網絡系統、通信控制方法以及存儲介質與流程
2023-05-14 00:11:11
本公開的方面涉及網絡系統。
背景技術：
在應當參與車載通信網絡的各種通信節點中，可能有已經執行了諸如篡改程序的未授權活動的不可靠的通信節點。如果這種不可靠的通信節點被允許連接到車載通信網絡，則可能出現諸如損壞外部裝置和耗盡通信頻帶的各種問題。
存在用於基於認證來控制對車載通信網絡的訪問以允許可靠的通信節點執行通信的已知技術(參見例如專利文獻1)。在這個技術中，確定連接到用於連接外部裝置的連接器的工具是否是正品，以防止經由連接到車載通信網絡的車載裝置上的連接器所執行的未授權活動。
[相關技術文獻]
[專利文獻]
[專利文獻1]日本專利特開公報No.2013-135311
技術實現要素：
本發明要解決的問題
在用於控制對車載通信網絡進行訪問的相關技術中，基於使用證書和密碼的認證來確定是否允許通信節點連接到車載通信網絡。為此，即使未認證的通信節點被期望正常操作，未認證的通信節點的連接被無一例外地拒絕。
另一方面，允許不是正品並且不能被認證的通信節點的連接可能對車載通信網絡造成不利影響。
本公開的一個目的是允許連接到車載通信網絡的通信節點根據通信節點的可靠性而工作。
解決問題的手段
在本公開文本的一方面中，提供一種包括一個或多個通信節點和網關的網絡系統。該網關包括：監視單元，所述監視單元用於監視在網關與新連接到網絡系統的新連接的通信節點之間執行的通信的通信參數；以及通信控制單元，所述通信控制單元用於基於通過所述監視單元所監視的通信參數是否符合預定通信條件來確定所述新連接的通信節點的可靠性並且基於所確定的可靠性來改變所述預定通信條件。
本發明的有益效果
本公開文本的一方面使得可以允許連接到車載通信網絡的通信節點根據通信節點的可靠性而工作。
附圖說明
圖1是示出根據實施例的車載通信網絡的示意圖；
圖2是示出圖1的車載通信網絡的一部分的示意圖；
圖3是示出根據實施例的ECU的硬體配置的示例的示意圖；
圖4是示出根據實施例的網絡控制器的硬體配置的示例的示意圖；
圖5是示出根據實施例的ECU和網絡控制器的功能配置的框圖；
圖6是可靠性等級-通信控制條件表的示例；
圖7是可靠性等級-通信控制條件表的示例；
圖8是示出在車載通信網絡中執行的示例性處理的時序圖；
圖9是示出在車載通信網絡中執行的示例性處理的時序圖；
圖10是示出在車載通信網絡中執行的示例性處理的流程圖；
圖11是示出車載通信網絡的變形例的示意圖；
圖12是示出網絡控制器的硬體配置的變形例的示意圖；
圖13是示出網絡控制器的功能配置的變形例的框圖；
圖14是示出車載通信網絡的變形例的示意圖；以及
圖15是示出車載通信網絡的變形例的示意圖。
具體實施方式
下面參照附圖描述本發明的實施例。下面描述的實施例是示例，並且本發明不限於那些實施例。在所有附圖中，相同的附圖標記被分配給具有相同功能的部件，並且省略對這些部件的重複描述。
<>
圖1是示出根據實施例的車載通信網絡的示意圖。
車載通信網絡由一個網絡或一組連接的網絡構成。諸如部件、裝置以及電子控制單元(ECU)的一個或多個通信節點連接到每個網絡。此外，用於連接諸如車輛診斷設備的工具的外部連接埠可以連接到車載通信網絡。
可以替換通信節點以進行修復，並且諸如第三方產品和定製產品的非正品(non-genuine product)也可以連接到網絡。此外，工具或測量裝置可以連接到外部連接埠。這裡，ECU被用作通信節點的示例。
車載通信網絡包括頭單元100、ECU 102、ECU 104、網絡控制器106、ECU 110、車載診斷(on-board diagnostics,OBD)埠202、ECU 204，信息裝置302、網絡單元304以及無線電裝置400。
頭單元100、ECU 102、ECU 104以及網絡控制器106經由第一通信總線108彼此連接，以形成諸如控制器區域網(controller area network,CAN)、乙太網(註冊商標)或區域網(local area network,LAN)的第一網絡。頭單元100、OBD埠202以及ECU 204經由第二通信總線206彼此連接，以形成諸如CAN、乙太網(註冊商標)或LAN的第二網絡。頭單元100、信息裝置備302以及網絡單元304經由第三通信總線306彼此連接，以形成諸如CAN、乙太網(註冊商標)或LAN的第三網絡。網絡控制器106和ECU 110經由第四通信總線112彼此連接，以形成諸如CAN、乙太網(註冊商標)或LAN的第四網絡。
頭單元100包括諸如導航、音頻和視頻功能的多媒體功能，與無線電裝置400進行無線電通信，並且播放例如從無線電裝置400發送的音樂和視頻數據。另外，如後所述，頭單元100基於從網絡單元304輸入的信息而操作。
ECU 102，104，110及204主要執行引擎控制操作，例如點火定時調節、燃料調節、油門調節、閥定時調節以及空載調節。此外，ECU 102，104，110及204可以被配置為控制諸如防抱死制動系統(antilock brake system,ABS)的制動系統、執行牽引控制，以及控制例如氣囊、空調、儀表、防盜器以及室內燈的電氣部件。
網絡控制器106基於ECU 110的可靠性來確定是否將ECU 110連接到第一網絡。當確定將ECU 110連接到第一網絡時，網絡控制器106執行傳輸控制操作，例如設置被分配給ECU 110的通信速率，並且設置要由ECU 110發送到第一網絡的數據包。例如，網絡控制器106調整ECU 110的通信參數，以限制要分配的通信速率並限制要傳送到第一網絡的數據包。
OBD埠202是與例如專用端子相連接以獲取由OBD系統記錄的故障診斷結果的埠。車輛技工可以從OBD埠204獲取故障診斷結果，並分析所獲取的故障診斷結果。例如，當檢測到故障時，OBD系統通過使燈打開或閃爍或使蜂鳴器產生聲音來報告故障的位置和類型，並記錄與故障類型對應的代碼。此外，雷達檢測器和外部儀表可以連接到OBD埠202，以在車輛運行時測量例如水溫、增壓壓力及燃料消耗。
