JP2017060057A - 通信制御装置及び通信システム - Google Patents

Abstract

【課題】不正データを送信する通信装置が他の通信装置に及ぼす影響を抑えることができる通信制御装置及び通信システムを提供する。【解決手段】通信制御装置は、通信線３，４に接続されている複数のＥＣＵ３１，３２，３３，４１，４２，４３による通信を制御する。通信制御装置は、複数のＥＣＵ３１，３２，３３，４１，４２，４３夫々から通信線３，４を介してデータを受信する通信部２２，２３と、受信されたデータに基づいて、該データを送信したＥＣＵの通信が禁止されるべきか否かを判定し、通信が禁止されるべきと判断された場合、複数のＥＣＵ３１，３２，３３，４１，４２，４３の中から、前記データを送信したＥＣＵを特定する制御部２１と、特定されたＥＣＵに対する通信線の接続を切断するように制御信号を出力する出力部２４とを備える。【選択図】図１

Description

本発明は、通信線に接続されている複数の通信装置による通信を制御する通信制御装置及び通信システムに関する。

車両に搭載される通信システムとして、車両に搭載された電気機器を制御する複数のＥＣＵ(Electronic Control Unit)夫々が、複数の通信線中の１つに接続され、互いに通信する通信システムが提案されている。この通信システムでは、複数の通信線夫々はゲートウェイに接続されており、ゲートウェイは、一の通信線に接続されているＥＣＵと、他の通信線に接続されているＥＣＵとの間の通信を中継する通信制御装置として機能する。このようにゲートウェイが通信を中継する通信システムでは、搭載することが可能なＥＣＵの数が多いため、複数の電気機器を連動させる多様な制御処理が実現される。

また、ゲートウェイを備える通信システムの中には、セキュリティーを確保するために、不正ＥＣＵからの不正なアクセスを検知して、不正ＥＣＵと他のＥＣＵとの通信を防止する必要がある。不正ＥＣＵの接続を防止する技術が特許文献１に開示されている。特許文献１に記載の車両ネットワーク監視装置には、同車両ネットワークで用いられる通信プロトコルを運用する上で規定されたデータの通信形式の監視を通じて不正データを検知する監視用の車載制御装置が設けられている。監視用の車載制御装置は、規定された通信形式と異なる不正データを検知したとき、各ＥＣＵに警告情報を送信する処理を行うとともに、ゲートウェイによる不正データのルーティングを禁止させる処理を行う。

特開２０１３−１３１９０７号公報

しかし、特許文献１に記載の車両ネットワーク監視装置では、不正ＥＣＵを検知した場合、ゲートウェイによる不正データの中継を禁止させることに過ぎず、不正ＥＣＵから通信線への送信が停止しないため、通信システムへの影響が解消されない。例えば、ＤｏＳ（Denial of Service）攻撃のような場合、不正ＥＣＵにより通信線を継続的にドミナント状態にしたり、優先度の高い不正データを連続送信したりすることで、通信線に過剰な負荷がかかる。このため、その通信線に接続された他のＥＣＵが送信できず、ゲートウェイの処理負荷が高まり、正しく動作できない虞がある。

本発明は斯かる事情に鑑みてなされたものであり、その目的とするところは、不正データを送信する通信装置が他の通信装置に及ぼす影響を抑えることができる通信制御装置及び通信システムを提供することにある。

本発明に係る通信制御装置は、通信線に接続される複数の通信装置による通信を制御する通信制御装置において、前記複数の通信装置夫々から前記通信線を介してデータを受信する受信部と、該受信部により受信されたデータに基づいて、該データの送信元の通信装置の通信が禁止されるべきか否かを判定する判定部と、該判定部により前記送信元の通信装置の通信が禁止されるべきと判定された場合、前記複数の通信装置の中から、前記送信元の通信装置を特定する特定部と、該特定部により特定された通信装置に対する通信線の
接続を切断するように制御信号を出力する出力部とを備えることを特徴とする。

本発明にあっては、通信線を介して通信装置からデータを受信し、受信されたデータに基づいて、該データの送信元の通信装置の通信が禁止されるべきか否かを判定し、禁止されるべきと判定された場合、複数の通信装置の中から該送信元の通信装置を特定し、特定された通信装置に対する通信線の接続を切断する旨の制御信号を出力する。よって、通信が禁止されるべき通信装置を通信システムから排除するように制御することにより、不正データを送信する通信装置が他の通信装置に及ぼす影響を抑えることができる。

