(57)【要約】【課題】通信の信頼性を向上可能な通信システムを提供する。【解決手段】通信システム１２において、受信装置２０ｃは、複数の送信装置２０ａ、２０ｂそれぞれから受信した複数の出力信号Ｓ１、Ｓ２における第１認証情報の組合せに基づいて第１認証コードを生成する第１コード生成部６０と、出力信号Ｓ１、Ｓ２を送信した送信装置２０ａ、２０ｂそれぞれに対応する第２認証情報の組合せに基づいて第２認証コードを生成する第２コード生成部６２と、第１認証コードと第２認証コードが不一致の場合、エラー信号を出力するエラー判定部６４とを有する。【選択図】図１
2017168904.tif 000002
【特許請求の範囲】
【請求項１】
自己に固有の第１認証情報を出力信号に含めて送信する複数の送信装置と、
前記複数の送信装置からの前記出力信号を受信する少なくとも１台の受信装置と
を備える通信システムであって、
前記受信装置は、
前記複数の送信装置それぞれの第２認証情報を記憶する記憶部と、
前記複数の送信装置それぞれから受信した複数の前記出力信号における前記第１認証情報の組合せに基づいて第１認証コードを生成する第１コード生成部と、
前記出力信号を送信した前記複数の送信装置それぞれに対応する前記第２認証情報の組合せに基づいて第２認証コードを生成する第２コード生成部と、
前記第１認証コードと前記第２認証コードを比較し、前記第１認証コードと前記第２認証コードが不一致の場合、当該不一致を示すエラー信号を出力するエラー判定部と
を有することを特徴とする通信システム。
【請求項２】
請求項１に記載の通信システムにおいて、
少なくとも１台の前記送信装置について複数の識別情報が割り当てられ、
前記複数の識別情報が割り当てられた前記送信装置は、前記出力信号に含める情報の種類に応じて前記識別情報を選択して前記出力信号に含め、
前記記憶部は、前記複数の識別情報が割り当てられた前記送信装置の前記識別情報と前記第２認証情報を対応させて記憶し、
前記第２コード生成部は、前記出力信号に含まれる前記識別情報に対応する前記第２認証情報を前記記憶部から読み出し、読み出した前記第２認証情報に基づいて前記第２認証コードを生成する
ことを特徴とする通信システム。
【請求項３】
請求項２に記載の通信システムにおいて、
前記複数の識別情報が割り当てられた前記送信装置は、前記出力信号を送信する優先度を示す優先度情報を前記情報の種類に対応させて前記出力信号に含ませ、
前記複数の識別情報が割り当てられた前記送信装置は、前記優先度情報に応じた前記優先度で前記出力信号を送信し、
前記受信装置は、同一の前記送信装置から送信される前記出力信号のうち前記優先度が所定程度よりも高い信号の前記第１認証情報及び前記識別情報を抽出し、抽出した前記識別情報に対応する前記第２認証情報を前記記憶部から読み出し、読み出した前記第２認証情報に基づいて前記第２認証コードを生成する
ことを特徴とする通信システム。
【請求項４】
請求項２に記載の通信システムにおいて、
前記複数の識別情報が割り当てられた前記送信装置は、前記出力信号を送信する優先度を示す優先度情報を前記情報の種類に対応させて前記出力信号に含ませ、
前記複数の識別情報が割り当てられた前記送信装置は、前記優先度情報に応じた前記優先度で前記出力信号を送信し、
前記受信装置は、同一の前記送信装置から送信される前記出力信号のうち前記優先度が所定程度よりも低い信号の前記第１認証情報及び前記識別情報を抽出し、抽出した前記識別情報に対応する前記第２認証情報を前記記憶部から読み出し、読み出した前記第２認証情報に基づいて前記第２認証コードを生成する
ことを特徴とする通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークを介して通信する複数の送信装置及び少なくとも１台の受信装置を備える通信システムに関する。より具体的には、本発明は、特殊な認証コードを用いて通信の安全性を向上する通信システムに関する。
【背景技術】
【０００２】
特許文献１では、主として車載機における共通鍵の更新に、少なくとも積極的な契機を与え、確実な更新を推進する通信システム及び通信方法を提供することを目的としている（［０００７］、要約）。
【０００３】
当該目的を達成するため、特許文献１（要約）では、道路交通における路側機２と車載機３との通信及び車載機３同士での通信に関して、データを共通鍵で暗号化することによりセキュリティを維持する。通信は、データを共通鍵で暗号化して行われ、車載機３は、自分が最新と認識する共通鍵の他に、過去の共通鍵も記憶している。そして、車載機３は、通信相手からデータを受け取り、受け取ったデータを、最新と認識する共通鍵によって復調することを試みる。復調できない場合、過去の共通鍵によって復調できるか否かの判断を行い、その判断結果に応じて少なくとも自他の共通鍵の相対的な新旧について判断する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１２−１４７２７０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上記のように、特許文献１では、共通鍵を用いて通信の信頼性の確保を図っている（要約）。しかしながら、特許文献１の場合、共通鍵を不正に取得された場合、通信の信頼性を確保することが困難である。
