DE112020002989T5

DE112020002989T5 - Informationsverarbeitungsvorrichtung und verfahren zur bestimmung einer legitimierten kommunikation

Info

Publication number: DE112020002989T5
Application number: DE112020002989.1T
Authority: DE
Inventors: Momoka Kasuya; Nobuyoshi Morita; Kota IDEGUCHI
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2019-08-07
Filing date: 2020-07-20
Publication date: 2022-03-24
Also published as: CN114051710B; US20220360471A1; WO2021024786A1; JP2021027518A; US11824687B2; CN114051710A; JP7175858B2

Abstract

Informationsverarbeitungsvorrichtung, die zu aperiodischer Kommunikation und periodischer Kommunikation in der Lage ist, versehen mit einer Kommunikationsbestimmungseinheit, die einen Typ einer Kommunikationsnachricht bestimmt; einer ersten Verarbeitungsbestimmungseinheit, die eine Beziehung zwischen aperiodischer Kommunikation und periodischer Kommunikation bestimmt, indem sie eine erste Kommunikationsnachricht, für die der Typ als aperiodische Kommunikation bestimmt ist, und einen Vorhersagebereich für eine Zeitdauer für den Empfang einer zweiten Kommunikationsnachricht verwendet, für die der Typ als periodische Kommunikation bestimmt ist; und einer zweiten Verarbeitungsbestimmungseinheit, die bestimmt, dass die zweite Kommunikationsnachricht eine legitimierte Kommunikation für eine periodische Kommunikation in einem Fall ist, in dem die zweite Kommunikationsnachricht der periodischen Kommunikation, für die bestimmt wurde, dass sie eine Beziehung hat, eine vorbestimmte Zeitdauer später in dem Vorhersagebereich liegt.

Description

Technisches Gebiet
Die vorliegende Erfindung bezieht sich auf eine Informationsverarbeitungsvorrichtung und ein Verfahren zur Bestimmung einer legitimierten Kommunikation.
Stand der Technik
Ein Kraftfahrzeug wird durch eine Übertragung und einen Empfang von Kommunikationsnachrichten zwischen ECUs (Elektronischen Steuereinheiten) über ein bordeigenes Netzwerk gesteuert, das ein bordeigenes Kommunikationsprotokoll wie CAN (Controller Area Network) oder FlexRay (eingetragenes Warenzeichen) verwendet. Von den fahrzeuginternen Kommunikationsprotokollen zeichnet sich CAN beispielsweise dadurch aus, dass eine Kommunikationsnachricht an alle an einen Kommunikationsbus angeschlossenen ECUs gesendet wird, und die meisten von einem ECU gesendeten Kommunikationsnachrichten werden in einem im Voraus festgelegten periodischen Intervall gesendet.
In jüngster Zeit wurde zwar der Benutzerkomfort durch eine Verbindung zwischen einem bordeigenen Netzwerk und einem externen Netzwerk (z. B. dem Internet, Wi-Fi (eingetragenes Warenzeichen) oder einem Sensor) verbessert, doch wurde auf die Möglichkeit eines unbefugten Betriebs aufgrund der Übernahme einer ECU durch einen Angriff von außerhalb des Fahrzeugs hingewiesen. Als eine Methode zur Erkennung eines solchen Angriffs gibt es eine Erkennungsmethode, die das Merkmal nutzt, dass ein ECU periodisch Kommunikationsnachrichten sendet.
Zum Beispiel empfängt in Patentdokument 1 eine Empfangseinheit eine Nachricht, die periodisch von einer Kommunikationsvorrichtung in einem Netzwerk übertragen wird, eine Vorhersageeinheit sagt auf der Grundlage einer Nachrichtenübertragungsperiode die Anzahl der Nachrichten voraus, die die Empfangseinheit innerhalb einer vorbestimmten Überwachungsperiode empfangen wird, eine Zähleinheit zählt die Anzahl der von der Empfangseinheit innerhalb der Überwachungsperiode empfangenen Nachrichten, und eine Erkennungseinheit erkennt einen Angriff auf das Netzwerk auf der Grundlage eines Ergebnisses des Vergleichs eines von der Vorhersageeinheit erhaltenen Vorhersagewertes und eines von der Zähleinheit erhaltenen Zählwertes.
Dokument zum Stand der Technik
Patentdokument
Patentdokument 1: JP-2019-12899-A
Zusammenfassung der Erfindung
Mit der Erfindung zu lösende Probleme
Selbst bei Kommunikationsnachrichten, die wie bei CAN periodisch ausgegeben werden, gibt es Fälle, in denen Nachrichten aufgrund von Kollisionen oder Abbruch der Kommunikation nicht periodisch gesendet oder empfangen werden können. In diesem Fall gilt: Je mehr die tatsächliche Empfangszeit von der geschätzten Ankunftszeit abweicht, desto größer ist die Wahrscheinlichkeit, dass die Kommunikation fälschlicherweise als Angriff erkannt wird, selbst wenn es sich um eine legitimierte Kommunikation handelt. Da die Verzögerung von Kommunikationsnachrichten in Zukunft aufgrund der verbesserten Genauigkeit von Techniken zur Vorhersage periodischer Kommunikation oder der verbesserten Leistung von bordeigenen Netzen abnehmen wird, wird davon ausgegangen, dass solche Fehldetektionen abnehmen werden. Mit anderen Worten: Es wird davon ausgegangen, dass sich die Genauigkeit bei der Erkennung eines Angriffs verbessert, weil die Genauigkeit bei der Vorhersage der periodischen Kommunikation zunimmt.
Im Gegensatz dazu wird prognostiziert, dass mit zunehmender Vernetzung der Fahrzeuge die Kommunikation vom Typ mit aperiodischem Ereignis wie OTA (O-ver the Air), eine Technik zur Aktualisierung der Firmware über drahtlose Kommunikation, zunehmen wird. Viele kommunikationsfähige Vorrichtungen wie ECUs oder GWs (GateWays) sind an einen bestehenden Kommunikationsbus angeschlossen. Da der Nutzungsgrad der Kommunikationsbusse hoch ist, besteht die Möglichkeit, dass es in Zukunft viele Verzögerungen bei der periodischen Kommunikation geben wird, die mit der Zunahme der aperiodischen Kommunikation einhergehen. Mit anderen Worten: Selbst wenn sich die Genauigkeit der Erkennung von Angriffen in der periodischen Kommunikation verbessert, besteht die Möglichkeit, dass legitimierte Kommunikation aufgrund der Zunahme der aperiodischen Kommunikation falsch erkannt wird.
Das Patentdokument 1 geht nicht auf diesen Punkt ein, nämlich darauf, dass Fehldetektionen mit Verzögerungen bei der periodischen Kommunikation aufgrund der oben beschriebenen aperiodischen Kommunikation einhergehen. Da zudem im Patentdokument 1 ein Angriff durch den Vergleich der vorhergesagten Anzahl der empfangenen Kommunikationsnachrichten mit der Anzahl der tatsächlich empfangenen Kommunikationsnachrichten erkannt wird, besteht in dem Fall, in dem eine Abweichung in der Anzahl der gezählten Nachrichten aus irgendeinem Grund auftritt und nicht korrekt bestimmt werden kann, ob es sich um eine legitimierte Kommunikation handelt, immer noch die Möglichkeit einer falschen Erkennung als Angriff. Anstatt einfach nur die Anzahl der Kommunikationsnachrichten zu zählen, ist es daher notwendig, eine Technik zu entwickeln, die sich auf die Beziehung zwischen den Kommunikationen konzentriert, insbesondere auf die Beziehung zwischen periodischer Kommunikation und aperiodischer Kommunikation, und die korrekt bestimmt, dass eine verzögerte Kommunikationsnachricht eine legitimierte Kommunikation für periodische Kommunikation ist.
Eine Aufgabe eines Aspekts der vorliegenden Erfindung ist es, ein Verfahren zur korrekten Bestimmung, dass eine verzögerte Kommunikationsnachricht eine legitimierte Kommunikation für eine periodische Kommunikation ist, bereitzustellen.
Mittel zum Lösen der Probleme
Eine Informationsverarbeitungsvorrichtung gemäß einem Aspekt der vorliegenden Erfindung ist als eine Informationsverarbeitungsvorrichtung konfiguriert, das zur aperiodischen Kommunikation und zur periodischen Kommunikation in der Lage ist und umfasst: eine Kommunikationsbestimmungseinheit, die einen Typ einer Kommunikationsnachricht bestimmt; eine erste Verarbeitungsbestimmungseinheit, die eine Beziehung zwischen aperiodischer Kommunikation und periodischer Kommunikation bestimmt, indem sie eine erste Kommunikationsnachricht, für die der Typ als aperiodische Kommunikation bestimmt ist, und einen Vorhersagebereich für eine Zeitdauer für den Empfang einer zweiten Kommunikationsnachricht verwendet, für die der Typ als periodische Kommunikation bestimmt ist; und eine zweite Verarbeitungsbestimmungseinheit, die bestimmt, dass die zweite Kommunikationsnachricht eine legitimierte Kommunikation für eine periodische Kommunikation in einem Fall ist, in dem die zweite Kommunikationsnachricht der periodischen Kommunikation, für die bestimmt wurde, dass sie eine Beziehung hat, eine vorbestimmte Zeitdauer später in dem Vorhersagebereich liegt.
Einzelheiten zu mindestens einer Implementierung des in der vorliegenden Beschreibung offengelegten Gegenstands sind in den beigefügten Zeichnungen und der folgenden Beschreibung dargelegt. Weitere Merkmale, Aspekte und Auswirkungen des offengelegten Gegenstands werden aus der folgenden Offenlegung, den Zeichnungen und den Ansprüchen ersichtlich.
Vorteile der Erfindung
Durch einen Aspekt der vorliegenden Erfindung ist es möglich, korrekt zu bestimmen, dass eine verzögerte Kommunikationsnachricht eine legitimierte Kommunikation für eine periodische Kommunikation ist.
Figurenliste

1 ist eine Blockansicht, die ein Beispiel für eine funktionelle Konfiguration einer Informationsverarbeitungsvorrichtung gemäß der vorliegenden Ausführungsform zeigt.
2A ist ein Sequenzdiagramm, das einen Überblick über ein Beispiel für die Verarbeitung zum Zeitpunkt des Empfangs einer aperiodischen Kommunikation gibt.
2B ist ein Sequenzdiagramm, das einen Überblick über ein Beispiel der Verarbeitung zum Zeitpunkt des Empfangs einer periodischen Kommunikation gibt.
3 ist ein Flussdiagramm, das ein Beispiel für einen detaillierten Verarbeitungsvorgang für eine Informationsverarbeitungsvorrichtung in 2B zeigt.
4 ist ein Flussdiagramm, das ein Beispiel für ein Verarbeitungsverfahren zur Verarbeitung (Schritt S311) zur Verwendung einer zusätzlichen Zeitdauer zur Korrektur eines Vorhersagebereichs zeigt.
5 zeigt ein Beispiel für eine Kommunikationsbestimmungsinformation.
6 veranschaulicht ein Beispiel für eine Flag-Erkennungsinformation.
7A ist eine Ansicht, die ein Beispiel für Information zur Erkennung von Anomalien (vor der Korrektur) zeigt.
7B ist eine Ansicht, die ein Beispiel für Informationen zur Erkennung von Anomalien (nach der Korrektur) zeigt.
8 ist eine Ansicht, die einen Überblick über ein Beispiel für ein Verfahren zur Erkennung legitimierter Kommunikation unter Verwendung der vorliegenden Ausführungsform gibt.

Beschreibung von Ausführungsformen
Ausführungsformen der vorliegenden Erfindung werden im Folgenden unter Bezugnahme auf die Zeichnungen beschrieben. Die folgende Beschreibung und die Zeichnungen sind Beispiele für die Beschreibung der vorliegenden Erfindung und werden gegebenenfalls weggelassen und vereinfacht, um die Beschreibung zu verdeutlichen. Die vorliegende Erfindung kann in verschiedenen anderen Formen umgesetzt werden. Wenn nicht anders angegeben, können die Bestandteile in der Einzahl oder Mehrzahl stehen.
