JP5337861B2 - 車載ゲートウェイ装置 - Google Patents

Description

本発明は、車載ゲートウェイ装置に係り、特に車両の情報系と制御系に接続されるゲートウェイ装置における情報系と制御系の連携の管理に関するものである。

近年、自動車に対する安全性向上および環境負荷低減への要請は一層強くなってきている。これに対し、従来のように車両制御系に閉じた機能追加や性能向上だけの対応では限界に近づいており、カーナビなどの情報系機器や道路側から提供される情報と連携した走行制御が必要となり、ＩＴＳ（Ｉｎｔｅｌｌｉｇｅｎｔ Ｔｒａｎｓｐｏｒｔａｔｉｏｎ Ｓｙｓｔｅｍ）分野における取り組みが重要となっている。また、テレマティクスによる遠隔での事故や故障時の緊急支援サービスや盗難防止サービスなども実用化され、この中でも車の情報系と制御系の連携が重要となっている。

車両の制御系システムと情報系システムは信頼性のレベルが異なっており、両者を接続する際には車両制御の安全性を損なわないように十分対策を行うことが重要である。
この点に関して、従来、特許文献１（特開２０００−３４９７８０号公報）には、優先度が指定されている複数のゲートを用意し、外部状況や認証機構からの情報に基づいてどの優先度のゲートを通過させるか判断し、アクセス制御を行う装置が開示されている。また、特許文献２（特開２０００−０５７４８４号公報）には、走行系と非走行系のバスラインを分けて、ＩＴＳ情報をゲートウェイで選択して出力する仕組みについて開示されている。

特開２０００−３４９７８０号公報 特開２０００−０５７４８４号公報

ところで、車両の情報系や制御系に異常が発生した場合には両者が連携することは好ましくないと考えられる。然るに、上記文献には、異常時に関する監視手段やアクセス制御手段については言及されていない。

また、車両の運用期間は通常１５年程度の長期間と想定されているが、その間に部品のハードウェアやソフトウェアは新しいものに更新されていく可能性が高い。特に、カーナビに代表される情報系部品は製品ライフサイクルが短い。そこで、今後の車両の情報系と制御系の連携を考えていく上では、連携する際のハード・ソフトのバージョン違い等の適合性を判断してアクセス制御を行うことが重要であると考えられる。然るに、上記文献にはこの点についても言及されていない。

本発明の目的は、車両の情報系及び制御系の状態や構成の変化に応じて両者の連携を実現する車載ゲートウェイ装置、その車両、その制御方法、及びそのためのプログラムを提供することにある。

本発明による車載ゲートウェイ装置は、好ましくは、車両の情報系ネットワークと制御系ネットワークに接続される車載ゲートウェイ装置であって、情報系ネットワークへのメッセージ送受信を司る情報系アクセス部と、制御系ネットワークへのメッセージ送受信を司る制御系アクセス部と、情報系アクセス部と制御系アクセス部の間のデータフローを制御するアクセス制御部と、アクセス制御部がアクセス制御するためのポリシを管理するポリシ管理部と、情報系アクセス部を介して情報系の状態を監視する情報系監視部と、情報系監視部によって取得された情報を管理する情報系構成管理部と、制御系アクセス部を介して制御系の状態を監視する制御系監視部と、制御系監視部によって取得された情報を管理する制御系構成管理部と、ポリシ管理部で管理されるポリシを更新すべきか判断してポリシを更新するポリシ更新部と、を有することを特徴とする車載ゲートウェイ装置として構成される。

好ましい例では、前記情報系構成管理部及び前記制御系構成管理部は、情報系の部品名と部品識別子と部品状態とを格納する第１記憶部と、部品識別子の現状の値と一つ前の過去の値とを格納する第２記憶部と、部品状態を更新した時刻をタイムスタンプとして格納する第３記憶部を含む記憶部を有する。
また、好ましくは、前記情報系監視部は、前記情報系ネットワークに接続されたカーナビゲーション端末が自己診断の結果として保持している故障コードを取得する手段、もしくは、カーナビゲーション端末が発するメッセージの異常を把握する手段を有する。
また、好ましくは、前記制御系監視部は、前記制御系ネットワークに流れるメッセージからバッテリ電圧を取得する手段を有する。

