通信装置、通信方法以及通信系统与流程

本公开涉及，与移动体网络连接的通信装置等。

背景技术：

专利文献1公开，根据通信所需要的时间对位于同一组内的设备进行判断的装置。并且，专利文献2公开，利用ip(internetprotocol)帧的ttl(timetolive：生存时间)字段的值，限制内容的共享范围的装置。

(现有技术文献)

(专利文献)

专利文献1：日本专利第4129216号公报

专利文献2：日本专利第4181951号公报

技术实现要素：

发明要解决的课题

然而，在专利文献1以及专利文献2中，发送源的通信装置进行用于抑制数据的流出的控制。因此，存在发送源的通信装置被窜改等，据此，不进行正常的工作，数据流出的可能性。

于是，本公开的目的在于，提供能够抑制数据的流出的通信装置等。

解决课题所采用的手段

本公开的实施方案之一涉及的通信装置，与移动体网络连接，该移动体网络是搭载在移动体且用于多个电子控制装置的通信的网络，所述通信装置具备：保持部，保持范围信息，该范围信息示出针对所述移动体网络上的消息决定的能够传输的路径范围；接收部，接收所述移动体网络上的所述消息；以及判断部，利用所述范围信息判断接收的所述消息的正当性。

而且，它们的总括或具体的形态，也可以作为系统、装置、方法、集成电路、计算机程序或计算机可读取的cd－rom等的记录介质来实现，也可以任意组合系统、装置、方法、集成电路、计算机程序以及记录介质来实现。

发明效果

本公开的实施方案之一涉及的通信装置，能够抑制数据的流出。

附图说明

图1是示出实施方式1的车载网络系统的全体结构的一个例子的图。

图2是示出实施方式1的ip地址以及mac地址的一览表的一个例子的图。

图3是示出实施方式1的ethernet开关的结构的一个例子的图。

图4是示出实施方式1的ivi的结构的一个例子的图。

图5是示出实施方式1的ecu的结构的一个例子的图。

图6是示出实施方式1的cgw的结构的一个例子的图。

图7是示出实施方式1的tcu的结构的一个例子的图。

图8是示出实施方式1的从ecu发送的消息中包括的字段的一个例子的图。

图9是示出实施方式1的传输表的结构的一个例子的图。

图10是示出实施方式1的ttl白名单的结构的一个例子的图。

图11是示出实施方式1的利用ttl白名单的消息的判断序列的一个例子的图。

图12是示出实施方式1的变形例1的ethernet开关的结构的一个例子的图。

图13是示出实施方式1的变形例1的传输表的结构的一个例子的图。

图14是示出实施方式1的变形例1的ttl白名单的结构的一个例子的图。

图15是示出实施方式1的变形例1的利用ttl白名单的消息的判断序列的一个例子的图。

图16是示出实施方式1的变形例2的ethernet开关的结构的一个例子的图。

图17是示出实施方式1的变形例3的ethernet开关的结构的一个例子的图。

图18是示出实施方式1的变形例3的从ecu发送的消息中包括的字段的一个例子的图。

图19是示出实施方式1的变形例3的利用ttl白名单的消息的判断序列的一个例子的图。

图20是示出实施方式2的ethernet开关的结构的一个例子的图。

图21是示出实施方式2的rtt(roundtriptime)白名单的结构的一个例子的图。

图22是示出实施方式2的利用rtt白名单的消息的判断序列的一个例子的图。

图23是示出实施方式2的变形例的ethernet开关的结构的一个例子的图。

图24是示出实施方式3的车载网络系统的全体结构的一个例子的图。

图25是示出实施方式3的ip地址以及mac地址的一览表的一个例子的图。

图26是示出实施方式3的ethernet开关的结构的一个例子的图。

图27是示出实施方式3的从ecu发送的消息中包括的字段的一个例子的图。

图28是示出实施方式3的传输表的结构的一个例子的图。

图29是示出实施方式3的ttl白名单的结构的一个例子的图。

图30是示出实施方式3的利用ttl白名单的消息的判断序列的一个例子的图。

图31是示出实施方式3的变形例的ttl白名单的结构的一个例子的图。

图32是示出实施方式3的变形例的利用ttl白名单的消息的判断序列的一个例子的图。

图33是示出实施方式4的ethernet开关的结构的一个例子的图。

图34是示出实施方式4的rtt白名单的结构的一个例子的图。

图35是示出实施方式4的利用rtt白名单的消息的判断序列的一个例子的图。

具体实施方式

(作为本公开的基础的知识)

近几年，在汽车中的系统中，配置许多称为电子控制单元(electroniccontrolunit，以下，ecu)的装置，将连接这些ecu的网络，称为车载网络。对于车载网络，存在许多标准。并且，有将作为一般的信息网络的已经有实际成果的ethernet(注册商标)适应于车载网络的倾向，近几年被关注。

通过采用ethernet，能够大幅度地增加频带宽度、以及利用汽车领域以外的以往的技术资产，能够期待成本削减效果等，另一方面，指出安全性风险的可能性提高的问题。

并且，对于汽车的电子系统，预计今后也继续发展，会有处理的数据量也成为庞大的可能性。预计今后增加的数据是，自动驾驶技术等所需要的、各种传感器数据以及影像数据等。只要从外部监测这些数据，就能够判明汽车现在行驶在哪里，周围的状况是怎样的状况，因此，这些数据不会无意中向外部流出的对策是重要的。

会有车辆内存在的特定的节点不正当地被窜改，应该仅向车辆内的网络发送的消息无意中向车外发送的可能性。对于设想这样的情况，例如根据发送目的地是车辆内还是车辆外等消息到达的范围判断消息的正当性的通信装置，以往没有充分地研讨。

专利文献1公开，根据通信所需要的时间对位于同一组内的设备进行判断的装置。并且，专利文献2公开，利用ip(internetprotocol)帧的ttl(timetolive)字段的值，限制内容的共享范围的装置。

然而，在专利文献1以及专利文献2中，发送源的通信装置进行用于抑制数据的流出的控制。因此，存在发送源的通信装置被窜改等，据此，不进行正常的工作，数据流出的可能性。

于是，本公开的实施方案之一涉及的通信装置，与移动体网络连接，该移动体网络是搭载在移动体且用于多个电子控制装置的通信的网络，所述通信装置具备：保持部，保持范围信息，该范围信息示出针对所述移动体网络上的消息决定的能够传输的路径范围；接收部，接收所述移动体网络上的所述消息；以及判断部，利用所述范围信息判断接收的所述消息的正当性。

据此，通信装置，能够抑制移动体网络上的消息超过估计的范围传输，能够抑制数据的流出。

例如，也可以是，所述范围信息示出ttl(timetolive)的范围，以作为所述能够传输的路径范围，所述判断部，根据接收的所述消息中包括的ttl的值、与所述范围信息所示的ttl的范围的比较，判断接收的所述消息的正当性。

据此，通信装置，根据在消息是否适当地设定ttl的值，判断消息的正当性。因此，通信装置，能够抑制消息超过估计的范围传输，能够抑制数据的流出。

并且，例如，也可以是，所述范围信息示出rtt(roundtriptime：往返时延)的范围，以作为所述能够传输的路径范围，所述判断部，根据利用接收的所述消息中包括的信息导出的rtt的值、与所述范围信息所示的rtt的范围的比较，判断接收的所述消息的正当性。

据此，通信装置，根据针对消息的rtt的值是否为适当的范围，判断消息的正当性。因此，通信装置，能够抑制消息超过估计的范围传输，能够抑制数据的流出。

并且，例如，也可以是，所述范围信息示出，按照发送源或发送目的地决定的所述能够传输的路径范围。

据此，通信装置能够，利用示出按照发送源或发送目的地决定的能够传输的路径范围的范围信息，适当地判断消息的正当性。

并且，例如，也可以是，所述范围信息示出，按照所述发送源的mac地址、或所述发送目的地的mac地址决定的所述能够传输的路径范围。

据此，通信装置，例如，即使在利用mac地址传输消息的l2开关的情况下，也能够利用示出按照mac地址决定的能够传输的路径范围的范围信息，适当地判断消息的正当性。

并且，例如，也可以是，所述范围信息示出，按照所述发送源的ip地址、或所述发送目的地的ip地址决定的所述能够传输的路径范围。

据此，通信装置，例如，即使在利用ip地址传输消息的l3开关的情况下，也能够利用示出按照ip地址决定的能够传输的路径范围的范围信息，适当地判断消息的正当性。

并且，例如，也可以是，所述范围信息示出，按照所述移动体的状态决定的所述能够传输的路径范围。

据此，通信装置，即使在按照移动体的状态的变化发生能够传输的路径范围的变化的情况下，也能够利用示出按照移动体的状态决定的能够传输的路径范围的范围信息，适当地判断消息的正当性。

并且，例如，也可以是，所述移动体的状态是，与所述移动体正在移动还是停止有关的状态。

据此，通信装置，即使在移动中的能够传输的路径范围与停止中的能够传输的路径范围不同的情况下，也能够利用示出按照各个状态决定的能够传输的路径范围的范围信息，适当地判断消息的正当性。

并且，例如，也可以是，所述范围信息示出，预先静态地决定的固定的范围，以作为所述能够传输的路径范围。

据此，通信装置，例如在静态的环境下，利用静态地决定的范围信息，适当地判断消息的正当性。

并且，例如，也可以是，所述通信装置还具备更新部，该更新部，按照所述多个电子控制装置的更新，动态地更新所述范围信息。

据此，通信装置，例如，能够随着与电子控制装置的追加或删除对应的物理变更等，更新范围信息，能够利用更新后的范围信息，适当地判断消息的正当性。也就是说，通信装置，能够利用更灵活地决定的范围信息，适当地判断消息的正当性。

