JP6973122B2 - 車載ネットワークシステム - Google Patents

Description

本発明は、車載ネットワークシステムに関する。

従来より、車両に搭載された制御対象の挙動を制御する制御装置が接続する通信系との通信インタフェース手段と、前記制御装置とは独立して設けられ、前記通信系で通信する前記制御装置に対する通信設定を調整する通信設定手段と、を備えることを特徴とする車両制御装置がある（例えば、特許文献１参照）。

特開２００９−１６１１０３号公報

ところで、従来の車両制御装置は、通信設定手段を含む。通信設定手段が通信設定を行うためには、高性能なコンピュータが必要になる。また、通信設定を行う際に利用するプログラム及びデータを格納する大容量のメモリが必要になる。このように、従来の車両制御装置は、通信設定手段が通信設定を行うためのリソースが必要である。

そこで、リソースを節約した車載ネットワークシステムを提供することを目的とする。

本発明の実施の形態の車載ネットワークシステムは、
中継機器と、
前記中継機器に通信可能に接続される第１制御部と、
前記中継機器に接続される通信装置と
を含む車載ネットワークシステムであって、
前記中継機器は、
第２制御部を後付けする第１ポートと、
前記第１ポートに接続される第２制御部の通信設定処理を行うコンピュータを接続する第２ポートと
を有し、
前記コンピュータは、前記中継機器及び前記通信装置を介して、前記通信装置に接続されるセンタと通信を行うことによって認証処理を行い、
前記第２制御部は、前記中継機器及び前記通信装置を介して、前記通信装置に接続されるセンタと通信を行うことによって認証処理を行う。

このため、通信設定処理を行うコンピュータを車載ネットワークシステムの外部に配置することができる。また、車載システムの通信装置を介してセンタと通信を行うことによって認証処理を行うことができる。

従って、リソースを節約しつつ、セキュリティを確保した車載ネットワークシステムを提供することができる。

本発明の他の実施の形態の車載システムでは、
前記コンピュータは、前記コンピュータ及び前記第２制御部の認証が成立した場合に、前記第２制御部の通信設定処理を行ってもよい。

このため、コンピュータ及び第２制御部の認証が成立した状態における通信設定処理を行うことができる。

従って、リソースを節約しつつ、セキュリティを確保した状態で第２制御部のプラグ・アンド・プレイを実現した車載ネットワークシステムを提供することができる。

本発明の他の実施の形態の車載システムでは、
前記コンピュータは、前記コンピュータ、前記中継機器、及び前記第２制御部のみが通信可能な状態で、前記通信設定処理を行ってもよい。

このため、第１制御部に影響を与えることなく、セキュリティを確保した状態で、通信設定処理を行うことができる。

従って、リソースを節約しつつ、セキュリティを確保した状態における第２制御部のプラグ・アンド・プレイを実現した車載ネットワークシステムを提供することができる。

本発明の他の実施の形態の車載システムでは、
前記中継機器は、前記第１制御部、前記中継機器、前記コンピュータ、及び前記第２制御部のうち、前記第１制御部、前記中継機器、前記コンピュータ、及び前記第２制御部が通信可能な機器を規定する管理データベースを有し、
前記コンピュータは、前記通信設定処理において、前記管理データベースにおける前記第２制御部が通信可能な機器を表すデータを設定してもよい。

このため、第２制御部が通信可能な機器を具体的に通信設定処理で設定することができる。

従って、リソースを節約しつつ、セキュリティを確保した状態における第２制御部のプラグ・アンド・プレイを実現した車載ネットワークシステムを提供することができる。

本発明の他の実施の形態の車載システムでは、
前記通信可能な機器を表すデータは、前記第１制御部、前記中継機器、前記コンピュータ、及び前記第２制御部のうち、通信可能な機器同士を含むグループを表すデータであってもよい。

このため、第２制御部が通信可能な機器を含むグループを具体的に通信設定処理で設定することができる。

従って、リソースを節約しつつ、セキュリティを確保した状態における第２制御部のプラグ・アンド・プレイを実現した車載ネットワークシステムを提供することができる。

リソースを節約した車載ネットワークシステムを提供することができる。

実施の形態の車載ネットワークシステム、調整検査用ＰＣ、及びセンタを示す図である。 実施の形態に係るＥＣＵのハードウェア構成例を示す図である。 イーサネットフレームの構成を示す図である。 中継装置がメモリに格納する管理テーブルを示す図である。 中継装置の中継処理におけるフィルタ動作を示すフローチャートである。 認証用イーサネットフレームの構成を示す図である。 中継装置の中継処理において認証用イーサネットフレームを受信した場合の処理を示すフローチャートである。 調整検査用ＰＣの送信元アドレスを登録した時点の管理テーブルを示す図である。 調整検査用ＰＣの認証処理が完了した時点の管理テーブルを示す図である。 プロトコル変換を説明する図である。 調整検査用ＰＣ及び後付けＥＣＵの両方の認証が成立した場合の管理テーブルのデータを示す図である。 調整検査用ＰＣが行う識別処理及び設定処理を示すフローチャートを表す図である。 図１２に示す処理で利用するグループデータベースを示す図である。 通信設定によって変更された管理テーブルの一例を示す図である。

以下、本発明の車載ネットワークシステムを適用した実施の形態について説明する。

＜実施の形態＞
図１は、実施の形態の車載ネットワークシステム１００、調整検査用ＰＣ(Personal Computer)２００、及びセンタ３００を示す図である。車載ネットワークシステム１００は、ＥＣＵ（Electronic Control Unit：電子制御装置）１１０−１、１１０−２、・・・、１１０−Ｎ（Ｎは３以上の整数）、ＤＣＭ(Data Communication Module：データ通信装置)１２０、中継装置１３０、及び後付けＥＣＵ１４０を含む。

車載ネットワークシステム１００は、車両１に搭載されており、中継装置１３０に調整検査用ＰＣ２００が接続される。また、車載ネットワークシステム１００は、ＤＣＭ１２０を利用して公衆回線を通じてセンタ３００と通信を行う。図１では、ＤＣＭ１２０とセンタ３００の間の公衆回線を破線で示す。センタ３００は、データセンタであり、サーバ等の情報処理装置が配設されている。センタ３００のサーバは、複数の車両に搭載される車載ネットワークシステム１００と通信を行う。なお、車両１は、ＨＶ(Hybrid Vehicle)車、ＰＨＶ(Plug in HV)車、ＥＶ(Electric Vehicle)車、エンジン車等である。

