JP5472466B2 - 車両用電子制御装置 - Google Patents

Description

本発明は、車両用電子制御装置に関し、特に、外部装置を車両側に接続し、車載ＬＡＮにアクセスすることにより車両制御に関するプログラムを書き換えることが可能な車両用電子制御装置に関する。

従来から、車両用制御ユニットにおけるソフトウェアを含む車両情報の記憶内容が、プログラム書換えツールの不正使用により使用資格者以外の人に書き換えられることを防止する車両情報書換えシステムが知られている（例えば、特許文献１参照）。かかる特許文献１に記載の車両情報書換えシステムでは、書換えツールに、書換えツールの使用資格者が携帯する無線認証媒体を検出するための無線ポーリング手段を設け、書換えツール側から無線認証媒体と認証を行えるように構成されている。
特開２００８−５９４５０号公報

しかしながら、上述の特許文献１に記載の車両情報書換えシステムにおいては、車両側の認証システムへのアクセスについては禁止されていないため、別の外部装置が車両に接続された場合には、車載ＬＡＮと外部装置とを中継する中継装置が車載ＬＡＮへの通信の中継を行ってしまう。そのため、不正な外部装置が接続されると、認証をくぐり抜け、車両情報が書き換えられるおそれがあるという問題があった。

そこで、本発明は、ユーザと車両との認証を行うことにより、接続を許可しない者が車両に外部装置を接続した場合には、いかなる外部装置を用いても、外部装置の車載ＬＡＮへのアクセスを禁止することができ、高いセキュリティを有する車両用電子制御装置を提供することを目的とする。

本発明の一態様に係る車両用電子制御装置は、外部装置を車両に接続し、車載ＬＡＮにアクセスすることにより車両制御に関するプログラムを書き換えることが可能な車両用電子制御装置において、
前記外部装置とは別体であり、携帯可能な認証端末と、
前記車載ＬＡＮに接続され、前記認証端末の認証を行うとともに認証結果を前記車載ＬＡＮに送信可能な車両側認証システムと、
前記外部装置と前記車載ＬＡＮとの通信を中継する中継装置と、
前記車載ＬＡＮに接続され、前記中継装置を制御することで、前記車両側認証システムによる前記認証結果を受信しないときには、前記中継装置による前記車載ＬＡＮと前記外部装置との通信を許可しない状態を維持し、前記車両側認証システムによる前記認証端末の認証成功の認証結果を受信したときに、前記中継装置による前記車載ＬＡＮと前記外部装置との通信を許可する通信許可手段と、を有することを特徴とする。

本発明の他の態様に係る車両用電子制御装置は、外部装置を車両に接続し、車載ＬＡＮにアクセスすることにより車両制御に関するプログラムを書き換えることが可能な車両用電子制御装置において、
前記外部装置とは別体であり、携帯可能な認証端末と、
前記車載ＬＡＮに接続され、前記認証端末及び前記外部装置の認証を行うとともに、各々の認証結果を前記車載ＬＡＮに送信可能な車両側認証システムと、
前記外部装置と前記車載ＬＡＮとの通信を中継する中継装置と、
前記車載ＬＡＮに接続され、前記車両側認証システムによる前記認証端末の認証成功の認証結果を受信したときには、前記中継装置に電力を供給して前記中継装置の通電を許可する中継装置通電許可手段と、
前記中継装置に内蔵され、通電状態で前記車両側認証システムによる前記外部装置の認証成功の認証結果を受信したときには、前記中継装置による前記車載ＬＡＮと前記外部装置との通信を許可する通信許可手段と、を有することを特徴とする。

本発明の更に他の態様に係る車両用電子制御装置は、外部装置を車両に接続し、車載ＬＡＮにアクセスすることにより車両制御に関するプログラムを書き換えることが可能な車両用電子制御装置において、
前記外部装置とは別体であり、携帯可能な認証端末と、
前記認証端末及び前記外部装置の認証が可能であり、前記認証端末の認証に成功したときには、前記外部装置の認証を行い、前記外部装置の認証結果を前記車載ＬＡＮに送信する車両側認証システムと、
前記外部装置と前記車載ＬＡＮとの通信を中継する中継装置と、
前記車載ＬＡＮに接続され、前記車両側認証システムによる前記外部装置の認証成功の認証結果を受信したときには、前記中継装置に電力を供給して前記中継装置を作動させ、前記中継装置の通信を許可する通信許可手段と、を有することを特徴とする。

本発明によれば、車両用電子制御装置への不正アクセスを抑制でき、高いセキュリティを確保することができる。

本発明の実施例１に係る車両用電子制御装置の一例を示したシステム構成図である。 実施例１に係る車両用電子制御装置の処理フローの一例を示した図である。 実施例１に係る車両用電子制御装置の追加的効果の説明図である。 本発明の実施例２に係る車両用電子制御装置の一例を示したシステム構成図である。 実施例２に係る車両用電子制御装置の処理フローの一例を示した図である。 本発明の実施例３に係る車両用電子制御装置の一例を示したシステム構成図である。 実施例３に係る車両用電子制御装置の処理フローの一例を示した図である。 本発明の実施例４に係る車両用電子制御装置の一例を示したシステム構成図である。 実施例４に係る車両用電子制御装置の処理フローの一例を示した図である。

