WO2016186093A1 - 通信装置及び通信制限プログラム - Google Patents

通信装置及び通信制限プログラム Download PDF

Info

Publication number
WO2016186093A1
WO2016186093A1 PCT/JP2016/064546 JP2016064546W WO2016186093A1 WO 2016186093 A1 WO2016186093 A1 WO 2016186093A1 JP 2016064546 W JP2016064546 W JP 2016064546W WO 2016186093 A1 WO2016186093 A1 WO 2016186093A1
Authority
WO
WIPO (PCT)
Prior art keywords
mode
registers
unit
communication
transmission
Prior art date
Application number
PCT/JP2016/064546
Other languages
English (en)
French (fr)
Inventor
晋也 本田
高田　広章
亮 倉地
浩史 上田
Original Assignee
国立大学法人名古屋大学
株式会社オートネットワーク技術研究所
住友電装株式会社
住友電気工業株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 国立大学法人名古屋大学, 株式会社オートネットワーク技術研究所, 住友電装株式会社, 住友電気工業株式会社 filed Critical 国立大学法人名古屋大学
Priority to DE112016002236.0T priority Critical patent/DE112016002236T5/de
Priority to US15/574,905 priority patent/US10384625B2/en
Priority to CN201680028147.9A priority patent/CN107615714B/zh
Publication of WO2016186093A1 publication Critical patent/WO2016186093A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F12/00—Accessing, addressing or allocating within memory systems or architectures
    • G06F12/14—Protection against unauthorised use of memory or access to memory
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4604—LAN interconnection over a backbone network, e.g. Internet, Frame Relay
    • H04L12/462—LAN interconnection over a bridge based backbone
    • H04L12/4625—Single bridge functionality, e.g. connection of two networks over a single bridge
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle

Definitions

  • the present invention relates to a communication device and a communication restriction program for preventing an unauthorized message from being transmitted to a network.
  • ECUs Electronic Control Units mounted on vehicles have become highly functional, and along with this, programs executed by the ECUs have become complicated.
  • a plurality of ECUs are mounted on the vehicle, and these are connected via a network such as CAN (ControllerCAArea ⁇ ⁇ Network).
  • a plurality of ECUs are proceeding with processing while exchanging information via a network.
  • Patent Document 1 when the first node of the CAN system fails to receive a frame and is in an error passive state, the retransmission request frame is transmitted, and the second node transmits the frame transmitted to the CAN bus.
  • a CAN system is described which aims to improve fault tolerance by storing and retransmitting a frame requested to be retransmitted to the first node.
  • the CAN controller measures the transmission latency from the input of the frame to the start of transmission to the CAN bus, transmits information including information on the transmission latency in this frame, and the CAN controller that has received this frame.
  • a communication system for the purpose of preventing a malfunction on the receiving side of a frame by adopting a configuration that determines a process to be executed according to transmission latency.
  • Non-Patent Document 1 reports that it is possible to send an unauthorized message to a network in a vehicle by injecting an unauthorized program into the ECU. If an unauthorized message is transmitted by an unauthorized program, a malfunction may occur in another ECU connected to the network.
  • the CAN system described in Patent Document 1 and the communication system described in Patent Document 2 cannot be an effective measure against such unauthorized message transmission.
  • the present invention has been made in view of such circumstances, and an object of the present invention is to provide a communication device and a communication restriction program capable of suppressing unauthorized message transmission to the network due to injecting unauthorized programs. There is.
  • a communication device includes a communication unit having a plurality of registers that store values related to communication with other devices, and a processing unit that performs communication processing by writing and reading values to and from the registers of the communication unit.
  • writing or reading of values to a part of the plurality of registers is restricted.
  • the communication device includes a first mode in which values can be written to and read from the plurality of registers, and a second mode in which values are written to or read from some of the plurality of registers.
  • a switching unit for switching between modes is provided.
  • the switching unit may not switch from the second mode to the first mode after switching from the first mode to the second mode. It is characterized by being.
  • the switching unit sets a predetermined period from the start of the own apparatus as the first mode, and switches from the first mode to the second mode after the predetermined period has elapsed, After the switching, the switching from the second mode to the first mode is not performed.
  • the communication device includes a storage unit that stores a program for writing a value to a register in which writing is restricted in the second mode, and the processing unit executes the program after starting up the device,
  • the switching unit is configured to perform switching by setting a period during which the processing unit executes the program as the predetermined period.
  • the plurality of registers include a plurality of transmission message storage registers for storing messages transmitted from the communication unit to other devices, and the plurality of transmission messages in the second mode. Writing to one or a plurality of transmission message storage registers among the storage registers is limited.
  • the plurality of registers include a transmission cycle setting register that stores setting of a cycle in which the communication unit transmits the message stored in the transmission message storage register,
  • a regulation unit is provided that regulates message transmission in a cycle shorter than the cycle setting stored in the transmission cycle setting register.
  • the message includes identification information for identifying the message, and the plurality of registers are set with identification information that permits storage in the transmission message storage register.
  • a restriction unit that restricts storage of messages other than the identification information stored in the identification information setting register in the transmission message storage register.
  • the communication apparatus further includes an operation receiving unit that receives an operation related to switching between the first mode and the second mode, and the switching unit switches according to an operation received by the operation receiving unit. It is characterized by carrying out.
  • the communication device further includes a connection unit for connecting an external device, and the operation receiving unit performs an operation performed on the external device connected to the connection unit via the connection unit. It is characterized by accepting.
  • the communication device further includes an authentication processing unit that performs an authentication process with an external device connected to the connection unit, and the operation reception unit has succeeded in the authentication process by the authentication processing unit. In this case, an operation is accepted.
  • the communication device includes a communication unit having a plurality of registers for storing values related to communication with other devices, and a processing unit that performs communication processing by writing and reading values to and from the registers of the communication unit A first mode in which values can be written to and read from the plurality of registers, and a second mode in which values are written to or read from some of the plurality of registers.
  • a switching unit for switching, and the processing unit writes a value to a register to which writing is restricted in the second mode, and after the value is written to the register, the switching unit switches the first mode to the second mode. It is characterized in that switching to is performed.
  • the communication restriction program includes a communication unit having a plurality of registers for storing values related to communication with other devices, and a process of performing communication processing by writing and reading values to and from the registers of the communication unit And a switching unit that switches between a first mode in which values can be written to and read from the plurality of registers, and a second mode in which values are written to or read from some of the plurality of registers.
  • a communication device comprising: means for writing a value to a register to which writing is restricted in the second mode; and after the value is written to the register, the switching unit switches from the first mode to the second mode. It is made to operate
  • the communication device includes a communication unit having a plurality of registers that store values related to communication with other devices, and a processing unit that performs communication processing by writing and reading values to and from the registers.
  • the communication unit can be a CAN controller, and the processing unit can be a CPU (Central Processing Unit) or the like.
  • the application of the present invention is not limited to the CAN protocol, and can be applied to various other wired or wireless communication protocols.
  • switching is performed between a first mode in which writing to and reading from the registers of the communication unit can be performed and a second mode in which writing to and reading from some of the registers is restricted.
  • a predetermined period from the activation of the communication device is set to the first mode, and after the predetermined period has elapsed, switching from the first mode to the second mode is performed. After switching to the second mode, switching to the first mode is not performed.
  • writing to and reading from some registers of the communication unit are restricted.
  • a first storage unit storing a first program executed by the processing unit after the communication device is activated, and a second storage unit storing a second program executed by the processing unit after executing the first program; are provided in the communication device.
  • Switching between the first mode and the second mode is performed by setting the period during which the processing unit executes the first program as the predetermined period. That is, the first program is executed in the first mode, and the second program is executed in the second mode.
  • the operation in the first mode in which the use of the register of the communication unit is not limited can be limited to the execution period of the first program stored in the first storage unit. Even when an unauthorized program is injected into the second storage unit, the unauthorized program stored in the second storage unit is executed in the second mode in which the use of the register of the communication unit is restricted.
  • the first storage unit is configured such that the stored contents cannot be rewritten.
  • the first storage unit is configured using a non-rewritable memory element such as a mask ROM (Read Only Memory). This makes it impossible to inject an unauthorized program into the first storage unit, and the unauthorized program is not executed in the first mode.
  • the execution of the first program sets which of the registers to restrict writing and reading in the second mode.
  • a register that restricts use in the second mode it is possible to set a register that restricts use in the second mode to a register that is suitable for the processing contents of the own device, and to increase the versatility of the communication unit by making the register that restricts use variable. Can do.
  • the plurality of registers of the communication unit include a plurality of transmission message storage registers for storing messages to be transmitted to other devices.
  • the processing unit can transmit the message by storing the message to be transmitted to the other device in the transmission message storage register of the communication unit.
  • writing to and reading from one or more of the plurality of transmission message storage registers are restricted.
  • the use of the transmission message storage register by an unauthorized program can be restricted, and unauthorized message transmission can be restricted.
  • the plurality of registers of the communication unit include a transmission cycle setting register that stores setting of a cycle in which the communication unit transmits the message stored in the transmission message storage register.
  • Message transmission by the communication unit is limited to be performed in a cycle shorter than the cycle set in the transmission cycle setting register, and can be performed only in a cycle longer than the set cycle.
  • the minimum cycle of message transmission by the communication device can be determined, and it is possible to prevent an unauthorized program from repeatedly repeating message transmission in a cycle shorter than this cycle.
  • the message transmitted and received by the communication device includes identification information for identifying this message.
  • the identification information can be, for example, a CAN-ID attached to a message in the CAN protocol.
  • the plurality of registers of the communication unit include an identification information setting register that stores settings relating to identification information of a message that is permitted to be stored in the transmission message storage register.
  • the storage of the message in the transmission message storage register of the communication unit is limited to the message with the identification information set in the identification information setting register, and the storage of the message with other identification information is limited. .
  • the type of message transmitted by the communication device can be limited by the identification information, and an unauthorized program can be prevented from transmitting a message with the unauthorized identification information.
  • the first mode and the second mode are switched. This makes it possible to write a value to the register, for example, when testing, manufacturing or maintaining the vehicle.
  • a connection unit capable of connecting an external device to the communication device.
  • the external device is provided with an operation unit such as a switch or a touch panel, and can perform operations related to mode switching of the communication device.
  • the communication device can accept an operation performed on the external device via the connection unit and perform mode switching according to the accepted operation.
  • authentication processing is performed between the communication device and the external device.
  • the communication device accepts an operation related to mode switching only when the authentication process is successful. This makes it difficult to rewrite the register value by an external device connected to the connection unit.
  • FIG. 6 is a flowchart showing a procedure of mode switching processing performed by an ECU according to Embodiment 2.
  • FIG. 1 is a block diagram showing a configuration of a communication system according to the present embodiment.
  • the communication system according to the present embodiment has a configuration in which a plurality of ECUs (communication devices) 1 mounted on a vehicle (not shown) are connected to a CAN bus 2, and the plurality of ECUs 1 communicate with each other via the CAN bus 2.
  • a communication function since several ECU1 is the structure substantially the same regarding a communication function, in FIG. 1, detailed structure is shown about one ECU1, and illustration of detailed structure is abbreviate
  • the ECU 1 includes a processing unit 10, a mask ROM (first storage unit) 11, an EEPROM (second storage unit) 12, a RAM 13, an input / output unit 14, a CAN controller (communication unit) 15, and the like.
  • the processing unit 10 is configured using an arithmetic processing device such as a CPU (Central Processing Unit) or an MPU (Micro-Processing Unit).
  • the processing unit 10 reads out and executes the boot program 11a stored in the mask ROM 11, the application program 12a stored in the EEPROM 12, and the like, thereby performing various arithmetic processes and control processes.
  • the mask ROM 11 is a non-volatile memory element that cannot rewrite stored information (such as programs and data).
  • the mask ROM 11 stores a boot program 11a executed by the processing unit 10 in advance.
  • the boot program 11a is a program that is first executed by the processing unit 10 after the ECU 1 is started.
  • the processing unit 10 executes processing such as initialization of hardware and software resources of the ECU 1 and setting of operating conditions by executing the boot program 11a.
  • power supply to the ECU 1 is started.
  • the power-on reset is released and the operation of each unit is started.
  • the EEPROM 12 is a non-volatile memory element that can rewrite data.
  • the EEPROM 12 stores an application program 12a executed by the processing unit 10.
  • the application program 12a is a program that performs processing for realizing a function specific to each ECU 1, and a part or all of the program can be rewritten, for example, by version upgrade or defect correction.
  • the processing unit 10 performs processing of the boot program 11a after startup, and then performs processing of the application program 12a.
  • the RAM 13 is a volatile memory element such as SRAM (Static Random Access Memory) or DRAM (Dynamic Random Access Memory).
  • SRAM Static Random Access Memory
  • DRAM Dynamic Random Access Memory
  • the input / output unit 14 receives signals input from various sensors 3 mounted on the vehicle, and outputs control signals to the various actuators 4, for example.
  • the input / output unit 14 is connected to the sensor 3, the actuator 4, and the like via signal lines, and performs input / output of signals via the signal lines.
  • the input / output unit 14 samples, for example, an analog input signal from the sensor 3, converts it into digital data, and provides the digital data to the processing unit 10.
  • the input / output unit 14 outputs a control signal for the actuator 4 in accordance with a control command given from the processing unit 10.
  • the ECU 1 does not have to have both functions of signal input / output between the sensor 3 and the actuator 4 and the like, and may be configured to have only one function of input or output. The structure which is not provided with the function may be sufficient.
  • the CAN controller 15 transmits / receives a message via the CAN bus 2 to / from another ECU 1 mounted on the vehicle under the control of the processing unit 10.
  • the CAN controller 15 performs message transmission, for example, by outputting a message for transmission given from the processing unit 10 to the CAN bus 2 as a dominant / recessive binary signal according to the CAN protocol.
  • the CAN controller 15 acquires a signal on the CAN bus 2 by sampling the potential of the CAN bus 2 and receives a message.
  • the processing unit 10 can acquire and process the message received by the CAN controller 15. Further, the CAN controller 15 performs collision detection of message transmission to the CAN bus 2 and arbitration processing of the message transmission order when a collision occurs.
  • FIG. 2 is a schematic diagram illustrating a configuration example of the register group 16.
  • the register group 16 included in the CAN controller 15 according to the present embodiment includes, for example, a mode register, transmission request registers 1 to 4, transmission cancellation registers 1 to 4, transmission completion registers 1 to 4, transmission cancellation completion registers 1 to 4, Reception completion registers 1 to 4, transmission message storage registers 1 to 4, transmission permission setting registers 1 to 4, transmission cycle setting registers 1 to 4, transmission identification information setting registers 1 to 4, reception message storage register 1 4, reception permission setting registers 1 to 4, and reception identification information setting registers 1 to 4.
  • the register shown in FIG. 2 is an example, and the present invention is not limited to this.
  • the CAN controller 15 may have various registers (not shown), and may not have some of the registers shown. Also good. Further, in FIG. 2, those that can only read from the register are indicated as “R”, and those that can be read and written are indicated as “R / W”, and cannot be read and written. Is indicated as “R / W not possible”.
  • the register group 16 of the CAN controller 15 has a one-dimensional address assigned to each register. In the example shown in the figure, hexadecimal addresses 0x000 to 0x030 are assigned to each register.
  • the processing unit 10 can read the value stored in the register designated by the address by giving an address to the CAN controller 15 by designating the address.
  • the processing unit 10 can write data to the register specified by the address by designating the address and data and giving a write command to the CAN controller 15.
  • the CAN controller 15 notifies the processing unit 10 of the error.
  • the CAN controller 15 operates in two operation modes, a full control mode and a restriction mode.
  • the full control mode is a mode in which the processing unit 10 can perform access to all the registers in the register group 16 (reading is possible for a register that can only be read, and reading and writing is possible for a register that can be read and written).
  • the restricted mode is a mode in which access of the processing unit 10 to a part of the registers of the register group 16 is restricted (impossible) and only permitted registers can be accessed.
  • the ECU 1 that is, immediately after the CAN controller 15 is started, the CAN controller 15 operates in the full control mode.
  • the mode register of the register group 16 is a register for switching the operation mode of the CAN controller 15.
  • the processing unit 10 writes a predetermined value in the mode register, the operation mode of the CAN controller 15 is switched from the full control mode to the restriction mode. In the limit mode, no value can be written to the mode register. For this reason, the processing unit 10 can switch the operation mode of the CAN controller 15 from the full control mode to the restriction mode, but cannot switch from the restriction mode to the full control mode.
  • the CAN controller 15 has four registers (transmission message storage registers 1 to 4) for storing messages to be transmitted to other ECUs 1.
  • the processing unit 10 causes the CAN controller 15 to transmit a message by writing a message to one of the transmission message storage registers 1 to 4 and further writing a transmission request to the corresponding transmission request registers 1 to 4. Can do. Further, the processing unit 10 can cancel transmission before message transmission is completed by writing a cancel request to the corresponding transmission cancel registers 1 to 4.
  • the transmission completion registers 1 to 4 and the cancellation completion registers 1 to 4 of the register group 16 are registers in which the CAN controller 15 writes values.
  • the CAN controller 15 transmits a message in response to a transmission request from the processing unit 10, and writes a value indicating transmission completion to the transmission completion registers 1 to 4 corresponding to the completion of transmission. Further, the CAN controller 15 interrupts message transmission in response to a cancel request from the processing unit 10, and writes a value indicating cancel completion to the cancel completion registers 1 to 4 when the interruption is successful. However, if the message transmission cannot be interrupted, the CAN controller 15 writes a value indicating cancellation failure in the cancellation completion registers 1 to 4.
  • the processing unit 10 can check the processing results for the transmission request and the cancellation request by reading the values of the transmission completion registers 1 to 4 and the cancellation completion registers 1 to 4.
  • all of the four transmission message storage registers 1 to 4 can be used by the processing unit 10 when operating in the full control mode, but some of them are used when operating in the limited mode. Limited.
  • the transmission permission setting registers 1 to 4 of the register group 16 are registers for storing settings regarding whether or not each transmission message storage register 1 to 4 is permitted to be used in the restricted mode.
  • the processing unit 10 writes the value indicating that the use of the register is not permitted to any of the transmission permission setting registers 1 to 4, thereby entering the restriction mode. After the switching, reading and writing to the corresponding transmission message storage registers 1 to 4 become impossible.
  • the transmission permission setting registers 1 to 4 can perform reading and writing in the full control mode, but cannot perform reading and writing in the restriction mode and cannot change the setting.
  • the ECU 1 writes information indicating that use is permitted to the transmission permission setting register 1, and writes information indicating that use is not permitted to the transmission permission setting registers 2 to 4.
  • the ECU 1 can perform message transmission using the transmission message storage register 1, but performs message transmission using the transmission message storage registers 2 to 4. I can't do that.
  • the CAN controller 15 determines a period for transmitting the messages stored in the transmission message storage registers 1 to 4 for each of the transmission message storage registers 1 to 4.
  • the CAN controller 15 does not accept a transmission request from the processing unit 10 regarding the corresponding transmission message storage registers 1 to 4 until a predetermined time period (minimum transmission interval) has elapsed after the previous message transmission is completed.
  • the transmission cycle setting registers 1 to 4 of the register group 16 are registers for storing the transmission message storage registers 1 to 4 with the predetermined period as a transmission cycle.
  • the processing unit 10 writes the transmission cycle setting to any one of the transmission cycle setting registers 1 to 4, so that the message according to the transmission cycle as described above.
  • the CAN controller 15 may limit message transmission based on the set transmission cycle regardless of the operation mode, or may limit only in the limit mode.
  • the transmission cycle setting registers 1 to 4 can perform reading and writing in the full control mode, but cannot perform writing in the restriction mode and cannot change the setting.
  • the transmission cycle setting registers 1 to 4 may be configured to restrict not only writing but also reading in the restriction mode.
  • the ECU 1 writes a setting for setting the transmission cycle to 100 ms in the transmission cycle setting register 1. If the use of the transmission message storage registers 2 to 3 is not permitted, the transmission cycle setting registers 2 to 4 need not be set.
  • the CAN controller 15 counts the elapsed time from transmission by the internal timer function every time transmission is performed, and from the processing unit 10 until 100 ms set from the previous message transmission elapses. The request to send is not accepted.
  • the CAN controller 15 can individually measure the elapsed time for each of the transmission message storage registers 1 to 4.
  • the CAN-IDs of messages that can be stored in the four transmission message storage registers 1 to 4 are determined for each of the transmission message storage registers 1 to 4.
  • the CAN controller 15 receives a request for writing a message from the processing unit 10 to the transmission message storage registers 1 to 4, the CAN-ID included in the message is stored in the transmission message storage registers 1 to 4 to be written. Only when the CAN-ID is determined for the message, the message given from the processing unit 10 is written to the transmission message storage registers 1 to 4.
  • the transmission identification information setting registers 1 to 4 of the register group 16 are registers for setting CAN-IDs of messages that can be stored in the corresponding transmission message storage registers 1 to 4.
  • the processing unit 10 When the CAN controller 15 is operating in the full control mode, the processing unit 10 writes the CAN-ID setting to any one of the transmission identification information setting registers 1 to 4 so that the CAN- Restriction of message storage by ID is implemented. Note that the CAN controller 15 may restrict message storage by the set CAN-ID regardless of the operation mode, or may restrict only in the restriction mode.
  • the transmission identification information setting registers 1 to 4 can be read and written in the full control mode, but cannot be read and written in the restriction mode, and the settings cannot be changed.
  • the ECU 1 writes the value “0010” as the CAN-ID in the transmission identification information setting register 1. If the use of the transmission message storage registers 2 to 4 is not permitted, the transmission identification information setting registers 2 to 4 need not be set.
  • the processing unit 10 gives a request to write a message to the transmission message storage register 1, the CAN controller 15 has a CAN-ID attached to this message of “0010”. Only in some cases, the message is stored in the transmission message storage register 1.
  • the CAN controller 15 has four registers (received message storage registers 1 to 4) for storing messages received from other ECUs 1.
  • the CAN controller 15 receives a message from another ECU 1
  • the CAN controller 15 writes the message in one of the reception message storage registers 1 to 4 and writes information indicating reception completion to the corresponding reception completion registers 1 to 4.
  • the processing unit 10 periodically reads and checks the values of the reception completion registers 1 to 4 to determine whether or not messages from other ECUs 1 to 4 have been received. Messages can be read from registers 1 to 4.
  • all of the four received message storage registers 1 to 4 can be used by the processing unit 10 when operating in the full control mode, but some of them are used when operating in the limited mode. Limited.
  • the reception permission setting registers 1 to 4 of the register group 16 are registers for storing settings regarding whether or not each of the reception message storage registers 1 to 4 is permitted to be used in the restricted mode.
  • the reception permission setting registers 1 to 4 can perform reading and writing in the full control mode, but cannot perform writing in the restriction mode and cannot change the setting.
  • the reception permission setting registers 1 to 4 may be configured to restrict not only writing but also reading in the restriction mode.
  • the ECU 1 writes information that the use is permitted to the reception permission setting registers 1 and 2 and information that the use is not permitted to the reception permission setting registers 3 and 4. Write.
  • the ECU 1 can receive a message using the received message storage registers 1 and 2, but can receive a message using the received message storage registers 3 and 4. Can no longer do.
  • the four received message storage registers 1 to 4 have CAN-IDs of messages that can be stored for each of the message storage registers 1 to 4.
  • the CAN controller 15 receives this message only when the CAN-ID included in the received message is a CAN-ID determined for the received message storage registers 1 to 4.
  • the reception identification information setting registers 1 to 4 of the register group 16 are registers for setting CAN-IDs of messages that can be stored in the corresponding reception message storage registers 1 to 4.