調整検査用ＰＣ２００は、ディーラの整備工場等に配備されており、認証処理部２１０、制御部２２０、及びメモリ２３０を有する。調整検査用ＰＣ２００は、車載ネットワークシステム１００を搭載する車両１の整備、点検、又は修理等を行うときと、後付けＥＣＵ１４０を後付けする際に中継装置１３０のポートに接続される。

調整検査用ＰＣ２００は、車両１の整備、点検、又は修理等を行う際に必要なダイアグノーシスリーダ等の機能の他に、後付けＥＣＵ１４０のセットアップを行う機能を有する。ダイアグノーシスリーダ等の機能は、制御部２２０によって実現され、後付けＥＣＵ１４０のセットアップを行う機能は、認証処理部２１０と制御部２２０によって実現される。

なお、認証処理部２１０と制御部２２０は、調整検査用ＰＣ２００が実行するプログラムの機能（ファンクション）を機能ブロックとして示したものである。また、メモリ２３０は、調整検査用ＰＣ２００のメモリを機能的に表したものである。

以下では、ＥＣＵ１１０−１、１１０−２、・・・、１１０−Ｎを区別しない場合は、単にＥＣＵ１１０と称す。ＥＣＵ１１０は、第１制御部の一例である。車載ネットワークシステム１００は、１個以上のＥＣＵ１１０を含めばよく、複数の中継装置１３０を含んでいてもよい。

ＥＣＵ１１０−１、１１０−２、・・・、１１０−Ｎ、ＤＣＭ１２０、後付けＥＣＵ１４０は、バス１１１を介して中継装置１３０に接続されており、中継装置１３０を介して互いに接続されている。中継装置１３０とバス１１１を利用したネットワークは、例えば、車載ＬＡＮ（Local Area Network）のようなネットワークであり、一例として、イーサネット(登録商標・Ethernet)規格に準拠したものである。

ＥＣＵ１１０−１、１１０−２、・・・、１１０−Ｎのうちのいずれかには、車速やアクセル開度等の車両１の情報を検出するセンサが接続されていてもよい。

ＤＣＭ１２０は、ＬＴＥ（Long Term Evolution）や５Ｇ（5th Generation）等の携帯電話網等でセンタ３００と通信を行うデータ通信装置である。

中継装置１３０は、ＥＣＵ１１０−１、１１０−２、・・・、１１０−Ｎ、ＤＣＭ１２０、及び後付けＥＣＵ１４０の間でデータを中継する装置であり、スイッチ又はゲートウェイとして捉えることができる装置である。中継装置１３０は、中継機器の一例である。

中継装置１３０は、ポート１３１−１、１３１−２、・・・、１３１−Ｎ、１３２、１３３、１３４と、中継処理部１３５と、メモリ１３６とを有する。ポート１３１−１、１３１−２、・・・、１３１−Ｎ、１３２、１３３、１３４は、中継装置１３０における通信線の差込口である。

ポート１３１−１、１３１−２、・・・、１３１−Ｎ、１３２には、それぞれ、ＥＣＵ１１０−１、１１０−２、・・・、１１０−Ｎ、ＤＣＭ１２０が接続される。ポート１３１−１、１３１−２、・・・、１３１−Ｎ、１３２は、ＥＣＵ１１０とＤＣＭ１２０を接続する端子である。

また、ポート１３３、１３４には、調整検査用ＰＣ２００と後付けＥＣＵ１４０を接続することができる。この場合に、ポート１３３は第１ポートの一例であり、ポート１３４は第２ポートの一例である。

中継処理部１３５は、ポート１３１−１、１３１−２、・・・、１３１−Ｎ、１３２の間で、イーサネットフレーム又は認証用イーサネットフレームの転送処理を行う処理部である。メモリ１３６は、転送処理等に必要なソフトウェアやデータを格納する。なお、中継処理部１３５は、中継装置１３０が実行するプログラムの機能（ファンクション）を機能ブロックとして示したものである。また、メモリ１３６は、中継装置１３０のメモリを機能的に表したものである。

後付けＥＣＵ１４０は、中継装置１３０のポート１３３又は１３４に接続される。後付けとは、車載ネットワークシステム１００を搭載する車両１の工場出荷時には取り付けられておらず、工場から出荷された後に取り付けられることをいう。後付けとは、レトロフィットの意味である。

後付けＥＣＵ１４０は、例えば、ナビゲーション装置用のナビゲーションＥＣＵ、クルーズコントロール用のＥＣＵ、レーダークルーズコントロール用のＥＣＵ等である。後付けＥＣＵ１４０は、第２制御部の一例である。

後付けＥＣＵ１４０は、認証処理部１４１、制御部１４２、及びメモリ１４３を有する。認証処理部１４１は、後付けＥＣＵ１４０がポート１３３又は１３４に接続されたときに、中継装置１３０及びＤＣＭ１２０を経由して、センタ３００と認証処理を行う。制御部１４２は、後付けＥＣＵ１４０の機能（例えば、ナビゲーションＥＣＵ等）を実現する制御処理を行う。メモリ１４３は、認証処理部１４１と制御部１４２が実行する処理に必要なソフトウェアやデータを格納する。

なお、認証処理部１４１と制御部１４２は、後付けＥＣＵ１４０が実行するプログラムの機能（ファンクション）を機能ブロックとして示したものである。また、メモリ１４３は、後付けＥＣＵ１４０のメモリを機能的に表したものである。

車載ネットワークシステム１００は、ADAS(Advanced Driver-Assistance Systems：先進運転支援システム）やスマートキー（電子キー）に関する様々なデータを通信するため、ポート１３３、１３４に接続する機器には、高度な安全性が求められる。このため、車載ネットワークシステム１００は、ポート１３３、１３４に機器が接続されると、車両１の製造会社の認定を受けた機器であるかどうかを判定するための認証処理等を行う。

後付けＥＣＵ１４０は、認証が成立した上で、調整検査用ＰＣ２００によって通信用の設定が行われると、車載ネットワークシステム１００に接続された状態で利用可能になる。

図２は、実施の形態に係るＥＣＵ１１０のハードウェア構成例を示す図である。ＥＣＵ１１０は、バスＢで相互に接続されるドライブ装置１０、補助記憶装置１２、メモリ装置１３、ＣＰＵ１４、インタフェース装置１５を有する。

