JP5651615B2 - 車載ネットワークシステム - Google Patents

Description

本発明は、車載ネットワークシステムに関する。

近年、乗用車、トラック、バス等には、各機能部を制御する車載ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）が多数搭載されている。各ＥＣＵは車載ネットワークを介して相互接続し、協調動作する。

通常、車載ＥＣＵが搭載している制御プログラムは、車載ＥＣＵに内蔵されているマイクロコンピュータのフラッシュＲＯＭ（Ｒｅａｄ Ｏｎｌｅ Ｍｅｍｏｒｙ）などの記憶装置に格納されている。この制御プログラムのバージョンは、製造者によって管理されており、正規のソフトウェアバージョンを組み合わせることにより、単独機能および車載ネットワークを通じての協調機能が正常に動作するように意図されている。

したがって、意図しないソフトウェアを搭載した車載ＥＣＵ、または意図的に改竄された車載ＥＣＵが車載ネットワークに接続されることは、車両のセキュリティの観点から看過できない。

このような不正（非正規）ＥＣＵが車載ネットワーク内に存在すると、車載ＥＣＵが車載ネットワークを通じて相互に接続（一般的にはバス形態に接続）されているので、システム全体を脅威に曝すことになる。セキュリティの観点からは、例えば不正ＥＣＵによって車載ネットワークが攻撃されることを想定しなければならない。

車載ネットワークに対する攻撃には２種類考えられる。１つ目の攻撃は、不正ＥＣＵから車載ネットワークに対するＤｏＳ攻撃（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋ）である。ＤｏＳ攻撃とは、主にインターネット上のサーバに多量の接続要求を送信して回線速度を低下させたり、過負荷でダウンさせたりすることであるが、車載ネットワークに対しては正規ＥＣＵ間の通信を輻輳（トラフィックの集中）により阻害して、遅延時間の増加によりリアルタイム制御を妨害する行為を言う。

２つ目の攻撃として、通信内容の盗聴が考えられる。これには、車載ネットワークを盗聴して技術情報を盗み、その情報を利用して車載ネットワークを通じて意図しない制御を実施させようとすることも含まれている。

これら車載ネットワークに対するセキュリティ上の弱点を克服するために、上記攻撃が行われことを検知する技術が求められている。下記特許文献１には、共通鍵または共通鍵生成源を複数の車載ＥＣＵ間で共有し、この情報を共有していると推定されている正規のＥＣＵ間で、暗号化通信により通信を秘匿する技術が記載されている。

特開２０１０−１１４００号公報

上記特許文献１に記載されている技術では、共通鍵を用いた暗号化通信により通信を秘匿しているに過ぎず、車載ネットワークに対する不正ＥＣＵからのＤｏＳ攻撃や不正ＥＣＵによる盗聴を検出することは難しい。

また、特許文献１に記載されている技術では、車載ＥＣＵ間で共通鍵による暗号化通信を実施しているので、その実現のために多大な計算機パワーが必要である。すなわち、特許文献１内で引用されているＫＰＳ（Ｋｅｙ Ｐｒｅｄｉｓｔｒｉｂｕｔｉｏｎ Ｓｙｓｔｅｍ）方式に基づいて通信相手方の鍵を復元する計算資源と、その鍵による暗号化通信を実施するＤＥＳ（Ｄａｔａ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）方式などの共通鍵暗号を実行する計算資源が必要になる。

これらの処理は、現状の車載ＥＣＵの能力（ＣＰＵの計算能力、ＲＯＭ／ＲＡＭの容量など）にとって非常に大きなリソースを要求する。したがって、特許文献１に記載されている暗号化通信を実現するためには、車載ＥＣＵのコスト上昇が避けられない。また、ハードウェア性能を向上させずに上記方式を実装すると、リアルタイム処理において大幅な処理速度低下が発生すると考えられるので、車載ＥＣＵとしての役割を果たすことが難しくなる。

現状の車載ＥＣＵを設計する際には、各ＥＣＵおよびその構成部品の原価低減を積み上げて、車両システム全体の価格戦略を摺り合わせている。車載ＥＣＵ間の暗号化通信という目的に対して、これら構成部品の価格が上昇することは、到底許容できるものではない。

本発明は、上記のような課題を解決するためになされたものであり、各車載制御装置の処理負荷（およびコスト）の上昇を抑えつつ、車載ネットワークに対する不正ＥＣＵからの攻撃を検出または排除することにより、車両のセキュリティを向上させることを目的とする。

本発明に係る車載ネットワークシステムは、車載制御装置を車載ネットワークに登録させる登録装置を介して、通信規約のうち車載ネットワーク上の実装に依拠する部分を定義する定義データを、車載制御装置に配信する機能を有する通信規約発行装置を設ける。

本発明に係る車載ネットワークシステムによれば、車両ごとに独自の通信規約によって車載ネットワークの全体動作を規定し、それを知らない不正ＥＣＵが車載ネットワークに接続したことを検出する、または無断傍受されたデータを不正ＥＣＵが解釈することを妨げることができる。通信規約のうち実装に依拠する部分を変更する処理は多大な処理負荷を要するものではないので、各ＥＣＵにハードウェアリソースを追加する必要はない。また、認証済みの登録装置を介して独自の通信規約を配信することにより、高度な信頼性（プロトコルの改竄防止）を確保することができる。これにより、各車載制御装置の処理負荷およびコストを抑えつつ、車載ネットワーク全体のセキュリティを向上させることができる。

実施形態１に係る車載ネットワークシステム１０００の構成図である。 通信規約発行装置１０３がネットワーク登録装置１０２を認証するシーケンスを説明する図である。 車載ネットワークに不正に接続してＤｏＳ攻撃をしかけるＥＣＵを検出する手法を説明する図である。 図３で説明したシーケンスを通信規約発行装置１０３の処理フローとして表したものである。 車載ネットワークを流れるデータを不正に盗聴するＥＣＵを検出する手法を説明する図である。 図５で説明したシーケンスを通信規約発行装置１０３の処理フローとして表したものである。 特許文献１に記載されている車載ネットワークの構成例を示す図である。 実施形態２に係る車載ネットワークシステム１０００の構成例を示す図である。 本発明において車載ネットワーク２０２を流れるデータフレームを難読化する原理を説明する図である。 通信規約発行装置１０３が図１のステップＳ１１３で目標ＥＣＵ１０１に対して配信する「車両独自プロトコル」の構造を示す図である。 近年の代表的な高機能車両が備えている車載ネットワークのネットワークトポロジー例を示す図である。

＜実施の形態１＞
図１は、本発明の実施形態１に係る車載ネットワークシステム１０００の構成図である。車載ネットワークシステム１０００は、車両の動作を制御するＥＣＵを接続する車内ネットワークである。ここでは、車両独自のプロトコルを配信する対象である目標ＥＣＵ１０１のみを例示したが、車載ネットワークシステム１０００に接続するＥＣＵの数はこれに限られるものではない。

車載ネットワークシステム１０００には、目標ＥＣＵ１０１と通信規約発行装置１０３が車載ネットワークを介して接続されている。また、目標ＥＣＵ１０１を車載ネットワークに参加登録させるため、必要に応じてネットワーク登録装置１０２が車載ネットワークシステム１０００に接続される。

