CN104079554A - 车载中继装置以及通信*** - Google Patents

Abstract

本发明提供一种能够限制可确定车辆的识别信息向车外的发送的车载中继装置以及通信***。安全控制器选择在存储部中存储的车辆固有ID或者基于随机数等生成的临时ID中的某一个，并使用所选择的ID经由路侧通信装置与服务器装置进行通信。安全控制器在使用生成的临时ID的通信结束时，废弃该临时ID。安全控制器通过利用CPU执行信息发送处理程序，将来自车载设备的信息发送至服务器装置。安全控制器将设定有对各信息发送程序的访问权限等级的访问权限等级表存储在存储部中，并根据信息发送程序的访问权限等级判定使用车辆固有ID或临时ID中的哪一个来进行通信。

Description

车载中继装置以及通信***

技术领域

本发明涉及在搭载于车辆内的车载设备和外部的车外通信装置之间对通信进行中继的车载中继装置以及通信***。

背景技术

在专利文献1中，记载了与移动体侧通信装置和路侧通信装置之间的通信相关的通信***。移动体侧通信装置接收路侧通信装置自身或其构成装置的识别信息，并且生成附加到向路侧通信装置发送的数据中的发送源信息。移动体侧通信装置使用从路侧通信装置接收到的识别信息将发送源信息的生成所需的数据加密。移动体侧通信装置将发送源信息附加到加密后的数据中并发送至路侧通信装置。

在如上所述的进行路车间通信的通信***中，例如交通中心等从各车辆收集信息来掌握各地区的拥堵状况或者气候等，并将这些信息反馈给各车辆，从而能够实现车辆的驾驶者的舒适的驾驶。而且，例如警察等收集车辆信息，从而能够实现被盗车辆或失踪车辆等的搜索。

在先技术文献

专利文献

专利文献1：日本特开2010-183261号公报

发明内容

发明要解决的课题

然而，无法否认有在收集车辆的信息的交通中心等处产生信息泄露的可能性。例如，通过收集车辆固有的识别信息和车辆的位置信息，能够容易地判断车辆的行驶履历等，这些信息是与车辆的用户的隐私相关的信息。因此，优选不发送能够确定车辆的信息。与此相对地，警察等为了进行被盗车辆或失踪车辆等的搜索，需要收集能够确定车辆的信息。

本发明正是鉴于这样的情况而完成的，其目的在于提供一种车载中继装置以及通信***，能够限制可确定车辆的识别信息向车外的发送。

用于解决课题的方案

本发明的车载中继装置具备进行与搭载于车辆中的一个或多个车载设备的通信的车内通信部和进行与设置在所述车辆外的车外通信装置的通信的车外通信部，并对所述车载设备和所述车外通信装置之间的通信进行中继，所述车载中继装置的特征在于，具备：通信处理构件，在向所述车外通信装置发送的发送信息中附加供所述车外通信装置识别该发送信息的发送源的识别信息，并进行将附加了识别信息的发送信息通过所述车外通信部发送至所述车外通信装置的处理；取得构件，取得在存储部中存储的第一信息；生成构件，生成与所述第一信息不同的第二信息；以及判定构件，判定所述通信处理构件应使用所述取得构件取得的第一信息或者所述生成构件生成的第二信息中的哪一种信息作为所述识别信息，所述通信处理构件根据所述判定构件的判定结果使用所述取得构件取得的第一信息或者所述生成构件生成的第二信息中的某一种信息作为所述识别信息，来进行向所述车外通信装置发送信息的处理。

而且，本发明的车载中继装置的特征在于，所述车载中继装置还具备废弃判定构件，所述废弃判定构件在进行了使用所述生成构件生成的第二信息的与所述车外通信装置的通信后，根据预定条件是否成立来判定是否应废弃所述第二信息，所述废弃判定构件在判定为应废弃所述第二信息的情况下，将所述第二信息废弃。

而且，本发明的车载中继装置的特征在于，在所述预定条件中包括与所述车外通信装置的通信结束、在预定期间内未进行与所述车外通信装置的通信、自所述生成构件生成所述第二信息起经过了预定期间、由所述车外通信装置发出请求或者与所述车辆的发动机的启动相关的开关被切换为预定状态。

