CN117241981A - 控制装置 - Google Patents

Abstract

本发明包括：执行控制对象的控制处理的控制部(100)；对控制对象收发通信数据的通信部(101)；存储控制部的控制值和控制处理的存储器的存储部(102)；监视控制部的控制处理的处理监视部(103)；监视通信部的通信数据的通信监视部(104)；监视存储部的存储器的存储器监视部(106)；根据处理监视部(103)、通信监视部(104)和存储器监视部(105)的监视结果，判定控制处理是否异常的异常判定部(106)。

Description

控制装置

技术领域

本申请涉及控制装置。

背景技术

近年来，汽车的车载系统通过网络与车外的装置连接，存在恶意第三方从外部通过网络侵入车载系统的风险。当第三方侵入车载系统时，搭载在车辆上的控制装置例如ECU(Electronic Control Unit：电子控制单元)中，ECU的程序被篡改，有可能被第三方篡夺控制装置的控制而被远程操作，从而导致车辆的事故。

现有的车载系统中，考虑了异常处理方法，使得即使在一部分装置发生了故障的情况下，也能检测出因故障而发生的异常，通过故障保护使功能简化等，能够安全行驶。

但是，如果程序被篡改，用于检测故障造成的异常的结构发生变更，或者将成为异常检测对象的信息冒充为正常值，则难以检测为异常。

作为受到网络攻击而检测车辆异常的结构，研究了监视通信数据的结构。作为安全技术，有消息认证或数字签名等，能够检测因通信数据的冒充而引起的异常，但这些技术针对的是已知的攻击场景，不能说能够应对未知的网络攻击。如果程序被篡改，则难以检测为异常，因此不仅需要监视通信数据，还需要监视车辆或ECU的动作。

作为应对未知的网络攻击的对策之一，有安全启动的对策，但由于在启动时要进行存储器检查，因此无法应对行驶中受到攻击的情况。另外，在行驶过程中，经常检查存储器的话会有处理负载较大的问题。因此，需要有不仅在启动时，而且在行驶中受到网络攻击时也能在抑制控制处理的处理负载的同时检测异常，使车辆能够安全行驶的结构。

专利文献1对接收到的控制帧在规定期间内判断是否为异常帧，能够检测异常帧。控制帧包含控制状态的状态帧。

专利文献2根据车辆的状态改变通信数据的监视方法，不增大数据处理的负载，能够检测异常数据。

在专利文献3中，根据电子控制装置的动作条件即序列的处理顺序、执行条件、执行定时、控制值、通信项目等，由另一电子控制装置记录动作状态，由又一电子控制装置监视动作状态，在偏离了正规状态的情况下，能够检测出异常。

现有技术文献

专利文献

专利文献1：日本专利第6280662号公报

专利文献2：日本专利第6531011号公报

专利文献3：国际公开第2019/159615号

发明内容

发明所要解决的技术问题

在专利文献1中记载的现有技术中存在以下问题。在专利文献1中，能够检测包含从通信路径接收的控制状态的状态帧在内的控制帧的异常，但在控制处理本身被篡改的情况下，有可能进行异常检测的遗漏、误检测。

另外，在专利文献2中记载的现有技术中，通过根据车辆的状态改变通信数据的监视方法，能够在抑制处理负载的同时检测异常的通信数据，但与专利文献1同样，在控制处理本身被篡改的情况下，有可能进行异常检测的遗漏、误检测。

另外，在专利文献3所记载的现有技术中，将序列的处理顺序或控制值、通信项目作为监视对象，但没有将存储器作为监视对象。存储器被篡改并且在序列的步骤中追加了另一新的处理的情况下，序列将按照正常例程执行原本的控制值，并与原本的序列并行地，与控制相关的重要值经过另一新的处理，若发生这样的异常，则不能检测到该异常。另外，为了检测在序列的步骤中发生的异常，必须结束序列。另外，没有考虑处理负载。由于在控制装置的监视中需要两个控制装置，因此一个控制装置不能检测异常。

本申请是为了解决这样问题而完成的，其目的在于，获得一种控制装置，通过监视控制处理中的通信数据、处理、存储器，在抑制处理负载的同时进行最佳的监视，即使受到网络攻击也能够检测通信数据、控制处理和存储器的异常，检测控制处理的异常。

