特許 6024564 車載通信システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6024564

(24)【登録日】2016年10月21日

(45)【発行日】2016年11月16日

(54)【発明の名称】車載通信システム

(51)【国際特許分類】

   B60R 16/023 20060101AFI20161107BHJP

   B60R 16/02 20060101ALI20161107BHJP

   H04L 12/46 20060101ALI20161107BHJP

【ＦＩ】

   B60R16/023 P

   B60R16/02 660Z

   H04L12/46 E

   H04L12/46 A

【請求項の数】6

【全頁数】18

(21)【出願番号】特願2013-70220(P2013-70220)

(22)【出願日】2013年3月28日

(65)【公開番号】特開2014-193654(P2014-193654A)

(43)【公開日】2014年10月9日

【審査請求日】2015年5月29日

(73)【特許権者】

【識別番号】395011665

【氏名又は名称】株式会社オートネットワーク技術研究所

(73)【特許権者】

【識別番号】000183406

【氏名又は名称】住友電装株式会社

(73)【特許権者】

【識別番号】000002130

【氏名又は名称】住友電気工業株式会社

(74)【代理人】

【識別番号】100114557

【弁理士】

【氏名又は名称】河野 英仁

(74)【代理人】

【識別番号】100078868

【弁理士】

【氏名又は名称】河野 登夫

(72)【発明者】

【氏名】下村 好邦

(72)【発明者】

【氏名】岡田 宏

【審査官】 菅 和幸

(56)【参考文献】

【文献】 特開２００３−０４６５３６（ＪＰ，Ａ）

【文献】 特開２０１０−２５１８３７（ＪＰ，Ａ）

【文献】 特開平０１−２２００９４（ＪＰ，Ａ）

【文献】 特開２０１１−１０９４５２（ＪＰ，Ａ）

【文献】 特開２００４−１７９７７２（ＪＰ，Ａ）

【文献】 米国特許出願公開第２００７／０１３３５７８（ＵＳ，Ａ１）

【文献】 特開２００７−１６６３０２（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｂ６０Ｒ １６／０２３

Ｂ６０Ｒ １６／０２

Ｈ０４Ｌ １２／４６

(57)【特許請求の範囲】

【請求項1】

１つ以上の車載機器がそれぞれ接続された複数の車内ネットワークと、前記複数の車内ネットワークに接続され、車内ネットワーク間の情報の送受信を中継する車載中継装置とを備える車載通信システムにおいて、
前記車載中継装置は、情報の中継先の決定に必要な中継先決定用情報を記憶する記憶部と、一の車内ネットワークから情報を受信した場合に、前記記憶部に記憶した中継先決定用情報に基づいて、受信した情報を送信すべき車内ネットワークを決定する中継先決定手段とを有し、
車外の通信装置との間で情報の送受信を行う車外通信手段と、該車外通信手段により車外の通信装置から中継先決定用情報を取得する中継先決定用情報取得手段と、該中継先決定用情報取得手段が取得した中継先決定用情報が所定条件を満たす情報であるか否かを判定する中継先決定用情報判定手段とを有する情報更新装置を備え、
前記車載中継装置は、前記中継先決定用情報判定手段が所定条件を満たす情報であると判定した中継先決定用情報を用いて、前記車載中継装置の記憶部に記憶された中継先決定用情報を更新する中継先決定用情報更新手段を更に有し、
前記車内ネットワークに接続された各車載機器は、受信すべき情報であるか否かの判定に必要な受信判定用情報を記憶する記憶部と、該記憶部に記憶した受信判定用情報に基づいて、前記車載中継装置から送信された情報を受信すべきか否かを判定する受信判定手段と、該受信判定手段が受信すべきでないと判定した情報を用いた処理を行わないよう制限する制限手段とをそれぞれ有し、
前記情報更新装置は、前記車外通信手段により車外の通信装置から各車載機器用の受信判定用情報を取得する受信判定用情報取得手段と、該受信判定用情報取得手段が取得した受信判定用情報が所定条件を満たす情報であるか否かを判定する受信判定用情報判定手段とを更に有し、
各車載機器は、前記受信判定用情報判定手段が所定条件を満たす情報であると判定した受信判定用情報を用いて、各車載機器の記憶部に記憶された受信判定用情報を更新する受信判定用情報更新手段とを更にそれぞれ有すること
を特徴とする車載通信システム。

【請求項2】

前記車載中継装置は、
前記複数の車内ネットワークとの情報の送受信をそれぞれ行う複数の車内通信部と、
前記情報更新装置との情報の送受信を行う更新用通信部と
を有し、
前記車載中継装置の記憶部に記憶した中継先決定用情報の更新に用いる中継先決定用情報の受信を、前記更新用通信部に制限してあること
を特徴とする請求項１に記載の車載通信システム。

【請求項3】

１つ以上の車載機器がそれぞれ接続された複数の車内ネットワークと、前記複数の車内ネットワークに接続され、車内ネットワーク間の情報の送受信を中継する車載中継装置とを備える車載通信システムにおいて、
前記車載中継装置は、情報の中継先の決定に必要な中継先決定用情報を記憶する記憶部と、一の車内ネットワークから情報を受信した場合に、前記記憶部に記憶した中継先決定用情報に基づいて、受信した情報を送信すべき車内ネットワークを決定する中継先決定手段と、車外の通信装置との間で情報の送受信を行う車外通信手段と、該車外通信手段により車外の通信装置から中継先決定用情報を取得する中継先決定用情報取得手段と、該中継先決定用情報取得手段が取得した中継先決定用情報が所定条件を満たす情報であるか否かを判定する中継先決定用情報判定手段と該中継先決定用情報判定手段が所定条件を満たす情報であると判定した中継先決定用情報を用いて、前記記憶部に記憶された中継先決定用情報を更新する中継先決定用情報更新手段とを有し、
前記車内ネットワークに接続された各車載機器は、受信すべき情報であるか否かの判定に必要な受信判定用情報を記憶する記憶部と、該記憶部に記憶した受信判定用情報に基づいて、前記車載中継装置から送信された情報を受信すべきか否かを判定する受信判定手段と、該受信判定手段が受信すべきでないと判定した情報を用いた処理を行わないよう制限する制限手段とをそれぞれ有し、
前記車載中継装置は、前記車外通信手段により車外の通信装置から各車載機器用の受信判定用情報を取得する受信判定用情報取得手段と、該受信判定用情報取得手段が取得した受信判定用情報が所定条件を満たす情報であるか否かを判定する受信判定用情報判定手段とを更に有し、
各車載機器は、前記受信判定用情報判定手段が所定条件を満たす情報であると判定した受信判定用情報を用いて、各車載機器の記憶部に記憶された受信判定用情報を更新する受信判定用情報更新手段とを更にそれぞれ有すること
を特徴とする車載通信システム。