ＥＣＵ１１０での処理を実現する情報処理プログラムは、例えば、記録媒体１１によって提供される。情報処理プログラムを記録した記録媒体１１がドライブ装置１０にセットされると、情報処理プログラムが記録媒体１１からドライブ装置１０を介して補助記憶装置１２にインストールされる。但し、情報処理プログラムのインストールは必ずしも記録媒体１１を利用して行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１２は、インストールされた情報処理プログラムを格納すると共に、必要なファイルやデータ等を格納する。

メモリ装置１３は、例えば、ＲＡＭ（Random access memory）であり、プログラムの起動指示があった場合に、補助記憶装置１２からプログラムを読み出して格納する。ＣＰＵ１４は、メモリ装置１３に格納されたプログラムに従ってＥＣＵ１１０に係る機能を実現する。インタフェース装置１５は、ネットワークに接続するためのインタフェースとして用いられる。

記録媒体１１の一例としては、ＣＤ−ＲＯＭ、ＤＶＤディスク、又はＵＳＢメモリ等の可搬型の記録媒体が挙げられる。また、補助記憶装置１２の一例としては、ＨＤＤ（Hard Disk Drive）又はフラッシュメモリ等が挙げられる。記録媒体１１及び補助記憶装置１２のいずれについても、コンピュータ読み取り可能な記録媒体に相当する。

なお、図２ではＥＣＵ１１０のハードウェア構成例として説明したが、中継装置１３０、後付けＥＣＵ１４０、及び調整検査用ＰＣ２００も同様のハードウェア構成を有する。

図３は、イーサネットフレームの構成を示す図である。イーサネットフレームは、車載ネットワークシステム１００における通信データであり、送信先アドレス、送信元アドレス、タイプ、及びデータを含む。送信先アドレスと送信元アドレスは、それぞれ、送信先と送信元のアドレスを表す。

タイプは、イーサネットフレームに含まれるデータがどのような通信目的のデータであるかを示すものであり、例えば、データ送受信であるか、認証目的であるか等を区別するために用いられる。

図４は、中継装置１３０のメモリ１３６に格納される管理テーブルを示す図である。管理テーブルとは、中継装置１３０がイーサネットフレーム又は認証用イーサネットフレームを中継する際に利用するテーブル形式のデータである。管理テーブルは、ポート番号、アドレス、グループ、受付タイプの各データを含む。中継装置１３０は、管理テーブルの記載内容に従って、イーサネットフレーム又は認証用イーサネットフレームを中継する。管理テーブルは、管理データベースの一例である。

ポート番号は、図１に示すポート１３１−１、１３１−２、・・・、１３１−Ｎ、１３２、１３３、１３４の各々に割り振られた番号である。ここでは、一例として、ポート１３１−１、１３１−２、１３１−Ｎ、１３２、１３３、１３４に割り振られたポート番号が１〜６であることとする。

アドレスは、中継装置１３０(Switch)、ＥＣＵ１１０−１、１１０−２、１１０−Ｎ、ＤＣＭ１２０のそれぞれのアドレスであり、ＩＤ(Identifier)であってもよい。ここでは、簡略化のために、ＥＣＵ１１０については、ＥＣＵ１１０−１、１１０−２、１１０−Ｎのアドレスを示す。

グループは、ＥＣＵ１１０−１、１１０−２、１１０−Ｎ、ＤＣＭ１２０、中継装置１３０をグループ分けした各グループの識別子を表す。

受付タイプは、管理テーブルのアドレスの機器が受信するイーサネットフレームのタイプ（図３参照）を表す。受付タイプは、複数ある場合がある。

中継装置１３０は、管理テーブルを参照して、ポート１３１−１、１３１−２、・・・、１３１−Ｎ、１３２、１３３、１３４を介して受信したイーサネットフレームの転送可否を判断する。

次に、中継装置１３０の中継処理におけるフィルタ動作について説明する。図５は、中継装置１３０の中継処理におけるフィルタ動作を示すフローチャートである。図５に示すフィルタ動作は、中継処理部１３５によって実行される。

中継処理部１３５は、処理を開始（スタート）すると、イーサネットフレームを受信したかどうかを判定する（ステップＳ１）。中継処理部１３５は、ステップＳ１の処理を所定の周期で繰り返し実行する。

中継処理部１３５は、管理テーブルを参照し、イーサネットフレームを受信したポートに対応するアドレスが、受信したイーサネットフレームに含まれる送信元アドレスと一致するかどうかを判定する（ステップＳ２）。

中継処理部１３５は、受信したポートに対応するアドレスが送信元アドレスと一致する（Ｓ２：ＹＥＳ）と判定すると、管理テーブルを参照し、受信したイーサネットフレームに含まれる送信先アドレスと一致するポートを探す（ステップＳ３）。

中継処理部１３５は、管理テーブルを参照し、受信したイーサネットフレームに含まれる送信元アドレスと送信先アドレスのグループが同一であるかどうかを判定する（ステップＳ４）。

中継処理部１３５は、グループが同一である（Ｓ４：ＹＥＳ）と判定すると、受信したイーサネットフレームのタイプが送信先アドレスの受付タイプに含まれるかどうかを判定する（ステップＳ５）。ここで、受信したイーサネットフレームのタイプが送信先アドレスの受付タイプに含まれるかどうかとは、受信したイーサネットフレームのタイプが送信先アドレスの受付タイプとして登録されている１又は複数のタイプのうちのいずれか１つと一致するかどうかということである。

中継処理部１３５は、受信したイーサネットフレームのタイプが送信先アドレスの受付タイプに含まれる（Ｓ５：ＹＥＳ）と判定すると、イーサネットフレームを送信先アドレスに転送する（ステップＳ６）。

中継処理部１３５は、以上でフィルタ動作についての一連の処理を終了する（エンド）。中継処理部１３５は、フィルタ動作を繰り返し実行する。なお、中継処理部１３５は、ステップＳ１、Ｓ２、Ｓ４、Ｓ５でＮＯと判定した場合は、一連の処理をやり直すためにフローをステップＳ１にリターンする。

