JP2013193598A

JP2013193598A - 車両用認証装置、及び車両用認証システム

Info

Publication number: JP2013193598A
Application number: JP2012063925A
Authority: JP
Inventors: Tomohiro Kitagawa; 智大北川; Kiminori Watanabe; 公教渡辺
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2012-03-21
Filing date: 2012-03-21
Publication date: 2013-09-30
Anticipated expiration: 2032-03-21
Also published as: JP5729337B2

Abstract

【課題】コンピュータネットワークと同様の通信規格を利用して車載の電子制御システムと外部装置との通信を行う場合にも、車両のセキュリティを確保することを可能にする。
【解決手段】状態判定処理で車両の状態がセキュリティ確保状態に該当すると判定した場合には、識別情報取得処理で取得した装置識別子をメモリ１２に登録する一方、セキュリティ確保状態に該当しないと判定した場合には、当該装置識別子をメモリ１２に登録しない。また、登録処理で、識別情報取得処理で取得した装置識別子がメモリ１２に登録されていると判定した場合に、その装置識別子で特定される外部装置３とＥＣＵ１との間での情報のやり取りを許可する一方、登録されていないと判定したことをもとに情報のやり取りを禁止する。
【選択図】図１

Description

本発明は、インターネットプロトコルを用いて外部装置と接続される車両用認証装置、及びこの車両用認証装置を含む車両用認証システムに関するものである。

従来、車載ネットワークで複数の電子制御装置（ＥＣＵ）が接続された電子制御システムとテスタ等の外部装置とを車室内のコネクタを介して有線で接続し、電子制御システムのＥＣＵから異常データ（ダイアグコード）を読みだすことなどが行われている。この電子制御システムと外部装置との通信は、例えば特許文献１に記載されるように、ＣＡＮやＫＷＰといったＩＳＯ１４２３０に規定された通信規格に従って実現されている。また、電子制御システムにおけるＥＣＵの内部データの読み出しや制御プログラムの書き換えを行う必要がある場合などにも、同様に外部装置を通信可能に接続して、必要なデータのやり取りを行うことがある。

また、近年では、コンピュータネットワークと同様の通信規格（インターネットプロトコル：ＩＰ)を用いて、電子制御システムと外部装置との通信を行うことが検討されている。

特開２００３−３１８９９６号公報

車載の電子制御システムと外部装置との通信にＩＰベースのネットワークを利用する場合、電子制御システムとのデータのやり取りの利便性は増すものの、悪意のある第三者によって車両が操作される危険性が高まる。

詳しくは、以下の通りである。電子制御システムと外部装置との通信にＩＰベースのネットワークを利用できるようになると、一般に普及しているノートＰＣといったＩＰ対応の外部装置を電子制御システムと無線で接続することが可能となる。よって、診断専用のテスタを用いる必要がなくなったり、車室内のコネクタを介して毎回接続する手間を省いたりすることができる。

その反面、一般に普及しているノートＰＣといったＩＰ対応の外部装置によって、車両外部からでも容易に電子制御システムと接続することが可能になると考えられるため、悪意のある第三者によって、電子制御システムのＥＣＵの内部データの読み出しや制御プログラムの書き換えも容易に行われてしまう可能性が考えられる。

本発明は、上記従来の問題点に鑑みなされたものであって、その目的は、インターネットプロトコルを用いて車載の電子制御システムと外部装置との通信を行う場合にも、車両のセキュリティを確保することを可能にする車両用認証装置、及び車両用認証システムを提供することにある。

本発明は、車両に搭載され、インターネットプロトコルを用いて車両外の外部装置（３）と無線及び有線のうち少なくとも無線で通信できる車載の通信装置（２）に、車載ネットワークを介して接続される電子制御装置（１）に備えられる車両用認証装置（１１）であって、外部装置から通信装置に当該外部装置を特定するための識別情報を含む情報が送信されてきた場合に、この識別情報を取得する識別情報取得手段（１１、Ｓ１）と、車両の状態が、当該車両の操作を許可された正規のユーザが当該車両に対して操作する或いは操作したことを示す状態であるセキュリティ確保状態に該当するか否かを判定する状態判定手段（１１、Ｓ５）と、状態判定手段でセキュリティ確保状態に該当すると判定した場合には、識別情報取得手段で取得した識別情報を前記車両に搭載される記憶装置（１２）に登録する一方、セキュリティ確保状態に該当しないと判定した場合には、当該識別情報を記憶装置に登録しない登録手段（１１、Ｓ７）と、識別情報取得手段で識別情報を取得した場合に、その識別情報が記憶装置に登録されているか否かを判定する登録判定手段（１１、Ｓ２）と、登録判定手段で識別情報が記憶装置に登録されていると判定した場合に、その識別情報で特定される外部装置と電子制御装置との間での情報のやり取りを許可する一方、登録判定手段で識別情報が記憶装置に登録されていないと判定したことをもとに、その識別情報で特定される外部装置と電子制御装置との間での情報のやり取りを禁止する認証手段（１１、Ｓ３、Ｓ６）とを備えることを特徴とする。

これによれば、車両に搭載された記憶装置に識別情報が登録されていないことをもとに、その識別情報で特定される外部装置と電子制御装置との間での情報のやり取りを禁止するので、記憶装置に識別情報が登録されていない外部装置からは、電子制御装置の内部データの読み出しや制御プログラムの書き換えを行うことができないようにすることが可能になる。

また、識別情報の記憶装置への登録は、車両の状態が当該車両の操作を許可された正規のユーザが当該車両に対して操作する或いは操作したことを示す状態であるセキュリティ確保状態に該当すると状態判定手段で判定した場合でないと行われないので、正規のユーザの立会いのもとでしか登録できない。よって、悪意のある第三者が識別情報を記憶装置へ不正に登録することが困難になり、セキュリティが確保される。

