される。
【００５５】
車載通信装置１０１は、たとえば、車載ゲートウェイ装置であり、車載ネットワーク１２における機能部１１１間のデータを中継する中継処理を行う。
【００５６】
具体的には、車載通信装置１０１は、自動運転ＥＣＵ１１１Ａ、センサ１１１Ｂおよびナビゲーション装置１１１Ｃ間で伝送されるイーサネットフレームを中継する。
【００５７】
詳細には、車載通信装置１０１は、複数のレイヤを有する通信プロトコルに従って動作する。より詳細には、車載通信装置１０１は、Ｌ２（レイヤ２）スイッチとして機能することが可能であり、同じサブネットに属する機能部１１１間で伝送されるイーサネットフレームを中継する。
【００５８】
この例では、車載通信装置１０１は、自動運転ＥＣＵ１１１Ａおよびセンサ１１１Ｂ間で伝送されるイーサネットフレームを中継する。
【００５９】
また、車載通信装置１０１は、Ｌ３中継装置としても機能することが可能であり、異なるサブネットに属する機能部１１１間のイーサネットフレームを中継する。
【００６０】
この例では、車載通信装置１０１は、自動運転ＥＣＵ１１１Ａとナビゲーション装置１１１Ｃとの間で伝送されるイーサネットフレーム、およびセンサ１１１Ｂとナビゲーション装置１１１Ｃとの間で伝送されるイーサネットフレームを中継する。
【００６１】
より詳細には、センサ１１１Ｂは、たとえば、自己の車両１の周辺における物体を定期的にセンシングし、センシング結果を示すセンサ情報を含むＩＰパケットを作成してイーサネットフレームに格納する。
【００６２】
このＩＰパケットには、たとえば、送信元ＩＰアドレスおよび送信先ＩＰアドレスとして、センサ１１１ＢのＩＰアドレスおよび自動運転ＥＣＵ１１１ＡのＩＰアドレスがそれぞれ含まれる。
【００６３】
センサ１１１Ｂは、自己と自動運転ＥＣＵ１１１Ａとが同じサブネットに属していることから、自動運転ＥＣＵ１１１ＡのＭＡＣアドレスおよび自己のＭＡＣアドレスを、送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスとしてそれぞれイーサネットフレームに書き込む。
【００６４】
センサ１１１Ｂは、送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスを書き込んだイーサネットフレームを車載通信装置１０１へ送信する。
【００６５】
車載通信装置１０１は、センサ１１１Ｂからイーサネットフレームを受信すると、受信したイーサネットフレームに対してレイヤ２のスイッチ処理を行うことで、イーサネットフレームを自動運転ＥＣＵ１１１Ａへ送信する。
【００６６】
自動運転ＥＣＵ１１１Ａは、たとえば、センサ１１１Ｂから車載通信装置１０１経由で受信したイーサネットフレームからセンサ情報を取得し、取得したセンサ情報に基づいて、自己の車両１の運転の制御を行う。
【００６７】
また、自動運転ＥＣＵ１１１Ａは、たとえば、自己の車両１の自動運転の状況を示す状況情報を定期的にナビゲーション装置１１１Ｃへ送信する。
【００６８】
より詳細には、自動運転ＥＣＵ１１１Ａは、たとえば、状況情報を含むＩＰパケットを作成してイーサネットフレームに格納する。
【００６９】
このＩＰパケットには、たとえば、送信元ＩＰアドレスおよび送信先ＩＰアドレスとして、自動運転ＥＣＵ１１１ＡのＩＰアドレスおよびナビゲーション装置１１１ＣのＩＰアドレスがそれぞれ含まれる。
【００７０】
自動運転ＥＣＵ１１１Ａは、自己とナビゲーション装置１１１Ｃとが異なるサブネットに属していることから、デフォルトゲートウェイである車載通信装置１０１のＭＡＣアドレス、および自己のＭＡＣアドレスを、送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスとしてそれぞれイーサネットフレームに書き込む。
【００７１】
自動運転ＥＣＵ１１１Ａは、送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスを書き込んだイーサネットフレームを車載通信装置１０１へ送信する。
【００７２】
車載通信装置１０１は、自動運転ＥＣＵ１１１Ａからイーサネットフレームを受信すると、受信したイーサネットフレームに対してレイヤ３の中継処理を行うことで、イーサネットフレームをナビゲーション装置１１１Ｃへ送信する。
【００７３】
ナビゲーション装置１１１Ｃは、たとえば、自動運転ＥＣＵ１１１Ａから車載通信装置１０１経由で受信したイーサネットフレームから状況情報を取得し、取得した状況情報の示す車両１の自動運転の状況を表示装置に表示してドライバに通知する。
【００７４】
図３は、本発明の第１の実施の形態に係る車載通信システムにおける車載通信装置の構成を示す図である。
【００７５】
図３を参照して、車載通信装置１０１は、Ｌ３中継部（通信部）５１と、Ｌ２スイッチ部５２と、通信ポート５４Ａ，５４Ｂ，５４Ｃ，５４Ｄと、アドレス管理部５５とを備える。
【００７６】
以下、通信ポート５４Ａ，５４Ｂ，５４Ｃ，５４Ｄの各々を、通信ポート５４とも称する。通信ポート５４は、たとえば、イーサネットケーブルを接続可能な端子である。
【００７７】
なお、車載通信装置１０１では、４つの通信ポート５４が設けられる構成に限らず、２つ、３つまたは５つ以上の通信ポート５４が設けられる構成であってもよい。
【００７８】
複数の通信ポート５４は、車両１における複数の機能部にそれぞれ接続可能である。この例では、通信ポート５４Ａ，５４Ｂ，５４Ｃは、それぞれ自動運転ＥＣＵ１１１Ａ，センサ１１１Ｂ，ナビゲーション装置１１１Ｃにイーサネットケーブルを介して接続される。通信ポート５４Ｄは、たとえば、ユーザが機能部１１１を増設する場合等に用いられるポート（以下、増設用ポートとも称する。）であり、初期状態では空きポートである。
【００７９】
［レイヤ２のスイッチ処理］
Ｌ２スイッチ部５２およびＬ３中継部５１は、車載ネットワーク１２における機能部１１１間のデータを中継する中継処理を行う。
【００８０】
より詳細には、Ｌ２スイッチ部５２は、たとえば、Ｌ２スイッチＩＣ（Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）であり、同じサブネットに属する機能部１１１間で送受信されるイーサネットフレームを中継するレイヤ２のスイッチ処理を行う。
【００８１】
図４は、本発明の第１の実施の形態に係る車載通信装置におけるＬ２スイッチ部が保持するＡＲＬテーブルの一例を示す図である。
【００８２】
図３および図４を参照して、Ｌ２スイッチ部５２は、たとえば、通信ポート５４Ａ，５４Ｂ，５４Ｃ，５４ＤおよびＬ３中継部５１にそれぞれ接続される複数の端子を有する。各端子には、固有の論理ポート番号が割り当てられている。
【００８３】
この例では、Ｌ３中継部５１、通信ポート５４Ａ、通信ポート５４Ｂ、通信ポート５４Ｃおよび通信ポート５４Ｄに接続された端子の論理ポート番号は、それぞれ＃０、＃１、＃２、＃３および＃４である。
【００８４】
以下、＃１、＃２、＃３の論理ポート番号が割り当てられた端子を、通常端子とも称する。また、＃４の論理ポート番号が割り当てられた端子を、増設用端子とも称する。
【００８５】
Ｌ２スイッチ部５２は、たとえば、ＡＲＬ（Ａｄｄｒｅｓｓ  Ｒｅｓｏｌｕｔｉｏｎ  Ｌｏｇｉｃ）テーブルを保持している。
【００８６】
ＡＲＬテーブルは、送信先ＭＡＣアドレスと出力先との対応関係を示す。ここで、出力先は、論理ポート番号である。
【００８７】
具体的には、ＡＲＬテーブルには、機能部１１１のＭＡＣアドレスと当該機能部１１１を接続先とする端子ここでは通常端子の論理ポート番号との対応関係、および自己の車載通信装置１０１のＭＡＣアドレスとＬ３中継部５１の論理ポート番号との対応関係が含まれる。
【００８８】
ＡＲＬテーブルにおける対応関係は、たとえば、イーサネットケーブルを介して機能部１１１が通信ポート５４に接続され、機能部１１１およびＬ２スイッチ部５２間においてリンクアップが行われる際に登録される。なお、ＡＲＬテーブルにおける対応関係は、たとえば、車載ネットワーク１２において接続関係が固定されている場合、ユーザにより予め定められてもよい。
【００８９】
Ｌ２スイッチ部５２は、通信ポート５４経由で機能部１１１からイーサネットフレームを受信すると、受信したイーサネットフレームに含まれる送信先ＭＡＣアドレスを参照する。
【００９０】
Ｌ２スイッチ部５２は、参照した送信先ＭＡＣアドレスに対応する出力先をＡＲＬテーブルから取得し、受信したイーサネットフレームを、取得した出力先へ出力する。
【００９１】
具体的には、Ｌ２スイッチ部５２は、たとえば、センサ１１１Ｂから自動運転ＥＣＵ１１１Ａへ伝送されるイーサネットフレームのように、同一のサブネット内で伝送されるイーサネットフレームに対しては、参照した送信先ＭＡＣアドレスに対応する論理ポート番号として、＃１〜＃３のうちのいずれか１つを取得する。
【００９２】
そして、Ｌ２スイッチ部５２は、機能部１１１から通信ポート５４経由で受信したイーサネットフレームを、取得した論理ポート番号の端子から他の通信ポート５４経由で他の機能部１１１へ送信する。
【００９３】
一方、Ｌ２スイッチ部５２は、たとえば、自動運転ＥＣＵ１１１Ａからナビゲーション装置１１１Ｃへ伝送されるイーサネットフレームのように、異なるサブネット間で伝送されるイーサネットフレームに対しては、参照した送信先ＭＡＣアドレスに対応する論理ポート番号として、＃０を取得する。
【００９４】
そして、Ｌ２スイッチ部５２は、機能部１１１から通信ポート５４経由で受信したイーサネットフレームをＬ３中継部５１へ出力する。
【００９５】
