JPWO2018051654A1

JPWO2018051654A1 - 車載電子制御装置

Info

Publication number: JPWO2018051654A1
Application number: JP2018539555A
Authority: JP
Inventors: 光法鍬田; 正史斉藤
Original assignee: Hitachi Automotive Systems Ltd
Current assignee: Hitachi Astemo Ltd
Priority date: 2016-09-16
Filing date: 2017-07-28
Publication date: 2019-02-21
Anticipated expiration: 2037-07-28
Also published as: JP6664501B2; WO2018051654A1

Abstract

転送するデータのセキュリティを向上しつつ、データの転送を高速化することができる車載電子制御装置を提供する。
ＥＣＵ１００（車載電子制御装置）は、通信I/F２２６と、回路Ｃ１（第１回路）と、暗号部/復号部２２０（第２回路）と、を備える。通信I/F２２６（受信部）は、ID（第１識別子）を含むデータ（第１データ）を受信する。回路Ｃ１（第１回路）は、受信したデータのID（第１識別子）に対応する転送先を特定する。暗号部/復号部２２０（第２回路）は、受信したデータ（第１データ）を暗号化して転送用のデータ（第２データ）に変換する。通信I/F２２６（送信部）は、転送用のデータ（第２データ）を転送先へ送信する。

Description

本発明は、車載電子制御装置に関する。

本技術分野の背景技術として、「簡易な構成で、装置の追加の際に、ユーザの負担を軽減できる車両用ゲートウェイ装置」が知られている（例えば、特許文献１参照）。

また、従来、各種レーダ、カメラ等を用いて車両周辺の環境を認識し、認識した環境情報に基づいて自車両の動作を認識し、エンジンやブレーキ等の各種制御装置を制御する運転支援を目的とした車載電子制御装置も知られている。

特開2014-146997号公報

近年の自動車等の車両には、エンジンやブレーキ等の各種制御装置を制御する車載電子制御装置、車両の各種状態を表示するメータ等の機器を制御する車載電子制御装置など、多数の車載電子制御装置が搭載されている。そして、車両内では、それら各車載電子制御装置が通信線により接続され、ネットワークを形成している。このネットワークを介して各車載電子制御装置間での各種データの送受信が行われている。

また、こうしたネットワークに接続され、情報の送受信を担うゲートウェイ装置、及び、エンジンやブレーキ等の各種制御装置を制御する運転支援を目的とした車載電子制御装置に関しては、特に高いセキュリティが要求されている。

前記特許文献１に記載のような、ゲートウェイ装置の場合、このセキュリティに関して、ルーティングテーブル登録時の認証箇所でセキュリティアクセス機能を応用しているが、自分自身に暗号化機能を持たないため、外部からネットワークの通信データを解析される可能性があった。

さらに、安全に車の挙動を制御するためには、各ネットワーク間で情報を共有し、各ネットワーク間の情報伝達を遅延なく行うことが必要であり、ゲートウェイ装置、及び、エンジンやブレーキ等の各種制御装置を制御する運転支援を目的とした車載電子制御装置の高速化が必須となっている。

本発明の目的は、転送するデータのセキュリティを向上しつつ、データの転送を高速化することができる車載電子制御装置を提供することにある。

上記目的を達成するために、本発明は、第１識別子を含む第１データを受信する受信部と、前記第１識別子に対応する転送先を特定する第１回路と、前記第１データを暗号化して第２データに変換する第２回路と、前記第２データを前記転送先へ送信する送信部と、を備える。

本発明によれば、転送するデータのセキュリティを向上しつつ、データの転送を高速化することができる。上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

車載電子制御装置の構成を示すブロック図である。ルーティングテーブルの一例を示す構成図である。 ID特定部の一例を示す回路図である。制御フローチャートの一例を示す図である。運転支援動作フローチャートの一例を示す図である。

以下、図面を用いて、本発明の実施形態による車載電子制御装置（ECU：Electronic Control Unit）の構成及び動作について説明する。本実施形態の車載電子制御装置は、ゲートウェイ機能に加え、一例として運転支援機能を有する。なお、各図において、同一符号は同一部分を示す。

