JP2017165183A - 通信装置および通信システム - Google Patents

Abstract

【課題】ＣＰＵの送受信チャンネルの増加数を最小限として診断機に対する各種制御装置の法令上の応答性を確保し、不正な装置が接続されても攻撃に対処できること。【解決手段】ＣＰＵ１６０が診断機７０の認証を行い、診断機からの信号を、診断機の認証が完了する前にノード３０Ａに受信させ、ＣＰＵが認証の過程によって診断機を不正な装置と判定した場合に、診断機との通信を遮断する。また、診断機が接続される通信路Ａ６に対する信号を、ＣＰＵに設けられた処理部からの信号とノード３０Ａが接続される通信路Ａ１からの信号との論理和演算により生成するＯＲ回路１４０と、ＣＰＵの前記処理部に対する信号を、診断機が接続される通信路Ｑ１からの信号とノード３０Ａが接続される通信路Ａ１からの信号との論理和演算により生成するＯＲ回路１５０と、前記信号の衝突を回避する信号衝突回避手段と、 を備える。【選択図】図１

Description

本発明は、通信装置および通信システムに関する。

複数の通信ドライバを用いて通信装置間でリクエスト信号や応答信号を送受信する従来技術として、制御装置のＣＰＵ（Central Processing Unit）による監視を行いたい場合に、下記特許文献１〜４がある。

特許第５２９９２６１号公報 特開２０１１−２２９００６号公報 特許第５５９８２５９号公報 特開２０１２−１１４７２４号公報

ところで、例えば車両のＤＬＣ（Data Link Connector）に接続して、各種車載制御装置（ＥＣＵ：Electrical Controll Unit）の故障診断（ダイアグ）を行う診断機がある。この診断機は、ＤＬＣを介して車載ネットワークによって各種車載制御装置と通信を確立させる。
しかし、法令上、例えば診断機と燃料噴射制御装置などの駆動系の制御装置との間には、診断機に対する通信レスポンスの応答時間（Ｐ２ｃａｎ：５０ｍｓｅｃ）の制約が課せられている。さらには、電子制御装置の搭載数の増加に伴って、バス上の接続ノード数（１バス：１６装置）に関する制約も課せられている。

ゆえに、従来の特許文献１〜４に記載の技術に基いて、ゲートウェイ装置を配置して複数のバス構成を実装した場合は、送受信チャンネルの増加に伴う当該ゲートウェイ装置の転送遅延等によって、これら種々の法令上の制約を成立させることが難しくなっていた。また、ＤＬＣに不正な装置が接続された場合のセキュリティの確保が課題となっていた。

そこで、本発明は、ＣＰＵの送受信チャンネルの増加数を最小限として診断機に対する各種制御装置の法令上の応答性を確保するとともに、不正な装置が接続されても当該装置からの攻撃に対処できる通信装置および通信システムを提供することを課題とする。

本発明の一形態は、外部装置が接続された第１の通信路と、前記外部装置の通信対象となる通信対象装置のうち所定の性質を有する特定制御装置が接続された第２の通信路と、前記第１の通信路と前記第２の通信路とを中継する中継装置と、を備え、前記中継装置が前記外部装置の認証を行い、前記外部装置からの信号を、前記外部装置の前記認証が完了する前に前記特定制御装置に受信させ、前記中継装置が前記認証の過程によって前記外部装置を不正な装置と判定した場合に、前記外部装置との通信を遮断する通信装置であって、前記第１の通信路に対する信号を、前記中継装置に設けられた処理部からの信号と前記第２の通信路からの信号とによる論理和演算により生成する第１論理和演算手段と、前記中継装置の前記処理部に対する信号を、前記第１の通信路からの信号と前記第２の通信路からの信号とによる論理和演算により生成する第２論理和演算手段と、前記第１の通信路からの信号と、前記第２の通信路からの信号と、前記処理部からの信号との衝突を回避する信号衝突回避手段と、 を備えていることを特徴とする。

本発明によれば、通信装置は、第１論理和演算手段と、第２論理和演算手段と、信号衝突回避手段とを備える。また、通信装置の中継装置が外部装置の認証を行い、外部装置からの信号を、外部装置の認証が完了する前に特定制御装置に受信させ、中継装置が認証の過程によって外部装置を不正な装置と判定した場合に、外部装置との通信を遮断する。これによって、信号の衝突を回避して、診断機に対する各種制御装置の法令上の応答性を確保するとともに、不正な装置が接続されても当該装置からの攻撃に対処して、不正侵入を防止することができる。
さらには、本発明の通信装置は第１論理和演算手段および第２論理和演算手段を備えているので、通信ドライバの数よりも、中継装置の通信チャンネル数を減らすことができる。これによって、通信装置の構成を簡素化してコスト低減できるとともに、中継装置の処理負荷を軽減できる。つまり、中継装置の演算効率を向上させて、転送遅延を防止することができる。

また、本発明は、動力や動力伝達機構などのパワープラント部品を備えた車両に用いられ、前記所定の性質は、前記パワープラント部品の制御を実行する、との性質であり、前記第２の通信路は、前記車両における前記特定制御装置を接続するものであることを特徴とする。

このような構成によれば、車両のパワープラント部品の制御を実行する特定制御装置に課されている、診断機に対する法令上の応答性に関する時間制約の条件を満たすことができる。

また、本発明は、前記通信対象装置のうち前記特定制御装置ではない前記通信対象装置と、前記中継装置とを接続する第３の通信路を備え、前記処理部は、前記第３の通信路からの信号を、前記第２論理和演算手段からの信号を受信する受信部とは異なる受信部から受信し、前記第３の通信路に対する信号を、前記第１論理和演算手段に対する信号を送信する送信部とは異なる送信部から送信することを特徴とする。

