(57)【要約】【課題】不正アクセスの検出して当該通信経路を切断するとともに、他の通信経路を確保し得る車載通信システム及び中継装置の提供。【解決手段】受信したパケットの通信ヘッダをアクセスパターンＤＢに基づいて検証して（Ｓ４）、不正アクセスを検出したか否かを判定し（Ｓ５）、不正アクセスを検出したと判定した場合、パケットの送信元の車載通信装置を識別し（Ｓ６）、当該車載通信装置のコネクションを切断するための制御信号を送信する（Ｓ７）。また、制御信号を送信するとともに、経路制御テーブルを更新して他の車載通信装置を経由する通信経路を確保する（Ｓ８）。【選択図】      図４
2004193903.tif 000002
【特許請求の範囲】
【請求項１】
複数の車載通信装置と情報機器とを中継装置を介して接続してあり、前記情報機器は、前記中継装置及び車載通信装置を介して車外通信装置と通信可能になしてある車載通信システムにおいて、
前記車載通信装置は、前記車外通信装置から送信された前記情報機器に対する接続要求情報を受信する手段と、受信した接続要求情報を前記中継装置へ送信する手段とを備え、前記中継装置は、前記車載通信装置から送信された接続要求情報を受信する手段と、受信した接続要求情報に基づき、前記情報機器への接続の可否を判定する判定手段と、該判定手段が接続を不可と判定した場合、前記車外通信装置との通信を切断すべき旨の情報を前記接続要求情報の送信元の車載通信装置へ送信する手段とを備え、前記車載通信装置が前記情報を受信した場合、前記車外通信装置との通信を切断すべくなしてあることを特徴とする車載通信システム。
【請求項２】
前記判定手段が前記情報機器との接続を不可と判定した場合、前記接続要求情報の送信元と異なる車載通信装置を経由する通信経路を設定する手段を更に備えることを特徴とする請求項１に記載の車載通信システム。
【請求項３】
前記中継装置は、接続手順に関する複数の情報を記憶する記憶手段を更に備え、前記判定手段は、車載通信装置を介して受信した接続要求情報が、前記記憶手段に記憶された一の接続手順に従うか否かを判定することにより、前記情報機器への接続の可否を判定すべくなしてあることを特徴とする請求項１又は請求項２に記載の車載通信システム。
【請求項４】
前記車載通信装置及び前記情報機器は、同一のバス規格による通信網にて前記中継装置と接続されていることを特徴とする請求項１乃至請求項３の何れかに記載の車載通信システム。
【請求項５】
前記通信網は、仮想的な通信網であることを特徴とする請求項４に記載の車載通信システム。
【請求項６】
車外通信装置と接続された複数の車載通信装置、及び該車載通信装置を介して前記車外通信装置と通信可能になしてある情報機器の双方へ接続された中継装置において、
前記車外通信装置から送信された前記情報機器に対する接続要求情報を前記車載通信装置を介して受信する手段と、受信した接続要求情報に基づき、前記情報機器への接続の可否を判定する判定手段と、該判定手段が接続を不可と判定した場合、前記車外通信装置との通信を切断すべき旨の情報を前記接続要求情報の送信元の車載通信装置へ送信する手段とを備えることを特徴とする中継装置。
【請求項７】
前記判定手段が前記情報機器との接続を不可と判定した場合、前記接続要求情報の送信元と異なる車載通信装置を経由する通信経路を設定する手段を更に備えることを特徴とする請求項６に記載の中継装置。
【請求項８】
接続手順に関する複数の情報を記憶する記憶手段を更に備え、前記判定手段は、車載通信装置を介して受信した接続要求情報が、前記記憶手段に記憶された一の接続手順に従うか否かを判定することにより、前記情報機器への接続の可否を判定すべくなしてあることを特徴とする請求項６又は請求項７に記載の中継装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、外部からの不正アクセスを検出して当該通信経路を切断するとともに、他の通信経路を確保し得る車載通信システム及び中継装置に関する。
【０００２】
【従来の技術】
近年、自動車に各種の情報機器を搭載させて、種々の情報を処理するシステムが普及している。例えば、ラジオ放送の放送波を受信して、音声情報を再生するだけでなく、その放送波に含まれる交通情報を文字情報として表示させるラジオ受信機が搭載されている。また、所謂カーオーディオ装置として、コンパクトディスク（ＣＤ）、ミニディスク（ＭＤ）などの音声記録媒体を再生する装置が搭載されている。また、ＧＰＳ（Ｇｌｏｂａｌ  Ｐｏｓｉｔｉｏｎｉｎｇ  Ｓｙｓｔｅｍ）から得られる位置情報及び車速センサなどから得られる走行状態情報に基づいて、現在位置近傍の道路地図、目的地までの経路などのナビゲーション用の映像データを生成して表示するナビゲーションシステムも一般的に装備されている。このような情報機器以外に、携帯電話機、テレビジョンシステムなどの搭載も広く行われている（例えば、特許文献１参照）。