また、Ｌ２スイッチ部５２は、Ｌ３中継部５１からイーサネットフレームを受けると、受けたイーサネットフレームに含まれる送信先ＭＡＣアドレスを参照する。
【００９６】
Ｌ２スイッチ部５２は、参照した送信先ＭＡＣアドレスに対応する出力先をＡＲＬテーブルから取得し、Ｌ３中継部５１から受けたイーサネットフレームを、取得した出力先に対応する端子から通信ポート５４経由で機能部１１１へ送信する。
【００９７】
［レイヤ３の中継処理］
再び図３を参照して、Ｌ３中継部５１は、複数の機能部１１１のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いてレイヤ３の中継処理を行う。
【００９８】
より詳細には、Ｌ３中継部５１は、Ｌ２スイッチ部５２からイーサネットフレームを受けると、受けたイーサネットフレームの送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスを書き換えるＬ３中継処理を行う。
【００９９】
より詳細には、Ｌ３中継部５１は、たとえば、送信先ネットワークと送出インタフェースとの対応関係を示すルーティングテーブルを保持している。また、Ｌ３中継部５１は、たとえば、対応情報の一例であるＡＲＰ（Ａｄｄｒｅｓｓ  Ｒｅｓｏｌｕｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）テーブルを送出インタフェースごとに保持している。
【０１００】
図５は、本発明の第１の実施の形態に係る車載通信装置におけるＬ３中継部が保持するＡＲＰテーブルの一例を示す図である。
【０１０１】
図５には、たとえば、自動運転ＥＣＵ１１１Ａおよびセンサ１１１Ｂの属するサブネットのＡＲＰテーブルが示される。
【０１０２】
ＡＲＰテーブルにおいて、「ＩＰ−Ａ」および「ＭＡＣ−Ａ」は、それぞれ自動運転ＥＣＵ１１１ＡのＩＰアドレスおよびＭＡＣアドレスである。また、「ＩＰ−Ｂ」および「ＭＡＣ−Ｂ」は、それぞれセンサ１１１ＢのＩＰアドレスおよびＭＡＣアドレスである。
【０１０３】
Ｌ３中継部５１は、Ｌ２スイッチ部５２からイーサネットフレームを受けると、受けたイーサネットフレームに含まれるＩＰパケットから送信先ＩＰアドレスを取得し、たとえば、取得した送信先ＩＰアドレスに対してサブネットマスク計算を行うことにより送信先ネットワークを特定する。
【０１０４】
Ｌ３中継部５１は、ルーティングテーブルを参照し、特定した送信先ネットワークに対応する送出インタフェースを特定する。
【０１０５】
そして、Ｌ３中継部５１は、特定した送出インタフェースに対応するＡＲＰテーブルを参照し、送信先ＩＰアドレスに対応するＭＡＣアドレスを当該ＡＲＰテーブルから取得する。
【０１０６】
Ｌ３中継部５１は、イーサネットフレームの送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスを、それぞれ取得したＭＡＣアドレス、および自己の車載通信装置１０１のＭＡＣアドレスに書き換え、書き換え後のイーサネットフレームをＬ２スイッチ部５２へ出力する。
【０１０７】
［ＡＲＰリクエストフレーム］
図６は、本発明の第１の実施の形態に係る車載通信システムにおいて伝送されるＡＲＰリクエストフレームの一例を示す図である。
【０１０８】
図６を参照して、ＡＲＰリクエストフレームは、ヘッダフィールドと、データフィールドと、ＣＲＣ（Ｃｙｃｌｉｃ  Ｒｅｄｕｎｄａｎｃｙ  Ｃｈｅｃｋ）フィールドとを有する。
【０１０９】
ヘッダフィールドには、送信先ＭＡＣアドレス、送信元ＭＡＣアドレスおよびタイプが格納される。
【０１１０】
データフィールドには、ハードウェアタイプ、プロトコルタイプ、ハードウェアアドレス長、プロトコルアドレス長、オペレーション、送信元ハードウェアアドレス、送信元プロトコルアドレス、送信先ハードウェアアドレスおよび送信先プロトコルアドレスが格納される。ＣＲＣフィールドには、ＣＲＣ値が格納される。
【０１１１】
図３および図６を参照して、たとえば、新たな機能部１１１（以下、加入装置とも称する。）が、イーサネットケーブルを介して通信ポート５４Ｄに接続された状況を想定する。ここでは、加入装置のＩＰアドレスおよびＭＡＣアドレスは、それぞれ「ＩＰ−Ｄ」および「ＭＡＣ−Ｄ」である。「ＩＰ−Ｄ」は、たとえば、自動運転ＥＣＵ１１１Ａおよびセンサ１１１Ｂの属するサブネットのアドレス範囲に含まれる。
【０１１２】
加入装置は、たとえば、ＩＰプロトコルに従う通信を行うためにアドレス解決を行う。具体的には、加入装置は、たとえば、デフォルトゲートウェイである車載通信装置１０１のＩＰアドレスを保持しているが、当該ＩＰアドレスに対応するＭＡＣアドレスを保持していない。加入装置は、車載通信装置１０１のＭＡＣアドレスを取得することを目的として、図６に示すＡＲＰリクエストフレームをブロードキャストする。
【０１１３】
この場合、ＡＲＰリクエストフレームでは、各フィールドに以下の値が設定される。すなわち、ヘッダフィールドにおける送信先ＭＡＣアドレス、送信元ＭＡＣアドレスおよびタイプの設定値は、それぞれ「ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ」、「ＭＡＣ−Ｄ」および「０ｘ０８０６」である。ここで、「０ｘ」で始まる数字は、「０ｘ」以降の数字が１６進数で表されていることを意味する。
【０１１４】
データフィールドにおけるハードウェアタイプ、プロトコルタイプ、ハードウェアアドレス長、プロトコルアドレス長およびオペレーションの設定値は、それぞれ「０ｘ０００１」、「０ｘ０８００」、「０ｘ０６」、「０ｘ０４」および「０ｘ０００１」である。
【０１１５】
また、データフィールドにおける送信元ハードウェアアドレス、送信元プロトコルアドレス、送信先ハードウェアアドレスおよび送信先プロトコルアドレスの設定値は、それぞれ「ＭＡＣ−Ｄ」、「ＩＰ−Ｄ」、ゼロおよび車載通信装置１０１のＩＰアドレスである。
【０１１６】
車載通信装置１０１におけるＬ２スイッチ部５２は、加入装置から通信ポート５４Ｄ経由でＡＲＰリクエストフレームを受信すると、受信したＡＲＰリクエストフレームをＬ３中継部５１へ出力する。
【０１１７】
Ｌ３中継部５１は、Ｌ２スイッチ部５２からＡＲＰリクエストフレームを受けると、受けたＡＲＰリクエストフレームをアドレス管理部５５へ出力する。
【０１１８】
図７は、本発明の第１の実施の形態に係る車載通信装置におけるＬ３中継部が保持するＡＲＰテーブルの一例を示す図である。
【０１１９】
図７を参照して、アドレス管理部５５は、対応情報を作成する。詳細には、アドレス管理部５５は、たとえば、Ｌ３中継部５１を介して機能部１１１から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を対応情報に登録する。
【０１２０】
より詳細には、アドレス管理部５５は、Ｌ３中継部５１からＡＲＰリクエストフレームを受けると、受けたＡＲＰリクエストフレームに含まれる送信先プロトコルアドレスが自己の車載通信装置１０１のＩＰアドレスであることから、当該ＡＲＰリクエストフレームが自己宛であることを認識する。
【０１２１】
アドレス管理部５５は、ＡＲＰリクエストフレームに含まれる送信元プロトコルアドレスすなわち「ＩＰ−Ｄ」および送信元ハードウェアアドレスすなわち「ＭＡＣ−Ｄ」を、図７に示すようにＡＲＰテーブルに登録する。このようにして、ＡＲＰテーブルが作成される。
【０１２２】
ＡＲＰテーブルにおける「ＩＰ−Ａ」および「ＭＡＣ−Ａ」、ならびに「ＩＰ−Ｂ」および「ＭＡＣ−Ｂ」もＡＲＰリクエストフレームに基づいて登録されたアドレスである。
【０１２３】
再び図３を参照して、アドレス管理部５５は、たとえば、送信元ハードウェアアドレスおよび送信元プロトコルアドレスとして、それぞれ自己の車載通信装置１０１のＭＡＣアドレスおよびＩＰアドレスを含むＡＲＰリプライフレームを作成し、作成したＡＲＰリプライフレームをＬ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４Ｄ経由で加入装置へ送信する。
【０１２４】
加入装置は、車載通信装置１０１からＡＲＰリプライフレームを受信すると、受信したＡＲＰリプライフレームから送信元ハードウェアアドレスを取得し、取得した送信元ハードウェアアドレスを、車載通信装置１０１のＩＰアドレスに対応するＭＡＣアドレスとして保持する。これにより、加入装置と車載通信装置１０１との間において通信接続が確立する。
【０１２５】
［課題］
たとえば、正当な機能部１１１に成りすました新たな機能部（以下、偽機能部とも称する。）が、車載通信装置１０１に接続されることがある。
【０１２６】
より詳細には、偽機能部は、たとえば、自動運転ＥＣＵ１１１Ａに成りすますことにより自動運転ＥＣＵ１１１Ａおよび車載通信装置１０１間の通信を妨害することを目的として、悪意を持ったユーザによって車載通信装置１０１における通信ポート５４Ｄに接続される。ここでは、偽機能部のＭＡＣアドレスは、「ＭＡＣ−Ｚ」であるとする。
【０１２７】
偽機能部は、自動運転ＥＣＵ１１１Ａに成りすますために、たとえば、以下のＡＲＰリクエストフレームを作成する（図６参照）。
【０１２８】
すなわち、このＡＲＰリクエストフレームでは、ヘッダフィールドにおける送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスの設定値は、それぞれ「ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ」および「ＭＡＣ−Ｚ」である。
【０１２９】
