WO2023157939A1 - 車載通信線接続装置 - Google Patents

車載通信線接続装置 Download PDF

Info

Publication number
WO2023157939A1
WO2023157939A1 PCT/JP2023/005605 JP2023005605W WO2023157939A1 WO 2023157939 A1 WO2023157939 A1 WO 2023157939A1 JP 2023005605 W JP2023005605 W JP 2023005605W WO 2023157939 A1 WO2023157939 A1 WO 2023157939A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
communication line
signal
common
unauthorized
Prior art date
Application number
PCT/JP2023/005605
Other languages
English (en)
French (fr)
Inventor
宏武 田代
曜 ▲柳▼田
昭義 金澤
Original Assignee
矢崎総業株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 矢崎総業株式会社 filed Critical 矢崎総業株式会社
Priority to CN202380016405.1A priority Critical patent/CN118525486A/zh
Publication of WO2023157939A1 publication Critical patent/WO2023157939A1/ja
Priority to US18/764,646 priority patent/US20240364714A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • H—ELECTRICITY
    • H02—GENERATION; CONVERSION OR DISTRIBUTION OF ELECTRIC POWER
    • H02G—INSTALLATION OF ELECTRIC CABLES OR LINES, OR OF COMBINED OPTICAL AND ELECTRIC CABLES OR LINES
    • H02G3/00—Installations of electric cables or lines or protective tubing therefor in or on buildings, equivalent structures or vehicles
    • H02G3/02—Details
    • H02G3/08—Distribution boxes; Connection or junction boxes
    • H02G3/16—Distribution boxes; Connection or junction boxes structurally associated with support for line-connecting terminals within the box
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40006—Architecture of a communication node
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle

