JP2021163978A - 車載通信システム及び通信制御方法 - Google Patents

Abstract

【課題】追加する部品の増加に起因するコストアップを抑制しつつ、不正な電子制御ユニットがシステム全体や他の電子制御ユニットに対して悪影響を及ぼすのを防止すること。【解決手段】車両のＩＧ−ＯＮ時等の診断処理において、セントラルゲートウェイ、ゾーン制御部、スイッチングハブ等がルーティングマップに登録されている内容に基づいて、ワイヤハーネスに接続されている不正ＥＣＵや、なりすましＥＣＵを検知し、問題箇所の通信を遮断する。更に、ルーティングマップの内容を書き換え、安全を確保するために運転者に報知する。なりすましＥＣＵを検知するために、定期的に繰り返し診断処理を実行して各ＥＣＵの通信を監視する。実際の通信状況がルーティングマップの内容と比べて大きく異なるかどうかを判別する。【選択図】図４

Description

本発明は、車載通信システム及び通信制御方法に関し、特に不正な装置の悪影響を排除するための技術に関する。

自動車などの車両においては、一般的に車両に搭載されている様々な電装品が、１つのワイヤハーネスを介して互いに接続されている。通常は、車載バッテリーからの電源電力がワイヤハーネスに含まれる電源線を経由して各電装品に供給される。また、ワイヤハーネスに含まれる通信線は、ＣＡＮ (Controller Area Network)などの１つ以上の通信網を形成し、電子制御ユニット（ＥＣＵ）のように通信機能を有する多数の電装品の間を互いに接続する共通の通信バスとして利用されている。

電子制御ユニットなどの各電装品は、ワイヤハーネスの末端に配置されたコネクタに接続することができる。ワイヤハーネス接続された各電子制御ユニットは、車載通信システムの一部分を形成するので、システム全体や他の電子制御ユニットに対して影響を及ぼすことになる。

正規の製造元が製造した正規の電子制御ユニットは、車両の設計者が意図した仕様の動作だけを行うので、システム全体や他の電子制御ユニットに対して悪影響を及ぼすことはない。

しかし、例えば１つの正規の電子制御ユニットを交換しようとする際に、正規の電子制御ユニットの代わりに、正規の製造元とは異なる製造元が製造した不正な電子制御ユニットがワイヤハーネスに接続される可能性も考えられる。そのような場合は、不正な電子制御ユニットがシステム全体や他の電子制御ユニットに対して悪影響を及ぼすことが考えられる。

そこで、例えば特許文献１の通信遮断システムは、不正なＥＣＵが車載ネットワークシステム上にある場合に、その動作の悪影響の拡散を抑えて安全性をより高めるための技術を示している。

特許文献１では、通信遮断システムは、複数の通信装置及び通信線を各々含む複数のグループの間でデータの送受信が可能な車載ネットワークシステムにおいて、通信線を介して、第１のグループに含まれる通信装置の少なくとも一部からデータを受信する通信部と、通信部が受信したデータに基づいて第１のグループでの通信異常を検出し、検出した通信異常の内容に基づいて、グループ間での所定の通信遮断を実行するか否かを決定する判断部と、決定されたこの所定の通信遮断を実行する切替部とを備え、所定の通信遮断には、第１のグループから送信されるデータの第１のグループ以外のグループへの流入の遮断が含まれる。

特開２０１９−１８０００５号公報

特許文献１の技術を採用することにより、不正な電子制御ユニットがシステム全体や他の電子制御ユニットに対して悪影響を及ぼすのを防止できる。しかしながら、特許文献１の技術を採用する場合には、特許文献１に示されている通信部、判断部、及び切替部を含む複数の通信遮断システムを、車載システム上の複数箇所にそれぞれ追加的に接続しなければならない。したがって、車載システム全体のコストが大幅に上昇するのは避けられない。また、追加する各通信遮断システムを設置するために必要な新たな空間を、車両上で確保しなければならない。

また、例えばワイヤハーネスを介して車載ネットワークに接続された不正な電子制御ユニットが、正規の電子制御ユニットになりすますように巧妙に作られている場合には、これが不正な電子制御ユニットであることを車載ネットワーク側で自動的に検知するのは難しい。

本発明は、上述した事情に鑑みてなされたものであり、その目的は、追加する部品の増加に起因するコストアップを抑制しつつ、不正な電子制御ユニットがシステム全体や他の電子制御ユニットに対して悪影響を及ぼすのを防止することが可能な車載通信システム及び通信制御方法を提供することにある。

前述した目的を達成するために、本発明に係る車載通信システム及び通信制御方法は、下記（１）〜（５）を特徴としている。
（１） 通信経路の制御に利用されるルーティングマップを有する１つ以上のゲートウェイを具備し、前記ゲートウェイの下流側に接続された通信線が複数の経路に分岐する１つ以上の分岐部を有し、前記分岐部の下流側の通信線のそれぞれに固有のＩＤを有する制御ユニットが接続される車載通信システムであって、
下流側の通信を遮断可能な通信遮断部が前記分岐部に配置され、
前記ゲートウェイは、少なくともシステム起動開始時に、第１のルーティングマップを用いて通信を実施すると共に、前記第１のルーティングマップに基づいて前記分岐部の下流側の通信線に接続された各制御ユニットにおける不正の有無を検知し、
前記ゲートウェイは、前記不正を検知した場合に、不正が検知された第１の制御ユニットの上流側の前記分岐部でその下流側の通信を遮断し、使用するルーティングマップを前記第１のルーティングマップから、少なくとも前記第１の制御ユニットが通信対象から除外された第２のルーティングマップに切り替えることにより不正が検知された前記第１の制御ユニットを切り離す、
車載通信システム。

（２） 前記ゲートウェイは、前記第１のルーティングマップに基づいて、事前に登録されているＩＤとは異なる不正ＩＤが割り当てられている制御ユニットを、前記第１の制御ユニットとして自動的に認識する、
上記（１）に記載の車載通信システム。

（３） 前記ゲートウェイは、前記ルーティングマップに基づいて、前記分岐部の下流側に接続されている前記制御ユニットのそれぞれの通信状態を少なくとも定期的に監視し、
前記ゲートウェイは、通信状態が事前に定めた標準状態に対して大きく異なっている場合に、不正な動作又は攻撃を検知して、該当する前記制御ユニットをなりすましの不正な第２の制御ユニットとして認識し、
前記ゲートウェイは、第２の制御ユニットの上流側の前記分岐部でその下流側の通信を遮断し、使用するルーティングマップを前記第２のルーティングマップから、少なくとも前記第２の制御ユニットが通信対象から除外された第３のルーティングマップに切り替えることにより不正が検知された前記第２の制御ユニットを切り離す、
上記（１）又は（２）に記載の車載通信システム。

（４） 前記ゲートウェイは、前記分岐部の下流側に接続された１つ以上の前記制御ユニットの不正を検知した場合に、異常の発生を運転者に対して報知する報知部を備える、
上記（１）乃至（３）のいずれかに記載の車載通信システム。

（５） 通信経路の制御に利用されるルーティングマップを有する１つ以上のゲートウェイを具備し、前記ゲートウェイの下流側に接続された通信線が複数の経路に分岐する１つ以上の分岐部を有し、前記分岐部の下流側の通信線のそれぞれに固有のＩＤを有する制御ユニットが接続される車載通信システムを制御するための通信制御方法であって、
少なくともシステム起動開始時に、第１のルーティングマップを用いて通信を実施すると共に、前記第１のルーティングマップに基づいて前記分岐部の下流側の通信線に接続された各制御ユニットにおける不正の有無を検知し、
前記不正を検知した場合に、不正が検知された第１の制御ユニットの上流側の前記分岐部でその下流側の通信を遮断し、使用するルーティングマップを前記第１のルーティングマップから、少なくとも前記第１の制御ユニットが通信対象から除外された第２のルーティングマップに切り替えることにより不正が検知された前記第１の制御ユニットを切り離す、
通信制御方法。

上記（１）の構成の車載通信システムによれば、ゲートウェイがルーティングマップに基づいて不正な第１の制御ユニットを検知するので、不正検知用の特別なハードウェア要素を追加する必要がない。また、不正な第１の制御ユニットを検知した場合に、分岐部でその下流側の通信を遮断し、更に使用するルーティングマップを切り替えるので、不正な第１の制御ユニットを車載システムの通信網から確実に切り離すことができる。

上記（２）の構成の車載通信システムによれば、不正な第１の制御ユニットを容易に検知できる。すなわち、車両の設計上、ワイヤハーネスの各位置に接続されるＥＣＵの固有のＩＤや、バス上の通信において各ビットに割り当てられる固有のＩＤは予め決められている場合が多く、そのＩＤはルーティングマップの内容から認識できるので、このＩＤに基づいて実際に接続されている各々のＥＣＵが不正なＥＣＵか否かを認識できる。

