JP6201962B2

JP6201962B2 - 車載通信システム

Info

Publication number: JP6201962B2
Application number: JP2014226318A
Authority: JP
Inventors: 勇太落合; 加藤　光敏; 光敏加藤
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2014-11-06
Filing date: 2014-11-06
Publication date: 2017-09-27
Anticipated expiration: 2034-11-06
Also published as: US11064348B2; US20190394635A1; CN105589451B; US20180213394A1; EP3018635B1; EP3018635A1; JP2016092645A; CN105589451A; US9955342B2; US20160135038A1; KR101860612B1; KR20160054414A

Description

本発明は、外部機器と車載ＬＡＮとの間での通信を中継するゲートウェイを含む車載通信システムに関する。

従来から、データ転送を行う車載ゲートウェイにおいて、データの内容や車両状態に応じて、データ転送を行うか否かを決定する技術（データフィルタリング技術）が知られている（例えば、特許文献１）。

特許文献１では、不完全なデータや不正なデータはゲートウェイを通過しないようにすることで、不正アクセスの防止を図る旨が記載されている。また、特許文献１では、車両状態（例えば、電源状態、走行あるいは停車状態等）に応じて、データ量を制限することが記載されている。

特開２００２−１６６１４号公報

しかしながら、特許文献１のように、データの内容によって、データフィルタリングを行う場合、転送されるデータによっては、正規なデータと区別ができず、悪意の第三者による不正アクセスを許してしまうおそれがある。また、特許文献１のように、車両状態に応じて、データ量を制限することは、トラフィックの確保を主眼としており、悪意の第三者による不正アクセスを防止するというセキュリティの観点からは改善の余地がある。

そこで、上記課題に鑑み、外部機器と車載ＬＡＮとの間での通信をゲートウェイで中継する場合に、悪意の第三者によるゲートウェイを介した車載ＬＡＮへの不正アクセスをより確実に防止することが可能な車載通信システムを提供することを目的とする。

上記目的を達成するため、一実施形態において、車載通信システムは、
外部機器と車載ＬＡＮとの間での通信を中継するゲートウェイと、
取得した所定の車両情報に基づき前記車載ＬＡＮを搭載する車両が駐車状態であると判断した場合、前記ゲートウェイによる前記外部機器と前記車載ＬＡＮとの間での通信を禁止する通信可否判断部を備え、前記通信可否判断部は、前記所定の車両情報の取得元に異常があるか否かを判断し、前記取得元に異常があると判断した場合、前記ゲートウェイによる前記外部機器と前記車載ＬＡＮとの間での通信を許可する。

本実施の形態によれば、外部機器と車載ＬＡＮとの間での通信をゲートウェイで中継する場合に、悪意の第三者によるゲートウェイを介した車載ＬＡＮへの不正アクセスをより確実に防止することが可能な車載通信システムを提供することができる。

車載通信システムの構成の一例を示す概略構成図である。第１の実施形態に係る車載通信システム（ゲートウェイＥＣＵ）による通信可否判断処理の一例を示すフローチャートである。第２の実施形態に係る車載通信システム（ゲートウェイＥＣＵ）による通信可否判断処理の一例を示すフローチャートである。車両情報の取得元（ＥＣＵ）の故障判定処理の一例を示すフローチャートである。第３の実施形態に係る車載通信システム（ゲートウェイＥＣＵ）による通信可否判断処理の一例を示すフローチャートである。

以下、図面を参照して発明を実施するための形態について説明する。

［第１の実施形態］
まず、本実施形態に係る車載通信システム１の構成について説明をする。

図１は、本実施形態に係る車載通信システム１の構成の一例を示す概略構成図である。車載通信システム１は、車両１００に搭載され、車両１００に接続される外部機器２５と車載ＬＡＮ３０（に接続される各ＥＣＵ４０）との間でのダイアグ通信を行うことが可能に構成される。

なお、「ダイアグ通信」は、自己診断情報（各ＥＣＵ４０による自身或いは支配下にあるセンサ、アクチュエータ等の故障診断に関する情報）を、外部機器２５から各ＥＣＵ４０に送信要求したり、当該送信要求に応じて、各ＥＣＵ４０から外部機器２５に送信したりする通信を意味する。また、「自己診断情報」は、例えば、ＤＴＣ（ＤｉａｇｎｏｔｉｃＴｒｏｕｂｌｅＣｏｒｄ）や各種センサの検出データ（ＦＦＤ（ＦｒｅｅｚｅＦｒａｍｅＤａｔａ）等）を含む。

