JP2016215873A - 車載通信システム及び車載制御装置 - Google Patents

Abstract

【課題】不正機器が接続される前に行われるコネクタの接続の解除を検出することができる車載通信システム及び車載制御装置を提供する。【解決手段】通信線２にコネクタ４で接続された複数の車載制御装置３を備える車載通信システムは、検出部を備える。検出部は、コネクタ４の接続が解除される場合に、コネクタ４に配された圧電素子に作用する圧力により出力される電圧を検知することにより、コネクタ４の接続の解除を検出する。【選択図】図２

Description

本発明は、通信線にコネクタで接続された複数の車載制御装置を備える車載通信システムであって、コネクタの接続の解除を検出できる車載通信システム及び車載制御装置に関する。

複数の車載制御装置を通信線に接続してなり、該通信線を介して情報の通信が行われる車載通信システムがある。該通信線に不正機器が接続される場合、不正情報が流される、情報が盗まれる等の虞がある。この問題に対し、情報に暗号コードを付与して通信することが行われている。また、特許文献１では、情報の受信間隔を監視することにより、通信状態の異常を検知するネットワーク監視装置が開示されている。

特開２０１４−１８７４４５号公報

しかし、情報に暗号コードを付与した場合でも、暗号コードを盗まれることにより、不正機器の侵入を認識できない場合がある。また、特許文献１に係るネットワーク監視装置では、通信が行われていない場合は通信状態の異常を検知できず、不正機器の侵入を認識できない。

本発明は斯かる事情に鑑みてなされたものであり、その目的とするところは、通信線にコネクタで接続された複数の車載制御装置を備える車載通信システムであって、不正機器が接続される前に行われるコネクタの接続の解除を検出することができる車載通信システム及び車載制御装置を提供することにある。

本発明に係る車載通信システムは、通信線にコネクタで接続された複数の車載制御装置を備え、該通信線を介して通信が行われる車載通信システムであって、前記コネクタの接続が解除される場合に前記コネクタに作用する圧力を検出する検出部を備えることを特徴とする。

本発明にあっては、不正機器が接続される場合、初めにコネクタの接続が解除され、不正機器が該コネクタに接続される。コネクタの接続が解除される場合、該コネクタには圧力が作用する。本発明に係る車載通信システムは、コネクタに作用する圧力を検出することにより、不正機器が接続される前に行われるコネクタの接続の解除を検出することができる。

本発明に係る車載通信システムは、前記コネクタに配された圧電素子を備え、前記検出部は、前記圧電素子が出力する電圧に基づき、前記圧力を検出することを特徴とする。

本発明にあっては、コネクタに圧電素子を配することにより、駆動源を必要としない単純な構成で、コネクタに作用する圧力を検出することができる。

本発明に係る車載通信システムは、前記コネクタが、雄コネクタと雌コネクタとを含み、該雄コネクタ及び雌コネクタの一方は、他方を係止する係止部を備え、前記圧電素子は、前記係止部に設けられていることを特徴とする。

本発明にあっては、コネクタの接続が解除される場合、雄コネクタと雌コネクタとを係止する係止部に圧力が作用する。圧電素子が係止部に設けられていることにより、コネクタの接続が解除される場合には圧電素子に圧力が作用し、電圧が生じる。よって、検出部は、生じた電圧を検知することにより、コネクタに作用する圧力を検出することができる。

本発明に係る車載通信システムは、前記雄コネクタ及び雌コネクタの一方が、前記通信線に設けられ、前記雄コネクタ及び雌コネクタの他方は、前記車載制御装置に設けられていることを特徴とする。

本発明にあっては、雄コネクタ及び雌コネクタの一方が通信線に設けられ、雄コネクタ及び雌コネクタの他方が車載制御装置に設けられている構成において、コネクタの接続の解除を検出することができる。

本発明に係る車載通信システムは、前記検出部が前記コネクタに作用する圧力を検出した場合に、検出結果を通知する信号を前記通信線に出力する出力部を備えることを特徴とする。

本発明にあっては、検出部がコネクタに作用する圧力を検出した場合に、検出結果を他の車載制御装置に通知することにより、他の車載制御装置も、不正機器が接続される前に行われるコネクタの接続の解除を認識することができる。

本発明に係る車載通信システムは、前記検出部が前記コネクタに作用する圧力を検出した場合に、前記通信を制限する処理を行う制限処理部を備えることを特徴とする。

本発明にあっては、コネクタの接続が解除される場合に車載通信システムの通信を制限することにより、不正機器がコネクタに接続される事態に対応することができる。

本発明に係る車載制御装置は、通信線に接続するためのコネクタを構成する雄コネクタ及び雌コネクタの一方を備えた車載制御装置であって、前記コネクタの接続が解除される場合に前記コネクタに作用する圧力を検出する検出部を備えることを特徴とする。

本発明にあっては、コネクタに作用する圧力を検出することにより、不正機器が接続される前に行われるコネクタの接続の解除を検出することができる。

本発明に係る車載制御装置は、前記雄コネクタ及び雌コネクタの一方が、前記コネクタの接続が解除される場合に外部から入力される電圧を検知するための端子を備えることを特徴とする。

本発明にあっては、自機に設けられた雄コネクタ又は雌コネクタは端子を有し、雄コネクタと雌コネクタとの接続が解除される場合に、検出部は端子を通して電圧を検知することができる。これにより、車載制御装置はコネクタの接続の解除を検出することができる。

本発明に係る車載制御装置は、前記雄コネクタ及び雌コネクタの一方に配された圧電素子を備え、前記検出部は、前記圧電素子が出力する電圧に基づき、前記圧力を検出することを特徴とする。

本発明にあっては、自機に設けられた雄コネクタ又は雌コネクタは圧電素子を有し、検出部は、雄コネクタと雌コネクタとの接続が解除される場合に、圧電素子に作用する圧力によって生じる電圧を検知する。これにより、車載制御装置はコネクタの接続が解除されることを検出することができる。

