JP2013135311A - ゲートウェイ装置 - Google Patents

Abstract

【課題】コネクタに接続されたツールが正規品であるか否かを識別することで外部装置接続用のコネクタを介した車載通信ネットワークに接続された車載装置に対する不正行為を阻止するゲートウェイ装置を提供する。
【解決手段】Ｋ−Ｌｉｎｅプロトコルを使用して外部ツール３から送信されてくる通信フレームを受信した場合、外部ツール３は正規品であるものと判断して「認証済」とし（S110-N，S120〜S130）、ＣＡＮプロトコルを使用して外部ツール３から送信されてくる通信フレームを受信し、その通信フレームが特定フレームでない場合は無条件に中継（フレームの転送）を実行し、特定フレームである場合は「認証済」でなければ中継せず、「認証済」であり且つ終了条件が不成立であれば中継を実行し、終了条件が成立していれば「認証済」を解除し中継も行わない（S110-Y，S130〜S180）。
【選択図】図３

Description

本発明は、外部装置を接続するためのコネクタを備えた車載通信ネットワークに適用されるゲートウェイ装置に関する。

従来、車両では、電子制御化の進歩に伴い、エンジンやブレーキ等といった各種の車両構成品が電子部品を介して制御され、これら電子部品に接続された電子制御ユニット（ＥＣＵ）の数も増加傾向にある。また、ＥＣＵは、相互間での連携動作や情報の共有化を可能とするために車載通信ネットワークに接続されている。

ところで、車載通信ネットワークには、ＥＣＵを介して車両の状態を診断したり、ＥＣＵのプログラムをバージョンアップしたりする際に、外部ツールを接続するためのコネクタが設けられている。

但し、このようなコネクタは、不正行為（例えば、ＥＣＵプログラムの不正な書き換えなど）に悪用される可能性がある。このような不正行為を阻止する方法の一つとして、コネクタに接続された外部ツールの認証を行うゲートウェイ装置を設置し、認証に成功すると外部ツールからのデータがゲートウェイ装置を介して車載通信システムに提供されるようにしたものが知られている（例えば、特許文献１参照。）。

特開２００３−４６５３６号公報

ところで、この種の認証には、一般的に、暗証番号等が用いられるが、装置自体が不正規のツールであるか否かを識別することができないため、不正規のツールから正しい暗証番号などが送信されてくると、これを正規ツールからの要求であると認識してしまい、不正行為を阻止することができないという問題があった。

本発明は、上記問題点を解決するために、コネクタに接続されたツールが正規品であるか否かを識別することで外部装置接続用のコネクタを介した車載通信ネットワークに接続された車載装置に対する不正行為を阻止するゲートウェイ装置を提供することを目的とする。

本発明のゲートウェイ装置では、内部通信手段が、予め設定された第１のプロトコルを用いて車載通信ネットワークに接続された車載装置との通信を実行し、外部通信手段が、コネクタに接続された外部装置との通信を実行する。但し、外部通信手段は、第１のプロトコルを用いて通信を実行する第１通信部及び第１のプロトコルとは異なる第２のプロトコルを用いて通信を実行する第２通信部からなる。

そして、中継手段が、外部通信手段及び内部通信手段を介して送受信される通信フレームを相互に中継すると共に、通信フレームの少なくとも一部を特定フレームとして、中継制限手段が、その特定フレームの中継を、予め設定された開始条件が成立してから予め設定された終了条件が成立するまでの間だけに制限する。

但し、中継制限手段は、外部通信手段を介して、少なくとも第２通信部での受信を含む予め設定された受信態様で通信フレームの受信が行われることを開始条件とする。
このように構成されたゲートウェイ装置では、コネクタに接続された外部装置が、所定の態様で通信フレームの送信を行うことができなければ不正品であると判断し、特定フレームの中継を行わないため、例えば、第１のプロトコルよる通信しかサポートしていないような不正ツールによる不正行為を阻止することができる。

ところで、コネクタは、単一のコネクタで複数のプロトコルに対応できるものであればよく、例えば、ＯＢＤ（On-Board Diagnostic system )−IIで使用されるデータリンクコネクタ（ＤＬＣ：Data Link Connector）を用いることが考えられる。

なお、データリンクコネクタは、ＯＢＤ−IIの規格にある複数種類のプロトコルに対応可能に構成されており、通常は、車載通信ネットワークで採用されるいずれか一つのプロトコル（採用プロトコルという）での通信が可能な設定で使用されるが、本発明の場合、採用プロトコルとは異なるプロトコルでの通信も可能となる設定で使用すればよい。つまり、既存のコネクタを利用して本発明を実現することができる。