図１に、ECU１００の構成を概略的に示す。ECU１００には、複数の車内用ネットワーク２５０、２６０、２７０、２８０（以下ネットワーク）が接続されている。ネットワークは通信プロトコルとして、CAN（Controller Area Network）が一般的に用いられるが、異なるプロトコルを用いても良い。

ネットワーク２５０には、BUS１としてECU１１、ECU１２が接続される。これらのECU群は、パワーウィンド用ECU、シートベルト用ECU等のボディ系ECUで構成される。ネットワーク２６０には、BUS２としてECU２１、ECU２２が接続される。これらのECU群は、エンジン制御ECUや、ブレーキ制御ECU等のパワートレイン系ECUで構成される。

ネットワーク２７０には、BUS３としてECU３１、ECU３２が接続される。これらのECU群は、パワーステアリング制御ECUや、サスペンション制御ECU等のシャシー系ECUで構成される。ネットワーク２８０には、BUS４としてECU４１、ECU４２が接続される。これらのECU群は、カーナビゲーションECUや、オーディオ制御ECU等のマルチメディア系ECUで構成される。

一般的にCANの標準フレームによると、通信データ（データフィールド）が１BYTEの場合、標準フレームの情報量は、全体で55BITとなる。一般的な通信レート５００KBPSで計算を実施すると、標準フレームの転送時間Ｔは、以下の式（１）に示すように１１０us（マイクロ秒）となる。

したがって、１１０us以内に転送を実施することが出来れば、データの取りこぼしがなく、信頼性の高いゲートウェイ機能を提供できる。

図１に示すように、バッテリと、エンジンにより駆動されるオルタネーターから供給される電源（VB）２００は、ECU１００内部のカスタムＩＣ２０２に供給され、カスタムＩＣ２０２内部の電源回路２０４に供給される。

電源回路２０４は信号処理をつかさどる制御部２１２等の信号系の素子に供給する正電源電圧(VCC)を生成する。CPU２０６はメモリ２３０と協働し、ECU１００の動作を制御する。FailSafe回路２０８はカスタムＩＣ２０２の内部エラーを監視する。また、WDT回路２１０(WatchDog-Timer)はCPU２０６が暴走したか否かを検出する機能を持つ。

上記CPU２０６は、本実施形態では、ASIC（Application Specific Integrated Circuit）内に配置されているが、個別のICとして構成されてもよい。

カスタムＩＣ２０２内の接続を制限された領域２１６では、取得したデータを所定の演算に従って暗号化/復号化が実施される。領域２１６は、暗号部/復号部２２０、フラッシュメモリ等の不揮発性メモリで構成されるメモリ２２２、及び通信I/F２１８を備える。
通信I/F２１８は、制御部２１２、暗号部/復号部２２０、メモリ２２２を相互に接続する。

ここで、暗号部/復号部２２０（第２回路）は、受信したデータ（第１データ）を暗号化して転送用のデータ（第２データ）に変換する。詳細には、暗号部/復号部２２０（第２回路）は、論理回路で構成され、暗号化に使用される鍵と受信したデータ（第１データ）から転送用のデータ（第２データ）を計算する第１計算部を有する。論理回路（ハードウェア）で計算を行うため、転送するデータを高速に暗号化することができる。

暗号部/復号部２２０の暗号方式は、共通鍵方式としてもよいし、公開鍵方式としてもよい。秘密鍵を本実施形態のECU１００内に保存する場合は、カスタムＩＣ２０２内の接続を制限された領域２１６内に保存することがセキュリティ上望ましい。

メモリ２２２内には、通信データの転送先を定義しているルーティングテーブル３００が記憶される。換言すれば、メモリ２２２（記憶装置）は、ID（第２識別子）及びID（第２識別子）に対応する転送先の組合せを複数記憶する。

ID特定部２１４は、受信したデータのIDが上記ルーティングテーブル３００のどのIDと一致するかを検索する機能を持つ。本実施形態では、このID特定部２１４をハードウェアで構成する。これにより、ソフト処理では時間がかかっていたIDの検索を高速に処理することができるため、より信頼性の高いECUを実現可能となる。

