Nothing Special   »   [go: up one dir, main page]

WO2019021995A1 - 通信装置、通信方法及び通信システム - Google Patents

通信装置、通信方法及び通信システム Download PDF

Info

Publication number
WO2019021995A1
WO2019021995A1 PCT/JP2018/027465 JP2018027465W WO2019021995A1 WO 2019021995 A1 WO2019021995 A1 WO 2019021995A1 JP 2018027465 W JP2018027465 W JP 2018027465W WO 2019021995 A1 WO2019021995 A1 WO 2019021995A1
Authority
WO
WIPO (PCT)
Prior art keywords
message
ttl
range
ethernet switch
communication
Prior art date
Application number
PCT/JP2018/027465
Other languages
English (en)
French (fr)
Inventor
良浩 氏家
唯之 鳥崎
芳賀　智之
弘泰 寺澤
遼 加藤
Original Assignee
パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ filed Critical パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority to CN201880003923.9A priority Critical patent/CN109845195B/zh
Priority to EP18838307.9A priority patent/EP3661128A1/en
Priority to JP2018552904A priority patent/JP7017520B2/ja
Publication of WO2019021995A1 publication Critical patent/WO2019021995A1/ja
Priority to US16/380,447 priority patent/US10904883B2/en
Priority to US17/129,012 priority patent/US11553484B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/28—Flow control; Congestion control in relation to timing considerations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W72/00—Local resource management
    • H04W72/04—Wireless resource allocation
    • H04W72/044—Wireless resource allocation based on the type of the allocated resource
    • H04W72/0446—Resources in time domain, e.g. slots or frames
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/61—Time-dependent
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/02—Processing of mobility data, e.g. registration information at HLR [Home Location Register] or VLR [Visitor Location Register]; Transfer of mobility data, e.g. between HLR, VLR or external networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/121—Timestamp
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/74—Address processing for routing

