JP2019075781A - データバスによってメッセージシーケンスを送信するための方法及び装置並びにこうして送信されるメッセージシーケンスに対する攻撃を認識するための方法及び装置 - Google Patents

Abstract

【課題】本発明は、データバス２によってメッセージシーケンスを送信するための方法に関する。さらに、本発明は、データバス２によってメッセージシーケンスを送信するための装置並びにデータバス２によって送信されるメッセージシーケンスに対する攻撃を認識するための方法６及び装置に関する。【解決手段】当該方法は、１つの有効フェーズＡＰ中に情報信号を含んでいる情報メッセージＰ１，Ｐ２を送信し５０、１つの無効フェーズＲＰを始動するために１つの安全メッセージＰＳを送信し５１、前記無効フェーズＲＰ中に１つの無効サイクル期間ＲＺで無効信号を含んでいる複数の無効メッセージＰＲを送信する５２ことから成る。この場合、前記情報信号と前記無効信号とは互いに異なり、この場合、前記安全メッセージＰＳと前記無効メッセージＰＲとは互いに異なる。【選択図】図５

Description

本発明は、データバス、例えば自動車内のＣＡＮバスによってメッセージシーケンスを送信するための方法及び装置に関する。さらに、本発明は、データバス、特にＣＡＮバスによって送信されるメッセージシーケンスに対する攻撃を認識するための方法及び装置に関する。

自動車のネットワーク化の増大と共に、自動車のバスシステム内でのデータ送信時に、攻撃を阻止すること及び認識すること、並びにデータバスを通じて互いに通信するバスシステムの複数の構成要素の改竄を回避することの要求が高まっている。

それ故に、幾つかの攻撃認識方法が既に開発されている。例えば、米国特許出願公開第２０１５／０１７２３０６号明細書は、自動車の通信ネットワーク内で信号を確実に送信するための方法を開示する。この場合、送信間隔に対する平均値と所定の値との比較に基づいて、ハッキングされた情報が認識される。欧州特許出願公開第３１３３７７４号明細書は、サイクル期間に依存してハッカーメッセージを認識するための方法を開示する。

国際公開第２０１６／１５６０３４号パンフレットが、バスシステムに対する別の攻撃認識方法を開示する。この場合、ハッカー攻撃が、情報送信サイクル、遮断期間等に関する通信規則を用いて認識される。

基本的な信号概念に基づくが、専ら限定された、例えばイフ・アクティブ信号送信方式又はその他の関連する信号送信方式のような、所定のＣＡＮバス信号送信方式の監視が、周知の方法によって達成される。

米国特許出願公開第２０１５／０１７２３０６号明細書 欧州特許出願公開第３１３３７７４号明細書 国際公開第２０１６／１５６０３４号パンフレット

本発明の課題は、上記の欠点の少なくとも一部を解決する、データバスによってメッセージシーケンスを送信するための方法及び装置並びにデータバスによって送信されるメッセージシーケンスに対する攻撃を認識するための方法及び装置を提供することにある。

この課題は、請求項１に記載のデータバスによってメッセージシーケンス送信するための本発明の方法と、請求項８に記載のデータバスによってメッセージシーケンスを送信するための装置と、請求項９に記載のデータバスによって送信されるメッセージシーケンスに対する攻撃を認識するための方法と、請求項１０に記載のデータバスによって送信されるメッセージシーケンスに対する攻撃を認識するための装置とによって解決される。

第１の観点によれば、本発明は、データバスによってメッセージシーケンスを送信するための方法に関する。

当該方法は、
１つの有効フェーズ中に情報信号を含んでいる情報メッセージを送信し、
１つの無効フェーズを始動するために１つの安全メッセージを送信し、
前記無効フェーズ中に１つの無効サイクル期間で無効信号を含んでいる複数の無効メッセージを送信することから成り、
前記情報信号と前記無効信号とは互いに異なり、
前記安全メッセージと前記無効メッセージとは互いに異なる。

第２の観点によれば、本発明は、データバスによってメッセージシーケンスを送信するための装置に関する。

当該装置は、データバスによってメッセージシーケンスを送信するための前記第１の観点に記載の方法を実行するように構成されている回路を有する。

第３の観点によれば、本発明は、データバス（２）によって送信されるメッセージシーケンス、特にデータバス（２）によってメッセージシーケンスを送信するための前記第１の観点に記載の方法（５）によって送信されるメッセージシーケンスに対する攻撃を認識するための方法に関する。