CPU２０６には、制御部２１２から割り込み線が接続されている。この割り込み線は、例えば、ID特定部２１４から受信IDとルーティングテーブル３００に記憶されるIDが一致した場合に割り込みを発生させることでCPU２０６に通知し、適切なタイミングで処理することが可能となる。また、暗号/復号が完了した場合にも割り込みを発生させることで適切なタイミングで処理を可能とする。

転送処理部２２４は、CPU２０６からの制御及び転送先を定義しているルーティングテーブル３００に基づき、通信データの転送を実施する。この際、転送処理部２２４は、接続されているネットワークが異なるプロトコルで構成されている場合、該当するネットワークのプロトコルに変換する機能を持つ。

ここで、転送処理部２２４とID特定部２１４は、受信したデータのID（第１識別子）に対応する転送先を特定する回路Ｃ１（第１回路）を構成する。

上記のように、ゲートウェイ機能（少なくとも、受信IDの検索箇所）をハードウェア化することにより、処理速度を向上することができ、ゲートウェイ機能によるソフトウェア負荷を大幅に低減することが出来る。ソフトウェア負荷が低減することにより、運転支援用のソフトウェアを実装することが可能となる。

また、暗号機能もハードウェアで構成することにより、同時に高セキュリティを保つことが可能となる。

さらに、ゲートウェイ機能と運転支援機能を１つの車載電子制御装置で構成（実現）できることにより、別々の車載電子制御装置に構成するよりも、セキュリティ面、速度面において、性能を向上することが可能となる。

通信I/F２２６は、データ送受信回路で構成されている。換言すれば、通信I/F２２６は、ID（第１識別子）を含むデータ（第１データ）を受信する受信部及びデータ（第２データ）を転送先へ送信する送信部として機能する。

外部負荷駆動回路I/F２２８は、例えばLEDなどを駆動する回路である。ECUでは、前方車両との距離が近づきすぎたりする場合にLEDを点滅させることによって乗員に注意を促すことができる。

次に、図２を用いて、ルーティングテーブル３００について説明する。図２は、図１に示したルーティングテーブル３００の構成図である。

図２の例では、アドレス、ID、転送元、転送先、復号情報、暗号情報、イベント/周期送信の情報がある。例えば、アドレス「0x0000」の行（レコード）は、ECUがID=０００の通信データを受信した時に、その転送元はBus１（ネットワーク２５０）であり、該当データをBus２、３、４（ネットワーク２６０、２７０、２８０）に転送することを示している。

なお、図２において、アドレス及びIDの先頭２桁「0x」は１６進数であることを意味している。ID（第２識別子）及び転送先の組合せは、アドレスに対応する記憶領域にそれぞれ記憶される。

復号、暗号、イベント/周期送信の情報は、IDに対する情報であり、CPU２０６は上記情報により動作を判断する。換言すれば、イベント/周期送信の情報は、例えば、車両又は前記車両の周囲の状態を示すパラメータである。ECU１００（車載電子制御装置）は、転送先がECU１００である場合に、イベント/周期送信の情報（パラメータ）に基づいて運転を支援する制御を行う。これにより、１つのECU１００でゲートウェイ機能と運転支援機能を実現することができる。

また、アドレスはルーティングテーブル上の各IDの先頭アドレスを示す。本実施形態では、１つのIDに対して１６BYTEを割り当てている。本ルーティングテーブル３００は、車両ごとに異なるため、例えば、出荷試験時に書き換えることで様々な車両に対応可能となる。

次に、図３を用いて、ID特定部２１４について説明する。図３は、図１に示したID特定部２１４の回路図である。ID特定部２１４は、ルーティングテーブル３００のアドレスを検索する。検索方法として、例えば、ルーティングテーブルの各IDのアドレスを順番に検索することによって、受信データのIDと一致するものを検索する方法がある。

図３に示すように、ID特定部２１４は、主として、参照ID選択部３０１、比較器３２２を備える。参照ID選択部３０１は、以下に示すように、受信データのIDと比較を行うための参照IDを選択する。

