DE112016003907T5

DE112016003907T5 - Weiterleitungsvorrichtung

Info

Publication number: DE112016003907T5
Application number: DE112016003907.7T
Authority: DE
Inventors: Hiroaki Takada; Ryo Kurachi; Hiroshi Ueda
Original assignee: Nagoya University NUC; Sumitomo Wiring Systems Ltd; AutoNetworks Technologies Ltd; Sumitomo Electric Industries Ltd
Current assignee: Nagoya University NUC; Sumitomo Wiring Systems Ltd; AutoNetworks Technologies Ltd; Sumitomo Electric Industries Ltd
Priority date: 2015-08-31
Filing date: 2016-08-19
Publication date: 2018-05-30
Also published as: US20190007234A1; JP6525824B2; JP2017050643A; WO2017038500A1; CN108353015B; CN108353015A; US10439842B2

Abstract

Es wird eine Weiterleitungsvorrichtung bereitgestellt, die in der Lage ist, selbst dann das Senden einer unzulässigen Nachricht an ein Netzwerk oder mehrere Netzwerke zu verhindern, wenn eine unzulässige Manipulation bei einem Programm zum Ausführen der Weiterleitungsverarbeitung erfolgt ist. Wenn ein CAN-Controller eine Nachricht empfängt, speichert ein Gateway die empfangene Nachricht in einer Nachrichtenspeichereinheit und schickt außerdem die Nachricht an eine Verarbeitungseinheit. Die Verarbeitungseinheit, die die Nachricht empfangen hat, führt durch Ausführen eines Weiterleitungsprogramms die für die Weiterleitung der Nachricht erforderliche Verarbeitung aus und schickt die weiterzuleitende Nachricht an den CAN-Controller. Das Gateway vergleicht die Nachricht, bevor sie vom CAN-Controller an die Verarbeitungseinheit geschickt wird, mit der von der Verarbeitungseinheit an den CAN-Controller geschickten Nachricht, um die Zulässigkeit der Nachricht zu ermitteln.

Description

TECHNISCHES GEBIET
Die vorliegende Erfindung betrifft eine Weiterleitungsvorrichtung (engl. „relay device“), die eine Verarbeitung des Weiterleitens einer Nachricht zwischen mehreren Netzwerken ausführt.
TECHNISCHER HINTERGRUND
Gemäß dem Stand der Technik sind mehrere elektronische Steuereinheiten (ECUs bzw. elctronic control units) in einem Fahrzeug angebracht und über ein Netzwerk wie beispielsweise ein CAN-Netzwerk (controller area network) miteinander verbunden. Die ECUs führen eine individuelle Verarbeitung aus, während sie über das Netzwerk Informationen austauschen. In den letzten Jahren nimmt die Größe von fahrzeuggebundenen Netzwerken tendenziell zu, wobei häufig eine Struktur verwendet wird, bei der mehrere kleinere Netzwerke mit einer Weiterleitungsvorrichtung wie beispielsweise einem Gateway verbunden sind, die eine Nachricht zwischen den Netzwerken weiterleitet.
Patentdokument 1 beschreibt ein CAN-System, mit dem die Fehlertoleranz durch Senden eines Rahmens für die Anforderung auf erneutes Senden (retransmission request frame), wenn der erste Knoten in dem CAN-System einen Rahmen nicht empfängt und sich in einem Fehler-Passivzustand (error passive state) befindet, Speichern des zu einer Kommunikationsleitung in dem zweiten Knoten gesendeten Rahmens und erneutes Senden des Rahmens, für den ein erneutes Senden an den ersten Knoten angefordert wird, verbessert werden soll.
Patentdokument 2 beschreibt ein Kommunikationssystem, mit dem ein fehlerhafter Betrieb auf der Empfangsseite eines Rahmens mit einer Konfiguration verhindert werden soll, bei der ein CAN-Controller eine Sendelatenz von der Eingabe eines Rahmens bis zum Start des Sendens zu einer Kommunikationsleitung misst und den Rahmen zusammen mit Informationen bezüglich der Sendelatenz sendet, während der CAN-Controller, der den Rahmen empfangen hat, entscheidet, dass die Verarbeitung nach Maßgabe der Sendelatenz ausgeführt wird.
VORBEKANNTE TECHNISCHE DOKUMENTE
PATENTDOKUMENTE