【０００６】
本発明は上記のような課題を考慮してなされたものであり、通信の信頼性を向上可能な通信システムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明に係る通信システムは、
自己に固有の第１認証情報を出力信号に含めて送信する複数の送信装置と、
前記複数の送信装置からの前記出力信号を受信する少なくとも１台の受信装置と
を備えるものであって、
前記受信装置は、
前記複数の送信装置それぞれの第２認証情報を記憶する記憶部と、
前記複数の送信装置それぞれから受信した複数の前記出力信号における前記第１認証情報の組合せに基づいて第１認証コードを生成する第１コード生成部と、
前記出力信号を送信した前記複数の送信装置それぞれに対応する前記第２認証情報の組合せに基づいて第２認証コードを生成する第２コード生成部と、
前記第１認証コードと前記第２認証コードを比較し、前記第１認証コードと前記第２認証コードが不一致の場合、当該不一致を示すエラー信号を出力するエラー判定部と
を有することを特徴とする。
【０００８】
本発明によれば、第１認証コードと第２認証コードが不一致の場合、当該不一致を示すエラー信号が出力される。第１認証コードは、複数の送信装置から受信した出力信号における第１認証情報の組合せに基づいて生成される。また、第２認証コードは、出力信号を送信した複数の送信装置それぞれに対応し且つ受信装置の記憶部に記憶されていた第２認証情報の組合せに基づいて生成される。
【０００９】
このため、第１認証コード及び第２認証コードのいずれも複数の送信装置に関する情報である。従って、単一の送信装置の認証情報のみを用いる場合と比較して、複数の送信装置に関する認証情報を用いることで通信の安全性を高めることが可能となる。
【００１０】
本実施形態において、少なくとも１台の前記送信装置について複数の識別情報が割り当てられてもよい。前記複数の識別情報が割り当てられた前記送信装置は、前記出力信号に含める情報の種類に応じて前記識別情報を選択して前記出力信号に含めてもよい。前記記憶部は、前記複数の識別情報が割り当てられた前記送信装置の前記識別情報と前記第２認証情報を対応させて記憶してもよい。前記第２コード生成部は、前記出力信号に含まれる前記識別情報に対応する前記第２認証情報を前記記憶部から読み出し、読み出した前記第２認証情報に基づいて前記第２認証コードを生成してもよい。これにより、単に送信装置毎に認証する場合と比較してより精緻に認証を行うことが可能となる。
【００１１】
本実施形態において、前記複数の識別情報が割り当てられた前記送信装置は、前記出力信号を送信する優先度を示す優先度情報を前記情報の種類に対応させて前記出力信号に含ませてもよい。前記複数の識別情報が割り当てられた前記送信装置は、前記優先度情報に応じた前記優先度で前記出力信号を送信してもよい。
【００１２】
前記受信装置は、同一の前記送信装置から送信される前記出力信号のうち前記優先度が所定程度よりも高い信号の前記第１認証情報及び前記識別情報を抽出し、抽出した前記識別情報に対応する前記第２認証情報を前記記憶部から読み出し、読み出した前記第２認証情報に基づいて前記第２認証コードを生成してもよい。これにより、優先度が所定程度よりも高い第１認証情報を用いて認証を行うため、相対的に短い周期で認証を繰り返すことで通信の安全性を高めることが可能となる。
【００１３】
或いは、前記受信装置は、同一の前記送信装置から送信される前記出力信号のうち前記優先度が所定程度よりも低い信号の前記第１認証情報及び前記識別情報を抽出し、抽出した前記識別情報に対応する前記第２認証情報を前記記憶部から読み出し、読み出した前記第２認証情報に基づいて前記第２認証コードを生成してもよい。これにより、優先度が所定程度よりも低い第１認証情報を用いて認証を行うため、相対的に長い周期で認証を繰り返すことで通信の安全性確保と受信装置の演算負荷低減の両立を図ることが可能となる。
【発明の効果】
【００１４】
本発明によれば、通信の信頼性を向上可能となる。
【図面の簡単な説明】
【００１５】
【図１】本発明の一実施形態に係る通信システムを有する車両の概略全体構成図である。
【図２】前記実施形態の各ノードによる内部認証情報設定制御のフローチャートである。
【図３】前記実施形態の各ノードによる内部認証情報更新制御のフローチャートである。
【図４】前記実施形態の各ノードによる送信制御のフローチャートである。
【図５】前記実施形態の各ノードによる受信制御のフローチャートである。
【発明を実施するための形態】
【００１６】
Ａ．一実施形態
＜Ａ−１．構成＞
［Ａ−１−１．全体構成］