１０ スマートキー
２０ 車両
３０ 車載ＬＡＮ
４０、４２、４４ 車両側認証システム
４１、４３、４５ 照合ＥＣＵ
５０、５１、５２ ＥＣＵ
６０、６３ 中継装置
６１ 不正アクセス防止手段
６２ 通信許可手段
７０、７３ 電源ＥＣＵ
７１ スイッチ
７２ 電源
８０ コネクタ
９０ 外部装置

以下、図面を参照して、本発明を実施するための形態の説明を行う。

図１は、本発明の実施例１に係る車両用電子制御装置の一例を示したシステム構成図である。図１において、実施例１に係る車両用電子制御装置は、スマートキー１０と、車載ＬＡＮ（Local Area Network）３０と、車両側認証システム４０と、各種ＥＣＵ（Electronic Control Unit、電子制御ユニット）５０と、中継装置６０と、コネクタ８０とを備える。このうち、車両側認証システム４０は照合用ＥＣＵ４１を備え、中継装置６０は、不正アクセス防止手段６１と、通信許可手段６２とを備える。また、図１において、関連構成要素として、車両２０と、外部装置９０が示されている。スマートキー１０は、車両２０の内部にも外部にも移動することができ、車載ＬＡＮ３０、車両側認証システム４０、各種ＥＣＵ５０、中継装置６０及びコネクタ８０は、車両２０の内部に備えられる。また、外部装置９０は、車両２０の外部に備えられ、コネクタ８０を介して車両２０に接続することが可能である。

スマートキー１０は、携帯可能な認証端末であり、認証用のＩＤ信号を送信する機能を有する。スマートキー１０は、車両側認証システム４０の照合ＥＣＵ４１に照合要求信号を送信し、照合ＥＣＵ４１にＩＤコードの照合を要求する。ＩＤコードの照合により、スマートキー１０が車両２０の正規の使用者として認証された場合には、スマートキー１０を携帯しているユーザは、車両２０のドアのロック・アンロック、エンジンの始動等が許可され、スマートキー１０を鍵穴に入れて機械的な施錠・解錠動作を行うことなく、何らの操作なく、又は簡単なスイッチ操作のみでドアのロック・アンロック、エンジンの始動等の操作を行うことができる。

また、本実施例に係る車両用電子制御装置においては、ユーザがスマートキー１０を携帯しているか否かにより、外部装置９０が車両２０に接続された際に、外部装置９０と車載ＬＡＮ３０との通信の許可を行うか否かを制御する。なお、この点の具体的内容については後述する。

車両２０には、本実施例に係る車両用電子制御装置が搭載されており、構成要素としては、車載ＬＡＮ３０、車両側認証システム４０、中継装置６０及びコネクタ８０が搭載されている。また、各種ＥＣＵ５０も、関連構成要素として車両２０内に搭載されている。

車載ＬＡＮ３０は、車両に搭載された車両内ネットワークである。車載ＬＡＮ３０は、具体的には、車両の種々の制御を行う電子制御ユニット同士をバスにより接続し、ネットワークを形成する。これにより、各センサ等から検出された信号等の種々の情報を、各機能を有する電子制御ユニット同士で共有することができる。車載ＬＡＮ３０には、照合ＥＣＵ４１、各種ＥＣＵ５０及び中継装置６０がそれぞれバス上に接続されており、情報を共有できるように構成されている。

車両側認証システム４０は、スマートキー１０と車両２０との認証を行うための手段である。車両側認証システム４０は、照合ＥＣＵ４１を備える。照合ＥＣＵ４１は、スマートキー１０の照合要求信号を受信したら、ＩＤコードを照合し、車両２０の正規のユーザであるかを認証する。ＩＤコードが一致したときには、認証成功の認証結果を車載ＬＡＮ３０に送信し、ＩＤコードが一致しなかったときには、認証失敗の認証結果を車載ＬＡＮ３０に送信する。なお、車両側認証システム４０は、認証が成功したときのみ認証成功の認証結果を車載ＬＡＮ３０に送信し、認証が失敗したときには、認証結果を送信しない構成としてもよい。

また、車両側認証システム４０は、照合ＥＣＵ４１の他、スマートキー１０に認証に必要な種々の機能及び手段を備えてよい。

各種ＥＣＵ５０は、車両用電子制御装置の種々の制御を実行する機能を有するＥＣＵである。各種ＥＣＵ５０は、車両の制御に必要な機能を有するＥＣＵを例示的に示したものであり、用途に応じて、種々のＥＣＵ５０が設けられてよい。なお、各種ＥＣＵ５０も、車載ＬＡＮ３０に接続され、車両の制御の際に種々の車両情報を他のＥＣＵ５０と共有できるように構成されている。

中継装置６０は、外部装置９０と車載ＬＡＮ３０との通信を行うための通信中継手段である。中継装置６０は、ネットワーク上で、媒体やプロトコルが異なるデータを相互に変換して通信を可能にする装置である。中継装置６０は、例えば、ＯＳＩ（Open Systems Interconnection）参照モデルの全階層を認識し、通信媒体や伝送方式の違いを吸収して異機種間の接続を可能とする。本実施例においては、中継装置６０は、車載ＬＡＮ３０上に設けられ、外部装置９０と車載ＬＡＮ３０との通信を可能とし、外部装置９０が車載ＬＡＮ３０にアクセスすることを可能にする手段である。