Patentdokument 1: JP 2014-86812A
Patentdokument 2: JP 2011-103577A

NICHT-PATENTLITERATUR
Nicht-Patentdokument 1: K. Koscher, A. Czeskis, F. Roesner, S. Patel, T. Kohno, S. Checkoway, D. McCoy, B. Kantor, D. Anderson, H. Shacham, and S. Savage; Experimental Security Analysis of a Modern Automobile; In Proc. of the IEEE Symposium on Security and Privacy, pages 447-462, 2010 Nicht-Patentdokument 2: Yoshihiro Ujiie, Takeshi Kishikawa, Tomoyuki Haga, Hideki Matsushima, Masato Tanabe, Yoshihiko Kitamura, Jun Anzai; Proposition on CAN filter in In-Vehicle Network, Symposium on Cryptography and Security (SCIS2015), 2015
ÜBERBLICK ÜBER DIE ERFINDUNG
VON DER ERFINDUNG ZU LÖSENDE AUFGABEN
Nicht-Patentdokument 1 berichtet jedoch, dass eine unzulässige, d.h. nicht-autorisierte, Nachricht zu einem Netzwerk in einem Fahrzeug gesendet werden kann, indem ein nicht-autorisiertes Programm in die ECU eingeschleust wird. Wenn eine unzulässige Nachricht auf der Basis eines nicht-autorisierten Programms gesendet wird, kann eine Fehlfunktion in einer anderen, mit dem Netzwerk verbundenen ECU auftreten. Für ein derartiges unzulässiges Senden einer Nachricht könnten weder das CAN-System gemäß Patentdokument 1 noch das Kommunikationssystem gemäß Patentdokument 2 effiziente Maßnahmen vorweisen.
Außerdem schlägt Nicht-Patentdokument 2 ein Verfahren zum Erfassen des Sendens einer unzulässigen Nachricht durch Ausführen eines Filterungsprozesses auf der Basis von Bedingungen wie beispielsweise ID, DLC, Sendeablaufsteuerung und Sendefrequenz einer CAN-Nachricht vor. Es wird erwartet, dass das Weiterleiten einer unzulässigen Nachricht von einem Netzwerk zu einem anderen Netzwerk beispielsweise durch eine Weiterleitungsvorrichtung verhindert werden kann, die den Filterungsprozess gemäß Nicht-Patentdokument 2 ausführt. Wenn jedoch ein Programm für einen derartigen Filterungsprozess manipuliert ist bzw. wird, kann der Filterungsprozess selbst unwirksam gemacht werden.
Die vorliegende Erfindung wurde angesichts der oben beschriebenen Umstände gemacht und soll eine Weiterleitungsvorrichtung bereitstellen, die das Senden einer unzulässigen Nachricht zu einem Netzwerk oder mehreren Netzwerken selbst dann verhindern kann, wenn eine unzulässige Manipulation bei einem Programm zum Ausführen der Weiterleitungsverarbeitung erfolgt.
MITTEL ZUM LÖSEN DER AUFGABE
Eine Weiterleitungsvorrichtung gemäß der vorliegenden Erfindung, die mehrere Kommunikationseinheiten enthält, die jeweils mit einer Kommunikationsleitung verbunden sind, um das Senden und das Empfangen einer Nachricht durch die Kommunikationsleitung auszuführen, und eine Nachricht zwischen den Kommunikationseinheiten weiterleitet, umfasst: eine Nachrichtenspeichereinheit zum Speichern einer von der Kommunikationseinheit empfangenen Nachricht; eine Programmspeichereinheit zum Speichern eines Software-Programms zum Ausführen einer Weiterleitungsverarbeitung einer Nachricht; eine Verarbeitungseinheit zum Ausführen einer Weiterleitungsverarbeitung einer Nachricht durch Ausführen des in der Programmspeichereinheit gespeicherten Software-Programms; und eine Ermittlungseinheit zum Ermitteln der Zulässigkeit einer weiterzuleitenden Nachricht, wenn die Nachricht von der Verarbeitungseinheit an die Kommunikationseinheit geschickt wird, auf der Basis einer in der Nachrichtenspeichereinheit gespeicherten Nachricht.
Außerdem umfasst die Weiterleitungsvorrichtung gemäß der folgenden Erfindung ferner eine Verhinderungseinheit zum Verhindern des Sendens einer von der Ermittlungseinheit als unzulässig ermittelten Nachricht durch die Kommunikationseinheit.
Ferner bestimmt bei der Weiterleitungsvorrichtung gemäß der vorliegenden Erfindung die Ermittlungseinheit, dass eine von der Verarbeitungseinheit an die Kommunikationseinheit geschickte weiterzuleitende Nachricht zulässig ist, wenn die weiterzuleitende Nachricht mit einer in der Nachrichtenspeichereinheit gespeicherten Nachricht übereinstimmt.
Außerdem bestimmt bei der Weiterleitungsvorrichtung gemäß der vorliegenden Erfindung die Ermittlungseinheit, dass eine von der Verarbeitungseinheit an die Kommunikationseinheit geschickte weiterzuleitende Nachricht zulässig ist, wenn die weiterzuleitende Nachricht mit einer beliebigen der in der Nachrichtenspeichereinheit gespeicherten Nachrichten übereinstimmt, und die Nachrichtenspeichereinheit löscht die von der Ermittlungseinheit als zulässig ermittelte und weitergeleitete Nachricht.
Außerdem bestimmt bei der Weiterleitungsvorrichtung gemäß der vorliegenden Erfindung die Ermittlungseinheit, dass eine von der Verarbeitungseinheit an die Kommunikationseinheit geschickte weiterzuleitende Nachricht zulässig ist, wenn ein Teil der weiterzuleitenden Nachricht mit einem Teil der in der Nachrichtenspeichereinheit gespeicherten Nachricht übereinstimmt.
Ferner ist bei der Weiterleitungsvorrichtung gemäß der vorliegenden Erfindung die Nachricht eine Nachricht gemäß einem CAN-Kommunikationsprotokoll, und der eine Teil korrespondiert zu einer ID und einem CRC, die in der Nachricht enthalten sind.
Außerdem führt bei der Weiterleitungsvorrichtung gemäß der vorliegenden Erfindung die Verarbeitungseinheit das in der Programmspeichereinheit gespeicherte Software-Programm aus, um durch Integrieren von mehreren, von einer oder mehreren Kommunikationseinheiten erhaltenen, Nachrichten eine zur Weiterleitung bestimmte Nachricht zu erzeugen, und die Ermittlungseinheit bestimmt, dass die von der Verarbeitungseinheit an die Kommunikationseinheit geschickte, zur Weiterleitung bestimmte Nachricht zulässig ist, wenn ein Teil der zur Weiterleitung bestimmten Nachricht mit einem Teil von einer oder mehreren der in der Nachrichtenspeichereinheit gespeicherten Nachrichten übereinstimmt.
Ferner führt bei der Weiterleitungsvorrichtung gemäß der vorliegenden Erfindung die Verarbeitungseinheit das in der Programmspeichereinheit gespeicherte Software-Programm aus, um durch Unterteilen einer von der Kommunikationseinheit erhaltenen Nachricht mehrere zur Weiterleitung bestimmte Nachrichten zu erzeugen, und die Ermittlungseinheit bestimmt, dass die von der Verarbeitungseinheit an die Kommunikationseinheit geschickten, zur Weiterleitung bestimmten Nachrichten zulässig sind, wenn ein Teil der zur Weiterleitung bestimmten Nachrichten mit einem Teil einer in der Nachrichtenspeichereinheit gespeicherten Nachricht übereinstimmt.
Außerdem umfasst die Weiterleitungsvorrichtung gemäß der vorliegenden Erfindung eine Erfassungseinheit zum Erfassen einer Manipulation bei einer gesendeten Nachricht, während die Kommunikationseinheit eine von der Ermittlungseinheit als zulässig ermittelte Nachricht sendet, und eine Abbrucheinheit zum Abbrechen des Sendens einer Nachricht durch die Kommunikationseinheit, wenn die Erfassungseinheit eine Manipulation erfasst.
Gemäß einem Aspekt der vorliegenden Erfindung umfasst die Weiterleitungsvorrichtung mehrere Kommunikationseinheiten, von denen jede mit einer Kommunikationsleitung verbunden ist, und führt durch eine Verarbeitungseinheit ein Software-Programm aus, um eine Nachrichtenweiterleitungsverarbeitung auszuführen, bei der eine von einer Kommunikationseinheit empfangene Nachricht von einer anderen Kommunikationseinheit gesendet wird. Die Weiterleitungsvorrichtung umfasst, gesondert von der Verarbeitungseinheit, eine Speichereinheit, in der eine von einer Kommunikationseinheit empfangene Nachricht gespeichert wird. In dem Fall, in dem eine Nachricht durch eine Kommunikationseinheit von einer anderen ECU oder dergleichen durch eine Kommunikationsleitung empfangen wird, wird die durch die Kommunikationseinheit empfangene Nachricht in der Speichereinheit gespeichert und wird außerdem an die Verarbeitungseinheit geschickt. Die Verarbeitungseinheit, an die die Nachricht geschickt wird, führt eine für die Weiterleitung der Nachricht erforderliche Verarbeitung aus, beispielsweise die Zeitplanung der Nachricht, indem ein Software-Programm ausgeführt wird. Die Verarbeitungseinheit schickt eine weiterzuleitende Nachricht an eine mit einer ECU oder dergleichen verbundene Kommunikationseinheit, die für die Weiterleitung dieser Nachricht bestimmt ist. Die Kommunikationseinheit, an die die weiterzuleitende Nachricht von der Verarbeitungseinheit geschickt wird, sendet die Nachricht durch Ausgeben eines Signals gemäß der Nachricht auf die entsprechende Kommunikationsleitung.
In dem Fall, in dem hier die weiterzuleitende Nachricht von der Verarbeitungseinheit an die Kommunikationseinheit geschickt wird, ermittelt die Weiterleitungsvorrichtung gemäß der vorliegenden Erfindung die Zulässigkeit der Nachricht auf der Basis der in der Speichereinheit gespeicherten Nachricht und verhindert das Senden jeder Nachricht, die als unzulässig ermittelt worden ist. Durch Vergleichen der Nachricht, bevor diese an die Verarbeitungseinheit geschickt wird, mit der Nachricht, die gerade von der Verarbeitungseinheit geschickt worden ist, kann die Weiterleitungsvorrichtung die Zulässigkeit der Nachricht ermitteln. Das bedeutet, dass die Weiterleitungsvorrichtung ermitteln kann, ob die weiterzuleitende Nachricht in der Verarbeitungseinheit manipuliert worden ist oder nicht, wodurch verhindert werden kann, dass die Weiterleitungsvorrichtung eine unzulässige Nachricht an eine andere Vorrichtung wie beispielsweise eine ECU sendet.
Gemäß einem anderen Aspekt der vorliegenden Erfindung ermittelt die Weiterleitungsvorrichtung, ob die weiterzuleitende Nachricht zulässig ist oder nicht, indem sie ermittelt, ob die weiterzuleitende Nachricht, die von der Verarbeitungseinheit an die Kommunikationseinheit geschickt wird, mit der in der Speichereinheit gespeicherten Nachricht übereinstimmt. Dies ermöglicht es der Weiterleitungsvorrichtung, das Vorhandensein oder die Abwesenheit einer Manipulation einer Nachricht durch bloßes Ausführen einer einfachen Vergleichsverarbeitung zuverlässig zu ermitteln.
Gemäß einem weiteren Aspekt der vorliegenden Erfindung ist die Speichereinheit in der Weiterleitungsvorrichtung so konfiguriert, dass sie in der Lage ist, mehrere durch die Kommunikationseinheit empfangene Nachrichten zu speichern. In dem Fall, in dem eine weiterzuleitende Nachricht von der Verarbeitungseinheit geschickt wird, ermittelt die Weiterleitungsvorrichtung, dass die Nachricht zulässig ist, wenn die geschickte Nachricht mit einer beliebigen der in der Speichereinheit gespeicherten Nachrichten übereinstimmt. Dementsprechend kann die Weiterleitungsvorrichtung selbst dann, wenn eine Verarbeitung wie beispielsweise die Zeitplanung in der Verarbeitungseinheit ausgeführt wird und die Reihenfolge der Weiterleitung sich von der Reihenfolge des Empfangs unterscheidet, das Vorhandensein oder die Abwesenheit einer Manipulation einer Nachricht zuverlässig ermitteln.
Gemäß einem anderen Aspekt der vorliegenden Erfindung erfolgt die Ermittlung der Zulässigkeit der weiterzuleitenden Nachricht dadurch, dass ermittelt wird, ob ein Teil der weiterzuleitenden Nachricht, die von der Verarbeitungseinheit an die Kommunikationseinheit geschickt wird, mit einem Teil der in der Speichereinheit gespeicherten Nachricht übereinstimmt oder nicht. Durch Vergleichen von Teilen der Nachrichten kann der Speicherinhalt in der Speichereinheit, welche die Nachrichten speichert, reduziert werden. Die Teile der zu vergleichenden Nachrichten können ID und CRC sein, die in den Nachrichten gemäß beispielsweise dem CAN-Kommunikationsprotokoll enthalten sind.
Außerdem kann die Verarbeitungseinheit in der Weiterleitungsvorrichtung durch Ausführen eines Software-Programms mehrere Nachrichten integrieren oder kann eine Nachricht in mehrere Nachrichten unterteilen, um eine weiterzuleitende Nachricht zu erzeugen. Die Weiterleitungsvorrichtung gemäß der vorliegenden Erfindung ermittelt, ob die weiterzuleitende Nachricht zulässig ist oder nicht, indem sie ermittelt, ob ein Teil der weiterzuleitenden Nachricht, die von der Verarbeitungseinheit an die Kommunikationseinheit geschickt wird, mit einem Teil von einer oder mehreren Nachrichten, die in der Speichereinheit gespeichert sind, übereinstimmt oder nicht. Demzufolge kann die Weiterleitungsvorrichtung selbst dann, wenn eine Verarbeitung wie beispielsweise eine Integration, eine Unterteilung oder dergleichen der Nachricht in der Verarbeitungseinheit ausgeführt wird, das Vorhandensein oder die Abwesenheit einer Manipulation der Nachricht ermitteln.
Gemäß einem anderen Aspekt der vorliegenden Erfindung kann die Weiterleitungsvorrichtung eine Nachricht durch die Kommunikationseinheit weiterleiten, die die als zulässig ermittelte Nachricht an eine Kommunikationsleitung ausgibt. Hier erfasst die Weiterleitungsvorrichtung eine Manipulation bei der durch die Kommunikationseinheit gesendeten Nachricht. Die Weiterleitungsvorrichtung kann beispielsweise eine Manipulation einer Nachricht jedes Mal dann, wenn die Kommunikationseinheit ein Signal korrespondierend zu einem Bit der Nachricht auf die Kommunikationsleitung ausgibt, durch Abtasten eines Signals auf einer Kommunikationsleitung und durch Ermitteln erfassen, ob das Signal korrekt gesendet worden ist oder nicht. Wenn eine Manipulation der Nachricht erfasst wird, bricht die Weiterleitungsvorrichtung das Senden der Nachricht durch die Kommunikationseinheit ab. Somit wird das Senden der Nachricht wegen einer durch eine externe Vorrichtung bei der durch die Weiterleitungsvorrichtung gesendeten Nachricht ausgeführten böswilligen Manipulation abgebrochen, wodurch das Empfangen der manipulierten Nachricht durch eine andere ECU oder dergleichen verhindert werden kann.
EFFEKT DER ERFINDUNG
Gemäß der vorliegenden Erfindung ist die Konfiguration derart, dass eine empfangene Nachricht gespeichert und eine Ermittlung dahingehend, ob eine weiterzuleitende Nachricht zulässig ist oder nicht, auf der Basis dieser Nachricht vorgenommen wird, so dass selbst dann verhindert werden kann, dass eine unzulässige Nachricht zu einem Netzwerk oder mehreren Netzwerken gesendet wird, wenn eine unzulässige Manipulation bei einem Programm für die Weiterleitungsverarbeitung erfolgt.
Figurenliste

1 ist ein Blockschaltbild, das die Konfiguration eines fahrzeuggebundenen Kommunikationssystems gemäß einer Ausführungsform der vorliegenden Erfindung darstellt;
2 ist ein Blockschaltbild, dass die Konfiguration eines Gateways gemäß einer Ausführungsform der vorliegenden Erfindung darstellt;
3 ist ein Flussdiagramm, das ein von einer Weiterleitungsüberwachungsschaltung während des Empfangs einer Nachricht ausgeführtes Verfahren der Verarbeitung darstellt;
4 ist ein Flussdiagramm, das ein von der Weiterleitungsüberwachungsschaltung im Fall des Empfangens einer zur Weiterleitung bestimmten Nachricht ausgeführtes Verfahren der Verarbeitung darstellt;
5 ist ein Flussdiagramm, das ein von der Weiterleitungsüberwachungsschaltung während des Sendens einer Nachricht ausgeführtes Verfahren der Verarbeitung darstellt;
6 ist ein Blockschaltbild, das die Konfiguration eines Gateways gemäß Ausführungsform 2 darstellt;
7 ist eine schematische Ansicht zur Darstellung der Integration von Nachrichten;
8 ist eine schematische Ansicht zur Unterteilung einer Nachricht;
9 ist eine schematische Ansicht, die ein Beispiel der in einer Ermittlungsbedingungsspeichereinheit gespeicherten Ermittlungsbedingungen darstellt;
10 ist ein Flussdiagramm, das ein von einer Weiterleitungsüberwachungsschaltung gemäß Ausführungsform 2 ausgeführtes Verfahren der Verarbeitung darstellt; und
11 ist ein Flussdiagramm, das ein von der Weiterleitungsüberwachungsschaltung gemäß Ausführungsform 2 ausgeführtes Verfahren der Verarbeitung darstellt.