車載通信システム１は、図１に示すように、ゲートウェイＥＣＵ１０、外部バス２０、外部機器２５、車載ＬＡＮ３０、ＥＣＵ４０等を含む。

ゲートウェイＥＣＵ（ＥｌｅｃｔｒｉｃＣｏｎｔｒｏｌＵｎｉｔ）１０は、外部機器２５が接続される外部バス２０と車載ＬＡＮ３０を物理的に分離すると共に、外部バス２０に接続された外部機器２５と車載ＬＡＮ３０との間でのダイアグ通信を中継する通信中継手段の一例である。ゲートウェイＥＣＵ１０は、ネットワーク上において、媒体やプロトコルの異なるデータを相互に変換して当該ダイアグ通信を可能にする。また、ゲートウェイＥＣＵ１０は、外部機器２５と車載ＬＡＮ３０との間でのデータ中継（データ転送）に関する各種制御処理を実行する。ゲートウェイＥＣＵ１０は、例えば、マイクロコンピュータにより構成され、ＲＯＭに格納された各種プログラムをＣＰＵ上で実行することにより各種制御処理を実行してよい。

ゲートウェイＥＣＵ１０は、機能部として、ゲートウェイ部１１、通信可否判断部１２を含む。なお、ゲートウェイＥＣＵ１０がマイクロコンピュータにより構成される場合、ゲートウェイ部１１、通信可否判断部１２は、対応するプログラムをＣＰＵ上で実行することにより実現されてよい。

ゲートウェイ部１１は、外部機器２５と車載ＬＡＮ３０内の各ＥＣＵ４０との間でのデータ転送処理を実行する手段である。ゲートウェイ部１１は、外部機器２５と車載ＬＡＮ３０（内の各ＥＣＵ４０）との間での媒体やプロトコル等の異なるデータを相互に変換することで、双方向でのデータ転送を実現する。例えば、ゲートウェイ部１１は、外部機器２５からの自己診断情報の送信を要求する通信フレームを車載ＬＡＮ３０（内のＥＣＵ４０）に対応するデータに変換して、車載ＬＡＮ３０を介して要求対象のＥＣＵ４０に送信する。また、ゲートウェイ部１１は、各ＥＣＵ４０から自己診断情報に関する通信フレームを外部機器２５に対応するデータに変換して、外部バス２０を介して、外部機器２５に送信する。

通信可否判断部１２は、外部機器２５と車載ＬＡＮ３０（内の各ＥＣＵ４０）との間でのデータ転送を許可するか否かを判断する手段（通信可否判断手段）である。通信可否判断部１２により外部機器２５と車載ＬＡＮ３０（内の各ＥＣＵ４０）との間でのデータ転送が許可される場合、ゲートウェイ部１１は、外部機器２５と車載ＬＡＮ３０との間でのデータ転送を行う。一方、通信可否判断部１２により外部機器２５と車載ＬＡＮ３０（内の各ＥＣＵ４０）との間でのデータ転送が許可されない（禁止される）場合、ゲートウェイ部１１は、外部機器２５と車載ＬＡＮ３０との間でのデータ転送を行わない。通信可否判断部１２による処理の詳細については、後述する。

なお、本実施形態において、ゲートウェイ部１１及び通信可否判断部１２は、同じゲートウェイＥＣＵ１０の機能として実現されるが、例えば、通信可否判断部１２の機能は、ゲートウェイＥＣＵ１０（ゲートウェイ部１１）の外部に設けられてもよい。即ち、ゲートウェイ部１１と通信可否判断部１２の機能は、外部機器２５と車載ＬＡＮ３０との間での通信の中継を実行する中継装置（ゲートウェイ）と、当該中継装置とは別個に設けられ、通信可否判断部１２の機能を有する処理装置等により実現されてもよい。

外部バス２０は、ゲートウェイＥＣＵ１０と外部機器２５とを接続するために設けられる。外部バス２０には、外部機器２５を接続可能な車両側コネクタ２０ｃが設けられる。

なお、車両側コネクタ２０ｃは、外部機器２５を車両１００（外部バス２０）に接続可能であれば、任意の態様（形態、仕様等）であってよく、例えば、故障診断用ＤＬＣ３コネクタであってよい。

外部機器２５は、車両１００へ接続することにより、例えば、車載された各ＥＣＵ４０から自己診断情報を取得し、故障診断が行える故障診断機能や各ＥＣＵ４０のプログラムを書き換えるプログラム書き換え機能等を有するデバイスである。外部機器２５は、本体から延出する通信コードの先端に設けられる外部機器側コネクタ２５ｃを車両側コネクタ２０ｃに接続することによりゲートウェイＥＣＵ１０と通信可能に接続される。