図１は、本発明の一実施形態に係る通信システム１２（以下「システム１２」ともいう。）を有する車両１０の概略全体構成図である。後述するように、システム１２は車両１０以外に適用してもよい。システム１２の通信ネットワーク１４（以下「ネットワーク１４」ともいう。）は、ＣＡＮ（Controller Area Network）である。或いは、ネットワーク１４は、ＦｌｅｘＲａｙ、ＬＩＮ（Local Interconnect Network）等であってもよい。図１では、１つのネットワーク１４のみを示しているが、車両１０は、複数のネットワーク１４を有してもよい。
【００１７】
通信システム１２は、複数のノード２０ａ〜２０ｃと、通信線２２を有する。以下では、ノード２０ａ〜２０ｃを第１〜第３ノード２０ａ〜２０ｃともいうと共に、ノード２０と総称する。
【００１８】
後述するように、本実施形態のシステム１２では、特殊な認証コードとしての外部認証コードＣｅｘ（第１認証コード）及び内部認証コードＣｉｎ（第２認証コード）を用いることで不正な通信を検出することができる。
【００１９】
［Ａ−１−２．ノード２０］
（Ａ−１−２−１．ノード２０の全体構成）
各ノード２０は、他のノード２０との間で通信する送受信装置である。各ノード２０は、送信装置又は受信装置としての機能のみを有してもよい。
【００２０】
理解の容易化を図るため、以下では、送信装置として機能する際のノード２０を送信ノード２０ｔといい、受信装置として機能する際のノード２０を受信ノード２０ｒという。図１の例では、第１ノード２０ａ及び第２ノード２０ｂが送信ノード２０ｔであり、第３ノード２０ｃが受信ノード２０ｒである。すなわち、第１ノード２０ａは、第３ノード２０ｃに出力信号Ｓ１を送信し、第２ノード２０ｂは、第３ノード２０ｃに出力信号Ｓ２を送信する。
【００２１】
また、制御対象として説明しているノード２０（自らのノード２０）を自ノード２０ｘともいい、自ノード２０ｘが相手としている他のノード２０を他ノード２０ｙともいう。
【００２２】
車両１０において、各ノード２０は、車両１０の各部を制御する電子制御装置（以下「ＥＣＵ」ともいう。）として機能する。ＥＣＵとしては、例えば、エンジンＥＣＵ、電動パワーステアリングシステムＥＣＵ（以下「ＥＰＳ  ＥＣＵ」という。）、レーンキープアシストシステムＥＣＵ（以下「ＬＫＡＳ  ＥＣＵ」という。）、車両挙動安定化制御システムＥＣＵ（以下「ＶＳＡ  ＥＣＵ」という。）（ＶＳＡ：Vehicle Stability Assist）を含むことができる。
【００２３】
エンジンＥＣＵは、図示しないエンジンの出力を制御する。ＥＰＳ  ＥＣＵは、図示しない電動パワーステアリングシステムを制御する。ＬＫＡＳ  ＥＣＵは、図示しないレーンキープアシストシステムの制御を行う。ＶＳＡ  ＥＣＵは、図示しない制動装置を用いて車体を安定化させる制御を行う。
【００２４】
図１に示すように、各ノード２０は、入出力装置３０と、演算装置３２と、記憶装置３４とを有する。
【００２５】
（Ａ−１−２−２．入出力装置３０）
入出力装置３０は信号の入出力を行う。入出力装置３０には、アナログ／デジタル変換器及びデジタル／アナログ変換器を含むことができる。
【００２６】
（Ａ−１−２−３．演算装置３２）
演算装置３２は、個別のノード２０全体を制御する。当該制御に際し、演算装置３２は、記憶装置３４に記憶されたプログラム及びデータを用いる。演算装置３２は、中央演算装置（ＣＰＵ）を含む。
【００２７】
各ノード２０の演算装置３２は、自己が管理する制御対象に関する情報（以下「制御情報Ｉｃ」という。）を他ノード２０ｙに対して出力する。制御情報Ｉｃを受信した他ノード２０ｙは、当該制御情報Ｉｃを用いて自己の制御を実行する。
【００２８】
例えば、エンジンＥＣＵの演算装置３２は、自己が管理するエンジンに関する制御情報Ｉｃ（例えばエンジン回転速度［ｒｐｍ］、アクセルペダル開度［％］）を他のＥＣＵ（例えばＥＰＳ  ＥＣＵ）に対して出力する。制御情報Ｉｃを受信したＥＣＵは、制御情報Ｉｃを用いて自己の制御（例えば図示しないＥＰＳモータの駆動）を実行する。
【００２９】
また、各ノード２０の演算装置３２は、複数の他ノード２０ｙからの認証情報Ｉａと、自らの記憶装置３４において他ノード２０ｙ毎に記憶される認証情報Ｉａを用いることで、通信の安全性を高める（詳細は、図２〜図５を参照して後述する。）。以下では、複数の他ノード２０ｙからの認証情報Ｉａを外部認証情報Ｉａｅｘともいう。また、自らの記憶装置３４において他ノード２０ｙ毎に記憶される認証情報Ｉａを内部認証情報Ｉａｉｎともいう。
【００３０】
図１に示すように、各演算装置３２は、内部認証情報管理部５０と、送信制御部５２と、受信制御部５４とを有する。内部認証情報管理部５０は、内部認証情報Ｉａｉｎの設定（図２）及び更新（図３）を管理する。送信制御部５２は、受信ノード２０ｒに対して出力信号Ｓを送信する送信制御（図４）を実行する。受信制御部５４は、送信ノード２０ｔからの出力信号Ｓを受信する受信制御（図５）を実行する。
【００３１】
さらに、各受信制御部５４は、外部コード生成部６０と、内部コード生成部６２と、エラー判定部６４とを有する。外部コード生成部６０（第１コード生成部）は、外部認証コードＣａｅｘ（第１認証コード）を生成する。内部コード生成部６２（第２コード生成部）は、内部認証コードＣａｉｎ（第２認証コード）を生成する。エラー判定部６４は、外部認証コードＣａｅｘ及び内部認証コードＣａｉｎを用いてエラー判定を行う。
