(57)【要約】【課題】電子制御装置と外部装置とが通信している際にも、マイコンにかかる処理負荷の増大が抑制される通信システムを実現する。【解決手段】中継装置１０は、車両の内部に備えられたＥＣＵ２１と車両の外部の外部装置３０とを通信可能にするための通信経路を分割及び分割解除する論理スイッチ１１と、論理スイッチ１１を制御するマイコン１２と、を備える。マイコン１２は、外部装置３０が正規であるか否かの判定を行う。外部装置３０が正規であると判定された場合には、マイコン１２が論理スイッチ１１に対して通信経路の分割解除を行わせる。その結果、外部装置３０とＥＣＵ２１とが論理スイッチ１１を介して通信を行うことができる状態になる。【選択図】図１
2017123570.tif 000002
【特許請求の範囲】
【請求項１】
車両の内部に備えられた中継装置（１０）であって、
前記車両の内部に備えられた少なくとも一つの電子制御装置（２１）と前記車両の外部から接続される外部装置（３０）とを通信可能に接続するための通信経路（４１,４２）に設置され、前記通信経路を論理的に分割及び分割解除する論理スイッチ（１１）と、
前記論理スイッチと通信可能に接続されたマイコン（１２）と、
を備え、
前記マイコンは
前記外部装置を認証するための認証情報を、前記論理スイッチを介して前記外部装置から取得する取得部（Ｓ２０３）と、
前記取得部により取得された前記認証情報に基づいて、前記外部装置の認証を行う認証部（Ｓ２０４）と、
前記認証が成立した場合に、前記論理スイッチに対して前記通信経路の分割解除を行わせる制御部（Ｓ２０８，Ｓ４０１〜Ｓ４０５，Ｓ４０７）と、を備える、中継装置。
【請求項２】
請求項１に記載の中継装置であって、
前記論理スイッチは、前記電子制御装置、前記外部装置又は前記マイコンから受信したフレームを、当該フレームの転送先を表す転送ルール情報に従って、前記電子制御装置、前記外部装置又は前記マイコンへ転送するフレーム転送部（１１１）を備え、
前記マイコンは、前記転送ルール情報を書き換えることで、前記論理スイッチに対し、前記通信経路の分割及び分割解除を行わせる、中継装置。
【請求項３】
請求項１又は請求項２に記載の中継装置であって、
前記制御部は、前記通信経路が前記論理スイッチにより分割解除されている状態において、所定の分割条件が成立した場合に、前記論理スイッチに対して前記通信経路の分割を行わせる（Ｓ４０１〜Ｓ４０５，Ｓ４０７）、中継装置。
【請求項４】
請求項３に記載の中継装置であって、
前記制御部は、前記外部装置が取り外されたことを前記分割条件として、前記論理スイッチに対して前記通信経路の分割を行わせる（Ｓ４０１）、中継装置。
【請求項５】
請求項３又は請求項４に記載の中継装置であって、
前記制御部は、前記外部装置を識別する識別情報が変化したことを前記分割条件として、前記論理スイッチに対して前記通信経路の分割を行わせる（Ｓ４０２,Ｓ４０３）、中継装置。
【請求項６】
請求項３から請求項５までのいずれか１項に記載の中継装置であって、
前記制御部は、前記通信経路を介したフレームの送受信が無い状態が一定時間継続したことを前記分割条件として、前記論理スイッチに対して前記通信経路の分割を行わせる（Ｓ４０４）、中継装置。
【請求項７】
請求項３から請求項６までのいずれか１項に記載の中継装置であって、
前記制御部は、前記外部装置から送信されたフレームのデータ量の累積が一定のデータ量を超過したことを分割条件として、前記論理スイッチに対して前記通信経路の分割を行わせる（Ｓ４０５）、中継装置。
【請求項８】
請求項１から請求項７までのいずれか１項に記載の中継装置と、
車両の内部に備えられた少なくとも一つの電子制御装置と、
を備え、
前記電子制御装置は、
前記車両の外部から接続される外部装置を認証するための認証情報を、前記中継装置を介して前記外部装置から取得する予備取得部（Ｓ３０３）と、
前記予備取得部により取得された前記認証情報に基づいて、前記外部装置の認証を行う予備認証部（Ｓ３０４）と、
前記認証が成立した場合に、前記外部装置との通信を開始する通信部（Ｓ３０７）と、
を備える、通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、外部装置と電子制御装置との通信の中継を行う中継装置、及び、当該中継装置を備える通信システムに関する。
【背景技術】
【０００２】
車両の構成品の電子制御化に伴い、電子制御装置を備えた車両が増加している。この種の車両として、外部装置を接続するための接続部を備え、車両の内部に備えられた電子制御装置と車両の外部の外部装置とを通信可能にした構成の車両が知られている。
【０００３】
しかし、このような構成では、不正な外部装置と電子制御装置とが通信可能に接続され、例えば、電子制御装置に記憶された情報の不正な書き換えや読み出しなどが行われるおそれがある。
【０００４】
そこで、特許文献１には、不正な外部装置からの接続を抑制するために、通信経路に中継装置を設置した構成が提案されている。
