JP6149716B2 - 車載ネットワークシステム - Google Patents

Description

本発明は、車載ネットワークシステムに関する。

車両には、電子制御ユニット(ECU: Electronic Control Unit)が搭載され、電子制御ユニットにより車両の有する各機能の制御が行われる。各ECUは、車載ネットワークを介して相互に接続され、協調して動作する。

車両の制御は、車載ネットワークを多重伝送するフレームに基づいて、電子制御ユニットが動作することにより実現される。

車載ネットワークには、異常制御フレームが所定の周期で伝送する。この異常制御フレームの周期の乱れを検出することにより、外部から車載ネットワークに何らかのフレームが侵入したことを把握できる。

車載制御装置が保持しているデータに対して読取要求または書込要求を発行する際に、通信装置はあらかじめ認証装置による認証許可を受けることにより、各車載制御装置の処理負荷を抑えつつ車載ネットワークのセキュリティを向上させる技術が知られている（例えば、特許文献１参照）。

特開２０１２−１０４０４９号公報

CAN(Controller Area Network)-IDなどのデータの優先度にしたがって車載ネットワークをフレームが伝送する場合には、外部から車載ネットワークにフレームが侵入しても異常制御フレームの周期の乱れが検出されない場合がある。この場合、外部から何らかのフレームが侵入した場合でも、そのフレームによる異常を検出できない。

一方、車両の修理が容易となるように、修理者がアクセスしやすい位置にダイアグコネクタを装着することが故障診断の規格により義務づけられている。このダイアグコネクタからフレームを送信することにより車載ネットワークへのアクセスが可能である。

このダイアグコネクタから、車両のメーカが認識していない外部の接続ツールによりアクセスが実施される場合、該外部の接続ツールにより車両内の制御情報が書き換えられ、改竄されたり、車両内の制御情報が取得され、解析されたりするおそれがある。

また、外部の接続ツールからCAN-IDなどのデータの優先度を模倣したものを付帯したフレームが多数入力されることにより、車両の正常動作が阻害されることが懸念される。

本発明の目的は、車載ネットワークにおけるセキュリティを向上させることである。

開示の一実施例の車両制御装置は、
第１の通信ノードと第２の通信ノードとを有する車載ネットワークシステムであって、
前記第１の通信ノードは、
前記第２の通信ノードに格納されるデータの書き換えを要求するフレームを作成する際に、前記第１の通信ノードの識別コードと、該フレームを正規のものと受信側が判定するための送信回数を示す認証フレーム数情報を付帯し、該送信回数と同数の付帯されるデータが同じフレームを送信する制御を実行する制御部と、
前記制御部による制御に従って、前記送信回数と同数のフレームを送信する送信部と
を備え、
前記第２の通信ノードは、
前記第１の通信ノードから送信されるフレームを受信する受信部と、
前記受信部により受信したフレームに付帯される識別コードを認証するとともに、同じ識別コードが付帯されたフレームに付帯されるデータが同じであるフレームをカウントし、該カウントした値が、前記フレームに付帯される認証フレーム数情報と同じである場合に、該フレームに付帯されるデータに従って、前記第２の通信ノードに格納されるデータを書き換える制御部と
を有する。

開示の実施例によれば、車載ネットワークにおけるセキュリティを向上させることができる。

通信システムの一実施例を示す図である。 通信ノード間で送受信されるフレームの一実施例を示す図である。 通信システムの動作の一実施例を示す図である。 通信ノード間で送受信されるフレームの一例を示す図である。

次に、本発明を実施するための形態を、以下の実施例に基づき図面を参照しつつ説明する。以下で説明する実施例は一例に過ぎず、本発明が適用される実施の形態は、以下の実施例に限られない。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を用い、繰り返しの説明は省略する。