Definitions

  • the present disclosure relates to a communication apparatus and the like connected to a mobility network.
  • Patent Document 1 discloses an apparatus that determines devices located in the same group based on the time taken for communication. Further, Patent Document 2 discloses an apparatus for limiting the sharing range of content using a value of TTL (Time To Live) field of an IP (Internet Protocol) frame.
  • TTL Time To Live
  • IP Internet Protocol
  • Patent Document 1 and Patent Document 2 the communication apparatus of the transmission source performs control for suppressing the outflow of data. Therefore, there is a possibility that the normal operation is not performed due to falsification of the communication apparatus of the transmission source or the like, and the data is leaked.
  • this indication aims at providing a communication apparatus etc. which can control the outflow of data.
  • a communication device is a network mounted on mobility, and is a communication device connected to a mobility network that is a network used by a plurality of electronic control devices for communication, the message on the mobility network Using the range information, a holding unit that holds range information indicating a transferable route range defined for the mobile station, a receiving unit that receives the message on the mobility network, and legitimacy of the received message. And a determination unit.
  • the communication device can suppress the flow of data.
  • FIG. 1 is a diagram showing an example of the overall configuration of the in-vehicle network system according to the first embodiment.
  • FIG. 2 is a diagram showing an example of a list of IP addresses and MAC addresses in the first embodiment.
  • FIG. 3 is a diagram showing an example of the configuration of the Ethernet switch according to the first embodiment.
  • FIG. 4 is a diagram showing an example of the configuration of IVI in the first embodiment.
  • FIG. 5 is a diagram showing an example of the configuration of the ECU in the first embodiment.
  • FIG. 6 is a diagram showing an example of the configuration of the CGW in the first embodiment.
  • FIG. 7 is a diagram showing an example of the configuration of the TCU in the first embodiment.
  • FIG. 1 is a diagram showing an example of the overall configuration of the in-vehicle network system according to the first embodiment.
  • FIG. 2 is a diagram showing an example of a list of IP addresses and MAC addresses in the first embodiment.
  • FIG. 3 is a diagram showing an example of the configuration of
  • FIG. 8 is a diagram showing an example of fields included in a message transmitted from the ECU in the first embodiment.
  • FIG. 9 is a diagram showing an example of the configuration of the transfer table in the first embodiment.
  • FIG. 10 is a diagram showing an example of the configuration of the TTL white list in the first embodiment.
  • FIG. 11 is a diagram showing an example of a determination sequence of messages using the TTL white list according to the first embodiment.
  • FIG. 12 is a diagram showing an example of the configuration of the Ethernet switch in the first modification of the first embodiment.
  • FIG. 13 is a diagram showing an example of a configuration of a transfer table in the first modification of the first embodiment.
  • FIG. 14 is a diagram showing an example of the configuration of the TTL white list in the first modification of the first embodiment.
  • FIG. 15 is a diagram showing an example of a determination sequence of a message using the TTL white list in the first modification of the first embodiment.
  • FIG. 16 is a diagram showing an example of the configuration of the Ethernet switch in the second modification of the first embodiment.
  • FIG. 17 is a diagram showing an example of the configuration of the Ethernet switch in the third modification of the first embodiment.
  • FIG. 18 is a diagram showing an example of fields included in the message transmitted from the ECU in the third modification of the first embodiment.
  • FIG. 19 is a diagram showing an example of a determination sequence of a message using the TTL white list in the third modification of the first embodiment.
  • FIG. 20 is a diagram showing an example of the configuration of the Ethernet switch in the second embodiment.
  • FIG. 21 is a diagram showing an example of a configuration of a round trip time (RTT) white list in the second embodiment.
  • FIG. 22 is a diagram showing an example of a determination sequence of messages using the RTT white list in the second embodiment.
  • FIG. 23 is a diagram showing an example of the configuration of an Ethernet switch according to a modification of the second embodiment.
  • FIG. 24 is a diagram showing an example of the overall configuration of the in-vehicle network system in the third embodiment.
  • FIG. 25 is a diagram showing an example of a list of IP addresses and MAC addresses in the third embodiment.
  • FIG. 26 is a diagram showing an example of the configuration of the Ethernet switch in the third embodiment.
  • FIG. 27 is a diagram showing an example of fields included in a message transmitted from the ECU in the third embodiment.
  • FIG. 28 is a diagram showing an example of a configuration of a transfer table in the third embodiment.
  • FIG. 29 is a diagram showing an example of the configuration of a TTL white list in the third embodiment.
  • FIG. 30 is a diagram showing an example of a determination sequence of messages using the TTL white list in the third embodiment.
  • FIG. 31 is a diagram showing an example of a configuration of a TTL white list in a modification of the third embodiment.
  • FIG. 32 is a diagram showing an example of a determination sequence of a message using a TTL white list in the modification of the third embodiment.
  • FIG. 33 is a diagram showing an example of the configuration of the Ethernet switch in the fourth embodiment.
  • FIG. 34 is a diagram showing an example of the configuration of the RTT whitelist in the fourth embodiment.
  • FIG. 35 is a diagram showing an example of a determination sequence of messages using the RTT white list in the fourth embodiment.
  • Patent Document 1 discloses an apparatus that determines devices located in the same group based on the time taken for communication. Further, Patent Document 2 discloses an apparatus for limiting the sharing range of content using a value of TTL (Time To Live) field of an IP (Internet Protocol) frame.
  • TTL Time To Live
  • IP Internet Protocol
  • Patent Document 1 and Patent Document 2 the communication apparatus of the transmission source performs control for suppressing the outflow of data. Therefore, there is a possibility that the normal operation is not performed due to falsification of the communication apparatus of the transmission source or the like, and the data is leaked.
  • a communication device is a network mounted on mobility, and is a communication device connected to a mobility network that is a network used by a plurality of electronic control devices for communication, and on the mobility network
  • a holding unit for holding range information indicating a transferable route range defined for the message, a receiving unit for receiving the message on the mobility network, and legitimacy of the received message, the range information
  • a determination unit that makes a determination using
  • the communication apparatus can suppress the transfer of the message on the mobility network beyond the assumed range, and can suppress the outflow of data.
  • the range information indicates a time-to-live (TTL) range as the transferable route range
  • the determination unit may determine validity of the received message in the received TTL message. The determination may be made by comparing the value with the TTL range indicated by the range information.
  • TTL time-to-live
  • the communication device can determine the legitimacy of the message according to whether or not the value of TTL is properly set in the message. Therefore, the communication apparatus can suppress that the message is transferred beyond the assumed range, and can suppress the outflow of data.
  • the range information indicates a range of round trip time (RTT) as the transferable route range
  • the determination unit includes the legitimacy of the received message in the received message. The determination may be made by comparing the value of RTT derived using information with the range of RTT indicated by the range information.
  • RTT round trip time
  • the range information may indicate the transferable route range determined according to the transmission source or the transmission destination.
  • the communication apparatus can appropriately determine the legitimacy of the message using the range information indicating the transferable route range determined according to the transmission source or the transmission destination.
  • the range information may indicate the transferable route range defined according to the MAC address of the transmission source or the MAC address of the transmission destination.
  • the legitimacy of the message is appropriately determined using range information indicating a transferable route range determined according to the MAC address. Can be determined.
  • the range information may indicate the transferable route range determined according to the IP address of the transmission source or the IP address of the transmission destination.
  • the legitimacy of the message is appropriately determined using range information indicating a transferable route range determined according to the IP address. Can be determined.
  • the range information may indicate the transferable route range determined according to the mobility state.
  • the communication device uses the range information indicating the transferable route range determined according to the mobility state, and the message is valid. It is possible to properly determine the sex.
  • the state of mobility may be a state related to whether the mobility is moving or stopped.
  • the communication apparatus uses range information indicating the transferable route range determined according to each state. The legitimacy of the message can be determined appropriately.
  • the range information may indicate a statically predetermined fixed range as the transferable route range.
  • the communication device can appropriately determine the legitimacy of the message using, for example, statically defined range information in a static environment.
  • the communication device may further include an updating unit that dynamically updates the range information according to the update of the plurality of electronic control devices.
  • the communication device can update the range information, for example, in response to a physical change corresponding to addition or deletion of the electronic control device, and the validity of the message can be updated using the updated range information. It can be determined appropriately. That is, the communication apparatus can appropriately determine the legitimacy of the message using range information that is more flexibly defined.
  • the updating unit may dynamically update the range information in response to updating of attribute information of the plurality of electronic control devices.
  • the communication device appropriately uses the range information dynamically determined even in an environment in which attribute information corresponding to, for example, the IP address of the electronic control device is dynamically changed, and the message legitimacy is appropriately made. It can be determined.
  • the attribute information may be updated using a SOME / IP (Scalable service-oriented Middlewar over IP) protocol.
  • SOME / IP Scalable service-oriented Middlewar over IP
  • the communication device can use the range information dynamically determined even in an environment in which the attribute information of the electronic control device is dynamically changed by updating the firmware based on SOME / IP or the like. Can be properly determined.
  • the communication apparatus may further include a processing unit that performs a predetermined action based on the determination result of the validity of the received message.
  • the communication apparatus can perform appropriate processing based on the determination result, and can enhance the security of the entire system of the mobility network.
  • the processing unit may control transferability of the received message based on the determination result.
  • the communication apparatus can appropriately control whether or not the message can be transferred, and the security of the entire mobility network system can be enhanced.
  • the processing unit may record the determination result.
  • the communication device can enable analysis of the determination result later.
  • the communication device can then enable appropriate updating of the transferable path range indicated by the range information.
  • the processing unit may notify the transmission source of the received message of the determination result.
  • the communication device when it is determined that the received message is not valid, the communication device further updates the value of TTL included in the received message within the range of TTL indicated by the range information.
  • a processing unit may be provided that updates the received message and transfers the updated message.
  • the communication apparatus can set the appropriate TTL value for the message.
  • a communication method is a network mounted on mobility, and a communication method on a mobility network that is a network used by the plurality of electronic control devices for communication, the message on the mobility network Communication method including: receiving, and determining the legitimacy of the received message using range information indicating a transferable route range defined for the message on the mobility network It may be
  • a communication system is a network mounted on mobility, and is a communication system of a mobility network that is a network used by a plurality of electronic control devices for communication, the message on the mobility network
  • a holding unit for holding range information indicating a transferable route range to be determined, a receiving unit for receiving the message on the mobility network, and legitimacy of the received message using the range information
  • the communication system may include a determination unit and a determination unit.
  • the communication system can suppress that the message on the mobility network is transferred beyond the assumed range, and can suppress the outflow of data.
  • these general or specific aspects may be realized by a system, an apparatus, a method, an integrated circuit, a computer program, or a non-transitory recording medium such as a computer readable CD-ROM, and the system
  • the present invention may be realized as any combination of an apparatus, a method, an integrated circuit, a computer program, and a storage medium.
  • Embodiment 1 In the present embodiment, TTL (Time To Live) included in the received message is checked by a predetermined white list.
  • TTL Time To Live
  • a communication apparatus having a function of checking TTL included in the received message according to a predetermined white list will be described with reference to the drawings.
  • FIG. 1 is a diagram showing an example of the overall configuration of the in-vehicle network system according to the present embodiment.
  • the in-vehicle network system 10 includes Ethernet switches 100a and 100b, an In-Vehicle Information System (hereinafter, IVI) 200, ECUs 300a, 300b, 300c, 300d, and 300e, a Central Gateway (hereinafter, CGW) 400, and a Telematics Control Unit. (Hereinafter referred to as TCU) 500.
  • IVI In-Vehicle Information System
  • CGW Central Gateway
  • TCU Telematics Control Unit
  • the Ethernet switch 100a and the Ethernet switch 100b are respectively switching hubs, and are connected to each other via a CGW 400 and an Ethernet cable. Further, the Ethernet switch 100a is connected to the ECUs 300a to 300e via an Ethernet cable. The Ethernet switch 100 b is connected to the IVI 200 and the TCU 500 through an Ethernet cable. The Ethernet switches 100a and 100b have a function of transferring a message received from each port to other ports or all ports.
  • the IVI 200 is connected to the Ethernet switch 100 b via an Ethernet cable.
  • the IVI 200 also has a display.
  • the IVI 200 has a function of presenting information to the driver.
  • the ECUs 300a to 300e are connected to a front distance sensor 310, a front camera 320, an advanced driving assistance function (hereinafter ADAS) 330, a rear distance sensor 340, and a rear camera 350, respectively. Further, each of the ECUs 300a to 300e has a function of acquiring information from a connected device, and transmitting the acquired information as a message to another ECU.
  • ADAS advanced driving assistance function
  • the CGW 400 is connected to the Ethernet switch 100 a and the Ethernet switch 100 b via Ethernet. And CGW400 has a function of a router which divides each domain.
  • the TCU 500 is connected to the Ethernet switch 100a via an Ethernet cable.
  • the TCU 500 also has a function of communicating with the base station 600 via wireless communication such as 3G or LTE (registered trademark), acquiring necessary information in the vehicle from outside the vehicle, or transmitting information in the vehicle to the outside. .
  • the description of the base station 600 is omitted.
  • FIG. 2 is a diagram showing an example of a list of IP addresses and MAC addresses in the present embodiment.
  • the MAC address is uniquely set by the parts mounted at the time of manufacture, and the IP address is statically given at the time of system construction.
  • FIG. 3 is a diagram showing an example of the configuration of the Ethernet switch 100a in the present embodiment.
  • the Ethernet switch 100a includes a communication unit 101, a transfer processing unit 102, a transfer table storage unit 103, a white list determination unit 104, a white list storage unit 105, and an error message transmission unit 106.
  • the Ethernet switch 100b has the same configuration as that of the Ethernet switch 100a, and thus the description thereof is omitted.
  • the communication unit 101 receives a message from another ECU via Ethernet and notifies the transfer processing unit 102 of the message. Also, it transmits a message to the transmission destination ECU notified from the transfer processing unit 102 or the error message transmission unit 106.
  • the transfer processing unit 102 determines whether the message can be transferred based on the transfer table acquired from the transfer table storage unit 103 and the determination result of the white list determination unit 104. Then, when the message can be transferred, the transfer processing unit 102 notifies the communication unit 101 of the transfer destination. If the message can not be transferred, the transfer processing unit 102 may notify the error message transmitting unit 106 that the message can not be transferred.
  • the transfer table holding unit 103 holds the transfer table. Details of the transfer table will be described later with reference to FIG.
  • the whitelist determination unit 104 determines a message according to the whitelist held by the whitelist holding unit 105 and the received message notified from the transfer processing unit 102. Then, the whitelist determination unit 104 notifies the transfer processing unit 102 and the error message transmission unit 106 of the determination result.
  • the whitelist holding unit 105 holds a whitelist for determining whether or not the message can be transferred. Details of the whitelist will be described later with reference to FIG.
  • the error message transmission unit 106 notifies the communication unit 101 to transmit an error message based on the result notified from the transfer processing unit 102 or the whitelist determination unit 104.
  • FIG. 4 is a diagram showing an example of the configuration of the IVI 200 in the present embodiment.
  • the IVI 200 includes a communication unit 201, a message processing unit 202, a display unit 203, and an operation unit 204.
  • the communication unit 201 receives a message from another ECU via Ethernet and notifies the message processing unit 202 of the message.
  • the communication unit 201 also transmits the message notified from the message processing unit 202 to another ECU.
  • the message processing unit 202 extracts the content of the display target from the received message notified from the communication unit 201, and notifies the display unit 203 of the content. Also, according to the notification content from the operation unit 204, a message to be transmitted is created and notified to the communication unit 201.
  • the display unit 203 performs processing to display the content of the display target notified from the message processing unit 202 on the screen.
  • the operation unit 204 notifies the message processing unit 202 of the content corresponding to the operation by the driver.
  • FIG. 5 is a diagram showing an example of the configuration of ECU 300a in the present embodiment.
  • the ECU 300a includes a communication unit 301, a message processing unit 302, and a sensor communication unit 303. Note that the ECUs 300b to 300d have the same configuration as the ECU 300a, and thus the description thereof is omitted.
  • the communication unit 301 receives a message from another ECU via Ethernet, and notifies the message processing unit 302 of the message. Also, the communication unit 301 transmits the message notified from the message processing unit 302 to another ECU.
  • the message processing unit 302 extracts an instruction content for a sensor or the like from the received message notified from the communication unit 301, and notifies the sensor communication unit 303 of the content. Further, the message processing unit 302 creates a message to be transmitted according to the notification content from the sensor communication unit 303, and notifies the communication unit 301 of the message.
  • the sensor communication unit 303 acquires information from an external sensor or the like, and notifies the message processing unit 302 of the content of the information. Further, the sensor communication unit 303 sends an instruction to an external sensor or the like according to the instruction content notified from the message processing unit 302.
  • FIG. 6 is a diagram showing an example of the configuration of CGW 400 in the present embodiment.
  • the CGW 400 includes a communication unit 401, a transfer processing unit 402, a transfer table holding unit 403, and an error message transmission unit 404.
  • the communication unit 401 receives a message from another ECU via Ethernet and notifies the transfer processing unit 402 of the message. Also, the communication unit 401 transmits a message to the communication destination ECU notified from the transfer processing unit 402 or the error message transmission unit 404.
  • the transfer processing unit 402 notifies the communication unit 401 of the transfer destination based on the transfer table acquired from the transfer table holding unit 403. If the message is not transferable, the transfer processing unit 402 may notify the error message transmission unit 404 that the message is not transferable based on the transfer table.
  • the transfer table holding unit 403 holds the transfer table.
  • the error message transmission unit 404 notifies the communication unit 401 to transmit an error message based on the result notified from the transfer processing unit 402.
  • FIG. 7 is a diagram showing an example of the configuration of TCU 500 in the present embodiment.
  • the TCU 500 includes an in-vehicle communication unit 501, a message processing unit 502, and an out-of-vehicle communication unit 503.
  • the in-vehicle communication unit 501 receives a message from another ECU via Ethernet and notifies the message processing unit 502 of the message. Also, the in-vehicle communication unit 501 transmits the message notified from the message processing unit 502 to another ECU.
  • the message processing unit 502 extracts the content of the transmission target to the outside from the reception message notified from the in-vehicle communication unit 501, and notifies the outside-vehicle communication unit 503 of the content. Further, the message processing unit 502 creates a message to be transmitted to the inside of the vehicle according to the content of notification from the outside-vehicle communication unit 503, and notifies the in-vehicle communication unit 501 of the message.
  • the out-of-vehicle communication unit 503 communicates with the base station 600 outside the vehicle and notifies the message processing unit 502 of the received message. Further, the outside-of-vehicle communication unit 503 transmits a message to the outside base station 600 according to the content of the transmission target notified from the message processing unit 502.
  • FIG. 8 is a diagram showing an example of fields included in a message transmitted from ECU 300a in the present embodiment.
  • the messages transmitted from the ECUs 300b to 300e are substantially the same as the messages transmitted from the ECU 300a, and thus the description thereof is omitted here.
  • the MAC header includes a transmission source MAC address and a transmission destination MAC address.
  • the IP header includes a TTL, a transmission source IP address, and a transmission destination IP address.
  • the IP header may further include a packet type.
  • the IP payload includes data bodies such as sensor data. For example, at the IP layer, each time a message passes through a device, the value of TTL included in the message is decremented by one. Then, if the TTL value contained in the message reaches 0 before the message reaches the destination, the message is discarded.
  • the ECU 300a transmits sensor data only to the ECU 300c. Therefore, the ECU 300a sets the information of the ECU 300a in the transmission source MAC address and the transmission source IP address, and sets the information of the ECU 300c in the transmission destination MAC address and the transmission destination IP address. Further, the ECU 300a sets the TTL to 1, which indicates that the relay device is not interposed.
  • FIG. 9 is a diagram showing an example of the configuration of the transfer table possessed by the Ethernet switch 100a in the present embodiment.
  • the transfer table possessed by the Ethernet switch 100b is almost the same as the transfer table possessed by the Ethernet switch 100a, so the description thereof is omitted here.
  • the MAC address is associated with the Ethernet port.
  • the Ethernet switch 100 a holds six Ethernet ports, and these port numbers indicate the port number. It is 1 to 6. Also, port no.
  • the connection destination MAC addresses 1 to 6 are 0a: 0a: 0a: 0a: 0a: 0a: 0a, 0b: 0b: 0b: 0b: 0b: 0c, 0c: 0c: 0c: 0c: 0c: 0c, 0d: 0d: 0d: 0d: 0d: 0d, 0e: 0e: 0e: 0e: 0e, and 04: 04: 04: 04: 04: 04: 04.
  • FIG. 10 is a diagram showing an example of the configuration of a TTL white list which is a white list possessed by the Ethernet switch 100 a in the present embodiment.
  • the TTL white list possessed by the Ethernet switch 100 b is substantially the same as the TTL white list possessed by the Ethernet switch 100 a, and therefore the description thereof is omitted here.
  • the TTL white list includes five sets each configured of a source MAC address, a destination MAC address, and a TTL. These five sets are the correct combination. If the message is included in these combinations, the message is forwarded, and if the message is not included in these combinations, the message is discarded as NG.
  • FIG. 11 is a diagram showing an example of a determination sequence of a message using a TTL white list by the Ethernet switch 100a in the present embodiment.
  • step S1001 the Ethernet switch 100a receives a message from the Ethernet port held by the Ethernet switch 100a.
  • step S1002 the Ethernet switch 100a acquires the transmission source MAC address from the received message.
  • step S1003 the Ethernet switch 100a acquires a transmission destination MAC address from the received message.
  • step S1004 the Ethernet switch 100a acquires the value of TTL from the received message.
  • step S1005 the Ethernet switch 100a collates the received message with the TTL white list. Then, the Ethernet switch 100a checks whether the TTL value of the received message is a correct value based on the TTL value of the TTL white list according to the source MAC address and the destination MAC address. That is, the Ethernet switch 100a determines whether the TTL obtained from the received message matches the TTL white list.
  • the Ethernet switch 100a determines that the TTL value of the received message is the correct value. If the TTL value of the received message is not equal to or less than the TTL value of the TTL white list, the Ethernet switch 100a determines that the TTL value of the received message is not the correct value.
  • the Ethernet switch 100a executes the process of step S1007. If the value of the TTL of the received message is not the correct value (in the case of No), the Ethernet switch 100a executes the process of step S1006.
  • step S1006 the Ethernet switch 100a discards the received message.
  • step S1007 the Ethernet switch 100a transmits a message via the port to which the device having the transmission destination MAC address is connected according to the transfer table.
  • the source MAC address is 0a: 0a: 0a: 0a: 0a: 0a: 0a
  • the destination MAC address is 0c: 0c: 0c: 0c: 0c: 0c: 0c
  • the TTL is 1 It is. Since the set of FIG. 8 conforms to the TTL white list of FIG. 10, the Ethernet switch 100a determines that the value of TTL is correct in step S1005, and transfers a message.
  • the TTL white list associated with the MAC address is used, but the TTL white list is not limited to this.
  • the TTL white list associated with the IP address is used in the L3 switch that performs transfer control in the IP layer. As a result, the legitimacy of the message is appropriately determined based on the IP address regardless of the spoofing of the MAC address.
  • an Ethernet switch 110a which is a modification of the Ethernet switch 100a is used instead of the Ethernet switch 100a shown in FIG.
  • the Ethernet switch 110a is an L3 switch that performs transfer control in the IP layer.
  • the Ethernet switch 100b is a modified example of the Ethernet switch 100b instead of the Ethernet switch 100b, the Ethernet switch 100b is substantially the same as the Ethernet switch 110a, and thus the description thereof is omitted.
  • Ethernet switch 110a that performs transfer control in the IP layer will be described below with reference to the drawings. The description of the same contents as the basic aspect of the above-described embodiment will be omitted.
  • FIG. 12 is a diagram showing an example of the configuration of the Ethernet switch 110a in the present modification.
  • the Ethernet switch 110 a includes a communication unit 101, a transfer processing unit 102, a transfer table storage unit 113, a white list determination unit 114, a white list storage unit 115, and an error message transmission unit 106.
  • the same reference numerals are given to the same components as those in FIG. 3 and the description will be omitted.
  • the transfer table holding unit 113 holds the transfer table. Details of the transfer table will be described later with reference to FIG.
  • the whitelist determination unit 114 determines a message according to the whitelist held by the whitelist holding unit 115 and the received message notified from the transfer processing unit 102. Then, the whitelist determination unit 114 notifies the transfer processing unit 102 and the error message transmission unit 106 of the determination result.
  • the whitelist holding unit 115 holds a whitelist for determining whether or not the message can be transferred. Details of the whitelist will be described later with reference to FIG.
  • FIG. 13 is a diagram showing an example of the configuration of the transfer table possessed by the Ethernet switch 110a in the present modification.
  • the IP address is associated with the Ethernet port.
  • the Ethernet switch 110 a holds six Ethernet ports, and these port numbers are “port no. It is 1 to 6. Also, port no.
  • the connection destination IP addresses 1 to 6 are 192.168.0.1, 192.168.0.2, 192.168.0.3, 192.168.0.4, 192.168.0.5, and 192.168.0.127, respectively.
  • FIG. 14 is a diagram showing an example of the configuration of a TTL white list which is a white list possessed by the Ethernet switch 110 a in the present modification.
  • the TTL white list includes five sets each consisting of a source IP address, a destination IP address, and a TTL. These five sets are the correct combination. If the message is included in these combinations, the message is forwarded, and if the message is not included in these combinations, the message is discarded as NG.
  • FIG. 15 is a diagram showing an example of a determination sequence of a message using the TTL white list by the Ethernet switch 110a in the present modification.
  • the same processes as in FIG. 11 will be assigned the same reference numerals and descriptions thereof will be omitted.
  • step S1102 the Ethernet switch 110a acquires a transmission source IP address from the received message.
  • step S1103 the Ethernet switch 110a acquires a transmission destination IP address from the received message.
  • step S1105 the Ethernet switch 110a collates the received message with the TTL white list. Then, the Ethernet switch 110a checks whether the TTL value of the received message is the correct value based on the TTL value of the TTL white list according to the transmission source IP address and the transmission destination IP address. That is, the Ethernet switch 110a determines whether the TTL obtained from the received message matches the TTL white list.
  • the Ethernet switch 110a determines that the TTL value of the received message is the correct value. If the TTL value of the received message is not equal to or less than the TTL value of the TTL white list, the Ethernet switch 110a determines that the TTL value of the received message is not the correct value.
  • the Ethernet switch 110a executes the process of step S1108. If the value of the TTL of the received message is not the correct value (in the case of No), the Ethernet switch 110a executes the process of step S1006.
  • step S1108 the Ethernet switch 110a decrements the TTL value of the received message by 1 and overwrites it.
  • step S1109 the Ethernet switch 110a checks whether the TTL value of the received message is different from zero, that is, whether it is larger than zero. If the value of the TTL of the received message is 0 (in the case of No), the Ethernet switch 110 a executes the process of step S 1110. If the TTL value of the received message is different from 0 (in the case of Yes), the Ethernet switch 110 a executes the process of step S 1107.
  • step S1110 the Ethernet switch 110a discards the received message.
  • step S1107 the Ethernet switch 110a transmits a message via the port to which the device having the transmission destination IP address is connected in accordance with the transfer table.
  • a TTL white list using a fixed set of static IP addresses is used.
  • a TTL white list including a set of dynamic IP addresses which is changed using Internet Control Message Protocol (ICMP) or the like after system startup is used.
  • ICMP Internet Control Message Protocol
  • an Ethernet switch 120a which is a modification of the Ethernet switch 100a is used instead of the Ethernet switch 100a shown in FIG.
  • the Ethernet switch 120a is an L3 switch that performs transfer control at the IP layer, and holds a TTL white list that is dynamically changed after system startup.
  • the Ethernet switch 100b is a modified example of the Ethernet switch 100b instead of the Ethernet switch 100b, the Ethernet switch 100b is substantially the same as the Ethernet switch 120a, and thus the description thereof is omitted.
  • Ethernet switch 120a that holds the TTL white list that is dynamically changed after system startup will be described below with reference to the drawings.
  • description is abbreviate
  • FIG. 16 is a diagram showing an example of the configuration of the Ethernet switch 120a in the present modification.
  • the Ethernet switch 120a includes a communication unit 121, a transfer processing unit 102, a transfer table holding unit 123, a white list determination unit 114, a white list holding unit 125, an error message transmission unit 106, and a white list generation unit 127. Equipped with In addition, the same code
  • the communication unit 121 receives a message from another ECU via Ethernet, and notifies the transfer processing unit 102 or the white list creating unit 127 of the message. Further, the communication unit 121 transmits a message to the transmission destination ECU notified from the transfer processing unit 102, the error message transmission unit 106, or the white list creation unit 127.
  • the whitelist holding unit 125 holds the whitelist notified from the whitelist creating unit 127 for determining whether the message can be forwarded.
  • An example of the white list is the same as that shown in FIG.
  • the whitelist creation unit 127 creates an ICMP message and notifies the communication unit 121 of the ICMP message. In addition, the whitelist creation unit 127 counts ICMP reply messages notified from the communication unit 121, creates a whitelist, and notifies the whitelist storage unit 125 of the generated whitelist.
  • the creation of the white list is performed in a state where it is confirmed that the unauthorized device is not connected to the in-vehicle network.
  • the whitelist creation unit 127 may perform device authentication by challenge response authentication or the like on the transmission destination of the ICMP message via the communication unit 121 before creating the whitelist. Then, the whitelist creation unit 127 may transmit an ICMP message to the device for which device authentication has been performed via the communication unit 121, and may create the whitelist according to the response.
  • the whitelist creating unit 127 may recreate the whitelist when removal or replacement of the ECU occurs. That is, the whitelist creation unit 127 may update the whitelist when removal or replacement of the ECU occurs.
  • the whitelist creation unit 127 may detect the update of the IP address assigned to the ECU and update the whitelist. Alternatively, the whitelist creation unit 127 may periodically update the whitelist. Thereby, the whitelist is changed along with removal or replacement of the ECU.
  • the message is collated with the TTL white list, and if the message does not match the TTL white list, the message is discarded.
  • the TTL in the message is updated with the value of the TTL white list.
  • an Ethernet switch 130a which is a modification of the Ethernet switch 100a is used instead of the Ethernet switch 100a shown in FIG.
  • the Ethernet switch 120a is an L3 switch that performs transfer control in the IP layer, and has a function of setting an appropriate value to TTL.
  • the Ethernet switch 100b is a modification of the Ethernet switch 100b in place of the Ethernet switch 100b, the Ethernet switch 100b is substantially the same as the Ethernet switch 130a, and thus the description thereof is omitted.
  • Ethernet switch 130a having a function of setting an appropriate value to TTL will be described below with reference to the drawings.
  • description is abbreviate
  • FIG. 17 is a diagram showing an example of the configuration of the Ethernet switch 130a in the present modification.
  • the Ethernet switch 130a includes a communication unit 101, a transfer processing unit 132, a transfer table storage unit 103, a white list determination unit 134, a white list storage unit 105, and an error message transmission unit 106.
  • symbol is provided and the description is abbreviate
  • the transfer processing unit 132 updates the TTL value of the received message with the TTL value on the white list according to the transfer table acquired from the transfer table holding unit 103 and the determination result of the white list determination unit 134, and the transfer destination Is notified to the communication unit 101.
  • the whitelist determination unit 134 determines a message according to the whitelist held by the whitelist holding unit 105 and the received message notified from the transfer processing unit 132. Then, the whitelist determination unit 134 notifies the transfer processing unit 132 and the error message transmission unit 106 of the determination result and the TTL value on the whitelist.
  • FIG. 18 is a diagram showing an example of fields included in the message transmitted from the ECU 300a in the present modification.
  • the messages transmitted from the ECUs 300b to 300e are substantially the same as the messages transmitted from the ECU 300a, and thus the description thereof is omitted here.
  • the MAC header includes a transmission source MAC address and a transmission destination MAC address.
  • the IP header includes a TTL, a transmission source IP address, and a transmission destination IP address.
  • the IP header may further include a packet type.
  • the IP payload includes data bodies such as sensor data.
  • the ECU 300a transmits sensor data only to the ECU 300c. Therefore, the ECU 300a sets the information of the ECU 300a in the transmission source MAC address and the transmission source IP address, and sets the information of the ECU 300c in the transmission destination MAC address and the transmission destination IP address. Further, the ECU 300a does not set the value to TTL individually, but sets the upper limit value to 255 to TTL.
  • FIG. 19 is a diagram showing an example of a determination sequence of a message using a TTL white list by the Ethernet switch 130a in the present modification.
  • the same processes as in FIG. 11 will be assigned the same reference numerals and descriptions thereof will be omitted.
  • the information contained in the received message is collated with the white list.
  • the time taken for transmission is acquired, and the time taken for transmission is collated with the white list.
  • an Ethernet switch 1110a which is a modification of the Ethernet switch 100a is used instead of the Ethernet switch 100a shown in FIG.
  • the Ethernet switch 1110a is an L3 switch that performs transfer control in the IP layer, and uses the information contained in the received message to acquire the time taken for transmission and to collate the time taken for transmission with the whitelist.
  • the Ethernet switch 100b is a modified example of the Ethernet switch 100b in place of the Ethernet switch 100b, the Ethernet switch 100b is substantially the same as the Ethernet switch 1110a, and thus the description thereof is omitted.
  • an Ethernet switch 1110a having a function of acquiring the time taken for transmission and collating the time taken for transmission with the whitelist using information contained in the received message will be described with reference to the drawings. . Description of the same contents as those of the above-described embodiment or modification will be omitted.
  • FIG. 20 is a diagram showing an example of the configuration of the Ethernet switch 1110a in the present embodiment.
  • the Ethernet switch 1110 a includes a communication unit 1111, a transfer processing unit 102, a transfer table holding unit 113, a white list determination unit 1114, a white list holding unit 1115, an error message transmission unit 106, and an RTT acquisition unit 1108.
  • a communication unit 1111 a transfer processing unit 102, a transfer table holding unit 113, a white list determination unit 1114, a white list holding unit 1115, an error message transmission unit 106, and an RTT acquisition unit 1108.
  • symbol is provided about FIG. 3 or FIG. 12, and the same structure, and the description is abbreviate
  • the communication unit 1111 receives a message from another ECU via Ethernet and notifies the transfer processing unit 102 and the RTT acquisition unit 1108. Further, the communication unit 1111 transmits a message to the transmission destination ECU notified from the transfer processing unit 102, the error message transmission unit 106, or the RTT acquisition unit 1108.
