JP3832347B2 - 車両の盗難防止装置及びプログラム - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、車両の盗難防止技術に関する。
【０００２】
【従来の技術】
従来より、車両盗難への対策として、特殊なＩＤコードを使用して照合を行うイモビライザー機能を採用することが知られている。これは、エンジンの始動を一定の条件下のみで起動可能にする車両盗難防止技術である。但し、イモビライザー機能を構成する機器類自体を不正に交換して盗難車両を悪用するケースがあるため、この対策として例えば特開平１１−１８２３８９号公報には、リモートエンジンスタータが交換されたことをエンジン制御装置が判定し、エンジンを始動させないようにする技術が開示されている。また、このイモビライザー機能に対して、他の機器や多重通信を組み合わせることによって盗難防止性を向上させる技術も知られている。例えば特許第３１３７４４３号公報には、多重通信を介して複数の制御装置で警戒体制を構成することによって、大規模な警報システムを可能とした技術が開示されている。
【０００３】
また、例えば特開２０００−１４５７５号公報には、車両異常を検出した時点で運転者へ通知する手段を備え、さらに不正に車両を操作しようとする場合に、遠隔操作によって制御機能を抑止又は停止させるようにもした技術が開示されている。
【０００４】
【発明が解決しようとする課題】
しかしながら、これらの機能を有していても、制御装置自体を不正に交換又はイモビライザー機能等を作動させない改造品へ交換することによって車両本来の機能を復元させてしまうこととなるため、正規ユーザでなくても通常通り車両を使用できてしまう。また、無線ノイズ発生器や電波シールド付きレッカー等によって車両を運搬してしまうと外部への通知がなされず、盗難後に機器の取り外しや改造を実施することによって外部への通知機能を断つことも可能である。その場合には、車両本来の機能を保持したまま盗難車が不正に使用できることとなる。
【０００５】
つまり、従来の盗難防止装置は、イモビライザー機器の交換あるいはそのイモビライザー機器が交換されたことを判定するエンジン制御装置等が交換されない場合には有効であるが、それらが交換された場合には有効な対策がとれない。また外部への通知や遠隔操作のための機器に関しても、外部への通知自体を封じられ且つ機器自体が交換されてしまうと有効に機能しなくなる。
【０００６】
本発明は、こうした問題に鑑みなされたものであり、盗難防止に有効な技術を提供することを目的とする。
【０００７】
【課題を解決するための手段】
かかる目的を達成するためになされた請求項１記載の車両の盗難防止装置は、複数の電子制御装置がネットワークによって接続されたネットワークシステムを備える車両に搭載されることを前提とし、電子制御装置が不正に交換又は取り外された場合などの車両盗難の発生が推定される状況が生じた場合に、前記ネットワークの通信機能自体を不能に又は低下させることによって、ネットワークシステムの全部あるいは一部の機能を不能に又は低下させる。
【０００８】
上述のように、従来は例えばエンジンを始動させない、外部へ通報など、盗難の防止又は盗難通報を主眼としていた。しかし、盗難を働く者は何らかの方法でそのような機能を発揮させないように工夫する。そこで、本発明では、発想の転換を図り、盗難を働く者がたとえ盗難防止や盗難通報の機能を発揮しないような行為を行ったとしても、車両自体の商品価値が低下するような対策を施すことで、盗難しても仕方がないと思わせるようにした。この商品価値を低下させる工夫の前提として、現状の多くの車載ネットワークシステムのように多数の電子制御装置が車載ネットワークによって接続されていることに着目した。つまり、そのようなネットワークシステムでは電子制御装置間相互でのデータ通信が頻繁になっているため、システムの全部あるいは一部の機能を不能又は低下させると、車両機能が大幅に低下してしまうことが多いため、車両としての商品価値が極端に低下してしまう。盗難の対象となり易い高級車ほど車両内のネットワークシステムは大規模かつ複雑な構成であるため、ネットワークシステムの全部あるいは一部の機能を不能又は低下させることによって利用不可能となる機能は数多く、商品価値を低下させる効果は絶大である。例えばイモビＥＣＵやエンジンＥＣＵを不正に交換してイモビライザー機能が発揮できないようにしたとしても、本発明によってシステム全体あるいは一部の機能が不能又は低下させられると、例えば本来エンジン制御に必要なデータが入手できなくなり、適正なエンジン制御ができなくなってしまうといった不都合が生じる。したがって、このような工夫がなされていることが盗難を働く者に知られることによって、「盗んでも仕方がない」と盗難を図ろうとする者に思わせ、結果として盗難を防止する効果を発揮できるのである。
【０００９】
請求項２〜５記載の車両の盗難防止装置は何れも、複数の電子制御装置がネットワークによって接続されたネットワークシステムを備える車両に搭載されることを前提とし、電子制御装置が不正に交換又は取り外された場合などの車両盗難の発生が推定される状況が生じた場合に、ネットワークシステムの全部あるいは一部の機能を不能に又は低下させるのであるが、車両盗難の発生が推定される状況が生じたことを判定する点でそれぞれ下記の特徴を有する。
つまり、請求項２記載の車両の盗難防止装置においては、一の電子制御装置が、エンジンの始動を所定条件下のみで許可するイモビライザー機能を有しており、機能制御手段が、イモビライザー機能を有する電子制御装置が不正に交換又は取り外されたことで、「車両盗難の発生が推定される状況が生じたこと」を判定する。
また、請求項３記載の車両の盗難防止装置においては、一の電子制御装置が、車両の不正操作を検出した場合に、車両状態や車両位置などを表す車両情報を車両管理者側情報端末若しくは盗難防止用情報センタに無線にて送信する車両情報送信機能を有しており、機能制御手段が、前記車両情報送信機能を有する電子制御装置が不正に交換又は取り外されたことで、「車両盗難の発生が推定される状況が生じたこと」を判定する。
