(57)【要約】【課題】外部機器と車載装置との通信を制御するための技術を提供する。【解決手段】車両内の通信を制御する通信制御装置４において、監視部５が、インタフェース３を介した外部機器２による通信を監視し、制御部６が、外部機器２による通信を制御する。監視部５が、車両走行中に外部機器２が通信を行っていること、および／または、外部機器２が通信を所定時間以上継続して行っていることを、複数の連続するトリップ期間において検出すると、制御部６が、外部機器２による通信を所定時間遮断する、または外部機器２による通信を滞留させる。【選択図】図１
2016132327.tif 000002
【特許請求の範囲】
【請求項１】
車両内の通信を制御する通信制御装置であって、
インタフェースを介した外部機器による通信を監視する監視部と、
外部機器による通信を制御する制御部と、を備え、
前記監視部が、車両走行中に外部機器が通信を行っていること、および／または、外部機器が通信を所定時間以上継続して行っていることを、複数の連続するトリップ期間において検出すると、前記制御部が、外部機器による通信を所定時間遮断する、または外部機器による通信を滞留させる、ことを特徴とする通信制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、外部機器が接続される診断コネクタなどのインタフェースを有する車両システムに関し、特に外部機器と車載装置との通信を制御する通信制御装置に関する。
【背景技術】
【０００２】
整備工場などにおいて車両診断を行う際には、診断コネクタに外部診断装置が接続されて、外部診断装置が車載装置から各種データを読み出す。外部診断装置と車載装置との間では、外部診断装置が車載装置に対して要求メッセージを送信し、車載装置が要求メッセージに含まれる指示に対する応答メッセージを返信するダイアグ通信が行われる。
【０００３】
特許文献１は、異常パターンを記述するデータベースを利用して、異常パターンとアクセス履歴を照合することで、外部機器から不正なアクセスがあったか否かを判定する技術を開示する。特許文献１は、一定時間以内に設定回数以上の通信があったこと、定義外の識別子を持つメッセージを複数回受信したことを、異常パターンの例として示している。
【０００４】
特許文献２は、二以上の外部装置からの要求が競合した場合に、優先順位の高い外部装置の要求を優先的に処理する統合制御装置を備えた車両用診断システムを開示する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１４−１１３９０１号公報
【特許文献２】特開２００６−２３８５０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
近年、車両の電子アクセサリとして、診断コネクタに接続して車載装置と通信し、車速、エンジン回転数、水温などの車両データを車載装置から読み出して表示する機器が入手可能となっている。電子アクセサリは正規の外部診断装置と同様に、ダイアグ通信により車載装置に要求メッセージを送信するため、車載装置からすると、正規の外部診断装置と電子アクセサリとの区別ができず、電子アクセサリからの要求メッセージに対して応答メッセージを返信する。
【０００７】
車両において、車載装置と通信して車両データを収集し、運転者に車両状態を通知する内部診断装置が設けられることがある。この内部診断装置と、診断コネクタに接続される外部診断装置との通信優先順位は、整備工場などにおいて確実に車両診断を行えるようにするために、外部診断装置の方が高く設定されている。要求メッセージの送信元が外部診断装置であるか、または内部診断装置であるかは、それぞれの識別子（装置ＩＤ）によって車載装置が判断できるが、このとき電子アクセサリが、正規の外部診断装置の装置ＩＤを利用してダイアグ通信を行うと（いわゆる、成りすまし行為）、車載装置は、非正規の電子アクセサリに対して優先的に応答メッセージを送信し、正規の内部診断装置からの要求メッセージに応答しない状況も発生する。
【０００８】
