(57)【要約】【課題】車載ネットワークにおいて、中継装置を介さない通信経路においても、不正な外部装置による通信を制限しつつ、正当な外部装置による通信を許可することができるようにする。【解決手段】電子制御装置は、車載ネットワークに接続され、前記車載ネットワークにおける所定の通信を制限する電子制御装置であって、鍵装置の接続を受け付ける鍵接続部と、前記鍵接続部に接続された前記鍵装置を検証する鍵検証部と、前記鍵検証部による前記鍵装置の検証に成功した場合、前記車載ネットワークにおける前記所定の通信を許可する機能制御部と、を有する。【選択図】図３
2019080234.tif 000002
【特許請求の範囲】
【請求項１】
車載ネットワークに接続され、前記車載ネットワークにおける所定の通信を制限する電子制御装置であって、
鍵装置の接続を受け付ける鍵接続部と、
前記鍵接続部に接続された前記鍵装置を検証する鍵検証部と、
前記鍵検証部による前記鍵装置の検証に成功した場合、前記車載ネットワークにおける前記所定の通信を許可する機能制御部と、
を有する、電子制御装置。
【請求項２】
前記鍵装置は、前記車載ネットワークに接続される外部装置による通信を許可する、請求項１に記載の電子制御装置。
【請求項３】
前記鍵装置は、前記車載ネットワークに接続される外部装置による通信のうち、前記鍵装置に対応する前記所定の通信を許可する、請求項１に記載の電子制御装置。
【請求項４】
前記所定の通信はＸＣＰ通信を含む、請求項１又は３に記載の電子制御装置。
【請求項５】
前記車載ネットワークに送信される通信フレームを受信する受信部と、
前記通信フレームに、前記所定の通信に対応する識別コードが含まれる場合、前記通信フレームにエラーを発生させる発生部と、
を有し、
前記機能制御部は、前記鍵検証部による前記鍵装置の検証に成功したとき、前記発生部による前記エラーの発生を中止させる、請求項１乃至４のいずれか一項に記載の電子制御装置。
【請求項６】
前記受信部が受信した前記通信フレームに含まれる識別コードと、前記所定の通信に対応する識別コードとを比較し、比較結果を前記発生部に出力する比較部を有し、
前記機能制御部は、前記鍵検証部による前記鍵装置の検証に成功したとき、前記比較部による識別コードの比較を無効にする、請求項５に記載の電子制御装置。
【請求項７】
前記鍵装置は、前記比較部による判定をバイパスするバイパス回路を含み、
前記機能制御部は、前記鍵検証部による前記鍵装置の検証に成功したとき、前記バイパス回路を有効にする、請求項６に記載の電子制御装置。
【請求項８】
前記所定の通信に対応する識別コードを記憶する識別コード記憶部を有し、
前記機能制御部は、前記鍵検証部による前記鍵装置の検証に成功したとき、前記識別コード記憶部に記憶した前記識別コードのうち、少なくとも一部を無効にする、請求項５に記載の電子制御装置。
【請求項９】
車載ネットワークに接続され、前記車載ネットワークにおける所定の通信を制限する電子制御装置が実行する通信管理方法であって、
前記電子制御装置が、
前記電子制御装置が備える鍵接続部に鍵装置が接続されている場合、前記鍵接続部に接続された前記鍵装置を検証するステップと、
前記鍵接続部に接続された前記鍵装置の検証に成功した場合、前記車載ネットワークにおける前記所定の通信を許可するステップと、
を実行する、通信管理方法。
【請求項１０】
車載ネットワークに接続され、前記車載ネットワークにおける所定の通信を制限する電子制御装置に、
前記電子制御装置が備える鍵接続部に鍵装置が接続されている場合、前記鍵接続部に接続された前記鍵装置を検証するステップと、
前記鍵接続部に接続された前記鍵装置の検証に成功した場合、前記車載ネットワークにおける前記所定の通信を許可するステップと、
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電子制御装置、通信管理方法、及びプログラムに関する。
【背景技術】
【０００２】
自動車等の車両に搭載される車載ネットワークにおいて、車載ネットワークに接続される外部装置による通信を制限する技術が知られている。
【０００３】
例えば、外部装置と車載ＬＡＮ（Local Area Network）との通信を中継する中継装置を有し、認証システムが外部装置を認証したときだけ、外部装置と車載ＬＡＮとの間の通信を許可するように中継装置を制御するシステムが知られている（例えば、特許文献１参照）。
【０００４】
また、複数のモジュール間で識別コード付きのメッセージを通信するネットワークにおいて、予め記憶した識別コードを含む通信フレームを検出したときに、ネットワークに対してエラーコードを出力する技術が知られている（例えば、特許文献２参照）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】国際公開第２０１３／０３８４７８号
【特許文献２】特開２００２−９４５３５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献１に開示された技術では、中継装置によって、外部装置に対する通信許可が行われるので、中継装置を介さない通信経路では外部装置に対する通信を制限することができないという問題がある。このようなシステムでは、例えば、不正な外部装置が、中継装置ではなく、車載ＬＡＮに直接接続された場合等に、不正な外部装置による通信を制限することができない場合がある。
