JP2017050719A - 車載ネットワークシステム - Google Patents

Abstract

【課題】メッセージ認証機能を持たないＥＣＵのセキュリティ機能を向上させることができる車載ネットワークシステムを提供する。【解決手段】メッセージ認証機能を持つ第１のＥＣＵは、受信したメッセージの認証処理を行い、認証できなかった場合に受信メッセージが不正なものであることを通知するアラームをネットワークへ送出する。メッセージ認証機能を持つ第２のＥＣＵは、第１のＥＣＵが送出したアラームの認証処理を行って、アラームが正しいか否かの認証結果をネットワークへ送出する。メッセージ認証機能を持たない第３のＥＣＵは、第１のＥＣＵからアラームを受信した場合、第２のＥＣＵからアラーム認証成功の結果を受信した後に、アラームで通知されたメッセージに対してフェール処理を実行する。【選択図】図１

Description

本発明は、車両に搭載され、複数の電子制御装置がネットワークを介して接続された車載ネットワークシステムに関する。

複数の電子制御装置（Electronic Control Unit：以下「ＥＣＵ」という）がＣＡＮ（Controller Area Network）などのネットワークを介して接続された車載ネットワークシステムでは、何らかの原因で不正なメッセージがネットワークに流れることがある。例えば、悪意のある第三者が非正規のＥＣＵをネットワークに接続し、正規のＥＣＵになりすまして不正なメッセージをネットワークに流すことなどが考えられる。このような不正なメッセージは、正規のＥＣＵによる車両の制御に影響を及ぼすおそれがある。

そこで、なりすましの対策として、メッセージの真偽を判断するメッセージ認証機能および不正なメッセージを通知するアラームメッセージを発する警報機能をＥＣＵに備えたシステムが、提案されている。例えば、特許文献１および２を参照。これらのシステムでは、ＥＣＵが、受信したメッセージが正しいものか否かを自ら判断し、不正なメッセージであると判断した場合には当該受信メッセージに関するアラームメッセージをネットワークに流すことを行う。

このように、なりすましに気付いたＥＣＵがアラームメッセージをネットワークに流すことで、アラームメッセージを受けた他のＥＣＵは、不正なメッセージに対するフェール処理を実行することができる。このようなアラームメッセージは、メッセージ認証機能を持たないＥＣＵにとって、特に有用である。

特開２０１５−０９８３１２号公報 特開２０１５−０６５５４６号公報

しかしながら、車載ネットワークシステムでは、上述したアラームメッセージ自体が不正なものであることも想定される。このような場合、メッセージ認証機能を持たないＥＣＵは、不正なアラームメッセージで通知されるメッセージが正しいにもかかわらず不正なものと判断してしまい、正しいメッセージに対するフェール処理を誤って実行してしまうおそれがある。

本発明は、上記課題を鑑みてなされたものであり、メッセージ認証機能を持たないＥＣＵがなりすまされた不正なアラームメッセージにより（不正なアラームメッセージで通知される正しいメッセージに対して）誤ったフェール処理を実行してしまうおそれを抑制し、メッセージ認証機能を持たないＥＣＵのセキュリティ機能を向上させることができる、車載ネットワークシステムを提供することを目的とする。