并且，例如，也可以是，所述更新部，按照所述多个电子控制装置的属性信息的更新，动态地更新所述范围信息。

据此，通信装置，例如，即使在动态地更新与电子控制装置的ip地址等对应的属性信息的环境下，也能够利用动态地决定的范围信息，适当地判断消息的正当性。

并且，例如，也可以是，所述属性信息，利用some/ip(scalableservice－orientedmiddlewareoverip)协议而被更新。

据此，通信装置，即使在因基于some/ip的固件的更新等而动态地变更电子控制装置的属性信息的环境下，也能够利用动态地决定的范围信息，适当地判断消息的正当性。

并且，例如，也可以是，所述通信装置还具备处理部，该处理部，根据接收的所述消息的正当性的判断结果，执行规定的动作。

据此，通信装置，能够根据判断结果，执行适当的处理，能够提高移动体网络的系统全体的安全性。

并且，例如，也可以是，所述处理部，根据所述判断结果，对接收的所述消息的传输可否进行控制。

据此，通信装置，能够适当地控制消息的传输可否，能够提高移动体网络的系统全体的安全性。

并且，例如，也可以是，所述处理部，记录所述判断结果。

据此，通信装置，以后能够进行判断结果的分析。而且，通信装置，能够适当地更新范围信息所示的能够传输的路径范围。

并且，例如，也可以是，所述处理部，向接收的所述消息的发送源，通知所述判断结果。

据此，通信装置能够，以发送适当的消息的方式引导发送源。

并且，例如，也可以是，所述通信装置还具备处理部，所述处理部，在判断为接收的所述消息不正当的情况下，将接收的所述消息中包括的ttl的值更新为所述范围信息所示的ttl的范围内，从而更新接收的所述消息，传输更新后的所述消息。

据此，在发送源难以在消息设定适当的ttl的值的环境下，通信装置能够在消息设定适当的ttl的值。

并且，本公开的实施方案之一涉及的通信方法，是移动体网络上的通信方法，该移动体网络是搭载在移动体且用于多个电子控制装置的通信的网络，所述通信方法包括：接收步骤，接收所述移动体网络上的消息；以及判断步骤，利用范围信息判断接收的所述消息的正当性，该范围信息示出针对所述移动体网络上的所述消息决定的能够传输的路径范围。

据此，能够抑制移动体网络上的消息超过估计的范围传输。因此，能够抑制数据的流出。

并且，本公开的实施方案之一涉及的通信系统，是移动体网络的通信系统，该移动体网络是搭载在移动体且用于多个电子控制装置的通信的网络，所述通信系统具备：保持部，保持范围信息，该范围信息示出针对所述移动体网络上的消息决定的能够传输的路径范围；接收部，接收所述移动体网络上的所述消息；以及判断部，利用所述范围信息判断接收的所述消息的正当性。

据此，通信系统，能够抑制移动体网络上的消息超过估计的范围传输，能够抑制数据的流出。

进而，它们的总括或具体的形态，也可以作为系统、装置、方法、集成电路、计算机程序或计算机可读取的cd－rom等的非暂时的记录介质来实现，也可以任意组合系统、装置、方法、集成电路、计算机程序以及记录介质来实现。

以下，参照附图，说明实施方式涉及的通信装置、通信方法以及通信系统。

而且，以下说明的实施方式，都示出总括性或具体的例子。以下的实施方式示出的数值、形状、材料、构成要素、构成要素的配置位置以及连接形态、步骤、步骤的顺序等是一个例子而不是限定本实施方案的宗旨。因此，对于以下的实施方式的构成要素中的、示出最上位概念的实施方案中没有记载的构成要素，作为任意的构成要素而被说明。

(实施方式1)

在本实施方式中，接收的消息中包括的ttl(timetolive)，由预先决定的白名单检查。以下，对于具有接收的消息中包括的ttl由预先决定的白名单检查的功能的通信装置，参照附图进行说明。

[1.1车载网络系统的全体结构]

图1是示出本实施方式的车载网络系统的全体结构的一个例子的图。车载网络系统10具备，ethernet开关100a、100b、in－vehicleinfotainmentsystem(以下，ivi)200、ecu300a、300b、300c、300d、300e、centralgateway(以下，cgw)400、以及telematicscontrolunit(以下，tcu)500。

ethernet开关100a，与ethernet开关100b，分别是交换式集线器，经由cgw400以及ethernet电缆彼此连接。并且，ethernet开关100a，与ecu300a至300e，分别经由ethernet电缆连接。并且，ethernet开关100b，与ivi200、以及tcu500，分别经由ethernet电缆连接。ethernet开关100a以及100b具有，将从各个端口接收的消息，向其他的端口、或所有的端口传输的功能。

ivi200，与ethernet开关100b，经由ethernet电缆连接。并且，ivi200具有显示器。而且，ivi200具有，向驾驶员提示信息的功能。

ecu300a至300e，分别与前方距离传感器310、前方照相机320、高度驾驶支援功能(以下，adas)330、后方距离传感器340、以及后方照相机350连接。并且，ecu300a至300e具有，分别从连接的装置获得信息，将获得的信息作为消息发送到其他的ecu的功能。

cgw400，与ethernet开关100a、以及ethernet开关100b，分别经由ethernet连接。而且，cgw400具有，分割各个域的路由器的功能。

tcu500，与ethernet开关100a，经由ethernet电缆连接。并且，tcu500具有，经由3g或lte(注册商标)等的无线通信与基站600进行通信，从车外获得车内所需要的信息、或将车内的信息向外部发送的功能。省略说明基站600。

[1.2ip地址以及mac地址一览表]

图2是示出本实施方式的ip地址以及mac地址的一览表的一个例子的图。例如，由制造时搭载的零件唯一地设定mac地址，在构建系统时，静态地给予ip地址。

[1.3ethernet开关的结构]

图3是示出本实施方式的ethernet开关100a的结构的一个例子的图。ethernet开关100a具备，通信部101、传输处理部102、传输表保持部103、白名单判断部104、白名单保持部105、以及错误消息发送部106。

而且，对于ethernet开关100b的结构，与ethernet开关100a同样，因此，省略说明。

通信部101，经由ethernet，从其他的ecu接收消息，通知给传输处理部102。并且，向从传输处理部102或错误消息发送部106通知的发送目的地ecu发送消息。

传输处理部102，根据从传输表保持部103获得的传输表、以及白名单判断部104的判断结果，决定消息的传输可否。而且，传输处理部102，在能够传输消息的情况下，向通信部101通知传输目的地。传输处理部102，在不能传输消息的情况下，也可以向错误消息发送部106通知不能传输消息。

传输表保持部103，保持传输表。对于传输表的详细内容，利用图9在后面进行说明。

白名单判断部104，按照白名单保持部105保持的白名单、以及由传输处理部102通知的接收消息，进行针对消息的判断。而且，白名单判断部104，将判断结果通知给传输处理部102、以及错误消息发送部106。

白名单保持部105，保持用于判断消息的传输可否的白名单。对于白名单的详细内容，利用图10在后面进行说明。

错误消息发送部106，根据从传输处理部102或白名单判断部104通知的结果，以发送错误消息的方式，向通信部101进行通知。

[1.4ivi的结构]

图4是示出本实施方式的ivi200的结构的一个例子的图。ivi200具备，通信部201、消息处理部202、显示部203、以及操作部204。

通信部201，经由ethernet，从其他的ecu接收消息，向消息处理部202通知消息。并且，通信部201，将从消息处理部202通知的消息发送到其他的ecu。

消息处理部202，从通信部201通知的接收消息中，提取显示对象的内容，通知给显示部203。并且，按照来自操作部204的通知内容，制作发送对象的消息，通知给显示部203。

显示部203，进行将从消息处理部202通知的显示对象的内容显示在画面的处理。

操作部204，将与驾驶员的操作对应的内容通知给消息处理部202。

[1.5ecu的结构]

图5是示出本实施方式的ecu300a的结构的一个例子的图。ecu300a具备，通信部301、消息处理部302、以及传感器通信部303。而且，对于ecu300b至300d的结构，与ecu300a同样，因此，省略说明。

通信部301，经由ethernet，从其他的ecu接收消息，通知给消息处理部302。并且，通信部301，将从消息处理部302通知的消息发送到其他的ecu。

消息处理部302，从通信部301通知的接收消息中，提取针对传感器等的指示内容，通知给传感器通信部303。并且，消息处理部302，按照来自传感器通信部303的通知内容，制作发送对象的消息，通知给通信部301。

传感器通信部303，从位于外部的传感器等获得信息，将其信息的内容通知给消息处理部302。并且，传感器通信部303，按照从消息处理部302通知的指示内容，向外部的传感器等发送指示。

对于ecu300a的通信部301向其他的ecu发送的消息的一个例子，利用图8在后面进行说明。

[1.6cgw的结构]

图6是示出本实施方式的cgw400的结构的一个例子的图。cgw400具备，通信部401、传输处理部402、传输表保持部403、以及错误消息发送部404。

通信部401，经由ethernet，从其他的ecu接收消息，通知给传输处理部402。并且，通信部401，向从传输处理部402或错误消息发送部404通知的通信目的地ecu发送消息。

传输处理部402，根据从传输表保持部403获得的传输表，将传输目的地通知给通信部401。传输处理部402，根据传输表，在不能传输消息的情况下，也可以向错误消息发送部404通知不能传输消息。