当該方法は、
前記データバスによって送信される前記メッセージシーケンスを受信し、
無効内容を有するメッセージを１つの無効サイクル期間の間隔で送信する１つの無効フェーズが、予め設定されている１つの安全メッセージによって始動されたか否かを検査し、予め設定されている前記安全メッセージと前記無効メッセージとは互いに異なり、
前記無効フェーズが、予め設定されている前記安全メッセージによって始動されなかったときに、攻撃を認識することから成る。

第４の観点によれば、本発明は、データバスによって送信されるメッセージシーケンスに対する攻撃を認識するための装置に関する。

当該装置は、データバスによって送信されるメッセージシーケンスに対する攻撃を認識するための前記第３の観点に記載の方法を実行するように構成されている回路を有する。

本発明の別の好適な構成は、従属請求項と、本発明の好適な実施の形態の以下の説明とに記載されている。

本発明は、データバスによってメッセージシーケンスを送信するための方法に関する。当該データバスによって送信すべきメッセージシーケンスは、以下でさらに詳しく説明する、以下の信号送信方式のイフ・アクティブ（ＩｆＡｃｔｉｖｅ）、イフ・アクティブ・ウィズ・レピティション（ＩＦＡｃｔｉｖｅＷｉｔｈＲｅｐｅｔｉｔｉｏｎ）又はそれに匹敵する信号送信方式のうちの１つの信号送信方式にしたがう。これらの信号送信方式は、情報を速く送信するために適している。何故なら、情報を送信できる有効フェーズが何時でも始動され得るからである。当該データバスは、バスシステムのデータバスでもよく、例えばＣＡＮバスのようなシリアルバスでもよい。当該バスシステムは、自動車、列車、エンジン駆動式の船舶、飛行機、設備又は機械等のバスシステムでもよい。

本発明の方法によれば、情報信号を含んでいる１つの情報メッセージが、１つの有効フェーズ中に送信される。この場合、当該情報信号は、送信すべき１つの命令、送信すべき１つのメッセージ又は送信すべきデータを示す。当該送信すべき命令は、バスシステムの１つの構成要素の１つの制御命令でもよい。例えば、当該バスシステムの１つの構成要素を所定の方法で作動させることを要求する命令でもよく、例えば、当該構成要素を起動又は停止させることを要求する命令でもよく、１つの構成要素の状態を保持する又は状態を変更することを要求する命令等でもよい。当該送信すべきデータは、センサ信号又はその他の状態情報を含み得る。

さらに、１つの無効フェーズを始動するための本発明の方法によれば、１つの安全メッセージが送信される。この安全メッセージは、以下でさらに詳しく説明する予め設定されている内容を有し得る。

本発明の方法によれば、当該安全メッセージの送信後に、無効信号を含む複数の無効メッセージが、当該無効フェーズ中に１つの無効サイクル期間の間隔で送信される。当該無効信号は、特に全ての無効メッセージに対して同じである予め設定されている信号でもよい。特に、当該無効信号は、有効フェーズ中に送信される情報メッセージの情報信号とは異なる。さらに、当該安全メッセージと当該無効メッセージとは互いに異なる。特に、当該安全メッセージに含まれる信号は、当該無効信号とは異なり、及び／又は、当該安全メッセージに含まれる信号の値は、当該無効信号の値とは異なる。

当該それぞれのメッセージは、最初にバスシステムの１つの構成要素によって生成され、引き続きデータバスに送信するためにこの構成要素によって出力され得る。それぞれのメッセージが、１つのメッセージヘッド及び／又は１つのメッセージエンドを有する。このメッセージヘッド及び／又はこのメッセージエンドはそれぞれ、当該メッセージを「管理する」ためのデータを有する。さらに、当該メッセージは、特に当該メッセージの信号が含まれているデータ部を有する。すなわち、情報信号が、情報メッセージに含まれていて、無効信号が、無効メッセージに含まれている。

当該安全メッセージの使用による送信すべき信号又はメッセージシーケンスの送信挙動の特定の適合が、さらに不正侵入したメッセージの認識、すなわちデータバスによって送信すべき、特に上記の複数の信号送信方式のうちの１つの信号送信方式を用いて送信されるメッセージシーケンスに対する攻撃の認識を可能にする。