信息裝置302存儲由網絡單元304獲取的信息，並將該信息輸出到頭單元100。
網絡單元304與接入點500執行無線電通信，以例如從連接到與接入點500連接的網絡(未示出)的伺服器(未示出)獲取地圖數據或下載音樂數據。例如，當頭單元100具有導航功能時，網絡單元304下載更新的地圖數據。作為另一示例，當頭單元100具有音頻功能時，網絡單元304下載音樂或視頻數據。此外，如後所述，網絡單元304可以通過與接入點500執行無線電通信從連接到與接入點500連接的網絡(未示出)的伺服器(未示出)接收服務。
無線電裝置400包括諸如無線LAN模塊的無線裝置並且與頭單元100執行無線通信。
在圖1的車載通信網絡中，網絡控制器106和ECU 110是在車載通信網絡初始構建之後新添加的部件。也就是說，為了向第一網絡新添加諸如ECU 110的通信節點，網絡控制器106連接到第一通信總線108，並且ECU 110連接到網絡控制器106。
這裡，描述了諸如ECU 110的通信節點新添加到第一網絡的情況。以下描述也可以應用於諸如ECU的通信節點被新添加到第二網絡或第三網絡的情況。
圖2是示出圖1的車載通信網絡的第一網絡的示意圖。如圖2所示，第一網絡是總線網絡，其中，頭單元100、ECU 102和104以及網絡控制器106連接到第一通信總線108，並且ECU 110連接到網絡控制器106。
圖3是示出本實施例的ECU 102的硬體配置的框圖。如圖3所示，本實施例的ECU 102包括用於控制ECU 102的整個操作的中央處理單元(CPU)1024和存儲用於驅動CPU 1024的程序的只讀存儲器(ROM)1026。ECU 102還包括用作CPU 1024的工作區的隨機存取存儲器(RAM)1028和用於如圖3所示將部件彼此電連接的諸如地址總線或數據總線的總線線路1023。
ECU 102還包括通信單元1030，其將從CPU 1024輸入的發送數據輸出到收發器1032以將發送數據發送到第一通信總線108。通信單元103還從收發器1032接收數據並將接收到的數據輸入到CPU 1024。CPU 1024、ROM 1026、RAM 1028、通信單元1030以及總線1023可以被實現為微控制器1022。ECU 102進一步包括收發器1032，其將從通信單元1030輸入的發送數據發送到第一通信總線108，並將從第一通信總線108接收的接收到的數據輸入到通信單元1030。
圖3所示的ECU 102的硬體配置也可應用於ECU 104、ECU 110以及ECU 204。
圖4是示出本實施例的網絡控制器106的硬體配置的框圖。如圖4所示，本實施例的網絡控制器106包括用於控制網絡控制器106的整個操作的CPU 1064和存儲用於驅動CPU 1064的程序的ROM 1066。網絡控制器106還包括用作CPU 1064的工作區的RAM 1068和用於如圖4所示將部件彼此電連接的諸如地址總線或數據總線的總線1063。
網絡控制器106還包括通信單元1070，其將從CPU 1064輸入的發送數據輸出到第一收發器1072或第二收發器1074，以將發送數據發送到第一通信總線108或第四通信總線112。通信單元1070還從第一收發器1072或第二收發器1074接收到數據，並將接收到的數據輸入到CPU 1064。
CPU 1064、ROM 1066、RAM 1068、通信單元1070及總線1063可以被實現為微控制器1062。
網絡控制器106包括：第一收發器1072，其將從通信單元1070輸入的發送數據發送到第一通信總線108並將從第一通信總線108接收的接收到的數據輸入到通信單元1070，以及第二收發器1074，其將從通信單元1070輸入的發送數據發送到第四通信總線112並將從第四通信總線112接收的接收到的數據輸入到通信單元1070。
接下來，對本實施例的功能配置進行說明。圖5是示出本實施例的網絡控制器106和ECU 110的功能配置的框圖。如圖5所示，網絡控制器106和ECU 110經由線路連接以能夠彼此通信。
ECU 110包括發送-接收單元1102、認證單元1104、發送數據生成單元1106、存儲讀取單元1108、存儲器1110及通信控制單元1112。這些單元是根據從ROM 1026加載到RAM 1028的ECU程序由CPU 1024通過控制圖3中所示的硬體部件來實現的功能或功能部件。
接下來，參照圖3和圖5詳細描述ECU 110的功能部件。在下面的ECU 110的功能部件的描述中，還說明了用於實現ECU 110的功能部件的圖3的硬體部件。
圖5中的ECU 110的發送-接收單元1102通過來自圖3中的CPU 1024和通信單元1030的指令實現，並且經由第四網絡向網絡控制器106發送各種類型的數據(或信息)和從網絡控制器106接收各種類型的數據(或信息)。
圖5中的ECU 110的存儲-讀取單元1108通過來自圖3中的CPU 1024的指令實現，並且將各種類型的數據存儲在存儲器1110中和從存儲器1110中讀取各種類型的數據。存儲器1110存儲用於識別ECU 110的節點ID、ECU 110的可靠性等級以及諸如與網絡控制器106共享的密碼的認證密鑰。節點ID可以預先存儲在存儲器1110中或者在用戶使用ECU 110時輸入到存儲器1110。
在本實施例中，節點ID指示用於唯一地識別ECU的諸如語言、字符、符號或標記的標識信息。此外，節點ID可以是通過將語言、字符、符號及標記中的兩個或更多個組合而形成的標識信息。
圖5中的ECU 110的存儲器1110通過圖3中的ROM 1026實現，並且存儲ECU 110的節點ID、ECU 110的可靠性等級以及與網絡控制器106共享的諸如密碼的認證密鑰。