【０００３】
また、携帯電話機等の車載通信装置を利用してインターネット網のような車外の通信網に接続し、音楽データ、映像データ等の各種コンテンツを取得できる車載通信システムも提案されており、取得した音楽データ、映像データ等のコンテンツを前述した情報機器により再生できるようにしている。
【０００４】
【特許文献１】
特開平１１−１６８４８１号公報
【０００５】
【発明が解決しようとする課題】
このように車内の情報機器（以下、車載器という）と車外の通信装置とが通信により接続された状態では、車外の通信装置から車載器に対して不正なアクセスがなされ、車載器に記憶された個人的な情報が外部へ流出する虞、通信不能の状態にされる虞がある。
そこで、車載通信システムのセキュリティ対策として、例えば、車外からの不正アクセスの有無を検出し、不正アクセスを検出した場合に車載器の電源制御を行って車載器へのアクセスを不可能にする車載通信システムが提案されている。
【０００６】
しかしながら、前述の車載通信システムでは、不正アクセスを検出する機能に加えて、電源制御機能が必要となり、電源制御機能を備える装置に各車載器の電源を接続する必要があるため、車載通信システムの構成が複雑になるという問題点を有している。
【０００７】
また、不正アクセスを防止するために携帯電話機等の電源制御を行う場合、不正アクセスが検出された際に外部への通信経路がなくなるという問題点を有している。
【０００８】
本発明は斯かる事情に鑑みてなされたものであり、複数の車載通信装置と情報機器とを中継装置を介して接続してあり、中継装置が車載通信装置を介して車外からの接続要求情報を受信したとき、当該接続要求情報に基づいて情報機器との接続の可否を判定し、接続を不可と判定した場合、車載通信装置と車外通信装置との接続を切断する構成とすることにより、不正アクセスを防止し、セキュリティを高めることができる車載通信システム及び中継装置を提供することを目的とする。
【０００９】
本発明の他の目的は、中継装置にて情報機器との接続が不可と判定された場合、接続要求情報の送信元と異なる車載通信装置を経由した通信経路を設定する構成とすることにより、不正アクセスを防止し、セキュリティを高めることができるとともに、不正アクセスを検出した場合であっても他の通信経路を確保し得る車載通信システム及び中継装置を提供することにある。
【００１０】
本発明の更に他の目的は、接続手順に関する複数の情報を記憶する記憶手段を備え、受信した接続要求情報が記憶手段に記憶された一の接続手順に従うか否かを判定して、情報機器への接続の可否を判定する構成とすることにより、不正アクセスを防止し、セキュリティを高めることができる車載通信システム及び中継装置を提供することにある。
【００１１】
本発明の更に他の目的は、車載通信装置及び情報機器を同一のバス規格による通信網にて中継装置と接続した構成とすることにより、車内の情報機器を接続する通信網と同じ通信回線を利用することができるとともに、不正アクセスを防止し、セキュリティを高めることができる車載通信システムを提供することにある。
【００１２】
本発明の更に他の目的は、仮想的な通信網を利用して車載通信装置と中継装置とを接続する構成とすることにより、１つの通信インタフェースで複数の複数の車載通信装置を接続できるとともに、不正アクセスを防止し、セキュリティを高めることができる車載通信システムを提供することにある。
【００１３】
【課題を解決するための手段】
第１発明に係る車載通信システムは、複数の車載通信装置と情報機器とを中継装置を介して接続してあり、前記情報機器は、前記中継装置及び車載通信装置を介して車外通信装置と通信可能になしてある車載通信システムにおいて、前記車載通信装置は、前記車外通信装置から送信された前記情報機器に対する接続要求情報を受信する手段と、受信した接続要求情報を前記中継装置へ送信する手段とを備え、前記中継装置は、前記車載通信装置から送信された接続要求情報を受信する手段と、受信した接続要求情報に基づき、前記情報機器への接続の可否を判定する判定手段と、該判定手段が接続を不可と判定した場合、前記車外通信装置との通信を切断すべき旨の情報を前記接続要求情報の送信元の車載通信装置へ送信する手段とを備え、前記車載通信装置が前記情報を受信した場合、前記車外通信装置との通信を切断すべくなしてあることを特徴とする。
