JP2024078798A - 通信システム、及び中継装置 - Google Patents

Abstract

【課題】不正アクセスを防止したうえで、処理負荷が無用に高くなることを抑制する。
【解決手段】中継装置が診断ツールとの間で送受信される診断対象を診断するための診断用データＤＤを受信したとき（Ｓ１１：ＹＥＳ）、ステップＳ１２では、中継装置は、受信した診断用データＤＤの通信経路が正しいか否かを判定する。ステップＳ１３では、中継装置は、受信した診断用データＤＤの通信経路が正しいか否かの判定結果を含む監視結果ＭＲを診断対象装置へ送信する。
【選択図】図２

Description

本発明は、通信システム、及び中継装置に関する。

特許文献１には、通信システムが記載されている。通信システムは、複数の装置を接続するバスを備えている。バスを介して送受信されるデータについて、各装置は、共通鍵及びメッセージ認証コードを用いて、データの改ざん及びなりすましによる不正アクセスを防止している。

特開２０１６－０９６３７５号公報

特許文献１に記載されているような通信システムにおいて、データを中継する中継装置に診断ツールを接続することがある。このように診断ツールを接続すると、診断ツールとバスに接続されている各装置との間で、診断に関する各種のデータ等が送受信可能になる。このような機能を悪用して、上記の診断ツールからのデータになりすました不正なデータがバスを介して各装置へ入力されることがあり得る。特許文献１に記載されているような共通鍵及びメッセージ認証コードを用いた不正アクセスの防止技術であれば、上記のような不正なデータが送受信されることを防止し得る。しかし、共通鍵及びメッセージ認証コードを用いた技術は、各装置における処理負荷の増加をもたらす。したがって、共通鍵及びメッセージ認証コードを用いた技術とは別に、より処理負荷の低い不正アクセスの防止技術が求められている。

上記課題を解決するため、本開示の一態様は、診断ツールを接続するためのポートを有する中継装置と、前記中継装置とバスを介して接続している診断対象装置と、を備えており、前記中継装置は、前記診断ツールとの間で送受信される前記診断対象装置を診断するための診断用データを受信したとき、受信した前記診断用データの通信経路が正しいか否かを判定することと、受信した前記診断用データの前記通信経路が正しいか否かの判定結果を含む監視結果を、前記診断対象装置へ送信することと、を実行可能である通信システムである。

上記課題を解決するため、本開示の一態様は、診断ツールを接続するためのポートを有している中継装置であって、前記診断ツールとの間で送受信される診断対象装置を診断するための診断用データを受信したとき、受信した前記診断用データの通信経路が正しいか否かを判定することと、受信した前記診断用データの前記通信経路が正しいか否かの判定結果を含む監視結果を、前記ポートとは別の通信用のバスを介して外部へ送信することと、を実行可能である中継装置である。

上記各構成によれば、中継装置は、診断用データを受信したとき、受信した診断用データの通信経路が正しいか否かを判定する。そして、中継装置は判定結果を含む監視結果を、診断対象装置へ送信する。これにより、中継装置によって、不正アクセスか否かを判定できる。一方で、診断対象装置は、中継装置から受信する監視結果によって不正アクセスを把握できる。したがって、診断対象装置における処理負荷が無用に高くなることを抑制できる。

図１は、一実施形態の通信システムを示す概略図である。 図２は、中継装置の監視に関する一連の処理を示すフローチャートである。 図３は、中継装置の要求データについての監視の処理を示すフローチャートである。 図４は、中継装置の応答データについての監視の処理を示すフローチャートである。 図５は、診断対象装置のロック状態に関する処理を示すフローチャートである。 図６は、中継装置の通知信号に関する処理を示すフローチャートである。 図７は、診断対象装置のアンロック状態に関する処理を示すフローチャートである。 図８は、通信システムの信号の送受信を示すシーケンスチャートである。 図９は、変更例の通信システムを示す概略図である。

（一実施形態）
以下、通信システムの一実施形態について、図面を参照して説明する。なお、以下の説明では、通信システムを備える車両について説明する。

＜通信システムの概略＞
図１に示すように、車両１０は、通信システム２０を備えている。通信システム２０は、中継装置３０と、複数の制御装置４０と、を備えている。中継装置３０と各制御装置４０とは、通信用のバス５０を介して接続している。

本実施形態では、３つの制御装置４０が、第１のバス５０Ａを介して中継装置３０と接続している。また、２つの制御装置４０が、第２のバス５０Ｂを介して中継装置３０と接続している。

各制御装置４０は、車両１０に搭載されたアクチュエータを制御する。制御装置４０は、実行ユニット４１と、記憶ユニット４２と、を有している。実行ユニット４１は、ＣＰＵである。記憶ユニット４２は、ＲＯＭ及びＲＡＭである。記憶ユニット４２は、自身の通信状態を示すパラメータを記憶している。通信状態は、ロック状態又はアンロック状態を示す。ロック状態は、診断ツール８０との間で送受信される診断対象の装置を診断するためのデータである診断用データＤＤの通信ができない状態である。アンロック状態は、ロック状態が解除された状態、すなわち診断用データＤＤの通信を含む各種の通信ができる状態である。記憶ユニット４２は、各種プログラムを記憶している。実行ユニット４１は、記憶ユニット４２に記憶されている各種プログラムを実行可能である。実行ユニット４１がこれらのプログラムを実行することにより、アクチュエータに対する以下の制御機能を実現する。