圖5中的ECU 110的認證單元1104通過來自圖3中的CPU 1024的指令實現，並請求網絡控制器106執行認證。認證單元1104使存儲-讀取單元1108讀取存儲在存儲器1110中的節點ID和可靠性等級，生成包括節點ID和可靠性等級的認證請求，並且使得發送-接收單元1102發送認證請求。此外，當從網絡控制器106發送的挑戰(challenge)被發送-接收單元1102接收到時，認證單元1104獲取包括在詢問中的nonce(隨機數)，並使存儲-讀取單元1108讀取存儲在存儲器1110中的認證密鑰。此外，認證單元1104基於所獲取的隨機數和認證密鑰的組合來執行預定計算，並且使得發送-接收單元1102發送計算結果作為響應。此外，當由網絡控制器106發送的認證響應被發送-接收單元1102接收並且認證響應指示通信允許時，認證單元1104將認證結果報告給通信控制單元1112。認證單元1104還可以使用根據EAP-TLS的證書與網絡控制器106執行相互認證，並且根據PEAP執行認證。此外，網絡控制器106可以被配置為充當RADIUS伺服器。
圖5中的ECU 110的發送數據生成單元1106通過來自圖3中的CPU 1024的指令實現。發送數據生成單元1106生成要發送到其它通信節點的各種類型的數據(或信息)，並且使發送-接收單元1102發送該數據。
圖5中的ECU 110的通信控制單元1112通過來自圖3中的CPU 1024和通信單元1030的指令實現。通信控制單元1112控制由發送數據生成單元1106生成的數據的發送。
網絡控制器106包括第一發送-接收單元1076、認證單元1078、等級設置單元1080、監視單元1082、存儲-讀取單元1084、存儲器1086、通信控制單元1088、速率測量單元1090以及第二發送-接收單元1092。這些部件是根據從ROM 1066加載到RAM 1068的網絡控制器程序由CPU 1064通過控制圖4所示的硬體部件實現的功能或功能單元。
接下來，參考圖4和圖5詳細描述網絡控制器106的功能部件。在下面的網絡控制器106的功能部件的描述中，還說明了用於實現網絡控制器106的功能部件的圖4的硬體部件。
圖5中的網絡控制器106的第一發送-接收單元1076通過來自圖4中的CPU 1064和通信單元1070的指令來實現，並且經由第一網絡向其它ECU(ECU 102和104)和頭單元100發送各種類型的數據(或信息)並且從其它ECU(ECU 102和104)和頭單元100接收各種類型的數據(或信息)。
圖5中的網絡控制器106的第二發送-接收單元1092通過來自圖4中的CPU 1064和通信單元1070的指令來實現，並且經由第四網絡向ECU 110發送各種類型的數據(或信息)和從ECU 110接收各種類型的數據(或信息)。
圖5中的網絡控制器106的等級設置單元1080通過來自圖4中的CPU 1064的指令實現，並且設置ECU 100的可靠性等級。可靠性等級包括正品等級、半正品等級、市場產品等級、半市場產品等級和未授權等級。
正品等級的ECU是由生產和分銷諸如車輛的產品的製造商出售和認證的正品，因此具有最高的可靠性等級。
半正品等級的ECU是具有特殊規格和能力的產品，並且由例如零件製造商根據來自生產和分銷諸如車輛的產品的製造商的訂單來生產。半正品等級的ECU提供大於或等於正品等級的ECU性能的性能，並且具有僅次於正品等級的ECU可靠性等級的可靠性等級。
市場產品等級的ECU是具有典型規格的通用部件，並且提供與正品等級的ECU的性能相當的性能。市場產品等級的ECU是與正品等級的ECU兼容的非正品，並且具有僅次於半正品等級的ECU可靠性等級的可靠性等級。
半市場產品等級的ECU是具有典型規格的通用部件，並且提供與正品等級的ECU的性能相當的性能。然而，無法保證半市場產品等級的ECU與正品等級的ECU的兼容性。半市場產品等級的ECU具有僅次於市場產品等級的ECU可靠性等級的可靠性等級。
未授權等級的ECU是具有典型規格的通用部件。無法保證未授權等級的ECU與正品等級的ECU的兼容性。未授權等級的ECU具有最低的可靠性等級。上述可靠性等級是示例。可靠性等級可以包括兩個到四個等級或六個或更多個等級。此外，還可以以任何其它適當的方式來定義可靠性等級。
回到圖5，網絡控制器106的存儲-讀取單元1084通過來自圖4中的CPU 1064的指令實現，並且將各種類型的數據存儲在存儲器1086中和從存儲器1086讀取各種類型的數據。
圖5中的網絡控制器106的存儲器1086通過圖4中的ROM 1066實現，並且存儲包含用於在ECU的認證期間識別能夠與網絡控制器106通信的ECU的節點ID的節點ID表和諸如與ECU 110共享的密碼的認證密鑰。存儲器1086還存儲可靠性等級-通信控制條件表。稍後描述可靠性等級-通信控制條件表。
圖6示出了可靠性等級與通信控制條件相關聯的可靠性等級-通信控制條件表。如圖6所示，在可靠性等級是正品等級的ECU的情況下，用於通信的通信速率(使用速率)在發送側受到控制，並且所有功能是可用的。在可靠性等級是半正品等級的ECU的情況下，通信速率在發送側受到控制，並且可用功能受到限制。在可靠性等級是市場產品等級的ECU的情況下，通信速率由網絡控制器106控制，並且可用功能受到限制。在可靠性等級為半市場產品等級的ECU的情況下，通信速率和可用功能限於安全保證等級，並且危險狀態被報告給周圍節點以使周圍節點轉變到危險節點可以安全地斷開連接的狀態。在可靠性等級為未授權等級的ECU的情況下，通信速率和可用功能嚴格限於安全保證等級。
圖6的通信控制條件是示例，並且還可以使用不同的通信控制條件。
圖7示出可靠性等級-通信控制條件表的示例。在可靠性等級-通信控制條件表中，通信控制條件與各個可靠性等級相關聯。
