JP2013141947A - ゲートウェイ装置、及び、車両通信システム - Google Patents

Abstract

【課題】既存のシステムに大幅な設計変更を行うことなく、車内ローカルエリアネットワーク上の電子制御装置へのソフトウェア攻撃を阻止する。
【解決手段】ＧＷ−ＥＣＵは、正規ツールからＯＢＤ−IIポートを介してリプログデータを受信すると、そのリプログデータを対象ＥＣＵに送信するように構成されている。このような構成において、不正ツールがＯＢＤ−IIポートを介さずに直接、車載ＬＡＮの通信線に接続されることで、不正ツールからリプログデータが車載ＬＡＮ５に送出されると、ＧＷ−ＥＣＵが車載ＬＡＮを介してリプログデータを受信することになり、このように車載ＬＡＮを介してリプログデータを受信した場合に、そのリプログデータの受信を無効にするための強制コマンドを対象ＥＣＵに送信するようにＧＷ−ＥＣＵを構成した。
【選択図】図４

Description

本発明は、車両の電子制御装置に対する外部からの不正なソフトウェエア書き換え等を防止するゲートウェイ装置および車両通信システムに関する。

近年、自動車の排出ガスに係る各種検出値が環境基準を満たしているかどうかを車載機器によって診断し、診断結果を故障診断ツール等の外部装置に表示できるように、外部装置との間でデータ通信を行うためのインターフェース（ＯＢＤ−IIポート）を、運転席の近くに装備することが義務付けられている。

ＯＢＤ−IIポートは、上記のように、本来、排出ガス規制に関する診断機能を提供するインターフェースであったが、車両の電子制御技術の進歩や電子制御装置（ＥＣＵ）の増加等に伴って様々な機能の追加に対応するものとなっている。例えば、ＡＢＳやエアバッグのようなセーフティ機能に関する故障診断、ドアロックやホーン（警笛）などの盗難防止機能の状態確認や制御・操作、車載ソフトウェアの不具合を修正するためのＥＣＵ上のソフトウェア書き換え、スマートキーを紛失したときの鍵の初期化機能などが必要なときに、それぞれ対応する各種の外部装置に接続されるようになっている。

このようなＯＢＤ−IIポートの汎用的な使われ方は、利便性を有する一方、悪意をもった使用者（攻撃者）によって、ＥＣＵ上のソフトウェア書き換えといったソフトウェア攻撃が容易に行えるという脆弱性を有し、例えばエンジンやブレーキ等の車両制御に係るＥＣＵを書き換えられた場合には被害の深刻度が致命的に高くなる。

これに対し、正規に使用される外部装置（正規ツール）を識別するためのコードを予め決めておき、外部装置から受信したコードが正規のものであるか否かを判定し、これに認証できた場合に限り、ソフトウェアの書き換えを行い、認証できない場合には、ソフトウェアの書き換えを中止する認証処理をＥＣＵに実行させる技術がある（例えば、特許文献１参照）。

特開平７−３１１６０３号公報

しかしながら、上述のように車両に搭載されるＥＣＵの数は少なくないので、全てのＥＣＵに上記認証処理の実行を課すには、既存の車載システムに大幅な設計変更を要し、コストや労力が多大にかかってしまう。

これに対しては、ＯＢＤ−IIポートと上記ＥＣＵ（ひいては、複数のＥＣＵがそれぞれ接続されてなる車内ローカルエリアネットワーク）との間に、両者のデータ通信を仲介するゲートウェイ装置を設け、上記認証処理をゲートウェイ装置に実行させ、これに認証できた受信データだけを車内ローカルエリアネットワーク上に送出する構成を採ることが考えられる。

ところが、このような構成においても、ＯＢＤ−IIポートと車内ローカルエリアネットワークとの間では不正対策が施されるが、ＯＢＤ−IIポートを介さずに直接、車内ローカルエリアネットワーク上の通信線に、不正に使用される外部装置（不正ツール）が接続された場合に、認証処理を経ずにＥＣＵ上のソフトウェア書き換えが可能な状態となり、このような不正使用に対処できないという問題がある。