本発明に係る通信システムは、前記通信制御装置と、前記複数の通信装置と、前記出力部により制御信号が出力された場合に、前記特定部により特定された通信装置に対する通信線の接続を切断する切断部とを備えることを特徴とする。

本発明にあっては、複数の通信装置とこれらの通信装置による通信を制御する通信制御装置とを備えるシステムにおいて、通信制御装置により制御信号を出力された場合に、通信制御装置により特定された通信装置に対する通信線の接続を切断する。これにより、不正データを送信する通信装置が他の通信装置に及ぼす影響を抑えることができる。

本発明に係る通信システムは、前記複数の通信装置夫々は、前記通信線を介してデータを前記受信部に繰り返し送信し、前記判定部は、前記受信部が同一の前記通信装置から受信した前記データの時間間隔が所定時間未満である場合、該通信装置の通信が禁止されるべきと判定することを特徴とする。

本発明にあっては、通信装置から受信したデータの時間間隔に基づいて、該通信装置の通信が禁止されるべきか否かを判定する。よって、１つの通信装置がデータを短い間隔で送信して通信線を占有した場合に、この通信装置の通信を禁止することができる。

本発明に係る通信システムは、前記複数の通信装置夫々に識別情報が割り当てられており、前記複数の通信装置夫々は、自装置の前記識別情報を含むデータを送信し、前記特定部は、前記受信部により受信されたデータに含まれる前記識別情報に基づいて、前記送信元の通信装置を特定することを特徴とする。

本発明にあっては、各通信装置に予め割り当てられた識別情報に基づいて、送信した通信装置を特定する。よって、送信した通信装置を簡単に識別することができる。

本発明によれば、不正データを送信する通信装置に対する通信線の接続を切断することにより、該通信装置が他の通信装置に及ぼす影響を抑えることができる通信システム及び通信制御装置を提供することができる。

実施の形態に係る通信システムの構成を示すブロック図である。 記憶部に記憶されている第１対応表及び第２対応表の例を示す図表である。 ＥＣＵの通信が禁止される場合のジョイントコネクタの状態の説明図である。 制御部の処理手順を示すフローチャートである。

以下、本発明をその実施の形態を示す図面に基づいて具体的に説明する。
図１は実施の形態に係る通信システムの構成を示すブロック図である。通信システムは
車両に搭載されている。通信システムは、ゲートウェイ２、通信線３，４、ＥＣＵ３１，３２，３３，４１，４２，４３、及びジョイントコネクタ５，６を備える。

ゲートウェイ２には２本の通信線３，４が接続されている。通信線３，４夫々は例えば車両において使用されているＣＡＮ（Controller Area Network）バスである。通信線３には、通信線３０，３０，…を介してＥＣＵ３１〜３３夫々が接続されている。通信線４には、通信線４０，４０，…を介してＥＣＵ４１〜４３夫々が接続されている。

ＥＣＵ３１〜３３，４１〜４３夫々は、車両に搭載された図示しない電気機器を制御し、互いに通信し、複数の電気機器を連動させる多様な制御処理を実現する。ＥＣＵ３１〜３３，４１〜４３夫々は通信装置として機能する。

ＥＣＵ３１〜３３及びＥＣＵ４１〜４３夫々は、識別情報（以下、ＩＤと記す）が予め割り当てられている。また、ＥＣＵ３１〜３３及びＥＣＵ４１〜４３夫々は、例えば、所定の通信形式に従い、所定時間おきに通信すべきデータを繰り返し送信する。当該データには、送信元及び送信先夫々のＩＤが付与されている。送信先は、ＥＣＵ３１〜３３及びＥＣＵ４１〜４３中の少なくとも１つである。

ジョイントコネクタ５は通信線３及び通信線３０，３０，…を接続するものであり、スイッチ５１，５２，５３及び制御回路５４を有する。

スイッチ５１は、ＥＣＵ３１と通信線３とを接続する通信線３０の中途に設けられている。スイッチ５１がオンとされた場合には、ＥＣＵ３１が通信線３に接続される。スイッチ５１がオフとされた場合には、ＥＣＵ３１に対する通信線３０の接続が切断される。

スイッチ５２は、ＥＣＵ３２と通信線３とを接続する通信線３０の中途に設けられている。スイッチ５２がオンとされた場合には、ＥＣＵ３２が通信線３に接続される。スイッチ５２がオフとされた場合には、ＥＣＵ３２に対する通信線３０の接続が切断される。