  • the whitelist determination unit 1114 determines a message according to the whitelist held by the whitelist holding unit 1115 and the received message notified from the transfer processing unit 102. Then, the whitelist determination unit 1114 notifies the transfer processing unit 102 and the error message transmission unit 106 of the determination result.
  • the whitelist holding unit 1115 holds the RTT whitelist for determining whether the message can be transferred. The details of the RTT white list will be described later with reference to FIG.
  • FIG. 21 is a diagram showing an example of the configuration of an RTT whitelist which is a whitelist possessed by the Ethernet switch 1110a in the present embodiment.
  • the RTT white list includes five sets each configured by a set of a transmission source IP address, a transmission destination IP address, and an RTT. These five sets are the correct combination. If the message is included in these combinations, the message is forwarded, and if the message is not included in these combinations, the message is discarded as NG.
  • RTT (Round Trip Time) is, for example, a time from when a signal is issued to when a response is returned, and corresponds to the time taken to transmit a message.
  • RTT in the RTT white list possessed by the Ethernet switch 1110a corresponds to the upper limit of the time from when the Ethernet switch 1110a sends a signal to the destination IP address until a response is returned.
  • FIG. 22 is a diagram showing an example of a determination sequence of a message using an RTT white list by the Ethernet switch 1110a in the present embodiment.
  • symbol is provided about the process similar to FIG. 11 or FIG. 15, and the description is abbreviate
  • the Ethernet switch 1110a transmits an ICMP message to the IP address of the transmission destination of the received message, and acquires the value of RTT based on the response time.
  • the Ethernet switch 1110a may transmit an ICMP message to the destination included in the message each time the message is received, and may acquire the value of RTT based on the response time. Also, Ethernet switch 1110a does not send the IPCM message to the same destination during a predetermined period after sending the IPCM message and acquires the RTT value, and based on the previous transmission result, the RTT value is You may get it.
  • the Ethernet switch 1110a collates the value of RTT acquired from the received message with the RTT white list. Then, the Ethernet switch 1110a checks whether the value of RTT acquired from the received message is within the range of the RTT whitelist according to the transmission source IP address and the transmission destination IP address. That is, the Ethernet switch 1110a determines whether the value of RTT acquired from the received message conforms to the RTT white list.
  • the Ethernet switch 1110a executes the process of step S1107.
  • the Ethernet switch 1110a executes the process of step S1006.
  • the Ethernet switch 1110a may decrement the TTL included in the message as in the example of FIG.
  • the RTT corresponds to the time from the signal transmission from the Ethernet switch 1110a to the transmission destination until the response is returned.
  • the RTT may correspond to the time from when the signal is transmitted from the transmission source to the transmission destination until the response is returned from the transmission destination to the transmission source.
  • the Ethernet switch 1110a obtains, as RTT, the total time of the time from transmitting a signal to the transmission destination to receiving the response and the time from transmitting the signal to the transmission source to receiving the response You may
  • the Ethernet switch discards a message that deviates from a predetermined communication range by the RTT whitelist based on the IP address. Also, the legitimacy of the message is appropriately determined based on the IP address, not by spoofing the MAC address.
  • Modification of Embodiment 2 In the basic aspect of the second embodiment, a fixed list preset as an RTT white list is used. In this modification, a list dynamically updated using ICMP or the like after system startup is used as the RTT white list.
  • an Ethernet switch 1120a which is a modification of the Ethernet switch 100a is used instead of the Ethernet switch 100a shown in FIG.
  • the Ethernet switch 1120a is an L3 switch that performs transfer control in the IP layer, and holds an RTT white list that is dynamically changed after system startup.
  • the Ethernet switch 100b is a modified example of the Ethernet switch 100b instead of the Ethernet switch 100b, the Ethernet switch 100b is substantially the same as the Ethernet switch 1120a, and thus the description thereof is omitted.
  • Ethernet switch 1120a that holds a whitelist that is dynamically updated after system startup will be described below with reference to the drawings. Description of the same contents as those of the above-described embodiment or modification will be omitted.
  • FIG. 23 is a diagram showing the configuration of the Ethernet switch 1120a in the present modification.
  • the Ethernet switch 1120 a includes a communication unit 1121, a transfer processing unit 102, a transfer table holding unit 113, a white list determination unit 1114, a white list holding unit 1125, an error message transmission unit 106, and an RTT acquisition unit 1108. And a whitelist creation unit 1127.
  • symbol is provided about the structure similar to FIG.3, FIG.12 or FIG. 20, and the description is abbreviate
  • the communication unit 1121 receives a message from another ECU via Ethernet, and notifies the transfer processing unit 102, the RTT acquisition unit 1108, or the white list creation unit 1127. Also, the communication unit 1121 transmits a message to the transmission destination ECU notified from the transfer processing unit 102, the error message transmission unit 106, the RTT acquisition unit 1108, or the white list creation unit 1127.
  • the whitelist holding unit 1125 holds the whitelist notified from the whitelist creation unit 1127 for determining whether the message can be transferred.
  • An example of the white list is the same as that shown in FIG.
  • the whitelist creation unit 1127 creates an ICMP message and notifies the communication unit 1121 of it. Also, the whitelist creation unit 1127 counts the ICMP reply messages notified from the communication unit 1121, creates a whitelist, and notifies the whitelist storage unit 1125.
  • the TTL white list associated with the state of the vehicle is used.
  • the legitimacy of the message is appropriately determined in accordance with the state of the vehicle.
  • FIG. 24 is a diagram showing an example of the overall configuration of the in-vehicle network system in the present embodiment.
  • the in-vehicle network system 40 includes Ethernet switches 140a and 140b, an IVI 200, an ECU 300a, a CGW 400, and a TCU 500.
  • the same components as those in FIG. 1 are denoted by the same reference numerals, and the description thereof is omitted.
  • the Ethernet switch 140a and the Ethernet switch 140b are connected via a CGW 400 and an Ethernet cable, respectively.
  • the Ethernet switch 140a is connected to the ECU 300a via an Ethernet cable.
  • the Ethernet switch 140 b is connected to the IVI 200 and the TCU 500 through an Ethernet cable.
  • the Ethernet switches 140a and 140b have a function of transferring a message received from each port to other ports or all ports.
  • the ECU 300a is connected to a low power GPS (Global Positioning System) 360. Further, the ECU 300a has a function of acquiring information from the low power GPS 360 and transmitting the acquired information as a message to another ECU.
  • GPS Global Positioning System
  • ECUs not shown may be mounted in the vehicle. And, multiple devices of the vehicle may be controlled by multiple ECUs.
  • some ECUs and devices may operate only while the vehicle is traveling. Also, some ECUs and devices may operate only while the vehicle is at rest. Also, some ECUs and devices may operate both while the vehicle is traveling and when it is stopped.
  • the ECU 300a and the low power GPS 360 are examples of ECUs and devices that operate both while the vehicle is traveling and when it is stopped.
  • the communication range may also change according to the change in the state of the vehicle traveling or stopping. Therefore, the Ethernet switches 140a and 140b hold the whitelist according to the state of the vehicle.
  • FIG. 25 is a diagram showing an example of a list of IP addresses and MAC addresses in the present embodiment.
  • the example of FIG. 25 is basically the same as the example of FIG. 2, but in the example of FIG. 25, part of the example of FIG. 2 is omitted for convenience. Also, if more ECUs are installed in the vehicle, more ECU IP addresses and MAC addresses may be included in the list.
  • FIG. 26 is a diagram showing an example of the configuration of the Ethernet switch 140a in the present embodiment.
  • the Ethernet switch 140a includes a communication unit 101, a transfer processing unit 102, a transfer table storage unit 103, a white list determination unit 144, a white list storage unit 145, and an error message transmission unit 106.
  • the Ethernet switch 140 b has the same configuration as that of the Ethernet switch 140 a, and thus the description thereof is omitted.
  • the same reference numerals are given to the same components as those in FIG. 3 and the description will be omitted.
  • the whitelist determination unit 144 determines the message according to the state of the vehicle, the whitelist held by the whitelist holding unit 145, and the received message notified by the transfer processing unit 102. Then, the white list determination unit 144 notifies the transfer processing unit 102 and the error message transmission unit 106 of the determination result.
  • the whitelist holding unit 145 holds a whitelist for determining whether or not the message can be transferred according to the state of the vehicle. Details of the whitelist will be described later with reference to FIG.
  • FIG. 27 is a diagram showing an example of fields included in a message transmitted from ECU 300a in the present embodiment.
  • the MAC header includes a transmission source MAC address and a transmission destination MAC address.
  • the IP header includes a TTL, a transmission source IP address, and a transmission destination IP address.
  • the IP header may further include a packet type.
  • the IP payload includes data bodies such as sensor data.
  • the ECU 300a sets information of the ECU 300a in the transmission source MAC address and the transmission source IP address. Then, the ECU 300a appropriately sets transmission destination information in the transmission destination MAC address and the transmission destination IP address. Temporary values are shown for the transmission destination MAC address and the transmission destination IP address in FIG. For example, the ECU 300a sets the MAC address and the IP address of the transmission destination ECU not shown in FIG. 24 to the transmission destination MAC address and the transmission destination IP address in the message.
  • the ECU 300a sets 32 indicating the number of times of permission of 31 transfers to TTL in the message.
  • FIG. 28 is a diagram showing an example of the configuration of the transfer table possessed by the Ethernet switch 140a in the present embodiment.
  • the transfer table possessed by the Ethernet switch 140b is almost the same as the transfer table possessed by the Ethernet switch 140a, and therefore the description thereof is omitted here.
  • the MAC address is associated with the Ethernet port.
  • the Ethernet switch 140a holds two Ethernet ports, and these port numbers indicate port No. It is 1-2. Also, port no.
  • the connection destination MAC addresses of 1 and 2 are 0a: 0a: 0a: 0a: 0a: 0a: 0a and 04: 04: 04: 04: 04, respectively.
  • Ethernet switch 140a may hold more Ethernet ports. And when more ECUs are mounted in a vehicle, more ECU MAC addresses may be associated with more Ethernet ports.
  • FIG. 29 is a diagram showing an example of the configuration of a TTL white list which is a white list possessed by the Ethernet switch 140 a in the present embodiment.
  • the TTL white list possessed by the Ethernet switch 140 b is substantially the same as the TTL white list possessed by the Ethernet switch 140 a, and thus the description thereof is omitted here.
  • the TTL white list includes two sets each configured of a source MAC address, a destination MAC address, a state, and a TTL. These two sets are the correct combination. If the message is included in these combinations, the message is forwarded, and if the message is not included in these combinations, the message is discarded as NG.
  • the state in the TTL white list corresponds to the state of the vehicle, and is, for example, any of a plurality of states including the state in which the vehicle is stopped and the state in which the vehicle is traveling. Further, in the example of FIG. 29, the transmission destination MAC address is indicated by “*”. This “*” corresponds to any MAC address.
  • the TTL white list in the example of FIG. 29 when the transmission source is the ECU 300a and the vehicle is stopped, the TTL is limited to 32 regardless of the transmission destination. Further, when the transmission source is the ECU 300a and the vehicle is traveling, the TTL is limited to 2 regardless of the transmission destination.
  • FIG. 30 is a diagram showing an example of a determination sequence of a message using the TTL white list by the Ethernet switch 140a in the present embodiment.
  • the same processes as in FIG. 11 will be assigned the same reference numerals and descriptions thereof will be omitted.
  • step S1401 the Ethernet switch 140a acquires the state of the vehicle.
  • the Ethernet switch 140a may acquire the state of the vehicle from an ECU or a sensor (not shown).
  • step S1405 the Ethernet switch 140a collates the received message with the TTL white list according to the state of the vehicle. Then, the Ethernet switch 140a checks whether the TTL value of the received message is the correct value based on the TTL value of the TTL white list according to the source MAC address, the destination MAC address, and the state of the vehicle. . That is, the Ethernet switch 140a determines whether the TTL obtained from the received message conforms to the TTL white list.
  • the Ethernet switch 140a determines that the TTL value of the received message is the correct value. If the TTL value of the received message is not equal to or less than the TTL value of the TTL white list, the Ethernet switch 140a determines that the TTL value of the received message is not the correct value. In the present embodiment, the TTL value of the TTL white list depends on the state of the vehicle.
  • the Ethernet switch 140a executes the process of step S1007. If the value of the TTL of the received message is not the correct value (in the case of No), the Ethernet switch 140a executes the process of step S1006.
  • the source MAC address is 0a: 0a: 0a: 0a: 0a: 0a: 0a: 0a, and the TTL is 32.
  • the Ethernet switch 140a determines that the value of TTL is correct in step S1405, and transfers a message.
  • the Ethernet switch 140a determines in step S1405 that the value of TTL is not correct, and discards the message.
  • a TTL white list in which the state of the vehicle, the MAC address of the transmission source, the MAC address of the transmission destination, and the TTL are associated with each other is used.
  • a TTL white list in which the state of the vehicle, the IP address of the transmission source, the IP address of the transmission destination, and the TTL are associated is used.
  • the legitimacy of the message is appropriately determined according to the state of the vehicle and the IP address. Then, for example, in the L3 switch performing transfer control in the IP layer, the legitimacy of the message is appropriately determined according to the state of the vehicle, and the transfer and discard of the message are appropriately controlled.
  • the Ethernet switch 140a that performs transfer control in the IP layer will be described below with reference to the drawings. Description of the same contents as those of the above-described embodiment or modification will be omitted. Further, since the Ethernet switch 140b has the same configuration as the Ethernet switch 140a, the description will be omitted.
  • the configuration of the Ethernet switch 140a in this modification is substantially the same as the configuration of the Ethernet switch 140a in the basic aspect of the third embodiment shown in FIG.
  • the details of the transfer table held by the transfer table holding unit 103, the details of the judgment processing performed by the whitelist judging unit 144, and the details of the whitelist held by the whitelist holding unit 145 are basically the same as those of the third embodiment. It is different from the
  • FIG. 31 is a diagram showing an example of the configuration of a TTL white list which is a white list possessed by the Ethernet switch 140 a in the present modification.
  • the TTL white list includes two sets each configured by a set of a source IP address, a destination IP address, a state, and a TTL. These two sets are the correct combination. If the message is included in these combinations, the message is forwarded, and if the message is not included in these combinations, the message is discarded as NG.
  • the states in the TTL white list shown in FIG. 31 correspond to the states of the vehicle, for example, a plurality of states including the state in which the vehicle is stopped and the state in which the vehicle is traveling.
  • the transmission destination IP address is indicated by “*”. This "*" corresponds to any IP address.
  • the TTL white list in the example of FIG. 31 when the transmission source is the ECU 300a and the vehicle is stopped, the TTL is limited to 32 regardless of the transmission destination. Further, when the transmission source is the ECU 300a and the vehicle is traveling, the TTL is limited to 2 regardless of the transmission destination.
  • FIG. 32 is a diagram showing an example of a determination sequence of a message using a TTL white list by the Ethernet switch 140a in the present modification.
  • the same processes as in FIG. 30 or 15 are assigned the same reference numerals and descriptions thereof will be omitted.
  • step S1505 the Ethernet switch 140a collates the received message with the TTL white list according to the state of the vehicle. Then, the Ethernet switch 140a checks whether the TTL value of the received message is the correct value based on the source IP address, the destination IP address, and the TTL value of the TTL white list according to the state of the vehicle. That is, the Ethernet switch 140a determines whether the TTL obtained from the received message matches the TTL white list.
  • the Ethernet switch 140a determines that the TTL value of the received message is the correct value. If the TTL value of the received message is not equal to or less than the TTL value of the TTL white list, the Ethernet switch 140a determines that the TTL value of the received message is not the correct value.
  • the Ethernet switch 140a executes the process of step S1108. If the value of the TTL of the received message is not the correct value (in the case of No), the Ethernet switch 140a executes the process of step S1006.
  • Embodiment 4 the RTT white list is used as in the second embodiment, and the legitimacy of the message is determined according to the state of the vehicle, as in the third embodiment.
  • an Ethernet switch 1140a which is a modified example of the Ethernet switch 140a is used instead of the Ethernet switch 140a of the third embodiment shown in FIG.
  • the Ethernet switch 140b is a modification of the Ethernet switch 140b also for the Ethernet switch 140b
  • the Ethernet switch 140b is substantially the same as the Ethernet switch 1140a, and thus the description thereof is omitted.
  • Ethernet switch 1140a according to this embodiment will be described below with reference to the drawings. Description of the same contents as those of the above-described embodiment or modification will be omitted.
  • FIG. 33 is a diagram showing an example of the configuration of the Ethernet switch 1140a in the present embodiment.
  • the Ethernet switch 1140 a includes a communication unit 1111, a transfer processing unit 102, a transfer table holding unit 113, a white list determination unit 1144, a white list holding unit 1145, an error message transmission unit 106, and an RTT acquisition unit 1108. Prepare.
  • the whitelist determination unit 1144 performs determination on the message according to the whitelist held by the whitelist holding unit 1145 and the received message notified from the transfer processing unit 102. Then, the whitelist determination unit 1144 notifies the transfer processing unit 102 and the error message transmission unit 106 of the determination result. Details of the determination performed by the whitelist determination unit 1144 will be described later with reference to FIG.
  • the whitelist holding unit 1145 holds the RTT whitelist for determining whether the message can be transferred. The details of the RTT whitelist held by the whitelist holding unit 1145 will be described later with reference to FIG.
  • FIG. 34 is a diagram showing an example of the configuration of the RTT whitelist which is a whitelist possessed by the Ethernet switch 1140a in the present embodiment.
  • the RTT white list includes two sets each configured of a source IP address, a destination IP address, a state, and an RTT. These two sets are the correct combination. If the message is included in these combinations, the message is forwarded, and if the message is not included in these combinations, the message is discarded as NG.
  • the states in the RTT white list shown in FIG. 34 correspond to the states of the vehicle, for example, a plurality of states including the state in which the vehicle is stopped and the state in which the vehicle is traveling.
  • the destination IP address is indicated by “*”. This "*" corresponds to any IP address.
  • RTT white list in the example of FIG. 34 when the transmission source is the ECU 300a and the vehicle is at a stop, RTT is limited to 32 [msec] regardless of the transmission destination. Further, when the transmission source is the ECU 300a and the vehicle is traveling, the RTT is limited to 2 [msec] regardless of the transmission destination.
  • FIG. 35 is a diagram showing an example of a determination sequence of a message using an RTT white list by the Ethernet switch 1140a according to the present embodiment.
  • symbol is provided about the process similar to FIG. 22 or FIG. 30, and the description is abbreviate
  • the Ethernet switch 1140a collates the value of RTT acquired from the received message with the RTT white list according to the state of the vehicle. Then, the Ethernet switch 1140a checks whether the value of RTT acquired from the received message is within the range of the RTT white list according to the source IP address, the destination IP address, and the state of the vehicle.
  • the Ethernet switch 1140a determines whether the value of RTT acquired from the received message conforms to the RTT white list. If the value of the acquired RTT is a value within the range of the RTT white list (in the case of Yes), the Ethernet switch 1140a executes the process of step S1107. If the value of the acquired RTT is not within the range of the RTT white list (in the case of No), the Ethernet switch 1140a executes the process of step S1006.
  • the Ethernet switch discards a message that deviates from the communication range according to the state of the vehicle by the RTT white list by the IP address.
  • the Ethernet switch is shown, but the Ethernet switch is an example of a communication device, and the communication device may be any device that relays a message. .
  • the communication device may be a CGW, a domain controller arranged in each domain, or a conversion device between Controller Area Network and Ethernet.
  • the communication device may be a device that determines the legitimacy of the message without relaying the message.
  • the Ethernet switch holds the whitelist, forwards the message conforming to the whitelist, and discards the message not conforming to the whitelist.
  • the Ethernet switch may maintain a blacklist, forward messages that do not fit into the blacklist, and discard messages that do fit into the blacklist. Also, the Ethernet switch may hold both the whitelist and the blacklist.
  • the Ethernet switch holds the whitelist and discards messages that do not match the whitelist.
  • the Ethernet switch may forward non-conforming results as a log while forwarding the message if the message does not conform to the whitelist.
  • the process of saving the log may be performed by the error message transmission unit or may be performed by the transfer processing unit.
  • the log may be stored in a log storage unit (not shown).
  • the Ethernet switch may notify the source of the message according to the determination result using ICMP while forwarding the message to the destination. This notification may be performed by the error message transmission unit or the transfer processing unit via the communication unit.
  • the Ethernet switch may hold items of the type and the corresponding action in the list so as to switch the corresponding action for each type of the message. For example, although the Ethernet switch does not discard a specific type of message, it may always save the determination result as a log. Alternatively, the Ethernet switch may save the determination result as a log only when the determination result is NG although the message of the specific type is not discarded. Instead of the message type, the sender or destination of the message may be used.
  • the DHCP environment is described as an example of a dynamic environment.
  • the Ethernet switch is not limited to the environment of DHCP, but in an environment corresponding to SOME / IP that changes the communication destination for each service, every time when the communication relationship by the service discovery protocol is determined, using ICMP etc.
  • the TTL whitelist or RTT whitelist may be updated.
  • the DHCP but also the IP address of the transmission source or the IP address of the transmission destination may be changed according to SOME / IP. Then, the TTL white list or the RTT white list may be changed along with the change of the IP address of the transmission source or the IP address of the transmission destination.
  • the Ethernet switch has a white list associated with the MAC address.
  • the Ethernet switch may have a whitelist associated with the IP address.
  • the Ethernet switch when the TTL of the message does not conform to the whitelist, the Ethernet switch updates the message using the value of the whitelist.
  • the aspect of the update is not limited to the example shown in the third modification of the first embodiment.
  • the Ethernet switch may use the whitelist value to update only messages that match specific values preset for each ECU.
  • the Ethernet switch may separately hold in the white list a specific value that is preset for each ECU.
  • the in-vehicle network is an Ethernet network, but the in-vehicle network is not limited to the Ethernet network.
  • the in-vehicle network may be CAN, CAN-FD, LIN, or Flexray, or a network in which all or part of these are combined.
  • a wired LAN conforming to the IEEE 802.3 standard or the like compatible with Ethernet may be used.
  • cyber security measures in an on-vehicle network mounted on a vehicle are described.
  • the scope of application of the cyber security measures of the present disclosure is not limited to the in-vehicle network mounted on a car.
  • the cyber security measures of the present disclosure may be applied to mobility networks installed in mobility such as construction machines, agricultural machines, ships, railways, or planes. That is, the cyber security measures of the present disclosure can be applied to mobility networks and mobility network systems.
  • each device in the above embodiments and modifications is a computer system provided with a microprocessor, a ROM, a RAM, a hard disk unit, a display unit, a keyboard, a mouse, and the like.
  • a computer program is recorded in the RAM or the hard disk unit.
  • Each device achieves its function by the microprocessor operating according to the computer program.
  • the computer program is composed of a plurality of combinations of instruction codes indicating instructions for the computer to achieve a predetermined function.
  • the component which comprises each apparatus in said several embodiment and several modification is an electric circuit, for example.
  • the plurality of components may correspond to one electric circuit as a whole, or may correspond to a plurality of separate electric circuits.
  • these electric circuits may correspond to dedicated hardware for performing a predetermined operation, or correspond to general-purpose hardware that executes a computer program or the like for performing a predetermined operation. It is also good.
  • the component that holds information may be a memory
  • the component that processes information may be a processor
  • a part or all of the components constituting each device in the plurality of embodiments and the plurality of modifications described above are constituted by one system LSI (Large Scale Integration: large scale integrated circuit) It is also good.
  • the system LSI is a super multifunctional LSI manufactured by integrating a plurality of components on one chip, and more specifically, a computer system configured to include a microprocessor, a ROM, a RAM, and the like. Corresponds to A computer program is recorded in the RAM.
  • the system LSI achieves its functions by the microprocessor operating according to the computer program.
  • each part of the component which comprises each said apparatus may be integrated into 1 chip separately, and 1 chip may be integrated so that one part or all may be included.
  • a system LSI may be called an IC, an LSI, a super LSI, or an ultra LSI depending on the degree of integration.
  • the integrated circuit is not limited to the LSI, and may be realized by a dedicated circuit or a general purpose processor.
  • an FPGA Field Programmable Gate Array
  • a reconfigurable processor that can reconfigure connection and setting of circuit cells in the LSI may be used.
  • a part or all of the components constituting each of the above-mentioned devices may be constituted by an IC card or a single module which can be detached from each device.
  • the IC card or module is used in a computer system provided with a microprocessor, a ROM, a RAM, and the like.
  • the IC card or module may include the above-described ultra-multifunctional LSI.
  • the IC card or module achieves its functions by the microprocessor operating according to the computer program. This IC card or this module may have tamper resistance.
  • the present disclosure may be used as the method shown in the above-described embodiments and modifications.
  • the present disclosure may be used as a computer program for a computer to execute these methods, or may be used as a digital signal configured by a computer program.
  • the present disclosure relates to a computer program or a computer readable recording medium in which a digital signal is recorded, such as a flexible disk, a hard disk, a CD-ROM, an MO, a DVD, a DVD-ROM, a DVD-RAM, a BD (Blu-ray (Registered trademark) Disc) or semiconductor memory may be used.
  • a computer program or a computer readable recording medium in which a digital signal is recorded such as a flexible disk, a hard disk, a CD-ROM, an MO, a DVD, a DVD-ROM, a DVD-RAM, a BD (Blu-ray (Registered trademark) Disc) or semiconductor memory may be used.
  • the present disclosure may be used for computer programs or digital signals recorded in these recording media.
  • the computer program or the digital signal may be transmitted via a telecommunication line, a wireless or wired communication line, a network represented by the Internet, data broadcasting, or the like.
  • the memory may store a computer program
  • the microprocessor may operate according to the computer program
  • the computer program or the digital signal may be used in another independent computer system by being recorded on a recording medium and transported, or transported via a network or the like.
  • the communication devices (100a, 100b, 110a, 120a, 130a, 140a, 140b, 1110a, 1120a, 1140a) in one aspect of the present disclosure are connected to a mobility network.
  • a mobility network is a network installed in mobility, and is a network used by a plurality of electronic control devices for communication.
  • the communication device (100a, 100b, 110a, 120a, 130a, 140a, 140b, 1110a, 1120a, 1140a) includes a holding unit (105, 115, 125, 145, 1115, 1125, 1145) and a receiving unit (101, 121). , 1111, 1121), and determination units (104, 114, 134, 144, 1114, 1144).
  • the holding units (105, 115, 125, 145, 1115, 1125, 1145) hold range information indicating transferable route ranges defined for messages on the mobility network.
  • Receivers (101, 121, 1111, 1121) receive messages on the mobility network.
  • the determination unit (104, 114, 134, 144, 1114, 1144) determines the legitimacy of the received message using the range information.
  • the communication devices (100a, 100b, 110a, 120a, 130a, 140a, 140b, 1110a, 1120a, 1140a) can suppress transfer of messages on the mobility network beyond the assumed range. , You can control the outflow of data.
  • the range information indicates the range of TTL (Time To Live) as a transferable route range.
  • the determination unit determines the legitimacy of the received message by comparing the value of TTL included in the received message with the range of TTL indicated by the range information. .
  • the communication devices (100a, 100b, 110a, 120a, 130a, 140a, 140b) can determine the legitimacy of the message according to whether or not the value of TTL is appropriately set in the message. Therefore, the communication devices (100a, 100b, 110a, 120a, 130a, 140a, 140b) can suppress the transfer of the message beyond the assumed range, and can suppress the outflow of data.
  • the range information indicates the range of RTT (Round Trip Time) as a transferable route range. Then, the determination unit (1114, 1144) compares the legitimacy of the received message with the value of RTT derived using the information included in the received message and the range of RTT indicated by the range information. Determined by
  • the communication apparatus (1110a, 1120a, 1140a) can determine the legitimacy of the message according to whether or not the value of RTT for the message is in an appropriate range. Therefore, the communication devices (1110a, 1120a, 1140a) can suppress the transfer of messages beyond the assumed range, and can suppress the flow of data.
  • the range information is a transferable route determined according to the transmission source or the transmission destination. Indicate the range.
  • the communication devices use the range information indicating the transferable route range determined according to the transmission source or the transmission destination. And the legitimacy of the message can be properly determined.
  • the range information indicates the transferable route range determined according to the MAC address of the transmission source or the MAC address of the transmission destination.
  • the communication apparatus is an L2 switch that transfers a message using, for example, a MAC address
  • range information indicating a transferable route range determined according to the MAC address is used. It can be used to properly determine the legitimacy of the message.
  • the range information is a transferable route determined according to the IP address of the transmission source or the IP address of the transmission destination. Indicate the range.
  • the communication apparatus 110a, 120a, 130a, 1110a, 1120a, 1140a
  • a transferable route range determined according to the IP address is The range information shown can be used to properly determine the legitimacy of the message.
  • the range information indicates a transferable route range determined according to the mobility state.
  • the communication devices (140a, 140b, and 1140a) have the range information indicating the transferable route range determined according to the mobility state even if the transferable route range changes according to the change of the mobility state. Can be used to properly determine the legitimacy of the message.
  • the state of mobility is a state related to whether the mobility is moving or not.
  • the communication device determines the transferable route range determined according to each state.
  • the range information shown can be used to properly determine the legitimacy of the message.
  • the range information indicates a statically predetermined fixed range as a transferable route range.
  • the communication devices (100a, 100b, 110a, 130a, 140a, 140b, 1110a, 1140a) appropriately use the statically defined range information, for example, in a static environment to appropriately correct the legitimacy of the message. It can be determined.
  • the communication device (120a, 1120a) further includes an update unit (127, 1127).
  • the update unit (127, 1127) dynamically updates the range information according to the update of the plurality of electronic control units.
  • the communication device (120a, 1120a) can update the range information, for example, in response to a physical change corresponding to addition or deletion of the electronic control device, and using the updated range information, The legitimacy of the message can be determined appropriately. That is, the communication device (120a, 1120a) can appropriately determine the legitimacy of the message using range information that is more flexibly defined.
  • the updating unit (127, 1127) dynamically updates the range information according to the update of the attribute information of the plurality of electronic control devices.
  • the communication device 120a, 1120a
  • the communication device can use the range information dynamically determined even in the environment where the attribute information corresponding to, for example, the IP address of the electronic control device is dynamically changed. The legitimacy can be determined appropriately.
  • the attribute information is updated using a SOME / IP (Scalable service-oriented Middlewar over IP) protocol.
  • SOME / IP Scalable service-oriented Middlewar over IP
  • the communication device uses the range information dynamically determined even in the environment where the attribute information of the electronic control device is dynamically changed due to the update of the firmware based on SOME / IP, etc. And the legitimacy of the message can be properly determined.
  • the communication apparatus (100a, 100b, 110a, 120a, 130a, 140a, 140b, 1110a, 1120a, 1140a) further includes a processing unit (102, 106, 132).
  • the processing unit (102, 106, 132) performs a predetermined action based on the determination result of the legitimacy of the received message.
  • the communication devices (100a, 100b, 110a, 120a, 130a, 140a, 140b, 1110a, 1120a, 1140a) can perform appropriate processing based on the determination result, and the entire system of the mobility network can be implemented. Safety can be enhanced.
  • the processing unit (102) can transfer the received message based on the determination result Control.
  • the communication devices (100a, 100b, 110a, 120a, 140a, 140b, 1110a, 1120a, 1140a) can appropriately control whether or not the message can be transferred, and enhance the security of the entire mobility network system. Can.
  • the processing unit (102, 106, 132) records the determination result.
  • the communication devices (100a, 100b, 110a, 120a, 130a, 140a, 140b, 1110a, 1120a, 1140a) can enable analysis of the determination result later. Then, the communication devices (100a, 100b, 110a, 120a, 130a, 140a, 140b, 1110a, 1120a, 1140a) can enable appropriate updating of the transferable route range indicated by the range information.
  • the processing unit (102, 106, 132) transmits the received message to the transmission source. And notify the determination result.
  • the communication devices (100a, 100b, 110a, 120a, 130a, 140a, 140b, 1110a, 1120a, 1140a) can guide the transmission source to transmit an appropriate message.
  • the communication device (130a) further includes a processing unit (132).
  • the processing unit (132) determines that the received message is not valid, the received message is updated by updating the value of TTL included in the received message within the range of TTL indicated by the range information. Update and forward the updated message. This enables the communication device (130a) to set the appropriate TTL value for the message under an environment where it is difficult for the transmission source to set the appropriate TTL value for the message.
  • the communication method in one aspect of the present disclosure is a communication method on a mobility network.
  • a mobility network is a network installed in mobility, and is a network used by a plurality of electronic control devices for communication.
  • the communication method includes a receiving step (S1001) and a determining step (S1005, S1105, S1405, S1505, S2005, S2405).
  • a message on the mobility network is received.
  • the determination step S1005, S1105, S1405, S1505, S2005, S2405), the legitimacy of the received message is determined using range information indicating a transferable route range defined for the message on the mobility network. .
  • the communication system (10, 40) is a communication system (10, 40) of a mobility network.
  • a mobility network is a network installed in mobility, and is a network used by a plurality of electronic control devices for communication.
  • the communication system (10, 40) includes a holding unit (105, 115, 125, 145, 1115, 1125, 1145), a receiving unit (101, 121, 1111, 1121), and a determination unit (104, 114, 134, 144, 1114, 1144).
  • the holding units (105, 115, 125, 145, 1115, 1125, 1145) hold range information indicating transferable route ranges defined for messages on the mobility network.
  • Receivers (101, 121, 1111, 1121) receive messages on the mobility network.
  • the determination unit (104, 114, 134, 144, 1114, 1144) determines the legitimacy of the received message using the range information.
  • the communication system (10, 40) can suppress that the message on the mobility network is transferred beyond the assumed range, and can suppress the outflow of data.
  • the above-mentioned communication devices are Ethernet switches 100a, 100b, 110a, 120a, 130a, 140a, 140b, 1110a, 1101. It corresponds to 1120a and 1140a etc.
  • the communication system (10, 40) described above corresponds to the in-vehicle network systems 10 and 40 and the like.
  • the above holding units correspond to the white list holding units 105, 115, 125, 145, 1115, 1125, 1145) correspond to the white list holding units 105, 115, 125, 145, 1115, 1125, 1145, and the like.
  • the above-mentioned reception units (101, 121, 1111, 1121) correspond to the communication units 101, 121, 1111, 1121 and the like.
  • the determination units (104, 114, 134, 144, 1114, 1144) described above correspond to the white list determination units 104, 114, 134, 144, 1114, 1144, and the like.
  • the above update units (127, 1127) correspond to the white list generation units 127 and 1127 and the like.
  • the above processing units (102, 106, 132) correspond to the transfer processing units 102 and 132, the error message transmission unit 106, and the like.
  • a communication apparatus and the like according to an aspect of the present disclosure can be used as a communication apparatus and the like that determines the legitimacy of a message on a mobility network, and can be applied to various systems that use the mobility network.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Databases & Information Systems (AREA)
  • Small-Scale Networks (AREA)

