特開 2024-154731 車載装置、プログラム及び、情報処理方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024154731

(43)【公開日】2024-10-31

(54)【発明の名称】車載装置、プログラム及び、情報処理方法

(51)【国際特許分類】

   H04L 12/46 20060101AFI20241024BHJP

【ＦＩ】

H04L12/46 100C

【審査請求】未請求

【請求項の数】10

【出願形態】ＯＬ

(21)【出願番号】P 2023068727

(22)【出願日】2023-04-19

(71)【出願人】

【識別番号】395011665

【氏名又は名称】株式会社オートネットワーク技術研究所

(71)【出願人】

【識別番号】000183406

【氏名又は名称】住友電装株式会社

(71)【出願人】

【識別番号】000002130

【氏名又は名称】住友電気工業株式会社

(74)【代理人】

【識別番号】100114557

【弁理士】

【氏名又は名称】河野 英仁

(74)【代理人】

【識別番号】100078868

【弁理士】

【氏名又は名称】河野 登夫

(72)【発明者】

【氏名】小林 拓也

【テーマコード（参考）】

5K033

【Ｆターム（参考）】

5K033AA01

5K033BA06

5K033CB06

5K033CB09

5K033CB11

5K033DB19

5K033DB21

5K033EA02

(57)【要約】      （修正有）

【課題】車外装置から送信された通信データに対し、効率的に処理する車載装置、プログラム及び情報処理方法を提供する。
【解決手段】車載システムにおいて、車載装置は、車両の外部に位置する車外装置と通信するための車外通信コントローラと、車両の内部に位置する車載ＥＣＵと通信するための車内通信コントローラと、通信に関する処理を行う処理部とを備える。処理部は、車外通信コントローラに関する処理を担う車外通信処理部と、車内通信コントローラに関する処理を担う車内通信処理部とに論理分離され、車外装置からの通信データは、車外通信処理部にて処理された後、車内通信処理部にて処理される。
【選択図】図１

【特許請求の範囲】

【請求項1】

車両の外部に位置する車外装置と通信するための車外通信コントローラと、
前記車両の内部に位置する車載ＥＣＵと通信するための車内通信コントローラと、
通信に関する処理を行う処理部とを備える車載装置であって、
前記処理部は、前記車外通信コントローラに関する処理を担う車外通信処理部と、前記車内通信コントローラに関する処理を担う車内通信処理部とに論理分離され、
前記車外装置からの通信データは、前記車外通信処理部にて処理された後、前記車内通信処理部にて処理される
車載装置。

【請求項2】

前記車外通信コントローラは、追加可能に構成されている
請求項１に記載の車載装置。

【請求項3】

前記車内通信コントローラは、複数のチャネルを含み、
前記車内通信コントローラが含むチャネルの個数は、前記車外通信コントローラが含むチャネルの個数よりも多い
請求項２に記載の車載装置。

【請求項4】

前記車外通信処理部は、
前記車外通信コントローラを介して前記車外装置から受信した通信データに対する正当性に関する第１判定を行い、
前記第１判定の結果が肯定的な場合、分離間通信により通信データを前記車内通信処理部に出力する
請求項１に記載の車載装置。

【請求項5】

前記車内通信処理部は、
前記車外通信処理部からの通信データに対する正当性に関する第２判定を行い、
前記第２判定の結果が肯定的な場合、前記車内通信コントローラを介して、通信データを前記車載ＥＣＵに出力する
請求項４に記載の車載装置。

【請求項6】

前記処理部は、複数の前記車内通信処理部に論理分離され、
論理分離された前記車外通信処理部及び複数の前記車内通信処理部それぞれは、直列に接続されている
請求項１に記載の車載装置。

【請求項7】

前記処理部によって起動される仮想化オペレーティングシステムが記憶されている記憶部を備え、
前記処理部は、前記仮想化オペレーティングシステムを起動することにより生成される複数の仮想環境によって、前記車外通信処理部と前記車内通信処理部とに論理分離される
請求項１に記載の車載装置。

【請求項8】

前記車内通信処理部に対応する仮想環境に割り当てられるハードウェアリソースは、前記車外通信処理部に対応する仮想環境に割り当てられるハードウェアリソースよりも多い
請求項７に記載の車載装置。

【請求項9】

車両の外部に位置する車外装置と通信するための車外通信コントローラと、
前記車両の内部に位置する車載ＥＣＵと通信するための車内通信コントローラと、
通信に関する処理を行う処理部とを備えるコンピュータに、
前記処理部を、前記車外通信コントローラに関する処理を担う車外通信処理部と、前記車内通信コントローラに関する処理を担う車内通信処理部とに論理分離し、
前記車外装置からの通信データを、前記車外通信処理部にて処理した後、前記車内通信処理部にて処理する
処理を実行させるプログラム。

【請求項10】

車両の外部に位置する車外装置と通信するための車外通信コントローラと、
前記車両の内部に位置する車載ＥＣＵと通信するための車内通信コントローラと、
通信に関する処理を行う処理部とを備えるコンピュータに、
前記処理部を、前記車外通信コントローラに関する処理を担う車外通信処理部と、前記車内通信コントローラに関する処理を担う車内通信処理部とに論理分離し、
前記車外装置からの通信データを、前記車外通信処理部にて処理した後、前記車内通信処理部にて処理する
処理を実行させるプログラムの情報処理方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、車載装置、プログラム及び、情報処理方法に関する。

【背景技術】

【0002】

車両には、エンジン制御等の駆動制御系、エアコン制御等のボディ系等の車載機器を制御するためのＥＣＵ（Electronic Control Unit）が搭載されている。ＥＣＵは、ＭＰＵ等の演算処理部、ＲＡＭ等の書き換え可能な不揮発性の記憶部、及び他のＥＣＵと通信するための通信部を含み、記憶部に記憶した制御プログラムを読み込んで実行することにより、車載機器の制御を行う。更に車両には、無線通信の機能を備えた通信機が実装されており、ＥＣＵは、通信機を介して、車外のネットワークに接続されているプログラム提供装置と通信する（例えば特許文献１参照）。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０１７－９７８５１号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、特許文献１の通信機（中継機）は、例えば、車外のネットワークに接続されているプログラム提供装置等、車両の外部に位置する車外装置と通信するにあたり、当該車外装置から送信された通信データに対し、効率的に処理する点については考慮されていない。

【0005】

本開示の目的は、車外装置から送信された通信データに対し、効率的に処理することができる車載装置等を提供する。

【課題を解決するための手段】

【0006】

本開示の一態様に係る車載装置は、車両の外部に位置する車外装置と通信するための車外通信コントローラと、前記車両の内部に位置する車載ＥＣＵと通信するための車内通信コントローラと、通信に関する処理を行う処理部とを備える車載装置であって、前記処理部は、前記車外通信コントローラに関する処理を担う車外通信処理部と、前記車内通信コントローラに関する処理を担う車内通信処理部とに論理分離され、前記車外装置からの通信データは、前記車外通信処理部にて処理された後、前記車内通信処理部にて処理される。

【発明の効果】

【0007】

本開示の一態様によれば、車外装置から送信された通信データに対し、効率的に処理する車載装置等を提供することができる。

【図面の簡単な説明】

【0008】

【図1】実施形態１に係る車載装置を含む車載システムの構成を例示する模式図である。

【図2】車載装置の物理構成を例示するブロック図である。

【図3】車載装置の論理構成を例示するブロック図である。

【図4】車載装置の処理部（車外通信処理部及び車内通信処理部）の処理を例示するフローチャートである。

【図5】実施形態２（複数の車内通信処理部）に係る車載装置の論理構成を例示するブロック図である。

【図6】実施形態３（複数の車外通信コントローラ）に係る車載装置の論理構成を例示するブロック図である。

【発明を実施するための形態】

【0009】

［本開示の実施形態の説明］
最初に本開示の実施態様を列挙して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