その結果、インターネットプロトコルを用いて車載の電子制御システムと外部装置との通信を行う場合にも、車両のセキュリティを確保することが可能になる。

また、本発明は、車両に搭載され、インターネットプロトコルを用いて車両外の外部装置（３）と無線及び有線のうち少なくとも無線で通信できる車載の通信装置（２）に、車載ネットワークを介して接続される電子制御装置（１、１ａ）に備えられる車両用認証装置（１１ｃ）と、車両外に設けられ、情報を記憶する記憶装置を備えるサーバ（５）とを含み、
車両用認証装置は、外部装置から通信装置に当該外部装置を特定するための識別情報を含む情報が送信されてきた場合に、この識別情報を取得する識別情報取得手段（１１ｃ）と、車両の状態が、当該車両の操作を許可された正規のユーザが当該車両に対して操作する或いは操作したことを示す状態であるセキュリティ確保状態に該当するか否かを判定する状態判定手段（１１ｃ）と、状態判定手段でセキュリティ確保状態に該当すると判定した場合には、識別情報取得手段で取得した識別情報をサーバの記憶装置（５３）に登録させる一方、セキュリティ確保状態に該当しないと判定した場合には、当該識別情報を記憶装置に登録させない登録手段（１１ｃ）と、識別情報取得手段で識別情報を取得した場合に、その識別情報が記憶装置に登録されているか否かを判定する登録判定手段（１１ｃ）と、登録判定手段で識別情報が記憶装置に登録されていると判定した場合に、その識別情報で特定される外部装置と電子制御装置との間での情報のやり取りを許可する一方、識別情報が記憶装置に登録されていないと判定したことをもとに、その識別情報で特定される外部装置と電子制御装置との間での情報のやり取りを禁止する認証手段（１１ｃ）とを備えることを特徴とする。

これによれば、外部装置から識別情報を含む情報が送信されてきた場合に、この識別情報が、車両外に設けられたサーバの記憶装置に登録されていない場合には、外部装置と電子制御装置との間での情報のやり取りを禁止するので、サーバの記憶装置に識別情報が登録されていない外部装置からは、電子制御装置の内部データの読み出しや制御プログラムの書き換えを行うことができなくなる。

実施形態１における車両用認証システム１００の概略的な構成を示すブロック図である。ダイアグ通信データのデータ構造の一例を示す模式図である。実施形態１におけるＣＰＵ１１でのダイアグ通信関連処理のフローの一例を示すフローチャートである。変形例１におけるＣＰＵ１１でのダイアグ通信関連処理のフローの一例を示すフローチャートである。実施形態２における車両用認証システム１００ａの概略的な構成を示すブロック図である。実施形態３における車両用認証システム２００の概略的な構成を示すブロック図である。

以下、本発明の実施形態について図面を用いて説明する。

（実施形態１）
図１に示すように、車両用認証システム１００は、電子制御装置（以下、ＥＣＵ）１、通信モジュール２、及び外部装置３を含んでいる。ＥＣＵ１及び通信モジュール２は車両に搭載されるものであって、外部装置３は車両外で用いられるものである。なお、本実施形態の例では、外部装置３は車両外で用いるものとして説明を行うが、車両内で用いられてもよいものとする。

ＥＣＵ１と通信モジュール２とは、例えばＣＡＮ（controller areanetwork）などの通信プロトコルに準拠した車内ＬＡＮといった車載ネットワークで接続されているものとする。また、通信モジュール２と外部装置３とは、ＤｏＩＰ（Diagnostics over Internet Protocol）などのインターネットプロトコル（ＩＰ）ベースのネットワークで接続されるものとする。なお、通信モジュール２と外部装置３とのＩＰベースのネットワークでの接続は、有線による接続であっても無線による接続であってもよいが、少なくとも無線による接続が可能であるものとする。

通信モジュール２は、外部装置３と車載ネットワークとを中継するものであって、外部装置３から送信されてきた情報を受信して、車載ネットワークを介してＥＣＵ１に送ったり、車載ネットワークを介してＥＣＵ１から送られてきた情報を外部装置３に送信したりする。通信モジュール２は、前述したように、有線と無線とのうちの少なくとも無線によって外部装置３と通信を行うものであって、無線通信用の送受信アンテナを有している。通信モジュール２が請求項の通信装置に相当する。

外部装置３は、ＩＰベースのネットワークによって通信モジュール２と通信を行うことができる機器であって、自機器を特定するための識別情報（以下、装置識別子）を保持している。外部装置３は、前述したように、有線と無線とのうちの少なくとも無線によって通信モジュール２と通信を行う。外部装置３は、通信モジュール２への情報の送信時に自装置の装置識別子も含ませて送信を行うものとする。

外部装置３は、例えばノートＰＣやＩＰ対応のテスタ等であって、ダイアグ診断コードのＥＣＵ１からの読み出しやＥＣＵ１の制御プログラムの書き換えやＥＣＵ１が制御する電装品の強制駆動を要求するサービス要求を送信するダイアグ通信を行うものとする。ダイアグ診断コードとは、車両の不具合の有無や異常があった場合の異常についての情報である。装置識別子としては、例えば外部装置３のＭＡＣアドレスやＭＡＣアドレスの一部のＩＤ等を用いる構成とすればよい。

通信モジュール２と外部装置３とは、前述したＩＰベースのネットワークで接続可能であるだけでなく、ＤＬＣコネクタを介したＣＡＮ等のネットワークでも接続可能となっている構成としてもよい。

ここで、外部装置３からダイアグ通信で送信する情報（以下、ダイアグ通信データ）のデータ構造の一例について図２を用いて説明を行う。図２に示すように、ダイアグ通信データは、先頭のヘッダ領域とそれに続くデータ領域とに分かれている。データ領域には、前述のサービス要求が格納される。ヘッダ領域には、送信元としての自装置のアドレスである送信元アドレス、サービス要求の対象となるＥＣＵ１のアドレスである送信先アドレス、前述の装置識別子が格納される。なお、図２に示したのはあくまで一例であって、ダイアグ通信データのデータ構造は図２に示したものに限らない。

送信元アドレス、送信先アドレスとして、例えばＩＰアドレスとＭＡＣアドレスとの両方を用いる構成とすればよい。装置識別子としてＭＡＣアドレスを用いる場合には、送信元アドレスと装置識別子との格納領域にそれぞれ同じＭＡＣアドレスを格納することになる。なお、送信元アドレスとしてのＭＡＣアドレスは、通信モジュール２でダイアグ通信データを受信した場合に、通信モジュール２のＭＡＣアドレスに書き換えられるが、装置識別子としてのＭＡＣアドレスは書き換えられることはない。