このような構成によれば、中継装置の処理部は、第３の通信路からの信号を、第２論理和演算手段からの信号を受信する受信部とは異なる受信部から受信することができる。また、中継装置の処理部は、第３の通信路に対する信号を、第１論理和演算手段に対する信号を送信する送信部とは異なる送信部から送信することができる。つまり、本発明の中継装置は、第１の通信路および第２の通信路からの信号を送受信するチャンネルと、第３の通信路からの信号を送受信するチャンネルをそれぞれ別個に備える。これによって、第２の通信路の特定制御装置に課せられた、法令上の応答性に関する時間制約の条件をより一層満たしやすくし、応答遅延を防止することができる。

前記中継装置は、前記認証の過程で前記外部装置を不正な装置と判定した場合に、前記第１の通信路の通信ドライバに対してその動作を無効化させる信号を送出し、前記特定制御装置の応答信号が前記外部装置に到達するよりも前に、前記外部装置との通信を遮断させることを特徴とする。

このような構成によれば、中継装置は、認証の過程で外部装置を不正な装置と判定した場合に、外部装置側の第１の通信路の通信ドライバに対してその動作を無効化させる信号を送出する。そして、特定制御装置の応答信号が外部装置に到達するよりも前に、外部装置との通信を遮断させることができる。これにより、外部装置として不正な装置が接続された場合でも、当該装置からの攻撃に対処することができる。

また、本発明は、前記外部装置は車両故障を診断する診断機、または情報端末であることを特徴とする。

このような構成によれば、外部装置が車両故障を診断する診断機、または情報端末の場合にも、対処することができる。

また、本発明は、外部装置と、前記外部装置の通信対象となる通信対象装置のうち所定の性質を有する特定制御装置と、前記外部装置と前記特定制御装置とを中継する中継装置と、を備え、前記中継装置が前記外部装置の認証を行い、前記外部装置からの信号を、前記外部装置の前記認証が完了する前に前記特定制御装置に受信させ、前記中継装置が前記認証の過程によって前記外部装置を不正な装置と判定した場合に、前記外部装置との通信を遮断する通信システムであって、前記外部装置に対する信号を、前記中継装置に設けられた処理部からの信号と前記特定制御装置からの信号とによる論理和演算により生成する第１論理和演算手段と、前記中継装置の前記処理部に対する信号を、前記外部装置からの信号と前記特定制御装置からの信号とによる論理和演算により生成する第２論理和演算手段と、前記外部装置からの信号と、前記特定制御装置からの信号と、前記中継装置の前記処理部からの信号との衝突を回避する信号衝突回避手段と、 を備えていることを特徴とする。

このような構成によれば、本発明の通信システムは、第１論理和演算手段と、第２論理和演算手段と、信号衝突回避手段とを備える。また、通信システムの中継装置が外部装置の認証を行い、外部装置からの信号を、外部装置の認証が完了する前に特定制御装置に受信させ、中継装置が認証の過程によって外部装置を不正な装置と判定した場合に、外部装置との通信を遮断する。これによって、信号の衝突を回避して、診断機に対する各種制御装置の法令上の応答性を確保するとともに、不正な装置が接続されても当該装置からの攻撃に対処して、不正侵入を防止することができる。
さらには、本発明の通信システムは第１論理和演算手段および第２論理和演算手段を備えているので、通信ドライバの数よりも、中継装置の通信チャンネル数を減らすことができる。これによって、通信装置の構成を簡素化してコスト低減できるとともに、中継装置の処理負荷を軽減できる。つまり、中継装置の演算効率を向上させて、転送遅延を防止することができる。

本発明によれば、ＣＰＵの送受信チャンネルの増加数を最小限として診断機に対する各種制御装置の法令上の応答性を確保するとともに、不正な装置が接続されても当該装置からの攻撃に対処できる通信装置および通信システムを提供できる。

本発明の一実施形態に係わる通信装置および通信システムのブロック構成図である。 本発明の一実施形態に係わる通信装置のＣＰＵの不正監視処理手順を説明するフローチャートである。 本発明の一実施形態に係わる通信装置の信号の伝送過程を説明するシーケンスチャートであり、通信対象装置が基幹バスに接続されたノード３０Ａの場合の図である。 本発明の一実施形態に係わる通信装置の信号の伝送過程を説明するシーケンスチャートであり、通信対象装置が拡張バスに接続されたノード５０Ｂの場合の図である。

（実施形態の説明）
以下、本発明の一実施形態について説明する。以下では、本発明の一実施形態に係わる通信装置１００および通信システム１０００が、動力や動力伝達機構などのパワープラント部品を備えた車両に用いられ、車載ネットワークであるＣＡＮ規格で通信する場合を例に挙げて説明する。また各図で重複する説明は適宜省略することがある。
図１は、本実施形態に係る通信装置１００および通信システム１０００のブロック構成図である。
通信装置１００は、例えば診断機７０からの信号を、通信対象装置である各種制御装置に中継するゲートウェイ装置である。なお、図１において基幹バス３０、拡張バス５０上に接続される各種制御装置を総称してそれぞれノード３０Ａ，５０Ｂとしたとき、診断機７０、通信装置１００、ノード３０Ａ，５０Ｂを含んでなるシステムを通信システム１０００とする。また、ノード３０Ａ，５０Ｂは診断機７０の通信対象装置となる。

