(57)【要約】【課題】車両内のネットワークに不正な電子制御装置が接続された場合に、その不正接続を検出し得る車両用認証装置を提供する。【解決手段】認証装置１は、生成時期が到来したときに識別情報を生成する生成部と、生成部によって識別情報が生成されることに応じて、生成された識別情報をＥＣＵ２０に送信する送信部と、生成部によって識別情報が生成されることに応じて、生成された識別情報を登録する登録部と、所定の車両動作開始条件が成立した場合に登録部に登録された識別情報を反映した反映情報がＥＣＵ２０に記憶されているか否かを確認する所定の確認処理を行い、この確認処理の結果に基づいてＥＣＵ２０が正規の装置であるか否かを判定する判定部とを備える。【選択図】図１
2018030464.tif 000002
【特許請求の範囲】
【請求項１】
所定の生成時期が到来したときに識別情報を生成する生成部と、
前記生成部によって前記識別情報が生成されることに応じて、生成された前記識別情報を電子制御装置に送信する送信部と、
前記生成部によって前記識別情報が生成されることに応じて、生成された前記識別情報を登録する登録部と、
所定の車両動作開始条件が成立した場合に、前記登録部に登録された前記識別情報を反映した反映情報が前記電子制御装置に記憶されているか否かを確認する所定の確認処理を行い、前記確認処理の結果に基づいて前記電子制御装置が正規の装置であるか否かを判定する判定部と、
を有する車両用認証装置。
【請求項２】
前記生成部は、車両が動作する毎に前記識別情報を生成し、
前記送信部は、前記生成部によって前記識別情報が生成される毎に、生成された前記識別情報を前記電子制御装置に送信し、
前記登録部は、前記生成部によって前記識別情報が生成される毎に、生成された前記識別情報を登録し、
前記判定部は、前記車両動作開始条件が成立する毎に前記確認処理を行い、前記電子制御装置が正規の装置であるか否かを判定する請求項１記載の車両用認証装置。
【請求項３】
前記生成部は、所定の車両動作終了条件が成立する毎に、前記車両動作終了条件が成立してから次に前記車両動作開始条件が成立するまでの間に前記識別情報を生成し、
前記送信部は、前記生成部によって前記識別情報が生成された後、次に前記車両動作開始条件が成立するまでの間に前記識別情報を前記電子制御装置に送信し、
前記登録部は、前記生成部によって前記識別情報が生成された後、次に前記車両動作開始条件が成立するまでの間に前記識別情報を登録する請求項１又は請求項２に記載の車両用認証装置。
【請求項４】
前記判定部によって前記電子制御装置が正規の装置でないと判定された場合に外部への報知を行う報知部を有する請求項１から請求項３のいずれか一項に記載の車両用認証装置。
【請求項５】
前記生成部は、複数の前記電子制御装置に与える前記識別情報をそれぞれ生成し、
前記送信部は、前記生成部によって生成された各々の前記識別情報を各々の前記電子制御装置に送信し、
前記登録部は、前記生成部によって生成された各々の前記識別情報を登録し、
前記判定部は、前記登録部に登録された各々の前記識別情報と複数の前記電子制御装置に記憶された情報とを照合する前記確認処理を行い、複数の前記電子制御装置の中に不正装置が含まれるか否かを判定する請求項１から請求項４のいずれか一項に記載の車両用認証装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両用認証装置に関するものである。
【背景技術】
【０００２】
特許文献１で開示される車載システムは、電子制御装置（ＥＣＵ）と通信装置とを備えており、通信装置は、インターネットプロトコルを用いて車両外の外部装置と無線通信可能とされている。そして、電子制御装置と通信装置とが車載ネットワークを介して接続されており、電子制御装置内の一部が認証装置（車両用認証装置）として機能している。認証装置は、状態判定処理で車両の状態がセキュリティ確保状態に該当すると判定した場合には、識別情報取得処理で取得した装置識別子をメモリに登録し、セキュリティ確保状態に該当しないと判定した場合には、装置識別子をメモリに登録しない。更に、認証装置は、登録処理で、識別情報取得処理で取得した装置識別子がメモリに登録されていると判定した場合に、その装置識別子で特定される外部装置と電子制御装置（ＥＣＵ）との間での情報のやり取りを許可し、登録されていないと判定したことをもとに情報のやり取りを禁止する。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１３−１９３５９８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１で開示される上述の車両用認証装置は、車載システムと外部装置との間でインターネットプロトコルを用いて通信を行う場合に車両のセキュリティを確保することを課題としている。しかし、この車両用認証装置は、外部からの不正通信に対処することを目的とする技術であり、車載ネットワーク内で発生する内部からの不正通信には対応できないという問題がある。例えば、何らかの不正作業によって車両内に不正な電子制御装置が接続されてしまった場合に、この不正な電子制御装置による不正制御（なりすまし通信など）を防ぐことができない。