本発明に係る車載制御装置は、前記検出部が前記コネクタに作用する圧力を検出した場合に、検出結果を通知する信号を前記通信線に出力する出力部を備えることを特徴とする。

本発明にあっては、コネクタの接続が解除される場合に、コネクタの接続が解除される旨を他の車載制御装置に通知することにより、他の車載制御装置も、不正機器が接続される前に行われるコネクタの接続の解除を認識することができる。

本発明によれば、不正機器が接続される前に行われるコネクタの接続の解除を検出することができる。

本発明の実施の形態１に係る車載通信システムの構成例を示すブロック図である。 本発明の実施の形態１に係る車載制御装置の構成例を示すブロック図である。 本発明の実施の形態１に係るコネクタの一例を示す斜視図である。 本発明の実施の形態１に係るコネクタの一例を示す断面図である。 本発明の実施の形態１に係る処理手順を示すフローチャートの一例である。 本発明の実施の形態１に係るコネクタの接続解除の検出動作を説明するための模式図である。 本発明の実施の形態２に係るコネクタの一例を示す断面図である。 本発明の実施の形態２に係るコネクタの接続解除の検出動作を説明するための模式図である。 本発明の実施の形態３に係る車載通信システムの構成例を示すブロック図である。 本発明の実施の形態４に係る車載通信システムの構成例を示すブロック図である。 本発明の実施の形態４に係る処理手順を示すフローチャートの一例である。

以下、本発明をその実施の形態を示す図面に基づいて詳述する。
（実施の形態１）
図１は、本実施の形態１に係る車載通信システムの構成例を示すブロック図である。符号１は車両である。車両１は、複数の車載制御装置３を有する。各車載制御装置３は、車両１に配線された通信線２を介して接続され、相互に信号を送受信する。通信線２は、例えば導線ケーブル、光ファイバケーブル等である。

図２は、本実施の形態１に係る車載制御装置３の構成例を示すブロック図である。車載制御装置３は、例えば車両１のエンジンの制御を行う電子制御装置、車両１の電装品の制御を行う電子制御装置、ＡＢＳ（Antilock Brake System）に関する制御を行う電子制御装置、車両１のエアバッグの制御を行う電子制御装置等である。車載制御装置３は、制御部３１、記憶部３２及び通信部３３等を備える。なお、該構成は各車載制御装置３に共通である。

制御部３１は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro-Processing Unit）等の演算処理装置を含む。制御部３１は、記憶部３２に記憶されたプログラムを読み出して実行することにより、車両１に係る種々の情報処理又は制御処理等を行う。

また、制御部３１は、車載制御装置３の稼働状況に応じて、車載制御装置３を起動状態又は休止状態に切り替える制御を行う。休止状態とは、消費電力を抑制した状態であり、起動状態とは、消費電力を抑制していない状態である。制御部３１は、例えば車両１の運転時には車両１の制御を行うため車載制御装置３を起動状態とするが、車両１の運転が停止し、所定時間以上、車載制御装置３への信号入力がない場合、省電力のために車載制御装置３を休止状態とする。

また、制御部３１は、外部から印加される電圧が入力される入力部（図示せず）を有する。制御部３１は、休止状態であっても入力部に入力される電圧の値を監視しており、電圧値が後述する所定の閾値以上の場合、記憶部３２及び通信部３３を含めて車載制御装置３を休止状態から起動状態へと遷移させる。

記憶部３２は、マスクＲＯＭ、フラッシュメモリ又はＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）等の不揮発性のメモリ素子を含む。記憶部３２は、制御部３１が実行するプログラムと、該プログラムを実行するために必要な種々のデータとを記憶している。

通信部３３は、例えばＣＡＮ（Controller Area Network）プロトコルに従った通信を行う。通信部３３は、後述するコネクタ４を介して、通信線２に通信可能に接続されている。

図３は、本実施の形態１に係るコネクタ４の一例を示す斜視図であり、図４は、本実施の形態１に係るコネクタ４の一例を示す断面図である。コネクタ４は雄コネクタ４１と、雌コネクタ４２とを含む。

図３に示すように、雄コネクタ４１は、通信線２の一端に設けられている。雄コネクタ４１は、略直方体状のハウジング４１ａを備える。ハウジング４１ａは、雄コネクタ４１に係る複数の接続端子を保持する。該接続端子には複数の通信線２が接続されている。ハウジング４１ａの一面には、弾性を有するツメ部４１ｂが設けられている。ここで説明の便宜上、該一面を上面とし、通信線２が繋がっている面を後面とする。ツメ部４１ｂは矩形状の薄片である。ツメ部４１ｂは、ハウジング４１ａの上面に対し、後面側を上として傾いている。また、ツメ部４１ｂの矩形面には、該矩形面の横方向に長く、該矩形面から突起した小突起４１ｃが設けられている。なお、接続端子及び通信線２の数は複数であるものとして説明したが、本実施の形態はこれに限られず、接続端子及び通信線２の数は一以上であればよい。

図４に示すように、ツメ部４１ｂの内部には、圧電素子４１ｄが設けられている。また、雄コネクタ４１は、出力端子４１ｅ、４１ｆを備える。出力端子４１ｅ、４１ｆは、圧電素子４１ｄが出力した電圧を制御部３１に印加するための端子である。出力端子４１ｅ、４１ｆは、一端が圧電素子４１ｄに接続され、他端が雄コネクタ４１の挿入方向に向くように配されている。

図３に示すように、雌コネクタ４２は、車載制御装置３に設けられている。雌コネクタ４２は、略直方体状のハウジング４２ａを備える。ハウジング４２ａは、雄コネクタ４１が挿入可能なように、雄コネクタ４１に対向する一面が開口している。ハウジング４２ａ内側の寸法は、ハウジング４１ａが収容可能な横幅、高さ及び奥行である。雌コネクタ４２は、雄コネクタ４１の各接続端子に対応するように、複数の接続端子を備え、ハウジング４２ａは、該接続端子を保持する。また、ハウジング４２ａ内側上面には、ツメ部４１ｂが収容可能な横幅、高さ及び奥行を持った溝部４２ｂが設けられている。