そこで診断コネクタに外部機器として電子アクセサリが接続されている場合には、外部機器が電子アクセサリであることを検出して、電子アクセサリと車載装置との通信を適切に制御することが好ましい。本発明はこうした状況に鑑みてなされたものであり、その目的は、外部機器と車載装置との通信を制御するための技術を提供することにある。
【課題を解決するための手段】
【０００９】
上記課題を解決するために、本発明のある態様の通信制御装置は、車両内の通信を制御する通信制御装置であって、インタフェースを介した外部機器による通信を監視する監視部と、外部機器による通信を制御する制御部と、を備える。監視部が、車両走行中に外部機器が通信を行っていること、および／または、外部機器が通信を所定時間以上継続して行っていることを、複数の連続するトリップ期間において検出すると、制御部が、外部機器による通信を所定時間遮断する、または外部機器による通信を滞留させる。なおトリップ期間は、イグニッションオンからイグニッションオフまでの期間である。
【００１０】
この態様によると、監視部が、複数の連続するトリップ期間において、外部機器が正規の外部診断装置でないことを検出すると、制御部が、次回以降のトリップ期間において、外部機器と車載装置との通信を制限する。これにより、たとえば車両内の車両データ取得装置と、車載装置との間の通信を好適に実行することが可能となる。
【発明の効果】
【００１１】
本発明によれば、外部機器と車載装置との通信を適切に制御する技術を提供する。
【図面の簡単な説明】
【００１２】
【図１】実施例の車両システムの構成を示す図である。
【図２】制御部が通信制御を行わない場合のダイアグ通信のシーケンスを示す図である。
【図３】制御部が通信制御を行った場合のダイアグ通信のシーケンスの一例を示す図である。
【図４】制御部が通信制御を行った場合のダイアグ通信のシーケンスの別の例を示す図である。
【発明を実施するための形態】
【００１３】
図１は、実施例の車両システムの構成を示す。車両システム１は、車両内の通信を制御する通信制御装置４を備える。車両システム１は、外部機器２が接続されるインタフェース３を有し、インタフェース３は、整備工場などにおいて外部診断装置を接続するための診断コネクタであってよい。車両システム１において、車載装置８ａ、８ｂ、８ｃ（以下、特に区別しない場合には「車載装置８」とよぶ）は、ダイアグ通信における要求メッセージに含まれる指示に応答する電子制御ユニット（ＥＣＵ）であり、バスで接続されている。内部診断装置７は車両内部に設けられた診断装置であって、ダイアグ通信により要求メッセージを車載装置８に送信し、車載装置８から応答メッセージを受信する車両データ取得装置である。なお図１では車両データ取得装置の一例として、診断機能を有する内部診断装置７を示しているが、車両データ取得装置は、ダイアグ通信により車載装置８から車両データを収集して、ディスプレイなどを通じてユーザに車両状態を通知する装置であってもよい。
【００１４】
車両システム１において各車載装置８は、要求メッセージに対して応答する装置の通信優先順位を保持している。インタフェース３に接続される外部診断装置と、車両内に搭載されている内部診断装置７とを比較すると、通信優先順位は、外部診断装置の方が高く設定されている。外部診断装置を特定するための識別子（装置ＩＤ）および内部診断装置７を特定するための識別子（装置ＩＤ）は、所定のルールにしたがって設定されており、車載装置８は、要求メッセージに含まれる装置ＩＤから、要求メッセージを送信した装置が、外部診断装置であるか、または内部診断装置７であるかを判別する。そのため車載装置８は、内部診断装置７から要求メッセージを受信して内部診断装置７に対して応答メッセージを返信する前に、外部診断装置から要求メッセージを受信すると、通信優先順位の高い外部診断装置に応答メッセージを返信するために、内部診断装置７からの要求メッセージを破棄することがある。
【００１５】
