(57)【要約】【課題】外部から車載通信網に入力された不正な信号に対処する。【解決手段】不正信号判定装置１００は、車両に搭載され、車両の動作を制御するＥＣＵ２と、ＥＣＵ２と通信可能に接続された通信網と、通信網と通信可能に接続され、ＥＣＵ２と外部機器との通信を中継するゲートウェイ５とを備える。ゲートウェイ５は、外部機器から入力された外部信号を検出する外部信号検出部５３と、車両の動作状態に基づいて、外部信号検出部５３により検出された外部信号が不正な信号であるか否かを判定する不正信号判定部５４とを有する。【選択図】図２
2020072433.tif 000002
【特許請求の範囲】
【請求項１】
車両に搭載された制御装置と、
前記制御装置と通信可能に接続された通信網と、
前記通信網と通信可能に接続され、前記制御装置と外部機器との通信を中継する中継装置と、を備え、
前記中継装置は、
前記外部機器から入力された外部信号を検出する外部信号検出部と、
前記車両の動作状態に基づいて、前記外部信号検出部により検出された外部信号が不正な信号であるか否かを判定する不正信号判定部と、を有することを特徴とする不正信号判定装置。
【請求項２】
請求項１に記載の不正信号判定装置において、
前記外部信号検出部は、前記制御装置で実行される制御プログラムに対する更新の指令を含む外部信号を検出し、
前記不正信号判定部は、前記車両が前記制御装置の制御プログラムの更新を禁止すべき動作状態であるとき、前記外部信号検出部により検出された外部信号が不正な信号であると判定することを特徴とする不正信号判定装置。
【請求項３】
請求項２に記載の不正信号判定装置において、
前記不正信号判定部は、前記車両の走行速度、前記車両に搭載された駆動源の動作状態、および前記車両に搭載された操舵機構の動作状態の少なくとも一つに基づいて、前記車両が前記制御装置の制御プログラムの更新を禁止すべき動作状態であるか否かを判定することを特徴とする不正信号判定装置。
【請求項４】
請求項１〜３のいずれか１項に記載の不正信号判定装置において、
前記不正信号判定部により不正な信号であると判定された外部信号について、前記中継装置による通信の中継を禁止する不正信号処理部をさらに備えることを特徴とする不正信号判定装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、外部から車載通信網に入力される不正な信号を判定する不正信号判定装置に関する。
【背景技術】
【０００２】
従来、車両の状態に応じて外部機器による車両制御用プログラムの更新を許可するようにした装置が知られている。例えば特許文献１記載の装置では、車両の電動パーキングブレーキ装置のロックが完了している場合に、電動パーキングブレーキ装置の動作を制御する制御装置のプログラムの更新を許可する。
【先行技術文献】
【特許文献】
【０００３】
特許文献１：特開２０１３−１７４９７４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記特許文献１記載の装置は、電動パーキングブレーキ装置の作動時に車両制御用プログラムの更新を許可するだけであり、上記特許文献１記載の装置では、外部から車載通信網に不正な信号が入力された場合に対処することは難しい。
【課題を解決するための手段】
【０００５】
本発明の一態様である不正信号判定装置は、車両に搭載された制御装置と、制御装置と通信可能に接続された通信網と、通信網と通信可能に接続され、制御装置と外部機器との通信を中継する中継装置と、を備える。中継装置は、外部機器から入力された外部信号を検出する外部信号検出部と、車両の動作状態に基づいて、外部信号検出部により検出された外部信号が不正な信号であるか否かを判定する不正信号判定部と、を有する。
【発明の効果】
【０００６】
本発明によれば、外部から車載通信網に不正な信号が入力された場合であっても容易に対処することができる。
【図面の簡単な説明】
【０００７】
【図１】本発明の実施形態に係る不正信号判定装置を概略的に示す図。
【図２】本発明の実施形態に係る不正信号判定装置の要部構成を示すブロック図。
【図３】図２の演算部で実行される処理の一例を示すフローチャート。
【発明を実施するための形態】
【０００８】