本発明の方法は、安全性に関連する分野における信号送信方式のイフ・アクティブ、イフ・アクティブ・ウィズ・レピティション又はそれに匹敵する信号送信方式の使用を保証する。当該分野では、例えば、自動化技術、エレベーター装置、医療技術、飛行機技術、宇宙航空技術、列車、造船、花火製造技術及び／又は匹敵する分野では、高いデータ信頼性が重要である。

１つ以上の情報メッセージが、当該有効フェーズ中に送信される。ただ１つの情報メッセージが送信される場合、この情報メッセージは、１つの無効メッセージ後であるが、無効サイクル期間の経過前に存在する任意の１つの時点に送信され得る。

多くの実施の形態では、２以上の情報メッセージが、当該有効フェーズ中に当該無効サイクル期間よりも短い１つの情報送信サイクル期間の間隔で送信され得る。

したがって、無効状態では、無効メッセージが、当該無効サイクル期間で送信され得る。１つのイベントが、メッセージシーケンスを出力するバスシステムの構成要素で、例えば１つの制御装置で発生すると、この構成要素が、１つ以上の情報メッセージを１つの情報送信サイクル期間で送信することによって、この構成要素は、当該無効サイクル期間外に有効フェーズを始動し得る。当該情報メッセージが送信される場合、この構成要素は、１つの安全メッセージを送信し、その後に複数の無効メッセージを当該無効サイクル期間で送信し得る。

特に、当該無効メッセージの無効信号の値は、当該有効フェーズ中の情報メッセージの情報信号の値とは異なる。無効信号の値、無効サイクル期間、情報送信サイクル期間、安全メッセージの値及びその他の信号送信条件は、バスシステムの全体のために、例えば中央の記憶装置内に又は当該バスシステムの構成要素の１つ以上のデータ記憶装置内に記憶され得る。

多くの実施の形態では、当該安全メッセージは、無効フェーズの直前に先行する有効フェーズ中に送信された複数の情報メッセージのうちの１つの情報メッセージに相当する信号を有し得る。特に、当該安全メッセージは、無効フェーズの直前に先行する有効フェーズ中に送信された複数の情報メッセージのうちの１つの情報メッセージの値に相当する値を有し得る。ただ１つの情報メッセージが、当該有効フェーズ中に送信される場合、例えば、この有効フェーズの情報メッセージの情報信号を有する１つのメッセージが、安全メッセージとして当該有効フェーズを終了させ当該無効フェーズを始動させるために送信され得る。２つ以上の情報メッセージが、当該有効フェーズ中に送信される場合、例えば、複数の情報メッセージのうちの１つの情報メッセージの情報信号を有する１つのメッセージが、安全メッセージとして送信され得る。

多くの実施の形態では、当該安全メッセージは、当該無効フェーズの直前に先行する有効フェーズ中に最後に送信された１つの情報メッセージの情報信号に相当する信号を有し得る。代わりに、当該安全メッセージは、当該無効フェーズの直前に先行する有効フェーズ中に最初に送信されたか、又は当該有効フェーズの最初の情報メッセージと最後の情報メッセージとの間に送信された１つの情報メッセージの情報信号に相当する信号を有し得る。

代わりに、当該安全メッセージは、予め設定されている１つの値を有してもよい。例えば、当該安全メッセージの値が一定でもよく、当該情報メッセージ及び当該無効メッセージと異なってもよい。

特に、当該安全メッセージから直接に後続する無効メッセージまでの間隔が、１つの無効サイクル期間に相当し得る。したがって、１つのメッセージシーケンスが、少なくとも１つの情報メッセージと、無効サイクル期間よりも短い間隔で当該情報メッセージに追従する１つの安全メッセージと、当該無効サイクル期間に相当する間隔で当該安全メッセージに追従する少なくとも１つの無効メッセージとから成る。このメッセージシーケンスは、信号送信方式、例えばイフ・アクティブ、イフ・アクティブ・ウィズ・レピティション又はそれに匹敵する信号送信方式の効果的な監視を可能にし得る。