また、好ましくは、前記ポリシ管理部は、アクセス制御ルールとして、メッセージの宛先と内容を表す情報と、メッセージのアクセスを許可するための条件を指定する情報と、アクセスが許可されなかった場合の対応策を指定する情報とを保持して管理する。
また、好ましくは、前記ポリシ管理部は、アクセス変換ルールとして、元のメッセージを識別する情報と、アクセス時に変換を行うか否かを判定するチェックリストと、メッセージを変換するためのルールを保持して管理し、チェックリストに前記情報系構成管理部または前記制御系構成管理部の内容を含ませる。
また、好ましくは、前記アクセス制御部は、前記情報系ネットワークからのメッセージを前記情報系アクセス部から取得し、前記アクセス制御部が前記ポリシ管理部からポリシを取得し、ポリシに基づき前記情報系構成管理部の情報をチェックし、ポリシに基づき前記制御系構成管理部の情報をチェックし、アクセス可否を判断し、アクセスが許可されればメッセージの変換要否を判断し、変換要であれば送信メッセージを前記アクセス変換ルールに従って変換し、前記制御系アクセス部が前記制御系ネットワークにメッセージを送信し、前記アクセス可否判断にてアクセスが不可の場合には前記アクセス制御ルールにて指定されたアクセス不可時の対応を実行する手段を有する。
また、好ましくは、前記ポリシ更新部は、前記情報系構成管理部及び前記制御系構成管理部を確認して前記部品識別子に変化がないか確認し、いずれかに変化があれば変化のあった構成部品の部品識別子をセンタサーバに問合せ、部品識別子をキーとして取得した前記ポリシを取得し、取得した新規ポリシで前記ポリシ管理部の内容を更新する手段を有する。
また、好ましくは、前記ポリシ更新部は、前記センタサーバから推奨対応システムの情報を取得し、推奨対応システムの情報と前記情報系構成管理部または前期制御系構成管理部の少なくともいずれかと比較し、差分があれば必要なシステム更新を促す通知を行う手段を有する。

本発明に係るプログラムは、車両の情報系ネットワークと制御系ネットワークに接続される車載ゲートウェイ装置に搭載されたコンピュータで実行されるプログラムであって、情報系ネットワークへのメッセージ送受信を司る情報系アクセス機能と、制御系ネットワークへのメッセージ送受信を司る制御系アクセス機能と、情報系アクセス機能と制御系アクセス機能の間のデータフローを制御するアクセス制御機能と、アクセス制御機能がアクセス制御するためのポリシを管理するポリシ管理機能と、情報系アクセス機能を介して情報系の状態を監視する情報系監視機能と、情報系監視機能によって取得された情報を管理する情報系構成管理機能と、制御系アクセス機能を介して制御系の状態を監視する制御系監視機能と、制御系監視機能によって取得された情報を管理する制御系構成管理機能と、ポリシ管理機能で管理されるポリシを更新すべきか判断してポリシを更新するポリシ更新機能とを有することを特徴とするプログラムとして構成される。

また、本発明に係る制御方法は、車両の情報系ネットワークと制御系ネットワークに接続される車載ゲートウェイ装置における制御方法であって、情報系ネットワークへのメッセージ送受信を司る情報系アクセス部を介して情報系の状態を監視する情報系監視ステップと、情報系監視によって取得された情報を管理する情報系管理ステップと、制御系ネットワークへのメッセージ送受信を司る制御系アクセス部を介して制御系の状態を監視する制御系監視ステップと、制御系監視によって取得された情報を管理する制御系管理ステップと、情報系アクセス部と制御系アクセス部の間のデータフローを制御するアクセス制御部がアクセス制御するためのポリシを管理するポリシ管理ステップと、ポリシ管理で管理されるポリシを更新すべきか判断してポリシを更新するポリシ更新ステップと、を有することを特徴とする車載ゲートウェイ装置の制御方法として構成される。

また、本発明に係る車両は、好ましくは、車載ゲートウェイ装置と、情報系ネットワークを介して車載ゲートウェイ装置に接続された情報系機器と、制御系ネットワークを介して車載ゲートウェイ装置に接続された制御系機器と、を有する車両であって、車載ゲートウェイ装置は、情報系ネットワークへのメッセージ送受信を司る情報系アクセス部と、制御系ネットワークへのメッセージ送受信を司る制御系アクセス部と、情報系アクセス部と制御系アクセス部の間のデータフローを制御するアクセス制御部と、アクセス制御部がアクセス制御するためのポリシを管理するポリシ管理部と、情報系アクセス部を介して情報系の状態を監視する情報系監視部と、情報系監視部によって取得された情報を管理する情報系構成管理部と、制御系アクセス部を介して制御系の状態を監視する制御系監視部と、制御系監視部によって取得された情報を管理する制御系構成管理部と、ポリシ管理部で管理されるポリシを更新すべきか判断してポリシを更新するポリシ更新部と、を有し、
情報系監視部は、情報系ネットワークに接続された機器の状態の変化を監視して、取得した情報を情報系構成管理部に反映し、制御系監視部は、制御系ネットワークに接続された機器の状態の変化を監視して、取得した情報を制御系構成管理部に反映し、ポリシ更新部は、情報系構成管理部又は制御系構成管理部における変化を検知して、ポリシ管理部のポリシを更新することを特徴とする車両として構成される。

本発明によれば、車両の情報系および制御系を定期的に監視することで、情報系と制御系が連携するのに不整合が発生した場合には、相互のアクセスを遮断したり変換したりするアクセス制御を実施することが可能になる。これにより、車両制御の安全性や安定性を損なわずに情報系と制御系の連携を実現することができる。