【請求項4】

前記車載中継装置は、受信した情報を中継すべき車内ネットワークが存在しない場合に、通報を行う通報手段を有すること
を特徴とする請求項１乃至請求項３のいずれか１つに記載の車載通信システム。

【請求項5】

前記中継先決定用情報判定手段は、前記車外の通信装置との間で行った認証処理の結果、又は、前記中継先決定用情報取得手段が取得した中継先決定用情報に付された電子署名情報に基づいて、前記中継先決定用情報取得手段が取得した中継先決定用情報が正規の情報であるか否かを前記所定条件として判定するようにしてあること
を特徴とする請求項１乃至請求項４のいずれか１つに記載の車載通信システム。

【請求項6】

前記受信判定用情報判定手段は、前記車外の通信装置との間で行った認証処理の結果、又は、前記受信判定用情報取得手段が取得した受信判定用情報に付された電子署名情報に基づいて、前記受信判定用情報取得手段が取得した受信判定用情報が正規の情報であるか否かを前記所定条件として判定するようにしてあること
を特徴とする請求項１乃至請求項５のいずれか１つに記載の車載通信システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、車輌に搭載された複数の車載機器が通信を行う車載通信システムに関する。

【背景技術】

【0002】

従来、車輌に搭載される車載機器の増加に伴って、車載機器間の情報送受信を行うための車内ネットワークが大規模化している。このため、車内ネットワークを複数に分割し、ゲートウェイなどの車載中継装置を用いて車内ネットワーク間の情報送受信を中継することが行われる。

【0003】

特許文献１には、マルチメディア車載機の制御を行うマルチメディアＥＣＵ（Electronic Control Unit）と車輌の制御を行う複数の車輌ＥＣＵとを接続する車載ゲートウェイ装置が記載されている。この車載ゲートウェイ装置は、車輌ＥＣＵにより取得された複数の車輌系データを保持する記憶領域と、この記憶領域に保持された車輌系データを定期的に更新する情報取得部とを備える。マルチメディアＥＣＵは、車載ゲートウェイ装置にアクセスして、記憶領域に保持された車輌系データを取得する。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２０１２−９９４１号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

特許文献１に記載の車載ゲートウェイ装置は、車輌ＥＣＵからのデータにより記憶領域に保持されたデータの更新を行うが、車輌ＥＣＵからのデータが正しいものであるか否かを判断することができない。例えば車内ネットワークに新たな車輌ＥＣＵが追加された場合に、追加された車輌ＥＣＵからのデータは正しいものであるとは限らない。追加された車輌ＥＣＵが誤ったもの又は悪意を有するもの等である場合、この車輌ＥＣＵからのデータにて記憶領域の更新を行うとシステム全体に悪影響を及ぼす可能性がある。

【0006】

本発明は、斯かる事情に鑑みてなされたものであって、その目的とするところは、車内ネットワークに新たな車載機器が接続された場合などに、複数の車内ネットワーク間の中継を適切に行うことができると共に、不正な車載機器が接続された場合にシステム全体に悪影響が及ぼされることを抑制できる車載通信システムを提供することにある。

【課題を解決するための手段】

【0007】

本発明に係る車載通信システムは、１つ以上の車載機器がそれぞれ接続された複数の車内ネットワークと、前記複数の車内ネットワークに接続され、車内ネットワーク間の情報の送受信を中継する車載中継装置とを備える車載通信システムにおいて、前記車載中継装置は、情報の中継先の決定に必要な中継先決定用情報を記憶する記憶部と、一の車内ネットワークから情報を受信した場合に、前記記憶部に記憶した中継先決定用情報に基づいて、受信した情報を送信すべき車内ネットワークを決定する中継先決定手段とを有し、車外の通信装置との間で情報の送受信を行う車外通信手段と、該車外通信手段により車外の通信装置から中継先決定用情報を取得する中継先決定用情報取得手段と、該中継先決定用情報取得手段が取得した中継先決定用情報が所定条件を満たす情報であるか否かを判定する中継先決定用情報判定手段とを有する情報更新装置を備え、前記車載中継装置は、前記中継先決定用情報判定手段が所定条件を満たす情報であると判定した中継先決定用情報を用いて、前記車載中継装置の記憶部に記憶された中継先決定用情報を更新する中継先決定用情報更新手段を更に有し、前記車内ネットワークに接続された各車載機器は、受信すべき情報であるか否かの判定に必要な受信判定用情報を記憶する記憶部と、該記憶部に記憶した受信判定用情報に基づいて、前記車載中継装置から送信された情報を受信すべきか否かを判定する受信判定手段と、該受信判定手段が受信すべきでないと判定した情報を用いた処理を行わないよう制限する制限手段とをそれぞれ有し、前記情報更新装置は、前記車外通信手段により車外の通信装置から各車載機器用の受信判定用情報を取得する受信判定用情報取得手段と、該受信判定用情報取得手段が取得した受信判定用情報が所定条件を満たす情報であるか否かを判定する受信判定用情報判定手段とを更に有し、各車載機器は、前記受信判定用情報判定手段が所定条件を満たす情報であると判定した受信判定用情報を用いて、各車載機器の記憶部に記憶された受信判定用情報を更新する受信判定用情報更新手段とを更にそれぞれ有することを特徴とする。

【0008】

また、本発明に係る車載通信システムは、前記車載中継装置が、前記複数の車内ネットワークとの情報の送受信をそれぞれ行う複数の車内通信部と、前記情報更新装置との情報の送受信を行う更新用通信部とを有し、前記車載中継装置の記憶部に記憶した中継先決定用情報の更新に用いる中継先決定用情報の受信を、前記更新用通信部に制限してあることを特徴とする。

【0009】

また、本発明に係る車載通信システムは、１つ以上の車載機器がそれぞれ接続された複数の車内ネットワークと、前記複数の車内ネットワークに接続され、車内ネットワーク間の情報の送受信を中継する車載中継装置とを備える車載通信システムにおいて、前記車載中継装置は、情報の中継先の決定に必要な中継先決定用情報を記憶する記憶部と、一の車内ネットワークから情報を受信した場合に、前記記憶部に記憶した中継先決定用情報に基づいて、受信した情報を送信すべき車内ネットワークを決定する中継先決定手段と、車外の通信装置との間で情報の送受信を行う車外通信手段と、該車外通信手段により車外の通信装置から中継先決定用情報を取得する中継先決定用情報取得手段と、該中継先決定用情報取得手段が取得した中継先決定用情報が所定条件を満たす情報であるか否かを判定する中継先決定用情報判定手段と該中継先決定用情報判定手段が所定条件を満たす情報であると判定した中継先決定用情報を用いて、前記記憶部に記憶された中継先決定用情報を更新する中継先決定用情報更新手段とを有し、前記車内ネットワークに接続された各車載機器は、受信すべき情報であるか否かの判定に必要な受信判定用情報を記憶する記憶部と、該記憶部に記憶した受信判定用情報に基づいて、前記車載中継装置から送信された情報を受信すべきか否かを判定する受信判定手段と、該受信判定手段が受信すべきでないと判定した情報を用いた処理を行わないよう制限する制限手段とをそれぞれ有し、前記車載中継装置は、前記車外通信手段により車外の通信装置から各車載機器用の受信判定用情報を取得する受信判定用情報取得手段と、該受信判定用情報取得手段が取得した受信判定用情報が所定条件を満たす情報であるか否かを判定する受信判定用情報判定手段とを更に有し、各車載機器は、前記受信判定用情報判定手段が所定条件を満たす情報であると判定した受信判定用情報を用いて、各車載機器の記憶部に記憶された受信判定用情報を更新する受信判定用情報更新手段とを更にそれぞれ有することを特徴とする。