AUSFÜHRUNGSFORMEN DER ERFINDUNG
Ausführungsform 1
Die vorliegende Erfindung wird nachstehend unter Bezug auf die Zeichnungen ausführlich beschrieben, die Ausführungsformen hiervon darstellen. 1 ist ein Blockschaltbild, das die Konfiguration eines fahrzeuggebundenen Kommunikationssystems gemäß einer Ausführungsform der vorliegenden Erfindung darstellt. Das fahrzeuggebundene Kommunikationssystem gemäß der vorliegenden Ausführungsform ist so aufgebaut, dass es ein Gateway 10 und mehrere elektronische Steuereinheiten (ECUs) 4 umfasst, die in einem Fahrzeug 1 angebracht sind. In dem dargestellten Beispiel sind sechs ECUs 4 an dem Fahrzeug 1 angebracht, wobei diese sechs ECUs 4 in zwei Gruppen unterteilt sind. Drei ECUs 4 in der ersten Gruppe sind mit der ersten Kommunikationsleitung 2 verbunden, durch die die ECUs 4 Nachrichten aneinander senden und voneinander empfangen. In ähnlicher Weise sind drei ECUs 4 in der zweiten Gruppe mit der zweiten Kommunikationsleitung 3 verbunden, durch die die ECUs 4 Nachrichten aneinander senden und voneinander empfangen.
Die zwei Kommunikationsleitungen 2 und 3 sind nicht direkt miteinander verbunden, sondern sind einzeln mit dem Gateway 10 verbunden. Das Gateway 10 ist eine Vorrichtung, die eine beispielsweise auf eine Kommunikationsleitung 2 ausgegebene Nachricht erhält und die erhaltene Nachricht an die andere Kommunikationsleitung 3 ausgibt, um die Nachricht zwischen den Gruppen (Netzwerken, Kommunikationsleitungen) weiterzuleiten. Dementsprechend wird die von der mit der ersten Kommunikationsleitung 2 verbundene ECU 4 gesendete Nachricht durch das Gateway 10 weitergeleitet und wird von der mit der zweiten Kommunikationsleitung 3 verbundenen ECU 4 empfangen.
2 ist ein Blockschaltbild, das die Konfiguration des Gateways 10 gemäß der ersten Ausführungsform darstellt. Das Gateway 10 gemäß der vorliegenden Ausführungsform ist so aufgebaut, dass es eine Verarbeitungseinheit 11, eine Programmspeichereinheit 12, zwei CAN-Controller 13a, 13b und eine Weiterleitungsüberwachungsschaltung 20 enthält. Die Verarbeitungseinheit 11 ist mit einer Arithmetikverarbeitungsvorrichtung wie beispielsweise einer zentralen Verarbeitungseinheit (CPU) oder einer Mikroverarbeitungseinheit (MPU) ausgebildet. Die Verarbeitungseinheit 11 liest das in der Programmspeichereinheit 12 gespeicherte Weiterleitungsprogramm 12a aus und führt es aus. Dementsprechend ist in der Verarbeitungseinheit 11 eine Weiterleitungsverarbeitungseinheit 11a, die eine Weiterleitungsverarbeitung einer Nachricht ausführt, als ein Software-Funktionsblock implementiert.
Die Programmspeichereinheit 12 ist mit einem nicht-volatilen Speicherelement wie beispielsweise einem elektrisch löschbaren programmierbaren Festwertspeicher (EEPROM) oder einem Flash-Speicher aufgebaut. Die Programmspeichereinheit 12 speichert vorab ein durch die Verarbeitungseinheit 11 ausgeführtes Weiterleitungsprogramm 12a. Außerdem kann die Programmspeichereinheit 12 weitere verschiedene Arten von Daten, die bei der Weiterleitungsverarbeitung zu verwenden sind, ein anderes, sich von dem Weiterleitungsprogramm 12a unterscheidendes Programm oder dergleichen speichern.
Die CAN-Controller 13a und 13b sind mit den Kommunikationsleitungen 2 bzw. 3 verbunden, durch die Nachrichten zwischen der ECU 4 und den CAN-Controllern 13a und 13b gesendet und empfangen werden. Die CAN-Controller 13a und 13b empfangen Nachrichten durch Abtasten und Erhalten von Signalen, die von der ECU 4 an die Kommunikationsleitungen 2 und 3 ausgegeben wurden. Die von den CAN-Controllern 13a und 13b empfangenen Nachrichten durchlaufen die Weiterleitungsüberwachungsschaltung 20 und werden an die Verarbeitungseinheit 11 geschickt. Außerdem werden weiterzuleitende Nachrichten von der Verarbeitungseinheit 11 durch die Weiterleitungsüberwachungsschaltung 20 an die CAN-Controller 13a und 13b geschickt. Die CAN-Controller 13a und 13b senden Nachrichten an die ECU 4, indem sie die geschickten Nachrichten als Signale an die Kommunikationsleitungen 2 und 3 ausgeben.
In 2 und der nachstehenden Beschreibung wird angenommen, dass der CAN-Controller 13a eine Nachricht empfängt, während der CAN-Controller 13b eine Nachricht sendet. Dies ist jedoch lediglich ein Beispiel, und es ist auch möglich, dass der CAN-Controller 13b eine Nachricht empfängt, während der CAN-Controller 13a eine Nachricht sendet. Die CAN-Controller 13a und 13b können beide Nachrichten senden und empfangen.
Die in der Verarbeitungseinheit 11 implementierte Weiterleitungsverarbeitungseinheit 11a schickt die von einem CAN-Controller 13a empfangene Nachricht an den anderen CAN-Controller 13b, der wiederum die Nachricht sendet, um die Nachricht zwischen den Kommunikationsleitungen 2 und 3 weiterzuleiten (das bedeutet zwischen einer ECU 4 in der ersten Gruppe und einer ECU 4 in der zweiten Gruppe). Hier kann die Weiterleitungsverarbeitungseinheit 11a eine Verarbeitung wie beispielsweise die Zeitplanung der Einstellung der Reihenfolge des Weiterleitens von Nachrichten oder des Filterns des Eliminierens einer unzulässigen Nachricht ausführen.
Die Weiterleitungsüberwachungsschaltung 20 befindet sich zwischen der Verarbeitungseinheit 11 und den CAN-Controllern 13a und 13b, um eine zwischen den Kommunikationsleitungen 2 und 3 weitergeleitete Nachricht zu überwachen. Es ist zu beachten, dass ein herkömmlicher Gateway nicht mit der Weiterleitungsüberwachungsschaltung 20 versehen ist, so dass eine von dem CAN-Controller 13a oder 13b empfangene Nachricht direkt an die Verarbeitungseinheit 11 geschickt wird, während eine von der Verarbeitungseinheit 11 weiterzuleitende Nachricht direkt an den CAN-Controller 13a oder 13b geschickt wird. Die Weiterleitungsüberwachungsschaltung 20 ist so aufgebaut, dass sie eine Nachrichtenspeichereinheit 21, eine Nachrichtenermittlungseinheit 22, eine Manipulationserfassungseinheit 23 etc. enthält. Bei der vorliegenden Ausführungsform ist die Weiterleitungsüberwachungsschaltung 20 als Hardware implementiert.
Die Nachrichtenspeichereinheit 21 ist mit einem Speicherelement wie beispielsweise einem statischen Direktzugriffsspeicher (SRAM) oder einem dynamischen Direktzugriffsspeicher (DRAM) gebildet. Die Weiterleitungsüberwachungsschaltung 20 speichert eine vom CAN-Controller 13a empfangene Nachricht in der Nachrichtenspeichereinheit 21 und schickt danach die Nachricht an die Verarbeitungseinheit 11. In der Verarbeitungseinheit 11, an die die Nachricht von der Weiterleitungsüberwachungsschaltung 20 geschickt wird, wird von der Weiterleitungsverarbeitungseinheit 11a die vorstehend beschriebene Weiterleitungsverarbeitung ausgeführt, und als Ergebnis der Weiterleitungsverarbeitung wird die weiterzuleitende Nachricht von der Verarbeitungseinheit 11 an die Weiterleitungsüberwachungsschaltung 20 geschickt.
Die Nachrichtenermittlungseinheit 22 in der Weiterleitungsüberwachungsschaltung 20 ermittelt, ob die von der Verarbeitungseinheit 11 geschickte Nachricht mit der in der Nachrichtenspeichereinheit 21 gespeicherten Nachricht übereinstimmt oder nicht. Dementsprechend bestätigt die Nachrichtenermittlungseinheit 22, dass in der Verarbeitungseinheit 11 keine unzulässige Manipulation oder dergleichen bei der weiterzuleitenden Nachricht vorgenommen wird. Wenn ermittelt wird, dass die Nachrichten miteinander übereinstimmen, bestimmt die Nachrichtenermittlungseinheit 22, dass keine unzulässige Manipulation vorgenommen wurde, und schickt die von der Verarbeitungseinheit 11 geschickte Nachricht an den CAN-Controller 13b. Der CAN-Controller 13b, an den die Nachricht von der Weiterleitungsüberwachungsschaltung 20 geschickt wird, gibt die geschickte Nachricht als ein elektrisches Signal auf Kommunikationsleitung 3 aus, um die Nachricht zu senden. Wenn andererseits die Nachrichtenermittlungseinheit 22 ermittelt, dass die Nachrichten nicht miteinander übereinstimmen, verwirft die Weiterleitungsüberwachungsschaltung 20 die von der Verarbeitungseinheit 11 geschickte Nachricht, ohne sie zu senden.
Die Nachrichtenspeichereinheit 21 in der Weiterleitungsüberwachungsschaltung 20 kann mehrere Nachrichten speichern. Somit vergleicht die Nachrichtenermittlungseinheit 22 abwechselnd die von der Verarbeitungseinheit 11 geschickte Nachricht mit mehreren in der Nachrichtenspeichereinheit 21 gespeicherten Nachrichten und bestimmt, dass keine unzulässige Manipulation erfolgt ist, wenn die geschickte Nachricht mit irgendeiner der gespeicherten Nachrichten übereinstimmt. Wenn die von der Verarbeitungseinheit 11 geschickte Nachricht mit keiner der in der Nachrichtenspeichereinheit 21 gespeicherten Nachrichten übereinstimmt, bestimmt die Nachrichtenermittlungseinheit 22, dass eine unzulässige Manipulation erfolgt ist, und verwirft die Nachricht, ohne sie zu senden.
Die Nachrichtenspeichereinheit 21 in der Weiterleitungsüberwachungsschaltung 20 gemäß der vorliegenden Ausführungsform speichert Informationen aller Bits für die durch die CAN-Controller 13a und 13b empfangene Nachricht. Das bedeutet, in der Nachricht gemäß dem CAN-Kommunikationsprotokoll sind Informationen aller Bits von SOF bis EOF gespeichert (SOF und EOF können jedoch weggelassen sein). In dem Fall, in dem die in der Nachrichtenspeichereinheit 21 gespeicherte Nachricht mit der von der Verarbeitungseinheit 11 geschickten Nachricht verglichen wird, ermittelt die Nachrichtenermittlungseinheit 22, ob die beiden Nachrichten für alle darin befindlichen Bits miteinander übereinstimmen oder nicht.
