JP2022129417A

JP2022129417A - On-vehicle network system

Info

Publication number: JP2022129417A
Application number: JP2021028066A
Authority: JP
Inventors: 航平小野寺; Kohei Onodera
Original assignee: Hitachi Astemo Ltd
Current assignee: Hitachi Astemo Ltd
Priority date: 2021-02-25
Filing date: 2021-02-25
Publication date: 2022-09-06

Abstract

To provide an on-vehicle network system in which fault code information cannot be obtained by a fault diagnostic tool via a CAN bus in the event of an action such as cracking.SOLUTION: An on-vehicle network system comprises at least a transmission-side electronic control device 32b, and a reception-side electronic control device 32a that receives a message from the transmission-side electronic control device 32b via a CAN bus. When the reception-side electronic control device 32a detects that the received message has been tampered with by an illegal operation on the CAN bus, the reception-side electronic control device executes control to transfer none of fault code information stored in the reception-side electronic control device 32a to the CAN bus.SELECTED DRAWING: Figure 6

Description

本発明は複数の電子制御装置をＣＡＮ(Controller Area Network)バスで接続した車載ネットワークシステムに係り、特にセキュリティを向上した車載ネットワークシステムに関する。 The present invention relates to an in-vehicle network system in which a plurality of electronic control units are connected via a CAN (Controller Area Network) bus, and more particularly to an in-vehicle network system with improved security.

近年、自動車においては、制御機能を高めるために電子制御化が急速に広まり、更にこれを受けて、インターネットと接続する自動車のコネクティッド化が進んでいる。コネクティッド化によって、自動車の快適性や安全性の向上が実現され、自動車に搭載したセンサと内部の車載ネットワークシステムにより実現できる制御だけでなく、インターネットを介してクラウドと接続することにより、様々な情報サービスを受ける事が可能になる。 In recent years, in automobiles, the use of electronic control has rapidly spread in order to improve control functions, and in response to this, more and more automobiles are becoming connected to the Internet. Connectivity has improved the comfort and safety of automobiles.In addition to the control that can be realized by the sensors installed in automobiles and the internal in-vehicle network system, various functions can be realized by connecting to the cloud via the Internet. It becomes possible to receive information services.

しかしながら、このようにコネクティッド化が進むと、これに伴い自動車の車載ネットワークシステムが外部からの不正アクセスによるクラッキング（サイバー攻撃）を受けるリスクが高まる。尚、悪意がある攻撃者は、攻撃を実行に移す前に、攻撃対象となるソフトウェアコンポーネント（ソフトウェアの様々な機能を分割したソフトウェア部品）を特定する必要がある。 However, as connectivity advances in this way, the risk of cracking (cyberattack) due to unauthorized access from the outside to the in-vehicle network system of automobiles increases accordingly. It should be noted that malicious attackers need to identify software components (software parts into which various functions of software are divided) to be attacked before carrying out attacks.

このため攻撃者は、自動車の車載ネットワークシステムにクラッキングを行う場合、予めソフトウェアコンポーネントを特定し、攻撃パターンを決めてから攻撃を実行してくるものと推測される。そのための方法として、故意に異常を発生させ、これに応答して生じた故障コード情報を取得し、この故障コード情報からソフトウェアコンポーネントを特定してくることが考えられる。最近では車載ネットワークシステムにスマートフォンを接続して攻撃を行うことが確認されている。 For this reason, when an attacker attempts to crack an in-vehicle network system, it is presumed that he or she will identify the software components in advance, determine the attack pattern, and then carry out the attack. As a method for that purpose, it is conceivable to intentionally cause an abnormality, obtain fault code information generated in response to this, and identify the software component from this fault code information. Recently, it has been confirmed that attacks are carried out by connecting smartphones to in-vehicle network systems.

つまり攻撃者は、自動車の車載ネットワークシステムに総当たり攻撃を仕掛けてランダムなパケットを、車載ネットワークシステムを構成するＣＡＮバスに対して送信し、発生した故障コード情報をＣＡＮバスに接続した故障診断ツールを介して確認することができる。 In other words, the attacker launches a brute force attack on the in-vehicle network system of a vehicle, sends random packets to the CAN bus that constitutes the in-vehicle network system, and connects the generated fault code information to the CAN bus. can be confirmed via

故障コード情報は、例えばインターネットでいずれのソフトウェアコンポーネントの故障であるかを示す情報として取得することが可能なため、攻撃者に攻撃パターンを示唆する情報を与えてしまうことになる。 Since the fault code information can be obtained on the Internet, for example, as information indicating which software component is faulty, it gives an attacker information that suggests an attack pattern.

更に、ソフトウェアコンポーネントは、自動車メーカーが製造する多くの自動車に共通である場合が多く、攻撃パターンが特定された場合は、様々な自動車が大規模なクラッキングによるサイバー攻撃を受ける恐れがある。 In addition, software components are often common to many vehicles produced by automakers, and various vehicles may be subject to large-scale cracking cyberattacks if an attack pattern is identified.

このようなサイバー攻撃から自動車の車載ネットワークシステムを保護するには、例えば、特開２０１５－１１４９０７号公報(特許文献１)のような不正メッセージ防止技術が提案されている。 In order to protect an in-vehicle network system of a vehicle from such cyberattacks, for example, an unauthorized message prevention technique such as Japanese Patent Laid-Open No. 2015-114907 (Patent Document 1) has been proposed.

この特許文献１においては、ＣＡＮバスを介して複数のノード（ネットワーク装置）のうちの１つが、送信元ノードとして送信するメッセージに含まれるメッセージ認証用情報に基づいて認証を行い、認証が失敗した場合は、送信元ノードが複数のノードのうちの他のノードになりすまして不正データを送信したと判断し、メッセージを無効化するようにしている。 In this patent document 1, one of a plurality of nodes (network devices) performs authentication based on message authentication information included in a message transmitted as a source node via a CAN bus, and authentication fails. In this case, it is determined that the transmission source node pretended to be another node among the plurality of nodes and transmitted illegal data, and the message is invalidated.

特開２０１５－１１４９０７号公報JP 2015-114907 A

しかしながら、特許文献１に記載の不正メッセージ防止技術では、不正メッセージを検知して無効化することはできるが、故障コード情報を秘匿することはできない。つまり、攻撃者がソフトウェアコンポーネントを探索している段階においては、ＣＡＮバス上には、不正メッセージ検知確定故障コード情報や、これ以外の故障コード情報も存在するので、これらの故障コード情報を故障診断ツールで取得することが可能である。このため、特許文献１の不正メッセージ防止技術は、セキュリティの観点からまだ不十分である。 However, with the fraudulent message prevention technology described in Patent Literature 1, it is possible to detect and invalidate fraudulent messages, but it is not possible to conceal fault code information. In other words, at the stage when the attacker is searching for the software component, the CAN bus also contains the fraudulent message detection confirmed failure code information and other failure code information. It is possible to acquire it with a tool. Therefore, the fraudulent message prevention technology of Patent Document 1 is still insufficient from the security point of view.

本発明の目的は、クラッキングのような行為が発生した場合に、故障コード情報がＣＡＮバスを介して故障診断ツールで取得することができない車載ネットワークシステムを提供することにある。 SUMMARY OF THE INVENTION It is an object of the present invention to provide an in-vehicle network system in which fault code information cannot be obtained by a fault diagnosis tool via a CAN bus when an action such as cracking occurs.

本発明は、
少なくとも、送信側電子制御装置と、送信側電子制御装置からのメッセージを、ＣＡＮバスを介して受信する受信側電子制御装置からなる車載ネットワークシステムであって、受信側電子制御装置は、受信したメッセージがＣＡＮバス上で不正な操作によって不正メッセージに改竄されたことを検出すると、受信側電子制御装置に記憶されている全ての故障コード情報をＣＡＮバスに転送しない制御を実行する故障情報秘匿制御部を備えている
ことを特徴とするものである。 The present invention
An in-vehicle network system comprising at least a transmitting side electronic control device and a receiving side electronic control device that receives a message from the transmitting side electronic control device via a CAN bus, wherein the receiving side electronic control device receives the message has been altered into an unauthorized message by unauthorized operation on the CAN bus, the failure information secrecy control unit executes control not to transfer all the trouble code information stored in the receiving side electronic control unit to the CAN bus. It is characterized by comprising

本発明によれば、不正メッセージを検出すると、全ての故障コード情報がＣＡＮバスに転送されないので、故障診断ツールを接続しても故障コード情報を読み取ることはできず、ソフトウェアコンポーネントの特定を防ぐことができ、結果的に車載ネットワークシステムのセキュリティを向上することができる。 According to the present invention, when an unauthorized message is detected, all fault code information is not transferred to the CAN bus, so even if a fault diagnosis tool is connected, the fault code information cannot be read, preventing identification of the software component. As a result, the security of the in-vehicle network system can be improved.