上記課題を解決するために、本発明は、ネットワークを介してメッセージ認証機能を持つ電子制御装置とメッセージ認証機能を持たない電子制御装置とが複数接続された車載ネットワークシステムであって、メッセージ認証機能を持つ第１の電子制御装置は、ネットワークからメッセージを受信する受信部と、受信メッセージに認証コードが含まれている場合、認証コードを用いて受信メッセージの認証を行う認証部と、受信メッセージを認証できない場合に、受信メッセージの認証失敗を示す情報および新たな認証コードを含んだ第１のアラームメッセージを作成する作成部と、第１のアラームメッセージをネットワークに送出する送信部とを備え、メッセージ認証機能を持つ第２の電子制御装置は、ネットワークからメッセージを受信する受信部と、第１のアラームメッセージを受信したか否かを判断する判断部と、第１のアラームメッセージを受信した場合、第１のアラームメッセージに含まれている認証コードを用いて、第１のアラームメッセージの認証を行う認証部と、第１のアラームメッセージの認証成功または認証失敗の結果を含んだ第２のアラームメッセージを作成する作成部と、第２のアラームメッセージをネットワークに送出する送信部とを備え、メッセージ認証機能を持たない第３の電子制御装置は、ネットワークからメッセージを受信する受信部と、第１のアラームメッセージを受信したか否かを判断し、第１のアラームメッセージを受信した場合に第２のアラームメッセージを受信したか否かをさらに判断する判断部と、第１のアラームメッセージの認証成功の結果を含んだ第２のアラームメッセージの受信が判断された後に、第１のアラームメッセージで通知されるメッセージに対して所定のフェール処理を実行する実行部とを備える、ことを特徴とする。

この本発明の車載ネットワークシステムでは、第１のＥＣＵ（電子制御装置）が送信した不正メッセージを通知するための第１のアラームメッセージの認証処理を、第１のＥＣＵとは異なる第２のＥＣＵが実施する。そして、第２のＥＣＵは、第１のアラームメッセージの認証成功または認証失敗の結果を第２のアラームメッセージとしてネットワークに送出する。これにより、メッセージ認証機能を持たない第３のＥＣＵは、第１のＥＣＵから第１のアラームメッセージを受信した場合、第２のＥＣＵから第２のアラームメッセージをさらに受信することで、第１のアラームメッセージが正しいか否かを判断できる。つまり、第３のＥＣＵは、第２のＥＣＵから第１のアラームメッセージの認証成功の結果を受信した後に、第１のアラームメッセージで通知される不正メッセージに対してフェール処理を実行することができる。

以上述べたように、本発明の車載ネットワークシステムによれば、メッセージ認証機能を持たないＥＣＵがなりすまされた不正なアラームメッセージにより（不正なアラームメッセージで通知される正しいメッセージに対して）誤ったフェール処理を実行してしまうおそれを抑制できる。従って、メッセージ認証機能を持たないＥＣＵのセキュリティ機能を向上させることができる。

本発明の一実施形態に係る車載ネットワークシステムの構成例を示す図 ＮＭメッセージのフレーム構造例を示す図 ＮＭメッセージのフレーム構造例を示す図 メッセージ認証機能を持つ第１のＥＣＵが実行するフローチャート メッセージ認証機能を持つ第２のＥＣＵが実行するフローチャート メッセージ認証機能を持たない第３のＥＣＵが実行するフローチャート

１．概要
本発明の車載ネットワークシステムは、メッセージ認証機能を持つ複数のＥＣＵとメッセージ認証機能を持たないＥＣＵとが、ネットワークで接続された構成である。メッセージ認証機能を持つ第１のＥＣＵは、受信したメッセージの認証処理を行い、認証できなかった場合に受信メッセージが不正なものであることを通知するアラームをネットワークへ送出する。メッセージ認証機能を持つ第２のＥＣＵは、第１のＥＣＵが送出したアラームの認証処理を行って、アラームが正しいか否かの認証結果をネットワークへ送出する。メッセージ認証機能を持たない第３のＥＣＵは、第１のＥＣＵからアラームを受信した場合、第２のＥＣＵからアラーム認証成功の結果を受信した後に、アラームで通知されたメッセージに対してフェール処理を実行する。

以下、本発明が提供する車載ネットワークシステムについて、図面を参照しながら詳細に説明する。

２．車載ネットワークシステムの構成例
図１は、本発明の一実施形態に係る車載ネットワークシステム１の構成例を示す図である。図１に示した車載ネットワークシステム１は、所定の通信プロトコルに基づいて構成された車両に搭載される通信ネットワークシステムであり、バスなどのネットワーク２０に複数の電子制御装置（ＥＣＵ）１１〜１４が接続されて形成される。

