特開 2024-150116 車載システム、セキュリティ管理方法およびセキュリティ管理プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024150116

(43)【公開日】2024-10-23

(54)【発明の名称】車載システム、セキュリティ管理方法およびセキュリティ管理プログラム

(51)【国際特許分類】

   H04L 69/00 20220101AFI20241016BHJP

【ＦＩ】

H04L69/00

【審査請求】未請求

【請求項の数】10

【出願形態】ＯＬ

(21)【出願番号】P 2023063373

(22)【出願日】2023-04-10

(71)【出願人】

【識別番号】395011665

【氏名又は名称】株式会社オートネットワーク技術研究所

(71)【出願人】

【識別番号】000183406

【氏名又は名称】住友電装株式会社

(71)【出願人】

【識別番号】000002130

【氏名又は名称】住友電気工業株式会社

(74)【代理人】

【識別番号】110000682

【氏名又は名称】弁理士法人ワンディ－ＩＰパ－トナ－ズ

(72)【発明者】

【氏名】井上 和之

(72)【発明者】

【氏名】松本 真

(72)【発明者】

【氏名】菊地 慶剛

(72)【発明者】

【氏名】竹内 祐介

(57)【要約】

【課題】車載ネットワークにおけるセキュリティに関する優れた機能を実現する。
【解決手段】車両に搭載される車載システムであって、セキュリティに関して異なる構成を有する第１の機能部および第２の機能部、を含む複数の機能部と、前記第１の機能部の状態および前記第２の機能部の状態が正常状態である場合であって、前記車両の外部における外部装置から、前記第１の機能部のセキュリティリスクに関するリスク通知を受信した場合、前記第１の機能部への前記外部装置からのアクセスを停止させ、かつ前記第２の機能部に前記アクセスの受け付けを代替させる代替処理を行う制御部とを備える。
【選択図】図３

【特許請求の範囲】

【請求項1】

車両に搭載される車載システムであって、
セキュリティに関して異なる構成を有する第１の機能部および第２の機能部、を含む複数の機能部と、
前記第１の機能部の状態および前記第２の機能部の状態が正常状態である場合であって、前記車両の外部における外部装置から、前記第１の機能部のセキュリティリスクに関するリスク通知を受信した場合、前記第１の機能部への前記外部装置からのアクセスを停止させ、かつ前記第２の機能部に前記アクセスの受け付けを代替させる代替処理を行う制御部とを備える、車載システム。

【請求項2】

前記制御部は、前記外部装置から前記リスク通知を受信した後において、前記第１の機能部による前記車両内の通信を継続させる通信継続処理をさらに行う、請求項１に記載の車載システム。

【請求項3】

前記制御部は、前記通信継続処理として、前記第１の機能部と、前記複数の機能部のうちの前記第１の機能部および前記第２の機能部以外の他の前記機能部との通信を継続させる、請求項２に記載の車載システム。

【請求項4】

前記制御部は、前記通信継続処理として、前記第１の機能部と前記第２の機能部との通信を継続させる、請求項２または請求項３に記載の車載システム。

【請求項5】

前記構成として、前記第１の機能部が用いる第１のソフトウェアと前記第２の機能部が用いる第２のソフトウェアとが異なる、請求項１または請求項２に記載の車載システム。

【請求項6】

前記第１のソフトウェアによって提供される機能は、第１の通信プロトコルに従ってセキュア通信を行う機能を含み、
前記第２のソフトウェアによって提供される機能は、前記第１の通信プロトコルとは異なる第２の通信プロトコルに従って前記セキュア通信を行う機能を含む、請求項５に記載の車載システム。

【請求項7】

前記第１のソフトウェアは、第１のアプリケーションを含み、
前記第２のソフトウェアは、前記第１のアプリケーションとは異なる第２のアプリケーションを含む、請求項５に記載の車載システム。

【請求項8】

前記第１のソフトウェアは、第１のＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）を含み、
前記第２のソフトウェアは、前記第１のＯＳとは異なる第２のＯＳを含む、請求項５に記載の車載システム。

【請求項9】

車両に搭載される車載システムであって、セキュリティに関して異なる構成を有する第１の機能部および第２の機能部、を含む複数の機能部を備える前記車載システムにおけるセキュリティ管理方法であって、
前記第１の機能部の状態および前記第２の機能部の状態が正常状態である場合であって、前記車両の外部における外部装置から、前記第１の機能部のセキュリティリスクに関するリスク通知を受信するステップと、
前記リスク通知を受信した場合、前記第１の機能部への前記外部装置からのアクセスを停止させ、かつ前記第２の機能部に前記アクセスの受け付けを代替させる代替処理を行うステップとを含む、セキュリティ管理方法。

【請求項10】

車両に搭載される車載システムであって、セキュリティに関して異なる構成を有する第１の機能部および第２の機能部、を含む複数の機能部を備える前記車載システムにおいて用いられるセキュリティ管理プログラムであって、
コンピュータを、
前記第１の機能部の状態および前記第２の機能部の状態が正常状態である場合であって、前記車両の外部における外部装置から、前記第１の機能部のセキュリティリスクに関するリスク通知を受信した場合、前記第１の機能部への前記外部装置からのアクセスを停止させ、かつ前記第２の機能部に前記アクセスの受け付けを代替させる代替処理を行う制御部、
として機能させるための、セキュリティ管理プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、車載システム、セキュリティ管理方法およびセキュリティ管理プログラムに関する。

【背景技術】

【0002】

従来、車載ネットワークにおけるセキュリティを向上させるための技術が開発されている。たとえば、特許文献１（特表２０２０－５０１４２０号公報）には、以下のような技術が開示されている。すなわち、車載ネットワーク用の方法は、車載ネットワーク内の通信のため少なくとも１つの通信経路（６０）でデータが転送される、車載ネットワーク用の方法であって、当該方法は、攻撃リスクについて、データを転送する可能性のある通信経路（６０）を評価する（８６）ステップを備え、攻撃リスクが、通信経路（６０）がセキュリティギャップを利用するために通信経路（６０）が攻撃されるリスクであることを特徴とする。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特表２０２０－５０１４２０号公報

【特許文献2】特開２００９－７１４３６号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

特許文献１に記載の技術を超えて、車載ネットワークにおけるセキュリティに関する優れた機能を実現することが可能な技術が望まれる。

【0005】

本開示は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおけるセキュリティに関する優れた機能を実現することが可能な車載システム、セキュリティ管理方法およびセキュリティ管理プログラムを提供することである。

【課題を解決するための手段】

【0006】

本開示の車載システムは、車両に搭載される車載システムであって、セキュリティに関して異なる構成を有する第１の機能部および第２の機能部、を含む複数の機能部と、前記第１の機能部の状態および前記第２の機能部の状態が正常状態である場合であって、前記車両の外部における外部装置から、前記第１の機能部のセキュリティリスクに関するリスク通知を受信した場合、前記第１の機能部への前記外部装置からのアクセスを停止させ、かつ前記第２の機能部に前記アクセスの受け付けを代替させる代替処理を行う制御部とを備える。

【0007】

本開示の一態様は、このような特徴的な処理部を備える車載システムとして実現され得るだけでなく、車載システムの一部または全部を実現する半導体集積回路として実現され得る。

【発明の効果】

【0008】

本開示によれば、車載ネットワークにおけるセキュリティに関する優れた機能を実現することができる。

【図面の簡単な説明】

【0009】

【図1】図１は、本開示の第１の実施の形態に係る通信システムの構成を示す図である。

【図2】図２は、本開示の第１の実施の形態に係る車載システムの構成を示す図である。

【図3】図３は、本開示の第１の実施の形態に係る車載中継装置の構成を示す図である。

【図4】図４は、本開示の第１の実施の形態に係る車載中継装置が保存するルーティングテーブルの一例を示す図である。

【図5】図５は、本開示の第１の実施の形態に係る車載システムの構成を示す機能ブロック図である。

【図6】図６は、本開示の第１の実施の形態に係る車載中継装置の第１のコアが用いる第１のソフトウェアの構成を示す図である。

【図7】図７は、本開示の第１の実施の形態に係る車載中継装置の第２のコアが用いる第２のソフトウェアの構成を示す図である。

【図8】図８は、本開示の第１の実施の形態に係る車載中継装置によるテーブル更新処理後のルーティングテーブルの一例を示す図である。

【図9】図９は、本開示の第１の実施の形態に係る車載中継装置によるリスト作成処理によって作成される管理リストの一例を示す図である。

【図10】図１０は、本開示の第１の実施の形態に係る車載中継装置におけるコアが通知処理を行う際の動作手順を定めたフローチャートである。

【図11】図１１は、本開示の第１の実施の形態に係る車載中継装置における中継部がテーブル更新処理およびリスト作成処理を行う際の動作手順を定めたフローチャートである。

【図12】図１２は、本開示の第１の実施の形態に係る通信システムにおける車載中継装置、車載ＥＣＵおよびサーバの処理のシーケンスの一例を示す図である。

【図13】図１３は、本開示の第１の実施の形態に係る通信システムの変形例における車載中継装置、車載ＥＣＵおよびサーバの処理のシーケンスの一例を示す図である。

【図14】図１４は、本開示の第２の実施の形態に係る車載中継装置が保存するルーティングテーブルの一例を示す図である。

【図15】図１５は、本開示の第２の実施の形態に係る第１の機能部が用いる第１のソフトウェアの構成を示す図である。

【図16】図１６は、本開示の第２の実施の形態に係る第２の機能部が用いる第２のソフトウェアの構成を示す図である。

【図17】図１７は、本開示の第２の実施の形態に係る車載中継装置によるテーブル更新処理後のルーティングテーブルの一例を示す図である。

【図18】図１８は、本開示の第２の実施の形態に係る車載中継装置によるリスト作成処理によって作成される管理リストの一例を示す図である

【図19】図１９は、本開示の第２の実施の形態に係る通信システムにおける車載中継装置、車載ＥＣＵおよびサーバの処理のシーケンスの一例を示す図である。

【発明を実施するための形態】

【0010】

最初に、本開示の実施の形態の内容を列記して説明する。
（１）本開示の実施の形態に係る車載システムは、車両に搭載される車載システムであって、セキュリティに関して異なる構成を有する第１の機能部および第２の機能部、を含む複数の機能部と、前記第１の機能部の状態および前記第２の機能部の状態が正常状態である場合であって、前記車両の外部における外部装置から、前記第１の機能部のセキュリティリスクに関するリスク通知を受信した場合、前記第１の機能部への前記外部装置からのアクセスを停止させ、かつ前記第２の機能部に前記アクセスの受け付けを代替させる代替処理を行う制御部とを備える。

【0011】

このように、車外からのアクセス経路について、セキュリティリスクに関する関係性が小さい複数のアクセス経路を用意する構成により、あるアクセス経路にセキュリティリスクが発見された場合、セキュリティリスクが発見されていない他のアクセス経路に切り替えることができるため、車載ネットワークのセキュリティを保証しつつ、車外における装置との間で情報の送受信を行うことができる。また、各機能部が正常である状態において、車外からのアクセス経路を予め切り替える構成により、セキュリティリスクが発見された機能部が車外から攻撃を受けることを抑制することができるため、セキュリティ性をより向上させることができる。したがって、車載ネットワークにおけるセキュリティに関する優れた機能を実現することができる。

【0012】

（２）上記（１）において、前記制御部は、前記外部装置から前記リスク通知を受信した後において、前記第１の機能部による前記車両内の通信を継続させる通信継続処理をさらに行ってもよい。

