JP2022067012A - 中継装置、通信ネットワークシステム及び通信制御方法 - Google Patents

Abstract

【課題】バスへの通信負荷を抑制し、通信効率を高めた通信ネットワークシステムを提供する。
【解決手段】 通信ネットワークに接続された、第１の電子制御装置及び第２の電子制御装置と、外部機器と通信が可能であり、第１の電子制御装置と第２の電子制御装置との間の通信を中継する中継装置とを備えた通信システムであって、第１の電子制御装置は、制御情報及びメッセージ認証コード（ＭＡＣ）を含む第１のデータフレームを中継装置に送信し、中継装置は、ＭＡＣを含んだデータフレームを送信可能なバスにより、第２の電子制御装置に接続されており、ＭＡＣに基づき前記第１のデータフレームの検証を行い、制御情報を含む第２のデータフレームを、バスを介して第２の電子制御装置に送信する場合には、ＭＡＣを削除して、第２のデータフレームを送信する。
【選択図】 図１

Description

本発明は、通信ネットワークを介してデータの通信を行なう中継装置、通信ネットワークシステム及び通信制御方法に関するものである。

特許文献１には、車載機器を制御する複数のＥＣＵ（Electronic Control Unit）と、各ＥＣＵが相互に通信できるように接続するＣＡＮ（Controller Area Network）等の車載ネットワークと、ＥＣＵ間の通信を中継するゲートウェイ装置とを備える車載ネットワークシステムが開示されている。このゲートウェイ装置は、ゲートウェイと、Ｅ－ＨＵＢ（スイッチングハブ）を備えており、ＣＡＮに接続されたＣ－ＥＣＵから、ＣＡＮとは異なる通信プロトコルを利用するＥｔｈｅｒｎｅｔ（登録商標）に接続されたＥ－ＥＣＵへデータフレームを送信するために、Ｅｔｈｅｒｎｅｔのデータフレームのペイロード内に複数のＣＡＮのデータフレームを格納し、ゲートウェイからＥ－ＨＵＢ（スイッチングハブ）を介して、Ｅ－ＥＣＵに送信している。

国際公開第２０１７／２０３９０２号

特許文献１記載の車載ネットワークシステムにおいて、ゲートウェイとＥ－ＥＣＵは固有のＭＡＣアドレスを有しており、ゲートウェイとＥ－ＥＣＵとの間の通信の際には、フレームのヘッダにＭＡＣアドレスを付与して、フレームの通信を行っている。しかしながら、フレーム内のデータに対して、常にＭＡＣを付与して通信を行うと、バスに対しての通信負荷が加わり、通信効率が低下するという問題がある。

本発明が解決しようとする課題は、バスへの通信負荷を抑制し、通信効率を高めた通信ネットワークシステム及び通信制御方法を提供することである。

本発明は、制御情報及びＭＡＣを含むデータフレームを中継装置に送信し、中継装置は、ＭＡＣに基づき、受信したデータフレームの検証を行い、制御情報を含むデータフレームを送信する場合には、ＭＡＣを削除して、データフレームを送信することによって上記課題を解決する。

本発明によれば、バスへの通信負荷を抑制し、通信効率を高めることができる。

図１は、本発明に係る中継装置、通信ネットワークシステム及び通信制御方法を適用した、車載通信ネットワークシステムの構成図である。 図２は、ＣＡＮのデータフレームの構成を示す説明図である。 図３は、ＣＡＮ ＦＤのデータフレームの構成を示す説明図である。 図４は、ＤＭの構成図である。 図５は、ＣＡＮ ＦＤのデータフレームの構成を示す説明図である。 図６は、フレーム構成の一部を説明するための説明図である。 図７は、ＣＡＮバスに接続された通信ネットワークからＣＡＮバスに接続された通信ネットワークへＣＡＮフレームを送信する手順を示すシーケンスチャートである。 図８は、ＣＡＮバスに接続された通信ネットワークからＣＡＮバスに接続された通信ネットワークへＣＡＮフレームを送信する手順を示す説明図である。 図９は、ＣＡＮバスに接続された通信ネットワークからＣＡＮ ＦＤバスに接続された通信ネットワークへＣＡＮ ＦＤフレームを送信する手順を示すシーケンスチャートである。

以下、本発明の実施形態を図面に基づいて説明する。
本実施形態では、本発明に係る中継装置、通信ネットワークシステム及び通信制御方法を、自動車（車両ともいう）に搭載された車載ネットワークシステムに適用した例を用いて説明する。本実施形態に係る車載通信ネットワークシステムＣＮＷは、ＣＡＮ、ＣＡＮ ＦＤ及びＥｔｈｅｒｎｅｔ等の異なる通信プロトコルを利用する複数の通信ネットワークが混在されたネットワークシステムである。ＣＡＮ ＦＤは、ＣＡＮに対し上位互換性を有する通信プロトコルであり、ＣＡＮよりも単位時間当たりのデータ通信量（通信速度）が大きくなっている。Ｅｔｈｅｒｎｅｔは、ＬＡＮ（Local Area Network）等に利用される通信ネットワークであり、ＣＡＮ ＦＤよりも単位時間当たりのデータ通信量は大きい。

図１は、本実施形態に係る車載通信ネットワークシステムＣＮＷの構成を示すブロック図である。車載通信ネットワークシステムＣＮＷは、第１の通信ネットワーク１と、第２の通信ネットワーク２と、第３の通信ネットワーク３と、第４の通信ネットワーク４と、第５の通信ネットワーク５と、第６の通信ネットワーク６と、第１の通信ネットワーク１～第６の通信ネットワーク６に接続されたＣＧＷ（Central Gateway）７とを備える。第１の通信ネットワーク１～第６の通信ネットワーク６は、車両の基本構成毎に区分けされた複数の制御グループを構成している。この制御グループは、ドメインとも呼ばれる。ドメインには、車両内での情報提示について制御するマルチメディアドメインの他、エンジン等を制御するパワートレインドメイン、ステアリング機構等を制御するシャーシドメイン、パワーウィンドウ等を制御するボディドメイン、自律走行制御を行うＡＤＡＳ（Advanced Driver-Assistance System）ドメイン等がある。第１の通信ネットワーク１～第６の通信ネットワーク６は、本発明の第１の通信ネットワーク及び第２の通信ネットワークの一例に相当する。なお、車載通信ネットワークシステムＣＮＷを構成する通信ネットワークの数は、４個に限定されない。

第１の通信ネットワーク１は、ＥＣＵ１１、ＥＣＵ１２及びＥＣＵ１３を備える。ＥＣＵ１１～１３は、ＣＡＮの通信プロトコルに従ってデータ通信が行われるＣＡＮバス１４を介してＣＧＷ７に接続されている。ＥＣＵ１１～１３は、車両に搭載された車載機器を制御する電子制御装置である。ＥＣＵ１１～１３は、詳しくは図示しないが、コントローラと、通信回路とを備えている。コントローラは、ＣＰＵと、ＣＰＵにより実行される制御プログラムが格納されたＲＯＭと、制御プログラムのワークエリアとして利用されるＲＡＭ等を備えている。コントローラは、ＣＰＵにより制御プログラムを実行することにより、ＥＣＵとして機能する。通信回路は、コントローラにより制御され、コントローラとＣＡＮバス１４との間の通信を行う。

