JP2010098626A - 車載ゲートウェイ装置におけるルーティング方法 - Google Patents

Abstract

【課題】
複数の通信用インタフェースを持つ車載ゲートウェイ装置において、接続するネットワークが扱うデータの特性を考慮したルーティング機能の自動設定を行えるようにする。
【解決手段】
本発明ではネットワークをその特性から情報系、制御系、安全系と分類し、車載ゲートウェイ装置に接続するネットワークがいずれに該当するかをネットワークに接続する機器もしくはネットワークのトラフィックから判定させる。さらに異なる分類間でのデータの受け渡し時の処理を事前に設定する。
【選択図】図４

Description

本発明は、車両に搭載されるゲートウェイ装置およびそれによるルーティング方法に関する。

近年、自動車は安全向上の要請、環境対応の要請の高まりにより、高度な処理を実現するための電子化が進んでおり、一台の車両に搭載されるECU(Electric Control Unit)の数は年々増加を続けている。このECU数の増加により、ECUを接続するバス数も増加してきている。これに対し、複数のネットワークを接続するハブとなる統合ゲートウェイ用マイコンの開発や複数の車載ゲートウェイ装置を用いたバスの階層構造化が進められている。

車載ゲートウェイ装置では接続するネットワーク間のデータをルーティングする機能が必要となるが、ルーティングの機能は車種や車載ゲートウェイ装置を設置するネットワーク上の場所により異なる。そのため車両開発においてはルーティング機能の個別の作りこみが発生し、この手間を省くことが求められている。

これに対し、特許文献１では、複数のバスを接続する車載ゲートウェイ装置において、少なくとも１つのモジュール論理ソフトウェアゲートウェイが使用され、このソフトウェアゲートウェイはメッセージをちょうど２つのサブネットワーク間でルーティングし、このようにして別個の接続経路を供給する。

また、特許文献２では、通信プロトコルの異なるネットワーク間でデータの送受信を行う場合にプロトコル変換を行っている。

特表2006-506862号公報 特開2003-309584号公報

特許文献１の技術を用いることで複数ネットワーク間でのルーティング機能を提供することができる。しかし従来技術では緊急性の高いデータが流されるネットワークや、車両の制御に関わるデータが流されるネットワークといったネットワークの特性について考慮されていない。そのため異なる特性のネットワークをその特性を意識しないで接続すると、その特性が生かされなくなるおそれがある。

特許文献２の技術では、同じ通信プロトコルを用いるネットワーク間での違いは考慮されていない。よって、制御系ネットワークから情報系ネットワークへのデータの送信時にデータを暗号するプロトコル変換を行う場合、暗号化の必要がなく緊急性の高いデータを制御系から情報系へ送信することに対応できないおそれがある。

そこで、本発明の目的は、ネットワークごとの特性を考慮したルーティング機能の自動設定を行うことが可能な装置および方法を提供することである。

各ネットワークに流れるデータに基づいて、ネットワークをネットワークの特性から車外とつながり情報のやりとりを行う情報系、車両の制御を行うためのデータをやりとりする制御系、緊急性の高いデータがイベント的に流される安全系に分類する。異なる分類のネットワーク間でのデータの授受の際の入力データの加工・編集の処理を行う。

事前に車両システム内のネットワークに接続する機器および機器が入出力するデータのリストを設定しておけば、車載ゲートウェイ装置を車両システム内にセットするだけでネットワークの特性を考慮したルーティング機能の設定ができ、車種、設置場所ごとに個別で対応する手間を省くことができる。よって、本発明によれば、ネットワークごとの特性を考慮したルーティング機能の自動設定を行うことが可能である。

以下、本発明の題１の実施例および第２の実施例を説明する。

図１は、車両システムの構成例である。図示するように本実施例では車両システムは、情報系ネットワーク２１、制御系ネットワーク２２、制御系ネットワーク２３、安全系ネットワーク２４の４つのネットワークとこれら４つのネットワークをつなぐ車載ゲートウェイ装置１０から構成される。

情報系ネットワーク２１にはカーナビゲーション装置１１０や車両外と通信を行うためのＤＣＭ（Ｄａｔａ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｍｏｄｕｌｅ）１２０、図１に記載はないが車両の位置情報を検出するＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）などの車載情報系機器が接続されている。情報系ネットワーク２１では車載情報系機器間での情報のやりとりが行われる。例えばＤＣＭ１２０からはイベント的に情報系ネットワーク２１へ地図情報を更新するための最新の周辺地図情報が送信される。また例えば、ＧＰＳからは一秒間隔で情報系ネットワーク２１へ現在の車両の位置情報が送信される。情報系ネットワーク２１は、例えばＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＩＥＥＥ１３９４、ＭＯＳＴ（Ｍｅｄｉａ Ｏｒｉｅｎｔｅｄ Ｓｙｓｔｅｍｓ Ｔｒａｎｓｐｏｒｔ）などの規格に準じたネットワークである。

制御系ネットワーク２２にはエンジンを制御するためのＥＣＵ（Ｅｌｅｃｔｒｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）であるエンジンＥＣＵ１３０、図１に記載はないが自動トランスミッション装置などパワートレイン、トランスミッション関係の機器が接続されている。制御系ネットワーク２２を流れるデータはエンジンの回転数や燃料の残量、などのデータである。例えば制御系ネットワーク２２に接続されているエンジンＥＣＵによるエンジンの制御は数十ミリ秒単位での精度が求められ、ネットワークから取得するデータに対しても同様の時間精度が求められる。そのため制御系ネットワーク２２を流れるデータは周期的なものは数十ミリ秒周期で流されるデータとなる。また、データの送受信に失敗しても制御がとまらないために、はじめからデータを冗長的に送信する。制御系ネットワーク２２は、例えばＣＡＮ、Ｆｌｅｘ Ｒａｙなどの規格に準じたネットワークである。

制御系ネットワーク２３にはステアリング操作を制御するためのステアリングＥＣＵ１５０やブレーキを制御するためのブレーキＥＣＵ１６０などの機器が接続されている。制御系ネットワーク２３を流れるデータはブレーキの踏み込み量やステアリング角などのデータである。例えば制御系ネットワーク２３に接続されているブレーキＥＣＵによるブレーキ制御に関して、時速６０キロメートルで走行している車両は1秒で１７メートルも走行してしまうためブレーキ操作は最低でも数１００ミリ秒単位での精度が求められ、ネットワークから取得するデータに対しても同様の時間精度が求められる。制御系ネットワーク２３も制御系ネットワーク２２と同様にＣＡＮ、Ｆｌｅｘ Ｒａｙなどの規格に準じたネットワークである。

安全系ネットワーク２４にはエアバッグ１７０や図１に記載はないが衝突時にシートベルトの自動巻き上げを制御するコントローラなどが接続されている。安全系ネットワーク２４に接続される機器は全て衝突などの事故が避けられないときに少しでも人的被害を軽減するために動作する機器である。安全系ネットワーク２４へは機器が作動した時の作動情報や機器が作動する必要がある時の作動のためのトリガー情報などがイベントドリブンで流れる。安全系ネットワーク２４も制御系ネットワーク２２と同様ＣＡＮ、Ｆｌｅｘ Ｒａｙなどの規格に準じたものである。

車載ゲートウェイ装置１０には情報系ネットワーク２１、制御系ネットワーク２２、制御系ネットワーク２３、安全系ネットワーク２４が接続され、異なるネットワーク間でのデータの転送を行う。

この異なるネットワーク間でのデータ転送の第１の例として、情報系ネットワーク２１上のカーナビゲーション装置１１０と制御系ネットワーク２３上のステアリングＥＣＵ１５０、ブレーキＥＣＵ１６０との連携がある。カーナビゲーション装置１１０では地図情報と車両の位置情報、予想進路から前方にカーブがせまっていることを認知することができる。カーナビゲーション装置１１０ではこの認知した前方カーブの曲率情報をステアリングＥＣＵ１５０およびブレーキＥＣＵ１６０に送信する。するとステアリングＥＣＵ１５０では現在のステア角では安全に前方カーブを曲がれないと判断すればステア角を変更するような制御を加える。またブレーキＥＣＵ１６０では現在の車両速度では安全に前方カーブを曲がることができないと判断すれば、安全に曲がることができる速度まで自動で減速させるという処理を行う。これらの処理によりドライバが前方のカーブに気づかずスピードを出しすぎていたとしても、自動的にステアリング操作、減速がなされ安全にカーブを曲がることができる。

第２の例として、制御系ネットワーク２３上のブレーキＥＣＵ１５０と制御系ネットワーク２２上のエンジンＥＣＵ１３０との連携がある。ブレーキＥＣＵではブレーキ制御を行うためにブレーキ踏み込み量のデータをもっており、この値をエンジンＥＣＵ１３０に送信する。するとエンジンＥＣＵ１３０では燃費効率を良くするためにブレーキが踏まれて減速をするときはスロットル開度を少なくするという制御処理を行う。これによりエンジンＥＣＵ１３０単独で制御を行うよりもより燃費効率をあげることができる。

第３の例として、制御系ネットワーク２３上のブレーキＥＣＵ１５０と情報系ネットワーク２１上のカーナビゲーション装置１１０との連携がある。ブレーキＥＣＵ１５０ではＡＢＳ用に設置しているセンサー情報から得られる車輪の回転数をカーナビゲーション装置１１０に送信する。するとカーナビゲーション装置では車輪の回転数から移動距離を算出し現在位置の補正に利用する。