そして、このようにデータリンクコネクタを利用した場合、例えば、第１のプロトコルとしてＣＡＮプロトコルを用い、第２のプロトコルとしてＫ−Ｌｉｎｅプロトコルを用いることが考えられる。なお、プロトコルの組合せはこれに限るものではない。

また、中継制限手段は、例えば、第２通信部にて予め設定された数の通信フレームを受信されることを開始条件とするように構成されていてもよいし、第１通信部及び第２通信部のいずれで通信フレームを受信したかを時系列で示した受信パタンが予め設定された許可パタンと一致することを開始条件とするように構成されていてもよい。

更に、中継制限手段は、例えば、開始条件の成立後に予め設定された許容時間が経過することを終了条件とするように構成されていてもよいし、開始条件の成立後に中継手段が中継した特定フレームの数が予め設定された許可閾値に達することを終了条件とするように構成されていてもよい。

車載通信ネットワーク及び外部ツールを示すブロック図である。 ゲートウェイＥＣＵの内部構成を示すブロック図である。 外内中継処理の内容を示すフローチャートである。

以下に本発明の実施形態を図面と共に説明する。
＜全体構成＞
図１は、本発明が適用された車載通信ネットワーク１及び車載通信ネットワーク１に接続して使用する外部ツール３を示すブロック図である。

図１に示すように、車載通信ネットワーク１は、車両の内部における各部に設置された複数の電子制御装置（以下「ＥＣＵ」という）として、ゲートウェイＥＣＵ（以下「ＧＷ−ＥＣＵ」という）１０と、種々の機能を有する他の複数のＥＣＵ２０，２０，…とを備える。ＧＷ−ＥＣＵ１０及び各ＥＣＵ２０は、共通の通信線である基幹バス３０に接続され、基幹バス３０を介してＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）プロトコルに従った相互通信を行う。

ＧＷ−ＥＣＵ１０は、外部ツール３を車両の外部から接続するためのコネクタ４０に、ツール側バス５０を介して接続されている。つまり、ＧＷ−ＥＣＵ１０は、外部ツール３と基幹バス３０とを接続する通信経路上に配置されている。

コネクタ４０は、ＯＳＢ−IIで用いられるデータリンクコネクタ（ＤＬＣ）からなり、ツール側バス５０は、ＣＡＮプロトコル用の線路からなる第１回線５１及びＫ−Ｌｉｎｅプロトコル用の線路からなる第２回線５２を備えている。

外部ツール３とは、コネクタ４０に接続された状態で、車両の内部に設置されたＥＣＵ２０に記憶されているプログラムの書き換え（リプログ）等を行う機能を有した装置である。つまり、外部ツール３は、ＥＣＵ２０に直接接続されるのではなく、ＧＷ−ＥＣＵ１０を介して接続され、ＧＷ−ＥＣＵ１０は、外部ツール３とＥＣＵ２０との通信を中継する中継装置として機能する。

ＥＣＵ２０は、ＣＰＵ，ＲＯＭ，ＲＡＭ，通信Ｉ／Ｆ等（図示省略）を備える周知のマイクロコンピュータを中心に構成されており、様々な機能別に複数の車載ＥＣＵが搭載されている。これらＥＣＵ２０は、コネクタ４０に接続された外部ツール３との間で、特定の通信フレーム（例えば、リプログ用のＩＤを有する通信フレーム）を送受信することにより、プログラムが格納された不揮発性メモリ（ＥＰ−ＲＯＭやフラッシュメモリ等）の内容を書き換えるリプログ処理を実行する。

＜ＧＷ−ＥＣＵ＞
ＧＷ−ＥＣＵ１０は、図２に示すように、基幹バス３０を介してＥＣＵ２０との通信を実行する内部通信部１１と、第１回線５１を介してコネクタ４０に接続された外部ツール３との通信を実行する第１通信部１２１、及び第２線路５２を介してコネクタ４０に接続された外部ツール３との通信を実行する第２通信部１２２からなる外部通信部１２と、内部通信部１１及び外部通信部１２で送受信される通信フレームのうち、許可された通信フレーム（以下「許可フレーム」という）を相互に中継する処理を実行するＧ／Ｗ制御部１３とを備えている。

このうち、内部通信部１１、第１通信部１２１、第２通信部１２２は、いずれも、受信バッファ１１ａ，１２１ａ，１２２ａ、送信バッファ１１ｂ，１２１ｂ，１２２ｂ、通信制御部１１ｃ，１２１ｃ，１２２ｃによって構成されている。そして、内部通信部１１及び第１通信部１２１を構成する通信制御部１１ｃ，１２１ｃはＣＡＮプロトコルを実現する通信コントローラからなり、また、第２通信部１２２を構成する通信制御部１２２ｃはＫ−Ｌｉｎｅプロトコルを実現する通信コントローラからなる。