本発明が適用される操舵制御装置の構成として、ステア・バイ・ワイヤ方式を例に示した構成図である。1 is a configuration diagram showing an example of a steer-by-wire system as a configuration of a steering control device to which the present invention is applied; FIG. 図１に示す操舵制御装置の電子制御部の構成を示す構成図である。2 is a configuration diagram showing the configuration of an electronic control unit of the steering control device shown in FIG. 1; FIG. 自動車の車載ネットワークシステムの一部の構成を示す構成図である。1 is a configuration diagram showing a configuration of part of an in-vehicle network system for a vehicle; FIG. 自動車の車載ネットワークシステムに故障診断ツールを接続した状態を示す構成図である。1 is a configuration diagram showing a state in which a fault diagnosis tool is connected to an in-vehicle network system of an automobile; FIG. 図４に示す電子制御装置の故障コード情報の流れを説明するための説明図である。FIG. 5 is an explanatory diagram for explaining the flow of fault code information of the electronic control unit shown in FIG. 4; メッセージ認証の仕組みを説明する説明図である。FIG. 4 is an explanatory diagram for explaining a mechanism of message authentication; 本発明の実施形態を説明するための制御フローであり、イグニッションスイッチがＯＦＦされるまでの制御フローを示すフローチャートである。It is a control flow for describing the embodiment of the present invention, and is a flow chart showing the control flow until an ignition switch is turned off. 本発明の実施形態を説明するための制御フローであり、イグニッションスイッチがＯＮされた後の制御フローを示すフローチャートである。It is a control flow for explaining the embodiment of the present invention, and is a flow chart showing the control flow after an ignition switch is turned on.

以下、本発明の実施形態について図面を用いて詳細に説明するが、本発明は以下の実施形態に限定されることなく、本発明の技術的な概念の中で種々の変形例や応用例をもその範囲に含むものである。 Hereinafter, embodiments of the present invention will be described in detail with reference to the drawings. However, the present invention is not limited to the following embodiments, and various modifications and applications can be made within the technical concept of the present invention. is also included in the scope.

以下、本発明の実施例を図面に基づき説明するが、本発明の具体的な実施形態を説明する前に、本発明が適用されるステア・バイ・ワイヤ方式の操舵制御装置の構成について説明する。尚、本発明は以下に説明する操舵制御装置に限定されるものではない。 Hereinafter, embodiments of the present invention will be described with reference to the drawings. Before describing specific embodiments of the present invention, the configuration of a steer-by-wire steering control apparatus to which the present invention is applied will be described. . It should be noted that the present invention is not limited to the steering control device described below.

先ず、ステアリングシャフトを操舵軸から切り離し、ステアリングシャフトの回動角や外乱トルク等を回転角センサや電流センサ等で検出し、これらの検出信号に基づいて操舵アクチュエータの動作量を制御して操舵軸を駆動する、ステア・バイ・ワイヤ方式の操舵制御装置について説明する。尚、操舵機構の構成は省略する。 First, the steering shaft is separated from the steering shaft, the rotation angle of the steering shaft, disturbance torque, etc. are detected by a rotation angle sensor, a current sensor, etc., and based on these detection signals, the amount of movement of the steering actuator is controlled to operate the steering shaft. A steering control device of a steer-by-wire system that drives the will be described. The configuration of the steering mechanism is omitted.

図１において、操舵輪１０はタイロッド１１によって操舵される構成となっており、このタイロッド１１は、操舵軸１７に連結されている。そして、ステアリングホイール１２はステアリングシャフト１３に連結されており、ステアリングシャフト１３には、必要に応じて操舵操作角センサ等を設けることができる。 In FIG. 1, the steered wheels 10 are steered by tie rods 11 , and the tie rods 11 are connected to a steering shaft 17 . The steering wheel 12 is connected to a steering shaft 13, and the steering shaft 13 can be provided with a steering operation angle sensor or the like as required.

ステアリングシャフト１３は、操舵機構１６の操舵軸(ラックバーということもある)１７に連携されておらず、ステアリングシャフト１３の先端には反力用電動モータ１８が設けられている。つまり、ステアリングシャフト１３は操舵機構１６と機械的に連結されていない構成とされ、結果的にステアリングシャフト１３と操舵機構１６とは分離される形態となっている。反力用電動モータ１８は操作制御装置１９によって駆動される。以下では、反力用電動モータ１８は反力モータ１８と記載する。 The steering shaft 13 is not linked to a steering shaft (also called a rack bar) 17 of the steering mechanism 16 , and an electric motor 18 for reaction force is provided at the tip of the steering shaft 13 . That is, the steering shaft 13 is not mechanically connected to the steering mechanism 16, and as a result, the steering shaft 13 and the steering mechanism 16 are separated. The reaction force electric motor 18 is driven by the operation control device 19 . The reaction force electric motor 18 is hereinafter referred to as the reaction force motor 18 .

反力モータ１８には、反力モータ回転角センサ１４が設けられており、反力モータ１８の回転角を検出している。操舵操作量センサは、反力モータ１８の回転角を検出するものであるが、ステアリングシャフトの操舵操作角を検出する操舵操作角センサであっても良く、また、これら以外のステアリングシャフト１３の回転を検出可能なセンサは、操舵操作量センサの範疇である。 The reaction motor 18 is provided with a reaction motor rotation angle sensor 14 to detect the rotation angle of the reaction motor 18 . The steering operation amount sensor detects the rotation angle of the reaction force motor 18, but may be a steering operation angle sensor that detects the steering operation angle of the steering shaft. A sensor capable of detecting is in the category of a steering operation amount sensor.

また、反力モータ１８には、電流センサ１５が設けられており、反力モータ１８のコイルに流れる電流を検出している。この電流は、例えば外乱トルクを推定する場合に使用される。 Further, the reaction motor 18 is provided with a current sensor 15 that detects the current flowing through the coil of the reaction motor 18 . This current is used, for example, when estimating the disturbance torque.

操舵軸１７を含む操舵機構１６には、操舵用電動モータ機構２１が設けられており、この操舵用電動モータ機構２１は操舵軸１７の操舵動作を制御する。尚、操舵アクチュエータとして電動モータを使用しているが、これ以外の形式の電動アクチュエータであっても良いことはいうまでもない。 A steering mechanism 16 including the steering shaft 17 is provided with a steering electric motor mechanism 21 , and the steering electric motor mechanism 21 controls the steering operation of the steering shaft 17 . Although an electric motor is used as the steering actuator, it goes without saying that other types of electric actuators may be used.

そして、ステアリングホイール１２の回転角を反力モータ１８の反力モータ回転角センサ１４によって検出し、また電流センサ１５によってコイルに流れる電流を検出し、これらの検出信号は電子制御装置１９に入力される。尚、操作制御装置１９には、これ以外に外部センサ２０から種々の検出信号が入力されている。 The rotation angle of the steering wheel 12 is detected by the reaction motor rotation angle sensor 14 of the reaction motor 18, and the current flowing through the coil is detected by the current sensor 15. These detection signals are input to the electronic control unit 19. be. In addition, various detection signals are input to the operation control device 19 from an external sensor 20 .

操作制御装置１９は、入力された回転角信号や電流信号に基づいて操舵用電動モータ機構２１の制御量を演算し、更には操舵用電動モータ機構２１を駆動する。尚、操舵用電動モータ機構２１の制御量は、回転角信号や電流信号以外のパラメータも使用することができる。 The operation control device 19 calculates a control amount for the steering electric motor mechanism 21 based on the input rotation angle signal and current signal, and further drives the steering electric motor mechanism 21 . Parameters other than the rotation angle signal and the current signal can be used as the control amount of the electric motor mechanism 21 for steering.

操舵用電動モータ機構２１の回転は、入力側プーリ(図示せず)からベルト(図示せず)を介して、操舵機構１６の出力側プーリ(図示せず)を回転させ、更に操舵ナット(図示せず)によって、操舵軸１６を軸方向にストローク動作して操舵輪１０を操舵する。これらについても、発明の本質ではないので説明は省略する。 Rotation of the steering electric motor mechanism 21 rotates an output side pulley (not shown) of the steering mechanism 16 via a belt (not shown) from an input side pulley (not shown), and further rotates a steering nut (not shown). (not shown) steers the steered wheels 10 by axially stroking the steering shaft 16 . Since these are also not the essence of the invention, the description thereof is omitted.

また、操作制御装置１９は、入力された回転角信号や電流信号に基づいて反力モータ１８の制御量を演算し、更に反力モータ１８を駆動する。尚、反力モータ１８の制御量は、回転角信号や電流信号以外のパラメータも使用することができる。 Further, the operation control device 19 calculates the control amount of the reaction force motor 18 based on the input rotation angle signal and current signal, and further drives the reaction force motor 18 . It should be noted that parameters other than the rotation angle signal and the current signal can be used as the control amount of the reaction force motor 18 .

操舵機構１６にはラック位置センサ２２が設けられており、このラック位置センサ２２は、操舵輪１０の実際の操舵量(操舵角)を検出して操舵量信号を出力する。ラック位置センサ２２は操舵軸１７の軸方向の移動量を検出している。操舵量センサとしては、操舵軸１７のストローク量を検出するラック位置センサ２２を示しているが、これ以外に操舵軸１７に操舵力を付与する操舵用電動モータに設けた回転角センサであっても良く、また、これら以外の操舵軸１７の位置(操舵量)を検出可能なセンサは、操舵量センサの範疇である。 A rack position sensor 22 is provided in the steering mechanism 16. The rack position sensor 22 detects the actual steering amount (steering angle) of the steered wheels 10 and outputs a steering amount signal. The rack position sensor 22 detects the amount of axial movement of the steering shaft 17 . As the steering amount sensor, the rack position sensor 22 for detecting the stroke amount of the steering shaft 17 is shown. Sensors other than these that can detect the position (steering amount) of the steering shaft 17 fall under the category of steering amount sensors.

次に図２は、反力モータ１８と操舵モータ３５を制御する操作制御装置１９の概略の構成を示している。尚、この操作制御装置１９は、反力アクチュエータコントローラと操舵アクチュエータコントローラの両方を示している。 Next, FIG. 2 shows a schematic configuration of the operation control device 19 that controls the reaction force motor 18 and the steering motor 35. As shown in FIG. The operation control device 19 represents both the reaction force actuator controller and the steering actuator controller.

