JP5954102B2

JP5954102B2 - 通信監視装置、通信監視方法

Info

Publication number: JP5954102B2
Application number: JP2012231964A
Authority: JP
Inventors: 智康石川
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2012-10-19
Filing date: 2012-10-19
Publication date: 2016-07-20
Anticipated expiration: 2032-10-19
Also published as: JP2014083874A

Description

本発明は、着脱可能なノードを接続するためのインタフェースを備えた通信バスのデータを監視する通信監視装置等に関する。

車両のメンテナンスや修理では車両に搭載された各種のＥＣＵ（Electronic Control Unit）やセンサ、アクチュエータ等を診断したい場合がある。この場合、ユーザはツールを使ってＥＣＵに接続し、ＥＣＵが記憶している情報を読み出したり、診断のための動作を要求することがよく行われている。車両の故障診断の規格によれば、修理者がアクセスしやすい位置にツールを接続するためのコネクタを配置することが定められている。故障診断の規格には、ＫＷＰ（Keyword Protocol）、ＵＤＳ（Unified Diagnostic Services）、ＯＢＤ（On-Board Diagnostics）、ＷＷＨ−ＯＢＤ（World Wide Harmonized-OBD）等があり、コネクタはＯＢＤコネクタ（OBD-IIコネクタ）、ＤＬＣコネクタ、故障診断コネクタなどと呼ばれている。

ツール（コネクタ）は例えばＣＡＮ（Controller Area Network）バスなどの物理的なネットワークを利用してＥＣＵと通信する。ＣＡＮではＣＡＮフレームやＣＡＮメッセージと呼ばれる通信単位（以下、単にフレームという）がＣＡＮＩＤで識別されるため、ツールは送信するデータに診断用のＣＡＮＩＤを付与してコネクタから送信する。このＣＡＮＩＤのフレームに応答すべきＥＣＵは、フレームを受信すると共にフレームの内容を解析して、所定のＣＡＮＩＤを付与し診断結果（データや制御結果）を格納してＣＡＮバスに送信する。ツールはこのＣＡＮＩＤにより診断結果が格納されたフレームを識別して受信する。

ここでＣＡＮでは、１つのＥＣＵが送信したフレームが、ＣＡＮバスに接続された他の全てのＥＣＵに伝送されるため、ＣＡＮバスに接続されたツールも全てのフレームを受信することが可能である。

したがって、従来の故障診断では、ツールは、ツールが要求した診断に対する診断結果だけでなく、ネットワーク上の全てのフレームを傍受可能となっている。

しかし、このように任意のツールがフレームを自由に受信可能だと、車両内の制御情報が解析されるおそれがある。制御情報が解析されることはメーカのノウハウの流出につながるため好ましいことではない。

このため、ＥＣＵがツールに対し何らかの認証を行うことが考えられる（例えば、特許文献１参照。）。特許文献１には、認証装置がツールを認証しておき、ツールから読込要求または書込要求を発行されたＥＣＵは、ツールが認証されているか否かを認証装置に確認し、認証許可されている場合に読込要求または書込要求を受け付ける車載ネットワークシステムが開示されている。

特開２０１２−１０４０４９号公報

しかしながら、特許文献１に記載されている認証方法では、ツールがＥＣＵに読み取り要求又は書き込み要求しなければならないと問題がある。すなわち、フレームを送信しないツールが、ＣＡＮバス上のフレームを傍受することを排除できない。

本発明は、上記課題に鑑み、車載ネットワークを流れるデータが傍受されることを低減可能な通信監視装置を提供することを目的とする。

本発明は、着脱可能な着脱ノードを装着するためのインタフェースを備えた通信バスのデータを監視する通信監視装置であって、
前記インタフェースに前記着脱ノードが装着されていない状態の前記通信バスのインピーダンスを記憶するインピーダンス記憶手段と、
前記インピーダンスを測定するインピーダンス測定手段と、前記インピーダンス記憶手段のインピーダンスと前記インピーダンス測定手段が測定したインピーダンスの差を算出する差算出手段と、
前記差が閾値以上の場合、前記インタフェースに前記着脱ノードが装着されていることを検出する装着検出手段と、前記装着検出手段が前記インタフェースに前記着脱ノードが装着されていることを検出した状態で、所定時間以上、前記インタフェースに装着された前記着脱ノードからデータを受信しない場合、前記通信バスに予め接続されているノードに対し通知することで、前記ノードが送信するデータの送信を前記ノードに制限させる通信制限手段と、を有することを特徴とする。

車載ネットワークを流れるデータが傍受されることを低減可能な通信監視装置を提供することができる。

本実施形態のバス監視の概略的な特徴を説明する図の一例である。ＣＡＮネットワークの構成例を示す図の一例である。ＣＡＮバスのインピーダンスの測定について説明する図の一例である。フレームの周期について説明する図の一例である。バス監視装置がフレームの傍受を検出する手順を示すフローチャート図の一例である。フレーム監視装置が成りすまし制御を検出する手順を示すフローチャート図の一例である。バス監視装置とフレーム監視装置のＣＡＮバスへの接続例を示す図の一例である。