車載ＬＡＮ３０は、車両１００に搭載された車載ネットワークであり、例えば、ＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）、ＬＩＮ（ＬｏｃａｌＩｎｔｅｒｃｏｎｎｅｃｔＮｅｔｗｏｒｋ）、ＦｌｅｘＲａｙ等の通信規格によるものであってよい。車載ＬＡＮ３０は、車両１００の様々な制御を行う電子制御ユニット（ＥＣＵ４０）同士をバスにより接続し、ネットワークを形成する。これにより、各ＥＣＵ４０の支配下にある各種センサ等により検出された信号を、各ＥＣＵ４０間で共有することができる。車載ＬＡＮ３０は、図１に示すように、ゲートウェイＥＣＵ１０を経由して、各バス上に配置される各ＥＣＵ４０が接続される形態を有する。なお、車載ＬＡＮ３０は、１つのバス上に各ＥＣＵ４０及びゲートウェイＥＣＵ１０が接続される形態であってもよい。

ＥＣＵ４０は、車載ＬＡＮ３０に接続され、車両１００における所定の制御を実行する電子制御ユニットであり、制御内容に付随する支配下の各種センサ、アクチュエータ等を有してよい。ＥＣＵ４０は、図１に示すように、ゲートウェイＥＣＵ１０から延設される各バス上に設けられるＥＣＵ４０Ａ、４０Ｂ、４０Ｃ、４０Ｄを含む。

また、ＥＣＵ４０（４０Ａ〜４０Ｄ）は、自身、及び、支配下の各種センサ、アクチュエータ等の故障診断を実行する機能（自己診断機能）を有し、自己診断結果を内部メモリ等に記憶する。そして、ＥＣＵ４０は、外部機器２５からの自己診断情報の送信要求に応じて、ゲートウェイＥＣＵ１０を介して、自己診断情報を送信する。また、ＥＣＵ４０（４０Ａ〜４０Ｄ）は、当該故障診断に併せて、支配下の各種センサ等の検出データ（検出信号）を内部メモリ等に記憶してよい。

本実施形態において、ＥＣＵ４０Ａは、車両１００に搭載されるエンジンの制御を実行する電子制御ユニットである。ＥＣＵ４０Ａは、車両１００の燃費に関する情報（燃費情報）を内部メモリに記憶し、外部機器２５からの送信要求に応じて、燃費情報を送信可能に構成される。なお、「燃費情報」は、例えば、ＥＣＵ４０Ａの支配下の各センサにより検出されるエンジン回転数や燃料噴射量等を含んでよい。

また、本実施形態において、ＥＣＵ４０Ｂは、車両１００のドアのロック・アンロック制御を実行する電子制御ユニットである。ＥＣＵ４０Ｂは、"ワイヤレスキー操作又はスマートキー操作により、車両１００の全ドア閉かつ全ドアロックが成立した状態"であるか否かを示す駐車状態信号を生成し、車載ＬＡＮ３０経由でゲートウェイＥＣＵ１０へ送信可能に構成される。なお、ＥＣＵ４０Ｂは、双方向通信によるＩＤコードの照合等によりワイヤレスキーやスマートキーの認証を行う後述するＥＣＵ４０Ｃからの信号を受信することで、ワイヤレスキー操作又はスマートキー操作によるドアロックが行われたことを把握してよい。また、ＥＣＵ４０Ｂは、支配下のドアカーテシスイッチからドアの開閉状態に対応する信号を取得してよい。

また、本実施形態において、ＥＣＵ４０Ｃは、ワイヤレスキーやスマートキーの認証を行う電子制御ユニットである。ＥＣＵ４０Ｃは、スマートキーを車室内に検出しているか否かを示すスマートキー検出状態信号を車載ＬＡＮ３０経由でゲートウェイＥＣＵ１０へ送信可能に構成される。なお、ＥＣＵ４０Ｃは、上述したとおり、双方向通信によるＩＤコードの照合等によりワイヤレスキーやスマートキーの認証を行う。また、ＥＣＵ４０Ｃは、支配下の車室内発信機（不図示）を介して送信したリクエスト信号に対応したスマートキーからのレスポンス信号を受信した上で、当該スマートキーを承認することで、スマートキーを車室内に検出してよい。

また、本実施形態において、ＥＣＵ４０Ｄは、セキュリティ（車両盗難防止）機能（車室内への不正侵入を検出すると、ホーン（不図示）やインジケータ（不図示）等を駆動し、警報する機能）に関する制御を実行する電子制御ユニットである。ＥＣＵ４０Ｄは、車両１００がセキュリティ警戒状態にあるか否かを示す警戒状態信号、及び、車両１００が警報状態にあるか否かを示す警報状態信号を車載ＬＡＮ３０経由でゲートウェイＥＣＵ１０へ送信可能に構成される。なお、「セキュリティ警戒状態」とは、上記セキュリティ機能が有効な状態を意味し、ＥＣＵ４０Ｄは、例えば、スマートキー操作により車両１００の全ドアがロック状態にされると、車両１００をセキュリティ機能が有効な状態に遷移させてよい。また、「セキュリティ警報状態」とは、セキュリティ警戒状態において、車室内への不正侵入を検出し、ホーンやインジケータ等を駆動して警報している状態を意味する。

