(57)【要約】【課題】車載通信網に入力される不正な信号を判定する【解決手段】不正信号処理装置１００は、車両に搭載され、車載通信網を介して互いに通信可能に接続された複数のＥＣＵ２と、車載通信網を介して入力された入力信号を検出する信号検出部５２と、信号検出部５２により検出された入力信号が複数のＥＣＵ２のうちの一部のＥＣＵ２に対して通信停止を指令する信号である場合、信号検出部５２により検出された入力信号が不正な信号であると判定する不正信号判定部５３と、不正信号判定部５３により、信号検出部５２により検出された入力信号が不正な信号であると判定されると、異常を報知する不正信号報知部５４と、を備える。【選択図】図２
2020092326.tif 000002
【特許請求の範囲】
【請求項１】
車両に搭載され、通信網を介して互いに通信可能に接続された複数の制御装置と、
前記通信網を介して入力された入力信号を検出する信号検出部と、
前記信号検出部により検出された前記入力信号が前記複数の制御装置のうちの一部の制御装置に対して通信停止を指令する信号である場合、前記信号検出部により検出された前記入力信号が不正な信号であると判定する不正信号判定部と、
前記不正信号判定部により、前記信号検出部により検出された前記入力信号が不正な信号であると判定されると、異常を報知する不正信号報知部と、を備えることを特徴とする不正信号処理装置。
【請求項２】
請求項１に記載の不正信号処理装置において、
前記不正信号判定部により不正な信号であると判定された前記入力信号を第１入力信号とし、当該第１入力信号において通信停止が指令された前記一部の制御装置から入力されたことを示す第２入力信号が前記通信網に入力されると、当該第２入力信号を無効化する信号無効化部をさらに備えることを特徴とする不正信号処理装置。
【請求項３】
請求項２に記載の不正信号処理装置において、
前記第１入力信号の送信先の情報を記憶する記憶部をさらに備え、
前記信号無効化部は、前記記憶部に記憶された前記第１入力信号の送信先を送信元とする前記入力信号を前記第２入力信号として無効化することを特徴とする不正信号処理装置。
【請求項４】
請求項２または３に記載の不正信号処理装置において、
前記複数の制御装置間で送受信される信号を中継するとともに、前記信号無効化部を構成する中継装置をさらに備え、
前記中継装置は、前記通信網に前記第２入力信号が入力されると、前記第２入力信号の中継を禁止することを特徴とする不正信号処理装置。
【請求項５】
請求項１〜４のいずれか１項に記載の不正信号処理装置において、
前記複数の制御装置は、前記通信網を介して外部機器を接続可能であり、
前記外部機器は、前記通信網を介して前記入力信号を入力することを特徴とする不正信号処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車載通信網に入力される不正な信号を処理する不正信号処理装置に関する。
【背景技術】
【０００２】
従来、車両の状態に応じて外部機器による車両制御用プログラムの更新を許可するようにした装置が知られている。例えば特許文献１記載の装置では、車両の電動パーキングブレーキ装置のロックが完了している場合に、電動パーキングブレーキ装置の動作を制御する制御装置のプログラムの更新を許可する。
【先行技術文献】
【特許文献】
【０００３】
特許文献１：特開２０１３−１７４９７４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、車載通信網に不正な信号が入力されると、制御装置による適切な制御が妨げられるおそれがあるため、不正な信号の入力に対処する必要がある。しかしながら、上記特許文献１記載の装置は、電動パーキングブレーキ装置の作動時に車両制御用プログラムの更新を許可するだけであり、上記特許文献１記載の装置では、車載通信網に不正な信号が入力された場合に対処することは難しい。
【課題を解決するための手段】
【０００５】
本発明の一態様である不正信号処理装置は、車両に搭載され、通信網を介して互いに通信可能に接続された複数の制御装置と、通信網を介して入力された入力信号を検出する信号検出部と、信号検出部により検出された入力信号が複数の制御装置のうちの一部の制御装置に対して通信停止を指令する信号である場合、信号検出部により検出された入力信号が不正な信号であると判定する不正信号判定部と、不正信号判定部により、信号検出部により検出された入力信号が不正な信号であると判定されると、異常を報知する不正信号報知部と、を備える。