ＥＣＵ１１～１３には、図示しないセンサ又はアクチュエータ等の車載機器が接続されている。ＥＣＵ１１～１３は、接続されているセンサから、センサによる検知結果を示すセンサ情報を取得し、取得されたセンサ情報を含む制御情報が格納されたＣＡＮのデータフレーム（以下、ＣＡＮフレームともいう）を生成する。ＥＣＵ１１～１３により生成されたＣＡＮフレームは、ＣＡＮバス１４を介してＣＧＷ７へ送信される。また、各ＥＣＵ１１～１３は、ＣＡＮバス１４を介してＣＧＷ７からＣＡＮフレームを受信し、受信したＣＡＮフレームに格納されている制御情報に基づいてアクチュエータ等の車載機器を制御する。

第２の通信ネットワーク２は、ＥＣＵ２１、ＥＣＵ２２及びＥＣＵ２３を備える。ＥＣＵ２１～２３は、ＣＡＮの通信プロトコルに従ってデータ通信が行われるＣＡＮバス２４を介してＣＧＷ７に接続されている。なお、第２の通信ネットワーク２のＥＣＵ２１～２３及びＣＡＮバス２４は、第１の通信ネットワーク１のＥＣＵ１１～１３及びＣＡＮバス１４と同様の構成を有するため、詳しい説明は省略する。

第３の通信ネットワーク３は、ＤＭ（Domain Master）３１と、ＥＣＵ３２、ＥＣＵ３３及びＥＣＵ３４とを備える。ＤＭ３１は、ＣＡＮ ＦＤの通信プロトコルに従ってデータ通信が行われるＦＤバス３５を介してＣＧＷ７に接続されている。また、ＥＣＵ３２～３４は、ＣＡＮ ＦＤの通信プロトコルに従ってデータ通信が行われるＦＤバス３６を介してＤＭ３１に接続されている。

ＥＣＵ３２～３４は、第１の通信ネットワーク１のＥＣＵ１１～１３と同様に、車両に搭載された車載機器を制御する電子制御装置であり、コントローラ及び通信回路を備えている。ＥＣＵ３２～３４は、接続されているセンサから、センサによる検知結果を示すセンサ情報を取得し、取得されたセンサ情報を含む制御情報が格納されたＣＡＮ ＦＤのデータフレーム（以下、ＦＤフレームともいう）を生成する。ＥＣＵ３２～３４により生成されたＦＤフレームは、ＦＤバス３６を介してＤＭ３１へ送信される。また、各ＥＣＵ３２～３４は、ＦＤバス３６を介してＤＭ３１からＦＤフレームを受信し、受信したＦＤフレームに格納されている制御情報に基づいてアクチュエータ等の車載機器を制御する。

ＤＭ３１は、ＣＧＷ７とＥＣＵ３２～３４との間での通信を中継する中継装置であり、ＥＣＵと同様にコントローラ及び通信回路を備えている。ＤＭ３１は、ＦＤバス３６を介して、ＥＣＵ３２～３４とＦＤフレームの通信を行なう。また、ＤＭ３１は、ＦＤバス３５を介して、ＣＧＷ７とＦＤフレームの通信を行なう。

第４の通信ネットワーク４は、ＤＭ４１と、ＥＣＵ４２、ＥＣＵ４３及びＥＣＵ４４とを備える。ＤＭ４１は、ＣＡＮ ＦＤの通信プロトコルに従ってデータ通信が行われるＦＤバス４５を介してＣＧＷ７に接続されている。また、ＥＣＵ４２～４４は、ＣＡＮ ＦＤの通信プロトコルに従ってデータ通信が行われるＦＤバス４６を介してＤＭ４１に接続されている。なお、第４の通信ネットワーク４のＤＭ４１、ＥＣＵ４２～４４及びＦＤバス４５、４６は、第３の通信ネットワーク３のＤＭ３１、ＥＣＵ３２～３４及びＦＤバス３５、３６と同様の構成を有するため、詳しい説明は省略する。

第５の通信ネットワーク５は、ＤＭ５１と、ＥＣＵ５２、ＥＣＵ５３及びＥＣＵ５４とを備える。ＤＭ５１は、ＣＡＮ ＦＤの通信プロトコルに従ってデータ通信が行われるＦＤバス５５を介してＣＧＷ７に接続されている。また、ＥＣＵ５２～５４は、ＣＡＮの通信プロトコルに従ってデータ通信が行われるＣＡＮバス５６を介してＤＭ５１に接続されている。

ＥＣＵ５２～５４は、第１の通信ネットワーク１のＥＣＵ１１～１３と同様に、車両に搭載された車載機器を制御する電子制御装置であり、コントローラ及び通信回路を備えている。ＥＣＵ５２～５４は、接続されているセンサから、センサによる検知結果を示すセンサ情報を取得し、取得されたセンサ情報を含む制御情報が格納されたＣＡＮフレームを生成する。ＥＣＵ５２～５４により生成されたＣＡＮフレームは、ＣＡＮバス５６を介してＤＭ５１へ送信される。また、各ＥＣＵ５２～５４は、ＣＡＮバス５６を介してＤＭ５１からＣＡＮフレームを受信し、受信したＣＡＮフレームに格納されている制御情報に基づいてアクチュエータ等の車載機器を制御する。

ＤＭ５１は、ＣＧＷ７とＥＣＵ５２～５４との間での通信を中継する中継装置であり、第３の通信ネットワーク３のＤＭ３１と同様にコントローラ及び通信回路を備えている。ＤＭ５１は、ＣＡＮバス５６を介して、ＥＣＵ５２～５４とＣＡＮフレームの通信を行なう。また、ＤＭ５１は、ＦＤバス５５を介して、ＣＧＷ７とＦＤフレームの通信を行なう。ＤＭ５１は、ＥＣＵ５２～５４により生成されたＣＡＮフレームを第１の通信ネットワーク１又は第２の通信ネットワーク２へ送信する際には、ＦＤフレームに少なくとも１つのＣＡＮフレームを格納してＣＧＷ７へ送信する。

第６の通信ネットワーク６は、ＤＭ６１と、ＥＣＵ６２、ＥＣＵ６３及びＥＣＵ６４とを備える。ＤＭ６１は、ＣＡＮ ＦＤの通信プロトコルに従ってデータ通信が行われるＦＤバス６５を介してＣＧＷ７に接続されている。また、ＥＣＵ６２～６４は、ＣＡＮの通信プロトコルに従ってデータ通信が行われるＣＡＮバス６６を介してＤＭ６１に接続されている。なお、第６の通信ネットワーク６のＤＭ６１、ＥＣＵ６２～６４、ＦＤバス６５及びＣＡＮバス６６は、第５の通信ネットワーク５のＤＭ５１、ＥＣＵ５２～５４、ＦＤバス５５及びＣＡＮバス５６と同様の構成を有するため、詳しい説明は省略する。