解决技术问题的技术方案

本申请所公开的控制装置用于与控制对象之间进行数据通信，该控制装置包括：执行控制对象的控制处理的控制部；对控制对象发送接收通信数据的通信部；存储控制部的控制值和控制处理的存储器的存储部；监视控制部控制处理的处理监视部；监视通信部的通信数据的通信监视部；监视存储部的存储器的存储器监视部；以及根据处理监视部、通信监视部和存储器监视部的监视结果判定控制处理是否异常的异常判定部。

发明效果

根据本申请的控制装置，通过检测由网络攻击引起的通信数据或控制处理或存储器的异常，能够检测控制处理的异常，安全地控制控制对象。

附图说明

图1是实施方式1所涉及的控制装置的功能框图。

图2是表示实施方式1所涉及的控制装置的监视管理部决定的监视方法的组合的图。

图3是表示实施方式1所涉及的控制装置的监视管理部决定的通信监视部的监视方法的组合的图。

图4是表示实施方式1所涉及的控制装置的监视管理部决定的处理监视部的监视方法的组合的图。

图5是表示实施方式1所涉及的控制装置的监视管理部决定的存储器监视部的监视方法的组合的图。

图6是表示实施方式1所涉及的控制装置的控制处理的流程图。

图7是表示实施方式1所涉及的控制装置的异常判定处理的流程图。

图8是表示实施方式1所涉及的控制装置的决定监视方法的处理的流程图。

图9是表示实施方式1所涉及的控制装置的硬件结构的一个示例的图。

具体实施方式

以下，使用附图对本申请所公开的控制装置的优选实施方式进行说明。以下，作为控制系统的具体示例，详细说明应用于将控制对象作为车辆和车载设备的车载控制装置(ECU)的情况。

实施方式1.

图1是应用了实施方式1所涉及的控制装置的车载控制装置(ECU)的功能框图。本实施方式1中的车载控制装置(以下称为控制装置10)包括：控制部100、通信部101、存储部102、处理监视部103、通信监视部104、存储器监视部105、异常判定部106、状态管理部107以及监视管理部108。

控制装置10是进行车辆的控制的车载控制装置。控制装置10经由未图示的通信线例如CAN(Controller Area Network:控制器局域网)与车辆内部的其他控制装置(例如待机用控制装置、电动助力转向装置等)连接。

控制部100具有控制搭载于车内的控制对象的设备的功能。该控制部100可以在控制装置10中存在一个或多个。在图1中，未图示控制对象的设备，在以下的说明中，将控制对象的设备简称为控制对象。搭载在车内的控制对象例如是致动器。

具体而言，控制部100从存储部102的ROM和RAM读取与控制对象对应的控制用程序数据，并执行读取出的程序，由此进行控制对象的控制。另外，也可以存在多个控制方法。

通信部101具有与其他控制装置收发通信数据的功能。例如，收发CAN通信的通信数据的功能。

存储部102包括用于存储控制部100的控制处理即动作程序以及进行动作时所使用的控制值的存储器。存储器是ROM或RAM。

处理监视部103获取在控制部100中使用的控制处理的执行顺序或执行次数、或执行时间。另外，也可以获取其他的信息。作为对象的控制处理也可以是控制处理整体或部分的处理。

通信监视部104获取由通信部101接收的通信数据的通信ID、数据长度、数据值、数据值的变化量、通信周期、通信频度。另外，也可以追加其他的信息。

存储器监视部105获取由存储部102存储的控制值或控制处理的存储器。另外，也可以追加其他的信息。另外，也可以对存储器数据进行散列化等压缩并进行获取。

异常判定部106将处理监视部103、通信监视部104、存储器监视部105的监视结果与正常值进行比较。正常值是将正常动作时的处理监视部103、通信监视部104和存储器监视部105的监视对象的值事先保管在存储部102的ROM或RAM中。

异常判定部106在比较存储器监视部105的监视结果和正常值的情况下，也可以分割存储器并比较是否一致。另外，也可以对存储器数据进行散列化等压缩并进行比较。为了提高安全性或加快处理速度，可以在HSM(Hardware Security Module：硬件安全模块)中进行比较。