ステアリングシャフト１３に接続された反力モータ１８には、反力モータ回転角センサ１４、及び電流センサ１５が設けられ、反力モータ１８は、ステアリングシャフト１３を介してステアリングホイール１２と機械的に接続されている。反力モータ回転角センサ１４は、反力モータ１８の回転角を検出するセンサであり、電流センサ１５は反力モータ１８のコイルに流れる電流を検出するセンサである。 A reaction motor 18 connected to the steering shaft 13 is provided with a reaction motor rotation angle sensor 14 and a current sensor 15. The reaction motor 18 is mechanically connected to the steering wheel 12 via the steering shaft 13. It is The reaction motor rotation angle sensor 14 is a sensor that detects the rotation angle of the reaction motor 18 , and the current sensor 15 is a sensor that detects the current flowing through the coil of the reaction motor 18 .

反力モータ１８は、操作制御装置１９によって制御されるモータドライバ２３を介して、ステアリングシャフト１３に操舵反力を付与する電動モータであり、反力モータ回転角センサ１４の入力を監視し、定められた操舵反力をステアリングシャフ１３に与えている。 The reaction force motor 18 is an electric motor that applies a steering reaction force to the steering shaft 13 via a motor driver 23 controlled by the operation control device 19. This steering reaction force is applied to the steering shaft 13 .

また、操作制御装置１９は、モータドライバ２４を介して操舵軸１７と機械的に接続された操舵モータ３５に、反力モータ回転角センサ１４や電流センサ１５等の検出信号に応じた駆動信号を与えている。 Further, the operation control device 19 sends a drive signal to a steering motor 35 mechanically connected to the steering shaft 17 via a motor driver 24 in accordance with detection signals from the reaction motor rotation angle sensor 14, the current sensor 15, and the like. giving.

操作制御装置１９には、反力モータ回転角センサ１４から回転角信号が与えられ、電流センサ１５から電流信号が与えられ、更には、車速センサ２５やヨーレートセンサ２６等の走行状態センサから、操舵に影響する車両の走行状態検出信号が与えられている。また、電子制御装置１９には、操舵軸１７を覆うハウジング３２の途中部分に取り付けられたラック位置センサ２２(図１参照)から、操舵軸１７の移動位置の検出信号が与えられている。 The operation control device 19 receives a rotation angle signal from the reaction motor rotation angle sensor 14, a current signal from the current sensor 15, and furthermore, from running state sensors such as the vehicle speed sensor 25 and the yaw rate sensor 26, the steering A running state detection signal of the vehicle affecting is given. Further, the electronic control unit 19 is supplied with a detection signal of the movement position of the steering shaft 17 from a rack position sensor 22 (see FIG. 1) attached in the middle of the housing 32 covering the steering shaft 17 .

ここで、ラック位置センサ２２は操舵軸１７の位置を検出するものであるが、操舵軸１７はタイロッド１１に直接的に接続されていることから、ラック位置センサ２２の検出値によって、操舵輪１０の操舵角を検出することが可能となる。このように、ラック位置センサ２２は、操舵輪１０の操舵角検出器として機能する。 Here, the rack position sensor 22 detects the position of the steering shaft 17. Since the steering shaft 17 is directly connected to the tie rod 11, the detected value of the rack position sensor 22 is used to detect the position of the steering wheel 10. steering angle can be detected. Thus, the rack position sensor 22 functions as a steering angle detector for the steered wheels 10 .

また、操作制御装置１９には、自動操舵システム(ＡＤＡＳシステム)２７からの外部操舵指令値が入力されている。外部操舵指令値は、自動操舵システム２７で演算された指令値であり、レーンキープ制御によって、車両が道路上の白線から逸脱した場合や障害物を回避する場合に、操舵機構１６によって操舵輪１０を操舵させるためのものである。 An external steering command value from an automatic steering system (ADAS system) 27 is input to the operation control device 19 . The external steering command value is a command value calculated by the automatic steering system 27. When the vehicle deviates from the white line on the road or avoids an obstacle, the steering mechanism 16 controls the steering wheel 10 by the lane keep control. to steer the

操作制御装置１９は、反力モータ回転角センサ１４、電流センサ１５、ラック位置センサ２２、走行状態センサ２５、２６、及び自動操舵システム２７から与えられる、回転角、電流、ラック位置、走行状態量の検出信号、及び外部操舵指令値等を、所定のサンプリング周期で取り込み、取り込まれた検出信号や外部操舵指令値を適宜組み合せて、操舵軸１７に加えるべき操舵量を求め、この操舵量を得るために操舵モータ３５に通電すべきコイル電流を算出し、この算出結果に応じた制御信号をモータドライバ２４に与えている。 The operation control device 19 detects the rotation angle, current, rack position, and running state quantity given from the reaction motor rotation angle sensor 14, the current sensor 15, the rack position sensor 22, the running state sensors 25 and 26, and the automatic steering system 27. and the external steering command value, etc. are taken in at a predetermined sampling period, and the steering amount to be applied to the steering shaft 17 is determined by appropriately combining the taken detection signal and the external steering command value, and this steering amount is obtained. For this purpose, the coil current to be applied to the steering motor 35 is calculated, and a control signal corresponding to the calculation result is given to the motor driver 24 .

同様に、操作制御装置１９は、回転角、電流、ラック位置、走行状態量の検出信号、及び外部操舵指令値等を適宜組み合せて、ステアリングホイール１２に加えるべき操舵反力を求め、この操舵反力を得るために反力モータ１８に通電すべきコイル電流を算出し、この算出結果に応じた制御信号をモータドライバ２３に与えている。 Similarly, the operation control device 19 obtains the steering reaction force to be applied to the steering wheel 12 by appropriately combining the rotation angle, the current, the rack position, the detection signal of the running state amount, the external steering command value, and the like. A coil current to be energized to the reaction force motor 18 to obtain force is calculated, and a control signal corresponding to the calculation result is given to the motor driver 23 .

次に、図１、図２に示す操作制御装置１９を含む自動車の車載ネットワークシステムの構成について簡単に説明する。図３は、操作制御装置１９を含む自動車制御システムの一態様を示す構成図である。 Next, a configuration of an in-vehicle network system for an automobile including the operation control device 19 shown in FIGS. 1 and 2 will be briefly described. FIG. 3 is a configuration diagram showing one aspect of an automobile control system including the operation control device 19. As shown in FIG.

自動車制御システム３０は、自動車などの車両３１に搭載されるシステムであり、車両制御装置である複数の電子制御措置（ＥＣＵ/Electronic Control Unit）３２ａ、３２ｂと、各ＥＣＵ３２ａ、３２ｂがそれぞれに制御するアクチュエータ３３ａ、３３ｂと、ＣＡＮ通信方式での通信線であるＣＡＮバス３４とを備えている。 The vehicle control system 30 is a system installed in a vehicle 31 such as an automobile, and is controlled by a plurality of ECUs (Electronic Control Units) 32a and 32b, which are vehicle control devices, and the respective ECUs 32a and 32b. It has actuators 33a and 33b and a CAN bus 34, which is a communication line in the CAN communication system.

尚、図３には、ＥＣＵとアクチュエータとの組み合わせを２組だけ記載してあるが、自動車制御システム３０は、３組以上の任意の組み合わせを備えることができ、また、１つのＥＣＵが複数のアクチュエータを制御することができる。 Although only two combinations of ECUs and actuators are shown in FIG. 3, the vehicle control system 30 can have any combination of three or more. Actuators can be controlled.

各ＥＣＵ３２ａ、３２ｂは、ＣＡＮバス３４に接続されて車載ネットワークシステムを構成し、ＥＣＵ３２ａとＥＣＵ３２ｂは、ＣＡＮバス３４を介して所定の第１通信速度（例えば、５００kbps）でデータ伝送を行う。例えば、アクチュエータ３３ａは、車両３１が備える操舵制御装置の電動モータであり、ＥＣＵ３２ａ（第１ノード）は、電動モータを駆動制御する操舵制御装置の操作制御装置１９である。 The ECUs 32a and 32b are connected to a CAN bus 34 to form an in-vehicle network system, and the ECUs 32a and 32b perform data transmission via the CAN bus 34 at a predetermined first communication speed (eg, 500 kbps). For example, the actuator 33a is an electric motor of a steering control device provided in the vehicle 31, and the ECU 32a (first node) is the operation control device 19 of the steering control device that drives and controls the electric motor.

また、例えば、アクチュエータ３３ｂは、内燃機関の燃料噴射弁であり、ＥＣＵ３２ｂ（第２ノード）は、燃料噴射弁を駆動制御するエンジン制御装置である。尚、本実施形態では、ＥＣＵ３２ａ（第１ノード）を本実施形態における「自ＥＣＵ」として定義して以下の説明を行う。 Further, for example, the actuator 33b is a fuel injection valve of the internal combustion engine, and the ECU 32b (second node) is an engine control device that drives and controls the fuel injection valve. In the present embodiment, the ECU 32a (first node) is defined as the "own ECU" in the present embodiment, and the following description will be given.