ネットワーク登録装置１０２は、目標ＥＣＵ１０１を車載ネットワークに参加させる装置である。車載ネットワークに参加させるとは、通信規約発行装置１０３が車載ネットワークの正規ＥＣＵのみに対して発行する車両独自プロトコルを、目標ＥＣＵ１０１が備えるメモリ内に記憶させ、以後その車両独自プロトコルを用いて車載ネットワーク上で通信できるようにすることである。

ネットワーク登録装置１０２が目標ＥＣＵ１０１に対してネットワーク登録処理を実施するためには、あらかじめ通信規約発行装置１０３による認証を受ける必要がある。ここでいう認証とは、ネットワーク登録装置１０２が目標ＥＣＵ１０１を車載ネットワークに参加させる権限を有するか否かを検証する処理である。

ネットワーク登録装置１０２は、必ずしも車載ネットワークに常時接続されている必要はない。例えば、車両の製造工程において車載ネットワークシステム１０００を構築する際に、目標ＥＣＵ１０１を車載ネットワークに参加させる作業を実施するときのみ、ネットワーク登録装置１０２を手作業で車載ネットワークに接続することができる。

通信規約発行装置１０３は、車載ネットワークを介して目標ＥＣＵ１０１およびネットワーク登録装置１０２と通信することのできる装置である。通信規約発行装置１０３は、上述の車両独自プロトコルを発行し、ネットワーク登録装置１０２を介して目標ＥＣＵ１０１へ配信する。ここでいう車両独自プロトコルとは、車載ネットワーク上で使用される通信プロトコルのうち、車載ネットワークの実装に依拠する部分を定義するものである。具体例については後述の実施形態２で説明する。通信規約発行装置１０３は、ＥＣＵの１種として構成してもよいし、その他任意の通信装置として構成してもよい。

図１は、ネットワーク登録装置１０２が目標ＥＣＵ１０１を車載ネットワークに参加させる手順を説明する図である。以下、図１の各ステップについて説明する。
（図１：ステップＳ１１１：認証要求）
オペレータは、ネットワーク登録装置１０２を操作して、目標ＥＣＵ１０１を車載ネットワークに参加させる作業（登録処理）を開始する。ネットワーク登録装置１０２は、登録処理を開始すると、通信規約発行装置１０３に対し、自己を認証するように車載ネットワークを介して要求する。

（図１：ステップＳ１１２：車両独自プロトコルの配布）
通信規約発行装置１０３は、ネットワーク登録装置１０２から認証要求を受け取ると、所定の認証アルゴリズム（詳細は後述の図２で説明）にしたがってネットワーク登録装置１０２を認証する。通信規約発行装置１０３は、ネットワーク登録装置１０２の真正性を確認した場合は、車両外部に対して秘匿すべき車両独自プロトコルを定義した定義データを生成して、ネットワーク登録装置１０２に配信する。

（図１：ステップＳ１１３：プロトコル格納指令）
ネットワーク登録装置１０２は、車載ネットワークに参加させようとしている目標ＥＣＵ１０１に対して、通信規約発行装置１０３から配信された定義データを中継し、これをメモリ上に格納するよう目標ＥＣＵ１０１に対して指示する。

（図１：ステップＳ１１４：格納完了通知）
目標ＥＣＵ１０１は、ステップＳ１１３で受け取った定義データを自局のメモリに格納し、車載ネットワークに正常に参加した旨をネットワーク登録装置１０２に通知する。

（図１：ステップＳ１１５：一斉動作要求）
通信規約発行装置１０３は、「ステップＳ１１２でネットワーク登録装置１０２を経由して配布しておいた車両独自プロトコルが正規ＥＣＵすべての間で共有されている」との推定に基づいて、車載ネットワークに対して一斉動作要求をブロードキャストする。目標ＥＣＵ１０１は、この指令に基づき、ステップＳ１１３で受け取った定義データにしたがって車載ネットワークとの間で通信する。

（図１：ステップＳ１１６：不正ＥＣＵの検出）
通信規約発行装置１０３は、一斉動作要求（ステップＳ１１５）に従わないＥＣＵを発見する。このＥＣＵは、図３および図５で後述するように、車載ネットワークに害を及ぼうそうとする不正ＥＣＵである可能性が大きいので、これを記憶し外部にその旨の警告を発する。

＜実施の形態１：ネットワーク登録装置の認証＞
図２は、通信規約発行装置１０３がネットワーク登録装置１０２を認証するシーケンスを説明する図である。この認証は、本発明の信頼性の中核をなすものである。図２の認証シーケンスは、図１のステップＳ１１１に相当するものである。ここでは、公開鍵暗号方式に基づくデジタル署名を用いてネットワーク登録装置１０２を認証する手法を例示するが、チャレンジ＆レスポンス認証など別の認証方式を用いることもできる。なお、あらかじめネットワーク登録装置１０２の公開鍵と秘密鍵のペアを生成し、公開鍵を通信規約発行装置１０３に配信しておくものとする。以下、図２の各ステップについて説明する。

（図２：ステップＳ２０１）
ネットワーク登録装置１０２は、例えば車載ネットワークに最初に接続した時点など、目標ＥＣＵ１０１をネットワーク登録する動作に先立って、通信規約発行装置１０３に対し自己が正規端末であることを認証するように要求する。このとき、ネットワーク登録装置１０２の識別コード（またはそれに類する情報）を併せて送信し、自身を固有に識別する情報を通信規約発行装置１０３に対して明らかにする。

（図２：ステップＳ２０１：補足）
本ステップでいう正規端末とは、ネットワーク登録装置１０２が当該車両のメーカによって認定された正規のものであること、目標ＥＣＵ１０１を車載ネットワークに参加登録する権限を有すること、改竄されたものでないこと、別の装置が正規のネットワーク登録端末１０２になりすましたものでないこと、などを保証された端末のことである。

（図２：ステップＳ２０２〜Ｓ２０３）
通信規約発行装置１０３は、認証開始処理を実行する（Ｓ２０２）。具体的には、疑似乱数を用いて種コードを生成し、ネットワーク登録装置１０２に返送する（Ｓ２０３）。また、ステップＳ２０１でネットワーク登録装置１０２から受け取った識別コードを用いて、ネットワーク登録装置１０２に対応する公開鍵を特定しておく。

（図２：ステップＳ２０４〜Ｓ２０５）
ネットワーク登録装置１０２は、ステップＳ２０３で認証サーバから受け取った種コードを自身の秘密鍵で署名し（Ｓ２０４）、署名済みコードとして通信規約発行装置１０３に返送する（Ｓ２０５）。

（図２：ステップＳ２０６）
通信規約発行装置１０３は、ステップＳ２０２で特定しておいた公開鍵を読み出し、これを用いてステップＳ２０５でネットワーク登録装置１０２から受け取った署名済みコードを復号する。通信規約発行装置１０３は、その復号結果とステップＳ２０３でネットワーク登録装置１０２に送信した種コードを比較し、両者が一致すればネットワーク登録装置１０２が正規端末であると判断する。両者が一致しなければ、ネットワーク登録装置１０２は認証許可されなかったことになる。

