JP4942261B2 - 車両用中継装置、及び、車内通信システム - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、通信装置を介して接続される車外装置と、車載ＬＡＮに接続された各種車両内電子装置との間の通信を中継する車両用中継装置に関する。
【０００２】
【従来の技術】
近年の車両、特に自動車においては、制御装置、情報機器、オーディオ機器、といった各種車両内電子装置の搭載数が増加傾向にあり、装置相互間での連携動作若しくは情報の共有化が必要な車両内電子装置については、各装置相互間で情報を送受信できるように、専用の通信線で接続し、情報通信用ネットワーク（所謂、車載ＬＡＮ）を構築するのが一般的である。
【０００３】
また、近年においては車両外のネットワークが発達したことに伴い、車両内の各装置に必要な各種情報を車両外から取得できるようなインフラが整備され、これに伴い、車外装置との間で通信を行うための無線機を備えた車両内電子装置を、数多く車載ＬＡＮに接続する例が増えてきている。
【０００４】
例えば、道路交通情報通信システム（ＶＩＣＳ）から提供される道路交通情報を受信可能なＶＩＣＳ無線機や外部のインターネットから近辺の店舗情報を収集するなどの目的で使用する携帯電話等を接続可能なナビゲーション装置、自動料金課金システム（ＥＴＣ）との間で通信を行うためのＥＴＣ無線機が接続されたＥＴＣ車載器等である。
【０００５】
【発明が解決しようとする課題】
しかしながら、従来の車載ＬＡＮにおいては、外部から各種情報を取得するための無線機を、その情報を主に使用する機器に直接接続するような構成となっていたため、その無線機が車内の所望の位置に配置できなかったり、無線機と機器との間の余分な配線をしなければならず不便であった。
【０００６】
この問題点を解消するためには、例えば、車載ＬＡＮに無線機を直接接続して、無線機が受信した情報を必要とする車載ＬＡＮ内の装置が、その車載ＬＡＮを介して、無線機から必要な情報を取得できるようにする方法が考えられる。このようにすれば、無線機等の設置位置の自由度が高く、更には配線数も少なく済み便利である。
【０００７】
しかし、このような構成であると、無線機を介して、車両外から車載ＬＡＮに接続された各装置にアクセスすることが可能となり、近年インターネット等の分野で、多発するネットワーク端末への不正アクセスと同様の問題が発生する可能性が高い。
【０００８】
本発明は、こうした問題に鑑みなされたものであり、車内通信システムにおける配線を簡素化しつつ、車両内の各種車両内電子装置に対する外部からの不正アクセスを十分に防止することを目的とする。
【０００９】
【課題を解決するための手段】
かかる目的を達成するためになされた請求項１に記載の発明においては、車両に構築された車載ＬＡＮと、車外装置との間でデータ通信を行う通信装置との間に配置され、その通信装置を介して接続される車外装置と車載ＬＡＮに接続された各種車両内電子装置との間の通信を中継する車両用中継装置に、第一識別手段と、第一認証手段と、第一配信手段と、が備えられている。
【００１０】
即ち、本発明の車両用中継装置は、車外装置から車載ＬＡＮに接続された車両内電子装置へのアクセス要求があると、第一識別手段にて、そのアクセス先を識別すると共に、その識別結果に基づいて、アクセス要求が車外装置の認証を必要とする車両内電子装置へのアクセス要求であるか否かを判断する。
【００１１】
また、車両用中継装置は、第一識別手段がそのアクセス要求を車外装置の認証を必要とするものであると判断すると、第一認証手段にて、車外装置から送信されてきた第一の認証情報に基づき、車外装置が予め車両内電子装置へのアクセスを許可された車外装置であるか否かを判断する。
【００１２】
更に、車両用中継装置は、第一認証手段がアクセス要求してきた車外装置を予め車両内電子装置へのアクセスを許可された車外装置であると判断した場合、もしくは、第一識別手段がアクセス要求を車外装置の認証を必要としないものであると判断した場合に、第一配信手段にて、車外装置から通信装置を介して送信されてきた通信データを、アクセス先の車両内電子装置に配信する。
【００１３】
したがって、請求項１に記載の車両用中継装置は、車載ＬＡＮに車外装置を接続する前に、車載ＬＡＮ内の車両内電子装置へのアクセスが許可されていない車外装置からのアクセスに関して、その車両内電子装置へのアクセスを拒否することができる。換言すると、車両用中継装置は、第一認証手段で車外装置の認証を行うことにより外部からのアクセスを制限することができ、結果、外部の不正アクセスを防止することができる。また、車載ＬＡＮに接続されている車両内電子装置を、外部より取得した情報を車両乗員に報知するための情報系装置と、車両を制御するための制御系装置とに区分して、第一識別手段に、アクセス要求が、情報系装置及び制御系装置の内どちらのアクセス要求であるかを識別させることにより、車外装置の認証が必要か否か判断させてもよい。また、この場合においては、請求項１に記載のように、第一識別手段がアクセス要求を制御系装置へのアクセス要求であると判断した場合に、第一認識手段が車外装置の認証を上記方法にて行うように車両用中継装置を構成しておくのがよい。このようにしておけば、車両を制御するための制御系装置には、認証を受けた正当な車外装置からしかアクセスできないことになり、車両用中継装置は、車両の走行に係わる制御系装置への不正アクセスを防止することができる。
【００１４】