本発明の車載ネットワークシステム１の最小構成は、メッセージ認証機能を持つ電子制御装置（以下「第１のＥＣＵ」という）と、メッセージの不正を通知するアラームメッセージに関するメッセージ認証機能を持つ電子制御装置（以下「第２のＥＣＵ」という）と、メッセージ認証機能を持たない電子制御装置（以下「第３のＥＣＵ」という）とが、ネットワーク２０で接続された構成である。

図１の例では、ＥＣＵ１２およびＥＣＵ１３が第１のＥＣＵに相当し、ＥＣＵ１１が第２のＥＣＵに相当し、ＥＣＵ１４が第３のＥＣＵに相当する。なお、図１の構成は一例であって、車載ネットワークシステム１を構成するＥＣＵの数や種類を限定するものではない。

２−１．第１のＥＣＵ
メッセージ認証機能を持つ第１のＥＣＵが有する機能の一部を説明する。第１のＥＣＵは、少なくとも受信部、認証部、格納部、生成部、作成部、および送信部を有している（図示せず）。この第１のＥＣＵは、典型的には中央演算処理装置（ＣＰＵ：Central Processing Unit）、メモリ、および入出力インタフェースを構成に含み、メモリに格納されたプログラムをＣＰＵが読み出して解釈実行することにより、上述した受信部、認証部、格納部、生成部、作成部、および送信部の機能を発揮する。

受信部は、ネットワーク２０を流れるメッセージのうち、自装置の制御に必要となるメッセージを受信する。認証部は、受信されたメッセージが認証を必要とするメッセージである場合に、所定の認証処理を実施する。認証部は、例えばＭＡＣ（Message Authentication Code）などの認証コードがメッセージに付与されている場合に、当該認証コードを用いて受信されたメッセージの完全性を保証する認証処理を行う。この認証処理には周知の手法が利用できる。認証に必要な共有鍵の情報などは、格納部に予め格納されている。生成部は、受信されたメッセージを認証部で認証できない場合に、当該メッセージの認証ができなかったことを示す認証失敗情報を生成すると共に、受信されたメッセージに付与されていた認証コードと異なる新たな認証コードを生成する。認証失敗情報には、メッセージを特定する識別子（例えば、ＣＡＮ＿ＩＤなど）が含まれる。作成部は、生成部で生成されたメッセージの認証失敗情報および新たな認証コードを含んだアラームメッセージ（以下「第１のアラームメッセージ」という）を作成する。送信部は、作成部で作成された第１のアラームメッセージをネットワーク２０に送出する。

第１のアラームメッセージは、車載ネットワークシステム１が用いる所定の通信プロトコルに基づいて作成されるものであればよく、メッセージの認証失敗情報および認証コードを格納するメッセージフレームの構造は、特に限定されない。例えば、第１のアラームメッセージとして、ＯＳＥＫ／ＶＤＸ（Open Systems and their Interfaces for the Electronics in Motor Vehicles / Vehicle Distributed eXecutive）によって規定された仕様ＯＳＥＫ―ＮＭ（Network Management）に基づくＮＭメッセージを利用することができる。このＮＭメッセージは、ネットワーク２０に接続された各ＥＣＵが、自身のスリープ可否を他のＥＣＵに示すために、所定の順番で定期的にネットワーク２０へ送出するメッセージである。なお、ＯＳＥＫ―ＮＭでは、ＮＭメッセージの他にネットワーク状態通知を定期的に送信することもがあるが、ネットワーク状態通知はＮＭメッセージと同様に取り扱うことができるため説明は省略する。

図２Ａに、ＮＭメッセージのフレーム構造例を示す。第１のアラームメッセージとしてＮＭメッセージを利用する場合には、図２Ａに示すように、データ領域にメッセージの認証失敗情報および認証コード（ＭＡＣなど）を格納することができる。

