JP2018007211A - 車載通信システム - Google Patents
車載通信システム Download PDFInfo
- Publication number
- JP2018007211A JP2018007211A JP2016136232A JP2016136232A JP2018007211A JP 2018007211 A JP2018007211 A JP 2018007211A JP 2016136232 A JP2016136232 A JP 2016136232A JP 2016136232 A JP2016136232 A JP 2016136232A JP 2018007211 A JP2018007211 A JP 2018007211A
- Authority
- JP
- Japan
- Prior art keywords
- signal
- unit
- communication system
- ecu
- vehicle communication
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Small-Scale Networks (AREA)
Abstract
【課題】車載通信システムの処理負荷を過大にすることなく、車載通信システムへの不正なアクセスを阻害する技術を提供することを目的とする。【解決手段】本出願は、複数のノード間で互いに異なる識別子が付された複数の信号の通信がなされる車載通信システムを開示する。車載通信システムは、前記識別子として第１識別子が付された第１信号を出力する通信部を有する第１ノードを、前記複数のノードのうち１つとして備える。前記通信部は、前記複数のノードのうち他のもう１つとして前記車載通信システムに組み込まれた第２ノードから第２信号を受信する。前記第１ノードは、前記第２信号に前記第１識別子が付されているならば、前記車載通信システムの異常を通知する通知信号を生成する信号生成部を含む。【選択図】図１
Description
本発明は、車載通信システムに関する。
車載通信システムは、自動車に対する様々な制御に利用される。しかしながら、近年、車載通信システムの脆弱性がしばしば指摘されている。特許文献１は、従来の車載通信システムが抱える脆弱性を克服するための技術を開示する。
特許文献１の開示技術は、メッセージ認証符号を用いて、車載通信システムへの不正アクセスを防止する。特許文献１の開示技術は、メッセージ認証符号を用いて符号化された信号を利用し、不正アクセスの防止措置を常時採る。
不正アクセスに対する常時の防止措置は、車載通信システムの処理負荷を過大にする。
本発明は、車載通信システムの処理負荷を過大にすることなく、車載通信システムへの不正なアクセスを阻害する技術を提供することを目的とする。
本発明の一局面に係る車載通信システムは、複数のノード間で互いに異なる識別子が付された複数の信号の通信がなされるように設計される。車載通信システムは、前記識別子として第１識別子が付された第１信号を出力する通信部を有する第１ノードを、前記複数のノードのうち１つとして備える。前記通信部は、前記複数のノードのうち他のもう１つとして前記車載通信システムに組み込まれた第２ノードから第２信号を受信する。前記第１ノードは、前記第２信号に前記第１識別子が付されているならば、前記車載通信システムの異常を通知する通知信号を生成する信号生成部を含む。
上記構成によれば、第１ノードの通信部は、識別子として第１識別子が付された第１信号を出力するので、車載通信システムの他のノードは、第１信号を、第１ノードから出力された信号として認識することができる。通信部が、第１識別子が付されている第２信号を第２ノードから受け取るならば、信号生成部は、車載通信システムの異常を通知する通知信号を生成するので、他のノードは、通知信号によって車載通信システムの異常を知ることができる。この結果、他のノードは、通知信号に応じて、車載通信システムへの不正なアクセスを阻害するための措置を採ることができる。第２信号に第１識別子が付されていないならば、車載通信システムへの不正なアクセスを阻害するための処理はなされないので、車載通信システムの処理負荷は、過度に大きくならない。
上記構成に関して、前記信号生成部は、前記通知信号を符号化してもよい。
上記構成によれば、第１識別子が、第２信号に付されているならば、第２ノードは、車載通信システムに不正に組み込まれている。不正に組み込まれた第２ノードは、符号化された通知信号を復号するための手段を有さないので、第２ノードは、通知信号の内容を認識することができない。したがって、第２ノードは、通知信号に対する不正な処理を実行することはできない。
上記構成に関して、車載通信システムは、前記複数のノードそれぞれに通信可能に接続されたバスを更に備えてもよい。前記信号生成部は、メッセージ認証符号を用いて、前記通知信号を符号化してもよい。前記通信部は、前記符号化された通知信号を前記バスへ出力してもよい。前記複数のノードは、前記通知信号を受信する第３ノードを含んでもよい。前記第３ノードは、前記通知信号の符号化に用いられた共通鍵を用いて、前記通知信号を復号してもよい。
上記構成によれば、第１ノードは、メッセージ認証符号を用いて、通知信号を符号化するので、第２ノードは、通知信号の内容を認識することができない。したがって、第２ノードは、通知信号に対する不正な処理を実行することはできない。一方、第３ノードは、通知信号の符号化に用いられた共通鍵を用いて、通知信号を復号するので、第３ノードは、車載通信システムに異常が生じていることを認識することができる。
上記構成に関して、前記第１ノードは、前記バスを通じて前記通信部が受け取った信号が前記第１信号であるか否かを判定する判定部を含んでもよい。前記判定部が、前記信号が前記第１信号でないと判定することを条件として、前記信号生成部は、前記通知信号を生成してもよい。
上記構成によれば、第１ノードの判定部は、バスを通じて通信部が受け取った信号が第１信号であるか否かを判定するので、第１ノードは、第１信号がバスへ適切に出力されたか否かを判定することができる。判定部が、信号が第１信号でないと判定することを条件として、信号生成部は、通知信号を生成するので、通知信号は、不必要に生成されない。
上記構成に関して、前記通知信号は、前記第１識別子を表すメッセージを含んでもよい。
上記構成によれば、通知信号は、第１識別子を表すメッセージを含むので、車載通信システムに適正に組み込まれたノードは、第１識別子が付された信号に関して、不正のリスクを有する信号として処理することができる。
上記構成に関して、前記第１ノードは、エンジンを制御するように設計されたエレクトロニックコントロールユニットであってもよい。
上記構成によれば、第１ノードは、エンジンを制御するように設計されたエレクトロニックコントロールユニットであるので、エンジンへの制御に対する不正な処理は阻害される。
上記構成に関して、前記第１ノードは、ブレーキを制御するように設計されたエレクトロニックコントロールユニットであってもよい。
上記構成によれば、第１ノードは、ブレーキを制御するように設計されたエレクトロニックコントロールユニットであるので、ブレーキへの制御に対する不正な処理は阻害される。
上述の技術は、車載通信システムの処理負荷を過大にすることなく、車載通信システムへの不正なアクセスを阻害することに貢献する。
＜第１実施形態＞
車載通信システムに対する不正アクセスへの対抗措置が常時採られるならば、対抗措置にために必要とされる演算処理や通信処理は、車載通信システムに過大な負荷を与える。不正アクセスを検出することができる検出技術が、車載通信システムに組み込まれるならば、不正アクセスへの対抗措置は、不正アクセスが検出されたときのみ実行されればよい。第１実施形態において、不正アクセスを検出するための例示的な技術が説明される。
車載通信システムに対する不正アクセスへの対抗措置が常時採られるならば、対抗措置にために必要とされる演算処理や通信処理は、車載通信システムに過大な負荷を与える。不正アクセスを検出することができる検出技術が、車載通信システムに組み込まれるならば、不正アクセスへの対抗措置は、不正アクセスが検出されたときのみ実行されればよい。第１実施形態において、不正アクセスを検出するための例示的な技術が説明される。
図１は、第１実施形態の車載通信システム（以下、通信システム１００と称される）の概念的なブロック図である。図１を参照して、通信システム１００が説明される。
通信システム１００は、複数のエレクトロニックコントロールユニット（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ：以下、ＥＣＵ１１１，１１２，１１３，１１４と称される）と、バス１２０と、を備える。バス１２０は、ＥＣＵ１１１，１１２，１１３，１１４それぞれに接続される。ＥＣＵ１１１，１１２，１１３，１１４それぞれは、バス１２０にパケット信号を出力する。パケット信号は、バス１２０を通じて、ＥＣＵ１１１，１１２，１１３，１１４間でやりとりされる。通信システム１００は、既知のコントローラエリアネットワーク（ＣＡＮ：Ｃｏｎｔｒｏｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）の技術に基づいて構築されてもよい。本実施形態において、複数のノードは、ＥＣＵ１１１，１１２，１１３，１１４によって例示される。車載通信システムは、４未満のＥＣＵを有してもよいし、４を超えるＥＣＵを有してもよい。本実施形態の原理は、いくつのＥＣＵが車載通信システムに組み込まれるかによっては何ら限定されない。