＜実施例＞
＜通信システム＞
図１に、車載ネットワークシステムとしての通信システムの一実施例を示す。

通信システムは、第１の通信ノード１００と、第２の通信ノード２００と、第３の通信ノード３００と、第４の通信ノード４００と、第５の通信ノード５００とを備える。

第１の通信ノード１００−第２の通信ノード２００は、第１の通信バス１０により有線接続される。第４の通信ノード４００−第５の通信ノード５００は、第２の通信バス２０により有線接続される。第１の通信バス１０、第２の通信バス２０の一実施例は、CANバスであり、車両内の各通信ノードを接続することにより多重通信網を構成する。多重通信網は車両に複数存在する場合もある。CANバスにより、各通信ノード間でデータを中継することができる。第３の通信ノード３００は、第１の通信バス１０と第２の通信バス２０との間に介設される。第３の通信ノード３００は、第１の通信バス１０に接続された通信ノードと第２の通信バス２０に接続された通信ノードとの間の通信を中継するゲートウェイ装置として機能する。

さらに、第１の通信バス１０には、ダイアグコネクタ６００が接続される。ダイアグコネクタ６００に、ツール３０を介してアクセスし、データを送受信することにより、第１の通信ノード１００−第５の通信ノード５００の故障診断を行うことができる。しかし、ダイアグコネクタ６００に、不正ツールを介してアクセスされ、不正のデータを送受信されるおそれがある。

図１には、５個の通信ノードにより通信システムを構成する場合について示すが、２−４個の通信ノードにより構成してもよいし、６個以上の通信ノードにより構成してもよい。第１の通信バス１０に接続される通信ノードと、第２の通信バス２０に接続される通信ノードと、第１の通信バス１０と第２の通信バス２０との間に介設される通信ノードにより通信システムを構成できる。また、第１の通信バス１０に接続される複数の通信ノードにより通信システムが構成されてもよい。

第１の通信ノード１００−第５の通信ノード５００は、例えば車両等の移動体に搭載される。車載ネットワークシステムとしての通信システムの一実施例は、車両に搭載される。通信システムの一実施例には、CAN、LIN(Local Interconnect Network)などのLANが適用される。通信システムの一実施例が、情報系LAN、パワートレイン系LAN、ボディ系LANなどに適用されてもよい。通信システムの一実施例は、FlexRay（登録商標）に従って通信を行うようにしてもよい。

各通信ノードは、電子制御ユニットなどにより実現される。また、各通信ノードに、センサ、アクチュエータなどが実装されてもよい。

通信ノードの一実施例は、各種制御コンピュータであり、故障診断ツールからの通信メッセージを多重通信網などの車載ネットワークを経由して受信し、通信メッセージに付帯されるデータを制御データとして使用するか否かを判断する。

一例として、第１の通信ノード１００からフレームが送信される場合について説明する。第１の通信ノード１００から送信されるフレームの一例は、他の通信ノードに記憶されているデータを書き換える書換要求などの制御データが付帯される。第１の通信ノードから、書換要求が付帯されたフレーム以外のフレーム、例えば読取要求などの制御データが付帯されたフレームが送信されてもよい。第１の通信ノード１００に限らず、第２の通信ノード２００−第５の通信ノード５００から書換要求または読取要求などの制御データが付帯されたフレームが送信される場合がある。第１の通信ノード１００が書換要求が付帯されたフレームを送信する場合、該第１の通信ノード１００は書換装置として機能する。

第１の通信ノード１００から送信されるフレームは、第３の通信ノード３００を経由して第４の通信ノード４００により受信される。

＜第１の通信ノード１００＞
第１の通信ノード１００の一実施例について説明する。第２の通信ノード２００−第５の通信ノード５００についても第１の通信ノード１００を適用できる。

第１の通信ノード１００は、マイクロコントローラ（図示なし）と、トランシーバ（図示なし）とを備える。

マイクロコントローラは、CPU、ROM、RAMなどのハードウェアを備える。

CPUは、第１の通信ノード１００を制御する。具体的には、CPUは、通信相手となる第４の通信ノード４００を宛先とするフレームを作成し、送信する制御を実行する。上述したように、フレームの一例は、書換要求などの制御データが付帯されたフレームである。また、CPUは、他の通信ノードから送信されたフレームを受信した場合に、該フレームを認証するとともに、該フレームに付帯されるデータを制御データとして使用するか否かを判定する。