２−２．第２のＥＣＵ
メッセージ認証機能を持つ第２のＥＣＵが有する機能の一部を説明する。本実施形態では、複数のネットワーク間の接続を中継するゲートウェイ（ＧＷ）を第２のＥＣＵとして用いているが、一般的なＥＣＵを第２のＥＣＵとして用いても構わない。第２のＥＣＵは、少なくとも受信部、判断部、認証部、格納部、生成部、作成部、および送信部を有している（図示せず）。この第２のＥＣＵも、典型的には中央演算処理装置（ＣＰＵ）、メモリ、および入出力インタフェースを構成に含み、メモリに格納されたプログラムをＣＰＵが読み出して解釈実行することにより、上述した受信部、判断部、認証部、格納部、生成部、作成部、および送信部の機能を発揮する。

受信部は、ネットワーク２０を流れるメッセージを受信する。判断部は、受信されたメッセージが第１のアラームメッセージか否かを判断する。メッセージが通常のメッセージであるかアラームメッセージであるかは、メッセージのフレーム構造やメッセージの識別子などで判断可能である。第１のアラームメッセージが受信された場合、認証部は、受信された第１のアラームメッセージに対して所定の認証処理を実施する。具体的に、認証部は、第１のアラームメッセージに含まれる認証コード（ＭＡＣなど）を用いて、受信された第１のアラームメッセージの完全性を保証する認証処理を行う。認証に必要な共有鍵の情報などは、格納部に予め格納されている。生成部は、認証部で行われた第１のアラームメッセージの認証成功または認証失敗という認証結果（以下「アラーム認証結果」という）を生成する。作成部は、生成部で生成されたアラーム認証結果および第１のアラームメッセージで通知されたメッセージの認証失敗情報を含んだ新たなアラームメッセージ（以下「第２のアラームメッセージ」という）を作成する。送信部は、作成部で作成された第２のアラームメッセージをネットワーク２０に送出する。

第２のアラームメッセージは、車載ネットワークシステム１が用いる所定の通信プロトコルに基づいて作成されるものであればよく、メッセージの認証失敗情報およびアラーム認証結果を格納するメッセージフレームの構造は、特に限定されない。例えば、第２のアラームメッセージとして、第１のアラームメッセージと同じＮＭメッセージを利用することができる。第２のアラームメッセージとしてＮＭメッセージを利用する場合には、図２Ｂに示すように、データ領域にメッセージの認証失敗情報およびアラーム認証結果を格納することができる。

２−３．第３のＥＣＵ
メッセージ認証機能を持たない第３のＥＣＵが有する機能の一部を説明する。第３のＥＣＵは、少なくとも受信部、判断部、および実行部を有している（図示せず）。この第３のＥＣＵも、典型的には中央演算処理装置（ＣＰＵ）、メモリ、および入出力インタフェースを構成に含み、メモリに格納されたプログラムをＣＰＵが読み出して解釈実行することにより、上述した受信部、判断部、および実行部の機能を発揮する。

受信部は、ネットワーク２０を流れるメッセージを受信する。判断部は、第１のアラームメッセージを受信したか否かを判断する。そして、第１のアラームメッセージを受信した場合に、第２のアラームメッセージを受信したか否かをさらに判断する。メッセージが第１のアラームメッセージであるか第２のアラームメッセージであるかは、メッセージに格納されている内容やメッセージの識別子などで判断可能である。例えば、図２Ａおよび図２Ｂの例では、フレームのデータ領域に認証コードが格納されているかアラーム認証結果が格納されているかで、判断可能である。実行部は、第２のアラームメッセージの受信があった場合に、第１のアラームメッセージで通知されるメッセージに対して、第１のアラームメッセージのアラーム認証結果に基づいた処理を実行する。

なお、実行部は、判断部が第１のアラームメッセージを受信してから第２のアラームメッセージを受信するまでの時間に時限を設けて、第２のアラームメッセージを受信できたか否かに基づいて実行する処理を決定してもよい。例えば、上述したＮＭメッセージは、ネットワークに接続された全てのＥＣＵを巡回するメッセージ（リングメッセージ）である。そこで、実行部は、第１のアラームメッセージが最初に受信されてからネットワーク上の全てのＥＣＵを１周して再び受信されるまでの間に、第２のアラームメッセージが受信された場合に、第１のアラームメッセージに対して処理を実行するようにしてもよい。また、ネットワーク状態通知（図示せず）を利用する場合には、ＥＣＵ毎にネットワーク状態通知の送信周期が異なる。そのため、実行部は、第１のアラームメッセージを受信した場合、自ＥＣＵがその後にネットワーク状態通知を２回以上送出するまでの間に、第２のアラームメッセージが受信された場合に、第１のアラームメッセージに対して処理を実行するようにしてもよい。