以下、図１〜図３を参照して本発明の実施形態について説明する。図１は、本発明の実施形態に係る不正信号判定装置１００を概略的に示す図である。不正信号判定装置１００が適用される車両１には、エンジン制御用ＥＣＵ、変速機制御用ＥＣＵ、操舵制御用ＥＣＵなどの車両の動作に直接的な影響を与えるＥＣＵ、エアコンやナビゲーションなどの車両の動作に直接的な影響を与えない機器の制御用ＥＣＵ等、機能の異なる複数のＥＣＵ（電子制御ユニット）２が搭載され、ＣＡＮ（コントローラエリアネットワーク）等の車載通信網により互いに通信可能に接続される。また、各ＥＣＵ２には、車載通信網を介して、車両１の走行速度（車輪速）や車両１に搭載される駆動源の動作状態（例えばエンジン回転数）、操舵機構の動作状態（例えばステアリング角）等を検出する各種センサが接続される。各ＥＣＵ２は、演算処理を行うＣＰＵ、揮発性メモリ（ＲＡＭ）、書き換え可能な不揮発性メモリ（フラッシュメモリやＥＥＰＲＯＭ等）、その他の周辺回路を有するコンピュータを含んで構成される。各ＥＣＵ２は、予め不揮発性メモリに記憶されたプログラムに従い、各種センサからの出力値に基づいて各種制御を実行する。
【０００９】
さらに各ＥＣＵ２には、車載通信網を介して、外部との無線通信を行うＴＣＵ（テレマティクス制御ユニット）３、ＥＣＵ２に記憶された故障コードを読み出して車両１の故障診断を行う診断機６を接続可能なＤＬＣ（データリンクコネクタ）４が接続される。ＥＣＵ２とＴＣＵ３およびＤＬＣ４との間にはゲートウェイ５が設けられ、車載通信網と車外との通信あるいは複数の車載通信網間の通信を中継する。診断機６は、故障診断に加え、ＥＣＵ２に記憶されたプログラムの更新を行うことができる。車両メーカは、プログラムのアップデートや品質改善などの必要に応じ、販売店等を通じて更新用プログラムを配布する。販売店等では、来店したユーザの車両１の助手席の足元付近などに配置されたＤＬＣ４に、更新用プログラムをダウンロードした正当な診断機６を接続して、車両１のＥＣＵ２に記憶されたプログラムを更新する。
【００１０】
通常、このようなプログラムの更新や故障診断のためのＥＣＵ２との通信は、車両１が安全に停止した状態で販売店等の正当な診断機６を用いて行われる。一方、悪意のある第三者が不正な外部機器６０ａ〜６０ｃにより、不正なプログラムへの更新等を目的として、車両１の走行中などにＥＣＵ２との通信（不正アクセス）を試みることがある。例えば、駐車中の車両１のＤＬＣ４に不正な外部機器６０ａを装着し、あるいは車載通信網に不正な外部機器６０ｂを挿入し、車両１の走行中など車載通信網に電源が供給されたときに不正アクセスを試みる可能性がある。また、ＴＣＵ３を介して通信中に不正な外部機器６０ｃから不正アクセスを試みる可能性もある。不正なプログラムへの更新が行われると、車両１の走行に支障を来たすおそれがある。そこで、本発明の実施形態に係る不正信号判定装置１００は、このような不正な外部機器６０ａ〜６０ｃからの入力信号を検出して対処するよう、以下のように構成する。
【００１１】
図２は、不正信号判定装置１００の要部構成を示すブロック図である。図１および図２に示すように、不正信号判定装置１００は、車両１に搭載されたＥＣＵ２と、ＴＣＵ３と、ＤＬＣ４と、ＥＣＵ２とＴＣＵ３およびＤＬＣ４との間に設けられたゲートウェイ５とを備えた車載通信網として構成される。
【００１２】
図２に示すように、ゲートウェイ５は、ＣＰＵ等の演算部５０と、ＲＯＭ，ＲＡＭ，ハードディスク等の記憶部５１と、その他の周辺回路とを有するコンピュータを含んで構成される。演算部５０は、機能的構成として、車両状態判定部５２と、外部信号検出部５３と、不正信号判定部５４と、不正信号処理部５５とを有する。
【００１３】
車両状態判定部５２は、車両１の動作状態に基づいて、車両１がＥＣＵ２のプログラムの更新を禁止すべき動作状態であるか否かを判定する。車両１の動作を制御するＥＣＵ２のプログラムを実行中、すなわち車両１の動作中にＥＣＵ２のプログラムが更新されると、車両１の動作を適切に制御することができなくなる可能性がある。このため、車両１の動作中はＥＣＵ２のプログラムの更新を禁止する必要がある。したがって、例えば、車輪速センサの出力値に基づいて算出される車両１の走行速度が０でなければＥＣＵ２のプログラムの更新を禁止すべき動作状態であると判定する。このような判定は、車両１に搭載される駆動源の動作状態に基づいて行ってもよい。例えば、車両１の駆動源としてエンジンが搭載される場合は、エンジン回転数センサの出力値が０でなければＥＣＵ２のプログラムの更新を禁止すべき動作状態であると判定する。さらに、このような判定を車両１に搭載される操舵機構の動作状態に基づいて行ってもよい。例えば、ステアリング角センサの出力値に基づいて算出されるステアリング角の変動が０でなければＥＣＵ２のプログラムの更新を禁止すべき動作状態であると判定する。これらの動作状態のいずれかに該当する場合にＥＣＵ２のプログラムの更新を禁止すべき動作状態であると判定してもよく、これらの動作状態のすべてに該当する場合にＥＣＵ２のプログラムの更新を禁止すべき動作状態であると判定してもよい。
