(57)【要約】【課題】外部デバイスからの不正な接続要求があったとしても、車両が不正な接続要求を許可してしまう可能性を低減させる。【解決手段】電子制御ユニット１０は、外部デバイスからの接続要求を検出する検出手段７１と、接続要求に応答して、外部デバイスの接続認証処理を開始するための開始条件が満たされているか否かを判定する判定手段７２と、開始条件が満たされているときに、外部デバイスと電子制御ユニット１０との間の通信状態をリンクアップの状態に制御する制御手段７３と、外部デバイスと電子制御ユニット１０との間の通信状態がリンクアップの状態にあるときに、外部デバイスからの接続要求の可否を決定するための接続認証処理を開始する認証手段７４と、を備える。【選択図】図２
2019129495.tif 000002
【特許請求の範囲】
【請求項１】
車両に搭載される電子制御ユニットであって、
外部デバイスからの接続要求を検出する検出手段と、
前記接続要求に応答して、前記外部デバイスの接続認証処理を開始するための開始条件が満たされているか否かを判定する判定手段と、
前記開始条件が満たされているときに、前記外部デバイスと前記電子制御ユニットとの間の通信状態をリンクアップの状態に制御する制御手段と、
前記通信状態がリンクアップの状態にあるときに、前記外部デバイスからの接続要求の可否を決定するための接続認証処理を開始する認証手段と、
を備える電子制御ユニット。
【請求項２】
請求項１に記載の電子制御ユニットであって、
前記開始条件は、
前記車両が自動運転を行っていないこと、
前記車両の走行速度が閾値速度未満であること、
前記車両の車載ネットワークを流れる、前記車両の運転制御に関わる信号の安全性要求レベルが閾値レベル未満であること、
前記外部デバイスからの接続要求時に前記開始条件が満たされていない場合には、前記接続要求時から一定期間が経過していること、
のうち何れかの条件を満たすことである、電子制御ユニット。
【請求項３】
請求項１又は２に記載の電子制御ユニットであって、
前記外部デバイスは、診断ツールであり、
前記車両は、コネクタと、アクティベーションラインとを備えており、
前記診断ツールが前記コネクタに接続されたときに、前記アクティベーションラインは、ノンアクティブからアクティブに遷移するように構成されており、
前記検出手段は、前記アクティベーションラインがノンアクティブからアクティブに遷移したときに、前記診断ツールから接続要求を受信したものと判断する、電子制御ユニット。
【請求項４】
請求項１乃至請求項３のうち何れか１項に記載の電子制御ユニットであって、
前記開始条件が満たされていると判定されるまで、前記制御手段は、前記外部デバイスと前記電子制御ユニットとの間の通信状態をリンクダウンの状態に制御する、電子制御ユニット。
【請求項５】
外部デバイスから車載ネットワークへの接続要求を検出するステップと、
前記接続要求に応答して、前記外部デバイスの接続認証処理を開始するための開始条件が満たされているか否かを判定するステップと、
前記開始条件が満たされているときに、前記外部デバイスと前記車載ネットワークとの間の通信状態をリンクアップの状態に制御するステップと、
前記通信状態がリンクアップの状態にあるときに、前記外部デバイスからの接続要求の可否を決定するための接続認証処理を開始するステップと、
を含む、接続認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電子制御ユニット及び接続認証方法に関わる。
【背景技術】
【０００２】
車両には、パワートレインシステム（エンジン、トランスミッション、アンチロックブレーキシステムなど）、ボディ関連部品（ドア、シート、ミラーなど）、マルチメディアシステム（ナビゲーションシステム、オーディオシステムなど）、又は、各種センサ類などの制御を行うための複数の電子制御ユニットが搭載されている。複数の電子制御ユニットは、車載ネットワーク（コントローラエリアネットワーク又はイーサネットネットワークなど）を通じて接続されており、互いに情報を共有しながら車両の各部の制御を行う。