【０００７】
一方、特許文献２に開示された技術では、予め記憶した識別コードを含む通信フレームに対してエラーコードが出力されるので、中継装置を介さない通信経路においても、当該識別コードを用いて通信を行う不正な外部装置による通信を制限することができる。ただし、この方法では、当該識別コードを用いて通信を行う正当な外部装置による通信に対しても、通信が制限されてしまうという問題がある。
【０００８】
本発明の実施の形態は、上記の問題点に鑑みてなされたものであって、車載ネットワークにおいて、中継装置を介さない通信経路においても、不正な外部装置による通信を制限しつつ、正当な外部装置による通信を許可することができるようにする。
【課題を解決するための手段】
【０００９】
上記の課題を解決するため、本発明の一実施形態に係る電子制御装置は、車載ネットワークに接続され、前記車載ネットワークにおける所定の通信を制限する電子制御装置であって、鍵装置の接続を受け付ける鍵接続部と、前記鍵接続部に接続された前記鍵装置を検証する鍵検証部と、前記鍵検証部による前記鍵装置の検証に成功した場合、前記車載ネットワークにおける前記所定の通信を許可する機能制御部と、を有する。
【００１０】
電子制御装置は、鍵装置の接続を受け付けし、鍵装置の検証に成功した場合、車載ネットワークにおける所定の通信を許可する。従って、電子制御装置は、不正な利用者が車載ネットワークに接続する不正な外部装置による通信を制限しつつ、鍵装置を有する正当な利用者による所定の通信を許可することができるようになる。
【００１１】
上述の実施形態において、前記鍵装置は、前記車載ネットワークに接続される外部装置による通信を許可しても良い。
【００１２】
これにより、電子制御装置は、鍵装置を有する正当な利用者が、車載ネットワークに接続する正当な外部装置による通信を許可することができる。
【００１３】
上述の実施形態において、前記鍵装置は、前記車載ネットワークに接続される外部装置による通信のうち、前記鍵装置に対応する前記所定の通信を許可しても良い。
【００１４】
これにより、電子制御装置は、鍵装置を有する正当な利用者が、車載ネットワークに接続する正当な外部装置による通信のうち、所定の通信を許可することができる。
【００１５】
上述の実施形態において、前記所定の通信はＸＣＰ通信を含むものであって良い。
【００１６】
これにより、電子制御装置は、鍵装置を有する正当な利用者が、車載ネットワークに接続する正当な外部装置による通信のうち、ＸＣＰ通信を許可することができる。
【００１７】
上述の実施形態において、電子制御装置は、前記車載ネットワークに送信される通信フレームを受信する受信部と、前記通信フレームに、前記所定の通信に対応する識別コードが含まれる場合、前記通信フレームにエラーを発生させる発生部と、を有し、前記機能制御部は、前記鍵検証部による前記鍵装置の検証に成功したとき、前記発生部による前記エラーの発生を中止させても良い。
【００１８】
これにより、電子制御装置は、所定の通信に対応する識別コードを含む通信フレームに対してエラーを発生させることにより、所定の通信を制限することができる。また、電子制御装置は、正当な鍵装置が接続されたとき、所定の通信に対応する識別コードを含む通信フレームに対するエラーの発生を中止させることにより、所定の通信の制限を解除することができる。
【００１９】
上述の実施形態において、電子制御装置は、前記受信部が受信した前記通信フレームに含まれる識別コードと、前記所定の通信に対応する識別コードとを比較し、比較結果を前記発生部に出力する比較部を有し、前記機能制御部は、前記鍵検証部による前記鍵装置の検証に成功したとき、前記比較部による識別コードの比較を無効にしても良い。
【００２０】
これにより、電子制御装置は、比較部の機能を有効、又は無効に制御することにより、所定の通信に対する制限を容易に解除することができる。
【００２１】
本発明の他の実施形態では、前記鍵装置は、前記比較部による判定をバイパスするバイパス回路を含み、前記機能制御部は、前記鍵検証部による前記鍵装置の検証に成功したとき、前記バイパス回路を有効にする。
【００２２】
これにより、電子制御装置は、論理回路を用いて、比較部による識別コードの比較を無効にすることができる。
【００２３】
上述の各実施形態において、電子制御装置は、前記所定の通信に対応する識別コードを記憶する識別コード記憶部を有し、前記機能制御部は、前記鍵検証部による前記鍵装置の検証に成功したとき、前記識別コード記憶部に記憶した前記識別コードのうち、少なくとも一部を無効にしても良い。
【００２４】
これにより、電子制御装置は、正当な鍵装置が接続されたとき、識別コード記憶部に記憶した識別コードのうち、少なくとも一部の識別コードを用いて通信を行う、所定の通信を許可することができる。
【００２５】
本発明の他の実施形態は、通信管理方法、又はプログラムによって実現される。
【発明の効果】
【００２６】
本発明の実施の形態によれば、車載ネットワークにおいて、中継装置を介さない通信経路においても、不正な外部装置による通信を制限しつつ、正当な外部装置による通信を許可することができるようになる。