例えば、制御装置４０の１つは、車両１０のエンジンを制御する。また例えば、制御装置４０の１つは、車両１０のブレーキを制御する。また例えば、制御装置４０の１つは、車両１０の操舵装置を制御する。また例えば、制御装置４０の１つは、車両１０のドアの鍵の開閉を制御する。

中継装置３０は、各バス５０を跨いで送受信されるデータを中継する。例えば、第１のバス５０Ａに接続されている制御装置４０から、第２のバス５０Ｂに接続されている制御装置４０へとデータを送信すると仮定する。この場合、中継装置３０は、第１のバス５０Ａを介して受信したデータを、第２のバス５０Ｂを介して送信する。また、中継装置３０は、診断ツール８０を接続するためのポート３１を備えている。ポート３１には、診断ツール８０からの信号が入力される。また、ポート３１からは、診断ツール８０への信号が送信される。診断ツール８０は、例えば、ディーラなどの整備工場において、制御装置４０の少なくとも１つを対象とした診断を行うためのツールである。

中継装置３０は、実行ユニット３２と、記憶ユニット３３と、を有している。実行ユニット３２は、ＣＰＵである。記憶ユニット３３は、ＲＯＭ及びＲＡＭである。記憶ユニット３３は、各種プログラムを記憶している。実行ユニット３２は、記憶ユニット３３に記憶されている各種プログラムを実行可能である。実行ユニット３２は、これらのプログラムを実行することにより、以下の通信機能を実現する。

中継装置３０は、ポート３１を介して診断ツール８０から、第１通信規格で送信されたメッセージを受信可能である。また、中継装置３０は、受信した第１通信規格のメッセージを、第２通信規格にプロトコル変換して、バス５０を介して宛先の制御装置４０へ送信可能とする。すなわち、中継装置３０は、いわゆるゲートウェイとして機能する。

また、中継装置３０は、制御装置４０からバス５０を介して第２通信規格のメッセージを受信する。そして、中継装置３０は、受信した第２通信規格のメッセージを、第１通信規格にプロトコル変換して、ポート３１から診断ツール８０へ送信可能とする。

ここで、複数の制御装置４０のうち、診断ツール８０の診断対象となる１つを診断対象装置４０Ａとする。そのため、診断対象装置４０Ａは、中継装置３０とバス５０を介して接続可能となっている。診断ツール８０と、診断対象装置４０Ａと、の間では、診断用データＤＤを含むメッセージが送受信される。具体的には、診断ツール８０による診断をするに際して、診断ツール８０は、診断用データＤＤのうちの要求データＲＱを含むメッセージを、ポート３１へ送信する。したがって、要求データＲＱの送信元は、診断ツール８０である。そして、要求データＲＱは診断対象装置４０Ａに送信されるので、当該要求データＲＱは特定データの一例である。

中継装置３０は、要求データＲＱを受信すると、要求データＲＱを含むメッセージを、バス５０を介して中継装置３０の外部である診断対象装置４０Ａへ送信する。診断対象装置４０Ａは、要求データＲＱを受信すると、要求データＲＱに応じて、応答データＲＰを出力する。そして、診断対象装置４０Ａは、応答データＲＰを含むメッセージを、バス５０を介して中継装置３０へ送信する。中継装置３０は、受信した応答データＲＰを含むメッセージをポート３１から診断ツール８０へ送信する。そして、診断ツール８０は、応答データＲＰに基づいて、診断対象装置４０Ａを診断する。したがって、応答データＲＰの送信先は、診断ツール８０である。

なお、ここでいう「診断用データＤＤ」は、メッセージ内に送信元又は送信先が診断ツール８０であると特定できる情報が含まれるものをいう。したがって、「診断用データＤＤ」は、実際に診断ツール８０を送信元とするものだけでなく、診断ツール８０が送信元であるかのように偽装したデータも含む。また、「診断用データＤＤ」は、実際に診断ツール８０に送信されたものだけでなく、診断ツール８０であるかのように偽装した装置に送信されたデータも含む。

＜中継装置の監視に関する一連の処理＞
次に、中継装置３０の監視に関する一連の処理について説明する。記憶ユニット３３は、監視結果ＭＲを送信するための監視結果送信用プログラムを記憶している。また、記憶ユニット３３は、診断用データＤＤの通信経路を判定するためのプログラムとして、要求データ判定用プログラムと、応答データ判定用プログラムと、の２つのプログラムを記憶している。要求データ判定用プログラムは、要求データＲＱを基に、診断用データＤＤの通信経路を判定するプログラムである。応答データ判定用プログラムは、要求データＲＱに応じた応答データＲＰを基に、診断用データＤＤの通信経路を判定するプログラムである。実行ユニット３２は、何らかのデータを受信したときに、監視結果送信用プログラムを実行する。

図２に示すように、実行ユニット３２が、監視結果送信用プログラムの実行を開始すると、先ず、ステップＳ１１の処理を行う。ステップＳ１１では、実行ユニット３２は、受信したデータが診断用データＤＤであるか否かを判定する。つまり、実行ユニット３２は、診断用データＤＤを受信したか否かを判定する。なお、受信したデータが診断用データＤＤであるか否かは、受信したデータの送信元及び送信先により判定できる。実行ユニット３２が受信したデータが診断用データＤＤでなかったとき（Ｓ１１：ＮＯ）、実行ユニット３２は、今回の一連の処理を終了する。一方で、実行ユニット３２が診断用データＤＤを受信したとき（Ｓ１１：ＹＥＳ）、実行ユニット３２は、処理をステップＳ１２へ進める。