  • the processing unit 10 When the CAN controller 15 is operating in the full control mode, the processing unit 10 writes the CAN-ID setting to any one of the reception identification information setting registers 1 to 4 so that the CAN- Restriction of message storage by ID is implemented. Note that the CAN controller 15 may restrict message storage by the set CAN-ID regardless of the operation mode, or may restrict only in the restriction mode.
  • the reception identification information setting registers 1 to 4 can be read and written in the full control mode, but cannot be read and written in the restriction mode, and the settings cannot be changed.
  • the ECU 1 writes the value “0012” as the CAN-ID in the reception identification information setting register 1 and the value “0020” in the reception identification information setting register 2.
  • the reception identification information setting registers 3 and 4 need not be set.
  • the CAN controller 15 receives a message from another ECU 1, the CAN controller 15 receives the message only when the CAN-ID included in the received message is “0012” or “0020”. Stored in registers 1 and 2. When a CAN-ID message other than these is received, the CAN controller 15 discards the received message.
  • the CAN controller 15 restricts access to the register group 16 in the restriction mode.
  • the CAN controller 15 starts operating in the full control mode.
  • the processing unit 10 reads and executes the boot program 11a stored in the mask ROM 11.
  • the processing unit 10 executing the boot program 11a can access the register 16 of the CAN controller 15 without restriction.
  • the boot program 11a is a program for performing initial setting of the ECU 1, and the processing unit 10 sets conditions for restricting access to the register group 16 of the CAN controller 15 by executing the program.
  • the processing unit 10 sets whether or not the transmission message storage registers 1 to 4 are usable for the transmission permission setting registers 1 to 4, sets the transmission period to the transmission cycle setting registers 1 to 4, and transmission identification.
  • CAN-ID setting for the information setting registers 1 to 4, setting of availability of the reception message storage registers 1 to 4 for the reception permission setting registers 1 to 4, and CAN-for the reception identification information setting registers 1 to 4 Set the ID.
  • the processing unit 10 that executes the boot program 11a writes to the mode register to switch the operation mode of the CAN controller 15 from the full control mode to the restriction mode.
  • the processing unit 10 ends the execution of the boot program 11a and starts executing the application program 12a stored in the EEPROM 12.
  • the CAN controller 15 operates in the restriction mode, so that the access to the register group 16 is restricted.
  • the CAN controller 15 cannot switch to the full control mode after switching to the restriction mode. For example, the CAN controller 15 enters the full control mode only when the power is turned on again after the ECU 1 is turned off, or when the ECU 1 is restarted after a reset operation or the like.
  • the boot program 11a sets the access restriction conditions for the register group 16 so that the registers necessary for the execution of the application program 12a can be used and the registers unnecessary for the execution cannot be used. Properly created in advance.
  • the CAN controller 15 switches from the full control mode to the restriction mode by the processing unit 10 writing to the mode register.
  • the present invention is not limited to this.
  • the CAN controller 15 measures an elapsed time (for example, the number of clocks) since the start, and if a predetermined time has elapsed, even if the processing unit 10 is not writing to the mode register,
  • the full control mode may be switched to the restriction mode.
  • the time required for executing the boot program 11a can be set as the predetermined time serving as a switching determination criterion.
  • the predetermined time may be determined regardless of the execution time of the boot program 11a. In this case, the predetermined time until the mode switching functions as a constraint condition for the creation of the boot program 11a.
  • FIG. 3 is a flowchart showing a processing procedure performed by the processing unit 10 of the ECU 1 at the time of activation.
  • the processing unit 10 of the ECU 1 performs a power-on reset by, for example, a reset IC or the like when the ECU 1 is started or restarted, and then the power-on reset is released (step S1). )
  • the processing unit 10 reads the boot program 11a stored in the mask ROM 11 and starts executing it (step S2).
  • the processing unit 10 that executes the boot program 11a includes transmission permission setting registers 1 to 4, transmission cycle setting registers 1 to 4, transmission identification information setting registers 1 to 4, and reception permission included in the register group 16 of the CAN controller 15.
  • the conditions for restricting access to the register group 16 are set (step S3).
  • the processing unit 10 that executes the boot program 11a After completing the access restriction condition setting, the processing unit 10 that executes the boot program 11a performs mode switching from the full control mode to the restriction mode by writing to the mode register included in the register group 16 of the CAN controller 15. (Step S4). After the mode switching of the CAN controller 15 is completed, the processing unit 10 ends the execution of the boot program 11a, reads out the application program 12a stored in the EEPROM 12 and starts execution (Step S5), and ends the processing at the time of startup. To do.
  • FIG. 4 is a flowchart showing the procedure of the mode switching process performed by the CAN controller 15 of the ECU 1.
  • the CAN controller 15 of the ECU 1 performs a power-on reset by, for example, a reset IC or the like when the ECU 1 is started or restarted, and then the power-on reset is released (step S11).
  • the CAN controller 15 starts counting the elapsed time from the start-up by using a timer function provided therein (step S12).
  • the CAN controller 15 after activation operates in the full control mode (step S13).
  • the CAN controller 15 determines whether or not a mode switching instruction is given from the processing unit 10 based on whether or not a value for switching to the restriction mode is written in the mode register of the register group 16 ( Step S14). When the mode switching instruction is not given (S14: NO), the CAN controller 15 further determines whether or not the elapsed time from the start of the time measurement started in step S12 has passed a predetermined time (step S15). ). If the predetermined time has not elapsed since the activation (S15: NO), the CAN controller 15 returns the process to step S13 and continues the operation in the full control mode.
  • the CAN controller 15 switches from the full control mode to the restriction mode (step S16). Further, the CAN controller 15 ends the time measurement started in step S12 (step S16). Thereafter, the CAN controller 15 continuously performs the operation in the restriction mode (step S18).
  • FIG. 5 is a flowchart showing the procedure of restriction processing when a message transmission request is made by the CAN controller 15, and is restriction processing based on CAN-ID.
  • the CAN controller 15 determines whether or not a message write request for any of the transmission message storage registers 1 to 4 in the register group 16 is given from the processing unit 10 (step S21). When the message write request is not given (S21: NO), the CAN controller 15 waits until the write request is given. When the message write request is given (S21: YES), the CAN controller 15 determines whether or not its own operation mode is the restriction mode (step S22).
  • the CAN controller 15 checks the values of the transmission permission setting registers 1 to 4 corresponding to the transmission message storage registers 1 to 4 requested to be written (step S23). ). Based on the result of step S23, the CAN controller 15 determines whether or not use of the transmission message storage registers 1 to 4 requested to be written is permitted (step S24). When the use is not permitted (S24: NO), the CAN controller 15 notifies the processing unit 10 of an error (step S29), and returns the process to step S21.
  • the CAN controller 15 acquires the CAN-ID included in the message given from the processing unit 10 (step S25).
  • the CAN controller 15 checks the values of the transmission identification information setting registers 1 to 4 corresponding to the transmission message storage registers 1 to 4 requested to be written (step S26), and the CAN-ID acquired in step S25 is It is determined whether or not the CAN-ID is permitted to be stored in the transmission message storage registers 1 to 4 (step S27). If the CAN-ID is permitted (S27: YES), the CAN controller 15 stores the message given from the processing unit 10 in the transmission message storage registers 1 to 4 (step S28), and proceeds to step S21. To return. If the CAN-ID is not permitted (S27: NO), the CAN controller 15 notifies the processing unit 10 of an error (step S29) and returns the process to step S21.
  • the CAN controller 15 When the operation mode is not the restriction mode (S22: NO), that is, when the operation mode is the full control mode, the CAN controller 15 sends the message given from the processing unit 10 to the transmission message storage registers 1 to 4. Store (step S28), and return to step S21.
  • FIG. 6 is a flowchart showing a procedure of restriction processing when a message transmission request is made by the CAN controller 15, and is restriction processing based on a transmission cycle. It is assumed that the CAN controller 15 performs a process of measuring the elapsed time from the message transmission when the message is transmitted by its timer function. The CAN controller 15 determines whether or not a message transmission request to another ECU 1 is given from the processing unit 10 (step S31). If a transmission request is not given (S31: NO), the CAN controller 15 waits until a transmission request is given. When a transmission request is given (S31: YES), the CAN controller 15 determines whether or not its own operation mode is the restriction mode (step S32).
  • the CAN controller 15 checks the values of the transmission permission setting registers 1 to 4 corresponding to the transmission request registers 1 to 4 to which the transmission request is given (step S33). . Based on the result of step S33, the CAN controller 15 determines whether message transmission of the requested transmission message storage registers 1 to 4 is permitted (step S34). If the message transmission is not permitted (S34: NO), the CAN controller 15 notifies the processing unit 10 of an error (step S39) and returns the process to step S31.
  • the CAN controller 15 acquires the elapsed time since the previous transmission of the message stored in the corresponding transmission message storage registers 1 to 4 ( Step S35).
  • the CAN controller 15 checks the values of the transmission cycle report setting registers 1 to 4 corresponding to the transmission message storage registers 1 to 4 requested to be transmitted (step S36).
  • the CAN controller 15 determines whether or not the elapsed time from the previous transmission acquired in step S35 has passed the transmission cycle set in the transmission cycle setting registers 1 to 4 (step S37).
  • Step S38 the CAN controller 15 performs message transmission by reading out the messages stored in the transmission message storage registers 1 to 4 corresponding to the transmission request and outputting them to the CAN bus 2. (Step S38), the process is returned to Step S31. If the transmission cycle has not elapsed (S37: NO), the CAN controller 15 notifies the processing unit 10 of an error (step S39) and returns the process to step S31.
  • the CAN controller 15 When the operation mode is not the restriction mode (S32: NO), that is, when the operation mode is the full control mode, the CAN controller 15 sends the message stored in the transmission message storage registers 1 to 4 corresponding to the transmission request. The message is transmitted by reading and outputting to the CAN bus 2 (step S38), and the process returns to step S31.
  • FIG. 7 is a flowchart showing a procedure of restriction processing at the time of message reception performed by the CAN controller 15, and is restriction processing related to message reception.
  • the CAN controller 15 determines whether or not a message from another ECU 1 has been received (step S51). If no message has been received (S51: NO), the CAN controller 15 waits until a message from another ECU 1 is received. When a message from another ECU 1 is received (S51: YES), the CAN controller 15 determines whether or not its own operation mode is the restriction mode (step S52).
  • the CAN controller 15 acquires the CAN-ID included in the message received from the other ECU 1 (step S53).
  • the CAN controller 15 checks the values of the reception permission setting registers 1 to 4 in the register group 16 (step S54) and checks the values of the reception identification information setting registers 1 to 4 (step S55).
  • the CAN controller 15 determines whether or not the CAN-ID set for the received message storage registers 1 to 4 that are permitted to use matches the CAN-ID acquired from the received message. It is determined whether or not message reception is permitted (step S56).
  • the CAN controller 15 uses the received message storage register in which the CAN-ID of this message is set as the ID of reception permission. Stored in 1 to 4 (step S57). Next, the CAN controller 15 writes information indicating the completion of reception in the reception completion registers 1 to 4 corresponding to the reception message storage registers 1 to 4 storing the message (step S58), and returns the process to step S51. If reception of this message is not permitted (S56: NO), the CAN controller 15 discards the received message (step S59) and returns the process to step S51.
  • Step S57 When the operation mode is not the restriction mode (S52: NO), that is, when the operation mode is the full control mode, the CAN controller 15 stores the message received from the other ECU 1 in the received message storage registers 1 to 4. (Step S57), information indicating completion of reception is written in the corresponding reception completion registers 1 to 4 (Step S58), and the process returns to Step S51.
  • the ECU 1 performs communication processing by writing and reading values to and from the CAN controller 15 having the register group 16 that stores values related to communication with other ECUs 1.
  • the processing part 10 which performs is provided.
  • the ECU 1 has a full control mode (first mode) in which writing and reading with respect to the register group 16 of the CAN controller 15 is possible, and a restriction mode in which writing and reading with respect to some registers in the register group 16 are restricted (prohibited). Switching to the second mode).
  • the ECU 1 sets the predetermined period from the start to the full control mode, and switches from the full control mode to the restriction mode after the predetermined period elapses. After switching to the restriction mode, the ECU 1 does not switch to the full control mode.
  • the ECU 1 also includes a mask ROM 11 (first storage unit) that stores a boot program 11a (first program) executed by the processing unit 10 after startup, and an application program 12a (first program executed by the processing unit 10 after execution of the boot program 11a. 2 program) is stored in the EEPROM 12 (second storage unit). Switching between the full control mode and the restriction mode is performed by setting the period during which the processing unit 10 executes the boot program 11a as the predetermined period. In other words, the boot program 11a is executed in the full control mode, and the application program 12a is executed in the restricted mode.
  • the operation in the full control mode in which the use of the register group 16 of the CAN controller 15 is not limited can be limited to the execution period of the boot program 11 a stored in the mask ROM 11. Even when an unauthorized program is injected into the EEPROM 12, the unauthorized program stored in the EEPROM 12 is executed in a restricted mode in which the use of the register group 16 of the CAN controller 15 is restricted.
  • a mask ROM 11 that cannot rewrite the stored contents is used for the storage unit that stores the boot program 11a of the ECU 1. It is impossible to inject an illegal program into the mask ROM 11, and the illegal program is not executed in the full control mode.
  • the ECU 1 executes the boot program 11a in the processing unit 10 to set which of the registers for restricting writing and reading in the restriction mode. For example, the ECU 1 writes a value to the transmission permission setting registers 1 to 4 to set which of the transmission message storage registers 1 to 4 can be used after switching to the restriction mode. Further, for example, the ECU 1 writes a value to the reception permission setting registers 1 to 4 to set which of the reception message storage registers 1 to 4 can be used after switching to the restriction mode. This makes it possible to set a register whose use is restricted in the restriction mode to be suitable for the processing contents of the own device. In addition, since the register whose use is restricted in the restriction mode can be the lower side, the versatility of the CAN controller 15 can be improved.
  • the register group 16 of the CAN controller 15 includes four transmission message storage registers 1 to 4 for storing messages to be transmitted to other ECUs 1.
  • the processing unit 10 can transmit the message by storing the message to be transmitted to the other ECU 1 in the transmission message storage registers 1 to 4 of the CAN controller 15.
  • In the restriction mode writing and reading with respect to one or a plurality of the four transmission message storage registers 1 to 4 are restricted. As a result, use of the transmission message storage registers 1 to 4 by an unauthorized program can be restricted, and unauthorized message transmission can be restricted.
  • the register group 16 of the CAN controller 15 includes transmission cycle setting registers 1 to 4 for storing setting of the cycle in which the CAN controller 15 transmits the messages stored in the transmission message storage registers 1 to 4.
  • the message transmission by the CAN controller 15 is restricted (prohibited) in a cycle shorter than the cycle set in the transmission cycle setting registers 1 to 4, and can be performed only in a cycle longer than the set cycle.
  • a minimum cycle of message transmission by the ECU 1 can be determined, and it is possible to prevent an unauthorized program from frequently repeating message transmission in a cycle shorter than this cycle.
  • the register group 16 of the CAN controller 15 includes transmission identification information setting registers 1 to 4 for storing settings related to the CAN-ID of messages that are permitted to be stored in the transmission message storage registers 1 to 4.
  • the CAN controller 15 stores messages in the transmission message storage registers 1 to 4 only for messages with a CAN-ID set in the identification information setting registers 1 to 4, and other CAN-IDs are stored. Restrict (prohibit) storage of attached messages. As a result, the type of message transmitted by the ECU 1 can be restricted by the CAN-ID, and an unauthorized program can be prevented from transmitting a message with an unauthorized CAN-ID.
  • each ECU 1 included in the in-vehicle communication system is configured to perform communication according to the CAN protocol.
  • Each ECU 1 may be configured to perform communication according to a protocol other than CAN, for example, a protocol such as TCP / IP, Ethernet (registered trademark), or FlexRay.
  • the communication system mounted on the vehicle has been described as an example.
  • the present invention is not limited to this.
  • the communication system is mounted on a mobile body such as an aircraft or a ship, or the communication system is installed in a factory or an office. As described above, the present technology may be applied to a communication system other than the vehicle.
  • ECU1 was set as the structure provided with mask ROM11 as a memory
  • EPROM Erasable Programmable Read Only Memory
  • a nonvolatile memory element such as an EEPROM or a flash memory may be used instead of the mask ROM 11.
  • ECU1 was set as the structure which performs the restriction
  • FIG. 8 is a block diagram showing a configuration of a communication system according to the second embodiment.
  • the communication system according to Embodiment 2 includes a setting device 205 that is connected to the ECU 201 via a communication line 206.
  • the setting device 205 is a device used when performing maintenance or inspection in a vehicle dealer or a maintenance factory, for example. By connecting the setting device 205 to the ECU 201, a value can be written to the register group 16 of the CAN controller 15.
  • the setting device 205 includes a display unit 251 such as a liquid crystal panel and an operation unit 252 such as a switch or a touch panel.
  • the ECU 201 according to the second embodiment does not include the mask ROM 11 included in the ECU 1 according to the first embodiment, and stores the boot program 11a in the EEPROM 12.
  • the EEPROM 12 of the ECU 201 stores a boot program 11a, an application program 12a, and the like.
  • the ECU 201 according to the second embodiment includes a connector 217 for connecting the setting device 205 via the communication line 206.
  • the ECU 201 according to the second embodiment writes a value to a register in which writing of the register group 16 of the CAN controller 15 is restricted when the authenticated setting device 205 is connected via the connector 217. It becomes possible.
  • the ECU 201 includes a ROM 218.
  • the ROM 218 is configured using a mask ROM, an EEPROM, or the like. However, even if the ROM 218 is configured using a data rewritable memory element such as an EEPROM, data cannot be rewritten during the normal operation of the ECU 201.
  • the ROM 218 stores an authentication program 218a, authentication information 218b, and the like.
  • the authentication program 218 a is a program executed by the processing unit 10 when the setting device 205 is connected to the connector 217, and performs authentication processing with the setting device 205.
  • the authentication information 218b is information for the authentication program 218a to perform an authentication process with the setting apparatus 205, and is information such as an apparatus ID and a password, for example.
  • the ECU 201 according to the second embodiment always operates in the restriction mode during normal operation. That is, the ECU 201 activated by power-on or the like starts the operation in the restriction mode after the activation and is not switched to the full control mode thereafter as long as the normal operation is performed. Therefore, since the ECU 201 executes the boot program 11a and the application program 12a in the restricted mode, the boot program 11a does not include setting processing for the register group 16 of the CAN controller 15.
  • the ECU 201 according to the second embodiment can operate the CAN controller 15 in the full control mode only when the setting device 205 is connected to the connector 217.
  • the processing unit 10 When the ECU 201 according to the second embodiment detects that the setting device 205 is connected to the connector 217, the processing unit 10 reads the authentication program 218a from the ROM 218 and executes the authentication program 218a, thereby authenticating with the setting device 205. Process.
  • the ECU 201 performs an authentication process based on the authentication information 218b stored in the ROM 218, and accepts an operation for switching the operation mode of the CAN controller 15 from the restriction mode to the full control mode only when the authentication process is successful.
  • an operator who operates the setting device 205 can acquire various types of information regarding the ECU 201 and display the information on the display unit 251, and perform various setting change operations regarding the ECU 201 using the operation unit 252. It can be carried out.
  • the setting device 205 according to the second embodiment can switch the operation mode of the CAN controller 15 of the ECU 201, and can write a value to the register group 16 by switching to the full control mode. it can.
  • the operation content is given from the setting device 205 to the processing unit 10 of the ECU 201 via the connector 217.
  • the processing unit 10 of the ECU 201 receives a mode switching operation.
  • the ECU 201 receives a switching operation from the setting device 205 to the full control mode
  • the ECU 201 switches from the restriction mode to the full control mode.
  • the ECU 201 communicates with the setting device 205 via the communication line 206, receives a value write request to the register group 16 of the CAN controller 15, and sends the requested value to the register group 16. Write to register.
  • the ECU 201 when the ECU 201 receives a switching operation from the setting device 205 to the restriction mode, the ECU 201 switches from the full control mode to the restriction mode. Note that the ECU 201 does not accept the switching operation from the setting device 205 to the restriction mode, for example, when the connection of the setting device 205 is released or when a predetermined time has elapsed since switching to the full control mode. It may be configured to automatically switch from the full control mode to the restriction mode.
  • FIG. 9 is a flowchart showing a procedure of mode switching processing performed by the ECU 201 according to the second embodiment.
  • the processing unit 10 of the ECU 201 according to the second embodiment determines whether or not the connection of the setting device 205 to the connector 217 has been detected (step S71). When the connection is not detected (S71: NO), the processing unit 10 stands by until the connection is detected.
  • the processing unit 10 executes the authentication program 218a stored in the ROM 218 and uses the authentication information 218b stored in the ROM 218 to communicate with the setting device 205. Then, the authentication process is performed (step S72). The processing unit 10 determines whether or not the authentication process is successful (step S73). If the authentication process is not successful (S73: NO), the processing unit 10 notifies the setting device 205 of an error (step S74), and ends the process.
  • the processing unit 10 receives an operation by detecting the presence / absence of an operation on the operation unit 252 of the setting device 205 (step S75). The processing unit 10 determines whether or not the received operation is an operation mode switching operation (step S76). If it is a switching operation (S76: YES), the processing unit 10 performs mode switching from the restriction mode to the full control mode or from the full control mode to the restriction mode in accordance with the accepted operation content (step S77). The process returns to S75. When the received operation is not a switching operation (S76: NO), the processing unit 10 performs other processing according to the received operation content, such as writing a value to the register group 16 of the CAN controller 15 (step S76). S78), the process returns to step S75.
  • the ECU 201 according to the second embodiment having the above configuration switches between the restriction mode and the full control mode when an explicit mode switching operation is performed. This makes it possible to write a value to the register group 16 of the CAN controller 15 when testing, manufacturing, or maintaining the vehicle, for example.
  • the ECU 201 includes a connector 217 for connecting the setting device 205 via the communication line 206.
  • the setting device 205 is provided with an operation unit 252 and can perform an operation related to mode switching of the ECU 201.
  • the ECU 201 can accept an operation performed on the operation unit 252 of the setting device 205 via the connector 217, and can perform mode switching according to the accepted operation.
  • the ECU 201 performs an authentication process with the setting device 205 connected to the connector 217.
  • the ECU 201 accepts an operation related to mode switching only when the authentication process is successful. This makes it difficult to rewrite the value for the register group 16 of the CAN controller 15 using an external device connected to the connector 217.
  • the ECU 201 is not provided with the mask ROM and the boot program 11a is stored in the EEPROM 12.
  • the present invention is not limited to this.
  • the ECU 201 may include a mask ROM 11 that stores the boot program 11a.
  • the ECU 201 performs both the mode switching after the elapse of a predetermined period from the activation described in the first embodiment and the mode switching based on the switching operation by the setting device 205 described in the second embodiment. It is good also as a structure.
  • the ECU 201 may be configured to perform authentication processing in response to connection detection of the setting device 205 and automatically switch from the restriction mode to the full control mode when the authentication processing is successful.
  • an operation of connecting the setting device 205 to the ECU 201 corresponds to an explicit operation for mode switching.
  • the program that accepts the mode switching operation after the authentication process may be the authentication program 218a or another program. However, it is preferable that a program for accepting a mode switching operation and performing mode switching is stored in the ROM 218.
  • the ECU 201 is configured to connect the setting device 205 to the connector 217 via the communication line 206, but is not limited thereto.
  • the ECU 201 may be configured to perform wireless communication with the setting device 205.
  • an operation unit may be provided in the ECU 201 to accept a mode switching operation.
  • ECU communication device
  • CAN bus 3
  • Sensor 4 Actuator 10
  • Processing unit 11
  • Mask ROM (first storage unit)
  • Boot program (communication restriction program)
  • EEPROM (second storage unit)
  • Application program 13 RAM
  • Input / output unit 15
  • CAN controller (communication unit, regulating unit, limiting unit)
  • registers multiple registers
  • ECU communication device
  • Setting device external device
  • connection part 218 ROM
  • Authentication program 218b

