JP2013118609A - セキュリティ装置 - Google Patents

Abstract

【課題】車外装置接続用のコネクタを介した車載通信システムに対する不正行為を簡易な構成で阻止するセキュリティ装置を提供する。
【解決手段】許可フレーム以外のフレームがコネクタ４を介してツールバス３ｂから基幹バス３ａに提供されてしまうことを防止するセキュリティ機能を実現するセキュリティ装置５を、基幹バス３ａとツールバス３ｂとを導通，遮断するスイッチ５１と、ツールバス３ｂ上のデータのＩＤを検出し、その検出結果に従ってスイッチのオン／オフ状態を制御する制御回路５２とで構成する。
【選択図】図１

Description

本発明は、車外装置を接続するコネクタを備えた車載通信システムに適用するセキュリティ装置に関する。

従来、車両では、電子制御化の進歩に伴い、エンジンやブレーキ等といった各種の車両構成品が電子部品を介して制御され、これら電子部品に接続された電子制御ユニット（ＥＣＵ）の数も増加傾向にある。また、ＥＣＵは、相互間での連携動作や情報の共有化を可能とするために車載通信ネットワークを構築している。

ところで、車載通信システムには、ＥＣＵを介して車両の状態を診断したり、ＥＣＵのプログラムをバージョンアップしたりする際に、外部ツールを接続するためのコネクタが設けられている。

但し、このようなコネクタは、不正行為（例えば、ＥＣＵプログラムの不正な書き換えなど）に悪用される可能性がある。このような不正行為を阻止する方法の一つとして、コネクタに接続された外部ツールの認証を行うゲートウェイ装置を設置し、認証に成功すると外部ツールからのデータがゲートウェイ装置を介して車載通信システムに提供されるようにしたものが知られている（例えば、特許文献１参照。）。

特開２００３−４６５３６号公報

しかし、このようなゲートウェイ装置を実現するには、マイクロコンピュータ（マイコン）や通信トランシーバ、通信コントローラ、デコーダ、リングバッファ等が必要であり、部品点数の増加やコストアップ、重量増加に繋がってしまうという問題があった。

また、このようなゲートウェイ装置を車載通信システムに追加すると、通信線路上での通信波形の歪みが増大し通信品質を劣化させてしまうおそれがあるという問題もあった。
本発明は、上記問題点を解決するために、車外装置接続用のコネクタを介した車載通信システムに対する不正行為を簡易な構成で阻止するセキュリティ装置を提供することを目的とする。

上記目的を達成するためになされた本発明は、車両に構築された車載通信システムと、該車載通信システムに車外装置を接続するためのコネクタとの間に配置されるセキュリティ装置である。

本発明のセキュリティ装置では、コネクタから前記車載通信システムに至る通信線路に、該通信線路を導通，遮断するスイッチが設けられており、制御回路は、コネクタを介して入力されるデータが、予め許可された許可情報を有している場合に通信線路を導通させ、予め設定された終了条件が成立した場合に通信線路を遮断するようにスイッチを制御する。

このように本発明のセキュリティ装置は、許可情報を有していないデータが車載通信システムに提供されることを防止するセキュリティ機能を、マイコン，通信トランシーバ，通信コントローラ等を必要とせず、簡易な構成により実現することができる。

また、通信線路には、スイッチが接続されるだけであるために、セキュリティ装置を接続することによって、車載通信システムでの通信波形の歪みを増大させてしまうこと、ひいては通信品質が劣化することを防止することができる。

本発明のセキュリティ装置において、制御回路は、許可情報を検出してからの経過時間が、予め設定された許容時間に達することを終了条件とするように構成されていてもよい。

つまり、許可情報を有するデータが一旦検出されると、その後、許容時間の間は、コネクタに接続された車外装置との通信を可能とすることができる。
この場合、制御回路は、更に、スイッチにより通信線路が導通している時に、許可情報が検出されると、経過時間の計時値をリセットするように構成されていてもよい。

これにより、許容時間内での許可情報を有したデータの送信を繰り返すことにより、車外装置との通信が許可された状態を、継続させることができる。
また、本発明のセキュリティ装置において、制御回路は、許可情報とは異なる終了情報を有したデータを検出することを終了条件とするように構成されていてもよい。

この場合、終了情報を有したデータは、車外装置側及び車載通信システム側のいずれから出力されたものであってもよい。例えば、車外装置との通信対象となるＥＣＵが予め決められた手順や回数のやり取りを終了した時点で、或いは、不正なデータを検出した時点で強制的にスイッチをオフすることができる。