【図面の簡単な説明】
【００２７】
【図１】一実施形態に係る車載通信システムのシステム構成の例を示す図である。
【図２】第１の実施形態に係る通信管理装置のハードウェア構成の例を示す図である。
【図３】第１の実施形態に係る通信管理装置の機能構成の例を示す図である。
【図４】第１の実施形態に係る通信管理装置の処理の流れを示すフローチャートである。
【図５】第１の実施形態に係る識別コードについて説明するための図である。
【図６】第２の実施形態に係る通信管理装置、及び鍵装置の機能構成の例を示す図である。
【図７】第２の実施形態に係る通信管理装置の処理の流れを示すフローチャートである。
【図８】第２の実施形態に係る識別コードについて説明するための図である。
【発明を実施するための形態】
【００２８】
以下、図面を参照して発明を実施するための形態について説明する。
【００２９】
＜システム構成＞
図１は、一実施形態に係る車載通信システムのシステム構成の例を示す図である。車載通信システム１は、例えば、自動車等の車両１０に搭載される。また、車載通信システム１は、車載ネットワーク１３０に接続された、通信管理装置１００、及び１つ以上のＥＣＵ（Electric Control Unit）１２０−１〜１２０−３を有する。なお、以下の説明の中で、１つ以上のＥＣＵ１２０−１〜１２０−３のうち、任意のＥＣＵを示す場合、「ＥＣＵ１２０」を用いる。また、図１に示すＥＣＵ１２０の数は一例であり、ＥＣＵ１２０の数は他の数であって良い。
【００３０】
ＥＣＵ１２０は、車両１０に搭載され、例えば、車両制御系、ボディー系、マルチメディア系等の予め定められた機能を制御する電子制御装置である。ＥＣＵ１２０は、例えば、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）、フラッシュＲＯＭ（Read Only Memory）、及び通信インタフェース等を含み、所定のプログラムを実行することにより、予め定められた機能を制御する。また、ＥＣＵ１２０は、例えば、ＣＡＮ（Controller Area Network）、ＸＣＰ（Universal Calibration Protocol）等の所定の通信プロトコルを用いて、車載ネットワーク１３０に接続された他の装置と通信可能である。
【００３１】
例えば、ＥＣＵ１２０は、ＸＣＰのスレーブ（以下、ＸＣＰスレーブと呼ぶ）として機能し、車載ネットワーク１３０に接続される外部ツール１４０等のＸＣＰのマスター（以下、ＸＣＰマスターと呼ぶ）とＸＣＰ通信が可能である。なお、外部ツール１４０は、外部装置の一例である。
【００３２】
ＸＣＰは、車載ネットワーク１３０に接続する外部ツール１４０等を用いて、車両１０に搭載される１つ以上のＥＣＵ１２０にアクセスし、測定やキャリブレーションを行うための測定／キャリブレーション用のプロトコルの一例である。ＸＣＰでは、マスター・スレーブ通信方式が採用されており、ＸＣＰマスターが送信するコマンドに対して、コマンドを受信したＸＣＰスレーブが、コマンドに対するレスポンスを送信することにより、通信が行われる。
【００３３】
ＸＣＰは、車載ネットワーク１３０において、ＸＣＰマスターからＸＣＰスレーブへの送信であること、及びＸＣＰスレーブからＸＣＰマスターへの送信であることを区別することができる様々な通信システムで用いることができる。例えば、ＣＡＮでは、ＸＣＰマスターからＸＣＰスレーブへの送信であることを示すＣＡＮのＩＤと、ＸＣＰスレーブからＸＣＰマスターへの送信であることを示すＣＡＮのＩＤとを割り当てることにより、ＸＣＰ通信が可能である。
【００３４】
また、ＥＣＵ１２０は、例えば、他のＥＣＵと、例えば、ＣＡＮ等の車載ネットワーク用の通信プロトコルを用いて通信可能である。なお、ＥＣＵ１２０は、ＣＡＮ以外の通信プロトコルを用いて、他のＥＣＵと通信するものであっても良い。
【００３５】
通信管理装置（電子制御装置）１００は、車載ネットワーク１３０に接続され、車載ネットワーク１３０における所定の通信を制限する電子制御装置である。例えば、通信管理装置１００は、車載ネットワーク１３０に接続される不正な外部ツール１４０による通信を制限する機能を有している。
【００３６】
例えば、通信管理装置１００は、車載ネットワーク１３０において、ＸＣＰマスターからＸＣＰスレーブへの送信であることを示すＣＡＮのＩＤを含む通信フレームを検知すると、当該通信フレーム内においてエラーフレームを発生させる。これにより、通信管理装置１００は、車載ネットワーク１３０に接続された不正な外部ツール１４０が、ＸＣＰプロトコルを用いて、ＥＣＵ１２０と通信することを制限することができる。
【００３７】
ただし、これだけでは、車載ネットワーク１３０に、ＸＣＰプロトコルを用いて通信を行う正当な外部ツール１４０が接続されたときであっても、通信が制限されてしまうという問題がある。
【００３８】
そこで、本実施形態に係る通信管理装置１００は、鍵装置１１０の接続を受け付ける鍵接続部を有しており、鍵接続部に正当な利用者が有する鍵装置１１０が接続された場合、車載ネットワーク１３０における所定の通信（例えば、ＸＣＰ通信）を許可する。これにより、通信管理装置１００は、不正な利用者が車載ネットワーク１３０に接続する不正な外部ツール１４０に対しては通信の制限を維持しつつ、鍵装置１１０を有する正当なユーザが、車載ネットワーク１３０に正当な外部ツール１４０を接続する際には、通信を許可することができる。
