JP2017147609A - 通信システム、通信制御方法及びコンピュータプログラム - Google Patents

Abstract

【課題】通信線を介した不正なアクセスが継続的に実行されることを防止することができる通信システム、通信制御方法及びコンピュータプログラムを提供する。【解決手段】無線器１４は、ネットワークＮ１を介したサーバ３との無線通信と、車外バスＢ１を介した有線通信とを行う。中継装置１０は、車外バスＢ１を介して送信されたデータを受信する。中継装置１０は、受信したデータに関して、所定条件が満たされた場合、リレー１３のコイル１３ｅに電力を供給することにより、一端がＣＯＭ端子１３ａに接続されている棒状の導体１３ｄをＮＯ端子１３ｃ側に引付け、ＣＯＭ端子１３ａの接続先をＮＣ端子１３ｂからＮＯ端子１３ｃに切替える。これにより、無線器１４及び車外バスＢ１の接続が切離される。【選択図】図１

Description

本発明は、通信線を介した通信が行われる通信システム、並びに、通信線を介した通信を制御する通信制御方法及びコンピュータプログラムに関する。

車両には、第１通信線に接続されている第１通信装置と、第２通信線に接続されている第２通信装置との通信を、第１通信線及び第２通信線夫々に接続されている中継装置が中継する通信システムが搭載されている（例えば、特許文献１を参照）。特許文献１に記載の通信システムでは、第１通信装置は、車外装置と無線通信を行い、車外装置から受信したデータを、第１通信線を介して中継装置に送信する。中継装置は、第１通信装置から受信したデータを、第２通信線を介して第２通信装置に送信する。

中継装置にはパスワードが予め記憶されている。中継装置は、第１通信装置からデータを受信した場合、車外装置にパスワードの送信を要求し、車外装置からパスワードを受信する。中継装置は、車外装置から受信したパスワードと、予め記憶されているパスワードとが一致している場合、第１通信装置から受信したデータを第２通信装置に送信する。中継装置は、車外装置から受信したパスワードと、予め記憶されているパスワードとが不一致である場合、第１通信装置から受信したデータを第２通信装置に送信する処理を停止する。これにより、第１通信線を介した車外装置から第２通信装置への不正なアクセスが防止される。

特開２００３−４６５３６号公報

しかしながら、特許文献１に記載されているような従来の通信システムにおいて、第１通信線に第１通信装置とは異なる第３通信装置が接続されている場合、第１通信装置は、中継装置を介さずに第３通信装置と通信する。このため、従来の通信システムには、車外装置から第３通信装置への不正なアクセスが継続的に実行される虞がある。

例えば、第１通信装置が無用なデータを、短い時間間隔で送信し続けて第１通信線を占有している場合、第３通信装置は第１通信線を介して通信を行うことができず、第３通信装置の通信機能は実質的に停止する。

本発明は斯かる事情に鑑みてなされたものであり、その目的とするところは、通信線を介した不正なアクセスが継続的に実行されることを防止することができる通信システム、通信制御方法及びコンピュータプログラムを提供することにある。

本発明に係る通信システムは、通信線に接続され、該通信線を介した有線通信と無線通信とを行う無線器を備える通信システムにおいて、前記通信線を介して送信されたデータを受信する受信部と、該受信部が受信したデータに関して、所定条件が満たされた場合に前記無線器及び通信線の接続を切離す切離し部とを備えることを特徴とする。

本発明に係る通信システムは、データを識別するための識別情報が記憶されている記憶部を備え、前記通信線を介して送信されるデータには前記識別情報が含まれており、前記切離し部は、前記受信部が受信したデータに含まれる前記識別情報が前記記憶部に記憶されていない場合に前記接続を切離すことを特徴とする。

本発明に係る通信システムは、前記通信線を介して送信されるデータのフォーマットは予め決められており、前記切離し部は、前記受信部が受信したデータのフォーマットが、予め決められたフォーマットと異なる場合に前記接続を切離すことを特徴とする。

本発明に係る通信システムは、前記通信線を介して送信されるデータに該データを識別するための識別情報が含まれており、前記切離し部は、同一の該識別情報を含むデータを前記受信部が受信した時間間隔が所定時間未満である場合に前記接続を切離すことを特徴とする。

本発明に係る通信システムは、前記切離し部は、前記受信部が第２の所定時間内に受信したデータの総量が所定量以上である場合に前記接続を切離すことを特徴とする。

本発明に係る通信システムは、データを受信する第２の受信部を備え、前記切離し部は、前記所定条件が満たされた場合に前記無線器の接続先を前記通信線から前記第２の受信部に切替え、前記切離し部は、前記第２の受信部が受信したデータに関して、第２の所定条件が満たされた場合に、前記無線器の接続先を前記第２の受信部から前記通信線に切替えることを特徴とする。

本発明に係る通信システムは、前記通信線に接続されている通信装置と、前記第２の受信部が受信したデータを、前記通信線を介して前記通信装置に送信する送信部とを備えることを特徴とする。

本発明に係る通信システムは、第２の通信線と、該第２の通信線に接続されている第２の通信装置と、前記受信部が受信したデータを、該第２の通信線を介して前記第２の通信装置に送信する第２の送信部とを備えることを特徴とする。

本発明に係る通信制御方法は、通信線を介して送信されたデータを受信し、受信したデータに関して、所定条件が満たされた場合に、前記通信線を介して有線通信、及び、無線通信を行う無線器と該通信線との接続を切離すことを特徴とする。

本発明に係るコンピュータプログラムは、通信線を介して送信されたデータを取得し、取得したデータに関して、所定条件が満たされた場合に、前記通信線を介した有線通信、及び、無線通信を行う無線器と該通信線との接続の切離しを指示する処理をコンピュータに実行させることを特徴とする。

本発明に係る通信システム、通信制御方法及びコンピュータプログラムにあっては、通信線を介して送信されたデータに関して、所定条件が満たされた場合、無線器及び通信線の接続が切離される。所定条件が適切に設定されている場合、無線器と無線通信を行う外部機器によって、通信線を介した不正なアクセスが継続的に実行されることが防止される。

本発明に係る通信システムにあっては、通信線を介して送受信されるデータに、該データを識別するための識別情報が含まれている。通信線を介して送信されるデータに含まれている識別情報は、予め決められており、記憶部に記憶されている。通信線を介して受信したデータに含まれる識別情報が記憶部に記憶されていない場合、不正なアクセスが行われているとして、無線器と通信線との接続を切離す。

本発明に係る通信システムにあっては、通信線を介して受信したデータのフォーマットが、予め決められたフォーマットと異なる場合、不正なアクセスが行われているとして、無線器と通信線との接続を切離す。

本発明に係る通信システムにあっては、同一の識別情報を含むデータが通信線を介して送信される時間間隔が短い場合、通信線が占有されている可能性が高いとして、無線器と通信線との接続を切離す。

本発明に係る通信システムにあっては、第２の所定時間内に通信線を介して受信したデータの総量が多い場合、通信線が占有されている可能性が高いとして、無線器と通信線との接続を切離す。

本発明に係る通信システムにあっては、通信線を介して受信したデータに関して、所定条件が満たされた場合、無線器の接続先を通信線から第２の受信部に切替えることによって、無線器と通信線との接続を切離す。この接続が切離された後において、第２の受信部が受信したデータに関して、第２の所定条件が満たされた場合、不正なアクセスがなくなったとして、無線器の接続先を通信線に戻す。

本発明に係る通信システムにあっては、例えば、第２の受信部が受信したデータの識別情報及びフォーマット等に問題がなく、かつ、このデータの送信先が通信装置である場合、第２の受信部が受信したデータを、通信線を介して通信装置に送信する。これにより、無線器と通信装置との通信が不必要に停止される確率は低い。

本発明に係る通信システムにあっては、通信線を介して受信したデータを第２の通信線を介して第２の通信装置に送信する。これにより、通信線及び第２の通信線間で通信が中継される。

本発明によれば、通信線を介して取得したデータに関して、所定条件が満たされた場合に無線器と通信線との接続を切離すので、通信線を介した不正なアクセスが継続的に実行されることを防止することができる。

実施の形態１における通信システムの要部構成を示すブロック図である。 中継装置の要部構成を示すブロック図である。 車外中継テーブルを示す図表である。 制御部が実行する車外中継処理の手順を示すフローチャートである。 制御部が実行する車外中継処理の手順を示すフローチャートである。 記憶部に記憶される内容を説明するための説明図である。 制御部が実行する外部中継処理の手順を示すフローチャートである。 制御部が実行する外部中継処理の手順を示すフローチャートである。 実施の形態２における通信システムの要部構成を示すブロック図である。 実施の形態３における通信システムの要部構成を示すブロック図である。 中継装置の要部構成を示すブロック図である。 実施の形態４における通信システムの要部構成を示すブロック図である。