【００３２】
（Ａ−１−２−４．記憶装置３４）
記憶装置３４は、演算装置３２が用いるプログラム及びデータを記憶するものであり、ランダム・アクセス・メモリ（以下「ＲＡＭ」という。）を備える。ＲＡＭとしては、レジスタ等の揮発性メモリと、フラッシュメモリ等の不揮発性メモリとを用いることができる。また、記憶装置３４は、ＲＡＭに加え、リード・オンリー・メモリ（以下「ＲＯＭ」という。）を有してもよい。
【００３３】
＜Ａ−２．制御＞
［Ａ−２−１．概要］
次に、本実施形態における各種の制御について説明する。上記のように、本実施形態では、複数の他ノード２０ｙからの外部認証情報Ｉａｅｘと、自らの記憶装置３４において他ノード２０ｙ毎に記憶される内部認証情報Ｉａｉｎを用いることで、通信の安全性を高める。具体的には、本実施形態では、内部認証情報設定制御、内部認証情報更新制御、送信制御及び受信制御を用いる。
【００３４】
本実施形態では、各送信ノード２０ｔ（例えば第１ノード２０ａ及び第２ノード２０ｂ）は、制御情報Ｉｃに外部認証情報Ｉａｅｘを付加した信号Ｓ（図１中の信号Ｓ１、Ｓ２）を受信ノード２０ｒ（例えば第３ノード２０ｃ）に送信する。また、当該信号Ｓを受信した受信ノード２０ｒ（第３ノード２０ｃ）は、複数の信号Ｓそれぞれに含まれる外部認証情報Ｉａｅｘに基づいて外部認証コードＣａｅｘを生成する。
【００３５】
さらに、受信ノード２０ｒは、自己の記憶装置３４に記憶され且つ複数の送信ノード２０ｔそれぞれに対応する内部認証情報Ｉａｉｎに基づいて内部認証コードＣａｉｎを生成する。そして、受信ノード２０ｒは、外部認証コードＣａｅｘと内部認証コードＣａｉｎとを比較して信号Ｓ（図１の例では信号Ｓ１又はＳ２）の正当性を判定する。
【００３６】
［Ａ−２−２．内部認証情報設定制御］
図２は、本実施形態の各ノード２０による内部認証情報設定制御のフローチャートである。内部認証情報設定制御は、各ノード２０が、他ノード２０ｙの内部認証情報Ｉａｉｎを設定する制御である。車両１０においては、例えば車両１０の出荷前検査時に行われる。或いは、特定のノード２０を修理工場等において交換した場合に新たなノード２０の動作確認時に行われる。図２の内部認証情報設定制御は、各ノード２０の演算装置３２が実行する。
【００３７】
内部認証情報設定制御の具体的内容の説明に入る前に、内部認証情報設定制御の前提について説明する。本実施形態では、各ノード２０の記憶装置３４の初期状態において、自ノード２０ｘの内部認証情報Ｉａｉｎが記憶されている一方、他ノード２０ｙの内部認証情報Ｉａｉｎが記憶されていない。
【００３８】
より具体的には、各ノード２０の記憶装置３４は、内部認証情報Ｉａｉｎを記憶する領域Ｒａｉｎ（以下「内部認証情報記憶領域Ｒａｉｎ」ともいう。）を有している。そして、初期状態において、内部認証情報記憶領域Ｒａｉｎには、自ノード２０ｘの内部認証情報Ｉａｉｎが記憶されている。一方、他ノード２０ｙの内部認証情報Ｉａｉｎは、他ノード２０ｙの種類毎に割り当てがあるものの、具体的な内容は領域Ｒａｉｎに記憶されていない。
【００３９】
なお、特定の車両１０におけるノード２０の組合せがわかっている場合、各ノード２０の記憶装置３４に予め他ノード２０ｙの内部認証情報Ｉａｉｎの全てを記憶しておいてもよい。
【００４０】
また、後述するように、１台のノード２０について複数の識別情報（ＩＤ）が用いられる場合がある。さらに、１台のノード２０についての複数のＩＤのうち特定の１つ又は複数のＩＤに対応させて内部認証情報Ｉａｉｎが用いられる場合がある。そのような場合、ＩＤ毎に他ノード２０ｙの内部認証情報Ｉａｉｎが記憶される。以上が内部認証情報設定制御の前提である。
【００４１】
図２のステップＳ１１において、各ノード２０は、他ノード２０ｙから認証情報Ｉａ（外部認証情報Ｉａｅｘ）を取得する。例えば、特定のノード２０は、自らの内部認証情報Ｉａｉｎを送信すると共に、他ノード２０ｙに対してそれぞれの内部認証情報Ｉａｉｎを送信するよう要求する。これにより、各ノード２０が自らの内部認証情報Ｉａｉｎを送信するため、各ノード２０は、全ての他ノード２０ｙからの外部認証情報Ｉａｅｘ（自ノード２０ｘにとって内部認証情報Ｉａｉｎの基となるもの）を取得することとなる。
【００４２】
ステップＳ１２において、各ノード２０は、他ノード２０ｙから取得した認証情報Ｉａ（外部認証情報Ｉａｅｘ）に基づいて内部認証情報Ｉａｉｎを算出する。具体的には、各ノード２０は、特定のアルゴリズム（第１内部認証情報算出アルゴリズム）を用いて外部認証情報Ｉａｅｘから内部認証情報Ｉａｉｎを算出する。第１内部認証情報算出アルゴリズムは、例えば四則演算に関する特定の演算式を用いるものであり、各ノード２０で共通である。各内部認証情報Ｉａｉｎは、ノード２０毎に固有の値として設定される。なお、外部認証情報Ｉａｅｘを内部認証情報Ｉａｉｎとしてそのまま用いることも可能である。