本発明は、上記問題点を解決するためになされたものであり、既存のシステムに大幅な設計変更を行うことなく、車内ローカルエリアネットワーク上の電子制御装置へのソフトウェア攻撃を阻止することを目的とする。

請求項１に記載のゲートウェイ装置は、複数の電子制御装置がそれぞれ接続されてなる車内ローカルエリアネットワーク上に設けられ、車内ローカルエリアネットワーク間のデータ通信を行う車内通信手段と、外部装置との間でデータ通信を行うための通信ポートを介して予め設定された識別子を有する対象データを受信する外部受信手段と、制御手段とを備える。なお、制御手段は、外部受信手段にて通信ポートを介して受信した対象データのうち、予め設定された認証手順に従って認証した対象データである認証済みデータだけを、車内ローカルエリアネットワーク上の電子制御装置に送信する認証送信処理を少なくとも行う。

このような構成において、制御手段が、車内通信手段にて車内ローカルエリアネットワークを介して上記識別子を有するデータを受信すると、そのデータの受信を無効にするための強制コマンドを車内ローカルエリアネットワーク上の電子制御装置に送信する受信無効化処理を実行するようにゲートウェイ装置を構成した。

このように構成されたゲートウェイ装置では、自装置から車内ローカルエリアネットワークに送出したもの以外の対象データについて、車内ローカルエリアネットワーク上の電子制御装置によるそのデータの受信を強制的に無効にできるため、各々の電子制御装置が認証処理を行うことなく、不正ツールによるデータ改ざん等を防止することが可能となる。

従って、本発明によれば、既存のシステムに大幅な設計変更を行うことなく、車内ローカルエリアネットワーク上の電子制御装置へのソフトウェア攻撃を阻止することができる。

なお、上記識別子は、通信ポートを介して受信し得るデータを少なくとも識別するためのものであればよい。また、本発明のゲートウェイ装置では、通信ポートを介して受信したデータに、上記認証送信処理によって認証されて車内ローカルエリアネットワークに送出されたデータを識別するために上記識別子（第１識別子）とは異なる識別子（第２識別子）を付加して、送信してもよい。なお、制御手段は、第２識別子を付加する際に、第１識別子を残してもよいし、第１識別子に第２識別子を上書きしてもよい。

また、対象データは、前述のように各種機能を実現するために必要なデータであればよい。例えば、請求項２に記載のように、対象データは、電子制御装置に記憶されているプログラムを書き換えるためのリプログラムデータであってもよい。この場合、強制コマンドは、プログラムの書き換えをキャンセルするコマンドであれば、認証送信処理を経ていないリプログラムデータによるＥＣＵ上のソフトウェア書き換えを防止することができる。

また、対象データは、複数の電子制御装置のうち予め決められた電子制御装置に対するデータであってもよい。例えば、請求項３に記載のように、対象データは、このような対象制御装置に対するリプログラムデータであって、対象制御装置が車両のイグニッションスイッチがオン状態である場合に限り作動する装置であれば、制御手段は、車両のイグニッションスイッチがオン状態からオフ状態に変更されると、認証送信処理および受信無効化処理を終了するように構成してもよい。

このような構成によれば、イグニッションスイッチがオフ状態であれば、ＥＣＵ上のソフトウェア書き換えがなされないことから、制御手段に常時処理（認証送信処理または受信無効化処理）を実行させる場合と比較して、不正ツールによるソフトウェア攻撃から電子制御装置を守りつつ、エンジン停止中の消費電力を抑制することができる。

また、本発明は、車両通信システムは、複数の電子制御装置がそれぞれ接続されてなる車内ローカルエリアネットワークと、車内ローカルエリアネットワーク上に設けられたゲートウェイ装置とを備えた車両通信システムとして捉えることもできる。具体的には、請求項４に記載のように、ゲートウェイ装置は、外部装置との間でデータ通信を行うための通信ポートを介して予め設定された識別子を有する対象データを受信すると、予め設定された認証手順に従って認証した対象データである認証済みデータだけを車内ローカルエリアネットワーク上の電子制御装置に送信する認証送信処理を行う。

