(57)【要約】【課題】車載ネットワークシステムに接続された不正な装置を精度よく検出できるゲートウェイ装置を低コストで提供する。【解決手段】ゲートウェイ装置は、車両に搭載されたネットワークに含まれる。ゲートウェイ装置は、ネットワークに接続されたバスごとに、バスに接続された装置が所定の待機状態である場合の消費電流を測定する測定部と、測定部が測定した消費電流が、バスごとに定められた許容値を超えているか否かを判定する判定部と、判定部が、いずれかのバスについて、許容値を超えていると判定した場合、警告を出力する警告部とを備える。【選択図】図２
2020080520.tif 000002
【特許請求の範囲】
【請求項１】
車両に搭載されたネットワークに含まれるゲートウェイ装置であって、
前記ネットワークに接続されたバスごとに、前記バスに接続された装置が所定の待機状態である場合の消費電流を測定する測定部と、
前記測定部が測定した消費電流が、前記バスごとに定められた許容値を超えているか否かを判定する判定部と、
前記判定部が、いずれかの前記バスについて、前記許容値を超えていると判定した場合、警告を出力する警告部とを備える、ゲートウェイ装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両等に搭載されるネットワークシステムのゲートウェイ装置に関する。
【背景技術】
【０００２】
車両には、複数のバスを含むネットワークシステムが搭載されている。各バスにはそれぞれ１つ以上のＥＣＵ（Electronic Control Unit）と呼ばれる車載機器が接続されている。ＥＣＵは、典型的にはプロセッサを備え、互いにバスを介してデータを送受信し、車両の各機能を分担して実行する。また各バスは、ゲートウェイ装置に接続されている。ゲートウェイ装置は、バス間でデータを中継する機能を有する。
【０００３】
車両の機能の高度化により、無線通信によって車外の機器と通信してサービスを実施することが可能となっている。このようなサービスの実施にはユーザーの個人情報が必要な場合がある。そのため個人情報を表すデータがＥＣＵ間で送受信されてネットワークシステムのバス上を流れることもあり得る。ネットワークシステムに不正な装置が取り付けられると、このような個人情報が窃取されて車外に送信されるおそれがある。このような事態を避けるため、不正な装置が取り付けられた場合、これを検出して除去できるように対応することが要求されている。
【０００４】
特許文献１は、車輌のネットワークに対して不正な装置が接続されたことを検出するゲートウェイ装置を開示している。特許文献１では、ゲートウェイが、バスから信号波形を複数サンプリングして重ね合わせ、アイパターンを生成する。正常な信号波形として許容されるパターン範囲を表すマスクを予め用意しておき、ゲートウェイ装置が、アイパターンとマスクとを比較して、アイパターンが許容パターン範囲から逸脱している場合、不正な装置が接続されたと判定する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１５−５８２９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献１の方法では、一般的なゲートウェイが有する機能のほかに、新たに信号波形のサンプリング用回路等の機能を追加する必要があり、比較的コストが大きい。また、不正な装置が接続されても、アイパターンが予め定められた許容パターンから逸脱するとは限らないため、検出精度に限界がある。
【０００７】
本発明は、上記課題を鑑みてなされたものであり、車載ネットワークシステムに接続された不正な装置を精度よく検出できるゲートウェイ装置を低コストで提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記課題を解決するために、本発明の一局面は、車両に搭載されたネットワークに含まれるゲートウェイ装置であって、ネットワークに接続されたバスごとに、バスに接続された装置が所定の待機状態である場合の消費電流を測定する測定部と、測定部が測定した消費電流が、バスごとに定められた許容値を超えているか否かを判定する判定部と、判定部が、いずれかのバスについて、許容値を超えていると判定した場合、警告を出力する警告部とを備える、ゲートウェイ装置である。
【発明の効果】
【０００９】
以上のように、本発明によれば、車載ネットワークシステムに接続された不正な装置を精度よく検出できるゲートウェイ装置を低コストで提供することができる。
【図面の簡単な説明】
【００１０】
【図１】本発明の一実施形態に係るネットワークシステムの構成図
