JP2005343430A - 車両制御システム - Google Patents

Abstract

【課題】 車載ＬＡＮに不正な機器を接続することで可能となる車両の盗難を防止する。
【解決手段】 携帯機２０から送信されてくるコマンドを車載ＬＡＮ３に転送する認証ＥＣＵ１５を、そのコマンドに従って車両の使用に不可欠な制御を実行する特定ＥＣＵ１１，１３が接続された車載ＬＡＮ３ａ，３ｂとは、異なる車載ＬＡＮ３ｄに接続する。認証ＥＣＵ１５は、携帯機２０からのコマンドに付加された第１識別コードを照合し、正規のユーザであることを確認すると、予め記憶されている第２識別コードを特定コードとして、その特定コードを暗号化してなる暗号コードを付加したコマンドを、車載ＬＡＮ３ｄに送出する。車載ＬＡＮ３ａ〜３ｄ間の通信を仲介するゲートウェイＥＣＵ５は、特定コードを照合し、正規の機器（ユーザ）からのコマンドであることが確認された場合に限り、そのコマンドを特定ＥＣＵ１１，１３が接続された車載ＬＡＮ３ａ，３ｂに転送する。
【選択図】 図１

Description

本発明は、盗難防止機能を有する車両制御システムに関する。

従来より、車両の盗難を防止するために、ユーザが所持する携帯機の情報（ＩＤコード等）を無線通信によって取得し、その取得した情報に基づいて携帯機の保持者が正規のユーザであるか否かを判断し、正規のユーザであることが確認された場合に限り、ドアの解錠やエンジンの始動を可能とする、いわゆるイモビライザーとしての機能を有した車両制御システムが知られている（例えば、特許文献１参照。）。

このような車両制御システムは、携帯機から送られてくる情報を照合する認証ＥＣＵ、ドアの施錠，解錠を行うドアロックＥＣＵ、エンジンを始動させるエンジンＥＣＵを少なくとも備えており、これら各ＥＣＵは、いずれもが車両内に構築されたローカルエリアネットワーク（車載ＬＡＮ）に接続され、互いに連動して所定制御（ドアの施錠・解錠やエンジンの始動）を実行するように構成されている。

そして、具体的な手順としては、以下に示す二種類のものが主として用いられている。
即ち、図７（ａ）に示すように、携帯機がＩＤコードを付加したコマンドを送信し、これを受信した認証ＥＣＵは、ＩＤコードが予め登録されたものと一致する場合に、正規のユーザからの送信されてきたものであるとして、受信したコマンドを車載ＬＡＮを介して送信する。このコマンドを車載ＬＡＮを介して受信した対象ＥＣＵ（ドアロックＥＣＵやエンジンＥＣＵ）は、コマンドに従って所定制御を実行する。

或いは、図７（ｂ）に示すように、携帯機と認証ＥＣＵとが暗号文を用いた認証処理を実行し、その認証に成功すると認証ＥＣＵは、車載ＬＡＮを介して対象ＥＣＵに作動許可を与える。この作動許可が与えられた対象ＥＣＵは、携帯機や別途設けられた始動スイッチが操作されることによって送信されてくるコマンドを車載ＬＡＮを介して受信すると、そのコマンドに従って所定制御を実行する。

つまり、いずれの場合も、正当な携帯機を所持したユーザでなければ、車両を使用したり動かしたりすることができないようにされていた。
特開平１１−１８２３８９号公報

しかし、上述した車両制御システムでは、携帯機と認証ＥＣＵとの間では不正対策が施されているものの、認証ＥＣＵと対象ＥＣＵとの間では何等不正対策が施されていない。従って、正当な携帯機を所持していなくても、対象ＥＣＵに対するコマンドや作動許可を本物の認証ＥＣＵになりすまして送信する偽の認証ＥＣＵを車載ＬＡＮに接続すれば、ドアの解錠やエンジンの始動を行うことが可能となってしまい、このような不正な機器の接続による車両の盗難には対処することができないという問題があった。