如圖7所示，每個可靠性等級與通信速率、通信對象、可用功能、違反標準和懲罰措施相關聯。通信速率表示網絡控制器106和ECU 110可以彼此通信的速度，並且通信對象表示ECU 110可以與之通信的節點。可用功能表示ECU 110可以使用的功能，並且表示ECU 110可以訪問或獲取的信息。違反標準用於確定ECU的未授權行為，並且懲罰措施表示針對其行為被確定為與違反標準對應的ECU所執行的處理。
對於可靠性等級是正品等級的ECU，通信速率、通信對象和可用功能不受限制，並且不設置違反標準和懲罰措施。
在可靠性等級是半正品等級的ECU的情況下，通信速率在高達例如1Mbps的範圍內是可控的，該範圍比可靠性等級是正品等級的ECU的範圍窄，通信對象限於除敏感節點以外的通信節點，並且可用功能限於由ECU的供應商公開的功能。違反標準被定義為ECU嘗試以大於1Mbps的通信速率訪問節點的情況以及ECU嘗試訪問除了由供應商公開的功能之外的功能的情況。當滿足違反標準中的一條時，ECU的可靠性等級被改變為諸如市場產品等級的較低可靠性等級。
在可靠性等級是市場產品等級的ECU的情況下，通信速率在高達例如100kbps的範圍內是可控的，該範圍比可靠性等級為半正品等級的ECU的範圍窄，通信對象限於被指定為市場產品等級的ECU可訪問的通信節點的節點，並且可用功能限於由ECU的供應商公開的功能。違反標準被定義為ECU嘗試訪問除了指定的可訪問節點之外的通信節點的情況以及ECU嘗試訪問除了由供應商公開的功能之外的功能的情況。當滿足違反標準中的一條時，ECU的可靠性等級被改變為諸如半市場產品等級的較低可靠性等級。
在可靠性等級是半市場產品等級的ECU的情況下，通信速率在高達例如10kbps的範圍內是可控的，該範圍比可靠性等級是市場產品等級的ECU的範圍更窄，通信對象限於被指定為市場產品等級的ECU可訪問的通信節點的節點，並且可用功能限於由ECU的供應商公開的功能。不設置違反標準和懲罰措施。這是因為半市場產品等級的ECU的通信速率和可用功能嚴格限於安全保證等級。
在可靠性等級是未授權等級的ECU的情況下，通信速率可以在例如10kbps的範圍內是可控的，該範圍比可靠性等級是市場產品等級的ECU的範圍更窄，通信對象限於頭單元100，並且只有獲取速度信息的功能是可用的。不設置違反標準和懲罰措施。這是因為未授權等級的ECU的通信速率和可用功能嚴格限於安全保證等級。圖7的通信控制條件是示例，並且還可以使用不同的通信控制條件。
回到圖5，網絡控制器106的認證單元1078通過來自圖4中的CPU 1064的指令實現，並且執行ECU 110的認證。當從ECU 110發送的認證請求由第二發送-接收單元1092接收時，認證單元1078獲取包括在認證請求中的節點ID和可靠性等級。
此外，認證單元1078使存儲-讀取單元1084讀取存儲在存儲器1086中的節點ID表，並且確定包括在認證請求中的節點ID是否存在於節點ID表中。當包括在認證請求中的節點ID存在於節點ID表中時，認證單元1078生成nonce(隨機數)，並經由第二發送-接收單元1092發送該隨機數。此外，與ECU110類似，認證單元1078基於所生成的隨機數和認證密鑰的組合來執行預定計算。當在ECU 110處獲取的計算結果通過第二發送-接收單元1092從ECU 110接收到時，認證單元1078通過將由第二發送-接收單元1092接收的計算結果與由認證單元1078獲取的計算結果進行比較來執行認證處理。當計算結果匹配時，認證單元1078生成包括用於指示認證已經成功的信息的認證響應。當計算結果不匹配時，認證單元1078生成包括用於指示認證已經失敗的信息的認證響應。然後，認證單元1078經由第二發送-接收單元1092發送認證響應。當計算結果匹配時，認證單元1078向通信控制單元1088報告認證已經成功。認證單元1078還可以使用根據可擴展認證協議傳輸層安全(Extensible Authentication Protocol Transport Layer Security,EAP-TLS)的證書與ECU 110執行相互認證，並且根據受保護EAP(protected EAP,PEAP)執行認證。此外，網絡控制器106可以被配置為充當RADIUS伺服器。
圖5中網絡控制器106的監視單元1082通過來自圖4中的CPU 1064和通信單元1070的指令來實現，並且監視新連接的ECU 110的行為，例如ECU 110發送數據包的通信速率和ECU 110訪問的節點。
圖5中的網絡控制器106的通信控制單元1088通過來自圖4中的CPU 1064和通信單元1070的指令來實現。當從認證單元1078報告成功認證時，通信控制單元1088使存儲-讀取單元1084讀取存儲在存儲器1086中的可靠性等級-通信控制條件表，並且基於與由等級設置單元1080確定的可靠性等級相對應的該通信速率、通信對象及可用功能來控制ECU 110。此外，基於在與ECU 110的通信期間由監視單元1082監視的ECU 110的行為，通信控制單元1088確定是否滿足違反標準。當滿足違反標準時，通信控制單元1088根據懲罰措施確定改變可靠性等級，並且更新在等級設置單元1080中設置的可靠性等級。
圖5中的網絡控制器106的速率測量單元1090通過來自圖4中的CPU 1064和通信單元1070的指令來實現，並且測量在網絡控制器106和ECU 110之間執行通信的通信速率。
圖8示出了在車載通信網絡中執行的示例性處理。
在圖8的車載通信網絡中執行的過程中，假設在ECU 110和網絡控制器106中預先設置了諸如密碼的認證密鑰，並且ECU 110和網絡控制器106被配置為根據使用認證密鑰和隨機數的組合的預定算法來執行計算。
在步驟S802中，ECU 110的授權單元1104生成包括節點ID和可靠性等級的認證請求。
在步驟S804中，ECU 110的發送-接收單元1102將由授權單元1104生成的認證請求發送到網絡控制器106。
在步驟S806中，當認證請求由網絡控制器106的第二發送-接收單元1092接收到時，認證單元1078獲取接收到的認證請求。認證單元1078檢查包括在認證請求中的節點ID和可靠性等級。