【００４３】
ステップＳ１３において、各ノード２０は、ステップＳ１２で算出した内部認証情報Ｉａｉｎを自らの記憶装置３４に記憶する。
【００４４】
［Ａ−２−３．内部認証情報更新制御］
図３は、本実施形態の各ノード２０による内部認証情報更新制御のフローチャートである。内部認証情報更新制御は、各ノード２０が、自ノード２０ｘ及び他ノード２０ｙの内部認証情報Ｉａｉｎを更新する制御である。車両１０においては、例えば車両１０のイグニションスイッチ７０（ＩＧＳＷ７０）（図１）がオフ（アクセサリオンの場合を含み得る。）からオンにされた時（換言すると２回目以降の起動時）に行われる。なお、内部認証情報Ｉａｉｎを常に固定値で維持する場合、内部認証情報更新制御を省略することも可能である。図３の内部認証情報更新制御は、各ノード２０の演算装置３２が実行する。
【００４５】
ステップＳ２１において、各ノード２０は、自らの記憶装置３４に記憶されている自ノード２０ｘ及び他ノード２０ｙの内部認証情報Ｉａｉｎを更新する。具体的には、各ノード２０は、特定のアルゴリズム（第２内部認証情報算出アルゴリズム）を用いて元の内部認証情報Ｉａｉｎから新たな内部認証情報Ｉａｉｎを算出する。前記第２内部認証情報算出アルゴリズムは、各ノード２０で共通である。また、第２内部認証情報算出アルゴリズムは、例えば四則演算に関する特定の演算式を用いるものであり、図２のステップＳ１２の第１内部認証情報算出アルゴリズムと同じもの又は異なるもののいずれであってもよい。
【００４６】
ステップＳ２２において、各ノード２０は、ステップＳ２１で算出した新たな内部認証情報Ｉａｉｎを自らの記憶装置３４に記憶する。
【００４７】
［Ａ−２−４．送信制御］
図４は、本実施形態の各ノード２０による送信制御のフローチャートである。図４の送信制御は、各ノード２０の演算装置３２が実行する。図４の送信制御は、各ノード２０が起動した後の所定タイミングにおいて実行される。ここにいう所定タイミングには、例えば、所定の演算周期毎のタイミング、他ノード２０ｙから送信要求を受信したタイミングがある。また、ノード２０毎に所定タイミングは相違する。上記のように、送信主体のノード２０を送信ノード２０ｔともいう。受信主体のノード２０を受信ノード２０ｒともいう。
【００４８】
図４のステップＳ３１において、送信ノード２０ｔは、送信する情報の種類を特定する。ここでの情報は、各ノード２０（ＥＣＵ）が自ら管理する制御対象に関する情報（制御情報Ｉｃ）を含む。単一のノード２０であっても、他ノード２０ｙに対して複数種類の制御情報Ｉｃを送る場合がある。例えばエンジンＥＣＵであれば、エンジン回転速度、アクセルペダル開度等を制御情報Ｉｃとすることができる。そこで、複数種類の制御情報Ｉｃを他ノード２０ｙに送信する送信ノード２０ｔは、ステップＳ２１において、いずれの制御情報Ｉｃを送信するかを特定する。
【００４９】
ステップＳ３２において、送信ノード２０ｔは、制御情報Ｉｃの送信先を特定する。本実施形態では、制御情報Ｉｃ毎に信号Ｓに付される識別情報（ＩＤ）が送信元及び送信先を示す。このため、ＩＤの選択が送信先の特定を意味する。さらに、ＩＤは、送信ノード２０ｔが出力信号Ｓを送信する優先度Ｐも示す。なお、本実施形態では、優先度Ｐが所定程度よりも高い制御情報Ｉｃは送信周期が短く（換言すると送信頻度が多く）、優先度Ｐが前記所定程度よりも低い制御情報Ｉｃは送信周期が長い（換言すると送信頻度が少ない）。
【００５０】
ステップＳ３３において、送信ノード２０ｔは、自ノード２０ｘの内部認証情報Ｉａｉｎを出力信号Ｓに含めるか否かを判定する。当該判定は、例えば、ＩＤの内容に基づいて判定する。すなわち、上記のように、本実施形態のＩＤは、送信ノード２０ｔが出力信号Ｓを送信する優先度Ｐを意味する。
【００５１】
本実施形態では、所定程度よりも高い優先度Ｐを示すＩＤを含む出力信号Ｓが送信される場合、送信ノード２０ｔは、自ノード２０ｘの内部認証情報Ｉａｉｎを出力信号Ｓに含めると判定する。反対に、前記所定程度よりも低い優先度Ｐを示すＩＤを含む出力信号Ｓが送信される場合、送信ノード２０ｔは、自ノード２０ｘの内部認証情報Ｉａｉｎを出力信号Ｓに含めないと判定する。
【００５２】
例えば、特定の送信ノード２０ｔ（ＥＣＵ）が５種類のＩＤを有しているものとする。このうち最も優先度Ｐが高いＩＤ（ＩＤｐ１）及び２番目に優先度Ｐが高いＩＤ（ＩＤｐ２）の場合のみ自ノード２０ｘの内部認証情報Ｉａｉｎを含めるとする。この場合、送信ノード２０ｔは、ＩＤｐ１又はＩＤｐ２を含む出力信号Ｓについては自ノード２０ｘの内部認証情報Ｉａｉｎを含める。一方、３番目に優先度Ｐが高いＩＤ（ＩＤｐ３）、４番目に優先度Ｐが高いＩＤ（ＩＤｐ４）又は最も優先度Ｐが低いＩＤ（ＩＤｐ５）を含む出力信号Ｓについては自ノード２０ｘの内部認証情報Ｉａｉｎを含めない。
【００５３】
自ノード２０ｘの内部認証情報Ｉａｉｎを出力信号Ｓに含める場合（Ｓ３３：ＹＥＳ）、ステップＳ３４において、送信ノード２０ｔは、自ノード２０ｘの内部認証情報Ｉａｉｎを記憶装置３４から読み出す。
【００５４】
