(57)【要約】【課題】通常起こりうる故障か、不正な行為の結果による故障かを識別することができる、不正監視システムおよびそれに用いられる車載装置を提供する。【解決手段】不正監視システムは車載装置とセンターサーバーとからなる。車載装置は、車両制御装置に対する要求を常時監視することによって車両制御装置に対する要求が不正な要求であるか否かを判断する判断手段と、判断手段が車両制御装置に対する要求が不正であると判断した場合に、当該要求の内容および当該要求がなされたときの車両の位置情報を送信する送信手段とを備える。センターサーバーは、送信手段から送信される要求の内容および当該要求がなされたときの車両の位置情報を記憶することを特徴とする。【選択図】図１
2012096600.tif 000002
【特許請求の範囲】
【請求項１】
車両に搭載されている車両制御装置に対する要求を監視する不正監視システムであって、
前記不正監視システムは車載装置とセンターサーバーとからなり、
前記車載装置は、
前記車両制御装置に対する要求を常時監視することによって当該車両制御装置に対する要求が不正な要求であるか否かを判断する判断手段と、
前記判断手段が前記車両制御装置に対する要求が不正であると判断した場合に、当該要求の内容および当該要求がなされたときの前記車両の位置情報を送信する送信手段とを備え、
前記センターサーバーは、前記送信手段から送信される前記要求の内容および当該要求がなされたときの前記車両の位置情報を記憶することを特徴とする、不正監視システム。
【請求項２】
請求項１に記載の不正監視システムに用いられる車載装置であって、
前記車両制御装置に対する要求を常時監視することによって当該車両制御装置に対する要求が不正な要求であるかを判断する判断手段と、
前記判断手段が前記車両制御装置に対する要求が不正であると判断した場合に、当該要求の内容および当該要求がなされたときの前記車両の位置情報を送信する送信手段とを備える、車載装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正監視システムおよびそれに用いられる車載装置に関する。
【背景技術】
【０００２】
従来、車両には車載装置を制御するための各種制御コンピューターが備わっており、当該各種制御コンピューターには当該車載装置を制御するためのソフトウェア等が書き込まれている。また、各種制御コンピューターは、車両に不具合が検出された場合、不具合の原因を解析するために不具合が検出されたときの状態を示す検出データや故障コード等を記憶したり、外部の端末から各種制御コンピューターに指示され各種負荷を駆動させたりすることもできる。
【０００３】
ここで、上記ソフトウェアを書き替えたり、上記検出データや故障コード等を読み込んだり、各種負荷を駆動させたりするのは、一般的には車両の修理、改修のために行われるものであり、作業者（修理担当者）等によって行われるものである。
【０００４】
ところで、ソフトウェアの書き替えをしたり、各種負荷等を駆動させたりするのは、本来は車両の修理、改修を行う作業者である一方で、悪意を持った者が各種制御コンピューターに対して不正な要求をし、その車両の規格外の操作を行い、その結果車両が故障してしまうといったこともある。
【０００５】
例えば、特許文献１には、車両に対する改造を容易に判定することができる車両用改造判定装置が開示されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００９−３５２０７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
上記特許文献１に開示されている技術は、具体的には、車両の構成に必須となっているエンジンシステムおよびコントロールユニットシステムの制御動作に必要となる複数の制御信号を取得して、データ記憶装置に記憶する。そして、データ記憶装置に記憶された複数の制御信号のうち、所定の制御信号を用いて車両に改造が施されたかどうかを判定するものである。
【０００８】
しかしながら、特許文献１に開示されている技術は、例えば、悪意を持った者がコントロールユニットシステムに対して不正な要求をし、その後、意図的に不正な要求をした履歴をデータ記憶装置等から完全に消去したと仮に想定する。そして、その結果車両が故障したとする。この場合、車両の修理、改修を行う作業者等は、通常の利用による故障（車両に対して通常の扱い方で起こりえた故障）か、または不正な要求の結果起こった故障かを識別することができなくなる。つまり、作業者やメーカーサイドの意図しないソフトウェアの全書き替えや履歴の全消去がされてしまうと、悪意を持った者が不正な要求を行ったことを示す履歴が残らなくなる。