中継装置６０は、外部装置９０と車載ＬＡＮ３０との通信を中継することができれば、種々の構成とされてよいが、例えば、ゲートウェイＥＣＵとして構成されてもよい。

中継装置６０は、不正アクセス防止機能を有して構成される。不正アクセス防止機能は、外部からの不正なアクセスを防止するための機能であり、例えば、フィルタリング機能等を有する。なお、不正アクセス防止機能は、中継装置６０内に組み込まれた不正アクセス防止手段６１により実現されてよい。

中継装置６０は、不正アクセス防止手段６１の他、通信許可手段６２を備える。通信許可手段６２は、中継装置６０による外部装置９０と車載ＬＡＮ３０との通信を許可する手段である。具体的には、通信許可手段６２は、車載ＬＡＮ３０からスマートキー１０と車両側認証システム４０との認証成功の認証結果を受信したときに、中継装置６０の通信を許可し、認証失敗の認証結果と受信したときには、中継装置６０の通信を許可しない。また、認証結果を何ら受信しないときには、中継装置６０の通信を許可しない状態を維持する。

なお、図１においては、不正アクセス防止手段６１及び通信許可手段６２は、中継装置６０に組み込まれ、中継装置６０の内部機能として構成されている例を挙げて説明しているが、同様な機能を果たすことができれば、中継装置６０の外部に独立して構成されていてもよい。

コネクタ８０は、外部装置９０を車両側に電気的に接続することを可能にする接続手段である。コネクタ８０は、外部装置９０を車両２０側に接続することを可能にできれば、種々の接続手段が用いられてよいが、例えば、故障診断用ＤＬＣ３コネクタが用いられてもよい。

外部装置９０は、車両への接続により、車両用電子制御装置の車両制御に関するプログラムを書き換えることができるプログラム書き換え機能を有する装置である。本実施例においては、外部装置９０は、車両２０の故障診断等が行える機能を備えるとともに、プログラム書き換え機能も有する装置として説明する。

次に、かかる構成を有する実施例１に係る車両用電子制御装置の処理フローについて説明する。

図２は、実施例１に係る車両用電子制御装置の処理フローの一例を示した図である。なお、図２において、図１で説明した構成要素と同様の構成要素には同一の参照符号を付し、その説明を省略する。

ステップＳ１００では、スマートキー１０から車両側認証システム４０の照合ＥＣＵ４１へ照合要求信号が送信される。

ステップＳ１１０では、スマートキー１０からの照合要求信号を受信した照合ＥＣＵ４１が、ＩＤコードの照合を行い、スマートキー１０と車両２０との認証を行う。

ステップＳ１２０では、照合ＥＣＵ４１が、認証結果を車載ＬＡＮ３０に送信する。認証が成功した場合には、認証成功の認証結果（認証情報）を送信し、認証が失敗した場合には、認証失敗の認証結果（認証情報）を送信する。なお、認証が成功したときのみ、認証成功の認証結果を送信するようにしてもよい。

ステップＳ１３０では、中継装置６０が、車載ＬＡＮ３０を介して認証結果（認証情報）を受信する。

ステップＳ１４０では、受信した認証結果が、認証ＯＫ（認証成功）の情報であるのか、認証ＮＯ（認証失敗）の情報であるのかが判断される。なお、認証情報の内容の確認は、中継装置６０本体が行ってもよいし、中継装置６０内部に組み込まれた通信許可手段６１が行ってもよい。

ステップＳ１４０において、認証ＯＫであると判断された場合には、ステップＳ１５０に進み、認証ＯＫでないと判断された場合には、ステップＳ１６０に進む。

ステップＳ１５０では、通信許可手段６１により通信が許可され、不正アクセス防止手段６２による不正アクセス防止機能の解除が行われる。これにより、不正アクセス防止手段６２は動作しなくなり、フィルタリング等は行われなくなるので、中継装置６２を介した通信により、車載ＬＡＮ３０へのアクセスが可能な状態となる。この後、コネクタ８０に外部装置９０を接続することにより、各種の診断が実施できる状態となる。また、車載ＬＡＮ３０に接続された各種ＥＣＵ５０のプログラムの書き換え等も可能となるので、必要に応じてプログラムの書き換えを実行してもよい。

一方、ステップＳ１６０では、通信許可手段６１により通信が許可されず、通信が禁止される。具体的には、不正アクセス防止手段６２による不正アクセス防止機能が解除されず、外部装置９０がコネクタ８０に接続されても、車載ＬＡＮ３０へのアクセスができない状態となる。

このように、実施例１に係る車両用電子制御装置によれば、スマートキー１０と車両２０との認証を行うことにより、外部装置９０による車載ＬＡＮ３０へのアクセスを許可するので、いかなる外部装置９０を用いても、ユーザが携帯するスマートキー１０が車両２０の正規のユーザであると認証しない限り、アクセスを許可しない。よって、車両用電子制御装置のセキュリティを高めることができる。また、外部装置９０を接続する際の認証には、新たな認証システムを外部装置９０や中継装置６０に設置するのではなく、スマートキー１０と車両側認証システム４０を利用するので、新たな認証システムを設けることなく、低コストでセキュリティを向上させることができる。

図３は、実施例１に係る車両用電子制御装置の追加的効果を説明するための図である。図３において、車両側認証システム４０の照合ＥＣＵ４１と、各種ＥＣＵ５０〜５２と、中継装置６０とが各々車載ＬＡＮ３０に接続されて設けられている。例えば、各種ＥＣＵ５０〜５２の中に、中継装置６０と同様に外部装置９０との認証が必要なＥＣＵが含まれている場合であっても、照合ＥＣＵ４１からの信号を車載ＬＡＮ３０経由で受信することで、各ＥＣＵ５０〜５２が余分な認証機能を内蔵することなく、認証機能を具備することができる。

