电子控制装置、通信管理方法和非暂态存储介质与流程

本发明涉及电子控制装置、通信管理方法和存储程序的非暂态存储介质。

背景技术：

已知一种限制使用连接至安装在诸如汽车的车辆上的车载网络中的车载网络的外部设备的通信的技术。

例如，已知一种系统，其包括中继外部设备与车载局域网(lan)之间的通信的中继装置，并且控制该中继装置使得仅当认证系统认证外部设备时才允许外部设备与车载lan之间的通信(例如，参见wo2013/038478)。

已知一种技术，当在具有识别码的消息在多个模块之间通信的网络中检测到包括预先存储的识别码的通信帧时向网络输出错误码(例如，参见日本未审查专利申请公开第2002-94535号(jp2002-94535a))。

技术实现要素：

在wo2013/038478中公开的技术中，由于中继装置允许与外部设备的通信，因此存在难以限制在不使用中继装置的通信路径上的外部设备的通信的问题。在上述系统中，例如，在未授权外部设备直接连接至除中继装置之外的车载lan的情况下，可能难以限制使用未授权的外部设备的通信。

同时，在jp2002-94535a中公开的技术中，由于对于包括预先存储的识别码的通信帧输出错误码，因此可以限制即使在不使用中继装置的通信路径上使用通过使用该识别码执行的未授权外部设备的通信。然而，在上述方法中，使用通过使用识别码执行通信的授权外部设备的通信也受到限制。

本发明的实施方式可以允许使用授权的外部设备进行通信，同时甚至限制即使在车载网络中不使用中继装置的通信路径上使用未授权外部设备的通信。

本发明的第一方面提供了一种电子控制装置，其连接至车载网络并且被配置成限制车载网络中的预定通信。电子控制装置包括：钥匙连接单元，其被配置成接受钥匙装置的连接；钥匙验证单元，其被配置成验证连接至钥匙连接单元的钥匙装置；以及功能控制器，其被配置成当使用钥匙验证单元的钥匙装置的验证成功时允许车载网络中的预定通信。

根据第一方面，电子控制装置接受钥匙装置的连接，并且当钥匙装置的验证成功时允许车载网络中的预定通信。因此，电子控制装置可以允许使用具有钥匙装置的授权用户的预定通信，同时限制由未授权用户使用连接至车载网络的未授权外部设备的通信。

在根据本发明的第一方面的电子控制装置中，钥匙装置可以被配置成允许使用连接至车载网络的外部设备的通信。

根据上述配置，电子控制装置可以允许由具有钥匙装置的授权用户使用连接至车载网络的授权外部设备的通信。

在根据本发明的第一方面的电子控制装置中，钥匙装置可以被配置成允许使用连接至车载网络的外部设备的通信中与钥匙装置对应的预定通信。

根据上述配置，电子控制装置可以允许由具有钥匙装置的授权用户使用连接至车载网络的授权外部设备的通信中的预定通信。

在根据本发明的第一方面的电子控制装置中，预定通信可以包括xcp通信。

根据上述配置，电子控制装置可以允许由具有钥匙装置的授权用户使用连接至车载网络的授权外部设备的通信中的xcp通信。

根据本发明的第一方面的电子控制装置还可以包括：接收单元，其被配置成接收传输到车载网络的通信帧；以及生成单元，其被配置成当通信帧中包括与预定通信对应的识别码时在通信帧中生成错误。功能控制器可以被配置成当使用钥匙验证单元的钥匙装置的验证成功时，停止使用生成单元的错误的生成。

根据上述配置，电子控制装置可以通过在包括与预定通信对应的识别码的通信帧中生成错误来限制预定通信。电子控制装置可以通过在授权钥匙装置连接时停止在包括与预定通信对应的识别码的通信帧中的错误的生成来取消对预定通信的限制。

根据本发明的第一方面的电子控制装置还可包括：比较单元，其被配置成将由接收单元接收的通信帧中包括的识别码和与预定通信对应的识别码进行比较，并将比较的结果输出至生成单元。功能控制器可以被配置成当使用钥匙验证单元的钥匙装置的验证成功时，禁用使用比较单元的识别码的比较。

