JP2020108132A - 電子制御システム、電子制御装置、制御方法及びプログラム - Google Patents

Abstract

【課題】セキュリティ対策を高めることができる電子制御システムを提供する。【解決手段】電子制御システム２は、車両に搭載されるＣＡＮバス４と、車両の状態に関する情報を示す車両状態信号の通信のみに用いられる配線である専用線２０を介して車両状態信号を受信し、当該車両状態信号に基づいて制御指示信号をＣＡＮバス４に送信するＡＤＡＳ制御ＥＣＵ１４と、ＣＡＮバス４を介してＡＤＡＳ制御ＥＣＵ１４から送信された制御指示信号を受信し、当該制御指示信号に基づいて車両の駆動に関する制御を行うアクチュエータＥＣＵ１８とを備える。【選択図】図１

Description

本開示は、電子制御システム、電子制御装置、制御方法及びプログラムに関する。

近年、車両の加減速、操舵及び制動等の運転操作を自動で行う電子制御システムが知られている。この電子制御システムは、センサＥＣＵ（Ｅｌｅｃｔｒｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）と、自動走行ＥＣＵと、エンジンＥＣＵとを備えている。これら各ＥＣＵは、共通のＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）バスに接続されている。

上述した電子制御システムの処理の一例について説明する。センサＥＣＵは、車両の状態を検出するセンサからのセンサデータに基づいて、車両の状態に関する情報を示す車両状態信号をＣＡＮバスに送信する。自動走行ＥＣＵは、ＣＡＮバスを介してセンサＥＣＵから送信された車両状態信号を受信し、受信した車両状態信号に基づいて加減速指示信号をＣＡＮバスに送信する。エンジンＥＣＵは、ＣＡＮバスを介して自動走行ＥＣＵから送信された加減速指示信号を受信し、受信した加減速指示信号に基づいてエンジンを制御する。

上述した電子制御システムにおけるセキュリティを高めるために、不正なＣＡＮメッセージの侵入を検出する監視装置が提案されている（例えば、特許文献１参照）。特許文献１の監視装置は、ＣＡＮメッセージを受信した際に、ＣＡＮメッセージの受信が送信予定時点の前後に設定された許可期間内に行われたか否かを判定し、許可期間外に受信したＣＡＮメッセージを破棄する。

国際公開第２０１６／０８０４２２号

上述した電子制御システムでは、悪意のある第三者による車両への攻撃パターンとして、ａ）エンジンＥＣＵに対して加減速指示信号を偽装した不正なＣＡＮメッセージを送信することにより、エンジンを不正に制御する攻撃パターン、及び、ｂ）自動走行ＥＣＵに対して車両状態信号を偽装した不正なＣＡＮメッセージを送信することにより、自動走行ＥＣＵに加減速指示信号を誤送信させる攻撃パターンが存在する。

これらのうち前者の攻撃パターンに対して上記特許文献１の監視装置を用いて対策しようとした場合、エンジンＥＣＵにより受信される加減速指示信号は、不正なＥＣＵ等から正規でない周期で送信された不正なＣＡＮメッセージであるため、当該加減速指示信号を破棄することができる。

しかしながら、後者の攻撃パターンに対して上記特許文献１の監視装置を用いて対策しようとした場合、エンジンＥＣＵにより受信される加減速指示信号は、自動走行ＥＣＵから正規の周期で送信された正規のＣＡＮメッセージであるため、当該加減速指示信号を破棄することができない。したがって、上述した従来の電子制御システムでは、セキュリティ対策が十分とは言えないという課題が生じる。

そこで、本開示は、セキュリティ対策を高めることができる電子制御システム、電子制御装置、制御方法及びプログラムを提供する。

本開示の一態様に係る電子制御システムは、モビリティを制御するための電子制御システムであって、前記モビリティに搭載されるモビリティネットワークと、前記モビリティの状態に関する情報を示す状態信号の通信のみに用いられる配線である専用線を介して前記状態信号を受信し、当該状態信号に基づいて制御指示信号を前記モビリティネットワークに送信する第１の電子制御装置と、前記モビリティネットワークを介して前記第１の電子制御装置から送信された前記制御指示信号を受信し、当該制御指示信号に基づいて前記モビリティの駆動に関する制御を行う第２の電子制御装置と、を備える。

なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ−Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。

