JP2013098958A - 通信管理装置 - Google Patents

Abstract

【課題】外部装置との通信における情報の漏えいおよび改ざんなどを防止するとともに、装置内部で改ざんなどの異常が生じた情報が外部装置に送信されることを防止することが可能な通信管理装置を提供する。
【解決手段】各個別ＥＣＵ２０にメッセージ加工部２１を設け、車外インフラ４０に送信すべき情報を含むメッセージを、予め定める加工ルールに従って加工し、個別側車内ＬＡＮ通信部２２によって車内ＬＡＮ３０を介して充放電制御ＥＣＵ１０の制御側車内ＬＡＮ通信部１４に送信する。充放電制御ＥＣＵ１０に検出部１３を設け、制御側車内ＬＡＮ通信部１４で受信したメッセージを、予め定めるチェックルールに従って加工して検査し、異常の有無を検出する。
【選択図】図１

Description

本発明は、たとえば電動車両に搭載され、電動車両と、電動車両の外部に設けられる外部装置との間の通信動作を管理する通信管理装置に関する。

電動車両（Electric Vehicle；略称：ＥＶ）には、二次電池（以下「バッテリ」という場合がある）に充電された電力を駆動源としてモータを駆動して動力を得る電気自動車、およびエンジンとモータとを併用したハイブリッド自動車などがある。太陽光発電および風力発電などで得られる再生可能エネルギーを効率的に利用するために、これらの再生可能エネルギーを、ＥＶを用いて、スマートグリッドと呼ばれる次世代電力網で利用する方法が考えられている。たとえば、前述の再生可能エネルギーの発電時に余剰電力をＥＶのバッテリに蓄電し、蓄電した電力を必要に応じて家庭または工場で利用したり、電力会社に売ったりすることが考えられている。

ＥＶがスマートグリッドに接続される場合、ＥＶのバッテリの電力容量および充電状態（State Of Charge；略称：ＳＯＣ）などのバッテリ情報を電力網側に送信したり、電力需給状況を表す情報などを電力網側から受信したりするために、ＥＶの外部に設けられる車外装置と通信する通信手段（以下「車外通信手段」という場合がある）が必要になる。

車外通信手段としては、たとえば、ＥＶの充放電のために充電スタンドまたは家庭用コンセントにＥＶを接続する充電ガンなどの有線通信手段、無線ローカルエリアネットワーク（Local Area Network；略称：ＬＡＮ）またはワイファイ（Ｗｉ−Ｆｉ（登録商標）、Wireless Fidelity）などの近距離無線通信手段、および携帯電話機などの移動体通信手段を利用することが検討されている。

ＥＶとスマートグリッドとが接続されたＥＶシステムでは、前述の車外通信手段を用いて、ＥＶに搭載される車載装置と、ＥＶの外部に設けられる車外装置との間で、料金を表す料金データ、車両に関する情報を表す車両データ、充電または放電された電力量を表す充放電電力量データなどの重要な情報が通信される。

ＥＶシステムには、このような重要な情報が、悪意のあるユーザによって傍受され、悪用されるおそれがあるという問題がある。たとえば、ＥＶの電力を、電力網を介して電力会社に売電するような場合に、悪意のあるユーザによって、放電電力量が改ざんされて、水増しされたデータが電力会社に送信され、不正に利益が得られるおそれがあるという問題がある。

このような問題を解決するための技術が、たとえば特許文献１に開示されている。特許文献１に開示されている技術では、車載装置と車外装置との間のデータ通信を、送信すべきデータを暗号化した暗号化データを用いて行うことによって、悪意のあるユーザにデータが傍受されても、そのデータの内容が容易に読み取られないようにしている。

特開平６−６０２３７号公報

前述の特許文献１に開示される技術では、送信すべきデータを暗号化するための暗号化手段を車載装置に設けることが必要である。

ＥＶ内には、車載装置として、機能が異なる複数の電子制御ユニット（Electronic Control Unit；略称：ＥＣＵ）が設けられ、各ＥＣＵと車外装置との間で、データの送受が行われる。たとえば、課金を監視するＥＣＵが設けられ、料金データの送受が行われる。またＥＶシステムを管理するＥＶ−ＥＣＵが設けられ、車両データの送受が行われる。またバッテリの状態を管理するＥＣＵが設けられ、充放電電力量データの送受が行われる。

ＥＶ内に設けられるＥＣＵは、いずれも、製品コストを低減するために、必要最小限の演算処理能力を有するマイクロコンピュータ（略称：マイコン）のみを搭載するように構成されている。このようなＥＣＵに、演算負荷が比較的大きい前述の暗号化手段として機能するマイコンを更に搭載すると、ＥＣＵの製品コストが増加してしまう。したがって、全てのＥＣＵに暗号化手段を搭載することは困難であるという問題がある。

この問題を解決するためには、たとえば、車内通信ネットワークと車外通信ネットワークとの間に、車載ゲートウェイＥＣＵを設けて、この車載ゲートウェイＥＣＵによって、車外に送信される送信データを暗号化することが考えられる。

しかし、車載ゲートウェイＥＣＵを設けても、悪意のあるユーザが、車内通信ネットワークに直接、不正にアクセスすることを防ぐことはできないので、車内通信ネットワークで改ざんされたデータが外部装置に送信されることを防ぐことはできない。

本発明の目的は、外部装置との通信における情報の漏えいおよび改ざんなどを防止するとともに、装置内部で改ざんなどの異常が生じた情報が外部装置に送信されることを防止することが可能な通信管理装置を提供することである。

本発明の通信管理装置は、外部装置と通信可能な統括ユニットと、前記統括ユニットに通信回線を介して接続される複数の個別ユニットとを備え、前記統括ユニットおよび前記複数の個別ユニットと前記外部装置との間の通信動作を管理する通信管理装置であって、各前記個別ユニットは、前記外部装置に送信すべき情報を、予め定める加工ルールに従って加工する加工部と、前記加工部によって加工された情報を、前記通信回線を介して前記統括ユニットに送信する個別側内部通信部とを備え、前記統括ユニットは、各前記個別ユニットの前記個別側内部通信部から送信される情報を、前記通信回線を介して受信する統括側内部通信部と、前記統括側内部通信部によって受信された情報を、予め定めるチェックルールに従って加工し、加工された情報を検査して、前記情報の異常の有無を検出する検出部と、前記統括側内部通信部によって受信された情報を暗号化する暗号化部と、前記暗号化部によって暗号化された情報を、前記外部装置に送信する外部通信部とを備えることを特徴とする。

本発明の通信管理装置によれば、外部装置に送信すべき情報は、各個別ユニットの加工部によって、予め定める加工ルールに従って加工され、個別側内部通信部によって通信回線を介して統括ユニットに送信され、統括ユニットの統括側内部通信部によって受信される。統括側内部通信部で受信された情報は、統括ユニットの検出部によって、予め定めるチェックルールに従って加工されて検査され、異常の有無が検出される。また統括側内部通信部で受信された情報は、統括ユニットの暗号化部によって暗号化され、外部通信部によって外部装置に送信される。前述のように外部装置との通信を行う統括ユニットが、暗号化部を備えるので、外部装置との通信を第三者に傍受された場合の情報の漏えいおよび改ざんなどを防止することができる。

