ゲートウェイ装置
【課題】車外装置を接続するコネクタを備えた車載通信システムにおいて非正規の外部ツールによる不正操作の実行を阻止するゲートウェイ装置を提供する。
【解決手段】外部ツールからセキュリティ解除を要求する要求フレームを受信したゲートウェイ装置は、まずランダムに質問数を選択する（S410〜S420）。次に車両情報ＤＢに記憶された質問の中からランダムに質問内容を選択し、外部ツールとの間で、選択した質問内容を示した質問フレームの送信、その回答が示された回答フレームの受信を、選択した質問数だけ繰り返す（S430〜S460）。全ての回答フレームを受信すると、回答フレームに示された回答を、車両情報ＤＢの内容と照合し、全ての回答が正しければ、コネクタに接続されている外部ツールは正規品であるものとして、セキュリティの解除を許可する旨の判定結果を示した判定フレームを送信して、セキュリティを解除する（S470〜S510）。
【解決手段】外部ツールからセキュリティ解除を要求する要求フレームを受信したゲートウェイ装置は、まずランダムに質問数を選択する（S410〜S420）。次に車両情報ＤＢに記憶された質問の中からランダムに質問内容を選択し、外部ツールとの間で、選択した質問内容を示した質問フレームの送信、その回答が示された回答フレームの受信を、選択した質問数だけ繰り返す（S430〜S460）。全ての回答フレームを受信すると、回答フレームに示された回答を、車両情報ＤＢの内容と照合し、全ての回答が正しければ、コネクタに接続されている外部ツールは正規品であるものとして、セキュリティの解除を許可する旨の判定結果を示した判定フレームを送信して、セキュリティを解除する（S470〜S510）。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車外装置を接続するコネクタを備えた車載通信システムに適用されるゲートウェイ装置に関する。
【背景技術】
【０００２】
従来、車両では、電子制御化の進歩に伴い、エンジンやブレーキ等といった各種の車両構成品が電子部品を介して制御され、これら電子部品に接続された電子制御ユニット（ＥＣＵ）の数も増加傾向にある。また、ＥＣＵは、相互間での連携動作や情報の共有化を可能とするために車載通信システムを構築している。
【０００３】
ところで、車載通信システムには、ＥＣＵを介して車両の状態を診断したり、ＥＣＵのプログラムをバージョンアップしたりする際に、外部ツールを接続するためのコネクタが設けられている。
【０００４】
この外部ツールを利用して実施する操作には、セキュリティ関連情報の設定，解除やＥＣＵプログラムの書換（リプログ）など、正規の作業者以外の者が実施すべきではない操作（以下「特定操作」という）が含まれている。このため、外部ツールに認証機能を持たせること、具体的には、特定操作を実施する時にはパスワードの入力を要求することで、非正規の作業者によって、特定操作が実施されることを防止することが提案されている（例えば、特許文献１参照。）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開平９−２５０９７０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかし、特許文献１に記載の認証機能は、外部ツール内で完結しているものであるため、非正規の外部ツールを使用された場合に、何の対策にもならないという問題があった。
即ち、車載通信システムに設けられるコネクタ自体は規格化されたものであるため、コネクタの規格を満たしていれば、非正規の外部ツールであっても接続して各種操作を実行することが可能である。このため、認証機能を持たない非正規の外部ツールをコネクタに接続して、車載通信システム上の通信内容をモニタすることは容易であり、その通信内容からセキュリティ関連の情報を入手されてしまったり、リプログが実施されてしまったりする可能性があった。
【０００７】
本発明は、上記問題点を解決するために、車外装置を接続するコネクタを備えた車載通信システムにおいて、非正規の外部ツールによる不正操作の実行を阻止するセキュリティ装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記目的を達成するためになされた請求項１に記載の発明は、車載通信システムに適用されるゲートウェイ装置であり、車載通信システムと車載通信システムに外部装置を接続するために設けられたコネクタとの間に接続される。
【０００９】
そして、本発明のゲートウェイ装置は、車載通信システムで使用される通信フレームのうち、予め許可された識別子を有した通信フレームを許可フレームとして、コネクタからの許可フレームの入出力を可能とするフィルタ手段を備えている。
【００１０】
また、本発明のゲートウェイ装置では、質問選択手段が、予め指定された指定識別子を有した通信フレームを指定フレームとして、この指定フレームを許可フレームとすることを要求するための通信フレームである要求フレームを、コネクタを介して受信すると、車載通信システムを搭載した車両の固有情報に関する複数の質問の中から一つ以上の質問をランダムに選択する。
【００１１】
すると判定手段が、質問フレーム（質問選択手段で選択された質問が示された通信フレーム）を、コネクタを介して送信し、回答フレーム（質問フレームに対する回答が示された通信フレーム）を、コネクタを介して受信すると、回答フレームに示された回答の正否を判定し、判定フレーム（判定結果が示された通信フレーム）を、コネクタを介して出力する。
【００１２】
また、回答フレームに示された回答が正しいと判定手段にて判定された場合、許可手段が、予め設定された終了条件が成立するまでの間、指定フレームを許可フレームとすることを許可する。
【００１３】
このように構成された本発明のゲートウェイ装置によれば、コネクタに接続された外部ツールから、質問に対する正しい回答が得られない限り、外部ツールから送信されてくる指定フレームを通過させることがない。このため、指定フレームを用いなければ特定操作を実施することができないように設定しておくことで、非正規の外部ツールによって不正に特定操作が実施されることを阻止することができる。
【００１４】
また、本発明のゲートウェイ装置によれば、正規の外部ツールであるか否かを判断する際の質問として、車両の製造元等の一部の者しか知り得ない車両の固有情報を利用し、しかも、質問の内容をランダムに変化させるため、正規の外部ツールであるか否かを高い精度で判定することができる。
【００１５】