ＣＧＷ７は、第１～第６の通信ネットワーク１～６の間でデータフレームの中継を行う中継装置であり、ＤＭ３１等と同様に、コントローラ及び通信回路を備えている。ＣＧＷ７は、第１の通信ネットワーク１のＣＡＮバス１４を介して、ＥＣＵ１１～１３とＣＡＮフレームの通信を行なう。また、ＣＧＷ７は、第２の通信ネットワーク２のＣＡＮバス２４を介して、ＥＣＵ２１～２３とＣＡＮフレームの通信を行なう。ＣＧＷ７は、第３の通信ネットワーク３のＦＤバス３５を介して、ＤＭ３１とＦＤフレームの通信を行う。また、ＣＧＷ７は、第４の通信ネットワーク４のＦＤバス４５を介して、ＤＭ４１とＦＤフレームの通信を行う。さらに、ＣＧＷ７は、第５の通信ネットワーク５のＦＤバス５５を介して、ＤＭ５１とＦＤフレームの通信を行う。ＣＧＷ７は、第６の通信ネットワーク６のＦＤバス６５を介して、ＤＭ６１とＦＤフレームの通信を行う。ＣＧＷ７は、ＤＭ５１又は６１からＣＡＮフレームが格納されたＦＤフレームを受信した場合には、ＦＤフレームからＣＡＮフレームを取得し、取得したＣＡＮフレームを第１の通信ネットワーク１のＥＣＵ１１～１３、又は第２の通信ネットワーク２のＥＣＵ２１～２３へ送信する。

なお、ＥＣＵ３２～３４、４２～４４は、本発明の第１の電子制御装置又は第２電子制御装置に相当する。ＤＭ３１、４１、５１、６１は、本発明の第１の電子制御装置又は第２電子制御装置に相当する。ＤＭ３１、４１及びＣＧＷ７は、本発明の中継装置に相当する。

次に、ＣＡＮフレームの構成について説明する。ＣＡＮフレームは、図２に示すように、ＳＯＦ（Start Of Frame）フィールドと、ＩＤ（Identifier）フィールドと、ＲＴＲ（Remote Transmission Request）フィールドと、ＤＬＣ（Data Length Code）フィールドと、データフィールドと、ＣＲＣフィールドと、ＡＣＫフィールドと、ＥＯＦ（End of Frame）フィールド等によって構成される。図２の各フィールドに記載されている数値は、フィールドの各々を構成するビット数を示す。

ＳＯＦフィールドは、ＣＡＮフレームの先頭を示す。ＩＤフィールドは、データフィールド内の格納データの種類を示す識別子であるＣＡＮ ＩＤが格納されている。ＣＡＮ ＩＤは、メッセージＩＤとも称される。なお、ＣＡＮでは、複数のＥＣＵが同時にＣＡＮフレームの送信を開始した場合、このＣＡＮ ＩＤが小さい値を持つＣＡＮフレームの通信を優先する通信調停が行われる。ＤＬＣフィールドには、後続するデータフィールド内のデータのサイズ（データ長）を示す情報が格納される。ＣＲＣフィールドは、ＣＡＮフレームの通信エラーの検出に利用される巡回冗長検査コードが格納される。

データフィールドに格納されるデータの仕様については、ＣＡＮの通信プロトコルでは規定されていない。本実施形態に係る車載通信ネットワークシステムＣＮＷでは、データフィールド内に、ＥＣＵに接続されているセンサから取得したセンサ情報を含む制御情報ＣＤと、誤り検出符号ＥＣとが格納される。なお、制御情報ＣＤに含まれる情報は、センサ情報に限らず、例えば、ドライバーから要求された操作情報等でもよい。誤り検出符号ＥＣは、制御情報ＣＤの誤りを検出して訂正するための符号であり、本実施形態では、ＣＡＮフレーム全体の誤り検出に用いられるＣＲＣフィールドとは別に設けられている。誤り検出符号ＥＣは、ＣＡＮフレームを生成する各ＥＣＵによって、ＣＡＮ ＩＤと、制御情報ＣＤとに基づいて算出される。なお、本実施形態のＣＡＮフレームは、本発明の第１のフレームに相当し、ＣＡＮ ＩＤは、本発明の第１のデータＩＤに相当し、データフィールドは本発明の第１のペイロードに相当する。

次に、ＦＤフレームの構成について説明する。ＦＤフレームは、図３に示すように、ＳＯＦフィールドと、ＩＤフィールドと、ＥＤＬ（Extended Data Length）フィールドと、ＢＲＳ（Bit Rate Switch）フィールドと、ＥＳＩ（Error State Indicator）フィールドと、ＤＬＣフィールドと、データフィールドと、ＣＲＣフィールドと、ＡＣＫフィールドと、ＥＯＦフィールド等によって構成される。図２の各フィールドに記載されている数値は、フィールドの各々を構成するビット数を示す。ＦＤフレームは、ＣＡＮフレームにＥＤＬビット、ＢＲＳビット及びＥＳＩビットが追加され、さらにデータフィールドが６４バイトに拡張されている。また、ＩＤフィールドには、データフィールド内の格納データの種類を示す識別子であるＣＡＮ ＦＤ ＩＤが格納されている。ＣＡＮ ＦＤ ＩＤは、本発明の「第２のデータＩＤ」に相当する。

ＦＤフレームは、例えば、ＦＤバスに接続されたＥＣＵ間で通信される場合、データフィールド内に、ＣＡＮフレームと同様に制御情報及び誤り検出符号が格納される。具体的には、例えば、第３の通信ネットワーク３のＦＤバス３６に接続されたＥＣＵ３２～３４によりＦＤフレームが生成され、第４の通信ネットワーク４のＦＤバス４６に接続されたＥＣＵ４２～４４に送信される場合には、ＦＤフレームのデータフィールド内に、ＣＡＮフレームと同様に制御情報及び誤り検出符号が格納される。この場合、ＣＡＮ ＦＤ ＩＤには、制御情報の種類を示すＩＤ、例えば、「００１」が付与される。

また、ＦＤフレームは、例えば、ＣＡＮバスに接続されたＥＣＵからＦＤバスを介してＥＣＵに送信される場合、データフィールド内に、少なくとも１つのＣＡＮフレームが格納される。具体的には、例えば、第１の通信ネットワーク１のＣＡＮバス１４に接続されたＥＣＵ１１～１３によりＣＡＮフレームが生成され、第５の通信ネットワーク５のＥＣＵ５２～５４に送信される場合には、ＣＧＷ７により、ＦＤフレームのデータフィールド内に少なくとも１つのＣＡＮフレームが格納され、ＤＭ５１に送信される。この場合、ＣＡＮ ＦＤ ＩＤには、データフレーム内にＣＡＮフレームが格納されていることを示すＩＤ、例えば、「００２」が付与される。