３．車載ネットワークシステムで実行される処理
図３〜図５は、本発明の一実施形態に係る車載ネットワークシステム１において各ＥＣＵが実行する処理を説明するフローチャートである。図３は、メッセージ認証機能を持つ第１のＥＣＵが実行するフローチャートである。図４は、メッセージ認証機能を持つ第２のＥＣＵがアラームメッセージを受信した際に実行するフローチャートである。図５は、メッセージ認証機能を持たない第３のＥＣＵが実行するフローチャートである。

３−１．第１のＥＣＵの制御
図３を説明する。メッセージ認証機能を持つ第１のＥＣＵは、ネットワーク２０を流れる自己の制御に必要なメッセージを受信する（ステップＳ３１）。第１のＥＣＵは、受信したメッセージに認証コードが付加されているか否かを判断する（ステップＳ３２）。認証コードが付加されていない場合（ステップＳ３２、Ｎｏ）、第１のＥＣＵは、この受信メッセージは車両の安全走行に影響を及ぼさないものであると判断し、不正なものか否かにかかわらず受信メッセージを受領する（ステップＳ３８）。一方、認証コードが付加されている場合（ステップＳ３２、Ｙｅｓ）、第１のＥＣＵは、認証コードを用いて受信メッセージの認証処理を実施する（ステップＳ３３）。

上記認証処理において受信メッセージの認証が成功した場合（ステップＳ３４、Ｙｅｓ）、第１のＥＣＵは、受信メッセージが不正なものではないと判断して、受信メッセージを受領する（ステップＳ３８）。一方、上記認証処理において受信メッセージの認証が失敗した場合（ステップＳ３４、Ｎｏ）、第１のＥＣＵは、受信メッセージが不正なものであると判断して、受信メッセージを破棄する（ステップＳ３５）。

そして、第１のＥＣＵは、受信メッセージに付加されていた認証コードとは異なる新たな認証コードを生成し、受信メッセージの認証失敗を示す情報と、生成した認証コードとを含んだ第１のアラームメッセージを作成する（ステップＳ３６）。作成した第１のアラームメッセージは、第１のＥＣＵによってネットワーク２０に送出される（ステップＳ３７）。

３−２．第２のＥＣＵの制御
図４を説明する。メッセージ認証機能を持つ第２のＥＣＵは、ネットワーク２０を流れる第１のアラームメッセージを受信する（ステップＳ４１）。第２のＥＣＵは、受信した第１のアラームメッセージに付加されている認証コードを用いて、第１のアラームメッセージの認証処理を実施する（ステップＳ４２）。

上記認証処理において第１のアラームメッセージの認証ができた場合（ステップＳ４３、Ｙｅｓ）、第２のＥＣＵは、第１のアラームメッセージの認証成功を示すアラーム認証結果を作成する（ステップＳ４４）。一方、上記認証処理において第１のアラームメッセージの認証ができなかった場合（ステップＳ４３、Ｎｏ）、第２のＥＣＵは、第１のアラームメッセージの認証失敗を示すアラーム認証結果を作成する（ステップＳ４５）。

第２のＥＣＵは、第１のアラームメッセージに格納されていたメッセージの認証失敗を示す情報と、第１のアラームメッセージの認証成功または認証失敗を示すアラーム認証結果を含んだ第２のアラームメッセージを作成する（ステップＳ４６）。作成した第２のアラームメッセージは、第２のＥＣＵによってネットワーク２０に送出される（ステップＳ４７）。