一実施例におけるゲートウェイ装置およびそれを含む車載システムの構成を示す図。 ゲートウェイ装置とセンタサーバの連携のための全体システムの構成を示す図。 情報系構成管理部１０６のテーブル構成を示す図。 制御系構成管理部１０８のテーブル構成を示す図。 情報系構成管理部１０６の内容を更新するための処理フローチャート。 制御系構成管理部１０８の内容を更新するための処理フローチャート。 ポリシ管理部１０９のテーブル構成を示す図。 情報系ＬＡＮからのメッセージを制御系ＬＡＮに送る際に実行するアクセス制御の処理フローチャート。 センタサーバへアクセスしてポリシを更新するための処理フローチャート。 センタサーバ内のポリシ格納部のテーブル構成を示す図。 車両システム更新案内をカーナビゲーション端末に表示される画面例を示す図。 車載ゲートウェイ装置のハードウェア構成の例を示す図。

以下、図面に従い、車載ゲートウェイ装置により車両の情報系と制御系を安全に接続する実施例について説明する。

図１は、ゲートウェイ装置およびそれを含む車載システムの構成を示す。
ゲートウェイ装置１０１は、情報系ＬＡＮ１１２と制御系ＬＡＮ１１６の間に接続される装置であり、情報系ＬＡＮ１１２に接続された機器１１３，１１４と、制御系ＬＡＮ１１６に接続された機器１１７の連携を仲介する。情報系ＬＡＮ１１２に接続される車載情報系端末の代表例としては、カーナビゲーション端末１１３や、車載カメラ１１５の映像を処理・制御するカメラ制御端末１１４がある。情報系ＬＡＮ１１２としては、マルチメディアＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）やＩＥＥＥ１３９４、ＵＳＢなどが利用される。
一方、制御系ＬＡＮ１１６に接続される車載制御系端末としては、電子制御装置（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）１１７がある。制御系ＬＡＮ１１６としてはＣＡＮやＦｌｅｘＲａｙが利用される。

ゲートウェイ装置１０１は、情報系ＬＡＮ１１２へのメッセージの送受信を司る情報系アクセス部１０２、制御系ＬＡＮ１１６へのメッセージの送受信を司る制御系アクセス部１０４、情報系アクセス部１０２と制御系アクセス部１０３の間のデータフローを制御するアクセス制御部１０３、アクセス制御のためのポリシを管理するポリシ管理部１０９、情報系アクセス部１０２を使って情報系の状態を監視する情報系監視部１０５、情報系監視部１０５によって取得された情報を蓄積・管理する情報系構成管理部１０６、制御系アクセス部１０２を使って制御系の状態を監視する制御系監視部１０５、制御系監視部１０５によって取得された情報を蓄積・管理する制御系構成管理部１０６、ポリシを更新すべきか否か判断し外部通信部１１１を使ってポリシを更新するポリシ更新部１１０を有して構成される。

ここで、外部通信部１１１としては携帯電話網や無線ＬＡＮを使ったデータ通信チップやカードが想定される。アクセス制御部１０３は情報系構成管理部１０６および制御系情報管理部１０８が管理している車両状態の情報に基づきアクセス制御の判断を行う。また、ポリシ更新部１１０は、情報系構成管理部１０６および制御系構成管理部１０８で管理されている情報に基づいてポリシ更新要否を判断する。上記の機能は、コンピュータで所定のプログラムを実行することで実現される。

図１２に、ゲートウェイ装置１０１の好ましいハードウェア構成を示す。
ゲートウェイ装置１０１は、所定のプログラムを実行するＣＰＵ１２０１と、外付けのフラッシュＲＯＭ１２０２、ＲＡＭ１２０３、情報系ＬＡＮ１１２としてのＣＡＮに接続するためのＣＡＮコントローラ１２０４ａ、制御系ＬＡＮ１１６に接続するためのＣＡＮコントローラ１２０４ｂ、外部と無線通信を行うための通信デバイス１２０５、イグニッションＯＮ／ＯＦＦによる電源供給及び停止を制御する電源管理回路１２０６を有して構成される。
ここで、上記の機能を実現するプログラムは、ＣＰＵ１２０１内蔵のＲＯＭ、又は外付けのフラッシュＲＯＭ１２０２に格納されており、ゲートウェイ装置の起動時にこのＲＯＭから読み出されてＣＰＵ１２０１で実行される。

図２はゲートウェイ装置とセンタサーバの連携のための全体システムの構成を示す。
ゲートウェイ装置１０１は公衆通信網２０２を介してセンタサーバ２０３に接続される。センタサーバ２０３は、情報系及び制御系のアクセスを規定したポリシを格納する格納部２０５及びゲートウェイ装置１０１に対するポリシを更新するポリシ更新応答部２０４を有する。
車両２０１に搭載されたゲートウェイ装置１０１から外部通信部１１１及び公衆通信網２０２を介してセンタサーバ２０３に対してポリシ更新の問合せを行うと、センタサーバ２０３では、ポリシ更新応答部２０４がそのアクセスを受け付け、ポリシ格納部２０５に格納さえているポリシから適切なものを選択して、ゲートウェイ装置１０１に応答する。