本発明は、上記問題点を解決するために、車載ＬＡＮに不正な機器を接続することで可能となる車両の盗難を防止することを目的とする。

上記目的を達成するためになされた第一発明の車両制御システムでは、コマンド送信手段を搭載した電子制御装置、及び特定制御実行手段を搭載した電子制御装置が、ゲートウェイ装置を介して接続された互いに異なるローカルエリアネットワークにそれぞれ接続されている。

そして、コマンド送信手段が、予め指定された携帯機との無線通信により、その携帯機を識別するための第１識別情報が付加されたコマンドを受信し、受信した第１識別情報が予め登録された第１登録情報と一致する場合に、受信したコマンドを該コマンドの正当性を保証するための特定情報と共にローカルエリアネットワークを介して送信する。

すると、ゲートウェイ装置では、転送許可手段が、コマンド送信手段が送信するコマンドの他のローカルエリアネットワークへの転送を、該コマンドに付加された特定情報が予め登録された第２登録情報と一致する場合にのみ、そのコマンドの他のローカルエリアネットワークへの転送、即ち特定制御実行手段を搭載した電子制御装置が接続されたローカルエリアネットワークへの転送を許可する。

そして、特定制御実行手段は、ゲートウェイ装置を介してコマンド送信手段から送信されてくるコマンドに従って、車両の使用に不可欠な特定制御を実行する。
つまり、ゲートウェイ装置は、コマンドの正当性を特定情報によって確認できた場合に限り、コマンド送信手段を搭載した電子制御装置からのコマンドを、特定制御実行手段を搭載した電子制御装置に転送し、特定制御を実行させるようにされている。

従って、コマンド送信手段を搭載する電子制御装置が不正者によって不正なものに取り替えられたとしても、特定情報が不正者に知られない限り、特定制御が実行されることがない。その結果、車両は、その使用が困難な状態に保持されるため、車両の盗難を防止できる。

なお、特定情報は、第１識別情報（携帯機を識別するための情報）であってもよいし、コマンド送信手段を搭載する電子制御装置を識別するための第２識別情報であってもよい。

また、特定情報は、第１識別情報と第２識別情報とに基づいて一義的に求められる第３識別情報であってもよい。この場合、コマンド送信手段は、携帯機から受信した第１識別情報と、自身が持つ第２識別情報とに基づいて第３識別情報を生成し、これを特定情報としてコマンドに付加してローカルエリアネットワークに送信するように構成すればよい。

なお、特定情報が不正者に知られてしまうことを防止するために、携帯機がコマンドに付加する第１識別情報やコマンド送信手段がコマンドに付加する特定情報は、暗号化されていることが望ましい。

次に、第二発明の車両制御システムでは、第１認証手段を備えた電子制御装置と、コマンド発生手段を備えた電子制御装置と、特定制御実行手段を備えた電子制御装置とを備えており、少なくとも、コマンド発生手段を備えた電子制御装置と、特定制御実行手段を備えた電子制御装置とは、ゲートウェイ装置を介して接続された互いに異なるローカルエリアネットワークに接続されている。

そして、第１認証手段が、予め指定された携帯機との無線通信により、該携帯機の正当性を確認するための第１認証処理を実行すると共に、ゲートウェイ装置の第２認証手段が、第１認証手段を搭載する電子制御装置とのローカルエリアネットワークを介した通信により、該電子制御装置の正当性を確認するための第２認証処理を実行する。

その後、コマンド発生手段が、予め指定された外部操作に従ってコマンドを生成し、そのコマンドをローカルエリアネットワークを介して送信すると、ゲートウェイ装置の転送許可手段は、第２認証手段により、第１認証手段を備えた電子制御装置の正当性が確認されている場合にのみ、コマンド発生手段が送信するコマンドの他のローカルエリアネットワークへの転送を許可する。

そして、特定制御実行手段は、ゲートウェイ装置を介してコマンド発生手段から送信されてくるコマンドに従って、車両の使用に不可欠な特定制御を実行する。
つまり、ゲートウェイ装置は、携帯機の認証を行う（即ち第１認証手段を搭載する）電子制御装置の認証に成功した場合に限り、コマンド発生手段を搭載した電子制御装置からのコマンドを、特定制御実行手段を搭載した電子制御装置に転送し、特定制御を実行させるようにされている。