ここで、中継装置１３０が受信したイーサネットフレームの転送可否を判断する例として、２番のポートから受信したイーサネットフレームに含まれる送信先アドレスが"ＥＣＵ１１０−１"、送信元アドレスが"ＥＣＵ１１０−２"、タイプが"Ｄ"（Ｄａｔａ）である場合の中継処理におけるフィルタ動作について説明する。

中継処理部１３５はまず、管理テーブルを参照し、イーサネットフレームを受信したポート２に対応するアドレス（ＥＣＵ１１０−２）が送信元アドレスと同一であることを認識する。

次に中継処理部１３５は、管理テーブルを参照し、イーサネットフレームに含まれる送信先アドレス（ＥＣＵ１１０−１）と一致するアドレスに対応するポートを探す。そのポートは１番であり、中継処理部１３５は受信したイーサネットフレームをポート１に転送すれば良いことを認識する。

次に中継処理部１３５は、管理テーブルを参照し、イーサネットフレームの送信元アドレス（ＥＣＵ１１０−２）と送信先アドレス（ＥＣＵ１１０−１）が、同一のグループに属するかを判定する。図４に示す管理テーブルでは、同一のグループＺに所属する。

同一のグループＺに所属する場合は、中継処理部１３５は、さらに、管理テーブルを参照し、イーサネットフレームに含まれるタイプ"Ｄ"が、送信先アドレス（ＥＣＵ１１０−１）の受付タイプに含まれるかどうかを判定する。

図４に示す管理テーブルでは、送信先アドレス（ＥＣＵ１１０−１）に対応するポート１に対応する受付タイプは"Ｄ"であり、イーサネットフレームに含まれるタイプが、送信先アドレスの受付タイプに含まれる（一致する）ことが分かる。

以上により、ステップＳ１、Ｓ２、Ｓ４、Ｓ５のすべての条件が成立する。このため、中継処理部１３５は、受信したイーサネットフレームを送信先アドレスに転送する。ここで、成立しない条件が１つでもあれば、中継処理部１３５は、受信したイーサネットフレームを転送せずに破棄する。以上が、中継処理部１３５の中継処理時のフィルタ動作である。

次に、車載ネットワークシステム１００における中継装置１３０の認証時のフレーム転送動作について説明する。

図６は、認証用イーサネットフレームの構成を示す図である。認証用イーサネットフレームは、調整検査用ＰＣ２００又は後付けＥＣＵ１４０がポート１３３又は１３４に接続されると出力するイーサネットフレームである。ここでは、調整検査用ＰＣ２００をポート１３３に接続する場合について説明する。

認証用イーサネットフレームは、送信先アドレスの認証用特別値、送信元アドレス、タイプの認証用特別値、ＥＡＰｏＬヘッダ、及びデータを含む。認証用イーサネットフレームのフォーマットは、図３に示すイーサネットフレームのフォーマットと基本的に同じであるが、送信先アドレスとタイプに認証用特別値が記述される。

例えば、ＩＥＥＥ８０２．１ｘ規格準拠の認証を行う場合には、送信先アドレスとタイプに認証用特別値が記述される。また、送信元アドレスには調整検査用ＰＣ２００であることを示すアドレス値が記述される。

また、ＩＥＥＥ８０２．１ｘ規格準拠の認証であれば更に、データの前にＥＡＰｏＬヘッダと呼ばれるデータが入る。ＥＡＰｏＬヘッダは、それに続くデータが認証手続きのどの処理であるかを表すコードである。

図７は、中継装置１３０の中継処理において認証用イーサネットフレームを受信した場合の処理を示すフローチャートである。図７に示す処理は、図５に示す処理と平行して中継処理部１３５によって行われる処理である。

中継処理部１３５は、認証用イーサネットフレームを受信したかどうかを判定する（ステップＳ１１）。

ここで、調整検査用ＰＣ２００が認証処理を行う場合に、中継装置１３０の空きポート１３３又は１３４に調整検査用ＰＣ２００を接続すると、調整検査用ＰＣ２００は、認証用イーサネットフレームを出力する。

また、調整検査用ＰＣ２００は、中継装置１３０及びＤＣＭ１２０を介してセンタ３００と認証用イーサネットフレームの送受信を行う。このため、中継装置１３０が認証用イーサネットフレームを調整検査用ＰＣ２００から受信する場合と、中継装置１３０が認証用イーサネットフレームをセンタ３００から受信する場合とがある。

ここで、調整検査用ＰＣ２００が認証処理を行う際にＤＣＭ１２０を介してセンタ３００に接続するのは、ＤＣＭ１２０は、接続先がセンタ３００にほぼ決まっており、センタ３００以外に接続する可能性が低く、認証処理を行う経路として安全性が高いからである。なお、これは、後付けＥＣＵ１４０が認証処理を行う際も同様である。

また、後付けＥＣＵ１４０を空きポート１３３又は１３４に接続した場合には、後付けＥＣＵ１４０は、調整検査用ＰＣ２００と同様に認証用イーサネットフレームを出力する。すなわち、後付けＥＣＵ１４０は、中継装置１３０を介して、センタ３００と認証用イーサネットフレームの送受信を行う。このため、中継装置１３０が認証用イーサネットフレームを後付けＥＣＵ１４０から受信する場合と、中継装置１３０が認証用イーサネットフレームをセンタ３００から受信する場合とがある。

中継処理部１３５は、認証用イーサネットフレームを受信した（Ｓ１１：ＹＥＳ）と判定した場合には、管理テーブルを参照し、認証用イーサネットフレームを受信したポートが空きポートであるかどうかを判定する（ステップＳ１２）。空きポートは、５番と６番のポート（ポート１３３、１３４）であり、管理テーブルでアドレスが関連付けられていないポートである。

中継処理部１３５は、空きポートである（Ｓ１２：ＹＥＳ）と判定すると、認証用イーサネットフレームの送信元アドレスを、認証用イーサネットフレームを受信したポートのアドレスに登録する（ステップＳ１３）。

中継処理部１３５は、認証用イーサネットフレームの送信先アドレスとタイプがともに認証用特別値であるかどうかを判定する（ステップＳ１４）。

中継処理部１３５は、送信先アドレスとタイプがともに認証用特別値である（Ｓ１４：ＹＥＳ）と判定すると、管理テーブルを参照して、認証用イーサネットフレームの転送先を検索する（ステップＳ１５）。