传输表保持部403，保持传输表。

错误消息发送部404，根据从传输处理部402通知的结果，以发送错误消息的方式，向通信部401进行通知。

[1.7tcu的结构]

图7是示出本实施方式的tcu500的结构的一个例子的图。tcu500具备，车内通信部501、消息处理部502、以及车外通信部503。

车内通信部501，经由ethernet，从其他的ecu接收消息，通知给消息处理部502。并且，车内通信部501，将从消息处理部502通知的消息发送到其他的ecu。

消息处理部502，从车内通信部501通知的接收消息中，提取针对外部的发送对象的内容，通知给车外通信部503。并且，消息处理部502，按照来自车外通信部503的通知内容，制作针对车内的发送对象的消息，通知给车内通信部501。

车外通信部503，与位于车外的基站600进行通信，将接收消息通知给消息处理部502。并且，车外通信部503，按照从消息处理部502通知的发送对象的内容，向车外的基站600发送消息。

[1.8从ecu发送的消息中包括的字段的一个例子]

图8是示出本实施方式的ecu300a发送的消息中包括的字段的一个例子的图。而且，对于从ecu300b至300e发送的消息与从ecu300a发送的消息大致同样，因此，在此省略说明。

mac头中包括，发送源mac地址、以及发送目的地mac地址。ip头中包括，ttl、发送源ip地址、以及发送目的地ip地址。ip头中也可以还包括，数据包类别。ip有效负载中包括，传感器数据等的数据主体。例如，在ip层，每当消息经由装置时，从消息包括的ttl的值中减去1。而且，在消息到达发送目的地之前，若消息中包括的ttl值的成为0，则消息被废弃。

在本实施方式中，ecu300a，仅向ecu300c发送传感器数据。因此，ecu300a，在发送源mac地址、以及发送源ip地址设定ecu300a的信息，在发送目的地mac地址、以及发送目的地ip地址设定ecu300c的信息。并且，ecu300a，在ttl，设定示出在中途不经由中继器的1。

[1.9传输表的结构]

图9是示出本实施方式的ethernet开关100a具有的传输表的结构的一个例子的图。对于ethernet开关100b具有的传输表，与ethernet开关100a具有的传输表大致同样，因此，在此省略说明。在图9的传输表中，mac地址与ethernet端口对应。

在图9中，ethernet开关100a，保持六个ethernet端口，它们的端口号是，端口no.1至6。并且，端口no.1至6的连接目的地mac地址分别是，0a:0a:0a:0a:0a:0a，0b:0b:0b:0b:0b:0b，0c:0c:0c:0c:0c:0c，0d:0d:0d:0d:0d:0d，0e:0e:0e:0e:0e:0e，以及04:04:04:04:04:04。

[1.10ttl白名单的结构]

图10是示出本实施方式的作为ethernet开关100a具有的白名单的ttl白名单的结构的一个例子的图。对于ethernet开关100b具有的ttl白名单，与ethernet开关100a具有的ttl白名单大致同样，因此，在此省略说明。

在图10中，ttl白名单包括，由发送源mac地址、发送目的地mac地址、以及ttl的集合分别构成的五个集合。这些五个集合是，准确的组合。在这些组合中包括消息的情况下，传输消息，在这些组合中没有包括消息的情况下，消息作为ng被废弃。

[1.11ttl白名单的判断序列]

图11是示出本实施方式的ethernet开关100a的利用ttl白名单的消息的判断序列的一个例子的图。

在步骤s1001中，ethernet开关100a，从ethernet开关100a具有的ethernet端口接收消息。

在步骤s1002中，ethernet开关100a，从接收的消息，获得发送源mac地址。

在步骤s1003中，ethernet开关100a，从接收的消息，获得发送目的地mac地址。

在步骤s1004中，ethernet开关100a，从接收的消息，获得ttl的值。

在步骤s1005中，ethernet开关100a，对接收的消息、与ttl白名单进行对照。而且，ethernet开关100a，根据与发送源mac地址以及发送目的地mac地址对应的ttl白名单的ttl的值，检查接收的消息的ttl的值是否是准确的值。也就是说，ethernet开关100a，判断从接收的消息获得的ttl是否符合ttl白名单。

例如，在接收的消息的ttl的值为，ttl白名单的ttl的值以下的情况下，ethernet开关100a，判断接收的消息的ttl的值是准确的值。在接收的消息的ttl的值不是，ttl白名单的ttl的值以下的情况下，ethernet开关100a，判断接收的消息的ttl的值不是准确的值。

在接收的消息的ttl的值是准确的值的情况下(“是”的情况下)，ethernet开关100a，执行步骤s1007的处理。在接收的消息的ttl的值不是准确的值的情况下(“否”的情况下)，ethernet开关100a，执行步骤s1006的处理。

在步骤s1006中，ethernet开关100a，废弃接收的消息。

在步骤s1007中，ethernet开关100a，根据传输表，经由具有发送目的地mac地址的设备连接的端口发送消息。

在图8的接收消息的例子中，发送源mac地址是0a:0a:0a:0a:0a:0a，发送目的地mac地址是0c:0c:0c:0c:0c:0c，ttl是1。图8的集合符合图10的ttl白名单，因此，ethernet开关100a，在步骤s1005中判断为ttl的值准确，传输消息。

(实施方式1的效果)

在本实施方式中，根据基于mac地址的ttl白名单，废弃越出预先决定的通信范围的消息。因此，能够抑制数据的流出。

(实施方式1的变形例1)

在实施方式1的基本的形态中，利用与mac地址对应的ttl白名单，但是，ttl白名单，不仅限于此。在本变形例中，在ip层进行传输控制的l3开关中，利用与ip地址对应的ttl白名单。据此，与mac地址的伪装无关，而根据ip地址，适当地判断消息的正当性。

并且，在本变形例中，代替图1所示的ethernet开关100a，而利用作为ethernet开关100a的变形例的ethernet开关110a。ethernet开关110a是，在ip层进行传输控制的l3开关。对于ethernet开关100b，也代替ethernet开关100b，而利用ethernet开关100b的变形例，但是，与ethernet开关110a大致相同，因此，省略说明。

以下，对于在ip层进行传输控制的ethernet开关110a，参照附图进行说明。而且，对于与所述的实施方式的基本的形态相同的内容，省略说明。

[1.12ethernet开关的结构]

图12是示出本变形例的ethernet开关110a的结构的一个例子的图。ethernet开关110a具备，通信部101、传输处理部102、传输表保持部113、白名单判断部114、白名单保持部115、以及错误消息发送部106。而且，对于与图3同样的结构，赋予同一符号，省略其说明。

传输表保持部113，保持传输表。对于传输表的详细内容，利用图13在后面进行说明。

白名单判断部114，按照白名单保持部115保持的白名单、以及由传输处理部102通知的接收消息，进行针对消息的判断。而且，白名单判断部114，将判断结果通知给传输处理部102、以及错误消息发送部106。

白名单保持部115保持，用于判断消息的传输可否的白名单。对于白名单的详细内容，利用图14在后面进行说明。

[1.13传输表的结构]

图13是示出本变形例的ethernet开关110a具有的传输表的结构的一个例子的图。在图13的传输表中，ip地址与ethernet端口对应。

在图13中，ethernet开关110a，保持六个ethernet端口，它们的端口号是，端口no.1至6。并且，端口no.1至6的连接目的地ip地址分别是，192.168.0.1，192.168.0.2，192.168.0.3，192.168.0.4，192.168.0.5，192.168.0.127，。

[1.14ttl白名单的结构]

图14是示出本变形例的作为ethernet开关110a具有的白名单的ttl白名单的结构的一个例子的图。

在图14中，ttl白名单包括，由发送源ip地址、发送目的地ip地址、以及ttl的集合分别构成的五个集合。这些五个集合是，准确的组合。在这些组合中包括消息的情况下，传输消息，在这些组合中没有包括消息的情况下，消息作为ng被废弃。

[1.15ttl白名单的判断序列]

图15是示出本变形例的ethernet开关110a的利用ttl白名单的消息的判断序列的一个例子的图。而且，对于与图11同样的处理，赋予同一号码，省略说明。

在步骤s1102中，ethernet开关110a，从接收的消息，获得发送源ip地址。

在步骤s1103中，ethernet开关110a，从接收的消息，获得发送目的地ip地址。

在步骤s1105中，ethernet开关110a，对接收的消息、与ttl白名单进行对照。而且，ethernet开关110a，根据与发送源ip地址以及发送目的地ip地址对应的ttl白名单的ttl的值，检查接收的消息的ttl的值是否是准确的值。也就是说，ethernet开关110a，判断从接收的消息获得的ttl是否符合ttl白名单。

例如，在接收的消息的ttl的值为，ttl白名单的ttl的值以下的情况下，ethernet开关110a，判断接收的消息的ttl的值是准确的值。在接收的消息的ttl的值不是，ttl白名单的ttl的值以下的情况下，ethernet开关110a，判断接收的消息的ttl的值不是准确的值。

在接收的消息的ttl的值是准确的值的情况下(“是”的情况下)，ethernet开关110a，执行步骤s1108的处理。在接收的消息的ttl的值不是准确的值的情况下(“否”的情况下)，ethernet开关110a，执行步骤s1006的处理。

在步骤s1108中，ethernet开关110a，将接收的消息的ttl的值递减1来重写。

在步骤s1109中，ethernet开关110a，检查接收的消息的ttl的值，是否与0不同、即是否比0大。在接收的消息的ttl的值为0的情况下(“否”的情况下)，ethernet开关110a，执行步骤s1110的处理。在接收的消息的ttl的值与0不同的情况下(“是”的情况下)，ethernet开关110a，执行步骤s1107的处理。