本開示の一態様に係る電子制御システム等によれば、セキュリティ対策を高めることができる。

車両が攻撃を受けていない正常時における、実施の形態に係る電子制御システムの構成を示すブロック図である。 実施の形態に係る電子制御システムのＡＤＡＳ制御ＥＣＵが制御指示信号を送信するための条件の一例を示す図である。 車両が攻撃を受けていない正常時における、実施の形態に係る電子制御システムの動作を示すシーケンス図である。 車両が攻撃を受けた異常時における、実施の形態に係る電子制御システムの構成を示すブロック図である。 車両が攻撃を受けた異常時における、実施の形態に係る電子制御システムの動作を示すシーケンス図である。

本開示の一態様に係る電子制御システムは、モビリティを制御するための電子制御システムであって、前記モビリティに搭載されるモビリティネットワークと、前記モビリティの状態に関する情報を示す状態信号の通信のみに用いられる配線である専用線を介して前記状態信号を受信し、当該状態信号に基づいて制御指示信号を前記モビリティネットワークに送信する第１の電子制御装置と、前記モビリティネットワークを介して前記第１の電子制御装置から送信された前記制御指示信号を受信し、当該制御指示信号に基づいて前記モビリティの駆動に関する制御を行う第２の電子制御装置と、を備える。

本態様によれば、第１の電子制御装置は、状態信号を、専用線を介してのみ受信する。これにより、例えばモビリティネットワークに接続された不正な電子制御装置等は、正規の電子制御装置になりすまして、不正な状態信号を第１の電子制御装置に送信することができなくなる。その結果、第１の電子制御装置が制御指示信号を誤送信するのを回避することができ、電子制御システムにおけるセキュリティ対策を高めることができる。

例えば、前記第２の電子制御装置は、前記モビリティネットワークを介して前記第１の電子制御装置から送信された前記制御指示信号を受信し、当該制御指示信号に基づいて前記モビリティを駆動するためのアクチュエータを制御するように構成してもよい。

本態様によれば、第１の電子制御装置が制御指示信号を誤送信するのを回避することにより、モビリティを駆動するためのアクチュエータが不正に制御されるのを回避することができる。

例えば、前記電子制御システムは、さらに、前記第１の電子制御装置と前記専用線を介して接続され、前記状態信号を前記専用線を介して前記第１の電子制御装置に送信するセンサ制御装置を備えるように構成してもよい。

本態様によれば、例えばモビリティネットワークに接続された不正な電子制御装置等が、センサ制御装置になりすまして、不正な状態信号を第１の電子制御装置に送信するのを回避することができる。

例えば、前記電子制御システムは、さらに、各々が前記状態信号を送信する複数の第３の電子制御装置を備え、前記複数の第３の電子制御装置のうち一部の第３の電子制御装置は、前記専用線を介して前記第１の電子制御装置に接続され、前記複数の第３の電子制御装置のうち他の第３の電子制御装置は、前記モビリティネットワークに接続されるように構成してもよい。

本態様によれば、複数の第３の電子制御装置のうち一部の第３の電子制御装置が専用線を介して第１の電子制御装置に接続されるので、専用線の数の増加を抑えることができる。その結果、モビリティの重量の増大を抑えることができる。

例えば、前記第１の電子制御装置は、前記複数の第３の電子制御装置からそれぞれ送信された複数の前記状態信号を受信し、当該複数の状態信号がそれぞれ対応する条件を満たす場合に、前記制御指示信号を前記モビリティネットワークに送信するように構成してもよい。

本態様によれば、第１の電子制御装置は、複数の状態信号がそれぞれ対応する条件を満たす場合に、制御指示信号をモビリティネットワークに送信する。これにより、例えば複数の状態信号のうち一部の状態信号を偽装した不正な状態信号がモビリティネットワークに送信された場合であっても、第３の電子制御装置から専用線に送信された正規の状態信号が対応する条件を満たさない限り、第１の電子制御装置が制御指示信号を送信することがない。その結果、第１の電子制御装置が制御指示信号を誤送信するのをより確実に回避することができる。

本開示の一態様に係る電子制御装置は、モビリティに搭載されるモビリティネットワークに接続された電子制御装置であって、前記モビリティの状態に関する情報を示す状態信号の通信のみに用いられる配線である専用線を介して、前記状態信号を受信する受信部と、前記モビリティの駆動に関する制御を行う他の電子制御装置に対して、当該他の電子制御装置が前記モビリティの駆動に関する制御を行うための制御指示信号を、前記モビリティネットワークを介して送信する送信部と、を備える。

本態様によれば、受信部は、状態信号を、専用線を介してのみ受信する。これにより、例えばモビリティネットワークに接続された不正な電子制御装置等は、正規の電子制御装置になりすまして、不正な状態信号を受信部に送信することができなくなる。その結果、送信部が制御指示信号を誤送信するのを回避することができ、セキュリティ対策を高めることができる。