异常判定部106在监视结果与正常值的比较结果不一致的情况下，判定为异常。判定为异常的要求是比较结果为通信监视部104的监视结果与正常值不一致、或者处理监视部103的监视结果与正常值不一致、或者存储器监视部105的监视结果与正常值不一致的情况中的任一种。

异常判定部106判定为异常的情况下，转移至异常对应处理。异常对应处理例如是通信线的切换、切换至待机用控制装置、控制装置的功能简化等。在判定为正常的情况下，继续执行通常的控制部100的控制处理。

状态管理部107获取车辆的状态。获取控制装置10的控制状态、车辆控制系统的控制状态、车辆的周边环境状态、车辆的位置信息、控制装置10的通信状态、车内驾驶员的状态、控制装置10的处理负载状态、对控制装置10的网络攻击状态中的任一状态。

具体而言，控制装置10的控制状态表示控制装置10的启动状态或休眠状态等。另外，也可以获取其他的状态。

具体而言，车辆控制系统的控制状态表示车辆动作的行驶、转弯、停止这样的动作状态。另外，也可以获取其他的状态。

具体而言，车辆的周边环境状态表示堵塞等交通状况或下雪等天气。另外，也可以获取其他的状态。

具体而言，车辆的位置信息表示隧道内或交叉路口等。另外，也可以获取其他的状态。

具体而言，控制装置10的通信状态表示控制装置10是通信中还是未通信中。另外，通信状态也可以进行详细分类。

具体而言，车内驾驶员的状态表示驾驶员睡觉、疲劳等状态。另外，也可以获取其他的状态。

具体地说，控制装置10的处理负载状态表示控制装置10的处理负载小而处理有富余、或处理负载大而处理没有富余等。另外，状态也可以进行详细分类。

具体地说，针对控制装置10的网络攻击状态在由异常判定部106判定为异常的情况下，根据通信监视部104的监视结果表示是否为通信异常状态，根据处理监视部103的监视结果表示是否为处理异常状态，根据存储器监视部105的监视结果表示是否为存储器异常状态。

监视管理部108根据由状态管理部107获取到的状态，决定处理监视部103、通信监视部104、存储器监视部105的监视方法及其优先级。例如，在控制装置10的通信状态为通信中的情况下，由于需要检测是否接收到异常的通信数据，因此优先进行通信监视。在车辆控制系统的控制状态为行驶中的情况下，由于不引起异常处理，因此优先处理监视，在停止中的情况下，由于处理负载比较有富余，因此优先存储器监视。状态可以追加其他状态或变更。

监视管理部108根据由状态管理部107获取的状态，在通信异常状态的情况下，优先通信监视，在处理异常状态的情况下，优先处理监视，在存储器异常状态的情况下，优先存储器监视。

监视管理部108根据控制装置10的处理负载状态和优先级，决定仅由处理监视部103进行监视、仅由通信监视部104进行监视、仅由存储器监视部105进行监视、或者由处理监视部103、通信监视部104和存储器监视部105的组合进行监视中的任一种监视方法。监视方法的组合和优先级如图2所示。监视方法的组合也可以根据处理负载而变更。

监视管理部108根据优先级决定处理监视部103、通信监视部104和存储器监视部105各自的监视方法。

图3表示根据车辆状态而优先的通信监视部104的监视方法。根据由状态管理部107获取的状态，在控制装置10根据通信中状态或通信异常状态优先进行通信监视的情况下，使通信监视项目优先进行监视。作为通信数据的监视项目，对消息ID、数据、周期、频度进行监视。根据处理负载变更监视项目的数量。监视项目也可以根据处理负载而变更、追加。另外，优先通信监视的状态也可以是其他状态。

图4表示根据车辆状态而优先的通信监视部103的监视方法。根据由状态管理部107获取的状态，在根据车辆行驶中或处理异常状态而优先进行处理监视的情况下，使处理监视项目优先进行监视。作为控制处理的监视项目，监视执行顺序、执行时间、执行次数。根据处理负载变更监视项目的数量。监视项目也可以根据处理负载而变更、追加。另外，优先处理监视的状态也可以是其他状态。