ＥＣＵ１１１，１１２，１１３，１１４は、通信システム１００が搭載された車両のエンジンを制御するために用いられてもよい。代替的に、ＥＣＵ１１１，１１２，１１３，１１４は、通信システム１００が搭載された車両のナビゲーションシステムを制御するために用いられてもよい。更に代替的に、ＥＣＵ１１１，１１２，１１３，１１４は、通信システム１００が搭載された車両のブレーキを制御するために用いられてもよい。更に代替的に、ＥＣＵ１１１，１１２，１１３，１１４は、通信システム１００が搭載された車両のエアコンディショナを制御するために用いられてもよい。本実施形態の原理は、ＥＣＵ１１１，１１２，１１３，１１４それぞれの特定の制御対象に限定されない。
図１に示される如く、ＥＣＵ１１１，１１２，１１３，１１４から出力されるパケット信号には、互いに異なる識別子が付される。本実施形態において、複数の信号は、ＥＣＵ１１１，１１２，１１３，１１４から出力されるパケット信号によって例示される。
ＥＣＵ１１１から出力されるパケット信号には、「ＩＤ１１１」との識別子が付されている。「ＩＤ１１１」との識別子が、バス１２０から取得されたパケット信号に付されているならば、ＥＣＵ１１２，１１３，１１４は、パケット信号が、エンジンを制御するための制御因子に関する情報（データ（Ｗ１１１，Ｘ１１１，Ｙ１１１，Ｚ１１１））を含んでいると認識してもよい。ＥＣＵ１１２，１１３，１１４が、ＥＣＵ１１１が制御対象とする制御因子に関する情報を必要とするならば、ＥＣＵ１１２，１１３，１１４は、「ＩＤ１１１」との識別子が付されたパケット信号を取り込む。
ＥＣＵ１１２から出力されるパケット信号には、「ＩＤ１１２」との識別子が付されている。「ＩＤ１１２」との識別子が、バス１２０から取得されたパケット信号に付されているならば、ＥＣＵ１１１，１１３，１１４は、パケット信号が、エンジンを制御するための他のもう１つの制御因子に関する情報（データ（Ｗ１１２，Ｘ１１２，Ｙ１１２，Ｚ１１２））を含んでいると認識してもよい。ＥＣＵ１１１，１１３，１１４が、ＥＣＵ１１２が制御対象とする制御因子に関する情報を必要とするならば、ＥＣＵ１１１，１１３，１１４は、「ＩＤ１１２」との識別子が付されたパケット信号を取り込む。
ＥＣＵ１１３から出力されるパケット信号には、「ＩＤ１１３」との識別子が付されている。「ＩＤ１１３」との識別子が、バス１２０から取得されたパケット信号に付されているならば、ＥＣＵ１１１，１１２，１１４は、パケット信号が、エンジンを制御するための他のもう１つの制御因子に関する情報（データ（Ｗ１１３，Ｘ１１３，Ｙ１１３，Ｚ１１３））を含んでいると認識してもよい。ＥＣＵ１１１，１１２，１１４が、ＥＣＵ１１３が制御対象とする制御因子に関する情報を必要とするならば、ＥＣＵ１１１，１１２，１１４は、「ＩＤ１１３」との識別子が付されたパケット信号を取り込む。
ＥＣＵ１１４から出力されるパケット信号には、「ＩＤ１１４」との識別子が付されている。「ＩＤ１１４」との識別子が、バス１２０から取得されたパケット信号に付されているならば、ＥＣＵ１１１，１１２，１１３は、パケット信号が、エンジンを制御するための他のもう１つの制御因子に関する情報（データ（Ｗ１１４，Ｘ１１４，Ｙ１１４，Ｚ１１４））を含んでいると認識してもよい。ＥＣＵ１１１，１１２，１１３が、ＥＣＵ１１４が制御対象とする制御因子に関する情報を必要とするならば、ＥＣＵ１１１，１１２，１１３は、「ＩＤ１１４」との識別子が付されたパケット信号を取り込む。
図２は、不正に改変された車載通信システム（以下、通信システム１０１と称される）の概念的なブロック図である。図１及び図２を参照して、通信システム１０１が説明される。
通信システム１００と同様に、通信システム１０１は、ＥＣＵ１１１，１１２，１１３，１１４と、バス１２０と、を備える。通信システム１０１は、第三者によって不正に組み込まれたＥＣＵ１１５を更に備える。ＥＣＵ１１５は、バス１２０に通信可能に接続される。
ＥＣＵ１１１，１１２，１１３，１１４と同様に、ＥＣＵ１１５は、パケット信号を、バス１２０へ出力する。ＥＣＵ１１５から出力されたパケット信号は、通信システム１０１が搭載された車両のエンジンの不適切な動作を引き起こしうるデータ（Ｗ１１５，Ｘ１１５，Ｙ１１５，Ｚ１１５）を含んでいる。
ＥＣＵ１１５から出力されたパケット信号には、ＥＣＵ１１１によって付される識別子と同一の識別子「ＩＤ１１１」が付されている。したがって、ＥＣＵ１１２，１１３，１１４は、ＥＣＵ１１５から出力されたパケット信号が、ＥＣＵ１１１が制御対象とする制御因子に関する情報を含んでいると認識しうる。一方、ＥＣＵ１１１は、自身が固有に付すはずの識別子「ＩＤ１１１」が、ＥＣＵ１１１が送信していないパケット信号に付されているので、ＥＣＵ１１５から出力されたパケット信号を、不正な信号として認識し得る。
本実施形態において、第１ノードは、ＥＣＵ１１１によって例示される。第１信号は、ＥＣＵ１１１から出力されたパケット信号によって例示される。第１識別子は、ＥＣＵ１１１が固有に付す識別子「ＩＤ１１１」によって例示される。第２ノードは、ＥＣＵ１１２，１１３，１１４のうち１つ又はＥＣＵ１１５によって例示される。第２信号は、ＥＣＵ１１２，１１３，１１４のうち１つ又はＥＣＵ１１５から出力されたパケット信号によって例示される。
図３は、ＥＣＵ２００の例示的な機能構成を表す概略的なブロック図である。ＥＣＵ２００の機能構成は、ＥＣＵ１１１，１１２，１１３，１１４それぞれに適用されてもよい。図２及び図３を参照して、ＥＣＵ２００が説明される。
ＥＣＵ２００は、通信部２１０と、判定部２２０と、信号処理部２３０と、信号生成部２４０と、を含む。通信部２１０は、一般的なＥＣＵが有するトランシーバであってもよい。判定部２２０及び信号処理部２３０は、一般的なＥＣＵが有するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）であってもよい。信号生成部２４０は、一般的なＥＣＵが有するＣＡＮコントローラであってもよい。
通信部２１０は、送信部２１１と受信部２１２とを含む。送信部２１１は、パケット信号をバス１２０へ出力する。受信部２１２は、バス１２０を通じて、他のＥＣＵから出力されたパケット信号を受け取る。受信部２１２が受け取ったパケット信号は、判定部２２０へ伝達される。
判定部２２０は、受信部２１２から受け取ったパケット信号に付された識別子を参照する。パケット信号が、信号処理部２３０によって実行される処理に必要とされる情報を含んでいることを、識別子が表すならば、判定部２２０は、パケット信号に含まれるデータを信号処理部２３０へ出力する。パケット信号が、信号処理部２３０によって実行される処理とは無関係な情報を含んでいることを、識別子が表すならば、判定部２２０は、パケット信号に含まれるデータの伝達を遮断する。
たとえば、ＥＣＵ１１１の信号処理部２３０は、ＥＣＵ１１２，１１３から出力されたパケット信号に含まれる情報を必要とする一方で、ＥＣＵ１１４からの出力されたパケット信号に含まれる情報を必要としなくてもよい。この場合、識別子「ＩＤ１１２」又は「ＩＤ１１３」が、受信部２１２が受け取ったパケット信号に付されているならば、ＥＣＵ１１１の判定部２２０は、データ（Ｗ１１２，Ｘ１１２，Ｙ１１２，Ｚ１１２）又はデータ（Ｗ１１３，Ｘ１１３，Ｙ１１３，Ｚ１１３）を、ＥＣＵ１１１の信号処理部２３０へ伝達する。識別子「ＩＤ１１４」が、受信部２１２が受け取ったパケット信号に付されているならば、ＥＣＵ１１１の判定部２２０は、受信部２１２が受け取ったパケット信号の伝達を遮断する。
受信部２１２から受け取ったパケット信号に付された識別子が、信号生成部２４０によって付されるはずの識別子に一致するならば、判定部２２０は、受信部２１２が受け取ったパケット信号が不正であると判定してもよい。たとえば、ＥＣＵ１１１の判定部２２０は、ＥＣＵ１１１の受信部２１２が受け取ったパケット信号に、識別子「ＩＤ１１１」が付されているならば、判定部２２０は、不正なパケット信号が存在していると判定することができる。この場合、判定部２２０は、トリガ信号を生成する。トリガ信号は、判定部２２０から信号生成部２４０へ出力される。
信号処理部２３０は、判定部２２０から信号処理部２３０へのデータの伝達に応じて、所定の処理を行う。たとえば、信号処理部２３０は、制御対象（たとえば、エンジン）の制御に必要とされる情報を得るための演算処理を実行してもよい。本実施形態の原理は、信号処理部２３０が実行する特定の処理に限定されない。
信号処理部２３０の演算処理の結果が、他のＥＣＵに必要とされる情報であるならば、信号処理部２３０は、演算結果を表すパケット信号の生成を要求する要求信号を生成する。信号処理部２３０は、演算結果を表す情報を要求信号に含める。要求信号は、信号処理部２３０から信号生成部２４０へ出力される。
信号生成部２４０は、要求信号に応じて、演算結果を表すデータを含むパケット信号を生成する。加えて、信号生成部２４０は、パケット信号に、ＥＣＵ２００に固有に定められた識別子を付す。たとえば、ＥＣＵ１１１の信号生成部２４０は、パケット信号に識別子「ＩＤ１１１」を付す。パケット信号は、信号生成部２４０から送信部２１１へ出力される。その後、パケット信号は、送信部２１１からバス１２０へ出力される。
信号生成部２４０は、トリガ信号に応じて、バス１２０に不正なパケット信号が流されていることを表す通知信号を生成する。通知信号は、パケット信号のフォーマットで生成されてもよい。