而且，本发明的车载中继装置的特征在于，具备：程序存储部，存储一个或多个信息发送处理程序，所述信息发送处理程序进行将通过所述车内通信部从所述车载设备接收的信息发送至所述车外通信装置的处理；处理部，执行存储在所述程序存储部中的信息发送处理程序；以及访问权限等级存储部，按每个所述信息发送处理程序存储有对所述车辆内的信息的访问权限的等级，所述判定构件基于所述访问权限等级存储部所存储的访问权限的等级来进行判定。

而且，本发明的车载中继装置的特征在于，所述判定构件将所述访问权限的等级低的信息发送处理程序所进行的与所述车外通信装置的通信判定为应进行使用所述生成构件生成的第二信息的通信，并且将所述访问权限的等级高的信息发送处理程序所进行的与所述车外通信装置的通信判定为应进行使用所述第一信息的通信。

而且，本发明的车载中继装置的特征在于，所述访问权限的等级是基于所述信息处理程序发送信息的发送目标确定的。

而且，本发明的车载中继装置的特征在于，所述第一信息是所述车辆固有的信息。

而且，本发明的车载中继装置的特征在于，所述生成构件使用随机数生成第二信息。

而且，本发明的通信***具备搭载于车辆中的一个或多个车载设备、设置在所述车辆外的车外通信装置以及车载中继装置，所述车载中继装置具有进行与所述车载设备的通信的车内通信部和进行与所述车外通信装置的通信的车外通信部，并对所述车载设备和所述车外通信装置之间的通信进行中继，所述通信***的特征在于，所述车载中继装置具有：通信处理构件，在向所述车外通信装置发送的发送信息中附加供所述车外通信装置识别该发送信息的发送源的识别信息，并进行将附加了识别信息的发送信息通过所述车外通信部发送至所述车外通信装置的处理；取得构件，取得在存储部中存储的第一信息；生成构件，生成与所述第一信息不同的第二信息；以及判定构件，判定所述通信处理构件应使用所述取得构件取得的第一信息或者所述生成构件生成的第二信息中的哪一种信息作为所述识别信息，所述通信处理构件根据所述判定构件的判定结果使用所述取得构件取得的第一信息或者所述生成构件生成的第二信息中的某一种信息作为所述识别信息，来进行向所述车外通信装置发送信息的处理。

在本发明中，选择从存储部取得的第一信息或者车载中继装置例如基于随机数等生成的第二信息中的某一种信息，使用所选择的信息作为识别信息，车载中继装置进行与车外通信装置的通信。通过车载中继装置根据需要区分使用用于与车外通信装置的通信的识别信息，能够限制可确定车辆的信息向车外的发送。

而且，在本发明中，在进行使用生成的第二信息作为识别信息的与车外通信装置的通信后，在预定条件成立的情况下，车载中继装置废弃生成的第二信息。此后，在需要进行与车外通信装置的通信时，车载中继装置重新生成第二信息即可。由此，每次与车外通信装置进行通信时，都使用不同的识别信息。

在用于判定是否废弃第二信息的预定条件中，包括下述多个条件中的至少一个条件。

·车载中继装置与车外通信装置的通信结束。在此，通信可以是车载中继装置与车外通信装置之间进行一次数据收发，也可以是进行某些处理所需的多次数据收发。

·在预定期间内未进行车载中继装置与车外通信装置的通信。预定期间可以设定为例如数分钟、数十分钟、数个小时……等。未进行通信的原因可以考虑例如车辆在通信范围外行驶、在处理上没有通信的需要等。

·自车载中继装置生成第二信息起经过了预定期间。预定期间可以设定为例如数分钟、数十分钟、数个小时……等。

·从车外通信装置向车载中继装置发出了通信结束或者更新第二信息等的请求。

·与车辆的发动机的启动相关的开关、即所谓的点火开关被切换为预定状态(例如断开状态等)。

而且，在本发明中，车载中继装置通过利用处理部执行信息发送处理程序，将来自车载设备的信息发送至车外通信装置。对各信息发送处理程序设定访问权限等级，并且基于该等级进行使用第一信息或第二信息中的哪一种信息作为识别信息来进行与车外通信装置的通信的判定。由此，通过根据例如信息发送处理程序的通信目标等适当地设定访问权限等级，能够适当地判定使用哪一种信息作为识别信息。