ところで、本発明のセキュリティ装置において、スイッチは、通信線路の遮断時に、通信線路を物理的に切り離すタイプのものを使用してもよい。
この場合、コネクタを未使用の時には、コネクタと車載通信システムとは電気的に非導通の状態となるため、不注意によりコネクタを被水（ジュースをこぼす等）させてしまったり、金属片等を接触させてしまったりすることで、コネクタ４の端子間が短絡した場合でも、その影響が車載通信システム内での通信に及ぶことを防止することができる。

車載通信システムの構成を示すブロック図である。 制御回路が実行する処理の内容を示すフローチャートである。 車載通信システムの動作例を示すタイミング図である。 制御回路が実行する処理の内容を示すフローチャートである。 車載通信システムの動作例を示すタイミング図である。

以下に本発明の実施形態を図面と共に説明する。
［第１実施形態］
＜全体構成＞
図１は、本発明が適用された車載通信システム１の構成を示すブロック図である。

車載通信システム１は、図１に示すように、車両の各部に設置された複数の電子制御ユニット（ＥＣＵ）２と、ＥＣＵ２を相互に接続する通信線路であるバス３と、ＥＣＵ２を介して車両の状態を診断したり、ＥＣＵ２のプログラムをバージョンアップしたりする外部ツール（車外装置)１０を接続するためのコネクタ４と、コネクタ４をバス３に接続する通信線路に設けられたセキュリティ装置５とを備えている。

なお、車載通信システム１では、データと、そのデータの種類を表す識別子（ＩＤ）とを少なくとも含んだフレーム（図３参照）を用いて、データを送受信するように構成されている。

また、以下では、バス３のうち、セキュリティ装置５からＥＣＵ２に至る部位を基幹バス３ａ、セキュリティ装置５からコネクタに至る部位をツールバス３ｂともいう。そして、ここでは、ＥＣＵ２，基幹バス３ａによって構成される通信システムが、特許請求の範囲でいう車載通信システムに対応する。

セキュリティ装置５は、基幹バス３ａとツールバス３ｂとを導通，遮断するスイッチ５１と、ツールバス３ｂ上のデータのＩＤを検出し、その検出結果に従ってスイッチのオン／オフ状態を制御する制御回路５２とからなる。

なお、スイッチ５１は、セキュリティ装置５への電源供給が行われていない時にはオフ状態となるノーマルオープン型のリレーによって構成されている。つまり、スイッチ５１がオフ状態の時には、ツールバス３ｂ（ひいてはコネクタ４）が基幹バス３ａから物理的にも切り離された状態となるように構成されている。

また、セキュリティ装置５への電源供給は、コネクタ４に外部ツール１０が接続されている間だけ行われるように構成されている。
ここで図２は、制御回路５２が実行する処理の内容を示すフローチャートである。

なお、制御回路５２は、論理回路によって構成されたシーケンサからなり、セキュリティ装置５への電源供給が開始されると起動する。また、制御回路５２は、図示しないシステムクロックによって自走するタイマーを少なくとも備えている。

制御回路５２が起動すると、まず、スイッチ５１をオフ状態にする（Ｓ１１０）。
ＩＤとして予め設定された許可ＩＤ（許可情報）が付与されたフレーム（以下「許可フレーム」という）を受信するまで待機し（Ｓ１２０）、許可フレームを受信すると（Ｓ１２０：ＹＥＳ）、スイッチ５１をオン状態にして（Ｓ１３０）、タイマーの計時値をリセットする（Ｓ１４０）。これにより、基幹バス３ａとツールバス３ｂとが接続され、コネクタ４に接続された外部ツール１０とＥＣＵ２との通信が可能な状態となる。

そして、タイマーの計時値に基づき、計時値がリセットされてから、予め設定された許容時間が経過したか否かを判断する（Ｓ１５０）。なお、許容時間は、少なくとも、外部ツール１０からの要求に対してＥＣＵ２が応答を完了するのに要する時間より長い時間に設定される。

許容時間が経過していなければ（Ｓ１５０：ＮＯ）、許可フレームを受信したか否かを判断し（Ｓ１６０）、許可フレームを受信していなければ（Ｓ１６０：ＮＯ）、Ｓ１５０に戻って、許容時間が経過するか或いは許可フレームを受信するまで待機する。

許可フレームを受信した場合（Ｓ１６０：ＹＥＳ）、Ｓ１４０に戻り、タイマーの計時値をリセットして、再び許容時間が経過するか許可フレームを受信するまで待機する。
また、タイマーの計時値をリセット後、許可フレームを受信することなく許容時間が経過すると（Ｓ１５０：ＹＥＳ）、Ｓ１１０に戻り、スイッチをオフして許可フレームを受信するまで待機する。

＜動作例＞
図３は、車載通信システム１の動作例を示すタイミング図である。
まず、外部ツール１０をコネクタ４に接続すると、セキュリティ装置５への電源供給が開始される。この時、スイッチ５１はオフ状態となる。