以下、本発明をその実施の形態を示す図面に基づいて詳述する。
（実施の形態１）
図１は、実施の形態１における通信システム１の要部構成を示すブロック図である。通信システム１は、車両２に搭載されており、中継装置１０、ＥＣＵ(Electronic Control Unit)１１ａ，１１ａ，１１ｂ，１１ｂ，１２ａ，１２ａ、ｃ接点型のリレー１３、無線器１４、コネクタ１５、車内バスＡ１，Ａ２、車外バスＢ１及び接続バスＣ１を備える。リレー１３は、切替えスイッチとして機能し、ＣＯＭ(common)端子１３ａ、ＮＣ(Normally Close)端子１３ｂ、ＮＯ(Normally Open)端子１３ｃ、金属製の導体１３ｄ及びコイル１３ｅを有する。導体１３ｄは棒状をなし、導体１３ｄの一端はＣＯＭ端子１３ａに接続されている。

リレー１３のコイル１３ｅの両端、車内バスＡ１，Ａ２、車外バスＢ１及び接続バスＣ１は中継装置１０に各別に接続されている。車内バスＡ１には、更に、２つのＥＣＵ１１ａ，１１ａが各別に接続されている。車内バスＡ２には、更に、２つのＥＣＵ１２ａ，１２ａが各別に接続されている。車外バスＢ１には、更に、２つのＥＣＵ１１ｂ，１１ｂ、及び、リレー１３のＮＣ端子１３ｂが各別に接続されている。リレー１３のＣＯＭ端子１３ａは無線器１４に接続されている。接続バスＣ１には、更に、リレー１３のＮＯ端子１３ｃ、及び、コネクタ１５が各別に接続されている。

ＥＣＵ１１ａ，１１ａ，１１ｂ，１１ｂ，１２ａ，１２ａ夫々は、自装置に図示しない電気機器が接続されており、この電気機器の動作を制御する。

リレー１３のコイル１３ｅには中継装置１０から電力が供給される。コイル１３ｅに電力が供給されていない場合、導体１３ｄは、ＣＯＭ端子１３ａ及びＮＣ端子１３ｂに接続される。中継装置１０がコイル１３ｅに電力を供給した場合、コイル１３ｅは電磁石として機能し、導体１３ｄをＮＯ端子１３ｃ側に引付ける。これにより、導体１３ｄは、ＣＯＭ端子１３ａ及びＮＯ端子１３ｃに接続される。従って、中継装置１０がコイル１３ｅに電力を供給した場合、ＣＯＭ端子１３ａの接続先がＮＣ端子１３ｂからＮＯ端子１３ｃに切替えられ、中継装置１０がコイル１３ｅへの電力供給を停止した場合、ＣＯＭ端子１３ａの接続先がＮＯ端子１３ｃからＮＣ端子１３ｂに切替わる。

ＣＯＭ端子１３ａの接続先がＮＣ端子１３ｂである場合、無線器１４は車外バスＢ１に接続される。ＣＯＭ端子１３ａの接続先がＮＣ端子１３ｂからＮＯ端子１３ｃに切替わった場合、無線器１４及び車外バスＢ１の接続が切離され、無線器１４は接続バスＣ１に接続される。

無線器１４は、ネットワークＮ１に接続されているサーバ３と無線通信を行う。例えば、無線器１４は、車両２の運転に関するデータをサーバ３に送信し、サーバ３から車両２周辺の交通状況を示すデータを受信する。リレー１３のＣＯＭ端子１３ａがＮＣ端子１３ｂに接続されている場合、無線器１４は車外バスＢ１を介して有線通信を行い、ＣＯＭ端子１３ａがＮＯ端子１３ｃに接続されている場合、無線器１４は接続バスＣ１を介して有線通信を行う。車外バスＢ１は通信線として機能する。
コネクタ１５には、図示しない外部装置が着脱可能に接続される。外部装置がコネクタ１５に接続されている場合、外部装置は接続バスＣ１を介して通信を行う。

ＥＣＵ１１ａ，１１ａ，１１ｂ，１１ｂ，１２ａ，１２ａ夫々は通信機能も有する。中継装置１０及びＥＣＵ１１ａ，１１ａは車内バスＡ１を介して相互に通信する。中継装置１０及びＥＣＵ１２ａ，１２ａは車内バスＡ２を介して相互に通信する。ＥＣＵ１１ａ，１１ａ，１２ａ，１２ａ夫々は第２の通信装置として機能し、車内バスＡ１，Ａ２夫々は第２の通信線として機能する。

車外バスＢ１に接続されている複数の装置は車外バスＢ１を介して相互に通信する。接続バスＣ１に接続されている複数の装置は接続バスＣ１を介して相互に通信する。車外バスＢ１には中継装置１０及びＥＣＵ１１ｂ，１１ｂが常に接続されており、接続バスＣ１には中継装置１０が常に接続されている。コネクタ１５に外部装置が接続されている場合、外部装置が接続バスＣ１に接続される。無線器１４は、リレー１３のＣＯＭ端子１３ａの接続先がＮＣ端子１３ｂである場合、車外バスＢ１に接続され、ＣＯＭ端子１３ａの接続先がＮＯ端子１３ｃである場合、接続バスＣ１に接続される。ＥＣＵ１１ｂ，１１ｂ夫々は通信装置として機能する。

車内バスＡ１，Ａ２、車外バスＢ１及び接続バスＣ１夫々を介した通信はＣＡＮ(Controller Area Network)プロトコルに従って行われる。車内バスＡ１，Ａ２、車外バスＢ１及び接続バスＣ１を介して送信されるデータには、該データを識別するための識別情報が含まれている。車内バスＡ１，Ａ２、車外バスＢ１及び接続バスＣ１夫々を介した通信では、複数の識別情報が用いられており、これらの識別情報は予め決められている。同一の識別情報を含むデータには、共通のフォーマットが用いられる。従って、車内バスＡ１，Ａ２、車外バスＢ１及び接続バスＣ１を介して送信されるデータのフォーマットも予め決められている。

車内バスＡ１，Ａ２、車外バスＢ１及び接続バスＣ１夫々について、１つの装置が送信したデータは、この装置と共に共通のバスに接続されている他の装置の全てによって受信される。例えば、リレー１３のＣＯＭ端子１３ａがＮＣ端子１３ｂに接続されている場合、無線器１４が車外バスＢ１を介して送信したデータは、中継装置１０及びＥＣＵ１１ｂ，１１ｂによって受信される。

中継装置１０、ＥＣＵ１１ａ，１１ａ，１１ｂ，１１ｂ，１２ａ，１２ａ、無線器１４及び外部装置夫々は、データを受信した場合、受信したデータに含まれる識別情報に基づいて、受信したデータを破棄すべきか否かを判定する。

中継装置１０は、一のバスを介して受信したデータを、他のバスを介して送信することによって通信を中継する。ＥＣＵ１１ａ，１１ａ，１１ｂ，１１ｂ，１２ａ，１２ａ、無線器１４及び外部装置に関して、一のバスに接続されている装置は、中継装置１０を介して、他のバスに接続されている装置とデータの送受信を行う。

ＥＣＵ１１ａ，１１ａ，１１ｂ，１１ｂ，１２ａ，１２ａ夫々は、受信したデータの内容に基づいて、例えば、自装置に接続されている電気機器の動作を制御する。また、ＥＣＵ１１ａ，１１ａ，１１ｂ，１１ｂ，１２ａ，１２ａ夫々は、例えば、自装置に接続されている図示しないセンサから取得したデータを送信する。
無線器１４は、車外バスＢ１又は接続バスＣ１を介して受信したデータを無線でサーバ３に送信し、サーバ３から無線で受信したデータを車外バスＢ１又は接続バスＣ１を介して送信する。

図２は中継装置１０の要部構成を示すブロック図である。中継装置１０は、車内通信部４１，４２、車外通信部４３、外部通信部４４、切替え部４５、時計部４６、記憶部４７及び制御部４８を有する。これらは、バス４９に接続されている。車内通信部４１，４２夫々は、更に、車内バスＡ１，Ａ２に接続されている。車外通信部４３は、更に、車外バスＢ１に接続されている。外部通信部４４は、更に、接続バスＣ１に接続されている。切替え部４５は、更に、リレー１３のコイル１３ｅの両端に各別に接続されている。

車内通信部４１は、ＥＣＵ１１ａ，１１ａ夫々が車内バスＡ１を介して送信したデータを受信する。車内通信部４１は、制御部４８の指示に従って、車内バスＡ１を介して、ＥＣＵ１１ａ，１１ａにデータを送信する。
同様に、車内通信部４２は、ＥＣＵ１２ａ，１２ａ夫々が車内バスＡ２を介して送信したデータを受信する。車内通信部４２は、制御部４８の指示に従って、車内バスＡ２を介して、ＥＣＵ１２ａ，１２ａにデータを送信する。

車外通信部４３は、車外バスＢ１に接続されている装置夫々が車外バスＢ１を介して送信したデータを受信し、制御部４８の指示に従って、車外バスＢ１を介して、車外バスＢ１に接続されている装置にデータを送信する。ここで、車外バスＢ１に接続されている装置は、リレー１３のＣＯＭ端子１３ａの接続先がＮＣ端子１３ｂである場合、ＥＣＵ１１ｂ，１１ｂ及び無線器１４であり、ＣＯＭ端子１３ａの接続先がＮＯ端子１３ｃである場合、ＥＣＵ１１ｂ，１１ｂである。車外通信部４３は受信部として機能する。