Abstract

通信装置（１００ａ）は、モビリティに搭載されるネットワークであり、複数の電子制御装置が通信に用いるネットワークであるモビリティネットワークに接続される通信装置であって、モビリティネットワーク上のメッセージに対して定められる転送可能な経路範囲を示す範囲情報を保持する保持部（１０５）と、モビリティネットワーク上のメッセージを受信する受信部（１０１）と、受信されたメッセージの正当性を、範囲情報を用いて判定する判定部（１０４）とを備える。

Description

通信装置、通信方法及び通信システム
　本開示は、モビリティネットワークに接続される通信装置等に関する。
　特許文献１は、同一グループ内に位置する機器を通信にかかる時間で判定する装置を開示している。また、特許文献２は、ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）フレームのＴＴＬ（Ｔｉｍｅ　Ｔｏ　Ｌｉｖｅ）フィールドの値を用いて、コンテンツの共有範囲を制限する装置を開示している。
特許第４１２９２１６号公報 特許第４１８１９５１号公報
　しかしながら、特許文献１及び特許文献２では、送信元の通信装置がデータの流出を抑制するための制御を行う。したがって、送信元の通信装置が改ざんされることなどにより、正常な動作が行われず、データが流出するという可能性が存在する。
　そこで、本開示は、データの流出を抑制することができる通信装置等を提供することを目的とする。
　本開示の一態様に係る通信装置は、モビリティに搭載されるネットワークであり、複数の電子制御装置が通信に用いるネットワークであるモビリティネットワークに接続される通信装置であって、前記モビリティネットワーク上のメッセージに対して定められる転送可能な経路範囲を示す範囲情報を保持する保持部と、前記モビリティネットワーク上の前記メッセージを受信する受信部と、受信された前記メッセージの正当性を、前記範囲情報を用いて判定する判定部とを備える。
　なお、これらの包括的又は具体的な態様は、システム、装置、方法、集積回路、コンピュータプログラム、又は、コンピュータ読み取り可能なＣＤ－ＲＯＭなどの非一時的な記録媒体で実現されてもよく、システム、装置、方法、集積回路、コンピュータプログラム、及び、記録媒体の任意な組み合わせで実現されてもよい。
　本開示の一態様に係る通信装置は、データの流出を抑制することができる。
図１は、実施の形態１における車載ネットワークシステムの全体構成の一例を示す図である。 図２は、実施の形態１におけるＩＰアドレス及びＭＡＣアドレスの一覧表の一例を示す図である。 図３は、実施の形態１におけるＥｔｈｅｒｎｅｔスイッチの構成の一例を示す図である。 図４は、実施の形態１におけるＩＶＩの構成の一例を示す図である。 図５は、実施の形態１におけるＥＣＵの構成の一例を示す図である。 図６は、実施の形態１におけるＣＧＷの構成の一例を示す図である。 図７は、実施の形態１におけるＴＣＵの構成の一例を示す図である。 図８は、実施の形態１におけるＥＣＵから送信されるメッセージに含まれるフィールドの一例を示す図である。 図９は、実施の形態１における転送テーブルの構成の一例を示す図である。 図１０は、実施の形態１におけるＴＴＬホワイトリストの構成の一例を示す図である。 図１１は、実施の形態１におけるＴＴＬホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。 図１２は、実施の形態１の変形例１におけるＥｔｈｅｒｎｅｔスイッチの構成の一例を示す図である。 図１３は、実施の形態１の変形例１における転送テーブルの構成の一例を示す図である。 図１４は、実施の形態１の変形例１におけるＴＴＬホワイトリストの構成の一例を示す図である。 図１５は、実施の形態１の変形例１におけるＴＴＬホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。 図１６は、実施の形態１の変形例２におけるＥｔｈｅｒｎｅｔスイッチの構成の一例を示す図である。 図１７は、実施の形態１の変形例３におけるＥｔｈｅｒｎｅｔスイッチの構成の一例を示す図である。 図１８は、実施の形態１の変形例３におけるＥＣＵから送信されるメッセージに含まれるフィールドの一例を示す図である。 図１９は、実施の形態１の変形例３におけるＴＴＬホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。 図２０は、実施の形態２におけるＥｔｈｅｒｎｅｔスイッチの構成の一例を示す図である。 図２１は、実施の形態２におけるＲＴＴ（Ｒｏｕｎｄ　Ｔｒｉｐ　Ｔｉｍｅ）ホワイトリストの構成の一例を示す図である。 図２２は、実施の形態２におけるＲＴＴホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。 図２３は、実施の形態２の変形例におけるＥｔｈｅｒｎｅｔスイッチの構成の一例を示す図である。 図２４は、実施の形態３における車載ネットワークシステムの全体構成の一例を示す図である。 図２５は、実施の形態３におけるＩＰアドレス及びＭＡＣアドレスの一覧表の一例を示す図である。 図２６は、実施の形態３におけるＥｔｈｅｒｎｅｔスイッチの構成の一例を示す図である。 図２７は、実施の形態３におけるＥＣＵから送信されるメッセージに含まれるフィールドの一例を示す図である。 図２８は、実施の形態３における転送テーブルの構成の一例を示す図である。 図２９は、実施の形態３におけるＴＴＬホワイトリストの構成の一例を示す図である。 図３０は、実施の形態３におけるＴＴＬホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。 図３１は、実施の形態３の変形例におけるＴＴＬホワイトリストの構成の一例を示す図である。 図３２は、実施の形態３の変形例におけるＴＴＬホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。 図３３は、実施の形態４におけるＥｔｈｅｒｎｅｔスイッチの構成の一例を示す図である。 図３４は、実施の形態４におけるＲＴＴホワイトリストの構成の一例を示す図である。 図３５は、実施の形態４におけるＲＴＴホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。
　（本開示の基礎となった知見）
　近年、自動車の中のシステムには、電子制御ユニット（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ、以下、ＥＣＵ）と呼ばれる装置が多数配置されており、これらのＥＣＵをつなぐネットワークは、車載ネットワークと呼ばれる。車載ネットワークには、多数の規格が存在する。また、一般の情報ネットワークとして既に実績のあるＥｔｈｅｒｎｅｔ（登録商標）を車載ネットワークに適応しようとする動きがあり、近年注目を集めている。
　Ｅｔｈｅｒｎｅｔの採用により、帯域幅の大幅な増加、及び、自動車分野以外でのこれまでの技術資産の活用が可能となり、コスト削減効果などが期待される一方、セキュリティリスクの可能性が高まるとの懸念も指摘されている。
　また、自動車の電子システムは今後も進化を続けることが予想され、扱うデータ量も膨大となる可能性がある。今後増加が予想されるデータとは、自動運転技術などに必須となる、各種センサデータ及び映像データなどである。これらのデータを外部からモニタリングするだけで、自動車が今現在どこを走っており、周囲の状況がどういった状況かが判明してしまうため、これらのデータが意図せず外部に流出してしまわないような対策が重要である。
　車両内に存在する特定のノードが不正に改ざんされ、車両内のネットワークのみに送信すべきメッセージが意図せず車外へ送信される可能性がある。このようなケースを想定し、例えば送信先が車両内か車両外か等のようにメッセージが届く範囲に従ってメッセージの正当性を判定する通信装置について、これまで十分に検討はされていなかった。
　特許文献１は、同一グループ内に位置する機器を通信にかかる時間で判定する装置を開示している。また、特許文献２は、ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）フレームのＴＴＬ（Ｔｉｍｅ　Ｔｏ　Ｌｉｖｅ）フィールドの値を用いて、コンテンツの共有範囲を制限する装置を開示している。
　しかしながら、特許文献１及び特許文献２では、送信元の通信装置がデータの流出を抑制するための制御を行う。したがって、送信元の通信装置が改ざんされることなどにより、正常な動作が行われず、データが流出するという可能性が存在する。
　そこで、本開示の一態様に係る通信装置は、モビリティに搭載されるネットワークであり、複数の電子制御装置が通信に用いるネットワークであるモビリティネットワークに接続される通信装置であって、前記モビリティネットワーク上のメッセージに対して定められる転送可能な経路範囲を示す範囲情報を保持する保持部と、前記モビリティネットワーク上の前記メッセージを受信する受信部と、受信された前記メッセージの正当性を、前記範囲情報を用いて判定する判定部とを備える。
　これにより、通信装置は、モビリティネットワーク上のメッセージが想定の範囲を超えて転送されることを抑制することができ、データの流出を抑制することができる。
　例えば、前記範囲情報は、ＴＴＬ（Ｔｉｍｅ　Ｔｏ　Ｌｉｖｅ）の範囲を前記転送可能な経路範囲として示し、前記判定部は、受信された前記メッセージの正当性を、受信された前記メッセージに含まれるＴＴＬの値と、前記範囲情報によって示されるＴＴＬの範囲との比較により判定してもよい。
　これにより、通信装置は、メッセージにＴＴＬの値が適切に設定されているか否かに従って、メッセージの正当性を判定することができる。したがって、通信装置は、メッセージが想定の範囲を超えて転送されることを抑制することができ、データの流出を抑制することができる。
　また、例えば、前記範囲情報は、ＲＴＴ（Ｒｏｕｎｄ　Ｔｒｉｐ　Ｔｉｍｅ）の範囲を前記転送可能な経路範囲として示し、前記判定部は、受信された前記メッセージの正当性を、受信された前記メッセージに含まれる情報を用いて導出されるＲＴＴの値と、前記範囲情報によって示されるＲＴＴの範囲との比較により判定してもよい。
　これにより、通信装置は、メッセージに対するＲＴＴの値が適切な範囲であるか否かに従って、メッセージの正当性を判定することができる。したがって、通信装置は、メッセージが想定の範囲を超えて転送されることを抑制することができ、データの流出を抑制することができる。
　また、例えば、前記範囲情報は、送信元又は送信先に応じて定められる前記転送可能な経路範囲を示してもよい。
　これにより、通信装置は、送信元又は送信先に応じて定められる転送可能な経路範囲を示す範囲情報を用いて、メッセージの正当性を適切に判定することができる。
　また、例えば、前記範囲情報は、前記送信元のＭＡＣアドレス、又は、前記送信先のＭＡＣアドレスに応じて定められる前記転送可能な経路範囲を示してもよい。
　これにより、通信装置は、例えばＭＡＣアドレスを用いてメッセージを転送するＬ２スイッチである場合でも、ＭＡＣアドレスに応じて定められる転送可能な経路範囲を示す範囲情報を用いて、メッセージの正当性を適切に判定することができる。
　また、例えば、前記範囲情報は、前記送信元のＩＰアドレス、又は、前記送信先のＩＰアドレスに応じて定められる前記転送可能な経路範囲を示してもよい。
　これにより、通信装置は、例えばＩＰアドレスを用いてメッセージを転送するＬ３スイッチである場合でも、ＩＰアドレスに応じて定められる転送可能な経路範囲を示す範囲情報を用いて、メッセージの正当性を適切に判定することができる。
　また、例えば、前記範囲情報は、前記モビリティの状態に応じて定められる前記転送可能な経路範囲を示してもよい。
　これにより、通信装置は、モビリティの状態の変化に応じて転送可能な経路範囲が変化する場合でも、モビリティの状態に応じて定められる転送可能な経路範囲を示す範囲情報を用いて、メッセージの正当性を適切に判定することができる。
　また、例えば、前記モビリティの状態は、前記モビリティが移動しているか停止しているかに関連する状態であってもよい。
　これにより、通信装置は、移動中における転送可能な経路範囲と停止中における転送可能な経路範囲とが異なる場合でも、各状態に応じて定められる転送可能な経路範囲を示す範囲情報を用いて、メッセージの正当性を適切に判定することができる。
　また、例えば、前記範囲情報は、静的に予め定められた固定の範囲を前記転送可能な経路範囲として示してもよい。
　これにより、通信装置は、例えば静的な環境下において、静的に定められる範囲情報を用いて、メッセージの正当性を適切に判定することができる。
　また、例えば、前記通信装置は、さらに、前記複数の電子制御装置の更新に応じて、前記範囲情報を動的に更新する更新部を備えてもよい。
　これにより、通信装置は、例えば電子制御装置の追加又は削除に対応する物理的な変更等に伴って、範囲情報を更新することができ、更新された範囲情報を用いて、メッセージの正当性を適切に判定することができる。すなわち、通信装置は、より柔軟に定められる範囲情報を用いて、メッセージの正当性を適切に判定することができる。
　また、例えば、前記更新部は、前記複数の電子制御装置の属性情報の更新に応じて、前記範囲情報を動的に更新してもよい。
　これにより、通信装置は、例えば電子制御装置のＩＰアドレスなどに対応する属性情報が動的に変更される環境下においても、動的に定められる範囲情報を用いて、メッセージの正当性を適切に判定することができる。
　また、例えば、前記属性情報は、ＳＯＭＥ／ＩＰ（Ｓｃａｌａｂｌｅ　ｓｅｒｖｉｃｅ－Ｏｒｉｅｎｔｅｄ　ＭｉｄｄｌｅｗａｒＥ　ｏｖｅｒ　ＩＰ）プロトコルを用いて更新されてもよい。
　これにより、通信装置は、ＳＯＭＥ／ＩＰに基づくファームウェアのアップデートなどにより電子制御装置の属性情報が動的に変更される環境下においても、動的に定められる範囲情報を用いて、メッセージの正当性を適切に判定することができる。
　また、例えば、前記通信装置は、さらに、受信された前記メッセージの正当性の判定結果に基づいて、所定のアクションを実施する処理部を備えてもよい。
　これにより、通信装置は、判定結果に基づいて、適切な処理を実施することができ、モビリティネットワークのシステム全体の安全性を高めることができる。
　また、例えば、前記処理部は、前記判定結果に基づいて、受信された前記メッセージの転送可否を制御してもよい。
　これにより、通信装置は、メッセージの転送可否を適切に制御することができ、モビリティネットワークのシステム全体の安全性を高めることができる。
　また、例えば、前記処理部は、前記判定結果を記録してもよい。
　これにより、通信装置は、後で判定結果の分析を可能にすることができる。そして、通信装置は、範囲情報によって示される転送可能な経路範囲の適切な更新を可能にすることができる。
　また、例えば、前記処理部は、受信された前記メッセージの送信元に対して、前記判定結果を通知してもよい。
　これにより、通信装置は、適切なメッセージを送信するよう送信元を誘導することができる。
　また、例えば、前記通信装置は、さらに、受信された前記メッセージが正当でないと判定された場合、受信された前記メッセージに含まれるＴＴＬの値を前記範囲情報によって示されるＴＴＬの範囲内に更新することにより、受信された前記メッセージを更新し、更新された前記メッセージを転送する処理部を備えてもよい。
　これにより、送信元がメッセージに適切なＴＴＬの値を設定することが難しい環境下において、通信装置がメッセージに適切なＴＴＬの値を設定することができる。
　また、本開示の一態様に係る通信方法は、モビリティに搭載されるネットワークであり、複数の電子制御装置が通信に用いるネットワークであるモビリティネットワーク上の通信方法であって、前記モビリティネットワーク上のメッセージを受信する受信ステップと、受信された前記メッセージの正当性を、前記モビリティネットワーク上の前記メッセージに対して定められる転送可能な経路範囲を示す範囲情報を用いて判定する判定ステップとを含む通信方法であってもよい。
　これにより、モビリティネットワーク上のメッセージが想定の範囲を超えて転送されることが抑制され得る。したがって、データの流出が抑制され得る。
　また、本開示の一態様に係る通信システムは、モビリティに搭載されるネットワークであり、複数の電子制御装置が通信に用いるネットワークであるモビリティネットワークの通信システムであって、前記モビリティネットワーク上のメッセージに対して定められる転送可能な経路範囲を示す範囲情報を保持する保持部と、前記モビリティネットワーク上の前記メッセージを受信する受信部と、受信された前記メッセージの正当性を、前記範囲情報を用いて判定する判定部とを備える通信システムであってもよい。
　これにより、通信システムは、モビリティネットワーク上のメッセージが想定の範囲を超えて転送されることを抑制することができ、データの流出を抑制すことができる。
　さらに、これらの包括的又は具体的な態様は、システム、装置、方法、集積回路、コンピュータプログラム、又は、コンピュータ読み取り可能なＣＤ－ＲＯＭなどの非一時的な記録媒体で実現されてもよく、システム、装置、方法、集積回路、コンピュータプログラム、及び、記録媒体の任意な組み合わせで実現されてもよい。
　以下、図面を参照しながら、実施の形態に関わる通信装置、通信方法及び通信システムについて説明する。
　なお、以下で説明する実施の形態は、いずれも包括的又は具体的な例を示す。つまり、以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置及び接続形態、ステップ、ステップの順序などは、一例であり、請求の範囲を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。
　（実施の形態１）
　本実施の形態では、受信したメッセージに含まれるＴＴＬ（Ｔｉｍｅ　Ｔｏ　Ｌｉｖｅ）が、予め定められたホワイトリストによってチェックされる。以下、受信したメッセージに含まれるＴＴＬを予め定められたホワイトリストによってチェックする機能を持つ通信装置について、図面を参照しながら説明する。
　［１．１　車載ネットワークシステムの全体構成］
　図１は、本実施の形態における車載ネットワークシステムの全体構成の一例を示す図である。車載ネットワークシステム１０は、Ｅｔｈｅｒｎｅｔスイッチ１００ａ、１００ｂと、Ｉｎ－Ｖｅｈｉｃｌｅ　Ｉｎｆｏｔａｉｎｍｅｎｔ　Ｓｙｓｔｅｍ（以下、ＩＶＩ）２００と、ＥＣＵ３００ａ、３００ｂ、３００ｃ、３００ｄ、３００ｅと、Ｃｅｎｔｒａｌ　Ｇａｔｅｗａｙ（以下、ＣＧＷ）４００と、Ｔｅｌｅｍａｔｉｃｓ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ（以下、ＴＣＵ）５００とを備える。
　Ｅｔｈｅｒｎｅｔスイッチ１００ａと、Ｅｔｈｅｒｎｅｔスイッチ１００ｂとは、それぞれスイッチングハブであり、ＣＧＷ４００及びＥｔｈｅｒｎｅｔケーブルを介して互いに接続されている。また、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、ＥＣＵ３００ａ～３００ｅと、それぞれＥｔｈｅｒｎｅｔケーブルを介して接続されている。また、Ｅｔｈｅｒｎｅｔスイッチ１００ｂは、ＩＶＩ２００と、ＴＣＵ５００と、それぞれＥｔｈｅｒｎｅｔケーブルを介して接続されている。Ｅｔｈｅｒｎｅｔスイッチ１００ａ及び１００ｂは、それぞれのポートから受信するメッセージを、その他のポート、あるいは、全てのポートに転送する機能を持つ。
　ＩＶＩ２００は、Ｅｔｈｅｒｎｅｔスイッチ１００ｂとＥｔｈｅｒｎｅｔケーブルを介して接続されている。また、ＩＶＩ２００は、ディスプレイを有する。そして、ＩＶＩ２００は、ドライバーに対して情報を提示する機能を持つ。
　ＥＣＵ３００ａ～３００ｅは、それぞれ、前方距離センサ３１０、前方カメラ３２０、高度運転支援機能（以下、ＡＤＡＳ）３３０、後方距離センサ３４０、及び、後方カメラ３５０に接続されている。また、ＥＣＵ３００ａ～３００ｅは、それぞれ、接続されている装置から情報を取得し、取得された情報をメッセージとして別のＥＣＵに送信する機能を持つ。
　ＣＧＷ４００は、Ｅｔｈｅｒｎｅｔスイッチ１００ａと、Ｅｔｈｅｒｎｅｔスイッチ１００ｂとに、それぞれＥｔｈｅｒｎｅｔを介して接続されている。そして、ＣＧＷ４００は、各ドメインを分割するルータの機能を持つ。
　ＴＣＵ５００は、Ｅｔｈｅｒｎｅｔスイッチ１００ａとＥｔｈｅｒｎｅｔケーブルを介して接続されている。また、ＴＣＵ５００は、３Ｇ又はＬＴＥ（登録商標）などの無線通信を介して基地局６００と通信し、車内で必要な情報を車外から取得する、あるいは、車内の情報を外部へ送信する機能を持つ。基地局６００の説明は省略する。
　［１．２　ＩＰアドレス及びＭＡＣアドレス一覧表］
　図２は、本実施の形態におけるＩＰアドレス及びＭＡＣアドレスの一覧表の一例を示す図である。例えば、ＭＡＣアドレスは、製造時に搭載される部品により一意に設定され、ＩＰアドレスはシステム構築時に静的に与えられる。
　［１．３　Ｅｔｈｅｒｎｅｔスイッチの構成］
　図３は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１００ａの構成の一例を示す図である。Ｅｔｈｅｒｎｅｔスイッチ１００ａは、通信部１０１と、転送処理部１０２と、転送テーブル保持部１０３と、ホワイトリスト判定部１０４と、ホワイトリスト保持部１０５と、エラーメッセージ送信部１０６とを備える。
　なお、Ｅｔｈｅｒｎｅｔスイッチ１００ｂは、Ｅｔｈｅｒｎｅｔスイッチ１００ａと同様の構成であるため、説明は省略する。
　通信部１０１は、Ｅｔｈｅｒｎｅｔを介し、他のＥＣＵからメッセージを受信し、転送処理部１０２へ通知する。また、転送処理部１０２又はエラーメッセージ送信部１０６から通知された送信先ＥＣＵにメッセージを送信する。
　転送処理部１０２は、転送テーブル保持部１０３から取得する転送テーブルと、ホワイトリスト判定部１０４の判定結果とに基づき、メッセージの転送可否を決定する。そして、転送処理部１０２は、メッセージが転送可能である場合、転送先を通信部１０１に通知する。転送処理部１０２は、メッセージが転送可能でない場合、メッセージが転送可能でないことをエラーメッセージ送信部１０６に通知してもよい。
　転送テーブル保持部１０３は、転送テーブルを保持する。転送テーブルの詳細は、図９を用いて後述する。
　ホワイトリスト判定部１０４は、ホワイトリスト保持部１０５が保持するホワイトリストと、転送処理部１０２より通知される受信メッセージとに応じて、メッセージに対する判定を行う。そして、ホワイトリスト判定部１０４は、判定結果を転送処理部１０２と、エラーメッセージ送信部１０６とに通知する。
　ホワイトリスト保持部１０５は、メッセージの転送可否を判断するためのホワイトリストを保持する。ホワイトリストの詳細は、図１０を用いて後述する。
　エラーメッセージ送信部１０６は、転送処理部１０２又はホワイトリスト判定部１０４から通知された結果に基づき、エラーメッセージを送信するよう、通信部１０１に通知を行う。
　［１．４　ＩＶＩの構成］
　図４は、本実施の形態におけるＩＶＩ２００の構成の一例を示す図である。ＩＶＩ２００は、通信部２０１と、メッセージ処理部２０２と、表示部２０３と、操作部２０４とを備える。
　通信部２０１は、Ｅｔｈｅｒｎｅｔを介し、他のＥＣＵからメッセージを受信し、メッセージ処理部２０２へメッセージを通知する。また、通信部２０１は、メッセージ処理部２０２から通知されたメッセージを他のＥＣＵへ送信する。
　メッセージ処理部２０２は、通信部２０１から通知された受信メッセージから、表示対象の内容を抽出し、表示部２０３へ通知する。また、操作部２０４からの通知内容に応じて、送信対象のメッセージを作成し、通信部２０１へ通知する。
　表示部２０３は、メッセージ処理部２０２から通知された表示対象の内容を画面に表示する処理を行う。
　操作部２０４は、ドライバーによる操作に対応する内容をメッセージ処理部２０２へ通知する。
　［１．５　ＥＣＵの構成］
　図５は、本実施の形態におけるＥＣＵ３００ａの構成の一例を示す図である。ＥＣＵ３００ａは、通信部３０１と、メッセージ処理部３０２と、センサ通信部３０３とを備える。なお、ＥＣＵ３００ｂ～３００ｄは、ＥＣＵ３００ａと同様の構成であるため、説明を省略する。
　通信部３０１は、Ｅｔｈｅｒｎｅｔを介し、他のＥＣＵからメッセージを受信し、メッセージ処理部３０２へ通知する。また、通信部３０１は、メッセージ処理部３０２から通知されたメッセージを他のＥＣＵへ送信する。
　メッセージ処理部３０２は、通信部３０１から通知された受信メッセージから、センサ等に対する指示内容を抽出し、センサ通信部３０３へ通知する。また、メッセージ処理部３０２は、センサ通信部３０３からの通知内容に応じて、送信対象のメッセージを作成し、通信部３０１へ通知する。
　センサ通信部３０３は、外部にあるセンサ等から情報を取得し、その情報の内容をメッセージ処理部３０２へ通知する。また、センサ通信部３０３は、メッセージ処理部３０２から通知された指示内容に応じて、外部のセンサ等へ指示を送る。
　ＥＣＵ３００ａの通信部３０１が他のＥＣＵへ送信するメッセージの一例は、図８を用いて後述する。
　［１．６　ＣＧＷの構成］
　図６は、本実施の形態におけるＣＧＷ４００の構成の一例を示す図である。ＣＧＷ４００は、通信部４０１と、転送処理部４０２と、転送テーブル保持部４０３と、エラーメッセージ送信部４０４とを備える。
　通信部４０１は、Ｅｔｈｅｒｎｅｔを介し、他のＥＣＵからメッセージを受信し、転送処理部４０２へ通知する。また、通信部４０１は、転送処理部４０２又はエラーメッセージ送信部４０４から通知された通信先ＥＣＵにメッセージを送信する。
　転送処理部４０２は、転送テーブル保持部４０３から取得する転送テーブルに基づき、転送先を通信部４０１に通知する。転送処理部４０２は、転送テーブルに基づき、メッセージが転送可能でない場合、メッセージが転送可能でないことをエラーメッセージ送信部４０４に通知してもよい。
　転送テーブル保持部４０３は、転送テーブルを保持する。
　エラーメッセージ送信部４０４は、転送処理部４０２から通知された結果に基づきエラーメッセージを送信するよう、通信部４０１に通知を行う。
　［１．７　ＴＣＵの構成］
　図７は、本実施の形態におけるＴＣＵ５００の構成の一例を示す図である。ＴＣＵ５００は、車内通信部５０１と、メッセージ処理部５０２と、車外通信部５０３とを備える。
　車内通信部５０１は、Ｅｔｈｅｒｎｅｔを介し、他のＥＣＵからメッセージを受信し、メッセージ処理部５０２へ通知する。また、車内通信部５０１は、メッセージ処理部５０２から通知されたメッセージを他のＥＣＵへ送信する。
　メッセージ処理部５０２は、車内通信部５０１から通知された受信メッセージから、外部に対する送信対象の内容を抽出し、車外通信部５０３へ通知する。また、メッセージ処理部５０２は、車外通信部５０３からの通知内容に応じて、車内に対する送信対象のメッセージを作成し、車内通信部５０１へ通知する。
　車外通信部５０３は、車外にある基地局６００と通信を行い、受信メッセージをメッセージ処理部５０２へ通知する。また、車外通信部５０３は、メッセージ処理部５０２から通知された送信対象の内容に応じて、車外の基地局６００へメッセージを送信する。
　［１．８　ＥＣＵから送信されるメッセージに含まれるフィールドの一例］
　図８は、本実施の形態におけるＥＣＵ３００ａから送信されるメッセージに含まれるフィールドの一例を示す図である。なお、ＥＣＵ３００ｂ～３００ｅから送信されるメッセージはＥＣＵ３００ａから送信されるメッセージとほぼ同様であるため、ここでは説明は省略する。