また、データフィールドにおける送信元ハードウェアアドレスおよび送信元プロトコルアドレスは、「ＭＡＣ−Ｘ」および「ＩＰ−Ａ」である。この「ＭＡＣ−Ｘ」は、たとえば、車載通信装置１０１におけるＡＲＰテーブルに対して誤ったＭＡＣアドレスを学習させるための架空のアドレスである。
【０１３０】
その他の設定値は、加入装置が作成したＡＲＰリクエストフレームにおける設定値と同様である。偽機能部は、作成したＡＲＰリクエストフレームをブロードキャストする。
【０１３１】
図８は、本発明の第１の実施の形態に係る車載通信装置におけるＬ３中継部が保持するＡＲＰテーブルの一例を示す図である。
【０１３２】
図３および図８を参照して、車載通信装置１０１におけるアドレス管理部５５は、通信ポート５４Ｄ、Ｌ２スイッチ部５２およびＬ３中継部５１経由でＡＲＰリクエストフレームを偽機能部から受信すると、受信したＡＲＰリクエストフレームに含まれる送信先プロトコルアドレスが自己の車載通信装置１０１のＩＰアドレスであることから、当該ＡＲＰリクエストフレームが自己宛であることを認識する。
【０１３３】
たとえば、アドレス管理部５５が、ＡＲＰリクエストフレームに含まれる送信元プロトコルアドレスすなわち「ＩＰ−Ａ」および送信元ハードウェアアドレスすなわち「ＭＡＣ−Ｘ」を、図８に示すようにＡＲＰテーブルに登録してしまうと、以下の問題が発生する。
【０１３４】
すなわち、アドレス管理部５５が対応関係を誤学習することにより、図５に示す正当なＡＲＰテーブルが、図８に示すＡＲＰテーブルに改変される。
【０１３５】
このため、自動運転ＥＣＵ１１１Ａは、自己のＭＡＣアドレスが「ＭＡＣ−Ａ」であるにもかかわらず車載通信装置１０１におけるＡＲＰテーブルにおいて「ＭＡＣ−Ｘ」が誤登録されたため、車載ネットワーク１２において正常に通信を行うことができなくなってしまう。
【０１３６】
また、他の例として、たとえば、車載通信装置１０１の増設用ポートに検査ツールが機能部１１１として接続される状況において、偽機能部が検査ツールの通信を妨害することがある。
【０１３７】
より詳細には、検査ツールは、たとえば、スイッチ装置を介して車載通信装置１０１における増設用ポートに接続される。このスイッチ装置には、偽機能部も接続される。
【０１３８】
なお、検査ツールおよび偽機能部が、スイッチ装置を介して車載通信装置１０１における増設用ポートに接続される構成に限らず、たとえば、車載通信装置１０１に複数の増設用ポートが設けられている場合、検査ツールおよび偽機能部が、それぞれ別個の増設用ポートに接続される構成であってもよい。
【０１３９】
検査ツールは、たとえば、車載通信装置１０１および機能部１１１におけるファームウェアの更新および検査を行うために、車載通信装置１０１および機能部１１１と通信を行う。
【０１４０】
車載通信装置１０１には、検査ツールのＩＰアドレスとＭＡＣアドレスとの対応関係が登録されている。
【０１４１】
偽機能部は、検査ツールに成りすますために、たとえば、以下のＡＲＰリクエストフレームを作成する（図６参照）。
【０１４２】
すなわち、このＡＲＰリクエストフレームでは、ヘッダフィールドにおける送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスの設定値は、それぞれ「ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ」および「ＭＡＣ−Ｚ」である。
【０１４３】
また、データフィールドにおける送信元ハードウェアアドレスおよび送信元プロトコルアドレスは、「ＭＡＣ−Ｘ」および検査ツールのＩＰアドレスである。
【０１４４】
その他の設定値は、加入装置が作成したＡＲＰリクエストフレームにおける設定値と同様である。偽機能部は、作成したＡＲＰリクエストフレームをブロードキャストする。
【０１４５】
車載通信装置１０１では、このＡＲＰリクエストフレームによってＡＲＰテーブルが改変される。このため、検査ツールによるファームウェアの更新および検査が遮断されてしまう。
【０１４６】
そこで、本発明の実施の形態に係る車載通信装置では、以下のような構成および動作により、このような課題を解決する。
【０１４７】
図３を参照して、アドレス管理部５５は、たとえば、Ｌ３中継部５１を介して機能部１１１から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＭＡＣアドレスと当該フレームのヘッダフィールドに含まれる送信元ＭＡＣアドレスとが一致しない場合、以下の処理を行う。
【０１４８】
すなわち、アドレス管理部５５は、当該データフィールドに含まれるＩＰアドレスとＭＡＣアドレスとの対応関係を対応情報に登録しない。
【０１４９】
具体的には、アドレス管理部５５は、機能部１１１から受信したＡＲＰリクエストフレームのヘッダフィールドにおける送信元ＭＡＣアドレス、およびデータフィールドにおける送信元ハードウェアアドレスが一致するか否かを確認する。
【０１５０】
より具体的には、アドレス管理部５５は、たとえば、偽機能部から受信したＡＲＰリクエストフレームについては、送信元ＭＡＣアドレスおよび送信元ハードウェアアドレスがそれぞれ「ＭＡＣ−Ｚ」および「ＭＡＣ−Ｘ」であることから、両アドレスが一致しないことを確認する。
【０１５１】
この場合、アドレス管理部５５は、ＡＲＰリクエストフレームに含まれる送信元プロトコルアドレスすなわち「ＩＰ−Ａ」および送信元ハードウェアアドレスすなわち「ＭＡＣ−Ｘ」をＡＲＰテーブルに登録しない。また、アドレス管理部５５は、ＡＲＰリクエストフレームを破棄する。これにより、図５に示すＡＲＰテーブルを正当なまま維持することができる。
【０１５２】
一方、アドレス管理部５５は、たとえば、加入装置から受信したＡＲＰリクエストフレームについては、送信元ＭＡＣアドレスおよび送信元ハードウェアアドレスがそれぞれ「ＭＡＣ−Ｄ」および「ＭＡＣ−Ｄ」であることから、両アドレスが一致することを確認する。
【０１５３】
この場合、アドレス管理部５５は、ＡＲＰリクエストフレームに含まれる送信元プロトコルアドレスすなわち「ＩＰ−Ｄ」および送信元ハードウェアアドレスすなわち「ＭＡＣ−Ｄ」をＡＲＰテーブルに登録する。これにより、図５に示すＡＲＰテーブルは、図７に示すＡＲＰテーブルに更新され、加入装置は車載ネットワーク１２において正常に通信を行うことができる。
【０１５４】
なお、本発明の第１の実施の形態係る車載通信装置では、アドレス管理部５５は、偽機能部からのデータフィールドに含まれるＩＰアドレスとＭＡＣアドレスとの対応関係を対応情報に登録しない構成であるとしたが、これに限定するものではない。アドレス管理部５５は、当該対応関係を対応情報から削除する構成であってもよい。
【０１５５】
具体的には、たとえば、図８に示すように、「ＩＰ−Ａ」および「ＭＡＣ−Ｘ」の組がＡＲＰテーブルに登録されている状況において、アドレス管理部５５は、ＡＲＰリクエストフレームを偽機能部から受信すると、以下の処理を行う。
【０１５６】
すなわち、アドレス管理部５５は、偽機能部から受信したＡＲＰリクエストフレームにおいて、送信元ＭＡＣアドレスおよび送信元ハードウェアアドレスがそれぞれ「ＭＡＣ−Ｚ」および「ＭＡＣ−Ｘ」であることから、両アドレスが一致しないことを確認する。
【０１５７】
そして、アドレス管理部５５は、ＡＲＰリクエストフレームに含まれる送信元プロトコルアドレスすなわち「ＩＰ−Ａ」および送信元ハードウェアアドレスすなわち「ＭＡＣ−Ｘ」に基づいて、図８に示すＡＲＰテーブルから「ＩＰ−Ａ」および「ＭＡＣ−Ｘ」の組を削除する。
【０１５８】
［動作の流れ］
車載通信システム３０１における各装置は、コンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のシーケンス図またはフローチャートの各ステップの一部または全部を含むプログラムを図示しないメモリからそれぞれ読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。
【０１５９】
図９は、本発明の第１の実施の形態に係る車載通信システムにおける車載通信装置が、受信したＡＲＰリクエストフレームを処理する際の動作手順を定めたフローチャートである。
【０１６０】
図９を参照して、まず、車載通信装置１０１は、ＡＲＰリクエストフレームを受信するまで、機能部１１１間のデータを中継する中継処理を行う（ステップＳ１０２でＮＯ）。
【０１６１】
そして、車載通信装置１０１は、ＡＲＰリクエストフレームを受信すると（ステップＳ１０２でＹＥＳ）、受信したＡＲＰリクエストフレームのヘッダフィールドにおける送信元ＭＡＣアドレスとデータフィールドにおける送信元ハードウェアアドレスとを比較する（ステップＳ１０４）。
【０１６２】
次に、車載通信装置１０１は、両アドレスが一致しない場合（ステップＳ１０６でＮＯ）、受信したＡＲＰリクエストフレームのデータフィールドにおける送信元プロトコルアドレスおよび送信元ハードウェアアドレスをＡＲＰテーブルに登録せずにＡＲＰリクエストフレームを破棄し、受信したＡＲＰリクエストフレームの処理を終了する（ステップＳ１１０）。
【０１６３】
一方、車載通信装置１０１は、両アドレスが一致する場合（ステップＳ１０６でＹＥＳ）、受信したＡＲＰリクエストフレームのデータフィールドにおける送信元プロトコルアドレスおよび送信元ハードウェアアドレスをＡＲＰテーブルに登録する（ステップＳ１０８）。
【０１６４】
次に、車載通信装置１０１は、新たなＡＲＰリクエストフレームを受信するまで中継処理を行う（ステップＳ１０２でＮＯ）。
【０１６５】
なお、車載通信装置１０１は、上記ステップＳ１１０において、たとえば、受信したＡＲＰリクエストフレームのデータフィールドにおける送信元プロトコルアドレスおよび送信元ハードウェアアドレスの組がＡＲＰテーブルに登録されていた場合、ＡＲＰリクエストフレームの破棄に加えて、当該組のＡＲＰテーブルからの削除を行ってもよい。