外部通信部４４は、接続バスＣ１に接続されている装置夫々が接続バスＣ１を介して送信したデータを受信し、制御部４８の指示に従って、接続バスＣ１を介して、接続バスＣ１に接続されている装置にデータを送信する。コネクタ１５に外部装置が接続されている場合、接続バスＣ１に接続されている装置の１つは外部装置である。リレー１３のＣＯＭ端子１３ａの接続先がＮＯ端子１３ｃである場合、接続バスＣ１に接続されている装置の１つは無線器１４である。
制御部４８は、車内通信部４１，４２、車外通信部４３及び外部通信部４４から、これらが受信したデータを取得する。

切替え部４５は、制御部４８に従って、リレー１３のＣＯＭ端子１３ａの接続先をＮＣ端子１３ｂ又はＮＯ端子１３ｃに切替える。切替え部４５は、リレー１３のコイル１３ｅに電力を供給することによって、ＣＯＭ端子１３ａの接続先をＮＯ端子１３ｃに切替え、リレー１３のコイル１３ｅへの電力供給を停止することによって、ＣＯＭ端子１３ａの接続先をＮＣ端子１３ｂに切替える。

制御部４８は、時計部４６から現在の日時を示す日時情報を取得する。制御部４８が時計部４６から取得した日時情報が示す日時は、日時情報が取得された時点における日時と略一致している。

記憶部４７は例えば不揮発性メモリである。記憶部４７には制御プログラムＰ１が記憶されている。制御部４８は、図示しないＣＰＵ(Central Processing Unit)を有し、制御プログラムＰ１を実行することによって、車内バスＡ１から他のバスへの中継に係る第１車内中継処理、車内バスＡ２から他のバスへの中継に係る第２車内中継処理、車外バスＢ１から他のバスへの中継に係る車外中継処理、及び、接続バスＣ１から他のバスへの中継に係る外部中継処理を実行する。

制御部４８は、車内通信部４１がデータを受信する都度、第１車内中継処理を実行し、車内通信部４２がデータを受信する都度、第２車内中継処理を実行し、車外通信部４３がデータを受信する都度、車外中継処理を実行し、外部通信部４４がデータ受信する都度、外部中継処理を実行する。制御部４８は、第１車内中継処理、第２車内中継処理、車外中継処理及び外部通信部を行うことによって、車内バスＡ１，Ａ２、車外バスＢ１及び接続バスＣ１夫々を介した通信を制御する。

記憶部４７には、第１車内中継処理、第２車内中継処理、車外中継処理及び外部中継処理夫々で制御部４８によって参照される第１車内中継テーブル、第２車内中継テーブル、車外中継テーブル及び外部中継テーブルが記憶されている。

制御部４８は、第１車内中継テーブルでは、一又は複数の識別情報夫々に、中継装置１０がデータを出力すべきバスが対応付けられている。１つの識別情報に対応するバスは、車内バスＡ２、車外バスＢ１及び接続バスＣ１の少なくとも１つである。第１車内中継処理では、制御部４８は、まず、車内通信部４１が受信したデータに含まれる識別情報が第１車内中継テーブルに記憶されているか否かを判定する。制御部４８は、識別情報が第１車内中継テーブルに記憶されていないと判定した場合、第１車内中継処理を終了する。

制御部４８は、識別情報が第１車内中継テーブルに記憶されていると判定した場合、車内通信部４２、車外通信部４３及び外部通信部４４の少なくとも１つに指示して、車内通信部４１が受信したデータを送信させる。この送信は、第１車内中継テーブルの内容に基づいて実行される。

リレー１３のＣＯＭ端子１３ａがＮＣ端子１３ｂに接続されている場合、第１車内中継テーブルの内容に忠実に従って送信が実行される。例えば、車内通信部４１が受信したデータに含まれる識別情報が車内バスＡ２及び車外バスＢ１に対応している場合、制御部４８は、車内通信部４２及び車外通信部４３に指示して、車内通信部４１が受信したデータを送信させる。
ＣＯＭ端子１３ａがＮＯ端子１３ｃに接続されている場合においては、車内通信部４１が受信したデータに含まれる識別情報が車外バスＢ１に対応しているとき、制御部４８は、車外通信部４３及び外部通信部４４に指示して、車内通信部４１が受信したデータを送信させる。

第２車内中継テーブルは第１車内中継テーブルと同様に構成される。第１車内中継テーブルの説明において、第１車内中継テーブル及び車内バスＡ２夫々を第２車内中継テーブル及び車内バスＡ１に置き換えることによって、第２車内中継テーブルを説明することができる。
また、制御部４８は、第１車内中継処理と同様に第２車内中継処理を実行する。第１車内中継処理の説明において、第１車内中継処理、第１車内中継テーブル、車内通信部４１、車内通信部４２及び車内バスＡ２夫々を第２車内中継処理、第２車内中継テーブル、車内通信部４２、車内通信部４１及び車内バスＡ１に置き換えることによって、第２車内中継処理を説明することができる。

図３は車外中継テーブルを示す図表である。車外バスＢ１を介して送信されるデータには、識別情報ＩＤ１，ＩＤ２，・・・，ＩＤ５中の１つが含まれている。車外中継テーブルでは、識別情報ＩＤ１，ＩＤ２，・・・，ＩＤ５が示されており、識別情報ＩＤ１，ＩＤ２，・・・，ＩＤ５夫々に、中継装置１０がデータを出力すべきバスが対応付けられている。識別情報ＩＤ１には車内バスＡ１及び車外バスＢ１が対応している。識別情報ＩＤ２には車内バスＡ２が対応している。識別情報ＩＤ３には車外バスＢ１が対応している。識別情報ＩＤ４には車内バスＡ２及び車外バスＢ１が対応している。識別情報ＩＤ５には車内バスＡ１，Ａ２が対応している。

車内バスＡ１，Ａ２、車外バスＢ１及び接続バスＣ１夫々では、同一の識別情報を含むデータが送信される時間間隔は略一定である。車外中継テーブルでは、識別情報ＩＤ１，ＩＤ２，・・・，ＩＤ５夫々に、データが送信される時間間隔の閾値Ｔ１，Ｔ２，・・・，Ｔ５が対応付けられている。閾値Ｔ１，Ｔ２，・・・，Ｔ５夫々は、識別情報ＩＤ１，ＩＤ２，・・・，ＩＤ５を含むデータが送信される時間間隔の最小値未満である。従って、例えば、識別情報ＩＤ１を含むデータを車外通信部４３が受信する時間間隔は、車外バスＢ１に接続されている装置が正常に動作している限り、閾値Ｔ１以上である。

前述したように、車内バスＡ１，Ａ２、車外バスＢ１及び接続バスＣ１夫々を介した通信では、同一の識別情報を含むデータに共通のフォーマットが用いられる。車外中継テーブルでは、識別情報ＩＤ１，ＩＤ２，・・・，ＩＤ５夫々に、フォーマットＦ１，Ｆ２，・・・，Ｆ５が対応付けられている。データは複数のビットで構成される。フォーマットＦ１は、例えば、データの特定の位置にある１６ビットの全てがゼロであることを示す。従って、識別情報ＩＤ１のデータの特定の位置にある１６ビット中の少なくとも１ビットが１である場合、フォーマットが識別情報ＩＤ１と対応していないことを意味する。

車両２の外側から無線器１４の動作を制御することによって、車外バスＢ１を介した不正なアクセスが継続的に実行されることを防止するために、車外中継テーブルには、識別情報に、時間間隔の閾値及びフォーマットが対応付けられている。

図４及び図５は、制御部４８が実行する車外中継処理の手順を示すフローチャートである。制御部４８は、前述したように、車外通信部４３が車外バスＢ１を介してデータを受信する都度、車外中継処理を実行し、車外通信部４３が受信したデータを取得する。車外中継処理では、まず、制御部４８は、リレー１３のＣＯＭ端子１３ａの接続先がＮＣ端子１３ｂであるか否かを判定する（ステップＳ１）。制御部４８は、ＣＯＭ端子１３ａの接続先がＮＣ端子１３ｂであると判定した場合（Ｓ１：ＹＥＳ）、車外通信部４３が受信したデータに含まれる識別情報が車外中継テーブルに記憶されているか否かを判定する（ステップＳ２）。車外中継テーブルには、識別情報ＩＤ１，ＩＤ２，・・・，ＩＤ５が示されているので、ステップＳ２では、制御部４８は、車外通信部４３が受信したデータに含まれる識別情報が識別情報ＩＤ１，ＩＤ２，・・・，ＩＤ５中の１つであるか否かを判定する。