根据上述配置，电子控制装置可以通过控制容易地取消对预定通信的限制使得比较单元的功能被启用或禁用。

在根据本发明的第一方面的电子控制装置中，钥匙装置可以包括旁路电路，该旁路电路被配置成旁路使用比较单元的确定，以及功能控制器可以被配置成当使用钥匙验证单元的钥匙装置的验证成功时启用旁路电路。

根据上述配置，电子控制装置可以通过使用逻辑电路来禁用使用比较单元的识别码的比较。

根据本发明的第一方面的电子控制装置还可以包括识别码存储单元，其存储与预定通信对应的识别码。功能控制器可以被配置成当使用钥匙验证单元的钥匙装置的验证成功时，禁用存储在识别码存储单元中的识别码的至少一部分。

根据上述配置，电子控制装置可以允许当连接授权钥匙装置时通过使用存储在识别码存储单元中的识别码的至少一部分执行的预定通信。

本发明的第二方面提供了一种由电子控制装置可执行的通信管理方法，该电子控制装置连接至车载网络并限制车载网络中的预定通信。该通信管理方法包括：当钥匙装置连接至钥匙连接单元时，验证连接至电子控制装置的钥匙连接单元的钥匙装置，以及当连接至钥匙连接单元的钥匙装置的验证成功时允许在车载网络中的预定通信。

本发明的第三方面提供了一种存储由电子控制装置可执行的程序的非暂态存储介质，该电子控制装置连接至车载网络并且被配置成限制车载网络中的预定通信。该程序包括当钥匙装置连接至钥匙连接单元时，验证连接至电子控制装置的钥匙连接单元的钥匙装置的逻辑，以及当连接至钥匙连接单元的钥匙装置的验证成功时允许在车载网络中的预定通信的逻辑。

根据本发明的各方面，可以允许使用授权的外部设备进行通信，同时甚至限制即使在车载网络中不使用中继装置的通信路径上使用未授权外部设备的通信。

附图说明

下面将参照附图对本发明的示例性实施方式的特征、优点以及技术和工业意义进行描述，在附图中，相同的附图标记表示相同的元件，并且在附图中：

图1是示出根据实施方式的车载通信系统的系统配置的示例的图；

图2是示出根据第一实施方式的通信管理装置的硬件配置的示例的图；

图3是示出根据第一实施方式的通信管理装置的功能配置的示例的图；

图4是示出根据第一实施方式的通信管理装置的处理的流程的流程图；

图5a是用于描述根据第一实施方式的识别码的表；

图5b是用于描述根据第一实施方式的识别码的表；

图6是示出根据第二实施方式的通信管理装置和钥匙装置的功能配置的示例的图；

图7是示出根据第二实施方式的通信管理装置的处理的流程的流程图；

图8a是用于描述根据第二实施方式的识别码的表；

图8b是用于描述根据第二实施方式的识别码的表；以及

图8c是用于描述根据第二实施方式的识别码的表。

具体实施方式

在下文中，将参照附图对实施本发明的模式进行描述。

系统配置

图1是示出根据实施方式的车载通信系统的系统配置的示例的图。例如，车载通信系统1安装在诸如汽车的车辆10上。车载通信系统1包括通信管理装置100和连接至车载网络130的一个或更多个电子控制单元(ecu)120-1至120-3。在以下描述中，一个或更多个ecu120-1至120-3中的任意ecu由“ecu120”表示。图1中所示的ecu120的数目是示例，并且ecu120的数目可以是其他数目。

例如，ecu120安装在车辆10上，并且是控制预定功能的电子控制装置诸如车辆控制系统、车身系统或多媒体系统。例如，ecu120包括中央处理单元(cpu)、随机存取存储器(ram)、闪存只读存储器(rom)和通信接口，并且通过执行预定程序来控制预定功能。例如，ecu120能够通过使用诸如控制器区域网络(can)或通用校准协议(xcp)的预定通信协议与连接至车载网络130的其他设备通信。