ＥＣＵ１は、ＣＰＵ１１、ＲＯＭやＲＡＭやＥＥＰＲＯＭ等のメモリ１２、通信インターフェース（Ｉ／Ｆ）１３、電源ＩＣ１４、及びこれらの構成を接続するバスライン等からなる周知のマイクロコンピュータを中心に構成されている。そして、通信モジュール２から入力される情報に基づき、ＲＯＭ等に記憶されたプログラムに従ってダイアグ通信に関連する処理（以下、ダイアグ通信関連処理）や電装品の制御に関連する処理（以下、電装品制御関連処理）等の各種処理を行う。ＣＰＵ１１が請求項の車両用認証装置に相当する。

また、ＥＣＵ１は、車両のイグニッション（以下、ＩＧ）電源がオンになった場合に通電してウェークアップ状態となる一方、ＩＧ電源がオフになった場合にウェークアップ時よりも消費電力が少ないスリープ状態となる。

ここで言うところのウェークアップ状態とは、ＣＰＵ１１での処理が可能である状態を示している。ＣＰＵ１１での処理とは、上述したダイアグ通信関連処理や電装品制御関連処理等である。また、ここで言うところのスリープ状態とは、ＣＰＵ１１に電源が供給されておらず、ＣＰＵ１１の機能が停止している状態を示している。なお、スリープ状態ではＣＰＵ１１の機能が停止している状態にあるので、ウェークアップ状態に比べて大幅に消費電力が少なくなる。

電源ＩＣ１４は、ＥＣＵ１がスリープ状態となった場合にも、例えばバックアップ電源等によって常時通電しているものとする。また、電源ＩＣ１４は、ＥＣＵ１がスリープ状態にある場合において、通信モジュール２で外部装置３から情報を受信したことを示す信号が通信Ｉ／Ｆ１３を介して入力されるとＣＰＵ１１に電源を供給する。ＣＰＵ１１は、電源ＩＣ１４から電源が供給されると、ＩＧ電源がオフの場合でもウェークアップ状態に復帰する。

電源ＩＣ１４は、外部装置３から受信した情報の種類を問わずにＣＰＵ１１に電源を供給する構成としてもよいし、外部装置３から受信した情報がＥＣＵ１をウェークアップ状態に切り替えることを要求するウェークアップ信号であった場合にＣＰＵ１１に電源を供給する構成としてもよい。

なお、通信モジュール２は、車両のＩＧ電源がオフの場合に、例えばバックアップ電源等によって常時通電することでウェークアップ状態であり続ける構成としてもよいし、一定の周期でスリープ状態とウェークアップ状態とを切り替える構成としてもよい。一定の周期でのスリープ状態とウェークアップ状態との切り替えは、例えばフリーランタイマなどの周知のタイマ回路を利用することで実現すればよい。

次に、図３のフローチャートを用いて、ＣＰＵ１１でのダイアグ通信関連処理の一例についての説明を行う。本フローは、例えば通信モジュール２で外部装置３から受信したダイアグ通信データが通信Ｉ／Ｆ１３を介して入力されたときに開始される。本フローは、車両のＩＧ電源がオフとなっており、ＥＣＵ１がスリープ状態にある場合であっても、上述したようにして電源ＩＣ１４からＣＰＵ１１が電源の供給を受けることで開始される。

まず、ステップＳ１では、装置識別子取得処理を行って、ステップＳ２に移る。装置識別子取得処理では、通信モジュール２から通信Ｉ／Ｆ１３を介してＣＰＵ１１に入力されたダイアグ通信データに含まれる装置識別子を取得する。よって、ステップＳ１の処理が請求項の識別情報取得手段に相当する。

ステップＳ２では、登録判定処理を行って、ステップＳ３に移る。登録判定処理では、メモリ１２に登録済みの装置識別子の中に、ステップＳ１で取得した装置識別子（つまり、外部装置３から受信した装置識別子）と一致するものがあるか否かを判定する。

例えば、後述する登録処理で過去にメモリ１２に登録済みであった場合には、一致すると判定され、初めて通信モジュール２に接続した外部装置３から装置識別子を受信した場合には、装置識別子が登録済みでないので、一致しないと判定される。よって、ステップＳ２の処理が請求項の登録判定手段に相当する。

ステップＳ３では、登録判定処理の結果、一致するものがあると判定した場合（ステップＳ３でＹＥＳ）には、後述する通常処理を許可し、ステップＳ４に移る。また、一致するものがないと判定した場合（ステップＳ３でＮＯ）には、ステップＳ５に移る。

ステップＳ４では、通常処理を行って、フローを終了する。通常処理では、ダイアグ通信データに含まれるサービス要求に従った処理を行う。サービス要求が、例えばダイアグ診断コードのＥＣＵ１からの読み出しの要求であった場合には、ＥＣＵ１が制御する電装品についてのダイアグ診断コードを読み出す。そして、読み出したダイアグ診断コードを通信Ｉ／Ｆ１３を介して通信モジュール２に送り、通信モジュール２から外部装置３へ送信させる。

また、サービス要求がＥＣＵ１の制御プログラムの書き換えの要求やＥＣＵ１が制御する電装品の強制駆動の要求であった場合には、その要求に従って制御プログラムを書き換えたり、電装品を強制駆動させたりする。

ステップＳ５では、状態判定処理を行って、ステップＳ６に移る。状態判定処理では、車両状態を検出するセンサや他のＥＣＵから車載ネットワーク１を介して取得した車両状態が、セキュリティ確保状態に該当するか否かを判定する。よって、ステップＳ５の処理が請求項の状態判定手段に相当する。

セキュリティ確保状態とは、車両の操作を許可された正規のユーザが当該車両に対して操作する或いは操作したことを示す車両状態である。言い換えると、外部装置３のユーザが正規ユーザと限定できる車両状態を示す。

セキュリティ確保状態の一例として、ドアロックが開錠されているドアロック開錠状態、ドアが開放されているドア開放状態、ＩＧキーシリンダーにＩＧキーが挿入されているキー挿入状態、窓が開放されている窓開放状態、キーレスエントリーシステムにおいて電子キーが認証されているキー認証状態、イモビライザで車両の駆動力源の始動許可がされているイモビ解除状態、ＩＧ電源がオンされているＩＧオン状態等の車両状態がある。

なお、ドア開放状態、キー挿入状態、窓開放状態、イモビ解除状態、ＩＧオン状態が、請求項の「車両の操作を許可された正規のユーザが車両に対して操作したことを示す状態」に相当する。また、キー認証状態が、「請求項の車両の操作を許可された正規のユーザが車両に対して操作することを示す状態」に相当する。