なお、車載ＬＡＮ３０内のＥＣＵ４０の個数は、例示であり、任意の個数のＥＣＵ４０がノードとして車載ＬＡＮ３０に含まれてよい。また、上述した車載ＬＡＮ３０内の各ＥＣＵ４０（４０Ａ〜４０Ｄ）の制御対象、制御内容等は、例示であり、車載ＬＡＮ３０に含まれる各ＥＣＵ４０の制御対象、制御内容は任意であってよい。

次に、本実施形態に係る車載通信システム１（ゲートウェイＥＣＵ１０）による通信可否判断処理について説明をする。

図２は、本実施形態に係る車載通信システム１（ゲートウェイＥＣＵ１０）による通信可否判断処理の一例を示すフローチャートである。なお、当該フローは、ゲートウェイＥＣＵ１０に対して、外部機器２５から車載ＬＡＮ３０への通信フレーム、或いは、車載ＬＡＮ３０内の各ＥＣＵ４０から外部機器２５への通信フレームのいずれかが入力される度に実行される。

ステップＳ１０１にて、通信可否判断部１２は、車両１００が駐車状態にあるか否かを判定する。通信可否判断部１２は、車両１００が駐車状態にあると判断する場合、ステップＳ１０２に進み、駐車状態にないと判断する場合、ステップＳ１０３に進む。

ここで、「駐車状態」とは、車両１００の周辺に所有者や所有者に準ずる者（例えば、所有者の家族やディーラーで作業中の作業員等を含む）がいない状況で駐車されている状態を意味する。換言すれば、「駐車状態」とは、悪意ある第三者による車載ＬＡＮ３０への不正アクセスが行われる可能性が高い状態と言える。

通信可否判断部１２は、以下の４つの条件の何れかを満足する場合、車両１００が駐車状態にあると判断する。

（１）警戒状態信号が車両１００のセキュリティ警戒状態を示していること
セキュリティ機能は、上述したとおり、例えば、スマートキー操作により車両１００の全ドアがロック状態にされた場合等、所有者或いは所有者に準ずる者が車両１００から離れて、車両１００が駐車される場合に有効となる。そのため、通信可否判断部１２は、車両１００がセキュリティ警戒状態にあることに対応する警戒状態信号をＥＣＵ４０Ｄから受信することで、車両１００が駐車状態にあると判断できる。

（２）警報状態信号が車両１００のセキュリティ警報状態を示していること
通信可否判断部１２は、上記（１）と同様、セキュリティ警戒状態にて、不正侵入が検出された際の警報状態に対応する警報状態信号をＥＣＵ４０Ｄから受信することで、車両１００が駐車状態にあると判断できる。

（３）駐車状態信号が"ワイヤレスキー操作又はスマートキー操作により、車両１００の全ドア閉かつ全ドアロックが成立した状態"を示していること
"ワイヤレスキー操作又はスマートキー操作により、車両１００の全ドア閉かつ全ドアロックが成立した状態"は、所有者或いは所有者に準ずる者が車両１００から離れて、車両１００が駐車されている状態に相当する。そのため、通信可否判断部１２は、駐車状態信号をＥＣＵ４０Ｂから受信することで車両１００が駐車状態にあるか否かを判断できる。

（４）スマートキー検出状態信号が車室内でのスマートキーの未検出を示していること
車室内にスマートキーがない場合、所有者或いは所有者に準ずる者が車両１００から離れて、車両１００が駐車されている状態に相当する。そのため、通信可否判断部１２は、スマートキー検出状態信号をＥＣＵ４０Ｃから受信することで車両１００が駐車状態にあるか否かを判断できる。

なお、通信可否判断部１２は、車両１００が駐車状態にあるか否かを判定する場合に、上述した４つの条件のいずれかを満足することに加えて、車両１００のイグニッションスイッチ（不図示）がＯＦＦにされた状態（ＩＧ−ＯＦＦ状態）であることを更に条件としてもよい。

ステップＳ１０２にて、通信可否判断部１２は、外部機器２５から車載ＬＡＮ３０、或いは、車載ＬＡＮ３０から外部機器２５への通信フレームの中継（転送）を禁止し、これに応じて、ゲートウェイ部１１は、通信フレームを破棄する処理を実行する。

一方、ステップＳ１０３にて、通信可否判断部１２は、外部機器２５から車載ＬＡＮ３０、或いは、車載ＬＡＮ３０から外部機器２５への通信フレームの中継（転送）を許可し、これに応じて、ゲートウェイ部１１は、通信フレームを中継（転送）する処理を実行する。