【００１４】
第１発明にあっては、複数の車載通信装置と情報機器とが中継装置を介して接続されており、車載通信装置を通じて車外からの接続要球情報が中継装置に入力された場合、中継装置は、情報機器へ接続すべきか否かを判定し、接続すべきでないと判定した場合、当該車載通信装置による車外との通信を切断するようにしている。したがって、入力された接続要求情報に基づいて不正アクセスを検出した場合、不正アクセスが検出された際に通信経路となっている車載通信装置のコネクションを切断するため、中継装置へ接続された情報機器への不正アクセスが防止されるとともに、不正アクセスに伴う通信不能の状態を回避し得る。
【００１５】
第２発明に係る車載通信システムは、第１発明に係る車載通信システムにおいて、前記判定手段が前記情報機器との接続を不可と判定した場合、前記接続要求情報の送信元と異なる車載通信装置を経由する通信経路を設定する手段を更に備えることを特徴とする。
【００１６】
第２発明にあっては、外部からの接続要求に対して中継装置が情報機器への接続を不可と判定した場合、接続要求情報の送信元と異なる車載通信装置を経由した通信経路を設定するようにしている。したがって、不正アクセスが検出された際に通信経路となっている車載通信装置のコネクションを切断し、当該車載通信装置を経由しない通信経路に切替えることにより、中継装置及び通信経路の高負荷による通信不能状態が回避され、中継装置に接続された情報機器は通信経路の遮断を意識することなく車外通信装置と通信を行うことができる。
【００１７】
第３発明に係る車載通信システムは、第１発明又は第２発明に係る車載通信システムにおいて、前記中継装置は、接続手順に関する複数の情報を記憶する記憶手段を更に備え、前記判定手段は、車載通信装置を介して受信した接続要求情報が、前記記憶手段に記憶された一の接続手順に従うか否かを判定することにより、前記情報機器への接続の可否を判定すべくなしてあることを特徴とする。
【００１８】
第３発明にあっては、外部から受信した接続要求情報が、予め記憶された接続手順に従うか否かを判定することにより、情報機器への接続の可否を判定するようにしている。したがって、例えば、サービス不能攻撃（ＤｏＳ攻撃、ＤｏＳ  ：  Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）、ポートスキャン攻撃等の不正アクセスに関する接続手順を予め記憶させておき、車外通信装置から接続要求があった場合、当該接続要求による接続手順が予め記憶させた接続手順に従うか否かを判断することによって、不正アクセスか否かを判定することができる。また、記憶させる内容を随時更新することで新たな不正アクセスにも対処することが可能となる。
【００１９】
第４発明に係る車載通信システムにあっては、第１発明乃至第３発明の何れかの車載通信システムにおいて、前記車載通信装置及び前記情報機器は、同一のバス規格による通信網にて前記中継装置と接続されていることを特徴とする。
【００２０】
第４発明にあっては、ＩＥＥＥ１３９４のようなバス規格を利用して車載通信装置及び情報機器を中継装置へ接続することにより、ケーブルを共通化することが可能となり、省線化を図ることができる。
【００２１】
第５発明に係る車載通信システムは、第４発明に係る車載通信システムにおいて、前記通信網は、仮想的な通信網であることを特徴とする。
【００２２】
第５発明にあっては、所謂ＶＬＡＮ（Ｖｉｒｔｕａｌ  Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）を利用することにより、１つの通信インタフェースに複数の車載通信装置を接続することが可能となる。
【００２３】
第６発明に係る中継装置は、車外通信装置と接続された複数の車載通信装置、及び該車載通信装置を介して前記車外通信装置と通信可能になしてある情報機器の双方へ接続された中継装置において、前記車外通信装置から送信された前記情報機器に対する接続要求情報を前記車載通信装置を介して受信する手段と、受信した接続要求情報に基づき、前記情報機器への接続の可否を判定する判定手段と、該判定手段が接続を不可と判定した場合、前記車外通信装置との通信を切断すべき旨の情報を前記接続要求情報の送信元の車載通信装置へ送信する手段とを備えることを特徴とする。
【００２４】
