JP2017147610A - 通信システム及び情報処理装置 - Google Patents

Abstract

【課題】不適当な信号が無線で送信されていることを検知することができる通信システム及び情報処理装置を提供する。
【解決手段】通信システム１では、サーバ１１は通信器２３と無線で通信し、通信器２３が受信した信号は、通信器２３に接続されている中継装置２０に出力される。サーバ１１は、通信器２３から信号を受信し、通信器２３から受信した信号に関して所定条件が満たされているか否かを判定する。サーバ１１は、判定結果を示す判定信号を通信器２３に送信する。
【選択図】図１

Description

本発明は、無線で通信が行われる通信システムと、無線で送受信される信号の入出力が行われる情報処理装置とに関する。

車両に搭載された通信器が車外機器と無線で通信し、車両内において、通信器が車外機器から受信した信号を中継装置が車内機器に送信する通信システムが提案されている。この通信システムでは、中継装置は、１つの通信線によって通信器と接続され、他の通信線によって車内機器と接続されている。通信器は車外機器から受信した信号を中継装置に出力し、中継装置は通信器から入力された信号を車内機器に送信する。

以上のような通信システムでは、通信器が無線通信によって不正に操作され、不適当な信号が中継装置によって車内機器に送信される虞がある。不適当な信号が車内機器に送信された場合、この信号の内容に基づいて、車内機器が不適切な動作を行う可能性がある。このため、不適当な信号が通信器から出力されて車内機器へ送信される確率を抑える必要がある。

特許文献１には、通信線を介して出力される信号に基づいて、不適当な信号が出力されているか否かを判定する構成が開示されている。この構成を適用した通信システムでは、中継装置は、通信器から自装置へ入力される信号に基づいて、不適当な信号が通信器から出力されているか否かを判定する。
中継装置は、不適当な信号が出力されていると判定した場合、例えば、車内機器への送信を停止することによって、不適当な信号が車内機器へ送信される確率を抑えることができる。

特開２０１４−１８７４４５号公報

しかしながら、通信器が不適当な信号を中継装置に出力する前に、通信器から車外機器へ不適当な信号が無線で送信されていることを検知することができれば、不具合が生じている通信器から不適当な信号が車内機器へ送信される確率を更に抑制することができる。

本発明は斯かる事情に鑑みてなされたものであり、その目的とするところは、不適当な信号が無線で送信されていることを検知することができる通信システム及び情報処理装置を提供することにある。

本発明に係る通信システムは、通信装置が通信器と無線で通信し、該通信器が受信した信号が、該通信器に接続されている情報処理装置に出力される通信システムにおいて、前記通信装置は、前記通信器から信号を受信する無線受信部と、該無線受信部が前記通信器から受信した信号に関して所定条件が満たされているか否かを判定する信号判定部と、該信号判定部の判定結果を示す判定信号を前記通信器に送信する無線送信部とを有することを特徴とする。

本発明にあっては、通信装置は通信器と無線で通信する。通信装置は、通信器から受信した信号に関して所定条件が満たされているか否かを判定し、判定結果を示す判定信号を通信器に送信する。これにより、通信器から情報処理装置に判定信号が出力される。情報処理装置は、自装置に入力された判定信号の判定結果に基づいて、不適当な信号が無線で送信されていることを検知することが可能である。

本発明に係る通信システムは、前記情報処理装置に接続されている第２の通信装置を備え、前記情報処理装置は、前記通信器が受信した信号が入力される入力部と、該入力部に入力された前記判定信号によって前記所定条件が満たされていることが示されている場合にて、前記入力部に入力された信号が第２の所定条件を満たすとき、該信号を前記第２の通信装置に送信すべきと判定し、前記入力部に入力された前記判定信号によって前記所定条件が満たされていないことが示されている場合にて、前記入力部に入力された信号が第２の所定条件及び第３の所定条件を満たすとき、該信号を前記第２の通信装置に送信すべきと判定する送信判定部とを有することを特徴とする。

本発明にあっては、情報処理装置に入力された判定信号によって所定条件が満たされていることが示されている場合においては、情報処理装置に入力された信号が第２の所定条件を満たしていれば、この信号の第２の通信装置への送信が許可される。情報処理装置に入力された判定信号によって所定条件が満たされていないことが示されている場合においては、情報処理装置に入力された信号が第２の所定条件及び第３の所定条件を満たしていなければ、この信号の第２の通信装置への送信が許可されることはない。このため、不適当な信号が第２の通信装置へ送信される確率は低い。

本発明に係る通信システムは、前記情報処理装置に接続されている第２の通信装置を備え、前記情報処理装置は、前記通信器が受信した信号が入力される入力部と、該入力部に入力された信号を前記第２の通信装置に送信する有線送信部とを有し、該有線送信部は、前記入力部に入力された前記判定信号によって前記所定条件が満たされていないことが示されている場合、前記入力部に入力された信号の送信を停止することを特徴とする。

本発明にあっては、情報処理装置には、通信器が通信装置から受信した信号が入力される。情報処理装置は、自装置に入力された信号を第２の通信装置に送信する。情報処理装置は、自装置に入力された判定信号によって所定条件が満たされていないことが示されている場合、自装置に入力された信号の第２の通信装置への送信を停止する。このため、不適当な信号が第２の通信装置に送信される確率は低い。

本発明に係る通信システムは、前記情報処理装置は、前記通信器が受信した信号が入力される入力部を有し、前記情報処理装置は、該入力部に入力された判定信号によって前記所定条件が満たされていないことが示されている場合、前記通信器の動作を停止させることを特徴とする。

本発明にあっては、情報処理装置には、通信器が通信装置から受信した信号が入力される。情報処理装置は、自装置に入力された判定信号によって所定条件が満たされていないことが示されている場合、通信器の動作を停止させる。このため、不適当な信号が通信装置及び第２の通信装置に送信される確率は低い。

本発明に係る情報処理装置は、通信器に接続され、該通信器が無線で外部に送信する信号を該通信器に出力する出力部と、該通信器が無線で受信した信号が入力される入力部とを備える情報処理装置において、前記出力部は、前記通信器が送信した信号に関して所定条件が満たされているか否かを示す判定信号の送信を要求する要求信号を前記通信器に出力し、前記入力部に入力された信号を有線で送信する有線送信部と、該入力部に入力された前記判定信号によって前記所定条件が満たされていることが示されている場合にて、前記入力部に入力された信号が第２の所定条件を満たすとき、該信号を前記有線送信部が送信すべきと判定し、前記入力部に入力された前記判定信号によって前記所定条件が満たされていないことが示されている場合にて、前記入力部に入力された信号が第２の所定条件及び第３の所定条件を満たすとき、該信号を前記有線送信部が送信すべきと判定する送信判定部とを備えることを特徴とする。

本発明にあっては、通信器が無線で送信した信号に関して所定条件が満たされているか否かを示す判定信号の送信を要求する要求信号を通信器に出力する。これにより、通信器から判定信号が入力部に入力される。判定信号の判定結果に基づいて、不適当な信号が無線で送信されていることを検知することが可能である。

また、入力部に入力された判定信号によって所定条件が満たされていることが示されている場合においては、入力部に入力された信号が第２の所定条件を満たしていれば、この信号の有線での送信が許可される。入力部に入力された判定信号によって所定条件が満たされていないことが示されている場合においては、入力部に入力された信号が第２の所定条件及び第３の所定条件を満たしていなければ、この信号の有線での送信が許可されることはない。このため、不適当な信号が他の装置へ送信される確率は低い。