例如，在访问权限等级低的信息发送处理程序所进行的与车外通信装置的通信中，车载中继装置可使用生成的第二信息，在访问权限等级高的信息发送处理程序所进行的与车外通信装置的通信中，车载中继装置可使用第一信息。

发明效果

在本发明的情况下，通过车载中继装置使用从存储部取得的第一信息或者生成的第二信息中的某一种信息作为识别信息来进行与车外通信装置的通信，能够限制可确定车辆的信息向车外的发送。因而，能够降低与车辆的用户的隐私相关的信息等泄漏的可能性。

附图说明

图1是示出本实施方式的通信***的结构的示意图。

图2是示出安全控制器的结构的框图。

图3是示出访问权限等级表的一个构成例的示意图。

图4是示出访问许可等级表的一个构成例的示意图。

图5是示出安全控制器的信息发送处理的步骤的流程图。

图6是示出安全控制器的信息发送处理的步骤的流程图。

具体实施方式

下面，基于表示本发明的实施方式的附图具体地说明本发明。图1是示出本实施方式的通信***的结构的示意图。图中以单点划线示出的标号1为车辆，在车辆1搭载有安全控制器10、网关30以及多个车载设备50等。在车辆1存在多个与共用的通信线总线连接的多个车载设备50的通信组，通信组之间的通信由网关30进行中继。因此，在网关30连接有多条通信线。而且，网关30与安全控制器10连接，将来自安全控制器10的信息发送至车载设备50，并且将从车载设备50接收到的信息提供给安全控制器10。

安全控制器10具有对设置在车辆1的外部的路侧通信装置3与包括网关30和车载设备50等而构成的车辆1的车内网络之间的通信进行中继的功能，其与网关30连接。路侧通信装置3例如设置在主要道路的交叉路口等处，能够通过利用电波或光等的无线通信与车辆1之间进行信息的收发。而且，路侧通信装置3通过专用的通信网或者因特网等与服务器装置5连接，对车辆1和服务器装置5之间的信息收发进行中继。

服务器装置5设置在车辆1的外部的适当位置，经由路侧通信装置3与进行与车辆1的通信。例如，服务器装置5可以是交通中心的用于管理拥堵信息的装置。在该情况下，服务器装置5收集从车辆1发送的车速信息和位置信息等来判断拥堵的有无等，并且将拥堵信息反馈给车辆1。而且例如，服务器装置5可以是警察用于进行车辆位置的推断的装置。在该情况下，服务器装置5收集从车辆1发送的车辆固有的识别信息和车辆1的位置信息等，进行推断特定的车辆1的位置的处理。另外，服务器装置5也可以是进行上述以外的各种处理的装置。

图2是示出安全控制器10的结构的框图。安全控制器10构成为具备CPU(Central Processing Unit，中央处理器)11、RAM(Random AccessMemory，随机存取存储器)12、位置信息取得部13、无线通信部15、车内通信部16以及存储部17等。CPU11是通过将存储在存储部17的程序存储部17a中的一个或多个程序读出到RAM12并执行来进行各种处理的运算处理装置。在图示的例子中，CPU11执行三个程序A～C。CPU11通过例如分时等切换执行多个程序，从而能够并行地执行多个程序。而且，在本实施方式中，在由CPU11执行的程序中，包括进行下述处理的程序：从车载设备50取得与车辆1相关的信息，通过路侧通信装置3向特定的服务器装置5发送车辆信息。

RAM12由SRAM(Static RAM，静态随机存取存储器)或者DRAM(Dynamic RAM，动态随机存取存储器)等存储器元件构成，临时地存储CPU11执行的程序和执行所需的数据等。位置信息取得部13取得车辆1的位置信息并提供到CPU11。位置信息取得部13例如可以构成为与接收GPS(Global Positioning System，全球定位***)的信号的天线等连接，并基于接收信号计算车辆1的位置(纬度和经度等)。并且，位置信息取得部13也可以利用从速度传感器、加速度传感器或陀螺仪传感器等传感器得到的信息以及地图信息等计算车辆1的位置。另外，当在车辆1搭载有车辆导航装置的情况下，也可以构成为由车辆导航装置进行计算车辆1的位置的处理，安全控制器10取得并利用计算结果。

