JP2020031361A - 車両の中継装置 - Google Patents

Abstract

【課題】自動車などの車両の車内ネットワークにおいて生じえる課題を解決する。【解決手段】自動車１の中継装置３は、複数の車載装置４〜８，１０４が接続される複数のトランシーバ１２と、複数のトランシーバ１２を用いて複数の車載装置４〜８，１０４の間で通信データを中継する通信処理部３３と、複数のトランシーバ１２で受信した通信データを記憶するメモリ１５と、メモリ１５に記憶されている通信データ２２に含まれる不正データを判定する判定処理部３４と、を有する。【選択図】 図２

Description

本発明は、車両の中継装置に関する。

自動車などの車両では、近年、自動運転技術の開発、電気自動車の開発と並び、コネクテッドの開発が進められようとしている。
自動車を、他の自動車や交通監視システムなどのインフラと通信可能にして、それにより取得した情報を用いることにより、自動運転の安全性を高めたり、乗車した乗員に対するサービスを提供したりできるようになることが期待されている。

特開２０１４−１８７４４５号公報

ところで、自動車などの車両では、従来から車両の走行などを制御する複数のＥＣＵ（Electric Control Unit）といった車載装置を、ＣＡＮなどの車内ネットワークで接続している（特許文献１）。
そして、他の自動車や交通監視システムやＯＥＭサーバなどのインフラと通信する上述した通信装置は、単に車内に単独で搭載されるのではなく、自動車の車内ネットワークに接続する必要がある。
この場合、通信装置は、少なくともそのコア部分については、車両とは無関係の企業や団体により社外において開発されることになる。
したがって、社外で開発される通信装置などは、各自動車の車内ネットワークにおいて、各自動車に予め設けられている他の車載装置との間で適切に通信データを送受できるとは限らない。特に販売後の自動車に対して通信装置を後付けする場合、たとえば車種、車両発売年度、グレードなどの個体差による相性的な問題も生じることになる。
また、通信装置を含む交通監視システムが不正に利用されて、通信装置が不適切な通信データを車内ネットワークへ送出してしまう可能性もある。たとえば、車両の通信装置や一部のＥＣＵが、更新の仕組みを悪用されて、不正通信データを車内ネットワークへ送出するように更新されてしまう可能性がある。

自動車などの車両では、このような車内ネットワークにおいて生じえる課題を解決することが求められている。

本発明に係る車両の中継装置は、車両の複数の車載装置が接続される複数の通信ポートと、複数の前記通信ポートを用いて複数の前記車載装置の間で通信データを中継する通信処理部と、複数の前記通信ポートで受信した通信データを記憶する記憶部と、前記記憶部に記憶されている通信データに含まれる不正データを判定する判定処理部と、を有する。

好適には、前記判定処理部は、前記通信処理部が処理を実行していない別のタイミングで判定処理を実行する、とよい。

好適には、前記記憶部は、前記通信処理部により処理される通信データを除いて、複数の前記通信ポートにより受信した通信データを記憶する、とよい。

好適には、前記判定処理部は、前記車両における複数の前記車載装置についてのホワイトリストまたはブラックリストを用いて、不正データを判定する、とよい。

好適には、前記判定処理部は、前記車両における複数の前記車載装置についての通信ポート毎のホワイトリストまたはブラックリストを用いて、通信ポート毎に、不正データを判定する、とよい。

好適には、前記判定処理部は、通信データにおいて送信先または送信元として含まれる識別情報が、前記車両において複数の前記車載装置の各々に対して割り当てられて前記ホワイトリストまたは前記ブラックリストに含まれる識別情報と、一致しない場合、不正データと判定する、とよい。

好適には、前記通信処理部の処理、および前記判定処理部の処理を含む複数の処理の実行を管理する管理処理部、を有し、前記管理処理部は、前記判定処理部の処理より優先する処理を実行している期間においては、前記判定処理部の処理を中止する、とよい。

好適には、前記管理処理部は、少なくとも前記車両のイモビライザの認証処理を含む認証処理を実行している期間においては、前記判定処理部の処理を中止する、とよい。

好適には、前記車両の複数の前記車載装置には、前記車両を制御する制御装置と社外開発装置と、が含まれ、前記制御装置と前記社外開発装置とは異なる前記通信ポートに接続される、とよい。

好適には、前記記憶部は、前記判定処理部により不正データと判定された通信データを保持する、とよい。

好適には、前記判定処理部は、前記中継装置が取得する第一の通信データ、前記中継装置が中継する第二の通信データ、各前記通信ポートに共通に接続される複数の前記車載装置の間で送受されて前記中継装置による取得および中継が不要である第三の通信データ、複数の前記車載装置の間で送受することも前記中継装置による取得および中継もしない第四の通信データ、の中の、第一の通信データから第三の通信データを不正データとして判定することなく、前記第四の通信データを不正データとして判定する、とよい。