Definitions

  • the present disclosure relates to an in-vehicle communication line connection device, and particularly to technology for safety measures against connection of unauthorized devices to a communication network on a vehicle.
  • CAN Invader Invader
  • unauthorized equipment is connected to the CAN (Controller Area Network) connector on the vehicle from the outside of the vehicle, and for example, a signal disguised as a genuine in-vehicle ECU that recognizes the signal from the smart key is sent to the vehicle. It is sent to the network to induce malfunctions of in-vehicle equipment.
  • CAN Controller Area Network
  • Patent Document 1 discloses an electronic control system capable of enhancing security measures in vehicles.
  • This electronic control system receives a vehicle status signal via a CAN bus mounted on the vehicle and a dedicated line that is used only for communication of the vehicle status signal indicating information about the vehicle status, and receives the vehicle status signal.
  • vehicle status signals can be communicated via a dedicated line that is independent of the CAN bus. In other words, it is possible to communicate using the duplexed communication lines at the same time. Therefore, even if a spoofing signal is sent to the CAN bus by an unauthorized device connected to the outside of the vehicle, it will be relatively easy to detect that the signal is spoofing. Conceivable.
  • Patent Document 1 when adopting the technology of Patent Document 1 as a security measure for existing vehicles, a new dedicated line must be physically added to the outside of the existing wire harness. and other circuits, addition of exterior materials to protect the dedicated line, and various other works are required. In other words, it is actually not easy to add a new dedicated line, and it is difficult to implement simple security measures for existing vehicles.
  • the present disclosure has been made in view of the above-mentioned circumstances, and its purpose is to provide unauthorized intrusion into a communication network on a vehicle without adding wires that significantly affect the structure of the wiring harness on the vehicle.
  • a first common communication line wired in a first area where it is physically difficult for unauthorized external devices to access on the vehicle; a second common communication line, at least a portion of which is routed in a second area where access by unauthorized external devices on the vehicle is physically easy; a common connector section that physically connects the first common communication line and the second common communication line; a first connection unit capable of connecting one or more first vehicle-mounted devices arranged in the first area and the first common communication line; a higher connection unit capable of connecting the first common communication line and a higher management unit that manages communication of a system higher than the first common communication line; a proxy management unit disposed inside or near the common connector unit and monitoring unauthorized communication at least in a direction from the second common communication line toward the first common communication line; In-vehicle communication line connection device.
  • the in-vehicle communication line connection device of the present disclosure it becomes easy to prevent unauthorized intrusion into the communication network on the vehicle. Moreover, it is not necessary to add wires that greatly affect the structure of the wiring harness on the vehicle.
  • FIG. 1 is a plan view showing an arrangement example of main components on a vehicle equipped with an in-vehicle communication line connection device according to an embodiment.
  • FIG. 2 is a block diagram showing a configuration example of a communication network on a vehicle.
  • FIG. 3 is a block diagram showing a configuration example of a function substitution unit included in the in-vehicle communication line connection device according to the embodiment.
  • FIG. 4 is a perspective view showing an example of the appearance of the function substitution unit.
  • FIG. 5 is a flow chart showing an outline of control in the function substitution unit.
  • FIG. 6 is a block diagram showing a configuration example of a communication network using joint connectors.
  • FIG. 7 is a time chart showing an example of communication operations in the communication network of FIG. FIG.
  • FIG. 8 is a block diagram showing a configuration example of a communication network using joint connectors.
  • FIG. 9 is a time chart showing an example of communication operations in the communication network of FIG.
  • FIG. 10 is a block diagram showing a configuration example of a communication network in which function substitution units are connected instead of joint connectors.
  • FIG. 11 is a time chart showing an example of communication operations in the communication network of FIG.
  • FIG. 12 is a block diagram showing a configuration example of a communication network in which function substitution units are connected instead of joint connectors.
  • 13 is a time chart showing an example of communication operations in the communication network of FIG. 12.
  • FIG. 1 is a plan view showing an arrangement example of main components on a vehicle equipped with an in-vehicle communication line connection device according to an embodiment.
  • the left side and the right side represent the front side and the rear side of the vehicle 10, respectively.
  • the in-vehicle communication line connection device is configured as a communication system including a wire harness wired on the vehicle.
  • the vehicle 10 has an engine room 10a on the front side of the vehicle body and a passenger compartment 10b in the central part.
  • the engine room 10a and the passenger compartment 10b are partitioned from each other to form independent spaces.
  • the vehicle 10 includes a plurality of doors 10c that can be opened and closed on the left and right sides of the passenger compartment 10b. When the door 10c is closed and locked, unauthorized entry into the vehicle interior 10b from the outside of the vehicle 10 becomes difficult.
  • the upper side of the engine room 10a is covered with a hood that can be opened and closed, but the lower side of the engine room 10a is left open. Therefore, it is relatively easy to connect an unauthorized device to the wire harness or the like routed in the engine room 10a. Therefore, if the vehicle is stolen by an unauthorized intruder, the devices and wire harnesses in the engine compartment 10a are likely to become an intrusion route.
  • a plurality of in-vehicle devices 21 and 22 are arranged in the engine room 10a.
  • In-vehicle devices 21 and 22 in the engine room 10a are connected via wire harnesses 31 to the vehicle room 10b.
  • a plurality of in-vehicle devices 23, 24, 25, 26, and 27 are also arranged inside the vehicle compartment 10b and on the luggage compartment side.
  • a special electronic control unit (ECU) that functions as a central gateway (CGW) 11 is arranged on the compartment 10b side.
  • the central gateway 11 enables interconnection of communications between multiple systems (body system, ADAS system, powertrain/chassis system, etc.) on the vehicle 10, and prevents unauthorized communications from outside via a wireless communication network. It has a security function to prevent signal intrusion.
  • one ends of wire harnesses 33, 38, 34, 37, and 35 are connected to onboard devices 23, 24, 25, 26, and 27, respectively. Also, the other ends of the wire harnesses 37 and 38 are connected to the central gateway 11 .
  • J/C joint connector
  • a function substitution unit 40 is connected to the connection position Pc1 instead of the joint connector.
  • this function substitution unit 40 has a security function for preventing unauthorized access from the engine room 10a side.
  • the function proxy unit 40 has a function of proxying the security-related gateway functions that the central gateway 11 cannot handle.
  • one ends of the communication lines of the plurality of wire harnesses 31 to 36 are connected to the function substitution unit 40, respectively.
  • FIG. 2 is a block diagram showing a configuration example of a communication network on the vehicle 10. As shown in FIG. In the example shown in FIG. 2, a central gateway 11 is connected to CAN buses 12 and 13, which are a plurality of common communication lines. A plurality of ECUs 14A to 14D and ECUs 15A and 15C are connected to one CAN bus 12 .
  • the CAN bus 12 can be included in the wire harnesses 31-35 in FIG. 1, for example.
  • Each wire harness 31-35 is typically configured to include one or more sets of CAN buses, power lines, and ground lines.
  • the communication lines (CAN buses) of the four ECUs 14A to 14D are concentrated at the connection position Pc1 and connected in common at this position.
  • Communication lines (CAN buses) of the three ECUs 15A to 15C are concentrated at the connection position Pc2 and connected in common at this position.
  • Each CAN bus is normally composed of a pair of twisted pair wires.
  • FIG. 3 is a block diagram showing a configuration example of the function substitution unit 40 included in the in-vehicle communication line connection device according to the embodiment.
  • the functional substitution unit 40 has eight terminals T1, T2, T3, T4, T5, T6, T7 and T9 for connection with other circuits. Seven terminals T1 to T7 are used to connect to CAN buses on wire harnesses of different systems. Terminal T9 is used to connect to the power supply (+B) and ground (GND).
  • the terminals T1 to T7 belong to the A system SA, and the terminals T4 to T7 belong to the B system SB.
  • the A system SA corresponds to a wire harness at least a part of which is routed inside the engine room 10a.
  • the B system SB corresponds to a wire harness routed inside the vehicle compartment 10b.
  • the function substitution unit 40 has therein a microcomputer (microcomputer) 41 and interfaces (I/F) 42 to 48 for CAN.
  • the microcomputer 41 has functions of a CAN transmission/reception section 41a, a CAN signal monitoring section 41b, an illegal signal detection section 41c, a signal blocking section 41d, and a notification section 41e. These functions are realized by the microcomputer 41 executing a preinstalled program, for example.
  • the CAN transmitting/receiving unit 41a receives the CAN signal input from each of the terminals T1 to T7, and if there is no problem, relays the received signal as it is and sends it to the other terminals T1 to T7.
  • the CAN signal monitoring unit 41b For each CAN signal received by the CAN transmission/reception unit 41a, the CAN signal monitoring unit 41b monitors the position of the input terminal, the system of the input terminal (SA/SB), the timing of appearance, the type of signal, the content of the signal, and the like. can be monitored.
  • SA/SB system of the input terminal
  • the content of the signal monitored by the CAN signal monitoring unit 41b only part of the signal frame, for example, the content of the ID field at the beginning of each signal frame, may be processed.
  • the time required for processing inside the function substitution unit 40 it is possible to shorten the time required for processing inside the function substitution unit 40 and reduce the delay of the signal sent by the function substitution unit 40, compared to the case where the entire signal frame is checked. can.
  • the unauthorized signal detection unit 41c detects unauthorized CAN signals from the CAN signals received by the CAN transmission/reception unit 41a based on the monitoring state of the CAN signal monitoring unit 41b and predetermined unauthorized judgment conditions. For example, the unauthorized signal detection unit 41 c detects an unauthorized CAN signal sent from a spoofing device connected to the CAN bus on the vehicle 10 .
  • the signal blocker 41d blocks the corresponding signal from being sent to the outside of the function substitution unit 40 when the unauthorized signal detector 41c detects an unauthorized CAN signal. Specifically, by partially interrupting the CAN signal relaying function of the CAN transmitting/receiving unit 41a, it is possible to prevent transmission of illegal CAN signals. When the signal cutoff unit 41d detects an incorrect CAN signal, the notification unit 41e notifies the upper ECU of the information.
  • FIG. 4 is a perspective view showing an example of the appearance of the function substitution unit 40.
  • the function substitution unit 40 shown in FIG. 4 has connectors for connecting terminals T1 to T7 and T9. Therefore, each communication line (twisted pair line of CAN bus) of a plurality of wire harnesses can be connected to any one of the terminals T1 to T7, and the power line and ground of the wire harness can be connected to the terminal T9.
  • each communication line twisted pair line of CAN bus
  • the power line and ground of the wire harness can be connected to the terminal T9.
  • the function substitution unit 40 in FIG. 4 can be connected to the connection position Pc1 in FIG. 1 instead of a general joint connector in order to connect multiple wire harnesses to each other.
  • FIG. 5 is a flow chart showing an outline of control in the function substitution unit 40.
  • FIG. A microcomputer 41 in the function substitution unit 40 implements the control of FIG. The control of FIG. 5 will be described below.
  • the microcomputer 41 identifies in S11 whether or not the vehicle 10 is stopped, and if it is stopped, it proceeds to the processing of S12, and if it is not stopped, it proceeds to the processing of S17. For example, by acquiring information on the traveling speed of the vehicle 10 from another ECU via the CAN bus, it is possible to identify whether the vehicle 10 is stopped. Of course, identification can also be made based on information other than the running speed.
  • the CAN signal monitoring unit 41b of the microcomputer 41 identifies in S12 whether or not a CAN signal from another ECU has been received at any of the terminals T1 to T7, and if received, proceeds to the next processing of S13.
  • the CAN signal monitoring unit 41b identifies the communication port to which the CAN signal received from another ECU is input. That is, the CAN signal monitoring unit 41b identifies at S13 from which position of the terminals T1 to T7 the CAN signal was input to the function substitution unit 40.
  • the CAN signal monitoring unit 41b identifies, in S14, the difference in the area of the route through which the CAN signal received from another ECU is input. Specifically, the CAN signal monitoring unit 41b monitors the CAN signals input from the terminals T1 to T3 belonging to the A system SA to which the wire harness of the route passing through the engine room 10a is connected, are distinguished from the CAN signals input from the terminals T4 to T7 belonging to the B system SB to which the wire harness of .
  • the fraudulent signal detection unit 41c of the microcomputer 41 uses the communication port specified in S13, the division of the area specified in S14, the type and content of the input CAN signal, the received timing, etc., and a predetermined fraud determination. Based on the conditions, each received CAN signal is identified in S15 as to whether or not it is an illegal CAN signal.
  • the fraud determination conditions to be compared by the fraud signal detection unit 41c are determined in advance for each terminal of the communication port and for each area, taking into consideration the characteristics and specifications of the authorized on-vehicle devices connected thereto. can be kept separately.
  • a CAN signal of the type intended for smart key verification is used in the engine room 10a. is not input to the function substitution unit 40 via a route passing through the .
  • this CAN signal can be regarded as illegal.
  • the microcomputer 41 proceeds to the processing from S15 to S16 when the unauthorized signal detection unit 41c detects an unauthorized CAN signal, and proceeds to the processing of S17 when no unauthorized CAN signal is detected.
  • the signal blocking unit 41d of the microcomputer 41 blocks the unauthorized CAN signal detected by the unauthorized signal detection unit 41c in S16, and processes it so that it is not output to the CAN bus on the downstream side.
  • the notification unit 41e notifies the host ECU that an incorrect CAN signal has been detected.
  • the CAN transmitting/receiving unit 41a relays the received CAN signal and directly outputs it to the downstream CAN bus (S17). For example, when a CAN signal is input to the function substitution unit 40 from the terminal T1, the same CAN signal as the input generated by the relay is output to each of the other terminals T2 to T7. Alternatively, in a situation where security is particularly important, CAN signals can be sent only to necessary locations among the terminals T2 to T7 according to the destination specified for each signal.
  • FIG. 6 is a block diagram showing a configuration example of a communication network using joint connectors.
  • FIG. 7 is a time chart showing an example of communication operations in the communication network of FIG.