无线通信部15利用电波或光等无线信号与设置在车辆1的外部的路侧通信装置3之间进行无线通信。无线通信部15将从CPU11得到的信息发送给路侧通信装置3，并且将从路侧通信装置3接收到的信息发送给CPU11。车内通信部16经由通信组与搭载于车辆1的网关30连接。车内通信部16例如按照CAN(Controller Area Network，控制器区域网络)或者LIN(Local Interconnect Network，本地互联网络)等的标准进行与网关30的通信。车内通信部16将从CPU11得到的信息发送给网关30，并且将从网关30接收到的信息发送给CPU11。

存储部17使用闪存或EEPROM(Electrically ErasableProgrammable Read Only Memory，电可擦可编程只读存储器)等非易失性的存储器元件、或者硬盘等磁存储装置等构成。存储部17具有存储CPU11执行的程序以及执行所需的数据等的程序存储部17a。而且，存储部17存储车辆固有ID17b、访问权限等级表17c以及访问许可等级表17d等。

车辆固有ID17b是对车辆1唯一赋予的信息。对不同的车辆1赋予不同的信息作为车辆固有ID17b，不存在具有相同的信息的车辆1。另外，车辆固有ID17b也并不一定存储在安全控制器10的存储部17中。例如，车辆固有ID17b也可以由网关30或者其他车载设备50等存储，而安全控制器10经由车内网络从这些装置取得车辆固有ID17b。

在本实施方式的通信***中，服务器装置5为了确定通信对象，在从车辆1经由路侧通信装置3向服务器装置5发送的信息中附加ID(识别信息)。本实施方式的安全控制器10具有生成基于随机数等的临时ID的功能。安全控制器10例如根据作为通信对象的服务器装置5的种类等选择生成的临时ID或者在存储部17中存储的车辆固有ID17b中的某一个，使用选择的ID进行与服务器装置5的通信。此时，安全控制器10基于在存储部17中存储的访问权限等级表17c，判定使用临时ID或者车辆固有ID17b中的哪一个来进行通信。

图3是示出访问权限等级表17c的一个构成例的示意图。在访问权限等级表17c中，将在存储部17的程序存储部17a中存储的各程序与访问权限等级对应地存储起来。在图示的例子中，作为程序，如向警察进行信息发送的程序、向交通中心进行信息发送的程序……这样地记载了程序名或者程序的说明等，但是这仅是一例，只要是能够识别程序的信息则可以是任意的信息。

而且，作为访问权限等级表17c的访问权限等级，设定为等级1～3这三级。但这仅是一例，访问权限等级也可以是两级或者四级以上。访问权限等级的数值越大，则表示具有越高的访问权限。即，访问权限等级3的程序能够比访问权限等级1或2的程序访问更多的信息。在图示的例子中，向警察进行信息发送的程序被设定为最高的访问权限等级3。而且，向交通中心进行信息发送的程序被设定为最低的访问权限等级1。另外，在图示的例子中，访问权限等级以数值表现，但这仅为一例，只要是能够识别优先顺序的信息则可以是任意的信息。

访问权限等级17c可以构成为例如在对安全控制器10的存储部17进行程序的安装时，由安全控制器10进行登记。在该情况下，安全控制器10例如可以基于电子签名等信息判断程序的分发源，基于分发源的可靠性等确定访问权限等级，将安装的程序的访问权限等级登记到访问权限等级表17c。而且，可以是车辆1的经销商或者制造公司等制作访问权限等级表17c，并向安全控制器10提供。在该情况下，也可以是，安全控制器10访问车辆1的经销商或者制造公司等的服务器装置来取得访问权限等级表17c。而且，可以在车辆1的经销商或者修配厂等处将专用的信息更新装置等连接到安全控制器10，由经销商或修配厂等的作业者进行访问权限等级表17c的登记或者更新等。

访问权限等级表17c可以按照任意的方法设定并存储在安全控制器10的存储部17中，但需要对各程序恰当地设定访问权限等级。在本实施方式中，对于经由路侧通信装置3向服务器装置5进行信息发送的程序，根据其信息发送目标设定访问权限等级。

