JP2014091487A - 車両用ネットワーク - Google Patents

Abstract

【課題】不正なデータを送出した電子制御ユニットを簡単に見つけ出すことができる車両用ネットワークを提供する。
【解決手段】車両用ネットワーク１は、ネットワークを流れる不正なデータを検出するデータ検出部５１と、データ検出部５１で検出された不正なデータが流れたバスを特定するバス特定部５２と、バス特定部５２によって特定されたバスに接続された全ての電子制御ユニットについて、いずれか１つの電子制御ユニットの電源をオフにする制御を順番に実行する電源制御部６０と、データ検出部５１で不正なデータが検出されなくなったときに電源制御部６０が電源をオフしている電子制御ユニットを、不正なデータを送信した電子制御ユニットであると判断するユニット判断部５３とを備える。
【選択図】図１

Description

本発明は、複数の電子制御ユニットが複数のバスを介して接続された車両用ネットワークに関する。

複数の電子制御ユニットが複数のバスを介して接続された車両用ネットワークでは、様々な原因によって不正なデータや不完全なデータが流れることがある。このような不正なデータや不完全なデータを排除する従来の技術として、例えば特許文献１に記載された技術が提案されている。

この特許文献１に記載された技術では、ユーザに対してクローズなバスとオープンなバスとの間にゲートウェイを設け、不正なデータや不完全なデータがゲートウェイに送られてきた場合には、ゲートウェイがそれらのデータを転送しないようにしている。

特開２００２−０１６６１４号公報

しかしながら、上記特許文献１に記載された技術では、不正なデータや不完全なデータを転送しないようにしているだけで、不正なデータや不完全なデータを送出した電子制御ユニットを見つけ出して対処するといった、根本的な対策が施されているわけではない。特に、電子制御ユニットが送出するデータに送出元を一意に特定できる識別情報などを付加できないネットワークでは、不正なデータや不完全なデータを送出した電子制御ユニットを見つけ出すには、何らかの工夫が必要である。

それ故に、本発明の目的は、電子制御ユニットが送出するデータに送出元を一意に特定できる識別情報などを付加できないネットワークにおいて、不正なデータや不完全なデータを送出した電子制御ユニットを簡単に見つけ出すことができる車両用ネットワークを提供することである。

本発明は、複数の電子制御ユニットが複数のバスを介して接続された車両用ネットワークに向けられている。
そして、上記目的を達成するために、本発明の車両用ネットワークは、ネットワークを流れる不正なデータを検出する検出手段と、検出手段で検出された不正なデータが流れたバスを特定する特定手段と、特定手段によって特定されたバスに接続された全ての電子制御ユニットについて、いずれか１つの電子制御ユニットの電源をオフにする制御を順番に実行する電源制御手段と、検出手段で不正なデータが検出されなくなったときに電源制御手段が電源をオフしている電子制御ユニットを、不正なデータを送信した電子制御ユニットであると判断する判断手段とを備えている。
好ましくは、電源制御手段は、車両が停止しているときに電子制御ユニットの電源をオフする制御を実行する。

上記本発明によれば、電子制御ユニットが送出するデータに送出元を一意に特定できる識別情報などを付加できないネットワークであっても、不正なデータや不完全なデータを送出した電子制御ユニットを安全かつ簡単に見つけ出すことができる。

本発明の一実施形態に係る車両用ネットワーク１の概略構成を示す図 本発明の一実施形態に係る車両用ネットワーク１が実行する不正な電子制御ユニットを判断する電源オフ制御方法の処理手順を示すフローチャート

以下、本発明の一実施形態について、図面を参照しながら説明する。
図１は、本発明の一実施形態に係る車両用ネットワーク１の概略構成を示す図である。図１に例示した車両用ネットワーク１は、例えばＣＡＮ（Controller Area Network）規格に基づいて構成された車両に搭載される通信ネットワークであり、ゲートウェイ５０と、電源制御部６０と、複数のバス１０、２０、３０、および４０と、複数の電子制御ユニット（electronic control unit；ＥＣＵ）１１〜１３、２１〜２２、３１〜３４、および４１〜４３とを備えている。

なお、図１の車両用ネットワーク１で示したバスの数（４本）および電子制御ユニットの数（１２台）は一例であって、それぞれ複数であれば図面で示した以外の数を備えていてもよい。本発明特有の効果は、複数のバスおよび複数の電子制御ユニットを備えたネットワークにおいて奏することができる。

まず、本実施形態の車両用ネットワーク１の構成について説明する。
バス１０には、電子制御ユニット１１〜１３が接続されている。バス２０には、電子制御ユニット２１〜２２が接続されている。バス３０には、電子制御ユニット３１〜３４が接続されている。バス４０には、電子制御ユニット４１〜４３が接続されている。これらの複数のバス１０、２０、３０、および４０は、それぞれゲートウェイ５０に接続されており、ゲートウェイ５０を介して電子制御ユニット間の通信が可能となっている。電子制御ユニットとは、例えば、車両に関するエンジンＥＣＵ、トランスミッションＥＣＵ、ブレーキＥＣＵ、メーターＥＣＵ、走行制御ＥＣＵなどである。