上記（３）の構成の車載通信システムによれば、正規のＩＤを利用して正規のＥＣＵになりすますように構成された第２の制御ユニットがシステムに接続された場合でも、第２の制御ユニットを不正なＥＣＵであると認識して、システムから切り離すことができる。すなわち、不正なＥＣＵは、車載システムに対して攻撃を仕掛けて通信の負荷を増大させたり、通常とは異なる動作をする場合が多いので、その通信状態のパターンを周期的に監視して事前に定めた標準状態と比較することにより、異常の有無を認識できる。更に、ルーティングマップを切り替えることにより、なりすましの第２の制御ユニットをシステムの通信網から切り離すことができる。

上記（４）の構成の車載通信システムによれば、車載システム上に不正なＥＣＵが存在することを運転者に知らせて注意喚起できるので、不正なＥＣＵを取り外すように促すことができる。これにより、車両の安全を確保できる。

上記（５）の通信制御方法によれば、ルーティングマップに基づいて不正な第１の制御ユニットを検知するので、不正検知用の特別なハードウェア要素を追加する必要がない。また、不正な第１の制御ユニットを検知した場合に、分岐部でその下流側の通信を遮断し、更に使用するルーティングマップを切り替えるので、不正な第１の制御ユニットを車載システムの通信網から確実に切り離すことができる。

本発明の車載通信システム及び通信制御方法によれば、追加する部品の増加に起因するコストアップを抑制しつつ、不正な電子制御ユニットがシステム全体や他の電子制御ユニットに対して悪影響を及ぼすのを防止することが可能である。

以上、本発明について簡潔に説明した。更に、以下に説明される発明を実施するための形態（以下、「実施形態」という。）を添付の図面を参照して通読することにより、本発明の詳細は更に明確化されるであろう。

図１（ａ）及び図１（ｂ）は、それぞれ車両上に搭載した第１実施形態に係る通信システムの構成及び通信経路を表すブロック図である。 図２は、１つのジョイントコネクタ内部の電気回路を示す電気回路図である。 図３（ａ）及び図３（ｂ）は、第１実施形態に係る通信システムにおける２種類のルーティングマップ状態遷移を表す状態遷移図である。 図４は、第１実施形態に係る通信システムにおけるイグニッションオン時のセントラルゲートウェイの動作例を示すフローチャートである。 図５は、第１実施形態に係る通信システムにおいてセントラルゲートウェイが定期的に実施する動作の例を示すフローチャートである。 図６（ａ）及び図６（ｂ）は、それぞれ車両上に搭載した第２実施形態に係る通信システムの構成及び通信経路を表すブロック図である。 図７は、第２実施形態に係る通信システムにおけるイグニッションオン時のゾーン制御部の動作例を示すフローチャートである。 図８は、第２実施形態に係る通信システムにおいてゾーン制御部が定期的に実施する動作の例を示すフローチャートである。 図９（ａ）及び図９（ｂ）は、それぞれ車両上に搭載した第３実施形態の通信システムの構成及び通信経路を表すブロック図である。

本発明に関する具体的な実施形態について、各図を参照しながら以下に説明する。

＜第１実施形態＞
＜通信システムの構成＞
図１（ａ）及び図１（ｂ）は、それぞれ車両上に搭載した第１実施形態に係る通信システム１００の構成及び通信経路を表すブロック図である。なお、図１（ａ）及び図１（ｂ）において各構成要素は車体を上方から視た平面におけるレイアウトと略同じになるように配置してある。

また、図１（ａ）及び図１（ｂ）において、左側が車体１０の前方、右側が車体１０の後方を表している。また、４つのドア１０ａ、１０ｂ、１０ｃ、および１０ｄが車体１０の左右に配置されている。

図１（ａ）に示すように、車体１０上の様々な箇所に、電装品である様々なＥＣＵ１８Ａ、１８Ｂ、１８Ｃ、１８Ｄ、１８Ｅ、１８Ｆ、１８Ｇ、１８Ｈ、１８Ｉ、１８Ｊ、１８Ｋ、及び１８Ｌが設置されている。

各ＥＣＵ１８Ａ〜１８Ｌは、それぞれＣＡＮ規格の通信機能、及びマイクロコンピュータ（ＣＰＵ）を主体とする制御回路を内蔵する電子制御ユニットとして構成されている。各ＥＣＵ１８Ａ〜１８Ｌは、互いに異なる機能を有している。各ＥＣＵ１８Ａ〜１８Ｌは、通信システム１００を経由して有線で通信することができる。

２系統の幹線１２及び１３は、それぞれＣＡＮの通信規格に対応した通信用の伝送路であり、例えば２本の通信線、電源線、及びアース線により構成される。勿論、電源線、及びアース線は別体として用意してもよい。また、ＣＡＮと同様のバス型のネットワークを利用するＣＡＮ ＦＤ（Flexible Data rate）など他の通信規格をＣＡＮの代わりに採用してもよい。

図１（ａ）に示すように、この通信システム１００は、通信経路を制御するためにセントラルゲートウェイ（Ｇ／Ｗ）１１を備えている。セントラルゲートウェイ１１は、車体１０上の通信系で最も上位に位置する権限を有する制御部であり、ファイアウォールなどセキュリティに関する特別な機能や、システムの状態を運転者に伝達するための機能も内蔵している。

ゲートウェイは、その管理下にある様々な通信経路を制御する機能を有している。セントラルゲートウェイ１１は、適切な通信経路の制御を可能にするために、後述するルーティングマップを内蔵している。セントラルゲートウェイ１１は、このルーティングマップに基づいて、通信経路を制御する。また、セントラルゲートウェイ１１は、必要に応じてルーティングマップの内容を書き換える。

図１（ａ）の構成では、セントラルゲートウェイ１１のＣＡＮ規格の１つの通信ポートに幹線１２の先端１２ａが接続され、セントラルゲートウェイ１１のもう１つの通信ポートに幹線１３の先端１３ａが接続されている。

図示しないが、セントラルゲートウェイ１１は、ＣＡＮの規格に対応した複数の通信インタフェース、ルーティングマップ、及びマイクロコンピュータを主体とする制御回路を有し、最上位のＥＣＵとして通信システム１００全体を制御する。したがって、通信システム１００上のＥＣＵ１８Ａ〜１８Ｌ等が通信するための通信経路は、通常はセントラルゲートウェイ１１内のルーティングマップの内容により決定される。

ルーティングマップに割り当てられる内容は、セントラルゲートウェイ１１から幹線１２又は１３、１つ以上のジョイントコネクタ１４〜１７、枝線１９等を経由して各々のＥＣＵ１８Ａ〜１８Ｋ等に到達するまでの通信経路を表す情報を含み、通信するノード毎に個別に経路が割り当てられる。

図１（ａ）の構成においては、幹線１２の途中に１つのジョイントコネクタ（Ｊ／Ｃ）１４が接続され、幹線１２の末端にジョイントコネクタ１６が接続されている。また、ジョイントコネクタ１４と各ＥＣＵ１８Ａ、１８Ｂ、１８Ｃの間は、それぞれ枝線１９を介して接続されている。各々の枝線１９は、それぞれ幹線１２と比べて細い電線で構成される２本の通信線、電源線、及びアース線を含んでいる。また、ジョイントコネクタ１６と各ＥＣＵ１８Ｊ、１８Ｋ、１８Ｌとの間が、それぞれ枝線１９を経由して接続されている。

また、幹線１３の途中に１つのジョイントコネクタ１５が接続され、幹線１３の末端にジョイントコネクタ１７が接続されている。また、ジョイントコネクタ１５と各ＥＣＵ１８Ｄ、１８Ｅ、１８Ｆの間は、それぞれ枝線１９を介して接続されている。また、ジョイントコネクタ１７と各ＥＣＵ１８Ｇ、１８Ｈ、１８Ｉの間が、それぞれ枝線１９を経由して接続されている。

各ジョイントコネクタ１４〜１７は、各ＥＣＵ１８Ａ〜１８Ｌ等の電装品を接続するための枝線１９と各幹線１２、１３とを物理的及び電気的に連結するための中間部品である。また、本実施形態の通信システム１００においては、各ジョイントコネクタ１４〜１７は、その下流側の通信を遮断するための機能を内蔵している。

特別な問題が発生していない通常の状態では、図１（ｂ）に示すような各通信経路２３、２４を利用して通信することができる。例えば、幹線１２の末端に接続されているＥＣＵ１８Ｋと、幹線１３の末端に接続されているＥＣＵ１８Ｈとの間で通信する場合には、ジョイントコネクタ１６とセントラルゲートウェイ１１とを接続する通信経路２３と、セントラルゲートウェイ１１とジョイントコネクタ１７とを接続する通信経路２４とを利用して通信経路を確保できる。

このような利用可能な通信経路の情報は、通常は予め決定してセントラルゲートウェイ１１上のルーティングマップに予め登録してあるので、通信を開始する時にセントラルゲートウェイ１１がすぐに通信経路を決めることができる。