図３は情報系構成管理部１０６のテーブル構造を示す。
情報系構成管理部１０６は、情報系ＬＡＮ１１２及び情報系ＬＡＮ１１２に接続されている構成部品に関する情報をリストとして管理する。テーブルは、部品名３０１、ハード識別子３０２、ソフト識別子３０３、状態３０４、タイムスタンプ３０５の各構成要素を記憶して管理する。ハード識別子３０２は部品のハードウェアをユニークに識別するためのＩＤであり、ソフト識別子３０３はハード内に組み込まれているソフトウェアのバージョンを表す識別子である。状態３０４は部品に発生している障害内容を表し、故障が発生している場合には故障コード（Ｄｉａｇｎｏｓｔｉｃ Ｔｒｏｕｂｌｅ Ｃｏｄｅ）を格納する。タイムスタンプ３０５は状態３０４の情報を更新した際の最新のタイムスタンプを保持する。

図４は制御系構成管理部１０８のテーブル構成を示す。
制御系構成管理部１０８も情報系構成管理部１０６と同様の構成をしており、管理の対象が制御系ＬＡＮ１１６及び制御系ＬＡＮ１１６に接続されたＥＣＵ１１７となる。制御系構成管理部１０８のテーブルは、情報系構成管理部１０６のテーブルと同様に、部品名４０１、ハード識別子４０２、ソフト識別子４０３、状態４０４、及びタイムスタンプ４０５を保持して管理する。

次に、図５を参照して、情報系構成管理部１０６を更新するための処理動作について説明する。まず、情報系監視部１０５が情報系アクセス部１０２に情報系への問合せアクセスを要求する（ステップ５０１）。情報系アクセス部１０２は、指定の部品に対して診断通信を行い、問合せによるデータ取得のための通信を実行する（ステップ５０２）。ＣＡＮを使った診断通信としてはＤｉａｇＯｎＣＡＮ（Ｄｉａｇｎｏｓｔｉｃｓ Ｏｎ ＣＡＮ）が標準化されており、一般的にも用いられている。ＤｉａｇＯｎＣＡＮを用いて、問合せ通信を行う場合、例えばＲｅａｄＤａｔａＢｙＬｏｃａｌＩＤサービス（サービスＩＤ：＄２１）と指定のローカルＩＤ（例えば、ハード／ソフト識別子取得の場合には＄１１、故障コード取得の場合には＄１２）を用いて該当するＥＣＵ１１７に対して問合せ通信を行う。

次に、これによる応答メッセージを情報系監視部１０５に返信し（ステップ５０３）、応答メッセージに基づいて情報系構成管理部１０６内の管理情報を更新する（ステップ５０４）。ＣＡＮの場合、ノイズ等でメッセージが壊れた場合等にエラーを検出する機能があり、例えばカーナビゲーション端末１１３が発したメッセージにエラーが発生した場合には情報系アクセス部１０２でエラーを検知し、検知したエラーの通知を情報系監視部１０５が受けることで、情報系監視部１０５が状態３０４を更新することもできる。このとき、ＤｉａｇＯｎＣＡＮによる問合せ通信で取得したハード／ソフト識別子は情報系構成管理部１０６内のハード識別子３０２とソフト識別子３０３の各欄を更新する。「今回」欄に記載の内容に変更があれば、「今回」欄の内容を「前回」欄にコピーし、「今回」欄を新規データに更新する。故障コードを取得した場合には状態３０４欄を最新の故障コードに更新し、これを更新した日時をタイムスタンプ３０５に記録することになる。

図６に、制御系構成管理部１０７を更新するための処理フローを示す。
この更新処理は、実質的に上記した情報系構成管理部１０６の更新処理と同様である。
まず、制御系監視部１０７が制御系アクセス部１０４に制御系へのアクセスを要求し（ステップ６０１）、制御系アクセス部１０４より指定の部品に対してＤｉａｇＯｎＣＡＮ等の診断通信を実施する（ステップ６０２）。診断通信による応答メッセージを制御系監視部１０７に返信し（ステップ６０３）、応答メッセージに基づき制御系構成管理部１０８内の管理情報を更新する（ステップ６０４）。例えば、制御系監視部１０７はＥＣＵへの問合せの応答メッセージ、または、ＥＣＵから定期的に送信されるメッセージにバッテリ電圧に関する情報が含まれている場合には、メッセージから該当情報を抽出し、図４の部品名４０１「バッテリ」に関するレコードの状態４０４に「電圧１０Ｖ」のように値を入力して更新する。

