(57)【要約】【課題】内部への不正侵入が検出された場合に、簡易な構成でさらなる不正侵入を防止する電子制御装置、および電子制御装置の制御方法を提供すること。【解決手段】実施形態に係る電子制御装置は、通信部と、生成部と、出力部とを備える。通信部は、通信バスを介し、所定の通信プロトコルを用いたデータを送受信する。生成部は、内部への不正侵入が検出された場合に、通信妨害信号を生成する。出力部は、通信部を介して通信バスに通信妨害信号を出力する。【選択図】図２
2020174298.tif 000002
【特許請求の範囲】
【請求項１】
通信バスを介し、所定の通信プロトコルを用いたデータを送受信する通信部と、
内部への不正侵入が検出された場合に、通信妨害信号を生成する生成部と、
前記通信部を介して前記通信バスに前記通信妨害信号を出力する出力部と
を備えることを特徴とする電子制御装置。
【請求項２】
前記不正侵入が検出された場合に、前記出力部における通信方式を前記所定の通信プロトコルとは異なる方式に変更する変更部
を備え、
前記生成部は、前記所定の通信プロトコルによるデータの送受信を不能とする異常波形の前記通信妨害信号を前記異なる方式によって生成する
ことを特徴とする請求項１に記載の電子制御装置。
【請求項３】
前記変更部は、前記不正侵入が検出され、かつ電源がＯＦＦにされた後は、前記出力部における前記通信方式を前記異なる方式から前記所定の通信プロトコルに変更する
ことを特徴とする請求項２に記載の電子制御装置。
【請求項４】
前記通信部は、ドミナントが所定時間以上連続する場合に、外部への信号の出力を禁止し、
前記生成部は、前記所定時間よりも短いドミナントと、レセシブとが交互に繰り返される前記通信妨害信号を生成する
ことを特徴とする請求項１〜３のいずれか一つに記載の電子制御装置。
【請求項５】
前記生成部は、前記所定の通信プロトコルにおける１フレームの最短長よりも短い前記レセシブを含む前記通信妨害信号を生成する
ことを特徴とする請求項４に記載の電子制御装置。
【請求項６】
前記通信部は、他の電子制御装置と前記通信バスを介して接続され、
前記生成部は、前記他の電子制御装置における通信妨害信号とは異なる通信妨害信号を生成する
ことを特徴とする請求項１〜５のいずれか一つに記載の電子制御装置。
【請求項７】
通信バスを介し、所定の通信プロトコルを用いて通信部によってデータを送受信する通信工程と、
内部への不正侵入が検出された場合に、通信妨害信号を生成する生成工程と、
前記通信部を介して前記通信バスに前記通信妨害信号を出力する出力工程と
を有することを特徴とする電子制御装置の制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電子制御装置、および電子制御装置の制御方法に関する。
【背景技術】
【０００２】
従来、内部への不正侵入が検出された場合に、通信制御部と並列に接続されたＩ／Ｏ制御部と、通信バスとを接続するラインを用いて、通信バスに不正データを無効化させる信号を出力し、さらなる不正侵入を防止する電子制御装置が知られている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１４−２３６２４８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記電子制御装置は、不正データを無効化させる信号を、Ｉ／Ｏ制御部と通信バスとを接続するラインを用いて通信バスに出力させるため、さらなる不正侵入を防止するための構成が複雑となる。
【０００５】
本発明は、上記に鑑みてなされたものであって、内部への不正侵入が検出された場合に、簡易な構成でさらなる不正侵入を防止する電子制御装置、および電子制御装置の制御方法を提供することを目的とする。
【課題を解決するための手段】
【０００６】
