JP2020046743A

JP2020046743A - 通信装置

Info

Publication number: JP2020046743A
Application number: JP2018172680A
Authority: JP
Inventors: 岩田　淳; Atsushi Iwata; 淳岩田; 雄介佐藤; Yusuke Sato; 吉隆加勢田; Yoshitaka Kaseda; 礼一郎井本; Reiichiro Imoto
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2018-09-14
Filing date: 2018-09-14
Publication date: 2020-03-26
Anticipated expiration: 2038-09-14
Also published as: JP7081415B2

Abstract

【課題】車両出荷後のセキュリティの向上と車両工場での生産性の維持とを可能にする車両用の通信装置を提供する。【解決手段】通信装置は、車両に搭載され、所定のフラグの状態を表す値として、前記車両の製造時には初期値を記憶し、前記車両の出荷後には前記初期値以外の値を記憶する記憶部と、通信装置が外部ツールから所定の信号を受信した場合に、記憶部を参照して、所定のフラグの状態を表す値が初期値であるか否かの判定をする判定部と、所定のフラグの状態を表す値が、初期値である場合に外部ツールとの通信による認証処理を行い、初期値でない場合に外部のサーバとの通信を含む認証処理を行う認証部とを備える。【選択図】図３

Description

本発明は、車両に搭載される通信装置に関する。

車両には、複数のＥＣＵ（Electronic Control Unit）と呼ばれる車載機器が搭載されており、車両の各種機能の制御を行う。これらのＥＣＵに対して、車両製造時の車両工場や出荷後の整備場等において、プログラムを書き換えるリプログラミングと呼ばれる作業や、その他の各種作業が行われる場合がある。このような作業は、車両に備えられたコネクタに外部ツールを接続し、外部ツールから作業対象のＥＣＵに書き換えプログラムを送信したり、その他の作業に必要なデータを送信したりすることによって行うことができる。

外部ツールを用いて車載機器のプログラムの書き換えを行う際には、不正な作業が行われないようにするため、各種の認証を行うことが提案されている。特許文献１は、車載機器が外部ツールの認証を行うことを開示している。また、特許文献２は、外部ツールを車内のネットワークに接続してプログラムの書き換え等を行う際に、イモビキー用の検出装置の認証を、公共ネットワークを介してサーバが行い、その検出装置が検出したイモビキーの認証を車載機器が行うことを開示している。

特開２０１６−１１２９０９号公報特開２０１３−１６８００７号公報

車載機器と外部ツールとの通信による認証によって、不正な外部ツールを用いた不正な作業が行われる可能性を排除することができる。外部ツールは解析されるおそれがあるので、さらに好適に管理されたセンタのサーバを認証に用いることによって、セキュリティをより強く保証することができる。

しかしながら、サーバとの通信を行って認証すると、車両工場での作業時には、サーバとの通信の所要時間だけタクトタイムが増加する。また、サーバとの通信不良が発生した場合、復旧するまで作業が停止することになる。このように、一律にサーバを認証に用いると車両工場において生産性の低下をもたらすおそれがあった。

本発明は、上記課題を鑑みてなされたものであり、車両出荷後のセキュリティの向上と車両工場での生産性の維持とを可能にする車両用の通信装置を提供することを目的とする。

上記課題を解決するために、本発明の一局面は、車両に搭載された通信装置であって、所定のフラグの状態を表す値として、車両の製造時には初期値を記憶し、車両の出荷後には初期値以外の値を記憶する記憶部と、通信装置が外部ツールから所定の信号を受信した場合に、記憶部を参照して、所定のフラグの状態を表す値が初期値であるか否かの判定をする判定部と、所定のフラグの状態を表す値が、初期値である場合に外部ツールとの通信による認証処理を行い、初期値でない場合に外部のサーバとの通信を含む認証処理を行う認証部とを備える、通信装置である。