また、請求項４記載の車両の盗難防止装置においては、一の電子制御装置が車両の現在位置を特定する位置特定機能を有しており、機能制御手段が、位置特定機能を有する電子制御装置からの情報に基づき、当該位置特定機能を有する電子制御装置への電源供給が停止された時の車両位置と、その後に電源供給が再開された時の車両位置とが異なっていること、又は電源供給再開時の車両位置が得られなかったことで、「車両盗難の発生が推定される状況が生じたこと」を判定する。
また、請求項５記載の車両の盗難防止装置においては、一の電子制御装置が、ナンバープレートが不正に交換又は取り外されたことを判定する判定機能を有しており、機能制御手段が、判定機能を有する電子制御装置からの情報に基づき、ナンバープレートが不正に交換又は取り外されたことで、「車両盗難の発生が推定される状況が生じたこと」を判定する。
【００１０】
また、不正交換等に関しては、例えば請求項６に示すように、不正に交換又は取り外される可能性の高い電子制御装置に記憶されているＩＤコードをネットワークを介して取得して照合した結果、照合が成立しない場合、又は当該電子制御装置が接続されているにもかかわらずＩＤコードが取得できない場合に、不正な交換又は取り外しが行われたと判定してもよい。
【００１１】
もちろん、これら以外の情報に基づいて、車両盗難の発生が推定される状況を判定しても良い。
一方、機能制御手段については、例えば以下のような部位に設けることが考えられる。
【００１２】
例えば、電子制御装置に内蔵することが考えられ（請求項７）、その場合には、不正に交換又は取り外される可能性の高い電子制御装置以外の電子制御装置に内蔵することが考えられる（請求項８）。また、ネットワークシステムが複数のＬＡＮ間でのデータ通信を仲介するゲートウェイ装置とを備えている場合に、そのゲートウェイ装置に機能制御手段を備えるようにしてもよい（請求項９）。盗難対象となり易いいわゆる高級車ほど大規模なネットワークシステムを搭載していることが多い。したがって、そのような場合にゲートウェイ装置によって妨害すれば、車両機能を不能にさせる、あるいは低下させる実効性を高くでき、結果として、盗難防止効果が向上する。
【００１３】
なお、請求項１０に示すように、機能制御手段を、電子制御装置とは別個にネットワークに接続するようにしてもよい。このようにすれば、電子制御装置自体が交換されたとしても、そのことによって機能制御手段がなくなってしまう危険性を排除できる。
【００１４】
ところで、機能制御手段は、ネットワークシステムの全部あるいは一部の機能を不能に又は低下させるのであるが、その対象として、例えば請求項１１に示すように、少なくとも、前記電子制御装置の内で制御に必要な情報をネットワークを介した通信によって送受している度合いの高い電子制御装置を含めることが考えられる。このようにすれば、車両機能を不能にさせる、あるいは低下させる実効性を高くでき、結果として、盗難防止効果が向上する。例えば、メータ電子制御装置であればメータの表示機能がほとんど働かない、エアコン電子制御装置であればエアコンの操作ができない・働かない、ドア電子制御装置であればドアの集中ロックやワイヤレス操作が働かない、など、車両機能の低下等の観点で有効である。
【００１５】
また、機能制御手段は、ネットワークシステムの全部あるいは一部の機能を不能に又は低下させるのであるが、例えば請求項１２，１３に示すような工夫が考えられる。
請求項１２に示す場合には、電子制御装置が機能制御手段を内蔵しており、機能制御手段が、ネットワークへ接続するための通信バスを短絡させることによって、当該機能制御手段が内蔵されている電子制御装置とネットワークとの間の通信機能を不能にさせることができる。
請求項１３に示す場合には、ネットワークシステムは、１以上の電子制御装置がそれぞれ接続された複数のＬＡＮと、当該複数のＬＡＮ間でのデータ通信を仲介するゲートウェイ装置とを備え、当該ゲートウェイ装置が前記機能制御手段を内蔵しており、機能制御手段が、ネットワークへ接続するための通信バスを短絡させることによって、当該機能制御手段が内蔵されているゲートウェイ装置を介したＬＡＮ間の通信機能を不能にさせる。
【００１６】
ここで、通信バスがツイストペア通信線で構成されている場合には、請求項１４に示すように、ツイストペア通信線の双方を短絡させることによって通信機能を不能にさせることが考えられる。これは、ツイストペア通信線（２本のより線）による通信では、片側の線が短絡している場合でもバックアップ通信できる場合もあるため、双方を短絡することで、通信機能の不能化の実効性を向上させるのである。なお、この場合の双方短絡の一例としては、請求項１５に示すように線間を短絡させることによって実行することが考えられる。
【００１７】
また、請求項１６に示すように、ハードウェアではなくソフトウェアによってネットワークシステムの全部あるいは一部の機能を不能に又は低下させてもよい。つまり、機能制御手段は、電子制御装置がネットワーク上に送信する信号を妨害可能な妨害信号を発生させてネットワーク上へ流すことによって、ネットワークシステムの全部あるいは一部の通信機能を不能又は低下させるのである。このようにすれば、通信がまともにできなくなる。なお、当然ながら、この場合はソフトウェアによって実現しているため、ハードウェアによる改良が無くても実現できる。
【００１８】