次に、図７を参照してポリシ管理部１０９の構成について説明する。
ポリシ管理部１０９は、アクセス制御部１０３においてアクセス制御を実施する際にベースとするアクセス制御ポリシを管理するものであり、（ａ）アクセス制御ルール、（ｂ）アクセス許可条件、（ｃ）アクセス変換ルールの３つのテーブルによって構成される。

（ａ）アクセス制御ルールは、どのサービスをどのタイミングで許可するか、及び、アクセス不可の場合にどのように対応すべきかをルール化し、リストアップしたものである。本実施の形態では、アクセス制御ルールとして、「ＣＡＮ ＩＤ」「サービスＩＤ」「パラメタ」「アクセス許可条件」「アクセス不可時対応」を規定する。「ＣＡＮ ＩＤ」「サービスＩＤ」「パラメタ」はＤｉａｇＯｎＣＡＮによる診断通信に対してアクセス制御を行う場合に指定する値となる。「ＣＡＮ ＩＤ」には、問合せ先となるＥＣＵ１１７への送信用として指定されているＣＡＮ ＩＤを、「サービスＩＤ」にはその条件で許可するＤｉａｇＯｎＣＡＮサービスのＩＤ（例えば、ＲｅａｄＤａｔａＢｙＬｏｃａｌＩＤなら＄２１）、サービスＩＤのサービスで指定すべきパラメタ（サービスがＲｅａｄＤａｔａＢｙＬｏｃａｌＩＤならば指定すべきローカルＩＤ）を規定する。「アクセス許可条件」には、ＤｉａｇＯｎＣＡＮ通信を許可するための条件を（ｂ）アクセス許可条件のリストから該当する条件の通番を指定する。複数の条件を「ＡＮＤ」または「ＯＲ」で接続して複合的な条件として規定してもよい。「アクセス不可時対応」には、アクセス許可条件に適合しなかった場合の対応方法を規定する。例えば、「アクセス拒否」や「自己停止（セルフ・シャットオフ）」といった対応方法を規定することになる。

（ｂ）アクセス許可条件のテーブルは、（ａ）アクセス制御ルールの中でアクセスを許可するための個々の条件をリストアップしたものである。本実施の形態では、アクセス許可条件として、部品」「ハード識別子」「ソフト識別子」「状態」によって表している。これは情報系構成管理部１０６および制御系構成管理部１０８にて管理している情報の内容と同じである。例えば、部品「ＥＣＵ１」のハード識別子「９８７６」、ソフト識別子「００２」で、状態が「異常なし」であることがアクセス許可の一つの条件であればこれをリストに追加する。「制御系ＬＡＮ」や「バッテリ」のようにハード／ソフト識別子を持たないものはハード／ソフト識別子の指定は不要である。

上記の構成によれば、動的に変化することが想定される部品のバージョン更新や車両の状態変化に対応して応じて適切なアクセス制御が可能となる。例えば、「バッテリ電圧が規定値以下の場合にはＥＣＵへのアクセスはしない」「カーナビの異常が検知された場合にはカーナビからの要求は遮断する」などの対応を取ることができる。

（ｃ）アクセス変換ルールは、情報系ＬＡＮ１１２からのメッセージを制御系ＬＡＮ１１６に転送する場合、又はその逆に、制御系ＬＡＮ１１６からのメッセージを情報系ＬＡＮ１１２に転送する場合に、メッセージをどのように変換するかについてのルールを規定する。
本実施の形態では、情報系ＬＡＮ１１２からのメッセージを、宛先のＥＣＵ１１７のハード/ソフト識別子に応じてＣＡＮ ＩＤを変換して送信する例を図７（ｃ）に示している。図７では、情報系ＬＡＮ１１２からのメッセージのＣＡＮ ＩＤが「１０Ｄ」の場合に、部品名「ＥＣＵ１」のハード識別子が「９８７６」、ソフト識別子が「００５」の場合には、ＣＡＮ ＩＤを「２１Ａ」に変換する旨をルールとして規定している。変換するか否かを判定する条件となる「部品名」「ハード識別子」「ソフト識別子」を「チェックリスト」として規定する。本実施の形態では、ＣＡＮ ＩＤの変換のみを示しているが、メッセージ中のデータのビット位置を移動するルールとして規定しても良い。例えば、「１５ビット目から１６ビット目までの２ビットを３１ビット目から３２ビット目の位置に移動」することをルールとして規定しても良い。

上記の構成によれば次のような利点がある。例えば、カーナビゲーション端末１１３が更新された場合、新しいカーナビゲーション端末１１３が新しい制御系システム向けに開発された従来にはないメッセージが制御系に送信される事態があるかもしれないが、このような場合でも、新旧の不適合を検知することで、更新されていない既存の制御系システムに適合しないメッセージは遮断したり、メッセージフォーマット等のプロトコルを旧制御系システム向けに変換することができ、制御系に悪影響が及ばないように管理できる。