従って、第１認証手段を搭載する電子制御装置が不正者によって不正なものに取り替えられた場合には、その電子制御装置はゲートウェイ装置に認証されないため、特定制御も実行されることがない。その結果、車両は、その使用が困難な状態に保持されるため、車両の盗難を防止できる。

なお、ゲートウェイ装置の転送許可手段は、予め設定された有効期間の間だけ、前記コマンドの転送を許可するように構成することが望ましい。このような有効期間を設定すれば、短時間の間に外部操作が繰り返されるような場合に、無駄な認証処理が繰り返されてしまうことを防止できる。

また、第１認証手段とコマンド発生手段とは同じ電子制御装置に搭載され、外部操作は、携帯機に対する操作であるように構成してもよい。この場合、携帯機を操作することにより任意に特定制御を実行することができる。

ところで、特定制御実行手段が実行する特定制御は、車両の使用に不可欠な制御であれば何でもよいが、具体的には、例えば、ドアの施錠，解錠またはエンジンの始動のうち、少なくとも一方であることが望ましい。また、特定制御実行手段を搭載する電子制御装置は、一つであってもよいし複数であってもよい。

以下に本発明の実施形態を図面と共に説明する。
［第１実施形態］
図１は、本実施形態の車両制御システムの概略構成を示すブロック図である。

本実施形態の車両制御システム１は、図１に示すように、車両制御を行うＥＣＵが接続される制御系の車載ローカルエリアネットワーク（ＬＡＮ）３ａと、ボデー制御を行うＥＣＵが接続されるボデー系の車載ＬＡＮ３ｂと、音響，画像，通信に関する電子制御装置（ＥＣＵ）が接続されるＡＶＣ系の車載ＬＡＮ３ｃと、盗難防止に関わるＥＣＵが接続されるイモビ系の車載ＬＡＮ３ｄと、これら車載ＬＡＮ３ａ〜３ｄを相互に接続して車載ＬＡＮ３ａ〜３ｄ間の通信を仲介するゲートウェイＥＣＵ５とを備えている。なお、以下では、車載ＬＡＮ３ａ〜３ｄを総称する場合は車載ＬＡＮ３と記すものとする。

そして、制御系の車載ＬＡＮ３ａには、エンジンの始動・停止や、燃料噴射量，点火時期の制御を行うエンジンＥＣＵ１１が少なくとも接続され、ボデー系の車載ＬＡＮ３ｂには、ドアの施錠，解錠を制御するドアロックＥＣＵ１３が少なくとも接続され、イモビ系の車載ＬＡＮ３ｄには、ユーザが携帯する携帯機２０との間で無線通信を行い、盗難防止のための認証処理等を行う認証ＥＣＵ１５が少なくとも接続されている。

なお、携帯機２０は、実行すべき車両制御（ドアの施錠・解錠，エンジン始動・停止等）を選択するための複数の選択キーと、携帯機２０に予め割り当てられた第１識別コードを記憶するメモリと、認証ＥＣＵ１５に無線信号を送信するための送信機と、選択キーが操作されると、メモリに記憶された第１識別コードを暗号化してなる暗号コードを生成し、その暗号コードを、操作された選択キーに対応するコマンドに付加して送信機に送信させる制御回路とにより構成されている。

また、各ＥＣＵ５，１１，１３，１５は、いずれもＣＰＵ，ＲＯＭ，ＲＡＭからなる周知のマイクロコンピュータを中心に構成され、車載ＬＡＮ３を介して通信を行う通信回路、自身に割り当てられた機能を果たすために必要な各種信号を入出力するためのＩ／Ｏ回路等を備えている。

そして、エンジンＥＣＵ１１のＣＰＵは、車載ＬＡＮ３を介してエンジンの始動を指示するコマンドを受信すると、スタータ１２を駆動してエンジンを始動する制御を少なくとも実行し、また、ドアロックＥＣＵ１３のＣＰＵは、車載ＬＡＮ３を介してドアの施錠又は解錠を指示するコマンドを受信すると、ドアロックモータ１４を駆動してドアを施錠又は解錠する制御を少なくとも実行するように構成されている。