Die Nachrichtenspeichereinheit 21 in der Weiterleitungsüberwachungsschaltung 20 kann auch so konfiguriert sein, dass sie nur einen Teil der durch die CAN-Controller 13a und 13b empfangenen Nachricht speichert. Bei einer derartigen Konfiguration kann die Nachrichtenermittlungseinheit 22 einen Teil der in der Nachrichtenspeichereinheit 21 gespeicherten Nachricht mit einem Teil der von der Verarbeitungseinheit 11 geschickten Nachricht vergleichen. Was den in der Nachrichtenspeichereinheit 21 gespeicherten Teil angeht, kann vorzugsweise die CAN-ID und CRC für eine beliebige Nachricht gemäß beispielsweise dem CAN-Kommunikationsprotokoll gespeichert sein. Eine derartige Konfiguration kann den Speicherinhalt der Nachrichtenspeichereinheit 21 reduzieren und die von der Nachrichtenermittlungseinheit 22 ausgeführte Ermittlungsverarbeitung erleichtern, was eine Zunahme der Schaltungsgröße der Weiterleitungsüberwachungsschaltung 20 dämpfen bzw. verhindern kann.
Nach dem Speichern der durch den CAN-Controller 13a oder 13b empfangenen Nachricht fährt die Nachrichtenspeichereinheit 21 in der Weiterleitungsüberwachungsschaltung 20 fort, die Nachricht zu speichern, bis die gespeicherte Nachricht für die Ermittlung in der Nachrichtenermittlungseinheit 22 verwendet wird und als übereinstimmend mit der von der Verarbeitungseinheit 11 geschickten Nachricht ermittelt worden ist. Das bedeutet, die Nachrichtenspeichereinheit 21 speichert weiterhin die empfangene Nachricht, bis die Nachricht durch eine autorisierte Weiterleitungsverarbeitung weitergeleitet wird. Wenn jedoch eine vorbestimmte Zeitspanne nach dem Speichern einer Nachricht verstreicht, kann die Nachrichtenspeichereinheit 21 die Nachricht sogar verwerfen, bevor die Nachricht weitergeleitet wird. Außerdem kann die Nachrichtenspeichereinheit 21 weiterhin so viele Nachrichten wie möglich speichern, und wenn die Grenze des Speicherinhalts erreicht ist, so dass sie keine weiteren Nachrichten speichern kann, kann sie die Nachrichten in chronologischer Reihenfolge verwerfen.
Die Manipulationserfassungseinheit 23 in der Weiterleitungsüberwachungsschaltung 20 gemäß der vorliegenden Ausführungsform überwacht, ob eine Nachricht, die von der Nachrichtenermittlungseinheit 22 als nicht manipuliert ermittelt und zu den CAN-Controllern 13a oder 13b geschickt worden ist, auf der Kommunikationsleitung 2 oder 3 manipuliert wird oder nicht, während sie gerade von dem CAN-Controller 13a oder 13b gesendet wird. Beim Senden einer Nachricht gibt der CAN-Controller 13a oder 13b ein elektrisches Signal aus, das zu den einzelnen Bits der Nachricht auf der Kommunikationsleitung 2 oder 3 korrespondiert, während er die Signale auf der Kommunikationsleitung 2 oder 3 erhält und abtastet. Die Manipulationserfassungseinheit 23 in der Weiterleitungsüberwachungsschaltung 20 erhält digitale Daten gemäß einem Signal, das beim Senden einer Nachricht durch den CAN-Controller 13a oder 13b für die einzelnen Bits in der Nachrichtenübertragung erhalten wird. Die Manipulationserfassungseinheit 23 ermittelt für jedes Bit, ob die Daten eines zu sendenden Bits in der Nachricht, die als die weiterzuleitende Nachricht an die CAN-Controller 13a oder 13b geschickt worden war, mit den durch den CAN-Controller 13a oder 13b bei der Nachrichtenübertragung erhaltenen Daten übereinstimmt oder nicht. In dem Fall, in dem die beiden Daten nicht miteinander übereinstimmen, bestimmt die Manipulationserfassungseinheit 23, dass auf der Kommunikationsleitung 2 oder 3 eine unzulässige Manipulation erfolgt ist, und bricht die Nachrichtenübertragung ab, indem sie veranlasst, dass der CAN-Controller 13a oder 13b einen Fehlerrahmen gemäß dem CAN-Kommunikationsprotokoll sendet.
3 ist ein Flussdiagramm, das ein Verfahren der durch die Weiterleitungsüberwachungsschaltung 20 ausgeführten Verarbeitung beim Empfang einer Nachricht darstellt. Die Weiterleitungsüberwachungsschaltung 20 ermittelt, ob eine Nachricht von einem der CAN-Controller 13a und 13b empfangen worden ist oder nicht (Schritt S1). Wenn von keinem der CAN-Controller 13a oder 13b eine Nachricht empfangen worden ist (S1: NEIN), wartet die Weiterleitungsüberwachungsschaltung 20, bis eine Nachricht von einem der CAN-Controller 13a und 13b empfangen wird. Wenn von einem der CAN-Controller 13a oder 13b eine Nachricht empfangen worden ist (S1: JA), erhält die Weiterleitungsüberwachungsschaltung 20 die durch den CAN-Controller 13a oder 13b empfangene Nachricht und speichert die Nachricht in der Nachrichtenspeichereinheit 21 (Schritt S2). Danach schickt die Weiterleitungsüberwachungsschaltung 20 die durch den CAN-Controller 13a oder 13b empfangene Nachricht an die Verarbeitungseinheit 11 (Schritt S3) und beendet die Verarbeitung.
4 ist ein Flussdiagramm, das ein Verfahren der durch die Weiterleitungsüberwachungsschaltung 20 ausgeführten Verarbeitung im Fall des Empfangens einer weiterzuleitenden Nachricht darstellt. Die Weiterleitungsüberwachungsschaltung 20 ermittelt, ob eine weiterzuleitende Nachricht von der Verarbeitungseinheit 11 geschickt worden ist oder nicht (Schritt S11). Wenn keine Nachricht von der Verarbeitungseinheit 11 geschickt worden ist (S11: NEIN), wartet die Weiterleitungsüberwachungsschaltung 20, bis eine weiterzuleitende Nachricht geschickt wird. Wenn eine Nachricht von der Verarbeitungseinheit 11 geschickt worden ist (S11: JA), liest die Weiterleitungsüberwachungsschaltung 20 eine in der Nachrichtenspeichereinheit 21 gespeicherte Nachricht aus (Schritt S12) und vergleicht sie mit der von der Verarbeitungseinheit geschickten Nachricht (Schritt S13).
Als Ergebnis des Vergleichens der Nachrichten ermittelt die Weiterleitungsüberwachungsschaltung 20, ob die beiden Nachrichten miteinander übereinstimmen (Schritt S14). Wenn die beiden Nachrichten miteinander übereinstimmen (S14: JA), schickt die Weiterleitungsüberwachungsschaltung 20 die geschickte Nachricht an den CAN-Controller 13a oder 13b (Schritt S15), um die Nachricht zu senden. Außerdem löscht die Weiterleitungsüberwachungsschaltung 20 die Nachricht, deren Weiterleitung gerade beendet worden ist, aus der Nachrichtenspeichereinheit 21 (Schritt S16) und beendet die Verarbeitung. Wenn außerdem die beiden Nachrichten nicht miteinander übereinstimmen (S14: NEIN), verwirft die Weiterleitungsüberwachungsschaltung 20 die geschickte Nachricht (Schritt S17) und beendet die Verarbeitung.
5 ist ein Flussdiagramm, das ein Verfahren der durch die Weiterleitungsüberwachungsschaltung 20 während des Sendens einer Nachricht ausgeführten Verarbeitung darstellt. Die Manipulationserfassungseinheit 23 in der Weiterleitungsüberwachungsschaltung 20 ermittelt, ob die Sendeverarbeitung für ein Bit einer Nachricht in dem CAN-Controller 13a oder 13b ausgeführt worden ist oder nicht (Schritt S21). Wenn die Sendeverarbeitung für ein Bit nicht ausgeführt worden ist (S21: NEIN), wartet die Manipulationserfassungseinheit 23, bis die Sendeverarbeitung ausgeführt worden ist. Wenn die Sendeverarbeitung für ein Bit ausgeführt worden ist (S21: JA), erhält die Manipulationserfassungseinheit 23 Abtastdaten, die ein Ergebnis des Abtastens auf der Kommunikationsleitung 2 oder 3 sind, das zusammen mit der Signalausgabe korrespondierend zu einem Bit ausgeführt wurde, von dem CAN-Controller 13a oder 13b (Schritt S22).
Die Manipulationserfassungseinheit 23 vergleicht die erhaltenen Abtastdaten mit den Daten eines Bits in der zu sendenden Nachricht (Schritt S23). Auf der Basis des Ergebnisses des Vergleichs ermittelt die Manipulationserfassungseinheit 23, ob die beiden Daten miteinander übereinstimmen oder nicht (Schritt S24). Wenn die beiden Daten miteinander übereinstimmen (S24: JA), kehrt die Manipulationserfassungseinheit 23 mit der Verarbeitung zu Schritt S21 zurück. Wenn die beiden Daten nicht miteinander übereinstimmen (S24: NEIN), veranlasst die Manipulationserfassungseinheit 23, dass der CAN-Controller 13a oder 13b einen Fehlerrahmen sendet (Schritt S25), und beendet die Verarbeitung.
Das Gateway 10 gemäß Ausführungsform 1 mit der vorstehend beschriebenen Konfiguration umfasst mehrere CAN-Controller 13a und 13b, die mit den Kommunikationsleitungen 2 bzw. 3 verbunden sind. Die Verarbeitungseinheit 11 führt das Weiterleitungsprogramm 12a aus, um eine Verarbeitung der Nachrichtenweiterleitung auszuführen, bei der eine von einem der CAN-Controller 13a und 13b empfangene Nachricht von dem anderen der CAN-Controller 13a und 13b gesendet wird. Das Gateway 10 umfasst, gesondert von der Verarbeitungseinheit 11, eine Nachrichtenspeichereinheit 21, in der von den CAN-Controllern und 13a und 13b empfangene Nachrichten gespeichert werden. In dem Fall, in dem eine Nachricht von einem der CAN-Controller 13a und 13b von einer anderen ECU 4 durch die Kommunikationsleitung 2 oder 3 empfangen wird, wird die durch den CAN-Controller 13a oder 13b empfangene Nachricht in der Nachrichtenspeichereinheit 21 gespeichert und außerdem an die Verarbeitungseinheit 11 geschickt. Die Verarbeitungseinheit 11, an welche die Nachricht geschickt worden ist, führt eine für die Weiterleitung der Nachricht erforderliche Verarbeitung aus, indem sie das Weiterleitungsprogramm 12a ausführt. Die Verarbeitungseinheit 11 schickt eine weiterzuleitende Nachricht an den mit dem ECU 4 verbundenen CAN-Controller 13a oder 13b, der die Nachricht weiterleiten soll. Der CAN-Controller 13a oder 13b, an den die weiterzuleitende Nachricht von der Verarbeitungseinheit 11 geschickt worden ist, sendet dann ein Signal entsprechend dieser Nachricht auf die Kommunikationsleitung 2 oder 3, um ein Senden der Nachricht auszuführen.
