ホーム > 特許ランキング > 本田技研工業株式会社
知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024131140
(43)【公開日】2024-09-30
(54)【発明の名称】車両制御システムおよび通信処理方法
(51)【国際特許分類】
G06F 21/44 20130101AFI20240920BHJP
【ＦＩ】
G06F21/44 350
【審査請求】未請求
【請求項の数】9
【出願形態】ＯＬ
(21)【出願番号】P 2023041229
(22)【出願日】2023-03-15
(71)【出願人】
【識別番号】000005326
【氏名又は名称】本田技研工業株式会社
(74)【代理人】
【識別番号】110001081
【氏名又は名称】弁理士法人クシブチ国際特許事務所
(72)【発明者】
【氏名】福井 一輝
(57)【要約】
【課題】車載制御システムにおける不正な通信を適切に防御して、車両制御の安全性を向上する。
【解決手段】車両制御システムは、第１制御装置群及び第２制御装置群と、第１制御装置群及び第２制御装置群の制御装置のそれぞれと通信可能に接続された中継処理装置と、を備える。中継処理装置は、第１処理装置と第２処理装置とを備え、第１処理装置は、第１ＶＬＡＮを構成する第１制御装置群の制御装置についての第１通信認証処理を行い、第２処理装置は、第２ＶＬＡＮを構成する第２制御装置群の制御装置についての第２通信認証処理を行い、第１処理装置と前記第２処理装置とが第３ＶＬＡＮを介して通信して、第１通信認証処理において正当性が認証された制御装置と、第２通信認証処理において正当性が認証された制御装置と、の間での通信中継を行う。
【選択図】図１
【解決手段】車両制御システムは、第１制御装置群及び第２制御装置群と、第１制御装置群及び第２制御装置群の制御装置のそれぞれと通信可能に接続された中継処理装置と、を備える。中継処理装置は、第１処理装置と第２処理装置とを備え、第１処理装置は、第１ＶＬＡＮを構成する第１制御装置群の制御装置についての第１通信認証処理を行い、第２処理装置は、第２ＶＬＡＮを構成する第２制御装置群の制御装置についての第２通信認証処理を行い、第１処理装置と前記第２処理装置とが第３ＶＬＡＮを介して通信して、第１通信認証処理において正当性が認証された制御装置と、第２通信認証処理において正当性が認証された制御装置と、の間での通信中継を行う。
【選択図】図１
【特許請求の範囲】
【請求項1】
車両に搭載された、それぞれ少なくとも一つの制御装置を含む第１制御装置群及び第２制御装置群と、前記第１制御装置群の制御装置及び前記第２制御装置群の制御装置のそれぞれと通信可能に接続された中継処理装置と、を備える車両制御システムであって、
前記中継処理装置は、互いに独立に処理を行う第１処理装置と第２処理装置とを備え、
前記第１制御装置群の制御装置と前記第１処理装置とは、第１ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ－Ａｒｅａ－Ｎｅｔｗｏｒｋ）を構成し、前記第２制御装置群の制御装置と前記第２処理装置とは、前記第１ＶＬＡＮと異なる第２ＶＬＡＮを構成しており、
前記第１処理装置は、前記第１制御装置群の制御装置からの通信を受信したときに、通信相手である前記第１制御装置群の制御装置についての認証処理を含む第１通信認証処理を行い、
前記第２処理装置は、前記第２制御装置群の制御装置からの通信を受信したときに、通信相手である前記第２制御装置群の制御装置についての認証処理を含む第２通信認証処理を行い、
前記第１処理装置と前記第２処理装置とが、前記第１ＶＬＡＮ及び前記第２ＶＬＡＮと異なる第３ＶＬＡＮを介して通信して、前記第１通信認証処理において正当性が認証された制御装置と、前記第２通信認証処理において正当性が認証された制御装置と、の間での通信中継を行う、
車両制御システム。
前記中継処理装置は、互いに独立に処理を行う第１処理装置と第２処理装置とを備え、
前記第１制御装置群の制御装置と前記第１処理装置とは、第１ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ－Ａｒｅａ－Ｎｅｔｗｏｒｋ）を構成し、前記第２制御装置群の制御装置と前記第２処理装置とは、前記第１ＶＬＡＮと異なる第２ＶＬＡＮを構成しており、
前記第１処理装置は、前記第１制御装置群の制御装置からの通信を受信したときに、通信相手である前記第１制御装置群の制御装置についての認証処理を含む第１通信認証処理を行い、
前記第２処理装置は、前記第２制御装置群の制御装置からの通信を受信したときに、通信相手である前記第２制御装置群の制御装置についての認証処理を含む第２通信認証処理を行い、
前記第１処理装置と前記第２処理装置とが、前記第１ＶＬＡＮ及び前記第２ＶＬＡＮと異なる第３ＶＬＡＮを介して通信して、前記第１通信認証処理において正当性が認証された制御装置と、前記第２通信認証処理において正当性が認証された制御装置と、の間での通信中継を行う、
車両制御システム。
【請求項2】
前記第１制御装置群は、前記車両の運動制御に関わる制御を行う制御装置を含み、前記車両の外部との通信を行う制御装置を含まず、
前記第２制御装置群は、前記車両の外部との通信を行う制御装置を含み、前記車両の運動制御に関わる制御を行う制御装置を含まない、
請求項１に記載の車両制御システム。
前記第２制御装置群は、前記車両の外部との通信を行う制御装置を含み、前記車両の運動制御に関わる制御を行う制御装置を含まない、
請求項１に記載の車両制御システム。
【請求項3】
通信相手についての前記認証処理は、通信相手が送信する情報の中に含まれる送信元の通信アドレスが、正規の通信相手の通信アドレスとして予め定められた通信アドレスであるか否かに基づいて行われる、
請求項１に記載の車両制御システム。
請求項１に記載の車両制御システム。
【請求項4】
前記第１制御装置群の制御装置と前記第１処理装置との間の通信、及び前記第２制御装置群の制御装置と前記第２処理装置との間の通信は、予め定められた機能単位であるサービスのいずれかを探索している旨の通知である探索通知の送信、及び前記探索されているサービスを提供可能である旨の通知である提供通知の送信を含む、ＳＯＭＥ／ＩＰ通信（Ｓｅｒｖｉｃｅ Ｏｒｉｅｎｔｅｄ Ｍｉｄｄｌｅ ＷａｒＥ Ｏｖｅｒ ＩＰ通信）である、
請求項１に記載の車両制御システム。
請求項１に記載の車両制御システム。
【請求項5】
前記第１処理装置は、
前記第１制御装置群の制御装置からの前記探索通知を受信したときに、前記第２制御装置群の制御装置が提供し得る前記サービスの情報である第１サービス情報に基づいて、前記探索通知に対する前記提供通知を返信し、
前記第２処理装置は、
前記第２制御装置群の制御装置からの前記探索通知を受信したときに、前記第１制御装置群の制御装置が提供し得る前記サービスの情報である第２サービス情報に基づいて、前記探索通知に対する前記提供通知を返信する、
請求項４に記載の車両制御システム。
前記第１制御装置群の制御装置からの前記探索通知を受信したときに、前記第２制御装置群の制御装置が提供し得る前記サービスの情報である第１サービス情報に基づいて、前記探索通知に対する前記提供通知を返信し、
前記第２処理装置は、
前記第２制御装置群の制御装置からの前記探索通知を受信したときに、前記第１制御装置群の制御装置が提供し得る前記サービスの情報である第２サービス情報に基づいて、前記探索通知に対する前記提供通知を返信する、
請求項４に記載の車両制御システム。
【請求項6】
前記通信中継のための、前記第１処理装置と前記第２処理装置との間の通信は、前記ＳＯＭＥ／ＩＰ通信により行われ、
前記第１処理装置は、前記第１制御装置群の制御装置からの前記探索通知が指定する前記サービスについての前記探索通知を前記第２処理装置へ送信し、
前記第２処理装置は、前記第２制御装置群の制御装置からの前記探索通知が指定する前記サービスについての前記探索通知を前記第１処理装置へ送信する、
請求項５に記載の車両制御システム。
前記第１処理装置は、前記第１制御装置群の制御装置からの前記探索通知が指定する前記サービスについての前記探索通知を前記第２処理装置へ送信し、
前記第２処理装置は、前記第２制御装置群の制御装置からの前記探索通知が指定する前記サービスについての前記探索通知を前記第１処理装置へ送信する、
請求項５に記載の車両制御システム。
【請求項7】
前記第１処理装置は、通信相手である前記第２処理装置についての認証処理を含む第３通信認証処理を行い、
前記第２処理装置は、通信相手である前記第１処理装置についての認証処理を含む第４通信認証処理を行う、
請求項１に記載の車両制御システム。
前記第２処理装置は、通信相手である前記第１処理装置についての認証処理を含む第４通信認証処理を行う、
請求項１に記載の車両制御システム。
【請求項8】
前記第１処理装置は、前記中継処理装置が備えるプロセッサにより実現される物理マシンであり、
前記第２処理装置は、前記プロセッサにおいて実現される仮想マシンである、
請求項１ないし７のいずれか一項に記載の車両制御システム。
前記第２処理装置は、前記プロセッサにおいて実現される仮想マシンである、
請求項１ないし７のいずれか一項に記載の車両制御システム。
【請求項9】
車両に搭載された、それぞれ少なくとも一つの制御装置を含む第１制御装置群及び第２制御装置群と、前記第１制御装置群の制御装置及び前記第２制御装置群の制御装置のそれぞれと通信可能に接続された中継処理装置と、を備える車両制御システムのコンピュータが実行する通信処理方法であって、
前記中継処理装置は、互いに独立に処理を行う第１処理装置と第２処理装置とを備え、
前記第１制御装置群の制御装置と前記第１処理装置とは、第１ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ－Ａｒｅａ－Ｎｅｔｗｏｒｋ）を構成し、前記第２制御装置群の制御装置と前記第２処理装置とは、前記第１ＶＬＡＮと異なる第２ＶＬＡＮを構成しており、
前記第１処理装置が、前記第１制御装置群の制御装置からの通信を受信したときに、通信相手である前記第１制御装置群の制御装置についての認証処理を含む第１通信認証処理を行う第１認証ステップと、
前記第２処理装置が、前記第２制御装置群の制御装置からの通信を受信したときに、通信相手である前記第２制御装置群の制御装置についての認証処理を含む第２通信認証処理を行う第２認証ステップと、
前記第１処理装置と前記第２処理装置とが、前記第１ＶＬＡＮ及び前記第２ＶＬＡＮと異なる第３ＶＬＡＮを介して通信して、前記第１通信認証処理において正当性が認証された制御装置と、前記第２通信認証処理において正当性が認証された制御装置と、の間での通信中継を行う中継ステップと、
を有する、通信処理方法。
前記中継処理装置は、互いに独立に処理を行う第１処理装置と第２処理装置とを備え、
前記第１制御装置群の制御装置と前記第１処理装置とは、第１ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ－Ａｒｅａ－Ｎｅｔｗｏｒｋ）を構成し、前記第２制御装置群の制御装置と前記第２処理装置とは、前記第１ＶＬＡＮと異なる第２ＶＬＡＮを構成しており、