例えばドアロック開錠状態はドアロック検出スイッチの信号をもとに判定し、ドア開放状態はカーテシスイッチの信号をもとに判定し、窓開放状態は窓開閉スイッチの信号をもとに判定すればよい。また、キー挿入状態はキー挿入検知線の信号をもとに判定し、ＩＧオン状態はＩＧスイッチの信号をもとに判定する構成とすればよい。さらに、キー認証状態はキーレスエントリーシステムの認証用のＥＣＵの信号をもとに判定し、イモビ解除状態はイモビライザの信号をもとに判定する構成とすればよい。

状態判定処理での判定に用いるセキュリティ確保状態は、前述のうちのいずれか１つとする構成としてもよいし、複数を組み合わせる構成としてもよい。なお、車両のドアを開けるなどの車両に対する操作をユーザが行わなくても済むという利便性の点から、キー認証状態をセキュリティ確保状態として用いる構成がより好ましい。

ステップＳ６では、状態判定処理の結果、セキュリティ確保状態に該当すると判定した場合（ステップＳ６でＹＥＳ）には、ステップＳ７に移る。また、セキュリティ確保状態に該当しないと判定した場合（ステップＳ６でＮＯ）には、通常処理を禁止し、フローを終了する。

つまり、登録判定処理で装置識別子（識別情報）がメモリ１２に登録されていると判定した場合に、その装置識別子で特定される外部装置３とＥＣＵ１との間での情報のやり取りを許可する。一方、装置識別子がメモリ１２に登録されていないと判定した場合であって、状態判定処理でセキュリティ確保状態に該当しないと判定した場合には、その装置識別子で特定される外部装置３とＥＣＵ１との間での情報のやり取りを禁止する。なお、ステップＳ３及びステップＳ６が請求項の認証手段に相当する。

ステップＳ７では、登録処理を行って、ステップＳ８に移る。登録処理では、メモリ１２のうちの、ＥＥＰＲＯＭ等の電気的に書き換え可能な不揮発性メモリに、装置識別子取得処理で取得した装置識別子を記憶することにより、メモリ１２に登録を行う。よって、メモリ１２が請求項の記憶装置に相当し、ステップＳ７の処理が請求項の登録手段に相当する。ステップＳ８では、ステップＳ４と同様にして通常処理を行い、フローを終了する。

登録処理では、状態判定処理でセキュリティ確保状態に該当すると判定してから一定時間内（例えば３分など）に限り、装置識別子取得処理で取得した装置識別子をメモリ１２に登録可能とする構成とすることが好ましい。

これによれば、装置識別子の登録に時間的制約を追加することにより、悪意の第三者の外部装置３から装置識別子の登録の割り込みを受ける危険性を減らすことができる。一例として、車両のドアロックが解除されてから３分以内に外部装置３が通信モジュール２に通信接続された場合にのみ装置識別子を登録するようにする。

また、メモリ１２に登録した装置識別子をＣＰＵ１１が消去可能とすることが好ましい。よって、ＣＰＵ１１が請求項の消去手段に相当する。これによれば、メモリ１２から装置識別子を消去することでメモリ１２の容量を有効活用できる。

例えば、車両の出荷前の工場でダイアグ通信に用いた外部装置３の装置識別子は、出荷後には利用しないので、メモリ１２の容量を有効活用するために消去する。一例として、外部装置３から消去要求を送信してメモリ１２の装置識別子を個別に消去したり、一括に消去したりする構成とすればよい。

他にも、イグニッション電源がオンからオフに切り替われる回数を、ＣＰＵ１１の図示しないカウンタ等でカウントし、切り替え回数が一定数に達したらＣＰＵ１１が自動的に消去する構成としたり、メモリ１２の装置識別子の記憶領域の容量に達するごとに、最も古く記憶された装置識別子をＣＰＵ１１が消去したりする構成とすればよい。

また、出荷前の工場でダイアグ通信に用いた外部装置３の装置識別子を登録するメモリ１２として例えばＲＡＭ等の通電されているときだけ記憶内容が保持でき、通電が断たれると記憶内容が消えてしまう揮発性メモリを選択することで、車両のＩＧ電源がオフとなったときに、登録した装置識別子が自動で消去される構成としてもよい。

一例としては、外部装置３の図示しない操作入力部を介して、装置識別子の登録先のメモリ１２を揮発性メモリにするか不揮発性メモリにするかを選択する旨のユーザ操作に従った入力を受け付ける。装置識別子の登録先を揮発性メモリにすることを選択する旨の入力を受け付けた場合には、装置識別子の登録先を揮発性メモリにすることを指示する信号を外部装置３から通信モジュール２を介してＥＣＵ１に送信する。外部装置３から、装置識別子の登録先を揮発性メモリにすることを指示する信号をＥＣＵ１が受けた場合には、ＥＣＵ１で装置識別子の登録を行う際に、揮発性メモリに装置識別子を登録する。

これによれば、車両のＩＧ電源がオフとなったときに、登録した装置識別子が自動で消去されるので装置識別子を消去する手間を省くことができる。例えば、出荷前の工場では揮発性メモリに装置識別子を登録するように選択することにより、出荷前のダイアグ通信に用いた外部装置３の装置識別子が出荷時には自動で消去されるようにし、出荷後には不要である装置識別子の消去の手間を省くことができる。

また、装置識別子の登録先を不揮発性メモリにすることを選択する旨の入力を受け付けた場合には、装置識別子の登録先を不揮発性メモリにすることを指示する信号を外部装置３から通信モジュール２を介してＥＣＵ１に送信する。外部装置３から、装置識別子の登録先を不揮発性メモリにすることを指示する信号をＥＣＵ１が受けた場合には、ＥＣＵ１で装置識別子の登録を行う際に、不揮発性メモリに装置識別子を登録する。なお、装置識別子の登録先の選択が行われなかった場合のデフォルトの登録先は例えば不揮発性メモリとすればよい。

本実施形態では、ステップＳ７の登録処理の後にステップＳ８の通常処理を行う構成を示したが、必ずしもこれに限らない。例えば、ステップＳ７の登録処理の後にステップＳ２の登録判定処理に移って、フローを繰り返すとともに、ステップＳ８の通常処理を省略する構成としてもよい。

つまり、登録判定処理で装置識別子（識別情報）がメモリ１２に登録されていると判定しない限り、その装置識別子で特定される外部装置３とＥＣＵ１との間での情報のやり取りを許可しない構成としてもよい。