次に、外部ツール１０によりコネクタ４を介して入力されたツールバス３ｂ上のフレームが許可フレームである場合、制御回路５２は、受信したフレームのＩＤが許可ＩＤであることを認識した時点で、スイッチ５１をオフ状態からオン状態に切り替える共に、計時用タイマーの計時値をリセットする。これにより、外部ツール１０とＥＣＵ２との通信が可能な状態となる。

但し、スイッチ５１がオフ状態からオン状態に切り替わるタイミングは、フレームのＩＤ部分を受信した後となり、ＩＤを除くデータだけが基幹バス３ａに供給されることになるため、この許可フレームは、車載通信システム１上では無効なフレーム（エラー）と判断され破棄される。なお、外部ツール１０は、破棄された許可フレームについての応答が得られないため、同じ許可フレームを再送することになる。

その後、許容時間内に新たな許可フレームを受信した場合、即ち、受信したフレームのＩＤが制御回路５２にて許可ＩＤであることを認識した場合、制御回路５２は、その認識したタイミングで計時用タイマーの計時値をリセットする。

一方、最後に許可フレームを受信してからの経過時間が許容時間を超えた場合、即ち、計時用タイマーがタイムアウトした場合、制御回路５２は、スイッチ５１をオン状態からオフ状態に切り替える。これにより、外部ツール１０とＥＣＵ２との通信が不能な状態となる。

つまり、セキュリティ装置５は、外部ツール１０から許可フレームが送信されてきた場合に、スイッチ５１を許容時間（即ち計時用タイマーがタイムアウトするまで）の間だけオン状態にすることで、外部ツール１０にＥＣＵ２との通信を許可する。また、セキュリティ装置５は、許容時間内に再度許可フレームを受信した場合、その都度、計時用タイマーの計時値をリセットすることで、連続的に許可フレームが送受信されている間はスイッチ５１のオン状態、即ち通信が許可された状態を継続させている。

＜効果＞
以上説明したように、車載通信システム１によれば、セキュリティ装置５を用いることにより、許可フレーム以外のフレームがコネクタ４を介してツールバス３ｂから基幹バス３ａに提供されてしまうことを防止するセキュリティ機能を、マイコン，通信トランシーバ，通信コントローラ等を必要とせず、簡易な構成により実現することができる。

また、車載通信システム１では、基幹バス３ａとツールバス３ｂとを導通，遮断するスイッチ５１として、バスを物理的に切り離すノーマルオフ型のリレーを用いている。このため、コネクタ４を使用していない時に、不注意によりコネクタ４を被水（ジュース等をが被ること）させてしまったり、金属片等を接触させてしまったりすることで、コネクタ４の端子間が短絡した場合でも、その影響が基幹バス３ａに及ぶことがない。

更に、車載通信システム１では、スイッチ５１がオン状態の時に許容時間を越えて許可フレームの送信が検出されなかった場合、スイッチ５１がオフ状態となるため、コネクタに接続された外部ツール１０の故障などにより、ツールバス３ｂが短絡したとしても、許容時間が経過すると自動的にスイッチ５１がオフ状態となるため、基幹バス３ａを保護することができる。

なお、本実施形態では、許可フレームを受信する毎に計時用タイマーの計時値をリセットするようにされているが、計時用タイマーは、スイッチ５１をオン状態にしてからの経過時間を計時するように構成してもよい。この場合、許容時間は、少なくとも、外部ツール１０からの要求を契機としてＥＣＵ２との間で実行される一連の通信が完了するまでに要する時間以上に設定すればよい。

［第２実施形態］
次に第２実施形態について説明する。
本実施形態は、制御回路の動作が第１実施形態とは異なるだけであるため、この相違点を中心に説明する。

＜制御回路＞
図４は、制御回路５２が実行する処理の内容を示すフローチャートである。
なお、制御回路５２は、第１実施形態の場合と同様に、論理回路によって構成されたシーケンサからなり、セキュリティ装置５への電源供給が開始されると起動する。但し、計時用タイマーは省略されている。

制御回路５２が起動すると、まず、スイッチ５１をオフ状態にして（Ｓ２１０）、許可フレームを受信するまで待機し（Ｓ２２０）、許可フレームを受信すると（Ｓ２２０：ＹＥＳ）、スイッチ５１をオン状態にする（Ｓ２３０）。

その後、許可ＩＤとは異なる終了ＩＤ（終了情報）が付与されたフレーム（以下「終了フレーム」という）を受信するまで待機し（Ｓ２４０）、終了フレームを受信すると（Ｓ２４０：ＹＥＳ）、Ｓ２１０に戻る。