さらに、ゲートウェイ装置は、車内ローカルエリアネットワークを介して上記識別子を有するデータを受信すると、そのデータの受信を無効にするための強制コマンドを車内ローカルエリアネットワーク上の電子制御装置に送信する。電子制御装置は、車内ローカルエリアネットワークを介して強制コマンドを受信すると、その強制コマンドが示す対象データに基づく制御をキャンセルする。

このような車両通信システムによっても、請求項１に記載の発明と同等の効果を得ることができる。
なお、電子制御装置が強制コマンドを受信した場合、対象データに基づく制御（例えば、プログラムの書き換え等）を未だ開始していない状態であれば、その開始を禁止すればよいし、実行中の状態であれば、その実行を少なくとも停止すればよい。また、対象データを破棄することも望ましい。例えば、プログラムの書き換えを実行中または書き換え済みであって、元のプログラムに復元可能であれば、その復元に必要な処理を実行することが望ましい。復元不能であれば、その旨を表す情報をゲートウェイ装置に送信する方法も考えられる。この場合、ゲートウェイ装置または車両通信システムは、運転者または車外者にその情報を報知するための手段を備えることが望ましい。

車両通信システムの構成例を示す概略図である。 ゲートウェイ装置の構成例を示すブロック図である。 制御手段が行う処理の一例を示すフローチャートである。 車両通信システムの動作例を説明するための説明図である。

以下に、本発明が適用された実施形態の車両通信システムとしての車両制御システムについて説明する。
［全体構成］
本実施形態の車両制御システム１は、図１に示すように、必要なときにＯＢＤ−II対応の診断機３に専用ケーブルで接続されるＯＢＤ−IIポート４を経由して、診断機３に接続される車内ローカルエリアネットワーク（以下「車載ＬＡＮ」と称する）５と、車載ＬＡＮ５に接続された複数の電子制御装置（以下「ＥＣＵ」と称する）７，８，９，…とを備える。

ＯＢＤ−II対応の診断機３は、前述のように、自動車の排出ガス規制診断や故障診断、ソフトウェア書き換え等を行うことができる装置であって、ＯＢＤ−IIポート４を介して車載ＬＡＮ５とＥＣＵ７，８，９，…とに接続されてデータ通信を行うことにより、ＥＣＵ７，８，９，…から送られてくる診断結果をディスプレイに表示したり、ＥＣＵ７，８，９，…上のソフトウェア書き換えを行ったりする。また、車両制御システム１における盗難防止機能の状態確認や制御・操作、スマートキーを紛失したときの鍵の初期化を行うこともできる。

ＯＢＤ−IIポート４は、前述のように、自動車の運転席の近く（ハンドルの周辺）に設置されるコネクタであり、ＤＬＣ３（Data Link Connector 3）という名称で規定された１６ピンの形状とピン配置で構成されている。なお、ＯＢＤ（On Board Diagnosis）とは、車載ＬＡＮとＥＣＵへの接続インターフェースを搭載することを義務付ける規制を意味することもあり、ＯＢＤ−IIはＯＢＤ−I規制の更新版であることからその名が付けられている。

そして、例えば、ＯＢＤ−II対応の診断機３は、車両制御システム１に対して、特定の接続手順を利用してＯＢＤ−IIインターフェース（後述するＧＷ−ＥＣＵ７）に問い合わせを行うと、問い合わせに応じて車両制御システム１がＯＢＤ−IIポート４を介して診断結果または異常情報を送信する。なお、このような応答情報としては、車載センサの検出値や各種装置の状態値、現在自動車のディスプレイに表示されている異常コード、異常発生時に自動的に保存されたデータなどがある。