第４の例として、制御系ネットワーク２３上のブレーキＥＣＵ１５０と情報系ネットワーク２１上のカーナビゲーション装置１１０との連携およびＤＣＭ１２０との連携がある。ブレーキＥＣＵ１５０ではブレーキパッドに設置したセンサーでブレーキパッドの劣化情報を取得することができ、取得したブレーキパッドの劣化情報をカーナビゲーション装置１１０およびＤＣＭ１２０に送信する。するとカーナビゲーション装置１１０ではドライバに交換時期が近いことを伝えるとともにＤＣＭ１２０はブレーキパッドの交換が近いことをディーラーに自動的に伝達することで、的確なタイミングでの部品交換が可能となる。

第５の例として、安全系ネットワーク２１上のエアバッグＥＣＵ１６０と情報系ネットワーク２１上のＤＣＭ１２０および制御系ネットワーク２２上のエンジンＥＣＵ１２０と制御系ネットワーク２３上のステアリングＥＣＵ１４０およびブレーキＥＣＵ１５０との連携がある。エアバッグＥＣＵ１６０ではエアバッグが作動すると作動したという情報をＤＣＭ１２０、エンジンＥＣＵ１３０、ステアリングＥＣＵ１４０、ブレーキＥＣＵ１５０に送信する。ＤＣＭ１２０では少しでも早く救助が来られるようにエアバッグの作動情報から車外に事故が発生したことを緊急通報する。エンジンＥＣＵ１３０では事故によりどこに故障が発生しているかわからないため、エンジン停止を行う。ステアリングＥＣＵ１４０は事故後車両が予期せぬ方向に移動して二次被害が発生することを防ぐためにステアリング操作をロックする。ブレーキＥＣＵ１５０では事故後車両が移動することによる二次被害を防ぐために、自動的にブレーキ操作を行う。

図２は車載ゲートウェイ装置１０にルーティング方法を設定する場合のシステム構成である。システムは車載ゲートウェイ装置１０と設定機器１１からなる。設定機器１１は専用の端末以外に一般的なＰＣでも良い。設定機器１１には車両システムに設定する機器の入出力データの一覧である機器入出力データテーブル７１０を入力する機能と、入力したデータを車載ゲートウェイ装置１０に送信する機能を有する。車載ゲートウェイ装置１０と設定機器１１の間の通信はシリアル通信やＥｔｈｅｒｎｅｔ（登録商標）、ＩＥＥＥ１３９４などの規格を用いる。

図３は、図１で示した車載ゲートウェイ装置１０のハードウェア構成を示す。車載ゲートウェイ装置１０は外部との接続部として第１の通信部３０１、第２の通信部３０２、第３の通信部３０３、第４の通信部３０４、設定機器用通信部３０５からなり、演算装置であるＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３０６と揮発性の記憶装置であるＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）３０７、プログラムやデータを格納する不揮発性の記憶装置であるＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）３０８、初期化フラグや設定情報など書き換えの必要なデータを格納するＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）３１１、設定か運用かのモードを決定するモードスイッチ３０９と内部バス３１０を有する構成である。図１のシステム構成は一例として第１の通信部３０１を情報系ネットワーク２１と接続し、第２の通信部３０２を制御系ネットワーク２２と接続し、第３の通信部３０３を制御系ネットワーク２３と接続し、第４の通信部３０４を安全系ネットワーク２４と接続させることで実現できる。また図２のシステム構成では設定機器用通信部３０５と設定機器１１を接続する。車載ゲートウェイ装置１０は設定用プログラムと運用用プログラム、ブート用プログラムを持ち、ＲＯＭ３０８に格納されている。車載ゲートウェイ装置１０の起動時には必ずブート用プログラムが起動される。車載ゲートウェイ装置１０の出荷段階で設定される設定情報もＲＯＭ３０８に格納されている。設定機器１１を通して設定されるテーブル情報、車両システムに接続後車載ゲートウェイ装置１０を初期化した時に設定されるテーブル情報はＥＥＰＲＯＭ３１１に格納されている。

図４は、車載ゲートウェイ装置１０のソフトウェア構成を示す。車載ゲートウェイ装置１０にはブート用プログラム４１０、運用用プログラム４２０、設定用プログラム４３０の３つのプログラムと各プログラムから参照・改変される設定データ群４４０が存在する。

ブート用プログラム４１０はブート先選択機能４１１とブート機能４１２の機能を持つ。ブート用プログラム４１０は車載ゲートウェイ装置１０が起動するとき、最初に必ず実行される。ブート先選択機能４１１は設定データ群４４０の実行モード４４５のデータを参照し、運用用プログラム４２０と設定用プログラム４３０のどちらを起動するか選択する。ブート機能４１２はブート選択機能４１１により選択されたプログラムを実行する機能を持つ。

運用用プログラム４２０は第１の通信Ｉ／Ｆ（Ｉｎｔｅｒ Ｆａｃｅ）４２１、第２の通信Ｉ／Ｆ４２２、第３の通信Ｉ／Ｆ４２３、第４の通信Ｉ／Ｆ４２４、送受信機能４２５、ネットワーク識別機能４２６、ルーティング機能４２７、フィルタリング処理機能４２８、初期化機能４２９からなる。第１の通信Ｉ／Ｆ４２１は第１の通信部３０１のドライバ機能であり、第２の通信Ｉ／Ｆ４２２は第２の通信部３０２のドライバ機能、第３の通信Ｉ／Ｆ４２３は第３の通信部３０３のドライバ機能、第４の通信Ｉ／Ｆ４２４は第４の通信部３０４のドライバ機能である。送受信機能４２５は第１から第４の通信Ｉ／Ｆから受信したデータを受け取るとどの通信Ｉ／Ｆからのデータであるかの情報とあわせたデータの保持や、ネットワーク識別機能４２６からデータを受け取ると出力の必要な通信Ｉ／Ｆに対して出力するように指示を出すということを行う。ネットワーク識別機能４２６は入力されたデータに対して設定データ群４４０のネットワーク分類テーブル４４１を参照し入力元の通信Ｉ／Ｆから入力されたデータが情報系ネットワーク、制御系ネットワーク、安全系ネットワークのいずれのネットワークから入力されたデータなのかを判定する。ルーティング機能４２７は設定データ群４４０のルーティングテーブル４４２を参照し入力されたデータのデータ識別子から出力先の通信Ｉ／Ｆを判定する。フィルタリング処理機能４２８は入力データに対して入力元ネットワークおよび出力先ネットワークの対応に応じてあらあらかじめプログラムされているフィルタリング処理を実行する。車載ゲートウェイ装置１０によるフィルタリングは、安全系へはデータの出力をせず、安全系から出力されるデータは緊急性が高い、情報系から入力されるデータは他の系から入力されるデータより優先順位が低い、制御系から入力されるデータは機密性が高いというポリシーを持って行われる。具体的な処理は入力元と出力先が同じネットワークである場合は特別な処理は実行せずにそのまま出力し、入力元が情報系で出力先が制御系である場合は制御系のバス負荷を確認し余裕のあるときにのみ出力し、入力元が情報系で出力先が安全系である場合はデータの出力をやめ、入力元が制御系で出力先が情報系である場合は暗号化を行い、入力元が制御系で出力先が安全系である場合はデータの出力をやめ、入力元が安全系である場合は出力先を判断することも行わず即座に接続するネットワークに対して出力を行うという処理を行う。初期化機能４２９は設定データ群４４０の設定状況４４７が初期化必要を示しているときに実行され、設定データ群４４０の機器入出力データテーブル４４３と代表機器テーブル４４４を参照し、ネットワーク分類テーブル４４１とルーティングテーブル４４２を生成する。

設定用プログラム４３０は設定機器用通信Ｉ／Ｆ４３１および設定情報保持機能４３２からなる。設定機器用通信Ｉ／Ｆ４３１は設定機器用通信部３０５のドライバ機能である。設定情報保持機能４３２は設定機器用通信Ｉ／Ｆを通して外部の設定機器１１から入力される機器入出力データを設定データ群４４０の機器入出力データテーブル４４３に設定し、設定状況４４７を「初期化必要」に変更する。