なお、請求項２に記載のように、質問は、前記車両に搭載された複数の車載装置のそれぞれについて、該車載装置に関する質問が一つ以上ずつ用意されていてもよい。この場合、質問選択手段を、例えば、乱数を生成する乱数生成手段と、車載装置の一つを、乱数生成手段にて生成された乱数を利用して選択すると共に、その選択された車載装置について用意された質問の一つを、乱数生成手段にて生成された乱数を利用して選択する選択実行手段とで構成し、前記選択実行手段は、予め設定された質問数の質問が得られるまで動作を繰り返すようにしてもよい。
【００１６】
この場合、多くの質問を用意することができ、質問フレームや回答フレームがモニタされたとしても、そのモニタされた情報からセキュリティが解除されてしまう可能性を低減することができる。
【００１７】
更に、請求項３に記載のように、質問選択手段は、乱数情報を利用し、予め許容された範囲内で質問数を設定する質問数設定手段を備えていてもよい。
この場合、質問の内容や順番に加えて、質問数もランダムなものとなるため、正規の外部ツールであるか否かの判定の信頼性を更に向上させることができる。
【００１８】
なお、乱数生成手段は、例えば、請求項４に記載のように、当該ゲートウェイ装置が保持する計時情報を取得し、その計時情報に基づいて乱数を生成するように構成されていてもよいし、請求項５に記載のように、車載通信システムを介してオドメータの情報を取得し、そのオドメータの情報に基づいて乱数を生成するように構成されていてもよい。
【００１９】
いずれの場合も、使用する度に異なる乱数を発生させることができるため、質問の内容、質問の順番（及び質問数）が、同じパタンで繰り返し選択されてしまうことを防止でき、更にセキュリティを向上させることができる。
【００２０】
ところで、許可手段は、請求項６に記載のように、判定フレームの送信後に予め設定された制限時間が経過することを終了条件とするように構成されていてもよいし、請求項７に記載のように、指定フレームによる通信の終了を通知するための通信フレームである終了フレームが受信されることを終了条件とするように構成されていてもよい。
【００２１】
いずれも、指定フレームが許可フレームとなる期間を簡単に限定することができる。
【図面の簡単な説明】
【００２２】
【図１】車載通信システム及び外部ツールの構成を示すブロック図である。
【図２】車両情報データベースに格納される情報テーブルの構造を示す説明図である。
【図３】外部ツール側処理の処理内容を示すフローチャートである。
【図４】ゲートウェイ側処理の処理内容を示すフローチャートである。
【図５】セキュリティ解除処理の詳細を示すフローチャートである。
【図６】外部ツールが特定操作を実行する際に、ゲートウェイ装置５との間で行われる通信の手順を示すシーケンス図である。
【発明を実施するための形態】
【００２３】
以下に本発明の実施形態を図面と共に説明する。
＜全体構成＞
図１は、本発明が適用された車載通信システム１及び車載通信システム１に接続して使用する外部ツール１０の構成を示すブロック図である。
【００２４】
車載通信システム１は、図１に示すように、車両の各部に設置された複数の電子制御ユニット（ＥＣＵ）２と、ＥＣＵ２を相互に接続する通信線路である基幹バス３と、ＥＣＵ２を介して車両の状態を診断したり、ＥＣＵ２のプログラムをバージョンアップしたりする外部ツール（車外装置)１０を接続するためのコネクタ４と、コネクタ４を基幹バス３に接続する通信線路（ツール側バス）６に設けられたゲートウェイ装置５とを備えている。
【００２５】
なお、車載通信システム１では、データと、そのデータの種類を表す識別子（ＩＤ）とを少なくとも含んだ通信フレームを用いてデータを送受信するように構成されている。
また、通信フレームのＩＤには、正規の外部ツール１０にだけ取り扱うことが許可されたデータに付与される指定ＩＤと、不正規の外部ツール１０でも取り扱うことが許可されたデータに付与される通常ＩＤとが存在する。以下では、指定ＩＤが付与された通信フレームを指定フレーム、通常ＩＤが付与された通信フレームを通常フレームと呼ぶ。そして、セキュリティ関連情報の設定，解除やＥＣＵプログラムの書換（リプログ）など、正規の作業者以外の者が実施すべきではない操作（以下「特定操作」という）は、指定フレームを使用して実施されるように構成されている。
【００２６】
コネクタ４は、ＯＢＤ２規格で定められた周知の１６ピンコネクタ（ＤＬＣ）からなる
。
【００２７】
＜ゲートウェイ装置＞
ゲートウェイ装置５は、コネクタ４に接続された外部ツール１０との通信を実行するツール側通信部５１と、基幹バス３を介してＥＣＵ２との通信を実行するバス側通信部５２と、車両の固有情報を記憶する車両情報データベース（ＤＢ）５３と、許可された識別子である許可ＩＤを有した通信フレーム（許可フレーム）を、基幹バス３及びツール側バス６の間で双方向に通過させる処理制御部５４とを備えている。
【００２８】
ツール側通信部５１及びバス側通信部５２は、いずれも、ＣＡＮトランシーバやＣＡＮコントローラ等によって構成された周知のものである。
処理制御部５４は、ＣＰＵ，ＲＯＭ，ＲＡＭ等からなる周知のマイクロコンピュータからなり、後述するゲートウェイ側処理を少なくとも実行するように構成されている。
【００２９】
ここで、図２は、車両情報ＤＢ５３に格納される情報テーブルの構造を示す説明図である。
図２に示すように、情報テーブルは、質問番号と、ＥＣＵの固有情報に関する質問と、その質問に対する回答とで構成され、車載通信システム１を構成するＥＣＵ２毎に、複数の質問が用意されている。
【００３０】
なお、質問は、例えば、「ＥＣＵに搭載されたＣＰＵの数」「ＥＣＵに搭載された電子部品の型番」「ＥＣＵの開発コード」等が考えられる。
＜外部ツール＞
外部ツール１０は、コネクタ４を介して車載通信システム１に接続されたＥＣＵ２やゲートウェイ装置５との通信を実行する車両通信部１１と、インターネット等の公共通信ネットワークを介した通信を実行するネットワーク通信部１２と、車両の固有情報を記憶する車両情報データベース（ＤＢ）１３と、外部ツール１０のユーザが操作を入力したり、車両通信部１１やネットワーク通信部１２を介して取得した情報をユーザに提示したりするための入出力部１４と、入出力部１４から入力される指令に従って、車両通信部１１を介して個々のＥＣＵ２の診断情報を収集したり、個々のＥＣＵ２のプログラムを書き換えたりする処理を実行する処理制御部１５とを備えている。
【００３１】
車両通信部１１は、ゲートウェイ装置５のツール側通信部５１やバス側通信部５２と同様に構成されたものであり、ネットワーク通信部１２は、ＴＣＰ／ＩＰを実現するトランシーバやコントローラ等によって構成された周知のものである。
【００３２】