Um das Verständnis der Erfindung zu erleichtern, gibt es Fälle, in denen die in den Zeichnungen dargestellten Positionen, Größen, Formen, Bereiche usw. von Bauteilen nicht den tatsächlichen Positionen, Größen, Formen, Bereichen usw. entsprechen. Dementsprechend ist die vorliegende Erfindung nicht unbedingt auf die in den Zeichnungen dargestellten Positionen, Größen, Formen, Bereiche usw. beschränkt.
In der folgenden Beschreibung können verschiedene Informationen durch Ausdrücke wie „Tabelle“ und „Liste“ beschrieben werden, aber die verschiedenen Informationen können auch als andere Datenstrukturen ausgedrückt werden. Um die Unabhängigkeit von einer Datenstruktur zu verdeutlichen, können „xx-Tabelle“, „xx-Liste“ usw. als „xx-Informationen“ bezeichnet werden. Bei der Beschreibung von Identifizierungsinformationen können Ausdrücke wie „Identifizierungsinformationen“, „Kennung“, „Name“, „ID“ und „Nummer“ untereinander ausgetauscht werden.
Bei einer Vielzahl von Bauteilen mit gleicher oder ähnlicher Funktionalität gibt es Fälle, in denen die Beschreibung im Wesentlichen durch das Anbringen verschiedener Suffixe an das gleiche Referenzsymbol erfolgt. Besteht jedoch keine Notwendigkeit, zwischen dieser Vielzahl von Bestandteilen zu unterscheiden, kann die Beschreibung auch ohne den Zusatz erfolgen.
Zudem kann in der folgenden Beschreibung eine Verarbeitung, die durch Ausführung eines Programms durchgeführt wird, beschrieben sein, da jedoch das Programm von einem Prozessor (z. B. einer CPU (Central Processing Unit) oder einer GPU (Graphics Processing Unit)) ausgeführt wird, um eine definierte Verarbeitung durchzuführen, während geeignet eine Speicherressource (z. B. ein Speicher) und/oder eine Schnittstelleneinrichtung (z. B. ein Kommunikationsanschluss) oder Ähnliches verwendet wird, kann der Prozessor als Ausführender der Verarbeitung angegeben werden. In ähnlicher Weise kann der Ausführende der Verarbeitung, die durch die Ausführung eines Programms erfolgt, ein Controller, eine Vorrichtung, ein System, ein Computer oder ein Knoten sein, die alle einen Prozessor haben. Der Ausführende der durch die Ausführung eines Programms durchgeführten Verarbeitung kann eine Recheneinheit sein oder eine spezielle Schaltung (z. B. ein FPGA (Field-Programmable Gate Array) oder ein ASIC (Application-Specific Integrated Circuit)) umfassen, die eine bestimmte Verarbeitung durchführt.
Ein Programm kann auf einer Vorrichtung, z. B. einem Computer, aus einer Programmquelle installiert werden. Bei der Programmquelle kann es sich um Speichermedien handeln, die z. B. von einem Programmverteilungsserver oder einem Computer gelesen werden können. In dem Fall, dass sich die Programmquelle auf einem Programmverteilungsserver befindet, kann es sein, dass der Programmverteilungsserver einen Prozessor und eine Speicherressource enthält, die ein zu verteilendes Programm speichert, und der Prozessor im Programmverteilungsserver das zu verteilende Programm an einen anderen Computer verteilt. Darüber hinaus können in der folgenden Beschreibung zwei oder mehr Programme als ein Programm realisiert werden und ein Programm als zwei oder mehr Programme realisiert werden.
Im Folgenden bestimmt eine bestimmte Informationsverarbeitungsvorrichtung in einem Fahrzeugsystem, an das mehrere Informationsverarbeitungsvorrichtungen angeschlossen sind (z. B. Informationsverarbeitungsvorrichtungen, die zur Kommunikation fähig sind und eine Anomalie in einer elektronischen Steuereinheit des Fahrzeugsystems erkennen), den Status der von einer anderen Informationsverarbeitungsvorrichtung übertragenen Kommunikation, z. B. das Vorhandensein oder Nichtvorhandensein einer aperiodischen Kommunikation und die Beziehung zwischen aperiodischer Kommunikation und periodischer Kommunikation. Es wird davon ausgegangen, dass eine Verzögerung einer Kommunikationsnachricht gemäß einer periodischen Kommunikation (eine zweite Kommunikationsnachricht) in der ersten Kommunikationsnachricht der periodischen Kommunikation auftritt, die nach einer Kommunikationsnachricht gemäß einer aperiodischen Kommunikation (eine erste Kommunikationsnachricht) empfangen wird. Die Feststellung, dass es sich um eine legitimierte Kommunikation handelt, wird für die oben erwähnte erste Kommunikationsnachricht für periodische Kommunikation getroffen, für die die oben erwähnte Beziehung festgestellt wurde. Selbst in dem Fall, dass die oben erwähnte erste Kommunikationsnachricht verzögert ist, wird, wie unten beschrieben, ein Vorhersagebereich für die Empfangszeitdauer der oben erwähnten ersten Kommunikationsnachricht korrigiert, die Bestimmung, ob es sich um eine legitimierte Kommunikation handelt, erneut durchgeführt, und die verzögerte periodische Kommunikation wird als legitimierte Kommunikation bestimmt. Nachfolgend werden eine Informationsverarbeitungsvorrichtung und ein Verfahren zur Bestimmung einer legitimierten Kommunikation gemäß der vorliegenden Ausführungsform detailliert beschrieben, aber es gibt keine Beschränkung auf dieses Beispiel. Die Anwendung kann beispielsweise auf verschiedene Informationsverarbeitungsvorrichtungen in Umgebungen erfolgen, in denen sich periodische Kommunikation und aperiodische Kommunikation vermischen, wie z. B. ein IT- (Informationstechnologie) -System oder ein Kontrollsystem für ein anderes als ein Fahrzeugsystem.
1 ist eine Blockansicht, die ein Beispiel für eine funktionelle Konfiguration einer Informationsverarbeitungsvorrichtung gemäß der vorliegenden Ausführungsform zeigt. Wie in 1 dargestellt, ist eine Informationsverarbeitungsvorrichtung 10 mit einer Kommunikationseinheit 100, einer Informationsbeschaffungseinheit 110, einer Kommunikationsbestimmungseinheit 120, einer Anomaliebestimmungseinheit 130, einer Einheit 140 zur Berechnung des zulässigen Bereichs , einer Flag-Steuereinheit 150, einer Einheit 160 zur Aktualisierung der Anomaliebestimmungsinformationen , einer Normalverarbeitungseinheit 170, einer Anomalieverarbeitungseinheit 180 und einer Speichereinheit 190 für Beziehungsinformation ausgestattet. Die Speichereinheit 190 für Beziehungsinformation ist aus einem Speichermedium wie einem typischen Speicher (z. B. einem RAM (Random-Access Memory)) als Hardware konfiguriert und speichert Kommunikationsbestimmungsinformationen 191, Anomaliebestimmungsinformationen 192 und Flag-Erkennungsinformationen 193. Die Informationsverarbeitungsvorrichtung 10 ist mit einer anderen Informationsverarbeitungsvorrichtung über einen Kommunikationsbus 2 verbunden.
Vor der Beschreibung der einzelnen Funktionskonfigurationen der Informationsverarbeitungsvorrichtung 10 werden hier die denkbaren Verbindungen zur Informationsverarbeitungsvorrichtung beschrieben.
Die informationsverarbeitende Vorrichtung 10 ist eine von mehreren informationsverarbeitenden Vorrichtungen in einem Fahrzeug und stellt z. B. ein typisches ECU oder ein GW als Hardware dar. Innerhalb des Fahrzeugs wird ein bus- oder sternförmiges Kommunikationssystem mit mehreren Informationsverarbeitungsvorrichtungen aufgebaut. Als Standard für den Kommunikationsbus 2 ist es z.B. möglich, verschiedene Standards zur Durchführung der periodischen Kommunikation wie CAN, FlexRay, LIN (Local Interconnect Network) oder Ethernet zu verwenden. Bei der folgenden Beschreibung wird jedoch davon ausgegangen, dass CAN als Beispiel für den Kommunikationsbus 2 verwendet wird.
Darüber hinaus wird die Funktionalität jeder der oben genannten Einheiten, über die die Informationsverarbeitungsvorrichtung 10 verfügt, beispielsweise dadurch realisiert, dass die CPU eines ECU ein Programm aus einem ROM (Read Only Memory) ausliest und die Verarbeitung durch Lesen und Schreiben in Bezug auf einen RAM ausführt. Das oben genannte Programm kann beispielsweise von einem Speichermedium wie einem USB-Speicher (Universal Serial Bus) ausgelesen oder von einem anderen Computer (z. B. einem Server oder einer Cloud, die das ECU verwalten) über ein Netzwerk heruntergeladen werden.
Ab hier werden die Funktionen der in 1 dargestellten Informationsverarbeitungsvorrichtung 10 beschrieben. Einige der nachstehend beschriebenen Funktionen können jedoch auch in einem System außerhalb des Fahrzeugs, z. B. in einem SOC (Security Operation Center), oder in einem anderen fahrzeuginternen Gerät bereitgestellt werden.
Die Kommunikationseinheit 100 empfängt über den Kommunikationsbus 2 eine von einer anderen Informationsverarbeitungsvorrichtung 10 übertragene Kommunikationsnachricht oder überträgt ein Ergebnis der Verarbeitung durch die Informationsverarbeitungsvorrichtung 10 an eine andere Informationsverarbeitungsvorrichtung 10.
Die Informationsbeschaffungseinheit 110 liest Identifikationsinformationen (eine CAN-ID) aus einer Kommunikationsnachricht, die von der Kommunikationseinheit 100 empfangen wurde. Auf der Grundlage der gelesenen CAN-ID berechnet die Informationsbeschaffungseinheit 110 eine Empfangszeit für die empfangene Kommunikationsnachricht. Bei Kommunikationsnachrichten mit der gleichen CAN-ID ist die Empfangszeit das Intervall zwischen der Empfangszeit einer Kommunikationsnachricht, die zu einem bestimmten Zeitpunkt empfangen wurde, und der Empfangszeit einer Kommunikationsnachricht, die zu einem davor liegenden Zeitpunkt empfangen wurde. Für das Verfahren zur Berechnung der Empfangszeit ist es z.B. möglich, ein Verfahren zu verwenden, das einen von der Informationsverarbeitungsvorrichtung 10 geführten Zeitgeber, eine von der Informationsverarbeitungsvorrichtung 10 verwendete Uhr oder einen einer Kommunikationsnachricht hinzugefügten Zeitstempel verwendet. Es ist zu beachten, dass das Intervall zwischen Empfangszeiten zwar im Folgenden als Empfangszeit verwendet wird, dass es aber ausreicht, wenn festgestellt werden kann, dass Kommunikationsnachrichten zu bestimmten Zeiten empfangen wurden, und dass es in diesem Fall möglich ist, das Intervall zwischen diesen festgestellten Zeitpunkten als Empfangszeitdauer festzulegen.
Die Kommunikationsbestimmungseinheit 120 bestimmt einen Kommunikationstyp auf der Grundlage der von der Informationsbeschaffungseinheit 110 gelesenen CAN-ID. Um den Kommunikationstyp zu bestimmen, verwendet die Kommunikationsbestimmungseinheit 120 die Kommunikationsbestimmungsinformationen 191 (5), bei denen es sich um eine in der Speichereinheit 190 für Beziehungsinformation gespeicherte Tabelle handelt.
5 zeigt ein Beispiel für die Kommunikationsbestimmungsinformation 191. Die Kommunikationsbestimmungsinformation 191 definiert eine Kommunikationsart für jede CAN-ID. Die Art der Kommunikation wird z. B. in periodische und aperiodische Kommunikation unterteilt. 5 zeigt, dass es sich bei der Kommunikation mit einer CAN-ID von beispielsweise „0x01“ um eine periodische Kommunikation handelt.