多くの実施の形態では、当該安全メッセージの送信後の無効フェーズ中に、当該無効サイクル期間よりも短い間隔で、当該無効信号を含んでいる１つのメッセージが送信され得る。当該安全メッセージと当該無効信号を含んでいる無効メッセージとの間の間隔が、当該情報送信サイクル期間に相当し得る。このとき、当該安全メッセージと別の無効メッセージとの間の間隔でが、当該無効サイクル期間に相当するように選択されている間隔で、当該別の無効メッセージが追従し得る。

多くの実施の形態では、当該データバスによって送信すべきメッセージシーケンスが、所定の信号送信方式によって、例えば信号送信方式のイフ・アクティブ又はイフ・アクティブ・ウィズ・レピティションによって送信され得る。

イフ・アクティブ信号の場合、無効状態では、特に複数のメッセージが、設定された所定の信号（無効信号）と長いサイクル期間（無効サイクル期間）とによって送信される。１つの送信機、例えば１つの送信装置からバスシステム内の１つ以上の受信機に直接に送信されなければならない１つのイベントが発生すると、当該送信制御装置は、情報信号を当該長いサイクル期間外に送信できる。したがって、有効な１つのメッセージ（情報メッセージ）が、（早い）任意の１つの時点に送信され得る。当該送信制御装置は、有効フェーズの終了後に無効状態に再び移行し、無効メッセージを長いサイクル期間で送信する。複数の情報メッセージが、直接に連続して追従すると、これらの情報メッセージは、設定された短い１つのサイクル期間（情報送信サイクル期間）で送信される。この場合、当該有効なメッセージの内容は、特に当該無効メッセージの内容とは異なる。

信号送信方式のイフ・アクティブ・ウィズ・レピティションによる１つのメッセージシーケンスの場合、所定の数の無効メッセージ、例えば２つ又は３つ又は多数の無効メッセージが、それぞれの有効フェーズ後に速いサイクル期間（繰り返し）で送信され得る。

代わりに、データバスによって送信すべきメッセージシーケンスは、信号送信方式のオン・チェンジ・アンド・イフ・アクティブ（ＯｎＣｈａｎｇｅＡｎｄｉｆＡｎｄｉｆＡｃｔｉｖｅ）、オン・チェンジ・アンド・イフ・アクティブ・ウィズ・レピティション（ＯｎＣｈａｎｇｅＡｎｄｉｆＡｃｔｉｖｅＷｉｔｈＲｅｐｅｔｉｔｉｏｎ）、オン・ライト（ＯｎＷｒｉｔｅ）、オン・ライト・アンド・イフ・アクティブ・ウィズ・レピティション（ＯｎＷｒｉｔｅＡｎｄｉｆＡｃｔｉｖｅＷｉｔｈＲｅｐｅｔｉｔｉｏｎ）によって送信され得る。

特に、上記の信号送信方式は、情報及び／又は命令を速く、特に一般的なサイクル期間、例えば１０００ｍｓ以上に達する周期的な信号送信方式を尊守する場合よりも速く送信するために適している。

多くの実施の形態では、当該情報メッセージと当該無効メッセージとが、当該データバスによって送信すべきメッセージシーケンスの信号送信方式とは異なる信号送信方式によって送信される１つのメッセージシーケンスの１つの情報信号であるそれぞれ１つの追加の情報信号を有し得る。例えば、第１信号送信方式による第１メッセージシーケンスと、当該第１信号送信方式とは異なる第２信号送信方式による第２メッセージシーケンスとが、共通のメッセージを用いてデータバスによって送信され得る。当該第１信号送信方式は、イフ・アクティブ又は上記の匹敵する信号送信方式でもよく、当該第２信号送信方式は、メッセージが例えば当該第１信号送信方式の無効サイクル期間に相当するサイクル周期で送信される周期的な信号送信方式でもよい。当該第１信号送信方式は、その時間挙動を当該第２信号送信方式の第２信号に転写する優勢な信号送信方式でもよい。すなわち、当該第２メッセージシーケンスの情報信号は、特に当該無効サイクル期間の間隔で周期的に送信されるだけではなくて、当該第１メッセージシーケンスの情報信号が有効フェーズ中に送信される時点にもさらに送信される。例えば、当該第１メッセージシーケンスの無効信号を有する１つのメッセージが、当該第２メッセージシーケンスの情報信号をさらに有し、当該第１メッセージシーケンスの情報メッセージが、当該第２メッセージシーケンスの情報信号をさらに有する。したがって、異なる複数の信号送信方式が、１つのメッセージ内で発生する。この場合、１つの優勢な信号送信方式が、その時間挙動を別の信号に転写する。特に、当該別の信号が、追従し、当該送信制御装置から直接に入力される値を含み得る。これに応じて、別の信号が、別の信号送信方式によってパラレルに送信され得る。