本発明では、複数の前記通信ポートを用いて複数の前記車載装置の間で通信データを中継する通信処理部とは別の判定処理部により、複数の前記通信ポートで受信した通信データに含まれる不正データを判定する。
よって、通信データを受信するたびに高速な処理を繰り返し実行する通信処理部においてリアルタイムに不正データを判定する必要がない。通信処理部は、通信データの中継処理などについて、高速に且つリアルタイムに実行することができる。
その結果、中継装置は、通信データの中継処理などについて、通信データに含まれる不正データについての判定をしない場合と同程度に、高速に且つリアルタイムに実行することができる。

そして、このような中継装置を用いることにより、中継装置は、自動車の車内ネットワークに対して社外開発の通信装置などが後付けで接続されたとしても、その社外開発装置による不適切な通信データの送出の影響を最小限に抑えることができる。
また、社外開発装置と自動車の複数の車載装置との間に個体差による相性的な問題などが生じるとしても、たとえば記録部に保持される通信データの記録などに基づいて、そのような事態が発生したことを発生後に把握できるようになり得る。

図１は、本発明の実施形態に係る中継装置が適用される自動車に対して交通監視サービスを提供する交通監視システムの説明図である。 図２は、図１の自動車の制御系の説明図である。 図３は、図２の中継装置のＣＰＵがプログラムを実行することにより中継装置に実現される複数の処理部の説明図である。 図４は、図３の通信処理部による通信データの処理の一例の説明図である。 図５は、図３の通信処理部による通信データの他の処理の一例の説明図である。 図６は、イグニションスイッチが操作された直後における複数の処理部の実行状態のタイミングチャートである。

以下、本発明の実施形態を、図面に基づいて説明する。

図１は、本発明の実施形態に係る中継装置３が適用される自動車１に対して交通監視サービスを提供する交通監視システム１００の説明図である。
図１の交通監視システム１００は、サービスサーバ１０１、通信網１０２、アクセスポイント１０３、自動車１に搭載される通信装置１０４、を有する。

アクセスポイント１０３は、自動車１に搭載される通信装置１０４と無線通信する。
通信網１０２は、たとえばインターネットである。
サービスサーバ１０１は、自動車１の交通監視情報を生成し、インターネットおよびアクセスポイント１０３を通じて、アクセスポイント１０３と無線通信可能な状態にある通信装置１０４へ送信する。
また、自動車１に搭載された通信装置１０４は、近くにいる他の自動車に搭載された通信装置１０４と近距離通信により直接通信することにより、交通監視に利用できる通信データを受信してもよい。

これにより、自動車１は、交通監視システム１００のサービスにより提供される通信データや、他の自動車の通信データを受信して、それらの通信データに含まれる情報を使用することができる。
自動車１が他の自動車や交通監視システム１００などのインフラと通信可能となり、それにより取得した情報を使用できるようになることにより、自動車１の自動運転の安全性を高めたり、自動車１に乗車した乗員に対してサービスを提供したりできるようになると期待されている。
なお、自動車１に搭載される通信装置１０４は、交通監視システム１００用に開発されたものに限定されない。自動車１に搭載される通信装置１０４は、この他にもたとえば、自動車１の保全サービスシステム用に開発されたものでも、自動車１の利用者のためのサービスシステム用に開発されたものでもよい。また、自動車１に搭載される通信装置１０４は、たとえばこれら複数のシステムにおいて共通に利用できるように汎用的に開発されたものでもよい。

ところで、自動車１では、従来から自動車１の走行などを制御する複数のＥＣＵ（Ｅｌｅｃｔｒｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）といった車載装置を、ＣＡＮなどの車内ネットワークで接続して使用している。
そして、他の自動車や交通監視システム１００などのインフラと通信する上述した通信装置１０４は、それによる通信データの情報を自動車１で利用するためには、車内ネットワークに接続する必要がある。
しかしながら、上述した交通監視システム１００などは、自動車１のメーカが単独で開発するものではない。
そして、交通監視システム１００などの通信装置１０４は、少なくともそのコア部分については、自動車１のメーカではない社外の企業や団体により開発されることになる。
このように社外で開発される通信装置１０４などは、各自動車１の車内ネットワークにおいて、各自動車１に予め設けられている他の車載装置との間で適切に通信データを送受できるとは限らない。
特に販売した後の自動車１に対して通信装置１０４を後付けする場合、それらが共通の規格に対応したものであったとしても、個体差などにより相性的な問題が生じる可能性もある。
また、交通監視システム１００のサービスサーバ１０１が部外者により不正に利用されて、通信装置１０４が不適切な通信データを受信して車内ネットワークへ送出してしまう可能性がある。