＜不正ＥＣＵ等の説明＞
ところで、例えば図１（ａ）に示したＥＣＵ１８Ｋが故障したような場合には、車両のディーラーや、修理業者の工場などにおいて、あるいはこの車両のユーザ自身が、故障したＥＣＵ１８Ｋを取り外して、代わりに別のＥＣＵを取り付ける必要がある。ここで、車両メーカの定めた仕様を満たす正規ＥＣＵの代わりに、その仕様とは無関係に任意の業者が製造した不正ＥＣＵ２０Ａが取り付けられる可能性が考えられる。

また、例えばワイヤハーネス上の所定のコネクタを介して通信システム１００に新たに接続された不正なＥＣＵが、正規のＥＣＵになりすますように巧妙に作られたなりすましＥＣＵ２０Ｂである可能性もある。

不正ＥＣＵ２０Ａは、正規ＥＣＵの仕様をあまり考慮することなく製造されているので、例えばそれが使用するＩＤなどの違いにより、セントラルゲートウェイ１１は不正を検知することが可能である。一方、なりすましＥＣＵ２０Ｂは、正規ＥＣＵの仕様を考慮して製造されるため、例えば正規ＥＣＵに割り当てたＩＤと同じＩＤを使って正規ＥＣＵになりすますように動作することが想定される。したがって、なりすましＥＣＵ２０Ｂを検知するのは難しいが、本実施形態では後述するようにセントラルゲートウェイ１１はなりすましＥＣＵ２０Ｂも検知できる。

＜ジョイントコネクタ内部の電気回路＞
図２は、１つのジョイントコネクタ１６内部の電気回路を示す電気回路図である。
図１（ａ）、図１（ｂ）に示した通信システム１００においては、図２のように、幹線１２の末端にジョイントコネクタ１６が接続されている。また、ジョイントコネクタ１６の内部では、幹線１２の末端に共通の接続部２９を介して複数の枝線１９が連結されている。

したがって、各枝線１９の下流側に接続されるＥＣＵ等の電装品は、ジョイントコネクタ１６を介して幹線１２と接続し、通信システム１００上で通信を行うことができる。

図２に示すジョイントコネクタ１６は、幹線１２の接続を途中で遮断するためのスイッチ２２を内部に備えている。このスイッチ２２は、例えばリレーのように開閉制御が可能な接点を有する部品、あるいは接点のない半導体スイッチなどの部品を用いて構成されている。

また、ジョイントコネクタ１６は、遮断指示受信部２１の電気回路を内部に備えている。この遮断指示受信部２１は、セントラルゲートウェイ１１等が幹線１２上に送出するジョイントコネクタ１６宛ての「遮断指示」の信号を受信可能に構成され、「遮断指示」に従って、スイッチ２２のオンオフを切り替えることができる。スイッチ２２は、通常はオン（接点閉）であり、「遮断指示」があるとオフ（接点開）に切り替わる。

本実施形態では、通信システム１００の各ジョイントコネクタ１４〜１７のそれぞれに、図２の構成と同様に遮断指示受信部２１及びスイッチ２２が組み込まれている。各ジョイントコネクタ１４〜１７内のスイッチ２２は、不正ＥＣＵ２０ＡやなりすましＥＣＵ２０Ｂを通信システム１００から遮断するために利用される。

＜ルーティングマップ状態遷移＞
図３（ａ）及び図３（ｂ）は、第１実施形態に係る通信システムにおける２種類のルーティングマップ状態遷移を表す状態遷移図である。

セントラルゲートウェイ１１上に存在する記憶装置であるマップ保持部５０は、様々な種類のルーティングマップを保持することができる。このルーティングマップについては、種類毎に予め用意した複数組のデータが予めマップ保持部５０上に保持されており、いずれか１種類のルーティングマップをセントラルゲートウェイ１１が状況の変化に合わせて逐次選択するように切り替える。勿論、必要に応じて情報を逐次追加したり変更することによりルーティングマップを切り替えることもできる。

図３（ａ）に示した例では、セントラルゲートウェイ１１により選択されるマップ保持部５０上のルーティングマップが、ルーティングマップ５１からルーティングマップ５２に切り替わり、更にルーティングマップ５２からルーティングマップ５３に切り替わる。すなわち、通常の状態では初期状態のルーティングマップ５１が選択され、不正ＥＣＵ２０Ａが検知されるとルーティングマップ５２が選択され、更にルーティングマップ５３の選択に切り替わる。

図３（ｂ）に示した例では、セントラルゲートウェイ１１により選択されるマップ保持部５０上のルーティングマップが、ルーティングマップ５１からルーティングマップ５４に切り替わり、更にルーティングマップ５２からルーティングマップ５５に切り替わる。すなわち、通常の状態では初期状態のルーティングマップ５１が選択され、なりすましＥＣＵ２０Ｂが検知されるとルーティングマップ５２が選択され、更にルーティングマップ５３の選択に切り替わる。

また、自車両のイグニッションがオンになりこの車載システムが起動する際には、セントラルゲートウェイ１１が保持しているルーティングマップに登録されている様々な情報のうち、必要とされる一部の情報が下流側の各ＥＣＵ１８Ａ〜１８Ｌにそれぞれ送信される。したがって、各ＥＣＵ１８Ａ〜１８Ｌはそれ自身が通信で使用するＣＡＮバス上の経路、通信先などの情報を把握し通信を開始することが可能である。

＜イグニッションオン時の動作＞
第１実施形態の通信システム１００におけるイグニッションオン（ＩＧ−ＯＮ）時のセントラルゲートウェイの動作例を図４に示す。すなわち、車両を利用するためにイグニッションをオンにしてこの車載システムを起動する際に、車両を使用する前の診断機能の一部として、図４の動作がセントラルゲートウェイ１１により１回だけ実行される。図４の動作について以下に説明する。

最初のステップＳ１１では、セントラルゲートウェイ１１は、マップ保持部５０上の選択しているルーティングマップ５１の内容に従って、この通信システム１００のジョイントコネクタ１４〜１７下流側に接続されている各ＥＣＵ１８Ａ〜１８Ｌとの間でそれぞれＣＡＮの通信を実行する。これにより、各ＥＣＵ１８Ａ〜１８Ｌのそれぞれに割り当てられている固有のＩＤをセントラルゲートウェイ１１が取得する。

次のＳ１２では、セントラルゲートウェイ１１は、ルーティングマップ５１上にあるノード毎の予め定めたＩＤと、Ｓ１１で受信したＩＤとをＥＣＵ毎に比較する。ここで、正規のＥＣＵだけが通信システム１００に接続されている場合には、Ｓ１２の比較結果が一致するが、車両の設計仕様を把握していない不正ＥＣＵ２０Ａが存在する場合には、Ｓ１２でＩＤの不一致等が発生する。

セントラルゲートウェイ１１は、ＩＤの不一致を検知するとＳ１３からＳ１４の処理に進み、ＩＤの不一致が検知されない場合は、Ｓ１８に進んで通常の動作を開始する。
Ｓ１４では、セントラルゲートウェイ１１は、ＩＤの不一致が検知された特定ノード位置のＥＣＵを不正ＥＣＵ２０Ａとして認識する。

次のＳ１５では、セントラルゲートウェイ１１は、検知された不正ＥＣＵ２０Ａの接続位置をルーティングマップ５１の内容から把握すると共に、その上流近傍にあるジョイントコネクタ１４〜１７のいずれかに対して、通信の遮断指示を送信する。

例えば、図１の通信システム１００において、ジョイントコネクタ１６の下流側で正規のＥＣＵ１８Ｋの代わりに不正ＥＣＵ２０Ａが接続されている時には、ジョイントコネクタ１６に対してセントラルゲートウェイ１１が遮断指示を送信する。これにより、ジョイントコネクタ１６内のスイッチ２２がオフに切り替わり、幹線１２が途中で切断されるためそれ以降のジョイントコネクタ１６下流側の通信が遮断される。

次のＳ１６で、セントラルゲートウェイ１１は、マップ保持部５０上での選択をルーティングマップ５１からルーティングマップ５２に切り替えるようにその内容を書き換える。ルーティングマップ５２の内容は、利用可能な通信経路の中から、不正ＥＣＵ２０Ａを検知したノード位置の通信経路を全て排除した内容に定められている。したがって、不正ＥＣＵ２０Ａを通信システム１００から確実に切り離すことができる。

更に、不正ＥＣＵ２０Ａが接続されている異常な状況を運転者に報知するために、セントラルゲートウェイ１１は、マップ保持部５０上での選択をルーティングマップ５２に切り替える。そして、Ｓ１７ではセントラルゲートウェイ１１は、ルーティングマップ５２の内容に従い、不正ＥＣＵ２０Ａが存在することを運転者に報知すると共に、車両の運転を開始しないように要請するための注意喚起を、例えば音声出力や画面上に表示するメッセージ等で実施する。これにより、異常な状態での車両の走行を中止できるので安全を確保できる。

＜定期的に実行される動作＞
第１実施形態の通信システム１００においてセントラルゲートウェイ１１が定期的に実施する動作の例を図５に示す。

すなわち、車載システムである通信システム１００が起動して車両が走行可能な状況になった後、車両の走行中であっても、車両及び乗員の安全を確保するために診断動作を周期的に実施する必要がある。その診断動作の一部として、図５の動作もセントラルゲートウェイ１１により周期的に繰り返し実行される。