Darüber hinaus weist in dem Fall, wenn der Kommunikationstyp der empfangenen Kommunikationsnachricht eine aperiodische Kommunikation ist, die Kommunikationsbestimmungseinheit 120 die Flag-Steuereinheit 150 an, in der Flag-Erkennungsinformation 193 (6), die eine in der Speichereinheit 190 für Beziehungsinformation gespeicherte Tabelle ist, einen Flag 1932 für die Erkennung aperiodischer Kommunikation aufzuzeichnen, die anzeigt, dass eine Kommunikationsnachricht für periodische Kommunikation empfangen wurde.
6 zeigt ein Beispiel für die Flag-Erkennungsinformationen 193. Die Flag-Erkennungsinformation 193 ist eine Information, die zur Bestimmung der Beziehung zwischen aperiodischer Kommunikation und periodischer Kommunikation verwendet wird. Für jede CAN-ID für periodische Kommunikation speichert die Flag-Erkennungsinformation 193 eine Beziehung aus einem Flag für die Erkennung aperiodischer Kommunikation und einem Flag für die Verarbeitung von Anomaliezeiten. 6 zeigt, dass bei periodischer Kommunikation, die beispielsweise durch eine CAN-ID von „0x01“ identifiziert wird, der Flag 1932 zur Erkennung aperiodischer Kommunikation und der Flag 1933 zur Verarbeitung von Anomaliezeit beide auf „1“ gesetzt sind. Darüber hinaus wird eine aperiodische Kommunikations-CAN-ID „0x05“ in Verbindung mit dem Flag 1932 zur Erkennung aperiodischer Kommunikation gespeichert, und es ist möglich, eine aperiodische Kommunikations-CAN-ID zu identifizieren. Die aperiodische Kommunikation CAN-ID „0x05“ wird ebenfalls für die Kommunikation mit der CAN-ID „0x03“ gespeichert.
Die Anomaliebestimmungseinheit 130 ist eine Verarbeitungseinheit, die in einem Fall arbeitet, in dem die Kommunikationsbestimmungseinheit 120 bestimmt, dass der Kommunikationstyp einer empfangenen Kommunikationsnachricht eine periodische Kommunikation ist. Die Anomaliebestimmungseinheit 130 bestimmt, ob die Empfangszeit einer Kommunikationsnachricht für aperiodische Kommunikation, für die der Flag 1932 zur Erkennung aperiodischer Kommunikation gesetzt ist, innerhalb eines Vorhersagebereichs der Zeitdauer des Empfangs periodischer Kommunikation liegt, der im Folgenden beschrieben wird. Es ist zu beachten, dass, obwohl die oben erwähnte Bestimmung unter Verwendung der Empfangszeit einer Kommunikationsnachricht für aperiodische Kommunikation unten durchgeführt wird, es ausreichend ist, wenn es möglich ist, den Empfang einer Kommunikationsnachricht für aperiodische Kommunikation zu einem bestimmten Zeitpunkt zu erkennen. In diesem Fall genügt es, wenn festgestellt wird, ob die zu einem bestimmten Zeitpunkt erfasste Kommunikationsnachricht für aperiodische Kommunikation innerhalb des oben genannten Vorhersagebereichs liegt.
In einem Fall, in dem die Anomalie-Bestimmungseinheit 130 festgestellt hat, dass die Empfangszeit der Kommunikationsnachricht für aperiodische Kommunikation, für die der Erkennungsflag 1932 für aperiodische Kommunikation gesetzt ist, innerhalb eines Vorhersagebereichs für die Empfangszeitdauer der periodischen Kommunikation liegt, der später beschrieben wird, bestimmt die Anomalie-Bestimmungseinheit 130, dass die aperiodische Kommunikation und die periodische Kommunikation eine Beziehung haben. Darüber hinaus bestimmt die Anomalie-Bestimmungseinheit 130, ob die Kommunikationsnachricht für periodische Kommunikation, für die eine Beziehung festgestellt wurde, innerhalb des oben genannten Vorhersagebereichs für die Empfangszeitdauer liegt. In einem Fall, in dem festgestellt wurde, dass die Kommunikationsnachricht für periodische Kommunikation, für die eine Beziehung festgestellt wurde, innerhalb des oben erwähnten Vorhersagebereichs für die Empfangszeitdauer liegt, bestimmt die Anomaliebestimmungseinheit 130, dass die Kommunikationsnachricht für periodische Kommunikation eine Kommunikationsnachricht in Übereinstimmung mit legitimierter Kommunikation ist.
Im Gegensatz dazu bestimmt die Anomaliebestimmungseinheit 130 in einem Fall, in dem festgestellt wurde, dass die Kommunikationsnachricht für periodische Kommunikation, für die eine Beziehung festgestellt wurde, nicht innerhalb des oben erwähnten Vorhersagebereichs für die Empfangszeitdauer liegt, weiterhin, ob die Kommunikationsnachricht für periodische Kommunikation innerhalb eines korrigierten Vorhersagebereichs für die Empfangszeitdauer liegt, der später beschrieben wird. In einem Fall, in dem festgestellt wird, dass die Kommunikationsnachricht für periodische Kommunikation innerhalb des korrigierten Vorhersagebereichs für die Empfangszeitdauer liegt, der weiter unten beschrieben wird, stellt die Anomaliebestimmungseinheit 130 fest, dass die Kommunikationsnachricht für periodische Kommunikation eine Kommunikationsnachricht in Übereinstimmung mit der legitimierten Kommunikation ist, die ursprünglich innerhalb des unkorrigierten Vorhersagebereichs hätte empfangen werden sollen und die durch die aperiodische Kommunikation verzögert wurde, bei der festgestellt wurde, dass sie eine Beziehung hat, und bestimmt, dass die Kommunikationsnachricht für periodische Kommunikation eine Kommunikationsnachricht in Übereinstimmung mit der legitimierten Kommunikation ist.
In anderen Fällen bestimmt die Einheit 130 zur Bestimmung von Anomalien, dass es sich bei der empfangenen Kommunikationsnachricht für periodische Kommunikation möglicherweise um eine Anomalie und nicht um eine legitimierte Kommunikation handelt. Die spezifische Verarbeitung für diesen Fall wird im Folgenden anhand von 3 beschrieben.
Um diese Bestimmungen durchzuführen, verwendet die Anomalie-Bestimmungseinheit 130 Information über den zulässigen Bereich, die in den Anomalie-Bestimmungsinformationen 192 (7A und 7B) gespeichert sind, bei denen es sich um eine Tabelle handelt, die in der Speichereinheit 190 für Beziehungsinformation gespeichert ist. Die Information über den zulässigen Bereich gibt einen Vorhersagebereich für die Empfangszeitdauer an, in dem festgestellt werden kann, dass eine Kommunikationsnachricht, die als nächstes nach einer empfangenen Kommunikationsnachricht empfangen wird, eine legitimierte Kommunikation ist. In den 7A und 7B sind eine minimal zulässige Zeitdauer 1922 und eine maximal zulässige Zeitdauer 1923 als Information des zulässigen Bereichs definiert, und eine legitimierte Kommunikation wird festgestellt, wenn der Vorhersagebereich der Empfangszeitdauer zwischen der minimal zulässigen Zeitdauer 1922 und der maximal zulässigen Zeitdauer 1923 liegt. Der Vorhersagebereich ist die Zeitdauer zwischen der minimal zulässigen Zeitdauer 1922 und der maximal zulässigen Zeitdauer 1923. 7A zeigt beispielsweise, dass eine durch die CAN-ID „0x01“ identifizierte Kommunikation als legitimierte Kommunikation eingestuft wird, wenn die Kommunikation zwischen einem Minimalwert „9,86 Sekunden“ und einem Maximalwert „9,88 Sekunden“ für die als Vorhersagebereich zulässige Empfangszeit liegt. Außerdem wird in dem Fall, in dem die Empfangszeit für eine Kommunikationsnachricht für aperiodische Kommunikation, für die der Flag 1932 zur Erkennung aperiodischer Kommunikation gesetzt ist, innerhalb des oben genannten Vorhersagebereichs des minimalen Werts „9,86 Sekunden“ und des maximalen Werts „9,88 Sekunden“ liegt, festgestellt, dass die aperiodische Kommunikation (z. B. CAN-ID „0x05“) und die periodische Kommunikation (z. B. CAN-ID „0x01‟) miteinander in Beziehung stehen. Es ist zu beachten, dass die Anfangswerte für die minimal zulässige Zeitdauer 1922 und die maximal zulässige Zeitdauer 1923 beispielsweise im Voraus von der Anomaliebestimmungseinheit 130 unter Verwendung einer Zeitdauer, die ein vorbestimmtes Vielfaches einer Periode 1924 ist, festgelegt werden können.
In einem Fall, in dem die Anomalie-Bestimmungseinheit 130 festgestellt hat, dass die oben erwähnte Möglichkeit einer Anomalie besteht, aber als Ergebnis festgestellt hat, dass keine Anomalie vorliegt, korrigiert die Berechnungseinheit 140 für den zulässigen Bereich den oben erwähnten Empfangszeitdauervorhersagebereich unter Verwendung einer zusätzlichen Zeit 1925. Darüber hinaus verwendet die Einheit 140 zur Berechnung des zulässigen Bereichs in einem Fall, in dem die Anomaliebestimmungseinheit 130 festgestellt hat, dass es sich bei einer Kommunikationsnachricht für periodische Kommunikation um eine Kommunikationsnachricht in Übereinstimmung mit einer legitimierten Kommunikation handelt, die Periode 1924, um den Vorhersagebereich der Empfangszeitdauer für eine Kommunikationsnachricht zu berechnen, die zu einem nächsten Zeitpunkt zu empfangen ist.
Die Flag-Steuereinheit 150 steuert einen Flag gemäß einem angewiesenen Befehl in einem Fall, in dem von der Kommunikationsbestimmungseinheit 120 bestimmt wird, dass es sich bei einer Kommunikationsnachricht um eine aperiodische Kommunikation handelt, in einem Fall, in dem ein Vorhersagebereich in der Berechnungseinheit 140 für den zulässigen Bereich korrigiert wird, oder in einem Fall, in dem ein Befehl von einer entsprechenden Einheit wie der Aktualisierungseinheit 160 für Anomaliebestimmungsinformationen, der Normalverarbeitungseinheit 170 oder der Anomalieverarbeitungseinheit 180 erteilt wird.
Auf der Grundlage des Empfangszeitdauervorhersagebereichs für die zum nächsten Zeitpunkt zu empfangende Kommunikationsnachricht, der von der Einheit 140 zur Berechnung des zulässigen Bereichs berechnet wird, aktualisiert die Einheit 160 zur Aktualisierung der Anomaliebestimmungsinformation die in der Anomaliebestimmungsinformation 192 gespeicherte Information zum zulässigen Bereich. Darüber hinaus aktualisiert die Einheit 160 zur Aktualisierung von Anomaliebestimmungsinformationen auf der Grundlage des Empfangszeitdauervorhersagebereichs der Kommunikationsnachricht, der von der Einheit 140 zur Berechnung des zulässigen Bereichs korrigiert wurde, die in den Anomaliebestimmungsinformation 192 gespeicherten Information über den zulässigen Bereich und weist die Flag-Steuereinheit 150 an, den Anomaliezeitverarbeitungsflag 1933 der Flag-Erkennungsinformation 193 zu setzen. Zum Beispiel weist die Einheit 160 zur Aktualisierung der Anomaliebestimmungsinformation die Flag-Steuerungseinheit 150 an, den Wert des Flags 1933 zur Verarbeitung der Anomaliezeit von „0“ auf „1“ zu aktualisieren.
In dem Fall, in dem die Anomalie-Bestimmungseinheit 130 festgestellt hat, dass eine Kommunikationsnachricht für periodische Kommunikation eine Kommunikationsnachricht in Übereinstimmung mit legitimierter Kommunikation ist, führt die Normalverarbeitungseinheit 170 als Normalzeit-Verarbeitung die Steuerverarbeitung aus, die in der empfangenen Kommunikationsnachricht angewiesen wurde. Darüber hinaus weist die Normalverarbeitungseinheit 170 die Flag-Steuereinheit 150 an, die auf den Flag 1932 für die Erkennung aperiodischer Kommunikation und den Flag 1933 für die Anomaliezeitverarbeitung gesetzten Werte zurückzusetzen. Wenn diese Flags zum Beispiel auf „1“ gesetzt sind, weist die Normalverarbeitungseinheit 170 an, diese Werte von „1“ auf „0“ zurückzusetzen.