自動車１は、このような課題に対して対応できるようになることが求められている。

図２は、図１の自動車１の制御系の説明図である。
図２の自動車１の制御系は、車内ネットワークを構成する複数の車内ケーブル２、複数の車内ケーブル２が接続される中継装置３、複数の車内ネットワークに接続される複数の車載装置と、が図示されている。

車内ケーブル２は、たとえば従来から自動車１において使用されているＣＡＮやＣＡＮ ＦＤの通信ケーブルでも、通信ネットワークに用いられるＬＡＮケーブルでもよい。

複数の車載装置には、たとえば、自動車１の走行を制御するためのＥＣＵ、上述した社外で開発される通信装置１０４、がある。図２には、自動車１の走行を制御するためのＥＣＵの例として、トランスミッションＥＣＵ４、エンジンＥＣＵ５、操作系ＥＣＵ６、ブレーキＥＣＵ７、運転支援ＥＣＵ８、ボディ系ＥＣＵ９、が図示されている。
トランスミッションＥＣＵ４は、自動車１のトランスミッションの動作状態を検出して制御する。
エンジンＥＣＵ５は、自動車１のエンジンの動作状態を検出して制御する。
操作系ＥＣＵ６は、自動車１のハンドル、ペダル、シフトレバー、ドアノブ、エンジンスイッチなどへの操作を検出する。
ブレーキＥＣＵ７は、自動車１の制動装置の動作状態を検出して制御する。
運転支援ＥＣＵ８は、自動運転や乗員による手動運転の状態を検出して制御する。
ボディ系ＥＣＵ９は、自動車１のライト、ワイパーなどの装備の状態を検出したり、制御したりする。

トランスミッションＥＣＵ４、エンジンＥＣＵ５、および操作系ＥＣＵ６は、同じ車内ケーブル２に接続される。
ブレーキＥＣＵ７、運転支援ＥＣＵ８、およびボディ系ＥＣＵ９は、同じ車内ケーブル２に接続される。
そして、社外で開発された通信装置１０４は、これらの自動車１の走行を制御するためのＥＣＵとは別の車内ケーブル２に接続される。
また、図２には、不正に車内ケーブル２に接続された不正装置２００が併せて図示されている。

中継装置３は、コネクタ１１に接続される複数のトランシーバ１２、ＣＰＵ１３、タイマ１４、メモリ１５、および、これらが接続されるシステムバス１６、を有する。

コネクタ１１には、複数の車内ケーブル２が接続される。
複数のトランシーバ１２は、コネクタ１１に接続される。トランシーバ１２は、それぞれに対応する車内ケーブル２に接続される複数の車載装置との間で通信データを送受する。トランシーバ１２は、通信ポートとして機能する。図２の中継装置３は、第１から第８の８つのトランシーバ１２を有する。トランシーバ１２の個数は、８個に限られない。

タイマ１４は、時間や時刻を計測する。

メモリ１５は、ＣＰＵ１３が実行するプログラムおよびデータを記憶する。図８には、メモリ１５に記憶されるデータの例として、ホワイトリスト２１が図示されている。また、メモリ１５は、後述するように、複数のトランシーバ１２で受信した通信データ２２を蓄積して記憶する。

ＣＰＵ１３は、メモリ１５からプログラムを読み込んで実行する。これにより、ＣＰＵ１３には、中継装置３の動作の制御および機能を実行するための複数の処理部が実現される。

そして、図２の自動車１の制御系において、車内ネットワークに接続される中継装置３および複数の車載装置には、車内ネットワークにおいて互いに識別するために、識別情報が割り当てられる。識別情報は、ＣＡＮなどの規格に基づくものでも、車内で独自に割り当てたものでもよい。図２では、各装置に、ＣＡＮ ＩＤが割り当てられている。たとえば、エンジンＥＣＵ５には、ＣＡＮ ＩＤ「００２」が割り当てられる。トランスミッションＥＣＵ４には、ＣＡＮ ＩＤ「００１」が割り当てられる。ブレーキＥＣＵ７には、ＣＡＮ ＩＤ「０１１」が割り当てられる。
また、通信データに送信元や送信先の車載装置の識別情報を含めることにより、通信データにおいて送信元と送信先とを判別することが可能になる。中継装置３は、この識別情報に基づいて、通信データを受信したタイミングにおいて、通信データに対する適切な処理を実行することが可能になる。