ROMは、第１の通信ノード１００の制御を、CPUが実行するためのプログラムを格納するためのメモリである。

RAMは、CPUが第１の通信ノード１００の制御を実行する際に、データを一時的に格納するためのメモリである。

トランシーバは、マイクロコントローラ、第１の通信バス１０と接続される。トランシーバは、CPUからのフレームを送信する。また、トランシーバは、他の通信ノードから送信されたフレームをマイクロコントローラに入力する。

＜第１の通信ノード１００の機能＞
第１の通信ノード１００の機能の一実施例について説明する。ここでは、他の通信ノードにフレームを送信する処理が主に示される。他の通信ノードにフレームを送信する処理については、第２の通信ノード２００−第５の通信ノード５００の機能も、第１の通信ノード１００の機能を適用できる。

マイクロコントローラは、他の通信ノードを制御する際に、制御データを付帯してフレームを作成する。マイクロコントローラは、トランシーバへ、フレームを入力する。

フレームフォーマットの一実施例は、CANフレームフォーマットである。フレームには、受信側で該フレームに付帯されるデータを制御データとして利用するか否かを判定し、確定するための基準として、認証フレーム数を表す認証フレーム数情報が付帯される。

CANフレームは、スタートオブフレーム(SOF: Start Of Frame)ビットと、IDと、リモートトランスミッションリクエスト(RTR: Remote Transmission Request)ビットと、データ長コード(DLC: Data Length Code)と、Dataフィールドと、CRCスロットと、ACK（アクノレッジ）スロットと、エンドオブフレーム(EOF: End of Frame)とにより構成される。

スタートオブフレームビットは、メッセージの始めを示し、ドミナント(論理0)ビットで示される。

IDは、メッセージを識別し、メッセージの優先順位を示す。IDは、11ビットで表されてもよいし（標準フレーム）、29ビットで表されてもよい（拡張フレーム）。IDは、データIDとも呼ばれる。

リモートトランスミッションリクエストビットは、リモートフレームとデータフレームを区別するのに使用される。ドミナント(論理0)のリモートトランスミッションリクエストビットはデータフレームを示す。リセッシブ(論理1)のリモートトランスミッションリクエストビットはリモートフレームを示す。

データ長コードは、データフィールドのバイト数を示す。

Dataフィールドには、0〜8バイトのデータが付帯される。

CRCは、巡回冗長検査を示す。CRCには、15ビットの巡回冗長検査コードとリセッシブデリミタビットが付帯される。CRCフィールドは、エラー検出に使用される。

ACK（アクノレッジ）スロットは、メッセージを正しく受信した場合に、メッセージの最後に送信する。送信側のノードは通信バス上でACKビットの有無をチェックし、ACKが検出されなかった場合は再度送信を試みるのが好ましい。

エンドオブフレームは、データフレームやリモートフレームの終了位置を示す。エンドオブフレームは、7ビットで構成され、ビットレベルは全て"リセッシブ"である。

マイクロコントローラは、宛先の通信ノードをIDにより指定し、認証フレーム数情報をデータフィールドにより指定する。また、マイクロコントローラは、宛先の通信ノードと認証フレーム数情報をIDにより指定してもよいし、データフィールドにより指定してもよい。

図２は、通信ノード間で送受信されるフレームの一実施例を示す。図２には、第１の通信ノード１００により送信されるフレームのIDと、Dataフィールドの一例を示す。

第１の通信ノード１００のマイクロコントローラは、第４の通信ノード４００にデータの書き換えを要求する書換要求などの制御データと、認証フレーム数情報とを付帯したフレームを作成する。認証フレーム数はランダムな値に設定され、ランダムな値を示す認証フレーム数情報がフレームに付帯される。

図２に示される例では、フレームには、IDとして「100」が付帯され、認証フレーム数情報として「3」が付帯され、データとして「1,2,3,4,5,6,7」が付帯される。マイクロコントローラは、認証フレーム数と同数のフレームを作成し、トランシーバに入力する。図２に示される例では、マイクロコントローラは、３個のフレームを作成し、トランシーバに入力する。