【００３９】
このように、本実施形態に係る鍵装置１１０は、車載ネットワーク１３０に接続される外部ツール１４０による通信を許可する機能を有している。また、鍵装置１１０は、車載ネットワーク１３０に接続される外部ツール１４０による通信のうち、鍵装置１１０に対応する所定の通信（例えば、ＸＣＰ通信）を許可する機能を有していても良い。なお、鍵装置１１０は、例えば、所定の情報を記憶した電子的な鍵であっても良いし、物理的な形状により解錠を行う鍵等であっても良い。ここでは、鍵装置１１０が、所定の情報を記憶した電子的な鍵であるものとして、以下の説明を行う。
【００４０】
［第１の実施形態］
＜ハードウェア構成＞
続いて、第１の実施形態に係る通信管理装置１００のハードウェア構成について説明する。図２は、第１の実施形態に係る通信管理装置のハードウェア構成の例を示す図である。通信管理装置１００は、例えば、ＣＰＵ２０１、ＲＡＭ２０２、フラッシュＲＯＭ２０３、接続端子２０４、通信Ｉ／Ｆ２０５、ロジック回路２０６、及びシステムバス２０７等を有する。
【００４１】
ＣＰＵ２０１は、フラッシュＲＯＭ２０３等に格納されたプログラムやデータ等をＲＡＭ２０２上に読み出し、処理を実行することで、通信管理装置１００の各機能を実現する演算装置である。ＲＡＭ２０２は、ＣＰＵ２０１のワークエリア等として用いられる揮発性のメモリである。フラッシュＲＯＭ２０３は、例えば、ＯＳ（Operating System）、プログラム、及び各種データ等を記憶する不揮発性のメモリである。
【００４２】
接続端子２０４は、通信管理装置１００に鍵装置１１０を接続するためのインタフェースである。例えば、鍵装置１１０が、認証情報を記憶した記憶装置である場合、接続端子２０４は、鍵装置１１０を通信管理装置１００に電気的に接続するためのコネクタ等である。また、鍵装置１１０が、物理的な形状に基づいて解錠を行う鍵である場合には、接続端子２０４は、鍵装置１１０の形状に対応する構造を有する。
【００４３】
通信Ｉ／Ｆ２０５は、通信管理装置１００を車載ネットワーク１３０に接続する、例えば、ＣＡＮトランシーバ等の通信インタフェースである。
【００４４】
ロジック回路２０６は、通信管理装置１００が実現する各機能の少なくとも一部を実現するための論理回路であり、例えば、専用の集積回路や、プログラミング可能な集積回路等によって実現される。通信管理装置１００が実現する各機能は、ＣＰＵ２０１によって実行されるプログラムによって実現されるものであっても良いし、ロジック回路２０６によって実現されるものであっても良い。システムバス２０７は、上記の各構成要素に共通に接続され、例えば、アドレス信号、データ信号、各種制御信号等を伝達する。
【００４５】
＜機能構成＞
続いて、通信管理装置１００の機能構成について説明する。図３は、第１の実施形態に係る通信管理装置の機能構成の例を示す図である。
【００４６】
通信管理装置１００は、例えば、識別コード記憶部３０１、識別コード検出部３０２、比較部３０３、エラーフレーム発生部３０４、通信部３０５、鍵接続部３０６、鍵検証部３０７、及び機能制御部３０８を有する。
【００４７】
識別コード記憶部（記憶部）３０１は、例えば、図２のフラッシュＲＯＭ、又はロジック回路２０６に含まれるレジスタ等によって実現され、通信管理装置１００が通信を制限する所定の通信に対応する識別コードを記憶している。例えば、通信管理装置１００が、ＸＣＰ通信を制限する場合、識別コード記憶部３０１は、前述した、ＸＣＰマスターからＸＣＰスレーブへの送信であることを示す識別コードを記憶している。
【００４８】
識別コード検出部３０２は、例えば、図２のＣＰＵ２０１で実行されるプログラム、又はロジック回路２０６等によって実現され、通信部３０５が受信する通信フレームに含まれる識別コードを検出する。例えば、通信部３０５がＣＡＮトランシーバである場合、識別コード検出部３０２は、通信フレームに含まれるＣＡＮのＩＤを検出する。
【００４９】
比較部３０３は、例えば、図２のＣＰＵ２０１で実行されるプログラム、又はロジック回路２０６によって実現される。比較部３０３は、識別コード検出部３０２が検出した識別コードと、識別コード記憶部３０１が記憶している識別コードとを比較し、比較結果をエラーフレーム発生部３０４に出力する。
【００５０】
ここで、比較部３０３が出力する比較結果が、２つの識別コードが一致したことを示す場合、通信部３０５が受信する通信フレームに、所定の通信に対応する識別コードが含まれていることを示している。一方、比較部３０３が出力する比較結果が、２つの識別コードが一致しないことを示す場合、通信部３０５が受信する通信フレームには、所定の通信に対応する識別コードが含まれていないことを示している。
【００５１】
エラーフレーム発生部３０４は、例えば、図２のＣＰＵ２０１で実行されるプログラム、又はロジック回路２０６等によって実現される。エラーフレーム発生部３０４は、比較部３０３から出力される比較結果が、通信部３０５が受信する通信フレームに、所定の通信に対応する識別コードが含まれていることを示す場合、当該通信フレームにエラーを発生させる。例えば、通信部３０５がＣＡＮトランシーバである場合、エラーフレーム発生部３０４は、当該通信フレーム内において、６ビットのドミナントで構成されるエラーフラグを含むエラーフレームを送信する。