  • a joint connector 50 having seven terminals T1 to T7 is arranged at the connection position Pc1 in the same manner as the function substitution unit 40 described above.
  • the electrical circuits of the seven terminals T1-T7 are commonly connected inside the joint connector 50.
  • FIG. Therefore, for example, a CAN signal input from the terminal T1 passes through the joint connector 50 and is output to each of the other terminals T2 to T7.
  • the ECUs 51, 52, and 53 are located inside the engine room 10a, and the ECUs 54, 55, 56, and 57 are located inside the vehicle compartment 10b. Further, the ECU 52 has a function of controlling the engine, the ECU 55 has a function of permitting opening and closing of the door, and the ECU 56 has a function of receiving and processing a radio signal from a regular smart key.
  • the ECU 51 is connected to the terminal T3 of the joint connector 50 via the CAN bus 31A
  • the ECU 52 is connected to the terminal T2 of the joint connector 50 via the CAN bus 31B
  • the ECU 53 is connected to the joint connector 50 via the CAN bus 31C.
  • the ECU 54 is connected to the terminal T4 of the joint connector 50 via the CAN bus 33A
  • the ECU 55 is connected to the terminal T5 of the joint connector 50 via the CAN bus 33B
  • the ECU 56 is connected to the joint connector 50 via the CAN bus 33C. It is connected to the terminal T6 of the connector 50
  • the ECU 57 is connected to the terminal T7 of the joint connector 50 via the CAN bus 33D.
  • the ECU 56 receives the wireless signal of the smart key and checks the key. Then, the ECU 56 sends a CAN signal indicating the collation result to the CAN bus 33C.
  • the CAN signal sent to the CAN bus 33C is input from the terminal T6 to the joint connector 50, passes through the inside of the connector, and is output to the other terminals T1 to T5 and T7.
  • the CAN signal sent by the ECU 56 is input to the ECU 55 via the terminal T5 of the joint connector 50 and the CAN bus 33B. Therefore, the ECU 55 confirms the verification result of the smart key based on the CAN signal output from the ECU 56, and permits unlocking of the door 10c.
  • the radio signal of the regular smart key is received by the ECU 56, and the ECU 56 gives the verification result to the terminal T6 of the joint connector 50 as a CAN transmission signal (Tx).
  • a CAN signal sent from the ECU 56 is input to the terminal T6 of the joint connector 50 as a reception signal (Rx), passes through the interior of the joint connector 50, and is output from the terminal T5 as it is as a transmission signal.
  • the ECU 55 acquires the CAN signal sent from the terminal T5 of the joint connector 50 as a received signal.
  • FIG. 8 is a block diagram showing a configuration example of a communication network using joint connectors.
  • FIG. 9 is a time chart showing an example of communication operations in the communication network of FIG.
  • the spoofing device 60 spoofs the ECU 56 and transmits a spoofed (fake) CAN signal that has been crafted to substantially match the CAN signal output by the ECU 56 when receiving a signal from a legitimate smart key. send to
  • the spoofed CAN signal sent by the spoofing device 60 is input from the CAN bus 31B to the terminal T2 of the joint connector 50, passes through the joint connector 50 as it is, and is output from the terminal T5. Therefore, a spoofed CAN signal is input to the ECU 55 via the CAN bus 33B, causing the ECU 55 to malfunction. In other words, the ECU 55 accepts the signal from the spoofing device 60 and permits unlocking of the door 10c even though there is no authorized smart key.
  • the ECU 56 does not transmit the official CAN signal to the terminal T6 of the joint connector 50 because it does not receive the wireless signal from the official smart key, but the false CAN signal sent from the spoofing device 60 A CAN signal appears at the terminal T2 of the joint connector 50. Since this false CAN signal passes through the joint connector 50 and is output from the terminal T5, the ECU 55 receives the false CAN signal.
  • FIG. 10 is a block diagram showing a configuration example of a communication network in which a function proxy unit 40 is connected instead of a joint connector.
  • FIG. 11 is a time chart showing an example of communication operations in the communication network of FIG.
  • the configuration of the communication network in FIG. 10 is the same as in FIG. 6 except that the function proxy unit 40 is connected instead of the joint connector 50.
  • the ECUs 51, 52, and 53 are located inside the engine room 10a, and the ECUs 54, 55, 56, and 57 are located inside the vehicle compartment 10b. Further, the ECU 52 has a function of controlling the engine, the ECU 55 has a function of permitting opening and closing of the door, and the ECU 56 has a function of receiving and processing a radio signal from a regular smart key.
  • the ECU 51 is connected to the terminal T3 of the function substitution unit 40 via the CAN bus 31A
  • the ECU 52 is connected to the terminal T2 of the function substitution unit 40 via the CAN bus 31B
  • the ECU 53 is connected to the function substitution unit 40 via the CAN bus 31C. It is connected to the terminal T1 of the proxy unit 40.
  • the ECU 54 is connected to the terminal T4 of the function substitution unit 40 via the CAN bus 33A
  • the ECU 55 is connected to the terminal T5 of the function substitution unit 40 via the CAN bus 33B
  • the ECU 56 is connected to the terminal T5 of the function substitution unit 40 via the CAN bus 33C.
  • the ECU 57 is connected to the terminal T7 of the function substitution unit 40 via the CAN bus 33D.
  • the terminals T1 to T3 of the function substitution unit 40 are divided into the A system SA. Also, since the CAN buses 33A, 33B, 33C, and 33D are routed so as not to pass through the engine room 10a, the terminals T4 to T7 of the function substitution unit 40 are divided into the B system SB.
  • the ECU 56 receives the wireless signal of the smart key and checks the key. Then, the ECU 56 sends a CAN signal indicating the collation result to the CAN bus 33C.
  • the CAN signal sent to the CAN bus 33C is input to the function substitution unit 40 from the terminal T6.
  • the microcomputer 41 of the function substitution unit 40 can recognize the CAN signal input to the terminal T6 as a normal signal. Therefore, the function substitution unit 40 relays the CAN signal input to the terminal T6 by the CAN transmitting/receiving section 41a (S17) and sends it to the terminal T5.
  • the same CAN signal as the CAN signal sent from the ECU 56 is input to the ECU 55 via the terminal T5 of the function substitution unit 40 and the CAN bus 33B. Therefore, the ECU 55 confirms the verification result of the smart key based on the CAN signal output from the ECU 56, and permits unlocking of the door 10c.
  • the ECU 56 receives the radio signal of the regular smart key, and the ECU 56 gives the verification result to the terminal T6 of the function substitution unit 40 as a CAN transmission signal (Tx).
  • the function substitution unit 40 monitors the CAN signal input from the terminal T6 and distinguishes between a normal signal and an illegal signal.
  • the CAN signal relayed inside the function substitution unit 40 is sent to channels other than the terminal T6, that is, all or part of the terminals T1 to T5 and T7. do.
  • the ECU 55 acquires the CAN signal sent from the terminal T5 of the function substitution unit 40 as a received signal and permits unlocking of the door 10c.
  • FIG. 12 is a block diagram showing a configuration example of a communication network in which the function proxy unit 40 is connected instead of the joint connector.
  • 13 is a time chart showing an example of communication operations in the communication network of FIG. 12.
  • the spoofing device 60 spoofs the ECU 56 and transmits a spoofed (fake) CAN signal that has been crafted to substantially match the CAN signal output by the ECU 56 when receiving a signal from a legitimate smart key. send to
  • the spoofed CAN signal sent by the spoofing device 60 is input to the terminal T2 of the function substitution unit 40 from the CAN bus 31B.
  • the CAN signal monitoring section 41b of the function substitution unit 40 receives and monitors the CAN signal input to the terminal T2. Also, the number of the terminal T2 that received this CAN signal and the system (SA) of the wire harness assigned thereto are recognized (S13, S14).
  • the spoofed CAN signal sent by the spoofing device 60 is related to smart key verification.
  • a normal CAN signal is sent to the terminal T6 belonging to the B system SB. Therefore, the CAN signal monitoring section 41b of the function substitution unit 40 detects that the terminal T2 receives a CAN signal from the engine room 10a through an improbable path. Therefore, the illegal signal detection section 41c determines that this CAN signal is illegal, and the signal blocking section 41d blocks this false CAN signal inside the function substitution unit 40.
  • FIG. 13 The operation shown in FIG. 13 will be described.
  • the ECU 56 does not send a CAN signal because there is no authorized smart key in the vicinity of the ECU 56 .
  • the normal CAN signal is not input to the terminal T6 of the function substitution unit 40.
  • the spoofing device 60 sends out a CAN signal spoofing to the ECU 56.
  • This spoofed CAN signal is input to the function substitution unit 40 from the terminal T2.
  • the CAN signal monitoring unit 41b in the function substitution unit 40 confirms that the CAN signal representing verification of the smart key is input from an impossible path, and the unauthorized signal detection unit 41c detects this as an unauthorized signal. .
  • the signal blocking unit 41d blocks the unauthorized signal, so that the false CAN signal sent from the spoofing device 60 passes through the function substitution unit 40 and is output. Therefore, the ECU 55 does not permit unlocking of the door 10c.
  • the notification unit 41e notifies the higher-level meter ECU of information indicating that an unauthorized signal has been detected by a CAN signal.
  • the meter ECU displays information representing unauthorized access based on the information notified from the function substitution unit 40 . Further, the meter ECU controls so that a predetermined security alarm sounds. Furthermore, when the vehicle 10 is managed by a predetermined data center or the like, the meter ECU notifies the data center of the occurrence of the abnormality. Also, if there is a pre-registered user's smartphone, the occurrence of an abnormality is notified from the meter ECU to the user's smartphone or from the data center to the user's smartphone.
  • the function substitution unit 40 arranged at the connection position Pc1 in the entire wire harness enters from the area of the engine room 10a through the wire harness 31. It is possible to distinguish between an illegal CAN signal and a legitimate CAN signal input from the area inside the vehicle compartment 10b via the wire harnesses 33-36. Therefore, when an intruder connects the spoofing device 60 to the engine room 10a, the attack from the spoofing device 60 can be automatically detected by the function substitution unit 40 and blocked.
  • each CAN signal is relayed inside the function substitution unit 40 and then output, so a signal delay occurs due to the relay.
  • signal delay that occurs while the vehicle is running can be minimized.
  • Vehicle theft usually occurs when the vehicle is stopped and is caused by an attack from a spoofing device 60 connected to the wire harness 31 or the like in the area of the engine room 10a that is exposed to the outside even when the vehicle is locked. Therefore, an attack can be avoided even if the CAN signal is monitored only while the vehicle is stopped.
  • the function substitution unit 40 when the function substitution unit 40 is connected to the wire harness, the existing CAN bus is used as it is, so it is possible to implement anti-theft measures to the vehicle 10 without adding any other special communication line. . Therefore, it is possible to minimize work such as wiring of a wire harness required when adding an anti-theft function to an existing vehicle. Moreover, when designing a new wire harness for a vehicle equipped with an anti-theft function, there is almost no difference in configuration from existing wire harnesses, so the burden of design work is reduced. Also, changes in the manufacturing process of the wire harness can be minimized.
  • a first common communication line (wire harnesses 33 to 36) wired in a first area (vehicle 10b) where it is physically difficult for unauthorized external devices to access the vehicle (10); a second common communication line (wire harness 31), at least a portion of which is routed in a second area (engine room 10a) where access by unauthorized external devices on the vehicle is physically easy; a common connector portion (connection position Pc1, terminals T1 to T3) that physically connects the first common communication line and the second common communication line; a first connecting portion (terminals T4 to T6) capable of connecting one or more first vehicle-mounted devices arranged in the first region and the first common communication line; a higher connection unit (terminal T7) capable of connecting the first common communication line and a higher management unit (central gateway 11) that manages communication in a system higher than the first common communication line; a proxy management unit (function proxy unit 40)
  • the proxy management section can distinguish between the signals in the first area and the signals in the second area on the vehicle using an existing communication line. , it is possible to identify unauthorized signals entering from the second area without adding a special communication line. Therefore, measures such as vehicle theft prevention are facilitated. That is, in existing vehicles, it is only necessary to attach the function substitution unit 40 instead of the joint connector 50 to the existing wire harness. Also, when implementing anti-theft measures for a new vehicle, there is almost no need to change the configuration of the wire harness (especially the number of communication lines). The changes are very minor.
  • the substitute management unit (microcomputer 41) identifies at least whether the vehicle is in a stopped state (S11), and only when the vehicle is in a stopped state, the input from the second common communication line is detected. monitor the communication and identify the presence or absence of unauthorized communication (S12 to S15), The in-vehicle communication line connection device according to the above [1].
  • the in-vehicle communication line connection device having the configuration [2] above, since the process of monitoring fraudulent signals is not required while the vehicle is running, it is easy to minimize delays occurring in signals to be communicated. It becomes possible to avoid the responsiveness of the in-vehicle system from deteriorating during the period. In addition, since vehicle theft occurs while the vehicle is stopped, it is considered that there will be no problem even if the monitoring of fraudulent signals is omitted while the vehicle is running.
  • At least part of the second common communication line is routed in an engine room (10a) of the vehicle,
  • the in-vehicle communication line connection device according to the above [1] or [2].
  • the in-vehicle communication line connection device having the configuration [3] above, when an unauthorized device is installed in the engine room by an intruder, an unauthorized signal sent from the unauthorized device and an authorized signal in the vehicle interior Since it is possible to distinguish between correct signals sent from devices, it is possible to prevent damage caused by spoofing by unauthorized devices.
  • the proxy management unit has a blocking function (signal having a blocking portion 41d), The in-vehicle communication line connection device according to any one of [1] to [3] above.
  • the in-vehicle communication line connection device having the above configuration [4], it is possible to prevent an unauthorized signal generated from an unauthorized device from being transmitted to the downstream side through the proxy management unit. It is no longer necessary to add a special safety measure function to the device.
  • the proxy management section sets an identification condition assigned in advance to each terminal. (illegal condition table TB1) and the state of the communication signal appearing at each terminal are compared to identify the presence or absence of unauthorized communication (S13 to S15);
  • the in-vehicle communication line connection device according to any one of [1] to [4] above.
  • the in-vehicle communication line connection device having the configuration [5] above, it is possible to identify whether or not the communication is fraudulent under an independent condition for each terminal. type, timing, etc.) to increase the accuracy of fraud determination.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Mechanical Engineering (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Small-Scale Networks (AREA)
  • Architecture (AREA)
  • Civil Engineering (AREA)
  • Structural Engineering (AREA)
  • Connection Or Junction Boxes (AREA)

