JP2018523390A - デバイス認証のためのシステム - Google Patents

Abstract

通信バスは、デバイスが情報及び制御信号を伝達及び交換することを可能にする。このようなタイプのバスのセキュリティに対する懸念が増大している。任意のデバイスが任意のメッセージを送信できるので、危険に晒され得るバス上のデバイスはバスに対して脅威を与える。通信バス上の様々なデバイスからメッセージのソースを認証するためのシステムが記載されている。

Description

本願及び方法は、通信バスに接続されるデバイスの認証の分野に関する。

一方の電子デバイスから他方に情報を送信するための複数のアーキテクチャが存在している。図１Ａには一般に使用されているアーキテクチャが示されている。このアーキテクチャにおいて、デバイスは、データバス又は通信バスと呼ばれることが多い一般的な通信構造を共有している。このアーキテクチャにおいて、データバスに接続される各デバイスは、データバス上に情報を送信し、又はデータバス上に送信された任意の情報を受信する。更に、データバス上に送信される情報は、各デバイスを歪みなく通り抜けることができる。このようなバスの例は、ＲＳ４８５／４２２、ＣＡＮ ＢＵＳ、Ｆｌｅｘ Ｒａｙ等である。

多数のデバイスが上記のデータバスに接続されている。一部のデータバスにおいて、デバイスは、一意識別（ＩＤ）番号によって識別される。このような場合、ＩＤ番号は、デバイスからの全ての通信に出現し、通信のソースを認証するために使用され得る。例えば、ＣＡＮ ＢＵＳ等の他のデータバスにおいて、メッセージはメッセージＩＤ番号によって識別され、メッセージは特定のデバイスに関連付けられない。それ故に、何らの制限無く任意のデバイスが任意のメッセージをバス上で送信することができる。

このようなタイプのバスのセキュリティに対する懸念が増大している。任意のデバイスが任意のメッセージを送信できるので、危険に晒され得るバス上のデバイスはバスに対して脅威を与える。特定の例として、自動車のＣＡＮ ＢＵＳについて考えることができる。カーラジオ等のブルートゥース（登録商標）無線接続を有するデバイスはハッキングされる可能性が有り、攻撃者がカーラジオの制御を掌握し得る。次に、攻撃者は、任意のメッセージを発信し、更には何らかのアクションを開始するために車のＣＡＮ ＢＵＳに接続されているカーラジオを使用し得る。メッセージの例には、車を開錠すること、又はブレーキペダルを踏むこと、又は自動車の速度計若しくは回転の数値を変更することが含まれる。一般的な脅威は、自動車の完全性及び運転者の安全性が自動車のＣＡＮ ＢＵＳに接続される任意のデバイスにアクセスできる攻撃者によって深刻な危険に晒され得ることである。

（用語解説）
本開示において使用される「データバス」とは、２つ以上の電子デバイスを接続する１つ以上の有線接続であって一方のデバイスから他方に電子データ情報を送信するために使用されるものを意味する。

本開示において使用される「データバスライン」とは、データバスに使用される配線を意味する。

本開示において使用される「電圧レベル」とは、データバスラインの既定の電圧を意味する。

本開示において使用される「データバス信号」とは、差動データバスの２つのデータバスラインにおける電圧レベル間の差を意味する。

本開示において使用される「物理特性」とは、データバス信号の物理的特徴を意味し、物理特性の例は、信号パルス幅、信号テール、信号電圧、信号パルス間時間変動、信号パルススルーレート、及び信号パルス間若しくはパルス内電圧変動を含む。

本開示において使用される「パッシブ・タイム・ドメイン・リフレクトメトリ」（ＰＴＤＲ）とは、データバスに電気的に接続される電子デバイスであり、データバス信号の物理特性を測定する。

電子デバイスを接続するデータバスの例である。 データバスにおいて受信された信号の例である。 電子デバイスを接続するデータバス及びデータバスに接続されたＰＴＤＲデバイスの例である。