尚、第一識別手段に、アクセス要求が車外装置の認証を必要とする車両内電子装置へのアクセス要求であるか否かを判断させる方法としては、例えば、予め車両用中継装置内に、車外装置の認証を必要とする車両内電子装置をリストアップしておき、第一識別手段に、そのリストに基づき車外装置の認証を必要とするか否か判断させる方法がある。この他、車載ＬＡＮとして、車両内電子装置の系統別に複数の独立したネットワークを構築して、これらのネットワークには車両用中継装置を介さなければ外部からアクセスできないようにしておき、第一識別手段に、アクセス要求がどの系統のネットワークに属する車両内電子装置へのアクセス要求か否か判断させることにより、アクセス要求が車外装置の認証を必要とするものか否か判断させてもよい。
【００１５】
また、この際に車外装置の認証が必要となった場合の認証方法としては、例えば、予め車両内電子装置毎の認証情報（パスワード等）を車両用中継装置に記憶させておき、車両用中継装置に、その認証情報と車外装置から取得した認証情報とを照合させる方法がある。また別の例として、車両用中継装置に車両内電子装置共通の認証情報を記憶させておき、車外装置の認証が必要なアクセス要求があった場合には、アクセス先に関係なく、共通の認証情報にて車外装置の認証を行わせてもよい。
【００１８】
ところで、以上においては、アクセス先を識別することにより車外装置の認証が必要か否かを判断する手法をとったが、車外装置からのアクセス要求の種類（通信データの種類等）によっては、アクセス先にかかわらず車外装置を認証したほうが良い場合も考えられる。
【００１９】
例えば、アクセス要求が、車両内電子装置にて動作するプログラムや、車両内電子装置動作用のパラメータ（例えば、車両内の制御システムを的確に動作させるための適合定数）を書き込むための書込要求である場合などである。このため、請求項２に記載の車両用中継装置においては、第一識別手段、第一認証手段、第一配信手段に加えて、第二識別手段と、第二認証手段と、第二配信手段と、を設けている。
【００２０】
即ち、請求項２に記載の車両用中継装置は、車外装置から車両内電子装置へのアクセス要求があると、第二識別手段にて、そのアクセス要求が、車両内電子装置にて動作するプログラム又は車両内電子装置動作用のパラメータを書き込むための書込要求であるか否かを判断し、第二識別手段が車両内電子装置へのアクセス要求を書込要求ではないと判断すると、第二認証手段が第一識別手段を動作させる構成にされている。
【００２１】
また、この車両用中継装置は、第二識別手段が、車両内電子装置へのアクセス要求をプログラム又は車両内電子装置動作用のパラメータの書込要求であると判断すると、車外装置から送信されてきた第二の認証情報に基づき、第二認証手段にて、書込要求してきた車外装置が車両内電子装置にて動作するプログラム又は車両内電子装置動作用のパラメータの書込を許可された車外装置であるか否かを判断する。
【００２２】
そして、その第二認証手段が書込要求してきた車外装置を車両内電子装置にて動作するプログラム又は車両内電子装置動作用のパラメータの書込を許可された車外装置であると判断した場合にのみ、第二配信手段にて、車外装置から通信装置を介して送信されてきた通信データとしてのプログラム又は車両内電子装置動作用のパラメータを、アクセス先の車両内電子装置に配信する。
【００２３】
したがって、請求項２に記載の車両用中継装置においては、アクセス要求がプログラム又は車両内電子装置動作用のパラメータの書込要求であった場合に、アクセス先に関係なく、第二の認証情報に基づいて、車外装置を認証することができ、結果、不正なアクセスによる車両内電子装置へのプログラム、車両内電子装置動作用のパラメータの書込を防止することができる。
【００２４】
勿論、正当な車外装置からの書込要求であった場合には、第二配信手段にて、プログラム又は車両内電子装置動作用のパラメータがアクセス先の車両内電子装置に配信されるしくみになっているため、当該車両用中継装置によれば、不正アクセスによるプログラム及び車両内電子装置動作用のパラメータの書込を防止しつつ、正当なユーザには、簡単に車両内電子装置のプログラム、車両内電子装置動作用のパラメータを書込・更新させることができる。
【００２５】
例えば、従来では、ディーラ等が専用の機器で車両内電子装置のプログラムを更新させていたが、このような車両用中継装置が組み込まれた車両内においては、ディーラに車両を持ち込むような煩わしい事を運転者等に強いることなく、プログラムを更新することができる。
【００２６】
尚、請求項２に記載の車両用中継装置においては、アクセス要求がプログラム又は車両内電子装置動作用のパラメータの書込であった場合の認証方式を、より確実に車外装置が正当なものであるかを判断できるような強固な認証方式にしておくのが望ましい。
【００２７】
このためには、例えば、請求項３に記載のように、第二識別手段が車両内電子装置へのアクセス要求を書込要求であると判断すると、第二認証手段が、第一の認証情報に基づき車外装置が予め車両内電子装置へのアクセスを許可された車外装置であるか否かを判断し、車外装置が予め車両内電子装置へのアクセスを許可された車外装置であると、第二の認証情報に基づき、書込要求してきた車外装置が、車両内電子装置にて動作するプログラム又は車両内電子装置動作用のパラメータの書込を許可された車外装置であるか否かを判断するように車両用中継装置を構成するのがよい。
【００２８】
このように車両用中継装置を構成すれば、第一の認証情報及び第二の認証情報に基づき、二段階で車外装置を認証することができるので、より確実にプログラム、車両内電子装置動作用のパラメータの書込要求が、正当な車外装置からのものであるかを判別することができる。したがって、本発明の車両用中継装置（請求項３）によれば、車載ＬＡＮに接続された車両内電子装置への不正アクセスをより確実に防止することができる。
【００２９】
尚、具体的には、請求項３に記載の車両用中継装置を請求項４に記載のように構成するのが好ましい。請求項４に記載の車両用中継装置では、第二認証手段が、車外装置を認証するための認証情報を所有しており、車外装置から送信されてきた第一の認証情報を、自身が所有するその認証情報と照合することにより、車外装置が予め車両内電子装置へのアクセスを許可された車外装置であるか否かを判断するように構成されている。