一方、上記目的を達成するためになされた請求項１７記載の車両の盗難防止装置は、複数の電子制御装置がネットワークによって接続されたネットワークシステムを備える車両に搭載されることを前提とし、所定の認証処理によって認証が成立するまではネットワークシステムの全部あるいは一部の機能を不能又は低下させておく。そして、認証が成立すると機能を正常状態に戻すのである。つまり、所定の認証処理にてＯＫがでない限り、デフォルト状態としてネットワーク通信機能の不能又は低下を確保しておくようにした。例えばイモビライザー装置では電子キーとの間でのコード照合を行っている。したがって、このようなコード照合、あるいはバイオメトリックスによる照合など、ユーザ認証を行ってＯＫの場合に初めて通信機能を正常に働かすようにしてもよい。本発明の場合は、上述した請求項に係る発明のような不正交換等の盗難後に行われる行為への対処ではなく、盗難そのものを未然に防止する点で有効である。
【００１９】
もちろん、請求項１８に示すように、認証が成立して機能を正常状態に戻した後、電子制御装置が不正に交換又は取り外された場合などの車両盗難の発生が推定される状況が生じたことを判定した場合には、ネットワークの通信機能自体を不能に又は低下させることによって、ネットワークシステムの全部あるいは一部の機能を不能に又は低下させれば、総合的な盗難防止効果はより向上する。
なお、請求項１９に示すように、請求項１〜１８の何れか一項に記載の車両の盗難防止装置における機能制御手段としての機能をコンピュータシステムにて実現する場合、例えば、コンピュータシステム側で起動するプログラムとして備えることができる。このようなプログラムの場合、例えば、フレキシブルディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ハードディスク、ＲＯＭ、ＲＡＭ等のコンピュータ読み取り可能な記録媒体に記録し、必要に応じてコンピュータシステムにロードして起動することにより用いることができ、また、ネットワークを介してロードして起動することにより用いることもできる。
【００２０】
【発明の実施の形態】
以下、本発明が適用された実施例について図面を用いて説明する。なお、本発明の実施の形態は、下記の実施例に何ら限定されることなく、本発明の技術的範囲に属する限り、種々の形態を採り得ることは言うまでもない。
【００２１】
図１は本実施例の適用された車載ネットワークシステムの構成を表すブロック図である。本実施例の車載ネットワークシステムは、車両内に設置された電子制御装置であるエンジンＥＣＵ（ＥＣＵ：マイクロコンピュータを中心に構成された電子制御装置の略）１、ＡＢＳ・ＥＣＵ２、クルーズＥＣＵ３、ドアロックＥＣＵ４、イモビＥＣＵ５、セキュリティＥＣＵ６、ナビＥＣＵ７、ディスプレイＥＣＵ８、メーデーＥＣＵ９…と、ＥＣＵ１〜３等を接続するＬＡＮ通信線Ａ、ＥＣＵ４〜６等を接続するＬＡＮ通信線Ｂ、ＥＣＵ７〜９等を接続するＬＡＮ通信線Ｃ、他にＥＣＵが存在する場合はそれらを接続するＬＡＮ通信線Ｄ…と、各ＬＡＮ通信線Ａ，Ｂ，Ｃ，Ｄ…に接続され、ＬＡＮ同士間のデータ通信を仲介し、異なるプロトコルの情報の橋渡しをするゲートウェイ装置１０とを備えている。
【００２２】
ここで、エンジンＥＣＵ１は、エンジンを制御するエンジン制御装置であり、ＡＢＳ・ＥＣＵ２は、車両制動時のスリップ制御用の装置であり、ブレーキ力を制御するためにブレーキ油圧回路に備えられた増圧制御弁・減圧制御弁の開閉をデューティ制御するブレーキアクチュエータを制御する。また、クルーズＥＣＵ３は、先行車がいる場合には自車を先行車に自動的に追従させる車間制御を行い、先行車がいない場合には自車を設定車速にて定速走行させる車速制御（定速走行制御）を行うという、いわゆるクルーズ制御を実行する走行制御装置であり、これらＥＣＵ１〜３は、いわゆる車両運動系の制御装置である。
【００２３】
一方、ドアロックＥＣＵ４は、ドアをロック・アンロックを制御するものであり、本実施例ではいわゆるキーレスエントリ機能を有している。つまり、ユーザが携帯する電子キーからの送信電波を受信・復調して、その送信電波がキーレスエントリ用の電子キーからのものであるかを判定し、そうであれば取得した指令情報に従ってドアのロック・アンロックを制御する。
【００２４】
また、イモビＥＣＵ５は、図２に示すようにチューナＥＣＵ５ａと接続されており、ユーザが携帯する電子キー２０からの送信電波を受信・復調して得たＩＤコードを照合し、照合が成立するとエンジンＥＣＵ１に対して、エンジン始動許可を与えるものである。
【００２５】
また、セキュリティＥＣＵ６は、例えば盗難行為等の車両に対する不正行為を検出してそのことを周囲に報知するためのものであり、図示しない侵入センサや各種カーテシスイッチ等の各種センサ・スイッチ信号を入力し、これらに基づいて図示しないホーン等の警報装置を動作させたり、図示しない各種ランプ類を点灯・点滅させるなどして、不正操作がなされたことを周囲に報知する。
【００２６】
また、ナビゲーションＥＣＵ７は、ナビゲーション装置を制御するものであり、ディスプレイＥＣＵ８は、表示装置（ディスプレイ）への各種表示のための制御を行う。
メーデーＥＣＵ９は、車両の現在位置を検出するためのＧＰＳ受信装置（ナビゲーションＥＣＵ７と共用）、車両周囲を撮影するための撮像装置、及び緊急通報センタ３０との間で無線によるデータ通信を行うためのデータ通信装置（いずれも図示せず）を備え、セキュリティＥＣＵ６による監視状態に応じたり、その他の所定の緊急時に、車両周囲の画像や車両の現在位置等の各種情報を情報センタ３０に送信する。
【００２７】
ゲートウェイ装置１０は、図３に示すように、ＬＡＮ通信線Ａ，Ｂ，Ｃ…にそれぞれ接続されたドライバ／レシーバＩＣ１１ａ，１１ｂ，１１ｃ…と、マイコン１２とを備えている。また、マイコン１２は、各ドライバ／レシーバＩＣ１１ａ，１１ｂ，１１ｃ…が接続されるバスデータプロセッシングモジュール１３と、所定のＥＣＵとの間でのＩＤ照合を行うための照合用ＩＤコードが格納されたＥＥＰＲＯＭ１４と、バスデータプロセッシングモジュール１３から得た所定のＥＣＵからのＩＤコードとＥＥＰＲＯＭ１４に接続されている対応するＩＤコードとを用いてＩＤ照合を行うコードチェッキングモジュール１５と、これらバスデータプロセッシングモジュール１３、ＥＥＰＲＯＭ１４及びコードチェッキングモジュール１５と接続され、妨害信号を上記ドライバ／レシーバＩＣ１１ａ，１１ｂ，１１ｃ…に対して送信するバス障害発生部１６とを備えている。
