AUTOSARに準拠したCAN通信プロトコルと HILSシステムへの適用事例

一般論文

AUTOSARに準拠したCAN通信プロトコルと
HILSシステムへの適用事例
姫路事業所

１．まえがき

開発部

開発第３課
服部 喜優

• データ信頼性：伝送中にデータが欠落しないか• 機密性：外部からデータを読み取られないか

近年、自動車業界において、電動化や先進運転支援シ• ノイズ耐性：電気的ノイズに耐性があるか

ステム（ A D A S : A d v a n c e d D r i v e r -A s s i s t a n c e• 開発工数：プロトコルが複雑すぎないか

Systems）などの導入により、車載ECU間の連動制御（車• 実装コスト：実装部品や配線は少ないか内ネットワーク）が増加し、ECU（Electric Control Unit）のさらに、ECU間の通信データの増加に伴い、通信タイミン

ソフトウェア開発と評価に多大な工数を要している。
この状

グやデータ構成の制御を行う、ネットワークレイヤの新たな況下、ECUのソフトウェア開発工数低減と信頼性向上を目規格が求められいる。

的に、欧州自動車メーカーと車載部品メーカーが共同で規格化を推進しているAUTOSAR（AUTomotive Open

２．
２ CAN通信とCAN-FD通信

System Architecture）と称する標準プラットフォームの採車内ネットワーク規格のひとつであるCANは、1994年に用が広がりをみせている。三菱電機㈱姫路製作所におい国際規格となり、現在最も普及している車内ネットワークプても、電動化ECUの開発にAUTOSARが採用されておロトコルである。
ライン型構造のマルチ・マスター方式を採用り、他種のECUも採用検討が進んでいる。

し、シリアルバスシステムにより、少ない配線数で汎用性のAUTOSARは、一般的なOSと同様のハードウェア資源高いプロトコルを実現している。の管理に加えて、車内ネットワーク通信の規格と通信制約、CAN-FDは、CANよりも高速にデータを伝送するためおよび通信データのセキュリティ保護が組み込まれている。に、新たに提唱された規格である。従来、CANのデータ部

さらに車内ネットワークの適用通信プロトコルとして、CANの最大通信速度は1Mbpsであったのに対し、CAN-FD（Control Area Network）、CAN-FD（CAN with

では8Mbpsと高速になり、CANの送受信データ単位であFlexible Data rate）、FlexRay、Ethernetが規定されてるフレームに載せられるデータ長も従来の8バイトから、64バいる。

イトに拡張されている。近年の車載ソフトウェアの連動制御

本稿では、車載ECUの試験設備として使用するHILSの情報量増加から、従来のCANではデータ伝送速度が（Hardware In the Loop Simulation）
システムの開発を不十分なケースが増えているが、CAN-FDを導入するこ

通して、AUTOSARに準拠したCAN-FD通信プロトコルとでバス負荷を軽減することができる。

を使用した車内ネットワーク通信の概要とシステム適用事
例を紹介する。

２．車内ネットワーク通信の概要

３．AUTOSAR準拠の車内ネットワーク通信
本項は、AUTOSAR4.2以降に規定されているCANFD通信仕様について記載する。

２．
１ 車内ネットワーク通信に対する要求
自動車制御の根幹を担う車内ネットワークは、以下のような観点で高い水準が要求される。
• 伝送効率：単位時間あたりどれだけのデータを送信できるか

３．
１ PDUとコンテナ通信（1）PDUとコンテナ通信の概要
AUTOSARではメッセージとCAN通信における最小データ単位であるシグナルの間に、コンテナとPDU（Protcol53

AUTOSARに準拠したCAN通信プロトコルと HILSシステムへの適用事例

ウェイは従来のCANバス上に流れるメッセージをPDUと認識し、コンテナに格納してCAN-FDバスに送信することができる。ゲートウェイに組み込むソフトウェアは、受信したデータをコンテナに格納すればよい。
そのため、CAN-FDのデータベース設計は、従来のCANデータベースをそのまま流用でき、設計・開発が容易になる。
図１．コンテナ通信のレイヤ構造

Data Unit）というレイヤが新たに規定されている。
PDUはそれぞれ送信周期、データ長、内包するシグナルの情報を持っている。図１に示すように、コンテナの内部には複数のPDUが格納でき、コンテナはCAN-FDのメッセージとして送受信される。
コンテナ内部の情報は、格納されるPDUによって変化し、シグナルの構成やデータ長が可

