JP2008189209A

JP2008189209A - Vehicle control device network and control device

Info

Publication number: JP2008189209A
Application number: JP2007027446A
Authority: JP
Inventors: Kentaro Shiga; 健太郎志賀; Shigeyuki Nonomura; 重幸野々村; Akiyoshi Kato; 彰良加藤; Atsushi Komuro; 敦小室
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2007-02-07
Filing date: 2007-02-07
Publication date: 2008-08-21

Abstract

【課題】車両制御装置間ネットワークとして必要なセキュリティ性能と制御装置の取り回し性能とを両立した車両制御装置間ネットワークおよび車両制御装置間ネットワークに用いられる制御装置を提供する。
【解決手段】車両制御装置間ネットワークに、通信手段を有する複数の制御装置が参加し、参加する制御装置が全て揃ったことの確認をもって各制御装置を作動許可とし、参加する制御装置が全て揃わない状態では各制御装置を作動不許可とし、参加する全ての制御装置もしくは一部の制御装置のネットワーク接続前の初期状態が作動許可状態である車両制御装置間ネットワーク。
【選択図】図５The present invention provides a network between vehicle control devices and a control device used for a network between vehicle control devices, which are compatible with security performance required as a network between vehicle control devices and handling performance of the control device.
A plurality of control devices having communication means participate in a network between vehicle control devices, and each control device is permitted to operate when it is confirmed that all the participating control devices have been prepared. A network between vehicle control devices in which operation of each control device is not permitted in a state where there is no operation, and an initial state before network connection of all participating control devices or some control devices is an operation permitted state.
[Selection] Figure 5

Description

本発明は、車両制御装置間ネットワークおよび制御装置に係り、特に、自動車等の車両に搭載される複数個の制御装置を互いに通信可能に接続するネットワーク上のセキュリティに関する。 The present invention relates to a network between vehicle control devices and a control device, and more particularly to security on a network in which a plurality of control devices mounted on a vehicle such as an automobile are communicably connected to each other.

近年、動力性能や環境対応といった自動車に求められる性能が、高度化、多岐化するに伴い、自動車システムは、多数のセンサやアクチュエータ類によって構成されるようになる一方、それらセンサやアクチュエータ類に関わる複数の制御装置のネットワーク化が進んでおり、ＣＡＮ（ＣｏｎｔｒｏｌＡｒｅａＮｅｔｗｏｒｋ）やＬＩＮ（ＬｏｃａｌＩｎｔｅｒｃｏｎｎｅｃｔＮｅｔｗｏｒｋ）といったさまざまな通信プロトコルが導入されるに至っている。 In recent years, as the performance required for automobiles, such as power performance and environmental friendliness, has become more sophisticated and diversified, automobile systems have been composed of a large number of sensors and actuators, and related to these sensors and actuators. Networking of a plurality of control devices is progressing, and various communication protocols such as CAN (Control Area Network) and LIN (Local Interconnect Network) have been introduced.

このような自動車に構築される車両制御装置間ネットワークは、車両内という限定された領域に存在する閉じた空間のネットワークであり、悪意者による情報の盗聴、改竄といった攻撃に対する防禦は必要のないものとされてきた。 Such a network between vehicle control devices built in an automobile is a closed space network that exists in a limited area inside the vehicle, and does not require defense against attacks such as eavesdropping or tampering with information by the Service-to-Self. It has been said.

しかし、近年、無線技術の導入や、車両ＩＴＳ（ＩｎｔｅｌｌｉｇｅｎｔＴｒａｎｓｐｏｒｔＳｙｓｔｅｍ）等の技術進歩に伴い、車両制御装置間ネットワークがオープンネットワークへと移行し、様々な攻撃に対するセキュリティ施策が提唱されるに至っている。 However, in recent years, with the introduction of wireless technology and the advancement of technology such as vehicle ITS (Intelligent Transport System), the network between vehicle control devices has shifted to an open network, and security measures against various attacks have been proposed. .

たとえば、イモビライザ機能を有する車両においては、鍵に埋め込まれた値と車両側の制御装置との間で暗号認証を行うので、正当な鍵がなければ車両を始動させることができない。最近では、総当り式の暗号取得攻撃（所謂ブルートフォース攻撃）にも実用上絶えうる暗号実装を行うものや、有限規則性に基づき同期を取りながら暗号鍵を順次変更するといったものが提唱されてきている。 For example, in a vehicle having an immobilizer function, encryption authentication is performed between a value embedded in a key and a control device on the vehicle side, so that the vehicle cannot be started without a valid key. In recent years, it has been proposed to implement a brute force encryption attack (so-called brute force attack) that can be implemented practically, or to change the encryption key sequentially while synchronizing based on finite regularity. ing.

また、車両システムの完全性確認機能を有する車両においては、各制御装置間がネットワーク中で互いに認証を行い、正当でないものを見つければ、制御装置を作動不許可とするものがある（例えば、特許文献１）。このため、ネットワーク中の制御装置を正当でないものに置き換えたり、制御装置内部のプログラムを正当でないものに書き換えたりすると、車両システムとして動作しなくなる。 In addition, in a vehicle having a vehicle system integrity confirmation function, there is a vehicle in which each control device authenticates each other in the network, and if an invalid one is found, the control device is not permitted to operate (for example, a patent) Reference 1). For this reason, if the control device in the network is replaced with an unauthorized one, or if the program inside the control device is rewritten with an unauthorized one, the vehicle system will not operate.

さらに、車両開発や製造工程における不慮のセキュリティ事故を防止するため、このような施策を制御装置の初期状態から有効にし、車両組立完了後にのみ各制御装置が動作許可とするよう構成することが多くなってきている。 Furthermore, in order to prevent accidental security accidents in vehicle development and manufacturing processes, such measures are often made effective from the initial state of the control device, and each control device is permitted to operate only after completion of vehicle assembly. It has become to.

特開２００５−１５３４号公報JP 2005-1534 A

以上のようなセキュリティ施策により、車両制御装置間ネットワークにおけるセキュリティ性能は向上する一方で、制御装置の検査等における取り回し性能は悪化している。 With the security measures as described above, the security performance in the network between the vehicle control devices is improved, while the handling performance in the inspection of the control device is deteriorated.