次に、図８を参照して、ポリシ管理部１０９に規定したポリシを用いてアクセス制御を行う処理について説明する。
最初に、情報系ＬＡＮ１１２からのメッセージを情報系アクセス部１０２で受け付ける（ステップ８０１）。その後、アクセス制御部１０３がポリシ管理部１０９からポリシを取得する（ステップ８０２）。そして、図５（ａ）アクセス制御ルールに規定の「アクセス許可条件」に該当する図５（ｂ）アクセス許可条件に基づき、情報系構成管理部１０６の情報が図５（ｂ）アクセス許可条件に規定の「部品」「ハード識別子」「ソフト識別子」「状態」の値に該当するか否かをチェックする（ステップ８０３）。同様にして、図５（ｂ）アクセス許可条件に基づいて制御系構成管理部１０８の情報が、図５（ｂ）アクセス許可条件に規定の「部品」「ハード識別子」「ソフト識別子」「状態」の値に該当するか否かをチェックする（ステップ８０４）。

次に、ステップ８０３または８０４においてチェックされたアクセス可否判断を確認する（ステップ８０５）。その結果アクセス許可であれば、図７（ｃ）アクセス変換ルールに規定の「ＣＡＮ ＩＤ」と送信メッセージのＣＡＮ ＩＤとを、また、図７（ｃ）アクセス変換ルールの「チェックリスト」に規定の「部品名」「ハード識別子」「ソフト識別子」と情報系構成管理部１０６または制御系構成管理部１０８の内容とをそれぞれ比較することで変換要否を判断し（ステップ８０６）、その結果、変換要であれば制御系への送信メッセージをアクセス変換ルールに従って変換する（ステップ８０７）。そして、制御系アクセス部１０４が制御系ＬＡＮ１１６にメッセージを送信して（ステップ８０８）、処理を終了する。
一方、上記ステップ８０６における判断の結果、変換不要と判断されると、ステップ８０８に移って、制御系ＬＡＮ１１６にメッセージが送信される。またステップ８０５における判断の結果、アクセス不可と判断された場合には、図７（ａ）アクセス制御ルールの「アクセス不可時対応」に従い、ルールに規定の内容を実施する（ステップ８０９）。

上記の処理によれば、例えば、最新のカーナビゲーション端末１１３から、古いＥＣＵ１１７がサポートしていない新しい方式でアクセスを試みようとした場合にでも、アクセスを遮断したり、古いＥＣＵ１１７がサポートしているアクセス形式に変換したりすることによって、制御系に悪影響を及ぼす可能性を抑止することができる。

次に図９を参照して、情報系や制御系の構成変化に応じてポリシ管理部１０９で管理されているポリシを更新する処理について説明する。
まず、ポリシ更新部１１０が情報系構成管理部１０６を確認し、ハード識別子／ソフト識別子の内容が今回と前回に変化がないか確認する（ステップ９０１）。そして変化があるか否か判定して（ステップ９０２）、変化がある場合には変化のあった構成部品のハード識別子／ソフト識別子をセンタサーバ２０３のポリシ更新応答部２０４に問合せる（ステップ９０５）。
一方、変化がなかった場合には、制御系構成管理部１０８を確認し、ハード識別子／ソフト識別子の内容が今回と前回で変化がないか確認する（ステップ９０３）。そして、変化があるか否かを判定し（ステップ９０４）、変化があればステップ９０５に移る。変化がなければポリシ更新不要と判断し終了する。
ステップ９０５でセンタサーバ２０３に問合せると、送信したハード識別子／ソフト識別子を検索キーとしてポリシ格納部２０５から該当するポリシを取得し、ポリシ更新部１１０がこれを受信する（ステップ９０６）。

ここで、ポリシ格納部２０５のテーブル構成を図１０に示す。ポリシ格納部２０５では、ハード識別子、ソフト識別子とポリシ及び推奨対応システムを組として管理する。ここでポリシの内容は図７に示した（ａ）アクセス制御ルール、（ｂ）アクセス許可条件、（ｃ）アクセス変換ルールの各内容になるが、管理方法としては、指定されているハード識別子／ソフト識別子に関連した箇所だけを抜粋したものでも良い。推奨対応システムとは、部品の更新に対応して最新のサービスを受けるのに推奨されるシステム構成であり、具体的には連携する相手（制御系との連携であればＥＣＵ１１７）のハード識別子／ソフト識別子を表す。

その後、ポリシ更新部１１０はポリシ管理部１０９の内容を最新ポリシで更新する（ステップ９０７）。そして、推奨対応システムと制御系情報管理部１０８を比較し、差分があれば必要なシステム更新（ＥＣＵ１１７の更新の場合にはリプログラミング）を促すメッセージをカーナビゲーション端末１１３に通知し、表示する（ステップ９０８）。