第６発明にあっては、複数の車載通信装置と情報機器とが中継装置を介して接続されており、車載通信装置を通じて車外からの接続要球情報が中継装置に入力された場合、中継装置は、情報機器へ接続すべきか否かを判定し、接続すべきでないと判定した場合、当該車載通信装置による車外との通信を切断するようにしている。したがって、入力された接続要求情報に基づいて不正アクセスを検出した場合、不正アクセスが検出された際に通信経路となっている車載通信装置のコネクションを切断するため、中継装置へ接続された情報機器への不正アクセスが防止されるとともに、不正アクセスに伴う通信不能の状態を回避し得る。
【００２５】
第７発明に係る中継装置は、第６発明に係る中継装置において、前記判定手段が前記情報機器との接続を不可と判定した場合、前記接続要求情報の送信元と異なる車載通信装置を経由する通信経路を設定する手段を更に備えることを特徴とする。
【００２６】
第７発明にあっては、外部からの接続要求に対して中継装置が情報機器への接続を不可と判定した場合、接続要求情報の送信元と異なる車載通信装置を経由した通信経路を設定するようにしている。したがって、不正アクセスが検出された際に通信経路となっている車載通信装置のコネクションを切断し、当該車載通信装置を経由しない通信経路に切替えることにより、中継装置及び通信経路の高負荷による通信不能状態が回避され、中継装置に接続された情報機器は通信経路の遮断を意識することなく車外通信装置と通信を行うことができる。
【００２７】
第８発明に係る中継装置は、第６発明又は第７発明に係る中継装置において、接続手順に関する複数の情報を記憶する記憶手段を更に備え、前記判定手段は、車載通信装置を介して受信した接続要求情報が、前記記憶手段に記憶された一の接続手順に従うか否かを判定することにより、前記情報機器への接続の可否を判定すべくなしてあることを特徴とする。
【００２８】
第８発明にあっては、外部から受信した接続要求情報が、予め記憶された接続手順に従うか否かを判定することにより、情報機器への接続の可否を判定するようにしている。したがって、例えば、サービス不能攻撃、ポートスキャン攻撃等の不正アクセスに関する接続手順を予め記憶させておき、車外通信装置から接続要求があった場合、当該接続要求による接続手順が予め記憶させた接続手順に従うか否かを判断することによって、不正アクセスか否かを判定することができる。また、記憶させた内容を随時更新することで新たな不正アクセスにも対処することが可能となる。
【００２９】
【発明の実施の形態】
以下、本発明をその実施の形態を示す図面に基づいて具体的に説明する。
実施の形態１．
図１は本実施の形態に係る車載通信システムの概略構成図である。図中Ｃは自動車等の車両であり、当該車両Ｃは、コンパクトディスク、ミニディスク等の音楽用記録メディアに記録された音声情報を再生するオーディオ装置１６、走行履歴を記録するドライブレコーダ１７、ナビゲーション用の映像データを生成するナビゲーション装置１８、ナビゲーション装置１８で生成された映像データ等を表示するモニタ装置１９を備えており、これらの車載器は車載ＬＡＮ１５を介してゲートウェイ装置１０へ接続されている。車載ＬＡＮ１５としては、ＩＥＥＥ１３９４，ＭＯＳＴ（Ｍｅｄｉａ  Ｏｒｉｅｎｔｅｄ  Ｓｙｓｔｅｍｓ  Ｔｒａｎｓｐｏｒｔ）等に準拠した規格を利用することができる。
ゲートウェイ装置１０には、携帯電話機１１、ＤＳＲＣ装置１２、無線通信装置１３等の車載通信装置が接続されており、当該車載通信装置を利用してインターネット網のような車外の通信網Ｎに接続できるようにしている。なお、各車載通信装置をゲートウェイ装置１０へ接続するためのインタフェースとしては、ＩＥＥＥ１３９４，ＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）等を利用することができる。
【００３０】
車外の通信網Ｎから送信される各種の情報は車載通信装置が受信した後、ゲートウェイ装置１０により中継され、車載ＬＡＮ１５に接続された車載器へ送信される。また、車載ＬＡＮ１５に接続された車載器から車外の通信網Ｎへ接続する際には、ゲートウェイ装置１０にて動的に最適な通信経路を選択し、ルーティングできるようになっている。
本実施の形態に係るゲートウェイ装置１０は、車載通信装置に対する動的経路制御機能に加えて車外から不正アクセスを検出する機能、及び車載通信装置に対するコネクションを管理する機能を有している。
【００３１】
ゲートウェイ装置１０は、内部に備える記憶部（図２参照）にＤｏＳ攻撃、ポートスキャン攻撃等の不正アクセスに関するアクセスパターンを予め記憶しており、そのアクセスパターンに従うアクセス要求を不正アクセスとして検出する。