【0013】

このような構成により、第１の機能部についてのセキュリティリスクが通知された場合であっても、車載ネットワークにおいて、第１の機能部による各種サービスを継続して提供することができる。

【0014】

（３）上記（２）において、前記制御部は、前記通信継続処理として、前記第１の機能部と、前記複数の機能部のうちの前記第１の機能部および前記第２の機能部以外の他の前記機能部との通信を継続させてもよい。

【0015】

このような構成により、第１の機能部についてのセキュリティリスクが発見された場合であっても、車載ネットワークにおいて、第１の機能部と、第１の機能部および第２の機能部以外の機能部との通信を用いたサービスを継続して提供することができる。

【0016】

（４）上記（２）または（３）において、前記制御部は、前記通信継続処理として、前記第１の機能部と前記第２の機能部との通信を継続させてもよい。

【0017】

このような構成により、たとえば、セキュリティリスクを通知された第１の機能部を宛先とする情報を車外における装置から受信した場合であっても、当該情報を、セキュリティリスクが通知されていない第２の機能部から第１の機能部へ転送することができるため、車外における装置からの情報を用いた処理を第１の機能部において継続して実行することができる。

【0018】

（５）上記（１）から（４）のいずれかにおいて、前記構成として、前記第１の機能部が用いる第１のソフトウェアと前記第２の機能部が用いる第２のソフトウェアとが異なってもよい。

【0019】

このように、セキュリティリスクが発見される可能性が高い部分であるソフトウェアを複数の機能部間において異ならせる構成により、第１の機能部におけるソフトウェアについてセキュリティリスクが通知された場合であっても、セキュリティがより確保されている第２の機能部におけるソフトウェアを用いて車載ネットワークにおいて所定のサービスを継続して実行することができる。

【0020】

（６）上記（５）において、前記第１のソフトウェアによって提供される機能は、第１の通信プロトコルに従ってセキュア通信を行う機能を含んでもよく、前記第２のソフトウェアによって提供される機能は、前記第１の通信プロトコルとは異なる第２の通信プロトコルに従って前記セキュア通信を行う機能を含んでもよい。

【0021】

このように、セキュリティリスクが発見される可能性が高く、かつ車載機器に及ぼす影響が大きい可能性が高い、セキュア通信を行うための通信プロトコルを複数の機能部間において異ならせる構成により、第１の機能部における通信プロトコルについてセキュリティリスクが通知された場合であっても、セキュリティがより確保されている第２の機能部における通信プロトコルを用いてセキュア通信を行うことができる。

【0022】

（７）上記（５）または（６）において、前記第１のソフトウェアは、第１のアプリケーションを含んでもよく、前記第２のソフトウェアは、前記第１のアプリケーションとは異なる第２のアプリケーションを含んでもよい。

【0023】

このように、セキュリティリスクが発見される可能性が高く、かつ車両におけるユーザが利用するサービスにおいて影響が大きい可能性が高い部分であるアプリケーションを複数の機能部間において異ならせる構成により、第１の機能部におけるアプリケーションについてセキュリティリスクが通知された場合であっても、セキュリティがより確保されている第２の機能部におけるアプリケーションを用いて所定の機能を提供することができる。

【0024】

（８）上記（５）から（７）のいずれかにおいて、前記第１のソフトウェアは、第１のＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）を含んでもよく、前記第２のソフトウェアは、前記第１のＯＳとは異なる第２のＯＳを含んでもよい。

【0025】

このように、セキュリティリスクが発見される可能性が高く、かつソフトウェアの中でも影響力が大きい可能性が高い部分であるＯＳを複数の機能部間において異ならせる構成により、第１の機能部におけるＯＳについてセキュリティリスクが通知された場合であっても、セキュリティがより確保されている第２の機能部におけるＯＳを用いて所定の機能を提供することができる。

【0026】

（９）本開示の実施の形態に係るセキュリティ管理方法は、車両に搭載される車載システムであって、セキュリティに関して異なる構成を有する第１の機能部および第２の機能部、を含む複数の機能部を備える前記車載システムにおけるセキュリティ管理方法であって、前記第１の機能部の状態および前記第２の機能部の状態が正常状態である場合であって、前記車両の外部における外部装置から、前記第１の機能部のセキュリティリスクに関するリスク通知を受信するステップと、前記リスク通知を受信した場合、前記第１の機能部への前記外部装置からのアクセスを停止させ、かつ前記第２の機能部に前記アクセスの受け付けを代替させる代替処理を行うステップとを含む。

【0027】

このように、車外からのアクセス経路について、セキュリティリスクに関する関係性が小さい複数のアクセス経路を用意する構成により、あるアクセス経路にセキュリティリスクが発見された場合、セキュリティリスクが発見されていない他のアクセス経路に切り替えることができるため、車載ネットワークのセキュリティを保証しつつ、車外における装置との間で情報の送受信を行うことができる。また、各機能部が正常である状態において、車外からのアクセス経路を予め切り替える構成により、セキュリティリスクが発見された機能部が車外から攻撃を受けることを抑制することができるため、セキュリティ性をより向上させることができる。したがって、車載ネットワークにおけるセキュリティに関する優れた機能を実現することができる。

【0028】

（１０）本開示の実施の形態に係るセキュリティ管理プログラムは、車両に搭載される車載システムであって、セキュリティに関して異なる構成を有する第１の機能部および第２の機能部、を含む複数の機能部を備える前記車載システムにおいて用いられるセキュリティ管理プログラムであって、コンピュータを、前記第１の機能部の状態および前記第２の機能部の状態が正常状態である場合であって、前記車両の外部における外部装置から、前記第１の機能部のセキュリティリスクに関するリスク通知を受信した場合、前記第１の機能部への前記外部装置からのアクセスを停止させ、かつ前記第２の機能部に前記アクセスの受け付けを代替させる代替処理を行う制御部、として機能させるためのプログラムである。

【0029】

このように、車外からのアクセス経路について、セキュリティリスクに関する関係性が小さい複数のアクセス経路を用意する構成により、あるアクセス経路にセキュリティリスクが発見された場合、セキュリティリスクが発見されていない他のアクセス経路に切り替えることができるため、車載ネットワークのセキュリティを保証しつつ、車外における装置との間で情報の送受信を行うことができる。また、各機能部が正常である状態において、車外からのアクセス経路を予め切り替える構成により、セキュリティリスクが発見された機能部が車外から攻撃を受けることを抑制することができるため、セキュリティ性をより向上させることができる。したがって、車載ネットワークにおけるセキュリティに関する優れた機能を実現することができる。

【0030】

以下、本開示の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。

【0031】

＜第１の実施の形態＞
［車載システム］
図１は、本開示の第１の実施の形態に係る通信システムの構成を示す図である。図１を参照して、通信システム５０１は、サーバ１８０と、１または複数の車載システム３０１とを備える。車載システム３０１は、車両１に搭載される。サーバ１８０は、車両１の外部における外部装置の一例である。

【0032】

図２は、本開示の第１の実施の形態に係る車載システムの構成を示す図である。図２を参照して、車載システム３０１は、たとえば、１つの車載中継装置１０１と、複数の車載ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）２０２とを備える。

【0033】

図２に示す例では、車載システム３０１は、車載ＥＣＵ２０２である車載ＥＣＵ２０２Ａ，２０２Ｂ，２０２Ｃを備える。車載中継装置１０１および車載ＥＣＵ２０２は、車載ネットワーク４０１を構成する。

【0034】

なお、車載システム３０１は、３つの車載ＥＣＵ２０２を備える構成に限らず、１つ、２つまたは４つ以上の車載ＥＣＵ２０２を備える構成であってもよい。また、車載システム３０１は、１つの車載中継装置１０１を備える構成に限らず、複数の車載中継装置１０１を備える構成であってもよい。

【0035】

車載中継装置１０１は、たとえばゲートウェイ装置である。車載中継装置１０１は、自己に接続される複数の車載ＥＣＵ２０２間のデータを中継可能である。

【0036】

車載中継装置１０１および各車載ＥＣＵ２０２は、車両１が行う自動運転を補助するための情報、およびエンターテイメントに用いる情報等の各種情報を生成し、他の車載ＥＣＵ２０２または車載中継装置１０１へ送信する。

【0037】

車載ＥＣＵ２０２は、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｕｎｉｔ）、エンジン用ＥＣＵ、自動運転用ＥＣＵおよびドアロック用ＥＣＵ等である。なお、車載システム３０１は、車載ＥＣＵ２０２に加えて、または車載ＥＣＵ２０２の代わりに、センサ、ナビゲーション装置、ヒューマンマシンインターフェース、およびカメラ等の車載機器を備えてもよい。

【0038】

複数の車載ＥＣＵ２０２は、たとえばイーサネット（登録商標）ケーブル１０を介して車載中継装置１０１と接続されている。

【0039】

より詳細には、車載中継装置１０１は、複数の通信ポート５１を含む。通信ポート５１は、たとえば、イーサネットケーブル１０を接続可能な端子である。車載中継装置１０１および各車載ＥＣＵ２０２は、通信ポート５１およびイーサネットケーブル１０を介して他の車載ＥＣＵ２０２と接続されている。

【0040】

ここでは、車載ＥＣＵ２０２Ｃは、ＴＣＵである。以下、車載ＥＣＵ２０２Ｃを、ＴＣＵ２０２Ｃとも称する。

【0041】

図１および図２を参照して、ＴＣＵ２０２Ｃは、サーバ１８０と通信を行うことが可能である。ＴＣＵ２０２Ｃは、たとえば、無線基地局装置１６１経由でサーバ１８０と通信することが可能である。

【0042】

より詳細には、ＴＣＵ２０２Ｃは、たとえば、ＬＴＥ（Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ）（登録商標）または５Ｇ等の通信規格に従って、無線基地局装置１６１と無線通信を行うことが可能である。

【0043】

具体的には、無線基地局装置１６１は、サーバ１８０から外部ネットワーク１７０経由でＩＰパケットを受信すると、受信したＩＰパケットを無線信号に含めてＴＣＵ２０２Ｃへ送信する。

【0044】

ＴＣＵ２０２Ｃは、たとえば、サーバ１８０からのＩＰパケットを含む無線信号を無線基地局装置１６１から受信すると、受信した無線信号からＩＰパケットを取得し、取得したＩＰパケットをフレームに格納して車載中継装置１０１へ送信する。

【0045】

また、ＴＣＵ２０２Ｃは、車載中継装置１０１からフレームを受信すると、受信したフレームからＩＰパケットを取得し、取得したＩＰパケットを無線信号に含めて無線基地局装置１６１へ送信する。

【0046】

無線基地局装置１６１は、ＴＣＵ２０２Ｃから無線信号を受信すると、受信した無線信号からＩＰパケットを取得し、取得したＩＰパケットを外部ネットワーク１７０経由でサーバ１８０へ送信する。

【0047】

サーバ１８０は、車両１の外部に設けられる。サーバ１８０は、たとえば、車載ネットワーク４０１において用いられる各種ソフトウェアのセキュリティリスクを管理している。ここで、ソフトウェアのセキュリティリスクとは、ソフトウェアの脆弱性、およびソフトウェアに対する脅威等である。