トランシーバは、第4の通信ノード４００にマイクロコントローラからのフレームを送信する。図２に示される例では、トランシーバは、第4の通信ノード４００に３個のフレームを送信する。３個のフレームが送信される途中で、不正データが付帯されたフレームが送信されるのを防止する観点からは、トランシーバは、連続して３個のフレームを送信するのが好ましい。

＜第４の通信ノード４００＞
第４の通信ノード４００の一実施例について説明する。

第４の通信ノード４００は、第１の通信ノード１００と同様に、マイクロコントローラ（図示なし）と、トランシーバ（図示なし）とを備える。

マイクロコントローラは、CPU、ROM、RAMなどのハードウェアを備える。

CPUは、第４の通信ノード４００を制御する。具体的には、CPUは、通信相手となる第１の通信ノード１００から送信されたフレームを受信するとともに、認証する。CPUは、フレームの認証が成功した場合に、該フレームに付帯される認証フレーム数情報に基づいて、該フレームに付帯されるデータを制御データとして使用するか否かを判定する制御を実行する。

また、CPUは、他の通信ノードを宛先とするフレームを作成し、送信する制御を実行する。

ROMは、第４の通信ノード４００の制御を、CPUが実行するためのプログラムを格納するためのメモリである。

RAMは、CPUが第４の通信ノード４００の制御を実行する際に、データを一時的に格納するためのメモリである。

トランシーバは、マイクロコントローラ、第２の通信バス２０と接続される。トランシーバは、マイクロコントローラからのフレームを送信する。また、トランシーバは、他の通信ノードから送信されたフレームをマイクロコントローラに入力する。

＜第４の通信ノード４００の機能＞
第４の通信ノード４００の機能の一実施例について説明する。ここでは、他の通信ノードから送信されるフレームを受信する処理が主に示される。他の通信ノードから送信されるフレームを受信する処理については、第１の通信ノード１００−第３の通信ノード３００、第５の通信ノード５００の機能も、第４の通信ノード４００の機能を適用できる。

第１の通信ノード１００から送信されるフレームは、トランシーバに受信され、マイクロコントローラに入力される。

マイクロコントローラは、認証フレーム数をカウント（計数）するカウンタを備える。マイクロコントローラは、トランシーバからのフレームを認証する。具体的には、マイクロコントローラは、フレームに付帯されるIDを認証することにより、不正なフレームであるか否かを判定する。マイクロコントローラは、不正なフレームであると判定した場合、該フレームに付帯されているデータを制御データとして使用しない。マイクロコントローラは、不正なフレームであると判定した場合、該フレームを破棄するようにしてもよい。

マイクロコントローラは、不正なフレームでないと判定した場合、該フレームを保持するとともに、該フレームに付帯されている認証フレーム数情報を取得する。マイクロコントローラは、トランシーバから入力されるフレームのうち、保持しているフレームと同じIDが付帯されたフレームを保持するとともに、該フレームに付帯されるデータが保持しているフレームに付帯されたデータと同じであるか否かを判定する。

マイクロコントローラは、保持しているフレームと同じIDが付帯されたフレームに付帯されるデータが、保持しているフレームに付帯されたデータと同じである場合、カウンタをカウントアップする。マイクロコントローラは、カウンタをカウントアップした後、カウンタの値が認証フレーム数情報により示される認証フレーム数と同じであるか否かを判定する。マイクロコントローラは、カウンタの値が認証フレーム数情報により示される認証フレーム数と同じであると判定した場合、カウントしている時間区間では、異常なデータは認められないと判断する。マイクロコントローラは、カウントしている時間区間に受信されたフレームに付帯されるデータを制御データとして使用する。

マイクロコントローラは、保持しているフレームと同じIDが付帯されたフレームに付帯されるデータが、保持しているフレームに付帯されたデータと異なる場合、カウンタをリセットする。マイクロコントローラは、所定の時間が経過しても、カウンタの値が認証フレーム数情報により示される認証フレーム数を満たさない場合、カウントしている時間区間で、異常なデータを受信したと判断する。マイクロコントローラは、カウントしている時間区間に受信されたフレームに付帯されるデータは制御データとして使用しない。