Abstract

ワイヤハーネスの複数系統の通信線が集中する位置（Ｐｃ１）に、ジョイントコネクタの代わりに機能代行ユニット（４０）を取り付ける。機能代行ユニット（４０）は複数系統のＣＡＮバスを接続するための複数の端子を有し、各端子の位置とＣＡＮ信号が通過した経路の領域を区別することで、不正な機器から送出された不正な信号を検出し遮断する。

Description

車載通信線接続装置
　本開示は、車載通信線接続装置に関し、特に車両上の通信ネットワークへの不正な機器の接続に対する安全対策のための技術に関する。
　近年、ＣＡＮインベーダーと呼ばれる手法で車両盗難が行われる事例が増えている。この手口は、車両の外側から不正な機器を車両上のＣＡＮ(Controller Area Network)のコネクタなどに接続し、例えばスマートキーからの信号を認識する正規の車載ＥＣＵなどになりすました信号を車両側のネットワークに送り込んで車載機器の誤動作を誘発させるものである。
　一方、例えば特許文献１には、車両においてセキュリティ対策を高めることが可能な電子制御システムが開示されている。この電子制御システムは、車両に搭載されるＣＡＮバスと、車両の状態に関する情報を示す車両状態信号の通信のみに用いられる配線である専用線を介して車両状態信号を受信し、当該車両状態信号に基づいて制御指示信号をＣＡＮバスに送信するＡＤＡＳ制御ＥＣＵと、ＣＡＮバスを介してＡＤＡＳ制御ＥＣＵから送信された制御指示信号を受信し、当該制御指示信号に基づいて車両の駆動に関する制御を行うアクチュエータＥＣＵとを備える。
日本国特開２０２０－１０８１３２号公報
　特許文献１に開示されている技術を用いる場合には、ＣＡＮバスから独立している専用線を介して車両状態信号の通信ができる。つまり、二重化された通信線を同時に利用して通信できる。そのため、例えば車両の外部に接続された不正な機器により、なりすましの不正な信号がＣＡＮバスに送り込まれた場合であっても、その信号がなりすましであることを検知することが比較的容易になると考えられる。
　しかしながら、特許文献１の技術を用いる場合は、様々な車載機器の間を接続するワイヤハーネスに、既存の電線の他に新たに専用線を物理的に追加しなければならない。したがって、例えば新たな車両用のワイヤハーネスを製造する場合には、ワイヤハーネスの仕様を再設計する必要がある。具体的には、専用線の追加に伴ってワイヤハーネスの外装部材の形状を適切に変更したり、ワイヤハーネスの組み立て順序を適切に変更する必要があるので、様々な箇所にその影響が派生する。
　また、既存の車両におけるセキュリティ対策として特許文献１の技術を採用する場合は、既存のワイヤハーネスの外側に新たな専用線を物理的に追加しなければならないので、専用線の配索、専用線と他の回路との接続、専用線を保護するための外装材の追加などの様々な作業が必要になる。つまり、新たに専用線を追加することは実際には容易ではなく、既存の車両においては簡単なセキュリティ対策の実現が困難である。
　本開示は、上述した事情に鑑みてなされたものであり、その目的は、車両上のワイヤハーネスの構造に大きな影響を与える電線の追加を伴うことなく、車両上の通信ネットワークへの不正な侵入を防止することが容易な車載通信線接続装置を提供することにある。
　本開示に係る上記目的は、下記構成により達成される。
　車両上で不正な外部機器のアクセスが物理的に困難な第１領域に配索される第１共通通信線と、
　前記車両上で不正な外部機器のアクセスが物理的に容易な第２領域に少なくとも一部分が配索される第２共通通信線と、
　前記第１共通通信線と、前記第２共通通信線とを物理的に接続する共通コネクタ部と、
　前記第１領域に配置される１つ以上の第１車載機器と前記第１共通通信線とを接続可能な第１接続部と、
　前記第１共通通信線と、前記第１共通通信線よりも上位の系統の通信を管理する上位管理部とを接続可能な上位接続部と、
　前記共通コネクタ部の内部もしくはその近傍に配置され、少なくとも前記第２共通通信線から前記第１共通通信線に向かう方向の不正通信を監視する代行管理部と、
　を備える車載通信線接続装置。
　本開示の車載通信線接続装置によれば、車両上の通信ネットワークへの不正な侵入を防止することが容易になる。しかも、車両上のワイヤハーネスの構造に大きな影響を与える電線の追加は不要である。
　以上、本開示について簡潔に説明した。更に、以下に説明される開示を実施するための形態（以下、「実施形態」という。）を添付の図面を参照して通読することにより、本開示の詳細は更に明確化されるであろう。
図１は、実施形態に係る車載通信線接続装置を搭載した車両上の主要な構成要素の配置例を示す平面図である。 図２は、車両上の通信ネットワークの構成例を示すブロック図である。 図３は、実施形態に係る車載通信線接続装置に含まれる機能代行ユニットの構成例を示すブロック図である。 図４は、機能代行ユニットの外観の例を示す斜視図である。 図５は、機能代行ユニットにおける制御の概要を示すフローチャートである。 図６は、ジョイントコネクタを用いた通信ネットワークの構成例を示すブロック図である。 図７は、図６の通信ネットワークにおける通信動作の例を示すタイムチャートである。 図８は、ジョイントコネクタを用いた通信ネットワークの構成例を示すブロック図である。 図９は、図８の通信ネットワークにおける通信動作の例を示すタイムチャートである。 図１０は、ジョイントコネクタの代わりに機能代行ユニットを接続した通信ネットワークの構成例を示すブロック図である。 図１１は、図１０の通信ネットワークにおける通信動作の例を示すタイムチャートである。 図１２は、ジョイントコネクタの代わりに機能代行ユニットを接続した通信ネットワークの構成例を示すブロック図である。 図１３は、図１２の通信ネットワークにおける通信動作の例を示すタイムチャートである。
　本開示に関する具体的な実施形態について、各図を参照しながら以下に説明する。
　図１は、実施形態に係る車載通信線接続装置を搭載した車両上の主要な構成要素の配置例を示す平面図である。図１において、左側および右側がそれぞれ車両１０の前側および後側を表している。また、本実施形態では、車載通信線接続装置は車両上に配索されたワイヤハーネスを含む通信システムとして構成してある。
　車両１０は、その車体の前側にエンジンルーム１０ａを有し、中央部に車室１０ｂを有する。エンジンルーム１０ａと車室１０ｂは、互いに仕切りで区画され独立した空間を形成している。また、車両１０は、車室１０ｂの左右に開閉可能な複数のドア１０ｃを前後に備える。ドア１０ｃが閉じてロック状態になると、車両１０の外側から車室１０ｂ内への不正侵入は困難になる。
　一方、エンジンルーム１０ａの上側は開閉可能なボンネットで覆われているが、エンジンルーム１０ａの下側は開放された状態になっている。したがって、エンジンルーム１０ａ内に配索されているワイヤハーネスなどに不正な機器を接続することは比較的容易である。したがって、不正な侵入者により車両盗難の被害を受ける場合には、エンジンルーム１０ａ内の機器やワイヤハーネスが攻撃の際の侵入経路になりやすい。
　図１に示した例では、複数の車載機器２１、２２がエンジンルーム１０ａ内に配置されている。また、エンジンルーム１０ａ内の各車載機器２１、２２は、ワイヤハーネス３１を介して車室１０ｂ側と接続されている。
　一方、車室１０ｂ内や荷室側にも複数の車載機器２３、２４、２５、２６、２７が配置されている。また、セントラルゲートウェイ（ＣＧＷ）１１の機能を果たす特別な電子制御ユニット（ＥＣＵ）が車室１０ｂ側に配置されている。
　セントラルゲートウェイ１１は、車両１０上の複数系統（ボディ系、ＡＤＡＳ系、パワトレ・シャシ系等）の間で通信の相互接続を可能にすると共に、無線通信網を経由した外部からの通信による不正な信号の侵入を阻止するためのセキュリティ機能を有している。
　図１に示した例では、車載機器２３、２４、２５、２６、及び２７に、それぞれワイヤハーネス３３、３８、３４、３７、及び３５の一端が接続されている。また、ワイヤハーネス３７及び３８の他端は、セントラルゲートウェイ１１と接続されている。
　一般的な構成の車載システムの場合、複数のワイヤハーネス３１、３２、３３、３４、３５、及び３６が集まる接続位置Ｐｃ１には、ジョイントコネクタ（Ｊ／Ｃ）と呼ばれるコネクタが配置され、ワイヤハーネス３１、３２、３３、３４、３５、及び３６の通信線が接続位置Ｐｃ１で電気的に共通に接続される。
　本実施形態の車載通信線接続装置においては、接続位置Ｐｃ１にジョイントコネクタの代わりに機能代行ユニット４０が接続されている。後述するように、この機能代行ユニット４０は、エンジンルーム１０ａ側からの不正侵入を防止するためのセキュリティ機能を有している。つまり、セントラルゲートウェイ１１が対応できない箇所のセキュリティに関するゲートウェイの機能を代行する機能が機能代行ユニット４０に備わっている。
　図１の例では、複数のワイヤハーネス３１～３６の通信線の一端がそれぞれ機能代行ユニット４０と接続されている。
　図２は、車両１０上の通信ネットワークの構成例を示すブロック図である。
　図２に示した例では、セントラルゲートウェイ１１に複数系統の共通通信線であるＣＡＮバス１２及び１３が接続されている。また、一方のＣＡＮバス１２に複数のＥＣＵ１４Ａ～１４Ｄ及びＥＣＵ１５Ａ及び１５Ｃが接続されている。
　ＣＡＮバス１２は、例えば図１中のワイヤハーネス３１～３５に含めることができる。各ワイヤハーネス３１～３５は、通常は１組以上のＣＡＮバス、電源ライン、及びグランド線を含むように構成される。
　図２に示した例では、４つのＥＣＵ１４Ａ～１４Ｄの通信線（ＣＡＮバス）が接続位置Ｐｃ１に集中してこの位置で共通に接続されている。また、３つのＥＣＵ１５Ａ～１５Ｃの通信線（ＣＡＮバス）が接続位置Ｐｃ２に集中してこの位置で共通に接続されている。なお、各ＣＡＮバスは通常は１対のツイストペア線により構成される。