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Mechanical Engineering (AREA)
  • Small-Scale Networks (AREA)
  • Communication Control (AREA)
  • Storage Device Security (AREA)
  • Stored Programmes (AREA)

Abstract

不正なプログラムの注入によるネットワークへの不正なメッセージ送信を抑制し得る通信装置及び通信制限プログラムを提供する。　ＥＣＵ１は、他のＥＣＵ１との通信に係る値を格納するレジスタ群１６を有するＣＡＮコントローラ１５と、このレジスタ群１６に対する値の書き込み及び読み出しを行って通信処理を行う処理部１０とを備える。ＥＣＵ１は、ＣＡＮコントローラ１５のレジスタ群１６に対する書き込み及び読み出しが可能なフルコントロールモードと、レジスタ群１６のうちの一部のレジスタに対する書き込み及び読み出しを制限した制限モードとの切り替えを行う。ＥＣＵ１は、起動から所定期間をフルコントロールモードとし、所定期間の経過後にフルコントロールモードから制限モードへの切り替えを行う。制限モードへの切り替えを行った後は、ＥＣＵ１はフルコントロールモードへの切り替えを行わない。

Description

通信装置及び通信制限プログラム
　本発明は、ネットワークに対する不正なメッセージの送信を防止する通信装置及び通信制限プログラムに関する。
　近年、車両に搭載されるＥＣＵ（Electronic Control Unit）は高機能化しており、これに伴ってＥＣＵにて実行されるプログラムも複雑化している。また車両には複数のＥＣＵが搭載され、これらがＣＡＮ（Controller Area Network）などのネットワークを介して接続されている。複数のＥＣＵは、ネットワークを介して情報を交換しながら処理を進めている。
　特許文献１においては、ＣＡＮシステムの第１ノードがフレームの受信に失敗してエラーパッシブ状態となっている場合に再送要求フレームを送信し、第２ノードがＣＡＮバスに対して送信されたフレームを記憶しておき、再送が要求されたフレームを第１ノードへ再送することにより、耐障害性の向上を目指したＣＡＮシステムが記載されている。
　特許文献２においては、ＣＡＮコントローラがフレームの入力からＣＡＮバスへの送信開始までの送信レイテンシを計測し、このフレームに送信レイテンシに関する情報を含めて送信を行うと共に、このフレームを受信したＣＡＮコントローラが送信レイテンシに応じて実行すべき処理を決定する構成とすることにより、フレームの受信側における誤動作を防止することを目的とした通信システムが記載されている。
特開２０１４－８６８１２号公報 特開２０１１－１０３５７７号公報
K. Koscher, A. Czeskis, F. Roesner, S. Patel, T. Kohno, S. Checkoway, D. McCoy, B. Kantor, D. Anderson, H. Shacham, and S. Savage. Experimental security analysis of a modern automobile. In Proc. of the IEEE Symposium on Security and Privacy, pages 447-462, 2010.
　しかしながら非特許文献１においては、ＥＣＵに不正なプログラムを注入することによって、車両内のネットワークへ不正なメッセージ送信を行うことが可能であることが報告されている。不正なプログラムによる不正なメッセージ送信が行われることにより、ネットワークに接続された他のＥＣＵに誤動作などが発生する虞がある。このような不正なメッセージ送信に対しては、特許文献１に記載のＣＡＮシステム及び特許文献２に記載の通信システムでは有効な対策となり得なかった。
　本発明は、斯かる事情に鑑みてなされたものであって、その目的とするところは、不正なプログラムの注入によるネットワークへの不正なメッセージ送信を抑制し得る通信装置及び通信制限プログラムを提供することにある。
　本発明に係る通信装置は、他装置との通信に係る値を格納する複数のレジスタを有する通信部と、該通信部のレジスタに対する値の書き込み及び読み出しを行って通信処理を行う処理部とを備える通信装置において、前記複数のレジスタのうちの一部のレジスタに対する値の書き込み又は読み出しが制限されていることを特徴とする。
　また、本発明に係る通信装置は、前記複数のレジスタに対する値の書き込み及び読み出しが可能な第１モードと、前記複数のレジスタのうちの一部のレジスタに対する値の書き込み又は読み出しを制限した第２モードとを切り替える切替部を備えることを特徴とする。
　また、本発明に係る通信装置は、前記切替部は、前記第１モードから前記第２モードへの切替を行った後、前記第２モードから前記第１モードへの切り替えを行わないようにしてあることを特徴とする。
　また、本発明に係る通信装置は、前記切替部が、自装置の起動から所定期間を前記第１モードとし、前記所定期間の経過後に前記第１モードから前記第２モードへの切替を行い、該切替後は前記第２モードから前記第１モードへの切り替えを行わないようにしてあることを特徴とする。
　また、本発明に係る通信装置は、前記第２モードにおいて書き込みが制限されるレジスタに値を書き込むプログラムを記憶した記憶部を備え、前記処理部は、自装置の起動後に前記プログラムを実行し、前記切替部は、前記プログラムを前記処理部が実行する期間を前記所定期間として切り替えを行うようにしてあることを特徴とする。
　また、本発明に係る通信装置は、前記複数のレジスタには、前記通信部が他装置へ送信するメッセージを格納する複数の送信メッセージ格納用レジスタを含み、前記第２モードにおいて前記複数の送信メッセージ格納用レジスタのうちの一又は複数の送信メッセージ格納用レジスタに対する書き込みを制限するようにしてあることを特徴とする。
　また、本発明に係る通信装置は、前記複数のレジスタには、前記送信メッセージ格納用レジスタに格納されたメッセージを前記通信部が送信する周期の設定を格納する送信周期設定用レジスタを含み、前記送信周期設定用レジスタに格納された周期の設定よりも短い周期でのメッセージ送信を規制する規制部を備えることを特徴とする。
　また、本発明に係る通信装置は、前記メッセージには、該メッセージを識別するための識別情報を含み、前記複数のレジスタには、該送信メッセージ格納用レジスタへの格納を許可する識別情報の設定を格納する識別情報設定用レジスタを含み、前記識別情報設定用レジスタに格納された識別情報以外のメッセージの前記送信メッセージ格納用レジスタへの格納を制限する制限部を備えることを特徴とする。
　また、本発明に係る通信装置は、前記第１モード及び前記第２モードの切り替えに係る操作を受け付ける操作受付部を更に備え、前記切替部は、前記操作受付部が受け付けた操作に応じて切り替えを行うようにしてあることを特徴とする。
　また、本発明に係る通信装置は、外部装置を接続する接続部を更に備え、前記操作受付部は、前記接続部に接続された外部装置に対してなされた操作を、前記接続部を介して受け付けるようにしてあることを特徴とする。
　また、本発明に係る通信装置は、前記接続部に接続された外部装置との間で認証処理を行う認証処理部を更に備え、前記操作受付部は、前記認証処理部による認証処理に成功した場合に、操作受付を行うようにしてあることを特徴とする。
　また、本発明に係る通信装置は、他装置との通信に係る値を格納する複数のレジスタを有する通信部と、該通信部のレジスタに対する値の書き込み及び読み出しを行って通信処理を行う処理部とを備える通信装置において、前記複数のレジスタに対する値の書き込み及び読み出しが可能な第１モード、並びに、前記複数のレジスタのうちの一部のレジスタに対する値の書き込み又は読み出しを制限した第２モードを切り替える切替部を備え、前記処理部は、前記第２モードにおいて書き込みが制限されるレジスタに対して値を書き込み、該レジスタに対する値の書き込み後に、前記切替部により前記第１モードから前記第２モードへの切り替えを行わせるようにしてあることを特徴とする。
　また、本発明に係る通信制限プログラムは、他装置との通信に係る値を格納する複数のレジスタを有する通信部と、該通信部のレジスタに対する値の書き込み及び読み出しを行って通信処理を行う処理部と、前記複数のレジスタに対する値の書き込み及び読み出しが可能な第１モード、並びに、前記複数のレジスタのうちの一部のレジスタに対する値の書き込み又は読み出しを制限した第２モードを切り替える切替部を備える通信装置を、前記第２モードにおいて書き込みが制限されるレジスタに対して値を書き込む手段と、該レジスタに対する値の書き込み後に、前記切替部により前記第１モードから前記第２モードへの切り替えを行わせる手段として動作させることを特徴とする。
　本発明において通信装置は、他装置との通信に係る値を格納する複数のレジスタを有する通信部と、このレジスタに対する値の書き込み及び読み出しを行って通信処理を行う処理部とを備える。例えばＣＡＮプロトコルに従った通信を行う通信装置の場合、通信部をＣＡＮコントローラとし、処理部をＣＰＵ（Central Processing Unit）などとすることができる。ただし本発明の適用はＣＡＮプロトコルに限定されるものではなく、これ以外の有線又は無線の種々の通信プロトコルに適用することができる。
　本発明においては、通信部のレジスタに対する書き込み及び読み出しが可能な第１モードと、これらのうちの一部のレジスタに対する書き込み及び読み出しを制限した第２モードとの切り替えを行う。通信装置の起動から所定期間を第１モードとし、所定期間の経過後に第１モードから第２モードへの切り替えを行う。第２モードへの切り替えを行った後は、第１モードへの切り替えは行わない。
　これにより、通信装置の起動から所定期間の経過後は、通信部の一部のレジスタに対する書き込み及び読み出しが制限された状態となる。このような通信に関するリソースの使用を制限することによって、通信装置に注入された不正なプログラムによる通信リソースの不正な使用を制限することができる。
　また本発明においては、通信装置の起動後に処理部が実行する第１プログラムを記憶した第１記憶部と、第１プログラムの実行後に処理部が実行する第２プログラムを記憶した第２記憶部とを通信装置が備える。第１モード及び第２モードの切り替えは、第１プログラムを処理部が実行する期間を上記の所定期間として行う。即ち、第１プログラムの実行は第１モードで行われ、第２プログラムの実行は第２モードで行われる。これにより、通信部のレジスタの使用に制限のない第１モードでの動作を、第１記憶部に記憶した第１プログラムの実行期間に限定することができる。不正なプログラムが第２記憶部に注入された場合であっても、第２記憶部に記憶された不正プログラムの実行は、通信部のレジスタの使用が制限された第２モードで行われる。
　また本発明においては、第１記憶部を記憶内容の書き換えが不可能な構成とする。例えば、第１記憶部をマスクＲＯＭ（Read Only Memory）などの書き換え不可能なメモリ素子を用いて構成する。これにより第１記憶部には不正なプログラムを注入することが不可能となり、不正なプログラムが第１モードで実行されることがなくなる。
　また本発明においては、第１プログラムの実行により、第２モードにて書き込み及び読み出しを制限するレジスタをいずれとするかの設定を行う。これにより第２モードにて使用を制限するレジスタを自装置の処理内容などに適したものに設定することができると共に、使用を制限するレジスタを可変とすることで通信部の汎用性を高めることができる。
　また本発明においては、通信部の複数のレジスタに、他装置へ送信するメッセージを格納するための複数の送信メッセージ格納用レジスタを含む。処理部は、他装置へ送信するメッセージを通信部の送信メッセージ格納用レジスタに格納することによって、このメッセージの送信を行うことができる。第２モードにおいては、複数の送信メッセージ格納用レジスタのうちの一又は複数に対する書き込み及び読み出しを制限する。これにより不正なプログラムによる送信メッセージ格納用レジスタの使用を制限することができ、不正なメッセージ送信を制限することができる。
　また本発明においては、通信部の複数のレジスタに、送信メッセージ格納用レジスタに格納されたメッセージを通信部が送信する周期の設定を格納する送信周期設定用レジスタを含む。通信部によるメッセージ送信は、送信周期設定用レジスタに設定された周期より短い周期で行うことが制限され、設定された周期より長い周期でしか行うことができない。これにより通信装置によるメッセージ送信の最低周期を定めることができ、この周期より短い周期で不正なプログラムが頻繁にメッセージ送信を繰り返すことを防止できる。
　また本発明においては、通信装置が送受信するメッセージには、このメッセージを識別する識別情報を含む。識別情報は、例えばＣＡＮプロトコルにおいてメッセージに付されるＣＡＮ－ＩＤとすることができる。通信部の複数のレジスタには、送信メッセージ格納用レジスタへの格納を許可するメッセージの識別情報に関する設定を格納する識別情報設定用レジスタを含む。通信部の送信メッセージ格納用レジスタに対するメッセージの格納は、識別情報設定用レジスタに設定された識別情報が付されたメッセージのみに限定し、これ以外の識別情報が付されたメッセージの格納を制限する。これにより通信装置が送信するメッセージの種別などを識別情報により制限することができ、不正なプログラムが不正な識別情報を付したメッセージを送信することを防止できる。
　また本発明においては、明示的なモード切替の操作が行われた場合には、第１モード及び第２モードの切り替えを行う。これにより、例えば車両の試験、製造又は整備等の際にレジスタに対する値の書き込みを行うことが可能となる。
　また本発明においては、通信装置に外部装置を接続することが可能な接続部を設ける。外部装置にはスイッチ又はタッチパネル等による操作部が設けられ、通信装置のモード切替に関する操作を行うことができる。通信装置は、外部装置にてなされた操作を、接続部を介して受け付け、受け付けた操作に応じてモード切替を行うことができる。
　また本発明においては、通信装置及び外部装置の間で認証処理を行う。通信装置は、認証処理に成功した場合にのみ、モード切替に係る操作の受け付けを行う。これにより、接続部に接続された外部装置によるレジスタの値の書き換えが困難化される。
　本発明による場合は、他装置とのメッセージ送受信を行う通信部のレジスタの使用を制限することにより、不正なプログラムの注入によるネットワークへの不正なメッセージ送信を抑制することができる。
本実施の形態に係る通信システムの構成を示すブロック図である。 レジスタ群の一構成例を示す模式図である。 ＥＣＵの処理部が起動時に行う処理の手順を示すフローチャートである。 ＥＣＵのＣＡＮコントローラが行うモード切替処理の手順を示すフローチャートである。 ＣＡＮコントローラが行う制限処理の手順を示すフローチャートである。 ＣＡＮコントローラが行う制限処理の手順を示すフローチャートである。 ＣＡＮコントローラが行う制限処理の手順を示すフローチャートである。 実施の形態２に係る通信システムの構成を示すブロック図である。 実施の形態２に係るＥＣＵが行うモード切替処理の手順を示すフローチャートである。
（実施の形態１）
　以下、本発明をその実施の形態を示す図面に基づき具体的に説明する。図１は、本実施の形態に係る通信システムの構成を示すブロック図である。本実施の形態に係る通信システムは、図示しない車両に搭載された複数のＥＣＵ（通信装置）１がＣＡＮバス２に接続され、このＣＡＮバス２を介して複数のＥＣＵ１が通信を行う構成である。なお複数のＥＣＵ１は通信機能に関して略同じ構成であるため、図１においては一つのＥＣＵ１について詳細構成を示し、他のＥＣＵ１については詳細構成の図示を省略してある。
　ＥＣＵ１は、処理部１０、マスクＲＯＭ（第１記憶部）１１、ＥＥＰＲＯＭ（第２記憶部）１２、ＲＡＭ１３、入出力部１４及びＣＡＮコントローラ（通信部）１５等を備えて構成されている。処理部１０は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro-Processing Unit）等の演算処理装置を用いて構成されている。処理部１０は、マスクＲＯＭ１１に記憶されたブートプログラム１１ａ及びＥＥＰＲＯＭ１２に記憶されたアプリケーションプログラム１２ａ等を読み出して実行することにより、種々の演算処理及び制御処理等を行う。