ここで要求メッセージを送信した外部機器２が正規の外部診断装置であれば、内部診断装置７からの要求メッセージを破棄することに問題はないが、外部機器２が正規の外部診断装置ではなく、正規の外部診断装置になりすました非正規の電子アクセサリである場合に、非正規の電子アクセサリとの通信が優先されることは好ましくない。
【００１６】
そこで実施例の通信制御装置４は、外部機器２によるインタフェース３を介した通信を監視する監視部５と、外部機器２による通信を制御する制御部６とを備え、監視部５が、外部機器２が非正規の電子アクセサリであることを検出すると、制御部６が、非正規の電子アクセサリと車載装置８との通信を制限する。なお監視部５は、少なくとも外部機器２による通信を監視するが、内部診断装置７による通信も監視してよい。監視部５は、要求メッセージに含まれる装置ＩＤにより、送信元の装置が外部機器２であるか、内部診断装置７であるかを特定する。
【００１７】
図２は、制御部６が通信制御を行わない場合のダイアグ通信のシーケンスを示す。ここではＣＡＮ（Controller Area Network）を利用したダイアグ通信を示す。ＣＡＮバスシステムにおいては、要求メッセージを送信した装置が、所定のタイムアウト時間内に応答メッセージを受信することを条件とする通信が行われ、たとえばタイムアウト時間は５０ｍｓ（ミリ秒）に設定される。なお要求メッセージを送信した装置が、タイムアウト時間内に応答メッセージを受信できなければ、必要に応じて要求メッセージを再送信したり、新たな要求メッセージを送信したりする。
【００１８】
図２に示す通信シーケンスにおいて外部機器２から送信される要求メッセージは、通信制御装置４の監視部５によって監視され、監視部５は、後述する判定条件にもとづいて、外部機器２が電子アクセサリであるか否かを判定する。なお、この例では外部機器２が正規の外部診断装置になりすまし、外部機器２からの要求メッセージには、正規の外部診断装置の装置ＩＤが含まれており、監視部５は、装置ＩＤから外部機器２が電子アクセサリであることを判断できない。
【００１９】
なお図２においては、内部診断装置７から送信される要求メッセージも通信制御装置４を経由しているが、監視部５は、内部診断装置７からの要求メッセージを監視する必要はない。
【００２０】
まず内部診断装置７が要求メッセージを車載装置８に送信する（Ｓ１０）。車載装置８は要求メッセージを受信すると、要求メッセージに含まれる装置ＩＤから要求メッセージが内部診断装置７から送信されたことを検出し、応答メッセージを送信するための準備を行う（Ｓ１１）。たとえば、この準備は、データの読み出しや加工などの処理を含む。
【００２１】
車載装置８が応答メッセージの送信準備を行っている間に、外部機器２が要求メッセージを通信制御装置４経由で車載装置８に送信する（Ｓ１２）。監視部５は、要求メッセージを受信すると、要求メッセージに含まれる装置ＩＤから要求メッセージが外部機器２から送信されたことを検出して記録部（図示せず）に記録し、制御部６は、要求メッセージを車載装置８に転送する。
【００２２】
このとき車載装置８は、内部診断装置７への応答メッセージの送信準備中であるが、通信優先順位の高い外部機器２から要求メッセージを受信すると、通信優先順位の低い内部診断装置７に対する送信準備処理を強制終了し、外部機器２への応答メッセージの送信準備を行う（Ｓ１３）。そのため車載装置８は、内部診断装置７に対して応答メッセージを送信せず、したがって内部診断装置７は、車載装置８から応答メッセージを受信しない。車載装置８は、外部機器２への応答メッセージの送信準備が完了すると、応答メッセージを外部機器２に送信する（Ｓ１４）。
【００２３】
タイムアウト時間内に応答メッセージを受信できなかった内部診断装置７は、要求メッセージを車載装置８に再送信する（Ｓ１５）。車載装置８は要求メッセージを受信すると、内部診断装置７への応答メッセージを送信するための準備を行う（Ｓ１６）。
【００２４】
