JP5772666B2 - 通信システム - Google Patents

Description

本発明は、異なる複数の通信バスに通信装置が分かれて接続しており、通信バス間の情報を中継する中継装置を含む通信システムに関し、不正アクセスに対して適切に対処することを可能とする通信システムに関する。

ＦＡ（Factory Automation）、ＯＡ（Office Automation ）、又は車両制御の分野では、通信機能を有する制御機器（ＥＣＵ：Electronic Control Unit）を通信バスで接続し、相互に情報を送受信させて、相互に協調して制御を行なう構成が一般的となっている。１つの通信バスに接続されるＥＣＵの数に制限があること、又はＥＣＵの役割によって通信速度が異なることから、ＥＣＵを複数の群に分け、群毎に１つの通信バスに接続し、異なる通信バス間を中継装置（ゲートウェイ）で接続する構成が採用されている。

このような制御機器間で通信を行なう通信システムでは、通信バスで接続されている制御機器間で送受信される情報のみならず、システム外の無線通信機器、外部サーバ、又は記録媒体との間で入出力される情報を用いて制御する場合がある。

特許文献１には、車両内の異常検出機器及びセンサ群により車両の異常が検出されたときに、保険会社が管理するサーバへ異常に関する情報を送信する構成が開示されている。

特開２００９−０３７４８３号公報

システム外の機器と無線通信、又は記憶媒体を介した情報を入出力する機能を有するＥＣＵが存在する場合、当該ＥＣＵを経由して、ネットワークへ不正アクセスがされないよう、各ＥＣＵにて対応する必要がある。各ＥＣＵで不正アクセスを防止する処理を行なう構成では、システム全体でのセキュリティ処理が複雑化し、システム全体のコストを抑えることが困難である。

本発明は斯かる事情に鑑みてなされたものであり、不正アクセスに対して適切に対処することを可能とする通信システムを提供することを目的とする。

本発明に係る通信システムは、複数の通信バスと、該複数の通信バスのいずれかに夫々接続されており、前記通信バスを介して情報を周期的に送受信する複数の通信装置と、前記複数の通信バスに夫々接続された複数の第１通信部を備え、該複数の第１通信部により情報を周期的に送受信し、異なる通信バス間での情報の中継を行なう第１中継手段を備える中継装置とを含む通信システムにおいて、前記中継装置は、前記複数の通信バス以外の他の媒体を介して１又は複数の他の通信装置との間で情報を送受信する第２通信部と、該第２通信部にて送受信する情報を、前記複数の第１通信部の内のいずれかにより送受信し、前記他の通信バスと前記複数の通信バスとの間の中継を行なう第２中継手段と、前記第２通信部から受信する情報の受信タイミング、１周期の間における情報の受信順序、受信する情報の情報長、及び受信する情報に含まれる数値範囲を、各情報の送信元の前記他の通信装置の識別情報に対応付けて予め記憶しておく記憶手段と、前記複数の通信部から受信した情報の受信タイミングが、記憶してあるタイミングと異なるか否か、情報の受信順序が記憶してある順序と異なるか否か、受信した情報長が記憶してある情報長と異なるか否か、又は受信した情報に含まれる数値が前記数値範囲内にあるか否かにより、当該通信システムの外部からの不正アクセスがあったか否かを検知する不正アクセス検知手段とを備えることを特徴とする。
また本発明に係る通信システムは、前記不正アクセス検知手段は、前記複数の第２通信部から受信した情報を表す信号の波形が、規定されている信号であるか否かにより、外部からの不正アクセスがあったか否かを更に検知することを特徴とする。
更に本発明に係る通信システムは、前記他の通信装置は、前記中継装置から送信される情報に対して応答を返信するようにしてあり、前記不正アクセス検知手段は、前記複数の第２通信部から送信した情報への応答が返信されるまでの時間が、規定の範囲内にあるか否かにより、外部からの不正アクセスがあったか否かを更に検知することを特徴とする。

本発明では、中継装置に通信バスを介して接続されている複数の通信装置は、通信バスを介して情報を送受信し、各通信装置が接続される通信バス以外の媒体を介した情報の送受信は、別途第２通信部を備える中継装置で行なわれる。複数の通信装置と、システム外の機器等との間での情報のやりとりは、必ず中継装置の第２中継手段を介して行われる。更に、システム内の通信装置間の情報の中継、及び、システム外の機器とやりとりされる情報の中継のいずれも行なう中継装置にて、外部からの不正アクセスが検知される。
なお他の媒体とは例えば、各通信装置が接続されている通信バス同様の有線通信媒体（通信バス）であってもよいし、記憶媒体であってもよいし、無線通信媒体であってもよい。例えば第２通信部は、シリアルバス等を含む通信バスである他の媒体を介して各通信バスに接続されている複数の通信装置以外の他の通信機器と情報をやりとりする。ここで他の通信機器はダイアグ端末、又はパーソナルコンピュータなどの通信機器が含まれる。また他の媒体が記録媒体である場合、第２通信部は、記録媒体から情報を読み出して入力し、前記記録媒体へ情報を書き込むことで情報を出力する。また他の媒体が無線通信媒体である場合、第２通信部は、各通信バスに接続されている複数の通信装置以外の通信機器と無線通信することにより情報を入出力する。いずれの場合も、他の媒体を介して送受信された情報は必ず中継装置を介して当該通信システム内の通信装置へ中継される。

本発明に係る通信システムは、前記他の媒体は、通信バスであり、前記他の通信装置は、更に他の媒体を介して外部と情報を入出力する手段を備えることを特徴とする。
更に本発明に係る通信システムは、前記他の媒体は、無線通信媒体であることを特徴とする。

本発明では、外部に接続可能な他の通信装置との間で送受信される情報は必ず第２通信部により中継装置を介して、当該通信システム内の通信装置へ中継される。他の通信装置は例えば、無線通信機能を有して外部から情報を受信する装置であってもよい。また、他の通信装置はダイアグ端末、又はパーソナルコンピュータなど、一時的に接続される装置であって外部にて情報を入出力する機能を有するものであってもよい。このように本発明では、他の媒体を介して外部と情報の入出力が可能な通信装置は、複数の通信バスに接続されている複数の通信装置と直接的に情報を送受信することはできない。中継装置に通信バスを介して接続される通信装置であっても、更に他の媒体と入出力する手段を備える通信装置と、他の媒体と入出力する手段を有さない通信装置とは、区別されて接続され、当該通信装置間の情報の送受信は、中継装置の第２中継手段により実現される。システム外の更に他の媒体と入出力する手段を備える通信装置からの情報は、中継装置の第２中継手段を介すことなく他の通信装置へ中継されることはない。
更に不正アクセス検知は、受信した情報の受信タイミングが、記憶してあるタイミングと異なるか否か、情報の受信順序が記憶してある順序と異なるか否か、受信した情報長が記憶してある情報長と異なるか否か、又は受信した情報に含まれる数値が前記数値範囲内にあるか否かにより実現される。したがって、不正な動作を行なう装置による不具合を防止することが可能になる。

本発明に係る通信システムは、前記中継装置は、前記不正アクセス検知手段が不正アクセスを検知した場合、前記複数の通信装置の内の特定の通信装置へ、通信の遮断を指示する手段を更に備えることを特徴とする。

本発明では、不正アクセスが検知された場合は、特定の通信装置へ通信の遮断が指示される。特定の通信装置は、不正アクセスに係る通信装置であってもよいし、不正アクセスがあった場合に優先的に保護されるべき特別な通信装置であってもよい。これにより、通信システムにおける不正アクセスの影響が軽減される。なお、通信の遮断の指示は、特定の通信装置が電源オフとなることを指示することで実現されてもよい。