本実施形態では、装置識別子取得処理の後、状態判定処理よりも先に登録判定処理を行う構成を示したが、必ずしもこれに限らない。例えば、装置識別子取得処理の後、登録判定処理よりも先に状態判定処理を行う構成（以下、変形例１）としてもよい。

ここで、図４のフローチャートを用いて、変形例１におけるＣＰＵ１１でのダイアグ通信関連処理の一例についての説明を行う。図４のフローも、例えば通信モジュール２で外部装置３から受信したダイアグ通信データが通信Ｉ／Ｆ１３を介して入力されたときに開始される。

まず、ステップＳ１１では、ステップＳ１と同様にして装置識別子取得処理を行って、ステップＳ１２に移る。ステップＳ１２では、ステップＳ５と同様にして状態判定処理を行って、ステップＳ１３に移る。

ステップＳ１３では、状態判定処理の結果、セキュリティ確保状態に該当すると判定した場合（ステップＳ１３でＹＥＳ）には、ステップＳ１４に移る。また、セキュリティ確保状態に該当しないと判定した場合（ステップＳ１３でＮＯ）には、ステップＳ１６に移る。

ステップＳ１４では、ステップＳ７と同様にして登録処理を行って、ステップＳ１５に移る。変形例１の登録処理においては、メモリ１２に既に登録済みの装置識別子については、例えば上書きして記憶する構成とすればよい。ステップＳ１５では、ステップＳ４と同様にして通常処理を行い、フローを終了する。

また、ステップＳ１６では、ステップＳ２と同様にして登録判定処理を行って、ステップＳ１７に移る。ステップＳ１７では、登録判定処理の結果、一致するものがあると判定した場合（ステップＳ１７でＹＥＳ）には、通常処理を許可し、ステップＳ１８に移る。また、一致するものがないと判定した場合（ステップＳ１７でＮＯ）には、通常処理を禁止し、フローを終了する。ステップＳ１８では、ステップＳ４と同様にして通常処理を行い、フローを終了する。

実施形態１及び変形例１のいずれの構成によっても、外部装置３から装置識別子を含む情報が送信されてきた場合に、この装置識別子がメモリ１２に登録されていない場合には、外部装置３とＥＣＵ１との間での情報のやり取りを禁止するので、メモリ１２に装置識別子が登録されていない外部装置３からは、ＥＣＵ１の内部データの読み出しや制御プログラムの書き換えを行うことができなくなる。

また、装置識別子のメモリ１２への登録は、状態判定処理で車両状態がセキュリティ確保状態に該当すると判定した場合でないと行われないので、正規のユーザの立会いのもとでしか登録できない。よって、悪意のある第三者が装置識別子をメモリ１２へ不正に登録することが困難になり、セキュリティが確保される。その結果、インターネットプロトコルを用いて車載の電子制御システムと外部装置３との通信を行う場合にも、車両のセキュリティを確保することが可能になる。

実施形態１の構成によれば、車両のＩＧ電源がオフとなっており、ＥＣＵ１がスリープ状態にある場合であっても、外部装置３から無線通信で通信モジュール２が情報を受信すると、ＥＣＵ１がウェークアップ状態に復帰する。よって、ユーザが車両のドアを開けてＩＧ電源をオンにする操作を行わなくても、外部装置３の認証を行うことが可能になる。

また、既にメモリ１２に装置識別子が登録済みの外部装置３であれば、ユーザが車両のドアを開けてＩＧ電源をオンにする操作を行わなくても、ＥＣＵ１との情報のやり取りまでを行うことが可能になる。さらに、前述のキー認証状態のみをセキュリティ確保状態とする構成とした場合には、メモリ１２に装置識別子が登録済みの外部装置３でなくても、正規のユーザであればＥＣＵ１との情報のやり取りまでを行うことが可能になる。

詳しくは、以下の通りである。キー認証状態のみをセキュリティ確保状態とする構成では、車両のドアを開けるなどの車両に対する操作をユーザが行わなくても外部装置３の認証を成立させることができる。よって、メモリ１２に装置識別子が登録済みの外部装置３でなくても、正規のユーザであれば、外部装置３の認証を成立させて外部装置３とＥＣＵ１との情報のやり取りを開始することができる。

なお、前述の実施形態では、外部装置３から通信モジュール２でダイアグ通信データを受信するごとに、ダイアグ通信関連処理を行って外部装置３の認証を行う構成を示したが、必ずしもこれに限らない。例えば、外部装置３と通信モジュール２との通信接続が開始（通信確立）して外部装置３の認証が成立した後は、その通信接続が解除されるまでは、当該外部装置３とＥＣＵ１との間での装置識別子を含まないダイアグ通信データのやり取りも許可する構成（以下、変形例２）としてもよい。

変形例２は、通信確立して外部装置３の認証が成立した後は、その通信接続が解除されるまでは、当該外部装置３からの情報（例えばダイアグ通信データ）については認証を行わない構成と言い換えることがきる。なお、通信接続が解除されるまでとは、外部装置３と通信モジュール２との仮想回線が確立して（構築されて）から仮想回線が切断されるまでを指している。

変形例２の構成によれば、外部装置３の認証が成立した後は、その外部装置３と通信モジュール２との通信接続が解除されるまでは、ダイアグ通信データを受信するごとに認証を行う必要がなくなるので、ＣＰＵ１１の負荷を低減することができる。また、ＣＰＵ１１の負荷を低減することにより、認証成立後から通信接続が解除されるまでのＥＣＵ１と外部装置３との情報のやり取りの時間を短縮したり電力消費を抑えたりすることができる。

変形例２のような構成とする場合には、ダイアグ通信データのヘッダ領域に装置識別子を格納するなどして、常にダイアグ通信データに装置識別子を含ませる構成とする必要もなくなる。例えば、認証が成立するまではダイアグ通信データのデータ領域に装置識別子を格納する一方、認証が成立した後はダイアグ通信データに装置識別子を含ませない構成とすることが可能になる。

（実施形態２）
本発明は上述の実施形態１に限定されるものではなく、次の実施形態（以下、実施形態２）も本発明の技術的範囲に含まれる。以下では、この実施形態２について図５を用いて説明を行う。なお、説明の便宜上、前述の実施形態の説明に用いた図に示した部材と同一の機能を有する部材については、同一の符号を付し、その説明を省略する。