【００５２】
一方、エラーフレーム発生部３０４は、比較部３０３から出力される比較結果が、通信部３０５が受信する通信フレームに、所定の通信に対応する識別コードが含まれていないことを示す場合、当該通信フレームにエラーを発生させない。
【００５３】
通信部（受信部）３０５は、例えば、図２に示すＣＰＵ２０１で実行されるプログラム、及び通信Ｉ／Ｆ２０５等によって実現され、例えば、ＣＡＮ通信、ＸＣＰ通信等の所定の通信を実行する。例えば、通信部３０５は、車載ネットワーク１３０に送信される通信フレームを受信する受信部として機能する。
【００５４】
鍵接続部３０６は、例えば、図２の接続端子２０４によって実現され、通信管理装置１００への鍵装置１１０の接続を受け付ける。
【００５５】
鍵検証部３０７は、例えば、図２のＣＰＵ２０１で実行されるプログラム、又はロジック回路２０６等によって実現され、鍵接続部３０６に鍵装置１１０が接続されている場合、鍵接続部３０６に接続された鍵装置１１０が正当な鍵装置１１０であるかを検証する。
【００５６】
例えば、図３に示すように、鍵装置１１０が、認証情報を記憶する認証情報記憶部３１１を有する電子的な鍵である場合、鍵検証部３０７は、鍵装置１１０から、認証情報記憶部３１１に記憶された認証情報を取得する。
【００５７】
また、鍵検証部３０７は、登録済の鍵装置１１０の認証情報をフラッシュＲＯＭ２０３等に予め記憶しておき、鍵装置１１０から取得した認証情報が、フラッシュＲＯＭ２０３等に認証情報として記憶されている場合、鍵装置１１０の検証を成功させる。一方、鍵検証部３０７は、鍵装置１１０から取得した認証情報が、フラッシュＲＯＭ２０３等に認証情報として記憶されていない場合、鍵装置１１０の検証を失敗させる。
【００５８】
別の一例として、例えば、鍵装置１１０が、物理的な形状を利用して解錠を行う鍵である場合、鍵検証部３０７は、鍵装置１１０による解錠が成功したか否かにより、鍵装置１１０の検証を行うもの等であっても良い。
【００５９】
機能制御部３０８は、例えば、図２のＣＰＵ２０１で実行されるプログラム、又はロジック回路２０６等によって実現され、鍵検証部３０７による鍵装置１１０の検証に成功した場合、通信管理装置１００が通信を制限する所定の通信を許可する。例えば、機能制御部３０８は、鍵検証部３０７による鍵装置１１０の検証に成功した場合、エラーフレーム発生部３０４による、エラーの発生を中止させる。
【００６０】
機能制御部３０８が、エラーフレーム発生部３０４によるエラーの発生を中止させる方法としては、例えば、比較部３０３による識別コードの比較を無効にするものであっても良い。また、機能制御部３０８が、エラーフレーム発生部３０４によるエラーの発生を中止させる方法は、識別コード記憶部３０１に記憶した識別コードを無効にするものであっても良い。この場合、機能制御部３０８は、識別コード記憶部に記憶した識別コードのうち少なくとも１つを無効にするものであっても良い。
【００６１】
＜処理の流れ＞
続いて、図４、５を用いて、第１の実施形態に係る通信管理装置１００が実行する通信管理方法の流れについて説明する。
【００６２】
なお、ここでは、一例として、ＥＣＵ１２０、及び外部ツール１４０が送信する通信フレームには、図５（ａ）に示すように、通信の用途に応じて異なる識別コードが含まれているものとする。
【００６３】
例えば、ＥＣＵ１２０が、ブレーキ制御用の通信フレームを送信する場合、送信する通信フレームには識別コード「０ｘ１０」が含まれる。また、ＥＣＵ１２０が、サスペンション制御用の通信フレームを送信する場合、送信する通信フレームには識別コード「０ｘ２０」が含まれる。さらに、外部ツール１４０がＸＣＰ用の通信フレームを送信する場合、送信する通信フレームには識別コード「０ｘ３０」が含まれる。
【００６４】
また、ここでは、図５（ｂ）に示すように、通信フレーム５２０は、データ５２２の前に、識別コード５２１を有しているものとする。
【００６５】
さらに、ここでは、通信管理装置１００は、識別コード「０ｘ３０」を含む通信フレームを用いて通信が行われるＸＣＰ通信を制限するものとする。例えば、通信管理装置１００は、図５（ｂ）に示す通信フレーム５２０のように、識別コード５２１に「０ｘ３０」が含まれる場合、データ５２２内において、エラーフレームを送信することにより、通信フレームにエラーを発生させる。
【００６６】
図４は、第１の実施形態に係る通信管理装置の処理の流れを示すフローチャートである。
【００６７】
ステップＳ４０１において、通信管理装置１００の通信部３０５が、車載ネットワーク１３０に送信される通信フレームを受信すると、通信管理装置１００は、ステップＳ４０２以降の処理を実行する。
【００６８】
ステップＳ４０２において、通信管理装置１００の鍵検証部３０７は、鍵接続部３０６に鍵装置１１０が接続されているか否かを判断する。鍵装置１１０が接続されている場合、通信管理装置１００は、処理をステップＳ４０３に移行させる。一方、鍵装置１１０が接続されていない場合、通信管理装置１００は、処理をステップＳ４０４に移行させる。