異なる複数の信号送信方式の複数の信号が、共通のメッセージで送信されるときに、当該送信されるメッセージシーケンスに対する攻撃を阻止できるようにするため、又は攻撃を認識できるようにするため、優勢な信号の１つの無効フェーズが、安全メッセージを送信することによって始動され得る。

さらに、本発明は、データバスによってメッセージシーケンスを送信するための装置に関する。当該装置は、１つの情報信号を含んでいる１つの情報メッセージを１つの有効フェーズ中に送信し、１つの安全メッセージを１つの無効フェーズを始動するために送信し、１つの無効信号を含んでいる無効メッセージを当該無効フェーズ中に１つの無効サイクル期間の間隔で」送信するように構成されている回路を有する。この場合、当該情報信号と当該無効信号とは互いに異なり、この場合、当該安全メッセージと当該無効メッセージとは互いに異なる。したがって、当該回路は、データバスによって１つのメッセージシーケンスを送信するための方法を、上記に詳しく説明したように実行するように構成されている。当該回路は、プロセッサ又は通信チップ（トランシーバ）でもよい。

当該装置は、バスシステムの１つの構成要素、例えば１つの送信制御装置でもよい。この構成要素は、複数の情報信号を有する複数のメッセージを有する１つ以上のメッセージシーケンスを出力するように構成されている。当該情報信号は、送信すべき命令、特にバスシステムの１つ以上の別の構成要素用の命令を含み、送信すべきメッセージ又は送信すべきデータを示す。例えば、当該送信制御装置は、自動車のエンジン制御装置でもよい。代わりに、当該制御装置は、列車、エンジン駆動式の船舶、飛行機、設備又は機械等の制御装置でもよい。

当該装置は、当該装置を、例えばコネクタ接続部を用いてデータバスに接続するように構成されている信号出力部を有し得る。

当該装置は、信号を送信するための情報が記憶されているデータ記憶装置を有し得る。当該情報は、例えば、無効サイクル期間の値、及び／又は情報送信サイクル期間の値、及び／又は無効信号の値、及び／又はイフ・アクティブ・ウィズ・レピティションにおける無効メッセージの数、及び／又は信号を送信するための別の情報を含み得る。さらに、調整アルゴリズム及び／又は制御アルゴリズムが、当該データ記憶装置内に記憶され得る。当該装置は、当該アルゴリズムによってデータバスによって送信すべきメッセージシーケンスを生成できる。

さらに、本発明は、データバスによって送信されるメッセージシーケンスに対する攻撃を認識するための方法に関する。このメッセージシーケンスは、１つの情報信号を含んでいる、１つの有効フェーズ中に送信される１つの情報メッセージと、１つの無効フェーズを始動させる１つの安全メッセージと、１つの無効信号を含んでいる、当該無効フェーズ中に１つの無効サイクル期間の間隔で送信される複数の無効メッセージとから成る。当該メッセージシーケンスは、特に、上記のメッセージシーケンスを送信するための方法を用いてデータバスによって送信される１つのメッセージシーケンスでもよい。

攻撃を認識するための本発明の方法によれば、データバスによって送信されるメッセージシーケンスが受信される。引き続き、複数の無効メッセージを１つの無効サイクル期間の間隔で送信する１つの無効フェーズが、予め設定されている１つの安全メッセージによって始動されたか否かが検査される。この場合、当該予め設定されている安全メッセージと当該複数の無効メッセージとは互いに異なる。当該無効フェーズが、当該予め設定されている安全メッセージによって始動されなかったときは、攻撃が確認される。