電子制御ユニット或いはその配下にある車載部品の故障診断に関わる情報を収集したり、或いは電子制御ユニットに搭載されているフラッシュメモリのプログラムを書き換えたりするための保守管理作業をサポートするためのツールとして、診断ツールが用いられている。特開２０１６−４８８４８号公報は、診断ツールによる車載ネットワークへの接続を許可するための条件として、（a）診断ツールから送信される通信フレームに含まれる認証コードが、電子制御ユニットに記憶されている認証コードに一致すること、（b）診断ツールから送信される通信フレームに含まれる認証コードと接続目的コードとの対応関係が、電子制御ユニットに記憶されている認証コードと接続目的コードとの対応関係に一致すること、及び（c）診断ツールから送信される通信フレームに含まれる接続目的コードが、電子制御ユニットが対応可能な接続目的コードであることの全ての条件が満たされることを提案している。このような条件が満たされる場合には、正規の作業者（例えば、ディーラー）の診断ツールからの接続要求であると推定できるため、非正規の作業者の診断ツールからの接続要求を遮断することができる。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１６−４８８４８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特開２０１６−４８８４８号公報に記載の接続認証方法では、アクティベーションラインがノンアクティブからアクティブに遷移すると、診断ツールと電子制御ユニットとの間の通信状態は、リンクアップの状態となる。このため、診断ツールから多量の通信フレームが送信された場合には、車載電子制御ユニットは、ハングアップの状態に陥る可能性がある。特に、車両が自動運転しているときは、車載電子制御ユニットのハードウェア資源は、相当程度消費されているため、このような状況の下では、診断ツールからの不正な接続要求を防ぐのが困難となる。また、安全性要求レベルの高い信号が車載ネットワークを流れている最中に、或いは、車両が走行している最中に、診断ツールから車載ネットワークへの不正な接続要求があると、接続を許可してしまう。
【０００５】
そこで、本発明は、このような問題を解決し、車載電子制御ユニットの資源が消費されている最中に外部デバイスからの不正な接続要求があったとしても、そのような不正な接続要求を許可する可能性を低減させることができる電子制御ユニット及び接続認証方法を提案することを課題とする。
【課題を解決するための手段】
【０００６】
上述の課題を解決するため、本発明に関わる電子制御ユニットは、外部デバイスからの接続要求を検出する検出手段と、接続要求に応答して、外部デバイスの接続認証処理を開始するための開始条件が満たされているか否かを判定する判定手段と、開始条件が満たされているときに、外部デバイスと電子制御ユニットとの間の通信状態をリンクアップの状態に制御する制御手段と、通信状態がリンクアップの状態にあるときに、外部デバイスからの接続要求の可否を決定するための接続認証処理を開始する認証手段と、を備える。ここで、開始条件は、例えば、（i）車両が自動運転を行っていないこと、（ii）車両の走行速度が閾値速度未満であること、且つ（iii）車両の車載ネットワークを流れる、車両の運転制御に関わる信号の安全性要求レベルが閾値レベル未満であることの全ての条件を満たすことである。
【０００７】
本発明に関わる接続認証方法は、外部デバイスから車載ネットワークへの接続要求を検出するステップと、接続要求に応答して、外部デバイスの接続認証処理を開始するための開始条件が満たされているか否かを判定するステップと、開始条件が満たされているときに、外部デバイスと車載ネットワークとの間の通信状態をリンクアップの状態に制御するステップと、通信状態がリンクアップの状態にあるときに、外部デバイスからの接続要求の可否を決定するための接続認証処理を開始するステップと、を含む。
【発明の効果】
【０００８】
本発明に関わる電子制御ユニットによれば、車載電子制御ユニットの資源が消費されている最中に外部デバイスからの不正な接続要求があったとしても、そのような不正な接続要求を許可する可能性を低減させることができる。
【図面の簡単な説明】
【０００９】
