JP6477281B2 - 車載中継装置、車載通信システム及び中継プログラム - Google Patents

Description

本発明は、車両に設けられた複数のネットワーク間のメッセージ中継を行う車載中継装置、この車載中継装置を含む車載通信システム、及び、車載中継装置にて実行される中継プログラムに関する。

従来、車両に搭載された複数の通信装置間の通信には、ＣＡＮの通信プロトコルが広く採用されている。ＣＡＮの通信プロトコルを採用した車載通信システムは、複数の通信装置が共通のＣＡＮバスに接続された構成となり、送信側の通信装置がＣＡＮバスへ出力した信号を受信側の通信装置が取得することによってメッセージの送受信が行われる。車両の多機能化及び高機能化に伴って、各通信装置が多機能化及び高機能化すると共に、システム中の通信装置の数が増大し、通信装置間で送受信されるデータ量が増大することによって、通信負荷が増大するという問題がある。このため、通信装置を複数のグループに分け、グループ内の複数の通信装置を共通の通信線で接続してデータの送受信を行うと共に、グループ間のデータの送受信をゲートウェイなどの車載中継装置が中継することによって、通信負荷の増大を抑制する構成が一般的に採用されている。

車載通信システムにおいて、例えばＣＡＮバスに悪意のある装置が接続される可能性があり、また例えばコンピュータウイルスなどにより正規の通信装置が誤動作する可能性がある。このような装置は、例えばＣＡＮバスに対して不正なメッセージ送信を行うことによって、ＣＡＮバスに接続された正規の通信装置を誤動作させる虞がある。このため、不正な通信装置が送信する不正なメッセージによる正規の通信装置の誤動作等を防止するための技術が研究されている。

特許文献１においては、外部データの入力規制を行う車両ネットワークの通信管理装置が提案されている。この通信管理装置は、ＣＡＮバス上のデータの監視及び外部から入力されるデータの監視を行い、ＣＡＮバスの使用率が負荷基準値を超えているとき、及び、外部データの転送に伴いＣＡＮバスの使用率が負荷基準値を超えることが予測されるときに、外部データの送信規制を実行する。

特開２０１３−３８７１１号公報

特許文献１に記載の通信管理装置は、ＣＡＮバスの使用率が付加基準値を超えているか否かを判定する構成であるため、悪意のある装置によるメッセージ送信量が少ない場合には送信規制を行うことができないという問題がある。

本発明は、斯かる事情に鑑みてなされたものであって、その目的とするところは、不正なメッセージの送信を検出し、ネットワーク間で不正なメッセージが中継されることを防止し得る車載中継装置、車載通信システム及び中継プログラムを提供することにある。

また、本発明に係る車載中継装置は、車両に搭載され、通信線が接続される通信部を複数備え、一の通信部にて受信したメッセージを他の通信部に接続された通信線へ送信することにより前記メッセージを中継する処理を行う車載中継装置において、前記メッセージには、該メッセージを識別するための識別情報を含み、前記通信部にて受信したメッセージの正否を判定する判定部と、該判定部が不正と判定したメッセージを受信した通信部に接続された通信線へ、不正なメッセージが送信された旨の通知を出力する第１通知部と、前記判定部が不正と判定したメッセージに含まれる識別情報と同じ識別情報を有するメッセージについて、以後の中継を禁止する禁止部と、前記判定部が不正と判定したメッセージを受信した通信部以外の通信部に接続された通信線へ、前記メッセージの中継を禁止した旨の通知を出力する第２通知部と、前記判定部が不正と判定したメッセージに含まれる識別情報を記憶する記憶部と、前記車両のイグニッションスイッチがオフ状態からオン状態へ切り替えられた場合に、複数の前記通信部に接続された通信線へ、前記記憶部に記憶された識別情報の通知を出力する第３通知部とを備えることを特徴とする。
また、本発明に係る車載中継装置は、前記第２通知部が出力する通知は、該通知が出力される通信線に接続された通信装置に、該通信装置がメッセージの受信を所定時間待機した後で行うエラー処理を、前記所定時間を待機することなく開始させることを特徴とする。

また、本発明に係る車載中継装置は、前記第１通知部及び前記第２通知部が、前記判定部が不正と判定したメッセージに含まれる識別情報を通知することを特徴とする。

また、本発明に係る車載通信システムは、車両に搭載され、通信線が接続される通信部を複数備え、一の通信部にて受信したメッセージを他の通信部に接続された通信線へ送信することにより前記メッセージを中継する処理を行う車載中継装置と、該車載中継装置の通信部に接続される複数の通信線のいずれかに接続され、該通信線を介してメッセージの送受信を行う通信装置とを備える車載通信システムにおいて、前記メッセージには、該メッセージを識別するための識別情報を含み、前記車載中継装置は、前記通信部にて受信したメッセージの正否を判定する判定部と、該判定部が不正と判定したメッセージを受信した通信部に接続された通信線へ、不正なメッセージが送信された旨の通知を出力する第１通知部と、前記判定部が不正と判定したメッセージに含まれる識別情報と同じ識別情報を有するメッセージについて、以後の中継を禁止する禁止部と、前記判定部が不正と判定したメッセージを受信した通信部以外の通信部に接続された通信線へ、前記メッセージの識別情報と共に前記メッセージの中継を禁止した旨の通知を出力する第２通知部と、前記判定部が不正と判定したメッセージに含まれる識別情報を記憶する記憶部と、前記車両のイグニッションスイッチがオフ状態からオン状態へ切り替えられた場合に、複数の前記通信部に接続された通信線へ、前記記憶部に記憶された識別情報の通知を出力する第３通知部とを有し、前記通信装置は、前記車載中継装置の前記第２通知部及び前記第３通知部からの通知に係る識別情報を記憶する揮発性の記憶部を有することを特徴とする。
また、本発明に係る車載通信システムは、前記通信装置は、前記揮発性の記憶部に記憶した識別情報を含むメッセージを受信した場合に、該メッセージを破棄する破棄部を有することを特徴とする。