このように、本実施形態に係る車載通信システム１は、車両１００が駐車状態にあると判断する場合、外部機器２５と車載ＬＡＮ３０との間での通信フレームの中継（転送）を禁止し、車両１００が駐車状態でないと判断する場合、当該中継を許可する。これにより、悪意ある第三者による車載ＬＡＮ３０（内の各ＥＣＵ４０）への不正アクセスを確実に防止することができる。

即ち、車両１００が駐車状態にある場合、車両１００から所有者或いは所有者に準ずる者が離れた状態にあり、外部機器２５から車載ＬＡＮ３０への正規なアクセスが行われる必然性はなく、当該アクセスが行われるとすれば、不正アクセスである可能性が高い。そのため、車両１００が駐車状態である場合に、外部機器２５と車載ＬＡＮ３０の間での通信を禁止することで、悪意ある第三者による車載ＬＡＮ３０への不正アクセスを確実に防止することができる。

［第２の実施形態］
次いで、第２の実施形態について説明をする。

本実施形態に係る車載通信システム１は、車両１００が駐車状態にあるか否かを判断するために用いる車両情報（車両１００の状態に関する情報）の取得元に故障があるか否かに基づいて、外部機器２５と車載ＬＡＮ３０との間での通信を許可するか否かを判定する点において、第１の実施形態と異なる。以下、第１の実施形態と同様の構成要素には同一の符号を付して、異なる部分を中心に説明をする。

なお、本実施形態に係る車載通信システム１の構成は、第１の実施形態と同様、図１で表されるため、説明を省略する。

図３は、本実施形態に係る車載通信システム１（ゲートウェイＥＣＵ１０）による通信可否判断処理の一例を示すフローチャートである。なお、当該フローは、ゲートウェイＥＣＵ１０に対して、外部機器２５から車載ＬＡＮ３０への通信フレーム、或いは、車載ＬＡＮ３０内の各ＥＣＵ４０から外部機器２５への通信フレームのいずれかが入力される度に実行される。

ステップＳ２０１にて、通信可否判断部１２は、後述するステップＳ２０２にて、車両１００が駐車状態にあるか否かを判断するための車両情報の取得元に故障があるか否かを判定する。通信可否判断部１２は、当該車両情報の取得元に故障がないと判断した場合、ステップＳ２０２に進み、当該車両情報の取得元に故障があると判断した場合、ステップＳ２０４に進む。

なお、本例では、車両１００が駐車状態にあるか否かを判断するための全ての車両情報の取得元に故障がない場合、ステップＳ２０２に進み、少なくとも一つの車両情報の取得元に故障がある場合、ステップＳ２０４に進む。但し、車両１００が駐車状態にあるか否かを判断するための車両情報の取得元の少なくとも一つに故障がない場合、ステップＳ２０２に進み、全ての車両情報の取得元に故障がある場合、ステップＳ２０４に進むようにしてもよい。この場合、後述するステップＳ２０２にて、通信可否判断部１２は、故障がない取得元から取得した車両情報に基づき、車両１００が駐車状態にあるか否かを判断する。

ステップＳ２０２にて、通信可否判断部１２は、第１の実施形態のステップＳ１０１と同様、車両１００が駐車状態にあるか否かを判定する。通信可否判断部１２は、車両１００が駐車状態にあると判断する場合、ステップＳ２０３に進み、駐車状態にないと判断する場合、ステップＳ２０４に進む。

なお、通信可否判断部１２は、第１の実施形態と同様、上述した（１）〜（４）の条件の何れかを満足する場合、車両１００が駐車状態にあると判断する。

ステップＳ２０３にて、通信可否判断部１２は、外部機器２５から車載ＬＡＮ３０、或いは、車載ＬＡＮ３０から外部機器２５への通信フレームの中継（転送）を禁止し、これに応じて、ゲートウェイ部１１は、通信フレームを破棄する処理を実行する。

一方、ステップＳ２０４にて、通信可否判断部１２は、外部機器２５から車載ＬＡＮ３０、或いは、車載ＬＡＮ３０から外部機器２５への通信フレームの中継（転送）を許可し、これに応じて、ゲートウェイ部１１は、通信フレームを中継（転送）する処理を実行する。

なお、ステップＳ２０１、Ｓ２０２の判定処理は、前後入れ替えて実行してもよい。

ここで、ステップＳ２０１における車両１００が駐車状態であるか否かを判定するための車両情報の取得元が故障しているか否かを判定する手法について説明をする。なお、本実施形態において、車両１００が駐車状態にあるか否かを判断するための車両情報は、警戒状態信号、警報状態信号、駐車状態信号、及び、スマートキー検出状態信号であり、その取得元は、ＥＣＵ４０Ｂ、４０Ｃ、４０Ｄである。