図３は、図２の中継装置３のＣＰＵ１３がプログラムを実行することにより中継装置３に実現される複数の処理部の説明図である。
図３に示すように、図２の中継装置３には、たとえば、管理処理部３１、認証処理部３２、通信処理部３３、判定処理部３４、といった複数の処理部が実現される。中継装置３には、この他にもたとえば、通信データの内容やウィルスデータの監視処理部、などが実現されてもよい。
また、図３には、メモリ１５に記憶されるデータとして、ホワイトリスト２１、複数の通信データ２２、が図示されている。

ホワイトリスト２１は、自動車１の車内ネットワークに接続されているべき複数の車載装置のリストである。複数の車載装置は、たとえばそれぞれの識別情報により、ホワイトリスト２１に登録される。
また、各識別情報には、対応する車載装置が接続されているトランシーバ１２の番号（ポート番号）が対応付けられている。
このようなトランシーバ１２毎のホワイトリスト２１を用いることにより、中継装置３のＣＰＵ１３は、各車載装置に対して、自身で生成した通信データを送信したり、受信した通信データを送信したりできる。

通信データは、たとえば通信データの本体であるペイロード、送信元の情報、送信先の情報、を有する。
各車載装置および中継装置３は、通信データを送信する際に、通信データの本体に、送信元の識別情報および送信先の識別情報を付加して送信する。
各車載装置は、接続されている車内ケーブル２を監視し、車内ケーブル２に通信データがある場合、送信先の識別情報と自身の識別情報との一致を判定する。
そして、通信データの送信先の識別情報が自身の識別情報と一致する場合、各車載装置は、車内ケーブル２の通信データを受信する。
通信データの送信先の識別情報が自身の識別情報と一致しない場合、各車載装置は、車内ケーブル２の通信データを受信しない。

認証処理部３２は、自動車１のイモビライザの認証処理を実行または管理する。自動車１は、イグニションスイッチが操作されると、イモビライザの認証処理を実行し、認証が得られた場合に走行可能な状態に起動する。

管理処理部３１は、中継装置３における複数の処理部の実行を管理する。
管理処理部３１は、たとえば認証処理部３２の処理、通信処理部３３の処理、判定処理部３４の処理などについての実行を管理する。
管理処理部３１は、たとえば判定処理部３４の処理よりも認証処理部３２の処理を優先するように、これらの実行を管理する。

通信処理部３３は、中継装置３に接続されている複数の車内ケーブル２の間での通信データの中継処理と、中継装置３に関する通信データの送受信処理とを実行する。
車内ケーブル２に通信データが出力されている場合、トランシーバ１２は、その通信データを受信する。
通信処理部３３は、受信した通信データの送信元の識別情報および送信元の識別情報をホワイトリスト２１と照合する。
受信した通信データの送信元および送信先がホワイトリスト２１に登録された正規のものである場合、通信処理部３３は、受信した通信データを、送信元の識別情報の車載装置へ送信する。
具体的には、通信処理部３３は、受信した通信データを、送信元の車載装置が接続されているトランシーバ１２へ出力する。トランシーバ１２は、出力が指示された通信データを、車内ケーブル２へ出力する。
これにより、通信処理部３３は、中継装置３に接続されている複数の車内ケーブル２の間での通信データの中継処理を、複数のトランシーバ１２を用いて実行する。

受信した通信データの送信先の識別情報が中継装置３のものである場合、通信処理部３３は、受信した通信データを、認証処理部３２などへ出力する。
また、認証処理部３２などにより中継装置３において送信する通信データが生成された場合、通信処理部３３は、ホワイトリスト２１に基づいて送信元の車載装置が接続されているトランシーバ１２を特定し、そのトランシーバ１２へ通信データを出力する。トランシーバ１２は、出力が指示された通信データを、車内ケーブル２へ出力する。
これにより、通信処理部３３は、中継装置３に関する通信データの送受信処理を実行する。

受信した通信データについて受信も中継もしない場合、通信処理部３３は、受信した通信データを、メモリ１５に保存する。
これにより、メモリ１５には、中継装置３が受信も中継もしない複数の通信データ２２が蓄積される。
メモリ１５は、通信処理部３３により処理される通信データを除いて、複数のトランシーバ１２により受信した通信データ２２を記憶する。