In dem Gateway 10 gemäß der vorliegenden Ausführungsform wird die Nachricht jedoch, bevor sie von dem CAN-Controller 13 oder 13b an die Verarbeitungseinheit 11 geschickt wird, mit der von der Verarbeitungseinheit 11 an den CAN-Controller 13a oder 13b geschickten Nachricht verglichen, und die Nachrichtenermittlungseinheit 22 ermittelt die Zulässigkeit der Nachricht. Das heißt, das Gateway 10 kann ermitteln, ob die weiterzuleitende Nachricht in der Verarbeitungseinheit 11 nicht manipuliert worden ist oder nicht, und das Senden einer unzulässigen Nachricht untersagen, um das Senden einer unzulässigen Nachricht von dem Gateway 10 an eine andere ECU 4 zu verhindern.
Ferner vergleicht das Gateway 10 die durch den CAN-Controller 13a oder 13b empfangene und in der Nachrichtenspeichereinheit 21 gespeicherte Nachricht mit der weiterzuleitenden Nachricht, die von der Verarbeitungseinheit 11 an den CAN-Controller 13 outer 13b geschickt wurde. Auf der Basis des Ergebnisses eines derartigen Vergleichs ermittelt das Gateway 10, ob die beiden Nachrichten miteinander übereinstimmen oder nicht, und ermittelt, ob die weiterzuleitende Nachricht zulässig ist oder nicht. Daher kann das Gateway 10 das Vorhandensein oder die Abwesenheit einer Manipulation einer Nachricht in der Verarbeitungseinheit 11 zuverlässig ermitteln, indem es lediglich eine einfache Vergleichsverarbeitung ausführt.
Ferner kann die Nachrichtenspeichereinheit 21 in dem Gateway 10 mehrere durch die CAN-Controller 13a und 13b empfangene Nachrichten speichern. In dem Fall, in dem eine weiterzuleitende Nachricht von der Verarbeitungseinheit 11 an den CAN-Controller 13 oder 13b geschickt worden ist, bestimmt das Gateway 10, dass die geschickte Nachricht zulässig ist, wenn die Nachricht mit einer der in der Nachrichtenspeichereinheit 21 gespeicherten Nachrichten übereinstimmt. Dementsprechend kann das Gateway 10 selbst dann, wenn eine Weiterleitungsverarbeitung wie beispielsweise die Zeitplanung in der Verarbeitungseinheit 11 ausgeführt wird und die Reihenfolge der Weiterleitung sich von der Reihenfolge des Empfangs unterscheidet, zuverlässig das Vorhandensein oder die Abwesenheit einer Manipulation einer Nachricht ermitteln.
Es ist zu beachten, dass das Gateway 10 auch so konfiguriert sein kann, nur einen Teil und nicht alles der empfangenen Nachrichten in der Nachrichtenspeichereinheit 21 zu speichern. In diesem Fall ermittelt das Gateway 10, ob ein Teil einer weiterzuleitenden Nachricht, die von der Verarbeitungseinheit 11 an den CAN-Controller 13a oder 13b geschickt worden ist, mit einem Teil der in der Nachrichtenspeichereinheit 21 gespeicherten Nachrichten übereinstimmt oder nicht, um zu ermitteln, ob die weiterzuleitende Nachricht zulässig ist oder nicht. Durch Vergleichen von Teilen der Nachrichten kann der Speicherinhalt in dem Nachrichtenspeichereinheit 21 reduziert werden. Die für den Vergleich verwendeten Teile der Nachrichten können beispielsweise ID und CRC sein, die in einer Nachricht gemäß dem CAN-Kommunikationsprotokoll enthalten sind.
Außerdem kann das Gateway 10 eine Nachricht weiterleiten, indem der CAN-Controller 13a oder 13b die als zulässig ermittelte Nachricht auf die Kommunikationsleitung 2 oder 3 ausgibt. Hier erfasst das Gateway 10 eine Manipulation der durch den CAN-Controller 13a oder 13b gesendeten Nachricht. Das Gateway 10 erfasst die Manipulation der Nachricht durch Ermitteln, ob eine korrekte Nachricht gesendet worden ist oder nicht, als ein Ergebnis des Abtastens und des Vergleichs von Signalen auf der Kommunikationsleitung 2 oder 3 jedes Mal dann, wenn der CAN-Controller 13a oder 13b ein Signal gemäß einem Bit der Nachricht auf die Kommunikationsleitung 2 oder 3 ausgibt. Wenn eine Manipulation der Nachricht erfasst wird, bricht das Gateway 10 das Senden der Nachricht ab, indem es den CAN-Controller 13a oder 13b veranlasst, einen Fehlerrahmen zu senden. Dementsprechend kann das Gateway 10 bei jeder von einer externen böswilligen Vorrichtung vorgenommenen Manipulation einer durch das Gateway 10 zu sendenden Nachricht das Senden der Nachricht abbrechen, um dadurch zu verhindern, dass die ECU 4 eine manipulierte Nachricht empfängt.
Während die Konfiguration, bei der zwei Kommunikationsleitungen 2 und 3 mit dem Gateway 10 verbunden sind, bei der vorliegenden Ausführungsform verwendet wird, ist diese nicht hierauf beschränkt, sondern es kann auch eine andere Konfiguration verwendet werden, bei der drei oder mehr Kommunikationsleitungen mit ihm verbunden sind. In einem derartigen Fall kann das Gateway 10 eine durch eine Kommunikationsleitung empfangene Nachricht an die anderen zwei Kommunikationsleitungen weiterleiten. Während die Konfiguration, bei der drei ECUs 4 mit jeder der Kommunikationsleitungen 2 und 3 verbunden sind, bei der vorliegenden Ausführungsform verwendet wird, ist die Konfiguration nicht hierauf beschränkt. Es kann eine beliebige Anzahl von ECUs 4 mit jeder der Kommunikationsleitungen 2 und 3 verbunden sein.
Während ferner bei der vorliegenden Ausführungsform das Gateway 10 so konfiguriert ist, die Nachrichtenspeichereinheit 21 und die Nachrichtenermittlungseinheit 22 als eine Hardware, nämlich die Weiterleitungsüberwachungsschaltung 20, zu enthalten, ist die Konfiguration nicht hierauf beschränkt. Sowohl die Nachrichtenspeichereinheit 21 als auch die Nachrichtenermittlungseinheit 22 können auch jeweils als eine individuelle Hardware vorgesehen sein. Es ist jedoch zu beachten, dass sowohl die Nachrichtenspeichereinheit 21 als auch die Nachrichtenermittlungseinheit 22 als eine gesonderte Hardware implementiert sein können, die sich von der Verarbeitungseinheit 11 unterscheidet, nicht als durch die Verarbeitungseinheit 11 ausgeführte Software-Funktionsblöcke implementiert.
Während das Gateway 10 und die ECU 4 bei der vorliegenden Ausführungsform so konfiguriert sind, dass sie gemäß dem CAN-Kommunikationsprotokoll kommunizieren, ist die Konfiguration nicht hierauf beschränkt. Das Gateway 10 und die ECU 4 können auch so konfiguriert sein, dass sie gemäß einem von CAN abweichenden Kommunikationsprotokoll kommunizieren, wie beispielsweise TCP/IP, Ethernet (eingetragene Marke) oder FlexRay. Während das am Fahrzeug 1 montierte Kommunikationssystem als ein Beispiel beschrieben worden ist, kann die vorliegende Technik auch bei einem anderen Kommunikationssystem als an einem Fahrzeug montierten Kommunikationssystemen angewendet werden, wie beispielsweise bei einem an einem beweglichen Objekt wie einem Flugzeug oder einem Schiff montierten Kommunikationssystem oder einem in einer Fabrik, einem Büro oder dergleichen installierten Kommunikationssystem, nicht auf das beschriebene Beispiel beschränkt.
Ausführungsform 2
6 ist ein Blockschaltbild, das die Konfiguration eines Gateways 210 gemäß Ausführungsform 2 darstellt. Das Gateway 10 gemäß der oben beschriebenen Ausführungsform 1 ist gemäß der Voraussetzung konfiguriert, dass es eine Verarbeitung wie beispielsweise die Zeitplanung der Weiterleitungsverarbeitung durch die Verarbeitungseinheit 11, jedoch keine Verarbeitung hinsichtlich einer Änderung des Inhalts einer Nachricht, ausführt. Andererseits ist das Gateway 210 gemäß Ausführungsform 2 in die Lage versetzt, beispielsweise eine Verarbeitung der Erzeugung einer Nachricht für die Weiterleitung durch Integration von mehreren Nachrichten oder eine Verarbeitung der Erzeugung mehreren Nachrichten für die Weiterleitung durch Teilen einer Nachricht in mehrere Nachrichten während der durch die Verarbeitungseinheit 11 ausgeführten Weiterleitungsverarbeitung auszuführen.
Die Weiterleitungsüberwachungsschaltung 220 in dem Gateway 210 gemäß Ausführungsform 2 umfasst eine Nachrichtenspeichereinheit 21, eine Nachrichtenermittlungseinheit 222 und eine Ermittlungsbedingungsspeichereinheit 223 (in 6 einfach als „Ermittlungsbedingung“ bezeichnet). Die Ermittlungsbedingungsspeichereinheit 223 speichert eine Bedingung für eine durch die Nachrichtenermittlungseinheit 222 ausgeführte Ermittlung. Die Ermittlungsbedingungsspeichereinheit 223 ist mit einem Speicherelement wie beispielsweise einem EEPROM oder einem Flash-Speicher aufgebaut. Die Ermittlungsbedingungsspeichereinheit 223 kann jedoch auch ein Speicherelement wie einen Masken-Festwertspeicher (ROM) verwenden, der keine Daten überschreiben kann, oder einen elektronisch programmierbaren, UV-löschbaren Lesespeicher (EPROM), der keine Daten elektrisch überschreiben kann, um die Sicherheit zu verbessern. Im Fall der Verwendung eines Speicherelements kann die Ermittlungsbedingungsspeichereinheit 223 vorzugsweise so konfiguriert sein, dass sie beispielsweise ein Verfahren verwendet, das Daten in einem manipulationssicheren Speicher hält, so dass die Verarbeitungseinheit 11 nicht direkt Daten lesen oder schreiben kann. Die Nachrichtenermittlungseinheit 222 liest aus der Ermittlungsbedingungsspeichereinheit 223 beispielsweise zum Zeitpunkt der Aktivierung des Gateways 210 eine Ermittlungsbedingung aus und ermittelt die Zulässigkeit einer Nachricht nach Maßgabe der ausgelesenen Ermittlungsbedingung.