設定データ群４４０はネットワーク分類テーブル４４１とルーティングテーブル４４２、機器入出力テーブル４４３、代表機器テーブル４４４、実行モード４４５、暗号化用鍵４４６、設定状況４４７からなる。ネットワーク分類テーブル４４１は車載ゲートウェイ装置１０のもつ第１の通信部３０１、第２の通信部３０２、第３の通信部３０３、第４の通信部３０４が接続するネットワークが情報系、制御系、安全系いずれの分類のネットワークであるかを示す情報でＥＥＰＲＯＭ３１１に保存されており、運用用プログラム４２０の初期化機能４２９によって生成され、運用用プログラム４２０のネットワーク識別機能４２６に参照される。ルーティングテーブル４４２は車載ゲートウェイ装置１０に入力されるデータが第１の通信部３０１、第２の通信部３０２、第３の通信部３０３、第４の通信部３０４のいずれの通信部から入力されいずれの通信部へ出力する必要があるかを入力されるデータの識別子ごとに設定した情報でＥＥＰＲＯＭ３１１に保存されており、運用用プログラム４２０の初期化機能４２９によって生成され、運用用プログラム４２０のルーティング機能４２７に参照される。なおデータの識別子は同一の車両システム内においては異なる種類のデータで重複することは無いものである。機器入出力データテーブル４４３は車両システムを構成するネットワーク上に存在する全ての機器がネットワークに入出力するデータの識別子が機器ごとに設定されＥＥＰＲＯＭ３１１に保存されており、設定用プログラム４３０の設定情報保持機能４３２によって生成され、運用用プログラム４２０の初期化機能４２９に参照される。代表機器テーブル４４４は情報系、制御系、安全系の各分類のネットワークに代表的に接続される機器を示したものであり、ＲＯＭ３０８に保存され車載ゲートウェイ装置１０を製造した段階で生成され、後から改変はされず、運用用プログラム４２０の初期化機能４２９に参照される。実行モード４４５は運用用プログラム４２０と設定用プログラム４３０のいずれを実行するかを決めるための設定がなされており、モードスイッチで物理的に設定がなされている。設定の変更は作業者によって行われ、ブート用プログラム４１０のブート先選択機能４１１に車載ゲートウェイ装置１０の起動時に毎回参照される。暗号化用鍵４４６は制御系ネットワークから情報系ネットワークにデータを送信する際にデータに暗号化を行うための公開鍵と秘密鍵のセットでＲＯＭ３０８に保存されている。車載ゲートウェイ装置１０を製造した段階で生成され、運用用プログラム４２０の初期化機能４２９に公開鍵は参照され、運用用プログラム４２０のフィルタリング処理機能４２８に秘密鍵は参照される。設定状況４４７は運用用プログラム４２０の初期化機能４２９を実行してネットワーク分類テーブル４４１およびルーティングテーブル４４２の設定の更新が必要かを示し「初期化必要」「初期化不必要」のいずれかを示す値をもち、ＥＥＰＲＯＭ３１１に保存されている。運用用プログラム４２０の起動時に必ず参照され、設定用プログラム４３０の設定機器保持機能４３２により機器入出力データテーブル４４３の変更が行われたとき「初期化必要」に設定され、運用用プログラム４２０の初期化機能４２９の実行時に「初期化不必要」に設定される。

図５は、設定変更データ５１０を示し、図２のように車載ゲートウェイ装置１０と設定機器１１を設定機器用通信部３０５で接続した場合に設定機器１１から車載ゲートウェイ装置１０に機器入出力データテーブル４４３を変更するためのデータを送信する時のデータフォーマットを示す。設定変更データ５１０はデータタイプ識別子５１１、送信数５１５、シーケンシャル番号５１６、機器識別子５１２、入力／出力識別子５１３、入出力データ識別子５１４からなる。データタイプ識別子５１１は過去に設定されている機器入出力データを削除することを示す識別子「＃２００」と送信する設定変更データ５１０が機器入出力データに追加するべきデータであることを示す識別子「＃１００」のいずれかの値をとる。送信数５１５は全部でいくつのデータを送信するかを示す。シーケンシャル番号５１６は送信する全データのうち何番目のデータであるかを示す。機器識別子５１２は機器入出力データテーブル４４３に登録する機器識別子を示す。入力／出力識別子５１３は機器識別子５１２で示した機器に対する入力のデータなのか出力のデータなのかを示す識別子で入力であれば「０」を出力であれば「１」を設定する。入出力データ識別子５１４は機器識別子５１２で示した機器に入出力するデータの識別子を設定する。設定変更データ５１０は一つの機器に対して複数の入出力データが存在する場合は入出力データごとに一つずつ設定する必要がある。

図６は、初期化用通信データ６１０を示し、図１のように車載ゲートウェイ装置１０が車両システムのネットワークに接続した場合で運用用プログラム４２０の初期化機能４２９を実行する時に車載ゲートウェイ装置１０とネットワーク上の機器との間でやりとりに使われるデータフォーマットを示す。初期化用通信データ６１０は命令識別子６１１、送信機器識別子６１２からなる。命令識別子６１１は初期化用通信データ６１０がどういう種類のデータであるかを示し、命令識別子６１１が「＃１００」の場合は車載ゲートウェイ装置１０から接続するネットワーク上の機器へ送信される接続機器問い合わせを示し、命令識別子６１１が「＃１１０」の場合は車載ゲートウェイ装置１０へ接続するネットワーク上の機器から送信される機器の機器識別子を伝えるためのデータであることを示し、命令識別子６１１が「＃３００」の場合は車載ゲートウェイ装置１０から接続されるネットワーク上の機器へテスト用データの送信を頼むためのデータであることを示す。送信機器識別子６１２は初期化用通信データ６１０を送信した機器を示すためのデータであり、送信した機器の機器識別子が設定される。

図７は機器入出力データテーブル７１０を示し、設定データ群４４０の機器入出力データテーブル４４３に保存されているデータを示す。機器入出力データテーブル７１０は実行モード４４５が設定用プログラム４３０用になっているときに、設定機器１１から送信された内容に従い設定用プログラム４３０の設定情報保持機能４３２によって生成される。また機器入出力データテーブル７１０は実行モード４４５が運用用プログラム４２０用になっており、設定状況４４７が「初期化必要」を示すときにルーティングテーブル４４２を生成するために運用用プログラム４２０の初期化機能４２９によって参照される。機器入出力データテーブル７１０は機器識別子７１１、入力データ識別子７１２、出力データ識別子７１３からなる。機器識別子７１１は車両システム内のネットワークに接続される機器を区別するために用いられる識別子で同一の車両システム内では重複は無いものである。入力データ識別子７１２は機器識別子７１１で設定された機器にネットワークを介して入力されるデータの識別子を示す。このデータの識別子はデータの種類を示し、異なるデータで同一の識別子をもつものは存在しない。出力データ識別子７１３は機器識別子７１１で設定された機器からネットワークへ出力されるデータの識別子を示す。図７の例では、機器識別子＃１１０のカーナビゲーション装置はデータ識別子＃１１１の前方カーブの曲率を出力し、位置補正のためにデータ識別子＃１５２の車輪回転数を入力し、地図更新のためにデータ識別子＃１２１の更新地図情報を入力し、ドライバへの通知のためにデータ識別子＃１５３のブレーキパッド劣化情報を入力することを示す。機器識別子＃１２０のＤＣＭはデータ識別子＃１２１の更新地図情報を出力し、事故の緊急通知のためにデータ識別子＃１６１のエアバッグ作動情報を入力し、ディーラーへの通知のためにデータ識別子＃１５３のブレーキパッド劣化情報を入力する。機器識別子＃１３０のエンジンＥＣＵは緊急時のエンジン停止のためにデータ識別子＃１６１のエアバッグ作動情報を入力し、スロットルの開度を調整するためにデータ識別子＃１５１のブレーキ踏み込み量を入力することを示す。機器識別子＃１４０のステアリングＥＣＵは緊急時にステアリング操作をロックするためにデータ識別子＃１６１のエアバッグ作動情報を入力し、自動でのステアリング操作による滑らかなカーブ走行を実現するためにデータ識別子＃１１１の前方カーブ曲率を入力することを示す。機器識別子＃１５０のブレーキＥＣＵはデータ識別子＃１５１のブレーキ踏み込み量を出力し、データ識別子＃１５２の車輪回転数を出力し、データ識別子１５３のブレーキパッド劣化情報を出力し、緊急時のブレーキ操作を行うためにデータ識別子＃１６１のエアバッグ作動情報を入力し、確実にカーブを曲がるための減速処理を自動的に行うためにデータ識別子＃１１１の前方カーブ曲率を入力することを示す。機器識別子＃１６０のエアバッグＥＣＵはデータ識別子＃１６１のエアバッグ作動情報を出力することを示す。

図８は代表機器テーブル８１０を示し、設定データ群４４０の代表機器テーブル４４４に保存されているデータを示す。代表機器テーブル８１０は車載ゲートウェイ装置１０が製造された段階で設定されている。代表機器テーブル８１０は実行モード４４５が運用用プログラム４２０用になっており、設定状況４４７が「初期化必要」を示すときにネットワーク分類テーブル４４１を生成するために運用用プログラム４２０の初期化機能４２９によって参照される。代表機器テーブル８１０はネットワークの分類８１１と代表的な機器識別子８１２からなる。ネットワークの分類８１１はネットワークの分類である情報系、制御系、安全系のいずれかが設定される。代表的な機器識別子８１２はネットワークの分類８１１で設定された分類のネットワークに代表的に接続される機器の機器識別子を示す。図８の例では、情報系ネットワークの代表機器の機器識別子としてカーナビゲーション装置を示す機器識別子＃１１０が設定され、制御系ネットワークの代表機器の機器識別子としてエンジンＥＣＵを示す機器識別子＃１３０とブレーキＥＣＵを示す機器識別子＃１５０が設定され、安全系ネットワークの代表機器の機器識別子としてエアバッグＥＣＵを示す機器識別子＃１６０が設定されていることを示す。