【０００９】
その結果、例えば、車両が故障した際に、その故障原因は本当の故障（言い換えれば悪意を持った者が行った操作に起因しない故障）か、不正な要求による故障かを判別できなくなり、車両が故障に至った原因を特定することができなくなるといった問題がある。
【００１０】
本発明は、上記事情に鑑みてなされたものであり、その目的とするところは、通常起こりうる故障か、不正な要求を行った結果による故障かを識別することができる、不正監視システムおよびそれに用いられる車載装置を提供することにある。
【課題を解決するための手段】
【００１１】
上記目的を達成するために、本発明は、以下の構成を採用した。すなわち、本発明は、車両に搭載されている車両制御装置に対する要求を監視する不正監視システムである。上記不正監視システムは車載装置とセンターサーバーとからなる。また、車載装置は、車両制御装置に対する要求を常時監視することによって当該車両制御装置に対する要求が不正な要求であるか否かを判断する判断手段と、判断手段が車両制御装置に対する要求が不正であると判断した場合に、当該要求の内容および当該要求がなされたときの車両の位置情報を送信する送信手段とを備える。一方、センターサーバーは、送信手段から送信される要求の内容および当該要求がなされたときの車両の位置情報を記憶することを特徴とする。
【００１２】
第２の発明は、上記第１の発明に係る不正監視システムに用いられる車載装置である。上記車載装置は、車両制御装置に対する要求を常時監視することによって当該車両制御装置に対する要求が不正な要求であるかを判断する判断手段と、判断手段が車両制御装置に対する要求が不正であると判断した場合に、当該要求の内容および当該要求がなされたときの車両の位置情報を送信する送信手段とを備える。
【発明の効果】
【００１３】
本発明によれば、通常の利用による故障（車両に対して通常の扱い方で起こりえた故障）か、不正な要求を行った結果による故障かを識別することができる、不正監視システムを提供することができる。そして、その結果、車両に対して適切な修理、改修を行うことができるようになる。
【図面の簡単な説明】
【００１４】
【図１】一実施形態に係る不正監視システムの概要を説明するための図
【図２】一実施形態に係る不正監視システムのＥＣＵ１が行う処理の一例を示したフローチャート
【発明を実施するための形態】
【００１５】
以下、図面を参照しつつ、本発明の一実施形態に係不正監視システムおよびそれに用いられる車載装置について説明する。
【００１６】
まず本実施形態に係る不正監視システムの概要について簡単に説明する。
【００１７】
図１は本実施形態に係る不正監視システムの概要を説明するための図である。本実施形態に係る不正監視システムは、ＥＣＵ（Electronic Control Unit、電子制御ユニット）１と、通信装置２と、センターサーバー３とを備えている。
【００１８】
ここで、ＥＣＵ１と通信装置２とは車両（以下自車両ｍｖと称す）に搭載されている。なお、ＥＣＵ１と通信装置２とは自車両ｍｖに搭載されていればよく、その搭載位置等は限定されない。また、ＥＣＵ１は請求項に記載の判断手段の一例に相当し、通信装置２は、請求項に記載の送信手段の一例に相当する。
【００１９】
ＥＣＵ１は、自車両ｍｖにおける各種負荷の駆動を制御する制御コンピューターであり、図示は省略したが、当該自車両ｍｖに複数搭載されてもよいものである。そして、上記制御コンピューター間は、例えば、ＣＡＮ（Controller Area Network）、ＬＩＮ（Local Interconnect Network）、ＦｌｅｘＲａｙ（登録商標）、ＩＰ（Internet Protocol）等の車両内多重通信網にてデータの送受信が行われる。
【００２０】
また、上記ＥＣＵ１は、端末装置４からの指示、例えばソフトウェアの書き替え要求を受信し記憶しソフトウェアの書き替えをしたり、自車両ｍｖに搭載されている各種負荷に対する駆動要求を受信し記憶し当該駆動要求に従い各種負荷を駆動させたりする。なお、上記ＥＣＵ１内には図示しない記憶媒体が備わっており、当該記憶媒体に、例えば、端末装置４からの例えばソフトウェアの書き替え要求等や各種負荷の駆動履歴等を記憶する。つまり、ＥＣＵ１の図示しない記憶媒体には、上記端末装置４からどのような要求がされたかを示す情報が記憶される。