ゲートウェイ５０は、複数のバス１０、２０、３０、および４０を接続し、異なるバスに繋がる電子制御ユニット間の通信を中継する機器である。このゲートウェイ５０は、データ検出部５１（請求項における検出手段に相当）、バス特定部５２（請求項における特定手段に相当）、およびユニット判断部５３（請求項における判断手段に相当）を構成に含んでいる。

ゲートウェイ５０のデータ検出部５１は、複数の電子制御ユニット１１〜１３、２１〜２２、３１〜３４、および４１〜４３が送出する様々なデータを監視している。そして、データ検出部５１は、監視しているデータの中に不正なデータや不完全なデータ（以下、単に不正なデータと記す）があれば、この不正なデータを検出する。

ゲートウェイ５０のバス特定部５２は、データ検出部５１において不正なデータが検出されると、複数のバス１０、２０、３０、および４０の中から不正なデータが流れたバスを特定する。そして、バス特定部５２は、特定した不正なデータが流れたバスの情報を電源制御部６０に通知する。

不正なデータの検出および不正なデータが流れたバスの特定には、メッセージ認証方法などを利用することができる。このメッセージ認証方法の一例としては、電子制御ユニットから送出されるデータにデータ送出番号（メッセージ）を付加しておき、バスを流れるデータのデータ送出番号が順番通りでなければ、そのバスにおいて不正なデータが送出されたものと見なすことができる。

電源制御部６０（請求項における電源制御手段に相当）は、複数の電子制御ユニット１１〜１３、２１〜２２、３１〜３４、および４１〜４３のそれぞれに駆動のための電源を供給する電源制御ＥＣＵである。この電源制御部６０は、不正なデータが流れたバスに関する情報をゲートウェイ５０から受信すると、この不正なデータが流れたバスに接続されている複数の電子制御ユニットについて、本発明特有の電源制御を実行する。具体的には、電源制御部６０は、不正なデータが流れたバスに接続されている複数の電子制御ユニットの全てに対して、いずれか１つの電子制御ユニットの電源の供給を一時的に停止する（電源をオフにする）制御を順番に実行する。

例えば、不正なデータが流れたバスとしてバス１０が特定された場合を想定する。この場合、電源制御部６０は、バス１０に接続されている電子制御ユニット１１〜１３について、「電子制御ユニット１１：電源オフ、電子制御ユニット１２：電源オン、電子制御ユニット１３：電源オン」の状態、「電子制御ユニット１１：電源オン、電子制御ユニット１２：電源オフ、電子制御ユニット１３：電源オン」の状態、および「電子制御ユニット１１：電源オン、電子制御ユニット１２：電源オン、電子制御ユニット１３：電源オフ」の状態を、順番に実行する。

なお、電源制御部６０が行う電源の供給を一時的に停止する処理は、安全のため車両の走行に影響を及ぼさない車両が停止している間（イングニッション：ＯＮ）に、行われることが望ましい。
また、電子制御ユニットへの電源供給を停止する時間は、ゲートウェイ５０のユニット判断部５３において後述する判断が十分可能な時間であれば、自由に設定可能である。
さらに、電源制御部６０によって順番に電源供給を停止する電子制御ユニットは、いずれか１つに限るものではなく、２つ以上の電子制御ユニットを１グループとしてまとめ、グループ単位で順番に電源供給の停止を行ってもよい。

ゲートウェイ５０のデータ検出部５１は、電源制御部６０による電源制御が開始されると、今度は不正なデータが検出されなくなったか否かを判定する。
ゲートウェイ５０のユニット判断部５３は、データ検出部５１において不正なデータが検出されなくなったと判定された場合、この判定されたときに電源がオフされていた電子制御ユニットがいずれかを電源制御部６０に問い合わせる。そして、ユニット判断部５３は、問い合わせの結果、電源制御部６０からの回答で得られた電子制御ユニットを、不正なデータを送出した電子制御ユニットとして判断する。

ユニット判断部５３によって判断された不正なデータを送出した電子制御ユニットは、ネットワークから自動的に除外されるように管理されてもよいし、ユーザ（例えばドライバー）に通知するなどして適宜利用されてもよい。

次に、上述した構成による車両用ネットワーク１が実行する本発明の特徴的な処理を、図２をさらに参照して詳細に説明する。
図２は、本発明の一実施形態に係る車両用ネットワーク１が実行する不正な電子制御ユニットを判断する電源オフ制御方法の処理手順を示すフローチャートである。なお、図２のフローチャート中における変数ｎ（ｎは、２以上の整数）は、不正なデータが流れたバスに接続されている電子制御ユニットの数を示し、また変数ｉは、数値１〜ｎの範囲にあるいずれかの整数を示す。