【0010】

（１）本開示の一態様に係る車載装置は、車両の外部に位置する車外装置と通信するための車外通信コントローラと、前記車両の内部に位置する車載ＥＣＵと通信するための車内通信コントローラと、通信に関する処理を行う処理部とを備える車載装置であって、前記処理部は、前記車外通信コントローラに関する処理を担う車外通信処理部と、前記車内通信コントローラに関する処理を担う車内通信処理部とに論理分離され、前記車外装置からの通信データは、前記車外通信処理部にて処理された後、前記車内通信処理部にて処理される。

【0011】

本態様にあたっては、車載装置は、車外通信コントローラ、車内通信コントローラ、及びこれら通信コントローラに関する制御を行い、通信に関する処理を行う処理部を備える。処理部は、論理分離可能に構成されており、例えば、車外通信コントローラに関する処理を担う車外通信処理部と、車内通信コントローラに関する処理を担う車内通信処理部とに論理分離されている。処理部の論理分離は、車外通信コントローラ及び車内通信コントローラに応じて行われるものであり、すなわち論理分離は通信コントローラ単位（車外通信コントローラ及び車内通信コントローラのそれぞれ）にて可能なように、車載装置は、構成されている。車外通信コントローラ及び車内通信コントローラを含む通信コントローラそれぞれは、通信バッファ等として用いるレジスタそれぞれを含んでいる。これら通信コントローラそれぞれ（車外通信コントローラ及び車内通信コントローラ）を論理的に分離するにあたり、当該通信コントローラを担う処理部を、通信コントローラの個数に併せて論理分離する。これにより、車載装置は、レジスタとの対応関係を維持しつつ、通信コントローラ毎に論理分離された処理部とによって、通信機能を有する論理的な通信処理ユニット（論理構成）を複数個、構成することができる。このように論理分離された処理部は、車外通信コントローラに関する処理を担う車外通信処理部と、車内通信コントローラに関する処理を担う車内通信処理部とを含む。車外通信コントローラを介して車外装置から受信した通信データは、車外通信処理部にて処理された後、車内通信処理部にて処理されるため、論論理分離された車外通信処理部と車内通信処理部による２層にて処理（多層処理）された通信データが、車内通信コントローラを介して、車載ＥＣＵに出力（送信）されるものとなる。すなわち、論理分離された複数の通信処理部（車外通信処理部及び車内通信処理部）により、車両の内部に位置する車載ＥＣＵに送信される（車外から車載ネットワークに流れる）通信データに対する多層防御を行うことができる。

【0012】

（２）本開示の一態様に係る車載装置は、前記車外通信コントローラは、追加可能に構成されている。

【0013】

本態様にあたっては、車載装置は、例えばＳＰＩ（Serial Peripheral Interface）等に準拠した入出力Ｉ／Ｆを備え、当該入出力Ｉ／Ｆは、車外通信コントローラが追加可能（追加装着が可能）なように構成されている。論理分離が可能な処理部が例えばマイコン等により構成される場合、車外通信コントローラは追加（後付け）通信コントローラに相当し、車内通信コントローラはマイコン内蔵通信コントローラに相当する。当該車外通信コントローラの追加装着は、例えば、生産された車両Ｃが市場に出荷された以降に行われるものであってもよい。追加された車外通信コントローラは、例えばＳＰＩにて、車外通
信処理部（処理部）と通信可能に接続される。このように追加装着された車外通信コントローラは、論理分離された車外通信処理部と接続されるものなり、当該車外通信処理部によって制御されるものとなる。処理部を論理分離することにより、車載装置は車外通信処理部を備えるものとなるため、車外通信コントローラが物理的に追加装着された場合であっても、当該車外通信コントローラを制御するための更なる処理部を物理的に追加装着することを不要とすることができ、車載装置の製品コストが増加することを抑制することができる。

【0014】

（３）本開示の一態様に係る車載装置は、前記車内通信コントローラは、複数のチャネルを含み、前記車内通信コントローラが含むチャネルの個数は、前記車外通信コントローラが含むチャネルの個数よりも多い。

【0015】

本態様にあたっては、車内通信コントローラは、複数のチャネルを含む。単一の車内通信コントローラが有する複数のチャネルそれぞれには、ＣＡＮトランシーバ又はイーサネットＰＨＹ部等、通信プロコトルの物理層に対応した通信ポートそれぞれが、接続される。当該チャネルと通信ポートとは、一体化して構成されているものであってもよい。又は、チャネルと通信ポートとは別個に構成され内部バス等により接続されているものであってもよい。車内通信処理部は、単一の車内通信コントローラに接続される複数のチャネル（通信ポート）それぞれに接続される車載ＥＣＵ間にて送受信される通信データを、中継することができる。このように複数の車内通信コントローラが含むチャネルの個数（チャネル数）は、車外通信コントローラが含むチャネルの個数よりも多い。車外通信コントローラは、比較的にチャンネル数が少ない（例えば１つのチャンネル）ものであり、例えば、１つのプロトコルに対し、１つのチャネル（１プロトコルにつき１ｃｈ）となるように構成されているものであってもよい。このようにチャネルの個数が車外通信コントローラよりも少ない車外通信コントローラを、追加可能に構成することにより、車外通信コントローラにおいて未使用のチャネルを無くすことができる。更に、チャネル数が比較的に少なくてもよい車外通信（車外装置との通信）に対応するにあたり、比較的にチャンネル数が少ない車外通信コントローラ（例えば、チャンネル数が１つの車外通信コントローラ）を適用（追加装着）することにより、論理分離の対象となる処理部等を含むマイコン等の選択の幅を広げることができる。

【0016】

（４）本開示の一態様に係る車載装置は、前記車外通信処理部は、前記車外通信コントローラを介して前記車外装置から受信した通信データに対する正当性に関する第１判定を行い、前記第１判定の結果が肯定的な場合、分離間通信により通信データを前記車内通信処理部に出力する。

【0017】

本態様にあたっては、処理部が論理分離することにより構成される車外通信処理部は、車外通信コントローラを介して車外装置から送信された通信データを受信し、当該受信した通信データに正当性に関する第１判定（第１セキュリティ判定処理）を行う。車外通信処理部は、例えば、車外通信コントローラを介して車外から受信した通信データが、成りすまし等の不正アクセス、ＤＯＳ等の攻撃データ、又は予め許可されたデータ以外のデータ（不許可のデータ）等の不正なデータであるか否かを判定する。車外通信処理部は、車外から受信した通信データが不正なデータでない（正当なデータである）と判定（肯定的判定）した場合、分離間通信により当該通信データを車内通信処理部に出力する。車内通信コントローラは、車内通信処理部と論理的に接続され、車外通信処理部と論理的に接続されていない。すなわち、車内通信コントローラと車内通信処理部とは同一の論理構成（論理的な通信処理ユニット）に含まれ（属し）、車内通信コントローラと車外通信処理部とは別個の論理構成（論理的な通信処理ユニット）に属する。従って、車内通信コントローラと論理的に接続されていない車外通信処理部により、車外装置から受信した通信データに対する第１判定（第１セキュリティ判定処理）を行うことにより、当該車外通信処理
部をファイヤーウォール等として機能させ、車内通信コントローラに接続される車載ＥＣＵに対する堅牢性を担保することができる。車外通信処理部には、第１判定の結果が否定的な場合、通信データを破棄するものであってもよい。この場合、車外通信処理部には、当該破棄等した通信データの受信時点、データ種類又は送信元アドレス等のログ情報を記憶部に記憶するものであってもよい。