信号生成部２４０は、通知信号に、ＥＣＵ２００に固有に定められた識別子を付してもよい。たとえば、ＥＣＵ１１１の信号生成部２４０は、パケット信号に識別子「ＩＤ１１１」を付す。この場合、識別子「ＩＤ１１１」が付されたパケット信号を信号処理する他のＥＣＵは、通知信号の受信によって、識別子「ＩＤ１１１」が付されたパケット信号が不正である可能性があることを認識することができる。他のＥＣＵは、通知信号の受信に応じて、不正なパケット信号に対する所定の警戒措置（たとえば、インストルメントパネル上の警告ランプを点灯させること）を採ることができる。本実施形態の原理は、通知信号の通信後に行われる特定の措置に限定されない。
代替的に、信号生成部２４０は、通知信号に、他のパケット信号とは区別するための識別子を付してもよい。この場合、バス１２０に接続された全てのＥＣＵは、識別子「ＩＤ１１１」が付されたパケット信号が不正である可能性があることを認識することができる。本実施形態の原理は、通知信号に付される特定の識別子に限定されない。
図４は、ＥＣＵ２００内で実行される例示的な処理を表す概略的なフローチャートである。図２乃至図４を参照して、ＥＣＵ２００が実行する処理が説明される。
（ステップＳ１１０）
受信部２１２は、他のＥＣＵがバス１２０に出力したパケット信号を待つ。受信部２１２がパケット信号を受信すると、ステップＳ１２０が実行される。
受信部２１２は、他のＥＣＵがバス１２０に出力したパケット信号を待つ。受信部２１２がパケット信号を受信すると、ステップＳ１２０が実行される。
（ステップＳ１２０）
受信部２１２は、パケット信号を判定部２２０へ伝達する。その後、ステップＳ１３０が実行される。
受信部２１２は、パケット信号を判定部２２０へ伝達する。その後、ステップＳ１３０が実行される。
（ステップＳ１３０）
判定部２２０は、パケット信号に付された識別子を参照する。信号生成部２４０が付するはずの識別子が、パケット信号に付されているならば、ステップＳ１４０が実行される。他の場合には、ステップＳ１５０が実行される。
判定部２２０は、パケット信号に付された識別子を参照する。信号生成部２４０が付するはずの識別子が、パケット信号に付されているならば、ステップＳ１４０が実行される。他の場合には、ステップＳ１５０が実行される。
（ステップＳ１４０：警戒ルーチン）
通知信号を生成するための処理が実行される。この結果、他のＥＣＵに不正なパケット信号の存在が通知される。
通知信号を生成するための処理が実行される。この結果、他のＥＣＵに不正なパケット信号の存在が通知される。
（ステップＳ１５０：通常ルーチン）
パケット信号を処理するための演算が実行される。この結果、ＥＣＵ２００によって得られた演算結果が他のＥＣＵに通知される。
パケット信号を処理するための演算が実行される。この結果、ＥＣＵ２００によって得られた演算結果が他のＥＣＵに通知される。
図５は、警戒ルーチン（図４のステップＳ１４０）を表す概略的なフローチャートである。図２乃至図５を参照して、警戒ルーチンが説明される。
（ステップＳ２１０）
判定部２２０は、トリガ信号を生成する。トリガ信号は、判定部２２０から信号生成部２４０へ伝達される。判定部２２０から信号生成部２４０へのトリガ信号の伝達の後、ステップＳ２２０が実行される。
判定部２２０は、トリガ信号を生成する。トリガ信号は、判定部２２０から信号生成部２４０へ伝達される。判定部２２０から信号生成部２４０へのトリガ信号の伝達の後、ステップＳ２２０が実行される。
（ステップＳ２２０）
信号生成部２４０は、トリガ信号に応じて、通知信号を生成する。通知信号は、信号生成部２４０から送信部２１１へ伝達される。信号生成部２４０から送信部２１１への通知信号の伝達の後、ステップＳ２３０が実行される。
信号生成部２４０は、トリガ信号に応じて、通知信号を生成する。通知信号は、信号生成部２４０から送信部２１１へ伝達される。信号生成部２４０から送信部２１１への通知信号の伝達の後、ステップＳ２３０が実行される。
（ステップＳ２３０）
送信部２１１は、バス１２０へ通知信号を出力する。この結果、他のＥＣＵに不正なパケット信号の存在が通知される。
送信部２１１は、バス１２０へ通知信号を出力する。この結果、他のＥＣＵに不正なパケット信号の存在が通知される。
図６は、通常ルーチン（図４のステップＳ１５０）を表す概略的なフローチャートである。図２乃至図４及び図６を参照して、通常ルーチンが説明される。
（ステップＳ３１０）
判定部２２０は、パケット信号に付された識別子からパケット信号に含まれるデータが信号処理部２３０での処理に必要とされるか否かを判定する。信号処理部２３０が、データを必要としているならば、ステップＳ３２０が実行される。他の場合には、通常ルーチンは終了される。
判定部２２０は、パケット信号に付された識別子からパケット信号に含まれるデータが信号処理部２３０での処理に必要とされるか否かを判定する。信号処理部２３０が、データを必要としているならば、ステップＳ３２０が実行される。他の場合には、通常ルーチンは終了される。
（ステップＳ３２０）
パケット信号に含まれるデータは、判定部２２０から信号処理部２３０へ伝達される。その後、ステップＳ３３０が実行される。
パケット信号に含まれるデータは、判定部２２０から信号処理部２３０へ伝達される。その後、ステップＳ３３０が実行される。
（ステップＳ３３０）
信号処理部２３０は、判定部２２０から受け取ったデータを用いて、所定の演算処理を行う。その後、ステップＳ３４０が実行される。
信号処理部２３０は、判定部２２０から受け取ったデータを用いて、所定の演算処理を行う。その後、ステップＳ３４０が実行される。
（ステップＳ３４０）
演算処理の結果が、他のＥＣＵに必要とされるならば、ステップＳ３５０が実行される。他の場合には、通常ルーチンは終了される。この場合、ＥＣＵ２００は、演算結果を用いた他の制御動作を実行してもよい。
演算処理の結果が、他のＥＣＵに必要とされるならば、ステップＳ３５０が実行される。他の場合には、通常ルーチンは終了される。この場合、ＥＣＵ２００は、演算結果を用いた他の制御動作を実行してもよい。
（ステップＳ３５０）
信号処理部２３０は、他のＥＣＵへの演算結果の伝達を要求する要求信号を生成する。要求信号は、信号処理部２３０から信号生成部２４０へ伝達される。その後、ステップＳ３６０が実行される。
信号処理部２３０は、他のＥＣＵへの演算結果の伝達を要求する要求信号を生成する。要求信号は、信号処理部２３０から信号生成部２４０へ伝達される。その後、ステップＳ３６０が実行される。
（ステップＳ３６０）
信号生成部２４０は、要求信号に応じて、演算結果を表すパケット信号を生成する。信号生成部２４０は、ＥＣＵ２００に固有に定められた識別子をパケット信号に付す。パケット信号は、信号生成部２４０から送信部２１１へ伝達される。その後、ステップＳ３７０が実行される。
信号生成部２４０は、要求信号に応じて、演算結果を表すパケット信号を生成する。信号生成部２４０は、ＥＣＵ２００に固有に定められた識別子をパケット信号に付す。パケット信号は、信号生成部２４０から送信部２１１へ伝達される。その後、ステップＳ３７０が実行される。
（ステップＳ３７０）
送信部２１１は、バス１２０へパケット信号を出力する。この結果、他のＥＣＵに、パケット信号に含まれるデータ（演算結果）が伝達される。
送信部２１１は、バス１２０へパケット信号を出力する。この結果、他のＥＣＵに、パケット信号に含まれるデータ（演算結果）が伝達される。
＜第２実施形態＞
通知信号のみが符号化処理を受けるならば、車載通信システムの通信負荷はあまり大きくならない。したがって、通知信号を選択的に符号化する技術が、第１実施形態に組み込まれてもよい。第２実施形態において、符号化技術として、メッセージ認証符号（以下、ＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）と称される）が用いられる。代替的に、符号化技術は、他の様々な技術であってもよい。
通知信号のみが符号化処理を受けるならば、車載通信システムの通信負荷はあまり大きくならない。したがって、通知信号を選択的に符号化する技術が、第１実施形態に組み込まれてもよい。第２実施形態において、符号化技術として、メッセージ認証符号（以下、ＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）と称される）が用いられる。代替的に、符号化技術は、他の様々な技術であってもよい。
通知信号が符号化処理を受けるならば、不正に組み込まれたＥＣＵは、通知信号が出力されたことを認識しにくい。このことは、不正に組み込まれたＥＣＵが通知信号を無効化することができないことを意味する。第２実施形態において、符号化技術が組み込まれた車載通信システムが説明される。
図７は、第２実施形態のＥＣＵ２００Ａの例示的な機能構成を表す概略的なブロック図である。第１実施形態の説明は、第１実施形態と同一の符号が付された要素に援用される。図２、図４乃至図７を参照して、ＥＣＵ２００Ａが説明される。
図７は、ＥＣＵ２００Ａと、警告動作部ＡＭＰと、を示す。ＥＣＵ２００Ａの機能構成は、図２に示されるＥＣＵ１１１，１１２，１１３，１１４それぞれに適用されてもよい。