本開示の一態様に係る制御方法は、モビリティを制御するための電子制御システムにおける制御方法であって、前記電子制御システムは、前記モビリティに搭載されるモビリティネットワークと、前記モビリティの状態に関する情報を示す状態信号の通信のみに用いられる配線である専用線に接続され、且つ、前記モビリティネットワークに接続された第１の電子制御装置と、前記モビリティネットワークに接続された第２の電子制御装置と、を備え、前記制御方法は、前記第１の電子制御装置が、前記専用線を介して前記状態信号を受信するステップと、前記第１の電子制御装置が、前記状態信号に基づいて制御指示信号を前記モビリティネットワークに送信するステップと、前記第２の電子制御装置が、前記モビリティネットワークを介して前記第１の電子制御装置から送信された前記制御指示信号を受信するステップと、前記第２の電子制御装置が、前記制御指示信号に基づいて前記モビリティの駆動に関する制御を行うステップと、を含む。

本態様によれば、第１の電子制御装置は、状態信号を、専用線を介してのみ受信する。これにより、例えばモビリティネットワークに接続された不正な電子制御装置等は、正規の電子制御装置になりすまして、不正な状態信号を第１の電子制御装置に送信することができなくなる。その結果、第１の電子制御装置が制御指示信号を誤送信するのを回避することができ、電子制御システムにおけるセキュリティ対策を高めることができる。

本開示の一態様に係るプログラムは、上述した制御方法をコンピュータに実行させる。

なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ−ＲＯＭ等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。

以下、実施の形態について、図面を参照しながら具体的に説明する。

なお、以下で説明する実施の形態は、いずれも包括的又は具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序等は、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。

（実施の形態）
［１．電子制御システムの構成］
まず、図１及び図２を参照しながら、実施の形態に係る電子制御システム２の構成について説明する。図１は、車両が攻撃を受けていない正常時における、実施の形態に係る電子制御システム２の構成を示すブロック図である。図２は、実施の形態に係る電子制御システム２のＡＤＡＳ制御ＥＣＵ１４が制御指示信号を送信するための条件の一例を示す図である。

本実施の形態の電子制御システム２は、車両の加減速、操舵及び制動等の運転操作を自動で行うように車両を制御するシステムであり、車両に搭載されている。なお、車両は、例えば自動車であり、モビリティの一例である。

図１に示すように、電子制御システム２は、ＣＡＮバス４と、センサ６と、センサＥＣＵ８と、スイッチ１０と、ＡＤＡＳ起動スイッチ１２と、ＡＤＡＳ制御ＥＣＵ１４と、アクチュエータ１６と、アクチュエータＥＣＵ１８とを備えている。

ＣＡＮバス４は、ＣＡＮプロトコルに従ったＣＡＮメッセージを通信するための車載ネットワークであり、車両に搭載されている。ＣＡＮバス４は、モビリティネットワークの一例である。

なお、ＣＡＮメッセージは、ＣＡＮプロトコルで規定されたデータフレームである。ＣＡＮメッセージは、例えば、ＳＯＦ（Ｓｔａｒｔ Ｏｆ Ｆｒａｍｅ）、ＩＤ（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）フィールド、ＲＴＲ（Ｒｅｍｏｔｅ Ｔｒａｎｓｍｉｓｓｉｏｎ Ｒｅｑｕｅｓｔ）、コントロールフィールド、データフィールド、ＣＲＣ（Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ Ｃｈｅｃｋ）フィールド、ＡＣＫ（Ａｃｋｎｏｗｌｅｄｇｅｍｅｎｔ）フィールド、及び、ＥＯＦ（Ｅｎｄ Ｏｆ Ｆｒａｍｅ）の各フィールドで構成される。

センサ６は、例えばレーザを用いて、車両の周囲に存在する物体を検出するためのＬｉＤＡＲ（Ｌｉｇｈｔ Ｄｅｔｅｃｔｉｏｎ Ａｎｄ Ｒａｎｇｉｎｇ）である。センサ６は、センサＥＣＵ８に接続されている。センサ６は、自車両と当該自車両の前方を走行している前方車両との間の車間距離を示すセンサデータを、センサＥＣＵ８に出力する。

センサＥＣＵ８は、センサ６からのセンサデータに基づいて車両状態信号（以下、「車両状態信号Ａ」という）を送信するＥＣＵであり、第３の電子制御装置及びセンサ制御装置の一例である。センサＥＣＵ８は、ＣＡＮバス４に接続されるとともに、専用線２０を介してＡＤＡＳ制御ＥＣＵ１４に接続されており、車両状態信号Ａを専用線２０に送信する。ここで、専用線２０は、センサＥＣＵ８とＡＤＡＳ制御ＥＣＵ１４との通信のみに用いられる配線であり、例えばＥｔｈｅｒｎｅｔ（登録商標）である。