7 ist eine schematische Ansicht zum Darstellen der Integration von Nachrichten. 7 ist ein Beispiel, in dem die Verarbeitungseinheit 11 drei von dem CAN-Controller 13a durch die Kommunikationsleitung 2 empfangene Nachrichten zu einer Nachricht integriert und eine zur Weiterleitung bestimmte Nachricht erzeugt, die von dem CAN-Controller 13b durch die Kommunikationsleitung 3 zu der ECU 4 weitergeleitet wird. In diesem Fall werden die durch den CAN-Controller 13a empfangenen mehreren Nachrichten abwechselnd in der Nachrichtenspeichereinheit 21 gespeichert und außerdem an die Verarbeitungseinheit 11 geschickt. Wenn ermittelt wird, dass alle erforderlichen Nachrichten vorhanden sind, extrahiert die Verarbeitungseinheit 11 erforderliche Informationen (Daten 1, Daten 2 und Daten 3) aus den einzelnen der drei Nachrichten und erhält eine zur Weiterleitung bestimmte Nachricht, indem sie die extrahierten drei Informationsbestandteile verbindet und sowohl einen Anfangsblock (header portion) als auch einen Endblock (footer portion) hinzufügt. Im Fall einer Nachricht gemäß dem CAN-Kommunikationsprotokoll enthält der dargestellte Anfangsblock ein SOF, ein Entscheidungsfeld (arbitration field), ein Steuerfeld etc., während der Endblock ein CRD-Feld, ein ACK-Feld, ein EOF etc. enthält.
Die Nachrichtenermittlungseinheit 222, an die eine zur Weiterleitung bestimmte Nachricht von der Verarbeitungseinheit 11 geschickt wird, fordert, die Zulässigkeit der Nachricht für die Weiterleitung zu ermitteln, indem diese zur Weiterleitung bestimmte Nachricht mit einer in der Nachrichtenspeichereinheit 21 gespeicherten Nachricht verglichen wird. Da der Anfangsblock und der Endblock durch Integration von Nachrichten geändert werden können, vergleicht die Nachrichtenermittlungseinheit 222 mehrere in der zur Weiterleitung bestimmten Nachricht enthaltene Datenelemente mit Daten, die in mehreren Nachrichten enthalten sind, die in der Nachrichtenspeichereinheit 21 gespeichert sind. Hier kann die Nachrichtenermittlungseinheit 222 eine Ermittlung vornehmen, während sie, als eine Bedingung für die Zulässigkeit, beispielsweise eine Übereinstimmung zwischen allen drei in der zur Weiterleitung bestimmten Nachricht enthaltenen Daten 1, 2 und 3 und den in der in der Nachrichtenspeichereinheit 21 gespeicherten Nachricht enthaltenen Daten 1, 2 und 3 einstellt. Die Nachrichtenermittlungseinheit 222 kann ferner eine Ermittlung vornehmen, während sie, als eine Bedingung für die Zulässigkeit, beispielsweise eine Übereinstimmung zwischen einer beliebigen der drei in der zur Weiterleitung bestimmten Nachricht enthaltenen Daten 1, 2 und 3 und den in der in der Nachrichtenspeichereinheit 21 gespeicherten Nachricht enthaltenen Daten 1, 2 und 3 einstellt. In dem Fall, in dem eine Ermittlung hinsichtlich der Übereinstimmung für eine beliebige der in der zur Weiterleitung bestimmten Nachricht enthaltenen Daten 1, 2 und 3 geprüft wird, kann die Ermittlung nur für die neuesten Daten basierend beispielsweise auf der Empfangszeit, ausgeführt werden. Diese Ermittlungsbedingungen werden vorab im Stadium des Designs oder dergleichen des Gateways 210 festgelegt und in der Ermittlungsbedingungsspeichereinheit 223 gespeichert.
8 ist eine schematische Ansicht zum Darstellen des Teilens einer Nachricht. 8 ist ein Beispiel, bei dem eine von dem CAN-Controller 13a durch die Kommunikationsleitung 2 empfangene Nachricht drei Daten 1, 2 und 3 enthält, die Verarbeitungseinheit 11, an welche die Nachricht geschickt wird, die geschickte Nachricht in drei zur Weiterleitung bestimmte Nachrichten unterteilt, und die zur Weiterleitung bestimmten unterteilten drei Nachrichten abwechselnd von dem CAN-Controller 13b durch die Kommunikationsleitung 3 zur ECU 4 gesendet werden. In diesem Fall werden die vom CAN-Controller 13a empfangenen Nachrichten in der Nachrichtenspeichereinheit 21 gespeichert und außerdem an die Verarbeitungseinheit 11 geschickt. Wenn ermittelt wird, dass die geschickte Nachricht mehrere Daten 1, 2 und 3 enthält, extrahiert die Verarbeitungseinheit 11 drei Daten 1, 2 und 3 aus der Nachricht und fügt einen Anfangsblock sowie einen Endblock zu den einzelnen Daten 1, 2 und 3 hinzu, um eine zur Weiterleitung bestimmte Nachricht zu erhalten.
Die Nachrichtenermittlungseinheit 222, an die eine zur Weiterleitung bestimmte Nachricht von der Verarbeitungseinheit 11 geschickt wird, muss die Zulässigkeit der zur Weiterleitung bestimmten Nachricht ermitteln, indem sie diese zur Weiterleitung bestimmte Nachricht mit einer in der Nachrichtenspeichereinheit 21 gespeicherten Nachricht vergleicht. Beispielsweise ermittelt die Nachrichtenermittlungseinheit 222, an die eine zur Weiterleitung bestimmte Nachricht geschickt wird, die Daten 1 enthält, ob eine Daten 1 enthaltende Nachricht in einer oder mehreren der in der Nachrichtenspeichereinheit 21 gespeicherten Nachrichten vorhanden ist oder nicht, um die Zulässigkeit der zur Weiterleitung bestimmten Nachricht zu ermitteln. Selbst wenn die Daten 1 enthaltende, zur Weiterleitung bestimmte Nachricht vom CAN-Controller 13b gesendet wird, muss die Nachrichtenspeichereinheit 21 die empfangene Nachricht speichern, welche die Daten 1, 2 und 3 enthält, ohne die Nachricht zu löschen. Dies ist so, weil die Nachrichtenermittlungseinheit 222 eine weitere Ermittlung ausführt, wenn eine zur Weiterleitung bestimmte, die Daten 2 und 3 enthaltende, Nachricht anschließend von der Verarbeitungseinheit 11 geschickt wird. Somit kann die Nachrichtenspeichereinheit 21 so konfiguriert sein, dass sie eine Nachricht nach der Bestätigung löscht, die bestätigt, dass ein Vergleich durch die Nachrichtenermittlungseinheit 22 beispielsweise für alle in der gespeicherten Nachricht enthaltenen Daten fertiggestellt ist. Alternativ kann die Nachrichtenspeichereinheit 21 so konfiguriert sein, dass sie eine Nachricht löscht, falls beispielsweise eine vorbestimmte Zeitspanne seit dem Empfang der Nachricht verstrichen ist oder eine vorbestimmte Zeitspanne verstrichen ist, seit der Vergleich für beliebige der Daten durch die Nachrichtenermittlungseinheit 222 erfolgt ist.
9 ist eine schematische Ansicht, die ein Beispiel von in der Ermittlungsbedingungsspeichereinheit 223 gespeicherten Ermittlungsbedingungen darstellt. Bei den dargestellten Ermittlungsbedingungen sind Informationen über eine Weiterleitungsquellenkommunikationsleitung, eine CAN-ID, einen Datenvergleichsbereich und ein CRC-Erfordernis als eine Übertragungsquelleninformation (Informationen bezüglich der vom CAN-Controller 13a oder 13b empfangenen Nachricht) eingestellt. Für die Ermittlungsbedingungen können, als Übertragungszielinformation (Information bezüglich einer für das Senden bestimmten Nachricht, die von der Verarbeitungseinheit 11 an den CAN-Controller 13a oder 13b geschickt wird), Informationen wie beispielsweise eine Weiterleitungszielkommunikationsleitung, eine CAN-ID, ein Datenvergleichsbereich, ein Vergleichsverfahren und eine Weiterleitungsregel eingestellt sein.
Die Einstellung für die in der Übertragungsquelleninformation enthaltene Weiterleitungsquellenkommunikationsleitung gibt an, ob die Kommunikationsleitung 2 oder 3 zum Empfangen einer Nachricht verwendet wird. Die CAN-ID gibt eine an die empfangene Nachricht angehängte CAN-ID an. Der Datenvergleichsbereich gibt einen für den Vergleich verwendeten Bereich aus den in der empfangenen Nachricht enthaltenen Daten (64 Bit im vorliegenden Beispiel) an, in der Weise „Startbit-Endbit“. Das CRC-Erfordernis gibt an, ob ein Vergleich für die in der Nachricht enthaltene CRC nötig ist oder nicht.
Die Einstellung für die in der Übertragungsquelleninformation enthaltene Weiterleitungszielkommunikationsleitung gibt an, ob die Kommunikationsleitung 2 oder 3 für den Empfang einer Nachricht bestimmt ist. Die CAN-ID gibt eine CAN-ID an, die an die von der Verarbeitungseinheit 11 geschickte Sendenachricht angehängt ist. Der Datenvergleichsbereich gibt einen für den Vergleich verwendeten Bereich aus den in der Sendenachricht enthaltenen Daten (64 Bit im vorliegenden Beispiel) an, in der Weise „Startbit-Endbit“. Als Vergleichsverfahren wird entweder ein einen Vergleich für Daten ausführendes Verfahren 1 oder ein einen Vergleich für CRC ausführendes Verfahren 2 eingestellt. Hinsichtlich der Weiterleitungsregel wird entweder eine Regel 1, bei der die von der Verarbeitungseinheit 11 geschickte Sendenachricht weitergeleitet wird, wenn sie mit der in der Nachrichtenspeichereinheit 21 gespeicherten neuesten Nachricht übereinstimmt, oder eine Regel 2, bei der die Sendenachricht weitergeleitet wird, wenn sie mit irgendeiner der in der Nachrichtenspeichereinheit 21 gespeicherten Nachrichten übereinstimmt, eingestellt.
Bei dem ersten Beispiel der in 9 gezeigten Ermittlungsbedingungen werden 0 bis 63 Bits der Daten, die in der Nachricht mit der CAN-ID 2 enthalten sind, die vom CAN-Controller 13a durch die Kommunikationsleitung 2 empfangen und in der Nachrichtenspeichereinheit 21 gespeichert wird, mit 0 bis 63 Bits der Daten verglichen, die in der Nachricht mit der CAN-ID 2 enthalten sind, die von der Verarbeitungseinheit 11 an den CAN-Controller 13b geschickt und zum Senden an die Kommunikationsleitung 3 bestimmt ist, und wenn beide Daten miteinander übereinstimmen, sendet der CAN-Controller 13b die Nachricht an die Kommunikationsleitung 3. Es ist zu beachten, dass der Vergleich von Nachrichten für die in der Nachrichtenspeichereinheit 21 gespeicherte neueste Nachricht und die von der Verarbeitungseinheit 11 geschickte Nachricht ausgeführt werden kann.