また個別ユニットの加工部によって、予め定める加工ルールに従って情報が加工されて統括ユニットに送信され、統括ユニットの検出部によって、予め定めるチェックルールに従って加工されて検査され、情報の異常の有無が検出される。したがって、たとえば第三者によって通信管理装置の内部が直接、不正にアクセスされ、情報が改ざんされるなどして情報に異常が生じた場合に、情報に異常が生じたことを検出することができる。また、異常が検出された情報を外部通信部が外部装置に送信しないようにすることによって、改ざんなどの異常が生じた情報が外部装置に送信されることを防止することができる。

本発明の実施の一形態である通信管理装置１の構成を示すブロック図である。 個別ＥＣＵ２０におけるメッセージの送信処理に関する処理手順を示すフローチャートである。 充放電制御ＥＣＵ１０における送信メッセージの異常の有無のチェック処理に関する処理手順を示すフローチャートである。

図１は、本発明の実施の一形態である通信管理装置１の構成を示すブロック図である。通信管理装置１は、電動車両１００に搭載される。電動車両１００は、本実施の形態ではハイブリッド自動車であり、通信管理装置１とともに、発電部５０、エンジン５１およびバッテリ５２を備える。

発電部５０は、エンジン５１によって電力、具体的には直流電力を発電する。発電部５０は、発電した直流電力をバッテリ５２に与える。発電部５０は、たとえばジェネレータによって実現される。バッテリ５２は、電力を充放電可能に構成される。具体的には、バッテリ５２は、エンジン５１によって発電部５０で発電される電力を蓄積可能に構成される。バッテリ５２には、エンジン５１によって発電部５０で発電された電力、具体的には直流電力が与えられる。これによって、バッテリ５２が充電される。

電動車両１００は、ハイブリッド自動車に限らず、電気自動車であってもよい。電動車両（ＥＶ）１００は、不図示の次世代電力網であるスマートグリッドと接続され、ＥＶシステムを構成する。ＥＶシステムは、電力需給システムに相当する。

ＥＶシステムは、電動車両１００とともに、電動車両１００の外部に設けられるインフラストラクチャ（以下「車外インフラ」という場合がある）４０を含む。車外インフラ４０は、通信装置を有しており、通信管理装置１との間で通信可能である。車外インフラ４０は、外部装置に相当する。

車外インフラ４０は、たとえば、充電スタンドまたはエネルギーマネジメントシステム（Energy Management System；略称：ＥＭＳ）といった、スマートグリッドに用いられる設備である。充電スタンドは、ＥＶ用の給電装置を備える充電施設である。ＥＭＳは、商用電源系統から電動車両への電力の供給、および電動車両から住宅またはビルなどの商用電源系統側への電力の供給、ならびにその他の電力の供給たとえば太陽光発電装置からの電力の供給などを監視して、電力の需給の平準化を実現するシステムである。

通信管理装置１は、電動車両１００と車外インフラ４０との間の通信動作を管理する。電動車両１００と車外インフラ４０との間の通信動作とは、たとえば、電動車両１００から車外インフラ４０への情報の送信動作、および車外インフラ４０から電動車両１００への情報の送信動作などである。

通信管理装置１は、図１に示すように、充放電制御ＥＣＵ１０、複数の個別ＥＣＵ２０および車内ＬＡＮ３０を備えて構成される。充放電制御ＥＣＵ１０と、各個別ＥＣＵ２０とは、車内ＬＡＮ３０によって接続されており、互いに通信可能に構成されている。充放電制御ＥＣＵ１０は、統括ユニットに相当する。個別ＥＣＵ２０は、個別ユニットに相当する。車内ＬＡＮ３０は、通信回線に相当する。本実施の形態では、通信管理装置１が、複数の個別ＥＣＵ２０として、３つの個別ＥＣＵ２０を備える場合を説明するが、個別ＥＣＵ２０の数は、これに限定されない。

以下の説明において、特定の個別ＥＣＵを示す場合には、個別ＥＣＵを示す参照符号「２０」に添え字「ａ」、「ｂ」、「ｃ」を付して、第１個別ＥＣＵ２０ａ、第２個別ＥＣＵ２０ｂ、第３個別ＥＣＵ２０ｃという。不特定の個別ＥＣＵを示す場合には、参照符号「２０」の添え字「ａ」、「ｂ」、「ｃ」を省略して、個別ＥＣＵ２０という。

充放電制御ＥＣＵ１０は、車外インフラ４０と通信可能に構成される。充放電制御ＥＣＵ１０は、電動車両１００のバッテリ５２を充電したり、バッテリ５２に充電された電力を車外インフラ４０に放電したりするために、車外インフラ４０との通信を行う。充放電制御ＥＣＵ１０は、車外インフラ４０との通信によって、たとえば、車外インフラ４０の状態に関する情報を取得する。

充放電制御ＥＣＵ１０は、取得した車外インフラ４０の状態に関する情報と、自装置が搭載される電動車両１００の状態に関する情報とに基づいて、電動車両１００のバッテリ５２の充電動作を行うか、または車外インフラ４０への放電動作を行うかなどの充放電動作の内容を決定する。充放電制御ＥＣＵ１０は、決定した充放電動作の内容に従って、車内ＬＡＮ３０を介して、充放電動作に必要な複数の個別ＥＣＵ２０に制御指示を与える。これによって、充放電制御ＥＣＵ１０は、個別ＥＣＵ２０を制御する。

複数の個別ＥＣＵ２０は、それぞれ、車内ＬＡＮ３０を介して充放電制御ＥＣＵ１０に接続される。複数の個別ＥＣＵ２０は、異なる機能を有しており、課金監視用個別ユニット、車両システム用個別ユニット、および充放電管理用個別ユニットの少なくとも１つを含む。

課金監視用個別ユニットは、電動車両１００に対する課金を監視するＥＣＵであり、課金に関する情報である課金情報、具体的には課金情報を表す料金データを車外インフラ４０との間で送受信する。車両システム用個別ユニットは、ＥＶシステムを管理するＥＶ−ＥＣＵであり、電動車両１００に関する車両情報、具体的には車両情報を表す車両データを車外インフラ４０との間で送受信する。充放電管理用個別ユニットは、電動車両１００の充放電状態、具体的にはバッテリ５２の状態を管理するＥＣＵであり、電動車両１００で充放電される電力量に関する充放電電力量情報、具体的には充放電電力量情報を表す充放電電力量データを車外インフラ４０との間で送受信する。

充放電制御ＥＣＵ１０は、車外通信部１１、暗号化部１２、検出部１３、制御側車内ＬＡＮ通信部１４および制御側記憶部１５を備える。車外通信部１１は、外部通信部に相当する。また車外通信部１１は、通報部に相当する。制御側車内ＬＡＮ通信部１４は、統括側内部通信部に相当する。

車外通信部１１は、車外インフラ４０との通信を行う。車外通信部１１は、たとえば、電動車両１００の充放電のために、不図示のコネクタを介して、車外インフラ４０との間で通信を行う。車外通信部１１は、車外インフラ４０との間で、充放電の電力量、電動車両１００の出発予定時間または充電完了予定時間、およびバッテリ５２の残量などの情報、具体的には、これらの情報を表すデータを送受信する。ここで、「データ」とは、情報を表す数値のことをいう。