【０１６６】
［車載通信システム３０１の変形例］
車載通信システム３０１では、ＩＰｖ４プロトコルに従って通信が行われる構成であるとしたが、これに限定するものではない。車載通信システム３０１では、ＩＰｖ６プロトコルに従って通信が行われる構成であってもよい。
【０１６７】
［ＮＤフレーム］
図１０は、本発明の第１の実施の形態に係る車載通信システムの変形例において伝送されるＮＤフレームの一例を示す図である。
【０１６８】
図１０を参照して、ＮＤ（Ｎｅｉｇｈｂｏｒ  Ｄｉｓｃｏｖｅｒｙ）フレームは、ヘッダフィールドと、データフィールドと、ＣＲＣフィールドとを有する。
【０１６９】
ヘッダフィールドには、送信先ＭＡＣアドレス、送信元ＭＡＣアドレスおよびタイプが格納される。
【０１７０】
データフィールドには、ＩＰｖ６ヘッダおよびＩＰｖ６メッセージが格納される。ＩＰｖ６ヘッダには、送信元ＩＰｖ６アドレスおよび宛先ＩＰｖ６アドレスが格納される。ＩＰｖ６メッセージには、メッセージタイプ、ターゲットＩＰｖ６アドレスおよびＬ２アドレスが格納される。ＣＲＣフィールドには、ＣＲＣ値が格納される。
【０１７１】
メッセージタイプの設定値が１３５のＮＤフレームは、ＩＰｖ４におけるＡＲＰリクエストフレームに相当するＮＳ（Ｎｅｉｇｈｂｏｒ  Ｓｏｌｉｃｉｔａｔｉｏｎ）フレームである。
【０１７２】
また、メッセージタイプの設定値が１３６のＮＤフレームは、ＩＰｖ４におけるＡＲＰリプライフレームに相当するＮＡ（Ｎｅｉｇｈｂｏｒ  Ａｄｖｅｒｔｉｓｅｍｅｎｔ）フレームである。
【０１７３】
［ＩＰｖ６におけるＮＤキャッシュ］
図３および図１０を参照して、たとえば、加入装置は、イーサネットケーブルを介して通信ポート５４Ｄに新たに接続された状況において、以下のＮＳフレームを作成し、作成したＮＳフレームをマルチキャストする。
【０１７４】
すなわち、ヘッダフィールドにおける送信先ＭＡＣアドレスの設定値は、車載通信装置１０１の要請ノードマルチキャストアドレスに基づくＩＰｖ６マルチキャストのＭＡＣアドレスである。また、ヘッダフィールドにおける送信元ＭＡＣアドレスの設定値は、「ＭＡＣ−Ｄ」である。
【０１７５】
データフィールドのＩＰｖ６ヘッダにおける送信元ＩＰｖ６アドレスおよび宛先ＩＰｖ６アドレスの設定値は、それぞれ加入装置のグローバルユニキャストアドレスである「ＩＰｖ６−Ｄ」および車載通信装置１０１の要請ノードマルチキャストアドレスである。
【０１７６】
データフィールドのＩＰｖ６メッセージにおけるメッセージタイプ、ターゲットＩＰｖ６アドレスおよびＬ２アドレスの設定値は、それぞれ「１３５」、車載通信装置１０１のグローバルユニキャストアドレスおよび「ＭＡＣ−Ｄ」である。
【０１７７】
図１１は、本発明の第１の実施の形態に係る車載通信システムの変形例における車載通信装置のＬ３中継部が保持するＮＤキャッシュの一例を示す図である。
【０１７８】
図１１を参照して、Ｌ３中継部５１は、たとえば、送信先ネットワークと送出インタフェースとの対応関係を示すルーティングテーブルを保持している。また、Ｌ３中継部５１は、たとえば、対応情報の一例であるＮＤキャッシュを送出インタフェースごとに保持している。
【０１７９】
アドレス管理部５５は、通信ポート５４Ｄ、Ｌ２スイッチ部５２およびＬ３中継部５１経由で加入装置からＮＳフレームを受信すると、受信したＮＳフレームに含まれるターゲットＩＰｖ６アドレスが自己のグローバルユニキャストアドレスであることから、当該ＮＳフレームが自己宛であることを認識する。
【０１８０】
そして、アドレス管理部５５は、受信したＮＳフレームのヘッダフィールドにおける送信元ＭＡＣアドレス、およびデータフィールドにおけるＬ２アドレスが一致するか否かを確認する。
【０１８１】
この場合、アドレス管理部５５は、たとえば、送信元ＭＡＣアドレスおよびＬ２アドレスがそれぞれ「ＭＡＣ−Ｄ」および「ＭＡＣ−Ｄ」であることから、両アドレスが一致することを確認する。
【０１８２】
アドレス管理部５５は、ＮＳフレームに含まれる送信元ＩＰｖ６アドレスすなわち「ＩＰｖ６−Ｄ」およびＬ２アドレスすなわち「ＭＡＣ−Ｄ」を、図１１に示すようにＮＤキャッシュに登録する。このようにして、ＮＤキャッシュが作成される。
【０１８３】
ＮＤキャッシュにおける「ＩＰｖ６−Ａ」および「ＭＡＣ−Ａ」、ならびに「ＩＰｖ６−Ｂ」および「ＭＡＣ−Ｂ」もＮＳフレームに基づいて登録されたアドレスである。ここで、「ＩＰｖ６−Ａ」および「ＩＰｖ６−Ｂ」は、それぞれ自動運転ＥＣＵ１１１Ａおよびセンサ１１１ＢのＩＰｖ６アドレスである。
【０１８４】
再び図３を参照して、アドレス管理部５５は、たとえば、メッセージタイプ、ターゲットＩＰｖ６アドレスおよびＬ２アドレスとして、それぞれ「１３６」、自己の車載通信装置１０１のグローバルユニキャストアドレスおよび自己の車載通信装置１０１のＭＡＣアドレスを含むＮＡフレームを作成し、作成したＮＡフレームをＬ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４Ｄ経由で加入装置へ送信する。
【０１８５】
加入装置は、車載通信装置１０１からＮＡフレームを受信すると、受信したＮＡフレームからＬ２アドレスを取得し、取得したＬ２アドレスを、車載通信装置１０１のＩＰｖ６アドレスに対応するＭＡＣアドレスとして保持する。これにより、加入装置と車載通信装置１０１との間において通信接続が確立する。
【０１８６】
［ＩＰｖ６における偽装したＮＳフレーム］
偽機能部は、自動運転ＥＣＵ１１１Ａに成りすますために、たとえば、以下のＮＳフレームを作成し、作成したＮＳフレームをマルチキャストする。
【０１８７】
すなわち、このＮＳフレームでは、ヘッダフィールドにおける送信先ＭＡＣアドレスの設定値は、車載通信装置１０１の要請ノードマルチキャストアドレスに基づくＩＰｖ６マルチキャストのＭＡＣアドレスである。また、ヘッダフィールドにおける送信元ＭＡＣアドレスの設定値は、「ＭＡＣ−Ｚ」である（図１０参照）。
【０１８８】
また、データフィールドにおける送信元ＩＰｖ６アドレスおよびＬ２アドレスは、それぞれ「ＩＰｖ６−Ａ」および「ＭＡＣ−Ｘ」である。その他の設定値は、加入装置が作成したＮＳフレームにおける設定値と同様である。
【０１８９】
車載通信装置１０１におけるアドレス管理部５５は、通信ポート５４Ｄ、Ｌ２スイッチ部５２およびＬ３中継部５１経由で偽機能部からＮＳフレームを受信すると、受信したＮＳフレームに含まれるターゲットＩＰｖ６アドレスが自己のグローバルユニキャストアドレスであることから、当該ＮＳフレームが自己宛であることを認識する。
【０１９０】
そして、アドレス管理部５５は、受信したＮＳフレームのヘッダフィールドにおける送信元ＭＡＣアドレス、およびデータフィールドにおけるＬ２アドレスが一致するか否かを確認する。
【０１９１】
この場合、アドレス管理部５５は、送信元ＭＡＣアドレスおよびＬ２アドレスがそれぞれ「ＭＡＣ−Ｚ」および「ＭＡＣ−Ｘ」であることから、両アドレスが一致しないことを確認する。
【０１９２】
アドレス管理部５５は、ＮＳフレームに含まれる送信元ＩＰｖ６アドレスすなわち「ＩＰｖ６−Ａ」およびＬ２アドレスすなわち「ＭＡＣ−Ｘ」をＮＤキャッシュに登録しない。また、アドレス管理部５５は、ＮＳフレームを破棄する。これにより、ＮＤキャッシュを正当なまま維持することができる。
【０１９３】
［動作の流れ］
図１２は、本発明の第１の実施の形態に係る車載通信システムの変形例における車載通信装置が、受信したＮＳフレームを処理する際の動作手順を定めたフローチャートである。
【０１９４】
図１２を参照して、まず、車載通信装置１０１は、ＮＳフレームを受信するまで、機能部１１１間のデータを中継する中継処理を行う（ステップＳ２０２でＮＯ）。
【０１９５】
そして、車載通信装置１０１は、ＮＳフレームを受信すると（ステップＳ２０２でＹＥＳ）、受信したＮＳフレームのヘッダフィールドにおける送信元ＭＡＣアドレスとデータフィールドにおけるＬ２アドレスとを比較する（ステップＳ２０４）。
【０１９６】
次に、車載通信装置１０１は、両アドレスが一致しない場合（ステップＳ２０６でＮＯ）、受信したＮＳフレームのデータフィールドにおける送信元ＩＰｖ６アドレスおよびＬ２アドレスをＮＤキャッシュに登録せずにＮＳフレームを破棄し、受信したＮＳフレームの処理を終了する（ステップＳ２１０）。
【０１９７】
一方、車載通信装置１０１は、両アドレスが一致する場合（ステップＳ２０６でＹＥＳ）、受信したＮＳフレームのデータフィールドにおける送信元ＩＰｖ６アドレスおよびＬ２アドレスをＮＤキャッシュに登録する（ステップＳ２０８）。
【０１９８】
次に、車載通信装置１０１は、新たなＮＳフレームを受信するまで中継処理を行う（ステップＳ２０２でＮＯ）。
【０１９９】
なお、車載通信装置１０１は、上記ステップＳ２１０において、たとえば、受信したＮＳフレームのデータフィールドにおける送信元ＩＰｖ６アドレスおよびＬ２アドレスの組がＮＤキャッシュに登録されていた場合、ＮＳフレームの破棄に加えて、当該組のＮＤキャッシュからの削除を行ってもよい。
【０２００】
また、本発明の第１の実施の形態に係る車載通信装置では、ＡＲＰテーブルおよびＮＤキャッシュにおいて、ＩＰアドレスおよびＭＡＣアドレスの複数の組が登録されるケースについて例示したが、これに限定するものではない。車載ネットワークにおける接続関係に応じて、ＡＲＰテーブルおよびＮＤキャッシュにおいて１つの上記組が登録されるケースがあってもよい。
【０２０１】