制御部４８は、識別情報が車外中継テーブルに記憶されていると判定した場合（Ｓ２：ＹＥＳ）、車外中継テーブルの内容に基づいて、車外通信部４３が受信したデータのフォーマットが適正であるか否かを判定する（ステップＳ３）。例えば、車外通信部４３が識別情報ＩＤ１を含むデータを受信することによって実行されている車外中継処理では、このデータのフォーマットがフォーマットＦ１に一致しているか否かに基づいて、ステップＳ３の判定を行う。制御部４８は、車外通信部４３が受信したデータのフォーマットがフォーマットＦ１に一致している場合、フォーマットが適正であると判定する。制御部４８は、車外通信部４３が受信したデータのフォーマットがフォーマットＦ１と異なる場合、フォーマットが適正ではないと判定する。

車外通信部４３が識別情報ＩＤ２，ＩＤ３，ＩＤ４，ＩＤ５中の１つを含むデータを受信することによって実行されている車外中継処理のステップＳ３では、制御部４８は、車外通信部４３が識別情報ＩＤ１を含むデータを受信することによって実行されている車外中継処理のステップＳ３と同様の判定を行う。

制御部４８は、フォーマットが適正であると判定した場合（Ｓ３：ＹＥＳ）、時計部４６から日時情報を取得し（ステップＳ４）、取得した日時情報に対応付けて、車外通信部４３が受信したデータの識別情報と、このデータのデータ量を示すデータ量情報とを記憶部４７に記憶する（ステップＳ５）。

図６は、記憶部４７に記憶される内容を説明するための説明図である。図６に示すように、制御部４８は、ステップＳ５では、日時情報に識別情報及びデータ量情報が対応付けられている。車外中継処理のステップＳ５が実行される都度、記憶部４７に記憶されている識別情報及びデータ量情報の数が増加する。

図６に示す例では、車外中継処理のステップＳ５が少なくとも３回実行されている。これにより、日時情報Ｋ１，Ｋ２，Ｋ３夫々に対応付けて、識別情報ＩＤ２，ＩＤ１，ＩＤ３が記憶され、更に、日時情報Ｋ１，Ｋ２，Ｋ３に対応付けてデータ量情報Ｕ１，Ｕ２，Ｕ３が記憶されている。例えば、日時情報Ｋ１が２０１６年１月１日１５時３０分１０秒を示し、かつ、データ量情報Ｕ１が１０バイトを示す場合、２０１６年１月１日１５時３０分１０秒に車外通信部４３がデータを受信し、受信したデータの識別情報が識別情報ＩＤ２であり、受信したデータのデータ量が１０バイトであることがわかる。

制御部４８は、ステップＳ５を実行した後、車外中継テーブルに基づいて、車外通信部４３が受信したデータを出力すべきバスが車外バスＢ１のみであるか否かを判定する（ステップＳ６）。具体的には、車外通信部４３が受信したデータの識別情報が識別情報ＩＤ３である場合、データを出力すべきバスが車外バスＢ１のみであると判定する。また、車外通信部４３が受信したデータの識別情報が識別情報ＩＤ１，ＩＤ２，ＩＤ４，ＩＤ５中の１つである場合、データを出力すべきバスが車外バスＢ１のみではないと判定する。

制御部４８は、データを出力すべきバスが車外バスＢ１のみではないと判定した場合（Ｓ６：ＮＯ）、車内通信部４１，４２及び外部通信部４４の少なくとも１つに指示して、車外通信部４３が受信したデータを送信させる（ステップＳ７）。制御部４８は、車外中継テーブルの内容に基づいてステップＳ７を実行する。例えば、車外通信部４３が受信したデータに含まれる識別情報が識別情報ＩＤ１である場合、車内通信部４１に指示して、車外通信部４３が受信したデータを、車内バスＡ１を介して、ＥＣＵ１１ａ，１１ａに送信させる。車外中継テーブルでは、識別情報ＩＤ１に車外バスＢ１が対応している。しかしながら、車外通信部４３が受信したデータは、車外バスＢ１に接続されている装置に既に送信されているため、車外通信部４３に指示してデータを送信させることはない。

ステップＳ７では、車外通信部４３が受信したデータに含まれる識別情報が識別情報ＩＤ１，ＩＤ５中の１つである場合、車内通信部４１は、車外通信部４３が受信したデータを、車内バスＡ１を介してＥＣＵ１１ａ，１１ａに送信する。これにより、車外バスＢ１及び車内バスＡ１間で通信が中継される。また、車外通信部４３が受信したデータに含まれる識別情報が識別情報ＩＤ２，ＩＤ４，ＩＤ５中の１つである場合、車内通信部４２は、車外通信部４３が受信したデータを、車内バスＡ２を介してＥＣＵ１２ａ，１２ａに送信する。これにより、車外バスＢ１及び車内バスＡ２間で通信が中継される。車内通信部４１，４２夫々は第２の送信部として機能する。

制御部４８は、データを出力すべきバスが車外バスＢ１のみであると判定した場合（Ｓ６：ＹＥＳ）、又は、ステップＳ７を実行した後、同一の識別情報を含むデータを車外通信部４３が受信した時間間隔が閾値以上であるか否かを判定する（ステップＳ８）。ステップＳ８で採用される識別情報は、この車外中継処理が実行される際に車外通信部４３が受信したデータに含まれる識別情報である。制御部４８は、車外中継テーブルの内容と、日時情報及び識別情報に係る記憶部４７の記憶内容とに基づいて、ステップＳ８を実行する。

例えば、車外通信部４３が識別情報ＩＤ１を含むデータを受信することによって実行さている車外中継処理のステップＳ８では、制御部４８は、識別情報ＩＤ１に関して、最新の日時情報と次に新しい日時情報とが示す日時の時間間隔が閾値Ｔ１以上であるか否かを判定する。車外通信部４３が識別情報ＩＤ２，ＩＤ３，ＩＤ４，ＩＤ５中の１つを含むデータを受信することによって実行されている車外中継処理のステップＳ８では、制御部４８は、車外通信部４３が識別情報ＩＤ１を含むデータを受信することによって実行されている車外中継処理のステップＳ８と同様の判定を行う。

制御部４８は、時間間隔が閾値以上であると判定した場合（Ｓ８：ＹＥＳ）、直近の基準時間以内に車外通信部４３が受信したデータの総量が第１基準量未満であるか否かを判定する（ステップＳ９）。制御部４８は、日時情報及びデータ量情報に係る記憶内容に基づいて、ステップＳ９を実行する。基準時間及び第１基準量夫々は、一定であり、予め記憶部４７に記憶されている。

制御部４８は、識別情報が車外中継テーブルに記憶されていないと判定した場合（Ｓ２：ＮＯ）、フォーマットが適正ではないと判定した場合（Ｓ３：ＮＯ）、時間間隔が閾値未満であると判定した場合（Ｓ８：ＮＯ）、又は、データの総量が第１基準量以上であると判定した場合（Ｓ９：ＮＯ）、切替え部４５に指示して、ＣＯＭ端子１３ａの接続先をＮＯ端子１３ｃに切替えさせる（ステップＳ１０）。これにより、無線器１４及び車外バスＢ１の接続が切離される。制御部４８がステップＳ１０を実行した後においては、無線器１４は、接続バスＣ１を介して、データを外部通信部４４に送信する。
制御部４８は、データの総量が第１基準量未満であると判定した場合（Ｓ９：ＹＥＳ）、又は、ステップＳ１０を実行した後、車外中継処理を終了する。

制御部４８は、ＣＯＭ端子１３ａの接続先がＮＣ端子１３ｂではない、即ち、ＣＯＭ端子１３ａの接続先がＮＯ端子１３ｃであると判定した場合（Ｓ１：ＮＯ）、ステップＳ６と同様に、車外通信部４３が受信したデータを出力すべきバスが車外バスＢ１のみであるか否かを判定する（ステップＳ１１）。制御部４８は、データを出力すべきバスが車外バスＢ１のみではないと判定した場合（Ｓ１１：ＮＯ）、ステップＳ７と同様に、車内通信部４１，４２及び外部通信部４４の少なくとも１つに指示して、車外通信部４３が受信したデータを送信させる（ステップＳ１２）。
制御部４８は、データを出力すべきバスが車外バスＢ１のみであると判定した場合（Ｓ１１：ＹＥＳ）、又は、ステップＳ１２を実行した後、車外中継処理を終了する。

以上のように、車外中継処理では、リレー１３のＣＯＭ端子１３ａの接続先がＮＣ端子１３ｂである場合において、制御部４８は、車外通信部４３から取得したデータ、即ち、車外通信部４３が受信したデータに関して、ステップＳ２，Ｓ３，Ｓ８，Ｓ９で示された４つの所定条件中の１つが満たされたとき、ステップＳ１０を実行する。ステップＳ１０では、制御部４８は、切替え部４５に指示して、無線器１４の接続先を車外バスＢ１から外部通信部４４に切替えさせる。これにより、無線器１４及び車外バスＢ１の接続が切離される。このため、４つの所定条件が適切に設定されている場合、無線器１４と無線通信を行う外部機器によって、車外バスＢ１を介した不正なアクセスが継続的に実行されることが防止される。外部通信部４４及び切替え部４５夫々は第２の受信部及び切離し部として機能する。