（図２：ステップＳ２０７〜Ｓ２０８）
通信規約発行装置１０３は、認証シーケンスが終了した旨を、確認応答としてネットワーク登録装置１０２に対して送信する（Ｓ２０７）。その後、ネットワーク登録装置１０２は、これから車載ネットワークに参加登録させる予定の目標ＥＣＵ１０１に中継すべき車両独自プロトコルを発行するよう、通信規約発行装置１０３に対して要求する（Ｓ２０８）。

＜実施の形態１：ＤｏＳ攻撃ＥＣＵの検出＞
図３は、車載ネットワークに不正に接続してＤｏＳ攻撃をしかけるＥＣＵを検出する手法を説明する図である。通信規約発行装置１０３は、ＤｏＳ攻撃をしかける不正ＥＣＵ１３１を検出する際には、ステップＳ１１２で車両独自プロトコルを配信した後、車載ネットワーク２０２に対してデータ送信を停止するよう命令するデータ送信停止コマンドを配信する。データ送信停止コマンドに従わないＥＣＵは、本来であれば車載ネットワーク２０２のトラフィック量を抑えるべきところ、これに反してトラフィック量を維持もしくは増加させているので、ＤｏＳ攻撃をしているＥＣＵであると推定することができる。以下、図３に示す各ステップについて説明する。

図３において、不正ＥＣＵ１３１は、車載ネットワーク２０２に対してＤｏＳ攻撃をしかけていると仮定する（Ｓ３０１）。すなわち不正ＥＣＵ（１３１）は、正規ＥＣＵ間の通信を妨害する目的で、無意味なトラフィックを車載ネットワーク２０２に対して定期的に注入する。

通信規約発行装置１０３と目標ＥＣＵ１０１（図３では便宜上、正規ＥＣＵ１０１と表記している）との間では、車両独自プロトコルに準拠した上で、上述の「データ送信停止コマンド」を規約し共有したものとする（Ｓ３０２）。「データ送信停止コマンド」は、図１のステップＳ１１２で配信した車両独自プロトコルにしたがって発行されるので、車載ネットワーク２０２に接続される正規ＥＣＵ１０１のみの間で秘密裏に共有され、車両外部には公開されていない情報である。したがって、同コマンドは不正ＥＣＵ１３１には知られていない。

通信規約発行装置１０３は、車両の特定運転モード（一例として車両制御に影響の少ないイグニッションキーＯＦＦ時やサービス工場におけるメンテナンスモード等）で、前述の「データ送信停止コマンド」を車載ネットワーク２０２に対して一斉送信する（Ｓ３０３）。

正規ＥＣＵ１０１は、通信規約発行装置１０３が送信した「データ送信停止コマンド」にしたがって、車載ネットワーク２０２に対するデータ送信を一斉に停止する（Ｓ３０４）。もっとも、正規ＥＣＵ１０１から自発的に発信するデータのみ送信停止すればよいので、正規ＥＣＵ１０１が受信したデータに対するＡＣＫ応答などは引き続き送信できるようにしてもよい。

不正ＥＣＵ１３１は、ネットワーク登録装置１０１が配信する車両独自プロトコルを受け取っていないので、「データ送信停止コマンド」を解釈することができない。したがって、妨害トラフィックを送信し続ける。通信規約発行装置１０３は、この協調逸脱を検出することによって、車載ネットワーク２０２がＤｏＳ攻撃を受けていることを認識する（Ｓ３０５）。

図４は、図３で説明したシーケンスを通信規約発行装置１０３の処理フローとして表したものである。以下、図４の各ステップについて説明する。
（図４：ステップＳ４０１）
通信規約発行装置１０３は、不正ＥＣＵを検知するのに適したタイミングであるか否かを判定する。これは、図３で説明した車両の特定運転モード（一例として車両制御に影響の少ないイグニッションキーＯＦＦ時やサービス工場におけるメンテナンスモード等）であるかどうかの判定に相当する。不正ＥＣＵの検出は、車載ネットワークを普段とは違う状態に遷移させて実施する能動的（モニタを行うなどの受動的・非破壊的な測定ではない）計測なので、安全性に配慮して、車両制御が所定時間失われてもよいタイミングに限定される。そこで本ステップにおいて、不正ＥＣＵを検知するのに適したタイミングであるか否かを判定することにした。不正ＥＣＵを検知するのに適したタイミングであればステップＳ４０２に進み、そうでなければ本ステップで待機する。

（図４：ステップＳ４０２〜Ｓ４０３）
通信規約発行装置１０３は、図３で説明した「データ送信停止コマンド」を車載ネットワーク２０２にブロードキャストして正規ＥＣＵからのデータ送信を一斉停止させるとともに（Ｓ４０２）、計測用タイマを初期化する（Ｓ４０３）。

（図４：ステップＳ４０４）
通信規約発行装置１０３は、一斉送信を停止中であるにもかかわらず送信を継続しているＥＣＵが存在するかどうかを確認する。存在する場合はＤｏＳ攻撃を受けていると見なしてステップＳ４０５へ進み、検出しなかった場合はステップＳ４０６へ進む。

（図４：ステップＳ４０５）
通信規約発行装置１０３は、ＤｏＳ攻撃を検出した旨をメモリなどに記録し、後の適当な時点でその旨の警告を発信する。

（図４：ステップＳ４０６）
通信規約発行装置１０３は、ステップＳ４０３で設定した計測用タイマがタイムアウトしたかどうかをチェックする。タイムアウトしていなければステップＳ４０４へ戻って同様の処理を繰り返す。タイムアウトしている場合はステップＳ４０７へ進む。

（図４：ステップＳ４０７）
通信規約発行装置１０３は、「データ送信回復コマンド」をブロードキャストし、車載ネットワーク２０２を通常の状態に復帰させて、本処理フローを終了する。「データ送信回復コマンド」を受け取った正常ＥＣＵ１０１は、「データ送信停止コマンド」を受け取る前の状態に復帰する。

＜実施の形態１：盗聴ＥＣＵの検出＞
図５は、車載ネットワークを流れるデータを不正に盗聴するＥＣＵを検出する手法を説明する図である。通信規約発行装置１０３は、盗聴をしかける不正ＥＣＵ１３１を検出する際には、ステップＳ１１２で車両独自プロトコルを配信した後、データを受信したときにＡＣＫ（ＡＣＫｎｏｗｌｅｄｇｅｍｅｎｔ）信号を返信することを停止するよう命令する、受信ＡＣＫ返信停止コマンドを配信する。ＡＣＫ信号とは、車載ネットワークの自動再送プロトコルにおける受信確認のために用いられる応答信号である。

車載ネットワークでよく使用されるＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）などの通信プロトコルは、データを自動再送するメカニズムをもっているものが多い。このメカニズムを備えた通信プロトコルにおいては、データを正常受信したノードは送信ノードに対してＡＣＫ信号を返信する。送信ノードは、ＡＣＫ信号の返信があるまで、データが途中で失われたと仮定してデータを自動的に再送する。これは一種のハンドシェイクを実現したプロトコルであり、データ通信の信頼性を向上させるための代表的な手法である。

図５において、不正ＥＣＵ１３１は車載ネットワーク２０２に対して盗聴をしかけているものとする（Ｓ５０１）。不正ＥＣＵ１３１は、車載ネットワーク２０２を流れるデータフレームに対して、正規ＥＣＵ１０１と同様にＡＣＫ信号を返信し、データ送信を進行させるよう促しているものとする（Ｓ５０２）。

