JP6485429B2 - 車載ネットワークシステム - Google Patents

Description

本発明は、車載ネットワークシステムに関する。

従来より、車両の外部の装置、又は、車両の外部から持ち込まれる装置（以下、外部装置）にインターフェイスを介して接続可能なバス（グローバル通信バス）であって、複数の制御装置又はセンサが接続されるバスに接続される運転支援装置がある。この運転支援装置は、バスを介して複数の制御装置又はセンサから供給される情報に基づいて車両の運転支援制御を行う。

また、この運転支援装置は、バスに接続される複数の制御装置又はセンサのうちのいずれかに故障が生じた場合に、故障が生じていない制御装置又はセンサから供給される情報に基づいて運転支援制御を継続するとともに、バスを経由したデータ通信のセキュリティレベルを、いずれの制御装置又はセンサに故障が生じていない場合よりも高くする（例えば、特許文献１参照）。

特開２０１６−０９７７４８号公報

ところで、従来の運転支援装置は、上述のようなバスによって構築されるネットワークに外部装置が接続される場合に、ネットワークにおけるデータ通信のセキュリティレベルを高くすることは行っていない。

外部装置の中には、上述のようなネットワークに接続して問題が生じない外部装置と、問題が生じうる外部装置とがある。近年は、情報技術の発展により、様々な種類の外部装置があるため、問題が生じうる外部装置の数は増えている。問題が生じない外部装置は、例えば、車両の診断装置や車両の製造メーカが承認した純正の装置である。また、問題が生じうる外部装置は、例えば、車両の製造メーカが承認していない非純正の装置である。

このように、問題が生じうる外部装置がバスに接続される場合に、セキュリティレベルを高くしないと、車載のネットワークやネットワークに接続される制御装置等に影響が生じるおそれがある。

また、このような問題は、問題が生じうる外部装置が物理的な回線であるバスに接続される場合に限らず、仮想的な回線に接続される場合においても同様に生じ得る。さらに、このような問題は、問題が生じうる外部装置が物理的に回線に接続される場合に加えて、車載のネットワークが無線通信装置を介して車両の外部のネットワークに接続される場合にも同様に生じ得る。

また、その一方で、ネットワーク全体でデータ通信のセキュリティレベルを常に高くすると、通信に要する時間が増大し、通信速度が低下するおそれがある。

そこで、外部装置が回線に接続される場合や車載のネットワークが車外のネットワークに接続される場合に、セキュリティレベルの確保と、通信速度の低下抑制とを両立した車載ネットワークシステムを提供することを目的とする。

本発明の実施の形態の車載ネットワークシステムは、
複数の第１制御部と、
前記複数の第１制御部にそれぞれ接続される複数の第１回線と、
外部装置又は無線通信装置を接続可能な接続部と、
前記接続部に接続される接続回線と、
前記複数の第１回線を介して前記複数の第１制御部に接続されるとともに、前記接続回線を介して前記接続部に接続され、前記複数の第１回線及び前記接続回線の間を中継する第１中継装置と
を含み、
前記第１中継装置は、
前記接続部に前記外部装置又は前記無線通信装置が接続された状態で、前記外部装置の種類又は前記無線通信装置の通信状態に応じて、前記複数の第１制御部の間でのデータ通信におけるセキュリティレベルを上昇させるかどうかを判定するレベル判定部と、
前記レベル判定部によって前記セキュリティレベルを上昇させると判定されると、前記セキュリティレベルを上昇させる第１レベル設定部と
を有する。

このように、外部装置の種類又は無線通信装置の通信状態に応じて、複数の第１制御部の間でのデータ通信におけるセキュリティレベルを上昇させるかどうかを判定するので、車載ネットワークシステムに影響を与えるような外部装置が接続される場合や、無線通信装置の通信状態の場合に、セキュリティレベルを上昇させることができる。換言すれば、このような状況ではないときには、セキュリティレベルを上昇させずに済む。

従って、外部装置が回線に接続される場合や車載のネットワークが車外のネットワークに接続される場合に、セキュリティレベルの確保と、通信速度の低下抑制とを両立した車載ネットワークシステムを提供することができる。

本発明の他の実施の形態の車載ネットワークシステムでは、
前記第１中継装置は、前記外部装置の種類を判定する種類判定部をさらに有し、
前記レベル判定部は、前記種類判定部によって判定された前記種類に基づいて、前記セキュリティレベルを上昇させるかどうか判定する。

このように、種類判定部を有することで、外部装置が接続される場合に、外部装置の種類をより確実に判定することができる。

従って、レベル判定部は、外部装置が接続される場合に、種類判定部によって判定された外部装置の種類に基づいて、セキュリティレベルを上昇させるかどうかをより確実に判定することができ、セキュリティレベルの確保と、通信速度の低下抑制とを両立した車載ネットワークシステムを提供することができる。

本発明の他の実施の形態の車載ネットワークシステムでは、
前記レベル判定部は、前記種類判定部によって判定された前記種類と、車両の運行状態、又は、車両のイグニッションの状態とに基づいて、前記複数の第１回線におけるセキュリティレベルを上昇させるかどうか判定する。

このように、外部装置が接続される場合に、レベル判定部は、外部装置の種類に加えて、車両の運行状態、又は、車両のイグニッションの状態を考慮して、セキュリティレベルを上昇させるかどうか判定する。

従って、レベル判定部は、外部装置が接続される場合に、外部装置の種類に加えて、車両の運行状態、又は、車両のイグニッションの状態を考慮して、より様々な状況に応じて、セキュリティレベルを上昇させるかどうかを判定することができ、セキュリティレベルの確保と、通信速度の低下抑制とを両立した車載ネットワークシステムを提供することができる。

本発明の他の実施の形態の車載ネットワークシステムでは、
前記レベル判定部は、前記種類判定部によって判定された前記種類が前記セキュリティレベルを上昇させる対象に該当する場合に、前記車両の運行状態が停止状態である場合よりも、前記車両の運行状態が走行状態である場合の方が前記セキュリティレベルが高くなるように、前記セキュリティレベルを上昇させると判定する。

このように、種類判定部によって判定された種類がセキュリティレベルを上昇させる対象に該当する場合において、車両の運行状態が停止状態である場合よりも、走行状態である場合に、セキュリティレベルが高くなるようにする。

従って、車両の走行状態にある場合におけるセキュリティレベルを高くすることにより、走行状態の車両の安全性をより向上させてセキュリティレベルを確保するとともに、通信速度の低下を抑制した車載ネットワークシステムを提供することができる。

本発明の他の実施の形態の車載ネットワークシステムでは、
前記レベル判定部は、前記車両の運行状態が前記停止状態である場合には、前記セキュリティレベルを維持すると判定する。

このように、車両の運行状態が停止状態である場合には、セキュリティレベルを上昇させずに維持することにより、運行状態が停止状態にある場合に、通信容量の大きい通信を可能にすることができ、走行状態におけるセキュリティレベルの確保と、停止状態における通信速度の低下抑制とを両立した車載ネットワークシステムを提供することができる。

本発明の他の実施の形態の車載ネットワークシステムでは、
前記レベル判定部は、前記種類判定部によって判定された前記種類が前記セキュリティレベルを上昇させる対象に該当する場合に、前記車両のイグニッションの状態がオフ又はアクセサリーモードである場合よりも、前記車両のイグニッションの状態がオンである場合の方が前記セキュリティレベルが高くなるように、前記セキュリティレベルを上昇させると判定する。

このように、種類判定部によって判定された種類がセキュリティレベルを上昇させる対象に該当する場合において、車両のイグニッションの状態がオフ又はアクセサリーモードである場合よりも、イグニッションの状態がオンである場合に、セキュリティレベルが高くなるようにする。

従って、イグニッションの状態がオンである場合におけるセキュリティレベルを高くすることにより、イグニッションの状態がオンである車両の安全性をより向上させてセキュリティレベルを確保するとともに、通信速度の低下を抑制した車載ネットワークシステムを提供することができる。

本発明の他の実施の形態の車載ネットワークシステムでは、
前記レベル判定部は、前記車両のイグニッションの状態がオフ又はアクセサリーモードである場合には、前記セキュリティレベルを維持すると判定する。

このように、車両のイグニッションの状態がオフ又はアクセサリーモードである場合には、セキュリティレベルを上昇させずに維持することにより、イグニッションの状態がオフ又はアクセサリーモードにある場合に、通信容量の大きい通信を可能にすることができ、イグニッションの状態がオンの場合におけるセキュリティレベルの確保と、イグニッションの状態がオフ又はアクセサリーモードの場合における通信速度の低下抑制とを両立した車載ネットワークシステムを提供することができる。

本発明の他の実施の形態の車載ネットワークシステムでは、
前記種類判定部は、前記外部装置の種類が正規の外部装置に該当するかどうかを判定し、
前記レベル判定部は、前記種類判定部によって前記正規の外部装置に該当しないと判定された場合に、前記セキュリティレベルを上昇させると判定する。