図９はルーティングテーブル９１０を示し、設定データ群４４０のルーティングテーブル４４２に保存されているデータを示す。ルーティングテーブル４４２は実行モード４４５が運用用プログラム４２０用になっており、設定状況４４７が「初期化必要」を示すときに運用用プログラム４２０の初期化機能４２９によって生成され、実行モード４４５が運用用プログラム４２０用になっているとき、運用用プログラム４２０のルーティング機能４２７により入力されたデータの出力先を決定するために参照される。ルーティングテーブル９１０は入力データ識別子９１１と入力Ｉ／Ｆ９１２、出力Ｉ／Ｆ９１３からなる。入力データ識別子９１１は車載ゲートウェイ装置１０に入力されるデータのデータ識別子を示し、入力Ｉ／Ｆ９１２は入力データ識別子９１１に設定されたデータが車載ゲートウェイ装置１０のどの通信Ｉ／Ｆから入力されるかを示し、出力Ｉ／Ｆ９１３は入力データ識別子９１１に設定されたデータを必要とする機器が存在するネットワークが接続する車載ゲートウェイ装置１０の通信Ｉ／Ｆがどの通信Ｉ／Ｆであるかを示す。図９の例では、情報系ネットワーク２１に接続されるカーナビゲーション装置１１０から出力されるデータ識別子＃１１１の前方カーブ曲率は制御系ネットワーク２３に接続されるステアリングＥＣＵ１４０およびブレーキＥＣＵ１５０で安全にカーブを曲がるための自動ステアリング操作および自動減速に利用されるので、車載ゲートウェイ装置１０では第１の通信Ｉ／Ｆから入力され第３の通信Ｉ／Ｆに出力するようにルーティングが設定されていることを示す。制御系ネットワーク２３に接続するブレーキＥＣＵ１５０から出力されるデータ識別子＃１５１のブレーキ踏み込み量は制御系ネットワーク２２に接続されるエンジンＥＣＵ１３０でブレーキ操作の減速に応じてエンジンのスロットルの開度を調整するのに利用されるので、車載ゲートウェイ装置１０では第３の通信Ｉ／Ｆから入力され第２の通信Ｉ／Ｆに出力するようにルーティングが設定されていることを示す。制御系ネットワーク２３に接続するブレーキＥＣＵ１５０から出力されるデータ識別子が＃１５２の車輪回転数は情報系ネットワーク２１に接続されるカーナビゲーション装置１１０で位置の補正を行うのに利用されるので、車載ゲートウェイ装置１０では第３の通信Ｉ／Ｆから入力され第１の通信Ｉ／Ｆに出力するようにルーティングが設定されていることを示す。制御系ネットワーク２３に接続するブレーキＥＣＵ１５０から出力されるデータ識別子が＃１５３のブレーキパッド劣化情報は情報系ネットワーク２１に接続されるカーナビゲーション装置１１０でドライバに交換時期にきていることを知らせることに利用され、情報系ネットワーク２１に接続されるＤＣＭ１２０でディーラーへ交換時期がきていることを通知することに利用されるので、車載ゲートウェイ装置１０では第３の通信Ｉ／Ｆから入力され第１の通信Ｉ／Ｆに出力するようにルーティングが設定されていることを示す。安全系ネットワーク２４に接続するエアバッグＥＣＵ１６０から出力されるデータ識別子が＃１６１のエアバッグ作動情報は情報ネットワーク２１に接続されるＤＣＭ１２０で車外に事故がおきたことを伝える緊急通報に利用され、制御系ネットワーク２２に接続されるエンジンＥＣＵ１２０でエンジンの緊急停止を行うのに利用され、制御系ネットワーク２３に接続されるステアリングＥＣＵ１３０でステアリング操作をロックするのに利用され、制御系ネットワーク２３に接続されるブレーキＥＣＵ１４０でブレーキ操作を行うのに利用されるので、車載ゲートウェイ装置１０では第４の通信Ｉ／Ｆから入力され第１の通信Ｉ／Ｆ、第２の通信Ｉ／Ｆ、第３の通信Ｉ／Ｆに出力するようにルーティングが設定されていることを示す。

図１０はネットワーク分類テーブル１０１０を示し、設定データ群４４０のネットワーク分類テーブル４４１に保存されているデータを示す。ネットワーク分類テーブル１０１０は実行モード４４５が運用用プログラム４２０用になっており、設定状況４４７が「初期化必要」を示すときに運用用プログラム４２０の初期化機能４２９によって生成され、実行モード４４５が運用用プログラム４２０用になっているとき、運用用プログラム４２０のネットワーク識別機能４２６により入力されたデータの入力元通信Ｉ／Ｆから入力元ネットワークの分類を判断し、入力されたデータの出力先通信Ｉ／Ｆから出力先ネットワークの分類を判断するために参照される。ネットワーク分類テーブル１０１０は通信Ｉ／Ｆ１０１１とネットワークの分類１０１２からなる。通信Ｉ／Ｆ１０１１は車載ゲートウェイ装置１０の通信Ｉ／Ｆを示し、ネットワークの分類１０１２は通信Ｉ／Ｆ１０１１で設定した車載ゲートウェイ装置１０の通信Ｉ／Ｆに接続するネットワークが情報系、制御系、安全系のいずれの分類に該当するのかを示す。図１０の例では、第１の通信Ｉ／Ｆに接続するネットワークは情報系ネットワーク、第２の通信Ｉ／Ｆに接続するネットワークは制御系ネットワーク、第３の通信Ｉ／Ｆに接続するネットワークは制御系ネットワーク、第４の通信Ｉ／Ｆに接続するネットワークは安全系ネットワークであることを示す。

図１１は車載ゲートウェイ装置１０を起動したときの処理フローを示す。車載ゲートウェイ装置１０は起動されるとまずＲＯＭ３０８に格納されているブート用プログラム４１０を起動する（１１０１）。ブート用プログラム４１０はブート先選択機能４１１によりモードスイッチ３０９で物理的に設定されている実行モード４４５を参照しブート先を選択する（１１０２）。ブート用プログラム４１０はブート機能４１２により実行モード４４５での設定が設定用プログラム４３０であった場合はＲＯＭ３０８に格納されている設定用プログラム４３０を起動し自身を終了させる（１１０３）。その後設定用プログラム４３０が車載ゲートウェイ装置１０で実行される（１１０４）。処理１１０２の結果実行モード４４５での設定が運用用プログラム４２０であった場合はブート用プログラム４１０のブート機能４１２はＲＯＭ３０８に格納されている運用用プログラム４２０を起動し自身を終了させる（１１０５）その後運用用プログラム４２０が車載ゲートウェイ装置１０で実行される（１１０６）。このような処理により車載ゲートウェイ装置１０では起動時ごとにモードスイッチ３０９による設定あわせて設定用プログラム４３０もしくは運用用プログラム４２０を実行する。

図１２は設定作業者による機器入出力データの車載ゲートウェイ装置１０への設定処理フローを示す。設定作業者はまず車載ゲートウェイ装置１０のモードスイッチ３０９を設定用にセットする（１２０１）。そのうえで車載ゲートウェイ装置１０の電源を入れる（１２０２）。車載ゲートウェイ装置１０の起動が完了したら、図２にあるように設定機器１１を車載ゲートウェイ装置１０の設定機器用通信部３０５に接続する（１２０３）。設定作業者は設定機器１１上で機器入出力データテーブル７１０と同様のものを作成し車載ゲートウェイ装置１０へ送信する。設定作業者が送信処理を行うと設定機器１１からは５１０のデータフォーマットにしたがってデータを車載ゲートウェイ装置１０に送信する（１２０４）。送信が完了したら設定作業者は設定機器１１を車載ゲートウェイ装置１０から取り外す（１２０５）。そして車載ゲートウェイ装置１０の電源をＯｆｆにする（１２０６）。ここで車載ゲートウェイ装置１０のモードスイッチ３０９を運用用に設定し（１２０７）、図１のように車載ゲートウェイ装置１０を車両システムのネットワーク内にセットする（１２０８）。これで設定作業者による設定作業は完了する。

図１３は図２のように車載ゲートウェウィ装置１０がセットされ設定機器１１から設定情報を受信する時の設定用プログラム４３０の処理フローを示す。設定用プログラム４３０は実行モード４４５が設定用に設定されている状態で車載ゲートウェイ装置１０を起動したときに図１１の処理フローに従いブート用プログラムにより実行される。設定用プログラム４３０は実行されるとまず設定機器用通信Ｉ／Ｆと外部の設定機器との接続を確認する（１３０１）。設定機器１１から機器入出力データテーブルの更新内容を受信する。受信するデータのフォーマットは図５のフォーマットとなっており、シーケンシャル番号５１６と送信数５１５の値が等しくなるまで受信を続ける（１３０２）。受信したデータのシーケンシャル番号５１６の順番に一つ一つ処理をしていく。受信したデータのデータタイプ識別子が＃２００のときは、機器入出力データテーブル４４３の内容を全て削除し、データタイプ識別子が＃１００のときは該当するデータの内容を機器入出力データテーブル４４３に追加する（１３０３）。受信したデータによる更新が全て完了したら、設定用プログラム４３０は設定状況４４７を「初期化必要」に設定する（１３０４）。設定用プログラムはこれで処理を終える。

図１４は車載ゲートウェイ装置１０の運用用プログラム４２０の処理フローを示す。運用用プログラム４２０は実行モード４４５が運用用に設定されている状態で車載ゲートウェイ装置１０を起動したときに図１１の処理フローに従いブート用プログラムにより実行される。実行されると運用用プログラム４２０はまず設定状況４４７の値をみて初期化の要否を判定する（１４０７）。設定状況４４７が「初期化必要」と設定されていた場合は初期化機能４２９により初期化処理を行い（１４０２）、初期化処理の終了後、設定状況４４７の値を「初期化不必要」に設定する（１４０３）。初期化終了後、初期化したデータを基に接続するネットワークから入力されるデータに対してルーティング処理を行う（１４０４）。設定状況４４７が「初期化不必要」と設定されていた場合は処理１４０２の初期化処理、処理１４０３の初期化処理終了の設定を飛ばして、すぐにルーティング処理を開始する（１４０４）。初期化処理（１４０２）の詳細については図１５で、ルーティング処理（１４０４）の詳細については図１６で示す。