なお、ＣＡＮフレームをＦＤバスに接続されたＥＣＵへ送信する際に、ＦＤフレームのデータフィールドにＣＡＮフレームを格納して送信するのは、ＣＡＮフレームに対し、ＣＡＮ ＩＤが付与し直されるのを防ぐためである。すなわち、従来の車載通信ネットワークシステムでは、ＣＡＮフレームをＦＤフレームに変換してから送信し、送信先の通信ネットワークのＤＭ等でＦＤフレームを再びＣＡＮフレームに変換していた。そして、ＦＤフレームをＣＡＮフレームに変換する際に、最初とは異なるＣＡＮ ＩＤが付与されることがあった。このように、ＣＡＮ ＩＤが付与し直されると、自動車用機能安全規格（ＩＳＯ ２６２６２）において、ハザードを評価する指標として利用されているＡＳＩＬ（Automotive Safety Integrity Level）の評価レベルが高くなり、中継処理への信頼性要求値が高くなってしまうという問題があった。本実施形態では、ＦＤフレームにＣＡＮフレームを格納して送信するので、ＣＡＮ ＩＤが付与し直されることがないので、ＡＳＩＬのレベル低下を防ぐことが可能である。

次に、ＤＭ３１において、ＦＤフレームを生成するための各種機能部を、図４を参照しつつ説明する。図４は、ＤＭ３１のＣＰＵが制御プログラムに基づいて動作することにより構成される各種の機能部を示している。ＤＭ３１は、記憶部３１０、通信部３２０、カウンタ３３０、データ取得部３４０、フレーム生成部３５０、ＭＡＣ検証部３６０、カウンタ値検証部３７０、及びフレーム認識部３８０を備えている。なお、詳しくは説明しないが、他のＤＭ４１、５１、６１も同様の構成を備えており、ＣＧＷ７も基本的な構成は、ＤＭ５１と同様である。

記憶部３１０は、ＲＯＭ等のメモリによって構成されており、車載ネットワークシステムに対するリプレイ攻撃への対処に利用されるカウンタ値３１１、及び共通鍵３１２が記憶されている。ここで、リプレイ攻撃について説明する。ＣＧＷ７は、外部機器と通信可能な状態で接続されているため、本実施形態に係る車載通信ネットワークシステムＣＮＷでは、外部からのリプレイ攻撃に対処するために、メッセージ認証コード（Message Authentication Code、以下「ＭＡＣ」ともいう）を用いてデータフレームの正当性を検証している。リプレイ攻撃とは、ネットワーク上を流れるデータフレームを盗聴してその内容を記憶しておき、記憶したデータフレーム、又は改変したデータフレームをネットワーク内に送信することにより、ネットワーク内の機器に不正な動作を引き起こすサイバー攻撃である。リプレイ攻撃は、ＣＧＷ７とネットワークを介して接続される外部機器によって行われる。

通信部３２０は、バス及びＣＧＷ７を介して他のＥＣＵ及び／又は他のＤＭ等と通信を行う。通信部３２０は、ＣＧＷ７から送信されたデータフレームを受信する際に、データフレームのＩＤを確認し、予め定められたＩＤを有するデータフレーム、すなわち、通信部５２０が設けられているＤＭ５１に関連するデータフレームのみを受信する。また、通信部３２０はＥＣＵ３２～３４により送信されたデータフレームを受信する。さらに、通信部３２０は、フレーム生成部３５０により生成されたデータフレームを、ＥＣＵ３２～３４又はＣＧＷ７に送信する。

カウンタ３３０は、データフレームがＣＡＮに送信された回数をカウントし、カウンタ値をインクリメントする。カウンタ値は、送受信データ（メッセージ）の連続性を担保するための値であって、第三者からの成りすましデータや改ざんデータを破棄するために、データの正当性の検証に利用される。カウンタ３３０は、車載ネットワークシステム内のＥＣＵ１１等、ＤＭ３１等、及びＣＧＷ７による、データフレームの送信回数をカウントする。したがって、ＥＣＵ１１等、ＤＭ３１等、及びＣＧＷ７のカウンタは、同じカウンタ値となる。カウンタ３３０によりカウントされたカウンタ値は、記憶部３１０に記憶される。

データ取得部３４０は、ＤＭ３１に接続されたセンサ等の車載機器から、情報を取得する。フレーム生成部３５０は、データ取得部３４０により取得された情報を含む制御情報を生成し、生成された制御情報に基づいて、通信部３２０により送信されるデータフレームを生成する。具体的には、フレーム生成部３５０は、データ取得部３４０により取得した情報の種類に応じてＩＤを設定する。フレーム生成部３５０は、例えば、センサ情報とＣＡＮ ＦＤ ＩＤとが対応付けられたテーブルを記憶しており、このテーブルに基づいてＣＡＮ ＦＤ ＩＤを設定する。なお、他のＤＭ５１等又はＥＣＵ１１等が、ＣＡＮフレームを生成するには、ＣＡＮフレーム用のＩＤを付与する。

また、ＤＭ３１が、ＥＣＵ３２～３４からＦＤバス３５を介してＣＧＷ７に、ＦＤフレームを送信する場合には、フレーム生成部３５０は、通信部３２０によりＥＣＵ３２～３４から受信したフレームを、ＦＤフレームのデータフィールドに格納して、データフィールドに複数のフレームを含むことを示すＣＡＮ ＦＤ ＩＤを付与する。

なお、ＤＭ５１のように、ＤＭ５１がＣＡＮバス５６を介してＥＣＵ５２～５４に接続されており、ＥＣＵ５２～５４からＦＤバス５５を介してＣＧＷ７に、少なくとも１つのＣＡＮフレームを格納したＦＤフレームを送信する場合には、ＤＭ５１は、ＥＣＵ５２～５４から受信したＣＡＮフレームを、ＦＤフレームのデータフィールドに格納して、データフィールドにＣＡＮフレームを含むことを示すＣＡＮ ＦＤ ＩＤを付与する。これにより、ＤＭ５１は、少なくとも１つのＣＡＮフレームを格納したＦＤフレームを生成できる。なお、複数のＣＡＮフレームを格納したＦＤフレームのデータ構造は、後述にて説明する。

また、フレーム生成部３５０は、上述したリプレイ攻撃に対処するために、ＣＡＮ ＦＤ ＩＤと、ＣＡＮ ＦＤ データフィールドに含まれるデータ、記憶部３１０に記憶されているカウンタ値３１１に基づいて、記憶部３１０に記憶されている共通鍵３１２によりＭＡＣを生成する。共通鍵３１２は、各ＥＣＵ１１等、各ＤＭ４１等及びＣＧＷ７において、共通のものが用いられる。また、ＭＡＣの算出には、ハッシュ関数を使う方式（ＨＭＡＣ）や、ブロック暗号アルゴリズムを使う方式（ＣＭＡＣ等）等が用いられる。フレーム生成部３５０は、設定したＣＡＮ ＦＤ ＩＤと、データ取得部３４０により取得した情報を含む制御情報及び／又は通信部３２０により受信されたデータフレームと、記憶部３１０に記憶されているカウンタ値３１１と、生成したＭＡＣとに基づいてデータフレームを生成する。