このように、外部装置が接続される場合に、外部装置の種類に関しては、正規の外部装置であるかどうかでセキュリティレベルを上昇させるかどうかを判定する。

従って、非正規の外部装置が接続される場合にセキュリティレベルを確保し、正規の外部装置が接続される場合に通信速度の低下を抑制した車載ネットワークシステムを提供することができる。

本発明の他の実施の形態の車載ネットワークシステムでは、
前記レベル判定部は、前記種類判定部によって前記正規の外部装置に該当すると判定された場合には、前記セキュリティレベルを維持すると判定する。

すなわち、正規の外部装置が接続される場合には、接続される前とセキュリティレベルは変更されない。

従って、非正規の外部装置が接続される場合にセキュリティレベルを確保し、正規の外部装置が接続される場合に通信速度の低下をより確実に抑制した車載ネットワークシステムを提供することができる。

本発明の他の実施の形態の車載ネットワークシステムでは、
前記レベル判定部は、前記接続部に接続された前記無線通信装置が無線通信を行うときにセキュリティレベルを上昇させる。

このように、無線通信装置が通信を行うときに、セキュリティレベルを上昇させるので、無線通信装置によって接続されるインターネット等の車外のネットワークから車載ネットワークシステムをより効果的に保護することができる。

従って、無線通信装置が通信を行っているときにおけるセキュリティレベルの確保と、無線通信装置が通信を行っていないときにおける通信速度の低下抑制とを両立した車載ネットワークシステムを提供することができる。

本発明の他の実施の形態の車載ネットワークシステムでは、
前記接続部は、前記無線通信装置を接続可能で、前記無線通信装置の通信状態を制御する制御部である。

このため、接続部としての制御部を介して車載ネットワークシステムに接続される無線通信装置の通信状態を制御部によって容易に制御することができ、無線通信装置の通信状態の管理が容易になる。

従って、無線通信装置が通信を行っているときにおけるセキュリティレベルの確保と、無線通信装置が通信を行っていないときにおける通信速度の低下抑制とをより高い次元で両立した車載ネットワークシステムを提供することができる。

本発明の他の実施の形態の車載ネットワークシステムでは、
前記第１中継装置は、ゲートウェイ装置である。

ゲートウェイ装置は、複数のセキュリティレベルでデータ通信の安全性を確保することができる。

従って、外部装置が接続される場合、又は、無線通信装置が通信を行う場合に、ゲートウェイ装置の複数のセキュリティレベルを利用して、セキュリティレベルの確保と、通信速度の低下抑制とを両立した車載ネットワークシステムを提供することができる。

本発明の他の実施の形態の車載ネットワークシステムは、
複数の第２制御部と、
前記複数の第２制御部にそれぞれ接続される複数の第２回線と、
前記複数の第２回線を介して前記複数の第２制御部に接続され、前記複数の第２回線の間を中継する第２中継装置と、
前記第１中継装置及び前記第２中継装置の間を接続する第３回線と
をさらに含み、
前記第２中継装置は、
前記レベル判定部によって前記セキュリティレベルを上昇させると判定されると、前記複数の第２制御部の間でのデータ通信におけるセキュリティレベルを上昇させる第２レベル設定部を有する。

このように、第２中継装置を第１中継装置に接続して、ネットワークをさらに拡大できる。また、第２中継装置に接続される複数の第２回線のセキュリティレベルの設定は、第１中継装置のレベル判定部の判定結果に従うことになる。

従って、第１中継装置及び第２中継装置を有するようなネットワーク環境において、外部装置が回線に接続される場合や車載のネットワークが車外のネットワークに接続される場合に、セキュリティレベルの確保と、通信速度の低下抑制とを両立した車載ネットワークシステムを提供することができる。

外部装置が回線に接続される場合や車載のネットワークが車外のネットワークに接続される場合に、セキュリティレベルの確保と、通信速度の低下抑制とを両立した車載ネットワークシステムを提供することができる。

実施の形態１の車載ネットワークシステム１００を示す図である。車載ネットワークシステム１００は、車両に搭載される。 ゲートウェイＥＣＵ１１０Ａ、１１０Ｂのポート１〜８が所属するＶＬＡＮのグループの割り当てを示すテーブル形式のデータを示す図である。 ゲートウェイＥＣＵ１１０と、Ｌ２スイッチ、Ｌ３スイッチ、及びＬ７スイッチとの機能的な構成を示す図である。 車載ネットワークシステム１００において転送されるデータの経路と、Ｌ２スイッチ、Ｌ３スイッチ、Ｌ７スイッチとの関係を示す図である。 車載ネットワークシステム１００において転送されるデータの経路と、Ｌ２スイッチ、Ｌ３スイッチ、Ｌ７スイッチとの関係を示す図である。 車載ネットワークシステム１００において転送されるデータの経路と、Ｌ２スイッチ、Ｌ３スイッチ、Ｌ７スイッチとの関係を示す図である。 実施の形態１のゲートウェイＥＣＵ１１０の機能ブロックを示す図である。 正規の外部装置のＩＤを格納するテーブル形式のデータを示す図である。 データ通信の形態とスイッチの種類とを紐付けるテーブル形式のデータを示す図である。 実施の形態１のゲートウェイＥＣＵ１１０が実行するフローチャートを示す図である。 実施の形態２の車載ネットワークシステム２００において転送されるデータの経路と、Ｌ２スイッチ、Ｌ３スイッチ、Ｌ７スイッチとの関係を示す図である。 実施の形態２のゲートウェイＥＣＵ１１０が実行するフローチャートを示す図である。

以下、本発明の車載ネットワークシステムを適用した実施の形態について説明する。

＜実施の形態１＞
図１は、実施の形態１の車載ネットワークシステム１００を示す図である。車載ネットワークシステム１００は、車両に搭載される。

車載ネットワークシステム１００は、ゲートウェイＥＣＵ(Electronic Control Unit)１１０Ａ、１１０Ｂ、ＥＣＵ１２１、１２２、１２３、１２４、１２５、１２６、１２７、１２８、回線１３１、１３２、１３３、１３４、１３５、１３６、１３７、１３８、１３９、１４１、及び、ＤＬＣ(Data Link Connector)１４０を含む。また、ＥＣＵ１２１、１２２には、それぞれ、センサ１５１、１５２が接続されており、ＥＣＵ１２３には、スイッチ１５３が接続されている。

車載ネットワークシステム１００は、一例として、通信プロトコルとしてEthernetプロトコルを用いている。回線１３１、１３２、１３３、１３４、１３５、１３６、１３７、１３８、１３９、１４１は、物理的なバスを示すものではなく、EthernetプロトコルによるＶＬＡＮ(Virtual Local Area Network)１３０Ａ、１３０Ｂ、１３０Ｃを構築する仮想的な回線である。

ＶＬＡＮ１３０Ａは、回線１３１、１３２、１３３、１３４、１３５、１３６、１３９によって構築され、ゲートウェイＥＣＵ１１０Ａ、１１０Ｂ、及び、ＥＣＵ１２１〜１２６が接続される。ＶＬＡＮ１３０Ｂは、回線１３７、１３８によって構築され、ゲートウェイＥＣＵ１１０Ｂ、及び、ＥＣＵ１２７、１２８が接続される。ＶＬＡＮ１３０Ｃは、回線１４１によって構築され、ゲートウェイＥＣＵ１１０Ａ、及び、ＤＬＣ１４０が接続される。

ここで、一例として、回線１３１〜１３９は、標準のEthernet規格に対応した回線であり、回線１４１は、Fast Ethernet規格に対応した回線である。回線１３１〜１３３は、第１回線の一例であり、回線１３４〜１３８は、第２回線の一例である。回線１３９は、第３回線の一例であり、回線１４１は、接続回線の一例である。

ゲートウェイＥＣＵ１１０Ａ、１１０Ｂは、それぞれ、一例として、ＣＰＵ(Central Processing Unit)、ＲＡＭ(Random Access Memory)、ＲＯＭ(Read Only Memory)、クロック生成部、入出力インターフェース、通信インターフェース、送受信部、及び内部バス等を含むコンピュータによって実現される。

ゲートウェイＥＣＵ１１０Ａ、１１０Ｂは、一例として、８つのポート１〜８を有し、いずれかのポートに入力されるデータを他のいずれかのポートに中継するネットワークの中継装置である。ゲートウェイＥＣＵ１１０Ａは、第１中継装置の一例であり、ゲートウェイＥＣＵ１１０Ｂは、第２中継装置の一例である。ゲートウェイＥＣＵ１１０Ａは、メインのゲートウェイ装置として機能し、ゲートウェイＥＣＵ１１０Ｂは、サブのゲートウェイ装置として機能する。ゲートウェイＥＣＵ１１０Ａ、１１０Ｂの内部構成については、図７を用いて後述する。