在步驟S808中，在基於節點ID確認了網絡控制器106和ECU 110可以彼此通信之後，認證單元1078生成隨機數。在該步驟中，當基於節點ID不能確認網絡控制器106和ECU 110可以彼此通信時，認證單元1078可以請求ECU 110再次發送節點ID。如果即使在節點ID被請求了預定次數之後仍不能確認網絡控制器106和ECU 110可以彼此通信，則認證單元1075可以將節點ID鎖定為帳戶。
在步驟S810中，網絡控制器106的第二發送-接收單元1092將由認證單元1078生成的隨機數(挑戰)發送到ECU 110。
在步驟S812中，當ECU 110的發送-接收單元1102接收到隨機數時，認證單元1104基於認證密鑰和由發送-接收單元1102接收的隨機數的組合來執行計算。
在步驟S814中，網絡控制器106的授權單元1078基於認證密鑰和所生成的隨機數的組合來執行計算。
在步驟S816中，ECU 110的發送-接收單元1102將認證單元1104的運算結果作為響應發送給網絡控制器106。
在步驟S818中，當網絡控制器106的第二發送-接收單元1092接收到該響應時，認證單元1078將步驟S814的計算結果與在步驟S816從ECU 110發送的計算結果進行比較，以執行ECU 110的認證。
在步驟S820中，網絡控制器106的認證單元1078經由第二發送-接收單元1092將在步驟S818執行的認證結果發送到ECU 110。
當在步驟S818中ECU 110的認證已經成功時，認證單元1078在等級設置單元1080中設置ECU 110的可靠性等級，並向通信控制單元1088報告認證已成功。
通過上述處理，網絡控制器106可以確定是否可以與新連接的ECU 110通信，並且當確定網絡控制器106可以與ECU 110通信時設置ECU 110的可靠性等級。
圖8的時序圖所示的處理是示例，還可以以不同的順序執行時序圖中的步驟。例如，步驟S814和S816的順序可以顛倒。
圖9示出了在車載通信網絡中執行的示例性處理。
圖9示出了在ECU 110由網絡控制器106認證之後執行的過程。
在步驟S902中，網絡控制器106的認證單元1078執行ECU 110的認證。在該處理中，假設ECU 110由認證單元1078認證成功。
在步驟S904中，當ECU 110的認證已經成功時，網絡控制器106的認證單元1078在等級設置單元1080中設置ECU 110的可靠性等級，並且向通信控制單元1088報告ECU 110的認證已經成功。
在步驟S906中，網絡控制器106的通信控制單元1088經由第一發送-接收單元1076將指示實體已經添加的報告發送到構成第一網絡的頭單元100、ECU 102及ECU 104。
在步驟S908中，ECU 110的發送數據生成單元1106生成包括發送數據的數據包，通信控制部1112經由發送-接收單元1102發送由發送數據生成單元1106生成的數據包。
在步驟S910中，網絡控制器106的第二發送-接收單元1092接收從ECU 110發送的數據包並將該數據包輸入到通信控制單元1088。當該數據包從第二發送-接收單元1092輸入時，通信控制單元1088使存儲-讀取單元1084讀取存儲在存儲器1086中的可靠性等級-通信控制條件表，並且識別發送該數據包的通信速率、該數據包將被發送的通信對象、以及要由數據包使用的功能。
通信控制單元1088參考與可靠性等級-通信控制條件表中的ECU 110的可靠性等級相關聯的通信速率、通信對象及可用功能，並且確定從ECU 110發送的數據包是否符合這些條件。
在步驟S912中，當確定從ECU 110發送的數據包符合與可靠性等級-通信控制條件表中的ECU 110的可靠性等級相關聯的通信速率、通信對象及可用功能時，通信控制單元1088經由第一發送-接收單元1076將數據包發送到第一網絡。
在步驟S914中，ECU 110的發送數據生成單元1106生成包括發送數據的數據包，並且通信控制單元1112經由發送-接收單元1102發送由發送數據生成單元1106生成的數據包。
在步驟S916中，網絡控制器106的第二發送-接收單元1092接收從ECU 110發送的數據包，並將該數據包輸入到通信控制單元1088。當該數據包從第二發送-接收單元1092輸入時，通信控制單元1088使存儲-讀取單元1084讀取存儲在存儲器1086中的可靠性等級-通信控制條件表，並且識別發送該數據包的通信速率、數據包將被發送的通信對象、以及要由數據包使用的功能。通信控制單元1088參考與可靠性等級-通信控制條件表中的ECU 110的可靠性等級相關聯的通信速率、通信對象及可用功能，並且確定從ECU 110發送的數據包是否符合這些條件。
在步驟S918中，當確定從ECU 110發送的數據包不符合與可靠性等級-通信控制條件表中的ECU 110的可靠性等級相關聯的通信速率、通信對象及可用功能時，通信控制單元1088拒絕該數據包的傳送。此外，通信控制單元1088確定是否滿足與可靠性等級-通信控制條件表中的ECU 110的可靠性等級相關聯的違反標準，並且當滿足違反標準時改變ECU 110的可靠性等級。
此外，當在步驟S918中確定從ECU 110發送的數據包不符合與可靠性等級通信控制條件表中的ECU 110的可靠性等級相關聯的通信速率、通信對象及可用功能時，通信控制單元1088可以在該確定之後限制可用於要從ECU 110發送的數據包的功能。此外，通信控制單元1088可以在該確定之後降低要從ECU 110發送的數據包的通信速率。
此外，當在步驟S918中確定從ECU 110發送的數據包不符合與可靠性等級通信控制條件中的ECU 110的可靠性等級相關聯的通信速率、通信對象及可用功能時表時，通信控制單元1088可以延遲數據包的發送。此外，通信控制單元1088可以降低傳送從ECU 110接收的數據包的頻率。此外，通信控制單元1088可以傳送從ECU 110接收的數據包中的一些數據包，並且通過例如破壞其餘的數據包來取消它們。