【0018】

（５）本開示の一態様に係る車載装置は、前記車内通信処理部は、前記車外通信処理部からの通信データに対する正当性に関する第２判定を行い、前記第２判定の結果が肯定的な場合、前記車内通信コントローラを介して、通信データを前記車載ＥＣＵに出力する。

【0019】

本態様にあたっては、車外通信処理部からの通信データを受信した車内通信処理部は、当該通信データに対する正当性に関する第２判定（第２セキュリティ判定処理）を行う。車内通信処理部が、車外通信処理部から受信した通信データは、当該車外通信処理部による正当性に関する第１判定（第１セキュリティ判定処理）が行われている。従って、車外から受信した通信データは、車内通信処理部による第１判定に加え、更に車外通信処理部による第２判定が行われるものとなり、すなわち複数回による正当性に関する判定が行われるものとる。車外通信処理部による第２判定と、車内通信処理部による第１判定とは、異なる種類のセキュリティ判定が行われるものであってもよい。これにより、車外から受信した通信データに対し、異なる種類のセキュリティ判定を車外通信処理部と車内通信処理部とによる分散処理にて実行することができる。又は、車外通信処理部による第２判定と、車内通信処理部による第１判定とは、同じ種類のセキュリティ判定が行われるものであってもよい。車外通信処理部は車外通信コントローラを介して車外装置に接続されるものであり、車外からの攻撃により、車外通信処理部のセキュリティ機能が破壊、突破又は無効化されていることも想定される。このような場合であっても、車外装置からの通信データが流れる方向において、車外通信処理部よりも下流側に位置する車内通信処理部は、セキュリティ機能を正常に維持することでき、車外通信処理部を不正に突破（通過）した通信データに対し第２判定（第２セキュリティ判定処理）を正常に行うことができる。車内通信処理部は、車外通信処理部から受信した通信データが不正なデータでない（正当なデータである）と判定（肯定的判定）した場合、当該通信データを車内通信コントローラから、送信先（中継先）となる車載ＥＣＵに出力（送信）する。このように車外通信処理部と、当該車外通信処理部よりも下流側に直列に接続される車内通信処理部とにより、車外からの不正な通信データに対する多層防御を行い、車載ＥＣＵが接続される車載ネットワークの堅牢性（健全性）を担保することができる。車外通信処理部は、第２判定の結果が否定的な場合、通信データを破棄するものであってもよい。この場合、車外通信処理部には、当該破棄等した通信データの受信時点、データ種類又は送信元アドレス等のログ情報を記憶部に記憶するものであってもよい。

【0020】

（６）本開示の一態様に係る車載装置は、前記処理部は、複数の前記車内通信処理部に論理分離され、論理分離された前記車外通信処理部及び複数の前記車内通信処理部それぞれは、直列に接続されている。

【0021】

本態様にあたっては、処理部は、車外通信処理部と、複数の車内通信処理部とに論理分離されている。車外装置からの通信データが流れる方向において、これら論理分離された車外通信処理部と、複数の車内通信処理部それぞれとは、車外通信処理部を最上流として直列に接続されている。直列に接続される車内通信処理部それぞれは、上流に位置する車外通信処理部又は車内通信処理部から受信した通信データに対し、第２判定（第２セキュリティ判定処理）を行う。車内通信処理部は、第２判定の判定結果が肯定的な場合、当該第２判定が行われた通信データを、当該車内通信処理部（自身）に論理的に接続される車内通信コントローラ、又は当該車内通信処理部（自身）の下流側に位置する他の車内通信処理部に出力する。従って、直列に接続される複数の車内通信処理部において、下流側に
接続される車内通信処理部ほど、実行された第２判定の回数が増加した（肯定的判定がされた回数が多い）通信データを受信するものとなる。すなわち、処理部を車外通信処理部と複数の車内通信処理部とに論理分離することにより、多層防御の層数を増加させ、特に下流側に位置する車内通信処理部に流れる通信データに対する判定処理の精度及び信頼性を向上させることができる。すなわち比較的に下流側に位置する車内通信処理部に論理的に接続される車内通信コントローラから出力される通信データの正当性を向上させ、当該車内通信コントローラに接続される車載ＥＣＵに対する堅牢性を効率的に担保することができる。

【0022】

（７）本開示の一態様に係る車載装置は、前記処理部によって起動される仮想化オペレーティングシステムが記憶されている記憶部を備え、前記処理部は、前記仮想化オペレーティングシステムを起動することにより生成される複数の仮想環境によって、前記車外通信処理部と前記車内通信処理部とに論理分離される。

【0023】

本態様にあたっては、車載装置の記憶部等、当該車載装置の処理部がアクセス可能な記憶領域には、車内通信コントローラ又は車内通信コントローラそれぞれを制御するためのプログラムそれぞれと、処理部によって起動されるＨＶ（HyperVisor）等の仮想化オペレーティングシステムが記憶されている。すなわち、車載装置には、仮想化オペレーティングシステム等、ハードウェアリソースを論理分離する機能を有するソフトウェアが搭載されている。この場合、処理部は、仮想化オペレーティングシステムを管理するＶＭ管理部（ＶＭコントロールパネル）としても機能する。処理部は、仮想化オペレーティングシステムを起動することにより複数の仮想環境（ＶＭ：仮想マシン）を生成し、生成された仮想環境それぞれにおいて、それぞれのプログラムが実行される。これにより、各プログラムは、互いに異なる仮想環境にて実行されるものとなり、これらプログラム間における相互干渉が発生することを防止することができる。これら複数の仮想環境それぞれが、論理分離された車外通信処理部及び車内通信処理部それぞれを構成するものなる。すなわち仮想化オペレーティングシステムを起動することにより生成された複数の仮想環境それぞれが、通信コントローラ（車外通信コントローラ、車内通信コントローラ）と、これら通信コントローラ毎に論理分離された処理部（車外通信処理部又は車内通信処理部）とを含む論理的な通信処理ユニット（論理構成）それぞれに相当する。車内通信処理部に対応する仮想環境と、車外通信処理部に対応する仮想環境とは、仮想環境間通信（分離間通信）を行うための内部ネットワークにより論理的に接続されており、当該内部ネットワークは仮想化オペレーティングシステムにおける設定に応じて構成されている。当該仮想環境間通信用の内部ネットワークは、例えば、記憶部にて設定された仮想環境間通信用の共有メモリ領域により構成されるものであってもよい。又は、仮想化オペレーティングシステムを管理するＶＭ管理部（ＶＭコントロールパネル）が、車外通信処理部と車内通信処理部との間のプロセス間通信を行う（中継）することにより、車外通信処理部と車内通信処理部との間の内部バスが仮想的に構成される（車外通信処理部と車内通信処理部とが論理的に通信する）ものであってもよい。このように仮想化オペレーティングシステム等、ハードウェアリソースを論理分離する機能を有するソフトウェアを用いることにより、物理的に単一であるマイコン等のハードウェア（処理部）を、相互通信（分離間通信）が可能な複数の通信処理ユニット（論理構成）に論理的に分離することができる。

【0024】

（８）本開示の一態様に係る車載装置は、前記車内通信処理部に対応する仮想環境に割り当てられるハードウェアリソースは、前記車外通信処理部に対応する仮想環境に割り当てられるハードウェアリソースよりも多い。