Bei dem zweiten Beispiel der in 9 gezeigten Ermittlungsbedingungen werden 0 bis 7 Bits der Daten, die in der Nachricht mit der CAN-ID 10 enthalten sind, die vom CAN-Controller 13a durch die Kommunikationsleitung 2 empfangen und in der Nachrichtenspeichereinheit 21 gespeichert wird, mit 0 bis 7 Bits der Daten verglichen, die in der Nachricht mit der CAN-ID 10 enthalten sind, die von der Verarbeitungseinheit 11 an den CAN-Controller 13b geschickt und zum Senden an die Kommunikationsleitung 3 bestimmt ist, und wenn beide Daten miteinander übereinstimmen, sendet der CAN-Controller 13b die Nachricht an die Kommunikationsleitung 3. Es ist zu beachten, dass der Vergleich von Nachrichten für alle in der Nachrichtenspeichereinheit 21 gespeicherten Nachrichten und die von der Verarbeitungseinheit 11 geschickte Nachricht ausgeführt werden kann, und das Senden kann ausgeführt werden, wenn irgendeine der Nachrichten eine Übereinstimmung zeigt.
Bei dem dritten Beispiel der in 9 gezeigten Ermittlungsbedingungen werden 8 bis 63 Bits der Daten, die in der Nachricht mit der CAN-ID 10 enthalten sind, die vom CAN-Controller 13a durch die Kommunikationsleitung 2 empfangen und in der Nachrichtenspeichereinheit 21 gespeichert wird, mit 8 bis 63 Bits der Daten verglichen, die in der Nachricht mit der CAN-ID 20 enthalten sind, die von der Verarbeitungseinheit 11 an den CAN-Controller 13b geschickt und zum Senden an die Kommunikationsleitung 3 bestimmt ist, und wenn beide Daten miteinander übereinstimmen, sendet der CAN-Controller 13b die Nachricht an die Kommunikationsleitung 3. Es ist zu beachten, dass der Vergleich von Nachrichten für alle in der Nachrichtenspeichereinheit 21 gespeicherten Nachrichten und die von der Verarbeitungseinheit 11 geschickte Nachricht ausgeführt werden kann, und wenn irgendeine der Nachrichten eine Übereinstimmung zeigt, kann das Senden ausgeführt werden.
Bei dem vierten Beispiel der in 9 gezeigten Ermittlungsbedingungen wird die CRC, die in der Nachricht mit der CAN-ID 30 enthalten ist, die vom CAN-Controller 13a durch die Kommunikationsleitung 2 empfangen und in der Nachrichtenspeichereinheit 21 gespeichert wird, mit der CRC verglichen, die in der Nachricht mit der CAN-ID 10 enthalten ist, die von der Verarbeitungseinheit 11 an den CAN-Controller 13b geschickt und zum Senden an die Kommunikationsleitung 3 bestimmt ist, und wenn beide CRCs miteinander übereinstimmen, sendet der CAN-Controller 13b die Nachricht an die Kommunikationsleitung 3. Es ist zu beachten, dass der Vergleich von Nachrichten für alle in der Nachrichtenspeichereinheit 21 gespeicherten Nachrichten und die von der Verarbeitungseinheit 11 geschickte Nachricht ausgeführt werden kann, und wenn irgendeine der Nachrichten eine Übereinstimmung zeigt, kann das Senden ausgeführt werden.
Die 10 und 11 sind Flussdiagramme, die ein Verfahren der Verarbeitung darstellen, die von der Weiterleitungsüberwachungsschaltung 220 gemäß Ausführungsform 2 ausgeführt wird. Die Weiterleitungsüberwachungsschaltung 220 ermittelt, ob eine weiterzuleitende Nachricht von der Verarbeitungseinheit 11 geschickt worden ist oder nicht (Schritt S51). Wenn keine Nachricht von der Verarbeitungseinheit 11 geschickt worden ist (S51: NEIN), wartet die Weiterleitungsüberwachungsschaltung 220, bis eine weiterzuleitende Nachricht geschickt wird.
Wenn eine Nachricht von der Verarbeitungseinheit 11 geschickt worden ist (S51: JA), erhält die Weiterleitungsüberwachungsschaltung 220 in der Ermittlungsbedingungsspeichereinheit 223 gespeicherte Ermittlungsbedingungen (Schritt S52). Die Weiterleitungsüberwachungsschaltung 220 ermittelt, ob eine Bedingung, die zu der CAN-ID korrespondiert, die an die bei Schritt S51 geschickte Nachricht angehängt ist, in der Übertragungszielinformation in den Ermittlungsbedingungen enthalten ist, die bei Schritt S52 erhalten wurden (Schritt S53). Wenn die entsprechende Bedingung nicht enthalten ist (S53: NEIN), verwirft die Weiterleitungsüberwachungsschaltung 20 die Nachricht (Schritt S55) und beendet die Verarbeitung.
Wenn die entsprechende Bedingung enthalten ist (S53: JA), ermittelt die Weiterleitungsüberwachungsschaltung 220, ob die Nachricht mit der auf die Übertragungsquelleninformation unter dieser Bedingung eingestellten CAN-ID in der Nachrichtenspeichereinheit 21 gespeichert ist (Schritt S54). Wenn die Nachricht nicht gespeichert ist (S54: NEIN), verwirft die Weiterleitungsüberwachungsschaltung 20 die Nachricht (Schritt S55) und beendet die Verarbeitung.
Wenn die Nachricht gespeichert ist (S54: JA), liest die Weiterleitungsüberwachungsschaltung 220 eine Nachricht aus der Nachrichtenspeichereinheit 21 aus (Schritt S56). Die Weiterleitungsüberwachungsschaltung 220 erzeugt Informationen für den Vergleich von jeder der bei Schritt S56 ausgelesenen Nachrichten mit der bei Schritt S51 geschickten Nachricht (Schritt S57). Hier kann die Weiterleitungsüberwachungsschaltung 220 Informationen für den Vergleich erzeugen, indem sie durch die Ermittlungsbedingung bezeichnete Daten von Bits oder CRC aus der Nachricht extrahiert.
Die Weiterleitungsüberwachungsschaltung 220 vergleicht die zwei für den Vergleich erzeugten Informationen und ermittelt, ob die Informationen miteinander übereinstimmen oder nicht (Schritt S58). Wenn die Informationen nicht miteinander übereinstimmen (S58: NEIN), ermittelt die Weiterleitungsüberwachungsschaltung 220, ob eine in der Ermittlungsbedingung eingestellte Weiterleitungsregel die Regel 2 ist oder nicht (Schritt S59). Wenn die Weiterleitungsregel die Regel 1 ist (S59: NEIN), verwirft die Weiterleitungsüberwachungsschaltung 220 die Nachricht (Schritt S61) und beendet die Verarbeitung.
Wenn die Weiterleitungsregel die Regel 2 ist (S59: JA), ermittelt die Weiterleitungsüberwachungsschaltung 220, ob eine andere für den Vergleich zu verwendende Nachricht in der Nachrichtenspeichereinheit 21 gespeichert ist oder nicht (Schritt S60). Wenn die andere Nachricht nicht gespeichert ist (S60: NEIN), verwirft die Weiterleitungsüberwachungsschaltung 220 die aktuelle Nachricht (Schritt S61) und beendet die Verarbeitung. Wenn die andere Nachricht gespeichert ist (S60: JA), kehrt die Weiterleitungsüberwachungsschaltung 220 mit der Verarbeitung zu Schritt S56 zurück, liest die nächste Nachricht aus und wiederholt die oben beschriebene Verarbeitung.
Wenn die für den Vergleich erzeugten zwei Informationselemente bei Schritt S58 miteinander übereinstimmen (S58: JA), schickt die Weiterleitungsüberwachungsschaltung 220 eine für das Senden bestimmte Nachricht an den CAN-Controller 13a oder 13b (Schritt S62), sendet die Nachricht und beendet die Verarbeitung.
Indem die Verarbeitungseinheit 11 das Weiterleitungsprogramm 12a ausführt, kann das vorstehend beschriebene Gateway 210 gemäß Ausführungsform 2 mehrere Nachrichten integrieren oder eine Nachricht in mehrere Nachrichten unterteilen, um eine zur Weiterleitung bestimmte Nachricht zu erzeugen. Das Gateway 210 ermittelt, ob ein Teil (Datenabschnitt) der zur Weiterleitung bestimmten Nachricht, die von der Verarbeitungseinheit 11 an den CAN-Controller 13a oder 13b geschickt worden ist, mit einem Teil von einer oder mehreren der in der Nachrichtenspeichereinheit 21 gespeicherten Nachrichten übereinstimmt oder nicht, um zu bestimmen, ob die zur Weiterleitung bestimmte Nachricht zulässig ist oder nicht. Demzufolge kann das Gateway 210 gemäß Ausführungsform 2 selbst dann, wenn eine Verarbeitung wie eine Integration, Aufteilung oder dergleichen der Nachricht in der Verarbeitungseinheit 11 ausgeführt wird, das Vorhandensein oder die Abwesenheit einer Manipulation der Nachricht in der Verarbeitungseinheit 11 ermitteln.
Während Ausführungsform 2 eine Konfiguration beschrieb, bei der die Weiterleitungsüberwachungsschaltung 220 in dem Gateway 210 die Ermittlungsbedingungsspeichereinheit 223 enthält und die Nachrichtenermittlungseinheit 222 eine Verarbeitung der Ermittlungen nach Maßgabe der in der Ermittlungsbedingungsspeichereinheit 223 gespeicherten Ermittlungsbedingungen ausführt, ist die Konfiguration nicht hierauf beschränkt. Bei einer Konfiguration, bei der die Weiterleitungsüberwachungsschaltung 220 nicht mit der Ermittlungsbedingungsspeichereinheit 223 versehen ist, führt die Nachrichtenermittlungseinheit 222 eine Verarbeitung der Ermittlung nach Maßgabe von Ermittlungsbedingungen aus, die als Schaltung definiert sind. Während die Verarbeitungseinheit 11 in dem Gateway 210 so konfiguriert ist, dass sie sowohl die Integration der Nachricht als auch deren Unterteilung ausführen kann, ist sie nicht hierauf beschränkt und kann auch so konfiguriert sein, dass sie entweder zur Integration der Nachricht oder zur Unterteilung der Nachricht in der Lage ist.
Da das Gateway 210 und die anderen Teile gemäß Ausführungsform 2 in ähnlicher Weise wie das Gateway 10 gemäß Ausführungsform 1 konfiguriert ist, sind gleiche Teile mit den gleichen Bezugszeichen bezeichnet und nicht ausführlich beschrieben.
Bezugszeichenliste