車載装置８が応答メッセージの送信準備を行っている間に、外部機器２が要求メッセージを通信制御装置４経由で車載装置８に送信する（Ｓ１７）。監視部５は、要求メッセージを受信すると、要求メッセージに含まれる装置ＩＤから要求メッセージが外部機器２から送信されたことを検出して記録部に記録し、制御部６は、要求メッセージを車載装置８に転送する。車載装置８は、内部診断装置７への応答メッセージの送信準備完了前に、通信優先順位の高い外部機器２から要求メッセージを受信すると、通信優先順位の低い内部診断装置７に対する送信準備処理を強制終了し、外部機器２への応答メッセージの送信準備を行う（Ｓ１８）。車載装置８は、外部機器２への応答メッセージの送信準備が完了すると、応答メッセージを外部機器２に送信する（Ｓ１９）。
【００２５】
このように内部診断装置７の通信優先順位が外部機器２よりも低いために、内部診断装置７は、車載装置８から応答メッセージを受けられない状況が発生する。特に外部機器２が、高頻度に要求メッセージを送信する非正規電子アクセサリである場合には、内部診断装置７が要求メッセージの再送信を繰り返さなければならない事態も生じうる。そこで監視部５が、外部機器２による通信を監視した結果にもとづいて、外部機器２が非正規電子アクセサリであるか否かを判定する。この判定処理は、イグニッションオンからイグニッションオフまでのトリップ期間ごとに実行され、外部機器２が非正規電子アクセサリであることが判定されると、制御部６が、次回以降のトリップ期間において外部機器２と車載装置８との通信を制限する。
【００２６】
＜監視部５による判定処理＞
監視部５は、以下の判定条件を用いて、外部機器２が非正規電子アクセサリであるか否かを判定する。なお判定処理は、記録部に記録した監視結果をもとに、今回のトリップ期間の終了直前、または次回のトリップ期間の開始直後に実行されてよい。
（条件１）  外部機器２による通信が車両走行中に行われていること。
外部機器２が正規の外部診断装置である場合、基本的に車両診断は、車両が停止した状態で行われる。そのため外部機器２が車両走行中に通信を行っている場合には、その外部機器２が、電子アクセサリである可能性が非常に高い。上記したように監視部５は、トリップ期間において外部機器２から要求メッセージの送信があったことを記録部に記録するが、そのときの車速もあわせて記録しておくことで、外部機器２が車両走行中に通信していたか否かを判定してもよい。
【００２７】
（条件２）  外部機器２による通信が所定時間以上継続して行われていること。
整備工場において正規の外部診断装置がインタフェース３に接続されて車両診断が行われている場合、外部診断装置は、診断内容に応じて、診断のための通信を切り替えて実行する。１つの診断内容に対しては、診断のための通信が継続して行われるものの、その継続時間はそれほど長くなく、診断内容を切り替える際に、通信は中断する。そこで外部機器２による通信が所定時間以上（たとえば３０分）継続して行われていれば、その外部機器２は、外部診断装置ではなく、電子アクセサリである可能性が非常に高い。なお電子アクセサリは、トリップ期間中、車載装置８との間で常時通信を行うため、外部機器２がトリップ期間の所定の割合（たとえば８０％）以上の時間、継続して通信をしていれば、その外部機器２は、電子アクセサリである可能性が非常に高いと言える。
【００２８】
監視部５による判定処理においては、条件１と条件２のいずれか一方が単独で使用されてもよく、また条件１と条件２とが組み合わせて使用されてもよい。監視部５は、１トリップ期間において、車両走行中に外部機器２が通信を行っていること（条件１）、および／または、外部機器２が通信を所定時間以上継続して行っていること（条件２）を判定すると、記録部に記録する。監視部５は、トリップ期間ごとに判定処理を行い、条件１および／または条件２の成立を、複数の連続するトリップ期間、たとえば５回の連続するトリップ期間において検出すると、外部機器２が非正規電子アクセサリであることを判定する。
【００２９】
＜制御部６による通信制御処理＞
監視部５により外部機器２が非正規電子アクセサリであることが判定されると、その後のトリップ期間において、制御部６が外部機器２による通信を制限する。