ステップＳ３５において、送信ノード２０ｔは、ＩＤ、制御情報Ｉｃ、自ノード２０ｘの内部認証情報Ｉａｉｎ等を組合せて出力信号Ｓを生成する。出力信号Ｓには、誤り訂正符号及び誤り検出符号の一方又は両方を含めてもよい。ここでの誤り訂正符号には、巡回符号、ハミング符号等を用いることができる。巡回符号としては、例えばＣＲＣ（Cyclic Redundancy Checking）符号を用いることができる。誤り検出符号には、例えば、パリティチェック符号を用いることができる。本実施形態のネットワーク１４はＣＡＮであるため、信号Ｓは、データフレームの形式を取る。
【００５５】
自ノード２０ｘの内部認証情報Ｉａｉｎを出力信号Ｓに含めない場合（Ｓ３３：ＮＯ）、ステップＳ３６において、送信ノード２０ｔは、制御情報Ｉｃ、ＩＤ等を組合せて出力信号Ｓを生成する。但し、自ノード２０ｘの内部認証情報Ｉａｉｎは出力信号Ｓに含めない。
【００５６】
ステップＳ３７において、送信ノード２０ｔは、出力信号ＳのＩＤが示す優先度Ｐを用いて通信調停を行う。通信調停自体は、例えば従来のＣＡＮにおける制御を用いることができる。例えば、複数の送信ノード２０ｔが出力信号Ｓを送信しようとしている場合、自ノード２０ｘの出力信号ＳのＩＤと他ノード２０ｙの出力信号ＳのＩＤとを比較することで出力信号Ｓの送信順番を決定する。例えば、ＩＤの値が小さい方が優先順位が高くなる。
【００５７】
自らの順番が来たと判定すると、ステップＳ３８において、送信ノード２０ｔは出力信号Ｓを送信する。
【００５８】
［Ａ−２−５．受信制御］
図５は、本実施形態の各ノード２０による受信制御のフローチャートである。図５の受信制御は、各ノード２０の演算装置３２が実行する。図５の受信制御は、各ノード２０が起動した後の所定タイミングにおいて実行される。ここにいう所定タイミングには、例えば、所定の演算周期毎のタイミングがある。
【００５９】
図５のステップＳ５１において、受信ノード２０ｒ（例えば第３ノード２０ｃ）は、自分（自ノード２０ｘ）宛の信号Ｓを受信したか否かを判定する。当該判定は、出力信号Ｓに含まれるＩＤに基づいて判定する。上記のように、単一の受信ノード２０ｒに対して複数のＩＤが割り当てられる場合がある。
【００６０】
自分宛の信号Ｓ（例えば第２ノード２０ｂからの信号Ｓ２）を受信した場合（Ｓ５１：ＹＥＳ）、ステップＳ５２において、受信ノード２０ｒは、送信ノード２０ｔの認証情報Ｉａ（外部認証情報Ｉａｅｘ）が出力信号Ｓに含まれているか否かを判定する。例えば、受信ノード２０ｒは、出力信号Ｓに含まれるＩＤが、送信ノード２０ｔが自ノード２０ｘの認証情報Ｉａを出力信号Ｓに含ませるＩＤ（図４のＳ３３）であるか否かを判定する。或いは、出力信号Ｓにおいて、送信ノード２０ｔの認証情報Ｉａが記憶される領域を予め固定している場合、当該領域に認証情報Ｉａを示す値が含まれているか否かにより判定してもよい。
【００６１】
なお、送信ノード２０ｔの認証情報Ｉａは、送信ノード２０ｔ自身にとっては自ノード２０ｘの内部認証情報Ｉａｉｎであるが、受信ノード２０ｒにとっては他ノード２０ｙの外部認証情報Ｉａｅｘとなる。
【００６２】
送信ノード２０ｔの認証情報Ｉａが出力信号Ｓに含まれている場合（Ｓ５２：ＹＥＳ）、ステップＳ５３において、受信ノード２０ｒは、出力信号Ｓから認証情報Ｉａ（外部認証情報Ｉａｅｘ）を読み出す。
【００６３】
ステップＳ５４において、受信ノード２０ｒは、別の送信ノード２０ｔ（例えば第１ノード２０ａ）の認証情報Ｉａ（外部認証情報Ｉａｅｘ）を受信済みであるか否かを判定する。別の送信ノード２０ｔの認証情報Ｉａを複数受信済みである場合、例えば直近に受信した認証情報Ｉａを用いる。或いは、その他の受信済み認証情報Ｉａを用いることもできる。受信ノード２０ｒは、別の送信ノード２０ｔの認証情報Ｉａを受信済みである場合（Ｓ５４：ＹＥＳ）、ステップＳ５５に進む。
【００６４】
ステップＳ５５において、受信ノード２０ｒは、２つの送信ノード２０ｔ（第１ノード２０ａ及び第２ノード２０ｂ）の認証情報Ｉａ（外部認証情報Ｉａｅｘ）の組合せに基づいて外部認証コードＣａｅｘを算出する。具体的には、受信ノード２０ｒは、特定のアルゴリズム（外部認証コード算出アルゴリズム）を用いて外部認証情報Ｉａｅｘの組合せから外部認証コードＣａｅｘを算出する。前記外部認証コード算出アルゴリズムは、例えば四則演算に関する特定の演算式を用いるものであり、各ノード２０で共通である。
【００６５】
ステップＳ５６において、受信ノード２０ｒは、２つの送信ノード２０ｔの認証情報Ｉａ（外部認証情報Ｉａｅｘ）それぞれに対応する２つの内部認証情報Ｉａｉｎを自らの記憶装置３４から読み出す。上記のように、各ノード２０の記憶装置３４には、ＩＤ毎に内部認証情報Ｉａｉｎが記憶されている。そこで、受信ノード２０ｒは、受信した複数の出力信号Ｓに含まれているＩＤに対応する２つの内部認証情報Ｉａｉｎを自らの記憶装置３４から読み出す。
【００６６】
ステップＳ５７において、受信ノード２０ｒは、ステップＳ５６で読み出した２つの内部認証情報Ｉａｉｎの組合せに基づいて内部認証コードＣａｉｎを算出する。この際の算出方法は、ステップＳ５５と同様である。