図４は、車載通信システム１（ゲートウェイＥＣＵ１０）による車両情報の取得元（ＥＣＵ４０Ｂ〜４０Ｄ）の故障判定処理の一例を示すフローチャートである。なお、当該フローチャートは、各ＥＣＵ４０Ｂ〜４０Ｄから送信される各車両情報（警戒状態信号、警報状態信号、駐車状態信号、及び、スマートキー検出状態信号）を取得するための通信が許可される条件が整う度（通信許可状態になる度）に、ＥＣＵ４０Ｂ〜４０Ｄのそれぞれに対して実行される。

ステップＳ３０１にて、ゲートウェイＥＣＵ１０は、内部タイマのカウントを開始する。

ステップＳ３０２にて、ゲートウェイＥＣＵ１０は、通信許可状態か否かを判定する。通信許可状態にある場合、ステップＳ３０３に進み、通信許可状態にない場合、今回の処理を終了する。

ステップＳ３０３にて、ゲートウェイＥＣＵ１０は、通信フレームを受信したか否かを判定する。ゲートウェイＥＣＵ１０は、通信フレームを受信した場合、ステップＳ３０１に戻り、通信フレームを受信してない場合、ステップＳ３０４に進む。

ステップＳ３０４にて、ゲートウェイＥＣＵ１０は、所定時間経過したか否かを判定する。ゲートウェイＥＣＵ１０は、所定時間経過した場合、ステップＳ３０５に進み、所定時間経過していない場合、ステップＳ３０２に戻る。

なお、所定時間は、ゲートウェイＥＣＵ１０が各ＥＣＵ４０Ｂ〜４０Ｄから車両情報（警戒状態信号、警報状態信号、駐車状態信号、及び、スマートキー検出状態信号）を取得する通信において、想定されるフレーム受信間隔の最大値より大きい値に設定される。

ステップＳ３０５にて、通信可否判断部１２は、故障判定を確定して、今回の処理を終了する。

当該一例では、ゲートウェイＥＣＵ１０が、各ＥＣＵ４０Ｂ〜４０Ｄから車両情報（警戒状態信号、警報状態信号、駐車状態信号、及び、スマートキー検出状態信号）を取得する通信におけるフレーム受信間隔をモニタリングする。そして、ゲートウェイＥＣＵ１０は、対象となるＥＣＵ４０Ｂ〜４０Ｄからフレームを受信しない経過時間が想定する受信間隔を超えると、故障ありの判定を行う。

なお、ＥＣＵ４０Ｂ〜４０Ｄが故障しているか否かを判定する手法は、当該一例に限定されず、任意の手法が適用されてよい。例えば、ゲートウェイＥＣＵ１０は、接続確認要求を各ＥＣＵ４０Ｂ〜４０Ｄに送信し、当該接続確認要求に対するレスポンスがない場合、レスポンスのないＥＣＵ４０Ｂ〜４０Ｄに対して、故障ありの判定を行ってもよい。

また、本実施形態にて、ゲートウェイＥＣＵ１０は、車両１００が駐車状態にあるか否かを判断するための車両情報をＥＣＵ４０Ｂ〜４０Ｄから車載ＬＡＮ３０経由で取得したが、じか線で接続されたセンサ等（例えば、ドアの開閉状態を検出するドアカーテシスイッチ）から当該車両情報を取得する場合も想定される。このように、じか線で接続されたセンサ等の故障を検出する場合は、例えば、ＩＧ−ＯＮ状態において、ＩＧ−ＯＦＦ状態に相当する信号を当該センサ等から受信した場合に、当該センサ等に対する故障ありの判定を行ってよい。

このように、本実施形態に係る車載通信システム１は、第１の実施形態と同様、少なくとも、車両１００が駐車状態にあると判断する場合、外部機器２５と車載ＬＡＮ３０との間での通信フレームの中継（転送）を禁止する。これにより、悪意ある第三者による車載ＬＡＮ３０（内の各ＥＣＵ４０）への不正アクセスを確実に防止することができる。

一方、本実施形態に係る車載通信システム１は、車両１００が駐車状態であるか否かを判定するための車両情報の取得元に異常（故障）があると判断すると、外部機器２５と車載ＬＡＮ３０との間の通信フレームの中継（転送）を許可する。これにより、車両１００が駐車状態にあるか否かを判定するための車両情報の取得元に異常が発生した場合の不都合を解消することができる。