图5表示根据车辆状态而优先的存储器监视部105的监视方法。根据由状态管理部107获取的状态，在根据车辆停止中或存储器异常状态而优先进行存储器监视的情况下，使存储器监视项目优先进行监视。作为存储器的监视项目，对控制值、控制处理的存储器进行监视。根据处理负载变更监视项目的数量。另外，在处理负载大、不能处理的情况下，也可以不监视。监视项目也可以根据处理负载而变更、追加。另外，优先存储器监视的状态也可以是其他状态。

接着，用图6详细说明控制装置10的控制处理。图6是表示本实施方式1所涉及的从控制部100的控制开始经过异常检测处理直到控制部100执行控制处理为止的处理流程的流程图。

在步骤S601，控制部100开始控制处理。在步骤S601结束后，前进至步骤S602。

在步骤S602，执行异常检测处理。

在步骤S602结束后，前进至步骤S603。

在步骤S603，在异常检测处理结果判断为异常的情况下，前进至步骤S604。在异常检测处理结果判断为正常的情况下，前进至步骤S605。

在步骤S604，执行异常判定时的处理。

在步骤S605，控制部100执行控制处理。在步骤S605的处理结束后，结束控制处理。

接着，使用图7详细说明图6的异常检测处理的步骤S602。图7是表示本实施方式1所涉及的控制装置10的异常检测处理的流程的流程图。

在步骤S701，状态管理部107获取车辆状态。在步骤S701结束后，前进至步骤S702。

在步骤S702，监视管理部108根据状态管理部107获取到的状态决定监视方法及其优先级。在步骤S702结束后，前进至步骤S703。

在步骤S703，在步骤S702中优先通信监视的情况下，前进至步骤S704。在没有优先通信监视的情况下，前进至步骤S705。

在步骤S704，通信监视部104监视通信数据。在步骤S704结束后，前进至步骤S709。

在步骤S705，在步骤S702中优先处理监视的情况下，前进至步骤S706。在没有优先处理监视的情况下，前进至步骤S707。

在步骤S706，处理监视部103监视控制处理。在步骤S706结束后，前进至步骤S709。

在步骤S707，在步骤S702中优先存储器监视的情况下，前进至步骤S708。在没有优先存储器监视的情况下，前进至步骤S709。

在步骤S708，存储器监视部105监视存储器。在步骤S708结束后，前进至步骤S709。

在步骤S709，在步骤S702中通信监视、处理监视、存储器监视的监视方法存在多个，在处理未完成的情况下，返回步骤S703。如果处理完成，则处理前进到步骤S710。

在步骤S710，比较步骤S704的监视结果、或者步骤S706的监视结果、或者步骤S708的监视结果与正常值是否一致。在步骤S710结束后，前进至步骤S711。

在步骤S711，当步骤S710的比较结果与正常值一致时，将其视为正常，当与正常值不一致时，将其视为异常。在步骤S711结束后，结束异常检测处理。

接着，使用图8详细说明图7的监视方法决定处理的步骤S702。图8是表示决定本实施方式1所涉及的控制装置10的监视管理部108的监视方法的处理流程的流程图。

在步骤S801，监视管理部108根据由状态管理部107获取到的车辆状态，决定通信监视、处理监视、存储器监视的优先级，并决定监视方法。在步骤S801结束后，前进至步骤S802。