処理制御部１５は、ＣＰＵ，ＲＯＭ，ＲＡＭ等からなる周知のマイクロコンピュータからなり、後述する外部ツール側処理を少なくとも実行するように構成されている。
車両情報ＤＢ１３は、ゲートウェイ装置５の車両情報ＤＢ５３と同じ情報テーブルを有しており、しかも、外部ツール１０の操作対象となる車種についての情報テーブルを備えている。
【００３３】
＜外部ツール側処理＞
図３は、外部ツール１０の処理制御部１５が実行する外部ツール側処理の内容を示すフローチャートである。なお、本処理は、入出力部１４を介して、セキュリティ情報の設定やリプログ等の特定操作の実行を要求する指令が入力されると起動する。
【００３４】
本処理が起動すると、図３に示すように、まず、セキュリティ解除を要求する通信フレーム（要求フレーム）を送信し（Ｓ１１０）、認証用の質問が示された通信フレーム（質問フレーム）を受信したか否かを判断し（Ｓ１２０）、質問フレームを受信したのであれば（Ｓ１２０：ＹＥＳ）、車両情報ＤＢ１３を参照して、質問フレームに示された質問に対する回答を生成し、その回答を示した通信フレーム（回答フレーム）を送信して（Ｓ１３０）、Ｓ１２０に戻る。
【００３５】
一方、質問フレームを受信していなければ（Ｓ１２０：ＮＯ）、セキュリティ解除を許可する（即ち、指定フレームを許可フレームとする）か否かの判定結果が示された通信フレーム（判定フレーム）を受信したか否かを判断し（Ｓ１５０）、判定フレームを受信していなければ（Ｓ１５０：ＮＯ）、Ｓ１２０に戻る。
【００３６】
一方、判定フレームを受信したのであれば（Ｓ１５０：ＹＥＳ）、判定フレームに示された判定結果が許可であるか否かを判断し（Ｓ１６０）、判定結果が不許可であれば（Ｓ１６０：ＮＯ）、そのまま本処理を終了する。
【００３７】
一方、判定フレームに示された判定結果が許可であれば（Ｓ１６０：ＹＥＳ）、セキュリティが解除（指定フレームが許可フレームとして許可）されたものとして、指定フレームを使用した通信によって特定操作を実現する特定操作処理を実行し（Ｓ１７０）、特定操作処理における一連の通信が終了すると、セキュリティ回復を要求する通信フレーム（回復フレーム）を送信して（Ｓ１８０）、本処理を終了する。
【００３８】
なお要求フレーム，質問フレーム，回答フレーム，判定フレーム，回復フレームは、通常ＩＤが付与された通信フレーム（通常フレーム）であってもよいし、通常ＩＤ，指定ＩＤ以外の特殊なＩＤが付与された通信フレームであってもよい。
【００３９】
＜ゲートウェイ側処理＞
図４は、ゲートウェイ装置５の処理制御部５４が実行するゲートウェイ側処理の内容を示すフローチャートである。なお、本処理は、イグニッションスイッチがオンされると起動し、オフされるまでの間、動作し続ける。
【００４０】
本処理が起動すると、図４に示すように、まず、通信フレームを受信したか否かを判断し（Ｓ２１０）、通信フレームを受信していなければ（Ｓ２１０：ＮＯ）、同ステップを繰り返すことで通信フレームを受信するまで待機する。
【００４１】
通信フレームを受信すると（Ｓ２１０：ＹＥＳ）、その受信した通信フレームは回復フレームであるか否かを判断し（Ｓ２２０）、回復フレームでなければ（Ｓ２２０：ＮＯ）、その受信した通信フレームは要求フレームであるか否かを判断する（Ｓ２３０）。
【００４２】
受信した通信フレームが要求フレームであれば（Ｓ２３０：ＹＥＳ）、後述するセキュリティ解除処理を実行して（Ｓ２４０）、Ｓ２１０に戻る。
一方、受信した通信フレームが、回復フレームでも要求フレームでもなければ（Ｓ２３０：ＮＯ）、受信した通信フレームが指定フレームであるか否かを判断し（Ｓ２５０）、指定フレームでなければ（即ち、通常フレームであれば）、その通信フレームの中継を行って（Ｓ２６０）、Ｓ２１０に戻る。
【００４３】
また、受信した通信フレームが指定フレームであれば（Ｓ２５０：ＹＥＳ）、Ｓ２４０の処理によってセキュリティが解除済みであるか否かを判断し（Ｓ２７０）、セキュリティが解除済みでなければ（Ｓ２７０：ＮＯ）、受信した通信フレーム（指定フレーム）を破棄して（Ｓ２８０）、Ｓ２１０に戻る。
【００４４】
セキュリティが解除済みであれば（Ｓ２７０：ＹＥＳ）、セキュリティ解除後の経過時間が予め設定された制限時間内であるか否かを判断し（Ｓ２９０）、制限時間内であれば、受信した通信フレーム（指定フレーム）の中継を行って（Ｓ３００）、Ｓ２１０に戻る。
【００４５】
経過時間が制限時間を超えているか（Ｓ２９０：ＮＯ）、先のＳ２２０にて、回復フレームを受信したと判断した場合（Ｓ２２０：ＹＥＳ）は、セキュリティ解除をリセット（セキュリティを回復）して（Ｓ３１０）、本処理を終了する。
【００４６】
＜セキュリティ解除処理＞
ここで、図５は、Ｓ２４０で実行するセキュリティ解除処理の内容を示すフローチャートである。
【００４７】
本処理が起動すると、まず乱数情報を取得し（Ｓ４１０）、その取得した乱数情報を利用して、質問数（質問フレームの送信を繰り返す回数）を選択する（Ｓ４２０）。
なお、乱数情報は、乱数を発生させる際の初期値として使用される値であり、ゲートウェイ装置５が持っている計時用タイマーの値（計時情報）であってもよいし、基幹バス３を介して取得したオドメータの値（累積走行距離）であってもよい。また、乱数情報の取得先は、起動する毎にランダムに切り替わるように構成されていてもよい。
【００４８】
また、質問数は、乱数情報を利用して予め決められた範囲（例えば、１〜５個）内でランダムに選択する。
次に、質問内容を選択し（Ｓ４３０）、その選択した質問内容を示した質問フレームをコネクタ４に接続された外部ツール１０に向けて送信する（Ｓ４４０）。
【００４９】
なお、質問内容の選択は、乱数情報を利用して二つの乱数を発生させ、そのうち一つの乱数によりＥＣＵ（質問テーブル）を選択し、もう一つの乱数によって、選択した質問テーブルの中でいずれか一つの質問を選択する。
【００５０】
その後、回答フレームを受信したか否かを判断し（Ｓ４５０）、受信していなければ（Ｓ４５０：ＮＯ）、同ステップを繰り返すことで回答フレームを受信するまで待機し、回答フレームを受信すると（Ｓ４５０：ＹＥＳ）、Ｓ４２０で選択した質問数だけ質問フレームの送信を終了したか否かを判断する（Ｓ４６０）。
【００５１】
質問フレームの送信数が質問数に満たない場合（Ｓ４６０：ＮＯ）は、Ｓ４３０に戻って、質問内容の選択、質問フレームの送信、回答フレームの受信を繰り返し、質問フレームの送信数が質問数に達している場合（Ｓ４６０：ＹＥＳ）は、回答フレームに示された回答を、車両情報ＤＢ５３の内容と照合して（Ｓ４７０）、全ての回答が正しいか否かを判断する（Ｓ４８０）。
【００５２】