【００２８】
このバス障害発生部１６は、ドライバ／レシーバＩＣ１１ａ，１１ｂ，１１ｃ…の通常の機能を停止させ、例えばＨｉ電位に固定したりＨｉ→Ｌｏ→Ｈｉ→Ｌｏ…等、ＬＡＮ通信線Ａ，Ｂ，Ｃ…に接続されるＥＣＵが送信する信号を妨害できるような信号を引き起こしてバス上に流すことができるようにされている。
【００２９】
このような構成を有する本実施例の車載ネットワークシステムにおいては、イモビＥＣＵ５を備えているため、ユーザが携帯する電子キー２０から得たＩＤコードを照合し、照合が成立しないとエンジンＥＣＵ１に対してエンジン始動許可を与えない。したがって、通常はユーザ以外がエンジンを始動させることはできない。しかしながら、イモビＥＣＵ５自体を不正に交換又はイモビライザー機能等を作動させない改造品へ交換することによって電子キー２０を持たなくても車両本来の機能を復元させてしまうこととなる。
【００３０】
また、メーデーＥＣＵ９を備えているため、例えば盗難された場合に、その車両位置等を緊急通報センタ３０にて把握することで、盗難車両を追跡することができる。しかしながら、無線ノイズ発生器やシールド付きレッカー等によって車両を運搬してしまうとこのような緊急通報機能があっても、外部への通報自体がなされず、盗難後にメーデーＥＣＵ９を取り外したり改造することによって外部への通知機能がなくなってしまう可能性もある。
【００３１】
このように、イモビライザー機能や緊急通報機能があっても、盗難を働く者は何らかの方法でそのような機能を発揮させないように工夫する。そこで、本実施例の車載ネットワークシステムでは、発想の転換を図り、盗難を働く者がたとえ盗難防止や盗難通報の機能を発揮しないような行為（例えばエンジンＥＣＵ１、イモビＥＣＵ５の不正交換や取り外し等）を行ったとしても、車両自体の商品価値が低下するような対策を施すことで、盗難しても仕方がないと思わせるようにした。
【００３２】
この商品価値を低下させるための動作について、図４のフローチャートを参照して説明する。本フローチャートはイグニッション（ＩＧ）スイッチがオンされてゲートウェイ装置１０及び各ＥＣＵへ電源供給がされている場合にゲートウェイ装置１０のマイコン１２にて実行される処理である。
【００３３】
Ｓ１０にて照合ルーチンを開始すると、続くＳ２０において、コード要求送信条件が成立したか否か判断する。そしてコード要求送信条件が成立すると（Ｓ２０：ＹＥＳ）、監視対象となるＥＣＵへのコード要求を送信する（Ｓ３０）。この対象ＥＣＵとしては、例えばエンジンＥＣＵ１、イモビＥＣＵ５などが考えられる。そして、その対象ＥＣＵからの応答があるか否か判断し（Ｓ４０）、応答があれば（Ｓ４０：ＹＥＳ）、コード照合、すなわちその対象ＥＣＵから送信されたコードがゲートウェイ装置１０が記憶している内容と一致しているか否か判断する（Ｓ５０）。そして、コード照合が成立すれば（Ｓ５０：ＹＥＳ）、通常の動作となる（Ｓ６０）。
【００３４】
これに対して、照合不成立、つまり対象ＥＣＵから送信されたコードがゲートウェイ装置１０が記憶している内容と異なっていた場合には（Ｓ５０：ＮＯ）、別のＥＣＵに交換されている可能性が高いため、バス障害発生部１６を介してバス障害を発生させる（Ｓ７０）。上述のようにバス障害発生部１６は、妨害信号をドライバ／レシーバＩＣ１１ａ，１１ｂ，１１ｃ…に対して送信するため、ＬＡＮ通信線Ａ，Ｂ，Ｃ…に接続されるＥＣＵが送信する信号が妨害され、通常の動作ができなくなり、車両自体の商品価値が低下する。
【００３５】
一方、Ｓ４０にて否定判断、すなわちコード要求を送信した対象ＥＣＵからの応答がない場合には、Ｓ８０へ移行して、再度コード要求を送信する。そして、その対象ＥＣＵからコード送信があれば（Ｓ９０：ＹＥＳ）、Ｓ５０へ移行する。応答がない場合には（Ｓ９０：ＮＯ）、再要求をＮ回実施したか否か判断し（Ｓ１００）、Ｎ回実施するまでは（Ｓ１００：ＮＯ）、Ｓ８０へ戻ってコード再要求を行う。なお、Ｎは１以上の整数である。このように再要求を行うことで、例えばノイズ等の原因により一時的に適切な通信ができなくなっていた場合であっても応答が得られる可能性が高くなり、誤判定を回避できる。そして、Ｎ回実施しても応答がない場合には（Ｓ１００：ＹＥＳ）、対象ＥＣＵの途絶判定を行う（Ｓ１１０）。この途絶判定は、例えばコードを送信するフレームを定期周期で送信する方式にして、そのフレームがある一定時間以上受信できないケースが発生している時や、対象となる装置が送信する他の定期周期フレームに対して上記と同様な判定基準を適用することによって実施する。
【００３６】
そして、途絶していない場合は（Ｓ１２０：ＹＥＳ）、Ｓ７０へ移行してバス障害を発生させる。これは、途絶していないにもかかわらずコード要求に応答しなかったということは不正なＥＣＵ交換がなされている可能性があるため、バス障害を発生させて通常の動作ができなくする。
【００３７】
これに対して途絶している場合は（Ｓ１２０：ＮＯ）、同じバスに接続する他の全ＥＣＵの途絶判定を行い（Ｓ１３０）、正常なＥＣＵが少なくとも一つはあるか否かを判断する（Ｓ１４０）。このＳ１４０での肯定判断された場合には、同じＬＡＮ通信線に接続される少なくとも一つのＥＣＵとは正常な送受信ができることを意味しているため、Ｓ１５０へ移行して警告フラグカウントをインクリメントする。そして、警告フラグがＮ以上になった場合には（Ｓ１６０：ＹＥＳ）、Ｓ１７０へ移行してバス障害を発生させるが、警告フラグがＮ未満の場合には（Ｓ１６０：ＮＯ）、Ｓ１８０へ移行し、ＩＧＫｅｙがｏｎ→ｏｆｆとなった場合には（Ｓ１８０：ＹＥＳ）、最初のステップに戻って照合ルーチンを開始する。
【００３８】