特許文献１に記載のメモリ書き換えセキュリティシステムでは、マスタＥＣＵが中継装置として、外部装置であるテスタと電子制御装置との通信経路に設置されている。このシステムでは、中継装置に備えられたマイコンが、外部装置が正規であるか否かを判定し、正規であると判定した場合に、外部装置と電子制御装置との通信を許可する。この構成では、外部装置と電子制御装置との通信は、マイコンを経由して行われる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００２−１５７１６５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、前述した特許文献１の構成では、中継装置に備えられたマイコンは、電子制御装置と外部装置との通信が行われる度に、電子制御装置と外部装置との間の通信の中継処理を行わなければならないため、マイコンにかかる中継処理による処理負荷が増大する。
【０００７】
本発明は、電子制御装置と外部装置とが通信している際にも、マイコンにかかる処理負荷の増大が抑制される通信システムを実現するための技術を提供することを目的としている。
【課題を解決するための手段】
【０００８】
本発明の一側面は、車両の内部に備えられた中継装置（１０）であって、論理スイッチ（１１）と、マイコン（１２）と、を備える。論理スイッチは、車両の内部に備えられた少なくとも一つの電子制御装置（２１）と車両の外部から接続される外部装置（３０）とを通信可能に接続するための通信経路（４１,４２）に設置され、通信経路を論理的に分割及び分割解除する。マイコンは、論理スイッチと通信可能に接続され、取得部（Ｓ２０３）と、認証部（Ｓ２０４）と、制御部（Ｓ２０８）と、を備える。取得部は、外部装置を認証するための認証情報を、論理スイッチを介して外部装置から取得する。認証部は、取得部により取得された認証情報に基づいて、外部装置の認証を行う。制御部は、認証が成立した場合に、論理スイッチに対して通信経路の分割解除を行わせる。
【０００９】
このような構成によれば、外部装置の認証が成立した場合に、マイコンを経由すること無く、論理スイッチを介して電子制御装置と外部装置とが通信することによって、電子制御装置と外部装置とが通信している際にも、マイコンにかかる処理負荷の増大を抑制することができる。
【００１０】
本発明の別の側面は、通信システム（１）であって、中継装置（１０）と、車両の内部に備えられた少なくとも一つの電子制御装置（２１）と、を備える。
電子制御装置は、予備取得部（Ｓ３０３）と、予備認証部（Ｓ３０４）と、通信部（Ｓ３０７）と、を備える。予備取得部は、車両の外部から接続される外部装置（３０）を認証するための認証情報を、中継装置を介して外部装置から取得する。予備認証部は、予備取得部により取得された認証情報に基づいて、外部装置の認証を行う。通信部は認証が成立した場合に、外部装置との通信を開始する。
【００１１】
このような構成によれば、前述の効果に加えて、外部装置の認証が、中継装置だけでなく電子制御装置でも行うことができ、二重の認証を行うことができるので、よりセキュリティ性を高めることができる。
【００１２】
なお、この欄及び特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。
【図面の簡単な説明】
【００１３】
【図１】通信システムの構成を示すブロック図である。
【図２】認証要求処理のフローチャートである。
【図３】認証処理を表すフローチャートである。
【図４】予備認証処理を表すフローチャートである。
【図５】論理スイッチにより電子制御装置と外部装置との通信経路が分割された状態の例を表す図である。
【図６】論理スイッチにより電子制御装置と外部装置との通信経路が分割解除された状態の例を表す図である。
【図７】論理スイッチの構成例を表すブロック図である。
【図８】再分割処理を表すフローチャートである。
【図９】外部装置、中継装置及び電子制御装置の間の通信を表すシーケンス図である。
【発明を実施するための形態】
【００１４】
以下、図面を参照しながら、発明を実施するための形態を説明する。
［１．構成］
図１に示す通信システム１は、車両の内部に備えられる車載システムであり、中継装置１０と、車載ネットワーク２０とを備える。以下では、通信システム１が搭載される車両を「自車両」という。なお、本実施形態では、通信システム１における各装置間の通信、及び、通信システム１と後述する外部装置３０との間の通信は、インターネットプロトコルに従って行われる。つまり、これらの装置により、ＩＰベースのネットワークが構築されている。
【００１５】
車載ネットワーク２０は、複数のＥＣＵ２１と、複数のＤＣＵ２２と、を備える。各ＤＣＵ２２は、内部用通信線４２を介して中継装置１０と通信可能に接続されている。各ＤＣＵ２２は、通信バス４３を介して複数のＥＣＵ２１と通信可能に接続されている。つまり、中継装置１０とＥＣＵ２１とは、ＤＣＵ２２を介して通信可能に接続されている。
【００１６】