車外からの不正アクセスが検出された場合、ゲートウェイ装置１０は不正アクセスの進入経路を特定する。ゲートウェイ装置１０が不正アクセスの進入経路を携帯電話機１１、ＤＳＲＣ装置１２、又は無線通信装置１３の中から特定した場合、該当する車載通信装置のコネクションを切断し、その進入経路からゲートウェイ装置１０及び車載器へアクセスできないようにしている。
このような処理をすることにより、ゲートウェイ装置１０及び車載ＬＡＮ１５での負荷が高くなり他の通信に影響を及ぼすということを無くすことができる。また、ゲートウェイ装置１０は、動的経路制御機能により自動的に他の車外通信装置に経路を切替えるため、車載器から車外の通信網Ｎへ接続する際に影響が及ばないようにすることができる。
【００３２】
図２はゲートウェイ装置１０の内部構成を示すブロック図である。ゲートウェイ装置１０はＭＰＵを有するマイクロコンピュータ１０１を備えており、マイクロコンピュータ１０１には、フラッシュメモリ等の記憶部１０２及び中継ＬＳＩ１０３が接続されている。
【００３３】
中継ＬＳＩ１０３には、車載ＬＡＮ１５側の通信インタフェースＬＳＩ１０４、及び車載通信装置側の通信インタフェースＬＳＩ１０６が接続されている。すなわち、通信インタフェースＬＳＩ１０４には、コネクタ１０５を介して車載ＬＡＮ１５が接続されており、車載ＬＡＮ１５に接続された各種車載器からの情報を受信して中継ＬＳＩ１０３へ送出すると共に、中継ＬＳＩ１０３を通じて入力された車外からの情報を車載器側へ送出する。
このとき、通信インタフェースＬＳＩ１０４では、主として物理層及びデータリンク層の処理を行う。また、中継ＬＳＩ１０３は、中継するデータのネットワーク層、トランスポート層の通信ヘッダをチェックして、データの転送処理、及びヘッダにおけるＩＰアドレス、ポート番号の付け替え処理を行う。
【００３４】
また、通信インタフェースＬＳＩ１０６には、コネクタ１０７ａ，１０７ｂ，１０７ｃを介してそれぞれ携帯電話機１１，ＤＳＲＣ装置１２，及び無線通信装置１３が接続されており、車外からの情報を中継ＬＳＩ１０３へ送出すると共に、中継ＬＳＩ１０３を通じて入力された車外へ送信すべき情報を携帯電話機１１，ＤＳＲＣ装置１２，又は無線通信装置１３へ送出する。データの送出先は、マイクロコンピュータ１０１が作成した経路制御テーブル１０２ａに従い、中継ＬＳＩ１０３により実行されたルーティング処理に従う。通信インタフェースＬＳＩ１０６は、前述と同様に主として物理層及びデータリンク層の処理を行う。
なお、通信インタフェースＬＳＩ１０４，１０６は、物理層の処理及びデータリンク層の処理を行うＬＳＩを夫々別体として設けてもよく、一体として設けてもよい。
【００３５】
記憶部１０２には、通信制御を行うための各種制御プログラムが記憶されており、マイクロコンピュータ１０１が当該制御プログラムを実行することで、ゲートウェイ装置１０として機能する。また、記憶部１０２には、車載通信装置の通信状況に応じて通信先のＩＰアドレス等が記憶される経路制御テーブル１０２ａと、不正アクセスに係るアクセスパターンを記憶したアクセスパターンデータベース（以下、アクセスパターンＤＢという）１０２ｂとを有しており、マイクロコンピュータ１０１の指示に応じて読出し処理、及び書込み処理が適宜行われる。また、記憶部１０２には、マイクロコンピュータ１０１の演算処理中に発生したデータ、通信インタフェースＬＳＩ１０４，１０６を通じて送受信したデータ等が一時的に記憶される。
なお、アクセスパターンＤＢ１０２ｂの内容は、車外の通信網Ｎを経由して定期的に更新するようにしておくことが望ましい。
【００３６】
ゲートウェイ装置１０は、受信した車外からのパケットに基づいて不正アクセスの検証を行う。不正アクセスの検証は、ゲートウェイ装置１０にて受信した車外からのパケットの通信ヘッダ、及び各ポートへのアクセスパターンをアクセスパターンＤＢの内容と比較することにより行う。具体的には、（１）アクセスに使用されるプロトコルの仕様に準拠しているかどうか、（２）プロトコルで使用されるコマンド、ＵＲＬ等の内容、データの長さが適切であるか、（３）予め定めたアクセス条件（例えば、送信元アドレス、送信先アドレス、ポート番号等の組合わせ）に合致するか、（４）単位時間あたりのアクセス回数が許容範囲内であるか、という観点から不正アクセスか否かを決定する。
【００３７】
（１）プロトコルの仕様に準拠しているかどうか、（２）プロトコルで使用されるコマンド等が適切であるか、という点については受信したパケットの通信ヘッダに基づいて検証することができる。以下では、インターネット網で利用されるＨＴＴＰプロトコルを例にとって説明する。