ところで、特許文献１に記載の車載ネットワークでは、車載制御装置からのデータを中継する通信ゲートウェイが設けられる。
【０２０２】
たとえば、通信ゲートウェイがレイヤ３の中継処理を行う場合、車載制御装置のＩＰアドレスおよびＭＡＣアドレスの対応関係を示す対応情報が用いられる。この対応情報が不正に改ざんされると、車載制御装置からのデータが適切に中継されなくなるため、車載ネットワークにおける通信が正常に行われなくなる。
【０２０３】
これに対して、本発明の第１の実施の形態に係る車載通信装置は、車載ネットワークにおける機能部１１１間のデータを中継する中継処理を行う。Ｌ３中継部５１は、１または複数の機能部１１１のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて中継処理を行う。アドレス管理部５５は、対応情報を作成する。アドレス管理部５５は、Ｌ３中継部５１を介して機能部１１１から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を対応情報に登録する。そして、アドレス管理部５５は、当該送信元ＭＡＣアドレスと当該フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、当該対応関係を対応情報に登録しないかまたは対応情報から削除する。
【０２０４】
データフィールドに含まれる送信元ＭＡＣアドレスとヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、不正なフレームである可能性が高い。上記の構成により、不正なフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの誤った対応関係が対応情報に登録され続けることを防ぐことができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。これにより、機能部１１１からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
【０２０５】
次に、本発明の他の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。
【０２０６】
＜第２の実施の形態＞
本実施の形態は、第１の実施の形態に係る車載通信装置と比べて、機能部の認証を行う車載通信装置に関する。以下で説明する内容以外は第１の実施の形態に係る車載通信装置と同様である。
【０２０７】
本発明の第２の実施の形態に係る車載通信システムでは、ＩＰｖ４プロトコルに従って通信が行われる。
【０２０８】
［課題］
ＩＰｖ４プロトコルに従う車載ネットワーク１２では、偽機能部は、ヘッダフィールドにおける送信元ＭＡＣアドレスおよびデータフィールドにおける送信元ハードウェアアドレスを同じアドレスに設定したＡＲＰリクエストフレームを作成することがある（図６参照）。
【０２０９】
このようなＡＲＰリクエストフレームに対しては、送信元ＭＡＣアドレスおよび送信元ハードウェアアドレスが一致するか否かに基づいて、ＡＲＰテーブルに誤学習させるためのＡＲＰリクエストフレームを検知することが困難である。
【０２１０】
図１３は、本発明の第２の実施の形態に係る車載通信システムにおける車載通信装置の構成を示す図である。
【０２１１】
図１３を参照して、車載通信装置１０２は、Ｌ３中継部（通信部）５１と、Ｌ２スイッチ部５２と、認証部５３と、通信ポート５４Ａ，５４Ｂ，５４Ｃ，５４Ｄと、アドレス管理部６５とを備える。
【０２１２】
車載通信装置１０２におけるＬ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４の動作は、図３に示す車載通信装置１０１におけるＬ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４とそれぞれ同様である。
【０２１３】
なお、車載通信装置１０２では、４つの通信ポート５４が設けられる構成に限らず、２つ、３つまたは５つ以上の通信ポート５４が設けられる構成であってもよい。
【０２１４】
［加入装置からのＡＲＰリクエストフレーム］
たとえば、加入装置が、イーサネットケーブルを介して通信ポート５４Ｄに新たに接続された状況を想定する。ここでは、加入装置のＩＰアドレスおよびＭＡＣアドレスは、それぞれ「ＩＰ−Ｄ」および「ＭＡＣ−Ｄ」である。
【０２１５】
加入装置は、車載通信装置１０２のＭＡＣアドレスを取得することを目的として、図６に示すＡＲＰリクエストフレームをブロードキャストする。
【０２１６】
この場合、ＡＲＰリクエストフレームでは、各フィールドに以下の値が設定される。すなわち、ヘッダフィールドにおける送信先ＭＡＣアドレス、送信元ＭＡＣアドレスおよびタイプの設定値は、それぞれ「ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ」、「ＭＡＣ−Ｄ」および「０ｘ０８０６」である。
【０２１７】
データフィールドにおける送信元ハードウェアアドレス、送信元プロトコルアドレス、送信先ハードウェアアドレスおよび送信先プロトコルアドレスの設定値は、それぞれ「ＭＡＣ−Ｄ」、「ＩＰ−Ｄ」、ゼロおよび車載通信装置１０２のＩＰアドレスである。
【０２１８】
車載通信装置１０２におけるアドレス管理部６５は、通信ポート５４Ｄ、Ｌ２スイッチ部５２およびＬ３中継部５１経由でＡＲＰリクエストフレームを加入装置から受信すると、受信したＡＲＰリクエストフレームに含まれる送信先プロトコルアドレスが自己の車載通信装置１０２のＩＰアドレスであることから、当該ＡＲＰリクエストフレームが自己宛であることを認識する。
【０２１９】
アドレス管理部６５は、ＡＲＰリクエストフレームに含まれる送信元プロトコルアドレスすなわち「ＩＰ−Ｄ」および送信元ハードウェアアドレスすなわち「ＭＡＣ−Ｄ」をＡＲＰテーブルに登録する（図７参照）。
【０２２０】
アドレス管理部６５は、送信元ハードウェアアドレスおよび送信元プロトコルアドレスとして、それぞれ自己の車載通信装置１０２のＭＡＣアドレスおよびＩＰアドレスを含むＡＲＰリプライフレームを作成し、作成したＡＲＰリプライフレームをＬ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４Ｄ経由で加入装置へ送信する。
【０２２１】
また、アドレス管理部６５は、ＡＲＰテーブルに新たに登録したＩＰアドレスおよびＭＡＣアドレスの組すなわち「ＩＰ−Ｄ」および「ＭＡＣ−Ｄ」の組を示す登録アドレス情報を認証部５３へ出力する。
【０２２２】
認証部５３は、機能部１１１に対する認証処理を行う。詳細には、認証部５３は、アドレス管理部６５によって対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された機能部１１１に対して認証処理を行う。
【０２２３】
より詳細には、認証部５３は、アドレス管理部６５から登録アドレス情報を受けると、受けた登録アドレス情報の示す「ＩＰ−Ｄ」および「ＭＡＣ−Ｄ」を宛先に用いて、認証用のＩＰパケットを作成する。
【０２２４】
認証部５３は、Ｌ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４Ｄを介して加入装置と認証用のＩＰパケットをやり取りすることにより加入装置の認証を試みる。
【０２２５】
ここでは、認証部５３は、加入装置の認証に成功し、加入装置からのＩＰパケット、および加入装置宛のＩＰパケットに対するＬ３中継処理の許可をＬ３中継部５１に与える。これにより、加入装置と車載通信装置１０２との間においてセキュリティを保ちながらＩＰパケットの送受信が行われる。また、認証部５３は、認証結果をアドレス管理部６５へ通知する。
【０２２６】
アドレス管理部６５は、たとえば、新たに登録された機能部１１１の認証処理が成功した後、所定条件Ｃ１を満たすまで新たに登録した対応関係の書き換えを不可とする。ここで、所定条件Ｃ１は、たとえば、新たに登録された機能部１１１の通信が所定時間Ｔ１以上途絶えたことである。
【０２２７】
より詳細には、アドレス管理部６５は、認証が成功した旨の通知を認証部５３から受けると、たとえば、登録アドレス情報の示す「ＩＰ−Ｄ」および「ＭＡＣ−Ｄ」の組がＡＲＰテーブル（図７参照）に登録されたタイミングから所定時間Ｔ１が経過するタイミングまでの当該組の書き替え不可期間を設定する。
【０２２８】
また、アドレス管理部６５は、ＡＲＰテーブルにおける「ＩＰ−Ｄ」および「ＭＡＣ−Ｄ」の組のＬ３中継部５１による使用を監視する。
【０２２９】
アドレス管理部６５は、Ｌ３中継部５１が「ＩＰ−Ｄ」および「ＭＡＣ−Ｄ」の組を使用すると、書き替え不可期間の終了タイミングを、Ｌ３中継部５１が使用したタイミングから所定時間Ｔ１経過後のタイミングに延長する。
【０２３０】
アドレス管理部６５は、書き替え不可期間が終了するまで「ＩＰ−Ｄ」および「ＭＡＣ−Ｄ」の組の書き換えを許可せず、書き替え不可期間が終了すると、「ＩＰ−Ｄ」および「ＭＡＣ−Ｄ」の組の書き換えを許可する。
【０２３１】
［偽機能部からのＡＲＰリクエストフレーム］
偽機能部は、たとえば、自動運転ＥＣＵ１１１Ａに成りすますことにより自動運転ＥＣＵ１１１Ａおよび車載通信装置１０２間の通信を妨害することを目的として、悪意を持ったユーザによって車載通信装置１０２における通信ポート５４Ｄに接続される。ここでは、偽機能部のＭＡＣアドレスは、「ＭＡＣ−Ｘ」であるとする。
【０２３２】
偽機能部は、自動運転ＥＣＵ１１１Ａに成りすますために、たとえば、以下のＡＲＰリクエストフレームを作成する（図６参照）。
【０２３３】