３−３．第３のＥＣＵの制御
図５を説明する。メッセージ認証機能を持たない第３のＥＣＵは、ネットワーク２０を流れる自己の制御に必要なメッセージを受信する（ステップＳ５１）。第３のＥＣＵは、メッセージを受信すると、この受信メッセージに関する第１のアラームメッセージを受信したか否かを判断する（ステップＳ５２）。受信メッセージに関する第１のアラームメッセージを受信しなければ（ステップＳ５２、Ｎｏ）、第３のＥＣＵは、受信メッセージが不正なものではないと判断して、受信メッセージを受領する（ステップＳ５６）。

一方、受信メッセージに関する第１のアラームメッセージを受信した場合（ステップＳ５２、Ｙｅｓ）、第３のＥＣＵは、この第１のアラームメッセージに関する第２のアラームメッセージを受信したか否かをさらに判断する（ステップＳ５３）。第２のアラームメッセージを受信した場合、第３のＥＣＵは、第２のアラームメッセージに含まれる第１のアラームメッセージのアラーム認証結果が認証成功を示しているか否かを判断する（ステップＳ５４）。

アラーム認証結果が認証成功を示している場合（ステップＳ５４、Ｙｅｓ）、第３のＥＣＵは、第１のアラームメッセージによる受信メッセージが不正なものであるという通知は正しいと判断する。この場合、第３のＥＣＵは、第１のアラームメッセージによる受信メッセージに対して所定のフェール処理（例えば、フェールセーフ制御）を実行する（ステップＳ５５）。

一方、アラーム認証結果が認証失敗を示している場合（ステップＳ５４、Ｎｏ）、第３のＥＣＵは、第１のアラームメッセージがなりすまされている、つまり第１のアラームメッセージによる受信メッセージが不正であるという通知が間違っていると判断し、受信メッセージを受領する（ステップＳ５６）。

４．車載ネットワークシステムにおける不正行為の例
各ＥＣＵが上述した処理をそれぞれ行うことで、メッセージ認証機能を持たないＥＣＵのセキュリティ機能が向上する作用を説明する。

４−１．受信メッセージが不正なケース
このケースは、例えば、図１に示したＥＣＵ１２が非正規のＥＣＵであり、他のＥＣＵが正規のＥＣＵである場合である。このケースでは、請求項１における第１の電子制御装置（正規のＥＣＵ１３）、第２の電子制御装置（正規のＥＣＵ１１）、および第３の電子制御装置（正規のＥＣＵ１４）のすべての構成が機能して、課題の解決が図られる。

このケースでは、非正規のＥＣＵ１２がなりすまして不正のメッセージＡをネットワーク２０に送出する。メッセージＡを受信した正規のＥＣＵ１３が、メッセージＡの認証処理を行うが、メッセージＡに付加された認証コードが間違っているため認証できない。よって、正規のＥＣＵ１３は、メッセージＡの認証失敗情報と新たな認証コードとを含んだ第１のアラームメッセージを作成し、ネットワーク２０に送出する。第１のアラームメッセージは、正規のＥＣＵ１１および１４で受信される。第１のアラームメッセージを受信した正規のＥＣＵ１１は、第１のアラームメッセージの認証処理を行い、メッセージに付加された正しい認証コードによる認証を成功させる。これにより、正規のＥＣＵ１１は、メッセージＡの認証失敗情報と第１のアラームメッセージの認証成功情報とを含んだ第２のアラームメッセージを作成し、ネットワーク２０に送出する。

メッセージ認証機能を持たない正規のＥＣＵ１４は、メッセージＡに関してまず第１のアラームメッセージを受信し、次に第２のアラームメッセージを受信する。そして、正規のＥＣＵ１４は、第１のアラームメッセージが正しいことを第２のアラームメッセージの認証成功結果によって判断できる。第１のアラームメッセージが正しいとは、すなわちこの第１のアラームメッセージで通知されるメッセージＡが不正なものであることを意味する。従って、この場合、正規のＥＣＵ１４は、ネットワーク２０から受信したメッセージＡに対するフェール処理（破棄、フェールセーフ制御など）を実行することができる。よって、正規のＥＣＵ１４のセキュリティ機能が向上する。