本発明に係る情報処理装置は、通信器に接続され、該通信器が無線で外部に送信する信号を該通信器に出力する出力部と、該通信器が無線で受信した信号が入力される入力部とを備える情報処理装置において、該入力部に入力された信号を有線で送信する有線送信部を備え、前記出力部は、前記通信器が送信した信号に関して所定条件が満たされているか否かを示す判定信号の送信を要求する要求信号を前記通信器に出力し、前記有線送信部は、前記入力部に入力された前記判定信号によって前記所定条件が満たされていないことが示されている場合、前記入力部に入力された信号の送信を停止することを特徴とする。

本発明にあっては、通信器が無線で送信した信号に関して所定条件が満たされているか否かを示す判定信号の送信を要求する要求信号を通信器に出力する。これにより、通信器から判定信号が入力部に入力される。判定信号の判定結果に基づいて、不適当な信号が無線で送信されていることを検知することが可能である。
また、入力部に入力された判定信号によって所定条件が満たされていないことが示されている場合、入力部に入力された信号の有線での送信を停止する。このため、不適当な信号が他の装置に送信される確率は低い。

本発明によれば、不適当な信号が無線で送信されていることを検知することができる。

実施の形態１における通信システムの要部構成を示すブロック図である。 サーバの要部構成を示すブロック図である。 中継装置の要部構成を示すブロック図である。 車両側確立処理の手順を示すフローチャートである。 サーバ側確立処理の手順を示すフローチャートである。 サーバ信号中継テーブルを示す図表である。 サーバ信号中継処理の手順を示すフローチャートである。 サーバ側記憶処理の手順を示すフローチャートである。 サーバ側通知処理の手順を示すフローチャートである。 異常検知処理の手順を示すフローチャートである。 実施の形態２におけるサーバ信号中継処理の手順を示すフローチャートである。 実施の形態３における通信システムの要部構成を示すブロック図である。 中継装置の要部構成を示すブロック図である。 サーバ信号中継処理の手順を示すフローチャートである。 異常検知処理の手順を示すフローチャートである。

以下、本発明をその実施の形態を示す図面に基づいて詳述する。
（実施の形態１）
図１は、実施の形態１における通信システム１の要部構成を示すブロック図である。通信システム１は、サーバ１１、中継装置２０、ＥＣＵ(Electronic Control Unit)２１ａ，２１ｂ，２２ａ，２２ｂ及び通信器２３を備える。中継装置２０、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ及び通信器２３は車両１２に搭載されている。

サーバ１１はネットワークＮ１に接続されている。中継装置２０は、車内バスＡ１を介してＥＣＵ２１ａ，２１ｂに接続され、車内バスＡ２を介してＥＣＵ２２ａ，２２ｂに接続され、車外バスＢ１を介して通信器２３に接続されている。

サーバ１１は、識別情報を含むサーバ信号を、ネットワークＮ１を介して無線で通信器２３に送信する。識別情報は信号を識別するための情報である。通信器２３は、サーバ１１からサーバ信号を無線で受信し、受信したサーバ信号を、車外バスＢ１を介して、中継装置２０に出力する。中継装置２０にはサーバ信号が入力される。中継装置２０は、サーバ信号が入力された場合、入力されたサーバ信号に含まれる識別情報に基づいて、車内バスＡ１，Ａ２の中からサーバ信号を出力すべき車内バスを選択し、選択した車内バスを介してサーバ信号を送信する。

ＥＣＵ２１ａ，２１ｂ夫々は、中継装置２０が車内バスＡ１を介して送信したサーバ信号を受信する。ＥＣＵ２１ａ，２１ｂ夫々は、サーバ信号を受信した場合、受信したサーバ信号に含まれる識別情報に基づいて、受信したサーバ信号に含まれるサーバ情報を記憶すべきか否かを判定する。ＥＣＵ２１ａ，２１ｂ夫々は、サーバ信号に含まれるサーバ情報を記憶すべきと判定した場合、このサーバ情報を記憶する。

同様に、ＥＣＵ２２ａ，２２ｂ夫々は、中継装置２０が車内バスＡ２を介して送信したサーバ信号を受信する。ＥＣＵ２２ａ，２２ｂ夫々は、サーバ信号を受信した場合、受信したサーバ信号に含まれる識別情報に基づいて、受信したサーバ信号に含まれるサーバ情報を記憶すべきか否かを判定する。ＥＣＵ２２ａ，２２ｂ夫々は、サーバ信号に含まれるサーバ情報を記憶すべきと判定した場合、このサーバ情報を記憶する。

ＥＣＵ２１ａ，２１ｂ夫々は、車内バスＡ１を介して、識別情報を含むＥＣＵ信号を送信する。ＥＣＵ２１ａ，２１ｂの一方のＥＣＵが送信したＥＣＵ信号は、中継装置２０と、他方のＥＣＵとによって受信される。ＥＣＵ２１ａ，２１ｂ夫々は、ＥＣＵ信号を受信した場合、受信したＥＣＵ信号に含まれる識別情報に基づいて、受信したＥＣＵ信号に含まれるＥＣＵ情報を記憶すべきか否かを判定する。ＥＣＵ２１ａ，２１ｂ夫々は、ＥＣＵ信号に含まれるＥＣＵ情報を記憶すべきと判定した場合、このＥＣＵ情報を記憶する。

同様に、ＥＣＵ２２ａ，２２ｂ夫々は、車内バスＡ２を介してＥＣＵ信号を送信する。ＥＣＵ２２ａ，２２ｂの一方のＥＣＵが送信したＥＣＵ信号は、中継装置２０と、他方のＥＣＵとによって受信される。ＥＣＵ２２ａ，２２ｂ夫々は、ＥＣＵ信号を受信した場合、受信したＥＣＵ信号に含まれる識別情報に基づいて、受信したＥＣＵ信号に含まれるＥＣＵ情報を記憶すべきか否かを判定する。ＥＣＵ２２ａ，２２ｂ夫々は、ＥＣＵ信号に含まれるＥＣＵ情報を記憶すべきと判定した場合、このＥＣＵ情報を記憶する。

中継装置２０は、車内バスＡ１，Ａ２中の一方を介してＥＣＵ信号を受信した場合、受信したＥＣＵ信号に含まれる識別情報に基づいて、車内バスＡ１，Ａ２及び車外バスＢ１の中から、受信したＥＣＵ信号を出力すべきバスを選択し、受信したＥＣＵ信号を、選択したバスに出力する。

通信器２３には、車外バスＢ１を介して中継装置２０から、ＥＣＵ信号が入力される。通信器２３は、中継装置２０からＥＣＵ信号が入力された場合、入力されたＥＣＵ信号を、ネットワークＮ１を介して無線でサーバ１１に送信する。サーバ１１は通信器２３からＥＣＵ信号を受信する。

ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ夫々は、自装置に接続されている図示しない電気機器の動作を制御する。ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ夫々は、図示しないセンサから出力されたセンサ情報、受信したサーバ信号に含まれているサーバ情報、又は、ＥＣＵ信号に含まれるＥＣＵ情報等に基づいて電気機器の動作を制御する。また、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ夫々は、制御とは異なる動作、例えば、受信したサーバ信号に含まれるサーバ情報に基づいて、自装置に記憶されているプログラムを更新する。

サーバ１１は、サーバ信号とは異なる信号も、ネットワークＮ１を介して無線で通信器２３に送信する。通信器２３は、サーバ１１から受信した信号を車外バスＢ１に出力する。通信器２３が出力した信号は中継装置２０に入力される。また、中継装置２０は、ＥＣＵ信号とは異なる信号も車外バスＢ１に出力する。中継装置２０が出力した信号は通信器２３に入力される。通信器２３は、信号が入力された場合、入力された信号を、ネットワークＮ１を介して無線でサーバ１１に送信する。