以下、本発明を実施するための形態について図面を参照して説明する。しかしながら、本発明の技術的範囲が、本実施の形態に限定されるものではない。

始めにいくつの用語を定義する。
・故障診断ツール：車両メーカが提供するツール又はＯＥＭのように車両メーカの委託を受けた会社が提供するツール。故障診断ツールは故障診断機能のみを有する。
・設計ツール：車両の開発時、生産時、出荷時等、車両メーカが車両状態を確認するために使用するツール。駆動命令、制御データ計測等を強制的に行うことができる。設計ツールはさらに故障診断機能を有していてもよい。
・外部ツール：上記以外のツール。すなわち、車両メーカが関与せずに制作されたツールであり、ＣＡＮバス上のデータを傍受したり、車両メーカが意図しない状態で駆動命令を許可するツールである。

故障診断ツール、設計ツール及び外部ツールを区別しない場合、単にツールという。故障診断ツールと設計ツールは、車両メーカが関与して作成されているので車両が認証した場合に認証が成立するが、外部ツールは車両が認証しようとしても認証が成立しないという違いがある。

また、車両にツールを接続して人間がツールを利用する状況において、車両に故障診断ツールが接続された状態を診断利用、設計ツールが接続された状態を設計利用、及び、外部ツールが接続された状態を外部利用という。

図１は、本実施形態のバス監視の概略的な特徴を説明する図の一例である。図１（ａ）に示すように、ＣＡＮバス１２に1つ以上のＥＣＵ（Electronic Control Unit）とＤＬＣ（Data Link Connecter）コネクタ１１が接続されている。ＥＣＵの１つはバス監視機能を備えており、このＥＣＵをバス監視装置と、ＥＣＵの１つはフレーム監視機能を備えており、このＥＣＵをフレーム監視装置と称することとする。

バス監視装置は以下の手順でツール２００がＤＬＣコネクタ１１に装着されたことを検出する。
（１）バス監視装置はツール２００が装着されていない状態のＣＡＮバス１２のインピーダンスを記憶している（図１（ａ））。
（２）ツール２００が装着された場合、ＣＡＮバス１２のインピーダンスが変化する。バス監視装置は例えば定期的にインピーダンスを測定する（図１(ｂ)）。
（３）バス監視装置は、記憶しているインピーダンスと測定したインピーダンスの差を算出する。差が閾値以上の場合、ツール２００が装着されたことを検出する（図１（ｃ））。

Ａ．傍受の検出
ツール２００が装着されただけでは、外部ツールが装着されたのか、故障診断ツール又は設計ツールが装着されたのか不明である。しかし、故障診断ツール又は設計ツールは診断や駆動用のメッセージをＣＡＮバス１２に送信するので、何もフレームを送信しないということがない。そこで、フレーム監視装置は長期間、ツール２００からフレームを受信しない場合、装着されたツール２００が外部ツールであり、外部ツールがフレームを傍受していると判定する。

Ｂ．成りすまし制御の検出
また、外部ツールがＥＣＵに成りすまして他のＥＣＵを制御する成りすまし制御について、フレーム監視装置はフレームの送信間隔（以下、周期という）を利用して検出する。図１（ｄ）に示すように、ＥＣＵ＿Ａは所定の一定周期でフレームＡを送信している。これに対し、外部ツールはＥＣＵ＿Ａに成りすまして、ＥＣＵ＿Ａが送信するフレームＡを送信する（図の斜線のフレームＡ）。

この場合、図１（ｅ）に示すように、外部ツールがフレームＡを送信することでフレームＡの周期が一定でなくなる。そこで、フレーム監視装置は予め記憶している周期と、測定した周期に差がある場合に、成りすまし制御を検出する。

このように本実施形態では、外部ツールが何もフレームを送信せずに傍受していることを検出できる。また、外部ツールがＥＣＵに成りすまして他のＥＣＵを制御することを検出して適切なフェールセーフを行うことができる。

なお、以下ではＣＡＮバスを例に説明するが、ＬＩＮ（Local Interconnect Network）やＦｒｅｘＲａｙ、イーサネット（登録商標）など他のプロトコルのバスに適用できる。

〔構成例〕
図２は、ＣＡＮネットワーク３００の構成例を示す図である。Ｇ／Ｗ（ゲートウェイ装置）８０を介して２つのＣＡＮバス１２（以下、一方をＣＡＮバスＡと他方をＣＡＮバスＢという）が接続されている。本実施形態では１つのＣＡＮバス１２に１つのバス監視装置７０及びフレーム監視装置６０が接続されている。１つのＣＡＮバス毎にバス監視装置７０を設けるのは、Ｇ／Ｗ８０を超えてＣＡＮバス１２のインピーダンスを測定することが困難なためである。また、１つのＣＡＮバス毎にフレーム監視装置６０を設けるのは、Ｇ／Ｗ８０を超えてフレームの周期を精度よく測定することが困難なためである。