図２に示す処理では、データ検出部５１によって、ネットワーク上のデータ、すなわちバス１０、２０、３０、および４０を介してゲートウェイ５０に接続された複数の電子制御ユニット１１〜１３、２１〜２２、３１〜３４、および４１〜４３が送出するデータが監視される（ステップＳ２１）。データ検出部５１が不正なデータを検出すると（ステップＳ２２；Ｙｅｓ）、バス特定部５２によって不正なデータが流れたバスが特定される（ステップＳ２３）。不正なデータが流れたバスが特定されると、電源制御部６０によって不正なデータが流れたバスに接続されている第１〜第ｎの電子制御ユニットについて、電源制御が開始される。

なお、不正なデータが流れたバスに接続されている電子制御ユニットが１台である場合には、以降の処理を実施するまでもなく、この唯一接続されている電子制御ユニットが不正なデータを送出した電子制御ユニットとして判断されることとなる。

まず、電源制御部６０によって、ネットワークを、第１の電子制御ユニット［ｉ＝１］の電源をオフに、かつ、第２〜第ｎの電子制御ユニットの電源をオンにした状態にする（ステップＳ２４、Ｓ２５）。この状態において、データ検出部５１が、不正なデータが検出されなくなったか否かを判定する（ステップＳ２６）。ここで、不正なデータが検出されなくなったと判定されれば、ユニット判断部５３において第１の電子制御ユニットが不正なデータを送出した電子制御ユニットとして判断され（ステップＳ２８）、処理が終了する。

一方、不正なデータがまだ検出されていれば、電源制御部６０によって、ネットワークを、第２の電子制御ユニット［ｉ＝２］の電源をオフに、かつ、第１および第３〜第ｎの電子制御ユニットの電源をオンにした状態にする（ステップＳ２７、Ｓ２５）。そして、この状態において再度、データ検出部５１が、不正なデータが検出されなくなったか否かを判定する（ステップＳ２６）。ここで、不正なデータが検出されなくなったと判定されれば、ユニット判断部５３において第２の電子制御ユニットが不正なデータを送出した電子制御ユニットとして判断され（ステップＳ２８）、処理が終了する。

一方、不正なデータがまだ検出されていれば、電源制御部６０によって、残りの第３〜第ｎの電子制御ユニット［ｉ＝３〜ｎ］についても同様に電源制御が順番に実施される（ステップＳ２５〜２７）。そして、第３〜第ｎの電子制御ユニットのいずれかが、ユニット判断部５３によって不正なデータを送出した電子制御ユニットとして判断される（ステップＳ２８）。

以上のように、本発明の一実施形態に係る車両用ネットワークおよび電源オフ制御方法によれば、電子制御ユニットが送出するデータに送出元を一意に特定できる識別情報などを付加できないネットワークであっても、簡単に不正なデータを送出した電子制御ユニットを見つけ出すことができる。

なお、不正なデータを検出するデータ検出部５１が、ゲートウェイ５０の中にある場合は、上述した実施形態の通りでよい。しかし、このデータ検出部５１は、必ずしもゲートウェイ５０の中にあるとは限られず、例えばマルチメディアとか無線でつながるセンターとかに存在する場合も考えられる。
この場合、不正なデータを誰が送出したのかわからないので、いずれか１つのバスに接続されている全ての電子制御ユニットの電源を一斉にオフすることを各バスに対して順番に実施して、どのバスに接続されている電子制御ユニットが不正なデータを出力しているかを検出することで、不正なバスを迅速に特定することができる。バスは、マルチメディアバス、パワートレイン系バス、およびボディ制御系バスなどに分かれており、例えばマルチメディアバスが不正なバスであるとわかれば、このマルチメディアバスに接続されたＥＣＵは車両の走行に関係なく電源オフ制御できるので、車両を停止させることなく不正なデータを送出したＥＣＵを特定することも可能となる。

本発明は、複数の電子制御ユニットが複数のバスを介して接続された車両用ネットワークに利用可能であり、特に不正なデータや不完全なデータを送出した電子制御ユニットを簡単に見つけ出したい場合に有用である。

１ 車両用ネットワーク
１０、２０、３０、４０ バス
１１〜１３、２１〜２２、３１〜３４、４１〜４３ 電子制御ユニット（ＥＣＵ）
５０ ゲートウェイ
５１ データ検出部
５２ バス特定部
５３ ユニット判断部
６０ 電源制御部

Claims (2)

1. 複数の電子制御ユニットが複数のバスを介して接続された車両用ネットワークであって、
   ネットワークを流れる不正なデータを検出する検出手段と、
   前記検出手段で検出された前記不正なデータが流れたバスを特定する特定手段と、
   前記特定手段によって特定されたバスに接続された全ての電子制御ユニットについて、いずれか１つの電子制御ユニットの電源をオフにする制御を順番に実行する電源制御手段と、
   前記検出手段で前記不正なデータが検出されなくなったときに前記電源制御手段が電源をオフしている電子制御ユニットを、前記不正なデータを送信した電子制御ユニットであると判断する判断手段とを備える、車両用ネットワーク。
2. 前記電源制御手段は、車両が停止しているときに電子制御ユニットの電源をオフする制御を実行する、請求項１に記載の車両用ネットワーク。

Images