　例えば、図２中の接続位置Ｐｃ１に一般的なジョイントコネクタを設置した場合には、４つのＥＣＵ１４Ａ～１４Ｄの全ての通信線が共通に接続され、且つＥＣＵ１４Ａ～１４ＤがＣＡＮバス１２と直接接続される。
　一方、図１に示したように接続位置Ｐｃ１に機能代行ユニット４０を設置した場合には、ＥＣＵ１４Ａ～１４ＤのそれぞれのＣＡＮ通信は、機能代行ユニット４０により中継されてからＣＡＮバス１２と接続される。
　図３は、実施形態に係る車載通信線接続装置に含まれる機能代行ユニット４０の構成例を示すブロック図である。
　図３に示した例では、機能代行ユニット４０は、他の回路と接続するために８個の端子Ｔ１、Ｔ２、Ｔ３、Ｔ４、Ｔ５、Ｔ６、Ｔ７、及びＴ９を有している。７個の端子Ｔ１～Ｔ７は、それぞれ異なる系統のワイヤハーネス上のＣＡＮバスと接続するために利用される。端子Ｔ９は、電源（＋Ｂ）及びグランド（ＧＮＤ）と接続するために利用される。
　本実施形態では、７個の端子Ｔ１～Ｔ７のうち端子Ｔ１～Ｔ３はＡ系統ＳＡに属し、端子Ｔ４～Ｔ７はＢ系統ＳＢに属するように機能代行ユニット４０で管理される。ここで、Ａ系統ＳＡは少なくとも一部分がエンジンルーム１０ａ内に配索されるワイヤハーネスに相当する。また、Ｂ系統ＳＢは車室１０ｂ内に配索されるワイヤハーネスに相当する。
　したがって、例えば図１中に示したワイヤハーネス３１は、機能代行ユニット４０の端子Ｔ１～Ｔ３のいずれか１つに接続されるようになっている。また、例えば図１中に示した各ワイヤハーネス３３、３４、３６は、機能代行ユニット４０の端子Ｔ４～Ｔ７のいずれか１つに接続されるようになっている。
　機能代行ユニット４０は、その内部に、マイクロコンピュータ（マイコン）４１、及びＣＡＮ用のインタフェース（Ｉ／Ｆ）４２～４８を備えている。
　マイクロコンピュータ４１は、ＣＡＮ送受信部４１ａ、ＣＡＮ信号監視部４１ｂ、不正信号検出部４１ｃ、信号遮断部４１ｄ、及び通知部４１ｅの各機能を備えている。これらの機能は、例えば予め組み込まれたプログラムをマイクロコンピュータ４１が実行することにより実現する。
　ＣＡＮ送受信部４１ａは、端子Ｔ１～Ｔ７のそれぞれから入力されたＣＡＮ信号を受信すると共に、問題がない場合は受信した信号をそのまま中継して他の端子Ｔ１～Ｔ７へ送出する。
　ＣＡＮ信号監視部４１ｂは、ＣＡＮ送受信部４１ａが受信した各ＣＡＮ信号について、入力された端子の位置、入力された端子の系統（ＳＡ／ＳＢ）、現れたタイミング、信号の種類、信号の内容などを監視することができる。
　なお、ＣＡＮ信号監視部４１ｂが監視する信号の内容については、信号フレームの一部分、例えば各信号フレームの先頭部分にあるＩＤフィールドの内容だけを処理の対象にする場合もある。一部分だけを監視対象にすることで、信号フレームの全体をチェックする場合と比べて、機能代行ユニット４０内部における処理の所要時間を短縮し、機能代行ユニット４０が送出する信号の遅延を減らすことができる。
　不正信号検出部４１ｃは、ＣＡＮ信号監視部４１ｂの監視状態と事前に定めた不正判定条件とに基づいて、ＣＡＮ送受信部４１ａが受信した各ＣＡＮ信号の中から不正なＣＡＮ信号を検出する。例えば、不正信号検出部４１ｃは、車両１０上のＣＡＮバスに接続されたなりすましの機器から送出される不正なＣＡＮ信号を検出する。
　信号遮断部４１ｄは、不正信号検出部４１ｃが不正なＣＡＮ信号を検出した場合に、該当する信号が機能代行ユニット４０の外側に送出されないように遮断する。具体的には、ＣＡＮ送受信部４１ａがＣＡＮ信号を中継する機能を部分的に遮断することで、不正なＣＡＮ信号の送出を防止できる。
　通知部４１ｅは、信号遮断部４１ｄが不正なＣＡＮ信号を検出した場合に、その情報を上位のＥＣＵへ通知する。
　図４は、機能代行ユニット４０の外観の例を示す斜視図である。
　図４に示した機能代行ユニット４０は、端子Ｔ１～Ｔ７、及びＴ９を接続するためのコネクタを有している。したがって、複数系統のワイヤハーネスの各通信線（ＣＡＮバスのツイストペア線）を端子Ｔ１～Ｔ７のいずれかに接続することができ、ワイヤハーネスの電源線およびグランドを端子Ｔ９に接続することができる。
　したがって、図４の機能代行ユニット４０は、複数系統のワイヤハーネスを互いに接続するために、図１中の接続位置Ｐｃ１に一般的なジョイントコネクタの代わりに接続することができる。
　図５は、機能代行ユニット４０における制御の概要を示すフローチャートである。機能代行ユニット４０内のマイクロコンピュータ４１が図５の制御を実施する。図５の制御について以下に説明する。
　マイクロコンピュータ４１は、車両１０が停止中か否かをＳ１１で識別し、停止中ならＳ１２の処理に進み、停止中でなければＳ１７の処理に進む。例えば、車両１０の走行速度の情報をＣＡＮバスを経由して他のＥＣＵから取得することで、車両１０が停止中か否かを識別できる。勿論、走行速度以外の情報に基づいて識別することも可能である。
　マイクロコンピュータ４１のＣＡＮ信号監視部４１ｂは、端子Ｔ１～Ｔ７のいずれかで他のＥＣＵからのＣＡＮ信号を受信したか否かをＳ１２で識別し、受信した場合は次のＳ１３の処理に進む。
　ＣＡＮ信号監視部４１ｂは、他のＥＣＵから受信したＣＡＮ信号が入力された通信ポートをＳ１３で識別する。すなわち、ＣＡＮ信号監視部４１ｂは、端子Ｔ１～Ｔ７のどの位置から機能代行ユニット４０にＣＡＮ信号が入力されたのかをＳ１３で特定する。
　また、ＣＡＮ信号監視部４１ｂは、他のＥＣＵから受信したＣＡＮ信号が入力された経路の領域の違いをＳ１４で識別する。具体的には、ＣＡＮ信号監視部４１ｂは、エンジンルーム１０ａを通過する経路のワイヤハーネスが接続されるＡ系統ＳＡに属する端子Ｔ１～Ｔ３から入力されたＣＡＮ信号と、エンジンルーム１０ａを通過しない経路のワイヤハーネスが接続されるＢ系統ＳＢに属する端子Ｔ４～Ｔ７から入力されたＣＡＮ信号とを区別する。
　マイクロコンピュータ４１の不正信号検出部４１ｃは、Ｓ１３で特定された通信ポート、Ｓ１４で特定された領域の区分、入力されたＣＡＮ信号の種類や内容、受信したタイミングなどと、事前に定めた不正判定条件とに基づいて、不正なＣＡＮ信号か否かを受信したそれぞれのＣＡＮ信号についてＳ１５で識別する。
　不正信号検出部４１ｃが比較する不正判定条件は、通信ポートの端子毎、領域毎に、それぞれに接続される正規の車載機器の特性や仕様を考慮して事前に決定し、不正条件テーブルＴＢ１に個別に保持しておくことができる。
　例えば、スマートキーの照合機能を有する特定のＥＣＵが必ず車室１０ｂ内に設置される仕様の車両であることを前提にすると、スマートキーの照合を目的とする種類のＣＡＮ信号が、エンジンルーム１０ａを通過する経路を経由して機能代行ユニット４０に入力されることはない。このような条件を逸脱したＣＡＮ信号が機能代行ユニット４０に入力された場合には、このＣＡＮ信号を不正とみなすことができる。
　マイクロコンピュータ４１は、不正信号検出部４１ｃが不正なＣＡＮ信号を検出した場合はＳ１５からＳ１６の処理に進み、不正なＣＡＮ信号を検出しない場合はＳ１７の処理に進む。
　マイクロコンピュータ４１の信号遮断部４１ｄは、不正信号検出部４１ｃが検出した不正なＣＡＮ信号をＳ１６で遮断し、それが下流側のＣＡＮバスに出力されないように処理する。また、通知部４１ｅは不正なＣＡＮ信号が検出されたことを上位ＥＣＵに対して通知する。
　不正なＣＡＮ信号が検出されない場合は、ＣＡＮ送受信部４１ａは受信したＣＡＮ信号を中継し、そのまま下流側のＣＡＮバスに出力する（Ｓ１７）。例えば、端子Ｔ１から機能代行ユニット４０にＣＡＮ信号が入力された場合には、中継により生成した入力と同じＣＡＮ信号を他の端子Ｔ２～Ｔ７のそれぞれに出力する。あるいは、特にセキュリティを重視するような状況では信号毎に指定された宛先に応じて端子Ｔ２～Ｔ７のうち必要な箇所に対してのみＣＡＮ信号を送出することもできる。
　次に、ジョイントコネクタを用いた通信ネットワークおよび実施形態の車載通信線接続装置の通信ネットワークの構成例および動作例をそれぞれ説明する。
＜ジョイントコネクタを用いた通信ネットワークの場合＞
＜正常な動作の場合＞
　図６は、ジョイントコネクタを用いた通信ネットワークの構成例を示すブロック図である。図７は、図６の通信ネットワークにおける通信動作の例を示すタイムチャートである。
　図６の通信ネットワークにおいては、前述の機能代行ユニット４０と同様に７個の端子Ｔ１～Ｔ７を有するジョイントコネクタ５０が接続位置Ｐｃ１に配置されている。７個の端子Ｔ１～Ｔ７の電気回路は、ジョイントコネクタ５０の内部で共通に接続されている。したがって、例えば端子Ｔ１から入力されたＣＡＮ信号は、ジョイントコネクタ５０の内部を通過して他の端子Ｔ２～Ｔ７のそれぞれに出力される。
　図６の例では、ＥＣＵ５１、５２、及び５３がそれぞれエンジンルーム１０ａ内にあり、ＥＣＵ５４、５５、５６、及び５７がそれぞれ車室１０ｂ側にある。また、ＥＣＵ５２はエンジン制御の機能を有し、ＥＣＵ５５はドア開閉許可の機能を有し、ＥＣＵ５６は正規のスマートキーからの無線信号を受信して処理する機能を有している。
　ＥＣＵ５１はＣＡＮバス３１Ａを経由してジョイントコネクタ５０の端子Ｔ３と接続され、ＥＣＵ５２はＣＡＮバス３１Ｂを経由してジョイントコネクタ５０の端子Ｔ２と接続され、ＥＣＵ５３はＣＡＮバス３１Ｃを経由してジョイントコネクタ５０の端子Ｔ１と接続されている。また、ＥＣＵ５４はＣＡＮバス３３Ａを経由してジョイントコネクタ５０の端子Ｔ４と接続され、ＥＣＵ５５はＣＡＮバス３３Ｂを経由してジョイントコネクタ５０の端子Ｔ５と接続され、ＥＣＵ５６はＣＡＮバス３３Ｃを経由してジョイントコネクタ５０の端子Ｔ６と接続され、ＥＣＵ５７はＣＡＮバス３３Ｄを経由してジョイントコネクタ５０の端子Ｔ７と接続されている。