【００２１】
通信装置２は、具体的には無線通信装置であり、上記車両内多重通信網で受け取った各種データ（例えば、端末装置４から受けた指示内容等）を無線通信網を介して後述するセンターサーバー３に送信する。また、上記通信装置２は、センターサーバー３からの各種データを受信し、上記車両内多重通信網に送信する。なお、上記通信装置２は、自車両ｍｖに少なくとも１つ備わっていればよい。
【００２２】
センターサーバー３は、自車両ｍｖの外部（つまり自車両ｍｖには搭載されない）の任意の位置に設置されるデータセンターである。このセンターサーバー３には、自車両ｍｖにおける、特定の（正規の）制御パラメーターや制御範囲等が記憶されている。なお、センターサーバー３に記憶される制御パラメーター等は自車両ｍｖ固有の制御パラメーター等だけではなく、様々な車種の制御パラメーターがそれぞれ記憶されていてもよい。
【００２３】
端末装置４は、例えば、自車両ｍｖに対してソフトウェアの書き替え要求をしたり、自車両ｍｖに搭載されている各種負荷を駆動させたりすることができるものである。
【００２４】
ここで、引き続き図１を参照し、具体的な場面を想定した不正監視システムの動作について説明する。
【００２５】
なお、状況としては、悪意を持った者が端末装置４によって、一例として、自車両ｍｖのエンジンの空燃比に関する制御パラメーターが不正に変更されたと仮に想定する（図１の矢印Ａ）。つまり、端末装置４によって、自車両ｍｖに対して不正な要求が行われる場合を想定している。
【００２６】
また、ＥＣＵ１内の図示しない記憶媒体には、端末装置４等により変更されることによって自車両ｍｖが故障に至る可能性のある制御パラメーターの一覧が記憶されている。例えば、当該故障に至る可能性のある制御パラメーターの一例として、可変バルブタイミング（ＶＶＴ）、バルブリフト量（ＶＶＬ）、あるいはスロットル開度（ＴＡ）等のエンジンに関する制御パラメーターなどが挙げられる。
【００２７】
なお、これらエンジンに関する制御パラメーターが変化すると、エンジンの筒内に流入する空気量が変動するため、空燃比が理論空燃比から燃料リーン側あるいは燃料リッチ側に外れ、排ガスのエミッション特性の悪化やドライバビリティの悪化の原因となるため、自車両ｍｖに搭載されたＥＣＵ１は、端末装置４による不正な要求であると判断する（図１のＢ）。
【００２８】
そして、ＥＣＵ１は、例えば、端末装置４により、どのような要求がされたか、どのような書き替えが行われたか等を示す情報を当該ＥＣＵ１の通信装置２を介してセンターサーバー３に送信する（図１の矢印Ｃ）。なお、ＥＣＵ１は、自車両ｍｖに位置や方位を測位する手段（例えば、ＧＰＳ（全地球測位システム））や地図情報を格納する記憶媒体等が搭載されている場合（図示せず）、上記情報とともに、上記要求、書き込み等が行われた現在地（実行地域）や実行された時刻等を示す情報を通信装置２を介してセンターサーバー３に送信してもよい。
【００２９】
なお、上記故障に至る可能性のある制御パラメーターの他、自車両ｍｖに搭載されている各種負荷の駆動を制御する制御コンピューター自体に記憶されている制御プログラム（制御コンピューターに記憶されているソフトウェア）も変更されると、場合によっては車両が故障に至る場合もある。そのため、ＥＣＵ１は、ソフトウェアの書き替えがあった場合、どのような要求があったか、どのような書き替えがあったかについても通信装置２を介してセンターサーバー３に送信してもよい。
【００３０】
その後、センターサーバー３は、自車両ｍｖにおける、特定の（正規の）制御パラメーターや制御範囲等（本説明であるとエンジンの空燃比に関する正常な制御パラメーター）を当該自車両ｍｖに向けて送信する（図１の矢印Ｄ）。
【００３１】
なおこのとき、自車両ｍｖのＥＣＵ１は、上記受信した特定の（正規の）制御パラメーターや制御範囲等を利用して、その値から外れるような制御を継続していないかを常時監視してもよい（図１のＥ）。
【００３２】
上述したように、端末装置４は、ＥＣＵ１に、例えば、特定のプログラムを起動させ、当該自車両ｍｖに搭載されている各種負荷を駆動させることができる。ここで、一般的に、通常の駆動と、ある特定の駆動（例えば故障診断プログラムにおける強制駆動）とはその制御プログラムが異なっている。そのため、ＥＣＵ１は、端末装置４により自車両ｍｖに対して上記特定の駆動がなされた場合、当該自車両ｍｖの通常の使用態様ではないため、このような駆動が継続してなされていないを常時監視してもよい。
【００３３】