当該予め設定されている安全メッセージは、当該無効フェーズの直前に先行する有効フェーズ中に送信された複数の情報メッセージのうちの１つの情報メッセージ、特に当該無効フェーズの直前に先行する有効フェーズ中に最後に送信された１つの情報メッセージを有し得る。当該安全メッセージ用の基準として使用される当該有効フェーズの情報メッセージ情報信号が、特にデータ記憶装置内に中間記憶される。当該安全メッセージが予め設定されている１つの安全メッセージに相当するか否かを検査するため、当該送信される安全メッセージ、特に当該送信される安全メッセージの値が、当該予め設定されている安全メッセージ又は当該予め設定されている安全メッセージの値と比較され得る。

当該送信されるメッセージシーケンに対する攻撃が遂行されたか否かが、比較結果に依存して認識され得る。当該安全メッセージが、当該予め設定されている安全メッセージに相当するときは、当該メッセージシーケンスに対する攻撃が遂行されなかったことが認識され得る。当該安全メッセージが、当該予め設定されている安全メッセージに相当しないときは、当該メッセージシーケンスに対する攻撃が遂行されたことが認識され得る。

認識された攻撃の結果として、エラーメッセージが生成され、例えばアラーム等としてユーザに出力され得る。代わりに、当該メッセージシーケンスが、新たに要求されてもよい。

さらに、本発明は、データバスによって送信されるメッセージシーケンスに対する攻撃を認識するための装置に関する。当該装置は、回路を有する。この回路は、当該データバスによって送信されるメッセージシーケンスを受信し、複数の無効メッセージを１つの無効サイクル期間の間隔で送信する１つの無効フェーズが、予め設定されている１つの安全メッセージによって始動されたか否かを検査し、当該無効フェーズが、当該予め設定されている安全メッセージによって始動されなかったときに、攻撃を認識するように構成されている。この場合、当該予め設定されている安全メッセージと当該複数の無効メッセージとは互いに異なる。したがって、当該回路は、データバスによって送信されるメッセージシーケンスに対する攻撃を認識するための方法を、上記に詳しく説明したように実行するように構成されている。当該回路は、例えば、プロセッサ又は通信チップ（トランシーバ）でもよい。

当該装置は、命令、メッセージ又は当該装置用のデータを示す複数の情報信号を有する複数のメッセージを有する１つ以上のメッセージシーケンスを受信するように構成されているバスシステムの１つの構成要素でもよい。例えば、当該装置は、ＡＢＳ制御装置、走行動特性制御装置、ドア及び／又は窓制御装置、照明装置及び／又はワイパー装置用の制御装置、ナビゲーション装置、ＣＤプレーヤー、表示機器、情報システム及び／又はバスシステムのその他の構成要素でもよい。

当該装置は、例えばコネクタ接続部を用いてデータバスに接続するように構成されている信号入力部を有し得る。さらに、当該装置は、信号出力部を有し得る。

当該装置は、送信されるメッセージシーケンスに対する攻撃を認識するための情報が記憶されているデータ記憶装置を有し得る。当該情報は、上記の信号を送信するための情報に相当し得る。さらに、調整アルゴリズム及び／又は制御アルゴリズムが、当該データ記憶装置内に記憶され得る。当該回路は、当該アルゴリズムによってデータバスによって送信される内容を変換できる。

さらに、上記の攻撃を認識するための装置の回路は、上記のデータバスによってメッセージシーケンスを送信するため方法も実行するように構成されている。

以下に、本発明の実施の形態を例示し、添付した図面を参照して説明する。

１つのデータバスを介して接続されている複数のバス構成要素を有する１つのバスシステムの実施の形態を示す。 通常の情報メッセージを有するイフ・アクティブ信号（ＩｆＡｃｔｉｖｅ−Ｓｉｇｎａｌ）の従来のメッセージシーケンスを示す。 攻撃中に不正侵入したメッセージを有するイフ・アクティブ信号の従来のメッセージシーケンスを示す。 図１に示されたバスシステムのＣＡＮバスによってメッセージシーケンスを送信するための方法のフローチャートを示す。 通常の情報メッセージを有するイフ・アクティブ信号の本発明のメッセージシーケンスを示す。 図１に示されたバスシステムのデータバスによって送信されるメッセージシーケンスに対する攻撃を認識するための方法を示す。 通常の情報メッセージを有するイフ・アクティブ・ウィズ・レピティション信号（ＩＦＡｃｔｉｖｅＷｉｔｈＲｅｐｅｔｉｔｉｏｎ−Ｓｉｇｎａｌ）の従来のメッセージシーケンスを示す。 攻撃中に不正侵入したメッセージを有するイフ・アクティブ・ウィズ・レピティション信号の従来のメッセージシーケンスを示す。 通常の情報メッセージを有するイフ・アクティブ・ウィズ・レピティション信号の本発明のメッセージシーケンスを示す。 通常の情報メッセージと付加された通常の無効メッセージとを有するイフ・アクティブ信号の本発明の別のメッセージシーケンスを示す。 異なる信号送信方式による２つのパラレル送信信号のメッセージシーケンスを示す。 異なる信号送信方式による複数の信号から成るメッセージの構造を示す。