このように、実施例１に係る車両用電子制御装置においては、外部装置９０との接続に認証が必要なＥＣＵ５０〜５２が、中継装置６０の他に含まれている場合であっても、中継装置６０と同様なシステム構成を採用することにより、低コストでセキュリティを高めることができる。

図４は、本発明の実施例２に係る車両用電子制御装置の一例を示したシステム構成図である。図４において、実施例２に係る車両用電子制御装置は、スマートキー１０と、車載ＬＡＮ３０と、車両側認証システム４０と、各種ＥＣＵ５０と、中継装置６３と、電源ＥＣＵ７０と、電源７１と、コネクタ８０とを有する。また、車両側認証システム４０は、照合ＥＣＵ４１を有する。更に、関連構成要素として、車両２０と外部装置９０とが図４に示されている。

実施例２に係る車両用電子制御装置において、スマートキー１０、車両２０、車載ＬＡＮ３０、車両側認証システム４０、照合ＥＣＵ４１、各種ＥＣＵ５０、コネクタ８０及び外部装置９０は、実施例１に係る車両用電子制御装置と同様であるので、同一の参照符号を付してその説明を省略する。

実施例２に係る車両用電子制御装置は、中継装置６３が不正アクセス防止手段６１及び通信許可手段６２を含まず、電源ＥＣＵ７０と、スイッチ７１と、電源７２が新たに設置された点で、実施例１に係る車両用電子制御装置と異なっている。電源７２は、スイッチ７１を介して中継装置６３に接続されており、電源ＥＣＵ７０がスイッチ７１のオン・オフを制御可能に構成されている。

電源ＥＣＵ７０は、電源７１の中継装置６３への接続の有無、つまり電力供給の有無を制御する手段であり、中継装置６３による外部装置９０と車載ＬＡＮ３０との通信を許可する通信許可手段として機能する。そしてこれに伴い、中継装置６３は、その内部に通信許可手段を特に備えていない構成となっている。

実施例２に係る車両用電子制御装置においては、中継装置６３による外部装置９０と車載ＬＡＮ３０との通信の許可を、中継装置６３を作動させるか非作動とするかで行う。つまり、中継装置６３の通信を許可する場合には、中継装置６３に電力を供給して中継装置６３を作動させ、中継装置６３の通信を許可しない場合には、中継装置６３に電力を供給せずに遮断し、中継装置６３を作動させない。中継装置６３は、動作中にコネクタ８０に外部装置９０が接続されれば、外部装置９０と車載ＬＡＮ３０との通信を中継する。また、中継装置６３が作動していなければ、このような通信中継機能は動作しないので、外部装置９０がコネクタ８０に接続されても、外部装置９０は車載ＬＡＮ３０にアクセスできない状態となる。

このように、中継装置６３による通信の許可を、電力供給の有無により制御するようにしてもよい。具体的には、そのような電力供給の有無は、電源ＥＣＵ７０により制御される。

つまり、照合ＥＣＵ４１から照合成功の認証結果が車載ＬＡＮ３０に送信された時には、電源ＥＣＵ７０が認証結果を受信する。そして、認証結果が認証成功であった場合には、電源ＥＣＵ７０はスイッチ７１をオンにし、電源７２を中継装置６３に接続する。これにより、中継装置６３に電力が供給されて中継装置６３は作動し、外部装置９０と車載ＬＡＮ３０との通信を中継する。

一方、電源ＥＣＵ７０が受信した認証結果が認証失敗であった場合には、電源ＥＣＵ７０はスイッチ７１をオフにし、中継装置６３に電源７２が接続されないようにする。これにより、中継装置６３には電力が供給されない状態となり、中継装置６３は動作しないので、中継装置６３による外部装置９０と車載ＬＡＮ３０との通信中継は行われず、外部装置９０は車載ＬＡＮ３０にアクセスすることができない。

このように、実施例２に係る車両用電子制御装置においては、電源ＥＣＵ７０が通信許可手段として機能し、スマートキー１０と車両２０との認証結果に応じて、電源ＥＣＵ７０が通信の許可又は禁止を制御する構成を有する。次に、実施例２に係る車両用電子制御装置の動作について説明する。

図５は、実施例２に係る車両用電子制御装置の処理フローの一例を示した図である。なお、図５において、図４で説明した構成要素と同様の構成要素には同一の参照符号を付し、その説明を省略するものとする。また、実施例１の図２において説明した処理フローと同様のステップについては、同一のステップ番号を付し、その説明を省略又は簡略化するものとする。

図５において、ステップＳ１００では、スマートキー１０から照合要求信号が送信され、ステップＳ１１０では、車両側認証システム４０の照合ＥＣＵ４１によりスマートキー１０の認証が行われる。ステップＳ１２０において、照合ＥＣＵ４１が、認証結果を車載ＬＡＮ３０に送信する。なお、ステップＳ１００〜ステップＳ１２０は、実施例１の図２と同様であるので、同一のステップ番号を付してその詳細な説明を省略する。

ステップＳ１３１では、電源ＥＣＵ７０が車載ＬＡＮ３０のバス上から認証結果を受信する。

ステップＳ１４１では、電源ＥＣＵ７０により認証結果が認証ＯＫか否かが判断される。認証結果が認証ＯＫ（認証成功）であればステップＳ１５１に進み、認証結果が認証ＮＯ（認証失敗）であればステップＳ１６１に進む。