【0048】

なお、車載中継装置１０１は、イーサネットケーブル１０を介して車載ＥＣＵ２０２と接続される構成に限らず、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＣＡＮ ＦＤ（ＣＡＮ ｗｉｔｈ Ｆｌｅｘｉｂｌｅ Ｄａｔａ Ｒａｔｅ）、ＦｌｅｘＲａｙ（登録商標）、ＭＯＳＴ（Ｍｅｄｉａ Ｏｒｉｔｅｎｄ Ｓｙｓｔｅｍ Ｔｒａｎｓｐｏｒｔ）（登録商標）およびＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）等の規格に従うバスを介して車載ＥＣＵ２０２と接続される構成であってもよい。

【0049】

［車載中継装置］
図３は、本開示の第１の実施の形態に係る車載中継装置の構成を示す図である。図３を参照して、車載中継装置１０１は、通信ポート５１と、中継部５２と、処理部５３とを備える。処理部５３は、複数のコア６１と、記憶部６２とを含む。中継部５２および処理部５３の一方または両方は、たとえば、１または複数のプロセッサを含む処理回路（Ｃｉｒｃｕｉｔｒｙ）により実現される。ここでは、コア６１が、プロセッサに相当する。図３に示す例では、処理部５３は、コア６１であるコア６１Ａ，６１Ｂを含む。

【0050】

通信ポート５１は、たとえば、イーサネットケーブル１０を接続可能な端子である。図３に示す例では、車載中継装置１０１は、通信ポート５１である通信ポート５１Ａ，５１Ｂ，５１Ｃを備える。通信ポート５１Ａ，５１Ｂ，５１Ｃには、車載ＥＣＵ２０２Ａ，２０２Ｂ，２０２Ｃがイーサネットケーブル１０を介してそれぞれ接続されている。

【0051】

なお、車載中継装置１０１は、３つの通信ポート５１を備える構成に限らず、１つ、２つまたは４つ以上の通信ポート５１を備える構成であってもよい。

【0052】

通信ポート５１およびコア６１には、対応するポート番号が割り当てられている。ここでは、通信ポート５１Ａ，５１Ｂ，５１Ｃに割り当てられるポート番号は、それぞれ＃１，＃２，＃３であり、また、コア６１Ａ，６１Ｂに割り当てられるポート番号は、それぞれ＃４，＃５であるとする。

【0053】

中継部５２は、ある車載ＥＣＵ２０２からフレームを受信すると、受信したフレームを宛先の車載ＥＣＵ２０２へ送信する。

【0054】

また、中継部５２は、自己の車載中継装置１０１におけるコア６１を宛先とするフレームを車載ＥＣＵ２０２から受信すると、当該フレームを宛先のコア６１へ出力する。

【0055】

また、中継部５２は、コア６１から受けたフレームを通信ポート５１およびイーサネットケーブル１０経由で宛先の車載ＥＣＵ２０２へ送信する。

【0056】

より詳細には、記憶部６２は、フレームに含まれる送信元ＩＰアドレスと、宛先ＩＰアドレスと、ポート番号との対応関係を示すルーティングテーブルＴｂ１を記憶する。

【0057】

中継部５２は、車載ＥＣＵ２０２またはコア６１からのフレームを受けると、記憶部６２におけるルーティングテーブルＴｂ１を読み出す。そして、中継部５２は、ルーティングテーブルＴｂ１を参照することにより、当該フレームに含まれる送信元ＩＰアドレスおよび宛先ＩＰアドレスに対応するポート番号を特定する。

【0058】

図４は、本開示の第１の実施の形態に係る車載中継装置が保存するルーティングテーブルの一例を示す図である。

【0059】

図４を参照して、「ＩＰ＿Ｓｅｒｖｅｒ」はサーバ１８０のＩＰアドレスを示し、「ＩＰ＿Ｃｏｒｅ Ａ」はコア６１ＡのＩＰアドレスを示し、「ＩＰ＿Ｃｏｒｅ Ｂ」はコア６１ＢのＩＰアドレスを示し、「ＩＰ＿ＥＣＵ Ａ」は車載ＥＣＵ２０２ＡのＩＰアドレスを示し、「ＩＰ＿ＥＣＵ Ｂ」は車載ＥＣＵ２０２ＢのＩＰアドレスを示し、「ＩＰ＿ＥＣＵ Ｃ」は車載ＥＣＵ２０２ＣのＩＰアドレスを示す。

【0060】

中継部５２は、送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、「ＩＰ＿ＥＣＵ Ａ」および「ＩＰ＿ＥＣＵ Ｂ」をそれぞれ含むフレームを受信した場合、当該フレームに対応するポート番号として「＃２」を特定する。中継部５２は、送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、「ＩＰ＿ＥＣＵ Ｂ」および「ＩＰ＿ＥＣＵ Ａ」をそれぞれ含むフレームを受信した場合、当該フレームに対応するポート番号として「＃１」を特定する。中継部５２は、送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、「ＩＰ＿ＥＣＵ Ｃ」および「ＩＰ＿ＥＣＵ Ａ」をそれぞれ含むフレームを受信した場合、当該フレームに対応するポート番号として「＃１」を特定する。中継部５２は、送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、「ＩＰ＿Ｓｅｒｖｅｒ」および「ＩＰ＿Ｃｏｒｅ Ａ」をそれぞれ含むフレームを受信した場合、当該フレームに対応するポート番号として「＃４」を特定する。中継部５２は、送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、「ＩＰ＿Ｓｅｒｖｅｒ」および「ＩＰ＿Ｃｏｒｅ Ｂ」をそれぞれ含むフレームを受信した場合、当該フレームに対応するポート番号として「＃５」を特定する。

【0061】

中継部５２は、送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、「ＩＰ＿Ｃｏｒｅ Ａ」および「ＩＰ＿Ｓｅｒｖｅｒ」をそれぞれ含むフレームをコア６１Ａから受けた場合、当該フレームに対応するポート番号として「＃３」を特定する。中継部５２は、送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、「ＩＰ＿Ｃｏｒｅ Ｂ」および「ＩＰ＿Ｓｅｒｖｅｒ」をそれぞれ含むフレームをコア６１Ｂから受けた場合、当該フレームに対応するポート番号として「＃３」を特定する。

【0062】

中継部５２は、ポート番号を特定すると、車載ＥＣＵ２０２からのフレームまたはコア６１からのフレームを、特定したポート番号に対応する通信ポート５１、に接続された車載ＥＣＵ２０２へ送信するか、または当該ポート番号に対応するコア６１へ出力する。

【0063】

［課題の説明］
車載システムにおいてセキュリティリスクが発見された場合、当該セキュリティリスクへの対策の立案には時間を要する。この場合、車載システムが攻撃を受ける可能性が高まる。

【0064】

また、セキュリティリスクに対する暫定的な対策として、車載システムにおいて、セキュリティリスクが発見された部分に対応する機能の提供を停止することが考えられる。しかしながら、当該機能が車載システムにおける重要な機能である場合、当該機能の提供を停止することができない可能性がある。

【0065】

これに対して、本開示の実施の形態に係る車載システムでは、以下のような構成および動作により、上記課題を解決する。

【0066】

図５は、本開示の第１の実施の形態に係る車載システムの構成を示す機能ブロック図である。図５を参照して、車載システム３０１は、第１の機能部１１Ａと、第２の機能部１１Ｂと、制御部１２とを備える。本開示の第１の実施の形態では、第１の機能部１１Ａはコア６１Ａに相当し、第２の機能部１１Ｂはコア６１Ｂに相当する。なお、「第１」および「第２」の記載は、優先順位を意味するものではない。

【0067】

図３を参照して、コア６１Ａおよびコア６１Ｂは、セキュリティに関して異なる構成を有する。言い換えれば、コア６１Ａおよびコア６１Ｂは、セキュリティリスクに関する関係性が小さい。より詳細には、たとえば、セキュリティに関して異なる構成として、コア６１Ａが用いるソフトウェアＳＷ１１とコア６１Ｂが用いるソフトウェアＳＷ１２とが異なる。ソフトウェアＳＷ１１は第１のソフトウェアの一例であり、ソフトウェアＳＷ１２は第２のソフトウェアの一例である。

【0068】

図６は、本開示の第１の実施の形態に係る車載中継装置の第１のコアが用いる第１のソフトウェアの構成を示す図である。図７は、本開示の第１の実施の形態に係る車載中継装置の第２のコアが用いる第２のソフトウェアの構成を示す図である。

【0069】

図６および図７を参照して、コア６１Ａおよびコア６１Ｂには、たとえば、互いに異なるＯＳが搭載されている。

【0070】

より詳細には、たとえば、ソフトウェアＳＷ１１は、ＬＩＮＵＸ（登録商標）＿ＯＳ２１を含む。ＬＩＮＵＸ＿ＯＳ２１は、第１のＯＳの一例である。なお、ソフトウェアＳＷ１１は、ＬＩＮＵＸ＿ＯＳ２１以外の他の汎用ＯＳを含むものであってもよい。

【0071】

たとえば、ソフトウェアＳＷ１２は、ＬＩＮＵＸ＿ＯＳ２１とは異なるＯＳを含む。具体的には、たとえば、ソフトウェアＳＷ１２は、ＲＴＯＳ（Ｒｅａｌ Ｔｉｍｅ Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）２２を含む。ＲＴＯＳ３１は、第２のＯＳの一例である。なお、ソフトウェアＳＷ１２は、ソフトウェアＳＷ１に含まれるＯＳと異なるＯＳであれば、ＲＴＯＳ３１以外の他のＯＳを含むものであってもよい。

【0072】

また、コア６１Ａおよびコア６１Ｂには、たとえば、互いに異なるアプリケーションが搭載されている。

【0073】

より詳細には、たとえば、ソフトウェアＳＷ１１は、認証用アプリケーション２２を含み、ソフトウェアＳＷ１２は、認証用アプリケーション２２とは異なる認証用アプリケーション３２を含む。認証用アプリケーション２２および認証用アプリケーション３２はそれぞれ、第１のアプリケーションおよび第２のアプリケーションの一例である。

【0074】

たとえば、ソフトウェアＳＷ１１に含まれる認証用アプリケーション２２によって提供される機能は、ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）の規格に従ってセキュア通信を行うＴＬＳ認証機能を含む。ＴＬＳは、第１の通信プロトコルの一例である。

【0075】

図１および図３を参照して、具体的には、コア６１Ａは、たとえば、自己の車載中継装置１０１が起動すると、ＴＬＳに従う手順で、認証を要求する旨を示す認証要求情報Ｒ１１を中継部５２およびＴＣＵ２０２Ｃ経由でサーバ１８０へ送信する。

【0076】

具体的には、たとえば、コア６１Ａは、認証要求情報Ｒ１１を含み、かつ送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、自己のＩＰアドレスおよびサーバ１８０のＩＰアドレスをそれぞれ含むＩＰパケットを作成する。そして、コア６１Ａは、作成したＩＰパケットを中継部５２およびＴＣＵ２０２Ｃ経由でサーバ１８０へ送信する。

【0077】

サーバ１８０は、たとえば、車載中継装置１０１からＴＣＵ２０２Ｃ経由で認証要求情報Ｒ１１を受信すると、ＴＬＳに従う手順で、コア６１Ａの認証処理を行う。

【0078】

サーバ１８０は、コア６１Ａの認証処理においてコア６１Ａの認証に成功すると、認証成功を示す認証成功情報Ｒ１２を含み、かつ送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、自己のＩＰアドレスおよびコア６１ＡのＩＰアドレスをそれぞれ含むＩＰパケットを作成する。そして、サーバ１８０は、作成したＩＰパケットをＴＣＵ２０２Ｃ経由で車載中継装置１０１へ送信する。