ＥＣＵ２００Ａは、他のＥＣＵから通知信号を受け取ったとき、警告信号を生成する。警告信号は、ＥＣＵ２００Ａから警告動作部ＡＭＰへ出力される。警告動作部ＡＭＰは、警告信号に応じて、所定の動作を行う。警告動作部ＡＭＰは、インスツルメントパネルに組み込まれた警告表示板であってもよい。この場合、警告表示板は、警告信号に応じて、不正アクセスに曝されている車両部位（たとえば、エンジンやブレーキ）に関する情報を表示する。本実施形態の原理は、警告動作部ＡＭＰとして用いられる特定の装置に限定されない。
第１実施形態と同様に、ＥＣＵ２００Ａは、通信部２１０を備える。第１実施形態の説明は、通信部２１０に援用される。
ＥＣＵ２００Ａは、判定部２２０Ａと、信号処理部２３０Ａと、信号生成部２４０Ａと、を更に備える。判定部２２０Ａ及び信号処理部２３０Ａは、一般的なＥＣＵが有するＣＰＵであってもよい。信号生成部２４０Ａは、一般的なＥＣＵが有するＣＡＮコントローラであってもよい。
第１実施形態と同様に、受信部２１２は、他のＥＣＵからパケット信号を受信する。パケット信号は、その後、受信部２１２から判定部２２０Ａへ出力される。
信号処理部２３０Ａは、演算部２３１と復号部２３２とを含む。パケット信号が符号化されていないならば、判定部２２０Ａは、図４乃至図６のフローチャートに関連して説明された処理を実行する。パケット信号が符号化されているならば、判定部２２０Ａは、符号化されたパケット信号を復号部２３２へ出力する。
復号部２３２は、パケット信号を復号する。パケット信号の復号に利用される鍵は、他のＥＣＵにも共有されている（すなわち、共通鍵）。復号部２３２は、復号されたパケット信号に含まれるデータから、不正アクセスに曝されている車両部位に関する情報を見出してもよい。復号部２３２は、該当する車両部位を表す警告信号を生成してもよい。警告信号は、復号部２３２から警告動作部ＡＭＰへ出力される。
他のもう１つのＥＣＵに割り当てられた識別子が、受信部２１２によって受け取られたパケット信号に付されているならば、パケット信号に含まれるデータは、判定部２２０Ａから演算部２３１へ伝達される。演算部２３１は、データを用いて、所定の演算処理を実行する。必要に応じて、演算部２３１は、要求信号を生成する。要求信号は、演算部２３１から信号生成部２４０Ａへ出力される。
信号生成部２４０Ａは、通知信号生成部２４１と、パケット信号生成部２４２と、符号化部２４３と、を含む。パケット信号生成部２４２は、要求信号を演算部２３１から受け取る。パケット信号生成部２４２は、演算結果を表すデータを含むパケット信号を生成する。パケット信号は、パケット信号生成部２４２から送信部２１１へ直接的に伝達される。したがって、パケット信号生成部２４２によって生成されたパケット信号は、符号化されることなく、送信部２１１からバス１２０へ出力される。
第１実施形態と同様に、ＥＣＵ２００Ａに割り当てられた識別子が、受信部２１２によって受け取られたパケット信号に付されているならば、判定部２２０Ａは、トリガ信号を生成する。トリガ信号は、判定部２２０Ａから通知信号生成部２４１へ出力される。通知信号生成部２４１は、トリガ信号に応じて、通知信号を生成する。通知信号生成部２４１は、ＥＣＵ２００Ａに割り当てられた識別子と、ＥＣＵ２００Ａに割り当てられた識別子を表すデータと、を通知信号に組み込む。通知信号は、通知信号生成部２４１から符号化部２４３へ伝達される。本実施形態において、メッセージは、ＥＣＵ２００Ａに割り当てられた識別子を表すデータによって例示される。
符号化部２４３は、復号部２３２が復号に利用した鍵と同一の鍵を用いて、通知信号を符号化する。この結果、ＭＡＣが、通知信号に組み込まれる。既知の様々な符号化技術が、通知信号へのＭＡＣの組み込みに利用可能である。本実施形態の原理は、特定の符号化技術に限定されない。
符号化された通知信号は、符号化部２４３から送信部２１１へ伝達される。送信部２１１は、符号化された通知信号をバス１２０へ出力する。
図２を参照して説明された通信システム１０１に関して、ＥＣＵ１１１が、符号化された通知信号をバス１２０へ出力すると、ＥＣＵ１１２，１１３，１１４それぞれの復号部２３２は、通知信号を復号することができる。この結果、ＥＣＵ１１２，１１３，１１４は、所定の警告動作を実行することができる。一方、不正なＥＣＵ１１５は、復号部２３２を有さない、或いは、復号のための共通鍵を有していない。したがって、ＥＣＵ１１５は、通知信号を復号できず、通知信号の内容を把握することができない。この結果、ＥＣＵ１１５は、通知信号を無効化する不正な動作を実行することはできない。本実施形態において、第３ノードは、ＥＣＵ１１２，１１３，１１４のうち１つによって例示される。
通知信号は、ＭＡＣの分だけ、パケット信号生成部２４２によって生成されるパケット信号よりもビット数において大きい。しかしながら、ビット数において大きい信号の通信は、不正アクセスの存在下でのみ生ずるので、通信負荷は、過度に大きくならない。
＜第３実施形態＞
ＥＣＵは、パケット信号がバスへ適切に出力されたか否かを検証する機能を有してもよい。第３実施形態において、パケット信号がバスへ適切に出力されたか否かを検証する機能を有する車載通信システムが説明される。
ＥＣＵは、パケット信号がバスへ適切に出力されたか否かを検証する機能を有してもよい。第３実施形態において、パケット信号がバスへ適切に出力されたか否かを検証する機能を有する車載通信システムが説明される。
図８は、第３実施形態のＥＣＵ２００Ｂの例示的な機能構成を表す概略的なブロック図である。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。図２及び図８を参照して、ＥＣＵ２００Ｂが説明される。
図８は、ＥＣＵ２００Ｂと、警告動作部ＡＭＰと、を示す。ＥＣＵ２００Ｂの機能構成は、図２に示されるＥＣＵ１１１，１１２，１１３，１１４それぞれに適用されてもよい。
ＥＣＵ２００Ｂは、他のＥＣＵから通知信号を受け取ったとき、警告信号を生成する。警告信号は、ＥＣＵ２００Ｂから警告動作部ＡＭＰへ出力される。警告動作部ＡＭＰは、警告信号に応じて、所定の動作を行う。警告動作部ＡＭＰは、インスツルメントパネルに組み込まれた警告表示板であってもよい。この場合、警告表示板は、警告信号に応じて、不正アクセスに曝されている部位に関する情報を表示する。本実施形態の原理は、警告動作部ＡＭＰとして用いられる特定の装置に限定されない。
第１実施形態と同様に、ＥＣＵ２００Ｂは、通信部２１０を備える。第１実施形態の説明は、通信部２１０に援用される。
第２実施形態と同様に、ＥＣＵ２００Ｂは、信号処理部２３０Ａと、信号生成部２４０Ａと、を更に備える。第２実施形態の原理は、これらの要素に援用される。
ＥＣＵ２００Ｂは、判定部２２０Ｂを更に備える。判定部２２０Ｂ及び信号処理部２３０Ａは、一般的なＥＣＵが有するＣＰＵであってもよい。信号生成部２４０Ａは、一般的なＥＣＵが有するＣＡＮコントローラであってもよい。
第１実施形態と同様に、受信部２１２は、他のＥＣＵからパケット信号を受信する。パケット信号は、その後、受信部２１２から判定部２２０Ｂへ出力される。
判定部２２０Ｂは、第１判定部２２１と、第２判定部２２２と、第３判定部２２３と、記憶部２２４と、を含む。第１判定部２２１は、受信部２１２からパケット信号を受け取る。第１判定部２２１は、パケット信号に付された識別子を参照する。パケット信号が符号化されていないならば、第１判定部２２１は、パケット信号から識別子を見出すことができる。この場合、パケット信号を、第２判定部２２２へ伝達する。パケット信号が符号化されているならば、第１判定部２２１は、パケット信号から識別子を見出すことができない。この場合、第１判定部２２１は、パケット信号を、復号部２３２へ伝達する。復号部２３２は、第２実施形態と同様に、パケット信号を復号し、警告信号を生成する。警告動作部ＡＭＰは、警告信号に応じて、所定の警告動作を実行する。
第２判定部２２２は、第１判定部２２１からパケット信号を受け取る。他のＥＣＵに割り当てられた識別子が、第１判定部２２１からのパケット信号に付され、且つ、演算部２３１によって必要とされる情報を出力するＥＣＵに割り当てられているものであるならば、第２判定部２２２は、パケット信号に含まれるデータを演算部２３１へ出力する。第２実施形態と同様に、演算部２３１は、第２判定部２２２から受け取ったデータを用いて、所定の演算処理を実行する。必要に応じて、演算部２３１は、要求信号を生成する。要求信号は、演算部２３１からパケット信号生成部２４２へ出力される。パケット信号生成部２４２は、要求信号に応じて、パケット信号を生成する。パケット信号生成部２４２によって生成されたパケット信号は、送信部２１１へ出力される。送信部２１１は、パケット信号をバス１２０へ出力する。加えて、パケット信号生成部２４２が生成したパケット信号は、記憶部２２４へ出力される。この結果、記憶部２２４は、パケット信号生成部２４２が生成したパケット信号を表す信号データを記憶することができる。
送信部２１１が、パケット信号生成部２４２によって生成された正規のパケット信号をバス１２０へ出力すると、受信部２１２は、送信部２１１が出力した正規のパケット信号を受信する。この場合、正規のパケット信号は、第１判定部２２１を通じて、第２判定部２２２へ伝達される。加えて、ＥＣＵ２００Ｂに成り代わろうとする不正なＥＣＵが、不正なパケット信号をバス１２０へ出力したときにも、不正なパケット信号は、不正なパケット信号は、第１判定部２２１を通じて、第２判定部２２２へ伝達される。これらの場合、第１判定部２２１からのパケット信号は、第２判定部２２２から第３判定部２２３へ伝達される。