ステップＳ１５１では、電源ＥＣＵ７０が中継装置６３の通信を許可し、スイッチ７２をオンとして電源７２を中継装置６３に接続し、中継装置６３に電力を供給する。これにより、中継装置６３は作動し、外部装置９０と車載ＬＡＮ３０との通信を中継する。よって、ユーザは外部装置９０をコネクタ８０に接続することにより、各種診断を行える状態となる。また、各ＥＣＵのプログラムが書き換え可能な点は、実施例１と同様である。

一方、ステップＳ１６１では、電源ＥＣＵ７０が中継装置６３の通信を許可せず、スイッチ７２をオフとして電源７２を中継装置６３から遮断する。これにより、中継装置６３は非作動のままとなるので、外部装置９０と車載ＬＡＮ３０との通信の中継は行われず、外部装置９０をコネクタ８０に接続しても車載ＬＡＮ３０へのアクセスはできない。

このように、実施例２に係る車両用電子制御装置によれば、中継装置６３への通電の有無により、中継装置６３の通信の許可及び禁止の制御動作を行うことができ、簡素な構成で車両用電子制御装置のセキュリティを高めることができる。

なお、図４及び図５においては、電源７２と中継装置６３との接続の有無により、中継装置６３の作動・非作動を制御したが、中継装置６３に電源スイッチが設けられていれば、中継装置６３の電源スイッチのオン・オフにより中継装置６３の作動・非作動を切り替えてもよい。また、中継装置６３の作動・非作動を切り替えることができれば、その他の種々の手法により作動・非作動の切り替え制御を行うようにしてよい。

図６は、本発明の実施例３に係る車両用電子制御装置の一例を示したシステム構成図である。実施例３に係る車両用電子制御装置は、スマートキー１０と、車両側認証システム４２と、各種ＥＣＵ５０と、中継装置６０と、電源ＥＣＵ７０と、スイッチ７１と、電源７２とを備える。また、車両側認証システム４２は照合ＥＣＵ４３を備え、中継装置６０は不正アクセス防止手段６１及び通信許可手段６２を備える。更に、関連構成要素として、車両２０と外部装置９０が図６に示されている。

実施例３に係る車両用電子制御装置において、スマートキー１０、車両２０、車載ＬＡＮ３０、各種ＥＣＵ５０、中継装置６０、不正アクセス防止手段６１、通信許可手段６２、電源ＥＣＵ７０、スイッチ７１、電源７２、コネクタ８０及び外部装置９０は、実施例１、２に係る車両用電子制御装置と同様であるので、個々の内容については、同一の参照符号を付してその説明を省略する。

実施例３に係る車両用電子制御装置においては、スマートキー１０のみならず、外部装置９０についても車両２０との認証を行う点と、中継装置６０内に設けられた通信許可手段６２とともに、実施例２において通信許可手段として用いられた電源ＥＣＵ７０を備えている点で、実施例１、２と異なっている。また、照合ＥＣＵ４３が、スマートキー１０と車両２０との認証のみならず、外部装置９０と車両２０との認証を行う機能を有する車両側認証システム４２となった点で、実施例１、２とは異なっている。

車両側認証システム４２の照合ＥＣＵ４３は、スマートキー１０及び外部装置９０の認証が可能な構成となっている。スマートキー１０の認証は、実施例１、２と同様に、スマートキー１０からの照合要求信号を受信し、ＩＤコードを照合して認証を行う。一方、外部装置９０の認証は、スマートキー１０の認証の成功を条件として行うようにしてもよいし、スマートキー１０の認証の成功・失敗に関わらず、独立に行うようにしてもよい。

スマートキー１０の認証の成功を条件として外部装置９０の認証を行う場合には、スマートキー１０のＩＤコードの照合が終わって認証が成功した後、外部装置９０のＩＤコードの照合を行うようにする。認証結果は、スマートキー１０の認証が終了したら、スマートキー１０の認証結果を車載ＬＡＮ３０に送信し、外部装置９０の認証が終了したら、外部装置９０の認証結果を車載ＬＡＮ３０に送信する、というように、認証の都度、認証結果を送信するようにしてよい。

一方、スマートキー１０の認証と外部装置９０の認証を互いに独立させる場合においても、スマートキー１０の認証が終了したら、スマートキー１０の認証結果を車載ＬＡＮ３０に送信し、外部装置９０の認証が終了したら、外部装置９０に認証結果を車載ＬＡＮ３０に送信する、というように、認証の都度、認証結果を車載ＬＡＮ３０に送信するように構成してよい。

ここでは、理解の容易のため、前者に述べたスマートキー１０の認証結果を車載ＬＡＮ３０に送信してから、外部装置９０の認証結果を車載ＬＡＮ３０に送信する例について説明する。

まず、照合ＥＣＵ４３からスマートキー１０に認証結果が送信されたときには、電源ＥＣＵ７０がこの認証結果を受信する。そして、電源ＥＣＵ７０が認証成功の認証結果を受信したときには、電源ＥＣＵ７０はスイッチ７１をオンにし、電源７２を中継装置６０に接続し、中継装置６０の通電を許可する。一方、電源ＥＣＵ７０が、スマートキー１０の認証失敗の認証結果を受信した場合には、電源ＥＣＵ７０は、スイッチ７１をオフにし、電源７２を中継装置６０に接続しない。つまり、電源ＥＣＵ７０は、中継装置６０の通電を許可しない処理を行う。このように、実施例３に係る車両用電子制御装置においては、電源ＥＣＵ７０は、中継装置通電許可手段として機能することになる。