車両状態信号Ａは、車両の状態に関する情報を示すＣＡＮメッセージであり、状態信号の一例である。具体的には、車両状態信号Ａは、車間距離に関する情報、すなわち前方車両の有無に関する情報を示すＣＡＮメッセージである。

センサＥＣＵ８は、車間距離が所定距離以上である場合に、前方車両が存在しないことを示す車両状態信号Ａを専用線２０に送信する。また、センサＥＣＵ８は、車間距離が上記所定距離未満である場合に、前方車両が存在することを示す車両状態信号Ａを専用線２０に送信する。

スイッチ１０は、例えばＡＣＣ（Ａｄａｐｔｉｖｅ Ｃｒｕｉｓｅ Ｃｏｎｔｒｏｌ）等の先進運転者支援システム（ＡＤＡＳ：Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ Ａｓｓｉｓｔａｎｃｅ Ｓｙｓｔｅｍ）のオン・オフを切り替えるためのユーザインタフェースである。なお、ＡＣＣは、車間距離及び車速等に応じて、車両のアクセル操作及びブレーキ操作を自動で行う機能である。スイッチ１０は、例えば車両のインストルメントパネル等に配置され、車両の運転者により操作される。運転者は、例えばＡＤＡＳを機能させたい場合には、スイッチ１０を操作することによりＡＤＡＳをオンし、ＡＤＡＳを機能させたくない場合には、スイッチ１０を操作することによりＡＤＡＳをオフする。スイッチ１０は、ＡＤＡＳ起動スイッチ１２に接続されている。スイッチ１０は、ＡＤＡＳのオン・オフを示すスイッチ信号をＡＤＡＳ起動スイッチ１２に出力する。

ＡＤＡＳ起動スイッチ１２は、スイッチ１０からのスイッチ信号に基づいて車両状態信号（以下、「車両状態信号Ｂ」という）を送信するＥＣＵであり、第３の電子制御装置及びセンサ制御装置の一例である。ＡＤＡＳ起動スイッチ１２は、ＣＡＮバス４に接続されており、車両状態信号ＢをＣＡＮバス４に送信する。

車両状態信号Ｂは、車両の状態に関する情報を示すＣＡＮメッセージであり、状態信号の一例である。具体的には、車両状態信号Ｂは、ＡＤＡＳのオン・オフに関する情報を示すＣＡＮメッセージである。

ＡＤＡＳ起動スイッチ１２は、運転者によるスイッチ１０の操作によりＡＤＡＳがオンされた場合に、ＡＤＡＳがオンであることを示す車両状態信号ＢをＣＡＮバス４に送信する。また、ＡＤＡＳ起動スイッチ１２は、運転者によるスイッチ１０の操作によりＡＤＡＳがオフされた場合に、ＡＤＡＳがオフであることを示す車両状態信号ＢをＣＡＮバス４に送信する。

ＡＤＡＳ制御ＥＣＵ１４は、車両状態信号Ａ及び車両状態信号Ｂがそれぞれ対応する条件を満たす場合に、制御指示信号を送信するＥＣＵであり、第１の電子制御装置及び電子制御装置の一例である。ＡＤＡＳ制御ＥＣＵ１４は、ＣＡＮバス４に接続されるとともに、専用線２０を介してセンサＥＣＵ８に接続されている。ＡＤＡＳ制御ＥＣＵ１４は、受信部２４と、送信部２６とを有している。ＡＤＡＳ制御ＥＣＵ１４の受信部２４は、専用線２０を介して、センサＥＣＵ８から送信された車両状態信号Ａを受信する。ここで、車両状態信号Ａは、専用線２０を介して、センサＥＣＵ８とＡＤＡＳ制御ＥＣＵ１４の受信部２４との間でのみ送受信される。また、ＡＤＡＳ制御ＥＣＵ１４の受信部２４は、ＣＡＮバス４を介して、ＡＤＡＳ起動スイッチ１２から送信された車両状態信号Ｂを受信する。

図２に示すように、車両状態信号Ａが「前方車両あり」という条件を満たし、且つ、車両状態信号Ｂが「ＡＤＡＳオン」という条件を満たす場合に、ＡＤＡＳ制御ＥＣＵ１４の送信部２６は、制御指示信号をＣＡＮバス４に送信する。また、車両状態信号Ａ及び車両状態信号Ｂの少なくとも一方が対応する条件を満たさない場合には、ＡＤＡＳ制御ＥＣＵ１４の送信部２６は、制御指示信号をＣＡＮバス４に送信しない。