図３．コンテナ通信適用例

変となる特徴がある。
図２に示すように、PDUの送信トリガが発生すると、PDUデータは順次コンテナに格納される。同時に複数のPDU

３．
２ メッセージセキュリティ（1）セキュリティ強化の背景の送信トリガが発生した場合、一つのコンテナに複数の自動運転技術やADASなどの複雑なシステムは、センPDUが格納される。受信側ノードがPDUを識別できるようサから読み取った車の状態（車速や目標トルク等）を入力とに、PDUフレームの先頭に識別IDとPDUデータ長を表現して、ステアリング操作やパワートレイン系の操作を行うためするヘッダー情報が付与される。
コンテナは、CAN-FDのに、車内ネットワーク通信を使用してデータを共有することメッセージとして送信され、受信側ノードはヘッダー情報をもで、ECU間の協調動作を実現している。とにメッセージをPDU毎に分解しシグナルを参照する。
このような通信形式をコンテナ通信と呼ぶ。

そのため、外部から不正なデータを流し込まれた際、自動車の制御に介入され、人命が脅威にさらされる可能性があり、この課題を解決するために、AUTOSARはSecOC（Secured On Board Communication）モジュールを規定している。
（２）SecOCモジュールの仕様
SecOCは外部から流し込まれた不正データを判定するために、共通鍵暗号化方式を採用している。
図４に示すように、通信を行うすべてのECUは、PDU毎に対応した共通鍵を保持しており、PDUデータと共通鍵から暗号データであるMAC（Message Authentication Code）を生成する。生成されたMACの一部は、メッセージの末尾に付加され送図２．コンテナの生成（２）PDUとコンテナ通信の利点
図３に示すような、C A Nで構 築されたネットワークとCAN-FDで構築されたネットワークをゲートウェイで連結するシステムを考えた場合、コンテナ通信を採用すると、
ゲート
54

図４．セキュリティ認証手順

AUTOSARに準拠したCAN通信プロトコルと HILSシステムへの適用事例信される。受信側ノードは受け取ったMACの一部を、所持している共通鍵で認証し、PDUの信頼性を検証する。

いないのが現状である。
そのためECUの試験を実施するためには、CAN-FDモ

しかし、MAC生成の入力値はPDUデータと共通鍵と仮ジュールを使用して、AUTOSARに準拠したCAN-FDプ

定した場合、同じメッセージからは同じMACが生成されるロトコルを独自に開発する必要があり、HILSシステムに課題がある。
これを利用し、過去に送信されたデータをAUTOSARに準拠したCAN-FDプロトコルを適用した事

MACを含めて保持して再送することで、外部からなりすま例について以下に記述する。

すことが可能である。上記の方法を防ぐために、SecOCはFreshnessValueと呼ばれる、再送攻撃を防ぐカウンタが用意されている。

４．
１ コンテナ通信の実装
HILSシステムでコンテナ通信を実施する流れを図５にSecOCは、PDUデータと共通鍵以外にFreshnessValueを入力としてMACを生成する。

示す。
（1）PDUの生成

ECU間はMACの検証をするために、
FreshnessValueの同期をとる必要があり、FreshnessValueの一部を、PDUに付加して送信する。

図５の破線１で囲んだ部分は、各PDUのデータを生成する箇所である。
HILSシステムは、CAN通信データベースファイルに設定しているシグナル情報と、ユーザが設定した車速や目標トル

４．HILSシステムへの適用事例

ク等の物理量データから、PDUデータとヘッダーを生成する。
その後、生成したデータと共通鍵、HILSシステム内部

車載ECUの試験設備であるHILSシステムは、車両のでカウントしているFreshnessValueをもとにMACを算出環境を模擬するために、車内ネットワーク通信を用いて車し、PDUデータの末尾に付加することで、PDUメッセージを両情報をECUに送信する。今回、HILSシステムは試験対生成する。

象である車載ECUに合わせてAUTOSARに準拠した（２）コンテナメッセージの生成

CAN-FD通信を実装する必要があった。
しかし、HILSシステムに実装する車内ネットワークモジュールは、試験設備

図５の破線２で囲んだ部分は、コンテナメッセージを生成する箇所である。のメーカーやサードパーティが提供するライブラリを使用し前項で生成したPDUメッセージは、トリガが発生したものているが、AUTOSARに準拠したCAN-FDプロトコルにから順番に連結され、コンテナメッセージとして生成される。

ついては、メーカーやサードパーティの開発が追いついてコンテナメッセージのサイズは連結したPDUのデータサイ

図５． コンテナ通信内部フロー

55

AUTOSARに準拠したCAN通信プロトコルと HILSシステムへの適用事例

ズに応じて変化する。
（３）送信データの形成とCAN-FDバスに送信
図５の破線３で囲んだ部分は、送信データを形成しCAN-FDバスに送信する箇所である。CAN-FD通信モ