１つ目の所定条件は、ステップＳ２で示したように、車外通信部４３が受信したデータに含まれる識別情報が記憶部４７に記憶されていないことである。２つ目の所定条件は、ステップＳ３で示したように、車外通信部４３が受信したデータのフォーマットが、該データに含まれる識別情報に対応するフォーマットと異なっていることである。１つ目又は２つ目の所定条件が満たされている場合、前述した外部機器によって不正なアクセスが行われているとして、ステップＳ１０で無線器１４及び車外バスＢ１の接続が切離される。

３つ目の所定条件は、ステップＳ８で示したように、同一の識別情報を含むデータを車外バスＢ１が受信した時間間隔が閾値未満であること、即ち、該時間間隔が短いことである。閾値は所定時間に該当する。４つ目の所定条件は、ステップＳ９で示したように、基準時間以内に車外通信部４３が受信したデータの総量が第１基準量以上であること、即ち、該総量が多いことである。基準時間及び第１基準量夫々は、第２の所定時間及び所定量に該当する。３つ目又は４つ目の所定条件が満たされている場合、前述した外部機器によって車外バスＢ１が占有されている可能性が高いとして、ステップＳ１０で無線器１４及び車外バスＢ１の接続が切離される。

図７及び図８は、制御部４８が実行する外部中継処理の手順を示すフローチャートである。制御部４８は、前述したように、外部通信部４４がデータを受信する都度、外部中継処理を実行し、外部中継処理では外部中継テーブルが用いられる。また、前述したように、制御部４８は外部通信部４４が受信したデータを取得する。外部中継テーブルでも、車外中継テーブルと同様に、一又は複数の識別情報夫々に、中継装置１０がデータを出力すべきバスが対応付けられている。外部中継テーブルで示されている一又は複数の識別情報夫々は、コネクタ１５に接続される外部装置が接続バスＣ１を介して送信するデータに含まれる識別情報である。外部中継処理では車外中継テーブルも用いられる。

記憶部４７には、計時の開始日時を示す開始日時情報、フラグの値、及び、変数Ｘの値が更に記憶されている。フラグの値はゼロ又は１である。変数Ｘの値はゼロ以上の実数である。記憶部４７に記憶されている開始日時情報が示す開始日時は制御部４８によって変更される。記憶部４７に記憶されているフラグの値、及び、変数Ｘの値は制御部４８によって設定される。切替え部４５がリレー１３のＣＯＭ端子１３ａの接続先をＮＣ端子１３ｂからＮＯ端子１３ｃに切替えた時点では、フラグの値及び変数Ｘの値は共にゼロである。

外部中継処理では、制御部４８は、まず、リレー１３のＣＯＭ端子１３ａの接続先がＮＣ端子１３ｂであるか否かを判定する（ステップＳ２１）。制御部４８は、ＣＯＭ端子１３ａの接続先がＮＣ端子１３ｂではない、即ち、ＣＯＭ端子１３ａの接続先がＮＯ端子１３ｃであると判定した場合（Ｓ２１：ＮＯ）、外部通信部４４にデータを送信した送信元がコネクタ１５に接続される外部装置であるか否かを判定する（ステップＳ２２）。ステップＳ２２では、制御部４８は、外部通信部４４が受信したデータに含まれる識別情報が外部中継テーブルに示されている場合、送信元が外部装置であると判定する。また、制御部４８は、外部通信部４４が受信したデータに含まれる識別情報が外部中継テーブルに示されていない場合、送信元が外部装置ではないと判定する。

制御部４８は、ＣＯＭ端子１３ａの接続先がＮＣ端子１３ｂであると判定した場合（Ｓ２１：ＹＥＳ）、又は、送信元が外部装置であると判定した場合（Ｓ２２：ＹＥＳ）、車内通信部４１，４２及び車外通信部４３の少なくとも１つに指示して、外部通信部４４が受信したデータを送信させる（ステップＳ２３）。制御部４８は、外部中継テーブルの内容に基づいてステップＳ２３を実行する。例えば、外部通信部４４が受信したデータに含まれる識別情報が車内バスＡ１，Ａ２に対応する場合、ステップＳ２３では、制御部４８は、車内通信部４１，４２夫々に指示して、外部通信部４４が受信したデータを送信させる。制御部４８は、ステップＳ２３を実行した後、外部中継処理を終了する。

制御部４８は、送信元が外部装置ではないと判定した場合（Ｓ２２：ＮＯ）、フラグの値がゼロであるか否かを判定する（ステップＳ２４）。制御部４８は、フラグの値がゼロであると判定した場合（Ｓ２４：ＹＥＳ）、時計部４６から日時情報を取得し（ステップＳ２５）、開示日時情報が示す開始日時を、取得した日時情報が示す日時に変更する（ステップＳ２６）。制御部４８は、ステップＳ２５を実行した後、フラグの値を１に設定する（ステップＳ２７）。

制御部４８は、フラグの値がゼロではない、即ち、フラグの値が１であると判定した場合（Ｓ２４：ＮＯ）、又は、ステップＳ２７を実行した後、車外中継処理のステップＳ２と同様に、外部通信部４４が受信したデータに含まれる識別情報が車外中継テーブルに記憶されているか否かを判定する（ステップＳ２８）。車外中継処理のステップＳ２の説明において、車外通信部４３を外部通信部４４に置き換えることによって、ステップＳ２８を説明することができる。

制御部４８は、識別情報が車外中継テーブルに記憶されていると判定した場合（Ｓ２８：ＹＥＳ）、車外中継処理のステップＳ３と同様に、車外中継テーブルの内容に基づいて、外部通信部４４が受信したデータのフォーマットが適正であるか否かを判定する（ステップＳ２９）。車外中継処理のステップＳ３において、車外通信部４３及び車外中継処理夫々を、外部通信部４４及び外部中継処理に置き換えることによって、ステップＳ２９を説明することができる。

制御部４８は、識別情報が車外中継テーブルに記憶されていないと判定した場合（Ｓ２８：ＮＯ）、又は、フォーマットが適正ではないと判定した場合（Ｓ２９：ＮＯ）、フラグの値をゼロに設定し（ステップＳ３０）、変数Ｘの値を１だけ増加させる（ステップＳ３１）。制御部４８は、ステップＳ３１を実行した後、外部中継処理を終了する。

制御部４８は、フォーマットが適正であると判定した場合（Ｓ２９：ＹＥＳ）、時計部４６から日時情報を取得し（ステップＳ３２）、取得した日時情報に対応付けて、外部通信部４４が受信したデータの識別情報と、このデータのデータ量を示すデータ量情報とを記憶部４７に記憶する（ステップＳ３３）。ステップＳ３３では、制御部４８は、ステップＳ５と同様に識別情報及びデータ量情報を記憶部４７に記憶する（図６を参照）。外部中継処理のステップＳ３３が実行される都度、記憶部４７に記憶されている識別情報及びデータ量情報の数が増加する。

次に、制御部４８は、変数Ｘの値が基準値未満であるか否かを判定する（ステップＳ３４）。制御部４８は、変数Ｘの値が基準値未満であると判定した場合（Ｓ３４：ＹＥＳ）、車内通信部４１，４２及び車外通信部４３の少なくとも１つに指示して、外部通信部４４が無線器１４から受信したデータを送信させる（ステップＳ３５）。制御部４８は、車外中継テーブルの内容に基づいてステップＳ３５を実行する。例えば、外部通信部４４が受信したデータの識別情報が識別情報ＩＤ１である場合、車内通信部４１及び車外通信部４３に指示して、外部通信部４４が受信したデータを送信させる。

ステップＳ３５では、外部通信部４４が無線器１４から受信したデータの識別情報が識別情報ＩＤ１，ＩＤ３，ＩＤ４中の１つである場合、車外通信部４３は、外部通信部４４が受信したデータを、車外バスＢ１を介してＥＣＵ１１ｂ，１１ｂに送信する。このように、外部通信部４４が無線器１４から受信したデータの識別情報及びフォーマットに問題がなく、かつ、このデータの送信先がＥＣＵ１１ｂ，１１ｂである場合、車外通信部４３は、外部通信部４４が受信したデータを、車外バスＢ１を介して送信する。これにより、無線器１４及びＥＣＵ１１ｂ，１１ｂの通信が不必要に停止される確率は低い。車外通信部４３は送信部としても機能する。

制御部４８は、変数Ｘの値が基準値以上であると判定した場合（Ｓ３４：ＮＯ）、又は、ステップＳ３５を実行した後、開始日時情報が示す開始日時から、予め設定されている設定時間が経過したか否かを判定する（ステップＳ３６）。ステップＳ３６では、開始日時情報が示す開始日時と、ステップＳ３２で取得した日時情報が示す日時との差が設定時間以上である場合、制御部４８は開始日時から設定時間が経過したと判定する。開始日時情報が示す開始日時と、ステップＳ３２で取得した日時情報が示す日時との差が設定時間未満である場合、制御部４８は開始日時から設定時間が経過していないと判定する。設定時間は、一定であり、記憶部４７に予め記憶されている。