ＥＣＵ２１は、自車両の内部に複数備えられた電子制御装置であり、自車両に備えられたエンジンやモーター、ランプ、カーオーディオ等の装置の制御を行う。ＥＣＵ２１はそれぞれ、ＣＰＵ、ＲＯＭ、ＲＡＭ等を備え、ＣＰＵが非遷移的実体的記録媒体であるＲＯＭに記録されているプログラムを実行することにより、後述する図４に示す予備認証処理を行う。
【００１７】
ＤＣＵ２２は、自車両の内部に複数備えられた電子制御装置であり、各ＥＣＵ２１への通信バス４３を簡素化し、通信可能に接続されているＥＣＵ２１を統合して制御する。
中継装置１０は、自車両のコネクタに着脱可能な外部装置３０と車載ネットワーク２０との通信の中継を行う装置であって、不正な外部装置３０による通信を防止する機能を有する。中継装置１０は、論理スイッチ１１と、マイコン１２と、を備える。
【００１８】
論理スイッチ１１は、通信線同士の接続／切断を論理的に行うスイッチである。ここでいう、論理スイッチ１１は、ディップスイッチやプッシュスイッチなどの物理スイッチとは異なり、接続／切断の切替操作に物理的な操作を必要としないスイッチのことである。論理スイッチ１１は、自車両のコネクタに接続された状態の外部装置３０と外部用通信線４１を介して通信可能に接続される。また、論理スイッチ１１は、車載ネットワーク２０と前述した内部用通信線４２とを介して通信可能に接続されている。つまり、外部装置３０と車載ネットワーク２０とは、外部用通信線４１及び内部用通信線４２により構成される通信経路を介して通信可能であり、論理スイッチ１１は、当該通信経路に設置されている。なお、論理スイッチ１１は、後述する図３に示す認証処理の前には、図５に示すように、論理的に当該通信経路を分割している。
【００１９】
すなわち、前述のとおり、論理スイッチ１１と外部装置３０とは外部用通信線４１を介して、論理スイッチ１１と車載ネットワーク２０とは内部用通信線４２を介して接続されているが、外部用通信線４１と内部用通信線４２とは、ＶＬＡＮによって分割されている。ここでのＶＬＡＮとは、Ｖｉｒｔｕａｌ  ＬＡＮのことで、論理スイッチ１１の内部で論理的にＬＡＮセグメントを分割するために使用される技術のことである。一方、中継装置１０において、外部装置３０の認証が成立した際には、図６に示すようにＶＬＡＮによる外部用通信線４１と内部用通信線４２とにより構成される通信経路の分割が解除され、外部装置３０及び車載ネットワーク２０が直接通信可能になる。なお、外部装置３０の認証が成立するとは、マイコン１２が、外部装置３０が正規であると判定することをいう。
【００２０】
マイコン１２は、マイコン用通信線４４を介して論理スイッチ１１と通信可能に接続されている。つまり、マイコン１２は、論理スイッチ１１を介して外部装置３０と通信可能である。マイコン１２と論理スイッチ１１との間には、マイコン用通信線４４とは別に、論理スイッチ１１を制御するための通信線であるスイッチ制御通信バス４５が設けられている。また、マイコン１２と外部装置３０との間には、自車両のコネクタに対する外部装置３０の着脱を電気的に検出するためのアクティベーションライン４６が設けられている。なお、外部装置３０の着脱を、アクティベーションライン４６を介して電気的に検出することは、中継装置１０と外部装置３０との双方から検出可能である。
【００２１】
マイコン１２は、ＣＰＵ、ＲＯＭ、ＲＡＭ等を備える。ＣＰＵは、非遷移的実体的記録媒体であるＲＯＭに記録されているプログラムを実行することで、後述する図３に示す認証処理を実行する。マイコン１２は認証処理に基づいて、スイッチ制御通信バス４５を介して論理スイッチ１１を制御する。
【００２２】
次に、図７を用いて論理スイッチ１１の構成の詳細を説明する。論理スイッチ１１は、フレーム転送部１１１と、複数の論理層デバイス１１２と、複数の物理層デバイス１１３と、格納部１１４とを備える。外部用通信線４１及び内部用通信線４２は、それぞれの通信線１本につき、論理スイッチ１１の外部から順に物理層デバイス１１３と論理層デバイス１１２とが直列に接続される。
【００２３】
フレーム転送部１１１は、前述したマイコン用通信線４４を介して、マイコン１２と通信可能に接続されている。また、フレーム転送部１１１は、格納部１１４と通信可能に接続され、前述したスイッチ制御通信バス４５を介して格納部１１４はマイコン１２と通信可能に接続されている。つまり、フレーム転送部１１１は、前述した外部用通信線４１を介して外部装置３０と通信可能に接続され、前述した内部用通信線４２を介してＤＣＵ２２と通信可能に接続されている。
【００２４】