全ての回答が正しければ、即ち照合結果がＯＫであれば（Ｓ４８０：ＹＥＳ）、コネクタ４に接続されている外部ツール１０は正規品であるものとして、セキュリティの解除を許可する旨の判定結果を示した判定フレームを送信する（Ｓ４９０）と共に、セキュリティ解除フラグをセットし（Ｓ５００）、更に、制限時間計時タイマーを起動して（Ｓ５１０）、本処理を終了する。
【００５３】
一方、回答フレームに示された回答が一つでも間違っていれば、即ち照合結果がＮＧであれば（Ｓ４７０：ＮＯ）、コネクタ４に接続されている外部ツール１０は非正規品であるものとして、セキュリティの解除を許可しない旨の判定結果を示した判定フレームを送信し（Ｓ５２０）、本処理を終了する。
【００５４】
＜動作＞
図６は、外部ツール１０が特定操作を実行する際に、外部ツール１０とゲートウェイ装置５との間で行われる通信の手順を示すシーケンス図である。
【００５５】
図６に示すように、外部ツール１０から要求フレーム（セキュリティ解除要求）を受信したゲートウェイ装置５は、質問数Ｎを選択する。
そして、質問内容を選択し、その選択した質問内容を質問フレームによって送信し、外部ツール１０から回答フレームを受信する手順をＮ回繰り返す。
【００５６】
その後、回答フレームに示された回答内容を照合し、その照合結果に基づきセキュリティ解除の許可／不許可を判定した結果を示す判定フレームを送信する。
そして、判定結果が不許可である場合は、セキュリティを維持し、指定フレームを受信したとしてもこれを破棄する。
【００５７】
一方、判定結果が許可である場合は、セキュリティを解除して、指定フレームの中継を実施し、外部ツール１０から回復フレーム（セキュリティ回復要求）を受信するか、指定フレームの送受信が制限時間以上途絶えたことを終了条件として、終了条件を満たす場合に、セキュリティを回復（解除をリセット）する。
【００５８】
＜効果＞
以上説明したように、ゲートウェイ装置５によれば、コネクタ４に接続された外部ツール１０から、質問に対する正しい回答が得られた場合に限り、外部ツール１０が正規品であると判断して、指定フレームの中継を行うようにされている。
【００５９】
従って、ゲートウェイ装置５によれば、非正規の外部ツール１０による不正な特定操作の実施を阻止することができる。
また、ゲートウェイ装置５は、セキュリティの解除が要求される毎に、質問数や質問内容をランダムに変更するようにされているため、正規の外部ツール１０による通信をモニタされたとしても、質問の発生パタンを解析することが困難であるだけでなく、外部の者が簡単には知り得ない車両の固有情報（ここではＥＣＵ２の固有情報）を質問内容としているため、外部ツール１０が正規品か非正規品であるかについて信頼性の高い判定を行うことができる。
【００６０】
なお本実施形態において、ゲートウェイ側処理（Ｓ２４０、Ｓ３１０を除く）を実行する処理制御部５４がフィルタ手段、Ｓ４３０を実行する処理制御部５４が質問選択手段（特に乱数情報から乱数を発生させる処理を実行する処理制御部５４が乱数生成手段、その乱数によって質問を選択する処理を実行する処理制御部５４が選択実行手段）、Ｓ４７０及びＳ４８０を実行する処理制御部５４が判定手段、Ｓ２７０，Ｓ２９０を実行する処理制御部５４が許可手段、Ｓ４２０を実行する処理制御部５４が質問数設定手段、回復フレームが終了フレームに相当する。
【００６１】
＜他の実施形態＞
以上、本発明の一実施形態について説明したが、本発明は上記実施形態に限定されるものではなく、本発明の要旨を逸脱しない範囲において様々な態様にて実施することが可能である。
【００６２】
例えば、上記実施形態では、イグニションスイッチがオンした時に起動しているが、コネクタ４に外部ツール１０が接続されたか否かを検出する検出器を設け、コネクタ４に外部ツール１０が接続されたことを検出すると、起動するように構成してもよい。
【符号の説明】
【００６３】
１…車載通信システム ３…基幹バス ４…コネクタ ５…ゲートウェイ装置 ６…ツール側バス １０…外部ツール １１…車両通信部 １２…ネットワーク通信部 １３…車両情報データベース １４…入出力部 １５…処理制御部 ５１…ツール側通信部 ５２…バス側通信部 ５３…車両情報データベース ５４…処理制御部
【技術分野】
【０００１】
本発明は、車外装置を接続するコネクタを備えた車載通信システムに適用されるゲートウェイ装置に関する。
【背景技術】
【０００２】
従来、車両では、電子制御化の進歩に伴い、エンジンやブレーキ等といった各種の車両構成品が電子部品を介して制御され、これら電子部品に接続された電子制御ユニット（ＥＣＵ）の数も増加傾向にある。また、ＥＣＵは、相互間での連携動作や情報の共有化を可能とするために車載通信システムを構築している。
【０００３】
ところで、車載通信システムには、ＥＣＵを介して車両の状態を診断したり、ＥＣＵのプログラムをバージョンアップしたりする際に、外部ツールを接続するためのコネクタが設けられている。
【０００４】
この外部ツールを利用して実施する操作には、セキュリティ関連情報の設定，解除やＥＣＵプログラムの書換（リプログ）など、正規の作業者以外の者が実施すべきではない操作（以下「特定操作」という）が含まれている。このため、外部ツールに認証機能を持たせること、具体的には、特定操作を実施する時にはパスワードの入力を要求することで、非正規の作業者によって、特定操作が実施されることを防止することが提案されている（例えば、特許文献１参照。）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開平９−２５０９７０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかし、特許文献１に記載の認証機能は、外部ツール内で完結しているものであるため、非正規の外部ツールを使用された場合に、何の対策にもならないという問題があった。
即ち、車載通信システムに設けられるコネクタ自体は規格化されたものであるため、コネクタの規格を満たしていれば、非正規の外部ツールであっても接続して各種操作を実行することが可能である。このため、認証機能を持たない非正規の外部ツールをコネクタに接続して、車載通信システム上の通信内容をモニタすることは容易であり、その通信内容からセキュリティ関連の情報を入手されてしまったり、リプログが実施されてしまったりする可能性があった。
【０００７】
本発明は、上記問題点を解決するために、車外装置を接続するコネクタを備えた車載通信システムにおいて、非正規の外部ツールによる不正操作の実行を阻止するセキュリティ装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記目的を達成するためになされた請求項１に記載の発明は、車載通信システムに適用されるゲートウェイ装置であり、車載通信システムと車載通信システムに外部装置を接続するために設けられたコネクタとの間に接続される。