前記第１処理装置が、前記第１制御装置群の制御装置からの通信を受信したときに、通信相手である前記第１制御装置群の制御装置についての認証処理を含む第１通信認証処理を行う第１認証ステップと、
前記第２処理装置が、前記第２制御装置群の制御装置からの通信を受信したときに、通信相手である前記第２制御装置群の制御装置についての認証処理を含む第２通信認証処理を行う第２認証ステップと、
前記第１処理装置と前記第２処理装置とが、前記第１ＶＬＡＮ及び前記第２ＶＬＡＮと異なる第３ＶＬＡＮを介して通信して、前記第１通信認証処理において正当性が認証された制御装置と、前記第２通信認証処理において正当性が認証された制御装置と、の間での通信中継を行う中継ステップと、
を有する、通信処理方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、車両制御システム、および車両制御システムが実行する通信処理方法に関する。
【背景技術】
【0002】
近年、車両における制御の安全性を向上するための研究開発が行われている。
特許文献１には、サービス指向型通信を採用した車載ネットワークシステムにおける不正なフレームの送信を検知して、不正な通信の確立を防ぐ不正フレーム検知装置が記載されている。この装置では、サーバとクライアントが物理的に接続するポートの関係から不正なフレームの送信が検知される。
特許文献１には、サービス指向型通信を採用した車載ネットワークシステムにおける不正なフレームの送信を検知して、不正な通信の確立を防ぐ不正フレーム検知装置が記載されている。この装置では、サーバとクライアントが物理的に接続するポートの関係から不正なフレームの送信が検知される。
【先行技術文献】
【特許文献】
【0003】
【特許文献1】国際公開第２０２１／００２０１０号
【発明の概要】
【発明が解決しようとする課題】
【0004】
ところで、車両制御の安全性に関する技術においては、車載制御システムにおける、攻撃者からの不正な通信を適切に防御することが課題である。
本願は上記課題の解決のため、車載制御システムにおける不正な通信を適切に防御して、車両制御の安全性を向上することを目的としたものである。そして、延いては交通の安全性をより一層改善して持続可能な輸送システムの発展に寄与するものである。
本願は上記課題の解決のため、車載制御システムにおける不正な通信を適切に防御して、車両制御の安全性を向上することを目的としたものである。そして、延いては交通の安全性をより一層改善して持続可能な輸送システムの発展に寄与するものである。
【課題を解決するための手段】
【0005】
本発明の一の態様は、車両に搭載された、それぞれ少なくとも一つの制御装置を含む第１制御装置群及び第２制御装置群と、前記第１制御装置群の制御装置及び前記第２制御装置群の制御装置のそれぞれと通信可能に接続された中継処理装置と、を備える車両制御システムであって、前記中継処理装置は、互いに独立に処理を行う第１処理装置と第２処理装置とを備え、前記第１制御装置群の制御装置と前記第１処理装置とは、第１ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ－Ａｒｅａ－Ｎｅｔｗｏｒｋ）を構成し、前記第２制御装置群の制御装置と前記第２処理装置とは、前記第１ＶＬＡＮと異なる第２ＶＬＡＮを構成しており、前記第１処理装置は、前記第１制御装置群の制御装置からの通信を受信したときに、通信相手である前記第１制御装置群の制御装置についての認証処理を含む第１通信認証処理を行い、前記第２処理装置は、前記第２制御装置群の制御装置からの通信を受信したときに、通信相手である前記第２制御装置群の制御装置についての認証処理を含む第２通信認証処理を行い、前記第１処理装置と前記第２処理装置とが、前記第１ＶＬＡＮ及び前記第２ＶＬＡＮと異なる第３ＶＬＡＮを介して通信して、前記第１通信認証処理において正当性が認証された制御装置と、前記第２通信認証処理において正当性が認証された制御装置と、の間での通信中継を行う、車両制御システムである。
本発明の他の態様によると、前記第１制御装置群は、前記車両の運動制御に関わる制御を行う制御装置を含み、前記車両の外部との通信を行う制御装置を含まず、前記第２制御装置群は、前記車両の外部との通信を行う制御装置を含み、前記車両の運動制御に関わる制御を行う制御装置を含まない。
本発明の他の態様によると、通信相手についての前記認証処理は、通信相手が送信する情報の中に含まれる送信元の通信アドレスが、正規の通信相手の通信アドレスとして予め定められた通信アドレスであるか否かに基づいて行われる。
本発明の他の態様によると、前記第１制御装置群の制御装置と前記第１処理装置との間の通信、及び前記第２制御装置群の制御装置と前記第２処理装置との間の通信は、予め定められた機能単位であるサービスのいずれかを探索している旨の通知である探索通知の送信、及び前記探索されているサービスを提供可能である旨の通知である提供通知の送信を含む、ＳＯＭＥ／ＩＰ（Ｓｅｒｖｉｃｅ Ｏｒｉｅｎｔｅｄ Ｍｉｄｄｌｅ ＷａｒＥ Ｏｖｅｒ ＩＰ）通信である。
本発明の他の態様によると、前記第１処理装置は、前記第１制御装置群の制御装置からの前記探索通知を受信したときに、前記第２制御装置群の制御装置が提供し得る前記サービスの情報である第１サービス情報に基づいて、前記探索通知に対する前記提供通知を返信し、前記第２処理装置は、前記第２制御装置群の制御装置からの前記探索通知を受信したときに、前記第１制御装置群の制御装置が提供し得る前記サービスの情報である第２サービス情報に基づいて、前記探索通知に対する前記提供通知を返信する。
本発明の他の態様によると、前記通信中継のための、前記第１処理装置と前記第２処理装置との間の通信は、前記ＳＯＭＥ／ＩＰ通信により行われ、前記第１処理装置は、前記第１制御装置群の制御装置からの前記探索通知が指定する前記サービスについての前記探索通知を前記第２処理装置へ送信し、前記第２処理装置は、前記第２制御装置群の制御装置からの前記探索通知が指定する前記サービスについての前記探索通知を前記第１処理装置へ送信する。
本発明の他の態様によると、前記第１処理装置は、通信相手である前記第２処理装置についての認証処理を含む第３通信認証処理を行い、前記第２処理装置は、通信相手である前記第１処理装置についての認証処理を含む第４通信認証処理を行う。
本発明の他の態様によると、前記第１処理装置は、前記中継処理装置が備えるプロセッサにより実現される物理マシンであり、前記第２処理装置は、前記プロセッサにおいて実現される仮想マシンである。
本発明の他の態様は、車両に搭載された、それぞれ少なくとも一つの制御装置を含む第１制御装置群及び第２制御装置群と、前記第１制御装置群の制御装置及び前記第２制御装置群の制御装置のそれぞれと通信可能に接続された中継処理装置と、を備える車両制御システムのコンピュータが実行する通信処理方法であって、前記中継処理装置は、互いに独立に処理を行う第１処理装置と第２処理装置とを備え、前記第１制御装置群の制御装置と前記第１処理装置とは、第１ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ－Ａｒｅａ－Ｎｅｔｗｏｒｋ）を構成し、前記第２制御装置群の制御装置と前記第２処理装置とは、前記第１ＶＬＡＮと異なる第２ＶＬＡＮを構成しており、前記第１処理装置が、前記第１制御装置群の制御装置からの通信を受信したときに、通信相手である前記第１制御装置群の制御装置についての認証処理を含む第１通信認証処理を行う第１認証ステップと、前記第２処理装置が、前記第２制御装置群の制御装置からの通信を受信したときに、通信相手である前記第２制御装置群の制御装置についての認証処理を含む第２通信認証処理を行う第２認証ステップと、前記第１処理装置と前記第２処理装置とが、前記第１ＶＬＡＮ及び前記第２ＶＬＡＮと異なる第３ＶＬＡＮを介して通信して、前記第１通信認証処理において正当性が認証された制御装置と、前記第２通信認証処理において正当性が認証された制御装置と、の間での通信中継を行う中継ステップと、を有する、通信処理方法である。
本発明の他の態様によると、前記第１制御装置群は、前記車両の運動制御に関わる制御を行う制御装置を含み、前記車両の外部との通信を行う制御装置を含まず、前記第２制御装置群は、前記車両の外部との通信を行う制御装置を含み、前記車両の運動制御に関わる制御を行う制御装置を含まない。
本発明の他の態様によると、通信相手についての前記認証処理は、通信相手が送信する情報の中に含まれる送信元の通信アドレスが、正規の通信相手の通信アドレスとして予め定められた通信アドレスであるか否かに基づいて行われる。
本発明の他の態様によると、前記第１制御装置群の制御装置と前記第１処理装置との間の通信、及び前記第２制御装置群の制御装置と前記第２処理装置との間の通信は、予め定められた機能単位であるサービスのいずれかを探索している旨の通知である探索通知の送信、及び前記探索されているサービスを提供可能である旨の通知である提供通知の送信を含む、ＳＯＭＥ／ＩＰ（Ｓｅｒｖｉｃｅ Ｏｒｉｅｎｔｅｄ Ｍｉｄｄｌｅ ＷａｒＥ Ｏｖｅｒ ＩＰ）通信である。
本発明の他の態様によると、前記第１処理装置は、前記第１制御装置群の制御装置からの前記探索通知を受信したときに、前記第２制御装置群の制御装置が提供し得る前記サービスの情報である第１サービス情報に基づいて、前記探索通知に対する前記提供通知を返信し、前記第２処理装置は、前記第２制御装置群の制御装置からの前記探索通知を受信したときに、前記第１制御装置群の制御装置が提供し得る前記サービスの情報である第２サービス情報に基づいて、前記探索通知に対する前記提供通知を返信する。
本発明の他の態様によると、前記通信中継のための、前記第１処理装置と前記第２処理装置との間の通信は、前記ＳＯＭＥ／ＩＰ通信により行われ、前記第１処理装置は、前記第１制御装置群の制御装置からの前記探索通知が指定する前記サービスについての前記探索通知を前記第２処理装置へ送信し、前記第２処理装置は、前記第２制御装置群の制御装置からの前記探索通知が指定する前記サービスについての前記探索通知を前記第１処理装置へ送信する。
本発明の他の態様によると、前記第１処理装置は、通信相手である前記第２処理装置についての認証処理を含む第３通信認証処理を行い、前記第２処理装置は、通信相手である前記第１処理装置についての認証処理を含む第４通信認証処理を行う。
本発明の他の態様によると、前記第１処理装置は、前記中継処理装置が備えるプロセッサにより実現される物理マシンであり、前記第２処理装置は、前記プロセッサにおいて実現される仮想マシンである。