図４に示すように、溝部４２ｂには、ツメ部４１ｂに係る小突起４１ｃと嵌合可能な嵌合孔４２ｃが設けられている。また、雌コネクタ４２のハウジング４２ａ内からは、車載制御装置３の制御部３１に向けて入力端子３１ａ、３１ｂが配されている。入力端子３１ａ、３１ｂは、圧電素子４１ｄが出力した電圧を制御部３１に印加するための端子である。入力端子３１ａ、３１ｂは、一端が制御部３１の入力部に接続されており、ハウジング４２ａ内にある他端が、雄コネクタ４１の挿入方向とは逆方向に向くように配されている。入力端子３１ａ、３１ｂは、コネクタ４の接続時には出力端子４１ｅ、４１ｆと接触するようになっており（図６Ａ参照）、圧電素子４１ｄが出力した電圧は制御部３１に印加される。

雄コネクタ４１が雌コネクタ４２に挿入されると、ツメ部４１ｂが弾性を有することにより、ツメ部４１ｂが溝部４２ｂに沿う形で曲がる。雄コネクタ４１がさらに挿入されると、小突起４１ｃと嵌合孔４２ｃとが嵌合される（図６Ａ参照）。すると、ツメ部４１ｂと溝部４２ｂとが互いに係止され、コネクタ４は接続状態となる。

次に、制御部３１が行う処理について、フローチャートを用いて説明する。
図５は、本実施の形態１に係る処理手順を示すフローチャートの一例である。コネクタ４の接続が解除される場合、ツメ部４１ｂに内蔵された圧電素子４１ｄに圧力が作用し、圧電素子４１ｄは電圧を出力する。制御部３１は、圧電素子４１ｄが出力する電圧を検知する（ステップＳ１）。制御部３１は、該電圧の値が所定の閾値以上か否かを判定する（ステップＳ２）。閾値は、コネクタ４の接続を解除するために必要な圧力に応じて定められる電圧値である。また、閾値が正負どちらの値であるかは、コネクタ４の接続が解除される場合に圧電素子４１ｄが出力する電圧の極性によって定まる。本実施の形態では、コネクタ４の接続が解除される場合に、電圧値は正の値を取るものとして説明する。電圧値が閾値未満である場合（ステップＳ２：ＮＯ）、処理はステップＳ１に戻される。

電圧値が閾値以上である場合（ステップＳ２：ＹＥＳ）、電圧が印加されることにより、制御部３１は、記憶部３２及び通信部３３を含む自機（車載制御装置３）を起動させる（ステップＳ３）。不正機器をコネクタ４に接続する行為は、車載制御装置３が休止している間、例えば夜間に行われる虞がある。そこで、制御部３１は、圧電素子４１ｄが出力した電圧を検知した場合は、圧電素子４１ｄから印加される該電圧を利用して、自機を起動させる。なお、すでに車載制御装置３が起動している場合は、ステップＳ３の処理はスキップされる。次いで、制御部３１は、ウェイクアップ信号を生成し（ステップＳ４）、ウェイクアップ信号を他の車載制御装置３に送信する（ステップＳ５）。ウェイクアップ信号の生成及び送信を行うのは、他の車載制御装置３も休止している虞があるためである。

他の車載制御装置３に係る制御部３１は、電圧を検知した車載制御装置３から送信されたウェイクアップ信号を受信する（ステップＳ６）。制御部３１は、ウェイクアップ信号を受信した場合、自機を起動させる（ステップＳ７）。なお、すでに他の車載制御装置３が起動している場合は、ステップＳ７の処理はスキップされる。制御部３１は、ウェイクアップ信号を送信した車載制御装置３に、自機を起動させた旨の応答信号を送信する（ステップＳ８）。なお、ウェイクアップ信号の送信元の特定は、ウェイクアップ信号に車載制御装置３の識別情報を付与しておき、他の車載制御装置３に係る制御部３１が、該識別情報を読み出すことにより行えばよい。また、以下でも特に断りがない場合、車載通信システムにおける通信は同様にして送信元の特定が行われるものとする。

ウェイクアップ信号を送信した制御部３１は、応答信号を受信する（ステップＳ９）。制御部３１は、応答信号を受信した場合、コネクタ４の接続が解除される旨の通知信号を生成する（ステップＳ１０）。制御部３１は、他の車載制御装置３に通知信号を送信する（ステップＳ１１）。

応答信号を送信した他の車載制御装置３に係る制御部３１は、通知信号を受信する（ステップＳ１２）。制御部３１は、後述するように、車載通信システムにおける通信を制限し（ステップＳ１３）、処理を終了する。

次に、本実施の形態に係るコネクタ４の接続解除の検出動作について説明する。
図６は、本実施の形態１に係るコネクタ４の接続解除の検出動作を説明するための模式図である。図６Ａはコネクタ４が接続された状態を、図６Ｂはコネクタ４の接続が解除された状態を示す。なお、図３、４では複数の通信線２が束となったハーネスが車載制御装置３に接続されるものとして図示したが、図６では簡潔のため通信線２は一本としている。

図６Ａでは、雄コネクタ４１が雌コネクタ４２に挿入されていることにより、ツメ部４１ｂが溝部４２ｂによって押圧されていることがわかる。図６Ｂでは、雄コネクタ４１が雌コネクタ４２から取り外されていることにより、ツメ部４１ｂが押圧されていないことがわかる。つまり、コネクタ４が接続されている状態から、コネクタ４の接続が解除されるまでの間に、ツメ部４１ｂに作用する圧力が変化する。また、圧電素子４１ｄはツメ部４１ｂに内蔵されていることから、ツメ部４１ｂに作用する圧力は、圧電素子４１ｄにも作用する。従って、コネクタ４が接続されている状態から、コネクタ４の接続が解除されるまでの間に、圧電素子４１ｄに作用する圧力は変化する。圧電素子４１ｄに作用する圧力が変化すると、圧電素子４１ｄは電圧を出力する。