制御部４８は、開始日時から設定時間が経過したと判定した場合（Ｓ３６：ＹＥＳ）、車外中継テーブルに示されている全ての識別情報に関して、開始日時から設定時間が経過するまでに、同一の識別情報を含むデータが無線器１４から外部通信部４４に送信された全ての時間間隔が閾値以上であるか否かを判定する（ステップＳ３７）。制御部４８は、車外中継テーブルの内容と、日時情報及び識別情報に係る記憶部４７の記憶内容とに基づいて、ステップＳ３７を実行する。

ステップＳ３７では、開始日時から設定時間が経過するまでに外部通信部４４が無線器１４から受信したデータの数が１である場合、制御部４８はステップＳ３８を実行する。
開始日時から設定時間が経過するまでに外部通信部４４が無線器１４から受信したデータの数が２以上である場合、制御部４８は、開始日時から設定時間が経過するまでに外部通信部４４が受信した複数のデータに含まれる全ての識別情報について時間間隔が閾値以上であるか否かを判定する。

例えば、外部通信部４４が受信した複数のデータに含まれる識別情報が識別情報ＩＤ１，ＩＤ２である場合、制御部４８は、識別情報ＩＤ１を含むデータが受信された全ての時間間隔が閾値Ｔ１以上であるか否かと、識別情報ＩＤ２を含むデータが受信された全ての時間間隔が閾値Ｔ２以上であるか否かとを判定する。制御部４８は、識別情報ＩＤ１を含むデータが受信された全ての時間間隔が閾値Ｔ１以上であり、かつ、識別情報ＩＤ２を含むデータが受信された全ての時間間隔が閾値Ｔ２以上である場合、ステップＳ３７で、全ての時間間隔が閾値以上であると判定する。また、制御部４８は、識別情報ＩＤ１を含むデータが受信された時間間隔の少なくとも１つが閾値Ｔ１未満であるか、又は、識別情報ＩＤ２を含むデータが受信された時間間隔の少なくとも１つが閾値Ｔ２以上である場合、ステップＳ３７で、全ての時間間隔が閾値以上ではないと判定する。

なお、ステップＳ３７では、制御部４８は、外部通信部４４が受信した複数のデータに含まれていない一又は複数の識別情報と、外部通信部４４が受信した複数のデータ中の１つにのみ含まれる一又は複数の識別情報とに関しては、時間間隔が閾値以上であるか否かの判定を行うことはない。制御部４８は、残りの識別情報に関して時間間隔が閾値以上であるか否かを判定し、この判定の結果に基づいて、ステップＳ３９又はステップＳ４０を実行する。

制御部４８は、車外中継テーブルに示されている全ての識別情報に関して、全ての時間間隔が閾値以上であると判定した場合（Ｓ３７：ＹＥＳ）、開始日時から設定時間が経過するまでに外部通信部４４が受信したデータの総量が第２基準量未満であるか否かを判定する（ステップＳ３８）。制御部４８は、日時情報及びデータ量情報に係る記憶内容に基づいて、ステップＳ３８を実行する。第２基準量は、一定であり、記憶部４７に予め記憶されている。

制御部４８は、車外中継テーブルに示されている全ての識別情報に関して、全ての時間間隔が閾値以上ではないと判定した場合（Ｓ３７：ＮＯ）、又は、データの総量が第２基準量以上であると判定した場合（Ｓ３８：ＮＯ）、変数Ｘの値を１だけ増加させる（ステップＳ３９）。
なお、車外中継テーブルに示されている全ての識別情報に関して、全ての時間間隔が閾値以上ではないことは、車外中継テーブルに示されている少なくとも１つの識別情報に関して、同一の識別情報を含むデータが外部通信部４４によって受信される時間間隔の少なくとも１つが閾値未満であることを意味する。

制御部４８は、データの総量が第２基準量未満であると判定した場合（Ｓ３８：ＹＥＳ）、切替え部４５に指示して、リレー１３のＣＯＭ端子１３ａの接続先をＮＣ端子１３ｂに切替え（ステップＳ４０）、変数Ｘの値をゼロに設定する（ステップＳ４１）。制御部４８は、ステップＳ３９又はステップＳ４１を実行した後、フラグの値をゼロに設定する（ステップＳ４２）。制御部４８は、開始日時から設定時間が経過していないと判定した場合（Ｓ３６：ＮＯ）、又は、ステップＳ４２を実行した後、外部中継処理を終了する。

以上のように、外部中継処理では、リレー１３のＣＯＭ端子１３ａの接続先がＮＯ端子１３ｃである場合において、制御部４８は、外部通信部４４から取得したデータ、即ち、外部通信部４４が受信したデータに関して、第２の所定条件が満たされたとき、ステップＳ４０を実行する。ステップＳ４０では、制御部４８は、切替え部４５に指示して、無線器１４の接続先を外部通信部４４から車外バスＢ１に切替える。言い換えると、ステップＳ４０では、無線器１４と無線通信を行う外部機器によって行われている不正なアクセスがなくなったとして、無線器１４の接続先を車外バスＢ１に戻す。

前提条件として、開始日時から設定時間が経過するまでに、無線器１４から外部通信部４４が受信した全てのデータに関して、車外中継テーブルに示されおり、かつ、フォーマットが適正であることが挙げられる。第２の所定条件は、前提条件が満たされている状態で、開始日時から設定時間が経過するまでに、同一の識別情報を含むデータが、閾値以上である時間間隔を空けて無線器１４から外部通信部４４に送信されており、かつ、設定時間が経過するまでに外部通信部４４が受信したデータの総量が第２基準量未満であることである。

また、外部中継処理では、制御部４８は、変数Ｘの値が基準値以上である場合、ステップＳ３５を実行することはない。言い換えると、下記の４つの条件中のいずれか１つが満たされた回数が多い場合、外部通信部４４が無線器１４から受信したデータの識別情報、フォーマット、時間間隔及びデータ量に関する全ての問題が解消されない限り、車内通信部４１，４２及び車外通信部４３は、外部通信部４４が無線器１４から受信したデータを送信することはない。これは、無線器１４から送信される略全てのデータが不適切なデータであると想定されるためである。

１つ目の条件は、ステップＳ２８に示されているように、車外中継テーブルに示されていない識別情報を含むデータを、外部通信部４４が無線器１４から受信することである。２つ目の条件は、ステップＳ２９で示されているように、フォーマットが不適正であるデータを外部通信部４４が無線器１４から受信することである。

３つ目の条件は、ステップＳ３７で示されているように、車外中継テーブルに示されている少なくとも１つの識別情報に関して、同一の識別情報を含むデータが外部通信部４４によって受信される時間間隔の少なくとも１つが閾値未満であることである。４つ目の条件は、設定時間が経過するまでに、外部通信部４４が無線器１４から受信したデータの総量が第２基準量以上であることである。

なお、ステップＳ３１，Ｓ３９で制御部４８が増加させる数値は、１に限定されず、正の実数であればよい。また、ステップＳ３１，Ｓ３９夫々で制御部４８が増加させる数値は異なっていてもよい。制御部４８は、例えば、ステップＳ３１で変数Ｘの値を１だけ増加させ、ステップＳ３９で変数Ｘの値を５だけ増加させてもよい。

（実施の形態２）
図９は、実施の形態２における通信システム１の要部構成を示すブロック図である。実施の形態２における通信システム１では、接続バスＣ１が設けられていない点が実施の形態１における通信システム１と異なる。
以下では、実施の形態２について、実施の形態１と異なる点を説明する。後述する構成を除く他の構成については、実施の形態１と共通しているため、実施の形態１と共通する構成部には実施の形態１と同一の参照符号を付してその説明を省略する。

実施の形態２における通信システム１では、リレー１３のＮＯ端子１３ｃは中継装置１０の外部通信部４４に接続されている。無線器１４は、ＣＯＭ端子１３ａがＮＯ端子１３ｃである場合、外部通信部４４に接続される。このとき、無線器１４は、外部通信部４４から受信したデータを無線でサーバ３に送信し、サーバ３から無線で受信したデータを外部通信部４４に送信する。

第１車内中継テーブルでは、１つの識別情報に対応付けられるバスは、車内バスＡ２及び車外バスＢ１の少なくとも１つである。第２車内中継テーブルでは、１つの識別情報に対応付けられるバスは、車内バスＡ１及び車外バスＢ１の少なくとも１つである。

また、記憶部４７には外部中継テーブルは記憶されていない。更に、中継装置１０の制御部４８は、外部中継処理では、ステップＳ２１，Ｓ２２，Ｓ２３を実行せず、ステップＳ２４から開始する。
実施の形態２における通信システム１も、実施の形態１における通信システム１と同様の効果を奏する。

（実施の形態３）
図１０は実施の形態３における通信システム１の要部構成を示すブロック図である。実施の形態３における通信システム１では、ネットワークＮ１を介してサーバ３と無線通信を行う無線器の数が２つである点が実施の形態１における通信システム１と異なる。
以下では、実施の形態３について、実施の形態１と異なる点を説明する。後述する構成を除く他の構成については、実施の形態１と共通しているため、実施の形態１と共通する構成部には実施の形態１と同一の参照符号を付してその説明を省略する。