フレーム転送部１１１は、外部用通信線４１、内部用通信線４２及びマイコン用通信線４４を介して、それぞれ外部装置３０、車載ネットワーク２０及びマイコン１２からフレームを受信する。フレーム転送部１１１は、当該フレームを、後述する格納部１１４に格納された転送ルール情報に従い、外部用通信線４１、内部用通信線４２又はマイコン用通信線４４を介して、それぞれ外部装置３０、車載ネットワーク２０又はマイコン１２に転送する。なお、ここでいう転送ルール情報とは、車載ネットワーク２０、外部装置３０又はマイコン１２からフレーム転送部１１１が受信したフレームの転送先を表す情報である。また、転送ルール情報には、前述のＶＬＡＮ情報並びに論理スイッチ１１が受信したフレームのアドレス情報が含まれる。なお、ＶＬＡＮ情報は、論理スイッチ１１に接続されたポートをどのようにセグメントに分割するかを設定した情報である。ここでいうアドレス情報とは、ＩＰアドレス及びＭＡＣアドレスのことを指す。また、ここでいうフレーム転送部１１１で扱うフレームは、イーサネットフレームである。なお、「イーサネット」は登録商標である。
【００２５】
論理層デバイス１１２は、フレーム転送部１１１から受信したイーサネットフレームを、ＭＡＣフレームに変換し、物理層デバイス１１３に送信する。また、論理層デバイス１１２は物理層デバイス１１３から受信したＭＡＣフレームを、イーサネットフレームに変換し、フレーム転送部１１１に送信する。
【００２６】
物理層デバイス１１３は、論理層デバイス１１２から受信したＭＡＣフレームを、電気信号に変換し、車載ネットワーク２０又は外部装置３０に送信する。また、物理層デバイス１１３は、車載ネットワーク２０及び外部装置３０から受信した電気信号を、ＭＡＣフレームに変換し、論理層デバイス１１２へ送信する。
【００２７】
格納部１１４は、各種の情報を格納するデータベースの一種である。各種情報には、前述の転送ルール情報に加え、受信フレーム情報及びスイッチ状態情報が含まれる。ここでいう、受信フレーム情報は、フレーム転送部１１１が、マイコン１２、車載ネットワーク２０及び外部装置３０から受信したフレームの数や、受信したフレームのＭＡＣアドレスの数等の統計情報である。また、スイッチ状態情報は、フレーム転送部１１１に備えられたマイコン１２、車載ネットワーク２０及び外部装置３０が、通信可能に接続されるポートに接続されているか否かを表す情報である。
【００２８】
［２．処理］
次に、外部装置３０が行う認証要求処理を図２のフローチャートを用いて説明する。この処理は、外部装置３０が自車両のコネクタに接続され、外部装置３０が、アクティベーションライン４６を介してマイコン１２との接続を電気的に検出したことをトリガとして開始される。
【００２９】
Ｓ１０１で、外部装置３０は、論理スイッチ１１とマイコン１２とにＩＰアドレスを割り当てる。ＩＰアドレスを割り当てることによってＩＰ通信が可能となり、外部装置３０と、マイコン１２との間でＴＣＰ接続を実施することでＴＣＰ通信が可能となる。
【００３０】
Ｓ１０２で、外部装置３０は、マイコン１２から第１ビークルアナウンスメントを受信する。ここでいう第１ビークルアナウンスメントは、後述する第１ルーティングアクティベーションリクエストを外部装置３０からマイコン１２に向けて送信させることの要求である。なお、中継装置１０、ＥＣＵ２１及びＤＣＵ２２のＩＰアドレスや自車両に固有の車両識別番号などの接続先の情報が、第１ビークルアナウンスメントに付加される。
【００３１】
Ｓ１０３で、外部装置３０は、第１ルーティングアクティベーションリクエストをマイコン１２に送信する。この第１ルーティングアクティベーションリクエストは、マイコン１２に対する外部装置３０が正規であるか否かを判定する処理の要求であり、この第１ルーティングアクティベーションリクエストには、認証情報が含まれる。
【００３２】
ここでいう認証情報とは、外部装置３０が正規の装置であるか否か判定可能な情報である。認証情報の例としては、正規の外部装置３０に共通の認証コードや、正規の外部装置３０それぞれに固有の識別情報等が挙げられる。
【００３３】
Ｓ１０４で、外部装置３０は、Ｓ１０３でマイコン１２が行った判定の結果である応答信号を受信する。応答信号とは、マイコン１２が、外部装置３０が正規であると判断した場合には肯定応答を、正規でないと判断した場合には、否定応答を示す信号である。外部装置３０がマイコン１２の応答信号を受信すると、Ｓ１０５で、応答が肯定応答か否かを判定する。肯定応答でない場合、つまり否定応答である場合には、外部装置３０の処理は終了する。肯定応答の場合には、次の処理に移行する。
【００３４】
肯定応答の場合、論理スイッチ１１での通信経路の分割解除の処理により、外部装置３０は、すべてのＥＣＵ２１及びＤＣＵ２２との通信が可能になる。なお、このとき、ＥＣＵ２１が格納部１１４からＩＰアドレスを割り当てることによってＩＰ通信が可能となり、外部装置３０とＥＣＵ２１との間でＴＣＰ接続を実施することでＴＣＰ通信が可能となる。
【００３５】
ＥＣＵ２１との通信が可能になると、Ｓ１０６で、外部装置３０は、すべてのＥＣＵ２１から第２ビークルアナウンスメントを受信する。ここでいう第２ビークルアナウンスメントは、後述する第２ルーティングアクティベーションリクエストを外部装置３０からマイコン１２に向けて送信させることの要求である。なお、ＥＣＵ２１及びＤＣＵ２２のＩＰアドレスや自車両に固有の車両識別番号などの接続先の情報が、第２ビークルアナウンスメントに付加される。
【００３６】