本発明によれば、車両出荷後のセキュリティの向上と車両工場での生産性の維持とを可能にする車両用の通信装置を提供することができる。

本発明の実施形態に係る作業の一態様を示す機能ブロック図本発明の実施形態に係る作業の他の態様を示す機能ブロック図本発明の実施形態に係る処理を示すフローチャート本発明の参考例に係る処理を示すフローチャート本発明の参考例に係る処理を示すフローチャート

（実施形態）
本発明に係る通信装置は、車両の製造時の車両工場においては、外部ツールを用いた作業時に、通信装置と外部ツールとの間の認証を、サーバとの通信をせずに行う。これにより一定のセキュリティを確保しつつ、サーバとの通信の所要時間によるタクトタイムの増加を回避し、また、サーバとの通信不良による作業停止のおそれをなくし、車両の生産性の低下を抑制できる。また、車両の出荷後は、外部ツールを用いた作業時に、サーバとの通信を含んだ認証処理を行うことによって、車両工場における認証処理よりさらにセキュリティを強化することができる。

以下、本発明の一実施形態について、図面を参照しながら詳細に説明する。

＜構成＞
図１に、本実施形態に係る外部ツールを用いた作業の第１態様を示す機能ブロック図を示す。車両１は、通信装置１０と、複数のＥＣＵ２１、２２…と、コネクタ３０とを含む。通信装置１０、複数のＥＣＵ２１、２２…は、車内用通信バス３２によって、互いに接続されている。なお、通信装置１０は、車内用通信バス３２および複数のＥＣＵ２１、２２…と同様に、他の車内用通信バスによって他の複数のＥＣＵと互いに接続された構成をさらに１つ以上備えてもよい。また、通信装置１０およびコネクタ３０は、車外用通信バス３１によって、互いに接続されている。

通信装置１０は、車内用通信バス３２と車外用通信バス３１とを接続するゲートウェイであり、各バスの通信制御を行う。通信装置１０は、記憶部１１、判定部１２、認証部１３、制御部１４を含む。記憶部１１は、制御に用いるデータやプログラム等の情報を記憶する。判定部１２は、記憶部１１を参照して情報を取得し、処理内容の決定のための判定を行う。認証部１３は、判定部１２の判定結果に応じた認証処理を行う。また制御部１４は、これらの各部の制御や通信制御を行う。

この態様では、車外の外部ツール４０がコネクタ３０に接続される。認証部１３は、外部ツール４０との通信による認証処理を行い、認証に成功すると、制御部１４は、外部ツール４０による作業を許可する。

図２に、本実施形態に係る外部ツールを用いた作業の第２態様を示す機能ブロック図を示す。この態様においては、外部ツール４０は特定のサーバ５０と例えば公共ネットワーク経由で通信可能であり、認証部１３は、外部ツール４０を介して、サーバ５０との通信を含む認証処理を行う点が第１態様と異なる。認証部１３が認証に成功すると、制御部１４は、外部ツール４０による作業を許可する。

図３は、通信装置１０が実行する処理の例を示すフローチャートである。図３を参照して通信装置１０の処理を説明する。ここでは、作業の例として、外部ツール４０を用いてＥＣＵ２１をリプログラミングするものとする。本処理は、外部ツール４０がコネクタ３０に接続され、外部ツール４０が、通信装置１０に、所定の信号を送信することによって開始される。所定の信号とは、本例では、通信装置１０の動作モードをリプログラミング通信中継モードに切り替えることを要求する信号である。リプログラミング通信中継モードでは、通信装置１０は、外部ツール４０が車外用通信バス３１に送出したプログラムの更新データを、車内用通信バス３２に中継し、作業対象となるＥＣＵ２１が受信できるモードである。