一方、Ｓ１４０での否定判断された場合には、全ＥＣＵとの間で正常な送受信ができないこととなるため、Ｓ１９０へ移行してバス異常判定を行う。このバス異常判定については、後述する。バスが正常な場合には（Ｓ２００：ＹＥＳ）、Ｓ１５０へ移行し、異常な場合には（Ｓ２００：ＮＯ）、通常の動作となる（Ｓ２１０）。
【００３９】
以上が処理の全体的な流れの説明であったが、適宜補足説明をする。
（１）Ｓ７０におけるバス障害発生に至る状況というのは、対象ＥＣＵが不正に交換されたため、応答コードがゲートウェイ装置１０の記憶内容と一致していない場合や、コード自体を記憶していないか又はコード要求に応答できないような場合である。一方、Ｓ１７０におけるバス障害発生に至る状況は、前提として対象ＥＣＵが途絶している場合である。これは、例えば通信バスの何らかの異常（例えばバスのショートや応答装置近傍でのバスオープン等）によって、応答コードを送信すべきＥＣＵからの応答がなく、その状態が恒久的に継続する場合にはＳ１７０のバス障害発生へ至る。但しその場合は、即座に「バス障害発生」へ移行するのではなく、上述のように警告フラグがある一定値Ｎ以上に達した場合を想定している。理由は、不正手段が何もなくても故障等によって車両として通信バスが何らかの異常状態になるケースも考えられるためである。したがって、Ｓ１６０での判定に用いる所定値Ｎはこの点を勘案して適切な値を設定する。
【００４０】
また、Ｓ１４０にて肯定判断となってＳ１５０へ移行し、Ｓ１７０へ至る場合には、対象ＥＣＵは途絶しているが、同じＬＡＮ通信線に接続する一つ以上のＥＣＵからの通信は受信できている状態である。したがって、対象ＥＣＵが取り外されている可能性が高い。
【００４１】
また、該当するＬＡＮ通信線から通信が何もできていない場合（Ｓ１４０：ＹＥＳ）で、且つバス異常（ショートやオープン）が認識できる場合（Ｓ２００：ＮＯ）には通常状態を継続する（Ｓ２１０）。その理由は、あるＬＡＮ通信線がフェールしている状態では車両としての機能が不十分となるためである。例えば対象ＥＣＵが不正に取り外されている異常状態であっても、中継処理や装置が実施している制御機能が実現できなくなるため、同様に車両として機能が不十分になる。
【００４２】
（２）Ｓ１９０でのバス異常判定は、プロトコルによっても異なるが一般的な手法を下記に示す。
▲１▼バスがＧＮＤにショートしている場合：
ゲートウェイ装置１０が通信を開始しようとしても、フレームを送信するための最初のビット（通常はバスの非送信状態とは逆の電位のビットとなる）をいつまで経っても電位的に実現できないときにＧＮＤショートと認識する。対象ＥＣＵは自身が送信するビット状態を送信と同時に監視する機能も有しており、最初のビットの電位が変わらないことを検知するとＧＮＤショートの扱いをする。
【００４３】
▲２▼バスが＋Ｂ（車載バッテリの５Ｖとか１２ＶのＨＩ電位）へショートしている場合：
ＥＣＵは、バスに対して他のＥＣＵが送信しているときに同時に送信を開始することはない。それぞれが決められたルールに従い、自身が送信できるタイミングを見計らって送信を開始する。そのルールの一例として、バスに対して一定時間以上フレームが送信されていない時間を検知した場合がある。したがって、ゲートウェイ装置装置１０は、これらの状態が継続して起こっている場合に、いつもバスが他の信号に占有されている異常状態（＋Ｂショート）として扱う。
【００４４】
▲３▼バスがオープンの場合：
上記のいずれの状態でもないにもかかわらず、他のＥＣＵから信号を受信できない場合、オープンの扱いをする。受信できるＥＣＵが限られている場合は、受信できるＥＣＵまでのバスが接続している状態で、それ以降のバスからオープンになっている判定ができる。
【００４５】
なお、その他のショート判定として、Ａ／Ｄ入力などによりバスの電位状態を判定する回路を持っている場合は、ショート判定が正確に実施できる。
（３）図４の処理は、ＩＧスイッチがオンされてゲートウェイ装置１０及び各ＥＣＵへ電源供給がされている場合に実行される処理であると説明した。これは、本実施例ではエンジンＥＣＵ１はＩＧスイッチがオンされないと電源供給されないことを前提としており、対象ＥＣＵとしてそのエンジンＥＣＵ１を含めることを想定しているためである。つまり、対象ＥＣＵを何にするかによって事情は変わってくる。例えばゲートウェイ装置１０やイモビＥＣＵ５についてはＩＧスイッチのオン・オフに関係なく通信可能であるが、エンジンＥＣＵ１についてはＩＧスイッチがオンの場合にのみ通信可能とされることが多い。そのような前提であるため、例えば対象ＥＣＵをイモビＥＣＵ５等のＩＧスイッチがオフであっても通信可能なＥＣＵに限定した場合には、図４の処理はＩＧスイッチの状態に関係なく実施できる。
【００４６】
（４）Ｓ３０にて対象ＥＣＵへのコード要求送信を行っているが、このコード要求信号を送信するタイミングを定期信号にしてしまうと不正なツールから疑似信号を返信されてしまうケースもある。そのため、要求／応答のイベント型の方がよい。
【００４７】
さらに、タイミングを変えたとしても疑似返信されてしまう可能性が依然としてあるため、その対策として下記の機能を追加してもよい。
・イモビコードと同等のローリングコード等にする。
・双方が記憶しているコードを随時切り替わるように暗号化する。
【００４８】
（５）Ｓ１８０における「ＩＧＫｅｙがｏｎ→ｏｆｆ」という判断ステップを入れた目的について補足する。これは、車両ユーザが車を運転する回数に相当する情報、もしくは関連する情報として利用するためである。ユーザが何回も運転する間にバス異常による車の機能不作動に気付くことができる。例えば最近の高級車はこのようなバス異常の状態になると、メータや他のディスプレイ機器にウォーニングランプの点灯／点滅、ブザー吹鳴による警告や情報表示、音声案内等がある。また、車種によっては最寄りのディーラーへの案内通知をする機能もある。これらの機能によってユーザへの報知等を行う。
【００４９】
上述した実施例においては、ゲートウェイ装置１０が機能制御手段に相当し、図４の処理が機能制御手段としての処理の実行に相当する。