また、認証ＥＣＵ１５のＲＯＭには、認証ＥＣＵ１５に予め割り当てられた第２識別コードが記憶されていると共に、携帯機２０に割り当てられた第１識別コードと同じものが第１登録コードとして記憶されている。そして、認証ＥＣＵ１５のＣＰＵは、携帯機２０からの無線信号（暗号コードが付加されたコマンド）を通信機１６を介して受信すると、ＲＯＭに記憶された第１登録コードに基づいて後述するユーザ認証・コマンド転送処理を実行するように構成されている。

また、ゲートウェイＥＣＵ５のＲＯＭには、第２識別コードと同じものが第２登録コードとして記憶されている。そして、ゲートウェイＥＣＵ５のＣＰＵは、ＲＯＭに記憶された第２登録コードに基づいて後述するゲートウェイ処理を実行するように構成されている。なお、ゲートウェイＥＣＵ５、エンジンＥＣＵ１１、ドアロックＥＣＵ１３は、車両としての機能を損なうことなく取り外すことが困難な場所に配置されている。

次に、認証ＥＣＵ１５が実行するユーザ認証・コマンド転送処理、及びゲートウェイＥＣＵ５が実行するゲートウェイ処理を、図２に示すフローチャートに沿って説明する。なお、認証ＥＣＵ１５及びゲートウェイＥＣＵ５は、いずれも、イグニッションスイッチの状態によらず常時動作しており、これらの処理も認証ＥＣＵ１５やゲートウェイＥＣＵ５が動作している限り繰り返し実行される。

認証ＥＣＵ１５のユーザ認証・コマンド転送処理では、図２（ａ）に示すように、まず、携帯機２０からの受信があった否かを判断し（Ｓ１１０）、受信がなければ、そのまま本処理を終了する。一方、コマンドの受信があれば、コマンドに付加された暗号コードを復号することで第１識別コードを抽出し（Ｓ１２０）、その抽出した第１識別コードと予め記憶されている第１登録コードとが一致するか否かを判断する（Ｓ１３０）。

そして、第１識別コードと第１登録コードとが不一致であれば、そのまま本処理を終了し、第１識別コードと登録コードとが一致すれば、予め記憶されている第２識別コードを特定コードとして、この特定コードを暗号化してなる暗号コードを生成し、その暗号コードを付加したコマンドを、車載ＬＡＮ３を介して転送して（Ｓ１４０）、本処理を終了する。

次に、ゲートウェイＥＣＵ５のゲートウェイ処理では、図２（ｂ）に示すように、まず、車載ＬＡＮ３上を流れるデータを監視し、送信元ＥＣＵと受信先ＥＣＵとが互いに異なった車載ＬＡＮに属するデータ、即ち、ゲートウェイＥＣＵ５によるゲートウェイ動作が必要なデータ（以下「要転送データ」と称する。）を受信したか否かを判断し（Ｓ２１０）、要転送データを受信していない場合には、そのまま本処理を終了する。

一方、要転送データを受信した場合には、その要転送データの送信元ＥＣＵが認証ＥＣＵ１５であるか否かを判断し（Ｓ２２０）、送信元ＥＣＵが認証ＥＣＵ１５でなければ、その要転送データを、受信先ＥＣＵが接続された車載ＬＡＮ３に転送して（Ｓ２５０）、本処理を終了する。

一方、要転送データの送信元ＥＣＵが認証ＥＣＵ１５であれば、要転送データは暗号コード付きのコマンドであるため、暗号コードを復号して特定コード（本実施形態では第２識別コード）を抽出し（Ｓ２３０）、その抽出した特定コードと予め記憶されている第２登録コードとが一致するか否かを判断する（Ｓ２４０）。

そして、両コード（特定コードと第２登録コード）が一致しない場合には、要転送データを転送することなく（即ち要転送データを破棄して）本処理を終了し、両コードが一致する場合には、その要転送データを、受信先ＥＣＵが接続された車載ＬＡＮ３に転送して（Ｓ２５０）、本処理を終了する。但し、この場合、要転送データ全体を転送するのではなく、暗号コードを除去したコマンドのみを転送する。

