JP2013052833A - 車載ネットワークシステム - Google Patents

Abstract

【課題】ネットワーク構成が複雑であっても、特定サービスの設定状態を変更した状態でＥＣＵの診断を行うことを可能とする。
【解決手段】ゲートウェイ装置１ａは、診断装置２からＥＣＵに対する初期セッションから診断セッションへのセッション移行要求を受信してからの経過時間をセッションタイマＡを用いて計時し、この経過時間に基づいて診断装置２が認識しているＥＣＵのセッション状態を推定し、診断装置２が認識しているＥＣＵのセッション状態が診断セッションである場合、ＥＣＵが診断セッションから初期セッションへ遷移しないように診断セッションの状態維持を指示するセッション状態維持要求をＥＣＵへ送出する。
【選択図】図６

Description

本発明は、ＥＣＵが接続されたネットワークと、診断装置が接続されるネットワークとの間にゲートウェイ装置を備えた車載ネットワークシステムに関するものである。

従来、車両マネージャＥＣＵが、車両内ネットワーク上の各ＥＣＵのデータを監視して、各ＥＣＵの診断サービスを行うようにしたシステムがある（例えば、特許文献１参照）。

また、車両内ネットワークに診断ツールを接続し、この診断ツールを用いて車両内ネットワークに接続された各ＥＣＵから各種データを取得して各ＥＣＵの診断サービスを行うようにしたものもある。

特開２００３−１９９３１号公報

上記した診断サービスを行うようなシステムでは、特定サービスの設定状態を変更して各種診断を行うことが可能となっている。例えば、一般整備業用、正規ディーラー用、工場用、開発者用といったように個別にセキュリティ設定を行うことが可能となっており、個別にセキュリティ設定を解除して診断を行うことが可能となっている。このようなシステムでは、通信プロトコルに規定された手順に従ってセキュリティロックを解除して診断を行うことができるようになっている。例えば、ＣＡＮ通信におけるダイアグ通信では、診断ツールがＥＣＵへセキュリティロック状態を維持する初期セッションからセキュリティロック解除状態を維持する診断セッションへのセッション移行要求を送信すると、このＥＣＵは初期セッションから診断セッションへと遷移し、このＥＣＵから診断ツールへセッション移行要求のセッション応答（肯定応答）が送信された後、診断ツールがＥＣＵへセキュリティロック解除要求を送信し、セキュリティアンロックが成立すると、ＥＣＵはセキュリティ解除状態となるようになっている。

また、このようなシステムでは、セキュリティロック解除状態がいつまでも継続するとセキュリティ性が低下してしまうため、予め定められたセッションタイムアウト時間（例えば、５秒）が経過すると、ＥＣＵがセキュリティロック解除状態を維持するセッションからセキュリティロック状態を維持するセッションへと移行して、セキュリティロック状態に戻るようになっている。

このように、ＣＡＮ通信におけるダイアグ通信では、規定時間が経過すると、セキュリティ設定、ドアロック設定等、特定サービスの設定状態を初期状態に戻すようになっており、各種設定を初期状態に戻す際の時間の管理はセッションにより行われるようになっている。

ネットワーク構成が簡素な場合、上記した手順でＥＣＵのセキュリティを解除して、ＥＣＵの診断を問題なく行うことが可能であった。

ところが、近年、車載装置のサービスの多様化、高度化に伴い、ＣＡＮ、ＬＩＮ、ＦｌｅｘＲａｙ、ＫＷＰ２０００等の多様の通信プロトコルに対応したＥＣＵが車両に搭載されるようになってきている。このような通信プロトコルの異なるＥＣＵ間は、ゲートウェイ装置を介してネットワーク接続されるようになっている。このため、診断ツールとＥＣＵの間に複数のゲートウェイ装置が配置されるようになってきている。

このような複雑化したネットワーク構成ではデータ中継の遅延が大きくなるため、上記したシステムのような構成では、例えば、診断ツールがＥＣＵへセッション移行要求を送信し、このＥＣＵから診断ツールへセッション移行要求の肯定応答が送信された後、診断ツールがＥＣＵへセキュリティロック解除要求を送信する前に、ＥＣＵがセッションタイムアウトとなり初期セッションに戻ってしまい、ＥＣＵの診断ができなくなってしまうといった問題が発生する。