ゲートウェイＥＣＵ１１０Ａ、１１０Ｂがそれぞれ有するポート１〜８は、物理的なポートではなく、仮想的なポートである。なお、仮想的なポートの数は、複数であれば、幾つであってもよい。

ゲートウェイＥＣＵ１１０Ａ、１１０Ｂは、一例として、Ｌ７スイッチによるデータ転送処理のほかに、Ｌ３スイッチ又はＬ２スイッチによるデータ転送処理を行うことができる。ゲートウェイＥＣＵ１１０Ａ、１１０Ｂは、それぞれ、いずれのスイッチを使うかを切り替えることができる。なお、このようなゲートウェイＥＣＵ１１０Ａ、１１０ＢをハブＥＣＵとして捉えることもできる。

ここで、Ｌ７スイッチとは、ＯＳＩ(Open Systems Interconnection)参照モデルのレイヤ7（アプリケーション層）に相当するアプリケーションレベルのプロトコル（利用規約）情報を調べてパケットの転送処理を行うスイッチのことである。Ｌ７スイッチは、ソフトウェア的にスイッチングを行う。

また、Ｌ３スイッチとは、ＯＳＩ参照モデルにおけるレイヤ３（ネットワーク層）においてパケットの送信先アドレスを振り分ける仕組みを持ったスイッチのことであり、ソフトウェア的にスイッチングを行う。Ｌ３スイッチでは、転送プロトコルにＩＰ(Internet Protocol)を用いる。なお、Ｌ３スイッチは、ハードウェア的にスイッチングを行うものであってもよい。

また、Ｌ２スイッチとは、ＯＳＩ参照モデルにおけるレイヤ２（データリンク層）において、データに宛先情報として含まれるＭＡＣ（Media Access Control）アドレスで中継先を判断し、中継動作を行うスイッチのことである。Ｌ２スイッチは、ハードウェア的に
スイッチングを行う。

ゲートウェイＥＣＵ１１０Ａは、ポート１、２、３に、それぞれ、回線１３１、１３２、１３３を介してＥＣＵ１２１、１２２、１２３が接続され、ポート５に回線１３９を介してゲートウェイＥＣＵ１１０Ｂが接続され、ポート７に回線１４１を介してＤＬＣ１４０が接続されている。

ゲートウェイＥＣＵ１１０Ｂは、ポート２、３、４に、それぞれ、回線１３４、１３５、１３６を介してＥＣＵ１２４、１２５、１２６が接続され、ポート５、６に、それぞれ、回線１３７、１３８を介してＥＣＵ１２７、１２８が接続され、ポート８に回線１３９を介してゲートウェイＥＣＵ１１０Ａが接続されている。

ＥＣＵ１２１、１２２、１２３、１２４、１２５、１２６、１２７、１２８は、車両の各種制御を行う制御部の一例である。ＥＣＵ１２１〜１２８は、それぞれ、一例として、ＣＰＵ、ＲＡＭ、ＲＯＭ、クロック生成部、入出力インターフェース、通信インターフェース、送受信部、及び内部バス等を含むコンピュータによって実現される。

ＥＣＵ１２１〜１２８の各々は、例えば、エンジンＥＣＵ、ブレーキＥＣＵ、ステアリングＥＣＵ、トランスミッションＥＣＵ、ボディＥＣＵ、メータＥＣＵ、エアコンＥＣＵ、ＰＣＳ(Pre-Crash Safety)−ＥＣＵ、又は、ＬＫＡ(Lane Keeping Assist)−ＥＣＵ等の各種ＥＣＵのうちのいずれかである。

なお、図１には、一例として、センサ１５１、１５２が接続されており、ＥＣＵ１２３には、スイッチ１５３が接続されている。センサ１５１、１５２は、例えば、車速センサ、シフトポジションセンサ、ステアリングの舵角センサ等の車両に搭載される種々のセンサである。また、スイッチは、例えば、イグニッションスイッチのようにＥＣＵに接続される種々のスイッチである。ＥＣＵ１２３〜１２８のうちの任意のものにもこのようなセンサ又はスイッチが接続されていてもよい。

なお、ＨＶ(Hybrid Vehicle)車、ＥＶ(Electric Vehicle)、及び燃料電池車（ＦＣＶ:Fuel Cell Vehicle）の場合には、エンジンＥＣＵの代わりに、それぞれ、エンジン又は駆動用モータの出力を制御するＨＶ−ＥＣＵ、及び、駆動用モータの出力を制御するＥＶ−ＥＣＵを用いればよい。ＥＣＵ１２１〜１２８に該当するＥＣＵの種類は、車両の動力源（エンジン、ＨＶ、ＥＶ、ＦＣＶ等）によって異なる。

回線１３１、１３２、１３３、１３４、１３５、１３６、１３７、１３８、１３９、１４１は、上述のように、EthernetプロトコルによるＶＬＡＮ１３０Ａ、１３０Ｂ、１３０Ｃを構築する仮想的な回線である。なお、ゲートウェイＥＣＵ１１０Ａ、１１０Ｂ、ＥＣＵ１２１、１２２、１２３、１２４、１２５、１２６、１２７、１２８、及び、ＤＬＣ１４０の間は、図示しない物理的なバスによって接続されており、物理的なバスの中でＶＬＡＮ１３０Ａ、１３０Ｂ、１３０Ｃが実現されている。

回線１３１、１３２、１３３、１３４、１３５、１３６、１３９は、ＶＬＡＮ１３０Ａに含まれ、回線１３７、１３８は、ＶＬＡＮ１３０Ｂに含まれ、回線１４１は、ＶＬＡＮ１３０Ｃに含まれる。

ＤＬＣ１４０は、マルチピン形式のコネクタであり、接続部の一例である。ＤＬＣ１４０は、ＩＳＯ又はＩＥＣ等の規格に準拠したコネクタであり、車両の正規の診断装置（diagnostic device）、又は、正規のデータロガー等を接続するために設けられている。

ここで、正規であることとは、車両の製造メーカの認証を取得していることであり、製造メーカの純正のものであること、又は、ＯＥＭ(Original Equipment Manufacturer)によるものであることをいう。また、非正規とは、正規ではないことをいう。

ＤＬＣ１４０は、ＩＳＯ又はＩＥＣ等の規格に準拠したコネクタであるため、正規の外部装置に限らず、非正規の外部装置等を接続することも可能である。例えば、車両関連製品を取り扱う量販店で市販されているような汎用のデータロガーや種々の装置を接続することができる。

正規の外部装置は、製造メーカの認証を取得しているため、ＤＬＣ１４０に接続しても、車載ネットワークシステム１００に悪影響を及ぼすおそれはないが、非正規の外部装置は、ＤＬＣ１４０に接続すると、車載ネットワークシステム１００に悪影響を及ぼすおそれがある。

図２は、ゲートウェイＥＣＵ１１０Ａ、１１０Ｂのポート１〜８が所属するＶＬＡＮのグループの割り当てを示すテーブル形式のデータを示す図である。ＶＬＡＮのグループとは、ここでは、３つのグループに分けられたＶＬＡＮ１３０Ａ、１３０Ｂ、１３０Ｃのことである。各ポート（１〜８）をどのグループのＶＬＡＮに所属させるかは、ゲートウェイＥＣＵ１１０Ａ、１１０Ｂが決定する。

ゲートウェイＥＣＵ１１０Ａ用のデータに示すように、ゲートウェイＥＣＵ１１０Ａのポート１〜３、５の接続先は、ＶＬＡＮ１３０Ａになっており、ポート７の接続先は、ＶＬＡＮ１３０Ｃになっている。また、ゲートウェイＥＣＵ１１０Ｂ用のデータに示すように、ゲートウェイＥＣＵ１１０Ｂのポート２〜４、８の接続先は、ＶＬＡＮ１３０Ａになっており、ポート５、６の接続先は、ＶＬＡＮ１３０Ｂになっている。

なお、図２に示すゲートウェイＥＣＵ１１０Ａのポート４、６、８と、ゲートウェイＥＣＵ１１０Ｂのポート１、７とは、ＶＬＡＮ（１３０Ａ又は１３０Ｂ等）には割り当てられていないが、ＥＣＵ等が接続される場合には、ゲートウェイＥＣＵ１１０Ａ、１１０Ｂによって、ＶＬＡＮ１３０Ａ、１３０Ｂ、１３０Ｃのいずれかに割り当てられるか、又は、ＶＬＡＮ１３０Ａ、１３０Ｂ、１３０Ｃとは別の新たなＶＬＡＮに割り当てられる。

図３は、ゲートウェイＥＣＵ１１０と、Ｌ２スイッチ、Ｌ３スイッチ、及びＬ７スイッチとの機能的な構成を示す図である。図１に示すゲートウェイＥＣＵ１１０Ａ、１１０Ｂは、互いに等しい構成を有するため、図３ではゲートウェイＥＣＵ１１０として示す。