たとえば、車両組み付け前の制御装置を、初期状態でイモビライザ機能により動作不許可状態としていると、イモビライザが動作不許可とする機構を、単体の制御装置で、事前に検査することができない。これは、たとえば、イモビライザ機能が制御装置の燃料噴射制御、点火制御を動作不許可とする場合、これら制御が正しい出力を行うか否かを確認することが、車両組み付け後にしかできないことを意味する。 For example, if the control device before assembly of the vehicle is in an operation non-permitted state by an immobilizer function in the initial state, a mechanism that does not permit the operation of the immobilizer cannot be inspected in advance by a single control device. This means that, for example, when the immobilizer function disables the fuel injection control and ignition control of the control device, it can be confirmed only after the vehicle is assembled whether or not these controls perform correct output. .

一般に、車両の制御装置は、部品メーカからマニファクチュアラに提供され、車両への接続をマニファクチュアラが行うため、制御装置の初期状態をイモビライザ機能により動作不許可状態としていると、部品メーカでは自身の提供する制御装置を検査することができなくなる。このことにより、制御装置の歩留まり品発見に遅れが生じ、車両製造段階でのコスト悪化、品質悪化といった問題を招いている。 In general, a control device for a vehicle is provided from a component manufacturer to a manufacturer, and the manufacturer performs connection to the vehicle. The provided control device cannot be inspected. As a result, there is a delay in finding yield products of the control device, causing problems such as cost deterioration and quality deterioration at the vehicle manufacturing stage.

また、車両組み付け後に問題が発生し、疑わしい制御装置をネットワークから取り外して検査しなければならない場合などでも、ネットワークから取り外した時点で、ネットワークの完全性確認機能が働き、取り外した制御装置が動作不許可状態となるため、所望の検査が行えない可能性がある。このため、疑わしい制御装置を検査することなく無条件で交換せざるを得ず、組み付け後の検査や市場におけるメンテナンスに多大なコストがかかるといった問題を招いている。 In addition, even if a problem occurs after the vehicle is assembled and the suspicious control device must be removed from the network and inspected, the network integrity check function works when the device is removed from the network, and the removed control device does not operate. Since it is in a permitted state, there is a possibility that a desired inspection cannot be performed. For this reason, a suspicious control apparatus must be replaced unconditionally without being inspected, and there is a problem that a great cost is required for inspection after assembly and maintenance in the market.

このように、セキュリティ施策の充実により、車両制御装置間ネットワークのセキュリティが確保され、悪意の攻撃からの防禦が充実する一方で、初期状態、もしくはネットワークから離脱している制御装置の取り回し性能は悪化しており、コスト、品質上の問題を引き起こしている。 As described above, the security measures enhance the security of the network between the vehicle control devices, and the defense against malicious attacks is enhanced, while the handling performance of the control device that is in the initial state or disconnected from the network deteriorates. And cause cost and quality problems.

本発明は、前記解決しようとする課題に鑑みてなされたものであって、その目的とするところは、車両制御装置間ネットワークとして必要なセキュリティ性能と制御装置の取り回し性能とを両立した車両制御装置間ネットワークおよび車両制御装置間ネットワークに用いられる制御装置を提供することにある。 The present invention has been made in view of the problems to be solved, and an object of the present invention is to provide a vehicle control device that achieves both security performance necessary for a network between vehicle control devices and handling performance of the control device. It is providing the control apparatus used for a network between vehicles and a network between vehicle control apparatuses.

前記目的を達成するために、本発明による車両制御装置間ネットワークは、通信手段を有する複数の制御装置が参加し、参加する制御装置が全て揃ったことの確認をもって各制御装置を作動許可とし、参加する制御装置が全て揃わない状態では各制御装置を作動不許可とする車両制御装置間ネットワークであって、参加する全ての制御装置もしくは一部の制御装置のネットワーク接続前の初期状態が作動許可状態であることを特徴としている。 In order to achieve the above object, the inter-vehicle control device network according to the present invention allows a plurality of control devices having communication means to participate, and permits each control device to operate with confirmation that all of the participating control devices have been prepared, In a state where all participating control devices are not available, the network between vehicle control devices is set to disallow operation of each control device, and the initial state before network connection of all participating control devices or some control devices is permitted to operate. It is characterized by being in a state.

また、本発明による車両制御装置間ネットワークは、好ましくは、認証行為によって、一つまたは複数の制御装置のネットワークからの離脱を許可し、認証行為によって離脱許可された制御装置を作動許可状態とすることを特徴とし、この認証行為は、ネットワーク接続された診断ツールと制御装置との間で行うことができることを特徴としている。 In addition, the network between vehicle control devices according to the present invention preferably permits the detachment of one or a plurality of control devices from the network by an authentication action, and sets the control device permitted to detach by the authentication action to an operation-permitted state. This authentication action can be performed between a network-connected diagnostic tool and a control device.

更に、本発明による車両制御装置間ネットワークは、更に好ましくは、離脱した制御装置以外のネットワークに参加する全ての制御装置、もしくは一部の制御装置を作動不許可状態とすることを特徴としている。 Further, the inter-vehicle control device network according to the present invention is more preferably characterized in that all control devices participating in the network other than the detached control device or a part of the control devices are in an operation non-permitted state.

前記目的を達成するために、本発明による制御装置は、車両制御装置間ネットワークに用いられる制御装置であって、ネットワーク接続前の初期状態を作動許可状態に設定されていることを特徴としている。 In order to achieve the above object, a control device according to the present invention is a control device used in a network between vehicle control devices, and is characterized in that an initial state before network connection is set to an operation-permitted state.