このように、本実施例の車載ネットワークシステムによれば、例えばエンジンＥＣＵ１、イモビＥＣＵ５などの対象となるＥＣＵの不正交換や取り外しがなされた場合など、車両盗難の発生が推定される状況が生じた場合に、ゲートウェイ装置１０がバス障害を発生させ、ネットワークシステムの全部あるいは一部の機能を不能にさせたり又は低下させる。これによって車両自体の商品価値が低下し、このような工夫がなされていることが盗難を働く者に知られることによって、盗難を図ろうとする者に「盗んでも仕方がない」と思わせ、結果として盗難を防止する効果を発揮できる。
【００５０】
なお、このようにゲートウェイ装置１０がバス障害を発生させ、ネットワークシステムの全部あるいは一部の機能を不能に又は低下させた場合、正規ユーザが再度その車両を通常通り使用するためには、いわゆるガード解除（正常状態に復帰させるための処理）を行う必要がある。その点について図５を参照して説明する。
【００５１】
本実施例では例えばカーディーラーの修理工場などにおいてこの作業を行うこととなる。ガード解除するためには、サービスツール４０をゲートウェイ装置１０に接続する。したがって、ゲートウェイ装置１０にはサービスツール４０を接続するためのコネクタを準備しておく。サービスツール４０はディーラーが有しているディーラー固定回線４２（あるいは内線を介してもよい）から広域電話回線網４４を介して例えば自動車会社などに設けられたセンタ４６とデータ通信できるようになっている。センタ４６は、いわゆるサーバとしてディーラーの修理工場などとは別の場所に設置される。そして、このセンタ４６の記憶装置（不図示）には、ゲートウェイ装置１０をサービスツール４０がアクセスするためのアクセス情報、ガード解除情報、サービスツール４０の正当性を判断するためのデータベースなどのデータベースが記憶されている。
【００５２】
サービスツール４０とセンタ４６とは、サービスツール４０がセンタ４６を発呼することによって、サービスツール４０がセンタ４６との間で所定の通信処理が行われてデータ通信が可能な状態となる。センタ４６はディーラー固定回線４２の番号通知によって正規にアクセスされていることを判定し、不正なアクセス元からの情報要求には対応しない。正規にアクセスされている場合には、解除情報を送信する。したがって、その解除情報を得たサービスツール４０によって、ガード解除がなされる。
［その他］
（１）上記実施例ではバス障害を発生させる主体をゲートウェイ装置１０とした。もちろん他のＥＣＵがバス障害発生主体となってもよい。但し、ゲートウェイ装置１０は複数のＬＡＮ間でのデータ通信を仲介する。そして、盗難対象となり易いいわゆる高級車ほど大規模なネットワークシステムを搭載していることが多いため、ゲートウェイ装置１０にてバス障害を発生させれば、車両機能を不能にさせる、あるいは低下させる実効性を高くでき、結果として、盗難防止効果が向上する。
【００５３】
また、ゲートウェイ装置１０のみがバス障害を実施できればネットワークシステム全体をダウンさせることができるが、ゲートウェイ装置１０自体の不正交換の可能性も考えられる。したがって、そのような場合を鑑みれば、ゲートウェイ装置１０以外にも１つ以上（全ての場合も含む）ＥＣＵにゲートウェイ装置１０と同様のバス障害発生機能を搭載すれば、コストは大きくなるが、バスをダウンさせる機能はより確実に実現できる。
【００５４】
さらに、このようなバス障害発生主体として、ＥＣＵとは別個に準備した装置を用いてもよい。つまり、ゲートウェイ機能やエンジン制御機能など、他の機能実現のために設けられたＥＣＵ等に付随的にバス障害発生機能を設けるのではなく、バス障害発生機能専用の装置をＬＡＮ通信線に接続する。このようにすれば、ゲートウェイ装置１０や各ＥＣＵ自体が交換されたとしても、そのことによってバス障害発生機能がなくなってしまう危険性を排除できる。
【００５５】
（２）上記実施例では、対象ＥＣＵとして例えばエンジンＥＣＵ１、イモビＥＣＵ５、セキュリティＥＣＵ６などを想定し、ゲートウェイ装置１０がそれらのＥＣＵとの間でのコード照合が不成立であった場合や、対象ＥＣＵからの応答がない場合などを、バス障害発生のトリガとした。それ以外にも、車両盗難の発生が推定される状況を判定するためのトリガとしては種々考えられる。
【００５６】
▲１▼例えば、ナビゲーションＥＣＵ７やメーデーＥＣＵ９からゲートウェイ装置１０へ位置情報を通知する機能を有し、ゲートウェイ装置１０は、当該ＥＣＵに対して再度電源供給がなされたとき、以前と異なる位置情報を得た場合又は位置情報を得ることができなかった場合に、バス障害を発生させることが考えられる。但し、ナビゲーション装置等自体が故障している場合には、作動中に発生した故障を認識できるようにしバス障害を発生させないようにする。
【００５７】
また、車両盗難後にナビゲーション装置やテレマティクス装置による盗難位置通知（機能を持つ）装置が不正に交換された場合にも、本装置によってＬＡＮの通信を妨害させ車両機能を成立させない。
▲２▼車両のナンバープレートが取り外されたことを検出するセンサからの情報信号を通知された場合をトリガとしてもよい。その場合は、例えばナンバーＥＣＵのようなものを設けてＬＡＮ通信線に接続すればよい。
【００５８】
▲３▼アラームセキュリティの警告中／非警告中に連動して、バス障害を発生させる機能を有効／無効にする。この時、ＬＡＮ機能が成立しない状態でもセキュリティ機能が正常に作動するように留意する。例えばセキュリティＥＣＵ６に関しては、センサ・アクチュエータ類をＬＡＮ通信線を介して接続するのではなくセキュリティＥＣＵ６に直接接続しておくなどして、ＬＡＮ通信線を介した通信機能が不能となっても、単独でセキュリティ動作は実行できるようにする。
【００５９】