　図６に示すように、正規のスマートキーをユーザがＥＣＵ５６に近づけると、ＥＣＵ５６はスマートキーの無線信号を受信してキーの照合を行う。そしてＥＣＵ５６は照合結果を示すＣＡＮ信号をＣＡＮバス３３Ｃに送出する。ＣＡＮバス３３Ｃに送出されたＣＡＮ信号は、端子Ｔ６からジョイントコネクタ５０に入力され、そのコネクタ内部を通過して他の端子Ｔ１～Ｔ５、Ｔ７にそれぞれ出力される。
　この場合、ＥＣＵ５６により送出されたＣＡＮ信号は、ジョイントコネクタ５０の端子Ｔ５、及びＣＡＮバス３３Ｂを経由してＥＣＵ５５に入力される。したがって、ＥＣＵ５５は、ＥＣＵ５６から出力されたＣＡＮ信号によりスマートキーの照合結果を確認し、ドア１０ｃの解錠を許可する。
　つまり、図７に示すように、正規のスマートキーの無線信号がＥＣＵ５６で受信され、ＥＣＵ５６はその照合結果をＣＡＮの送信信号（Ｔｘ）としてジョイントコネクタ５０の端子Ｔ６に与える。ＥＣＵ５６から送出されたＣＡＮの信号は、ジョイントコネクタ５０の端子Ｔ６に受信信号（Ｒｘ）として入力され、ジョイントコネクタ５０の内部を通過してそのまま端子Ｔ５から送信信号として出力される。ＥＣＵ５５は、ジョイントコネクタ５０の端子Ｔ５から送出されたＣＡＮの信号を受信信号として取得する。
＜不正侵入の場合＞
　図８は、ジョイントコネクタを用いた通信ネットワークの構成例を示すブロック図である。図９は、図８の通信ネットワークにおける通信動作の例を示すタイムチャートである。
　図８に示した構成においては、正規のスマートキーが存在せず、代わりに不正ななりすまし機器６０がＣＡＮバス３１Ｂに不正に接続された場合を想定している。それ以外の構成は図６と同様である。
　つまり、図８中のＣＡＮバス３１Ｂはエンジンルーム１０ａ内に露出した状態で配索されているので、ドア１０ｃが施錠されている状態であっても、停止状態の車両１０のＣＡＮバス３１Ｂに対して侵入者がなりすまし機器６０を取り付けることが可能である。
　この場合、なりすまし機器６０はＥＣＵ５６になりすまし、正規のスマートキーからの信号を受信した場合にＥＣＵ５６が出力するＣＡＮ信号とほぼ一致するように細工されたなりすましの（偽の）ＣＡＮ信号をＣＡＮバス３１Ｂに送出する。
　なりすまし機器６０が送出したなりすましのＣＡＮ信号は、ＣＡＮバス３１Ｂからジョイントコネクタ５０の端子Ｔ２に入力され、ジョイントコネクタ５０の内部をそのまま通過して端子Ｔ５から出力される。したがって、なりすましのＣＡＮ信号がＣＡＮバス３３Ｂを経由してＥＣＵ５５に入力され、ＥＣＵ５５が誤動作する。すなわち、正規のスマートキーが存在しないにもかかわらず、ＥＣＵ５５はなりすまし機器６０からの信号を受け付けてドア１０ｃの解錠を許可する。
　つまり、図９に示すように、正規のスマートキーからの無線信号を受信していないので、ＥＣＵ５６はジョイントコネクタ５０の端子Ｔ６に正規のＣＡＮ信号を送信しないが、なりすまし機器６０から送出された偽のＣＡＮ信号がジョイントコネクタ５０の端子Ｔ２に現れる。この偽のＣＡＮ信号がジョイントコネクタ５０の内部を通過して端子Ｔ５から出力されるため、ＥＣＵ５５が偽のＣＡＮ信号を受信してしまう。
　そして、偽のＣＡＮ信号が正規のＣＡＮ信号とほぼ一致する場合には、なりすましを検知することができず、ドア１０ｃの解錠許可を発生してしまう。その結果、侵入者が不正にドア１０ｃを開けて車両１０に乗り込み、エンジンを始動することも可能になる。
＜実施形態の車載通信線接続装置の通信ネットワークの場合＞
＜正常な動作の場合＞
　図１０は、ジョイントコネクタの代わりに機能代行ユニット４０を接続した通信ネットワークの構成例を示すブロック図である。図１１は、図１０の通信ネットワークにおける通信動作の例を示すタイムチャートである。
　図１０の通信ネットワークの構成は、ジョイントコネクタ５０の代わりに機能代行ユニット４０が接続されている点以外は図６と同様である。
　図１０の例では、ＥＣＵ５１、５２、及び５３がそれぞれエンジンルーム１０ａ内にあり、ＥＣＵ５４、５５、５６、及び５７がそれぞれ車室１０ｂ側にある。また、ＥＣＵ５２はエンジン制御の機能を有し、ＥＣＵ５５はドア開閉許可の機能を有し、ＥＣＵ５６は正規のスマートキーからの無線信号を受信して処理する機能を有している。
　ＥＣＵ５１はＣＡＮバス３１Ａを経由して機能代行ユニット４０の端子Ｔ３と接続され、ＥＣＵ５２はＣＡＮバス３１Ｂを経由して機能代行ユニット４０の端子Ｔ２と接続され、ＥＣＵ５３はＣＡＮバス３１Ｃを経由して機能代行ユニット４０の端子Ｔ１と接続されている。また、ＥＣＵ５４はＣＡＮバス３３Ａを経由して機能代行ユニット４０の端子Ｔ４と接続され、ＥＣＵ５５はＣＡＮバス３３Ｂを経由して機能代行ユニット４０の端子Ｔ５と接続され、ＥＣＵ５６はＣＡＮバス３３Ｃを経由して機能代行ユニット４０の端子Ｔ６と接続され、ＥＣＵ５７はＣＡＮバス３３Ｄを経由して機能代行ユニット４０の端子Ｔ７と接続されている。
　また、各ＣＡＮバス３１Ａ、３１Ｂ、３１Ｃは、エンジンルーム１０ａ内に配索されているので、機能代行ユニット４０の端子Ｔ１～Ｔ３はＡ系統ＳＡに区分されている。また、各ＣＡＮバス３３Ａ、３３Ｂ、３３Ｃ、３３Ｄは、エンジンルーム１０ａ内を通過しないように配索されているので、機能代行ユニット４０の端子Ｔ４～Ｔ７はＢ系統ＳＢに区分されている。
　図１０に示すように、正規のスマートキーをユーザがＥＣＵ５６に近づけると、ＥＣＵ５６は、スマートキーの無線信号を受信してキーの照合を行う。そしてＥＣＵ５６は、照合結果を示すＣＡＮ信号をＣＡＮバス３３Ｃに送出する。ＣＡＮバス３３Ｃに送出されたＣＡＮ信号は、端子Ｔ６から機能代行ユニット４０に入力される。
　ここで、端子Ｔ６はＢ系統ＳＢ側に割り当てられているので、機能代行ユニット４０のマイクロコンピュータ４１は、端子Ｔ６に入力されたＣＡＮ信号を正規の信号として認識できる。したがって、機能代行ユニット４０は、端子Ｔ６に入力されたＣＡＮ信号をＣＡＮ送受信部４１ａで中継して（Ｓ１７）、端子Ｔ５に送出する。
　したがって、ＥＣＵ５６の送出したＣＡＮ信号と同じＣＡＮ信号が機能代行ユニット４０の端子Ｔ５、及びＣＡＮバス３３Ｂを経由してＥＣＵ５５に入力される。そのため、ＥＣＵ５５は、ＥＣＵ５６から出力されたＣＡＮ信号によりスマートキーの照合結果を確認し、ドア１０ｃの解錠を許可する。
　つまり、図１１に示すように、正規のスマートキーの無線信号がＥＣＵ５６で受信され、その照合結果をＥＣＵ５６がＣＡＮの送信信号（Ｔｘ）として機能代行ユニット４０の端子Ｔ６に与える。機能代行ユニット４０は、端子Ｔ６から入力されたＣＡＮ信号を監視して正常な信号と不正な信号とを区別する。
　正常な信号が端子Ｔ６に入力された場合は、端子Ｔ６以外のチャネル、すなわち端子Ｔ１～Ｔ５、及びＴ７の全て、あるいはそれらの一部分に対して機能代行ユニット４０の内部で中継したＣＡＮ信号を送出する。
　なお、この中継の際に機能代行ユニット４０内部の信号処理に伴う遅延が発生するので、図１１に示すように端子Ｔ５に送出されるＣＡＮ信号のタイミングは、端子Ｔ６に入力されたＣＡＮ信号に対して少し遅延する。但し、機能代行ユニット４０の内部における処理の負荷を減らすことで遅延時間を短縮することが可能である。例えば、ＣＡＮ信号の監視対象を信号フレームのＩＤフィールドなど一部分のみに限定することで、遅延を減らすことができる。
　ＥＣＵ５５は、機能代行ユニット４０の端子Ｔ５から送出されたＣＡＮの信号を受信信号として取得し、ドア１０ｃの解錠を許可する。
＜不正侵入の場合＞
　図１２は、ジョイントコネクタの代わりに機能代行ユニット４０を接続した通信ネットワークの構成例を示すブロック図である。図１３は、図１２の通信ネットワークにおける通信動作の例を示すタイムチャートである。
　図１２に示した構成においては、正規のスマートキーが存在せず、代わりに不正ななりすまし機器６０がＣＡＮバス３１Ｂに不正に接続された場合を想定している。それ以外の構成は図１０と同様である。
　つまり、図１２中のＣＡＮバス３１Ｂはエンジンルーム１０ａ内に露出した状態で配索されているので、ドア１０ｃが施錠されている状態であっても、停止状態の車両１０のＣＡＮバス３１Ｂに対して侵入者がなりすまし機器６０を取り付けることが可能である。
　この場合、なりすまし機器６０はＥＣＵ５６になりすまし、正規のスマートキーからの信号を受信した場合にＥＣＵ５６が出力するＣＡＮ信号とほぼ一致するように細工されたなりすましの（偽の）ＣＡＮ信号をＣＡＮバス３１Ｂに送出する。
　なりすまし機器６０が送出したなりすましのＣＡＮ信号は、ＣＡＮバス３１Ｂから機能代行ユニット４０の端子Ｔ２に入力される。
　機能代行ユニット４０のＣＡＮ信号監視部４１ｂは、端子Ｔ２に入力されたＣＡＮ信号を受信して監視する。また、このＣＡＮ信号を受信した端子Ｔ２の番号や、それに割り当てられたワイヤハーネスの系統（ＳＡ）を認識する（Ｓ１３、Ｓ１４）。
　ここで、なりすまし機器６０が送出したなりすましのＣＡＮ信号は、スマートキーの照合に関するものであるが、車両１０の仕様上、スマートキーの信号を処理する正規のＥＣＵ５６は車室１０ｂ内に存在し、正規のＣＡＮ信号をＢ系統ＳＢに属する端子Ｔ６に送出する。したがって、機能代行ユニット４０のＣＡＮ信号監視部４１ｂはエンジンルーム１０ａ側から入力されたありえない経路からのＣＡＮ信号を端子Ｔ２で受信したことを検知する。したがって、このＣＡＮ信号を不正信号検出部４１ｃが不正な信号であると判断し、信号遮断部４１ｄがこの偽のＣＡＮ信号を機能代行ユニット４０の内部で遮断する。そのため、なりすまし機器６０の送出したなりすましのＣＡＮ信号がＥＣＵ５５に届くことはなく、ドア１０ｃの施錠状態が維持される。