以上のように、サーバ１１は通信器２３と無線で通信し、通信器２３が受信した信号は中継装置２０に出力される。サーバ１１及び中継装置２０夫々は通信装置及び情報処理装置として機能する。また、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ夫々は第２の通信装置として機能する。
車内バスＡ１，Ａ２及び車外バスＢ１夫々を介した信号の受渡しは、例えば、ＣＡＮ(Controller Area Network)プロトコルに従って行われる。

図２はサーバ１１の要部構成を示すブロック図である。サーバ１１は無線通信部３１、時計部３２、記憶部３３及び制御部３４を有する。これらはバス３５に接続されている。無線通信部３１は、バス３５の他に、ネットワークＮ１に接続されている。

無線通信部３１は、制御部３４の指示に従って、サーバ信号又は他の信号を、ネットワークＮ１を介して通信器２３に無線で送信する。また、無線通信部３１は、通信器２３が送信したＥＣＵ信号又は他の信号を受信する。無線通信部３１は無線受信部として機能する。
記憶部３３は、例えば不揮発性メモリである。記憶部３３には、制御プログラムＰ１が記憶されている。

制御部３４は、図示しないＣＰＵ(Central Processing Unit)を有し、制御プログラムＰ１を実行することによって、サーバ側確立処理、サーバ側送信処理、サーバ側記憶処理及びサーバ側通知処理を実行する。サーバ側確立処理は中継装置２０と通信を確立する処理である。サーバ側送信処理は、通信器２３にＥＣＵ信号を送信する処理である。サーバ側記憶処理は、通信器２３から受信したＥＣＵ信号に含まれるＥＣＵ情報を記憶する処理である。サーバ側通知処理は、サーバ１１及び通信器２３間の通信状態を、通信器２３を介して中継装置２０に通知する処理である。

また、制御部３４は、時計部３２から現在の日時を示す日時情報を取得する。制御部３４が時計部３２から取得した日時情報が示す日時は、日時情報が取得された時点における日時と略一致している。

図３は、中継装置２０の要部構成を示すブロック図である。中継装置２０は、車内通信部４１，４２、入出力部４３、タイマ４４、記憶部４５及び制御部４６を有する。これらはバス４７に接続されている。車内通信部４１は、更に、車内バスＡ１を介してＥＣＵ２１ａ，２１ｂに接続されている。車内通信部４２は、更に、車内バスＡ２を介してＥＣＵ２２ａ，２２ｂに接続されている。入出力部４３は、更に、車外バスＢ１を介して通信器２３に接続されている。

車内通信部４１，４２夫々は、制御部４６の指示に従って、車内バスＡ１，Ａ２を介して、サーバ信号又はＥＣＵ信号を送信する。車内通信部４１，４２夫々は、車内バスＡ１，Ａ２を介してＥＣＵ信号を受信する。
入出力部４３は、制御部４６の指示に従って、車外バスＢ１を介して、ＥＣＵ信号又は他の信号を通信器２３に出力する。入出力部４３には、車外バスＢ１を介して、通信器２３が無線で受信したサーバ信号及び他の信号が入力される。

タイマ４４は、制御部４６の指示に従って、計時の開始又は終了を行う。タイマ４４が計時している計時時間は、制御部４６によってタイマ４４から読み出される。
記憶部４５は例えば不揮発性メモリである。記憶部４５に制御プログラムＰ２が記憶されている。

制御部４６は、記憶部４５に記憶されている制御プログラムＰ２を実行することによって、車両側確立処理、サーバ信号中継処理、ＥＣＵ信号中継処理及び異常検知処理を実行する。車両側確立処理は、サーバ１１との通信を確立する処理である。サーバ信号中継処理は、通信器２３から入力されたサーバ信号を中継する処理である。ＥＣＵ信号中継処理は、車内バスＡ１，Ａ２を介して受信したＥＣＵ信号を中継する処理である。異常検知処理は、サーバ１１及び通信器２３の通信状態の異常を検知する処理である。

サーバ１１及び中継装置２０間の通信の確立を説明する。
図４は車両側確立処理の手順を示すフローチャートである。中継装置２０の制御部４６は、車両１２の図示しないイグニッションスイッチがオンとなった場合に車両側確立処理を実行する。サーバ１１及び中継装置２０夫々は、暗号鍵を用いてＥＣＵ信号及びサーバ信号の認証を行う。中継装置２０の記憶部４５には暗号鍵が予め記憶されている。

車両側確立処理では、制御部４６は、入出力部４３に指示して、暗号鍵を生成するための生成情報を含む生成信号を通信器２３へ出力させる（ステップＳ１）。
サーバ１１の制御部３４は、無線通信部３１が生成信号を受信した場合、サーバ側確立処理を実行し、生成信号に含まれる生成情報を用いて暗号鍵を生成する。その後、無線通信部３１は、生成信号の受信を示す応答情報と、応答情報及び暗号鍵によって生成された認証データとを含む応答信号を通信器２３に送信し、通信器２３が受信した応答信号は中継装置２０の入出力部４３に入力される。

中継装置２０の制御部４６は、ステップＳ１を実行した後、入出力部４３に通信器２３から応答信号が入力されたか否かを判定する（ステップＳ２）。制御部４６は、応答信号が入力されていないと判定した場合（Ｓ２：ＮＯ）、ステップＳ２を再び実行し、入出力部４３に応答信号が入力されるまで待機する。

制御部４６は、応答信号が入力されたと判定した場合（Ｓ２：ＹＥＳ）、入力された応答信号に含まれる応答情報と、記憶部４５に記憶されている暗号鍵とを用いて認証データを生成する（ステップＳ３）。次に、制御部４６は、ステップＳ３で生成した認証データに基づいて、入出力部４３に入力された応答信号に含まれている認証データが適正であるか否かを判定する（ステップＳ４）。ステップＳ４では、制御部４６は、応答信号に含まれている認証データがステップＳ３で生成した認証データに一致している場合、認証データが適正であると判定し、応答信号に含まれている認証データがステップＳ３で生成した認証データに一致していない場合、認証データが適正ではないと判定する。

制御部４６は、認証データが適正ではないと判定した場合（Ｓ４：ＮＯ）、ステップＳ１を再び実行し、適正な認証データが含まれる応答信号が入出力部４３に入力されるまで、入出力部４３は通信器２３に生成信号を出力し続ける。制御部４６は、認証データが適正であると判定した場合（Ｓ４：ＹＥＳ）、車両側確立処理を終了する。

図５はサーバ側確立処理の手順を示すフローチャートである。サーバ１１の制御部３４は、前述したように、無線通信部３１が生成信号を受信した場合、サーバ側確立処理を実行する。記憶部３３にも、車両１２用の暗号鍵が記憶されており、記憶部３３に記憶されている暗号鍵は制御部３４によって更新される。

サーバ側確立処理では、制御部３４は、前述したように、無線通信部３１が受信した生成信号に含まれる生成情報を用いて暗号鍵を生成する（ステップＳ１１）。次に、制御部３４は、記憶部３３に記憶されている車両１２用の暗号鍵をステップＳ１１で生成した暗号鍵に更新し（ステップＳ１２）、無線通信部３１に指示して、生成信号の受信を示す応答情報と、認証データとを含む応答信号を通信器２３に送信させる（ステップＳ１３）。ここで、認証データは、応答情報と、更新された暗号鍵とを用いて生成されたデータである。

車両側確立処理で応答信号に含まれる認証データが適正ではなかった場合、生成信号がサーバ１１の無線通信部３１に送信され、サーバ１１の制御部３４はサーバ側確立処理を再び実行する。
なお、サーバ１１の無線通信部３１及び通信器２３間で送受信される信号に含まれる情報は、第３者に読み取られないように、暗号化されていることが好ましい。