【0025】

本態様にあたっては、仮想化オペレーティングシステムを用いて処理部を論理分離する際、ＶＭ管理部は、車内通信処理部に対応する仮想環境に割り当てられるハードウェアリソースが、車外通信処理部に対応する仮想環境に割り当てられるハードウェアリソースよ
りも多くなるように、仮想化オペレーティングシステムを実行する。すなわち、仮想化オペレーティングシステムを実行する際、各仮想環境を生成するために定義されるパラメータにおいて、車内通信処理部に対応する仮想環境に割り当てられるハードウェアリソースは、車外通信処理部に対応する仮想環境に割り当てられるハードウェアリソースよりも多くなるように当該パラメータは設定されている。当該ハードウェアリソースは、例えば、車載装置の記憶部におけるメモリ領域、又は処理部を構成するＣＰＵ又はＭＰＵにおけるタイムスライス量を示す。すなわち、車内通信処理部に対応する仮想環境に割り当てられるメモリ領域は、車外通信処理部に対応する仮想環境に割り当てられるメモリ領域よりも大きい（広い）ものであってもよい。又は、車内通信処理部に対応する仮想環境に割り当てられるタイムスライス量は、車外通信処理部に対応する仮想環境に割り当てられるタイムスライス量よりも多いものであってもよい。車内通信コントローラのチャネル数は車外通信コントローラのチャネル数よりも多いため、車内に位置する車載ＥＣＵとの通信データのデータ量又は通信頻度は、車両の外部に位置する車外装置との通信データのデータ量又は通信頻度よりも多いことが想定される。このような場合であっても、車内通信処理部に対応する仮想環境（論理構成）に割り当てられるハードウェアリソースは、車外通信処理部に対応する仮想環境（論理構成）に割り当てられるハードウェアリソースよりも多いため、これら車内通信処理部と車外通信処理部との負荷バランスに応じた処理を行うことができる。これにより、車内通信処理部による車載ＥＣＵ間の中継処理にて遅延が発生することを抑制しつつ、車外通信処理部による車外装置との通信を行うことができる。

【0026】

（９）本開示の一態様に係るプログラムは、車両の外部に位置する車外装置と通信するための車外通信コントローラと、前記車両の内部に位置する車載ＥＣＵと通信するための車内通信コントローラと、通信に関する処理を行う処理部とを備えるコンピュータに、前記処理部を、前記車外通信コントローラに関する処理を担う車外通信処理部と、前記車内通信コントローラに関する処理を担う車内通信処理部とに論理分離し、前記車外装置からの通信データを、前記車外通信処理部にて処理した後、前記車内通信処理部にて処理する処理を実行させる。

【0027】

本態様にあたっては、コンピュータを、車外装置から送信された通信データに対し、効率的に処理する車載装置として実行させるプログラムを提供することができる。

【0028】

（１０）本開示の一態様に係る情報処理方法は、車両の外部に位置する車外装置と通信するための車外通信コントローラと、前記車両の内部に位置する車載ＥＣＵと通信するための車内通信コントローラと、通信に関する処理を行う処理部とを備えるコンピュータに、前記処理部を、前記車外通信コントローラに関する処理を担う車外通信処理部と、前記車内通信コントローラに関する処理を担う車内通信処理部とに論理分離し、前記車外装置からの通信データを、前記車外通信処理部にて処理した後、前記車内通信処理部にて処理する処理を実行させる。

【0029】

本態様にあたっては、コンピュータを、車外装置から送信された通信データに対し、効率的に処理する車載装置として実行させる情報処理方法を提供することができる。

【0030】

［本開示の実施形態の詳細］
本開示をその実施の形態を示す図面に基づいて具体的に説明する。本開示の実施形態に係る車載装置２を、以下に図面を参照しつつ説明する。なお、本発明はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

【0031】

（実施形態１）
以下、実施の形態について図面に基づいて説明する。図１は、実施形態１に係る車載装
置２を含む車載システムＳの構成を例示する模式図である。図２は、車載装置２の物理構成を例示するブロック図である。車載システムＳは、車両Ｃに搭載された車外通信装置１及び車載装置２を含み、車外ネットワークＮを介して接続された車外装置Ｓ１から受信（取得）した通信データを、車両Ｃに搭載されている車載ＥＣＵ３（Electronic Control Unit）に送信する。

【0032】

車外装置Ｓ１は、例えば外部サーバ、又は情報端末を含む。外部サーバは、例えば、インターネット又は公衆回線網等の車外ネットワークＮに接続されているサーバ等のコンピュータであり、車載ＥＣＵ３のプログラム又はデータを更新する際、更新プログラム等を提供するＯＴＡ（Over The Air）サーバであってもよい。情報端末は、例えば、車両Ｃの操作者が保持するスマートホン等である。

【0033】

車両Ｃには、車外通信装置１、車載装置２、及び種々の車載機器を制御するための複数の車載ＥＣＵ３が搭載されている。車外通信装置１と車載装置２とは、例えば、ＣＡＮバス又はイーサネットケーブル等の通信線４１により通信可能に接続されている。車載装置２と車載ＥＣＵ３とは、例えば、ＣＡＮバス又はイーサネットケーブル等の通信線４１により通信可能に接続されている。このように車外通信装置１、車載装置２、及び車載ＥＣＵ３が、通信線４１により接続されることにより、ＣＡＮ（Control Area Network）、ＣＡＮ－ＦＤ又はＥｔｈｅｒｎｅｔ（登録商標）等の通信プロトコルに対応した車載ネットワーク４が構成される。

【0034】

車外通信装置１は、４Ｇ、５Ｇ、ＷｉＦｉ（登録商標）等の移動体通信のプロトコルを用いて無線通信をするための通信装置であり、車外通信装置１に接続されたアンテナ１１を介して車外装置Ｓ１とデータの送受信を行う。車外通信装置１と車外装置Ｓ１との通信は、例えば公衆回線網又はインターネット等の外部ネットワークＮを介して行われる。

【0035】

車載装置２は、制御部、記憶部２３、入出力Ｉ／Ｆ２２、及び車内通信コントローラ２４２（内蔵通信コントローラ）を備え、更に入出力Ｉ／Ｆ２２に対し、車外通信コントローラ２４１（追加通信コントローラ）が追加接続可能に構成されている。車内通信コントローラ２４２及び車外通信コントローラ２４１は、通信部に相当し、これら通信コントローラ２４（車内通信コントローラ２４２及び車外通信コントローラ２４１）により、車載装置２の処理部２１は、車両Ｃの内外における通信データの中継を行う。車内通信コントローラ２４２は、複数のチャネル２４０（通信ポート）を有し、これらチャネル２４０それぞれに接続される車載ＥＣＵ３間にて送受信される通信データの中継処理を行うために用いられる。車外通信コントローラ２４１は、例えば１つのチャネル２４０（通信ポート）を有し、当該チャネル２４０に接続される車外通信装置１との通信データの送受信を行うために用いられる。このように車載装置２は、中継機能を有し、例えば、ＣＡＮゲートウェイ又はイーサスイッチとして機能する。又は、車載装置２は、中継機能を有し車両Ｃの全体を統合的に制御する統合ＥＣＵであってもよい。