車外通信部１１と車外インフラ４０との間で行われる通信の通信方式としては、電力線通信（Power Line Communication；略称：ＰＬＣ）、もしくは日本国内の規格である「ＣＨＡｄｅＭＯ急速充放電規格」で使用されるコントローラエリアネットワーク（Controller Area Network；略称：ＣＡＮ)といった有線通信方式、または、無線ＬＡＮもしくはＷｉ−Ｆｉなどの無線通信方式などが用いられる。

暗号化部１２は、車外インフラ４０との通信で送受信される情報、具体的にはデータを暗号化する。具体的に述べると、暗号化部１２は、データを暗号文に暗号化するデータ暗号化標準（Data Encryption Standard；略称：ＤＥＳ）アルゴリズムなどを用いて、たとえば、電動車両１００から車外インフラ４０に送信すべき情報を表すデータ（以下「送信データ」という場合がある）、具体的には送信データを含むメッセージを暗号化する。

ＤＥＳは公知技術であり、文書化されているという利点を有している。ＤＥＳは、プライベートキーシステムであり、このプライベートキーが秘密にされている限りは高度に安全確実である。ＤＥＳは、その暗号文出力の可逆性、すなわち暗号文が同一のプライベートキーを用いることによって元のメッセージに平文化され得るという更なる利点を有している。本発明の構成および動作に直接関係しないので明示しないが、ＤＥＳでは、車外インフラ４０から受信した、暗号化されたデータを復号化することも可能である。

本実施の形態では、暗号化部１２における暗号化方式としてＤＥＳを用いる場合について述べているが、暗号化部１２における暗号化方式は、ＤＥＳに限定されるものではない。暗号化部１２における暗号化方式としては、ＤＥＳ以外に、共通鍵暗号方式または公開鍵暗号方式などを用いてもよい。

検出部１３は、車内ＬＡＮ３０で通信される情報、具体的には前記情報を表すデータ（以下「車内ＬＡＮ通信データ」という場合がある）の異常の有無を検出する。より詳細には、検出部１３は、車内ＬＡＮ通信データを含むメッセージの異常の有無を検出する。情報、データおよびメッセージの「異常」とは、たとえば改ざんなどである。

制御側車内ＬＡＮ通信部１４は、車内ＬＡＮ３０を介して、個別ＥＣＵ２０との通信を行う。制御側記憶部１５は、後述するチェックルールの定義、およびチェックルールの作成に用いる充放電制御ＥＣＵ１０の識別子および各個別ＥＣＵ２０の識別子を記憶する。

車内ＬＡＮ３０としては、ＣＡＮが使用される。車内ＬＡＮ３０は、ＣＡＮに限定されるものではなく、シリアル通信、フレックスレイ（ＦｌｅｘＲａｙ）など、標準化された自動車の通信を使用するものであればよい。

各個別ＥＣＵ２０は、メッセージ加工部２１、個別側車内ＬＡＮ通信部２２および個別側記憶部２３を備える。メッセージ加工部２１は、加工部に相当する。個別側車内ＬＡＮ通信部２２は、個別側内部通信部に相当する。個別側車内ＬＡＮ通信部２２は、車内ＬＡＮ３０を介して、充放電制御ＥＣＵ１０の制御側車内ＬＡＮ通信部１４と接続される。

個別側車内ＬＡＮ通信部２２は、車内ＬＡＮ３０を介して、充放電制御ＥＣＵ１０、具体的には制御側車内ＬＡＮ通信部１４と通信を行う。本実施の形態では、車内ＬＡＮ３０を介して、複数の個別ＥＣＵ２０の個別側車内ＬＡＮ通信部２２が、それぞれ、予め定める周期、たとえば１００ｍｓ毎に、データを充放電制御ＥＣＵ１０に送信するものとする。

メッセージ加工部２１は、車外インフラ４０に送信すべき情報を表すデータを個別側記憶部２３から取得し、取得したデータを含むメッセージを、予め定める加工ルール（以下「メッセージ加工ルール」という場合がある）に従って加工する。メッセージを加工することは、メッセージに含まれるデータを加工することに相当する。

個別側記憶部２３は、電動車両１００の発電部５０およびバッテリ５２などから取得される充放電の電力量およびバッテリ５２の残量などの情報を記憶する。また個別側記憶部２３は、使用者によって予め定められる電動車両１００の出発予定時間を記憶する。また個別側記憶部２３は、前述の加工ルールの定義と、加工ルールの作成に用いる自ＥＣＵ２０の識別子および充放電制御ＥＣＵ１０の識別子とを記憶する。

たとえば、第１個別ＥＣＵ２０ａの個別側記憶部２３は、自ＥＣＵである第１個別ＥＣＵ２０ａの識別子と、充放電制御ＥＣＵ１０の識別子とを記憶する。同様に、第２個別ＥＣＵ２０ｂの個別側記憶部２３は、自ＥＣＵである第２個別ＥＣＵ２０ｂの識別子と、充放電制御ＥＣＵ１０の識別子とを記憶する。また第３個別ＥＣＵ２０ｃの個別側記憶部２３は、自ＥＣＵである第３個別ＥＣＵ２０ｃの識別子と、充放電制御ＥＣＵ１０の識別子とを記憶する。本実施の形態では、充放電制御ＥＣＵ１０の識別子を「１」とし、第１個別ＥＣＵ２０ａの識別子を「２」とし、第２個別ＥＣＵ２０ｂの識別子を「３」とし、第３個別ＥＣＵ２０ｃの識別子を「４」とする。

次に、車内ＬＡＮ３０を介して充放電制御ＥＣＵ１０に送信されるメッセージを加工する方法と、メッセージの異常、たとえば第三者による不正な改ざんを検出する方法とについて説明する。メッセージを加工する方法は、各個別ＥＣＵ２０のメッセージ加工部２１によって行われる。メッセージの異常を検出する方法は、充放電制御ＥＣＵ１０の検出部１３によって行われる。

表１〜表３に、従来技術において車内ＬＡＮ通信で授受されるデータの一例を示す。

表１は、個別ＥＣＵ２０が送信する送信データの一例を示す。表１では、具体例として、第１個別ＥＣＵ２０ａが送信する送信データの一例を示す。

「周期番号Ｎ」は、個別ＥＣＵ２０が、予め定める周期でデータを送信するときの送信順序を表す。以下の説明では、周期番号を「周期Ｎｏ．」という場合がある。たとえば、予め定める周期が１００ｍｓである場合、最初の送信タイミングを周期Ｎｏ．１、１００ｍｓ後の送信タイミングを周期Ｎｏ．２、２００ｍｓ後の送信タイミングを周期Ｎｏ．３、３００ｍｓ後の送信タイミングを周期Ｎｏ．４、・・・と表す。

「送信データ」は、個別ＥＣＵ２０が送信する送信データの内容を示す。送信データは、個別ＥＣＵ２０が車外インフラ４０に報告する値である報告値と、報告値の内容の整合をチェックするために使用するチェックサムとを含む。報告値は、たとえば、電動車両１００がスマートグリッドに放電する放電電力量の値である。表１では、１６進数で表した報告値と、２進数で表した報告値と、１６進数で表したチェックサムの値とを示す。