　ＭＡＣヘッダには、送信元ＭＡＣアドレスと、送信先ＭＡＣアドレスとが含まれる。ＩＰヘッダには、ＴＴＬと、送信元ＩＰアドレスと、送信先ＩＰアドレスとが含まれる。ＩＰヘッダには、さらに、パケット種別が含まれていてもよい。ＩＰペイロードには、センサデータ等のデータ本体が含まれる。例えば、ＩＰレイヤにおいて、メッセージが装置を経由する度に、メッセージに含まれるＴＴＬの値から１が減らされる。そして、メッセージが送信先に到達する前に、メッセージに含まれるＴＴＬの値が０になれば、メッセージは破棄される。
　本実施の形態では、ＥＣＵ３００ａは、ＥＣＵ３００ｃにのみセンサデータを送信する。そのため、ＥＣＵ３００ａは、送信元ＭＡＣアドレス、及び、送信元ＩＰアドレスにＥＣＵ３００ａの情報を設定し、送信先ＭＡＣアドレス、及び、送信先ＩＰアドレスにＥＣＵ３００ｃの情報を設定する。また、ＥＣＵ３００ａは、ＴＴＬに、途中に中継器を介さないことを示す１を設定する。
　［１．９　転送テーブルの構成］
　図９は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１００ａが持つ転送テーブルの構成の一例を示す図である。Ｅｔｈｅｒｎｅｔスイッチ１００ｂが持つ転送テーブルは、Ｅｔｈｅｒｎｅｔスイッチ１００ａが持つ転送テーブルとほぼ同様であるため、ここでは説明を省略する。図９の転送テーブルでは、ＭＡＣアドレスがＥｔｈｅｒｎｅｔポートに対応付けられている。
　図９では、Ｅｔｈｅｒｎｅｔスイッチ１００ａが、６つのＥｔｈｅｒｎｅｔポートを保持し、これらのポート番号は、ポートＮｏ．１～６である。また、ポートＮｏ．１～６の接続先ＭＡＣアドレスは、それぞれ、0a:0a:0a:0a:0a:0a、0b:0b:0b:0b:0b:0b、0c:0c:0c:0c:0c:0c、0d:0d:0d:0d:0d:0d、0e:0e:0e:0e:0e:0e、及び、04:04:04:04:04:04である。
　［１．１０　ＴＴＬホワイトリストの構成］
　図１０は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１００ａが持つホワイトリストであるＴＴＬホワイトリストの構成の一例を示す図である。Ｅｔｈｅｒｎｅｔスイッチ１００ｂが持つＴＴＬホワイトリストは、Ｅｔｈｅｒｎｅｔスイッチ１００ａが持つＴＴＬホワイトリストとほぼ同様であるため、ここでは説明を省略する。
　図１０において、ＴＴＬホワイトリストは、送信元ＭＡＣアドレスと、送信先ＭＡＣアドレスと、ＴＴＬとのセットでそれぞれが構成される５つのセットを含む。これらの５つのセットは、正しい組み合わせである。メッセージがこれらの組み合わせに含まれている場合、メッセージは転送され、メッセージがこれらの組み合わせに含まれていない場合、メッセージはＮＧとして破棄される。
　［１．１１　ＴＴＬホワイトリストの判定シーケンス］
　図１１は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１００ａによる、ＴＴＬホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。
　ステップＳ１００１において、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、Ｅｔｈｅｒｎｅｔスイッチ１００ａが保有するＥｔｈｅｒｎｅｔポートからメッセージを受信する。
　ステップＳ１００２において、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、受信したメッセージから、送信元ＭＡＣアドレスを取得する。
　ステップＳ１００３において、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、受信したメッセージから、送信先ＭＡＣアドレスを取得する。
　ステップＳ１００４において、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、受信したメッセージから、ＴＴＬの値を取得する。
　ステップＳ１００５において、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、受信したメッセージと、ＴＴＬホワイトリストとを照合する。そして、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、送信元ＭＡＣアドレスと送信先ＭＡＣアドレスとに応じたＴＴＬホワイトリストのＴＴＬの値に基づいて、受信したメッセージのＴＴＬの値が正しい値かどうかをチェックする。つまり、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、受信したメッセージから得られるＴＴＬがＴＴＬホワイトリストに適合するか否かを判定する。
　例えば、受信したメッセージのＴＴＬの値が、ＴＴＬホワイトリストのＴＴＬの値以下である場合、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、受信したメッセージのＴＴＬの値が正しい値であると判定する。受信したメッセージのＴＴＬの値が、ＴＴＬホワイトリストのＴＴＬの値以下でない場合、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、受信したメッセージのＴＴＬの値が正しい値でないと判定する。
　受信したメッセージのＴＴＬの値が正しい値の場合（Ｙｅｓの場合）、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、ステップＳ１００７の処理を実行する。受信したメッセージのＴＴＬの値が正しい値でない場合（Ｎｏの場合）、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、ステップＳ１００６の処理を実行する。
　ステップＳ１００６において、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、受信したメッセージを破棄する。
　ステップＳ１００７において、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、転送テーブルに従い、送信先ＭＡＣアドレスを持つ機器がつながるポートを介してメッセージを送信する。
　図８の受信メッセージの例では、送信元ＭＡＣアドレスが0a:0a:0a:0a:0a:0aであり、送信先ＭＡＣアドレスが0c:0c:0c:0c:0c:0cであり、ＴＴＬが１である。図１０のＴＴＬホワイトリストに図８のセットが適合するため、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、ステップＳ１００５においてＴＴＬの値は正しいと判定し、メッセージを転送する。
　（実施の形態１の効果）
　本実施の形態では、ＭＡＣアドレスによるＴＴＬホワイトリストに基づいて、予め決められた通信範囲を逸脱するようなメッセージが破棄される。したがって、データの流出が抑制される。
　（実施の形態１の変形例１）
　実施の形態１の基本的な態様では、ＭＡＣアドレスに対応付けられたＴＴＬホワイトリストが用いられているが、ＴＴＬホワイトリストはこれに限られない。本変形例では、ＩＰレイヤで転送制御を行うＬ３スイッチにおいて、ＩＰアドレスに対応付けられたＴＴＬホワイトリストが用いられる。これにより、ＭＡＣアドレスの偽装によらず、ＩＰアドレスに基づいて、メッセージの正当性が適切に判定される。
　また、本変形例では、図１に示されたＥｔｈｅｒｎｅｔスイッチ１００ａの代わりに、Ｅｔｈｅｒｎｅｔスイッチ１００ａの変形例であるＥｔｈｅｒｎｅｔスイッチ１１０ａが用いられる。Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、ＩＰレイヤで転送制御を行うＬ３スイッチである。Ｅｔｈｅｒｎｅｔスイッチ１００ｂについても、Ｅｔｈｅｒｎｅｔスイッチ１００ｂの代わりに、Ｅｔｈｅｒｎｅｔスイッチ１００ｂの変形例が用いられるが、Ｅｔｈｅｒｎｅｔスイッチ１１０ａとほぼ同じであるため、説明を省略する。
　以下、ＩＰレイヤで転送制御を行うＥｔｈｅｒｎｅｔスイッチ１１０ａについて、図面を参照しながら説明する。なお、前述の実施の形態の基本的な態様と同一の内容については説明を省略する。
　［１．１２　Ｅｔｈｅｒｎｅｔスイッチの構成］
　図１２は、本変形例におけるＥｔｈｅｒｎｅｔスイッチ１１０ａの構成の一例を示す図である。Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、通信部１０１と、転送処理部１０２と、転送テーブル保持部１１３と、ホワイトリスト判定部１１４と、ホワイトリスト保持部１１５と、エラーメッセージ送信部１０６とを備える。なお、図３と同様の構成については同一の符号を付与し、その説明は省略する。
　転送テーブル保持部１１３は、転送テーブルを保持する。転送テーブルの詳細は、図１３を用いて後述する。
　ホワイトリスト判定部１１４は、ホワイトリスト保持部１１５が保持するホワイトリストと、転送処理部１０２より通知される受信メッセージとに応じて、メッセージに対する判定を行う。そして、ホワイトリスト判定部１１４は、判定結果を転送処理部１０２と、エラーメッセージ送信部１０６とに通知する。
　ホワイトリスト保持部１１５は、メッセージの転送可否を判断するためのホワイトリストを保持する。ホワイトリストの詳細は、図１４を用いて後述する。
　［１．１３　転送テーブルの構成］
　図１３は、本変形例におけるＥｔｈｅｒｎｅｔスイッチ１１０ａが持つ転送テーブルの構成の一例を示す図である。図１３の転送テーブルでは、ＩＰアドレスがＥｔｈｅｒｎｅｔポートに対応付けられている。
　図１３では、Ｅｔｈｅｒｎｅｔスイッチ１１０ａが、６つのＥｔｈｅｒｎｅｔポートを保持し、これらのポート番号は、ポートＮｏ．１～６である。また、ポートＮｏ．１～６の接続先ＩＰアドレスは、それぞれ192.168.0.1、192.168.0.2、192.168.0.3、192.168.0.4、192.168.0.5、及び、192.168.0.127、である。
　［１．１４　ＴＴＬホワイトリストの構成］
　図１４は、本変形例におけるＥｔｈｅｒｎｅｔスイッチ１１０ａが持つホワイトリストであるＴＴＬホワイトリストの構成の一例を示す図である。
　図１４において、ＴＴＬホワイトリストは、送信元ＩＰアドレスと、送信先ＩＰアドレスと、ＴＴＬとのセットでそれぞれが構成される５つのセットを含む。これらの５つのセットは、正しい組み合わせである。メッセージがこれらの組み合わせに含まれている場合、メッセージは転送され、メッセージがこれらの組み合わせに含まれていない場合、メッセージはＮＧとして破棄される。
　［１．１５　ＴＴＬホワイトリストの判定シーケンス］
　図１５は、本変形例におけるＥｔｈｅｒｎｅｔスイッチ１１０ａによる、ＴＴＬホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。なお、図１１と同様の処理については同一の番号を付与し、説明を省略する。
　ステップＳ１１０２において、Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、受信したメッセージから、送信元ＩＰアドレスを取得する。
　ステップＳ１１０３において、Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、受信したメッセージから、送信先ＩＰアドレスを取得する。
　ステップＳ１１０５において、Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、受信したメッセージと、ＴＴＬホワイトリストとを照合する。そして、Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、送信元ＩＰアドレスと送信先ＩＰアドレスとに応じたＴＴＬホワイトリストのＴＴＬの値に基づいて、受信したメッセージのＴＴＬの値が正しい値かどうかをチェックする。つまり、Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、受信したメッセージから得られるＴＴＬがＴＴＬホワイトリストに適合するか否かを判定する。
　例えば、受信したメッセージのＴＴＬの値が、ＴＴＬホワイトリストのＴＴＬの値以下である場合、Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、受信したメッセージのＴＴＬの値が正しい値であると判定する。受信したメッセージのＴＴＬの値が、ＴＴＬホワイトリストのＴＴＬの値以下でない場合、Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、受信したメッセージのＴＴＬの値が正しい値でないと判定する。
　受信したメッセージのＴＴＬの値が正しい値の場合（Ｙｅｓの場合）、Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、ステップＳ１１０８の処理を実行する。受信したメッセージのＴＴＬの値が正しい値でない場合（Ｎｏの場合）、Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、ステップＳ１００６の処理を実行する。
　ステップＳ１１０８において、Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、受信したメッセージのＴＴＬの値を１デクリメントして上書きする。
　ステップＳ１１０９において、Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、受信したメッセージのＴＴＬの値が、０とは異なるかどうか、つまり０よりも大きいか否かをチェックする。受信したメッセージのＴＴＬの値が０である場合（Ｎｏの場合）、Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、ステップＳ１１１０の処理を実行する。受信したメッセージのＴＴＬの値が０とは異なる場合（Ｙｅｓの場合）、Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、ステップＳ１１０７の処理を実行する。
　ステップＳ１１１０において、Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、受信したメッセージを破棄する。
　ステップＳ１１０７において、Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、転送テーブルに従い、送信先ＩＰアドレスを持つ機器がつながるポートを介してメッセージを送信する。
　（実施の形態１の変形例１の効果）
　本変形例では、ＩＰアドレスによるＴＴＬホワイトリストによって、予め決められた通信範囲を逸脱するようなメッセージが、Ｅｔｈｅｒｎｅｔスイッチで破棄される。また、ＭＡＣアドレスの偽装によらず、ＩＰアドレスに基づいて、メッセージの正当性が適切に判定される。
　（実施の形態１の変形例２）
　実施の形態１の変形例１では、静的なＩＰアドレスの固定のセットを用いたＴＴＬホワイトリストが用いられている。本変形例では、システム開始後にＩｎｔｅｒｎｅｔ　Ｃｏｎｔｒｏｌ　Ｍｅｓｓａｇｅ　Ｐｒｏｔｏｃｏｌ（以下ＩＣＭＰ）などを用いて変更される動的なＩＰアドレスのセットを含むＴＴＬホワイトリストが用いられる。
　これにより、静的にＩＰアドレスなどが取得されない環境、例えばＤｙｎａｍｉｃ　Ｈｏｓｔ　Ｃｏｎｆｉｇｕｒａｔｉｏｎ　Ｐｒｏｔｏｃｏｌ（以下ＤＨＣＰ）などの環境下において、ＥＣＵの撤去又は置き換えなどの物理的な変更が発生しても、ＴＴＬホワイトリストを用いたメッセージの判定が適切に行われる。
　また、本変形例では、図１に示されたＥｔｈｅｒｎｅｔスイッチ１００ａの代わりに、Ｅｔｈｅｒｎｅｔスイッチ１００ａの変形例であるＥｔｈｅｒｎｅｔスイッチ１２０ａが用いられる。Ｅｔｈｅｒｎｅｔスイッチ１２０ａは、ＩＰレイヤで転送制御を行うＬ３スイッチであって、システム開始後に動的に変更されるＴＴＬホワイトリストを保持する。Ｅｔｈｅｒｎｅｔスイッチ１００ｂについても、Ｅｔｈｅｒｎｅｔスイッチ１００ｂの代わりに、Ｅｔｈｅｒｎｅｔスイッチ１００ｂの変形例が用いられるが、Ｅｔｈｅｒｎｅｔスイッチ１２０ａとほぼ同じであるため、説明を省略する。
　以下、システム開始後に動的に変更されるＴＴＬホワイトリストを保持するＥｔｈｅｒｎｅｔスイッチ１２０ａについて、図面を参照しながら説明する。なお、前述の実施の形態の基本的な態様又は変形例と同一の内容については説明を省略する。
　［１．１６　Ｅｔｈｅｒｎｅｔスイッチの構成］
　図１６は、本変形例におけるＥｔｈｅｒｎｅｔスイッチ１２０ａの構成の一例を示す図である。Ｅｔｈｅｒｎｅｔスイッチ１２０ａは、通信部１２１と、転送処理部１０２と、転送テーブル保持部１２３と、ホワイトリスト判定部１１４と、ホワイトリスト保持部１２５と、エラーメッセージ送信部１０６と、ホワイトリスト作成部１２７とを備える。なお、図３又は図１２と、同様の構成については同一の符号を付与し、その説明は省略する。
　通信部１２１は、Ｅｔｈｅｒｎｅｔを介し、他のＥＣＵからメッセージを受信し、転送処理部１０２又はホワイトリスト作成部１２７へ通知する。また、通信部１２１は、転送処理部１０２、エラーメッセージ送信部１０６、又は、ホワイトリスト作成部１２７から通知された送信先ＥＣＵにメッセージを送信する。
　ホワイトリスト保持部１２５は、ホワイトリスト作成部１２７から通知された、メッセージの転送可否を判断するためのホワイトリストを保持する。ホワイトリストの一例は、図１４と同様であるため、その説明を省略する。
　ホワイトリスト作成部１２７は、ＩＣＭＰメッセージを作成し、通信部１２１へ通知する。また、ホワイトリスト作成部１２７は、通信部１２１から通知されたＩＣＭＰのリプライメッセージを集計し、ホワイトリストを作成し、ホワイトリスト保持部１２５へ通知する。
　例えば、ホワイトリストの作成は、不正な機器が車載ネットワークに接続されていないことが確認された状態で行われる。ホワイトリスト作成部１２７は、ホワイトリストの作成前に、通信部１２１を介して、ＩＣＭＰメッセージの送信先に対して、チャレンジレスポンス認証等によって機器認証を行ってもよい。そして、ホワイトリスト作成部１２７は、通信部１２１を介して、機器認証が行われた装置に対して、ＩＣＭＰメッセージを送信し、その応答に従って、ホワイトリストを作成してもよい。
　また、ホワイトリスト作成部１２７は、ＥＣＵの撤去又は置き換えなどが発生した時に、ホワイトリストを作成し直してもよい。つまり、ホワイトリスト作成部１２７は、ＥＣＵの撤去又は置き換えなどが発生した時に、ホワイトリストを更新してもよい。
　具体的には、ホワイトリスト作成部１２７は、ＥＣＵに割り当てられるＩＰアドレスの更新を検知して、ホワイトリストを更新してもよい。あるいは、ホワイトリスト作成部１２７は、周期的にホワイトリストを更新してもよい。これにより、ＥＣＵの撤去又は置き換えなどに伴って、ホワイトリストが変更される。
　（実施の形態１の変形例２の効果）
　本変形例では、ＤＨＣＰにより動的に各ノードのＩＰアドレスが設定されるような環境下においても、動的に定められる通信範囲を逸脱するようなメッセージがＥｔｈｅｒｎｅｔスイッチで破棄される。
　（実施の形態１の変形例３）
　実施の形態１の変形例１では、メッセージとＴＴＬホワイトリストとが照合され、メッセージがＴＴＬホワイトリストに適合しない場合、メッセージが破棄される。本変形例では、メッセージがＴＴＬホワイトリストに適合しない場合、ＴＴＬホワイトリストの値でメッセージにおけるＴＴＬが更新される。これにより、全てのＥＣＵのそれぞれがメッセージにおけるＴＴＬに適切な値を設定することが困難である場合でも、Ｅｔｈｅｒｎｅｔスイッチにより適切な値が設定される。したがって、ＴＴＬホワイトリストが適切に適用される。
　また、本変形例では、図１に示されたＥｔｈｅｒｎｅｔスイッチ１００ａの代わりに、Ｅｔｈｅｒｎｅｔスイッチ１００ａの変形例であるＥｔｈｅｒｎｅｔスイッチ１３０ａが用いられる。Ｅｔｈｅｒｎｅｔスイッチ１２０ａは、ＩＰレイヤで転送制御を行うＬ３スイッチであって、ＴＴＬに適切な値を設定する機能を持つ。Ｅｔｈｅｒｎｅｔスイッチ１００ｂについても、Ｅｔｈｅｒｎｅｔスイッチ１００ｂの代わりに、Ｅｔｈｅｒｎｅｔスイッチ１００ｂの変形例が用いられるが、Ｅｔｈｅｒｎｅｔスイッチ１３０ａとほぼ同じであるため、説明を省略する。
　以下、ＴＴＬに適切な値を設定する機能を持つＥｔｈｅｒｎｅｔスイッチ１３０ａについて、図面を参照しながら説明する。なお、前述の実施の形態の基本的な態様又は変形例と同一の内容については説明を省略する。
　［１．１７　Ｅｔｈｅｒｎｅｔスイッチの構成］
　図１７は、本変形例におけるＥｔｈｅｒｎｅｔスイッチ１３０ａの構成の一例を示す図である。Ｅｔｈｅｒｎｅｔスイッチ１３０ａは、通信部１０１と、転送処理部１３２と、転送テーブル保持部１０３と、ホワイトリスト判定部１３４と、ホワイトリスト保持部１０５と、エラーメッセージ送信部１０６とを備える。なお、図３又は図１２と、同一の構成については、同一の符号を付与し、その説明は省略する。
　転送処理部１３２は、転送テーブル保持部１０３から取得する転送テーブルと、ホワイトリスト判定部１３４の判定結果とに応じて、受信メッセージのＴＴＬ値をホワイトリスト上のＴＴＬの値で更新し、転送先を通信部１０１に通知する。
　ホワイトリスト判定部１３４は、ホワイトリスト保持部１０５が保持するホワイトリストと、転送処理部１３２より通知される受信メッセージとに応じて、メッセージに対する判定を行う。そして、ホワイトリスト判定部１３４は、判定結果と、ホワイトリスト上のＴＴＬの値を、転送処理部１３２と、エラーメッセージ送信部１０６とに通知する。
　［１．１８　ＥＣＵから送信されるメッセージに含まれるフィールドの一例］
　図１８は、本変形例におけるＥＣＵ３００ａから送信されるメッセージに含まれるフィールドの一例を示す図である。なお、ＥＣＵ３００ｂ～３００ｅから送信されるメッセージはＥＣＵ３００ａから送信されるメッセージとほぼ同様であるため、ここでは説明は省略する。
　ＭＡＣヘッダには、送信元ＭＡＣアドレスと、送信先ＭＡＣアドレスとが含まれる。ＩＰヘッダには、ＴＴＬと、送信元ＩＰアドレスと、送信先ＩＰアドレスとが含まれる。ＩＰヘッダには、さらに、パケット種別が含まれていてもよい。ＩＰペイロードには、センサデータ等のデータ本体が含まれる。
　本変形例では、ＥＣＵ３００ａは、ＥＣＵ３００ｃにのみセンサデータを送信する。そのため、ＥＣＵ３００ａは、送信元ＭＡＣアドレス、及び、送信元ＩＰアドレスにＥＣＵ３００ａの情報を設定し、送信先ＭＡＣアドレス、及び、送信先ＩＰアドレスにＥＣＵ３００ｃの情報を設定する。また、ＥＣＵ３００ａは、ＴＴＬに値を個別に設定せず、ＴＴＬに上限値である２５５を設定する。
　［１．１９　ＴＴＬホワイトリストの判定シーケンス］
　図１９は、本変形例におけるＥｔｈｅｒｎｅｔスイッチ１３０ａによる、ＴＴＬホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。なお、図１１と同様の処理については同一の番号を付与し、説明を省略する。
　Ｓ１３０６において、Ｅｔｈｅｒｎｅｔスイッチ１３０ａは、ＴＴＬホワイトリストと合致しない場合（Ｓ１００５でＮｏの場合）、受信したメッセージのＴＴＬの値をＴＴＬホワイトリストにおける値に更新する。そして、Ｅｔｈｅｒｎｅｔスイッチ１３０ａは、ステップＳ１００７の処理を実行する。
　（実施の形態１の変形例３の効果）
　本変形例では、全てのＥＣＵのそれぞれが適切なＴＴＬを設定することが困難である場合でも、Ｅｔｈｅｒｎｅｔスイッチにより適切な値が設定される。したがって、ＴＴＬホワイトリストが適切に適用される。
　（実施の形態２）
　実施の形態１では、受信したメッセージに含まれる情報とホワイトリストとが照合される。本実施の形態では、受信したメッセージに含まれる情報を用いて、送信にかかる時間を取得し、送信にかかる時間とホワイトリストとが照合される。
　また、本実施の形態では、図１に示されたＥｔｈｅｒｎｅｔスイッチ１００ａの代わりに、Ｅｔｈｅｒｎｅｔスイッチ１００ａの変形例であるＥｔｈｅｒｎｅｔスイッチ１１１０ａが用いられる。Ｅｔｈｅｒｎｅｔスイッチ１１１０ａは、ＩＰレイヤで転送制御を行うＬ３スイッチであって、受信したメッセージに含まれる情報を用いて、送信にかかる時間を取得し、送信にかかる時間とホワイトリストとを照合する機能を持つ。Ｅｔｈｅｒｎｅｔスイッチ１００ｂについても、Ｅｔｈｅｒｎｅｔスイッチ１００ｂの代わりに、Ｅｔｈｅｒｎｅｔスイッチ１００ｂの変形例が用いられるが、Ｅｔｈｅｒｎｅｔスイッチ１１１０ａとほぼ同じであるため、説明を省略する。
　本実施の形態では、受信したメッセージに含まれる情報を用いて、送信にかかる時間を取得し、送信にかかる時間とホワイトリストとを照合する機能を持つＥｔｈｅｒｎｅｔスイッチ１１１０ａについて図面を参照しながら説明する。なお、前述の実施の形態又は変形例と同一の内容については説明を省略する。
　［２．１　Ｅｔｈｅｒｎｅｔスイッチの構成］
　図２０は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１１１０ａの構成の一例を示す図である。Ｅｔｈｅｒｎｅｔスイッチ１１１０ａは、通信部１１１１と、転送処理部１０２と、転送テーブル保持部１１３と、ホワイトリスト判定部１１１４と、ホワイトリスト保持部１１１５と、エラーメッセージ送信部１０６と、ＲＴＴ取得部１１０８とを備える。なお、図３又は図１２と、同様の構成については同一の符号を付与し、その説明は省略する。
　通信部１１１１は、Ｅｔｈｅｒｎｅｔを介し、他のＥＣＵからメッセージを受信し、転送処理部１０２と、ＲＴＴ取得部１１０８とへ通知する。また、通信部１１１１は、転送処理部１０２、エラーメッセージ送信部１０６、又は、ＲＴＴ取得部１１０８から通知された送信先ＥＣＵにメッセージを送信する。
　ホワイトリスト判定部１１１４は、ホワイトリスト保持部１１１５が保持するホワイトリストと、転送処理部１０２より通知される受信メッセージとに応じて、メッセージに対する判定を行う。そして、ホワイトリスト判定部１１１４は、判定結果を転送処理部１０２と、エラーメッセージ送信部１０６とに通知する。
　ホワイトリスト保持部１１１５は、メッセージの転送可否を判断するためのＲＴＴホワイトリストを保持する。ＲＴＴホワイトリストの詳細は、図２１を用いて後述する。
　［２．２　ＲＴＴホワイトリストの構成］
　図２１は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１１１０ａが持つホワイトリストであるＲＴＴホワイトリストの構成の一例を示す図である。
　図２１において、ＲＴＴホワイトリストは、送信元ＩＰアドレスと、送信先ＩＰアドレスと、ＲＴＴとのセットでそれぞれが構成される５つのセットを含む。これらの５つのセットは、正しい組み合わせである。メッセージがこれらの組み合わせに含まれている場合、メッセージは転送され、メッセージがこれらの組み合わせに含まれていない場合、メッセージはＮＧとして破棄される。
　ＲＴＴ（Ｒｏｕｎｄ　Ｔｒｉｐ　Ｔｉｍｅ）は、例えば、信号を発してから応答が返ってくるまでの時間であり、メッセージの送信にかかる時間に対応する。例えば、Ｅｔｈｅｒｎｅｔスイッチ１１１０ａが持つＲＴＴホワイトリストにおけるＲＴＴは、Ｅｔｈｅｒｎｅｔスイッチ１１１０ａが送信先ＩＰアドレスに信号を送信してから応答が返ってくるまでの時間の上限に対応する。
　［２．３　ＲＴＴホワイトリストの判定シーケンス］