実施形態の一態様に係る電子制御装置は、通信部と、生成部と、出力部とを備える。通信部は、通信バスを介し、所定の通信プロトコルを用いたデータを送受信する。生成部は、内部への不正侵入が検出された場合に、通信妨害信号を生成する。出力部は、通信部を介して通信バスに通信妨害信号を出力する。
【発明の効果】
【０００７】
実施形態の一態様によれば、内部への不正侵入が検出された場合に、簡易な構成でさらなる不正侵入を防止することができる。
【図面の簡単な説明】
【０００８】
【図１】図１は、電子制御システムの構成を示すブロック図である。
【図２】図２は、電子制御装置の制御方法の概要を示す図である。
【図３】図３は、電子制御装置の構成を示すブロック図である。
【図４】図４は、不正侵入拡散防止処理を説明するフローチャートである。
【図５】図５は、不正侵入拡散防止処理を説明するタイムチャートである。
【発明を実施するための形態】
【０００９】
以下、添付図面を参照して、実施形態に係る電子制御装置、および電子制御装置の制御方法について詳細に説明する。なお、本実施形態によりこの発明が限定されるものではない。
【００１０】
まず、図１、および図２を用いて実施形態に係る電子制御装置２の制御方法の概要について説明する。図１は、電子制御システム１の構成を示すブロック図である。図２は、電子制御装置２の制御方法の概要を示す図である。
【００１１】
電子制御システム１は、複数の電子制御装置（ＥＣＵ：Electronic  Control  Unit）２と、無線通信装置２０とを備える。各電子制御装置２、および無線通信装置２０は、通信バスＢによって接続される。ここでは、車両に搭載された電子制御装置２を一例として説明する。そのため、電子制御システム１は、車載システム１であり、以下では、車載システム１として説明する。なお、電子制御装置２は、車両以外にも搭載されてもよい。また、図１では、４つの電子制御装置２を記載しているが、電子制御装置２は、４つに限られることはない。
【００１２】
電子制御装置２は、所定の通信プロトコル、具体的には、ＣＡＮ（Control  Area  Network）通信を用いた車載ネットワークによって通信部３（図３参照）を介してデータを送受信する。電子制御装置２は、他の電子制御装置２などとの間でＣＡＮ通信を用いてデータの送受信を行うことができる。電子制御装置２は、車両の各機器、エンジンや、変速機や、ナビゲーションシステムなどの制御装置である。
【００１３】
無線通信装置２０は、携帯電話や、無線ＬＡＮなどであり、外部と通信可能である。そのため、車載システム１の電子制御装置２は、悪意のある者によって外部から不正信号が送信され、不正侵入されるおそれがある。例えば、電子制御装置２は、不正侵入されることで、プログラムが変更されて車両の挙動が変更されるおそれがある。また、電子制御装置２は、不正侵入されることで、データが不正に取得されるおそれがある。
【００１４】
そこで、電子制御装置２は、内部への不正侵入を検出した場合には（Ｓ１）、通信妨害信号を生成する（Ｓ２）。通信妨害信号は、ＣＡＮ通信（所定の通信プロトコル）とは異なる通信方式に基づいた信号であり、ＣＡＮ通信によるデータの送受信を不能とする異常波形の信号である。具体的には、通信妨害信号は、ドミナントが連続して出力される信号である。
【００１５】
そして、電子制御装置２は、生成した通信妨害信号を通信バスＢに出力する（Ｓ３）。具体的には、電子制御装置２は、通信妨害信号を電子制御装置２の通信部３（図３参照）を介して通信バスＢに出力する。
【００１６】
これにより、通信バスＢには、ドミナントが連続する通信妨害信号が出力される。そのため、車載システム１では、通信バスＢによるＣＡＮ通信を用いたデータの送受信が不能となる。従って、電子制御装置２は、他の電子制御装置２を含む電子制御装置２へのさらなる不正侵入を防止することができる。
【００１７】
また、電子制御装置２は、ＣＡＮ通信によってデータを送受信する通信部３を介して通信妨害信号を通信バスＢに出力することで、通信妨害信号を出力するためのラインを別途用いることなく、通信妨害信号を通信バスＢに出力することができる。そのため、電子制御装置２は、簡易な構成で通信妨害信号を通信バスＢに出力することができる。