【００３０】
また、この第二認証手段は、車外装置が予め車両内電子装置へのアクセスを許可された車外装置であると判断すると、車外装置から送信されてきた第二の認証情報を、プログラム又は車両内電子装置動作用のパラメータの書込対象となる車両内電子装置に転送する。
【００３１】
尚、この転送された第二の認証情報を受け取る車両内電子装置には、車外装置がプログラム又は車両内電子装置動作用のパラメータの書込を許可された車外装置であるか否かを判断するための認証情報が記憶されており、第二認証手段は、第二の認証情報を転送することにより、車両内電子装置に、第二の認証情報をその車両内電子装置が所有する認証情報と照合させる。また、その照合結果を車両内電子装置から取得し、取得した照合結果に基づいて、書込要求してきた車外装置が、車両内電子装置にて動作するプログラム又は車両内電子装置動作用のパラメータの書込を許可された車外装置であるか否かを判断する。
【００３２】
このような認証方法で車外装置を認証する請求項４に記載の車両用中継装置では、第二の認証を、そのプログラム又はパラメータの書込対象の車両内電子装置に行わせるため、車両用中継装置が万が一不正アクセスにより誤動作した場合においても、不正なプログラム、車両内電子装置動作用のパラメータの書込を防止することができる。また、車載ＬＡＮに直接装置を接続し、車両内電子装置に不正アクセスしようとする行為に対しても、それを防止することができる。
【００３３】
また、以上に説明した請求項１〜請求項４のいずれかに記載の車両用中継装置を用いれば、不正アクセスに耐える車内通信システムを構築することができる。尚具体的には、請求項５に記載のように、請求項１〜請求項４のいずれかに記載の車両用中継装置を、車外装置との間でデータ通信を行う通信装置と、車両に構築された車載ＬＡＮとの間に配置して、その車両用中継装置に、通信装置を介して接続される車外装置と車載ＬＡＮに接続された各種車両内電子装置との間の通信を中継させればよい。
【００３４】
この際、車両内に搭載される全ての通信装置を、車両用中継装置に接続すれば、車外装置からのアクセスを、全て車両用中継装置で中継することができて、不正アクセスを、全て車両用中継装置で対処させることができる。したがって、そのような車内通信システムにおいては、車両内電子装置への不正アクセスをより確実に防止することができる。
【００３５】
【発明の実施の形態】
以下に本発明の実施例について、図面とともに説明する。
図１は、本発明が適用された車内通信システム１の構成を表すブロック図である。
【００３６】
図１に示すように、本実施例の車内通信システム１は、車両内電子装置として車両内に設置された各電子制御装置（ＥＣＵ１１〜３７）により構築された車載ＬＡＮ１０と、車外装置３との間で通信を行うための通信部４０と、車載ＬＡＮ１０と、通信部４０との間に配置され、車載ＬＡＮ１０内の各ＥＣＵ１１〜３７と車外装置３との間のデータ通信を中継するゲートウェイＥＣＵ５０と、から構成されている。
【００３７】
車両内に構築された上記車載ＬＡＮ１０は、制御系ネットワークと、ＡＶＣ系ネットワークと、ボディ系ネットワークと、からなり、夫々のネットワークには、共通の伝送線に、各系統に対応する車両内の上記ＥＣＵが接続されている。
例えば、制御系ネットワークには、エンジンＥＣＵ１１、ＥＣＴ・ＥＣＵ１３、ＶＳＣ・ＥＣＵ１５、ＡＣＣ・ＥＣＵ１７、周辺監視ＥＣＵ１９等の走行に係わる車両制御用のＥＣＵが接続されている。
【００３８】
ここで、エンジンＥＣＵ１１は、エンジンを制御するエンジン制御装置であり、ＥＣＴ・ＥＣＵ１３は、自動変速機の変速制御を行う変速制御装置であり、これらは所謂パワートレイン系の制御装置である。また、ＶＳＣ・ＥＣＵ１５は、車両の姿勢制御及び制動制御を行う制御装置であり、ＡＣＣ・ＥＣＵ１７は、車両を先行車両に追従させる制御を行う走行制御装置であり、これらは、所謂車両運動系の制御装置である。
【００３９】
一方、ボディ系ネットワークには、メータＥＣＵ２１、盗難防止ＥＣＵ２３、エアコンＥＣＵ２５等のボディ制御用のＥＣＵが接続されている。メータＥＣＵ２１は、車速、エンジン回転数、ドアの開閉状態、変速機のシフトレンジ等、車両の各種状態を表示装置に表示するためのものであり、盗難防止ＥＣＵ２３は、車両状態を監視して、悪意の者が車両内に侵入したり車両内の各機器を盗もうとしている場合に、警報音を鳴らしたり、外部センタに緊急通報をするためのものであり、エアコンＥＣＵ２５は、エアコンを制御するためのものである。
【００４０】
この他、ＡＶＣ系ネットワークには、ナビゲーションＥＣＵ３１、オーディオＥＣＵ３３、電話ＥＣＵ３５、ＥＴＣ・ＥＣＵ３７等の各種情報提供（情報表示、再生等）を行う情報機器に属するＡＶＣ系ＥＣＵが接続されている。
ナビゲーションＥＣＵ３１は、自身に接続されたＤＶＤプレーヤやＣＤプレーヤ等から構成される地図データ格納部（図示せず）から地図データを取得すると共に、通信部４０に接続されたＧＰＳ受信機（図示せず）から車両の現在位置に関する情報を取得し、これに基づいて車両の現在位置を表す地図を、例えば、後述するオーディオＥＣＵ３３に接続された液晶ディスプレイ等の表示装置（図示せず）に表示するためのＥＣＵである。
【００４１】
また、ナビゲーションＥＣＵ３１は、後述するＶＩＣＳ無線機４１等から、渋滞情報等を取得して、これらの情報を地図と共に表示装置に表示したり、後述するＥＴＣ無線機４５から、ＥＴＣ用のゲートの位置情報等を取得して、これらの情報を表示装置に表示することにより、運転者にＥＴＣ用のゲート位置を案内する。
【００４２】