スイッチ５３は、ＥＣＵ３３と通信線３とを接続する通信線３０の中途に設けられている。スイッチ５３がオンとされた場合には、ＥＣＵ３３が通信線３に接続される。スイッチ５３がオフとされた場合には、ＥＣＵ３３に対する通信線３０の接続が切断される。

制御回路５４は、スイッチ５１，５２，５３夫々のオンオフを制御する回路である。実施の形態では、制御回路５４は、スイッチ５１〜５３を常にオンにしているが、後述するように、ゲートウェイ２からの制御信号が与えられた場合、制御信号に応じてスイッチ５１〜５３のいずれかをオフする。

ジョイントコネクタ６は通信線４及び通信線４０，４０，…を接続するものであり、スイッチ６１，６２，６３及び制御回路６４を有する。

スイッチ６１は、ＥＣＵ４１と通信線４とを接続する通信線４０の中途に設けられている。スイッチ６２は、ＥＣＵ４２と通信線４とを接続する通信線４０の中途に設けられている。スイッチ６３は、ＥＣＵ４３と通信線４とを接続する通信線４０の中途に設けられている。

スイッチ５１，５２，５３と同様に、スイッチ６１，６２，６３夫々は、オンとすることによりＥＣＵ４１，４２，４３夫々を通信線４に接続し、オフとすることにより、ＥＣＵ４１，４２，４３夫々に対する通信線４０の接続を切断する。

制御回路６４は、スイッチ６１，６２，６３夫々のオンオフを制御する回路である。実施の形態では、制御回路６４は、スイッチ６１〜６３を常にオンにしているが、後述するように、ゲートウェイ２からの制御信号が与えられた場合、制御信号に応じてスイッチ６１〜６３のいずれかをオフする。

ゲートウェイ２は、通信線３に接続されているＥＣＵ３１〜３３と、通信線４に接続されているＥＣＵ４１〜４３との間の通信を中継する。実施の形態では、ゲートウェイ２に２本の通信線３，４が接続されているが、通信線の本数は２に限らず、必要に応じて任意に設定すればよい。また、各通信線に接続されているＥＣＵの個数は、特に限定されず、必要に応じて任意に設定すればよい。さらに、１つのスイッチは１つのＥＣＵに対応して設置すればよい。

ゲートウェイ２は、制御部２１、通信部２２，２３、出力部２４、記憶部２５を有する。制御部２１、通信部２２，２３、出力部２４、及び記憶部２５はバス２６に接続されている。

通信部２２は通信線３に接続され、通信部２３は通信線４に接続されている。通信部２２は、通信線３を介して、ＥＣＵ３１〜３３夫々からデータを受信する。通信部２２は、制御部２１の指示に従って、通信線３を介して、データをＥＣＵ３１〜３３に送信する。

通信部２３はＥＣＵ４１〜４３夫々からデータを受信する。通信部２３は、制御部２１の指示に従って、通信線４を介して、データをＥＣＵ４１〜４３に送信する。

出力部２４は、ジョイントコネクタ５の制御回路５４及びジョイントコネクタ６の制御回路６４夫々に接続されている。出力部２４は、後述するように、制御部２１の指示に従って、特定されたスイッチをオフする旨の制御信号を、特定された制御回路に出力する。

記憶部２５は不揮発性メモリであり、制御プログラムが記憶してある。記憶部２５には、制御部２１の処理用の各種の対応表が記憶されている。

図２は記憶部２５に記憶されている第１対応表及び第２対応表の例を示す図表である。第１対応表は、図２Ａに示すように、各ＥＣＵ３１，３２，３３，４１，４２，４３のＩＤが登録してある。具体的には、ＥＣＵ３１，３２，３３夫々にＩＤ３１，３２，３３夫々が割り当てられており、ＥＣＵ４１，４２，４３夫々にＩＤ４１，４２，４３夫々が割り当てられている。

第２対応表は、図２Ｂに示すように、各ＥＣＵのＩＤに対応付けて、各ＥＣＵに接続されたスイッチ及び該スイッチを制御する制御回路が登録してある。具体的には、ＩＤ３１，３２，３３夫々がスイッチ５１，５２，５３夫々に対応し、制御回路５４に対応している。ＩＤ４１，４２，４３夫々は、スイッチ６１，６２，６３夫々に対応し、制御回路６４に対応している。

なお、処理用の対応表の形及び内容はこれらに限らず、必要に応じて予め記憶すればよい。例えば、第１対応表及び第２対応表を１つにまとめて記憶してもよい。

制御部２１は、図示しないＣＰＵ(Central Processing Unit)を有し、記憶部２５に記憶されている制御プログラムを実行することによって、通信の中継処理と、通信の禁止処理とを行う。