【発明の効果】
【０００６】
本発明によれば、車載通信網に不正な信号が入力された場合であっても容易に対処することができる。
【図面の簡単な説明】
【０００７】
【図１】本発明の実施形態に係る不正信号処理装置を概略的に示す図。
【図２】本発明の実施形態に係る不正信号処理装置の要部構成を示すブロック図。
【図３】図２の変形例を示すブロック図。
【図４】本発明の実施形態に係る不正信号処理装置により実行される処理の一例を示すフローチャート。
【図５】図２または図３の信号無効化部により実行される処理の一例を示すフローチャート。
【発明を実施するための形態】
【０００８】
以下、図１〜図５を参照して本発明の実施形態について説明する。図１は、本発明の実施形態に係る不正信号処理装置１００を概略的に示す図である。
【０００９】
不正信号処理装置１００が適用される車両１には、複数のＥＣＵ（電子制御ユニット）２が搭載される。複数のＥＣＵ２には、エンジン制御用ＥＣＵ、変速機制御用ＥＣＵ、操舵制御用ＥＣＵなどの車両の動作に直接的な影響を与えるＥＣＵ、エアコンやナビゲーションなどの車両の動作に直接的な影響を与えない機器の制御用ＥＣＵ等、機能の異なるＥＣＵが含まれる。これら複数のＥＣＵ２が、ＣＡＮ（コントローラエリアネットワーク）等の車載通信網により互いに通信可能に接続される。
【００１０】
各ＥＣＵ２は、演算処理を行うＣＰＵ、揮発性メモリ（ＲＡＭ）、書き換え可能な不揮発性メモリ（フラッシュメモリやＥＥＰＲＯＭ等）、その他の周辺回路を有するコンピュータを含んで構成される。各ＥＣＵ２は、予め不揮発性メモリに記憶されたプログラムに従い、各種センサからの出力値に基づいて各種制御を実行する。
【００１１】
さらにＥＣＵ２には、車載通信網を介して、外部との無線通信を行うＴＣＵ（テレマティクス制御ユニット）３、ＥＣＵ２に記憶された故障コードを読み出して車両１の故障診断を行う診断機６を接続可能なＤＬＣ（データリンクコネクタ）４が接続される。ＥＣＵ２と、ＴＣＵ３およびＤＬＣ４との間にはゲートウェイ５が設けられ、車載通信網と車外との通信あるいは複数の車載通信網間の通信を中継する。
【００１２】
診断機６は、故障診断に加え、ＥＣＵ２に記憶されたプログラムの更新を行うことができる。車両メーカは、プログラムのアップデートや品質改善などの必要に応じ、販売店等を通じて更新用プログラムを配布する。販売店等では、来店したユーザの車両１の助手席の足元付近などに配置されたＤＬＣ４に、更新用プログラムをダウンロードした正当な診断機６を接続して、車両１のＥＣＵ２に記憶されたプログラムを更新する。
【００１３】
通常、このようなプログラムの更新は、プログラムの更新中に意図しない動作が発生することがないよう、車両１が安全に停止した状態で行われる。さらに、プログラムの更新に先立ち、診断機６からすべてのＥＣＵ２に対して制御信号の出力を禁止する通信停止指令が送信される。これにより通信停止指令を受信したＥＣＵ２が制御信号の出力を停止し、車載通信網に対する一切の制御信号の入力が停止された状態で各ＥＣＵ２のプログラムの更新が行われる。
【００１４】
一方、このような通信停止指令を利用して、車両１の走行中などに悪意のある第三者が各ＥＣＵ２との通信（不正アクセス）を試みることがある。すなわち、一部のＥＣＵ２に通信停止指令を送信して制御信号の出力を停止させた後、制御信号の出力を停止したＥＣＵ２になりすまし、車載通信網を介して不正な信号を各ＥＣＵ２に送信することがある。
【００１５】
例えば、駐車中の車両１のＤＬＣ４に不正な外部機器６０ａを装着し、あるいは車載通信網に不正な外部機器６０ｂを挿入し、車両１の走行中など車載通信網に電源が供給されたときに不正アクセスを試みる可能性がある。また、ＴＣＵ３を介して通信中に不正な外部機器６０ｃから不正アクセスを試みる可能性もある。
【００１６】
そこで、本発明の実施形態に係る不正信号処理装置１００は、このような不正アクセスによって車載通信網に入力される信号を検出して対処するよう、以下のように構成する。
【００１７】
図２は、不正信号処理装置１００の要部構成を示すブロック図である。図１および図２に示すように、不正信号処理装置１００は、車両１に搭載されたＥＣＵ２と、ＴＣＵ３と、ＤＬＣ４と、ＥＣＵ２とＴＣＵ３およびＤＬＣ４との間に設けられたゲートウェイ５とを備えた車載通信網として構成される。
【００１８】