本発明は上記問題に鑑みたもので、ネットワーク構成が複雑であっても、特定サービスの設定状態を変更した状態でＥＣＵの診断を行うことを可能とすることを目的とする。

上記目的を達成するため、請求項１に記載の発明は、ＥＣＵが接続されたネットワークと、ＥＣＵの診断を行う診断装置が接続されるネットワークとの間にゲートウェイ装置を備えた車載ネットワークシステムであって、ＥＣＵは、診断装置からゲートウェイ装置を介して特定サービスの設定状態を初期状態とする初期セッションから特定サービスの設定状態を初期状態と異なる特定状態とする特定セッションへの移行要求を受信すると、初期セッションから特定セッションへ遷移し、ゲートウェイ装置を介して診断装置へ特定セッションへの移行要求の受信に応じたセッション応答を送信するとともに、特定セッションへ遷移した状態で、セッション応答の受信に応じて診断装置からゲートウェイ装置を介して特定サービスの設定状態を特定状態に移行させる状態移行要求を受信すると特定サービスの設定状態が特定状態に移行し、初期セッションから特定セッションへ遷移してから規定時間が経過して特定セッションから初期セッションへ遷移すると特定サービスの設定状態が初期状態に戻るようになっており、ゲートウェイ装置は、診断装置からＥＣＵに対する初期セッションから特定セッションへのセッション移行要求を受信してからの経過時間を計時する第１のタイマと、第１のタイマにより計時された経過時間に基づいて診断装置が認識しているＥＣＵのセッション状態を推定し、当該ＥＣＵのセッション状態を記憶媒体に記憶させるセッション状態記憶手段と、記憶媒体に記憶されたセッション状態に基づいて診断装置が認識しているＥＣＵのセッション状態が特定セッションであることを判定した場合、ＥＣＵが特定セッションから初期セッションへ遷移しないように特定セッションの状態維持を指示するセッション状態維持要求をＥＣＵへ送出するセッション維持要求送出手段と、を備えたことを特徴としている。

このような構成によれば、ゲートウェイ装置は、診断装置からＥＣＵに対する初期セッションから特定セッションへのセッション移行要求を受信してからの経過時間を計時する第１のタイマと、第１のタイマにより計時された経過時間に基づいて診断装置が認識しているＥＣＵのセッション状態を推定し、当該ＥＣＵのセッション状態を記憶媒体に記憶させるセッション状態記憶手段と、記憶媒体に記憶されたセッション状態に基づいて診断装置が認識しているＥＣＵのセッション状態が特定セッションであることを判定した場合、ＥＣＵが特定セッションから初期セッションへ遷移しないように特定セッションの状態維持を指示するセッション状態維持要求をＥＣＵへ送出するので、ネットワーク構成が複雑であっても、特定サービスの設定状態を変更した状態でＥＣＵの診断を行うことを可能とすることができる。

また、請求項２に記載の発明は、ゲートウェイ装置は、セッション状態維持要求をＥＣＵへ送出してからの時間を計時する第２のタイマを備え、セッション状態記憶手段は、第２のタイマを用いてセッション状態維持要求を定期的に送出することを特徴としている。

このような構成によれば、第２のタイマを用いてセッション状態維持要求が定期的に送出されるので、特定サービスの設定状態を変更した状態で安定的にＥＣＵの診断を行うことができる。

また、請求項３に記載の発明は、セッション維持要求送出手段は、記憶媒体に記憶されたセッション状態に基づいて診断装置が認識しているＥＣＵのセッション状態が初期セッションに遷移したことを判定した場合、セッション状態維持要求の送出を停止することを特徴としている。

このような構成によれば、記憶媒体に記憶されたセッション状態に基づいて診断装置が認識しているＥＣＵのセッション状態が初期セッションに遷移したことを判定した場合、セッション状態維持要求の送出が停止されるので、特定サービスの設定状態を変更した状態がいつまでも継続してしまうといったことを防止することができる。

なお、請求項４に記載の発明のように、特定サービスの設定状態を、セキュリティ設定状態とし、初期状態をセキュリティロック状態とし、特定状態をセキュリティ解除状態とすることができる。

本発明の一実施形態に係る車載ネットワークシステムの構成例を示す図である。 ゲートウェイ装置のブロック構成を示す図である。 ゲートウェイ装置により管理されるセッション状態について説明するための図である。 ゲートウェイ装置のフローチャートである。 ゲートウェイ装置のフローチャートである。 ゲートウェイ装置のフローチャートである。 診断ツール、ゲートウェイ装置およびＥＣＵ間の信号の流れを示す図である。

