JP2016097879A - 車両制御システム - Google Patents

Abstract

【課題】車両の衝突時に燃料タンクからの燃料供給を停止する燃料停止制御を実行する車両制御システムにおいて、サイバー攻撃によって不必要な燃料停止制御が実行されることを阻止する【解決手段】車両制御システム１０は、少なくとも通信回数又は通信間隔の一方を定めた通信ルールを保持し、車両の衝突を検出した場合に、通信ルールに従って衝突信号を車載ネットワーク２０へ送信する第１のＥＣＵ１１と、第１のＥＣＵ１１と同一の通信ルールを保持し、車載ネットワーク２０を介して受信した衝突信号が通信ルールに合致すると判定した場合に、燃料タンク１６から燃料噴射弁１７への燃料供給を停止する制御を実行する第２のＥＣＵ１２とを備え、第１のＥＣＵ１１及び第２のＥＣＵ１２では、車両のイグニッションスイッチ１４がオンされる度に、通信ルールが変更される。【選択図】図２

Description

本発明は、車両の衝突時に燃料タンクからの燃料供給を停止する車両制御システムに関する。

特許文献１には、車両の衝突が検出された場合に、燃料タンクから燃料噴射弁への燃料の供給を遮断する車両の制御装置が記載されている。この制御装置は、衝突センサからの信号に基づいて衝突が生じたと判別した場合に、燃料タンクに一体的に設けられた元弁を閉じる制御を行う。

また、特許文献２には、外部機器に対するインターフェースとしてコネクタが設けられた車載ネットワークが記載されている。コネクタには、車載ネットワークの通信プロトコルを用いて、対応するＥＣＵと通信可能なテスタが接続可能になっている。テスタにより、各アクチュエータ及びＥＣＵの故障診断、並びにＥＣＵについてのパラメータの書き込み及びリプログラミング等を行うことができるようになっている。

特開２００７−００８２５５号公報 特開２００７−１５３０２１号公報

ところで、車両の衝突を検出した場合に燃料タンクからの燃料供給を停止する制御（以下、「燃料停止制御」という。）を実行する車両制御システム（特許文献１に記載されているようなシステム）として、車両の衝突を検出する第１のＥＣＵと、燃料停止制御を実行する第２のＥＣＵとが車載ネットワーク上で接続されたシステムが考えられる。第１のＥＣＵは、車載ネットワークを介して第２のＥＣＵへ衝突信号を送信することによって、車両の衝突を検出したことを第２のＥＣＵへ知らせる。衝突信号を受信した第２のＥＣＵは、燃料停止制御を実行する。しかし、このような車両制御システムが、外部機器に対するインターフェースを有する車載ネットワーク（特許文献２に記載されているような車載システム）に設けられる場合、そのインターフェースを介して車載ネットワークへ、なりすまし通信等によって偽の衝突信号が送信される可能性がある。そうした場合、燃料供給が必要であるにも拘わらず、燃料停止制御が実行される虞がある。

本発明は、車両の衝突時に燃料タンクからの燃料供給を停止する燃料停止制御を実行する車両制御システムにおいて、サイバー攻撃によって不必要な燃料停止制御が実行されることを阻止することを目的とする。

第１の発明は、少なくとも通信回数又は通信間隔の一方を定めた通信ルールを保持し、車両の衝突を検出した場合に、通信ルールに従って衝突信号を車載ネットワークへ送信する第１のＥＣＵと、第１のＥＣＵと同一の通信ルールを保持し、車載ネットワークを介して受信した衝突信号が通信ルールに合致すると判定した場合に、燃料タンクから燃料噴射弁への燃料供給を停止する制御を実行する第２のＥＣＵとを備え、第１のＥＣＵ及び第２のＥＣＵでは、車両のイグニッションスイッチがオンされる度に、通信ルールが変更される。