なお、図５の動作を実行する時間間隔については、例えばミリ秒程度が想定される。また、この時間間隔は必ずしも一定である必要はなく、例えばなりすましＥＣＵ２０Ｂ側でそのタイミングを把握されないように時間間隔を例えばランダムに変更してもよい。

図５に示した動作はなりすましＥＣＵ２０Ｂを検知するために実行される。すなわち、なりすましＥＣＵ２０Ｂは車両の仕様を考慮して製造されるので、正規のＥＣＵに似た動作を行い、正規のＥＣＵと同じＩＤを使用する。そのため、なりすましＥＣＵ２０Ｂを図４に示した動作の診断によりシステム起動後の早い段階で発見するのは困難である。しかし、なりすましＥＣＵ２０Ｂは車両の走行中などの任意のタイミングにおいて、正規のＥＣＵとは大きく異なる動作を行うので、その動作を周期的に監視することで、セントラルゲートウェイ１１はなりすましＥＣＵ２０Ｂが、なりすましであることを認識可能である。図５の動作について以下に説明する。

セントラルゲートウェイ１１は、一定時間が経過する毎に、図５のステップＳ２１からＳ２２に進み以下の診断動作を実行する。
セントラルゲートウェイ１１は、Ｓ２２において、マップ保持部５０上で選択しているルーティングマップ５１に基づき、通信システム１００に接続されているＥＣＵ１８Ａ〜１８Ｌの各ノード位置における通信動作を監視して、通信状況を表す情報をＩＤ毎に個別に取得する。

セントラルゲートウェイ１１は、Ｓ２２で取得した各ＥＣＵの通信状況を、ルーティングマップ５１に予め登録されている「標準状態の情報」と個別に対比する。「標準状態の情報」の内容の代表例としては、例えば、信号毎の送出元のバスと宛先のバスとの対応関係、各ノードのＥＣＵが送出する信号の発生頻度、発生周期、情報量の違いなどが想定される。信号毎の送出元のバスと宛先のバスとの対応関係は、ビットアサイン表としてルーティングマップ５１上に用意されている。

例えば、なりすましＥＣＵ２０Ｂが車載システムの機能を麻痺させるために攻撃を仕掛けるような場合には、特定のバスに対して大量に信号を送出するような異常な動作を行うことが想定される。その場合、なりすましＥＣＵ２０Ｂによってバスが占有され、特に優先順位の低い他のＥＣＵがバスを使えなくなるため、車載システムの機能が大幅に低下したり機能不全に陥る可能性がある。

また、なりすましＥＣＵ２０Ｂが情報の収集を目的として動作する場合には、通常とは異なる様々な経路を使って、様々な情報に対するアクセスを繰り返す可能性があり、更に通常は使用しない通信経路を利用して車両外部に情報を送信する可能性もある。

上記のようななりすましＥＣＵ２０Ｂによる異常な動作は、正規の各ＥＣＵの標準的な動作とはパターンが大きく異なっている。そのため、Ｓ２２で取得した実際の通信状況と、ルーティングマップ５１上の「標準状態の情報」との間に大きな隔たりがある場合には、Ｓ２３の比較処理の結果としてなりすましＥＣＵ２０Ｂの存在を検知できる。

セントラルゲートウェイ１１は、Ｓ２３の比較により異常な通信状況を検知した場合は、Ｓ２４からＳ２５に進み、該当するノードに接続されているなりすましＥＣＵ２０Ｂを、なりすましとして認識する。なりすましＥＣＵ２０Ｂを検知しない場合は、Ｓ２４からＳ２９に進み、セントラルゲートウェイ１１は通常の動作を継続する。

次のＳ２６では、セントラルゲートウェイ１１は、検知されたなりすましＥＣＵ２０Ｂの接続位置をルーティングマップ５１の内容から把握すると共に、その上流近傍にあるジョイントコネクタ１４〜１７のいずれかに対して、通信の遮断指示を送信する。

例えば、図１の通信システム１００において、ジョイントコネクタ１７の下流側で正規のＥＣＵ１８Ｉの代わりになりすましＥＣＵ２０Ｂが接続されている時には、ジョイントコネクタ１７に対してセントラルゲートウェイ１１が遮断指示を送信する。これにより、ジョイントコネクタ１７内のスイッチ２２がオフに切り替わり、幹線１３が途中で切断されるためそれ以降のジョイントコネクタ１７下流側の通信が遮断される。

次のＳ２７で、セントラルゲートウェイ１１は、マップ保持部５０上での選択をルーティングマップ５１からルーティングマップ５４に切り替えるようにその内容を書き換える。ルーティングマップ５４の内容は、利用可能な通信経路の中から、なりすましＥＣＵ２０Ｂを検知したノード位置の通信経路を全て排除した内容に定められている。したがって、なりすましＥＣＵ２０Ｂを通信システム１００から確実に切り離すことができる。

更に、なりすましＥＣＵ２０Ｂが接続されている異常な状況を運転者に報知して、運転中の安全を確保する。そのために、セントラルゲートウェイ１１はマップ保持部５０上での選択をルーティングマップ５５に切り替える。そして、Ｓ２８ではセントラルゲートウェイ１１はルーティングマップ５５の内容に従い、なりすましＥＣＵ２０Ｂが存在することを運転者に報知すると共に、安全な場所で自車両を停止させるように要請するための注意喚起を、例えば音声出力や画面上に表示するメッセージ等で実施する。これにより、異常な状態での車両の走行を最小限にとどめることが可能になり、安全を確保できる。

セントラルゲートウェイ１１が図５に示した動作を繰り返し実行することにより、なりすましＥＣＵ２０Ｂが任意のタイミングで攻撃を仕掛ける場合でも、その異常を確実に検知可能である。

また、なりすましＥＣＵ２０Ｂにおける異常な動作パターンを検知するための「標準状態の情報」はＥＣＵ１８Ａ〜１８Ｌのそれぞれの特性に基づいて個別に決めた情報をＥＣＵの種類毎にルーティングマップ５１に登録できるので、なりすましＥＣＵ２０Ｂを高精度で検知できる。

＜第２実施形態＞
＜通信システムの構成＞
図６（ａ）及び図６（ｂ）は、それぞれ車両上に搭載した第２実施形態に係る通信システム１００Ｂの構成及び通信経路を表すブロック図である。なお、図６（ａ）及び図６（ｂ）において、各構成要素は車体を上方から視た状態の平面におけるレイアウトと略同じになるように配置してある。

また、図６（ａ）及び図６（ｂ）において、左側が車体１０の前方、右側が車体１０の後方を表している。また、４つのドア１０ａ、１０ｂ、１０ｃ、および１０ｄが車体１０の左右に配置されている。

図６（ａ）に示すように、車体１０上の様々な箇所に、電装品である様々な種類のＥＣＵ１８が設置されている。各ＥＣＵ１８は、それぞれＣＡＮ規格の通信機能、及びマイクロコンピュータを主体とする制御回路を内蔵する電子制御ユニットとして構成されている。各ＥＣＵ１８は、それぞれ所定の機能を有している。各ＥＣＵ１８は、通信システム１００Ｂを経由して有線で通信することができる。

図６（ａ）の通信システム１００Ｂにおいては、設計上、車体１０内の領域が中央付近で左右方向に分割され、２つのゾーンを形成している。そして、右側のゾーンを管理するためにゾーン制御部３１が設置され、左側のゾーンを管理するためにゾーン制御部３２が設置されている。セントラルゲートウェイ１１Ａは車両全体を管理するので、管理上、ゾーン制御部３１、３２よりも上位の権限を有し、２つのゾーンの両方を管理している。

セントラルゲートウェイ１１Ａ及びゾーン制御部３１、３２は、それぞれ通信経路を制御するゲートウェイ（Ｇ／Ｗ）の機能を有し、それぞれがルーティングマップを備えている。セントラルゲートウェイ１１Ａは、車体１０上の通信系で最も上位に位置する権限を有する制御部であり、ファイアウォールなどセキュリティに関する特別な機能や、システムの状態を運転者に伝達するための機能も内蔵している。

セントラルゲートウェイ１１Ａと右側ゾーンのゾーン制御部３１との間は幹線１２Ａで接続され、セントラルゲートウェイ１１Ａと左側ゾーンのゾーン制御部３２との間は幹線１３Ａで接続されている。

２系統の幹線１２Ａ及び１３Ａは、それぞれＣＡＮの通信規格に対応した通信用の伝送路であり、例えば２本の通信線、電源線、及びアース線により構成される。勿論、電源線、及びアース線は別体として用意してもよい。また、ＣＡＮと同様のバス型のネットワークを利用するＣＡＮ ＦＤ（Flexible Data rate）など他の通信規格をＣＡＮの代わりに採用してもよい。また、各ゾーンの上位に位置するセントラルゲートウェイ１１Ａと２つのゾーン制御部３１、３２の間を接続する幹線１２Ａ、１３Ａについては、例えばイーサネット（登録商標）など他の規格の伝送路に変更してもよい。