本発明の一実施形態に係る車載ネットワークシステムの構成を図１に示す。本車載ネットワークシステムは、ゲートウェイ装置１ａ、１ｂ、ＥＣＵ３ａ、３ｂ、４ａ、４ｂ、５ａ、５ｂおよびバスＡ、Ｂ、Ｃにより構成されている。

バスＡには、ＥＣＵ３ａ、３ｂが接続され、バスＢには、ＥＣＵ４ａ、４ｂが接続され、バスＣには、ＥＣＵ５ａ、５ｂが接続されている。ゲートウェイ装置１ａは、バスＡとバスＢの間に配置され、ゲートウェイ装置１ｂは、バスＢとバスＣの間に配置されている。

また、本実施形態では、バスＡ、バスＢに接続されたネットワークの通信プロトコルはＣＡＮ通信プロトコル、バスＣに接続されたネットワークの通信プロトコルはＦｌｅｘＲａｙ通信プロトコルとなっている。

ゲートウェイ装置１ａ、１ｂのブロック構成を図２に示す。図に示すように、ゲートウェイ装置１ａ、１ｂは、それぞれ、ＣＰＵ１００、ＲＯＭ１０１、ＲＡＭ１０２、ＬＡＮコントローラ１０３、１０４を備えている。ＣＰＵ１００は、ＲＯＭ１０１に記憶されたプログラムに従って各種処理を実施する。ゲートウェイ装置１ａとゲートウェイ装置１ｂは同一構成となっている。ＬＡＮコントローラ１０３、１０４は、各バスＡ〜Ｃの各通信プロトコルに規定されたデータフォーマットに従ってデータの送受信を行う。

ゲートウェイ装置１ａは、バスＡのネットワークとバスＢのネットワーク間のデータの中継を行い、ゲートウェイ装置１ｂは、バスＢのネットワークとバスＣのネットワーク間のデータの中継を行う。

診断ツール２は、各ＥＣＵから故障診断等のための各種情報を収集するもので、バスＡに接続されている。診断ツール２は、通信プロトコルに規定された手順に従って各ＥＣＵ３ａ、３ｂ、４ａ、４ｂ、５ａ、５ｂのセキュリティ設定を解除して診断を行うことができるようになっている。例えば、ＥＣＵ５ａのセキュリティを解除して診断を行う場合、診断ツール２は、ＥＣＵ５ａへセキュリティロックを維持する初期セッションからセキュリティを解除する診断セッションへのセッション移行要求を送信し、このＥＣＵ５ａから診断ツール２へセッション移行要求のセッション応答（肯定応答）が送信され、このセッション応答を受信した後、ＥＣＵ５ａへセキュリティ解除要求（制限解除要求に相当する）を送信し、ＥＣＵ５ａがセキュリティ解除状態となった後にＥＣＵ５ａの診断を行うようになっている。

なお、初期セッション、診断セッション等の各セッションは、国際標準化機構（ＩＳＯ）によって策定されたＯＳＩ参照モデルの７階層の１つであるセッション層で規定されたセッションを意味する。セッションには、初期セッション、診断セッションの他に、プログラミングセッション、拡張診断セッション等がある。

本車載ネットワークシステムでは、セキュリティロック解除状態がいつまでも継続するとセキュリティ性が低下してしまうため、各ＥＣＵ４ａ、４ｂ、５ａ、５ｂは、通信プロトコルに規定された規定時間（例えば、５秒）が経過すると、セキュリティを解除する診断セッションからセキュリティロックを維持する初期セッションへと移行して、セキュリティロック状態に戻るようになっている。

具体的には、診断ツール２は、制御対象のＥＣＵが初期セッションから診断セッションへ遷移してからの時間を計測するセッションクライアントタイマを有し、このセッションクライアントタイマに計測時間が規定時間を超えると、制御対象のＥＣＵが診断セッションへ戻ったものとして処理を行う。

一方、各ＥＣＵ３ａ、３ｂ、４ａ、４ｂ、５ａ、５ｂは、セッション状態を管理するセッションサーバタイマを有し、このセッションサーバタイマを用いて規定時間が経過したことを認識すると、初期セッションへ遷移してセキュリティロック状態に戻るようになっている。