　図１３に示した動作について説明する。図１３の状況においては、正規のスマートキーがＥＣＵ５６の近傍に存在しないので、ＥＣＵ５６はＣＡＮ信号を送出しない。つまり、機能代行ユニット４０の端子Ｔ６には正規のＣＡＮ信号が入力されない。
　一方、なりすまし機器６０はＥＣＵ５６になりすましたＣＡＮ信号を送出する。このなりすましのＣＡＮ信号は、端子Ｔ２から機能代行ユニット４０に入力される。機能代行ユニット４０内のＣＡＮ信号監視部４１ｂは、スマートキーの照合などを表すＣＡＮ信号があり得ない経路から入力されたことを確認し、これを不正信号検出部４１ｃが不正な信号として検出する。
　また、不正信号検出部４１ｃが不正な信号を検出すると信号遮断部４１ｄが不正な信号を遮断するので、なりすまし機器６０から送出された偽のＣＡＮ信号が機能代行ユニット４０を通過して出力されることはなく、ＥＣＵ５５はドア１０ｃの解錠を許可しない。また、通知部４１ｅは、不正な信号が検出されたことを示す情報をＣＡＮ信号により上位のメータＥＣＵに通知する。
　メータＥＣＵは、機能代行ユニット４０から通知された情報に基づき、不正侵入を表す情報を表示する。また、所定のセキュリティアラームが鳴動するようにメータＥＣＵが制御する。更に、所定のデータセンタなどで車両１０を管理している場合には、メータＥＣＵからデータセンタに通知を送り、異常の発生を知らせる。また、事前に登録したユーザのスマートホンがある場合には、メータＥＣＵからユーザのスマートホンに対して、あるいはデータセンタからユーザのスマートホンに対して異常の発生を知らせる。
　以上のように、実施形態に係る車載通信線接続装置においては、ワイヤハーネス全体の中の接続位置Ｐｃ１に配置された機能代行ユニット４０が、エンジンルーム１０ａの領域からワイヤハーネス３１を介して侵入する不正なＣＡＮ信号と、車室１０ｂ内の領域から各ワイヤハーネス３３～３６を介して入力される正規のＣＡＮ信号とを区別することができる。したがって、侵入者によりエンジンルーム１０ａ内になりすまし機器６０が接続された場合に、なりすまし機器６０からの攻撃を機能代行ユニット４０で自動的に検知して遮断することができる。
　また、ワイヤハーネスに機能代行ユニット４０を接続した場合には、機能代行ユニット４０の内部で各ＣＡＮ信号を中継してから出力するので、中継に伴って信号の遅延が発生する。しかし、図５に示した処理のように、ＣＡＮ信号の監視を車両の停止中だけに限定することで、車両の走行中は発生する信号遅延を最小化できる。
　車両の盗難が発生するのは、通常は車両の停止中であり、施錠状態でも外部に露出しているエンジンルーム１０ａの領域でワイヤハーネス３１等に接続されるなりすまし機器６０からの攻撃に起因するので、ＣＡＮ信号の監視を車両の停止中だけに限定しても攻撃を避けることができる。
　また、車両の停止中におけるＣＡＮ信号の監視対象を信号フレームの一部分（ＩＤフィールドなど）だけに限定することで、車両の停止中であっても遅延時間を減らすことができる。
　また、ワイヤハーネスに機能代行ユニット４０を接続した場合には、既存のＣＡＮバスをそのまま利用するので、それ以外の特別な通信線を追加することなく車両１０に盗難対策を施すことが可能になる。したがって、既存の車両に盗難対策機能を付加する場合に必要なワイヤハーネスの配索などの作業を最小化できる。また、盗難対策機能を装備した新たな車両用のワイヤハーネスを設計する際に、既存のワイヤハーネスとの構成の違いがほとんどないので、設計作業の負担が軽減される。また、ワイヤハーネスの製造工程の変更も最小限で済む。
　また、ワイヤハーネスに機能代行ユニット４０を接続した場合には、複数系統の通信線が共通に接続されるＣＡＮバスの通信ネットワークであっても、機能代行ユニット４０内で系統毎に信号を区別できるので、車両１０上に搭載された様々な車載機器の故障検知が容易になる。また、様々なオプション機器をＣＡＮバスに接続する場合に接続作業が容易になり、機器毎の特性に合わせた安全対策も機能代行ユニット４０内部のソフトウェアを更新するだけで対応可能になる。
　上述の車載通信線接続装置に関する特徴的な事項について、以下の［１］～［５］に簡潔に纏めて列挙する。
［１］　車両（１０）上で不正な外部機器のアクセスが物理的に困難な第１領域（車室１０ｂ）に配索される第１共通通信線（ワイヤハーネス３３～３６）と、
　前記車両上で不正な外部機器のアクセスが物理的に容易な第２領域（エンジンルーム１０ａ）に少なくとも一部分が配索される第２共通通信線（ワイヤハーネス３１）と、
　前記第１共通通信線と、前記第２共通通信線とを物理的に接続する共通コネクタ部（接続位置Ｐｃ１、端子Ｔ１～Ｔ３）と、
　前記第１領域に配置される１つ以上の第１車載機器と前記第１共通通信線とを接続可能な第１接続部（端子Ｔ４～Ｔ６）と、
　前記第１共通通信線と、前記第１共通通信線よりも上位の系統の通信を管理する上位管理部（セントラルゲートウェイ１１）とを接続可能な上位接続部（端子Ｔ７）と、
　前記共通コネクタ部の内部もしくはその近傍に配置され、少なくとも前記第２共通通信線から前記第１共通通信線に向かう方向の不正通信を監視する代行管理部（機能代行ユニット４０）と、
　を備える車載通信線接続装置。
　上記［１］の構成の車載通信線接続装置によれば、前記代行管理部が既存の通信線を利用して車両上の前記第１領域の信号と前記第２領域の信号とを区別できるので、特別な通信線を追加することなく、前記第２領域から侵入する不正な信号の識別が可能になる。したがって、車両盗難防止などの対策が容易になる。すなわち、既存の車両においては、既存のワイヤハーネスにジョイントコネクタ５０の代わりに機能代行ユニット４０を取り付けるだけでよい。また、新たな車両のために車両盗難防止対策する場合には、ワイヤハーネスの構成（特に通信線の数）をほとんど変更する必要がないので、ワイヤハーネスの再設計が容易になり、製造工程の変更もごく僅かで済む。
［２］　前記代行管理部（マイクロコンピュータ４１）は、少なくとも前記車両が停止状態か否かを識別し（Ｓ１１）、前記車両が停止状態である場合に限り、前記第２共通通信線から入力された通信を監視して不正通信の有無を識別する（Ｓ１２～Ｓ１５）、
　上記［１］に記載の車載通信線接続装置。
　上記［２］の構成の車載通信線接続装置によれば、車両が走行しているときには不正信号の監視処理が不要になるので、通信する信号に発生する遅延の最小化が容易であり、走行中に車載システムの応答性が低下するのを避けることが可能になる。また、車両の盗難が発生する原因は車両の停止中に発生するので、車両が走行しているときに不正信号の監視を省略しても問題は発生しないと考えられる。
［３］　前記第２共通通信線は、少なくとも一部分が前記車両のエンジンルーム（１０ａ）内に配索される、
　上記［１］又は［２］に記載の車載通信線接続装置。
　上記［３］の構成の車載通信線接続装置によれば、侵入者によりエンジンルーム内に不正な機器が取り付けられた場合に、不正な機器から送出される不正な信号と、車室内の正規の機器から送出される正しい信号とを識別できるので、不正な機器のなりすましによる被害を防止できる。
［４］　前記代行管理部は、前記第２共通通信線から入力された通信信号の監視により不正通信を検知した場合に、該当する通信信号を前記第１共通通信線から遮断する遮断機能
（信号遮断部４１ｄ）を有する、
　上記［１］から［３］のいずれかに記載の車載通信線接続装置。
　上記［４］の構成の車載通信線接続装置によれば、不正な機器から発生した不正な信号が前記代行管理部を通過して下流側に送信されるのを防止できるので、下流側の車載機器に特別な安全対策機能を付加する必要がなくなる。
［５］　前記代行管理部は、前記第２共通通信線に属する複数系統の通信線が前記共通コネクタ部の複数の端子にそれぞれ接続されている場合に、端子毎に事前に割り当てられた識別条件（不正条件テーブルＴＢ１）と、それぞれの端子に現れた通信信号の状態とを比較して不正通信の有無を識別する（Ｓ１３～Ｓ１５）、
　上記［１］から［４］のいずれかに記載の車載通信線接続装置。
　上記［５］の構成の車載通信線接続装置によれば、端子毎にそれぞれ独立した条件で不正通信か否かを識別できるので、それぞれの端子に接続される正規の車載機器の特性（信号の種類、タイミングなど）を考慮して不正の判定精度を上げることが容易になる。
　なお、本開示は、上述した実施形態に限定されるものではなく、適宜、変形、改良、等が可能である。その他、上述した実施形態における各構成要素の材質、形状、寸法、数、配置箇所、等は本発明を達成できるものであれば任意であり、限定されない。
　なお、本出願は、２０２２年２月２１日出願の日本特許出願（特願２０２２－０２５０４９）に基づくものであり、その内容は本出願の中に参照として援用される。
　１０　車両
　１０ａ　エンジンルーム
　１０ｂ　車室
　１０ｃ　ドア
　１１　セントラルゲートウェイ
　１２，１３　ＣＡＮバス
　１４Ａ，１４Ｂ，１４Ｃ，１４Ｄ　ＥＣＵ
　１５Ａ，１５Ｂ，１５Ｃ　ＥＣＵ
　２１，２２，２３，２４，２５，２６，２７　車載機器
　３１，３２，３３，３４，３５，３６，３７，３８　ワイヤハーネス
　３１Ａ，３１Ｂ，３１Ｃ　ＣＡＮバス
　３３Ａ，３３Ｂ，３３Ｃ，３３Ｄ　ＣＡＮバス
　４０　機能代行ユニット
　４１　マイクロコンピュータ
　４１ａ　ＣＡＮ送受信部
　４１ｂ　ＣＡＮ信号監視部
　４１ｃ　不正信号検出部
　４１ｄ　信号遮断部
　４１ｅ　通知部
　４２，４３，４４，４５，４６，４７，４８　インタフェース
　５０　ジョイントコネクタ
　５１，５２，５３，５４，５５，５６，５７　ＥＣＵ
　６０　なりすまし機器
　Ｐｃ１，Ｐｃ２　接続位置
　ＳＡ　Ａ系統
　ＳＢ　Ｂ系統
　Ｔ１，Ｔ２，Ｔ３，Ｔ４，Ｔ５，Ｔ６，Ｔ７，Ｔ９　端子
　ＴＢ１　不正条件テーブル