Ｓ１０７で、外部装置３０は、第２ルーティングアクティベーションリクエストをＥＣＵ２１に送信する。この第２ルーティングアクティベーションリクエストは、ＥＣＵ２１に対する、外部装置３０が正規であるか否かを判定する処理の要求であり、この第２ルーティングアクティベーションリクエストには、認証情報が含まれる。ここでいう認証情報及び外部装置３０が正規であるか否かを判定する処理は、前述のものと同一である。
【００３７】
Ｓ１０８で、外部装置３０が、Ｓ１０７でＥＣＵ２１が行った、外部装置３０が正規であるか否かを判定する処理の結果である応答信号を受信する。外部装置３０がＥＣＵ２１の応答信号を受信すると、Ｓ１０９で、応答が肯定応答か否かを判定する。ＥＣＵ２１は肯定応答の場合、外部装置３０との通信を許容する状態になる。肯定応答の場合には、Ｓ１１０で、ＥＣＵ２１と診断通信を開始する。否定応答の場合には、外部装置３０の処理は終了する。
【００３８】
次に、マイコン１２が行う認証処理を図３のフローチャートを用いて説明する。この処理は、外部装置３０が自車両のコネクタに接続され、マイコン１２が、アクティベーションライン４６を介して、外部装置３０との接続を電気的に検出したことをトリガとして開始される。
【００３９】
Ｓ２０１で、マイコン１２は、外部用通信線４１、論理スイッチ１１及びマイコン用通信線４４を介して、外部装置３０からマイコン１２及び外部装置３０のＩＰアドレスを取得する。マイコン１２が、マイコン１２及び外部装置３０のＩＰアドレスを割り当てることによってＩＰ通信が可能となり、外部装置３０とマイコン１２との間でＴＣＰ接続を実施することでＴＣＰ通信が可能となる。
【００４０】
Ｓ２０２で、マイコン１２は、外部装置３０に、前述の第１ビークルアナウンスメントを送信する。
Ｓ２０３で、マイコン１２は、外部装置３０から、前述の第１ルーティングアクティベーションリクエストを受信する。
【００４１】
Ｓ２０４で、マイコン１２は、Ｓ２０３で受信した第１ルーティングアクティベーションリクエストに含まれる認証情報に基づき、前述の外部装置３０が正規であるか否かを判定する処理を行う。判定の結果、マイコン１２が、外部装置３０は正規でないと判定した場合には、Ｓ２０５で外部装置３０に否定応答の応答信号を送信し、処理を終了する。外部装置３０は正規であると判定した場合には、マイコン１２は、以降の処理を行う。すなわち、Ｓ２０６で外部装置３０に肯定応答の応答信号を送信し、Ｓ２０７で、前述のアドレス情報を転送ルール情報の一部として、論理スイッチ１１の格納部１１４に保存する。なお、アドレス情報の取得は、マイコン１２が、外部装置３０からフレームを受信した任意のタイミングで行われる。
【００４２】
Ｓ２０８で、マイコン１２が、論理スイッチ１１に通信経路の分割解除を行わせ、Ｓ２０９で、マイコン１２がすべてのＥＣＵ２１に、外部装置３０が接続されたことを通知し、前述の外部装置３０のアドレス情報を送信し、処理を終了する。
【００４３】
次に、ＥＣＵ２１が行う予備認証処理を図４のフローチャートを用いて説明する。この処理は、外部装置３０が正規であると判定されたことの通知を、ＥＣＵ２１がマイコン１２から受信したことをトリガとして、開始される。
【００４４】
Ｓ３０１で、ＥＣＵ２１は、外部装置３０からＥＣＵ２１のＩＰアドレスを取得する。ＥＣＵ２１がＩＰアドレスを割り当てることによってＩＰ通信が可能となり、外部装置３０とＥＣＵ２１との間でＴＣＰ接続を実施することでＴＣＰ通信が可能となる。なお、ＥＣＵ２１は、外部装置３０のアドレス情報を、前述の格納部１１４に保存された情報に基づき把握してもよい。
【００４５】
外部装置３０のＩＰアドレスを受信すると、受信した外部装置３０のＩＰアドレスを元に、Ｓ３０２で、ＥＣＵ２１は、外部装置３０に前述の第２ビークルアナウンスメントを送信する。
【００４６】
ＥＣＵ２１は、Ｓ３０３で、外部装置３０から、前述の第２ルーティングアクティベーションリクエストを受信し、Ｓ３０４で、前述の外部装置３０が正規であるか否かを判定する処理を行う。
【００４７】
判定の結果、ＥＣＵ２１が、外部装置３０は正規でないと判定した場合には、ＥＣＵ２１は、Ｓ３０５で、外部装置３０に否定応答を送信し、予備認証処理を終了する。ＥＣＵ２１が、外部装置３０は正規であると判定した場合には、ＥＣＵ２１は、Ｓ３０６で、外部装置３０に肯定応答を送信し、Ｓ３０７で、外部装置３０との診断通信を開始する。
【００４８】
次に、外部用通信線４１と内部用通信線４２とにより構成される通信経路が論理スイッチ１１により分割解除されている状態において、マイコン１２が当該通信経路を再度分割する処理である再分割処理を図８のフローチャートを用いて説明する。この処理は、当該通信経路が論理スイッチ１１により分割解除されている状態において、任意の周期で実行される。
【００４９】