例如，ecu120用作xcp的从设备(以下称为“xcp从设备”)，并且能够与诸如连接至车载网络130的外部工具140的xcp的主设备(以下称为xcp主设备)执行xcp通信。外部工具140是外部设备的示例。

xcp是用于访问安装在车辆10上的一个或更多个ecu120以通过使用连接至车载网络130的外部工具140执行测量或校准的测量和校准协议的示例。在xcp中，采用主/从通信方法。以xcp主设备传输命令并且接收命令的xcp从设备传输对命令的响应的方式执行通信。

在车载网络130中，xcp可以使用能够区分从xcp主设备到xcp从设备的传输以及从xcp从设备到xcp主设备的传输的各种通信系统。例如，在can中，能够通过分配指示从xcp主设备到xcp从设备的传输的canid和指示从xcp从设备到xcp主设备的传输的canid来执行xcp通信。

例如，ecu120可以通过使用用于诸如can的车载网络的通信协议与其他ecu通信。ecu120可以通过使用除can之外的通信协议与其他ecu通信。

通信管理装置(电子控制装置)100是连接至车载网络130并限制车载网络130中的预定通信的电子控制装置。例如，通信管理装置100具有使用连接至车载网络130的未授权外部工具140来限制通信的功能。

例如，当在车载网络130中检测到包括指示从xcp主设备到xcp从设备的传输的canid的通信帧时，通信管理装置100在通信帧内生成错误帧。如上所述，通信管理装置100可以使用xcp协议限制连接至车载网络130的未授权外部工具140与ecu120的通信。

然而，在上述情况下，即使当通过使用xcp协议执行通信的授权外部工具140连接至车载网络130时，也存在通信受限的问题。

根据本实施方式的通信管理装置100具有接受钥匙装置110的连接的钥匙连接单元其并且当授权用户的钥匙装置110连接至钥匙连接单元时允许车载网络130中的预定通信(例如，xcp通信)。如上所述，当具有钥匙装置110的授权用户将授权外部工具140连接至车载网络130时，通信管理装置100可以允许通信，同时保持由未授权用户对连接至车载网络130的未授权外部工具140的通信的限制。

如上所述，根据本实施方式的钥匙装置110具有允许使用连接至车载网络130的外部工具140进行通信的功能。钥匙装置110可以具有允许使用连接至车载网络130的外部工具140通信中对应于钥匙装置110的预定通信(例如，xcp通信)的功能。例如，钥匙装置110可以是存储预定信息的电子钥匙，或者可以是基于物理形状解锁车门的钥匙。在下文中，将描述钥匙装置110是存储预定信息的电子钥匙的示例。

第一实施方式

硬件配置

将描述根据第一实施方式的通信管理装置100的硬件配置。图2是示出根据第一实施方式的通信管理装置的硬件配置的示例的图。例如，通信管理装置100包括cpu201、ram202、闪存rom203、连接端子204、通信i/f205、逻辑电路206和系统总线207。

cpu201是通过将存储在闪存rom203中的程序或数据读取到ram202中并执行处理来实现通信管理装置100的功能的算术操作装置。ram202是用作cpu201的工作区域的易失性存储器。例如，闪存rom203是存储操作系统(os)、程序和各种数据项的非易失性存储器。

连接端子204是用于将钥匙装置110连接至通信管理装置100的接口。例如，当钥匙装置110是存储认证信息的存储装置时，连接端子204是用于将钥匙装置110电连接至通信管理装置100的连接器。当钥匙装置110是基于物理形状解锁车门的钥匙时，连接端子204具有与钥匙装置110的形状对应的结构。

例如，通信接口205(下文中，称为通信i/f205)是诸如can收发器的通信接口，其将通信管理装置100连接至车载网络130。

逻辑电路206是用于实现由通信管理装置100实现的功能的至少一部分的逻辑电路，并且由例如专用集成电路或可编程集成电路实现。由通信管理装置100实现的功能可以由cpu201执行的程序实现，或者可以由逻辑电路206实现。系统总线207与上述组件共同连接，并转移地址信号、数据信号和各种控制信号。