次いで、中継処理部１３５は、ＥＡＰｏＬヘッダが認証手続きの適切な処理を表すかどうかを判定する（ステップＳ１６）。適切な処理とは、例えば、ＩＥＥＥ８０２．１ｘ規格準拠の認証を行う場合には、ＩＥＥＥ８０２．１ｘ規格に応じた認証手続きで正規の順番に従って段階的に行われる処理をいう。

中継処理部１３５は、例えば、ＩＥＥＥ８０２．１ｘ規格に応じた認証手続きで正規の順番に従って段階的に行われる処理に関するデータをメモリ１３６に格納しておき、受信した照合用イーサネットフレームのＥＡＰｏＬヘッダが表す処理と、メモリ１３６に格納されたデータとを照合することによって、ステップＳ１６の処理を行う。

中継処理部１３５は、ＥＡＰｏＬヘッダは認証手続きの適切な処理を表す（Ｓ１６：ＹＥＳ）と判定すると、中継する認証用イーサネットフレームのＥＡＰｏＬヘッダとそれに続くデータを読み取る（ステップＳ１７）。

次いで、中継処理部１３５は、中継する認証用イーサネットフレームを送信先アドレスに転送する（ステップＳ１８）。

中継処理部１３５は、すべての認証用イーサネットフレームの転送が完了したかどうかを判定する（ステップＳ１９）。

中継処理部１３５は、すべての認証用イーサネットフレームの転送が完了した（Ｓ１９：ＹＥＳ）と判定すると、Ｓ１８で読み取ったデータに基づき、認証が成立したかどうかを判定する（ステップＳ２０）。認証が成立した場合には、センタ３００から受信する認証用イーサネットフレームのデータに、認証が成立したことを表すデータが含まれるからである。

中継処理部１３５は、認証が成立した（Ｓ２０：ＹＥＳ）と判定すると、管理テーブルのグループ及び受付タイプを識別処理及び設定処理用のグループ及び受付タイプに変更する（ステップＳ２１）。認証が成立したため、後に行う識別処理及び設定処理に備えてグループ及び受付タイプを設定することとしたものである。

ステップＳ２１の処理は、調整検査用ＰＣ２００の認証処理を行っている場合は、調整検査用ＰＣ２００が接続されるポートに管理テーブルで関連付けられたグループ及び受付タイプを識別処理及び設定処理用のグループ及び受付タイプに変更する処理である。

また、ステップＳ２１の処理は、後付けＥＣＵ１４０の認証処理を行っている場合は、後付けＥＣＵ１４０が接続されるポートに管理テーブルで関連付けられたグループ及び受付タイプを識別処理及び設定処理用のグループ及び受付タイプに変更する処理である。

識別処理及び設定処理用のグループ及び受付タイプは、中継装置１３０のグループ及び受付タイプと同一である。調整検査用ＰＣ２００と中継装置１３０との間、又は、後付けＥＣＵ１４０と中継装置１３０との間における認証処理用及び設定処理用のイーサネットフレームの送受信を可能にするためである。

中継処理部１３５は、以上で中継処理において認証用イーサネットフレームを受信した場合の処理を終了する。中継処理部１３５は、図７に示す処理を繰り返し実行する。

なお、中継処理部１３５は、ステップＳ１１、Ｓ１２、Ｓ１９でＮＯと判定した場合は、一連の処理をやり直すためにフローをステップＳ１１にリターンする。

また、中継処理部１３５は、ステップＳ１４において、認証用イーサネットフレームの送信先アドレスとタイプの少なくともどちらか一方が認証用特別値ではない（Ｓ１４：ＮＯ）と判定した場合には、受信した認証用イーサネットフレームを転送せずに破棄する（ステップＳ２２）。中継処理部１３５は、ステップＳ２１の処理を終えると、一連の処理を終える（エンド）。

また、中継処理部１３５は、ステップＳ１６において、ＥＡＰｏＬヘッダは認証手続きの適切な処理を表さない（Ｓ１６：ＮＯ）と判定すると、ステップＳ１７をスキップしてフローをステップＳ１８に進行させる。データを読み取らずにセンタ３００にイーサネットフレームを転送するためである。

また、中継処理部１３５は、ステップＳ２０において、認証が成立していない（Ｓ２０：ＮＯ）と判定すると、一連の処理を終える（エンド）。

次に、中継装置１３０の中継処理において認証用イーサネットフレームを受信した場合の処理の具体例として、図４に示す管理テーブルがある場合に、空きポート５（ポート１３３）に調整検査用ＰＣ２００が接続され、ポート５（ポート１３３）から受信した認証用イーサネットフレームに含まれる送信先アドレスが"認証用特別値"であり、送信元アドレスが"ＰＣ"であり、タイプが"認証用特別値"である場合の動作について説明する。

中継処理部１３５は、認証用イーサネットフレームを受信すると、管理テーブルを参照し、認証用イーサネットフレームを受信したポート５は、空きポートであるかどうかを判定する。

ポート５は空いているので、中継処理部１３５は、図４に示す管理テーブルに対して、認証用イーサネットフレームの送信元アドレス"ＰＣ"を、ポート５のアドレスに登録する。この結果、管理テーブルは、図８に示すように変更される。

図８は、調整検査用ＰＣ２００の送信元アドレスを登録した時点の管理テーブルを示す図である。図８に示すように、ポート５に送信元アドレス"ＰＣ"が登録され、グループと受付タイプは、値なしである。

次に、中継処理部１３５は、受信した認証用イーサネットフレームの送信先アドレスとタイプを確認し、どちらも認証用特別値であるため、図８の管理テーブルから、認証用イーサネットフレームの転送先を検索する。

ここで、認証用イーサネットフレームを受け付けるポートの受付タイプを"Ａ"（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）とする場合、図８の管理テーブルで"Ａ"を含むのはポート４（ポート１３２）であり、ポート４にはＤＣＭ１２０が接続されている。