たとえば、１６進数で表した報告値が「０ｘ２Ａ」である場合のチェックサムの値は、２進数で表した報告値「００１０ １０１０」の上位バイト「００１０」を１６進数で表した値「０ｘ０２」と、２進数で表した報告値「００１０ １０１０」の下位バイト「１０１０」を１６進数で表した値「０ｘ０Ａ」とを加算することによって得られる。したがって、１６進数で表した報告値が「０ｘ２Ａ」である場合のチェックサムの値は、表１に示すように、１６進数の表記で「０ｘ０Ｃ」となる。表１では、送信データとともに、チェックサムの計算に用いられる計算用データと、チェックサムの計算式とを示す。計算用データは、２進数で表した報告値の上位バイトおよび下位バイトである。

表２は、表１に示す送信データを改ざんしたデータ（以下「改ざんデータ」という場合がある）の一例を示す。表２に示す改ざんデータは、たとえば、車内ＬＡＮ３０で伝送される送信データを第三者が解析して不正に改ざんしたデータである。

表１に示す報告値が、たとえば前述の放電電力量の値である場合、表２に示す改ざんデータの報告値は、改ざんされた放電電力量の値である。表２では、改ざんデータとして、表１に示す送信データの各値にオフセット量として、「５」を加算したデータを示す。以下の説明では、送信データの各値にオフセット量として「５」を加算することを、送信データを＋５オフセットするという場合がある。

表２では、改ざんされたデータとともに、チェックサムを＋５オフセットするときの計算式を示す。表２に示すように、＋５オフセットされたチェックサムの値は、元のチェックサムである表１に示すチェックサムの値に、オフセット量として「５」を加算した値となっている。

表２において、たとえば、第１個別ＥＣＵ２０ａが、周期Ｎｏ．１のタイミングで送信した送信データのうち、放電電力量を１６進数で表した報告値は、表１に示す１６進数で表した報告値「０ｘ２Ａ」に、オフセット量として「５」を加算した値「０ｘ２Ｆ」となっている。表２に示すチェックサムの値も同様に、表１に示す周期Ｎｏ．１の元のチェックサムの値「０ｘ０Ｃ」に、オフセット量として「５」、１６進数の表記で「０ｘ０５」が加算された値「０ｘ１１」となっている。

周期Ｎｏ．２〜Ｎｏ．４についても同様に、表２に示す報告値およびチェックサムの値は、表１に示す報告値およびチェックサムの値に、それぞれオフセット量「５」が加算された値となっている。

表３は、充放電制御ＥＣＵ１０が第１個別ＥＣＵ２０ａから受信したデータ（以下「受信データ」という場合がある）の一例を示す。表３に示す受信データは、第１個別ＥＣＵ２０ａから送信された表１に示す送信データを、充放電制御ＥＣＵ１０で受信した受信データである。表３に示す受信データは、１６進数で表した報告値と、２進数で表した報告値と、１６進数で表したチェックサムの値とを含む。表３では、受信データとともに、従来技術においてチェックサムを用いてチェックするときに用いる計算用データとチェックサムの計算式とを示す。

表３において、たとえば、充放電制御ＥＣＵ１０が、周期Ｎｏ．１のタイミングで受信した受信データのうち、放電電力量を表す報告値は、１６進数の表記で「０ｘ２Ｆ」である。この１６進数で表した報告値「０ｘ２Ｆ」からチェックサムを計算すると、上位バイトを１６進数で表した値「０ｘ０２」と、下位バイトを１６進数で表した値「０ｘ０Ｆ」とを加算した値「０ｘ１１」となる。計算によって得られたチェックサムの値「０ｘ１１」は、受信データに含まれるチェックサムの値「０ｘ１１」と等しい。したがって、充放電制御ＥＣＵ１０の検出部１３は、メッセージの異常はないと判断する。

検出部１３は、周期Ｎｏ．２以降も同様に受信データの報告値からチェックサムを計算し、計算によって得られたチェックサムの値と、受信データに含まれるチェックサムの値とを比較することによって、メッセージの異常の有無を判断する。ここでは、表３に示すように、計算によって得られたチェックサムの値と、受信データとして受信されたチェックサムの値とは等しいので、検出部１３は、メッセージの異常がないことを確認する。

このように、従来技術の車内ＬＡＮ通信におけるメッセージの確認方法では、表２に示すようにチェックサムの値まで改ざんされると、検出部１３は、メッセージの異常がないと判断するので、表２に示す不正な放電電力量の改ざんを検出することはできない。したがって、充放電制御ＥＣＵ１０が、個別ＥＣＵ２０から受信した受信データをＤＥＳなどの暗号化部１２で暗号化して、車外インフラ４０に送信するようにしても、不正に改ざんされたデータをそのまま、車外インフラ４０に送信してしまうことになる。

表４〜表６に、本実施の形態において車内ＬＡＮ通信で授受されるデータの一例を示す。表４〜表６では、一例として、充放電制御ＥＣＵ１０の識別子を「１」とし、第１個別ＥＣＵ２０ａの識別子を「２」として作成されたメッセージ加工ルールおよびチェックルールを適用した場合のデータを示す。

ここで、予め定めるメッセージ加工ルールについて説明する。予め定めるメッセージ加工ルールは、充放電制御ＥＣＵ１０の識別子と、送信元の個別ＥＣＵ２０の識別子とを用いて、メッセージの加工タイミング、加工箇所および加工量を定めたものである。換言すれば、メッセージ加工ルールは、メッセージの加工タイミング、加工箇所および加工量を含む。メッセージの加工タイミングは、本実施の形態では周期で表される。メッセージは、情報を表すデータを含むので、メッセージの加工タイミングは、情報の加工を行う加工タイミングに相当し、メッセージの加工箇所は、情報の加工箇所に相当し、メッセージの加工量は、情報の加工量に相当する。

本実施の形態では、充放電制御ＥＣＵ１０の識別子と、送信元の個別ＥＣＵ２０の識別子とを用いて、メッセージ加工ルールを構成する要素であるメッセージの加工タイミング、加工箇所および加工量を次のように定義する。

メッセージの加工タイミング（周期）は、送信元の個別ＥＣＵ２０の識別子と充放電制御ＥＣＵ１０の識別子との和とする。メッセージの加工箇所は、送信元の個別ＥＣＵ２０の識別子と充放電制御ＥＣＵ１０の識別子との和とする。メッセージの加工量は、充放電制御ＥＣＵ１０の識別子とする。

たとえば、送信元の個別ＥＣＵ２０を第１個別ＥＣＵ２０ａとし、充放電制御ＥＣＵ１０の識別子を「１」とし、第１個別ＥＣＵ２０ａの識別子を「２」とした場合、メッセージの加工タイミング（周期）は、第１個別ＥＣＵ２０ａの識別子「２」と充放電制御ＥＣＵ１０の識別子「１」との和となる。メッセージの加工箇所は、第１個別ＥＣＵ２０ａの識別子「２」と充放電制御ＥＣＵ１０の識別子「１」との和となる。メッセージの加工量は、充放電制御ＥＣＵ１０の識別子「１」となる。