第３判定部２２３は、第２判定部２２２からのパケット信号の伝達に応じて、記憶部２２４から信号データを読み出す。第３判定部２２３は、パケット信号を、信号データと比較し、受信部２１２が受け取った信号が正規のパケット信号であるか否かを判定する。パケット信号が、信号データによって表される信号に一致しているならば、第３判定部２２３は、正規のパケット信号がバス１２０へ適切に出力されたことを確認することができる。パケット信号が、信号データによって表される信号に一致していないならば、第３判定部２２３は、トリガ信号を生成する。トリガ信号は、第３判定部２２３から通知信号生成部２４１へ出力する。通知信号生成部２４１は、トリガ信号に応じて、通知信号を生成する。その後、符号化部２４３は、通知信号を符号化する。符号化された通知信号は、符号化部２４３から送信部２１１へ伝達される。送信部２１１は、符号化された通知信号をバス１２０へ出力する。本実施形態において、第１信号は、正規のパケット信号によって例示される。
図９は、ＥＣＵ２００Ｂ内で実行される例示的な処理を表す概略的なフローチャートである。図２、図８及び図９を参照して、ＥＣＵ２００Ｂが実行する処理が説明される。
（ステップＳ１１１）
受信部２１２は、バス１２０に出力されたパケット信号を待つ。受信部２１２がパケット信号を受信すると、ステップＳ１２１が実行される。
受信部２１２は、バス１２０に出力されたパケット信号を待つ。受信部２１２がパケット信号を受信すると、ステップＳ１２１が実行される。
（ステップＳ１２１）
受信部２１２は、パケット信号を第１判定部２２１へ伝達する。その後、ステップＳ１３１が実行される。
受信部２１２は、パケット信号を第１判定部２２１へ伝達する。その後、ステップＳ１３１が実行される。
（ステップＳ１３１）
第１判定部２２１は、パケット信号に付された識別子を参照する。第１判定部２２１が識別子を参照することができるならば、ステップＳ１３２が実行される。他の場合には、ステップＳ１６０が実行される。
第１判定部２２１は、パケット信号に付された識別子を参照する。第１判定部２２１が識別子を参照することができるならば、ステップＳ１３２が実行される。他の場合には、ステップＳ１６０が実行される。
（ステップＳ１３２）
信号生成部２４０Ａが付するはずの識別子が、パケット信号に付されているならば、ステップＳ１４１が実行される。他の場合には、ステップＳ１５１が実行される。
信号生成部２４０Ａが付するはずの識別子が、パケット信号に付されているならば、ステップＳ１４１が実行される。他の場合には、ステップＳ１５１が実行される。
（ステップＳ１４１：警戒ルーチン）
通知信号を生成するための処理が実行される。この結果、他のＥＣＵに不正なパケット信号の存在が通知される。
通知信号を生成するための処理が実行される。この結果、他のＥＣＵに不正なパケット信号の存在が通知される。
（ステップＳ１５１：通常ルーチン）
パケット信号を処理するための演算が実行される。この結果、ＥＣＵ２００Ｂによって得られた演算結果が他のＥＣＵに通知される。
パケット信号を処理するための演算が実行される。この結果、ＥＣＵ２００Ｂによって得られた演算結果が他のＥＣＵに通知される。
（ステップＳ１６０：復号ルーチン）
パケット信号を復号する処理が実行される。パケット信号が復号された後、所定の警告動作が実行される。
パケット信号を復号する処理が実行される。パケット信号が復号された後、所定の警告動作が実行される。
図１０は、警戒ルーチン（図９のステップＳ１４１）を表す概略的なフローチャートである。図８乃至図１０を参照して、警戒ルーチンが説明される。
（ステップＳ２０１）
パケット信号は、第２判定部２２２から第３判定部２２３へ伝達される。その後、ステップＳ２０２が実行される。
パケット信号は、第２判定部２２２から第３判定部２２３へ伝達される。その後、ステップＳ２０２が実行される。
（ステップＳ２０２）
第３判定部２２３は、記憶部２２４から信号データを読み出す。その後、ステップＳ２０３が実行される。
第３判定部２２３は、記憶部２２４から信号データを読み出す。その後、ステップＳ２０３が実行される。
（ステップＳ２０３）
第３判定部２２３は、パケット信号が、信号データによって表される信号に一致するか否かを判定する。パケット信号が、信号データによって表される信号に一致するならば、警戒ルーチンは終了する。他の場合には、ステップＳ２１１が実行される。
第３判定部２２３は、パケット信号が、信号データによって表される信号に一致するか否かを判定する。パケット信号が、信号データによって表される信号に一致するならば、警戒ルーチンは終了する。他の場合には、ステップＳ２１１が実行される。
（ステップＳ２１１）
第３判定部２２３は、トリガ信号を生成する。トリガ信号は、第３判定部２２３から通知信号生成部２４１へ伝達される。第３判定部２２３から通知信号生成部２４１へのトリガ信号の伝達の後、ステップＳ２２１が実行される。
第３判定部２２３は、トリガ信号を生成する。トリガ信号は、第３判定部２２３から通知信号生成部２４１へ伝達される。第３判定部２２３から通知信号生成部２４１へのトリガ信号の伝達の後、ステップＳ２２１が実行される。
（ステップＳ２２１）
通知信号生成部２４１は、トリガ信号に応じて、通知信号を生成する。通知信号は、通知信号生成部２４１から符号化部２４３へ伝達される。通知信号生成部２４１から符号化部２４３への通知信号の伝達の後、ステップＳ２２２が実行される。
通知信号生成部２４１は、トリガ信号に応じて、通知信号を生成する。通知信号は、通知信号生成部２４１から符号化部２４３へ伝達される。通知信号生成部２４１から符号化部２４３への通知信号の伝達の後、ステップＳ２２２が実行される。
（ステップＳ２２２）
符号化部２４３は、通知信号を符号化する。符号化された通知信号は、符号化部２４３から送信部２１１へ伝達される。その後、ステップＳ２３１が実行される。
符号化部２４３は、通知信号を符号化する。符号化された通知信号は、符号化部２４３から送信部２１１へ伝達される。その後、ステップＳ２３１が実行される。
（ステップＳ２３１）
送信部２１１は、バス１２０へ通知信号を出力する。この結果、他のＥＣＵに不正なパケット信号の存在が通知される。
送信部２１１は、バス１２０へ通知信号を出力する。この結果、他のＥＣＵに不正なパケット信号の存在が通知される。
図１１は、通常ルーチン（図９のステップＳ１５１）を表す概略的なフローチャートである。図８、図９及び図１１を参照して、通常ルーチンが説明される。
（ステップＳ３１１）
第２判定部２２２は、パケット信号に付された識別子からパケット信号に含まれるデータが演算部２３１での処理に必要とされるか否かを判定する。演算部２３１が、データを必要としているならば、ステップＳ３２１が実行される。他の場合には、通常ルーチンは終了される。
第２判定部２２２は、パケット信号に付された識別子からパケット信号に含まれるデータが演算部２３１での処理に必要とされるか否かを判定する。演算部２３１が、データを必要としているならば、ステップＳ３２１が実行される。他の場合には、通常ルーチンは終了される。
（ステップＳ３２１）
パケット信号に含まれるデータは、第２判定部２２２から演算部２３１へ伝達される。その後、ステップＳ３３１が実行される。
パケット信号に含まれるデータは、第２判定部２２２から演算部２３１へ伝達される。その後、ステップＳ３３１が実行される。
（ステップＳ３３１）
演算部２３１は、第２判定部２２２から受け取ったデータを用いて、所定の演算処理を行う。その後、ステップＳ３４１が実行される。
演算部２３１は、第２判定部２２２から受け取ったデータを用いて、所定の演算処理を行う。その後、ステップＳ３４１が実行される。
（ステップＳ３４１）
演算処理の結果が、他のＥＣＵに必要とされるならば、ステップＳ３５１が実行される。他の場合には、通常ルーチンは終了される。この場合、ＥＣＵ２００Ｂは、演算結果を用いた他の制御動作を実行してもよい。
演算処理の結果が、他のＥＣＵに必要とされるならば、ステップＳ３５１が実行される。他の場合には、通常ルーチンは終了される。この場合、ＥＣＵ２００Ｂは、演算結果を用いた他の制御動作を実行してもよい。
（ステップＳ３５１）
演算部２３１は、他のＥＣＵへの演算結果の伝達を要求する要求信号を生成する。要求信号は、演算部２３１からパケット信号生成部２４２へ伝達される。その後、ステップＳ３６１が実行される。
演算部２３１は、他のＥＣＵへの演算結果の伝達を要求する要求信号を生成する。要求信号は、演算部２３１からパケット信号生成部２４２へ伝達される。その後、ステップＳ３６１が実行される。
（ステップＳ３６１）
パケット信号生成部２４２は、要求信号に応じて、演算結果を表すパケット信号を生成する。パケット信号生成部２４２は、ＥＣＵ２００Ｂに固有に定められた識別子をパケット信号に付す。パケット信号は、パケット信号生成部２４２から送信部２１１及び記憶部２２４へ伝達される。パケット信号生成部２４２から記憶部２２４へのパケット信号の伝達の結果、パケット信号を表す信号データが記憶部２２４に書き込まれる。パケット信号生成部２４２から送信部２１１及び記憶部２２４への伝達の後、ステップＳ３７１が実行される。
パケット信号生成部２４２は、要求信号に応じて、演算結果を表すパケット信号を生成する。パケット信号生成部２４２は、ＥＣＵ２００Ｂに固有に定められた識別子をパケット信号に付す。パケット信号は、パケット信号生成部２４２から送信部２１１及び記憶部２２４へ伝達される。パケット信号生成部２４２から記憶部２２４へのパケット信号の伝達の結果、パケット信号を表す信号データが記憶部２２４に書き込まれる。パケット信号生成部２４２から送信部２１１及び記憶部２２４への伝達の後、ステップＳ３７１が実行される。