次に、オーディオＥＣＵ３３は、利用者が当該ＥＣＵに接続された操作スイッチを操作することにより入力された指令に従って、利用者が望むラジオ放送番組やテレビ放送番組を、後述するテレビ・ラジオ無線機４３に内蔵されたチューナーを制御することによりテレビ・ラジオ無線機４３から取得して、これを車両内のスピーカシステムや、液晶ディスプレイ等にて再生するためのものである。
【００４３】
また、電話ＥＣＵ３５は、後述する電話用無線機４７との間で通信を行うことにより電話用無線機４７を電話回線網に接続された外部装置に電話回線網内の無線基地局を介して接続して、車載ＬＡＮ１０の各ＥＣＵと外部装置との間で電話回線を通じて通信を行わせるためのものである。
【００４４】
この他、ＥＴＣ・ＥＣＵ３７は、課金に係る指令情報等を、ＥＴＣセンタからＥＴＣ無線機（後述）を介して取得すると、これに応答して自身に接続されたカードリーダ等から各種情報を読み出し、これをＥＴＣ無線機４５を介して外部のＥＴＣセンタに送出するためのものである。
【００４５】
続いて、本実施例の通信部４０は、図１に示すように、ＶＩＣＳ無線機４１、テレビ・ラジオ無線機４３、ＥＴＣ無線機４５、電話用無線機４７などの複数種類の無線機と、サービスツール５などの車外装置を直接車両内に接続するための外部装置接続部４９と、から構成されている。
【００４６】
ＶＩＣＳ無線機４１は、例えば、ＶＩＣＳから提供される道路交通情報を受信するための電波ビーコン受信機や、光ビーコン受信機などから構成されており、これらの無線機から取得したＶＩＣＳからの通信データをゲートウェイＥＣＵ５０に送出する構成となっている。
【００４７】
テレビ・ラジオ無線機４３は、テレビ放送信号や、ラジオ放送信号を受信するためのチューナを備え、そのチューナは、車載ＬＡＮ１０に接続された上記オーディオＥＣＵ３３等に制御される構成にされている。また、このテレビ・ラジオ無線機４３は、オーディオＥＣＵ３３からの指令を受けて、ビデオオンデマンドのサービスを提供する外部センタに接続可能な構成にされており、これらから取得した映像データ等をゲートウェイＥＣＵ５０に送出する。
【００４８】
また、ＥＴＣ無線機４５は、ＥＴＣセンタとの間で通信を行うための無線機であり、ＥＴＣセンタからの通信データをゲートウェイＥＣＵ５０に送出したり、ゲートウェイＥＣＵ５０を介して車載ＬＡＮから送信されてきたデータをＥＴＣセンタ側に送信する。
【００４９】
そして、電話用無線機４７は、上記電話ＥＣＵに制御されて、自身を無線基地局を介して外部の公衆電話回線網に接続し、その公衆電話回線網からの通信データをゲートウェイＥＣＵ５０に送出する。
ここで、電話用無線機４７を介して行われる車外からのアクセスとしては、以下のようなものが挙げられる。
【００５０】
例えば、車両所有者が携帯電話等から、エアコンを起動するための指令を車載ＬＡＮ１０内の上記エアコンＥＣＵ２５に入力して、エアコンをリモコン操作する場合のアクセスが挙げられる。また、利用者が電話回線を通じて楽曲データを取得して、これを車両内のオーディオＥＣＵ３３にて再生させる場合のアクセス等も考えられる。この他に、利用者が電話回線を通じて外部センタから、車載ＬＡＮ内の各ＥＣＵ１１〜３７にて動作するプログラムを取得し、これをＥＣＵ１１〜３７にインストールして、プログラムを新規に書き込んだり、更新したりする場合のアクセスが考えられる。
【００５１】
以上には、通信部４０内の各無線機４１，４３，４５，４７について説明したが、当該車内通信システム１においては、外部から配信先（即ち、アクセス先）の指示がない通信データを通信部４０にて受信する場合が考えられる。したがって、このような場合の対処を施す場合には、例えば、各無線機４１〜４７が、配信先の指示のない特定種のデータに関して、配信先に関する情報を通信データに付与し、これをゲートウェイＥＣＵ５０に送信するように通信部４０を構成すればよい。例えば、テレビ信号を受信した場合に、配信先をオーディオＥＣＵ３３に指定するなどである。
【００５２】
この他、外部装置接続部４９は、車両診断を行うためのサービスツール５や、ＥＣＵ内のプログラムを更新するためのサービスツール５等の車外装置を、車載ＬＡＮ１０に接続するためのコネクタから構成されており、サービスツール５が接続されると、サービスツール５をゲートウェイＥＣＵ５０に接続する構成となっている。
【００５３】
また、ゲートウェイＥＣＵ５０は、通信部４０と、車載ＬＡＮ１０と、に接続されており、車載ＬＡＮ１０内の各ＥＣＵ１１〜３７と車外装置３との間のデータ通信を中継するための構成を有している。
例えば、ゲートウェイＥＣＵ５０は、所謂ルーティング機能を有しており、車載ＬＡＮ内の各系ネットワーク内のＥＣＵから車載ＬＡＮ内の他のネットワーク内のＥＣＵへのアクセスを中継する。具体的に例えば、ボディ系ネットワーク内のＥＣＵから制御系ネットワーク内のＥＣＵへのアクセスの要求があると、ボディ系ネットワーク内のＥＣＵからの通信データを、制御系ネットワーク内のＥＣＵに送信する。
【００５４】
また、本発明の係る特徴として、このゲートウェイＥＣＵ５０は、通信部４０が受信した通信データを取得すると、自身のＣＰＵにて、図２に示すメインルーチンを実行する。
図２は、ゲートウェイＥＣＵ５０で実行されるメインルーチンを表すフローチャート、図３は、そのメインルーチンにて呼び出されるプログラム転送処理を表すフローチャート、図４（ａ）は、そのプログラム転送処理にて呼び出される個別認証処理を表すフローチャート、図５は、アクセス制限処理を表すフローチャートである。
【００５５】
ゲートウェイＥＣＵ５０は、まずＳ１１０にて、通信データの配信先を、その通信データから読み取り、これに基づいて、配信先（即ち、アクセス先）が、自身の記憶媒体（本実施例では、メモリ）に記憶された車内搭載機器リストにリストアップされているものであるかどうか判断する（Ｓ１２０）。尚、ここでいう車内搭載機器リストとは、車載ＬＡＮ１０に接続されたＥＣＵ１１〜３７に関するリストのことである。
【００５６】