このように送信元の個別ＥＣＵ２０を第１個別ＥＣＵ２０ａとし、充放電制御ＥＣＵ１０の識別子を「１」とし、第１個別ＥＣＵ２０ａの識別子を「２」とした場合のメッセージの加工タイミング、加工箇所および加工量を式で表すと、以下のようになる。

メッセージの加工タイミング（周期）
＝第１個別ＥＣＵ２０ａの識別子＋充放電制御ＥＣＵ１０の識別子
＝２＋１＝３（周期）
メッセージの加工箇所
＝第１個別ＥＣＵ２０ａの識別子＋充放電制御ＥＣＵ１０の識別子
＝２＋１＝３（ビット目）
メッセージの加工量
＝充放電制御ＥＣＵ１０の識別子
＝１（ビット加工）

以上の定義に従って、メッセージ加工ルールが作成される。本実施の形態では、「通信の周期が３周期ごとに、データの３ビット目を、１ビット加工する」というメッセージ加工ルールになる。ここで、「１ビット加工する」とは、１ビット反転することをいう。

このようにして作成されたメッセージ加工ルールに従って加工されたデータを用いて、メッセージのチェックサムが計算される。すなわち、３周期目の３ビット目を１ビット反転させた値で、チェックサムが計算される。計算によって得られたチェックサムの値と、加工前の報告値とが、送信データとして送信される。すなわち本実施の形態では、送信データの報告値そのものは加工せずに、チェックサムのみを加工している。

表４は、本実施の形態において個別ＥＣＵ２０が送信する送信データの一例を示す。表４では、具体例として、第１個別ＥＣＵ２０ａが送信する送信データの一例を示す。表４では、表１と同様に、送信データと、計算用データと、チェックサムの計算式とを示す。表４においても、表１と同様に、送信データは、１６進数で表した報告値と、２進数で表した報告値と、１６進数で表したチェックサムの値とを含む。表４に示す報告値は、表１に示す報告値と同様に、たとえば放電電力量の値である。

表４において、計算用データは、予め定めるメッセージ加工ルールによる加工後の報告値と、加工後の報告値のうち、２進数で表した報告値の上位バイトおよび下位バイトとを含む。表４に示す送信データに含まれる報告値は、表１に示す送信データに含まれる報告値と同一であるが、表４に示す送信データに含まれる一部のチェックサム、具体的には周期Ｎｏ．３のチェックサムの値は、表１に示すチェックサムの値と異なっている。

表４に示すように、周期Ｎｏ．３の報告値は、１６進数の表記で「０ｘ２５」である。本実施の形態では、送信元である第１個別ＥＣＵ２０ａは、メッセージ加工部２１によって、前述のメッセージ加工ルールに従い、表４において太枠で示すように、周期Ｎｏ．３の２進数で表した報告値「００１０ ０１０１」の３ビット目を反転させる加工を行う。この加工後の報告値を２進数で表すと、上位バイトは加工前と同じ「００１０」であるが、下位バイトは「０００１」となる。

この加工後の報告値を１６進数で表した値「０ｘ２１」を用いて、周期Ｎｏ．３のチェックサムが計算される。計算によって得られる周期Ｎｏ．３のチェックサムの値は、表４において太枠で示すように、加工後の１６進数で表した報告値「０ｘ２１」の上位バイト「０ｘ０２」と下位バイト「０ｘ０１」とを加算した値「０ｘ０３」となる。

メッセージ加工部２１は、周期Ｎｏ．３から３周期ごとに、すなわち周期Ｎｏ．６、Ｎｏ．９、Ｎｏ．１２、・・・で、周期Ｎｏ．３の場合と同様に、加工した報告値を用いてチェックサムを計算することによって、チェックサムを加工する。このようにして加工されたチェックサムを送信データとして含むメッセージ（以下「加工されたメッセージ」という場合がある）が、車内ＬＡＮ１３を介して、第１個別ＥＣＵ２０ａから充放電制御ＥＣＵ１０に送信される。

表５は、表４に示す送信データを改ざんした改ざんデータの一例を示す。表５に示す改ざんデータは、表２と同様に、たとえば、車内ＬＡＮ３０で伝送される送信データを第三者が解析して不正に改ざんしたデータである。表４に示す報告値が、たとえば前述の放電電力量の値である場合、表５に示す改ざんデータの報告値は、改ざんされた放電電力量の値である。

表５では、改ざんデータとして、表４に示す送信データを＋５オフセットしたデータ、すなわち表４に示す各値にオフセット量として「５」を加算したデータを示す。表５では、改ざんされたデータとともに、チェックサムを＋５オフセットするときの計算式を示す。表５に示すように、＋５オフセットされたチェックサムの値は、元のチェックサムである表４に示すチェックサムの値に、オフセット量として「５」を加算した値となっている。

たとえば、表５において太枠で示すように、第１個別ＥＣＵ２０ａが、周期Ｎｏ．３のタイミングで送信した送信データのうち、放電電力量を１６進数で表した報告値は、表４に示す１６進数で表した報告値「０ｘ２５」に、オフセット量として「５」を加算した値「０ｘ２Ａ」となっている。

表５に示すチェックサムの値も同様に、表４に示す周期Ｎｏ．３の元のチェックサムの値「０ｘ０３」に、オフセット量として「５」、１６進数の表記で「０ｘ０５」が加算された値「０ｘ０８」となっている。周期Ｎｏ．２〜Ｎｏ．４についても同様に、表５に示す報告値およびチェックサムの値は、表４に示す報告値およびチェックサムの値に、それぞれオフセット量として「５」を加算した値となっている。

表５とは異なるが、チェックサムの値は、改ざんされた報告値から計算し直される場合もある。たとえば、周期Ｎｏ．３のチェックサムの値は、改ざんされた周期Ｎｏ．３の１６進数で表した報告値「０ｘ２Ａ」の上位バイト「０ｘ０２」と下位バイト「０ｘ０Ａ」とを加算した値「０ｘ０Ｃ」に改ざんされる場合もある。

表６は、充放電制御ＥＣＵ１０が第１個別ＥＣＵ２０ａから受信した受信データの一例を示す。表６に示す受信データは、第１個別ＥＣＵ２０ａから送信された表４に示す送信データを、充放電制御ＥＣＵ１０で受信した受信データである。表６に示す受信データは、表３に示す受信データと同様に、１６進数で表した報告値と、２進数で表した報告値と、１６進数で表したチェックサムの値とを含む。

表６では、表３と同様に、受信データとともに、チェックサムの計算に用いられる計算用データと、チェックサムの計算式とを示す。表６において、計算用データは、予め定めるチェックルールによる加工後の報告値と、加工後の報告値のうち、２進数で表した報告値の上位バイトおよび下位バイトとを含む。表６に示す受信データに含まれる報告値は、表３に示す受信データに含まれる報告値と同一であるが、表６に示す受信データに含まれる一部のチェックサム、具体的には周期Ｎｏ．３のチェックサムの値は、表３に示すチェックサムの値と異なっている。