在访问权限等级被设定为3的信息发送程序向服务器装置5进行信息发送的情况下，本实施方式的安全控制器10进行使用在存储部17中存储的车辆固有ID17b的通信。相对于此，在访问权限等级被设定为1或2的信息发送程序向服务器装置5进行信息发送的情况下，本实施方式的安全控制器10暂时使用自身生成的临时ID进行通信。

而且，安全控制器10对于通过车辆1的车内网络收发的各信息(即，通过车内通信部16收发的各信息)，将允许程序的访问的访问权限等级作为访问许可等级存储在访问许可等级表17d中。图4是示出访问许可等级表17d的一个构成例的示意图。在访问许可等级表17d中将收发的信息的种类与访问许可等级对应地存储起来。在图示的例子中，作为访问许可等级表17d的信息种类，作为一例记载有发动机控制信息、用户信息、位置信息和车速信息等。例如在车内网络遵循CAN的标准的情况下，能够基于收发的帧中附加的ID序号以及帧内的信息的保存顺序等来判断这些信息种类。

而且，作为访问许可等级表17d的访问许可等级，设定为等级1～3这三级。但这仅是一例，访问许可等级也可以是两级或者四级以上。访问许可等级的数值越大则表示对信息的访问所需的访问权限等级越高。即，访问许可等级3的信息能够由访问权限等级3以上的程序访问。而且，访问许可等级1的信息能够由访问权限等级1以上的程序访问。在图示的例子中，发动机控制信息和用户信息被设定为访问许可等级3，位置信息和车速信息被设定为访问许可等级1。另外，在图示的例子中，访问许可等级以数值表现，但这仅为一例，只要是能够识别优先顺序的信息则可以是任意的信息。

安全控制器10的CPU11在通过程序的执行而发出对车内网络的信息的访问要求的情况下，判定该程序的访问权限等级和与访问请求相关的信息的访问许可等级。在程序的访问权限等级为信息的访问许可等级以上的情况下，CPU11允许该程序对信息的访问。即，CPU11从车内通信部16的接收信息中取得与访问请求相关的信息，并用于该程序的处理。相对于此，在程序的访问权限等级低于信息的访问许可等级的情况下，CPU11不允许该程序对信息的访问。访问未被允许的情况下的处理由各程序进行。

同样地，安全控制器10的CPU11在通过程序的执行而发出对车内网络的信息发送请求的情况下，判定该程序的访问权限等级和要发送的信息的访问许可等级。在程序的访问权限等级为信息的访问许可等级以上的情况下，CPU11允许该程序的信息发送，进行从车内通信部16向车内网络的信息发送。相对于此，在程序的访问权限等级低于信息的访问许可等级的情况下，CPU11不允许该程序的信息发送。

由此，在安全控制器10的CPU11执行向服务器装置5发送信息的程序时，由该程序向服务器装置5发送的信息的种类受到信息发送程序的访问权限等级和发送的信息的访问许可等级的限制。

在本实施方式的通信***中，例如在车辆1的行驶中，在从设置于车外的路侧通信装置3向车辆1发出信息发送的请求时，服务器装置5与安全控制器10开始经由路侧通信装置3的通信。安全控制器10基于从路侧通信装置3接收的信息判断作为通信对象的服务器装置5，通过CPU11执行与通信对象对应的信息发送程序。安全控制器10根据信息发送程序的访问权限等级，判定使用车辆固有ID17b或者临时ID中的哪一个来进行通信。

例如，在作为通信对象的服务器装置5为交通中心的服务器装置的情况下，安全控制器10执行在存储部17的程序存储部17a中存储的向交通中心发送信息的信息发送程序。向交通中心发送信息的信息发送程序的访问权限等级如图3所示为等级1，因此安全控制器10生成通信用的临时ID。临时ID例如可以基于该时刻的车辆1的位置(经度或纬度等)、日期或者时刻等信息生成，也可以通过随机数生成，也可以通过上述方式的组合生成。安全控制器10发送生成的临时ID并登记到服务器装置5，以后使用此临时ID进行通信。而且，从安全控制器10接收到临时ID的服务器装置5将该临时ID作为通信对象的ID进行登记，在以后的通信中基于登记的临时ID识别通信对象。