　図２２は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１１１０ａによる、ＲＴＴホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。なお、図１１又は図１５と同様の処理については同一の符号を付与し、その説明を省略する。
　Ｓ２００４において、Ｅｔｈｅｒｎｅｔスイッチ１１１０ａは、受信したメッセージの送信先のＩＰアドレス宛にＩＣＭＰメッセージを送信し、その返答時間に基づいて、ＲＴＴの値を取得する。
　Ｅｔｈｅｒｎｅｔスイッチ１１１０ａは、メッセージを受信する度に、メッセージに含まれる送信先にＩＣＭＰメッセージを送信し、その返答時間に基づいて、ＲＴＴの値を取得してもよい。また、Ｅｔｈｅｒｎｅｔスイッチ１１１０ａは、ＩＰＣＭメッセージを送信してＲＴＴの値を取得してから所定の期間において、同じ送信先にＩＰＣＭメッセージを送信せずに、前回の送信結果に基づいて、ＲＴＴの値を取得してもよい。
　Ｓ２００５において、Ｅｔｈｅｒｎｅｔスイッチ１１１０ａは、受信したメッセージから取得されたＲＴＴの値と、ＲＴＴホワイトリストとを照合する。そして、Ｅｔｈｅｒｎｅｔスイッチ１１１０ａは、受信したメッセージから取得されたＲＴＴの値が、送信元ＩＰアドレスと送信先ＩＰアドレスとに応じたＲＴＴホワイトリストの範囲内の値かどうかをチェックする。つまり、Ｅｔｈｅｒｎｅｔスイッチ１１１０ａは、受信したメッセージから取得されたＲＴＴの値が、ＲＴＴホワイトリストに適合するか否かを判定する。
　ここで、取得されたＲＴＴの値がＲＴＴホワイトリストの範囲内の値である場合（Ｙｅｓの場合）、Ｅｔｈｅｒｎｅｔスイッチ１１１０ａは、ステップＳ１１０７の処理を実行する。一方、取得されたＲＴＴの値がＲＴＴホワイトリストの範囲内の値でない場合（Ｎｏの場合）、Ｅｔｈｅｒｎｅｔスイッチ１１１０ａは、ステップＳ１００６の処理を実行する。
　なお、Ｅｔｈｅｒｎｅｔスイッチ１１１０ａは、図１５の例のように、メッセージに含まれるＴＴＬのデクリメントを行ってもよい。
　また、本実施の形態において、ＲＴＴは、Ｅｔｈｅｒｎｅｔスイッチ１１１０ａから送信先へ信号が送信されてから応答が返ってくるまでの時間に対応する。しかしながら、ＲＴＴは、送信元から送信先へ信号が送信されてから送信先から送信元へ応答が返ってくるまでの時間に対応していてもよい。この場合、Ｅｔｈｅｒｎｅｔスイッチ１１１０ａは、送信先に信号を送信してから応答を受信するまでの時間と、送信元に信号を送信してから応答を受信するまでの時間との合計時間をＲＴＴとして取得してもよい。
　（実施の形態２の効果）
　本実施の形態では、ＩＰアドレスによるＲＴＴホワイトリストによって、予め決められた通信範囲を逸脱するようなメッセージがＥｔｈｅｒｎｅｔスイッチで破棄される。また、ＭＡＣアドレスの偽装によらず、ＩＰアドレスに基づいて、メッセージの正当性が適切に判定される。
　（実施の形態２の変形例）
　実施の形態２の基本的な態様では、ＲＴＴホワイトリストとして予め設定した固定のリストが用いられる。本変形例では、システム開始後にＩＣＭＰなどを用いて動的に更新されるリストがＲＴＴホワイトリストとして用いられる。
　これにより、静的にＩＰアドレスなどが取得されない環境、例えばＤＨＣＰなどの環境下において、ＥＣＵの撤去又は置き換えなどの物理的な変更が発生しても、適切にメッセージの正当性が判定される。
　また、本変形例では、図１に示されたＥｔｈｅｒｎｅｔスイッチ１００ａの代わりに、Ｅｔｈｅｒｎｅｔスイッチ１００ａの変形例であるＥｔｈｅｒｎｅｔスイッチ１１２０ａが用いられる。Ｅｔｈｅｒｎｅｔスイッチ１１２０ａは、ＩＰレイヤで転送制御を行うＬ３スイッチであって、システム開始後に動的に変更されるＲＴＴホワイトリストを保持する。Ｅｔｈｅｒｎｅｔスイッチ１００ｂについても、Ｅｔｈｅｒｎｅｔスイッチ１００ｂの代わりに、Ｅｔｈｅｒｎｅｔスイッチ１００ｂの変形例が用いられるが、Ｅｔｈｅｒｎｅｔスイッチ１１２０ａとほぼ同じであるため、説明を省略する。
　以下、システム開始後に動的に更新されるホワイトリストを保持するＥｔｈｅｒｎｅｔスイッチ１１２０ａについて、図面を参照しながら説明する。なお、前述の実施の形態又は変形例と同一の内容については説明を省略する。
　［２．４　Ｅｔｈｅｒｎｅｔスイッチの構成］
　図２３は、本変形例におけるＥｔｈｅｒｎｅｔスイッチ１１２０ａの構成を示す図である。Ｅｔｈｅｒｎｅｔスイッチ１１２０ａは、通信部１１２１と、転送処理部１０２と、転送テーブル保持部１１３と、ホワイトリスト判定部１１１４と、ホワイトリスト保持部１１２５と、エラーメッセージ送信部１０６と、ＲＴＴ取得部１１０８と、ホワイトリスト作成部１１２７とを備える。なお、図３、図１２又は図２０と、同様の構成については同一の符号を付与し、その説明は省略する。
　通信部１１２１は、Ｅｔｈｅｒｎｅｔを介し、他のＥＣＵからメッセージを受信し、転送処理部１０２、ＲＴＴ取得部１１０８又はホワイトリスト作成部１１２７へ通知する。また、通信部１１２１は、転送処理部１０２、エラーメッセージ送信部１０６、ＲＴＴ取得部１１０８、又は、ホワイトリスト作成部１１２７から通知された送信先ＥＣＵにメッセージを送信する。
　ホワイトリスト保持部１１２５は、ホワイトリスト作成部１１２７から通知された、メッセージの転送可否を判断するためのホワイトリストを保持する。ホワイトリストの一例は、図２１と同様であるため、その説明を省略する。
　ホワイトリスト作成部１１２７は、ＩＣＭＰメッセージを作成し、通信部１１２１へ通知する。また、ホワイトリスト作成部１１２７は、通信部１１２１から通知されたＩＣＭＰのリプライメッセージを集計し、ホワイトリストを作成し、ホワイトリスト保持部１１２５へ通知する。
　（実施の形態２の変形例の効果）
　本変形例では、ＤＨＣＰにより動的に各ノードのＩＰアドレスが設定されるような環境下においても、動的に定められる通信範囲を逸脱するようなメッセージがＥｔｈｅｒｎｅｔスイッチで破棄される。したがって、データの流出が抑制される。
　（実施の形態３）
　本実施の形態では、メッセージの正当性の判定において、車両の状態に対応付けられたＴＴＬホワイトリストが用いられる。これにより、車両の状態に応じて、メッセージの正当性が適切に判定される。
　［３．１　車載ネットワークシステムの全体構成］
　図２４は、本実施の形態における車載ネットワークシステムの全体構成の一例を示す図である。車載ネットワークシステム４０は、Ｅｔｈｅｒｎｅｔスイッチ１４０ａ、１４０ｂと、ＩＶＩ２００と、ＥＣＵ３００ａと、ＣＧＷ４００と、ＴＣＵ５００とを備える。なお、図１と同様の構成については同一の符号を付与し、その説明は省略する。
　Ｅｔｈｅｒｎｅｔスイッチ１４０ａと、Ｅｔｈｅｒｎｅｔスイッチ１４０ｂとは、それぞれ、ＣＧＷ４００及びＥｔｈｅｒｎｅｔケーブルを介して接続されている。また、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、ＥＣＵ３００ａと、Ｅｔｈｅｒｎｅｔケーブルを介して接続されている。また、Ｅｔｈｅｒｎｅｔスイッチ１４０ｂは、ＩＶＩ２００と、ＴＣＵ５００と、それぞれＥｔｈｅｒｎｅｔケーブルを介して接続されている。Ｅｔｈｅｒｎｅｔスイッチ１４０ａ及び１４０ｂは、それぞれのポートから受信するメッセージを、その他のポート、あるいは、全てのポートに転送する機能を持つ。
　本実施の形態において、ＥＣＵ３００ａは、低電力ＧＰＳ（Ｇｌｏｂａｌ　Ｐｏｓｉｔｉｏｎｉｎｇ　Ｓｙｓｔｅｍ）３６０に接続されている。また、ＥＣＵ３００ａは、低電力ＧＰＳ３６０から情報を取得し、取得された情報をメッセージとして別のＥＣＵに送信する機能を持つ。
　また、図示されない多数のＥＣＵが車両に搭載されていてもよい。そして、車両の多数の装置が、多数のＥＣＵによって制御されてもよい。
　そして、多数のＥＣＵ及び多数の装置のうち、いくつかのＥＣＵ及び装置が車両の走行中のみにおいて動作してもよい。また、いくつかのＥＣＵ及び装置が車両の停車中のみにおいて動作してもよい。また、いくつかのＥＣＵ及び装置が車両の走行中及び停車中の両方において動作してもよい。ＥＣＵ３００ａ及び低電力ＧＰＳ３６０は、車両の走行中及び停車中の両方において動作するＥＣＵ及び装置の例である。
　車両が走行しているか停車しているかの状態の変化に応じて、通信範囲も変化する可能性がある。そのため、Ｅｔｈｅｒｎｅｔスイッチ１４０ａ及び１４０ｂは、車両の状態に応じたホワイトリストを保持する。
　［３．２　ＩＰアドレス及びＭＡＣアドレス一覧表］
　図２５は、本実施の形態におけるＩＰアドレス及びＭＡＣアドレスの一覧表の一例を示す図である。図２５の例は、図２の例と基本的に同じであるが、図２５の例では、便宜上、図２の例の一部が省略されている。また、より多くのＥＣＵが車両に搭載される場合、より多くのＥＣＵのＩＰアドレス及びＭＡＣアドレスが一覧表に含まれ得る。
　［３．３　Ｅｔｈｅｒｎｅｔスイッチの構成］
　図２６は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１４０ａの構成の一例を示す図である。Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、通信部１０１と、転送処理部１０２と、転送テーブル保持部１０３と、ホワイトリスト判定部１４４と、ホワイトリスト保持部１４５と、エラーメッセージ送信部１０６とを備える。
　なお、Ｅｔｈｅｒｎｅｔスイッチ１４０ｂは、Ｅｔｈｅｒｎｅｔスイッチ１４０ａと同様の構成であるため、説明は省略する。また、図３と同様の構成については同一の符号を付与し、その説明は省略する。
　ホワイトリスト判定部１４４は、車両の状態と、ホワイトリスト保持部１４５が保持するホワイトリストと、転送処理部１０２より通知される受信メッセージとに応じて、メッセージに対する判定を行う。そして、ホワイトリスト判定部１４４は、判定結果を転送処理部１０２と、エラーメッセージ送信部１０６とに通知する。
　ホワイトリスト保持部１４５は、車両の状態に応じてメッセージの転送可否を判断するためのホワイトリストを保持する。ホワイトリストの詳細は、図２９を用いて後述する。
　［３．４　ＥＣＵから送信されるメッセージに含まれるフィールドの一例］
　図２７は、本実施の形態におけるＥＣＵ３００ａから送信されるメッセージに含まれるフィールドの一例を示す図である。
　ＭＡＣヘッダには、送信元ＭＡＣアドレスと、送信先ＭＡＣアドレスとが含まれる。ＩＰヘッダには、ＴＴＬと、送信元ＩＰアドレスと、送信先ＩＰアドレスとが含まれる。ＩＰヘッダには、さらに、パケット種別が含まれていてもよい。ＩＰペイロードには、センサデータ等のデータ本体が含まれる。
　ＥＣＵ３００ａは、送信元ＭＡＣアドレス及び送信元ＩＰアドレスにＥＣＵ３００ａの情報を設定する。そして、ＥＣＵ３００ａは、送信先ＭＡＣアドレス及び送信先ＩＰアドレスに、適宜、送信先の情報を設定する。図２７の送信先ＭＡＣアドレス及び送信先ＩＰアドレスには、仮の値が示されている。例えば、ＥＣＵ３００ａは、図２４に図示されない送信先のＥＣＵのＭＡＣアドレス及びＩＰアドレスをメッセージにおける送信先ＭＡＣアドレス及び送信先ＩＰアドレスに設定する。
　また、図２７の例において、ＥＣＵ３００ａは、メッセージにおけるＴＴＬに、３１回の転送許容回数を示す３２を設定する。
　［３．５　転送テーブルの構成］
　図２８は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１４０ａが持つ転送テーブルの構成の一例を示す図である。Ｅｔｈｅｒｎｅｔスイッチ１４０ｂが持つ転送テーブルは、Ｅｔｈｅｒｎｅｔスイッチ１４０ａが持つ転送テーブルとほぼ同様であるため、ここでは説明を省略する。図２８の転送テーブルでは、ＭＡＣアドレスがＥｔｈｅｒｎｅｔポートに対応付けられている。
　図２８では、Ｅｔｈｅｒｎｅｔスイッチ１４０ａが、２つのＥｔｈｅｒｎｅｔポートを保持し、これらのポート番号は、ポートＮｏ．１～２である。また、ポートＮｏ．１～２の接続先ＭＡＣアドレスは、それぞれ、0a:0a:0a:0a:0a:0a、及び、04:04:04:04:04:04である。
　また、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、より多くのＥｔｈｅｒｎｅｔポートを保持していてもよい。そして、より多くのＥＣＵが車両に搭載される場合、より多くのＥＣＵのＭＡＣアドレスが、それぞれ、より多くのＥｔｈｅｒｎｅｔポートに対応付けられていてもよい。
　［３．６　ＴＴＬホワイトリストの構成］
　図２９は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１４０ａが持つホワイトリストであるＴＴＬホワイトリストの構成の一例を示す図である。Ｅｔｈｅｒｎｅｔスイッチ１４０ｂが持つＴＴＬホワイトリストは、Ｅｔｈｅｒｎｅｔスイッチ１４０ａが持つＴＴＬホワイトリストとほぼ同様であるため、ここでは説明を省略する。
　図２９において、ＴＴＬホワイトリストは、送信元ＭＡＣアドレスと、送信先ＭＡＣアドレスと、状態と、ＴＴＬとのセットでそれぞれが構成される２つのセットを含む。これらの２つのセットは、正しい組み合わせである。メッセージがこれらの組み合わせに含まれている場合、メッセージは転送され、メッセージがこれらの組み合わせに含まれていない場合、メッセージはＮＧとして破棄される。
　ＴＴＬホワイトリストにおける状態は、車両の状態に対応し、例えば、車両が停車している状態、及び、車両が走行している状態を含む複数の状態のうちのいずれかである。また、図２９の例において、送信先ＭＡＣアドレスが「＊」で示されている。この「＊」は、あらゆるＭＡＣアドレスに対応する。
　図２９の例におけるＴＴＬホワイトリストでは、送信元がＥＣＵ３００ａであり、車両が停車中であれば、送信先にかかわらず、ＴＴＬが３２に制限される。また、送信元がＥＣＵ３００ａであり、車両が走行中であれば、送信先にかかわらず、ＴＴＬが２に制限される。
　［３．７　ＴＴＬホワイトリストの判定シーケンス］
　図３０は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１４０ａによる、ＴＴＬホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。なお、図１１と同様の処理については同一の番号を付与し、説明を省略する。
　ステップＳ１４０１において、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、車両の状態を取得する。Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、図示しないＥＣＵ又はセンサ等から車両の状態を取得してもよい。
　ステップＳ１４０５において、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、受信されたメッセージと、ＴＴＬホワイトリストとを車両の状態に応じて照合する。そして、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、送信元ＭＡＣアドレスと送信先ＭＡＣアドレスと車両の状態とに応じたＴＴＬホワイトリストのＴＴＬの値に基づいて、受信したメッセージのＴＴＬの値が正しい値かどうかをチェックする。つまり、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、受信されたメッセージから得られるＴＴＬが、ＴＴＬホワイトリストに適合するか否かを判定する。
　例えば、受信したメッセージのＴＴＬの値が、ＴＴＬホワイトリストのＴＴＬの値以下である場合、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、受信したメッセージのＴＴＬの値が正しい値であると判定する。受信したメッセージのＴＴＬの値が、ＴＴＬホワイトリストのＴＴＬの値以下でない場合、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、受信したメッセージのＴＴＬの値が正しい値でないと判定する。本実施の形態において、ＴＴＬホワイトリストのＴＴＬの値は、車両の状態に依存する。
　受信したメッセージのＴＴＬの値が正しい値の場合（Ｙｅｓの場合）、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、ステップＳ１００７の処理を実行する。受信したメッセージのＴＴＬの値が正しい値でない場合（Ｎｏの場合）、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、ステップＳ１００６の処理を実行する。
　図２７の受信メッセージの例では、送信元ＭＡＣアドレスが0a:0a:0a:0a:0a:0aであり、ＴＴＬが３２である。
　車両が停車中において、図２９のＴＴＬホワイトリストに図２７のセットが適合するため、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、ステップＳ１４０５においてＴＴＬの値は正しいと判定し、メッセージを転送する。一方、車両が走行中において、図２９のＴＴＬホワイトリストに図２７のセットが適合しないため、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、ステップＳ１４０５においてＴＴＬの値は正しくないと判定し、メッセージを破棄する。
　（実施の形態３の効果）
　本実施の形態では、ＭＡＣアドレスによるＴＴＬホワイトリストによって、車両の状態に応じた通信範囲を逸脱するようなメッセージがＥｔｈｅｒｎｅｔスイッチで破棄される。
　（実施の形態３の変形例）
　実施の形態３の基本的な態様では、車両の状態と、送信元のＭＡＣアドレスと、送信先のＭＡＣアドレスと、ＴＴＬとが対応付けられたＴＴＬホワイトリストが用いられる。本変形例では、車両の状態と、送信元のＩＰアドレスと、送信先のＩＰアドレスと、ＴＴＬとが対応付けられたＴＴＬホワイトリストが用いられる。
　これにより、車両の状態、及び、ＩＰアドレスに応じて、メッセージの正当性が適切に判定される。そして、例えば、ＩＰレイヤで転送制御を行うＬ３スイッチにおいて、車両の状態に応じて、メッセージの正当性が適切に判定され、メッセージの転送及び破棄が適切に制御される。
　以下、ＩＰレイヤで転送制御を行うＥｔｈｅｒｎｅｔスイッチ１４０ａについて、図面を参照しながら説明する。なお、前述の実施の形態又は変形例と同一の内容については説明を省略する。また、Ｅｔｈｅｒｎｅｔスイッチ１４０ｂは、Ｅｔｈｅｒｎｅｔスイッチ１４０ａと同様の構成であるため、説明は省略する。
　［３．８　Ｅｔｈｅｒｎｅｔスイッチの構成］
　本変形例におけるＥｔｈｅｒｎｅｔスイッチ１４０ａの構成は、図２６に示された実施の形態３の基本的な態様におけるＥｔｈｅｒｎｅｔスイッチ１４０ａの構成とほぼ同じである。ただし、転送テーブル保持部１０３が保持する転送テーブルの詳細、ホワイトリスト判定部１４４が行う判定処理の詳細、及び、ホワイトリスト保持部１４５が保持するホワイトリストの詳細が、実施の形態３の基本的な態様とは異なる。
　［３．９　転送テーブルの構成］
　本変形例における転送テーブルでは、ＭＡＣアドレスの代わりにＩＰアドレスがＥｔｈｅｒｎｅｔポートに対応付けられている。具体的には、図２８の例における転送テーブルが、ＭＡＣアドレスの代わりにＩＰアドレスを含むように変更される。そして、0a:0a:0a:0a:0a:0aの代わりに192.168.0.1が用いられ、04:04:04:04:04:04の代わりに192.168.0.127が用いられる。
　［３．１０　ＴＴＬホワイトリストの構成］
　図３１は、本変形例におけるＥｔｈｅｒｎｅｔスイッチ１４０ａが持つホワイトリストであるＴＴＬホワイトリストの構成の一例を示す図である。
　図３１において、ＴＴＬホワイトリストは、送信元ＩＰアドレスと、送信先ＩＰアドレスと、状態と、ＴＴＬとのセットでそれぞれが構成される２つのセットを含む。これらの２つのセットは、正しい組み合わせである。メッセージがこれらの組み合わせに含まれている場合、メッセージは転送され、メッセージがこれらの組み合わせに含まれていない場合、メッセージはＮＧとして破棄される。
　図２９と同様に、図３１に示されたＴＴＬホワイトリストにおける状態は、車両の状態に対応し、例えば、車両が停車している状態、及び、車両が走行している状態を含む複数の状態のうちのいずれかである。また、図３１の例において、送信先ＩＰアドレスが「＊」で示されている。この「＊」は、あらゆるＩＰアドレスに対応する。
　また、図２９の例と同様に、図３１の例におけるＴＴＬホワイトリストでは、送信元がＥＣＵ３００ａであり、車両が停車中であれば、送信先にかかわらず、ＴＴＬが３２に制限される。また、送信元がＥＣＵ３００ａであり、車両が走行中であれば、送信先にかかわらず、ＴＴＬが２に制限される。
　［３．１１　ＴＴＬホワイトリストの判定シーケンス］
　図３２は、本変形例におけるＥｔｈｅｒｎｅｔスイッチ１４０ａによる、ＴＴＬホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。なお、図３０又は図１５と同様の処理については同一の番号を付与し、説明を省略する。
　ステップＳ１５０５において、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、受信したメッセージと、ＴＴＬホワイトリストとを車両の状態に応じて照合する。そして、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、送信元ＩＰアドレスと送信先ＩＰアドレスと車両の状態に応じたＴＴＬホワイトリストのＴＴＬの値に基づいて、受信したメッセージのＴＴＬの値が正しい値かどうかをチェックする。つまり、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、受信したメッセージから得られるＴＴＬが、ＴＴＬホワイトリストに適合するか否かを判定する。
　例えば、受信したメッセージのＴＴＬの値が、ＴＴＬホワイトリストのＴＴＬの値以下である場合、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、受信したメッセージのＴＴＬの値が正しい値であると判定する。受信したメッセージのＴＴＬの値が、ＴＴＬホワイトリストのＴＴＬの値以下でない場合、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、受信したメッセージのＴＴＬの値が正しい値でないと判定する。
　受信したメッセージのＴＴＬの値が正しい値の場合（Ｙｅｓの場合）、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、ステップＳ１１０８の処理を実行する。受信したメッセージのＴＴＬの値が正しい値でない場合（Ｎｏの場合）、Ｅｔｈｅｒｎｅｔスイッチ１４０ａは、ステップＳ１００６の処理を実行する。
　（実施の形態３の変形例の効果）
　本変形例では、車両の状態、及び、ＩＰアドレスに応じて、メッセージの正当性が適切に判定される。そして、例えば、ＩＰレイヤで転送制御を行うＬ３スイッチにおいて、車両の状態に応じて、メッセージの正当性が適切に判定され、メッセージの転送及び破棄が適切に制御される。
　（実施の形態４）
　本実施の形態では、実施の形態２と同様にＲＴＴホワイトリストが用いられ、かつ、実施の形態３と同様に車両の状態に応じてメッセージの正当性が判定される。
　また、本実施の形態では、図２４に示された実施の形態３のＥｔｈｅｒｎｅｔスイッチ１４０ａの代わりに、Ｅｔｈｅｒｎｅｔスイッチ１４０ａの変形例であるＥｔｈｅｒｎｅｔスイッチ１１４０ａが用いられる。Ｅｔｈｅｒｎｅｔスイッチ１４０ｂについても、Ｅｔｈｅｒｎｅｔスイッチ１４０ｂの代わりに、Ｅｔｈｅｒｎｅｔスイッチ１４０ｂの変形例が用いられるが、Ｅｔｈｅｒｎｅｔスイッチ１１４０ａとほぼ同じであるため、説明を省略する。
　以下、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１１４０ａについて図面を参照しながら説明する。なお、前述の実施の形態又は変形例と同一の内容については説明を省略する。
　［４．１　Ｅｔｈｅｒｎｅｔスイッチの構成］
　図３３は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１１４０ａの構成の一例を示す図である。Ｅｔｈｅｒｎｅｔスイッチ１１４０ａは、通信部１１１１と、転送処理部１０２と、転送テーブル保持部１１３と、ホワイトリスト判定部１１４４と、ホワイトリスト保持部１１４５と、エラーメッセージ送信部１０６と、ＲＴＴ取得部１１０８とを備える。
　なお、図３又は図１２と、同様の構成については同一の符号を付与し、その説明は省略する。
　ホワイトリスト判定部１１４４は、ホワイトリスト保持部１１４５が保持するホワイトリストと、転送処理部１０２より通知される受信メッセージとに応じて、メッセージに対する判定を行う。そして、ホワイトリスト判定部１１４４は、判定結果を転送処理部１０２と、エラーメッセージ送信部１０６とに通知する。ホワイトリスト判定部１１４４が行う判定の詳細は、図３５を用いて後述する。
　ホワイトリスト保持部１１４５は、メッセージの転送可否を判断するためのＲＴＴホワイトリストを保持する。ホワイトリスト保持部１１４５が保持するＲＴＴホワイトリストの詳細は、図３４を用いて後述する。
　［４．２　ＲＴＴホワイトリストの構成］
　図３４は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１１４０ａが持つホワイトリストであるＲＴＴホワイトリストの構成の一例を示す図である。
　図３４において、ＲＴＴホワイトリストは、送信元ＩＰアドレスと、送信先ＩＰアドレスと、状態と、ＲＴＴとのセットでそれぞれが構成される２つのセットを含む。これらの２つのセットは、正しい組み合わせである。メッセージがこれらの組み合わせに含まれている場合、メッセージは転送され、メッセージがこれらの組み合わせに含まれていない場合、メッセージはＮＧとして破棄される。
　図３１と同様に、図３４に示されたＲＴＴホワイトリストにおける状態は、車両の状態に対応し、例えば、車両が停車している状態、及び、車両が走行している状態を含む複数の状態のうちのいずれかである。また、図３４において、送信先ＩＰアドレスが「＊」で示されている。この「＊」は、あらゆるＩＰアドレスに対応する。
　また、図３４の例におけるＲＴＴホワイトリストでは、送信元がＥＣＵ３００ａであり、車両が停車中であれば、送信先にかかわらず、ＲＴＴが３２［ｍｓｅｃ］に制限される。また、送信元がＥＣＵ３００ａであり、車両が走行中であれば、送信先にかかわらず、ＲＴＴが２［ｍｓｅｃ］に制限される。
　［４．３　ＲＴＴホワイトリストの判定シーケンス］
　図３５は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１１４０ａによる、ＲＴＴホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。なお、図２２又は図３０と同様の処理については同一の符号を付与し、その説明を省略する。
　Ｓ２４０５において、Ｅｔｈｅｒｎｅｔスイッチ１１４０ａは、受信したメッセージから取得されたＲＴＴの値と、ＲＴＴホワイトリストとを車両の状態に応じて照合する。そして、Ｅｔｈｅｒｎｅｔスイッチ１１４０ａは、受信したメッセージから取得されたＲＴＴの値が、送信元ＩＰアドレスと送信先ＩＰアドレスと車両の状態とに応じたＲＴＴホワイトリストの範囲内の値かどうかをチェックする。