ステップＳ１２では、実行ユニット３２は、受信した診断用データＤＤの通信経路が正しいか否かを判定する。具体的には、実行ユニット３２は、記憶ユニット３３が記憶している要求データ判定用プログラム及び応答データ判定用プログラムを実行する。各プログラムによる処理については、後述する。これにより、実行ユニット３２は、診断用データＤＤの通信経路が正しいか否かを示す判定結果ＪＲを取得する。その後、実行ユニット３２は、処理をステップＳ１３へ進める。

ステップＳ１３では、実行ユニット３２は、ステップＳ１２において取得した判定結果ＪＲを含む監視結果ＭＲを、診断対象装置４０Ａと同じバス５０を介して接続している診断対象のすべての制御装置４０へ送信する。その後、実行ユニット３２は、処理をステップＳ１４へ進める。

ステップＳ１４では、実行ユニット３２は、ステップＳ１２の処理を開始してから、予め定められた所定時間ＲＴだけ経過したか否かを判定する。所定時間ＲＴだが経過していないとき（Ｓ１４：ＮＯ）、実行ユニット３２は、ステップＳ１３へ処理を戻す。つまり、実行ユニット３２は、所定時間ＲＴ経過するまで、監視結果ＭＲを繰り返し送信する。一方で、所定時間ＲＴが経過したとき（Ｓ１４：ＹＥＳ）、実行ユニット３２は、今回の一連の処理を終了する。

＜要求データについての監視＞
図３に示すように、実行ユニット３２が、要求データ判定用プログラムの実行を開始すると、先ず、ステップＳ２１の処理を行う。ステップＳ２１では、実行ユニット３２は、診断用データＤＤのうちの要求データＲＱを受信したか否かを判定する。受信した診断用データＤＤが要求データＲＱでないとき（Ｓ２１：ＮＯ）、実行ユニット３２は、今回の一連の処理を終了する。一方で、受信した診断用データＤＤが要求データＲＱであるとき（Ｓ２１：ＹＥＳ）、実行ユニット３２は、処理をステップＳ２２へ進める。

ステップＳ２２では、実行ユニット３２は、要求データＲＱをポート３１から受信したか否かを判定する。具体的には、実行ユニット３２は、受信した要求データＲＱを、実行ユニット３２がポート３１から受信したか、又はバス５０から受信したか、を判定する。実行ユニット３２が要求データＲＱを、バス５０から受信したとき、実行ユニット３２は、要求データＲＱをポート３１から受信していないと判定する。実行ユニット３２がポート３１を介して要求データＲＱを受信したとき（Ｓ２２：ＹＥＳ）、実行ユニット３２は、処理をステップＳ２３へ進める。

ステップＳ２３では、実行ユニット３２は、診断ツール８０がポート３１に接続されているか否かを判定する。診断ツール８０がポート３１に接続されているとき（Ｓ２３：ＹＥＳ）、実行ユニット３２は、処理をステップＳ２４へ進める。

ステップＳ２４では、実行ユニット３２は、受信した要求データＲＱの通信経路が正しいと判定する。そして、実行ユニット３２は、診断用データＤＤの通信経路が正しいことを示す判定結果ＪＲを取得する。その後、実行ユニット３２は、一連の処理を終了する。

一方で、ポート３１を介して要求データＲＱを受信していないとき（Ｓ２２：ＮＯ）、つまり、バス５０を介して要求データＲＱを受信したとき、実行ユニット３２は、処理をステップＳ２５へ進める。また、診断ツール８０がポート３１に接続されていないとき（Ｓ２３：ＮＯ）、実行ユニット３２は、処理をステップＳ２５へ進める。

ステップＳ２５では、実行ユニット３２は、受信した要求データＲＱの通信経路が正しくないと判定する。そして、実行ユニット３２は、診断用データＤＤの通信経路が正しくないことを示す判定結果ＪＲを取得する。その後、実行ユニット３２は、一連の処理を終了する。

＜応答データについての監視＞
図４に示すように、実行ユニット３２が、応答データ判定用プログラムの実行を開始すると、先ず、ステップＳ３１の処理を行う。ステップＳ３１では、実行ユニット３２は、診断用データＤＤのうちの応答データＲＰを受信したか否かを判定する。実行ユニット３２は、応答データＲＰを受信していないとき（Ｓ３１：ＮＯ）、今回の一連の処理を終了する。一方で、実行ユニット３２は、応答データＲＰを受信しているとき（Ｓ３１：ＹＥＳ）、処理をステップＳ３２へ進める。

ステップＳ３２では、実行ユニット３２は、診断ツール８０がポート３１に接続されているか否かを判定する。診断ツール８０がポート３１に接続されているとき（Ｓ３２：ＹＥＳ）、実行ユニット３２は、処理をステップＳ３３へ進める。

ステップＳ３３では、実行ユニット３２は、受信した応答データＲＰの通信経路が正しいと判定する。そして、実行ユニット３２は、診断用データＤＤの通信経路が正しいことを示す判定結果ＪＲを取得する。その後、実行ユニット３２は、一連の処理を終了する。

一方で、診断ツール８０がポート３１に接続されていないとき（Ｓ３２：ＮＯ）、実行ユニット３２は、処理をステップＳ３４へ進める。
ステップＳ３４では、実行ユニット３２は、受信した応答データＲＰの通信経路が正しくないと判定する。そして、実行ユニット３２は、診断用データＤＤの通信経路が正しくないことを示す判定結果ＪＲを取得する。その後、実行ユニット３２は、一連の処理を終了する。