【００１８】
次に、電子制御装置２について図３を参照し説明する。図３は、電子制御装置２の構成を示すブロック図である。なお、図３では、１つの電子制御装置２を記載するが、他の電子制御装置２も同様の構成である。
【００１９】
電子制御装置２は、通信部３と、記憶部４と、制御部５とを備える。
【００２０】
通信部３は、例えば、ＣＡＮトランシーバであり、通信バスＢを介してＣＡＮ通信を用いたデータの送受信が可能である。また、通信部３は、制御部５によって生成された信号を通信バスＢに送信可能である。
【００２１】
通信部３は、ドミナント固着が発生した場合、具体的には、ドミナントが第１所定時間（所定時間）連続して出力された場合に、制御部５に異常が発生していると判定し、外部への出力を禁止するフェールセーフ機能を有している。第１所定時間は、予め設定された時間である。
【００２２】
記憶部４は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ（Flash  Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。
【００２３】
制御部５は、検出部１０と、判定部１１と、生成部１２と、設定部１３（変更部）と、出力部１４とを備える。
【００２４】
制御部５は、コントローラ（controller）であり、ＣＰＵ（Central  Processing  Unit）やＭＰＵ（Micro  Processing  Unit）等によって、記憶部４内部の記憶デバイスに記憶されている各種プログラムがＲＡＭを作業領域として実行される。これにより、制御部５は、検出部１０、判定部１１、生成部１２、設定部１３、および出力部１４として機能する。
【００２５】
また、制御部５は、ＡＳＩＣ（Application  Specific  Integrated  Circuit）やＦＰＧＡ（Field  Programmable  Gate  Array）等の集積回路により実現することができる。なお、検出部１０、判定部１１、生成部１２、設定部１３、および出力部１４は、統合されてもよく、また複数に分けられてもよい。
【００２６】
検出部１０は、外部からの不正侵入を検出する。例えば、検出部１０は、メッセージ認証コードを用いたメッセージ認証により、不正侵入を検出する。なお、不正侵入の検出方法は、これに限定されない。
【００２７】
判定部１１は、車載システム１（図１参照）の電源がＯＦＦにされたか否かを判定する。具体的には、判定部１１は、車両のスタートスイッチ（不図示）がＯＦＦにされたか否かを判定する。
【００２８】
生成部１２は、検出部１０によって外部からの不正侵入が検出された場合に、通信妨害信号を生成する。通信妨害信号は、ドミナントが連続する信号であり、具体的には、第２所定時間連続するドミナントと、第３所定時間連続するレセシブとが交互に繰り返される信号である。
【００２９】
第２所定時間は、予め設定された時間であり、通信部３によるフェールセーフ機能が作動しない時間、すなわち第１所定時間よりも短い時間である。
【００３０】
第３所定時間は、予め設定された時間であり、ＣＡＮ通信の１フレームの最短長よりも短い時間である。また、第３所定時間は、ＣＡＮ通信の１Ｂｉｔ時間よりも長い時間である。例えば、第３所定時間は、ＣＡＮ通信の１Ｂｉｔ時間に対し、数％のマージンを設定した時間であり、かつＣＡＮ通信の１フレームの最短長よりも短い時間である。換言すると、第３所定時間は、ＣＡＮ通信によるデータの割り込みを防ぐことが可能な時間であり、ＣＡＮ通信によるさらなる不正侵入を防ぐことが可能な時間である。
【００３１】