　マスクＲＯＭ１１は、記憶されている情報（プログラム及びデータ等）を書き換えることができない不揮発性のメモリ素子である。本実施の形態においてマスクＲＯＭ１１には、処理部１０が実行するブートプログラム１１ａが予め記憶されている。ブートプログラム１１ａは、ＥＣＵ１の起動後に処理部１０によって最初に実行されるプログラムである。処理部１０は、ブートプログラム１１ａを実行することにより、ＥＣＵ１が有するハードウェア及びソフトウェアのリソースの初期化並びに動作条件の設定等の処理を行う。なおＥＣＵ１の起動には、ＥＣＵ１に対する電力供給が開始され、例えばパワーオンリセットの解除などがなされて各部の動作が開始されること、及び、例えばユーザがリセットスイッチなどに対する操作を行うことによってＥＣＵ１の動作を初期化し、その後にリセットが解除されて各部の動作が開始されること（いわゆる再起動）等を含む。
　ＥＥＰＲＯＭ１２は、データ書き換えが可能な不揮発性のメモリ素子である。本実施の形態においてＥＥＰＲＯＭ１２には、処理部１０が実行するアプリケーションプログラム１２ａが記憶される。アプリケーションプログラム１２ａは、各ＥＣＵ１に特有の機能を実現するための処理を行うプログラムであり、例えばバージョンアップ又は不具合の修正等によりプログラムの一部又は全部が書き換えられ得る。処理部１０は、起動後にブートプログラム１１ａの処理を行い、その後にアプリケーションプログラム１２ａの処理を行う。
　ＲＡＭ１３は、例えばＳＲＡＭ（Static Random Access Memory）又はＤＲＡＭ（Dynamic Random Access Memory）等の揮発性のメモリ素子である。ＲＡＭ１３は、処理部１０の処理過程において発生した各種のデータを一時的に記憶する。
　入出力部１４は、例えば車両に搭載された各種のセンサ３などから入力される信号の受け付け、及び、各種のアクチュエータ４などへの制御信号などの出力等を行う。入出力部１４は、センサ３及びアクチュエータ４等と信号線を介してそれぞれ接続され、この信号線を介して信号の入出力を行う。入出力部１４は、例えばセンサ３からのアナログの入力信号をサンプリングしてデジタルのデータに変換して処理部１０へ与える。また入出力部１４は、処理部１０から与えられた制御命令に応じてアクチュエータ４に対する制御信号を出力する。なおＥＣＵ１は、センサ３及びアクチュエータ４等との間の信号入出力の両機能を備えている必要はなく、入力又は出力のいずれか一方のみの機能を備える構成であってもよく、入出力の機能を備えていない構成であってもよい。
　ＣＡＮコントローラ１５は、処理部１０の制御に応じて、車両に搭載された他のＥＣＵ１との間でＣＡＮバス２を介したメッセージの送受信を行う。ＣＡＮコントローラ１５は、例えば処理部１０から与えられた送信用のメッセージをＣＡＮプロトコルに従ったドミナント／レセシブの２値信号としてＣＡＮバス２へ出力することにより、メッセージ送信を行う。ＣＡＮコントローラ１５は、ＣＡＮバス２の電位をサンプリングすることでＣＡＮバス２上の信号を取得し、メッセージの受信を行う。処理部１０は、ＣＡＮコントローラ１５が受信したメッセージを取得して処理を行うことができる。またＣＡＮコントローラ１５は、ＣＡＮバス２へのメッセージ送信の衝突検知、及び、衝突が発生した場合のメッセージ送信順位の調停処理等を行う。
　また本実施の形態に係るＣＡＮコントローラ１５は、レジスタ群１６を有している。図２は、レジスタ群１６の一構成例を示す模式図である。本実施の形態に係るＣＡＮコントローラ１５が有するレジスタ群１６には、例えばモードレジスタ、送信要求レジスタ１～４、送信キャンセルレジスタ１～４、送信完了レジスタ１～４、送信キャンセル完了レジスタ１～４、受信完了レジスタ１～４、送信メッセージ格納用レジスタ１～４、送信許可設定用レジスタ１～４、送信周期設定用レジスタ１～４、送信識別情報設定用レジスタ１～４、受信メッセージ格納用レジスタ１～４、受信許可設定用レジスタ１～４、及び、受信識別情報設定用レジスタ１～４等の複数のレジスタを含んでいる。なお図２に示すレジスタは一例であって、これに限るものではなく、ＣＡＮコントローラ１５は図示しない種々のレジスタを有していてよく、図示したレジスタのいくつかを有していない構成であってもよい。また図２においては、レジスタに対する読み出しのみが可能であるものを”Ｒ可”と示し、読み出し及び書き込みが可能であるものを”Ｒ／Ｗ可”と示し、読み出し及び書き込みが不可能であるものを”Ｒ／Ｗ不可”と示してある。
　ＣＡＮコントローラ１５のレジスタ群１６は、一次元のアドレスが各レジスタに付されている。図示の例では、１６進数で０ｘ０００～０ｘ０３０のアドレスが各レジスタに対して付されている。処理部１０は、アドレスを指定して読出命令をＣＡＮコントローラ１５に対して与えることにより、アドレスで指定されたレジスタに格納された値の読み出しを行うことができる。また処理部１０は、アドレス及びデータを指定して書込命令をＣＡＮコントローラ１５に対して与えることにより、アドレスで指定されたレジスタに対するデータの書き込みを行うことができる。ただし本実施の形態においては、レジスタに対する値の読み出しのみが許可されている場合、並びに、レジスタに対する読み出し及び書き込みが共に許可されていない場合があり、このようなレジスタに対する読出命令又は書き込み命令に対してＣＡＮコントローラ１５は処理部１０へエラーを通知する。
　また、本実施の形態に係るＣＡＮコントローラ１５は、フルコントロールモード及び制限モードの２種の動作モードで動作する。フルコントロールモードは、レジスタ群１６の全てのレジスタに対するアクセス（読み出しのみ可能なレジスタに対しては読み出し、読み出し及び書き込みが可能レジスタに対しては読み出し及び書き込み）を処理部１０が行うことができるモードである。これに対して制限モードは、レジスタ群１６の一部のレジスタに対する処理部１０のアクセスが制限され（不可能となり）、許可されたレジスタへのアクセスのみを行うことができるモードである。ＥＣＵ１の起動直後、即ちＣＡＮコントローラ１５の起動直後には、ＣＡＮコントローラ１５はフルコントロールモードで動作する。
　レジスタ群１６のモードレジスタは、ＣＡＮコントローラ１５の動作モードの切り替えを行うためのレジスタである。処理部１０がモードレジスタに対して所定の値を書き込むことによって、ＣＡＮコントローラ１５の動作モードがフルコントロールモードから制限モードへ切り替えられる。また制限モードにおいては、モードレジスタに対する値の書き込みを行うことができない。このため、処理部１０は、ＣＡＮコントローラ１５の動作モードをフルコントロールモードから制限モードへ切り替えることはできるが、制限モードからフルコントロールモードへ切り替えることはできない。
　ＣＡＮコントローラ１５は、他のＥＣＵ１へ送信するメッセージを格納するための４つのレジスタ（送信メッセージ格納用レジスタ１～４）を有している。処理部１０は、送信メッセージ格納用レジスタ１～４のいずれかにメッセージを書き込み、更に対応する送信要求レジスタ１～４へ送信要求を書き込むことによって、ＣＡＮコントローラ１５に対してメッセージ送信を行わせることができる。また処理部１０は、対応する送信キャンセルレジスタ１～４へキャンセル要求を書き込むことによって、メッセージ送信の完了前に送信をキャンセルすることができる。
　レジスタ群１６の送信完了レジスタ１～４及びキャンセル完了レジスタ１～４は、ＣＡＮコントローラ１５が値を書き込むレジスタである。ＣＡＮコントローラ１５は、処理部１０の送信要求に応じてメッセージ送信を行い、送信を完了した場合に対応する送信完了レジスタ１～４に対して送信完了を示す値を書き込む。またＣＡＮコントローラ１５は、処理部１０のキャンセル要求に応じてメッセージ送信を中断し、中断に成功した場合にキャンセル完了レジスタ１～４にキャンセル完了を示す値を書き込む。ただしメッセージ送信を中断することができなかった場合、ＣＡＮコントローラ１５は、キャンセル完了レジスタ１～４にキャンセル失敗を示す値を書き込む。処理部１０は、送信完了レジスタ１～４及びキャンセル完了レジスタ１～４の値を読み出すことによって、送信要求及びキャンセル要求に対する処理結果を確認することができる。
　また本実施の形態において４つの送信メッセージ格納用レジスタ１～４は、フルコントロールモードでの動作時には処理部１０が全てを使用することができるが、制限モードでの動作時にはその一部の使用が制限される。レジスタ群１６の送信許可設定用レジスタ１～４は、各送信メッセージ格納用レジスタ１～４について制限モードでの使用を許可するか否かの設定を格納するためのレジスタである。ＣＡＮコントローラ１５がフルコントロールモードで動作している際に、処理部１０が送信許可設定用レジスタ１～４のいずれかに対してレジスタの使用を許可しない旨の値を書き込むことによって、制限モードへの切替後には対応する送信メッセージ格納用レジスタ１～４に対する読み出し及び書き込みが不可能となる。送信許可設定用レジスタ１～４は、フルコントロールモードにおいて読み出し及び書き込みを行うことができるが、制限モードにおいて読み出し及び書き込みを行うことはできず、設定を変更することができない。
　例えば、本実施の形態に係るＥＣＵ１は、送信許可設定用レジスタ１に対して使用を許可する旨の情報を書き込み、送信許可設定レジスタ２～４に対して使用を許可しない旨の情報を書き込む。これによりフルコントロールモードから制限モードへ切り替えられた後、ＥＣＵ１は、送信メッセージ格納用レジスタ１を用いたメッセージ送信を行うことはできるが、送信メッセージ格納用レジスタ２～４を用いたメッセージ送信を行うことができなくなる。
　また本実施の形態においてＣＡＮコントローラ１５は、送信メッセージ格納用レジスタ１～４に格納されたメッセージの送信を行うことができる周期が、送信メッセージ格納用レジスタ１～４毎に定められている。ＣＡＮコントローラ１５は、前回のメッセージ送信を終えた後、定められた所定期間（最低送信間隔）が経過するまで、対応する送信メッセージ格納用レジスタ１～４に関する処理部１０からの送信要求を受け付けない。レジスタ群１６の送信周期設定用レジスタ１～４は、各送信メッセージ格納用レジスタ１～４についてこの所定期間を送信周期として設定を格納するためのレジスタである。ＣＡＮコントローラ１５がフルコントロールモードで動作している際に、処理部１０が送信周期設定用レジスタ１～４のいずれかに対して送信周期の設定を書き込むことによって、上述のような送信周期によるメッセージ送信の制限が実施される。なおＣＡＮコントローラ１５は、動作モードに関わらず設定された送信周期によるメッセージ送信の制限を行ってもよく、制限モードにおいてのみ制限を行ってもよい。送信周期設定用レジスタ１～４は、フルコントロールモードにおいて読み出し及び書き込みを行うことができるが、制限モードにおいて書き込みを行うことはできず、設定を変更することができない。なお送信周期設定用レジスタ１～４は、制限モードにおいて、書き込みのみでなく読み出しをも制限する構成としてもよい。
　例えば、本実施の形態に係るＥＣＵ１は、送信周期設定用レジスタ１に対して送信周期を１００ｍｓとする設定を書き込む。なお送信メッセージ格納用レジスタ２～３の使用を許可しない場合には、送信周期設定用レジスタ２～４の設定を行わなくてもよい。制限モードへ切り替えられた後、ＣＡＮコントローラ１５は、送信を行う毎に内部のタイマ機能により送信からの経過時間を計時し、前回のメッセージ送信から設定された１００ｍｓが経過するまで、処理部１０からの送信要求を受け付けない。なおＣＡＮコントローラ１５は、送信メッセージ格納用レジスタ１～４毎に個別に経過時間の計時を行うことができる。
　また本実施の形態において４つの送信メッセージ格納用レジスタ１～４は、格納することができるメッセージのＣＡＮ－ＩＤが送信メッセージ格納用レジスタ１～４毎に定められている。ＣＡＮコントローラ１５は、処理部１０から送信メッセージ格納用レジスタ１～４へのメッセージの書込要求が与えられた場合、メッセージに含まれるＣＡＮ－ＩＤが、書き込もうとする送信メッセージ格納用レジスタ１～４に対して定められたＣＡＮ－ＩＤである場合にのみ、処理部１０から与えられたメッセージを送信メッセージ格納用レジスタ１～４へ書き込む。レジスタ群１６の送信識別情報設定用レジスタ１～４は、対応する送信メッセージ格納用レジスタ１～４に格納できるメッセージのＣＡＮ－ＩＤを設定するためのレジスタである。ＣＡＮコントローラ１５がフルコントロールモードで動作している際に、処理部１０が送信識別情報設定用レジスタ１～４のいずれかに対してＣＡＮ－ＩＤの設定を書き込むことによって、上述のようなＣＡＮ－ＩＤによるメッセージ格納の制限が実施される。なおＣＡＮコントローラ１５は、動作モードに関わらず設定されたＣＡＮ－ＩＤによるメッセージ格納の制限を行ってもよく、制限モードにおいてのみ制限を行ってもよい。送信識別情報設定用レジスタ１～４は、フルコントロールモードにおいて読み出し及び書き込みを行うことができるが、制限モードにおいて読み出し及び書き込みを行うことはできず、設定を変更することができない。
　例えば、本実施の形態に係るＥＣＵ１は、送信識別情報設定用レジスタ１にＣＡＮ－ＩＤとして”００１０”の値を書き込む。なお送信メッセージ格納用レジスタ２～４の使用を許可しない場合には、送信識別情報設定用レジスタ２～４の設定を行わなくてもよい。制限モードへ切り替えられた後、ＣＡＮコントローラ１５は、送信メッセージ格納用レジスタ１に対してメッセージを書き込む要求が処理部１０から与えられた場合、このメッセージに付されたＣＡＮ－ＩＤが”００１０”である場合にのみ、送信メッセージ格納用レジスタ１にメッセージを格納する。
　また、ＣＡＮコントローラ１５は、他のＥＣＵ１から受信したメッセージを格納するための４つのレジスタ（受信メッセージ格納用レジスタ１～４）を有している。ＣＡＮコントローラ１５は、他のＥＣＵ１からメッセージを受信した場合、この受信メッセージ格納用レジスタ１～４のいずれかにメッセージを書き込むとともに、対応する受信完了レジスタ１～４に受信完了を示す情報を書き込む。処理部１０は、受信完了レジスタ１～４の値を定期的に読み出してチェックすることにより、他のＥＣＵ１～のメッセージを受信したか否かを判定し、メッセージを受信した場合に受信メッセージ格納用レジスタ１～４からメッセージを読み出すことができる。
　また本実施の形態において４つの受信メッセージ格納用レジスタ１～４は、フルコントロールモードでの動作時には処理部１０が全てを使用することができるが、制限モードでの動作時にはその一部の使用が制限される。レジスタ群１６の受信許可設定用レジスタ１～４は、各受信メッセージ格納用レジスタ１～４について制限モードでの使用を許可するか否かの設定を格納するためのレジスタである。ＣＡＮコントローラ１５がフルコントロールモードで動作している際に、受信許可設定用レジスタ１～４のいずれかに対してレジスタの使用を許可しない旨の値を書き込むことによって、制限モードへの切替後には対応する受信メッセージ格納用レジスタ１～４に対する読み出し及び書き込みが不可能となる。受信許可設定用レジスタ１～４は、フルコントロールモードにおいて読み出し及び書き込みを行うことができるが、制限モードにおいて書き込みを行うことはできず、設定を変更することができない。なお受信許可設定用レジスタ１～４は、制限モードにおいて、書き込みのみでなく読み出しをも制限する構成としてもよい。
　例えば、本実施の形態に係るＥＣＵ１は、受信許可設定用レジスタ１，２に対して使用を許可する旨の情報を書き込み、受信許可設定レジスタ３，４に対して使用を許可しない旨の情報を書き込む。これによりフルコントロールモードから制限モードへ切り替えられた後、ＥＣＵ１は、受信メッセージ格納用レジスタ１，２を用いたメッセージ受信を行うことはできるが、受信メッセージ格納用レジスタ３，４を用いたメッセージ受信を行うことができなくなる。