1: Fahrzeug
2, 3: Kommunikationsleitung
4: ECU
10: Gateway
11: Verarbeitungseinheit
11a: Weiterleitungsverarbeitungseinheit
12: Programmspeichereinheit
12a: Weiterleitungsprogramm (Software-Programm)
13a, 13b: CAN-Controller (Kommunikationseinheit)
20: Weiterleitungsüberwachungsschaltung (Verhinderungseinheit, Erfassungseinheit, Abbrucheinheit)
21: Nachrichtenspeichereinheit
22: Nachrichtenermittlungseinheit (Ermittlungseinheit)
210: Gateway
220: Weiterleitungsüberwachungsschaltung
222: Nachrichtenermittlungseinheit
223: Ermittlungsbedingungsspeichereinheit

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

JP 2014086812 A [0004]
JP 2011103577 A [0004]

Zitierte Nicht-Patentliteratur

K. Koscher, A. Czeskis, F. Roesner, S. Patel, T. Kohno, S. Checkoway, D. McCoy, B. Kantor, D. Anderson, H. Shacham, and S. Savage; Experimental Security Analysis of a Modern Automobile; In Proc. of the IEEE Symposium on Security and Privacy, pages 447-462, 2010 [0005]
Yoshihiro Ujiie, Takeshi Kishikawa, Tomoyuki Haga, Hideki Matsushima, Masato Tanabe, Yoshihiko Kitamura, Jun Anzai; Proposition on CAN filter in In-Vehicle Network, Symposium on Cryptography and Security (SCIS2015), 2015 [0005]

Claims

Weiterleitungsvorrichtung mit mehreren Kommunikationseinheiten, die jeweils mit einer Kommunikationsleitung verbunden sind, um das Senden und das Empfangen einer Nachricht durch die Kommunikationsleitung auszuführen, wobei die Weiterleitungsvorrichtung eine Nachricht zwischen den Kommunikationseinheiten weiterleitet, ferner umfassend: eine Nachrichtenspeichereinheit zum Speichern einer von der Kommunikationseinheit empfangenen Nachricht; eine Programmspeichereinheit zum Speichern eines Software-Programms zum Ausführen einer Weiterleitungsverarbeitung einer Nachricht; eine Verarbeitungseinheit zum Ausführen einer Weiterleitungsverarbeitung einer Nachricht durch Ausführen des in der Programmspeichereinheit gespeicherten Software-Programms; und eine Ermittlungseinheit zum Ermitteln der Zulässigkeit einer weiterzuleitenden Nachricht, wenn die Nachricht von der Verarbeitungseinheit an die Kommunikationseinheit geschickt wird, auf der Basis einer in der Nachrichtenspeichereinheit gespeicherten Nachricht.
Weiterleitungsvorrichtung nach Anspruch 1, ferner umfassend eine Verhinderungseinheit zum Verhindern des Sendens einer von der Ermittlungseinheit als unzulässig ermittelten Nachricht durch die Kommunikationseinheit.
Weiterleitungsvorrichtung nach Anspruch 1 oder 2, wobei die Ermittlungseinheit bestimmt, dass eine von der Verarbeitungseinheit an die Kommunikationseinheit geschickte weiterzuleitende Nachricht zulässig ist, wenn die weiterzuleitende Nachricht mit einer in der Nachrichtenspeichereinheit gespeicherten Nachricht übereinstimmt.
Weiterleitungsvorrichtung nach Anspruch 3, wobei die Ermittlungseinheit bestimmt, dass eine von der Verarbeitungseinheit an die Kommunikationseinheit geschickte weiterzuleitende Nachricht zulässig ist, wenn die weiterzuleitende Nachricht mit einer beliebigen der in der Nachrichtenspeichereinheit gespeicherten Nachrichten übereinstimmt, und die Nachrichtenspeichereinheit die von der Ermittlungseinheit als zulässig ermittelte und weitergeleitete Nachricht löscht.
Weiterleitungsvorrichtung nach Anspruch 1 oder 2, wobei die Ermittlungseinheit bestimmt, dass eine von der Verarbeitungseinheit an die Kommunikationseinheit geschickte weiterzuleitende Nachricht zulässig ist, wenn ein Teil der weiterzuleitenden Nachricht mit einem Teil der in der Nachrichtenspeichereinheit gespeicherten Nachricht übereinstimmt.
Weiterleitungsvorrichtung nach Anspruch 5, wobei die Nachricht eine Nachricht gemäß einem CAN-Kommunikationsprotokoll ist und der eine Teil zu einer ID und einem CRC korrespondiert, die in der Nachricht enthalten sind.
Weiterleitungsvorrichtung nach Anspruch 3, wobei die Verarbeitungseinheit das in der Programmspeichereinheit gespeicherte Software-Programm ausführt, um durch Integrieren von mehreren, von einer oder mehreren Kommunikationseinheiten erhaltenen, Nachrichten eine zur Weiterleitung bestimmte Nachricht zu erzeugen, und die Ermittlungseinheit bestimmt, dass die von der Verarbeitungseinheit an die Kommunikationseinheit geschickte, zur Weiterleitung bestimmte Nachricht zulässig ist, wenn ein Teil der zur Weiterleitung bestimmten Nachricht mit einem Teil von einer oder mehreren der in der Nachrichtenspeichereinheit gespeicherten Nachrichten übereinstimmt.
Weiterleitungsvorrichtung nach Anspruch 3, wobei die Verarbeitungseinheit das in der Programmspeichereinheit gespeicherte Software-Programm ausführt, um durch Unterteilen einer von der Kommunikationseinheit erhaltenen Nachricht mehrere zur Weiterleitung bestimmte Nachrichten zu erzeugen, und die Ermittlungseinheit bestimmt, dass die von der Verarbeitungseinheit an die Kommunikationseinheit geschickten, zur Weiterleitung bestimmten Nachrichten zulässig sind, wenn ein Teil der zur Weiterleitung bestimmten Nachrichten mit einem Teil einer in der Nachrichtenspeichereinheit gespeicherten Nachricht übereinstimmt.
Weiterleitungsvorrichtung nach einem der Ansprüche 1 bis 8, umfassend: eine Erfassungseinheit zum Erfassen einer Manipulation bei einer gesendeten Nachricht, während die Kommunikationseinheit eine von der Ermittlungseinheit als zulässig ermittelte Nachricht sendet; und eine Abbrucheinheit zum Abbrechen des Sendens einer Nachricht durch die Kommunikationseinheit, wenn die Erfassungseinheit eine Manipulation erfasst.