また、図３には、説明の便宜上、左側から右側にかけて（図３（Ａ）から図３（Ｄ）にかけて）、ゲートウェイＥＣＵ１１０、Ｌ２スイッチ、Ｌ３スイッチ、及びＬ７スイッチを並べて示す。

また、図３（Ｂ）〜（Ｄ）に示すＬ２スイッチ、Ｌ３スイッチ、及びＬ７スイッチには、ＥＣＵ１、２が接続されており、ＥＣＵ１からＬ２スイッチ、Ｌ３スイッチ、及びＬ７スイッチを経てＥＣＵ２にデータが転送される様子を説明する。ＥＣＵ１、２は、ＥＣＵ１２１〜１２８と同様のＥＣＵである。

図３（Ａ）に示すように、ゲートウェイＥＣＵ１１０は、ＯＳＩ７階層（レイヤ１〜７）として、物理層（レイヤ１）、データリンク層（レイヤ２）、ネットワーク層（レイヤ３）、トランスポート層（レイヤ４）、セッション層（レイヤ５）、プレゼンテーション層（レイヤ６）、アプリケーション層（レイヤ７）を有する。

各レイヤで用いるプロトコルは、物理層（レイヤ１）、Ethernetプロトコル（レイヤ２）、インターネットプロトコル（ＩＰ）（レイヤ３）、ＴＣＰ(Transmission Control Protocol)及びＵＤＰ(User Datagram Protocol)（レイヤ４）、ＨＴＴＰ(Hypertext Transfer Protocol)及びＴＬＳ(Transport Layer Security)等（レイヤ５〜７）である。

また、各レイヤで用いるアドレスは、ＭＡＣアドレス（レイヤ２）、ＩＰアドレス（レイヤ３）、ＴＣＰポート及びＵＤＰポート（レイヤ４）である。

図３（Ｂ）に示すように、Ｌ２スイッチでは、破線の矢印で示すように、ＥＣＵ１から出力されるデータは、物理層からデータリンク層でＭＡＣアドレスが参照され、ＥＣＵ２に対応したデータリンク層に渡り、ＥＣＵ２に対応した物理層を経てＥＣＵ２に転送される。

図３（Ｃ）に示すように、Ｌ３スイッチでは、破線の矢印で示すように、ＥＣＵ１から出力されるデータは、物理層からデータリンク層でＭＡＣアドレスが参照され、ネットワーク層でＩＰアドレスが参照され、ＥＣＵ２に対応したネットワーク層に渡り、ＥＣＵ２に対応したデータリンク層及び物理層を経てＥＣＵ２に転送される。

図３（Ｄ）に示すように、Ｌ７スイッチでは、破線の矢印で示すように、ＥＣＵ１から出力されるデータは、物理層からデータリンク層でＭＡＣアドレスが参照され、ネットワーク層でＩＰアドレスが参照され、トランスポート層、セッション層、プレゼンテーション層で、ＴＣＰ及びＵＤＰ、ＨＴＴＰ及びＴＬＳが参照され、アプリケーション層の中継アプリケーションによって、ＥＣＵ２側に中継され、プレゼンテーション層、セッション層、トランスポート層、ネットワーク層、データリンク層、物理層を経てＥＣＵ２に転送される。

以上のように、Ｌ２スイッチは、データリンク層（レイヤ２）でデータが転送されるため、Ｌ２スイッチ、Ｌ３スイッチ、Ｌ７スイッチのうちでは、転送処理に要する時間が最も短い（転送処理が速い）が、セキュリティレベルは最も低い。

また、Ｌ７スイッチは、アプリケーション層（レイヤ７）でデータが転送されるため、Ｌ２スイッチ、Ｌ３スイッチ、Ｌ７スイッチのうちでは、転送処理に要する時間が最も長いが、セキュリティレベルは最も高い。

また、Ｌ３スイッチは、ネットワーク層（レイヤ３）（レイヤ２）でデータが転送されるため、Ｌ２スイッチの次に転送処理に要する時間が短いが、セキュリティレベルはＬ７スイッチよりも低い。

ゲートウェイＥＣＵ１１０Ａ、１１０Ｂは、このようなＬ２スイッチ、Ｌ３スイッチ、及びＬ７スイッチの切り替えを行うことができる。

次に、図４乃至図６を用いて、車載ネットワークシステム１００のＶＬＡＮ１３０Ａ、１３０Ｂ、１３０Ｃのセキュリティレベルについて説明する。ＶＬＡＮ１３０Ａ、１３０Ｂ、１３０Ｃのセキュリティレベルは、ゲートウェイＥＣＵ１１０Ａ及び１００Ｂのうちのいずれか一方が設定すればよいが、ここでは、ゲートウェイＥＣＵ１１０Ａが設定することとして説明する。

図４は、車載ネットワークシステム１００において転送されるデータの経路と、Ｌ２スイッチ、Ｌ３スイッチ、Ｌ７スイッチとの関係を示す図である。図４では、ＤＬＣ１４０に何も接続されていない。

矢印（Ａ）で示すように、ＥＣＵ１２２からＥＣＵ１２３にデータが転送される場合には、データは、ＥＣＵ１２２から回線１３２、ゲートウェイＥＣＵ１１０Ａ、回線１３３を経てＥＣＵ１２３に転送される。このようなデータの経路は、ＶＬＡＮ１３０Ａの内部で完結しており、ＶＬＡＮ１３０Ａの外部を通ることはない。

このように、１つのＶＬＡＮ（１３０Ａ又は１３０Ｂ）の中でＥＣＵ（１２１〜１２８）がデータを転送する際には、転送処理が最も速いＬ２スイッチを用いる。１つのＶＬＡＮ（１３０Ａ又は１３０Ｂ）の中でのデータの転送は、セキュリティレベルよりも転送速度を優先させたいからである。なお、１つのＶＬＡＮ（１３０Ａ又は１３０Ｂ）の中であれば、ゲートウェイＥＣＵ１１０Ａ、１１０Ｂを跨いでも、Ｌ２スイッチによって転送される。

矢印（Ｂ）で示すように、ＥＣＵ１２５からＥＣＵ１２７にデータが転送される場合には、データは、ＥＣＵ１２５から回線１３５、ゲートウェイＥＣＵ１１０Ｂ、回線１３７を経てＥＣＵ１２７に転送される。このようなデータの経路は、ＶＬＡＮ１３０ＡとＶＬＡＮ１３０Ｂを跨いでいる。

このように、ＶＬＡＮ（１３０Ａ、１３０Ｂ）を跨いでＥＣＵ（１２１〜１２８）がデータを転送する際には、Ｌ３スイッチを用いる。

図５は、車載ネットワークシステム１００において転送されるデータの経路と、Ｌ２スイッチ、Ｌ３スイッチ、Ｌ７スイッチとの関係を示す図である。図５では、ＤＬＣ１４０に、診断装置(DIAGNOSIS TOOL)５００が接続されている。診断装置５００は、正規の外部装置の一例である。

正規の外部装置である診断装置５００がＤＬＣ１４０に接続されても、システムのセキュリティ耐性は低下しないと考えられる。正規の外部装置は、セキュリティ面での安全性が確認されているものだからである。

このため、ＤＬＣ１４０に正規の外部装置である診断装置５００が接続されている場合には、矢印（Ａ）で示すように、１つのＶＬＡＮ（１３０Ａ又は１３０Ｂ）の中でＥＣＵ（１２１〜１２８）がデータを転送する際には、転送処理が最も速いＬ２スイッチを用いる。図５には、ＥＣＵ１２２と１２３との間に、矢印（Ａ）を示す。また、矢印（Ｂ）で示すように、ＶＬＡＮ（１３０Ａ、１３０Ｂ）を跨いでＥＣＵ（１２１〜１２８）がデータを転送する際には、Ｌ３スイッチを用いる。図５には、ＥＣＵ１２５と１２７との間に、矢印（Ｂ）を示す。

すなわち、１つのＶＬＡＮ（１３０Ａ又は１３０Ｂ）の中でＥＣＵ（１２１〜１２８）のデータの転送処理と、ＶＬＡＮ（１３０Ａ、１３０Ｂ）を跨いだＥＣＵ（１２１〜１２８）のデータの転送とは、ＤＬＣ１４０に何も接続されていない状態（図４参照）と同様に行われる。

また、矢印（Ｃ）で示すように、ＥＣＵ１２１とＤＬＣ１４０に接続される診断装置５００との間でデータが転送される場合には、データは、回線１３１、ゲートウェイＥＣＵ１１０Ａ、回線１４１を経て、ＥＣＵ１２１と診断装置５００との間で転送される。診断装置５００は、正規の外部装置であり、外部装置（車両の外部の装置（機器）、又は、車両の外部から持ち込まれる装置（機器））の一例である。すなわち、この場合には、ＥＣＵ１２１は、正規の外部装置である診断装置５００に接続される。