本発明によれば、完全性の確認をもって各制御装置を作動許可とし、参加する制御装置が全て揃わない状態では各制御装置を作動不許可とするネットワークでありつつ、参加する全ての制御装置もしくは一部の制御装置のネットワーク接続前の初期状態が作動許可状態であることにより、車両取り付け前の制御装置の取り回し性能を阻害することがない。これにより、車両制御装置間ネットワークとして必要なセキュリティ性能と制御装置の取り回し性能との両立が図られる。 According to the present invention, the control device is permitted to operate with the confirmation of completeness, and the control device is not permitted to operate when all the participating control devices are not available. Since the initial state before the network connection of some control devices is the operation permission state, the handling performance of the control device before the vehicle is attached is not hindered. As a result, it is possible to achieve both the security performance necessary for the network between vehicle control devices and the handling performance of the control device.

本発明による車両制御装置間ネットワークおよび制御装置の実施形態を、図面を参照して説明する。 An embodiment of a network between vehicle control devices and a control device according to the present invention will be described with reference to the drawings.

図１は、本実施形態の車両制御装置間ネットワークに用いられる制御装置（ＥＣＵ）のの一つの実施形態を示す機能ブロック図である。制御装置１は、車両の各部に取り付けられたセンサ類２からの入力信号を検出する入力信号検出手段３と、入力信号検出手段３からの信号を入力して制御のための演算等を行い制御指令を生成する制御手段４と、制御手段４からの制御指令を各アクチュエータ類５に出力駆動する出力回路６と、通信バス７に接続されてネットワークとの信号送受信を行う通信手段８と、通信手段８にてやりとりする送受信信号の暗号化／復号化を行う暗号化復号化手段９と、他のネットワーク参加者を認証する認証手段１０と、制御上必要となる不揮発性の情報を記憶する不揮発性メモリ１１と、不揮発性メモリ１１と制御手段４および暗号化復号化手段９、認証手段１０との媒介を行う不揮発性メモリアクセス手段１２を備えている。 FIG. 1 is a functional block diagram showing one embodiment of a control device (ECU) used in the network between vehicle control devices of this embodiment. The control device 1 controls the input signal detection means 3 for detecting the input signal from the sensors 2 attached to each part of the vehicle, the signal from the input signal detection means 3 and the calculation for control. A control means 4 for generating a command, an output circuit 6 for driving the control command from the control means 4 to each actuator 5, a communication means 8 connected to the communication bus 7 for transmitting and receiving signals to and from the network, Encryption / decryption means 9 for encrypting / decrypting transmission / reception signals exchanged by means 8, authentication means 10 for authenticating other network participants, and nonvolatile information for storing nonvolatile information necessary for control A non-volatile memory 11, a non-volatile memory 11, a control unit 4, an encryption / decryption unit 9, and an authentication unit 10.

図２は、制御装置（ＥＣＵ）１の一つの実施形態の構成を示すブロック図である。ＥＣＵ１は、センサ類２およびアクチュエータ類５と接続されて入出力を司る入出力インタフェース１３と、通信バス７と接続されて信号送受信を司る通信インタフェース１４と、一時的情報を記憶する揮発性メモリであるＲＡＭ１５と、制御プログラムおよび各種制御設定情報を記憶する不揮発性メモリであるＲＯＭ１６と、不揮発性のメモリであるＥＥＰＲＯＭ１７と、それらを統括し制御を司るＣＰＵ１８とを有し、これらがバス１９によって接続されている。 FIG. 2 is a block diagram showing a configuration of one embodiment of the control device (ECU) 1. The ECU 1 is an input / output interface 13 that is connected to the sensors 2 and the actuators 5 to control input / output, a communication interface 14 that is connected to the communication bus 7 to control signal transmission / reception, and a volatile memory that stores temporary information. A RAM 15, a ROM 16 that is a non-volatile memory for storing a control program and various control setting information, an EEPROM 17 that is a non-volatile memory, and a CPU 18 that controls and controls them are connected via a bus 19. Has been.

したがって、制御装置１は、マイクロコンピュータによって構成することも可能である。制御手段４と、暗号化／復号化を行う暗号化復号化手段９と、認証手段１０は、いずれもＲＯＭ１６にプログラムとして記憶されていて、それらプログラムは実行時に読み出されてＣＰＵ１８が実行する。また、通信手段８は、ＯＳＩ参照モデルによる物理層およびデータリンク層の一部は電子回路により構成され、より上位の階層はＲＯＭ１６に記憶されたプログラムによるのが一般的である。 Therefore, the control device 1 can also be configured by a microcomputer. The control means 4, the encryption / decryption means 9 for performing encryption / decryption, and the authentication means 10 are all stored as programs in the ROM 16, and these programs are read out and executed by the CPU 18 at the time of execution. Further, the communication means 8 is generally configured by a part of the physical layer and the data link layer based on the OSI reference model by an electronic circuit, and a higher layer by a program stored in the ROM 16.

本実施形態の車両制御装置間ネットワークは、制御装置１の構成を持つ制御装置であるＥＣＵ−Ａ２１、ＥＣＵ−Ｂ２２、ＥＣＵ−Ｃ２３、および図示しない一つ、または複数の制御装置が通信バス７を介して接続され、相互にデータ伝送が可能になっている。このネットワークにおいて使用される通信バス７は、たとえばＣＡＮのようなものである。 In the network between vehicle control devices of the present embodiment, ECU-A21, ECU-B22, ECU-C23, which are control devices having the configuration of the control device 1, and one or a plurality of control devices (not shown) use the communication bus 7. Are connected to each other, and data transmission between them is possible. The communication bus 7 used in this network is, for example, CAN.

次に、本実施形態の車両制御装置間ネットワークにおいて行われる完全性確認について図４、図５を用いて説明する。 Next, the integrity confirmation performed in the vehicle control apparatus network of this embodiment is demonstrated using FIG. 4, FIG.