本発明の他の態様は、車両に搭載された、それぞれ少なくとも一つの制御装置を含む第１制御装置群及び第２制御装置群と、前記第１制御装置群の制御装置及び前記第２制御装置群の制御装置のそれぞれと通信可能に接続された中継処理装置と、を備える車両制御システムのコンピュータが実行する通信処理方法であって、前記中継処理装置は、互いに独立に処理を行う第１処理装置と第２処理装置とを備え、前記第１制御装置群の制御装置と前記第１処理装置とは、第１ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ－Ａｒｅａ－Ｎｅｔｗｏｒｋ）を構成し、前記第２制御装置群の制御装置と前記第２処理装置とは、前記第１ＶＬＡＮと異なる第２ＶＬＡＮを構成しており、前記第１処理装置が、前記第１制御装置群の制御装置からの通信を受信したときに、通信相手である前記第１制御装置群の制御装置についての認証処理を含む第１通信認証処理を行う第１認証ステップと、前記第２処理装置が、前記第２制御装置群の制御装置からの通信を受信したときに、通信相手である前記第２制御装置群の制御装置についての認証処理を含む第２通信認証処理を行う第２認証ステップと、前記第１処理装置と前記第２処理装置とが、前記第１ＶＬＡＮ及び前記第２ＶＬＡＮと異なる第３ＶＬＡＮを介して通信して、前記第１通信認証処理において正当性が認証された制御装置と、前記第２通信認証処理において正当性が認証された制御装置と、の間での通信中継を行う中継ステップと、を有する、通信処理方法である。
【発明の効果】
【0006】
本発明によれば、車載制御システムにおける不正な通信を適切に防御して、車両制御の安全性を向上することができる。
【図面の簡単な説明】
【0007】
【発明を実施するための形態】
【0008】
以下、図面を参照して本発明の実施形態について説明する。
［１．車両制御システムの構成］
図１は、本発明の一実施形態に係る車両制御システム１の構成を示す図である。車両制御システム１は、車両２に搭載されて、車両２の動作を制御する。車両２は、内燃機関及び又はモータにより駆動される任意の車両であり得る。本実施形態では、車両２は、車載バッテリから給電される駆動モータ（共に不図示）によって駆動される電気自動車である。
［１．車両制御システムの構成］
図１は、本発明の一実施形態に係る車両制御システム１の構成を示す図である。車両制御システム１は、車両２に搭載されて、車両２の動作を制御する。車両２は、内燃機関及び又はモータにより駆動される任意の車両であり得る。本実施形態では、車両２は、車載バッテリから給電される駆動モータ（共に不図示）によって駆動される電気自動車である。
【0009】
車両制御システム１は、第１制御装置群３と、第２制御装置群４と、中継処理装置５と、を含む。第１制御装置群３は、本実施形態では、車両２の外部との通信を行う制御装置を含まず、車両２の運動制御に関わる制御を行う制御装置を含む。本実施形態では、第１制御装置群３は、車両２の運動制御に関わる制御を行う制御装置として、駆動ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｏｒｏｌ Ｕｎｉｔ）６ａと、操縦ＥＣＵ６ｂと、バッテリＥＣＵ６ｃと、ＡＤＡＳ（Ａｄａｖａｎｃｅｄ Ｄｒｉｖｅｒ－Ａｓｓｉｓｔｎａｃｅ Ｓｙｓｔｅｍ）－ＥＣＵ６ｄとを含む。
【0010】
駆動ＥＣＵ６ａは、車両２を駆動する駆動モータの動作を制御し、操縦ＥＣＵ６ｂは、車両２のステアリングホイール、ブレーキ、アクセル等の操縦操作についての操作に基づいて、車両２の操舵、減速、加速等の動作を制御する。バッテリＥＣＵ６ｃは、車載バッテリの充電残量等を検知して、駆動モータへの給電動作を制御する。また、ＡＤＡＳ－ＥＣＵ６ｄは、車両２のクルーズ動作、レーンキープ動作等の運転者支援動作を制御する。以下、第１制御装置群３に含まれる駆動ＥＣＵ６ａ、操縦ＥＣＵ６ｂ、バッテリＥＣＵ６ｃ、及びＡＤＡＳ－ＥＣＵ６ｄを総称して、ＥＣＵ６ともいうものとする。
【0011】
第２制御装置群４は、車両２の運動制御に関わる制御を行う制御装置を含まず、車両２の外部との通信を行う制御装置を含む。本実施形態では、第２制御装置群４は、車両２の外部との通信を行う制御装置として、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）７ａと、ＩＶＩ（Ｉｎ－Ｖｅｈｉｃｌｅ Ｉｎｆｏｔａｉｎｍｅｎｔ）－ＥＣＵ７ｂと、を含む。ＴＣＵ７ａは、車両２の外部の装置との間で、直接に又は外部の通信ネットワークを介して間接に通信するための無線通信装置である。ＩＶＩ－ＥＣＵ７ｂは、ラジオ放送やテレビ放送の電波を受信して、及び又はＧＰＳ電波を受信して、車載の表示装置やスピーカ等（共に不図示）により、車両２の乗員に画像や映像を表示し、及び又は経路案内等の情報提供を行う。
【0012】
また、第２制御装置群４は、例えば、車両２の車室内に設けられた図示しないＤＭＣ（Ｄｒｉｖｅｒ Ｍｏｎｉｔｏｒｉｎｇ Ｃａｍｅｒａ）の動作を制御するＤＭＣ－ＥＣＵ７ｃを備える。以下、第２制御装置群４に含まれるＴＣＵ７ａ、ＩＶＩ－ＥＣＵ７ｂ、及びＤＭＣ－ＥＣＵ７ｃを総称して、ＥＣＵ７ともいうものとする。
【0013】
第１制御装置群３及び第２制御装置群４は、それぞれ、本実施形態では４つ及び３つの制御装置を含むが、それぞれが少なくとも一つの制御装置を有していればよい。
ＥＣＵ６及びＥＣＵ７のそれぞれは、コンピュータを備えて、所定の制御動作及び他の車載装置との間の通信を行う。
ＥＣＵ６及びＥＣＵ７のそれぞれは、コンピュータを備えて、所定の制御動作及び他の車載装置との間の通信を行う。
【0014】
車両制御システム１は、また、ルーティング装置８を含む。ルーティング装置８は、例えば、制御装置間を通信可能に接続するハブ機能と、それらの制御装置が構成する複数の通信ネットワークを跨いで通信をルーティングするルーティング機能と、を有する。
【0015】
第１制御装置群３のＥＣＵ６と、後述する中継処理装置５が備える第１処理装置２６とは、ルーティング装置８に接続されて第１ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ－Ａｒｅａ－Ｎｅｔｗｏｒｋ）９を構成する。第２制御装置群４のＥＣＵ７と、後述する中継処理装置５が備える第２処理装置２７とは、ルーティング装置８に接続されて第２ＶＬＡＮ１０を構成している。また、中継処理装置５が備える第１処理装置２６及び第２処理装置２７は、それぞれルーティング装置８に接続されて、第３ＶＬＡＮ１１を構成している。
【0016】
中継処理装置５では、第１処理装置２６及び第２処理装置２７が協働して、第１ＶＬＡＮ９を構成する第１制御装置群３の制御装置であるＥＣＵ６と、第２ＶＬＡＮ１０を構成する第２制御装置群４の制御装置であるＥＣＵ７との間の通信を中継する。
【0017】
本実施形態では、ＥＣＵ６、ＥＣＵ７、第１処理装置２６、及び第２処理装置２７は、Ｅｔｈｅｒｎｅｔ（登録商標）通信規格に従い、ＴＣＰ／ＩＰプロトコルに準拠した通信を行う。ルーティング装置８は、例えば、Ｌ３スイッチである。ルーティング装置８は、中継処理装置５に内蔵されていてもよい。
【0018】
本実施形態では、ＥＣＵ６、ＥＣＵ７、第１処理装置２６、及び第２処理装置２７は、例えば、ＡＵＴＯＳＡＲ（Ａｕｔｏｍｏｔｉｖｅ Ｏｐｅｎ Ｓｙｓｔｅｍ Ａｒｃｈｉｔｅｃｔｕｒｅ）で規定されたＳＯＭＥ／ＩＰ（Ｓｅｒｖｉｃｅ Ｏｒｉｅｎｔｅｄ Ｍｉｄｄｌｅ ＷａｒＥ Ｏｖｅｒ ＩＰ）通信を行う。
【0019】
［２．中継処理装置の構成］
図１を参照し、中継処理装置５は、プロセッサ２０と、メモリ２１と、第１通信装置２２ａと、第２通信装置２２ｂと、を含む。
第１通信装置２２ａ及び第２通信装置２２ｂは、それぞれ、後述する第１処理装置２６及び第２処理装置２７が通信を行うための有線通信装置である。第１通信装置２２ａと第２通信装置２２ｂとは、Ｅｔｈｅｒｎｅｔ通信規格に従い、ＴＣＰ／ＩＰおよびＳＯＭＥ／ＩＰ通信規格に準拠した通信を行う。また、第１通信装置２２ａおよび第２通信装置２２ｂは、それぞれルーティング装置８に接続されて第３ＶＬＡＮ１１を構成している。第１通信装置２２ａ及び第２通信装置２２ｂは、ルーティング装置８を介してＥＣＵ６及びＥＣＵ７とＳＯＭＥ／ＩＰ通信規格に準拠した通信を行う。
図１を参照し、中継処理装置５は、プロセッサ２０と、メモリ２１と、第１通信装置２２ａと、第２通信装置２２ｂと、を含む。
第１通信装置２２ａ及び第２通信装置２２ｂは、それぞれ、後述する第１処理装置２６及び第２処理装置２７が通信を行うための有線通信装置である。第１通信装置２２ａと第２通信装置２２ｂとは、Ｅｔｈｅｒｎｅｔ通信規格に従い、ＴＣＰ／ＩＰおよびＳＯＭＥ／ＩＰ通信規格に準拠した通信を行う。また、第１通信装置２２ａおよび第２通信装置２２ｂは、それぞれルーティング装置８に接続されて第３ＶＬＡＮ１１を構成している。第１通信装置２２ａ及び第２通信装置２２ｂは、ルーティング装置８を介してＥＣＵ６及びＥＣＵ７とＳＯＭＥ／ＩＰ通信規格に準拠した通信を行う。
【0020】
メモリ２１は、例えば、揮発性及び又は不揮発性の半導体メモリ、及び又はハードディスク装置等により構成される。メモリ２１には、第１識別情報２３ａ及び第２識別情報２３ｂと、第１サービス情報２４ａ及び第２サービス情報２４ｂと、が記憶されている。
【0021】
第１識別情報２３ａ及び第２識別情報２３ｂには、それぞれ、予め定められた、第１制御装置群３に含まれる正規のＥＣＵ６の通信アドレスのリスト（ＥＣＵ６についての、正規装置の通信アドレスリスト）、及び第２制御装置群４に含まれる正規のＥＣＵ７の通信アドレスのリスト（ＥＣＵ７についての、正規装置の通信アドレスリスト）が保存されている。
【0022】
第１サービス情報２４ａには、第２制御装置群４の各ＥＣＵ７が提供し得る各サービスのサービスＩＤのリスト（サービスＩＤリスト）が保存されている。また、第２サービス情報２４ｂには、第１制御装置群３の各ＥＣＵ６が提供し得る各サービスのサービスＩＤリストが保存されている。
【0023】
プロセッサ２０は、例えば、ＣＰＵ等を備えるコンピュータである。プロセッサ２０は、プログラムが書き込まれたＲＯＭ、データの一時記憶のためのＲＡＭ等を有する構成であってもよい。そして、プロセッサ２０は、機能要素又は機能ユニットとして、第１処理装置２６と、第２処理装置２７と、を備える。
【0024】
第１処理装置２６と第２処理装置２７とは、互いに独立に処理を行い、互いに協働して、第１ＶＬＡＮ９を構成する第１制御装置群３のＥＣＵ６と、第２ＶＬＡＮ１０を構成する第２制御装置群４のＥＣＵ７と、の間の通信を中継する。
【0025】
第１処理装置２６は、例えば、コンピュータであるプロセッサ２０が、メモリ２１に記憶された、ＯＳ（オぺレーティングシステム）を含む第１プログラム２５ａを実行することにより、いわゆる物理マシンとして実現される。また、例えば、第２処理装置２７は、コンピュータであるプロセッサ２０が、メモリ２１に記憶された、ＯＳを含む第２プログラム２５ｂを実行することにより、いわゆる仮想マシンとして実現される。
これにより、第１処理装置２６と第２処理装置２７とは、互いに独立なコンピュータとして動作し得る。
これにより、第１処理装置２６と第２処理装置２７とは、互いに独立なコンピュータとして動作し得る。
【0026】
具体的には、第１処理装置２６は、プロセッサ２０が第１プログラム２５ａを実行することにより、プロセッサ２０内においてプロセッサ２０のハードウェア上に実現されて動作を開始する。その際、プロセッサ２０が第１プログラム２５ａに含まれるＯＳを実行することにより、そのＯＳが提供する仮想マシンプラットフォームがプロセッサ２０内に形成される。