自ＥＣＵ３２ａは、ＭＣＵ（Micro Control Unit）３５、及びＣＡＮトランシーバ３６を備える。また、ＭＣＵ３５は、送信ポートＴＸ、及び受信ポートＲＸを備え、送信ポートＴＸ、及び受信ポートＲＸを介してＣＡＮトランシーバ３６（インターフェース）と接続され、ＣＡＮ通信を行う機能を有する。また、ＭＣＵ３５は、メモリ３８、及びＣＡＮコントローラ３９を備えている。 The own ECU 32 a includes an MCU (Micro Control Unit) 35 and a CAN transceiver 36 . The MCU 35 also has a transmission port TX and a reception port RX, is connected to a CAN transceiver 36 (interface) via the transmission port TX and the reception port RX, and has a function of performing CAN communication. The MCU 35 also has a memory 38 and a CAN controller 39 .

自ＥＣＵ３２ａには、ＥＥＰＲＯＭなどの電源バックアップされた外付けの書き換え可能な不揮発性メモリ３７が接続されている。尚、電源バックアップされた不揮発性メモリ３７の代わりにフラッシュＲＯＭを使用することもできる。 An external rewritable non-volatile memory 37 such as an EEPROM with power backup is connected to the own ECU 32a. A flash ROM can also be used instead of the nonvolatile memory 37 with power backup.

メモリ３８は、例えばアクチュエータ３３ａを駆動制御するためのプログラムである制御アプリケーションプログラム（換言すれば、ユーザプログラム乃至ファームウェア）を記憶する記憶手段である。また、ＣＡＮコントローラ３９は、ビットスタッフィング、通信調停、エラーハンドリング、ＣＲＣチェックなどのＣＡＮプロトコルの機能を実現する。 The memory 38 is storage means for storing a control application program (in other words, a user program or firmware) that is a program for driving and controlling the actuator 33a, for example. Also, the CAN controller 39 implements CAN protocol functions such as bit stuffing, communication arbitration, error handling, and CRC check.

次に故障診断ツールを接続した場合の構成について説明する。図３において、自ＥＣＵ３２ａは、ＭＣＵ３５ａとＣＡＮトランシーバ３６ａを備え、ＭＣＵ３５ａは送信ポートＴＸと受信ポートＲＸを備えてＣＡＮトランシーバ３６ａと接続されている。ＣＡＮトランシーバ３６ａは、送信ポートＴＸとＣＡＮバス３４の「Ｈｉｇｈ」側とを接続し、受信ポートＲＸとＣＡＮバス３４の「Ｌｏｗ」側とを接続して、ＣＡＮ通信を行う機能を有している。 Next, the configuration when a failure diagnosis tool is connected will be described. In FIG. 3, the own ECU 32a has an MCU 35a and a CAN transceiver 36a, and the MCU 35a has a transmission port TX and a reception port RX and is connected to the CAN transceiver 36a. The CAN transceiver 36a has a function of connecting the transmission port TX and the "High" side of the CAN bus 34 and connecting the reception port RX and the "Low" side of the CAN bus 34 to perform CAN communication. .

また、ＭＣＵ３５ａは、内部に揮発性メモリ４０ａ、不揮発性メモリ４１ａ、及びＣＡＮコントローラ３９ａを備えている。揮発性メモリ４０ａは、いわゆるＲＡＭであり「ＳＲＡＭ」、或いは「ＤＲＡＭ」を使用することができ、電源が落ちると記憶されたデータは消去される。また、不揮発性メモリ４１ａは、フラッシュＲＯＭであり、電源が落ちても記憶されたデータは消去されることはない。これらの揮発性メモリ４０ａ、不揮発性メモリ４１ａ、及びＣＡＮコントローラ３９は、１チップでＭＣＵ３５ａに作り込まれている。 The MCU 35a also internally includes a volatile memory 40a, a nonvolatile memory 41a, and a CAN controller 39a. The volatile memory 40a is a so-called RAM, and can use "SRAM" or "DRAM", and the stored data is erased when the power is turned off. The non-volatile memory 41a is a flash ROM, and the stored data will not be erased even if the power is turned off. These volatile memory 40a, nonvolatile memory 41a, and CAN controller 39 are built into the MCU 35a as one chip.

そして自ＥＣＵ３２ａは、故障診断プログラムによって種々の異常を検知した際に、その故障コード情報、及び自動車の現在の動作パラメータの値であるフリーズフレームデータ（Freeze frame data/ＦＦＤ情報）を揮発性メモリ４０ａに登録する機能を有する。フリーズフレームデータとは、例えば、「J-OBD2」で規定された機能の1つで、内燃機関や排ガス関係に影響を及ぼす故障が起こった際に、その瞬間の内燃機関の状況を記憶した数値である。自ＥＣＵ３２ａは、揮発性メモリ４０に登録した故障コード情報、及びＦＦＤ情報をイグニッションＯＦＦ時に、不揮発性メモリ４１に登録する機能を有している。 Then, when various abnormalities are detected by the fault diagnosis program, the own ECU 32a stores the fault code information and freeze frame data (FFD information), which are the values of the current operating parameters of the vehicle, in the volatile memory 40a. have the ability to register with Freeze frame data is, for example, one of the functions specified in "J-OBD2", and is a numerical value that memorizes the situation of the internal combustion engine at that moment when a failure that affects the internal combustion engine and exhaust gas occurs. is. The own ECU 32a has a function of registering the fault code information registered in the volatile memory 40 and the FFD information in the nonvolatile memory 41 when the ignition is turned off.

同様に、他のＥＣＵ３２ｂは、ＭＣＵ３５ｂとＣＡＮトランシーバ３６ｂを備え、ＭＣＵ３５ｂは送信ポートＴＸと受信ポートＲＸを備えてＣＡＮトランシーバ３６ｂと接続されている。ＣＡＮトランシーバ３６ｂは、送信ポートＴＸとＣＡＮバス３４の「Ｈｉｇｈ」側とを接続し、受信ポートＲＸとＣＡＮバス３４の「Ｌｏｗ」側とを接続して、ＣＡＮ通信を行う機能を有している。 Similarly, another ECU 32b has an MCU 35b and a CAN transceiver 36b, and the MCU 35b has a transmission port TX and a reception port RX and is connected to the CAN transceiver 36b. The CAN transceiver 36b has a function of connecting the transmission port TX and the "High" side of the CAN bus 34, connecting the reception port RX and the "Low" side of the CAN bus 34, and performing CAN communication. .

また、ＭＣＵ３５ｂは、内部に揮発性メモリ４０ｂ、不揮発性メモリ４１ｂ、及びＣＡＮコントローラ３９ｂを備えている。揮発性メモリ４０ｂは、いわゆるＲＡＭであり「ＳＲＡＭ」、或いは「ＤＲＡＭ」を使用することができ、電源が落ちると記憶されたデータは消去される。また、不揮発性メモリ４１ｂは、フラッシュＲＯＭであり、電源が落ちても記憶されたデータは消去されることはない。これらの揮発性メモリ４０ｂ、不揮発性メモリ４１ｂ、及びＣＡＮコントローラ３９ｂは、１チップでＭＣＵ３５ｂに作り込まれている。 The MCU 35b also internally includes a volatile memory 40b, a nonvolatile memory 41b, and a CAN controller 39b. The volatile memory 40b is a so-called RAM, and can use "SRAM" or "DRAM", and the stored data is erased when the power is turned off. The non-volatile memory 41b is a flash ROM, and stored data will not be erased even if the power is turned off. These volatile memory 40b, nonvolatile memory 41b, and CAN controller 39b are built into MCU 35b as one chip.

そして他のＥＣＵ３２ｂは、故障診断プログラムによって種々の異常を検知した際に、その故障コード情報、及びＦＦＤ情報を揮発性メモリ４０ｂに登録する機能を有している。他のＥＣＵ３２ｂは、揮発性メモリ４０ｂに登録した故障コード情報、及びＦＦＤ情報をイグニッションＯＦＦ時に、不揮発性メモリ４１ｂに登録する機能を有している。 The other ECU 32b has a function of registering fault code information and FFD information in the volatile memory 40b when various abnormalities are detected by the fault diagnosis program. The other ECU 32b has a function of registering the fault code information registered in the volatile memory 40b and the FFD information in the nonvolatile memory 41b when the ignition is turned off.

そして、自ＥＣＵ３２ａと他のＥＣＵ３２ｂは、ＣＡＮトランシーバ３６ａ、３６ｂを介してＣＡＮバス３４に接続されている。自ＥＣＵ３２aからの送信メッセージ、及び他のＥＣＵ３２ｂからの送信メッセージは、ＣＡＮバス３４に転送され、ＣＡＮバス３４を介して送信されることになる。 The own ECU 32a and the other ECU 32b are connected to the CAN bus 34 via CAN transceivers 36a and 36b. A transmission message from the own ECU 32a and a transmission message from the other ECU 32b are transferred to the CAN bus 34 and transmitted via the CAN bus 34. FIG.

更に、故障診断を行うときにＣＡＮバス３４には、故障診断ツール４２が接続される。故障診断ツール４２は、ＣＡＮバス３４を介して故障コード情報やＦＤＤを読み取ることができる。 Furthermore, a fault diagnosis tool 42 is connected to the CAN bus 34 when performing fault diagnosis. The fault diagnosis tool 42 can read fault code information and FDD via the CAN bus 34 .

次に、自ＥＣＵ３２ａにおける異常時の故障コード情報、及びＦＤＤ情報の流れについて、図５を用いて説明する。 Next, the flow of trouble code information and FDD information at the time of abnormality in own ECU 32a will be described with reference to FIG.

異常が発生すると、この異常に対応した故障コード情報、及びＦＤＤ情報が揮発性メモリ４０ａの所定領域に登録される。この揮発性メモリ４０ａの情報は電源が落ちると消去されるので、イグニッションスイッチがＯＦＦの時は、不揮発性メモリ４１ａの所定領域に退避されて登録される。 When an abnormality occurs, fault code information and FDD information corresponding to this abnormality are registered in a predetermined area of the volatile memory 40a. Since the information in the volatile memory 40a is erased when the power is turned off, it is saved and registered in a predetermined area of the nonvolatile memory 41a when the ignition switch is turned off.