即ち、車両１００が駐車状態にあるか否かを判定するための車両情報の取得元（ＥＣＵ４０Ｂ〜４０Ｄ）に故障が発生した場合、これらから送信される車両情報（警戒状態信号、警報状態信号、駐車状態信号、スマートキー検出状態信号等）が誤った情報となるおそれがある。すると、車両１００が駐車状態でないにも関わらず、車両１００が駐車状態であると判定され、本来、外部機器２５と車載ＬＡＮ３０との間でのダイアグ通信を行いたい場面において、ダイアグ通信が行えない場合が生じうる。しかしながら、本実施形態に係る車載通信システム１は、車両１００が駐車状態であるか否かを判定するための車両情報の取得元に異常（故障）があると判断すると、外部機器２５と車載ＬＡＮ３０との間の通信フレームの中継（転送）を許可する。そのため、このような不都合を解消することができる。

［第３の実施形態］
次いで、第３の実施形態について説明をする。

本実施形態に係る車載通信システム１は、車載ＬＡＮ３０から外部機器２５へ転送される可能性がある情報の重要度を考慮して、外部機器２５と車載ＬＡＮ３０（内の各ＥＣＵ４０）との間での通信を許可するか否かを判定する点において、第１、第２の実施形態と異なる。以下、第１、第２の実施形態と同様の構成要素には同一の符号を付し、異なる部分を中心に説明する。

なお、本実施形態に係る車載通信システム１の構成は、第１、第２の実施形態と同様、図１で表されるため、説明を省略する。

図５は、本実施形態に係る車載通信システム１（ゲートウェイＥＣＵ１０）による通信可否判断処理の一例を示すフローチャートである。なお、当該フローは、ゲートウェイＥＣＵ１０に対して、外部機器２５から車載ＬＡＮ３０への通信フレーム、或いは、車載ＬＡＮ３０内の各ＥＣＵ４０から外部機器２５への通信フレームのいずれかが入力される度に実行される。

ステップＳ４０１にて、通信可否判断部１２は、第２の実施形態のステップＳ２０１と同様、後述するステップＳ４０２にて、車両１００が駐車状態にあるか否かを判断するための車両情報の取得元に故障があるか否かを判定する。通信可否判断部１２は、当該車両情報の取得元に故障がないと判断した場合、ステップＳ４０２に進み、当該車両情報の取得元に故障があると判断した場合、ステップＳ４０５に進む。

なお、本例では、第２の実施形態と同様、車両１００が駐車状態にあるか否かを判断するための全ての車両情報の取得元に故障がない場合、ステップＳ４０２に進み、少なくとも一つの車両情報の取得元に故障がある場合、ステップＳ４０５に進む。但し、車両１００が駐車状態にあるか否かを判断するための車両情報の取得元の少なくとも一つに故障がない場合、ステップＳ４０２に進み、全ての車両情報の取得元に故障がある場合、ステップＳ４０５に進むようにしてもよい。この場合、後述するステップＳ４０２にて、通信可否判断部１２は、故障がない取得元から取得した車両情報に基づき、車両１００が駐車状態にあるか否かを判断する。

ステップＳ４０２にて、通信可否判断部１２は、第２の実施形態のステップＳ２０２と同様、車両１００が駐車状態にあるか否かを判定する。通信可否判断部１２は、車両１００が駐車状態にあると判断する場合、ステップＳ４０３に進み、駐車状態にないと判断する場合、ステップＳ４０５に進む。

なお、通信可否判断部１２は、第１、第２の実施形態と同様、上述した（１）〜（４）の条件の何れかを満足する場合、車両１００が駐車状態にあると判断する。

ステップＳ４０３にて、通信可否判断部１２は、通信フレームの送信元、或いは、送信先である車載ＬＡＮ３０内のＥＣＵ４０が有する情報の重要度の高低を判断する。通信可否判断部１２は、当該ＥＣＵ４０が有する情報の重要度が高いと判断した場合、ステップＳ４０４に進み、当該ＥＣＵ４０が有する情報の重要度が低いと判断した場合、ステップＳ４０５に進む。

なお、各ＥＣＵ４０が有する情報の内、重要度の高い情報は、例えば、悪意ある第三者により書き換えが行われると影響が非常に大きい情報である。より具体的に例示すると、ＥＣＵ４０Ｄにおけるセキュリティ警戒状態を解除する条件等に関するプログラム情報等が該当する。また、各ＥＣＵ４０が有する情報の内、重要度の低い情報は、例えば、悪意ある第三者により書き換えられても特に問題がない情報や車室内の計器類により公になっている情報である。より具体的に例示すると、燃費情報（エンジン回転数、燃料噴射量等）が該当する。

ステップＳ４０４にて、通信可否判断部１２は、外部機器２５から車載ＬＡＮ３０、或いは、車載ＬＡＮ３０から外部機器２５への通信フレームの中継（転送）を禁止し、これに応じて、ゲートウェイ部１１は、通信フレームを破棄する処理を実行する。