また、本発明に係る中継プログラムは、車両に搭載され、通信線が接続される通信部を複数備え、一の通信部にて受信したメッセージを他の通信部に接続された通信線へ送信することにより、メッセージを識別するための識別情報を含むメッセージを中継する処理を行う車載中継装置に、前記通信部にて受信したメッセージの正否を判定し、不正と判定したメッセージを受信した通信部に接続された通信線へ、不正なメッセージが送信された旨の通知を出力し、不正と判定したメッセージに含まれる識別情報と同じ識別情報を有するメッセージについて、以後の中継を禁止し、不正と判定したメッセージを受信した通信部以外の通信部に接続された通信線へ、前記メッセージの中継を禁止した旨の通知を出力し、不正と判定したメッセージに含まれる識別情報を記憶し、前記車両のイグニッションスイッチがオフ状態からオン状態へ切り替えられた場合に、複数の前記通信部に接続された通信線へ、記憶した識別情報の通知を出力する処理を実行させる。

本発明においては、複数の通信線が接続される複数の通信部を有する車載中継装置が、通信線に接続された通信装置が送信したメッセージの正否判定を行う。メッセージが不正であると判定した場合、車載中継装置は、このメッセージを受信した通信部に接続された通信線に対して、不正なメッセージが送信された旨の通知を出力する。これにより不正なメッセージを送信した通信装置が接続された通信線に接続された他の通信装置は、車載中継装置からの通知に基づいて、例えば受信済みのメッセージを破棄するなどの処理を行うことが可能となる。
また車載中継装置は、不正と判定したメッセージに含まれる識別情報と同じ識別情報を有するメッセージについて、以後の中継を禁止する。このときに車載中継装置は、不正と判定したメッセージを受信した通信部以外の通信部（即ち、本来であればメッセージを中継すべき通信部）に接続された通信線に対して、メッセージの中継を禁止した旨の通知を出力する。これにより中継されたメッセージを受信すべき通信装置は、メッセージの中継が禁止されたことを知ることができ、これに応じたエラー処理などを実行することが可能となる。

また本発明において車載中継装置は、不正と判定したメッセージに含まれる識別情報を記憶しておき、車両のイグニッションスイッチがオフ状態からオン状態へ切り替えられた場合に、各通信部に接続された通信線に対して記憶された識別情報の通知を出力する。これにより、イグニッションスイッチがオフ状態の場合に電力供給が断たれて記憶した情報を喪失する通信装置が含まれる場合であっても、これらの通信装置に不正と判定したメッセージに含まれる識別情報を通知してエラー処理などを行わせることができる。

また本発明において車載中継装置は、不正なメッセージが送信された旨の通知及びメッセージの中継を禁止した旨の通知を行う際に、不正と判定したメッセージに含まれる識別情報の通知を出力する。これにより、車載中継装置からの通知を受信した通信装置は、不正な又は不正である可能性が高いメッセージに含まれる識別情報を認識することができ、この識別情報を有するメッセージを受信した際にエラー処理などを行うことが可能となる。

また本発明においては、車載中継装置からの通知を受けた通信装置が、通知された識別情報を記憶しておく。各通信装置は、記憶した識別情報を含むメッセージを受信した場合にはこのメッセージを破棄する。これにより、不正な又は不正である可能性が高いメッセージを各通信装置にて破棄することができ、通信装置の誤動作などが発生することを防止できる。

本発明による場合は、車載中継装置が不正なメッセージの中継を禁止すると共に、複数の通信線に接続された各通信線に対して通知の出力を行う構成とすることによって、通信線間で不正なメッセージが中継されることを防止でき、不正なメッセージによって通信装置の誤動作などが発生することを防止できる。

本実施の形態に係る車載通信システムの構成を示すブロック図である。 本実施の形態に係る車載中継装置の構成を示すブロック図である。 本実施の形態に係るＥＣＵの一構成例を示すブロック図である。 本実施の形態に係る車載通信システムにて送受信されるメッセージの一構成例を示す模式図である。 本実施の形態に係る車載中継装置がメッセージを受信した際に行う処理の手順を示すフローチャートである。 本実施の形態に係るＥＣＵが車載中継装置からの通知を受信した際に行う処理の手順を示すフローチャートである。 本実施の形態に係るＥＣＵがメッセージを受信した際に行う処理の手順を示すフローチャートである。 本実施の形態に係る車載中継装置がＩＧオンの際に行う処理の手順を示すフローチャートである。

以下、本発明をその実施の形態を示す図面に基づき具体的に説明する。図１は、本実施の形態に係る車載通信システムの構成を示すブロック図である。本実施の形態に係る車載通信システムは、車両１に搭載された１つの車載中継装置１０と、複数のＥＣＵ（Electronic Control Unit）２０（２０ａ〜２０ｆ）とを備えて構成されている。図示の例では、車両１に６つのＥＣＵ２０ａ〜２０ｆが搭載され、これら６つのＥＣＵ２０ａ〜２０ｆが２つのグループに別けられている。第１グループの３つのＥＣＵ２０ａ〜２０ｃは、第１のＣＡＮバス２に接続されており、このＣＡＮバス２を介して相互にメッセージの送受信を行うことができる。同様に、第２グループの３つのＥＣＵ２０ｄ〜２０ｆは、第２のＣＡＮバス３に接続されており、このＣＡＮバス３を介して相互にメッセージの送受信を行うことができる。

２つのＣＡＮバス２，３は、直接的に接続されておらず、それぞれ車載中継装置１０に接続されている。車載中継装置１０は、例えば一方のＣＡＮバス２上に出力されたメッセージを取得し、取得したメッセージを他方のＣＡＮバス３へ出力することによって、グループ間（ネットワーク間、ＣＡＮバス間）のメッセージ中継を行う装置である。

上記の構成の車載通信システムにおいて、ＣＡＮバス２，３に対して不正なＥＣＵが接続された場合、又は、正規のＥＣＵ２０ａ〜２０ｆがコンピュータウイルスなどに感染した場合等に、ＣＡＮバス２，３上に不正なメッセージが送信される可能性がある。例えば図１においてＣＡＮバス２に接続されたＥＣＵ２０ｂが不正なＥＣＵであるとする。不正なＥＣＵ２０ｂは、ＣＡＮバス２に対して不正なメッセージの送信を行う（図１の”（１）不正Ｍ”を参照）。ＣＡＮバス２に対して送信された不正メッセージは、ＣＡＮバス２に接続された他のＥＣＵ２０ａ，２０ｃにて受信されると共に、車載中継装置１０にて受信される。

