JP2017026105A - 車両及び車両の不正アクセス判定方法 - Google Patents

Abstract

【課題】コントロールユニットにより不正アクセスを判定できる車両を提供することを目的とする。
【解決手段】車両（１００）を駆動する駆動装置（１、３）と、駆動装置（１、３）を制御する二以上のコントロールユニット（ＥＣＵ１〜５）と、二以上のコントロールユニット（ＥＣＵ１〜５）を通信可能に接続する通信経路（７０）と、を備え、コントロールユニット（ＥＣＵ１〜５）のうち少なくとも一つは、通信経路（７０）における通信データ量が所定量を超えた場合は、当該通信データが不正なアクセスによるものであると判定する。
【選択図】図２

Description

本発明は、車両及び車両の不正アクセス判定方法に関する。

エンジンやモータ等の駆動力源と自動変速機を備える車両は、例えば故障診断テスタなどの外部機器と車両のコントロールユニットとの間でＯＢＤコネクタ等のインターフェースを介して通信可能に構成されている。

このように構成された車両では、ＯＢＤコネクタを介して車両のコントロールユニットに第三者がアクセスできてしまうため、車両開発に必要なデータを取得できたり、車両の挙動に関わるデータを書き換えることで車両が意図しない動作となる可能性がある。

このように第三者による不正なアクセスを防止するものとして、モニタツールと接続する通信線の少なくとも一つの通信線の電圧を検出して、モニタツールが正規なものかを判定する不正接続検出方法が開示されている（特許文献１参照）。

特開２０１４−１４３６３１号公報

特許文献１に記載の従来の技術は、モニタツールにより通信線の電圧を変更することで正規のものか否かを判定するように構成している。このように構成すると、通信線及びモニタツールに物理的な変更やセンサ等の追加のハードウェアが必要となり、コストが増加すると共に、専用の構成を備えない車両では不正接続が判定できないという問題があった。

本発明はこのような問題点に鑑みてなされたものであり、コントロールユニットにより不正アクセスを判定できる車両を提供することを目的とする。

本発明のある実施態様によると、車両を駆動する駆動装置と、駆動装置を制御する二以上のコントロールユニットと、二以上のコントロールユニットを通信可能に接続する通信経路と、を備え、コントロールユニットの少なくとも一つは、通信経路における特定の期間の通信データ量が所定量を超えた場合は、当該通信データが不正なアクセスによるものであると判定することを特徴とする。

上記態様によると、通信経路において、通信データに意図しない増大が発生した場合に、不正なアクセスが行なわれたと判定するので、不正なアクセスに対する適切な処置を行なうことができる。

本発明の実施形態の自動変速機を中心とした車両の構成の一例を示す説明図である。 本発明の実施形態の車両ネットワークを示す説明図である。 本発明の実施形態のＥＣＵが実行する制御のフローチャートである。 本発明の実施形態のＥＣＵが実行する制御のフローチャートである。

以下に、本発明の実施形態を、図面を参照して説明する。

図１は、本発明の実施形態の自動変速機３を中心とした車両１００の構成の一例を示す説明図である。

車両１００は、エンジン１、自動変速機３等からなる駆動装置、エンジン１の動作を制御するエンジンコントロールユニット３０、及び、自動変速機３の動作を制御する変速機コントロールユニット４０を備える。

エンジン１により駆動されるクランク軸１１の回転は、前後進切替機構５、トルクコンバータ２及び入力軸１２を介して自動変速機３に伝達される。自動変速機３は、入力された回転を変速して出力軸１３に出力する。出力軸１３の回転は、終減速装置４及び車軸１４を介して車輪６に伝達されることにより、車両１００が前後進する。

トルクコンバータ２は、ロックアップクラッチを備えており、油圧によりコンバータ状態及びロックアップ状態に制御される。

自動変速機３は、入力軸１２に連結されるプライマリプーリ３１と、入力軸１２と並列に配置される出力軸１３に連結されるセカンダリプーリ３２と、プライマリプーリ３１とセカンダリプーリ３２との間に掛け渡される無端のベルト（Ｖベルト）３３とを備えるベルト式の無段変速機構として構成される。

プライマリプーリ３１及びセカンダリプーリ３２には油圧室が備えられ、油圧制御装置２０から供給される油圧を調整することにより、Ｖ溝の幅が変化してＶベルト３３とプライマリプーリ３１及びセカンダリプーリ３２との接触半径が変化して、自動変速機３の変速比が無段階に変化する。

油圧制御装置２０は、オイルポンプを備え、自動変速機３のプライマリプーリ３１及びセカンダリプーリ３２の各油圧室に図１で点線で示すように油圧を供給する。油圧制御装置２０は、トルクコンバータ２や自動変速機３の軸受、歯車等にも作動油を供給する。