第１の発明では、第１のＥＣＵ及び第２のＥＣＵが、同一の通信ルールを保持している。通信ルールでは、少なくとも通信回数又は通信間隔の一方が定められている。第１のＥＣＵ及び第２のＥＣＵで用いられる通信ルールは、車両のイグニッションスイッチがオンされる度に変更される。ユーザが車両を使用中、第１のＥＣＵは、自らが保持する通信ルール（つまり、変更後の通信ルール）に従って衝突信号を出力する。第２のＥＣＵは、車載ネットワークを介して衝突信号を受信する。第２のＥＣＵは、自らが保持する通信ルール（つまり、変更後の通信ルール）に対して衝突信号が合致すると判定した場合に、燃料停止制御を実行する。例えば、通信ルールで通信回数が定められている場合、第２のＥＣＵは、衝突信号の受信回数が通信ルールで定められた通信回数に合致すると判定した場合に、燃料停止制御を実行する。

ここで、通信ルールは、サイバー攻撃によって不正取得される虞がある。通信ルールを変更しない場合は、通信ルールを一旦不正取得した第三者は、不正取得した通信ルールに従って偽の衝突信号を送信することで、第２のＥＣＵにおいて衝突信号が通信ルールに合致するとの判定結果に至らせて、燃料停止制御を実行させることができる。それに対し、第１の発明では、第１のＥＣＵ及び第２のＥＣＵで用いられる通信ルールがイグニッションスイッチがオンされる度に変更される。通信ルールが一旦不正取得されたとしても、通信ルールの変更に伴って、不正取得した通信ルールを用いて、燃料停止制御を実行させることができなくなる。

第１の発明では、通信ルールが一旦不正取得されたとしても、イグニッションスイッチがオンされる度に通信ルールを変更することで、不正取得した通信ルールを用いて、燃料停止制御を実行させることができないようにしている。ここで、仮に車両の不使用中（停車中）に通信ルールが不正取得されたとしても、車両が使用される際にイグニッションスイッチがオンされると通信ルールが変更される。また、車両の使用中に通信ルールを不正取得することは容易ではない。このように、通信ルールが一旦不正取得されたとしても、車両が使用される際に通信ルールを変更することで、サイバー攻撃によって不必要な燃料停止制御が実行されることを阻止することができる。サイバー攻撃に対するセキュリティ性を向上させた車両制御システムを提供することができる。

実施の形態に係る車両制御システムの概略構成図 車両制御システムが実行する処理のフローチャート

以下、図１−図２を参照しながら、実施の形態について詳細に説明する。図１は、本実施の形態に係る車両制御システム１０の概略構成図である。車両制御システム１０は、自動車などの車両に搭載されている。図１では、燃料噴射弁１７を１つだけ記載しているが、車両には複数の燃料噴射弁１７が設けられている。車両は、燃料タンク１６から各燃料噴射弁１７へ燃料を供給する燃料供給システム１５を有する。

［車両制御システムの構成について］
車両制御システム１０は、図１に示すように、第１のＥＣＵ１１と、車載ネットワーク２０を介して第１のＥＣＵ１１に接続された第２のＥＣＵ１２とを備えている。第１のＥＣＵ１１及び第２のＥＣＵ１２は、例えばＣＡＮ（Controller Area Network）などの車載ネットワーク２０に設けられている。車載ネットワーク２０には、外部機器に対するインターフェース１３（Ｉ／Ｆ）が接続されている。例えばスマートフォンなどの外部機器は、インターフェース１３を介して、車載ネットワーク２０の各ＥＣＵ１１，２３と通信可能である。実施の形態に係る車両制御システム１０では、ＥＣＵ１１、１２間の通信に用いる通信ルールがインターフェース１３を介して第三者に不正取得されたとしても、車両が使用される際に通信ルールを変更することで、その第三者によって車両の制御が実行されないようにしている。

第１のＥＣＵ１１は、衝突検知センサ（例えば加速度センサ）の出力信号に基づいて車両の衝突を検出するＥＣＵである。第１のＥＣＵ１１は、例えば、エアバッグＥＣＵである。第１のＥＣＵ１１は、衝突検知センサの出力信号に基づいて所定のレベル以上の衝突を検出した場合に、エアバッグの作動（展開）を決定すると共に、図１に示すように、衝突信号を車載ネットワーク２０へ送信する。