（ステップＳ１０１）：記憶部１１は、初期状態フラグを記憶している。初期状態フラグは、車両１の製造時に通信装置１０が車両１に取り付けられた時点では、オン状態を表す初期値に設定されている。車両１の出荷までに、後述するように、初期状態フラグの状態を表す値は、初期値以外のオフ状態を表す値に書き換えられる。判定部１２は、本ステップで、記憶部１１を参照して、初期状態フラグの状態を表す値を取得する。初期状態フラグの状態を表す値がオンを表す場合、ステップＳ１０２に進む。初期状態フラグの状態を表す値がオフを表す場合（オンでない場合）、ステップＳ１０４に進む。

（ステップＳ１０２）：認証部１３は、外部ツール４０と通信し、認証を行う。すなわち図１に示す第１態様で認証処理を行う。認証方法は、認証部１３が外部ツール４０の認証を行うことができれば、限定されないが、例えばチャレンジレスポンス方式を用いることができる。

（ステップＳ１０３）：認証部１３は、ステップＳ１０２での認証に成功した場合、ステップＳ１０６に進む。認証に失敗した場合、本処理を終了する。

（ステップＳ１０４）：認証部１３は、外部ツール４０を介してサーバ５０と通信し、認証を行う。すなわち図２に示す第２態様で認証処理を行う。認証方法は、認証部１３が、サーバ５０との通信結果を利用して最終的に外部ツール４０の認証を行うことができれば、限定されないが、通信の過程で、認証部１３とサーバ５０との間の認証、認証部１３と外部ツール４０との間の認証、外部ツール４０とサーバ５０との間の認証を行い、これらを組み合わせることで、解析を困難にして、ステップＳ１０２の認証よりも、信頼性を高めることができる。これらの認証は、例えばチャレンジレスポンス方式を用いることができる。また、デジタル署名等を適宜組み合わせて通信の信頼性を高めてもよい。

（ステップＳ１０５）：認証部１３は、ステップＳ１０４での認証に成功した場合、ステップＳ１０６に進む。認証に失敗した場合、本処理を終了する。

（ステップＳ１０６）：制御部１４は、通信装置１０の動作モードとしてリプログラミング通信中継モードを開始し、例えばリプログラミング通信中継モードを開始したことを外部ツール４０に通知する。外部ツール４０は通知を受けると車外用通信バス３１にプログラムの更新データを送出し、通信装置１０が、更新データを車内用通信バス３２に中継する。ＥＣＵ２１は更新データを取得し、プログラムの書き換えを行う。

（ステップＳ１０７）：制御部１４は、プログラムの更新データの通信が終了したか否かを判定する。判定は、例えば、外部ツール４０から通信が終了したことを表す通知を受信したか否かに基づいて行うことができる。制御部１４は、通信が終了したと判定した場合は、ステップＳ１０８に進み、通信が終了していないと判定した場合は本ステップを繰り返し、通信の終了を待機する。

（ステップＳ１０８）：制御部１４は、リプログラミング通信中継モードを終了する。

以上で処理を終了する。なお、複数のＥＣＵ２１、２２…が作業対象である場合、通信装置１０が上述のステップＳ１０６でリプログラミング通信中継モードとなっている間に、外部ツール４０が書き換え対象の各ＥＣＵのプログラムの更新データを車外用通信バス３１に送出し、通信装置１０が各更新データを車内用通信バス３２に中継する。各ＥＣＵは、自装置のプログラムの更新データを取得し、それぞれプログラムの書き換えを行う。

車両１の製造時に車両工場でこのような作業を行う場合、作業対象のＥＣＵの全てに対して作業が終了すると、記憶部１１に記憶されている初期状態フラグの状態を表す値は、オフを表す値に書き換えられる。例えば、作業対象のＥＣＵの全てに対して作業が終了したときに外部ツール４０が、通信装置１０に、初期状態フラグをオフに書き換える要求を通知するようにし、制御部１４は、この要求に基づいて、記憶部１１に記憶されている初期状態フラグの状態を表す値を、オフを表す値に書き換えるようにすることができる。あるいは、作業対象のＥＣＵの全てに対して作業が終了したときに、外部ツール４０が、通信装置１０に、その後実行する別作業のための信号を送信し、制御部１４は、この信号を検知すると、記憶部１１に記憶されている初期状態フラグの状態を表す値を、オフを表す値に書き換えるようにしてもよい。またあるいは、制御部１４は、車両１内の他の機器からオドメータの値等を車内用通信バス３２経由で取得し、これに基づいて車両１が所定距離以上走行して車両工場の外に出たことを検知すると、記憶部１１に記憶されている初期状態フラグの状態を表す値を、オフを表す値に書き換えるようにしてもよい。このように初期状態フラグの状態を表す値の書き換えの方法は限定されない。