【０００９】
そして、本発明のゲートウェイ装置は、車載通信システムで使用される通信フレームのうち、予め許可された識別子を有した通信フレームを許可フレームとして、コネクタからの許可フレームの入出力を可能とするフィルタ手段を備えている。
【００１０】
また、本発明のゲートウェイ装置では、質問選択手段が、予め指定された指定識別子を有した通信フレームを指定フレームとして、この指定フレームを許可フレームとすることを要求するための通信フレームである要求フレームを、コネクタを介して受信すると、車載通信システムを搭載した車両の固有情報に関する複数の質問の中から一つ以上の質問をランダムに選択する。
【００１１】
すると判定手段が、質問フレーム（質問選択手段で選択された質問が示された通信フレーム）を、コネクタを介して送信し、回答フレーム（質問フレームに対する回答が示された通信フレーム）を、コネクタを介して受信すると、回答フレームに示された回答の正否を判定し、判定フレーム（判定結果が示された通信フレーム）を、コネクタを介して出力する。
【００１２】
また、回答フレームに示された回答が正しいと判定手段にて判定された場合、許可手段が、予め設定された終了条件が成立するまでの間、指定フレームを許可フレームとすることを許可する。
【００１３】
このように構成された本発明のゲートウェイ装置によれば、コネクタに接続された外部ツールから、質問に対する正しい回答が得られない限り、外部ツールから送信されてくる指定フレームを通過させることがない。このため、指定フレームを用いなければ特定操作を実施することができないように設定しておくことで、非正規の外部ツールによって不正に特定操作が実施されることを阻止することができる。
【００１４】
また、本発明のゲートウェイ装置によれば、正規の外部ツールであるか否かを判断する際の質問として、車両の製造元等の一部の者しか知り得ない車両の固有情報を利用し、しかも、質問の内容をランダムに変化させるため、正規の外部ツールであるか否かを高い精度で判定することができる。
【００１５】
なお、請求項２に記載のように、質問は、前記車両に搭載された複数の車載装置のそれぞれについて、該車載装置に関する質問が一つ以上ずつ用意されていてもよい。この場合、質問選択手段を、例えば、乱数を生成する乱数生成手段と、車載装置の一つを、乱数生成手段にて生成された乱数を利用して選択すると共に、その選択された車載装置について用意された質問の一つを、乱数生成手段にて生成された乱数を利用して選択する選択実行手段とで構成し、前記選択実行手段は、予め設定された質問数の質問が得られるまで動作を繰り返すようにしてもよい。
【００１６】
この場合、多くの質問を用意することができ、質問フレームや回答フレームがモニタされたとしても、そのモニタされた情報からセキュリティが解除されてしまう可能性を低減することができる。
【００１７】
更に、請求項３に記載のように、質問選択手段は、乱数情報を利用し、予め許容された範囲内で質問数を設定する質問数設定手段を備えていてもよい。
この場合、質問の内容や順番に加えて、質問数もランダムなものとなるため、正規の外部ツールであるか否かの判定の信頼性を更に向上させることができる。
【００１８】
なお、乱数生成手段は、例えば、請求項４に記載のように、当該ゲートウェイ装置が保持する計時情報を取得し、その計時情報に基づいて乱数を生成するように構成されていてもよいし、請求項５に記載のように、車載通信システムを介してオドメータの情報を取得し、そのオドメータの情報に基づいて乱数を生成するように構成されていてもよい。
【００１９】
いずれの場合も、使用する度に異なる乱数を発生させることができるため、質問の内容、質問の順番（及び質問数）が、同じパタンで繰り返し選択されてしまうことを防止でき、更にセキュリティを向上させることができる。
【００２０】
ところで、許可手段は、請求項６に記載のように、判定フレームの送信後に予め設定された制限時間が経過することを終了条件とするように構成されていてもよいし、請求項７に記載のように、指定フレームによる通信の終了を通知するための通信フレームである終了フレームが受信されることを終了条件とするように構成されていてもよい。
【００２１】
いずれも、指定フレームが許可フレームとなる期間を簡単に限定することができる。
【図面の簡単な説明】
【００２２】
【図１】車載通信システム及び外部ツールの構成を示すブロック図である。
【図２】車両情報データベースに格納される情報テーブルの構造を示す説明図である。
【図３】外部ツール側処理の処理内容を示すフローチャートである。
【図４】ゲートウェイ側処理の処理内容を示すフローチャートである。
【図５】セキュリティ解除処理の詳細を示すフローチャートである。
【図６】外部ツールが特定操作を実行する際に、ゲートウェイ装置５との間で行われる通信の手順を示すシーケンス図である。
【発明を実施するための形態】
【００２３】
以下に本発明の実施形態を図面と共に説明する。
＜全体構成＞
図１は、本発明が適用された車載通信システム１及び車載通信システム１に接続して使用する外部ツール１０の構成を示すブロック図である。
【００２４】
車載通信システム１は、図１に示すように、車両の各部に設置された複数の電子制御ユニット（ＥＣＵ）２と、ＥＣＵ２を相互に接続する通信線路である基幹バス３と、ＥＣＵ２を介して車両の状態を診断したり、ＥＣＵ２のプログラムをバージョンアップしたりする外部ツール（車外装置)１０を接続するためのコネクタ４と、コネクタ４を基幹バス３に接続する通信線路（ツール側バス）６に設けられたゲートウェイ装置５とを備えている。
【００２５】
なお、車載通信システム１では、データと、そのデータの種類を表す識別子（ＩＤ）とを少なくとも含んだ通信フレームを用いてデータを送受信するように構成されている。
また、通信フレームのＩＤには、正規の外部ツール１０にだけ取り扱うことが許可されたデータに付与される指定ＩＤと、不正規の外部ツール１０でも取り扱うことが許可されたデータに付与される通常ＩＤとが存在する。以下では、指定ＩＤが付与された通信フレームを指定フレーム、通常ＩＤが付与された通信フレームを通常フレームと呼ぶ。そして、セキュリティ関連情報の設定，解除やＥＣＵプログラムの書換（リプログ）など、正規の作業者以外の者が実施すべきではない操作（以下「特定操作」という）は、指定フレームを使用して実施されるように構成されている。
【００２６】
コネクタ４は、ＯＢＤ２規格で定められた周知の１６ピンコネクタ（ＤＬＣ）からなる