次に、サーバ１１から通信器２３にＥＣＵ信号を送信するサーバ側送信処理を説明する。サーバ１１の制御部３４は、無線通信部３１からＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ中の少なくとも１つに送信すべきサーバ情報が存在する場合、サーバ側送信処理を実行する。制御部３４は、送信すべきサーバ情報と、記憶部３３に記憶されている暗号鍵とを用いて認証データを生成する。その後、制御部３４は、無線通信部３１に指示して、識別情報、サーバ情報及び認証データを含むサーバ信号を車両１２の通信器２３に無線で送信させ、サーバ側送信処理を終了する。通信器２３が無線通信部３１から受信したＥＣＵ信号は、通信器２３から中継装置２０の入出力部４３に入力される。

次に、通信器２３から入力されたサーバ信号を中継するサーバ信号中継処理を説明する。サーバ信号中継処理では、サーバ信号を中継するためのサーバ信号中継テーブルが用いられる。サーバ信号中継テーブルは中継装置２０の記憶部４５に記憶されている。

図６はサーバ信号中継テーブルを示す図表である。サーバ信号中継テーブルには識別情報ＩＤ１，ＩＤ２，ＩＤ３が示されている。サーバ信号が適切な信号である場合、サーバ信号には、識別情報ＩＤ１，ＩＤ２，ＩＤ３中の１つが含まれている。サーバ信号中継テーブルにはバス及びフォーマットも示されている。識別情報ＩＤ１，ＩＤ２，ＩＤ３夫々には、車内バスＡ１，Ａ２中の少なくとも１つが対応付けられている。同一の識別情報を含むサーバ信号及びＥＣＵ信号等の信号には、同一のフォーマットが用いられている。識別情報ＩＤ１，ＩＤ２，ＩＤ３夫々にはフォーマットＦ１，Ｆ２，Ｆ３が対応付けられている。

また、中継装置２０の記憶部４５には状態フラグの値が記憶されている。状態フラグの値は、ゼロ又は１であり、サーバ１１及び中継装置２０間の通信状態を示す。状態フラグの値がゼロであることは、サーバ１１及び中継装置２０間の通信状態が正常であることを示す。状態フラグの値が１であることは、サーバ１１及び中継装置２０間の通信状態が異常であること示す。状態フラグの値は制御部４６によってゼロ又は１に設定される。

図７はサーバ信号中継処理の手順を示すフローチャートである。中継装置２０の制御部４６は、入出力部４３にサーバ信号が入力された場合にサーバ信号中継処理を実行する。
サーバ信号中継処理では、制御部４６は、入出力部４３に入力されたサーバ信号に含まれるサーバ情報と、記憶部４５に記憶されている暗号鍵とを用いて認証データを生成する（ステップＳ２１）。

次に、制御部４６は、ステップＳ２１で生成した認証データに基づいて、入出力部４３に入力されたサーバ信号に含まれている認証データが適正であるか否かを判定する（ステップＳ２２）。ステップＳ２２では、制御部４６は、サーバ信号に含まれている認証データがステップＳ２１で生成した認証データに一致している場合、認証データが適正であると判定し、サーバ信号に含まれている認証データがステップＳ２１で生成した認証データに一致していない場合、認証データが適正ではないと判定する。

制御部４６は、認証データが適正であると判定した場合（Ｓ２２：ＹＥＳ）、入出力部４３に入力されたサーバ信号に含まれている識別情報が、サーバ信号中継テーブルに示されているか否かを判定する（ステップＳ２３）。言い換えると、ステップＳ２３では、入出力部４３に入力されたサーバ信号に含まれている識別情報が識別情報ＩＤ１，ＩＤ２，ＩＤ３中の１つであるか否かを判定する。

制御部４６は、識別情報がサーバ信号中継テーブルに示されていると判定した場合（Ｓ２３：ＹＥＳ）、状態フラグの値が１であるか否かを判定する（ステップＳ２４）。制御部４６は、状態フラグの値が１であると判定した場合（Ｓ２４：ＹＥＳ）、入出力部４３に入力されたサーバ信号のフォーマットが適正であるか否かを判定する（ステップＳ２５）。

ステップＳ２５では、制御部４６は、入出力部４３に入力されたサーバ信号のフォーマットが、サーバ信号中継テーブルにおいて、このサーバ信号に含まれる識別情報に対応するフォーマットと一致している場合、フォーマットが適正であると判定する。一方で、制御部４６は、入出力部４３に入力されたサーバ信号のフォーマットが、サーバ信号中継テーブルにおいて、このサーバ信号に含まれる識別情報に対応するフォーマットと一致していない場合、フォーマットが適正ではないと判定する。

例えば、入出力部４３に入力されたサーバ信号に含まれる識別情報が識別情報ＩＤ１である場合において、このサーバ信号のフォーマットがフォーマットＦ１と一致しているとき、制御部４６はフォーマットが適正であると判定する。同様の場合において、入出力部４３に入力されたサーバ信号のフォーマットがフォーマットＦ１と一致していないとき、制御部４６はフォーマットが適正ではないと判定する。

制御部４６は、状態フラグの値が１ではない、即ち、状態フラグの値がゼロであると判定した場合（Ｓ２４：ＮＯ）、又は、フォーマットが適正であると判定した場合（Ｓ２５：ＹＥＳ）、車内バスＡ１，Ａ２の中で、入出力部４３に入力されたサーバ信号を出力すべき車内バスを選択する（ステップＳ２６）。ステップＳ２６では、制御部４６は、サーバ信号中継テーブルにおいて、入出力部４３に入力されたサーバ信号の識別情報に対応する車内バスを選択する。例えば、入出力部４３に入力されたサーバ信号の識別情報が識別情報ＩＤ３である場合、制御部４６は車内バスＡ１，Ａ２を選択する。

次に、制御部４６は、車内通信部４１，４２の中で、ステップＳ２６で選択した車内バスに接続されている車内通信部に指示して、入出力部４３に入力されたサーバ信号を、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ中の少なくとも１つに送信させる（ステップＳ２７）。例えば、ステップＳ２６で選択された車内バスが車内バスＡ１であった場合、ステップＳ２７では、制御部４６は、車内通信部４１に指示して、サーバ信号をＥＣＵ２１ａ，２１ｂに送信させる。車内通信部４１，４２夫々は有線送信部として機能する。ステップＳ２７では認証データが除かれたサーバ信号が送信される。

制御部４６は、認証データが適正ではないと判定した場合（Ｓ２２：ＮＯ）、識別情報がサーバ信号中継テーブルに示されていないと判定した場合（Ｓ２３：ＮＯ）、フォーマットが適正ではないと判定した場合（Ｓ２５：ＮＯ）、又は、ステップＳ２７を実行した後、サーバ信号中継処理を終了する。

認証データが適正であり、かつ、識別情報がサーバ信号中継テーブルに示されていることは第２の所定条件に該当する。フォーマットが適正であることは第３の所定条件に該当する。
サーバ信号中継処理では、状態フラグの値がゼロである場合においては、制御部４６は、入出力部４３に入力されたサーバ信号が第２の所定条件を満たすとき、車内通信部４１，４２の少なくとも１つがサーバ信号をＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ中の少なくとも１つに送信すべきと判定する。状態フラグの値が１である場合においては、制御部４６は、入出力部４３に入力されたサーバ信号が第２の所定条件及び第３の所定条件を満たすとき、車内通信部４１，４２の少なくとも１つがサーバ信号をＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ中の１つに送信すべきと判定する。制御部４６は送信判定部として機能する。