通过临时ID的登记而确立了与服务器装置5的通信的安全控制器10通过向交通中心发送信息的信息发送程序的处理从车内网络收集必要的信息，并向服务器装置5发送。此时，安全控制器10将登记在服务器装置5的临时ID附在发送信息中，进行向服务器装置5的信息发送。而且，安全控制器10能够基于向交通中心发送信息的信息发送程序的处理向服务器装置5发送的信息仅为在图4的访问许可等级表17d中设定为访问许可等级1的信息。

通过向交通中心发送信息的信息发送程序的处理，安全控制器10向交通中心的服务器装置5发送例如车辆1的位置信息和车速信息。服务器装置5基于从各种各样的车辆1收集的位置信息和车速信息判断例如道路的拥堵状况，并将拥堵信息发送给车辆1。通过路侧通信装置3接收来自服务器装置5的拥堵信息的安全控制器10例如能够经由网关30将拥堵信息发送至搭载于车辆1的车辆导航装置，进行车辆导航装置的拥堵信息的显示等。另外，将从服务器装置5接收的拥堵信息向车辆导航装置发送的处理可以通过向交通中心发送信息的信息发送程序的处理进行，也可以通过其他程序的处理进行。但是，在通过向交通中心发送信息的信息发送程序的处理向车辆导航装置发送拥堵信息的情况下，在访问许可等级表17d，需要将拥堵信息的访问许可等级设定为1。

然后，安全控制器10使用临时ID进行与服务器装置5的经由路侧通信装置3的通信。在产生某些通信结束因素的时候，安全控制器10将在通信中使用的临时ID废弃，以后不进行使用该临时ID的通信。在通信结束因素中例如可以包括下述等各种各样的因素：经过预定时间未进行与路侧通信装置3的通信；自临时ID的生成起经过了预定时间；从服务器装置5发出结束通信的请求；或者车辆1的点火开关被切换为断开。另外，废弃临时ID的条件不限于上述的条件，可以采用其他各种条件。

临时ID的有效期间以从车辆1的发送机启动开始到停止为止的期间为最长，优选采用比该期间短的期间。但是，并不否定在超过上述期间的期间持续使用临时ID。

而且，例如，在作为通信对象的服务器装置5为警察的服务器装置的情况下，安全控制器10执行在存储部17的程序存储部17a中存储的向警察发送信息的信息发送程序。向警察发送信息的信息发送程序的访问权限等级如图3所示为等级3，因此安全控制器10读取在存储部17中存储的车辆固有ID17b。安全控制器10发送读取的车辆固有ID17b并登记到服务器装置5，以后使用此车辆固有ID17b进行通信。而且，从安全控制器10接收到车辆固有ID17b的服务器装置5将该车辆固有ID17b作为通信对象的ID进行登记，在以后的通信中基于登记的车辆固有ID识别通信对象。

通过车辆固有ID17b的登记而确立了与服务器装置5的通信的安全控制器10通过向警察发送信息的信息发送程序的处理从车内网络收集必要的信息，并向服务器装置5发送。此时，安全控制器10将登记在服务器装置5的车辆固有ID17b附在发送信息中，进行向服务器装置5的信息发送。而且，安全控制器10能够基于向警察发送信息的信息发送程序的处理向服务器装置5发送的信息为在图4的访问许可等级表17d中设定为访问许可等级1～3的信息、即由车内网络处理的所有信息。

通过向警察发送信息的信息发送程序的处理，安全控制器10向警察的服务器装置5发送例如车辆1的位置信息和用户信息。服务器装置5从车辆1的制造公司或者经销商等取得例如在被盗车辆或失踪车辆等中附有的车辆固有ID17b以及与该车辆相关的用户信息等。服务器装置5基于从各种各样的车辆1收集的车辆固有ID17b和用户信息，判定被盗车辆或失踪车辆等是否进行了与路侧通信装置3的通信，在进行了通信的情况下基于从车辆1发送的位置信息能够推断出车辆1的位置。

图5和图6是示出安全控制器10的信息发送处理的步骤的流程图。安全控制器10的CPU11判定是否由无线通信部15接收到来自路侧通信装置3的通信请求(步骤S1)。在未接收到通信请求的情况下(S1：否)，CPU11待机直到接收到通信请求为止。在接收到通信请求的情况下(S1：是)，CPU11基于通信请求所附的信息进行通信对象的判定(步骤S2)，执行与通信对象对应的信息发送程序(步骤S3)。