【０００５】
本発明は、本発明は上述した事情に基づいてなされたものであり、車両内のネットワークに不正な電子制御装置が接続された場合に、その不正接続を検出し得る車両用認証装置を提供することを目的とするものである。
【課題を解決するための手段】
【０００６】
本発明の一例である車両用認証装置は、
所定の生成時期が到来したときに識別情報を生成する生成部と、
前記生成部によって前記識別情報が生成されることに応じて、生成された前記識別情報を電子制御装置に送信する送信部と、
前記生成部によって前記識別情報が生成されることに応じて、生成された前記識別情報を登録する登録部と、
所定の車両動作開始条件が成立した場合に、前記登録部に登録された前記識別情報を反映した反映情報が前記電子制御装置に記憶されているか否かを確認する所定の確認処理を行い、前記確認処理の結果に基づいて前記電子制御装置が正規の装置であるか否かを判定する判定部と、
を有する。
【発明の効果】
【０００７】
この車両用認証装置は、所定の生成時期が到来したときに識別情報を生成する生成部と、生成部によって識別情報が生成されることに応じて、生成された識別情報を電子制御装置に送信する送信部と、生成部によって識別情報が生成されることに応じて、生成された識別情報を登録する登録部とを有する。この構成によれば、所定の生成時期の到来に応じて識別情報を生成し、登録部と電子制御装置に割り当てることができる。そして、所定の車両動作開始条件が成立した場合には、登録部に登録された識別情報を反映した反映情報が電子制御装置に記憶されているか否かを確認する所定の確認処理を行い、確認結果に基づいて電子制御装置が正規の装置であるか否かを判定することができる。つまり、判定対象となる電子制御装置が後から不正に接続されたものである場合、この電子制御装置には識別情報を反映した反映情報が記憶されていないため、登録部に登録された識別情報を反映した反映情報が電子制御装置に記憶されているか否かを確認する確認処理を行えば、電子制御装置が不正接続されたものであるか否かをより正確に判定することができる。
【図面の簡単な説明】
【０００８】
【図１】図１は、実施例１の車両用認証装置を備えた車載システムを概略的に示すブック図である。
【図２】図２は、実施例１の車両用認証装置で行われるＩＤの割り当て処理を例示するフローチャートである。
【図３】図３は、実施例１の車両用認証装置で行われる認証処理を例示するフローチャートである。
【図４】図４は、ＩＤの割り当て処理により各ＥＣＵに割り当てられるＩＤが更新されたことを示す説明図である。
【図５】図５は、認証装置及び各ＥＣＵで行われるＣＡＮ通信のデータフレームを概念的に示す説明図である。
【図６】図６（Ａ）は、各ＥＣＵに正規のＩＤが割り当てられているときに各ＥＣＵのメッセージに含まれるＩＤを説明する説明図であり、図６（Ｂ）は、不正なＥＣＵが接続されているときに各ＥＣＵのメッセージに含まれるＩＤを説明する説明図である。
【発明を実施するための形態】
【０００９】
ここで、発明の望ましい例を示す。
生成部は、車両が動作する毎に識別情報を生成するように機能し得る。送信部は、生成部によって識別情報が生成される毎に、生成された識別情報を電子制御装置に送信するように機能し得る。登録部は、生成部によって識別情報が生成される毎に、生成された識別情報を登録するように機能し得る。判定部は、車両動作開始条件が成立する毎に確認処理を行い、電子制御装置が正規の装置であるか否かを判定するように機能し得る。
【００１０】
このように構成された車両用認証装置は、車両が動作する毎に識別情報を生成することができ、車両が動作する毎に新たな識別情報を登録部及び電子制御装置に割り当てることができる。そして、車両動作毎に確認処理を行い、電子制御装置が正規の装置であるか否かを判定することができる。よって、同じ識別情報が長期間使用されることに起因する識別情報の漏洩リスクを低減することができ、より信頼性の高い判定が可能となる。
【００１１】
生成部は、所定の車両動作終了条件が成立する毎に、車両動作終了条件が成立してから次に車両動作開始条件が成立するまでの間に識別情報を生成するように機能し得る。送信部は、生成部によって識別情報が生成された後、次に車両動作開始条件が成立するまでの間に識別情報を電子制御装置に送信するように機能し得る。登録部は、生成部によって識別情報が生成された後、次に車両動作開始条件が成立するまでの間に識別情報を登録するように機能し得る。
【００１２】