利用上述處理，網絡控制器106可以基於ECU 110的可靠性等級來確定是否將從新連接的ECU 110接收的數據包傳送到第一網絡。因此，即使在ECU 110被認證之後，網絡控制器106可以向第一網絡僅傳送在從ECU 110發送的所有數據包中就安全性來說是安全的數據包。
圖10示出了在車載通信網絡中執行的示例性處理。
圖10示出了由網絡控制器106執行的確定是否傳送從ECU 110發送的數據包的處理。圖10的處理對應於圖9中的步驟S910、S916和S918。
在步驟S1002中，網絡控制器106的監視單元1082分析從ECU 110發送的數據包。更具體地說，監視單元1082分析由ECU 110發送數據包的通信速率和將由數據包使用的功能。
在步驟S1004中，網絡控制器106的通信控制器1088使存儲-讀取單元1084讀取存儲在存儲器1086中的可靠性等級-通信控制條件表。然後，通信控制單元1088確定通過監視單元1082分析的將由數據包使用的功能是否符合可靠性等級-通信控制條件表中的可用功能。
在步驟S1006中，當通過監視單元1082分析的將由數據包使用的功能符合可靠性等級-通信控制條件表中的可用功能時，通信控制單元1088確定通過監視單元1082分析的數據包的通信速率是否符合可靠性等級-通信控制條件表中的通信速率。
在步驟S1008中，當確定通過監視單元1082分析的數據包的通信速率符合可靠性等級-通信控制條件表中的通信速率時，通信控制單元1088經由第一發送-接收單元1076發送該數據包。
在步驟S1010中，網絡控制器106的速率測量單元1090測量在網絡控制器106和ECU 110之間執行通信的通信速率，並更新通信速率統計量。經更新的通信速率統計量用於判斷在步驟S1006處其後要發送的數據包的通信速率。
在步驟S1012中，當通過監視單元1082分析的將由數據包使用的功能不符合在步驟S1004中的可靠性等級-通信控制條件表中的可用功能時，或者當通過監視單元1082分析的數據包的通信速率不符合可靠性等級-通信控制條件表中的通信速率時，則通信控制單元1088不發送該數據包。
在步驟S1014中，基於由監視單元1082監視的ECU 110的行為，網絡控制器106的通信控制單元1088確定是否滿足違反標準。當滿足違反標準時，通信控制單元1088根據懲罰措施確定改變可靠性等級，並且更新在等級設置單元1080中設置的可靠性等級。
利用上述處理，網絡控制器106可以確定從新連接的ECU 110發送的數據包是否安全，並且僅將被確定為安全的數據包傳送到第一網絡。在圖10中，基於數據包的通信速率和將由數據包使用的功能來確定該數據包是否安全。然而，除了通信速率和功能之外，或者代替通信速率和功能，可以基於諸如通信對象的另一參數來確定該數據包是否安全。
使用所謂的總線網絡來描述上述實施例，在所謂的總線網絡中，頭單元100、ECU 102和104以及網絡控制器106連接到第一通信總線108，並且ECU 110連接到網絡控制器106。然而，本發明還可以應用於其它類型的網絡。
圖11是示出實現為星形網絡的第一網絡的示意圖。如圖11所示，當第一網絡被實現為星型網絡時，網絡控制器114被用作集線器，並且頭單元100、ECU 102、ECU 104及ECU 110與網絡控制器114徑向連接。在圖11中，ECU 110是新連接的通信節點。當第一網絡被實現為星形網絡時，新連接的ECU 110連接到已經是第一網絡的一部分的網絡控制器114。
這裡，描述第一網絡被實現為星形網絡的情況。然而，下面的描述也可以應用於例如第二網絡至第四網絡。
網絡控制器114和頭單元100經由第五通信總線116彼此連接，網絡控制器114和ECU 102經由第六通信總線118彼此連接，網絡控制器114和ECU 104經由第七通信總線120彼此連接，並且網絡控制器114和ECU 110經由第八通信總線122彼此連接。ECU 102、ECU 104及ECU 110可以具有如上所述的配置。另一方面，與四個節點連接的網絡控制器114具有與網絡控制器106的配置不同的配置。
圖12是示出網絡控制器114的硬體配置的示意圖。如圖12所示，網絡控制器114包括用於控制網絡控制器114的整個操作的CPU 1144和存儲用於驅動CPU 1144的程序的ROM 1146。網絡控制器114還包括用作CPU 1144的工作區的RAM 1148和用於如圖12所示將部件彼此電連接的諸如地址總線或數據總線的總線線路1143。
網絡控制器114還包括通信單元1150，其將從CPU 1144輸入的發送數據輸出到第一收發器1152、第二收發器1154、第三收發器1156或第四收發器1158，以將發送數據發送到第五通信總線116、第六通信總線118、第七通信總線120或第八通信總線122。通信單元1150還從第一收發器1152、第二收發器1154、第三收發器1156或第四收發器1158接收到數據，並且將接收到的數據輸入到CPU 1144。CPU 1144、ROM 1146、RAM 1148及通信單元1150可以被實現為微控制器1142。
網絡控制器114還包括第一收發器1152，其將從通信單元1150輸入的傳輸數據發送到第五通信總線116，並將從第五通信總線116接收的接收到的數據輸入到通信單元1150。網絡控制器114還包括第二收發器1154，其將從通信單元1150輸入的發送數據發送到第六通信總線118，並將從第六通信總線118接收的接收到的數據輸入到通信單元1150。
網絡控制器114還包括第三收發器1156，其將從通信單元1150輸入的發送數據發送到第七通信總線120，並將從第七通信總線120接收的接收到的數據輸入到通信單元1150。網絡控制器114還包括第四收發器1158，其將從通信單元1150輸入的發送數據發送到第八通信總線122，並將從第八通信總線122接收的接收到的數據輸入到通信單元1150。