このように構成された本実施形態の車両制御システム１では、正当なユーザが所有する携帯機２０から送信されたコマンドには第１識別コードが付加され、また、正当な認証ＥＣＵ１５を介して転送されるコマンドには特定コードが付加される。このため、携帯機２０や認証ＥＣＵ１５に不正が加えられていない場合には、図３（ａ）に示すように、認証ＥＣＵ１５での第１識別コードと第１登録コードとの照合、及びゲートウェイＥＣＵ５での特定コードと第２登録コードとの照合がいずれも一致するため、携帯機２０から送信されたコマンドは、対象ＥＣＵ（始動コマンドであればエンジンＥＣＵ１１、施錠・解錠コマンドであればドアロックＥＣＵ１３）まで到達し、コマンドに対応した車両制御が実行されることになる。

一方、偽の（正当ではない）携帯機から送信されたコマンドは、図３（ｂ）に示すように、コマンドに付加された第１識別コードと認証ＥＣＵ１５に記憶された第１登録コードとが一致しないため、認証ＥＣＵ１５にて破棄され、認証ＥＣＵ１５が接続された車載ＬＡＮ３ｄ、ひいては対象ＥＣＵ１１，１３が接続された車載ＬＡＮ３ａ，又は３ｂに送出されることがない。

また、認証ＥＣＵ１５が偽の認証ＥＣＵに取り替えられた場合、この偽のＥＣＵから送信されたコマンドは、図３（ｃ）に示すように、コマンドに付加された特定コードとゲートウェイＥＣＵ５に記憶された第２登録コードとが一致しないため、ゲートウェイＥＣＵ５にて破棄され、対象ＥＣＵ１１，１３が接続された車載ＬＡＮ３ａ又は３ｂに転送されることがない。

このように、本実施形態の車両制御システム１によれば、認証ＥＣＵ１５が、不正者によって不正なものに取り替えられたとしても、特定コードが不正者に知られない限り、エンジンＥＣＵ１１やドアロックＥＣＵ１３を作動させることがない。その結果、車両は、その使用が困難な状態に保持されるため、車両の盗難を防止できる。

なお、本実施形態では、特定コードとして、認証ＥＣＵ１５に割り当てられた第２識別コードを用いたが、第１識別コードを用いたり、第１識別コードと第２識別コードとに基づいて算出される第３の識別コードを用いたりしてもよい。

また、本実施形態において、ゲートウェイＥＣＵ５がゲートウェイ装置、Ｓ２２０〜Ｓ２４０が転送許可手段、認証ＥＣＵ１５がコマンド送信手段を搭載する電子制御装置、エンジンＥＣＵ１１及びドアロックＥＣＵ１３が特定制御実行手段を搭載する電子制御装置、識別コードが識別情報、特定コードが特定情報に相当する。
［第２実施形態］
次に第２実施形態について説明する。

なお、本実施形態では、第１実施形態のものとは一部が異なるだけであるため、その相違する部分を中心に説明する。
まず、本実施形態では、第１実施形態の構成に加えて、イモビ系の車載ＬＡＮ３ｄには、図１に点線で示すように、エンジンの始動を指示するための始動スイッチ１８が操作されると、その旨を表すコマンドを送信する始動ＥＣＵ１７が接続されている。

また、携帯機２０は、実行すべき車両制御（ドアの施錠・解錠，エンジン始動・停止等）を選択するための複数の選択キーと、認証ＥＣＵ１５との無線通信を行う通信機と、通信機を介して認証ＥＣＵ１５と交信することにより、正当な携帯機２０であることを照明するための処理や、操作された選択キーに対応するコマンドを通信機を介して認証ＥＣＵ１５に送信する処理を実行する制御回路とにより構成されている。

また、認証ＥＣＵ１５は、携帯機２０に対する起床信号を通信機１６に定期的に送信させると共に、後述するユーザ認証・コマンド転送処理を実行するように構成され、また、ゲートウェイＥＣＵ５は、後述するゲートウェイ処理を実行するように構成されている。