すなわち、このＡＲＰリクエストフレームでは、ヘッダフィールドにおける送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスの設定値は、それぞれ「ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ」および「ＭＡＣ−Ｘ」である。
【０２３４】
また、データフィールドにおける送信元ハードウェアアドレスおよび送信元プロトコルアドレスの設定値は、それぞれ「ＭＡＣ−Ｘ」および「ＩＰ−Ａ」である。
【０２３５】
その他の設定値は、加入装置が作成したＡＲＰリクエストフレームにおける設定値と同様である。偽機能部は、作成したＡＲＰリクエストフレームをブロードキャストする。
【０２３６】
車載通信装置１０２におけるアドレス管理部６５は、通信ポート５４Ｄ、Ｌ２スイッチ部５２およびＬ３中継部５１経由でＡＲＰリクエストフレームを偽機能部から受信すると、受信したＡＲＰリクエストフレームに含まれる送信先プロトコルアドレスが自己の車載通信装置１０２のＩＰアドレスであることから、当該ＡＲＰリクエストフレームが自己宛であることを認識する。
【０２３７】
アドレス管理部６５は、受信したＡＲＰリクエストフレームに基づいて、送信元プロトコルアドレスすなわち「ＩＰ−Ａ」および送信元ハードウェアアドレスすなわち「ＭＡＣ−Ｘ」をＡＲＰテーブルに登録する（図８参照）。
【０２３８】
また、アドレス管理部６５は、ＡＲＰテーブルに新たに登録したＩＰアドレスおよびＭＡＣアドレスの組すなわち「ＩＰ−Ａ」および「ＭＡＣ−Ｘ」の組を示す登録アドレス情報を認証部５３へ出力する。
【０２３９】
認証部５３は、アドレス管理部６５から登録アドレス情報を受けると、受けた登録アドレス情報の示す「ＩＰ−Ａ」および「ＭＡＣ−Ｘ」を宛先に用いて、認証用のＩＰパケットを作成する。
【０２４０】
認証部５３は、Ｌ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４Ｄを介して認証用のＩＰパケットを偽機能部へ送信し、偽機能部と認証用のＩＰパケットをやり取りすることにより加入装置の認証を試みる。
【０２４１】
ここでは、偽機能部が正当な機能部１１１ではないため、認証部５３は、偽機能部の認証に失敗し、認証が失敗した旨をアドレス管理部６５へ通知する。
【０２４２】
アドレス管理部６５は、新たに登録された機能部１１１の認証処理が成功しなかった場合、機能部１１１の対応関係を対応情報から削除する。
【０２４３】
より詳細には、アドレス管理部６５は、認証が失敗した旨の通知を認証部５３から受けると、図８に示すＡＲＰテーブルから「ＩＰ−Ａ」および「ＭＡＣ−Ｘ」の組を削除する。
【０２４４】
たとえば、ＡＲＰテーブルから上記組が削除された後、Ｌ３中継部５１は、ナビゲーション装置１１１Ｃから自動運転ＥＣＵ１１１Ａへ伝送されるイーサネットフレームをＬ２スイッチ部５２から受けると、自動運転ＥＣＵ１１１ＡのＩＰアドレスすなわち「ＩＰ−Ａ」がＡＲＰテーブルに含まれないため、「ＩＰ−Ａ」のアドレス解決をアドレス管理部６５へ要求する。
【０２４５】
アドレス管理部６５は、Ｌ３中継部５１からのアドレス解決の要求に応じてＡＲＰリクエストフレームをＬ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４経由でブロードキャストする。
【０２４６】
そして、アドレス管理部６５は、通信ポート５４Ａ、Ｌ２スイッチ部５２およびＬ３中継部５１経由で自動運転ＥＣＵ１１１Ａから受信した、ＡＲＰリクエストフレームの応答であるＡＲＰリプライフレームに基づいて、「ＩＰ−Ａ」および「ＭＡＣ−Ａ」をＡＲＰテーブルに登録する（図５参照）。このようにして、誤学習したＡＲＰテーブルが正しいＡＲＰテーブルに再生される。
【０２４７】
［動作の流れ］
図１４は、本発明の第２の実施の形態に係る車載通信システムにおける車載通信装置が、受信したＡＲＰリクエストフレームを処理する際の動作手順を定めたフローチャートである。
【０２４８】
図１４を参照して、まず、車載通信装置１０２は、ＡＲＰリクエストフレームを受信するまで、機能部１１１間のデータを中継する中継処理を行う（ステップＳ３０２でＮＯ）。
【０２４９】
そして、車載通信装置１０２は、ＡＲＰリクエストフレームを受信すると（ステップＳ３０２でＹＥＳ）、受信したＡＲＰリクエストフレームのデータフィールドにおける送信元プロトコルアドレスおよび送信元ハードウェアアドレスの組をＡＲＰテーブルに登録する（ステップＳ３０４）。
【０２５０】
次に、車載通信装置１０２は、登録した組を用いて、ＡＲＰリクエストフレームを送信した装置と認証用のＩＰパケットをやり取りすることにより当該装置の認証を試みる（ステップＳ３０６）。
【０２５１】
次に、車載通信装置１０２は、ＡＲＰリクエストフレームを送信した装置の認証に失敗した場合（ステップＳ３０８でＮＯ）、登録した組をＡＲＰテーブルから削除し、当該装置からのＩＰパケット、および当該装置宛のＩＰパケットに対するＬ３中継処理を許可しない（ステップＳ３１２）。
【０２５２】
一方、車載通信装置１０２は、ＡＲＰリクエストフレームを送信した装置の認証に成功した場合（ステップＳ３０８でＹＥＳ）、当該装置からのＩＰパケット、および当該装置宛のＩＰパケットに対するＬ３中継処理を許可する（ステップＳ３１０）。
【０２５３】
次に、車載通信装置１０２は、新たなＡＲＰリクエストフレームを受信するまで中継処理を行う（ステップＳ３０２でＮＯ）。
【０２５４】
図１５は、本発明の第２の実施の形態に係る車載通信システムにおける車載通信装置が、書き替え不可期間を設定する際の動作手順を定めたフローチャートである。
【０２５５】
図１５を参照して、車載通信装置１０２は、ＡＲＰリクエストフレームを送信した装置の認証に成功し、当該装置からのＩＰパケット、および当該装置宛のＩＰパケットに対するＬ３中継処理を許可した場合に、組を登録したタイミングから所定時間Ｔ１が経過するタイミングまでの当該組の書き替え不可期間を設定する（ステップＳ４０２）。
【０２５６】
次に、車載通信装置１０２は、設定した書き替え不可期間が終了するまでに（ステップＳ４０８でＮＯ）、登録した組が使用されると（ステップＳ４０４でＹＥＳ）、書き替え不可期間の終了タイミングを、使用したタイミングから所定時間Ｔ１経過後のタイミングに延長する（ステップＳ４０６）。
【０２５７】
一方、車載通信装置１０２は、設定した書き替え不可期間が終了すると（ステップＳ４０８でＹＥＳ）、登録した組の書き換えを許可する（ステップＳ４１０）。
【０２５８】
［車載通信システム３０１の変形例］
本発明の第２の実施の形態に係る車載通信システムでは、ＩＰｖ４プロトコルに従って通信が行われる構成であるとしたが、これに限定するものではない。本発明の第２の実施の形態に係る車載通信システムでは、ＩＰｖ６プロトコルに従って通信が行われる構成であってもよい。
【０２５９】
［課題］
ＩＰｖ６プロトコルに従う車載ネットワーク１２では、偽機能部は、ヘッダフィールドにおける送信元ＭＡＣアドレスおよびデータフィールドにおけるＬ２アドレスを同じアドレスに設定したＮＳフレームを作成することがある（図１０参照）。
【０２６０】
このようなＮＳフレームに対しては、送信元ＭＡＣアドレスおよびＬ２アドレスが一致するか否かに基づいて、ＮＤキャッシュに誤学習させるためのＮＳフレームを検知することが困難である。
【０２６１】
［加入装置からのＮＳフレーム］
たとえば、加入装置が、イーサネットケーブルを介して通信ポート５４Ｄに新たに接続された状況を想定する。ここでは、加入装置のＩＰアドレスおよびＭＡＣアドレスは、それぞれ「ＩＰｖ６−Ｄ」および「ＭＡＣ−Ｄ」である。
【０２６２】
加入装置は、車載通信装置１０２のＭＡＣアドレスを取得することを目的として、図１０に示すＮＳフレームをマルチキャストする。
【０２６３】
この場合、ＮＳフレームでは、各フィールドに以下の値が設定される。すなわち、ヘッダフィールドにおける送信先ＭＡＣアドレスの設定値は、車載通信装置１０２の要請ノードマルチキャストアドレスに基づくＩＰｖ６マルチキャストのＭＡＣアドレスである。また、ヘッダフィールドにおける送信元ＭＡＣアドレスの設定値は、「ＭＡＣ−Ｄ」である。
【０２６４】
データフィールドのＩＰｖ６ヘッダにおける送信元ＩＰｖ６アドレスおよび宛先ＩＰｖ６アドレスの設定値は、それぞれ加入装置のグローバルユニキャストアドレスである「ＩＰｖ６−Ｄ」および車載通信装置１０２の要請ノードマルチキャストアドレスである。
【０２６５】
データフィールドのＩＰｖ６メッセージにおけるメッセージタイプ、ターゲットＩＰｖ６アドレスおよびＬ２アドレスの設定値は、それぞれ「１３５」、車載通信装置１０２のグローバルユニキャストアドレスおよび「ＭＡＣ−Ｄ」である。
【０２６６】
車載通信装置１０２におけるアドレス管理部６５は、通信ポート５４Ｄ、Ｌ２スイッチ部５２およびＬ３中継部５１経由でＮＳフレームを加入装置から受信すると、受信したＮＳフレームに含まれるターゲットＩＰｖ６アドレスが自己のグローバルユニキャストアドレスであることから、当該ＮＳフレームが自己宛であることを認識する。
【０２６７】
アドレス管理部６５は、ＮＳフレームに含まれる送信元ＩＰｖ６アドレスすなわち「ＩＰｖ６−Ｄ」およびＬ２アドレスすなわち「ＭＡＣ−Ｄ」をＮＤキャッシュに登録する（図１１参照）。
【０２６８】
アドレス管理部６５は、たとえば、メッセージタイプ、ターゲットＩＰｖ６アドレスおよびＬ２アドレスとして、それぞれ「１３６」、自己の車載通信装置１０２のグローバルユニキャストアドレスおよび自己の車載通信装置１０２のＭＡＣアドレスを含むＮＡフレームを作成し、作成したＮＡフレームをＬ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４Ｄ経由で加入装置へ送信する。