【図２】本発明の一実施形態に係るゲートウェイ装置の処理を示すフローチャート
【図３】本発明の一実施形態に係るゲートウェイ装置の処理を示すフローチャート
【図４】本発明の変形例に係るネットワークシステムの構成図
【図５】本発明の参考例に係るネットワークシステムの構成図
【発明を実施するための形態】
【００１１】
本発明に係るネットワークシステムにおいては、ゲートウェイ装置が、各バスに接続されたＥＣＵをスリープ待機状態にし、その状態における消費電流を測定し、測定した消費電流が仕様上想定される消費電流を超えていれば、不正な装置が接続されていると判定する。
【００１２】
（実施形態）
以下、本発明の一実施形態について、図面を参照しながら詳細に説明する。
【００１３】
＜構成＞
図１に、本実施形態に係るネットワークシステム１の構成を示す。ネットワークシステム１は、車両に搭載され、一例として、ＣＡＮ（Controller Area Network）バスである第１バス１０と、第２バス２０と、第３バス３０と、第１バス１０に接続されたＥＣＵ１０１、１０２…と、第２バス２０に接続されたＥＣＵ２０１、２０２…と、第３バス３０に接続されたＥＣＵ３０１、３０２…と、第１バス１０、第２バス２０、第３バス３０に接続されたゲートウェイ装置４０と、各ＥＣＵに電力を供給する電池２と、ゲートウェイ装置４０にＬＩＮ（Local Interconnect Network）接続等により接続され電池２の消費電流を測定するセンサ５０とを含む。各ＥＣＵは各バスを介して互いに通信を行い、車両の各種機能を実行する。なお、図１には、一例として不正装置９００が第１バス１０に取り付けられている様子を示す。不正装置９００は、不当な目的で第三者によって取り付けられ、各ＥＣＵと同様、電池２の電力で動作し、例えばいずれかのＥＣＵが送信したデータを窃取したり、いずれかのＥＣＵに不正なデータを送信したりして、不正あるいは不法な動作を行う。ＥＣＵが接続されるバスの数は一例として３つとしたが、これに限定されない。また各バスに接続されるＥＣＵの数も限定されない。
【００１４】
ゲートウェイ装置４０は、測定部４１、判定部４２、警告部４３、制御部４４を含む。制御部４４は、第１バス１０、第２バス２０、第３バス３０のいずれかを流れるデータを、他のいずれかのバスに中継する機能を有する。制御部４４は、一般的なゲートウェイ装置の機能を実行するため、例えばデータに付加された識別子等に基づいて、中継先のバスを決定したり、いずれのバスにも中継しないことを決定したりして、決定内容に応じてデータの中継を行う。また、制御部４４は、後述する各処理を実行するため、測定部４１、判定部４２、警告部４３を制御したり、第１バス１０、第２バス２０、第３バス３０にデータを送出したりすることができる。
【００１５】
ネットワークシステム１は、一例としてＡＵＴＯＳＡＲ（AUTomotive Open System ARchitecture）規格に準拠したネットワークマネジメント機能を有し、ゲートウェイ装置４０は、第１バス１０、第２バス２０、第３バス３０のそれぞれにＮＭメッセージと呼ばれるデータを送信することができる。また、各バスに接続された各ＥＣＵは、消費電力を通常の動作状態より抑制したスリープ状態と、通常の動作状態であるウェイクアップ状態との間で状態遷移することが可能である。各ＥＣＵはスリープ状態にある場合、スリープ禁止を表すＮＭメッセージを受信するとそれぞれ通常状態であるウェイクアップ状態に遷移する。また、各ＥＣＵは、ウェイクアップ状態において、ＮＭメッセージを一定期間受信することがなくなると、一定期間のスリープ待機状態を経てスリープ状態に遷移する。なお、スリープ状態においては、各ＥＣＵの通信機能が少なくとも停止される（バススリープ状態）。スリープ状態においては、各ＥＣＵの他の機能についても基本的には停止するが、必要であれば動作することができる。
【００１６】
＜処理＞
図２、図３に、ゲートウェイ装置４０の処理を表すフローチャートである。図２に示す処理は、ゲートウェイ装置４０の測定部４１、判定部４２、制御部４４が、不正装置９００がネットワークシステム１に接続されていることを検出するための処理である。また、図３に示す処理は、ゲートウェイ装置４０の警告部４３、制御部４４が警告を出力するための処理である。
【００１７】
まず、図２に示す処理を説明する。本処理は、車両がイグニッションオフ状態等で、ネットワークシステム１の各ＥＣＵがスリープ状態となっているときに実行される。なお、イグニッションオフ状態では、ゲートウェイ装置４０もスリープ状態に遷移してもよいが、この場合は、ゲートウェイ装置４０がタイマ等によってウェイクアップし、本処理を実行したのち再びスリープ状態に遷移する。
【００１８】