【0010】

また、本発明に係る車載通信システムは、前記車載中継装置が、受信した情報を中継すべき車内ネットワークが存在しない場合に、通報を行う通報手段を有することを特徴とする。

【0011】

また、本発明に係る車載通信システムは、前記中継先決定用情報判定手段が、前記車外の通信装置との間で行った認証処理の結果、又は、前記中継先決定用情報取得手段が取得した中継先決定用情報に付された電子署名情報に基づいて、前記中継先決定用情報取得手段が取得した中継先決定用情報が正規の情報であるか否かを前記所定条件として判定するようにしてあることを特徴とする。

【0012】

また、本発明に係る車載通信システムは、前記受信判定用情報判定手段が、前記車外の通信装置との間で行った認証処理の結果、又は、前記受信判定用情報取得手段が取得した受信判定用情報に付された電子署名情報に基づいて、前記受信判定用情報取得手段が取得した受信判定用情報が正規の情報であるか否かを前記所定条件として判定するようにしてあることを特徴とする。

【0014】

本発明においては、複数の車内ネットワーク間の情報中継を行う車載中継装置が、情報の中継先の決定に必要な中継先決定用情報を記憶している。中継先決定用情報は、例えば車内ネットワークにて送受信される情報に含まれるＩＤ（IDentifier）などと、この情報を中継すべき車内ネットワークに付された識別子とを対応付けたテーブルなどであり、いわゆるゲートウェイ装置のルーティングマップである。車載中継装置は、記憶した中継先決定用情報に基づいて、車内ネットワーク間の中継処理を行う。
車内ネットワークに新たな車載機器が接続された場合には、この車載機器が送信した情報をいずれの車内ネットワークへ中継するかを判断するため、車載中継装置が記憶する中継先決定用情報の更新が必要となる。本システムにおいては、車外のサーバ装置などとの通信を行って新たな中継先決定用情報を取得し、取得した中継先決定情報が所定条件を満たす情報であるかを判定した後で、車載中継装置が記憶する中継先決定用情報を更新する。例えば、車外のサーバ装置などとの間で行った認証処理の成否、又は、取得した中継先決定情報に含まれる電子署名情報等に基づいて、取得した情報が正規の情報であるか否かを判定することができる。
これにより不正な車載機器が何れかの車内ネットワークに接続された場合であっても、車載中継装置の中継先決定用情報を更新することを困難化することができる。よって不正な車載機器が接続された車内ネットワーク以外の車内ネットワークへ、この車載機器の接続による悪影響が波及することを防止できる。

【0015】

また、本発明においては、車載中継装置が中継先決定用情報に基づいて中継先を判断した結果、受信した情報の中継先が存在しない場合、通報を行う。これにより不正な車載機器が接続されたことを、車輌の所有者などへ知らせることができる。

【0016】

また、本発明においては、車内ネットワークにて送受信される情報について、この情報が受信すべき情報であるか否かの判定に必要な受信判定用情報を、各車載機器が記憶する。受信判定用情報は、例えば受信すべき情報に付されるＩＤのリストなどである。各車載機器は、受信判定用情報に基づいて受信すべきと判定した情報を受信し、それ以外の情報を受信しない。
車内ネットワークに新たな車載機器が接続された場合には、新たな車載機器が送信した情報を受信すべきか否かを各車載機器が判断するため、各車載機器が記憶する受信判定用情報の更新が必要となる。本システムにおいては、中継先決定用情報の場合と同様に、車外のサーバ装置などとの通信を行って新たな受信判定用情報を取得し、取得した受信判定用情報が正規の情報であるかを判定した後で、各車載装置が記憶する受信判定用情報を更新する。
これにより不正な車載機器が車内ネットワークに接続された場合であっても、不正な車載機器が送信した情報をその他の各車載機器が受信して処理を行うことを防止できる。

【0017】

また、本発明においては、上述のような情報更新を行うために、必要な情報を外部サーバ装置などから取得し、取得した情報が正規のものであるかの判定を行う情報更新装置をシステム内に設ける。車載中継装置は、情報更新装置との間で通信を行い、情報更新装置から与えられた情報を用いて更新を行う。

【0018】

また、本発明においては、車内ネットワークと情報の送受信をそれぞれ行う複数の車内通信部と、情報更新装置との情報の送受信を行う更新用通信部とを車載中継装置に設ける。車載中継装置は、更新用通信部にて受信した情報を用いて更新処理を行い、車内通信部から更新用の情報を受信した場合であっても更新処理を行わないよう制限する。これにより、情報更新装置以外の装置が不正に車載中継装置の情報を更新することを防止できる。

【0019】

また、本発明においては、必要な情報を外部サーバ装置などから取得し、取得した情報が正規のものであるかの判定など、情報更新に必要な処理を車載中継装置が行う構成としてもよい。

【発明の効果】

【0020】

本発明による場合は、車載中継装置が中継先決定用情報を記憶して情報の中継処理を行い、新たな車載機器が接続された場合などに外部の装置から中継先決定用情報を取得して更新を行う構成とすることにより、車載中継装置は中継処理を適切に行うことができる。また外部の装置から取得した中継先決定用情報が所定条件を満たす情報である場合にのみ更新を行う構成とすることにより、中継先決定用情報を更新することを困難化することができるため、不正な車載機器が接続された場合にシステム全体に悪影響が波及することを防止できる。