＜診断対象装置のロック状態＞
診断対象装置４０Ａの記憶ユニット４２Ａは、自身の通信状態をロック状態にするための通信ロック用プログラムを記憶している。診断対象装置４０Ａの実行ユニット４１Ａは、監視結果ＭＲを受信する度に、当該プログラムを実行する。なお、診断対象装置４０Ａの実行ユニット４１を実行ユニット４１Ａと、診断対象装置４０Ａの記憶ユニット４２を記憶ユニット４２Ａと、それぞれ称呼する。

図５に示すように、実行ユニット４１Ａが、通信ロック用プログラムの実行を開始すると、先ず、ステップＳ４１の処理を行う。ステップＳ４１では、実行ユニット４１Ａは、受信した監視結果ＭＲに含まれる判定結果ＪＲが、診断用データＤＤの通信経路が正しいものか否かを判定する。

受信した判定結果ＪＲが、通信経路が正しいことを示すとき（Ｓ４１：ＹＥＳ）、実行ユニット４１Ａは、今回の一連の処理を終了する。なお、この場合、実行ユニット４１Ａは、通常どおり、診断用データＤＤの通信等を行う。一方で、受信した判定結果ＪＲが、通信経路が正しくないことを示すとき（Ｓ４１：ＮＯ）、実行ユニット４１Ａは、処理をステップＳ４２へ進める。

ステップＳ４２では、実行ユニット４１Ａは、診断対象装置４０Ａ自身の通信状態を、診断用データＤＤの通信ができないロック状態にする。具体的には、実行ユニット４１Ａは、記憶ユニット４２に記憶している通信状態を示すパラメータを、ロック状態を示すパラメータに変更する。これにより、診断対象装置４０Ａは、診断用データＤＤ、すなわち診断ツール８０を送信元又は送信先とするデータを受信できない状態になる。その後、実行ユニット４１Ａは、今回の一連の処理を終了する。

＜診断ツールの接続＞
記憶ユニット３３は、ポート３１への診断ツール８０の接続状態を監視するためツール接続監視用プログラムを記憶している。実行ユニット３２は、監視結果送信用プログラムを実行することにより、診断用データＤＤの通信経路が正しくないことを示す判定結果ＪＲを含む監視結果ＭＲを送信する。そして、実行ユニット３２は、当該監視結果ＭＲを送信した後の予め定められた期間、予め定められた周期で、ツール接続監視用プログラムを繰り返し実行する。

図６に示すように、実行ユニット３２が、ツール接続監視用プログラムの実行を開始すると、先ず、ステップＳ５１の処理を行う。ステップＳ５１では、ポート３１に診断ツール８０が接続されたか否かを判定する。ポート３１に診断ツール８０が接続されていないとき（Ｓ５１：ＮＯ）、実行ユニット３２は、今回の一連の処理を終了する。

一方で、ポート３１に診断ツール８０が接続されたとき（Ｓ５１：ＹＥＳ）、実行ユニット３２は、処理をステップＳ５２へ進める。ステップＳ５２では、実行ユニット３２は、ポート３１に診断ツール８０が接続されたことを示す通知信号ＮＳを診断対象装置４０Ａへ送信する。その後、実行ユニット３２は、今回の一連の処理を終了する。

＜アンロック状態への変更＞
記憶ユニット４２Ａは、診断対象装置４０Ａの通信状態について、ロック状態を解除するためのロック解除用プログラムを記憶している。実行ユニット４１Ａは、通知信号ＮＳを受信したとき、ロック解除用プログラムを実行する。

図７に示すように、実行ユニット４１Ａがロック解除用プログラムの実行を開始すると、先ず、ステップＳ６１の処理を行う。ステップＳ６１では、実行ユニット４１Ａは、診断対象装置４０Ａの通信状態がロック状態であるか否かを判定する。実行ユニット４１Ａは、記憶ユニット４２Ａが記憶する通信状態を示すパラメータを参照して、通信状態を判定する。診断対象装置４０Ａの通信状態がロック状態でないとき（Ｓ６１：ＮＯ）、実行ユニット４１Ａは、今回の一連の処理を終了する。一方で、診断対象装置４０Ａの通信状態がロック状態であるとき（Ｓ６１：ＹＥＳ）、実行ユニット４１Ａは、処理をステップＳ６２へ進める。

ステップＳ６２では、実行ユニット４１Ａは、診断対象装置４０Ａの通信状態をロック状態にしてから予め定められた規定時間ＰＴが経過しているか否かを判定する。規定時間ＰＴが経過していないとき（Ｓ６２：ＮＯ）、実行ユニット４１Ａは、今回の一連の処理を終了する。一方で、規定時間ＰＴが経過しているとき（Ｓ６２：ＹＥＳ）、実行ユニット４１Ａは、処理をステップＳ６３へ進める。

ステップＳ６３では、実行ユニット４１Ａは、診断対象装置４０Ａの通信状態について、ロック状態を解除してアンロック状態にする。具体的には、実行ユニット４１Ａは、記憶ユニット４２Ａが記憶している通信状態を示すパラメータを、ロック状態を示すパラメータからアンロック状態を示すパラメータへ変更する。通信状態がアンロック状態になっているときには、診断対象装置４０Ａは、診断用データＤＤを受信可能である。その後、実行ユニット４１Ａは、一連の処理を終了する。