In einem Fall, in dem die Anomaliebestimmungseinheit 130 feststellt, dass eine empfangene Kommunikationsnachricht für periodische Kommunikation eine Anomalie und keine legitimierte Kommunikation ist, führt die Anomalieverarbeitungseinheit 180 eine Steuerverarbeitung durch, die eine Anomaliezeitverarbeitung ist. Die Anomalieverarbeitungseinheit 180 führt beispielsweise eine Steuerungsverarbeitung durch, um die Kommunikationsnachricht zu verwerfen oder eine Warnung auszugeben. Für diese Steuerverarbeitung kann eine Verarbeitungsmethode geändert werden, je nachdem, ob die Berechnungseinheit 140 für den zulässigen Bereich den oben erwähnten Empfangszeitdauervorhersagebereich korrigiert hat.
Zum Beispiel verwirft in einem Fall, in dem die Anomalie-Bestimmungseinheit 130 festgestellt hat, dass eine Kommunikationsnachricht für periodische Kommunikation eine Anomalie ist, in einem Fall, in dem die Kommunikationsnachricht für periodische Kommunikation nicht innerhalb des unkorrigierten Empfangszeitdauervorhersagebereichs liegt, die Anomalie-Verarbeitungseinheit 180 die Kommunikationsnachricht. Im Gegensatz dazu bestimmt die Anomalieverarbeitungseinheit 180 in einem Fall, in dem festgestellt wird, dass eine Kommunikationsnachricht für periodische Kommunikation eine Anomalie ist, wenn die Kommunikationsnachricht für periodische Kommunikation nicht innerhalb eines korrigierten Empfangszeitdauervorhersagebereichs liegt, dass es immer noch nicht möglich war, die Kommunikationsnachricht für periodische Kommunikation zu empfangen, selbst nachdem der Vorhersagebereich korrigiert wurde. Zusätzlich zum Verwerfen dieser Kommunikationsnachricht überträgt die Anomalieverarbeitungseinheit 180 auch über ein drahtloses Netzwerk eine Warnnachricht, die einen Alarm anzeigt, oder eine Anomaliebestimmungsstatusinformation, die einen Status anzeigt, in dem eine Anomalie festgestellt wurde, an ein externes System (z. B. einen Server oder eine Cloud, der/die das bordeigene System überwacht), das die Informationsverarbeitungsvorrichtung 10 verwaltet, und zeigt die oben genannte Warnnachricht und die Anomaliebestimmungsstatusinformation auf einer mit diesem System verbundenen Anzeigevorrichtung an. Ein Verwalter, der diese Informationen bestätigt hat, kann z. B. eine Entscheidung über diesen Status treffen und ein im Voraus registriertes Verbindungsziel benachrichtigen und einem Benutzer des Fahrzeugs, in dem die Informationsverarbeitungsvorrichtung 10 eingebaut ist, entsprechende Hinweise geben. Natürlich kann die Anomalieverarbeitungseinheit 180 die oben erwähnte Warnmeldung oder die Information über den Status der Anomaliebestimmung an einer Anzeigevorrichtung in dem Fahrzeug anzeigen, in dem die Informationsverarbeitungsvorrichtung 10 eingebaut ist (zum Beispiel auf einer Konsole im Fahrzeug). In diesem Fall ist es möglich, diese Informationen direkt an den Benutzer zu übermitteln, der das Fahrzeug bedient.
Die oben beschriebene Statusinformation zur Anomaliebestimmung ist, wie beispielsweise in der unten beschriebenen 8 dargestellt, eine Bildschirminformation, die konzeptionell einen Status darstellt, wenn eine Anomalie durch die Anomaliebestimmungseinheit 130 bestimmt wird, und die einen unkorrigierten Empfangszeitdauervorhersagebereich 802 und einen korrigierten Empfangszeitdauervorhersagebereich 802', eine Information (X1 und ID 5 und X2 und ID 4), die eine Kommunikationsnachricht für aperiodische Kommunikation anzeigt, für die bestimmt wurde, dass sie eine Beziehung hat, und eine Information (M2 und ID 2) umfasst, die eine Kommunikationsnachricht für periodische Kommunikation anzeigt, für die bestimmt wurde, dass sie eine Beziehung hat, und die ursprünglich innerhalb des unkorrigierten Empfangszeitdauervorhersagebereichs 802 empfangen werden sollte. Die Anomalieverarbeitungseinheit 180 kann die hinzugefügte Zeitdauer 1925 (Δt Sekunden) in die Bildschirminformationen aufnehmen. Dadurch ist es möglich zu erfassen, um wie viel der Vorhersagebereich abgewichen ist, und es ist möglich festzulegen, um wie viel der Vorhersagebereich abgewichen ist, und zwar als Basis für eine Bestimmung der Ursache in einem Fall, in dem eine Anomalie festgestellt wird.
Darüber hinaus kann die Anomalieverarbeitungseinheit 180 in den Bildschirminformationen Informationen (M1 und ID 2) enthalten, die eine Kommunikationsnachricht für periodische Kommunikation anzeigen, die als in Beziehung stehend bestimmt wurde und die innerhalb des unkorrigierten Empfangszeitdauervorhersagebereichs 801 empfangen wurde. Folglich ist es möglich, die zeitliche Position einer Kommunikationsnachricht für periodische Kommunikation innerhalb des Vorhersagebereichs 801 zu erfassen, und es ist möglich, die zeitliche Position als Grundlage für eine Bestimmung zur Vorhersage der Möglichkeit zu verwenden, dass eine Korrektur des Empfangszeitdauervorhersagebereichs periodisch nach der zeitlichen Position erforderlich sein wird.
In einem Fall, in dem eine empfangene Kommunikationsnachricht für periodische Kommunikation als Anomalie und nicht als legitimierte Kommunikation bestimmt wird, werden Informationen (M2 und ID 2), die eine Kommunikationsnachricht für periodische Kommunikation anzeigen, die außerhalb des Bereichs für die oben erwähnte Information 802' des zulässigen Bereichs liegt und die ursprünglich innerhalb des unkorrigierten Empfangszeitdauervorhersagebereichs 802 hätte empfangen werden sollen, in den Statusinformationen zur Anomaliebestimmung angezeigt, oder die oben erwähnte Warnmeldung, dass die periodische Kommunikation weiter über den korrigierten Empfangszeitvorhersagebereich hinaus verzögert wurde, wird angezeigt, ohne dass die oben erwähnten Bildschirminformationen angezeigt werden. Auf diese Weise gibt die Anomalieverarbeitungseinheit 180 in einem Fall, in dem eine zweite Kommunikationsnachricht der periodischen Kommunikation, für die von der Anomaliebestimmungseinheit 130 bestimmt wurde, dass sie eine Beziehung hat, nicht innerhalb des Empfangszeitdauervorhersagebereichs 802' liegt, der eine vorbestimmte Zeitdauer (hinzugefügte Zeitdauer 1925) später ist, an die Anzeigeeinheit die Anomaliebestimmungsstatusinformationen aus, die den Vorhersagebereich 802 und den Vorhersagebereich 802', der die vorbestimmte Zeitdauer später ist, Informationen (X1 und ID 5, X2 und ID 4), die eine erste Kommunikationsnachricht der aperiodischen Kommunikation anzeigen, für die bestimmt wurde, dass sie eine Beziehung hat, und Informationen (M2 und ID 2), die eine zweite Kommunikationsnachricht anzeigen, enthalten.
2A und 2B sind Sequenzdiagramme zur Beschreibung eines Verarbeitungsablaufs nach dem Empfang einer Kommunikationsnachricht. Eine Informationsverarbeitungsvorrichtung 10A auf einer Sendeseite und eine Informationsverarbeitungsvorrichtung 10B auf einer Empfangsseite weisen jeweils die Systemkonfiguration von 1 auf. In den 2A und 2B wird davon ausgegangen, dass es sich bei der Informationsverarbeitungsvorrichtung 10A auf der Sendeseite und der Informationsverarbeitungsvorrichtung 10B auf der Empfangsseite um ECUs handelt, aber die Anwendung kann in ähnlicher Weise für einen anderen Gerätetyp, wie z. B. einen GW, durchgeführt werden, wie oben beschrieben.
2A ist ein Sequenzdiagramm zur Beschreibung eines Verarbeitungsschemas für einen Fall, in dem ein Kommunikationstyp einer empfangenen Kommunikationsnachricht eine aperiodische Kommunikation ist. Die folgende Verarbeitung wird hauptsächlich von der Informationsverarbeitungsvorrichtung 10B durchgeführt.
Zunächst empfängt die Kommunikationseinheit 100 der Informationsverarbeitungsvorrichtung 10B in Schritt S201 eine von der Informationsverarbeitungsvorrichtung 10A übertragene Kommunikationsnachricht.
In Schritt S202 liest die Informationsbeschaffungseinheit 110 der Informationsverarbeitungsvorrichtung 10B eine CAN-ID aus der empfangenen Kommunikationsnachricht und berechnet und zeichnet die Empfangszeit auf.
In Schritt S203 bezieht sich die Kommunikationsbestimmungseinheit 120 der Informationsverarbeitungsvorrichtung 10B auf die Kommunikationsbestimmungsinformationen 191 und die gelesene CAN-ID der Kommunikationsnachricht, um den Kommunikationstyp der empfangenen Kommunikationsnachricht zu bestimmen. In dem Fall, in dem der Kommunikationstyp der empfangenen Kommunikationsnachricht eine aperiodische Kommunikation ist, geht die Kommunikationsbestimmungseinheit 120 der Informationsverarbeitungsvorrichtung 10B zu Schritt S204 über.
In Schritt S204 weist die Kommunikationsbestimmungseinheit 120 die Flag-Steuereinheit 150 an, für jede periodische Kommunikations-CAN-ID aufzuzeichnen, dass eine aperiodische Kommunikation in der Flag 1932 für die Erkennung aperiodischer Kommunikation erkannt wurde. Wenn beispielsweise „1“ als Flag für die Erkennung aperiodischer Kommunikation eingestellt wird, weist die Kommunikationsbestimmungseinheit 120 die Flag-Steuereinheit 150 an, den Flag 1932 für die Erkennung aperiodischer Kommunikation, der als „0“ gespeichert ist, auf „1“ zu aktualisieren und die CAN-ID (z. B. 0x05) für die aperiodische Kommunikation aufzuzeichnen. Gemäß der Anweisung aktualisiert die Flag-Steuerungseinheit 150 den Flag 1932 zur Erkennung aperiodischer Kommunikation für jede CAN-ID der periodischen Kommunikation.
In Schritt S205 führt die normale Verarbeitungseinheit 170 der Informationsverarbeitungsvorrichtung 10B eine Steuerungsverarbeitung durch, die in der empfangenen Kommunikationsnachricht für aperiodische Kommunikation angewiesen wird.
In Schritt S210 empfängt die Kommunikationseinheit 100 der Informationsverarbeitungsvorrichtung 10B die nächste Kommunikationsnachricht mit der gleichen CAN-ID wie die empfangene Kommunikationsnachricht.
2B ist ein Sequenzdiagramm zur Beschreibung eines Verarbeitungsschemas für einen Fall, in dem eine empfangene Kommunikationsnachricht eine periodische Kommunikation ist, der Empfangszeitdauervorhersagebereich für die periodische Kommunikation in Verbindung mit dem Empfang einer Kommunikationsnachricht für aperiodische Kommunikation, die eine Beziehung hat, korrigiert wird und eine legitimierte Kommunikation bestimmt wird. Die Schritte S201 bis S203 sind ähnlich wie in 2A und werden daher nicht weiter beschrieben. Die Beschreibung erfolgt für Schritt S206 und die folgenden Schritte. In dem Fall, in dem der Kommunikationstyp einer Kommunikationsnachricht eine periodische Kommunikation ist, führt die Kommunikationsbestimmungseinheit 120 der Informationsverarbeitungsvorrichtung 10B eine Anomaliebestimmungsverarbeitung in Schritt S206, eine Vorhersagebereichsberechnungsverarbeitung in Schritt S207, eine Aktualisierungsverarbeitung der erlaubten Zeitdauer in Schritt S208 und eine Normalzeitverarbeitung in Schritt S209 aus. Die detaillierte Verarbeitung dieser Schritte wird im Folgenden anhand von 3 beschrieben.