図２に示すように、ゲートウェイ５は、ＣＰＵ等の演算部５０と、ＲＯＭ，ＲＡＭ，ハードディスク等の記憶部５１と、その他の周辺回路とを有するコンピュータを含んで構成される。演算部５０は、機能的構成として、信号検出部５２と、不正信号判定部５３と、不正信号報知部５４と、信号無効化部５５とを有する。
【００１９】
信号検出部５２は、車載通信網に入力されたすべての信号を検出する。車載通信網で送受信される信号、例えばＣＡＮ通信のデジタル信号（データフレーム）には、送受信されるデータそのものを示すデータフィールドに加え、データの送信先や送信元、データの内容等を示すＩＤが含まれる。このため、各信号に含まれるＩＤを参照することで、その信号の送信先や送信元を判別できるとともに、そのデータが通信停止を指令するものであるか否かを判定することができる。
【００２０】
正当な送信元としてのＩＤを有しない不正な外部機器６０ａ〜６０ｃは、正当なＥＣＵ２のＩＤを使用して正当なＥＣＵ２を装い、車載通信網に不正な制御信号を入力する（なりすまし）。この場合、不正な外部機器６０ａ〜６０ｃは、予め特定のＥＣＵ２に対して通信停止指令を送信して制御信号の出力を停止させ、制御信号の出力を停止したＥＣＵ２のＩＤを使用して車載通信網に不正な制御信号を入力する。
【００２１】
一方、正当な診断機６は、ＥＣＵ２に記憶されたプログラムを更新するとき、プログラムの更新に必要な大量のデータ信号を短時間で送信するために、一部のＥＣＵ２を指定することなく、全てのＥＣＵ２に対して通信停止指令を送信する。ＥＣＵ２によるデータ信号の出力を停止させて車載通信網を占有することで、プログラムの更新に必要なデータ信号を効率的に送信することができる。
【００２２】
不正信号判定部５３は、信号検出部５２により検出された信号が複数のＥＣＵ２のうちの一部のＥＣＵ２に対して通信停止を指令する信号である場合、信号検出部５２により検出された信号が不正な信号であると判定する。すなわち、信号検出部５２により検出された信号が通信停止を指令するものであり、かつ、送信先として一部のＥＣＵ２のみが指定されている場合は、不正な信号であると判定する。
【００２３】
不正信号判定部５３による判定結果は、記憶部５１に記憶される。また、不正信号判定部５３により不正な信号であると判定された通信停止指令の送信先であるＥＣＵ２のＩＤも、記憶部５１に記憶される。
【００２４】
不正信号報知部５４は、不正信号判定部５３により、信号検出部５２により検出された信号が不正な信号であると判定されると、報知を行う。例えば、車両１のインストルメントパネルに「異常な通信が発生しました。点検を行ってください」などの警告メッセージを表示する。ユーザに対する報知に代えて、あるいはユーザに対する報知に加えて、車両メーカや販売店等に対して報知を行ってもよい。
【００２５】
警告表示を介して車両１のユーザに異常を報知するとともに販売店等への来店を促すことで、不正な外部機器６０ａ〜６０ｃを早期に発見し、対処することができる。例えば、車両１のＤＬＣ４に不正な外部機器６０ａが装着されていないか、車載通信網の配線に不正な外部機器６０ｂが挿入されていないか点検し、必要に応じて対処することができる。あるいは、ＴＣＵ３の通信記録に不正な外部機器６０ｃからの外部信号が記録されていないか点検し、必要に応じて対処することができる。
【００２６】
信号無効化部５５は、不正信号判定部５３により、信号検出部５２により検出された信号が不正な信号であると判定された後、当該信号において通信停止が指令されたＥＣＵ２から通信網に入力される信号を遮断する。すなわち、このような信号は、通信停止指令を受信して制御信号の出力を停止したＥＣＵ２のＩＤを使用して不正な外部機器６０ａ〜６０ｃが入力した不正な信号だと考えられるため、ゲートウェイ５による送信元から送信先への信号の中継を禁止（遮断）する。
【００２７】
図２に示すように、不正信号処理装置１００では、車載通信網全体の信号を監視するゲートウェイ５が信号検出部５２、不正信号判定部５３、不正信号報知部５４および信号無効化部５５を備える。このため、各ＥＣＵ２が個別に不正な外部信号を検出、遮断する必要がない。これにより、不正信号処理装置１００全体を簡易な構成とすることができる。
【００２８】
なお、不正信号処理装置１００を図３に示す変形例のように構成してもよい。すなわち、各ＥＣＵ２が、ＣＰＵ等の演算部の機能的構成として、信号検出部５２と、不正信号判定部５３と、不正信号報知部５４とを有し、ゲートウェイ５が、演算部５０の機能的構成として、信号無効化部５５を有するようにしてもよい。