４−２．アラームメッセージが不正なケース
このケースは、例えば、図１に示したＥＣＵ１３が非正規のＥＣＵであり、他のＥＣＵが正規のＥＣＵである場合である。このケースでは、請求項１における第２の電子制御装置（正規のＥＣＵ１１）および第３の電子制御装置（正規のＥＣＵ１４）の構成が機能して、課題の解決が図られる。

このケースでは、正規のＥＣＵ１２からは正しいメッセージＢがネットワーク２０に送出される。メッセージＢを受信した非正規のＥＣＵ１３は、これがあたかも不正メッセージであるかのように、メッセージＢの認証失敗情報と認証コードとを含んだ第１のアラームメッセージを不正に作成し、ネットワーク２０に送出する。第１のアラームメッセージは、正規のＥＣＵ１１および１４で受信される。第１のアラームメッセージを受信した正規のＥＣＵ１１は、第１のアラームメッセージの認証処理を行うが、メッセージに付加された認証コードが間違っているため認証できない。よって、正規のＥＣＵ１１は、メッセージＢの認証失敗情報と第１のアラームメッセージの認証失敗情報とを含んだ第２のアラームメッセージを作成し、ネットワーク２０に送出する。

メッセージ認証機能を持たない正規のＥＣＵ１４は、メッセージＢに関してまず第１のアラームメッセージを受信し、次に第２のアラームメッセージを受信する。そして、正規のＥＣＵ１４は、第１のアラームメッセージが正しくないことを第２のアラームメッセージの認証失敗結果によって判断できる。第１のアラームメッセージが正しくないとは、すなわちこの第１のアラームメッセージで通知されるメッセージＢが正しいことを意味する。従って、この場合、正規のＥＣＵ１４は、ネットワーク２０から受信したメッセージＢを受領することができる。よって、正規のＥＣＵ１４のセキュリティ機能が向上する。

５．実施の形態の効果
以上のように、本発明の一実施形態に係る車載ネットワークシステム１では、メッセージ認証機能を持つ第１のＥＣＵがネットワークへ送出した特定のメッセージが不正なものであることを通知するアラームメッセージの認証を、メッセージ認証機能を持つ第２のＥＣＵが実施する。そして、この第２のＥＣＵは、アラームメッセージの認証結果をネットワークへ送出する。

これにより、メッセージ認証機能を持たないＥＣＵは、アラームメッセージを受信した場合、このアラームメッセージの認証結果を受信することで、アラームメッセージが正しいか否かを判断できる。よって、メッセージ認証機能を持たないＥＣＵが、不正なアラームメッセージを受信したときに、当該アラームメッセージで通知された特定のメッセージに対して誤ったフェール処理を実行してしまうおそれを抑制できる。従って、メッセージ認証機能を持たないＥＣＵのセキュリティ機能を、コストをかけることなく向上させることができる。

６．実施の形態による他の効果
また、アラームメッセージとしてＮＭメッセージを利用する場合、アラームメッセージの認証処理を行うＥＣＵをゲートウェイ（ＧＷ）とすることで、以下のような作用効果を発揮することができる。

（１）ネットワークに接続されているＥＣＵの中には、ＮＭメッセージを利用するＥＣＵの他に、ネットワーク状態通知（図示せず）を利用するＥＣＵも存在する。このネットワーク状態通知を利用するＥＣＵは、ＮＭメッセージを受信することができず、反対にＮＭメッセージを利用するＥＣＵは、ネットワーク状態通知を受信することができない。このため、ＮＭメッセージを利用して通知するアラーム認証結果が、ネットワーク状態通知を利用するＥＣＵには届かないことになる。そこで、ゲートウェイ（ＧＷ）において、第１のアラームメッセージを受信した際には、ＮＭメッセージおよびネットワーク状態通知の両方による第２のアラームメッセージを作成して、ネットワークに送出する。これにより、ＮＭメッセージを利用するＥＣＵにもネットワーク状態通知を利用するＥＣＵにも、不正メッセージに関するアラームを届けることができる。