本発明に係る通信システムは、前記中継装置は、前記不正アクセス検知手段が不正アクセスを検知した場合、アクセス状況に関する情報を記録する記録手段を備えることを特徴とする。

本発明では、不正アクセスが検知された場合は、アクセス状況に関する情報、例えば発生時刻、アクセス元、アクセス先、不正アクセスに係る通信内容、又はシステム状態が記録手段に記録される。後に記録手段からのアクセス状況に関する情報の参照が可能である。

本発明に係る通信システムは、前記中継装置は、前記記録手段が記録した情報を、当該通信システム外へ送信する手段を更に備えることを特徴とする。

本発明では、不正アクセスが検知された場合に記録手段に記録されたアクセス状況に関する情報が当該通信システム外へ送信される。これにより、本発明の通信システム外から不正アクセスがあったこと、及び不正アクセスがされたときの状況の把握が可能である。

本発明に係る通信システムは、前記不正アクセス検知手段が不正アクセスを検知した場合、前記第２通信部による情報の送受信を禁止する手段を更に備えることを特徴とする。

本発明では、不正アクセスが検知された場合に、他の媒体を介した装置との情報の送受信が禁止される。これにより、更に不正なアクセスが当該通信システム外からされることを防止し、被害の拡大を防止することが可能である。

本発明による場合、不正アクセス検知機能を有する中継装置のみで、内部の通信装置が接続されている通信バス以外の媒体を介した外部の通信装置との間の情報の送受信が行なわれる。したがって、通信システム内の通信装置が不正なアクセス被害を受ける可能性が低減され、更に、中継装置にて外部からの不正アクセスに対して適切に対処することが可能である。

実施の形態１における車載通信システムの構成を示すブロック図である。 実施の形態１におけるＧＷ装置による中継処理の内、ＣＡＮメッセージを受信した際の処理手順の一例を示すフローチャートである。 実施の形態１におけるＧＷ装置による中継処理の内、ＣＡＮメッセージを送信する際の処理手順の一例を示すフローチャートである。 実施の形態１におけるＧＷ装置による不正アクセス検知の処理手順の一例を示すフローチャートである。 実施の形態２における車載通信システムの構成を示すブロック図である。 実施の形態２におけるＧＷ装置による中継処理の内、ＣＡＮメッセージを受信した際の処理手順の一例を示すフローチャートである。 実施の形態２におけるＧＷ装置による電源制御情報に基づく不正アクセス検知の処理手順の一例を示すフローチャートである。 実施の形態３における車載通信システムの構成を示すブロック図である。 実施の形態３におけるＧＷ装置による中継処理の内、情報を受信した際の処理手順の一例を示すフローチャートである。 実施の形態３におけるＧＷ装置によるシステム外からの不正アクセス検知の処理手順の一例を示すフローチャートである。

以下、本発明をその実施の形態を示す図面に基づいて具体的に説明する。
なお、以下の実施の形態では本発明を、車載機器を制御する車載通信システムに適用した場合の例を挙げて説明する。

（実施の形態１）
図１は、実施の形態１における車載通信システムの構成を示すブロック図である。車載通信システムは、複数の通信バス１１及び通信バス１２と、通信バス１１，１２夫々に複数接続されているＥＣＵ２１，２２及びＥＣＵ２３と、通信バス１３に接続されているＥＣＵ３１、ＥＣＵ３２及びダイアグコネクタ３３と、通信バス１１〜１３間の情報の中継処理を行なうＧＷ（Gate Way）装置４とを含む。実施の形態１における車載通信システムは、当該車載通信システム外からの不正アクセスをＧＷ装置４にて検知し、適切に処理する。

実施の形態１では、通信バス１１〜１３を介した通信は、いずれもＣＡＮプロトコルに準じる。勿論、ＣＡＮには限定されない。通信バス１１〜１３は、接続されるＥＣＵ２１〜２３、ＥＣＵ３１及びＥＣＵ３２の制御対象の種類で区別されている。換言すれば、送受信される情報の種類で区別される。通信速度は、通信バス１１〜１３で異なる設定とされていてもよい。例えば、通信バス１１には動力制御、及び走行制御等を含むシャシーの制御を行なう複数のＥＣＵ２１が接続されており、計器、走行制御系の情報が送受信される。また通信バス１１には計器のメータ５１及びスピーカ５２を制御するＥＣＵ２２が接続されている。通信バス１２には、ボディの制御を行なう複数のＥＣＵ２３が接続されており、ドアロック、セキュリティなどに関する情報が送受信される。通信バス１３には、外部から時間情報、位置情報、ダイアグ情報、更新情報等を送受信する外部との情報の入出力機能を有する複数のＥＣＵ３１、及びＥＣＵ３２が接続されている。また通信バス１３には、ダイアグコネクタ３３が接続されている。車両の納品時、又は点検時等の一時的に、ダイアグ端末３０１、パーソナルコンピュータ（Personal Computer ；以下ＰＣという）３０２、又は他のＥＣＵ３０３が通信バス１３を介して情報を送受信することができる。

ＥＣＵ２１及びＥＣＵ２２は、図示しないマイクロコンピュータ（以下、マイコンという）及びＣＡＮトランシーバを備え、通信バス１１に接続されている。ＥＣＵ２３も同様にマイコン及びＣＡＮトランシーバを備え、通信バス１２に接続されている。ＥＣＵ２１〜２３が備えるマイコンは、ＣＡＮコントローラ機能を有して通信バス１１又は通信バス１２に送信されるＣＡＮメッセージを受信すると共に、ＣＡＮメッセージを送信する。なお、ＥＣＵ２１〜２３は、いずれも通信バス１１又は通信バス１２とのインタフェース以外に、他の機器との情報の入出力に関するインタフェースを持たない。ＥＣＵ２１〜２３は、ＰＣ、ダイアグ端末等との通信機能も、外部との無線通信による情報の入出力機能も、ＵＳＢメモリ等の記録媒体を介した情報の入出力の機能も有さない。

ＥＣＵ３１及びＥＣＵ３２は、ＥＣＵ２１及びＥＣＵ２２と同様にマイコン及びＣＡＮトランシーバを備え、通信バス１３に接続されている。ＥＣＵ３１及びＥＣＵ３２が備えるマイコンは、ＣＡＮコントローラ機能を有して通信バス１３に送信されるＣＡＮメッセージを受信すると共に、ＣＡＮメッセージを送信する。また、ＥＣＵ３１は例えばカーナビゲーションシステムに関する情報を外部との間で送受信するためのＧＰＳ（Global Positioning System ）受信機、又は無線ＬＡＮ通信ユニットなどである無線通信部３４を備える。ＥＣＵ３２は、可搬型の記憶部等の記録媒体と情報を入出力する入出力部３５を備える。ダイアグコネクタ３３は、通信バス１３の接続コネクタであり、ダイアグコネクタ３３を介してダイアグ端末３０１、ＰＣ３０２、及びＥＣＵ３０３は通信バス１３を介した送受信が可能である。このように、通信バス１３に接続される機器は、外部との情報の入出力を行なう機能を有する。

ＧＷ装置４は、制御部４０と、第１通信部４１と、第２通信部４２と、第３通信部４３と、不正アクセス検知部４４と、記憶部４５と、一時記憶部４６とを備えている。

制御部４０は、ＣＰＵ（Central Processing Unit）を用いる。制御部４０は、記憶部４５に記憶されているプログラム４７に基づき、一時記憶部４６を送信バッファ又は受信バッファとして用い、第１〜第３通信部４１〜４３を介した送受信を実行して中継処理を実現する。制御部４０はＭＰＵ（Micro Processing Unit ）に代替されてもよい。