【図面の簡単な説明】

【0021】

【図1】本実施の形態に係る車載通信システムの構成を示す模式図である。

【図2】ゲートウェイの構成を示すブロック図である。

【図3】セキュリティコントローラの構成を示すブロック図である。

【図4】ルーティングマップの一例を示す模式図である。

【図5】ゲートウェイが行うルーティングマップ更新処理の手順を示すフローチャートである。

【図6】セキュリティコントローラが行うルーティングマップ更新処理の手順を示すフローチャートである。

【図7】変形例に係るゲートウェイの構成を示すブロック図である。

【図8】実施の形態２に係る車載通信システムの構成を示す模式図である。

【発明を実施するための形態】

【0022】

（実施の形態１）
以下、本発明をその実施の形態を示す図面に基づき具体的に説明する。図１は、本実施の形態に係る車載通信システムの構成を示す模式図である。図において一点鎖線で示す１は車輌であり、車輌１には複数の車載機器が搭載されている。本実施の形態において車載機器をＥＣＵ５１、５２…と呼ぶが、車載機器にはＥＣＵ以外の装置が含まれていてもよい。これらのＥＣＵ５１、５２…は、車輌１内に敷設された通信線にそれぞれ接続され、各ＥＣＵ５１、５２…が通信を行って相互に情報交換することにより、車輌１の走行制御などの種々の処理を実現している。

【0023】

本実施の形態においては、車輌１の車内ネットワークは３つに分割されている。３つのＥＣＵ５１〜５３が共通の通信線６１に接続されたものを車内ネットワークＮＷ１とする。２つのＥＣＵ５４、５５が共通の通信線６２に接続されたものを車内ネットワークＮＷ２とする。２つのＥＣＵ５６、５７が共通の通信線６３に接続されたものを車内ネットワークＮＷ３とする。なお図中において破線で示すＥＣＵ５８は、車内ネットワークＮＷ３に新規追加されるＥＣＵであり、詳細は後述する。各通信線６１〜６３は、ゲートウェイ１０に接続されている。

【0024】

ゲートウェイ１０は、車輌１に設けられた複数の車内ネットワークＮＷ１〜ＮＷ３の間での情報送受信を中継する処理を行う装置である。例えば車内ネットワークＮＷ１のＥＣＵ５１が情報送信を行った場合、ゲートウェイ１０はこの情報を受信し、必要に応じて車内ネットワークＮＷ２及び／又はＮＷ３へ送信する。このようにゲートウェイ１０が介在することによって、異なる車内ネットワークＮＷ１〜ＮＷ３に接続されたＥＣＵ５１、５２…間での情報送受信を行うことが可能となる。

【0025】

また本実施の形態に係る車載通信システムは、セキュリティコントローラ３０を備えている。セキュリティコントローラ３０は、通信線６４を介してゲートウェイ１０に接続されている。セキュリティコントローラ３０は、無線通信によって車輌１外に設置された例えばサーバ装置９などとの情報送受信を行うことができる。セキュリティコントローラ３０は、ゲートウェイ１０からの要求に応じて車外への情報送信を行うと共に、車外から受信した情報をゲートウェイ１０へ与える。このときにセキュリティコントローラ３０は、外部のサーバ装置９などとの間での認証処理、及び、受信した情報が正規のものであるか否かを判定する処理等を行う。これにより、車輌１に搭載されたゲートウェイ１０及びＥＣＵ５１、５２…は、セキュリティコントローラ３０を介して外部のサーバ装置９との情報送受信を行うことができる。

【0026】

図２は、ゲートウェイ１０の構成を示すブロック図である。ゲートウェイ１０は、処理部１１、記憶部１２、送受信バッファ１３、及び、第１通信部２１〜第４通信部２４等を備えて構成されている。処理部１１は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等の演算処理装置を用いて構成され、記憶部１２又は図示しないＲＯＭ（Read Only Memory）等に記憶されたプログラムを読み出して実行することにより、情報の中継処理などの種々の処理を行う。記憶部１２は、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）又はフラッシュメモリ等のデータ書換可能な不揮発性のメモリ素子を用いて構成されている。記憶部１２には、処理部１１の中継処理に用いるルーティングマップ１２ａが記憶されている。送受信バッファ１３は、ＤＲＡＭ（Dynamic Random Access Memory）又はＳＲＡＭ（Static Random Access Memory）等のメモリ素子で構成され、中継する情報を一時的に記憶する。

【0027】

第１通信部２１は、車内ネットワークＮＷ１を構成する通信線６１に接続されており、例えばＣＡＮ（Controller Area Network）の通信規格による情報の送受信を行う。第１通信部２１は、通信線６１上の信号を監視することによって、車内ネットワークＮＷ１のＥＣＵ５１〜５３が送信した情報を受信し、受信した情報を処理部１１へ与える。また第１通信部２１は、処理部１１から与えられた送信用の情報を信号として通信線６１へ出力することによって、車内ネットワークＮＷ１のＥＣＵ５１〜５３へ情報を送信する。

【0028】

同様に、第２通信部２２は、車内ネットワークＮＷ２を構成する通信線６２に接続されており、車内ネットワークＮＷ２のＥＣＵ５４、５５との間で情報の送受信を行う。第３通信部２３は、車内ネットワークＮＷ３を構成する通信線６３に接続されており、車内ネットワークＮＷ３のＥＣＵ５６、５７との間で情報の送受信を行う。

【0029】

第４通信部２４は、その構成は第１通信部２１〜第３通信部２３と略同じであってよいが、セキュリティコントローラ３０との通信を行う専用のものとして扱われる。第４通信部２４は、通信線６４を介してセキュリティコントローラ３０が接続される。第４通信部２４は、処理部１１から与えられた情報をセキュリティコントローラ３０へ送信し、セキュリティコントローラ３０からの情報を受信して処理部１１へ与える。なお本実施の形態において第１通信部２１〜第４通信部２４は、ＣＡＮの通信規格による通信を行うものとするが、それぞれ異なる通信規格による通信を行ってもよい。特に第４通信部２４は、セキュリティコントローラ３０と通信を行うための専用の通信規格を採用してもよい。

【0030】

図３は、セキュリティコントローラ３０の構成を示すブロック図である。セキュリティコントローラ３０は、処理部３１、ＲＡＭ３２、位置情報取得部３３、無線通信部３４、車内通信部３５及び記憶部３６等を備えて構成されている。処理部３１は、記憶部３６のプログラム記憶部３６ａに記憶された一又は複数のプログラムをＲＡＭ３２に読み出して実行することにより、種々の処理を行う演算処理装置である。図示の例では、処理部３１が、更新処理プログラム３１ａを実行している。ＲＡＭ３２は、ＳＲＡＭ又はＤＲＡＭ等のメモリ素子で構成され、処理部３１が実行するプログラム及び実行に必要なデータ等が一時的に記憶される。

【0031】

位置情報取得部３３は、車輌１の位置情報を取得して処理部３１へ与える。位置情報取得部３３は、例えばＧＰＳ（Global Positioning System）の信号を受信するアンテナなどが接続され、受信信号に基づいて車輌１の位置（緯度及び経度等）を算出する構成とすることができる。更に、位置情報取得部３３は、速度センサ、加速度センサ又はジャイロセンサ等のセンサから得られる情報、並びに、地図情報等を利用して車輌１の位置を算出してもよい。なお車輌１にカーナビゲーション装置が搭載されている場合、車輌１の位置を算出する処理はカーナビゲーション装置が行い、算出結果をセキュリティコントローラ３０が取得して利用する構成であってもよい。