（ステップＳ３７１）
送信部２１１は、バス１２０へパケット信号を出力する。この結果、他のＥＣＵに、パケット信号に含まれるデータ（演算結果）が伝達される。
送信部２１１は、バス１２０へパケット信号を出力する。この結果、他のＥＣＵに、パケット信号に含まれるデータ（演算結果）が伝達される。
図１２は、復号ルーチン（図９のステップＳ１６０）を表す概略的なフローチャートである。図８、図９及び図１２を参照して、復号ルーチンが説明される。
（ステップＳ４１０）
パケット信号は、第１判定部２２１から復号部２３２へ出力される。その後、ステップＳ４２０が実行される。
パケット信号は、第１判定部２２１から復号部２３２へ出力される。その後、ステップＳ４２０が実行される。
（ステップＳ４２０）
復号部２３２は、パケット信号を復号する。パケット信号の復号が成功するならば、ステップＳ４３０が実行される。他の場合には、ステップＳ４５０が実行される。
復号部２３２は、パケット信号を復号する。パケット信号の復号が成功するならば、ステップＳ４３０が実行される。他の場合には、ステップＳ４５０が実行される。
（ステップＳ４３０）
復号部２３２は、パケット信号に含まれる情報から、不正アクセスがなされている可能性がある車両部位を特定してもよい。復号部２３２は、特定された車両部位に関する情報を含む警告信号を生成してもよい。警告信号の生成の後、ステップＳ４４０が実行される。
復号部２３２は、パケット信号に含まれる情報から、不正アクセスがなされている可能性がある車両部位を特定してもよい。復号部２３２は、特定された車両部位に関する情報を含む警告信号を生成してもよい。警告信号の生成の後、ステップＳ４４０が実行される。
（ステップＳ４４０）
警告信号は、復号部２３２から警告動作部ＡＭＰへ伝達される。警告動作部ＡＭＰは、警告信号に応じて、所定の警告動作を実行する。
警告信号は、復号部２３２から警告動作部ＡＭＰへ伝達される。警告動作部ＡＭＰは、警告信号に応じて、所定の警告動作を実行する。
（ステップＳ４５０）
復号部２３２は、所定のエラー処理を実行する。たとえば、復号部２３２は、第２判定部２２２から受け取った信号をノイズ信号として処理してもよい。
復号部２３２は、所定のエラー処理を実行する。たとえば、復号部２３２は、第２判定部２２２から受け取った信号をノイズ信号として処理してもよい。
＜第４実施形態＞
上述の実施形態に説明された技術は、車載通信システムに搭載された複数のＥＣＵのうち一部に適用されてもよい。不正アクセスが深刻な事態を引き起こし得るＥＣＵにのみ、上述の実施形態に関連して説明された技術が適用されるならば、車載通信システムへの通信負荷の増大は抑制される。第４実施形態において、不正アクセスを検知する機能を有するＥＣＵと、不正アクセスの検知機能を有さないＥＣＵと、を含む車載通信システムが説明される。
上述の実施形態に説明された技術は、車載通信システムに搭載された複数のＥＣＵのうち一部に適用されてもよい。不正アクセスが深刻な事態を引き起こし得るＥＣＵにのみ、上述の実施形態に関連して説明された技術が適用されるならば、車載通信システムへの通信負荷の増大は抑制される。第４実施形態において、不正アクセスを検知する機能を有するＥＣＵと、不正アクセスの検知機能を有さないＥＣＵと、を含む車載通信システムが説明される。
図１３は、第４実施形態の車載通信システム（以下、通信システム１００Ｃと称される）の概念的なブロック図である。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。図８及び図１３を参照して、通信システム１００Ｃが説明される。
通信システム１００Ｃは、ゲートウェイＥＣＵ３００と、バス１２１，１２２，１２３，１２４，１２５と、ＥＣＵ３１１〜３１４，３２１〜３２４，３３１〜３３４，３４１〜３４４，３５１〜３５４と、を含む。バス１２１，１２２，１２３，１２４，１２５は、ゲートウェイＥＣＵ３００に接続される。
ＥＣＵ３１１〜３１４は、バス１２１に接続される。ＥＣＵ３１１〜３１４は、協働して、通信システム１００Ｃが搭載された車両のエンジンを制御する。ＥＣＵ３２１〜３２４は、バス１２２に接続される。ＥＣＵ３２１〜３２４は、協働して、通信システム１００Ｃが搭載された車両のブレーキを制御する。ＥＣＵ３３１〜３３４は、バス１２３に接続される。ＥＣＵ３３１〜３３４は、協働して、通信システム１００Ｃが搭載された車両のナビゲーションシステムを制御する。ＥＣＵ３４１〜３４４は、バス１２４に接続される。ＥＣＵ３４１〜３４４は、協働して、通信システム１００Ｃが搭載された車両のエアコンディショナを制御する。ＥＣＵ３５１〜３５４は、バス１２５に接続される。ＥＣＵ３５１〜３５４は、協働して、通信システム１００Ｃが搭載された車両の先進運転支援システム（ＡＤＡＳ：ＡＤＶＡＮＣＥＤ Ｄｒｉｖｅｒ Ａｓｓｉｓｔａｎｃｅ Ｓｙｓｔｅｍｓ）を制御する。
ゲートウェイＥＣＵ３００及びＥＣＵ３１１〜３１４，３２１〜３２４それぞれは、図８を参照して説明されたＥＣＵ２００Ｂと同様の機能構成を有する。したがって、ＥＣＵ２００Ｂの説明は、ゲートウェイＥＣＵ３００及びＥＣＵ３１１〜３１４，３２１〜３２４に援用される。一方、ＥＣＵ３３１〜３３４，３４１〜３４４，３５１〜３５４それぞれは、一般的なＥＣＵであってもよい。
エンジンの制御に影響を与える不正アクセスが生じたとき、ゲートウェイＥＣＵ３００及びＥＣＵ３１１〜３１４のうち少なくとも１つは、通知信号を生成する。ゲートウェイＥＣＵ３００及びＥＣＵ３１１〜３１４のうち少なくとも他のもう１つは、警告信号を生成し、車両を運転する運転者に警告を与えることができる。
ブレーキの制御に影響を与える不正アクセスが生じたとき、ゲートウェイＥＣＵ３００及びＥＣＵ３２１〜３２４のうち少なくとも１つは、通知信号を生成する。ゲートウェイＥＣＵ３００及びＥＣＵ３２１〜３２４のうち少なくとも他のもう１つは、警告信号を生成し、車両を運転する運転者に警告を与えることができる。
＜第５実施形態＞
車載通信システムは、複数のＥＣＵ間の通信を統括的に管理及び制御するドメインマスタＥＣＵを含んでもよい。第５実施形態において、ドメインマスタＥＣＵを含む車載通信システムが説明される。
車載通信システムは、複数のＥＣＵ間の通信を統括的に管理及び制御するドメインマスタＥＣＵを含んでもよい。第５実施形態において、ドメインマスタＥＣＵを含む車載通信システムが説明される。
図１４は、第５実施形態の車載通信システム（以下、通信システム１００Ｄと称される）の概念的なブロック図である。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。図１４を参照して、通信システム１００Ｄが説明される。
第４実施形態と同様に、通信システム１００Ｄは、ゲートウェイＥＣＵ３００と、バス１２１，１２２，１２３と、ＥＣＵ３１２〜３１４，３２２〜３２４，３３２〜３３４と、を含む。第４実施形態の説明は、これらの要素に援用される。
通信システム１００Ｄは、ドメインマスタＥＣＵ３１５，３２５，３３５を更に含む。ドメインマスタＥＣＵ３１５は、バス１２１に接続される。ドメインマスタＥＣＵ３２５は、バス１２２に接続される。ドメインマスタＥＣＵ３３５は、バス１２３に接続される。
ドメインマスタＥＣＵ３１５は、ＥＣＵ３１２〜３１４を統括的に管理及び制御する。たとえば、ドメインマスタＥＣＵ３１５は、ＥＣＵ３１２〜３１４から受け取った情報をまとめ、ゲートウェイＥＣＵ３００へ伝達してもよい。ドメインマスタＥＣＵ３１５がまとめた情報は、その後、ゲートウェイＥＣＵ３００を通じて、バス１２２，１２３のうち少なくとも一方に伝達される。
ドメインマスタＥＣＵ３２５は、ＥＣＵ３２２〜３２４を統括的に管理及び制御する。たとえば、ドメインマスタＥＣＵ３２５は、ＥＣＵ３２２〜３２４から受け取った情報をまとめ、ゲートウェイＥＣＵ３００へ伝達してもよい。ドメインマスタＥＣＵ３２５がまとめた情報は、その後、ゲートウェイＥＣＵ３００を通じて、バス１２１，１２３のうち少なくとも一方に伝達される。
ドメインマスタＥＣＵ３３５は、ＥＣＵ３３２〜３３４を統括的に管理及び制御する。たとえば、ドメインマスタＥＣＵ３３５は、ＥＣＵ３３２〜３３４から受け取った情報をまとめ、ゲートウェイＥＣＵ３００へ伝達してもよい。ドメインマスタＥＣＵ３３５がまとめた情報は、その後、ゲートウェイＥＣＵ３００を通じて、バス１２１，１２２のうち少なくとも一方に伝達される。
＜第６実施形態＞
ドメインマスタＥＣＵ間の通信は、Ｅｔｈｅｒｎｅｔといった高速通信技術に依存してもよい。この場合、ゲートウェイＥＣＵは必要とされない。第６実施形態において、ドメインマスタＥＣＵ間で高速通信を行う車載通信システムが説明される。
ドメインマスタＥＣＵ間の通信は、Ｅｔｈｅｒｎｅｔといった高速通信技術に依存してもよい。この場合、ゲートウェイＥＣＵは必要とされない。第６実施形態において、ドメインマスタＥＣＵ間で高速通信を行う車載通信システムが説明される。
図１５は、第６実施形態の車載通信システム（以下、通信システム１００Ｅと称される）の概念的なブロック図である。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。図１５を参照して、通信システム１００Ｅが説明される。