（ステップＳ１０１）：制御部４４は、変数ｉを初期値の１に設定する。
【００１９】
（ステップＳ１０２）：制御部４４は、第ｉバスを対象バスとする。すなわち、ｉ＝１の場合は第１バス１０を対象バスとして選択し、ｉ＝２の場合は第２バス２０を対象バスとして選択し、ｉ＝３の場合は第３バス３０を対象バスとして選択する。
【００２０】
（ステップＳ１０３）：制御部４４は、対象バスにＮＭメッセージを送信する。これにより対象バスに接続された各ＥＣＵはウェイクアップ状態となる。各ＥＣＵは、ウェイクアップ状態に遷移してから一定期間中に、ＮＭメッセージを再び受信せず、かつ、自機がウェイクアップ状態を維持すべき固有の条件が成立していなければ、各ＥＣＵはスリープ待機状態となる。この状態では、スリープ状態ではないものの、各ＥＣＵのプロセッサに処理負荷はないか、あるいは、小さいので、各ＥＣＵの消費電力は抑制されているが、対象バスを用いた通信機能のための電力等を含む待機電力が消費されている。そのため、この状態においては、電池２は対象バスに接続された各ＥＣＵに、それぞれ１０〜２０ｍＡ程度の一定の電力を供給している。
【００２１】
（ステップＳ１０４）：測定部４１は、電池２から対象バスに接続された各ＥＣＵに供給されている電流を、センサ５０を用いて測定することにより、対象バスに接続された各ＥＣＵのスリープ待機状態における消費電流を取得する。対象バスに不正装置９００が取り付けられており、電池２の電力によってその通信機能が動作している場合、不正装置９００の消費電流が、取得した消費電流に含まれる。
【００２２】
（ステップＳ１０５）：判定部４２は、ステップＳ１０４で測定部４１が取得した消費電流が、所定の許容値より大きいか否かを判定する。所定の許容値は、ネットワークシステム１の仕様上想定される、対象バスに接続されている正規の各ＥＣＵのスリープ待機状態における消費電流値に基づいて予め定められた値であり、消費電流が所定の許容値より大きい場合は、対象バスに不正装置９００が取り付けられているような、異常が発生している可能性が高い。ステップＳ１０４で測定部４１が取得した消費電流が、所定の許容値より大きい場合、ステップＳ１０６に進む。ステップＳ１０４で測定部４１が取得した消費電流が、所定の許容値以下の場合、ステップＳ１０７に進む。
【００２３】
（ステップＳ１０６）：制御部４４は、対象バスに異常があることを表す情報を、制御部４４等が備えるメモリ等の記憶部に記憶させる。
【００２４】
（ステップＳ１０７）：対象バスに接続された各ＥＣＵが、一定期間のスリープ待機状態を経てスリープ状態に遷移すると、通信機能が停止されバススリープ状態となる。
【００２５】
（ステップＳ１０８）：制御部４４は、変数ｉが、ネットワークシステム１が備えるバスの数に等しいか否かを判定する。変数ｉが、ネットワークシステム１が備えるバスの数に等しい場合、処理を終了する。変数ｉが、バスの数に等しくない場合、ステップＳ１０９に進む。
【００２６】
（ステップＳ１０９）：制御部４４は、変数ｉに１を加算する。その後、ステップＳ１０１に進み、以降ステップＳ１０１〜Ｓ１０９の処理を繰り返す。
【００２７】
以上の処理により、各バスを順次対象バスとして、対象バスに不正装置９００が取り付けられている場合は、そのバスを全て記憶することができる。
【００２８】
以上の処理では、測定部４１による消費電流を取得する処理と、判定部４２による消費電流と許容値とを比較する処理とを、バスごとに行うものとしたが、全バスの消費電流を取得し、その後、全バスの消費電流と各許容値とを比較する処理を行ってもよい。
【００２９】
また、上述の例では電池２の消費電流に基づく判定を行うが、代わりに消費電力等、電池２の電力供給状態を表す他の値に基づいて判定を行ってもよい。
【００３０】
つぎに、図３に示す処理を説明する。本処理は、例えば、ユーザーが車両に乗り込んで、イグニッションオフ状態からイグニッションオン状態に変化したときに実行される。
【００３１】
（ステップＳ２０１）：制御部４４は、記憶部を参照し、記憶部が、いずれかのバスについて異常があることを表す情報を記憶していれば取得する。記憶部が、いずれかのバスに異常があることを表す情報を記憶していれば、ステップＳ２０２に進み、いずれかのバスに異常があることを表す情報を記憶していなければ、処理を終了する。
【００３２】
（ステップＳ２０２）：警告部４３は、異常が発生していることを表す警告を表すデータをバスに出力する。このデータは、例えば、車両のインストルメントパネル等に設けられた表示部を制御するＥＣＵが取得する。データを取得したＥＣＵは、表示部に、ユーザーに対して異常を通知する警告表示を行う。
【００３３】
＜効果＞