ＭＡＣ検証部３６０は、通信部３２０により受信したデータフレームのＭＡＣに基づいて、データフレームの正当性、すなわち、受信したデータフレームが車載ネットワークシステム２内の他のＥＣＵ１１等、各ＤＭ４１等及びＣＧＷ７から送信されたものであるか否かを検証する。具体的には、ＭＡＣ検証部３６０は、受信したデータフレームから、ＩＤと、制御情報と、カウンタ値と、ＭＡＣとを取得する。ＭＡＣ検証部３６０は、取得されたＩＤと、制御情報と、カウンタ値とに基づいて、記憶部３１０に記憶されている共通鍵４１２により検証用のＭＡＣを生成する。

次いで、ＭＡＣ検証部３６０は、受信したデータフレームから取得したＭＡＣと、検証用のＭＡＣとを比較し、取得したＭＡＣと検証用のＭＡＣとが一致する場合に、受信したデータフレームが正当なデータであると判定する。ＭＡＣ検証部３６０は、受信したデータフレームが正当なデータであると判定すると、受信したデータフレームをカウンタ値検証部３７０に出力する。また、ＭＡＣ検証部３６０は、受信したデータフレームが不正なデータであると判定すると、受信したデータフレームを破棄する。このように、ＭＡＣを利用して不正なデータフレームを検出して破棄することができるので、車載ネットワークシステム２に対するリプレイ攻撃等を防ぐことが可能である。なお、ＭＡＣの生成にＣＡＮ ＩＤと、制御情報と、カウンタ値とを用いているが、これらの３つのデータのうち、いずれか１つ又は２つの組み合わせを用いてＭＡＣを生成してもよい。

カウンタ値検証部３７０は、受信したデータフレームからカウンタ値を取得し、カウンタ値の連続性が保たれているか否か判定する。カウンタ値検証部３７０は、連続性が保たれていないと判定すると、受信したデータフレームを破棄する。そして、ＤＭ３１は、ＭＡＣ検証部３６０及びカウンタ値検証部３７０により、受信したデータフレームが正当なデータあると判定した後は、データフレーム含まれるデータを処理する。

フレーム認識部３８０は、複数フレームを格納したＦＤフレームを通信部３２０で受信した場合に、ＦＤフレームのデータフィールドにおいて、フレーム毎のフレーム認識処理を実行し、認識されたフレームを、各ＥＣＵ３２～３４に送信する。

図５は、ＥＵ５１により生成されるデータフレームの構成の一例を示している。データフレームは、ＣＡＮ ＦＤ ＩＤが格納されるＩＤフィールド９１と、ＣＡＮフレームが格納されるデータフィールド９２とを備えている。データフィールド９２には、ＣＡＮフレームと、カウンタ値と、ＭＡＣとが格納される。図５は、３つのＣＡＮフレームをデータフィールドに含んだＦＤフレームの一例を示している。なお、図５に示すフレーム構成は、図３のＦＤフレームのうち、「００２」のＩＤが付与されたフレームであって、データフィールドの一部にＭＡＣを付与した場合のフレーム構造を表している。ただし、図３で示したＥＯＦ等のフィールドの図示を、図５では省略している。

ＩＤフィールド９１は、ＣＡＮ ＦＤ ＩＤ及びＤＬＣ等を含んでいる。ＩＤフィールド９１に含まれるＤＬＣは、データフィールド９２のデータ長を示しており、何バイトのデータがフレームで送信されるかを表している。ＤＬＣは、ＣＡＮ用、ＣＡＮ ＦＤ用共に１バイトである。ＤＬＣの設定範囲は、ＣＡＮの場合は０～８バイトであり、ＣＡＮ ＦＤの場合は８ビット以上のときには、１２、１６、２０、２４、３２、４８、又は６４バイトとなる。

データフィールド９２は、複数のＣＡＮフレーム、カウンタ値及びＭＡＣを含んでいる。図５の例では、３つのＣＡＮフレームがデータフィールド９２内に格納されている。ＣＡＮフレームは、ＩＤフィールド１０１とデータフィールド１０２を含んでおり、ＩＤフィールド１０１はＣＡＮ ＩＤとＤＬＣを含んでいる。３つのＣＡＮフレームの各ＩＤには、「１００」、「２００」、及び「３００」が付与されており、データフィールド９２内で、「１００」、「２００」、及び「３００」の順序で、３つのＣＡＮフレームが格納されている。また、データフィールド９２において、複数のＣＡＮフレームよりも後方の位置には、カウンタ値とＭＡＣが格納されている。カウンタ値及びＭＡＣは、データフレームの正当性を検証するために使用されるデータであって、フレーム固有のデータ（固有データ）である。なお、ＣＡＮフレームのデータ容量は、最大８バイトに限られているため、ＣＡＮフレームのデータフレームは、制御情報と、カウンタ値と、ＭＡＣをすべて格納することはできない。一方、ＦＤフレームでは、データ容量の最大は６４バイトになるため、ＦＤフレームのデータフレームは、制御情報や複数のＣＡＮフレームに加えて、カウンタ値とＭＡＣを格納できる。

次に、ＤＭ３１が、ＣＧＷ７からＦＤフレームを受信し、ＦＤフレームに含まれる制御情報を新たなＦＤフレーム内に格納して各ＥＣＵ３２～３４に送信する際のデータ処理について説明する。上述のとおり、本実施形態では、ＣＧＷ７は、車載ネットワークシステム外の外部装置と通信可能な状態で接続されており、外部からのリプレイ攻撃に対処するために、ＭＡＣをデータフレームに付与している。データの正当性の検証に利用されるカウンタ値及びＭＡＣは、少なくとも１０バイト程度のデータ量を必要とするため、カウンタ値及びＭＡＣをデータフレームに付与する分、データ効率は下がる。なお、以下の説明では、カウンタ値及びＭＡＣを総称して「ＭＡＣ」と称す。

ＤＭ３１は、ＣＧＷ７と異なり、外部装置と通信可能な状態で直接接続されていないため、第３の通信ネットワーク３は、車内で閉じたネットワークとなり、リプレイ攻撃を受ける可能性は低い。そのため、ＤＭ３１が中継装置となり、ＣＧＷ７からＤＭ３１を中継してＥＣＵ３２～３４に通信する際に、ＤＭ３１においてデータフレームの正当性が確保されれば、ＤＭ３１からＥＣＵ３２～３４に送信されるＦＤフレームに、ＭＡＣを付与する必要性は低い。