バス監視装置７０とフレーム監視装置６０は単体の１つのＥＣＵとしてＣＡＮバス１２に接続されてもよいし、従来からあるＥＣＵに機能の１つとして搭載されてもよい。また、ＣＡＮバスＡにはＤＬＣコネクタ１１が配置されているが、ＤＬＣコネクタ１１はどのＣＡＮバス１２に配置されていてもよい。バス監視装置７０、フレーム監視装置６０、他のＥＣＵ及びツール２００を含め、フレームを送信可能な装置をノードという場合がある。

ＣＡＮバスＡ、Ｂには１つ以上のＥＣＵが接続されている。ＣＡＮネットワーク３００に搭載されるＥＣＵは、車両によって様々であるが、エンジンＥＣＵ、スマートキーＥＣＵ、エアバッグＥＣＵ、ボディーＥＣＵ、パワーステアリングＥＣＵ、メータＥＣＵ、スキッド制御ＥＣＵ、ドライビングサポートＥＣＵ、駐車支援ＥＣＵ、シートベルトＥＣＵ及び、パワーマネージメントＥＣＵ等が接続されうる。なお、ＥＣＵだけでなくセンサが接続されている場合もある。１つのＣＡＮバス１２に多くのＥＣＵを接続するとバス負荷が増大するので、図示するようにＧ／Ｗ８０を介していくつかのＣＡＮバスに負荷分散することが一般的である。Ｇ／Ｗ８０は、予め登録されているＣＡＮＩＤ（識別情報）のリストに基づき一方のＣＡＮバス１２から他方のＣＡＮバス１２にフレームを転送する。

バス監視装置７０及びフレーム監視装置６０を含む各ＥＣＵ５０は、一般的なマイコンと同等の構成を有している。すなわち、ＣＰＵ５１、ＲＡＭ５２、ＲＯＭ５３等と、ＣＡＮ通信のためのＣＡＮコントローラ５４及びトランシーバ５５を有している。

ＣＰＵ５１は、ＲＯＭ５３に記憶されたプログラムを読み出して実行しＥＣＵ５０が提供する機能のため種々の処理を行う。データの送信時、ＣＰＵ５１はＣＡＮコントローラ５４に送信を指示する。ＣＡＮコントローラ５４は指示された又は予め定められているＣＡＮＩＤをＲＡＭ５２に記憶された送信データに付与してトランシーバ５５に送出する。また、データの受信時、ＣＡＮコントローラ５４はＣＡＮバスを流れるフレームのＣＡＮＩＤを監視して受信するか否かを判定し、受信した場合はＣＰＵに通知する。

トランシーバ５５は、データ送信用のドライバとデータ受信用のレシーバを有している。ドライバは、送信データのローレベルが優性レベルとなるように伝送線ＣＡＮＨ，ＣＡＮＬ間に電圧を印加し、送信データのハイレベルが劣性レベルのままとなるように電圧を印加する。レシーバは、ＣＡＮバス１２の伝送線ＣＡＮＨとＣＡＮＬに接続されており、ＣＡＮＨとＣＡＮＬ間に所定レベル以上の電位差がある場合はローレベルの信号をＣＡＮコントローラ５４に出力し、そうでなければハイレベルの信号を出力する。

〔バス監視装置〕
まず、バス監視装置７０は、ツール２００を認証するために以下の機能を有する。
・ツール２００を認証する認証部２１
＜ツールの認証＞
認証部２１はツール２００を認証する。認証とは、ツール２００が故障診断ツール又は設計ツールであるということを確認することである。ＣＡＮＩＤだけでは故障診断ツール又は設計ツールと、外部ツールとを判別できないためである。

認証部２１はツール２００に付与されている認証情報に基づきツール２００を認証する。故障診断ツール又は設計ツールを使用するユーザは車両に装着するツール２００の認証情報を不図示のサーバに登録しておく。登録にはログイン等が必要であり、車両メーカの製造管理者やディーラなど権限のあるユーザしか登録できないようになっている。認証部２１は、例えば定期的に認証情報をダウンロードして保持しておく。なお、認証情報は例えば型番やシリアル番号などの、識別情報である。

ツール２００がＣＡＮバス１２に装着され明示的に認証要求した場合、認証部２１は認証情報をツール２００に要求して、一致する認証情報があるか否に基づき認証が成立するか否かを判定する。または、ツール２００が診断用又は制御用のフレームを送信することで、ツール２００が装着されたことを認証部２１が検出した場合、同様に認証することができる。

認証が成立した場合、認証部２１は外部ツールでなく故障診断ツール又は設計ツールが装着されたと推定でき、診断利用や設計利用を許可することができる。

しかしながら、ツール２００が一切、フレームを送信しない場合、認証が成立するか否かを判定することもできない。そこで、バス監視装置７０は以下のようにして、バスにツール２００が装着されたことを検出する。

なお、ツール２００が認証情報を偽ることで認証が成立する可能性が残る。この場合は、ツール２００が装着されていることは明らかだが、外部利用であることを特定することが困難である。