Ｓ４０１で、マイコン１２は、外部装置３０が、自車両のコネクタから取り外されたか否かを判定する。すなわち、マイコン１２が、アクティベーションライン４６を介して、外部装置３０の着脱を電気的に検出する他、マイコン１２が、前述のスイッチ状態情報を格納部１１４から取得することで、外部装置３０が取り外されたか否かを判定する。Ｓ４０１で外部装置３０が取り外されたと判定した場合には、後述のＳ４０６に移る。
【００５０】
Ｓ４０１で外部装置３０が取り外されたと判定しなかった場合には、Ｓ４０２で、マイコン１２は、外部装置３０のＭＡＣアドレスが変更されたか否かを判定する。すなわち、マイコン１２は、格納部１１４に保存された前述の受信フレーム情報をスイッチ制御通信バス４５を介して取得することで、認証成立時点の外部装置３０のＭＡＣアドレスを取得する。一方、マイコン用通信線４４を介して、外部装置３０からフレームを受信する。外部装置３０から受信したフレームには、フレームを受信した時点での外部装置３０のＭＡＣアドレスが含まれている。このようにして、マイコン１２が、認証成立時点の外部装置３０のＭＡＣアドレス及びフレームを受信した時点での外部装置３０のＭＡＣアドレスを比較することで、ＭＡＣアドレスが変更されたか否かを判定する。Ｓ４０２でＭＡＣアドレスが変更されたと判定した場合には、後述のＳ４０６に移る。
【００５１】
Ｓ４０２でＭＡＣアドレスが変更されたと判定しなかった場合には、Ｓ４０３で、マイコン１２は、外部装置３０のＩＰアドレスが変更されたか否かを判定する。Ｓ４０２でのＭＡＣアドレスの変更の有無の判定と同様の方法で行う。すなわち、マイコン１２は、格納部１１４に保存された前述の受信フレーム情報をスイッチ制御通信バス４５を介して取得することで、認証成立時点の外部装置３０のＩＰアドレスを取得する。一方、マイコン用通信線４４を介して、外部装置３０からフレームを受信する。外部装置３０から受信したフレームには、フレームを受信した時点での外部装置３０のＩＰアドレスが含まれている。このようにして、マイコン１２が、認証成立時点の外部装置３０のＩＰアドレス及びフレームを受信した時点での外部装置３０のＩＰアドレスを比較することで、ＩＰアドレスが変更されたか否かを判定する。Ｓ４０２でＩＰアドレスが変更されたと判定した場合には、後述のＳ４０６に移る。
【００５２】
Ｓ４０３でＩＰアドレスが変更されたと判定しなかった場合には、Ｓ４０４で、マイコン１２は、フレームの送受信が無い状態が一定時間継続されているか否かを判定する。すなわち、マイコン１２は、格納部１１４に格納された前述の受信フレーム情報を取得し、受信したフレーム数が一定時間変化していないか否かを判定する。受信したフレーム数が一定時間変化していない場合には、フレームの送受信が無い状態が一定時間継続されていると判定する。Ｓ４０４でフレームの送受信が無い状態が一定時間継続されていると判定した場合には、後述のＳ４０６に移る。
【００５３】
Ｓ４０４でフレームの送受信が無い状態が一定時間継続されていると判定しなかった場合には、Ｓ４０５で、マイコン１２は、外部装置３０から格納部１１４に格納された前述の受信フレーム情報を取得し、受信したデータ量の一定時間内の累積が一定の量を超過したか否かを判定する。Ｓ４０５で受信したデータ量の一定時間内の累積が一定の量を超過したと判定した場合には、後述のＳ４０６に移る。Ｓ４０５で受信したデータ量の一定時間内の累積が一定の量を超過したと判定しなかった場合には、前述のＳ４０１に戻る。
【００５４】
Ｓ４０６で、マイコン１２は、格納部１１４に保存された外部装置３０のアドレス情報を消去する。すなわち、マイコン１２は、外部装置３０が正規であると判定した際に論理スイッチ１１の格納部１１４に保存した外部装置３０のアドレス情報を、消去する。
【００５５】
Ｓ４０７で、マイコン１２は、論理スイッチ１１に通信経路の分割を行わせる。すなわち、マイコン１２は、論理スイッチ１１を認証成立する前の状態に戻す。その後、処理を終了する。
【００５６】
次に、前述の、認証要求処理、認証処理及び予備認証処理が実行されることによって実現される、ＥＣＵ２１と外部装置３０とが診断通信を行うまでのシステム全体が行う処理の流れを図９のシーケンス図を用いて説明する。このシステム全体が行う処理の流れは、外部装置３０が自車両のコネクタに接続され、マイコン１２及び外部装置３０が互いに、アクティベーションライン４６を介して互いの接続を検出したことをトリガとして、開始される。なお、ここでは外部装置３０が正規であることを前提として説明する。
【００５７】
すなわちＳ５０１で、マイコン１２は、外部用通信線４１、論理スイッチ１１及びマイコン用通信線４４を介して、外部装置３０からマイコン１２のＩＰアドレスを取得する。マイコン１２がＩＰアドレスを割り当てることによってＩＰ通信が可能となり、外部装置３０とマイコン１２との間でＴＣＰ接続を実施することでＴＣＰ通信が可能となる。
【００５８】
Ｓ５０２で、マイコン１２は、外部装置３０に、前述の第１ビークルアナウンスメントを送信する。
Ｓ５０３で、外部装置３０は、前述の第１ルーティングアクティベーションリクエストをマイコン１２に送信する。
【００５９】