ここで、カーナビゲーション端末１１３上にメッセージを表示した画面例を図１１に示す。カーナビゲーション端末１１３上のカーナビ表示部１１０１には、地図表示部１１０２に道路シンボル１１０３や車両現在位置シンボルなどが表示される。これに加えて、案内表示部１１０５に「最寄のディーラで車両をメンテナンスすることで最新のナビ協調制御機能をご利用いただけます。」のようなシステム更新を促すメッセージが表示される。

上記のように、本実施例によれば、車両の情報系システム、制御系システムのハードウェア、ソフトウェアが交換され更新された場合にも、ポリシを車両の変化に追従させることが可能となり、情報系と制御系の連携を適切に継続管理することが可能となる。

１０１：ゲートウェイ装置 １１２：情報系ＬＡＮ １１３：カーナビゲーション端末 １１５：車載カメラ １１６：制御系ＬＡＮ １１７：電子制御装置（ＥＣＵ） ２０１：車両 ２０２：公衆通信網 ２０３：センタサーバ １１０１：カーナビ表示部 １１０２：地図表示部
１１０３：道路シンボル １１０４：車両現在位置シンボル １１０５：案内表示部

Claims (11)

1. 車両の情報系ネットワークと制御系ネットワークに接続される車載ゲートウェイ装置であって、
   該情報系ネットワークへのメッセージ送受信を司る情報系アクセス部と、
   該制御系ネットワークへのメッセージ送受信を司る制御系アクセス部と、
   該情報系アクセス部と該制御系アクセス部の間のメッセージ送受信を制御するアクセス制
   御部と、
   該アクセス制御部がメッセージ送信を制御するためのポリシとして、メッセージの宛先と内容を表す情報と、該メッセージのアクセスを許可するための条件を指定する情報と、該アクセスが許可されなかった場合の対応策を指定する情報と、を管理するポリシ管理部と、
   該情報系アクセス部を介して情報系の状態を監視する情報系監視部と、
   該情報系監視部によって取得された情報系部品状態を管理する情報系構成管理部と、
   該制御系アクセス部を介して制御系の状態を監視する制御系監視部と、
   該制御系監視部によって取得された制御系部品状態を管理する制御系構成管理部と、
   該アクセス制御部は、該情報構成管理部及び該制御構成管理部に保持されている、前記情報系部品状態及び前記制御系部品状態が、該ポリシ管理部で管理されるポリシに記載された該アクセス制御ルール及び該アクセス許可条件に適合するかをチェックし、該チェック結果に基づいてメッセージ送信可否を判断して制御することを特徴とする車載ゲートウェイ装置。
2. 前記情報系構成管理部及び前記制御系構成管理部は、部品名と部品識別子と部品状態とを格納する第１記憶部と、該部品識別子の現状の値と一つ前の過去の値とを格納する第２記憶部と、該部品状態を更新した時刻をタイムスタンプとして格納する第３記憶部を有することを特徴とする請求項１に記載の車載ゲートウェイ装置。
3. 前記情報系監視部は、前記情報系ネットワークに接続されたカーナビゲーション端末が自己診断結果として保持している故障コードを取得する手段、もしくは、該カーナビゲーション端末が発するメッセージの異常を把握する手段を有することを特徴とする請求項１または２記載の車載ゲートウェイ装置。
4. 前記制御系監視部は、前記制御系ネットワークに流れるメッセージからバッテリ電圧を取得する手段を有することを特徴とする請求項１から３のいずれかに記載の車載ゲートウェイ装置。
5. 前記ポリシ管理部は、アクセス変換ルールとして、元のメッセージを識別する情報と、アクセス時に変換を行うか否かを判定するチェックリストと、メッセージを変換するためのルールを保持して管理し、該チェックリストに前記情報系構成管理部または前記制御系構成管理部の内容を含ませることを特徴とする請求項１から４のいずれかに記載の車載ゲートウェイ装置。
6. 前記アクセス制御部は、
   前記チェック結果に基づき、アクセス可否を判断し、
   アクセスが許可されれば該メッセージの変換要否を判断し、変換要であれば送信メッセージを前記アクセス変換ルールに従って変換し、
   前記情報系アクセス部が前記情報系ネットワークにメッセージを送信または前記制御系アクセス部が前記制御系ネットワークにメッセージを送信し、前記アクセス可否判断にてアクセスが不可の場合には前記アクセス制御ルールにて指定されたアクセス不可時の対応を実行する手段を有することを特徴とする請求項１から５のいずれかに記載の車載ゲートウェイ装置。
7. 前記ポリシ管理部で管理されるポリシを更新すべきか判断して前記ポリシを更新するポリシ更新部を有し、
   前記ポリシ更新部は、前記情報系構成管理部及び前記制御系構成管理部を確認して前記部品識別子に変化がないか確認し、いずれかに変化があれば変化のあった構成部品の部品識別子をセンタサーバに問合せ、該部品識別子をキーとして取得した前記ポリシを取得し、取得した新規ポリシで前記ポリシ管理部の内容を更新する手段を有することを特徴とする請求項１から６のいずれかに記載の車載ゲートウェイ装置。