【0027】
その後、プロセッサ２０が上記仮想マシンプラットフォーム上において第２プログラム２５ｂを実行することにより、仮想マシンとしての第２処理装置が実現される。
【0028】
すなわち、第１プログラム２５ａが提供するＯＳは、いわゆるホストＯＳであり、第２プログラム２５ｂが提供するＯＳは、ホストＯＳが提供する仮想マシンプラットフォーム上で実行される、いわゆるゲストＯＳである。
【0029】
なお、第１プログラム２５ａ及び第２プログラム２５ｂは、コンピュータ読み取り可能な任意の記憶媒体に記憶させておくことができる。
【0030】
第１処理装置２６は、機能要素又は機能ユニットとして、第１認証部３０と、第１通信制御部３１と、を備える。これらの機能要素は、プロセッサ２０が上述の第１プログラム２５ａを実行することにより実現される。
【0031】
また、第２処理装置２７は、機能要素又は機能ユニットとして、第２認証部３２と、第２通信制御部３３と、を備える。これらの機能要素は、プロセッサ２０が上述の第２プログラム２５ｂを実行することにより実現される。
【0032】
第１処理装置２６の第１認証部３０は、第１通信装置２２ａにより、ルーティング装置８を介して第１制御装置群３のＥＣＵ６と通信し、通信相手であるＥＣＵ６についての認証処理を含む第１通信認証処理を行う。第１通信認証処理は、通信相手が送信する情報の中に含まれる送信元のＥＣＵ６の通信アドレスが、正規の通信相手の通信アドレスとして予め定められた通信アドレスであるか否かに基づいて行われる。
【0033】
具体的には、第１認証部３０は、いずれかのＥＣＵ６から、通信相手の検索又は特定のための通信を受信したときに、第１認証処理を行う。より具体的には、第１認証部３０は、いずれかのＥＣＵ６から、通信相手を検索又は特定するための通信であるＳＯＭＥ／ＩＰ－ＳＤのＦｉｎｄＳｅｒｖｉｃｅメッセージ又はＯｆｆｅｒＳｅｒｖｉｃｅメッセージを受信したときに、そのメッセージに含まれる当該メッセージの送信元アドレスを取得する。そして、第１認証部３０は、メモリ２１に記憶された第１識別情報２３ａを参照し、第１識別情報２３ａが保存する第１制御装置群３の正規装置の通信アドレスリストの中に、上記取得した送信元アドレスが含まれていれば、通信相手であるＥＣＵ６を正規の制御装置であると判断して認証する。
【0034】
同様に、第２処理装置２７の第２認証部３２は、第２通信装置２２ｂにより、ルーティング装置８介して第２制御装置群４のＥＣＵ７と通信し、通信相手であるＥＣＵ７についての認証処理を含む第２通信認証処理を行う。第２通信認証処理は、通信相手が送信する情報の中に含まれる送信元のＥＣＵ７の通信アドレスが、正規の通信相手の通信アドレスとして予め定められた通信アドレスであるか否かに基づいて行われる。
【0035】
具体的には、第２認証部３２は、いずれかのＥＣＵ７から、通信相手の検索又は特定のための通信であるＳＯＭＥ／ＩＰ－ＳＤのＦｉｎｄＳｅｒｖｉｃｅメッセージ又はＯｆｆｅｒＳｅｒｖｉｃｅメッセージを受信したときに、そのメッセージに含まれる当該メッセージの送信元アドレスを取得する。そして、第２認証部３２は、メモリ２１に記憶された第２識別情報２３ｂを参照し、第２識別情報２３ｂが保存する第２制御装置群４の正規装置の通信アドレスリストの中に、上記取得した送信元アドレスが含まれていれば、通信相手であるＥＣＵ７を正規の制御装置であると判断して認証する。
【0036】
ここで、第１認証部３０及び第２認証部３２がそれぞれＥＣＵ６及びＥＣＵ７から受信する、ＦｉｎｄＳｅｒｖｉｃｅメッセージ及びＯｆｆｅｒＳｅｒｖｉｃｅメッセージは、それぞれ、本開示における、予め定められた機能単位であるサービスのいずれかを探索している旨の通知である探索通知、および、探索されているサービスを提供可能である旨の通知である提供通知、に相当する。
【0037】
第１認証部３０は、通信相手であるＥＣＵ６を正規の制御装置であると認証したあとは、そのＥＣＵ６から受信する通信については第１認証処理を行わないものとすることができる。例えば、第１認証部３０は、上記通信相手であるＥＣＵ６から受信したＦｉｎｄＳｅｒｖｉｃｅメッセージに含まれていたセッションＩＤと同じセッションＩＤを持つメッセージについては、第１認証処理を行わないものとしてもよい。
【0038】
同様に、第２認証部３２は、通信相手であるＥＣＵ７を正規の制御装置であると認証したあとは、その後にそのＥＣＵ７から受信する通信については第２認証処理を行わないものとすることができる。例えば、第２認証部３２は、上記通信相手であるＥＣＵ７から受信したＦｉｎｄＳｅｒｖｉｃｅメッセージに含まれていたセッションＩＤと同じセッションＩＤを持つメッセージについては、第２認証処理を行わないものとしてもよい。
【0039】
第１処理装置２６の第１通信制御部３１および第２処理装置２７の第２通信制御部３３は、上記第１通信認証処理において正当性が認証された制御装置であるＥＣＵ６と、上記第２通信認証処理において正当性が認証された制御装置であるＥＣＵ７と、の間での通信を中継（又は仲介）する。本実施形態では、上記通信の中継は、第１通信制御部３１と第２通信制御部３３とが互いに通信することにより行われる。また、本実施形態では、第１通信制御部３１と第２通信制御部３３との上記通信は、ＳＯＭＥ／ＩＰ通信である。
【0040】
【0041】
図２は、中継処理装置５が行う通信中継処理の一例を示すシーケンス図である。図２では、第１制御装置群３に含まれるいずれかのＥＣＵ６がクライアント装置となり、第２制御装置群４に含まれるいずれかのＥＣＵ７がサーバ装置となって、ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージと、Ｅｖｅｎｔメッセージ又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎメッセージと、を用いた継続的なサービス提供が行われる。なお、第１制御装置群３に含まれるいずれかのＥＣＵ６がクライアント装置となり、他のいずれかのＥＣＵ６がサーバ装置となる場合には、中継処理装置５における図２に示すような中継処理は行われることなく、従来技術に従ってＥＣＵ６間においてＳＯＭＥ／ＩＰ通信が行われる。
【0042】
図２において、まず、第１制御装置群３のいずれかのＥＣＵ６は、車両２に運動制御に関わる何らかの制御のために必要なサービス（要求サービス）の提供を求めて、当該要求サービスを提供し得るサーバ装置を検索するためのＦｉｎｄＳｅｒｖｉｃｅメッセージをマルチキャスト送信する（Ｓ１００）。以下、ＦｉｎｄＳｅｒｖｉｃｅメッセージを送信したＥＣＵ６をクライアントＥＣＵ６という。
【0043】
ここで、ＦｉｎｄＳｅｒｖｉｃｅメッセージのマルチキャスト送信に用いられるＩＰパケットのＩＰヘッダのＤｅｓｔｉｎａｔｉｏｎＡｄｄｒｅｓｓフィールドには、送信先に中継処理装置５の第１処理装置２６を含むように規定されたＩＰアドレスがセットされるものとする。
【0044】
クライアントＥＣＵ６からのＦｉｎｄＳｅｒｖｉｃｅメッセージを受信した第１処理装置２６の第１認証部３０は、クライアントＥＣＵ６についての第１認証処理を実行する（Ｓ１０２）。上述したように、第１認証部３０は、例えば、受信したＦｉｎｄＳｅｒｖｉｃｅメッセージに含まれる当該メッセージの送信元アドレスと、メモリ２１が記憶する第１識別情報２３ａとに基づいて、上記第１認証処理を行う。なお、第１認証部３０は、第１認証処理においてクライアントＥＣＵ６の正当性を認証できないときは、図２に示す処理を終了する（図２には不図示）。
【0045】
続いて、第１処理装置２６の第１通信制御部３１は、メモリ２１に記憶されている第１サービス情報２４ａを参照し、いずれかのＥＣＵ７が、クライアントＥＣＵ６の求める要求サービスを提供可能か否かを確認する（Ｓ１０４）。具体的には、第１通信制御部３１は、ＦｉｎｄＳｅｒｖｉｃｅメッセージのＳｅｒｖｉｃｅＩＤから、上記要求サービスのサービスＩＤを取得する。そして、第１通信制御部３１は、取得したサービスＩＤが、第１サービス情報２４ａが保存するサービスＩＤリストに含まれていることを確認する。
【0046】
その後、第１通信制御部３１は、要求サービスを提供可能であることを示すＯｆｆｅｒＳｅｒｖｉｃｅメッセージをクライアントＥＣＵ６へ送信する（Ｓ１０６）。なお、第１サービス情報２４ａが保存するサービスＩＤリストに要求サービスのサービスＩＤが含まれていないときは、第１通信制御部３１は、図２に示す処理を終了する（不図示）。
【0047】
第１処理装置２６の第１通信制御部３１からＯｆｆｅｒＳｅｒｖｉｃｅメッセージを受信したクライアントＥＣＵ６は、例えば、継続的なサービスの提供を求めるＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージ（添付図においては、“Ｓｕｂｓｃｒｉｂｅ”とも略記する。）を第１処理装置２６へ送信する（Ｓ１０８）。第１処理装置２６の第１通信制御部３１は、上記ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージに対する応答であるＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐＡｃｋ（添付図においては、“ＳｕｂｓｃｒｉｂｅＡｃｋ”とも略記する。）をクライアントＥＣＵ６へ送信する（Ｓ１１０）。
【0048】
次に、第１通信制御部３１は、ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージを受信したことに応じて、ステップＳ１００において送信されたクライアントＥＣＵ６からのＦｉｎｄＳｅｒｖｉｃｅメッセージに含まれていたものと同じサービスＩＤを含む新たなＦｉｎｄＳｅｒｖｉｃｅメッセージを第２処理装置２７へ送信する（Ｓ１１２）。第２処理装置２７は、例えば、第１サービス情報２４ａを参照し、いずれかのＥＣＵ７が上記ＦｉｎｄＳｅｒｖｉｃｅメッセージが求める要求サービスを提供可能であることを確認したのち（Ｓ１１４）、第１処理装置２６へＯｆｆｅｒＳｅｒｖｉｃｅメッセージを送信する（Ｓ１１６）。ＯｆｆｅｒＳｅｒｖｉｃｅメッセージを受信した第１処理装置２６の第１通信制御部３１は、ステップＳ１０８において送信されたクライアントＥＣＵ６からのＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージに含まれていたものと同じサービスＩＤを含む新たなＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージを第２処理装置２７へ送信する（Ｓ１１８）。第２処理装置２７の第２通信制御部３３は、上記ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージに対する応答であるＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐＡｃｋを第１処理装置２６へ送信する（Ｓ１２０）。