。
【００２７】
＜ゲートウェイ装置＞
ゲートウェイ装置５は、コネクタ４に接続された外部ツール１０との通信を実行するツール側通信部５１と、基幹バス３を介してＥＣＵ２との通信を実行するバス側通信部５２と、車両の固有情報を記憶する車両情報データベース（ＤＢ）５３と、許可された識別子である許可ＩＤを有した通信フレーム（許可フレーム）を、基幹バス３及びツール側バス６の間で双方向に通過させる処理制御部５４とを備えている。
【００２８】
ツール側通信部５１及びバス側通信部５２は、いずれも、ＣＡＮトランシーバやＣＡＮコントローラ等によって構成された周知のものである。
処理制御部５４は、ＣＰＵ，ＲＯＭ，ＲＡＭ等からなる周知のマイクロコンピュータからなり、後述するゲートウェイ側処理を少なくとも実行するように構成されている。
【００２９】
ここで、図２は、車両情報ＤＢ５３に格納される情報テーブルの構造を示す説明図である。
図２に示すように、情報テーブルは、質問番号と、ＥＣＵの固有情報に関する質問と、その質問に対する回答とで構成され、車載通信システム１を構成するＥＣＵ２毎に、複数の質問が用意されている。
【００３０】
なお、質問は、例えば、「ＥＣＵに搭載されたＣＰＵの数」「ＥＣＵに搭載された電子部品の型番」「ＥＣＵの開発コード」等が考えられる。
＜外部ツール＞
外部ツール１０は、コネクタ４を介して車載通信システム１に接続されたＥＣＵ２やゲートウェイ装置５との通信を実行する車両通信部１１と、インターネット等の公共通信ネットワークを介した通信を実行するネットワーク通信部１２と、車両の固有情報を記憶する車両情報データベース（ＤＢ）１３と、外部ツール１０のユーザが操作を入力したり、車両通信部１１やネットワーク通信部１２を介して取得した情報をユーザに提示したりするための入出力部１４と、入出力部１４から入力される指令に従って、車両通信部１１を介して個々のＥＣＵ２の診断情報を収集したり、個々のＥＣＵ２のプログラムを書き換えたりする処理を実行する処理制御部１５とを備えている。
【００３１】
車両通信部１１は、ゲートウェイ装置５のツール側通信部５１やバス側通信部５２と同様に構成されたものであり、ネットワーク通信部１２は、ＴＣＰ／ＩＰを実現するトランシーバやコントローラ等によって構成された周知のものである。
【００３２】
処理制御部１５は、ＣＰＵ，ＲＯＭ，ＲＡＭ等からなる周知のマイクロコンピュータからなり、後述する外部ツール側処理を少なくとも実行するように構成されている。
車両情報ＤＢ１３は、ゲートウェイ装置５の車両情報ＤＢ５３と同じ情報テーブルを有しており、しかも、外部ツール１０の操作対象となる車種についての情報テーブルを備えている。
【００３３】
＜外部ツール側処理＞
図３は、外部ツール１０の処理制御部１５が実行する外部ツール側処理の内容を示すフローチャートである。なお、本処理は、入出力部１４を介して、セキュリティ情報の設定やリプログ等の特定操作の実行を要求する指令が入力されると起動する。
【００３４】
本処理が起動すると、図３に示すように、まず、セキュリティ解除を要求する通信フレーム（要求フレーム）を送信し（Ｓ１１０）、認証用の質問が示された通信フレーム（質問フレーム）を受信したか否かを判断し（Ｓ１２０）、質問フレームを受信したのであれば（Ｓ１２０：ＹＥＳ）、車両情報ＤＢ１３を参照して、質問フレームに示された質問に対する回答を生成し、その回答を示した通信フレーム（回答フレーム）を送信して（Ｓ１３０）、Ｓ１２０に戻る。
【００３５】
一方、質問フレームを受信していなければ（Ｓ１２０：ＮＯ）、セキュリティ解除を許可する（即ち、指定フレームを許可フレームとする）か否かの判定結果が示された通信フレーム（判定フレーム）を受信したか否かを判断し（Ｓ１５０）、判定フレームを受信していなければ（Ｓ１５０：ＮＯ）、Ｓ１２０に戻る。
【００３６】
一方、判定フレームを受信したのであれば（Ｓ１５０：ＹＥＳ）、判定フレームに示された判定結果が許可であるか否かを判断し（Ｓ１６０）、判定結果が不許可であれば（Ｓ１６０：ＮＯ）、そのまま本処理を終了する。
【００３７】
一方、判定フレームに示された判定結果が許可であれば（Ｓ１６０：ＹＥＳ）、セキュリティが解除（指定フレームが許可フレームとして許可）されたものとして、指定フレームを使用した通信によって特定操作を実現する特定操作処理を実行し（Ｓ１７０）、特定操作処理における一連の通信が終了すると、セキュリティ回復を要求する通信フレーム（回復フレーム）を送信して（Ｓ１８０）、本処理を終了する。
【００３８】
なお要求フレーム，質問フレーム，回答フレーム，判定フレーム，回復フレームは、通常ＩＤが付与された通信フレーム（通常フレーム）であってもよいし、通常ＩＤ，指定ＩＤ以外の特殊なＩＤが付与された通信フレームであってもよい。
【００３９】
＜ゲートウェイ側処理＞
図４は、ゲートウェイ装置５の処理制御部５４が実行するゲートウェイ側処理の内容を示すフローチャートである。なお、本処理は、イグニッションスイッチがオンされると起動し、オフされるまでの間、動作し続ける。
【００４０】
本処理が起動すると、図４に示すように、まず、通信フレームを受信したか否かを判断し（Ｓ２１０）、通信フレームを受信していなければ（Ｓ２１０：ＮＯ）、同ステップを繰り返すことで通信フレームを受信するまで待機する。
【００４１】
通信フレームを受信すると（Ｓ２１０：ＹＥＳ）、その受信した通信フレームは回復フレームであるか否かを判断し（Ｓ２２０）、回復フレームでなければ（Ｓ２２０：ＮＯ）、その受信した通信フレームは要求フレームであるか否かを判断する（Ｓ２３０）。
【００４２】
受信した通信フレームが要求フレームであれば（Ｓ２３０：ＹＥＳ）、後述するセキュリティ解除処理を実行して（Ｓ２４０）、Ｓ２１０に戻る。
一方、受信した通信フレームが、回復フレームでも要求フレームでもなければ（Ｓ２３０：ＮＯ）、受信した通信フレームが指定フレームであるか否かを判断し（Ｓ２５０）、指定フレームでなければ（即ち、通常フレームであれば）、その通信フレームの中継を行って（Ｓ２６０）、Ｓ２１０に戻る。
【００４３】
また、受信した通信フレームが指定フレームであれば（Ｓ２５０：ＹＥＳ）、Ｓ２４０の処理によってセキュリティが解除済みであるか否かを判断し（Ｓ２７０）、セキュリティが解除済みでなければ（Ｓ２７０：ＮＯ）、受信した通信フレーム（指定フレーム）を破棄して（Ｓ２８０）、Ｓ２１０に戻る。
【００４４】
セキュリティが解除済みであれば（Ｓ２７０：ＹＥＳ）、セキュリティ解除後の経過時間が予め設定された制限時間内であるか否かを判断し（Ｓ２９０）、制限時間内であれば、受信した通信フレーム（指定フレーム）の中継を行って（Ｓ３００）、Ｓ２１０に戻る。