右側のゾーン内には、ゾーン制御部３１の他に、ジョイントコネクタ１４Ａ、１４Ｂ、及び１４Ｃが配置されている。ゾーン制御部３１とジョイントコネクタ１４Ａとの間は幹線３３で接続されている。また、ゾーン制御部３１とジョイントコネクタ１４Ｂとの間は幹線３４で接続され、ジョイントコネクタ１４Ｂ、１４Ｃの間は幹線３５で接続されている。幹線３３、３４、及び３５は、それぞれ幹線１２Ａと同様にＣＡＮの通信規格に対応した通信用の伝送路であり、例えば２本の通信線、電源線、及びアース線により構成されている。

左側のゾーン内には、ゾーン制御部３２の他に、ジョイントコネクタ１５Ａ、１５Ｂ、及び１５Ｃが配置されている。ゾーン制御部３２とジョイントコネクタ１５Ａとの間は幹線３６で接続されている。また、ゾーン制御部３２とジョイントコネクタ１５Ｂとの間は幹線３７で接続され、ジョイントコネクタ１５Ｂ、１５Ｃの間は幹線３８で接続されている。幹線３６、３７、及び３８は、それぞれ幹線１３Ａと同様にＣＡＮの通信規格に対応した通信用の伝送路であり、例えば２本の通信線、電源線、及びアース線により構成されている。

ゾーン制御部３１、３２、ジョイントコネクタ１４Ａ〜１４Ｃ、及び１５Ａ〜１５Ｃのそれぞれの箇所の幹線から分岐する状態で複数の枝線１９がそれぞれ接続されている。各枝線１９の末端に各ＥＣＵ１８が接続されている。

図６（ａ）に示した例では、右側ゾーンのジョイントコネクタ１４Ａの下流側に接続される正規のＥＣＵ１８Ｋの代わりに不正ＥＣＵ２０Ａが接続される場合を想定している。また、左側ゾーンのジョイントコネクタ１５Ａの下流側に接続される正規のＥＣＵ１８Ｉの代わりになりすましＥＣＵ２０Ｂが接続される場合を想定している。

図６（ａ）に示した通信システム１００Ｂにおいては、右側ゾーンに接続される不正ＥＣＵ２０Ａ、及びなりすましＥＣＵ２０Ｂを検出する機能が右側ゾーンのゲートウェイであるゾーン制御部３１に備わっている。また、左側ゾーンに接続される不正ＥＣＵ２０Ａ、及びなりすましＥＣＵ２０Ｂを検出する機能が左側ゾーンのゲートウェイであるゾーン制御部３２に備わっている。

図示しないが、セントラルゲートウェイ１１、ゾーン制御部３１、及び３２のそれぞれは、ＣＡＮの規格に対応した複数の通信インタフェース、ルーティングマップ、及びマイクロコンピュータを主体とする制御回路を有している。

各ジョイントコネクタ１４Ａ〜１４Ｃ、及び１５Ａ〜１５Ｃは、各ＥＣＵ１８等の電装品を接続するための枝線１９と各幹線３３〜３８とを物理的及び電気的に連結するための中間部品である。また、本実施形態の通信システム１００Ｂにおいては、各ジョイントコネクタ１４Ａ〜１４Ｃ、及び１５Ａ〜１５Ｃは、図２の例と同様に、その下流側の通信を遮断するための機能として、遮断指示受信部２１及びスイッチ２２を内蔵している。

特別な問題が発生していない通常の状態では、例えば図６（ｂ）に示すような各通信経路２５、２６を利用して通信することができる。例えば、セントラルゲートウェイ１１Ａと右側ゾーンの幹線３３の末端に接続されているＥＣＵ１８Ｋとの間で通信する場合は、セントラルゲートウェイ１１Ａから、幹線１２Ａ、ゾーン制御部３１、幹線３３、ジョイントコネクタ１４Ａを経由する通信経路２５を利用して通信する。

また、セントラルゲートウェイ１１Ａと右側ゾーンの幹線３５の末端に接続されているＥＣＵ１８Ｉとの間で通信する場合は、セントラルゲートウェイ１１Ａから、幹線１２Ａ、ゾーン制御部３１、幹線３４、ジョイントコネクタ１４Ｂ、幹線３５、及びジョイントコネクタ１４Ｃを経由する通信経路２６を利用して通信する。

このような利用可能な通信経路の情報は、通常は予め決定してセントラルゲートウェイ１１上のルーティングマップ、及び各ゾーン制御部３１、３２上のルーティングマップに予め登録してあるので、通信を開始する時にセントラルゲートウェイ１１、及び各ゾーン制御部３１、３２がすぐに通信経路を決めることができる。

例えば、右側のゾーン制御部３１上のルーティングマップに割り当てられる内容は、ゾーン制御部３１、又はその下流側の１つ以上のジョイントコネクタ１４Ａ〜１４Ｃ、枝線１９等を経由して各々のＥＣＵ１８等に到達するまでの通信経路を表す情報を含み、通信するノード毎に個別に経路が割り当てられる。

＜イグニッションオン時の動作＞
第２実施形態の通信システム１００Ｂにおけるイグニッションオン時の各ゾーン制御部３１、３２の動作例を図７に示す。すなわち、車両を利用するためにイグニッションをオンにしてこの車載システムを起動する際に、車両を使用する前の診断機能の一部として、図７の動作が各ゾーン制御部３１、３２により１回だけ実行される。

なお、図７において、図４中の動作と同等の処理ステップについては同一の番号を付けて示してある。右側ゾーンのゾーン制御部３１が図７に示した動作を実行する場合について、以下に説明する。

最初のステップＳ１１では、ゾーン制御部３１は、マップ保持部５０Ａ上の選択しているルーティングマップ５１Ａの内容に従って、この通信システム１００Ｂのジョイントコネクタ１４Ａ〜１４Ｃ下流側に接続されている各ＥＣＵ１８との間でそれぞれＣＡＮの通信を実行する。これにより、各ＥＣＵ１８のそれぞれに割り当てられている固有のＩＤをゾーン制御部３１が取得する。

次のＳ１２では、セントラルゲートウェイ１１は、ルーティングマップ５１Ａ上にあるノード毎の予め定めたＩＤと、Ｓ１１で受信したＩＤとをＥＣＵ毎に比較する。ここで、正規のＥＣＵ１８、１８Ｋ、１８Ｉだけが通信システム１００Ｂに接続されている場合には、Ｓ１２の比較結果が一致するが、車両の設計仕様を把握していない不正ＥＣＵ２０Ａが存在する場合には、Ｓ１２でＩＤの不一致等が発生する。

ゾーン制御部３１は、ＩＤの不一致を検知するとＳ１３からＳ１４の処理に進み、ＩＤの不一致が検知されない場合は、Ｓ１８に進んで通常の動作を開始する。
Ｓ１４では、ゾーン制御部３１はＩＤの不一致が検知された特定ノード位置のＥＣＵを不正ＥＣＵ２０Ａとして認識する。

次のＳ１５では、ゾーン制御部３１は、検知された不正ＥＣＵ２０Ａの接続位置をルーティングマップ５１Ａの内容から把握すると共に、その上流近傍にあるジョイントコネクタ１４Ａ〜１４Ｃのいずれかに対して、通信の遮断指示を送信する。

例えば、図６（ｂ）に示した通信システム１００Ｂにおいて、ジョイントコネクタ１４Ａの下流側で正規のＥＣＵ１８Ｋの代わりに不正ＥＣＵ２０Ａが接続されている時には、ジョイントコネクタ１４Ａに対してゾーン制御部３１が遮断指示を送信する。これにより、ジョイントコネクタ１４Ａ内のスイッチ２２がオフに切り替わり、幹線３３が途中で切断されるためそれ以降はジョイントコネクタ１４Ａ下流側の通信が遮断される。

次のＳ１６で、ゾーン制御部３１は、マップ保持部５０上Ａでの選択をルーティングマップ５１Ａからルーティングマップ５２Ａに切り替えるようにその内容を書き換える。ルーティングマップ５２Ａの内容は、利用可能な通信経路の中から、不正ＥＣＵ２０Ａを検知したノード位置の通信経路を全て排除した内容に定められている。したがって、不正ＥＣＵ２０Ａを通信システム１００Ｂから確実に切り離すことができる。

更に、次のＳ１７Ｂでゾーン制御部３１は、不正ＥＣＵ２０Ａが接続されている異常な状況を表す情報をそれよりも上位のセントラルゲートウェイ１１Ａに対して通知する。

セントラルゲートウェイ１１Ａは、ゾーン制御部３１からの通知の受信により不正ＥＣＵ２０Ａの存在及びそのノード位置を把握した後、その状況を運転者に報知するために、セントラルゲートウェイ１１ＡはＳ３１でマップ保持部５０上での選択をルーティングマップ５２に切り替える。そして、Ｓ３１ではセントラルゲートウェイ１１Ａはルーティングマップ５２の内容に従い、不正ＥＣＵ２０Ａが存在することを運転者に報知すると共に、車両の運転を開始しないように要請するための注意喚起を、例えば音声出力や画面上に表示するメッセージ等で実施する。これにより、異常な状態での車両の走行を中止できるので安全を確保できる。