同じ譲受人に対する２０１３年１２月３０日の優先日を有する２０１４年１２月４日に出願された米国出願第ＵＳ１４５５９，９６６号及び米国特許第７，８１２，６１７号は、ＣＡＮ ＢＵＳにおける不良を識別するためのシステムを記載している。不良は、パッシブ・タイム・ドメイン・リフレクトメトリ（ＰＴＤＲ）と呼ばれる手法を用いてリアルタイムで識別される。こうした参考文献において、受信デバイスは、信号テール又は信号パルス等の所定の信号特性を測定して、信号物理特性が不良状態を示す場合にアラートを提供する。参考文献“Ｐａｓｓｉｖｅ Ｔｉｍｅ Ｄｏｍａｉｎ Ｒｅｆｌｅｃｔｏｍｅｔｒｙ Ｂａｓｅｄ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｆｏｒ Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ Ｂｕｓ”は、バスに信号を送信するデバイスを識別するためにＰＴＤＲ法を用いることを記載している。しかしながら、“Ｐａｓｓｉｖｅ Ｔｉｍｅ Ｄｏｍａｉｎ Ｒｅｆｌｅｃｔｏｍｅｔｒｙ Ｂａｓｅｄ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｆｏｒ Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ Ｂｕｓ”において記載された方法には、幾つかの欠点が有る。即ち、信号が自動車から自動車へと反復可能ではなく、信号は、実際にはデバイスを示しておらず、バス媒体及び関連の不良を示している。このようなことのため、“Ｐａｓｓｉｖｅ Ｔｉｍｅ Ｄｏｍａｉｎ Ｒｅｆｌｅｃｔｏｍｅｔｒｙ Ｂａｓｅｄ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｆｏｒ Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ Ｂｕｓ”システムは、システムのセキュア動作にとって有害な多くの誤報を有する。

図１Ａは、電子デバイス（１０１、１０３）を互いに接続する手段を提供するデータバス（１１９、１２１）の例である。図１Ａはデータバスの例であり、デバイス１０１はライン１１１、１１３を介してデータバス（１１９、１２１）に接続され、デバイス１０３はライン１１５及び１１７を介してデータバス（１１９、１２１）に接続されている。デバイス（１０１、１０３）は、データバス（１１９、１２１）上に電圧を印加することによってデータを送信する。一例では、差動データバスにおいて、データバスライン１１９の初期ライン電圧レベルは、データバスライン１２１の初期電圧レベルに等しい。デバイス（１０１、１０３）は、データを送信するときに、一連の電圧レベルから成る時間変動ライン電圧信号を生成する。ビットは、最小データ情報単位である。それは２つの値、‘１’又は‘０’を有し得る。各ビットは、ビット時間に対応する持続時間の間、デバイス（１０１、１０３）によってデータバス（１１９、１２１）上に印加される一連の２つの電圧レベルによって定義される。終端抵抗（１３０、１３２）は、バスの終端点において整合インピーダンスを提供し、バスの終端点からの信号反射を防ぐ。

図１Ｂは、データバス（１１９、１２１）上のライン電圧信号（１５１、１５３）の例である。結果として生じるデータバス信号（１５５）は、ライン電圧信号（１５１、１５３）間の電圧差である。ライン１５１は第１のデータバスライン（１１９）上のライン電圧信号であり、ライン１５３は第２のデータバスライン１２１上のライン電圧信号である。ライン１５１は、２つの電圧レベルを含む。電圧レベルの例は、３Ｖの高電圧レベルと２．５Ｖの低電圧レベルである。他の電圧レベルの例は、ＣＡＮ ＢＵＳ Ｓｐｅｃ ２．０、ＩＳＯ １１８９８−２等の関連の通信標準に記載されている。ＣＡＮ ＢＵＳ Ｓｐｅｃにおいて、バスライン配線（１１９）上のＣＡＮ高電圧は３．５Ｖであり、バスライン配線（１２１）上のＣＡＮ低電圧は１．５Ｖである。信号は優勢及び劣性と名付けられる。‘０’とも名付けられる優勢信号は、バスライン配線（１１９、１２１）間の電圧差が２Ｖよりも大きい場合である。‘１’とも名づけられる劣性信号は、電圧差が０Ｖ（ゼロ）であり、両配線が２．５Ｖの共通電圧で浮動している場合である。ライン１５３は、２つの電圧レベルを含む。一例では、ライン１５３の高電圧レベルは、ライン１５１の低電圧レベルに等しい。別の例では、データバスライン１５３の高電圧レベルは、データバスライン１５１の低電圧レベルよりも低い。一例では、データバスライン１５３の高電圧レベルは、データバスライン１５１の低電圧レベルに対して０．５Ｖ以上小さい。