本実施形態では、ＣＧＷ７から受信したＦＤフレームに含まれる制御情報を、ＦＤフレームに格納して、ＤＭ３１からＦＤバス３６を介してＥＣＵ３２～３４にＦＤフレームを送信する場合には、少なくともＭＡＣを削除して、ＭＡＣを含まないＦＤフレームをＥＣＵ３２～３４に送信する。ＤＭ３１からＥＣＵ３２～３４に送信されるＦＤフレームは、ＭＡＣを含まない分、データ量が小さくなる。その結果として、ＦＤバス３６に対する通信負荷が抑制され、通信効率を高めることができる。

以下、図６を参照し、ＥＣＵ５３から、ＤＭ５１、ＣＧＷ７、ＤＭ５１、及びＥＣＵ３４の順番で、データを送る際のデータ処理とフレーム構成について説明する。図６は、フレーム構成の一部を説明するための説明図である。

ＥＣＵ５３は、フレーム名、フレームタイプ、通信経路等を示す識別情報（ＩＤ）及びＤＬＣを、ＩＤフィールドに格納する。図６の例では、ＥＣＵ５３からＤＭ５１に送信されるフレームについて、フレーム名は「Ａ１０１」であり、フレームタイプは「ＣＡＮ」であり、フレームの送信側は「ＥＣＵ５３」であり、フレームの受信側は「ＤＭ５１」である。なお、図６の説明図では、送信側を「Ｔ」、受信側を「Ｒ」で表している。フレームサイズはＤＬＣで示され、図６の例では４バイトである。ＣＡＮフレームの上限のデータ長は８バイトのため、ＣＡＮフレームにはＭＡＣを付与できない。そのため、フレームタイプ「ＣＡＮ」ではＭＡＣ「無」となる。

ＤＭ５１は、ＣＧＷ７を経由してＤＭ３１に送信されるＦＤフレームを生成する。ＦＤフレームは、フレーム「Ａ１０１」のペイロードに格納された制御情報を含んでいる。図６の例では、ＤＭ５１からＣＧＷ７を経由してＤＭ３１に送信されるフレームについて、フレーム名は「Ａ１０１ＳＣ_ＦＤ」であり、フレームタイプは「ＣＡＮ ＦＤ」であり、フレームの送信側は「ＤＭ５１／ＣＧＷ７」であり、フレームの受信側は「ＣＧＷ７／ＤＭ３１」である。フレームサイズは２０バイトであり、その内訳は、ＣＡＮ ＦＤ ＩＤ及びＤＬＣを含むＩＤフィールドのデータ長が４バイト、カウント値及びＭＡＣのデータ長が１０バイト、制御情報等の残りのデータが４バイトである。ＦＤフレーム「Ａ１０１ＳＣ_ＦＤ」は、ＭＡＣを含む分、データ量がＣＡＮフレーム「Ａ１０１」よりも大きい。また、フレームのファイル名は、フレーム内にＭＡＣを含むか否かを表しており、フレーム名に「Ｓ」を含む場合はＭＡＣ有りのフレームを表し、フレーム名に「Ｓ」を含まない場合はＭＡＣ無しのフレームを表している。なお、ＭＡＣの有りと無しの区別は必ずしもファイル名で示す必要はなく、例えば、ＩＤフィールド内の識別情報に、ＭＡＣの有り／無しを示す情報を含めてもよい。

ＤＭ３１は、ＦＤフレーム「Ａ１０１ＳＣ_ＦＤ」を受信すると、ＭＡＣ検証を行い、データの正当性を検証する。データが正当なものであると判定された場合には、ＤＭ３１は、ＦＤフレーム「Ａ１０１_ＦＤ」を生成する。ＤＭ３１は、ＦＤフレーム「Ａ１０１_ＦＤ」を生成する際に、ＦＤフレーム「Ａ１０１ＳＣ_ＦＤ」に含まれるデータから、ＭＡＣを削除した上で、ＦＤフレームを生成する。ＦＤフレーム「Ａ１０１_ＦＤ」は、フレーム「Ａ１０１ＳＣ_ＦＤ」のペイロードに格納された制御情報を含んでいる。図６の例では、ＤＭ３１からＥＣＵ３４に送信されるフレームについて、フレーム名は「Ａ１０１_ＦＤ」であり、フレームタイプは「ＣＡＮ ＦＤ」であり、フレームの送信側は「ＤＭ３１」であり、フレームの受信側は「ＥＣＵ３４」である。フレームサイズは4バイトである。ＦＤフレーム「Ａ１０１_ＦＤ」は、ＭＡＣを含まない分、データ量がＦＤフレーム「Ａ１０１ＳＣ_ＦＤ」よりも小さい。

次に、図７のシーケンスチャート及び図８の説明図を参照して、第１の通信ネットワーク１のＥＣＵ１１～１３により生成されたＣＡＮフレームが、第５の通信ネットワーク５のＥＣＵ５２～５４へ送信される手順について説明する。図７のステップＳ１にて示すように、第１の通信ネットワーク１のＥＣＵ１１～１３は、センサからセンサ情報を取得し、例えば、ＣＡＮフレームＣ１～ＣＮを生成する。具体的には、ＥＣＵ１１～１３は、取得したセンサ情報に基づいて、センサ情報を含む制御情報ＣＤを生成し、センサ情報の種類等に基づいてＣＡＮ ＩＤを設定する。図中、「１００」、「２００」は、ＣＡＮ ＩＤを示す。また、ＥＣＵ１１～１３は、生成した制御情報ＣＤと、設定したＣＡＮ ＩＤとに基づいて、誤り検出符号ＥＣを算出する。ＥＣＵ１１～１３は、生成したＣＡＮフレームＣ１～ＣＮのデータフィールドに、制御情報ＣＤと、誤り検出符号ＥＣとを格納し、ＣＡＮバス１４を介してＣＧＷ７へ生成したＣＡＮフレームＣ１～ＣＮを送信する。

ＣＧＷ７は、ＣＡＮバス１４を介して第１の通信ネットワーク１からＣＡＮフレームＣ１～ＣＮを受信し、ステップＳ２において、ＣＧＷ７は、受信したＣＡＮフレームＣ１～ＣＮがデータフィールドに格納されたＦＤフレームＦ１を生成する。具体的には、ＣＧＷ７は、ＦＤフレームＦ１に、データフィールドに少なくとも１つのＣＡＮフレームが格納されていることを示すＣＡＮ ＦＤ ＩＤとして、「００２」を付与するまた、ＣＧＷ７は、ＣＡＮフレームＣ１～ＣＮの送信先のＥＣＵや、格納されている制御情報ＣＤの種類、ＣＡＮフレームＣ１～ＣＮの送信周期等に基づいて、複数のＣＡＮフレームＣ１～ＣＮをグループ分けし、グループ分けされた複数のＣＡＮフレーム毎にＦＤフレームＦ１を生成する。さらに、ＣＧＷ７は、グループ分けされた複数のＣＡＮフレーム毎にＦＤフレームＦ１を生成する際に、ＭＡＣを付与する。ＣＧＷ７は、生成されたＦＤフレームＦ１を、第５の通信ネットワーク５のＦＤバス５５を介してＤＭ５１へ送信する。