図６Ａで示すように、雄コネクタ４１が雌コネクタ４２に挿入されている場合、入力端子３１ａ、３１ｂと出力端子４１ｅ、４１ｆとは接触している。圧電素子４１ｄに作用する圧力が変化し始めても、コネクタ４の接続が完全に解除されるまでは、入力端子３１ａ、３１ｂと出力端子４１ｅ、４１ｆとは接触している。よって、圧電素子４１ｄが出力する電圧は、制御部３１により検知される。
なお、図６Ｂで示すように、コネクタ４の接続が完全に解除された場合、出力端子４１ｅ、４１ｆと入力端子３１ａ、３１ｂとが非接触となるので、制御部３１は電圧を検知しなくなる。

圧電素子４１ｄは、押圧する場合と押圧してから離す場合の両方で、電圧を生じる。ただし、押圧する場合と押圧してから離す場合とでは、生じる電圧は逆極性となる。つまり、コネクタ４が接続されることにより圧電素子４１ｄが押圧される場合と、コネクタ４の接続が解除されることにより圧電素子４１ｄが押圧されなくなる場合とでは、生じる電圧が逆極性となる。制御部３１は、生じる電圧の極性により、コネクタ４が接続されたか、それともコネクタ４の接続が解除されたかを判別する。

以上より、コネクタ４の接続が解除される場合、圧電素子４１ｄに作用する圧力が変化することにより圧電素子４１ｄが電圧を出力し、制御部３１は、該電圧を検知する。制御部３１は、該電圧を検知した場合、後述する処理を実行する。

制御部３１は、コネクタ４の接続が解除される旨を他の車載制御装置３に通知する処理を行う。具体的には、制御部３１は、圧電素子４１ｄが出力する電圧により自機を起動させると共に、ウェイクアップ信号を生成、送信することにより、他の車載制御装置３を起動させる。休止状態から起動状態へと遷移した車載通信システムは、電圧を検知した車載制御装置３から他の車載制御装置３へと通知信号を送信する。他の車載制御装置３は、該通知信号を受信することにより、コネクタ４の接続が解除される旨を認識することができる。

他の車載制御装置３に係る制御部３１は、通知信号を受信すると、車載通信システムにおける通信を制限する処理を行う。具体的には、制御部３１は、自機の動作を停止する処理を行う。これにより、不正機器がコネクタ４に接続される場合に、不正情報が流される、情報が盗まれる等の事態を防止することができる。

以上より、本実施の形態１によれば、コネクタ４に作用する圧力を検出することにより、不正機器が接続される前に行われるコネクタ４の接続の解除を検出することができる。

また、本実施の形態１によれば、コネクタ４に圧電素子４１ｄが配される構成であるため、従来技術のようなソフトウェア上の対策よりも単純で、安価に実現できる。

また、本実施の形態１によれば、コネクタ４の接続が解除される場合、雄コネクタ４１と雌コネクタ４２とを係止するツメ部４１ｂに圧力が作用する。圧電素子４１ｄがツメ部４１ｂに設けられていることにより、コネクタ４の接続が解除される場合には圧電素子４１ｄに圧力が作用し、電圧が生じる。制御部３１は、該電圧を検知することにより、コネクタ４に作用する圧力を検出する。よって、圧電素子４１ｄがツメ部４１ｂに設けられていることにより、制御部３１はコネクタ４に作用する圧力を検出することができる。

また、本実施の形態１によれば、雄コネクタ４１が通信線２に設けられ、雌コネクタ４２が車載制御装置３に設けられている構成において、コネクタ４の接続の解除を検出することができる。

また、本実施の形態１によれば、コネクタ４の接続が解除されることを、圧電素子４１ｄが出力する電圧によって検出する。つまり、車両１のネットワークの通信状態を監視するのではなく、コネクタ４の物理的な接続状態を監視している。また、制御部３１は、圧電素子４１ｄが出力する電圧により自機を起動させると共に、ウェイクアップ信号を生成、送信することにより、他の車載制御装置３を起動させる。つまり、各車載制御装置３が休止状態であったとしても、コネクタ４の接続が解除される旨を通知することができる。以上より、従来技術のように、車載制御装置３が車両１のネットワークと通信可能な状態である必要はない。

また、本実施の形態１によれば、コネクタ４の接続が解除される旨の通知を受けた他の車載制御装置３に係る制御部３１は、車載通信システムにおける通信を制限する処理を行う。これにより、不正機器が接続される事態に対応することができる。

（変形例１）
実施の形態１では、雄コネクタ４１のツメ部４１ｂに圧電素子４１ｄが内蔵される構成であった。しかし、コネクタ４に作用する圧力を検出することができる構成であれば、コネクタ４に必ずしも圧電素子４１ｄが配される必要はない。例えば、コネクタ４のツメ部４１ｂに抵抗が内蔵され、制御部３１は、ツメ部４１ｂに作用する圧力が変化することによる抵抗値の変化を検知する構成としてもよい。また、コネクタ４のツメ部４１ｂにコンデンサが内蔵され、制御部３１は、ツメ部４１ｂに作用する圧力が変化することによる静電容量の変化を検知する構成としてもよい。以上より、ツメ部３１ｂに抵抗、コンデンサ等を内蔵させる構成であっても、コネクタ４に作用する圧力を検出することができる。

（変形例２）
実施の形態１では、雄コネクタ４１の押圧される部分は、ツメ部４１ｂであった。しかし、押圧される部分は、ツメ形状に限られない。例えば、押圧される部分をツメ形状ではなく単なる凸形状とし、これに弾性を持たせる構成でもよい。さらに、押圧される部分は、必ずしもハウジング上面に位置していなければならないわけではない。例えば、押圧される部分がハウジング４１ａの前面に設けられていてもよい。つまり、コネクタ４の接続が解除される場合に、制御部３１が、コネクタ４に配された圧電素子に作用する圧力の変化により生じる電圧を検知することができる構成であればよい。該構成であれば、実施の形態１と同様の効果を奏する。