Ｇ／Ｗ制御部１３は、ＣＰＵ，ＲＯＭ，ＲＡＭ等を備えた周知のマイクロコンピュータからなり、内部通信部１１が基幹バス３０を介して受信した通信フレームを、外部通信部１２を介してツール側バス５０に送信する内外中継処理や、逆に、外部通信部１２がツール側バス５０を介して受信した通信フレームを、内部通信部１１を介して基幹バス３０に送信する外内中継処理を実行する。

内外中継処理では、内部通信部１１が受信した通信フレームのうち、特定フレーム以外の通信フレームは無条件に中継し、特定フレームについては、後述する外内中継処理によって「認証済」の設定が行われている間だけ中継を行う。

＜外内中継処理＞
Ｇ／Ｗ制御部１３が実行する外内中継処理を、図３に示すフローチャートに沿って説明する。

本処理は、第１通信部１２１または第２通信部１２２がコネクタに接続された外部ツール３から通信フレームを受信する毎に起動する。
本処理が起動すると、まず、受信した通信フレームは、第１通信部１２１で受信されたものであるか否かを判断し（Ｓ１１０）、第１通信部１２１ではなく第２通信部１２２で受信されたものであれば、コネクタ４０に接続された外部ツール３は正規品であると判断し、「認証済」の設定を行う（Ｓ１２０）と共に、受信した通信フレームを破棄して（Ｓ１３０）、本処理を終了する。なお、「認証済」の設定は、例えば、その設定のために用意されたフラグを１にセットすることで実現する。

一方、受信した通信フレームは、第１通信部１２１で受信されたものである場合、その通信フレームが、特定フレームであるか否かを判断する（Ｓ１４０）。
受信した通信フレームが特定フレームであれば、「認証済」の設定がなされているか否かを判断し（Ｓ１５０）、「認証済」の設定がなされてなければ、受信した通信フレームを破棄して（Ｓ１３０）、本処理を終了する。

一方、「認証済」の設定がなされていれば、所定の終了条件が成立しているか否かを判断する（Ｓ１６０）。ここでは、「認証済」の設定がなされてからの経過時間が予め設定された許容時間に達することを終了条件として用いる。

そして、終了条件が成立していれば、「認証済」の設定を解除する（Ｓ１８０）と共に、受信した通信フレームを破棄して（Ｓ１３０）、本処理を終了する。
先のＳ１４０にて受信した通信フレームは特定フレームではないと判断されるか（Ｓ１４０：ＮＯ）、或いは、先のＳ１６０にて終了条件が成立していないと判断された場合（Ｓ１６０：ＮＯ）は、受信した通信フレームを中継（内部通信部１１を介して基幹バス３０に送信）して（Ｓ１７０）、本処理を終了する。

＜効果＞
このように構成されたＧＷ−ＥＣＵ１０では、ＣＡＮプロトコルを使用して外部ツール３から送信されてくる特定フレーム以外の通信フレームについては、無条件に中継を実行する。一方、特定フレームについては、Ｋ−Ｌｉｎｅプロトコルを使用して外部ツール３から送信されてくる通信フレームを受信することを開始条件、開始条件が成立してから許容時間が経過することを終了条件として、開始条件が成立してから終了条件が成立するまでの間だけ、ＣＡＮプロトコルを使用して送信されてくる特定フレームの中継を実行する。

従って、ＧＷ−ＥＣＵ１０によれば、ＣＡＮプロトコルによる通信とＫ−Ｌｉｎｅプロトコルよる通信をいずれもサポートする外部ツール３のみに、特定フレームを使用するリプログ処理を実行させることができ、ＣＡＮプロトコルによる通信しかサポートしていないような不正品による不正行為を阻止することができる。

本実施形態において、内部通信部１１が内部通信手段、外部通信部１２が外部通信手段、Ｓ１７０を実行するＧ／Ｗ制御部１３が中継手段、Ｓ１１０〜Ｓ１６０の処理を実行するＧ／Ｗ制御部１３が中継制限手段、ＧＷ−ＥＣＵ１０がゲートウェイ装置、外部ツール３が外部装置、ＥＣＵ２０が車載装置、がに相当する。

＜他の実施形態＞
以上、本発明の一実施形態について説明したが、本発明は上記実施形態に限定されるものではなく、本発明の要旨を逸脱しない範囲内で様々な態様にて実施可能である。

例えば、上記実施形態では、第２通信部１２２にて、一つでも通信フレームを受信すれば、開始条件が成立したと判断しているが、複数個の通信フレームの受信した場合に開始条件が成立したと判断するようにしてもよい。

上記実施形態では、開始条件を成立させるために使用する通信フレームの内容を不問にしているが、通信フレームの内容も規定し、規定された通信フレームを受信した場合だけ、開始条件が成立したと判断するようにしてもよい。