CPU11参照在存储部17中存储的访问权限等级表17c，判定在步骤S3中执行的信息发送程序的访问权限等级是否为等级3(步骤S4)。在访问权限等级为等级3的情况下(S4：是)，CPU11读出在存储部17中存储的车辆固有ID17b(步骤S5)。在访问权限等级不是等级3的情况下，即访问权限等级为等级1或等级2的情况下(S4：否)，CPU11基于随机数等生成临时ID(步骤S6)。接下来，CPU11将在步骤S5中读取的车辆固有ID17b或者在步骤S6中生成的临时ID发送至服务器装置5来进行认证处理等，从而将通信用的ID登记到服务器装置5(步骤S7)。

此后，CPU11通过信息发送程序的处理收集服务器装置5所需的信息，并且使用在步骤S7中登记的ID将收集的信息发送至服务器装置5(步骤S8)。CPU11判定结束信息发送的任意条件是否成立(步骤S9)，在信息发送结束的条件未成立的情况下(S9：否)，回到步骤S8的处理，重复进行信息收集和发送。在信息发送结束的条件成立的情况下(S9：是)，CPU11判定用于向服务器装置5的信息发送的ID是否为临时ID(步骤S10)。在信息发送是以临时ID进行的情况下(S10：是)，CPU11废弃该临时ID(步骤S11)，结束处理。在不是通过临时ID进行信息发送的情况下，即在通过车辆固有ID17b进行信息发送的情况下(S10：否)，CPU11结束处理。

以上结构的通信***中，安全控制器10选择在存储部17中存储的车辆固有ID17b或者基于随机数等生成的临时ID中的某一个，并使用所选择的ID经由路侧通信装置3与服务器装置5进行通信。通过安全控制器10根据需要区分使用用于与服务器装置5的通信的ID，能够限制可确定车辆1的信息向车外的发送。

而且，安全控制器10在使用生成的临时ID的通信结束时，废弃该临时ID。此后，在需要进行与服务器装置5的通信的情况下，安全控制器10生成新的临时ID。由此，每当安全控制器10进行与服务器装置5的通信时，都采用不同的临时ID。

而且，安全控制器10通过利用CPU11执行信息发送处理程序，将来自车载设备50的信息发送至服务器装置5。安全控制器10将设定有对各信息发送程序的访问权限等级的访问权限等级表17c存储在存储部17中，并根据信息发送程序的访问权限等级判定使用车辆固有ID17b或临时ID中的哪一个来进行通信。例如，访问权限等级低(等级1或2)的信息发送程序所进行的与服务器装置5的通信使用临时ID，访问权限等级高(等级3)的信息发送程序所进行的与服务器装置5的通信使用车辆固有ID17b。由此，通过根据例如信息发送处理程序的通信对象等适当地设定访问权限等级，安全控制器10能够适当地判定使用哪一种ID进行通信。

而且，安全控制器10根据信息发送程序的访问权限等级限制向车外发送的信息。即，安全控制器10将由车内网络处理的信息的访问许可等级作为访问许可等级表17d存储在存储部17中，并且根据信息发送程序的访问权限等级和信息的访问许可等级来限制信息发送程序向车外发送的信息。由此，能够防止车内的重要的信息泄露到车外。

另外，在本实施方式中，构成为安全控制器10与网关30连接、网关30与多个车载设备50连接，但该车内网络的结构仅为一例，并不限定于此。例如，也可以构成为，安全控制器10兼具网关的功能，将安全控制器10与多个车载设备50连接。而且，也可以构成为某个车载设备50兼具安全控制器10的功能。而且，也可以在车辆1搭载多个安全控制器10。

而且，作为安全控制器10进行通信的服务器装置5，以交通中心和警察的服务器装置为例进行了说明，但这仅为一例，服务器装置5可以是用于任意的服务的服务器装置。而且，安全控制器10与服务器装置5是经由路侧通信装置3进行通信的，但不限于此，例如也可以通过公众的无线LAN(Local Area Network，局域网)或者移动电话网络等进行通信。

Claims (9)