実施の形態３における通信システム１は、実施の形態１における通信システム１が備える構成部に加えて、リレー１６及び無線器１７を備える。リレー１６は、ＣＯＭ端子１６ａ、ＮＣ端子１６ｂ、ＮＯ端子１６ｃ、金属製の導体１６ｄ及びコイル１６ｅを有する。導体１６ｄは棒状をなし、導体１６ｄの一端はＣＯＭ端子１６ａに接続されている。

ＣＯＭ端子１６ａは無線器１７に接続されている。ＮＣ端子１６ｂは車外バスＢ１に接続されている。ＮＯ端子１６ｃは接続バスＣ１に接続されている。コイル１６ｅの両端は中継装置１０に接続されている。
リレー１６はリレー１３と同様に動作する。リレー１３の動作の説明において、リレー１３、ＣＯＭ端子１３ａ、ＮＣ端子１３ｂ、ＮＯ端子１３ｃ、導体１３ｄ及びコイル１３ｅ夫々を、リレー１６、ＣＯＭ端子１６ａ、ＮＣ端子１６ｂ、ＮＯ端子１６ｃ、導体１６ｄ及びコイル１６ｅに置き換えることによって、リレー１６の動作を説明することができる。

無線器１７は、ＣＯＭ端子１６ａの接続先がＮＣ端子１６ｂである場合、車外バスＢ１に接続され、ＣＯＭ端子１６ａの接続先がＮＣ端子１６ｂからＮＯ端子１６ｃに切替わった場合、無線器１４及び車外バスＢ１の接続が切離され、接続バスＣ１に接続される。

無線器１７は、無線器１４と同様に動作する。無線器１４の動作の説明において、無線器１４、リレー１３、ＣＯＭ端子１３ａ、ＮＣ端子１３ｂ及びＮＯ端子１３ｃ夫々を、無線器１７、リレー１６、ＣＯＭ端子１６ａ、ＮＣ端子１６ｂ及びＮＯ端子１６ｃに置き換えることによって、無線器１７の動作を説明することができる。

ＥＣＵ１１ａ，１１ａ，１１ｂ，１１ｂ，１２ａ，１２ａ、無線器１４，１７及び外部装置に関して、一のバスに接続されている装置は、中継装置１０を介して、他のバスに接続されている装置とデータの送受信を行う。

図１１は中継装置１０の要部構成を示すブロック図である。実施の形態３における中継装置１０は、実施の形態１における中継装置１０が有する構成部に加えて、切替え部５０を有する。切替え部５０は、バス４９と、リレー１６のコイル１６ｅの両端とに各別に接続されている。

切替え部５０は切替え部４５と同様に動作する。切替え部４５の動作の説明において、リレー１３、ＣＯＭ端子１３ａ、ＮＣ端子１３ｂ、ＮＯ端子１３ｃ、コイル１３ｅ及び切替え部４５夫々を、リレー１６、ＣＯＭ端子１６ａ、ＮＣ端子１６ｂ、ＮＯ端子１６ｃ、コイル１６ｅ及び切替え部５０に置き換えることによって、切替え部５０を説明することができる。

リレー１６のＣＯＭ端子１６ａがＮＣ端子１６ｂに接続されている場合、無線器１７が車外バスＢ１を介して送信したデータは車外通信部４３によって受信され、無線器１７は車外バスＢ１を介して車外通信部４３からデータを受信する。
リレー１６のＣＯＭ端子１６ａがＮＯ端子１６ｃに接続されている場合、無線器１７が接続バスＣ１を介して送信したデータは外部通信部４４によって受信され、無線器１７は接続バスＣ１を介して外部通信部４４からデータを受信する。

第１車内中継処理では、無線器１４，１７の少なくとも一方が接続バスに接続されている場合において、車内通信部４１が受信したデータに含まれる識別情報が車外バスＢ１に対応しているとき、制御部４８は、車外通信部４３及び外部通信部４４に指示して、車内通信部４１が受信したデータを送信させる。
同様に、第２車内中継処理では、無線器１４，１７の少なくとも一方が接続バスに接続されている場合において、車内通信部４２が受信したデータに含まれる識別情報が車外バスＢ１に対応しているとき、制御部４８は、車外通信部４３及び外部通信部４４に指示して、車内通信部４２が受信したデータを送信させる。

車外中継処理について、ステップＳ１では、制御部４８は、ＣＯＭ端子１３ａ，１６ａ夫々の接続先がＮＣ端子１３ｂ，１６ｂであるか否かを判定する。そして、制御部４８は、ＣＯＭ端子１３ａ，１６ａ夫々の接続先がＮＣ端子１３ｂ，１６ｂであると判定した場合にステップＳ２を実行し、ＣＯＭ端子１３ａ，１６ａ夫々の接続先がＮＯ端子１３ｃ，１６ｃであると判定した場合にステップＳ１１を実行する。
ステップＳ１０では、制御部４８は、切替え部４５，５０に指示して、ＣＯＭ端子１３ａ，１６ａ夫々の接続先をＮＯ端子１３ｃ，１６ｃに切替えさせる。これにより、無線器１４及び車外バスＢ１の接続と、無線器１４及び車外バスＢ１の接続とが切離される。

外部中継処理について、ステップＳ２１では、制御部４８は、ＣＯＭ端子１３ａ，１６ａ夫々の接続先がＮＣ端子１３ｂ，１６ｂであるか否かを判定する。そして、制御部４８は、ＣＯＭ端子１３ａ，１６ａ夫々の接続先がＮＣ端子１３ｂ，１６ｂであると判定した場合、ステップＳ２３を実行し、ＣＯＭ端子１３ａ，１６ａ夫々の接続先がＮＯ端子１３ｃ，１６ｃであると判定した場合、ステップＳ２２を実行する。

ステップＳ３５では、制御部４８は、車内通信部４１，４２及び車外通信部４３の少なくとも１つに指示して、外部通信部４４が無線器１４，１７の一方から受信データを送信させる。従って、外部通信部４４が無線器１４，１７の一方から受信したデータの識別情報が識別情報ＩＤ１，ＩＤ３，ＩＤ４中の１つである場合、車外通信部４３は、外部通信部４４が受信したデータを、車外バスＢ１を介してＥＣＵ１１ｂ，１１ｂに送信する。

ステップＳ３７では、制御部４８は、車外中継テーブルに示されている全ての識別情報に関して、開始日時から設定時間が経過するまでに、同一の識別情報を含むデータが無線器１４，１７から外部通信部４４に送信された全ての時間間隔が閾値以上であるか否かを判定する。開始日時から設定時間が経過するまでに外部通信部４４が無線器１４，１７から受信したデータの数が１である場合、制御部４８はステップＳ３８を実行する。開始日時から設定時間が経過するまでに外部通信部４４が無線器１４，１７から受信したデータの数が２以上である場合、制御部４８は、開始日時から設定時間が経過するまでに外部通信部４４が受信した複数のデータに含まれる全ての識別情報について時間間隔が閾値以上であるか否かを判定する。
ステップＳ４０では、制御部４８は、切替え部４５，５０に指示して、ＣＯＭ端子１３ａ，１６ａ夫々の接続先をＮＣ端子１３ｂ，１６ｂに切替える。

以上のように構成された実施の形態３における通信システム１は、実施の形態１における通信システム１と同様の効果を奏する。従って、無線器１４，１７の一方と無線通信を行う外部機器によって、車外バスＢ１を介した不正なアクセスが継続的に実行されることが防止される。また、不正なアクセスが行われている場合、又は、車外バスＢ１が占有されている可能性が高い場合、無線器１４及び車外バスＢ１の接続と、無線器１７及び車外バスＢ１の接続とが切離される。

また、外部通信部４４が無線器１４，１７から受信したデータの識別情報及びフォーマットに問題がなく、かつ、このデータの送信先がＥＣＵ１１ｂ，１１ｂである場合、車外通信部４３は、外部通信部４４が受信したデータを、車外バスＢ１を介して送信する。これにより、無線器１４，１７及びＥＣＵ１１ｂ，１１ｂの通信が不必要に停止される確率は低い。更に、不正なアクセスがなくなった場合、無線器１４，１７夫々の接続先が車外バスＢ１に戻される。

（実施の形態４）
図１２は実施の形態４における通信システム１の要部構成を示すブロック図である。実施の形態４における通信システム１では、接続バスＣ１が設けられていない点が実施の形態３における通信システム１と異なる。
以下では、実施の形態４について、実施の形態３と異なる点を説明する。後述する構成を除く他の構成については、実施の形態３と共通しているため、実施の形態１と共通する構成部には実施の形態３と同一の参照符号を付してその説明を省略する。

実施の形態４における通信システム１では、リレー１３のＮＯ端子１３ｃ、及び、リレー１６のＮＯ端子１６ｃ夫々は中継装置１０の外部通信部４４に各別に接続されている。無線器１４は、ＣＯＭ端子１３ａがＮＯ端子１３ｃである場合、外部通信部４４に接続される。このとき、無線器１４は、外部通信部４４から受信したデータを無線でサーバ３に送信し、サーバ３から無線で受信したデータを外部通信部４４に送信する。無線器１７は、ＣＯＭ端子１６ａがＮＯ端子１６ｃである場合、外部通信部４４に接続される。このとき、無線器１７も、外部通信部４４から受信したデータを無線でサーバ３に送信し、サーバ３から無線で受信したデータを外部通信部４４に送信する。