【0049】
続いて、第２処理装置２７の第２通信制御部３３は、ステップＳ１１２において送信されたＦｉｎｄＳｅｒｖｉｃｅメッセージに含まれていたものと同じサービスＩＤを含む新たなＦｉｎｄＳｅｒｖｉｃｅメッセージを、第２制御装置群４の全てのＥＣＵ７へマルチキャスト送信する（Ｓ１２２）。これに応じて、このＦｉｎｄＳｅｒｖｉｃｅメッセージに含まれるサービスＩＤが示す要求サービスを提供可能ないずれかのＥＣＵ７（以下、サーバＥＣＵ７という）は、当該サービスを提供可能であることを示すＯｆｆｅｒＳｅｒｖｉｃｅメッセージを、第２処理装置２７へ返信する（Ｓ１２４）。
【0050】
サーバＥＣＵ７からのＯｆｆｅｒＳｅｒｖｉｃｅメッセージを受信した第２処理装置２７の第２認証部３２は、サーバＥＣＵ７について第２認証処理を実行する（Ｓ１２６）。上述したように、第２認証部３２は、例えば、受信したＯｆｆｅｒＳｅｒｖｉｃｅメッセージに含まれる当該メッセージの送信元アドレスと、メモリ２１が記憶する第２識別情報２３ｂとに基づいて、上記第２認証処理を行う。なお、第２認証部３２は、第２認証処理においてサーバＥＣＵ７の正当性を認証できないときは、図２に示す処理を終了する（図２には不図示）。
【0051】
続いて、第２処理装置２７の第２通信制御部３３は、ステップＳ１１８において第１処理装置２６から送信されたＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージに含まれていたものと同じサービスＩＤを含む新たなＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージをサーバＥＣＵ７へ送信する（Ｓ１２８）。サーバＥＣＵ７は、上記ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージに対する応答であるＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐＡｃｋを第２処理装置２７へ送信する（Ｓ１３０）。
【0052】
その後は、サーバＥＣＵ７からＥｖｅｎｔメッセージ、及び又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎメッセージ（添付図においては、Ｅｖｅｎｔメッセージ及びＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎメッセージを総称して“Ｅｖｅｎｔ／Ｆｉｅｌｄ”とも略記する。）が出力されるごとに（Ｓ１３２、Ｓ１３８）、第２処理装置２７の第２通信制御部３３は、それらのＥｖｅｎｔメッセージ及び又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎメッセージに含まれていたものと同じサービスＩＤを含む新たなＥｖｅｎｔメッセージ及び又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎを、第１処理装置２６へ送信する（Ｓ１３４、Ｓ１４０）。
【0053】
また、第２処理装置２７からＥｖｅｎｔメッセージ及び又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎメッセージが出力されるごとに、第１処理装置２６の第１通信制御部３１は、それらのＥｖｅｎｔメッセージ及び又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎメッセージに含まれていたものと同じサービスＩＤを含む新たなＥｖｅｎｔメッセージ及び又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎを、クライアントＥＣＵ６へ送信する（Ｓ１３６、Ｓ１４２）。
【0054】
ここで、図２におけるステップＳ１１２、Ｓ１１６、Ｓ１１８、Ｓ１２０及びステップＳ１３４、Ｓ１４０は、本開示における、第１処理装置２６と第２処理装置２７とが行う通信中継に相当する。
【0055】
図３は、中継処理装置５が行う中継処理の他の一例を示すシーケンス図である。図３では、第２制御装置群４に含まれるいずれかのＥＣＵ７がクライアント装置となり、第１制御装置群３に含まれるいずれかのＥＣＵ６がサーバ装置となって、ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージと、Ｅｖｅｎｔメッセージ又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎメッセージを用いた継続的なサービス提供が行われる。なお、第２制御装置群４に含まれるいずれかのＥＣＵ７がクライアント装置となり、他のいずれかのＥＣＵ７がサーバ装置となる場合には、中継処理装置５における図３に示すような中継処理は行われることなく、ＥＣＵ７間においてＳＯＭＥ／ＩＰ通信が行われる。
【0056】
図３において、まず、第２制御装置群４のいずれかのＥＣＵ７は、例えば車両２の外部との通信に関わる何らかの制御のために必要なサービス（要求サービス）の提供を求めて、当該要求サービスを提供し得るサーバ装置を検索するためのＦｉｎｄＳｅｒｖｉｃｅメッセージをマルチキャスト送信する（Ｓ２００）。以下、ＦｉｎｄＳｅｒｖｉｃｅメッセージを送信したＥＣＵ７をクライアントＥＣＵ７という。
【0057】
ここで、ＦｉｎｄＳｅｒｖｉｃｅメッセージのマルチキャスト送信に用いられるＩＰパケットのＩＰヘッダのＤｅｓｔｉｎａｔｉｏｎＡｄｄｒｅｓｓフィールドには、送信先に中継処理装置５の第２処理装置２７を含むように規定されたＩＰアドレスがセットされるものとする。
【0058】
クライアントＥＣＵ７からのＦｉｎｄＳｅｒｖｉｃｅメッセージを受信した第２処理装置２７の第２認証部３２は、クライアントＥＣＵ７についての第２認証処理を実行する（Ｓ２０２）。なお、第２認証部３２は、第２認証処理においてクライアントＥＣＵ７の正当性を認証できないときは、図３に示す処理を終了する（図３には不図示）。
【0059】
続いて、第２処理装置２７の第２通信制御部３３は、メモリ２１に記憶されている第２サービス情報２４ｂを参照し、いずれかのＥＣＵ６が、クライアントＥＣＵ７の求める要求サービスを提供可能か否かを確認する（Ｓ２０４）。具体的には、第２通信制御部３３は、ＦｉｎｄＳｅｒｖｉｃｅメッセージのＳｅｒｖｉｃｅＩＤから、上記要求サービスのサービスＩＤを取得する。そして、第２通信制御部３３は、取得したサービスＩＤが、第２サービス情報２４ｂが保存するサービスＩＤリストに含まれていることを確認する。
【0060】
その後、第２通信制御部３３は、要求サービスを提供可能であることを示すＯｆｆｅｒＳｅｒｖｉｃｅメッセージをクライアントＥＣＵ７へ送信する（Ｓ２０６）。なお、第２サービス情報２４ｂが保存するサービスＩＤリストに要求サービスのサービスＩＤが含まれていないときは、第２通信制御部３３は、図３に示す処理を終了する（不図示）。
【0061】
第２処理装置２７の第２通信制御部３３からＯｆｆｅｒＳｅｒｖｉｃｅメッセージを受信したクライアントＥＣＵ７は、継続的なサービスの提供を求めるＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージを第２処理装置２７へ送信する（Ｓ２０８）。第２処理装置２７の第２通信制御部３３は、上記ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージに対する応答であるＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐＡｃｋをクライアントＥＣＵ７へ送信する（Ｓ２１０）。
【0062】
次に、第２通信制御部３３は、ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージを受信したことに応じて、ステップＳ２００において送信されたクライアントＥＣＵ７からのＦｉｎｄＳｅｒｖｉｃｅメッセージに含まれていたものと同じサービスＩＤを含む新たなＦｉｎｄＳｅｒｖｉｃｅメッセージを第１処理装置２６へ送信する（Ｓ２１２）。第１処理装置２６は、第２サービス情報２４ｂを参照し、いずれかのＥＣＵ６が上記ＦｉｎｄＳｅｒｖｉｃｅメッセージが求める要求サービスを提供可能であることを確認したのち（Ｓ２１４）、第２処理装置２７へＯｆｆｅｒＳｅｒｖｉｃｅメッセージを送信する（Ｓ２１６）。ＯｆｆｅｒＳｅｒｖｉｃｅメッセージを受信した第２処理装置２７の第２通信制御部３３は、ステップＳ２０８において送信されたクライアントＥＣＵ７からのＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージに含まれていたものと同じサービスＩＤを含む新たなＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージを第１処理装置２６へ送信する（Ｓ２１８）。第１処理装置２６の第１通信制御部３１は、上記ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージに対する応答であるＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐＡｃｋを第２処理装置２７へ送信する（Ｓ２２０）。
【0063】
続いて、第１処理装置２６の第１通信制御部３１は、ステップＳ２１２において送信されたＦｉｎｄＳｅｒｖｉｃｅメッセージに含まれていたものと同じサービスＩＤを含む新たなＦｉｎｄＳｅｒｖｉｃｅメッセージを、第１制御装置群３の全てのＥＣＵ６へマルチキャスト送信する（Ｓ２２２）。これに応じて、このＦｉｎｄＳｅｒｖｉｃｅメッセージに含まれるサービスＩＤが示す要求サービスを提供可能ないずれかのＥＣＵ６（以下、サーバＥＣＵ６という）は、当該サービスを提供可能であることを示すＯｆｆｅｒＳｅｒｖｉｃｅメッセージを、第１処理装置２６へ返信する（Ｓ２２４）。
【0064】
サーバＥＣＵ６からのＯｆｆｅｒＳｅｒｖｉｃｅメッセージを受信した第１処理装置２６の第１認証部３０は、サーバＥＣＵ６について第１認証処理を実行する（Ｓ２２６）。なお、第１認証部３０は、第１認証処理においてサーバＥＣＵ６の正当性を認証できないときは、図３に示す処理を終了する（図３には不図示）。
【0065】
続いて、第１処理装置２６の第１通信制御部３１は、ステップＳ２１８において第２処理装置２７から送信されたＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージに含まれていたものと同じサービスＩＤを含む新たなＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージをサーバＥＣＵ６へ送信する（Ｓ２２８）。サーバＥＣＵ６は、上記ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージに対する応答であるＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐＡｃｋを第１処理装置２６へ送信する（Ｓ２３０）。