【００６９】
ステップＳ４０２からステップＳ４０３に移行すると、通信管理装置１００の鍵検証部３０７は、鍵接続部３０６に接続された鍵装置１１０を検証する。例えば、鍵検証部３０７は、鍵接続部３０６に接続された鍵装置１１０から、認証情報記憶部３１１に記憶された認証情報を読出し、読出した認証情報が、予め記憶した登録済の鍵装置１１０の認証情報に含まれる場合、鍵装置１１０の検証を成功させる。
【００７０】
鍵装置１１０の検証に成功した場合、通信管理装置１００は、処理をステップＳ４０６に移行させる。一方、鍵装置１１０の検証に成功しなかった場合、通信管理装置１００は、処理をステップＳ４０４に移行させる。
【００７１】
ステップＳ４０４に移行すると、通信管理装置１００の比較部３０３は、通信部３０５が受信した通信フレームから識別コード検出部３０２検出した識別コードと、識別コード記憶部３０１に記憶された識別コードとを比較する。
【００７２】
識別コード検出部３０２検出した識別コードと、識別コード記憶部３０１に記憶された識別コードとが一致した場合、すなわち、受信した通信フレームが所定の識別コード「０ｘ３０」を含む場合、通信管理装置１００は、処理をステップＳ４０５に移行させる。一方、識別コード検出部３０２検出した識別コードと、識別コード記憶部３０１に記憶された識別コードとが一致しない場合、すなわち、受信した通信フレームが所定の識別コード「０ｘ３０」を含まない場合、通信管理装置１００は、処理を終了させる。
【００７３】
ステップＳ４０５に移行すると、通信管理装置１００のエラーフレーム発生部３０４は、通信部３０５が受信した通信フレームにおいて、エラーフレームを送信することにより、通信フレームにエラーを発生させる。
【００７４】
一方、ステップＳ４０３からステップＳ４０６に移行すると、通信管理装置１００の機能制御部３０８は、識別コード記憶部３０１に記憶された識別コードを無効にする、又は比較部３０３による識別コードの比較を無効にする。これにより、通信管理装置１００は、ステップＳ４０４、Ｓ４０５に示す、エラーフレームの発生処理を中止させる。
【００７５】
上記の処理により、通信管理装置１００は、通信管理装置１００に鍵装置１１０が接続されていない場合、及び鍵装置１１０の検証に成功しなかった場合には、所定の識別コードを含む通信フレームに対してエラーを発生させる。これにより、通信管理装置１００は、正当な鍵装置１１０を有していない不正な利用者が、車載ネットワーク１３０に外部ツール１４０を接続したとき、外部ツール１４０による所定の通信（例えば、ＸＣＰ通信）を制限することができる。
【００７６】
一方、通信管理装置１００は、通信管理装置１００に鍵装置１１０が接続されており、かつ鍵装置１１０の検証に成功した場合には、所定の識別コードを含む通信フレームに対して、エラーを発生させない。これにより、通信管理装置１００は、正当な鍵装置１１０を有する正当な利用者が、通信管理装置１００に鍵装置１１０を接続したとき、外部ツール１４０による所定の通信の制限を解除することができる。
【００７７】
［第２の実施形態］
第２の実施形態では、通信管理装置１００を論理回路で構成する場合に好適な実施形態について説明する。
【００７８】
＜ハードウェア構成＞
第２の実施形態に係る通信管理装置１００は、例えば、図２に示す第１の実施形態に係る通信管理装置１００のハードウェア構成のうち、ＣＰＵ２０１、ＲＡＭ２０２、及びフラッシュＲＯＭを有していなくても良い。第２の実施形態では、例えば、図６に示すような、通信管理装置１００の機能構成を、主にロジック回路２０６で実現している。
【００７９】
＜機能構成＞
図６は、第２の実施形態に係る通信管理装置、及び鍵装置の機能構成の例を示している。
【００８０】
通信管理装置１００は、例えば、鍵接続部６１０、比較器６２０、識別コード検出器６３０、エラーフレーム発生器６４０、及び通信部６５０等を有する。
【００８１】
鍵接続部６１０は、例えば、図２の接続端子２０４によって実現され、鍵装置１１０の接続を受け付ける。
【００８２】
比較器６２０は、例えば、図２のロジック回路２０６によって実現され、例えば、鍵検証回路６２１、識別コード比較回路６２２、及び切替回路６２３を含む。なお、鍵検証回路６２１、及び切替回路６２３は、比較器６２０の外部に設けられているものであっても良い。また、切替回路６２３は、識別コード比較回路６２２に含まれているものであっても良い。
【００８３】
鍵検証回路（鍵検証部）６２１は、鍵接続部６１０に鍵装置１１０が接続されている場合、鍵接続部６１０に接続された鍵装置１１０を検証し、検証結果を切替回路６２３に出力する。例えば、鍵検証回路６２１は、鍵装置１１０が有する認証コード６０１を取得して、鍵検証回路６２１に予め設定された認証情報との比較することにより、鍵装置１１０を検証する。或いは、鍵装置１１０は、鍵装置１１０を認証するための複数の接点を有し、鍵検証回路６２１は、鍵接続部６１０に接続された鍵装置１１０の接点の論理値を、予め設定された論理値と比較することにより、鍵装置１１０を検証するもの等であっても良い。なお、鍵検証回路６２１は、鍵検証部の一例である。
【００８４】