　また本実施の形態において４つの受信メッセージ格納用レジスタ１～４は、格納することができるメッセージのＣＡＮ－ＩＤがメッセージ格納用レジスタ１～４毎に定められている。ＣＡＮコントローラ１５は、他のＥＣＵ１からのメッセージを受信した場合、受信メッセージに含まれるＣＡＮ－ＩＤが受信メッセージ格納用レジスタ１～４に対して定められたＣＡＮ－ＩＤである場合にのみ、この受信メッセージを対応する受信メッセージ格納用レジスタ１～４へ書き込む。レジスタ群１６の受信識別情報設定用レジスタ１～４は、対応する受信メッセージ格納用レジスタ１～４に格納できるメッセージのＣＡＮ－ＩＤを設定するためのレジスタである。ＣＡＮコントローラ１５がフルコントロールモードで動作している際に、処理部１０が受信識別情報設定用レジスタ１～４のいずれかに対してＣＡＮ－ＩＤの設定を書き込むことによって、上述のようなＣＡＮ－ＩＤによるメッセージ格納の制限が実施される。なおＣＡＮコントローラ１５は、動作モードに関わらず設定されたＣＡＮ－ＩＤによるメッセージ格納の制限を行ってもよく、制限モードにおいてのみ制限を行ってもよい。受信識別情報設定用レジスタ１～４は、フルコントロールモードにおいて読み出し及び書き込みを行うことができるが、制限モードにおいて読み出し及び書き込みを行うことはできず、設定を変更することができない。
　例えば、本実施の形態に係るＥＣＵ１は、受信識別情報設定用レジスタ１にＣＡＮ－ＩＤとして”００１２”の値を書き込み、受信識別情報設定用レジスタ２に”００２０”の値を書き込む。なお受信メッセージ格納用レジスタ３，４の使用を許可しない場合には、受信識別情報設定用レジスタ３，４の設定を行わなくてもよい。制限モードへ切り替えられた後、ＣＡＮコントローラ１５は、他のＥＣＵ１からのメッセージを受信した場合、受信メッセージに含まれるＣＡＮ－ＩＤが”００１２”又は”００２０”である場合にのみメッセージを受信メッセージ格納用レジスタ１，２に格納する。これら以外のＣＡＮ－ＩＤのメッセージを受信した場合、ＣＡＮコントローラ１５は、受信メッセージを破棄する。
　このように、本実施の形態に係るＣＡＮコントローラ１５は、制限モードにおいてレジスタ群１６に対するアクセスの制限を行う。ＥＣＵ１の起動直後、ＣＡＮコントローラ１５はフルコントロールモードで動作を開始する。このとき処理部１０はマスクＲＯＭ１１に記憶されたブートプログラム１１ａを読み出して実行する。このときにブートプログラム１１ａを実行している処理部１０は、ＣＡＮコントローラ１５のレジスタ１６に対するアクセスを制限なしで行うことができる。ブートプログラム１１ａは、ＥＣＵ１の初期設定などを行うためのプログラムであり、これを実行することによって処理部１０は、ＣＡＮコントローラ１５のレジスタ群１６に対するアクセス制限に条件設定を行う。即ちブートプログラム１１ａの実行により処理部１０は、送信許可設定レジスタ１～４に対する送信メッセージ格納用レジスタ１～４の使用可否の設定、送信周期設定用レジスタ１～４に対する送信周期の設定、送信識別情報設定用レジスタ１～４に対するＣＡＮ－ＩＤの設定、受信許可設定レジスタ１～４に対する受信メッセージ格納用レジスタ１～４の使用可否の設定、及び、受信識別情報設定用レジスタ１～４に対するＣＡＮ－ＩＤの設定等を行う。
　これらのレジスタに対する設定を終えた後、ブートプログラム１１ａを実行する処理部１０は、モードレジスタに対する書き込みを行ってＣＡＮコントローラ１５の動作モードをフルコントロールモードから制限モードへ切り替える。制限モードへの切替完了後、処理部１０は、ブートプログラム１１ａの実行を終了し、ＥＥＰＲＯＭ１２に記憶されたアプリケーションプログラム１２ａの実行を開始する。アプリケーションプログラム１２ａの実行中は、ＣＡＮコントローラ１５は制限モードで動作するため、レジスタ群１６に対するアクセス制限が行われる。ＣＡＮコントローラ１５は、制限モードへ切り替えられた後、フルコントロールモードへの切り替えを行うことはできない。例えばＥＣＵ１が電源オフ状態となった後に電源を再投入された場合、又は、リセット操作などがなされて再起動された場合等にのみ、ＣＡＮコントローラ１５はフルコントロールモードとなる。
　よってブートプログラム１１ａは、アプリケーションプログラム１２ａの実行に必要なレジスタが使用可能となり、且つ、実行に不要なレジスタが使用不可能となるように、レジスタ群１６のアクセス制限の条件を設定するように、予め適切に作成されている。
　なお本実施の形態においては、処理部１０がモードレジスタに対する書き込みを行うことでＣＡＮコントローラ１５がフルコントロールモードから制限モードへの切り替えを行う構成としたが、これに限るものではない。例えばＣＡＮコントローラ１５は、起動からの経過時間（例えばクロック数など）を計時し、所定時間が経過した場合には、処理部１０がモードレジスタに対する書き込みを行っていない場合であっても、強制的にフルコントロールモードから制限モードへの切り替えを行う構成としてもよい。この場合、切り替えの判断基準となる所定時間は、例えばブートプログラム１１ａの実行に要する時間を設定することができる。ただし所定時間はブートプログラム１１ａの実行時間に無関係に定められていてもよく、この場合にはモード切替までの所定時間がブートプログラム１１ａの作成に対する制約条件として機能することとなる。
　図３は、ＥＣＵ１の処理部１０が起動時に行う処理の手順を示すフローチャートである。本実施の形態に係るＥＣＵ１の処理部１０は、ＥＣＵ１の起動又は再起動等がなされることにより、例えばリセットＩＣなどによるパワーオンリセットが行われ、その後にパワーオンリセットが解除される（ステップＳ１）ことにより、処理を開始する。まず処理部１０は、マスクＲＯＭ１１に記憶されたブートプログラム１１ａを読み出して実行を開始する（ステップＳ２）。ブートプログラム１１ａを実行する処理部１０は、ＣＡＮコントローラ１５のレジスタ群１６に含まれる送信許可設定レジスタ１～４、送信周期設定用レジスタ１～４、送信識別情報設定用レジスタ１～４、受信許可設定レジスタ１～４、及び、受信識別情報設定用レジスタ１～４に対する設定値の書き込みを行うことにより、レジスタ群１６に対するアクセス制限の条件を設定する（ステップＳ３）。
　アクセス制限の条件設定を完了した後、ブートプログラム１１ａを実行する処理部１０は、ＣＡＮコントローラ１５のレジスタ群１６に含まれるモードレジスタに対する書き込みを行うことにより、フルコントロールモードから制限モードへのモード切替を行う（ステップＳ４）。ＣＡＮコントローラ１５のモード切替の完了後、処理部１０は、ブートプログラム１１ａの実行を終了し、ＥＥＰＲＯＭ１２に記憶されたアプリケーションプログラム１２ａを読み出して実行を開始し（ステップＳ５）、起動時の処理を終了する。
　図４は、ＥＣＵ１のＣＡＮコントローラ１５が行うモード切替処理の手順を示すフローチャートである。本実施の形態に係るＥＣＵ１のＣＡＮコントローラ１５は、ＥＣＵ１の起動又は再起動等がなされることにより、例えばリセットＩＣなどによるパワーオンリセットが行われ、その後にパワーオンリセットが解除される（ステップＳ１１）ことにより、処理を開始する。ＣＡＮコントローラ１５は、内部に備えるタイマ機能などにより、起動からの経過時間の計時を開始する（ステップＳ１２）。また起動後のＣＡＮコントローラ１５は、フルコントロールモードで動作する（ステップＳ１３）。
　ＣＡＮコントローラ１５は、レジスタ群１６のモードレジスタに対して制限モードへの切り替えを行う値が書き込まれたか否かに基づいて、モード切替の指示が処理部１０から与えられたか否かを判定する（ステップＳ１４）。モード切替の指示が与えられていない場合（Ｓ１４：ＮＯ）、ＣＡＮコントローラ１５は、ステップＳ１２にて計時を開始した起動からの経過時間が所定時間を経過したか否かを更に判定する（ステップＳ１５）。起動から所定時間が経過していない場合（Ｓ１５：ＮＯ）、ＣＡＮコントローラ１５は、ステップＳ１３へ処理を戻し、フルコントロールモードでの動作を継続して行う。
　モード切替の指示が与えられた場合（Ｓ１４：ＹＥＳ）、又は、起動から所定時間が経過した場合（Ｓ１５：ＹＥＳ）、ＣＡＮコントローラ１５は、フルコントロールモードから制限モードへの切り替えを行う（ステップＳ１６）。またＣＡＮコントローラ１５は、ステップＳ１２にて開始した計時を終了する（ステップＳ１６）。その後、ＣＡＮコントローラ１５は、制限モードでの動作を継続的に行う（ステップＳ１８）。
　図５は、ＣＡＮコントローラ１５が行うメッセージ送信要求時の制限処理の手順を示すフローチャートであり、ＣＡＮ－ＩＤに基づく制限処理である。ＣＡＮコントローラ１５は、レジスタ群１６の送信メッセージ格納用レジスタ１～４のいずれかに対するメッセージの書込要求が処理部１０から与えられたか否かを判定する（ステップＳ２１）。メッセージの書込要求が与えられていない場合（Ｓ２１：ＮＯ）、ＣＡＮコントローラ１５は、書込要求が与えられるまで待機する。メッセージの書込要求が与えられた場合（Ｓ２１：ＹＥＳ）、ＣＡＮコントローラ１５は、自身の動作モードが制限モードであるか否かを判定する（ステップＳ２２）。
　動作モードが制限モードである場合（Ｓ２２：ＹＥＳ）、ＣＡＮコントローラ１５は、書き込みを要求された送信メッセージ格納用レジスタ１～４に対応する送信許可設定レジスタ１～４の値をチェックする（ステップＳ２３）。ステップＳ２３の結果に基づいて、ＣＡＮコントローラ１５は、書込を要求された送信メッセージ格納用レジスタ１～４の使用が許可されているか否かを判定する（ステップＳ２４）。使用が許可されていない場合（Ｓ２４：ＮＯ）、ＣＡＮコントローラ１５は、処理部１０に対してエラーを通知し（ステップＳ２９）、ステップＳ２１へ処理を戻す。
　送信メッセージ格納用レジスタ１～４の使用が許可されている場合（Ｓ２４：ＹＥＳ）、ＣＡＮコントローラ１５は、処理部１０から与えられたメッセージに含まれるＣＡＮ－ＩＤを取得する（ステップＳ２５）。ＣＡＮコントローラ１５は、書き込みを要求された送信メッセージ格納用レジスタ１～４に対応する送信識別情報設定用レジスタ１～４の値をチェックし（ステップＳ２６）、ステップＳ２５にて取得したＣＡＮ－ＩＤが送信メッセージ格納用レジスタ１～４への格納を許可されたＣＡＮ－ＩＤであるか否かを判定する（ステップＳ２７）。許可されたＣＡＮ－ＩＤである場合（Ｓ２７：ＹＥＳ）、ＣＡＮコントローラ１５は、処理部１０から与えられたメッセージを送信メッセージ格納用レジスタ１～４に格納して（ステップＳ２８）、ステップＳ２１へ処理を戻す。許可されたＣＡＮ－ＩＤでない場合（Ｓ２７：ＮＯ）、ＣＡＮコントローラ１５は、処理部１０に対してエラーを通知し（ステップＳ２９）、ステップＳ２１へ処理を戻す。
　また、動作モードが制限モードではない場合（Ｓ２２：ＮＯ）、即ち動作モードがフルコントロールモードである場合、ＣＡＮコントローラ１５は、処理部１０から与えられたメッセージを送信メッセージ格納用レジスタ１～４に格納して（ステップＳ２８）、ステップＳ２１へ処理を戻す。
　図６は、ＣＡＮコントローラ１５が行うメッセージ送信要求時の制限処理の手順を示すフローチャートであり、送信周期に基づく制限処理である。なおＣＡＮコントローラ１５は、自身のタイマ機能により、メッセージ送信を行った場合に、このメッセージ送信からの経過時間を計時する処理を行っているものとする。ＣＡＮコントローラ１５は、他のＥＣＵ１に対するメッセージの送信要求が処理部１０から与えられたか否かを判定する（ステップＳ３１）。送信要求が与えられていない場合（Ｓ３１：ＮＯ）、ＣＡＮコントローラ１５は、送信要求が与えられるまで待機する。送信要求が与えられた場合（Ｓ３１：ＹＥＳ）、ＣＡＮコントローラ１５は、自身の動作モードが制限モードであるか否かを判定する（ステップＳ３２）。
　動作モードが制限モードである場合（Ｓ３２：ＹＥＳ）、ＣＡＮコントローラ１５は、送信要求が与えられた送信要求レジスタ１～４に対応する送信許可設定レジスタ１～４の値をチェックする（ステップＳ３３）。ステップＳ３３の結果に基づいて、ＣＡＮコントローラ１５は、要求された送信メッセージ格納用レジスタ１～４のメッセージ送信が許可されているか否かを判定する（ステップＳ３４）。メッセージの送信が許可されていない場合（Ｓ３４：ＮＯ）、ＣＡＮコントローラ１５は、処理部１０に対してエラーを通知し（ステップＳ３９）、ステップＳ３１へ処理を戻す。
　メッセージの送信が許可されている場合（Ｓ３４：ＹＥＳ）、ＣＡＮコントローラ１５は、対応する送信メッセージ格納用レジスタ１～４に格納されたメッセージの送信を前回に行ってからの経過時間を取得する（ステップＳ３５）。ＣＡＮコントローラ１５は、送信を要求された送信メッセージ格納用レジスタ１～４に対応する送信周期報設定用レジスタ１～４の値をチェックする（ステップＳ３６）。ＣＡＮコントローラ１５は、ステップＳ３５にて取得した前回送信からの経過時間が、送信周期設定用レジスタ１～４に設定された送信周期を経過したか否かを判定する（ステップＳ３７）。送信周期を経過した場合（Ｓ３７：ＹＥＳ）、ＣＡＮコントローラ１５は、送信要求に対応する送信メッセージ格納用レジスタ１～４に格納されたメッセージを読み出してＣＡＮバス２へ出力することによりメッセージ送信を行い（ステップＳ３８）、ステップＳ３１へ処理を戻す。送信周期を経過していない場合（Ｓ３７：ＮＯ）、ＣＡＮコントローラ１５は、処理部１０に対してエラーを通知し（ステップＳ３９）、ステップＳ３１へ処理を戻す。
　また、動作モードが制限モードでない場合（Ｓ３２：ＮＯ）、即ち動作モードがフルコントロールモードである場合、ＣＡＮコントローラ１５は、送信要求に対応する送信メッセージ格納用レジスタ１～４に格納されたメッセージを読み出してＣＡＮバス２へ出力することによりメッセージ送信を行い（ステップＳ３８）、ステップＳ３１へ処理を戻す。
　図７は、ＣＡＮコントローラ１５が行うメッセージ受信時の制限処理の手順を示すフローチャートであり、メッセージ受信に関する制限処理である。ＣＡＮコントローラ１５は、他のＥＣＵ１からのメッセージを受信したか否かを判定する（ステップＳ５１）。メッセージを受信していない場合（Ｓ５１：ＮＯ）、ＣＡＮコントローラ１５は、他のＥＣＵ１からのメッセージを受信するまで待機する。他のＥＣＵ１からのメッセージを受信した場合（Ｓ５１：ＹＥＳ）、ＣＡＮコントローラ１５は、自身の動作モードが制限モードであるか否かを判定する（ステップＳ５２）。
　動作モードが制限モードである場合（Ｓ５２：ＹＥＳ）、ＣＡＮコントローラ１５は、他のＥＣＵ１から受信したメッセージに含まれるＣＡＮ－ＩＤを取得する（ステップＳ５３）。またＣＡＮコントローラ１５は、レジスタ群１６の受信許可設定レジスタ１～４の値をチェックすると共に（ステップＳ５４）、受信識別情報設定用レジスタ１～４の値をチェックする（ステップＳ５５）。ＣＡＮコントローラ１５は、使用が許可されている受信メッセージ格納用レジスタ１～４に対して設定されたＣＡＮ－ＩＤと、受信メッセージから取得したＣＡＮ－ＩＤとが一致するか否かに基づいて、このメッセージの受信が許可されているか否かを判定する（ステップＳ５６）。
　このメッセージの受信が許可されている場合（Ｓ５６：ＹＥＳ）、ＣＡＮコントローラ１５は、他のＥＣＵ１から受信したメッセージを、このメッセージのＣＡＮ－ＩＤが受信許可のＩＤとして設定された受信メッセージ格納用レジスタ１～４に格納する（ステップＳ５７）。次いでＣＡＮコントローラ１５は、メッセージを格納した受信メッセージ格納用レジスタ１～４に対応する受信完了レジスタ１～４に受信完了の旨を示す情報を書き込んで（ステップＳ５８）、ステップＳ５１へ処理を戻す。このメッセージの受信が許可されていない場合（Ｓ５６：ＮＯ）、ＣＡＮコントローラ１５は、受信したメッセージを破棄して（ステップＳ５９）、ステップＳ５１へ処理を戻す。
　また、動作モードが制限モードでない場合（Ｓ５２：ＮＯ）、即ち動作モードがフルコントロールモードである場合、ＣＡＮコントローラ１５は、他のＥＣＵ１から受信したメッセージを、受信メッセージ格納用レジスタ１～４に格納し（ステップＳ５７）、対応する受信完了レジスタ１～４に受信完了の旨を示す情報を書き込んで（ステップＳ５８）、ステップＳ５１へ処理を戻す。
　以上の構成の本実施の形態に係るＥＣＵ１は、他のＥＣＵ１との通信に係る値を格納するレジスタ群１６を有するＣＡＮコントローラ１５と、このレジスタ群１６に対する値の書き込み及び読み出しを行って通信処理を行う処理部１０とを備える。ＥＣＵ１は、ＣＡＮコントローラ１５のレジスタ群１６に対する書き込み及び読み出しが可能なフルコントロールモード（第１モード）と、レジスタ群１６のうちの一部のレジスタに対する書き込み及び読み出しを制限（禁止）した制限モード（第２モード）との切り替えを行う。ＥＣＵ１は、起動から所定期間をフルコントロールモードとし、所定期間の経過後にフルコントロールモードから制限モードへの切り替えを行う。制限モードへの切り替えを行った後は、ＥＣＵ１はフルコントロールモードへの切り替えを行わない。