通信規約発行装置１０３と正規ＥＣＵ１０１との間では、車両独自プロトコルに準拠した上で、上述の「受信ＡＣＫ返信停止コマンド」を規約し共有したものとする（Ｓ５０３）。「受信ＡＣＫ返信停止コマンド」は、図１のステップＳ１１２で配信した車両独自プロトコルにしたがって発行されるので、車載ネットワーク２０２に接続される正規ＥＣＵ１０１のみの間で秘密裏に共有され、車両外部には公開されていない情報である。したがって、不正ＥＣＵ１３１には知られていない。

通信規約発行装置１０３は、車両の特定運転モード（一例として車両制御に影響の少ないイグニッションキーＯＦＦ時やサービス工場におけるメンテナンスモード等）で前述の「受信ＡＣＫ返信停止コマンド」を車載ネットワーク２０２に対して一斉送信する（Ｓ５０４）。

正規ＥＣＵ１０１は、通信規約発行装置１０３が送信した「受信ＡＣＫ返信停止コマンド」にしたがって、車載ネットワーク２０２に対するデータ送信を一斉に停止する（Ｓ５０５）。ＡＣＫ返信を停止するためには、例えば各正規ＥＣＵ１０１における通信デバイスや通信ドライバ（図示せず）を、あらかじめ車載ネットワークシステム１０００全体で合意した所定期間、車載ネットワーク２０２から切り離せばよい。これにより、正規ＥＣＵ１０１は通信データを送信することができなくなるので、結果としてＡＣＫ信号も返信しないことになる。

通信規約発行装置１０３は、「受信ＡＣＫ返信停止コマンド」を配信した後、適当なダミーデータフレームを車載ネットワーク２０２に対して送信する。不正ＥＣＵ１３１は、ネットワーク登録装置１０２が配信する車両独自プロトコルを配布されることなくネットワークに参加しているので、「受信ＡＣＫ返信停止コマンド」を解釈することができない。したがって、不正ＥＣＵ１３１はダミーデータフレームに対してＡＣＫ信号を返信する。この協調逸脱を検出することによって、車載ネットワーク２０２に対して盗聴をしかけている不正ＥＣＵ１３１が存在することを認識する（Ｓ５０６）。

図６は、図５で説明したシーケンスを通信規約発行装置１０３の処理フローとして表したものである。以下、図６の各ステップについて説明する。
（図６：ステップＳ６０１〜Ｓ６０３）
ステップＳ６０１は、Ｓ４０１と同様である。ステップＳ６０２において、通信規約発行装置１０３は、図５で説明した「受信ＡＣＫ返信停止コマンド」を車載ネットワーク２０２にブロードキャストして正規ＥＣＵ１０１を車載ネットワーク２０２より切り離す。ただしこの動作は時間期限付きとし、各正規ＥＣＵ１０１は所定時間後に元の車載ネットワーク２０２に再接続してデッドロックを防ぐ。ステップＳ６０３ではＳ４０３と同様に計測用タイマを初期化するが、この計測用タイマのタイムアウト時間（盗聴計測時間）は、ステップＳ６０２を契機とする正規ＥＣＵの車載ネットワークからの切り離しの期限よりも小さいものとする。

（図６：ステップＳ６０４〜Ｓ６０５）
通信規約発行装置１０３は、受信ＡＣＫの返信が停止しているか否かを確かめるため、ダミー送信フレームを車載ネットワーク２０２にブロードキャストする（Ｓ６０４）。通信規約発行装置１０３は、受信ＡＣＫを返信することを停止しているにもかかわらず、ステップＳ６０４のダミー送信フレームに対してＡＣＫ信号を返信するＥＣＵが存在するか否かをチェックする（Ｓ６０５）。存在する場合はステップＳ６０６へ進み、存在しない場合はステップＳ６０７へ進む。

（図６：ステップＳ６０６）
通信規約発行装置１０３は、盗聴を検出した旨をメモリなどに記録し、後の適当な時点でその旨の警告を発信する。

（図６：ステップＳ６０７）
通信規約発行装置１０３は、ステップＳ６０３で設定した計測用タイマがタイムアウトしたかどうかをチェックする。タイムアウトしていなければステップＳ６０４へ戻って同様の処理を繰り返す。タイムアウトしている場合は本処理フローを終了する。

（図６：ステップＳ６０６もしくはステップ６０７その後の補足）
ステップＳ６０２で配信する「受信ＡＣＫ返信停止コマンド」は時間期限が付されているので、正規ＥＣＵ１０１はその期限経過後に自律的に車載ネットワーク２０２へ再接続する。したがって、ステップＳ４０７に相当するステップを明示的に設ける必要はない。

＜実施の形態１：まとめ＞
以上のように、本実施形態１に係る車載ネットワークシステム１０００において、通信規約発行装置１０３は、厳密に真正性を検証可能なネットワーク登録装置１０２を経由して、目標ＥＣＵ１０１に車両独自プロトコルを配布することができる。これにより、多大な計算資源を消費することなく、現状のＥＣＵコストを増加させずにＤｏＳ攻撃や盗聴を検出することができる。

＜実施の形態２＞
本発明の実施形態２では、実施形態１で説明した車載ネットワークシステム１０００の具体的な構成例について説明する。また、車両独自プロトコルにより、不正ＥＣＵ１３１を検出するのみならず、通信データを難読化する機能について説明する。

以下、本実施形態２に係る車載ネットワークシステム１０００（図８）と、特許文献１に記載されている従来例（図７）とを比較し、物理的構成や処理内容に関する違いを説明する。

＜実施の形態２：従来例の説明＞
図７は、特許文献１に記載されている車載ネットワークの構成例を示す図であり、本実施形態２と対比するために記載したものである。図７において、車載ネットワーク２０２の中にＥＣＵマスタ１０５が存在しており、これが車両ごとの識別番号｛車両ＩＤ｝を保持している。

ＥＣＵマスタ１０５は、初期化処理を実施するとき、車載ネットワーク２０２の外部に設置されているセンターサーバ２０３に対して、｛車両ＩＤ，ＥＣＵ−ＩＤ，ソフトウェアバージョン｝の情報をセットにして、｛共通鍵生成源｝を配信するよう要求する（ステップＳ７１１）。ＥＣＵ−ＩＤはＥＣＵマスタ１０５の識別子であり、ソフトウェアバージョンはＥＣＵマスタ１０５が搭載しているソフトウェアのバージョンである。

センターサーバ２０３は、その要求に応じて｛共通鍵生成源｝を配布する（ステップＳ７１２）。これらのやり取りは、ＥＣＵマスタ１０５内部に固定的に設定された初期化鍵によって暗号化されている（外部通信Ｆ２２１）。

センターサーバ２０３より配布される｛共通鍵生成源｝は、車載ネットワーク２０２に属するＥＣＵ間の通信のみに使われる「共通鍵を導出する情報源」である。｛共通鍵生成源｝は、センターサーバ２０３と通信する際には用いられない。