図４は、図３の通信処理部３３による通信データの処理の一例の説明図である。
図５は、図３の通信処理部３３による通信データの他の処理の一例の説明図である。

図４（Ａ）は、エンジンＥＣＵ５が、中継装置３へ通信データ（第一の通信データ）を送信する例である。
この場合、エンジンＥＣＵ５に接続されているトランシーバ１２が通信データを受信すると、通信処理部３３は、ホワイトリスト２１に基づいて通信データの送信元および送信先が登録された正規のものであることを確認し、通信データを取得する。

図４（Ｂ）は、エンジンＥＣＵ５が、自身とは異なる車内ケーブル２に接続されているブレーキＥＣＵ７へ通信データ（第二の通信データ）を送信する例である。
この場合、エンジンＥＣＵ５に接続されているトランシーバ１２が通信データを受信すると、通信処理部３３は、ホワイトリスト２１に基づいて通信データの送信元および送信先が登録された正規のものであることを確認し、ブレーキＥＣＵ７が接続されているトランシーバ１２に通信データを送信させる。

図４（Ｃ）は、エンジンＥＣＵ５が、自身と同じ車内ケーブル２およびトランシーバ１２に接続されているトランスミッションＥＣＵ４へ通信データ（第三の通信データ）を送信する例である。
この場合、エンジンＥＣＵ５に接続されているトランシーバ１２が通信データを受信すると、通信処理部３３は、ホワイトリスト２１に基づいて通信データの送信元および送信先が登録された正規のものであることを確認する。しかしながら、送信元および送信先が同じ車内ケーブル２に接続されていることから、通信処理部３３は、受信した通信データ２２について、受信も中継もすることなく、メモリ１５に保存する。

図５（Ａ）は、車内ケーブル２に不正に接続された不正装置２００が、自身と異なる車内ケーブル２に接続されているブレーキＥＣＵ７へ通信データ（第四の通信データ）を送信する例である。
この場合、不正装置２００に接続されているトランシーバ１２が通信データを受信すると、通信処理部３３は、ホワイトリスト２１に基づいて通信データの送信元が登録されていない不正なものであることを確認し、受信も転送もしない。通信処理部３３は、受信した通信データ２２について、受信も中継もすることなく、メモリ１５に保存する。

図５（Ｂ）は、車内ケーブル２に不正に接続された不正装置２００が、自身と同じ車内ケーブル２に接続されているエンジンＥＣＵ５へ通信データ（第三の通信データ）を送信する例である。
この場合、不正装置２００に接続されているトランシーバ１２が通信データを受信すると、通信処理部３３は、ホワイトリスト２１に基づいて通信データの送信元が登録されていない不正なものであることを確認し、受信も転送もしない。通信処理部３３は、受信した通信データ２２について、受信も中継もすることなく、メモリ１５に保存する。

これにより、メモリ１５には、通信処理部３３により処理される通信データを除いた通信データ２２が蓄積される。

判定処理部３４は、メモリ１５に蓄積される複数の通信データ２２に含まれる不正データを判定する。
判定処理部３４は、トランシーバ１２毎のホワイトリスト２１を用いて、メモリ１５に蓄積される各通信データ２２を判定する。
蓄積される通信データ２２の送信元の識別情報または送信先の識別情報がホワイトリスト２１に含まれない場合、判定処理部３４は、その通信データ２２を不正データとして判定する。
この場合、判定処理部３４は、その通信データ２２を不正データとしてメモリ１５に残す。
蓄積される通信データ２２の送信元の識別情報および送信先の識別情報がホワイトリスト２１に含まれている場合、判定処理部３４は、その通信データ２２を正規のデータとして判定する。
この場合、判定処理部３４は、その通信データ２２をメモリ１５から削除する。
これにより、メモリ１５には、判定処理部３４により不正データと判定された通信データ２２が蓄積して保持される。
中継装置３のメモリ１５には、中継装置３が取得する第一の通信データ、中継装置３が中継する第二の通信データ、各トランシーバ１２に共通に接続される複数の車載装置の間で送受されて中継装置３による取得および中継が不要である第三の通信データ、複数の車載装置の間で送受することも中継装置３による取得および中継も不要である第四の通信データ、の中の、第四の通信データが不正データとして判定されて蓄積されることになる。
また、第一の通信データから第三の通信データは不正データとして判定されることがないので、メモリ１５に蓄積されない。
自動車１の管理者は、メモリ１５に蓄積された複数の通信データ２２により、車内ネットワークに不正装置２００が接続されていることを判断することができる。

図６は、イグニションスイッチが操作された直後における複数の処理部の実行状態のタイミングチャートである。
図６（Ａ）は、管理処理部３１の処理の実行状態である。
図６（Ｂ）は、認証処理部３２の処理の実行状態である。
図６（Ｃ）は、通信処理部３３の処理の実行状態である。
図６（Ｄ）は、判定処理部３４の処理の実行状態である。
図６において、時間は左から右へ流れる。