また、例えば、ＯＢＤ−II対応の診断機３は、車両制御システム１に対して、特定の接続手順を利用して後述する認証処理を受けると、ＯＢＤ−IIポート４を介して認証されたデータを車載ＬＡＮ５に送出することで、ＥＣＵ７，８，９，…に記憶されているデータやプログラムを書き換えたり、消去したりすることができる。以下では、このように車両制御システム１がＯＢＤ−IIポート４を介して受信し得るデータ、またはＥＣＵ７，８，９，…上のソフトウェア書き換え（あるいは消去）が可能なデータを対象データと称する。なお、対象データには、車両制御システム１が他の種類のデータと識別するための識別子（以下では、他の識別子と区別するために「第１識別子」という）が含まれている。

［車載ＬＡＮの構成］
車載ＬＡＮ５は、通信線１０を介して相互に接続された複数のＥＣＵ７，８，９，…が、予め定められたプロトコルに従ってデータ通信を行うように構築されている。プロトコルとしては、例えばＣＡＮ（Control Area Network）やそれに類似する規格が用いられる。例えばＣＡＮ通信では、フレーム毎にＩＤを持っており、ＩＤが小さいほど、フレームを通信線１０に流すための優先権が強い。例えば、ＩＤ４のフレームとＩＤ８のフレームとが同時に送信されようとする場合、ＩＤ８のフレームはＩＤ４のフレームが送信されたことを確認した後、送信されることになる。前述の第１識別子は、例えばこのＩＤに付されることができる。

また、車載ＬＡＮ５としては、車両制御を行うＥＣＵが接続される制御系の車載ＬＡＮや、ボデー制御を行うＥＣＵが接続されるボデー系の車載ＬＡＮ、音響，画像，通信に関するＥＣＵが接続される車載ＬＡＮ、盗難防止に関わるＥＣＵが接続されるイモビ系の車載ＬＡＮ等が挙げられる。車載ＬＡＮ５は、これらが全て同じプロトコルで通信可能に接続されていてもよいし、系列毎に異なるプロトコルで通信し、系列間の通信を仲介するＥＣＵが設けられる構成であってもよい。

ＥＣＵ７，８，９，…は、いずれもＣＰＵ，メモリ等からなる周知のマイクロコンピュータ（以下「マイコン」と略す）を中心に構成され、車載ＬＡＮ５の通信線１０を介して通信を行う通信回路、自身に割り当てられた機能を果たすために必要な各種信号を入出力するためのＩ／Ｏ等を備えている。

例えば、ＥＣＵ８は、エンジン制御を行うＥＣＵであり、ＥＣＵ８のマイコン（ＣＰＵ）は、少なくとも、メモリに記憶されたプログラム及びデータに基づいて、運転者のアクセル踏込量に応じた加減速が得られるように、内燃機関のスロットル開度を調整するスロットルアクチュエータ等に対して駆動命令を出力することで、内燃機関の駆動力を制御するように構成されている。

また例えば、ＥＣＵ９は、ブレーキ制御を行うＥＣＵであり、ＥＣＵ９のマイコン（ＣＰＵ）は、少なくとも、メモリに記憶されたプログラム及びデータに基づいて、運転者のブレーキペダル踏込量に応じた制動力が得られるように、ブレーキ油圧回路に備えられた増圧制御弁・減圧制御弁を開閉するブレーキアクチュエータを駆動することでブレーキ力を制御するように構成されている。

また、車載ＬＡＮ５において、これらＥＣＵ８やＥＣＵ９は、自身に接続された各種センサの検出値から得られる運転状態（あるいは制動状態）を表すデータを、車載ＬＡＮ５の通信線１０に送出するとともに、例えばクルーズコントロール等の走行制御を行うＥＣＵから車載ＬＡＮ５の通信線１０を介して、運転状態を指定するデータを受信すると、その受信データに応じたエンジン制御（あるいはブレーキ制御）を行うようになっている。