　これにより、ＥＣＵ１の起動から所定期間の経過後は、ＣＡＮコントローラ１５の一部のレジスタに対する書き込み及び読み出しが制限された状態となる。通信に関するリソースの使用を制限することによって、ＥＣＵ１に注入された不正なプログラムによる通信リソースの不正な使用を制限することができる。よって本実施の形態に係るＥＣＵ１は、他のＥＣＵ１とのメッセージ送受信を行うＣＡＮコントローラ１５のレジスタの使用を制限することにより、不正なプログラムの注入によるネットワークへの不正なメッセージ送信を抑制することができる。
　またＥＣＵ１は、起動後に処理部１０が実行するブートプログラム１１ａ（第１プログラム）を記憶したマスクＲＯＭ１１（第１記憶部）と、ブートプログラム１１ａの実行後に処理部１０が実行するアプリケーションプログラム１２ａ（第２プログラム）を記憶したＥＥＰＲＯＭ１２（第２記憶部）とを備える。フルコントロールモード及び制限モードの切り替えは、ブートプログラム１１ａを処理部１０が実行する期間を上記の所定期間として行う。即ち、ブートプログラム１１ａの実行はフルコントロールモードで行われ、アプリケーションプログラム１２ａの実行は制限モードで行われる。これにより、ＣＡＮコントローラ１５のレジスタ群１６の使用に制限のないフルコントロールモードでの動作を、マスクＲＯＭ１１に記憶したブートプログラム１１ａの実行期間に限定することができる。不正なプログラムがＥＥＰＲＯＭ１２に注入された場合であっても、ＥＥＰＲＯＭ１２に記憶された不正なプログラムの実行は、ＣＡＮコントローラ１５のレジスタ群１６の使用が制限された制限モードで行われる。
　またＥＣＵ１のブートプログラム１１ａを記憶する記憶部には、記憶内容の書き換えが不可能なマスクＲＯＭ１１を用いる。マスクＲＯＭ１１には不正なプログラムを注入することが不可能であり、不正なプログラムがフルコントロールモードで実行されることがない。
　またＥＣＵ１は、ブートプログラム１１ａを処理部１０にて実行することにより、制限モードにて書き込み及び読み出しを制限するレジスタをいずれとするかの設定を行う。例えばＥＣＵ１は、送信許可設定レジスタ１～４に対する値の書き込みを行うことにより、制限モードへ切替後に使用可能な送信メッセージ格納用レジスタ１～４をいずれとするかの設定を行う。また例えばＥＣＵ１は、受信許可設定レジスタ１～４に対する値の書き込みを行うことにより、制限モードへ切替後に使用可能な受信メッセージ格納用レジスタ１～４をいずれとするかの設定を行う。これにより制限モードにて使用を制限するレジスタを、自装置の処理内容などに適したものに設定することができる。また制限モードにて使用を制限するレジスタを下辺とすることができるため、ＣＡＮコントローラ１５の汎用性を高めることができる。
　またＣＡＮコントローラ１５のレジスタ群１６には、他のＥＣＵ１へ送信するメッセージを格納するための４つの送信メッセージ格納用レジスタ１～４を含む。処理部１０は、他のＥＣＵ１へ送信するメッセージをＣＡＮコントローラ１５の送信メッセージ格納用レジスタ１～４に格納することによって、このメッセージの送信を行うことができる。制限モードにおいては、４つの送信メッセージ格納用レジスタ１～４のうちの一又は複数に対する書き込み及び読み出しを制限する。これにより不正なプログラムによる送信メッセージ格納用レジスタ１～４の使用を制限することができ、不正なメッセージ送信を制限することができる。
　またＣＡＮコントローラ１５のレジスタ群１６には、送信メッセージ格納用レジスタ１～４に格納されたメッセージをＣＡＮコントローラ１５が送信する周期の設定を格納する送信周期設定用レジスタ１～４を含む。ＣＡＮコントローラ１５によるメッセージの送信は、送信周期設定用レジスタ１～４に設定された周期より短い周期で行うことが制限（禁止）され、設定された周期より長い周期でしか行うことができない。これによりＥＣＵ１によるメッセージ送信の最低周期を定めることができ、この周期より短い周期で不正なプログラムが頻繁にメッセージ送信を繰り返すことを防止できる。
　またＣＡＮコントローラ１５のレジスタ群１６には、送信メッセージ格納用レジスタ１～４への格納を許可するメッセージのＣＡＮ－ＩＤに関する設定を格納する送信識別情報設定用レジスタ１～４を含む。ＣＡＮコントローラ１５の送信メッセージ格納用レジスタ１～４に対するメッセージの格納は、識別情報設定用レジスタ１～４に設定されたＣＡＮ－ＩＤが付されたメッセージにのみ限定し、これ以外のＣＡＮ－ＩＤが付されたメッセージの格納を制限（禁止）する。これによりＥＣＵ１が送信するメッセージの種別などをＣＡＮ－ＩＤにより制限することができ、不正なプログラムが不正なＣＡＮ－ＩＤを付したメッセージを送信することを防止できる。
　なお本実施の形態においては、車載の通信システムに含まれる各ＥＣＵ１がＣＡＮプロトコルに従った通信を行う構成としたが、これに限るものではない。各ＥＣＵ１が、ＣＡＮ以外のプロトコル、例えばＴＣＰ／ＩＰ、イーサネット（登録商標）又はＦｌｅｘＲａｙ等のプロトコルに従った通信を行う構成としてもよい。また車両に搭載される通信システムを例に説明を行ったが、これに限るものではなく、航空機若しくは船舶等の移動体に搭載される通信システム、又は、工場若しくはオフィス等に設置される通信システム等のように、車載以外の通信システムに対して本技術を適用してもよい。
　また通信システムに含まれる全てのＥＣＵ１について、本実施の形態に示したレジスタ群１６の制限を行う機能が備えられていることが好ましいが、このような制限機能を含まないＥＣＵが通信システムに含まれていてもよい。またＥＣＵ１は、書き換え不可能な記憶部としてマスクＲＯＭ１１を備える構成としたが、これに限るものではない。例えば、紫外線照射によりデータの消去を行うことはできるが電気的なデータ書き換えを行うことができないＥＰＲＯＭ（Erasable Programmable Read Only Memory）、又は、ヒューズの切断など物理的な構成によりデータ書き換えが不可能となるＥＥＰＲＯＭ若しくはフラッシュメモリ等の不揮発性のメモリ素子等を、マスクＲＯＭ１１に代えて採用してもよい。またＥＣＵ１は、制限モードにおいてメッセージの送信及び受信の両方に対する制限を行う構成としたが、これに限るものではなく、メッセージ送信にのみ制限を行う構成としてもよい。
（実施の形態２）
　図８は、実施の形態２に係る通信システムの構成を示すブロック図である。なお図８においては、図１において示した他のＥＣＵ１、センサ３及びアクチュエータ４等の図示を省略してある。実施の形態２に係る通信システムは、ＥＣＵ２０１に対して通信線２０６を介して接続される設定装置２０５を備えている。設定装置２０５は、例えば車輌のディーラ又は整備工場等において整備又は点検等を行う際に用いられる装置である。設定装置２０５をＥＣＵ２０１に接続することによって、ＣＡＮコントローラ１５のレジスタ群１６に対する値の書き込みを行うことができる。設定装置２０５は、液晶パネルなどの表示部２５１と、スイッチ又はタッチパネル等の操作部２５２とを有している。
　実施の形態２に係るＥＣＵ２０１は、実施の形態１に係るＥＣＵ１が備えるマスクＲＯＭ１１を備えず、ブートプログラム１１ａをＥＥＰＲＯＭ１２に記憶している。ＥＣＵ２０１のＥＥＰＲＯＭ１２には、ブートプログラム１１ａ及びアプリケーションプログラム１２ａ等が記憶されている。
　また実施の形態２に係るＥＣＵ２０１は、通信線２０６を介して設定装置２０５を接続するためのコネクタ２１７を備えている。実施の形態２に係るＥＣＵ２０１は、コネクタ２１７を介して認証された設定装置２０５が接続された場合、ＣＡＮコントローラ１５のレジスタ群１６の書き込みが制限されているレジスタに対して、値の書き込みを行うことが可能となる。
　また実施の形態２に係るＥＣＵ２０１は、ＲＯＭ２１８を備えている。ＲＯＭ２１８は、マスクＲＯＭ又はＥＥＰＲＯＭ等を用いて構成される。ただしＲＯＭ２１８は、例えばＥＥＰＲＯＭなどのデータ書き換え可能なメモリ素子を用いて構成されている場合であっても、ＥＣＵ２０１の通常動作時においてデータの書き換えを行うことはできない。ＲＯＭ２１８には、認証プログラム２１８ａ及び認証情報２１８ｂ等が記憶されている。認証プログラム２１８ａは、コネクタ２１７に設定装置２０５が接続された場合に処理部１０が実行するプログラムであり、設定装置２０５との間で認証処理を行う。認証情報２１８ｂは、認証プログラム２１８ａが設定装置２０５との間で認証処理を行うための情報であり、例えば装置のＩＤ及びパスワード等の情報である。
　実施の形態２に係るＥＣＵ２０１は、通常動作において、常に制限モードでの動作を行っている。即ち電源投入などにより起動したＥＣＵ２０１は、起動後に制限モードで動作を開始し、通常の動作を行っている限りにおいて、その後にフルコントロールモードへ切り替えられることはない。よってＥＣＵ２０１は、ブートプログラム１１ａ及びアプリケーションプログラム１２ａの実行を制限モードで行うため、ブートプログラム１１ａにはＣＡＮコントローラ１５のレジスタ群１６に対する設定処理は含まれていない。実施の形態２に係るＥＣＵ２０１は、コネクタ２１７に設定装置２０５が接続された場合にのみ、ＣＡＮコントローラ１５をフルコントロールモードで動作させることが可能となる。
　実施の形態２に係るＥＣＵ２０１は、コネクタ２１７に設定装置２０５が接続されたことを検出した場合、処理部１０がＲＯＭ２１８から認証プログラム２１８ａを読み出して実行することにより、設定装置２０５との間で認証処理を行う。ＥＣＵ２０１は、ＲＯＭ２１８に記憶された認証情報２１８ｂに基づいて認証処理を行い、認証処理に成功した場合にのみ、ＣＡＮコントローラ１５の動作モードを制限モードからフルコントロールモードへ切り替える操作を受け付ける。
　認証処理に成功した場合、設定装置２０５を操作する操作者は、ＥＣＵ２０１に関する各種の情報を取得して表示部２５１に表示させることができ、ＥＣＵ２０１に関する各種の設定変更の操作を操作部２５２にて行うことができる。また実施の形態２に係る設定装置２０５は、ＥＣＵ２０１のＣＡＮコントローラ１５の動作モードの切り替えを行うことができ、フルコントロールモードへの切り替えを行うことでレジスタ群１６への値の書き込みを行うことができる。
　設定装置２０５の操作部２５２に対してモード切替の操作がなされた場合、この操作内容が設定装置２０５からコネクタ２１７を介してＥＣＵ２０１の処理部１０へ与えられる。これによりＥＣＵ２０１の処理部１０は、モードの切替操作を受け付ける。ＥＣＵ２０１は、設定装置２０５からフルコントロールモードへの切替操作を受け付けた場合に、制限モードからフルコントロールモードへの切り替えを行う。フルコントロールモードにおいてＥＣＵ２０１は、設定装置２０５との間で通信線２０６を介した通信を行い、ＣＡＮコントローラ１５のレジスタ群１６に対する値の書込要求を受け付けて、要求された値をレジスタ群１６のレジスタに対して書き込む。
　またＥＣＵ２０１は、設定装置２０５から制限モードへの切替操作を受け付けた場合に、フルコントロールモードから制限モードへの切り替えを行う。なおＥＣＵ２０１は、例えば設定装置２０５の接続が解除された場合、又は、フルコントロールモードへの切り替えから所定時間が経過した場合等に、設定装置２０５から制限モードへの切替操作を受け付けていなくとも、フルコントロールモードから制限モードへの切り替えを自動的に行う構成としてよい。
　図９は、実施の形態２に係るＥＣＵ２０１が行うモード切替処理の手順を示すフローチャートである。実施の形態２に係るＥＣＵ２０１の処理部１０は、コネクタ２１７に対する設定装置２０５の接続を検知したか否かを判定する（ステップＳ７１）。接続を検知していない場合（Ｓ７１：ＮＯ）、処理部１０は、接続を検知するまで待機する。
　設定装置２０５の接続を検知した場合（Ｓ７１：ＹＥＳ）、処理部１０は、ＲＯＭ２１８に記憶された認証プログラム２１８ａを実行し、ＲＯＭ２１８に記憶された認証情報２１８ｂを用いて、設定装置２０５との間で認証処理を行う（ステップＳ７２）。処理部１０は、認証処理に成功したか否かを判定する（ステップＳ７３）。認証処理に成功していない場合（Ｓ７３：ＮＯ）、処理部１０は、設定装置２０５に対してエラーを通知し（ステップＳ７４）、処理を終了する。
　認証処理に成功した場合（Ｓ７３：ＹＥＳ）、処理部１０は、設定装置２０５の操作部２５２に対する操作の有無を検知することにより、操作の受け付けを行う（ステップＳ７５）。処理部１０は、受け付けた操作が動作モードの切替操作であるか否かを判定する（ステップＳ７６）。切替操作である場合（Ｓ７６：ＹＥＳ）、処理部１０は、受け付けた操作内容に応じて、制限モードからフルコントロールモードへ又はフルコントロールモードから制限モードへのモード切替を行い（ステップＳ７７）、ステップＳ７５へ処理を戻す。受け付けた操作が切替操作ではない場合（Ｓ７６：ＮＯ）、処理部１０は、例えばＣＡＮコントローラ１５のレジスタ群１６に対する値の書込など、受け付けた操作内容に応じた他の処理を行って（ステップＳ７８）、ステップＳ７５へ処理を戻す。
　以上の構成の実施の形態２に係るＥＣＵ２０１は、明示的なモード切替の操作が行われた場合には、制限モード及びフルコントロールモードの切り替えを行う。これにより、例えば車両の試験、製造又は整備等の際に、ＣＡＮコントローラ１５のレジスタ群１６に対する値の書き込みを行うことが可能となる。
　またＥＣＵ２０１は、通信線２０６を介して設定装置２０５を接続するためのコネクタ２１７を備える。設定装置２０５には操作部２５２が設けられ、ＥＣＵ２０１のモード切替に関する操作を行うことができる。ＥＣＵ２０１は、設定装置２０５の操作部２５２にてなされた操作を、コネクタ２１７を介して受け付け、受け付けた操作に応じてモード切替を行うことができる。
　またＥＣＵ２０１は、コネクタ２１７に接続された設定装置２０５との間で認証処理を行う。ＥＣＵ２０１は、認証処理に成功した場合にのみ、モード切替に係る操作の受け付けを行う。これにより、コネクタ２１７に接続される外部の装置を用いたＣＡＮコントローラ１５のレジスタ群１６に対する値の書き換えが困難化される。
　なお実施の形態２においては、ＥＣＵ２０１がマスクＲＯＭを備えず、ブートプログラム１１ａをＥＥＰＲＯＭ１２に記憶する構成としたが、これに限るものではない。ＥＣＵ２０１は、実施の形態１に係るＥＣＵ１と同様に、ブートプログラム１１ａを記憶したマスクＲＯＭ１１を備える構成としてもよい。この構成の場合、ＥＣＵ２０１は、実施の形態１にて説明した起動から所定期間経過後のモード切替と、実施の形態２にて説明した設定装置２０５による切替操作に基づくモード切替との両方を行う構成としてもよい。
　またＥＣＵ２０１は、設定装置２０５の接続検知に応じて認証処理を行い、認証処理に成功した場合には自動的に制限モードからフルコントロールモードへ切り替えを行う構成としてもよい。この構成の場合には、設定装置２０５をＥＣＵ２０１に接続するという操作が、モード切替のための明示的な操作に相当する。また認証処理後にモードの切替操作を受け付けるプログラムは、認証プログラム２１８ａであってもよく、これ以外のプログラムであってもよい。ただしモードの切替操作を受け付けてモード切替を行うプログラムは、ＲＯＭ２１８に記憶されていることが好ましい。
　またＥＣＵ２０１は、コネクタ２１７に通信線２０６を介して設定装置２０５を接続する構成としたが、これに限るものではない。例えばＥＣＵ２０１は、設定装置２０５との間で無線通信を行う構成としてもよい。また例えば、設定装置２０５を接続するのではなく、ＥＣＵ２０１に操作部を設けてモード切替の操作を受け付ける構成としてもよい。
　また、実施の形態２に係る通信システムのその他の構成は、実施の形態１に係る通信システムの構成と同様であるため、同様の箇所には同じ符号を付して詳細な説明を省略する。
　１　ＥＣＵ（通信装置）
　２　ＣＡＮバス
　３　センサ
　４　アクチュエータ
　１０　処理部
　１１　マスクＲＯＭ（第１記憶部）
　１１ａ　ブートプログラム（通信制限プログラム）
　１２　ＥＥＰＲＯＭ（第２記憶部）
　１２ａ　アプリケーションプログラム
　１３　ＲＡＭ
　１４　入出力部
　１５　ＣＡＮコントローラ（通信部、規制部、制限部）
　１６　レジスタ群（複数のレジスタ）
　２０１　ＥＣＵ（通信装置）
　２０５　設定装置（外部装置）
　２１７　コネクタ（接続部）
　２１８　ＲＯＭ
　２１８ａ　認証プログラム
　２１８ｂ　認証情報
　２５１　表示部
　２５２　操作部