イグニションスイッチが操作されると、起動した中継装置３では、中継装置３における複数の処理部の実行を管理する管理処理部３１が処理を実行する。管理処理部３１は、たとえばタイマ１４により計測される時間を基準として、各処理部の処理についての実行タイミングを割り当てる。
管理処理部３１は、自動車１のイモビライザの認証処理が完了していないので、認証処理部３２と通信処理部３３とに実行スケジュールを割り当てる。
通信処理部３３は、たとえば数ミリ秒ごとに周期的に、車内ネットワークによる通信データの送受信を処理する。
認証処理部３２は、通信処理部３３が実行されていない期間において間欠的に、イモビライザの認証処理を実行または管理する。

その後、自動車１のイモビライザの認証処理が完了して管理処理部３１の処理が終了すると、管理処理部３１は、通信処理部３３と判定処理部３４とに実行スケジュールを割り当てる。
通信処理部３３は、たとえば数ミリ秒ごとに周期的に、車内ネットワークによる通信データの送受信を処理する。
判定処理部３４は、通信処理部３３が実行されていない期間において間欠的に、メモリ１５に蓄積される複数の通信データ２２に含まれる不正データを判定する。
また、管理処理部３１は、たとえば数十ミリ秒ごとに周期的に、中継装置３における複数の処理部の処理についての実行スケジュールを割り当てる。

このように、管理処理部３１は、認証処理部３２が自動車１のイモビライザの認証処理などの認証処理を実行している期間においては、判定処理部３４の処理を中止する。
管理処理部３１は、判定処理部３４の処理より優先する認証処理を実行している期間においては、判定処理部３４の処理を中止する。
また、判定処理部３４は、通信処理部３３が処理を実行していない別のタイミングにおいて、判定処理部３４の処理を実行させる。

以上のように、本実施形態では、複数の通信ポートを用いて複数の車載装置の間で通信データを中継する通信処理部３３とは別の判定処理部３４により、複数のトランシーバ１２で受信した通信データに含まれる不正データを判定する。
よって、通信データを受信するたびに高速な処理を繰り返し実行する通信処理部３３においてリアルタイムに不正データを判定する必要がない。通信処理部３３は、通信データの中継処理などおよび自身の受信処理について、高速に且つリアルタイムに実行することができる。
しかも、判定処理部３４が、通信処理部３３が処理を実行していない別のタイミングで判定処理を実行することにより、判定処理により、通信処理部３３の処理を阻害しないようにできる。
その結果、中継装置３は、通信データの中継処理などおよび自身の受信処理について、通信データに含まれる不正データについての判定をしない場合と同程度に、高速に且つリアルタイムに実行することができる。
そして、このような中継装置３を用いることにより、中継装置３は、自動車１の車内ネットワークに対して社外開発の通信装置１０４などが後付けで接続されたとしても、その社外開発装置による不適切な通信データの送出の影響を最小限に抑えることができる。
また、社外開発装置と自動車１の複数の車載装置との間に個体差による相性的な問題などが生じるとしても、たとえば記録部に保持される通信データ２２の記録などに基づいて、そのような事態が発生したことを発生後に把握できるようになり得る。

本実施形態では、メモリ１５は、通信処理部３３により処理される通信データを除いて、複数のトランシーバ１２により受信した通信データ２２を記憶する。よって、通信処理部３３により適切に処理される通信データについては、判定処理部３４による判定処理を行うことなく、不正データではないとして処理することができる。その結果、メモリ１５が記憶して判定処理部３４により判定される判定対象の通信データ２２は、通信処理部３３により中継も自身で受信もしないものに限定されるように削減することができる。

本実施形態では、判定処理部３４は、通信処理部３３が処理を実行するために使用するホワイトリスト２１を用いて、不正データを判定することができる。ここで、ホワイトリスト２１は、自動車１における複数の車載装置についての識別情報を含むものでよい。
この場合、判定処理部３４は、たとえば、通信データ２２において送信先または送信元として含まれる識別情報が、自動車１において複数の車載装置の各々に対して割り当てられてホワイトリスト２１に含まれる識別情報と、一致しない場合、不正データと判定すればよい。これにより、判定処理部３４は、不正判定に専用のデータを新たに用いることなく、自動車１に接続されていないはずの車載装置に係る通信データ２２を、不正データとして判定することができる。また、共通のリストに基づいて自動車１の通信と不正判定との双方を処理することにより、これらを別々のリストとした場合と比べてメンテナンスを容易にできる。
特に、ホワイトリスト２１は、自動車１における複数の車載装置をトランシーバ１２毎に分類して保持し、判定処理部３４は、トランシーバ１２毎に、車載装置に対する通信データ２２を、不正データとして判定するとよい。これにより、自動車１に接続されているはずの車載装置に係る通信データ２２が、正規のトランシーバ１２以外において受信された場合にも、その通信データ２２を不正データとして判定することができる。正規の車載装置の識別情報を不正に使用する通信データを判定することができる。