　つまり、Ｅｔｈｅｒｎｅｔスイッチ１１４０ａは、受信したメッセージから取得されたＲＴＴの値が、ＲＴＴホワイトリストに適合するか否かを判定する。取得されたＲＴＴの値がＲＴＴホワイトリストの範囲内の値である場合（Ｙｅｓの場合）、Ｅｔｈｅｒｎｅｔスイッチ１１４０ａは、ステップＳ１１０７の処理を実行する。取得されたＲＴＴの値がＲＴＴホワイトリストの範囲内の値でない場合（Ｎｏの場合）、Ｅｔｈｅｒｎｅｔスイッチ１１４０ａは、ステップＳ１００６の処理を実行する。
　（実施の形態４の効果）
　本実施の形態では、ＩＰアドレスによるＲＴＴホワイトリストによって、車両の状態に応じた通信範囲を逸脱するようなメッセージがＥｔｈｅｒｎｅｔスイッチで破棄される。
　（その他変形例）
　通信装置の態様を上記の複数の実施の形態及び複数の変形例に基づいて説明してきたが、通信装置の態様は、上記の複数の実施の形態及び複数の変形例に限定されない。通信装置の態様は、以下のような態様であってもよい。
　（１）上記の複数の実施の形態及び複数の変形例において、Ｅｔｈｅｒｎｅｔスイッチが示されているが、Ｅｔｈｅｒｎｅｔスイッチは通信装置の例であり、通信装置はメッセージを中継する如何なる装置であってもよい。例えば、ＣＧＷ、各ドメインに配置されるドメインコントローラ、又は、Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　ＮｅｔｗｏｒｋとＥｔｈｅｒｎｅｔとの間の変換装置などであってもよい。また、通信装置は、メッセージを中継せずに、メッセージの正当性を判定する装置であってもよい。
　（２）上記の複数の実施の形態及び複数の変形例において、Ｅｔｈｅｒｎｅｔスイッチは、ホワイトリストを保持し、ホワイトリストに適合するメッセージを転送し、ホワイトリストに適合しないメッセージを破棄している。しかし、Ｅｔｈｅｒｎｅｔスイッチは、ブラックリストを保持し、ブラックリストに適合しないメッセージを転送し、ブラックリストに適合するメッセージを破棄してもよい。また、Ｅｔｈｅｒｎｅｔスイッチは、ホワイトリスト及びブラックリストの両方を保持してもよい。
　（３）上記の複数の実施の形態及び複数の変形例において、Ｅｔｈｅｒｎｅｔスイッチは、ホワイトリストを保持し、ホワイトリストに適合しないメッセージを破棄している。しかし、Ｅｔｈｅｒｎｅｔスイッチは、メッセージがホワイトリストに適合しない場合、メッセージを転送しつつ、非適合の結果をログとして保存するとしてもよい。ログを保存する処理は、エラーメッセージ送信部によって行われてもよいし、転送処理部によって行われてもよい。また、ログは、図示しないログ保持部に保存されてもよい。
　また、Ｅｔｈｅｒｎｅｔスイッチは、メッセージがホワイトリストに適合しない場合、送信先へメッセージを転送しつつ、ＩＣＭＰを使って、送信元へ判定結果に応じたメッセージを通知してもよい。この通知は、通信部を介して、エラーメッセージ送信部によって行われてもよいし、転送処理部によって行われてもよい。
　また、Ｅｔｈｅｒｎｅｔスイッチは、メッセージの種別ごとに対応するアクションを切り替えるよう、リストに種別及び対応アクションの項目を保持してもよい。例えば、Ｅｔｈｅｒｎｅｔスイッチは、特定の種別のメッセージを破棄しないが、判定結果を常にログとして保存してもよい。あるいは、Ｅｔｈｅｒｎｅｔスイッチは、特定の種別のメッセージを破棄しないが、判定結果がＮＧだった場合のみ判定結果をログとして保存してもよい。メッセージの種別に代えて、メッセージの送信元又は送信先が用いられてもよい。
　（４）実施の形態１の変形例２、及び、実施の形態２の変形例において、動的な環境の一例としてＤＨＣＰ環境が説明されている。しかし、Ｅｔｈｅｒｎｅｔスイッチは、ＤＨＣＰの環境に限らず、サービスごとに通信先を変えるＳＯＭＥ／ＩＰに対応する環境下において、サービスディスカバリーのプロトコルによる通信関係が決定される度に、ＩＣＭＰなどを用いて、ＴＴＬホワイトリスト又はＲＴＴホワイトリストを更新してもよい。
　つまり、ＤＨＣＰに限らず、ＳＯＭＥ／ＩＰに従って、送信元のＩＰアドレス、又は、送信先のＩＰアドレスが変更されてもよい。そして、送信元のＩＰアドレス、又は、送信先のＩＰアドレスの変更に伴って、ＴＴＬホワイトリスト又はＲＴＴホワイトリストが変更されてもよい。
　（５）実施の形態１の変形例３では、Ｅｔｈｅｒｎｅｔスイッチが、ＭＡＣアドレスに対応付けられたホワイトリストを持つ。しかし、Ｅｔｈｅｒｎｅｔスイッチが、ＩＰアドレスに対応付けられたホワイトリストを持っていてもよい。
　また、実施の形態１の変形例３では、メッセージのＴＴＬがホワイトリストに適合しない場合、Ｅｔｈｅｒｎｅｔスイッチがホワイトリストの値を使ってメッセージを更新する。しかし、更新の態様は、実施の形態１の変形例３に示された例に限定されない。例えば、Ｅｔｈｅｒｎｅｔスイッチは、ＥＣＵごとに予め設定される特定の値に適合するメッセージのみ、ホワイトリストの値を使って更新してもよい。また、Ｅｔｈｅｒｎｅｔスイッチは、ＥＣＵごとに予め設定される特定の値をホワイトリストに別途保持してもよい。
　（６）上記の複数の実施の形態及び複数の変形例において、車載ネットワークはＥｔｈｅｒｎｅｔのネットワークであるが、車載ネットワークはＥｔｈｅｒｎｅｔのネットワークに限定されない。車載ネットワークは、ＣＡＮ、ＣＡＮ－ＦＤ、ＬＩＮ、又は、Ｆｌｅｘｒａｙであってもよいし、これらの全部又は一部が組み合わされたネットワークであってもよい。また、Ｅｔｈｅｒｎｅｔに対応するＩＥＥＥ８０２．３規格等に適合する有線ＬＡＮが用いられてもよい。
　また、上記の複数の実施の形態及び複数の変形例において、自動車に搭載される車載ネットワークにおけるサイバーセキュリティ対策が説明されている。本開示のサイバーセキュリティ対策の適用範囲は、自動車に搭載される車載ネットワークに限られない。本開示のサイバーセキュリティ対策は、建機、農機、船舶、鉄道、又は、飛行機などのモビリティに搭載されるモビリティネットワークに適用されてもよい。すなわち、モビリティネットワーク及びモビリティネットワークシステムにおいて本開示のサイバーセキュリティ対策は適用可能である。
　（７）上記の複数の実施の形態及び複数の変形例における各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード及びマウスなどを備えるコンピュータシステムである。ＲＡＭ又はハードディスクユニットには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するための、コンピュータに対する指令を示す命令コードの複数の組み合わせで構成される。
　（８）上記の複数の実施の形態及び複数の変形例における各装置を構成する構成要素は、例えば、電気回路である。複数の構成要素は、全体として１つの電気回路に対応していてもよいし、それぞれ別々の複数の電気回路に対応していてもよい。また、これらの電気回路は、所定の動作を行うための専用のハードウェアに対応していてもよいし、所定の動作を行うためのコンピュータプログラム等を実行する汎用のハードウェアに対応していてもよい。
　また、情報を保持する構成要素はメモリであってもよいし、情報を処理する構成要素はプロセッサであってもよい。
　（９）上記の複数の実施の形態及び複数の変形例における各装置を構成する構成要素の一部又は全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）で構成されていてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、及び、ＲＡＭなどを含んで構成されるコンピュータシステムに対応する。ＲＡＭには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。
　また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部又はすべてを含むように１チップ化されてもよい。
　また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、又は、ウルトラＬＳＩと呼称される場合もある。また、集積回路は、ＬＳＩに限られず、専用回路又は汎用プロセッサで実現されてもよい。また、ＬＳＩ製造後にプログラミング可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）、又は、ＬＳＩ内部の回路セルの接続及び設定を再構成可能なリコンフィギュラブル・プロセッサが利用されても良い。
　さらには、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路の技術が登場すれば、当然、その技術を用いて機能ブロックが集積化されてもよい。バイオ技術の適用等が可能性としてありえる。
　（１０）上記の各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールで構成されていてもよい。ＩＣカード又はモジュールは、マイクロプロセッサ、ＲＯＭ及びＲＡＭなどを備えるコンピュータシステムで用いられる。ＩＣカード又はモジュールは、上記の超多機能ＬＳＩを含んでもよい。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、ＩＣカード又はモジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有してもよい。
　（１１）本開示は、上記の複数の実施の形態及び複数の変形例において示された方法として用いられてもよい。また、本開示は、これらの方法をコンピュータが実行するためのコンピュータプログラムとして用いられてもよいし、コンピュータプログラムで構成されるデジタル信号として用いられてもよい。
　また、本開示は、コンピュータプログラム又はデジタル信号が記録されたコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標）　Ｄｉｓｃ）、又は、半導体メモリなどに用いられてもよい。また、本開示は、これらの記録媒体に記録されているコンピュータプログラム又はデジタル信号に用いられてもよい。
　また、コンピュータプログラム又はデジタル信号は、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、又は、データ放送等を経由して伝送されてもよい。
　また、マイクロプロセッサとメモリとを備えるコンピュータシステムにおいて、メモリが、コンピュータプログラムを記録しており、マイクロプロセッサが、コンピュータプログラムに従って動作してもよい。
　また、コンピュータプログラム又はデジタル信号が、記録媒体に記録されて移送されることにより、あるいは、ネットワーク等を経由して移送されることにより、独立した他のコンピュータシステムにおいて用いられてもよい。
　（１２）上記の複数の実施の形態及び上記の複数の変形例が部分的又は全体的に組み合わされてもよい。例えば、特定の実施の形態の変形例が、他の実施の形態に適用されてもよい。
　（結び）
　以下に、上記の複数の実施の形態及び上記の複数の変形例等に示された基本的な構成及び代表的な変形例等を示す。これらは、部分的又は全体的に互いに組み合わされてもよいし、上記の実施の形態等の一部と組み合わされてもよい。また、以下に示されていない構成要素は、実装されなくてもよい。
　（１）例えば、本開示の一態様における通信装置（１００ａ、１００ｂ、１１０ａ、１２０ａ、１３０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１２０ａ、１１４０ａ）は、モビリティネットワークに接続される。モビリティネットワークは、モビリティに搭載されるネットワークであり、複数の電子制御装置が通信に用いるネットワークである。
　通信装置（１００ａ、１００ｂ、１１０ａ、１２０ａ、１３０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１２０ａ、１１４０ａ）は、保持部（１０５、１１５、１２５、１４５、１１１５、１１２５、１１４５）と、受信部（１０１、１２１、１１１１、１１２１）と、判定部（１０４、１１４、１３４、１４４、１１１４、１１４４）とを備える。
　保持部（１０５、１１５、１２５、１４５、１１１５、１１２５、１１４５）は、モビリティネットワーク上のメッセージに対して定められる転送可能な経路範囲を示す範囲情報を保持する。受信部（１０１、１２１、１１１１、１１２１）は、モビリティネットワーク上のメッセージを受信する。判定部（１０４、１１４、１３４、１４４、１１１４、１１４４）は、受信されたメッセージの正当性を、範囲情報を用いて判定する。
　これにより、通信装置（１００ａ、１００ｂ、１１０ａ、１２０ａ、１３０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１２０ａ、１１４０ａ）は、モビリティネットワーク上のメッセージが想定の範囲を超えて転送されることを抑制することができ、データの流出を抑制することができる。
　（２）例えば、上記の通信装置（１００ａ、１００ｂ、１１０ａ、１２０ａ、１３０ａ、１４０ａ、１４０ｂ）において、範囲情報は、ＴＴＬ（Ｔｉｍｅ　Ｔｏ　Ｌｉｖｅ）の範囲を転送可能な経路範囲として示す。そして、判定部（１０４、１１４、１３４、１４４）は、受信されたメッセージの正当性を、受信されたメッセージに含まれるＴＴＬの値と、範囲情報によって示されるＴＴＬの範囲との比較により判定する。
　これにより、通信装置（１００ａ、１００ｂ、１１０ａ、１２０ａ、１３０ａ、１４０ａ、１４０ｂ）は、メッセージにＴＴＬの値が適切に設定されているか否かに従って、メッセージの正当性を判定することができる。したがって、通信装置（１００ａ、１００ｂ、１１０ａ、１２０ａ、１３０ａ、１４０ａ、１４０ｂ）は、メッセージが想定の範囲を超えて転送されることを抑制することができ、データの流出を抑制することができる。
　（３）例えば、上記の通信装置（１１１０ａ、１１２０ａ、１１４０ａ）において、範囲情報は、ＲＴＴ（Ｒｏｕｎｄ　Ｔｒｉｐ　Ｔｉｍｅ）の範囲を転送可能な経路範囲として示す。そして、判定部（１１１４、１１４４）は、受信されたメッセージの正当性を、受信されたメッセージに含まれる情報を用いて導出されるＲＴＴの値と、範囲情報によって示されるＲＴＴの範囲との比較により判定する。
　これにより、通信装置（１１１０ａ、１１２０ａ、１１４０ａ）は、メッセージに対するＲＴＴの値が適切な範囲であるか否かに従って、メッセージの正当性を判定することができる。したがって、通信装置（１１１０ａ、１１２０ａ、１１４０ａ）は、メッセージが想定の範囲を超えて転送されることを抑制することができ、データの流出を抑制することができる。
　（４）例えば、上記の通信装置（１００ａ、１００ｂ、１１０ａ、１２０ａ、１３０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１２０ａ、１１４０ａ）において、範囲情報は、送信元又は送信先に応じて定められる転送可能な経路範囲を示す。これにより、通信装置（１００ａ、１００ｂ、１１０ａ、１２０ａ、１３０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１２０ａ、１１４０ａ）は、送信元又は送信先に応じて定められる転送可能な経路範囲を示す範囲情報を用いて、メッセージの正当性を適切に判定することができる。
　（５）例えば、上記の通信装置（１００ａ、１００ｂ、１４０ａ、１４０ｂ）において、範囲情報は、送信元のＭＡＣアドレス、又は、送信先のＭＡＣアドレスに応じて定められる転送可能な経路範囲を示す。これにより、通信装置（１００ａ、１００ｂ、１４０ａ、１４０ｂ）は、例えばＭＡＣアドレスを用いてメッセージを転送するＬ２スイッチである場合でも、ＭＡＣアドレスに応じて定められる転送可能な経路範囲を示す範囲情報を用いて、メッセージの正当性を適切に判定することができる。
　（６）例えば、上記の通信装置（１１０ａ、１２０ａ、１３０ａ、１１１０ａ、１１２０ａ、１１４０ａ）において、範囲情報は、送信元のＩＰアドレス、又は、送信先のＩＰアドレスに応じて定められる転送可能な経路範囲を示す。これにより、通信装置（１１０ａ、１２０ａ、１３０ａ、１１１０ａ、１１２０ａ、１１４０ａ）は、例えばＩＰアドレスを用いてメッセージを転送するＬ３スイッチである場合でも、ＩＰアドレスに応じて定められる転送可能な経路範囲を示す範囲情報を用いて、メッセージの正当性を適切に判定することができる。
　（７）例えば、上記の通信装置（１４０ａ、１４０ｂ、１１４０ａ）において、範囲情報は、モビリティの状態に応じて定められる転送可能な経路範囲を示す。これにより、通信装置（１４０ａ、１４０ｂ、１１４０ａ）は、モビリティの状態の変化に応じて転送可能な経路範囲が変化する場合でも、モビリティの状態に応じて定められる転送可能な経路範囲を示す範囲情報を用いて、メッセージの正当性を適切に判定することができる。
　（８）例えば、上記の通信装置（１４０ａ、１４０ｂ、１１４０ａ）において、モビリティの状態は、モビリティが移動しているか停止しているかに関連する状態である。これにより、通信装置（１４０ａ、１４０ｂ、１１４０ａ）は、移動中における転送可能な経路範囲と停止中における転送可能な経路範囲とが異なる場合でも、各状態に応じて定められる転送可能な経路範囲を示す範囲情報を用いて、メッセージの正当性を適切に判定することができる。
　（９）例えば、上記の通信装置（１００ａ、１００ｂ、１１０ａ、１３０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１４０ａ）において、範囲情報は、静的に予め定められた固定の範囲を転送可能な経路範囲として示す。これにより、通信装置（１００ａ、１００ｂ、１１０ａ、１３０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１４０ａ）は、例えば静的な環境下において、静的に定められる範囲情報を用いて、メッセージの正当性を適切に判定することができる。
　（１０）例えば、上記の通信装置（１２０ａ、１１２０ａ）は、さらに、更新部（１２７、１１２７）を備える。更新部（１２７、１１２７）は、複数の電子制御装置の更新に応じて、範囲情報を動的に更新する。
　これにより、通信装置（１２０ａ、１１２０ａ）は、例えば電子制御装置の追加又は削除に対応する物理的な変更等に伴って、範囲情報を更新することができ、更新された範囲情報を用いて、メッセージの正当性を適切に判定することができる。すなわち、通信装置（１２０ａ、１１２０ａ）は、より柔軟に定められる範囲情報を用いて、メッセージの正当性を適切に判定することができる。
　（１１）例えば、上記の通信装置（１２０ａ、１１２０ａ）において、更新部（１２７、１１２７）は、複数の電子制御装置の属性情報の更新に応じて、範囲情報を動的に更新する。
　これにより、通信装置（１２０ａ、１１２０ａ）は、例えば電子制御装置のＩＰアドレスなどに対応する属性情報が動的に変更される環境下においても、動的に定められる範囲情報を用いて、メッセージの正当性を適切に判定することができる。
　（１２）例えば、上記の通信装置（１２０ａ、１１２０ａ）において、属性情報は、ＳＯＭＥ／ＩＰ（Ｓｃａｌａｂｌｅ　ｓｅｒｖｉｃｅ－Ｏｒｉｅｎｔｅｄ　ＭｉｄｄｌｅｗａｒＥ　ｏｖｅｒ　ＩＰ）プロトコルを用いて更新される。
　これにより、通信装置（１２０ａ、１１２０ａ）は、ＳＯＭＥ／ＩＰに基づくファームウェアのアップデートなどにより電子制御装置の属性情報が動的に変更される環境下においても、動的に定められる範囲情報を用いて、メッセージの正当性を適切に判定することができる。
　（１３）例えば、通信装置（１００ａ、１００ｂ、１１０ａ、１２０ａ、１３０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１２０ａ、１１４０ａ）は、さらに、処理部（１０２、１０６、１３２）を備える。処理部（１０２、１０６、１３２）は、受信されたメッセージの正当性の判定結果に基づいて、所定のアクションを実施する。
　これにより、通信装置（１００ａ、１００ｂ、１１０ａ、１２０ａ、１３０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１２０ａ、１１４０ａ）は、判定結果に基づいて、適切な処理を実施することができ、モビリティネットワークのシステム全体の安全性を高めることができる。
　（１４）例えば、上記の通信装置（１００ａ、１００ｂ、１１０ａ、１２０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１２０ａ、１１４０ａ）において、処理部（１０２）は、判定結果に基づいて、受信されたメッセージの転送可否を制御する。
　これにより、通信装置（１００ａ、１００ｂ、１１０ａ、１２０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１２０ａ、１１４０ａ）は、メッセージの転送可否を適切に制御することができ、モビリティネットワークのシステム全体の安全性を高めることができる。
　（１５）例えば、通信装置（１００ａ、１００ｂ、１１０ａ、１２０ａ、１３０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１２０ａ、１１４０ａ）において、処理部（１０２、１０６、１３２）は、判定結果を記録する。
　これにより、通信装置（１００ａ、１００ｂ、１１０ａ、１２０ａ、１３０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１２０ａ、１１４０ａ）は、後で判定結果の分析を可能にすることができる。そして、通信装置（１００ａ、１００ｂ、１１０ａ、１２０ａ、１３０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１２０ａ、１１４０ａ）は、範囲情報によって示される転送可能な経路範囲の適切な更新を可能にすることができる。
　（１６）例えば、通信装置（１００ａ、１００ｂ、１１０ａ、１２０ａ、１３０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１２０ａ、１１４０ａ）において、処理部（１０２、１０６、１３２）は、受信されたメッセージの送信元に対して、判定結果を通知する。これにより、通信装置（１００ａ、１００ｂ、１１０ａ、１２０ａ、１３０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１２０ａ、１１４０ａ）は、適切なメッセージを送信するよう送信元を誘導することができる。
　（１７）例えば、通信装置（１３０ａ）は、さらに、処理部（１３２）を備える。処理部（１３２）は、受信されたメッセージが正当でないと判定された場合、受信されたメッセージに含まれるＴＴＬの値を範囲情報によって示されるＴＴＬの範囲内に更新することにより、受信されたメッセージを更新し、更新されたメッセージを転送する。これにより、送信元がメッセージに適切なＴＴＬの値を設定することが難しい環境下において、通信装置（１３０ａ）がメッセージに適切なＴＴＬの値を設定することができる。
　（１８）例えば、本開示の一態様における通信方法は、モビリティネットワーク上の通信方法である。モビリティネットワークは、モビリティに搭載されるネットワークであり、複数の電子制御装置が通信に用いるネットワークである。
　通信方法は、受信ステップ（Ｓ１００１）と、判定ステップ（Ｓ１００５、Ｓ１１０５、Ｓ１４０５、Ｓ１５０５、Ｓ２００５、Ｓ２４０５）とを含む。受信ステップ（Ｓ１００１）では、モビリティネットワーク上のメッセージが受信される。判定ステップ（Ｓ１００５、Ｓ１１０５、Ｓ１４０５、Ｓ１５０５、Ｓ２００５、Ｓ２４０５）では、受信されたメッセージの正当性を、モビリティネットワーク上のメッセージに対して定められる転送可能な経路範囲を示す範囲情報を用いて判定する。
　これにより、モビリティネットワーク上のメッセージが想定の範囲を超えて転送されることが抑制され得る。したがって、データの流出が抑制され得る。
　（１９）例えば、本開示の一態様に係る通信システム（１０、４０）は、モビリティネットワークの通信システム（１０、４０）である。モビリティネットワークは、モビリティに搭載されるネットワークであり、複数の電子制御装置が通信に用いるネットワークである。通信システム（１０、４０）は、保持部（１０５、１１５、１２５、１４５、１１１５、１１２５、１１４５）と、受信部（１０１、１２１、１１１１、１１２１）と、判定部（１０４、１１４、１３４、１４４、１１１４、１１４４）とを備える。
　保持部（１０５、１１５、１２５、１４５、１１１５、１１２５、１１４５）は、モビリティネットワーク上のメッセージに対して定められる転送可能な経路範囲を示す範囲情報を保持する。受信部（１０１、１２１、１１１１、１１２１）は、モビリティネットワーク上のメッセージを受信する。判定部（１０４、１１４、１３４、１４４、１１１４、１１４４）は、受信されたメッセージの正当性を、範囲情報を用いて判定する。
　これにより、通信システム（１０、４０）は、モビリティネットワーク上のメッセージが想定の範囲を超えて転送されることを抑制することができ、データの流出を抑制すことができる。
　（２０）例えば、上記の通信装置（１００ａ、１００ｂ、１１０ａ、１２０ａ、１３０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１２０ａ、１１４０ａ）は、Ｅｔｈｅｒｎｅｔスイッチ１００ａ、１００ｂ、１１０ａ、１２０ａ、１３０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１２０ａ及び１１４０ａ等に対応する。上記の通信システム（１０、４０）は、車載ネットワークシステム１０及び４０等に対応する。
　上記の保持部（１０５、１１５、１２５、１４５、１１１５、１１２５、１１４５）は、ホワイトリスト保持部１０５、１１５、１２５、１４５、１１１５、１１２５及び１１４５等に対応する。上記の受信部（１０１、１２１、１１１１、１１２１）は、通信部１０１、１２１、１１１１及び１１２１等に対応する。上記の判定部（１０４、１１４、１３４、１４４、１１１４、１１４４）は、ホワイトリスト判定部１０４、１１４、１３４、１４４、１１１４及び１１４４等に対応する。上記の更新部（１２７、１１２７）は、ホワイトリスト作成部１２７及び１１２７等に対応する。上記の処理部（１０２、１０６、１３２）は、転送処理部１０２及び１３２、並びに、エラーメッセージ送信部１０６等に対応する。
　本開示の一態様に係る通信装置等は、モビリティネットワーク上のメッセージの正当性を判定する通信装置等として利用可能であり、モビリティネットワークを利用する様々なシステムに適用可能である。
　１０、４０　車載ネットワークシステム
　１００ａ、１００ｂ、１１０ａ、１２０ａ、１３０ａ、１４０ａ、１４０ｂ、１１１０ａ、１１２０ａ、１１４０ａ　Ｅｔｈｅｒｎｅｔスイッチ
　１０１、１２１、２０１、３０１、４０１、１１１１、１１２１　通信部
　１０２、１３２、４０２　転送処理部
　１０３、１１３、１２３、４０３　転送テーブル保持部
　１０４、１１４、１３４、１４４、１１１４、１１４４　ホワイトリスト判定部
　１０５、１１５、１２５、１４５、１１１５、１１２５、１１４５　ホワイトリスト保持部
　１０６、４０４　エラーメッセージ送信部
　１２７、１１２７　ホワイトリスト作成部
　２００　ＩＶＩ
　２０２、３０２、５０２　メッセージ処理部
　２０３　表示部
　２０４　操作部
　３００ａ、３００ｂ、３００ｃ、３００ｄ、３００ｅ　ＥＣＵ
　３０３　センサ通信部
　３１０　前方距離センサ
　３２０　前方カメラ
　３３０　ＡＤＡＳ
　３４０　後方距離センサ
　３５０　後方カメラ
　３６０　低電力ＧＰＳ
　４００　ＣＧＷ
　５００　ＴＣＵ
　５０１　車内通信部
　５０３　車外通信部
　６００　基地局
　１１０８　ＲＴＴ取得部