表６において、たとえば、充放電制御ＥＣＵ１０が、周期Ｎｏ．３のタイミングで受信した受信データのうち、放電電力量を１６進数で表した報告値は、「０ｘ２Ａ」である。充放電制御ＥＣＵ１０の検出部１３は、この１６進数で表した報告値「０ｘ２Ａ」を、予め定めるチェックルールに従って加工し、加工された報告値を用いてチェックサムを計算する。

本実施の形態では、予め定めるチェックルールは、前述の予め定める加工ルールと同一であり、「通信の周期が３周期ごとに、データの３ビット目を、１ビット加工（反転）する」である。このチェックルールに従って加工したデータを用いて、検出部１３によってチェックサムが計算される。

具体的には、検出部１３は、表６において太枠で示すように、受信データのうち、周期Ｎｏ．３の１６進数で表した報告値「０ｘ２Ａ」を２進数で表した値「００１０ １０１０」の３ビット目を反転させる加工を行う。この加工後の報告値を２進数で表すと、上位バイトは加工前と同じ「００１０」であるが、下位バイトは「１１１０」となる。この加工後の報告値を１６進数で表した値「０ｘ２Ｅ」を用いて、周期Ｎｏ．３のチェックサムが計算される。計算によって得られる周期Ｎｏ．３のチェックサムの値は、加工後の１６進数で表した報告値の上位バイト「０ｘ０２」と下位バイト「０ｘ０Ｅ」とを加算した値「０ｘ１０」となる。

計算によって得られた周期Ｎｏ．３のチェックサムの値「０ｘ１０」は、受信データに含まれるチェックサムの値「０ｘ０８」と整合しない。また、計算によって得られた周期Ｎｏ．３のチェックサムの値「０ｘ１０」は、前述のように改ざんされた周期Ｎｏ．３の１６進数で表した報告値「０ｘ２Ａ」を用いて計算されたチェックサムの値「０ｘ０Ｃ」とも整合しない。

したがって、検出部１３は、メッセージに異常が発生したと判断する。これによって検出部１３は、たとえば、予め定めるメッセージ加工ルールを知らない第三者によって、何らかのデータの改ざんが行われたことを検出することができる。

このように、本実施の形態における検出部１３によるメッセージの確認方法によれば、表５に示す不正なデータの改ざん、たとえば放電電力量の改ざんを検出することができる。したがって、充放電制御ＥＣＵ１０が、不正に改ざんされたデータをそのまま、ＤＥＳなどの暗号化部１２で暗号化して、車外インフラ４０に送信してしまうことを未然に防ぐことができる。

次に、電動車両１００における通信管理装置１の動作について、図１および表４〜表６を参照しつつ、図２および図３に示すフローチャートを用いて説明する。

図２は、個別ＥＣＵ２０におけるメッセージの送信処理に関する処理手順を示すフローチャートである。図２に示す各処理は、個別ＥＣＵ２０のメッセージ加工部２１および個別車内ＬＡＮ通信部２２によって実行される。個別ＥＣＵ２０に、不図示の電源から電力が供給されると、図２のフローチャートに示す処理が開始され、ステップＳ１に移行する。

ステップＳ１において、個別ＥＣＵ２０のメッセージ加工部２１は、自ＥＣＵの車内ＬＡＮ通信における通信の周期を表す周期番号Ｎを「０」にリセットし、ステップＳ２に移行する。

ステップＳ２において、メッセージ加工部２１は、個別側記憶部２３から、自ＥＣＵの識別子と、充放電制御ＥＣＵ１０の識別子と、メッセージ加工ルールの定義とを読出し、ステップＳ３に移行する。メッセージ加工ルールの定義は、たとえば前述のように、個別ＥＣＵ２０の識別子と充放電制御ＥＣＵ１０の識別子とをパラメータとする式で表される。

ステップＳ３において、メッセージ加工部２１は、読出した自ＥＣＵおよび充放電制御ＥＣＵ１０の識別子と、メッセージ加工ルールの定義とを用いて、メッセージ加工ルールを作成する。具体的には、メッセージ加工部２１は、読出した自ＥＣＵおよび充放電制御ＥＣＵ１０の識別子と、メッセージ加工ルールの定義とを用いて、メッセージ加工ルールを構成する要素、具体的にはメッセージ加工タイミング、メッセージ加工箇所およびメッセージ加工量を演算する。このようにしてメッセージ加工ルールを作成すると、ステップＳ４に移行する。

ステップＳ４において、メッセージ加工部２１は、自ＥＣＵの車内ＬＡＮ通信における通信の周期を表す周期番号Ｎに「１」加えて、ステップＳ５に移行する。

ステップＳ５において、メッセージ加工部２１は、周期番号Ｎの表す送信タイミングが、ステップＳ３で作成したメッセージ加工ルールにおけるメッセージ加工タイミングと一致するか否かを判断する。メッセージ加工部２１は、周期番号Ｎの表す送信タイミングがメッセージ加工タイミングと一致すると判断した場合は、ステップＳ６に移行し、一致しないと判断した場合は、ステップＳ７に移行する。

ステップＳ６において、メッセージ加工部２１は、ステップＳ３で作成したメッセージ加工ルールに従って、個別側記憶部２３に記憶されている報告値を含む、送信すべきメッセージを加工し、個別側車内ＬＡＮ通信部２２に与える。このようにしてメッセージの加工を行うと、ステップＳ７に移行する。

ステップＳ６のメッセージを加工する処理を経てステップＳ７に移行された場合、ステップＳ７において、車内ＬＡＮ通信部２２は、ステップＳ６で加工されたメッセージを、車内ＬＡＮ３０を介して、充放電制御ＥＣＵ１０に送信する。ステップＳ６のメッセージを加工する処理を経ずに、ステップＳ５からステップＳ７に移行された場合、ステップＳ７において、車内ＬＡＮ通信部２２は、個別側記憶部２３に記憶されている報告値を含むメッセージを、車内ＬＡＮ３０を介して、充放電制御ＥＣＵ１０に送信する。メッセージを充放電制御ＥＣＵ１０に送信すると、ステップＳ８に移行する。

ステップＳ８において、メッセージ加工部２１は、自ＥＣＵの電源のオフ（ＯＦＦ）が指示されたか否か、すなわち電源をオフする指示が入力されたか否かを判断する。メッセージ加工部２１は、電源のオフが指示されていないと判断した場合は、ステップＳ４に戻って前述の処理を繰返し行う。メッセージ加工部２１は、電源のオフが指示されたと判断した場合は、全ての処理手順を終了する。このようにして、個別ＥＣＵ２０の電源がオフ（ＯＦＦ）になるまで、ステップＳ４〜ステップＳ７の処理が繰返し行われる。

図３は、充放電制御ＥＣＵ１０における送信メッセージの異常の有無のチェック処理に関する処理手順を示すフローチャートである。図３に示す各処理は、充放電制御ＥＣＵ１０の車外通信部１１、暗号化部１２、検出部１３および制御側車内ＬＡＮ通信部１４によって実行される。充放電制御ＥＣＵ１０に、不図示の電源から電力が供給されると、図３のフローチャートに示す処理が開始され、ステップＳ１１に移行する。