（３）上記実施例では、図３を参照して説明したように、バス障害発生部１６がドライバ／レシーバＩＣ１１ａ，１１ｂ，１１ｃ…の通常の機能を停止させ、例えばＨｉ電位に固定したりＨｉ→Ｌｏ→Ｈｉ→Ｌｏ…等、ＬＡＮ通信線Ａ，Ｂ，Ｃ…に接続されるＥＣＵが送信する信号を妨害できるような信号を引き起こしてバス上に流すようにした。これはいわゆるソフトウェア的に実現した例であり、ハードウェアによる改良が無くても実現できる。
【００６０】
一方、ハードウェア的に実現することもできる。その場合には、例えばドライバ／レシーバＩＣ１１ａ，１１ｂ，１１ｃ…（図３参照）内に装着している内部回路やプリント板の表面からは改造しにくい箇所に備え付けている回路によってバス障害（ＧＮＤショートやＨＩ電位ショート、中間電位保持）を行うようすることが考えられる。このようにすれば、ＬＡＮ通信線に接続する全てのＥＣＵが通信できない状態となる。
【００６１】
ここで、通信バス（ＬＡＮ通信線）がツイストペア通信線で構成されている場合には、ツイストペア通信線の双方を短絡させることによって通信機能を不能にさせることが考えられる。ツイストペア通信線（２本のより線）による通信では、片側の線が短絡している場合でもバックアップ通信できる場合もあるため、双方を短絡することで、通信機能の不能化の実効性を向上させる。なお、双方短絡の一例としては線間短絡が考えられる。
【００６２】
（４）上記実施例では、盗難発生が推定される場合の機能低下・不能制御を実行する場合を説明したが、盗難そのものを未然に防止するために同様の機能低下・不能制御を実行しても良い。この場合は、所定の認証処理によって認証が成立するまではネットワークシステムの全部あるいは一部の機能を不能又は低下させておき、認証が成立すると機能を正常状態に戻すのである。つまり、所定の認証処理にてＯＫがでない限り、デフォルト状態としてネットワーク通信機能の不能又は低下を確保しておく。例えばイモビＥＣＵ５が電子キー２０との間でのコード照合を行う場合、このようなコード照合、あるいは指紋等のバイオメトリックス情報による照合など、ユーザ認証を行って照合成立の場合に初めて通信機能を正常に働かすようにする。
【００６３】
もちろん、このような認証が成立して機能を正常状態に戻した後、上記実施例のような盗難発生が推定される場合の機能低下・不能制御を実行すれば、総合的な盗難防止効果はより向上する。
【図面の簡単な説明】
【図１】実施例の車載ネットワークシステムの構成を表すブロック図である。
【図２】実施例のイモビＥＣＵ、メーデーＥＣＵ等の説明図である。
【図３】実施例のゲートウェイ装置の説明図である。
【図４】実施例のゲートウェイ装置において実行される処理を表すフローチャートである。
【図５】ガード解除のための構成を表す説明図である。
【符号の説明】
１…エンジンＥＣＵ、２…ＡＢＳ・ＥＣＵ、３…クルーズＥＣＵ、４…ドアロックＥＣＵ、５…イモビＥＣＵ、５ａ…チューナＥＣＵ、６…セキュリティＥＣＵ、７…ナビＥＣＵ、８…ディスプレイＥＣＵ、９…メーデーＥＣＵ、１０ゲートウェイ装置、１１ａ，１１ｂ，１１ｃ…ドライバ／レシーバＩＣ、１２…マイコン、１３…バスデータプロセッシングモジュール、１４…ＥＥＰＲＯＭ、１５…コードチェッキングモジュール、１６…バス障害発生部、２０…電子キー、３０…情報センタ３０、４０…サービスツール、４２…ディーラー固定回線、４４…広域電話回線網、４６…センタ。

Claims (19)

1. 複数の電子制御装置がネットワークによって接続されたネットワークシステムを備える車両に搭載される盗難防止装置であって、
   前記電子制御装置が不正に交換又は取り外された場合などの車両盗難の発生が推定される状況が生じたことを判定した場合には、前記ネットワークの通信機能自体を不能に又は低下させることによって、前記ネットワークシステムの全部あるいは一部の機能を不能に又は低下させる機能制御手段を備えることを特徴とする車両の盗難防止装置。
2. 複数の電子制御装置がネットワークによって接続されたネットワークシステムを備える車両に搭載される盗難防止装置であって、
   前記電子制御装置が不正に交換又は取り外された場合などの車両盗難の発生が推定される状況が生じたことを判定した場合には、前記ネットワークシステムの全部あるいは一部の機能を不能に又は低下させる機能制御手段を備え、
   前記一の電子制御装置は、エンジンの始動を所定条件下のみで許可するイモビライザー機能を有しており、
   前記機能制御手段は、前記車両盗難の発生が推定される状況が生じたことを、前記イモビライザー機能を有する電子制御装置が不正に交換又は取り外されたことで判定することを特徴とする車両の盗難防止装置。
3. 複数の電子制御装置がネットワークによって接続されたネットワークシステムを備える車両に搭載される盗難防止装置であって、
   前記電子制御装置が不正に交換又は取り外された場合などの車両盗難の発生が推定される状況が生じたことを判定した場合には、前記ネットワークシステムの全部あるいは一部の機能を不能に又は低下させる機能制御手段を備え、
   前記一の電子制御装置は、車両の不正操作を検出した場合に、車両状態や車両位置などを表す車両情報を車両管理者側情報端末若しくは盗難防止用情報センタに無線にて送信する車両情報送信機能を有しており、
   前記機能制御手段は、前記車両盗難の発生が推定される状況が生じたことを、前記車両情報送信機能を有する電子制御装置が不正に交換又は取り外されたことで判定することを特徴とする車両の盗難防止装置。
4. 複数の電子制御装置がネットワークによって接続されたネットワークシステムを備える車両に搭載される盗難防止装置であって、
   前記電子制御装置が不正に交換又は取り外された場合などの車両盗難の発生が推定される状況が生じたことを判定した場合には、前記ネットワークシステムの全部あるいは一部の機能を不能に又は低下させる機能制御手段を備え、
   前記一の電子制御装置は、車両の現在位置を特定する位置特定機能を有しており、