図３は、制御部６が通信制御を行った場合のダイアグ通信のシーケンスの一例を示す。図３に示す通信シーケンスにおいて、監視部５は、外部機器２から送信される要求メッセージを監視し、制御部６は、外部機器２による通信を所定時間遮断する。なお監視部５は、内部診断装置７からの要求メッセージを監視する必要はない。
【００３０】
内部診断装置７が要求メッセージを車載装置８に送信する（Ｓ３０）。車載装置８は要求メッセージを受信すると、内部診断装置７への応答メッセージを送信するための準備を行う（Ｓ３１）。
【００３１】
車載装置８が応答メッセージの送信準備を行っている間に、外部機器２が要求メッセージを通信制御装置４経由で車載装置８に送信する（Ｓ３２）。監視部５は、要求メッセージを受信すると、要求メッセージに含まれる装置ＩＤから要求メッセージが外部機器２から送信されたことを検出する。監視部５は、この監視結果を制御部６に通知し、これにより制御部６は、外部機器２による通信を遮断して、車載装置８に転送しない。車載装置８は、内部診断装置７への応答メッセージの送信準備が完了すると、応答メッセージを内部診断装置７に送信する（Ｓ３３）。
【００３２】
それから内部診断装置７が要求メッセージを車載装置８に送信する（Ｓ３４）。車載装置８は要求メッセージを受信すると、内部診断装置７への応答メッセージを送信するための準備を行う（Ｓ３５）。車載装置８が応答メッセージの送信準備を行っている間に、外部機器２が要求メッセージを通信制御装置４経由で車載装置８に送信する（Ｓ３６）と、上記したように制御部６は、外部機器２による通信を遮断し、車載装置８に転送しない。車載装置８は、内部診断装置７への応答メッセージの送信準備が完了すると、応答メッセージを内部診断装置７に送信する（Ｓ３７）。
【００３３】
このように図３に示す通信シーケンスにおいては、制御部６が、電子アクセサリからの要求メッセージを所定時間ブロックすることで、その間の内部診断装置７と車載装置８との通信を好適に実現できる。制御部６は、外部機器２による通信をブロックする期間と、ブロックしない期間とを周期的に設定してもよい。
【００３４】
図４は、制御部６が通信制御を行った場合のダイアグ通信のシーケンスの別の例を示す。図４に示す通信シーケンスにおいて、監視部５は、外部機器２および内部診断装置７から送信される要求メッセージを監視し、制御部６は、外部機器２による通信を滞留させる。
【００３５】
内部診断装置７が要求メッセージを通信制御装置４経由で車載装置８に送信する（Ｓ４０）。監視部５は、要求メッセージを受信すると、要求メッセージに含まれる装置ＩＤから要求メッセージが内部診断装置７から送信されたことを検出し、送信元である内部診断装置７と受信時刻とを対応付けて記録部に記録する。制御部６は、要求メッセージを車載装置８に転送する。車載装置８は要求メッセージを受信すると、内部診断装置７への応答メッセージを送信するための準備を行う（Ｓ４１）。
【００３６】
車載装置８が応答メッセージの送信準備を行っている間に、外部機器２が要求メッセージを通信制御装置４経由で車載装置８に送信する（Ｓ４２）。監視部５は、要求メッセージを受信すると、要求メッセージに含まれる装置ＩＤから要求メッセージが外部機器２から送信されたことを検出する。監視部５は、この監視結果を制御部６に通知する。
【００３７】
制御部６は、記録部に記録された内部診断装置７からの要求メッセージの受信時刻を参照して、外部機器２からの要求メッセージをすぐに車載装置８に転送してよいか否かを判断する。制御部６は、外部機器２からの要求メッセージを転送することで、車載装置８における内部診断装置７に対する送信準備処理が強制終了となる可能性が高い場合には、外部機器２からの要求メッセージを車載装置８に転送してはいけないことを判断する。一方、外部機器２からの要求メッセージを転送しても、車載装置８における内部診断装置７に対する送信準備処理が強制終了とならない場合、つまり既に内部診断装置７に対する送信準備処理が完了している場合には、外部機器２からの要求メッセージを車載装置８に転送してよいことを判断する。
【００３８】