第１〜第３通信部４１〜４３は夫々、ＣＡＮコントローラ及びＣＡＮトランシーバを含み、ＣＡＮプロトコルに基づいてＣＡＮメッセージの送受信を実現する。第１通信部４１は通信バス１１に、第２通信部４２は通信バス１２に、第３通信部４３は通信バス１３に接続されている。第１通信部４１は、通信バス１１に送信されたＣＡＮメッセージを検知すると、受信割込を制御部４０へ通知する。同様に、第２通信部４２は、接続されている通信バス１２に送信されたＣＡＮメッセージを検知すると、受信割込を制御部４０へ通知する。第３通信部４３は、接続されている通信バス１３に送信されたＣＡＮメッセージを検知すると、受信割込を制御部４０へ通知する。

不正アクセス検知部４４は、車載通信システム外からの不正アクセスを検知する。不正アクセス検知部４４は、制御部４０がプログラム４７を読み出して実行することによりソフトウェア的に実現される機能であってもよいし、チップ化されてハードウェア的に実現されてもよい。不正アクセス検知部４４は、第３通信部４３により受信したＣＡＮメッセージの送信（受信）タイミング、ＣＡＮメッセージのＣＡＮＩＤ、ＣＡＮメッセージに含まれるデータ内容、ＣＡＮメッセージの送信元が既知のものと異なるか否かを判断し、異なる場合に不正アクセスがあったと検知する。ＣＡＮプロトコル以外でも、メッセージ、即ち送受信する情報の内容を識別する情報（ＩＤ）に基づいて、不正アクセスの有無を検知することができる。また不正アクセス検知部４４は、第３通信部４３にて受信する通信信号の波形に基づき、通信バス１３のトポロジ（線長又はノード数等）の変化があるか否かを判断し、変化がある場合に不正アクセスがあったと検知する。

制御部４０は、不正アクセス検知部４４により不正アクセスが検知された場合、不正アクセスの可能性を示す警告をメータ５１に表示させ、スピーカから警告音を出力させるべく、ＥＣＵ２２への警告情報の送信を第１通信部４１へ指示する。

記憶部４５は、書き換え可能なフラッシュメモリ等の不揮発性メモリであり、制御部４０が読み出すプログラム４７を記憶する。なお、記憶部４５の代替として、ＥＥＰＲＯＭ（登録商標）などの不揮発性メモリを用いてもよい。また記憶部４５は、不正アクセス検知部４４により不正アクセスが検知された場合に、後述するようにログ情報４８の記録先として使用される。

一時記憶部４６は、ＳＲＡＭ（Static Random Access Memory ）又はＤＲＡＭ（Dynamic RAM ）等のＲＡＭを用いる。一時記憶部４６は、送受信バッファとして利用される。制御部４０は、第１〜第３通信部４１〜４４にて受信したＣＡＮメッセージ、及び、第１〜第３通信部４１〜４３にて送信するＣＡＮメッセージを一時記憶部４６に一時的に記憶する。

なお、制御部４０、第１〜第３通信部４１〜４３におけるＣＡＮコントローラ部、記憶部４５及び一時記憶部４６でマイコンとして構成されていてよい。

このように構成される車載通信システムにおけるＧＷ装置４による中継処理について、フローチャートを参照しながら詳細を説明する。
図２は、実施の形態１におけるＧＷ装置４による中継処理の内、ＣＡＮメッセージを受信した際の処理手順の一例を示すフローチャートである。制御部４０へ、受信割込が通知された場合、制御部４０は以下の処理を実行する。

制御部４０は、受信したＣＡＮメッセージのＣＡＮＩＤ、及び受信した通信バス（通信バス１１〜１３のいずれか）を特定する（ステップＳ１０１）。

制御部４０は、特定した通信バスが通信バス１１又は通信バス１２のいずれかであるか否かを判断する（ステップＳ１０２）。制御部４０は、特定した通信バスは通信バス１１又は通信バス１２であると判断した場合（Ｓ１０２：ＹＥＳ）、ステップＳ１０１で特定したＣＡＮＩＤ及び通信バスに基づき、受信したＣＡＮメッセージに中継要の信号情報が含まれているか否かを判断する（ステップＳ１０３）。

制御部４０は、ステップＳ１０３にて中継要の信号情報が含まれていると判断した場合（Ｓ１０３：ＹＥＳ）、受信したＣＡＮメッセージから必要な信号情報を抽出する（ステップＳ１０４）。制御部４０は、抽出した信号情報を一時記憶部４６に一時的に記憶し（ステップＳ１０５）、受信処理を終了する。

制御部４０は、ステップＳ１０２にて特定した通信バスが通信バス１３であると判断した場合（Ｓ１０２：ＮＯ）、不正アクセス検知部４４により不正アクセスが検知されたか否かを判断する（ステップＳ１０６）。制御部４０は、不正アクセスが検知されないと判断した場合（Ｓ１０６：ＮＯ）、処理をステップＳ１０３へ進める。

制御部４０は、ステップＳ１０６にて不正アクセスが検知されたと判断した場合（Ｓ１０６：ＹＥＳ）、受信したＣＡＮメッセージを破棄し（ステップＳ１０７）、不正アクセスの可能性を示す警告をメータ５１に表示させ、スピーカから警告音を出力させるべく、ＥＣＵ２２への警告情報を第１通信部３１から出力させる（ステップＳ１０８）。制御部４０は、以後の通信バス１３が接続されている第３通信部４３による通信を以後禁止し（ステップＳ１０９）、特定したＣＡＮＩＤ、及び不正であると判断した根拠を含むログ情報４８を記憶部４５に記憶し（ステップＳ１１０）、処理を終了する。

これにより、不正アクセスがあった場合でも通信バス１１及び通信バス１２に接続されているＥＣＵ２１〜２３へ不正アクセスに係るＣＡＮメッセージは到達しない。したがって、車載通信システムを保護することが可能となる。また、不正アクセスが検知された場合、メータ５１から警告表示、又はスピーカ５２からの警告音が出力される。したがって、ユーザは不正アクセスに気付くことが可能であるから、ユーザはディーラへ連絡したり、ディーラへ車両を運搬したり、種々の適切な対処をとることができる。更に、不正アクセスがあった場合には、車外装置との入出力に係るＥＣＵ３１、ＥＣＵ３２、及びダイアグコネクタ３３が接続されている通信バス１３との接続が禁止される。したがって、不正アクセスの被害の拡大を防止することが可能となる。

図３は、実施の形態１におけるＧＷ装置４による中継処理の内、ＣＡＮメッセージを送信する際の処理手順の一例を示すフローチャートである。ＧＷ装置４は、ＣＡＮメッセージを受信する都度、以下の処理を行なってもよいし、定期的に以下の処理を行なってもよい。送信するＣＡＮメッセージを特定する情報と共に、送信タイミングとの対応が記憶されており、各ＣＡＮメッセージの送信タイミングが到来すると、以下に示す処理が実行される。なお、定期的に行なう場合は具体的には、ＧＷ装置４は、図示しないタイマ部にて、例えば１０ミリ秒の一定期間をカウントしており、１０ミリ秒が経過する都度、タイマ割込を制御部４０へ通知する。制御部４０は、当該タイマ割込が通知された場合に、以下の送信（中継）処理を実行する。

制御部４０は、送信するＣＡＮメッセージを選択する（ステップＳ２１）。制御部４０は、中継要と抽出してある信号情報を読み出し（ステップＳ２２）、抽出してある信号情報から、選択した送信ＣＡＮメッセージに含められるべき信号情報を選択してＣＡＮメッセージを作成する（ステップＳ２３）。

制御部４０は、作成したＣＡＮメッセージの送信条件が成立しているか否かを判断する（ステップＳ２４）。例えば、図３に示した処理手順が定期的（１０ミリ秒）毎に実行されることに対し、送信条件が周期の３倍である３０ミリ秒毎に送信されるべきであるときには、制御部４０は、１０ミリ秒又は２０ミリ秒経過後は、送信条件が成立していないと判断する。