このように、車両動作終了条件が成立してから次に車両動作開始条件が成立するまでの間に識別情報を生成し、この生成に応じて、次に車両動作開始条件が成立するまでの間に生成情報の登録及び電子制御装置に対する割り当てを行うようにすれば、車両動作への影響が比較的少ない時期にこれらの処理を行うことができる。また、車両において不正な装置が新規に接続されるとしたら、その時期は、オーナ不在の駐車時など、車両動作が終了してから次に車両動作が開始されるまでの期間である可能性が高い。よって、車両動作終了条件の成立後に新規の識別情報の生成及び割り当てを行っておけば、次に車両動作開始条件が成立するまでの間に不正な装置が接続されたとしても、新規に割り当てられた識別情報に基づき、不正な機器が接続されていることをより確実に特定することができる。
【００１３】
車両用認証装置は、判定部によって電子制御装置が正規の装置でないと判定された場合に外部への報知を行う報知部を有していてもよい。
【００１４】
このように構成された車両用認証装置は、不正な電子制御装置が接続された場合にその旨を外部に知らしめることができる。
【００１５】
生成部は、複数の電子制御装置に与える識別情報をそれぞれ生成し得る。送信部は、生成部によって生成された各々の識別情報を各々の電子制御装置に送信し得る。登録部は、生成部によって生成された各々の識別情報を登録し得る。判定部は、登録部に登録された各々の識別情報と複数の電子制御装置に記憶された情報とを照合するように確認処理を行い、複数の電子制御装置の中に不正装置が含まれるか否かを判定するようにしてもよい。
【００１６】
このように、複数の電子制御装置のそれぞれに個別に識別情報を割り当てることで、いずれかの電子制御装置が不正装置に置き換わった場合にその装置を具体的に特定可能となる。
【００１７】
＜実施例１＞
以下、本発明を具体化した実施例１について説明する。
図１で示す車載通信システム１００は、車両用認証装置１（以下、認証装置１とも称する）と、複数の電子制御装置２０（以下、ＥＣＵ（Electronic Control Unit）２０ともいう）とを備える。認証装置１及び電子制御装置２０は車両に搭載されるものであり、これらは通信線１０によって接続されており、例えばＣＡＮ（Controller Area Network）などの通信プロトコルに準拠した車載ネットワーク１０２を構成している。なお、図１には、認証装置１と通信し得るＥＣＵ２０として、２つのＥＣＵ２０Ａ，２０Ｂを例示しているが、これら以外にも多数のＥＣＵが認証装置１と通信し得る構成で接続されている。
【００１８】
認証装置１は、制御部２、記録部４、通信部６などを備えており、例えば車載ネットワーク１０２におけるゲートウェイＥＣＵとして構成され、ゲートウェイＥＣＵとしての公知の基本機能を備えている。
【００１９】
制御部２は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等の演算処理装置を用いて構成されている。制御部２は、様々な処理や演算を行う機能を有し、例えば記録部４又は図示しないＲＯＭ（Read Only Memory）等に記憶されたプログラムを読み出して実行することにより、図２、図３に示す処理などの各種処理を行う。
【００２０】
記録部４は、例えば、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）又はフラッシュメモリ等のデータ書換可能な不揮発性のメモリ素子を用いて構成されている。この記録部４には、後述する図２の処理で生成されたＩＤ（identification）情報が記憶可能とされており、記録部４の記憶内容は少なくとも図２の処理の実行毎に更新され得る。
【００２１】
通信部６は、車載ネットワーク１０２を構成する通信線１０に接続された通信インタフェースとして構成され、例えばＣＡＮなどの通信規格による情報の送受信を行う。通信部６は、例えば、通信線１０で伝送される信号を監視することによって車載ネットワーク１０２の各ＥＣＵ２０（ＥＣＵ２０Ａ，２０Ｂなど）が送信した情報を受信し、受信した情報を制御部２に与える。また、通信部６は、制御部２から与えられた送信用の情報を信号として通信線１０へ出力することによって、この情報を通信線１０に接続されたＥＣＵ２０に送信する。
【００２２】
なお、図示はしていないが、認証装置１には、ＤＲＡＭ（Dynamic Random Access Memory）やＳＲＡＭ（Static Random Access Memory）等のメモリ素子で構成される送受信バッファが設けられており、各種情報を一時的に記憶し得る構成となっている。
【００２３】
また、認証装置１には、イグニッションスイッチがオンになったことを示すオン信号（以下、ＩＧオン信号ともいう）及びイグニッションスイッチがオフになったことを示すオフ信号（以下、ＩＧオフ信号ともいう）が入力され得る。具体的には、車載通信システム１００を搭載する車両に設けられた図示しないイグニッションスイッチがオン状態となった場合に車両に搭載された外部装置（例えば電源ＥＣＵ）から認証装置１に対してＩＧオン信号が入力され、イグニッションスイッチがオフ状態となった場合には認証装置１に対してＩＧオフ信号が入力される。