【０２６９】
また、アドレス管理部６５は、ＮＤキャッシュに新たに登録したＩＰアドレスおよびＭＡＣアドレスの組すなわち「ＩＰｖ６−Ｄ」および「ＭＡＣ−Ｄ」の組を示す登録アドレス情報を認証部５３へ出力する。
【０２７０】
認証部５３は、アドレス管理部６５から登録アドレス情報を受けると、受けた登録アドレス情報の示す「ＩＰｖ６−Ｄ」および「ＭＡＣ−Ｄ」を宛先に用いて、認証用のＩＰパケットを作成する。
【０２７１】
認証部５３は、Ｌ３中継部５１、Ｌ２スイッチ部５２および通信ポート５４Ｄを介して加入装置と認証用のＩＰパケットをやり取りすることにより加入装置の認証を試みる。
【０２７２】
ここでは、認証部５３は、加入装置の認証に成功し、加入装置からのＩＰパケット、および加入装置宛のＩＰパケットに対するＬ３中継処理の許可をＬ３中継部５１に与えるとともに、認証結果をアドレス管理部６５へ通知する。
【０２７３】
アドレス管理部６５は、認証が成功した旨の通知を認証部５３から受けると、登録アドレス情報の示す「ＩＰｖ６−Ｄ」および「ＭＡＣ−Ｄ」の組がＮＤキャッシュ（図１１参照）に登録されたタイミングから所定時間Ｔ１が経過するタイミングまでの当該組の書き替え不可期間を設定する。
【０２７４】
また、アドレス管理部６５は、Ｌ３中継部５１が「ＩＰｖ６−Ｄ」および「ＭＡＣ−Ｄ」の組を使用すると、書き替え不可期間の終了タイミングを、Ｌ３中継部５１が使用したタイミングから所定時間Ｔ１経過後のタイミングに延長する。
【０２７５】
［偽機能部からのＮＳフレーム］
偽機能部は、たとえば、自動運転ＥＣＵ１１１Ａに成りすますことにより自動運転ＥＣＵ１１１Ａおよび車載通信装置１０２間の通信を妨害することを目的として、悪意を持ったユーザによって車載通信装置１０２における通信ポート５４Ｄに接続される。ここでは、偽機能部のＭＡＣアドレスは、「ＭＡＣ−Ｘ」であるとする。
【０２７６】
偽機能部は、自動運転ＥＣＵ１１１Ａに成りすますために、たとえば、以下のＮＳフレームを作成する（図１０参照）。
【０２７７】
すなわち、このＮＳフレームでは、ヘッダフィールドにおける送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスの設定値は、それぞれ、車載通信装置１０２の要請ノードマルチキャストアドレスに基づくＩＰｖ６マルチキャストのＭＡＣアドレス、および「ＭＡＣ−Ｘ」である。
【０２７８】
また、データフィールドにおける送信元ＩＰｖ６アドレスおよびＬ２アドレスの設定値は、それぞれ「ＩＰｖ６−Ａ」および「ＭＡＣ−Ｘ」である。
【０２７９】
その他の設定値は、加入装置が作成したＮＳフレームにおける設定値と同様である。偽機能部は、作成したＮＳフレームをマルチキャストする。
【０２８０】
図１６は、本発明の第２の実施の形態に係る車載通信装置におけるＬ３中継部が保持するＮＤキャッシュの一例を示す図である。
【０２８１】
図１３および図１６を参照して、車載通信装置１０２におけるアドレス管理部６５は、通信ポート５４Ｄ、Ｌ２スイッチ部５２およびＬ３中継部５１経由でＮＳフレームを偽機能部から受信すると、受信したＮＳフレームに含まれるターゲットＩＰｖ６アドレスが自己のグローバルユニキャストアドレスであることから、当該ＮＳフレームが自己宛であることを認識する。
【０２８２】
アドレス管理部６５は、受信したＮＳフレームに基づいて、送信元ＩＰｖ６アドレスすなわち「ＩＰｖ６−Ａ」およびＬ２アドレスすなわち「ＭＡＣ−Ｘ」を、図１６に示すようにＮＤキャッシュに登録する。
【０２８３】
また、アドレス管理部６５は、ＮＤキャッシュに新たに登録したＩＰアドレスおよびＭＡＣアドレスの組すなわち「ＩＰｖ６−Ａ」および「ＭＡＣ−Ｘ」の組を示す登録アドレス情報を認証部５３へ出力する。
【０２８４】
ここでは、認証部５３は、アドレス管理部６５から受けた「ＩＰｖ６−Ａ」および「ＭＡＣ−Ｘ」を宛先に用いて偽機能部の認証を試みるが、偽機能部が正当な機能部１１１ではないため偽機能部の認証に失敗し、認証が失敗した旨をアドレス管理部６５へ通知する。
【０２８５】
アドレス管理部６５は、認証が失敗した旨の通知を認証部５３から受けると、図１６に示すＮＤキャッシュから「ＩＰｖ６−Ａ」および「ＭＡＣ−Ｘ」の組を削除する。
【０２８６】
「ＩＰｖ６−Ａ」および「ＭＡＣ−Ｘ」の組がＮＤキャッシュから削除された後、上述したように「ＩＰｖ６−Ａ」および「ＭＡＣ−Ａ」の正しい組がＮＤキャッシュに登録されるので、誤学習したＮＤキャッシュが正しいＮＤキャッシュに再生される。
【０２８７】
［動作の流れ］
図１７は、本発明の第２の実施の形態に係る車載通信システムの変形例における車載通信装置が、受信したＮＳフレームを処理する際の動作手順を定めたフローチャートである。
【０２８８】
図１７を参照して、まず、車載通信装置１０２は、ＮＳフレームを受信するまで、機能部１１１間のデータを中継する中継処理を行う（ステップＳ５０２でＮＯ）。
【０２８９】
そして、車載通信装置１０２は、ＮＳフレームを受信すると（ステップＳ５０２でＹＥＳ）、受信したＮＳフレームのデータフィールドにおける送信元ＩＰｖ６アドレスおよびＬ２アドレスの組をＮＤキャッシュに登録する（ステップＳ５０４）。
【０２９０】
次に、車載通信装置１０２は、登録した組を用いて、ＮＳフレームを送信した装置と認証用のＩＰパケットをやり取りすることにより当該装置の認証を試みる（ステップＳ５０６）。
【０２９１】
次に、車載通信装置１０２は、ＮＳフレームを送信した装置の認証に失敗した場合（ステップＳ５０８でＮＯ）、登録した組をＮＤキャッシュから削除し、当該装置からのＩＰパケット、および当該装置宛のＩＰパケットに対するＬ３中継処理を許可しない（ステップＳ５１２）。
【０２９２】
一方、車載通信装置１０２は、ＮＳフレームを送信した装置の認証に成功した場合（ステップＳ５０８でＹＥＳ）、当該装置からのＩＰパケット、および当該装置宛のＩＰパケットに対するＬ３中継処理を許可する（ステップＳ５１０）。
【０２９３】
次に、車載通信装置１０２は、新たなＮＳフレームを受信するまで中継処理を行う（ステップＳ５０２でＮＯ）。
【０２９４】
なお、車載通信装置１０２は、上記ステップＳ５１０において、ＮＳフレームを送信した装置からのＩＰパケット、および当該装置宛のＩＰパケットに対するＬ３中継処理を許可した場合、図１５に示す動作の流れに従って書き替え不可期間を設定する。
【０２９５】
また、本発明の第２の実施の形態に係る車載通信装置では、アドレス管理部６５は、新たに登録された機能部１１１の認証処理が成功した後、所定条件Ｃ１を満たすまで新たに登録した対応関係の書き換えを不可とする構成であるとしたが、これに限定するものではない。アドレス管理部６５は、認証処理が成功した後でも、登録した対応関係の書き換えを可とする構成であってもよい。
【０２９６】
また、本発明の第２の実施の形態に係る車載通信装置では、所定条件Ｃ１は、新たに登録された機能部１１１の通信が所定時間Ｔ１以上途絶えたことであるとしたが、これに限定するものではない。所定条件Ｃ１は、たとえば、新たに登録された機能部１１１の認証処理が成功してから所定時間Ｔ２経過すること等の他の条件であってもよい。
【０２９７】
以上のように、本発明の第２の実施の形態に係る車載通信装置は、車載ネットワークにおける機能部１１１間のデータを中継する中継処理を行う。Ｌ３中継部５１は、１または複数の機能部１１１のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて中継処理を行う。アドレス管理部６５は、対応情報を作成する。認証部５３は、機能部１１１に対する認証処理を行う。機能部１１１は、アドレス管理部６５によって対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された機能部１１１に対して認証処理を行う。そして、アドレス管理部６５は、新たに登録された機能部１１１の認証処理が成功しなかった場合、当該機能部１１１の対応関係を対応情報から削除する。
【０２９８】
新たに登録された機能部１１１との認証処理が成功しなかった場合、当該機能部１１１は不正な機能部１１１であると考えられる。上記の構成により、たとえば、不正な機能部１１１が正当な機能部１１１に成りすまし、誤った対応関係が対応情報に登録された場合においても、誤った対応関係を対応情報から削除することができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。これにより、機能部１１１からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
【０２９９】
また、本発明の第２の実施の形態に係る車載通信装置では、アドレス管理部６５は、新たに登録された機能部１１１の認証処理が成功した後、所定条件Ｃ１を満たすまで新たに登録した対応関係の書き換えを不可とする。
【０３００】
新たに登録された機能部１１１との認証処理が成功した場合、当該機能部１１１は正当な機能部１１１であると考えられる。上記の構成により、新たに登録された正しい対応関係を、所定条件Ｃ１を満たすまで保護することができるので、少なくとも所定条件Ｃ１が満たされるまで正しい対応関係を用いた中継処理を継続することができる。
【０３０１】
また、本発明の第２の実施の形態に係る車載通信装置では、所定条件Ｃ１は、新たに登録された機能部１１１の通信が所定時間Ｔ１以上途絶えたことである。
【０３０２】