識別コード比較回路（比較部）６２２は、識別コードのパターンを論理回路として有しており、識別コード検出器６３０から出力される識別コードを１ビット単位で論理比較する。これにより、例えば、プログラムの書換え等により、識別コードが無効化されることを防止することができる。また、識別コード比較回路６２２は、論理比較により、識別コードの全てのビットが一致した場合、エラーフレーム発生器６４０にエラーを発生させる。なお、識別コード比較回路６２２は、比較部の一例である。
【００８５】
切替回路（機能制御部）６２３は、鍵検証回路６２１からの検証結果が、鍵装置１１０の検証に成功したことを示す場合、識別コード比較回路６２２による識別コードの比較を無効にすると共に、鍵装置１１０のバイパス回路６０２を有効にする。これにより、切替回路６２３は、エラーフレーム発生器６４０による、エラーの発生を中止させる。一方、切替回路６２３は、鍵検証回路６２１からの検証結果が、鍵装置１１０の検証に失敗したことを示す場合、識別コード比較回路６２２による識別コードの比較を有効にする。なお、切替回路６２３は、機能制御部の一例である。
【００８６】
識別コード検出器６３０は、例えば、図２のロジック回路２０６によって実現され、通信部６５０が受信する通信フレームに含まれる識別コードを検出して、例えば、１ビット単位で比較器６２０に出力する。
【００８７】
エラーフレーム発生器（発生部）６４０は、例えば、図２のロジック回路２０６によって実現され、識別コード比較回路６２２から出力される制御信号に従って、通信フレーム内にエラーを発生させる。なお、エラーフレーム発生器６４０は、発生部の一例である。
【００８８】
通信部（受信部）６５０は、例えば、図２の通信Ｉ／Ｆ２０５等によって実現され、例えば、ＣＡＮ通信、ＸＣＰ通信等の所定の通信を実行する。例えば、通信部６５０は、車載ネットワーク１３０に送信される通信フレームを受信する受信部として機能する。
【００８９】
上記の構成により、比較器６２０は、鍵接続部６１０に鍵装置１１０が接続されていない場合、及び鍵装置１１０の検証に失敗した場合には、識別コード比較回路６２２が有効となる。これにより、比較器６２０は、通信部６５０が受信した通信フレームが、所定の識別コードを含むとき、エラーフレーム発生器６４０に、エラーを発生させる。
【００９０】
一方、比較器６２０は、鍵接続部６１０に鍵装置１１０が接続され、鍵装置１１０の検証に成功した場合には、識別コード比較回路６２２による識別コードの比較を無効にして、バイパス回路６０２を有効にする。これにより、鍵装置１１０のバイパス回路６０２は、比較器６２０の一部として機能し、エラーフレーム発生器６４０によるエラーの発生を中止させる。
【００９１】
鍵装置１１０は、例えば、専用の集積回路等により、認証コード６０１、バイパス回路６０２等を実現している。
【００９２】
認証コード６０１は、鍵装置１１０を認証するための情報であり、不揮発性のメモリ等に記憶されたものであっても良いし、認証コードのパターンを論理回路として有しているものであっても良い。
【００９３】
バイパス回路６０２は、切替回路６２３による制御に応じて、比較器６２０の一部として機能して、識別コード比較回路６２２による識別コードの比較をバイパスすることにより、比較器６２０の識別コード比較回路６２２の機能を無効にする。
【００９４】
＜処理の流れ＞
続いて、図７、８を用いて、第２の実施形態に係る通信管理装置１００による通信管理方法の流れについて説明する。
【００９５】
図７は、第２の実施形態に係る通信管理装置の処理の流れを示すフローチャートである。なお、ここでは、第１の実施形態と同様に、ＥＣＵ１２０、及び外部ツール１４０が送信する通信フレームには、通信の用途に応じて異なる識別コードが含まれているものとする。
【００９６】
ステップＳ７０１において、通信部６５０が、車載ネットワーク１３０に送信される通信フレームを受信すると、通信管理装置１００は、ステップＳ７０２以降の処理を実行する。
【００９７】
ステップＳ７０２、Ｓ７０３において、鍵検証回路６２１は、鍵接続部６１０に鍵装置１１０が接続されている場合、鍵接続部６１０に接続されている鍵装置１１０を検証し、検証結果を切替回路６２３に出力する。また、切替回路６２３は、鍵検証回路６２１から出力される検証結果に応じて、処理を分岐させる。
【００９８】
例えば、鍵検証回路６２１が、鍵装置１１０の検証に成功した場合、切替回路６２３は、処理をステップＳ７０６に移行させる。一方、鍵装置１１０の検証に成功しなかった場合、切替回路６２３は、処理をステップＳ７０４に移行させる。
【００９９】
ステップＳ７０４に移行すると、識別コード比較回路６２２は、識別コード検出器６３０が検出する識別コードを、１ビット単位で比較することにより、通信部６５０が受信する通信フレームに所定の識別コードが含まれるか否かを判定する。
【０１００】
例えば、図８（ａ）に示すように、通信部６５０が受信する通信フレーム８１０には、識別コード８１１と、データ８１２とが含まれる。第１の実施形態では、比較部３０３が、識別コード８１１の全体を比較単位として、所定の識別コードの有無を判定していたが、第２の実施形態では、識別コード比較回路６２２が、１ビットを比較単位として、所定の識別コードの有無を判定する。例えば、識別コード比較回路６２２は、識別コード検出器６３０から、１ビットずつ出力される識別コード８１１を、論理回路として有する識別コードのパターンと順次に比較し、全てのビットが一致した場合、通信フレームに所定の識別コードが含まれると判定する。