図３は、ＨＴＴＰプロトコルで使用されるパケットの概念図である。ＨＴＴＰプロトコル使用のもとでは、ＩＰヘッダ、ＴＣＰヘッダ、ＨＴＴＰヘッダ、ＨＴＴＰデータの順に検証される。検証内容は、パケットにおけるＩＰヘッダの各フィールドが正しい範囲に収まっているかどうか、ＩＰヘッダのＩＰパケット全体長の値とＩＰヘッダ長の値に矛盾がないかどうか等である。違反している場合、不正アクセスの可能性があると判定する。ＴＣＰヘッダの検証もＩＰヘッダの検証と同様である。
その後、ＨＴＴＰヘッダの各フィールドのフォーマットが仕様通りに記述されているか、ＨＴＴＰデータのフォーマットが仕様通りに記述されているかを検証する。
【００３８】
（３）予め定めたアクセス条件に合致するか、（４）単位時間当たりのアクセス回数が許容範囲内であるか、という点については各ポートへのアクセスパターンをアクセスパターンＤＢ１０２ｂに記憶された内容と比較することによって検証する。
例えば、前述のＤｏＳ攻撃は、侵入者のコンピュータから攻撃対象に大量のパケットを短時間で送信し、攻撃対象の情報機器をのシステムリソースをダウンさせる攻撃である。したがって、受信したパケットの通信ヘッダから送信先ポート及び送信元ポートを抽出し、１つの送信元から１つの送信先へのパケット量が許容範囲を超えているか否かを検証することで、不正アクセスを検出することが可能である。
【００３９】
図４は、本実施の形態に係る車載通信システムを利用した通信手順を説明するフローチャートである。車載通信装置（例えば、携帯電話機１１）が車外の通信装置からパケットを受信した場合（ステップＳ１）、受信したパケットをゲートウェイ装置１０へ送信する（ステップＳ２）。
【００４０】
ゲートウェイ装置１０は、車載通信装置から送信されたパケットを受信した場合（ステップＳ３）、ゲートウェイ装置１０のマイクロコンピュータ１０１は、受信したアクセスパターンＤＢ１０２ｂに基づいてパケットを検証する（ステップＳ４）。具体的には、前述したように（１）アクセスに使用されるプロトコルの仕様に準拠しているかどうか、（２）プロトコルで使用されるコマンド、ＵＲＬ等の内容、データの長さが適切であるか、（３）予め定めたアクセス条件に合致するか、（４）単位時間あたりのアクセス回数が許容範囲内であるか、という観点からパケットを検証する。
【００４１】
次いで、マイクロコンピュータ１０１は不正アクセスを検出したか否かを判断し（ステップＳ５）、不正アクセスを検出した場合（Ｓ５：ＹＥＳ）、受信したパケットの通信ヘッダを調べることによりパケットの送信元の車載通信装置を識別する（ステップＳ６）。
そして、マイクロコンピュータ１０１は、車外通信装置との通信を切断要求するために制御信号をステップＳ６で識別した車載通信装置（携帯電話機１１）へ送信する（ステップＳ７）。また、マイクロコンピュータ１０１は、記憶部１０２が有する経路制御テーブル１０２ａを更新し（ステップＳ８）、他の車載通信装置であるＤＳＲＣ装置１２又は無線通信装置１３を経由する通信経路に切替える。
【００４２】
車載通信装置（携帯電話機１１）が切断要求の制御信号を受信した場合（ステップＳ９）、当該車載通信装置は車外通信装置とのコネクションを切断する（ステップＳ１０）。
【００４３】
なお、本実施の形態では、不正アクセスが検出され通信経路を切断した後の回復処理については記載していないが、所定時間後に再接続を試みて不正アクセスが検出されない場合、車載ＬＡＮ１５にコネクションを提供するようにしてもよい。
【００４４】
また、本実施の形態では、不正アクセスの検出時に車載通信装置と通信網Ｎとのコネクションを切断するようにしているが、不正アクセスが検出された際にインターネットプロバイダ、路側通信装置等に不正アクセスを検出した旨の情報を通知するようにしてもよい。
【００４５】
実施の形態２．
実施の形態１で説明したゲートウェイ装置１０はコネクタ１０７ａ〜１０７ｃを備えており、各コネクタ１０７ａ〜１０７に個別のアドレスを割り当てるとともに、携帯電話機１１，ＤＳＲＣ装置１２，無線通信装置１３を各コネクタ１０７ａ〜１０７ｃに接続する構成とした。ゲートウェイ装置１０の車載通信装置側に同一のアドレスを割り当てた場合、ある車載通信装置のコネクションを切断しても、他の車載通信装置からアクセスできるためであり、これを防止するために各コネクタ１０７ａ〜１０７ｃに個別のアドレスを割り当てるようにしている。