ＥＣＵマスタ１０５以外の車載ネットワークに属する目標ＥＣＵ１０１は、ＥＣＵマスタ１０５より｛車両ＩＤ｝を入手する。この時点では、目標ＥＣＵ１０１は｛共通鍵生成源｝を入手していないので、目標ＥＣＵ１０１は暗号化を実施せずにＥＣＵマスタ１０５と通信する（ステップＳ７１３）。

目標ＥＣＵ１０１は、ＥＣＵマスタ１０５より受け取った｛車両ＩＤ｝を用いて、｛車両ＩＤ，ＥＣＵ−ＩＤ，ソフトウェアバージョン｝のセットを組み立て、センターサーバ２０３に対して、｛共通鍵生成源｝を配信するよう要求する（ステップＳ７１４）。ＥＣＵ−ＩＤは目標ＥＣＵ１０１の識別子であり、ソフトウェアバージョンは目標ＥＣＵ１０１が搭載しているソフトウェアのバージョンである。

センターサーバ２０３は、その要求に応じて｛共通鍵生成源｝を配布する（ステップＳ７１５）。これらのやり取りは、目標ＥＣＵ１０１内部に固定的に設定された初期化鍵によって暗号化されている（外部通信Ｆ２２２）。

以上の構成より、特許文献１における方式には次のような脆弱性が存在することが明らかとなる。
（脆弱性１）車載ネットワーク２０２に属する全てのＥＣＵは、初期化処理を実施するとき、車載ネットワーク２０２の外部に配置されているセンターサーバ２０３と接続して｛共通鍵生成源｝の配布を受ける。そのため、初期化処理中にセンターサーバ２０３との間の接続が断たれた場合は、有効な車載ネットワークを構成することができない。
（脆弱性２）センターサーバ２０３は、全ての車両の｛車両ＩＤ，ＥＣＵ−ＩＤ，ソフトウェアバージョン｝と｛共通鍵生成源｝のセットを管理している。そのため、センターサーバ２０３が不正に侵入されると、全ての車両の鍵が流出する。また、故意・過失を問わずセンターサーバ２０３に障害が発生すると、全ての車両の鍵が紛失する危険を伴う。
（脆弱性３）初期化処理を実施するときの暗号化通信（外部通信Ｆ２２１および外部通信Ｆ２２２）が脆弱である。そのため、｛共通鍵生成源｝の配布をうける際に、ＥＣＵとセンターサーバ２０３との間の相互認証がセキュアではない。これは、部品として量産されるＥＣＵハードウェアの制約上、固定的でバリエーションの少ない暗号化鍵を使わざるを得ない特性に起因する。したがって、この暗号化鍵が破られると、センターサーバ２０３については特定車両の鍵情報が流出するおそれがあり、車載ＥＣＵについては悪意の第３者が偽りの鍵情報を配布することにより車載ネットワークへの妨害などが発生し得る。
（脆弱性４）初期化処理を実施するときのＥＣＵマスタ１０５から目標ＥＣＵ１０１の間の｛車両ＩＤ｝の流れ（ステップＳ３１３）は暗号化されていないので、車載ネットワーク２０２の外部から容易にキャプチャすることができる。これは、｛車両ＩＤ，ＥＣＵ−ＩＤ，ソフトウェアバージョン｝のセット（ステップＳ３１１およびステップＳ３１４で使用）を悪意の第３者が類推する糸口になる。

また、共通鍵暗号化方式を用いてＥＣＵ間で通信するので、以下に示す方式上の課題がある。
（課題１）｛共通鍵生成源｝から特定の演算によって通信相手のＥＣＵとの間の共通鍵を導出するため（通信相手のＥＣＵによってこの共通鍵は異なる）、この鍵導出演算に処理時間が必要となる。また、共通鍵暗号化通信に際しても、その暗号化・復号化を実施するために本来の制御処理に加えて追加の処理時間が必要となり、処理時間の増加によってリアルタイム性が損なわれる。
（課題２）共通鍵暗号化方式は、通信効率が悪い。暗号化すべき信号が短い場合、総当り攻撃から暗号通信を保護するため、ある程度の長さのメッセージ長になるまで信号にパディングする。これが通信効率を低下させる原因になり、単位時間当たりの通信情報量が低下する。
（課題３）リアルタイム制御のデータ通信のために共通鍵暗号方式を用いること自体がオーバースペックである。共通鍵暗号方式は、人間が用いる（読んで意味のわかる）メッセージを暗号化するために考案されたものであり、辞書攻撃を避けるために如何に平文をスクランブル化するかが要点である。翻ってリアルタイム制御のデータ通信は、人間が読んで意味のあるメッセージを用いるものではない（たとえばＡ／Ｄ変換値など）。したがって、個々の車両独自で、通信データフレーム上における特定のデータマッピングの位置をずらす、交換するなどの変更のみでも、データフレームの難読化に対して十分効果があるものと思われる。

＜実施の形態２：本発明の説明＞
図８は、本実施形態２に係る車載ネットワークシステム１０００の構成例を示す図である。車載ネットワーク２０２に、通信規約発行装置１０３が設置されている。この車載ネットワーク２０２に新たな目標ＥＣＵ１０１を参加させる手順を詳述する。

オペレータは、ネットワーク登録装置１０２を接続用車両コネクタ１０４に接続し、通信規約発行装置１０３と通信して認証を受ける。このときオペレータは、これから車載ネットワーク２０２に参加させようとしている目標ＥＣＵ１０１のＥＣＵＩ−ＩＤなどをネットワーク登録装置１０２上で入力し、通信規約発行装置１０３に送信する。この手順は、図１のステップＳ１１１に相当する。

通信規約発行装置１０３は、ネットワーク登録装置１０２の真正性を厳密に審査・検証する。通信規約発行装置１０３は、ネットワーク登録装置１０２が正規のものであることを確認した場合は、これからネットワークに接続される目標ＥＣＵ１０１が共有すべき｛車両独自プロトコル｝を発行する（ステップＳ１１２）。

ネットワーク登録装置１０２は、この｛車両独自プロトコル｝を目標ＥＣＵ１０１に中継して格納させる（ステップＳ１１３）。以上の手順により、通信規約発行装置１０３と目標ＥＣＵ１０１（車載ネットワーク２０２に参加する正規ＥＣＵ）との間で｛車両独自プロトコル｝が安全に共有される。

以上説明した本発明のメカニズムにより、先に説明した従来例における脆弱性は、以下に示すように改善される。先に説明した脆弱性に対応する改善点を、脆弱性と同じ順番で説明する。
（脆弱性の改善点１）各ＥＣＵが実施する通信は、車載ネットワーク２０２内部でクローズしており、車両外部との間の通信は実施されない。したがって、車載ネットワーク２０２に対して不正侵入を受ける機会も、情報漏洩を発生させる機会も少ない。
（脆弱性の改善点２）車載ネットワーク２０２内のプロトコル情報は、車両ごとに内蔵されている通信規約発行装置１０３が管理する。したがって、センターサーバ２０３に全車両の情報を集約させることによる脆弱性は存在しない。また、｛車両独自プロトコル｝は車両ごとに独立してユニークであり、これが流出しても他車両に対するセキュリティ上の懸案事項は発生しない。
（脆弱性の改善点３）初期化処理を実施するときの｛車両独自プロトコル｝の発行および中継は、厳密に相互認証を実施した通信規約発行装置１０３とネットワーク登録装置１０２の間で実施される。したがって、悪意の第３者による妨害などのセキュリティリスクは少ない。
（脆弱性の改善点４）車載ネットワーク２０２のメンバを構成するＥＣＵの識別情報、例えば｛車両ＩＤ，ＥＣＵ−ＩＤ，ソフトウェアバージョン｝は、本発明ではＥＣＵ間でやり取り不要である。そのため、車載ネットワーク２０２を介して他ＥＣＵにこれら識別情報を開示する必要がない。したがって、これら情報の漏洩リスクに対して頑健である。