第１のＥＣＵ１１は、衝突信号の通信回数及び衝突信号の通信間隔を定めた通信ルールをメモリーに保持している。第１のＥＣＵ１１は、衝突検知センサの出力信号に基づいて所定のレベル以上の衝突を検出した場合（つまり、エアバッグの作動を決定した場合）に、自身が保持する通信ルールに従って、衝突信号を車載ネットワーク２０へ送信する。衝突信号は、一定の通信間隔で、複数回送信される。

また、第１のＥＣＵ１１は、車両のイグニッションスイッチ１４の出力信号に基づいてイグニッションスイッチ１４がオンされたことを検出した場合に、自身が用いる通信ルールを変更する。通信ルールは、イグニッションスイッチ１４がオンされる度に変更される。第１のＥＣＵ１１は、通信ルールを変更した場合に、変更後の通信ルール（最新の通信ルール）を車載ネットワーク２０へ送信する。

第２のＥＣＵ１２は、燃料供給システム１５を制御するＥＣＵである。第２のＥＣＵ１２は、燃料タンク１６から各燃料噴射弁１７への燃料の供給を強制的に停止する燃料停止制御を実行する。第２のＥＣＵ１２は、燃料停止制御として、例えば、各燃料噴射弁１７を閉鎖する制御、燃料タンク１６の燃料ポンプを停止する制御、又は、開閉弁などを用いて燃料タンク１６から各燃料噴射弁１７への燃料流通路を遮断する制御を実行する。第２のＥＣＵ１２は、例えば、ＥＦＩ（Electronic Fuel Injection）−ＥＣＵである。

第２のＥＣＵ１２は、第１のＥＣＵ１１と同一の通信ルールをメモリーに保持している。第２のＥＣＵ１２は、第１のＥＣＵ１１から変更後の通信ルールを受信して、受信した通信ルールをメモリーの通信ルールに上書きすることで、第１のＥＣＵ１１と同一の通信ルールを保持することができる。第２のＥＣＵ１２が用いる通信ルールは、第１のＥＣＵ１１が用いる通信ルールが変更する度に（つまり、イグニッションスイッチ１４がオンされる度に）、最新の通信ルールに更新される。

また、第２のＥＣＵ１２は、燃料停止制御を実行するか否かを決定する実行判定として、車載ネットワーク２０を介して受信した衝突信号に基づいて、車両が衝突したか否かを判定する。この実行判定では、第２のＥＣＵ１２が保持する通信ルールが、衝突判定条件（正規の衝突信号であるか否かを判定する条件）として用いられる。第２のＥＣＵ１２は、車載ネットワーク２０を介して受信した複数の衝突信号が通信ルールに合致する場合に、車両が衝突したと判定して、燃料停止制御を実行する。一方、第２のＥＣＵ１２は、車載ネットワーク２０を介して受信した複数の衝突信号が通信ルールに合致していない場合に、車両が衝突していないと判定して、燃料停止制御を実行しない。
［車両制御システムが実行する処理について］

図２（ａ）は、通信ルールの変更処理のフローチャートを示す。図２（ｂ）は、燃料停止制御の実行処理のフローチャートを示す。各ＥＣＵ１１、１２は、例えば、ＣＰＵ、ＲＡＭ、及びＲＯＭなどを有するマイクロコンピュータである。各ＥＣＵ１１、１２では、ＲＯＭ等から読み出されたプログラムがＣＰＵによって実行されることによってフローチャートの処理を実現される。

図２（ａ）を参照して、通信ルールの変更処理について説明する。ユーザによって車両のイグニッションスイッチ１４がオンされると、ステップＳ１１において、第１のＥＣＵ１１は、イグニッションスイッチ１４の出力信号に基づいて、イグニッションスイッチ１４のオンを検出する。ステップＳ１１の実行後はステップＳ１２へ進む。

ステップＳ１２において、通信ルールの変更が実行される。具体的に、第１のＥＣＵ１１は、例えば２以上の整数から、通信回数Ｋをランダムに決定すると共に、例えば所定の数値範囲（例えばミリ秒オーダーの数値範囲）から、通信間隔Ｉをランダムに決定することにより、新たな通信ルール（Ｋ，Ｉ）を決定する。第１のＥＣＵ１１のメモリーに保持されている通信ルールは、新たに決定された通信ルール（Ｋ，Ｉ）に上書きされる。このようにして、第１のＥＣＵ１１が用いる通信ルールが変更される。