【0079】

車載中継装置１０１において、コア６１Ａは、認証成功情報Ｒ１２を含むＩＰパケットをＴＣＵ２０２Ｃおよび中継部５２経由でサーバ１８０から受信すると、サーバ１８０との通信を開始する。

【0080】

一方、サーバ１８０は、コア６１Ａの認証に失敗すると、認証失敗を示す旨を示す認証失敗情報Ｒ１３を含み、かつ送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、自己のＩＰアドレスおよびコア６１ＡのＩＰアドレスをそれぞれ含むＩＰパケットを作成する。そして、サーバ１８０は、作成したＩＰパケットをＴＣＵ２０２Ｃ経由で車載中継装置１０１へ送信する。

【0081】

車載中継装置１０１において、コア６１Ａは、認証失敗情報Ｒ１３を含むＩＰパケットをＴＣＵ２０２Ｃおよび中継部５２経由でサーバ１８０から受信すると、サーバ１８０との通信が不可であると判断する。

【0082】

たとえば、ソフトウェアＳＷ１２に含まれる認証用アプリケーション３２によって提供される機能は、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）の規格に従ってセキュア通信を行うＩＰｓｅｃ認証機能を含む。ＩＰｓｅｃは、第２の通信プロトコルの一例である。

【0083】

より詳細には、コア６１Ｂは、たとえば、自己の車載中継装置１０１が起動すると、ＩＰｓｅｃに従う手順で、認証を要求する旨を示す認証要求情報Ｒ２１を中継部５２およびＴＣＵ２０２Ｃ経由でサーバ１８０へ送信する。

【0084】

具体的には、たとえば、コア６１Ｂは、認証要求情報Ｒ２１を含み、かつ送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、自己のＩＰアドレスおよびサーバ１８０のＩＰアドレスをそれぞれ含むＩＰパケットを作成する。そして、コア６１Ｂは、作成したＩＰパケットを中継部５２およびＴＣＵ２０２Ｃ経由でサーバ１８０へ送信する。

【0085】

サーバ１８０は、たとえば、車載中継装置１０１からＴＣＵ２０２Ｃ経由で認証要求情報Ｒ２１を受信すると、ＩＰｓｅｃに従う手順で、コア６１Ｂの認証処理を行う。

【0086】

サーバ１８０は、コア６１Ｂの認証処理においてコア６１Ｂの認証に成功すると、認証成功を示す旨を示す認証成功情報Ｒ２２を含み、かつ送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、自己のＩＰアドレスおよびコア６１ＢのＩＰアドレスをそれぞれ含むＩＰパケットを作成する。そして、サーバ１８０は、作成したＩＰパケットをＴＣＵ２０２Ｃ経由で車載中継装置１０１へ送信する。

【0087】

車載中継装置１０１において、コア６１Ｂは、認証成功情報Ｒ２２を含むＩＰパケットをＴＣＵ２０２Ｃおよび中継部５２経由でサーバ１８０から受信することにより、サーバ１８０との通信を開始する。

【0088】

一方、サーバ１８０は、コア６１Ｂの認証に失敗すると、認証失敗を示す旨を示す認証失敗情報Ｒ２３を含み、かつ送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、自己のＩＰアドレスおよびコア６１ＢのＩＰアドレスをそれぞれ含むＩＰパケットを作成する。そして、サーバ１８０は、作成したＩＰパケットをＴＣＵ２０２Ｃ経由で車載中継装置１０１へ送信する。

【0089】

車載中継装置１０１において、コア６１Ｂは、認証失敗情報Ｒ２３を含むＩＰパケットをＴＣＵ２０２Ｃおよび中継部５２経由でサーバ１８０から受信すると、サーバ１８０との通信が不可であると判断する。

【0090】

なお、認証用アプリケーション２２は、ＴＬＳ以外の他の通信プロトコルに従ってセキュア通信を行う機能であってもよい。また、認証用アプリケーション３２は、認証用アプリケーション２２において用いられる通信プロトコルと異なる通信プロトコルであれば、ＩＰｓｅｃ以外の他の通信プロトコルに従ってセキュア通信を行う機能であってもよい。

【0091】

［代替処理］
再び図３および図５を参照して、制御部１２は、コア６１Ａの状態およびコア６１Ｂの状態が正常状態である場合であって、サーバ１８０からコア６１Ａのセキュリティリスクに関するリスク通知を受信した場合、コア６１Ａへのサーバ１８０からのアクセスを停止させ、コア６１Ｂにサーバ１８０からの受け付けを代替させる代替処理を行う。本開示の第１の実施の形態では、制御部１２は、図３に示す中継部５２およびコア６１Ｂにより実現される。

【0092】

より詳細には、たとえば、サーバ１８０は、コア６１ＡにおけるＬＩＮＵＸ＿ＯＳ２１および認証用アプリケーション２２の少なくともいずれか一方にセキュリティリスクが発見された場合、コア６１Ａについてセキュリティリスクを発見した旨を示すリスク通知を含み、かつ送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、自己のＩＰアドレスおよびコア６１ＢのＩＰアドレスをそれぞれ含むＩＰパケットを作成する。そして、サーバ１８０は、作成したＩＰパケットを無線基地局装置１６１経由でＴＣＵ２０２Ｃへ送信する。

【0093】

ＴＣＵ２０２Ｃは、サーバ１８０からの上記リスク通知を含むＩＰパケットを受信すると、当該ＩＰパケットをフレーム（以下、「脆弱通知フレーム」とも称する。）に格納して車載中継装置１０１へ送信する。

【0094】

車載中継装置１０１において、コア６１Ｂは、ＴＣＵ２０２Ｃから中継部５２経由で脆弱通知フレームを受信すると、ルーティングテーブルＴｂ１の更新を要求する旨を示す更新通知を中継部５２へ出力する通知処理を行う。

【0095】

より詳細には、たとえば、記憶部６２は、コア６１とＩＰアドレスとの対応関係を示すアドレステーブルＴｂ１０を記憶する。

【0096】

コア６１Ｂは、車載ＥＣＵ２０２またはコア６１Ａとの間で情報のやり取りを行っている状態において、ＴＣＵ２０２Ｃから中継部５２経由で脆弱通知フレームを受信すると、記憶部６２におけるアドレステーブルＴｂ１０を参照することにより、コア６１ＡのＩＰアドレスを確認する。

【0097】

コア６１Ｂは、コア６１ＡのＩＰアドレスを確認すると、通知処理として、ルーティングテーブルＴｂ１の更新を要求する旨を示す更新通知と、脆弱通知フレームに含まれるサーバ１８０のＩＰアドレスと、確認したコア６１ＡのＩＰアドレスとを含むテーブル更新情報を中継部５２へ出力する。なお、コア６１Ｂは、車載ＥＣＵ２０２またはコア６１Ａとの間で情報のやり取りを行っていない待機状態において、テーブル更新情報を中継部５２へ出力してもよい。

【0098】

中継部５２は、コア６１Ｂからテーブル更新情報を受けると、ルーティングテーブルＴｂ１を更新するテーブル更新処理を行う。

【0099】

より詳細には、中継部５２は、テーブル更新処理として、ルーティングテーブルＴｂ１において、送信元ＩＰアドレスがサーバ１８０のＩＰアドレスであり、宛先ＩＰアドレスがコア６１ＡのＩＰアドレスであるフレームの中継先を変更する処理を行う。具体的には、たとえば、中継部５２は、当該フレームの中継先をコア６１Ａからコア６１Ｂへ変更する。すなわち、中継部５２は、サーバ１８０からコア６１Ａへのアクセスの受け付けをコア６１Ｂに代替させる。

【0100】

図８は、本開示の第１の実施の形態に係る車載中継装置によるテーブル更新処理後のルーティングテーブルの一例を示す図である。

【0101】

図３および図８を参照して、具体的には、たとえば、中継部５２は、コア６１Ｂからテーブル更新情報を受けると、記憶部６２におけるルーティングテーブルＴｂ１を読み出す。そして、中継部５２は、ルーティングテーブルＴｂ１において、テーブル更新情報に含まれるサーバ１８０のＩＰアドレスが送信元ＩＰアドレスであり、かつコア６１ＡのＩＰアドレスが宛先ＩＰアドレスであるフレームに対応するポート番号を、「＃４」から「＃５」に変更する。

【0102】

また、たとえば、中継部５２は、コア６１Ｂからテーブル更新情報を受けると、中継先を変更するフレーム（以下、「中継先変更フレーム」とも称する。）に含まれる送信元ＩＰアドレスと、当該中継先変更フレームに含まれる宛先ＩＰアドレスとの対応関係を示す管理リストＬ１を作成するリスト作成処理を行う。

【0103】

図９は、本開示の第１の実施の形態に係る車載中継装置によるリスト作成処理によって作成される管理リストの一例を示す図である。

【0104】

図９を参照して、中継部５２は、コア６１Ｂからテーブル更新情報を受けると、送信元ＩＰアドレスが当該テーブル更新情報に含まれるサーバ１８０のＩＰアドレス「ＩＰ＿Ｓｅｒｖｅｒ」であり、宛先ＩＰアドレスが当該テーブル更新情報に含まれるコア６１ＡのＩＰアドレス「ＩＰ＿Ｃｏｒｅ Ａ」である中継停止フレームを示す管理リストＬ１を作成する。そして、中継部５２は、作成した管理リストＬ１を記憶部６２に保存する。

【0105】

［通信継続処理］
再び図３を参照して、たとえば、中継部５２は、サーバ１８０からリスク通知を受信した後において、コア６１Ａによる車両１内の通信を継続させる通信継続処理をさらに行う。

【0106】

より詳細には、たとえば、中継部５２は、通信継続処理として、コア６１Ａとコア６１Ｂとの通信を継続させる。

【0107】

具体的には、たとえば、中継部５２は、サーバ１８０からのリスク通知をＴＣＵ２０２Ｃ経由で受信し、テーブル更新処理およびリスト作成処理を行った後において、車載ＥＣＵ２０２からフレームを受信すると、記憶部６２におけるルーティングテーブルＴｂ１および管理リストＬ１を読み出す。そして、中継部５２は、管理リストＬ１を参照することにより、車載ＥＣＵ２０２から受信したフレームが中継停止フレームであるか否かを確認する。

【0108】

中継部５２は、車載ＥＣＵ２０２から受信したフレームが中継停止フレームである場合、当該フレームのペイロードに、コア６１Ａを宛先とするフレームである旨を示す判別情報を格納する。そして、中継部５２は、ルーティングテーブルＴｂ１を参照することにより、当該判別情報を格納したフレームをコア６１Ｂへ出力する。

【0109】

コア６１Ｂは、テーブル更新情報を中継部５２へ出力した後において、中継部５２からフレームを受けると、当該フレームのペイロードに判別情報が格納されているか否かを確認する。

【0110】

コア６１Ｂは、中継部５２からのフレームのペイロードに判別情報が格納されている場合、当該フレームをコア６１Ａへ出力する転送処理を行う。コア６１Ａは、コア６１Ｂから当該フレームを受けると、当該フレームに含まれる各種情報に基づいて、所定の処理を行う。

【0111】

一方、コア６１Ｂは、中継部５２からのフレームのペイロードに判別情報が格納されていない場合、転送処理は不要であると判断する。そして、コア６１Ｂは、当該フレームに含まれる各種情報に基づいて、所定の処理を行う。