＜ツールの装着の検出＞
フレーム監視装置６０は、傍受を検出するために以下の機能を有する。
・車両完成時のＣＡＮバス１２の抵抗である車両完成時インピーダンスを記憶する第１記憶部２６
・ＣＡＮバス１２のインピーダンスを測定するインピーダンス測定部２２
・車両完成時インピーダンスと現在のインピーダンスとの差を算出するインピーダンス差計算部２３
・２つのインピーダンスの差を閾値と比較してツール２００が装着されているか否かを判定するツール接続判定部２４
図３は、ＣＡＮバス１２のインピーダンスの測定について説明する図の一例である。ＣＡＮバス１２はＣＡＮＨとＣＡＮＬという２本の電線が２つの終端抵抗５０６，５０７で接続された構成を有している。トランシーバ５５とＣＡＮバス１２と接続するＣＡＮＬと、トランシーバ５５とＣＡＮバス１２と接続するＣＡＮＨとを短絡する電線に、スイッチ５０１、交流電源５０２、及び、電流計５０３が直列に接続されている。また、ＣＡＮＬとＣＡＮＨの間に電圧計５０４が配置されている。電流計５０３は交流電源５０２が生成した電位差により、ＣＡＮＨ、２つの終端抵抗５０６、５０７、ＣＡＮＬ、を流れる電流の大きさＩを測定する。また、電圧計５０４は２つの終端抵抗５０６，５０７の間の電位差Ｖを測定する。

インピーダンス測定部２２は、インピーダンスを測定する際、スイッチ５０１をＯＮにして交流電源５０２に所定の周波数及び振幅の交流電圧を発生させる。そして、電流Ｉと電圧Ｖを測定し、下式からインピーダンスＺを算出する。
Ｚ＝Ｖ／Ｉ
ＤＬＣコネクタ１１にツール２００が装着されていてもツール内に電流が流れるわけではないが、ツール２００が装着されることでＣＡＮバス１２とＤＬＣコネクタ１１の間に寄生容量が発生する。このため、ＤＬＣコネクタ１１にツール２００が装着されている場合とそうでない場合でインピーダンスＺに差が生じる（ツール２００が装着されている方が大きくなる）。このインピーダンスが顕在化しやすい周波数は、例えば１〔Hz〕〜１０００〔Hz〕とするが、実験的に定めることができる。原理的には印加可能な最大周波数（例えば１〔MHz〕）まで設定可能である。

なお、交流電流を発生させてもよいし、インピーダンスの測定用に抵抗を加えるなどしてもよく、図示する測定方法は一例である。また、インピーダンスの測定を１つの周波数でのみ行うのでなく、いくつかの周波数でインピーダンスを測定することで、ツール２００の装着によるインピーダンスの変化を検出しやすくなる。

インピーダンス測定部２２は、大きく分けて２つのタイミングでインピーダンスを測定する。１つはツール２００が装着されていないことが明らかな車両完成時であり、２つめはツール２００が装着されうる状況である。車両完成時、車両の出荷検査などのプロセスで設計ツールが装着される。これを利用して、設計ツールがバス監視装置７０にインピーダンスの測定命令を送信する。インピーダンス測定部２２は測定したインピーダンスを車両完成時インピーダンスとして第１記憶部２６に記憶する。

なお、設計ツールが装着されたままでは、設計ツールが装着された状態のインピーダンスが測定されてしまうので、ユーザは測定命令を送信した後、設計ツールをＤＬＣコネクタ１１から取り外す。その後、予め決まっている時間が経過したら、再度、取り付ければよい。

ツール２００が装着されうる状況とはＣＡＮバス１２をフレームが流れる状況なので、内燃機関を動力するとする車両では例えばＩＧ（イグニッション）がＯＮの場合であり、ハイブリッド車（プラグインハイブリッド車を含む）や電気自動車ではメインシステムがＯＮの場合である。このため、インピーダンス測定部２２は定期的に（例えば、１秒毎、１分毎、１０分毎など）インピーダンスを測定する。

インピーダンス差計算部２３は、車両完成時インピーダンスと、インピーダンス測定部２２が測定したインピーダンスの差を計算する。そして、ツール接続判定部２４は、差が閾値以上か否かに基づきＤＬＣコネクタ１１にツール２００が装着されているか否かを判定する。ツール接続判定部２４はツール２００が装着されていると判定した場合、フレーム監視装置６０及び他のＥＣＵ５０に通知する。なお、閾値は実験的に定める。

なお、インピーダンスに基づきツール２００の装着を検出するのでなく、装着によりＯＮ又はＯＦＦとなる物理的なスイッチ、又は、装着により端子が短絡される所定の回路の電圧や抵抗、の状態をモニタすることで、ツール２００の装着を検出してもよい。