制御部４０は、送信条件が成立していると判断した場合（Ｓ２４：ＹＥＳ）、作成したＣＡＮメッセージを、第１〜第３通信部４１〜４３のいずれかの中継先に与えて送信する（ステップＳ２５）。

制御部４０は、送信すべき全てのＣＡＮメッセージについて選択したか否かを判断する（ステップＳ２６）。制御部４０は、ステップＳ２６で全て選択したと判断した場合（Ｓ２６：ＹＥＳ）、中継処理を終了する。

制御部４０は、ステップＳ２４で送信条件が成立していないと判断した場合（Ｓ２４：ＮＯ）、処理をステップＳ２６へ進める。

制御部４０は、ステップＳ２６にて、選択していないＣＡＮメッセージがあると判断した場合（ステップＳ２６：ＮＯ）、処理をステップＳ２１へ戻し、次の送信ＣＡＮメッセージについて処理を実行する。

このようにＧＷ装置４は、受信したＣＡＮメッセージをそのまま送受信する方法でなく、中継先が必要な情報を含むＣＡＮメッセージを作成してから送信する方法で各情報の中継を実現する。更にＧＷ装置４は、外部との情報の入出力を行なわないＥＣＵ２１又はＥＣＵ２２と接続している第１通信部４１又は第２通信部４２により受信した情報と、外部との情報の入出力を行なう機能を有するＥＣＵ３１若しくはＥＣＵ３２、外部から接続されるダイアグ端末３０１、ＰＣ３０２又はＥＣＵ３０３と接続している第３通信部４３により受信した情報とを区別して中継する。そしてＧＷ装置４は、第３通信部４３により受信した情報に対して特に、不正アクセス検知部４４による処理を行なう。

図４は、実施の形態１におけるＧＷ装置４による不正アクセス検知の処理手順の一例を示すフローチャートである。制御部４０が第３通信部４３により受信割込の通知を受けると、制御部４０の指示に基づき不正アクセス検知部４４が以下の処理を実行する。

不正アクセス検知部４４は、受信したＣＡＮメッセージのＣＡＮＩＤを特定する（ステップＳ３１）。不正アクセス検知部４４は、特定したＣＡＮＩＤが不正なＣＡＮＩＤであるか否かを判断する（ステップＳ３２）。不正なＣＡＮＩＤとは、車載通信システムで使用されると規定されているＣＡＮＩＤ以外のものか、又は不正ＩＤリストに記憶されてあるＣＡＮＩＤである。不正アクセス検知部４４は、不正なＣＡＮＩＤであると判断した場合（Ｓ３２：ＹＥＳ）、不正アクセスがあったと判断し（ステップＳ３３）、処理を終了する。

不正アクセス検知部４４は、ステップＳ３２で正当なＣＡＮＩＤであると判断した場合（Ｓ３２：ＮＯ）、受信したＣＡＮメッセージの送信（受信）タイミングが不正であるか否かを判断する（ステップＳ３４）。不正アクセス検知部４４は、規定されているＣＡＮメッセージ毎に、送信周期又は送信時間等の送信タイミングを記憶しておき、規定されている送信タイミングと異なる場合、不正であると判断する。不正アクセス検知部４４は、不正であると判断した場合（Ｓ３４：ＹＥＳ）、処理をステップＳ３３へ進める。

不正アクセス検知部４４は、ステップＳ３４で送信タイミングが正当であると判断した場合（Ｓ３４：ＮＯ）、受信したＣＡＮメッセージの送信順序が不正であるか否かを判断する（ステップＳ３５）。不正アクセス検知部４４は、送信されるＣＡＮメッセージの正当な順序（１周期における順序）を記憶しておき、受信したＣＡＮメッセージの順序が記憶してある順序と異なる場合、不正アクセスがあったと判断する。不正アクセス検知部４４は、不正であると判断した場合（Ｓ３５：ＹＥＳ）、処理をステップＳ３３へ進める。

不正アクセス検知部４４は、ステップＳ３５で送信順序が正当であると判断した場合（Ｓ３５：ＮＯ）、データ部を参照してデータが不正であるか否かを判断する（ステップＳ３６）。不正アクセス検知部４４は、ＣＡＮＩＤ毎にデータ長を規定しておき、受信したＣＡＮメッセージのデータ部のデータ長が、規定されているデータ長と異なる場合、不正であると判断する。また不正アクセス検知部４４は、ＣＡＮＩＤ毎に、データ値の正常範囲を規定しておき、受信したＣＡＮメッセージのデータ部のデータ値が規定されている正常範囲外である場合、不正であると判断する。不正アクセス検知部４４は、不正であると判断した場合（Ｓ３６：ＹＥＳ）、処理をステップＳ３３へ進める。

不正アクセス検知部４４は、データが正当であると判断した場合（Ｓ３６：ＮＯ）、第３通信部４３における通信信号の波形に基づき、通信バス１３に接続されている通信装置が規定されたもの、即ち正当な通信装置であるか否かを判断する（ステップＳ３７）。つまり不正アクセス検知部４４は、ＥＣＵ３１及びＥＣＵ３２以外に不正なＥＣＵが通信バス１３に接続されていないか否かを判断する。不正アクセス検知部４４は、規定されているものでないと判断した場合（Ｓ３７：ＮＯ）、処理をステップＳ３３へ進める。

不正アクセス検知部４４は、通信装置は規定されているものであると判断した場合（Ｓ３７：ＹＥＳ）、そのまま処理を終了する。この場合、不正アクセスは検知されなかったものと判断される。

上述したように実施の形態１における車載通信システムでは、外部との情報の入出力を行なう機能を有するＥＣＵ３１及びＥＣＵ３２、又は外部からダイアグコネクタ３３に接続されるダイアグ端末３０１、ＰＣ３０２若しくはＥＣＵ３０３による通信バス１３を介した通信は、通信バス１１及び通信バス１２による通信と区別されている。更に、外部との情報の入出力を行なう機能を有するＥＣＵ３１及びＥＣＵ３２等による通信バス１３を介した受信される情報は、不正アクセス検知部４４を必ず経由して、通信バス１１及び通信バス１２へ送信されるように構成されている。これにより、車載通信システム外部からの不正アクセスを防ぐことが可能である。

（実施の形態２）
実施の形態１では、ＧＷ装置４の不正アクセス検知部４４は、システム外からの不正アクセスを検知する構成とした。これに対し、実施の形態２では、システム内のＥＣＵ２１〜２３の不正な交換等による不正アクセスを監視する機能も有する。

実施の形態２における車載通信システムの構成の内、通信バス１１及び通信バス１２、ＥＣＵ２１〜２３、メータ５１、及びスピーカ５２については、実施の形態１における構成と同様である。したがって、これらの共通する構成には同一の符号を付して詳細な説明を省略する。

図５は、実施の形態２における車載通信システムの構成を示すブロック図である。実施の形態２における車載通信システムは、複数の通信バス１１及び通信バス１２と、通信バス１１，１２夫々に複数接続されているＥＣＵ２１〜２３と、通信バス１１，１２間の情報の中継処理を行なうＧＷ装置６と、ＥＣＵ２１〜２３の電源オン／オフを制御する電源制御装置７とを含む。実施の形態２における車載通信システムは、当該車載通信システム内のＥＣＵ２１〜２３を不正に交換することによる不正アクセスをＧＷ装置６にて検知し、適切に処理する。