これに対し、ＥＣＵ７は、ＯＢＤ−II対応の診断機３等の外部装置と、車載ＬＡＮ５に接続されたＥＣＵ８，９，…との間でのデータ通信を仲介するＥＣＵである。以下、他のＥＣＵ８，９，…と区別するために、ＥＣＵ７をゲートウェイＥＣＵ７と称し、これをＧＷ−ＥＣＵ７と略す。また、必要に応じて、ＥＣＵ８をエンジンＥＣＵ８と称し、ＥＣＵ９をブレーキＥＣＵ９と称する。なお、エンジンＥＣＵ８およびブレーキＥＣＵ９は共に、車両のイグニッションスイッチがオン状態である場合に限り作動する電子制御装置であることを付言しておく。

ＧＷ−ＥＣＵ７は、図２に示すように、マイコン３０と、車載ＬＡＮ５の通信線１０を介して車載ＬＡＮ５との間でデータ通信を行う通信回路（以下「車内用通信回路」という）１１に加えて、ＯＢＤ−IIポート４を介して外部装置との間でデータ通信を行う通信回路（以下「車外用通信回路」という）２１を備える。

車内用通信回路１１は、車載ＬＡＮ５の通信線１０を介してＥＣＵ８，９，…に送信するための各種データが蓄積される送信バッファ１３と、車載ＬＡＮ５の通信線１０を介してＥＣＵ８，９，…から受信した各種データが蓄積される受信バッファ１５と、車載ＬＡＮ５のプロトコルに従ってデータ通信を行うための各種制御を行う車内用通信制御ＩＣ１７とを備える。

車内用通信制御ＩＣ１７は、マイコン３０から受け取った各種データを送信バッファ１３に記憶させるとともに、送信バッファ１３に蓄積された各種データの送信順を設定したり、他のＥＣＵ８，９，…との間で通信線１０の使用権に関する調停を行うとともに、受信バッファ１５に蓄積された各種データを適宜マイコン３０に受け渡したりする。

一方、車外用通信回路２１は、ＯＢＤ−IIポート４を介して外部装置に送信するための各種データが蓄積される送信バッファ２３と、ＯＢＤ−IIポート４を介して外部装置から受信した各種データが蓄積される受信バッファ２５と、予め設定された認証手順に従って認証できた外部装置との間でデータ通信を行うための各種制御を行う車外用通信制御ＩＣ２７とを備える。

車外用通信制御ＩＣ２７は、ＯＢＤ−IIポート４に専用ケーブルが接続された外部装置から、予め決められたコードを含む問い合わせ信号を受信すると、その受信信号に含まれているコードが、自身のメモリ内に記憶されている正規のコードに一致するか否かを判定し、両者のコードが一致する場合に認証信号を外部装置に返信する。なお、この認証信号を受信した外部装置は、例えば車両制御システム１に対する各種情報の取得要求や、プログラムを書き換えるためのデータ（以下、リプログラムデータ）といった対象データを送信することになる。

そして、車外用通信制御ＩＣ２７は、上記のように認証済みの外部装置からＯＢＤ−IIポート４を介して受信した対象データを、マイコン３０に受け渡す処理を行う。以上のように車外用通信制御ＩＣ２７が外部装置に対して行う処理を認証処理と称す。

［ゲートウェイ処理］
次に、ＧＷ−ＥＣＵ７のマイコン３０（ＣＰＵ）が、自身のメモリに記憶されたプログラムに基づいて実行するゲートウェイ処理について説明する。なお、ゲートウェイ処理は、車両のイグニッションスイッチがオン状態にされると開始するようにされている。

本処理が開始されると、まず、Ｓ１１０では、イグニッションスイッチがオン状態からオフ状態に変更されたか否か、つまり車両電源（バッテリ）が常時接続されているところを除いてオフされた状態（＋Ｂ状態）であるか否かを判断し、ここで肯定的に判断した場合には、本処理を終了し（さらに前述の認証処理を終了させ）、一方、否定的に判断した場合には、Ｓ１２０に移行する。

Ｓ１２０では、外部装置から車外用通信回路２１を介して（つまり、ＯＢＤ−IIポート４経由の）対象データ（本実施形態ではリプログラムデータ）を受信したか否かを判断し、ここで肯定的に判断した場合には、Ｓ１４０に移行し、一方、否定的に判断した場合には、Ｓ１５０に移行する。以下、リプログラムデータをリプログデータと略す。