図２に戻り、説明を続ける。

第１の通信ノード１００から送信されたフレームは、第４の通信ノード４００に送信される。

第４の通信ノード４００のトランシーバは、第１の通信ノード１００から送信されたフレームを受信し、マイクロコントローラに入力する。マイクロコントローラは、トランシーバからのフレームに付帯されているID(CAN-ID)を認証する。図２に示される例では、IDに「100」が付帯され、正規のフレームとして認証される。さらに、マイクロコントローラは、フレームに付帯されている認証フレーム数情報を取得する。図３に示される例では、マイクロコントローラは、認証フレーム数情報として「３」を取得するとともに、カウンタをカウントアップし「1」とする。

マイクロコントローラは、その後、トランシーバから入力されるフレームのうち、保持しているフレームと同じIDが付帯されることにより認証されたフレームを保持するとともに、該フレームに付帯されるデータが保持しているフレームに付帯されたデータと同じであるか否かを判定する。

マイクロコントローラは、保持しているフレームと同じIDが付帯されることにより認証されたフレームに付帯されるデータが、保持しているフレームに付帯されたデータと同じである場合、カウンタをカウントアップし、カウンタの値が認証フレーム数情報により示される認証フレーム数と同じであるか否かを判定する。

図２に示される例では、カウンタの値が認証フレーム数情報により示される認証フレーム数と同じであるとマイクロコントローラが判定した場合について示される。この場合。マイクロコントローラは、カウントしている時間区間に受信されたフレームに付帯されるデータを制御データとして使用する。

＜通信システムの動作＞
図３は、通信システムの動作の一実施例を示す。図３には、送信側の通信ノードから送信されるフレームを受信する受信側の通信ノードの動作が主に示される。送信側の通信ノードは、認証フレーム数情報を付帯したフレームを送信する。

また、図３には、フレームに付帯されるIDを認証した結果、正規のフレームであると認証された後の動作が主に示される。

ステップＳ３０２では、受信側の通信ノードは、送信側の通信ノードから送信され、且つ認証されたフレームを保持するとともに、該フレームに付帯される認証フレーム数情報を設定する。認証フレーム数情報の設定の後、受信側の通信ノードは、カウンタのカウント数をカウントアップする。図３に示される例では、認証フレーム数情報として「3」が設定されるとともに、カウンタのカウント数がカウントアップされることにより「１」が設定される。

ステップＳ３０４では、受信側の通信ノードは、送信側の通信ノードから送信されるフレームを保持した後に受信されるフレームについて、保持しているフレームに付帯されるIDとデータが同じである場合、カウンタのカウント数をカウントアップする。つまり、受信側の通信ノードは、保持しているフレームに付帯されるIDと同じであることにより認証されたフレームに付帯されるデータが、保持しているフレームに付帯されるデータが同じである場合、カウンタのカウント数をカウントアップする。

ステップＳ３０６では、受信側の通信ノードは、保持しているフレームに付帯されるIDとデータが同じである場合にカウンタのカウント数をカウントアップした結果、カウント値が、認証フレーム数情報により示される認証フレーム数に達したか否かを判定する。

ステップＳ３０８では、受信側の通信ノードは、カウント値が認証フレーム数情報により示される認証フレーム数に達したと判定した場合、保持しているフレームに付帯されるデータを制御データとして使用する。一方、カウント値が、認証フレーム数情報に表される認証フレーム数に達しないと判定した場合、保持しているフレームに付帯されるデータを制御データとして使用しない。保持しているフレームに付帯されるデータを制御データとして使用しない場合、前回の制御に使用した制御データを使用するようにしてもよい。