本実施の形態に係る車載通信システムでは、各ＥＣＵ２０ａ〜２０ｆが送信するメッセージには認証情報が含まれている。本実施の形態に係る車載中継装置１０は、ＣＡＮバス２上に送信されたメッセージを受信した場合に、このメッセージに含まれている認証情報が正しいものであるか否かを判定することにより、このメッセージの正否を判定する。受信したメッセージが不正であると判定した場合、車載中継装置１０は、このメッセージを受信したＣＡＮバス２に対して、不正なメッセージが送信された旨の通知を行う（図１の”（２）通知”を参照）。ＣＡＮバス２に接続されたＥＣＵ２０ａ〜２０ｃは、車載中継装置１０からの通知を受信した場合に、以前に受信したメッセージが不正なものであったことを知ることができる。ＥＣＵ２０ａ〜２０ｃは、例えば以前に受信した不正なメッセージを破棄する、又は、以前に受信した不正なメッセージに基づいてなされた処理を取り消す等の処理を行うことができる。

また車載中継装置１０は、ＣＡＮバス２に送信されたメッセージを受信した場合、通常はこのメッセージをＣＡＮバス３へ送信することでメッセージの中継を行う。ただし本実施の形態に係る車載中継装置１０は、ＣＡＮバス２にて受信したメッセージが不正なものであると判定した場合、このメッセージをＣＡＮバス３へ送信することはない。更に車載中継装置１０は、不正なメッセージに含まれるＣＡＮ−ＩＤを記憶しておき、記憶したＣＡＮ−ＩＤがこれ以降に受信したメッセージに含まれていた場合、このメッセージの中継を行わない（図１の”（３）中継禁止”を参照）。

メッセージの中継を禁止した車載中継装置１０は、不正なメッセージを受信したＣＡＮバス２とは異なるＣＡＮバス３に対して、メッセージの中継を禁止した旨の通知を出力する（図１の”（４）通知”を参照）。このときに車載中継装置１０は、中継を禁止するメッセージのＣＡＮ−ＩＤを付して通知を行う。ＣＡＮバス３に接続されたＥＣＵ２０ｄ〜２０ｆは、車載中継装置１０からの通知を受信した場合に、特定のＣＡＮ−ＩＤのメッセージがこれ以降に中継されないことを知ることができ、この通知に応じた適切な処理を行うことができる。

また本実施の形態に係る車載中継装置１０は、車両１のＩＧ（イグニッション）スイッチ５のオン／オフの状態を示す信号（以下、ＩＧ信号という）が与えられている。車載中継装置１０は、上述のように中継を禁止する不正なメッセージのＣＡＮ−ＩＤを記憶しており、ＩＧスイッチ５がオフ状態からオン状態へ切り替えられた場合、記憶したＣＡＮ−ＩＤを全てのＣＡＮバス２，３に対して通知を出力する。この通知を受信したＥＣＵ２０ａ〜２０ｆは、必要に応じてエラー処理などを行うことができる。

図２は、本実施の形態に係る車載中継装置１０の構成を示すブロック図である。本実施の形態に係る車載中継装置１０は、処理部１１、２つの通信部１２，１３、バッファ１４及び記憶部１５等を備えて構成されている。処理部１１は、例えばＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro-Processing Unit）等の演算処理装置を用いて構成され、記憶部１５又は図示しないＲＯＭ（Read Only Memory）等に記憶された中継プログラム１５ｃを実行することにより種々の処理を行う。本実施の形態において処理部１１は、例えば受信したメッセージの正否を判定する処理、メッセージを中継する処理、メッセージの中継を禁止する処理及び不正なメッセージに関する通知を行う処理等を行う。

通信部１２，１３は、ＣＡＮバス２，３がそれぞれ接続され、ＣＡＮバス２，３を介してＥＣＵ２０ａ〜２０ｆとの間でメッセージの送受信を行う。通信部１２，１３は、いわゆるＣＡＮコントローラを用いて構成されるものであってよい。通信部１２，１３は、ＥＣＵ２０ａ〜２０ｆがＣＡＮバス２，３に対して出力した信号をサンプリングして取得することによりメッセージを受信し、受信したメッセージをバッファ１４に記憶すると共に、メッセージを受信した旨を処理部１１へ通知する。また通信部１２，１３は、処理部１１からの指示に応じてバッファ１４に記憶された送信用のメッセージを読み出し、読み出したメッセージを信号としてＣＡＮバス２，３へ出力することによりＥＣＵ２０ａ〜２０ｆへのメッセージ送信を行う。

バッファ１４は、例えばＳＲＡＭ（Static Random Access Memory）又はＤＲＡＭ（Dynamic Random Access Memory）等のメモリ素子を用いて構成されている。バッファ１４は、通信部１２，１３が受信したメッセージ及びこれから送信すべきメッセージ等を一時的に記憶する。

記憶部１５は、例えばＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）又はフラッシュメモリ等のデータ書き換え可能な不揮発性のメモリ素子を用いて構成されている。本実施の形態において記憶部１５には、不正ＩＤリスト１５ａ、鍵情報１５ｂ及び中継プログラム１５ｃ等が記憶される。不正ＩＤリスト１５ａは、車載中継装置１０が受信したメッセージの正否判定の処理を行い、不正であると判定したメッセージに含まれるＣＡＮ−ＩＤのリストである。鍵情報１５ｂは、ＥＣＵ２０ａ〜２０ｆとの間で送受信するメッセージに含まれる認証情報の生成及び確認に用いられる情報である。中継プログラム１５ｃは、処理部１１が読み出して実行することにより、メッセージの中継処理、中継の禁止処理及び通知処理等を実現するプログラムである。