【0066】
その後は、サーバＥＣＵ６からＥｖｅｎｔメッセージ、及び又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎメッセージが出力されるごとに（Ｓ２３２、Ｓ２３８）、第１処理装置２６の第１通信制御部３１は、それらのＥｖｅｎｔメッセージ及び又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎメッセージに含まれていたものと同じサービスＩＤを含む新たなＥｖｅｎｔメッセージ及び又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎを、第２処理装置２７へ送信する（Ｓ２３４、Ｓ２４０）。
【0067】
また、第１処理装置２６からＥｖｅｎｔメッセージ及び又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎメッセージが出力されるごとに、第２処理装置２７の第２通信制御部３３は、それらのＥｖｅｎｔメッセージ及び又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎメッセージに含まれていたものと同じサービスＩＤを含む新たなＥｖｅｎｔメッセージ及び又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎを、クライアントＥＣＵ７へ送信する（Ｓ２３６、Ｓ２４４）。
【0068】
ここで、図３におけるステップＳ２１２、Ｓ２１６、Ｓ２１８、Ｓ２２０及びステップＳ２３４、Ｓ２４０は、本開示における、第１処理装置２６と第２処理装置２７とが行う通信中継に相当する。
【0069】
上記の構成を有する車両制御システム１では、第１認証部３０及び第２認証部３２において、それぞれ、一方の通信相手であるＥＣＵ６についての第１認証処理と他方の通信相手であるＥＣＵ７についての第２認証処理とが実行される。すなわち、この２段階の認証処理により、互いに通信を行うＥＣＵ６及びＥＣＵ７の双方について、正規の制御装置であることが保証される。これにより、車両制御システム１では、例えば、攻撃者がいずれかのＥＣＵ６又はＥＣＵ７を不正な制御装置に置き換えた場合でも、これをいち早く検知して、制御に係る不正な通信が行われてしまうのを未然に防止することができるので、車両制御の安全性が向上する。
【0070】
また、車両制御システム１では、ＥＣＵ６及びＥＣＵ７の正当性の認証を、互いに独立に処理を行う第１処理装置２６及び第２処理装置２７において行い、且つ、ＥＣＵ６とＥＣＵ７との間の通信を、第１処理装置２６と第２処理装置２７との間の通信を介して中継する。このため、車両制御システム１では、不正な通信を正規な通信として偽装するためには、認証処理及び通信中継処理の全てを偽装することが必要となるので、中継処理装置５への攻撃による不正通信の偽装が困難となる。したがって、車両制御の安全性がより向上する。
【0071】
［３．車両制御システムにおける処理］
次に、車両制御システム１が行う通信処理方法の処理の手順について説明する。この通信処理方法は、車両制御システム１を構成する中継処理装置５が備える、互いに独立なコンピュータである第１処理装置２６と第２処理装置２７とが協働することで実行される。上述したように、本実施形態では、第１処理装置２６および第２処理装置２７は、それぞれ、一つのプロセッサ２０において実現される物理マシン及び仮想マシンである。
次に、車両制御システム１が行う通信処理方法の処理の手順について説明する。この通信処理方法は、車両制御システム１を構成する中継処理装置５が備える、互いに独立なコンピュータである第１処理装置２６と第２処理装置２７とが協働することで実行される。上述したように、本実施形態では、第１処理装置２６および第２処理装置２７は、それぞれ、一つのプロセッサ２０において実現される物理マシン及び仮想マシンである。
【0072】
車両制御システム１が備えるコンピュータとしての第１処理装置２６および第２処理装置２７は、第１処理装置２６がいずれかのＥＣＵ６からＦｉｎｄＳｅｒｖｉｃｅメッセージを受信したときに開始される第１通信処理、および第２処理装置２７がいずれかのＥＣＵ７からＦｉｎｄＳｅｒｖｉｃｅメッセージを受信したときに開始される第２通信処理において、通信処理方法を実行する。
【0073】
［３．１ 第１通信処理］
図４は、車両制御システム１を構成する中継処理装置５の第１処理装置２６が、いずれかのＥＣＵ６からＦｉｎｄＳｅｒｖｉｃｅメッセージを受信したときに開始される第１通信処理の手順を示すフロー図である。中継処理装置５は、一のＥＣＵ６からＦｉｎｄＳｅｒｖｉｃｅメッセージを受信したことに応じて当該ＦｉｎｄＳｅｒｖｉｃｅメッセージに関連する第１通信処理の実行を開始した後に、他のＥＣＵ６からＦｉｎｄＳｅｒｖｉｃｅメッセージを受信したときは、当該他のＥＣＵ６から受信したＦｉｎｄＳｅｒｖｉｃｅメッセージに関連する第１通信処理を並行して実行する。また、第１通信処理と、後述の第２通信処理とは、並行して実行され得る。
図４は、車両制御システム１を構成する中継処理装置５の第１処理装置２６が、いずれかのＥＣＵ６からＦｉｎｄＳｅｒｖｉｃｅメッセージを受信したときに開始される第１通信処理の手順を示すフロー図である。中継処理装置５は、一のＥＣＵ６からＦｉｎｄＳｅｒｖｉｃｅメッセージを受信したことに応じて当該ＦｉｎｄＳｅｒｖｉｃｅメッセージに関連する第１通信処理の実行を開始した後に、他のＥＣＵ６からＦｉｎｄＳｅｒｖｉｃｅメッセージを受信したときは、当該他のＥＣＵ６から受信したＦｉｎｄＳｅｒｖｉｃｅメッセージに関連する第１通信処理を並行して実行する。また、第１通信処理と、後述の第２通信処理とは、並行して実行され得る。
【0074】
いずれかのＥＣＵ６からＦｉｎｄＳｅｒｖｉｃｅメッセージを受信したことに応じて、図４に示す第１通信処理が開始されると、まず、第１処理装置２６の第１認証部３０は、そのＦｉｎｄＳｅｒｖｉｃｅメッセージの送信元であるＥＣＵ６（以下、送信元ＥＣＵ６という）についての第１認証処理を実行する（Ｓ３００）。続いて、第１認証部３０は、送信元ＥＣＵ６が正規の（すなわち、不正なものでない）制御装置であるか否かを判断する（Ｓ３０２）。そして、送信元ＥＣＵ６が正規の制御装置でないときは（Ｓ３０２、ＮＯ）、第１認証部３０は、第１通信処理を終了する。
【0075】
一方、送信元ＥＣＵ６が正規の制御装置であるときは（Ｓ３０２、ＹＥＳ）、第１処理装置２６の第１通信制御部３１は、第１サービス情報２４ａに基づき、クライアントＥＣＵ６からのＦｉｎｄＳｅｒｖｉｃｅメッセージが示す要求サービスを提供可能なＥＣＵ７があるか否かを判断する（Ｓ３０４）。要求サービスを提供可能なＥＣＵ７がないときは（Ｓ３０４、ＮＯ）、第１通信制御部３１は、第１通信処理を終了する。
【0076】
一方、要求サービスを提供可能なＥＣＵ７があるときは（Ｓ３０４、ＹＥＳ）、第１通信制御部３１は、送信元ＥＣＵ６へＯｆｆｅｒＳｅｒｖｉｃｅメッセージ（図４及び図５では、“Ｏｆｆｅｒ”と略記する。）を送信する（Ｓ３０６）。送信元ＥＣＵ６は、上記ＯｆｆｅｒＳｅｒｖｉｃｅメッセージを受信し、ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージ（図４及び図５では、“Ｓｕｂｓｃｒｉｂｅ”と略記する。）を第１処理装置２６へ送信する。第１処理装置２６は、送信元ＥＣＵ６からの上記ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージを受信する（Ｓ３０８）。第１処理装置２６は、上記ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージへの応答であるＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐＡｃｋメッセージを送信元ＥＣＵ６へ送信する（Ｓ３１０）。
【0077】
続いて、第１処理装置２６の第１通信制御部３１と第２処理装置２７の第２通信制御部３３とは、第１通信中継処理を行う（Ｓ３１２）。すなわち、第１処理装置２６および第２処理装置２７は、これら２の処理装置間において、それぞれ、送信元ＥＣＵ６の要求サービスについてのクライアント装置及びサーバ装置となり、ＦｉｎｄＳｅｒｖｉｃｅメッセージ、ＯｆｆｅｒＳｅｒｖｉｃｅメッセージ、ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージ、及びＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐＡｃｋメッセージを交換する。その際、第２通信制御部３３は、第１サービス情報２４ａを参照して、要求サービスを提供可能なＥＣＵ７があることを再確認してもよい。
【0078】
次に、第２処理装置２７は、第２制御装置群４の各ＥＣＵ７に対して、上記要求サービスについてのクライアント装置として動作し、上記要求サービスについてのＦｉｎｄＳｅｒｖｉｃｅメッセージを、各ＥＣＵ７へマルチキャスト送信する（Ｓ３１４）。上記ＦｉｎｄＳｅｒｖｉｃｅメッセージを受信したＥＣＵ７のうち、要求サービスを提供し得るいずれかのＥＣＵ７は、第２処理装置２７へＯｆｆｅｒＳｅｒｖｉｃｅメッセージを返信し、第２処理装置２７は、これを受信する（Ｓ３１６）。
【0079】
第２処理装置２７の第２認証部３２は、上記ＯｆｆｅｒＳｅｒｖｉｃｅメッセージの返信元であるＥＣＵ７（以下、返信元ＥＣＵ７という。）についての第２認証処理を実行する（Ｓ３１８）。続いて、第２認証部３２は、返信元ＥＣＵ７が正規の（すなわち、不正なものでない）制御装置であるか否かを判断する（Ｓ３２０）。そして、返信元ＥＣＵ７が正規の制御装置でないときは（Ｓ３２０、ＮＯ）、第２認証部３２は、第１通信処理を終了する。
【0080】
一方、返信元ＥＣＵ７が正規の制御装置であるときは（Ｓ３２０、ＹＥＳ）、第２処理装置２７の第２通信制御部３３は、ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージを返信元ＥＣＵ７へ送信する（Ｓ３２２）。送信元ＥＣＵ７は、上記ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージへの応答であるＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐＡｃｋメッセージを第２処理装置２７へ送信する（Ｓ３２４）。
【0081】