ここで、ノード３０Ａとは例えば車両の駆動系、例えばパワープラント部品の制御を実行する制御装置（特定制御装置）である。具体的にノード３０Ａとは、燃料噴射制御装置３１、トランスミッション制御装置３２、モータ制御装置３３などがある。このうち燃料噴射制御装置３１とは、電子制御によって内燃機関のシリンダ内に燃料を噴射させるための制御装置である。また、トランスミッション制御装置３２とは、電子制御によって変速装置の変速操作を行う制御装置である。モータ制御装置３３は、走行モータを電子制御によって駆動させるための制御装置である。

また、ノード５０Ｂとは例えば車体系の制御装置であり、具体的には、ＶＳＡ制御装置５１、ＥＰＳ制御装置５２、メータ制御装置５３などがある。このうちＶＳＡ制御装置５１とは、車両挙動安定化に係わるＶＳＡ（登録商標）の制御装置である。また、ＥＰＳ制御装置５２とは、電動パワステ（ＥＰＳ：Electric Power Steering）に関する制御装置である。メータ制御装置５３は、車室内の計器類の表示を制御する制御装置である。

診断機７０は、例えば自動車整備工場などにおいて車両故障の診断を行う外部装置であり、通信装置１００のＤＬＣ６０に接続し、ノード３０Ａ，５０Ｂと通信を行う。そして、当該車両の故障の有無を判定する。
なお、本実施形態では、ＤＬＣ６０に接続される外部装置を、例えば診断機７０であるものとして説明する。しかし、これには特に限定されない。外部装置は通信機能を備えた情報端末であればよく、具体的にはＰＣやタブレット端末、スマートフォンであってもよい。

＜通信装置１００の内部構成＞
通信装置１００は、ＤＬＣ６０を備える通信路Ｑ１，Ａ６、基幹バス３０（通信路Ｑ６，Ａ１）、および拡張バス５０（通信路Ｑ８，Ａ７）を接続するゲートウェイ装置である。通信路Ｑ１，Ａ６の端部のうち、ＤＬＣ６０と反対側にはＤＣＬ側ドライバ１１０が備えられる。ここで、ＤＣＬ側ドライバ１１０は、ＤＣＬコネクタ６０を介して接続される診断機７０と、ノード３０Ａ，５０Ｂ、ＣＰＵ１６０（中継装置）とが、通信を確立するためのドライバである。
なお、ＤＬＣ側ドライバ１１０はマイコンを備えており、ドライバ内のソフトウェアをマイコンが実行することによって、通信部１１１、および遮断信号受付部１１２の各機能が具現化されている。
ここで、通信部１１１は外部装置である診断機７０との信号の送受信を担っている。そして、遮断信号受付部１１２が、後記するＣＰＵ１６０から送出される遮断信号を受け付けると、通信部１１１に対し、外部装置である診断機７０との送受信信号をドライバ内のバッファ領域に記録しないか、記録するが転送せずに消去するなどの制御を行う。これによって、診断機７０との送受信を禁止させる。

また、通信装置１００の基幹バス３０側の通信路Ｑ６，Ａ１には、基幹バス側ドライバ１２０が備えられる。ここで、基幹バス側ドライバ１２０は、基幹バス３０に接続された各種制御装置（ノード３０Ａ）と、ＣＰＵ１６０、診断機７０とが通信を確立するためのドライバである。なお、基幹バス側ドライバ１２０もマイコンを備えており、ドライバ内のソフトウェアをマイコンが実行することによって、通信部１２１の機能が具現化されている。

また、通信装置１００の拡張バス５０側の通信路Ｑ８，Ａ７には、拡張バス側ドライバ１３０が備えられる。ここで、拡張バス側ドライバ１３０は、拡張バス５０に接続された各種制御装置（ノード５０Ｂ）と、ＣＰＵ１６０、診断機７０とが通信を確立するためのドライバである。なお、拡張バス側ドライバ１３０も基幹バス側ドライバ１２０と同様にマイコンを備えており、ドライバ内のソフトウェアをマイコンが実行することによって、通信部１３１の機能が具現化されている。

通信路Ｑ２の一端側はＤＣＬ側ドライバ１１０に接続されるとともに、他端側は通信路Ｑ３，Ｑ５に接続される分岐点となっている。そして、通信路Ｑ５は基幹バス側ドライバ１２０を介して、基幹バス３０の通信路Ｑ６に接続される。その一方で、通信路Ｑ３は、ＯＲ回路１５０に接続されるとともに、さらに通信路Ｑ４を介して、ＣＰＵ１６０に接続される。

さらには、ＣＰＵ１６０は通信路Ｑ７を介して拡張バス側ドライバ１３０に接続されるとともに、拡張バス５０の通信路Ｑ８に接続される。なお、ＣＰＵ１６０は伝送路Ｄｉｓを介して直接ＤＬＣ側ドライバ１１０に接続される。

以上を換言すると、本発明の実施形態に係わる通信装置１００は、外部装置である診断機７０が接続された通信路Ｑ１，Ａ６（第１の通信路）と、診断機７０の通信対象となる通信対象装置のうち所定の性質を有するノード３０Ａ（特定制御装置）が接続された通信路Ｑ６，Ａ１（第２の通信路）と、通信路Ｑ１，Ａ６と通信路Ｑ６，Ａ１とを中継するＣＰＵ１６０（中継装置）と、を備えている。
また、通信路Ｑ６，Ａ１（第２の通信路）は、車両におけるパワープラント部品の制御を実行するノード３０Ａ（特定制御装置）を接続している。
また、本実施形態に係わる通信装置１００は、外部装置である診断機７０の通信対象装置のうちノード３０Ａ（特定制御装置）ではない装置、すなわちノード５０Ｂと、ＣＰＵ１６０（中継装置）とを接続する通信路Ｑ８，Ａ７（第３の通信路）を備えている。