〔フレーム監視装置〕
＜フレームの傍受の検出＞
まず、フレーム監視装置６０は、傍受を検出するために以下の機能を有する。
・設計利用中又は診断利用中か否かを判定する設計診断利用判定部３５
・設計利用中又は診断利用中でないと判定された場合、ツール２００からフレームの送信行為が行われていない時間を計測する時間計測部３６
・時間計測部３６が計測した時間に基づき傍受されているか否かを判定する傍受判定部３７
設計診断利用判定部３５は、故障診断ツール又は設計ツールがフレーム監視装置６０に送信した診断中又は設計利用中であるという通知により、診断利用中又は設計利用中（故障診断ツール又は設計ツールが装着されていること）であると判定する。この通知は、通信バスのデータにアクセスする権限を有することを意味するものである。または、認証が成立したことにより、診断利用中又は設計利用中であると判定してもよい。これにより、故障診断ツール又は設計ツールによる診断利用、設計利用を許可できる。

なお、ツール２００が一切のフレームを送信しない場合、設計診断利用判定部３５は動作しないので、ツール接続判定部２４が装着を検出したツール２００は、外部ツールであると推定されている。

したがって、認証がなく、かつ、設計診断利用判定部３５が診断利用又は設計利用であると判定することなく、ツール接続判定部２４がツール２００が装着されていると判定した場合、時間計測部３６は外部ツールがフレームを送信していない時間を計測する。ＣＡＮバス１２に接続されたＥＣＵ５０が送信するフレームのＣＡＮＩＤは決まっており、予めフレーム監視装置６０に登録しておくことができる。また、ある程度の時間、モニターすることでＣＡＮバス１２を流れるフレームのＣＡＮＩＤをリストアップすることもできる。また、ツール２００が送信するフレームのＣＡＮＩＤは決まっている。したがって、ＣＡＮバスを流れるはずのＣＡＮＩＤ以外のＣＡＮＩＤのフレーム、又は、ツール２００が送信するＣＡＮＩＤのフレームが送信されたことから、外部ツールがフレームを送信したことを検知できる。

傍受判定部３７は、時間計測部３６が計測した時間を閾値と比較して、閾値より長い時間が経過すると傍受されていると判定する。この閾値は例えば、数秒〜数十秒とすればよい。

＜成りすまし制御の検出＞
また、認証がなく、ツール接続判定部２４がツール２００が装着されていると判定した場合、フレーム監視装置６０は、外部ツールがＥＣＵ５０に成りすましてフレームを送信していることを検出するために以下の機能を有する。
・ＣＡＮバス１２を流れるフレームの基本周期を測定する周期測定部３１
・基本周期と、基本周期に対する最大ずれ幅を記憶する第２記憶部３９
・周期測定部３１が測定した周期と、第２記憶部３９に記憶されている最大ずれ幅を比較して周期ずれ差分を計算する周期ずれ差分計算部３２
・周期ずれ差分に基づき外部ツールがフレームを送信していることを検出する情報挿入判定部３３
＜周期について＞
図４は、フレームの周期について説明する図の一例である。図ではフレームのＣＡＮＩＤを"００１""００２"とした。図４（ａ）に示すように、ＣＡＮバス１２に接続されたＥＣＵやセンサは、周期的に同じＣＡＮＩＤのフレームを送信する場合が多い。これは、ＥＣＵ５０は同じプログラムをタイマー割り込みなどで繰り返し実行するためや、センサにより定期的に検出値を測定することが多いためである。フレーム００１の周期をＴ１、フレーム００２の周期をＴ２とする。周期Ｔ１、Ｔ２は第２記憶部３９に記憶されている。

ＣＡＮではCSMA/CA (Carrier Sense Multiple Access with Collision Avoidance)をバスアクセス方式とするため、周期性のあるフレームが他のフレームと衝突し、周期がずれる場合がある。このため、常に周期Ｔ１又はＴ２が維持されるわけではない。しかし、ＥＣＵ５０は、優先順位の高いフレームを優先的に送信するので、優先順位の高いフレームはほぼ一定の周期を維持する傾向が強い。仮にフレーム００１が衝突した場合、ＥＣＵ５０は次の周期で送信するため、周期は倍になる（２×Ｔ１）。したがって、周期Ｔ１，Ｔ２を記憶しておけば、衝突が生じても周期Ｔ１、Ｔ２に従って送信されていることは確認できる。

なお、衝突が発生しなくても、フレームの周期は完全にＴ１又はＴ１のｎ倍（ｎは自然数）になるわけではないので、開発者等は、フレーム００１の最大すれ幅をΔＴ１、フレーム００２の最大ずれ幅をΔＴ２として見積もっておく。ΔＴ１とΔＴ２は、出荷前に第２記憶部３９に記憶されている。なお、出荷後に周期測定部３１が測定することもできる。

これに対し、図４（ｂ）の斜線のフレームのように、外部ツールがＥＣＵ５０に成り代わってフレーム００１や００２を送信する場合がある。これにより、外部ツールはフレーム００１や００２を受信するＥＣＵに対しアクチュエータを動作させるなどの不正な制御が可能になる。そして、この結果、フレーム００１周期Ｔａ、Ｔｂは、ｎＴ１±ΔＴ１に、フレーム００２の周期Ｔａ、ＴｂはｎＴ２±ΔＴ２に、入らない状況が生じる。