一方、この不揮発性メモリ４１ａの情報を読み出すために、イグニッションスイッチがＯＮの時に、故障コード情報、及びＦＤＤ情報を揮発性メモリ４０ａに転送して所定の領域に登録する。このように、イグニッションのＯＮ、ＯＦＦに応じて故障コード情報、及びＦＤＤ情報は、揮発性メモリ４０ａ或いは不揮発性メモリ４１ａに登録される。 On the other hand, in order to read the information in the nonvolatile memory 41a, when the ignition switch is turned on, the fault code information and the FDD information are transferred to the volatile memory 40a and registered in a predetermined area. Thus, the fault code information and the FDD information are registered in the volatile memory 40a or the nonvolatile memory 41a depending on whether the ignition is ON or OFF.

そして、故障診断ツール４２がＣＡＮバス３４に接続され、自ＥＣＵ３２ａが故障診断ツール４２から送信されるサービスＩＤを受信すると、現時点で発生してる故障コード情報、ＦＦＤ情報を揮発性メモリ４０ａから読み出して、ＣＡＮバス３４を介して故障診断機ツール４２に送信する。 When the fault diagnosis tool 42 is connected to the CAN bus 34 and the own ECU 32a receives the service ID transmitted from the fault diagnosis tool 42, the fault code information and FFD information currently occurring are read out from the volatile memory 40a. , to the diagnostic tool 42 via the CAN bus 34 .

このように、ＣＡＮバス３４に故障診断機ツール４２が接続されると、自ＥＣＵ３２ａは、故障診断ツール４２から送信されるサービスＩＤを受信した場合には、現時点で揮発性メモリ４０ａに登録されている故障コード情報、及びＦＦＤ情報をＣＡＮバス３４に送信するので、故障診断ツール４２は、このＣＡＮバス３４を流れる故障コード情報、及びＦＦＤ情報を読み出せることになる。 In this way, when the fault diagnosis tool 42 is connected to the CAN bus 34, the own ECU 32a receives the service ID transmitted from the fault diagnosis tool 42, and receives the service ID currently registered in the volatile memory 40a. Since the existing fault code information and FFD information are transmitted to the CAN bus 34 , the fault diagnosis tool 42 can read the fault code information and FFD information flowing through this CAN bus 34 .

尚、不揮発性メモリ４１ａに登録されている故障コード情報、及びＦＦＤ情報は、ＣＡＮバス３４に送信されないので、故障診断ツール４２で読み出すことはできない。この不揮発性メモリ４１ａに登録されている故障コード情報、及びＦＦＤ情報は、自ＥＣＵ３２ａが起動された時に、不揮発性メモリ４１ａの故障コード情報、ＦＦＤ情報を揮発性メモリ４０ａに転送して登録される。 The fault code information and FFD information registered in the non-volatile memory 41a are not transmitted to the CAN bus 34, so they cannot be read by the fault diagnosis tool 42. FIG. The fault code information and FFD information registered in the nonvolatile memory 41a are registered by transferring the fault code information and FFD information in the nonvolatile memory 41a to the volatile memory 40a when the own ECU 32a is activated. .

したがって、故障診断ツール４２からサービスＩＤがＣＡＮバス３４を介して送信され、自ＥＣＵ３２ａが受信すると、揮発性メモリ４０ａに転送されて登録された故障コード情報、及びＦＦＤ情報をＣＡＮバス３４に送信することで、故障診断ツール４２は、このＣＡＮバス３４を流れる故障コード情報、及びＦＦＤ情報を読み出せることになる。 Therefore, when the service ID is transmitted from the fault diagnosis tool 42 via the CAN bus 34 and received by the own ECU 32a, the fault code information and the FFD information transferred and registered in the volatile memory 40a are transmitted to the CAN bus 34. Thus, the fault diagnosis tool 42 can read fault code information and FFD information flowing through the CAN bus 34 .

このため、悪意がある攻撃者は、自動車の車載ネットワークシステムにクラッキングを行う場合、故意に異常を発生させ、これに応答して生じた故障コード情報を取得し、この故障コード情報からソフトウェアコンポーネントを特定してくることが考えられる。したがって、クラッキングのような行為が発生した場合に、故障コード情報、及びＦＦＤ情報がＣＡＮバス３４を介して故障診断ツール４２で取得することができないようにすることが有効である。 For this reason, when a malicious attacker attempts to crack an automobile's in-vehicle network system, it intentionally causes an abnormality, acquires the fault code information generated in response to this, and uses the fault code information to extract software components. It is possible that it will be identified. Therefore, it is effective to prevent fault code information and FFD information from being obtained by the fault diagnosis tool 42 via the CAN bus 34 when an action such as cracking occurs.

次に、クラッキングのような行為が発生した場合に、故障コード情報、及びＦＦＤ情報がＣＡＮバス３４を介して故障診断ツール４２で取得することができないようにする方法について説明する。 Next, a method for preventing fault code information and FFD information from being acquired by the fault diagnosis tool 42 via the CAN bus 34 when an act such as cracking occurs will be described.

先ず、本実施形態では、メッセージ認証コード(Message Authentication Code:ＭＡＣ)を用いた不正メッセージ検出機能を利用して、不正メッセージの有無を判断する。図６は、不正メッセージ検出機能の考え方を示している。この場合は他のＥＣＵ３２ｂから自ＥＣＵ３２ａにメッセージを送信する場合を示している。 First, in this embodiment, the presence or absence of an unauthorized message is determined using an unauthorized message detection function using a message authentication code (MAC). FIG. 6 shows the concept of the fraudulent message detection function. This case shows a case where a message is transmitted from another ECU 32b to its own ECU 32a.

図６において、他のＥＣＵ３２ｂで生成された送信メッセージは、共通鍵とＭＡＣアルゴリズムによって送信ＭＡＣ値が生成される。この送信ＭＡＣ値は送信メッセージと組み合わされて、「組み合せ送信メッセージ」とされてＣＡＮバス３４に送信される。 In FIG. 6, for a transmission message generated by another ECU 32b, a transmission MAC value is generated by a common key and a MAC algorithm. This transmission MAC value is combined with the transmission message and transmitted to the CAN bus 34 as a "combined transmission message".

送信メッセージは、例えば、指示操舵角や舵角補償値等であるが、これら以外にも種々の情報を送ることができる。ＣＡＮバス３４上を流れる組み合せ送信メッセージは、ＣＡＮバス３４に接続された自ＥＣＵ３２ａで受信されるが、この時に組み合せ送信メッセージは、受信ＭＡＣ値と受信メッセージに分離される。 The transmission message is, for example, the instructed steering angle, the steering angle compensation value, etc., but it is also possible to transmit various information other than these. The combined transmission message flowing on the CAN bus 34 is received by its own ECU 32a connected to the CAN bus 34. At this time, the combined transmission message is separated into the received MAC value and the received message.

分離された受信メッセージ（＝送信メッセージ）は、共通鍵とＭＡＣアルゴリズムによって新たに生成ＭＡＣ値が生成される。ここで、他のＥＣＵ３２ｂと自ＥＣＵ３２ａの共通鍵とＭＡＣアルゴリズムは同じものである。したがって、受信ＭＡＣ値と生成ＭＡＣ値とが一致していれば、不正なメッセージではないと判断される。一方、受信ＭＡＣ値と生成ＭＡＣ値とが一致していなければ、ＣＡＮバス３４上で不正な操作がなされ、改竄された不正メッセージと判断される。 For the separated received message (=transmitted message), a new generated MAC value is generated by the common key and the MAC algorithm. Here, the common key and MAC algorithm of other ECU32b and own ECU32a are the same. Therefore, if the received MAC value and the generated MAC value match, it is determined that the message is not an unauthorized message. On the other hand, if the received MAC value and the generated MAC value do not match, it is determined that the message has been manipulated illegally on the CAN bus 34 and has been tampered with.

このように、送信メッセージが改竄された不正メッセージと判断されると、受信された受信メッセージは破棄される。また、この場合は外部から不正な操作（改竄）がなされているので、故障コード情報、及びＦＤＤ情報が、故障診断ツール４２で読み取れないようにする。このためには、故障コード情報、及びＦＤＤ情報がＣＡＮバス３４に送信できないようにする制御を実行する。具体的には、以下に示す制御フローによって、故障コード情報、及びＦＤＤ情報をＣＡＮバス３４に送信できないようにしている。 In this way, if the transmitted message is determined to be an unauthorized message that has been falsified, the received received message is discarded. Further, in this case, since unauthorized operation (tampering) has been performed from the outside, the fault code information and FDD information are prevented from being read by the fault diagnosis tool 42 . For this purpose, control is executed to prevent fault code information and FDD information from being transmitted to the CAN bus 34 . Specifically, the control flow shown below prevents the failure code information and the FDD information from being transmitted to the CAN bus 34 .

次に、その具体的な制御フローについて説明を加える。尚、この制御フローは自ＥＣＵ３２ａで実行されるものであるが、他のＥＣＵ３２ｂにおいても同様の制御フローが実行される。また、以下の制御フローは、請求項でいう「故障情報秘匿制御部」としての機能を表している。 Next, the specific control flow will be explained. Although this control flow is executed by the own ECU 32a, the same control flow is also executed by the other ECU 32b. Also, the following control flow represents the function of the "failure information secrecy control unit" referred to in the claims.