本発明に係るネットワークシステム１のゲートウェイ装置４０は、不正装置９００がいずれかのバスに取り付けられ、電池２からの電力によって、バスを用いた通信機能を動作させている場合、電池２の消費電流に基づいて、これを検出することができる。とくに、通信機能が動作しているがその他の処理負荷が抑制されているスリープ待機状態における変動の少ない消費電力を判定に用いるため、消費電流を測定するセンサ５０の測定誤差が１ｍＡ程度以内であれば、測定された消費電流が、仕様上想定される消費電流程度であるか、あるいは、これより不正装置９００による消費電流分が増加しているか、正確な識別が可能である。そのため、不正装置９００を精度よく検出することができる。また、上述した各ステップの処理は、測定部４１、判定部４２、警告部４３の機能も含めて、制御部４４のコンピュータが実行するプログラムによってソフトウェア的に実現できるし、センサ５０は、電池２の充放電制御用等に予め備えられているものを流用してもよい。そのため、本発明は、例えば信号波形のサンプリング用回路等の新たなハードウェアを追加する場合に比べて、比較的低コストで実現することができる。また、イグニッションオフ状態からイグニッションオン状態に変化したときにユーザーに警告表示を行うことで、ユーザーが車両の使用を開始した時点で、ディーラーへの入庫等の適切な対応を早期に促すことができる。
【００３４】
（変形例）
図４に、本発明の変形例に係る実施形態の構成を示す。本例は、上述の実施形態において、センサ５０がゲートウェイ装置４０の代わりに、他のＥＣＵに接続されたものである。このようにセンサ５０はゲートウェイ装置４０に接続されていなくてもよい。図示する例では、第３バス３０に接続されたＥＣＵ３０２が、スリープ状態やスリープ待機状態であっても、例えばゲートウェイ装置４０から予め指示された各バスのＥＣＵをスリープ待機状態とするタイミングで、センサ５０を用いて電池２の消費電流の測定を行って記憶し、その後、通信機能を動作させて第３バス３０を用いて測定値を表すデータをゲートウェイ装置４０に送信して、測定部４１に測定値を取得させる。これによって、ゲートウェイ装置４０は、バスごとのスリープ待機状態における消費電力を適宜取得できるので、上述と同様に許容値との比較に基づいて、不正装置９００を検出し警告を出力することができる。
【００３５】
（参考例）
図５に、本発明の参考例に係る実施形態の構成を示す。本例は、上述の実施形態において、センサ５０がゲートウェイ装置４０の代わりに、他のＥＣＵに接続され、測定部４１、判定部４２、警告部４３がゲートウェイ装置４０の代わりに、そのＥＣＵに設けられたものである。このようにゲートウェイ装置４０は、制御部４４によるネットワークマネジメント機能のみを有し、他のＥＣＵが、測定部４１、判定部４２、警告部４３等の機能を実行してもよい。図示する例では、第３バス３０に接続されたＥＣＵ３０２が、例えば、各バスのＥＣＵをスリープ待機状態とするタイミングを予めゲートウェイ装置４０に指示しておき、スリープ状態やスリープ待機状態であっても、そのタイミングで、センサ５０を用いて電池２の消費電流の測定を行い許容値との比較を行えば、その結果に基づいて、上述と同様に、不正装置９００を検出し警告を出力することができる。
【００３６】
以上のように、本発明によれば、車載ネットワークシステムに不正な装置が接続された場合に精度よく検出できるゲートウェイ装置を低コストで提供することができる。
【００３７】
本発明は、ネットワークシステムだけでなく、ネットワークシステムにおける不正装置検出方法、ゲートウェイ装置等のコンピュータが実行する不正装置検出プログラムおよびこれを記憶したコンピュータ読み取り可能な非一時的記憶媒体、ネットワークシステムを備えた車両等として捉えることが可能である。また、本発明は、車両に搭載されるネットワークシステム以外のネットワークシステムにも適用できる。
【産業上の利用可能性】
【００３８】
本発明は、車両等に搭載されるネットワークシステムに有用である。
【符号の説明】
【００３９】
１    ネットワークシステム
１０    第１バス
２０    第２バス
３０    第３バス
４０    ゲートウェイ装置
４１    測定部
４２    判定部
４３    警告部
４４    制御部
１０１、１０２、２０１、２０２、３０１、３０２    ＥＣＵ
９００    不正装置
【図１】
2020080520.tif 000003
【図２】
2020080520.tif 000004
【図３】
2020080520.tif 000005
【図４】
2020080520.tif 000006
【図５】
2020080520.tif 000007