このように、本車載ネットワークシステムでは、規定時間が経過すると、セキュリティ設定、ドアロック設定等、各種設定を初期状態に戻すようになっており、各種設定を初期状態に戻す際の時間の管理はセッションにより行われるようになっている。

ところで、ネットワーク構成の複雑化により、診断ツール２と制御対象のＥＣＵとの間のデータ中継に遅延が生じると、診断ツール２からの要求に応じて制御対象のＥＣＵが初期セッションから診断セッションに遷移しても、診断を行う前に、規定時間が経過して制御対象のＥＣＵが診断セッションから初期セッションへ遷移してしまい、正常に診断を行うことができなくなるといった状況が発生する。

そこで、本実施形態におけるゲートウェイ装置１ａ、１ｂは、制御対象のＥＣＵに対する初期セッションから特定セッションへのセッション移行要求を受信してからの経過時間を計時するセッションタイマＡと、制御対象のＥＣＵが特定セッションから初期セッションへ遷移しないように特定セッションの状態維持を指示するためのセッションタイマＢを有し、セッションタイマＡにより計時された経過時間に基づいて診断装置が認識している制御対象のＥＣＵのセッション状態を推定し、当該制御対象のＥＣＵのセッション状態をＲＡＭに記憶させるとともに、ＲＡＭに記憶されたセッション状態に基づいて診断装置が認識している制御対象のＥＣＵのセッション状態が特定セッションであることを判定した場合、セッションタイマＢを用いて制御対象のＥＣＵが特定セッションから初期セッションへ遷移しないように定期的に特定セッションの状態維持を指示する。

図３に、ゲートウェイ装置１ａにより管理されるセッション状態の様子を示す。ゲートウェイ装置１ａは、診断ツール２とゲートウェイ装置１ａ（図中、ゲートウェイ装置をＧＷと記す）との間のセッションを管理するためのセッションタイマＡを有し、このセッションタイマＡを用いて、診断ツール２が認識している制御対象のＥＣＵのセッション状態を推定する。具体的には、診断ツール２からの診断セッションへの移行要求を受信すると、診断ツール２が認識している制御対象のＥＣＵのセッション状態を初期セッション（Ａ−１）から診断セッション（Ａ−２）へと遷移させ、セッションタイマＡがタイムアウトした場合、あるいは、診断ツール２からの初期セッションへの移行要求を受信した場合、診断ツール２が認識している制御対象のＥＣＵのセッション状態を診断セッション（Ａ−２）から初期セッション（Ａ−１）へと遷移させる。

また、ゲートウェイ装置１ａは、セッションタイマＡを用いて推定される診断ツール２が認識している制御対象のＥＣＵのセッション状態と、実際の制御対象のＥＣＵのセッション状態を一致させるためのセッションタイマＢを有し、このセッションタイマＢを用いて、診断ツール２が認識している制御対象のＥＣＵのセッション状態と、実際の制御対象のＥＣＵのセッション状態を同期させる。具体的には、セッションタイマＢを用いて、制御対象のＥＣＵが初期セッション（Ｂ−１）から診断セッション（Ｂ−２）へ遷移してからの経過時間を計測し、例えば、ネットワーク構成の複雑化により診断ツール２から制御対象のＥＣＵへセキュリティ解除要求を送信する前に、制御対象のＥＣＵが診断セッションから初期セッションへ遷移してしまい、診断ツール２が認識している制御対象のＥＣＵのセッション状態と、実際の制御対象のＥＣＵのセッション状態が不一致とならないように、セッションタイマＢがセッションタイムアウトする度に診断ツール２に代わって状態維持要求を定期送信する。

なお、セッションタイマＢがセッションタイムアウトする時間は、ＥＵＣが診断セッションから初期セッションへ戻る規定時間よりも短い時間に設定されている。このため、セッションタイマ２がセッションタイムアウトする度に診断ツール２に代わって状態維持要求が送信される限り、ＥＵＣは診断セッションを維持し、初期セッションに戻ることはない。

図４〜図６に、ゲートウェイ装置１ａのフローチャートを示す。次に、診断ツール２がＥＣＵ４ａの診断を行う場合を例に、ゲートウェイ装置１ａの処理について説明する。ゲートウェイ装置１ａは、図４に示す処理を周期的に実施する。ここでは、ＥＣＵ４ａは初期セッションとなっており、セキュリティロック状態となっているものとする。