功能配置

将描述通信管理装置100的功能配置。图3是示出根据第一实施方式的通信管理装置的功能配置的示例的图。

例如，通信管理装置100包括识别码存储单元301、识别码检测单元302、比较单元303、错误帧生成单元304、通信单元305、钥匙连接单元306、钥匙验证单元307和功能控制器308。

例如，识别码存储单元(存储单元)301由包括在图2的闪存rom203或逻辑电路206中的寄存器实现，并且存储与由通信管理装置100限制的预定通信对应的识别码。例如，当通信管理装置100限制xcp通信时，识别码存储单元301存储如上所述指示从xcp主设备到xcp从设备的传输的识别码。

例如，识别码检测单元302由通过图2的cpu201执行的程序或逻辑电路206实现并且检测在由通信单元305接收的通信帧中包括的识别码。例如，当通信单元305是can收发器时，识别码检测单元302检测通信帧中包括的canid。

例如，比较单元303由通过图2的cpu201执行的程序或逻辑电路206实现。比较单元303将由识别码检测单元302检测到的识别码与存储在识别码存储单元301中的识别码进行比较，并将比较结果输出到错误帧生成单元304。

此处，由比较单元303输出的比较结果指示两个识别码彼此匹配的情况意味着在由通信单元305接收的通信帧中包括与预定通信对应的识别码。同时，由比较单元303输出的比较结果指示两个识别码彼此不匹配的情况意味着在由通信单元305接收的通信帧中不包括与预定通信对应的识别码。

例如，错误帧生成单元304由图2的cpu201执行的程序或逻辑电路206实现。当从比较单元303输出的比较结果指示在由通信单元305接收的通信帧中包括与预定通信对应的识别码时，错误帧生成单元304在通信帧中生成错误。例如，当通信单元305是can收发器时，错误帧生成单元304传输在通信帧内包括构成6位域的错误标志的错误帧。

同时，当从比较单元303输出的比较结果指示在由通信单元305接收的通信帧中不包括与预定通信对应的识别码时，错误帧生成单元304在通信帧中不生成错误。

例如，通信单元(接收单元)305由图2所示的cpu201执行的程序和通信i/f205实现并且执行诸如can通信或xcp通信的预定通信。例如，通信单元305用作接收传输到车载网络130的通信帧的接收单元。

例如，钥匙连接单元306由图2的连接端子204实现并且接收钥匙装置110与通信管理装置100的连接。

例如，钥匙验证单元307由通过图2的cpu201执行的程序或逻辑单元206实现并且验证当钥匙装置110连接至钥匙连接单元306时连接至钥匙连接单元306的钥匙装置110是否是授权钥匙装置110。

例如，当钥匙装置110是包括存储认证信息的认证信息存储单元311的电子钥匙时，钥匙验证单元307从钥匙装置110获得存储在认证信息存储单元311中的认证信息，如图3所示。

当经注册的钥匙装置110的认证信息预先存储在闪存rom203中并且从钥匙装置110获得的认证信息作为认证信息存储在闪存rom203中时，使用钥匙验证单元307的钥匙装置110的验证成功。同时，当从钥匙装置110获得的认证信息没有作为认证信息存储在闪存rom203中时，使用钥匙验证单元307的钥匙装置110的验证失败。

作为另一示例，当钥匙装置110是通过使用物理形状解锁车门的钥匙时，钥匙验证单元307可以根据使用钥匙装置110的解锁是成功还是失败来验证钥匙装置110。

例如，功能控制器308通过由图2的cpu201执行的程序或逻辑电路206实现并且当使用钥匙验证单元307的钥匙装置110的验证成功时，允许由通信管理装置100限制的预定通信。例如，当使用钥匙验证单元307的钥匙装置110的验证成功时，功能控制器308停止使用错误帧生成单元304生成错误。

例如，作为停止使用错误帧生成单元304生成错误的方法，功能控制器308可以禁用使用比较单元303的识别码的比较。作为停止使用错误帧生成单元304生成错误的方法，功能控制器308可以禁用存储在识别码存储单元301中的识别码。在这种情况下，功能控制器308可以禁用存储在识别码存储单元中的识别码中的至少一个识别码。