図１Ｂに記載されているデータバス信号は、複数のビットから成る。一例では、‘１’ビットが、楕円１４５で示されている。一例では、‘１’データバス信号は、楕円１４１で示されるように、ライン電圧１５１における電圧レベルが高い場合であって、ライン電圧１５３における電圧レベルが低い場合に取得される。別の例では、‘０’データバス信号が、楕円１４７で示されている。一例では、‘０’データバス信号は、楕円１４３で示されるように、ライン電圧１５１における電圧レベルが低い場合であって、ライン電圧１５３における電圧レベルが高い場合に取得される。

図２は、電子デバイス（２０２、２０４、２０８、２１０、２１２、２１４）を接続するデータバス（２２０）及びデータバス（２２０）に接続されたＰＴＤＲデバイス（２２２）の例である。ＰＴＤＲは、任意の電子デバイス（２０２、２０４、２０８、２１０、２１２、２１４）と同じ形態でデータバス（２２０）に電気的に接続される。ＰＴＤＲに基づく通信バス上でデバイスを認証するためのシステムが以下に記載される。

一例では、ＰＴＤＲ（２２２）は、バス上で電気信号を受信するように設計される受信機と、前記信号を分析するために参照時間基準を提供するように設計される高速カウンタと、前記参照時間基準を使用して前記信号を分析するように構成される論理ユニットと、バス用の送信機又は無線送受信機の何れかであり得る通信デバイスとを備える。

更なる例では、ＰＴＤＲは、上記の項目に加えて以下の任意のもの、即ち、データ記録ユニットと、デバイス及び関連の信号特性のデータベースであって、不揮発性メモリに含まれるデータベースと、データバスからの非許可信号を除去するためにアクティブ化され得る信号除去ユニットとを備え得る。

一例では、ＰＴＤＲ（２２２）は、連続運転されて、データバス信号の物理特性を測定する。物理特性の例は、信号パルス幅、信号電圧、信号パルス間時間変動、送信機発振周波数、信号パルススルーレート、及び信号パルス間若しくはパルス内電圧変動を含む。特に、一部の特性、利点及び可能な用途について検討する。

信号電圧−バス上の異なる各デバイスは、異なる電気回路又はコンポーネントを有しており、バス上の異なる場所に位置している。デバイスの場所及び構造は、バス上に様々な信号電圧を生み出す。使用の一例では、送信機ごとに電圧が測定される。一例では、電圧は以下に記載されるようにデータ伝送中の特定のタイミングの間に測定され得る。なお、アナログ・デジタルサンプリング点は、ビット幅が非常に短い場合が有るのでメッセージ内の非常に特定された点であるべきことに留意されたい。例えば、ＣＡＮ ＦＤ標準において、ビットは１００ｎｓ程の短さであってもよい。信号電圧は、配線切断の影響を受け易く、バスの不良中に使用されるべきではない。

信号パルス幅−ＣＡＮ ＢＵＳにおいて、有効な優勢パルス幅は、１から５ビット長まで適合する。２つの送信機は、殆ど同じ単一のビット幅を有してもよいが、異なる５ビット幅測定値を有してもよい。信号パルス幅は、配線切断の影響を受け易く、バスの不良中に使用されるべきではない。

信号パルススルーレート又は単一の立ち上がり時間及び立ち下がり時間−立ち上がり時間及び立ち下がり時間は送信機ごとに変化する。一例では、スルーレートは、高速カウンタを使用して測定され得る。スルーレートを測定する方法の１つは、1/2の減衰等、減衰した入力信号を追加の送受信機に加えること、高速カウンタを使用して、立ち上がり時間を求めるために第１の受信機のレベルから第２の受信機までの時間、及び立ち下がり時間を測定するために第２の受信機から第１の受信機までの時間を測定することである。スルーレートは、配線切断の影響を受け易く、バスの不良中に使用されるべきではない。