（実施形態の作用）
上記実施形態の通信システム２０においては、通常であれば、診断ツール８０から中継装置３０を介して診断対象装置４０Ａに診断用データＤＤのうちの要求データＲＱが送信される。また、要求データＲＱに応じて、診断対象装置４０Ａから中継装置３０を介して診断対象装置４０Ａに診断用データＤＤのうちの応答データＲＰが送信される。一方、不正アクセスの場合には、要求データＲＱがバス５０を介して中継装置３０へ送信されたり、診断ツール８０がポート３１に接続されていない状態で応答データＲＰが中継装置３０へ送信されたりする。

図８に示すように、上記実施形態の通信システム２０において、中継装置３０は、ポート３１又はバス５０を介して診断用データＤＤを受信したとき、診断用データＤＤの通信経路が正しいか否かを判定する。そして、中継装置３０は、判定結果ＪＲを含む監視結果ＭＲを診断対象装置４０Ａへ繰り返し送信する。

監視結果ＭＲを受信した診断対象装置４０Ａは、監視結果ＭＲに含まれる判定結果ＪＲにおいて診断用データＤＤの通信経路が正しくないことを示すとき、自身の通信状態をロック状態にする。

また、中継装置３０は、診断用データＤＤの通信経路が正しくないことを示す判定結果ＪＲを含む監視結果ＭＲを送信した後、ポート３１への診断ツール８０の接続を監視する。そして、ポート３１へ診断ツール８０が接続されると、中継装置３０は、診断対象装置４０Ａへ、通知信号ＮＳを送信する。通知信号ＮＳを受信した診断対象装置４０Ａは、自身の通信状態について、ロック状態を解除してアンロック状態にする。

（実施形態の効果）
（１）上記実施形態によれば、中継装置３０は、診断用データＤＤを受信したとき、受信した診断用データＤＤの通信経路が正しいか否かを判定する。そして、中継装置３０は判定結果ＪＲを含む監視結果ＭＲを、診断対象装置４０Ａへ送信する。これにより、通信経路が正しいか否かを判定できる中継装置３０によって、不正アクセスか否かを判定できる。一方で、診断対象装置４０Ａは、中継装置３０から受信する監視結果ＭＲによって不正アクセスを把握できる。したがって、診断対象装置４０Ａにおける処理負荷が無用に高くなることを抑制できる。

（２）上記実施形態によれば、中継装置３０は、正常時には、診断ツール８０を送信元とする特定データとしての要求データＲＱを、ポート３１を介して受信する。そのため、バス５０を介して診断ツール８０を送信元とする要求データＲＱを受信したとき、その要求データＲＱは送信元を偽った不正なものである可能性が高い。この点、上記実施形態では、中継装置３０は、バス５０を介して要求データＲＱを受信したことを条件に、要求データＲＱの通信経路は正しくないと判定する。したがって、上記実施形態によれば、診断対象装置４０Ａが受信した診断用データＤＤの通信経路が正しいか否かを高精度で判定できる。

（３）中継装置３０は、正常時には、診断ツール８０を送信元とする要求データＲＱを、ポート３１を介して受信する。そのため、バス５０を介して診断ツール８０を送信元とする要求データＲＱを受信したとき、その要求データＲＱは送信元を偽った不正なものである可能性が高い。この点、上記実施形態では、中継装置３０は、診断ツール８０がポート３１に接続されていることを条件に、要求データＲＱの通信経路が正しいと判定する。したがって、上記実施形態によれば、診断対象装置４０Ａが受信した要求データＲＱの通信経路が、診断ツール８０を送信元とする正しい経路か否かを高精度で判定できる。

（４）診断ツール８０は、応答データＲＰを送信することはない。したがって、中継装置３０は、正規な応答データＲＰを、診断対象装置４０Ａからバス５０を介して受信する。そのため、バス５０を介して応答データＲＰを受信したことだけを条件として、通信経路が正しくないと判定することは不適である。この点、上記実施形態によれば、中継装置３０は、バス５０を介して応答データＲＰを受信したときには、診断ツール８０がポート３１に接続されていなことを条件に、応答データＲＰの通信経路が正しくないと判定する。つまり、中継装置３０は、要求データＲＱに応じて応答データＲＰを送信するような状況でない場合には、応答データＲＰの通信経路が正しくないと判定している。これによれば、中継装置３０は、応答データＲＰに基づいて、診断用データＤＤの通信経路を判定できる。

（５）上記実施形態によれば、中継装置３０は、受信した診断用データＤＤの通信経路が正しくないことを示す判定結果ＪＲを含む監視結果ＭＲを、所定時間ＲＴ、診断対象装置４０Ａへ繰り返し送信する。仮に、不正アクセスをされると、一時的に中継装置３０から診断対象装置４０Ａへのメッセージの送信ができないような状態になる可能性がある。そこで、上記実施形態では、監視結果ＭＲを繰り返し送信することで、仮に一時的に送信できなかったとしても、診断対象装置４０Ａへ監視結果ＭＲが届く可能性を高めることができる。

（６）上記実施形態によれば、診断対象装置４０Ａは、診断用データＤＤの通信経路が正しくないことを示す判定結果ＪＲを含む監視結果ＭＲを受信したことを条件に、通信状態をロック状態にする。ロック状態では、診断対象装置４０Ａは診断用データＤＤの通信ができない。これにより、不正になりすましたデータの通信も不可能となる。その結果、診断対象装置４０Ａが不正なデータを送受信することを防止できる。