先ず、図７は車載ネットワークシステムが稼働状態で、イグニッションスイッチがＯＦＦされるまでの、電力が供給されている状態の制御フローを示しており、以下制御ステップ毎に説明する。 First, FIG. 7 shows a control flow in a state where the in-vehicle network system is in an operating state and power is being supplied until the ignition switch is turned off. Each control step will be described below.

≪ステップＳ１０≫
ステップＳ１０においては、図６に示すメッセージ認証コードＭＡＣを用いた不正メッセージの検出を実行する。上述したように、このステップでは送信メッセージが、不正な操作（以下、ＭＡＣ異常と表記する）がなされたかどうかが判断されており、不正な操作がなされていないと判断されるとステップＳ１１に移行し、不正な操作がなされていると判断されるとステップＳ１５に移行する。 <<Step S10>>
In step S10, an unauthorized message is detected using the message authentication code MAC shown in FIG. As described above, in this step, it is determined whether or not the transmitted message has been illegally manipulated (hereafter referred to as MAC abnormality). However, if it is determined that an unauthorized operation has been performed, the process proceeds to step S15.

≪ステップＳ１１≫
ステップＳ１０で、不正な操作がなされていないと判断されているので、以下では通常の処理が実行される。このステップでは、故障コードが存在するかどうかを判断している。故障コードが存在していると判断されるとステップＳ１２に移行し、故障コードが存在していないと判断されるとステップＳ１３に移行する。 <<Step S11>>
Since it is determined in step S10 that no unauthorized operation has been performed, normal processing is executed below. This step determines if a fault code exists. If it is determined that a fault code exists, the process proceeds to step S12, and if it is determined that no fault code exists, the process proceeds to step S13.

≪ステップＳ１２≫
ステップＳ１０で、故障コードが存在していると判断されているので、揮発性メモリ４０ａの正規領域に、全ての故障コード情報、及びＦＦＤ情報を保存する。この揮発性メモリ４０ａの正規領域は、故障診断機ツール４２が接続されたときに、故障診断機ツール４２で読取り可能な領域として指定されている。 <<Step S12>>
Since it is determined in step S10 that a fault code exists, all fault code information and FFD information are stored in the regular area of the volatile memory 40a. This normal area of the volatile memory 40a is designated as a readable area by the fault diagnostic tool 42 when the fault diagnostic tool 42 is connected.

したがって、例えば、正規のディーラーで故障診断機ツール４２を接続した場合は、全ての故障コード情報、及びＦＦＤ情報を読み出すことができる。ステップＳ１２で、全ての故障コード情報、及びＦＦＤ情報を揮発性メモリ４０ａの正規領域に保存すると、ステップＳ１３に移行する。 Therefore, for example, when the fault diagnosis tool 42 is connected at an authorized dealer, all fault code information and FFD information can be read. After all the fault code information and FFD information are stored in the normal area of the volatile memory 40a in step S12, the process proceeds to step S13.

≪ステップＳ１３≫
ステップ１１で故障コードが存在しないと判断されている場合、或いは全ての故障コード情報、及びＦＦＤ情報を揮発性メモリ４０ａの正規領域に保存されている場合、このステップＳ１３では、イグニッションスイッチがＯＦＦされたかどうかが判断される。イグニッションスイッチがＯＦＦされていないと判断されると、終了に抜けて次の起動タイミングまで待機する。一方、イグニッションスイッチがＯＦＦされたと判断すると、ステップＳ１４に移行する。 <<Step S13>>
If it is determined in step S11 that no fault code exists, or if all fault code information and FFD information are stored in the regular area of the volatile memory 40a, the ignition switch is turned off in step S13. It is determined whether or not If it is determined that the ignition switch has not been turned off, the process exits and waits until the next activation timing. On the other hand, if it is determined that the ignition switch has been turned off, the process proceeds to step S14.

≪ステップＳ１４≫
ステップＳ１３でイグニッションスイッチがＯＦＦされたと判断されたので、このステップＳ１４では、不揮発性メモリ４１ａの正規領域に、全ての故障コード情報、及びＦＦＤ情報を転送して保存する。 <<Step S14>>
Since it is determined in step S13 that the ignition switch has been turned off, in step S14, all the fault code information and FFD information are transferred and stored in the regular area of the nonvolatile memory 41a.

イグニッションスイッチがＯＦＦされた後に電源がシャットダウンされると、揮発性メモリ４０ａに保存された故障コード情報、及びＦＦＤ情報が消去される。このため、ステップＳ１４では、電源がシャットダウンされるまでの時間を利用して、揮発性メモリ４０ａの正規領域に記憶された、全ての故障コード情報、及びＦＦＤ情報を不揮発性メモリ４１ａの正規領域に転送して記憶させている。 When the power is shut down after the ignition switch is turned off, the fault code information and FFD information stored in the volatile memory 40a are erased. Therefore, in step S14, all the fault code information and FFD information stored in the normal area of the volatile memory 40a are transferred to the normal area of the nonvolatile memory 41a using the time until the power is shut down. transferred and stored.

これによって、全ての故障コード情報、及びＦＦＤ情報を、後で利用することができる。イグニッションスイッチがＯＦＦされると、車載ネットワークシステムは稼働を停止するので、終了に抜けて次の車載ネットワークシステムの立ち上げまで待機することになる。 This allows all fault code information and FFD information to be available later. When the ignition switch is turned off, the in-vehicle network system stops operating, so the process ends and waits until the next in-vehicle network system starts up.

≪ステップＳ１５≫
ステップ１０に戻って、不正な操作がなされていると判断されると、ステップＳ１５では、ＭＡＣ異常カウンタの計数値（Ｅｎ）をインクリメント（＋１）する。このステップＳ１５では、不正な操作が意図的に行われていることを確認するために、ＭＡＣ異常の回数を計数している。ＭＡＣ異常カウンタによる計数値（Ｅｎ）をインクリメントすると、ステップＳ１６に移行する。 <<Step S15>>
Returning to step 10, if it is determined that an unauthorized operation has been performed, the count value (En) of the MAC error counter is incremented (+1) in step S15. In this step S15, the number of MAC abnormalities is counted in order to confirm that an unauthorized operation has been intentionally performed. When the count value (En) by the MAC abnormality counter is incremented, the process proceeds to step S16.

≪ステップＳ１６≫
ステップＳ１６においては、ＭＡＣ異常カウンタの計数値（Ｅｎ）が、所定の異常確定閾値（Ｅｓｈ）を超えたかどうかを判断している。つまり、このステップＳ１６で、不正な操作が行われているかどうかを判断している。 <<Step S16>>
In step S16, it is determined whether or not the count value (En) of the MAC anomaly counter exceeds a predetermined anomaly determination threshold (Esh). That is, in step S16, it is determined whether or not an unauthorized operation has been performed.

ＭＡＣ異常カウンタの計数値（Ｅｎ）が、異常確定閾値（Ｅｓｈ）を超えないと、まだ不正な操作が行われているとは判断せず、終了に抜けて次の起動タイミングまで待機する。一方、ＭＡＣ異常カウンタの計数値（Ｅｎ）が、異常確定閾値（Ｅｓｈ）を超えると、不正な操作が行われていると判断してステップＳ１７に移行する。本実施形態では、異常確定閾値（Ｅｓｈ）は、「３～５」の値に設定されているが、この値は任意である。 If the count value (En) of the MAC anomaly counter does not exceed the anomaly determination threshold (Esh), it is not determined that an unauthorized operation is still being performed, and exits to end and waits until the next activation timing. On the other hand, when the count value (En) of the MAC abnormality counter exceeds the abnormality determination threshold value (Esh), it is determined that an unauthorized operation has been performed, and the process proceeds to step S17. In this embodiment, the abnormality confirmation threshold (Esh) is set to a value between "3 and 5", but this value is arbitrary.

≪ステップＳ１７≫
ステップＳ１６で不正な操作が行われていると判断されているので、ステップＳ１７では、この異常情報をテレマティクス通信でクラウドサーバに送信する。このクラウドサーバは、完成車メーカー等が運営するテレマティクスセンターであり、ここの管理者等は、この送信結果からサイバー攻撃を受けたことを把握することができる。これによって、種々の対策を講じることができるようになる。異常情報をテレマティクス通信でクラウドサーバに送信すると、ステップＳ１８に移行する。 <<Step S17>>
Since it is determined in step S16 that an unauthorized operation has been performed, in step S17, this abnormality information is transmitted to the cloud server by telematics communication. This cloud server is a telematics center operated by a vehicle manufacturer or the like, and the administrator or the like there can grasp that a cyberattack has been received from this transmission result. This allows various countermeasures to be taken. After transmitting the abnormality information to the cloud server by telematics communication, the process proceeds to step S18.

≪ステップＳ１８≫
ステップ１６、ステップＳ１７の処理によって、ＭＡＣ異常が発生したと判断されているので、このステップＳ１８では、このＭＡＣ異常に対応した防御を実行する。 <<Step S18>>
Since it is determined by the processing of steps 16 and S17 that a MAC anomaly has occurred, defense against this MAC anomaly is executed in step S18.