【0112】

また、たとえば、中継部５２は、通信継続処理として、コア６１Ａと車載ＥＣＵ２０２との通信を継続させる。

【0113】

より詳細には、たとえば、中継部５２は、サーバ１８０からリスク通知を受信した後において、車載ＥＣＵ２０２から受信したフレームが中継停止フレームではない場合、ルーティングテーブルＴｂ１を参照することにより、当該フレームを宛先の車載ＥＣＵ２０２またはコア６１へ出力する。

【0114】

具体的には、たとえば、中継部５２は、サーバ１８０からリスク通知を受信した後において、コア６１Ａを宛先とするフレームを車載ＥＣＵ２０２から受信すると、当該フレームを宛先のコア６１Ａへ出力する。

【0115】

また、たとえば、中継部５２は、サーバ１８０からリスク通知を受信した後において、車載ＥＣＵ２０２を宛先とするフレームをコア６１Ａから受けると、当該フレームを宛先の車載ＥＣＵ２０２へ送信する。

【0116】

［コア６１Ａからサーバ１８０への情報の送信］
また、たとえば、中継部５２は、サーバ１８０からのリスク通知を受信した後において、コア６１Ａからサーバ１８０への情報の送信を継続させる。

【0117】

より詳細には、たとえば、中継部５２は、サーバ１８０からリスク通知を受信した後において、サーバ１８０を宛先とするフレームをコア６１Ａから受けると、当該フレームをＴＣＵ２０２Ｃ経由で宛先のサーバ１８０へ送信する。

【0118】

なお、中継部５２は、サーバ１８０からのリスク通知を受信した後において、コア６１Ａからサーバ１８０への情報の送信を停止してもよい。

【0119】

［動作の流れ］
図１０は、本開示の第１の実施の形態に係る車載中継装置におけるコアが通知処理を行う際の動作手順を定めたフローチャートである。図１０は、車載中継装置１０１におけるコア６１Ｂが通知処理を行う際の動作手順を示している。

【0120】

図１０を参照して、コア６１Ｂは、自己の車載中継装置１０１が起動すると（ステップＳ１０１）、サーバ１８０による認証を要求するための認証要求情報Ｒ２１をＴＣＵ２０２Ｃ経由でサーバ１８０へ送信する（ステップＳ１０２）。

【0121】

次に、コア６１Ｂは、認証成功を示す認証成功情報Ｒ２２をサーバ１８０から受信すると（ステップＳ１０３においてＹＥＳ）、サーバ１８０との通信を開始する（ステップＳ１０４）。

【0122】

次に、コア６１Ｂは、コア６１Ａのセキュリティリスクに関するリスク通知を受信すると（ステップＳ１０５においてＹＥＳ）、ルーティングテーブルＴｂ１の更新を要求する旨を示す更新通知と、リスク通知の示すサーバ１８０のＩＰアドレスと、コア６１ＡのＩＰアドレスとを含むテーブル更新情報を中継部２１へ出力する通知処理を行う（ステップＳ１０６）。

【0123】

次に、コア６１Ｂは、コア６１Ａとの通信を継続する。たとえば、上述したように、コア６１Ｂは、上記判別情報が格納されたフレームを中継部５２から受けると、当該フレームをコア６１Ａへ出力する（ステップＳ１０７）。

【0124】

一方、コア６１Ｂは、認証失敗を示す認証失敗情報Ｒ２３をサーバ１８０から受信すると（ステップＳ１０３においてＮＯ）、サーバ１８０との通信を不可と判断する（ステップＳ１０８）。

【0125】

図１１は、本開示の第１の実施の形態に係る車載中継装置における中継部がテーブル更新処理およびリスト作成処理を行う際の動作手順を定めたフローチャートである。

【0126】

図１１を参照して、まず、中継部５２は、コア６１Ｂからのテーブル更新情報を待ち受け（ステップＳ２０１においてＮＯ）、当該テーブル更新情報をコア６１Ｂから受けると（ステップＳ２０１においてＹＥＳ）、ルーティングテーブルＴｂ１を更新するテーブル更新処理を行う。たとえば、上述したように、中継部５２は、ルーティングテーブルＴｂ１において、コア６１Ｂから受けたテーブル更新情報に含まれるサーバ１８０のＩＰアドレスが送信元ＩＰアドレスであり、かつ当該テーブル更新情報に含まれるコア６１ＡのＩＰアドレスが宛先ＩＰアドレスであるフレームに対応するポート番号を、コア６１Ｂに対応するポート番号に変更する（ステップＳ２０２）。

【0127】

次に、中継部５２は、管理リストＬ１を作成するリスト作成処理を行う。たとえば、上述したように、中継部５２は、中継先変更フレームに含まれる送信元ＩＰアドレスと、当該中継先変更フレームに含まれる宛先ＩＰアドレスとの対応関係を示す管理リストＬ１を作成する（ステップＳ２０３）。なお、ステップＳ２０２およびステップＳ２０３は、順序を入れ替えて実行してもよいし、並列して実行してもよい。

【0128】

次に、中継部５２は、フレームの受信を待ち受け（ステップＳ２０４においてＮＯ）、フレームを受信すると（ステップＳ２０４においてＹＥＳ）、中継処理を行う。

【0129】

より詳細には、中継部５２は、受信したフレームが中継停止フレームである場合（ステップＳ２０５においてＹＥＳ）、当該フレームをコア６１Ｂへ出力する。たとえば、上述したように、中継部５２は、当該フレームのペイロードに、コア６１Ａを宛先とするフレームである旨を示す判別情報を格納してコア６１Ｂへ出力する（ステップＳ２０６）。

【0130】

また、中継部５２は、受信したフレームの送信元がコア６１Ａである場合（ステップＳ２０５においてＮＯかつステップＳ２０７においてＹＥＳ）、当該フレームを宛先の車載ＥＣＵ２０２へ送信する（ステップＳ２０８）。

【0131】

一方、中継部５２は、その他のフレームを受信した場合（ステップＳ２０５においてＮＯかつステップＳ２０７においてＮＯ）、当該その他のフレームについて中継処理を行う（ステップＳ２０９）。

【0132】

図１２は、本開示の第１の実施の形態に係る通信システムにおける車載中継装置、車載ＥＣＵおよびサーバの処理のシーケンスの一例を示す図である。

【0133】

図１２を参照して、まず、コア６１Ａは、認証を要求する旨、および自己のＩＰアドレスを示す認証要求情報Ｒ１１を中継部５２およびＴＣＵ２０２Ｃ経由でサーバ１８０へ送信する（ステップＳ３０１）。

【0134】

次に、サーバ１８０は、車載中継装置１０１からＴＣＵ２０２Ｃ経由で認証要求情報Ｒ１１を受信すると、コア６１Ａの認証処理を行う（ステップＳ３０２）。

【0135】

次に、サーバ１８０は、コア６１Ａの認証に成功すると、認証成功を示す認証成功情報Ｒ１２を含み、かつ送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、自己のＩＰアドレスおよびコア６１ＡのＩＰアドレスをそれぞれ含むＩＰパケットをＴＣＵ２０２Ｃ経由で車載中継装置１０１へ送信する（ステップＳ３０３）。

【0136】

次に、車載中継装置１０１におけるコア６１Ａは、サーバ１８０からＴＣＵ２０２Ｃおよび中継部５２経由で認証成功情報Ｒ１２を含むＩＰパケットを受信すると、サーバ１８０との通信を開始する（ステップＳ３０４）。

【0137】

次に、コア６１Ｂは、認証を要求する旨、および自己のＩＰアドレスを示す認証要求情報Ｒ２１を中継部５２およびＴＣＵ２０２Ｃ経由でサーバ１８０へ送信する（ステップＳ３０５）。

【0138】

次に、サーバ１８０は、車載中継装置１０１からＴＣＵ２０２Ｃ経由で認証要求情報Ｒ２１を受信すると、コア６１Ｂの認証処理を行う（ステップＳ３０６）。

【0139】

次に、サーバ１８０は、コア６１Ｂの認証に成功すると、認証成功を示す認証成功情報Ｒ２２を含み、かつ送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、自己のＩＰアドレスおよびコア６１ＢのＩＰアドレスをそれぞれ含むＩＰパケットをＴＣＵ２０２Ｃ経由で車載中継装置１０１へ送信する（ステップＳ３０７）。

【0140】

次に、車載中継装置１０１におけるコア６１Ｂは、サーバ１８０からＴＣＵ２０２Ｃおよび中継部５２経由で認証成功情報Ｒ２２を含むＩＰパケットを受信すると、サーバ１８０との通信を開始する（ステップＳ３０８）。

【0141】

次に、サーバ１８０は、コア６１Ａのセキュリティリスクに関するリスク通知をＴＣＵ２０２Ｃ経由で車載中継装置１０１へ送信する。たとえば、上述したように、サーバ１８０は、当該リスク通知を含み、かつ送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、自己のＩＰアドレスおよびコア６１ＢのＩＰアドレスをそれぞれ含むＩＰパケットをＴＣＵ２０２Ｃ経由で車載中継装置１０１へ送信する（ステップＳ３０９）。

【0142】

次に、車載中継装置１０１におけるコア６１Ｂは、ルーティングテーブルＴｂ１の更新を要求する旨を示す更新通知と、リスク通知の示すサーバ１８０のＩＰアドレスと、コア６１ＡのＩＰアドレスとを含むテーブル更新情報を中継部５２へ出力する（ステップＳ３１０）。

【0143】

次に、中継部５２は、ルーティングテーブルＴｂ１を更新するテーブル更新処理を行う。たとえば、上述したように、中継部５２は、ルーティングテーブルＴｂ１において、コア６１Ｂから受けたテーブル更新情報に含まれるサーバ１８０のＩＰアドレスが送信元ＩＰアドレスであり、かつ当該テーブル更新情報に含まれるコア６１ＡのＩＰアドレスが宛先ＩＰアドレスであるフレームに対応するポート番号を、コア６１Ｂに対応するポート番号に変更する（ステップＳ３１１）。

【0144】

次に、中継部５２は、管理リストＬ１を作成するリスト作成処理を行う。たとえば、上述したように、中継部５２は、中継先変更フレームに含まれる送信元ＩＰアドレスと、当該中継先変更フレームに含まれる宛先ＩＰアドレスとの対応関係を示す管理リストＬ１を作成する（ステップＳ３１２）。なお、ステップＳ３１１およびステップＳ３１２は、順序を入れ替えて実行してもよいし、並列して実行してもよい。

【0145】

次に、サーバ１８０は、コア６１Ａを宛先とするフレームをＴＣＵ２０２Ｃ経由で車載中継装置１０１へ送信する（ステップＳ３１３）。

【0146】

次に、車載中継装置１０１において、中継部５２は、記憶部６２における管理リストＬ１を参照することにより、サーバ１８０から受信したフレームに含まれる宛先ＩＰアドレスが管理リストＬ１に登録されていることを確認する（ステップＳ３１４）。

【0147】

次に、中継部５２は、サーバ１８０から受信したフレームのペイロードに、コア６１Ａを宛先とするフレームである旨を示す判別情報を格納してコア６１Ｂへ出力する（ステップＳ３１５）。