中継装置６０の通電が許可された場合には、通電により中継装置６０は作動するので、車載ＬＡＮ３０からの信号を受信可能な状態となる。よって、中継装置６０又は中継装置６０に内蔵された通信許可手段６２は、車載ＬＡＮ３０から外部装置９０の認証結果を受信する。外部装置９０の認証結果が、認証成功であった場合には、通信許可手段６２は、外部装置９０と車載ＬＡＮ３０との通信を許可し、不正アクセス防止手段６１の不正アクセス防止機能を解除する。これにより、フィルタリング等の不正アクセス防止機能が無くなり、外部装置９０をコネクタ８０に接続することにより、外部装置９０が車載ＬＡＮにアクセス可能な状態となる。

一方、中継装置６０又は通信許可手段６２が認証失敗の認証結果を受信した場合には、中継装置６０による外部装置９０と車載ＬＡＮ３０との通信を許可せず、不正アクセス防止機能を解除しない。これにより、外部装置９０は、車載ＬＡＮ３０にはアクセスできない状態が継続される。

このように、実施例３に係る車両用電子制御装置においては、スマートキー１０と車両２０との認証成功により、電源ＥＣＵ７０が中継装置６０の通電を許可し、次いで、通電された中継装置６０が外部装置９０と車両２０との認証成功の認証情報を受信することにより、中継装置６０の通信を許可するという２段階の許可を要する構成となっている。これにより、セキュリティを一層高めることができる。

なお、照合ＥＣＵ４３において、スマートキー１０と外部装置９０の認証が互いに独立して行われる場合であっても、中継装置６０の通電が許可されなければ、外部装置９０の認証成功を受信することができないので、この場合にも同様な２段階処理が行われる。次に、実施例３に係る車両用電子制御装置の処理フローについて説明する。

図７は、実施例３に係る車両用電子制御装置の処理フローの一例を示した図である。なお、図６で説明した構成要素には同一の参照符号を付し、その説明を省略する。

ステップＳ２００では、スマートキー１０から車両側認証システム４２の照合用ＥＣＵ４３に照合要求信号が送信される。

ステップＳ２１０では、照合用ＥＣＵ４３においてスマートキー１０の認証が行われる。

ステップＳ２２０では、照合用ＥＣＵ４３が、認証結果を車載ＬＡＮ３０に送信する。認証結果は、認証成功か又は認証失敗かの認証情報が送信される。

ステップＳ２３０では、電源ＥＣＵ７０が認証結果を受信する。

ステップＳ２４０では、認証ＯＫ（認証成功）か否かの判断が行われる。認証ＯＫの場合には、ステップＳ２５０に進み、認証ＮＯ（認証失敗）の場合には、ステップＳ２６０に進む。

ステップＳ２５０では、電源ＥＣＵ７０によりスイッチ７１がオンとされ、中継装置６０の通電が行われる。

一方、ステップＳ２６０では、電源ＥＣＵ７０によりスイッチ７１がオフとされ、中継装置６０の通電が行われない。この状態では、中継装置６０は作動しないので、処理フローを終了する。

ステップＳ２７０では、車両側認証システム４２の照合ＥＣＵ４３において、外部装置９０の認証が行われる。

ステップＳ２８０では、照合ＥＣＵ４３が、外部装置９０の認証結果（認証情報）を車載ＬＡＮ３０に送信する。

ステップＳ２９０では、中継装置６０本体又は中継装置６０内の通信許可手段６２が、外部装置９０と車両２０との認証結果を受信する。

ステップＳ３００では、外部装置９０の認証結果が、認証ＯＫ（認証成功）であるか否かが判断される。ステップＳ３００において、認証ＯＫの場合にはステップＳ３１０に進み、認証ＮＯ（認証失敗）の場合にはステップＳ３２０に進む。

ステップＳ３１０では、通信許可手段６２により通信許可がなされ、不正アクセス防止手段６１による不正アクセス防止機能が解除され、処理フローを終了する。これにより、外部装置９０と車載ＬＡＮ３０との通信が中継装置６０を介して可能な状態となったので、コネクタ８０に外部装置９０を接続することにより、外部装置９０は車載ＬＡＮ３０にアクセスができる。よって、外部装置９０の接続により、種々の診断や、ＥＣＵ５０のプログラムの書き換えが可能となる。

ステップＳ３２０では、通信許可手段６２により通信が禁止され、不正アクセス防止手段６１による不正アクセス防止機能が維持され、処理フローを終了する。外部装置９０をコネクタ８０に接続しても、車載ＬＡＮ３０にはアクセスできず、高セキュリティが保たれる。

このように、実施例３に係る車両用電子制御装置によれば、中継装置６０の通電、中継装置６０の通信許可という２段階の認証と処理を経て外部装置９０の車載ＬＡＮ３０へのアクセスを可能としているので、セキュリティを一層高めることができる。

図８は、本発明の実施例４に係る車両用電子制御装置の一例を示したシステム構成図である。実施例４に係る車両用電子制御装置は、スマートキー１０と、車両側認証システム４４と、各種ＥＣＵ５０と、中継装置６３と、電源ＥＣＵ７３と、スイッチ７１と、電源７２とを備える。また、車両側認証システム４４は照合ＥＣＵ４５を備える。更に、関連構成要素として、車両２０と外部装置９０が図８に示されている。