ＧＷ装置６は、制御部６０と、第１通信部６１と、第２通信部６２と、接続部６３と、不正アクセス検知部６４と、記憶部６５と、一時記憶部６６とを備えている。

制御部６０は、ＣＰＵを用いる。制御部６０は、記憶部６５に記憶されているプログラム６７に基づき、一時記憶部６６を送信バッファ又は受信バッファとして用い、第１通信部６１及び第２通信部６２を介した送受信を実行して中継処理を実現する。制御部６０はＭＰＵに代替されてもよい。

第１通信部６１及び第２通信部６２は夫々、ＣＡＮコントローラ及びＣＡＮトランシーバを含み、ＣＡＮプロトコルに基づいてＣＡＮメッセージの送受信を実現する。第１通信部６１は通信バス１１に、第２通信部６２は通信バス１２に接続されている。第１通信部６１は、通信バス１１に送信されたＣＡＮメッセージを検知すると、受信割込を制御部６０へ通知する。同様に第２通信部６２は、接続されている通信バス１２に送信されたＣＡＮメッセージを検知すると、受信割込を制御部６０へ通知する。

接続部６３は、電源制御装置７に接続される専用線８のインタフェースである。制御部６０は、接続部６３を介して電源制御装置７からＥＣＵ２１〜２３の状態情報を取得し、接続部６３を介して電源制御装置７へ制御情報を送信する。なお、電源制御装置７とＧＷ装置６との間の接続は専用線８に限らず、他の通信バスであってもよい。また、接続部６３はＬＩＮ（Local Interconnect Network）等の通信バスのインタフェースであって、当該通信バスには複数の電源制御装置７がバス接続されている構成としてもよい。

不正アクセス検知部６４は、車載通信システム内からの不正アクセスを検知する。ここでいう不正アクセスとは、ＥＣＵ２１〜２３のいずれかが通信バス１１又は通信バス１２から離脱し、不正なプログラム、又は不正な情報が記憶されているＥＣＵに交換され、再度通信バス１１又は通信バス１２に接続されることが想定される。不正アクセス検知部６４は、制御部６０がプログラム６７を読み出して実行することによりソフトウェア的に実現される機能であってもよいし、チップ化されてハードウェア的に実現されてもよい。

不正アクセス検知部６４は、第１通信部６１又は第２通信部６２により受信したＥＣＵ２１〜２３からのＣＡＮメッセージの送信（受信）タイミング、ＣＡＮメッセージのＣＡＮＩＤ、ＣＡＮメッセージに含まれるデータ内容又はデータ量、ＣＡＮメッセージの送信元が既知のものと異なるか否かを判断し、異なる場合に、ＥＣＵ２１〜２３が交換された、即ち不正アクセスがあったと検知する。また、不正アクセス検知部６４は、ＥＣＵ２１〜２３へのＣＡＮメッセージを送信した場合の応答が返信されるまでの時間が規定の範囲内であるか否かを判断し、範囲外の場合はＥＣＵ２１〜２３のいずれかが交換された、即ち不正アクセスがあったと検知する。なお、ＥＣＵ２１〜２３に不具合又は故障が発生した場合も、不正アクセスがあったと検知される可能性が高い。

また、不正アクセス検知部６４は、電源制御装置７から取得するＥＣＵ２１〜２３の状態情報に基づき、ＥＣＵ２１〜２３のクロック周波数、消費電力、消費電流、又は起動時間（起動されてから最初にＣＡＮメッセージを送信するまでの時間）が規定されている範囲内であるか否かを判断する。不正アクセス検知部６４は、電源制御装置７から取得した状態情報に基づき、上述の各種情報が規定範囲外であると判断した場合、不正アクセスがあったと検知する。

制御部６０は、不正アクセス検知部６４により不正アクセスが検知された場合、不正アクセスの可能性を示す警告をメータ５１に表示させ、スピーカから警告音を出力させるべく、ＥＣＵ２２への警告情報の送信を第１通信部６１へ指示する。

記憶部６５は、書き換え可能なフラッシュメモリ等の不揮発性メモリであり、制御部６０が読み出すプログラム６７を記憶する。なお、記憶部６５の代替として、ＥＥＰＲＯＭ（登録商標）などの不揮発性メモリを用いてもよい。また記憶部６５は、不正アクセス検知部６４により不正アクセスが検知された場合に、ログ情報６８の記録先として使用される。

一時記憶部６６は、ＲＡＭを用いる。そして一時記憶部６６は、送受信バッファとして利用される。制御部６０は、第１通信部６１又は第２通信部６２にて受信したＣＡＮメッセージ、及び、第１通信部６１又は第２通信部６２にて送信するＣＡＮメッセージを一時記憶部６６に一時的に記憶する。

なお、制御部６０、第１通信部６１及び第２通信部６２におけるＣＡＮコントローラ部、記憶部６５及び一時記憶部６６でマイコンとして構成されていてよい。

電源制御装置７は、マイコン７０と、マイコン７０に接続されているスイッチ７１〜７３とを備えている。マイコン７０は、専用線８を介してＧＷ装置４と情報を送受信することが可能である。スイッチ７１〜７３は半導体リレー又は半導体ヒューズを用いる。スイッチ７１〜７３には、電源制御対象のＥＣＵ２１〜２３が接続されている。スイッチ７１〜７３は、マイコン７０から電源オン／オフを示す制御信号を入力し、制御信号に基づき接続されている電源制御対象のオン／オフを制御すると共に、電源制御対象の状態情報を取得することが可能である。

このように構成される車載通信システムにおけるＧＷ装置６による中継処理について、フローチャートを参照しながら詳細を説明する。
図６は、実施の形態２におけるＧＷ装置６による中継処理の内、ＣＡＮメッセージを受信した際の処理手順の一例を示すフローチャートである。制御部６０へ、受信割込が通知された場合、制御部６０は以下の処理を実行する。

制御部６０は、受信したＣＡＮメッセージのＣＡＮＩＤ、及び受信した通信バス（通信バス１１又は通信バス１２）を特定する（ステップＳ４０１）。

制御部６０は、受信したＣＡＮメッセージに基づき、不正アクセス検知部６４により不正アクセスが検知されたか否かを判断する（ステップＳ４０２）。

制御部６０は、不正アクセスが検知されないと判断した場合（Ｓ４０２：ＮＯ）、電源制御装置７からＥＣＵ２１〜２３の状態情報を取得する（ステップＳ４０３）。制御部６０は、取得した状態情報に基づき、不正アクセス検知部６４により不正アクセスが検知されたか否かを判断する（ステップＳ４０４）。

制御部６０は、不正アクセスが検知されないと判断した場合（Ｓ４０４：ＮＯ）、特定したＣＡＮＩＤ及び通信バスに基づき、受信したＣＡＮメッセージに中継要の信号情報が含まれているか否かを判断する（ステップＳ４０５）。制御部６０は、ステップＳ４０５にて中継要の信号情報が含まれていると判断した場合（Ｓ４０５：ＹＥＳ）、受信したＣＡＮメッセージから必要な信号情報を抽出する（ステップＳ４０６）。制御部６０は、抽出した信号情報を一時記憶部６６に一時的に記憶し（ステップＳ４０７）、受信処理を終了する。

制御部６０は、ステップＳ４０２で不正アクセスが検知されたと判断した場合（Ｓ４０２：ＹＥＳ）、受信したＣＡＮメッセージを破棄し（ステップＳ４０８）、不正アクセスの可能性を示す警告をメータ５１に表示させ、スピーカから警告音を出力させるべく、ＥＣＵ２２への警告情報を第１通信部６１から出力させる（ステップＳ４０９）。制御部６０は、保護されるべきＥＣＵ（例えばＥＣＵ２１）へ、以後の通信を遮断するように指示するＣＡＮメッセージを送信し（ステップＳ４１０）、不正であると判断した根拠を含むログ情報６８を記憶部６５に記憶し（ステップＳ４１１）、処理を終了する。この場合、ＥＣＵ２２が復帰する場合はリセットなどが必要になる。ステップＳ４１０における通信を遮断するように指示するＣＡＮメッセージは、電源オフ状態への遷移を指示するメッセージであってもよい。