図３は、本実施の形態に係るＥＣＵ２０ａの一構成例を示すブロック図である。なお図３においては、ＥＣＵ２０ａの通信に関する機能ブロックを抜き出して図示する。また他のＥＣＵ２０ｂ〜２０ｆについては、ＥＣＵ２０ａと同様の構成であるため、図示を省略する。本実施の形態に係るＥＣＵ２０ａは、処理部２１、通信部２２、ＲＯＭ２３及びＲＡＭ（Random Access Memory）２４等を備えて構成されている。処理部２１は、ＣＰＵ又はＭＰＵ等の演算処理装置を用いて構成され、ＲＯＭ２３に記憶されたプログラム２３ａを実行することにより、種々の処理を行う。

通信部２２は、ＣＡＮバス２が接続され、ＣＡＮバス２を介して他のＥＣＵ２０ｂ〜２０ｆ及び車載中継装置１０との間でメッセージの送受信を行う。通信部２２は、いわゆるＣＡＮコントローラを用いて構成されるものであってよい。通信部２２は、他のＥＣＵ２０ｂ〜２０ｆ又は車載中継装置１０がＣＡＮバス２に対して出力した信号をサンプリングして取得することによりメッセージを受信し、受信したメッセージをＲＡＭ２４に記憶すると共に、メッセージを受信した旨を処理部２１へ通知する。また通信部２２は、処理部２１からの指示に応じてＲＡＭ２４に記憶された送信用のメッセージを読み出し、読み出したメッセージを信号としてＣＡＮバス２へ出力することにより他のＥＣＵ２０ｂ〜２０ｆ及び車載中継装置１０へのメッセージ送信を行う。

ＲＯＭ２３は、例えばマスクＲＯＭ、ＥＥＰＲＯＭ又はフラッシュメモリ等の不揮発性のメモリ素子を用いて構成されている。本実施の形態においてＲＯＭ２３には、プログラム２３ａ及び鍵情報２３ｂ等が記憶されている。プログラム２３ａは、処理部２１が読み出して実行することにより、本実施の形態に係る通信処理及びＥＣＵ毎に個別の機能処理等を実現する。鍵情報２３ｂは、他のＥＣＵ２０ｂ〜２０ｆ及び車載中継装置１０との間で送受信するメッセージに含まれる認証情報の生成及び確認に用いられる情報である。なお車載中継装置１０が記憶している鍵情報１５ｂと、ＥＣＵ２０ａ〜２０ｆが記憶している鍵情報２３ｂとは、同じ値である。

ＲＡＭ２４は、例えばＳＲＡＭ又はＤＲＡＭ等のメモリ素子を用いて構成されている。ＲＡＭ２４は、処理部２１の処理過程において生成された情報、及び、通信部２２が送受信するメッセージ等を一時的に記憶する。また本実施の形態においてＲＡＭ２４は、不正ＩＤリスト２４ａを記憶する。不正ＩＤリスト２４ａは、車載中継装置１０から通知された不正なメッセージのＣＡＮ−ＩＤのリストである。

図４は、本実施の形態に係る車載通信システムにて送受信されるメッセージの一構成例を示す模式図である。本実施の形態に係る車載通信システムにて送受信されるメッセージは、ＣＡＮヘッダ、データフィールド、認証情報、ＣＲＣ（Cyclic Redundancy Check）フィールド、ＡＣＫ（acknowledgement）フィールド及びＥＯＦ（End Of Frame）を含んで構成されている。ＣＡＮヘッダは、従来のＣＡＮプロトコルにおけるＳＯＦ（Start Of Frame）、アービトレーションフィールド及びコントロールフィールド等を含むものであり、上述のＣＡＮ−ＩＤを含んでいる。データフィールドは、例えば他のＥＣＵ２０ａ〜２０ｆに対する制御指示又はセンサの検知結果等のように、ＥＣＵ２０ａ〜２０ｆ間で授受すべき情報の本体が格納される。

ＣＲＣフィールド、ＡＣＫフィールド及びＥＯＦは、従来のＣＡＮプロトコルにて用いられるものと同じであるため詳細な説明は省略する。ＣＲＣフィールドは、誤り検出を行うための情報を格納する。ＡＣＫフィールドは、このフレームを受信するＥＣＵ２０ａ〜２０ｆ及び車載中継装置１０による受信応答のためのフィールドである。ＥＯＦは、フィールドの終了を示す特定のビット列である。

本実施の形態に係るメッセージには、従来のＣＡＮプロトコルのものとは異なり、認証情報を含んでいる。認証情報は、このメッセージが正当なものであるか否かを車載中継装置１０が判定するために用いられる情報である。ＥＣＵ２０ａ〜２０ｆの処理部２１は、送信するメッセージに含まれるＣＡＮヘッダ及びデータを、記憶部２３に記憶した鍵情報２３ｂを用いて暗号化することにより認証情報を生成する。本実施の形態においては、例えばＨＭＡＣ（ＳＨＡ−２５６）のアルゴリズムを用いて、５１２ビット程度の鍵情報２３ｂに基づき、２５６ビットのメッセージ認証符号（ＭＡＣ）を生成する。ＥＣＵ２０ａ〜２０ｆの処理部２１は、生成した２５６ビットのＭＡＣを認証情報として送信メッセージに付し、通信部２２へこのメッセージの送信命令を与えることで、他のＥＣＵ２０ａ〜２０ｆへのメッセージ送信を行う。

なお本実施の形態において、受信メッセージの正否を確認する処理は車載中継装置１０が行い、ＥＣＵ２０ａ〜２０ｆは受信メッセージに含まれる認証情報の正否を確認する必要はない。このため、複数のＥＣＵ２０ａ〜２０ｆは、同じ鍵情報２３ｂを共有する必要はなく、少なくとも車載中継装置１０と各ＥＣＵ２０ａ〜２０ｆとが同じ鍵情報１５ｂ、２３ｂを共有していればよい。ただし、ＥＣＵ２０ａ〜２０ｆが受信メッセージに含まれる認証情報の正否を確認する処理を行う構成としてもよい。