In Schritt S206 verwendet die Anomaliebestimmungseinheit 130 der Informationsverarbeitungsvorrichtung 10B die Empfangszeit der Kommunikationsnachricht für aperiodische Kommunikation, für die das Erkennungsflag 1932 für aperiodische Kommunikation in Schritt S204 von 2A gesetzt wurde, und den Empfangszeitdauervorhersagebereich für die Kommunikationsnachricht für periodische Kommunikation, um zu bestimmen, ob die aperiodische Kommunikation und die periodische Kommunikation eine Beziehung aufweisen. Darüber hinaus bestimmt die Anomaliebestimmungseinheit 130, ob die Kommunikationsnachricht für periodische Kommunikation, für die eine Beziehung festgestellt wurde, innerhalb des Vorhersagebereichs für die Empfangszeitdauer liegt, und bestimmt im Falle der Feststellung, dass die Kommunikationsnachricht für periodische Kommunikation innerhalb des Vorhersagebereichs für die Empfangszeitdauer liegt, dass die Kommunikationsnachricht für periodische Kommunikation eine Kommunikationsnachricht in Übereinstimmung mit der legitimierten Kommunikation ist.
In Schritt S207 berechnet die Berechnungseinheit 140 für zulässigen Bereich der Informationsverarbeitungsvorrichtung 10B in einem Fall, in dem die oben erwähnte Kommunikationsnachricht für periodische Kommunikation als eine Kommunikationsnachricht in Übereinstimmung mit legitimierter Kommunikation bestimmt wird, den Empfangszeitdauervorhersagebereich für die als nächstes zu empfangende Kommunikationsnachricht. Darüber hinaus korrigiert die Berechnungseinheit 140 für den zulässigen Bereich in einem Fall, in dem festgestellt wird, dass die oben erwähnte Kommunikationsnachricht für periodische Kommunikation keine Kommunikationsnachricht in Übereinstimmung mit der legitimierten Kommunikation ist, und festgestellt wird, dass es möglich ist, dass eine Kommunikationsnachricht, die in dem oben erwähnten Vorhersagebereich, wie unten beschrieben, empfangen werden sollte, zu spät angekommen ist, den Empfangszeitdauervorhersagebereich für die oben erwähnte Kommunikationsnachricht für periodische Kommunikation .
In Schritt S208 aktualisiert die Einheit 160 zur Aktualisierung der Anomaliebestimmungsinformation der Informationsverarbeitungsvorrichtung 10B den in Schritt S206 verwendeten Vorhersagebereich auf der Grundlage des in Schritt S207 berechneten oder korrigierten Vorhersagebereichs.
In Schritt S209 verwendet die Normalverarbeitungseinheit 170 der Informationsverarbeitungsvorrichtung 10B in einem Fall, in dem die Kommunikationsnachricht für periodische Kommunikation als eine Kommunikationsnachricht in Übereinstimmung mit legitimierter Kommunikation bestimmt wird, den Vorhersagebereich, der wie oben beschrieben berechnet oder korrigiert wurde, um die Flag-Steuereinheit 150 der Informationsverarbeitungsvorrichtung 10B anzuweisen, in Bezug auf die periodische Kommunikation, die als eine Kommunikationsnachricht in Übereinstimmung mit legitimierter Kommunikation bestimmt wurde, den Flag 1932 für die Erkennung aperiodischer Kommunikation, der in Schritt S204 von 2A gesetzt wurde, auf nicht erkannt (z. B. „0“) zurückzusetzen und den Flag 1933 für die Verarbeitung der Anomaliezeit von „1“ auf „0“ zurückzusetzen. Darüber hinaus führt die Normalverarbeitungseinheit 170 als Normalzeitverarbeitung die Steuerverarbeitung durch, die in der empfangenen Kommunikationsnachricht für periodische Kommunikation angewiesen wurde.
In Schritt S210 empfängt die Kommunikationseinheit 100 der Informationsverarbeitungsvorrichtung 10B die nächste Kommunikationsnachricht mit der gleichen CAN-ID wie die in Schritt S201 empfangene Kommunikationsnachricht.
3 ist ein Flussdiagramm, das ein Beispiel für einen detaillierten Verarbeitungsvorgang für die Informationsverarbeitungsvorrichtung 10B in 2B zeigt. Als anfängliche Verarbeitung empfängt die Kommunikationseinheit 100 in Schritt S301 eine Kommunikationsnachricht, die von der Informationsverarbeitungsvorrichtung 10A über den Kommunikationsbus 2 übertragen wurde.
In Schritt S302 liest die Informationsbeschaffungseinheit 110 Identifikationsinformationen (CAN-ID) aus der empfangenen Kommunikationsnachricht und berechnet eine Empfangszeitdauer für die Kommunikationsnachricht. Zum Beispiel berechnet die Informationsbeschaffungseinheit 110 die Empfangszeitdauer zwischen den empfangenen Kommunikationsnachrichten, indem sie die Anzahl der Takte nach dem Empfang einer Kommunikationsnachricht zählt. Die Informationsbeschaffungseinheit 110 kann die Empfangszeitdauer berechnen, indem sie einen Zeitgeber verwendet, um die Zeitdauer ab dem Beginn der Kommunikation zu messen.
In Schritt S303 bestimmt die Kommunikationsbestimmungseinheit 120 auf der Grundlage der Kommunikationsbestimmungsinformationen 191 und der in der empfangenen Kommunikationsnachricht enthaltenen Identifikationsinformationen (CAN-ID), ob es sich bei der von der Informationsbeschaffungseinheit 110 gelesenen Kommunikationsart um aperiodische Kommunikation handelt.
In Schritt S304 weist die Kommunikationsbestimmungseinheit 120 in einem Fall, in dem die Kommunikationsbestimmungseinheit 120 bestimmt, dass die empfangene Kommunikationsnachricht eine aperiodische Kommunikation ist (S303: Ja), die Flag-Steuereinheit 150 an, den Flag 1932 für die Erkennung aperiodischer Kommunikation für jede periodische Kommunikations-CAN-ID aufzuzeichnen. Gemäß der Anweisung zeichnet die Flag-Steuereinheit 150 einen Flag (z. B. „1“, die anzeigt, dass eine aperiodische Kommunikation erkannt wurde, und die CAN-ID für die aperiodische Kommunikation) in dem Flag 1932 für jede CAN-ID auf.
Die Flag-Erkennungsinformationen 193 enthalten ein Flag für jede CAN-ID 1931, die eine periodische Kommunikation enthält, die an eine andere Informationsverarbeitungsvorrichtung 10 (z. B. die Informationsverarbeitungsvorrichtung 10A in 2B) als Steuerziel festlegt, aber es kann sein, dass die Informationsverarbeitungsvorrichtung 10B nur die Flag-Erkennungsinformationen 193 für eine CAN-ID der periodischen Kommunikation speichert, in der die Informationsverarbeitungsvorrichtung 10B im Voraus als Steuerziel definiert ist. Da nur die Flag-Erkennungsinformationen 193, die die Informationsverarbeitungsvorrichtung 10 selbst steuert, gespeichert werden, ist es möglich, die Flag-Erkennungsinformationen 193 mit einer geringen Speicherkapazität zu speichern.
Außerdem kann die oben erwähnte Flag-Erkennungsinformation 193, die als Kontrollziel festgelegt wurde, wie folgt gespeichert werden. Zum Beispiel, nachdem die Kommunikationsbestimmungseinheit 120 bestimmt hat, dass eine empfangene Kommunikationsnachricht eine aperiodische Kommunikation ist, und ähnlich dem unten beschriebenen Schritt S305, bestimmt die Anomaliebestimmungseinheit 130 zusätzlich, ob die Empfangszeit für eine Kommunikationsnachricht für aperiodische Kommunikation, für die das Erkennungsflag 1932 für aperiodische Kommunikation gesetzt ist, innerhalb des Vorhersagebereichs für die Empfangszeitdauer für periodische Kommunikation liegt, der von der Informationsbeschaffungseinheit 110 in Schritt S302 berechnet wurde. In einem Fall, in dem die Anomalie-Bestimmungseinheit 130 feststellt, dass die Empfangszeit für die oben erwähnte Kommunikationsnachricht für aperiodische Kommunikation innerhalb des oben erwähnten Empfangszeitdauervorhersagebereichs für periodischen Kommunikation liegt, kann die Kommunikationsbestimmungseinheit 120 die Flag-Steuereinheit 150 anweisen, den Flag 1932 für die Erkennung aperiodischer Kommunikation für die CAN-ID der periodischen Kommunikation zu setzen, für die bestimmt wurde, das sie innerhalb des oben erwähnten Vorhersagebereichs liegt. Da die Flag-Erkennungsinformationen 193 nur für die periodische Kommunikation in Beziehung mit der aperiodischen Kommunikation gespeichert werden, für die der Flag 1932 für die Erkennung der aperiodischen Kommunikation gesetzt ist, kann die Speicherkapazität noch weiter verringert werden.
In Schritt S305 wird die Verarbeitung für den Fall durchgeführt, in dem die Kommunikationsbestimmungseinheit 120 bestimmt hat, dass die empfangene Kommunikationsnachricht keine aperiodische Kommunikation ist (S303: Nein), mit anderen Worten, der Fall, in dem die empfangene Kommunikationsnachricht als periodische Kommunikation bestimmt wurde. Die Anomaliebestimmungseinheit 130 bestimmt, ob die Empfangszeit einer Kommunikationsnachricht für aperiodische Kommunikation, für die der Flag 1932 zur Erkennung aperiodischer Kommunikation gesetzt ist, innerhalb eines Empfangszeitdauervorhersagebereichs für periodischer Kommunikation liegt. In einem Fall, in dem die Anomalie-Bestimmungseinheit 130 festgestellt hat, dass die Empfangszeit der oben erwähnten Kommunikationsnachricht für aperiodische Kommunikation innerhalb eines Empfangszeitdauervorhersagebereichs für periodische Kommunikation liegt, der später beschrieben wird, bestimmt die Anomalie-Bestimmungseinheit 130, dass es eine Beziehung zwischen der aperiodischen Kommunikation und der periodischen Kommunikation gibt. Darüber hinaus bestimmt die Anomalie-Bestimmungseinheit 130, ob die Kommunikationsnachricht für periodische Kommunikation, für die eine Beziehung festgestellt wurde, innerhalb des oben genannten Vorhersagebereichs für die Empfangszeitdauer liegt. In einem Fall, in dem festgestellt wurde, dass die Kommunikationsnachricht für periodische Kommunikation, für die eine Beziehung festgestellt wurde, innerhalb des oben erwähnten Vorhersagebereichs für die Empfangszeitdauer liegt, bestimmt die Anomaliebestimmungseinheit 130, dass die Kommunikationsnachricht für periodische Kommunikation eine Kommunikationsnachricht in Übereinstimmung mit legitimierter Kommunikation ist.
Auf diese Weise führt die Anomaliebestimmungseinheit 130 zwei Bestimmungen durch: eine Bestimmung bezüglich der Beziehung zwischen aperiodischer Kommunikation und periodischer Kommunikation (erste Bestimmung) und eine Bestimmung über eine Kommunikationsnachricht der periodischen Kommunikation, für die eine Bestimmung bezüglich der Beziehung, der in einem Vorhersagebereich liegt, vorgenommen wurde (zweite Bestimmung), und bestimmt, dass die Kommunikationsnachricht für periodische Kommunikation mit der legitimierten Kommunikation übereinstimmt.