制御部６０は、ステップＳ４０４で不正アクセスが検知されたと判断した場合（Ｓ４０４：ＹＥＳ）、ＥＣＵ２２への警告情報を第１通信部６１から出力させる（ステップＳ４１２）。そして制御部６０は、交換がされた可能性のあるＥＣＵ２１〜２３のいずれかによる通信を以後禁止とし（ステップＳ４１３）、不正であると判断した根拠を含むログ情報６８を記憶部６５に記憶し（Ｓ４１１）、処理を終了する。なおステップＳ４１３では例えば、交換がされた可能性のあるＥＣＵ２１〜２３へ、通信禁止を指示するＣＡＮメッセージを送信するか、電源制御装置７を介して電源を強制的にオフするなどの処理などが考えられる。

これにより、不正なＥＣＵ２１〜２３の交換があった場合にこれを検知し、交換されたＥＣＵ２１〜２３のいずれかが接続されている通信バス１１又は通信バス１２における通信は遮断、停止される。したがって、不正な情報を含むＣＡＮメッセージが中継されて被害が拡大されることを防止することが可能となる。また、不正アクセスが検知された場合、メータ５１から警告表示、又はスピーカ５２からの警告音が出力される。したがって、ユーザは不正アクセスに気付くことが可能であるから、ユーザはディーラへ連絡したり、ディーラへ車両を運搬したり、種々の適切な対処をとることができる。

ＧＷ装置６にて、中継処理の内のＣＡＮメッセージを送信する際の処理手順は、実施の形態１の図３のフローチャートに示した処理手順と同様であるので、詳細な説明を省略する。

実施の形態２におけるＧＷ装置６による不正アクセス検知の処理手順について説明する。制御部６０が第１通信部６１及び第２通信部６２により受信割込の通知を受けると、制御部６０の指示に基づき、不正アクセス検知部６４はまず、受信したＣＡＮメッセージに基づき不正アクセスを検知する処理を行なう。この処理手順は、実施の形態１の図３のフローチャートに示した処理手順と同様であるので詳細な説明を省略する。

図７は、実施の形態２におけるＧＷ装置６による電源制御情報に基づく不正アクセス検知の処理手順の一例を示すフローチャートである。制御部６０は、１０ミリ秒などの一定時間の経過毎に、定期的に以下の処理を行なう。

制御部６０は、接続部６３から、電源制御装置７へＥＣＵ２１〜２３の状態情報の取得指示を出力し、状態情報を取得する（ステップＳ５１）。

不正アクセス検知部６４は取得された状態情報に基づき、ＥＣＵ２１〜２３における動作が規定範囲内にあるか否かを判断する（ステップＳ５２）。具体的には、不正アクセス検知部６４はＥＣＵ２１〜２３のクロック周波数、消費電力、消費電流、又は起動時間（起動されてから最初にＣＡＮメッセージを送信するまでの時間）が規定されている範囲内であるか否かを判断する。

不正アクセス検知部６４は、ステップＳ５２にて規定範囲外であると判断した場合（Ｓ５２：ＮＯ）、不正アクセスがあったと判断し（ステップＳ５３）、処理を終了する。

不正アクセス検知部６４は、ステップＳ５２にて規定範囲内であると判断した場合（Ｓ５２：ＹＥＳ）、第１通信部６１及び第２通信部６２における通信信号の波形に基づき、通信バス１１又は通信バス１２に接続されているＥＣＵが規定されたものであるか否か、即ち正当なＥＣＵであるか否かを判断する（ステップＳ５４）。つまり不正アクセス検知部６４は、ＥＣＵ２１〜２３の代わりに不正なＥＣＵが通信バス１１又は通信バス１２に接続されていないか否かを判断する。不正アクセス検知部６４は、規定されているものでないと判断した場合（Ｓ５４：ＮＯ）、処理をステップＳ５３へ進める。

不正アクセス検知部６４は、通信装置は規定されているものであると判断した場合（Ｓ５４：ＹＥＳ）、そのまま処理を終了する。この場合、不正アクセスは検知されなかったものと判断される。

このように実施の形態２では、ＧＷ装置６が、通信バス１１及び通信バス１２に接続されている通信装置が交換されたものでないか否かを判断し、車載通信システム内部からの不正アクセスをも適切に検知し、対処することが可能となる。

（実施の形態３）
実施の形態３では、ＧＷ装置自身が外部と通信する機能を有する構成とする。
実施の形態３における車載通信システムの構成の内、通信バス１１及び通信バス１２、ＥＣＵ２１〜２３、メータ５１、及びスピーカ５２については実施の形態１における構成と同様である。したがって、共通する構成には同一の符号を付して詳細な説明を省略する。

図８は、実施の形態３における車載通信システムの構成を示すブロック図である。実施の形態３における車載通信システムは、複数の通信バス１１及び通信バス１２と、通信バス１１，１２夫々に複数接続されているＥＣＵ２１〜２３と、通信バス１１，１２間の情報の中継処理を行なうＧＷ装置９とを含む。

ＧＷ装置９は、制御部９０と、第１通信部９１と、第２通信部９２と、車外通信部９３と、入出力部９４と、不正アクセス検知部９５と、記憶部９６と、一時記憶部９７とを備えている。

制御部９０は、ＣＰＵを用いる。制御部９０は、記憶部９６に記憶されているプログラム９８に基づき、一時記憶部９７を送信バッファ又は受信バッファとして用い、第１通信部９１及び第２通信部９２を介した送受信を実行して中継処理を実現する。制御部９０は、ＭＰＵに代替されてもよい。

第１通信部９１及び第２通信部９２は夫々、ＣＡＮコントローラ及びＣＡＮトランシーバを含み、ＣＡＮプロトコルに基づいてＣＡＮメッセージの送受信を実現する。第１通信部９１は通信バス１１に、第２通信部９２は通信バス１２に接続されている。第１通信部９１は、通信バス１１に送信されたＣＡＮメッセージを検知すると、受信割込を制御部９０に通知する。同様に第２通信部９２は、接続されている通信バス１２に送信されたＣＡＮメッセージを検知すると、受信割込を制御部９０へ通知する。

車外通信部９３は、無線通信機の機能を有し、サーバ１００、クラウドサーバ１０１、又は車内に持ち込まれる通信端末装置１０２との通信を実現する。車外通信部９３は、外部からの情報を検知すると、受信割込を制御部９０へ通知する。サーバ１００又はクラウドサーバ１０１は、車両メーカ又はディーラのサーバとしてサーバセンタに設置されている。車外通信部９３は他に、ＧＰＳ受信機、車車間通信機、路車間通信機、又は充電通信機の機能を有してもよい。制御部９０は、車外通信部９３により、サーバ１００、クラウドサーバ１０１又は通信端末装置１０２から、適宜情報を受信する。例えば制御部９０は、車外通信部９３から、プログラム９８の更新情報を受信し、プログラム９８を更新したり、ユーザの趣向に合わせた地図情報を受信したりすることができる。また制御部９０は、後述するように、不正アクセスが検知された場合に、ログ情報９９をサーバ１００又はクラウドサーバ１０１へ車外通信部９３から送信することが可能である。

入出力部９４は、ダイアグコネクタ等の接続インタフェースであり、ダイアグ端末１０３、又は記憶媒体１０４との情報の入出力を実現する。入出力部９４は、自身へのダイアグ端末１０３又は記憶媒体１０４の接続を検知すると、受信割込を制御部９０へ通知する。制御部９０は、入出力部９４により、ダイアグ端末１０３からの信号を入力し、ダイアグ情報をダイアグ端末１０３へ出力することができる。また制御部９０は、後述するように不正アクセスが検知された場合に、ログ情報９９を入出力部９４から出力することが可能である。なお、入出力部９４はＵＳＢ（Universal Serial Bus）等の接続インタフェースであってもよい。