図４において、円形にて描かれる状態Ａ１０１および状態Ｂ１０２は、一時的状態を示し、楕円形にて描かれる状態「作動許可」１０３および状態「作動不許可」１０４は、恒常的状態を示している。一時的状態とは、恒常的状態への遷移過程にて一時的に遷移される状態であって、留まることのできない状態である。一方、恒常的状態とは、恒常的に留まることのできる状態である。また、黒円で描かれる状態１０５は初期状態を表わす。したがって、本実施形態の車両制御装置間ネットワークに参加する各制御装置（ＥＣＵ−Ａ２１、ＥＣＵ−Ｂ２２、ＥＣＵ−Ｃ２３等）は、恒常的には、作動許可状態１０３、作動不許可状態１０４、初期状態１０５のいずれかの状態にある。 In FIG. 4, a state A101 and a state B102 drawn in a circle indicate a temporary state, and a state “operation permission” 103 and a state “operation disapproval” 104 drawn in an ellipse indicate a permanent state. Yes. The temporary state is a state that is temporarily changed in the transition process to the permanent state and cannot stay. On the other hand, the constant state is a state in which it can stay constantly. A state 105 drawn with a black circle represents an initial state. Therefore, each control device (ECU-A21, ECU-B22, ECU-C23, etc.) participating in the network between vehicle control devices of the present embodiment is constantly in the operation permission state 103, the operation non-permission state 104, and the initial state. It is in one of the states 105.

各制御装置は、初期状態１０５から初回電源投入によって、状態Ｂ１０２に遷移すると、ここで自身の初期状態が「作動許可」であるであるか、「作動不許可」かの判定を行う。初期状態が「作動許可」と設定されている制御装置であれば、作動許可状態１０３に遷移する。これに対し、初期状態が「作動不許可」と設定されている制御装置であれば、作動不許可状態１０４に遷移する。 When each control device makes a transition from the initial state 105 to the state B102 by turning on the power for the first time, it determines whether its initial state is “operation permitted” or “operation not permitted”. If the control device is set to “operation permitted” in the initial state, the state transitions to the operation permitted state 103. On the other hand, if the control device is set to “operation not permitted” in the initial state, the state transitions to the operation not permitted state 104.

作動許可状態１０３の制御装置は、通信バス７の状態を監視し、他の制御装置の存在を確認すると、状態Ａ１０１に遷移する。状態Ａ１０１にある制御装置は、自身が参加するネットワークにおいて存在するはずの全ての制御装置が存在しているか否かを判定する。全ての制御装置の存在を確認できた場合には、作動許可状態１０３に戻り、確認できなかった場合には、作動不許可状態１０４に遷移する。 When the control device in the operation permission state 103 monitors the state of the communication bus 7 and confirms the presence of another control device, the control device makes a transition to the state A101. The control device in the state A101 determines whether or not all control devices that should exist in the network in which the control device participates exist. When the presence of all the control devices can be confirmed, the operation returns to the operation permission state 103, and when the control device cannot be confirmed, the operation transitions to the operation disapproval state 104.

作動不許可状態１０４の制御装置は、通信バス７の状態を監視し、他の制御装置の存在が確認できると、状態Ａ１０１に移る。状態Ａ１０１にある制御装置は、自身が参加するネットワークにおいて存在するはずの全ての制御装置が存在しているか否かを判定する。
全ての制御装置の存在を確認できた場合には、作動許可状態１０３に戻り、確認できなかった場合には、作動不許可状態１０４に遷移する。 The control device in the operation disapproval state 104 monitors the state of the communication bus 7 and moves to state A101 when the presence of another control device can be confirmed. The control device in the state A101 determines whether or not all control devices that should exist in the network in which the control device participates exist.
When the presence of all the control devices can be confirmed, the operation returns to the operation permission state 103, and when the control device cannot be confirmed, the operation transitions to the operation disapproval state 104.

なお、以上述べた他の制御装置の存在確認には、平文通信を使用してもよいし、もしくは暗号化／復号化手段９を用いて共通鍵暗号や公開鍵暗号といった暗号通信を使用してもよい。また、他の制御装置の存在確認は、常時行ってもよいし、電源投入後、一度だけ行うといった条件に基づいて行っても、もしくは不定期に行ってもよい。 In addition, for the confirmation of the existence of the other control devices described above, plain text communication may be used, or encryption communication such as common key encryption or public key encryption using encryption / decryption means 9 is used. Also good. In addition, the presence check of other control devices may be performed constantly, or may be performed based on a condition that it is performed only once after the power is turned on, or may be performed irregularly.

作動不許可状態１０４の制御装置の制御手段４（図１参照）は、出力回路６、または通信手段８を通じて、当該制御装置に接続されている主要なアクチュエータ類５などの制御を停止し、車両がシステムとして動作するのを禁止せしめるよう動作する。 The control means 4 (see FIG. 1) of the control device in the operation disapproval state 104 stops the control of the main actuators 5 connected to the control device through the output circuit 6 or the communication means 8, and the vehicle It works to forbid that it works as a system.

このように構成すれば、必要に応じてネットワーク接続前の初期状態の設定を「作動許可」にすることで、車両組み付ける前の制御装置を検査するなどの取り回し性能を確保した上で、参加する制御装置が全て揃ったことの確認をもって各制御装置を作動許可するといった、いわゆる完全性保証機能を達成することができる。 If configured in this way, the setting of the initial state before network connection is set to “permitted” as necessary, and participation is performed after ensuring the handling performance such as inspecting the control device before assembling the vehicle. It is possible to achieve a so-called integrity guarantee function in which operation of each control device is permitted with confirmation that all the control devices have been prepared.

たとえば、図５（ａ）〜（ｃ）に示されている制御装置間ネットワークは、四つの制御装置（ＥＣＵ−Ａ２１、ＥＣＵ−Ｂ２２、ＥＣＵ−Ｃ２３、ＥＣＵ−Ｄ２４）の接続をもって完全であるものとし、図５（ａ）に示されているように、ＥＣＵ−Ｂ２２、ＥＣＵ−Ｃ２３、ＥＣＵ−Ｄ２４が、すでに、通信バス（ネットワーク）７に接続されており、ここに、ネットワーク接続前の初期状態が「作動許可」設定であるＥＣＵ−Ａ２１を接続しようとしている。 For example, the network between control devices shown in FIGS. 5A to 5C is complete with the connection of four control devices (ECU-A21, ECU-B22, ECU-C23, ECU-D24). As shown in FIG. 5A, the ECU-B22, ECU-C23, and ECU-D24 are already connected to the communication bus (network) 7, and here, the initial state before the network connection is established. The ECU-A21 whose state is "operation permission" setting is going to be connected.