従って、中継処理部１３５は、受信した認証用イーサネットフレームの転送先をポート４に決定する。

中継処理部１３５は、ＥＡＰｏＬヘッダが認証手続きの適切な処理を表すことを確認すると、受信した認証用イーサネットフレームをポート４に転送する。ここで、中継処理部１３５は、認証用イーサネットフレームのタイプがＩＥＥＥ８０２．１ｘ規格準拠の認証を示す認証用特別値である場合には、中継処理部１３５内でＩＥＥＥ８０２．１準拠のプロトコル変換を行ってから、ポート４に認証用イーサネットフレームを転送する。

この段階で、調整検査用ＰＣ２００は、中継装置１３０及びＤＣＭ１２０を経由してセンタ３００との間で認証通信を行う。認証通信では、中継装置１３０が調整検査用ＰＣ２００とセンタ３００との間で認証用イーサネットフレームを転送する。

認証通信では、調整検査用ＰＣ２００は、認証用のＩＤ、パスワード、証明書等を含む認証用イーサネットフレームをセンタ３００に送信する。センタ３００は、受信した認証用のＩＤ、パスワード、証明書等がセンタ３００に登録済みのものと一致すれば認証が成立したと判定する。

中継処理部１３５は、センタ３００での認証判断の結果を知るために、認証用イーサネットフレームの中継時にＥＡＰｏＬヘッダとそれに続くデータを確認する。認証が成立した場合は、中継処理部１３５は、図８に示される管理テーブルを図９に示すようにさらに変更する。

図９は、調整検査用ＰＣ２００の認証処理が完了した時点の管理テーブルを示す図である。具体的には、調整検査用ＰＣ２００が接続されたポート５に関連付けられるグループと受付タイプを、値なしの状態から識別処理及び設定処理用のグループと受付タイプに変更する。識別処理及び設定処理のうちの設定処理には中継装置１３０自体も関わるため、図９に示すように、中継装置１３０が所属するグループ"Ｙ"をポート５に関連付けられるグループに登録する。

また、同一グループ内でのイーサネットフレームの送受信を可能にするために、図９に示すように、ポート５に関連付けられる受付タイプを中継装置１３０の受付タイプと同一の"Ｄ"（Ｄａｔａ）に設定する。認証が成立したので、識別処理及び設定処理用のグループと受付タイプに変更し、調整検査用ＰＣ２００を中継装置１３０と通信可能にするためである。

以上が、中継装置１３０において、当初空いていたポート５（ポート１３３）に調整検査用ＰＣ２００を接続した場合に中継処理部１３５が行う認証処理である。

図１０は、ＩＥＥＥ８０２．１準拠のプロトコル変換を説明する図である。

図１０（Ａ）に示すように、調整検査用ＰＣ２００及び後付けＥＣＵ１４０は、認証用のアプリケーションで利用するイーサネットフレームの認証用プロトコルとして、無線ＬＡＮ(Local Area Network)用のＩＥＥＥ８０２．１ｘ規格に準拠したＥＡＰｏＬ(Extensible Authentication Protocol over LANs)ヘッダとＥＡＰを利用している。

また、センタ３００は、認証用のアプリケーションで利用するプロトコルとして、ＩＰ(Internet Protocol)、ＵＤＰ(User Datagram Protocol)、ＲＡＤＩＵＳ(Remote Authentication Dial In User Service)、及びＥＡＰを利用している。

中継装置１３０の中継処理部１３５は、調整検査用ＰＣ２００及び後付けＥＣＵ１４０と、センタ３００との間で認証用イーサネットフレームを中継する際に、図１０（Ａ）に示すように、ＥＡＰｏＬヘッダと、ＩＰ、ＵＤＰ、及びＲＡＤＩＵＳとを変換するプロトコル変換処理を行う。

また、調整検査用ＰＣ２００と後付けＥＣＵ１４０は、図１０（Ｂ）に示すように、中継装置１３０を経由して、イーサネットプロトコルで動作する専用のアプリケーション(Application)プログラムを用いてイーサネットフレームの送受信を行う。

調整検査用ＰＣ２００の認証処理部２１０と制御部２２０のイーサネットフレームの送受信に関する機能は、このようなアプリケーションによって実現される。また、後付けＥＣＵ１４０の認証処理部１４１と制御部１４２のイーサネットフレームの送受信に関する機能は、このようなアプリケーションによって実現される。

また、調整検査用ＰＣ２００と中継装置１３０は、図１０（Ｃ）に示すように、イーサネットプロトコルで動作する専用のアプリケーション(Application)プログラムを用いて、イーサネットフレームの送受信を行う。

調整検査用ＰＣ２００の認証処理部２１０と制御部２２０のイーサネットフレームの送受信に関する機能は、このようなアプリケーションによって実現される。また、中継装置１３０の中継処理部１３５のイーサネットフレームの送受信に関する機能は、このようなアプリケーションによって実現される。

また、以上では、調整検査用ＰＣ２００の認証処理について説明したが、中継装置１３０は、当初空きポートであったポート６（ポート１３４）に後付けＥＣＵ１４０が接続されたときにも、図７と同様の認証処理を行う。

そして、調整検査用ＰＣ２００の認証に加えて、後付けＥＣＵ１４０の認証が成立すると、管理テーブルが図１１のように変更される。図１１は、調整検査用ＰＣ２００及び後付けＥＣＵ１４０の両方の認証が成立した場合の管理テーブルのデータを示す図である。図１１に示す管理テーブルは、図９に示す管理テーブルに比べて、後付けＥＣＵ１４０のグループ及び受付タイプが中継装置１３０と同一のグループ及び受付タイプに変更されている。後付けＥＣＵ１４０の通信設定を行う際に、調整検査用ＰＣ２００と後付けＥＣＵ１４０とがイーサネットフレームの送受信を行えるようにするためである。

調整検査用ＰＣ２００が図１１に示す管理テーブルに基づいてイーサネットフレームの送受信を行えるのは、同じグループＹに属する中継装置１３０と後付けＥＣＵ１４０だけである。

同様に、後付けＥＣＵ１４０が図１１に示す管理テーブルに基づいてイーサネットフレームの送受信を行えるのは、同じグループＹに属する中継装置１３０と調整検査用ＰＣ２００だけである。この時点ではまだ、後付けＥＣＵ１４０は、ＥＣＵ１１０及びＤＣＭ１２０とイーサネットフレームの送受信を行うことはできない。