【0148】

次に、コア６１Ｂは、判別情報が格納されたフレームを中継部５２から受けると、当該フレームをコア６１Ａへ出力する（ステップＳ３１６）。

【0149】

次に、コア６１Ａは、ある車載ＥＣＵ２０２を宛先とするフレームを中継部５２へ出力する（ステップＳ３１７）。

【0150】

次に、中継部５２は、コア６１Ａから受けたフレームを宛先の車載ＥＣＵ２０２へ送信する（ステップＳ３１８）。

【0151】

＜変形例＞
図１３は、本開示の第１の実施の形態に係る通信システムの変形例における車載中継装置、車載ＥＣＵおよびサーバの処理のシーケンスの一例を示す図である。

【0152】

図１３に示すステップＳ４０１からステップＳ４０９までの処理は、図１２に示すステップＳ３０１からステップＳ３０９までの処理とそれぞれ同様である。

【0153】

次に、サーバ１８０は、コア６１Ａのセキュリティリスクに関するリスク通知を、コア６１Ｂに加えてコア６１Ａへ送信する。より詳細には、サーバ１８０は、リスク通知を含み、かつ送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、自己のＩＰアドレスおよびコア６１ＡのＩＰアドレスをそれぞれ含むＩＰパケットをＴＣＵ２０２Ｃ経由で車載中継装置１０１へ送信する（ステップＳ４１０）。

【0154】

次に、車載中継装置１０１において、コア６１Ａは、サーバ１８０からのリスク通知をＴＣＵ２０２Ｃおよび中継部５２経由で受信すると、当該リスク通知を受信した旨を示す受信通知をコア６１Ｂへ出力する（ステップＳ４１１）。

【0155】

次に、コア６１Ｂは、サーバ１８０からリスク通知を受信し、かつコア６１Ａから受信通知を受けると、ルーティングテーブルＴｂ１の更新を要求する旨を示す更新通知と、リスク通知の示すサーバ１８０のＩＰアドレスと、コア６１ＡのＩＰアドレスとを含むテーブル更新情報を中継部５２へ出力する（ステップＳ４１２）。

【0156】

ステップＳ４１３からステップＳ４２０までの処理は、図１２に示すステップＳ３１１からステップＳ３１８までの処理とそれぞれ同様である。

【0157】

なお、本開示の第１の実施の形態に係る車載中継装置１０１において、処理部５３は、２つのコア６１を含む構成であるとしたが、これに限定するものではない。処理部５３は、３つ以上のコア６１を含む構成であってもよい。この場合、中継部５２は、あるコア６１についてのリスク通知をサーバ１８０から受信した後において、新たなコア６１についてのリスク通知をサーバ１８０から受信するごとに、ルーティングテーブルＴｂ１および管理リストＬ１を更新する。

【0158】

また、本開示の第１の実施の形態に係る車載中継装置１０１において、記憶部６２におけるルーティングテーブルＴｂ１は、フレームに含まれる送信元ＩＰアドレスと、宛先ＩＰアドレスと、ポート番号との対応関係を示す構成に限らず、フレームに含まれる送信元ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスと、宛先ＭＡＣアドレスと、ポート番号との対応関係を示す構成であってもよい。この場合、サーバ１８０は、コア６１Ａにセキュリティリスクが発見された場合、リスク通知を含み、かつ送信元ＭＡＣアドレスおよび宛先ＭＡＣアドレスとして、自己のＭＡＣアドレスおよびコア６１ＡのＭＡＣアドレスをそれぞれ含むＩＰパケットをＴＣＵ２０２Ｃ経由で車載中継装置１０１へ送信する。

【0159】

＜第２の実施の形態＞
上述した本開示の第１の実施の形態では、コア６１Ａおよびコア６１Ｂがセキュリティに関して異なる構成を有し、代替処理を行う制御部１２が中継部５２およびコア６１Ｂによって実現される。これに対して、本開示の第２の実施の形態では、車載ＥＣＵ２０２Ａおよび車載ＥＣＵ２０２Ｂがセキュリティに関して異なる構成を有し、代替処理を行う制御部が車載中継装置１０１および車載ＥＣＵ２０２Ｂによって実現される。以下で説明する内容以外は第１の実施の形態に係る通信システム５０１と同様である。

【0160】

図２は、本開示の第２の実施の形態に係る車載システムの構成も示している。図２を参照して、車載システム３０２は、車載ＥＣＵ２０２である車載ＥＣＵ２０２Ａ，２０２Ｂ，２０２Ｃと、車載中継装置１０１とを備える。なお、車載システム３０２は、３つの車載ＥＣＵ２０２を備える構成に限らず、２つまたは４つ以上の車載ＥＣＵ２０２を備える構成であってもよい。

【0161】

図１４は、本開示の第２の実施の形態に係る車載中継装置が保存するルーティングテーブルの一例を示す図である。

【0162】

図２および図１４を参照して、車載中継装置１０１における記憶部６２は、中継処理に用いるルーティングテーブルＴｂ２を記憶する。

【0163】

ルーティングテーブルＴｂ２において、車載中継装置１０１は、送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、「ＩＰ＿Ｓｅｒｖｅｒ」および「ＩＰ＿ＥＣＵ Ａ」をそれぞれ含むフレームを受信した場合、当該フレームに対応するポート番号として「＃１」を特定する。車載中継装置１０１は、送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、「ＩＰ＿Ｓｅｒｖｅｒ」および「ＩＰ＿ＥＣＵ Ｂ」をそれぞれ含むフレームを受信した場合、当該フレームに対応するポート番号として「＃２」を特定する。車載中継装置１０１は、送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、「ＩＰ＿ＥＣＵ Ａ」および「ＩＰ＿Ｓｅｒｖｅｒ」をそれぞれ含むフレームを受信した場合、当該フレームに対応するポート番号として「＃３」を特定する。車載中継装置１０１は、送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、「ＩＰ＿ＥＣＵ Ｂ」および「ＩＰ＿Ｓｅｒｖｅｒ」をそれぞれ含むフレームを受信した場合、当該フレームに対応するポート番号として「＃３」を特定する。

【0164】

図５は、本開示の第２の実施の形態に係る車載システムの機能ブロックも示している。図５を参照して、本開示の第２の実施の形態では、第１の機能部１１Ａは車載ＥＣＵ２０２Ａに相当し、第２の機能部１１Ｂは車載ＥＣＵ２０２Ｂに相当する。

【0165】

車載ＥＣＵ２０２Ａおよび車載ＥＣＵ２０２Ｂは、セキュリティに関して異なる構成を有する。言い換えれば、車載ＥＣＵ２０２Ａおよび車載ＥＣＵ２０２Ｂは、セキュリティリスクに関する関係性が小さい。より詳細には、たとえば、セキュリティに関して異なる構成として、車載ＥＣＵ２０２Ａが用いるソフトウェアＳＷ２１と車載ＥＣＵ２０２Ｂが用いるソフトウェアＳＷ２２とが異なる。すなわち、車載ＥＣＵ２０２Ａに組み込まれたソフトウェアＳＷ２１と車載ＥＣＵ２０２Ｂに組み込まれたソフトウェアとが異なる。

【0166】

図１５は、本開示の第２の実施の形態に係る第１の機能部が用いる第１のソフトウェアの構成を示す図である。図１６は、本開示の第２の実施の形態に係る第２の機能部が用いる第２のソフトウェアの構成を示す図である。

【0167】

図１５および図１６を参照して、車載ＥＣＵ２０２Ａおよび車載ＥＣＵ２０２Ｂには、たとえば、互いに異なるＯＳが搭載されている。

【0168】

より詳細には、たとえば、ソフトウェアＳＷ２１は、ＬＩＮＵＸ＿ＯＳ２１を含む。なお、ソフトウェアＳＷ２１は、ＬＩＮＵＸ＿ＯＳ２１以外の他の汎用ＯＳを含むものであってもよい。

【0169】

たとえば、ソフトウェアＳＷ２２は、ＬＩＮＵＸ＿ＯＳ２１とは異なるＯＳを含む。具体的には、たとえば、ソフトウェアＳＷ２２は、ＲＴＯＳ３１を含む。なお、ソフトウェアＳＷ２２は、ソフトウェアＳＷ２１に含まれるＯＳと異なるＯＳであれば、ＲＴＯＳ３１以外の他のＯＳを含むものであってもよい。

【0170】

また、車載ＥＣＵ２０２Ａおよび車載ＥＣＵ２０２Ｂには、たとえば、互いに異なるアプリケーションが搭載されている。

【0171】

より詳細には、たとえば、ソフトウェアＳＷ２１は、認証用アプリケーション２２を含み、ソフトウェアＳＷ２２は、認証用アプリケーション２２とは異なる認証用アプリケーション３２を含む。

【0172】

たとえば、ソフトウェアＳＷ２１に含まれる認証用アプリケーション２２によって提供される機能は、ＴＬＳの規格に従ってセキュア通信を行うＴＬＳ認証機能を含む。

【0173】

具体的には、たとえば、車載ＥＣＵ２０２Ａは、起動すると、ＴＬＳに従う手順で、認証を要求する旨、および自己のＩＰアドレスを示す認証要求情報Ｒ３１を車載中継装置１０１およびＴＣＵ２０２Ｃ経由でサーバ１８０へ送信する。

【0174】

サーバ１８０は、たとえば、車載ＥＣＵ２０２Ａから車載中継装置１０１およびＴＣＵ２０２Ｃ経由で認証要求情報Ｒ３１を受信すると、ＴＬＳに従う手順で、車載ＥＣＵ２０２Ａの認証処理を行う。

【0175】

サーバ１８０は、車載ＥＣＵ２０２Ａの認証処理において車載ＥＣＵ２０２Ａの認証に成功すると、認証成功を示す認証成功情報Ｒ３２を含み、かつ送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、サーバ１８０のＩＰアドレスおよび車載ＥＣＵ２０２ＡのＩＰアドレスをそれぞれ含むＩＰパケットを作成する。そして、サーバ１８０は、作成したＩＰパケットをＴＣＵ２０２Ｃおよび車載中継装置１０１経由で車載ＥＣＵ２０２Ａへ送信する。

【0176】

車載ＥＣＵ２０２Ａは、認証成功情報Ｒ３２を含むＩＰパケットをＴＣＵ２０２Ｃおよび車載中継装置１０１経由でサーバ１８０から受信すると、サーバ１８０との通信を開始する。

【0177】

一方、サーバ１８０は、車載ＥＣＵ２０２Ａの認証に失敗すると、認証失敗を示す認証失敗情報Ｒ３３を含み、かつ送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、サーバ１８０のＩＰアドレスおよび車載ＥＣＵ２０２ＡのＩＰアドレスをそれぞれ含むＩＰパケットを作成する。そして、サーバ１８０は、作成したＩＰパケットをＴＣＵ２０２Ｃおよび車載中継装置１０１経由で車載ＥＣＵ２０２Ａへ送信する。

【0178】

車載ＥＣＵ２０２Ａは、認証失敗情報Ｒ３３を含むＩＰパケットをＴＣＵ２０２Ｃおよび車載中継装置１０１経由でサーバ１８０から受信すると、サーバ１８０との通信が不可であると判断する。

【0179】

たとえば、ソフトウェアＳＷ２２に含まれる認証用アプリケーション３２によって提供される機能は、ＩＰｓｅｃの規格に従ってセキュア通信を行うＩＰｓｅｃ認証機能を含む。

【0180】

より詳細には、たとえば、車載ＥＣＵ２０２Ｂは、起動すると、ＩＰｓｅｃに従う手順で、認証を要求する旨、および自己のＩＰアドレスを示す認証要求情報Ｒ４１を車載中継装置１０１およびＴＣＵ２０２Ｃ経由でサーバ１８０へ送信する。