制御情報ＣＤの種類とは、制御情報ＣＤが利用される制御内容が、共通又は関連することを言う。例えば、車両の加減速の制御に応じてＣＡＮフレームＣ１～ＣＮをグループ分けする場合、エンジン等のパワートレインやブレーキ等の制御が共通又は関連する制御内容となり、これらの制御に利用される制御情報ＣＤ毎にＣＡＮフレームＣ１～ＣＮがグループ分けされる。また、ＣＡＮフレームＣ１～ＣＮの送信周期とは、例えば、センサから取得されたセンサ情報が所定の時間間隔で送信される場合の送信周期を言い、送信周期が同じ又は近い制御情報ＣＤ毎にＣＡＮフレームＣ１～ＣＮがグループ分けされる。このように、送信先のＥＣＵや、制御情報ＣＤの種類、送信周期等に応じてＣＡＮフレームＣ１～ＣＮをグループ分けして送信することにより、車載通信ネットワークシステムＣＮＷの送信負荷を抑制することができる。また、関連する制御情報ＣＤを一緒に送信することができるので、送信先のＥＣＵでの制御が適切、かつ効率よく行えるようになる。

また、ＣＧＷ７は、ＣＡＮフレームＣ１～ＣＮのそれぞれから、「ＣＡＮ ＩＤ」と、「ＤＬＣ」と、「制御情報」と、「誤り検出符号」のみを取得して、ＦＤフレームＦ１のデータフィールドに格納する。「ＤＬＣ」は、データフィールドに格納された複数のＣＡＮフレームＣ１～ＣＮの区切りを判定するために利用される。このように、ＣＡＮフレームＣ１～ＣＮを構成する多数のデータのうち、送信先のＥＣＵで必要となるデータのみをＦＤフレームＦ１に格納して送信するので、車載通信ネットワークシステムＣＮＷの送信負荷を抑制することができる。

第５の通信ネットワーク５のＤＭ５１は、ＦＤバス５５を介してＦＤフレームＦ１を受信すると、ステップＳ３において、ＤＭ５１は、ＣＡＮ ＦＤ ＩＤに基づいて、データフィールドに少なくとも１つのＣＡＮフレームが格納されていることを特定する。また、ＤＭ５１は、ＦＤフレームＦ１に付与されているＭＡＣを用いて、ＭＡＣ検証を行い、データが正当であることを確認する。ＤＭ５１は、ＦＤフレームＦ１から、ＣＡＮフレームＣ１～ＣＮを取得する。上述したように、フレーム認証により、ＦＤフレームＦ１のデータフィールドから複数のＣＡＮフレームＣ１～ＣＮを取得する際には、「ＤＬＣ」を利用してＣＡＮフレーム間の区切りを判定することができるので、複数のＣＡＮフレームＣ１～ＣＮを適切に取得することができる。そして、ＤＭ５１は、取得した複数のＣＡＮフレームＣ１～ＣＮを第５の通信ネットワーク５のＣＡＮバス５６に送信する。このとき、ＣＡＮフレームは、データ量の上限から、ＭＡＣを含むことはできないため、ＣＡＮフレームはＭＡＣが付与されてないデータフレームとなる。

第５の通信ネットワーク５のＥＣＵ５２～５４は、ＣＡＮフレームＣ１～ＣＮのＣＡＮ
ＩＤに基づいて、車載機器の制御に必要なＣＡＮフレームＣ１～ＣＮを受信する。ステップＳ４において、ＥＣＵ５２～５４は、受信したＣＡＮフレームＣ１～ＣＮの誤りを誤り検出符号ＥＣに基づいて検出し、訂正する。さらに、Ｓ５において、ＥＣＵ５２～５４は、受信したＣＡＮフレームＣ１～ＣＮの制御信号ＣＤに基づいて、車載機器を制御する。

次に、図９のシーケンスチャートを参照して、第１のネットワーク１のＥＣＵ１１～１３により生成されたＣＡＮフレームが、第３の通信ネットワーク３のＥＣＵ３２～３４へ送信される手順について説明する。図９のステップＳ１１、Ｓ１２は、図７のステップＳ１、Ｓ２と同様であり説明を省略する。ＤＭ３１は、ＦＤバス３５を介して、制御情報ＣＤ及びＭＡＣを含むＦＤフレームＦ１を受信すると、ステップＳ１３において、ＣＡＮ ＦＤ ＩＤに基づいて、データフィールドに少なくとも１つのＣＡＮフレームが格納されていることを特定する。また、ＤＭ５１は、ＦＤフレームＦ１のファイル名から、ＭＡＣが付与されていることを特定する。ＤＭ５１は、ＦＤフレームＦ１に付与されているＭＡＣに基づき、ＦＤフレームＦ１のＭＡＣ検証を行い、データが正当であることを確認する。ＤＭ５１は、ＭＡＣ検証の後、ＦＤフレームＦ１からＭＡＣを削除する。そして、ＤＭ３１は、ＭＡＣを削除した分、フレームのデータ長が変わるため、ＤＬＣを新たに付与して、ＦＤフレームＦ２を生成する。そして、ＤＭ３１は、ＭＡＣを含まず制御情報ＣＤを含んだＦＤフレームＦ２を、ＥＣＵ３２～３４に送信する。なお、ＤＭ３１は、新たにデータフレームを生成せず、ＦＤフレームＦ１からカウンタ値及びＭＡＣを削除したデータフレームを、ＥＣＵ３２～３４に送信してもよい。

ＤＭ３１とＥＣＵ３２～３４の間は、ＣＡＮ ＦＤの通信プロトコルに従ってデータ通信が行われるため、ＣＡＮの通信プロトコルとは異なり、ＭＡＣを付与したデータフレームを送信できる。本実施形態では、ＭＡＣ検証でデータの正当性が確認されたフレームを、リプレイ攻撃を受ける可能性の低いネットワークに送信する際には、ＭＡＣを削除した上で、データフレームを送信する。これにより、バスへの通信負荷を抑制し、通信効率を高めることができる。

そして、第３の通信ネットワーク３のＥＣＵ３２～３４は、ＣＡＮ ＦＤ ＩＤに基づいて、車載機器の制御に必要なフレームを受信する。ＥＣＵ３２～３４による、ステップＳ１４、Ｓ１５の制御処理は、図７のステップＳ４、Ｓ５と同様であり説明を省略する。

以上で説明したように、本実施形態に係る車載通信ネットワークシステムＣＮＷによれば、制御情報及びＭＡＣを含むＦＤフレームをＤＭ３１に送信し、ＤＭ３１は、ＭＡＣに基づき受信したＦＤフレームの検証を行い、制御情報を含むＦＤフレームをＥＣＵ３２～３４に送信する場合には、ＭＡＣを削除して、ＦＤフレームを送信する。これにより、バスへの通信負荷を抑制し、通信効率を高めることができる。