【００１４】
外部信号検出部５３は、ＤＬＣ４を介して接続された診断機６または不正な外部機器６０ａ〜６０ｃから入力された外部信号を検出する。車載通信網で送受信される信号、例えばＣＡＮ通信のデジタル信号（データフレーム）には、送受信されるデータそのものを示すデータフィールドに加え、データの送信元やデータの内容等を示すＩＤが含まれる。このため、各信号に含まれるＩＤを参照することで、その信号の送信元を判別できるとともに、そのデータが故障コードの出力を指令するものかプログラムの更新を指令するものかを判別することができる。ＥＣＵ２の故障コードの読み出しまたはプログラムの更新を行うときの各通信信号には、サービス専用のＩＤが割り当てられる。不正な外部機器６０ａ〜６０ｃは、サービス専用のＩＤを使用することで正当な診断機６を装い、ＥＣＵ２へのアクセスを試みる。したがって、サービス専用のＩＤを含む信号の送信元は、外部機器、すなわち正当な診断機６または不正な外部機器６０ａ〜６０ｃであると判定することができる。
【００１５】
不正信号判定部５４は、車両状態判定部５２により車両１がＥＣＵ２のプログラムの更新を禁止すべき動作状態であると判定されたときに外部信号検出部５３により検出された外部信号を、不正な外部機器６０ａ〜６０ｃから送信された不正な信号であると判定する。正当な診断機６は車両１が安全に停止した状態で接続されるため、車両１の走行中などＥＣＵ２のプログラムの更新を禁止すべき動作状態で検出される信号は、不正な外部機器６０ａ〜６０ｃから送信されたものと判定する。ＥＣＵ２のプログラムの更新を指令する信号のみを不正な信号として判定してもよい。
【００１６】
不正信号処理部５５は、不正信号判定部５４により不正な外部機器６０ａ〜６０ｃから出力された不正な信号であると判定された外部信号を処理する。すなわち、ゲートウェイ５による送信元から送信先への信号の中継を禁止（遮断）し、車両１のインストルメントパネルに、例えば「異常な診断通信が発生しました。点検を行ってください」などの警告メッセージを表示する。警告表示を介して車両１のユーザに異常を報知するとともに販売店等への来店を促すことで、不正な外部機器６０ａ〜６０ｃを早期に発見し、対処することができる。例えば、車両１のＤＬＣ４に不正な外部機器６０ａが装着されていないか、車載通信網の配線に不正な外部機器６０ｂが挿入されていないか、あるいは、ＴＣＵ３の通信記録に不正な外部機器６０ｃからの外部信号が記録されていないか点検し、必要に応じて対処することができる。
【００１７】
不正信号判定装置１００では、車載通信網全体の信号を監視するゲートウェイ５が車両状態判定部５２、外部信号検出部５３、不正信号判定部５４および不正信号処理部５５を備えるため、各ＥＣＵ２が個別に不正な外部信号を検出、遮断する必要がない。このため、不正信号判定装置１００全体を簡易な構成とすることができる。
【００１８】
図３は、予め記憶されたプログラムに従い、ゲートウェイ５の演算部５０で実行される処理の一例を示すフローチャートである。このフローチャートに示す処理は、例えば、車両１が起動されて車載通信網に電源が供給されると開始され、所定周期で繰り返される。
【００１９】
まず、ステップＳ１で、車両状態判定部５２での処理により、各種センサの出力値を読み込み、ステップＳ２で、車両１がＥＣＵ２のプログラムの更新を禁止すべき動作状態であるか否かを判定する。ステップＳ２で肯定されるとステップＳ３に進み、否定されると処理を終了する。ステップＳ３では、外部信号検出部５３での処理により、診断機６または不正な外部機器６０ａ〜６０ｃから車載通信網に信号が入力されたか否かを判定する。より具体的には、車載通信網上に外部信号が入力されたか否かを判定する。ステップＳ３で肯定されるとステップＳ４に進み、否定されると処理を終了する。ステップＳ４では、不正信号判定部５４での処理により、ステップＳ３で検出された外部信号を不正な外部機器６０ａ〜６０ｃから送信された不正な信号であると判定する。次いで、ステップＳ５で、不正信号処理部５５での処理により、ステップＳ４で不正な信号であると判定された外部信号を遮断し、ステップＳ６で、車両１のインストルメントパネルに警告メッセージを表示する。
【００２０】