次に、車内バスＡ１，Ａ２を介して受信したＥＣＵ信号を中継するＥＣＵ信号中継処理を説明する。ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂは、送信すべきＥＣＵ情報が存在する場合、このＥＣＵ情報と、識別情報とを含むＥＣＵ信号を送信する。中継装置２０の制御部４６は、車内通信部４１，４２の一方がＥＣＵ信号を受信した場合にＥＣＵ信号中継処理を実行する。中継装置２０の記憶部４５には、ＥＣＵ信号中継テーブルが記憶されている。ＥＣＵ信号中継テーブルには、一又は複数の識別情報が示されている。ＥＣＵ信号中継テーブルでは、更に、一又は複数の識別情報夫々に対応付けて、車内バスＡ１，Ａ２及び車外バスＢ１中の少なくとも１つが示されている。

ＥＣＵ信号中継処理では、中継装置２０の制御部４６は、車内通信部４１，４２の一方が受信したＥＣＵ信号に含まれている識別情報がＥＣＵ信号中継テーブルに示されているか否かを判定する。制御部４６は、識別情報がＥＣＵ信号中継テーブルに示されていると判定した場合、ＥＣＵ信号中継テーブルにおいて、車内通信部４１，４２の一方が受信したＥＣＵ信号に含まれる識別情報に対応するバスを選択する。ここで、制御部４６は、車内バスＡ１，Ａ２及び車外バスＢ１中の少なくとも１つを選択する。

次に、制御部４６は、車内通信部４１，４２及び入出力部４３の中で、選択したバスに接続されている構成部に指示して、ＥＣＵ信号の送信又は出力を行わせる。制御部４６は、入出力部４３にＥＣＵ信号を出力させる場合、ＥＣＵ信号の出力が行われる前に、ＥＣＵ信号に含まれるＥＣＵ情報と、記憶部４５に記憶されている暗号鍵とを用いて認証データを生成し、生成した認証データをＥＣＵ信号に含める。従って、サーバ１１の無線通信部３１が受信するＥＣＵ信号には、識別情報、ＥＣＵ情報及び認証データが含まれている。

次に、サーバ１１の無線通信部３１が通信器２３から受信したＥＣＵ信号に含まれるＥＣＵ情報を記憶するサーバ側記憶処理を説明する。サーバ１１の制御部３４は、無線通信部３１がＥＣＵ信号を受信した場合、サーバ側記憶処理を実行する。サーバ１１の記憶部３３には変数Ｘの値が記憶されている。変数Ｘの値の読み出し及び変更は制御部３４によって行われる。また、記憶部３３には、識別情報とＥＣＵ信号のフォーマットとが適正であるか否かを判定するための車両１２用の判定テーブルが記憶されている。

判定テーブルでは、図６に示すサーバ信号中継テーブルと同様、一又は複数の識別情報と、該一又は複数の識別情報夫々に対応するフォーマットとが示されている。車両１２の通信器２３から無線通信部３１に送信される適正なＥＣＵ信号には、判定テーブルに示されている一又は複数の識別情報中の１つが含まれる。適正なＥＣＵ信号のフォーマットは、判定テーブルにおいて、該ＥＣＵ信号に含まれる識別情報に対応するフォーマットと一致している。

図８は、サーバ側記憶処理の手順を示すフローチャートである。サーバ１１の制御部３４は、時計部３２から日時情報を取得し（ステップＳ３１）、取得した日時情報を受信情報として記憶部３３に記憶する（ステップＳ３２）。

制御部３４は、ステップＳ３２を実行した後、無線通信部３１が受信したＥＣＵ信号に含まれるＥＣＵ情報と、記憶部３３に記憶されている車両１２用の暗号鍵とを用いて認証データを生成する（ステップＳ３３）。次に、制御部３４は、ステップＳ３３で生成した認証データに基づいて、無線通信部３１が受信したＥＣＵ信号に含まれている認証データが適正であるか否かを判定する（ステップＳ３４）。ステップＳ３４では、制御部３４は、ＥＣＵ信号に含まれている認証データがステップＳ３３で生成した認証データに一致している場合、認証データが適正であると判定し、ＥＣＵ信号に含まれている認証データがステップＳ３３で生成した認証データに一致していない場合、認証データが適正ではないと判定する。

制御部３４は、認証データが適正であると判定した場合（Ｓ３４：ＹＥＳ）、無線通信部３１が受信したＥＣＵ信号に含まれている識別情報が、判定テーブルに示されているか否かを判定する（ステップＳ３５）。制御部３４は、識別情報が判定テーブルに示されていると判定した場合（Ｓ３５：ＹＥＳ）、無線通信部３１が受信したＥＣＵ信号のフォーマットが適正であるか否かを判定する（ステップＳ３６）。

ステップＳ３６では、無線通信部３１が受信したＥＣＵ信号のフォーマットが、判定テーブルにおいて、このＥＣＵ信号に含まれる識別情報に対応するフォーマットに一致している場合、制御部３４はフォーマットが適正であると判定する。一方で、無線通信部３１が受信したＥＣＵ信号のフォーマットが、判定テーブルにおいて、このＥＣＵ信号に含まれる識別情報に対応するフォーマットに一致していない場合、制御部３４はフォーマットが適正ではないと判定する。

制御部３４は、フォーマットが適正であると判定した場合（Ｓ３６：ＹＥＳ）、無線通信部３１が受信したＥＣＵ信号に含まれるＥＣＵ情報を記憶部３３に記憶する（ステップＳ３７）。
制御部３４は、記憶部３３に記憶されているＥＣＵ情報に基づいて種々の処理を実行する。

制御部３４は、認証データが適正ではないと判定した場合（Ｓ３４：ＮＯ）、識別情報が判定テーブルに示されていないと判定した場合（Ｓ３５：ＮＯ）、又は、フォーマットが適正ではないと判定した場合（Ｓ３６：ＮＯ）、変数Ｘの値を１だけ増加させる（ステップＳ３８）。
制御部３４は、ステップＳ３７，Ｓ３８のいずれか一方を実行した後、サーバ側記憶処理を終了する。

前述したように、サーバ側記憶処理は、無線通信部３１がＥＣＵ信号を受信する都度、制御部３４によって実行される。無線通信部３１が車両１２の通信器２３からＥＣＵ信号を受信する頻度が高い程、一定時間内に記憶部３３に記憶される受信情報の数が多い。更に、無線通信部３１が、認証データが不適正であるＥＣＵ信号、判定テーブルに示されていない識別情報を含むＥＣＵ信号、又は、フォーマットが不適正であるＥＣＵ信号を受信する頻度が高い程、変数Ｘの値は大きい。

次に、サーバ１１及び通信器２３間の通信状態を中継装置２０に通知するサーバ側通知処理を説明する。中継装置２０の入出力部４３は、サーバ１１及び通信器２３間の通信状態の通知を要求する通知要求信号を通信器２３に出力する。サーバ１１の制御部３４は、無線通信部３１が通知要求信号を通信器２３から受信した場合にサーバ側通知処理を実行する。車両１２のイグニッションスイッチがオンである場合において、中継装置２０の入出力部４３は通知要求信号を一定の時間間隔で出力する。従って、サーバ側通知処理は、車両１２のイグニッションスイッチがオンである場合において、一定の時間間隔で実行される。

図９は、サーバ側通知処理の手順を示すフローチャートである。サーバ側通知処理では、制御部３４は、変数Ｘの値が基準値未満であるか否かを判定する（ステップＳ４１）。基準値は、一定値であり、予め記憶部３３に記憶されている。
制御部３４は、変数Ｘの値が基準値未満であると判定した場合（Ｓ４１：ＹＥＳ）、記憶部３３に記憶されている一又は複数の受信情報に基づいて、直近の所定期間、例えば１時間前から現在までの期間に、無線通信部３１がＥＣＵ信号を受信した受信回数が基準回数未満であるか否かを判定する（ステップＳ４２）。基準回数は、一定値であり、予め記憶部３３に記憶されている。