まず、ルーティングテーブル３００の各アドレスを選択する方法を述べる。

乗算器３０８には、ルーティングテーブルIDアドレスサイズ数３０６（本実施形態では１６BYTE）と、１ずつ増加する定数CNTが入力される。この１ずつ増加する定数CNTは、初期値０から開始し、インクリメンタ３０４と加算器３０２によって、１ずつ増加する。

加算器３１２には、ルーティングテーブル先頭アドレス３１０と乗算器３０８からの出力値が入力される。図２の例では、ルーティングテーブル先頭アドレス３１０は、「0x0000」である。その結果、加算器３１２は、「0x0000」、「0x0010」、・・・のように順次、ルーティングテーブル３００のアドレスを出力する。

このように、参照ID選択部３０１（選択回路）は、論理回路で構成され、ルーティングテーブル先頭アドレス３１０とルーティングテーブルIDアドレスサイズ数３０６（記憶領域のサイズ）から参照するアドレスを計算する第２計算部（加算器３０２、インクリメンタ３０４、乗算器３０８、加算器３１２）を有する。論理回路（ハードウェア）で参照するアドレスを計算するため、処理速度を向上することができる。

セレクタ３１４には、加算器３１２から出力されるアドレスが入力される。セレクタ３１４は、ルーティングテーブル３００からアドレスに対応する情報（レコード）を選択する。換言すれば、セレクタ３１４（第１セレクタ）は、参照するアドレスに対応する記憶領域に記憶される情報を選択する。

IDセレクタ３１８は、ルーティングテーブル３００の情報のうち、セレクタ３１４によって選択された情報（レコード）からIDのみを選択する。換言すれば、IDセレクタ３１８（第２セレクタ）は、セレクタ３１４（第１セレクタ）によって選択された情報からID（第２識別子）を選択する。

すなわち、参照ID選択部３０１（選択回路）は、論理回路で構成され、参照するID（第２識別子）をメモリ２２２（記憶装置）内のルーティングテーブル３００から選択する。論理回路（ハードウェア）でIDを選択（検索）するため、処理速度を向上することができる。以上が、参照ID選択部３０１の説明となる。

比較器３２２は、IDセレクタ３１８により選択されたあるアドレスのID（第２識別子）と、受信したデータのID３２０（第１識別子）とを比較する。

仮にあるアドレスのIDが受信したデータのID３２０と一致した場合、比較器３２２の出力＝HI（High）となり、CPU２０６に受信割り込みとして入力される。同時に、比較器３２２の出力は一致ID情報保存レジスタ３２４のトリガにもなっており、一致したIDのアドレスのルーティングテーブル３００の情報が一致ID情報保存レジスタ３２４に保存される。

ID特定部２１４は、本実施形態に限定されるものではなく、例えば、PLD（Programmable Logic Device）やFPGA（Field Programmable Gate Array）などハードウェア言語で生成される論理回路で構成されても良い。

本実施形態では、転送先を特定する回路Ｃ１（第１回路）と暗号部/復号部２２０（第２回路）は、１つのＡＳＩＣ内に配置される。これにより、１つのＡＳＩＣでゲートウェイ機能と暗号化機能を実現することができる。

次に、図４を用いて、ECU１００のゲートウェイ機能を説明する。図４は、本実施形態のCPUの制御フローチャートを示す図である。

電源（VB）２００がECU１００内部のカスタムＩＣ２０２に供給され、カスタムＩＣ２０２内部の電源回路２０４に供給される。電源回路２０４は信号処理をつかさどる制御部２１２等の信号系の素子に供給する正電源電圧(VCC)を生成し、動作を開始する（４００）。次に、ＣＰＵ２０６をリセットする（４０２）。その後、ＣＰＵ２０６は通常動作を開始する（４０４）。

ＣＰＵ２０６は受信割り込み発生の有無を確認する（４０６）。ECU100に通信データの受信があり、かつID特定部により、ルーティングテーブル３００中に一致IDがあった場合、受信割り込みが発生する。受信割り込みが発生していない場合、待機し続ける。