ここで、認証ＥＣＵ１５が実行するユーザ認証・コマンド転送処理を、図４に示すフローチャートに沿って説明する。
本処理では、まず、通信機１６に送信させた起床信号に対する携帯機２０から応答があったか否かを判断し（Ｓ３１０）、携帯機２０からの応答がなければ、そのまま本処理を終了する。一方、携帯機２０からの応答があれば、認証ＥＣＵ１５の状態を表す認証済フラグが設定されているか否かを判断し（Ｓ３３０）、認証済フラグが未設定であれば、通信機１６を介して携帯機２０との認証処理を実行する（Ｓ３３０）。この認証処理には、暗号鍵を用いて認証を行うＳＳＬプロトコルなどを用いることができる。なお、これらの認証処理は、周知技術であるため、ここでは、その詳細については説明を省略する。

次に、この認証処理の結果、認証に成功したか否かを判断し（Ｓ３４０）、認証に失敗した場合には、そのまま本処理を終了し、一方、認証に成功した場合には、今度は、車載ＬＡＮ３ｄを介したゲートウェイＥＣＵ５との認証処理を実行する（Ｓ３５０）。この認証処理では、先のＳ３３０での処理と同様のプロトコルを用いてもよいが、これとは異なるプロトコルを用いてもよい。

そして、この認証処理の結果、認証に成功したか否かを判断し（Ｓ３６０）、認証に失敗した場合には、そのまま本処理を終了する。一方、認証に成功した場合には、認証済フラグを設定して（Ｓ３７０）、本処理を終了する。

先のＳ３２０にて、認証済フラグが設定されていると判断された場合には、設定されてからの経過時間が、予め設定された許容時間を超えているか否かを判断し（Ｓ３８０）、経過時間が許容時間内であれば、コマンド転送処理を実行して（Ｓ４００）、本処理を終了する。なお、コマンド転送処理は、携帯機２０にて選択キーが操作された場合に、携帯機２０から送信されてくるコマンドを、車載ＬＡＮ３を介して転送する処理である。

一方、Ｓ３８０にて、経過時間が許容時間を超えていると判断された場合は、認証済フラグの設定を解除して、以後、先に説明したＳ３３０〜Ｓ３７０の処理（即ち、携帯機２０との認証処理およびゲートウェイＥＣＵ５との認証処理）を実行する。

次に、ゲートウェイＥＣＵ５が実行するゲートウェイ処理を、図５に示すフローチャートに沿って説明する。
本処理では、まず、車載ＬＡＮ３を流れるデータを監視し、認証ＥＣＵ１５が認証処理（Ｓ３５０参照）を開始する際に送信してくる認証要求を受信したか否か（Ｓ５１０）、及び要転送データを受信したか否か（Ｓ５５０）を判断し、いずれも受信していなければ、そのまま本処理を終了する。

先のＳ５１０にて、認証要求を受信したと判断された場合は、その認証要求に応答して、認証ＥＣＵ１５との認証処理を実行する（Ｓ５２０）。
そして、その認証処理の結果、認証に成功したか否かを判断し（Ｓ５３０）、認証に失敗した場合には、そのまま本処理を終了し、一方、認証に成功した場合には、ゲートウェイＥＣＵ５の状態を表す認証済フラグ（認証ＥＣＵ１５の状態を表す認証済フラグとは別のもの。以下同様。）を設定して（Ｓ５４０）、本処理を終了する。

また、先のＳ５５０にて、要転送データを受信したと判断された場合は、その要転送データの送信元ＥＣＵが特定ＥＣＵ（ここでは、認証ＥＣＵ１５又は始動ＥＣＵ１７）であるか否かを判断し（Ｓ５６０）、特定ＥＣＵでなければ、要転送データを受信先ＥＣＵが接続された車載ＬＡＮ３に転送して（Ｓ６００）、本処理を終了する。

一方、要転送データの送信元ＥＣＵが特定ＥＣＵであれば、認証済フラグが設定されているか否かを判断し（Ｓ５７０）、認証済フラグが未設定であれば、要転送データを転送することなく（即ち、認証ＥＣＵ１５又は始動ＥＣＵ１７からのコマンドを破棄して）、本処理を終了する。