（変形例３）
実施の形態１では、制御部３１が行う通信制限処理は、車載制御装置３の動作を停止する処理であるとした。しかし、該通信制限処理は、車載制御装置３の動作を停止する処理に限られない。例えば、自機が送受信する情報について、その情報の種類ごとに予め重要度を示す識別情報を付与して記憶部３２に記憶しておき、重要度の低い情報については通信を行うが、重要度の高い情報については通信を行わないようにしてもよい。これにより、不正機器がコネクタ４に接続されたとしても、重要な情報の漏洩を防ぐことができる。

（変形例４）
実施の形態１では、制御部３１が行う処理は、通信を制限する処理に限られない。例えば、制御部３１は、圧電素子４１ｄが電圧を生じたという検出結果を記憶部３２に記憶する処理を行ってもよい。上記のようにウェイクアップ信号及び通知信号を生成し、全ての車載制御装置３に送信しようとしても、通信線２における通信量が瞬間的に増大することから、全ての車載制御装置３への送信が、コネクタ４の接続が完全に解除される前に完了しない虞がある。そこで、圧電素子４１ｄが生じた電圧を検知した制御部３１は、検出結果を記憶部３２に記憶しておく。コネクタ４の接続が解除され、不正機器がコネクタ４に接続された場合であっても、取り外された車載制御装置３が再びコネクタ４に接続されれば、事後的に他の車載制御装置３に前記検出結果を通知することができる。

なお、上記の処理とは反対に、制御部３１は、電圧を検知した場合に記憶部３２に記憶されている情報を消去する処理を行ってもよい。これにより、取り外された車載制御装置３からの情報の漏洩を防止することができる。

また、制御部３１は、コネクタ４の接続が解除された旨をユーザに報知する処理を行ってもよい。車載通信システムに通信装置を設けておき、制御部３１は、圧電素子４１ｄが出力する電圧を検知した場合、該通信装置を通じて例えばユーザの携帯電話に報知する。これにより、ユーザはコネクタ４の接続が解除された旨を知ることができる。

上記のように、制御部３１が行う処理は、様々な処理内容が考えらえる。制御部３１が行う処理は、不正機器への対策としてセキュリティ上有効な処理であればよい。なお、上記複数の処理を組み合わせて実行することも考えられる。

（実施の形態２）
実施の形態１では、雄コネクタ４１に係るツメ部４１ｂに圧電素子４１ｄが内蔵され、制御部３１は、圧電素子４１ｄに作用する圧力が変化することによって生じる電圧を検知する形態について述べた。実施の形態２では、圧電素子２４２ｅが、雌コネクタ２４２に配されている形態について述べる。なお、実施の形態１と重複する内容については、説明を省略する。

図７は、本実施の形態２に係るコネクタ２０４の一例を示す断面図である。コネクタ２０４は、雄コネクタ２４１と雌コネクタ２４２とを含む。雄コネクタ２４１はハウジング２４１ａを備え、ハウジング２４１ａにはツメ部２４１ｂが設けられている。雌コネクタ２４２はハウジング２４２ａを備え、ハウジング２４２ａには撓み部２４２ｄが設けられている。撓み部２４２ｄは、コネクタ２０４の接続時にツメ部２４１ｂと対応するようにハウジング２４２ａの内側上面に設けられ、弾性を有する。また、圧電素子２４２ｅは、撓み部２４２ｄに内蔵されている。入力端子２３１ａ、２３１ｂは、圧電素子２４２ｅと、車載制御装置３の制御部３１との間に配されている。

図８は、本実施の形態２に係るコネクタ２０４の接続解除の検出動作を説明するための模式図である。図８Ａはコネクタ２０４が接続されている状態を、図８Ｂはコネクタ２０４の接続が解除された状態を示す。

図８Ａでは、雄コネクタ２４１が雌コネクタ２４２に挿入されていることにより、撓み部２４２ｄがツメ部２４１ｂによって押圧されていることがわかる。図８Ｂでは、雄コネクタ２４１が雌コネクタ２４２から取り外されていることにより、撓み部２４２ｄが押圧されていないことがわかる。つまり、コネクタ２０４が接続されている状態から、コネクタ２０４の接続が解除されるまでの間に、撓み部２４２ｄに作用する圧力が変化する。また、圧電素子２４２ｅは撓み部２４２ｄに内蔵されていることから、撓み部２４２ｄに作用する圧力は、圧電素子２４２ｅにも作用する。従って、コネクタ２０４が接続されている状態から、コネクタ２０４の接続が解除されるまでの間に、圧電素子２４２ｅに作用する圧力は変化する。圧電素子２４２ｅに作用する圧力が変化すると、圧電素子２４２ｅは電圧を出力する。

上記のように、圧電素子２４２ｅと制御部３１との間には、入力端子２３１ａ、２３１ｂが配されている。よって、圧電素子２４２ｅが出力する電圧は、制御部３１により検知される。

以降の処理は、実施の形態１と同様である。制御部３１は、電圧を検知すると、コネクタ２０４の接続が解除される旨を他の車載制御装置３に通知する処理を実行する。

以上より、本実施の形態２によれば、通信線２に設けられたコネクタである雄コネクタ２４１ではなく、車載制御装置３に設けられたコネクタである雌コネクタ２４２に圧電素子２４２ｅが配されることにより、実施の形態１と同様の効果を奏する。