在步骤s1110中，ethernet开关110a，废弃接收的消息。

在步骤s1107中，ethernet开关110a，根据传输表，经由具有发送目的地mac地址的设备连接的端口发送消息。

(实施方式1的变形例1的效果)

在本变形例中，根据基于ip地址的ttl白名单，越出预先决定的通信范围的消息由ethernet开关废弃。并且，与mac地址的伪装无关，而根据ip地址，适当地判断消息的正当性。

(实施方式1的变形例2)

在实施方式1的变形例1中，采用利用了静态的ip地址的固定的集合的ttl白名单。在本变形例中，利用包括在系统开始后利用internetcontrolmessageprotocol(以下icmp)等变更的动态的ip地址的集合的ttl白名单。

据此，在不能静态地获得ip地址等的环境、例如dynamichostconfigurationprotocol(以下dhcp)等的环境下，即使发生ecu的撤去或置换等的物理变更，也适当地进行利用ttl白名单的消息的判断。

并且，在本变形例中，代替图1所示的ethernet开关100a，而利用作为ethernet开关100a的变形例的ethernet开关120a。ethernet开关120a是，在ip层进行传输控制的l3开关，保持在系统开始后动态地变更的ttl白名单。对于ethernet开关100b，也代替ethernet开关100b，而利用ethernet开关100b的变形例，但是，与ethernet开关120a大致相同，因此，省略说明。

以下，对于保持在系统开始后动态地变更的ttl白名单的ethernet开关120a，参照附图进行说明。而且，对于与所述的实施方式的基本的形态或变形例相同的内容，省略说明。

[1.16ethernet开关的结构]

图16是示出本变形例的ethernet开关120a的结构的一个例子的图。ethernet开关120a具备，通信部121、传输处理部102、传输表保持部123、白名单判断部114、白名单保持部125、错误消息发送部106、以及白名单制作部127。而且，对于与图3或图12同样的结构，赋予同一符号，省略其说明。

通信部121，经由ethernet，从其他的ecu接收消息，通知给传输处理部102或白名单制作部127。并且，通信部121，向从传输处理部102、错误消息发送部106、或白名单制作部127通知的发送目的地ecu发送消息。

白名单保持部125，保持从白名单制作部127通知的、用于判断消息的传输可否的白名单。白名单的一个例子，与图14同样，因此，省略其说明。

白名单制作部127，制作icmp消息，通知给通信部121。并且，白名单制作部127，统计从通信部121通知的icmp的响应消息，制作白名单，通知给白名单保持部125。

例如，白名单的制作是，在确认到不正当的设备没有与车载网络连接的状态下进行的。白名单制作部127也可以，在白名单的制作之前，经由通信部121，针对icmp消息的发送目的地，通过挑战应答认证等进行设备认证。而且，白名单制作部127也可以，经由通信部121，向进行了设备认证的装置，发送icmp消息，根据其响应，制作白名单。

并且，白名单制作部127也可以，在发生ecu的撤去或置换等时，重新制作白名单。也就是说，白名单制作部127也可以，在发生ecu的撤去或置换等时，更新白名单。

具体而言，白名单制作部127也可以，检测向ecu分配的ip地址的更新，更新白名单。或者，白名单制作部127也可以，周期性地更新白名单。据此，随着ecu的撤去或置换等，变更白名单。

(实施方式1的变形例2的效果)

在本变形例中，即使在由dhcp动态地设定各个节点的ip地址的环境下，也越出动态地决定的通信范围的消息由ethernet开关废弃。

(实施方式1的变形例3)

在实施方式1的变形例1中，对消息与ttl白名单进行对照，在消息不符合ttl白名单的情况下，废弃消息。在本变形例中，在消息不符合ttl白名单的情况下，以ttl白名单的值更新消息中的ttl。据此，即使在所有的ecu的每一个难以在消息中的ttl设定适当的值的情况下，也由ethernet开关设定适当的值。因此，适当地适用ttl白名单。

并且，在本变形例中，代替图1所示的ethernet开关100a，而利用作为ethernet开关100a的变形例的ethernet开关130a。ethernet开关120a是，在ip层进行传输控制的l3开关，具有在ttl设定适当的值的功能。对于ethernet开关100b，也代替ethernet开关100b，而利用ethernet开关100b的变形例，但是，与ethernet开关130a大致相同，因此，省略说明。

以下，对于具有在ttl设定适当的值的功能的ethernet开关130a，参照附图进行说明。而且，对于与所述的实施方式的基本的形态或变形例相同的内容，省略说明。

[1.17ethernet开关的结构]

图17是示出本变形例的ethernet开关130a的结构的一个例子的图。ethernet开关130a具备，通信部101、传输处理部132、传输表保持部103、白名单判断部134、白名单保持部105、以及错误消息发送部106。而且，对于与图3或图12相同的结构，赋予同一符号，省略其说明。

传输处理部132，按照从传输表保持部103获得的传输表、以及白名单判断部134的判断结果，以白名单上的ttl的值更新接收消息的ttl值，将传输目的地通知给通信部101。

白名单判断部134，按照白名单保持部105保持的白名单、以及由传输处理部132通知的接收消息，进行针对消息的判断。而且，白名单判断部134，将判断结果、以及白名单上的ttl的值，通知给传输处理部132、以及错误消息发送部106。

[1.18从ecu发送的消息中包括的字段的一个例子]

图18是示出变形例的从ecu300a发送的消息中包括的字段的一个例子的图。而且，对于从ecu300b至300e发送的消息与从ecu300a发送的消息大致同样，因此，在此省略说明。

mac头中包括，发送源mac地址、以及发送目的地mac地址。ip头中包括，ttl、发送源ip地址、以及发送目的地ip地址。ip头中也可以还包括，数据包类别。ip有效负载中包括，传感器数据等的数据主体。

在本变形例中，ecu300a，仅向ecu300c发送传感器数据。因此，ecu300a，在发送源mac地址、以及发送源ip地址设定ecu300a的信息，在发送目的地mac地址、以及发送目的地ip地址设定ecu300c的信息。并且，ecu300a，不是在ttl个别地设定值，而是在ttl设定作为上限值的255。

[1.19ttl白名单的判断序列]

图19是示出本变形例的由ethernet开关130a的利用ttl白名单的消息的判断序列的一个例子的图。而且，对于与图11同样的处理，赋予同一号码，省略说明。

在s1306中，ethernet开关130a，在与ttl白名单不一致的情况下(s1005的“否”的情况下)，将接收的消息的ttl的值更新为ttl白名单中的值。而且，ethernet开关130a，执行步骤s1007的处理。

(实施方式1的变形例3的效果)

在本变形例中，即使在所有的ecu的每一个难以设定适当的ttl的情况下，也由ethernet开关设定适当的值。因此，适当地适用ttl白名单。

(实施方式2)

在实施方式1中，对接收的消息中包括的信息与白名单进行对照。在本实施方式中，利用接收的消息中包括的信息，获得发送所需要的时间，对发送所需要的时间与白名单进行对照。

并且，在本实施方式中，代替图1所示的ethernet开关100a，而利用作为ethernet开关100a的变形例的ethernet开关1110a。ethernet开关1110a是，在ip层进行传输控制的l3开关，具有利用接收的消息中包括的信息，获得发送所需要的时间，对发送所需要的时间与白名单进行对照的功能。对于ethernet开关100b，也代替ethernet开关100b，而利用ethernet开关100b的变形例，但是，与ethernet开关1110a大致相同，因此，省略说明。

在本实施方式中，对于具有利用接收的消息中包括的信息，获得发送所需要的时间，对发送所需要的时间与白名单进行对照的功能的ethernet开关1110a，参照附图进行说明。而且，对于与所述的实施方式或变形例相同的内容，省略说明。

[2.1ethernet开关的结构]

图20是示出本实施方式的ethernet开关1110a的结构的一个例子的图。ethernet开关1110a具备，通信部1111、传输处理部102、传输表保持部113、白名单判断部1114、白名单保持部1115、错误消息发送部106、以及rtt获得部1108。而且，对于与图3或图12同样的结构，赋予同一符号，省略其说明。

通信部1111，经由ethernet，从其他的ecu接收消息，通知给传输处理部102、以及rtt获得部1108。并且，通信部1111，向从传输处理部102、错误消息发送部106、或rtt获得部1108通知的发送目的地ecu发送消息。

白名单判断部1114，按照白名单保持部1115保持的白名单、以及由传输处理部102通知的接收消息，进行针对消息的判断。而且，白名单判断部1114，将判断结果通知给传输处理部102、以及错误消息发送部106。

白名单保持部1115，保持用于判断消息的传输可否的rtt白名单。对于rtt白名单的详细内容，利用图21在后面进行说明。

[2.2rtt白名单的结构]

图21是示出本实施方式的作为ethernet开关1110a具有的白名单的rtt白名单的结构的一个例子的图。

在图21中，rtt白名单包括，由发送源ip地址、发送目的地ip地址、以及rtt的集合分别构成的五个集合。这些五个集合是，准确的组合。在这些组合中包括消息的情况下，传输消息，在这些组合中没有包括消息的情况下，消息作为ng被废弃。

rtt(roundtriptime)是，例如，从发出信号后返回响应为止的时间，与消息的发送所需要的时间对应。例如，ethernet开关1110a具有的rtt白名单中的rtt，与从ethernet开关1110a向发送目的地ip地址发送信号后返回响应为止的时间的上限对应。