送信機発振周波数−バス上の各送信機はそれ自身の発振器を有する。例えば、ＣＡＮ ＢＵＳ等の各標準は、こうした発振周波数が変化し得るパーツ・パー・ミリオン（ＰＰＭ）を定義している。特定のシステムにおいて組み立てられると、適格な発振器であれば、発振器デバイスＰＰＭ許容範囲まで指定周波数に近い周波数を生成するであろう。各送信機の実際の周波数は、特徴的であり、物理特性としての役割を果たし得る。この特性を測定するために、高速カウンタは、５０マイクロ秒離れている優勢ビットの２つのエッジの間を測定し得る。１００ＰＰＭ（＝０．０１％）の発振器に関して、５０マイクロ秒は、プラスマイナス５ナノ秒の差を生むであろう。この測定値は、バス不良にとって多くも少なくもない。

ＰＴＤＲ（２２２）データベースは、メッセージ番号及び許可された送信機の識別番号のリストを含む。データベースは、送信機識別番号及び信号の物理特性のリストを更に含み得る。特性は、各物理特性の絶対数又は数字の範囲を含み得る。例えば、データベースは、電圧の値、電圧範囲、パルス幅等を含み得る。一例では、データベースは、物理特性の平均及び分散を含む。論理ユニットは、受信した信号が特定の送信機から送信された確率を計算するためにこうした数字を使用し得る。

高速カウンタは、ＰＴＤＲの動作を促進するコンポーネントの１つである。高速カウンタは、受信した信号の全ての時間的特徴に対して時間基準を提供する。一例では、高速カウンタは、一連のより遅いカウンタによって実装される。例えば、特定の電子ＩＣが最大で特定の周波数−Ｆｍａｘまで標準バイナリカウンタを収容できる場合である。高速カウンタは、同じＩＣ設計規則で実装され得るが、Ｆｍａｘよりも高いカウント周波数を達成できる。例として８ｘＦｍａｘカウンタが記載される。

位相ロックループ（ＰＬＬ）又はデジタル位相ロックループ（ＤＬＬ）は、最大でＦｍａｘまで及び５０％デューティサイクルで４つのクロック信号を生成する。各クロックが４５°シフトされ、それ故に各クロックは、それぞれ０°、４５°、９０°、１３５°で立ち上がりエッジ を有する。立ち下がりエッジは、１８０°、２２５°、２７０°、３１５°である。クロック信号は、８つのカウンタを駆動する。各カウンタは、カウンタ信号の各立ち上がり又は立ち下がりエッジでカウントするように構成される。全ての８つのカウンタが、元のクロックの周波数よりも８倍高いカウンタを生み出すように合計される。このような高速カウンタの動作を成功させる鍵は、その一意のクロックエッジを使用して、各カウンタが入力イネーブル信号をサンプリングするフリップフロップによってバッファリングされることである。このフリップフロップは、そのカウンタの一意のクロックによってクロックされる、個々のより遅いカウンタに対するクロック・ドメイン・クロッシング・バリアとして機能する。

典型的なデータバスは、データバス上に常に情報を送信している数十のデバイスを含む。ＰＴＤＲは、データバス上の信号を連続的に分析して、信号の物理特性を抽出する。物理特性抽出のエラーを減らすことが望ましい。特定の時間に及び特定のやり方でサンプリングすることによって、他の信号と関連するクロストークを減少させることができ、物理特性を獲得した値においてより小さな不確実性で抽出することができることが観測された。ソース送信機特徴の物理特性を測定するために使用可能なＣＡＮ ＢＵＳメッセージには３つの部分が有る。最初のアービトレーション部、最後のアクノリッジ部、及びアービトレーション部とアクノリッジ部との間のデータベアリング部である。アービトレーション部及びアクノリッジ部において、少数の又は更に全てのモジュールが同時にバス上に送信し、それ故に単一の送信機を識別することは困難である。メッセージのデータ部は単一の送信機によってのみ送信されるので、これはメッセージのソースである送信機を認証して関連特性を導出するのに適切な時間である。