【００２４】
車載通信システム１００に設けられた複数のＥＣＵ２０は、パワートレインＥＣＵ、ステアリング系ＥＣＵ，ブレーキ系ＥＣＵ，通信系ＥＣＵ、安全系ＥＣＵ，ボディ系ＥＣＵ、マルチメディア系ＥＣＵなど、公知の様々なＥＣＵとして構成され得る。各ＥＣＵ２０は、制御部２４、記録部２６、通信部２２などを備えて構成されている。図１の例では、第１のＥＣＵ２０Ａにおいて、制御部２４Ａ、記録部２６Ａ、通信部２２Ａが設けられており、第２のＥＣＵ２０Ｂにおいて、制御部２４Ｂ、記録部２６Ｂ、通信部２２Ｂが設けられている。
【００２５】
ＥＣＵ２０の制御部２４は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等の演算処理装置を用いて構成されている。記録部２６は、例えば、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）又はフラッシュメモリ等のデータ書換可能な不揮発性のメモリ素子を用いて構成されている。また、ＥＣＵ２０には、不揮発性メモリ以外のＲＯＭ、ＲＡＭなども設けられている。通信部２２は、通信線１０に接続された通信インタフェースとして構成され、例えばＣＡＮなどの通信規格による情報の送受信を行う。
【００２６】
次に、図２等を参照し、認証装置１の制御部２で行われるＩＤ（識別情報）の割り当て処理を説明する。認証装置１の制御部２は、認証装置１へのＩＧオン信号の入力及び認証装置１へのＩＧオフ信号の入力を監視しており、例えば、認証装置１に対してＩＧオフ信号が入力された場合に図２の処理を開始する。
【００２７】
制御部２は、図２で示す割り当て処理の実行に伴い、まず、ステップＳ１の処理を行い、新規のＩＤ（識別情報）を生成する。このステップＳ１の処理では、公知の乱数発生プログラムを用いて乱数を発生させ、ある数値範囲からランダムな数値（乱数）を取り出す。そして、その取り出した数値（乱数）そのもの、或いは、その数値（乱数）に所定の数値を組み合わせた数値を新規のＩＤ（識別情報）とする。制御部２は、このようなＩＤ（識別情報）の生成を通信対象となるＥＣＵ２０の数だけ行い、各ＥＣＵ２０に割り当てるＩＤ（識別情報）をそれぞれ個別に生成する。なお、ＩＤの生成の際に、いずれかのＥＣＵ２０に割り当てるＩＤ（識別情報）と他のＥＣＵ２０に割り当てるＩＤ（識別情報）が重複した場合、例えば片方のＥＣＵ２０に対するＩＤの生成を再度行うことで、各ＥＣＵ２０に割り当てるＩＤが重複しないようにする。
【００２８】
制御部２がこのようにＩＤ（識別情報）の生成処理を行うことで、ステップＳ１にて各ＥＣＵ２０に割り当てるＩＤが新たに生成される。なお、図４は、各ＥＣＵ２０に割り当てられていた旧ＩＤと新たに生成された新規ＩＤを概念的に示している。図４の例では、図２の処理の実行前にＥＣＵ２０Ａに対してＩＤ１１が割り当てられ、ＥＣＵ２０Ｂに対してＩＤ１２が割り当てられており、図２のステップＳ１の処理の実行により、ＥＣＵ２０Ａに対するＩＤとして新たにＩＤ２１が生成され、ＥＣＵ２０Ｂに対するＩＤとして新たにＩＤ２２が生成された状態を概念的に示している。なお、ＥＣＵ２０Ａ，２０Ｂ以外のＥＣＵに割り当てるＩＤも同様の方法で生成する。
【００２９】
本構成では、制御部２が生成部の一例に相当し、イグニッションスイッチがオン状態となって車両が動作する毎にＩＤ（識別情報）を生成する構成をなしている。具体的には、制御部２は、所定の生成時期が到来したとき（車両動作終了条件が成立してから次に車両動作開始条件が成立するまでの間）にＩＤ（識別情報）を生成するように機能する。
【００３０】
制御部２は、図２で示すステップＳ１の処理の後にステップＳ２の処理を行い、ステップＳ１の処理で新たに生成されたＩＤ（識別情報）を各ＥＣＵ２０に送信する。例えば、図２の処理の実行前にＩＤ１１が割り当てられていたＥＣＵ２０Ａに対し、直近のステップＳ１で生成されたＥＣＵ２０Ａの新規ＩＤ２１を送信する。同様に、図２の処理の実行前にＩＤ１２が割り当てられていたＥＣＵ２０Ｂに対し、直近のステップＳ１で生成されたＥＣＵ２０Ｂの新規ＩＤ２２を送信する。ＥＣＵ２０Ａ，２０Ｂ以外のＥＣＵに対しても同様の方法で新規ＩＤを送信する。
【００３１】
ステップＳ２の処理により各ＥＣＵ２０に対して新規ＩＤを送信する場合、例えばＩＤの更新を要求する所定の更新要求コマンド及び旧ＩＤとともに新規ＩＤを送信する。このように送信することで、旧ＩＤによって送信対象となるＥＣＵ２０が特定され、そのＥＣＵ２０は、更新要求コマンドと新たなＩＤを含んだデータを受信した場合、それまでに記憶されていた自身のＩＤを新たに受信したＩＤに書き換えることができる。
【００３２】