[2.3rtt白名单的判断序列]

图22是示出本实施方式的由ethernet开关1110a的利用rtt白名单的消息的判断序列的一个例子的图。而且，对于与图11或图15同样的处理，赋予同一符号，省略其说明。

在s2004中，ethernet开关1110a，向接收的消息的发送目的地的ip地址发送icmp消息，根据其响应时间，获得rtt的值。

ethernet开关1110a也可以，每当接收消息时，向消息中包括的发送目的地发送icmp消息，根据其响应时间，获得rtt的值。并且，ethernet开关1110a也可以，在发送ipcm消息后获得rtt的值后的规定的期间，向相同的发送目的地不发送ipcm消息，而根据上次的发送结果，获得rtt的值。

在s2005中，ethernet开关1110a，对从接收的消息获得的rtt的值、以及rtt白名单进行对照。而且，ethernet开关1110a，检查从接收的消息获得的rtt的值是否是，与发送源ip地址和发送目的地ip地址对应的rtt白名单的范围内的值。也就是说，ethernet开关1110a，判断从接收的消息获得的rtt的值，是否符合rtt白名单。

在此，在获得的rtt的值是rtt白名单的范围内的值的情况下(“是”的情况下)，ethernet开关1110a，执行步骤s1107的处理。另一方面，在获得的rtt的值不是rtt白名单的范围内的值的情况下(“否”的情况下)，ethernet开关1110a，执行步骤s1006的处理。

而且，ethernet开关1110a也可以，如图15的例子，进行消息中包括的ttl的递减。

并且，在本实施方式中，rtt，与从ethernet开关1110a向发送目的地发送信号后返回响应为止的时间对应。然而，rtt也可以，与从发送源向发送目的地发送信号后从发送目的地向发送源返回响应为止的时间对应。在此情况下，ethernet开关1110a也可以，将从向发送目的地发送信号后接收响应为止的时间、与从向发送源发送信号后接收响应为止的时间的合计时间，作为rtt获得。

(实施方式2的效果)

在本实施方式中，根据基于ip地址的rtt白名单，越出预先决定的通信范围的消息由ethernet开关废弃。

(实施方式2的变形例)

在实施方式2的基本的形态中，利用预先设定的固定的列表以作为rtt白名单。在本变形例中，利用在系统开始后利用icmp等动态地更新的列表以作为rtt白名单。

据此，即使在不能静态地获得ip地址等的环境、例如dhcp等的环境下，发生ecu的撤去或置换等的物理变更，也能够适当地判断消息的正当性。

并且，在本变形例中，代替图1所示的ethernet开关100a，而利用作为ethernet开关100a的变形例的ethernet开关1120a。ethernet开关1120a是，在ip层进行传输控制的l3开关，保持在系统开始后动态地变更的rtt白名单。对于ethernet开关100b，也代替ethernet开关100b，而利用ethernet开关100b的变形例，但是，与ethernet开关1120a大致相同，因此，省略说明。

以下，对于保持在系统开始后动态地变更的白名单的ethernet开关1120a，参照附图进行说明。而且，对于与所述的实施方式或变形例相同的内容，省略说明。

[2.4ethernet开关的结构]

图23是示出本变形例的ethernet开关1120a的结构的图。ethernet开关1120a具备，通信部1121、传输处理部102、传输表保持部113、白名单判断部1114、白名单保持部1125、错误消息发送部106、rtt获得部1108、以及白名单制作部1127。而且，对于与图3、图12或图20同样的结构，赋予同一符号，省略其说明。

通信部1121，经由ethernet，从其他的ecu接收消息，通知给传输处理部102、rtt获得部1108或白名单制作部1127。并且，通信部1121，向从传输处理部102、错误消息发送部106、rtt获得部1108、白名单制作部1127通知的发送目的地ecu发送消息。

白名单保持部1125，保持从白名单制作部1127通知的、用于判断消息的传输可否的白名单。对于白名单的一个例子，与图21同样，因此，省略其说明。

白名单制作部1127，制作icmp消息，通知给通信部1121。并且，白名单制作部1127，统计从通信部1121通知的icmp的响应消息，制作白名单，通知给白名单保持部1125。

(实施方式2的变形例的效果)

在本变形例中，即使在由dhcp动态地设定各个节点的ip地址的环境下，也越出动态地决定的通信范围的消息由ethernet开关废弃。因此，能够抑制数据的流出。

(实施方式3)

在本实施方式中，在消息的正当性的判断中，利用与车辆的状态对应的ttl白名单。据此，按照车辆的状态，适当地判断消息的正当性。

[3.1车载网络系统的全体结构]

图24是示出本实施方式的车载网络系统的全体结构的一个例子的图。车载网络系统40具备，ethernet开关140a、140b、ivi200、ecu300a、cgw400、以及tcu500。而且，对于与图1同样的结构，赋予同一符号，省略其说明。

ethernet开关140a与ethernet开关140b，分别经由cgw400以及ethernet电缆连接。并且，ethernet开关140a与ecu300a，经由ethernet电缆连接。并且，ethernet开关140b，与ivi200、以及tcu500，分别经由ethernet电缆连接。ethernet开关140a以及140b具有，将从各个端口接收的消息，向其他的端口、或所有的端口传输的功能。

在本实施方式中，ecu300a，与低功率gps(globalpositioningsystem)360连接。并且，ecu300a具有，从低功率gps360获得信息，将获得的信息作为消息发送到其他的ecu的功能。

并且，也可以图中没有示出的许多ecu搭载在车辆。而且，也可以是，车辆的许多装置，由许多ecu控制。

而且，也可以是，许多ecu以及许多装置之中的、几个ecu以及装置仅在车辆的行驶中工作。并且，也可以是，几个ecu以及装置仅在车辆的停车中工作。并且，也可以是，几个ecu以及装置在车辆的行驶中以及停车中的双方工作。ecu300a以及低功率gps360是，在车辆的行驶中以及停车中的双方工作的ecu以及装置的例子。

存在按照车辆在行驶中或停车中的状态的变化，通信范围也发生变化的可能性。因此，ethernet开关140a以及140b，保持与车辆的状态对应的白名单。

[3.2ip地址以及mac地址一览表]

图25是示出本实施方式的ip地址以及mac地址的一览表的一个例子的图。图25的例子，与图2的例子基本上相同，但是，在图25的例子中，为了便于说明，而省略图2的例子的一部分。并且，在更多的ecu搭载在车辆的情况下，在一览表中会包括更多的ecu的ip地址以及mac地址。

[3.3ethernet开关的结构]

图26是示出本实施方式的ethernet开关140a的结构的一个例子的图。ethernet开关140a具备，通信部101、传输处理部102、传输表保持部103、白名单判断部144、白名单保持部145、以及错误消息发送部106。

而且，ethernet开关140b的结构，与ethernet开关140a同样，因此，省略说明。并且，对于与图3同样的结构，赋予同一符号，省略其说明。

白名单判断部144，按照车辆的状态、白名单保持部145保持的白名单、以及从传输处理部102通知的接收消息，进行针对消息的判断。而且，白名单判断部144，将判断结果通知给传输处理部102、以及错误消息发送部106。

白名单保持部145，保持用于按照车辆的状态判断消息的传输可否的白名单。对于白名单的详细内容，利用图29在后面进行说明。

[3.4从ecu发送的消息中包括的字段的一个例子]

图27是示出本实施方式的从ecu300a发送的消息中包括的字段的一个例子的图。

mac头中包括，发送源mac地址、以及发送目的地mac地址。ip头中包括，ttl、发送源ip地址、以及发送目的地ip地址。ip头中也可以还包括，数据包类别。ip有效负载中包括，传感器数据等的数据主体。

ecu300a，在发送源mac地址以及发送源ip地址设定ecu300a的信息。而且，ecu300a，在发送目的地mac地址以及发送目的地ip地址，适当地设定发送目的地的信息。在图27的发送目的地mac地址以及发送目的地ip地址示出，暂时的值。例如，ecu300a，将图24中没有示出的发送目的地的ecu的mac地址以及ip地址设定为消息中的发送目的地mac地址以及发送目的地ip地址。

并且，在图27的例子中，ecu300a，在消息中的ttl设定，示出31次的传输允许次数的32。

[3.5传输表的结构]

图28是示出本实施方式的ethernet开关140a具有的传输表的结构的一个例子的图。对于ethernet开关140b具有的传输表，与ethernet开关140a具有的传输表大致同样，因此，在此省略说明。在图28的传输表中，mac地址与ethernet端口对应。

在图28中，ethernet开关140a，保持两个ethernet端口，它们的端口号是，端口no.1至2。并且，端口no.1至2的连接目的地mac地址分别是，0a:0a:0a:0a:0a:0a、以及04:04:04:04:04:04。

并且，ethernet开关140a也可以，保持更多的ethernet端口。而且，在更多的ecu搭载在车辆的情况下，更多的ecu的mac地址也可以，分别与更多的ethernet端口对应。

[3.6ttl白名单的结构]

图29是示出本实施方式的作为ethernet开关140a具有的白名单的ttl白名单的结构的一个例子的图。对于ethernet开关140b具有的ttl白名单，与ethernet开关140a具有的ttl白名单大致同样，因此，在此省略说明。

在图29中，ttl白名单包括，由发送源mac地址、发送目的地mac地址、状态、以及ttl的集合分别构成的两个集合。这些两个集合是，准确的组合。在这些组合中包括消息的情况下，传输消息，在这些组合中没有包括消息的情况下，消息作为ng被废弃。

ttl白名单中的状态，与车辆的状态对应，例如，是包括车辆在停车中的状态、以及车辆在行驶中的状态的多个状态之中的任一个。并且，在图29的例子中，以“*”示出发送目的地mac地址。该“*”，与各种mac地址对应。