【0036】

車載装置２は、記憶部２３に記憶されている仮想化オペレーティングシステムを起動することにより、論理分離可能に構成されている。詳細は後述するが、車載装置２は、論理分離が可能な（論理分離の対象となる）ハードウェアリソースとして、処理部２１、記憶部２３、車内通信コントローラ２４２（内蔵通信コントローラ）、及び入出力Ｉ／Ｆ２２を含む。当該論理分離が可能なハードウェアリソースは、例えばマイコン等としてパッケージングされて構成されている。論理分離は、車内通信コントローラ２４２毎に分離される構成であってもよい。車内通信コントローラ２４２は通信バッファ等として用いるレジスタを備えており、当該レジスタは、車内通信コントローラ２４２が有する複数のチャネル２４０にて共有されている。このような場合であっても、車内通信コントローラ２４２毎に、処理部２１等のハードウェアリソースを含むマイコンを論理分離することにより、
レジスタとの対応関係を維持することができる。すなわち、通信コントローラ２４毎に論理分離された処理部２１（車外通信処理部２１１、及び車内通信処理部２１２）により、通信機能を有する論理的な通信処理ユニット（論理構成）を複数個、構成することができる。

【0037】

論理分離された処理部２１は、例えば、車外通信処理部２１１と、車内通信処理部２１２とに分離される。車外通信処理部２１１には、追加接続が可能な車外通信コントローラ２４１（追加通信コントローラ）が、例えばＳＰＩに準拠した入出力Ｉ／Ｆ２２を介して接続される。車内通信処理部２１２には、論理分離可能に構成されたマイコン等に内蔵されている車内通信コントローラ２４２（内蔵通信コントローラ）が、接続される。

【0038】

車載装置２の制御部は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等により構成してあり、記憶部２３に予め記憶されたプログラムＰ（プログラム製品）及びデータを読み出して実行することにより、種々の制御処理及び演算処理等を行うようにしてある。制御部は、更に記憶部２３に予め記憶された仮想化オペレーティングシステムを起動することにより複数の仮想環境を生成する。これら仮想環境それぞれにより、処理部２１等を含むマイコンは、論理分離される。

【0039】

記憶部２３は、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成される。記憶部２３に記憶されたプログラムＰ（プログラム製品）は、車載装置２が読み取り可能な記録媒体Ｍから読み出されたプログラムＰ（プログラム製品）を記憶したものであってもよい。また、図示しない通信網に接続されている図示しない外部コンピュータからプログラムＰをダウンロードし、記憶部２３に記憶させたものであってもよい。記憶部２３には、Ｈｙｐｅｒｖｉｓｏｒ（ハイパーバイザー）等の仮想化オペレーティングシステムが記憶されている。

【0040】

入出力Ｉ／Ｆ２２は、例えばシリアル通信するための通信インターフェイスであり、ＳＰＩ（Serial Peripheral Interface）に準拠しているものであってもよい。入出力Ｉ／Ｆ２２は、１つ以上の車外通信コントローラ２４１（追加通信コントローラ）が接続される。

【0041】

車内通信コントローラ２４２は、複数のチャネル２４０を含む。これら複数のチャネル２４０は、車内通信コントローラ２４２に含まれるレジスタを共有する。車内通信コントローラ２４２のチャネル２４０それぞれには、ＣＡＮトランシーバ又はイーサネットＰＨＹ部等、通信プロコトルの物理層に対応した通信ポートそれぞれが接続される。車内通信コントローラ２４２のチャネル２４０と通信ポートとは、一体化して構成されているものであってもよく、又はチャネル２４０と通信ポートとは別個に構成され内部バス等により接続されているものであってもよい。車内通信コントローラ２４２は、論理分離が可能なマイコンに内蔵されているもの（内蔵通信コントローラ）であってもよい。

【0042】

車外通信コントローラ２４１は、例えば１つのチャネル２４０を含む。すなわち、車外通信コントローラ２４１のチャネル２４０数は、車内通信コントローラ２４２のチャネル２４０数よりも少ないものであってもよい。車外通信コントローラ２４１のチャネル２４０には、ＣＡＮトランシーバ又はイーサネットＰＨＹ部等、通信プロコトルの物理層に対応した通信ポートそれぞれが接続される。車外通信コントローラ２４１のチャネル２４０と通信ポートとは、一体化して構成されているものであってもよく、又はチャネル２４０と通信ポートとは別個に構成され内部バス等により接続されているものであってもよい。車外通信コントローラ２４１は、論理分離が可能なマイコンに対し、追加（後付け）可能に構成されるもの（追加通信コントローラ）であってもよい。

【0043】

図３は、車載装置２の論理構成を例示するブロック図である。車載装置２は、論理分離が可能な（論理分離の対象となる）ハードウェアリソースとして、処理部２１、記憶部２３、車内通信コントローラ２４２（内蔵通信コントローラ）、及び入出力Ｉ／Ｆ２２を含み、当該論理分離が可能なハードウェアリソースは、例えばマイコン等にて構成される。車載装置２の入出力Ｉ／Ｆ２２には、車外通信コントローラ２４１（追加通信コントローラ）が接続され、車載装置２は、論理分離が可能なハードウェアリソース（マイコン等）に加え、更に後付けされた車外通信コントローラ２４１（追加通信コントローラ）を含む。

【0044】

処理部２１、記憶部２３、車内通信コントローラ２４２（内蔵通信コントローラ）、及び入出力Ｉ／Ｆ２２を含むマイコンは、例えば、Ｈｙｐｅｒｖｉｓｏｒ（ハイパーバイザー）等の仮想オペレーティングシステムによって論理分離される。処理部２１は、仮想化オペレーティングシステムを起動することにより複数の仮想環境（ＶＭ：仮想マシン）を生成する。生成された仮想環境（ＶＭ：仮想マシン）それぞれにおいて、それぞれのプログラムが実行される。これにより、各プログラムは、互いに異なる仮想環境にて実行されるものとなり、これらプログラム間における相互干渉が発生することを防止することができる。本実施形態においては、当該仮想環境（ＶＭ：仮想マシン）それぞれが、論理分離された通信処理部（車外通信処理部２１１及び車内通信処理部２１２）それぞれに対応する。論理分離する際の分離数、すなわち論理分離された通信処理部の個数は２つに限定されず、３つ以上であってもよい。論理分離された通信処理部が３つの場合、当該通信処理部は、１つの車外通信処理部２１１と、２つの車内通信処理部２１２とを含むものであり、すなわち論理分離における分離数が増加するにつれ、車内通信処理部２１２の個数が増加するものであってもよい。

【0045】

処理部２１は、仮想化オペレーティングシステムを起動することにより複数の仮想環境を生成し、これら仮想環境それぞれにより、処理部２１等を含むマイコンは、論理分離される。処理部２１は、論理分離されることにより、車外通信処理部２１１と車内通信処理部２１２とに分離される。車外通信処理部２１１が動作する仮想環境には、車外通信コントローラ２４１が接続される入出力Ｉ／Ｆ２２が属する。車内通信処理部２１２が動作する仮想環境には、１つ以上（本実施形態による図示では２つ）の車内通信コントローラ２４２が属する。車外通信処理部２１１と車内通信処理部２１２とは、仮想化オペレーティングシステムによって構成された内部ネットワークにより通信可能に接続され、分離間通信を相互に行うことができる。

【0046】

車外通信処理部２１１と入出力Ｉ／Ｆ２２とは同じ仮想環境で動作するものであり、すなわち同一の論理的な通信処理ユニット（論理構成）に含まれる。車外通信処理部２１１と入出力Ｉ／Ｆ２２とは例えば内部バスにて接続されている。入出力Ｉ／Ｆ２２には、車外通信コントローラ２４１が接続され、例えば入出力Ｉ／Ｆ２２がＳＰＩ（Serial Peripheral Interface）に準拠している場合、車外通信処理部２１１と車外通信コントローラ２４１とは当該ＳＰＩを用いて通信可能に接続される。