例えば、制御部２が、ステップＳ２の処理によりＥＣＵ２０Ａに対して旧ＩＤ（図４で示すＩＤ１１）と更新要求コマンドと新規ＩＤ（図４で示すＩＤ２１）とを含んだデータを送信した場合、ＥＣＵ２０Ａは、旧ＩＤによってそのデータを取得すべきデータとして把握し、受信することができる。そして、このデータを受信したＥＣＵ２０Ａは、更新要求コマンドに従い、それまでに記録部２６Ａに記憶されていた旧ＩＤ（図４で示すＩＤ１１）を記録部２６Ａから消去し、受信データに含まれる新規ＩＤ（図４で示すＩＤ２１）を記録部２６Ａに記憶するように自身のＩＤを更新することができる。同様に、制御部２が、ステップＳ２の処理によりＥＣＵ２０Ｂに対して旧ＩＤ（図４で示すＩＤ１２）と更新要求コマンドと新規ＩＤ（図４で示すＩＤ２２）とを含んだデータを送信した場合、ＥＣＵ２０Ｂは、旧ＩＤによってそのデータを取得すべきデータとして把握し、受信することができる。そして、このデータを受信したＥＣＵ２０Ｂは、更新要求コマンドに従い、それまでに記録部２６Ｂに記憶されていた旧ＩＤ（図４で示すＩＤ１２）を記録部２６Ｂから消去し、受信データに含まれる新規ＩＤ（図４で示すＩＤ２２）を記録部２６Ｂに記憶するように自身のＩＤを更新することができる。このようにして、ＥＣＵ２０の各記録部２６に記憶されたＩＤが更新される。なお、ここで示すＥＣＵ２０へのＩＤの割り当て方法はあくまで一例であり、生成された新規ＩＤを各ＥＣＵ２０に記憶させ得る方法であればこの方法に限定されない。
【００３３】
本構成では、制御部２が送信部の一例に相当し、ステップＳ１の処理にてＩＤ（識別情報）が生成されることに応じて、生成されたＩＤ（識別情報）をＥＣＵ２０（電子制御装置）に送信するように機能する。制御部２は、ステップＳ１の処理によってＩＤ（識別情報）が生成される毎に、生成されたＩＤ（識別情報）をＥＣＵ２０（電子制御装置）に送信するように機能しており、より具体的には、ステップＳ１の処理によってＩＤ（識別情報）が生成された後、次に車両動作開始条件が成立するまで（具体的には、次にＩＧオン信号が認証装置１に入力されるまで）の間にＩＤ（識別情報）をＥＣＵ２０（電子制御装置）に送信するように機能する。
【００３４】
制御部２は、図２で示すステップＳ２の処理の後にステップＳ３の処理を行い、各ＥＣＵ２０に送信した新規ＩＤを記録部４に記憶させるように登録処理を行う。この登録処理がなされることで、認証装置１には、各ＥＣＵ２０に記憶された新規ＩＤのデータがリストとして記憶されることになる。
【００３５】
本構成では、制御部２及び記録部４が登録部の一例に相当し、ステップＳ１の処理によってＩＤ（識別情報）が生成されることに応じて、生成されたＩＤ（識別情報）を認証装置１内に登録するように機能する。この登録部は、ステップＳ１の処理によってＩＤ（識別情報）が生成される毎に、生成されたＩＤ（識別情報）を登録するように機能し、具体的には、ステップＳ１の処理によってＩＤ（識別情報）が生成された後、次に車両動作開始条件が成立するまで（具体的には、次にＩＧオン信号が認証装置１に入力されるまで）の間にそのＩＤ（識別情報）を登録するように機能する。
【００３６】
次に、図３等を参照し、認証装置１の制御部２で行われる認証処理を説明する。認証装置１の制御部２は、例えば、認証装置１に対してＩＧオン信号が入力された場合に図３の処理を開始し、その後、図３の処理を所定の短時間毎に繰り返し行う。
【００３７】
認証装置１は、図３の処理の開始に伴い、ステップＳ１１においてＣＡＮ通信を開始又は継続する。認証装置１及びＥＣＵ２０は、ＣＡＮ通信を行う場合、公知のＣＡＮプロトコルに従って相互の通信を行う。例えば、ＥＣＵ２０が送信ノードとなる場合、ＥＣＵ２０は、ＣＡＮ通信において、図５のようなデータフレームを送信する。このデータフレームは、ＣＡＮ通信で用いられる公知のフレーム構造となっており、ＳＯＦ（Start Of Frame）の後に自身のＩＤ（上述の図２の処理によって割り当てられ、記録部に記録されたＩＤ）が付され、ＳＯＦの後のＩＤにより、送信ノードを識別することができるとともに、通信調停の優先順位を決定することができるようになっている。なお、ＩＤ以外のフレーム構造は公知であるので詳細は省略する。
【００３８】
制御部２は、図３で示すステップＳ１１でＣＡＮ通信を開始又は継続した後、ＣＡＮ通信の継続中に通信線１０（ＣＡＮ通信線）を介して送信されるメッセージを監視し、通信線１０に伝送されたメッセージが検出された場合にはステップＳ１２の判断を行う。制御部２は、ステップＳ１２において、検出されたメッセージに含まれるＩＤと、記録部４に記録されているＩＤ（直近のステップＳ３の処理で登録されたＩＤ（識別情報）のリスト）とを照合する。そして、検出されたメッセージのＩＤが記録部４に登録された正規のＩＤである場合（ステップＳ１２にてＮｏの判断の場合）、図３の認証処理を終了する。この場合、検出されたメッセージは正規のＥＣＵ２０から送信された正規のメッセージであるため、ＣＡＮプロトコルに従った通常の通信を継続させる。
【００３９】