In Schritt S306 wird in einem Fall, in dem eine Kommunikationsnachricht für periodische Kommunikation, für die eine Beziehung zwischen aperiodischer Kommunikation und periodischer Kommunikation festgestellt wurde, als innerhalb des oben erwähnten Empfangszeitdauervorhersagebereichs liegend bestimmt (S305: Ja) ist, die Berechnungseinheit 140 für den zulässigen Bereich die Periode 1924 verwendet, um den Empfangszeitvorhersagebereich für eine zu einem nächsten Zeitpunkt zu empfangende Kommunikationsnachricht zu berechnen, und die Aktualisierungseinheit 160 für die Anomaliebestimmungsinformationen aktualisiert diese Werte.
Wenn beispielsweise die CAN-ID der empfangenen Kommunikationsnachricht „0x03“ lautet, bezieht sich die Berechnungseinheit 140 für den zulässigen Bereich auf die in 7A dargestellten Anomaliebestimmungsinformation 192 und liest die minimal zulässige Zeitdauer 1922 „10.11‟, die maximal zulässige Zeitdauer 1923 „10.13“ und den Zeitraum 1924 „0.50“ aus, die in Verbindung mit der CAN-ID gespeichert sind. Die Berechnungseinheit 140 für den zulässigen Bereich berechnet eine neue minimal zulässige Zeitdauer 1922 und eine maximal zulässige Zeitdauer 1923 für die als nächstes zu empfangende Kommunikationsnachricht, die sich aus der Addition der Zeitdauer 1924 „0.50“ zu der minimal zulässigen Zeitdauer 1922 „10.11“ bzw. der maximal zulässigen Zeitdauer 1923 „10.13“ ergeben. In diesem Fall setzt die Einheit 160 zur Aktualisierung der Anomaliebestimmungsinformation die minimal zulässige Zeitdauer 1922 „10.61“ und die maximal zulässige Zeitdauer 1923 „10.63“ als die neue zulässige Zeitdauer. Auf diese Weise ist es möglich, einen Vorhersagebereich für jede Periode zu definieren, da eine Berechnungseinheit (die Einheit 140 zur Berechnung des zulässigen Bereichs) den Vorhersagebereich für den Empfangszeitdauer auf der Grundlage einer Zeitdauer, in der eine zweite Kommunikationsnachricht empfangen wird (der Empfangszeitpunkt), und der Periode 1924 errechnet.
Anschließend führt die Normalverarbeitungseinheit 170 in Schritt S307 als Normalzeitverarbeitung die in der empfangenen Kommunikationsnachricht angegebene Steuerungsverarbeitung aus. Darüber hinaus bestimmt die Normalverarbeitungseinheit 170, ob der Flag 1932 für die Erkennung aperiodischer Kommunikation und der Flag 1933 für die Anomaliezeitverarbeitung im Zustand „nicht erkannt“ (z. B. „0“) sind, und wenn sie feststellt, dass diese Flags nicht im Zustand „nicht erkannt“ sind, weist sie die Flag-Steuereinheit 150 an, die für diese Flags eingestellten Werte zurückzusetzen. Die Flag-Steuerungseinheit 150 setzt diese Flags entsprechend der Anweisung zurück.
In Schritt S308 bestimmt in dem Fall, in dem festgestellt wird, dass die Kommunikationsnachricht der periodischen Kommunikation, für die eine Beziehung zwischen aperiodischer Kommunikation und periodischer Kommunikation festgestellt wurde, nicht innerhalb des oben genannten Vorhersagebereichs für die Empfangszeitdauer liegt (S305: Nein), weil die empfangene Kommunikationsnachricht für periodische Kommunikation die Möglichkeit einer Anomalie anstelle einer legitimierten Kommunikation aufweist, die Anomaliebestimmungseinheit 130 ferner, ob die Empfangszeitdauer der empfangenen Kommunikationsnachricht der periodischen Kommunikation eine Zeitdauer vor dem Vorhersagebereich ist, mit anderen Worten, ob die Empfangszeitdauer kürzer als die minimal zulässige Zeitdauer 1922 ist. Wenn festgestellt wird, dass die empfangene Kommunikationsnachricht für periodische Kommunikation vor dem Vorhersagebereich empfangen wurde (S308: Ja), stellt die Anomaliebestimmungseinheit 130 fest, dass es nicht möglich ist, dass die Kommunikationsnachricht, die im Vorhersagebereich empfangen werden sollte, zu spät ankommt, und dass die Kommunikationsnachricht eine Anomalie ist, und geht zur Anomaliezeitverarbeitung von Schritt S309 über.
In Schritt S309 führt die Anomalieverarbeitungseinheit 180 als Anomaliezeitverarbeitung eine Verarbeitung aus, wie z. B. das Verwerfen der empfangenen Kommunikationsnachricht für periodische Kommunikation oder das Ausgeben einer Warnung wie oben beschrieben.
In Schritt S310, wenn festgestellt wurde, dass die empfangene Kommunikationsnachricht für periodische Kommunikation nicht vor dem oben erwähnten Vorhersagebereich (S308: Nein) empfangen wurde, bestimmt die Anomaliebestimmungseinheit 130, dass es möglich ist, dass eine Kommunikationsnachricht, die innerhalb des oben erwähnten Vorhersagebereichs hätte empfangen werden sollen, verspätet angekommen ist. In diesem Fall bestimmt die Anomaliebestimmungseinheit 130 außerdem, ob der Flag 1932 zur Erkennung aperiodischer Kommunikation, der der CAN-ID der empfangenen Kommunikationsnachricht für periodische Kommunikation entspricht, auf erkannt gesetzt ist. Wenn festgestellt wird, dass der Flag 1932 zur Erkennung aperiodischer Kommunikation nicht auf erkannt gesetzt ist (S310: Nein), stellt die Anomaliebestimmungseinheit 130 fest, dass eine Anomalie vorliegt, weil eine Verzögerung für die periodische Kommunikation aufgrund eines anderen Grundes als der aperiodischen Kommunikation aufgetreten ist, und führt eine Verarbeitung aus, die der in Schritt S309 ähnlich ist. Wenn in der Zwischenzeit in Schritt S310 festgestellt wird, dass der Flag 1932 zur Erkennung aperiodischer Kommunikation auf erkannt gesetzt ist (S310: Ja), stellt die Anomaliebestimmungseinheit 130 als Ergebnis fest, dass keine Anomalie vorliegt, trotz der Feststellung, dass die Möglichkeit einer Anomalie bestand, und fährt mit Schritt S311 fort.
Da der Flag 1932 zur Erkennung aperiodischer Kommunikation auf erkannt gesetzt ist, bestimmt in Schritt S311 die Einheit 130 zur Bestimmung von Anomalien, dass es möglich ist, dass die Kommunikationsnachricht, die im oben genannten Vorhersagebereich empfangen werden sollte, verspätet ankommt. Auf der Grundlage dieser Bestimmung korrigiert die Einheit 140 zur Berechnung des zulässigen Bereichs den oben genannten Vorhersagebereich, und die Einheit 160 zur Aktualisierung der Anomaliebestimmungsinformation aktualisiert den Wert.
Insbesondere addiert die Berechnungseinheit 140 für den zulässigen Bereich die hinzugefügte Zeitdauer 1925 zu der minimal zulässigen Zeitdauer 1922 und der maximal zulässigen Zeitdauer 1923, um eine neue korrigierte minimal zulässige Zeitdauer 1922 und maximal zulässige Zeitdauer 1923 zu berechnen. Die Einheit 160 zur Aktualisierung von Anomaliebestimmungsinformation aktualisiert dann die unkorrigierte minimal zulässige Zeitdauer 1922 und die maximal zulässige Zeitdauer 1923. Die hinzugefügte Zeitdauer 1925 ist eine Zeitdauer, die so definiert ist, dass sich der Empfangszeitdauervorhersagebereich verschiebt und zu einer vorbestimmten Zeitdauer später gleitet.
Neben der Definition der zusätzlichen Zeitdauer 1925 als vorbestimmter fester Wert kann die zusätzliche Zeitdauer 1925 auch als ein Wert definiert werden, der mit Hilfe einer vorbestimmten statistischen Methode berechnet wird. Zum Beispiel kann die Berechnungseinheit 140 für den zulässigen Bereich im Voraus einen Durchschnitt der tatsächlichen Empfangszeiten berechnen und als addierte Zeitdauer 1925 festlegen, wenn in der Vergangenheit Kommunikationsnachrichten für periodische Kommunikation innerhalb eines korrigierten Vorhersagebereichs für die Empfangszeitdauer empfangen wurden. Alternativ dazu kann die Berechnungseinheit 140 für den zulässigen Bereich die zusätzliche Zeit 1925 entsprechend der Anzahl der Kommunikationsnachrichten für aperiodische Kommunikation festlegen, die durch eine CAN-ID identifiziert werden, die vor der periodischen Kommunikation Vorrang hat. Je größer die Anzahl dieser Kommunikationsnachrichten für aperiodische Kommunikation ist, die durch eine priorisierte CAN-ID identifiziert werden, desto höher ist die Wahrscheinlichkeit, dass die Kommunikationsnachricht für periodische Kommunikation verzögert wird. Dementsprechend stellt die Berechnungseinheit 140 für den zulässigen Bereich eine längere addierte Zeitdauer 1925 ein, je größer die Anzahl dieser Kommunikationsnachrichten für periodische Kommunikation innerhalb einer vorgegebenen Zeitdauer ist. Da die Berechnungseinheit 140 für den zulässigen Bereich und die Einheit 160 (Korrektureinheit) zur Aktualisierung der Anomaliebestimmungsinformation eine Korrektur durchführen, indem sie einen vorbestimmten Wert oder einen unter Verwendung einer vorbestimmten statistischen Methode berechneten Wert zum Vorhersagebereich für die Empfangszeit addieren, ist es unter Verwendung verschiedener Methoden möglich, die hinzugefügte Zeitdauer durch eine optimale Methode entsprechend der Umgebung, in der eine Informationsverarbeitungsvorrichtung 10 installiert ist, zu definieren.
4 ist ein Flussdiagramm, das ein Verarbeitungsverfahren für die Verarbeitung (Schritt S311) zur Verwendung einer zusätzlichen Zeitdauer zur Korrektur des Vorhersagebereichs zeigt.
In Schritt S401 liest die Berechnungseinheit 140 für den zulässigen Bereich die Empfangszeit der Kommunikationsnachricht der periodischen Kommunikation, die von der Informationsbeschaffungseinheit 110 berechnet wird, sowie die minimal zulässige Zeitdauer 1922 und die maximal zulässige Zeitdauer 1923, die in den Anomaliebestimmungsinformation 192 gespeichert sind.
In Schritt S402 verwendet die Berechnungseinheit 140 für den zulässigen Bereich die hinzugefügte Zeitdauer 1925 der Anomaliebestimmungsinformation 192, um die minimal zulässige Zeitdauer 1922 und die maximal zulässige Zeitdauer 1923 nach dem oben beschriebenen Verfahren zu korrigieren.
In Schritt S403 aktualisiert die Einheit 160 zur Aktualisierung für die Anomaliebestimmungsinformation die minimale zulässige Zeitdauer 1922 und die maximale zulässige Zeitdauer 1923 auf die korrigierten Werte. Beispielsweise wird, wie in 7B dargestellt, bei einer periodischen Kommunikation, für die die CAN-ID gleich „0x03“ ist, die hinzugefügte Zeit „0,05“ zu jeder der in 7A angegebenen unkorrigierten minimal zulässigen Zeit „10.11“ und maximal zulässigen Zeit „10.13“ addiert, und diese werden auf die korrigierte minimal zulässige Zeit „10.16“ und maximal zulässige Zeit „10.18“ aktualisiert.
Auf diese Weise korrigieren die Berechnungseinheit 140 für den zulässigen Bereich und die Einheit 160 (Korrektureinheit) für die Aktualisierung der Anomaliebestimmungsinformation den Vorhersagebereich in einen Vorhersagebereich, der eine vorbestimmte Zeitdauer (die hinzugefügte Zeitdauer 1925) später liegt, wenn eine zweite Kommunikationsnachricht, bei der es sich um eine periodische Kommunikation handelt, die von der Anomaliebestimmungseinheit 130 als in Beziehung stehend bestimmt wurde, nicht im Vorhersagebereich für den Empfangszeitraum liegt. Infolgedessen kann die Anomaliebestimmungseinheit 130 die oben erwähnte zweite Bestimmung auf der Grundlage des korrigierten neuen Vorhersagebereichs durchführen.