处理流程

将参照图4至图5b描述由根据第一实施方式的通信管理装置100执行的通信管理方法的流程。

例如，假设根据通信目的，由ecu120和外部工具140传输的通信帧中包括不同的识别码，如图5a中的表510所示。

例如，当ecu120传输用于制动控制的通信帧时，在要传输的通信帧中包括识别码“0x10”。当ecu120传输用于悬挂控制的通信帧时，在要传输的通信帧中包括识别码“0x20”。当外部工具140传输用于xcp的通信帧时，在要传输的通信帧中包括识别码“0x30”。

如图5b所示，假设通信帧520在数据522之前具有识别码521。

假设通信管理装置100限制通过使用包括标识码“0x30”的通信帧执行的xcp通信。例如，当如图5b所示的通信帧520一样识别码521包括“0x30”时，通信管理装置100通过在数据522内传输错误帧来生成通信帧中的错误。

图4是示出根据第一实施方式的通信管理装置的处理的流程的流程图。

在步骤s401中，当通信管理装置100的通信单元305接收到传输到车载网络130的通信帧时，通信管理装置100执行步骤s402和后续步骤中的处理。

在步骤s402中，通信管理装置100的钥匙验证单元307确定钥匙装置110是否连接至钥匙连接单元306。当连接钥匙装置110时，通信管理装置100将处理移至步骤s403。同时，当未连接钥匙装置110时，通信管理装置100将处理移至步骤s404。

当处理从步骤s402移动到步骤s403时，通信管理装置100的钥匙验证单元307验证连接至钥匙连接单元306的钥匙装置110。例如，钥匙验证单元307从连接至钥匙连接单元306的钥匙装置110读取存储在认证信息存储单元311中的认证信息，并且验证当预先存储的经注册的钥匙装置110的认证信息中包括所读取的认证信息时，将钥匙装置110验证为成功。

当钥匙装置110的验证成功时，通信管理装置100将处理移动到步骤s406。同时，当钥匙装置110的验证不成功时，通信管理装置100将处理移动到步骤s404。

当处理移至步骤s404时，通信管理装置100的比较单元303将由识别码检测单元302从由通信单元305接收到的通信帧中检测到的识别码与存储在识别码存储单元301中的识别码进行比较。

当由识别码检测单元302检测到的识别码与存储在识别码存储单元301中的识别码彼此匹配时，即，当接收到的通信帧包括预定识别码“0x30”时，通信管理装置100将处理移至步骤s405。同时，当由识别码检测单元302检测到的识别码与存储在识别码存储单元301中的识别码彼此不匹配时，即，当接收到的通信帧不包括预定识别码“0x30”时，通信管理装置100结束处理。

当处理移至步骤s405时，通信管理装置100的错误帧生成单元304通过在由通信单元305接收的通信帧中传输错误帧来在通信帧中生成错误。

同时，当处理从步骤s403移动到步骤s406时，通信管理装置100的功能控制器308禁用存储在识别码存储单元301中的识别码，或者禁用使用比较单元303的识别码的比较。如上所述，通信管理装置100停止用于生成在步骤s404和s405中表示的错误帧的处理。

通过上述处理，当钥匙装置110未连接至通信管理装置100并且钥匙装置110的验证不成功时，通信管理装置100在包括预定识别码的通信帧中生成错误码。如上所述，当没有授权钥匙装置110的未授权用户将外部工具140连接至车载网络130时，通信管理装置100可以限制使用外部工具140的预定通信(例如，xcp通信)。

同时，当钥匙装置110连接至通信管理装置100并且钥匙装置110的验证成功时，通信管理装置100在包括预定识别码的通信帧中不生成错误。如上所述，当具有授权钥匙装置110的授权用户将钥匙装置110连接至通信管理装置100时，通信管理装置100可以取消使用外部工具140的预定通信的限制。

第二实施方式

在第二实施方式中，将描述适合于通信管理装置100由逻辑电路构成的情况的实施方式。

硬件配置

例如，根据第二实施方式的通信管理装置100可以不包括在图2所示的根据第一实施方式的通信管理装置100的硬件配置中的cpu201、ram202和闪存rom203。例如，在第二实施方式中，图6所示的通信管理装置100的功能配置主要由逻辑电路206实现。