なお、車両状態信号Ａが「前方車両あり」という条件を満たし、且つ、車両状態信号Ｂが「ＡＤＡＳオン」という条件を満たす場合において、「制御指示信号を送信する」とは、単に制御指示信号を送信する場合だけでなく、制御指示信号の値を有効値にした状態で、当該有効値の制御指示信号を送信する場合も含むものとする。また、車両状態信号Ａ及び車両状態信号Ｂの少なくとも一方が対応する条件を満たさない場合において、「制御指示信号を送信しない」とは、単に制御指示信号を送信しない場合だけでなく、制御指示信号の値を無効値又は初期値にした状態で、当該無効値又は初期値の制御指示信号を送信する場合も含むものとする。

アクチュエータ１６は、車両を駆動するための機構である。アクチュエータ１６は、例えば、ａ）アクセルを駆動するためのアクセルアクチュエータ、ｂ）ブレーキを駆動するためのブレーキアクチュエータ、ｃ）ステアリングを駆動するためのステアリングアクチュエータ、及び、ｄ）エンジンを駆動するためのエンジンアクチュエータ等である。アクチュエータ１６は、アクチュエータＥＣＵ１８に接続されている。

アクチュエータＥＣＵ１８は、ＡＤＡＳ制御ＥＣＵ１４からの制御指示信号に基づいて車両の駆動に関する制御を行うＥＣＵであり、第２の電子制御装置の一例である。具体的には、アクチュエータＥＣＵ１８は、ＡＤＡＳ制御ＥＣＵ１４からの制御指示信号に基づいて、アクチュエータ１６を制御する。アクチュエータＥＣＵ１８は、ＣＡＮバス４に接続されており、ＣＡＮバス４を介して、ＡＤＡＳ制御ＥＣＵ１４から送信された制御指示信号を受信する。例えば、アクチュエータ１６がステアリングアクチュエータである場合には、アクチュエータＥＣＵ１８は、ＡＤＡＳ制御ＥＣＵ１４からの制御指示信号に基づいてアクチュエータ１６を制御することにより、ステアリングの操舵を制御する。

［２．電子制御システムの動作］
［２−１．正常時における電子制御システムの動作］
次に、図１及び図３を参照しながら、車両が攻撃を受けていない正常時における、電子制御システム２の動作について説明する。図３は、車両が攻撃を受けていない正常時における、実施の形態に係る電子制御システム２の動作を示すシーケンス図である。

以下、運転者が、ＡＣＣの機能として、前方車両が存在する時に前方車両との車間距離を一定に保つ制御を行う「定車間距離走行」の機能をオンさせる場合について説明する。この定車間距離走行の機能は、ａ）前方車両が存在し、且つ、ｂ）ＡＤＡＳがオンされた場合（すなわち、車両状態信号Ａ及び車両状態信号Ｂがともに対応する条件を満たす場合）に発動する。

図１及び図３に示すように、センサＥＣＵ８は、自車両と前方車両との間の車間距離が上記所定距離未満である場合に、前方車両が存在することを示す車両状態信号Ａを、専用線２０に送信する（Ｓ１０１）。ＡＤＡＳ制御ＥＣＵ１４は、専用線２０を介して、センサＥＣＵ８から送信された車両状態信号Ａを受信する（Ｓ１０２）。

ＡＤＡＳ起動スイッチ１２は、運転者によるスイッチ１０の操作によりＡＤＡＳがオンされた場合に、ＡＤＡＳがオンであることを示す車両状態信号ＢをＣＡＮバス４に送信する（Ｓ１０３）。ＡＤＡＳ制御ＥＣＵ１４は、ＣＡＮバス４を介して、ＡＤＡＳ起動スイッチ１２から送信された車両状態信号Ｂを受信する（Ｓ１０４）。

ＡＤＡＳ制御ＥＣＵ１４は、車両状態信号Ａが「前方車両あり」という条件を満たし、且つ、車両状態信号Ｂが「ＡＤＡＳオン」という条件を満たすと判定する（Ｓ１０５）。ＡＤＡＳ制御ＥＣＵ１４は、当該判定結果に基づいて、「定車間距離走行を行うようにアクチュエータＥＣＵ１８を制御する必要あり」と判断し、アクチュエータＥＣＵ１８に対して定車間距離走行を行うように指示するための制御指示信号をＣＡＮバス４に送信する（Ｓ１０６）。