また、認証済フラグが設定されていれば、設定されてからの経過時間が予め設定された許容時間を超えているか否かを判断し（Ｓ５８０）、経過時間が許容時間内である場合には、要転送データ（即ち、認証ＥＣＵ１５又は始動ＥＣＵ１７からのコマンド）を、対象ＥＣＵ（エンジンＥＣＵ１１又はドアロックＥＣＵ１３）が接続された車載ＬＡＮ３に転送するデータ転送処理を実行して（Ｓ６００）、本処理を終了する。

一方、経過時間が許容時間を超えている場合には、認証済フラグを未設定にして（Ｓ５９０）、本処理を終了する。
このように構成された本実施形態の車両制御システム１では、図６（ａ）に示すように、正当なユーザが所有する携帯機２０が通信機１６の通信エリア内に進入すると、この通信機１６と認証ＥＣＵ１５との間で認証処理が実行される。この認証処理の結果、認証に成功すると、今度は認証ＥＣＵ１５とゲートウェイＥＣＵ５との間で認証処理が実行される。そして、この認証にも成功すると、その後、許容時間が経過するまでの間に限って、認証ＥＣＵ１５又は始動ＥＣＵ１７から送信されるコマンドの転送を許容する。これにより、これらのコマンドは、対象ＥＣＵ（始動コマンドであればエンジンＥＣＵ１１、施錠・解錠コマンドであればドアロックＥＣＵ１３）まで到達し、コマンドに対応した車両制御が実行されることになる。

一方、両認証処理による認証が成功して（認証済フラグが設定されて）からの経過時間が許容時間を超えた場合、又は図６（ｂ）に示すように、認証ＥＣＵ１５が偽の認証ＥＣＵに取り替えられるなどして、ゲートウェイＥＣＵ５が認証ＥＣＵ１５の認証に失敗した場合には、認証ＥＣＵ１５又は始動ＥＣＵ１７から送信されるコマンドは、ゲートウェイＥＣＵ５にて破棄されることになる。

このように、本実施形態の車両制御システム１によれば、認証ＥＣＵ１５が不正者によって不正なものに取り替えられたとしても、その不正な認証ＥＣＵは、ゲートウェイＥＣＵ５に認証されないため、エンジンＥＣＵ１１やドアロックＥＣＵ１３へのコマンドがゲートウェイＥＣＵ５を介して転送されることがなく、従って、エンジンＥＣＵ１１やドアロックＥＣＵ１３が動作することがない。その結果、車両は、その使用が困難な状態に保持されるため、車両の盗難を防止できる。

なお、本実施形態では、ゲートウェイＥＣＵ５は、認証ＥＣＵ１５と認証処理を実行するように構成したが、認証ＥＣＵ１５を介して携帯機２０と認証処理を実行するように構成してもよい。

また、本実施形態において、ゲートウェイＥＣＵ５がゲートウェイ装置、認証ＥＣＵ１５が第１認証手段を搭載する電子制御装置、認証ＥＣＵ１５と始動ＥＣＵ１７がコマンド発生手段を搭載する電子制御装置、エンジンＥＣＵ１１とドアロックＥＣＵ１３が特定制御実行手段を搭載する電子制御装置、Ｓ３３０が第１認証手段、Ｓ５２０が第２認証手段、Ｓ５３０〜Ｓ５４０，Ｓ５６０〜Ｓ５９０が転送許可手段に相当する。

実施形態の車両制御システムの概略構成を示すブロック図である。 第１実施形態において、認証ＥＣＵ及びゲートウェイＥＣＵが実行する処理の内容を示すフローチャートである。 第１実施形態の車両制御システム全体の動作を示すシーケンス図である。 第２実施形態において、認証ＥＣＵが実行する処理の内容を示すフローチャートである。 第２実施形態において、ゲートウェイＥＣＵが実行する処理の内容を示すフローチャートである。 第２実施形態の車両制御システム全体の動作を示すシーケンス図である。 従来システム全体の動作を示すシーケンス図である。

符号の説明

１…車両制御システム、３…車載ＬＡＮ、３ａ…制御系ＬＡＮ、３ｂ…ボデー系ＬＡＮ、３ｃ…ＡＶＣ系ＬＡＮ、３ｄ…イモビ系ＬＡＮ、５…ゲートウェイＥＣＵ、１１…エンジンＥＣＵ、１２…スタータ、１３…ドアロックＥＣＵ、１４…ドアロックモータ、１５…認証ＥＣＵ、１６…通信機、１７…始動ＥＣＵ、１８…始動スイッチ、２０…携帯機。