なお、車両工場で用いる外部ツール４０は、サーバ５０との通信機能を持たなくてよいが、車両工場外で用いる、サーバ５０との通信機能を有する外部ツール４０と同じ物であってもよいし、サーバ５０との通信機能を持たない別の物であってもよい。

なお、リプログラミングの対象が通信装置１０であってもよい。その場合、ステップＳ１０６、Ｓ１０７、Ｓ１０８で通信装置１０のリプログラミングが実施される。例えば、ステップＳ１０６で、通信装置１０の制御部１４は、更新データが、自装置のリプログラミング用の更新データであるか否かを判定し、自装置のリプログラミング用の更新データである場合は、更新データを車内用通信バス３２に中継する代わりに、記憶部１１に記憶させることにより、プログラムを更新する。

＜効果＞
以上のように、車両１の製造時の車両工場においては、外部ツール４０を用いた作業時に、通信装置１０と外部ツール４０との間の認証を、サーバ５０との通信をせずに行う。これにより一定のセキュリティを確保しつつ、サーバ５０との通信の所要時間によるタクトタイムの増加を回避し、また、サーバ５０との通信不良による作業停止のおそれをなくし、車両の生産性の低下を抑制できる。また、車両１の出荷後は、外部ツール４０を用いた作業時に、サーバ５０との通信を含んだ認証処理を行うことによって、車両工場における認証処理よりさらにセキュリティを強化することができる。

（第１参考例）
本発明を変形した参考例を説明する。図４は、第１参考例に係る処理の例を示すフローチャートである。図４に示す処理において、ステップＳ２０１、Ｓ２０２、Ｓ２０３、Ｓ２０４、Ｓ２０５、Ｓ２０６は、それぞれ、図３に示した実施形態に係る処理の例におけるステップＳ１０１、Ｓ１０４、Ｓ１０５、Ｓ１０６、Ｓ１０７、Ｓ１０８に対応し、ステップＳ１０２、Ｓ１０３に相当する処理を行わない。すなわち、第１参考例においては、車両工場で作業を行う場合を表す、初期状態フラグがオンである場合は、認証部１３は、外部ツール４０との認証処理を行わない点で、上述の実施形態と異なる。車両工場において、例えば、作業者が特定の者に限定され、また、外部ツール４０が厳重に管理されていれば、セキュリティが十分であるとして、この例のように、外部ツール４０の認証を行わなくてもよい。第１参考例によれば、車両生産時に、外部ツールとの間の認証の所要時間によるタクトタイムの増加を回避し、車両の生産性の低下を、上述の実施形態より抑制できる。また、車両１の出荷後は、外部ツールを用いた作業時に、サーバとの通信を含んだ認証処理を行うことによって、セキュリティを強化することができる。

（第２参考例）
図５は、第２参考例に係る処理の例を示すフローチャートである。図５に示す処理においてステップＳ３０１、Ｓ３０２、Ｓ３０３、Ｓ３０７、Ｓ３０８、Ｓ３０９は、それぞれ、図３に示した実施形態に係る処理の例におけるステップＳ１０１、Ｓ１０２、Ｓ１０３、Ｓ１０６、Ｓ１０７、Ｓ１０８に対応する。