図５（ａ）に示されている状態では、すでに、ネットワーク接続されているＥＣＵ−Ｂ２２、ＥＣＵ−Ｃ２３、ＥＣＵ−Ｄ２４は、すでにネットワーク接続されている他の制御装置の存在を互いに確認し、ＥＣＵ−Ａ２１の存在を確認できないので、作動不許可状態１０４にあり、自身の主要制御出力により、車両がシステムとして動作するのを禁止するように動作している。 In the state shown in FIG. 5 (a), the ECU-B22, ECU-C23, and ECU-D24 already connected to the network mutually confirm the existence of other control devices already connected to the network, Since the presence of the ECU-A 21 cannot be confirmed, it is in the operation non-permitted state 104 and operates to prohibit the vehicle from operating as a system by its main control output.

ＥＣＵ−Ａ２１は、ネットワーク接続前の初期状態が「作動許可」設定であるので、作動許可状態１０３にあり、この状態で単体での検査が可能である。これにより、ＥＣＵ−Ａ２１を生産する部品メーカは、出荷前のＥＣＵ−Ａ２１を検査することができる。 Since the initial state before connection to the network is the “operation permitted” setting, the ECU-A 21 is in the operation permitted state 103 and can be inspected alone in this state. Thereby, the parts maker which produces ECU-A21 can test | inspect ECU-A21 before shipment.

ここで、図５（ｂ）に示されているように、ＥＣＵ−Ａ２１をネットワーク接続すると、ＥＣＵ−Ａ２１は、すでにネットワーク接続されている他の制御装置の存在を確認し、他の全ての制御装置の存在を確認することで、作動許可状態１０３に留まる。一方、既にネットワーク接続されているＥＣＵ−Ｂ２２、ＥＣＵ−Ｃ２３、ＥＣＵ−Ｄ２４は、ＥＣＵ−Ａ２１の接続により、ネットワークに接続されるべき全ての制御装置が確認できるので、作動許可状態１０３に遷移する。 Here, as shown in FIG. 5B, when the ECU-A 21 is connected to the network, the ECU-A 21 confirms the existence of another control device already connected to the network, and performs all other controls. By confirming the presence of the device, it remains in the operation permission state 103. On the other hand, the ECU-B22, ECU-C23, and ECU-D24 that are already connected to the network can check all the control devices that should be connected to the network through the connection of the ECU-A21. .

これにより、ネットワークに接続される全ての制御装置（ＥＣＵ−Ａ２１、ＥＣＵ−Ｂ２２、ＥＣＵ−Ｃ２３、ＥＣＵ−Ｄ２４）が作動許可状態１０３となるので、車両がシステムとして動作するようになる。 Thereby, since all the control devices (ECU-A21, ECU-B22, ECU-C23, ECU-D24) connected to the network are in the operation permission state 103, the vehicle operates as a system.

図５（ｃ）に示されているように、一度接続されていたＥＣＵ−Ａ２１を、再度ネットワークより切り離した場合、ＥＣＵ−Ａ２１は、他の制御装置の存在を確認できなくなるので、作動許可状態１０３に留まる。一方、ネットワーク接続されているＥＣＵ−Ｂ２２、ＥＣＵ−Ｃ２３、ＥＣＵ−Ｄ２４は、接続されている他の制御装置の存在をお互いに確認し、ＥＣＵ−Ａ２１の存在を確認できないので、作動不許可状態１０４に遷移する。 As shown in FIG. 5C, when the ECU-A21 once connected is disconnected from the network again, the ECU-A21 cannot confirm the presence of another control device, so that the operation permission state is established. Stay at 103. On the other hand, since the ECU-B22, ECU-C23, and ECU-D24 connected to the network mutually confirm the existence of other connected control devices and cannot confirm the existence of the ECU-A21, the operation non-permitted state Transition to 104.

したがって、車両ネットワークに留まった制御装置（ＥＣＵ−Ｂ２２、ＥＣＵ−Ｃ２３、ＥＣＵ−Ｄ２４）を作動不許可にして、切り離した制御装置（ＥＣＵ−Ａ２１）の単体での検査が可能である。 Therefore, the control device (ECU-B22, ECU-C23, ECU-D24) staying in the vehicle network is not permitted to operate, and the separated control device (ECU-A21) can be inspected alone.

これにより、車両組み付け後に問題が発生し、疑わしい制御装置をネットワークから取り外して検査しなければならない場合に対応できる。 As a result, a problem occurs after the vehicle is assembled, and it is possible to cope with a case where a suspicious control device must be removed from the network and inspected.

以上述べた制御装置間ネットワークでは、図６に示されているように、ネットワーク接続されていた全ての制御装置（ＥＣＵ−Ａ２１、ＥＣＵ−Ｂ２２、ＥＣＵ−Ｃ２３、ＥＣＵ−Ｄ２４）をネットワークから切り離すことにより、全ての制御装置における状態を「作動許可」とすることは可能である。 In the network between control devices described above, as shown in FIG. 6, all control devices (ECU-A21, ECU-B22, ECU-C23, ECU-D24) connected to the network are disconnected from the network. Therefore, it is possible to set the state in all the control devices to “operation permission”.

しかし、現在の多くの車両においては、多数制御が制御装置間ネットワークに依存して動作するので、ネットワークへの制御装置の接続が一切ない状態における車両システムの正常動作は事実上期待できない。したがって、本発明に係る車両における制御装置間ネットワークは、悪意の攻撃意欲を殺ぐのに充分なセキュリティ性能を有していると云える。 However, in many current vehicles, since a large number of controls operate depending on the network between the control devices, it is virtually impossible to expect normal operation of the vehicle system without any connection of the control device to the network. Therefore, it can be said that the network between the control devices in the vehicle according to the present invention has sufficient security performance to kill malicious intent to attack.