さらに、第１のＥＣＵ１１は、新たに決定した通信ルール（Ｋ，Ｉ）を車載ネットワーク２０へ送信する。第２のＥＣＵ１２は、車載ネットワーク２０を介して通信ルール（Ｋ，Ｉ）を受信する。第２のＥＣＵ１２のメモリーに保持されている通信ルールは、受信した通信ルール（Ｋ，Ｉ）に上書きされる。このようにして、第２のＥＣＵ１２が用いる通信ルールが変更される。ステップＳ１２の実行後はフローチャートの処理を終了する。なお、第２のＥＣＵ１２が新たな通信ルール（Ｋ，Ｉ）を決定し、第２のＥＣＵ１２から第１のＥＣＵ１１へ新たな通信ルール（Ｋ，Ｉ）を送信することで、第１のＥＣＵ１１及び第２のＥＣＵ１２が用いる通信ルールを変更してもよい。

続いて、図２（ｂ）を参照して、燃料停止制御の実行処理について説明する。燃料停止制御の実行処理は、イグニッションスイッチ１４がオンされて通信ルールが変更された後に実行される。第１のＥＣＵ１１及び第２のＥＣＵ１２の各々は、イグニッションスイッチ１４がオンされた後に変更された最新の通信ルール（Ｋ，Ｉ）を保持している。

ステップＳ２１において、第２のＥＣＵ１２は、車載ネットワーク２０を介して衝突信号を受信し、且つ、衝突信号が通信ルール（Ｋ，Ｉ）に合致する場合に、車両が衝突したと判定する。第２のＥＣＵ１２は、車両が衝突したと判定しない限り、イグニッションスイッチ１４がオンされた後の車両の使用中に亘って、ステップＳ２１を繰り返し行う。

具体的に、車両の使用中に、第１のＥＣＵ１１は、所定のレベル以上の車両の衝突を検出した場合に、最新の通信ルール（Ｋ，Ｉ）に従って、複数の衝突信号を車載ネットワーク２０へ送信する。複数の衝突信号は、一定の送信間隔で送信される。第１のＥＣＵ１１から複数の衝突信号が車載ネットワーク２０へ送信されると、第２のＥＣＵ１２は、複数の衝突信号を一定の受信間隔で受信する。第２のＥＣＵ１２は、受信した複数の衝突信号について、衝突信号の受信回数及び衝突信号の受信間隔を検出する。例えば、衝突信号の受信回数は、予め定めた期間内の受信回数であり、衝突信号の受信間隔は、予め定めた期間に受信した衝突信号の受信間隔である。

そして、第２のＥＣＵ１２は、最新の通信ルール（Ｋ，Ｉ）に定められた通信回数Ｋに対し衝突信号の受信回数が合致する第１条件（衝突信号の受信回数が通信回数Ｋと等しくなる条件）が成立するか否かを判定する第１判定と、最新の通信ルール（Ｋ，Ｉ）に定められた通信間隔Ｉに対し衝突信号の受信間隔が合致する第２条件が成立するか否かを判定する第２判定とを実行する。なお、第２判定においては、衝突信号の受信間隔が通信間隔Ｉと略等しいければ、通信間隔Ｉに対し衝突信号の受信間隔が合致すると判定してもよい。

第２のＥＣＵ１２は、第１条件及び第２条件の両方が成立する場合に、車両が衝突したと判定して、ステップＳ２２へ進む。つまり、衝突信号の受信回数及び衝突信号の受信間隔の両方が通信ルール（Ｋ，Ｉ）に合致する場合のみ、衝突信号に基づいて車両が衝突したと判定する。複数の衝突信号が通信ルールに合致する場合は、衝突信号が正規の信号であると判断できるため、車両が衝突したと判定される。ステップＳ２２において、第２のＥＣＵ１２は、燃料停止制御として、燃料供給システム１５に対し燃料供給の停止を指示する停止信号を送信する。その結果、燃料供給システム１５では、燃料タンク１６から各燃料噴射弁１７への燃料の供給が強制的に停止される。ステップＳ２２の実行後はフローチャートの処理を終了する。