不正アクセス検知部９５は、車外通信システム外、及び車外通信システム内からの不正アクセスを検知する。不正アクセス検知部９５は、制御部９０がプログラム９８を読み出して実行することによりソフトウェア的に実現される機能であってもよいし、チップ化されたハードウェア的に実現されてもよい。

不正アクセス検知部９５は、車外通信部９３により受信した情報（更新情報など）の内容、送信タイミング、認証情報などに基づき、受信した情報が正当なものであるか否かを判断し、不当であると判断した場合に不正アクセスがあったと検知する。また、不正アクセス検知部９５は、入出力部９４により入力された情報の内容に基づき、入力した情報が正当なものであるか否かを判断し、不当であると判断した場合に不正アクセスがあったと検知する。更に不正アクセス検知部９５は、第１通信部９１又は第２通信部９２から受信したＣＡＮメッセージの送信（受信）タイミング、ＣＡＮメッセージのＣＡＮＩＤ、ＣＡＮメッセージに含まれるデータ内容又はデータ量、ＣＡＮメッセージの送信元が既知のものと異なるか否かを判断し、異なる場合に、ＥＣＵ２１〜２３が交換された、即ち不正アクセスがあったと検知する。不正アクセス検知部９５は、ＥＣＵ２１〜２３へのＣＡＮメッセージを送信した場合の応答が返信されるまでの時間が規定の範囲内であるか否かを判断し、範囲外の場合はＥＣＵ２１〜２３のいずれかが交換された、即ち不正アクセスがあったと検知する。更に不正アクセス検知部９５は、第１通信部９１又は第２通信部９２にて受信する通信信号の波形に基づき、通信バス１１〜１２のトポロジ（線長又はノード数等）の変化があるか否かを判断し、変化がある場合にＥＣＵ２１〜２３のいずれかが交換された、即ち不正アクセスがあったと検知する。

記憶部９６は、書き換え可能なフラッシュメモリ等の不揮発性メモリであり、制御部９０が読み出すプログラム９８を記憶する。なお、記憶部９６の代替として、ＥＥＰＲＯＭ（登録商標）などの不揮発性メモリを用いてもよい。また記憶部９６は、不正アクセス検知部９５により不正アクセスが検知された場合に、ログ情報９９の記録先として使用される。

一時記憶部９７は、ＲＡＭを用いる。そして一時記憶部９７は、送受信バッファとして利用される。制御部９０は、第１通信部９１又は第２通信部９２にて受信したＣＡＮメッセージ、及び、第１通信部９１又は第２通信部９２にて送信するＣＡＮメッセージを一時記憶部９７に一時的に記憶する。

なお、制御部９０、第１通信部９１及び第２通信部９２におけるＣＡＮコントローラ部、記憶部９６及び一時記憶部９７でマイコンとして構成されていてよい。

このように構成される車載通信システムにおけるＧＷ装置９による中継処理についてフローチャートを参照しながら詳細を説明する。
図９は、実施の形態３におけるＧＷ装置９による中継処理の内、情報を受信した際の処理手順の一例を示すフローチャートである。制御部９０へ、受信割込が通知された場合、制御部９０は以下の処理を実行する。

制御部９０は、第１通信部９１又は第２通信部９２により通信バス１１又は通信バス１２から情報を受信したか否か判断する（ステップＳ６０１）。制御部９０は、第１通信部９１又は第２通信部９２により情報を受信したと判断した場合（Ｓ６０１：ＹＥＳ）、受信した情報、即ちＣＡＮメッセージのＣＡＮＩＤ、及び受信した通信バス（通信バス１１又は通信バス１２）を特定する（ステップＳ６０２）。制御部９０は、特定したＣＡＮＩＤ及び通信バスに基づき、不正アクセス検知部９５によりシステム内からの不正アクセスが検知されたか否かを判断する（ステップＳ６０３）。

制御部９０は、不正アクセスが検知されないと判断した場合（Ｓ６０３：ＮＯ）、特定したＣＡＮＩＤ及び通信バスに基づき、受信したＣＡＮメッセージに中継要の信号情報が含まれているか否かを判断する（ステップＳ６０４）。制御部９０は、ステップＳ６０４にて中継要の信号情報が含まれていると判断した場合（Ｓ６０４：ＹＥＳ）、受信したＣＡＮメッセージから必要な信号情報を抽出する（ステップＳ６０５）。制御部９０は、抽出した信号情報を一時記憶部９６に一時的に記憶し（ステップＳ６０６）、受信処理を終了する。

制御部９０は、ステップＳ６０３にてシステム内から不正アクセスが検知されたと判断した場合（Ｓ６０３：ＹＥＳ）、受信したＣＡＮメッセージを破棄し（ステップＳ６０７）、不正アクセスの可能性を示す警告をメータ５１に表示させ、スピーカから警告音を出力させるべく、ＥＣＵ２２への警告情報を第１通信部９１から出力させる（ステップＳ６０８）。制御部９０は、保護されるべきＥＣＵ（例えばＥＣＵ２１）へ、以後の通信を遮断するように指示するＣＡＮメッセージを送信する（ステップＳ６０９）。制御部９０は、不正であると判断した根拠を含むログ情報９９を記憶部９６に記憶し（ステップＳ６１０）、更に当該ログ情報を車外通信部９３からサーバ１００若しくはクラウドサーバ１０１へ送信し、（ステップＳ６１１）、処理を終了する。

なお、制御部９０は、ステップＳ６１１の代替として、点検時に、入出力部９４にダイアグ端末１０３又は記録媒体１０４、若しくはＰＣ等が接続された場合に、記憶部９６に記憶してあるログ情報９９を出力し、記録させるようにしてもよい。

制御部９０は、ステップＳ６０１にて車外通信部９３又は入出力部９４により情報を受信したと判断した場合（Ｓ６０１：ＮＯ）、受信した情報に基づき、不正アクセス検知部９５によりシステム外からの不正アクセスが検知されたか否かを判断する（ステップＳ６１２）。

制御部９０は、不正アクセスが検知されないと判断した場合（Ｓ６１２：ＮＯ）、処理をステップＳ６０４へ進める。

制御部９０は、ステップＳ６１２にて不正アクセスが検知されたと判断した場合（Ｓ６１２：ＹＥＳ）、処理をステップＳ６０８へ進める。

これにより、不正なＥＣＵ２１〜２３の交換があった場合など、システム内から不正アクセスがあった場合にこれを検知し、不正アクセスに係るＣＡＮメッセージは中継されない。システム外から不正アクセスがあった場合もこれを検知し、不正アクセスに係る情報は中継されない。したがって、車載通信システムを保護することが可能となる。また、不正アクセスが検知された場合、メータ５１から警告表示、又はスピーカ５２からの警告音が出力される。したがって、ユーザは不正アクセスに気付くことが可能であるから、ユーザはディーラへ連絡したり、ディーラへ車両を運搬したり、種々の適切な対処をとることができる。しかも、不正アクセスがあった場合には、ログ情報がディーラやメーカのサーバ１００、又はクラウドサーバ１０１へ送信されるから、ディーラ又はメーカにて事前にログ情報を解析し、当該車両が持ち込まれた際に、迅速に適切な処理を行なうことも可能である。