制御部３４は、受信回数が基準回数未満であると判定した場合（Ｓ４２：ＹＥＳ）、無線通信部３１に指示して、サーバ１１及び通信器２３間の通信状態が正常であることを示す正常信号を通信器２３に送信させる（ステップＳ４３）。通信器２３は、正常信号を受信した場合、受信した正常信号を中継装置２０の入出力部４３に出力する。

制御部３４は、変数Ｘの値が基準値以上であると判定した場合（Ｓ４１：ＮＯ）、又は、受信回数が基準回数以上であると判定した場合（Ｓ４２：ＮＯ）、無線通信部３１に指示して、サーバ１１及び通信器２３間の通信状態が異常であることを示す異常信号を通信器２３に送信させる（ステップＳ４４）。通信器２３は、異常信号を受信した場合、受信した異常信号を中継装置２０の入出力部４３に出力する。
制御部３４は、ステップＳ４３，Ｓ４４の一方を実行した後、変数Ｘの値をゼロに設定し（ステップＳ４５）、サーバ側通知処理を終了する。

サーバ側通知処理が実行される都度、変数Ｘの値はゼロに設定される。従って、ステップＳ４１で読み出される変数Ｘの値は、前回のサーバ側通知処理が終了してから今回のサーバ側通知処理が開始されるまでに、無線通信部３１が、認証データが不適正であるＥＣＵ信号、判定テーブルに示されていない識別情報を含むＥＣＵ信号、又は、フォーマットが不適正であるＥＣＵ信号を受信した回数である。

変数Ｘの値が基準値未満であり、かつ、受信回数が基準回数未満であることは所定条件に相当する。
サーバ側通知処理では、制御部３４は、無線通信部３１が通信器２３から受信したＥＣＵ信号に関して、所定条件が満たされているか否かを判定する。制御部３４によって所定条件が満たされていると判定された場合、無線通信部３１は正常信号を通信器２３に送信する。正常信号は通信器２３から中継装置２０に入力される。制御部３４によって所定条件が満たされていないと判定された場合、無線通信部３１は異常信号を通信器２３に送信する。異常信号は中継装置２０に入力される。
正常信号及び異常信号夫々は、所定条件を満たしているか否かの判定結果を示す判定信号に相当し、無線通信部３１は無線送信部としても機能し、制御部３４は信号判定部として機能する。

次に、サーバ１１及び中継装置２０間の通信状態の異常を検知する異常検知処理を説明する。中継装置２０の制御部４６は、車両１２のイグニッションスイッチがオンである場合において、前述した一定の時間間隔で異常検知処理を実行する。
中継装置２０の記憶部４５には、通信器２３から、正常信号及び異常信号とは異なる他の信号が入出力部４３に入力されたか否かを示す入力フラグの値が記憶されている。入力フラグの値はゼロ又は１である。入力フラグの値がゼロであることは、他の信号が入出力部４３に入力されたことを示す。入力フラグの値が１であることは、他の信号が入出力部４３に入力されていないことを示す。

図１０は異常検知処理の手順を示すフローチャートである。異常検知処理では、制御部４６は、入力フラグの値をゼロに設定し（ステップＳ５１）、入出力部４３に指示して、通知要求信号を通信器２３に出力させる（ステップＳ５２）。通信器２３は、通知要求信号が入力された場合、入力された通知要求信号をサーバ１１の無線通信部３１に送信する。無線通信部３１が通知要求信号を受信した場合、前述したように、制御部４６はサーバ側通知処理を実行し、無線通信部３１は通信器２３に正常信号又は異常信号を送信する。

制御部４６は、ステップＳ５２を実行した後、タイマ４４に指示して、計時を開始させ（ステップＳ５３）、通信器２３から入出力部４３に正常信号が入力されたか否かを判定する（ステップＳ５４）。制御部４６は、正常信号が入力されたと判定した場合（Ｓ５４：ＹＥＳ）、タイマ４４に指示して計時を終了させる（ステップＳ５５）。その後、制御部４６は、無線通信部３１が通信器２３から受信したＥＣＵ信号に関して、前述した所定条件が満たされており、サーバ１１及び中継装置２０間の通信状態が正常であるとして、状態フラグの値をゼロに設定する（ステップＳ５６）。

前述したように、サーバ信号中継処理では、状態フラグの値がゼロである場合、認証データが適正であり、かつ、サーバ信号の識別情報がサーバ信号中継テーブルに示されていれば、通信器２３がサーバ１１から受信したサーバ信号がＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ中の少なくとも１つに送信される。サーバ信号のフォーマットが適正であるか否かは中継装置２０の制御部４６によって判定されることはない。従って、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ中の少なくとも１つへのサーバ信号の送信が許可されるための条件は緩い。
制御部４６は、ステップＳ５６を実行した後、異常検知処理を終了する。

制御部４６は、正常信号が入力されていないと判定した場合（Ｓ５４：ＮＯ）、通信器２３から入出力部４３に異常信号が入力されたか否かを判定する（ステップＳ５７）。制御部４６は、異常信号が入力されたと判定した場合（Ｓ５７：ＹＥＳ）、タイマ４４に指示して計時を終了させる（ステップＳ５８）。その後、制御部４６は、無線通信部３１が通信器２３から受信したＥＣＵ信号に関して前述した所定条件が満たされておらず、サーバ１１及び中継装置２０間の通信状態が異常であるとして、状態フラグの値を１に設定する（ステップＳ５９）。

前述したように、サーバ信号中継処理では、状態フラグの値が１である場合、認証データが適正であり、識別情報がサーバ信号中継テーブルに示されており、かつ、フォーマットが適正でなければ、サーバ信号はＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ中の１つに送信されることはない。ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ中の少なくとも１つへのサーバ信号の送信が許可されるための条件は厳しい。
制御部４６は、ステップＳ５９を実行した後、異常検知処理を終了する。

制御部４６は、異常信号が入力されていないと判定した場合（Ｓ５７：ＮＯ）、通信器２３から、正常信号及び異常信号とは異なる他の信号が入出力部４３に入力されたか否かを判定する（ステップＳ６０）。制御部４６は、他の信号が入力されたと判定した場合（Ｓ６０：ＹＥＳ）、入力フラグの値を１に設定する（ステップＳ６１）。制御部４６は、他の信号が入力されていないと判定した場合（Ｓ６０：ＮＯ）、又は、ステップＳ６１を実行した後、タイマ４４が計時している計時時間が基準時間以上であるか否かを判定する（ステップＳ６２）。基準時間は、一定値であり、予め記憶部４５に記憶されている。

制御部４６は、計時時間が基準時間未満であると判定した場合（Ｓ６２：ＮＯ）、ステップＳ５４を再び実行し、正常信号若しくは異常信号が入力されるか、又は、計時時間が基準時間以上となるまで待機する。
入出力部４３が通知要求信号を通信器２３に出力してから計時時間が基準時間以上となるまでに、正常信号又は異常信号が入出力部４３に入力されていないことは、例えば、車両１２がトンネルを走行しているため、サーバ１１及び通信器２３間の通信が不能になっていると想定される。

ただし、入出力部４３が通知要求信号を出力してから計時時間が基準時間以上となるまで、正常信号及び異常信号のいずれも入出力部４３に入力されていないにも関わらず、他の信号が入出力部４３に入力されている場合、即ち、入力フラグの値が１である場合、サーバ１１及び通信器２３間の通信状態が異常である確率が高い。