【００２９】
この場合、各ＥＣＵ２の信号検出部５２は、当該ＥＣＵ２宛に送信された信号のみを検出する。また、各ＥＣＵ２の不正信号判定部５３は、信号検出部５２により検出された信号が送信先として一部のＥＣＵ２のみを指定する通信停止指令である場合は、当該信号を不正な信号であると判定する。
【００３０】
さらに、各ＥＣＵ２の不正信号報知部５４は、不正信号判定部５３により不正な信号の受信が判定されると、ユーザ等に対して報知を行うとともに、ゲートウェイ５に対しても報知を行う。すなわち、通信停止指令を受信したＥＣＵ２のＩＤを含む報知信号をゲートウェイ５に送信する。各ＥＣＵ２の不正信号報知部５４から送信された報知信号の内容は、ゲートウェイ５の記憶部５１に記憶される。
【００３１】
ゲートウェイ５の信号無効化部５５は、各ＥＣＵ２から報知信号を受信すると、通信停止指令を受信したＥＣＵ２のＩＤを送信元とする信号を遮断する。この場合は、ゲートウェイ５を簡易な構成とすることができる。
【００３２】
図４は、予め記憶されたプログラムに従い、不正信号処理装置１００により実行される処理の一例を示すフローチャートである。このフローチャートに示す処理は、例えば、車両１が起動されて車載通信網に電源が供給されると開始され、所定周期で繰り返される。
【００３３】
まず、ステップＳ１で、信号検出部５２での処理により信号を検出したか否かを判定する。ステップＳ１は肯定されるまで繰り返される。ステップＳ１で肯定されるとステップＳ２に進み、不正信号判定部５３での処理により、ステップＳ１で検出された信号が通信停止指令であるか否かを判定する。ステップＳ２で肯定されるとステップＳ３に進み、否定されると処理を終了する。
【００３４】
ステップＳ３では、ステップＳ１で検出された信号の送信先が一部のＥＣＵ２であるか否かを判定する。ステップＳ３で肯定されると、ステップＳ４に進み、ステップＳ１で検出された信号を不正信号であると判定する。ステップＳ３で否定されると処理を終了する。次いで、ステップＳ５で、不正信号報知部５４での処理により、各種報知を行う。
【００３５】
すなわち、不正信号処理装置１００では、各種信号に含まれるＩＤに基づいて不正な信号であるか否かを判定するため、簡易な構成で車載通信網に入力される不正な信号を判定（検出）することができる。
【００３６】
図５は、予め記憶されたプログラムに従い、図２または図３の信号無効化部５５により実行される処理の一例を示すフローチャートである。このフローチャートに示す処理も図４の処理と同様に、例えば、車両１が起動されて車載通信網に電源が供給されると開始され、所定周期で繰り返される。
【００３７】
まず、ステップＳ１０で、信号無効化部５５での処理により信号を検出したか否かを判定する。ステップＳ１０は肯定されるまで繰り返される。ステップＳ１０で肯定されるとステップＳ２に進み、ステップＳ１０で検出された信号がなりすまし信号であるか否かを判定する。すなわち、記憶部５１に記憶された、通信停止指令を受信したＥＣＵ２のＩＤを送信元とする信号であるか否かを判定する。
【００３８】
ステップＳ１１で肯定されると、ステップＳ１２に進み、ステップＳ１０で検出された信号を遮断する。一方、ステップＳ１１で否定されると、ステップＳ１３に進み、ステップＳ１０で検出された信号を中継する。これにより、ゲートウェイ５によるなりすまし信号の中継を禁止することができる。
【００３９】
本実施形態に係る不正信号処理装置１００の主要な動作についてより具体的に説明する。車両１には、駐車中に不正な外部機器（例えば図１の不正な外部機器６０ｂ）が装着されたものとする。ユーザが車両１を始動すると、車載通信網に電源が供給され、不正な外部機器６０ｂが特定のＥＣＵ２に対して通信停止を指令する信号を出力する。
【００４０】
ゲートウェイ５（図１、図２）は、一部のＥＣＵ２に対して通信停止を指令する信号を検出すると、車両１のインストルメントパネルに異常を知らせる警告メッセージを表示する（図４のステップＳ１〜Ｓ６）。その後、ゲートウェイ５は、なりすまし信号を検出して遮断する（図５のステップＳ１０〜Ｓ１２）。
【００４１】
これにより、車載通信網に不正な信号が入力されたことを判定（検出）することができる。また、警告メッセージを見た車両１のユーザが販売店等で専門の技術者による車両１の点検を受けることで、不正な外部機器６０ｂが複雑な車載通信網に装着された場合でも早期に発見し、対処することができる。さらに、ゲートウェイ５によりなりすまし信号が遮断されるため、不正な外部機器６０ｂから各ＥＣＵ２への攻撃を阻止することができる。