ここで、通信データの配信先が車内搭載機器リストに登録されていないと判断すると、ゲートウェイＥＣＵ５０は、Ｓ１２５にてアクセス制限処理（詳しくは後述）を実行した後に、当該処理を終了する。
一方、通信データの配信先が車内搭載機器リストに登録されていると判断すると、ゲートウェイＥＣＵ５０は、続くＳ１３０にて、その通信データが、車載ＬＡＮ１０内のＥＣＵにて動作するプログラムの書込要求に関する情報又は車両内の制御システムを的確に動作させるための適合定数の書込要求に関する情報を含む通信データであるかどうかを判断する。尚、ここでいう適合定数の書込要求とは、例えば、エンジン点火時期マップの書換要求等のことである。
【００５７】
そして、通信データに、プログラム又はパラメータの書込要求に関する情報が含まれていると判断すると、ゲートウェイＥＣＵ５０は、次にＳ１４０にてプログラム転送処理（図３）を実行する。尚、以降の処理については、プログラムの書込要求についてのみ説明するが、これらの処理は、適合定数の書込要求であった場合においても、同様の手順で行われる。
【００５８】
プログラム転送処理に移行すると、ゲートウェイＥＣＵ５０は、まずＳ１４１にて、通信部４０を介してそのプログラムの書込要求を送信してきた車外装置３に、自身宛に第一の認証情報としてパスワードを送信するように要求し、車外装置３からパスワードを取得する。
【００５９】
続いて、ゲートウェイＥＣＵ５０は、Ｓ１４３にて、そのパスワードが、自身（ゲートウェイＥＣＵ５０）に予め登録されたパスワードと一致するかどうかを判断する。尚、このパスワードに関しては、例えば、製品出荷時に生産者が当該ゲートウェイＥＣＵ５０にそのゲートウェイＥＣＵ５０固有のパスワードを登録しておけばよい。
【００６０】
そして、Ｓ１４３にてパスワードが正しくない（つまり、取得したパスワードと、予め登録されているパスワードが一致しない）と判断すると、ゲートウェイＥＣＵ５０は、処理をＳ１６９に移行して、アクセス制限処理（図５）を実行した後に当該処理を終了し、Ｓ１４３にてパスワードが正しいと判断すると、処理をＳ１４５に移行してプログラムを車外装置３から通信部４０を介して取得し、自身のメモリ内に一時格納する。
【００６１】
続いて、ゲートウェイＥＣＵ５０は、Ｓ１５０にて個別認証処理（図４）を実行する。
個別認証処理に移行すると、ゲートウェイＥＣＵ５０は、まずＳ１５１にて、車外装置３がプログラムの書込対象としている車載ＬＡＮ１０内のＥＣＵ（以下、「書込対象ＥＣＵ」と表現する。）に、プログラムの受信を要求する。
【００６２】
このようにゲートウェイＥＣＵ５０がプログラムの受信を要求すると、要求を受けた書込対象ＥＣＵは、図４（ｂ）にフローチャートを示すプログラム受信処理を実行する。以下、図４（ａ）に示すゲートウェイＥＣＵ５０が実行する個別認証処理の詳細と、図４（ｂ）に示すプログラム受信処理の詳細を並行して説明することにする。
【００６３】
プログラムの受信要求を受けた書込対象ＥＣＵは、まずＳ３１０にて、プログラムの書込要求をしてきた車外装置３が、プログラムの書込を予め許可された車外装置３であるか否かを判別するために、上記第一の認証情報とは異なる第二の認証情報を書込要求元の車外装置３に要求する。
【００６４】
例えば、認証方式として共通鍵方式（ＤＥＳ方式等）を採用した場合、書込対象ＥＣＵは、Ｓ３１０にて、乱数ｒを生成し、これを一旦、自身のメモリ内に記憶すると共に、この乱数ｒを認証情報の要求と共に車外装置３側に送信して、車外装置３に対して、乱数ｒを共通鍵Ｋで暗号化したものを認証情報として送り返すように指示する。
【００６５】
尚、この認証情報の要求を車外装置３に行う際には、一度ゲートウェイＥＣＵ５０が、その要求情報を書込対象ＥＣＵから取得し、これを通信部４０を介して車外装置３に転送する（Ｓ１５３）。また、ゲートウェイＥＣＵ５０は、この認証情報の要求に対する応答結果として車外装置３から認証情報を取得すると、Ｓ１５５にて、これを書込対象ＥＣＵに転送する。
【００６６】
一方、書込対象ＥＣＵは、ゲートウェイＥＣＵ５０を介して、車外装置３から認証情報を取得すると（Ｓ３２０）、これを、自身のメモリ内に記憶された認証情報と照合する（Ｓ３３０）。そして、照合結果に基づき、車外装置３の認証が成功したか否かを判断し（Ｓ３４０）、認証が成功していれば、認証成功をゲートウェイＥＣＵ５０に通知し（Ｓ３５０）、認証が成功しなければ、認証が失敗したことを通知する（Ｓ３５５）。
【００６７】
ここで、上記共通鍵方式の認証を行う場合の例を具体的に説明すると、書込対象ＥＣＵは、車外装置３から取得した認証情報を、共通鍵Ｋで復号して、この復号化した認証情報が、Ｓ３１０にて生成した乱数ｒと一致するか否か判断し、一致すれば、車外装置３が予めプログラムの書込を許可された車外装置であるとして（Ｓ３４０でＹｅｓ）、その車外装置３の認証が成功したことを通知する。
【００６８】
一方、ゲートウェイＥＣＵ５０は、Ｓ１５７にて書込対象ＥＣＵから認証結果（認証成功の通知もしくは認証失敗の通知）を受信すると、当該個別認証処理を終了して、プログラム転送処理（図３）のＳ１６１にて、書込対象ＥＣＵでの認証が成功したか否かを判断する。
【００６９】
つまり、ゲートウェイＥＣＵ５０は、書込対象ＥＣＵから認証失敗の通知を受けると、Ｓ１６１でＮｏと判断して、処理をＳ１６９に移し、書込対象ＥＣＵから認証成功の通知を受けると、Ｓ１６１でＹｅｓと判断して、処理をＳ１６３に移す。
【００７０】
そして、Ｓ１６３において、ゲートウェイＥＣＵ５０は、一時記憶しておいたプログラムを、書込対象ＥＣＵに送信する。尚、これに対応して、書込対象ＥＣＵは、ゲートウェイＥＣＵ５０から転送されてきたプログラムを受信して、そのプログラムを、自身のメモリ内に実行可能な状態にて、記憶する（Ｓ３６０）。
【００７１】