また、本実施形態に係る車載通信ネットワークシステムＣＮＷによれば、制御情報及びＭＡＣを含むＦＤフレームをＣＧＷ７から受信し、ＭＡＣに基づきＦＤフレームの検証を行い、ＭＡＣを含めずに制御情報を含むＦＤフレームを生成し、ＭＡＣを含んだデータフレームを送信可能なバス３６を介して、ＦＤフレームを、ＥＣＵ３２～３４に送信する。これにより、バスへの通信負荷を抑制し、通信効率を高めることができる。

また、本実施形態に係る車載通信ネットワークシステムＣＮＷによれば、ＣＧＷ７又はＤＭ４１、５１、６１は、制御情報とＭＡＣに基づき、識別情報を示すデータＩＤ（本発明の「第１のデータＩＤ」の一例に相当）を生成し、データＩＤを有するＦＤフレームをＤＭ３１に送信し、ＤＭ３１は、制御情報を識別するためのデータＩＤ（本発明の「第２のデータＩＤ」の一例に相当）を生成し、データＩＤを有するＦＤフレームをＥＣＵ３２～３４に送信する。これにより、バスへの通信負荷を抑制し、通信効率を高めることができる。

また、本実施形態に係る車載通信ネットワークシステムＣＮＷによれば、ＤＭ３１は、ＦＤバス３６により複数のＥＣＵ３２～３４に接続されており、ＭＡＣを含まないＦＤフレームを複数のＥＣＵ３２～３４に送信する。これにより、バスへの通信負荷を抑制し、通信効率を高めることができる。

本実施形態の変形例において、ＣＧＷ７は、ＤＭ３１、４１、５１、６１から、ＭＡＣを含むＦＤフレームを受信し、ＭＡＣに基づきデータフレームの検証を行った後、ＦＤフレームの送信先に応じて、ＭＡＣを削除の要否を判定する。そして、ＣＧＷ７は、ＦＤフレームの送信先のネットワークがリプレイ攻撃を受ける可能性が低い場合、又は、ＦＤフレームの送信先のネットワーク通信プロトコルがＭＡＣを付与したフレームを送信できない場合には、ＭＡＣを削除した上で、ＦＤフレームを送信する。一方、ＣＧＷ７は、ＦＤフレームの送信先のネットワークがリプレイ攻撃を受ける可能性が高い場合、ＭＡＣを削除せず、ＭＡＣを含むＦＤフレームを送信する。これにより、バスへの通信負荷を抑制し、通信効率を高めることができる。

なお、本実施形態において、ＥＣＵ１１～１３、２１～２３、３２～３４、４２～４４、５２～５４、６２～６４が、ＤＭ３１、４１、５１、６１又はＣＧＷ７と、ＭＡＣを付与したデータフレームを送信可能な通信プロトコル（Ｅｔｈｅｒｎｅｔ等の通信プロトコル）をもつバスに接続されている場合には、ＤＭ３１、４１、５１、６１又はＣＧＷ７は、ＭＡＣを削除したデータフレームを、当該バスを介してＥＣＵ１１等に送信してもよい。

なお、ＤＭ３１、４１、５１、６１又はＣＧＷ７が中継装置となる場合に、中継装置の受信側のデータフレームが本発明の「第１のデータフレーム」の一例に相当し、中継装置受信側のデータフレームが本発明の「第２のデータフレーム」の一例に相当する。

ＣＮＷ…車載通信ネットワークシステム
１…第１の通信ネットワーク
１１～１３…ＥＣＵ（Electronic Control Unit）
２…第２の通信ネットワーク
２１～２３…ＥＣＵ
３…第３の通信ネットワーク
３１…ＤＭ（Domain Master）
３１０…記憶部
３１１…カウンタ値
３１２…共通鍵
３２０…通信部
３３０…カウンタ
３４０…データ取得部
３５０…フレーム生成部
３６０…ＭＡＣ検証部
３７０…カウンタ値検証部
３８０…フレーム認識部
３２～３４…ＥＣＵ
３５、３６…ＦＤバス
４…第４の通信ネットワーク
４１…ＤＭ
４２～４４…ＥＣＵ
４５、４６…ＦＤバス
５…第５の通信ネットワーク
５１…ＤＭ
５２～５４…ＥＣＵ
５５…ＦＤバス
５６…ＣＡＮバス
６…第６の通信ネットワーク
６１…ＤＭ
６２～６４…ＥＣＵ
６５…ＦＤバス
６６…ＣＡＮバス
７…ＣＧＷ（Central Gateway）
Ｃ１～ＣＮ…ＣＡＮフレーム
Ｆ１…ＦＤフレーム
Ｅ１…Ｅｔｈｅｒｎｅｔフレーム

Claims (5)

1. 通信ネットワークに接続された、第１の電子制御装置及び第２の電子制御装置と、
   外部機器と通信が可能であり、前記第１の電子制御装置と前記第２の電子制御装置との間の通信を中継する中継装置とを備え、
   前記第１の電子制御装置は、制御情報及びメッセージ認証コード（ＭＡＣ）を含む第１のデータフレームを前記中継装置に送信し、
   前記中継装置は、
   前記ＭＡＣを含んだデータフレームを送信可能なバスにより、前記第２の電子制御装置に接続されており、
   前記ＭＡＣに基づき前記第１のデータフレームの検証を行い、
   前記制御情報を含む第２のデータフレームを、前記バスを介して前記第２の電子制御装置に送信する場合には、前記ＭＡＣを削除して、前記第２のデータフレームを送信する通信システム。
2. 請求項１記載の通信システムにおいて、
   前記第１の電子制御装置は、前記制御情報と前記ＭＡＣに基づき、識別情報を示す第１のデータＩＤを生成し、前記第１のデータＩＤを含む前記第１のデータフレームを前記中継装置に送信し、
   前記中継装置は、前記制御情報を識別するための第２のデータＩＤを生成し、前記第２のデータＩＤを有する前記第２のデータフレームを前記第２の電子制御装置に送信する通信システム。
3. 請求項１又は２記載の通信システムにおいて、
   前記中継装置は、前記バスにより複数の前記第２の電子制御装置に接続されており、前記第２のデータフレームを前記複数の第２の電子制御装置に送信する通信システム。
4. 請求項１～３のいずれか一項に記載の通信システムにおいて、
   前記中継装置は、複数の前記第２の電子制御装置に接続されており、前記第２のデータフレームの送信先に応じて、前記ＭＡＣの削除の要否を判定する通信システム。
5. 外部機器と通信が可能であり、第１の電子制御装置と第２の電子制御装置との間の通信を中継する中継装置により実行される通信制御方法であって、
   制御情報及びメッセージ認証コード（ＭＡＣ）を含む第１のデータフレームを前記第１の電子制御装置から受信し、
   前記ＭＡＣに基づき前記第１のデータフレームの検証を行い、
   前記ＭＡＣを含めずに、前記制御情報を含む第２のデータフレームを生成し、
   前記ＭＡＣを含んだデータフレームを送信可能なバスを介して、前記第２のデータフレームを、前記第２の電子制御装置に送信する通信制御方法。

Images