設定部１３は、検出部１０によって外部からの不正侵入が検出されていない場合には、出力部１４の動作をＣＡＮ通信に対応したＣＡＮ用ポートに設定する。設定部１３は、検出部１０によって外部からの不正侵入が検出された場合に、出力部１４の動作をＣＡＮ用ポートから、ＣＡＮ通信とは異なる通信方法に対応した汎用ポートに変更する。すなわち、設定部１３は、不正侵入が検出された場合には、出力部１４における通信方式をＣＡＮ用ポートとは異なる通信方式に変更する。
【００３２】
また、設定部１３は、車載システム１の電源がＯＦＦにされた場合、具体的には、車両のスタートスイッチ（不図示）がＯＦＦにされ再起動した場合に、出力部１４の動作を汎用ポートからＣＡＮ用ポートに変更する。
【００３３】
すなわち、設定部１３は、不正侵入が検出されて、出力部１４の動作を汎用ポートに設定した後に、車載システム１の電源がＯＦＦにされると、出力部１４の動作をＣＡＮ用ポートに戻す。
【００３４】
なお、設定部１３は、車載システム１の電源がＯＮにされると、出力部１４の動作をＣＡＮ用ポートに設定してもよい。すなわち、設定部１３は、不正侵入が検出されて、出力部１４の動作を汎用ポートに設定した後に、車載システム１の電源がＯＦＦにされ、車載システム１の電源がＯＮにされた場合に、出力部１４の動作をＣＡＮ用ポートに戻してもよい。
【００３５】
上記するように、出力部１４の動作は、設定部１３によってＣＡＮ用ポート、および汎用ポートに設定される。出力部１４の動作が汎用ポートに設定された場合には、ＣＡＮ通信が不能となり、データを含まない信号の送受信のみが可能となる。
【００３６】
出力部１４は、検出部１０によって外部からの不正侵入が検出された場合に、生成部１２によって生成された通信妨害信号を、通信部３を介して通信バスＢに出力する。また、出力部１４は、通信妨害信号の出力結果を記憶部４に記憶させる。
【００３７】
通信妨害信号が通信部３を介して通信バスＢに出力されることで、通信バスＢには、ドミナントが連続して出力され、通信バスＢを介したＣＡＮ通信が不能となる。そのため、他の電子制御装置２に対するＣＡＮ通信によるデータの送受信が不能となり、他の電子制御装置２に対する不正侵入を防止することができる。すなわち、他の電子制御装置２へのさらなる不正侵入を防止することができる。
【００３８】
なお、通信妨害信号を出力する電子制御装置２、すなわち不正侵入を検出した電子制御装置２では、出力部１４の動作が汎用ポートに設定されるため、ＣＡＮ通信は不能となる。そのため、不正侵入を検出した電子制御装置２に対するさらなる不正侵入も防止することができる。
【００３９】
次に、不正侵入拡散防止処理について図４のフローチャートを参照し説明する。図４は、不正侵入拡散防止処理を説明するフローチャートである。なお、不正侵入は検出されておらず、出力部１４の動作はＣＡＮ用ポートに設定されているものとする。
【００４０】
電子制御装置２は、不正侵入が検出されない場合には（Ｓ１００：Ｎｏ）、今回の処理を終了する。
【００４１】
電子制御装置２は、不正侵入が検出された場合には（Ｓ１００：Ｙｅｓ）、通信妨害信号を生成し（Ｓ１０１）、出力部１４の動作をＣＡＮ用ポートから汎用ポートに変更する（Ｓ１０２）。
【００４２】
なお、電子制御装置２は、通信妨害信号を生成する前、または通信妨害信号を生成すると同時に、出力部１４の動作をＣＡＮ用ポートから汎用ポートに変更してもよい。すなわち、図４のステップＳ１０１とステップＳ１０２とは逆であってもよく、同じステップであってもよい。
【００４３】
電子制御装置２は、生成した通信妨害信号を、通信部３を介して通信バスＢに出力する（Ｓ１０３）。
【００４４】
電子制御装置２は、車載システム１の電源がＯＦＦにされたか否かを判定する（Ｓ１０４）。電子制御装置２は、車載システム１の電源がＯＦＦにされていない場合には（Ｓ１０４：Ｎｏ）、通信妨害信号の出力を継続する（Ｓ１０３）。
【００４５】
電子制御装置２は、車載システム１の電源がＯＦＦにされた場合には（Ｓ１０４：Ｙｅｓ）、出力部１４の動作を汎用ポートからＣＡＮ用ポートに変更する（Ｓ１０５）。
【００４６】