万一、図６に示されているように、全ての制御装置がネットワークから切り離された状態でも、車両システムの正常動作が行われるような車両ネットワーク構成になっていた場合の対策として、引き続き本発明に係る車両における制御装置間ネットワークにおいて行われる認証行為による制御装置の着脱について、図７、図８を用いて説明する。 As shown in FIG. 6, even if all the control devices are disconnected from the network, this measure will continue as a countermeasure when the vehicle network configuration is such that normal operation of the vehicle system is performed. The attachment / detachment of the control device by the authentication action performed in the network between the control devices in the vehicle according to the invention will be described with reference to FIGS.

図７に示されている制御装置間ネットワークは、四つの制御装置（ＥＣＵ−Ａ２１、ＥＣＵ−Ｂ２２、ＥＣＵ−Ｃ２３、ＥＣＵ−Ｄ２４）の接続をもって完全であるものとし、図７（ａ）に示されているように、既にすべての制御装置がネットワーク接続され、すべての制御装置が作動許可状態１０３にあるものとする。 The network between control devices shown in FIG. 7 is assumed to be complete with the connection of four control devices (ECU-A21, ECU-B22, ECU-C23, ECU-D24), and is shown in FIG. 7 (a). As described above, it is assumed that all the control devices are already connected to the network and all the control devices are in the operation permission state 103.

ここで、図７（ｂ）に示されているように、制御装置間ネットワークに対して、新たなネットワークノードとして、診断ツール３１をネットワーク接続する。この診断ツール３１は、ネットワークを介して各制御装置に対する診断サービスを要求できる、いわゆる診断テスタである。ここでは、診断ツール３１は、ネットワークを介してＥＣＵ−Ａ２１のネットワークからの離脱命令を発行したものとする。 Here, as shown in FIG. 7B, the diagnostic tool 31 is connected to the network between the control devices as a new network node. The diagnostic tool 31 is a so-called diagnostic tester that can request a diagnostic service for each control device via a network. Here, it is assumed that the diagnostic tool 31 issues a command to leave the ECU-A 21 from the network via the network.

ＥＣＵ−Ａ２１は、離脱命令を受信すると、図７（ｃ）に示されているように、離脱命令が正当なものか否かを判断するために、診断ツール３１との認証行為を行う。認証行為の結果、離脱命令が正当なものであることを確認できれば、ＥＣＵ−Ａ２１のネットワークからの離脱が許可され、離脱するＥＣＵ−Ａ２１を作動許可状態とする。そして、図７（ｄ）に示されているように、離脱されたＥＣＵ−Ａ２１は、「作動許可」で、切り離した制御装置の単体での検査が可能になる。 When receiving the withdrawal command, the ECU-A 21 performs an authentication act with the diagnostic tool 31 in order to determine whether or not the withdrawal command is valid as shown in FIG. As a result of the authentication action, if it can be confirmed that the withdrawal command is valid, the ECU-A 21 is allowed to leave the network, and the leaving ECU-A 21 is set to the operation-permitted state. Then, as shown in FIG. 7D, the detached ECU-A 21 can be inspected as a single unit of the separated control device by “operation permission”.

正当な離脱命令の認証が行われない状態で、ＥＣＵ−Ａ２１がネットワークから切り離された場合には、離脱されたＥＣＵ−Ａ２１は、「作動不許可」の状態になり、不当な取り扱い、例えば、悪意者による情報の盗聴、改竄といった攻撃に対して防禦する。 If the ECU-A 21 is disconnected from the network in a state where the authorization of a proper leaving instruction is not performed, the separated ECU-A 21 enters an “operation not permitted” state, and is illegally handled, for example, Defend against attacks such as eavesdropping and falsification of information by Service-to-Self.

図８は、各制御装置における制御状態の遷移を表している。各制御装置は、初期状態１０５から初回電源投入によって、状態Ｂ１０２に遷移すると、ここで自身が初期状態「作動許可」か、初期状態「作動不許可」かの判定を行う。初期状態「作動許可」と設定されている制御装置であれば、暫定作動許可状態１０６に遷移する。これに対し、初期状態「作動不許可」と設定されている制御装置であれば、作動不許可状態１０４に遷移する。 FIG. 8 shows the transition of the control state in each control device. When each control device makes a transition from the initial state 105 to the state B102 by turning on the power for the first time, it determines whether it is the initial state “operation permitted” or the initial state “operation not permitted”. If the control device is set to the initial state “permitted operation”, the state transitions to the provisional operation permitted state 106. On the other hand, if the control device is set to the initial state “operation not permitted”, the state transitions to the operation not permitted state 104.

暫定作動許可状態１０６にある制御装置は、通信バス７の状態を監視し、他の制御装置の存在を確認した場合には、状態Ａ１０１に遷移する。状態Ａ１０１にある制御装置は、自身が参加するネットワークにおいて存在するはずの全ての制御装置が存在しているか否かを判定する。全ての制御装置の存在を確認できた場合には、作動許可状態１０３に遷移し、確認できなかった場合には、作動不許可状態１０４に遷移する。 The control device in the provisional operation permission state 106 monitors the state of the communication bus 7 and transitions to the state A101 when the presence of another control device is confirmed. The control device in the state A101 determines whether or not all control devices that should exist in the network in which the control device participates exist. When the presence of all the control devices can be confirmed, the state transitions to the operation permission state 103, and when the presence cannot be confirmed, the state transitions to the operation disapproval state 104.

作動許可状態１０３の制御装置は、通信バス７の状態を監視し、他の制御装置の存在を確認すると、状態Ａ１０１に遷移する。状態Ａ１０１の制御装置は、自身が参加するネットワークにおいて存在するはずの全ての制御装置が存在しているか否かを判定する。全ての制御装置の存在を確認できた場合には、作動許可状態１０３に戻り、確認できなかった場合には、作動不許可状態１０４に遷移する。 When the control device in the operation permission state 103 monitors the state of the communication bus 7 and confirms the presence of another control device, the control device makes a transition to the state A101. The control apparatus in the state A101 determines whether or not all the control apparatuses that should exist in the network in which the control apparatus participates exist. When the presence of all the control devices can be confirmed, the operation returns to the operation permission state 103, and when the control device cannot be confirmed, the operation transitions to the operation disapproval state 104.