実施例４に係る車両用電子制御装置において、スマートキー１０、車両２０、車載ＬＡＮ３０、各種ＥＣＵ５０、中継装置６３、スイッチ７１、電源７２、コネクタ８０及び外部装置９０は、実施例２、３に係る車両用電子制御装置と同様であるので、個々の内容については、同一の参照符号を付してその説明を省略する。

実施例４に係る車両用電子制御装置においては、車両側認証システム４４の照合ＥＣＵ４５が、スマートキー１０及び外部装置９０の両方を認証する点で実施例３に係る車両用電子制御装置と共通するが、その処理内容が実施例３に係る車両用電子制御装置と異なっている。また、実施例４に係る車両用電子制御装置は、中継装置６３が不正アクセス防止手段６１及び通信許可手段６２を含んでいない点で、実施例３に係る車両用電子制御装置と異なっている。

照合ＥＣＵ４５は、まず、スマートキー１０の照合を行い、スマートキー１０の認証が成功した場合に、外部装置９０の認証を行う。つまり、外部装置９０の認証を行うためには、スマートキー１０の認証成功が条件となる。そして、照合ＥＣＵ４５からの車載ＬＡＮ３０への認証結果の送信は、外部装置９０の照合結果についてのみ行う。

電源ＥＣＵ７３は、スマートキー１０の認証結果ではなく、外部装置９０の認証結果を受信する点で、実施例２、３に係る電源ＥＣＵ７０と異なっている。しかしながら、認証成功の認証結果を受信した場合には、スイッチ７１をオンにして電源７２を中継装置６３に接続し、中継装置６３に電力を供給して作動させ、認証失敗の認証結果を受信した場合には、スイッチ７１をオフにして電源７２を遮断し、中継装置６３を非作動とする点では、実施例２、３に係る電源ＥＣＵ７０と同様である。この場合、電源ＥＣＵ７３は、実施例２に係る電源ＥＣＵ７０と同様に、通信許可手段として機能する。

このように、スマートキー１０と外部装置９０の双方の認証を条件としつつ、電力の供給の有無により中継装置６３の通信の許可を制御してもよい。２段階の認証でセキュリティを向上させつつ、簡素な構成の中継装置６３を用いることができ、低コストでセキュリティを向上させることができる。

図９は、実施例４に係る車両用電子制御装置の処理フローの一例を示した図である。なお、図８と同様の構成要素については、同一の参照符号を付し、その説明を省略する。

ステップＳ４００では、スマートキー１０から照合ＥＣＵ４５に照合要求信号が送信される。

ステップＳ４１０では、照合ＥＣＵ４５が、スマートキー１０の認証を行う。スマートキー１０の認証は、通常通りＩＤコードを用いて行われてよい。

ステップＳ４２０では、照合ＥＣＵ４５が、認証ＯＫ（認証成功）か否かの判断を行う。認証ＮＯ（認証失敗）の場合には、処理フローを終了する。一方、認証ＯＫの場合には、ステップＳ４３０に進む。

ステップＳ４３０では、照合ＥＣＵ４５が、外部装置９０の認証を行う。外部装置９０の認証も、ＩＤコードを用いて行うようにしてよい。接続され得る外部装置９０は、１種類ではなく複数種類である場合があり得るので、ＩＤコードは、接続され得る外部装置９０に対応して、複数用意されてもよい。

ステップＳ４４０では、照合ＥＣＵ４５が、外部装置９０の認証結果を車載ＬＡＮ３０に送信する。

ステップＳ４５０では、電源ＥＣＵ７３が外部装置９０の認証結果を車載ＬＡＮ３０から受信する。

ステップＳ４６０では、電源ＥＣＵ７３が、受信した認証結果が、認証ＯＫ（認証成功）であるか否かの判断を行う。認証ＯＫの場合には、ステップＳ４７０に進み、認証ＮＯ（認証失敗）の場合には、ステップＳ４８０に進む。

ステップＳ４７０では、電源ＥＣＵ７３が中継装置６３の通信を許可し、スイッチ７１をオンとして電源７２を中継装置６２に接続させて中継装置６３を通電させ、処理フローを終了する。こにより、中継装置６３の通信を中継する動作が開始し、外部装置９０と車載ＬＡＮ３０とが通信可能な状態となる。ユーザは、コネクタ８０に外部装置９０を接続することにより、車載ＬＡＮ３０にアクセスが可能となる。ユーザは、外部装置９０を用いて、種々の診断や、各種ＥＣＵ５０のプログラムの書き換えを行うことが可能となる。

ステップＳ４８０では、電源ＥＣＵ７３が中継装置６３の通信を禁止し、スイッチ７１をオフとして電源７２を中継装置６３から遮断して非通電状態とし、処理フローを終了する。

このように、実施例４に係る車両用電子制御装置によれば、スマートキー１０と外部装置９０の双方について認証を行い、セキュリティを高めつつも、中継装置６３の通信許可・禁止制御は電力供給の有無により行う簡素な構成とすることにより、低コストでセキュリティを向上させることができる。

本発明は、車載ネットワークを利用して、車両の種々の制御を行う車両用電子制御装置に適用可能である。

Claims (17)