ＣＡＮバスシステム１の実施の形態が、図１に概略的に示されている。

ここでは、ＣＡＮバスシステム１は、例えば、１つのエンジン制御装置３と複数のバス構成要素４とが配置されている１つの制御線（ＣＡＮバス）２を有する。１つのアンチブロックシステム制御装置（ＡＢＳ制御装置）４ａと１つのナビゲーション装置４ｂと１つの光スイッチ４ｃと１つの車両運転制御装置４ｄとが、バス構成要素として図１に例示されている。ＣＡＮバス２によって送信されるメッセージシーケンスが、異なる信号送信方式の信号を含み得る。

代わりに、エンジン制御装置とバスシステムとが、ＣＡＮバスシステムの、ゲートウェイ制御装置を介して互いに接続されている異なる複数の制御線に配置されてもよい。

第１の実施の形態では、ＣＡＮバス２によって送信されるメッセージシーケンスは、信号送信方式のいわゆるイフ・アクティブ（ＩｆＡｃｔｉｖｅ）によるメッセージシーケンスである。それ故に、以下では、最初に、信号送信方式のイフ・アクティブの従来の方式を説明し、この従来の方式に対する攻撃の概要を記載する。

図２に示されているように、信号送信方式のイフ・アクティブのメッセージシーケンスは、有効フェーズＡＰと無効フェーズＲＰとを有する。情報信号を含む情報メッセージＰ_１，Ｐ_２が、有効フェーズＡＰ中に情報送信サイクル期間ＢＺで送信される。この場合、この情報信号は、送信すべき命令を示す。有効フェーズＡＰ中の情報メッセージＰ_１，Ｐ_２の数は、増減でき、特に２つでなくてもよい。無効信号を含む無効メッセージＰ_Ｒが、無効フェーズＲＰ中に無効サイクル期間ＲＺで送信される。この場合、この無効信号は、アイドル状態として予め確定されている。この場合、無効サイクル期間ＲＺは、情報送信サイクル期間ＢＺよりも十分に長い。この場合には、無効サイクル期間ＲＺは、情報送信サイクル期間ＢＺの約５倍である。図２に示されているように、無効フェーズＲＰは、有効フェーズＡＰの直後に１つの無効メッセージＰ_Ｒによって開始する。情報メッセージＰ_１，Ｐ_２の情報信号は、この無効メッセージＰ_Ｒとは異なる。

攻撃者が、当該アイドル状態と遮断期間、つまり無効サイクル期間ＲＰとを考慮する場合、図３に示されているように、当該攻撃者は、誰にも気づかれずに追加のメッセージＰ_Ａを２つの無効メッセージＰ_Ｒ間に不正侵入させ得る。当該不正侵入した追加のメッセージＰ_Ａは、監視システムによって認識され得ない。何故なら、当該メッセージＰ_Ａは、通常のメッセージシーケンスに相当するからである。

説明されている従来の信号送信方式の「イフ・アクティブ」のメッセージシーケンスでは、時間挙動と信号内容とに関する全ての基準が順守される場合、不正侵入したメッセージは、認識システムによって当該時間挙動を簡単に監視することでは発見され得ない。何故なら、当該基準は、通常の情報メッセージとは相違しないからである。

それ故に、本発明の第１の実施の形態では、イフ・アクティブ信号の送信シーケンスが変更される。当該変更されたイフ・アクティブ信号が、図４に示されたメッセージを送信するための方法５にしたがってＣＡＮバスによって送信される。当該メッセージを送信するための方法５は、ここでは、例えばエンジン制御装置３によって実行される。しかしながら、その他のバス構成要素によって実行されてもよい。