受信割り込みが発生した場合、次のステップに移行する。一致ID情報保存レジスタ３２４から受信IDの情報を取得し、転送先がCPU（ECU１００）かどうかの判断を実施する（４０８）。転送先≠ＣＰＵの場合、ゲートウェイ動作を開始する（４１０）
次に暗号化を実施するか確認を行う（４１２）。一致ID情報保存レジスタ３２４から暗号化実施の情報を読み出し、暗号化する場合、暗号化を開始する（４２０）。暗号化開始後、暗号完了割り込みの発生を確認する（４２２）。発生していない場合、待機し続ける。暗号完了割り込みが発生した場合、一致ID情報保存レジスタ３２４から転送先情報を取得し、転送を開始し（４３２）、制御を終了（４３４）する。

暗号化確認（４１２）で暗号化を実施しない場合、復号化実施の確認（４１４）を行う。一致ID情報保存レジスタ３２４から復号化実施の情報を読み出し、復号化する場合、復号化を開始する（４１６）。復号化開始後、復号完了割り込みの発生を確認する（４１８）。発生していない場合、待機し続ける。復号完了割り込みが発生した場合、一致ID情報保存レジスタ３２４から転送先情報を取得し、転送を開始し（４３２）、制御を終了（４３４）する。

転送先＝CPUの場合、復号化実施の確認（４２４）を行う。一致ID情報保存レジスタ３２４から復号化実施の情報を読み出し、復号化する場合、復号化を開始する（４２６）。
復号化開始後、復号完了割り込みの発生を確認する（４２８）。発生していない場合、待機し続ける。復号完了割り込みが発生した場合、運転支援動作を開始する（４３０）。運転支援動作に関しては、後述する。運転支援動作を終了後、一致ID情報保存レジスタ３２４から転送先情報を取得し、転送を開始し（４３２）、制御を終了（４３４）する。

上記のように、従来時間のかかっていた、ゲートウェイ機能（少なくとも、受信IDの検索箇所）をハードウェア化することにより、処理速度を向上することができ、ゲートウェイ機能によるソフトウェア負荷を大幅に低減することが出来る。ソフトウェア負荷が低減することにより、運転支援用のソフトウェアを実装することが可能となる。

さらに、ゲートウェイ機能と運転支援機能を１つの車載電子制御装置で構成（実現）できることにより、別々の制御装置に構成するよりも、セキュリティ面、速度面において、性能を向上することが可能となる。

次に、図５を用いて、ECU１００の運転支援機能を説明する。図５は、本実施形態の運転支援動作の制御を示すフローチャートである。まず、運転支援動作が開始（５００）された後に、例えば前方との車間距離が閾値以下か否かの判定を行う（５０２）。閾値以下の場合、警告のため、ＬＥＤを点灯し、乗員に注意を促す（５０４）。車間距離が閾値以上の場合はそのまま制御を終了する（５０６）。

以上説明したように、本実施形態によれば、転送するデータのセキュリティを向上しつつ、データの転送を高速化することができる。

なお、本発明は、前記の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の精神を逸脱しない範囲で、種々の設計変更を行うことができるものである。例えば、前記した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、また、ある実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

なお、本発明の実施形態は、以下の態様であってもよい。

（１）複数の車両ネットワークに接続される車載電子制御装置において、前記車両ネットワークから情報を受信し、当該受信した受信情報の通信ＩＤと前記通信ＩＤの転送経路情報、動作設定値に基づき、通信ＩＤに応じて該当する転送先の車両ネットワークを特定する転送先特定部と、前記転送先のネットワークへ転送する情報を暗号化する暗号化部（暗号／復号）とを有し、暗号化された前記受信情報を前記転送先に転送する転送部とを有する車両電子制御装置。

（２）（１）において、前記転送先特定部は、論理回路として構成され、参照ＩＤ情報を生成する参照ＩＤ選択部と、前記受信情報のＩＤと前記参照ＩＤとを比較する比較器と、を有し、前記参照ＩＤ選択部が論理回路で構成されていることを特徴とする車両電子制御装置。

（３）（１）において、前記暗号化部は、暗号化に使用する共通鍵及び前記車両ネットワークから受信した情報を所定の手続きに従い計算を実施する演算部を有し、前記演算部が論理回路として構成されていることを特徴とする車両電子制御装置。