Claims (13)

  1. 　他装置との通信に係る値を格納する複数のレジスタを有する通信部と、該通信部のレジスタに対する値の書き込み及び読み出しを行って通信処理を行う処理部とを備える通信装置において、
    　前記複数のレジスタのうちの一部のレジスタに対する値の書き込み又は読み出しが制限されていること
    　を特徴とする通信装置。
  2. 　前記複数のレジスタに対する値の書き込み及び読み出しが可能な第１モードと、前記複数のレジスタのうちの一部のレジスタに対する値の書き込み又は読み出しを制限した第２モードとを切り替える切替部を備えること
    　を特徴とする請求項１に記載の通信装置。
  3. 　前記切替部は、前記第１モードから前記第２モードへの切替を行った後、前記第２モードから前記第１モードへの切り替えを行わないようにしてあること
    　を特徴とする請求項２に記載の通信装置。
  4. 　前記切替部は、
    　自装置の起動から所定期間を前記第１モードとし、
    　前記所定期間の経過後に前記第１モードから前記第２モードへの切替を行い、
    　該切替後は前記第２モードから前記第１モードへの切り替えを行わないようにしてあること
    　を特徴とする請求項２又は請求項３に記載の通信装置。
  5. 　前記第２モードにおいて書き込みが制限されるレジスタに値を書き込むプログラムを記憶した記憶部を備え、
    　前記処理部は、自装置の起動後に前記プログラムを実行し、
    　前記切替部は、前記プログラムを前記処理部が実行する期間を前記所定期間として切り替えを行うようにしてあること
    　を特徴とする請求項４に記載の通信装置。
  6. 　前記複数のレジスタには、前記通信部が他装置へ送信するメッセージを格納する複数の送信メッセージ格納用レジスタを含み、
    　前記第２モードにおいて前記複数の送信メッセージ格納用レジスタのうちの一又は複数の送信メッセージ格納用レジスタに対する書き込みを制限するようにしてあること
    　を特徴とする請求項２乃至請求項５のいずれか１つに記載の通信装置。
  7. 　前記複数のレジスタには、前記送信メッセージ格納用レジスタに格納されたメッセージを前記通信部が送信する周期の設定を格納する送信周期設定用レジスタを含み、
    　前記送信周期設定用レジスタに格納された周期の設定よりも短い周期でのメッセージ送信を規制する規制部を備えること
    　を特徴とする請求項６に記載の通信装置。
  8. 　前記メッセージには、該メッセージを識別するための識別情報を含み、
    　前記複数のレジスタには、該送信メッセージ格納用レジスタへの格納を許可する識別情報の設定を格納する識別情報設定用レジスタを含み、
    　前記識別情報設定用レジスタに格納された識別情報以外のメッセージの前記送信メッセージ格納用レジスタへの格納を制限する制限部を備えること
    　を特徴とする請求項６又は請求項７に記載の通信装置。
  9. 　前記第１モード及び前記第２モードの切り替えに係る操作を受け付ける操作受付部を更に備え、
    　前記切替部は、前記操作受付部が受け付けた操作に応じて切り替えを行うようにしてあること
    　を特徴とする請求項２乃至請求項８のいずれか１つに記載の通信装置。
  10. 　外部装置を接続する接続部を更に備え、
    　前記操作受付部は、前記接続部に接続された外部装置に対してなされた操作を、前記接続部を介して受け付けるようにしてあること
    　を特徴とする請求項９に記載の通信装置。
  11. 　前記接続部に接続された外部装置との間で認証処理を行う認証処理部を更に備え、
    　前記操作受付部は、前記認証処理部による認証処理に成功した場合に、操作受付を行うようにしてあること
    　を特徴とする請求項１０に記載の通信装置。
  12. 　他装置との通信に係る値を格納する複数のレジスタを有する通信部と、該通信部のレジスタに対する値の書き込み及び読み出しを行って通信処理を行う処理部とを備える通信装置において、
    　前記複数のレジスタに対する値の書き込み及び読み出しが可能な第１モード、並びに、前記複数のレジスタのうちの一部のレジスタに対する値の書き込み又は読み出しを制限した第２モードを切り替える切替部を備え、
    　前記処理部は、
    　前記第２モードにおいて書き込みが制限されるレジスタに対して値を書き込み、
    　該レジスタに対する値の書き込み後に、前記切替部により前記第１モードから前記第２モードへの切り替えを行わせるようにしてあること
    　を特徴とする通信装置。
  13. 　他装置との通信に係る値を格納する複数のレジスタを有する通信部と、該通信部のレジスタに対する値の書き込み及び読み出しを行って通信処理を行う処理部と、前記複数のレジスタに対する値の書き込み及び読み出しが可能な第１モード、並びに、前記複数のレジスタのうちの一部のレジスタに対する値の書き込み又は読み出しを制限した第２モードを切り替える切替部を備える通信装置を、
    　前記第２モードにおいて書き込みが制限されるレジスタに対して値を書き込む手段と、
    　該レジスタに対する値の書き込み後に、前記切替部により前記第１モードから前記第２モードへの切り替えを行わせる手段
    　として動作させること
    　を特徴とする通信制限プログラム。
PCT/JP2016/064546 2015-05-18 2016-05-17 通信装置及び通信制限プログラム WO2016186093A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
DE112016002236.0T DE112016002236T5 (de) 2015-05-18 2016-05-17 Kommunikationseinrichtung und kommunikationseinschränkungsprogramm
US15/574,905 US10384625B2 (en) 2015-05-18 2016-05-17 Communication device and non-transitory recording medium
CN201680028147.9A CN107615714B (zh) 2015-05-18 2016-05-17 通信装置及记录介质

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2015100994A JP6284903B2 (ja) 2015-05-18 2015-05-18 通信装置及び通信制限プログラム
JP2015-100994 2015-05-18

Publications (1)

Publication Number Publication Date
WO2016186093A1 true WO2016186093A1 (ja) 2016-11-24

Family

ID=57319943

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/064546 WO2016186093A1 (ja) 2015-05-18 2016-05-17 通信装置及び通信制限プログラム

Country Status (5)

Country Link
US (1) US10384625B2 (ja)
JP (1) JP6284903B2 (ja)
CN (1) CN107615714B (ja)
DE (1) DE112016002236T5 (ja)
WO (1) WO2016186093A1 (ja)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6879789B2 (ja) 2016-05-27 2021-06-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ ゲートウェイ装置、車載ネットワークシステム、転送方法及びプログラム
JP2018121120A (ja) * 2017-01-23 2018-08-02 国立大学法人名古屋大学 通信装置及び通信コントローラ
JP6933183B2 (ja) * 2018-03-30 2021-09-08 オムロン株式会社 セーフティ制御システムおよびセーフティ制御ユニット
DE102018218257A1 (de) * 2018-10-25 2020-04-30 Robert Bosch Gmbh Steuergerät
DE102019207174A1 (de) * 2019-05-16 2020-11-19 Robert Bosch Gmbh Sende-/Empfangseinrichtung und Kommunikationssteuereinrichtung für eine Teilnehmerstation eines seriellen Bussystems und Verfahren zur Kommunikation in einem seriellen Bussystem
US11991122B2 (en) * 2021-06-21 2024-05-21 Qualcomm Incorporated Techniques for application time for slot format updating associated with half duplex and full duplex mode switching
JP7426583B2 (ja) * 2021-11-29 2024-02-02 パナソニックＩｐマネジメント株式会社 車載機器、制御方法、およびプログラム

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH05173920A (ja) * 1991-12-24 1993-07-13 Nec Corp スレーブ情報処理装置
JPH08180001A (ja) * 1994-04-12 1996-07-12 Mitsubishi Electric Corp 通信方式及び通信方法及びネットワークインタフェース

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7197536B2 (en) * 2001-04-30 2007-03-27 International Business Machines Corporation Primitive communication mechanism for adjacent nodes in a clustered computer system
CN101369352A (zh) * 2008-10-10 2009-02-18 清华大学 一种燃料电池城市客车的数据支持系统
JP2010176403A (ja) * 2009-01-29 2010-08-12 Toyota Motor Corp マルチスレッドプロセッサ装置
JP2011103577A (ja) 2009-11-11 2011-05-26 Renesas Electronics Corp 通信コントローラ、通信システム、及び通信制御方法
WO2012056754A1 (ja) * 2010-10-28 2012-05-03 本田技研工業株式会社 故障診断方法及び故障診断装置
JP5714453B2 (ja) * 2011-08-30 2015-05-07 トヨタ自動車株式会社 車両通信装置
US9262340B1 (en) * 2011-12-29 2016-02-16 Cypress Semiconductor Corporation Privileged mode methods and circuits for processor systems
JP5816572B2 (ja) * 2012-02-23 2015-11-18 日立オートモティブシステムズ株式会社 車両用制御装置
JP2014086812A (ja) 2012-10-22 2014-05-12 Renesas Electronics Corp Ｃａｎシステム及びノード
CN103246225B (zh) * 2013-05-03 2016-06-08 奇瑞新能源汽车技术有限公司 一种基于fpga的lvds接口实现的多路同时采样系统
CN104422593A (zh) * 2013-08-30 2015-03-18 上海汽车集团股份有限公司 一种动力总成的测试系统
US9619405B2 (en) * 2014-11-24 2017-04-11 Nxp Usa, Inc. Device having memory access protection
US10007629B2 (en) * 2015-01-16 2018-06-26 Oracle International Corporation Inter-processor bus link and switch chip failure recovery

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH05173920A (ja) * 1991-12-24 1993-07-13 Nec Corp スレーブ情報処理装置
JPH08180001A (ja) * 1994-04-12 1996-07-12 Mitsubishi Electric Corp 通信方式及び通信方法及びネットワークインタフェース

Also Published As

Publication number Publication date
CN107615714B (zh) 2020-09-04
DE112016002236T5 (de) 2018-02-08
CN107615714A (zh) 2018-01-19
JP2016219944A (ja) 2016-12-22
US10384625B2 (en) 2019-08-20
JP6284903B2 (ja) 2018-02-28
US20180162295A1 (en) 2018-06-14

Similar Documents

Publication Publication Date Title
JP6284903B2 (ja) 通信装置及び通信制限プログラム
US10509568B2 (en) Efficient secure boot carried out in information processing apparatus
JP5975629B2 (ja) メモリ保護ユニットおよび記憶素子へのアクセスコントロール方法
JP2682700B2 (ja) Ｉｃカード
US20140351460A1 (en) Relay device
JP5576557B2 (ja) プロセッサシステム及びその制御方法
JP2013193598A (ja) 車両用認証装置、及び車両用認証システム
JP4256859B2 (ja) 半導体記憶装置
JP2009505304A (ja) 埋設式メモリのアクセス制御
US7228569B2 (en) Programmable unit
WO2020158377A1 (ja) 電子制御装置、電子制御装置のセキュリティ検証方法
US7934050B2 (en) Microcomputer for flash memory rewriting
JP2002024046A (ja) マイクロコンピュータ及びそのメモリ内容変更システム並びにメモリ内容変更方法
WO2018135300A1 (ja) 通信装置及び通信コントローラ
JP6622360B2 (ja) 情報処理装置
KR20180066601A (ko) 메모리 시스템의 구동 방법
WO2015076012A1 (ja) 電子制御装置、ソフトウェア書き換えシステム
JP2022052018A (ja) 情報処理装置
US10193694B1 (en) Method and apparatus for securely configuring parameters of a system-on-a-chip (SOC)
JP4026924B2 (ja) 自動車用電子制御装置
JP2015219838A (ja) 情報処理装置
JP3912447B2 (ja) メモリシステムおよび外部不揮発メモリの使用方法
JP2024044708A (ja) 半導体記憶装置及びメモリシステム
CN116324992A (zh) 用于从非易失性存储器设备快速安全引导的方法以及对应的系统和设备
CN118113544A (zh) 用于调试认证的主机-设备接口

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16796486

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 15574905

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 112016002236

Country of ref document: DE

122 Ep: pct application non-entry in european phase

Ref document number: 16796486

Country of ref document: EP

Kind code of ref document: A1