本実施形態では、管理処理部３１が、通信処理部３３の処理、および判定処理部３４の処理を含む複数の処理の実行を管理する。そして、判定処理部３４の処理より優先する処理を実行している期間においては、管理処理部３１は、判定処理部３４の処理を中止する。よって、中継装置３は、通信データについての不正を判定する処理よりも、自動車１の中継装置３において基本的に必要とされている処理を優先して実行する。このような基本的な処理には、たとえば、自動車１のイモビライザの認証処理、自動車１におけるその他の認証処理がある。その結果、本実施形態では、自動車１の中継装置３としての基本的な性能を落とすことなく、その基本的な性能のための処理を実行していない空きタイミングを好適に利用して通信データについての不正を判定することができる。

本実施形態では、自動車１の走行などを制御する制御装置と、社外開発装置とは、自動車１の中継装置３の複数のトランシーバ１２において、異なるトランシーバ１２に分けて接続される。社外開発装置には、たとえば社外開発のＯＥＭ装置、社外規格に基づく通信機能を有する装置、がある。これにより、社外開発装置が不正に、自動車１の走行などを制御する制御装置に対して通信データを送信しようとしても、中継装置３においてこれを検出して阻止することが可能になる。

本実施形態では、判定処理部３４により不正データと判定された通信データ２２は、メモリ１５に保持される。よって、不正データが発生した後の解析において、不正な通信データが存在していたこと、または存在していなかったことを、メモリ１５の保持データに基づいて判断することができる。

本実施形態では、判定処理部３４は、たとえば、中継装置３が取得する第一の通信データ、中継装置３が中継する第二の通信データ、各トランシーバ１２に共通に接続される複数の車載装置の間で送受されて中継装置３による取得および中継が不要である第三の通信データ、複数の車載装置の間で送受することも中継装置３による取得および中継も不要である第四の通信データ、の中の、第一の通信データから第三の通信データを不正データとして判定することなく、第四の通信データを不正データとして判定することができる。

以上の実施形態は、本発明の好適な実施形態の例であるが、本発明は、これに限定されるものではなく、発明の要旨を逸脱しない範囲において種々の変形または変更が可能である。

たとえば上記実施形態では、メモリ１５には、中継装置３において通信処理部３３が中継処理および受信処理をしない通信データが保存される。
この他にもたとえば、メモリ１５には、車内ネットワークにおいて送受されるすべての通信データが保存されてもよい。
この場合でも、判定処理部３４は、ホワイトリスト２１に基づいて、メモリ１５に蓄積された通信データを判定することにより、不正データを判定することができる。

上記実施形態では、判定処理部３４は、自動車１の車内ネットワークに接続されているべき複数の車載装置についてのホワイトリスト２１を用いて、不正データを判定している。
この他にもたとえば、判定処理部３４は、自動車１の車内ネットワークに接続されないはずの車載装置についてのブラックリストを用いて、不正データを判定してもよい。

上記実施形態では、ホワイトリスト２１には、各車載装置の識別情報に対して、接続されているトランシーバ１２の番号（ポート番号）が対応付けられている。
この他にもたとえば、ホワイトリスト２１は、各車載装置の識別情報のみで構成されてもよい。
この場合でも、判定処理部３４は、ホワイトリスト２１に基づいて、自動車１の車内ネットワークに接続されないはずの不正装置２００による不正な通信データを判定することができる。
ただし、本実施形態のように、ホワイトリスト２１において各車載装置の識別情報に対してトランシーバ１２の番号（ポート番号）を対応付けて、接続されているトランシーバ１２（車内ケーブル２）を含めてホワイトリスト２１に基づいて判定することにより、自動車１の車内ネットワークに接続されているはずの正規の車載装置と同じ識別情報を用いる不正装置２００が、正規の車載装置とは異なる車内ケーブル２に接続されている場合においても、不正データを判定することができる。また、社外開発の通信装置１０４が、正規の車載装置と同じ識別情報を有する通信データを送信したとしても、それを不正データとして判定することができる。