このように、ＥＣＵ（１２１〜１２８）と正規の外部装置との間でデータを転送する場合には、最もセキュリティレベルが高いＬ７スイッチを用いる。強固なセキュリティレベル対策が必要だからである。なお、このようにＬ７スイッチを用いることは、診断装置５００以外の正規の外部装置がＤＬＣ１４０に接続された場合にも同じである。

図６は、車載ネットワークシステム１００において転送されるデータの経路と、Ｌ２スイッチ、Ｌ３スイッチ、Ｌ７スイッチとの関係を示す図である。図６では、ＤＬＣ１４０に、非正規の外部装置５０１が接続されている。非正規の外部装置５０１も外部装置である。

このように、ＤＬＣ１４０に非正規の外部装置５０１が接続される場合には、車載ネットワークシステム１００は、セキュリティレベルを高くする。非正規の外部装置５０１は、診断装置５００等のような正規の外部装置に比べると、車載ネットワークシステム１００に悪影響を及ぼす可能性があるからである。

矢印（Ａ）で示すように、ＥＣＵ１２２とＥＣＵ１２３との間でＶＬＡＮ１３０Ａの内部でデータが転送される場合には、Ｌ３スイッチを利用する。図５の矢印（Ａ）で示すように、ＤＬＣ１４０に正規の外部装置（例えば、診断装置５００）が接続される場合において、同一ＶＬＡＮ（１３０Ａ又は１３０Ｂ）内でデータを転送する際には、Ｌ２スイッチ（図５参照）を利用するが、図６の矢印（Ａ）で示すように、ＤＬＣ１４０に非正規の外部装置５０１が接続される場合において、同一ＶＬＡＮ（１３０Ａ又は１３０Ｂ）内でデータを転送する際には、セキュリティレベルがより高いＬ３スイッチを利用する。非正規の外部装置５０１に対応して、セキュリティレベルを高めるためである。

矢印（Ｂ）で示すように、ＥＣＵ１２５とＥＣＵ１２７との間でデータが転送される場合には、Ｌ７スイッチを用いる。図５の矢印（Ｂ）で示すように、ＤＬＣ１４０に正規の外部装置（例えば、診断装置５００）が接続される場合において、ＶＬＡＮ（１３０Ａ、１３０Ｂ）を跨いでデータを転送する際には、Ｌ３スイッチを利用するが、図６の矢印（Ｂ）で示すように、ＤＬＣ１４０に非正規の外部装置５０１が接続される場合において、ＶＬＡＮ（１３０Ａ、１３０Ｂ）を跨いでデータを転送する際には、セキュリティレベルが最も高いＬ７スイッチを用いる。非正規の外部装置５０１に対応して、セキュリティレベルを高めるためである。

なお、矢印（Ｃ）で示すように、ＥＣＵ１２１とＤＬＣ１４０に接続される非正規の外部装置５０１との間でデータが転送される場合には、最もセキュリティレベルが高いＬ７スイッチを用いる。最も高いレベルのセキュリティ対策が必要だからである。これは、ＥＣＵ１２２〜１２８とＤＬＣ１４０に接続される非正規の外部装置５０１との間でデータが転送される場合も同様である。

図７は、実施の形態１のゲートウェイＥＣＵ１１０Ａ、１１０Ｂの機能ブロックを示す図である。図８は、正規の外部装置のＩＤを格納するテーブル形式のデータを示す図である。図８に示すテーブル形式のデータは、一例として、ゲートウェイＥＣＵ１１０ＡのＲＯＭ等の内部メモリに格納されている。図７（Ａ）に示すゲートウェイＥＣＵ１１０Ａは、ＶＬＡＮ１３０Ａ、１３０Ｂ、１３０Ｃのセキュリティレベルを設定するため、まず、ゲートウェイＥＣＵ１１０Ａについて説明する。

ゲートウェイＥＣＵ１１０Ａは、主制御部１１１Ａ、種類判定部１１２Ａ、レベル判定部１１３Ａ、及びレベル設定部１１４Ａを有する。

主制御部１１１Ａは、ゲートウェイＥＣＵ１１０Ａの処理を統括する制御部である。主制御部１１１Ａは、種類判定部１１２Ａ、レベル判定部１１３Ａ、及びレベル設定部１１４Ａが行う処理以外のゲートウェイＥＣＵ１１０Ａの処理を行う。

種類判定部１１２Ａは、ＤＬＣ１４０に接続される外部装置の種類を判定する。種類判定部１１２Ａは、例えば、ＤＬＣ１４０を介して外部装置から転送されるＩＤを図８に示す正規の外部装置のＩＤ(XXX001)と照合して、一致するＩＤが存在するかどうかで、外部装置の種類を判定する。ＤＬＣ１４０を介して外部装置からＩＤが転送されることは、今まで通信していなかった回線１４１を介してゲートウェイＥＣＵ１１０ＡがＩＤを入手することになる。

外部装置から転送されるＩＤが図８に示すテーブル形式のデータに存在すれば、正規の外部装置であり、存在しなければ非正規の装置であることになる。このように、種類判定部１１２Ａは、ＤＬＣ１４０に接続される外部装置が正規の外部装置、又は、非正規の装置のいずれであるかを判定することができる。

なお、ここでは、一例として、図８に示すテーブル形式のデータを用いて照合を行うことによって外部装置の種類を判定する形態について説明するが、ＩＤの代わりに、公開鍵等を用いてもよい。

また、正規の外部装置はＤＬＣ１４０に接続されるとＩＤを送信するように設定しておけば、非正規の外部装置がＤＬＣ１４０に接続された場合には、ＩＤが送信されないことによってＤＬＣ１４０に非正規の外部装置が接続されたことを判定することができる。

レベル判定部１１３Ａは、ＤＬＣ１４０に外部装置が接続された状態で、種類判定部１１２Ａによって判定される外部装置の種類に応じて、ＥＣＵ１２１〜１２８が回線１３１〜１３９を通じて行うデータ通信のセキュリティレベルを上昇させるかどうか判定する。

レベル判定部１１３Ａは、種類判定部１１２Ａによって判定される外部装置の種類の種類が正規の外部装置である場合には、セキュリティレベルを維持すると判断する。セキュリティレベルを維持するとは、セキュリティレベルを上昇させずに、現状のセキュリティレベルに保持することである。また、レベル判定部１１３Ａは、種類判定部１１２Ａによって判定される外部装置の種類の種類が非正規の外部装置である場合には、セキュリティレベルを上昇させると判断する。

レベル設定部１１４Ａは、レベル判定部１１３Ａによってセキュリティレベルを維持すると判断されると、現状のセキュリティレベルを保持する。また、レベル設定部１１４Ａは、レベル判定部１１３Ａによってセキュリティレベルを上昇させると判断されると、現状のセキュリティレベルから、セキュリティレベルを上昇させる。レベル設定部１１４Ａは、第１レベル設定部の一例である。

ゲートウェイＥＣＵ１１０Ｂは、主制御部１１１Ｂ及びレベル設定部１１４Ｂを有する。ゲートウェイＥＣＵ１１０Ｂは、回線１３９（図１、４〜６参照）を介してゲートウェイＥＣＵ１１０Ａと接続されており、ゲートウェイＥＣＵ１１０Ａとデータ通信を行う。ゲートウェイＥＣＵ１１０Ｂは、ＶＬＡＮ１３０Ａ、１３０Ｂのセキュリティレベルの設定に関しては、ゲートウェイＥＣＵ１１０Ａに従属する形で制御を行う。

主制御部１１１Ｂは、ゲートウェイＥＣＵ１１０Ｂの処理を統括する制御部であり、レベル設定部１１４Ｂが行う処理以外のゲートウェイＥＣＵ１１０Ｂの処理を行う。

レベル設定部１１４Ｂは、レベル設定部１１４Ａと同様の動作を行う。すなわち、レベル設定部１１４Ｂは、レベル判定部１１３Ａによってセキュリティレベルを維持すると判断されると、現状のセキュリティレベルを保持する。また、レベル設定部１１４Ａは、レベル判定部１１３Ａによってセキュリティレベルを上昇させると判断されると、現状のセキュリティレベルから、セキュリティレベルを上昇させる。レベル設定部１１４Ｂは、第２レベル設定部の一例である。

図９は、データ通信の形態とスイッチの種類とを紐付けるテーブル形式のデータを示す図である。データ通信の形態とは、同一のＶＬＡＮの内部でデータ通信を行う形態、ＶＬＡＮを跨いでデータ通信を行う形態、ＶＬＡＮ１３０Ｃの内部でデータ通信を行う形態等であり、データ通信を行う場合のＶＬＡＮの利用形態を表す。スイッチの種類は、Ｌ２スイッチ、Ｌ３スイッチ、及びＬ７スイッチを示す。

また、通常時とは、セキュリティレベルを上昇させずに維持するとレベル判定部１１３Ａによって判断される場合、又は、ＤＬＣ１４０に外部機器が接続されない状態においてセキュリティレベルが上昇されずに維持される場合であり、上昇時とは、レベル判定部１１３Ａによってセキュリティレベルを上昇させると判断される場合である。