（２）ゲートウェイ（ＧＷ）では、ＮＭメッセージを用いて各ＥＣＵのスリープ状態／ウェイクアップ状態を管理している。そのため、ネットワークに接続されているＥＣＵがスリープ待機状態（ＯＳＥＫ―ＮＭでは、各ＥＣＵがＮＭメッセージ［ind=1］を送信）にもかかわらず、当該ＥＣＵをウェイクアップさせるメッセージがネットワークに流れている場合には、ゲートウェイ（ＧＷ）が、非正規なＥＣＵがネットワークに接続されていると判断することができる。

（３）ＮＭメッセージを用いて車両のイグニッションオフ（IG-OFF）時の不正操作や機密情報の漏洩対策を行うことができる。例えば、ゲートウェイ（ＧＷ）が、なりすましの不正メッセージが流れているネットワークを強制的にスリープさせることで、不正メッセージによる影響を最小限に留めることができる。ＯＳＥＫ―ＮＭでは、ゲートウェイ（ＧＷ）が、ＮＭメッセージ［ind=1,ack=1］を送信する。なお、ＡＵＴＯＳＡＲ（AUTomotive Open System ARchitecture）―ＮＭ規格では、ゲートウェイ（ＧＷ）がネットワークへのＮＭメッセージの送信を停止すれば、ネットワークに接続されたＥＣＵがスリープ状態に遷移する。

（４）ゲートウェイ（ＧＷ）は、第１のアラームメッセージの受信に応じて作成した第２のアラームメッセージを、車両に搭載される他の通信ネットワークのバスに送出することができる。これにより、第１のアラームメッセージを送出した通信ネットワークとは異なる通信ネットワークに存在するメッセージ認証機能を持たないＥＣＵに関しても、コストをかけることなくセキュリティ機能を向上させることができる。

本発明の車載ネットワークシステムは、メッセージ認証機能を持たない電子制御装置（ＥＣＵ）による誤ったフェール処理の実行を抑制させ、セキュリティ機能を向上させたい場合など、に有用である。

１ 車載ネットワークシステム
１１〜１４ 電子制御装置（ＥＣＵ）
２０ ネットワーク

Claims (1)

1. ネットワークを介してメッセージ認証機能を持つ電子制御装置とメッセージ認証機能を持たない電子制御装置とが複数接続された車載ネットワークシステムであって、
   前記メッセージ認証機能を持つ第１の電子制御装置は、
   ネットワークからメッセージを受信する受信部と、
   前記受信メッセージに認証コードが含まれている場合、当該認証コードを用いて前記受信メッセージの認証を行う認証部と、
   前記受信メッセージを認証できない場合に、当該受信メッセージの認証失敗を示す情報および新たな認証コードを含んだ第１のアラームメッセージを作成する作成部と、
   前記第１のアラームメッセージをネットワークに送出する送信部とを備え、
   前記メッセージ認証機能を持つ第２の電子制御装置は、
   ネットワークからメッセージを受信する受信部と、
   前記第１のアラームメッセージを受信したか否かを判断する判断部と、
   前記第１のアラームメッセージを受信した場合、前記第１のアラームメッセージに含まれている認証コードを用いて前記第１のアラームメッセージの認証を行う認証部と、
   前記第１のアラームメッセージの認証成功または認証失敗の結果を含んだ第２のアラームメッセージを作成する作成部と、
   前記第２のアラームメッセージをネットワークに送出する送信部とを備え、
   前記メッセージ認証機能を持たない第３の電子制御装置は、
   ネットワークからメッセージを受信する受信部と、
   前記第１のアラームメッセージを受信したか否かを判断し、前記第１のアラームメッセージを受信した場合に前記第２のアラームメッセージを受信したか否かをさらに判断する判断部と、
   前記第１のアラームメッセージの認証成功の結果を含んだ前記第２のアラームメッセージの受信が判断された後に、前記第１のアラームメッセージで通知されるメッセージに対して所定のフェール処理を実行する実行部とを備える、
   通信ネットワークシステム。

Images