アクチュエータＥＣＵ１８は、ＣＡＮバス４を介して、ＡＤＡＳ制御ＥＣＵ１４から送信された制御指示信号を受信する（Ｓ１０７）。アクチュエータＥＣＵ１８は、ＡＤＡＳ制御ＥＣＵ１４からの制御指示信号に基づいて、定車間距離走行を行うようにアクチュエータ１６（例えば、アクセルアクチュエータ及びブレーキアクチュエータ等）を制御する（Ｓ１０８）。

［２−２．異常時における電子制御システムの動作］
次に、図４及び図５を参照しながら、車両が攻撃を受けた異常時における、電子制御システム２の動作について説明する。図４は、車両が攻撃を受けた異常時における、実施の形態に係る電子制御システム２の構成を示すブロック図である。図５は、車両が攻撃を受けた異常時における、実施の形態に係る電子制御システム２の動作を示すシーケンス図である。なお、説明の都合上、図４では、上述した受信部２４及び送信部２６の図示を省略してある。

以下、悪意のある第三者が、ＡＤＡＳ制御ＥＣＵ１４に対して車両状態信号Ａを偽装した不正なＣＡＮメッセージを送信することにより、ＡＤＡＳ制御ＥＣＵ１４に制御指示信号を誤送信させる攻撃を試みる場合について説明する。図４に示すように、悪意のある第三者により、車両を攻撃するための不正ＥＣＵ２２がＣＡＮバス４に接続されている。

図５に示すように、センサＥＣＵ８は、前方車両が存在しないことを示す車両状態信号Ａを、専用線２０に送信する（Ｓ２０１）。ＡＤＡＳ制御ＥＣＵ１４は、専用線２０を介して、センサＥＣＵ８から送信された車両状態信号Ａを受信する（Ｓ２０２）。

図４及び図５に示すように、不正ＥＣＵ２２は、センサＥＣＵ８になりすまして、前方車両が存在することを示す不正な車両状態信号ＡをＣＡＮバス４に送信する（Ｓ２０３）。すなわち、実際には前方車両が存在しないにも拘らず、前方車両が存在することを示す不正な車両状態信号ＡがＣＡＮバス４に送信される。ＡＤＡＳ制御ＥＣＵ１４は、不正ＥＣＵ２２から送信された不正な車両状態信号Ａを、専用線２０を介して送信されてきたものではないとして破棄する（Ｓ２０４）。

ＡＤＡＳ制御ＥＣＵ１４は、車両状態信号Ａが「前方車両あり」という条件を満たしていないと判定する（Ｓ２０５）。この時、ＡＤＡＳ制御ＥＣＵ１４は、ＡＤＡＳ制御スイッチ１２からＡＤＡＳがオンであることを示す車両状態信号Ｂを受信した場合であっても、当該判定結果に基づいて、「定車間距離走行を行うようにアクチュエータＥＣＵ１８を制御する必要無し」と判断する。そのため、ＡＤＡＳ制御ＥＣＵ１４は、アクチュエータＥＣＵ１８に対して定車間距離走行を行うように指示するための制御指示信号をＣＡＮバス４に送信しない（Ｓ２０６）。

これにより、ＡＤＡＳ制御ＥＣＵ１４は、「定車間距離走行を行うようにアクチュエータＥＣＵ１８を制御する必要あり」と誤判断することがないため、運転者の意図に反して定車間距離走行が不正に行われることがない。

［３．効果］
上述したように、車両状態信号Ａは、専用線２０を介してセンサＥＣＵ８とＡＤＡＳ制御ＥＣＵ１４との間でのみ送受信される。これにより、不正ＥＣＵ２２が、センサＥＣＵ８になりすまして、前方車両が存在することを示す不正な車両状態信号Ａを送信した場合であっても、ＡＤＡＳ制御ＥＣＵ１４は、当該不正な車両状態信号Ａを、専用線２０を介して送信されてきたものではないとして破棄することができる。すなわち、実際には前方車両が存在しないにも拘らず、前方車両が存在することを示す不正な車両状態信号ＡがＡＤＡＳ制御ＥＣＵ１４により受信されるのを回避することができる。

その結果、運転者の意図に反して、ＡＤＡＳがオンされて定車間距離走行が不正に行われるのを回避することができ、電子制御システム２におけるセキュリティ対策を高めることができる。

（変形例等）
以上、一つ又は複数の態様に係る電子制御システム、電子制御装置及び制御方法について、上記実施の形態に基づいて説明したが、本開示は、上記実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思い付く各種変形を上記実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、一つ又は複数の態様の範囲内に含まれてもよい。