ここでは、一例として、通常時に同一のＶＬＡＮの内部で行うデータ通信では、Ｌ２スイッチを利用し、上昇時にはＬ３スイッチを利用する。また、通常時にＶＬＡＮを跨いで行うデータ通信では、Ｌ３スイッチを利用し、上昇時にはＬ７スイッチを利用する。また、ＤＬＣ１４０が接続されるＶＬＡＮ１３０Ｃの内部で行うデータ通信では、通常時及び上昇時ともにＬ７スイッチを利用する。なお、図９には、３つの形態におけるスイッチの種類を示すが、さらに多くの形態とスイッチの種類とを紐付けたデータを含んでもよい。

図１０は、実施の形態１のゲートウェイＥＣＵ１１０Ａが実行するフローチャートを示す図である。ゲートウェイＥＣＵ１１０Ａは、所定の制御周期毎に、図１０に示す処理を実行する。

主制御部１１１Ａは、処理をスタートする（スタート）。主制御部１１１Ａは、例えば、車両のイグニッションスイッチがオンにされたときに、処理をスタートする。

種類判定部１１２Ａは、ＤＬＣ１４０に外部装置が接続されたかどうかを判定する（ステップＳ１）。

種類判定部１１２Ａは、ＤＬＣ１４０に外部装置が接続された（Ｓ１：ＹＥＳ）と判定すると、接続された外部装置の種類を判定する（ステップＳ２）。

レベル判定部１１３Ａは、種類判定部１１２Ａによって判定された外部装置の種類に基づいて、セキュリティレベルを上昇させるかどうかを判定する（ステップＳ３）。セキュリティレベルを上昇させるのは、外部装置の種類が非正規の外部装置５０１（図６参照）であることを示す場合である。

ステップＳ３においてレベル判定部１１３Ａがセキュリティレベルを上昇させる（Ｓ３：ＹＥＳ）と判定すると、レベル設定部１１４Ａは、セキュリティレベルを上昇させる（ステップＳ４）。また、ステップＳ４の処理をレベル設定部１１４Ａが実行する際には、レベル設定部１１４Ｂもレベル判定部１１３Ａからの指令を受けて、セキュリティレベルを上昇させる。

ステップＳ４の処理により、同一ＶＬＡＮ（１３０Ａ又は１３０Ｂ）内でデータを転送する際には、データ通信におけるセキュリティレベルを上昇させるために、Ｌ２スイッチからＬ３スイッチに切り替えられる。同様に、ＶＬＡＮ（１３０Ａ、１３０Ｂ）を跨いでデータを転送する際には、Ｌ３スイッチからＬ７スイッチに切り替えられる。

主制御部１１１Ａは、処理を終了するかどうかを判定する（ステップＳ５）。主制御部１１１Ａは、例えば、車両のイグニッションスイッチがオフにされたときに、処理を終了すると判定する。

主制御部１１１Ａは、処理を終了する（Ｓ５：ＹＥＳ）と判定すると、一連の処理を終了する（エンド）。主制御部１１１Ａは、例えば、車両のイグニッションスイッチがオフにされたときに、処理を終了する。

また、ステップＳ１において、種類判定部１１２ＡがＤＬＣ１４０に外部装置が接続されていない（Ｓ１：ＮＯ）と判定すると、レベル判定部１１３Ａは、セキュリティレベルが上昇中であるかどうかを判定する（ステップＳ６）。ステップＳ１において外部装置が接続されていないと判定される場合には、前回の制御周期における処理のときから引き続いてＤＬＣ１４０に外部装置が接続されていない場合と、外部装置がＤＬＣ１４０から取り外された場合とがある。

ステップＳ６において、セキュリティレベルが上昇中である（Ｓ６：ＹＥＳ）とレベル判定部１１３Ａが判定すると、レベル設定部１１４Ａは、セキュリティレベルを元に戻す（ステップＳ７）。すなわち、レベル設定部１１４Ａは、上昇していたセキュリティレベルを上昇前の元のセキュリティレベルに低下させる。セキュリティレベルを上昇させる必要がないからである。また、ステップＳ７の処理をレベル設定部１１４Ａが実行する際には、レベル設定部１１４Ｂもレベル判定部１１３Ａからの指令を受けて、セキュリティレベルを低下させる。

例えば、ＤＬＣ１４０に非正規の外部装置５０１が接続されてセキュリティレベルが上昇された後に、非正規の外部装置５０１がＤＬＣ１４０から取り外された場合に、セキュリティレベルが元のレベルに戻される。ステップＳ７の処理が終了すると、主制御部１１１Ａは、フローをステップＳ５に進行させる。

また、ステップＳ３において、レベル判定部１１３Ａがセキュリティレベルを維持する（Ｓ３：ＮＯ）と判定すると、主制御部１１１ＡはフローをステップＳ５に進行させる。

また、ステップＳ６において、セキュリティレベルが上昇中ではない（Ｓ６：ＮＯ）とレベル判定部１１３Ａが判定すると、主制御部１１１Ａは、フローをステップＳ５に進行させる。

以上のように、実施の形態１の車載ネットワークシステム１００は、ＤＬＣ１４０に非正規の外部装置５０１が接続されると、データ通信におけるセキュリティレベルを上昇させるために、Ｌ２スイッチを利用したデータ通信をＬ３スイッチを利用したデータ通信に切り替えるとともに、Ｌ３スイッチを利用したデータ通信をＬ７スイッチを利用したデータ通信に切り替える。

このようにデータ通信におけるセキュリティレベルを上昇させることにより、ＤＬＣ１４０に非正規の外部装置５０１が接続されて、非正規の外部装置５０１が車載ネットワークシステム１００に悪影響を及ぼすおそれがあるような場合に、車載ネットワークシステム１００を不測の事態から守ることができる。

また、ＤＬＣ１４０に何も接続されていない場合と、ＤＬＣ１４０に正規の外部装置が接続されている場合とには、データ通信におけるセキュリティレベルを上昇させずに保持（維持）するため、通信速度が低下することはなく、迅速なデータ通信が可能である。

従って、実施の形態１によれば、外部装置がＤＬＣ１４０に接続される場合に、セキュリティレベルの確保と、通信速度の低下抑制とを両立した車載ネットワークシステム１００を提供することができる。

なお、以上では、ＤＬＣ１４０に接続される正規の外部装置が診断装置５００である形態について説明した。しかしながら、正規の外部装置は、製造メーカの認証を受けた装置であれば、診断装置５００以外の装置（サーバ等）であってもよい。

また、以上では、ＤＬＣ１４０に接続される外部装置が正規の外部装置又は非正規の外部装置のいずれであるかを判定し、非正規の外部装置である場合にセキュリティレベルを上昇させる形態について説明した。

しかしながら、例えば、車両が走行中であるかどうかを判定し、走行中ではない場合には、ＤＬＣ１４０に接続される外部装置が正規の外部装置又は非正規の外部装置のいずれの場合においても、セキュリティレベルを維持するようにしてもよい。

そして、車両が走行中である場合に、ＤＬＣ１４０に非正規の外部装置が接続された場合に、セキュリティレベルを上昇させるようにしてもよい。車両が走行中ではない場合には、走行に影響が生じるという状態にはならないからである。また、走行中に非正規の外部装置が接続されていると、走行に悪影響が生じ得るからである。

なお、走行中ではない場合とは、車両が停止している状態である。停止している状態は、例えば、車速センサが検出する車速がゼロである場合、シフトポジションセンサによって検出されるシフトポジションがパーキングである場合等である。車両が走行中であるかどうかを表す状態とは、車両の運行状態の一例である。

また、車両が走行中であって、ＤＬＣ１４０に非正規の外部装置が接続されている場合に、車速に応じて、セキュリティレベルを変えてもよい。車速がある一定値を超えると、同一ＶＬＡＮの内部でのデータ通信であっても、Ｌ７スイッチを使うようにしてもよい。

また、例えば、車両のイグニションスイッチがオン又はオフのいずれであるかを判定し、イグニションスイッチがオフの場合には、ＤＬＣ１４０に接続される外部装置が正規の外部装置又は非正規の外部装置のいずれの場合においても、セキュリティレベルを維持するようにしてもよい。

また、イグニションスイッチがアクセサリーモードの場合にも、ＤＬＣ１４０に接続される外部装置が正規の外部装置又は非正規の外部装置のいずれの場合においても、セキュリティレベルを維持するようにしてもよい。

そして、イグニションスイッチがオンのときに、ＤＬＣ１４０に非正規の外部装置が接続されている場合に、セキュリティレベルを上昇させるようにしてもよい。イグニションスイッチがオンである場合には、走行中である場合や、停車中であっても走行を開始する前である場合が有り得るからである。

また、駐車中にＤＣＭ６００で通信を行ってナビゲーションシステムの地図データを更新する車両である場合には、車両が駐車中にＤＣＭ６００が通信を行っているときには、地図データを安全にダウンロードするために、セキュリティレベルを上昇させればよい。