上記実施形態では、開始条件として、第２通信部１２２での受信（第２回線５２を用いたＫ−Ｌｉｎｅプロトコルによる通信）だけを利用する受信態様を採用しているが、第１通信部１２１での受信（第１回線５１を用いたＣＡＮプロトコルによる通信）も利用する受信態様を採用してもよい。具体的には、例えば、第１通信部１２１及び第２通信部１２２のいずれで通信フレームを受信したかを時系列で示した受信パタンが予め設定された許可パタンと一致した場合に、開始条件が成立したと判断するようにしてもよい。

上記実施形態では、第２通信部１２２で受信した通信フレームを、開始条件が成立したか否かの判断（認証）のためだけに用いているが、この通信フレームをデータ転送にも用いるようにしてもよい。但し、この場合Ｇ／Ｗ制御部１３は、Ｋ−ＬｉｎｅプロトコルとＣＡＮプロトコルとの間のプロトコル変換を行う機能を備える必要がある。

上記実施形態では、「認証済」の設定がなされてから許容時間が経過することを終了条件としているが、許容時間内に特定フレームを受信した場合に、経過時間がリセットされ、その時点から許容時間が経過することを終了条件とするようにしてもよい。

上記実施形態では、時間により終了条件を決めているが、特定フレームの中継数が予め設定された許可閾値に達することを終了条件としたり、ＥＣＵ２０からの指示を終了条件としたりしてもよい。また、終了条件は、一つの条件である必要はなく複数の条件が共存していてもよい。

上記実施形態では、通信フレームの一部を特定フレームとしているが、通信フレームの全部を特定フレームとしてもよい。

１…車載通信ネットワーク ３…外部ツール １０…ゲートウェイＥＣＵ（ＧＷ−ＥＣＵ） １１…内部通信部 １２…外部通信部 １３…Ｇ／Ｗ制御部 ２０…電子制御装置（ＥＣＵ） ３０…基幹バス ４０…コネクタ ５０…ツール側バス ５１…第１回線 ５２…第２回線 １２１…第１通信部 １２２…第２通信部

Claims (7)

1. 車載装置を相互に接続する車載通信ネットワークと該車載通信ネットワークに外部装置を接続するためのコネクタとの間に配置され、前記外部装置と前記車載装置との通信を中継するゲートウェイ装置であって、
   予め設定された第１のプロトコルを用いて前記車載通信ネットワークに接続された車載装置との通信を実行する内部通信手段と、
   前記第１のプロトコルを用いて前記コネクタに接続された外部装置との通信を実行する第１通信部、及び前記第１のプロトコルとは異なる第２のプロトコルを用いて前記コネクタに接続された外部装置との通信を実行する第２通信部からなる外部通信手段と、
   前記外部通信手段及び前記内部通信手段を介して送受信される通信フレームを相互に中継する中継手段と、
   前記通信フレームの少なくとも一部を特定フレームとして、該特定フレームの中継を、予め設定された開始条件が成立してから予め設定された終了条件が成立するまでの間だけに制限する中継制限手段と、
   を備え、前記中継制限手段は、前記外部通信手段を介して、少なくとも前記第２通信部での受信を含む予め設定された受信態様で前記通信フレームの受信が行われることを前記開始条件とすることを特徴とするゲートウェイ装置。
2. 前記コネクタは、ＯＢＤ−IIで使用されるデータリンクコネクタであることを特徴とする請求項１に記載のゲートウェイ装置。
3. 前記第１のプロトコルはＣＡＮプロトコルであり、前記第２のプロトコルはＫ−Ｌｉｎｅプロトコルであることを特徴とする請求項２に記載のゲートウェイ装置。
4. 前記中継制限手段は、前記第２通信部にて予め設定された数の前記通信フレームが受信されることを前記開始条件とすることを特徴とする請求項１乃至請求項３のいずれか１項に記載のゲートウェイ装置。
5. 前記中継制限手段は、前記第１通信部及び前記第２通信部のいずれで前記通信フレームを受信したかを時系列で示した受信パタンが予め設定された許可パタンと一致することを前記開始条件とすることを特徴とする請求項１乃至請求項３のいずれか１項に記載のゲートウェイ装置。
6. 前記中継制限手段は、前記開始条件の成立後に予め設定された許容時間が経過することを前記終了条件とすることを特徴とする請求項１乃至請求項５のいずれか１項に記載のゲートウェイ装置。
7. 前記中継制限手段は、前記開始条件の成立後に前記中継手段が中継した前記特定フレームの数が予め設定された許可閾値に達することを前記終了条件とすることを特徴とする請求項１乃至請求項５のいずれか１項に記載のゲートウェイ装置。

Images