（７）上記実施形態によれば、診断対象装置４０Ａは、通信状態をロック状態にしてから規定時間ＰＴ経過したことを条件に、通信状態をアンロック状態にする。悪意ある者が診断対象装置４０Ａに不正アクセスしようとしても、不正アクセスに失敗すれば、速やかにあきらめる可能性が高い。つまり、悪意ある者は、長時間に亘って不正アクセスを試みようとするとは考えにくい。したがって、上記実施形態のように、規定時間ＰＴ経過した後であれば、診断対象装置４０Ａの通信状態をアンロック状態にしても、問題は生じにくい。その一方で、ロック状態にしてからの規定時間ＰＴを判定基準とするのであれば、診断対象装置４０Ａの処理負荷は最小限で済む。

（８）上記実施形態では、診断対象装置４０Ａは、通信状態がロック状態のとき、通知信号ＮＳを受信したこと、及び通信状態をロック状態にしてから規定時間ＰＴ経過したことを条件に、通信状態をアンロック状態にする。これによれば、診断ツール８０がポート３１に接続されたこと、すなわち、正規の診断用データＤＤが受信される蓋然性があるときに、診断対象装置４０Ａがアンロック状態になる。したがって、診断ツール８０を接続して正規にデータを送受信したい場合に、そのデータの送受信ができないといった状態は生じにくい。

（９）上記実施形態によれば、中継装置３０は、監視結果ＭＲを、診断対象装置４０Ａと同じバス５０を介して接続している診断対象のすべての制御装置４０へ送信する。ここで、診断対象装置４０Ａを、第１診断対象装置とし、第１のバス５０Ａに接続している他の制御装置４０を第２診断対象装置とする。このとき、第１診断対象装置が第１のバス５０Ａを介して不正なデータを受信するとき、第２診断対象装置も第１のバス５０Ａを介して不正なデータを受信する可能性がある。この点、上記実施形態によれば、中継装置３０は、監視結果ＭＲを第２診断対象装置へも送信する。よって、第２診断対象装置も、診断用データＤＤの通信経路が正しくない場合に、そのことを把握できる。

（その他の実施形態）
上記実施形態は、以下のように変更して実施することができる。上記実施形態及び以下の変更例は、技術的に矛盾しない範囲で互いに組み合わせて実施することができる。

＜全体について＞
・上記実施形態では、送信元を診断ツール８０とする特定データとして、要求データＲＱを例に挙げたが、特定データはこれに限られない。特定データは、送信元が診断ツール８０であるデータであればよい。例えば、特定データは、応答データＲＰに対する診断結果を示すデータであってもよい。また例えば、特定データは、診断ツール８０による診断を開始する旨を示すデータであってもよい。つまり、特定データは、応答データＲＰを要求するデータに限られない。

・診断用データＤＤは、要求データＲＱ及び応答データＲＰに限られない。診断用データＤＤは、上述した特定データを含む。診断用データＤＤは、送信元又は送信先が診断ツール８０であるデータであればよい。

・監視結果ＭＲは、少なくとも判定結果ＪＲを含んでいればよい。例えば、監視結果ＭＲとして、診断用データＤＤの通信経路が正しいか否かを示す判定結果ＪＲとともに、ロック状態とすることを要求する旨のデータを含んだメッセージであってもよい。

・ロック状態では、診断対象装置４０Ａは、診断用データＤＤを含むすべてのデータについて、バス５０を介して受信しなくてもよい。この場合、例えば、図９に示す例のように、診断対象装置４０Ａは、第１のバス５０Ａとは別に別バス６０によって中継装置３０に接続していればよい。そして、中継装置３０は、別バス６０を介して監視結果ＭＲを送信すればよい。これによれば、中継装置３０は、不正なデータを受信する可能性がある第１のバス５０Ａとは別の別バス６０によって、監視結果ＭＲを送信する。そのため、仮に診断対象装置４０Ａが第１のバス５０Ａを介してデータを受信しないように制御されていたとしても、監視結果ＭＲを送信できる。

・診断ツール８０は、いわゆるダイアグツールであればよい。診断ツール８０における診断では、診断対象装置４０Ａから受信する応答データＲＰを取得するのみであってもよい。また、診断ツール８０における診断では、要求データＲＱに応じた制御を行った結果を示すデータを応答データＲＰとして受信して、応答データＲＰに基づいて何らかの判断処理を行ってもよい。つまり、診断ツール８０による診断の処理内容は問わない。

・上記実施形態の通信システム２０において、特開２０１６－０９６３７５号公報に記載されているような、メッセージ認証コードをさらに用いてもよい。これにより、不正アクセスをさらに抑制することができる。

＜中継装置について＞
・中継装置３０は、コンピュータプログラム（ソフトウェア）に従って各種処理を実行する１つ以上のプロセッサを含む回路（ｃｉｒｃｕｉｔｒｙ）として構成してもよい。なお、中継装置３０は、各種処理のうち少なくとも一部の処理を実行する、特定用途向け集積回路（ＡＳＩＣ）等の１つ以上の専用のハードウェア回路、又はそれらの組み合わせを含む回路として構成してもよい。プロセッサは、ＣＰＵ及び、ＲＡＭ並びにＲＯＭ等のメモリを含む。メモリは、処理をＣＰＵに実行させるように構成されたプログラムコード又は指令を格納している。メモリすなわちコンピュータ可読媒体は、汎用又は専用のコンピュータでアクセスできるあらゆる利用可能な媒体を含む。この点、制御装置４０についても同様である。