まず、診断ツール２からのセッション要求メッセージを受信したか否かを判定する（Ｓ１００）。ここで、セッション要求メッセージが受信されない場合、Ｓ１００の判定を繰り返し実施する。また、セッション要求メッセージが受信されると、Ｓ１００の判定は ＹＥＳとなり、次に、セッション要求メッセージをＥＣＵ４ａへ中継する（Ｓ１０２）。

なお、ＥＣＵ４ａは、このセッション要求メッセージを受信すると、このセッション要求メッセージが診断セッションへの移行を要求するものであるか、初期セッションへの移行を要求するものあるかを判定し、診断セッションへの移行を要求するものであると判定した場合、初期セッションから診断セッションへ移行し、初期セッションへの移行を要求するものあると判定した場合、初期セッションの状態を維持する。

ゲートウェイ装置１ａは、次に、フローＣを起動する（Ｓ１０４）。図６に、フローＣを示す。このフローＣは、セッション要求メッセージをＥＣＵ４ａへ中継し、このセッション要求メッセージの受信に応答してＥＣＵ４ａから送信されるセッション応答を診断ツール２へ中継する処理である。なお、このフローＣの詳細については後で説明する。

次に、受信したセッション要求メッセージが移行要求（診断セッションへの移行要求）であるか、デフォルト要求（初期セッションへの移行要求）であるかを判定する（Ｓ１０６）。

ここで、受信したセッション要求メッセージがデフォルト要求（初期セッションへの移行要求）となっている場合、次に、診断ツール２が認識しているＥＣＵ４ａのセッション状態をＡ−１状態（初期セッション）に遷移させる（Ｓ１０７）。具体的には、診断ツールのセッション状態をＡ−１状態（初期セッション）としてＲＡＭに記憶させ、Ｓ１００へ戻る。

また、受信したセッション要求メッセージが移行要求（診断セッションへの移行要求）となっている場合には、次に、診断ツール２が認識しているＥＣＵ４ａのセッション状態をＡ−２状態（診断セッション）に遷移させる（Ｓ１０８）。具体的には、診断ツール２が認識しているＥＣＵ４ａのセッション状態をＡ−２状態（診断セッション）としてＲＡＭに記憶させ、次に、フローチャートＢを起動する（Ｓ１１０）。図５に、フローＢを示す。このフローＢは、診断装置が認識しているＥＣＵ４ａのセッション状態を推定し、当該診断装置が認識しているＥＣＵ４ａのセッション状態が特定セッションであることを判定した場合、制御対象のＥＣＵが特定セッションから初期セッションへ遷移しないように診断ツールに代わって特定セッションの状態維持を指示する処理である。このフローＢの詳細についても後で説明する。

次に、セッションタイマＡにより計時を開始する（Ｓ１１２）。すなわち、セッションタイマＡにより、診断ツール２が認識しているＥＣＵ４ａのセッション状態をＡ−２状態（診断セッション）になってからの時間を計時する。

次に、診断ツール２から状態維持要求メッセージがあるか否かを判定する（Ｓ１１４）。

ここで、診断ツール２から状態維持要求メッセージが受信された場合、Ｓ１１４の判定はＹＥＳとなり、次に、セッションタイマＡをリロードするとともに、Ａ−２状態（診断セッション）を継続し（Ｓ１２０）、Ｓ１１４へ戻る。ここで、リロードとは、タイマのカウント値をリセットして、カウントを再開することを意味する。

また、診断ツール２から状態維持要求メッセージが受信されない場合、Ｓ１１４の判定はＮＯとなり、次に、セッションタイマＡがタイムアウトしたか否かを判定する（Ｓ１１６）。具体的には、セッションタイマＡの計測時間が規定時間（例えば、５秒）を超えたか否かを判定する。

ここで、セッションタイマＡの計測時間が規定時間を超えてない場合、Ｓ１１６の判定はＮＯとなり、Ｓ１１４の判定へ戻る。また、セッションタイマＡの計測時間が規定時間を超えた場合、Ｓ１１６の判定はＹＥＳとなり、診断ツール２が認識しているＥＣＵ４ａのセッション状態をＡ−２状態（診断セッション）からＡ−１状態（初期セッション）へ遷移させ（Ｓ１１８）、Ｓ１００へ戻る。