マイコン１２が、外部装置３０から送信された認証情報を受け取ると、受け取った認証情報に基づき、外部装置３０が正規であるか否かの判定を行う。判定の結果、外部装置３０が正規であると判定すると、マイコン１２は、以降の処理を行う。すなわち、Ｓ５０４で、マイコン１２は、外部装置３０に肯定応答の応答信号を送信する。Ｓ５０５で、マイコン１２は、前述のアドレス情報を転送ルール情報の一部として、論理スイッチ１１の格納部１１４に保存する。Ｓ５０６で、マイコン１２は、論理スイッチ１１に通信経路の分割解除を行わせ、Ｓ５０７で、マイコン１２はＥＣＵ２１に、外部装置３０が接続されたことを通知する。
【００６０】
Ｓ５０８で、ＥＣＵ２１は、外部装置３０からＥＣＵ２１に割り当てられるＩＰアドレスを取得する。ＥＣＵ２１がＩＰアドレスを割り当てることによってＩＰ通信が可能となり、外部装置３０とＥＣＵ２１との間でＴＣＰ接続を実施することでＴＣＰ通信が可能となる。
【００６１】
Ｓ５０９で、ＥＣＵ２１は外部装置３０のＩＰアドレスを取得する。なお、ＥＣＵ２１は外部装置３０のＩＰアドレスを前述の格納部１１４に保存された情報に基づき把握してもよい。
【００６２】
ＥＣＵ２１が、外部装置３０のＩＰアドレスを受信すると、Ｓ５１０で、外部装置３０に前述の第２ビークルアナウンスメントを送信する。
Ｓ５１１で、外部装置３０は、前述の第２ルーティングアクティベーションリクエストを、ＥＣＵ２１に送信する。
【００６３】
ＥＣＵ２１が外部装置３０から送信された認証情報を受け取ると、ＥＣＵ２１は外部装置３０が正規であるか否かの判定を行う。判定の結果、外部装置３０が正規であると判定すると、ＥＣＵ２１は、Ｓ５１２で、外部装置３０に肯定応答を送信し、Ｓ５１３で、外部装置３０と診断通信を開始する。
【００６４】
［３．効果］
以上詳述した実施形態によれば、以下の効果が得られる。
（３ａ）本実施形態では、マイコン１２が、外部装置３０の認証情報を取得し、その認証情報に基づいて外部装置３０を認証し、論理スイッチ１１に対して通信経路を分割解除させる。論理スイッチ１１による通信経路の分割解除後、外部装置３０とＥＣＵ２１とは、マイコン１２を介さずに通信する。したがって、マイコン１２を経由して外部装置３０とＥＣＵ２１とが通信する場合に比べて、マイコン１２にかかる処理負荷の増大が抑制される。
【００６５】
（３ｂ）仮に、本実施形態と同様の構成で、外部装置３０とＥＣＵ２１との間の通信経路の分割に使用するスイッチが物理スイッチであるとした場合、マイコン１２には、外部装置３０と通信するためのポートと、ＥＣＵ２１と通信するためのポートと、少なくとも２つのポートが必要になる。これに対し、本実施形態では、外部装置３０とＥＣＵ２１との間の通信経路の分割に使用するスイッチは、論理スイッチ１１である。したがって、マイコン１２には、論理スイッチ１１と通信するためのポートが１つあれば、論理スイッチ１１を介して外部装置３０及びＥＣＵ２１のそれぞれと通信することができる。
【００６６】
（３ｃ）外部装置３０とＥＣＵ２１との間の通信経路が分割されていない状態で、外部装置３０が、通信システム１内の各装置にＩＰアドレスを割り当てると、中継装置１０及びＥＣＵ２１に割り当てられたＩＰアドレスが重複し、外部装置３０などから送信されるデータの送り先が重複するため、通信が不安定になる場合がある。本実施形態では、外部装置３０が、正規であると判定される前は、論理スイッチ１１によって、通信経路は分割されている。このため、外部装置３０が通信システム１に通信可能に接続されても、通信経路が分割解除されるまでは、外部装置３０とＥＣＵ２１とは、通信可能に接続されない。よって、外部装置３０からＩＰアドレスを取得するタイミングを、中継装置１０は通信経路が分割解除される前、ＥＣＵ２１は通信経路が分割解除された後と区別することができる。このため、中継装置１０とＥＣＵ２１とで異なるＩＰアドレスを割り当てることができる。したがって、外部装置３０は、中継装置１０とＥＣＵ２１とでＩＰアドレスを重複することなく割り当てることができ、通信が不安定になることを抑制できる。
【００６７】
（３ｄ）本実施形態では、論理スイッチ１１により通信経路が分割解除された場合において、所定の条件を満たしたときには、論理スイッチ１１による通信経路の再分割を行う。ここでは、この条件を分割条件という。所定の分割条件とは、具体的には、外部装置３０が自車両のコネクタから取り外された、外部装置３０のＭＡＣアドレス又はＩＰアドレスが変更された、論理スイッチ１１に対してフレームの送受信が無い状態が一定時間継続した、外部装置３０から論理スイッチ１１が受信したデータ量の累積が一定量超過した、というものである。仮に、所定の分割条件を満たした場合に、通信経路の再分割を行わなければ、不正な外部装置３０からＥＣＵ２１に通信可能に接続され得る。本実施形態では、所定の分割条件を満たした場合に、論理スイッチ１１によって通信経路が再分割される。このため、論理スイッチ１１による通信経路が分割解除された後でも、所定の分割条件により再分割を行うことにより、不正な外部装置３０がＥＣＵ２１と通信することを抑制し、セキュリティ性を向上することができる。