また、共通鍵暗号化方式に基づく公知例の方式上の課題は、以下のように解消されている。
（課題１の改善点）通信プロトコルを車載ネットワーク毎に変えることによりデータフレームを難読化するので、共通鍵暗号を使用しているわけではない。したがって、共通鍵導出のために要する処理時間や暗号化・復号化のために要する処理時間は必要ない。
（課題２の改善点）本発明に係る手法は、通信効率を低下させない。つまり共通鍵暗号化方式に際して必要となるパディングによって、時間当たりの情報伝達量に占める本来の送信データの割合は低下しない。
（課題３の改善点）通信傍受を妨害し、あるいはデータフレームを難読化する観点においては、本発明に係る手法は、リアルタイム制御の通信に適しており、実装しやすくバランスがよいといえる。すなわち、ベースとなるデータ通信に対して、送信ＩＤ、データパッキング順序、フラグ位置などを車両ごとに変化させるだけであるため、ＣＰＵの処理負荷増加をもたらすことがなく、ＲＯＭ／ＲＡＭ等どんな追加の計算機資源も要求しない。

＜実施の形態２：難読化の原理まとめ＞
図９は、本発明において車載ネットワーク２０２を流れるデータフレームを難読化する原理を説明する図である。通信規約発行装置１０３は、図１のステップＳ１１３で目標ＥＣＵ１０１に対して配信する「車両独自プロトコル」内において、送信パケットのＩＤ、ペイロード部分のサイズ、ペイロード内のデータ配置、などのように、車載ネットワーク２０２上における実装に依拠する部分を定義してもよい。

この定義は、通信規約発行装置１０３と正規ＥＣＵ１０１との間のみで共有された情報であり、外部に対して秘匿されているので、外部機器は入手しようがない。したがって、外部から不正に接続された不正ＥＣＵ１３１は、車載ネットワーク２０２を流れるデータ通信を傍受しても、その解釈が車両ごとに異なるのでデータの意味を解読することができない。すなわち、暗号化などの算術アルゴリズムを用いずに、通信データを難読化することができる。

図１０は、通信規約発行装置１０３が図１のステップＳ１１３で目標ＥＣＵ１０１に対して配信する「車両独自プロトコル」の構造を示す図である。図１０ではＣＡＮのデータフレーム１０１０を一例として示した。

一般的な車載ネットワーク用のデータフレームには、フレームの種別を識別する送信ＩＤ（Ｆ１０１１）とデータ格納部分（Ｆ１０１２）とが規定されている。ＣＡＮ方式においても図１０に図示するように同様である。これら２つの属性（データを識別するＩＤとその格納位置）と、車両の制御で用いられている意味論的なデータ名１０２０との間の対応関係は、車載ネットワーク２０２上の実装に依拠するものである。「車両独自プロトコル」は、上述の対応関係を規定する定義データである。

この定義データを通信規約発行装置１０３と目標ＥＣＵ１０１との間で秘密裏に共有することにより、車載ネットワーク２０２独自の通信プロトコルを構成することができる。２つの属性双方について定義データにより対応関係を変化させてもよいし、いずれか一方の属性のみ対応関係を変化させてもよい。

図１０では、データ名１０２０として、たとえばエンジン回転数、水温、診断コマンドなどのデータ名（制御変数名）と、変数の値を保持するためにメモリ上で占有されるデータ長とを併せたものを想定しているが、これらはあくまでも変数属性の一例であってこれに限定されるものではない。

データ名１０２０とＩＤ（Ｆ１０１１）の対応関係を定義したもの（１０３０）、およびデータ名１０２０とデータ格納部分（Ｆ１０１２）におけるデータの開始位置の対応関係を定義したもの（１０４０）を、相互に関連付けて表形式で記述したものが、本発明における「車両独自プロトコル表」（１０５０）である。

通信規約発行装置１０３が「車両独自プロトコル表」１０５０を生成するに際しては、乱数もしくは車両識別番号（生産車両個々にユニークに付けられる番号）をハッシュ関数で処理した値などを用いて、上記対応関係を再現（類推）することが困難であるようにすることが、セキュリティ上重要となる。例えば、データ名１０２０と対応付けることができるＩＤの候補のなかから、上記のようにハッシュ関数などを用いていずれかの候補を選択するとよい。これにより、選択過程を推測することが困難となるので、難読化の度合いを高めることができる。

「車両独自プロトコル表」１０５０は、配信先の目標ＥＣＵ１０１に関連のあるデータ項目のみを記述するようにしてもよい。例えば、通信規約発行装置１０３が「車両独自プロトコル表」のうち目標ＥＣＵ１０１に関連のある部分のみを抽出して作成したサブセットを配信するようにしてもよい。

＜実施の形態２：まとめ＞
以上のように、本実施形態２に係る車載ネットワークシステム１０００において、通信規約発行装置１０３は、車載ネットワーク２０２に繋がる全ての車載ＥＣＵが使用する車両独自プロトコル情報を記憶し管理することができる。この管理形態は、特許文献１のように全車両の情報を集約する外部サーバなどを用いず、各車両が自己の識別情報を個別に保持する分散制御として構成される。したがって、情報管理形態としてロバストであり、個別車両の通信規約発行装置１０３が破られても、セキュリティ危機が全車両に波及することがない。

また、本実施形態２に係る車載ネットワークシステム１０００において、目標ＥＣＵ１０１を車載ネットワーク２０２に参加させる際に、信頼できるネットワーク登録装置１０２の力を借りて、安全に車両独自プロトコルを写生制御装置間で共有することができる。これにより、車両独自プロトコル情報が外部に漏洩するリスクを最小限に抑えることができる。

また、本実施形態２に係る車載ネットワークシステム１０００においては、特許文献１のように、秘匿通信という目的に対して、高度な暗号化通信（一般の共通鍵暗号や公開鍵暗号）や共通鍵配信技術（ＫＰＳ方式など）を利用することがないので、現状のＥＣＵにおけるＣＰＵ／ＲＯＭ／ＲＡＭの計算リソースを追加消費せず、ひいては現状に対する実装コストを増加させることもない。

以上述べたように、本発明に係る車載ネットワークシステム１０００は、秘匿通信機能を現状のネットワークシステムに簡便に付加して外部からの盗聴や情報漏洩を防ぐためには、現時点で最もコストパフォーマンスに優れた方式であると言うことができる。

＜実施の形態３＞
図１１は、近年の代表的な高機能車両が備えている車載ネットワークのネットワークトポロジー例を示す図である。ネットワーク登録装置（ソフトウェア書換装置が兼任）１０２、通信規約発行装置１０３、各ＥＣＵなどの構成および動作は、実施形態１〜２と同様である。