制御部４６は、計時時間が基準時間以上であると判定した場合（Ｓ６２：ＹＥＳ）、タイマ４４に指示して計時を終了させ（ステップＳ６３）、入力フラグの値がゼロであるか否かを判定する（ステップＳ６４）。制御部４６は、入力フラグの値がゼロではない、即ち、入力フラグの値が１であると判定した場合（Ｓ６４：ＮＯ）、サーバ１１及び通信器２３間の通信状態が異常であるとして、ステップＳ５９を実行する。
制御部４６は、入力フラグの値がゼロであると判定した場合（Ｓ６４：ＹＥＳ）、異常検知処理を終了する。

状態フラグの値が１である場合であっても、異常検知処理は繰り返し実行される。異常検知処理で、サーバ１１の無線通信部３１が通信器２３に送信した正常信号が入出力部４３に入力された場合、状態フラグの値はゼロに設定される。前述したように、サーバ信号中継処理では、状態フラグの値が１からゼロに変更された場合、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ中の少なくとも１つへのサーバ信号の送信が許可されるための条件が緩和される。

以上のように構成された通信システム１では、サーバ１１の制御部３４は、無線通信部３１が通知要求信号を受信した場合、通信器２３から受信したＥＣＵ信号に関して所定条件が満たされているか否かを判定し、正常信号又は異常信号を通信器２３に送信する。正常信号及び異常信号の中で通信器２３が受信した信号は中継装置２０に出力される。このため、中継装置２０の制御部４６は、不適当な信号が通信器２３からサーバ１１の無線通信部３１に無線で送信されていることを検知することができる。

また、中継装置２０の入出力部４３に異常信号が入力された場合においては、認証データが適正であり、識別情報がサーバ信号中継テーブルに示されており、かつ、フォーマットが適正であるサーバ信号が入出力部４３に入力されたときに限り、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂへのサーバ信号の送信が許可される。このため、不適当なサーバ信号がＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂに送信される確率は低い。

（実施の形態２）
実施の形態１では、状態フラグの値がゼロから１に変更された場合、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ中の少なくとも１つへのサーバ信号の送信が許可されるための条件が厳しい条件に変更される。しかしながら、状態フラグの値がゼロから１に変更された場合に行う内容は条件の変更に限定されない。
以下では、実施の形態２について、実施の形態１と異なる点を説明する。後述する構成を除く他の構成については、実施の形態１と共通しているため、実施の形態１と共通する構成部には実施の形態１と同一の参照符号を付してその説明を省略する。

図１１は実施の形態２におけるサーバ信号中継処理の手順を示すフローチャートである。実施の形態２における中継装置２０の制御部４６が実行するサーバ信号中継処理のステップＳ７２〜Ｓ７４，Ｓ７５，Ｓ７６夫々は、実施の形態１におけるサーバ信号中継処理のステップＳ２１〜Ｓ２３，Ｓ２６，Ｓ２７と同様である。このため、ステップＳ７２〜Ｓ７４，Ｓ７５，Ｓ７６の詳細な説明については省略する。

実施の形態２における中継装置２０の制御部４６は、実施の形態１と同様に、入出力部４３にサーバ信号が入力された場合にサーバ信号中継処理を実行する。
実施の形態２におけるサーバ信号中継処理では、制御部４６は、状態フラグの値が１であるか否かを判定する（ステップＳ７１）。制御部４６は、状態フラグの値が１であると判定した場合（Ｓ７１：ＹＥＳ）、サーバ信号中継処理を終了する。

従って、状態フラグの値が１である場合、車内通信部４１は、入出力部４３に入力されたサーバ信号の送信を停止する。このため、不適当なサーバ信号がＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂに送信される確率は低い。

制御部４６は、状態フラグの値が１ではない、即ち、状態フラグの値がゼロであると判定した場合（Ｓ７１：ＮＯ）、ステップＳ７２を実行する。
制御部４６は、入出力部４３に入力されたサーバ信号に含まれている識別情報がサーバ信号中継テーブルに示されていると判定した場合（Ｓ７４：ＹＥＳ）、ステップＳ７５を実行する。

実施の形態２において、中継装置２０の制御部４６は、実施の形態１と同様の異常検知処理を実行し、サーバ１１の制御部３４は、実施の形態１と同様の処理を実行する。従って、中継装置２０の制御部４６は、実施の形態１と同様に、不適当な信号が通信器２３からサーバ１１の無線通信部３１に無線で送信されていることを検知することができる。

（実施の形態３）
実施の形態１においては、不適当なサーバ信号がＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂに送信されることを防止するために、ＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂ中の少なくとも１つへのサーバ信号の送信が許可されるための条件が変更される。しかしながら、不適当なサーバ信号の送信を防止する構成は該条件を変更する構成に限定されない。
以下では、実施の形態３について、実施の形態１と異なる点を説明する。後述する構成を除く他の構成については、実施の形態１と共通しているため、実施の形態１と共通する構成部には実施の形態１と同一の参照符号を付してその説明を省略する。

図１２は実施の形態３における通信システム１の要部構成を示すブロック図である。実施の形態３における通信システム１は、実施の形態１における通信システム１が備える構成部に加えて、バッテリ５０及びスイッチ５１を備える。これらは車両１２に搭載されている。バッテリ５０の正極はスイッチ５１の一端に接続されており、スイッチ５１の他端は通信器２３に接続されている。バッテリ５０の負極は接地されている。

スイッチ５１は中継装置２０によってオン又はオフに切替えられる。スイッチ５１がオンである場合、バッテリ５０から通信器２３に電力が供給され、通信器２３は作動する。スイッチ５１が中継装置２０によってオンからオフに切替えられた場合、バッテリ５０から通信器２３への電力供給が停止し、通信器２３は動作を停止する。

図１３は中継装置２０の要部構成を示すブロック図である。実施の形態３における中継装置２０は、実施の形態１における中継装置２０が有する構成部に加えて、切替え部６０を有する。切替え部６０は、バス４７に接続されており、制御部４６の指示に従って、スイッチ５１をオン又はオフに切替える。

図１４はサーバ信号中継処理の手順を示すフローチャートである。実施の形態３における中継装置２０の制御部４６は、実施の形態１と同様に、入出力部４３にサーバ信号が入力された場合にサーバ信号中継処理を実行する。実施の形態３におけるサーバ信号中継処理のステップＳ８１〜Ｓ８３，Ｓ８４，Ｓ８５夫々は、実施の形態１におけるサーバ信号中継処理のステップＳ２１〜Ｓ２３，Ｓ２６，Ｓ２７と同様である。このため、ステップＳ８１〜８５の詳細な説明を省略する。

実施の形態３におけるサーバ信号中継処理では、制御部４６は、入出力部４３に入力されたサーバ信号に含まれている識別情報が、サーバ信号中継テーブルに示されていると判定した場合（Ｓ８３：ＹＥＳ）、ステップＳ８４を実行する。
従って、実施の形態３におけるサーバ信号中継処理では、認証データが適正であり、かつ、識別情報がサーバ信号中継テーブルに示されていれば、入出力部４３に入力されたサーバ信号は車内通信部４１，４２の少なくとも１つによって送信される。

図１５は異常検知処理の手順を示すフローチャートである。実施の形態３における中継装置２０の制御部４６は、車両１２のイグニッションスイッチ及びスイッチ５１がオンである場合において、一定の時間間隔で異常検知処理を実行する。実施の形態３における異常検知処理のステップＳ９１〜Ｓ９５，Ｓ９６，Ｓ９７，Ｓ９９〜Ｓ１０３夫々は、実施の形態１における異常検知処理のステップＳ５１〜Ｓ５５，Ｓ５７，Ｓ５８，Ｓ６０〜Ｓ６４と同様である。このため、ステップＳ９１〜Ｓ９５，Ｓ９６，Ｓ９７，Ｓ９９〜Ｓ１０３の詳細な説明を省略する。