なお、ＣＰＵ１６０の各種の処理部は、通信路Ａ７（第３の通信路）からの信号を、例えばＯＲ回路１５０（第２論理和演算手段）からの信号を受信する受信部とは異なる受信部から受信する。さらには、ＣＰＵ１６０の各種の処理部は、通信路Ｑ８（第３の通信路）に対する信号を、例えばＯＲ回路１４０（第１論理和演算手段）に対する信号を送信する送信部とは異なる送信部から送信する。
つまり、本発明の中継装置は、第１の通信路および第２の通信路からの信号を送受信するチャンネルと、第３の通信路からの信号を送受信するチャンネルをそれぞれ別個に備える。これによって、第２の通信路の特定制御装置に課せられた、法令上の応答性に関する時間制約の条件をより一層満たしやすくし、応答遅延を防止することができる。

ここで、ＣＰＵ１６０は診断要求受付部１６１、認証部１６２、遮断信号送出部１６３を含んでなる。診断要求受付部１６１は、外部装置である診断機７０からの診断要求信号を受け付ける。認証部１６２は、当該診断要求信号に含まれる例えばデータフィールドに記載されたセキュリティコードなどを照合し、診断機７０が不正な装置でないか否かの認証判定を行う。そしてＣＰＵ１６０は、診断機７０を不正な装置であると判定した場合には、遮断信号送出部１６３から、伝送路Ｄｉｓを介してＤＣＬ側ドライバ１１０のマイコンに対し、送受信を禁止する制御の実行を指令・信号送出する。
なお、ＣＰＵ１６０はこの他に各種制御装置の１バスあたりの接続ノード数を例えば１６装置以内となるように調整する不図示の接続ノード数調整部などを備えていてもよい。

基幹バス３０の通信路Ａ１は基幹バス側ドライバ１２０を介して通信路Ａ２，Ａ３，Ａ４に接続される。通信路Ａ３は通信路Ａ２から分岐して備えられ、ＯＲ回路１５０に接続される。また、通信路Ａ４は通信路Ａ２から分岐して備えられ、ＯＲ回路１４０に接続される。

また、拡張バス５０の通信路Ａ７は拡張バス側ドライバ１３０、通信路Ａ８，ＣＰＵ１６０、通信路Ａ９を介してＯＲ回路１４０に接続される。ＯＲ回路１４０は、通信路Ａ５、ＤＬＣ側ドライバ１１０、通信路Ａ６を介してＤＬＣ６０に接続される。
換言すると、通信装置１００のＯＲ回路１４０（第１論理和演算手段）は、通信路Ａ６（第１の通信路）に対する信号を、ＣＰＵ１６０（中継装置）に設けられた処理部からの信号と通信路Ａ１（第２の通信路）からの信号とによる論理和演算により生成する。
また、通信装置１００のＯＲ回路１５０（第２論理和演算手段）は、ＣＰＵ１６０（中継装置）の処理部に対する信号を、通信路Ｑ１（第１の通信路）からの信号と通信路Ａ１（第２の通信路）からの信号とによる論理和演算により生成する。

＜調停処理＞
なお、本発明の実施形態に係わる通信装置１００は、調停機能を備えていることが望ましい。この調停機能とは、自身が送信する信号と、他装置が送信する信号とが衝突しないように、いずれか１つの信号の送信完了まで、次の信号の送信を停止するように調停する（譲り合う）機能である。つまり、この調停機能は、所定の通信路から送信される信号と、他の通信路から送信される信号との信号の衝突を回避する、通信装置１００の信号衝突回避手段である。具体的に、本実施形態においては通信路Ｑ１，Ａ６（第１の通信路）からの信号と、通信路Ｑ６，Ａ１（第２の通信路）からの信号と、ＣＰＵ１６０の処理部からの信号との衝突を回避するためのものである。

ここで、通信装置１００が備える信号衝突回避手段の調停機能の具体例を以下に示す。
例えば、同時刻に外部装置である診断機７０からの「１００１」信号と、ノード３０Ａの燃料噴射制御装置３１からの「１１００」信号とが送信されたとする。ここでもし、通信装置１００の信号衝突回避手段が動作しないと、例えばＯＲ回路１５０（第２論理和演算手段）によってＣＰＵ１６０に出力される信号は、「１１０１」となり、診断機７０から送信された信号でも、燃料噴射制御装置３１から送信された信号でもない、混線した無意味な信号が出力されることとなる。

ここで、以下本実施形態の通信装置１００に備わる信号衝突回避手段の一例として、例えば車載ネットワークの規格の１つであるＣＡＮ（Controller Area Network）における調停機能を説明する。ＣＡＮにおける調停機能が、信号衝突回避手段として作用する場合には、例えば前記した診断機７０および燃料噴射制御装置３１の例では、それぞれの信号のビット列を先頭から順次比較し、数値の小さい方を優勢として決定する通信調停を行うことにより、次のように通信の衝突を回避する。