中継処理では、データを受信した場合、制御部２１は、受信されたデータに付与された
送信先のＩＤと第１対応表とに基づいて、ＥＣＵ３１〜３３及びＥＣＵ４１〜４３の中から、送信先を決定する。制御部２１は、決定した送信先に基づいて、通信部２２，２３の中からデータを送信する送信対象を決定する。制御部２１は、決定した送信対象に、受信されたデータを送信先へ送信させる。

例えば、通信部２２がＥＣＵ３１からＥＣＵ４１へ送信すべきデータを受信した場合、制御部２１は、通信部２２が受信したデータに付与された送信先のＩＤと第１対応表とに基づいて、送信先としてＥＣＵ４１を決定し、データを送信する送信対象として通信部２３を決定する。制御部２１は、通信部２３に、通信部２２が受信したデータをＥＣＵ４１へ送信させる。なお、データフレームに送信先のＩＤを付与しなくてもよい。この場合、送信元、送信先及び送信対象の対応関係を記憶部２５に記憶しておき、制御部２１にて送信元のＩＤ及び上記の対応関係に基づいて送信先及び送信対象を決定してもよい。

禁止処理では、通信部２２又は２３がデータを受信した場合、制御部２１は、受信されたデータに基づいて、該データを送信したＥＣＵの通信が禁止されるべきであるか否かを判定する。以下、判定方法の一例について説明する。

正常に動作するＥＣＵは、前述したように、所定時間おきにデータを繰り返し送信する。しかし、通信システムに不正ＥＣＵは、通信を妨害すべき、所定時間より短い間隔でデータを繰り返し送信する。このため、通信線はこのような不正データにより占有され、過剰な負荷がかかる。

不正ＥＣＵからのデータがゲートウェイ２により中継される場合、通信部２２，２３が不正ＥＣＵから受信したデータの時間間隔が所定時間未満である。このため、制御部２１は、該不正ＥＣＵの通信が禁止されるべきと判定する。

制御部２１は、不正ＥＣＵからのデータに付与されている送信元のＩＤを取得する。これにより、データの送信元は特定される。制御部２１は、取得したＩＤ及び第２対応表に基づいて、不正ＥＣＵに接続されたスイッチ、及び該スイッチを制御する制御回路を特定する。制御部２１は、特定された制御回路への制御信号を出力部２４に出力させて、特定されたスイッチをオフさせるようにする。このように、特定された制御回路は、制御信号に応じて、特定されたスイッチをオフする。これにより、不正ＥＣＵに対する通信線の接続が切断される。

例えば、ＥＣＵ３３が不正ＥＣＵである場合には、制御部２１は、通信部２２がＥＣＵ３３から受信したデータの時間間隔に基づいて、ＥＣＵ３３の通信が禁止されるべきと判定する。制御部２１は、出力部２４を介して、ＥＣＵ３３と通信線３との間のスイッチ５３をオフするように、制御信号をジョイントコネクタ５の制御回路５４へ出力する。

図３は、ＥＣＵ３３の通信が禁止される場合のジョイントコネクタ５の状態の説明図である。制御回路５４は出力部２４からの制御信号に応じて、スイッチ５３をオフする。このとき、図３に示すように、スイッチ５１，５２がオンとされ、ＥＣＵ３１，３２は通信線３に接続されているが、スイッチ５３がオフとされ、ＥＣＵ３３に対する通信線３０の接続は切断されている。

図４は制御部２１の処理手順を示すフローチャートである。制御部２１は、通信部２２又は２３がデータを受信した場合、処理を実行する。

制御部２１は、受信されたデータの時間間隔が所定時間未満であるか否かを判定する（ステップＳ１）。

受信されたデータの時間間隔が所定時間未満ではない場合（ステップＳ１：ＮＯ）、制御部２１はデータを中継する中継処理を行い（ステップＳ２）、処理を終了する。

受信されたデータの時間間隔が所定時間未満である場合（ステップＳ１：ＹＥＳ）、制御部２１は受信されたデータから送信元のＩＤを取得し（ステップＳ３）、取得されたＩＤ及び第２対応表に基づいて、該ＩＤに対応するスイッチ、及び当該スイッチを制御する制御回路を特定する（ステップＳ４）。