【００４５】
経過時間が制限時間を超えているか（Ｓ２９０：ＮＯ）、先のＳ２２０にて、回復フレームを受信したと判断した場合（Ｓ２２０：ＹＥＳ）は、セキュリティ解除をリセット（セキュリティを回復）して（Ｓ３１０）、本処理を終了する。
【００４６】
＜セキュリティ解除処理＞
ここで、図５は、Ｓ２４０で実行するセキュリティ解除処理の内容を示すフローチャートである。
【００４７】
本処理が起動すると、まず乱数情報を取得し（Ｓ４１０）、その取得した乱数情報を利用して、質問数（質問フレームの送信を繰り返す回数）を選択する（Ｓ４２０）。
なお、乱数情報は、乱数を発生させる際の初期値として使用される値であり、ゲートウェイ装置５が持っている計時用タイマーの値（計時情報）であってもよいし、基幹バス３を介して取得したオドメータの値（累積走行距離）であってもよい。また、乱数情報の取得先は、起動する毎にランダムに切り替わるように構成されていてもよい。
【００４８】
また、質問数は、乱数情報を利用して予め決められた範囲（例えば、１〜５個）内でランダムに選択する。
次に、質問内容を選択し（Ｓ４３０）、その選択した質問内容を示した質問フレームをコネクタ４に接続された外部ツール１０に向けて送信する（Ｓ４４０）。
【００４９】
なお、質問内容の選択は、乱数情報を利用して二つの乱数を発生させ、そのうち一つの乱数によりＥＣＵ（質問テーブル）を選択し、もう一つの乱数によって、選択した質問テーブルの中でいずれか一つの質問を選択する。
【００５０】
その後、回答フレームを受信したか否かを判断し（Ｓ４５０）、受信していなければ（Ｓ４５０：ＮＯ）、同ステップを繰り返すことで回答フレームを受信するまで待機し、回答フレームを受信すると（Ｓ４５０：ＹＥＳ）、Ｓ４２０で選択した質問数だけ質問フレームの送信を終了したか否かを判断する（Ｓ４６０）。
【００５１】
質問フレームの送信数が質問数に満たない場合（Ｓ４６０：ＮＯ）は、Ｓ４３０に戻って、質問内容の選択、質問フレームの送信、回答フレームの受信を繰り返し、質問フレームの送信数が質問数に達している場合（Ｓ４６０：ＹＥＳ）は、回答フレームに示された回答を、車両情報ＤＢ５３の内容と照合して（Ｓ４７０）、全ての回答が正しいか否かを判断する（Ｓ４８０）。
【００５２】
全ての回答が正しければ、即ち照合結果がＯＫであれば（Ｓ４８０：ＹＥＳ）、コネクタ４に接続されている外部ツール１０は正規品であるものとして、セキュリティの解除を許可する旨の判定結果を示した判定フレームを送信する（Ｓ４９０）と共に、セキュリティ解除フラグをセットし（Ｓ５００）、更に、制限時間計時タイマーを起動して（Ｓ５１０）、本処理を終了する。
【００５３】
一方、回答フレームに示された回答が一つでも間違っていれば、即ち照合結果がＮＧであれば（Ｓ４７０：ＮＯ）、コネクタ４に接続されている外部ツール１０は非正規品であるものとして、セキュリティの解除を許可しない旨の判定結果を示した判定フレームを送信し（Ｓ５２０）、本処理を終了する。
【００５４】
＜動作＞
図６は、外部ツール１０が特定操作を実行する際に、外部ツール１０とゲートウェイ装置５との間で行われる通信の手順を示すシーケンス図である。
【００５５】
図６に示すように、外部ツール１０から要求フレーム（セキュリティ解除要求）を受信したゲートウェイ装置５は、質問数Ｎを選択する。
そして、質問内容を選択し、その選択した質問内容を質問フレームによって送信し、外部ツール１０から回答フレームを受信する手順をＮ回繰り返す。
【００５６】
その後、回答フレームに示された回答内容を照合し、その照合結果に基づきセキュリティ解除の許可／不許可を判定した結果を示す判定フレームを送信する。
そして、判定結果が不許可である場合は、セキュリティを維持し、指定フレームを受信したとしてもこれを破棄する。
【００５７】
一方、判定結果が許可である場合は、セキュリティを解除して、指定フレームの中継を実施し、外部ツール１０から回復フレーム（セキュリティ回復要求）を受信するか、指定フレームの送受信が制限時間以上途絶えたことを終了条件として、終了条件を満たす場合に、セキュリティを回復（解除をリセット）する。
【００５８】
＜効果＞
以上説明したように、ゲートウェイ装置５によれば、コネクタ４に接続された外部ツール１０から、質問に対する正しい回答が得られた場合に限り、外部ツール１０が正規品であると判断して、指定フレームの中継を行うようにされている。
【００５９】
従って、ゲートウェイ装置５によれば、非正規の外部ツール１０による不正な特定操作の実施を阻止することができる。
また、ゲートウェイ装置５は、セキュリティの解除が要求される毎に、質問数や質問内容をランダムに変更するようにされているため、正規の外部ツール１０による通信をモニタされたとしても、質問の発生パタンを解析することが困難であるだけでなく、外部の者が簡単には知り得ない車両の固有情報（ここではＥＣＵ２の固有情報）を質問内容としているため、外部ツール１０が正規品か非正規品であるかについて信頼性の高い判定を行うことができる。
【００６０】
なお本実施形態において、ゲートウェイ側処理（Ｓ２４０、Ｓ３１０を除く）を実行する処理制御部５４がフィルタ手段、Ｓ４３０を実行する処理制御部５４が質問選択手段（特に乱数情報から乱数を発生させる処理を実行する処理制御部５４が乱数生成手段、その乱数によって質問を選択する処理を実行する処理制御部５４が選択実行手段）、Ｓ４７０及びＳ４８０を実行する処理制御部５４が判定手段、Ｓ２７０，Ｓ２９０を実行する処理制御部５４が許可手段、Ｓ４２０を実行する処理制御部５４が質問数設定手段、回復フレームが終了フレームに相当する。
【００６１】
＜他の実施形態＞
以上、本発明の一実施形態について説明したが、本発明は上記実施形態に限定されるものではなく、本発明の要旨を逸脱しない範囲において様々な態様にて実施することが可能である。
【００６２】
例えば、上記実施形態では、イグニションスイッチがオンした時に起動しているが、コネクタ４に外部ツール１０が接続されたか否かを検出する検出器を設け、コネクタ４に外部ツール１０が接続されたことを検出すると、起動するように構成してもよい。
【符号の説明】
【００６３】
１…車載通信システム ３…基幹バス ４…コネクタ ５…ゲートウェイ装置 ６…ツール側バス １０…外部ツール １１…車両通信部 １２…ネットワーク通信部 １３…車両情報データベース １４…入出力部 １５…処理制御部 ５１…ツール側通信部 ５２…バス側通信部 ５３…車両情報データベース ５４…処理制御部
【特許請求の範囲】
【請求項１】