【００４２】
本実施形態によれば以下のような作用効果を奏することができる。
（１）不正信号処理装置１００は、車両１に搭載され、車載通信網を介して互いに通信可能に接続された複数のＥＣＵ２と、車載通信網を介して入力された信号を検出する信号検出部５２と、信号検出部５２により検出された信号が複数のＥＣＵ２のうちの一部のＥＣＵ２に対して通信停止を指令する信号である場合、信号検出部５２により検出された信号が不正な信号であると判定する不正信号判定部５３と、不正信号判定部５３により、信号検出部５２により検出された信号が不正な信号であると判定されると、異常を報知する不正信号報知部５４とを備える（図１〜図３）。
【００４３】
すなわち、各種信号の送信先および内容に基づいて不正な信号であるか否かを判定するため、車載通信網に入力される不正な信号を判定（検出）することができる。
【００４４】
（２）不正信号処理装置１００は、不正信号判定部５３により不正な信号であると判定された信号において通信停止が指令されたＥＣＵ２から入力されたことを示す別の信号が車載通信網に入力されると、その信号を無効化する信号無効化部５５をさらに備える（図２、図３）。これにより、車載通信網に入力されたなりすまし信号が各ＥＣＵ２に送信されることを防止することができる。
【００４５】
（３）不正信号処理装置１００は、不正信号判定部５３により不正な信号であると判定された信号の送信先であるＥＣＵ２のＩＤを記憶する記憶部５１をさらに備える（図２、図３）。信号無効化部５５は、記憶部５１に記憶された信号の送信先を送信元とする信号を無効化する。記憶部５１に記憶されたＩＤを参照することで、なりすまし通信を容易に検出することができる。
【００４６】
（４）不正信号処理装置１００は、複数のＥＣＵ２間で送受信される信号を中継するとともに、信号無効化部５５を構成するゲートウェイ５をさらに備える（図１〜図３）。ゲートウェイ５は、車載通信網に、不正信号判定部５３により不正な信号であると判定された信号において通信停止が指令されたＥＣＵ２から入力されたことを示す別の信号が入力されると、その信号の中継を禁止する。車載通信網全体の信号を監視するゲートウェイ５がなりすまし信号を遮断するため、不正信号処理装置１００全体を簡易な構成とすることができる。
【００４７】
（５）複数のＥＣＵ２は、車載通信網を介して診断機６および不正な外部機器６０ａ〜６０ｃを接続可能である（図１）。診断機６および不正な外部機器６０ａ〜６０ｃは、車載通信網を介して信号を入力する。診断機６を接続してＥＣＵ２の故障診断や必要なプログラムの更新等を可能とするとともに、不正な外部機器６０ａ〜６０ｃによる不正アクセスを検出し、ＥＣＵ２に対する攻撃を防止することができる。
【００４８】
上記実施形態は種々の形態に変更することができる。以下、変形例について説明する。上記実施形態では、信号検出部５２、不正信号判定部５３および不正信号報知部５４がゲートウェイ５（図２）または各ＥＣＵ２（図３）に設けられるようにしたが、通信網に入力された信号を検出する信号検出部、不正な信号を判定する不正信号判定部および報知を行う不正信号報知部の構成はこれに限らない。例えば、車載通信網全体の信号を監視する専用の機器に信号検出部５２、不正信号判定部５３および不正信号報知部５４を設けてもよい。
【００４９】
以上の説明はあくまで一例であり、本発明の特徴を損なわない限り、上述した実施形態および変形例により本発明が限定されるものではない。上記実施形態と変形例の１つまたは複数を任意に組み合わせることも可能であり、変形例同士を組み合わせることも可能である。
【符号の説明】
【００５０】
１  車両、２  ＥＣＵ、３  ＴＣＵ、４  ＤＬＣ、５  ゲートウェイ、６  診断機、５０
演算部、５１  記憶部、５２  信号検出部、５３  不正信号判定部、５４  不正信号報知部、５５  信号無効化部、６０ａ〜６０ｃ  不正な外部機器、１００  不正信号処理装置
【図１】
2020092326.tif 000003
【図２】
2020092326.tif 000004
【図３】
2020092326.tif 000005
【図４】
2020092326.tif 000006
【図５】
2020092326.tif 000007