エンジンコントロールユニット３０は、イグニションスイッチ５４から送られるイグニションＯＮ信号、アクセルペダル５２から送られるアクセル開度信号（ＡＯＰ信号）、及び、ブレーキペダル５３から送られるブレーキ信号（ＢＲＫ信号）を受信し、受信した信号に基づいて、エンジン１を駆動する。

変速機コントロールユニット４０は、油圧制御装置２０により供給される油圧を制御して自動変速機３の動作を制御する。変速機コントロールユニット４０は、運転者によるシフトレバー５０の操作に連動して信号を出力するインヒビタスイッチ５１から送られるレンジ信号とエンジンコントロールユニット３０から送られるエンジンの動作信号に基づいて、自動変速機３の変速比を決定して、油圧制御装置２０に制御信号を送信する。

エンジンコントロールユニット３０及び変速機コントロールユニット４０には、ＣＡＮ（ＣＯＮＴＲＯＬＬＥＲ ＡＲＥＡ ＮＥＴＷＯＲＫ）７０を介して他のコントロールユニット（ＡＢＳコントロールユニット４１、インパネモジュールコントロールユニット４２、通信コントロールユニット４３等）にも接続される。ＡＢＳコントロールユニット４１は、制動時のＡＢＳの状態を制御する。

インパネモジュールコントロールユニット４２は、インパネモジュールにおけるスピードメータ、タコメータ燃料計、水温計等の状態の表示を制御する。通信コントロールユニット４３は、例えばＯＢＤコネクタを備え、ＯＢＤコネクタに接続される診断装置との通信を制御する。これら各コントロールユニット及びＣＡＮ７０により車両ネットワーク１０が構成される。

次に、本実施形態の車両ネットワーク１０について説明する。

図２は、本実施形態の車両ネットワーク１０を示す説明図である。

車両１００には、複数のコントロールユニットが接続された車両ネットワーク１０が構成される。

図２に示す車両ネットワークでは、コントロールユニットの機能、種類を区別せずＥＣＵ（ＥＬＥＣＴＲＩＣ ＣＯＮＴＲＯＬ ＵＮＩＴ）と標記する。複数のＥＣＵ（ＥＣＵ１〜ＥＣＵ５）が、ＣＡＮ７０により互いに通信可能に接続される。

ＣＡＮ７０は、ＣＡＮ−Ｈ線７１及びＣＡＮ−Ｌ線７２からなる一組の配線により構成される。ＣＡＮ７０の終端に位置するＥＣＵ１、ＥＣＵ５には、それぞれ終端抵抗６１、６２が備えられる。

次に、このように構成された車両ネットワーク１０の動作を説明する。

図３は、本実施形態の車両ネットワーク１０のＥＣＵ１が実行する制御のフローチャートである。

図３に示す処理は、ＥＣＵ１において、所定の周期（例えば１０ｍｓ）間隔で実行される。

図３に示す処理は、図２に示される複数のＥＣＵ（ＥＣＵ１〜５）のうち、ＣＡＮ７０の負荷を取得できる機能を持つＥＣＵ１が実行する。

ＥＣＵ１は、ＣＡＮ７０により送受信される通信データ量を取得している（ステップＳ１０）。そして、通信データ量が変化して、ＣＡＮ７０の負荷が増大したか否かを判定する（ステップＳ２０）。

負荷は、特定の時間当たりにＣＡＮ７０で送受信される通信データ量が所定量を超えたか否かにより判定する。所定量は、例えば、１分当たりの通信データ量が通常時の平均値よりも５０％上昇した場合とする。

負荷が上昇していない場合はステップＳ１０に戻り処理を繰り返す。負荷が上昇したと判定した場合はステップＳ３０に進み、ＥＣＵ１は、負荷の変動の原因となったＣＡＮ７０における通信の識別子（例えばＣＡＮ＿ＩＤ）を判定する。

次に、ＥＣＵ１は、ステップＳ４０において、判定した識別子に基づいて、負荷の変動がＣＡＮ７０に接続されるＥＣＵ１〜５において発生したイベント等が原因であるか否かを判定する。

例えば、ＥＣＵ１が車両のドアの開閉を検出するセンサを備える場合に、ドアの開閉が行なわれたときに一時的にＣＡＮ７０の通信データ量が増大する。また、通信コントロールユニット４３に診断装置が接続された場合に、当該診断装置からの診断コマンド等による通信データ量が増大する。これらの通信データはＣＡＮ＿ＩＤ等の識別子を含むので、識別子を判定することにより、通信データ量が増大した原因を判別することができる。