実施形態１では、車両用認証システム１００に含まれる各ＥＣＵ１のメモリ１２に外部装置３の装置識別子を登録し、各ＥＣＵ１のＣＰＵ１１で外部装置３の認証を行う構成を示した。この構成に対して、実施形態２における車両用認証システム１００ａは、ゲートウェイとして機能するＥＣＵ１ａのメモリ１２のみが装置識別子を登録し、ＥＣＵ１ａのＣＰＵ１１ａでのみ外部装置３の認証を行う点が異なっている。

図５に示すように、車両用認証システム１００ａは、ＥＣＵ１ａ、ＥＣＵ１ｂ、通信モジュール２、及び外部装置３を含んでいる。ＥＣＵ１ａと通信モジュール２とは、ＤｏＩＰなどのＩＰベースのネットワークで接続されているものとする。また、ＥＣＵ１ａとＥＣＵ１ｂ、及びＥＣＵ１ｂ同士は、例えばＣＡＮ（controller areanetwork）などの通信プロトコルに準拠した車内ＬＡＮといった車載ネットワークで接続されているものとする。

ＥＣＵ１ａは、ゲートウェイとして機能する点を除けば、実施形態１のＥＣＵ１と同様の構成である。ＥＣＵ１ａは、ＥＣＵ１のＣＰＵ１１の代わりにＣＰＵ１１ａを備えるとともに、通信Ｉ／Ｆ１３に加え、通信Ｉ／Ｆ１５を備える。

ここで言うところのゲートウェイとは、車載ネットワークへの入り口となるネットワーク拠点である。また、例えば本実施形態の例に挙げたように、ＣＡＮとＩＰベースのネットワークといった通信プロトコルが異なるネットワーク同士を中継する場合には、プロトコル変換も行うものとする。

ＥＣＵ１ｂは、ゲートウェイとしての機能に関する構成を備えていない点とダイアグ通信関連処理を行わない点とを除けばＥＣＵ１ａと同様の構成であり、ＲＯＭ等に記憶されたプログラムに従って前述の電装品制御関連処理等の各種処理を行う。

また、ＥＣＵ１ａ・１ｂのいずれも、ＥＣＵ１と同様に、車両のＩＧ電源がオンになった場合に通電してウェークアップ状態となる一方、ＩＧ電源がオフになった場合にウェークアップ時よりも消費電力が少ないスリープ状態となるものとする。

ＥＣＵ１ａの電源ＩＣ１４は、ＥＣＵ１ａがスリープ状態にある場合において、通信モジュール２で外部装置３から情報を受信したことを示す信号が通信Ｉ／Ｆ１３を介して入力されると、ＣＰＵ１１ａに電源を供給する。ＣＰＵ１１ａは、電源ＩＣ１４から電源が供給されると、ＩＧ電源がオフの場合でもウェークアップ状態に復帰する。

また、ウェークアップ状態に復帰したＥＣＵ１ａのＣＰＵ１１ａは、通信Ｉ／Ｆ１５を介して、他のＥＣＵ１ｂへもウェークアップ信号を送り、他のＥＣＵ１ｂもウェークアップ状態に復帰させるものとする。ＥＣＵ１ａでは、通信Ｉ／Ｆ１３をＩＰベースのネットワーク用に用い、通信Ｉ／Ｆ１５を車載ネットワーク（本例ではＣＡＮ）用に用いる。

ＥＣＵ１ａのＣＰＵ１１ａは、実施形態１で説明したダイアグ通信関連処理と同様にして、通信モジュール２と通信接続された外部装置３の認証を行う。そして、外部装置３の認証が成立した場合には、その外部装置３のダイアグ通信データに含まれる送信先アドレスで指定されているＥＣＵ１ｂとその外部装置３との情報のやり取りを許可する。一方、外部装置３の認証が成立しなかった場合には、その外部装置３のダイアグ通信データに含まれる送信先アドレスで指定されているＥＣＵ１ｂとその外部装置３との情報のやり取りを禁止する。

実施形態２の構成によれば、ゲートウェイとして機能するＥＣＵ１ａがダイアグ通信関連処理を代表して行うので、ＥＣＵ１ａと車載ネットワークで接続されるＥＣＵ１ｂではダイアグ通信関連処理を行う必要がなくなり、ＥＣＵ１ｂのＣＰＵの負荷を低減することができる。

また、各ＥＣＵ１ｂのメモリに装置識別子を記憶する必要もなくなるため、各ＥＣＵ１ｂのメモリの容量を有効活用できる。さらに、ゲートウェイとして機能するＥＣＵ１ａがダイアグ通信関連処理を代表して行うので、ＥＣＵ１ｂで外部装置３の認証を行わなくても、外部装置３とＥＣＵ１ｂとの通信を行う場合における車両のセキュリティを確保することができる。

（実施形態３）
本発明は上述の実施形態１に限定されるものではなく、次の実施形態（以下、実施形態３）も本発明の技術的範囲に含まれる。以下では、この実施形態３について図６を用いて説明を行う。なお、説明の便宜上、前述の実施形態の説明に用いた図に示した部材と同一の機能を有する部材については、同一の符号を付し、その説明を省略する。

実施形態１では、車両に搭載されるＥＣＵ１のメモリ１２に外部装置３の装置識別子を登録する構成を示した。この構成に対して、実施形態３における車両用認証システム２００は、車両外に設けられたサーバ５の記憶部５３に外部装置３の装置識別子を登録する点が異なっている。

図５に示すように、車両用認証システム１００ａは、ＥＣＵ１ｃ、通信モジュール２、外部装置３、ＤＣＭ（data communication module）４、及びサーバ５を含んでいる。ＥＣＵ１ｃとＤＣＭ４とは、ＤｏＩＰなどのＩＰベースのネットワークで接続されている構成としてもよいし、ＣＡＮ（controller area network）などの通信プロトコルに準拠した車内ＬＡＮで接続されている構成としてもよい。

ＤＣＭ４は、テレマティクス通信に用いられる車載通信モジュールであって、インターネット等の通信網を介してサーバ５と通信を行う。ＥＣＵ１ｃは、ＤＣＭ４を介することでサーバ５と通信を行うことが可能になっている。

サーバ５は、外部装置３の装置識別子を登録しているサーバ装置である。図５に示すように、サーバ５は通信部５１、制御部５２、記憶部５３を備えている。サーバ５は、１つのサーバからなるものであってもよいし、複数のサーバからなっているものであってもよい。