＜定期的に実行される動作＞
第２実施形態の通信システム１００Ｂにおいて各ゾーン制御部３１、３２が定期的に実施する動作の例を図８に示す。

すなわち、車載システムである通信システム１００Ｂが起動して車両が走行可能な状況になった後、車両の走行中であっても、車両及び乗員の安全を確保するために診断動作を定期的に実施する必要がある。その診断動作の一部として、図８の動作も各ゾーン制御部３１、３２により定期的に繰り返し実行される。

なお、図８において、図５中の動作と同等の処理ステップについては同一の番号を付けて示してある。右側ゾーンのゾーン制御部３１が図８に示した動作を実行する場合について、以下に説明する。

図８に示した動作はなりすましＥＣＵ２０Ｂを検知するために実行される。すなわち、なりすましＥＣＵ２０Ｂは車両の仕様を考慮して製造されるので、正規のＥＣＵに似た動作を行い、正規のＥＣＵと同じＩＤを使用する。そのため、なりすましＥＣＵ２０Ｂを図７に示した動作の診断によりシステム起動後の早い段階で発見するのは困難である。しかし、なりすましＥＣＵ２０Ｂは車両の走行中などの任意のタイミングにおいて、正規のＥＣＵ１８、１８Ｋ、１８Ｉとは大きく異なる動作を行うので、その動作を定期的に監視することで、ゾーン制御部３１はなりすましＥＣＵ２０Ｂが、なりすましであることを認識可能である。

ゾーン制御部３１は、一定時間が経過する毎に、図８のステップＳ２１からＳ２２に進み以下の診断動作を実行する。
ゾーン制御部３１は、Ｓ２２において、マップ保持部５０Ａ上で選択しているルーティングマップ５１Ａに基づき、通信システム１００Ｂの右側ゾーンに接続されている各ＥＣＵ１８、１８Ｋ、１８Ｉの各ノード位置における通信動作を監視して、通信状況を表す情報をＩＤ毎に個別に取得する。

ゾーン制御部３１は、Ｓ２２で取得した各ＥＣＵの通信状況を、ルーティングマップ５１に予め登録されている「標準状態の情報」と個別に対比する。「標準状態の情報」の内容の代表例としては、例えば、信号毎の送出元のバスと宛先のバスとの対応関係、各ノードのＥＣＵが送出する信号の発生頻度、発生周期、情報量の違いなどが想定される。信号毎の送出元のバスと宛先のバスとの対応関係は、ビットアサイン表としてルーティングマップ５１Ａ上に用意されている。

例えば、なりすましＥＣＵ２０Ｂが車載システムの機能を麻痺させるために攻撃を仕掛けるような場合には、特定のバスに対して大量に信号を送出するような異常な動作を行うことが想定される。その場合、なりすましＥＣＵ２０Ｂによってバスが占有され、特に優先順位の低い他のＥＣＵがバスを使えなくなるため、車載システムの機能が大幅に低下したり機能不全に陥る可能性がある。

また、なりすましＥＣＵ２０Ｂが情報の収集を目的として動作する場合には、通常とは異なる様々な経路を使って、様々な情報に対するアクセスを繰り返す可能性があり、更に通常は使用しない通信経路を利用して車両外部に情報を送信する可能性もある。

上記のようななりすましＥＣＵ２０Ｂによる異常な動作は、正規の各ＥＣＵ１８、１８Ｋ、１８Ｉの標準的な動作とはパターンが大きく異なっている。そのため、Ｓ２２で取得した実際の通信状況と、ルーティングマップ５１Ａ上の「標準状態の情報」との間に大きな隔たりがある場合には、Ｓ２３の比較処理の結果としてなりすましＥＣＵ２０Ｂの存在を検知できる。

ゾーン制御部３１は、Ｓ２３の比較により異常な通信状況を検知した場合は、Ｓ２４からＳ２５に進み、該当するノードに接続されているなりすましＥＣＵ２０Ｂを、なりすましとして認識する。なりすましＥＣＵ２０Ｂを検知しない場合は、Ｓ２４からＳ２９に進み、ゾーン制御部３１は通常の動作を継続する。

次のＳ２６では、ゾーン制御部３１は検知されたなりすましＥＣＵ２０Ｂの接続位置をルーティングマップ５１Ａの内容から把握すると共に、その上流近傍にあるジョイントコネクタ１４Ａ〜１４Ｃのいずれかに対して、通信の遮断指示を送信する。

例えば、図６（ｂ）に示した通信システム１００Ｂにおいて、ジョイントコネクタ１４Ｃの下流側で正規のＥＣＵ１８Ｉの代わりになりすましＥＣＵ２０Ｂが接続されている時には、ジョイントコネクタ１４Ｃに対してゾーン制御部３１が遮断指示を送信する。これにより、ジョイントコネクタ１４Ｃ内のスイッチ２２がオフに切り替わり、幹線３５が途中で切断されるためそれ以降はジョイントコネクタ１４Ｃ下流側の通信が遮断される。

次のＳ２７で、ゾーン制御部３１は、マップ保持部５０Ａ上での選択をルーティングマップ５１Ａからルーティングマップ５４Ａに切り替えるようにその内容を書き換える。ルーティングマップ５４Ａの内容は、利用可能な通信経路の中から、なりすましＥＣＵ２０Ｂを検知したノード位置の通信経路を全て排除した内容に定められている。したがって、なりすましＥＣＵ２０Ｂを通信システム１００Ｂから確実に切り離すことができる。

更に、なりすましＥＣＵ２０Ｂが接続されている異常な状況を、ゾーン制御部３１がそれより上位のセントラルゲートウェイ１１Ａに対してＳ２８Ｂで通知する。

セントラルゲートウェイ１１Ａは、ゾーン制御部３１からの通知によりなりすましＥＣＵ２０Ｂの存在及びそのノード位置を把握した後、その状況をＳ３２で運転者に報知して運転中の安全を確保する。そのために、セントラルゲートウェイ１１Ａはマップ保持部５０上での選択をルーティングマップ５５に切り替える。そして、Ｓ３２ではセントラルゲートウェイ１１Ａはルーティングマップ５５の内容に従い、なりすましＥＣＵ２０Ｂが存在することを運転者に報知すると共に、安全な場所で自車両を停止させるように要請するための注意喚起を、例えば音声出力や画面上に表示するメッセージ等で実施する。これにより、異常な状態での車両の走行を最小限にとどめることが可能になり、安全を確保できる。

ゾーン制御部３１が図８に示した動作を繰り返し実行することにより、なりすましＥＣＵ２０Ｂが任意のタイミングで攻撃を仕掛ける場合でも、その異常を確実に検知可能である。

また、なりすましＥＣＵ２０Ｂにおける異常な動作パターンを検知するための「標準状態の情報」はＥＣＵ１８、１８Ｋ、１８Ｉのそれぞれの特性に基づいて個別に決めた情報をＥＣＵの種類毎にルーティングマップ５１Ａに登録できるので、なりすましＥＣＵ２０Ｂを高精度で検知できる。

なお、図６（ａ）、図６（ｂ）に示した通信システム１００Ｂにおいて、実際にはなりすましＥＣＵ２０Ｂが接続されているにもかかわらず、ゾーン制御部３１がなりすましＥＣＵ２０Ｂを検知できない可能性もあり、更にゾーン制御部３１自身がなりすましＥＣＵ２０Ｂに交換される可能性も考えられる。

上記のような場合には、例えば右側ゾーンが正常であるとゾーン制御部３１がセントラルゲートウェイ１１Ａに通知した場合であっても、最上位のセントラルゲートウェイ１１Ａが車両全体のゾーンについて図５と同様の診断動作を実施する。そして、ゾーン制御部３１における不正な動作をセントラルゲートウェイ１１Ａが検知した場合には、ゾーン制御部３１を通信網から切り離し、セントラルゲートウェイ１１Ａがゾーン制御部３１の機能を代行するように動作する。但し、その場合でも、セントラルゲートウェイ１１Ａは最初に下流側の末端のジョイントコネクタ１４Ａ、１４Ｃから１つずつ順番に遮断を実行し、それらを遮断しても異常な動作が止まらない場合に、最終的にゾーン制御部３１の動作を停止してそれを切り離すように制御する。

＜第３実施形態＞
＜通信システムの構成＞
車両上に搭載した第３実施形態の通信システム１００Ｃの構成及び通信経路を図９（ａ）及び図９（ｂ）にそれぞれ示す。なお、図９（ａ）及び図９（ｂ）において、各構成要素は車体を上方から視た状態の平面におけるレイアウトと略同じになるように配置してある。

また、図９（ａ）及び図９（ｂ）において、左側が車体１０の前方、右側が車体１０の後方を表している。また、４つのドア１０ａ、１０ｂ、１０ｃ、および１０ｄが車体１０の左右に配置されている。