通信部１２，１３にてＥＣＵ２０ａ〜２０ｆが送信してメッセージを受信した車載中継装置１０の処理部１１は、受信したメッセージに含まれる認証情報の正否を判定することによって、このメッセージの正否を判定する。処理部１１は、記憶部１５に記憶された鍵情報１５ｂを読み出して、読み出した鍵情報１５ｂと受信メッセージのＣＡＮヘッダ及びデータフィールドとに基づき、ＥＣＵ２０ａ〜２０ｆと同じアルゴリズムにより認証情報を生成する。処理部１１は、自らが生成した認証情報と、受信メッセージに含まれる認証情報とを比較し、両認証情報が一致した場合にこのメッセージが正当なものであると判定する。両認証情報が一致しない場合、処理部１１は、メッセージが正当なものではないと判定する。

受信メッセージが正当なものではないと判定した場合、車載中継装置１０の処理部１１は、このメッセージを受信した通信部１２，１３に接続されたＣＡＮバス２，３に対して所定のメッセージを出力することにより、このＣＡＮバス２，３に接続されたＥＣＵ２０ａ〜２０ｆに対して、不正なメッセージが送信された旨の通知を行う。このときに車載中継装置１０が通知として送信するメッセージは、図４に示したメッセージ形式において、例えばＣＡＮヘッダに含まれるＣＡＮ−ＩＤを通知用のＩＤとし、データフィールドに不正と判定したメッセージに含まれていたＣＡＮ−ＩＤを格納したものとすることができる。通知用のＩＤは、例えば”０１０”などの値を予め決定しておくことができ、ＣＡＮプロトコルのアービトレーション処理において優先度が高い値を採用することが好ましい。また通知のメッセージには、認証情報を付さなくてもよい。

車載中継装置１０からの不正なメッセージが送信された旨の通知を受信したＥＣＵ２０ａ〜２０ｆは、予め定められたエラー処理などを行うと共に、通知のメッセージに含まれる不正メッセージのＣＡＮ−ＩＤをＲＡＭ２４の不正ＩＤリスト２４ａに登録する。このときにＥＣＵ２０ａ〜２０ｆは、可能であれば以前に受信した不正メッセージを破棄してもよい。以後にＥＣＵ２０ａ〜２０ｆは、メッセージを受信した場合に、受信メッセージのＣＡＮ−ＩＤが不正ＩＤリスト２４ａに登録されているか否かを判定する。受信メッセージのＣＡＮ−ＩＤが不正ＩＤリスト２４ａに登録されている場合、ＥＣＵ２０ａ〜２０ｆは、このメッセージを用いた処理を行わず、メッセージを破棄する。

また車載中継装置１０の処理部１１は、受信メッセージが正当なものではないと判定した場合、このメッセージの中継は行わない。また処理部１１は、正当でないと判定したメッセージのＣＡＮ−ＩＤを記憶部１５の不正ＩＤリスト１５ａに登録することにより、以後の同ＩＤのメッセージの中継を禁止する。即ち処理部１１は、メッセージを受信した際に、このメッセージのＣＡＮ−ＩＤが不正ＩＤリスト１５ａに登録されているか否かを判定する。受信メッセージのＣＡＮ−ＩＤが不正ＩＤリスト１５ａに登録されている場合、処理部１１は、メッセージに付された認証情報が正しいか否かに関わらず、このメッセージの中継は行わない。

受信メッセージが正当なものではないと判定した場合、車載中継装置１０の処理部１１は、このメッセージを受信した通信部１２，１３以外の通信部１２，１３に接続されたＣＡＮバス２，３に対して所定のメッセージを出力することにより、このＣＡＮバス２，３に接続されたＥＣＵ２０ａ〜２０ｆに対して、メッセージの中継を禁止した旨の通知を行う。このときに車載中継装置１０が通知として送信するメッセージは、図４に示したメッセージ形式において、例えばＣＡＮヘッダに含まれるＣＡＮ−ＩＤを通知用のＩＤとし、データフィールドに不正と判定したメッセージに含まれていたＣＡＮ−ＩＤを格納したものとすることができる。これは、上述の不正メッセージが送信された旨の通知を行う場合のメッセージと同様の構成であるが、ＣＡＮ−ＩＤを別の値とすることで区別可能である。ただし両通知に同じ値のＣＡＮ−ＩＤを用いてもよく、必ずしも両通知を区別する必要はない。

車載中継装置１０から中継を禁止した旨の通知を受信したＥＣＵ２０ａ〜２０ｆは、予め定められたエラー処理などを行う。例えば、ＥＣＵ２０ａ〜２０ｆが所望のＣＡＮ−ＩＤが付されたメッセージの受信を待機しており、このメッセージを受信できない状態が所定時間を超えたことで通信が途絶したと判断し、タイムアウトに関するエラー処理を行う構成である場合、車載中継装置１０からメッセージの中継を禁止した旨の通知を受信することで、所定時間の経過を待つことなくエラー処理を開始することができる。また中継を禁止した旨の通知を受信したＥＣＵ２０ａ〜２０ｆは、通知のメッセージに含まれる不正メッセージのＣＡＮ−ＩＤを不正ＩＤリスト２４ａに登録する。ただし本実施の形態においてＥＣＵ２０ａ〜２０ｆは、車載中継装置１０からの中継により受信するメッセージについては、中継が禁止されたＣＡＮ−ＩＤのメッセージを以後に受信することはないため、必ずしも不正ＩＤリスト２４ａへの登録を行う必要はない。

また本実施の形態に係る車載中継装置１０は、車両１のＩＧスイッチ７がオフ状態からオン状態へ切り替えられた場合に、記憶部１５に記憶した不正ＩＤリスト１５ａに基づいて再通知を行う機能を有している。車載中継装置１０の処理部１１には、ＩＧスイッチ７のオン／オフ状態を示すＩＧ信号が入力されている。処理部１１は、ＩＧ信号に基づいてＩＧスイッチ７がオフ状態からオン状態へ変化したと判断した場合、記憶部１５から不正ＩＤリスト１５ａを読み出し、不正ＩＤリスト１５ａに登録されたＣＡＮ−ＩＤを通知するメッセージを全ての通信部１２，１３から送信することにより、既知の不正なＣＡＮ−ＩＤを全てのＥＣＵ２０ａ〜２０ｆへ通知する。このときに車載中継装置１０が通知として送信するメッセージは、図４に示したメッセージ形式において、例えばＣＡＮヘッダに含まれるＣＡＮ−ＩＤを通知用のＩＤとし、データフィールドに不正ＩＤリスト１５ａに登録されたＣＡＮ−ＩＤを格納したものとすることができる。これは、上述の不正メッセージが送信された旨の通知及び中継を禁止した旨の通知を行う場合のメッセージと同様の構成であるが、ＣＡＮ−ＩＤを別の値とすることで区別可能である。ただしＩＧオン時の通知に他の通知と同じ値のＣＡＮ−ＩＤを用いてもよく、必ずしもこれらの通知を区別する必要はない。また不正ＩＤリスト１５ａに複数のＣＡＮ−ＩＤが登録されている場合、車載中継装置１０は、通知を複数回繰り返して複数のＣＡＮ−ＩＤを送信してもよく、１回の通知で複数のＣＡＮ−ＩＤを送信してもよい。