また、本実施の形態２によれば、入力端子２３１ａ、２３１ｂは圧電素子２４２ｅに接続されている。実施の形態１では、出力端子４１ｅ、４１ｆと入力端子３１ａ、３１ｂとが接触することにより、圧電素子４１ｄと制御部３１とが電気的に接続されていたが、出力端子４１ｅ、４１ｆと入力端子３１ａ、３１ｂとが接触不良を起こした場合、制御部３１は、圧電素子４１ｄが出力する電圧を検知できない虞がある。本実施の形態２においては、入力端子２３１ａ、２３１ｂのみによって接続されているため、上記の事態を生じさせる虞がない。

（実施の形態３）
実施の形態１、２では、車載制御装置３が、他の車載制御装置３に通信線２を介して接続される形態について述べた。しかし、通信線２を介して車載制御装置３に接続される機器は、他の車載制御装置３に限られない。実施の形態３では、車載制御装置３０３が、自機に接続されている通信線２とは別の通信線３０２を介して、他の車載制御装置３ではない別の車載機器３０５に接続される形態について述べる。なお、実施の形態１、２と重複する内容については、説明を省略する。

図９は、本実施の形態３に係る車載通信システムの構成例を示すブロック図である。実施の形態１と同じように、一の車載制御装置３０３は、通信線２を介して、他の車載制御装置３と通信可能に接続されている。車載制御装置３０３と通信線２とは、コネクタ４によって接続されている。一方で、車載制御装置３０３は、通信線３０２を介して、車載機器３０５とも接続されている。

車載機器３０５は、例えばセンサ、駆動機器、電装品等であり、通信線３０２を介して車載制御装置３０３と接続可能な機器であればよい。本実施の形態においては、車載機器３０５は速度センサであるものとして説明する。車載機器３０５に接続される車載制御装置３０３は、例えば車両１のエンジンを制御する電子制御装置である。車載機器３０５、すなわち速度センサは、車両１の走行速度を検出し、検出した走行速度を車載制御装置３０３に通知する。走行速度を通知された車載制御装置３０３は、例えば走行速度が法定速度を上回っている場合に、走行速度を法定速度以下にするようにエンジン駆動を制御する。

車載機器３０５と車載制御装置３０３とを通信可能とする通信線３０２は、一端が車載制御装置３０３に、他端が車載機器３０５に接続されている。また、車載制御装置３０３と通信線３０２とは、コネクタ３０４によって接続されている。通信線３０２、車載制御装置３０３及びコネクタ３０４の構成は、それぞれ実施の形態１（又は実施の形態２）における通信線２、車載制御装置３及びコネクタ４（又はコネクタ２０４）と同様である。コネクタ３０４は、雄コネクタ３４１と雌コネクタ３４２とを含み、雄コネクタ３４１（又は雌コネクタ３４２）には圧電素子が配されている。コネクタ３０４の接続が解除される場合、圧電素子に作用する圧力が変化することにより、電圧が生じる。制御部３３１は電圧を検知すると、コネクタ３０４の接続が解除される旨を他の車載制御装置３０３に通知する処理を実行する。

以上の構成により、車載制御装置３０３と、他の車載制御装置３ではない別の車載機器３０５とを接続するコネクタ３０４においても、実施の形態１、２と同じ一連の処理が可能となる。これにより、実施の形態１、２と同様の効果を奏する。

（実施の形態４）
実施の形態１では、制御部３１が、圧電素子４１ｄに作用する圧力の変化により生じる電圧を検知すると、上記所定の処理を行う形態について述べた。実施の形態４では、通信線４０２を介して複数の車載制御装置４０３と接続されるゲートウェイ４０６が、車載通信システムにおける通信を制限する処理を行う形態について述べる。なお、実施の形態１と重複する内容については、説明を省略する。

図１０は、本実施の形態４に係る車載通信システムの構成例を示すブロック図である。本実施の形態に係る車載通信システムは、ゲートウェイ（Gateway）４０６に複数の通信線４０２が接続されており、各通信線４０２に複数の車載制御装置４０３が接続されている。通信線４０２と車載制御装置４０３とは、コネクタ４０４によって接続されている。

ゲートウェイ４０６は、接続された複数の通信線４０２間での通信を中継する中継器である。異なる通信線４０２がゲートウェイ４０６に接続されていることにより、各車載制御装置４０３は、自機が接続されている通信線４０２以外の通信線４０２に接続されている他の車載制御装置４０３と通信可能となっている。

それぞれの通信線４０２に接続された複数の車載制御装置４０３は、一定の関連した制御系を構成しており、安全系、駆動系、ボディ系という制御系に分かれている。なお、制御系は前記３つの制御系に限られない。各制御系の車載制御装置４０３は、複数の車載制御装置４０３がそれぞれ信号の送受信を行うことにより、制御系全体として各制御系に関する制御を行う。

次に、本実施の形態４における車載通信システムの動作処理を説明する。図１１は、本実施の形態４に係る処理手順を示すフローチャートの一例である。ここで、駆動系の車載制御装置４０３、４０３、４０３、…のうち、一の車載制御装置４０３と通信線４０２とを接続するコネクタ４０４の接続が解除される場合を考える。図１１では、コネクタ４０４の接続が解除される車載制御装置４０３が行う処理を左側に、ゲートウェイが行う処理を中央に、駆動系に係る他の車載制御装置４０３が行う処理を右側に示している。

ステップＳ１〜Ｓ３の処理は、実施の形態１と同様なので、説明を省略する。自機を起動させた制御部４３１は、ウェイクアップ信号を生成し、ウェイクアップ信号をゲートウェイ４０６に送信する（ステップＳ４０４）。ゲートウェイ４０６は、ウェイクアップ信号を受信する（ステップＳ４０５）。ゲートウェイ６は、ウェイクアップ信号を受信した場合、自機を起動させる（ステップＳ４０６）。実施の形態１で説明したように、コネクタ４０４の接続が解除される場合に、車載通信システムが休止している虞があるためである。なお、ゲートウェイ４０６がすでに起動している場合、ステップＳ４０７の処理はスキップされる。ゲートウェイ４０６は、ウェイクアップ信号を送信した車載制御装置４０３に応答信号を送信する（ステップＳ４０７）。