具体的には、上記の場合において、信号の第１ビットは共に「１」であるが、第２ビットは、診断機７０の方が「０」（優勢）で、燃料噴射制御装置３１の方が「１」である。ゆえに、この時点で診断機７０の方に通信データの送信権が与えられ、燃料噴射制御装置３１は送信を待機する。その結果、例えばＯＲ回路１５０の入力端子には、診断機７０からの信号「１００１」のみが入力されることとなり、ＯＲ回路１５０の出力端子からは、論理和演算結果としてビット列情報「１００１」、すなわち診断機７０が送信するビット列と同一のビット列が出力される。
このように、一例としてＣＡＮにおける調停機能が信号衝突回避手段として動作すると、通信データ同士の衝突が回避されるためデータ破壊が生じることはない。つまり、このようにして調停を行えば、信号の衝突を回避することができる。

また、ＣＰＵ１６０の調停処理について、例えばＣＰＵ１６０の不図示の送受信部が同時刻に通信路Ｑ４から信号を受信するとともに、通信路Ａ９から信号を送信しようとしているような場合を考える。この場合には、例えばＣＰＵ１６０が送信を試みる信号と、その時点でＣＰＵ１６０が受け付ける信号とを比較して、受信信号のビット列のほうが自己が送信しようとしているビット列よりも優位であれば、自己の信号の送信を停止させるようにすればよい。

なお、信号衝突回避手段は、このようなＣＡＮにおける調停機能に限定されず、様々な方法によって具現することができる。例えば、診断機７０と燃料噴射制御装置３１とのデータ送信時刻が重なることがないように、もとから送信権を時間ごと各種制御装置に割り振っておく方式（タイムスロット方式）に、診断機７０と燃料噴射制御装置３１とを準拠させておいてもよい。

また、互いに送信タイミングが重なった場合には、例えばそれぞれ定めたランダム時間の間、いずれも送信を待機するようにする。そして、そのランダム時間の経過後に信号の送信を再開するといった方式に予め診断機７０と燃料噴射制御装置３１とを準拠させておくことも、通信装置１００の信号衝突回避手段を構成し得る。

＜ＣＰＵの不正監視処理＞
図２は、本発明の一実施形態に係わる通信装置１００のＣＰＵ１６０の不正監視処理手順を説明するフローチャートである。
ステップＳ１０において、ＣＰＵ１６０の診断要求受付部１６１は、外部装置である診断機７０から、拡張バス５０に接続された車体系の各種制御装置であるノード５０Ｂ向けの診断要求を受け付けたか否かを判定する。

ステップＳ１０でＮｏの場合はステップＳ５０に進む。ステップＳ５０において、ＣＰＵ１６０の診断要求受付部１６１は、外部装置である診断機７０から、基幹バス３０に接続された駆動系の各種制御装置であるノード３０Ａ向けの診断要求を受け付けたか否かを判定する。

ステップＳ５０でＹｅｓの場合は、ステップＳ６０に進む。ステップＳ６０において、ＣＰＵ１６０の認証部１６２は、外部装置である診断機７０から受け付けた基幹バス３０のノード３０Ａ向けの診断要求について、正規の診断要求か否かを判定する。そして、ステップＳ６０でＹｅｓの場合、ＣＰＵ１６０の認証部１６２は、診断機７０を認証して正しい装置と判定し、本フローを終了する。

ステップＳ５０でＮｏの場合、またはステップＳ６０でＮｏの場合は、ステップＳ７０に進む。ステップＳ７０において、ＣＰＵ１６０の認証部１６２は、診断機７０を認証せず、不正な装置として不正侵入ありと判定する。そして、ステップＳ８０においてＣＰＵ１６０の遮断信号送出部１６３は、伝送路Ｄｉｓを介してＤＬＣ側ドライバ１１０に対して遮断信号を送出し、Ｄｉｓａｂｌｅ（無効化）を実行する。そして本フローを終了する。

また、ステップＳ１０でＹｅｓの場合は、ステップＳ２０に進む。ステップＳ２０において、ＣＰＵ１６０の認証部１６２は、外部装置である診断機７０から受け付けた拡張バス５０のノード５０Ｂ向けの診断要求について、正規の診断要求か否かを判定する。そして、ステップＳ２０でＹｅｓの場合、ＣＰＵ１６０の認証部１６２は、診断機７０を認証して正しい装置と判定し、ステップＳ３０で当該診断要求を転送して、本フローを終了する。

その一方で、ステップＳ２０でＮｏの場合は、ステップＳ４０に進む。ステップＳ４０において、ＣＰＵ１６０の認証部１６２は、診断機７０を認証せず、不正な装置として不正侵入ありと判定する。そして、本フローを終了する。

＜信号の伝送過程＞
次に、図３Ａ，図３Ｂのシーケンスチャートを参照しながら、本発明の一実施形態に係わる通信装置の信号の伝送過程を説明する。ここで、図３Ａは通信対象装置が基幹バス３０に接続されたノード３０Ａの場合の図、図３Ｂは通信対象装置が拡張バス５０に接続されたノード５０Ｂの場合の図である。なお、以下では適宜図１を併せて参照のこと。
まず、図３Ａで診断機７０が不正な装置である場合を説明する。外部装置である診断機７０からＤＬＣ６０を介して基幹バス３０のノード３０Ａに対して診断要求が送信されると、まず通信路Ｑ１を介してＤＬＣ側ドライバ１１０に伝送される。そして、当該診断要求は順に通信路Ｑ２、Ｑ３、ＯＲ回路１５０、通信路Ｑ４を介してＣＰＵ１６０に伝送される。この時点で、ＣＰＵ１６０では図２で前記したステップＳ５０が開始される。さらには、これと併せて当該診断要求は順に通信路Ｑ２、Ｑ５を介して基幹バス側ドライバ１２０にも伝送され、その後通信路Ｑ６を介して基幹バス３０のノード３０Ａに伝送される。