【０１０１】
通信部６５０が受信する通信フレームに所定の識別コードが含まれる場合、識別コード比較回路６２２は、ステップＳ７０５において、エラーフレーム発生器６４０に、エラーフレームを送信させる。これにより、例えば、図８（ａ）に示す通信フレーム８１０のデータ８１２においてエラーが発生し、通信フレーム８１０が無効となる。一方、通信部６５０が受信する通信フレームに所定の識別コードが含まれない場合、通信管理装置１００は、処理を終了させる。
【０１０２】
また、ステップＳ７０３からステップＳ７０６に移行すると、切替回路６２３は、識別コード比較回路６２２による識別コードの比較を無効にすると共に、鍵接続部３０６に接続された鍵装置１１０のバイパス回路６０２を有効にする。例えば、切替回路６２３は、識別コード検出器６３０から出力される識別コードの出力先を、識別コード比較回路６２２から、バイパス回路６０２に切替える。
【０１０３】
これにより、バイパス回路６０２は、例えば、識別コード比較回路６２２による識別コードの比較をバイパスして、識別コード比較回路６２２による識別コードの比較を無効にする。
【０１０４】
上記の処理により、通信管理装置１００は、第１の実施形態と同様に、通信管理装置１００に鍵装置１１０が接続されていない場合、及び鍵装置１１０の検証に成功しなかった場合には、所定の識別コードを含む通信フレームに対してエラーを発生させる。これにより、通信管理装置１００は、正当な鍵装置１１０を有していない不正な利用者が、車載ネットワーク１３０に外部ツール１４０を接続したとき、外部ツール１４０による所定の通信（例えば、ＸＣＰ通信）を制限することができる。
【０１０５】
また、通信管理装置１００は、第１の実施形態と同様に、通信管理装置１００に鍵装置１１０が接続されており、かつ鍵装置１１０の検証に成功した場合には、所定の識別コードを含む通信フレームに対して、エラーを発生させない。これにより、通信管理装置１００は、正当な鍵装置１１０を有する正当な利用者が、通信管理装置１００に鍵装置１１０を接続したとき、外部ツール１４０による所定の通信の制限を解除することができる。
【０１０６】
また、別の一例として、図７のステップＳ７０６において、鍵装置１１０が有するバイパス回路６０２は、識別コード比較回路６２２の機能の一部を無効にするものであっても良い。
【０１０７】
例えば、識別コード比較回路６２２は、図８（ｂ）に示す第１の通信プロトコル用の識別コード「０ｘ３０」のパターンと、第２の通信プロトコル用の識別コード「０ｘ３１０」とパターンとを論理回路として有しているものとする。
【０１０８】
一方、バイパス回路６０２は、図８（ｂ）に示すように、第２の通信プロトコル用の識別コード「０ｘ３１」のパターンを論理回路として有し、識別コード検出器６３０から出力される識別コードを１ビット単位で論理比較する。また、バイパス回路６０２は、論理比較により、識別コードの全てのビットが一致した場合、エラーフレーム発生器６４０にエラーを発生させる。
【０１０９】
このようにして、通信管理装置１００に鍵装置１１０を接続することにより、通信管理装置１００が通信を制限する複数の通信プロトコルのうち、所定の通信プロトコルによる通信のみを許可することもできる。
【０１１０】
以上、本発明の各実施形態によれば、車載ネットワーク１３０において、中継装置を介さない通信経路においても、不正な外部ツール１４０による通信を制限しつつ、正当な外部装置４０による通信を許可することができるようになる。
【０１１１】
以上、本発明の実施形態について説明したが、本発明は上記の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、様々な変形や変更が可能である。
【符号の説明】
【０１１２】
１          車載通信システム
１００      通信管理装置（電子制御装置）
１１０      鍵装置
１４０      外部ツール（外部装置）
３０１      識別コード記憶部
３０３      比較部
３０４      エラーフレーム発生部（発生部）
３０５、６５０      通信部（受信部）
３０６、６１０      鍵接続部
３０７      鍵検証部
３０８      機能制御部
６０２      バイパス回路
６２１      鍵検証回路（鍵検証部の一例）
６２２      識別コード比較回路（比較部の一例）
６２３      切替回路（機能制御部の一例）
６４０      エラーフレーム発生器（発生部の一例）
【図１】
2019080234.tif 000003
【図２】
2019080234.tif 000004
【図３】
2019080234.tif 000005
【図４】
2019080234.tif 000006
【図５】
2019080234.tif 000007
【図６】
2019080234.tif 000008
【図７】
2019080234.tif 000009
【図８】
2019080234.tif 000010