車載制御装置４０３に係る制御部４３１は、応答信号を受信する（ステップＳ４０８）。応答信号を受信すると、制御部４３１は、コネクタ４０４の接続が解除される旨の通知信号を生成し、通知信号をゲートウェイ４０６に送信する（ステップＳ４０９）。

ゲートウェイ４０６は、通知信号を受信する（ステップＳ４１０）。通知信号を受信した場合、ゲートウェイ４０６はウェイクアップ信号を生成し、ウェイクアップ信号を駆動系に係る他の車載制御装置４０３に送信する（ステップＳ４１１）。他の車載制御装置４０３は、ウェイクアップ信号を受信する（ステップＳ４１２）。他の車載制御装置４０３に係る制御部４３１は、ウェイクアップ信号を受信した場合、自機を起動させる（ステップＳ４１３）。なお、他の車載制御装置４０３がすでに起動している場合、ステップＳ４１３の処理はスキップされる。他の車載制御装置４０３に係る制御部４３１は、ゲートウェイ４０６に応答信号を送信する（ステップＳ４１４）。

ゲートウェイ４０６は、応答信号を受信する（ステップＳ４１５）。応答信号を受信すると、ゲートウェイ４０６は、駆動系の動作を停止させるための制御信号を生成する（ステップＳ４１６）。具体的には、駆動系に係る他の車載制御装置４０３、４０３、…の動作を停止させるための制御信号を生成する。ゲートウェイ４０６は、生成した制御信号を、駆動系に係る他の車載制御装置４０３に送信する（ステップＳ４１７）。

駆動系に係る他の車載制御装置４０３は、制御信号を受信する（ステップＳ４１８）。制御信号を受信した場合、他の車載制御装置４０３は、制御信号に従って自機の動作を停止させ（ステップＳ４１９）、一連の処理を終了する。

上記のように、コネクタ４０４の接続が解除される旨の通知信号を受信したゲートウェイ４０６は、コネクタ４０４の接続が解除される車載制御装置４０３以外の、駆動系に係る他の車載制御装置４０３、４０３、…の動作を停止させる処理を行う。これにより、駆動系に係る車載制御装置４０３、４０３、…の全てが動作を停止し、車両１の駆動系全体として動作が停止する。

以上より、本実施の形態４によれば、一の制御系に係るコネクタ４０４の接続が解除される場合に、一の制御系全体の動作を停止することで、不正機器の接続による事故の発生等を未然に防ぐことが可能となる。

また、本実施の形態４によれば、制御部４３１は、コネクタ４０４の接続が解除される旨の通知信号をゲートウェイ４０６にのみ送信する。すでに述べたように、通知信号を制御部４３１が他の車載制御装置４０３に送信しようとしても、通信線２における通信量が瞬間的に増大することから、全ての車載制御装置４０３への送信が完了しない虞がある。しかし、本実施の形態において、制御部４３１はゲートウェイ４０６にのみ送信すればよいので、実施の形態１に比べ、通信を高速で行うことが可能となる。これにより、通知処理が完了しない可能性を低減させることができる。

また、本実施の形態４によれば、ゲートウェイ４０６が一括して制御信号を生成し、他の車載制御装置４０３、４０３、…に送信する。よって、車載通信システム全体の処理負担を軽減させることができる。

（変形例１）
実施の形態４では、コネクタ４０４の接続が解除される旨の通知信号を受信した場合、ゲートウェイ４０６は、一の制御系に係る全ての車載制御装置４０３、４０３、…の動作を停止させるものとした。しかし、一部の車載制御装置４０３、４０３、…だけ動作を停止させれば不正機器の侵入を防止できるのであれば、必ずしも一の制御系に係る全ての車載制御装置４０３の動作を停止させなくてもよい。変形例１では、一の制御系に係る一部の車載制御装置４０３、４０３、…だけ動作を停止させる形態について述べる。

ゲートウェイ４０６の記憶部（図示せず）は、例えば、一の車載制御装置４０３との通信ができないと、他の車載制御装置４０３、４０３、…が動作できなくなる場合に、前記一の車載制御装置４０３と前記他の車載制御装置４０３、４０３、…とを対応付けたテーブルを記憶しておく。ゲートウェイ４０６は、コネクタ４０４の接続が解除される旨の通知信号を受信した場合、該通知信号の送信元を特定することにより、コネクタ４０４の接続が解除される車載制御装置４０３を特定し、前記テーブルを参照する。なお、通知信号の送信元の特定は、通知信号に車載制御装置４０３を特定する識別情報を付与しておき、ゲートウェイ４０６が通知信号を受信した場合に、該識別情報を読み出すことにより行えばよい。また、車載制御装置４０３の特定は、通知信号ではなく、ウェイクアップ信号（実施の形態４におけるステップＳ４０４）の送信元を同様にして特定することにより行ってもよい。ゲートウェイ４０６は、他の車載制御装置４０３、４０３、…が、コネクタ４０４の接続が解除される車載制御装置４０３と対応付けられているか否かを判定する。

また、ゲートウェイ４０６は、対応付けられていると判定した他の車載制御装置４０３、４０３、…が、さらに別の車載制御装置４０３、４０３、…と対応付けられているか否かを判定する。ゲートウェイ４０６は、この判定処理を、対応付けられている車載制御装置４０３がなくなるまで繰り返す。この判定処理により、コネクタ４０４に不正機器が接続されることにより悪影響のある車載制御装置４０３、４０３、…が特定される。

ゲートウェイ４０６は、特定された他の車載制御装置４０３、４０３…の動作を停止させるための制御信号を生成する。ゲートウェイ４０６は、特定された他の車載制御装置４０３、４０３、…に、該制御信号を送信する。制御信号を受信した他の車載制御装置４０３、４０３、…は、制御信号に従って自機の動作を停止させる。