また、以上では、車載ネットワークシステム１００が、２つのゲートウェイＥＣＵ１１０Ａ、１１０Ｂを含む形態について説明した。しかしながら、車載ネットワークシステム１００は、さらに多くのゲートウェイＥＣＵを含む構成であってもよく、１つのゲートウェイＥＣＵ１１０Ａのみを含む構成であってもよい。また、中継装置（第１中継装置、第２中継装置）の一例として、ゲートウェイＥＣＵ１１０Ａ、１１０Ｂを用いる形態について説明したが、ゲートウェイＥＣＵ１１０Ａ、１１０Ｂと同様にセキュリティレベルを変更できるのであれば、中継装置としてゲートウェイＥＣＵ１１０Ａ、１１０Ｂ以外の装置を用いてもよい。

また、以上では、ＤＬＣ１４０がゲートウェイＥＣＵ１１０Ａに接続される形態について説明したが、ＤＬＣ１４０は、ゲートウェイＥＣＵ１１０Ｂに接続されていてもよい。この場合でも、ＤＬＣ１４０は、ゲートウェイＥＣＵ１１０Ｂ及び回線１３９を介して、ゲートウェイＥＣＵ１１０Ａに接続されていることになる。

また、以上では、セキュリティレベルを維持する通常時において、同一のＶＬＡＮの内部でのデータ通信を行う場合には、Ｌ２スイッチを利用する形態について説明した。このため、ゲートウェイＥＣＵ１１０Ａ、１１０Ｂを跨ぐＶＬＡＮ１３０Ａの内部でのデータ通信には、Ｌ２スイッチを利用している。

しかしながら、同一のＶＬＡＮの内部でのデータ通信であっても、ゲートウェイＥＣＵ１１０Ａのポート５と、ゲートウェイＥＣＵ１１０Ｂのポート８との間のように、ゲートウェイＥＣＵ１１０Ａ、１１０Ｂを跨ぐ部分については、ゲートウェイＥＣＵ１１０Ａ及び１１０ＢがＬ３スイッチを用いてもよい。この場合には、セキュリティレベルを上昇させるときには、Ｌ７スイッチを用いればよい。

また、以上では、セキュリティレベルを上昇させる際に、ＶＬＡＮのグループ分けを変更しない形態について説明したが、ＶＬＡＮのグループ分けを変更してもよい。

例えば、ＶＬＡＮを分割して、セキュリティレベルが上昇されるＶＬＡＮに接続されるＥＣＵの数を少なくすることにより、車載ネットワークシステム１００の全体での通信速度の低下を最小限度に抑え、より迅速なデータ通信を実現してもよい。

ＶＬＡＮを分ける際には、様々なグループの作成の仕方がある。ＶＬＡＮを分ける際には、車載ネットワークシステム１００の全体での通信速度の低下を最小限度に抑えられるようにすることが望ましい。このような場合に、例えば、図１に示すＶＬＡＮ１３０Ｂを回線１３７、１３８の各々についての２つのＶＬＡＮに分けてもよい。また、ＶＬＡＮを分ける際には、１つのＶＬＡＮを分割するだけでなく、車載ネットワークシステム１００に含まれるすべてのＶＬＡＮのグループを再構築する観点から、複数のＶＬＡＮを合わせて（１つに合体させて）もよい。また、車載ネットワークシステム１００に含まれるすべてのＶＬＡＮのグループの数が減るように、グループを再構築してもよい。

＜実施の形態２＞
図１１は、実施の形態２の車載ネットワークシステム２００において転送されるデータの経路と、Ｌ２スイッチ、Ｌ３スイッチ、Ｌ７スイッチとの関係を示す図である。

実施の形態２の車載ネットワークシステム２００は、実施の形態１の車載ネットワークシステム１００にＥＣＵ１２９、回線２３１、及びＤＣＭ(Data Communication Module)６００を加えた構成を有する。

ＥＣＵ１２９は、回線２３１を介してゲートウェイＥＣＵ１１０Ｂのポート７に接続されている。実施の形態２では、ＤＣＭ６００を接続可能な接続部の一例として、ＥＣＵ１２９を用いている。

ＶＬＡＮ１３０Ｄは、回線２３１によって構築され、ゲートウェイＥＣＵ１１０ＢとＥＣＵ１２９が接続される。回線２３１は、第２回線の一例である。なお、図１１では、ＤＬＣ１４０には何も接続されていない。

車載ネットワークシステム２００のその他の構成は、実施の形態１の車載ネットワークシステム１００と同様であるため、同様の構成要素には同一符号を付し、その説明を省略する。

ＥＣＵ１２９は、ＤＣＭ６００用のＥＣＵであり、ＤＣＭ６００の通信のオン／オフの制御やＤＣＭ６００と回線２３１との間でのデータの入出力処理を行う。なお、ＥＣＵ１２９がＤＣＭ６００の通信のオン／オフの制御を行うことは、ＥＣＵ１２９がＤＣＭ６００の通信状態（オン／オフ）を制御することである。なお、ＥＣＵ１２９は、ＤＣＭ６００と一体化されていてもよい。

ＤＣＭ６００は、車載の無線通信装置の一例であり、例えば、３Ｇ(Third Generation)、４Ｇ(Fourth Generation)、ＬＴＥ(Long Term Evolution)等の通信回線を介して無線通信を行う。ＤＣＭ６００の通信がオンであるときは、ＤＣＭ６００が通信を行うときであり、ＤＣＭ６００の通信がオフであるときは、ＤＣＭ６００が通信を行わないときである。

車載ネットワークシステム２００では、ＤＣＭ６００が通信を行っているときと、通信を行っていないときとで、セキュリティレベルを切り替える。ＤＣＭ６００が通信を行っていないときは、セキュリティレベルを維持するので、同一ＶＬＡＮ（１３０Ａ又は１３０Ｂ）内でデータを転送する際には、Ｌ２スイッチを利用し（例えば図１１の矢印（Ａ）参照）、ＶＬＡＮ（１３０Ａ、１３０Ｂ）を跨いでデータを転送する際には、Ｌ３スイッチを利用する（例えば図１１の矢印（Ｂ）参照）。

ＤＣＭ６００が通信を行っているときに、矢印（Ａ）で示すように、ＥＣＵ１２２とＥＣＵ１２３との間でＶＬＡＮ１３０Ａの内部でデータが転送される場合には、Ｌ３スイッチを利用する。すなわち、Ｌ２スイッチからＬ３スイッチに切り替えてセキュリティレベルを上昇させる。ＤＣＭ６００が通信を行うと、車載ネットワークシステム２００がインターネット等の車両の外部のネットワークに接続されるので、セキュリティレベルを高めるためである。なお、これは、ＥＣＵ１２１〜ＥＣＵ１２６がＶＬＡＮ１３０Ａの内部でデータを転送する場合と、ＥＣＵ１２７、１２８がＶＬＡＮ１３０Ｂの内部でデータを転送する場合とにおいて同様である。

また、ＤＣＭ６００が通信を行っているときに、矢印（Ｂ）で示すように、ＶＬＡＮ１３０Ａ、１３０Ｂを跨いでＥＣＵ１２５とＥＣＵ１２７との間でデータが転送される場合には、Ｌ７スイッチを用いる。すなわち、Ｌ３スイッチからＬ７スイッチに切り替えてセキュリティレベルを上昇させる。同様に、セキュリティレベルを高めるためである。また、ＥＣＵ１２１〜１２６と、ＥＣＵ１２７、１２８とがＶＬＡＮ１３０Ａ、１３０Ｂを跨いでデータを転送する場合も同様である。

また、矢印（Ｄ）で示すように、ＥＣＵ１２９とＥＣＵ１２８との間のデータ通信には、Ｌ７スイッチを用いる。車両の外部のネットワークに接続されるため、最も高いレベルのセキュリティ対策が必要だからである。なお、これは、ＥＣＵ１２９と、ＥＣＵ１２１〜１２７がデータを転送する場合も同様である。

図１２は、実施の形態２のゲートウェイＥＣＵ１１０が実行するフローチャートを示す図である。図１２に示す処理は、図１０に示す実施の形態１のゲートウェイＥＣＵ１１０が実行する処理に、ステップＳ２２の処理を追加したものである。

主制御部１１１Ａは、ステップＳ１において、種類判定部１１２ＡがＤＬＣ１４０に外部装置が接続されていない（Ｓ１：ＮＯ）と判定すると、ＤＣＭ６００が通信中であるかどうかを判定する（ステップＳ２２）。主制御部１１１Ａは、ＥＣＵ１２９から回線２３１及びゲートウェイＥＣＵ１１０Ｂを介して受信するデータに基づいて、ＤＣＭ６００が通信中であるかどうかを判定する。ＤＣＭ６００の通信のオン／オフは、ＥＣＵ１２９が制御しているからである。