第５実施形態と同様に、通信システム１００Ｅは、バス１２１，１２２，１２３と、ＥＣＵ３１２〜３１４，３２２〜３２４，３３２〜３３４と、ドメインマスタＥＣＵ３１５，３２５，３３５と、を含む。第５実施形態の説明は、これらの要素に援用される。
通信システム１００Ｅは、高速通信回線３０１を更に含む。高速通信回線３０１は、一般的なＥｔｈｅｒｎｅｔ回線であってもよい。
通信システム１００Ｅは、ドメインマスタＥＣＵ３１５，３２５，３３５それぞれに接続される。通信システム１００Ｅは、ドメインマスタＥＣＵ３１５，３２５，３３５間の相互の情報伝達を可能にする。
第５実施形態に関連して説明された如く、ドメインマスタＥＣＵ３１５は、ＥＣＵ３１２〜３１４を統括的に管理及び制御する。ＥＣＵ３１５は、ＥＣＵ３１２〜３１４から受け取った情報をまとめ、高速通信回線３０１へ出力する。ドメインマスタＥＣＵ３１５によってまとめられた情報は、その後、高速通信回路３０１を通じて、ドメインマスタＥＣＵ３２５，３３５のうち少なくとも１つに伝達される。
第５実施形態に関連して説明された如く、ドメインマスタＥＣＵ３２５は、ＥＣＵ３２２〜３２４を統括的に管理及び制御する。ドメインマスタＥＣＵ３２５は、ＥＣＵ３２２〜３２４から受け取った情報をまとめ、高速通信回線３０１へ出力する。ドメインマスタＥＣＵ３２５によってまとめられた情報は、その後、高速通信回路３０１を通じて、ドメインマスタＥＣＵ３１５，３３５のうち少なくとも１つに伝達される。
第５実施形態に関連して説明された如く、ドメインマスタＥＣＵ３３５は、ＥＣＵ３３２〜３３４を統括的に管理及び制御する。ドメインマスタＥＣＵ３３５は、ＥＣＵ３３２〜３３４から受け取った情報をまとめ、高速通信回線３０１へ出力する。ドメインマスタＥＣＵ３３５によってまとめられた情報は、その後、高速通信回路３０１を通じて、ドメインマスタＥＣＵ３１５，３２５のうち少なくとも１つに伝達される。
上述の様々な実施形態の原理は、車両に対する要求に適合するように、組み合わされてもよい。上述の様々な実施形態のうち１つに関連して説明された様々な特徴のうち一部が、他のもう１つの実施形態に関連して説明された制御装置に適用されてもよい。
上述の実施形態の原理は、様々な車両の制御に好適に利用される。
１００，１００Ｃ・・・・・・・・・・・・・・・通信システム
１０１・・・・・・・・・・・・・・・・・・・・通信システム
１１１〜１１５・・・・・・・・・・・・・・・・ＥＣＵ
１２０〜１２５・・・・・・・・・・・・・・・・バス
２００，２００Ａ，２００Ｂ・・・・・・・・・・ＥＣＵ
２１０・・・・・・・・・・・・・・・・・・・・通信部
２２０，２２０Ａ，２２０Ｂ・・・・・・・・・・判定部
２４０，２４０Ａ・・・・・・・・・・・・・・・信号生成部
３００・・・・・・・・・・・・・・・・・・・・ゲートウェイＥＣＵ
３１１〜３１４・・・・・・・・・・・・・・・・ＥＣＵ
３２１〜３２４・・・・・・・・・・・・・・・・ＥＣＵ
３３１〜３３４・・・・・・・・・・・・・・・・ＥＣＵ
３４１〜３４４・・・・・・・・・・・・・・・・ＥＣＵ
３５１〜３５４・・・・・・・・・・・・・・・・ＥＣＵ
１０１・・・・・・・・・・・・・・・・・・・・通信システム
１１１〜１１５・・・・・・・・・・・・・・・・ＥＣＵ
１２０〜１２５・・・・・・・・・・・・・・・・バス
２００，２００Ａ，２００Ｂ・・・・・・・・・・ＥＣＵ
２１０・・・・・・・・・・・・・・・・・・・・通信部
２２０，２２０Ａ，２２０Ｂ・・・・・・・・・・判定部
２４０，２４０Ａ・・・・・・・・・・・・・・・信号生成部
３００・・・・・・・・・・・・・・・・・・・・ゲートウェイＥＣＵ
３１１〜３１４・・・・・・・・・・・・・・・・ＥＣＵ
３２１〜３２４・・・・・・・・・・・・・・・・ＥＣＵ
３３１〜３３４・・・・・・・・・・・・・・・・ＥＣＵ
３４１〜３４４・・・・・・・・・・・・・・・・ＥＣＵ
３５１〜３５４・・・・・・・・・・・・・・・・ＥＣＵ
Claims (7)
- 複数のノード間で互いに異なる識別子が付された複数の信号の通信がなされる車載通信システムであって、
前記識別子として第１識別子が付された第１信号を出力する通信部を有する第１ノードを、前記複数のノードのうち１つとして備え、
前記通信部は、前記複数のノードのうち他のもう１つとして前記車載通信システムに組み込まれた第２ノードから第２信号を受信し、
前記第１ノードは、前記第２信号に前記第１識別子が付されているならば、前記車載通信システムの異常を通知する通知信号を生成する信号生成部を含む
車載通信システム。 - 前記信号生成部は、前記通知信号を符号化する
請求項１に記載の車載通信システム。 - 前記複数のノードそれぞれに通信可能に接続されたバスを更に備え、
前記信号生成部は、メッセージ認証符号を用いて、前記通知信号を符号化し、
前記通信部は、前記符号化された通知信号を前記バスへ出力し、
前記複数のノードは、前記通知信号を受信する第３ノードを含み、
前記第３ノードは、前記通知信号の符号化に用いられた共通鍵を用いて、前記通知信号を復号する
請求項１に記載の車載通信システム。 - 前記第１ノードは、前記バスを通じて前記通信部が受け取った信号が前記第１信号であるか否かを判定する判定部を含み、
前記判定部が、前記信号が前記第１信号でないと判定することを条件として、前記信号生成部は、前記通知信号を生成する
請求項３に記載の車載通信システム。 - 前記通知信号は、前記第１識別子を表すメッセージを含む
請求項２乃至４のいずれか１項に記載の車載通信システム。 - 前記第１ノードは、エンジンを制御するように設計されたエレクトロニックコントロールユニットである
請求項１乃至５のいずれか１項に記載の車載通信システム。 - 前記第１ノードは、ブレーキを制御するように設計されたエレクトロニックコントロールユニットである
請求項１乃至５のいずれか１項に記載の車載通信システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2016136232A JP2018007211A (ja) | 2016-07-08 | 2016-07-08 | 車載通信システム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2016136232A JP2018007211A (ja) | 2016-07-08 | 2016-07-08 | 車載通信システム |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2018007211A true JP2018007211A (ja) | 2018-01-11 |
Family
ID=60949665
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2016136232A Pending JP2018007211A (ja) | 2016-07-08 | 2016-07-08 | 車載通信システム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2018007211A (ja) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2020145086A1 (ja) * | 2019-01-09 | 2020-07-16 | 国立大学法人東海国立大学機構 | 車載通信システム、車載通信制御装置、車載通信装置、通信制御方法及び通信方法 |
| JP2020137013A (ja) * | 2019-02-22 | 2020-08-31 | パナソニックＩｐマネジメント株式会社 | 電子制御装置、電子制御システム及びプログラム |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2012155608A (ja) * | 2011-01-27 | 2012-08-16 | Denso Corp | 車両用データ記録装置 |
| JP2013098719A (ja) * | 2011-10-31 | 2013-05-20 | Toyota Infotechnology Center Co Ltd | 通信システムにおけるメッセージ認証方法および通信システム |
| WO2015151418A1 (ja) * | 2014-04-03 | 2015-10-08 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ | ネットワーク通信システム、不正検知電子制御ユニット及び不正対処方法 |
-
2016
- 2016-07-08 JP JP2016136232A patent/JP2018007211A/ja active Pending
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2012155608A (ja) * | 2011-01-27 | 2012-08-16 | Denso Corp | 車両用データ記録装置 |
| JP2013098719A (ja) * | 2011-10-31 | 2013-05-20 | Toyota Infotechnology Center Co Ltd | 通信システムにおけるメッセージ認証方法および通信システム |
| WO2015151418A1 (ja) * | 2014-04-03 | 2015-10-08 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ | ネットワーク通信システム、不正検知電子制御ユニット及び不正対処方法 |