【0181】

サーバ１８０は、たとえば、車載ＥＣＵ２０２ＢからＴＣＵ２０２Ｃ経由で認証要求情報Ｒ４１を受信すると、ＩＰｓｅｃに従う手順で、車載ＥＣＵ２０２Ｂの認証処理を行う。

【0182】

サーバ１８０は、車載ＥＣＵ２０２Ｂの認証処理において車載ＥＣＵ２０２Ｂの認証に成功すると、認証成功を示す認証成功情報Ｒ４２を含み、かつ送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、サーバ１８０のＩＰアドレスおよび車載ＥＣＵ２０２ＢのＩＰアドレスをそれぞれ含むＩＰパケットを作成する。そして、サーバ１８０は、作成したＩＰパケットをＴＣＵ２０２Ｃおよび車載中継装置１０１経由で車載ＥＣＵ２０２Ｂへ送信する。

【0183】

車載ＥＣＵ２０２Ｂは、認証成功情報Ｒ４２を含むＩＰパケットをＴＣＵ２０２Ｃおよび車載中継装置１０１経由でサーバ１８０から受信することにより、サーバ１８０との通信を開始する。

【0184】

一方、サーバ１８０は、車載ＥＣＵ２０２Ｂの認証に失敗すると、認証失敗を示す旨、および宛先ＩＰアドレスとして車載ＥＣＵ２０２ＢのＩＰアドレスを示す認証失敗情報Ｒ４３を生成し、生成した認証失敗情報Ｒ４３をＴＣＵ２０２Ｃおよび車載中継装置１０１経由で車載ＥＣＵ２０２Ｂへ送信する。

【0185】

車載ＥＣＵ２０２Ｂは、認証失敗情報Ｒ４３を含むＩＰパケットをＴＣＵ２０２Ｃおよび車載中継装置１０１経由でサーバ１８０から受信すると、サーバ１８０との通信が不可であると判断する。

【0186】

［代替処理］
再び図５を参照して、制御部１２は、車載ＥＣＵ２０２Ａの状態および車載ＥＣＵ２０２Ｂの状態が正常状態である場合であって、サーバ１８０から車載ＥＣＵ２０２Ａのセキュリティリスクに関するリスク通知を受信した場合、車載ＥＣＵ２０２Ａへのサーバ１８０からのアクセスを停止させ、車載ＥＣＵ２０２Ｂにサーバ１８０からの受け付けを代替させる代替処理を行う。本開示の第１の実施の形態では、制御部１２は、図２に示す車載中継装置１０１および車載ＥＣＵ２０２Ｂにより実現される。

【0187】

より詳細には、たとえば、サーバ１８０は、車載ＥＣＵ２０２ＡにおけるＬＩＮＵＸ＿ＯＳ２１および認証用アプリケーション２２の少なくともいずれか一方にセキュリティリスクが発見された場合、車載ＥＣＵ２０２Ａについてセキュリティリスクを発見した旨を示すリスク通知を含み、かつ送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、自己のＩＰアドレスおよび車載ＥＣＵ２０２ＢのＩＰアドレスをそれぞれ含むＩＰパケットをＴＣＵ２０２Ｃおよび車載中継装置１０１経由で車載ＥＣＵ２０２Ｂへ送信する。

【0188】

車載ＥＣＵ２０２Ｂは、サーバ１８０からのリスク通知をＴＣＵ２０２Ｃおよび車載中継装置１０１経由で受信すると、ルーティングテーブルＴｂ２の更新を要求する旨を示す更新通知を車載中継装置１０１へ送信する通知処理を行う。

【0189】

具体的には、たとえば、車載ＥＣＵ２０２Ｂにおける図示しない記憶部は、車載ＥＣＵ２０２ＡのＩＰアドレスを示すアドレステーブルＴｂ２０を記憶する。

【0190】

車載ＥＣＵ２０２Ｂは、たとえば、他の装置との間で情報のやり取りを行っている状態において、サーバ１８０からのリスク通知をＴＣＵ２０２Ｃおよび車載中継装置１０１経由で受信すると、自己の記憶部におけるアドレステーブルＴｂ２０を参照することにより、車載ＥＣＵ２０２ＡのＩＰアドレスを確認する。

【0191】

車載ＥＣＵ２０２Ｂは、車載ＥＣＵ２０２ＡのＩＰアドレスを確認すると、通知処理として、ルーティングテーブルＴｂ２の更新を要求する旨を示す更新通知と、リスク通知の示すサーバ１８０のＩＰアドレスと、確認した車載ＥＣＵ２０２ＡのＩＰアドレスとを含むテーブル更新フレームを作成して車載中継装置１０１へ送信する。なお、車載ＥＣＵ２０２Ｂは、他の車載ＥＣＵ２０２との間で情報のやり取りを行っていない待機状態において、テーブル更新フレームを車載中継装置１０１へ送信してもよい。

【0192】

車載中継装置１０１は、車載ＥＣＵ２０２Ｂからテーブル更新フレームを受信すると、ルーティングテーブルＴｂ２を更新するテーブル更新処理を行う。

【0193】

より詳細には、車載中継装置１０１は、テーブル更新処理として、ルーティングテーブルＴｂ２において、送信元ＩＰアドレスがサーバ１８０のＩＰアドレスであり、宛先ＩＰアドレスが車載ＥＣＵ２０２ＡのＩＰアドレスであるフレームの中継先を変更する処理を行う。具体的には、たとえば、車載中継装置１０１は、当該フレームの中継先を車載ＥＣＵ２０２Ａから車載ＥＣＵ２０２Ｂへ変更する。すなわち、車載中継装置１０１は、サーバ１８０から車載ＥＣＵ２０２Ａへのアクセスの受け付けを車載ＥＣＵ２０２Ｂに代替させる。

【0194】

図１７は、本開示の第２の実施の形態に係る車載中継装置によるテーブル更新処理後のルーティングテーブルの一例を示す図である。

【0195】

図２および図１７を参照して、具体的には、たとえば、車載中継装置１０１は、車載ＥＣＵ２０２Ｂからテーブル更新フレームを受信すると、記憶部６２におけるルーティングテーブルＴｂ２を読み出す。そして、車載中継装置１０１は、ルーティングテーブルＴｂ２において、テーブル更新フレームに含まれるサーバ１８０のＩＰアドレスが送信元ＩＰアドレスであり、かつ車載ＥＣＵ２０２ＡのＩＰアドレスが宛先ＩＰアドレスであるフレームに対応するポート番号を、「＃１」から「＃２」に変更する。

【0196】

また、たとえば、車載中継装置１０１は、車載ＥＣＵ２０２Ｂからテーブル更新フレームを受信すると、中継先変更フレームに含まれる送信元ＩＰアドレスと、当該中継先変更フレームに含まれる宛先ＩＰアドレスとの対応関係を示す管理リストＬ２を作成するリスト作成処理を行う。

【0197】

図１８は、本開示の第２の実施の形態に係る車載中継装置によるリスト作成処理によって作成される管理リストの一例を示す図である。

【0198】

図１８を参照して、車載中継装置１０１は、車載ＥＣＵ２０２Ｂからテーブル更新フレームを受信すると、送信元ＩＰアドレスが当該テーブル更新フレームに含まれるサーバ１８０のＩＰアドレス「ＩＰ＿Ｓｅｒｖｅｒ」であり、宛先ＩＰアドレスが当該テーブル更新フレームに含まれる車載ＥＣＵ２０２ＡのＩＰアドレス「ＩＰ＿ＥＣＵ Ａ」である中継停止フレームを示す管理リストＬ２を作成する。そして、車載中継装置１０１は、作成した管理リストＬ２を記憶部６２に保存する。

【0199】

［通信継続処理］
再び図２を参照して、たとえば、車載中継装置１０１は、サーバ１８０からリスク通知を受信した後において、車載ＥＣＵ２０２Ａによる車両１内の通信を継続させる通信継続処理をさらに行う。

【0200】

より詳細には、たとえば、車載中継装置１０１は、通信継続処理として、車載ＥＣＵ２０２Ａと車載ＥＣＵ２０２Ｂとの通信を継続させる。

【0201】

具体的には、たとえば、車載中継装置１０１は、サーバ１８０からリスク通知を受信し、テーブル更新処理およびリスト作成処理を行った後において、ある車載ＥＣＵ２０２からフレームを受信すると、記憶部６２におけるルーティングテーブルＴｂ２および管理リストＬ２を読み出す。そして、車載中継装置１０１は、管理リストＬ２を参照することにより、受信したフレームが中継停止フレームであるか否かを確認する。

【0202】

車載中継装置１０１は、ある車載ＥＣＵ２０２から受信したフレームが中継停止フレームである場合、当該フレームのペイロードに、車載ＥＣＵ２０２Ａを宛先とするフレームである旨を示す判別情報を格納する。そして、車載中継装置１０１は、ルーティングテーブルＴｂ２を参照することにより、当該判別情報を格納したフレームを車載ＥＣＵ２０２Ｂへ送信する。

【0203】

車載ＥＣＵ２０２Ｂは、テーブル更新フレームを車載中継装置１０１へ送信した後において、車載中継装置１０１からフレームを受けると、当該フレームのペイロードに判別情報が格納されているか否かを確認する。

【0204】

車載ＥＣＵ２０２Ｂは、車載中継装置１０１からのフレームのペイロードに判別情報が格納されている場合、当該フレームを車載中継装置１０１経由で車載ＥＣＵ２０２Ａへ送信する転送処理を行う。

【0205】

具体的には、たとえば、車載ＥＣＵ２０２Ｂは、車載中継装置１０１から受信した、判別情報が格納されたフレームの宛先ＩＰアドレスを、自己のＩＰアドレスから車載ＥＣＵ２０２ＡのＩＰアドレスに変更する。そして、車載ＥＣＵ２０２Ｂは、宛先ＩＰアドレスを変更した当該フレームを車載中継装置１０１へ送信する。車載中継装置１０１は、車載ＥＣＵ２０２Ｂから受信した当該フレームを車載ＥＣＵ２０２Ａへ送信する。

【0206】

車載ＥＣＵ２０２Ａは、車載ＥＣＵ２０２Ｂから車載中継装置１０１経由でフレームを受信すると、当該フレームに含まれる各種情報に基づいて、所定の処理を行う。

【0207】

一方、車載ＥＣＵ２０２Ｂは、車載中継装置１０１からのフレームのペイロードに判別情報が格納されていない場合、転送処理は不要であると判断する。そして、車載ＥＣＵ２０２Ｂは、当該フレームに含まれる各種情報に基づいて、所定の処理を行う。

【0208】

また、たとえば、車載中継装置１０１は、通信継続処理として、車載ＥＣＵ２０２Ａと車載ＥＣＵ２０２Ｃとの通信を継続させる。

【0209】

より詳細には、たとえば、車載中継装置１０１は、サーバ１８０からリスク通知を受信した後において、ある車載ＥＣＵ２０２から受信したフレームが中継停止フレームではない場合、ルーティングテーブルＴｂ２を参照することにより、当該フレームを宛先の車載ＥＣＵ２０２へ送信する。

【0210】

具体的には、たとえば、車載中継装置１０１は、サーバ１８０からリスク通知を受信した後において、車載ＥＣＵ２０２Ｃを宛先とするフレームを車載ＥＣＵ２０２Ａから受信すると、当該フレームを宛先の車載ＥＣＵ２０２Ｃへ送信する。