また、ゲートウェイＥＣＵ５０は、書込対象ＥＣＵがプログラムを記憶し終わると、Ｓ１６５にて、書込対象ＥＣＵが正しくプログラムを記憶したかどうかを検証する。例えば、ゲートウェイＥＣＵ５０は、自身が転送したプログラムの内容と、書込対象ＥＣＵがメモリ内に記憶したプログラムとが同一内容であるかどうか照合することにより、書込対象ＥＣＵが正しくプログラムを記憶したかどうかを検証する。
【００７２】
そして、正しくプログラムが記憶されていれば、自身のメモリ内から、Ｓ１６３にて送信したプログラムを破棄して（Ｓ１６７）、当該処理を終了し、正しくプログラムが記憶されていなければ（Ｓ１６５でＮｏ）、再度自身のメモリ内に記憶されたプログラムを読み出し、これを書込対象ＥＣＵに送信する（Ｓ１６３）。尚、プログラムの書込が複数回に渡ってうまくいかない場合には、プログラムの書込を中止して、当該処理を終了させればよい。
【００７３】
次に、Ｓ１３０（図２参照）にて、ゲートウェイＥＣＵ５０が通信データをプログラム、適合定数の書込要求ではないと判断した（Ｓ１３０でＮｏ）場合の処理について説明する。
図２に示すように、ゲートウェイＥＣＵ５０は、Ｓ１３０にてＮｏと判断すると、続くＳ１７０にて、通信データの配信先（アクセス先）が、ＡＶＣ系ネットワークに接続されたＡＶＣ系ＥＣＵ３１〜３７であるか否かを判断する。
【００７４】
ここで、配信先がＡＶＣ系ＥＣＵ３１〜３７であると判断すると（Ｓ１７０でＹｅｓ）、ゲートウェイＥＣＵ５０は、Ｓ１７５にて、通信データを配信先のＡＶＣ系ＥＣＵに配信する。
一方、配信先がＡＶＣ系ＥＣＵ３１〜３７ではないと判断すると（Ｓ１７０でＮｏ）、ゲートウェイＥＣＵ５０は、通信部４０を介して、そのデータを送信してきた車外装置３に、当該ＥＣＵ宛へパスワードを送信するように要求して、車外装置３から認証情報としてのパスワードを取得する（Ｓ１８０）。
【００７５】
続いて、ゲートウェイＥＣＵ５０は、Ｓ１９０にて、パスワードが、自身に予め登録されたパスワードと一致するかどうかを判断することにより、取得したパスワードが正しいか否か判断する。尚、ゲートウェイＥＣＵ５０は、車外装置３から取得したパスワードを、上述したプログラム転送処理のＳ１４３で照合するのに用いたのと同じパスワードで照合する構成にされていてもよいし、別のもので照合するように構成されていてもよい。この場合には、ゲートウェイＥＣＵ５０に、予めＳ１４３の照合の際に用いるパスワードと、Ｓ１９０の照合の際に用いるパスワードを、両方記憶させておくことになる。
【００７６】
そして、パスワードが正しいと判断すると（Ｓ１９０でＹｅｓ）、ゲートウェイＥＣＵ５０は、データを配信先のＥＣＵに送信し（Ｓ２００）、パスワードが正しくないと判断すると（Ｓ１９０でＮｏ）、Ｓ１９５にてアクセス制限処理を実行して、当該処理を終了する。
【００７７】
尚、このアクセス制限処理において、ゲートウェイＥＣＵ５０は、図５に示すように動作する。
即ち、ゲートウェイＥＣＵ５０は、Ｓ４１０にて、同一の車外装置３から当該ゲートウェイＥＣＵ５０に、一定時間内でｎ回（例えば３回）以上のアクセスがあったか否か判断して、ｎ回以上のアクセスがなければ（Ｓ４１０でＮｏ）、Ｓ４２０にて、認証に失敗した異常なアクセスが車外装置３よりあったことを通信部４０の対応する無線機４１〜４７に送信（これに対応する無線機４１〜４７の動作については後述）して、当該処理を終了する。
【００７８】
一方、ｎ回以上のアクセスがあった場合には（Ｓ４１０でＹｅｓ）、対応する無線機４１〜４７にその車外装置３からのアクセスを禁止するように通知して（Ｓ４３０）、無線機４１〜４７に、同一アクセス元の車外装置３からの通信データを、ゲートウェイＥＣＵ５０に二度と送らないようにさせて、当該処理を終了する。
【００７９】
また、このアクセス制限処理の上記各通知を受ける本実施例の各無線機４１〜４７は図６に示すようなアクセス制御処理を実行して、車外装置３からのアクセスを制御する。尚、図６は、アクセス制御処理を表すフローチャートである。
無線機４１〜４７は、復調回路から、復調結果としての通信データを取得すると、通信データに含まれる送信元の車外装置３に関する情報を取得して、その送信元を識別し（Ｓ５１０）、Ｓ５２０にて、送信元がアクセス禁止リストにあるか否か判断する。尚、このアクセス禁止リストは、ゲートウェイＥＣＵ５０からアクセス禁止の通知を受ける度に、無線機４１〜４７が逐次更新していくものであり、無線機４１〜４７は、自身のメモリ内に、アクセス禁止の対象となった車外装置３を登録したアクセス禁止リストを保有している。
【００８０】
このＳ５２０において通信データの送信元がアクセス禁止リストにあると判断すると、無線機４１〜４７は、続くＳ５４０にて、送信元の車外装置３のゲートウェイＥＣＵ５０へのアクセスを拒否する。つまり、無線機４１〜４７は、その送信元から受信した通信データをゲートウェイＥＣＵ５０に送信することなく破棄する。
【００８１】
一方、Ｓ５２０において、通信データの送信元がアクセス禁止リストにないと判断すると、無線機４１〜４７は、続くＳ５３０にて、その送信元が異常アクセスを受けてから一定時間経過したものであるか否かを判断する。尚、ここでの一定時間は、ゲートウェイＥＣＵ５０がＳ４１０にてｎ回以上のアクセスがあったか否かを判断する際の時間より十分短い時間に設定されている。
【００８２】
ここで、異常アクセス後一定時間が経過していないと判断すると、無線機４１〜４７は、Ｓ５４０に移動して、送信元の車外装置３のゲートウェイＥＣＵ５０へのアクセスを拒否する。一方、異常アクセス後一定時間が経過しているか、異常アクセスの通知をうけていないと判断すると、処理をＳ５５０に移して、通信データをゲートウェイＥＣＵ５０に送信する。
【００８３】