作動不許可状態１０４の制御装置は、通信バス７の状態を監視し、他の制御装置の存在を確認すると、状態Ａ１０１に移る。状態Ａ１０１にある制御装置は、自身が参加するネットワークにおいて存在するはずの全ての制御装置が存在しているか否かを判定する。全ての制御装置の存在を確認できなかった場合には、作動不許可状態１０４に戻り、確認できた場合には、作動許可状態１０３に遷移する。 The control device in the operation disapproval state 104 monitors the state of the communication bus 7 and moves to state A101 when the presence of another control device is confirmed. The control device in the state A101 determines whether or not all control devices that should exist in the network in which the control device participates exist. When the presence of all the control devices cannot be confirmed, the operation returns to the operation disapproval state 104, and when it is confirmed, the operation transitions to the operation permission state 103.

作動許可状態１０３にある制御装置がネットワークから離脱命令を受け、その離脱命令が認証手段１０による認証行為によって正当であることを確認できた場合には、状態Ｃ１０７に遷移する。ここで、制御装置がネットワークから切り離されるのを待ち、制御装置がネットワークから切り離されると、暫定作動許可状態１０６に遷移する。また、作動許可状態１０３にある他の制御装置の存在を確認できない場合には、作動不許可状態１０４に遷移する。 When the control device in the operation permission state 103 receives a leave command from the network and confirms that the leave command is valid by the authentication action by the authentication means 10, the state transitions to the state C107. Here, it waits for the control device to be disconnected from the network, and when the control device is disconnected from the network, the state transits to the provisional operation permission state 106. When the presence of another control device in the operation permission state 103 cannot be confirmed, the state transitions to the operation disapproval state 104.

ここで、作動不許可状態１０４にある制御装置の制御手段４は、出力回路６、または通信手段８を通じて、当該制御装置に接続されている主要なアクチュエータ類５などの制御を停止し、車両がシステムとして動作するのを禁止せしめるよう動作する。 Here, the control means 4 of the control device in the operation non-permission state 104 stops the control of the main actuators 5 connected to the control device through the output circuit 6 or the communication means 8, and the vehicle Operates to prohibit the system from operating.

このように構成すれば、図６に示されているように、全ての制御装置がネットワークから切り離された状態でも、一度ネットワーク接続された制御装置をネットワークから離脱させるのには、正当な認証行為が必要となるので、正当な権利を有さない悪意の攻撃者からの防禦が可能となる。 With this configuration, as shown in FIG. 6, even if all the control devices are disconnected from the network, it is possible to perform a valid authentication action to disconnect the control device once connected to the network from the network. Therefore, it is possible to protect against malicious attackers who do not have legitimate rights.

ここで、認証手段１０にて行われる認証行為の一つの実施形態を図９を参照して参照して説明する。なお、ここで、暗号鍵ｋはＥＣＵ−Ａ２１の製造時、もしくはその後に診断ツール３１と同じものを不揮発性メモリ１１に記憶させた値とする。 Here, one embodiment of the authentication action performed by the authentication means 10 will be described with reference to FIG. Here, the encryption key k is a value stored in the nonvolatile memory 11 at the time of manufacture of the ECU-A 21 or after that, the same as the diagnostic tool 31.

診断ツール３１からの離脱命令を受信したＥＣＵ−Ａ２１は乱数ｓを発生し、それを診断ツール３１に送信し（ステップＳ５１）、そして、乱数ｓと診断ツール３１と共有する共通鍵ｋによって応答ｆ（ｓ）を演算する（ステップＳ５２）。 The ECU-A 21 that has received the withdrawal command from the diagnostic tool 31 generates a random number s, transmits it to the diagnostic tool 31 (step S51), and responds by the common key k shared with the random number s and the diagnostic tool 31. (S) is calculated (step S52).

乱数ｓを受信した診断ツール３１は、乱数ｓおよびＥＣＵ−Ａ２１と共有する共通鍵ｋによって応答ｇ（ｓ）を演算し、応答ｇ（ｓ）をＥＣＵ−Ａ２１に送り返す（ステップＳ５３）。 The diagnostic tool 31 that has received the random number s calculates the response g (s) using the random number s and the common key k shared with the ECU-A21, and sends the response g (s) back to the ECU-A21 (step S53).

ＥＣＵ−Ａ２１は、自ら演算した応答ｆ（ｓ）と、診断ツール３１が演算した応答ｇ（ｓ）とを比較する。もし、ＥＣＵ−Ａ２１と診断ツール３１が共有している共通鍵ｋと演算処理とが同一であれば、同一の乱数ｓから得られる応答は同一であり、信用できるということになる（ステップＳ５４）。こうして、ＥＣＵ−Ａ２１は、診断ツール３１を認証する。 The ECU-A 21 compares the response f (s) calculated by itself with the response g (s) calculated by the diagnostic tool 31. If the common key k shared by the ECU-A 21 and the diagnostic tool 31 is the same as the calculation process, the responses obtained from the same random number s are the same and can be trusted (step S54). . Thus, the ECU-A 21 authenticates the diagnostic tool 31.

なお、ここでは、共通鍵暗号による認証行為について述べたが、本認証行為が公開鍵暗号においても実装できることは言うまでもない。 In addition, although the authentication act by common key encryption was described here, it cannot be overemphasized that this authentication act can be implemented also in public key encryption.

上述の実施形態において、他の制御装置の存在が確認できない場合には、状態を「作動不許可」に遷移させる旨述べてきたが、認証によって正当な制御装置の着脱が担保される場合には、離脱した制御装置以外のネットワークに残存する全ての制御装置を作動不許可にする必要はない。すなわち、離脱した制御装置以外のネットワークに参加する一部の制御装置のみを、選択的に作動不許可としてもよい。 In the above-described embodiment, when the presence of another control device cannot be confirmed, it has been stated that the state is changed to “operation not permitted”. It is not necessary to disable all control devices remaining in the network other than the disconnected control device. That is, only a part of the control devices participating in the network other than the detached control device may be selectively prohibited.