制御部２１は、出力部２４を介して、特定されたスイッチをオフさせる旨の制御信号を、特定された制御回路へ出力し（ステップＳ５）、処理を終了する。

実施の形態では、不正ＥＣＵの通信が禁止されるべきと判定した場合、不正ＥＣＵに対する通信線の接続を切断することにより、不正ＥＣＵを通信システムから排除することができる。よって、不正ＥＣＵが通信システムに及ぼす影響を抑えることができる。例えば、ＤｏＳ攻撃のような場合でも、ゲートウェイ２は、処理負荷が高くならず、正常に動作して、他のＥＣＵからのデータを中継することができる。また、不正ＥＣＵのみを通信システムから排除するため、通信線３又は４ごとに通信の切断を必要とせず、通信線３，４に接続されている他のＥＣＵが送信したデータは中継される。このように、正常に動作しているＥＣＵが動作を続けるため、停止する車載機能を最小限にすることができる。

なお、実施の形態では、受信されたデータの時間間隔に基づいて、ＥＣＵの通信が禁止されるべきか否かを判定する例について説明したが、判定方法はこれに限らない。例えば、共通鍵暗号アルゴリズムを用いた認証技術により判定してもよい。例えば、データを送信するＥＣＵは、共通鍵暗号アルゴリズムを用いて、送信すべきデータから認証コードを生成し、認証コードをデータに付与して送信する。通信部２２，２３がデータを受信した場合、制御部２１は共通鍵暗号アルゴリズムを用いて受信されたデータから認証コードを計算し、データに付与された認証コードと比較する。制御部２１は、比較結果が一致しない場合、データを送信したＥＣＵの通信が禁止されるべきと判定する。

以上の実施の形態では、不正ＥＣＵを識別し、不正ＥＣＵに対する通信線の接続を切断することにより、不正ＥＣＵを通信システムから排除することができる。よって、不正ＥＣＵが他のＥＣＵに及ぼす影響を抑えることができる。

また、受信されたデータの時間間隔に基づいて、ＥＣＵの通信が禁止されるべきか否かを判定する。よって、送信したＥＣＵが不正ＥＣＵであるか否かを簡単に判断することができる。これにより、不正ＥＣＵの通信を禁止することができる。

また、各ＥＣＵに予め割り当てられたＩＤに基づいて送信したＥＣＵを特定する。よって、不正ＥＣＵを簡単に識別することができる。

さらに、不正ＥＣＵを識別し、不正ＥＣＵに対する通信線の接続を切断することにより、不正ＥＣＵを通信システムから簡単に排除することができる。よって、不正ＥＣＵが通信システムに及ぼす影響を抑えることができる。

今回開示された実施の形態はすべての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

２ ゲートウェイ（通信制御装置）
２１ 制御部（判定部、特定部）
２２，２３ 通信部
２４ 出力部
２５ 記憶部
２６ バス
３，３０，４，４０ 通信線
３１，３２，３３，４１，４２，４３ ＥＣＵ（通信装置）
５，６ ジョイントコネクタ
５１，５２，５３，６１，６２，６３ スイッチ（切断部）
５４，６４ 制御回路

Claims (4)

1. 通信線に接続される複数の通信装置による通信を制御する通信制御装置において、
   前記複数の通信装置夫々から前記通信線を介してデータを受信する受信部と、
   該受信部により受信されたデータに基づいて、該データの送信元の通信装置の通信が禁止されるべきか否かを判定する判定部と、
   該判定部により前記送信元の通信装置の通信が禁止されるべきと判定された場合、前記複数の通信装置の中から、前記送信元の通信装置を特定する特定部と、
   該特定部により特定された通信装置に対する通信線の接続を切断するように制御信号を出力する出力部と
   を備えることを特徴とする通信制御装置。
2. 請求項１に記載の通信制御装置と、
   前記複数の通信装置と、
   前記出力部により制御信号が出力された場合に、前記特定部により特定された通信装置に対する通信線の接続を切断する切断部と
   を備えることを特徴とする通信システム。
3. 前記複数の通信装置夫々は、前記通信線を介してデータを前記受信部に繰り返し送信し、
   前記判定部は、前記受信部が同一の前記通信装置から受信した前記データの時間間隔が所定時間未満である場合、該通信装置の通信が禁止されるべきと判定すること
   を特徴とする請求項２に記載の通信システム。
4. 前記複数の通信装置夫々に識別情報が割り当てられており、
   前記複数の通信装置夫々は、自装置の前記識別情報を含むデータを送信し、
   前記特定部は、前記受信部により受信されたデータに含まれる前記識別情報に基づいて、前記送信元の通信装置を特定すること
   を特徴とする請求項２又は請求項３に記載の通信システム。
   

Images