ステップＳ１６で、ＭＡＣ異常が発生していると判断されているので、揮発性メモリ４０ａの秘匿領域に、全ての故障コード情報、及びＦＦＤ情報を保存する。この揮発性メモリ４０ａの秘匿領域は、揮発性メモリ４０ａの正規領域とは異なり、故障診断機ツール４２が接続されたときに、故障診断機ツール４２で読み取りができない領域として指定されている。 Since it is determined in step S16 that a MAC abnormality has occurred, all the fault code information and FFD information are saved in the secret area of the volatile memory 40a. Unlike the regular area of the volatile memory 40a, the hidden area of the volatile memory 40a is specified as an area that cannot be read by the trouble diagnosis tool 42 when the trouble diagnosis tool 42 is connected.

したがって、例えば、悪意の攻撃者が故障診断機ツール４２を接続した場合は、全ての故障コード情報、及びＦＦＤ情報は秘匿領域に保存されているので、全ての故障コード情報、及びＦＦＤ情報を読み出すことができない。ステップＳ１８で、全ての故障コード情報、及びＦＦＤ情報を揮発性メモリ４０ａの秘匿領域に保存すると、ステップＳ１９に移行する。 Therefore, for example, when a malicious attacker connects the fault diagnosis tool 42, all the fault code information and FFD information are saved in the secret area, so all the fault code information and FFD information are read. I can't. After all the fault code information and FFD information are stored in the secret area of the volatile memory 40a in step S18, the process proceeds to step S19.

≪ステップＳ１９≫
ステップ１８で全ての故障コード情報、及びＦＦＤ情報を揮発性メモリ４０ａの秘匿領域に保存すると、このステップＳ１９では、イグニッションスイッチがＯＦＦされたかどうかが判断される。イグニッションスイッチがＯＦＦされていないと判断されると、終了に抜けて次の起動タイミングまで待機する。一方、イグニッションスイッチがＯＦＦされたと判断すると、ステップＳ２０に移行する。 <<Step S19>>
After storing all the fault code information and FFD information in the secret area of the volatile memory 40a in step S18, it is determined in step S19 whether the ignition switch is turned off. If it is determined that the ignition switch has not been turned off, the process exits and waits until the next activation timing. On the other hand, if it is determined that the ignition switch has been turned off, the process proceeds to step S20.

≪ステップＳ２０≫
ステップＳ１９でイグニッションスイッチがＯＦＦされたと判断されたので、このステップＳ２０では、不揮発性メモリ４１ａの秘匿領域に、全ての故障コード情報、及びＦＦＤ情報を移動して保存する。 <<Step S20>>
Since it is determined in step S19 that the ignition switch has been turned off, in step S20, all the fault code information and FFD information are moved and stored in the secret area of the nonvolatile memory 41a.

イグニッションスイッチがＯＦＦされた後に電源がシャットダウンされると、揮発性メモリ４０ａに保存された故障コード情報、及びＦＦＤ情報が消去される。このため、ステップＳ２０では、電源がシャットダウンされるまでの時間を利用して、揮発性メモリ４０ａの秘匿領域に記憶された、全ての故障コード情報、及びＦＦＤ情報を不揮発性メモリ４１ａの秘匿領域に転送して記憶させている。 When the power is shut down after the ignition switch is turned off, the fault code information and FFD information stored in the volatile memory 40a are erased. Therefore, in step S20, all the fault code information and FFD information stored in the secret area of the volatile memory 40a are stored in the secret area of the nonvolatile memory 41a using the time until the power is shut down. transferred and stored.

そして、全ての故障コード情報、及びＦＦＤ情報を不揮発性メモリ４１ａの秘匿領域に移動すると、ステップＳ２１に移行する。 After moving all the fault code information and FFD information to the secret area of the nonvolatile memory 41a, the process proceeds to step S21.

≪ステップＳ２１≫
ステップＳ２１では、電源がシャットダウンされるまでの時間を利用して、次の車載ネットワークシステムの稼働に備えて、ＭＡＣ異常フラグを設定している。このＭＡＣ異常フラグは、次の車載ネットワークシステムの立ち上げに際して、ＭＡＣ異常が発生していたことを確認するために設定されている。ここで、ＭＡＣ異常フラグの設定は、ステップＳ１６とステップＳ１７の間で実行しても良い。 <<Step S21>>
In step S21, the time until the power is shut down is used to set the MAC abnormality flag in preparation for the next operation of the in-vehicle network system. This MAC anomaly flag is set to confirm that an MAC anomaly has occurred when the vehicle-mounted network system is next started up. Here, the setting of the MAC abnormality flag may be executed between step S16 and step S17.

このＭＡＣ異常フラグによって、不揮発性メモリ４１ａに保存された全ての故障コード情報、及びＦＦＤ情報を、揮発性メモリ４０ａの正規領域か秘匿領域のどちらに転送するかの判断ができる。電源がシャットダウンされると、車載ネットワークシステムは稼働を停止するので、終了に抜けて次の車載ネットワークシステムの立ち上げまで待機することになる。 With this MAC abnormality flag, it is possible to determine whether all the fault code information and FFD information stored in the nonvolatile memory 41a should be transferred to the normal area or the secret area of the volatile memory 40a. When the power supply is shut down, the in-vehicle network system stops operating, so it exits to the end and waits until the next in-vehicle network system is started up.

以上が、イグニッションスイッチがＯＦＦされるまでの制御フローである。次に、イグニッションスイッチがＯＮされた後の制御フローを、図８に基づき制御ステップ毎に説明する。尚、以下ではアクセサリスイッチが投入されて、車載ネットワークシステムの立ち上がりが完了した状態での制御フローである。 The above is the control flow until the ignition switch is turned off. Next, the control flow after the ignition switch is turned on will be described for each control step with reference to FIG. In the following, the control flow is in a state where the accessory switch is turned on and the in-vehicle network system has started up.

≪ステップＳ３０≫
ステップＳ３０では、転送フラグの設定がされているかどうかの判断を実行する。転送フラグは、後述のステップＳ３５で設定されており、不揮発性メモリ４１ａから揮発性メモリ４０ａに、故障コード情報、及びＦＦＤ情報が転送されると設定されるものである。 <<Step S30>>
In step S30, it is determined whether or not the transfer flag is set. The transfer flag is set in step S35, which will be described later, and is set when the fault code information and the FFD information are transferred from the nonvolatile memory 41a to the volatile memory 40a.

したがって、転送フラグが設定されていると、通常の動作を行うために終了に抜けて次の起動タイミングまで待機する。一方、転送フラグが設定されていないと、不揮発性メモリ４１ａから揮発性メモリ４０ａに故障コード情報、及びＦＦＤ情報を転送するためにステップ３１に移行する。 Therefore, if the transfer flag is set, the process ends and waits until the next activation timing in order to perform normal operation. On the other hand, if the transfer flag is not set, the process proceeds to step 31 to transfer the fault code information and FFD information from the nonvolatile memory 41a to the volatile memory 40a.

≪ステップＳ３１≫
ステップＳ３１においては、イグニッションスイッチがＯＮかどうかの判断が行われる。このステップＳ３１の判断で、イグニッションスイッチがＯＮでない場合は、終了に抜けて次の起動タイミングまで待機する。一方、イグニッションスイッチがＯＮされたと判断すると、ステップＳ３２に移行する。 <<Step S31>>
In step S31, it is determined whether the ignition switch is ON. If it is determined in step S31 that the ignition switch is not ON, the process exits and waits until the next activation timing. On the other hand, if it is determined that the ignition switch has been turned on, the process proceeds to step S32.

≪ステップＳ３２≫
ステップＳ３１でイグニッションスイッチがＯＮと判断されると、このステップＳ３２においては、ＭＡＣ異常フラグが設定されているかどうかを判断する。ＭＡＣ異常フラグは、図７に示すステップＳ２１で設定されている。そして、ＭＡＣ異常フラグが設定されていない判断されると、ステップＳ３３に移行するする。一方、ＭＡＣ異常フラグが設定されている判断されると、ステップＳ３４に移行する。 <<Step S32>>
When it is determined that the ignition switch is ON in step S31, it is determined in step S32 whether or not the MAC abnormality flag is set. The MAC abnormality flag is set in step S21 shown in FIG. Then, when it is determined that the MAC abnormality flag is not set, the process proceeds to step S33. On the other hand, if it is determined that the MAC abnormality flag is set, the process proceeds to step S34.

≪ステップＳ３３≫
ステップＳ３２で、ＭＡＣ異常フラグが設定されていない判断されているので、ステップＳ３３では、不揮発性メモリ４１ａの正規領域から揮発性メモリ４０ａの正規領域に、全ての故障コード情報、及びＦＦＤ情報を転送して保存する。上述したように、この揮発性メモリ４０ａの正規領域は、故障診断機ツール４２が接続されたときに、故障診断機ツール４２で読取り可能な領域として指定されている。 <<Step S33>>
Since it is determined in step S32 that the MAC abnormality flag is not set, in step S33, all the fault code information and FFD information are transferred from the normal area of the nonvolatile memory 41a to the normal area of the volatile memory 40a. and save. As described above, this normal area of volatile memory 40a is designated as an area readable by fault diagnostic tool 42 when fault diagnostic tool 42 is connected.

したがって、正規のディーラーで故障診断機ツール４２を接続した場合は、全ての故障コード情報、及びＦＦＤ情報を読み出すことができる。ステップＳ３３で、全ての故障コード情報、及びＦＦＤ情報を揮発性メモリ４０ａの正規領域に保存すると、ステップＳ３５に移行する。 Therefore, when the fault diagnosis tool 42 is connected at an authorized dealer, all fault code information and FFD information can be read. After all the fault code information and FFD information are stored in the regular area of the volatile memory 40a in step S33, the process proceeds to step S35.