なお、本実施形態のリブログデータは、エンジンＥＣＵ８およびブレーキＥＣＵ９のうち少なくとも一方を指定し、その指定された対象となるＥＣＵ（対象ＥＣＵ）に対してソフトウェアの書き換えを実行させるためのデータである。また、前述のように、エンジンＥＣＵ８およびブレーキＥＣＵ９は、イグニッションスイッチがオフ状態である場合には作動しない電子制御装置である。このため、先のＳ１１０では、イグニッションスイッチがオフ状態になると、ゲートウェイ処理を終了することにより、不要な制御処理に伴う電力消費が起こらないようにしている。また、このとき、車外用通信制御ＩＣ２７に対して前述の認証処理を終了させることにより、さらなる消費電力の節約を図っている。

Ｓ１４０では、第２識別子が付加されたリプログデータを車内用通信回路１１に受け渡して、Ｓ１１０に戻る。なお、車内用通信回路１１において、車内用通信制御ＩＣ１７は、マイコン３０から受け取ったリプログデータを、送信バッファ１３にセットすることにより、車載ＬＡＮ５の通信線１０を介して対象ＥＣＵに送信することになる。

一方、Ｓ１５０では、車内用通信回路１１を介して（つまり、車載ＬＡＮ５経由の）データを受信したか否かを判断し、ここで肯定的に判断した場合には、Ｓ１６０に移行し、一方、否定的に判断した場合には、Ｓ１１０に戻る。

Ｓ１６０では、Ｓ１５０にて受信したデータに第１識別子が含まれているか否か、つまり受信データがリプログデータであるか否かを判断し、ここで肯定的に判断した場合には、Ｓ１８０に移行し、一方、否定的に判断した場合には、Ｓ１１０に戻る。

Ｓ１８０では、Ｓ１６０にて第１識別子が含まれていると判断したリプログデータ（つまり、ＯＢＤ−IIポート４を経由しないで車載ＬＡＮ５に侵入したリプログデータ）の受信を無効にするための強制コマンドを、車内用通信回路１１に受け渡すことにより送信バッファ１３にセットする。

そして、続くＳ１９０では、Ｓ１７０にて送信バッファ１３にセットされた強制コマンドを、車載ＬＡＮ５の通信線１０を介して対象ＥＣＵに送信するように車内用通信制御ＩＣ１７に指令して、Ｓ１１０に戻る。

［動作例］
次に、このようなゲートウェイ処理（認証処理を含む）を行うＧＷ−ＥＣＵ７を備える車両制御システム１の動作例について説明する。

図４（ａ）に示すように、ＧＷ−ＥＣＵ７は、正規に使用される外部装置（正規ツール）からＯＢＤ−IIポート４を介してリプログデータを受信すると、正規ツールとの間での認証処理を経て認証したデータとして、そのリプログデータに例えば自身の送信ＩＤ（第１識別子とは異なる識別子としての第２識別子の一例に相当する）を付加したリプログデータ（認証済みデータ）を対象ＥＣＵに送信する。なお、送信ＩＤは、ＧＷ−ＥＣＵ７から車載ＬＡＮ５に送出されたことを表すＩＤであればよい。

そして、ＧＷ−ＥＣＵ７から認証済みデータを受信した対象ＥＣＵは、認証済みデータに従って、自身のメモリに記憶されているプログラム及びデータの少なくとも一方を書き換える処理（プログラム書き換え処理）を実行する。

一方、図４（ｂ）に示すように、不正に使用される外部装置（不正ツール）が、ＯＢＤ−IIポート４を介さずに直接、車載ＬＡＮ５の通信線１０に接続されることで、不正ツールからリプログデータが車載ＬＡＮ５に送出されると、このリプログデータをＧＷ−ＥＣＵ７および対象ＥＣＵが受信することになる。