・中継装置３０は、通知信号ＮＳを送信しなくてもよい。この場合、診断対象装置４０Ａは、通知信号ＮＳの受信に依らずに、通信状態をアンロック状態にすればよい。
・上記実施形態において、中継装置３０は、バス５０を介して要求データＲＱを受信したとき、要求データＲＱの通信経路が正しくないと判定しているが、さらに条件を加えて、判定してもよい。この場合、中継装置３０は、バス５０を介して要求データＲＱを受信したことを条件の１つに、要求データＲＱの通信経路が正しくないと判定してもよい。

・中継装置３０は、要求データＲＱがバス５０を介したか否かに拘わらず、要求データＲＱの通信経路を判定してもよい。具体的には、中継装置３０は、要求データＲＱを受信したときに、診断ツール８０がポート３１に接続されていることのみを条件に、要求データＲＱの通信経路が正しいと判定してもよい。

・中継装置３０は、監視結果ＭＲを繰り返し送信しなくてもよい。例えば、中継装置３０は、１回の判定による判定結果ＪＲを含む監視結果ＭＲを１回のみ送信してもよい。
・上記実施形態では、中継装置３０は、診断用データＤＤのうち、要求データＲＱ及び応答データＲＰのいずれについても通信経路が正しいか否かを判定しているが、いずれかのデータのみについて判定をしてもよい。具体的には、中継装置３０は、ステップＳ２１において、要求データ判定用プログラム又は応答データ判定用プログラムを実行してもよい。そのため、中継装置３０は、応答データＲＰを用いて診断用データＤＤの通信経路が正しいか否かを判定しなくてもよい。また例えば、中継装置３０は、要求データＲＱを用いて診断用データＤＤの通信経路が正しいか否かを判定しなくてもよい。

＜診断対象装置について＞
・複数の制御装置４０のうち、診断対象となる装置は１つのみでもよい。
・診断対象装置４０Ａは、通知信号ＮＳに依らずに、ロック状態にしてから規定時間ＰＴ経過したことのみを条件に、通信状態をアンロック状態にしてもよい。この場合であっても、規定時間ＰＴだけ、通信状態がロック状態とされることで、不正アクセスを試みることが中断される。

・診断対象装置４０Ａは、規定時間ＰＴ経過したか否かに依らずに、通知信号ＮＳを受信したことのみを条件に、通信状態をアンロック状態にしてもよい。このように、診断対象装置４０Ａは、通知信号ＮＳによって、通信状態を変更してもよい。

・診断対象装置４０Ａは、診断用データＤＤの通信経路が正しくないことを示す判定結果ＪＲを含む監視結果ＭＲを受信したとき、通信状態をロック状態にしなくてもよい。例えば、診断対象装置４０Ａは、診断用データＤＤを受信はするものの、当該診断用データＤＤに基づいた制御をしなければよい。

＜関連する技術的思想＞
上記実施形態及び変更例から把握できる技術的思想について記載する。
＜１＞
診断ツールを接続するためのポートを有する中継装置と、前記中継装置とバスを介して接続している診断対象装置と、を備えており、
前記中継装置は、
前記診断ツールとの間で送受信される前記診断対象装置を診断するための診断用データを受信したとき、受信した前記診断用データの通信経路が正しいか否かを判定することと、
受信した前記診断用データの前記通信経路が正しいか否かの判定結果を含む監視結果を、前記診断対象装置へ送信することと、を実行可能である
通信システム。

＜２＞
前記中継装置は、前記診断用データとして、前記診断ツールから前記診断対象装置へと送信される特定データを、前記バスを介して受信したとき、受信した前記診断用データの前記通信経路が正しくないと判定する
＜１＞に記載の通信システム。

＜３＞
前記中継装置は、前記診断用データとして、前記診断ツールから前記診断対象装置へと送信される特定データを受信したとき、前記診断ツールが前記ポートに接続されていることを条件に、前記診断用データの前記通信経路は正しいと判定する
＜１＞又は＜２＞に記載の通信システム。

＜４＞
前記診断対象装置は、前記診断ツールから前記診断対象装置へと送信される特定データに応じて、前記診断ツールに対して応答データを出力すること、を実行可能であり、
前記中継装置は、前記診断用データとして、前記応答データを受信したとき、前記診断ツールが前記ポートに接続されていないことを条件に、前記診断用データの前記通信経路は正しくないと判定する
＜１＞～＜３＞のいずれか１つに記載の通信システム。

＜５＞
前記中継装置は、
受信した前記診断用データの前記通信経路が正しくないと判定したとき、受信した前記診断用データの前記通信経路が正しくないことを示す判定結果を含む前記監視結果を、予め定められた所定時間、前記診断対象装置へ繰り返し送信する
＜１＞～＜４＞のいずれか１つに記載の通信システム。

＜６＞
前記診断対象装置は、
前記診断用データの前記通信経路が正しくないことを示す前記判定結果を含む前記監視結果を受信したことを条件に、自身の通信状態を、少なくとも前記診断用データの通信ができないロック状態にする
＜１＞～＜５＞のいずれか１つに記載の通信システム。

＜７＞
前記診断対象装置は、
自身の前記通信状態を前記ロック状態にしてから予め定められた規定時間経過したことを条件に、自身の前記通信状態を、前記診断用データの通信が可能なアンロック状態にする
＜６＞に記載の通信システム。