功能配置

图6是示出根据第二实施方式的通信管理装置和钥匙装置的功能配置的示例的图。

例如，通信管理装置100包括钥匙连接单元610、比较器620、识别码检测器630、错误帧生成器640和通信单元650。

例如，钥匙连接单元610由图2的连接端子204实现并且接受钥匙装置110的连接。

比较器620由例如图2的逻辑电路206实现并且包括例如钥匙验证电路621、识别码比较电路622和切换电路623。钥匙验证电路621和切换电路623可以设置在比较器620的外部。切换电路623可以包括在识别码比较电路622中。

当钥匙装置110连接至钥匙连接单元610时，钥匙验证电路(钥匙验证单元)621验证连接至钥匙连接单元610的钥匙装置110，并将验证结果输出到切换电路623。例如，钥匙验证电路621通过获得钥匙装置110的认证码601并将获得的认证码与预先为钥匙验证电路621设置的验证信息进行比较来验证钥匙装置110。或者，钥匙连接单元610具有用于认证钥匙装置110的多个接触点，并且钥匙验证电路621可以通过对连接至钥匙连接单元610的钥匙装置110的接触点的逻辑值与预设的逻辑值进行比较来验证钥匙装置110。钥匙验证电路621是钥匙验证单元的示例。

识别码比较电路(比较单元)622具有识别码图案作为逻辑电路，并且对于每一位逻辑地比较从识别码检测器630输出的识别码。例如，如上所述，可以通过重写程序来限制识别码被禁用。当所有识别码的位通过逻辑比较匹配时，识别码比较电路622使错误帧发生器640生成错误。识别码比较电路622是比较单元的示例。

当来自钥匙验证电路621的验证结果指示钥匙装置110的验证成功时，切换电路(功能控制器)623禁用使用识别码比较电路622的识别码的比较并且启用钥匙装置110的旁路电路602。如上所述，切换电路623停止使用错误帧生成器640的错误的生成。同时，当来自钥匙验证电路621的验证结果指示钥匙装置110的验证失败时，切换电路623启用使用识别码比较电路622的识别码的比较。切换电路623是功能控制器的示例。

例如，识别码检测器630由图2的逻辑电路206实现。识别码检测器检测在由通信单元650接收的通信帧中包括的识别码，并将对于每一位检测到的识别码输出到比较器620。

例如，错误帧生成器(生成单元)640由图2的逻辑电路206实现并且响应于从识别码比较电路622输出的控制信号在通信帧内生成错误。错误帧生成器640是生成单元的示例。

通信单元(接收单元)650由例如图2的通信i/f205实现并且执行诸如can通信或xcp通信的预定通信。例如，通信单元650用作接收传输到车载网络130的通信帧的接收单元。

利用上述配置，当钥匙装置110未连接至钥匙连接单元610并且钥匙装置110的验证失败时，比较器620启用识别码比较电路622。如上所述，当由通信单元650接收到的通信帧包括预定识别码时，比较器620在错误帧生成器640中生成错误。

同时，当钥匙装置110连接至钥匙连接单元610并且钥匙装置110的验证成功时，比较器620禁用使用识别码比较电路622的识别码的比较，并启用旁路电路602。如上所述，钥匙装置110的旁路电路602用作比较器620的一部分，并且停止使用错误帧生成器640的错误的生成。

例如，钥匙装置110通过使用专用集成电路来实现认证码601和旁路电路602。

认证码601是用于认证钥匙装置110的信息。认证码可以存储在非易失性存储器中，或者可以具有认证码图案作为逻辑电路。

旁路电路602根据切换电路623的控制用作比较器620的一部分，并且通过旁路使用识别码比较电路622的识别码的比较来禁用比较器620的识别码比较电路622的功能。