車載中継装置１０からＩＧオンによる通知を受信したＥＣＵ２０ａ〜２０ｆは、通知と共に与えられたＣＡＮ−ＩＤをＲＡＭ２４の不正ＩＤリスト２４ａに登録すると共に、必要に応じてエラー処理などを行う。車両１のＩＧスイッチ７がオフ状態とされた場合に電力供給が断たれるＥＣＵ２０ａ〜２０ｆでは、ＲＡＭ２４に記憶した不正ＩＤリスト２４ａが消失する可能性がある。ＩＧスイッチ７がオフ状態からオン状態へ切り替えられ、ＥＣＵ２０ａ〜２０ｆへの電力供給が開始された場合に、車載中継装置１０が再通知を行うことによって、ＥＣＵ２０ａ〜２０ｆはＲＡＭ２４に不正ＩＤリスト２４ａを再登録することができる。このため、ＩＧスイッチ７がオフ状態となった場合でも電力供給が断たれないＥＣＵ２０ａ〜２０ｆ又は不正ＩＤリスト２４ａを不揮発性のメモリ素子に記憶するＥＣＵ２０ａ〜２０ｆ等の場合には、車載中継装置１０からの再通知による不正ＩＤリスト２４ａの再登録を行わなくてよい。

図５は、本実施の形態に係る車載中継装置１０がメッセージを受信した際に行う処理の手順を示すフローチャートである。本実施の形態に係る車載中継装置１０の処理部１１は、いずれかの通信部１２，１３にてメッセージを受信したか否かを判定する（ステップＳ１）。メッセージを受信していない場合（Ｓ１：ＮＯ）、処理部１１は、メッセージを受信するまで待機する。メッセージを受信した場合（Ｓ１：ＹＥＳ）、処理部１１は、受信したメッセージからＣＡＮ−ＩＤを取得する（ステップＳ２）。処理部１１は、記憶部１５に記憶された不正ＩＤリスト１５ａを参照して、ステップＳ２にて取得したＣＡＮ−ＩＤが不正なＩＤとして登録されているか否かを判定する（ステップＳ３）。登録された不正ＩＤである場合（Ｓ３：ＹＥＳ）、処理部１１は、受信したメッセージを破棄して（ステップＳ４）、処理を終了する。

登録された不正ＩＤではない場合（Ｓ３：ＮＯ）、処理部１１は、記憶部１５に記憶された鍵情報１５ｂと、受信したメッセージに含まれるＣＡＮヘッダ及びデータフィールドとに基づいて、受信したメッセージに含まれる認証情報の正否を判定する処理を行う（ステップＳ５）。処理部１１は、正否判定処理の結果に基づいて、受信したメッセージが正しいメッセージであるか否かを判定する（ステップＳ６）。正しいメッセージである場合（Ｓ６：ＹＥＳ）、処理部１１は、このメッセージを別の通信部１２，１３に接続されたＣＡＮバス２，３へ送信することにより、メッセージの中継を行って（ステップＳ７）、処理を終了する。

正しいメッセージではない場合（Ｓ６：ＮＯ）、処理部１１は、このメッセージを受信した通信部１２，１３に接続されたＣＡＮバス２，３へ不正なメッセージ送信がなされた旨を通知すると共に、このメッセージを受信した通信部１２，１３以外の通信部１２，１３に接続されたＣＡＮバス２，３へメッセージの中継を禁止した旨を通知する通知処理を行う（ステップＳ８）。処理部１１は、ステップＳ２にて取得したＣＡＮ−ＩＤを記憶部１５の不正ＩＤリスト１５ａに登録することによって、このＣＡＮ−ＩＤを有するメッセージの中継を禁止する（ステップＳ９）。また処理部１１は、この受信メッセージを破棄して（ステップＳ１０）、処理を終了する。なおステップＳ８，Ｓ９，Ｓ１０の処理の順序は、図示の順序に限らず、いずれのステップの処理を先に行ってもよい。

図６は、本実施の形態に係るＥＣＵ２０ａ〜２０ｆが車載中継装置１０からの通知を受信した際に行う処理の手順を示すフローチャートである。本実施の形態に係るＥＣＵ２０ａ〜２０ｆの処理部２１は、通信部２２にて車載中継装置１０からの通知を受信したか否かを判定する（ステップＳ２１）。なおこの場合の通知には、不正なメッセージが送信された旨の通知、メッセージの中継を禁止した旨の通知及びＩＧスイッチ７がオン状態へ切り替えられた際の再通知のいずれであってもよい。通知を受信していない場合（Ｓ２１：ＮＯ）、処理部２１は、通知を受信するまで待機する。

車載中継装置１０からの通知を受信した場合（Ｓ２１：ＹＥＳ）、処理部２１は、通知に含まれるＣＡＮ−ＩＤを取得する（ステップＳ２２）。処理部２１は、取得したＣＡＮ−ＩＤなどに基づいて、必要に応じてエラー処理を行う（ステップＳ２３）。また処理部２１は、ステップＳ２２にて取得したＣＡＮ−ＩＤをＲＡＭ２４の不正ＩＤリスト２４ａに登録して（ステップＳ２４）、処理を終了する。