図９（ａ）に示すように、車体１０上の様々な箇所に、電装品である様々な種類のＥＣＵ１８、１８Ｋ、１８Ｉが設置されている。本実施形態における各ＥＣＵ１８、１８Ｋ、１８Ｉは、それぞれイーサネット（登録商標）規格の通信機能、及びマイクロコンピュータを主体とする制御回路を内蔵する電子制御ユニットとして構成されている。各ＥＣＵ１８は、それぞれ所定の機能を有している。各ＥＣＵ１８、１８Ｋ、１８Ｉは、通信システム１００Ｃを経由して有線で通信することができる。

図９（ａ）に示した通信システム１００Ｃにおいては、車体１０上の５箇所に分散した状態でスイッチングハブ４１、４２、４３、４４、及び４５が設置されている。また、この車両上のシステム管理上で最上位の管理権限を有するセントラルゲートウェイ１１Ｂが、車体１０の中央部前寄りの箇所に設置されている。

各スイッチングハブ４１〜４５は、イーサネットの伝送路上で通信経路を制御する機能を有し、その制御に必要なルーティングマップも保持している。セントラルゲートウェイ１１Ｂも同様である。また、セントラルゲートウェイ１１Ｂは、更にファイアウォールなどセキュリティに関する特別な機能や、システムの状態を運転者に伝達するための機能も内蔵している。

セントラルゲートウェイ１１Ｂとスイッチングハブ４１との間は幹線６１の伝送路により接続されている。また、スイッチングハブ４１、４２の間は幹線６２で接続され、スイッチングハブ４１、４３の間は幹線６３で接続され、スイッチングハブ４２、４４の間は幹線６４で接続され、スイッチングハブ４３、４５の間は幹線６５で接続され、スイッチングハブ４４、４５の間は幹線６６でそれぞれ接続されている。

各幹線６１〜６６は、全てイーサネット規格に対応した伝送路である。なお、図９（ｂ）中においては、図９（ａ）中のセントラルゲートウェイ１１Ｂ及びスイッチングハブ４１の両方の機能を一体化した状況を表している。このような構成に変更してもよい。

特別な問題が発生していない通常の状態では、例えば図９（ｂ）に示すような各通信経路２７、２８を利用して通信することができる。例えば、セントラルゲートウェイ１１Ｂとスイッチングハブ４４下流側に接続されているＥＣＵ１８Ｋとの間で通信する場合は、セントラルゲートウェイ１１Ｂから、幹線６２、スイッチングハブ４２、幹線６４、スイッチングハブ４４を経由する通信経路２７を利用して通信する。

また、セントラルゲートウェイ１１Ｂとスイッチングハブ４５の下流側に接続されているＥＣＵ１８Ｉとの間で通信する場合は、セントラルゲートウェイ１１Ｂから、幹線６３、スイッチングハブ４３、幹線６５、スイッチングハブ４５を経由する通信経路２８を利用して通信する。

このような利用可能な通信経路の情報は、通常は予め決定してセントラルゲートウェイ１１Ｂ上のルーティングマップ、及び各スイッチングハブ４１〜４５上のルーティングマップに予め登録してある。したがって、通信を開始する時にセントラルゲートウェイ１１Ｂ、及び各スイッチングハブ４１〜４５がすぐに通信経路を決めることができる。

各スイッチングハブ４１〜４５は、一般的な機能として、出力側の経路が複数存在する場合に、中継する各信号の発信元、宛先などの情報に基づき選択した特定の経路だけに選択的に信号を送出することができる。

各ルーティングマップに割り当てられる内容は、各信号の発信元毎に、及び各信号の種類毎に、発信元、宛先、中継点などの経路上の各ノードを表すＩＰ（Internet Protocol）アドレス、ポート番号、各ノードのＩＤなどを含み、更に不正ＥＣＵ２０Ａや、なりすましＥＣＵ２０Ｂを検知するために必要な情報も含まれている。

図９（ａ）及び図９（ｂ）に示した通信システム１００Ｃにおいては、スイッチングハブ４４の下流側に枝線１９を介して接続される正規のＥＣＵ１８Ｋの代わりとして不正ＥＣＵ２０Ａが接続される場合を想定している。また、スイッチングハブ４５の下流側に枝線１９を介して接続される正規のＥＣＵ１８Ｉの代わりとしてなりすましＥＣＵ２０Ｂが接続される場合を想定している。

＜各部の動作＞
図９（ａ）及び図９（ｂ）に示した通信システム１００Ｃにおいては、既に説明した図７の動作のうちステップＳ１１〜Ｓ１８の処理と同等の動作を、スイッチングハブ４１〜４５のそれぞれに内蔵された制御部がイグニッションオン時に実行する。また、図９（ａ）及び図９（ｂ）に示した通信システム１００Ｃにおいては、既に説明した図８の動作のうちステップＳ２１〜Ｓ２９の処理と同等の動作を、スイッチングハブ４１〜４５のそれぞれに内蔵された制御部がシステム起動後に定期的に繰り返し実行する。

また、図７、図８の動作を実行する際に、スイッチングハブ４１〜４５のそれぞれは、それ自身に内蔵されているマップ保持部５０Ａが保持しているルーティングマップを使用し、その内容を例えば図３（ａ）及び図３（ｂ）に示されているように必要に応じて順次に書き換える。

したがって、例えば図９（ａ）及び図９（ｂ）のようにスイッチングハブ４４の下流側の１つのポートに枝線１９を介して接続されるＥＣＵ１８Ｋの代わりに不正ＥＣＵ２０Ａが存在する場合には、スイッチングハブ４４がスイッチングハブ４４上のルーティングマップを用いて図７の動作を実行する際に、ＩＤの不一致により不正ＥＣＵ２０Ａが認識される。この場合、スイッチングハブ４４は少なくとも下流側の不正ＥＣＵ２０Ａが検知されたポートを使えないように切り離すと共に、不正ＥＣＵ２０Ａを通信から除外するように自身の管理しているルーティングマップを書き換える。更に、不正ＥＣＵ２０Ａの存在及びそのノード位置の情報を、スイッチングハブ４４が通信経路２７等を利用してセントラルゲートウェイ１１Ｂに通知する。

また、例えば図９（ａ）及び図９（ｂ）のようにスイッチングハブ４５の下流側の１つのポートに枝線１９を介して接続されるＥＣＵ１８Ｉの代わりになりすましＥＣＵ２０Ｂが存在する場合には、スイッチングハブ４５がスイッチングハブ４５上のルーティングマップを用いて図８の動作を実行する際に、標準的な動作パターンからかけ離れた動作が検知され、なりすましＥＣＵ２０Ｂが認識される。この場合、スイッチングハブ４５は少なくとも下流側のなりすましＥＣＵ２０Ｂが検知されたポートを使えないように切り離すと共に、なりすましＥＣＵ２０Ｂを通信から除外するように自身の管理しているルーティングマップを書き換える。更に、なりすましＥＣＵ２０Ｂの存在及びそのノード位置の情報を、スイッチングハブ４５が通信経路２８等を利用してセントラルゲートウェイ１１Ｂに通知する。

したがって、図９（ａ）及び図９（ｂ）に示したセントラルゲートウェイ１１Ｂは、既に説明した第２実施形態と同様に、図７のステップＳ３１又は図８のステップＳ３２で、不正ＥＣＵ２０Ａ又はなりすましＥＣＵ２０Ｂの存在を把握し、自車両の安全を確保するように運転者に報知する。

＜各実施形態の通信システムの利点＞
一般的なスイッチングハブやゲートウェイなどの装置は改ざん検知機能を有しているが、そのような一般的な機能だけでは検知には限界がある。特に、車載システムの場合には、不正ＥＣＵ２０ＡやなりすましＥＣＵ２０Ｂの検知が困難であったり、それを検知するために診断用の特別なＥＣＵを追加したり、特別なＥＣＵを設置する数や場所を適切に決める必要がある。しかし、上述の通信システム１００Ａ、１００Ｂ、１００Ｃのいずれにおいても、ルーティングマップを利用して診断するので、特別なＥＣＵを追加することなく、不正ＥＣＵ２０Ａ及びなりすましＥＣＵ２０Ｂを検知して車両の安全を確保できる。

なお、各ＥＣＵ１８Ａ〜１８Ｌ等にそれぞれ割り当てるＩＤについては事前に定めた固定ＩＤの他に、セントラルゲートウェイ１１がそれぞれ動的に割り当てたＩＤを利用することも考えられる。但し、その場合のＩＤ割り当ては、不正ＥＣＵ２０Ａ、なりすましＥＣＵ２０Ｂ等が存在しない安全な状態であることを認識しているときに限定することが必要になる。