その後は、第１処理装置２６の第１通信制御部３１と第２処理装置２７の第２通信制御部３３とは、第２通信中継処理を行う（Ｓ３２６）。すなわち、第２処理装置２７が返信元ＥＣＵ７からＥｖｅｎｔメッセージ、又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎメッセージ（図４及び図５では、“Ｅｖｅｎｔ／Ｆｉｅｌｄ”と略記する。）を受信したときに、第２処理装置２７の第２通信制御部３３と第１処理装置２６の第１通信制御部３１とは、それぞれ、互いの間でサーバ装置及びクライアント装置となり、要求サービスについてのＥｖｅｎｔメッセージ、又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎメッセージの送受信を行う。また、第１処理装置２６の第１通信制御部３１は、クライアント装置である送信元ＥＣＵ６に対するサーバ装置となり、要求サービスについてのＥｖｅｎｔメッセージ、又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎメッセージを、送信元ＥＣＵ６へ送信する。
【0082】
次に、第１通信制御部３１及び又は第２通信制御部３３は、この通信セッション（すなわち、上記要求サービスの提供に係る一連の通信）が終了したか否かを判断する（Ｓ３２８）。例えば、第１通信制御部３１及び第２通信制御部３３は、それぞれ、送信元ＥＣＵ６又は返信元ＥＣＵ７から、通信セッションの終了通知を受信したとき、又は、車両２の電源スイッチがオフされて中継処理装置５の電源がオフになったときに、通信セッションが終了したものと判断することができる。
【0083】
そして、通信セッションが終了していないときは（Ｓ３２８、ＮＯ）、第１通信制御部３１又は第２通信制御部３３は、ステップＳ３２６に処理を戻す。一方、通信セッションが終了したときは（Ｓ３２８、ＹＥＳ）、第１通信制御部３１又は第２通信制御部３３は、第１通信処理を終了する。
【0084】
図４において、ステップＳ３００及びＳ３１８は、それぞれ、本開示における第１認証ステップ及び第２認証ステップに相当する。また、ステップＳ３２６の第２通信中継処理は、本開示における中継ステップに相当する。
【0085】
［３．２ 第２通信処理］
図５は、車両制御システム１を構成する中継処理装置５の第２処理装置２７が、いずれかのＥＣＵ７からＦｉｎｄＳｅｒｖｉｃｅメッセージを受信したときに開始される第２通信処理の手順を示すフロー図である。ここで、中継処理装置５は、一のＥＣＵ７からＦｉｎｄＳｅｒｖｉｃｅメッセージを受信したことに応じて当該ＦｉｎｄＳｅｒｖｉｃｅメッセージに関連する第２通信処理の実行を開始した後に、他のＥＣＵ７からＦｉｎｄＳｅｒｖｉｃｅメッセージを受信したときは、当該他のＥＣＵ７から受信したＦｉｎｄＳｅｒｖｉｃｅメッセージに関連する第２通信処理を並行して実行する。また、第２通信処理と、上述の第１通信処理とは、並行して実行され得る。
図５は、車両制御システム１を構成する中継処理装置５の第２処理装置２７が、いずれかのＥＣＵ７からＦｉｎｄＳｅｒｖｉｃｅメッセージを受信したときに開始される第２通信処理の手順を示すフロー図である。ここで、中継処理装置５は、一のＥＣＵ７からＦｉｎｄＳｅｒｖｉｃｅメッセージを受信したことに応じて当該ＦｉｎｄＳｅｒｖｉｃｅメッセージに関連する第２通信処理の実行を開始した後に、他のＥＣＵ７からＦｉｎｄＳｅｒｖｉｃｅメッセージを受信したときは、当該他のＥＣＵ７から受信したＦｉｎｄＳｅｒｖｉｃｅメッセージに関連する第２通信処理を並行して実行する。また、第２通信処理と、上述の第１通信処理とは、並行して実行され得る。
【0086】
いずれかのＥＣＵ７からＦｉｎｄＳｅｒｖｉｃｅメッセージを受信したことに応じて、図５に示す第２通信処理が開始されると、まず、第２処理装置２７の第２認証部３２は、そのＦｉｎｄＳｅｒｖｉｃｅメッセージの送信元であるＥＣＵ７（以下、送信元ＥＣＵ７という）についての第２認証処理を実行する（Ｓ４００）。続いて、第２認証部３２は、送信元ＥＣＵ７が正規の（すなわち、不正なものでない）制御装置であるか否かを判断する（Ｓ４０２）。そして、送信元ＥＣＵ７が正規の制御装置でないときは（Ｓ４０２、ＮＯ）、第２認証部３２は、第２通信処理を終了する。
【0087】
一方、送信元ＥＣＵ７が正規の制御装置であるときは（Ｓ４０２、ＹＥＳ）、第２処理装置２７の第２通信制御部３３は、第２サービス情報２４ｂに基づき、クライアントＥＣＵ７からのＦｉｎｄＳｅｒｖｉｃｅメッセージが示す要求サービスを提供可能なＥＣＵ６があるか否かを判断する（Ｓ４０４）。要求サービスを提供可能なＥＣＵ６がないときは（Ｓ４０４、ＮＯ）、第２通信制御部３３は、第２通信処理を終了する。
【0088】
一方、要求サービスを提供可能なＥＣＵ６があるときは（Ｓ４０４、ＹＥＳ）、第２通信制御部３３は、送信元ＥＣＵ７へＯｆｆｅｒＳｅｒｖｉｃｅメッセージを送信する（Ｓ４０６）。送信元ＥＣＵ７は、上記ＯｆｆｅｒＳｅｒｖｉｃｅメッセージを受信し、ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージを第２処理装置２７へ送信する。第２処理装置２７は、送信元ＥＣＵ７からの上記ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージを受信する（Ｓ４０８）。第２処理装置２７は、上記ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージへの応答であるＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐＡｃｋメッセージを送信元ＥＣＵ７へ送信する（Ｓ４１０）。
【0089】
続いて、第１処理装置２６の第１通信制御部３１と第２処理装置２７の第２通信制御部３３とは、第３通信中継処理を行う（Ｓ４１２）。すなわち、第２処理装置２７および第１処理装置２６は、これら２の処理装置間において、それぞれ、送信元ＥＣＵ７の要求サービスについてのクライアント装置及びサーバ装置となり、ＦｉｎｄＳｅｒｖｉｃｅメッセージ、ＯｆｆｅｒＳｅｒｖｉｃｅメッセージ、およびＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージを交換する。その際、第１通信制御部３１は、第２サービス情報２４ｂを参照して、要求サービスを提供可能なＥＣＵ６があることを再確認してもよい。
【0090】
次に、第１処理装置２６は、第１制御装置群３の各ＥＣＵ６に対して、上記要求サービスについてのクライアント装置として動作し、上記要求サービスについてのＦｉｎｄＳｅｒｖｉｃｅメッセージを、各ＥＣＵ６へマルチキャスト送信する（Ｓ４１４）。上記ＦｉｎｄＳｅｒｖｉｃｅメッセージを受信したＥＣＵ６のうち、要求サービスを提供し得るいずれかのＥＣＵ６は、第１処理装置２６へＯｆｆｅｒＳｅｒｖｉｃｅメッセージを返信し、第１処理装置２６は、これを受信する（Ｓ４１６）。
【0091】
第１処理装置２６の第１認証部３０は、上記ＯｆｆｅｒＳｅｒｖｉｃｅメッセージの返信元であるＥＣＵ６（以下、返信元ＥＣＵ６という。）についての第１認証処理を実行する（Ｓ４１８）。続いて、第１認証部３０は、返信元ＥＣＵ６が正規の（すなわち、不正なものでない）制御装置であるか否かを判断する（Ｓ４２０）。そして、返信元ＥＣＵ６が正規の制御装置でないときは（Ｓ４２０、ＮＯ）、第１認証部３０は、第２通信処理を終了する。
【0092】
一方、返信元ＥＣＵ６が正規の制御装置であるときは（Ｓ４２０、ＹＥＳ）、第１処理装置２６の第１通信制御部３１は、ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージを返信元ＥＣＵ６へ送信する（Ｓ４２２）。送信元ＥＣＵ６は、上記ＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐメッセージへの応答であるＳｕｂｓｃｒｉｂｅＥｖｅｎｔＧｒｏｕｐＡｃｋメッセージを第１処理装置２６へ送信する（Ｓ４２４）。
【0093】
その後は、第１処理装置２６の第１通信制御部３１と第２処理装置２７の第２通信制御部３３とは、第４通信中継処理を行う（Ｓ４２６）。すなわち、第１処理装置２６が返信元ＥＣＵ６からＥｖｅｎｔメッセージ、又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎメッセージを受信したときに、第１処理装置２６の第１通信制御部３１と第２処理装置２７の第２通信制御部３３とは、それぞれ、互いの間でサーバ装置及びクライアント装置となり、要求サービスについてのＥｖｅｎｔメッセージ、又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎメッセージの送受信を行う。また、第２処理装置２７の第２通信制御部３３は、クライアント装置である送信元ＥＣＵ７に対するサーバ装置となり、要求サービスについてのＥｖｅｎｔメッセージ、又はＦｉｅｌｄＮｏｔｉｆｉｃａｔｉｏｎメッセージを、送信元ＥＣＵ７へ送信する。
【0094】
次に、第１通信制御部３１及び又は第２通信制御部３３は、この通信セッション（すなわち、上記要求サービスの提供に係る一連の通信）が終了したか否かを判断する（Ｓ４２８）。例えば、第１通信制御部３１及び第２通信制御部３３は、それぞれ、送信元ＥＣＵ７又は返信元ＥＣＵ６から、通信セッションの終了通知を受信したとき、又は、車両２の電源スイッチがオフされて中継処理装置５の電源がオフになったときに、通信セッションが終了したものと判断することができる。
【0095】
そして、通信セッションが終了していないときは（Ｓ４２８、ＮＯ）、第１通信制御部３１又は第２通信制御部３３は、ステップＳ４２６に処理を戻す。一方、通信セッションが終了したときは（Ｓ４２８、ＹＥＳ）、第１通信制御部３１又は第２通信制御部３３は、第２通信処理を終了する。
【0096】
図５において、ステップＳ４００及びＳ４１８は、それぞれ、本開示における第２認証ステップ及び第１認証ステップに相当する。また、ステップＳ４２６の第４通信中継処理は、本開示における中継ステップに相当する。
【0097】
なお、本発明は上記の実施形態の構成に限られるものではなく、その要旨を逸脱しない範囲において種々の態様において実施することが可能である。
【0098】
［４．上記実施形態によりサポートされる構成］
上述した実施形態は、以下の構成をサポートする。
上述した実施形態は、以下の構成をサポートする。
【0099】
（構成１）車両に搭載された、それぞれ少なくとも一つの制御装置を含む第１制御装置群及び第２制御装置群と、前記第１制御装置群の制御装置及び前記第２制御装置群の制御装置のそれぞれと通信可能に接続された中継処理装置と、を備える車両制御システムであって、前記中継処理装置は、互いに独立に処理を行う第１処理装置と第２処理装置とを備え、前記第１制御装置群の制御装置と前記第１処理装置とは、第１ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ－Ａｒｅａ－Ｎｅｔｗｏｒｋ）を構成し、前記第２制御装置群の制御装置と前記第２処理装置とは、前記第１ＶＬＡＮと異なる第２ＶＬＡＮを構成しており、前記第１処理装置は、前記第１制御装置群の制御装置からの通信を受信したときに、通信相手である前記第１制御装置群の制御装置についての認証処理を含む第１通信認証処理を行い、前記第２処理装置は、前記第２制御装置群の制御装置からの通信を受信したときに、通信相手である前記第２制御装置群の制御装置についての認証処理を含む第２通信認証処理を行い、前記第１処理装置と前記第２処理装置とが、前記第１ＶＬＡＮ及び前記第２ＶＬＡＮと異なる第３ＶＬＡＮを介して通信して、前記第１通信認証処理において正当性が認証された制御装置と、前記第２通信認証処理において正当性が認証された制御装置と、の間での通信中継を行う、車両制御システム。