上記実施形態では、中継装置３の通信処理部３３は、数ミリ秒ごとに通信処理通信データの送受信を処理し、それとは別の判定処理部３４は、管理処理部３１によるスケジュールに基づいて数十ミリ秒ごとに不正データを判定している。
この他にもたとえば、判定処理部３４は、通信処理部３３と同等の数ミリ秒ごとに不正データを判定してもよい。また、上述した判定処理部３４を２つの処理部に分けて、少なくとも一部の処理部を数ミリ秒ごとに実行するようにしてもよい。この場合、数ミリ秒ごとに実行される処理部は、通信処理部３３の一部として実行されてもよい。ただし、不正データを高度に検知する処理部については、数ミリ秒ごとに実行するのが望ましい。

１…自動車（車両）、２…車内ケーブル（車内ネットワーク）、３…中継装置、４…トランスミッションＥＣＵ（車載装置）、５…エンジンＥＣＵ（車載装置）、６…操作系ＥＣＵ（車載装置）、７…ブレーキＥＣＵ（車載装置）、８…運転支援ＥＣＵ（車載装置）、９…ボディ系ＥＣＵ（車載装置）、１１…コネクタ、１２…トランシーバ（ポート）、１３…ＣＰＵ、１４…タイマ、１５…メモリ（記憶部）、１６…システムバス、２１…ホワイトリスト、２２…通信データ、３１…管理処理部、３２…認証処理部、３３…通信処理部、３４…判定処理部、１００…交通監視システム、１０１…サービスサーバ、１０２…通信網、１０３…アクセスポイント、１０４…通信装置（車載装置、社外開発装置）、２００…不正装置

Claims (11)

1. 車両の複数の車載装置が接続される複数の通信ポートと、
   複数の前記通信ポートを用いて複数の前記車載装置の間で通信データを中継する通信処理部と、
   複数の前記通信ポートで受信した通信データを記憶する記憶部と、
   前記記憶部に記憶されている通信データに含まれる不正データを判定する判定処理部と、
   を有する、車両の中継装置。
   
2. 前記判定処理部は、前記通信処理部が処理を実行していない別のタイミングで判定処理を実行する、
   請求項１記載の、車両の中継装置。
   
3. 前記記憶部は、
   前記通信処理部により処理される通信データを除いて、複数の前記通信ポートにより受信した通信データを記憶する、
   請求項１または２記載の、車両の中継装置。
   
4. 前記判定処理部は、前記車両における複数の前記車載装置についてのホワイトリストまたはブラックリストを用いて、不正データを判定する、
   請求項３記載の、車両の中継装置。
   
5. 前記判定処理部は、前記車両における複数の前記車載装置についての通信ポート毎のホワイトリストまたはブラックリストを用いて、通信ポート毎に、不正データを判定する、
   請求項３または４記載の、車両の中継装置。
   
6. 前記判定処理部は、通信データにおいて送信先または送信元として含まれる識別情報が、前記車両において複数の前記車載装置の各々に対して割り当てられて前記ホワイトリストまたは前記ブラックリストに含まれる識別情報と、一致しない場合、不正データと判定する、
   請求項３から５のいずれか一項記載の、車両の中継装置。
   
7. 前記通信処理部の処理、および前記判定処理部の処理を含む複数の処理の実行を管理する管理処理部、を有し、
   前記管理処理部は、前記判定処理部の処理より優先する処理を実行している期間においては、前記判定処理部の処理を中止する、
   請求項１から６のいずれか一項記載の、車両の中継装置。
   
8. 前記管理処理部は、少なくとも前記車両のイモビライザの認証処理を含む認証処理を実行している期間においては、前記判定処理部の処理を中止する、
   請求項７記載の、車両の中継装置。
   
9. 前記車両の複数の前記車載装置には、前記車両を制御する制御装置と社外開発装置と、が含まれ、
   前記制御装置と前記社外開発装置とは異なる前記通信ポートに接続される、
   請求項１から８のいずれか一項記載の、車両の中継装置。
   
10. 前記記憶部は、前記判定処理部により不正データと判定された通信データを保持する、
    請求項１から９のいずれか一項記載の、車両の中継装置。
    
11. 前記判定処理部は、
    前記中継装置が取得する第一の通信データ、前記中継装置が中継する第二の通信データ、各前記通信ポートに共通に接続される複数の前記車載装置の間で送受されて前記中継装置による取得および中継が不要である第三の通信データ、複数の前記車載装置の間で送受することも前記中継装置による取得および中継もしない第四の通信データ、の中の、第一の通信データから第三の通信データを不正データとして判定することなく、前記第四の通信データを不正データとして判定する、
    請求項１から１０のいずれか一項記載の、車両の中継装置。
    
    

Images