図１５は車載ゲートウェイ装置１０の運用用プログラム４２０における初期化機能４２９による初期化処理１４０２の処理フローを示す。

運用用プログラム４２０は車載ゲートウェイ装置１０に接続するネットワークに対してネットワーク上に接続する機器識別子を問い合わせる。問い合わせのメッセージは図６のフォーマットに従い、初期化用通信データ６１０の命令識別子６１１に「＃１００」を設定し、送信機器識別子６１２に車載ゲートウェイ装置１０を示す機器識別子の「＃１０」を設定したデータを送信する。これに対して図１のようなシステム構成では第１の通信部３０１には命令識別子６１１が「＃１１０」で送信機器識別子６１２が「＃１１０」のカーナビゲーション装置１１０から送られたデータ、命令識別子６１１が「＃１１０」で送信機器識別子６１２が「＃１２０」のＤＣＭ１２０から送られたデータが入力される。第２の通信部３０２には命令識別子６１１が「＃１１０」で送信機器識別子６１２が「＃１３０」のエンジンＥＣＵ１３０から送られたデータが入力される。第３の通信部３０３には命令識別子６１１が「＃１１０」で送信機器識別子６１２が「＃１４０」のステアリングＥＣＵ１４０から送られたデータ、命令識別子６１１が「＃１１０」で送信機器識別子６１２が「＃１５０」のブレーキＥＣＵ１５０から送られたデータが入力される。第４の通信部３０４には命令識別子６１１が「＃１１０」で送信識別子６１２が「＃１６０」のエアバッグＥＣＵ１６０から送られたデータが入力される（１５０１）。初期化機能４２９ではこの入力されたデータおよび機器入出力データテーブル４４３をもとにルーティングテーブル４４２を作成する（１５０２）。以下に図１のシステム構成で図７の機器入出力データテーブル７１０を持つ場合の作成の流れを示す。

第１の通信部３０１では機器識別子＃１１０と＃１２０のデータの入力を受け取る。機器入出力データテーブル７１０で機器識別子７１１が＃１１０と＃１２０の行を探すと、機器識別子７１１が＃１１０の行では入力データ識別子７１２は＃１２１と＃１５２、＃１５３であり、機器識別子７１１が＃１２０の行では入力データ識別子７１２は＃１５３と＃１６１であることがわかる。両者をあわせると第１の通信部３０１に接続するネットワーク上の機器に入力する必要のあるデータはデータ識別子＃１２１、＃１５２、＃１５３、＃１６１の４つのデータとなる。一方、機器入出力データテーブル７１０で出力データ識別子７１３が＃１２１である行は機器識別子７１１が＃１２０、出力データ識別子７１３が＃１５２である行は機器識別子７１１が＃１５０、出力データ識別子７１３が＃１５３である行は機器識別子７１１が＃１５０、出力データ識別子７１３が＃１６１である行は機器識別子７１１が＃１６０となる。各通信部に入力されたデータで送信識別子６１２が示す機器識別子が＃１２０のデータは第１の通信部３０１から、機器識別子が＃１５０のデータは第３の通信部３０３から、機器識別子が＃１６０のデータは第４の通信部３０４からであるので、ルーティング処理としては第３の通信部３０３から入力されたデータ識別子＃１５２、＃１５３のデータは第１の通信部３０１に出力し、第４の通信部３０４から入力されたデータ識別子＃１６１のデータは第１の通信部３０１に出力する必要があることがわかる。

第２の通信部３０２では機器識別子＃１３０のデータの入力を受け取る。機器入出力データテーブル７１０で機器識別子７１１が＃１３０の行を探すと、機器識別子７１１が＃１３０の行では入力データ識別子７１２は＃１５１と＃１６１であることがわかる。一方、機器入出力データテーブル７１０で出力データ識別子７１３が＃１５１である行は機器識別子７１１が＃１５０、出力データ識別子７１３が＃１６１である行は機器識別子７１１が＃１６０となる。各通信部に入力されたデータで送信識別子６１２が示す機器識別子が＃１５０のデータは第３の通信部３０３から、機器識別子が＃１６０のデータは第４の通信部３０４からであるので、ルーティング処理としては第３の通信部から入力されたデータ識別子＃１５１のデータは第２の通信部３０２に出力し、第４の通信部３０４から入力されたデータ識別子＃１６１のデータは第２の通信部３０２に出力する必要があることがわかる。

第３の通信部３０３では機器識別子＃１４０と＃１５０のデータの入力を受け取る。機器入出力データテーブル７１０で機器識別子７１１が＃１４０と＃１５０の行を探すと、機器識別子７１１が＃１４０の行では入力データ識別子７１２は＃１１１と＃１６１であり、機器識別子７１１が＃１５０の行では入力データ識別子７１２は＃１１１と＃１６１であることがわかる。両者をあわせると第３の通信部３０３に接続するネットワーク上の機器に入力する必要のあるデータはデータ識別子＃１１１、＃１６１の２つのデータとなる。一方、機器入出力データテーブル７１０で出力データ識別子７１３が＃１１１である行は機器識別子７１１が＃１１０、出力データ識別子７１３が＃１６１である行は機器識別子７１１が＃１６０となる。各通信部に入力されたデータで送信識別子６１２が示す機器識別子が＃１１０のデータは第１の通信部３０１から、機器識別子が＃１６０のデータは第４の通信部３０４からであるので、ルーティング処理としては第１の通信部３０１から入力されたデータ識別子＃１１１のデータは第３の通信部３０３に出力し、第４の通信部３０４から入力されたデータ識別子＃１６１のデータは第３の通信部３０３に出力する必要があることがわかる。

第４の通信部３０４では機器識別子＃１６０のデータの入力を受け取る。機器入出力データテーブル７１０で機器識別子７１１が＃１６０の行を探すと、機器識別子７１１が＃１６０の行では必要な入力データが存在しないことがわかる。よって第４の通信部３０４へ出力の必要があるデータはないことになる。

以上をデータ識別子ごとにまとめると図９のルーティングテーブル９１０のようになる。

初期化機能４２９は第１の通信部３０１に接続するネットワークから入力された機器識別子に代表機器テーブル４４４の設定においてネットワークの分類８１１が情報系に該当する項目の代表的な機器識別子８１２に設定された機器識別子が存在しないか比較する（１５１１）。存在する場合は第１の通信部３０１に接続するネットワークを情報系ネットワークと判定し（１５１５）、第１の通信部３０１に接続するネットワークに対して暗号化用鍵４４６にある公開鍵を配布する（１５１６）。情報系の代表的な機器識別子８１２に設定された機器識別子が存在しない場合、ネットワークの分類８１１が安全系に該当する項目の代表的な機器識別子８１２に設定された機器識別子が存在しないか比較する（１５１２）。存在する場合は第１の通信部３０１に接続するネットワークを安全系ネットワークと判定し（１５１４）、存在しない場合は第１の通信部３０１に接続するネットワークを制御系ネットワークと判定する（１５１３）。図１のシステム構成においては、第１の通信部３０１で機器識別子＃１１０と＃１２０のデータの入力を受け取る。一方、代表機器テーブル８１０ではネットワークの分類８１１が情報系の行の代表的な機器識別子８１２は＃１１０であるため、情報系の機器が存在していることがわかり（１５１１）、第1の通信部３０１に接続するネットワークを情報系ネットワークと判定する（１５１５）。情報系と判定したため、第1の通信部３０１に接続するネットワークに対して、暗号化用鍵４４６の公開鍵を出力する（１５１６）。

初期化機能４２９は第２の通信部３０２に接続するネットワークから入力された機器識別子に代表機器テーブル４４４の設定においてネットワークの分類８１１が情報系に該当する項目の代表的な機器識別子８１２に設定された機器識別子が存在しないか比較する（１５２１）。存在する場合は第２の通信部３０２に接続するネットワークを情報系ネットワークと判定し（１５２５）、第２の通信部３０２に接続するネットワークに対して暗号化用鍵４４６にある公開鍵を配布する（１５２６）。情報系の代表的な機器識別子８１２に設定された機器識別子が存在しない場合、ネットワークの分類８１１が安全系に該当する項目の代表的な機器識別子８１２に設定された機器識別子が存在しないか比較する（１５２２）。存在する場合は第２の通信部３０２に接続するネットワークを安全系ネットワークと判定し（１５２４）、存在しない場合は第２の通信部３０２に接続するネットワークを制御系ネットワークと判定する（１５２３）。図１のシステム構成においては、第２の通信部３０２で機器識別子＃１３０のデータの入力を受け取る。一方、代表機器テーブル８１０ではネットワークの分類８１１が情報系の行の代表的な機器識別子８１２は＃１１０であるため、情報系の機器が存在しないことがわかる（１５２１）。代表機器テーブル８１０ではネットワークの分類８１１が安全系の行の代表的な機器識別子８１２は＃１６０であるため、安全系の機器も存在しないことがわかる（１５２２）。よって第２の通信部３０２に接続するネットワークを制御系ネットワークと判定する（１５２５）。