【0032】

無線通信部３４は、例えば公衆の携帯電話網又は無線ＬＡＮ（Local Area Network）等を利用して、車輌１から遠隔地に設置されたサーバ装置９などとの通信を行う。無線通信部３４は、処理部３１から与えられた情報をサーバ装置９などの外部装置へ送信すると共に、外部装置から受信した情報を処理部３１へ与える。車内通信部３５は、車輌１に搭載されたゲートウェイ１０に通信線６４を介して接続されている。車内通信部３５は、処理部３１から与えられた情報をゲートウェイ１０へ送信すると共に、ゲートウェイ１０から受信した情報を処理部３１へ与える。

【0033】

記憶部３６は、フラッシュメモリ若しくはＥＥＰＲＯＭ等の不揮発性のメモリ素子、又は、ハードディスクなどの磁気記憶装置等を用いて構成されている。記憶部３６は、処理部３１が実行するプログラム及び実行に必要なデータ等を記憶するプログラム記憶部３６ａを有する。また記憶部３６は、サーバ装置９との認証処理を行うための認証情報３６ｂを記憶している。

【0034】

図４は、ルーティングマップ１２ａの一例を示す模式図である。ゲートウェイ１０が記憶部１２に記憶するルーティングマップ１２ａは、中継先を決定するために必要な情報である。本実施の形態において、車内ネットワークＮＷ１〜ＮＷ３にて送受信される情報にはそれぞれＩＤが付される。ルーティングマップ１２ａには、中継すべき情報に付されるＩＤと、中継先となる車内ネットワークＮＷ１〜ＮＷ３を識別する情報とが対応付けて記憶されている。例えば、説明を簡単にするために、ＥＣＵ５１が送信する情報にはＩＤとして”５１”が付され、ＥＣＵ５２が送信する情報にはＩＤとして”５２”が付され、…、ＥＣＵ５７が送信する情報にはＩＤとして”５７”が付されるものとする。また車内ネットワークＮＷ１〜ＮＷ３は、それぞれＩＤとして”ＮＷ１”〜”ＮＷ３”が付されるものとする。図３に示すルーティングマップ１２ａでは、ＩＤが５１の情報は車内ネットワークＮＷ２及びＮＷ３に中継され、ＩＤが５２の情報は車内ネットワークＮＷ３に中継される設定がなされている。ルーティングマップ１２ａには、車輌１内で送受信される情報に付されるＩＤが過不足なく登録されている必要がある。

【0035】

ゲートウェイ１０の処理部１１は、第１通信部２１〜第３通信部２３のいずれかにて情報を受信した場合、受信した情報に付されたＩＤを調べる。処理部１１は、記憶部１２に記憶したルーティングマップ１２ａを参照し、受信情報のＩＤに対応する中継先の車内ネットワークＮＷ１〜ＮＷ３を決定する。処理部１１は、決定した中継先に対応する第１通信部２１〜第３通信部２３へ情報を与え、車内ネットワークＮＷ１〜ＮＷ３へ情報を送信する。

【0036】

なお、図４にて図示は省略したが、車輌１に搭載されたＥＣＵ５１〜５７が車外のサーバ装置９との通信を行うことが可能な構成である場合、ルーティングマップ１２ａにもその旨が設定される。例えばＥＣＵ５１が車外へ送信する情報にＩＤとして”１５１”が付され、セキュリティコントローラ３０が接続された車内ネットワークのＩＤを”ＮＷ４”とした場合、ルーティングマップ１２ａには情報のＩＤ”１５１”に対して車内ネットワークのＩＤ”ＮＷ４”が設定される。ゲートウェイ１０の処理部１１は、ＩＤが”１５１”の情報を受信した場合、この情報を第４通信部２４へ与えることによりセキュリティコントローラ３０へ送信する。

【0037】

またゲートウェイ１０の処理部１１は、ルーティングマップ１２ａに登録されていないＩＤの情報を受信した場合、外部への通報を行う。未登録ＩＤの情報を受信した場合、処理部１１は、第４通信部２４にてセキュリティコントローラ３０へ、外部の装置への通報要求を送信する。これを受信したセキュリティコントローラ３０は、無線通信部３４にて外部装置への通報を行う。セキュリティコントローラ３０からの通報を受信した外部装置は、例えば車輌１のディーラ又は車輌１の所有者等への通報を行うことができる。これにより、例えば未登録のＩＤの情報を送信する車載機器が何れかの車内ネットワークＮＷ１〜ＮＷ３に接続されたこと、又は、何れかのＥＣＵ５１〜５７が故障などにより異常な情報送信を行っていること等を車載中継装置１０が検出し、通報することができる。

【0038】

ここで、車内ネットワークＮＷ３に新たなＥＣＵ５８を追加することを考える。このＥＣＵ５８が送信する情報にはＩＤとして”５８”が付されるものとする。単純に、ＥＣＵ５８を車内ネットワークＮＷ３の通信線に接続してシステムを動作させた場合、ＥＣＵ５８が送信した情報がゲートウェイ１０にて受信される。ゲートウェイ１０の処理部１１は、受信した情報のＩＤ”５８”がルーティングマップ１２ａに未登録であり、この情報を中継すべき車内ネットワークが存在しないことから、上述のような通報を行う。このため新たなＥＣＵ５８を追加した場合には、ゲートウェイ１０の記憶部１２に記憶されたルーティングマップ１２ａを更新する必要がある。

【0039】

ＥＣＵ５８を車内ネットワークＮＷ３に追加する作業を行った作業者は、例えばゲートウェイ１０に設けられた操作部、又は、ゲートウェイ１０に専用線などを介して接続した操作装置等を利用して、ルーティングマップ１２ａの更新を行う指示をゲートウェイ１０に与える。この更新指示を受け付けたゲートウェイ１０の処理部１１は、セキュリティコントローラ３０に対して新たなルーティングマップ１２ａの取得を要求する。セキュリティコントローラ３０の処理部３１は、ゲートウェイ１０からの要求により更新処理プログラム３１ａを記憶部３６の記憶部３６ａから読み出して実行することにより、ルーティングマップ１２ａの更新処理を行う。

【0040】

セキュリティコントローラ３０の処理部３１は、無線通信部３４にて、ルーティングマップ１２ａを提供するサーバ装置９との通信を開始する。まず処理部３１は、記憶部３６に記憶した認証情報３６ｂを用いて、サーバ装置９との間で認証処理を行う。認証情報３６ｂには、例えば車輌１の所有者の識別情報及びパスワード、並びに、情報送信の暗号化に用いる鍵情報等が含まれている。サーバ装置９との認証処理に成功した後、処理部３１は、サーバ装置９に対して新たなルーティングマップ１２ａの送信を要求する。このときに処理部３１は、古いルーティングマップ１２ａ及び新たに追加された車載機器に関する情報等を、ゲートウェイ１０から取得してサーバ装置９へ送信してもよい。