Claims (19)

  1. 　モビリティに搭載されるネットワークであり、複数の電子制御装置が通信に用いるネットワークであるモビリティネットワークに接続される通信装置であって、
    　前記モビリティネットワーク上のメッセージに対して定められる転送可能な経路範囲を示す範囲情報を保持する保持部と、
    　前記モビリティネットワーク上の前記メッセージを受信する受信部と、
    　受信された前記メッセージの正当性を、前記範囲情報を用いて判定する判定部とを備える
    　通信装置。
  2. 　前記範囲情報は、ＴＴＬ（Ｔｉｍｅ　Ｔｏ　Ｌｉｖｅ）の範囲を前記転送可能な経路範囲として示し、
    　前記判定部は、受信された前記メッセージの正当性を、受信された前記メッセージに含まれるＴＴＬの値と、前記範囲情報によって示されるＴＴＬの範囲との比較により判定する
    　請求項１に記載の通信装置。
  3. 　前記範囲情報は、ＲＴＴ（Ｒｏｕｎｄ　Ｔｒｉｐ　Ｔｉｍｅ）の範囲を前記転送可能な経路範囲として示し、
    　前記判定部は、受信された前記メッセージの正当性を、受信された前記メッセージに含まれる情報を用いて導出されるＲＴＴの値と、前記範囲情報によって示されるＲＴＴの範囲との比較により判定する
    　請求項１に記載の通信装置。
  4. 　前記範囲情報は、送信元又は送信先に応じて定められる前記転送可能な経路範囲を示す
    　請求項１～３のいずれか１項に記載の通信装置。
  5. 　前記範囲情報は、前記送信元のＭＡＣアドレス、又は、前記送信先のＭＡＣアドレスに応じて定められる前記転送可能な経路範囲を示す
    　請求項４に記載の通信装置。
  6. 　前記範囲情報は、前記送信元のＩＰアドレス、又は、前記送信先のＩＰアドレスに応じて定められる前記転送可能な経路範囲を示す
    　請求項４に記載の通信装置。
  7. 　前記範囲情報は、前記モビリティの状態に応じて定められる前記転送可能な経路範囲を示す
    　請求項１～６のいずれか１項に記載の通信装置。
  8. 　前記モビリティの状態は、前記モビリティが移動しているか停止しているかに関連する状態である
    　請求項７に記載の通信装置。
  9. 　前記範囲情報は、静的に予め定められた固定の範囲を前記転送可能な経路範囲として示す
    　請求項１～８のいずれか１項に記載の通信装置。
  10. 　前記通信装置は、さらに、前記複数の電子制御装置の更新に応じて、前記範囲情報を動的に更新する更新部を備える
    　請求項１～８のいずれか１項に記載の通信装置。
  11. 　前記更新部は、前記複数の電子制御装置の属性情報の更新に応じて、前記範囲情報を動的に更新する
    　請求項１０に記載の通信装置。
  12. 　前記属性情報は、ＳＯＭＥ／ＩＰ（Ｓｃａｌａｂｌｅ　ｓｅｒｖｉｃｅ－Ｏｒｉｅｎｔｅｄ　ＭｉｄｄｌｅｗａｒＥ　ｏｖｅｒ　ＩＰ）プロトコルを用いて更新される
    　請求項１１に記載の通信装置。
  13. 　前記通信装置は、さらに、受信された前記メッセージの正当性の判定結果に基づいて、所定のアクションを実施する処理部を備える
    　請求項１～１２のいずれか１項に記載の通信装置。
  14. 　前記処理部は、前記判定結果に基づいて、受信された前記メッセージの転送可否を制御する
    　請求項１３に記載の通信装置。
  15. 　前記処理部は、前記判定結果を記録する
    　請求項１３又は１４に記載の通信装置。
  16. 　前記処理部は、受信された前記メッセージの送信元に対して、前記判定結果を通知する
    　請求項１３～１５のいずれか１項に記載の通信装置。
  17. 　前記通信装置は、さらに、受信された前記メッセージが正当でないと判定された場合、受信された前記メッセージに含まれるＴＴＬの値を前記範囲情報によって示されるＴＴＬの範囲内に更新することにより、受信された前記メッセージを更新し、更新された前記メッセージを転送する処理部を備える
    　請求項２に記載の通信装置。
  18. 　モビリティに搭載されるネットワークであり、複数の電子制御装置が通信に用いるネットワークであるモビリティネットワーク上の通信方法であって、
    　前記モビリティネットワーク上のメッセージを受信する受信ステップと、
    　受信された前記メッセージの正当性を、前記モビリティネットワーク上の前記メッセージに対して定められる転送可能な経路範囲を示す範囲情報を用いて判定する判定ステップとを含む
    　通信方法。
  19. 　モビリティに搭載されるネットワークであり、複数の電子制御装置が通信に用いるネットワークであるモビリティネットワークの通信システムであって、
    　前記モビリティネットワーク上のメッセージに対して定められる転送可能な経路範囲を示す範囲情報を保持する保持部と、
    　前記モビリティネットワーク上の前記メッセージを受信する受信部と、
    　受信された前記メッセージの正当性を、前記範囲情報を用いて判定する判定部とを備える
    　通信システム。
PCT/JP2018/027465 2017-07-26 2018-07-23 通信装置、通信方法及び通信システム WO2019021995A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
CN201880003923.9A CN109845195B (zh) 2017-07-26 2018-07-23 通信装置、通信方法以及通信系统
EP18838307.9A EP3661128A1 (en) 2017-07-26 2018-07-23 Communication device, communication method, and communication system
JP2018552904A JP7017520B2 (ja) 2017-07-26 2018-07-23 通信装置、通信方法及び通信システム
US16/380,447 US10904883B2 (en) 2017-07-26 2019-04-10 Communication device, communication method, and communication system
US17/129,012 US11553484B2 (en) 2017-07-26 2020-12-21 Communication device, communication method, and communication system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
PCT/JP2017/027116 WO2019021402A1 (ja) 2017-07-26 2017-07-26 通信装置、通信方法および通信システム
JPPCT/JP2017/027116 2017-07-26

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US16/380,447 Continuation US10904883B2 (en) 2017-07-26 2019-04-10 Communication device, communication method, and communication system

Publications (1)

Publication Number Publication Date
WO2019021995A1 true WO2019021995A1 (ja) 2019-01-31

Family

ID=65040692

Family Applications (2)

Application Number Title Priority Date Filing Date
PCT/JP2017/027116 WO2019021402A1 (ja) 2017-07-26 2017-07-26 通信装置、通信方法および通信システム
PCT/JP2018/027465 WO2019021995A1 (ja) 2017-07-26 2018-07-23 通信装置、通信方法及び通信システム

Family Applications Before (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/027116 WO2019021402A1 (ja) 2017-07-26 2017-07-26 通信装置、通信方法および通信システム

Country Status (5)

Country Link
US (2) US10904883B2 (ja)
EP (1) EP3661128A1 (ja)
JP (1) JP7017520B2 (ja)
CN (1) CN109845195B (ja)
WO (2) WO2019021402A1 (ja)

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021002013A1 (ja) * 2019-07-04 2021-01-07 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知装置および異常検知方法
CN114503616A (zh) * 2019-10-28 2022-05-13 住友电气工业株式会社 中继装置、车载通信系统、车辆及车载通信方法
US11563726B2 (en) * 2020-02-11 2023-01-24 Karma Automotive Llc Vehicle security system
JP7415726B2 (ja) * 2020-03-26 2024-01-17 株式会社オートネットワーク技術研究所 車載情報処理装置、情報処理方法及びサーバプログラム
KR20210120287A (ko) * 2020-03-26 2021-10-07 현대자동차주식회사 진단 시스템 및 차량
JP7307117B2 (ja) * 2021-04-07 2023-07-11 矢崎総業株式会社 車載システム

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10271154A (ja) * 1997-03-21 1998-10-09 Nec Eng Ltd 不正アクセス防止方法およびシステム
JP2002016614A (ja) * 2000-06-30 2002-01-18 Sumitomo Electric Ind Ltd 車載ゲートウェイ
JP2003324458A (ja) * 2002-04-26 2003-11-14 Sumitomo Electric Ind Ltd ゲートウェイ装置
WO2004051946A1 (ja) * 2002-12-02 2004-06-17 Fujitsu Limited 送信元アドレス偽装パケット検出装置、送信元アドレス偽装パケット検出方法、送信元アドレス偽装パケット検出プログラム
JP2004349961A (ja) * 2003-05-21 2004-12-09 Denso Corp 中継装置、及びプログラム
US20150020152A1 (en) * 2012-03-29 2015-01-15 Arilou Information Security Technologies Ltd. Security system and method for protecting a vehicle electronic system
JP2016134170A (ja) * 2015-01-20 2016-07-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正対処方法及び電子制御ユニット

Family Cites Families (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7295552B1 (en) * 1999-06-30 2007-11-13 Broadcom Corporation Cluster switching architecture
AU2001274599B9 (en) * 2000-06-30 2006-10-05 Sumitomo Electric Industries, Ltd. On-vehicle gateway
US6536816B1 (en) * 2002-03-04 2003-03-25 Fang-Chang Fan Adjustable door lock core
TW200414737A (en) 2002-09-27 2004-08-01 Matsushita Electric Ind Co Ltd Contents transmission system
JP4129216B2 (ja) 2002-09-27 2008-08-06 松下電器産業株式会社 グループ判定装置
JP4181951B2 (ja) 2002-09-27 2008-11-19 松下電器産業株式会社 コンテンツ配信システム
US20050180421A1 (en) * 2002-12-02 2005-08-18 Fujitsu Limited Source address-fabricated packet detection unit, source address-fabricated packet detection method, and source address-fabricated packet detection program
US7873731B1 (en) * 2004-04-08 2011-01-18 Cisco Technology, Inc. Use of per-flow monotonically decreasing TTLs to prevent IDS circumvention
JP4645281B2 (ja) * 2005-04-19 2011-03-09 ソニー株式会社 情報処理装置および方法、プログラム、並びに記録媒体
JP4634320B2 (ja) * 2006-02-28 2011-02-16 株式会社日立製作所 対異常通信防御を行うための装置とネットワークシステム
US8514845B2 (en) * 2008-12-31 2013-08-20 Telefonaktiebolaget L M Ericsson (Publ) Usage of physical layer information in combination with signaling and media parameters
CN101674312B (zh) * 2009-10-19 2012-12-19 中兴通讯股份有限公司 一种在网络传输中防止源地址欺骗的方法及装置
JP5301011B1 (ja) * 2012-05-23 2013-09-25 株式会社東芝 コンテンツ送信装置、及びコンテンツ送信方法
DE102015213522A1 (de) * 2015-07-17 2017-01-19 Robert Bosch Gmbh Bussystem, Teilnehmerstation dafür und Verfahren zur Konfiguration eines statischen Bussystems für eine dynamische Kommunikation
US9749955B2 (en) * 2015-07-20 2017-08-29 Intel Corporation Connectivity management for mobile wireless low-power wake-up radios
CN105577669B (zh) * 2015-12-25 2018-09-21 北京神州绿盟信息安全科技股份有限公司 一种识别虚假源攻击的方法及装置
CN107370677B (zh) * 2016-05-12 2021-01-26 西安三星电子研究有限公司 节点确定路径生存时间的方法和设备
CN109644208B (zh) * 2016-08-25 2022-03-04 黑莓有限公司 分组交换服务的监管
US10650621B1 (en) * 2016-09-13 2020-05-12 Iocurrents, Inc. Interfacing with a vehicular controller area network
JP6424870B2 (ja) * 2016-09-27 2018-11-21 住友電気工業株式会社 ゲートウェイ、車載通信システム、通信制御方法および通信制御プログラム
US10776798B2 (en) * 2017-04-25 2020-09-15 Comscore, Inc. Device identification systems and methods

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10271154A (ja) * 1997-03-21 1998-10-09 Nec Eng Ltd 不正アクセス防止方法およびシステム
JP2002016614A (ja) * 2000-06-30 2002-01-18 Sumitomo Electric Ind Ltd 車載ゲートウェイ
JP2003324458A (ja) * 2002-04-26 2003-11-14 Sumitomo Electric Ind Ltd ゲートウェイ装置
WO2004051946A1 (ja) * 2002-12-02 2004-06-17 Fujitsu Limited 送信元アドレス偽装パケット検出装置、送信元アドレス偽装パケット検出方法、送信元アドレス偽装パケット検出プログラム
JP2004349961A (ja) * 2003-05-21 2004-12-09 Denso Corp 中継装置、及びプログラム
US20150020152A1 (en) * 2012-03-29 2015-01-15 Arilou Information Security Technologies Ltd. Security system and method for protecting a vehicle electronic system
JP2016134170A (ja) * 2015-01-20 2016-07-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正対処方法及び電子制御ユニット

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3661128A4 *

Also Published As

Publication number Publication date
US20210153194A1 (en) 2021-05-20
US11553484B2 (en) 2023-01-10
WO2019021402A1 (ja) 2019-01-31
US20190239221A1 (en) 2019-08-01
US10904883B2 (en) 2021-01-26
CN109845195A (zh) 2019-06-04
CN109845195B (zh) 2022-01-18
EP3661128A4 (en) 2020-06-03
EP3661128A1 (en) 2020-06-03
JP7017520B2 (ja) 2022-02-08
JPWO2019021995A1 (ja) 2020-05-28

Similar Documents

Publication Publication Date Title
JP7017520B2 (ja) 通信装置、通信方法及び通信システム
US20210281595A1 (en) Anomaly detection device and anomaly detection method
US11546363B2 (en) Anomaly detection device, in-vehicle network system, and anomaly detection method
ES2353395T3 (es) Recepción de tramas redundantes y no redundantes.
CN109845196B (zh) 网络监视器、网络监视方法和计算机可读取记录介质
JP7496823B2 (ja) 不正フレーム検知装置および不正フレーム検知方法
WO2018061362A1 (ja) ゲートウェイ、車載通信システム、通信制御方法および通信制御プログラム
WO2020137304A1 (ja) 統計情報生成装置、統計情報生成方法、および、プログラム
CN111212397B (zh) 车对外界信息交互(v2x)通信装置以及用于接收车对外界信息交互(v2x)消息的方法
US11606334B2 (en) Communication security apparatus, control method, and storage medium storing a program
US9961014B2 (en) Network communication method based on software-defined networking and server using the method
JP2024088803A (ja) 中継装置、車両通信方法および車両通信プログラム
US20180212925A1 (en) Network communication method based on software-defined networking and server using the method
US8811233B2 (en) Topology detection method and topology detection apparatus
CN107005476B (zh) 用于管理交换网络中的数据帧的方法和第一设备
US8855141B2 (en) Methods, systems, and computer readable media for utilizing metadata to detect user datagram protocol (UDP) packet traffic loss
US11153877B2 (en) Method for bonding a plurality of radio connections in a wireless network
CN107547679B (zh) 一种地址获取方法及装置
FR3102634A1 (fr) Procédé et dispositif de sécurisation de communication pour véhicule

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2018552904

Country of ref document: JP

Kind code of ref document: A

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18838307

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2018838307

Country of ref document: EP

Effective date: 20200226