ノード３０Ａでは、診断機７０からの診断要求が到達すると、前記した法令上の時間制約に関する応答性（Ｐ２ｃａｎ：５０ｍｓｅｃ以内）を満たすように応答準備がなされ、応答が返される。この応答は、通信路Ａ１を介して基幹バス側ドライバ１２０に到達したあと、ＣＰＵ１６０を中継せずに、順に通信路Ａ２、Ａ４、ＯＲ回路１４０、通信路Ａ５を介してＤＬＣ側ドライバ１１０に伝送される。しかし、この時点においては既にＤＬＣ側ドライバ１１０はＣＰＵ１６０によってＤｉｓａｂｌｅが実行され、無効化されている（図２のステップＳ８０を併せて参照）。ゆえに、不正な装置である診断機７０に対してノード３０Ａの応答信号は到達しない。

以上を換言すると、本発明の実施形態に係わる通信装置１００は、ＣＰＵ１６０が外部装置である診断機７０の認証を行い、当該診断機７０からの信号を、診断機７０の認証が完了する前にノード３０Ａに受信させ、ＣＰＵ１６０が認証の過程によって診断機７０を不正な装置と判定した場合に、診断機７０との通信を遮断する。
具体的には、ＣＰＵ１６０は、診断機７０の認証の過程で当該診断機７０を不正な装置と判定した場合に、通信路Ｑ１、Ａ６（第１の通信路）の通信ドライバ（ＤＬＣ側ドライバ１１０）に対してその動作を無効化させる信号を送出する。そして、ノード３０Ａ（特定制御装置）の応答信号が診断機７０に到達するよりも前に、診断機７０との通信を遮断させる。

次に、図３Ａで診断機７０が正しい装置である場合を説明する。診断機７０からノード３０Ａに診断要求が伝送されて、ノード３０Ａが応答準備を行い、応答信号がＤＬＣ側ドライバ１１０に伝送されるまでの過程は、前記した診断機７０が不正な装置の場合と同様のため、詳細な説明を省略する。
ノード３０Ａからの応答信号がＤＬＣ側ドライバ１１０に到達した時点において、ＤＬＣ側ドライバ１１０は、ＣＰＵ１６０の認証部１６２が、診断機７０を認証して正しい装置と判定（ステップＳ６０でＹｅｓ）しているので、Ｄｉｓａｂｌｅがなされていない。つまり、ＤＬＣ側ドライバ１１０は引き続き有効に機能しているため、ＤＬＣ側ドライバ１１０によって、通信路Ａ６を介して、ノード３０Ａからの応答信号は無事に診断機７０に伝送される。

なお、初回にＣＰＵ１６０によって診断機７０が正しい装置であると認証されると、２回目以降の診断機７０とノード３０Ａとの間の診断要求およびその応答信号の送受信は、ＣＰＵ１６０を介さずに、直接やり取りがされる。

次に、図３Ｂで診断機７０が不正な装置である場合を説明する。外部装置である診断機７０からＤＬＣ６０を介して拡張バス５０のノード５０Ｂに対して診断要求が送信されると、まず通信路Ｑ１を介してＤＬＣ側ドライバ１１０に伝送される。そして、当該診断要求は順に通信路Ｑ２、Ｑ３、ＯＲ回路１５０、通信路Ｑ４を介してＣＰＵ１６０に伝送される。この時点で、ＣＰＵ１６０では図２で前記したステップＳ１０が開始される。そして、ステップＳ４０においてＣＰＵ１６０は不正侵入ありと判定してそれ以降の信号の伝送処理を中止する。これによって、不正な装置である診断機７０とノード５０Ｂとの間において、通信の確立が阻止される。

次に、図３Ｂで診断機７０が正しい装置である場合を説明する。診断機７０からノード５０Ｂに向けて診断要求が伝送されて、ＣＰＵ１６０がステップＳ１０の判定を行うまでの過程は、前記した診断機７０が不正な装置の場合と同様のため、詳細な説明を省略する。
ＣＰＵ１６０がステップＳ２０において、診断機７０の診断要求が正規の診断要求であると判定すると（ステップＳ２０でＹｅｓ）、ＣＰＵ１６０はステップＳ３０で通信路Ｑ７を介して当該診断要求を拡張バス側ドライバ１３０に転送する。すると、拡張バス側ドライバ１３０は通信路Ｑ８を介して当該診断要求を拡張バス５０に接続されたノード５０Ｂに伝送する。

なお、拡張バス５０Ｂに接続された各種制御装置であるノード５０Ｂは、前記した通り例えば車体系の制御を掌る制御装置である。このようなノード５０Ｂには、駆動系の制御を掌る制御装置であるノード３０Ａとは異なって、法令上の応答性に関する時間制約がない。ゆえに、ノード５０Ｂは、適宜のタイミングで通信路Ａ７を介して拡張バス側ドライバ１３０に向けて応答信号を送信する。応答信号を受信した拡張バス側ドライバ１３０は、通信路Ａ８を介してＣＰＵ１６０に当該応答信号を伝送する。そしてＣＰＵ１６０は、通信路Ａ９、ＯＲ回路１４０、通信路Ａ５を介してＤＬＣ側ドライバ１１０に当該応答信号を伝送する。そしてＤＬＣ側ドライバ１１０は、通信路Ａ６を介して診断機７０に当該応答信号を伝送する。