Non-Patent Citations (3)
| Title |
|---|
| 中野 学、他, 自動車の情報セキュリティ, vol. 初版, JPN6017046098, 27 December 2013 (2013-12-27), pages 156 - 165, ISSN: 0003901955 * |
| 畑 正人、他: "不正送信阻止：ＣＡＮではそれが可能である", ＣＳＳ２０１１コンピュータセキュリティシンポジウム２０１１論文集, vol. 第2011巻, JPN6017046100, 19 October 2011 (2011-10-19), JP, pages 624 - 629, ISSN: 0003695023 * |
| 菅原 健、佐伯 稔、三澤 学: "「強いリセッシブを用いたＣＡＮの電気的データ改ざん」", 電子情報通信学会技術研究報告, vol. 114, no. 489, JPN6018041098, 24 February 2015 (2015-02-24), pages 67 - 72, ISSN: 0003901956 * |
Cited By (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2020145086A1 (ja) * | 2019-01-09 | 2020-07-16 | 国立大学法人東海国立大学機構 | 車載通信システム、車載通信制御装置、車載通信装置、通信制御方法及び通信方法 |
| JP2020113852A (ja) * | 2019-01-09 | 2020-07-27 | 国立大学法人東海国立大学機構 | 車載通信システム、車載通信制御装置、車載通信装置、コンピュータプログラム、通信制御方法及び通信方法 |
| CN113273144A (zh) * | 2019-01-09 | 2021-08-17 | 国立大学法人东海国立大学机构 | 车载通信系统、车载通信控制装置、车载通信装置、通信控制方法及通信方法 |
| US20220094540A1 (en) * | 2019-01-09 | 2022-03-24 | National University Corporation Tokai National Higher Education And Research System | On-vehicle communication system, on-vehicle communication control device, on-vehicle communication device, communication control method and communication method |
| JP7132132B2 (ja) | 2019-01-09 | 2022-09-06 | 国立大学法人東海国立大学機構 | 車載通信システム、車載通信制御装置、車載通信装置、コンピュータプログラム、通信制御方法及び通信方法 |
| CN113273144B (zh) * | 2019-01-09 | 2022-10-25 | 国立大学法人东海国立大学机构 | 车载通信系统、车载通信控制装置、车载通信装置、通信控制方法及通信方法 |
| JP2020137013A (ja) * | 2019-02-22 | 2020-08-31 | パナソニックＩｐマネジメント株式会社 | 電子制御装置、電子制御システム及びプログラム |
| JP7117559B2 (ja) | 2019-02-22 | 2022-08-15 | パナソニックＩｐマネジメント株式会社 | 電子制御装置、電子制御システム及びプログラム |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11748474B2 (en) | Security system and methods for identification of in-vehicle attack originator | |
| Carsten et al. | In-vehicle networks: Attacks, vulnerabilities, and proposed solutions | |
| CN107431709B (zh) | 攻击识别方法、攻击识别装置和用于汽车的总线系统 | |
| JP6807906B2 (ja) | 車両へのコンピュータ攻撃を阻止するためのルールを生成するシステムおよび方法 | |
| CN109257374B (zh) | 安全控制方法、装置和计算机设备 | |
| KR102310252B1 (ko) | 자동차 운전자 보조 시스템에 관련된 방법 | |
| US11184340B2 (en) | Apparatus, method, and computer program for enabling a transportation vehicle component and vehicle-to-vehicle communication module | |
| US11647045B2 (en) | Monitoring a network connection for eavesdropping | |
| JP2016092645A (ja) | 車載通信システム | |
| JP2018133743A (ja) | 監視装置、通信システム、車両、監視方法、およびコンピュータプログラム | |
| US11394726B2 (en) | Method and apparatus for transmitting a message sequence over a data bus and method and apparatus for detecting an attack on a message sequence thus transmitted | |
| JP2017091360A (ja) | データ配布装置、通信システム、移動体およびデータ配布方法 | |
| US20160014105A1 (en) | Out-of-vehicle device interface apparatus and method for protecting in-vehicle network | |
| US20230083716A1 (en) | Devices, methods, and computer program for releasing transportation vehicle components, and vehicle-to-vehicle communication module | |
| JP2005203882A (ja) | 通信システム及び鍵送信方法 | |
| JP2018007211A (ja) | 車載通信システム | |
| JP2020167494A (ja) | メッセージ監視システム、メッセージ送信電子制御装置、および監視用電子制御装置 | |
| JP4921947B2 (ja) | 車両用盗難防止システム | |
| JP6394650B2 (ja) | 認証システム、故障診断ツール、車載通信システム及び認証方法 | |
| JP6631426B2 (ja) | 車載通信システム | |
| JP2020096320A (ja) | 不正信号処理装置 | |
| JP2013121071A (ja) | 中継システム及び、当該中継システムを構成する中継装置、外部装置 | |
| WO2018037894A1 (ja) | 車両用認証装置 | |
| EP3618385B1 (en) | Method and arrangement for encoding/decoding a signal at a first and second communication node in a road vehicle | |
| JP7523855B2 (ja) | 検知ルール出力方法、及び、セキュリティシステム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20170323 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20171205 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20180119 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20180612 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20180912 |
|
| A911 | Transfer to examiner for re-examination before appeal (zenchi) |
Free format text: JAPANESE INTERMEDIATE CODE: A911 Effective date: 20180919 |
|
| A912 | Re-examination (zenchi) completed and case transferred to appeal board |
Free format text: JAPANESE INTERMEDIATE CODE: A912 Effective date: 20181019 |