【0041】

サーバ装置９は、セキュリティコントローラ３０からの要求に応じて、この要求の送信元へ適切なルーティングマップ１２ａを送信する。このときにサーバ装置９は、セキュリティコントローラ３０から要求と共に与えられる情報に基づいて新たなルーティングマップ１２ａを作成して送信してもよく、又は、予め記憶されたルーティングマップ１２ａから適切なものを選択して送信してもよい。

【0042】

サーバ装置９からのルーティングマップ１２ａを無線通信部３４にて受信したセキュリティコントローラ３０の処理部３１は、認証情報３６ｂに含まれる鍵情報を用いて、暗号化されたルーティングマップ１２ａを復号すると共に、ルーティングマップ１２ａに付された電子署名などの情報に基づいて、このルーティングマップ１２ａが正規のものであるか否かを判定する。正規のものであると判定した場合、処理部３１は、車内通信部３５にてルーティングマップ１２ａをゲートウェイ１０へ送信する。

【0043】

セキュリティコントローラ３０からルーティングマップ１２ａを第４通信部２４にて受信したゲートウェイ１０の処理部１１は、受信した新たなルーティングマップ１２ａを記憶部１２に記憶して古いルーティングマップ１２ａを消去することにより、ルーティングマップ１２ａを更新する。以後、処理部１１は、更新されたルーティングマップ１２ａを用いて、車内ネットワークＮＷ１〜ＮＷ３の情報中継処理を行う。なお処理部１０は、ルーティングマップ１２ａを受信した通信部が第４通信部２４であるか否かを判定し、受信した通信部が第４通信部２４ではなく第１通信部２１〜第３通信部２３である場合、受信したルーティングマップ１２ａによる更新は行わない。

【0044】

図５は、ゲートウェイ１０が行うルーティングマップ１２ａ更新処理の手順を示すフローチャートである。ゲートウェイ１０の処理部１１は、操作部又は操作装置等にてルーティングマップ１２ａの更新指示を受け付けたか否かを判定する（ステップＳ１）。更新指示を受け付けていない場合（Ｓ１：ＮＯ）、処理部１１は、更新指示を受け付けるまで待機する。更新指示を受け付けた場合（Ｓ１：ＹＥＳ）、処理部１１は、第４通信部２４にて、セキュリティコントローラ３０へルーティングマップ１２ａの取得要求を与える（ステップＳ２）。

【0045】

その後、処理部１１は、セキュリティコントローラ３０から新たなルーティングマップ１２ａを第４通信部２４にて受信したか否かを判定する（ステップＳ３）。ルーティングマップ１２ａを受信していない場合（Ｓ３：ＮＯ）、処理部１１は、ルーティングマップ１２ａを受信するまで待機する。ルーティングマップ１２ａを受信した場合（Ｓ３：ＹＥＳ）、処理部１１は、受信した新たなルーティングマップ１２ａを記憶部１２に記憶して古いルーティングマップ１２ａを消去することにより、ルーティングマップ１２ａを更新し（ステップＳ４）、処理を終了する。

【0046】

図６は、セキュリティコントローラ３０が行うルーティングマップ１２ａ更新処理の手順を示すフローチャートである。セキュリティコントローラ３０の処理部３１は、更新処理プログラム３１ａを実行することによって、ルーティングマップ１２ａ更新処理を行う。処理部３１は、車内通信部３５にてゲートウェイ１０からのルーティングマップ１２ａ取得要求を受信したか否かを判定する（ステップＳ１１）。ルーティングマップ１２ａ取得要求を受信していない場合（Ｓ１１：ＮＯ）、処理部３１は、ルーティングマップ１２ａ取得要求を受信するまで待機する。

【0047】

ルーティングマップ１２ａ取得要求を受信した場合（Ｓ１１：ＹＥＳ）、処理部３１は、サーバ装置９との通信を開始し、記憶部３６に記憶した認証情報３６ｂを用いて認証処理を行う（ステップＳ１２）。処理部３１は、認証処理に成功したか否かを判定し（ステップＳ１３）、失敗した場合には（Ｓ１３：ＮＯ）、更新処理を終了する。なおこのときに処理部３１はゲートウェイ１０へ更新処理に失敗した旨を通知してもよく、この通知に応じてゲートウェイ１０はルーティングマップ１２ａの更新処理を中断してもよい。

【0048】

認証処理に成功した場合（Ｓ１３：ＹＥＳ）、処理部３１は、サーバ装置９へルーティングマップ１２ａの送信を要求する（ステップＳ１４）。その後、処理部３１は、無線通信部３４にてサーバ装置９からルーティングマップ１２ａを受信したか否かを判定する（ステップＳ１５）。ルーティングマップ１２ａを受信していない場合（Ｓ１５：ＮＯ）、処理部３１は、サーバ装置９からルーティングマップ１２ａを受信するまで待機する。ルーティングマップ１２ａを受信した場合（Ｓ１５：ＹＥＳ）、処理部３１は、認証情報３６ｂに含まれる鍵情報を用いて暗号化されたルーティングマップ１２ａを復号し、ルーティングマップ１２ａに含まれる電子署名に基づく判定を行い（ステップＳ１６）、このルーティングマップ１２ａが正規のものであるか否かを判定する（ステップＳ１７）。正規のものでない場合（Ｓ１７：ＮＯ）、処理部３１は、更新処理を終了する。正規のものである場合（Ｓ１７：ＹＥＳ）、処理部３１は、このルーティングマップ１２ａを車内通信部３５にてゲートウェイ１０へ送信し（ステップＳ１８）、処理を終了する。

【0049】

以上の構成の本実施の形態に係る車載通信システムは、複数の車内ネットワークＮＷ１〜ＮＷ３間の情報中継を行うゲートウェイ１０が、情報の中継先の決定に必要なルーティングマップ１２ａを記憶部１２に記憶している。ルーティングマップ１２ａは、例えば中継する情報に付されたＩＤと、車内ネットワークＮＷ１〜ＮＷ３に付されたＩＤとを対応付けたテーブルとすることができる。ゲートウェイ１０は、記憶したルーティングマップ１２ａに基づいて、車内ネットワークＮＷ１〜ＮＷ３間の中継処理を行う。