处理流程

将参照图7至图8c描述使用根据第二实施方式的通信管理装置100的通信管理方法的流程。

图7是示出根据第二实施方式的通信管理装置的处理流程的流程图。与第一实施方案类似，假设根据通信目的，由ecu120和外部工具140传输的通信帧中包括不同的识别码。

在步骤s701中，当通信单元650接收到传输到车载网络130的通信帧时，通信管理装置100执行步骤s702和后续步骤中的处理。

在步骤s702、s703中，当钥匙装置110连接至钥匙连接单元610时，钥匙验证电路621验证连接至钥匙连接单元610的钥匙装置110，并将验证结果输出到切换电路623。切换电路623根据从钥匙验证电路621输出的验证结果对处理进行分支。

例如，当使用钥匙验证电路621的钥匙装置110的验证成功时，切换电路623将处理移至步骤s706。同时，当使用钥匙验证电路621的钥匙装置110的验证不成功时，切换电路623将处理移至步骤s704。

当处理移动至步骤s704时，识别码比较电路622通过对每一位比较由识别码检测器630检测到的识别码，确定预定识别码是否包括在由通信单元650接收的通信帧中。

例如，在由通信单元650接收的通信帧810中包括识别码811和数据812，如图8a所示。在第一实施方式中已经描述了比较单元303确定存在具有整个识别码811作为比较单位的预定识别码。在第二实施方式中，识别码比较电路622确定是否存在具有一位作为比较单位的预定识别码。例如，识别码比较电路622将从识别码检测器630输出的识别码811逐位地与作为逻辑电路的识别码图案进行比较，并确定当所有位匹配时识别码包括在通信帧中。

当在由通信单元650接收的通信帧中包括预定识别码时，在步骤s705中识别码比较电路622将错误帧传输到错误帧生成器640。例如，在图8a中所示的通信帧810的数据812中生成错误并且如上所述通信帧810被禁用。同时，当在由通信单元650接收的通信帧中不包括预定识别码时，通信管理装置100结束处理。

当处理从步骤s703移动到步骤s706时，切换电路623禁用使用识别码比较电路622的识别码的比较，并且启用连接至钥匙连接单元610的钥匙设备110的旁路电路602。例如，切换电路623将从识别码检测器630输出的识别码的输出目的地从识别码比较电路622切换到旁路电路602。

例如，旁路电路602旁路使用识别码比较电路622的识别码的比较，并且如上所述禁用使用识别码比较电路622的识别码的比较。

通过上述处理，当钥匙装置110未连接至通信管理装置100并且类似于第一实施方式的钥匙装置110的验证不成功时，通信管理装置100在包括预定识别码的通信帧中生成错误。如上所述，当没有授权钥匙装置110的未授权用户将外部工具140连接至车载网络130时，通信管理装置100可以限制使用外部工具140的预定通信(例如，xcp通信)。

类似于第一实施方式，当钥匙装置110连接至通信管理装置100并且钥匙装置110的验证成功时，通信管理装置100在包括预定识别码的通信帧中不生成错误。如上所述，当具有授权钥匙装置110的授权用户将钥匙装置110连接至通信管理装置100时，通信管理装置100可以取消使用外部工具140的预定通信的限制。

作为另一示例，在图7的步骤s706中，钥匙装置110的旁路电路602可以禁用识别码比较电路622的功能的一部分。

例如，假设识别码比较电路622具有用于第一通信协议的识别码“0x30”的模式和用于第二通信协议的识别码“0x31”的模式，其在图8b中作为逻辑电路被示出。

同时，旁路电路602具有用于第二通信协议的识别码“0x31”的模式作为逻辑电路，并且对于每一位逻辑地比较从识别码检测器630输出的识别码，如图8b中的表820或在图8c中的表830所示。当识别码的所有位通过逻辑比较匹配时，旁路电路602在错误帧发生器640中生成错误。

如上所述，钥匙装置110连接至通信管理装置100，因此，可以仅允许在由通信管理装置100限制的多个通信协议中使用预定通信协议的通信。

根据本发明的前述实施方式，可以允许使用授权外部设备的通信，同时限制即使在车载网络130中不使用中继装置的通信路径上使用未授权外部工具140的通信。

尽管已经描述了本发明的实施方式，但是本发明不限于前述实施方式，并且可以在不脱离权利要求中描述的本发明的主旨的情况下以各种方式进行修改和改变。