図１１において、４群のネットワークが搭載されており、各々通信ゲートウェイ（ゲートウェイＥＣＵ）２０１によってネットワークが束ねられている。図１１では、ゲートウェイＥＣＵ２０１を中心にしてスター型のネットワーク配置を採用しているが、ゲートウェイＥＣＵ２０１を複数段設けてカスケード型の接続形態を採用してもよい。

図１１に示す車載ネットワークには、駆動系ネットワーク３０１、シャーシ／安全系ネットワーク３０５、ボディ／電装系ネットワーク３０９、ＡＶ／情報系ネットワーク３１３が搭載されている。

駆動系ネットワーク３０１の配下には、エンジン制御ＥＣＵ３０２、ＡＴ（Ａｕｔｏｍａｔｉｃ Ｔｒａｎｓｍｉｓｓｉｏｎ）制御ＥＣＵ３０３、ＨＥＶ（Ｈｙｂｒｉｄ Ｅｌｅｃｔｒｉｃ Ｖｅｈｉｃｌｅ）制御ＥＣＵ３０４が接続されている。シャーシ／安全系ネットワーク３０５の配下には、ブレーキ制御ＥＣＵ３０６、シャーシ制御ＥＣＵ３０７、ステアリング制御ＥＣＵ３０８が接続されている。ボディ／電装系ネットワーク３０９の配下には、計器表示ＥＣＵ３１０、エアコン制御ＥＣＵ３１１、盗難防止制御ＥＣＵ３１２が接続されている。ＡＶ／情報系ネットワーク３１３の配下には、ナビゲーションＥＣＵ３１４、オーディオＥＣＵ３１５、ＥＴＣ／電話ＥＣＵ３１６が接続されている。

また、車両と外部との間で情報を送受信するため、車外通信部３１７が車外情報用ネットワーク３２２によってゲートウェイＥＣＵ２０１に接続されている。車外通信部３１７には、ＥＴＣ無線機３１８、ＶＩＣＳ（Ｖｅｈｉｃｌｅ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｙｓｔｅｍ）無線機３１９、ＴＶ／ＦＭ無線機３２０、電話用無線機３２１が接続されている。

ネットワーク登録装置１０２は、車両が備えている接続用車両コネクタ１０４を介して、車外情報用ネットワーク３２２の１ノードとして接続するように構成されている。これに代えて、他のネットワーク（駆動系ネットワーク３０１、シャーシ／安全系ネットワーク３０５、ボディ／電装系ネットワーク３０９、ＡＶ／情報系ネットワーク３１３）またはゲートウェイＥＣＵ２０１に単独で接続してもよい。すなわち、機械的な配置は無関係であって、直接もしくはゲートウェイＥＣＵ２０１を介して目標ＥＣＵに対して電気信号が到達すればよい。

電話用無線機３２１を通じてネットワーク越しに車外通信網からネットワーク登録装置１０２の機能を実施することもできる。例えば、通信規約発行装置１０３に対する車両独自プロトコルの再発行申請や目標ＥＣＵ１０１に対する車両独自プロトコルの再格納指令などが考えられる。この場合においても、上述の実施形態１〜２と同様の手法を用いることができる。

電話網越しやインターネット越しにＥＣＵのソフトウェアを書き換える手法は、リコールなどの不具合対応に際してその実施コストを下げる重要技術であって、将来的にありふれた手法になることが予想される。

したがって、本発明で開示する技術を用いることによって、このソフトウェア書き換え後に引き続いて、リモートで通信規約発行装置１０３の車両独自プロトコルの再発行を受け、リモートでソフトウェア書き換え後の車載ＥＣＵを正しくネットワークに再登録することができる。

図１１では、通信規約発行装置１０３を通信ゲートウェイＥＣＵ２０１の配下に直接接続したが、通信規約発行装置１０３のネットワーク上の位置は任意でよい。すなわち、電気信号的な接続が確保できるのであれば、他のネットワーク（駆動系ネットワーク３０１、シャーシ／安全系ネットワーク３０５、ボディ／電装系ネットワーク３０９、ＡＶ／情報系ネットワーク３１３、車外情報用ネットワーク３２２など）に直接接続してもよい。

ただし、以下の二つの観点で通信ゲートウェイＥＣＵ２０１が通信規約発行装置１０３の役割を兼ねることが望ましい。（この機能統合は図１１中の破線１１０１で示す。）
（１）図１の認証シーケンスＳ１１１および図２が失敗したとき、ネットワーク登録装置１０２からの通信を、目標ＥＣＵ１０１が属する車載ネットワーク（駆動系ネットワーク３０１、シャーシ／安全系ネットワーク３０５、ボディ／電装系ネットワーク３０９、ＡＶ／情報系ネットワーク３１３）から電気的に切り離すことができる。この構成を用いることによって、いわゆるファイヤーウォール（防火壁）機能を通信ゲートウェイ２０１に付与することになるので、車載ネットワークに対する外部からの侵入リスクを低下させ、セキュリティをさらに向上させることができる。
（２）車両の不正改造・特定車載ＥＣＵの改竄などの目的で、通信規約発行装置１０３が車載ネットワークから除去される行為を防がなければならない。その目的では、通信ゲートウェイＥＣＵ２０１と通信規約発行装置１０３が機能統合されており、一つのＥＣＵであることは望ましい。なぜなら、通信規約発行装置１０３を除去すると、複数の車載ネットワークにまたがる相互の通信が実施できなくなるからである。

以上、本発明者によってなされた発明を実施形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることは言うまでもない。例えば、実施形態２では通信プロトコルの例としてＣＡＮを取り上げたが、その他のＡＣＫ応答を返信する通信プロトコルを用いることもできる。例えばｅｔｈｅｒｎｅｔ（登録商標）上のＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）などが考えられる。あるいは、電気自動車における車載ネットワークにも本発明を適用することができる。

また、上記各構成、機能、処理部などは、それらの全部または一部を、例えば集積回路で設計することによりハードウェアとして実現することもできるし、プロセッサがそれぞれの機能を実現するプログラムを実行することによりソフトウェアとして実現することもできる。各機能を実現するプログラム、テーブルなどの情報は、メモリやハードディスクなどの記憶装置、ＩＣカード、ＤＶＤなどの記憶媒体に格納することができる。

１０１：目標ＥＣＵ、１０２：ネットワーク登録装置、１０３：通信規約発行装置、１０４：接続用車両コネクタ、２０１：通信ゲートウェイ、２０２：車載ネットワーク、３０１：駆動系ネットワーク、３０２：エンジン制御ＥＣＵ、３０３：ＡＴ制御ＥＣＵ、３０４：ＨＥＶ制御ＥＣＵ、３０５：シャーシ／安全系ネットワーク、３０６：ブレーキ制御ＥＣＵ、３０７：シャーシ制御ＥＣＵ、３０８：ステアリング制御ＥＣＵ、３０９：ボディ／電装系ネットワーク、３１０：計器表示ＥＣＵ、３１１：エアコン制御ＥＣＵ、３１２：盗難防止制御ＥＣＵ、３１３：ＡＶ／情報系ネットワーク、３１４：ナビゲーションＥＣＵ、３１５：オーディオＥＣＵ、３１６：ＥＴＣ／電話ＥＣＵ、３１７：車外通信部、３１８：ＥＴＣ無線機、３１９：ＶＩＣＳ無線機、３２０：ＴＶ／ＦＭ無線機、３２１：電話用無線機、１０００：車載ネットワークシステム、１０５０：車両独自プロトコル表。