上記実施の形態では、本開示に係る電子制御システムの適用例として、自動車等の車両に搭載される車載ネットワークにおけるセキュリティ対策への適用について説明したが、本開示に係る電子制御システムの適用範囲はこれに限定されない。本開示に係る電子制御システムは、自動車等の車両に限定されず、例えば、建機、農機、船舶、鉄道又は飛行機等の任意のモビリティに適用してもよい。

上記実施の形態では、センサＥＣＵ８とＡＤＡＳ制御ＥＣＵ１４とを専用線２０で接続したが、これに限定されず、センサＥＣＵ８とＡＤＡＳ制御ＥＣＵ１４とを専用線２０で接続するとともに、ＡＤＡＳ起動スイッチ１２とＡＤＡＳ制御ＥＣＵ１４とを別の専用線で接続してもよい。これにより、車両状態信号Ａが専用線２０を介してセンサＥＣＵ８とＡＤＡＳ制御ＥＣＵ１４との間でのみ送受信されるとともに、車両状態信号Ｂが別の専用線を介してＡＤＡＳ起動スイッチ１２とＡＤＡＳ制御ＥＣＵ１４との間でのみ送受信される。その結果、電子制御システム２におけるセキュリティ対策をより一層高めることができる。

上記実施の形態では、センサＥＣＵ８が車両状態信号Ａを専用線２０に送信するようにしたが、これに限定されず、センサＥＣＵ８が車両状態信号Ａを専用線２０に送信するとともに、ＣＡＮバス４に送信するようにしてもよい。この場合、例えばアクチュエータＥＣＵ１８は、ＣＡＮバス４を介して、センサＥＣＵ８から送信された車両状態信号Ａを受信してもよい。但し、ＡＤＡＳ制御ＥＣＵ１４は、センサＥＣＵ８からＣＡＮバス４に送信された車両状態信号Ａについては受信しないように構成されていることが好ましい。

上記実施の形態では、センサＥＣＵ８を専用線２０に接続するとともにＣＡＮバス４に接続したが、これに限定されず、センサＥＣＵ８をＣＡＮバス４に接続せず、専用線２０のみに接続してもよい。

上記実施の形態では、第３の電子制御装置（センサ制御装置）として２つのＥＣＵ（センサＥＣＵ８及びＡＤＡＳ起動スイッチ１２）を設けたが、これに限定されず、３つ以上のＥＣＵを設けてもよい。この場合、第３の電子制御装置（センサ制御装置）を構成する複数のＥＣＵのうち少なくとも１つのＥＣＵを、専用線２０を介してＡＤＡＳ制御ＥＣＵ１４に接続すればよい。

上記実施の形態では、センサ６をＬｉＤＡＲで構成したが、これに限定されず、例えばミリ波センサ又はカメラセンサ等の任意のセンサで構成してもよい。

上記実施の形態では、車両状態信号Ａを車間距離に関する情報（前方車両の有無に関する情報）を示すＣＡＮメッセージとしたが、これに限定されず、例えば自車速度に関する情報等を示すＣＡＮメッセージとしてもよい。

上記実施の形態では、運転者が、ＡＣＣの機能として定車間距離走行の機能をオンさせる場合について説明したが、これに限定されず、ＡＣＣの機能として、例えば前方車両が存在しない時に自車速度を一定に保つ制御を行う「定車速走行」の機能をオンさせてもよい。この定車速走行の機能は、ａ）前方車両が存在せず、且つ、ｂ）自車速度が一定値以上であり、且つ、ｃ）ＡＤＡＳがオンされた場合に発動する。この場合、第３の電子制御装置（センサ制御装置）として、センサＥＣＵ８及びＡＤＡＳ起動スイッチ１２に加えて、車速センサからのセンサデータに基づいて自車速度に関する情報を示す車両状態信号Ｃを送信するセンサＥＣＵを設ければよい。車両状態信号Ａが「前方車両あり」という条件を満たし、且つ、車両状態信号Ｂが「ＡＤＡＳオン」という条件を満たし、且つ、車両状態信号Ｃが「自車速度が一定値以上」という条件を満たす場合に、ＡＤＡＳ制御ＥＣＵ１４は、制御指示信号をＣＡＮバス４に送信する。

なお、上記実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵ又はプロセッサ等のプログラム実行部が、ハードディスク又は半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。

また、上記実施の形態に係る電子制御システムの機能の一部又は全てを、ＣＰＵ等のプロセッサがプログラムを実行することにより実現してもよい。

上記の各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしても良い。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしても良い。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしても良い。