ステップＳ４０において、通信データの増大の原因がＥＣＵ１〜５が発生するイベント又は診断装置が接続されて診断コマンドが発生したことが原因であると判定した場合は、ステップＳ１０に戻る。通信データの増大がこれらの原因でない場合、例えばＣＡＮ＿ＩＤを判定できない、想定されるＣＡＮ＿ＩＤでない場合は、ステップＳ５０に移行し、ＥＣＵ１は、不正なアクセスが行なわれていると判断する。

そして、ステップＳ６０において、ＥＣＵ１は、不正なアクセスが行なわれていると判断したことを、ＣＡＮ７０を通じて他のＥＣＵ２〜５に通知する。

次に、ステップＳ７０において、ＥＣＵ１は、他のＥＣＵ２〜５から、不正なアクセスが行なわれていると判断した通知を受けたか否かを判定する。通知を受けていない場合はステップＳ７０の処理を繰り返す。

他のＥＣＵ２〜５から通知を受けたと判定した場合は、ステップＳ８０に移行してＥＣＵ１は、現在、車両が不正アクセスが行なわれている状態であることを確定する。そしてステップＳ９０に移行して、車両を安全状態に移行する。

ステップＳ９０における安全状態は、不正なアクセスによって車両の挙動に影響を与えることを防止する制御を行なう。例えば、ＥＣＵ１が自動変速機３を制御する変速機コントロールユニット４０である場合は、前後進切替機構５のクラッチを解放して、エンジン１の駆動力が伝達されない状態（動力制御状態）に制御する。このような制御により、エンジン１を含む駆動装置を動作するＥＣＵに対して不正なアクセスが行なわれたとしても、車両の挙動に影響を与えることが防止される。

なお、安全状態は、前後進切替機構５のクラッチの解放に限られず、トルクコンバータ２のロックアップクラッチの解放、自動変速機３の変速比の変更等の制御を行なってもよい。また、ＥＣＵ１がエンジン１を制御するエンジンコントロールユニット３０である場合は、エンジン１の駆動力を減少させるように制御して、車両の挙動に影響を与えることを防止するように制御してもよい。また、ＥＣＵ１が他のＥＣＵ２〜５に指示を送信して、車両の駆動力の伝達を制御することで、動力制御状態としてもよい。

このように、図３に示す制御を実行することで、ＣＡＮ７０の通信データに意図しない増大が発生した場合に不正なアクセスが行なわれたと判断し、さらに、複数のＥＣＵ１〜５が不正なアクセスを判断した場合に、不正なアクセスに対して車両の挙動に影響を与えることを防止する制御を行なうことができる。

図４は、本実施形態の車両ネットワーク１０のＥＣＵ５が実行する制御のフローチャートである。

図４に示す処理は、ＥＣＵ５において、所定の周期（例えば１０ｓｍ）間隔で実行される。

図４に示す処理は、図２に示される複数のＥＣＵ（ＥＣＵ１〜５）のうち、ＣＡＮ７０の負荷を取得する機能を持たないＥＣＵ５が実行する。

ステップＳ１１０において、ＥＣＵ２は、他のＥＣＵ（ＥＣＵ１〜４）から、不正なアクセスが行なわれていると判断した通知を受けたか否かを判定する。通知を受信していない、及び、通知を１回だけ受信した場合は、ステップＳ１１０を繰り返し、待機する。

ステップＳ１１０で、他のＥＣＵ２〜５から、不正なアクセスが行なわれていると判断した通知を２回受けた場合は、ステップＳ１２０に移行して、ＥＣＵ５は、現在、車両が不正アクセスが行なわれている状態であることを確定する。そして、ステップＳ１３０に移行して、ＥＣＵ１は、車両を安全状態に移行する。

このステップＳ１３０の処理は、前述した図３のステップＳ９０の処理と同様である。すなわち、ＥＣＵ１が自動変速機３を制御する変速機コントロールユニット４０である場合は、前後進切替機構５のクラッチを解放して、エンジン１の駆動力が伝達されないように制御する。

この図４のような制御を実行することで、ＣＡＮ７０の通信データ量を検出する機能を持たないＥＣＵ５においても、複数のＥＣＵ１〜４が不正なアクセスを判断した場合に、不正なアクセスに対して車両の挙動に影響を与えることを防止する制御を行なうことができる。

以上説明したように、本発明の実施形態は、車両を駆動するエンジン１、自動変速機３からなる駆動装置と、駆動装置を制御する二以上のコントロールユニット（ＥＣＵ１〜５）と、二以上のコントロールユニットを通信可能に接続する通信経路としてのＣＡＮ７０と、備え、ＥＣＵ１は、ＣＡＮ７０における通信データ量が所定量を超えた場合は、当該通信データが不正なアクセスによるものであると判定する。