一方、ステップＳ４０５にて、通信可否判断部１２は、外部機器２５から車載ＬＡＮ３０、或いは、車載ＬＡＮ３０から外部機器２５への通信フレームの中継（転送）を許可し、これに応じて、ゲートウェイ部１１は、通信フレームを中継（転送）する処理を実行する。

なお、ステップＳ４０１〜Ｓ４０３の判定処理は、前後入れ替えて実行してもよい。

また、本実施形態では、第２の実施形態における図３の通信可否判断処理のフローチャートにおけるステップＳ２０２とステップＳ２０３及びＳ２０４の間にステップＳ４０３の処理を付加したが、第１の実施形態における図２の通信可否判断処理のフローチャートにおけるステップＳ１０１とステップＳ１０２及びＳ１０３の間にステップＳ４０３の処理を付加してもよい。

このように、本実施形態に係る車載通信システム１は、第１、第２の実施形態と同様、少なくとも、車両１００が駐車状態にあると判断する場合、外部機器２５と車載ＬＡＮ３０との間での通信フレームの中継（転送）を禁止する。これにより、悪意ある第三者による車載ＬＡＮ３０（内の各ＥＣＵ４０）への不正アクセスを確実に防止することができる。

また、本実施形態に係る車載通信システム１は、第２の実施形態と同様、車両１００が駐車状態であるか否かを判定するための車両情報の取得元に異常（故障）があると判断すると、外部機器２５と車載ＬＡＮ３０との間の通信フレームの中継（転送）を許可する。これにより、車両１００が駐車状態にあるか否かを判定するための車両情報の取得元に異常が発生した場合の不都合を解消することができる。

更に、本実施形態に係る車載通信システム１は、車載ＬＡＮ３０内のＥＣＵ４０が有する情報の重要度の高低を判断すると共に、車載ＬＡＮ３０内のＥＣＵ４０のうち、重要度が高いと判断する情報を含まないＥＣＵ４０と外部機器２５との間での通信を許可する。例えば、本実施形態に係る車載通信システム１は、車両１００が駐車状態にあるか否かに関わらず、燃費情報を有するＥＣＵ４０Ａと外部機器２５との間での通信を許可する。これにより、重要度の低い情報（例えば、燃費情報等）であれば、車両１００の駐車状態に関わらず、車載ＬＡＮ３０内のＥＣＵ４０から外部機器２５へ取り出すことが可能となり、車載通信システム１を用いて自己診断情報を取得する場合の利便性が向上する。例えば、夜間（の車両１００の駐車中）に外部機器２５を外部バス２０に接続しておくことで直近の車両１００のトリップにおける燃費情報を予め外部機器２５に取得させておき、翌日、外部機器２５が取得した燃費情報をすぐに参照するような利用方法が可能となる。

以上、本発明を実施するための形態について詳述したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

例えば、上述した実施形態では、外部機器２５と車載ＬＡＮ３０との間で行われるダイアグ通信を例示して説明を行ったが、上述した実施形態に係る内容は、外部機器と車載ＬＡＮとの間で任意の形態の通信を行う車載通信システムに適用されてよく、同様の作用、効果を奏する。

１車載通信システム
１０ゲートウェイＥＣＵ
１１ゲートウェイ部（ゲートウェイ）
１２通信可否判断部
２０外部バス
２０ｃ車両側コネクタ
２５外部機器
２５ｃ外部機器側コネクタ
３０車載ＬＡＮ
４０、４０Ａ、４０Ｂ、４０Ｃ、４０ＤＥＣＵ（機器）

Claims

外部機器と車載ＬＡＮとの間での通信を中継するゲートウェイと、
取得した所定の車両情報に基づき前記車載ＬＡＮを搭載する車両が駐車状態であると判断した場合、前記ゲートウェイによる前記外部機器と前記車載ＬＡＮとの間での通信を禁止する通信可否判断部を備え、
前記通信可否判断部は、前記所定の車両情報の取得元に異常があるか否かを判断し、前記取得元に異常があると判断した場合、前記ゲートウェイによる前記外部機器と前記車載ＬＡＮとの間での通信を許可する、
車載通信システム。
前記通信可否判断部は、
前記車載ＬＡＮ内の機器が有する情報の重要度の高低を判断すると共に、前記車載ＬＡＮ内の機器のうち、前記重要度が高いと判断する情報を含まない機器と前記外部機器との間での通信を許可する、
請求項１に記載の車載通信システム。
前記通信可否判断部は、
前記車両がセキュリティ警戒状態にあること、前記車両がセキュリティ警報状態にあること、ワイヤレスキー操作又はスマートキー操作により前記車両の全てのドアが閉じられた状態かつロックされた状態であること、及び、前記車両の車室内にスマートキーが存在しないことのうち、少なくとも一つの条件を満足した場合、前記車両が駐車状態であると判断する、
請求項１又は２に記載の車載通信システム。