【0050】

車内ネットワークＮＷ１に新たなＥＣＵ５８が接続された場合、セキュリティコントローラ３０がサーバ装置９との通信を行って新たなルーティングマップ１２ａを取得し、取得したルーティングマップ１２ａが正規のものであるか否かを電子署名情報などに基づいて判定した後で、ゲートウェイ１０の記憶部１２に記憶されたルーティングマップ１２ａを更新する。これにより不正なＥＣＵが何れかの車内ネットワークＮＷ１〜ＮＷ３に接続された場合であっても、ゲートウェイ１０のルーティングマップ１２ａを更新することを困難化することができる。よって不正なＥＣＵが接続された車内ネットワークＮＷ１〜ＮＷ３以外の車内ネットワークＮＷ１〜ＮＷ３へ、このＥＣＵの接続による悪影響が波及することを防止できる。

【0051】

また、ゲートウェイ１０は、記憶部１２に記憶したルーティングマップ１２ａに基づいて中継先を判断した結果、受信した情報の中継先が存在しない場合、通報を行う。これにより不正なＥＣＵが接続されたことを、車輌１のディーラ又は所有者等へ知らせることができる。

【0052】

また、外部サーバ装置９との通信を行ってルーティングマップ１２ａを取得し、取得したルーティングマップ１２ａが正規のものであるか否かの判定をセキュリティコントローラ３０が行う。ゲートウェイ１０は、セキュリティコントローラ３０との間で通信を行う、セキュリティコントローラ３０から与えられた情報を用いてルーティングマップ１２ａの更新を行う。このときにゲートウェイ１０は、ルーティングマップ１２ａを第４通信部２４にて受信した場合に更新処理を行い、第１通信部２１〜第３通信部２３にて受信した場合に更新処理を行わないよう制限する。これにより、セキュリティコントローラ３０以外の装置が不正にゲートウェイ１０のルーティングマップ１２ａを更新することを防止できる。

【0053】

なお本実施の形態においては、ＥＣＵ５８を追加した者業者がゲートウェイ１０に対してルーティングマップ１２ａの更新指示を与える構成としたが、これに限るものではない。例えばセキュリティコントローラ３０に対して更新指示を与えてもよく、ＥＣＵ５８に対して更新指示を与えてもよい。またルーティングマップ１２ａを受信する通信部を第４通信部２４に制限する構成としたが、この制限は行わなくてもよい。また図１に示した車載通信システムのネットワーク構成、又は、ＥＣＵ５１〜５７の搭載数等は、一例であってこれに限るものではない。また受信したルーティングマップ１２ａを用いて更新を行うか否かを判定する所定条件として、電子署名情報に基づく正規の情報であるか否かを用いたが、これに限るものではない。セキュリティコントローラ３０は、受信した情報が正規の情報であるか否かをその他の種々の方法で判定してよく、受信した情報が正規の情報であるか否か以外の条件を判定のための所定条件としてもよい。

【0054】

またセキュリティコントローラ３０は、ルーティングマップ１２ａの更新処理を行う際に、位置情報取得部３３にて車輌１の位置情報を取得してもよい。セキュリティコントローラ１０は、車輌１の位置が予め登録された所定位置範囲内である場合にのみルーティングマップ１２ａの更新処理を行い、所定範囲外の場合にルーティングマップ１２ａの更新処理を行わない構成としてもよい。

【0055】

（変形例）
上述の実施の形態１に係る車載通信システムでは、車輌１にゲートウェイ１０及びセキュリティコントローラ３０を別装置として搭載する構成とした。これに対して変形例に係る車載通信システムでは、ゲートウェイ１１０がセキュリティコントローラ３０の機能を兼ね備える（換言すれば、セキュリティコントローラ３０がゲートウェイ１０の機能を兼ね備える）構成である。図７は、変形例に係るゲートウェイ１１０の構成を示すブロック図である。変形例に係るゲートウェイ１１０は、サーバ装置９との無線通信を行う無線通信部３４を備えている。

【0056】

また変形例に係るゲートウェイ１１０は、記憶部１２に更新処理プログラム３１ａなどのプログラムを記憶するプログラム記憶部３６ａが設けられる。また記憶部１２には、サーバ装置９との間で認証処理を行うための認証情報３６ｂが記憶される。ゲートウェイ１１０の処理部１１１は、記憶部１２から読み出した更新処理プログラム３１ａを実行することにより、サーバ装置９からルーティングマップ１２ａを取得して更新する処理を行うことができる。

【0057】

（実施の形態２）
図８は、実施の形態２に係る車載通信システムの構成を示す模式図である。なお本図においては、１つのＥＣＵ２５０の詳細構成を図示し、その他のＥＣＵ２５０については同様の構成であるため詳細構成の図示を省略する。実施の形態２に係るＥＣＵ２５０は、処理部２５１、記憶部２５２及び車内通信部２５３等を備えて構成されている。処理部２５１は、ＣＰＵ又はＭＰＵ等の演算処理装置を用いて構成され、車輌１の制御処理などの種々の処理を行う。記憶部２５２は、ＥＥＰＲＯＭ又はフラッシュメモリ等のデータ書換可能な不揮発性のメモリ素子を用いて構成されている。記憶部２５２には受信許可リスト２５２ａが記憶されており、受信許可リスト２５２ａは、このＥＣＵ２５０によって受信が許可された情報に対して付されるＩＤのリストである。車内通信部２５３は、車内ネットワークを構成する通信線に接続されており、例えばＣＡＮの通信規格による情報の送受信を行う。車内通信部２５３は、通信線上の信号を監視することによって、車内ネットワークの他の装置が送信した情報を受信し、受信した情報を処理部２５１へ与える。また車内通信部２５３は、処理部２５１から与えられた送信用の情報を信号として通信線へ出力することによって、車内ネットワークの他の装置へ情報を送信する。

【0058】

実施の形態２に係るＥＣＵ２５０は、記憶部２５２に記憶した受信許可リスト２５２ａを用いて、受信する情報を制限する処理を行う。ＥＣＵ２５０の車内通信部２５３は、通信線上の信号を監視し、他の装置からの情報送信を検出した場合、この情報のＩＤを調べて処理部２５１へ通知する。処理部２５１は、車内通信部２５３から通知された受信情報のＩＤが、記憶部２５２の受信許可リスト２５２ａに登録されたＩＤであるか否かを判定する。受信情報のＩＤが受信許可リスト２５２ａに登録されていない場合、処理部２５１は、この受信情報を用いた処理を行わない。又は処理部２５１は、車内通信部２５３による情報の受信自体を中断し、受信許可リスト２５２ａに登録されていないＩＤの情報を受信しないよう制限を行ってもよい。

【0059】

ここで、車内ネットワークに新たなＥＣＵ２５０を追加することを考える。新たに追加したＥＣＵ２５０が送信する情報をその他のＥＣＵ２５０が受信して処理を行うためには、各ＥＣＵ２５０の受信許可リスト２５２ａには新たに追加したＥＣＵ２５０が送信する情報のＩＤが登録されている必要がある。そこで実施の形態２に係る車載通信システムでは、ゲートウェイ２１０のルーティングマップ１２ａを更新する際に、各ＥＣＵ２５０の受信許可リスト２５２ａの更新を行う。