なお、車載システム１の電源がＯＦＦにされることで、通信バスＢによるデータの送受信が行われないため、電子制御装置２へのさらなる不正侵入は防止される。また、電子制御装置２は、車載システム１の電源がＯＦＦにされた場合であっても、例えば、電子制御装置２の内部電源から電力が供給されることで、出力部１４の動作をＣＡＮ用ポートに変更することができる。
【００４７】
電子制御装置２では、不正侵入が検出されて車載システム１の電源がＯＦＦになり、その後、車載システム１の電源がＯＮになった場合には、出力部１４の動作はＣＡＮ用ポートになっている。
【００４８】
そのため、不正侵入が検出された場合には、その後、車載システム１の電源がＯＮにされることで、ダイアグツールなどとＣＡＮ通信を行うことが可能となる。従って、不正侵入が検出された場合に、さらなる不正侵入を防止しつつ、ダイアグツールなどによって、電子制御装置２内の異常情報を読み出すことができ、不正侵入に対する解析を実施することができる。
【００４９】
次に、不正侵入拡散防止処理について図５のタイムチャートを参照し説明する。図５は、不正侵入拡散防止処理を説明するタイムチャートである。なお、不正侵入は検出されておらず、出力部１４の動作は、ＣＡＮ用ポートに設定されているものとする。
【００５０】
不正侵入が検出されていない状態で、時間ｔ０において不正侵入が検出されると、出力部１４の動作は、ＣＡＮ用ポートから汎用ポートに変更される。
【００５１】
また、通信妨害信号が生成され、出力部１４から通信妨害信号が出力される。通信妨害信号では、時間ｔ０から時間ｔ１までの第２所定時間Ｔ１ドミナントとなり、時間ｔ１において反転し、レセシブとなる。そして、通信妨害信号では、時間ｔ１から時間ｔ２までの第３所定時間Ｔ２レセシブとなり、時間ｔ２において再びドミナントとなる。その後、同様に、ドミナントとレセシブとが交互に出力される。このように、不正侵入が検出された場合には、通信妨害信号として、ドミナントとレセシブとが交互に繰り返される。
【００５２】
そして、時間ｔ３において、車載システム１の電源がＯＦＦにされると、出力部１４の動作は、汎用ポートからＣＡＮ用ポートに変更される。
【００５３】
次に、実施形態に係る電子制御装置２の効果について説明する。
【００５４】
電子制御装置２は、ＣＡＮ通信を用いてデータを通信部３によって送受信し、不正侵入が検出された場合には、通信妨害信号を生成し、通信部３を介して通信妨害信号を通信バスＢに出力する。
【００５５】
これにより、電子制御装置２は、通信部３を用いた簡易な構成で通信妨害信号を通信バスＢに出力することができる。電子制御装置２は、通信妨害信号を出力するためのラインを別途用いることなく、通信妨害信号を通信バスＢに出力することができる。そのため、電子制御装置２は、不正侵入が検出された場合に、簡易な構成でさらなる不正侵入を防止することができる。また、電子制御装置２は、制御部５の変更によってさらなる不正侵入を防止することができ、不正侵入を防止するための設計変更を容易とし、低コストで上記した不正侵入拡散防止処理を実装させることができる。また、電子制御装置２は、通信妨害信号を通信バスＢに出力することで、通信バスＢによるＣＡＮ通信を不能とし、他の電子制御装置２に対する不正侵入を防止することができる。
【００５６】
また、電子制御装置２は、不正侵入が検出された場合には、出力部１４における通信方式をＣＡＮ通信からＣＡＮ通信とは異なる通信方式に変更し、ＣＡＮ通信とは異なる通信方式による通信妨害信号を生成する。具体的には、電子制御装置２は、ＣＡＮ通信によるデータの送受信を不能とする異常波形の信号である通信妨害信号を生成する。
【００５７】
これにより、電子制御装置２は、他の電子制御装置２を含む電子制御装置２へのさらなる不正侵入を防止することができる。また、電子制御装置２は、出力部１４における通信方式をＣＡＮ通信から変更することで、電子制御装置２へのさらなる不正侵入を防止することができる。
【００５８】