【0211】

また、たとえば、車載中継装置１０１は、サーバ１８０からリスク通知を受信した後において、車載ＥＣＵ２０２Ａを宛先とするフレームを車載ＥＣＵ２０２Ｃから受信すると、当該フレームを宛先の車載ＥＣＵ２０２Ａへ送信する。

【0212】

［車載ＥＣＵ２０２Ａからサーバ１８０への情報の送信］
また、たとえば、車載中継装置１０１は、サーバ１８０からのリスク通知を受信した後において、車載ＥＣＵ２０２Ａからサーバ１８０への情報の送信を継続させる。

【0213】

より詳細には、たとえば、車載中継装置１０１は、サーバ１８０からリスク通知を受信した後において、サーバ１８０を宛先とするフレームを車載ＥＣＵ２０２Ａから受信すると、当該フレームをＴＣＵ２０２Ｃ経由で宛先のサーバ１８０へ送信する。

【0214】

なお、車載中継装置１０１は、サーバ１８０からのリスク通知を受信した後において、車載ＥＣＵ２０２Ａからサーバ１８０への情報の送信を停止してもよい。

【0215】

図１９は、本開示の第２の実施の形態に係る通信システムにおける車載中継装置、車載ＥＣＵおよびサーバの処理のシーケンスの一例を示す図である。

【0216】

図１９を参照して、まず、車載ＥＣＵ２０２Ａは、認証を要求する旨、および自己のＩＰアドレスを示す認証要求情報Ｒ３１を車載中継装置１０１およびＴＣＵ２０２Ｃ経由でサーバ１８０へ送信する（ステップＳ５０１）。

【0217】

次に、サーバ１８０は、車載ＥＣＵ２０２Ａから車載中継装置１０１およびＴＣＵ２０２Ｃ経由で認証要求情報Ｒ３１を受信すると、車載ＥＣＵ２０２Ａの認証処理を行う（ステップＳ５０２）。

【0218】

次に、サーバ１８０は、車載ＥＣＵ２０２Ａの認証に成功すると、認証成功を示す旨、および宛先ＩＰアドレスとして車載ＥＣＵ２０２ＡのＩＰアドレスを示す認証成功情報Ｒ３２をＴＣＵ２０２Ｃおよび車載中継装置１０１経由で車載ＥＣＵ２０２Ａへ送信する（ステップＳ５０３）。

【0219】

次に、車載ＥＣＵ２０２Ａは、サーバ１８０からＴＣＵ２０２Ｃおよび車載中継装置１０１経由で認証成功情報Ｒ３２を受信すると、サーバ１８０との通信を開始する（ステップＳ５０４）。

【0220】

次に、車載ＥＣＵ２０２Ｂは、認証を要求する旨、および自己のＩＰアドレスを示す認証要求情報Ｒ４１を車載中継装置１０１およびＴＣＵ２０２Ｃ経由でサーバ１８０へ送信する（ステップＳ５０５）。

【0221】

次に、サーバ１８０は、車載中継装置１０１からＴＣＵ２０２Ｃ経由で認証要求情報Ｒ４１を受信すると、車載ＥＣＵ２０２Ｂの認証処理を行う（ステップＳ５０６）。

【0222】

次に、サーバ１８０は、車載ＥＣＵ２０２Ｂの認証に成功すると、認証成功を示す旨、および宛先ＩＰアドレスとして車載ＥＣＵ２０２ＢのＩＰアドレスを示す認証成功情報Ｒ４２をＴＣＵ２０２Ｃ経由で車載ＥＣＵ２０２Ｂへ送信する（ステップＳ５０７）。

【0223】

次に、車載ＥＣＵ２０２Ｂは、サーバ１８０からＴＣＵ２０２Ｃおよび車載中継装置１０１経由で認証成功情報Ｒ４２を受信すると、サーバ１８０との通信を開始する（ステップＳ５０８）。

【0224】

次に、サーバ１８０は、車載ＥＣＵ２０２Ａのセキュリティリスクに関するリスク通知をＴＣＵ２０２Ｃおよび車載中継装置１０１経由で車載ＥＣＵ２０２Ｂへ送信する。たとえば、上述したように、サーバ１８０は、当該リスク通知を含み、かつ送信元ＩＰアドレスおよび宛先ＩＰアドレスとして、自己のＩＰアドレスおよび車載ＥＣＵ２０２ＢのＩＰアドレスをそれぞれ含むＩＰパケットをＴＣＵ２０２Ｃおよび車載中継装置１０１経由で車載ＥＣＵ２０２Ｂへ送信する（ステップＳ５０９）。

【0225】

次に、車載ＥＣＵ２０２Ｂは、ルーティングテーブルＴｂ２の更新を要求する旨を示す更新通知と、リスク通知の示すサーバ１８０のＩＰアドレスと、車載ＥＣＵ２０２ＡのＩＰアドレスとを含むテーブル更新フレームを車載中継装置１０１へ送信する（ステップＳ５１０）。

【0226】

次に、車載中継装置１０１は、ルーティングテーブルＴｂ２を更新するテーブル更新理を行う。たとえば、上述したように、車載中継装置１０１は、ルーティングテーブルＴｂ２において、車載ＥＣＵ２０２Ｂから受信したテーブル更新フレームに含まれるサーバ１８０のＩＰアドレスが送信元ＩＰアドレスであり、かつ当該テーブル更新フレームに含まれる車載ＥＣＵ２０２ＡのＩＰアドレスが宛先ＩＰアドレスであるフレームに対応するポート番号を、車載ＥＣＵ２０２Ｂに対応するポート番号に変更する（ステップＳ５１１）。

【0227】

次に、車載中継装置１０１は、中継先変更フレームを示す管理リストＬ２を作成するリスト作成処理を行う。たとえば、上述したように、車載中継装置１０１は、送信元ＩＰアドレスがサーバ１８０のＩＰアドレスであり、かつ宛先ＩＰアドレスが車載ＥＣＵ２０２ＡのＩＰアドレスである中継停止フレームを示す管理リストＬ２を作成する（ステップＳ５１２）。なお、ステップＳ５１１およびステップＳ５１２は、順序を入れ替えて実行してもよいし、並列して実行してもよい。

【0228】

次に、サーバ１８０は、車載ＥＣＵ２０２Ａを宛先とするフレームをＴＣＵ２０２Ｃ経由で車載中継装置１０１へ送信する（ステップＳ５１３）。

【0229】

次に、車載中継装置１０１は、記憶部６２における管理リストＬ２を参照することにより、サーバ１８０から受信したフレームに含まれる宛先ＩＰアドレスが管理リストＬ２に登録されていることを確認する（ステップＳ５１４）。

【0230】

次に、車載中継装置１０１は、サーバ１８０から受信したフレームのペイロードに、車載ＥＣＵ２０２Ａを宛先とするフレームである旨を示す判別情報を格納して車載ＥＣＵ２０２Ｂへ送信する（ステップＳ５１５）。

【0231】

次に、車載ＥＣＵ２０２Ｂは、車載中継装置１０１から受信したフレームに判別情報が格納されていることを確認すると、当該フレームの宛先ＩＰアドレスを車載ＥＣＵ２０２ＡのＩＰアドレスに変更して車載中継装置１０１へ送信する（ステップＳ５１６）。

【0232】

次に、車載中継装置１０１は、車載ＥＣＵ２０２Ｂから受信したフレームを車載ＥＣＵ２０２Ａへ送信する（ステップＳ５１７）。

【0233】

次に、車載ＥＣＵ２０２Ａは、車載ＥＣＵ２０２Ｃを宛先とするフレームを中継部５２へ出力する（ステップＳ５１８）。

【0234】

次に、車載中継装置１０１は、車載ＥＣＵ２０２Ａから受信したフレームを宛先の車載ＥＣＵ２０２Ｃへ送信する（ステップＳ５１９）。

【0235】

なお、本開示の実施の形態に係る車載システム３０１，３０２において、制御部１２は、サーバ１８０からリスク通知を受信した後において、第１の機能部１１Ａによる車両１内の通信を継続させる通信継続処理を行う構成であるとしたが、これに限定するものではない。制御部１２は、サーバ１８０からリスク通知を受信した後において、第１の機能部１１Ａによる車両１内の通信を停止する構成であってもよい。

【0236】

また、本開示の実施の形態に係る車載システム３０１，３０２は、セキュリティに関して異なる構成として、第１の機能部１１Ａが用いるソフトウェアと第２の機能部１１Ｂが用いるソフトウェアとが異なるとしたが、これに限定するものではない。車載システム３０１，３０２は、セキュリティに関して異なる構成として、第１の機能部１１Ａにおけるハードウェアと第２の機能部１１Ｂにおけるハードウェアとが異なってもよい。

【0237】

また、本開示の実施の形態に係る車載システム３０１，３０２において、制御部１２は、第１の機能部１１Ａについてのリスク通知をサーバ１８０から受信した後において、第１の機能部１１Ａからサーバ１８０への情報の送信を継続させる構成であるとしたが、これに限定するものではない。制御部１２は、サーバ１８０からの当該リスク通知を受信した後において、第１の機能部１１Ａからサーバ１８０への情報の送信を停止する構成であってもよい。

【0238】

上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

【0239】

上述の実施形態の各処理（各機能）は、１または複数のプロセッサを含む処理回路により実現される。上記処理回路は、上記１または複数のプロセッサに加え、１または複数のメモリ、各種アナログ回路、各種デジタル回路が組み合わされた集積回路等で構成されてもよい。上記１または複数のメモリは、上記各処理を上記１または複数のプロセッサに実行させるプログラム（命令）を格納する。上記１または複数のプロセッサは、上記１または複数のメモリから読み出した上記プログラムに従い上記各処理を実行してもよいし、予め上記各処理を実行するように設計された論理回路に従って上記各処理を実行してもよい。上記プロセッサは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）、およびＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）等、コンピュータの制御に適合する種々のプロセッサであってよい。なお、物理的に分離した上記複数のプロセッサが互いに協働して上記各処理を実行してもよい。たとえば、物理的に分離した複数のコンピュータのそれぞれに搭載された上記プロセッサがＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、およびインターネット等のネットワークを介して互いに協働して上記各処理を実行してもよい。上記プログラムは、外部のサーバ装置等から上記ネットワークを介して上記メモリにインストールされても構わないし、ＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＤＶＤ－ＲＯＭ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、および半導体メモリ等の記録媒体に格納された状態で流通し、上記記録媒体から上記メモリにインストールされても構わない。

【符号の説明】

【0240】

１ 車両
１０ イーサネットケーブル
１１Ａ 第１の機能部
１１Ｂ 第２の機能部
１２ 制御部
２１ ＬＩＮＵＸ＿ＯＳ
２２，３２ 認証用アプリケーション
３１ ＲＴＯＳ
５１ 通信ポート
５２ 中継部
５３ 処理部
６１，６１Ａ，６１Ｂ コア
６２ 記憶部
１０１ 車載中継装置
１６１ 無線基地局装置
１７０ 外部ネットワーク
１８０ サーバ
２０２，２０２Ａ，２０２Ｂ，２０２Ｃ 車載ＥＣＵ
３０１，３０２ 車載システム
４０１ 車載ネットワーク
５０１ 通信システム
ＳＷ１１，ＳＷ１２，ＳＷ２１，ＳＷ２２ ソフトウェア

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】