初期化機能４２９は第３の通信部３０３に接続するネットワークから入力された機器識別子に代表機器テーブル４４４の設定においてネットワークの分類８１１が情報系に該当する項目の代表的な機器識別子８１２に設定された機器識別子が存在しないか比較する（１５３１）。存在する場合は第３の通信部３０３に接続するネットワークを情報系ネットワークと判定し（１５３５）、第３の通信部３０３に接続するネットワークに対して暗号化用鍵４４６にある公開鍵を配布する（１５３６）。情報系の代表的な機器識別子８１２に設定された機器識別子が存在しない場合、ネットワークの分類８１１が安全系に該当する項目の代表的な機器識別子８１２に設定された機器識別子が存在しないか比較する（１５３２）。存在する場合は第３の通信部３０３に接続するネットワークを安全系ネットワークと判定し（１５３４）、存在しない場合は第３の通信部３０３に接続するネットワークを制御系ネットワークと判定する（１５３３）。図１のシステム構成においては、第３の通信部３０３で機器識別子＃１４０と＃１５０のデータの入力を受け取る。一方、代表機器テーブル８１０ではネットワークの分類８１１が情報系の行の代表的な機器識別子８１２は＃１１０であるため、情報系の機器が存在しないことがわかる（１５３１）。代表機器テーブル８１０ではネットワークの分類８１１が安全系の行の代表的な機器識別子８１２は＃１６０であるため、安全系の機器も存在しないことがわかる（１５３２）。よって第３の通信部３０３に接続するネットワークを制御系ネットワークと判定する（１５３５）。

初期化機能４２９は第４の通信部３０４に接続するネットワークから入力された機器識別子に代表機器テーブル４４４の設定においてネットワークの分類８１１が情報系に該当する項目の代表的な機器識別子８１２に設定された機器識別子が存在しないか比較する（１５４１）。存在する場合は第４の通信部３０４に接続するネットワークを情報系ネットワークと判定し（１５４５）、第４の通信部３０４に接続するネットワークに対して暗号化用鍵４４６にある公開鍵を配布する（１５４６）。情報系の代表的な機器識別子８１２に設定された機器識別子が存在しない場合、ネットワークの分類８１１が安全系に該当する項目の代表的な機器識別子８１２に設定された機器識別子が存在しないか比較する（１５４２）。存在する場合は第４の通信部３０４に接続するネットワークを安全系ネットワークと判定し（１５４４）、存在しない場合は第４の通信部３０４に接続するネットワークを制御系ネットワークと判定する（１５４３）。図１のシステム構成においては、第４の通信部３０４で機器識別子＃１６０のデータの入力を受け取る。一方、代表機器テーブル８１０ではネットワークの分類８１１が情報系の行の代表的な機器識別子８１２は＃１１０であるため、情報系の機器が存在しないことがわかる（１５４１）。代表機器テーブル８１０ではネットワークの分類８１１が安全系の行の代表的な機器識別子８１２は＃１６０であるため、安全系の機器が存在することが（１５４２）。よって第４の通信部３０４に接続するネットワークを安全系ネットワークと判定する（１５４５）。

初期化機能４２９は処理１５１１から処理１５４７までの結果として得られた各通信部に接続するネットワークの分類の結果をネットワーク分類テーブル４４１に設定する（１５５１）。図1のシステム構成の場合、第1の通信部３０１に接続するネットワークは情報系ネットワークと判定され、第２の通信部３０２に接続するネットワークは制御系ネットワークと判定され、第３の通信部３０３に接続するネットワークは制御系ネットワークと判定され、第４の通信部３０４に接続するネットワークは安全系ネットワークと判定され、第１の通信部３０１に対するドライバ機能は第１の通信Ｉ／Ｆ４２１、第２の通信部３０２に対するドライバ機能は第２の通信Ｉ／Ｆ４２２、第３の通信部３０３に対するドライバ機能は第３の通信Ｉ／Ｆ４２３、第４の通信部３０４に対するドライバ機能は第４の通信Ｉ／Ｆ４２４であるため、図１０のネットワーク分類テーブル１０１０のような通信Ｉ／Ｆ１０１１が第１の通信Ｉ／Ｆに対するネットワークの分類１０１２が情報系、通信Ｉ／Ｆ１０１１が第２の通信Ｉ／Ｆに対するネットワークの分類１０１２が制御系、通信Ｉ／Ｆ１０１１が第３の通信Ｉ／Ｆに対するネットワークの分類１０１２が制御系、通信Ｉ／Ｆ１０１１が第４の通信Ｉ／Ｆに対するネットワークの分類１０１２が安全系という設定を行う。

図１６は車載ゲートウェイ装置１０の運用用プログラム４２０におけるルーティング処理の処理フローを示す。運用用プログラム４２０は第１の通信Ｉ／Ｆ４２１、第２の通信Ｉ／Ｆ４２２、第３の通信Ｉ／Ｆ４２３、第４の通信Ｉ／Ｆ４２４のいずれかのドライバ機能を経由して、送受信機能４２５において接続するネットワークからデータの入力を受け取る（１６０１）。ネットワーク識別機能４２６は入力を受けた通信Ｉ／Ｆとネットワーク分類テーブル４４１を用いて入力元のネットワークの分類を確認する（１６０２）。入力元ネットワークが安全系ネットワークであるか確認し（１６０３）、安全系ネットワークであった場合はルーティング機能４２７を実行せず、即座に車載ゲートウェイ装置１０が接続する全てのネットワークに対して送受信機能４２５を用いて入力データを出力し処理を終える（１６０４）。入力元ネットワークが安全系ネットワークでなかった場合、ルーティング機能４２７によりルーティングテーブル４４２を用いて出力先の通信Ｉ／Ｆを確認する（１６０５）。処理１６０５の結果、ルーティング機能４２７は出力先があるか確認する（１６０６）出力先がない場合はデータを破棄し処理を終える（１６１２）。処理１６０５の結果出力先があった場合は処理をフィルタリング処理機能４２８に移す。フィルタリング処理機能４２８は、ネットワーク分類テーブル４４１を用いて出力先の通信Ｉ／Ｆに対応するネットワークの分類を確認し、入力元と出力先が同じ分類のネットワークであるか確認する（１６０７）。入力元と出力先が同じ分類のネットワークであった場合は送受信機能４２５を用いて入力データをそのまま出力し処理を終える（１６１３）。入力元と出力先が異なる分類のネットワークである場合、入力元が情報系であり出力先が制御系であるか確認する（１６０８）。入力元が情報系で出力先が制御系の場合の処理は図１７の説明で述べる（１６１４）。入力元が情報系でないか出力先が制御系でない場合、入力元が情報系で出力先が安全系であるか確認する（１６０９）。入力元が情報系で出力先が安全系の場合フィルタリング処理機能４２８は入力データを破棄し処理を終える（１６１５）。入力元が情報系でないか出力先が安全系でない場合、入力元が制御系で出力先が情報系であるか確認する（１６１０）。入力元が制御系で出力先が情報系である場合、フィルタリング処理機能４２８は入力データを暗号化用鍵４４６の秘密鍵で暗号化し（１６１６）、送受信機能４２５で出力先のネットワークに出力し処理を終える（１６１７）。入力元が制御系でないか出力先が情報系でない場合、フィルタリング処理機能４２８は入力データを破棄し処理を終える（１６１８）。

図１７は車載ゲートウェイ装置１０の運用用プログラム４２０におけるルーティング処理の処理フローのうちフィルタリング処理機能４２８で入力データの入力元ネットワークが情報系ネットワークで出力先ネットワークが制御系ネットワークの場合の処理フローを示す。フィルタリング処理機能４２８は入力データのチェックサムの確認をする（１７０１）。エラーがあった場合、フィルタリング処理機能４２８は入力データを破棄して処理を終了する（１７０７）。エラーがなかった場合、出力先のネットワークの負荷を確認する（１７０２）。ここで入力データが複数の出力先を持ち、その中に制御系のネットワークが複数ある場合、同時に複数の制御系のネットワークの負荷を確認する。確認の結果、出力先の全ての制御系のネットワークのネットワーク負荷が５０％未満であった場合、送受信機能４２５により入力データを出力先ネットワークに出力する（１７０６）。確認の結果、出力先の全ての制御系のネットワークのうち一つでもネットワーク負荷が５０％以上のものがあった場合、３０ミリ秒待ち（１７０４）、再度ネットワーク負荷の確認を行う。この３０ミリ秒待っては負荷を確認することを１０回繰り返すまでに出力先の全ての制御系ネットワークのネットワーク負荷が５０％未満になることがあれば、送受信機能４２５により入力データを出力し、５０％未満になることなく１０回繰り返した（１７０３）場合は、フィルタリング処理機能４２８は入力データを破棄して処理を終了する（１７０５）。

図１の構成の場合、例えばエアバッグ１６０からデータ識別子が＃１６１のエアバッグ作動情報が送信された場合、車載ゲートウェイ装置１０には第４の通信Ｉ／Ｆ４２４を経由して送受信機能４２５に入力される。入力元が第４の通信Ｉ／Ｆ４２４であるため、ネットワーク識別機能４２６はネットワーク分類テーブル１０１０から入力元のネットワークの分類が安全系だと判定し、即座に送受信機能４２５により車載ゲートウェイ装置１０に接続する全てのネットワークである情報系ネットワーク２１、制御系ネットワーク２２、制御系ネットワーク２３、安全系ネットワーク２４に入力データであるデータ識別子が＃１６１のエアバッグ作動情報を出力する。なお、出力されたデータは情報系ネットワーク２１ではＤＣＭ１２０が取得し事故の緊急通知を車外に行い、制御系ネットワーク２２ではエンジンＥＣＵ１３０が取得しエンジンの停止を自動的に行い、制御系ネットワーク２３ではステアリングＥＣＵ１４０、ブレーキＥＣＵ１５０が取得しステアリング操作のロックと自動ブレーキの操作が行われる。