このような構成により、新たに登録された正当な機能部１１１との通信が継続している間、正しい対応関係を用いて、正当な機能部１１１のデータの中継処理を継続することができる。
【０３０３】
また、本発明の第２の実施の形態に係る車載通信装置は、車載ネットワークにおける機能部１１１間のデータを中継する中継処理を行う。Ｌ３中継部５１は、１または複数の機能部１１１のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて中継処理を行う。アドレス管理部６５は、対応情報を作成する。認証部５３は、機能部１１１に対する認証処理を行う。機能部１１１は、アドレス管理部６５によって対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された機能部１１１に対して認証処理を行う。そして、アドレス管理部６５は、新たに登録された機能部１１１の認証処理が成功した後、所定条件Ｃ１を満たすまで新たに登録した対応関係の書き換えを不可とする。
【０３０４】
新たに登録された機能部１１１との認証処理が成功した場合、当該機能部１１１は正当な機能部１１１であると考えられる。上記の構成により、新たに登録された正しい対応関係を、所定条件Ｃ１を満たすまで保護することができるので、少なくとも所定条件Ｃ１が満たされるまで正しい対応関係を用いた中継処理を継続することができる。これにより、機能部１１１からのデータを正しく中継することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
【０３０５】
その他の構成および動作は第１の実施の形態に係る車載通信装置と同様であるため、ここでは詳細な説明を繰り返さない。
【０３０６】
なお、本発明の第１の実施の形態および第２の実施の形態に係る各装置の構成要素および動作のうち、一部または全部を適宜組み合わせることも可能である。
【０３０７】
具体的には、本発明の第２の実施の形態に係る車載通信装置では、アドレス管理部６５は、Ｌ３中継部５１を介して機能部１１１から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を対応情報に登録する。そして、アドレス管理部６５は、当該送信元ＭＡＣアドレスと当該フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、当該対応関係を対応情報に登録しないかまたは対応情報から削除する。
【０３０８】
データフィールドに含まれる送信元ＭＡＣアドレスとヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、不正なフレームである可能性が高い。上記の構成により、不正なフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの誤った対応関係が対応情報に登録され続けることを防ぐことができるので、誤った対応関係を用いた中継処理が継続されることを防ぐことができる。
【０３０９】
上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【０３１０】
以上の説明は、以下に付記する特徴を含む。
【０３１１】
［付記１］
車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、
１または複数の前記機能部のＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスとＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、
前記対応情報を作成するアドレス管理部と、
前記機能部に対する認証処理を行う認証部とを備え、
前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、
前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功しなかった場合、前記機能部の前記対応関係を前記対応情報から削除し、
前記機能部は、自動運転ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔ）、センサ、ナビゲーション装置、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ  Ｃｏｍｍｕｎｉｃａｔｉｏｎ  Ｕｎｉｔ）、ヒューマンマシンインタフェースまたはカメラであり、
前記車載通信装置は、車載ゲートウェイ装置であり、
前記対応情報は、ＡＲＰ（Ａｄｄｒｅｓｓ  Ｒｅｓｏｌｕｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）テーブルまたはＮＤ（Ｎｅｉｇｈｂｏｒ  Ｄｉｓｃｏｖｅｒｙ）キャッシュであり、
前記通信部は、ＩＰｖ４プロトコルに従って、前記ＡＲＰテーブルを用いて前記中継処理を行うか、またはＩＰｖ６プロトコルに従って、前記ＮＤキャッシュを用いて前記中継処理を行う、車載通信装置。
【０３１２】
［付記２］
車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、
１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、
前記対応情報を作成するアドレス管理部とを備え、
前記アドレス管理部は、前記通信部を介して前記機能部から受信したレイヤ２のフレームのデータフィールドに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの対応関係を前記対応情報に登録し、
前記アドレス管理部は、前記送信元ＭＡＣアドレスと前記フレームのヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除し、
前記機能部は、自動運転ＥＣＵ、センサ、ナビゲーション装置、ＴＣＵ、ヒューマンマシンインタフェースまたはカメラであり、
前記車載通信装置は、車載ゲートウェイ装置であり、
前記対応情報は、ＡＲＰテーブルまたはＮＤキャッシュであり、
前記通信部は、ＩＰｖ４プロトコルに従って、前記ＡＲＰテーブルを用いて前記中継処理を行うか、またはＩＰｖ６プロトコルに従って、前記ＮＤキャッシュを用いて前記中継処理を行い、
前記アドレス管理部は、前記ＩＰｖ４プロトコルに従って、前記通信部を介して前記機能部から受信したＡＲＰリクエストフレームのデータフィールドに含まれる送信元プロトコルアドレスと送信元ハードウェアアドレスとの対応関係を前記対応情報に登録するか、または前記ＩＰｖ６プロトコルに従って、前記通信部を介して前記機能部から受信したＮＳ（Ｎｅｉｇｈｂｏｒ  Ｓｏｌｉｃｉｔａｔｉｏｎ）フレームのデータフィールドに含まれる送信元ＩＰｖ６アドレスとＬ２（レイヤ２）アドレスとの対応関係を前記対応情報に登録し、
前記アドレス管理部は、前記送信元ハードウェアアドレスまたは前記Ｌ２アドレスと前記ヘッダに含まれる送信元ＭＡＣアドレスとが一致しない場合、前記対応関係を前記対応情報に登録しないかまたは前記対応情報から削除する、車載通信装置。
【０３１３】
［付記３］
車載ネットワークにおける機能部間のデータを中継する中継処理を行う車載通信装置であって、
１または複数の前記機能部のＩＰアドレスとＭＡＣアドレスとの対応関係を示す対応情報を用いて前記中継処理を行う通信部と、
前記対応情報を作成するアドレス管理部と、
前記機能部に対する認証処理を行う認証部とを備え、
前記認証部は、前記アドレス管理部によって前記対応情報に新たにＩＰアドレスおよびＭＡＣアドレスが登録された前記機能部に対して認証処理を行い、
前記アドレス管理部は、新たに登録された前記機能部の前記認証処理が成功した後、所定条件を満たすまで新たに登録した前記対応関係の書き換えを不可とし、
前記機能部は、自動運転ＥＣＵ、センサ、ナビゲーション装置、ＴＣＵ、ヒューマンマシンインタフェースまたはカメラであり、
前記車載通信装置は、車載ゲートウェイ装置であり、
前記対応情報は、ＡＲＰテーブルまたはＮＤキャッシュであり、
前記通信部は、ＩＰｖ４プロトコルに従って、前記ＡＲＰテーブルを用いて前記中継処理を行うか、またはＩＰｖ６プロトコルに従って、前記ＮＤキャッシュを用いて前記中継処理を行う、車載通信装置。
【符号の説明】
【０３１４】
１  車両
１２  車載ネットワーク
５１  Ｌ３中継部（通信部）
５２  Ｌ２スイッチ部
５３  認証部
５４  通信ポート
５５，６５  アドレス管理部
１０１，１０２  車載通信装置
１１１  機能部
３０１  車載通信システム
【図１】
2019009596.tif 000003
【図２】
2019009596.tif 000004
【図３】
2019009596.tif 000005
【図４】
2019009596.tif 000006
【図５】
2019009596.tif 000007
【図６】
2019009596.tif 000008
【図７】
2019009596.tif 000009
【図８】
2019009596.tif 000010
【図９】
2019009596.tif 000011
【図１０】
2019009596.tif 000012
【図１１】
2019009596.tif 000013
【図１２】
2019009596.tif 000014
【図１３】
2019009596.tif 000015
【図１４】
2019009596.tif 000016
【図１５】
2019009596.tif 000017
【図１６】
2019009596.tif 000018
【図１７】
2019009596.tif 000019