圖13是示出網絡控制器114的功能配置的框圖。
網絡控制器114包括第一發送-接收單元1160、第二發送-接收單元1162、第三發送-接收單元1164、第四發送-接收單元1166、認證單元1168、等級設置單元1170、監視單元1172、存儲-讀取單元1174、存儲器1176、通信控制單元1178及速率測量單元1180。這些部件是根據從ROM 1146加載到RAM1148的網絡控制器程序由CPU 1144通過控制如圖12所示的硬體部件實現的功能或功能單元。
接下來，參考圖12和圖13詳細描述網絡控制器114的功能部件。在下面的網絡控制器114的功能部件的描述中，還說明了圖12的用於實現網絡控制器114的功能部件的硬體部件。
圖13中的網絡控制器114的第一發送-接收單元1160通過來自圖12中的CPU 1144和通信單元1150的指令來實現，並且經由第五通信總線116向頭單元100發送各種類型的數據(或信息)和從頭單元100接收各種類型的數據(或信息)。
圖13中的網絡控制器114的第二發送-接收單元1162通過來自圖12中的CPU 1144和通信單元1150的指令來實現，並且經由第六通信總線118向ECU 102發送各種類型的數據(或信息)和從ECU 102接收各種類型的數據(或信息)。
圖13中的網絡控制器114的第三發送-接收單元1164通過來自圖12中的CPU 1144和通信單元1150的指令來實現，並且經由第七通信總線120向ECU 104發送各種類型的數據(或信息)並從ECU 104接收各種類型的數據(或信息)。
圖13中網絡控制器114的第四發送-接收單元1166通過來自圖12中的CPU 1144和通信單元1150的指令來實現，並且經由第八通信總線122向ECU 110發送各種類型的數據(或信息)和從ECU 110接收各種類型的數據(或信息)。
圖13中的網絡控制器114的等級設置單元1170通過來自圖12中的CPU 1144的指令實現，並且設置ECU 110的可靠性等級。可靠性等級包括正品等級、半正品等級、市場產品等級、半市場產品等級及未授權等級。可靠性等級的定義可以與上述的相同。
圖13中的網絡控制器114的存儲-讀取單元1174通過來自圖12中的CPU 1144的指令實現，並且將各種類型的數據存儲在存儲器1176中和從存儲器1176中讀取各種類型的數據。存儲器1176存儲包含用於在ECU的認證期間識別能夠與網絡控制器114通信的ECU的節點ID的節點ID表。存儲器1176還存儲可靠性等級-通信控制條件表。可靠性等級-通信控制條件表可以具有與上述相同的配置。
圖13中的網絡控制器114的存儲器1176通過圖12中的ROM 1146實現，並且存儲包含用於在ECU的認證期間識別能夠與網絡控制器114通信的ECU的節點ID的節點ID表以及諸如與ECU 110共享的密碼的認證密鑰。存儲器1076還存儲可靠性等級-通信控制條件表。可靠性等級-通信控制條件表可以具有與上述相同的配置。
圖13中的網絡控制器114的認證單元1168通過來自圖12中的CPU 1144的指令實現，並且執行ECU 110的認證。當從ECU 110發送的認證請求由第四發送-接收單元1166接收時，認證單元1168獲取包括在認證請求中的節點ID和可靠性等級。
此外，認證單元1168使存儲-讀取單元1174讀取存儲在存儲器1176中的節點ID表，並且確定包括在認證請求中的節點ID是否存在於節點ID表中。當包括在認證請求中的節點ID存在於節點ID表中時，認證單元1168生成nonce(隨機數)，並經由第四發送-接收單元1166發送該隨機數。此外，與ECU 110類似，認證單元1168基於所生成的隨機數和認證密鑰的組合來執行預定計算。當第四發送-接收單元1166從ECU 110接收到在ECU 110中獲取的計算結果時，認證單元1168通過將第四發送-接收單元1166接收到的計算結果與通過認證單元1168獲取的計算結果進行比較來執行認證處理。當計算結果匹配時，認證單元1168生成包括用於指示認證已經成功的信息的認證響應。當計算結果不匹配時，認證單元1168生成包括用於指示認證已經失敗的信息的認證響應。然後，認證單元1168經由第四發送-接收單元1166發送認證響應。當計算結果匹配時，認證單元1168向通信控制單元1178報告認證已經成功。認證單元1168還可以使用根據EAP-TLS的證書與ECU 110執行相互認證，並且根據PEAP執行認證。此外，網絡控制器114還可以被配置為充當RADIUS伺服器。
圖13中的網絡控制器114的監視單元1172通過來自圖12中的CPU 1144和通信單元1150的指令來實現，並且監視新連接的ECU 110的行為，例如ECU 110發送數據包的通信速率和ECU 110訪問的節點。
圖13中的網絡控制器114的通信控制單元1178通過來自圖12中的CPU 1144和通信單元1150的指令來實現。當從認證單元1168報告成功認證時，通信控制單元1178使存儲-讀取單元1174讀取存儲在存儲器1176中的可靠性等級-通信控制條件表，並基於與通過等級設置單元1170確定的可靠性等級相對應的通信速率、通信對象及可用功能來控制ECU 110。此外，基於在與ECU 110的通信期間由監視單元1172監視的ECU 110的行為，通信控制單元1178確定是否滿足違反標準。當滿足違反標準時，通信控制單元1170根據懲罰措施確定改變可靠性等級，並且更新在等級設置單元1070中設置的可靠性等級。
圖13中的網絡控制器114的速率測量單元1180通過來自圖12中的CPU 1144和通信單元1050的指令來實現，並且測量在網絡控制器114和ECU 110之間執行通信的通信速率。
因此，車載通信網絡不僅可以實現為總線網絡，而且還可以實現為星形網絡。