前述の方法は、CAN-FD通信モジュールの内部を変更せず、送信用データベースファイルの情報を書き換えることで対応しているため、コンテナ通信と従来のCAN-FD通信の両方を共存して使用することができる。

ジュールは、送信用データベースファイルをもとに送信データを形成し、CAN-FDバス上に送信する。

４．
２ セキュリティ演算の実装

図６に示すように、従来のCAN-FD通信は、個々のHILSシステムは、ECUとフィードバックループ制御を実PDUメッセージをCAN-FDバス上に送信していたため、現するために、高速で正確な演算周期が要求される。特

CAN通信データベースファイルと送信用データベースファに車内通信に関する機能は、送受信スケジュールに忠実イルの内容が同一となり、シグナル情報やデータ長を読みに送信するためにもデータ生成、セキュリティ演算が規定取ることで、送信データを形成することができた。

時間内に完了することが必要条件となる。
特に今回実装したセキュリティ演算は、入力データを撹拌するため計算量が多く、算出に時間がかかる。
そのため演算を規定時間内に完了するために、以下の設計を採用した。
（1）S-Functionブロックの使用
H I L S システムの 開 発 に は モ デ ル 言 語 で ある
MATLAB/Simulinkを使用しているが、Simulinkを使用して大量の配列データを扱ったり、特定のビット位置に書き

図６．従来のCAN-FD通信モジュール使用方法

込む操作は煩雑な記述になる。
また、高級言語であるSimulinkで作成したアプリケー

一方、コンテナ通信は、格納するPDUメッセージの数やトションをHILSシステムのハードウェアに書き込む際、コンパリガの発生順序によって、コンテナメッセージ中のシグナル

イラは一度C言語に変換しロードモジュールを生成するた格納位置やデータ長が変化するため、CAN通信データめ、実行効率が低下する恐れがある。

ベースファイルから送信データを形成することができない。

そこでHILSシステムでは、PDUデータ作成ロジックとセそこで、コンテナ通信用のデータベースファイルを作成し、キュリティ演算ロジックを、Simulinkのブロック線図にC言CAN-FD通信モジュールに設定した。

語で記述したロジックを追加することができるS-Function

コンテナ通信用のデータベースファイルには、１バイト毎にブロックに記述することで上記の課題を解消し、さらにモデ分割したダミーシグナルを定義している。
図７に示すように、
コル言語の長所であるソフトウェアの視認性・保守性を損なうンテナ生成モジュールが出力したコンテナメッセージを、バイことなく、高速な演算性能を確保した。

ト単位に分割して代入することにより、CAN-FD通信モ（２）HILSシステムのマルチプロセッサ化

ジュールはコンテナメッセージのPDU構成に依存せず、分割HILSシステムには、4つのプロセッサが実装されているされたバイトデータを連結して、送信データとして再構成するが、従来のシステムでは、１つのプロセッサですべての処理ことで、CAN-FDバス上にデータを送信することができる。

を行っていた。
今回、セキュリティ演算を規定時間内に完了させるためにマルチプロセッサシステムを採用し、一つのプロセッサに演算機能を独立させた。
マルチプロセッサの構成を図８に示す。
マルチプロセッサ化でプロセッサ間のデータ受渡し時間による処理遅延に対処するため、演算プロセッサとの動作周期をマスタプロセッサよりも高速に設定し、マスタプロセッサでのデータを生成後、演算プロセッサがデータを受

図７．コンテナ通信用データベースファイル使用方法

56

けとるまでの待機時間を短縮した。

AUTOSARに準拠したCAN通信プロトコルと HILSシステムへの適用事例

図８．マルチプロセッサ構成図

５．今後の展開
AUTOSARは、業界全体での採用が加速しており、今後ますますECUへの適用が見込まれる。今回、HILSシス
テムは試験対象であるECUに合わせてAUTOSARに準拠したCAN-FD通信を実装したが、車載Ethernetの車内ネットワークが実装される可能性も大いにある。今後、HILSシステムに、ECUの試験装置として他の車両通信ネットワークを実装していく。

６．むすび
AUTOSAR準拠の車内ネットワークを、HILSシステムに適用することができた。今後もECUの試験設備として要求される機能を実装していく。
最後に、本システムの開発に際し御指導、御協力いただいた関係者各位に深く感謝申し上げる。

執筆者紹介
服部喜優

ハットリ ノブマサ

2016年入社。主にHILSシステムのソフトウェア開発に従事。現在、姫路事業所開発部開発第３課。

57