≪ステップＳ３４≫
ステップＳ３２で、ＭＡＣ異常フラグが設定されていると判断されているので、ステップＳ３４では、不揮発性メモリ４１ａの秘匿領域から揮発性メモリ４０ａの秘匿領域に、全ての故障コード情報、及びＦＦＤ情報を転送して保存する。上述したように、揮発性メモリ４０ａの秘匿領域は、揮発性メモリ４０ａの正規領域とは異なり、故障診断機ツール４２が接続されたときに、故障診断機ツール４２で読み取りができない領域として指定されている。 <<Step S34>>
Since it is determined in step S32 that the MAC abnormality flag is set, in step S34, all the fault code information and FFD information are transferred from the secret area of the nonvolatile memory 41a to the secret area of the volatile memory 40a. Transfer and save. As described above, unlike the normal area of the volatile memory 40a, the hidden area of the volatile memory 40a is specified as an area that cannot be read by the fault diagnostic tool 42 when the fault diagnostic tool 42 is connected. ing.

したがって、悪意の攻撃者が故障診断機ツール４２を接続した場合は、全ての故障コード情報、及びＦＦＤ情報は秘匿領域に保存されているので、全ての故障コード情報、及びＦＦＤ情報を読み出すことができない。 Therefore, if a malicious attacker connects the fault diagnosis tool 42, all the fault code information and the FFD information are stored in the secret area, so all the fault code information and the FFD information can be read. Can not.

ステップＳ３４で、全ての故障コード情報、及びＦＦＤ情報を揮発性メモリ４０ａの秘匿領域に保存すると、ステップＳ３５に移行する。 After all the fault code information and FFD information are stored in the secret area of the volatile memory 40a in step S34, the process proceeds to step S35.

≪ステップＳ３５≫
ステップＳ３５においては、ステップＳ３３、ステップＳ３４で、不揮発性メモリ４１ａから揮発性メモリ４０ａに故障コード情報、及びＦＦＤ情報が転送されているので、転送フラグを設定する。 <<Step S35>>
In step S35, since the fault code information and FFD information have been transferred from the nonvolatile memory 41a to the volatile memory 40a in steps S33 and S34, a transfer flag is set.

この転送フラグは、ステップＳ３０の判断で使用されるもので、通常の動作を継続する場合と、不揮発性メモリ４１ａから揮発性メモリ４０ａに故障コード情報、及びＦＦＤ情報を転送する場合を切り分けている。 This transfer flag is used for determination in step S30, and distinguishes between the case of continuing the normal operation and the case of transferring the fault code information and the FFD information from the nonvolatile memory 41a to the volatile memory 40a. .

ステップＳ３５で、転送フラグが設定されると、終了に抜けて次の起動タイミングまで待機する。 In step S35, when the transfer flag is set, the process exits and waits until the next activation timing.

ここで、ステップＳ３４で、不揮発性メモリ４１ａの秘匿領域からから故障コード情報、及びＦＦＤ情報を揮発性メモリ４０ａの秘匿領域に転送しているが、必要に応じて揮発性メモリ４０ａの秘匿領域から揮発性メモリ４０ａの正規領域に転送して保存することもできる。これによって、故障診断ツール４２で読み取ることが可能となる。 Here, in step S34, the failure code information and the FFD information are transferred from the secret area of the nonvolatile memory 41a to the secret area of the volatile memory 40a. It can also be transferred and stored in the regular area of the volatile memory 40a. This allows it to be read by the fault diagnosis tool 42 .

上述したような構成としたことによって、ソフトウェアコンポーネントの特定を防ぐことができる。また、悪意のある攻撃者に攻撃パターンを示唆する情報を与えることを防ぐことができる。更に、ソフトウェアコンポーネントの特定を防ぐことにより、多くの自動車が大規模の攻撃を受けるリスクを低減することができる。更に、不正な操作がなされた際に、テレマティクスセンターの管理者等がサイバー攻撃を受けた事を認識できるので、これに対する種々の対策を講じることができる。 With the configuration as described above, identification of the software component can be prevented. Also, it is possible to prevent a malicious attacker from being given information that suggests an attack pattern. Furthermore, preventing the identification of software components can reduce the risk of large-scale attacks on many vehicles. Furthermore, when an unauthorized operation is performed, the telematics center administrator or the like can recognize that the cyberattack has occurred, so that various countermeasures can be taken.

以上述べた通り、本発明は、少なくとも、送信側電子制御装置と、送信側電子制御装置からのメッセージを、ＣＡＮバスを介して受信する受信側電子制御装置からなる車載ネットワークシステムであって、受信側電子制御装置は、受信したメッセージがＣＡＮバス上で不正な操作によって不正メッセージに改竄されたことを検出すると、受信側電子制御装置に記憶されている全ての故障コード情報をＣＡＮバスに転送しない制御を実行する故障情報秘匿制御部を備えている。 As described above, the present invention provides an in-vehicle network system comprising at least a transmitting side electronic control device and a receiving side electronic control device that receives a message from the transmitting side electronic control device via a CAN bus. When the side electronic control unit detects that the received message has been altered into an illegal message by illegal operation on the CAN bus, it does not transfer all fault code information stored in the receiving side electronic control unit to the CAN bus. It has a failure information secrecy control section that executes control.

これによれば、不正メッセージを検出すると、全ての故障コード情報がＣＡＮバスに転送されないので、故障診断ツールを接続しても故障コード情報を読み取ることはできず、ソフトウェアコンポーネントの特定を防ぐことができ、結果的に車載ネットワークシステムのセキュリティを向上することができる。 According to this, when an illegal message is detected, all the fault code information is not transferred to the CAN bus, so even if a fault diagnosis tool is connected, the fault code information cannot be read, preventing identification of the software component. As a result, the security of the in-vehicle network system can be improved.

尚、本発明は上記したいくつかの実施例に限定されるものではなく、様々な変形例が含まれる。上記の実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、ある実施例の構成に他の実施例の構成を加えることも可能である。各実施例の構成について、他の構成の追加、削除、置換をすることも可能である。 It should be noted that the present invention is not limited to the above-described embodiments, and includes various modifications. The above embodiments have been described in detail for easy understanding of the present invention, and are not necessarily limited to those having all the described configurations. Moreover, it is possible to replace a part of the configuration of one embodiment with the configuration of another embodiment, and it is also possible to add the configuration of another embodiment to the configuration of one embodiment. Other configurations can be added, deleted, or replaced with respect to the configuration of each embodiment.

３２ａ…自ＥＣＵ、３４…ＣＡＮバス、３５ａ…ＭＣＵ、３６ａ…ＣＡＮトランシーバ、３９ａ…ＣＡＮコントローラ、４０ａ…揮発性メモリ、４１ａ…不揮発性メモリ、３２ｂ…他のＥＣＵ、３５ｂ…ＭＣＵ、３６ｂ…ＣＡＮトランシーバ、３９ｂ…ＣＡＮコントローラ、４０ｂ…揮発性メモリ、４１ｂ…不揮発性メモリ、４２…故障診断ツール。 32a... Own ECU 34... CAN bus 35a... MCU 36a... CAN transceiver 39a... CAN controller 40a... Volatile memory 41a... Non-volatile memory 32b... Other ECU 35b... MCU 36b... CAN transceiver , 39b... CAN controller, 40b... Volatile memory, 41b... Non-volatile memory, 42... Trouble diagnosis tool.

Claims

An in-vehicle network system comprising at least a transmitting electronic control device and a receiving electronic control device that receives a message from the transmitting electronic control device via a CAN bus,
When the receiving side electronic control unit detects that the received message has been altered into an illegal message by an illegal operation on the CAN bus, all fault code information stored in the receiving side electronic control unit is provided with a failure information secrecy control section for executing control not to transmit to the CAN bus.

The in-vehicle network system according to claim 1,
The electronic control device on the receiving side includes a volatile memory and a non-volatile memory, and in a state in which power is supplied to the electronic control device on the transmitting side and the electronic control device on the receiving side, the failure information secrecy control unit ,
if the received message is determined to be a legitimate message, storing all the fault code information in a legitimate area of the volatile memory that can be read by a fault diagnostic tool;
When the received message is determined to be the message that has been tampered with by an unauthorized operation on the CAN bus, all the fault code information is stored in the volatile memory that cannot be read by the fault diagnosis tool. An in-vehicle network system characterized by storing in a secret area of .

An in-vehicle network system according to claim 2,
The failure information concealment control unit
An in-vehicle network system characterized in that, when the received message is judged to be the message altered into an unauthorized message by unauthorized operation on the CAN bus, the judgment result is reported to an external telematics center.

An in-vehicle network system according to claim 2,
The failure information concealment control unit
An in-vehicle network system characterized in that, in addition to the trouble code information, freeze frame data, which are current operating parameter values of the vehicle, are also stored.

An in-vehicle network system according to claim 2,
The failure information concealment control unit
When the power supply to the transmitting side electronic control device and the receiving side electronic control device is stopped, all the fault code information saved in the secret area of the volatile memory is stored in the nonvolatile memory. an in-vehicle network system, which transfers and saves the data in the secret area of .

An in-vehicle network system according to claim 5,
When power is supplied again to the transmission side electronic control device and the reception side electronic control device after the power supply to the transmission side electronic control device and the reception side electronic control device is stopped, the failure information Anonymity control unit
An in-vehicle network system, wherein all the fault code information saved in the secret area of the nonvolatile memory is transferred to the secret area of the volatile memory and saved.

An in-vehicle network system according to claim 2,
If necessary, the failure information concealment control unit
An in-vehicle network system, wherein the fault code information stored in the secret area of the volatile memory is stored in the normal area of the volatile memory.