以上より、変形例１によれば、ゲートウェイ４０６の記憶部は、一の車載制御装置４０３と他の車載制御装置４０３、４０３、…とを対応付けたテーブルを記憶しておく。ゲートウェイ４０６は、コネクタ４０４の接続が解除された場合に、前記テーブルを参照して、コネクタ４０４の接続が解除される車載制御装置４０３と他の車載制御装置４０３、４０３、…が対応付けられているか否かを判定する。ゲートウェイ４０６は、この判定結果により、前記一の車載制御装置４０３と対応付けられている他の車載制御装置４０３、４０３、…に制御信号を送信し、前記他の車載制御装置４０３、４０３、…の動作を停止させる。
これにより、一の制御系に係る全ての車載制御装置４０３、４０３…の動作を停止させずとも、不正機器がコネクタ４０４に接続されることにより動作に悪影響が出る一部の車載制御装置４０３、４０３…の動作を停止させることができるので、実施の形態４と同様の効果を奏する。

（変形例２）
実施の形態４において、コネクタ４０４の接続が解除される旨の通知信号を受信したゲートウェイ４０６は、接続が解除されるコネクタ４０４を有する通信線４０２と、他の通信線４０２、４０２との通信を遮断する処理を行ってもよい。これにより、不正機器の接続による悪影響を、不正機器が接続される通信線４０２に係る制御系に留めることができる。

（変形例３）
実施の形態４において、ゲートウェイ４０６は、一の制御系の動作を停止させる場合に、該制御系とは別の制御系の動作を停止させる処理を行ってもよい。例えば、実施の形態４では駆動系に係る車載制御装置４０３、４０３、…の動作を停止させることとしたが、併せて安全系に係る車載制御装置４０３、４０３、…の動作を停止させることとしてもよい。駆動系及び安全系の制御は、車両１の運転時にユーザの安全に直結する重要な制御が多い。そこで、駆動系に係るコネクタ４０４に不正機器が接続される場合に、不正機器の侵入による安全系への悪影響を考慮し、駆動系のみならず、安全系に係る車載制御装置４０３、４０３、…の動作も停止させる。
なお、上記の例では駆動系及び制御系の動作を停止させることとしたが、停止させる制御系の組み合わせは、この組み合わせに限定されない。例えば、駆動系の動作を停止させる場合に、ボディ系の動作は停止させるが、ユーザの安全を考慮して安全系の動作は停止させないという組み合わせも考えられる。

以上より、変形例３によれば、一の制御系に係るコネクタ４０４の接続が解除される場合であって、該一の制御系に係る車載制御装置４０３、４０３、…の動作を停止させる場合に、ゲートウェイ４０６は、他の制御系に係る車載制御装置４０３、４０３、…の動作を停止させる処理を行う。これによって、不正機器の侵入による重大事故の発生等を防止することができる。

今回開示された実施の形態はすべての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

１ 車両
２，３０２，４０２ 通信線
３，３０３，４０３ 車載制御装置
３１，３３１，４３１ 制御部
３１ａ，３１ｂ，２３１ａ，２３１ｂ 入力端子
３２ 記憶部
３３ 通信部
４，２０４，３０４，４０４ コネクタ
４１，２４１，３４１ 雄コネクタ
４１ａ，２４１ａ ハウジング
４１ｂ，２４１ｂ ツメ部
４１ｃ 小突起
４１ｄ 圧電素子
４１ｅ，４１ｆ 出力端子
４２，２４２，３４２ 雌コネクタ
４２ａ，２４２ａ ハウジング
４２ｂ 溝部
４２ｃ 嵌合孔
２４２ｄ 撓み部
２４２ｅ 圧電素子
３０５ 車載機器
４０６ ゲートウェイ

Claims (10)

1. 通信線にコネクタで接続された複数の車載制御装置を備え、該通信線を介して通信が行われる車載通信システムであって、
   前記コネクタの接続が解除される場合に前記コネクタに作用する圧力を検出する検出部
   を備える車載通信システム。
2. 前記コネクタに配された圧電素子を備え、
   前記検出部は、前記圧電素子が出力する電圧に基づき、前記圧力を検出する
   請求項１に記載の車載通信システム。
3. 前記コネクタは、雄コネクタと雌コネクタとを含み、
   該雄コネクタ及び雌コネクタの一方は、他方を係止する係止部を備え、
   前記圧電素子は、前記係止部に設けられている
   請求項２に記載の車載通信システム。
4. 前記雄コネクタ及び雌コネクタの一方は、前記通信線に設けられ、
   前記雄コネクタ及び雌コネクタの他方は、前記車載制御装置に設けられている
   請求項３に記載の車載通信システム。
5. 前記検出部が前記コネクタに作用する圧力を検出した場合に、検出結果を通知する信号を前記通信線に出力する出力部
   を備える請求項１〜請求項４のいずれか１項に記載の車載通信システム。
6. 前記検出部が前記コネクタに作用する圧力を検出した場合に、前記通信を制限する処理を行う制限処理部
   を備える請求項１〜請求項５のいずれか１項に記載の車載通信システム。
7. 通信線に接続するためのコネクタを構成する雄コネクタ及び雌コネクタの一方を備えた車載制御装置であって、
   前記コネクタの接続が解除される場合に前記コネクタに作用する圧力を検出する検出部
   を備える車載制御装置。
8. 前記雄コネクタ及び雌コネクタの一方は、前記コネクタの接続が解除される場合に外部から入力される電圧を検知するための端子を備える
   請求項７に記載の車載制御装置。
9. 前記雄コネクタ及び雌コネクタの一方に配された圧電素子を備え、
   前記検出部は、前記圧電素子が出力する電圧に基づき、前記圧力を検出する
   請求項７に記載の車載制御装置。
10. 前記検出部が前記コネクタに作用する圧力を検出した場合に、検出結果を通知する信号を前記通信線に出力する出力部
    を備える請求項７〜請求項９のいずれか１項に記載の車載制御装置。

Images