ステップＳ１１において、充放電制御ＥＣＵ１０の検出部１３は、自ＥＣＵの車内ＬＡＮ通信における通信の周期を表す周期番号Ｎを「０」にリセットし、ステップＳ１２に移行する。

ステップＳ１２において、検出部１３は、制御側記憶部１５から、自ＥＣＵの識別子と、通信相手の個別ＥＣＵ２０の識別子と、メッセージのチェックルール（以下「メッセージチェックルール」という場合がある）の定義とを読出し、ステップＳ１３に移行する。本実施の形態では、チェックルールは、加工ルールと同一である。

ステップＳ１３において、検出部１３は、読出した自ＥＣＵおよび個別ＥＣＵ２０の識別子と、メッセージチェックルールの定義とを用いて、メッセージチェックルールを作成する。具体的には、検出部１３は、読出した自ＥＣＵおよび個別ＥＣＵ２０の識別子と、メッセージチェックルールの定義とを用いて、メッセージチェックルールを構成する要素、具体的にはメッセージチェックタイミングと、検査のためのメッセージの加工箇所および加工量とを演算する。このようにしてメッセージチェックルールを作成すると、ステップＳ１４に移行する。

ステップＳ１４において、検出部１３は、自ＥＣＵの車内ＬＡＮ通信における通信の周期を表す周期番号Ｎに「１」を加えて、ステップＳ１５に移行する。

ステップＳ１５において、検出部１３は、制御側車内ＬＡＮ通信部１４が個別ＥＣＵ２０からのメッセージを受信したか否かを判断する。検出部１３が、個別ＥＣＵ２０からのメッセージを受信したと判断した場合は、ステップＳ１６に移行し、受信していないと判断した場合は、受信するまで待機する。

ステップＳ１６において、検出部１３は、周期番号Ｎの表す送信タイミングが、ステップＳ１３で作成したメッセージチェックルールにおけるメッセージチェックタイミングと一致するか否かを判断する。検出部１３は、周期番号Ｎの表す送信タイミングがメッセージチェックタイミングと一致すると判断した場合は、ステップＳ１７に移行し、一致しないと判断した場合は、ステップＳ１８に移行する。

ステップＳ１７において、検出部１３は、個別ＥＣＵ２０から受信したメッセージを、ステップＳ１３で作成したメッセージチェックルールに従って加工し、ステップＳ１８に移行する。

ステップＳ１７のメッセージを加工する処理を経てステップＳ１８に移行された場合、ステップＳ１８において、検出部１３は、チェックサムを確認するなどのメッセージ異常検出方法を用いて、加工されたメッセージの異常の有無をチェックする。ステップＳ１７のメッセージを加工する処理を経ずに、ステップＳ１６からステップＳ１８に移行された場合、ステップＳ１８において、検出部１３は、チェックサムを確認するなどのメッセージ異常検出方法を用いて、個別ＥＣＵ２０から受信したメッセージの異常の有無をチェックする。検出部１３は、メッセージの異常の有無をチェックすると、ステップＳ１９に移行する。

ステップＳ１９において、検出部１３は、ステップＳ１８のメッセージの異常の有無のチェックの結果、異常があるか否かを判断する。検出部１３は、異常がないと判断した場合は、ステップＳ２０に移行し、異常があると判断した場合は、ステップＳ２１に移行する。メッセージに異常がないと判断された場合、検出部１３によって、メッセージが暗号化部１２に与えられる。

ステップＳ２０において、暗号化部１２は、与えられたメッセージを暗号化して、ステップＳ２１に移行する。

ステップＳ２１において、車外通信部１１は、ステップＳ２０で暗号化されたメッセージを車外インフラ４０に送信し、ステップＳ２３に移行する。

ステップＳ２２において、検出部１３は、メッセージの異常時処理を行い、ステップＳ２３に移行する。メッセージの異常時処理とは、たとえば不図示のスピーカなどの出力装置から警報音を出力することによって、メッセージに異常があることをユーザに通知する処理、またはメッセージに異常がある旨の情報を車外インフラ４０に送信する処理である。

ステップＳ２３において、検出部１３は、自ＥＣＵの電源のオフ（ＯＦＦ）が指示されたか否かを判断する。検出部１３は、電源のオフが指示されていないと判断した場合は、ステップＳ１４に戻って前述の処理を繰返し行う。検出部１３は、電源のオフが指示されたと判断した場合は、全ての処理手順を終了する。このようにして、充放電制御ＥＣＵ１０の電源がオフ（ＯＦＦ）になるまで、ステップＳ１４〜ステップＳ２２の処理が繰返し行われる。

以上のように本実施の形態の通信管理装置１によれば、外部装置である車外インフラ４０との通信（以下「外部通信」という場合がある）を行う充放電制御ＥＣＵ１０が、外部通信のためのデータを暗号化する手段である暗号化部１２を備えるので、車外インフラ４０との通信を第三者に傍受された場合の情報の漏えいおよび改ざんなどを防止することができる。

また、個別ＥＣＵ２０は、充放電制御ＥＣＵ１０を介して車外インフラ４０と通信するので、暗号化を行う暗号化部１２は、車外インフラ４０との通信を行う充放電制御ＥＣＵ１０のみに搭載されればよい。したがって、電動車両１００に搭載される全てのＥＣＵが、負荷の大きい暗号化部１２を搭載する必要がなくなる。

また、車内ＬＡＮを介して通信する個別ＥＣＵ２０と充放電制御ＥＣＵ１０とは、個別ＥＣＵ２０において、予め定める加工ルールに従ってメッセージを加工して充放電制御ＥＣＵ１０に送信し、充放電制御ＥＣＵ１０において、受信したメッセージを、予め定めるチェックルールに従って加工して検査し、メッセージの改ざんなどの異常の有無を検出する。

これによって、たとえば第三者によって通信管理装置１の内部が直接、不正にアクセスされ、情報が改ざんされるなどして情報に異常が生じた場合に、情報に異常が生じたことを検出することができる。また、異常が検出された情報を車外通信部１１が車外インフラ４０に送信しないようにすることによって、改ざんなどの異常が生じた情報が車外インフラ４０に送信されることを防止することができる。

具体的には、車内ＬＡＮ３０内で伝送される情報が直接改ざんされた場合に、改ざんの事実を検出することができる。また、改ざんされた情報を車外通信部１１から送信しないようにすることによって、改ざんされた情報が外部に漏えいすることを防止することができる。

前述の予め定める加工ルールは、メッセージの加工タイミング、加工箇所および加工量を含み、これらは、送受信を行う各ＥＣＵの識別子、すなわち充放電制御ＥＣＵ１０の識別子と送信元の個別ＥＣＵ２０の識別子とに基づいて定められる。同様に、前述の予め定めるチェックルールは、メッセージのチェックタイミングと、検査のための加工箇所および加工量とを含み、これらは、充放電制御ＥＣＵ１０の識別子と送信元の個別ＥＣＵ２０の識別子とに基づいて定められる。

これによって、加工ルールおよびチェックルールを簡単な内容にすることができるので、充放電制御ＥＣＵ１０および個別ＥＣＵ２０における演算負荷を過度に増加させることなく、メッセージ加工部２１および検出部１３を搭載することができる。したがって、製品コストの増加を防ぐことができる。