図１の構成の場合、他に例えばブレーキＥＣＵ１５０からデータ識別子が＃１５２の車輪回転数が送信された場合、車載ゲートウェイ装置１０には第３の通信Ｉ／Ｆ４２３を経由して送受信機能４２５に入力される。入力元が第３の通信Ｉ／Ｆ４２３であるため、ネットワーク識別機能４２６はネットワーク分類テーブル１０１０から入力元のネットワークの分類が制御系だと判断する。ルーティング機能４２７はルーティングテーブル９１０を用いて出力先Ｉ／Ｆが第１の通信Ｉ／Ｆ４２１であることを確認する。フィルタリング処理機能はネットワーク分類テーブル１０１０を用いて出力先のネットワークの分類が情報系と判断し、入力元が制御系ネットワークで出力先が情報系ネットワークであるため、暗号化用鍵４４６の秘密鍵を用いて暗号化を行い、送受信機能４２５を用いてデータ識別子が＃１５２の車輪回転数を出力する。なお、出力されたデータは情報系ネットワークでカーナビゲーション装置１１０が取得し位置補正に利用される。

図１の構成の場合、他に例えばカーナビゲーション装置１１０からデータ識別子が＃１１１の前方カーブ曲率が送信された場合、車載ゲートウェイ装置１０には第１の通信Ｉ／Ｆ４２１を経由して送受信機能４２５に入力される。入力元が第１の通信Ｉ／Ｆ４２３であるため、ネットワーク識別機能４２６はネットワーク分類テーブル１０１０から入力元のネットワークの分類が情報系だと判断する。ルーティング機能４２７はルーティングテーブル９１０を用いて出力先Ｉ／Ｆが第３の通信Ｉ／Ｆ４２１であることを確認する。フィルタリング処理機能はネットワーク分類テーブル１０１０を用いて出力先のネットワークの分類が制御系と判断し、入力元が制御系ネットワークで出力先が制御系ネットワークであるため、出力先の情報系ネットワーク２３のネットワーク負荷を確認する。30ミリ秒に一度ネットワーク負荷を確認し、１０回以内にネットワーク負荷が５０％未満になるときがあれば送受信機能４２５を用いてデータ識別子が＃１１１の前方カーブ曲率のデータを制御系ネットワーク２３に出力する。なお、出力されたデータは制御系ネットワーク２３上のステアリングＥＣＵ１４０、ブレーキＥＣＵ１５０に到達し自動的に安全なカーブの走行が行えるように減速およびステアリング操作が行われる。

第１の実施例では初期化機能４２９においてネットワーク分類テーブル４４１を生成するときに代表機器テーブル４４４を用いた。しかし、代表機器テーブル４４４は車載ゲートウェイ装置１０を製造した段階で設定されており、実際に車載ゲートウェイ装置１０を設定する車両システムにおいては代表機器テーブル４４４に記載の機器が一つも存在しないネットワークをもっている可能性もありえる。そこでそのような場合でも的確にネットワークの分類が行えるように、初期化機能４２９においてネットワークのバス負荷およびデータ送信頻度からネットワークの分類を決定する第２の実施例を示す。

システム構成、ハードウェア構成は第１の実施例と同様であり、ソフトウェア構成は第１の実施例から代表機器テーブル４４４を除いたものであり、ブート用プログラム４１０、設定用プログラム４３０はまったく同一であり、運用用プルグラム４２０も初期化機能４２９以外はまったく同一である。ここでは処理内容が異なる初期化機能４２９について示す。

図１８が第２の実施例の初期化機能４２９の処理フローを示す。

運用用プログラム４２０は車載ゲートウェイ装置１０に接続するネットワークに対してネットワーク上に接続する機器識別子を問い合わせる。問い合わせのメッセージは図６のフォーマットに従い、初期化用通信データ６１０の命令識別子６１１に「＃１００」を設定し、送信機器識別子６１２に車載ゲートウェイ装置１０を示す機器識別子の「＃１０」を設定したデータを送信する。これに対して図１のようなシステム構成では第１の通信部３０１には命令識別子６１１が「＃１１０」で送信機器識別子６１２が「＃１１０」のカーナビゲーション装置１１０から送られたデータ、命令識別子６１１が「＃１１０」で送信機器識別子６１２が「＃１２０」のＤＣＭ１２０から送られたデータが入力される。第２の通信部３０２には命令識別子６１１が「＃１１０」で送信機器識別子６１２が「＃１３０」のエンジンＥＣＵ１３０から送られたデータが入力される。第３の通信部３０３には命令識別子６１１が「＃１１０」で送信機器識別子６１２が「＃１４０」のステアリングＥＣＵ１４０から送られたデータ、命令識別子６１１が「＃１１０」で送信機器識別子６１２が「＃１５０」のブレーキＥＣＵ１５０から送られたデータが入力される。第４の通信部３０４には命令識別子６１１が「＃１１０」で送信識別子６１２が「＃１６０」のエアバッグＥＣＵ１６０から送られたデータが入力される（１８０１）。初期化機能４２９ではこの入力されたデータおよび機器入出力データテーブル４４３をもとにルーティングテーブル４４２を作成する（１８０２）。図１のシステム構成で図７の機器入出力データテーブル７１０を持つ場合のルーティングテーブル４４２作成の流れは図１５の処理１５０２の場合と同様となる。

第１の通信部３０１に接続するネットワークのバス負荷とデータの送信頻度を測定する（１８１１）。測定されたデータの送信頻度について頻度が最大のデータで送信頻度が５００ミリ秒に一回未満であるか調べる（１８１２）。５００ミリ秒に一回以上であった場合は該当するネットワークを制御系と設定する（１８１６）。５００ミリ秒に一回未満であった場合バス負荷が最大で２０％未満であったかを調べる（１８１３）。２０％未満であった場合、該当するネットワークを安全系と設定する（１８１４）。２０％以上であった場合、該当するネットワークを情報系と設定する（１８１５）。図１のシステム構成においては、第１の通信部３０１に接続するネットワークのデータの送信頻度は１秒に一回、バス負荷は５０％であったとする。するとデータの送信頻度が５００ミリ秒に一回未満であり（１８１２）、バス負荷が２０％以上であるため（１８１３）該当するネットワークは情報系と設定される（１８１５）。

第２の通信部３０２に接続するネットワークのバス負荷とデータの送信頻度を測定する（１８２１）。測定されたデータの送信頻度について頻度が最大のデータで送信頻度が５００ミリ秒に一回未満であるか調べる（１８２２）。５００ミリ秒に一回以上であった場合は該当するネットワークを制御系と設定する（１８２６）。５００ミリ秒に一回未満であった場合バス負荷が最大で２０％未満であったかを調べる（１８２３）。２０％未満であった場合、該当するネットワークを安全系と設定する（１８２４）。２０％以上であった場合、該当するネットワークを情報系と設定する（１８２５）。図１のシステム構成においては、第２の通信部３０２に接続するネットワークのデータの送信頻度は３０ミリ秒に一回、バス負荷は２０％であったとする。するとデータの送信頻度が５００ミリ秒に一回以上であるため（１８２２）該当するネットワークは制御系と設定される（１８２６）。

第３の通信部３０３に接続するネットワークのバス負荷とデータの送信頻度を測定する（１８３１）。測定されたデータの送信頻度について頻度が最大のデータで送信頻度が５００ミリ秒に一回未満であるか調べる（１８３２）。５００ミリ秒に一回以上であった場合は該当するネットワークを制御系と設定する（１８３６）。５００ミリ秒に一回未満であった場合バス負荷が最大で２０％未満であったかを調べる（１８３３）。２０％未満であった場合、該当するネットワークを安全系と設定する（１８３４）。２０％以上であった場合、該当するネットワークを情報系と設定する（１８３５）。図１のシステム構成においては、第３の通信部３０３に接続するネットワークのデータの送信頻度は３０ミリ秒に一回、バス負荷は２０％であったとする。するとデータの送信頻度が５００ミリ秒に一回以上であるため（１８３２）該当するネットワークは制御系と設定される（１８３６）。

第４の通信部３０４について接続するネットワークのバス負荷とデータの送信頻度を測定する（１８４１）。測定されたデータの送信頻度について頻度が最大のデータで送信頻度が５００ミリ秒に一回未満であるか調べる（１８４２）。５００ミリ秒に一回以上であった場合は該当するネットワークを制御系と設定する（１８４６）。５００ミリ秒に一回未満であった場合バス負荷が最大で２０％未満であったかを調べる（１８４３）。２０％未満であった場合、該当するネットワークを安全系と設定する（１８４４）。２０％以上であった場合、該当するネットワークを情報系と設定する（１８４５）。図１のシステム構成においては、第４の通信部３０４に接続するネットワークではデータが一度も送信されなかったとする。するとデータの送信頻度が５００ミリ秒に一回未満であり（１８４２）、ネットワークのバス負荷も２０％未満であるため（１３４３）、該当するネットワークは安全系と設定される（１８４４）。