また、第２のＥＣＵ１２は、第１条件又は第２条件の少なくとも一方でも成立しない場合は、車両が衝突したと判定しない。つまり、衝突信号の受信回数及び衝突信号の受信間隔のうち少なくとも一方でも通信ルールに合致しない場合は、衝突信号がサイバー攻撃による不正な信号の虞があると判断できるため、燃料停止制御の実行を決定しない。この場合、所定の時間経過後にステップＳ２１を再び実行する。

［実施の形態の効果］
本実施の形態では、通信ルールが一旦不正取得されたとしても、イグニッションスイッチ１４がオンされる度に通信ルールを変更することで、不正取得した通信ルールを用いて、燃料停止制御を実行させることができないようにしている。ここで、仮に車両の不使用中に通信ルールが不正取得されたとしても、車両が使用される際にイグニッションスイッチ１４がオンされると通信ルールが変更される。また、車両の使用中に通信ルールを不正取得することは容易ではない。このように、通信ルールが一旦不正取得されたとしても、車両が使用される際に通信ルールを変更することで、サイバー攻撃によって不必要な燃料停止制御が実行されることを阻止することができる。サイバー攻撃に対するセキュリティ性を向上させた車両制御システム１０を提供することができる。

なお、サイバー攻撃に対するセキュリティ性を向上させるために、判定条件を複雑化することが考えられる。しかし、判定条件を複雑化しても、判定条件を変更しなれば、攻撃側がすぐに対応する虞がある。また、判定条件の複雑化に伴って車両制御システム自体が複雑化する虞がある。また、ＣＡＮなどの車載ネットワークの通信回線以外に別途に通信回線を設けてハード面を冗長設計することも考えられる。しかし、車両制御システムのコストが増加する虞がある。本実施の形態によれば、過剰に判定条件を複雑化することなく、サイバー攻撃に対するセキュリティ性を向上させることができる。

［変形例］
上記実施の形態について、第１のＥＣＵ１１及び第２のＥＣＵ１２が衝突信号の通信回数だけを定めた通信ルールを用いてもよい。この場合、第１のＥＣＵ１１は、衝突信号の通信回数に従って衝突信号を車載ネットワーク２０へ送信する。第２のＥＣＵ１２は、車載ネットワーク２０を介して受信した衝突信号の受信回数が通信ルールにおける通信回数に合致すると判定した場合に、燃料停止制御を実行する。

また、上記実施の形態では、第１のＥＣＵ１１及び第２のＥＣＵ１２が衝突信号の通信間隔だけを定めた通信ルールを用いてもよい。この場合、第１のＥＣＵ１１は、通信ルールにおける衝突信号の通信間隔に従って複数の衝突信号を車載ネットワーク２０へ送信する。第２のＥＣＵ１２は、車載ネットワーク２０を介して受信した衝突信号の受信間隔が通信ルールにおける通信間隔に合致すると判定した場合に、燃料停止制御を実行する。

本発明は、車両の衝突時に燃料タンクからの燃料供給を停止する車両制御システムなどに適用可能である。

１０ 車両制御システム
１１ 第１のＥＣＵ
１２ 第２のＥＣＵ
１３ インターフェース
１４ イグニッションスイッチ
１５ 燃料供給システム
２０ 車載ネットワーク

Claims (1)

1. 少なくとも通信回数又は通信間隔の一方を定めた通信ルールを保持し、車両の衝突を検出した場合に、前記通信ルールに従って衝突信号を車載ネットワークへ送信する第１のＥＣＵと、
   前記第１のＥＣＵと同一の通信ルールを保持し、前記車載ネットワークを介して受信した前記衝突信号が前記通信ルールに合致すると判定した場合に、燃料タンクから燃料噴射弁への燃料供給を停止する制御を実行する第２のＥＣＵとを備え、
   前記第１のＥＣＵ及び前記第２のＥＣＵでは、前記車両のイグニッションスイッチがオンされる度に、前記通信ルールが変更される、車両制御システム。

Images