1.一种车载中继装置，具备进行与搭载于车辆中的一个或多个车载设备的通信的车内通信部和进行与设置在所述车辆外的车外通信装置的通信的车外通信部，并对所述车载设备和所述车外通信装置之间的通信进行中继，所述车载中继装置的特征在于，

具备：通信处理构件，在向所述车外通信装置发送的发送信息中附加供所述车外通信装置识别该发送信息的发送源的识别信息，并进行将附加了识别信息的发送信息通过所述车外通信部发送至所述车外通信装置的处理；

取得构件，取得在存储部中存储的第一信息；

生成构件，生成与所述第一信息不同的第二信息；以及

判定构件，判定所述通信处理构件应使用所述取得构件取得的第一信息或者所述生成构件生成的第二信息中的哪一种信息作为所述识别信息，

所述通信处理构件根据所述判定构件的判定结果使用所述取得构件取得的第一信息或者所述生成构件生成的第二信息中的某一种信息作为所述识别信息，来进行向所述车外通信装置发送信息的处理。

2.根据权利要求1所述的车载中继装置，其特征在于，

所述车载中继装置还具备废弃判定构件，所述废弃判定构件在进行了使用所述生成构件生成的第二信息的与所述车外通信装置的通信后，根据预定条件是否成立来判定是否应废弃所述第二信息，

所述废弃判定构件在判定为应废弃所述第二信息的情况下，将所述第二信息废弃。

3.根据权利要求2所述的车载中继装置，其特征在于，

在所述预定条件中包括与所述车外通信装置的通信结束、在预定期间内未进行与所述车外通信装置的通信、自所述生成构件生成所述第二信息起经过了预定期间、由所述车外通信装置发出请求或者与所述车辆的发动机的启动相关的开关被切换为预定状态。

4.根据权利要求1至3的任意一项所述的车载中继装置，其特征在于，

具备：程序存储部，存储一个或多个信息发送处理程序，所述信息发送处理程序进行将通过所述车内通信部从所述车载设备接收的信息发送至所述车外通信装置的处理；

处理部，执行存储在所述程序存储部中的信息发送处理程序；以及

访问权限等级存储部，按每个所述信息发送处理程序存储有对所述车辆内的信息的访问权限的等级，

所述判定构件基于所述访问权限等级存储部所存储的访问权限的等级来进行判定。

5.根据权利要求4所述的车载中继装置，其特征在于，

所述判定构件将所述访问权限的等级低的信息发送处理程序所进行的与所述车外通信装置的通信判定为应进行使用所述生成构件生成的第二信息的通信，并且将所述访问权限的等级高的信息发送处理程序所进行的与所述车外通信装置的通信判定为应进行使用所述第一信息的通信。

6.根据权利要求4或5所述的车载中继装置，其特征在于，

所述访问权限的等级是基于所述信息处理程序发送信息的发送目标确定的。

7.根据权利要求1至6的任意一项所述的车载中继装置，其特征在于，

所述第一信息是所述车辆固有的信息。

8.根据权利要求1至7的任意一项所述的车载中继装置，其特征在于，

所述生成构件使用随机数生成第二信息。

9.一种通信***，具备搭载于车辆中的一个或多个车载设备、设置在所述车辆外的车外通信装置以及车载中继装置，所述车载中继装置具有进行与所述车载设备的通信的车内通信部和进行与所述车外通信装置的通信的车外通信部，并对所述车载设备和所述车外通信装置之间的通信进行中继，所述通信***的特征在于，

所述车载中继装置具有：通信处理构件，在向所述车外通信装置发送的发送信息中附加供所述车外通信装置识别该发送信息的发送源的识别信息，并进行将附加了识别信息的发送信息通过所述车外通信部发送至所述车外通信装置的处理；

取得构件，取得在存储部中存储的第一信息；

生成构件，生成与所述第一信息不同的第二信息；以及

判定构件，判定所述通信处理构件应使用所述取得构件取得的第一信息或者所述生成构件生成的第二信息中的哪一种信息作为所述识别信息，

所述通信处理构件根据所述判定构件的判定结果使用所述取得构件取得的第一信息或者所述生成构件生成的第二信息中的某一种信息作为所述识别信息，来进行向所述车外通信装置发送信息的处理。