初期化機能４２９は処理１８１１から処理１８４７までの結果として得られた各通信部に接続するネットワークの分類の結果をネットワーク分類テーブル４４１に設定する（１５５１）。図1のシステム構成の場合、第1の通信部３０１に接続するネットワークは情報系ネットワークと判定され、第２の通信部３０２に接続するネットワークは制御系ネットワークと判定され、第３の通信部３０３に接続するネットワークは制御系ネットワークと判定され、第４の通信部３０４に接続するネットワークは安全系ネットワークと判定され、第１の通信部３０１に対するドライバ機能は第１の通信Ｉ／Ｆ４２１、第２の通信部３０２に対するドライバ機能は第２の通信Ｉ／Ｆ４２２、第３の通信部３０３に対するドライバ機能は第３の通信Ｉ／Ｆ４２３、第４の通信部３０４に対するドライバ機能は第４の通信Ｉ／Ｆ４２４であるため、図１０のネットワーク分類テーブル１０１０のような通信Ｉ／Ｆ１０１１が第１の通信Ｉ／Ｆに対するネットワークの分類１０１２が情報系、通信Ｉ／Ｆ１０１１が第２の通信Ｉ／Ｆに対するネットワークの分類１０１２が制御系、通信Ｉ／Ｆ１０１１が第３の通信Ｉ／Ｆに対するネットワークの分類１０１２が制御系、通信Ｉ／Ｆ１０１１が第４の通信Ｉ／Ｆに対するネットワークの分類１０１２が安全系という設定を行う。

車載ゲートウェイ装置１０は動的にルーティングテーブルおよびルーティング時の処理を決定することができ、ネットワークの特性を考慮したルーティング機能の自動設定を行うことができ、車載ゲートウェイ装置１０の設定作業の手間を省くことができる。

車両システムの構成例 車載ゲートウェイ装置の設定時の車両システムの構成例 車載ゲートウェイ装置のハードウェア構成 車載ゲートウェイ装置のソフトウェア構成 車載ゲートウェイ装置と設定機器の間での通信のデータフォーマット 車載ゲートウェイ装置と車両システム内の機器の間での初期化のための通信のデータフォーマット 車両システム内の機器別の入出力データのリスト ネットワークの分類を示す代表機器テーブル 車載ゲートウェイ装置におけるルーティングテーブル 車載ゲートウェイ装置に接続するネットワークの分類テーブル 車載ゲートウェイ装置の起動時の処理フロー 設定作業者による設定処理の処理フロー 車載ゲートウェイ装置の設定用プログラムの処理フロー 車載ゲートウェイ装置の運用用プログラムの処理フロー 車載ゲートウェイ装置の運用用プログラムの初期化処理フロー 車載ゲートウェイ装置のルーティング処理フロー 車載ゲートウェイ装置の情報系から制御系へのルーティング処理の処理フロー 第２の実施例の車載ゲートウェイ装置の初期化処理フロー

符号の説明

１０‥車載ゲートウェイ装置、２１‥情報系ネットワーク、２２、２３‥制御系ネットワーク、２４‥安全系ネットワーク、１１０‥カーナビゲーション装置、１２０‥ＤＣＭ、１３０‥エンジンＥＣＵ、１４０‥ステアリングＥＣＵ、１５０‥ブレーキＥＣＵ、１６０‥エアバッグＥＣＵ。

Claims (14)

1. 複数の異なるネットワークに接続され、前記ネットワーク間のデータ授受を行う車載ゲートウェイ装置におけるルーティング方法において、
   前記各ネットワークに流れるデータに基づいて前記各ネットワークを情報系または制御系または安全系の何れかに分類するステップと、
   前記各ネットワークから受信したデータを予め設定されたテーブルに基づいて送信先ネットワークを決定するステップと、
   前記送信先ネットワークが受信元ネットワークと異なる場合に、前記各ネットワークの重要度に応じて転送するデータを加工・編集するステップとを備える、車載ゲートウェイ装置におけるルーティング方法。
2. 請求項１に記載の車載ゲートウェイ装置におけるルーティング方法において、
   前記分類するステップは、カーナビゲーション装置または車両外部と通信するための装置の少なくとも１つが接続されたネットワークを情報系と分類し、エンジンまたはブレーキ、ステアリングをコントロールするための装置の少なくとも１つが接続されたネットワークを制御系と分類し、エアバッグまたはプリクラッシュセーフティ用のコントローラの少なくとも１つが接続されたネットワークを安全系と分類する車載ゲートウェイ装置におけるルーティング方法。
3. 請求項１に記載の車載ゲートウェイ装置におけるルーティング方法において、
   前記分類するステップは、車載ゲートウェイ装置に接続する各ネットワーク上を流れるデータ量および同じ種類のデータが送信される頻度を監視し、データの送信頻度があらかじめ設定された送信頻度の閾値以下でネットワークのバス負荷率があらかじめ設定されたバス負荷の閾値を超えるようなネットワークを情報系と分類し、データの送信頻度があらかじめ設定された送信頻度の閾値以上でネットワークのバス負荷率があらかじめ設定されたバス負荷の閾値を超えるようなネットワークを制御系と分類し、データの送信頻度があらかじめ設定された送信頻度以下でネットワークのバス負荷率があらかじめ設定されたバス負荷以下のネットワークを安全系と分類する、車載ゲートウェイ装置におけるルーティング方法。
4. 請求項１に記載の車載ゲートウェイ装置におけるルーティング方法において、
   情報系ネットワークから受信したデータを制御系のネットワークに送信する際、受信したデータのフォーマットが正しいものかをチェックサムまたはCRCを用いて確認するとともに、送信先となる制御系ネットワークのバス負荷を確認し、フォーマットが正しく送信先となる制御系ネットワークのバス負荷が所定の割合以下のときにデータを制御系に送信する、車載ゲートウェイ装置におけるルーティング方法。
5. 請求項１に記載の車載ゲートウェイ装置におけるルーティング方法において、
   制御系ネットワークから受信したデータを情報系ネットワークに送信する際、暗号化して送信する、車載ゲートウェイ装置におけるルーティング方法。
6. 請求項１に記載の車載ゲートウェイ装置におけるルーティング方法において、
   安全系ネットワークからデータを受信した場合、ルーティングの内容にかかわらず車載ゲートウェイ装置に接続する情報系ネットワークおよび制御系ネットワークに送信する、車載ゲートウェイ装置におけるルーティング方法。
7. 請求項１に記載の車載ゲートウェイ装置におけるルーティング方法において、
   安全系ネットワークへの送信データは、ルーティングの内容にかかわらず破棄して安全系ネットワークへのデータの出力を行わない、車載ゲートウェイ装置におけるルーティング方法。
8. 複数の異なるネットワークに接続され、前記ネットワーク間のデータ授受を行う車載ゲートウェイ装置において、
   前記各ネットワークに流れるデータに基づいて前記各ネットワークを情報系または制御系または安全系の何れかに分類する手段と、
   前記各ネットワークから受信したデータを予め設定されたテーブルに基づいて送信先ネットワークを決定する手段と、
   前記送信先ネットワークが受信元ネットワークと異なる場合に、前記各ネットワークの重要度に応じて転送するデータを加工・編集する手段とを備える車載ゲートウェイ装置。
9. 請求項８に記載の車載ゲートウェイ装置において、
   前記分類する手段は、カーナビゲーション装置または車両外部と通信するための装置の少なくとも１つが接続されたネットワークを情報系と分類し、エンジンまたはブレーキ、ステアリングをコントロールするための装置の少なくとも１つが接続されたネットワークを制御系と分類し、エアバッグまたはプリクラッシュセーフティ用のコントローラの少なくとも１つが接続されたネットワークを安全系と分類する車載ゲートウェイ装置。
10. 請求項８に記載の車載ゲートウェイ装置において、
    前記分類する手段は、車載ゲートウェイ装置に接続する各ネットワーク上を流れるデータ量および同じ種類のデータが送信される頻度を監視し、データの送信頻度があらかじめ設定された送信頻度の閾値以下でネットワークのバス負荷率があらかじめ設定されたバス負荷の閾値を超えるようなネットワークを情報系と分類し、データの送信頻度があらかじめ設定された送信頻度の閾値以上でネットワークのバス負荷率があらかじめ設定されたバス負荷の閾値を超えるようなネットワークを制御系と分類し、データの送信頻度があらかじめ設定された送信頻度度以下でネットワークのバス負荷率があらかじめ設定されたバス負荷以下のネットワークを安全系と分類する車載ゲートウェイ装置。
11. 請求項８に記載の車載ゲートウェイ装置において、
    情報系ネットワークから受信したデータを制御系のネットワークに送信する際、受信したデータのフォーマットが正しいものかをチェックサムまたはCRCを用いて確認するとともに、送信先となる制御系ネットワークのバス負荷を確認し、フォーマットが正しく送信先となる制御系ネットワークのバス負荷が所定の割合以下のときにデータを制御系に送信する手段を備える車載ゲートウェイ装置。
12. 請求項８に記載の車載ゲートウェイ装置において、
    制御系ネットワークから受信したデータを情報系ネットワークに送信する際、暗号化して送信する手段を備える車載ゲートウェイ装置。
13. 請求項８に記載の車載ゲートウェイ装置において、
    安全系ネットワークからデータを受信した場合、ルーティングの内容にかかわらず車載ゲートウェイ装置に接続する情報系ネットワークおよび制御系ネットワークに送信する手段を備える車載ゲートウェイ装置。
14. 請求項８に記載の車載ゲートウェイ装置において、
    安全系ネットワークへの送信データは、ルーティングの内容にかかわらず破棄して安全系ネットワークへのデータの出力を行わない車載ゲートウェイ装置。

Images