そして、自車両ｍｖに対して上記特定の駆動が、ある一定条件下で継続してなされた場合、ＥＣＵ１は、端末装置４により、どのような要求がされたかを示す情報を当該ＥＣＵ１の通信装置２を介してセンターサーバー３に送信する（図１の矢印Ｆ）。
【００３４】
なお、図１の具体的な場面の最後として、不正の要求を行った者が、当該不正の要求を隠すために、例えば、エンジンの空燃比に関する制御パラメーターを正常なものに、再び変更した（元の状態に戻した）状況を想定する（図１の矢印Ｇ）。そして、上記不正の要求を行った結果、自車両ｍｖが故障に至ったと仮に想定する。
【００３５】
なお、この場合、図１の矢印Ｇに示すように、不正の要求を行った者が、当該不正行為を隠すために、各種制御値を正常な値に書き替えたり、制御パラメーターを正常なものに変更したりしているので、仮に自車両ｍｖが故障したとしても不正の要求を行った事実は残らなくなる。そのため、不正の要求による故障か、いわゆる一般的な故障（言い換えれば悪意を持った者が行った操作に起因しない故障）かが分からなくなる。
【００３６】
本実施形態に係る不正監視システムは、上述したように、端末装置４によってどのような要求がされたかがセンターサーバー３に記憶されているので、不正の要求による故障か、いわゆる一般的な故障かを判断することができるものである。
【００３７】
次に、本実施形態に係る不正監視システムのＥＣＵ１が行う処理の一例について説明する。図２は、本実施形態に係る不正監視システムのＥＣＵ１が行う処理の一例を示したフローチャートである。
【００３８】
図２に示すフローチャートは、例えば、ＥＣＵ１が当該ＥＣＵ１内に備えている図示しない記憶媒体に記憶されている所定のプログラムを実行することにより行われる。また、図２に示すフローチャートの処理は、ＥＣＵ１の電源がＯＮ（例えば、ＥＣＵ１が搭載された自車両ｍｖの始動／停止スイッチがＯＮ）されることによって開始される。また、当該フローチャートに示した処理は、ＥＣＵ１の電源がＯＦＦ（例えば、ＥＣＵ１が搭載された自車両ｍｖの始動／停止スイッチがＯＦＦ）されることによって終了される。
【００３９】
図２のステップＳ１において、ＥＣＵ１は、常時監視を開始する。より具体的には、例えば端末装置４などの自車両ｍｖの外部からの操作が行われたか否かを常時監視できる状態に入る（図１であれば例えば当該図１のＢに相当）。そして、ＥＣＵ１は、次のステップＳ２に処理を進める。
【００４０】
ステップＳ２において、ＥＣＵ１は、常時監視を行っていた結果、端末装置４から、自車両ｍｖに対して某かの操作がなされたか否かを判断する。なお、この時点では、端末装置４から自車両ｍｖに対して行われる操作は、不正な要求が行われたか、正常の操作（修理工場での修理のための操作）であるかは判断せず、次のステップＳ３に処理を進める。
【００４１】
具体的には、ＥＣＵ１は、端末装置４から、自車両ｍｖに対して某かの操作がなされた場合、当該ステップＳ２での判断を肯定（ＹＥＳ）し、次のステップＳ３に処理を進める。一方、ＥＣＵ１は、常時監視している間に、端末装置４から自車両ｍｖに対して某かの操作がなされなかった場合、当該ステップＳ２の判断を否定（ＮＯ）して、ステップＳ１に処理を戻す。また、ステップＳ２が行われる場面は図１では例えば矢印Ａに相当する。
【００４２】
なお、自車両ｍｖに対して某かの操作がなされた場合（ステップＳ２でＹＥＳ）、後述するステップＳ３の処理において、プログラム書き替え（リプログラム）時には、不正の可能性の要求であるか否かを判断できないと考えられる。この場合、不正の可能性のある要求かどうかに関係なく、どのような要求がされたかなどを示す情報を当該ＥＣＵ１の通信装置２を介してセンターサーバー３に送信してもよい（後述のステップＳ５）。
【００４３】
ステップＳ３において、ＥＣＵ１は、端末装置４から自車両ｍｖに対して行われた要求は不正の可能性のある要求かを判断し、次のステップＳ４に処理を進める。そして、ステップＳ４において、ＥＣＵ１は不正の可能性の要求であると判断した場合（ステップＳ４でＹＥＳ）、次のステップＳ５に処理を進める。一方、ＥＣＵ１は不正の可能性のある要求ではないと判断した場合（ステップＳ４でＮＯ）、次のステップＳ１に処理を戻す。
【００４４】
なお、上記ステップＳ３〜ステップＳ４での処理は、ＥＣＵ１内の図示しない記憶媒体に記憶されている、自車両ｍｖが故障に至る可能性のある制御パラメーターの一覧を参照して、例えば、これら制御パラメーターを操作されたか否か、ソフトウェアが書き替えられたか否か、上記上述したような強制駆動が継続されたか否か等によって判断すればよい。