次に、図５に従って、フローＢについて説明する。図４におけるＳ１１０において、フローＢの起動が指示されると、フローＢが開始される。

まず、制御対象のＥＣＵのセッション状態を初期セッション（Ｂ−１）から診断セッション（Ｂ−２）へ遷移させる（Ｓ２００）。具体的には、制御対象のＥＣＵのセッション状態を診断セッション（Ｂ−２）としてＲＡＭに記憶させる。

次に、セッションタイマＢの計時を開始し（Ｓ２０２）、次に、診断ツール２が認識している制御対象のＥＣＵのセッション状態が初期セッション（Ａ−１）
か否かを判定する（Ｓ２０４）。

ここで、診断ツール２が認識している制御対象のＥＣＵのセッション状態が診断セッション（Ａ−２）となっている場合、Ｓ２０４の判定はＮＯとなり、次に、セッションタイマＢがタイムアウトしたか否かを判定する（Ｓ２０６）。

ここで、セッションタイマＢがタイムアウトしてない場合、Ｓ２０６の判定はＮＯとなり、Ｓ２０４の判定へ戻る。また、セッションタイマＢがタイムアウトすると、Ｓ２０６の判定はＹＥＳとなり、制御対象のＥＣＵ４ａに対し、診断セッションの維持を指示するセッション状態維持要求を送信し（Ｓ２０８）、セッションタイマＢをリロードし（Ｓ２１０）、Ｓ２０４へ戻る。

また、診断ツール２が認識している制御対象のＥＣＵのセッション状態が初期セッション（Ａ−１）となっている場合、制御対象のＥＣＵのセッション状態についても診断セッション（Ｂ−２）から初期セッション（Ｂ−１）へ遷移させる（Ｓ２１２）。このように、診断ツール２が認識している制御対象のＥＣＵのセッション状態と、制御対象のＥＣＵのセッション状態とが同期するようになっている。

次に、図６に従って、フローＣについて説明する。図４におけるＳ１０４において、フローＣの起動が指示されると、フローＣが開始される。

まず、Ｐ２タイマの計時を開始する（Ｓ３００）。このＰ２タイマは、診断ツール２よる送信されたセッション要求メッセージを制御対象のＥＣＵへ中継してから、このセッション要求メッセージに受信に応じて制御対象のＥＣＵより送信されるセッション応答を受信するまでに時間が規定時間内か否かを判定するためのタイマである。

次に、ＥＣＵ４ａからセッション応答メッセージを受信したか否かを判定する（Ｓ３０２）。ここで、ＥＣＵ４ａからセッション応答メッセージを受信してない場合、次に、Ｐ２タイマがタイムアウトしたか否かを判定する（Ｓ３１２）。具体的には、Ｐ２タイマが規定時間を超過したか否かを判定する。

ここで、Ｐ２タイマが規定時間を超過していない場合、Ｓ３１２の判定はＮＯとなり、Ｓ３０２へ戻る。また、Ｐ２タイマが規定時間を超過する前に、ＥＣＵ４ａからセッション応答メッセージを受信すると、Ｓ３０２の判定はＹＥＳとなり、次に、セッション応答メッセージが肯定応答であるか、否定応答であるかを判定する（Ｓ３０４）。

ここで、セッション応答メッセージが肯定応答の場合、応答メッセージを診断ツール２へ中継し、本処理を終了する。

また、セッション応答メッセージが否定応答の場合、応答メッセージを診断ツール２へ中継し（Ｓ３０８）、フローＢを終了させ（Ｓ３１０）、本処理を終了する。

また、ＥＣＵ４ａからセッション応答メッセージを受信することなく、Ｐ２タイマがタイムアウトした場合、Ｓ３１２の判定はＹＥＳとなり、フローＢを終了させ（Ｓ３１０）、本処理を終了する。

図７に、診断ツール２からＥＣＵ４ａへ要求メッセージが送信された場合の診断ツール２、ゲートウェイ装置１ａ、ＥＣＵ４ａ間の信号の流れを示す。次に、図７を参照して、要求メッセージが送信された場合の診断ツール２、ゲートウェイ装置１ａ、ＥＣＵ４ａ間の信号の流れについて説明する。

診断ツール２からＥＣＵ４ａに対して診断セッションへのセッション移行要求が送信されると、ゲートウェイ装置１ａは、このセッション移行要求をＥＣＵ４ａへ中継するとともに、セッションタイマＡの計時と、セッションタイマＢの計時を開始する。