在图29的例子的ttl白名单中，若发送源是ecu300a，车辆在停车中，则与发送目的地无关，而将ttl限制为32。并且，若发送源是ecu300a，车辆在行驶中，则与发送目的地无关，而将ttl限制为2。

[3.7ttl白名单的判断序列]

图30是示出本实施方式的由ethernet开关140a的利用ttl白名单的消息的判断序列的一个例子的图。而且，对于与图11同样的处理，赋予同一号码，省略说明。

在步骤s1401中，ethernet开关140a，获得车辆的状态。ethernet开关140a也可以，从未图示出的ecu或传感器等获得车辆的状态。

在步骤s1405中，ethernet开关140a，按照车辆的状态，对接收的消息、与ttl白名单进行对照。而且，ethernet开关140a，根据与发送源mac地址、发送目的地mac地址以及车辆的状态对应的ttl白名单的ttl的值，检查接收的消息的ttl的值是否是准确的值。也就是说，ethernet开关140a，判断从接收的消息获得的ttl，是否符合ttl白名单。

例如，在接收的消息的ttl的值为，ttl白名单的ttl的值以下的情况下，ethernet开关140a，判断接收的消息的ttl的值是准确的值。在接收的消息的ttl的值不是，ttl白名单的ttl的值以下的情况下，ethernet开关140a，判断接收的消息的ttl的值不是准确的值。在本实施方式中，ttl白名单的ttl的值，依赖于车辆的状态。

在接收的消息的ttl的值是准确的值的情况下(“是”的情况下)，ethernet开关140a，执行步骤s1007的处理。在接收的消息的ttl的值不是准确的值的情况下(“否”的情况下)，ethernet开关140a，执行步骤s1006的处理。

在图27的接收的消息的例子中，发送源mac地址是0a:0a:0a:0a:0a:0a，ttl是32。

在车辆的停车中，图27的集合符合图29的ttl白名单，因此，ethernet开关140a，在步骤s1405中判断为ttl的值准确，传输消息。另一方面，在车辆的行驶中，图27的集合不符合图29的ttl白名单，因此，ethernet开关140a，在步骤s1405中判断为ttl的值不准确，废弃消息。

(实施方式3的效果)

在本实施方式中，根据基于mac地址的ttl白名单，越出与车辆的对应的通信范围的消息由ethernet开关废弃。

(实施方式3的变形例)

在实施方式3的基本的形态中，利用将车辆的状态、发送源的mac地址、发送目的地的mac地址、以及ttl建立对应的ttl白名单。在本变形例中，利用将车辆的状态、发送源的ip地址、发送目的地的ip地址、以及ttl建立对应的ttl白名单。

据此，按照车辆的状态、以及ip地址，适当地判断消息的正当性。而且，例如，在ip层进行传输控制的l3开关中，按照车辆的状态，适当地判断消息的正当性，适当地控制消息的传输以及废弃。

以下，对于在ip层进行传输控制的ethernet开关140a，参照附图进行说明。而且，对于与所述的实施方式或变形例相同的内容，省略说明。并且，对于ethernet开关140b的结构，与ethernet开关140a同样，因此，省略说明。

[3.8ethernet开关的结构]

本变形例的ethernet开关140a的结构，与图26所示的实施方式3的基本的形态的ethernet开关140a的结构大致相同。但是，传输表保持部103保持的传输表的详细内容、白名单判断部144进行的判断处理的详细内容、以及白名单保持部145保持的白名单的详细内容，与实施方式3的基本的形态不同。

[3.9传输表的结构]

在本变形例的传输表中，代替mac地址而ip地址与ethernet端口对应。具体而言，图28的例子的传输表变更为，代替mac地址而包括ip地址。而且，代替0a:0a:0a:0a:0a:0a而利用192.168.0.1，代替04:04:04:04:04:04而利用192.168.0.127。

[3.10ttl白名单的结构]

图31是示出本变形例的作为ethernet开关140a具有的白名单的ttl白名单的结构的一个例子的图。

在图31中，ttl白名单包括，由发送源ip地址、发送目的地ip地址、状态、以及ttl的集合分别构成的两个集合。这些两个集合是，准确的组合。在这些组合中包括消息的情况下，传输消息，在这些组合中没有包括消息的情况下，消息作为ng被废弃。

与图29同样，图31所示的ttl白名单的状态，与车辆的状态对应，例如，是包括车辆在停车中的状态、以及车辆在行驶中的状态的多个状态之中的任一个。并且，在图31的例子中，以“*”示出发送目的地ip地址。该“*”，与各种ip地址对应。

并且，与图29的例子同样，在图31的例子的ttl白名单中，若发送源是ecu300a，车辆在停车中，则与发送目的地无关，而将ttl限制为32。并且，若发送源是ecu300a，车辆在行驶中，则与发送目的地无关，而将ttl限制为2。

[3.11ttl白名单的判断序列]

图32是示出本变形例的由ethernet开关140a的利用ttl白名单的消息的判断序列的一个例子的图。而且，对于与图30或图15同样的处理，赋予同一号码，省略说明。

在步骤s1505中，ethernet开关140a，按照车辆的状态，对接收的消息、与ttl白名单进行对照。而且，ethernet开关140a，根据与发送源ip地址、发送目的地ip地址以及车辆的状态对应的ttl白名单的ttl的值，检查接收的消息的ttl的值是否是准确的值。也就是说，ethernet开关140a，判断从接收的消息获得的ttl，是否符合ttl白名单。

例如，在接收的消息的ttl的值为，ttl白名单的ttl的值以下的情况下，ethernet开关140a，判断接收的消息的ttl的值是准确的值。在接收的消息的ttl的值不是，ttl白名单的ttl的值以下的情况下，ethernet开关140a，判断接收的消息的ttl的值不是准确的值。

在接收的消息的ttl的值是准确的值的情况下(“是”的情况下)，ethernet开关140a，执行步骤s1108的处理。在接收的消息的ttl的值不是准确的值的情况下(“否”的情况下)，ethernet开关140a，执行步骤s1006的处理。

(实施方式3的变形例的效果)

在本变形例中，按照车辆的状态、以及ip地址，适当地判断消息的正当性。而且，例如，在ip层进行传输控制的l3开关中，按照车辆的状态，适当地判断消息的正当性，适当地控制消息的传输以及废弃。

(实施方式4)

在本实施方式中，与实施方式2同样利用rtt白名单，并且，与实施方式3同样按照车辆的状态判断消息的正当性。

并且，在本实施方式中，代替图24所示的实施方式3的ethernet开关140a，而利用作为ethernet开关140a的变形例的ethernet开关1140a。对于ethernet开关140b，也代替ethernet开关140b，而利用ethernet开关140b的变形例，但是，与ethernet开关1140a大致相同，因此，省略说明。

以下，对于本实施方式的ethernet开关1140a，参照附图进行说明。而且，对于与所述的实施方式或变形例相同的内容，省略说明。

[4.1ethernet开关的结构]

图33是示出本实施方式的ethernet开关1140a的结构的一个例子的图。ethernet开关1140a具备，通信部1111、传输处理部102、传输表保持部113、白名单判断部1144、白名单保持部1145、错误消息发送部106、以及rtt获得部1108。

而且，对于与图3或图12同样的结构，赋予同一符号，省略其说明。

白名单判断部1144，按照白名单保持部1145保持的白名单、以及由传输处理部102通知的接收消息，进行针对消息的判断。而且，白名单判断部1144，将判断结果通知给传输处理部102、以及错误消息发送部106。对于白名单判断部1144进行的判断的详细内容，利用图35在后面进行说明。

白名单保持部1145，保持用于判断消息的传输可否的rtt白名单。对于白名单保持部1145保持的rtt白名单的详细内容，利用图34在后面进行说明。

[4.2rtt白名单的结构]

图34是示出本实施方式的作为ethernet开关1140a具有的白名单的rtt白名单的结构的一个例子的图。

在图34中，rtt白名单包括，由发送源ip地址、发送目的地ip地址、状态、以及rtt的集合分别构成的两个集合。这些两个集合是，准确的组合。在这些组合中包括消息的情况下，传输消息，在这些组合中没有包括消息的情况下，消息作为ng被废弃。

与图31同样，图34所示的rtt白名单的状态，与车辆的状态对应，例如，是包括车辆在停车中的状态、以及车辆在行驶中的状态的多个状态之中的任一个。并且，在图34中，以“*”示出发送目的地ip地址。该“*”，与各种ip地址对应。

并且，在图34的例子的rtt白名单中，若发送源是ecu300a，车辆在停车中，则与发送目的地无关，而将rtt限制为32[msec]。并且，若发送源是ecu300a，车辆在行驶中，则与发送目的地无关，而将rtt限制为2[msec]。

[4.3rtt白名单的判断序列]

图35是示出本实施方式的由ethernet开关1140a的利用rtt白名单的消息的判断序列的一个例子的图。而且，对于与图22或图30同样的处理，赋予同一符号，省略其说明。

在s2405中，ethernet开关1140a，按照车辆的状态，对从接收的消息获得的rtt的值、与rtt白名单进行对照。而且，ethernet开关1140a，检查从接收的消息获得的rtt的值是否是，与发送源ip地址、发送目的地ip地址以及车辆的状态对应的rtt白名单的范围内的值。