第２参考例においては、ステップＳ３０４、Ｓ３０５、Ｓ３０６の処理が、実施形態に係る処理の例におけるステップＳ１０４、Ｓ１０５と異なる。以下にステップＳ３０４、Ｓ３０５、Ｓ３０６の処理を説明する。

（ステップＳ３０４）：判定部１２は、認証処理のための通信先として、サーバ５０および外部ツール４０のうち１つを選択する。例えば、判定部１２は記憶部１１を参照することで選択を行うことができる。この場合、記憶部１１には、車両工場での作業時に、外部ツール４０から、例えば車両１の仕向地に応じて、サーバ５０および外部ツール４０のいずれかを特定する情報が書き込まれる。あるいは、判定部１２は、車両１内の他の機器が予め記憶している仕向地等の情報を車内用通信バス３２経由で取得し、取得した情報に応じてサーバ５０および外部ツール４０のいずれかを特定するようにしてもよい。

（ステップＳ３０５）：認証部１３は、選択した認証先と認証処理を行う。すなわち、選択した認証先が外部ツール４０であれば、外部ツール４０との通信によって認証を行う。また、選択した認証先がサーバ５０であれば、外部ツール４０を介してサーバ５０と通信し、認証を行う。

（ステップＳ３０６）：認証部１３は、ステップＳ３０５での認証に成功した場合、ステップＳ３０７に進む。認証に失敗した場合、本処理を終了する。

第２参考例においては、例えば車両１の仕向地に応じて、出荷後の認証方法を切り替えることができる。すなわち、仕向地において、サーバ５０との通信が好適に実施可能であれば、サーバ５０との通信に基づく認証処理を行うように設定し、サーバ５０との通信が困難であれば、サーバ５０との通信をせずに認証処理を行うように設定することができる。これにより、第２参考例によれば、車両１の製造時の車両工場においては、外部ツール４０を用いた作業時に、通信装置１０と外部ツール４０との間の認証を、サーバ５０との通信をせずに行う。これにより一定のセキュリティを確保しつつ、サーバ５０との通信の所要時間によるタクトタイムの増加を回避し、また、サーバ５０との通信不良による作業停止のおそれをなくし、車両の生産性の低下を抑制できる。また、車両１の出荷後は、サーバ５０との通信が可能な仕向地であれば、外部ツール４０を用いた作業時に、サーバ５０との通信を含んだ認証処理を行うことによって、車両工場における認証処理よりさらにセキュリティを強化することができる。また、サーバ５０との通信が困難な仕向地であっても、外部ツール４０を用いた作業時に、外部ツール４０との通信による認証処理を行うことによって、一定のセキュリティを確保することができる。

以上の説明において、外部ツールからのアクセスを許可して行う作業の例としてリプログラミングを挙げたが、これに限定されず、本発明は、車両等が備える通信装置による外部ツールからのアクセス可否の判定のための認証処理全般に適用することができる。

以上、本発明を説明したが、本発明は、通信装置だけでなく、通信装置のコンピュータが実行する通信方法、通信プログラムおよびこれを記憶したコンピュータ読み取り可能な非一時的な記録媒体、車両等として捉えることができる。

本発明は、車両等に搭載される通信装置に有用である。

１車両
１０通信装置
１１記憶部
１２判定部
１３認証部
１４制御部
２１、２２ＥＣＵ
３０コネクタ
３１車外用通信バス
３２車内用通信バス
４０外部ツール
５０サーバ

Claims

車両に搭載された通信装置であって、
所定のフラグの状態を表す値として、前記車両の製造時には初期値を記憶し、前記車両の出荷後には前記初期値以外の値を記憶する記憶部と、
前記通信装置が外部ツールから所定の信号を受信した場合に、前記記憶部を参照して、前記所定のフラグの状態を表す値が初期値であるか否かの判定をする判定部と、
前記所定のフラグの状態を表す値が、前記初期値である場合に前記外部ツールとの通信による認証処理を行い、前記初期値でない場合に外部のサーバとの通信を含む認証処理を行う認証部とを備える、通信装置。