このような制御を行なうことで、ＣＡＮ７０の通信データに意図しない増大が発生した場合に、不正なアクセスが行なわれたと判定することで、不正なアクセスに対する処置を行なうことができる。この効果は請求項１及び５に対応する。

また、本発明の実施形態では、ＥＣＵ１は、ＣＡＮ７０における通信データ量が所定量を超えた場合であっても、当該通信データが他のコントロールユニット（ＥＣＵ２〜５）で発生したイベントによるものである場合は、当該通信データは正規なものであると判定する。

このような制御を行なうことによって、通常のＥＣＵ１〜５の動作によるものである場合は、不正なアクセスとはしないことで、不正アクセスと、そうでない通信とを正確に判断することができる。この効果は請求項２に対応する。

また、本発明の実施形態では、ＥＣＵ１が不正なアクセスによるものであると判定した場合であって、さらに、他のＥＣＵ２〜５が不正なアクセスによるものであると判定した場合、すなわち、二以上のＥＣＵ１〜５が不正なアクセスによるものであると判定した場合は、車両を安全状態に制御する。このように制御することにより、複数のＥＣＵ１〜５により不正なアクセスであることを確実に判定できると共に、不正なアクセスに対して車両の挙動に影響を与えることを防止する制御を行なうことができる。この効果は請求項３に対応する。

また、本発明の実施形態では、安全状態とは、駆動装置による動力の伝達を制御する動力制御状態を含むので、不正なアクセスに対して駆動装置を制御することで、車両の挙動に影響を与えることを防止できる。この効果は請求項４に対応する。

以上、本発明の実施形態について説明したが、上記実施形態は本発明の適用例の一つを示したものに過ぎず、本発明の技術的範囲を上記実施形態の具体的構成に限定する主旨ではない。

本実施形態では、自動変速機３は、一組のプーリにベルトを掛け渡して構成したベルト式無段変速機を例に説明したが、これに限られない。自動変速機３は、有段の変速機であってもよいし、無段変速機と有段変速機とを組み合わせた構成であってもよい。

また、本実施形態では、駆動装置がエンジン１からなる車両を例に説明したが、これに限られない。車両は、エンジン及びモータにより駆動するＨＥＶ（Ｈｙｂｒｉｄ Ｅｌｅｃｔｒｉｃ Ｖｅｈｉｃｌｅ）であってもよいし、モータにより駆動するＥＶ（Ｅｌｅｃｔｒｉｃ Ｖｅｈｉｃｌｅ）であってもよい。

１ エンジン
３ 自動変速機
５ 前後進切替機構
１０ 車両ネットワーク
２０ 油圧制御装置
３０ エンジンコントロールユニット
４０ 変速機コントロールユニット
４１ ＡＢＳコントロールユニット
４２ インパネモジュールコントロールユニット
４３ 通信コントロールユニット
６１ 終端抵抗
７０ ＣＡＮ（通信経路）
１００ 車両
ＥＣＵ１〜５ コントロールユニット

Claims (5)

1. 車両を駆動する駆動装置と、
   前記駆動装置を制御する二以上のコントロールユニットと、
   二以上の前記コントロールユニットを通信可能に接続する通信経路と、
   を備え、
   前記コントロールユニットのうち少なくとも一つは、前記通信経路における所定期間の通信データ量が所定量を超えた場合は、当該通信データが不正なアクセスによるものであると判定することを特徴とする車両。
2. 請求項１に記載の車両において、
   前記コントロールユニットは、前記通信経路における通信データ量が所定量を超えた場合に、当該通信データが他の前記コントロールユニットで発生したイベントによるものである場合は、当該通信データは正規なものであると判定することを特徴とする車両。
3. 請求項１又は請求項２に記載の車両において、
   前記コントロールユニットは、通信データが不正なアクセスによるものであると判定した場合であって、さらに、他の前記コントロールユニットが当該通信データが不正なアクセスによるものであると判定した場合は、車両を安全状態へと制御することを特徴とする車両。
4. 請求項３に記載の車両において、
   前記安全状態は、前記駆動装置による駆動力の伝達を制御する動力制御状態を含むことを特徴とする車両。
5. 車両を駆動する駆動装置と、前記駆動装置を制御する二以上のコントロールユニットと、二以上の前記コントロールユニットを通信可能に接続する通信経路と、を備える車両の不正アクセス判定方法であって、
   前記通信経路における単位時間当たりの通信データ量が所定量を超えた場合は、当該通信データが不正なアクセスによるものであると判定することを特徴とする車両の不正アクセス判定方法。

Images