構成１の車両制御システムによれば、第１処理装置と第２処理装置とにより、それぞれ、一方の通信相手についての第１認証処理と他方の通信相手についての第２認証処理とが実行されるので、正規の制御装置が不正な制御装置へ置き換えらえた場合には、これをいち早く検知して、制御に係る不正な通信が行われてしまうのを未然に防止することができる。その結果、車両制御の安全性が向上され得る。
構成１の車両制御システムによれば、第１処理装置と第２処理装置とにより、それぞれ、一方の通信相手についての第１認証処理と他方の通信相手についての第２認証処理とが実行されるので、正規の制御装置が不正な制御装置へ置き換えらえた場合には、これをいち早く検知して、制御に係る不正な通信が行われてしまうのを未然に防止することができる。その結果、車両制御の安全性が向上され得る。
【0100】
（構成２）前記第１制御装置群は、前記車両の運動制御に関わる制御を行う制御装置を含み、前記車両の外部との通信を行う制御装置を含まず、前記第２制御装置群は、前記車両の外部との通信を行う制御装置を含み、前記車両の運動制御に関わる制御を行う制御装置を含まない、構成１に記載の車両制御システム。
構成２の車両制御システムによれば、車両外部からの攻撃を受けやすい、車両外部との通信を行う制御装置群が、車両の運動制御に関わる制御装置群が属する通信ネットワークとは異なる通信ネットワークに接続され、それら通信ネットワークを跨ぐ通信中継において、不正な装置との通信が検知及び排除される。これにより、構成２の車両制御システムでは、車両の運動制御を、外部からの攻撃に対してより強固に防御して、車両制御の安全性をより向上することができる。
構成２の車両制御システムによれば、車両外部からの攻撃を受けやすい、車両外部との通信を行う制御装置群が、車両の運動制御に関わる制御装置群が属する通信ネットワークとは異なる通信ネットワークに接続され、それら通信ネットワークを跨ぐ通信中継において、不正な装置との通信が検知及び排除される。これにより、構成２の車両制御システムでは、車両の運動制御を、外部からの攻撃に対してより強固に防御して、車両制御の安全性をより向上することができる。
【0101】
（構成３）通信相手についての前記認証処理は、通信相手が送信する情報の中に含まれる送信元の通信アドレスが、正規の通信相手の通信アドレスとして予め定められた通信アドレスであるか否かに基づいて行われる、構成１又は２に記載の車両制御システム。
構成３の車両制御システムによれば、通信相手が正規の制御装置であるか否かを容易に判断することができる。
構成３の車両制御システムによれば、通信相手が正規の制御装置であるか否かを容易に判断することができる。
【0102】
（構成４）前記第１制御装置群の制御装置と前記第１処理装置との間の通信、及び前記第２制御装置群の制御装置と前記第２処理装置との間の通信は、予め定められた機能単位であるサービスのいずれかを探索している旨の通知である探索通知の送信、及び前記探索されているサービスを提供可能である旨の通知である提供通知の送信を含む、ＳＯＭＥ／ＩＰ（Ｓｅｒｖｉｃｅ Ｏｒｉｅｎｔｅｄ Ｍｉｄｄｌｅ ＷａｒＥ Ｏｖｅｒ ＩＰ）通信である、構成１ないし３のいずれかに記載の車両制御システム。
構成４の車両制御システムによれば、複数の制御装置の複雑な連繋動作を効率的に実現し得るＳＯＭＥ／ＩＰ通信において、不正通信を効果的に排除して、車両制御の安全性を向上することができる。
構成４の車両制御システムによれば、複数の制御装置の複雑な連繋動作を効率的に実現し得るＳＯＭＥ／ＩＰ通信において、不正通信を効果的に排除して、車両制御の安全性を向上することができる。
【0103】
（構成５）前記第１処理装置は、前記第１制御装置群の制御装置からの前記探索通知を受信したときに、前記第２制御装置群の制御装置が提供し得る前記サービスの情報である第１サービス情報に基づいて、前記探索通知に対する前記提供通知を返信し、前記第２処理装置は、前記第２制御装置群の制御装置からの前記探索通知を受信したときに、前記第１制御装置群の制御装置が提供し得る前記サービスの情報である第２サービス情報に基づいて、前記探索通知に対する前記提供通知を返信する、構成４に記載の車両制御システム。
構成５の車両制御システムによれば、異なる通信ネットワークに属する２つの制御装置群のうち一方の制御装置群の制御装置（例えば、第１制御装置群の制御装置）は、自身が求めるサービスを他方の制御装置群の制御装置（例えば、第２制御装置群の制御装置）が提供し得るか否かの情報を、中継通信を介さず中継処理装置から直接得ることができるので、車両制御システム全体としての処理負荷を低減することができる。
構成５の車両制御システムによれば、異なる通信ネットワークに属する２つの制御装置群のうち一方の制御装置群の制御装置（例えば、第１制御装置群の制御装置）は、自身が求めるサービスを他方の制御装置群の制御装置（例えば、第２制御装置群の制御装置）が提供し得るか否かの情報を、中継通信を介さず中継処理装置から直接得ることができるので、車両制御システム全体としての処理負荷を低減することができる。
【0104】
（構成６）前記通信中継のための、前記第１処理装置と前記第２処理装置との間の通信は、前記ＳＯＭＥ／ＩＰ通信により行われ、前記第１処理装置は、前記第１制御装置群の制御装置からの前記探索通知が指定する前記サービスについての前記探索通知を前記第２処理装置へ送信し、前記第２処理装置は、前記第２制御装置群の制御装置からの前記探索通知が指定する前記サービスについての前記探索通知を前記第１処理装置へ送信する、構成５に記載の車両制御システム。
構成６の車両制御システムによれば、第１処理装置と第２処理装置との間の通信もＳＯＭＥ／ＩＰ通信により行われるので、通信中継の処理をメッセージ送信の形で容易に実現することができる。
構成６の車両制御システムによれば、第１処理装置と第２処理装置との間の通信もＳＯＭＥ／ＩＰ通信により行われるので、通信中継の処理をメッセージ送信の形で容易に実現することができる。
【0105】
（構成７）前記第１処理装置は、通信相手である前記第２処理装置についての認証処理を含む第３通信認証処理を行い、前記第２処理装置は、通信相手である前記第１処理装置についての認証処理を含む第４通信認証処理を行う、構成１ないし６のいずれかに記載の車両制御システム。
構成７の車両制御システムによれば、第１処理装置と第２処理装置との間の通信においても、互いの装置が正規の装置であるか否かの認証が行われるので、中継処理装置への攻撃を含む外部からの攻撃を、より強固に防御して、車両制御の安全性をより高めることができる。
構成７の車両制御システムによれば、第１処理装置と第２処理装置との間の通信においても、互いの装置が正規の装置であるか否かの認証が行われるので、中継処理装置への攻撃を含む外部からの攻撃を、より強固に防御して、車両制御の安全性をより高めることができる。
【0106】
（構成８）前記第１処理装置は、前記中継処理装置が備えるプロセッサにより実現される物理マシンであり、前記第２処理装置は、前記プロセッサにおいて実現される仮想マシンである、構成１ないし７のいずれかに記載の車両制御システム。
構成８の車両制御システムによれば、一つのプロセッサにおいて互いに独立に処理を行う第１処理装置及び第２処理装置を実現するので、中継処理装置のハードウェア構成を複雑化することなく、車両制御の安全性を向上することができる。
構成８の車両制御システムによれば、一つのプロセッサにおいて互いに独立に処理を行う第１処理装置及び第２処理装置を実現するので、中継処理装置のハードウェア構成を複雑化することなく、車両制御の安全性を向上することができる。
【0107】
（構成９）車両に搭載された、それぞれ少なくとも一つの制御装置を含む第１制御装置群及び第２制御装置群と、前記第１制御装置群の制御装置及び前記第２制御装置群の制御装置のそれぞれと通信可能に接続された中継処理装置と、を備える車両制御システムのコンピュータが実行する通信処理方法であって、前記中継処理装置は、互いに独立に処理を行う第１処理装置と第２処理装置とを備え、前記第１制御装置群の制御装置と前記第１処理装置とは、第１ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ－Ａｒｅａ－Ｎｅｔｗｏｒｋ）を構成し、前記第２制御装置群の制御装置と前記第２処理装置とは、前記第１ＶＬＡＮと異なる第２ＶＬＡＮを構成しており、前記第１処理装置が、前記第１制御装置群の制御装置からの通信を受信したときに、通信相手である前記第１制御装置群の制御装置についての認証処理を含む第１通信認証処理を行う第１認証ステップと、前記第２処理装置が、前記第２制御装置群の制御装置からの通信を受信したときに、通信相手である前記第２制御装置群の制御装置についての認証処理を含む第２通信認証処理を行う第２認証ステップと、前記第１処理装置と前記第２処理装置とが、前記第１ＶＬＡＮ及び前記第２ＶＬＡＮと異なる第３ＶＬＡＮを介して通信して、前記第１通信認証処理において正当性が認証された制御装置と、前記第２通信認証処理において正当性が認証された制御装置と、の間での通信中継を行う中継ステップと、を有する、通信処理方法。
構成９の通信処理方法によれば、第１処理装置と第２処理装置とにより、それぞれ、一方の通信相手についての第１認証処理と他方の通信相手についての第２認証処理とが実行されるので、正規の制御装置が不正な制御装置へ置き換えらえた場合には、これをいち早く検知して、制御に係る不正な通信が行われてしまうのを未然に防止することができる。その結果、車両制御の安全性が向上され得る。
構成９の通信処理方法によれば、第１処理装置と第２処理装置とにより、それぞれ、一方の通信相手についての第１認証処理と他方の通信相手についての第２認証処理とが実行されるので、正規の制御装置が不正な制御装置へ置き換えらえた場合には、これをいち早く検知して、制御に係る不正な通信が行われてしまうのを未然に防止することができる。その結果、車両制御の安全性が向上され得る。
【符号の説明】
【0108】
１…車両制御システム、２…車両、３…第１制御装置群、４…第２制御装置群、５…中継処理装置、６、７…ＥＣＵ、６ａ…駆動ＥＣＵ、６ｂ…操縦ＥＣＵ、６ｃ…バッテリＥＣＵ、６ｄ…ＡＤＡＳ－ＥＣＵ、７ａ…ＴＣＵ、７ｂ…ＩＶＩ－ＥＣＵ、７ｃ…ＤＭＣ－ＥＣＵ、８…ルーティング装置、９…第１ＶＬＡＮ、１０…第２ＶＬＡＮ、１１…第３ＶＬＡＮ、２０…プロセッサ、２１…メモリ、２２ａ…第１通信装置、２２ｂ…第２通信装置、２３ａ‥第１識別情報、２３ｂ…第２識別情報、２４ａ…第１サービス情報、２４ｂ…第２サービス情報、２５ａ…第１プログラム、２５ｂ…第２プログラム、２６…第１処理装置、２７…第２処理装置、３０…第１認証部、３１…第１通信制御部、３２…第２認証部、３３…第２通信制御部。
【図1】
【図2】
【図3】
【図4】
【図5】