図７は、本実施の形態に係るＥＣＵ２０ａ〜２０ｆがメッセージを受信した際に行う処理の手順を示すフローチャートである。本実施の形態に係るＥＣＵ２０ａ〜２０ｆの処理部２１は、通信部２２にて他のＥＣＵ２０ａ〜２０ｆ又は車載中継装置１０からメッセージを受信したか否かを判定する（ステップＳ３１）。メッセージを受信していない場合（Ｓ３１：ＮＯ）、処理部２１は、メッセージを受信するまで待機する。

メッセージを受信した場合（Ｓ３１：ＹＥＳ）、処理部２１は、受信したメッセージからＣＡＮ−ＩＤを取得する（ステップＳ３２）。処理部２１は、記憶部２４に記憶された不正ＩＤリスト２４ａを参照して、ステップＳ３２にて取得したＣＡＮ−ＩＤが不正なＩＤとして登録されているか否かを判定する（ステップＳ３３）。登録された不正ＩＤである場合（Ｓ３３：ＹＥＳ）、処理部２１は、受信したメッセージを破棄して（ステップＳ３４）、処理を終了する。不正ＩＤではない場合（Ｓ３３：ＮＯ）、処理部２１は、受信したメッセージに関するＥＣＵ２０ａ〜２０ｆ個別の処理を行い（ステップＳ３５）、処理を終了する。

図８は、本実施の形態に係る車載中継装置１０がＩＧオンの際に行う処理の手順を示すフローチャートである。本実施の形態に係る車載中継装置１０の処理部１１は、入力されるＩＧ信号に基づいて車両１のＩＧスイッチ７がオフ状態からオン状態へ変化したか否かを判定する（ステップＳ４１）。例えばＩＧスイッチ７がオン状態で維持されている場合、オフ状態で維持されている場合、又は、オン状態からオフ状態へ変化した場合等、ＩＧスイッチ７がオフ状態からオン状態へ変化していない場合（Ｓ４１：ＮＯ）、処理部１１は、ＩＧスイッチ７がオフ状態からオン状態へ変化するまで待機する。

ＩＧスイッチ７がオフ状態からオン状態へ変化した場合（Ｓ４１：ＹＥＳ）、処理部１１は、記憶部１５の不正ＩＤリスト１５ａに登録された不正なメッセージのＣＡＮ−ＩＤを読み出す（ステップＳ４２）。次いで処理部１１は、読み出したＣＡＮ−ＩＤを含むメッセージを通信部１２，１３から送信することで、不正なＣＡＮ−ＩＤを通知する処理を行い（ステップＳ４３）、処理を終了する。

以上の構成の本実施の形態に係る車載通信システムは、複数のＣＡＮバス２，３が接続される複数の通信部１２，１３を有する車載中継装置１０が、ＣＡＮバス２，３に接続されたＥＣＵ２０ａ〜２０ｆが送信したメッセージの正否判定を行う。メッセージが不正であると判定した場合、車載中継装置１０は、このメッセージを受信した通信部１２，１３に接続されたＣＡＮバス２，３に対して、不正なメッセージが送信された旨を通知する。これにより不正なメッセージを送信したＥＣＵ２０ａ〜２０ｆが接続されたＣＡＮバス２，３に接続された他のＥＣＵ２０ａ〜２０ｆは、車載中継装置１０からの通知に基づいて、例えば受信済みのメッセージを破棄するなどのエラー処理を行うことが可能となる。

また車載中継装置１０は、不正と判定したメッセージに含まれるＣＡＮ−ＩＤと同じＣＡＮ−ＩＤを有するメッセージについて、以後の中継を禁止する。このときに車載中継装置１０は、不正と判定したメッセージを受信した通信部１２，１３以外の通信部１２，１３に接続された通信線に対して、メッセージの中継を禁止した旨を通知する。これにより中継されるメッセージを受信すべきＥＣＵ２０ａ〜２０ｆは、メッセージの中継が禁止されたことを知ることができ、これに応じたエラー処理などを実行することが可能となる。

また車載中継装置１０は、不正と判定したメッセージに含まれるＣＡＮ−ＩＤを記憶部１５の不正ＩＤリスト１５ａに記憶しておき、車両１のＩＧスイッチ７がオフ状態からオン状態へ切り替えられた場合に、各通信部１２，１３に接続されたＣＡＮバス２，３に対して、記憶されたＣＡＮ−ＩＤを通知するメッセージを送信する。これによりＩＧスイッチ７がオフ状態の場合に電力供給が断たれて記憶した情報を喪失するＥＣＵ２０ａ〜２０ｆが含まれる場合であっても、これらのＥＣＵ２０ａ〜２０ｆに不正なメッセージのＣＡＮ−ＩＤを通知してエラー処理などを行わせることができる。

また車載中継装置１０は、不正なメッセージが送信された旨の通知及びメッセージの中継を禁止した旨の通知を行う際に、不正と判定したメッセージに含まれるＣＡＮ−ＩＤを通知する。これにより、車載中継装置１０からの通知を受信したＥＣＵ２０ａ〜２０ｆは、不正なメッセージに含まれるＣＡＮ−ＩＤを認識することができ、このＣＡＮ−ＩＤを有するメッセージを受信した際にエラー処理などを行うことが可能となる。

また車載中継装置１０からの通知を受けたＥＣＵ２０ａ〜２０ｆは、通知されたＣＡＮ−ＩＤをＲＡＭ２４の不正ＩＤリスト２４ａに記憶しておく。ＥＣＵ２０ａ〜２０ｆは、不正ＩＤリスト２４ａに登録されたＣＡＮ−ＩＤを含むメッセージを受信した場合、このメッセージを破棄する。これにより不正なメッセージを各ＥＣＵ２０ａ〜２０ｆにて破棄することができ、ＥＣＵ２０ａ〜２０ｆの誤動作などが発生することを防止できる。

なお本実施の形態においては、車載中継装置１０に２つのＣＡＮバス２，３を接続する構成としたが、これに限るものではなく、３つ以上のＣＡＮバスを接続する構成としてもよい。この場合に車載中継装置１０は、一のＣＡＮバスにて受信したメッセージを他の２つのＣＡＮバスへ中継すればよい。また本実施の形態においては、各ＣＡＮバス２，３に３つのＥＣＵ２０ａ〜２０ｃ、２０ｄ〜２０ｆを接続する構成としたが、これに限るものではない。ＣＡＮバスに接続されるＥＣＵの数はいくつであってもよい。