しかし、いわゆる仮想ＬＡＮの機能を利用した場合、１つの物理的なインタフェースに複数の仮想的なＬＡＮを接続することが可能となる。本実施の形態では、仮想ＬＡＮを利用した車載通信システムについて説明する。
【００４６】
図５は本実施の形態に係る車載通信システムの概略構成図である。実施の形態１と同様に、オーディオ装置１６、ドライブレコーダ１７、ナビゲーション装置１８、モニタ装置１９等の車載器が、ＩＥＥＥ１３９４，ＭＯＳＴ等の規格に準拠した車載ＬＡＮ１５を介してゲートウェイ装置２０へ接続されている。
ゲートウェイ装置２０には、携帯電話機１１、ＤＳＲＣ装置１２、無線通信装置１３等の車載通信装置が接続されており、当該車載通信装置を利用してインターネット網のような車外の通信網Ｎに接続できるようにしている。本実施の形態では、各車載通信装置をゲートウェイ装置２０へ接続する１つのインタフェースに３つの仮想ＬＡＮを持たせており、各仮想ＬＡＮに携帯電話機１１、ＤＳＲＣ装置１２、無線通信装置１３の夫々を接続している。
【００４７】
車外の通信網Ｎから送信される各種の情報は車載通信装置が受信した後、ゲートウェイ装置２０により中継され、車載ＬＡＮ１５に接続された車載器へ送信される。また、車載ＬＡＮ１５に接続された車載器から車外の通信網Ｎへ接続する際には、ゲートウェイ装置２０にて動的に最適な通信経路を選択し、ルーティングできるようになっている。
本実施の形態に係るゲートウェイ装置２０は、実施の形態１で説明したものと同様に、車載通信装置に対する動的経路制御機能に加えて車外から不正アクセスを検出する機能、及び車載通信装置に対するコネクションを管理する機能を有している。
【００４８】
図６はゲートウェイ装置２０の内部構成を示すブロック図である。ゲートウェイ装置２０はＭＰＵを有するマイクロコンピュータ２０１を備えており、マイクロコンピュータ２０１には、フラッシュメモリ等の記憶部２０２及び中継ＬＳＩ２０３が接続されている。
【００４９】
中継ＬＳＩ２０３には、車載ＬＡＮ１５側の通信インタフェースＬＳＩ２０４、及び車載通信装置側の通信インタフェースＬＳＩ２０６が接続されている。通信インタフェースＬＳＩ２０４には、コネクタ２０５を介して車載ＬＡＮ１５が接続されており、車載ＬＡＮ１５に接続された各種車載器からの情報を受信して中継ＬＳＩ２０３へ送出すると共に、中継ＬＳＩ２０３を通じて入力された車外からの情報を車載器側へ送出する。
このとき、通信インタフェースＬＳＩ２０４では、主として物理層及びデータリンク層の処理を行う。また、中継ＬＳＩ２０３は、中継するデータのネットワーク層、トランスポート層の通信ヘッダをチェックして、データの転送処理、及びヘッダにおけるＩＰアドレス、ポート番号の付け替え処理を行う。
【００５０】
一方、通信インタフェースＬＳＩ２０６には、コネクタ２０７を介して携帯電話機１１、ＤＳＲＣ装置１２、及び無線通信装置１３が接続されている。コネクタ２０７に異なる３つのアドレスを割り当てて仮想ＬＡＮを形成し、各仮想ＬＡＮにそれぞれ車載通信装置を接続する。例えば、コネクタ２０７に３つのアドレス「１９０．０．０．＊」、「１９０．０．１．＊」、「１９０．０．２．＊」を持たせるとともに、携帯電話機１１に「１９０．０．０．１」、ＤＳＲＣ装置１２「１９０．０．１．１」、無線通信装置１３に「１９０．０．２．１」を割り当てることで、３つの仮想ＬＡＮを形成する。
中継ＬＳＩ２０３を通じて入力された車外へ送信すべき情報を携帯電話機１１，ＤＳＲＣ装置１２，又は無線通信装置１３へ送出する。データの送出先は、マイクロコンピュータ２０１が作成した経路制御テーブル２０２ａに従い、中継ＬＳＩ２０３により実行されたルーティング処理に従う。通信インタフェースＬＳＩ２０６は、前述と同様に主として物理層及びデータリンク層の処理を行う。
【００５１】
記憶部２０２には、通信制御を行うための各種制御プログラムが記憶されており、マイクロコンピュータ２０１が当該制御プログラムを実行することで、ゲートウェイ装置２０として機能する。また、記憶部２０２には、車載通信装置の通信状況に応じて通信先のＩＰアドレス等が記憶される経路制御テーブル２０２ａと、不正アクセスに係るアクセスパターンを記憶したアクセスパターンＤＢ２０２ｂとを有しており、マイクロコンピュータ２０１の指示に応じて読出し処理、及び書込み処理が適宜行われる。また、記憶部２０２には、マイクロコンピュータ２０１の演算処理中に発生したデータ、通信インタフェースＬＳＩ２０４，２０６を通じて送受信したデータ等が一時的に記憶される。
【００５２】