なお、初回にＣＰＵ１６０によって診断機７０が正しい装置であると認証されると（ステップＳ２０でＹｅｓ）、２回目以降の診断機７０とノード５０Ｂとの間の診断要求およびその応答信号の送受信では、ＣＰＵ１６０は演算介入せずに転送のみを行う。つまり、２回目以降の送受信は、診断機７０とノード５０Ｂとの間で実質直接やり取りがされる。

（作用・効果）
本実施形態の作用・効果を改めてまとめると、以下のようになる。
車両の駆動系の制御を担う各種制御装置（ノード３０Ａ）は、外部装置である診断機７０に対して、法令上、応答性に関して時間制約が課されている。当該ノード３０Ａは、通信装置１００に接続され、通信装置１００内のＤＬＣ側ドライバ１１０、基幹バス側ドライバ１２０を介して、診断機７０と直接通信が可能な回路構成にて接続される。つまり、当該ノード３０Ａは、通信装置１００内で、ＣＰＵ１６０を介さずに診断機７０と直接通信が可能な回路構成で接続される。
また、診断機７０およびノード３０Ａは、通信装置１００に接続され、通信装置１００内のＤＬＣ側ドライバ１１０と基幹バス側ドライバ１２０との間で、ＯＲ回路１５０を介して、ＣＰＵ１６０と間接的に接続される回路構成となるようにされている。
このような構成を備えることによって、本発明の実施形態に係わる通信装置１００および通信システム１０００は、診断機７０に対する各種制御装置（ノード３０Ａ）の法令上の応答性を確保するとともに、不正な装置が接続されても当該装置からの攻撃に対処して、不正侵入を防止することができる。
具体的に、例えば駆動系の制御装置（ノード３０Ａ）に対して不正アクセスが行われた場合には、通信装置１００内のＣＰＵ１６０において、不正な外部装置が接続されたＤＬＣ６０からの受信信号を監視することが出来る。このため、ＣＰＵ１６０が正規の診断機７０と異なる不正な信号を検出した場合に、ＤＬＣ側ドライバ１１０をＤｉｓａｂｌｅ状態にさせ、無効化する事で侵入経路を遮断して、予期せぬ変速制御やエンジンストールの発生を防止することができる。

また、車体系の制御を掌る制御装置（ノード５０Ｂ）は診断機７０に対する法令上の応答性に関する時間制約が課されていない。ゆえに、ノード５０Ｂは、ノード３０Ａが接続される基幹バス３０とは異なるバス（拡張バス５０）に接続され、通信装置１００内でＣＰＵ１６０を中継して、外部装置である診断機７０と接続される。
ここで、車体系の制御装置（ノード５０Ｂ）とは、例えばブレーキ系のＶＳＡ制御装置５１、操舵制御系のＥＰＳ制御装置５２、表示制御系のメータ制御装置５３を含んでなる。これらがこのような構成の通信装置１００に接続され、診断機７０からの診断要求がＣＰＵ１６０に中継され、その際に正規の診断要求か否かが判定される（ステップＳ２０）。そして、正規の要求と判定された場合に当該要求が転送されるので、外部装置からの不正アクセスによる、予期せぬ車両挙動（急制動、急ハンドル、誤点灯など）を防止することができる。
また、車体系の制御を掌る制御装置（ノード５０Ｂ）は診断機７０に対する法令上の応答性に関する時間制約が課されていないので、ＣＰＵ１６０でのステップＳ３０での転送時に、例えばファイヤウォール処理を実行しても支障を生ずることがない。

また、本発明の一実施形態の通信装置１００は、３つ（複数）の通信ドライバ、例えば外部装置が接続されるＤＬＣ側ドライバ１１０、基幹バス３０が接続される基幹バス側ドライバ１２０、拡張バス５０が接続される拡張バス側ドライバ１３０を備えている。また、通信装置１００は２つのＯＲ回路１４０，１５０を備えている。このような構成によって、ＣＰＵ１６０の通信チャンネル数は、例えば通信路Ｑ７，Ａ８側、および通信路Ｑ４，Ａ９側の少なくとも２カ所備えるようにすれば済む。つまり、通信装置１００によれば、通信ドライバの数よりも、ＣＰＵ１６０の通信チャンネル数を減らすことができる。これによって、通信装置１００の構成を簡素化してコスト低減できるとともに、ＣＰＵ１６０の処理負荷を軽減できる。つまり、ＣＰＵ１６０の演算の処理効率を向上して、転送遅延の発生を防止することができる。

上記した実施形態は本発明を分かりやすくするために詳細に説明したものであり、必ずしも、説明した全ての構成を備えるものに限定されるものではない。
また、制御線や情報線、電源線は説明上必要と考えられるものを示しており、必ずしもすべての制御線や情報線、電源線を示しているとは限らない。実際には殆ど全ての構成機器が相互に接続されていると考えてもよい。

また、ある実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、また、ある実施形態の構成に、他の実施形態の構成の一部もしくは全てを加えることも可能である。また、各実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

（変形例）
具体的には、上記実施形態ではＣＰＵ１６０のみが外部装置である診断機７０の認証を行う認証部１６２を備え、遮断信号を送出することで、ＤＬＣ側ドライバ１１０をＤｉｓａｂｌｅさせる例（図３Ａの診断機７０が不正の場合を参照）で説明したが、これに限らない。本発明は、例えば、基幹バス３０上のノード３０Ａ各々すべてが認証部の機能を備えているような場合には、認証不可の応答を、ＣＰＵ１６０を中継せずに、例えば通信路Ａ１、Ａ２、Ａ４、ＯＲ回路１４０、通信路Ａ５、Ａ６の順で直接伝送するようにしてもよい。