   前記機能制御手段は、前記車両盗難の発生が推定される状況が生じたことを、前記位置特定機能を有する電子制御装置からの情報に基づき、当該位置特定機能を有する電子制御装置への電源供給が停止された時の車両位置と、その後に電源供給が再開された時の車両位置とが異なっていること、又は電源供給再開時の車両位置が得られなかったことで判定することを特徴とする車両の盗難防止装置。
5. 複数の電子制御装置がネットワークによって接続されたネットワークシステムを備える車両に搭載される盗難防止装置であって、
   前記電子制御装置が不正に交換又は取り外された場合などの車両盗難の発生が推定される状況が生じたことを判定した場合には、前記ネットワークシステムの全部あるいは一部の機能を不能に又は低下させる機能制御手段を備え、
   前記一の電子制御装置は、ナンバープレートが不正に交換又は取り外されたことを判定する判定機能を有しており、
   前記機能制御手段は、前記車両盗難の発生が推定される状況が生じたことを、前記判定機能を有する電子制御装置からの情報に基づき、前記ナンバープレートが不正に交換又は取り外されたことで判定することを特徴とする車両の盗難防止装置。
6. 請求項１〜５の何れか一項に記載の車両の盗難防止装置において、
   前記機能制御手段は、前記不正に交換又は取り外される可能性の高い電子制御装置に記憶されているＩＤコードを前記ネットワークを介して取得して照合した結果、照合が成立しない場合、又は当該電子制御装置が接続されているにもかかわらず前記ＩＤコードが取得できない場合に、前記不正な交換又は取り外しが行われたと判定することを特徴とする車両の盗難防止装置。
7. 請求項１〜６の何れか一項に記載の車両の盗難防止装置において、
   前記機能制御手段は、前記電子制御装置に内蔵されていることを特徴とする車両の盗難防止装置。
8. 請求項７記載の車両の盗難防止装置において、
   前記機能制御手段は、不正に交換又は取り外される可能性の高い電子制御装置以外の電子制御装置に内蔵されていることを特徴とする車両の盗難防止装置。
9. 請求項１〜６の何れか一項に記載の車両の盗難防止装置において、
   前記ネットワークシステムは、１以上の電子制御装置がそれぞれ接続された複数のＬＡＮと、当該複数のＬＡＮ間でのデータ通信を仲介するゲートウェイ装置とを備えており、
   当該ゲートウェイ装置が、前記機能制御手段を備えることを特徴とする車両の盗難防止装置。
10. 請求項１〜６の何れか一項に記載の車両の盗難防止装置において、
    前記機能制御手段は、前記複数の電子制御装置とは別個に前記ネットワークに接続されていることを特徴とする車両の盗難防止装置。
11. 請求項１〜１０の何れか一項に記載の車両の盗難防止装置において、
    前記機能制御手段は、前記ネットワークシステムの全部あるいは一部の機能を不能に又は低下させる対象として、少なくとも、前記電子制御装置の内で制御に必要な情報をネットワークを介した通信によって送受している度合いの高い電子制御装置を含めることを特徴とする車両の盗難防止装置。
12. 請求項１〜１１の何れか一項に記載の車両の盗難防止装置において、
    前記電子制御装置が前記機能制御手段を内蔵しており、
    前記機能制御手段は、前記ネットワークへ接続するための通信バスを短絡させることによって、当該機能制御手段が内蔵されている電子制御装置と前記ネットワークとの間の通信機能を不能にさせることを特徴とする車両の盗難防止装置。
13. 請求項１〜１１の何れか一項に記載の車両の盗難防止装置において、
    前記ネットワークシステムは、１以上の電子制御装置がそれぞれ接続された複数のＬＡＮと、当該複数のＬＡＮ間でのデータ通信を仲介するゲートウェイ装置とを備え、当該ゲートウェイ装置が前記機能制御手段を内蔵しており、
    前記機能制御手段は、前記ネットワークへ接続するための通信バスを短絡させることによって、当該機能制御手段が内蔵されているゲートウェイ装置を介した前記ＬＡＮ間の通信機能を不能にさせることを特徴とする車両の盗難防止装置。
14. 請求項１２又は１３記載の車両の盗難防止装置において、
    前記通信バスがツイストペア通信線で構成されており、
    前記機能制御手段は、前記ツイストペア通信線の双方を短絡させることによって前記通信機能を不能にさせることを特徴とする車両の盗難防止装置。
15. 請求項１４記載の車両の盗難防止装置において、
    前記機能制御手段は、前記ツイストペア通信線の双方の短絡を、線間を短絡させることによって実行することを特徴とする車両の盗難防止装置。
16. 請求項１〜１１の何れか一項に記載の車両の盗難防止装置において、
    前記機能制御手段は、前記電子制御装置が前記ネットワーク上に送信する信号を妨害可能な妨害信号を発生させて前記ネットワーク上へ流すことによって、前記ネットワークシステムの全部あるいは一部の通信機能を不能又は低下させることを特徴とする車両の盗難防止装置。
17. 複数の電子制御装置がネットワークによって接続されたネットワークシステムを備える車両に搭載される盗難防止装置であって、
    所定の認証処理によって認証が成立するまでは前記ネットワークシステムの全部あるいは一部の機能を不能又は低下させ、前記認証が成立すると前記機能を正常状態に戻す機能制御手段を備えることを特徴とする車両の盗難防止装置。
18. 請求項１７記載の車両の盗難防止装置において、
    前記機能制御手段は、前記認証が成立して前記機能を正常状態に戻した後、前記電子制御装置が不正に交換又は取り外された場合などの車両盗難の発生が推定される状況が生じたことを判定した場合には、前記ネットワークの通信機能自体を不能に又は低下させることによって、前記ネットワークシステムの全部あるいは一部の機能を不能に又は低下させることを特徴とする車両の盗難防止装置。
19. コンピュータに、請求項１〜１８の何れか一項に記載の車両の盗難防止装置における機能制御手段として機能させるためのプログラム。

Images