このセッション移行要求を受信したＥＣＵ４ａは、初期セッションから診断セッションへと遷移するとともに、セッション応答を診断ツール２へと送信する。

ゲートウェイ装置１ａは、このセッション応答を診断ツール２へ中継するとともに、セッションタイマＢがタイムアウトすると、ＥＣＵ４ａに対し、診断ツール２に代わって診断セッションの維持を指示するセッション状態維持要求を送信する。ＥＣＵ４ａは、このセッション状態維持要求を受信すると診断セッションを維持する。

診断ツール２は、セッション応答を受信すると、次に、セキュリティアクセス要求およびセキュリティキーを、順次、ＥＣＵ４ａに対して送信する。

ゲートウェイ装置１ａは、セキュリティアクセス要求およびセキュリティキーをＥＣＵ４ａに中継する。ＥＣＵ４ａは、診断セッションで、セキュリティアクセス要求およびセキュリティキーを受信し、セキュリティアンロックが成立すると、セキュリティ解除状態となる。

また、ゲートウェイ装置１ａからＥＣＵ４ａに対し、セッションタイマＢがタイムアウトする度に、診断セッションの維持を指示するセッション状態維持要求が定期送信される。

診断ツール２は、ＥＣＵ４ａがセキュリティ解除状態となった状態で、各種診断を行うことが可能となる。

なお、この図７では、診断ツール２から送信された状態維持要求がゲートウェイ装置１ａによりＥＣＵへ中継されないようになっているが、診断ツール２から送信された状態維持要求がＥＣＵへ中継されるようにしてもよい。

上記した構成によれば、ＥＣＵは、診断装置からゲートウェイ装置を介してセキュリティ設定状態（特定サービスの設定状態に相当する）をセキュリティロック状態（初期状態に相当する）とする初期セッションからセキュリティ設定状態をセキュリティ解除状態（特定状態に相当する）とする特定セッションへの移行要求を受信すると、初期セッションから特定セッションへ遷移し、ゲートウェイ装置を介して診断装置へ特定セッションへの移行要求の受信に応じたセッション応答を送信するとともに、特定セッションへ遷移した状態で、セッション応答の受信に応じて診断装置からゲートウェイ装置を介してセキュリティ設定状態をセキュリティロック状態に移行させる状態移行要求を受信するとセキュリティ設定状態がセキュリティ解除状態に移行し、初期セッションから特定セッションへ遷移してから規定時間が経過して特定セッションから初期セッションへ遷移するとセキュリティ設定状態がセキュリティロック状態に戻るようになっており、ゲートウェイ装置は、診断ツールからＥＣＵに対する初期セッションから診断セッションへのセッション移行要求を受信してからの経過時間を計時するセッションタイマＡと、セッションタイマＡにより計時された経過時間に基づいて診断ツールが認識しているＥＣＵのセッション状態を推定し、当該ＥＣＵのセッション状態をＲＡＭに記憶させるセッション状態記憶手段と、ＲＡＭに記憶されたセッション状態に基づいて診断ツールが認識しているＥＣＵのセッション状態が診断セッションであることを判定した場合、ＥＣＵが診断セッションから初期セッションへ遷移しないように特定セッションの状態維持を指示するセッション状態維持要求をＥＣＵへ送出するので、ネットワーク構成が複雑でデータ中継の遅延が大きくても、特定サービスの設定状態を変更した状態でＥＣＵの診断を行うことを可能とすることができる。

また、セッションタイマＢを用いてセッション状態維持要求が定期的に送出されるので、特定サービスの設定状態を変更した状態で安定的にＥＣＵの診断を行うことができる。

また、ＲＡＭに記憶されたセッション状態に基づいて診断ツールが認識しているＥＣＵのセッション状態が初期セッションに遷移したことを判定した場合、セッション状態維持要求の送出が停止されるので、セキュリティロック解除状態（特定サービスの設定状態を変更した状態）がいつまでも継続してセキュリティ性が低下してしまうといったことを防止することができる。

なお、本発明は上記実施形態に限定されるものではなく、本発明の趣旨に基づいて種々なる形態で実施することができる。

例えば、上記実施形態では、通信バスＡ〜Ｃの通信プロトコルとして、ＣＡＮ通信プロトコルおよびＦｌｅｘＲａｙ通信プロトコルを適用した例を示したが、これらの通信プロトコルに限定されるものではない。