以上、本実施例の車内通信システム１について説明したが、この車内通信システム１においては、ゲートウェイＥＣＵ５０が、車外装置３に接続される通信部４０と、車載ＬＡＮ１０との間の通信を中継する際に、必要に応じて車外装置３が車載ＬＡＮ１０の各ＥＣＵ１１〜３７へのアクセス（即ち、各ＥＣＵとのデータ通信）を許可された車外装置かどうかを、パスワードを取得することにより確認するので、車載ＬＡＮ１０内の各ＥＣＵ１１〜３７への不正なアクセスを防止することができる。また、このような構成にすることにより、個別のＥＣＵだけで車外装置３を認証する場合よりも、外部から不正なアクセスを一層防止することができるし、そのようなシステムを安価に構成することができる。この他、車内通信システムにおける配線を少なくすることができる。
【００８４】
尚、本実施例の車内通信システム１では、通信データがプログラム、適合定数の書込要求に関するものでなく、通信データの配信先（アクセス先）が外部から取得した情報を車両乗員に報知するためのＡＶＣ系ＥＣＵ（ＡＶＣ系ネットワークに接続されたＥＣＵ３１〜３７）である場合に、車外装置３の認証を行わない事にしている。
【００８５】
なぜならば、ＡＶＣ系ＥＣＵ３１〜３７への通信データである限り、その通信データに悪意で作為がなされていたとしても、その通信データが車両の走行に関する安全性に影響を与えることがないからである。また、ＡＶＣ系ＥＣＵへのアクセスが外部から頻繁に行われることを考慮にいれれば、いちいち車外装置３の認証を行うと、ゲートウェイＥＣＵ５０への処理負荷が高くなってしまうからである。尚、勿論、必要があれば各ＥＣＵにて個別に認証を行っても構わない。
【００８６】
一方、通信データの配信先がＡＶＣ系ＥＣＵ以外のＥＣＵである場合（換言すると、制御系ネットワーク、ボディ系ネットワークに接続されたＥＣＵ１１〜２５である場合）には、少なくとも、パスワード等による車外装置３の認証を一回行うようにしている。なぜならば、制御系ネットワークや、ボディ系ネットワークに接続される各ＥＣＵは車両制御にかかわるＥＣＵであるため、不正にこれらのＥＣＵがいたずらされないようにし、車両の走行安全性を確保することが必要だからである。
【００８７】
また特に、本実施例の車内通信システム１においては、通信データがプログラム、適合定数の書込要求に関するものである場合、配信先のＥＣＵの種類にかかわらず、パスワード等による第一の認証に加えて第二の認証を行うことにより、車外装置３のアクセスをより厳しく制限している。したがって、本実施例の車内通信システム１においては、ＥＣＵにて動作するプログラムや、車両制御に係わる適合定数が不正に書き換えられてしまうなどの事態を防止することができる。
【００８８】
この他、この車内通信システム１においては、認証に失敗することの多い車外装置３からのアクセスをｎ回の認証失敗をもって禁止して、通信部４０にて車外装置３からの通信データをゲートウェイＥＣＵ５０に入力しないようにしているため、不正アクセスによってゲートウェイＥＣＵ５０の処理負荷が高まってしまうなどの問題を解消することができる。
【００８９】
ここで、以上に説明した本実施例の車内通信システム１と本発明の車内通信システムとの関係は以下のようになっている。
まず、本発明の車両用中継装置は、本実施例のゲートウェイＥＣＵ５０に相当し、本発明の情報系装置は、上記ＡＶＣ系ネットワークに接続されたＡＶＣ系ＥＣＵ３１〜３７に相当し、本発明の制御系装置は、上記制御系ネットワークもしくはボディ系ネットワークに接続された各ＥＣＵ１１〜２５に相当する。また、車外装置のアクセス要求は、車外装置３が通信部４０に通信データを送信する動作に相当する。
【００９０】
そして、本発明の第一識別手段は、ゲートウェイＥＣＵ５０がＳ１１０で把握した配信先に基づき、Ｓ１７０にて、配信先が情報系装置としてのＡＶＣ系ＥＣＵであるか否かを判断する動作に相当し、第一認証手段は、ゲートウェイＥＣＵ５０がＳ１８０にて第一の認証情報としてのパスワードを取得し、Ｓ１９０にてパスワードが正しいか否か判断する動作に相当する。また、第一配信手段は、ゲートウェイＥＣＵ５０がＳ１７０でＹｅｓと判断した時に実行するＳ１７５と、Ｓ１９０でＹｅｓと判断した時に実行するＳ２００の処理に相当する。
【００９１】
この他、本発明の第二識別手段は、ゲートウェイＥＣＵ５０が実行するＳ１３０での処理動作に相当し、第二認証手段は、ゲートウェイＥＣＵ５０がアクセス要求をプログラム等の書込要求ではないと判断した際にステップをＳ１７０に移行する一方で、アクセス要求がプログラム等の書込要求であった場合に、Ｓ１４０〜Ｓ１６１の処理を実行する動作に相当する。また、第二配信手段は、ゲートウェイＥＣＵ５０がＳ１６１の判断結果に基づき、ステップをＳ１６３に移行して、通信データ（プログラム等）をＥＣＵに送信する動作に相当する。
【００９２】
以上、本発明の実施例について説明したが、本発明の車両用中継装置及び車内通信システムは、上記実施例に限定されるものではなく、種々の態様を採ることができる。
例えば、上記実施例においては車外装置３の認証をまずパスワードにて行う構成としたが、その他の認証方法にて車外装置３を認証してもよい。共通鍵方式等のより信頼性の高い認証方法で車外装置３を認証すれば、認証時間が長くなる場合もあるが、より確実に車載ＬＡＮ１０内のＥＣＵへの不正アクセスを防止することができる。
【００９３】
この他、プログラム等の書込要求を受信した場合においては、異なる認証方法で、車外装置３を２回認証する構成としたが、これらの書込に関する安全性を確保するためには、信頼性の高い認証方法で認証を３回以上行ってもよいし、一度だけ、信頼性の非常に高い認証方法で車外装置３を認証するように当該システムを構築してよい。
【図面の簡単な説明】
【図１】 本実施例の車内通信システム１の構成を表すブロック図である。
【図２】 ゲートウェイＥＣＵ５０が実行するメインルーチンを表すフローチャートである。
【図３】 ゲートウェイＥＣＵ５０が実行するプログラム転送処理を表すフローチャートである。