【００６８】
（３ｅ）本実施形態では、外部装置３０が正規であるか否かの判定を、マイコン１２だけでなく、ＥＣＵ２１においても行うことで、マイコン１２のみでの外部装置３０が正規であるか否かを判定する場合に比べて、セキュリティ性を向上することができる。
【００６９】
なお、本実施形態では、ＥＣＵ２１が、電子制御装置に相当する。また、外部用通信線４１及び内部用通信線４２が、通信経路に相当する。また、Ｓ２０３が取得部としての処理に相当し、Ｓ２０４が認証部としての処理に相当し、Ｓ２０８が制御部としての処理に相当する。また、本実施形態では、アドレス情報が識別情報に相当する。また、Ｓ３０３が予備取得部としての処理に相当し、Ｓ３０４が予備認証部に相当し、Ｓ３０７が通信部に相当する。
【００７０】
［４．他の実施形態］
以上、本発明を実施するための形態について説明したが、本発明は上述の実施形態に限定されることなく、種々変形して実施することができる。
【００７１】
（４ａ）上記実施形態では、ＥＣＵ２１と中継装置１０とは、ＤＣＵ２２を介して接続されるが、これらを介することは、必ずしも必要ではない。例えば、中継装置１０は、直接ＥＣＵ２１に接続されていてもよい。
【００７２】
（４ｂ）上記実施形態では、マイコン１２に対して送られる第１ルーティングアクティベーションリクエストと、ＥＣＵ２１に対して送られる第２ルーティングアクティベーションとは、認証情報が同一であるとしている。しかし、これらに含まれる認証情報は、同一の認証情報であることに限られるものではない。例えば第１ルーティングアクティベーションリクエストと第２ルーティングアクティベーションリクエストとに含まれる認証情報は別々のものであってもよい。このような構成によれば、第１ルーティングアクティベーションの認証情報と第２ルーティングアクティベーションの認証情報とが同一である場合に比べて、セキュリティ性を向上することができる。
【００７３】
（４ｃ）上記実施形態では、マイコン１２が、外部装置３０は正規であると判定した際に、論理スイッチ１１によって通信経路が分割解除され、外部装置３０は、すべてのＥＣＵ２１及びＤＣＵ２２に対して通信可能になるが、外部装置３０と通信可能に接続される対象は、すべてのＥＣＵ２１及びＤＣＵ２２であることに限られるものではない。例えばその通信可能に接続される対象は、一部のＥＣＵ２１及びＤＣＵ２２に対してのみとしてもよい。
【００７４】
（４ｄ）上記実施形態では、論理スイッチ１１による通信経路の分割が解除された後、ＥＣＵ２１は、外部装置３０のＩＰアドレスを、格納部１１４に保存された情報に基づき把握してもよいとしているが、ＥＣＵ２１が、外部装置３０のＩＰアドレスを取得する方法は、これに限られるものではない。例えば、ＥＣＵ２１は、外部装置３０から直接外部装置３０のＩＰアドレスを取得してもよい。
【００７５】
（４ｅ）上記実施形態で、マイコン１２及びＥＣＵ２１が実行する機能の一部又は全部を、１つあるいは複数のＩＣ等によりハードウェア的に構成してもよい。
（４ｆ）上記実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしてもよい。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしてもよい。また、上記実施形態の構成の一部を省略してもよい。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加又は置換してもよい。なお、特許請求の範囲に記載した文言のみによって特定される技術思想に含まれるあらゆる態様が本発明の実施形態である。
【００７６】
（４ｇ）上述した中継装置１０又は通信システム１の他、当該中継装置１０のマイコン１２としてコンピュータを機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移的実体的記録媒体など、種々の形態で本発明を実現することもできる。
【符号の説明】
【００７７】
１…通信システム、１０…中継装置、１１…論理スイッチ、１２…マイコン、２０…車載ネットワーク、２１…ＥＣＵ、２２…ＤＣＵ、３０…外部装置、４１…外部用通信線、４２…内部用通信線、４３…通信バス、４４…マイコン用通信線、４５…スイッチ制御通信バス、４６…アクティベーションライン、１１１…フレーム転送部、１１２…論理層デバイス、１１３…物理層デバイス、１１４…格納部。
【図１】
2017123570.tif 000003
【図２】
2017123570.tif 000004
【図３】
2017123570.tif 000005
【図４】
2017123570.tif 000006
【図５】
2017123570.tif 000007
【図６】
2017123570.tif 000008
【図７】
2017123570.tif 000009
【図８】
2017123570.tif 000010
【図９】
2017123570.tif 000011