【図１】本発明の実施形態に関わる車載ネットワークの構成を示す説明図である。
【図２】本発明の実施形態に関わる電子制御ユニットの機能ブロック図である。
【図３】本発明の実施形態に関わる接続認証方法の処理の流れを示すフローチャートである。
【発明を実施するための形態】
【００１０】
以下、図面を参照しながら本発明の実施形態について説明する。ここで、同一符号は同一の構成要素を示すものとし、重複する説明は省略する。
図１は、本発明の実施形態に関わる車載ネットワーク１００の構成を示す説明図である。車載通信ネットワーク１００は、車両２００に搭載される複数の電子制御ユニット３１〜３８を接続する複数の集線装置２１，２２を備えている。集線装置２１，２２と電子制御ユニット３１〜３８との間を接続する通信線として、例えば、１００Ｂａｓｅ−Ｔ１の規格に準じるイーサネットケーブルを用いることができ、集線装置２１，２２として、例えば、ブリッジング機能を有するイーサネットスイッチを用いることができる。電子制御ユニット３１〜３８は、例えば、車両のパワートレインシステム（エンジン、トランスミッション、アンチロックブレーキシステムなど）、ボディ関連部品（ドア、シート、ミラーなど）、マルチメディアシステム（ナビゲーションシステム、オーディオシステムなど）、又は各種センサ類などの制御を行う。
【００１１】
車両２００は、外部デバイス４０を接続するためのコネクタ５０を備えている。コネクタ５０は、例えば、ＩＳＯ（国際標準化機構）１５０３１−３の規格、又はＳＡＥ（合衆国自動車技術協会）Ｊ１９６２の規格に準じている。外部デバイス４０は、例えば、車両２００を保守管理するためのダイアグ通信を行う診断ツールである。ダイアグ通信は、診断ツールから電子制御ユニット３１〜３８に自己診断情報の送信を要求したり、或いはその要求に応答して電子制御ユニット３１〜３８から診断ツールに自己診断情報を送信したりするための通信を含む。自己診断情報は、電子制御ユニット３１〜３８或いはその配下にある部品（例えば、センサやアクチュエータなど）の故障診断に関わる情報を意味する。また、例えば、ダイアグ通信は、電子制御ユニット３１〜３８に搭載されているフラッシュメモリのプログラムを書き換えるための通信を含む。
【００１２】
車両２００は、外部デバイス４０との間で通信を行うための通信線６１と、外部デバイス４０からの接続要求を検出するアクティベーションライン６２を備えている。アクティベーションライン６２は、ＩＳＯ１３４００の規格に準じるように設計されており、外部デバイス４０がコネクタ５０に接続されたときに、アクティベーションライン６２は、ノンアクティブからアクティブに遷移する。通信線６１として、例えば、１００Ｂａｓｅ−ＴＸの規格に準じるイーサネットケーブルを用いることができる。
【００１３】
集線装置２１は、外部デバイス４０からの接続要求の可否を決定するための接続認証処理を行う電子制御ユニット１０を備えている。電子制御ユニット１０は、通信線６１及びアクティベーションライン６２に接続する通信インタフェース（例えば、イーサネットトランシーバ、イーサネットコントローラなど）１１と、プロセッサ１２と、記憶装置１３とを備えるコンピュータシステムである。記憶装置１３には、接続認証処理を実行するためのコマンドが記述されたコンピュータプログラム（以下、「接続認証プログラム」と呼ぶ）が格納されている。プロセッサ１２は、この接続認証プログラムを解釈及び実行することにより、接続認証処理を行う。
【００１４】
図２は、本発明の実施形態に関わる電子制御ユニット１０の機能ブロック図である。プロセッサ１２が接続認証プログラムを解釈及び実行することにより、各種の手段（検出手段７１、判定手段７２、制御手段７３、認証手段７４、記憶手段７５）としての機能が実現される。これらの各種の手段は、電子制御ユニット１０のハードウェア資源と、記憶装置１３に保存されている接続認証プログラムとの協働により実現される機能であり、その機能の詳細については後述する。接続認証プログラムは、例えば、メインプログラムの中で呼び出されて実行される複数のソフトウェアモジュールを備えてもよい。このようなソフトウェアモジュールは、それぞれ、上述の各種の手段の機能を実現する処理を実行するためにモジュール化されたサブプログラムである。上述の各種の手段の機能と同様の機能を、専用のハードウェア資源（例えば、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）など）やファームウェアを用いて実現してもよい。なお、記憶装置１３は、例えば、半導体メモリ又はディスク媒体などのコンピュータ読み取り可能な記録媒体である。