第１車内中継テーブルでは、１つの識別情報に対応付けられるバスは、車内バスＡ２及び車外バスＢ１の少なくとも１つである。第２車内中継テーブルでは、１つの識別情報に対応付けられるバスは、車内バスＡ１及び車外バスＢ１の少なくとも１つである。

第１車内中継処理では、無線器１４，１７の少なくとも一方が外部通信部４４に接続されている場合において、車内通信部４１が受信したデータに含まれる識別情報が車外バスＢ１に対応しているとき、制御部４８は、車外通信部４３及び外部通信部４４に指示して、車内通信部４１が受信したデータを送信させる。このとき、外部通信部４４は、ＮＯ端子１３ｃ，１６ｃ夫々に向けてデータを送信する。
同様に、第２車内中継処理では、無線器１４，１７の少なくとも一方が外部通信部４４に接続されている場合において、車内通信部４２が受信したデータに含まれる識別情報が車外バスＢ１に対応しているとき、制御部４８は、車外通信部４３及び外部通信部４４に指示して、車内通信部４２が受信したデータを送信させる。このとき、外部通信部４４は、ＮＯ端子１３ｃ，１６ｃ夫々に向けてデータを送信する。

車外中継処理について、ステップＳ１では、制御部４８は、ＣＯＭ端子１３ａの接続先がＮＣ端子１３ｂであるか、又は、ＣＯＭ端子１６ａの接続先がＮＣ端子１６ｃであるか否かを判定する。そして、制御部４８は、ＣＯＭ端子１３ａの接続先がＮＣ端子１３ｂであるか、又は、ＣＯＭ端子１６ａの接続先がＮＣ端子１６ｃであると判定した場合、ステップＳ２を実行する。制御部４８は、ＣＯＭ端子１３ａ，１６ａ夫々の接続先がＮＣ端子１３ｂ，１６ｂであると判定した場合、ステップＳ１１を実行する。

制御部４８は、外部通信部４４が無線器１４，１７夫々から受信したデータについて個別に外部中継処理を実行する。従って、制御部４８は、外部通信部４４が無線器１４からデータを受信した場合、無線器１４から受信したデータに係る外部中継処理を実行し、外部通信部４４が無線器１７からデータを受信した場合、無線器１７から受信したデータに係る外部中継処理を実行する。このため、フラグ及び変数Ｘ夫々の数は２である。

更に、無線器１４，１７夫々から受信したデータに係る外部中継処理では、制御部４８は、ステップＳ２１，Ｓ２２，Ｓ２３を実行することはない。また、無線器１４から受信したデータに係る外部中継処理のステップＳ４０では、制御部４８は、切替え部４５に指示して、ＣＯＭ端子１３ａの接続先をＮＣ端子１３ｂに切替える。無線器１７から受信したデータに係る外部中継処理のステップＳ４０では、制御部４８は、切替え部５０に指示して、ＣＯＭ端子１６ａの接続先をＮＣ端子１６ｂに切替える。
以上のように構成された実施の形態４における通信システム１は、実施の形態３における通信システム１と同様の効果を奏する。

なお、実施の形態３において、無線器１４，１７の接続先を各別に切替えてもよい。この場合、車外中継テーブルでは、複数の識別情報夫々に、車外バスＢ１に接続される一又は複数の装置を示す装置情報が対応付けられており、装置情報が示す一又は複数の装置は、この装置情報に対応付けられている識別情報を含むデータの送信元である。

制御部４８は、無線器１４，１７の少なくとも一方が車外バスＢ１に接続されている場合、車外通信部４３が受信したデータの識別情報、フォーマット、時間間隔及び総量に関して問題がないか否かを判定する。制御部４８は、車外通信部４３が受信したデータに問題があると判定した場合において、無線器１４，１７の中でデータの送信元を特定することが可能であるとき、送信元である無線器のみの接続先を車外バスＢ１から接続バスＣ１に切替える。同様の場合において、データの送信元を特定することが不可能であるとき、無線器１４，１７の接続先を車外バスＢ１から接続バスＣ１に切替える。

また、制御部４８は、無線器１４，１７の少なくとも一方が接続バスＣ１に接続されている場合、外部通信部４４が受信したデータの識別情報、フォーマット、時間間隔及び総量の全てに関して問題が解消されたか否かを判定する。制御部４８は、この問題が解消されたと判定した場合、無線器１４，１７の接続先を接続バスＣ１から車外バスＢ１に切替える。
更に、ネットワークＮ１を介してサーバ３と無線通信を行う無線器の数は２に限定されず、３以上であってもよい。

また、実施の形態４においても、実施の形態３と同様に、無線器１４，１７の接続先を各別に切替えてもよい。
更に、ネットワークＮ１を介してサーバ３と無線通信を行う無線器の数は２に限定されず、３以上であってもよい。

また、実施の形態１〜４において、車内バスＡ１，Ａ２及び車外バスＢ１夫々に接続されるＥＣＵの数は２に限定されず、１又は３以上であってもよい。更に、ＥＣＵが接続される車内バスの数は２に限定されず、１又は３以上であってもよい。また、車外バスＢ１を介した通信に用いられる識別情報の数は、５に限定されず、車外バスＢ１に接続される装置の数以上であればよい。

開示された実施の形態１〜４は全ての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

１ 通信システム
１１ａ，１２ａ ＥＣＵ（第２の通信装置）
１１ｂ ＥＣＵ（通信装置）
１４，１７ 無線器
４１，４２ 車内通信部（第２の送信部）
４３ 車外通信部（受信部、送信部）
４４ 外部通信部（第２の受信部）
４５ 切替え部（切離し部）
４７ 記憶部
Ａ１，Ａ２ 車内バス（第２の通信線）
Ｂ１ 車外バス（通信線）

Claims (10)

1. 通信線に接続され、該通信線を介した有線通信と無線通信とを行う無線器を備える通信システムにおいて、
   前記通信線を介して送信されたデータを受信する受信部と、
   該受信部が受信したデータに関して、所定条件が満たされた場合に前記無線器及び通信線の接続を切離す切離し部と
   を備えることを特徴とする通信システム。
2. データを識別するための識別情報が記憶されている記憶部を備え、
   前記通信線を介して送信されるデータには前記識別情報が含まれており、
   前記切離し部は、前記受信部が受信したデータに含まれる前記識別情報が前記記憶部に記憶されていない場合に前記接続を切離すこと
   を特徴とする請求項１に記載の通信システム。
3. 前記通信線を介して送信されるデータのフォーマットは予め決められており、
   前記切離し部は、前記受信部が受信したデータのフォーマットが、予め決められたフォーマットと異なる場合に前記接続を切離すこと
   を特徴とする請求項１又は請求項２に記載の通信システム。
4. 前記通信線を介して送信されるデータに該データを識別するための識別情報が含まれており、
   前記切離し部は、同一の該識別情報を含むデータを前記受信部が受信した時間間隔が所定時間未満である場合に前記接続を切離すこと
   を特徴とする請求項１から請求項３のいずれか１つに記載の通信システム。
5. 前記切離し部は、前記受信部が第２の所定時間内に受信したデータの総量が所定量以上である場合に前記接続を切離すこと
   を特徴とする請求項１から請求項４のいずれか１つに記載の通信システム。
6. データを受信する第２の受信部を備え、
   前記切離し部は、前記所定条件が満たされた場合に前記無線器の接続先を前記通信線から前記第２の受信部に切替え、
   前記切離し部は、前記第２の受信部が受信したデータに関して、第２の所定条件が満たされた場合に、前記無線器の接続先を前記第２の受信部から前記通信線に切替えること
   を特徴とする請求項１から請求項５のいずれか１つに記載の通信システム。
7. 前記通信線に接続されている通信装置と、
   前記第２の受信部が受信したデータを、前記通信線を介して前記通信装置に送信する送信部と
   を備えることを特徴とする請求項６に記載の通信システム。
8. 第２の通信線と、
   該第２の通信線に接続されている第２の通信装置と、
   前記受信部が受信したデータを、該第２の通信線を介して前記第２の通信装置に送信する第２の送信部と
   を備えることを特徴とする請求項１から請求項７に記載の通信システム。
9. 通信線を介して送信されたデータを受信し、
   受信したデータに関して、所定条件が満たされた場合に、前記通信線を介して有線通信、及び、無線通信を行う無線器と該通信線との接続を切離すこと
   を特徴とする通信制御方法。
10. 通信線を介して送信されたデータを取得し、
    取得したデータに関して、所定条件が満たされた場合に、前記通信線を介した有線通信、及び、無線通信を行う無線器と該通信線との接続の切離しを指示する
    処理をコンピュータに実行させることを特徴とするコンピュータプログラム。

Images