在步骤S802，监视管理部108在步骤S801中判断为需要通信监视时，前进至步骤S803。在步骤S801中判断为不需要通信监视的情况下，前进至步骤S804。

在步骤S803，监视管理部108根据状态管理部107获取到的车辆状态，决定通信监视的监视方法。在步骤S803结束后，前进至步骤S808。

在步骤S804，监视管理部108在步骤S801中判断为需要处理监视时，前进至步骤S805。在步骤S801中判断为不需要处理监视的情况下，前进至步骤S806。

在步骤S805，监视管理部108根据状态管理部107获取到的车辆状态决定处理监视的监视方法。在步骤S805结束后，前进至步骤S808。

在步骤S806，监视管理部108在步骤S801中判断为需要存储器监视时，前进至步骤S807。在步骤S801中判断为不需要存储器监视的情况下，前进至步骤S808。

在步骤S807，监视管理部108根据状态管理部107获取到的车辆状态决定存储器监视的监视方法。在步骤S807结束后，前进至步骤S808。

如果在步骤S808中尚未决定全部监视方法，则处理返回到步骤S802。在决定了全部监视方法的情况下，结束监视方法决定处理。

控制装置10如图9所示的硬件的一个示例那样，由处理器11和存储装置12构成。存储装置12例如具备随机存取存储器等易失性存储装置、以及闪存等非易失性的辅助存储装置。另外，也可以具备硬盘这样的辅助存储装置来代替闪存。处理器11执行从存储装置12输入的程序。在这种情况下，将程序从辅助存储装置经由易失性存储装置输入到处理器11。另外，处理器11可以将运算结果等数据输出至存储装置12的易失性存储装置，也可以经由易失性存储装置将数据保存至辅助存储装置。

在以上说明的实施方式1中，说明了将控制装置作为车载控制装置使用的示例。然而，本申请所涉及的控制系统不限于此。例如，可以用于与通信线连接的控制装置,该控制装置具有高安全性强度并且需要尽早检测出控制装置异常的结构。

根据以上说明的本申请所涉及的实施方式1，在控制处理中得到以下的效果。

在现有的控制装置中，有专门用于通信数据的异常检测方法或专门用于控制处理的异常检测方法。与此相对，本实施方式1所涉及的控制装置具备如下结构：监视通信数据或控制值、控制处理、存储器，通过比较监视结果与正常值是否一致，来检测控制装置的异常。

由此，即使因网络攻击而导致通信数据或控制值、控制处理的冒充或篡改存储器，也能够检测异常。

另外，本实施方式1所涉及的控制装置包括获取车辆状态的状态管理部和根据车辆状态判断应优先的监视方法的监视管理部，具备能够根据车辆状态切换、组合监视方法的结构。由此，能够在抑制处理负载的同时进行最佳的监视。

进而，本实施方式1所涉及的控制装置具备能够对应于仅监视通信数据、仅监视控制处理、仅监视存储器、基于通信数据、控制处理和存储器的组合进行监视的多个监视方法的结构。由此，能够组合与处理负载对应的监视方法。

进而，本实施方式1所涉及的控制装置具备根据车辆状态判断应优先的通信数据的监视方法、应优先的控制处理的监视方法和应优先的存储器的监视方法的结构。由此，能够进行与处理负载对应的通信数据的监视、与处理负载对应的控制处理的监视、与处理负载对应的存储器的监视。

进而，本实施方式1所涉及的控制装置具备在控制装置处于通信中的情况下使通信监视部优先进行监视的结构。由此，能够检测通信数据的异常。

进而，本实施方式1所涉及的控制装置具备在车辆行驶中的情况下使处理监视部优先进行监视的结构。由此，能够检测控制处理的异常。

进而，本实施方式1所涉及的控制装置具备在车辆处于停止的情况下使存储器监视部优先进行监视的结构。由此，能够检测存储器的篡改。

进而，本实施方式1所涉及的控制装置具备比较通信监视结果、处理监视结果、存储器监视结果与正常时的通信监视值、处理监视值和存储器监视值的结构。由此，在正常时的值与监视结果不一致的情况下，能够检测控制装置的异常。

进而，本实施方式1所涉及的控制装置具备能够获取是否受到网络攻击的状态的结构。由此，即使在网络攻击后也能够检测出控制装置的异常。

本申请记载了例示性的实施方式，但实施方式所记载的各种特征、方式及功能并不限于特定的实施方式的适用，能单独或以各种组合适用于实施方式。

因此，可以认为未例示的无数变形例也包含在本申请说明书所公开的技术范围内。例如，设为包含有对至少一个结构要素进行变形的情况、追加的情况或省略的情况。

标号说明

10控制装置，100控制部，101通信部，102存储部，103处理监视部，104通信监视部，105存储器监视部，106异常判定部，107状态管理部，108监视管理部。

Claims (9)