実施の形態３における異常検知処理では、制御部４６は、ステップＳ９５を実行した後、異常検知処理を終了する。
また、制御部４６は、ステップＳ９７を実行した後、又は、入力フラグの値がゼロではない、即ち、入力フラグの値が１であると判定した場合（Ｓ１０３：ＮＯ）、切替え部６０に指示してスイッチ５１をオフに切替えさせる（ステップＳ９８）。制御部４６は、ステップＳ９８を実行した後、異常検知処理を終了する。

実施の形態３における異常検知処理では、中継装置２０の制御部４６は、入出力部４３に異常信号が入力された場合、又は、入力フラグの値が１である場合、スイッチ５１をオンからオフに切替え、通信器２３の動作を停止させる。このため、不適当な信号がサーバ１１及びＥＣＵ２１ａ，２１ｂ，２２ａ，２２ｂに送信される確率は低い。

実施の形態３において、中継装置２０の入出力部４３は実施の形態１と同様に通知要求信号を通信器２３に出力し、サーバ１１の制御部３４は、実施の形態１と同様の処理を実行する。従って、中継装置２０の制御部４６は、実施の形態１と同様に、不適当な信号が通信器２３からサーバ１１の無線通信部３１に無線で送信されていることを検知することができる。

なお、実施の形態１〜３において、サーバ側記憶処理において、サーバ１１の制御部３４によって、認証データが適正ではないと判定された場合、識別情報がサーバ信号中継テーブルに示されていないと判定された場合、及び、フォーマットが適正ではないと判定された場合夫々について変数Ｘの値の増加幅は一致していなくてもよい。例えば、制御部３４は、認証データが適正ではないと判定した場合、又は、識別情報がサーバ信号中継テーブルに示されていないと判定した場合に変数Ｘの値を１だけ増加させ、フォーマットが適正ではないと判定した場合に変数Ｘの値を２だけ増加させてもよい。

また、サーバ側記憶処理において、制御部３４は、認証データ、識別情報及びフォーマット夫々について判定を行わなくてもよい。言い換えると、制御部３４はステップＳ３４〜Ｓ３６の全てを実行しなくてもよい。制御部３４は、認証データ、識別情報及びフォーマット中の少なくとも１つの判定を行えばよい。
更に、所定条件は、変数Ｘの値が基準値未満であり、かつ、受信回数が基準回数未満であることに限定されず、無線通信部３１が通信器２３から受信したＥＣＵ信号に関する条件であればよい。所定条件は、変数Ｘの値が基準値未満であることであってもよいし、受信回数が基準回数未満であることであってもよい。

また、第２の所定条件は、認証データが適正であり、かつ、識別情報がサーバ信号中継テーブルに示されていることに限定されず、例えば、識別情報がサーバ信号中継テーブルに示されていることであってもよい。更に、第３の所定条件は、フォーマットが適正であることに限定されない。第２の所定条件及び第３の所定条件夫々はサーバ信号に関する条件であればよい。

更に、サーバ信号中継テーブルに示される識別情報の数は、３に限定されず、１、２又は４以上であってもよい。この場合においても、サーバ信号中継テーブルでは、各識別情報にバス及びフォーマットが対応付けられている。
また、中継装置２０に接続される車内バスの数は、２に限定されず、１又は３以上であってもよい。更に、１本の車内バスに接続されるＥＣＵの数は２に限定されず、１又は３以上であってもよい。

開示された実施の形態１〜３は、全ての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上述の説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

１ 通信システム
１１ サーバ（通信装置）
２０ 中継装置（情報処理装置）
２１ａ，２１ｂ，２２ａ，２２ｂ ＥＣＵ（第２の通信装置）
２３ 通信器
３１ 無線通信部（無線受信部、無線送信部）
３４ 制御部（信号判定部）
４１，４２ 車内通信部（有線送信部）
４３ 入出力部（入力部，出力部）
４６ 制御部（送信判定部）

Claims (6)

1. 通信装置が通信器と無線で通信し、該通信器が受信した信号が、該通信器に接続されている情報処理装置に出力される通信システムにおいて、
   前記通信装置は、
   前記通信器から信号を受信する無線受信部と、
   該無線受信部が前記通信器から受信した信号に関して所定条件が満たされているか否かを判定する信号判定部と、
   該信号判定部の判定結果を示す判定信号を前記通信器に送信する無線送信部と
   を有することを特徴とする通信システム。
2. 前記情報処理装置に接続されている第２の通信装置を備え、
   前記情報処理装置は、
   前記通信器が受信した信号が入力される入力部と、
   該入力部に入力された前記判定信号によって前記所定条件が満たされていることが示されている場合にて、前記入力部に入力された信号が第２の所定条件を満たすとき、該信号を前記第２の通信装置に送信すべきと判定し、前記入力部に入力された前記判定信号によって前記所定条件が満たされていないことが示されている場合にて、前記入力部に入力された信号が第２の所定条件及び第３の所定条件を満たすとき、該信号を前記第２の通信装置に送信すべきと判定する送信判定部と
   を有することを特徴とする請求項１に記載の通信システム。
3. 前記情報処理装置に接続されている第２の通信装置を備え、
   前記情報処理装置は、
   前記通信器が受信した信号が入力される入力部と、
   該入力部に入力された信号を前記第２の通信装置に送信する有線送信部と
   を有し、
   該有線送信部は、前記入力部に入力された前記判定信号によって前記所定条件が満たされていないことが示されている場合、前記入力部に入力された信号の送信を停止すること
   を特徴とする請求項１に記載の通信システム。
4. 前記情報処理装置は、前記通信器が受信した信号が入力される入力部を有し、
   前記情報処理装置は、該入力部に入力された判定信号によって前記所定条件が満たされていないことが示されている場合、前記通信器の動作を停止させること
   を特徴とする請求項１に記載の通信システム。
5. 通信器に接続され、該通信器が無線で外部に送信する信号を該通信器に出力する出力部と、該通信器が無線で受信した信号が入力される入力部とを備える情報処理装置において、
   前記出力部は、前記通信器が送信した信号に関して所定条件が満たされているか否かを示す判定信号の送信を要求する要求信号を前記通信器に出力し、
   前記入力部に入力された信号を有線で送信する有線送信部と、
   該入力部に入力された前記判定信号によって前記所定条件が満たされていることが示されている場合にて、前記入力部に入力された信号が第２の所定条件を満たすとき、該信号を前記有線送信部が送信すべきと判定し、前記入力部に入力された前記判定信号によって前記所定条件が満たされていないことが示されている場合にて、前記入力部に入力された信号が第２の所定条件及び第３の所定条件を満たすとき、該信号を前記有線送信部が送信すべきと判定する送信判定部と
   を備えることを特徴とする情報処理装置。
6. 通信器に接続され、該通信器が無線で外部に送信する信号を該通信器に出力する出力部と、該通信器が無線で受信した信号が入力される入力部とを備える情報処理装置において、
   該入力部に入力された信号を有線で送信する有線送信部を備え、
   前記出力部は、前記通信器が送信した信号に関して所定条件が満たされているか否かを示す判定信号の送信を要求する要求信号を前記通信器に出力し、
   前記有線送信部は、前記入力部に入力された前記判定信号によって前記所定条件が満たされていないことが示されている場合、前記入力部に入力された信号の送信を停止すること
   を特徴とする情報処理装置。

Images