また車載中継装置１０がメッセージの正否を判定するために、鍵情報１５ｂ，２４ｂに基づく認証情報をメッセージに付す構成としたが、これに限るものではない。メッセージの正否判定は、このような認証情報を用いる方法以外の方法を採用してもよい。またＥＣＵ２０ａ〜２０ｆは、不正ＩＤリスト２４ａをＲＡＭに記憶する構成としたが、これに限るものではなく、ＥＥＰＲＯＭ又はフラッシュメモリ等のデータ書き換え可能な不揮発性のメモリ素子に記憶する構成としてもよい。

また本実施の形態において車載中継装置１０は、不正なメッセージが送信された旨の通知、メッセージの中継を禁止した旨の通知、及び、ＩＧスイッチ７がオン状態へ切り替えられた際の通知の３種の通知を行う。これら３種の通知は、例えば通知として送信するメッセージのＣＡＮ−ＩＤを異なる値とするなど、ＥＣＵ２０ａ〜２０ｆから見て区別可能な構成としてもよく、区別しない構成としてもよい。

１ 車両
２，３ ＣＡＮバス
５ ＩＧスイッチ
１０ 車載中継装置
１１ 処理部
１２，１３ 通信部
１４ バッファ
１５ 記憶部
１５ａ 不正ＩＤリスト
１５ｂ 鍵情報
２０ａ〜２０ｆ ＥＣＵ
２１ 処理部
２２ 通信部
２３ ＲＯＭ
２３ａ プログラム
２３ｂ 鍵情報

Claims (6)

1. 車両に搭載され、通信線が接続される通信部を複数備え、一の通信部にて受信したメッセージを他の通信部に接続された通信線へ送信することにより前記メッセージを中継する処理を行う車載中継装置において、
   前記メッセージには、該メッセージを識別するための識別情報を含み、
   前記通信部にて受信したメッセージの正否を判定する判定部と、
   該判定部が不正と判定したメッセージを受信した通信部に接続された通信線へ、不正なメッセージが送信された旨の通知を出力する第１通知部と、
   前記判定部が不正と判定したメッセージに含まれる識別情報と同じ識別情報を有するメッセージについて、以後の中継を禁止する禁止部と、
   前記判定部が不正と判定したメッセージを受信した通信部以外の通信部に接続された通信線へ、前記メッセージの中継を禁止した旨の通知を出力する第２通知部と、
   前記判定部が不正と判定したメッセージに含まれる識別情報を記憶する記憶部と、
   前記車両のイグニッションスイッチがオフ状態からオン状態へ切り替えられた場合に、複数の前記通信部に接続された通信線へ、前記記憶部に記憶された識別情報の通知を出力する第３通知部と
   を備えることを特徴とする車載中継装置。
2. 前記第２通知部が出力する通知は、該通知が出力される通信線に接続された通信装置に、該通信装置がメッセージの受信を所定時間待機した後で行うエラー処理を、前記所定時間を待機することなく開始させることを特徴とする請求項１に記載の車載中継装置。
3. 前記第１通知部及び前記第２通知部は、前記判定部が不正と判定したメッセージに含まれる識別情報を通知すること
   を特徴とする請求項１又は請求項２に記載の車載中継装置。
4. 車両に搭載され、通信線が接続される通信部を複数備え、一の通信部にて受信したメッセージを他の通信部に接続された通信線へ送信することにより前記メッセージを中継する処理を行う車載中継装置と、該車載中継装置の通信部に接続される複数の通信線のいずれかに接続され、該通信線を介してメッセージの送受信を行う通信装置とを備える車載通信システムにおいて、
   前記メッセージには、該メッセージを識別するための識別情報を含み、
   前記車載中継装置は、
   前記通信部にて受信したメッセージの正否を判定する判定部と、
   該判定部が不正と判定したメッセージを受信した通信部に接続された通信線へ、不正なメッセージが送信された旨の通知を出力する第１通知部と、
   前記判定部が不正と判定したメッセージに含まれる識別情報と同じ識別情報を有するメッセージについて、以後の中継を禁止する禁止部と、
   前記判定部が不正と判定したメッセージを受信した通信部以外の通信部に接続された通信線へ、前記メッセージの識別情報と共に前記メッセージの中継を禁止した旨の通知を出力する第２通知部と、
   前記判定部が不正と判定したメッセージに含まれる識別情報を記憶する記憶部と、
   前記車両のイグニッションスイッチがオフ状態からオン状態へ切り替えられた場合に、複数の前記通信部に接続された通信線へ、前記記憶部に記憶された識別情報の通知を出力する第３通知部と
   を有し、
   前記通信装置は、前記車載中継装置の前記第２通知部及び前記第３通知部からの通知に係る識別情報を記憶する揮発性の記憶部を有すること
   を特徴とする車載通信システム。
5. 前記通信装置は、前記揮発性の記憶部に記憶した識別情報を含むメッセージを受信した場合に、該メッセージを破棄する破棄部を有すること
   を特徴とする請求項４に記載の車載通信システム。
6. 車両に搭載され、通信線が接続される通信部を複数備え、一の通信部にて受信したメッセージを他の通信部に接続された通信線へ送信することにより、メッセージを識別するための識別情報を含むメッセージを中継する処理を行う車載中継装置に、
   前記通信部にて受信したメッセージの正否を判定し、
   不正と判定したメッセージを受信した通信部に接続された通信線へ、不正なメッセージが送信された旨の通知を出力し、
   不正と判定したメッセージに含まれる識別情報と同じ識別情報を有するメッセージについて、以後の中継を禁止し、
   不正と判定したメッセージを受信した通信部以外の通信部に接続された通信線へ、前記メッセージの中継を禁止した旨の通知を出力し、
   不正と判定したメッセージに含まれる識別情報を記憶し、
   前記車両のイグニッションスイッチがオフ状態からオン状態へ切り替えられた場合に、複数の前記通信部に接続された通信線へ、記憶した識別情報の通知を出力する
   処理を実行させる中継プログラム。

Images