1.一种控制装置，与控制对象之间进行数据通信，其特征在于，包括：

执行所述控制对象的控制处理的控制部；

对所述控制对象收发通信数据的通信部；

存储所述控制部的控制值和控制处理的存储器的存储部；

监视所述控制部的控制处理的处理监视部；

监视所述通信部的通信数据的通信监视部；

监视所述存储部的存储器的存储器监视部；以及

根据所述处理监视部、所述通信监视部和所述存储器监视部的监视结果来判定所述控制处理是否异常的异常判定部。

2.如权利要求1所述的控制装置，其特征在于，

作为用于控制车辆行驶的车辆控制系统的控制装置，包括：

状态管理部，该状态管理部获取所述控制部的控制状态、所述车辆控制系统的控制状态、车辆的周边环境状态、车辆的位置信息、与车辆的通信状态、车内的驾驶员的状态、所述控制部的处理负载状态、所述车辆控制系统的攻击状态中的任意状态；以及

监视管理部，该监视管理部根据所述状态，决定所述处理监视部、所述通信监视部、所述存储器监视部的监视方法及其优先级。

3.如权利要求2所述的控制装置，其特征在于，

所述监视管理部根据监视方法及其优先级，决定仅由所述通信监视部进行监视、仅由所述处理监视部进行监视、仅由所述存储器监视部进行监视、以及基于所述通信监视部、所述处理监视部、所述存储器监视部的组合进行监视中的任意组合构成的监视方法。

4.如权利要求2或3所述的控制装置，其特征在于，

所述监视管理部根据监视方法及其优先级，决定基于所述通信监视部、所述处理监视部、所述存储器监视部的任意组合的监视方法，并且决定所述通信监视部的通信数据的监视方法、所述处理监视部的控制处理的监视方法、所述存储器监视部的控制值、控制处理的存储器的监视方法。

5.如权利要求2至4中任一项所述的控制装置，其特征在于，

根据所述状态管理部，在所述控制装置处于通信中的状态的情况下，所述监视管理部使所述通信监视部的优先级高于其他监视部，并根据所述状态管理部，基于所述控制装置的处理负载的状态，决定仅由所述通信监视部进行监视、仅由所述通信监视部和所述处理监视部进行监视、仅由所述通信监视部和所述存储器监视部进行监视、由所述通信监视部、所述处理监视部和所述存储器监视部进行监视中的任意组合构成的监视方法，并且决定所述通信监视部的通信数据的监视方法。

6.如权利要求2至4中任一项所述的控制装置，其特征在于，

根据所述状态管理部，在车辆处于行驶中的状态的情况下，所述监视管理部使所述处理监视部的优先级高于其他监视部，并根据所述状态管理部，基于所述控制装置的处理负载的状态，决定仅由所述处理监视部进行监视、仅由所述处理监视部和所述通信监视部进行监视、仅由所述处理监视部和所述存储器监视部进行监视、由所述通信监视部、所述处理监视部和所述存储器监视部进行监视中的任意组合构成的监视方法，并且决定所述处理监视部的控制处理的监视方法。

7.如权利要求2至4中任一项所述的控制装置，其特征在于，

根据所述状态管理部，在车辆处于停止的状态的情况下，所述监视管理部使所述存储器监视部的优先级高于其他监视部，并根据所述状态管理部，基于所述控制装置的处理负载的状态，决定仅由所述存储器监视部进行监视、仅由所述存储器监视部和所述通信监视部进行监视、仅由所述存储器监视部和所述处理监视部进行监视、由所述存储器监视部、所述通信监视部和所述处理监视部进行监视中的任意组合构成的监视方法，并且决定所述存储器监视部的控制值和控制处理的存储器的监视方法。

8.如权利要求1所述的控制装置，其特征在于，

所述异常判定部比较作为所述处理监视部、所述通信监视部、所述存储器监视部的监视对象的监视值的正常值和监视结果，在与正常值不一致的情况下，判定为所述控制装置异常。

9.如权利要求2或3所述的控制装置，其特征在于，

所述状态管理部获取车辆是否处于受到网络攻击的状态，根据所述通信监视部的监视结果由所述异常判定部判定为异常的情况下，所述状态管理部成为通信攻击状态，所述监视管理部使所述通信监视部的优先级高于其他监视部，根据所述处理监视部的监视结果由所述异常判定部判定为异常的情况下，所述状态管理部成为处理攻击状态，所述监视管理部使所述处理监视部的优先级高于其他监视部，根据所述存储器监视部的监视结果由所述异常判定部判定为异常的情况下，所述状态管理部成为存储器攻击状态，所述监视管理部使所述存储器监视部的优先级高于其他监视部。