Zurück zu 3 weist in Schritt S312 die Einheit 160 zur Aktualisierung für Anomaliebestimmungsinformation die Flag-Steuereinheit 150 an, den Flag 1932 zur Erkennung aperiodischer Kommunikation, der in Verbindung mit der CAN-ID der periodischen Kommunikation gespeichert ist, für die der Vorhersagebereich korrigiert wurde, auf nicht erkannt (z. B. „0“) zurückzusetzen, aber den Flag 1933 zur Anomaliezeitverarbeitung auf Verarbeitung (z. B. „1“) zu setzen. Gemäß dieser Anweisung aktualisiert die Flag-Steuereinheit 150 den Flag 1932 für die Erkennung aperiodischer Kommunikation und den Flag 1933 für die Anomaliezeitverarbeitung.
Anschließend wieder zurück bei Schritt S305 verwendet die Anomaliebestimmungseinheit 130 den korrigierten Empfangszeitvorhersagebereich, um die oben beschriebene zweite Bestimmung durchzuführen. In der ersten Bestimmung, die im vorhergehenden Schritt S305 durchgeführt wurde, hat die Anomalie-Bestimmungseinheit 130 festgestellt, dass eine Beziehung mit der aperiodischen Kommunikation besteht, die durch den Flag 1932 zur Erkennung aperiodischer Kommunikation identifiziert wurde, der im Schritt S312 zurückgesetzt wurde, und führt daher hier nicht die oben beschriebene erste Bestimmung durch.
Falls beim Bestimmen in der zweiten Bestimmung festgestellt wird, dass die Kommunikationsnachricht der periodischen Kommunikation innerhalb des oben erwähnten korrigierten Vorhersagebereichs für die Empfangszeitdauer liegt, stellt die Anomaliebestimmungseinheit 130 fest, dass die Kommunikationsnachricht für periodische Kommunikation eine Kommunikationsnachricht in Übereinstimmung mit legitimierter Kommunikation ist, die ursprünglich im unkorrigierten Vorhersagebereich hätte empfangen werden sollen, und bestimmt, dass die Kommunikationsnachricht in Übereinstimmung mit legitimierter Kommunikation ist.
In dem Fall, in dem die Anomalie-Bestimmungseinheit 130 in der oben erwähnten zweiten Bestimmung festgestellt hat, dass die Kommunikationsnachricht einer legitimierten Kommunikation entspricht (S305 wieder: Ja), führt die Berechnungseinheit 140 für den zulässigen Bereich im Schritt S306 eine ähnliche Verarbeitung wie im vorherigen Schritt S306 in Bezug auf die korrigierte minimal zulässige Zeitdauer 1922 und die maximal zulässige Zeitdauer 1923 durch. Insbesondere berechnet die Einheit 140 zur Berechnung des zulässigen Bereichs eine neue minimal zulässige Zeitdauer 192 und eine maximal zulässige Zeitdauer 1923 für die Kommunikationsnachricht, die in der nächsten Periode empfangen werden soll, die sich aus der Addition der Periode 1924 zu der korrigierten minimal zulässigen Zeitdauer 1922 und der maximal zulässigen Zeitdauer 1923 ergeben, und die Einheit 160 zur Aktualisierung der Anomaliebestimmungsinformationen aktualisiert diese Werte. Anschließend führt die Normalverarbeitungseinheit 170 eine Verarbeitung aus, die der Verarbeitung des vorherigen Schritts S307 ähnlich ist.
In der Zwischenzeit, wenn in der oben beschriebenen zweiten Bestimmung festgestellt wird, dass die Kommunikationsnachricht nicht mit der legitimierten Kommunikation übereinstimmt (S305 wieder: Nein), bestimmt die Anomaliebestimmungseinheit 130 in Schritt S308, ob die Empfangszeitdauer der empfangenen Kommunikationsnachricht für periodische Kommunikation eine Zeitdauer ist, die vor dem korrigierten Vorhersagebereich liegt. Wenn festgestellt wird, dass die empfangene Kommunikationsnachricht der periodischen Kommunikation eine Zeitdauer vor dem korrigierten Vorhersagebereich liegt (S308: Ja), geht die Anomaliebestimmungseinheit 130 zu Schritt S310 über.
In Schritt S310 bestimmt die Anomaliebestimmungseinheit 130, ob der Flag 1932 zur Erkennung aperiodischer Kommunikation auf erkannt gesetzt ist. Da der Schritt S311 bei der Verarbeitung des vorherigen Zeitpunkts ausgeführt wurde, wird zu diesem Zeitpunkt der Flag 1932 für die Erkennung aperiodischer Kommunikation auf nicht erkannt zurückgesetzt. Dementsprechend geht die Anomaliebestimmungseinheit 130 bei der Verarbeitung der aktuellen Zeit zu Schritt S309 über, ohne erneut zu Schritt S311 überzugehen, und geht zur Anomaliezeitverarbeitung über.
Es sei angemerkt, dass in Schritt S309, da es möglich ist, gemäß dem Anomaliezeitverarbeitungsflag 1933 zu bestimmen, ob der Vorhersagebereich korrigiert wurde, eine Verarbeitung wie die folgende ausgeführt werden kann.
Zum Beispiel in einem Fall, in dem die Anomalie-Bestimmungseinheit 130 bestimmt, ob der Anomaliezeitverarbeitungsflag 1933 (z.B. „1“) gesetzt ist, und bestimmt, dass der Anomaliezeitverarbeitungsflag 1933 gesetzt ist, führt die Anomalie-Verarbeitungseinheit 180 in Schritt S309 die Verarbeitung durch Ändern des Verarbeitungsinhalts für die aktuelle Zeit aus, weil die Anomaliezeitverarbeitung in der Vergangenheit ausgeführt wurde. Beispielsweise kann es sein, dass die Anomalieverarbeitungseinheit 180 den korrigierten Vorhersagebereich verwendet, um festzustellen, ob immer noch eine Anomalie vorliegt, und statt die Kommunikationsnachricht zu verwerfen, eine Warnmeldung ausgibt, die eine Warnung oder Statusinformationen zur Anomaliebestimmung wie oben beschrieben anzeigt.
Nachfolgend wird ein Überblick über die vorliegende Ausführungsform unter Bezugnahme auf 8 beschrieben. 8 ist eine Ansicht zur Beschreibung eines Überblicks über ein Verfahren zur Bestimmung einer legitimierten Kommunikation unter Verwendung der vorliegenden Ausführungsform. In 8 berechnet die Informationsbeschaffungseinheit 110 eine Empfangszeitdauer für jede Kommunikationsnachricht für periodische Kommunikation (ID 1, ID 2, ID 3), die von der Kommunikationseinheit 100 empfangen wird. Zum Beispiel berechnet die Informationsbeschaffungseinheit 110 eine Empfangszeitdauer einer Kommunikationsnachricht M1 mit ID 2, die innerhalb des Vorhersagebereichs 801 empfangen wurde. Außerdem setzt die Kommunikationsbestimmungseinheit 120 in 8, da eine Kommunikationsnachricht X1 für aperiodische Kommunikation mit ID 5 empfangen wird, in Bezug auf die Flag-Steuereinheit 150 das aperiodische Kommunikationserkennungsflag 1932 (z. B. „1“ (ID 5)), das einer periodischen Kommunikation für jede der ID 1, ID 2 und ID 3 entspricht.
Die Anomaliebestimmungseinheit 130 stellt fest, dass eine Beziehung zwischen aperiodischer Kommunikation (ID 5, X1) und periodischer Kommunikation (ID 2) besteht, und dass die Kommunikationsnachricht (M1) der periodischen Kommunikation, für die eine Beziehung festgestellt wurde, innerhalb des Vorhersagebereichs 801 für die Empfangszeitdauer liegt. Da es sich bei der Kommunikationsnachricht (ID 2, M1) der periodischen Kommunikation um eine Kommunikationsnachricht in Übereinstimmung mit der legitimierten Kommunikation handelt, berechnet die Einheit 140 zur Berechnung des zulässigen Bereichs den Vorhersagebereich 802 der Empfangszeitdauer der Kommunikationsnachricht, die zum nächsten Zeitpunkt empfangen werden soll, der eine Periode T (sec) später liegt. Da festgestellt wird, dass es sich bei der Kommunikationsnachricht (ID 2, M1) der periodischen Kommunikation um eine Kommunikationsnachricht in Übereinstimmung mit einer legitimierten Kommunikation handelt, werden der Flag 1932 für die Erkennung aperiodischer Kommunikation und der Flag 1933 für Anomaliezeitverarbeitung auf nicht erkannt (z. B. „0“) zurückgesetzt, und die Verarbeitung zur normalen Zeit wird ausgeführt.
Außerdem setzt die Kommunikationsbestimmungseinheit 120 in 8, da eine Kommunikationsnachricht X2 der aperiodischen Kommunikation mit ID 4 empfangen wird, in Bezug auf die Flag-Steuereinheit 150 den Flag 1932 zur Erkennung das aperiodische Kommunikation (z. B. „1“ (ID 4)), der einer periodischen Kommunikation für jede der ID 1, ID 2 und ID 3 entspricht.
Die Anomaliebestimmungseinheit 130 stellt fest, dass es eine Beziehung zwischen aperiodischer Kommunikation (ID 4, X2) und periodischer Kommunikation (ID 2) gibt, und dass die Kommunikationsnachricht (M2) für periodische Kommunikation, für die eine Beziehung festgestellt wurde, nicht innerhalb des Vorhersagebereichs 802 für die Empfangszeitdauer liegt. Darüber hinaus stellt die Anomalie-Bestimmungseinheit 130 fest, dass die oben erwähnte Kommunikationsnachricht (M2) der periodischen Kommunikation nicht vor dem Vorhersagebereich 802 empfangen wird, und der Flag 1932 zur Erkennung aperiodischer Kommunikation, der der CAN-ID dieser Kommunikationsnachricht entspricht, wird auf erkannt gesetzt. Die Anomalie-Bestimmungseinheit 130 bestimmt, dass es möglich ist, dass die Kommunikationsnachricht M2, die im Vorhersagebereich 802 empfangen werden sollte, verspätet angekommen ist, und auf der Grundlage dieser Bestimmung berechnet die Berechnungseinheit 140 für den zulässigen Bereich den neuen korrigierten Vorhersagebereich 802', der sich aus dem Hinzufügen von Δt ergibt, das die hinzugefügte Zeitdauer 1925 zum Vorhersagebereich 802 ist, und die Flag-Steuereinheit 150 setzt den Flag 1932 für die Erkennung aperiodischer Kommunikation auf nicht erkannt zurück.
Anschließend bestimmt die Anomalie-Bestimmungseinheit 130, dass die Kommunikationsnachricht (M2) für periodische Kommunikation, für die eine Beziehung mit der aperiodischen Kommunikation (ID 4, X2) und der periodischen Kommunikation (ID 2) festgestellt wurde, innerhalb des oben genannten Empfangszeitdauervorhersagebereichs 802' liegt. Die Anomaliebestimmungseinheit 130 bestimmt, dass diese Kommunikationsnachricht (M2) der periodischen Kommunikation die Kommunikationsnachricht (M2) in Übereinstimmung mit der legitimierten Kommunikation ist, die ursprünglich im Vorhersagebereich 802 hätte empfangen werden sollen, aber aufgrund der aperiodischen Kommunikation (ID 4, X2), die als in Beziehung stehend bestimmt wurde, zu spät ankam. Die Einheit 140 zur Berechnung des zulässigen Bereichs berechnet dann einen neuen Vorhersagebereich, der für den Empfang, der in der nächsten Periode ausgeführt wird, vorgesehen ist und der sich aus der Addition der Periode T zum korrigierten Vorhersagebereich 802' ergibt.