【００１５】
検出手段７１は、アクティベーションライン６２がノンアクティブからアクティブに遷移したときに、外部デバイス４０から電子制御ユニット１０への接続要求を受信したものと判断する。判定手段７２は、外部デバイス４０からの接続要求に応答して、外部デバイス４０の接続認証処理を開始するための開始条件が満たされているか否かを判定する。開始条件は、外部デバイス４０から不正な接続要求があったとしても、車両２００が不正な接続要求を許可してしまう可能性を排除して、外部デバイス４０の接続認証処理を開始するための条件を意味する。開始条件は、例えば、（i）車両２００が自動運転を行っていないこと、（ii）車両２００の走行速度が閾値速度（例えば、５ｋｍ／ｈ）未満であること、且つ（iii）車載ネットワーク１００を流れる、車両２００の運転制御に関わる信号の安全性要求レベルが閾値レベル未満であることの何れかの条件を満たすことである。安全性要求レベルとして、例えば、ＩＳＯ２６２６２に規定されているＡＳＩＬ（Automotive Safety Integrity Level）を用いることができる。閾値レベルとして、例えば、重度又は生命を脅かす障害のあるリスクに相当するＡＳＩＬと同一のレベルを用いることができる。開始条件が満たされていると判定されるまで、制御手段７３は、外部デバイス４０と電子制御ユニット１０との間の通信状態をリンクダウンの状態に制御する。開始条件が満たされていると判定されると、制御手段７３は、外部デバイス４０と電子制御ユニット１０との間の通信状態をリンクアップの状態に制御する。認証手段７４は、外部デバイス４０と電子制御ユニット１０との間の通信状態がリンクアップの状態にあるときに、外部デバイス４０からの接続要求の可否を決定するための接続認証処理を開始する。この接続認証処理では、認証手段７４は、公知の方法（例えば、特開２０１６−４８８４８号公報に記載の方法）を用いて、正規の作業者（例えば、ディーラー）の診断ツールからの接続要求であるか否かを認証してもよい。
【００１６】
なお、車両２００が自動運転を行っているか否かは、自動運転制御に関わる電子制御ユニットから送信されるフラグ情報（自動運転中であることを示すフラグ情報）に基づいて判断することができる。車両２００の走行速度が閾値速度を超えているか否かは、車速の測定に関わる電子制御ユニットから送信されるフラグ情報（車両２００の走行速度が閾値を超えたことを示すフラグ情報）に基づいて判断することができる。車載ネットワーク１００を流れる、車両２００の運転制御に関わる信号の安全性要求レベルが閾値レベルを超えているか否かは、安全性要求レベルが閾値レベルを超える信号の処理に関わる電子制御ユニットから送信されるフラグ情報（車両２００の運転制御に関わる信号の安全性要求レベルが閾値レベルを超えていることを示すフラグ情報）に基づいて判断することができる。これらのフラグ情報は、車載ネットワーク１００を通じて各電子制御ユニットから定期的に送信されている。記憶手段７５は、これらのフラグ情報の履歴を時系列的に記憶する。記憶手段７５は、アクティベーションライン６２の状態遷移（ノンアクティブからアクティブへの遷移、及びアクティブからノンアクティブへの遷移）の履歴を時系列的に記憶する。記憶手段７５は、外部デバイス４０からの接続要求時に開始条件が満たされていたか否かを示す情報の履歴を時系列的に記憶する。外部デバイス４０の接続認証処理を開始するための開始条件として、上述の（i）〜（iii）の条件に加えて、（iv）外部デバイス４０からの接続要求時に開始条件が満たされていない場合には、その接続要求時から一定期間が経過していることを追加してもよい。判定手段７２は、記憶手段７５に記憶されている時系列的な各種の情報から、条件（iv）が満たされているか否かを判定することができる。