通信部５１は、ＤＣＭ４との通信に用いられ、制御部５２の指示に従って情報をＤＣＭ４に送信したり、ＤＣＭ４から情報を受信して制御部５２に入力したりする。制御部５２は、ＣＰＵ、ＲＯＭ、ＲＡＭ等よりなるマイクロコンピュータを主体として構成され、ＲＯＭに記憶された各種の制御プログラムを実行することで各種の処理を実行する。記憶部５３は、外部装置３の装置識別子を記憶する。

ＥＣＵ１ｃは、ＥＣＵ１のＣＰＵ１１の代わりにＣＰＵ１１ｃを備えるとともに、メモリ１２の代わりにメモリ１２ｃを備える。ＣＰＵ１１ｃは、前述のダイアグ通信関連処理のうちの登録処理及び登録判定処理の一部が異なる処理を行う点を除けばＣＰＵ１１と同様のものである。よって、ＣＰＵ１１ｃは、請求項の識別情報取得手段、状態判定手段、認証手段に相当する。メモリ１２は、外部装置３の装置識別子が登録されない点を除けば、メモリ１２と同様である。

ここで、ＣＰＵ１１ｃの登録処理及び登録判定処理の一例についての説明を行う。ＣＰＵ１１ｃの登録処理では、装置識別子取得処理で取得した装置識別子を、通信Ｉ／Ｆ１３を介してＤＣＭ４へ送り、ＤＣＭ４からサーバ５に送信させるものとする。ＣＰＵ１１ｃからサーバ５へ送信した装置識別子は、サーバ５の通信部５１で受信され、制御部５２に入力される。そして、制御部５２によって記憶部５３に記憶されることで登録される。よって、ＣＰＵ１１ｃが請求項の登録手段に相当する。

記憶部５３に記憶された装置識別子については、実施形態１で説明したのと同様に、ＣＰＵ１１ｃからの指令や制御部５２からの指令によって消去可能とする構成とすればよい。また、ＣＰＵ１１ｃの登録処理でも、状態判定処理でセキュリティ確保状態に該当すると判定してから一定時間内に限り、装置識別子取得処理で取得した装置識別子をサーバ５の記憶部５３に登録可能とする構成とすることが好ましい。

ＣＰＵ１１ｃの登録判定処理では、サーバ５の記憶部５３に登録済みの装置識別子の中に、装置識別子取得処理で取得した装置識別子（つまり、外部装置３から受信した装置識別子）と一致するものがあるか否かを判定する。

一例としては、装置識別子取得処理で取得した装置識別子と、この装置識別子が記憶部５３に登録済みかを照合させる要求信号（以下、照合要求信号）とを、通信Ｉ／Ｆ１３を介してＤＣＭ４へ送り、ＤＣＭ４からサーバ５に送信させるものとする。ＣＰＵ１１ｃからサーバ５へ送信した装置識別子及び照合要求信号は、サーバ５の通信部５１で受信され、制御部５２に入力される。そして、照合要求信号を受けた制御部５２によって、受信した装置識別子が記憶部５３に登録済みかを照合する。

制御部５２は、照合結果を通信部５１からＤＣＭ４を介してＥＣＵ１ｃに送る。ＥＣＵ１ｃのＣＰＵ１１ｃは、通信Ｉ／Ｆ１３を介して照合結果を受け取る。ＣＰＵ１１ｃでは、この照合結果が、送信した装置識別子が記憶部５３に登録済みであることを示すものであった場合に、記憶部５３に登録済みの装置識別子の中に、装置識別子取得処理で取得した装置識別子と一致するものがあると判定する。また、この照合結果が、送信した装置識別子が記憶部５３に登録済みでないことを示すものであった場合に、記憶部５３に登録済みの装置識別子の中に、装置識別子取得処理で取得した装置識別子と一致するものがないと判定する。よって、ＣＰＵ１１ｃが請求項の登録判定手段に相当する。

なお、実施形態３においても、実施形態２のようにゲートウェイとして機能するＥＣＵ１ａでのみダイアグ通信関連処理を行うことで外部装置３の認証を行う構成としてもよい。

また、実施形態３では、ＥＣＵ１ｃがＤＣＭ４を中継してサーバ５にアクセスする構成を示したが、必ずしもこれに限らない。例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）通信機能を有する車載装置にＢｌｕｅｔｏｏｔｈ（登録商標）通信で接続された携帯電話機等の携帯端末を中継してＥＣＵ１ｃがサーバ５にアクセスする構成としてもよい。なお、この車載装置は例えば車載ネットワークに接続されているものとする。

実施形態３の構成によれば、サーバ５の記憶部５３に装置識別子が登録されていない外部装置３からは、ＥＣＵ１ｃの内部データの読み出しや制御プログラムの書き換えを行うことができなくなる。また、装置識別子の記憶部５３への登録は、状態判定処理で車両状態がセキュリティ確保状態に該当すると判定した場合でないと行われないので、実施形態１と同様の効果を奏する。

前述の実施形態では、ＥＣＵ１・１ａ・１ｃと通信モジュール２との接続にＣＡＮなどの車内ＬＡＮを用いる構成を示したが、必ずしもこれに限らない。例えば、ＥＣＵ１・１ａ・１ｃと通信モジュール２との接続に、ＤｏＩＰなどのＩＰベースのネットワークを用いる構成としてもよい
なお、本発明は、上述した各実施形態に限定されるものではなく、請求項に示した範囲で種々の変更が可能であり、異なる実施形態にそれぞれ開示された技術的手段を適宜組み合わせて得られる実施形態についても本発明の技術的範囲に含まれる。

１・１ｃＥＣＵ（電子制御装置）、２通信モジュール（通信装置）、３外部装置、４ＤＣＭ、５サーバ、１１ＣＰＵ（車両用認証装置、消去手段）、１１ｃＣＰＵ（車両用認証装置、識別情報取得手段、状態判定手段、登録手段、登録判定手段、認証手段）、１２メモリ（車両に搭載される記憶装置）、５３記憶部（サーバの記憶装置）、１００車両用認証システム、Ｓ１識別情報取得手段、Ｓ２登録判定手段、Ｓ３・Ｓ６認証手段、Ｓ５状態判定手段、Ｓ７登録処理