例示のＰＴＤＲの動作は、データバス上の電圧の変化が高速カウンタをアクティブ化すること、データバス上の電圧がデータバス信号レートよりも少なくとも１０倍高いレートでサンプリングされること、電圧及びタイミング情報が信号の関連物理特性を抽出するために論理ユニットによって処理されること、メッセージ識別番号がデータバスプロトコルを使用して分析されること、論理ユニットがメッセージ識別番号に関して許可された送信機を取得すること、全ての許可された送信機に対して、論理ユニットが測定された物理特性をデータベースに保持されている物理特性データと比較すること、及び一致が無い場合、論理ユニットが取得されたメッセージが許可された送信機からではないことを出力することである。

このシステムの動作の重大な側面は、誤報の減少である。データバス上のノイズのために測定された物理特性が許可された送信機に対応しない場合に誤報が発生する。この場合、論理ユニットは、受信したメッセージが許可された送信機からではないことを誤って示し得る。誤報の割合を減らすために、以下のアクションが行われる。

物理特性は記述統計データとして記憶され、論理ユニットは、測定された物理特性が記述統計データに対応する確率を計算する。例えば、値の分布がガウス確率変数である場合、記述統計データは信号の平均及び分散である。測定された物理特性の確率は、ガウス母関数及び測定された信号の期待値を計算することによって得ることができる。

論理ユニットの決定は、２つ以上の物理特性の確率に基づいている。一例として、論理ユニットは、以下に一致しない場合に受信したメッセージが許可された送信機からではないことを識別する。

即ち、電圧値が９０％より高い限界を有している確率、及び時間変動が９５％より高い限界の中である確率、及びパルス幅が９０％より高い限界の中である確率である。

別の例では、誤報の割合を更に最小化するために、メッセージ物理特性が許可された送信機の確率に適合しない２つ以上のインスタンスの後でのみ受信したメッセージが許可されたソースからではないことを論理ユニットが識別するように、上記の識別の処理が洗練される。この関数をサポートするために、データベースは、カウンタを含むように拡張される。一例では、カウンタは、メッセージのデータベースに追加され得る。論理ユニットがメッセージが許可された送信機からではないことを識別すると、カウンタは１だけ増加される。所定のタイプの不正なメッセージの既定数が受信された後でのみ、論理ユニットは、それらが物理特性の確率基準に適合しない場合に、更なるこのようなメッセージが許可されたものからではないことを決定する。

別の例では、データベースは、バス上の全ての送信機のデータベースを含むように拡張され得る。受信される任意のメッセージが、それが送信された送信機を見つけるために分析される。この例では、特定の送信機から反復的に受信される不正なメッセージが、関連する電子デバイスが危険に晒されていることの指示を提供することができる。

それ故に、一例では、データが信号レートで送信されるデータバスと、前記データバスに接続される受信機と、高速カウンタと、論理ユニットと、信号レートよりも高いサンプリングレートでデータバス電圧をサンプリングして受信信号を生成するように構成されるサンプリングユニットと、許可されたメッセージ及び対応するメッセージ物理特性のリストを含むデータベースとを含むデータバス上で不正な信号を識別するためのシステムであって、論理ユニットは受信信号の物理特性を計算し且つ物理特性をデータベースに保持されたものと比較するシステムが記載される。データバス上の不正な信号を識別するためのシステムの更なる例では、データバスは、ＲＳ４８５／４２２、ＣＡＮ ＢＵＳ、又はＦｌｅｘ Ｒａｙの何れかである。追加例では、高速カウンタは、２つ以上の位相シフトカウンタを合計することによって実装される。更なる例では、サンプリングレートは、信号レートの少なくとも５倍である。更なる例では、論理ユニットは、測定された物理特性がデータベースに維持されている一連の物理特性に属する確率を計算する。別の例では、論理ユニットは、測定された物理特性がデータベースに維持されている一連の物理特性に属する確率を計算する。更なる例では、論理ユニットは、計算された確率が既定の閾値よりも低い場合に非許可のメッセージを示す信号を提供する。追加例では、論理ユニットは、測定された物理特性がデータベースに維持されている物理特性に適合しない場合に非許可のメッセージを示す信号を提供する。