【００４５】
そして、ＥＣＵ１は不正の可能性のある要求であると判断した場合の次のステップＳ５において、当該ＥＣＵ１は、例えば、端末装置４により、どのような要求がされたかなどを示す情報を当該ＥＣＵ１の通信装置２を介してセンターサーバー３に送信する（図１であれば例えば矢印Ｃに相当）。
【００４６】
なお、自車両ｍｖに位置や方位を測位する手段（例えば、ＧＰＳ（全地球測位システム））や地図情報を格納する記憶媒体等が搭載されている場合（図示せず）、当該ステップＳ５において、ＥＣＵ１の通信装置２を介して、上記情報とともに、上記要求がされた現在地（実行地域）やその要求がされた時刻等を示す情報をセンターサーバー３に送信してもよい。
【００４７】
ステップＳ６において、ＥＣＵ１は、センターサーバー３から送信される、自車両ｍｖにおける特定の（正規の）制御パラメーターや制御範囲等を通信装置２を介して受信する（図１であれば例えば矢印Ｄ）。
【００４８】
なお、上述したように、ＥＣＵ１は常時監視を行っているので、端末装置４により自車両ｍｖに対してある特定の駆動（例えば故障診断プログラムにおける強制駆動）がなされ、このような駆動がある一定条件下で継続してなされた場合、ＥＣＵ１は、端末装置４により、どのような要求がされたかを示す情報を当該ＥＣＵ１の通信装置２を介してセンターサーバー３に送信してもよい（図１のであれば例えば矢印Ｆ）。
【００４９】
そして、次のステップＳ７において、ＥＣＵ１は、当該フローチャートの処理を終了するか否かを判断する。そして、ＥＣＵ１は、当該フローチャートの処理を終了すると判断した場合（ＹＥＳ）、当該フローチャートの処理は終了し、当該フローチャートの処理を終了しないと判断した場合（ＮＯ）、ステップＳ１に処理を戻す。
【００５０】
なお、当該フローチャートの処理が終了される場合、つまりステップＳ７の処理が肯定（ＹＥＳ）される場合とは、上述したように、ＥＣＵ１の電源がＯＦＦ（例えば、ＥＣＵ１が搭載された自車両ｍｖの始動／停止スイッチがＯＦＦ）された場合等である。
【００５１】
このように本実施形態に係る不正監視システムによれば、通常起こりうる故障か、不正な要求を行った結果による故障かを識別することができる、不正監視システムおよびそれに用いられる車載装置を提供することができる。
【００５２】
例えば、自車両ｍｖの仕様値を超えた要求（例えば、所定の燃料噴射タイミングや燃料噴射量を変更するような要求）をし、結果、自車両ｍｖが故障したとする。しかしながら、一般的には自車両ｍｖに対して行ったこれら要求の履歴は当該自車両ｍｖに記憶されるものであるから、その履歴自体が消去されてしまった場合、通常の使用で起こりえた故障か、または上記のような仕様値を超えた要求（不正な要求）による故障かが特定できなくなる。その結果、販売店での修理で適切な修理が行えなくなるといったことがある。
【００５３】
本実施形態に係る不正監視システムおよびそれに用いられる車載装置によれば、自車両ｍｖに対して行われた不正な要求の履歴を当該自車両ｍｖとは別のロケーション（例えばセンターサーバー３）に保存しておくことで、販売店で修理する際に、図１の矢印Ｈに示したように、センターサーバー３にアクセスすることにより、通常の使用で起こりえた故障か、または上記のような仕様値を超えた要求（不正な要求）による故障かが分かり、適切な修理を行うことができるようになる。
【００５４】
また、センターサーバー３には、その要求がされた実行地域や時刻等も記憶されているので、一般的には車両の修理、改修は修理工場や販売店等で行われることを考慮すると、例えば、その要求の実行地域が修理工場や販売店等以外の地域でなされた場合、容易に不正な要求であると判断することもできる。
【００５５】
上記実施形態で説明した態様は、単に具体例を示すものであり、本願発明の技術的範囲を何ら限定するものではない。よって、本願の効果を奏する範囲において、任意の構成を採用することが可能である。
【産業上の利用可能性】
【００５６】
本発明に係る不正監視システムおよびそれに用いられる車載装置は、車両において、通常起こりうる故障か、不正な要求を行った結果による故障かを識別することができる、監視システム等として有用である。
【符号の説明】
【００５７】
１…ＥＣＵ
２…通信装置
３…センターサーバー
４…端末装置
【図１】
2012096600.tif 000003
【図２】
2012096600.tif 000004