8. 前記ポリシ更新部は、前記センタサーバから推奨対応システムの情報を取得し、該推奨対応システムの情報と、前記情報系構成管理部または前記制御系構成管理部の少なくともいずれかの情報と、を比較し、差分があれば必要なシステム更新を促す通知を行う手段を有することを特徴とする請求項７に記載の車載ゲートウェイ装置。
9. 車両の情報系ネットワークと制御系ネットワークに接続される車載ゲートウェイ装置に搭載されたコンピュータに、
   該情報系ネットワークへのメッセージ送受信を司る情報系アクセス機能と、
   該制御系ネットワークへのメッセージ送受信を司る制御系アクセス機能と、
   該情報系アクセス機能と該制御系アクセス昨日の間のメッセージ送受信を制御するアクセス制御機能と、
   該アクセス制御機能がメッセージ送信を制御するためのポリシとして、メッセージの宛先と内容を表す情報と、該メッセージのアクセスを許可するための条件を指定する情報と、該アクセスが許可されなかった場合の対応策を指定する情報と、を管理するポリシ管理機能と、該情報系アクセス機能を介して情報系の状態を監視する情報系監視機能と、
   該情報系監視機能によって取得された情報系部品状態を管理する情報系構成管理機能と、
   該制御系アクセス機能を介して制御系の状態を監視する制御系監視機能と、
   該制御系監視機能によって取得された制御系部品状態を管理する制御系構成管理機能と、を実現させ、
   該アクセス制御機能において、該情報構成管理機能及び該制御構成管理機能に保持されている、前記情報系部品状態及び前記制御系部品状態が、該ポリシ管理機能において管理されるポリシに記載された該アクセス制御ルール及び該アクセス許可条件に適合するかをチェックし、該チェック結果に基づいてメッセージ送信可否を判断して制御することを実現させること特徴とするプログラム。
10. 車両の情報系ネットワークと制御系ネットワークに接続される車載ゲートウェイ装置における制御方法であって、
    情報系アクセス部と制御系アクセス部の間のメッセージ送受信を制御するアクセス制御ステップと、
    該アクセス制御ステップがメッセージ送信を制御するためのポリシとして、メッセージの宛先と内容を表す情報と、該メッセージのアクセスを許可するための条件を指定する情報と、該アクセスが許可されなかった場合の対応策を指定する情報と、を管理するポリシ管理ステップと、
    情報系の状態を監視する情報系監視ステップと、
    該情報系監視ステップによって取得された情報系部品状態を管理する情報系構成管理ステップと、
    制御系の状態を監視する制御系監視ステップと、
    該制御系監視ステップによって取得された制御系部品状態を管理する制御系構成管理ステップと、
    該アクセス制御ステップは、該情報構成管理ステップ及び該制御構成管理ステップにおいて保持されている、
    前記情報系部品状態及び前記制御系部品状態が、
    該ポリシ管理ステップで管理されるポリシに記載された該アクセス制御ルール及び該アクセス許可条件に適合するかをチェックし、該チェック結果に基づいてメッセージ送信可否を判断して制御することを特徴とする車載ゲートウェイ装置における制御方法。
11. 車載ゲートウェイ装置と、情報系ネットワークを介して該車載ゲートウェイ装置に接続された情報系機器と、制御系ネットワークを介して該車載ゲートウェイ装置に接続された制御系機器とを有する車両であって、
    該車載ゲートウェイ装置は、
    該情報系ネットワークへのメッセージ送受信を司る情報系アクセス部と、
    該制御系ネットワークへのメッセージ送受信を司る制御系アクセス部と、
    該情報系アクセス部と該制御系アクセス部の間のメッセージ送受信を制御するアクセス制
    御部と、
    該アクセス制御部がメッセージ送信を制御するためのポリシとして、メッセージの宛先と内容を表す情報と、該メッセージのアクセスを許可するための条件を指定する情報と、該アクセスが許可
    されなかった場合の対応策を指定する情報と、を管理するポリシ管理部と、
    該情報系アクセス機能を介して情報系の状態を監視する情報系監視部と、
    該情報系監視機能によって取得された情報系部品状態を管理する情報系構成管理部と、
    該制御系アクセス機能を介して制御系の状態を監視する制御系監視部と、
    該制御系監視機能によって取得された制御系部品状態を管理する制御系構成管理部と、
    該アクセス制御部は、該情報構成管理部及び該制御構成管理部に保持されている、
    前記情報系部品状態及び前記制御系部品状態が、
    該ポリシ管理部で管理されるポリシに記載された該アクセス制御ルール及び該アクセス許可条件に適合するかをチェックし、該チェック結果に基づいてメッセージ送信可否を判断して制御することを特徴とする車両。

Images