また、上記実施形態では、特定サービスの設定状態を変更する例として、セキュリティロックを解除する例を示したが、このような例に限定されるものではなく、例えば、ユーザの利用範囲の設定を変更する場合、センサの出力設定あるいはアクチュエータの制御設定を変更する場合等、各種サービスの設定状態を変更する場合に適用することができる。

また、上記実施形態では、診断ツール２から制御対象のＥＣＵへセキュリティロックを維持する初期セッションからセキュリティを解除する診断セッションへの移行要求を送信する例を示したが、セキュリティを解除するセッションとしては、診断セッションに限定されるものではなく、例えば、プログラミングセッション、拡張診断セッション等とすることもできる。

なお、上記実施形態における構成と特許請求の範囲の構成との対応関係について説明すると、ＲＡＭ１０２が記憶媒体に相当し、セッションタイマＡが第１のタイマに相当し、セッション状態記憶手段に相当し、Ｓ１１２〜Ｓ１１８がセッション状態記憶手段に相当し、Ｓ２０２〜Ｓ２１０がセッション維持要求送出手段に相当し、セッションタイマＢが第２のタイマに相当する。

１ａ、１ｂ ゲートウェイ装置
２ 診断ツール
３ａ、３ｂ ＥＣＵ
４ａ、４ｂ ＥＣＵ
５ａ、５ｂ ＥＣＵ

Claims (4)

1. ＥＣＵが接続されたネットワークと、前記ＥＣＵの診断を行う診断装置が接続されるネットワークとの間にゲートウェイ装置を備えた車載ネットワークシステムであって、
   前記ＥＣＵは、前記診断装置から前記ゲートウェイ装置を介して特定サービスの設定状態を初期状態とする初期セッションから前記特定サービスの設定状態を初期状態と異なる特定状態とする特定セッションへの移行要求を受信すると、初期セッションから特定セッションへ遷移し、前記ゲートウェイ装置を介して前記診断装置へ前記特定セッションへの移行要求の受信に応じたセッション応答を送信するとともに、特定セッションへ遷移した状態で、前記セッション応答の受信に応じて前記診断装置から前記ゲートウェイ装置を介して前記特定サービスの設定状態を前記特定状態に移行させる状態移行要求を受信すると前記特定サービスの設定状態が前記特定状態に移行し、初期セッションから特定セッションへ遷移してから規定時間が経過して特定セッションから初期セッションへ遷移すると前記特定サービスの設定状態が初期状態に戻るようになっており、
   前記ゲートウェイ装置は、前記診断装置から前記ＥＣＵに対する初期セッションから特定セッションへのセッション移行要求を受信してからの経過時間を計時する第１のタイマと、
   前記第１のタイマにより計時された経過時間に基づいて前記診断装置が認識している前記ＥＣＵのセッション状態を推定し、当該ＥＣＵのセッション状態を記憶媒体に記憶させるセッション状態記憶手段と、
   前記記憶媒体に記憶されたセッション状態に基づいて前記診断装置が認識している前記ＥＣＵのセッション状態が特定セッションであることを判定した場合、前記ＥＣＵが特定セッションから初期セッションへ遷移しないように特定セッションの状態維持を指示するセッション状態維持要求を前記ＥＣＵへ送出するセッション維持要求送出手段と、を備えたことを特徴とする車載ネットワークシステム。
2. 前記ゲートウェイ装置は、前記セッション状態維持要求を前記ＥＣＵへ送出してからの時間を計時する第２のタイマを備え、
   前記セッション状態記憶手段は、前記第２のタイマを用いてセッション状態維持要求を定期的に送出することを特徴とする請求項１に記載の車載ネットワークシステム。
3. 前記セッション維持要求送出手段は、前記記憶媒体に記憶されたセッション状態に基づいて前記診断装置が認識している前記ＥＣＵのセッション状態が初期セッションに遷移したことを判定した場合、前記セッション状態維持要求の送出を停止することを特徴とする請求項１または２に記載の車載ネットワークシステム。
4. 前記特定サービスの設定状態は、セキュリティ設定状態であり、前記初期状態はセキュリティロック状態であり、前記特定状態はセキュリティ解除状態であることを特徴とする請求項１ないし３のいずれか１つに記載の車載ネットワークシステム。

Images