1. 外部装置を車両に接続し、車載ＬＡＮにアクセスすることにより車両制御に関するプログラムを書き換えることが可能な車両用電子制御装置において、
   前記外部装置とは別体であり、携帯可能な認証端末と、
   前記車載ＬＡＮに接続され、前記認証端末の認証を行うとともに認証結果を前記車載ＬＡＮに送信可能な車両側認証システムと、
   前記外部装置と前記車載ＬＡＮとの通信を中継する中継装置と、
   前記車載ＬＡＮに接続され、前記中継装置を制御することで、前記車両側認証システムによる前記認証結果を受信しないときには、前記中継装置による前記車載ＬＡＮと前記外部装置との通信を許可しない状態を維持し、前記車両側認証システムによる前記認証端末の認証成功の認証結果を受信したときに、前記中継装置による前記車載ＬＡＮと前記外部装置との通信を許可する通信許可手段と、を有することを特徴とする車両用電子制御装置。
2. 前記中継装置は、不正アクセス防止機能を有しており、
   前記通信許可手段は、前記不正アクセス防止機能を解除することにより、前記中継装置の通信を許可することを特徴とする請求項１に記載の車両用電子制御装置。
3. 前記通信許可手段は、前記中継装置に組み込まれていることを特徴とする請求項２に記載の車両用電子制御装置。
4. 前記通信許可手段は、前記中継装置を作動させることにより、前記中継装置の通信を許可し、
   前記車両側認証システムによる前記認証端末の認証が成功しなかったときには、前記中継装置を非作動とすることにより前記中継装置による前記車載ＬＡＮと前記外部装置との通信を許可しないことを特徴とする請求項１に記載の車両用電子制御装置。
5. 前記通信許可手段は、前記中継装置への電力供給の有無を切り替えることにより、前記中継装置の作動と非作動を切り替えることを特徴とする請求項４に記載の車両用電子制御装置。
6. 前記認証端末は、スマートキーであることを特徴とする請求項１に記載の車両用電子制御装置。
7. 前記中継装置に接続され、前記外部装置が接続可能なコネクタを有することを特徴とする請求項１に記載の車両用電子制御装置。
8. 前記認証端末は、前記車両側認証システムに照合要求信号を送信し、
   前記車両側認証システムは、前記照合要求信号を受信して所定コード信号との照合により認証を行う照合手段を含むことを特徴とする請求項１に記載の車両用電子制御装置。
9. 外部装置を車両に接続し、車載ＬＡＮにアクセスすることにより車両制御に関するプログラムを書き換えることが可能な車両用電子制御装置において、
   前記外部装置とは別体であり、携帯可能な認証端末と、
   前記車載ＬＡＮに接続され、前記認証端末及び前記外部装置の認証を行うとともに、各々の認証結果を前記車載ＬＡＮに送信可能な車両側認証システムと、
   前記外部装置と前記車載ＬＡＮとの通信を中継する中継装置と、
   前記車載ＬＡＮに接続され、前記車両側認証システムによる前記認証端末の認証成功の認証結果を受信したときには、前記中継装置に電力を供給して前記中継装置の通電を許可する中継装置通電許可手段と、
   前記中継装置に内蔵され、通電状態で前記車両側認証システムによる前記外部装置の認証成功の認証結果を受信したときには、前記中継装置による前記車載ＬＡＮと前記外部装置との通信を許可する通信許可手段と、を有することを特徴とする車両用電子制御装置。
10. 前記中継装置は、不正アクセス防止機能を有し、
    前記通信許可手段は、前記不正アクセス防止機能を解除することにより前記中継装置による前記車載ＬＡＮと前記外部装置との通信を許可することを特徴とする請求項９に記載の車両用電子制御装置。
11. 前記認証端末は、スマートキーであることを特徴とする請求項９に記載の車両用電子制御装置。
12. 前記中継装置に接続され、前記外部装置が接続可能なコネクタを有することを特徴とする請求項９に記載の車両用電子制御装置。
13. 前記認証端末は、前記車両側認証システムに照合要求信号を送信し、
    前記車両側認証システムは、前記照合要求信号を受信して所定コード信号との照合により認証を行う照合手段を含むことを特徴とする請求項９に記載の車両用電子制御装置。
14. 外部装置を車両に接続し、車載ＬＡＮにアクセスすることにより車両制御に関するプログラムを書き換えることが可能な車両用電子制御装置において、
    前記外部装置とは別体であり、携帯可能な認証端末と、
    前記認証端末及び前記外部装置の認証が可能であり、前記認証端末の認証に成功したときには、前記外部装置の認証を行い、前記外部装置の認証結果を前記車載ＬＡＮに送信する車両側認証システムと、
    前記外部装置と前記車載ＬＡＮとの通信を中継する中継装置と、
    前記車載ＬＡＮに接続され、前記車両側認証システムによる前記外部装置の認証成功の認証結果を受信したときには、前記中継装置に電力を供給して前記中継装置を作動させ、前記中継装置の通信を許可する通信許可手段と、を有することを特徴とする車両用電子制御装置。
15. 前記認証端末は、スマートキーであることを特徴とする請求項１４に記載の車両用電子制御装置。
16. 前記中継装置に接続され、前記外部装置が接続可能なコネクタを有することを特徴とする請求項１４に記載の車両用電子制御装置。
17. 前記認証端末は、前記車両側認証システムに照合要求信号を送信し、
    前記車両側認証システムは、前記照合要求信号を受信して所定コード信号との照合により認証を行う照合手段を含むことを特徴とする請求項１４に記載の車両用電子制御装置。

Images