本開示の教示は、データバスを利用して電子デバイス間で通信するシステムに対するサイバー攻撃を軽減するためのシステム及び方法を構築するために使用され得る。データバスを使用して電子デバイス間で通信するシステムの一例は、自動車である。自動車へのサイバー攻撃は、自動車の運転を制御するか又は通常運転を混乱させることを目的としていることがある。このような混乱は、潜在的に致死的な結果をもたらし得る。 典型的には、自動車へのサイバー攻撃は、通常は、無線通信チャネルである侵入経路を必要とする。入力経路の例は、ＷｉＦｉ又はブルートゥース無線接続を有し得るカーオーディオシステム、各ホイールに無線送信機及び自動車内に設けられる入力点となり得る無線受信機を含む自動車タイヤ空気圧測定システム（ＴＰＳＭ）、自動車ＷｉＦｉユニット、自動車製造業者トランスポンダ（例えば、オンスター、その他）を含む。

攻撃者が無線システムを介して自動車内の電子デバイスへのアクセスを取得すると、次のステップは、データバス上に不正なメッセージ又はコマンドをブロードキャストするために電子デバイスの送信機を使用することである。このようなメッセージ又はコマンドの例は、自動車内の走行制御をアクティブ化又は非アクティブ化すること、自動車の施錠又は開錠、運転中であってもエンジンを切ること、ブレーキをアクティブ化すること等を含む。このような例から、サイバー攻撃が有害な結果を有しており、不正なメッセージの識別が最も重要であることが明らかである。

更なる例では、論理ユニットは、不正なメッセージがバス上に送信されたことを示すアラーム又は信号を提供することができる。一例では、論理ユニットは、データバス上にメッセージとしてアラームを提供することができる。このメッセージは、バス上の任意の電子デバイスによって受信され得る。一例では、このようなメッセージが受信されると、電子デバイスは以前の不正なメッセージを無視する。別の例では、アラーム信号は、バス上の電子デバイスに、又は外部電子デバイスに、不正なメッセージがバス上に送信されたことの指示を提供するための無線チャネルによって送信され得る。一例では、自動車は、不正なメッセージの場合にアクティブ化される既定のプロシージャを有してもよい。このようなプロシージャの例は、自動車ユーザ又は所有者の通知、又は法執行機関の通知を含み得る。

更なる例には、バス上に送信された不正なメッセージ又はコマンドをキャンセルするために使用され得るシステムが記載される。以前の例とは対照的に、このシステムは、バス上の電子デバイスを改良する必要がない。ＣＡＮ ＢＵＳ標準は、アクティブ及びパッシブエラーエラー処理に関するスルーエラー処理定義を含む。バス上の各ＣＡＮ ＢＵＳユニットは、アクティブ又はパッシブエラーユニットとして定義される。エラーアクティブユニットは、バス上の全てのメッセージをリッスンすることを期待されており、任意のＣＡＮ ＢＵＳ違反を検出すると、６ビット優勢パルスを送信する。このパルスがメッセージの終了前に送信されると、全メッセージが失敗し、バス上の何れのユニットもそのデータを処理又は使用しない。従って、サイバーセキュリティモジュールは、アクティブエラーユニットとして機能し、それが不正なソースから検出したメッセージをエラー出力する。

更なる例では、各ユニットは、ユニットのみが送信できるメッセージに関してＣＡＮ ＢＵＳを監視する。ユニットによって送信されるべきであった送信信号をユニットが検出すると、それは以前に記載された６ビット優勢パルスを送信することによってメッセージをキャンセルすることができる。一例として、ユニットは、特定のアイデアを有するメッセージをＣＡＮ ＢＵＳ上に送信する衝突検出システムであってもよく、メッセージは、潜在的な衝突を様々な他のユニットに警告するグローバルメッセージである。衝突検出ユニットが衝突検出ユニットから発信されなかった衝突アラートに対応するメッセージＩＤをＣＡＮ ＢＵＳ上に検出すると、衝突検出ユニットは、６ビット優勢パルスを送信して、ＣＡＮ ＢＵＳ上のメッセージをキャンセルする。