実施の形態３におけるＧＷ装置９による不正アクセス検知の処理手順について説明する。制御部９０が第１通信部９１及び第２通信部９２により受信割込の通知を受けると、制御部９０の指示に基づき、不正アクセス検知部９５はまず、受信したＣＡＮメッセージに基づき不正アクセスを検知する処理を行なう。この処理手順は、実施の形態１の図３のフローチャートに示した処理手順と同様であるので詳細な説明を省略する。

図１０は、実施の形態３におけるＧＷ装置９によるシステム外からの不正アクセス検知の処理手順の一例を示すフローチャートである。制御部９０が車外通信部９３又は入出力部９４から受信割込の通知を受けると、制御部９０の指示に基づき不正アクセス検知部９５が以下の処理を実行する。

不正アクセス検知部９５は、受信した情報の内容が不当であるか否かを判断する（ステップＳ７１）。具体的には、不正アクセス検知部９５は、情報の内容が規定外であるか否か等を判断する。

不正アクセス検知部９５は、ステップＳ７１にて不当であると判断した場合（Ｓ７１：ＹＥＳ）、不正アクセスがあったと判断し（ステップＳ７２）、処理を終了する。

不正アクセス検知部９５は、ステップＳ７１にて正当であると判断した場合（Ｓ７１：ＮＯ）、受信した情報が送信（受信）タイミングは不正であるか否かを判断する（ステップＳ７３）。不正アクセス検知部９５は、外部から受信する予定がある情報に対応付けて送信時間等の送信タイミングを記憶しておき、規定されている送信タイミングと異なる場合、不正であると判断する。

不正アクセス検知部９５は、不正であると判断した場合（Ｓ７３：ＹＥＳ）、処理をステップＳ７２へ進める。

不正アクセス検知部９５は、ステップＳ７３にて送信タイミングは正当であると判断した場合（Ｓ７３：ＮＯ）、接続されている機器は不当であるか否かを判断する（ステップＳ７４）。不正アクセス検知部９５は、例えば入出力部９４に接続されるダイアグ端末１０３から、端末を識別する識別情報の入力を受け付け、当該識別情報が予め記憶してある識別情報と対応しない場合に不当であると判断する。また、例えば車外通信部９３に通信端末装置１０２から接続された場合に、装置を識別する識別情報の入力を受け付け、当該識別情報が予め記憶してある識別情報と対応しない場合に不当であると判断するなどの方法が考えられる。

不正アクセス検知部９５は、ステップＳ７４にて接続されている機器は不当であると判断した場合（Ｓ７４：ＹＥＳ）、処理をステップＳ７２へ進める。

不正アクセス検知部９５は、ステップＳ７４にて接続されている機器は正当であると判断した場合（Ｓ７４：ＮＯ）、そのまま処理を終了する。この場合、不正アクセスは検知されなかったものと判断される。

このように、実施の形態３ではＧＷ装置９が、システム内外からの不正アクセスを適切に検知し、対処することが可能となる。ＥＣＵ２１〜２３のいずれかが不当に交換された場合など、ＧＷ装置９がこれを検知し、ディーラのサーバ１００又はクラウドサーバ１０１などへ通知することにより、車両が盗難されているなど緊急事態であることを外部から把握することも可能である。通信端末装置１０２から不当な更新が行なわれた場合などもこれをＧＷ装置９が不正アクセスとして検知し、ディーラのサーバ１００又はクラウドサーバ１０１などへ通知し、外部からこれを把握することも可能である。逆に、ユーザから、車両が盗難されているとの情報があった場合に、サーバ１００又はクラウドサーバ１０１からＧＷ装置９へ情報を送信し、ＧＷ装置９がこれに応じてシステム内の通信を遮断するなどの対処を行なうことも可能である。

上述の実施の形態では、本発明を、車載機器を制御する車載通信システムに適用した場合の例について説明した。しかしながら本発明はこれに限らず、ＦＡにおける複数のＥＣＵを含む通信システム、又はＯＡにおける複数の通信機器を含む通信システムに適用し、各分野の通信システムにおける内部ネットワークの安全性を維持することが可能となる。

なお、上述のように開示された本実施の形態はすべての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１１，１２，１３ 通信バス
２１，２２，３１，３２ ＥＣＵ（通信装置）
４，６，９ ＧＷ装置（中継装置）
４０，６０，９０ 制御部
４１，６１，９１ 第１通信部
４２，６２，９２ 第２通信部
４３ 第３通信部
４４，６４，９５ 不正アクセス検知部
４５，６５，９６ 記憶部
４８，６８，９９ ログ情報
９３ 車外通信部
９４ 入出力部

Claims (9)

1. 複数の通信バスと、該複数の通信バスのいずれかに夫々接続されており、前記通信バスを介して情報を周期的に送受信する複数の通信装置と、前記複数の通信バスに夫々接続された複数の第１通信部を備え、該複数の第１通信部により情報を周期的に送受信し、異なる通信バス間での情報の中継を行なう第１中継手段を備える中継装置とを含む通信システムにおいて、
   前記中継装置は、
   前記複数の通信バス以外の他の媒体を介して１又は複数の他の通信装置との間で情報を送受信する第２通信部と、
   該第２通信部にて送受信する情報を、前記複数の第１通信部の内のいずれかにより送受信し、前記他の通信バスと前記複数の通信バスとの間の中継を行なう第２中継手段と、
   前記第２通信部から受信する情報の受信タイミング、１周期の間における情報の受信順序、受信する情報の情報長、及び受信する情報に含まれる数値範囲を、各情報の送信元の前記他の通信装置の識別情報に対応付けて予め記憶しておく記憶手段と、
   前記複数の通信部から受信した情報の受信タイミングが、記憶してあるタイミングと異なるか否か、情報の受信順序が記憶してある順序と異なるか否か、受信した情報長が記憶してある情報長と異なるか否か、又は受信した情報に含まれる数値が前記数値範囲内にあるか否かにより、当該通信システムの外部からの不正アクセスがあったか否かを検知する不正アクセス検知手段と
   を備えることを特徴とする通信システム。
2. 前記不正アクセス検知手段は、
   前記複数の第２通信部から受信した情報を表す信号の波形が、規定されている信号であるか否かにより、外部からの不正アクセスがあったか否かを更に検知する
   ことを特徴とする請求項１に記載の通信システム。
3. 前記他の通信装置は、前記中継装置から送信される情報に対して応答を返信するようにしてあり、
   前記不正アクセス検知手段は、
   前記複数の第２通信部から送信した情報への応答が返信されるまでの時間が、規定の範囲内にあるか否かにより、外部からの不正アクセスがあったか否かを更に検知する
   ことを特徴とする請求項１又は２に記載の通信システム。
4. 前記他の媒体は、通信バスであり、
   前記他の通信装置は、更に他の媒体を介して外部と情報を入出力する手段を備える
   ことを特徴とする請求項１乃至３のいずれかに記載の通信システム。
5. 前記他の媒体は、無線通信媒体であること
   を特徴とする請求項１乃至３のいずれかに記載の通信システム。
6. 前記中継装置は、前記不正アクセス検知手段が不正アクセスを検知した場合、前記複数の通信装置の内の特定の通信装置へ、通信の遮断を指示する手段を更に備えること
   を特徴とする請求項１乃至５のいずれかに記載の通信システム。
7. 前記中継装置は、前記不正アクセス検知手段が不正アクセスを検知した場合、アクセス状況に関する情報を記録する記録手段を備えること
   を特徴とする請求項１乃至６のいずれかに記載の通信システム。
8. 前記中継装置は、前記記録手段が記録した情報を、当該通信システム外へ送信する手段を更に備えること
   を特徴とする請求項７に記載の通信システム。
9. 前記不正アクセス検知手段が不正アクセスを検知した場合、前記第２通信部による情報の送受信を禁止する手段を更に備えること
   を特徴とする請求項１乃至７のいずれかに記載の通信システム。

Images