Claims

車両に搭載され、
インターネットプロトコルを用いて車両外の外部装置（３）と無線及び有線のうち少なくとも無線で通信できる車載の通信装置（２）に、車載ネットワークを介して接続される電子制御装置（１）に備えられる車両用認証装置（１１）であって、
前記外部装置から前記通信装置に当該外部装置を特定するための識別情報を含む情報が送信されてきた場合に、この識別情報を取得する識別情報取得手段（１１、Ｓ１）と、
前記車両の状態が、当該車両の操作を許可された正規のユーザが当該車両に対して操作する或いは操作したことを示す状態であるセキュリティ確保状態に該当するか否かを判定する状態判定手段（１１、Ｓ５）と、
状態判定手段でセキュリティ確保状態に該当すると判定した場合には、識別情報取得手段で取得した識別情報を前記車両に搭載される記憶装置（１２）に登録する一方、セキュリティ確保状態に該当しないと判定した場合には、当該識別情報を前記記憶装置に登録しない登録手段（１１、Ｓ７）と、
識別情報取得手段で識別情報を取得した場合に、その識別情報が前記記憶装置に登録されているか否かを判定する登録判定手段（１１、Ｓ２）と、
登録判定手段で識別情報が記憶装置に登録されていると判定した場合に、その識別情報で特定される外部装置と前記電子制御装置との間での情報のやり取りを許可する一方、登録判定手段で識別情報が記憶装置に登録されていないと判定したことをもとに、その識別情報で特定される外部装置と前記電子制御装置との間での情報のやり取りを禁止する認証手段（１１、Ｓ３、Ｓ６）とを備えることを特徴とする車両用認証装置。
請求項１において、
前記認証手段は、前記登録判定手段で識別情報が記憶装置に登録されていないと判定した場合であって、且つ、前記状態判定手段でセキュリティ確保状態に該当しないと判定した場合に、その識別情報で特定される外部装置と前記電子制御装置との間での情報のやり取りを禁止することを特徴とする車両用認証装置。
請求項１又は２において、
前記記憶装置に登録した識別情報を消去する消去手段（１１）を備えることを特徴とする車両用認証装置。
請求項１〜３のいずれか１項において、
前記登録手段は、前記状態判定手段でセキュリティ確保状態に該当すると判定してから一定時間内に限り、前記識別情報取得手段で取得した識別情報を前記記憶装置に登録することを特徴とする車両用認証装置。
請求項１〜４のいずれか１項において、
前記認証手段は、前記外部装置と前記電子制御装置との間での情報のやり取りを許可した後は、当該外部装置と前記通信装置との通信接続が解除されるまでは、当該外部装置と前記電子制御装置との間での前記識別情報を含まない情報のやり取りも許可することを特徴とする車両用認証装置。
車両に搭載され、前記外部装置と無線及び有線のうち少なくとも無線で通信できる通信装置（２）と、
車両外の外部装置（３）と、
前記車両に搭載され、前記通信装置に車載ネットワークを介して接続される電子制御装置（１）に備えられる請求項１〜４のいずれか１項に記載の車両用認証装置（１１）とを含むことを特徴とする車両用認証システム。
請求項６において、
前記車両用認証装置を備える電子制御装置は、前記車両のイグニッション電源がオフになっている場合に、消費電力の少ないスリープ状態となるものであり、
前記スリープ状態となっている場合であっても、前記外部装置から無線で送信される情報が前記通信装置を介して入力された場合には、前記スリープ状態から復帰することを特徴とする車両用認証システム。
請求項６又は７において、
前記車両の車載ネットワークに接続される電子制御装置（１ａ、１ｂ）は複数存在し、その複数の電子制御装置のうち、前記車載ネットワークと前記通信装置との間のゲートウェイとして機能する電子制御装置（１ａ）にのみ前記車両用認証装置を備えるものであって、
前記認証手段は、
前記登録判定手段で識別情報が記憶装置に登録されていると判定した場合に、その識別情報で特定される外部装置と前記電子制御装置（１ａ、１ｂ）との間での情報のやり取りを許可する一方、識別情報が記憶装置に登録されていないと判定したことをもとに、その識別情報で特定される外部装置と前記電子制御装置との間での情報のやり取りを禁止することを特徴とする車両用認証システム。
請求項６〜８のいずれか1項において、
前記車両用認証装置は、前記記憶装置として揮発性メモリと不揮発性メモリとを備えていることを特徴とする車両用認証システム。
請求項９において、
前記車両用認証装置は、前記外部装置でのユーザ操作に従って、前記識別情報を登録する前記記憶装置を前記揮発性メモリと前記不揮発性メモリとのいずれにするかを選択可能となっていることを特徴とする車両用認証システム。
車両に搭載され、インターネットプロトコルを用いて車両外の外部装置（３）と無線及び有線のうち少なくとも無線で通信できる車載の通信装置（２）に、車載ネットワークを介して接続される電子制御装置（１ｃ）に備えられる車両用認証装置（１１ｃ）と、
車両外に設けられ、情報を記憶する記憶装置を備えるサーバ（５）とを含み、
車両用認証装置は、
前記外部装置から前記通信装置に当該外部装置を特定するための識別情報を含む情報が送信されてきた場合に、この識別情報を取得する識別情報取得手段（１１ｃ）と、
前記車両の状態が、当該車両の操作を許可された正規のユーザが当該車両に対して操作する或いは操作したことを示す状態であるセキュリティ確保状態に該当するか否かを判定する状態判定手段（１１ｃ）と、
状態判定手段でセキュリティ確保状態に該当すると判定した場合には、識別情報取得手段で取得した識別情報を前記サーバの記憶装置（５３）に登録させる一方、セキュリティ確保状態に該当しないと判定した場合には、当該識別情報を前記記憶装置に登録させない登録手段（１１ｃ）と、
識別情報取得手段で識別情報を取得した場合に、その識別情報が前記記憶装置に登録されているか否かを判定する登録判定手段（１１ｃ）と、
登録判定手段で識別情報が記憶装置に登録されていると判定した場合に、その識別情報で特定される外部装置と前記電子制御装置との間での情報のやり取りを許可する一方、識別情報が記憶装置に登録されていないと判定したことをもとに、その識別情報で特定される外部装置と前記電子制御装置との間での情報のやり取りを禁止する認証手段（１１ｃ）とを備えることを特徴とする車両用認証システム。