【００６７】
すなわち、受信ノード２０ｒは、特定のアルゴリズム（内部認証コード算出アルゴリズム）を用いて内部認証情報Ｉａｉｎの組合せから内部認証コードＣａｉｎを算出する。前記内部認証コード算出アルゴリズムは、例えば四則演算に関する特定の演算式を用いるものであり、各ノード２０で共通である。前記内部認証コード算出アルゴリズムは、前記外部認証コード算出アルゴリズムと等しい。
【００６８】
ステップＳ５８において、受信ノード２０ｒは、ステップＳ５５で算出した外部認証コードＣａｅｘと、ステップＳ５７で算出した内部認証コードＣａｉｎが一致するか否かを判定する。外部認証コードＣａｅｘと内部認証コードＣａｉｎが一致する場合（Ｓ５８：ＹＥＳ）、通信の正当性が確保されていると考えることができる。
【００６９】
この場合、ステップＳ５９において、受信ノード２０ｒは、信号Ｓ（例えば第２ノード２０ｂからの信号Ｓ２）に含まれる制御情報Ｉｃを予め設定された目的で利用する。或いは、先に受信していた信号Ｓ１についてもこの時点で認証が完了したと判定し、信号Ｓ１に含まれる制御情報Ｉｃを予め設定された目的で利用してもよい。
【００７０】
外部認証コードＣａｅｘと内部認証コードＣａｉｎが一致しない場合（Ｓ５８：ＮＯ）、ステップＳ６０において、受信ノード２０ｒは、エラー信号Ｓｅを出力する。当該エラー信号Ｓｅは、例えば、図示しない表示装置にエラー情報を表示させる。
【００７１】
＜Ａ−３．本実施形態の効果＞
以上説明したように、本実施形態によれば、外部認証コードＣａｅｘ（第１認証コード）と内部認証コードＣａｉｎ（第２認証コード）が不一致の場合（図５のＳ５８：ＮＯ）、当該不一致を示すエラー信号Ｓｅが出力される（Ｓ６０）。外部認証コードＣａｅｘは、複数の送信ノード２０ｔ（例えば第１ノード２０ａ及び第２ノード２０ｂ）から受信した出力信号Ｓにおける外部認証情報Ｉａｅｘ（第１認証情報）の組合せに基づいて生成される（図５のＳ５５）。また、内部認証コードＣａｉｎは、出力信号Ｓを送信した複数の送信ノード２０ｔ（例えば第１ノード２０ａ及び第２ノード２０ｂ）それぞれに対応し且つ受信ノード２０ｒ（例えば第３ノード２０ｃ）の記憶装置３４（記憶部）に記憶されていた内部認証情報Ｉａｉｎ（第２認証情報）の組合せに基づいて生成される（図５のＳ５７）。
【００７２】
このため、外部認証コードＣａｅｘ及び内部認証コードＣａｉｎのいずれも複数の送信ノード２０ｔに関する情報である。従って、単一の送信ノード２０ｔの認証情報Ｉａのみを用いる場合と比較して、複数の送信ノード２０ｔに関する認証情報Ｉａを用いることで通信の安全性を高めることが可能となる。
【００７３】
本実施形態において、少なくとも１台の送信ノード２０ｔ（送信装置）について複数のＩＤが割り当てられる。複数のＩＤが割り当てられた送信ノード２０ｔは、出力信号Ｓに含める制御情報Ｉｃ（情報）の種類に応じてＩＤを選択して出力信号Ｓに含める（図４のＳ３３〜Ｓ３６）。受信ノード２０ｒの記憶装置３４（記憶部）は、複数のＩＤが割り当てられた送信ノード２０ｔのＩＤ（送信先ＩＤ）と内部認証情報Ｉａｉｎ（第２認証情報）を対応させて記憶する。内部コード生成部６２（第２コード生成部）は、出力信号Ｓに含まれるＩＤに対応する内部認証情報Ｉａｉｎを記憶装置３４から読み出す（図５のＳ５６）。そして、内部コード生成部６２は、読み出した内部認証情報Ｉａｉｎに基づいて内部認証コードＣａｉｎ（第２認証コード）を生成する（Ｓ５７）。
【００７４】
これにより、単に送信ノード２０ｔ毎に認証する場合と比較してより精緻に認証を行うことが可能となる。
【００７５】
本実施形態において、複数の外部認証情報Ｉａｅｘ（第１認証情報）が割り当てられた送信ノード２０ｔ（送信装置）は、出力信号Ｓを送信する優先度Ｐを示すＩＤ（優先度情報Ｉｐ）を制御情報Ｉｃ（情報）の種類に対応させて出力信号Ｓに含ませる（図４のＳ３５）。複数の外部認証情報Ｉａｅｘが割り当てられた送信ノード２０ｔは、優先度情報Ｉｐに応じた優先度Ｐで出力信号Ｓを送信する（Ｓ３７、Ｓ３８）。受信ノード２０ｒ（受信装置）は、同一の送信ノード２０ｔから送信される出力信号Ｓのうち優先度Ｐが所定程度よりも高い外部認証情報Ｉａｅｘを抽出し（図５のＳ５２）、抽出した外部認証情報Ｉａｅｘに対応する内部認証情報Ｉａｉｎ（第２認証情報）を記憶装置３４（記憶部）から読み出し（Ｓ５６）、読み出した内部認証情報Ｉａｉｎに基づいて内部認証コードＣａｉｎ（第２認証コード）を生成する（Ｓ５７）。
【００７６】
これにより、優先度Ｐが所定程度よりも高い内部認証情報Ｉａｉｎを用いて認証を行うため、相対的に短い周期で認証を繰り返すことで通信の安全性を高めることが可能となる。
【００７７】
Ｂ．変形例
なお、本発明は、上記実施形態に限らず、本明細書の記載内容に基づき、種々の構成を採り得ることはもちろんである。例えば、以下の構成を採用することができる。
【００７８】
＜Ｂ−１．適用対象＞