ここで、上述した本発明の実施形態に係る車載通信システム及び通信制御方法の特徴をそれぞれ以下［１］〜［５］に簡潔に纏めて列記する。
［１］ 通信経路の制御に利用されるルーティングマップを有する１つ以上のゲートウェイ（セントラルゲートウェイ１１、ゾーン制御部３１、３２、又はスイッチングハブ４１〜４５）を具備し、前記ゲートウェイの下流側に接続された通信線が複数の経路に分岐する１つ以上の分岐部（ジョイントコネクタ１４〜１７等）を有し、前記分岐部の下流側の通信線のそれぞれに固有のＩＤを有する制御ユニット（ＥＣＵ１８Ａ〜１８Ｌ）が接続される車載通信システムであって、
下流側の通信を遮断可能な通信遮断部（遮断指示受信部２１、スイッチ２２、又はスイッチングハブ４１〜４５）が前記分岐部に配置され、
前記ゲートウェイは、少なくともシステム起動開始時に、第１のルーティングマップを用いて通信を実施すると共に、前記第１のルーティングマップに基づいて前記分岐部の下流側の通信線に接続された各制御ユニットにおける不正の有無を検知し（Ｓ１１〜Ｓ１７）、
前記ゲートウェイは、前記不正を検知した場合に、不正が検知された第１の制御ユニット（不正ＥＣＵ２０Ａ）の上流側の前記分岐部（ジョイントコネクタ１６等）でその下流側の通信を遮断し、使用するルーティングマップを前記第１のルーティングマップ（５１）から、少なくとも前記第１の制御ユニットが通信対象から除外された第２のルーティングマップ（５２）に切り替えることにより不正が検知された前記第１の制御ユニットを切り離す、
車載通信システム。

［２］ 前記ゲートウェイは、前記第１のルーティングマップに基づいて、事前に登録されているＩＤとは異なる不正ＩＤが割り当てられている制御ユニットを、前記第１の制御ユニットとして自動的に認識する（Ｓ１１〜Ｓ１７）、
請求項１に記載の車載通信システム。

［３］ 前記ゲートウェイは、前記ルーティングマップに基づいて、前記分岐部の下流側に接続されている前記制御ユニットのそれぞれの通信状態を少なくとも定期的に監視し（Ｓ２１〜Ｓ２４）、
前記ゲートウェイは、通信状態が事前に定めた標準状態に対して大きく異なっている場合に、不正な動作又は攻撃を検知して、該当する前記制御ユニットをなりすましの不正な第２の制御ユニット（なりすましＥＣＵ２０Ｂ）として認識し（Ｓ２５）、
前記ゲートウェイは、第２の制御ユニットの上流側の前記分岐部でその下流側の通信を遮断し（Ｓ２６）、使用するルーティングマップを前記第２のルーティングマップ（５１又は５２）から、少なくとも前記第２の制御ユニットが通信対象から除外された第３のルーティングマップ（５４）に切り替えることにより不正が検知された前記第２の制御ユニットを切り離す、
請求項１又は請求項２に記載の車載通信システム。

［４］ 前記ゲートウェイは、前記分岐部の下流側に接続された１つ以上の前記制御ユニットの不正を検知した場合に、異常の発生を運転者に対して報知する報知部（Ｓ１７，Ｓ２８）を備える、
請求項１乃至請求項３のいずれか１項に記載の車載通信システム。

［５］ 通信経路の制御に利用されるルーティングマップを有する１つ以上のゲートウェイを具備し、前記ゲートウェイの下流側に接続された通信線が複数の経路に分岐する１つ以上の分岐部を有し、前記分岐部の下流側の通信線のそれぞれに固有のＩＤを有する制御ユニットが接続される車載通信システムを制御するための通信制御方法であって、
少なくともシステム起動開始時に、第１のルーティングマップを用いて通信を実施する（Ｓ１１）と共に、前記第１のルーティングマップに基づいて前記分岐部の下流側の通信線に接続された各制御ユニットにおける不正の有無を検知し（Ｓ１２，Ｓ１３）、
前記不正を検知した場合に、不正が検知された第１の制御ユニット（不正ＥＣＵ２０Ａ）の上流側の前記分岐部でその下流側の通信を遮断し（Ｓ１５）、使用するルーティングマップを前記第１のルーティングマップから、少なくとも前記第１の制御ユニットが通信対象から除外された第２のルーティングマップに切り替える（Ｓ１６）ことにより不正が検知された前記第１の制御ユニットを切り離す、
通信制御方法。

１０ 車体
１０ａ，１０ｂ，１０ｃ，１０ｄ ドア
１１，１１Ａ，１１Ｂ セントラルゲートウェイ
１２，１３ 幹線
１２Ａ，１２Ｂ 幹線
１２ａ，１３ａ 先端
１４，１５，１６，１７ ジョイントコネクタ
１４Ａ，１４Ｂ，１４Ｃ ジョイントコネクタ
１５Ａ，１５Ｂ，１５Ｃ ジョイントコネクタ
１８，１８Ａ，１８Ｂ，１８Ｃ，１８Ｄ，１８Ｅ，１８Ｆ，１８Ｇ ＥＣＵ
１８Ｈ，１８Ｉ，１８Ｊ，１８Ｋ，１８Ｌ ＥＣＵ
１９ 枝線
２０Ａ 不正ＥＣＵ
２０Ｂ なりすましＥＣＵ
２１ 遮断指示受信部
２２ スイッチ
２３，２４，２５，２６，２７，２８ 通信経路
２９ 接続部
３１，３２ ゾーン制御部
３３，３４，３５，３６，３７，３８ 幹線
４１，４２，４３，４４，４５ スイッチングハブ
５０，５０Ａ マップ保持部
５１，５２，５３，５４，５５ ルーティングマップ
６１，６２，６３，６４，６５，６６ 幹線
１００，１００Ｂ，１００Ｃ 通信システム

Claims (5)

1. 通信経路の制御に利用されるルーティングマップを有する１つ以上のゲートウェイを具備し、前記ゲートウェイの下流側に接続された通信線が複数の経路に分岐する１つ以上の分岐部を有し、前記分岐部の下流側の通信線のそれぞれに固有のＩＤを有する制御ユニットが接続される車載通信システムであって、
   下流側の通信を遮断可能な通信遮断部が前記分岐部に配置され、
   前記ゲートウェイは、少なくともシステム起動開始時に、第１のルーティングマップを用いて通信を実施すると共に、前記第１のルーティングマップに基づいて前記分岐部の下流側の通信線に接続された各制御ユニットにおける不正の有無を検知し、
   前記ゲートウェイは、前記不正を検知した場合に、不正が検知された第１の制御ユニットの上流側の前記分岐部でその下流側の通信を遮断し、使用するルーティングマップを前記第１のルーティングマップから、少なくとも前記第１の制御ユニットが通信対象から除外された第２のルーティングマップに切り替えることにより不正が検知された前記第１の制御ユニットを切り離す、
   車載通信システム。
2. 前記ゲートウェイは、前記第１のルーティングマップに基づいて、事前に登録されているＩＤとは異なる不正ＩＤが割り当てられている制御ユニットを、前記第１の制御ユニットとして自動的に認識する、
   請求項１に記載の車載通信システム。
3. 前記ゲートウェイは、前記ルーティングマップに基づいて、前記分岐部の下流側に接続されている前記制御ユニットのそれぞれの通信状態を少なくとも定期的に監視し、
   前記ゲートウェイは、通信状態が事前に定めた標準状態に対して大きく異なっている場合に、不正な動作又は攻撃を検知して、該当する前記制御ユニットをなりすましの不正な第２の制御ユニットとして認識し、
   前記ゲートウェイは、第２の制御ユニットの上流側の前記分岐部でその下流側の通信を遮断し、使用するルーティングマップを前記第２のルーティングマップから、少なくとも前記第２の制御ユニットが通信対象から除外された第３のルーティングマップに切り替えることにより不正が検知された前記第２の制御ユニットを切り離す、
   請求項１又は請求項２に記載の車載通信システム。
4. 前記ゲートウェイは、前記分岐部の下流側に接続された１つ以上の前記制御ユニットの不正を検知した場合に、異常の発生を運転者に対して報知する報知部を備える、
   請求項１乃至請求項３のいずれか１項に記載の車載通信システム。
5. 通信経路の制御に利用されるルーティングマップを有する１つ以上のゲートウェイを具備し、前記ゲートウェイの下流側に接続された通信線が複数の経路に分岐する１つ以上の分岐部を有し、前記分岐部の下流側の通信線のそれぞれに固有のＩＤを有する制御ユニットが接続される車載通信システムを制御するための通信制御方法であって、
   少なくともシステム起動開始時に、第１のルーティングマップを用いて通信を実施すると共に、前記第１のルーティングマップに基づいて前記分岐部の下流側の通信線に接続された各制御ユニットにおける不正の有無を検知し、
   前記不正を検知した場合に、不正が検知された第１の制御ユニットの上流側の前記分岐部でその下流側の通信を遮断し、使用するルーティングマップを前記第１のルーティングマップから、少なくとも前記第１の制御ユニットが通信対象から除外された第２のルーティングマップに切り替えることにより不正が検知された前記第１の制御ユニットを切り離す、
   通信制御方法。

Images