以上に説明した本実施形態の効果を要約すると、以下のようになる。 The effects of the present embodiment described above are summarized as follows.

（１）完全性の確認もって各制御装置を作動許可とし、参加する制御装置が全て揃わない状態では各制御装置を作動不許可とするネットワークにおいて、参加する全ての制御装置、もしくは一部の制御装置のネットワーク接続前の初期状態が作動許可状態であることにより、完全性を担保することによるセキュリティ施策を取りながら、車両取り付け前の制御装置の取り回しを妨害しない構成とすることが可能となる。 (1) In a network in which each control device is permitted to operate with confirmation of completeness and is not permitted to operate when all participating control devices are not available, all participating control devices or a part of the controls Since the initial state before the network connection of the device is the operation permission state, it is possible to adopt a configuration that does not disturb the handling of the control device before the vehicle is mounted while taking security measures by ensuring the integrity.

（２）事前の認証によって、一つまたは複数の制御装置のネットワークからの離脱を許可し、離脱許可された制御装置を作動許可とすることにより、完全性を担保することによるセキュリティ施策を取りながら、車両組み付け後に何らかの事由でネットワークから取り外した制御装置の取り回しを妨害しない構成とすることが可能となる。 (2) While taking the security measure by ensuring the integrity by permitting one or more control devices to leave the network by the prior authentication and permitting the control devices permitted to leave. It is possible to adopt a configuration that does not interfere with the handling of the control device removed from the network for some reason after the vehicle is assembled.

（３）そして、離脱した制御装置以外のネットワークに参加する全ての制御装置、もしくは一部の制御装置を作動不許可とすることにより、ネットワークから一部の制御装置を外した後の、車両側に残った制御装置に対しても適切なセキュリティを講じることが可能となる。 (3) The vehicle side after removing some control devices from the network by disabling operation of all control devices participating in the network other than the detached control device, or some control devices. It is possible to take appropriate security for the remaining control devices.

（４）これらのことにより、ネットワークとして十分かつ合理的なセキュリティを保ちながら、接続される個々の制御装置の取り回し性能を向上させることができる。 (4) By these things, the management performance of each control apparatus connected can be improved, maintaining sufficient and reasonable security as a network.

本発明による車両制御装置間ネットワークを構成する制御装置の一つの実施形態を示す機能ブロック図。The functional block diagram which shows one Embodiment of the control apparatus which comprises the network between vehicle control apparatuses by this invention. 本発明による車両制御装置間ネットワークを構成する制御装置の一つの実施形態の構成を示すブロック図。The block diagram which shows the structure of one Embodiment of the control apparatus which comprises the network between vehicle control apparatuses by this invention. 車両制御装置間ネットワークの一例を示す構成図。The block diagram which shows an example of the network between vehicle control apparatuses. 本発明による車両制御装置間ネットワークにおいて行われる完全性確認の一つの実施形態を表す状態遷移図。The state transition diagram showing one embodiment of the integrity check performed in the network between vehicle control apparatuses by this invention. （ａ）〜（ｃ）は図４における完全性確認の動作様態を表す図。(A)-(c) is a figure showing the operation | movement aspect of the integrity confirmation in FIG. 図４における完全性確認において、全ての制御装置を外した場合の動作様態を表す図。The figure showing the operation | movement aspect at the time of removing all the control apparatuses in the integrity confirmation in FIG. （ａ）〜（ｄ）は本発明によ車両制御装置間ネットワークにおける制御装置離脱許可の一つの実施形態の動作様態を表す図。(A)-(d) is a figure showing the operation | movement aspect of one Embodiment of the control apparatus detachment | leave permission in the network between vehicle control apparatuses by this invention. 図７における認証による制御装置離脱許可を表す状態遷移図。FIG. 8 is a state transition diagram showing control device leave permission by authentication in FIG. 図７における認証を表すフローチャート。The flowchart showing the authentication in FIG.

Explanation of symbols

１制御装置（ＥＣＵ）
２センサ類
３入力信号検出手段
４制御手段
５アクチュエータ類
６出力回路
７通信バス
８通信手段
９暗号化／復号化手段
１０認証手段
１１不揮発性メモリ
１２不揮発性メモリアクセス手段
１３入出力インタフェース
１４通信インタフェース
１５ＲＡＭ
１６ＲＯＭ
１７ＥＥＰＲＯＭ
１８ＣＰＵ
１９バス
２１ＥＣＵ−Ａ
２２ＥＣＵ−Ｂ
２３ＥＣＵ−Ｃ
２４ＥＣＵ−Ｄ
３１診断ツール 1 Control unit (ECU)
DESCRIPTION OF SYMBOLS 2 Sensors 3 Input signal detection means 4 Control means 5 Actuators 6 Output circuit 7 Communication bus 8 Communication means 9 Encryption / decryption means 10 Authentication means 11 Non-volatile memory 12 Non-volatile memory access means 13 Input / output interface 14 Communication interface 15 RAM
16 ROM
17 EEPROM
18 CPU
19 Bus 21 ECU-A
22 ECU-B
23 ECU-C
24 ECU-D
31 Diagnostic tools

Claims

A plurality of control devices having communication means participate, and each control device is permitted to operate with confirmation that all participating control devices have been prepared. A network between vehicle control devices,
A network between vehicle control devices, characterized in that an initial state before network connection of all participating control devices or some control devices is an operation-permitted state.

2. The vehicle control device according to claim 1, wherein one or a plurality of control devices are permitted to leave the network by an authentication act, and the control device permitted to leave by the authentication act is allowed to operate. network.

The network between vehicle control devices according to claim 2, wherein the authentication is performed between a diagnostic tool and a control device connected via a network.

The network between vehicle control devices according to claim 2 or 3, wherein all control devices participating in the network other than the detached control device or a part of the control devices are set in an operation non-permitted state.

A control device used in a network between vehicle control devices,
A control device, wherein an initial state before network connection is set to an operation-permitted state.