一方、図３で示すステップＳ１２の判断において、制御部２が検出したメッセージ（通信線１０に伝送されたメッセージ）のＩＤが記録部４に登録されていない不正なＩＤであると判断した場合（ステップＳ１２にてＹｅｓ）、制御部２は、ステップＳ１３の処理を行い、そのメッセージを破棄する。具体的には、制御部２は、このメッセージ（不正ＩＤを含んだメッセージ）の受信に応じてステップＳ１３にてエラーフレームを送信する。これにより、通信線１０に接続されたＥＣＵ２０にエラーの発生を通知し、不正ＩＤを含んだメッセージを使用させないようにする。なお、ステップＳ１２の処理が「所定の確認処理」であり、記録部４（登録部）に登録されたＩＤ（識別情報）を反映した反映情報（具体的には、識別情報そのもの）がＥＣＵ２０（電子制御装置）に記憶されているか否かを確認する処理である。つまり、ＥＣＵ２０から送信されたメッセージのＩＤが記録部４に登録された正規のＩＤであれば記録部４に登録されたＩＤを反映した反映情報（具体的にはＩＤそのもの）がＥＣＵ２０に記憶されていることを特定できるため、ステップＳ１２では、このようなことを確認しているのである。
【００４０】
制御部２は、図３で示すステップＳ１３の処理の後、ステップＳ１４において報知処理を行う。ステップＳ１４の報知処理は、不正装置が接続されていることを報知する処理であればよく、例えば、車両内に設けられたランプや表示器などの表示装置により当該異常（不正装置が接続されている異常）を示す所定表示（所定マークや所定メッセージなどの表示）を行う方法などが挙げられる。なお、異常の報知は、このようなユーザへの報知に限定されず、視覚的な報知にも限定されない。例えば、所定の車内装置への異常情報の送信などであってもよく、車外装置への異常情報の送信などであってもよい。或いは、音声による報知などを行ってもよい。
【００４１】
本構成では、制御部２が判定部の一例に相当し、所定の車両動作開始条件が成立した場合（例えば、ＩＧオン信号が発生して車両が始動した場合）に、登録部に登録されたＩＤ（識別情報）を反映した反映情報がＥＣＵ２０（電子制御装置）に記憶されているか否かを確認する所定の確認処理を行い、確認処理の結果に基づいてＥＣＵ２０（電子制御装置）が正規の装置であるか否かを判定するように機能する。具体的には、制御部２は、車両動作開始条件が成立する毎に確認処理を行い、ＥＣＵ２０（電子制御装置）が正規の装置であるか否かを判定するように機能する。
【００４２】
本構成では、制御部２が報知部の一例に相当し、判定部によってＥＣＵ２０（電子制御装置）が正規の装置でないと判定された場合に外部への報知を行うように機能する。
【００４３】
以上のように、本構成の認証装置１は、所定の生成時期が到来したときにＩＤ（識別情報）を生成する生成部と、生成部によってＩＤ（識別情報）が生成されることに応じて、生成されたＩＤ（識別情報）をＥＣＵ２０（電子制御装置）に送信する送信部と、生成部によってＩＤ（識別情報）が生成されることに応じて、生成されたＩＤ（識別情報）を登録する登録部とを有する。
【００４４】
この構成によれば、所定の生成時期の到来に応じてＩＤ（識別情報）を生成し、認証装置１の登録部及び各ＥＣＵ２０（電子制御装置）に割り当てることができる。そして、所定の車両動作開始条件が成立した場合には、判定部に相当する制御部２により、記録部４（登録部）に登録されたＩＤ（識別情報）を反映した反映情報（具体的には識別情報そのもの）がＥＣＵ２０に記憶されているか否かを確認する所定の確認処理を行い、確認結果に基づいてＥＣＵ２０が正規の装置であるか否かを判定することができる。つまり、判定対象となる電子制御装置が後から不正に接続されたものである場合、この電子制御装置には記録部４（登録部）に登録されたＩＤ（識別情報）を反映した反映情報が記憶されていないため、記録部４（登録部）に登録されたＩＤ（識別情報）を反映した反映情報が電子制御装置に記憶されているか否かを確認する確認処理を行えば、電子制御装置が不正接続されたものであるか否かをより正確に判定することができる。
【００４５】
例えば、図４のように各ＥＣＵ２０のＩＤ（識別情報）が更新され、その後、このように更新された正規のＥＣＵ２０が継続して接続され続ける場合、図６（Ａ）のように、各ＥＣＵ２０から送信されるメッセージのＩＤは各ＥＣＵ２０に記憶された正規のＩＤとなるため、いずれのメッセージの送信時においても図３で示すステップＳ１３でＹｅｓの判断はなされず、認証装置１は不正な電子制御装置が接続されていないことを確認することができる。これに対し、例えば図１で示すＥＣＵ２０Ｂが不正ＥＣＵに置換された場合、この不正ＥＣＵは正規のＩＤを知ることができないため、図６（Ｂ）のように、不正ＥＣＵから送信されるメッセージのＩＤは、記録部４に登録されていない不正ＩＤとなる。従って、この不正ＥＣＵからメッセージが送信されたときには、図３で示すステップＳ１３においてＹｅｓの判断がなされ、認証装置１は、不正ＥＣＵが接続されていることを特定することができるとともに、不正ＥＣＵからのメッセージに対して適切に対処することが可能となる。