周期ずれ差分計算部３２は予め記憶されている周期と、周期測定部３１が測定した周期の差を計算する。情報挿入判定部３３は、この差と最大ずれ幅を比較する。これによりフレームの周期が記憶部に記憶されている周期に入らないこと（周期がずれこと）を検出する。そして、装着されているのは外部ツールであり、かつ、フレームが挿入されたと判定する。

なお、外部ツールではなく設計ツールが、ＥＣＵに成り代わってフレーム００１、００２を送信する場合、又は、ＥＣＵに成り代わらずに設計用のフレームを送信した場合も、ＣＳＭＡ／ＣＡの作用によりフレーム００１、００２の周期がずれることがある。しかし、この場合は、設計ツールが認証されているので、成りすまし制御とは判断されない。

〔外部利用が検出された場合〕
傍受判定部３７がフレームの傍受を検出した場合、受信制限部３８は例えば、ＣＡＮバス１２に接続された他のＥＣＵ５０にフレームの傍受を通知する。フレーム監視装置６０を含めた他のＥＣＵ５０は、例えば、ＣＡＮバス１２に送信するフレームを制限する、ダミーのフレームを送信する、メータパネルの警告ランプなどで警告する、等の処理を行う。また、送信制限することが好ましい。車両が停止中であれば、必要最小限のフレームを除きその他のフレームの送信を禁止することが有効である。また、車両が停止していなければ、フレームの送信を制限することは困難なので、例えば、ダミーのフレームを送信する。ダミーのフレームは、ＤＡＴＡフィールドに意味のないデータとそれがダミーであるというデータを格納したものである。フレームを受信すべきＥＣＵ５０はＤＡＴＡフィールドの所定部分のデータを利用してそれがダミーであることを検出できる。一方、外部ツールのユーザにはダミーであることを検出するための情報が与えられていないので、外部ツールによるフレームの解析を困難にできる。

また、情報挿入判定部３３が成りすまし制御を検出した場合、フェールセーフ部３４はＣＡＮバス１２に接続された他のＥＣＵに成りすまし制御の検知を通知する。フレーム監視装置６０を含めた他のＥＣＵ５０は、成りすまし制御による強制的なアクチュエータの駆動などに対応するため、少なくとも周期がずれたフレームに基づく制御を禁止する。また、好ましくはフレームに基づく制御は全て禁止する。

また、フレーム監視装置６０を含めた他のＥＣＵ５０は、例えばメータパネルに警告した後、ＥＣＵとの通信が途絶した場合と同様のフェールセーフを行う。例えば、アクセルの増大を禁止する等である。

〔動作手順〕
図５は、バス監視装置７０がフレームの傍受を検出する手順を示すフローチャート図の一例である。図５の手順は例えばＩＧがＯＮの状態で定期的に実行される。

図５（ａ）はツール２００が認証を要求する場合の手順である。まず、認証部２１はツール２００から要求がある場合は、ツール２００を認証する（Ｓ１０）。故障診断ツール又は設計ツールの場合、認証が成立するので、この場合はフレームの傍受であると判定しない。

認証が成立しない場合（Ｓ１０のＮｏ）、ツール２００は外部ツールである。このため、外部ツールがフレームを送信するか否かに関係なく、ツール接続判定部２４はフレームが傍受されていると判定する（Ｓ６０）。

次に、図５（ｂ）はツール２００が認証要求せずにＣＡＮバス１２に装着された場合の手順である。ツール２００からは一切の認証要求がないので、インピーダンス測定部２２は定期的にＣＡＮバス１２のインピーダンスを測定する（Ｓ２０）。

インピーダンス差計算部２３は、車両完成時インピーダンスと測定したインピーダンスの差を計算する（Ｓ３０）。

ツール接続判定部２４は、差が閾値以上か否かを判定する（Ｓ４０）。差が閾値以上でない場合（Ｓ４０のＮｏ）、ツール２００が装着されていないので処理は終了する。

差が閾値以上の場合（Ｓ４０のＹｅｓ）、ツール接続判定部２４はツール２００が装着されていることを検出する（Ｓ５０）。

次いで、認証要求せずに装着されたツール２００が故障診断ツール又は設計ツールの場合があるため、設計診断利用判定部３５は診断中又は設計利用中であるという通知（フレーム）が送信されたか否かを判定する（Ｓ５２）。

設計診断利用判定部３５が診断中又は設計利用中であるという通知を受信した場合（Ｓ５２のＹｅｓ）、認証部２１はツール２００が外部ツールかどうかを判定するため認証が成立するか否かを判定する（Ｓ５４）。なお、診断中又は設計利用中であることが明らかなので、認証を省略してもよい。

認証が成立した場合は（Ｓ５４のＹｅｓ）、設計診断利用判定部３５は故障診断ツール又は設計ツールにより診断利用又は設計利用であると判定する（Ｓ５６）。

認証が成立しない場合は（Ｓ５４のＮｏ）、ツール接続判定部２４は外部ツールが装着されていると判定する（Ｓ５８）。この場合、外部ツールによる外部利用は許容すべきでないだけでなく、フレームの傍受も許容すべきでない。受信制限部３８は、フレームの受信を制限し、フェールセーフ部３４は外部利用を防止する。