也就是说，ethernet开关1140a，判断从接收的消息获得的rtt的值，是否符合rtt白名单。在获得的rtt的值是rtt白名单的范围内的值的情况下(“是”的情况下)，ethernet开关1140a，执行步骤s1107的处理。在获得的rtt的值不是rtt白名单的范围内的值的情况下(“否”的情况下)，ethernet开关1140a，执行步骤s1006的处理。

(实施方式4的效果)

在本实施方式中，根据基于ip地址的rtt白名单，越出与车辆的对应的通信范围的消息由ethernet开关废弃。

(其他变形例)

对于通信装置的形态，根据所述多个实施方式以及多个变形例进行了说明，但是，通信装置的形态，不仅限于所述多个实施方式以及多个变形例。通信装置的形态也可以是，如下形态。

(1)在所述多个实施方式以及多个变形例中，示出ethernet开关，但是，ethernet开关是通信装置的例子，通信装置也可以是中继消息的任何装置。例如，也可以是cgw、配置在各个域的域控制器、或controllerareanetwork与ethernet之间的转换装置等。并且，通信装置也可以是，不中继消息，而判断消息的正当性的装置。

(2)在所述多个实施方式以及多个变形例中，ethernet开关，保持白名单，传输符合白名单的消息，废弃不符合白名单的消息。但是，ethernet开关也可以，保持黑名单，传输不符合黑名单的消息，废弃符合黑名单的消息。并且，ethernet开关也可以保持，白名单以及黑名单的双方。

(3)在所述多个实施方式以及多个变形例中，ethernet开关，保持白名单，废弃不符合白名单的消息。但是，ethernet开关也可以，在消息不符合白名单的情况下，传输消息，并且，将不符合的结果作为日志保存。对于保存日志的处理，也可以由错误消息发送部进行，也可以由传输处理部进行。并且，日志，也可以由未图示出的日志保持部保存。

并且，ethernet开关也可以，在消息不符合白名单的情况下，向发送目的地传输消息，并且，利用icmp，向发送源通知与判断结果对应的消息。对于该通知，也可以经由通信部，由错误消息发送部进行，也可以由传输处理部进行。

并且，ethernet开关也可以，以按消息的每个类别切换动作的方式，在列表保持类别以及对应动作的项目。例如，ethernet开关也可以，不废弃特定的类别的消息，而将判断结果总是作为日志保存。或者，ethernet开关也可以，不废弃特定的类别的消息，而仅在判断结果为ng时将判断结果作为日志保存。也可以代替消息的类别，而利用消息的发送源或发送目的地。

(4)在实施方式1的变形例2、以及实施方式2的变形例中，作为动态的环境的一个例子说明了dhcp环境。但是，ethernet开关也可以，不仅限于dhcp的环境，而在与按每个服务改变通信目的地的some/ip对应的环境下，每当决定基于服务发现的协议的通信关系时，利用icmp等，更新ttl白名单或rtt白名单。

也就是说，不仅限于dhcp，也可以根据some/ip，变更发送源的ip地址、或发送目的地的ip地址。而且，也可以随着发送源的ip地址、或发送目的地的ip地址的变更，变更ttl白名单或rtt白名单。

(5)在实施方式1的变形例3中，ethernet开关具有，与mac地址对应的白名单。但是，ethernet开关也可以具有，与ip地址对对应的白名单。

并且，在实施方式1的变形例3中，在消息的ttl不符合白名单的情况下，ethernet开关利用白名单的值更新消息。但是，更新的形态，不仅限于实施方式1的变形例3所示的例子。例如，ethernet开关也可以，仅将符合按每个ecu预先设定的特定的值的消息，利用白名单的值更新消息。并且，ethernet开关也可以，将按每个ecu预先设定的特定的值另外保持在白名单。

(6)在所述多个实施方式以及多个变形例中，车载网络是ethernet的网络，但是，车载网络不仅限于ethernet的网络。车载网络，也可以是can、can－fd、lin、或flexray，也可以是组合它们的全部或一部分的网络。并且，也可以利用符合与ethernet对应的ieee802.3标准等的有线lan。

并且，在所述多个实施方式以及多个变形例中，说明了搭载在汽车的车载网络的网络安全对策。本公开的网络安全对策的适用范围，不仅限于搭载在汽车的车载网络。本公开网络的安全对策，也可以适用于搭载在建机、农机、船舶、铁路、或飞机等的移动体网络。也就是说，在移动体网络以及移动体网络系统中，能够适用本公开的网络安全对策。

(7)所述多个实施方式以及多个变形例的各个装置是，具体而言，具备微处理机、rom、ram、硬盘单元、显示器单元、键盘以及鼠标等的计算机系统。在ram或硬盘单元，记录有计算机程序。微处理机，根据计算机程序工作，据此，各个装置，实现其功能。在此，计算机程序，由用于实现规定的功能的、示出对计算机的指令的命令代码的多个组合构成。

(8)所述多个实施方式以及多个变形例中的构成各个装置的构成要素是，例如，电路。多个构成要素，也可以以全体与一个电路对应，也可以分别与不同多个电路对应。并且，这些电路，也可以与用于进行规定的工作的专用的硬件对应，也可以与执行用于进行规定的工作的计算机程序等的通用的硬件对应。

并且，保持信息的构成要素也可以是存储器，处理信息的构成要素也可以是处理器。

(9)所述多个实施方式以及多个变形例中的构成各个装置的构成要素的一部分或全部，也可以由一个系统lsi(largescaleintegration：大规模集成电路)构成。系统lsi是，将多个构成部集成在一个芯片而制造的超多功能lsi，具体而言，与构成为包括微处理机、rom、以及ram等的计算机系统对应。在ram，记录有计算机程序。微处理机，根据计算机程序进行工作，据此，系统lsi，实现其功能。

并且，构成所述各个装置的构成要素的各个部，也可以分别以单片化，也可以以包括一部分或全部的方式单片化。

并且，在此，设为系统lsi，但是，根据集成度的不同，会有称为ic、lsi、超级lsi或特大lsi的情况。并且，集成电路，不仅限于lsi，也可以由专用电路或通用处理器实现。并且，也可以利用在制造lsi后能够编程的fpga(fieldprogrammablegatearray)、或能够重构lsi内部的电路单元的连接以及设定的可重构处理器。

进而，若因半导体技术的进步或派生的其他的技术而出现代替lsi的集成电路的技术，则当然可以利用该技术进行功能块的集成化。存在生物技术的适用等的可能性。

(10)构成所述各个装置的构成要素的一部分或全部，也可以由相对于各个装置能够装卸的ic卡或单体的模块构成。ic卡或模块，用于具备微处理机、rom以及ram等的计算机系统。ic卡或模块也可以包括所述超多功能lsi。微处理机，根据计算机程序进行工作，从而ic卡或模块能够实现其功能。该ic卡或该模块也可以具有，防篡改性。

(11)本公开，也可以用作所述多个实施方式以及多个变形例中示出的方法。并且，本公开，也可以作为用于这些方法由计算机执行的计算机程序利用，也可以作为由计算机程序构成的数字信号利用。

并且，本公开，也可以用于记录有计算机程序或数字信号的计算机可读取的记录介质，例如软盘、硬盘、cd－rom、mo、dvd、dvd－rom、dvd－ram、bd(blu－ray(注册商标)disc)、或半导体存储器等。并且，本公开，也可以用于这些记录介质所记录的计算机程序或数字信号。

并且，计算机程序或数字信号，也可以经由电通信线路、无线或有线通信线路、以互联网为代表的网络、或数据广播等传输。

并且，在具备微处理机以及存储器的计算机系统中也可以，存储器记录有计算机程序，微处理机，根据计算机程序工作。

并且，也可以是，计算机程序或数字信号，由记录介质记录并传输，或者，经由网络等传输，从而用于独立的其他的计算机系统。

(12)也可以组合所述多个实施方式以及所述多个变形例的一部分或全体。例如，也可以将特定的实施方式的变形例，适用于其他的实施方式。

(总括)

以下，示出所述多个实施方式以及所述多个变形例等所示的基本的结构以及具有代表性的变形例等。它们，也可以将一部分或全体相互组合，也可以与所述实施方式等的一部分组合。并且，以下不示出的构成要素也可以，不被安装。

(1)例如，本公开的实施方案之一的通信装置(100a，100b，110a，120a，130a，140a，140b，1110a，1120a，1140a)，与移动体网络连接。移动体网络是，搭载在移动体的网络，也是多个电子控制装置用于通信的网络。

通信装置(100a，100b，110a，120a，130a，140a，140b，1110a，1120a，1140a)具备，保持部(105，115，125，145，1115，1125，1145)、接收部(101，121，1111，1121)、以及判断部(104，114，134，144，1114，1144)。

保持部(105，115，125，145，1115，1125，1145)，保持示出针对移动体网络上的消息决定的能够传输的路径范围的范围信息。接收部(101，121，1111，1121)，接收移动体网络上的消息。判断部(104，114，134，144，1114，1144)，利用范围信息，判断接收的消息的正当性。

据此，通信装置(100a，100b，110a，120a，130a，140a，140b，1110a，1120a，1140a)，能够抑制移动体网络上的消息超过估计的范围传输，能够抑制数据的流出。

(2)例如，在所述通信装置(100a，100b，110a，120a，130a，140a，140b)中，范围信息，示出ttl(timetolive)的范围，以作为能够传输的路径范围。而且，判断部(104，114，134，144)，根据接收的消息中包括的ttl的值、与范围信息所示的ttl的范围的比较，判断接收的消息的正当性。