【００４６】
生成部に相当する制御部２は、車両が動作する毎にＩＤ（識別情報）を生成するように機能し、送信部に相当する制御部２及び通信部６は、ＩＤ（識別情報）が生成される毎に、生成されたＩＤ（識別情報）をＥＣＵ２０（電子制御装置）に送信するように機能する。そして、登録部に相当する制御部２及び記録部４は、ＩＤ（識別情報）が生成される毎に、生成されたＩＤ（識別情報）を登録するように機能し、判定部に相当する制御部２は、車両動作開始条件が成立する毎に確認処理を行い、電子制御装置が正規の装置であるか否かを判定するように機能する。このように構成された車両用認証装置１は、車両が動作する毎にＩＤ（識別情報）を生成することができ、車両が動作する毎に新たなＩＤ（識別情報）を記録部４及びＥＣＵ２０（電子制御装置）に割り当てることができる。そして、車両動作毎に確認処理を行い、電子制御装置が正規の装置であるか否かを判定することができる。よって、同じＩＤ（識別情報）が長期間使用されることに起因するＩＤ（識別情報）の漏洩リスクを低減することができ、より信頼性の高い判定が可能となる。
【００４７】
生成部に相当する制御部２は、所定の車両動作終了条件が成立する毎に、車両動作終了条件が成立してから次に車両動作開始条件が成立するまでの間にＩＤ（識別情報）を生成するように機能する。送信部に相当する制御部２及び通信部６は、ＩＤ（識別情報）が生成された後、次に車両動作開始条件が成立するまでの間にＩＤ（識別情報）をＥＣＵ２０（電子制御装置）に送信するように機能し、登録部に相当する制御部２及び記録部４は、ＩＤ（識別情報）が生成された後、次に車両動作開始条件が成立するまでの間にＩＤ（識別情報）を登録するように機能する。このように、車両動作終了条件が成立してから次に車両動作開始条件が成立するまでの間にＩＤ（識別情報）を生成し、この生成に応じて、次に車両動作開始条件が成立するまでの間にＩＤ（識別情報）の登録及びＥＣＵ２０（電子制御装置）に対する割り当てを行うようにすれば、車両動作への影響が比較的少ない時期にこれらの処理を行うことができる。また、車両において不正な装置が新規に接続されるとしたら、その時期は、オーナ不在の駐車時など、車両動作が終了してから次に車両動作が開始されるまでの期間である可能性が高い。よって、車両動作終了条件の成立後に新規のＩＤ（識別情報）の生成及び割り当てを行っておけば、次に車両動作開始条件が成立するまでの間に不正な装置が接続されたとしても、新規に割り当てられたＩＤ（識別情報）に基づき、不正な機器が接続されていることをより確実に特定することができる。
【００４８】
本構成の車両用認証装置１は、判定部に相当する制御部２によって電子制御装置が正規の装置でないと判定された場合に外部への報知を行う報知部を有する。このように構成された車両用認証装置１は、不正な電子制御装置が接続された場合にその旨を外部に知らしめることができる。
【００４９】
本構成では、生成部に相当する制御部２が、図２のステップＳ１の処理で複数のＥＣＵ２０（電子制御装置）に与えるＩＤ（識別情報）をそれぞれ生成し、送信部に相当する制御部２及び通信部６は、図２のステップＳ２の処理により、生成された各々のＩＤ（識別情報）を各々のＥＣＵ２０（電子制御装置）に送信し得る。そして、登録部に相当する制御部２及び記録部４は、図２のステップＳ３の処理により、生成された各々のＩＤ（識別情報）を登録し得る。判定部に相当する制御部２は、図３のステップＳ１２の処理により、記録部４（登録部）に登録された各々のＩＤ（識別情報）と複数のＥＣＵ２０（電子制御装置）に記憶された情報とを照合（具体的には、各々のＥＣＵ２０からのメッセージに含まれるＩＤを記録部４のリストと照合）するように確認処理を行い、複数の電子制御装置の中に不正装置が含まれるか否かを判定するように機能する。このように、複数のＥＣＵ２０（電子制御装置）のそれぞれに個別にＩＤ（識別情報）を割り当てることで、いずれかのＥＣＵ２０（電子制御装置）が不正装置に置き換わった場合にその装置を具体的に特定可能となる。
【００５０】
＜他の実施例＞
本発明は上記記述及び図面によって説明した実施例に限定されるものではなく、例えば次のような実施例も本発明の技術的範囲に含まれる。
【００５１】
実施例１では、認証装置１及び複数のＥＣＵ２０によって車載ネットワーク１０２が構成された例を示したが、この例に限定されない。本明細書のいずれの例においても、車載ネットワーク１０２には、認証装置１やＥＣＵ２０以外の装置が接続されていてもよい。
【００５２】