【００１７】
図３は、本発明の実施形態に関わる接続認証方法の処理の流れを示すフローチャートである。図３に示す各処理の概要は、図２の説明と重複するため、ここでは、簡単な説明に留めるものとする。
【００１８】
ステップ３０１において、電子制御ユニット１０は、外部デバイス４０から車載ネットワーク１００への接続要求を受信したか否かを判定する。電子制御ユニット１０は、アクティベーションライン６２がノンアクティブからアクティブに遷移したときに、外部デバイス４０から電子制御ユニット１０への接続要求を受信したものと判定する。
【００１９】
ステップ３０２において、電子制御ユニット１０は、外部デバイス４０の接続認証処理を開始するための開始条件が満たされているか否かを判定する。電子制御ユニット１０は、車載通信ネットワーク１００を流れるフラグ情報を基に、上述の条件（i）〜（iii）の何れかが満たされているか否か、或いは上述の条件（i）〜（iv）の何れかが満たされているか否かを判定する。
【００２０】
ステップ３０３において、電子制御ユニット１０は、外部デバイス４０と電子制御ユニット１００との間の通信状態をリンクダウンからリンクアップの状態に制御する。なお、開始条件が満たされていると判定されるまで、外部デバイス４０と電子制御ユニット１０との間の通信状態は、リンクダウンの状態にある。
【００２１】
ステップ３０４において、電子制御ユニット１０は、外部デバイス４０からの接続要求の可否を決定するための接続認証処理を開始する。接続認証処理として、公知の方法を用いることができる。
【００２２】
ステップ３０５において、電子制御ユニット１０は、通信線６１を通じて、外部デバイス４０との間で通信（例えば、ダイアグ通信）を行う。
【００２３】
ステップ３０６において、電子制御ユニット１０は、外部デバイス４０との間の通信が終了したか否かを判定する。
【００２４】
ステップ３０７において、電子制御ユニット１０は、外部デバイス４０と電子制御ユニット１０との間の通信状態をリンクダウンの状態に制御する。
【００２５】
本発明の実施形態によれば、外部デバイス４０からの接続要求に応答して（ステップ３０１；ＹＥＳ）、外部デバイス４０の接続認証処理を開始するための開始条件が満たされているか否かを判定し（ステップ３０２）、開始条件が満たされているときに（ステップ３０２；ＹＥＳ）、外部デバイス４０と電子制御ユニット１０との間の通信状態をリンクアップの状態に制御して（ステップ３０３）、外部デバイス４０からの接続要求の可否を決定するための接続認証処理を開始することにより（ステップ３０４）、外部デバイス４０からの不正な接続要求があったとしても、車両２００が不正な接続要求を許可してしまう可能性を低減させることができる。
【００２６】
なお、上述の説明では、外部デバイス４０からの接続要求の可否を決定するための接続認証処理を行う電子制御ユニット１０が集線装置２１に組み込まれている場合を例示したが、集線装置２１に接続する複数の電子制御ユニット３１〜３４のうち何れかの電子制御ユニット（又は集線装置２２に接続する複数の電子制御ユニット３５〜３８のうち何れかの電子制御ユニット）が、外部デバイス４０からの接続要求の可否を決定するための接続認証処理を行ってもよい。
【００２７】
以上説明した実施形態は、本発明の理解を容易にするためのものであり、本発明を限定して解釈するためのものではない。本発明は、その趣旨を逸脱することなく、変更又は改良され得るととともに、本発明には、その等価物も含まれる。
【符号の説明】
【００２８】
１０…電子制御ユニット  １１…通信インタフェース  １２…プロセッサ  １３…記憶装置  ２１，２２…集線装置  ３１〜３８…電子制御ユニット  ４０…外部デバイス  ５０…コネクタ  ６１…通信線  ６２…アクティベーションライン  ７１…検出手段  ７２…判定手段  ７３…制御手段  ７４…認証手段  ７５…記憶手段  １００…車載ネットワーク  ２００…車両
【図１】
2019129495.tif 000003
【図２】
2019129495.tif 000004
【図３】
2019129495.tif 000005