本開示は、上記に示す方法であるとしても良い。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしても良いし、前記コンピュータプログラムからなるデジタル信号であるとしても良い。また、本開示は、前記コンピュータプログラム又は前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えばフレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ（登録商標） Ｄｉｓｃ）、半導体メモリ等に記録したものとしても良い。また、これらの記録媒体に記録されている前記デジタル信号であるとしても良い。また、本開示は、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしても良い。また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしても良い。また、前記プログラム又は前記デジタル信号を前記記録媒体に記録して移送することにより、又は前記プログラム又は前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしても良い。

本開示に係る電子制御システムは、例えば車両の運転操作を自動で行うためのシステム等に有用である。

２ 電子制御システム
４ ＣＡＮバス
６ センサ
８ センサＥＣＵ
１０ スイッチ
１２ ＡＤＡＳ起動スイッチ
１４ ＡＤＡＳ制御ＥＣＵ
１６ アクチュエータ
１８ アクチュエータＥＣＵ
２０ 専用線
２２ 不正ＥＣＵ
２４ 受信部
２６ 送信部

Claims (8)

1. モビリティを制御するための電子制御システムであって、
   前記モビリティに搭載されるモビリティネットワークと、
   前記モビリティの状態に関する情報を示す状態信号の通信のみに用いられる配線である専用線を介して前記状態信号を受信し、当該状態信号に基づいて制御指示信号を前記モビリティネットワークに送信する第１の電子制御装置と、
   前記モビリティネットワークを介して前記第１の電子制御装置から送信された前記制御指示信号を受信し、当該制御指示信号に基づいて前記モビリティの駆動に関する制御を行う第２の電子制御装置と、を備える
   電子制御システム。
2. 前記第２の電子制御装置は、前記モビリティネットワークを介して前記第１の電子制御装置から送信された前記制御指示信号を受信し、当該制御指示信号に基づいて前記モビリティを駆動するためのアクチュエータを制御する
   請求項１に記載の電子制御システム。
3. 前記電子制御システムは、さらに、前記第１の電子制御装置と前記専用線を介して接続され、前記状態信号を前記専用線を介して前記第１の電子制御装置に送信するセンサ制御装置を備える
   請求項１又は２に記載の電子制御システム。
4. 前記電子制御システムは、さらに、各々が前記状態信号を送信する複数の第３の電子制御装置を備え、
   前記複数の第３の電子制御装置のうち一部の第３の電子制御装置は、前記専用線を介して前記第１の電子制御装置に接続され、
   前記複数の第３の電子制御装置のうち他の第３の電子制御装置は、前記モビリティネットワークに接続される
   請求項１又は２に記載の電子制御システム。
5. 前記第１の電子制御装置は、前記複数の第３の電子制御装置からそれぞれ送信された複数の前記状態信号を受信し、当該複数の状態信号がそれぞれ対応する条件を満たす場合に、前記制御指示信号を前記モビリティネットワークに送信する
   請求項４に記載の電子制御システム。
6. モビリティに搭載されるモビリティネットワークに接続された電子制御装置であって、
   前記モビリティの状態に関する情報を示す状態信号の通信のみに用いられる配線である専用線を介して、前記状態信号を受信する受信部と、
   前記モビリティの駆動に関する制御を行う他の電子制御装置に対して、当該他の電子制御装置が前記モビリティの駆動に関する制御を行うための制御指示信号を、前記モビリティネットワークを介して送信する送信部と、を備える
   電子制御装置。
7. モビリティを制御するための電子制御システムにおける制御方法であって、
   前記電子制御システムは、
   前記モビリティに搭載されるモビリティネットワークと、
   前記モビリティの状態に関する情報を示す状態信号の通信のみに用いられる配線である専用線に接続され、且つ、前記モビリティネットワークに接続された第１の電子制御装置と、
   前記モビリティネットワークに接続された第２の電子制御装置と、を備え、
   前記制御方法は、
   前記第１の電子制御装置が、前記専用線を介して前記状態信号を受信するステップと、
   前記第１の電子制御装置が、前記状態信号に基づいて制御指示信号を前記モビリティネットワークに送信するステップと、
   前記第２の電子制御装置が、前記モビリティネットワークを介して前記第１の電子制御装置から送信された前記制御指示信号を受信するステップと、
   前記第２の電子制御装置が、前記制御指示信号に基づいて前記モビリティの駆動に関する制御を行うステップと、を含む
   制御方法。
8. 請求項７に記載の制御方法をコンピュータに実行させる
   プログラム。

Images