実施例１では、車両の動作毎に識別情報を生成する例として、制御部２に入力される信号がＩＧオン信号からＩＧオフ信号への切り替わる毎、ＩＧオフ信号の入力後に識別情報（ＩＤ）を生成する例を示したが、この例に限定されない。本明細書のいずれの例においても、ＩＧオン信号の発生から次のＩＧオン信号の発生までの間に識別情報を生成し、更新できればよい。例えば、制御部２にＩＧオン信号が入力されたとき（即ち、車両の始動時）を「所定の生成時期が到来したとき」とし、制御部２にＩＧオン信号が入力される毎に識別情報（ＩＤ）を生成し、これを認証装置１に登録するとともに各ＥＣＵ２０に割り当ててもよい。この場合、識別情報（ＩＤ）の認証装置１への登録及び各ＥＣＵ２０への送信は車両の動作中（イグニッションスイッチがオン状態の期間中）に行ってもよく、車両の動作終了後（イグニッションスイッチがオフになった後）、速やかに行ってもよい。
【００５３】
実施例１では、車両が１回動作する毎（イグニッションスイッチが１回オン動作する毎）に識別情報（ＩＤ）を生成すると共に認証装置１に登録し且つ各ＥＣＵ２０に割り当てる例を示したが、この例に限定されない。本明細書のいずれの例においても、例えば、車両が所定の複数回動作する毎（イグニッションスイッチが所定の複数回オン動作する毎）に所定のタイミングで識別情報（ＩＤ）を生成し、それを認証装置１に登録するとともに各ＥＣＵ２０に割り当てるようにしてもよい。
【００５４】
実施例１では、複数のＥＣＵ２０のそれぞれに割り当てる識別情報を個別に生成する例を示したが、この例に限定されない。本明細書のいずれの例においても、図２で示すＳ１の処理において、各ＥＣＵ２０に割り当てられるＩＤとは別の情報として共通の識別情報を生成し、この識別情報を認証装置１に接続される全てのＥＣＵ２０に記憶させるようにしてもよい。そして、認証装置１は、識別情報を備えたＥＣＵ２０からのメッセージのみを有効とし、識別情報を備えていないＥＣＵからメッセージがあった場合には、そのメッセージを破棄したり、実施例１と同様の報知処理を行うようにしてもよい。
【００５５】
実施例１では、「識別情報を反映した反映情報」の例として識別情報そのものを例示したが、反映情報は、識別情報に基づいて得られる情報であればよく、具体的には、反映情報は、識別情報に対して所定の加工を施して得られる情報などであってもよい。例えば、識別情報の一部であってもよく、識別情報を暗号化した情報などであってもよい。反映情報として識別情報の一部がＥＣＵ２０に割り当てられる場合、例えば、ステップＳ１２では、記録部４に記録された識別情報の一部の情報がＥＣＵ２０からのメッセージに含まれるか否かを判断すればよい。或いは、ステップＳ２において、識別情報を所定の鍵情報に基づいて暗号化した暗号情報を反映情報としてＥＣＵ２０に送信し、これをＥＣＵ２０に割り当てるような方法を用いることもでき、この場合、ステップＳ２又はステップＳ３などのタイミングでその暗号情報を解読するための鍵情報を記録部４に記録しておき、ステップＳ１２では、ＥＣＵ２０からのメッセージに含まれる暗号情報を鍵情報によって解読し、記録部４に記録された識別情報と一致するか否かを判断すればよい。
【００５６】
実施例１では、確認処理の例として、ＥＣＵ２０から送信されたメッセージのＩＤが記録部４に登録された正規のＩＤであるか否かを判定する処理を例示したが、登録部に登録された識別情報を反映した反映情報が電子制御装置に記憶されているか否かを確認できる方法であればよい。例えば、認証装置１からＥＣＵ２０に対して前回の車両動作終了時に新規登録された情報を要求し、ＥＣＵ２０から返信された情報と登録部に登録された識別情報とを照合して判定するような方法であってもよい。
【００５７】
実施例１では、所定の車両動作開始条件の例として、「ＩＧオン信号が認証装置１に入力されたこと」を例示したが、車両の動作開始が特定又は推定できる条件であればよい。例えば、「アクセサリスイッチがオン状態になること」などであってもよく、「スタータやエンジンなどの所定の機器の動作が開始すること」などであってもよく、「所定の回路にバッテリ電源が投入されること」などであってもよく、キーレス信号などの外部信号が車両によって検知されたことなどであってもよい。所定の車両動作終了条件も、「ＩＧオフ信号が認証装置１に入力されたこと」に限定されず、車両の動作終了が特定又は推定できる条件であればよい。例えば、「スタータやエンジンなどの所定の機器の動作が停止したこと」などであってもよく、「所定の回路にバッテリ電源が供給されなくなったこと」などであってもよく、「キーレス信号が車両によって検知されなくなったこと」などであってもよい。
【符号の説明】
【００５８】
１…車両用認証装置
２…制御部（生成部、送信部、登録部、判定部、報知部）
４…記録部（登録部）
６…通信部（送信部）
２０…ＥＣＵ（電子制御装置）
【図１】
2018030464.tif 000003
【図２】
2018030464.tif 000004
【図３】
2018030464.tif 000005
【図４】
2018030464.tif 000006
【図５】
2018030464.tif 000007
【図６】
2018030464.tif 000008