【0047】

車外通信コントローラ２４１は、例えば１つのチャネル２４０（通信ポート）を有し、当該チャネル２４０は、例えばＣＡＮ、ＣＡＮ／ＦＤ、又はイーサネットの通信プロコトルに対応（準拠）している。車外通信コントローラ２４１のチャネル２４０（通信ポート）には、通信プロコトルに応じた通信線４１を介して、車外通信装置１が接続される。これにより、車外通信処理部２１１は、車外通信コントローラ２４１を介して、車外通信装置１と通信可能に接続される。

【0048】

車外通信装置１は、外部サーバ又は情報端末等の車外装置Ｓ１から通信データを受信（
車外通信）した場合、当該通信データを車外通信コントローラ２４１に出力する。車外通信コントローラ２４１は、車外通信装置１から受信した通信データを車外通信処理部２１１に出力する。車外通信処理部２１１は、車外通信コントローラ２４１からの通信データに対し、正当性に関する第１判定を行い、肯定的な判定結果の通信データのみを、仮想化オペレーティングシステムによって構成された内部ネットワークを介して、車内通信処理部２１２に出力する。車外通信処理部２１１が制御する車外通信コントローラ２４１と、車内通信処理部２１２とは、論理分離されており、すなわち異なる仮想環境にて動作するため、車外通信コントローラ２４１からの通信データが、直接的に車内通信処理部２１２に出力されることを確実に防止することができる。

【0049】

車内通信処理部２１２と１つ以上（本実施形態による図示では２つ）の車内通信コントローラ２４２とは同じ仮想環境で動作するものであり、すなわち同一の論理的な通信処理ユニット（論理構成）に含まれる。車内通信処理部２１２と車内通信コントローラ２４２とは例えば内部バスにて接続されている。車内通信コントローラ２４２は、複数（本実施形態による図示では３つ）のチャネル２４０（通信ポート）を有する。すなわち、車内通信コントローラ２４２のチャネル２４０数は、車外通信コントローラ２４１のチャネル２４０数よりも多い。車内通信コントローラ２４２のチャネル２４０は、例えばＣＡＮ、ＣＡＮ／ＦＤ、又はイーサネットの通信プロコトルに対応（準拠）している。車内通信コントローラ２４２のチャネル２４０（通信ポート）には、通信プロコトルに応じた通信線４１を介して、車載ＥＣＵ３が接続される。

【0050】

車内通信処理部２１２は、車外通信処理部２１１からの通信データを分離間通信（仮想化オペレーティングシステムによって構成された内部ネットワーク）にて受信（取得）する。車内通信処理部２１２は、受信した通信データに対し、正当性に関する第２判定を行い、肯定的な判定結果の通信データのみを、車内通信コントローラ２４２を介して、車載ＥＣＵ３に出力する。車内通信コントローラ２４２を介して車載ＥＣＵ３に出力される通信データは、車外通信処理部２１１による第１判定、及び車内通信処理部２１２による第２判定から成る２層による多層処理が行われており、当該多層処理による全ての判定結果が肯定的な場合のみ、車載ＥＣＵ３に出力される。従って、車載ＥＣＵ３が接続される車載ネットワーク４に対し、車外からの不正な通信データに対する多層防御を行うことができる。

【0051】

図４は、車載装置２の処理部２１（車外通信処理部２１１及び車内通信処理部２１２）の処理を例示するフローチャートである。車載装置２の処理部２１は、例えば車両Ｃが起動状態又は停止状態において、定常的に以下の処理を行う。処理部２１は、例えば仮想化オペレーティングシステムを実行することにより、複数の仮想環境を生成し、これら仮想環境を動作環境とする複数の通信処理部（車外通信処理部２１１及び車内通信処理部２１２）に論理分離されている。本実施形態においては、処理部２１が論理分離された車外通信処理部２１１と車内通信処理部２１２とによる処理の流れについて説明する。

【0052】

車外通信処理部２１１は、車外通信が行われたか否かを判定する（Ｓ１０１）。車外通信処理部２１１は、例えばＳＰＩ等に準拠した入出力Ｉ／Ｆ２２を介して接続されている車外通信コントローラ２４１からの通信データを常時、待ち受けている。車外通信コントローラ２４１は、例えば、イーサネット又はＣＡＮ等の通信プロコトルに応じた通信線４１（イーサネットケーブル、ＣＡＮバス）により、無線機能を有する車外通信装置１と接続されている。車外通信装置１は、ＯＴＡサーバ等の外部サーバ、又はスマートホン等の情報端末を含む車外装置Ｓ１からの通信データの送信を常時、待ち受けており、当該車外装置Ｓ１から通信データを受信した場合、車外通信コントローラ２４１に当該通信データを出力する。車外通信コントローラ２４１は、車外装置Ｓ１から受信した通信データを車外通信処理部２１１に出力する。車外通信処理部２１１は、当該車外通信コントローラ２
４１からの通信データの出力の有無に基づき、車外通信が行われたか否かを判定する。

【0053】

車外通信が行われていないと判定した場合（Ｓ１０１：ＮＯ）、車外通信処理部２１１は、再度Ｓ１０１の処理を実行すべく、ループ処理を行う。車外通信処理部２１１は、車外通信が行われていないと判定した場合、再度Ｓ１０１の処理を実行することにより、車外通信コントローラ２４１からの通信データを待ち受ける処理を継続する。

【0054】

車外通信が行われたと判定した場合（Ｓ１０１：ＹＥＳ）、車外通信処理部２１１は、車外通信コントローラ２４１で通信データを受信する（Ｓ１０２）。車外通信処理部２１１は、車外通信が行われたと判定した場合、車外通信コントローラ２４１で通信データを受信し、当該受信した通信データを車外通信処理部２１１がアクセス可能な記憶部２３の記憶領域（メモリ領域）に記憶する。車外通信処理部２１１は、例えば、仮想化オペレーティングシステムを起動することにより生成される仮想環境（ＶＭ）にて動作するようにマイコンのハードウェアリソース（処理部２１及び記憶部２３）を論理分離されたものである。車外通信処理部２１１は、当該仮想環境に割り当てられた記憶領域（メモリ領域）に受信した通信データを記憶する。

【0055】

車外通信処理部２１１は、通信データに対する正当性に関する第１判定を実行する（Ｓ１０３）。車外通信処理部２１１は、受信した通信データに対し、例えば、成りすまし等の不正アクセス、ＤＯＳ等の攻撃データ、又は予め許可されたデータ以外のデータ（不許可のデータ）等の不正なデータであるか否か等、正当性に関する第１判定を行う。車外通信処理部２１１は、各種のセキュリティプログラムを実行することにより、当該第１判定を行うものであってもよい。

【0056】

車外通信処理部２１１は、第１判定の結果が肯定的であるか否かを判定する（Ｓ１０４）。車外通信処理部２１１は、第１判定の結果（第１判定結果）を導出し、当該第１判定結果が肯定的であるか否かを判定する。判定結果が肯定的であるとは、通信データが正当であることを示す。判定結果が肯定的でない、すなわち否定的とは、通信データが不正であることを示す。

【0057】

第１判定の結果が肯定的でない場合（Ｓ１０４：ＮＯ）、車外通信処理部２１１は、再度Ｓ１０１の処理を実行すべく、ループ処理を行う。車外通信処理部２１１は、第１判定の結果が肯定的でない場合、すなわち否定的であり、通信データが不正であると判定された場合、再度Ｓ１０１の処理を実行すべく、ループ処理を行う。車外通信処理部２１１は、第１判定の結果が否定的（通信データが不正）である場合、当該通信データを破棄するものであってもよい。