それ故に、一例では、本開示には、データバス上のメッセージを無効化するためのシステムであって、データバス上で送信されたメッセージにおける不良を検出するシステムと、メッセージを認証するために前記システムから信号を受信するように構成される受信ユニットであって、前記信号はバス上のメッセージにおける不良を示す受信ユニットと、送信ユニットとを備え、送信ユニットは、受信機が現在送信されているメッセージにおける不良を示す信号を受信すると、データバス上で既定のシーケンスを送信するシステムが記載されている。以前に記載されたデータバス上のメッセージを無効化するためのシステムの別の例では、バス上で送信されたメッセージにおける不良を検出するためのシステムは、以前に記載された不正な信号を識別するための任意のシステムである。

別の例では、バス上の不良状態を検出するためにＰＴＤＲ機能が利用されて誤報を軽減する。不良が発生すると、一瞬であっても、全てのデバイスの物理特性が変化する。ＰＴＤＲは、多くのデバイスに対する信号テールの外観の又はパルス幅の変化を検出することによって不良の発生を検出することができる。ＰＴＤＲが不良の発生を検出すると、それは不良の影響を受けるデバイスに関する認証動作を停止する。

Claims (9)

1. データが信号レートで送信されるデータバス（１１９、１２１、２２０）と、
   前記データバスに接続される受信機と、
   高速カウンタと、
   論理ユニットと、
   前記バス上の信号レートよりも高いサンプリングレートでデータバス電圧をサンプリングし、且つ受信信号を生成するように構成されるサンプリングユニットと、
   許可されたメッセージ及び対応するメッセージ物理特性のリストを含むデータベースと
   を備え、
   前記論理ユニットは、前記受信信号の前記物理特性を計算し、且つ前記物理特性をデータベースに保持されているものと比較する、データバス（１１９、１２１、２２０）上の不正な信号を識別するためのシステム。
2. 前記データバス（１１９、１２１、２２０）は、Ｍｉｌ−Ｓｔｄ−１５５３、ＣＡＮ ＢＵＳ、Ｆｌｅｘ Ｒａｙの何れかである、請求項１に記載のデータバス（１１９、１２１、２２０）上の不正な信号を識別するためのシステム。
3. 前記高速カウンタは、２つ以上の位相シフトカウンタを合計することによって実装される、請求項１に記載のデータバス（１１９、１２１、２２０）上の不正な信号を識別するためのシステム。
4. 前記サンプリングユニットの前記サンプリングレートは、前記信号レートの少なくとも５倍である、請求項１に記載のデータバス（１１９、１２１、２２０）上の不正な信号を識別するためのシステム。
5. 前記論理ユニットは、測定された物理特性が前記データベースに保持されている一連の物理特性に属する確率を計算する、請求項１に記載のデータバス（１１９、１２１、２２０）上の不正な信号を識別するためのシステム。
6. 前記論理ユニットは、計算された確率が既定の閾値より低い場合に非許可のメッセージを示す信号を提供する、請求項５に記載のデータバス（１１９、１２１、２２０）上の不正な信号を識別するためのシステム。
7. 前記論理ユニットは、測定された物理特性が前記データベースに保持されている前記物理特性に適合しない場合に非許可のメッセージを示す信号を提供する、請求項１に記載のデータバス（１１９、１２１、２２０）上の不正な信号を識別するためのシステム。
8. データバス（１１９、１２１、２２０）上で送信されたメッセージにおける不良を検出するシステムと、
   メッセージを認証するために前記システムから信号を受信するように構成される受信ユニットであって、前記信号は前記バス上のメッセージにおける不良を示す受信ユニットと、
   送信ユニットと
   を備え、
   前記送信ユニットは、受信機が現在送信されているメッセージにおける不良を示す信号を受信すると、前記データバス上で既定のシーケンスを送信する、データバス（１１９、１２１、２２０）上のメッセージを無効化するためのシステム。
9. 前記バス上で送信されたメッセージにおける不良を検出するシステムは、請求項１に記載の不正な信号を識別するためのシステムである、請求項８に記載のデータバス（１１９、１２１、２２０）上のメッセージを無効化するためのシステム。
   

Images