また本実施の形態では、報告値の２進数での値を加工ルールおよびチェックルールで加工するので、簡単な内容の同一のルールを、加工ルールおよびチェックルールとして用いることができる。したがって、充放電制御ＥＣＵ１０および個別ＥＣＵ２０における演算負荷を過度に増加させることなく、メッセージ加工部２１および検出部１３を搭載することができるので、製品コストの増加を防ぐことができる。

以上に述べた本実施の形態の通信管理装置１は、電動車両１００に搭載され、車外インフラ４０と充放電制御ＥＣＵ１０および個別ＥＣＵ２０との間の通信動作を管理する、電動車両の通信管理装置として好適に用いられる。個別ＥＣＵ２０は、前述のように、課金監視用個別ユニット、ＥＶシステム用個別ユニットおよび充放電管理用個別ユニットのうちの少なくとも１つを含む。

以上に述べた本実施の形態では、メッセージ加工ルールおよびメッセージチェックルールは、一度設定されると、個別ＥＣＵ２０および充放電制御ＥＣＵ１０の電源がオフ（ＯＦＦ）になるまで同じルールのままで繰返し用いられる。これに限定されず、本発明の他の実施の形態では、充放電制御ＥＣＵ１０の識別子と、充放電制御ＥＣＵ１０と車内ＬＡＮ３０を介して通信を行う個別ＥＣＵ２０の識別子とを用いて、メッセージ加工ルールおよびメッセージチェックルールを作成し直すタイミングをさらに定めて、特定の周期で、メッセージ加工ルールおよびメッセージチェックルールを作成し直してもよい。これによって、第三者によってメッセージ加工ルールおよびメッセージチェックルールが解析されることを、より確実に防止することができる。

このように、予め定めるメッセージ加工ルールおよびメッセージチェックルールは、送受信を行う各ＥＣＵ、すなわち個別ＥＣＵ２０および充放電制御ＥＣＵ１０の識別子を基にした演算結果から得られる更新タイミングで更新される。これによって、メッセージの加工内容を解析されにくくすることができるので、第三者による改ざんなどの脅威を回避しやすくすることができる。

また本実施の形態では、図３に示すステップＳ１９において、検出部１３によって、メッセージに異常があることが検出された場合、ステップＳ２２の異常時処理において、たとえば通報部として機能する車外通信部１１によって、メッセージに異常があることが通報される。具体的には、異常時処理として、警報、運転者への通知、または車外インフラ４０への通報が行われる。これによって、メッセージの異常を検出したタイミングで迅速に、メッセージに異常があることを利用者に通知することができる。

具体的に述べると、本実施の形態では、外部通信を行う充放電制御ＥＣＵ１０は、メッセージの異常たとえば改ざんを検出した場合に、通報する手段として、車外通信部１１を備える。これによって、たとえば、不正アクセスによる改ざんおよび漏えいを、利用者または車外インフラ４０などに通知することができる。したがって、改ざんなどの不正に対する対策を迅速に講じることができる。

なお本発明は、その発明の範囲内において、実施の形態を適宜、変形、省略することが可能である。たとえば前述の実施の形態では、通信管理装置１は、電動車両１００に搭載されて用いられるが、これに限定されない。たとえば、通信管理装置１は、太陽光発電装置などの発電装置を備え、電力の需給が可能な住宅であるスマートハウスの通信管理装置として用いられてもよい。このように通信管理装置１が、スマートハウスの通信管理装置として用いられる場合でも、本実施の形態と同様の効果を得ることができる。

１ 通信管理装置、１０ 充放電制御ＥＣＵ、１１ 車外通信部、１２ 暗号化部、１３ 検出部、１４ 制御側車内ＬＡＮ通信部、１５ 制御側記憶部、２０ 個別ＥＣＵ、２１ メッセージ加工部、２２ 個別側車内ＬＡＮ通信部、２３ 個別側記憶部、３０ 車内ＬＡＮ、５０ 発電部、５１ エンジン、５２ バッテリ、１００ 電動車両。

Claims (6)

1. 外部装置と通信可能な統括ユニットと、前記統括ユニットに通信回線を介して接続される複数の個別ユニットとを備え、前記統括ユニットおよび前記複数の個別ユニットと前記外部装置との間の通信動作を管理する通信管理装置であって、
   各前記個別ユニットは、
   前記外部装置に送信すべき情報を、予め定める加工ルールに従って加工する加工部と、
   前記加工部によって加工された情報を、前記通信回線を介して前記統括ユニットに送信する個別側内部通信部とを備え、
   前記統括ユニットは、
   各前記個別ユニットの前記個別側内部通信部から送信される情報を、前記通信回線を介して受信する統括側内部通信部と、
   前記統括側内部通信部によって受信された情報を、予め定めるチェックルールに従って加工し、加工された情報を検査して、前記情報の異常の有無を検出する検出部と、
   前記統括側内部通信部によって受信された情報を暗号化する暗号化部と、
   前記暗号化部によって暗号化された情報を、前記外部装置に送信する外部通信部とを備えることを特徴とする通信管理装置。
2. 前記予め定める加工ルールは、前記情報の加工を行う加工タイミングと、前記情報の加工箇所と、前記情報の加工量とを含み、
   前記予め定めるチェックルールは、前記加工された情報の検査を行うチェックタイミングと、前記検査のための前記情報の加工箇所と、前記検査のための前記情報の加工量とを含み、
   前記加工ルールの前記加工タイミング、前記加工箇所および前記加工量、ならびに前記チェックルールの前記チェックタイミング、前記加工箇所および前記加工量は、前記統括ユニットを識別する統括ユニット識別子と、前記情報の送信元の前記個別ユニットを識別する個別ユニット識別子とに基づいて定められることを特徴とする請求項１に記載の通信管理装置。
3. 前記予め定める加工ルールおよび前記予め定めるチェックルールは、前記統括ユニット識別子と前記情報の送信元の前記個別ユニット識別子とに基づいて定められる更新タイミングで更新されることを特徴とする請求項２に記載の通信管理装置。
4. 前記統括ユニットは、前記検出部によって前記情報に異常があることが検出された場合に、前記情報に異常があることを通報する通報部を備えることを特徴とする請求項１〜３のいずれか１つに記載の通信管理装置。
5. 車両に搭載され、前記車両の外部に設けられる前記外部装置と前記統括ユニットおよび前記複数の個別ユニットとの間の通信動作を管理することを特徴とする請求項１〜４のいずれか１つに記載の通信管理装置。
6. 前記車両は、充放電可能に構成され、
   前記複数の個別ユニットは、次のユニットすなわち、前記車両に対する課金を監視し、前記課金に関する課金情報を前記外部装置との間で送受信する課金監視用個別ユニット、前記車両と電力網とが接続される電力需給システムを管理し、前記車両に関する車両情報を前記外部装置との間で送受信する車両システム用個別ユニット、および前記車両の充放電状態を管理し、前記車両で充放電される電力量に関する充放電電力量情報を前記外部装置との間で送受信する充放電管理用個別ユニットのうちの少なくとも１つを含むことを特徴とする請求項５に記載の通信管理装置。

Images