【0060】

新たなＥＣＵ２５０を車内ネットワークに追加する作業を行った作業者は、例えば操作部又は操作装置等を利用して、ルーティングマップ１２ａ及び受信許可リスト２５２ａの更新を行う指示をゲートウェイ２１０に与える。この更新指示を受け付けたゲートウェイ２１０は、セキュリティコントローラ２３０に対して新たなルーティングマップ１２ａ及び受信許可リスト２５２ａの取得を要求する。セキュリティコントローラ２３０は、ゲートウェイ２１０からの要求により、ルーティングマップ１２ａ及び受信許可リスト２５２ａを提供するサーバ装置９との通信を開始する。セキュリティコントローラ２３０は、認証情報３６ｂを用いてサーバ装置９との間で認証処理を行い、認証処理に成功した後、サーバ装置９に対して新たなルーティングマップ１２ａ及び受信許可リスト２５２ａの送信を要求する。

【0061】

サーバ装置９は、セキュリティコントローラ２３０からの要求に応じて、この要求の送信元へ適切なルーティングマップ１２ａ及び受信許可リスト２５２ａを送信する。このときにサーバ装置９は、セキュリティコントローラ２３０から要求と共に与えられる情報に基づいて新たな受信許可リスト２５２ａを作成して送信してもよく、又は、予め記憶された受信許可リスト２５２ａから適切なものを選択して送信してもよい。サーバ装置９は、車輌１に搭載された各ＥＣＵ２５０についての受信許可リスト２５２ａをセキュリティコントローラ２３０へ送信する。

【0062】

サーバ装置９からのルーティングマップ１２ａ及び受信許可リスト２５２ａを受信したセキュリティコントローラ２３０は、認証情報３６ｂに含まれる鍵情報を用いて、暗号化された情報を復号すると共に、これらの情報に付された電子署名などの情報に基づいて、これらの情報が正規のものであるか否かを判定する。正規のものであると判定した場合、セキュリティコントローラ２３０は、ルーティングマップ１２ａ及び受信許可リスト２５２ａをゲートウェイ２１０へ送信する。

【0063】

セキュリティコントローラ２３０からルーティングマップ１２ａ及び受信許可リスト２５２ａを受信したゲートウェイ２１０は、受信した新たなルーティングマップ１２ａにより記憶部１２に記憶したルーティングマップ１２ａを更新する。またゲートウェイ２１０は、受信した新たな受信許可リスト２５２ａを、各ＥＣＵ２５０へそれぞれ送信する。

【0064】

ゲートウェイ２５０から受信許可リスト２５２ａを受信した各ＥＣＵ２５０は、受信した受信許可リスト２５２ａを記憶部２５２に記憶すると共に、古い受信許可リスト２５２ａを消去することにより、受信許可リスト２５２ａを更新する。なお受信許可リスト２５２ａは、ＥＣＵ２５０毎に異なる内容であるため、自らのための受信許可リスト２５２ａと他のＥＣＵ２５０のための受信許可リスト２５２ａとを、各ＥＣＵ２５０が区別可能にしてある。例えば各受信許可リスト２５２ａには各ＥＣＵ２５０のＩＤが付され、各ＥＣＵ２５０は、受信した受信許可リスト２５２ａに付されたＩＤが自らのＩＤと一致するか否かに応じて、この受信許可リスト２５２ａが自らの更新用のものであるか否かを判断することができる。

【0065】

以上の構成の実施の形態２に係る車載通信システムは、車内ネットワークにて送受信される情報について、この情報が受信すべき情報であるか否かの判定に必要な受信許可リスト２５２ａを、各ＥＣＵ２５０が記憶部２５２に記憶する。受信許可リスト２５２ａは、例えば受信すべき情報に付されるＩＤのリストなどである。各ＥＣＵ２５０は、受信許可リスト２５２ａに基づいて受信すべきと判定した情報を受信して処理を行い、それ以外の情報に基づく処理を行わない。

【0066】

車内ネットワークに新たなＥＣＵ２５０が接続された場合には、新たなＥＣＵ２５０が送信した情報を受信すべきか否かを他のＥＣＵ２５０が判断するため、各ＥＣＵ２５０が記憶する受信許可リスト２５２ａの更新が必要となる。実施の形態２に係る車載通信システムでは、ゲートウェイ２１０のルーティングマップ１２ａと同様に、サーバ装置９との通信を行ってセキュリティコントローラ２１０が受信許可リスト２５２ａを取得し、取得した情報が正規のものであるか否かを判定した後で、各ＥＣＵ２５０の記憶部２５２に記憶した受信許可リスト２５２ａを更新する。これにより不正なＥＣＵ２５０が車内ネットワークに接続された場合であっても、不正なＥＣＵ２５０が送信した情報をその他の各ＥＣＵ２５０が受信して処理を行うことを防止できる。

【0067】

なお本実施の形態においては、サーバ装置９が各ＥＣＵ２５０の受信許可リスト２５２ａを送信する構成としたが、これに限るものではない。例えば受信許可リスト２５２ａを作成するための情報をサーバ装置９が送信し、この情報に基づいてセキュリティコントローラ２３０又はゲートウェイ２１０が各ＥＣＵ２５０の受信許可リスト２５２ａを作成する構成としてもよい。

【0068】

また実施の形態２に係る車載通信システムのその他の構成は、実施の形態１に係る車載通信システムの構成と同様であるため、同様の箇所には同じ符号を付して詳細な説明を省略する。

【符号の説明】

【0069】

１ 車輌
９ サーバ装置
１０ ゲートウェイ（車載中継装置）
１１ 処理部（中継先決定手段、更新手段、通報手段）
１２ 記憶部
１３ 送受信バッファ
２１ 第１通信部（車内通信部）
２２ 第２通信部（車内通信部）
２３ 第３通信部（車内通信部）
２４ 第４通信部（更新用通信部）
３０ セキュリティコントローラ（情報更新装置）
３１ 処理部（取得手段、判定手段、更新手段）
３１ａ 更新処理プログラム
３２ ＲＡＭ
３３ 位置情報取得部
３４ 無線通信部（車外通信手段）
３５ 車内通信部
３６ 記憶部
３６ａ プログラム記憶部
３６ｂ 認証情報
５１〜５８ ＥＣＵ（車載機器）
６１〜６４ 通信線
１１０ ゲートウェイ（車載中継装置）
１１１ 処理部（中継先決定手段、取得手段、判定手段、更新手段）
２１０ ゲートウェイ（車載中継装置）
２３０ セキュリティコントローラ
２５０ ＥＣＵ（車載機器）
２５１ 処理部（受信判定手段、制限手段、更新手段）
２５２ 記憶部
２５２ａ 受信許可リスト
２５３ 車内通信部
ＮＷ１〜ＮＷ２ 車内ネットワーク

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】