上記実施形態では、通信システム１２を車両１０に適用した（図１）。しかしながら、例えば、外部認証コードＣａｅｘ（第１認証コード）及び内部認証コードＣａｉｎ（第２認証コード）を用いる観点からすれば、これに限らない。例えば、通信システム１２を船舶や航空機等の移動物体に用いることもできる。通信システム１２を、車両１０内のＣＡＮのように閉じたネットワーク１４に適用するのみでなく、インターネットのように公衆に開かれたネットワーク１４に適用してもよい。
【００７９】
＜Ｂ−２．通信システム１２の構成＞
上記実施形態では、ネットワーク１４は、複数の３つのノード２０ａ〜２０ｃを有していた（図１）。しかしながら、例えば、外部認証コードＣａｅｘ（第１認証コード）及び内部認証コードＣａｉｎ（第２認証コード）を用いる観点からすれば、これに限らない。例えば、ネットワーク１４は、２台以上の送信ノード２０ｔと１台以上の受信ノード２０ｒを含むものであれば、送信ノード２０ｔと受信ノード２０ｒの数は適宜変更可能である。
【００８０】
＜Ｂ−３．通信システム１２の制御＞
［Ｂ−３−１．認証情報Ｉａ］
上記実施形態では、各ノード２０ａ〜２０ｃの内部認証情報Ｉａｉｎの更新を起動時とした（図３）。しかしながら、例えば、外部認証コードＣａｅｘ（第１認証コード）及び内部認証コードＣａｉｎ（第２認証コード）を用いる観点からすれば、これに限らず、その他のタイミング（例えば電源オフ直前）に内部認証情報Ｉａｉｎを更新することも可能である。
【００８１】
上記実施形態では、各ノード２０ａ〜２０ｃは、起動する度に内部認証情報Ｉａｉｎを更新した（図３）。しかしながら、例えば、外部認証コードＣａｅｘ（第１認証コード）及び内部認証コードＣａｉｎ（第２認証コード）を用いる観点からすれば、これに限らず、内部認証情報Ｉａｉｎ（及び外部認証情報Ｉａｅｘ）を固定値のまま維持する構成も可能である。
【００８２】
［Ｂ−３−２．ＩＤ］
上記実施形態では、制御情報Ｉｃの種類に応じたＩＤが、送信元ＩＤ（送信装置識別情報）と、送信先ＩＤ（受信装置識別情報）を兼ねていた（図４のＳ３２）。しかしながら、その他の方法により送信元ＩＤ及び送信先ＩＤを設定することも可能である。例えば、個々のノード２０それぞれに固有のＩＤを用いて送信元と送信先を別々に特定することも可能である。
【００８３】
［Ｂ−３−３．優先度情報Ｉｐ］
上記実施形態において、受信ノード２０ｒは、優先度Ｐが所定程度よりも高い信号Ｓの外部認証情報Ｃａｅｘ（第１認証情報）及びＩＤを抽出した（図５のＳ５２）。しかしながら、例えば、外部認証コードＣａｅｘ（第１認証コード）及び内部認証コードＣａｉｎ（第２認証コード）を用いる観点からすれば、これに限らない。例えば、受信ノード２０ｒは、優先度Ｐが所定程度よりも低い信号Ｓの外部認証情報Ｉａｅｘ及びＩＤを抽出してもよい。この場合、受信ノード２０ｒは、抽出したＩＤに対応する内部認証情報Ｉａｉｎを記憶装置３４から読み出し、読み出した内部認証情報Ｉａｉｎに基づいて内部認証コードＣａｉｎを生成してもよい。これにより、優先度Ｐが所定程度よりも低い外部認証情報Ｉａｅｘを用いて認証を行うため、相対的に長い周期で認証を繰り返すことで通信の安全性確保と受信ノード２０ｒの演算負荷低減の両立を図ることが可能となる。
【００８４】
或いは、送信ノード２０ｔは、全ての出力信号Ｓに自ノード２０ｘの内部認証情報Ｉａｉｎを含めてもよい。この場合、受信ノード２０ｒは、特定の優先度Ｐ（所定程度よりも高い優先度Ｐ又は低い優先度Ｐ）のみについて出力信号Ｓから認証情報Ｉａ（外部認証情報Ｉａｅｘ）を抽出して用いることも可能である。
【００８５】
上記実施形態では、送信ノード２０ｔは、制御情報Ｉｃの種類毎に複数の優先度Ｐを設定し、優先度Ｐに応じて内部認証情報Ｉａｉｎの付加（図４のＳ３３〜Ｓ３６）と出力信号Ｓの送信（Ｓ３７、Ｓ３８）を行った。しかしながら、例えば、外部認証コードＣａｅｘ（第１認証コード）及び内部認証コードＣａｉｎ（第２認証コード）を用いる観点からすれば、これに限らない。例えば、各送信ノード２０ｔは、単一種類の制御情報Ｉｃのみを送信する構成にも本発明を適用可能である。
【符号の説明】
【００８６】
１０…車両                          １２…通信システム
２０ａ…第１ノード（送信装置）      ２０ｂ…第２ノード（送信装置）
２０ｃ…第３ノード（受信装置）      ３４…記憶装置（記憶部）
６０…外部コード生成部（第１コード生成部）
６２…内部コード生成部（第２コード生成部）
６４…エラー判定部
Ｃａｅｘ…外部認証コード（第１認証コード）
Ｃａｉｎ…内部認証コード（第２認証コード）
Ｉａｅｘ…外部認証情報（第１認証情報）
Ｉａｉｎ…内部認証情報（第２認証情報）
Ｉｃ…制御情報（情報）              Ｉｐ…優先度情報
Ｐ…優先度                          Ｓ、Ｓ１、Ｓ２…出力信号
Ｓｅ…エラー信号
【図１】
2017168904.tif 000003
【図２】
2017168904.tif 000004
【図３】
2017168904.tif 000005
【図４】
2017168904.tif 000006
【図５】
2017168904.tif 000007