＜８＞
前記中継装置は、前記ポートに前記診断ツールが接続されたとき、前記ポートに前記診断ツールが接続されたことを示す通知信号を前記診断対象装置へ送信することを、さらに実行可能であり、
前記診断対象装置は、
自身の前記通信状態が前記ロック状態のとき、前記通知信号を受信したこと、及び自身の前記通信状態を前記ロック状態にしてから前記規定時間経過したことを条件に、自身の前記通信状態を、前記アンロック状態にする
＜７＞に記載の通信システム。

＜９＞
前記診断対象装置は、前記バスに加えて、前記バスとは別の別バスで前記中継装置に接続しており、
前記診断対象装置は、前記ロック状態では、前記バスを介したデータの通信をしない状態とし、
前記中継装置は、前記別バスを介して前記監視結果を前記診断対象装置へ送信する
＜６＞～＜８＞のいずれか１つに記載の通信システム。

＜１０＞
前記診断対象装置を第１診断対象装置としたとき、
前記第１診断対象装置とは別の第２診断対象装置をさらに備え、
前記第２診断対象装置は、前記バスを介して前記中継装置と接続しており、
前記中継装置は、前記監視結果を前記第２診断対象装置へ送信する
＜１＞～＜９＞のいずれか１つに記載の通信システム。

１０…車両
２０…通信システム
３０…中継装置
３１…ポート
３２…実行ユニット
３３…記憶ユニット
４０…制御装置
４０Ａ…診断対象装置
４１，４１Ａ…実行ユニット
４２，４２Ａ…記憶ユニット
５０…バス
６０…別バス
８０…診断ツール

Claims (11)

1. 診断ツールを接続するためのポートを有する中継装置と、前記中継装置とバスを介して接続している診断対象装置と、を備えており、
   前記中継装置は、
   前記診断ツールとの間で送受信される前記診断対象装置を診断するための診断用データを受信したとき、受信した前記診断用データの通信経路が正しいか否かを判定することと、
   受信した前記診断用データの前記通信経路が正しいか否かの判定結果を含む監視結果を、前記診断対象装置へ送信することと、を実行可能である
   通信システム。
2. 前記中継装置は、前記診断用データとして、前記診断ツールから前記診断対象装置へと送信される特定データを、前記バスを介して受信したとき、受信した前記診断用データの前記通信経路が正しくないと判定する
   請求項１に記載の通信システム。
3. 前記中継装置は、前記診断用データとして、前記診断ツールから前記診断対象装置へと送信される特定データを受信したとき、前記診断ツールが前記ポートに接続されていることを条件に、前記診断用データの前記通信経路は正しいと判定する
   請求項１に記載の通信システム。
4. 前記診断対象装置は、前記診断ツールから前記診断対象装置へと送信される特定データに応じて、前記診断ツールに対して応答データを出力すること、を実行可能であり、
   前記中継装置は、前記診断用データとして、前記応答データを受信したとき、前記診断ツールが前記ポートに接続されていないことを条件に、前記診断用データの前記通信経路は正しくないと判定する
   請求項１に記載の通信システム。
5. 前記中継装置は、
   受信した前記診断用データの前記通信経路が正しくないと判定したとき、受信した前記診断用データの前記通信経路が正しくないことを示す前記判定結果を含む前記監視結果を、予め定められた所定時間、前記診断対象装置へ繰り返し送信する
   請求項１に記載の通信システム。
6. 前記診断対象装置は、
   前記診断用データの前記通信経路が正しくないことを示す前記判定結果を含む前記監視結果を受信したことを条件に、自身の通信状態を、少なくとも前記診断用データの通信ができないロック状態にする
   請求項１に記載の通信システム。
7. 前記診断対象装置は、
   自身の前記通信状態を前記ロック状態にしてから予め定められた規定時間経過したことを条件に、自身の前記通信状態を、前記診断用データの通信が可能なアンロック状態にする
   請求項６に記載の通信システム。
8. 前記中継装置は、前記ポートに前記診断ツールが接続されたとき、前記ポートに前記診断ツールが接続されたことを示す通知信号を前記診断対象装置へ送信することを、さらに実行可能であり、
   前記診断対象装置は、
   自身の前記通信状態が前記ロック状態のとき、前記通知信号を受信したこと、及び自身の前記通信状態を前記ロック状態にしてから前記規定時間経過したことを条件に、自身の前記通信状態を、前記アンロック状態にする
   請求項７に記載の通信システム。
9. 前記診断対象装置は、前記バスに加えて、前記バスとは別の別バスで前記中継装置に接続しており、
   前記診断対象装置は、前記ロック状態では、前記バスを介したデータの通信をしない状態とし、
   前記中継装置は、前記別バスを介して前記監視結果を前記診断対象装置へ送信する
   請求項６に記載の通信システム。
10. 前記診断対象装置を第１診断対象装置としたとき、
    前記第１診断対象装置とは別の第２診断対象装置をさらに備え、
    前記第２診断対象装置は、前記バスを介して前記中継装置と接続しており、
    前記中継装置は、前記監視結果を前記第２診断対象装置へ送信する
    請求項１に記載の通信システム。
11. 診断ツールを接続するためのポートを有している中継装置であって、
    前記診断ツールとの間で送受信される診断対象装置を診断するための診断用データを受信したとき、受信した前記診断用データの通信経路が正しいか否かを判定することと、
    受信した前記診断用データの前記通信経路が正しいか否かの判定結果を含む監視結果を、前記ポートとは別の通信用のバスを介して外部へ送信することと、を実行可能である
    中継装置。

Images