【図４】 ゲートウェイＥＣＵ５０が実行する個別認証処理を表すフローチャート（ａ）と、書込対象ＥＣＵが実行するプログラム受信処理を表すフローチャート（ｂ）である。
【図５】 ゲートウェイＥＣＵ５０が実行するアクセス制限処理を表すフローチャートである。
【図６】 各無線機４１〜４７が実行するアクセス制御処理を表すフローチャートである。
【符号の説明】
１…車内通信システム、３…車外装置、１０…車載ＬＡＮ、１１〜３７…ＥＣＵ、４０…通信部、４１，４３，４５，４７…無線機、４９…外部装置接続部、５０…ゲートウェイＥＣＵ

Claims (5)

1. 車両に構築された車載ＬＡＮと、車外装置との間でデータ通信を行う通信装置との間に配置され、該通信装置を介して接続される車外装置と車載ＬＡＮに接続された各種車両内電子装置との間の通信を中継する車両用中継装置であって、
   車外装置から前記車載ＬＡＮ内の車両内電子装置へのアクセス要求があると、そのアクセス先を識別すると共に、該識別結果に基づいて、該アクセス要求が車外装置の認証を必要とする前記車両内電子装置へのアクセス要求であるか否かを判断する第一識別手段と、
   前記第一識別手段が、前記アクセス要求を前記車外装置の認証を必要とするものであると判断すると、前記車外装置から送信されてきた第一の認証情報に基づき、前記車外装置が予め前記車両内電子装置へのアクセスを許可された車外装置であるか否かを判断する第一認証手段と、
   該第一認証手段が、前記アクセス要求してきた車外装置を予め前記車両内電子装置へのアクセスを許可された車外装置であると判断するか、前記第一識別手段が、前記アクセス要求を前記車外装置の認証を必要としないものであると判断すると、前記車外装置から前記通信装置を介して送信されてきた通信データを、アクセス先の前記車両内電子装置に配信する第一配信手段と、を備え、
   前記車載ＬＡＮには、前記車両内電子装置として、外部より取得した情報を車両乗員に報知するための情報系装置と、車両を制御するための制御系装置と、が接続されており、
   前記第一識別手段は、前記アクセス要求があると、該アクセス要求が、前記情報系装置及び前記制御系装置のいずれのアクセス要求であるかを識別し、前記制御系装置と識別した場合は、前記アクセス要求が、前記車外装置の認証を必要とするアクセス要求であると判断し、
   前記第一認証手段は、前記第一識別手段が前記アクセス要求を前記制御系装置へのアクセス要求であると判断すると、前記車外装置から送信されてきた第一の認証情報に基づき、前記車外装置が、予め前記制御系装置へのアクセスを許可された車外装置であるか否かを判断すること
   を特徴とする車両用中継装置。
2. 前記車外装置から前記車両内電子装置へのアクセス要求があると、該アクセス要求が、車両内電子装置にて動作するプログラム又は車両内電子装置動作用のパラメータを書き込むための書込要求であるか否かを判断する第二識別手段と、
   前記第二識別手段が、前記車両内電子装置へのアクセス要求を前記書込要求ではないと判断すると、前記第一識別手段を動作させ、
   前記第二識別手段が、前記車両内電子装置へのアクセス要求を前記書込要求であると判断すると、前記車外装置から送信されてきた第二の認証情報に基づき、前記書込要求してきた車外装置が、前記車両内電子装置にて動作するプログラム又は前記車両内電子装置動作用のパラメータの書込を許可された車外装置であるか否かを判断する第二認証手段と、
   該第二認証手段が、前記書込要求してきた車外装置を前記車両内電子装置にて動作するプログラム又は前記車両内電子装置動作用のパラメータの書込を許可された車外装置であると判断した場合にのみ、該車外装置から前記通信装置を介して送信されてきた通信データを、アクセス先の前記車両内電子装置に配信する第二配信手段と、を備えたこと
   を特徴とする請求項１に記載の車両用中継装置。
3. 前記第二認証手段は、前記第二識別手段が前記車両内電子装置へのアクセス要求を前記書込要求であると判断すると、
   前記第一の認証情報に基づき前記車外装置が予め前記車両内電子装置へのアクセスを許可された車外装置であるか否かを判断し、
   前記車外装置が予め前記車両内電子装置へのアクセスを許可された車外装置であると、
   前記第二の認証情報に基づき、前記書込要求してきた車外装置が、前記車両内電子装置にて動作するプログラム又は前記車両内電子装置動作用のパラメータの書込を許可された車外装置であるか否かを判断すること
   を特徴とする請求項２に記載の車両用中継装置。
4. 前記第二認証手段は、前記車外装置から送信されてきた前記第一の認証情報を、自身が所有する認証情報と照合することにより、前記車外装置が予め前記車両内電子装置へのアクセスを許可された車外装置であるか否かを判断し、
   前記車外装置が予め前記車両内電子装置へのアクセスを許可された車外装置であると、
   前記車外装置から送信されてきた前記第二の認証情報を、前記プログラム又は前記パラメータの書込対象となる前記車両内電子装置に転送して、該車両内電子装置に前記第二の認証情報を該車両内電子装置が所有する認証情報と照合させると共に、
   該照合結果を該車両内電子装置から取得し、該取得した照合結果に基づいて、前記書込要求してきた車外装置が、前記車両内電子装置にて動作するプログラム又は前記車両内電子装置動作用のパラメータの書込を許可された車外装置であるか否かを判断すること
   を特徴とする請求項３に記載の車両用中継装置。
5. 車両に構築された車載ＬＡＮと、
   車外装置との間でデータ通信を行う通信装置と、
   該通信装置と、前記車載ＬＡＮとの間に配置され、前記通信装置を介して接続される車外装置と前記車載ＬＡＮに接続された各種車両内電子装置との間の通信を中継する請求項１〜請求項４のいずれかに記載の車両用中継装置と、
   を備えたことを特徴とする車内通信システム。

Images