据此，通信装置(100a，100b，110a，120a，130a，140a，140b)能够，根据在消息是否适当地设定ttl的值，判断消息的正当性。因此，通信装置(100a，100b，110a，120a，130a，140a，140b)，能够抑制消息超过估计的范围传输，能够抑制数据的流出。

(3)例如，在所述的通信装置(1110a，1120a，1140a)中，范围信息，示出rtt(roundtriptime)的范围，以作为能够传输的路径范围。而且，判断部(1114，1144)，根据利用接收的消息中包括的信息导出的rtt的值、与范围信息所示的rtt的范围的比较，判断接收的消息的正当性。

据此，通信装置(1110a，1120a，1140a)能够，根据针对消息的rtt的值是否是适当的范围，判断消息的正当性。因此，通信装置(1110a，1120a，1140a)，能够抑制消息超过估计的范围传输，能够抑制数据的流出。

(4)例如，在所述通信装置(100a，100b，110a，120a，130a，140a，140b，1110a，1120a，1140a)中，范围信息示出，按照发送源或发送目的地决定的能够传输的路径范围。据此，通信装置(100a，100b，110a，120a，130a，140a，140b，1110a，1120a，1140a)能够，利用示出按照发送源或发送目的地决定的能够传输的路径范围的范围信息，适当地判断消息的正当性。

(5)例如，在所述通信装置(100a，100b，140a，140b)中，范围信息示出，按照发送源的mac地址或者发送目的地的mac地址决定的能够传输的路径范围。据此，通信装置(100a，100b，140a，140b)，例如，即使在利用mac地址传输消息的l2开关的情况下，也能够利用示出按照mac地址决定的能够传输的路径范围的范围信息，适当地判断消息的正当性。

(6)例如，在所述通信装置(110a，120a，130a，1110a，1120a，1140a)中，范围信息示出，按照发送源的ip地址或者发送目的地的ip地址决定的能够传输的路径范围。据此，通信装置(110a，120a，130a，1110a，1120a，1140a)，例如，即使在利用ip地址传输消息的l3开关的情况下，也能够利用示出按照ip地址决定的能够传输的路径范围的范围信息，适当地判断消息的正当性。

(7)例如，在所述通信装置(140a，140b，1140a)中，范围信息示出，按照移动体的状态决定的能够传输的路径范围。据此，通信装置(140a，140b，1140a)，即使在按照移动体的状态的变化发生能够传输的路径范围的变化的情况下，也能够利用示出按照移动体的状态决定的能够传输的路径范围的范围信息，适当地判断消息的正当性。

(8)例如，在所述通信装置(140a，140b，1140a)中，移动体的状态是，与移动体正在移动还是停止有关的状态。据此，通信装置(140a，140b，1140a)，即使在移动中的能够传输的路径范围与停止中的能够传输的路径范围不同的情况下，也能够利用示出按照各个状态决定的能够传输的路径范围的范围信息，适当地判断消息的正当性。

(9)例如，在所述通信装置(100a，100b，110a，130a，140a，140b，1110a，1140a)中，范围信息，示出预先静态地决定的固定的范围，以作为能够传输的路径范围。据此，通信装置(100a，100b，110a，130a，140a，140b，1110a，1140a)能够，例如在静态的环境下，利用静态地决定的范围信息，适当地判断消息的正当性。

(10)例如，所述通信装置(120a，1120a)还具备，更新部(127，1127)。更新部(127，1127)，按照多个电子控制装置的更新，动态地更新范围信息。

据此，通信装置(120a，1120a)，例如，能够随着与电子控制装置的追加或删除对应的物理变更等，更新范围信息，能够利用更新后的范围信息，适当地判断消息的正当性。也就是说，通信装置(120a，1120a)，能够利用更灵活地决定的范围信息，适当地判断消息的正当性。

(11)例如，在所述通信装置(120a，1120a)中，更新部(127，1127)，按照多个电子控制装置的属性信息的更新，动态地更新范围信息。

据此，通信装置(120a，1120a)，例如，即使在动态地更新与电子控制装置的ip地址等对应的属性信息的环境下，也能够利用动态地决定的范围信息，适当地判断消息的正当性。

(12)例如，在所述通信装置(120a，1120a)中，利用some/ip(scalableservice－orientedmiddlewareoverip)协议更新属性信息。

据此，通信装置(120a，1120a)，即使在因基于some/ip的固件的更新等而动态地变更电子控制装置的属性信息的环境下，也能够利用动态地决定的范围信息，适当地判断消息的正当性。

(13)例如，通信装置(100a，100b，110a，120a，130a，140a，140b，1110a，1120a，1140a)还具备处理部(102，106，132)。处理部(102，106，132)，根据接收的消息的正当性的判断结果，执行规定的动作。

据此，通信装置(100a，100b，110a，120a，130a，140a，140b，1110a，1120a，1140a)，能够根据判断结果，执行适当的处理，能够提高移动体网络的系统全体的安全性。

(14)例如，在所述通信装置(100a，100b，110a，120a，140a，140b，1110a，1120a，1140a)中，处理部(102)，根据判断结果，对接收的消息的传输可否进行控制。

据此，通信装置(100a，100b，110a，120a，140a，140b，1110a，1120a，1140a)，能够适当地控制消息的传输可否，能够提高移动体网络的系统全体的安全性。

(15)例如，在通信装置(100a，100b，110a，120a，130a，140a，140b，1110a，1120a，1140a)中，处理部(102，106，132)记录判断结果。

据此，通信装置(100a，100b，110a，120a，130a，140a，140b，1110a，1120a，1140a)，以后能够进行判断结果的分析。而且，通信装置(100a，100b，110a，120a，130a，140a，140b，1110a，1120a，1140a)，能够适当地更新范围信息所示的能够传输的路径范围。

(16)例如，在通信装置(100a，100b，110a，120a，130a，140a，140b，1110a，1120a，1140a)中，处理部(102，106，132)，向接收的消息的发送源，通知判断结果。据此，通信装置(100a，100b，110a，120a，130a，140a，140b，1110a，1120a，1140a)能够，以发送适当的消息的方式引导发送源。

(17)例如，通信装置(130a)还具备处理部(132)。处理部(132)，在判断为接收的消息不正当的情况下，将接收的消息中包括的ttl的值更新为范围信息所示的ttl的范围内，从而更新接收的消息，传输更新后的消息。据此，在发送源难以在消息设定适当的ttl的值的环境下，通信装置(130a)能够在消息设定适当的ttl的值。

(18)例如，本公开的实施方案之一的通信方法是，移动体网络上的通信方法。移动体网络是，搭载在移动体的网络，也是多个电子控制装置用于通信的网络。

通信方法包括，接收步骤(s1001)、以及判断步骤(s1005，s1105，s1405，s1505，s2005，s2405)。在接收步骤(s1001)中，接收移动体网络上的消息。在判断步骤(s1005，s1105，s1405，s1505，s2005，s2405)中，利用示出针对移动体网络上的消息决定的能够传输的路径范围的范围信息，判断接收的消息的正当性。

据此，能够抑制移动体网络上的消息超过估计的范围传输。因此，能够抑制数据的流出。

(19)例如，本公开的实施方案之一涉及的通信系统(10，40)是，移动体网络的通信系统(10，40)。移动体网络是，搭载在移动体的网络，也是多个电子控制装置用于通信的网络。通信系统(10，40)具备，保持部(105，115，125，145，1115，1125，1145)、接收部(101，121，1111，1121)、以及判断部(104，114，134，144，1114，1144)。

保持部(105，115，125，145，1115，1125，1145)，保持示出针对移动体网络上的消息决定的能够传输的路径范围的范围信息。接收部(101，121，1111，1121)，接收移动体网络上的消息。判断部(104，114，134，144，1114，1144)，利用范围信息，判断接收的消息的正当性。

据此，通信系统(10，40)，能够抑制移动体网络上的消息超过估计的范围传输，能够抑制数据的流出。

(20)例如，所述通信装置(100a，100b，110a，120a，130a，140a，140b，1110a，1120a，1140a)，与ethernet开关100a，100b，110a，120a，130a，140a，140b，1110a，1120a和1140a等对应。所述通信系统(10，40)，与车载网络系统10以及40等对应。

所述保持部(105，115，125，145，1115，1125，1145)，与白名单保持部105，115，125，145，1115，1125以及1145等对应。所述接收部(101，121，1111，1121)，与通信部101，121，1111以及1121等对应。所述判断部(104，114，134，144，1114，1144)，与白名单判断部104，114，134，144，1114以及1144等对应。所述更新部(127，1127)，与白名单制作部127以及1127等对应。所述处理部(102，106，132)，与传输处理部102以及132、和错误消息发送部106等对应。

工业实用性

本公开的实施方案之一涉及的通信装置等，能够作为判断移动体网络上的消息的正当性的通信装置等利用，能够适用于利用移动体网络的各种系统。

符号说明

10、40车载网络系统

100a、100b、110a、120a、130a、140a、140b、1110a、1120a、1140aethernet开关

101、121、201、301、401、1111、1121通信部

102、132、402传输处理部

103、113、123、403传输表保持部

104、114、134、144、1114、1144白名单判断部

105、115、125、145、1115、1125、1145白名单保持部

106、404错误消息发送部

127、1127白名单制作部

200ivi

202、302、502消息处理部

203显示部

204操作部

300a、300b、300c、300d、300eecu

303传感器通信部

310前方距离传感器

320前方照相机

330adas

340后方距离传感器

350后方照相机

360低功率gps

400cgw

500tcu

501车内通信部

503车外通信部

600基站

1108rtt获得部