また、電子制御装置２は、不正侵入が検出され、かつ車載システム１の電源がＯＦＦにされた後は、出力部１４における通信方式をＣＡＮ通信に変更する。
【００５９】
これにより、電子制御装置２は、不正侵入が検出され、車載システム１の電源が再びＯＮにされた場合に、例えば、ダイアグツールによって電子制御装置２内の異常情報を読み出すことができ、不正侵入に対する解析を実施することができる。
【００６０】
また、電子制御装置２では、ドミナントが第１所定時間以上連続する場合に、通信部３が制御部５に異常が発生していると判定し、外部への信号の出力を禁止するフェールセーフを実行する。また、電子制御装置２は、第１所定時間よりも短いドミナントと、レセシブとが交互に繰り返される通信妨害信号を生成する。
【００６１】
これにより、電子制御装置２は、通信部３によってフェールセーフ機能を実行させつつ、不正侵入が検出された場合に通信妨害信号を通信バスＢに出力することができる。すなわち、フェールセーフ機能を有する通信部３を用いた電子制御装置２に対しても、さらなる不正侵入を防止することができる。
【００６２】
また、電子制御装置２は、通信妨害信号に含まれるレセシブの第２所定時間を、ＣＡＮ通信における１フレームの最短長よりも短くする。
【００６３】
これにより、電子制御装置２は、フェールセーフ機能を実行させつつ、通信妨害信号がレセシブとなっている間にＣＡＮ通信による不正信号が割り込むことを防止することができる。すなわち、電子制御装置２は、フェールセーフ機能を実行させつつ、さらなる不正侵入を防止することができる。
【００６４】
なお、通信部３は、上記したフェールセーフ機能を有さなくてもよい。この場合、生成部１２は、レセシブに反転することがない通信妨害信号を生成する。具体的には、生成部１２は、ドミナントのみで構成される通信妨害信号を生成する。
【００６５】
また、変形例に係る電子制御装置２は、他の電子制御装置２における通信妨害信号とは異なる波形の通信妨害信号を生成する。すなわち、変形例に係る車載システム１は、電子制御装置２毎に異なる波形の通信妨害信号を生成する。
【００６６】
例えば、各電子制御装置２は、ドミナントの連続時間（第２所定時間）、レセシブの連続時間（第３所定時間）の少なくとも一方をそれぞれ異なる時間とした通信妨害信号を生成する。また、例えば、各電子制御装置２は、第２所定時間連続するドミナント間におけるレセシブの反転回数がそれぞれ異なる通信妨害信号を生成する。
【００６７】
これにより、不正侵入が検出され、その後、ダイアグツールが使えない場合でも通信ラインの波形を確認することで不正侵入が行われた電子制御装置２を容易に特定することができる。
【００６８】
また、上記した実施形態では、電子制御装置２は、所定の通信プロトコルとして、ＣＡＮ通信を用いた一例について説明したが、ＣＡＮＦＤ（CAN  with  Flexible  Data）通信などであってもよい。
【００６９】
さらなる効果や変形例は、当業者によって容易に導き出すことができる。このため、本発明のより広範な態様は、以上のように表しかつ記述した特定の詳細および代表的な実施形態に限定されるものではない。従って、添付の特許請求の範囲およびその均等物によって定義される総括的な発明の概念の精神または範囲から逸脱することなく、様々な変更が可能である。
【符号の説明】
【００７０】
１      電子制御システム
２      電子制御装置
３      通信部
４      記憶部
５      制御部
１０    検出部
１１    判定部
１２    生成部
１３    設定部（変更部）
１４    出力部
Ｂ      通信バス
【図１】
2020174298.tif 000003
【図２】
2020174298.tif 000004
【図３】
2020174298.tif 000005
【図４】
2020174298.tif 000006
【図５】
2020174298.tif 000007