上記したようにＣＡＮバスシステムにおいては、要求メッセージを送信した装置が、所定のタイムアウト時間（５０ｍｓ）内に応答メッセージを受信することを条件とする通信が行われており、車載装置８は、要求メッセージを受信すると、ただちに（たとえば１０ｍｓ以内に）応答メッセージを準備して送信するように動作する。そこで制御部６は、外部機器２から要求メッセージを受信した時刻が、内部診断装置７から要求メッセージを受信した時刻から所定時間（たとえば２０ｍｓ）経過していれば、既に車載装置８における内部診断装置７に対する送信準備処理が完了していることを判断してよい。
【００３９】
一方で制御部６は、外部機器２からの要求メッセージをすぐに転送することで、車載装置８における内部診断装置７に対する送信準備処理が強制終了となる可能性が高い場合、つまり外部機器２から要求メッセージを受信した時刻が、内部診断装置７から要求メッセージを受信した時刻から所定時間（２０ｍｓ）経過していない場合、外部機器２からの要求メッセージを車載装置８に転送してはいけないことを判断する。このとき制御部６は、内部診断装置７から要求メッセージを受信した時刻から所定時間（２０ｍｓ）経過するまで、外部機器２による通信を滞留させる（Ｓ４３）。図４においては、この滞留期間中に、車載装置８が、内部診断装置７に対する送信準備処理を完了して、応答メッセージを内部診断装置７に送信している（Ｓ４４）様子が示される。制御部６は、滞留期間の経過後、要求メッセージを車載装置８に転送する（Ｓ４５）。車載装置８は、要求メッセージを受信すると、外部機器２への応答メッセージを送信するための準備を行い（Ｓ４６）、送信準備が完了すると、応答メッセージを外部機器２に送信する（Ｓ４７）。
【００４０】
それから内部診断装置７が要求メッセージを車載装置８に送信する（Ｓ４８）。車載装置８は要求メッセージを受信すると、内部診断装置７への応答メッセージを送信するための準備を行う（Ｓ４９）。車載装置８が応答メッセージの送信準備を行っている間に、外部機器２が要求メッセージを通信制御装置４経由で車載装置８に送信する（Ｓ５０）と、制御部６は、車載装置８における内部診断装置７に対する送信準備処理が強制終了とならないように、外部機器２による通信を滞留し（Ｓ５１）、滞留期間の経過後、要求メッセージを車載装置８に転送する（Ｓ５３）。なお車載装置８は、滞留期間中に、内部診断装置７に対する送信準備処理を完了して、応答メッセージを内部診断装置７に送信する（Ｓ５２）。車載装置８は、要求メッセージを受信すると、外部機器２への応答メッセージを送信するための準備を行い（Ｓ５４）、送信準備が完了すると、応答メッセージを外部機器２に送信する（Ｓ５５）。
【００４１】
このように図４に示す通信シーケンスにおいては、制御部６が、必要に応じて電子アクセサリからの要求メッセージを滞留させることで、内部診断装置７と車載装置８との通信を好適に実現できる。また電子アクセサリからの要求メッセージは若干遅延されるものの、車載装置８に転送されることで、電子アクセサリは、応答メッセージを車載装置８から受けられる。
【００４２】
なお通信を滞留させる期間を必要以上に長く設定すると、外部機器２が応答メッセージをタイムアウト時間内に受信できないことも生じる。そのため制御部６は、外部機器２と車載装置８との通信を実現させる目的で、外部機器２がタイムアウト時間内に応答メッセージを受け取れるように、滞留期間を設定することが好ましい。
【００４３】
以上、実施例をもとに本発明を説明した。実施例はあくまでも例示であり、各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。
【符号の説明】
【００４４】
１・・・車両システム、２・・・外部機器、３・・・インタフェース、４・・・通信制御装置、５・・・監視部、６・・・制御部、７・・・内部診断装置、８・・・車載装置。
【図１】
2016132327.tif 000003
【図２】
2016132327.tif 000004
【図３】
2016132327.tif 000005
【図４】
2016132327.tif 000006