次に、調整検査用ＰＣ２００が後付けＥＣＵ１４０に対して識別処理及び設定処理を行う際の中継装置１３０の動作について説明する。ここで、識別処理とは、調整検査用ＰＣ２００が後付けＥＣＵ１４０の種類を識別する処理である。後付けＥＣＵ１４０の種類とは、例えば、ナビゲーション装置用のナビゲーションＥＣＵ、クルーズコントロール用のＥＣＵ、レーダークルーズコントロール用のＥＣＵ等のような後付けＥＣＵ１４０の具体的な種類であり、種類毎にＩＤ(Identifier)を有する。また、設定処理とは、調整検査用ＰＣ２００が後付けＥＣＵ１４０の通信設定を行う処理である。

調整検査用ＰＣ２００が後付けＥＣＵ１４０を識別する際には、中継装置１３０の中継処理部１３５は、図１１に示す管理テーブルに従って、調整検査用ＰＣ２００及び後付けＥＣＵ１４０に対して、調整検査用ＰＣ２００と後付けＥＣＵ１４０との間での中継装置１３０を経由したイーサネットフレームの送受信と、調整検査用ＰＣ２００又は後付けＥＣＵ１４０と、中継装置１３０との間でのイーサネットフレームの送受信とのみを許可する。

図１２は、調整検査用ＰＣ２００が行う識別処理及び設定処理を示すフローチャートを表す図である。図１３は、図１２に示す処理で利用するグループデータベースを示す図である。グループデータベースは、調整検査用ＰＣ２００のメモリ２３０に格納されている。

まず、図１３のグループデータベースについて説明する。図１３に示すグループデータベースは、後付けＥＣＵ１４０の種類とグループを関連付けたデータである。このようなグループデータベースは、車両１に後付けできる機能毎に、後付けＥＣＵ１４０の種類とグループが関連付けられている。なお、グループは、図４、８、９、１１に示す管理テーブルに含まれるグループである。

図１３に示すように、ナビゲーションＥＣＵのグループはＹであり、クルーズコントロールＥＣＵのグループはＺ，Ｐであり、レーダークルーズコントロール用ＥＣＵのグループはＺ，Ｐである。

調整検査用ＰＣ２００の制御部２２０は、識別処理において、後付けＥＣＵ１４０に対して、プロダクトＩＤ、ソフトウェアバージョン、機能（後付けＥＣＵ１４０の機能）等を表すデータをＥＣＵ情報として要求する（ステップＳ３１）。制御部２２０は、図１０（Ｂ）に示すように、イーサネットプロトコルで動作するアプリケーションによって、後付けＥＣＵ１４０に対してプロダクトＩＤ等をＥＣＵ情報として要求する。

制御部２２０は、後付けＥＣＵ１４０からＥＣＵ情報を取得すると、取得したＥＣＵ情報に基づいて、図１３に示すグループデータベースを参照して、後付けＥＣＵ１４０を所属させるグループを読み出す（ステップＳ３２）。

次いで、制御部２２０は、ステップＳ３２で読み出したグループのデータを用いて、後付けＥＣＵ１４０の通信設定を行う（ステップＳ３３）。より具体的には、制御部２２０は、後付けＥＣＵ１４０の通信設定において、中継装置１３０の中継処理部１３５に管理テーブルの設定変更を行わせる。

例えば、中継装置１３０が保持する管理テーブルが図１１に示すデータを含む場合は、ＥＣＵ１１０−１、ＥＣＵ１１０−２、及びＤＣＭ１２０がグループＺに属している。また、ＥＣＵ１１０−Ｎ、及びＤＣＭ１２０がグループＰに属している。

ステップＳ３１で取得したＥＣＵ情報に含まれる機能に、図１３に示すグループデータベースで対応する後付けＥＣＵ１４０に関連付けられたグループがＰであれば、ポート６がグループＰに属するように、調整検査用ＰＣ２００が中継装置１３０の中継処理部１３５に管理テーブルの設定変更を行わせる。

調整検査用ＰＣ２００の制御部２２０は、図１０（Ｃ）に示すように、イーサネットプロトコルで動作するアプリケーションによって、中継装置１３０の中継処理部１３５に管理テーブルの設定変更を行わせる。

通信設定では、調整検査用ＰＣ２００は、イーサネットフレームの送信先アドレスに中継装置１３０のアドレスを設定する。中継装置１３０の中継処理部１３５は、受信したイーサネットフレームに含まれる送信先アドレスが中継装置１３０のアドレスである場合には、そのイーサネットフレームを自己（中継処理部１３５）に送信する。

中継装置１３０の中継処理部１３５は、受信したイーサネットフレームに含まれるデータの内容に応じて動作する。例えば、中継処理部１３５は、調整検査用ＰＣ２００の制御部２２０から「後付けＥＣＵ１４０が接続されるポート６をグループＰに加える」という指令がデータとして書き込まれたイーサネットフレームを受信した場合は、この指令に従って管理テーブルを変更する。調整検査用ＰＣ２００の制御部２２０は、このような指令をステップＳ３２で読み出したグループのデータを用いて生成する。

図１４は、通信設定によって変更された管理テーブルの一例を示す図である。後付けＥＣＵ１４０のアドレスに関連付けられたグループは、図１１に示すＹから、図１４に示す通りＰに変更されている。

このような通信設定が行われると、後付けＥＣＵ１４０は、同じグループＰに属するＥＣＵ１００−Ｎとの間でイーサネットフレームの送受信を行えるようになる。

以上の処理により、車載ネットワークシステム１００に接続した後付けＥＣＵ１４０を動作可能な状態にすることができ、車載ネットワークシステム１００において、セキュリティを十分に確保しつつ、プラグ・アンド・プレイを実現することができる。なお、通信設定が終了すると、調整検査用ＰＣ２００の役目は終わるため、調整検査用ＰＣ２００を中継装置１３０から外してもよい。

実施の形態によれば、車載ネットワークシステム１００におけるプラグ・アンド・プレイによって、将来的にセキュリティのレベルを上げたり、接続可能な機器を増やしたりしても、車載ネットワークシステム１００が含むマイクロコンピュータ等の処理能力やメモリ量を増やすことなく、柔軟に対応することができる。

従って、リソースを節約した車載ネットワークシステム１００を提供することができる。従来のシステムのように、通信設定に必要なソフトウェアやデータを車載側のシステムに搭載している場合に比べて、マイクロコンピュータ等の処理能力を上げる必要が生じず、メモリ量を増やす必要も生じないので、リソースを節約することができる。