車載通信システムで使用される通信フレームのうち、予め許可された識別子を有した通信フレームを許可フレームとして、前記車載通信システムに車外装置を接続するために設けられたコネクタからの前記許可フレームの入出力を可能とするフィルタ手段と、
予め指定された指定識別子を有した通信フレームを指定フレームとして、該指定フレームを前記許可フレームとすることを要求するための通信フレームである要求フレームを、前記コネクタを介して受信すると、前記車載通信システムを搭載した車両の固有情報に関する複数の質問の中から一つ以上の質問をランダムに選択する質問選択手段と、
前記質問選択手段で選択された質問が示された通信フレームである質問フレームを、前記コネクタを介して送信し、該質問フレームに対する回答が示された通信フレームである回答フレームを、前記コネクタを介して受信すると、前記回答フレームに示された回答の正否を判定し、その判定結果が示された通信フレームである判定フレームを、前記コネクタを介して出力する判定手段と、
前記判定手段にて前記回答フレームに示された回答が正しいと判定された場合に、予め設定された終了条件が成立するまでの間、前記指定フレームを前記許可フレームとすることを許可する許可手段と、
を備えることを特徴とするゲートウェイ装置。
【請求項２】
前記質問は、前記車両に搭載された複数の車載装置のそれぞれについて、該車載装置に関する質問が一つ以上ずつ用意され、
前記質問選択手段は、
乱数を生成する乱数生成手段と、
前記車載装置の一つを、前記乱数生成手段にて生成された乱数を利用して選択すると共に、その選択された車載装置について用意された質問の一つを、前記乱数生成手段にて生成された乱数を利用して選択する選択実行手段と、
を備え、前記選択実行手段は、予め設定された質問数の質問が得られるまで動作を繰り返すことを特徴とする請求項１に記載のゲートウェイ装置。
【請求項３】
前記質問選択手段は、前記乱数生成手段が生成した乱数を利用し、予め許容された範囲内で前記質問数を設定する質問数設定手段を備えることを特徴とする請求項２に記載のゲートウェイ装置。
【請求項４】
前記乱数生成手段は、当該ゲートウェイ装置が保持する計時情報を取得し、該計時情報に基づいて乱数を生成することを特徴とする請求項２又は請求項３に記載のゲートウェイ装置。
【請求項５】
前記乱数生成手段は、前記車載通信システムを介してオドメータの情報を取得し、該オドメータの情報に基づいて乱数を生成することを特徴とする請求項２又は請求項３に記載のゲートウェイ装置。
【請求項６】
前記許可手段は、前記判定フレームの送信後に予め設定された制限時間が経過することを前記終了条件とすることを特徴とする請求項１乃至請求項５のいずれか一項に記載のゲートウェイ装置。
【請求項７】
前記許可手段は、前記指定フレームによる通信の終了を通知するための通信フレームである終了フレームが受信されることを前記終了条件とすることを特徴とする請求項１乃至請求項５のいずれか一項に記載のゲートウェイ装置。
【請求項１】
車載通信システムで使用される通信フレームのうち、予め許可された識別子を有した通信フレームを許可フレームとして、前記車載通信システムに車外装置を接続するために設けられたコネクタからの前記許可フレームの入出力を可能とするフィルタ手段と、
予め指定された指定識別子を有した通信フレームを指定フレームとして、該指定フレームを前記許可フレームとすることを要求するための通信フレームである要求フレームを、前記コネクタを介して受信すると、前記車載通信システムを搭載した車両の固有情報に関する複数の質問の中から一つ以上の質問をランダムに選択する質問選択手段と、
前記質問選択手段で選択された質問が示された通信フレームである質問フレームを、前記コネクタを介して送信し、該質問フレームに対する回答が示された通信フレームである回答フレームを、前記コネクタを介して受信すると、前記回答フレームに示された回答の正否を判定し、その判定結果が示された通信フレームである判定フレームを、前記コネクタを介して出力する判定手段と、
前記判定手段にて前記回答フレームに示された回答が正しいと判定された場合に、予め設定された終了条件が成立するまでの間、前記指定フレームを前記許可フレームとすることを許可する許可手段と、
を備えることを特徴とするゲートウェイ装置。
【請求項２】
前記質問は、前記車両に搭載された複数の車載装置のそれぞれについて、該車載装置に関する質問が一つ以上ずつ用意され、
前記質問選択手段は、
乱数を生成する乱数生成手段と、
前記車載装置の一つを、前記乱数生成手段にて生成された乱数を利用して選択すると共に、その選択された車載装置について用意された質問の一つを、前記乱数生成手段にて生成された乱数を利用して選択する選択実行手段と、
を備え、前記選択実行手段は、予め設定された質問数の質問が得られるまで動作を繰り返すことを特徴とする請求項１に記載のゲートウェイ装置。
【請求項３】
前記質問選択手段は、前記乱数生成手段が生成した乱数を利用し、予め許容された範囲内で前記質問数を設定する質問数設定手段を備えることを特徴とする請求項２に記載のゲートウェイ装置。
【請求項４】
前記乱数生成手段は、当該ゲートウェイ装置が保持する計時情報を取得し、該計時情報に基づいて乱数を生成することを特徴とする請求項２又は請求項３に記載のゲートウェイ装置。
【請求項５】
前記乱数生成手段は、前記車載通信システムを介してオドメータの情報を取得し、該オドメータの情報に基づいて乱数を生成することを特徴とする請求項２又は請求項３に記載のゲートウェイ装置。
【請求項６】
前記許可手段は、前記判定フレームの送信後に予め設定された制限時間が経過することを前記終了条件とすることを特徴とする請求項１乃至請求項５のいずれか一項に記載のゲートウェイ装置。
【請求項７】
前記許可手段は、前記指定フレームによる通信の終了を通知するための通信フレームである終了フレームが受信されることを前記終了条件とすることを特徴とする請求項１乃至請求項５のいずれか一項に記載のゲートウェイ装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２０１３−１１０４５８（Ｐ２０１３−１１０４５８Ａ）
【公開日】平成２５年６月６日（２０１３．６．６）
【国際特許分類】
【出願番号】特願２０１１−２５１６９４（Ｐ２０１１−２５１６９４）
【出願日】平成２３年１１月１７日（２０１１．１１．１７）
【出願人】（０００００４２６０）株式会社デンソー (27,639)
【Ｆターム（参考）】
【公開日】平成２５年６月６日（２０１３．６．６）
【国際特許分類】
【出願日】平成２３年１１月１７日（２０１１．１１．１７）
【出願人】（０００００４２６０）株式会社デンソー (27,639)
【Ｆターム（参考）】
[ Back to top ]