設計診断利用判定部３５が診断中又は設計利用中であるという通知を受信しない場合（Ｓ５２のＮｏ）、外部ツールがフレームを傍受しているおそれがあるので、傍受判定部３７はフレームを受信しない状態が所定時間以上継続したか否かを判定する（Ｓ７０）。なお、故障診断ツールや設計ツールは、診断用のフレーム等を送信するので、Ｓ５２の判定がＮｏとなるのは外部ツールと考えてよい。

フレームを受信しない状態が所定時間以上継続した場合（Ｓ７０のＹｅｓ）、傍受判定部３７はフレームの傍受を検出する（Ｓ６０）。

このように、本実施形態では、ツール２００がＣＡＮバス１２に接続されていることを検出することで、外部ツールによるフレームの傍受を検出できる。また、故障診断ツールによる診断利用、設計ツールによる設計利用は許可することができる。

図６はフレーム監視装置６０が成りすまし制御を検出する手順を示すフローチャート図の一例である。

図６（ａ）では、すでに認証部２１がツール２００に対し認証が成立するか否かを判定しているものとする。認証が成立しない場合（Ｓ１１０のＮｏ）、ツール２００は外部ツールなので制御を許可することなく処理は終了する。

認証が成立した場合（Ｓ１１０のＹｅｓ）、成りすまし制御とは判断されない（Ｓ１２０）。したがって、仮に、測定された周期と予め記憶しているフレームの周期との差が最大ずれ幅に入らない場合でも、情報挿入判定部３３は外部ツールがＥＣＵのＣＡＮＩＤを偽ってフレームを送信していると判定しない。

図６（ｂ）は、ＣＡＮバス１２にツール２００が接続されているが、ツール２００が認証を要求しない場合に成りすまし制御を検出する手順を示すフローチャート図の一例である。

この場合も同様に、バス監視装置７０がインピーダンスの測定によりツール２００が装着されていることを検出する（Ｓ２１０）。次いで、周期測定部３１はフレームの周期を測定する（Ｓ２２０）。

そして、周期ずれ差分計算部３２は、測定された周期と予め記憶しているフレームの周期との差を計算する。情報挿入判定部３３は、上記の差が最大ずれ幅に入るか否かを判定する（Ｓ２３０）。

フレームの最大ずれ幅に差が入らない場合（Ｓ２３０のＮｏ）、情報挿入判定部３３は外部ツールがＥＣＵのＣＡＮＩＤを偽って成りすまし制御していることを検出する（Ｓ２４０）。

このように、ツール２００が認証を一切行うことなく成りすまし制御を行っても、情報挿入判定部３３がそれを検出することができる。

なお、図５（ｂ）と比較して、図６（ｂ）では設計診断利用判定部３５が診断利用中又は設計利用中であるという通知を受信したか否かが判定されていない。このため、診断利用中又は設計利用中でも車両メーカの意図しないタイミングの制御を制限できる。傍受の検出と同様に、診断利用中又は設計利用中である場合は、周期のずれを成りすまし制御と判定しなくてもよい。

〔バス監視装置とフレーム監視装置の配置〕
図７（ａ）（ｂ）は、バス監視装置７０とフレーム監視装置６０のＣＡＮバス１２への接続例を示す図の一例である。図７（ａ）では１つのＥＣＵ５０にバス監視装置７０とフレーム監視装置６０が２つとも配置されている。このように、１つ以上のＣＡＮバス１２においてバス監視装置７０とフレーム監視装置６０を機能統合することができる。

図７（ｂ）では、Ｇ／Ｗ８０にバス監視装置７０とフレーム監視装置６０が搭載されている。Ｇ／Ｗ８０は２つ以上のＣＡＮバス１２に接続されているので、１つのＧ／Ｗ８０で２つのＣＡＮバス１２を監視することができ、コスト増を抑制できる。Ｇ／Ｗ８０に３つ以上のＣＡＮバス１２が接続されている場合も同様である。

以上説明したように、本実施形態のバス監視装置７０は外部ツールがフレームを傍受していることを検出でき、フレーム監視装置６０は外部ツールによる成りすまし制御を検出できる。

１１ＤＬＣコネクタ
１２ＣＡＮバス
２２インピーダンス測定部
２４ツール接続判定部
３１周期測定部
３３情報挿入判定部
３６時間計測部
３７傍受判定部
５０ＥＣＵ
６０フレーム監視装置
７０バス監視装置
８０Ｇ／Ｗ
２００ツール