Da festgestellt wird, dass es sich bei der Kommunikationsnachricht (ID 2, M2) für periodische Kommunikation um eine Kommunikationsnachricht in Übereinstimmung mit einer legitimierten Kommunikation handelt, werden ähnlich wie bei der oben beschriebenen Kommunikationsnachricht (ID 2, M1) für periodische Kommunikation der Flag 1932 für die Erkennung aperiodischer Kommunikation und der Flag 1933 für die Anomaliezeitverarbeitung auf nicht erkannt zurückgesetzt, und die Normalzeitverarbeitung wird ausgeführt. In der Zwischenzeit wird in einem Fall, in dem die Anomalie-Bestimmungseinheit 130 feststellt, dass die Kommunikationsnachricht (M2) für periodische Kommunikation, für die eine Beziehung festgestellt wurde, nicht innerhalb des neuen korrigierten Vorhersagebereichs 802' liegt, eine Anomaliezeitverarbeitung ausgeführt. Es ist zu beachten, dass in der vorliegenden Ausführungsform der neue Vorhersagebereich 802' unter Verwendung des jüngsten Vorhersagebereichs 802 als Referenz festgelegt wird, ein neuer Vorhersagebereich 802' jedoch auch unter Verwendung eines früheren Vorhersagebereichs (z. B. des Vorhersagebereichs 801) und der Periode 1924 berechnet werden kann.
Wie bisher beschrieben, bestimmt bei der vorliegenden Ausführungsform in einer Informationsverarbeitungsvorrichtung, die zu aperiodischer Kommunikation und periodischer Kommunikation in der Lage ist, eine Kommunikationsbestimmungseinheit (die Kommunikationsbestimmungseinheit 120) den Typ einer Kommunikationsnachricht, eine erste Verarbeitungsbestimmungseinheit (die Anomaliebestimmungseinheit 130) bestimmt die Beziehung zwischen der aperiodischen Kommunikation und der periodischen Kommunikation unter Verwendung einer ersten Kommunikationsnachricht, für die der Typ als aperiodische Kommunikation bestimmt ist, und eines Vorhersagebereichs für eine Zeitdauer (die Empfangszeitdauer) zum Empfangen einer zweiten Kommunikationsnachricht, für die der Typ als periodische Kommunikation bestimmt ist, und eine zweite Verarbeitungsbestimmungseinheit (die Anomaliebestimmungseinheit 130) bestimmt, dass die zweite Kommunikationsnachricht eine legitimierte Kommunikation für eine periodische Kommunikation ist, wenn die zweite Kommunikationsnachricht für die periodische Kommunikation, für die die Beziehung bestimmt ist, eine vorbestimmte Zeitdauer (die hinzugefügte Zeitdauer 1925) später im Vorhersagebereich liegt. Dementsprechend ist es möglich, korrekt zu bestimmen, dass eine verzögerte Kommunikationsnachricht eine legitimierte Kommunikation für eine periodische Kommunikation ist, und als Ergebnis dieser Bestimmung ist es möglich, eine periodische Kommunikation korrekt als legitimierte Kommunikation zu erkennen. Durch die korrekte Erkennung legitimierter Kommunikation ist es außerdem möglich, die Auswirkungen einer Fehldetektion, dass eine Kommunikationsnachricht ein Angriff auf die Fahrkontrolle in Bezug auf ein Fahrzeug ist, zu verringern.
Außerdem erhöht sich bei der Methode des Patentdokuments 1, bei der die Anzahl der Kommunikationsnachrichten gezählt wird, die benötigte RAM-Kapazität, da für jede CAN-ID ein Zählwert, der sich aus der Zählung der Anzahl der Kommunikationsnachrichten ergibt, mit einem vorhergesagten Wert für diesen Zählwert in jeder Überwachungsperiode verglichen wird. Da in einem bordeigenen System eine möglichst geringe RAM-Kapazität für etwas benötigt wird, für das nur geringe Ressourcen benötigt werden, wie z. B. ein ECU oder ein GW, wird davon ausgegangen, dass es schwierig sein könnte, diese Anforderung zu erfüllen, wenn diese Methode verwendet wird.
Bei der vorliegenden Ausführungsform speichert die Kommunikationsbestimmungseinheit 120 jedoch Flag-Information (der Flag 1932 zur Erkennung einer aperiodischen Kommunikation), die anzeigt, dass die erste Kommunikationsnachricht in einer Speichereinheit (Speichereinheit 190 für Beziehungsinformation) für periodische Kommunikation empfangen wurde, die die Informationsverarbeitungsvorrichtung 10 als Steuerziel festlegt, und eine erste Verarbeitungsbestimmungseinheit (die Anomalie-Bestimmungseinheit 130) verwendet diese Flag-Informationen, um die Beziehung zwischen aperiodischer Kommunikation und periodischer Kommunikation zu bestimmen. Ferner speichert die Kommunikationsbestimmungseinheit 120 die Flag-Informationen aus periodischer Kommunikation, die die Informationsverarbeitungsvorrichtung als ein Steuerziel festlegt, für die periodische Kommunikation, für die eine Beziehung durch die erste Verarbeitungsbestimmungseinheit bestimmt wurde. Da es also möglich ist, die legitimierte Kommunikation anhand eines Flags zu bestimmen, der zwei Werte - „1“ oder „0“ - annimmt, anstatt die Anzahl der Kommunikationsnachrichten zu zählen, ist es möglich, benötigte RAM-Kapazität zu unterdrücken.
Darüber hinaus ist es zum Beispiel in dem Fall, in dem eine Abweichung bei der Anzahl der gezählten Nachrichten aufgrund irgendeiner Art von Ursache auftritt, einschließlich eines physischen Faktors wie einer Anomalie im RAM, der die Anzahl der gezählten Kommunikationsnachrichten enthält, mit der oben erwähnten Methode des Patentdokuments 1 nicht möglich, die legitimierte Kommunikation korrekt zu bestimmen, und es kommt zu einer falschen Erkennung eines Angriffs. Da jedoch bei der vorliegenden Ausführungsform die legitimierte Kommunikation anhand eines Flags bestimmt wird, der wie oben beschrieben zwei Werte annimmt, kommt es nicht mehr zu einer Abweichung bei der Anzahl der Nachrichten, und es ist möglich, die Genauigkeit der Erkennung eines Angriffs zu verbessern.
Obwohl die obige Offenbarung anhand einer repräsentativen Ausführungsform beschrieben wurde, wird ein Fachmann verstehen, dass verschiedene Änderungen oder Modifikationen in Form und Detail vorgenommen werden können, ohne vom Schutzumfang des offengelegten Gegenstands abzuweichen.
Bezugszeichenliste

2: Kommunikationsbus
10: Informationsverarbeitungsvorrichtung
100: Kommunikationseinheit
110: Informationsbeschaffungseinheit
120: Kommunikationsbestimmungseinheit
130: Anomaliebestimmungseinheit
140: Berechnungseinheit für den zulässigen Bereich
150: Flag-Steuergerät
160: Einheit zur Aktualisierung von Anomaliebestimmungsinformation
170: Normalverarbeitungseinheit
180: Anomalieverarbeitungseinheit
190: Speichereinheit für Beziehungsinformation
191: Informationen zur Kommunikationsbestimmung
192: Informationen zur Anomaliebestimmung
193: Informationen zur Flag-Erkennung

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

JP 2019012899 A [0005]

Claims

Informationsverarbeitungsvorrichtung, die zur aperiodischen Kommunikation und zur periodischen Kommunikation in der Lage ist, umfassend: eine Kommunikationsbestimmungseinheit, die einen Typ einer Kommunikationsnachricht bestimmt; eine erste Verarbeitungsbestimmungseinheit, die eine Beziehung zwischen aperiodischer Kommunikation und periodischer Kommunikation bestimmt, indem sie eine erste Kommunikationsnachricht, für die der Typ als aperiodische Kommunikation bestimmt ist, und einen Vorhersagebereich für eine Zeitdauer für den Empfang einer zweiten Kommunikationsnachricht verwendet, für die der Typ als periodische Kommunikation bestimmt ist; und eine zweite Verarbeitungsbestimmungseinheit, die bestimmt, dass die zweite Kommunikationsnachricht eine legitimierte Kommunikation für eine periodische Kommunikation in einem Fall ist, in dem die zweite Kommunikationsnachricht der periodischen Kommunikation, für die bestimmt wurde, dass sie eine Beziehung hat, eine vorbestimmte Zeitdauer später in dem Vorhersagebereich liegt.
Informationsverarbeitungsvorrichtung nach Anspruch 1, umfassend: eine Korrektureinheit, die in einem Fall, in dem die zweite Kommunikationsnachricht der periodischen Kommunikation, für die eine Beziehung festgestellt wurde, nicht im Vorhersagebereich liegt, den Vorhersagebereich eine vorbestimmte Zeitdauer später auf den Vorhersagebereich korrigiert.
Informationsverarbeitungsvorrichtung nach Anspruch 2, wobei die Korrektureinheit die Korrektur durchführt, indem sie zum Vorhersagebereich einen vorbestimmten Wert oder einen unter Verwendung eines vorbestimmten statistischen Verfahrens berechneten Wert addiert.
Informationsverarbeitungsvorrichtung nach Anspruch 1, umfassend: eine Berechnungseinheit, die den Vorhersagebereich auf der Grundlage einer Zeitdauer, in der die zweite Kommunikationsnachricht empfangen wird, und einer Periode berechnet.
Informationsverarbeitungsvorrichtung nach Anspruch 1, wobei die Kommunikationsbestimmungseinheit für eine periodische Kommunikation, für die die Informationsverarbeitungsvorrichtung ein Steuerziel ist, in einer Speichereinheit eine Flaginformation speichert, die anzeigt, dass die erste Kommunikationsnachricht empfangen worden ist, und die erste Verarbeitungsbestimmungseinheit die Flag-Information verwendet, um die Beziehung zwischen aperiodischer Kommunikation und periodischer Kommunikation zu bestimmen.
Informationsverarbeitungsvorrichtung nach Anspruch 5, wobei die Kommunikationsbestimmungseinheit die Flag-Informationen aus periodischer Kommunikation, die die Informationsverarbeitungsvorrichtung als ein Steuerziel festlegt, für periodische Kommunikation speichert, für die eine Beziehung durch die erste Verarbeitungsbestimmungseinheit bestimmt wurde.
Informationsverarbeitungsvorrichtung nach Anspruch 1, umfassend: eine Anomalieverarbeitungseinheit, die in einem Fall, in dem die zweite Kommunikationsnachricht der periodischen Kommunikation, für die bestimmt wurde, dass sie eine Beziehung hat, nicht innerhalb des Vorhersagebereichs die vorbestimmte Zeitdauer später liegt, an eine Anzeigeeinheit Anomaliebestimmungsstatusinformationen ausgibt, die den Vorhersagebereich und den Vorhersagebereich die vorbestimmte Zeitdauer später, Informationen, die die erste Kommunikationsnachricht der aperiodischen Kommunikation anzeigen, für die bestimmt wurde, dass sie eine Beziehung hat, und Informationen, die die zweite Kommunikationsnachricht anzeigen, enthalten.
Verfahren zur Bestimmung legitimierter Kommunikation, das von einer Informationsverarbeitungsvorrichtung durchgeführt wird, die zu aperiodischer Kommunikation und periodischer Kommunikation in der Lage ist, wobei das Verfahren umfasst: Bestimmen eines Typs einer Kommunikationsnachricht; Bestimmen einer Beziehung zwischen aperiodischer Kommunikation und periodischer Kommunikation, indem sie eine erste Kommunikationsnachricht, für die der Typ als aperiodische Kommunikation bestimmt ist, und einen Vorhersagebereich für eine Zeitdauer für den Empfang einer zweiten Kommunikationsnachricht verwendet, für die der Typ als periodische Kommunikation bestimmt ist, und Bestimmen, dass die zweite Kommunikationsnachricht eine legitimierte Kommunikation für eine periodische Kommunikation in einem Fall ist, in dem die zweite Kommunikationsnachricht der periodischen Kommunikation, für die bestimmt wurde, dass sie eine Beziehung hat, eine vorbestimmte Zeitdauer später in dem Vorhersagebereich liegt.