この場合、ＧＷ−ＥＣＵ７は、送信ＩＤが付加されていないリプログデータを受信することになり、このリプログデータの受信を無効にするための強制コマンドを対象ＥＣＵに送信する。なお、強制コマンドには、リプログデータ自体が含まれている必要がなく、送信ＩＤが付加されていないリプログデータを識別するためのＩＤ（リプログＩＤ）が含まれていればよい。

そして、ＧＷ−ＥＣＵ７から強制コマンドを受信した対象ＥＣＵは、強制コマンドに従って、プログラム書き換え処理をキャンセルする。なお、対象ＥＣＵは、強制コマンドを受信したときに、プログラム書き換え処理を未だ開始していない状態であれば、その開始を禁止するとともにリプログデータを破棄し、プログラム書き換え処理を実行中であれば、少なくともその実行を停止するとともにリプログデータを破棄する。

また、対象ＥＣＵは、強制コマンドを受信したときに、プログラム書き換え処理を実行中であって、書き換え前の元のプログラムに復元可能であれば、その復元に必要な処理を実行し、元のプログラムに復元不能であれば、その旨を表す情報をＧＷ−ＥＣＵ７に送信する。なお、この情報を受信したＧＷ−ＥＣＵ７は、例えば車両のディスプレイに、運転者に報知するための情報を表示させる。

［効果］
以上説明したように、車両制御システム１では、ＧＷ−ＥＣＵ７から車載ＬＡＮ５に送出したもの以外のリプログデータについて、車載ＬＡＮ５上のＥＣＵ８，９，…によるそのデータの受信を強制的に無効にできるため、各々のＥＣＵ８，９，…が認証処理を行うことなく、不正ツールによるデータ改ざん等を防止することが可能となる。

従って、車両制御システム１によれば、既存のシステムに大幅な設計変更を行うことなく、車載ＬＡＮ５上のＥＣＵ８，９，…へのソフトウェア攻撃を阻止することができる。
また、車両制御システム１では、正規ツールからＯＢＤ−IIポート４を介して受信したリプログデータに従って、車載ＬＡＮ５上のＥＣＵ８，９，…に記憶されているプログラム及びデータの少なくとも一方を書き換えることができるため、例えば車載ソフトウェアの不具合等を容易に修正することができる。

さらに、車両制御システム１では、万が一、不正ツールによって対象ＥＣＵのプログラムに異常が生じた場合であっても、例えば車両のディスプレイ等にその旨が表示されるため、このような異常情報を直ちに運転者に伝えることができ、運転者に適切な対応を促すことができる。

［発明との対応］
なお、本実施形態において、ＥＣＵ８，９，…が複数の電子制御装置、車載ＬＡＮ５が車内ローカルエリアネットワーク、車内用通信回路１１が車内通信手段、ＯＢＤ−II対応の診断機３が外部装置、ＯＢＤ−IIポート４が通信ポート、リプログデータが対象データ、車外用通信回路２１が外部受信手段、車外用通信制御ＩＣ２７およびマイコン３０が制御手段、車外用通信制御ＩＣ２７が行う認証処理とマイコン３０が行うＳ１２０及びＳ１４０とが認証送信処理、マイコン３０が行うＳ１５０〜Ｓ１９０が受信無効化処理、ＧＷ−ＥＣＵ７がゲートウェイ装置、エンジンＥＣＵ８およびブレーキＥＣＵ９が対象制御装置、車両制御システム１が車両通信システムのそれぞれ一例に相当する。

［他の実施形態］
以上、本発明の実施形態について説明したが、本発明は上記実施形態に限定されるものではなく、本発明の要旨を逸脱しない範囲において、様々な態様にて実施することが可能である。

例えば、上記実施形態の車両制御システム１では、不正ツールによって対象ＥＣＵのプログラムに異常が生じた場合に、例えば車両のディスプレイ等にその旨が表示されると説明したが、これに限定されるものではなく、例えば所定の連絡先となる端末装置に異常情報を送信してもよい。