Claims (5)

  1. 　車両上で不正な外部機器のアクセスが物理的に困難な第１領域に配索される第１共通通信線と、
    　前記車両上で不正な外部機器のアクセスが物理的に容易な第２領域に少なくとも一部分が配索される第２共通通信線と、
    　前記第１共通通信線と、前記第２共通通信線とを物理的に接続する共通コネクタ部と、
    　前記第１領域に配置される１つ以上の第１車載機器と前記第１共通通信線とを接続可能な第１接続部と、
    　前記第１共通通信線と、前記第１共通通信線よりも上位の系統の通信を管理する上位管理部とを接続可能な上位接続部と、
    　前記共通コネクタ部の内部もしくはその近傍に配置され、少なくとも前記第２共通通信線から前記第１共通通信線に向かう方向の不正通信を監視する代行管理部と、
    　を備える車載通信線接続装置。
  2. 　前記代行管理部は、少なくとも前記車両が停止状態か否かを識別し、前記車両が停止状態である場合に限り、前記第２共通通信線から入力された通信を監視して不正通信の有無を識別する、
    　請求項１に記載の車載通信線接続装置。
  3. 　前記第２共通通信線は、少なくとも一部分が前記車両のエンジンルーム内に配索される、
    　請求項１又は請求項２に記載の車載通信線接続装置。
  4. 　前記代行管理部は、前記第２共通通信線から入力された通信信号の監視により不正通信を検知した場合に、該当する通信信号を前記第１共通通信線から遮断する遮断機能を有する、
    　請求項１から請求項３のいずれか１項に記載の車載通信線接続装置。
  5. 　前記代行管理部は、前記第２共通通信線に属する複数系統の通信線が前記共通コネクタ部の複数の端子にそれぞれ接続されている場合に、端子毎に事前に割り当てられた識別条件と、それぞれの端子に現れた通信信号の状態とを比較して不正通信の有無を識別する、
    　請求項１から請求項４のいずれか１項に記載の車載通信線接続装置。
PCT/JP2023/005605 2022-02-21 2023-02-16 車載通信線接続装置 WO2023157939A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN202380016405.1A CN118525486A (zh) 2022-02-21 2023-02-16 车载通信线路连接装置
US18/764,646 US20240364714A1 (en) 2022-02-21 2024-07-05 On-vehicle communication line connection apparatus

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2022-025049 2022-02-21
JP2022025049A JP2023121610A (ja) 2022-02-21 2022-02-21 車載通信線接続装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US18/764,646 Continuation US20240364714A1 (en) 2022-02-21 2024-07-05 On-vehicle communication line connection apparatus

Publications (1)

Publication Number Publication Date
WO2023157939A1 true WO2023157939A1 (ja) 2023-08-24

Family

ID=87578665

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2023/005605 WO2023157939A1 (ja) 2022-02-21 2023-02-16 車載通信線接続装置

Country Status (4)

Country Link
US (1) US20240364714A1 (ja)
JP (1) JP2023121610A (ja)
CN (1) CN118525486A (ja)
WO (1) WO2023157939A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018157463A (ja) * 2017-03-21 2018-10-04 オムロンオートモーティブエレクトロニクス株式会社 車載通信システム、通信管理装置、車両制御装置
JP2021127086A (ja) * 2020-02-17 2021-09-02 矢崎総業株式会社 車載通信システム
JP2021163978A (ja) * 2020-03-30 2021-10-11 矢崎総業株式会社 車載通信システム及び通信制御方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018157463A (ja) * 2017-03-21 2018-10-04 オムロンオートモーティブエレクトロニクス株式会社 車載通信システム、通信管理装置、車両制御装置
JP2021127086A (ja) * 2020-02-17 2021-09-02 矢崎総業株式会社 車載通信システム
JP2021163978A (ja) * 2020-03-30 2021-10-11 矢崎総業株式会社 車載通信システム及び通信制御方法

Also Published As

Publication number Publication date
US20240364714A1 (en) 2024-10-31
CN118525486A (zh) 2024-08-20
JP2023121610A (ja) 2023-08-31

Similar Documents

Publication Publication Date Title
Palanca et al. A stealth, selective, link-layer denial-of-service attack against automotive networks
US11064348B2 (en) In-vehicle communication system
US11411917B2 (en) Method for detecting, blocking and reporting cyber-attacks against automotive electronic control units
US20180278616A1 (en) In-vehicle communication system, communication management device, and vehicle control device
JP7075886B2 (ja) ブロードキャストバスフレームフィルタ
US20150066239A1 (en) Vehicle network monitoring method and apparatus
US10214182B2 (en) In-vehicle communication system, vehicle control device, and communication management device
KR101966345B1 (ko) Can 통신 기반 우회 공격 탐지 방법 및 시스템
EP3904161A1 (en) Information processing device
WO2023157939A1 (ja) 車載通信線接続装置
CN112806034A (zh) 用于为车辆的控制设备提供通信的装置、方法和计算机程序，用于提供更新的方法、中央装置和计算机程序，控制设备和车辆
CN115706676A (zh) 在车辆的控制器之间进行可信的数据传输的方法、具有控制器的组件、计算机程序和车辆
EP3121753A1 (en) System for controlling the communication between a main device and an auxiliary device and associated main device and auxiliary device used in the system
Sharma et al. Towards the prevention of car hacking: A threat to automation industry
JP2021163978A (ja) 車載通信システム及び通信制御方法
van Roermund In-vehicle networks and security
홍성혁 Research on countermeasures of controller area network vulnerability
US20230013980A1 (en) Frame invalidation in bus system via receive line
EP4072065B1 (en) In-vehicle system for abnormality detection
Caberto et al. A method of securing a vehicle’s controller area network
EP3121754B1 (en) Safety system for controlling the communication between at least one control unit and an auxiliary device
JP2020096322A (ja) 不正信号処理装置
WO2017132743A1 (pt) Adaptador e método de segurança para uma rede de um veículo automotor

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 23756463

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 202380016405.1

Country of ref document: CN