また、調整検査用ＰＣ２００と後付けＥＣＵ１４０の認証が成立した状態において、調整検査用ＰＣ２００と後付けＥＣＵ１４０との間での中継装置１３０を経由したイーサネットフレームの送受信と、調整検査用ＰＣ２００又は後付けＥＣＵ１４０と、中継装置１３０との間でのイーサネットフレームの送受信とのみを許可するので、ネットワークのセキュリティを確保した状態で、後付けＥＣＵ１４０の通信設定を行うことができる。

また、通信設定では、調整検査用ＰＣ２００がグループデータベースを参照して後付けＥＣＵ１４０の種類や機能に応じたグループに所属させるので、容易かつ正確に後付けＥＣＵ１４０のグループを把握することができ、ネットワークのセキュリティを確保しつつ、後付けＥＣＵ１４０のプラグ・アンド・プレイを実現することができる。

車載ネットワークシステム１００は、車両１に搭載されるため、安全性の確保が非常に重要である。例えば、オフィスで用いるネットワークシステムのような車載型ではないネットワークシステムにおいてＵＳＢ(Universal Serial Bus)に様々な機器を接続するように自由にプラグ・アンド・プレイを行うことは、車載ネットワークシステム１００では、困難である。

このように車両１に搭載するという前提の下で、実施の形態の車載ネットワークシステム１００は、リソースの節約と、セキュリティを確保した状態でのプラグ・アンド・プレイとを実現している。

なお、以上では、中継装置１３０、後付けＥＣＵ１４０、調整検査用ＰＣ２００、及びセンタ３００がイーサネットプロトコルを利用する形態について説明したが、車載ネットワークシステム１００は、イーサネット以外のプロトコルを利用する場合においても、同様に実現できるものである。

また、以上では、後付けＥＣＵ１４０を車載ネットワークシステム１００に追加する形態について説明したが、既存のＥＣＵ１１０のアプリケーションやファームウェアがアップデートされた場合に、グループ又は受付タイプに変更があった場合に、グループ又は受付タイプを変更してもよい。

この場合には、調整検査用ＰＣ２００、アップデートの対象のＥＣＵ１１０、及び中継装置１３０についての管理テーブルのグループ及び受付タイプを設定処理（通信設定）用のグループ及び受付タイプに設定した状態で、上述した通信設定を行うことによって、アップデートの対象のＥＣＵ１１０のアプリケーションやファームウェアをアップデートすればよい。

また、後付けＥＣＵ１４０のアプリケーションやファームウェアがアップデートされた場合に、グループ又は受付タイプに変更があった場合に、グループ又は受付タイプを変更してもよい。

また、以上では、グループデータベースが調整検査用ＰＣ２００のメモリ２３０に格納される形態について説明したが、グループデータベースはセンタ３００のサーバが保持しており、調整検査用ＰＣ２００がセンタ３００からダウンロードしてもよい。この場合に、調整検査用ＰＣ２００は、ＤＣＭ１２０を経由してセンタ３００からダウンロードしてもよいし、インターネット等を介してセンタ３００から直接的にダウンロードしてもよい。

以上、本発明の例示的な実施の形態の車載ネットワークシステムについて説明したが、本発明は、具体的に開示された実施の形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。

また、以下の項目を開示する。
（項目１）
中継機器と、
前記中継機器に通信可能に接続される第１制御部と
を含み、
前記中継機器は、
第２制御部を後付けする第１ポートと、
前記第１ポートに接続される第２制御部の通信設定処理を行うコンピュータを接続する第２ポートと
を有する、車載ネットワークシステムにおいて、
前記コンピュータが、前記コンピュータ、前記中継機器、及び前記第２制御部のみが通信可能な状態で、前記通信設定処理を行う、車載ネットワークシステムにおける通信設定方法。

１ 車両
１００ 車載ネットワークシステム
１１０−１、１１０−２、・・・、１１０−Ｎ ＥＣＵ
１２０ ＤＣＭ
１３０ 中継装置
１３１−１、１３１−２、・・・、１３１−Ｎ、１３２、１３３、１３４ ポート
１３５ 中継処理部
１３６ メモリ
１４０ 後付けＥＣＵ
１４１ 認証処理部
１４２ 制御部
１４３ メモリ
２００ 調整検査用ＰＣ
３００ センタ
２１０ 認証処理部
２２０ 制御部
２３０ メモリ

Claims (5)

1. 中継機器と、
   前記中継機器に通信可能に接続される第１制御部と、
   前記中継機器に接続される通信装置と
   を含む車載ネットワークシステムであって、
   前記中継機器は、
   第２制御部を後付けする第１ポートと、
   前記第１ポートに接続される第２制御部の通信設定処理を行うコンピュータを接続する第２ポートと
   を有し、
   前記コンピュータは、前記中継機器及び前記通信装置を介して、前記通信装置に接続されるセンタと通信を行うことによって認証処理を行い、
   前記第２制御部は、前記中継機器及び前記通信装置を介して、前記通信装置に接続されるセンタと通信を行うことによって認証処理を行う、車載ネットワークシステム。
2. 前記コンピュータは、前記コンピュータ及び前記第２制御部の認証が成立した場合に、前記第２制御部の通信設定処理を行う、請求項１記載の車載ネットワークシステム。
3. 前記コンピュータは、前記コンピュータ、前記中継機器、及び前記第２制御部のみが通信可能な状態で、前記通信設定処理を行う、請求項１又は２記載の車載ネットワークシステム。
4. 前記中継機器は、前記第１制御部、前記中継機器、前記コンピュータ、及び前記第２制御部のうち、前記第１制御部、前記中継機器、前記コンピュータ、及び前記第２制御部が通信可能な機器を規定する管理データベースを有し、
   前記コンピュータは、前記通信設定処理において、前記管理データベースにおける前記第２制御部が通信可能な機器を表すデータを設定する、請求項１乃至３のいずれか一項記載の車載ネットワークシステム。
5. 前記通信可能な機器を表すデータは、前記第１制御部、前記中継機器、前記コンピュータ、及び前記第２制御部のうち、通信可能な機器同士を含むグループを表すデータである、請求項４記載の車載ネットワークシステム。

Images