主制御部１１１Ａは、ＤＣＭ６００が通信中である（Ｓ２２：ＹＥＳ）と判定すると、フローをステップＳ４に進行させる。図１１を用いて説明したように、セキュリティレベルを上昇させるためである。

ＤＬＣ１４０に外部装置が接続されていない状態で、ＤＣＭ６００が通信中であるときは、ステップＳ４において、レベル設定部１１４Ａは、セキュリティレベルを上昇させる。この場合は、種類判定部１１２Ａによる外部装置の種類の判定（ステップＳ２）と、レベル判定部１１３Ａによるセキュリティレベルを上昇させるかどうかの判定（ステップＳ３）とを行うことなく、セキュリティレベルが上昇される。ＤＣＭ６００は、もともと車両に搭載されている装置であるため種類を判定する必要はなく、ＤＣＭ６００が通信中であれば、車載ネットワークシステム２００は、インターネット等の車外のネットワークに接続されているからである。

一方、主制御部１１１Ａは、ＤＣＭ６００が通信中ではない（Ｓ２２：ＮＯ）と判定すると、フローをステップＳ６に進行させる。現在のセキュリティレベルが上昇された状態であるかどうかを判定するためである。ステップＳ６において、セキュリティレベルが上昇中であると判定されると、ステップＳ７において、セキュリティレベルが元に戻される。ＤＣＭ６００は通信ではなく、ＤＬＣ１４０に外部装置も接続されていないからである。なお、前回の制御周期においてＤＣＭ６００が通信中と判定されてセキュリティレベルが上昇されていた状態で、今回の制御周期のステップＳ２２でＤＣＭ６００が通信中ではない（Ｓ２２：ＮＯ）と判定される場合は、ＤＣＭ６００の通信がオンからオフに切り替えられた場合である。

以上のように、実施の形態２の車載ネットワークシステム２００は、ＤＬＣ１４０への非正規の外部装置５０１の接続の有無に加えて、ＤＣＭ６００の通信のオン／オフに応じて、データ通信におけるセキュリティレベルを上昇させるために、Ｌ２スイッチを利用したデータ通信をＬ３スイッチを利用したデータ通信に切り替えるとともに、Ｌ３スイッチを利用したデータ通信をＬ７スイッチを利用したデータ通信に切り替える。

このようにデータ通信におけるセキュリティレベルを上昇させることにより、ＤＬＣ１４０に非正規の外部装置５０１が接続される場合に加えて、ＤＣＭ６００が通信中である場合に、車載ネットワークシステム２００を不測の事態から守ることができる。

また、ＤＬＣ１４０に何も接続されていない場合と、ＤＬＣ１４０に正規の外部装置が接続されている場合と、ＤＣＭ６００の通信がオフである場合とには、データ通信におけるセキュリティレベルを上昇させずに保持（維持）するため、通信速度が低下することはなく、迅速なデータ通信が可能である。

従って、実施の形態２によれば、外部装置がＤＬＣ１４０に接続される場合と、ＤＣＭ６００の通信がオンである場合とに、セキュリティレベルの確保と、通信速度の低下抑制とを両立した車載ネットワークシステム２００を提供することができる。

また、以上では、ＤＣＭ６００をＥＣＵ１２９に接続する形態について説明したが、ＤＣＭ６００の代わりに、利用者のスマートフォン端末機又は携帯電話端末機を用いてもよい。利用者のスマートフォン端末機又は携帯電話端末機が通信中であるかどうかでセキュリティレベルを上昇させるかどうかを判定すればよい。

以上、本発明の例示的な実施の形態の車載ネットワークシステムについて説明したが、本発明は、具体的に開示された実施の形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。

１００、２００ 車載ネットワークシステム
１１０Ａ ゲートウェイＥＣＵ（第１中継装置）
１１０Ｂ ゲートウェイＥＣＵ（第２中継装置）
１１１Ａ、１１１Ｂ 主制御部
１１２ 種類判定部
１１３ レベル判定部
１１４Ａ、１１４Ｂ レベル設定部
１２１〜１２３ ＥＣＵ（複数の第１制御部）
１２４〜１２８ ＥＣＵ（複数の第２制御部）
１２９ ＥＣＵ（接続部）
１３１〜１３３ 回線（第１回線）
１３４〜１３８ 回線（第２回線）
１３９ 回線（第３回線）
１４１、２３１ 回線（接続回線）
１４０ ＤＬＣ（接続部）
１５１、１５２ センサ
１５３ スイッチ
５００ 診断装置（外部装置）
５０１ 非正規の外部装置（外部装置）
６００ ＤＣＭ（無線通信装置）

Claims (13)

1. 複数の第１制御部と、
   前記複数の第１制御部にそれぞれ接続される複数の第１回線と、
   外部装置又は無線通信装置を接続可能な接続部と、
   前記接続部に接続される接続回線と、
   前記複数の第１回線を介して前記複数の第１制御部に接続されるとともに、前記接続回線を介して前記接続部に接続され、前記複数の第１回線及び前記接続回線の間を中継する第１中継装置と
   を含み、
   前記第１中継装置は、
   前記接続部に前記外部装置又は前記無線通信装置が接続された状態で、前記外部装置の種類又は前記無線通信装置の通信状態に応じて、前記複数の第１制御部の間でのデータ通信におけるセキュリティレベルを上昇させるかどうかを判定するレベル判定部と、
   前記レベル判定部によって前記セキュリティレベルを上昇させると判定されると、前記セキュリティレベルを上昇させる第１レベル設定部と
   を有する、車載ネットワークシステム。
2. 前記第１中継装置は、前記外部装置の種類を判定する種類判定部をさらに有し、
   前記レベル判定部は、前記種類判定部によって判定された前記種類に基づいて、前記セキュリティレベルを上昇させるかどうか判定する、請求項１記載の車載ネットワークシステム。
3. 前記レベル判定部は、前記種類判定部によって判定された前記種類と、車両の運行状態、又は、車両のイグニッションの状態とに基づいて、前記複数の第１回線におけるセキュリティレベルを上昇させるかどうか判定する、請求項２記載の車載ネットワークシステム。
4. 前記レベル判定部は、前記種類判定部によって判定された前記種類が前記セキュリティレベルを上昇させる対象に該当する場合に、前記車両の運行状態が停止状態である場合よりも、前記車両の運行状態が走行状態である場合の方が前記セキュリティレベルが高くなるように、前記セキュリティレベルを上昇させると判定する、請求項３記載の車載ネットワークシステム。
5. 前記レベル判定部は、前記車両の運行状態が前記停止状態である場合には、前記セキュリティレベルを維持すると判定する、請求項４記載の車載ネットワークシステム。
6. 前記レベル判定部は、前記種類判定部によって判定された前記種類が前記セキュリティレベルを上昇させる対象に該当する場合に、前記車両のイグニッションの状態がオフ又はアクセサリーモードである場合よりも、前記車両のイグニッションの状態がオンである場合の方が前記セキュリティレベルが高くなるように、前記セキュリティレベルを上昇させると判定する、請求項３記載の車載ネットワークシステム。
7. 前記レベル判定部は、前記車両のイグニッションの状態がオフ又はアクセサリーモードである場合には、前記セキュリティレベルを維持すると判定する、請求項６記載の車載ネットワークシステム。
8. 前記種類判定部は、前記外部装置の種類が正規の外部装置に該当するかどうかを判定し、
   前記レベル判定部は、前記種類判定部によって前記正規の外部装置に該当しないと判定された場合に、前記セキュリティレベルを上昇させると判定する、請求項２乃至７のいずれか一項記載の車載ネットワークシステム。
9. 前記レベル判定部は、前記種類判定部によって前記正規の外部装置に該当すると判定された場合には、前記セキュリティレベルを維持すると判定する、請求項８記載の車載ネットワークシステム。
10. 前記レベル判定部は、前記接続部に接続された前記無線通信装置が無線通信を行うときにセキュリティレベルを上昇させる、請求項１乃至９のいずれか一項記載の車載ネットワークシステム。
11. 前記接続部は、前記無線通信装置を接続可能で、前記無線通信装置の通信状態を制御する制御部である、請求項１０記載の車載ネットワークシステム。
12. 前記第１中継装置は、ゲートウェイ装置である、請求項１乃至１１のいずれか一項記載の車載ネットワークシステム。
13. 複数の第２制御部と、
    前記複数の第２制御部にそれぞれ接続される複数の第２回線と、
    前記複数の第２回線を介して前記複数の第２制御部に接続され、前記複数の第２回線の間を中継する第２中継装置と、
    前記第１中継装置及び前記第２中継装置の間を接続する第３回線と
    をさらに含み、
    前記第２中継装置は、
    前記レベル判定部によって前記セキュリティレベルを上昇させると判定されると、前記複数の第２制御部の間でのデータ通信におけるセキュリティレベルを上昇させる第２レベル設定部を有する、請求項１乃至１２のいずれか一項記載の車載ネットワークシステム。

Images