在圖11的示例中，其中第一網絡被實現為星形網絡，第一子網絡可以由頭單元100和ECU 102形成，並且第二子網絡可以由ECU 104和ECU 110形成。在這種情況下，網絡控制器114可以被配置為執行用於在屬於不同子網絡的通信節點之間的通信的上述處理，諸如在頭單元100和ECU 104或ECU 110之間的通信，以及ECU 102和ECU 104或ECU 110之間的通信。
根據上述實施例的車載通信網絡，可以基於其可靠性等級來限制加入車載通信網絡的ECU或工具所使用的功能。
圖14是表示車載通信網絡的變形例的示意圖。在車載通信網絡的變形例中，工具連接到該車載通信網絡。
車載通信網絡包括ECU 502、ECU 504、ECU 506、ECU 508及網絡控制器510。
ECU 502、ECU 504、ECU 506、ECU 508及網絡控制器510經由第九通信總線550彼此連接，以形成諸如CAN、乙太網(註冊商標)或LAN的第五網絡。
圖3和圖5所示的ECU的結構可以應用於ECU 502，ECU 504，ECU 506和ECU 508。在這種情況下，收發器1032連接到第九通信總線550。圖4和圖5所示的網絡控制器106的配置可以應用於網絡控制器510。在這種情況下，第一收發器1072連接到第九通信總線550，並且第二收發器1074連接到第十通信總線560。網絡控制器510可以被配置為還用作網關、數據鏈路連接器(data link connector,DLC)及診斷連接埠。
網絡通信節點600新連接到也用作數據鏈路連接器的網絡控制器510。圖3和圖5所示的ECU 110的結構可以應用於網絡通信節點600。此外，諸如引擎調整調試工具或開發調試工具的診斷工具可以連接到也用作診斷連接埠的網絡控制器510。在這種情況下，網絡控制器510可以被配置為基於診斷工具的可靠性等級來設置診斷工具的可訪問對象和可用功能。
此外，當車輛是混合動力汽車或電動汽車時，作為供應部件的電池可以連接到網絡控制器510。在這種情況下，網絡控制器510可以為原裝電池提供更寬範圍的管理服務。
網絡控制器106的功能可以包括在圖1中的網絡單元304中。網絡單元304可以使用諸如無線保真(WiFi)、藍牙(註冊商標)或移動通信的無線電通信技術經由接入點與伺服器(未示出)通信。網絡控制器106的功能使得網絡單元304能夠根據駕駛員是否是車輛的所有者而改變基於通過無線電通信獲取的信息而提供的服務。此外，網絡控制器106的功能使得網絡單元304能夠基於通過無線電通信獲取的信息來調整用於與接入點500通信的通信頻帶或要輸入到信息裝置302的信息的優先級。此外，基於通過無線電通信獲取的信息，網絡單元304可以改變對例如ECU的訪問等級。例如，可以根據通過無線電通信獲取的信息是由原始設備製造商(OEM)提供的服務還是由供應商或經銷商提供的服務來改變對車輛的訪問等級。
圖15是示出車載通信網絡的第三變形例的示意圖。如圖15所示，車載通信網絡包括頭單元100、網絡控制器106、ECU 110及網絡單元304。頭單元100、網絡控制器106、ECU 110和網絡單元304具有如上(圖3-圖5)所述的配置。
在第三變形例的車載通信網絡中，網絡控制器106經由頭單元100請求網絡單元304訪問證明認證服務的雲伺服器700，並且基於從雲伺服器700發出的認證結果來執行處理。
更具體地說，網絡控制器106經由頭單元100向網絡單元304發送從ECU 110接收的認證請求。網絡單元304從網絡控制器106接收認證請求，並且經由接入點500向提供認證服務的雲伺服器700無線地發送或重定向認證請求。例如，網絡單元304使用諸如WiFi、藍牙(註冊商標)或移動通信的無線電通信技術經由接入點500訪問提供認證服務的雲伺服器700。網絡單元304基於來自提供認證服務的雲伺服器700的響應來執行ECU 110的認證。網絡單元304可以被配置為高速緩存由提供認證服務的雲伺服器700處理的信息。該配置使得可以提高網絡單元304的性能。這裡，期望最新的信息被存儲在雲伺服器700中。基於最新信息執行認證處理使得可以提高安全性。
在上述實施例和變形例中，車載通信網絡是網絡系統的示例，ECU是通信節點的示例，並且網絡控制器是網關的示例。此外，通信速率、通信對象和可用功能是通信參數的示例，並且違反標準是通信條件的示例。
以上描述了本發明的實施例及其變形例。然而，實施例和變形例是示例，並且本發明不限於那些實施例和變形例。雖然在上述實施例中使用功能框圖描述了裝置，但是該裝置可以通過硬體、軟體或其組合來實現。本發明不限於具體公開的實施例，並且在不脫離本發明的範圍的情況下可以進行變化和修改。
本申請基於並要求於2014年6月16日提交的日本優先權申請No.2014-123046的優先權，其全部內容通過引用併入本文。
附圖標記說明
100 頭單元
102 ECU
104 ECU
106 網絡控制器
108 第一通信總線
110 ECU
112 第四通信總線
202 OBD埠
204 ECU
206 第二通信總線
302 信息裝置
304 網絡單元
306 第三通信總線
400 無線電裝置
500 接入點
1022 微控制器
1024 CPU
1026 ROM
1028 RAM
1030 通信單元
1032 收發器
1062 微控制器
1064 CPU
1066 ROM
1068 RAM
1070 通信單元
1072 第一收發器
1074 第二收發器
1076 第一發送-接收單元
1078 認證單元
1080 等級設置單元
1082 監測單元
1084 存儲-讀取單元
1086 存儲器
1088 通信控制單元
1090 速率測量單位
1092 第二發送-接收單元
1102 發送-接收單元
1104 認證單元
1106 發送數據生成單元
1108 存儲-讀取單元
1110 存儲器
1112 通信控制單元