【0058】

第１判定の結果が肯定的である場合（Ｓ１０４：ＹＥＳ）、車外通信処理部２１１は、分離間通信にて、通信データを車内通信処理部２１２に送信する（Ｓ１０５）。車外通信処理部２１１は、分離間通信にて、通信データを車内通信処理部２１２に送信した後、処理を終了する。車内通信処理部２１２に対応する仮想環境と、車外通信処理部２１１に対応する仮想環境とは、仮想環境間通信（ＶＭ間通信）を行うための内部ネットワークが、仮想化オペレーティングシステムによって構成されている。当該仮想環境間通信用の内部ネットワークは、例えば、記憶部２３にて設定された仮想環境間通信用の共有メモリ領域により構成され、当該共有メモリ領域に対し、車外通信処理部２１１及び車内通信処理部２１２それぞれが、分離間通信の対象となる通信データを書き込み、参照するものであってもよい。又は、仮想化オペレーティングシステムを管理するＶＭ管理部（ＶＭコントロールパネル）が、車外通信処理部２１１と車内通信処理部２１２との間にて、分離間通信の対象となる通信データをプロセス間通信（中継）することにより、車外通信処理部２１１と車内通信処理部２１２との間の内部バスが仮想的に構成される（車外通信処理部２１
１と車内通信処理部２１２とが論理的に通信する）ものであってもよい。このように論理分離された車外通信処理部２１１と車内通信処理部２１２とは、仮想化オペレーティングシステムによって構成された内部ネットワークを介することにより、分離間通信を行うことができる。車外通信処理部２１１は、処理Ｓ１０５の実行後、再度Ｓ１０１からの処理を実行し、車外装置Ｓ１からの通信データ（車外通信）を待ち受けるものであってもよい。

【0059】

車内通信処理部２１２は、分離間通信にて、通信データを車外通信処理部２１１から受信する（Ｓ１０６）。車内通信処理部２１２は、分離間通信、すなわち仮想化オペレーティングシステムによって構成された内部ネットワークを介することにより、車外通信処理部２１１から通信データを受信する。車内通信処理部２１２は、受信した通信データを車内通信処理部２１２がアクセス可能な記憶部２３の記憶領域（車内通信処理部２１２が動作する仮想環境に割り当てられた記憶領域）に記憶する。

【0060】

車内通信処理部２１２は、通信データに対する正当性に関する第２判定を実行する（Ｓ１０７）。車内通信処理部２１２は、受信した通信データに対し、例えば、成りすまし等の不正アクセス、ＤＯＳ等の攻撃データ、又は予め許可されたデータ以外のデータ（不許可のデータ）等の不正なデータであるか否か等、正当性に関する第２判定を行う。車内通信処理部２１２による第２判定の対象となる通信データは、既に車外通信処理部２１１によって第１判定が実行され、かつ当該第１判定の判定結果が肯定的（通信データは正当）であるとされたものである。従って、当該通信データに対しては、車外通信処理部２１１及び車内通信処理部２１２による２層にて、正否判定の処理（多層処理）を行うことができ、すなわち当該通信データに対する多層防御を行うことができる。

【0061】

車内通信処理部２１２による第２判定は、車外通信処理部２１１による第１判定と同種のセキュリティ判定処理であってもよく、異種のセキュリティ判定処理であってもよい。又は、車外通信処理部２１１による第１判定に含まれるセキュリティ判定処理の種類を、車内通信処理部２１２による第２判定に含まれるセキュリティ判定処理の種類よりも多くし、車外通信処理部２１１による処理負荷が、車内通信処理部２１２による処理負荷よりも高くなるようにするものであってもよい。車内通信処理部２１２は、車載ネットワーク４に接続される複数の車載ＥＣＵ３間にて送受信される通信データの中継処理を担うため、セキュリティ判定処理に要する処理負荷を、車外通信処理部２１１よりも低くすることにより、当該中継処理にて遅延等が発生することを抑制することができる。

【0062】

車内通信処理部２１２は、第２判定の結果が肯定的であるか否かを判定する（Ｓ１０８）。第２判定の結果が肯定的でない場合（Ｓ１０８：ＮＯ）、車内通信処理部２１２は、再度Ｓ１０１の処理を実行すべく、ループ処理を行う。車内通信処理部２１２は、分離間通信を行うことにより、車外通信処理部２１１に対し、再度Ｓ１０１の処理を実行することを指示するシグナルを送信するものであってもよい。車外通信処理部２１１は、車内通信処理部２１２からのシグナルを受信することにより、Ｓ１０１からの処理を実行する。又は、車内通信処理部２１２は、第２判定の結果が肯定的でない場合（Ｓ１０８：ＮＯ）、通信データを破棄し、再度Ｓ１０６の処理を実行することにより、車外通信処理部２１１からの通信データ（分離間通信）を待ち受けるものであってもよい。

【0063】

第２判定の結果が肯定的である場合（Ｓ１０８：ＹＥＳ）、車内通信処理部２１２は、車内通信コントローラ２４２を介して、通信データを車載ＥＣＵ３に送信する（Ｓ１０９）。第２判定の結果が肯定的である場合、通信データは、第１判定及び第２判定の双方の結果が肯定的であることを示し、正否判定に関する多層処理が行われている。車内通信処理部２１２は、正否判定に関する多層処理が行われ、かつ全ての判定結果が好適である通信データを、車内通信コントローラ２４２を介して、いずれかの車載ＥＣＵ３に送信する
。

【0064】

車内通信コントローラ２４２は、例えば３つ等の複数のチャネル２４０（通信ポート）を含み、これらチャネル２４０（通信ポート）それぞれに車載ＥＣＵ３が接続されている。車内通信処理部２１２は、通信データに含まれるヘッダー情報等に基づき中継先となる車載ＥＣＵ３を特定し、例えば記憶部２３に記憶されている中継テーブルを参照することにより、当該中継先となる車載ＥＣＵ３が接続されている車内通信コントローラ２４２のチャネル２４０（通信ポート）から、通信データを出力するものであってもよい。車内通信処理部２１２は、車内通信コントローラ２４２を介して、通信データを車載ＥＣＵ３に送信した後、処理を終了する。又は、車内通信処理部２１２は、処理Ｓ１０９の実行後、再度Ｓ１０６からの処理を実行し、車外通信処理部２１１からの通信データ（分離間通信）を待ち受けるものであってもよい。

【0065】

図５は、実施形態２（複数の車内通信処理部２１２）に係る車載装置２の論理構成を例示するブロック図である。車載装置２のハードウェアリソース（マイコン等）は、実施形態１と同様に仮想化オペレーティングシステムによって生成された複数の仮想環境（ＶＭ：仮想マシン）に応じて、論理分離されている。処理部２１等が論理分離された車外通信処理部２１１、及び当該車外通信処理部２１１に接続される車外通信コントローラ２４１等は、実施形態１と同様の構成である。実施形態２の車載装置２は、論理分離された複数（本実施形態では２つ）の車内通信処理部２１２を含み、これら車内通信処理部２１２それぞれには、車内通信コントローラ２４２それぞれが接続される。

【0066】

車外装置Ｓ１からの通信データが流れる方向において、これら論理分離された車外通信処理部２１１と、複数の車内通信処理部２１２それぞれとは、車外通信処理部２１１を最上流として直列に接続されている。直列に接続される２つの車内通信処理部２１２は、仮想化オペレーティングシステムによって構成された内部ネットワークにより通信可能に接続され、分離間通信を相互に行うことができる。