Claims

着脱可能な着脱ノードを装着するためのインタフェースを備えた通信バスのデータを監視する通信監視装置であって、
前記インタフェースに前記着脱ノードが装着されていない状態の前記通信バスのインピーダンスを記憶するインピーダンス記憶手段と、
前記インピーダンスを測定するインピーダンス測定手段と、
前記インピーダンス記憶手段のインピーダンスと前記インピーダンス測定手段が測定したインピーダンスの差を算出する差算出手段と、
前記差が閾値以上の場合、前記インタフェースに前記着脱ノードが装着されていることを検出する装着検出手段と、
前記装着検出手段が前記インタフェースに前記着脱ノードが装着されていることを検出した状態で、所定時間以上、前記インタフェースに装着された前記着脱ノードからデータを受信しない場合、前記通信バスに予め接続されているノードに対し通知することで、前記ノードが送信するデータの送信を前記ノードに制限させる通信制限手段と、を有することを特徴とする通信監視装置。
着脱可能な着脱ノードを装着するためのインタフェースを備えた通信バスのデータを監視する通信監視装置であって、
前記インタフェースに前記着脱ノードが装着されていない状態の前記通信バスのインピーダンスを記憶するインピーダンス記憶手段と、
前記インピーダンスを測定するインピーダンス測定手段と、
前記インピーダンス記憶手段のインピーダンスと前記インピーダンス測定手段が測定したインピーダンスの差を算出する差算出手段と、
前記差が閾値以上の場合、前記インタフェースに前記着脱ノードが装着されていることを検出する装着検出手段と、
前記通信バスを流れる同一の識別情報を有するデータの送信間隔を記憶する送信間隔記憶手段と、
前記装着検出手段が前記インタフェースに前記着脱ノードが装着されていることを検出した場合、前記通信バスを流れる同一の識別情報のデータの前記送信間隔を測定する送信間隔測定手段と、
前記送信間隔測定手段が測定した前記送信間隔が前記送信間隔記憶手段に記憶された前記送信間隔と異なっている場合、前記通信バスに予め接続されているノードに対し通知することで、前記送信間隔が測定された識別情報のデータに基づく制御を前記ノードに制限させるフェールセーフ手段と、を有することを特徴とする通信監視装置。
前記装着検出手段が、前記インタフェースに前記着脱ノードが装着されていることを検出した場合であって、前記インタフェースに接続された前記着脱ノードから前記通信バスのデータにアクセスする権限を有する旨の通知があった場合、
前記通信バスに予め接続されているノードに対し通知することなく、前記通信制限手段は前記通信バスに予め接続されている前記ノードが送信するデータの送信を前記ノードに制限させない、ことを特徴とする請求項１記載の通信監視装置。
前記装着検出手段が、前記インタフェースに前記着脱ノードが装着されていることを検出した場合であって、前記インタフェースに接続された前記着脱ノードから前記通信バスのデータにアクセスする権限を有する旨の通知があった場合でも、
前記フェールセーフ手段は、前記通信バスに予め接続されている前記ノードに対し通知することで、前記送信間隔が測定された識別情報のデータに基づく制御を制限する、ことを特徴とする請求項２記載の通信監視装置。
着脱可能な着脱ノードを装着するためのインタフェースを備えた通信バスのデータを監視する通信監視方法であって、
インピーダンス測定手段が、前記通信バスのインピーダンスを測定するステップと、
前記インタフェースに前記着脱ノードが装着されていない状態の前記通信バスのインピーダンスを記憶するインピーダンス記憶手段のインピーダンスと、前記インピーダンス測定手段が測定したインピーダンスの差を差算出手段が算出するステップと、
前記差が閾値以上の場合、装着検出手段が、前記インタフェースに前記着脱ノードが装着されていることを検出するステップと、
前記装着検出手段が前記インタフェースに前記着脱ノードが装着されていることを検出した状態で、所定時間以上、前記インタフェースに装着された前記着脱ノードからデータを受信しない場合、通信制限手段が、前記通信バスに予め接続されているノードに対し通知することで、前記ノードが送信するデータの送信を前記ノードに制限させるステップと、を有することを特徴とする通信監視方法。
着脱可能な着脱ノードを装着するためのインタフェースを備えた通信バスのデータを監視する通信監視方法であって、
インピーダンス測定手段が、前記通信バスのインピーダンスを測定するステップと、
前記インタフェースに前記着脱ノードが装着されていない状態の前記通信バスのインピーダンスを記憶するインピーダンス記憶手段のインピーダンスと、前記インピーダンス測定手段が測定したインピーダンスの差を差算出手段が算出するステップと、
前記差が閾値以上の場合、装着検出手段が、前記インタフェースに前記着脱ノードが装着されていることを検出するステップと、
前記装着検出手段が前記インタフェースに前記着脱ノードが装着されていることを検出した場合、送信間隔測定手段が、前記通信バスを流れる同一の識別情報のデータの送信間隔を測定するステップと、
前記送信間隔測定手段が測定した前記送信間隔が、前記通信バスを流れる同一の識別情報を有するデータの送信間隔を記憶する送信間隔記憶手段に記憶された前記送信間隔と異なっている場合、前記通信バスに予め接続されているノードに対し通知することで、前記送信間隔が測定された識別情報のデータに基づく制御を前記ノードに制限させるステップと、を有することを特徴とする通信監視方法。