Claims (9)

1. 一つ以上の電子制御装置がそれぞれ接続される複数のローカルエリアネットワークと、
   これら複数のローカルエリアネットワーク間のデータ通信を仲介するゲートウェイ装置と、
   を備えた車両制御システムにおいて、
   前記電子制御装置のいずれか一つに搭載され、予め指定された携帯機との無線通信により、該携帯機を識別するための第１識別情報が付加されたコマンドを受信し、該第１識別情報が予め登録された第１登録情報と一致する場合に、前記コマンドを該コマンドの正当性を保証するための特定情報と共に前記ローカルエリアネットワークを介して送信するコマンド送信手段と、
   該コマンド送信手段を搭載する電子制御装置が接続されたものとは異なるローカルエリアネットワークに接続された電子制御装置に搭載され、前記コマンド送信手段が送信するコマンドに従って、車両の使用に不可欠な特定制御を実行する特定制御実行手段と、
   を備え、
   前記ゲートウェイ装置は、
   前記コマンド送信手段が送信するコマンドの他のローカルエリアネットワークへの転送を、該コマンドに付加された特定情報が予め登録された第２登録情報と一致する場合にのみ許可する転送許可手段を備えることを特徴とする車両制御システム。
2. 前記特定情報は、前記第１識別情報であることを特徴とする請求項１に記載の車両制御システム。
3. 前記特定情報は、前記コマンド送信手段を搭載する電子制御装置を識別するための第２識別情報であることを特徴とする請求項１に記載の車両制御システム。
4. 前記特定情報は、前記コマンド送信手段を搭載する電子制御装置を識別するための第２識別情報と前記第１識別情報とに基づいて一義的に求められる第３識別情報であることを特徴とする請求項１に記載の車両制御システム。
5. 前記携帯機が前記コマンドに付加する前記第１識別情報及び前記コマンド送信手段が前記コマンドに付加する前記特定情報は、暗号化されていることを特徴とする請求項１〜４のいずれかに記載の車両制御システム。
6. 一つ以上の電子制御装置がそれぞれ接続される複数のローカルエリアネットワークと、
   これら複数のローカルエリアネットワーク間のデータ通信を仲介するゲートウェイ装置と、
   を備えた車両制御システムにおいて、
   前記電子制御装置のいずれか一つに搭載され、予め指定された携帯機との無線通信により、該携帯機の正当性を確認するための第１認証処理を実行する第１認証手段と、
   前記電子制御装置のいずれか一つに搭載され、予め指定された外部操作に従ってコマンドを生成し、該コマンドを前記ローカルエリアネットワークを介して送信するコマンド発生手段と、
   該コマンド発生手段を搭載する電子制御装置が接続されたものとは異なるローカルエリアネットワークに接続された電子制御装置に搭載され、前記コマンド発生手段が送信するコマンドに従って車両の使用に不可欠な特定制御を実行する特定制御実行手段と、
   を備え、
   前記ゲートウェイ装置は、
   前記第１認証手段を搭載する電子制御装置との前記ローカルエリアネットワークを介した通信により、該電子制御装置の正当性を確認するための第２認証処理を実行する第２認証手段と、
   該第２認証手段により前記電子制御装置の正当性が確認された場合にのみ、前記コマンド発生手段が送信するコマンドの他のローカルエリアネットワークへの転送を許可する転送許可手段と、
   を備えることを特徴とする車両制御システム。
7. 前記転送許可手段は、予め設定された有効期間の間だけ、前記コマンドの転送を許可することを特徴とする請求項６に記載の車両制御システム。
8. 前記第１認証手段と前記コマンド発生手段とは同じ電子制御装置に搭載され、前記外部操作は、前記携帯機に対する操作であることを特徴とする請求項６又は７に記載の車両制御システム。
9. 前記特定制御実行手段が実行する特定制御は、ドアの解錠またはエンジンの始動のうち、少なくとも一方であることを特徴とする請求項１〜８のいずれかに記載の車両制御システム。

Images