通信インタフェースＬＳＩ２０６を通じて中継ＬＳＩ２０３に入力されるパケットは、ネットワーク層レベルであり、ルーティング処理は基本的に中継ＬＳＩ２０３が行う。不正アクセスの検出、車載通信装置の状況に応じた動的経路制御、不正アクセス検出結果に基づくコネクション制御等のトランスポート層よる上位の処理は、マイクロコンピュータ２０１により行われる。
マイクロコンピュータ２０１が行う処理は実施の形態１と同様であり、例えば、不正アクセス検出の際には、（１）アクセスに使用されるプロトコルの仕様に準拠しているかどうか、（２）プロトコルで使用されるコマンド、ＵＲＬ等の内容、データの長さが適切であるか、（３）予め定めたアクセス条件に合致するか、（４）単位時間あたりのアクセス回数が許容範囲内であるか、という観点からパケットを検証する。
【００５３】
【発明の効果】
以上、詳述したように、第１発明及び第６発明による場合は、複数の車載通信装置と情報機器とが中継装置を介して接続されており、車載通信装置を通じて車外からの接続要球情報が中継装置に入力された場合、中継装置は、情報機器へ接続すべきか否かを判定し、接続すべきでないと判定した場合、当該車載通信装置による車外との通信を切断するようにしている。したがって、入力された接続要求情報に基づいて不正アクセスを検出した場合、不正アクセスが検出された際に通信経路となっている車載通信装置のコネクションを切断するため、中継装置へ接続された情報機器への不正アクセスを防止することができるとともに、不正アクセスに伴う通信不能の状態を回避することができる。
【００５４】
第２発明及び第７発明による場合は、外部からの接続要求に対して中継装置が情報機器への接続を不可と判定した場合、接続要求情報の送信元と異なる車載通信装置を経由する通信経路を設定するようにしている。したがって、不正アクセスが検出された際に通信経路となっている車載通信装置のコネクションを切断し、当該車載通信装置を経由しない通信経路に切替えることにより、中継装置及び通信経路の高負荷による通信不能状態が回避され、中継装置に接続された情報機器は通信経路の遮断を意識することなく車外通信装置と通信を行うことができる。
【００５５】
第３発明及び第８発明による場合は、外部から受信した接続要求情報が、予め記憶された接続手順に従うか否かを判定することにより、情報機器への接続の可否を判定するようにしている。したがって、例えば、サービス不能攻撃、ポートスキャン攻撃等の不正アクセスに関する接続手順を予め記憶させておき、車外通信装置から接続要求があった場合、当該接続要求による接続手順が予め記憶させた接続手順に従うか否かを判断することによって、不正アクセスか否かを判定することができる。また、記憶させる内容を随時更新することで新たな不正アクセスにも対処することが可能となる。
【００５６】
第４発明による場合は、ＩＥＥＥ１３９４のようなバス規格を利用して車載通信装置及び情報機器を中継装置へ接続することにより、ケーブルを共通化することが可能となり、省線化を図ることができる。
【００５７】
第５発明による場合は、所謂ＶＬＡＮを利用することにより、１つの通信インタフェースに複数の車載通信装置を接続することが可能となる等、本発明は優れた効果を奏する。
【図面の簡単な説明】
【図１】本実施の形態に係る車載通信システムの概略構成図である。
【図２】ゲートウェイ装置の内部構成を示すブロック図である。
【図３】ＨＴＴＰプロトコルで使用されるパケットの概念図である。
【図４】本実施の形態に係る車載通信システムを利用した通信手順を説明するフローチャートである。
【図５】本実施の形態に係る車載通信システムの概略構成図である。
【図６】ゲートウェイ装置の内部構成を示すブロック図である。
【符号の説明】
１０  ゲートウェイ装置
１１  携帯電話機
１２  ＤＳＲＣ装置
１３  無線通信装置
１５  車載ＬＡＮ
１６  オーディオ装置
１７  ドライブレコーダ
１８  ナビゲーション装置
１９  モニタ装置
１０１  マイクロコンピュータ
１０２  記憶部
１０２ａ  経路制御テーブル
１０２ｂ  アクセスパターンデータベース
１０３  中継ＬＳＩ
１０４，１０６  通信インタフェースＬＳＩ
１０５，１０７ａ，１０７ｂ，１０７ｃ  コネクタ
Ｃ  車両
Ｎ  通信網
【図１】
2004193903.tif 000003
【図２】
2004193903.tif 000004
【図３】
2004193903.tif 000005
【図４】
2004193903.tif 000006
【図５】
2004193903.tif 000007
【図６】
2004193903.tif 000008