また、上記実施形態ではＣＰＵ１６０が拡張バス５０上のノード５０Ｂ向けの、不正な外部装置である診断機７０からの診断要求を受け付けた場合、それ以降の信号伝送を中止する例（図３Ｂの診断機７０が不正の場合を参照）で説明したが、これに限らない。
例えば、本発明は拡張バス５０Ｂ上のノード５０Ｂに対しても、図３Ａで診断機７０が不正の場合と同様にして、伝送路Ｄｉｓを介してＣＰＵ１６０から遮断信号を送出させ、ＤＬＣドライバ１１０をＤｉｓａｂｌｅさせるようにしてもよい。

また、上記各実施の形態では、通信データとして、ＣＡＮ規格の通信フレームを例に挙げて説明したが、これに限らない。つまり、車両用ネットワークの仕様はＣＡＮに限らず、フレックスレイ、ＩＤＢ−１３９４、ＢＥＡＮ、ＬＩＮ、ＡＶＣ−ＬＡＮ、及びＭＯＳＴなど、各種車載制御装置が送受信する通信データを送受信できればよい。

１０００ 通信システム
１００ 通信装置
３０ 基幹バス（第２の通信路）
３０Ａ ノード（特定制御装置）
５０Ｂ ノード（通信対象装置）
３１ 燃料噴射制御装置
３２ トランスミッション制御装置
３３ モータ制御装置
５０ 拡張バス（第３の通信路）
５１ ＶＳＡ制御装置
５２ ＥＰＳ制御装置
５３ メータ制御装置
６０ ＤＬＣ
７０ 診断機（外部装置）
１１０ ＤＬＣ側ドライバ
１２０ 基幹バス側ドライバ
１３０ 拡張バス側ドライバ
１４０，１５０ ＯＲ回路（第１論理和演算手段，第２論理和演算手段）
１６０ ＣＰＵ（中継装置）
Ｑ１〜Ｑ８、Ａ１〜Ａ９ 通信路（Ｑ１，Ａ６ 第１の通信路）

Claims (6)

1. 外部装置が接続された第１の通信路と、前記外部装置の通信対象となる通信対象装置のうち所定の性質を有する特定制御装置が接続された第２の通信路と、前記第１の通信路と前記第２の通信路とを中継する中継装置と、を備え、
   前記中継装置が前記外部装置の認証を行い、前記外部装置からの信号を、前記外部装置の前記認証が完了する前に前記特定制御装置に受信させ、前記中継装置が前記認証の過程によって前記外部装置を不正な装置と判定した場合に、前記外部装置との通信を遮断する通信装置であって、
   前記第１の通信路に対する信号を、前記中継装置に設けられた処理部からの信号と前記第２の通信路からの信号とによる論理和演算により生成する第１論理和演算手段と、
   前記中継装置の前記処理部に対する信号を、前記第１の通信路からの信号と前記第２の通信路からの信号とによる論理和演算により生成する第２論理和演算手段と、
   前記第１の通信路からの信号と、前記第２の通信路からの信号と、前記処理部からの信号との衝突を回避する信号衝突回避手段と、
   を備えていることを特徴とする、通信装置。
2. 動力や動力伝達機構などのパワープラント部品を備えた車両に用いられ、
   前記所定の性質は、前記パワープラント部品の制御を実行する、との性質であり、
   前記第２の通信路は、前記車両における前記特定制御装置を接続するものである
   ことを特徴とする、請求項１に記載の通信装置。
3. 前記通信対象装置のうち前記特定制御装置ではない前記通信対象装置と、前記中継装置とを接続する第３の通信路を備え、
   前記処理部は、前記第３の通信路からの信号を、前記第２論理和演算手段からの信号を受信する受信部とは異なる受信部から受信し、前記第３の通信路に対する信号を、前記第１論理和演算手段に対する信号を送信する送信部とは異なる送信部から送信する
   ことを特徴とする、請求項１に記載の通信装置。
4. 前記中継装置は、
   前記認証の過程で前記外部装置を不正な装置と判定した場合に、前記第１の通信路の通信ドライバに対してその動作を無効化させる信号を送出し、前記特定制御装置の応答信号が前記外部装置に到達するよりも前に、前記外部装置との通信を遮断させる
   ことを特徴とする、請求項１に記載の通信装置。
5. 前記外部装置は車両故障を診断する診断機、または情報端末であることを特徴とする、請求項１に記載の通信装置。
6. 外部装置と、前記外部装置の通信対象となる通信対象装置のうち所定の性質を有する特定制御装置と、前記外部装置と前記特定制御装置とを中継する中継装置と、を備え、
   前記中継装置が前記外部装置の認証を行い、前記外部装置からの信号を、前記外部装置の前記認証が完了する前に前記特定制御装置に受信させ、前記中継装置が前記認証の過程によって前記外部装置を不正な装置と判定した場合に、前記外部装置との通信を遮断する通信システムであって、
   前記外部装置に対する信号を、前記中継装置に設けられた処理部からの信号と前記特定制御装置からの信号とによる論理和演算により生成する第１論理和演算手段と、
   前記中継装置の前記処理部に対する信号を、前記外部装置からの信号と前記特定制御装置からの信号とによる論理和演算により生成する第２論理和演算手段と、
   前記外部装置からの信号と、前記特定制御装置からの信号と、前記中継装置の前記処理部からの信号との衝突を回避する信号衝突回避手段と、
   を備えていることを特徴とする、通信システム。

Images