Claims (7)

1. 車載ネットワーク上で用いられる通信規約のうち前記車載ネットワーク上における実装に依拠する部分を定義する定義データを格納するメモリを備えた車載制御装置と、
   前記車載制御装置に対して前記定義データを発行する通信規約発行装置と、
   を有し、
   前記通信規約発行装置は、
   前記車載制御装置を前記車載ネットワークに参加させる登録装置から、前記車載制御装置を前記車載ネットワークに参加させるよう要求する登録要求を受け取ると、前記登録装置に対する認証を実施した上で、前記車載ネットワーク上における実装に準拠した前記定義データを作成して前記登録装置に返信し、
   前記登録装置は、
   前記通信規約発行装置が送信した前記定義データを受け取り、受け取った前記定義データを前記メモリ上に格納するよう前記車載制御装置に対して要求し、
   前記車載制御装置は、
   前記登録装置から定義データを受け取って前記メモリ上に格納し、前記定義データが定義する前記部分にしたがって、前記通信規約に準拠して前記車載ネットワークを用いて通信し、
   前記通信規約発行装置は、
   前記登録装置が前記定義データを前記車載制御装置に対して送信した後、
   前記車載制御装置が前記車載ネットワークに対してデータを送信することを停止させるデータ送信停止命令を前記車載ネットワークに対してブロードキャスト送信することにより、前記車載ネットワークに対する前記車載制御装置の動作を制御し、
   前記通信規約発行装置は、
   前記データ送信停止指令を前記車載ネットワークに対して送信した後、前記データ送信停止指令に従わない車載制御装置を検出した場合、不正な車載制御装置が干渉もしくは妨害の目的で前記車載ネットワークに接続しているとみなして、その旨の警告を発信する
   ことを特徴とする車載ネットワークシステム。
2. 車載ネットワーク上で用いられる通信規約のうち前記車載ネットワーク上における実装に依拠する部分を定義する定義データを格納するメモリを備えた車載制御装置と、
   前記車載制御装置に対して前記定義データを発行する通信規約発行装置と、
   を有し、
   前記通信規約発行装置は、
   前記車載制御装置を前記車載ネットワークに参加させる登録装置から、前記車載制御装置を前記車載ネットワークに参加させるよう要求する登録要求を受け取ると、前記登録装置に対する認証を実施した上で、前記車載ネットワーク上における実装に準拠した前記定義データを作成して前記登録装置に返信し、
   前記登録装置は、
   前記通信規約発行装置が送信した前記定義データを受け取り、受け取った前記定義データを前記メモリ上に格納するよう前記車載制御装置に対して要求し、
   前記車載制御装置は、
   前記登録装置から定義データを受け取って前記メモリ上に格納し、前記定義データが定義する前記部分にしたがって、前記通信規約に準拠して前記車載ネットワークを用いて通信し、
   前記通信規約発行装置は、
   前記登録装置が前記定義データを前記車載制御装置に対して送信した後、
   前記車載制御装置が送達確認応答を返信することを停止させるＡＣＫ返信停止命令を前記車載ネットワークに対してブロードキャスト送信することにより、前記車載ネットワークに対する前記車載制御装置の動作を制御する
   ことを特徴とする車載ネットワークシステム。
3. 前記通信規約発行装置は、
   前記ＡＣＫ返信停止命令を前記車載ネットワークに対して送信した後、前記ＡＣＫ返信停止命令に従わない車載制御装置を検出した場合、不正な車載制御装置が盗聴の目的で前記車載ネットワークに接続しているとみなして、その旨の警告を発信する
   ことを特徴とする請求項２記載の車載ネットワークシステム。
4. 車載ネットワーク上で用いられる通信規約のうち前記車載ネットワーク上における実装に依拠する部分を定義する定義データを格納するメモリを備えた車載制御装置と、
   前記車載制御装置に対して前記定義データを発行する通信規約発行装置と、
   を有し、
   前記通信規約発行装置は、
   前記車載制御装置を前記車載ネットワークに参加させる登録装置から、前記車載制御装置を前記車載ネットワークに参加させるよう要求する登録要求を受け取ると、前記登録装置に対する認証を実施した上で、前記車載ネットワーク上における実装に準拠した前記定義データを作成して前記登録装置に返信し、
   前記登録装置は、
   前記通信規約発行装置が送信した前記定義データを受け取り、受け取った前記定義データを前記メモリ上に格納するよう前記車載制御装置に対して要求し、
   前記車載制御装置は、
   前記登録装置から定義データを受け取って前記メモリ上に格納し、前記定義データが定義する前記部分にしたがって、前記通信規約に準拠して前記車載ネットワークを用いて通信し、
   前記通信規約発行装置は、
   前記車載ネットワーク上におけるデータの種類を定義するＩＤと、前記データの種類の名称を記述するデータ名との間の対応関係を定義する前記定義データを発行し、
   前記車載制御装置は、
   前記定義データが定義する前記対応関係にしたがって、前記データの種類に対応する前記ＩＤを用いて前記車載ネットワークとの間で通信する
   ことを特徴とする車載ネットワークシステム。
5. 車載ネットワーク上で用いられる通信規約のうち前記車載ネットワーク上における実装に依拠する部分を定義する定義データを格納するメモリを備えた車載制御装置と、
   前記車載制御装置に対して前記定義データを発行する通信規約発行装置と、
   を有し、
   前記通信規約発行装置は、
   前記車載制御装置を前記車載ネットワークに参加させる登録装置から、前記車載制御装置を前記車載ネットワークに参加させるよう要求する登録要求を受け取ると、前記登録装置に対する認証を実施した上で、前記車載ネットワーク上における実装に準拠した前記定義データを作成して前記登録装置に返信し、
   前記登録装置は、
   前記通信規約発行装置が送信した前記定義データを受け取り、受け取った前記定義データを前記メモリ上に格納するよう前記車載制御装置に対して要求し、
   前記車載制御装置は、
   前記登録装置から定義データを受け取って前記メモリ上に格納し、前記定義データが定義する前記部分にしたがって、前記通信規約に準拠して前記車載ネットワークを用いて通信し、
   前記通信規約発行装置は、
   前記車載ネットワーク上で送受信されるデータの種類毎のサイズおよびパケット上のデータ配置位置と、前記データの種類の名称を記述するデータ名との間の対応関係を定義する前記定義データを発行し、
   前記車載制御装置は、
   前記定義データが定義する前記対応関係にしたがって、前記データの種類に対応する前記サイズおよび配置位置を用いて前記車載ネットワークとの間で通信する
   ことを特徴とする車載ネットワークシステム。
6. 前記通信規約はＣＡＮであることを特徴とする請求項１から５いずれか１項記載の車載ネットワークシステム。
7. 前記通信規約はｅｔｈｅｒｎｅｔ上で稼働するＴＣＰ／ＩＰプロトコルであることを特徴とする請求項１から６いずれか１項記載の車載ネットワークシステム。

Images