＜動作例＞
図５は、車載通信システム１の動作例を示すタイミング図である。
まず、外部ツール１０をコネクタ４に接続すると、セキュリティ装置５への電源供給が開始される。この時、スイッチ５１はオフ状態となる。

次に、外部ツール１０によりコネクタ４を介して入力されたツールバス３ｂ上のフレームが許可フレームである場合、制御回路５２は、受信したフレームのＩＤが許可ＩＤであることを認識した時点で、スイッチ５１をオフ状態からオン状態に切り替える。これにより、外部ツール１０とＥＣＵ２との通信が可能な状態となる。

外部ツール１０の通信対象となったＥＣＵ２は、予め設定された手順に従って、所定回数のフレームのやり取りが完了するか、或いは、許可フレームのデータに不正なものが含まれていることを検出した場合に、終了フレームを送信する。

ＥＣＵ２から出力された終了フレームを受信した制御回路５２は、受信したフレームのＩＤが終了ＩＤであることを認識した時点で、スイッチ５１をオン状態からオフ状態に切り替える。これにより、外部ツール１０とＥＣＵ２との通信が不能な状態となる。

つまり、セキュリティ装置５は、外部ツール１０から許可フレームが送信されてきた場合に、スイッチ５１をオン状態に切り替えることで外部ツール１０とＥＣＵ２との通信を許可し、終了フレームを検出した場合に、スイッチ５１をオフ状態に切り替えることで外部ツール１０とＥＣＵ２との通信を禁止するようにされている。

＜効果＞
以上説明したように、本実施形態の車載通信システム１によれば、第１実施形態の場合と同様に、セキュリティ装置５を用いることにより、許可フレーム以外のフレームがコネクタ４を介してツールバス３ｂから基幹バス３ａに提供されてしまうことを防止するセキュリティ機能を、マイコン，通信トランシーバ，通信コントローラ等を必要とせず、簡易な構成により実現することができる。

［他の実施形態］
以上本発明の実施形態について説明したが、本発明は上記実施形態に限定されるものではなく、本発明の要旨を逸脱しない範囲において様々な態様にて実施することができる。

例えば、上記実施形態では、基幹バス３ａとツールバス３ｂとを遮断する終了条件として、計時用タイマーがタイムアウトすること（第１実施形態）、及びＥＣＵ２から送信される終了フレームを受信すること（第２実施形態）を用いているが、例えば、基幹バス３ａ上でやり取りされるフレームの内容を監視するＥＣＵ２と、セキュリティ装置５との間にじか線を設け、このじか線を介してスイッチ５１をオフ状態に切り替えることを指示する電気信号を受けることを終了条件とするように構成してもよい。

上記実施形態では、スイッチ５１としてリレーを用いているが、トランジスタ等の半導体素子を用いて構成されたスイッチ等を用いてもよい。

１…車載通信システム ２…電子制御ユニット（ＥＣＵ） ３…バス ３ａ…基幹バス ３ｂ…ツールバス ４…コネクタ ５…セキュリティ装置 １０…外部ツール ５１…スイッチ ５２…制御回路

Claims (5)

1. 車両に構築された車載通信システム（２、３ａ）と、該車載通信システムに車外装置を接続するためのコネクタ（４）との間に配置されるセキュリティ装置（５）であって、
   前記コネクタから前記車載通信システムに至る通信線路に設けられ、該通信線路を導通，遮断するスイッチ（５１）と、
   前記コネクタを介して入力されるデータが、予め許可された許可情報を有している場合に前記通信線路を導通させ、予め設定された終了条件が成立した場合に前記通信線路を遮断するように前記スイッチを制御する制御回路（５２、Ｓ１１０〜Ｓ１６０、Ｓ２１０〜Ｓ２４０）と、
   を備えることを特徴とするセキュリティ装置。
2. 前記制御回路は、前記許可情報を検出してからの経過時間が、予め設定された許容時間に達することを前記終了条件とすること（Ｓ１５０）を特徴とする請求項１に記載のセキュリティ装置。
3. 前記制御回路は、前記スイッチにより前記通信線路が導通している時に、前記許可情報が検出されると、前記経過時間の計時値をリセットすること（Ｓ１４０，Ｓ１６０））を特徴とする請求項２に記載のセキュリティ装置。
4. 前記制御回路は、前記許可情報とは異なる終了情報を有したデータを検出することを前記終了条件とすること（Ｓ２４０）を特徴とする請求項１に記載のセキュリティ装置。
5. 前記スイッチは、前記通信線路の遮断時には、前記通信線路を物理的に切り離すことを特徴とする請求項１乃至請求項４のいずれか１項に記載のセキュリティ装置。

Images