【0067】

直列に接続される２つの車内通信処理部２１２（下流側の車内通信処理部２１２、及び上流側の車内通信処理部２１２）それぞれには、車内通信コントローラ２４２それぞれが接続される。これら２つの車内通信処理部２１２は、異なる仮想環境にて動作するものであり、従って、下流側の車内通信処理部２１２に接続される車内通信コントローラ２４２と、上流側の車内通信処理部２１２の車内通信処理部２１２に接続される車内通信コントローラ２４２とは、異なる仮想環境に属する。これにより、下流側の車内通信処理部２１２に接続される車内通信コントローラ２４２に対し、上流側の車内通信処理部２１２は直接的にアクセスすることができず、同様に上流側の車内通信処理部２１２に接続される車内通信コントローラ２４２に対し、下流側の車内通信処理部２１２は直接的にアクセスできない。

【0068】

上流側（車外通信処理部２１１の側）の車内通信処理部２１２は、車外通信処理部２１１から受信した通信データに対し、第２判定を行い、肯定的な判定結果の通信データのみを、車内通信コントローラ２４２を介して車載ＥＣＵ３に出力、又は分離間通信にて下流側の車内通信処理部２１２に出力する。上流側（車外通信処理部２１１の側）の車内通信処理部２１２は、通信データに含まれるヘッダー情報等に基づき中継先となる車載ＥＣＵ３を特定する。更に、上流側の車内通信処理部２１２は、例えば記憶部２３に記憶されている中継テーブルを参照し、特定した（中継先となる）車載ＥＣＵ３の接続態様（いずれの通信ポートに接続されているか）を確認する。上流側の車内通信処理部２１２は、当該確認結果に応じて、通信データを、車内通信コントローラ２４２のチャネル２４０（通信ポート）から出力するか、又は分離間通信にて下流側の車内通信処理部２１２に出力するかを決定するものであってもよい。

【0069】

下流側の車内通信処理部２１２は、上流側の車内通信処理部２１２から受信した通信データに対し、第２判定を行い、肯定的な判定結果の通信データのみを、当該下流側の車内通信処理部２１２（自身）に接続されている車内通信コントローラ２４２のチャネル２４０（通信ポート）から、通信データを出力する。車載装置２が２つ以上の車内通信処理部２１２を有する場合、当該車内通信処理部２１２の個数に併せて処理部２１等を論理分離されることにより、多層防御の層数を増加させることができる。これにより、特に下流側に位置する車内通信処理部２１２に流れる通信データに対する判定処理の精度及び信頼性を向上させることができる。すなわち比較的に下流側に位置する車内通信処理部２１２に接続される車内通信コントローラ２４２から出力される通信データの正当性を向上させ、当該車内通信コントローラ２４２に接続される車載ＥＣＵ３に対する堅牢性を効率的に担保することができる。本実施形態において、論理的に直列に接続される車内通信処理部２１２の個数（車内通信処理部２１２における論理分離の個数）は２つとしたが、これに限定されず、車内通信コントローラ２４２の搭載数に応じて、車内通信処理部２１２の個数は３つ以上であってもよい。

【0070】

このように論理的に直列に接続される複数の車内通信処理部２１２において、下流側の車内通信処理部２１２が処理を担う車内通信コントローラ２４２に接続される車載ＥＣＵ３のＡＳＩＬ（Automotive Safety Integrity Level）は、上流側の車内通信処理部２１２が処理を担う車内通信コントローラ２４２に接続される車載ＥＣＵ３のＡＳＩＬよりも高いレベルであってもよい。上述のとおり、直列に接続される複数の車内通信処理部２１２において、下流側に位置する車内通信処理部２１２への多層防御の層数は、上流側に位置する車内通信処理部２１２への多層防御の層数よりも多くすることができる。従って、下流側に位置する車内通信処理部２１２が担う（論理的に接続される）車内通信コントローラ２４２に、比較的にＡＳＩＬが高い車載ＥＣＵ３を接続することにより、当該ＡＳＩＬが高い車載ＥＣＵ３に対する車外からの攻撃を効率的に防御することができる。

【0071】

図６は、実施形態３（複数の車外通信コントローラ２４１）に係る車載装置２の論理構成を例示するブロック図である。車載装置２のハードウェアリソース（マイコン等）は、実施形態１と同様に仮想化オペレーティングシステムによって生成された複数の仮想環境（ＶＭ：仮想マシン）に応じて、論理分離されている。処理部２１等が論理分離された車内通信処理部２１２、及び当該車内通信処理部２１２に接続される車内通信コントローラ２４２等は、実施形態１と同様の構成である。

【0072】

実施形態３の車載装置２においては、論理分離された車外通信処理部２１１に対し、ＳＰＩ等に準拠した入出力Ｉ／Ｆ２２を介して、複数（本実施形態では２つ）の車外通信コントローラ２４１が、通信可能に接続されている。車外通信コントローラ２４１は、論理分離の対象となる処理部２１及び車外通信コントローラ２４１等を含むマイコンに対し、追加（後付け）可能に構成されており、追加通信コントローラに相当する。

【0073】

ＳＰＩ等に準拠した入出力Ｉ／Ｆ２２は、複数のインターフェイス部分を有し、複数の車外通信コントローラ２４１（追加通信コントローラ）が追加接続可能に構成されている。本実施形態においては、追加接続された２つの車外通信コントローラ２４１は、例えば、ＣＡＮに対応した車外通信コントローラ２４１と、イーサネットに対応した車外通信コントローラ２４１とを含む。ＣＡＮに対応した車外通信コントローラ２４１には、当該ＣＡＮに対応した車外通信装置１が、ＣＡＮバス（通信線４１）にて通信可能に接続される。イーサネットに対応した車外通信コントローラ２４１には、当該イーサネットに対応した車外通信装置１が、イーサネットケーブル（通信線４１）にて通信可能に接続される。

【0074】

例えば、車外装置Ｓ１と通信するためのプロコトルの種類に応じて、複数の車外通信装
置１を車載装置２（車外通信処理部２１１）に接続することを要する場合であっても、車外通信処理部２１１は、これら複数の車外通信装置１に応じて、複数の車外通信コントローラ２４１（追加通信コントローラ）を追加接続することができる。これにより、車外装置Ｓ１の拡張性を担保することができ、車載システムＳとしての可用性を向上させることができる。

【0075】

今回開示された実施形態は全ての点で例示であって、制限的なものではないと考えられるべきである。本開示の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

【0076】

特許請求の範囲に記載されている複数の請求項に関して、引用形式に関わらず、相互に組み合わせることが可能である。特許請求の範囲では、複数の請求項に従属する多項従属請求項を記載してもよい。多項従属請求項に従属する多項従属請求項を記載してもよい。多項従属請求項に従属する多項従属請求項が記載されていない場合であっても、これは、多項従属請求項に従属する多項従属請求項の記載を制限するものではない。

【符号の説明】

【0077】

Ｃ 車両
Ｓ 車載システム
Ｓ１ 車外装置
Ｎ 車外ネットワーク
１ 車外通信装置
１１ アンテナ
２ 車載装置
２１ 処理部
２１１ 車外通信処理部
２１２ 車内通信処理部
２２ 入出力Ｉ／Ｆ
２３ 記憶部
Ｐ プログラム（プログラム製品）
Ｍ 記録媒体
２４ 通信コントローラ
２４０ チャネル
２４１ 車外通信コントローラ（追加通信コントローラ）
２４２ 車内通信コントローラ（内蔵通信コントローラ）
３ 車載ＥＣＵ
４ 車載ネットワーク
４１ 通信線

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】