また、上記実施形態の車両制御システム１では、通信ポートの一例としてＯＢＤ−IIポート４を挙げたが、これに限定されるものではなく、例えばアンテナ等であってもよい。この場合、車外用通信回路２１は、例えばアンテナを介して外部装置との間で無線通信を行うように構成されていればよい。

また、上記実施形態の車両制御システム１では、対象データの一例としてリプログデータを挙げたが、これに限定されるものではなく、例えば対象ＥＣＵから情報を取得するための各種問い合わせ等であってもよい。

また、上記実施形態の車両制御システム１では、複数の電子制御装置または対象制御装置の一例としてエンジンＥＣＵ８およびブレーキＥＣＵ９を挙げたが、これに限定されるものではなく、少なくとも車載ＬＡＮ５に接続されているＥＣＵであれば他のＥＣＵでもよい。

１…車両制御システム、３…診断機、４…ＯＢＤ−IIポート、５…車載ＬＡＮ、７…ゲートウェイＥＣＵ、８…エンジンＥＣＵ、９…ブレーキＥＣＵ、１０…通信線、１１…車内用通信回路、１３…送信バッファ、１５…受信バッファ、１７…車内用通信制御ＩＣ、２１…車外用通信回路、２３…送信バッファ、２５…受信バッファ、２７…車外用通信制御ＩＣ、３０…マイコン。

Claims (4)

1. 複数の電子制御装置がそれぞれ接続されてなる車内ローカルエリアネットワーク上に設けられ、
   前記車内ローカルエリアネットワーク間のデータ通信を行う車内通信手段と、
   外部装置との間でデータ通信を行うための通信ポートを介して予め設定された識別子を有する対象データを受信する外部受信手段と、
   前記外部受信手段にて前記通信ポートを介して受信した対象データのうち、予め設定された認証手順に従って認証した対象データである認証済みデータだけを前記車内ローカルエリアネットワーク上の電子制御装置に送信する認証送信処理を行う制御手段と、
   を備えるゲートウェイ装置であって、
   前記制御手段は、前記車内通信手段にて前記車内ローカルエリアネットワークを介して前記識別子を有するデータを受信すると、該データの受信を無効にするための強制コマンドを該車内ローカルエリアネットワーク上の電子制御装置に送信する受信無効化処理を実行することを特徴とするゲートウェイ装置。
2. 前記対象データは、前記電子制御装置に記憶されているプログラムを書き換えるためのリプログラムデータであり、
   前記強制コマンドは、前記プログラムの書き換えをキャンセルするコマンドであることを特徴とする請求項１に記載のゲートウェイ装置。
3. 前記対象データは、前記複数の電子制御装置のうち予め決められた電子制御装置である対象制御装置に対する前記リプログラムデータであり、
   前記対象制御装置は、車両のイグニッションスイッチがオン状態である場合に限り作動する装置であり、
   前記制御手段は、車両のイグニッションスイッチがオン状態からオフ状態に変更されると、前記認証送信処理および前記受信無効化処理を終了することを特徴とする請求項２に記載のゲートウェイ装置。
4. 複数の電子制御装置がそれぞれ接続されてなる車内ローカルエリアネットワークと、
   該車内ローカルエリアネットワーク上に設けられ、外部装置との間でデータ通信を行うための通信ポートを介して予め設定された識別子を有する対象データを受信すると、予め設定された認証手順に従って認証した対象データである認証済みデータだけを前記車内ローカルエリアネットワーク上の電子制御装置に送信する認証送信処理を行うゲートウェイ装置と、
   を備えた車両通信システムであって、
   前記ゲートウェイ装置は、
   前記車内ローカルエリアネットワークを介して前記識別子を有するデータを受信すると、該データの受信を無効にするための強制コマンドを前記車内ローカルエリアネットワーク上の電子制御装置に送信し、
   前記電子制御装置は、前記車内ローカルエリアネットワークを介して前記強制コマンドを受信すると、該強制コマンドが示す対象データに基づく制御をキャンセルすることを特徴とする車両通信システム。