通信システムの一実施例によれば、送信側の通信ノードは、受信側で該フレームに付帯されるデータを制御データとして利用するか否かを判定するための基準として認証フレーム数を表す認証フレーム数情報を付帯したフレームを認証フレーム数により表される回数送信する。受信側の通信ノードは、送信側の通信ノードから送信されるフレームに付帯されるIDに基づいて認証するとともに、認証フレーム数情報に基づいて、送信側の通信ノードから認証フレーム数により表される回数送信されるフレームをカウントする。受信側の通信ノードがIDと認証フレーム数情報に基づいて、送信側の通信ノードからのフレームが正規のフレームであるか否かを判定することにより、車載ネットワークにおけるセキュリティを向上させることができる。

図４は、正規のフレームが送信されるのと同じタイミングで、正規のフレームと同様のIDを付帯し、且つデータが改竄された不正フレームが外部から送信される例を示す。図４において、正規のフレームに付帯されるデータは「1,2,3,4,5,6,7」であり、不正フレームに付帯されるデータは「9,9,9,9,9,9,9,9,9」である。

フレームに付帯されるIDを認証することにより正規のフレームであるか否かを判定する方法では、このような不正フレームが外部から送信された場合、受信側の通信ノードは、不正フレームを検出できず、不正フレームを正規のフレームとして処理する場合がある。CANプロトコルでは、受信側の通信ノードでは、不正にフレームが受信されたか否かを判定できず、送信側の通信ノードの判別は、IDで実施されるためである。さらに、データが改竄されたか否かは、異常制御フレームの周期が乱れたか否かにより判断されるためである。不正フレームを正規のフレームとして処理する場合には、フェールセーフの機構がない場合、異常な制御が実行されるおそれがある。

通信システムの一実施例では、フレームに付帯されるIDに加え、認証フレーム数情報に基づいて、フレームに付帯されるデータが正規のデータであるか否かを判定し、正規のデータであると判定した場合に制御データとして使用するため、車載ネットワークにおけるセキュリティを向上させることができる。

また、外部ツールの利用者が不正にデータを搾取しようとすることを検知できることにより、送信中のデータに制限を加えることや、不正アクセス者に警告などを行うことが可能となり、セキュリティを向上させることができる。

また、外部ツールの利用者が不正にデータを送信することを検知できるため、安全に動作させるためのフェールセーフ策を講じることができるため、車両の安全確保に寄与できる。

以上、本発明は特定の実施例を参照しながら説明されてきたが、実施例は単なる例示に過ぎず、当業者は様々な変形例、修正例、代替例、置換例等を理解するであろう。説明の便宜上、本発明の実施例に従った装置は機能的なブロック図を用いて説明されたが、そのような装置はハードウェアで、ソフトウェアで又はそれらの組み合わせで実現されてもよい。本発明は上記実施例に限定されず、本発明の精神から逸脱することなく、様々な変形例、修正例、代替例、置換例等が包含される。

１０ 第１の通信バス
２０ 第２の通信バス
３０ ツール
４０ データアクセス
１００ 第１の通信ノード
２００ 第２の通信ノード
３００ 第３の通信ノード
４００ 第４の通信ノード
５００ 第５の通信ノード
６００ ダイアグコネクタ

Claims (1)

1. 第１の通信ノードと第２の通信ノードとを有する車載ネットワークシステムであって、
   前記第１の通信ノードは、
   前記第２の通信ノードに格納されるデータの書き換えを要求するフレームを作成する際に、前記第１の通信ノードの識別コードと、該フレームを正規のものと受信側が判定するための送信回数を示す認証フレーム数情報を付帯し、該送信回数と同数の付帯されるデータが同じフレームを送信する制御を実行する制御部と、
   前記制御部による制御に従って、前記送信回数と同数のフレームを送信する送信部と
   を備え、
   前記第２の通信ノードは、
   前記第１の通信ノードから送信されるフレームを受信する受信部と、
   前記受信部により受信したフレームに付帯される識別コードを認証するとともに、同じ識別コードが付帯されたフレームに付帯されるデータが同じであるフレームをカウントし、該カウントした値が、前記フレームに付帯される認証フレーム数情報と同じである場合に、該フレームに付帯されるデータに従って、前記第２の通信ノードに格納されるデータを書き換える制御部と
   を有する、車載ネットワークシステム。

Images