（４）（２）において、前記参照ＩＤ選択部はルーティングテーブルの初期アドレス設定部と、ルーティングテーブルの次ＩＤアドレスサイズ数に基づきＩＤアドレスを演算する機能を有し、前記アドレス演算部は論理回路で構成されることを特徴とする車両電子制御装置。

（５）（１）〜（４）において、受信した受信情報の通信ＩＤと転送経路情報、動作設定値はルーティングテーブルに登録されることを特徴とした車両電子制御装置。

（６）（１）〜（５）において前記転送先情報特定部と、前記暗号化部を、一つのＡＳＩＣ内に構成したことを特徴とする車両電子制御装置
（７）（１）〜（６）の何れかにおいて、車両電子制御装置は、運転支援用電子制御装置であることを特徴とする車両電子制御装置。

１００…車載電子制御装置
２００…電源
２０２…カスタムＩＣ
２０４…電源回路
２０６…ＣＰＵ
２０８…ＦａｉｌＳａｆｅ回路
２１０…ＷＤＴ回路
２１２…制御部
２１４…ＩＤ特定部
２１６…カスタムＩＣ２０２内の接続を制限された領域
２１８…通信Ｉ／Ｆ
２２０…暗号部／復号部
２２２…メモリ
２２４…転送処理部
２２６…通信Ｉ／Ｆ
２２８…外部負荷駆動回路Ｉ／Ｆ
２５０、２６０、２７０、２７０…車内用ネットワーク
３００…ルーティングテーブル
３０１…参照ＩＤ選択部
３０２…加算器
３０４…インクリメンタ
３０６…ＩＤアドレスサイズ数
３０８…乗算器
３１０…先頭アドレス
３１２…加算器
３１４…セレクタ
３１８…ＩＤセレクタ
３２０…受信ＩＤ
３２２…比較器
３２４…一致ＩＤ情報保存レジスタ

Claims

第１識別子を含む第１データを受信する受信部と、
前記第１識別子に対応する転送先を特定する第１回路と、
前記第１データを暗号化して第２データに変換する第２回路と、
前記第２データを前記転送先へ送信する送信部と、
を備えることを特徴とする車載電子制御装置。
請求項１に記載の車載電子制御装置であって、
第２識別子及び前記第２識別子に対応する前記転送先の組合せを複数記憶する記憶装置を備え、
前記第１回路は、
論理回路で構成され、参照する前記第２識別子を前記記憶装置から選択する選択回路と、
前記第１識別子と前記第２識別子を比較する比較器と、を有する
ことを特徴とする車載電子制御装置。
請求項２に記載の車載電子制御装置であって、
前記第２回路は、
論理回路で構成され、暗号化に使用される鍵と前記第１データから前記第２データを計算する第１計算部を有する
ことを特徴とする車載電子制御装置。
請求項２に記載の車載電子制御装置であって、
前記第２識別子及び前記転送先の組合せは、
アドレスに対応する記憶領域にそれぞれ記憶され、
前記選択回路は、
論理回路で構成され、１つの前記アドレスと前記記憶領域のサイズから参照する前記アドレスを計算する第２計算部を有する
ことを特徴とする車載電子制御装置。
請求項４に記載の車載電子制御装置であって、
前記選択回路は、
参照する前記アドレスに対応する前記記憶領域に記憶される情報を選択する第１セレクタと、
前記第１セレクタによって選択された情報から前記第２識別子を選択する第２セレクタと、を備える
ことを特徴とする車載電子制御装置。
請求項４に記載の車載電子制御装置であって、
前記第１回路と前記第２回路は、
１つのＡＳＩＣ内に配置される
ことを特徴とする車載電子制御装置。
請求項４に記載の車載電子制御装置であって、
前記第１データは、
車両又は前記車両の周囲の状態を示すパラメータを含み、
前記車載電子制御装置は、
前記転送先が前記車載電子制御装置である場合に、前記パラメータに基づいて運転を支援する制御を行う
ことを特徴とする車載電子制御装置。