本実施形態に係る不正信号判定装置１００の主要な動作についてより具体的に説明する。車両１には、駐車中に不正な外部機器（例えば図１の不正な外部機器６０ｂ）が装着されたものとする。ユーザが車両１を始動すると、車載通信網に電源が供給され、不正な外部機器６０ｂがＥＣＵ２に対してプログラムの更新を行う信号を出力する。ゲートウェイ５は、車両１のエンジンが動作中にサービス専用のＩＤを含む信号を検出すると、その信号を遮断して車両１のインストルメントパネルに警告メッセージを表示する（ステップＳ１〜Ｓ６）。ゲートウェイ５により不正な信号が遮断されるため、ＥＣＵ２への攻撃を阻止することができる。また、警告メッセージを見た車両１のユーザが販売店等で専門の技術者による車両１の点検を受けることで、不正な外部機器６０ｂが複雑な車載通信網に装着された場合でも早期に発見し、対処することができる。
【００２１】
本実施形態によれば以下のような作用効果を奏することができる。
（１）不正信号判定装置１００は、車両１に搭載され、車両１の動作を制御するＥＣＵ２と、ＥＣＵ２と通信可能に接続された車載通信網と、車載通信網と通信可能に接続され、ＥＣＵ２と診断機６および不正な外部機器６０ａ〜６０ｃ（外部機器）との通信を中継するゲートウェイ５とを備える（図１）。ゲートウェイ５は、外部機器から入力された外部信号を検出する外部信号検出部５３と、車両１の動作状態に基づいて、外部信号検出部５３により検出された外部信号が不正な信号であるか否かを判定する不正信号判定部５４とを有する。ゲートウェイ５により外部から車載通信網に入力された不正な信号を検出する簡易な構成により、不正な外部機器６０ａ〜６０ｃの早期発見などの対処を容易に行うことができる。
【００２２】
（２）外部信号検出部５３は、ＥＣＵ２で実行される制御プログラムに対する更新の指令を含む外部信号を検出する。不正信号判定部５４は、車両１がＥＣＵ２の制御プログラムの更新を禁止すべき動作状態であるとき、外部信号検出部５３により検出された外部信号が不正な信号であると判定する。車両１がＥＣＵ２のプログラムの更新を禁止すべき動作状態のときに検出される外部からの信号を不正な信号として判定することで、不正な外部機器６０ａ〜６０ｃから入力された信号を容易に検出することができる。
【００２３】
（３）不正信号判定部５４は、車両１の走行速度、車両１に搭載された駆動源の動作状態、および車両１に搭載された操舵機構の動作状態のいずれかに基づいて、車両１がＥＣＵ２の制御プログラムの更新を禁止すべき動作状態であるか否かを判定する。これにより、車両１の動作を制御するＥＣＵ２のプログラムを実行中にＥＣＵ２のプログラムが更新されることを防止することができる。
【００２４】
（４）不正信号判定装置１００は、不正信号判定部５４により不正な信号であると判定された外部信号について、ゲートウェイ５による通信の中継を禁止する不正信号処理部５５をさらに備える。不要な通信信号の中継を禁止することで、意図せずにＥＣＵ２のプログラムが更新されることを防止することができる。
【００２５】
上記実施形態は種々の形態に変更することができる。以下、変形例について説明する。上記実施形態では、外部信号検出部５３がサービス専用のＩＤを含む信号を外部機器として検出するようにしたが、外部機器から入力された外部信号を検出する外部信号検出部の構成はこれに限らない。例えば、予め登録されたＩＤ以外のＩＤを含む送信元をすべて外部機器として検出してもよい。
【００２６】
上記実施形態では、不正信号判定部５４が、車両１がＥＣＵ２のプログラムの更新を禁止すべき動作状態であるときに検出された外部信号を不正な信号であると判定するようにしたが、車両の動作状態に基づいて外部信号が不正な信号であるか否かを判定する不正信号判定部はこのようなものに限らない。車載通信網上の複数の信号を比較して、整合性のない信号があれば不正な信号として判定するようにしてもよい。
【００２７】
以上の説明はあくまで一例であり、本発明の特徴を損なわない限り、上述した実施形態および変形例により本発明が限定されるものではない。上記実施形態と変形例の１つまたは複数を任意に組み合わせることも可能であり、変形例同士を組み合わせることも可能である。
【符号の説明】
【００２８】
１  車両、２  ＥＣＵ、３  ＴＣＵ、４  ＤＬＣ、５  ゲートウェイ、６  診断機、５０  演算部、５１  記憶部、５２  車両状態判定部、５３  外部信号検出部、５４  不正信号判定部、５５  不正信号処理部、６０ａ〜６０ｃ  不正な外部機器、１００  不正信号判定装置
【図１】
2020072433.tif 000003
【図２】
2020072433.tif 000004
【図３】
2020072433.tif 000005