５０では、図５に示されているように、２つの情報メッセージＰ_１及びＰ_２が、有効フェーズＡＰ中に情報送信サイクル期間ＢＺの間隔で送信される。例えば、急な制動工程が認識された後に、信号が、ＡＢＳ制御装置４ａに送信されなければならない。このとき、車輪のロックを回避するため、情報メッセージＰ_１は、制動力を低下させることをＡＢＳ制御装置に要求する情報信号を含む。情報メッセージＰ_２は、制動力を調整させるための情報を有する情報信号を含む。当該メッセージシーケンスは、ＡＢＳ制御装置４ａに関する情報だけではなくて、状況に応じて複数のバス構成要素のうちのそれぞれ別のバス構成要素に関する情報を含んでもよい。

引き続き、５１では、図５に示されているように、安全メッセージＰ_Ｓが、無効フェーズＲＰを始動させるために送信される。この安全メッセージＰ_Ｓは、その直前に先行する情報メッセージＰ_２の情報信号の値、すなわちここでは制動力を調整させるための情報を示す値を値として含む。

５２では、無効メッセージＰ_Ｒが、無効フェーズＲＰ中に無効サイクル期間ＲＺの間隔で送信される。この場合、安全メッセージＰ_Ｓから第１無効メッセージＰ_Ｒまでの間隔が、無効サイクル期間ＲＺに相当する。当該無効メッセージの無効信号が、予め設定されていて、情報メッセージＰ_１，Ｐ_２の情報信号と安全メッセージＰ_Ｓの情報信号とは異なる。

したがって、図５に示されているようなメッセージシーケンスが生成され送信される。その特徴は、変更された送信シーケンスにある：有効フェーズＡＰの終了後に、後続する無効フェーズＲＰが、安全メッセージＰ_Ｓによって、図５に示された場合には有効フェーズＡＰの最後のメッセージによって開始する。当該後続する無効メッセージＰ_Ｒは、この安全メッセージＰ_Ｓから長いサイクル期間ＲＺまで離間している。この安全メッセージＰ_Ｓは、後続する無効フェーズＲＰの開始を示すので、この安全メッセージＰ_Ｓは、この明細書では安全マークとも呼ばれる。

図５を参照して説明されているメッセージシーケンスは、信号送信中に不正侵入したメッセージを確実に認識することを可能にする。以下に、ＣＡＮバスによって送信されるメッセージに対する攻撃を認識するための方法６を、図６を参照して説明する。当該方法は、メッセージシーケンスが設定されているバス構成要素によって、ここではＡＢＳ制御装置４ａによって実行される。しかしながら、攻撃を認識するための当該方法は、当該メッセージシーケンスを受信する別のバス構成要素によって実行されてもよい。

６０では、ＣＡＮバスによって送信されるメッセージシーケンスが受信される。当該送信されるメッセージシーケンスは、図５を参照して説明されているメッセージシーケンスに基づくが、不正侵入した追加のメッセージを含み得る。

６１では、無効メッセージＰ_Ｒを無効サイクル期間ＲＺの間隔で送信する無効フェーズＲＰが、予め設定されている安全メッセージによって始動されたか否かが検査される。したがって、無効メッセージＰ_Ｒが無効サイクル期間ＲＺの間隔で追従するように、安全メッセージＰ_Ｓの値が情報メッセージＰ_２の情報信号の値に相当する当該安全メッセージＰ_Ｓが、無効フェーズＲＰの開始時に送信されたか否かが検査される。

６２では、無効フェーズＲＰが、予め設定されている安全メッセージによって始動されなかったときに、攻撃が認識される。したがって、有効フェーズＡＰの直後に、無効メッセージＰ_Ｒが後続する場合、すなわち安全メッセージＰ_Ｓが見つからない場合、このことは、不正侵入したメッセージを示唆する。こうして、不正侵入したメッセージを確実に認識することが達成される。何故なら、時間規則に違反することなしに、攻撃時に、通常の時間挙動が、容易に妨害され得ないからである。有効フェーズＡＰに付加される不正侵入したメッセージも、同様に発見され得る。有効フェーズＡＰの最後のメッセージＰ_２が、安全メッセージＰ_Ｓと違う場合、攻撃が存在する。したがって、送信シーケンスの説明した変更によって、不正侵入したメッセージに対する効果的な保護が達成される。

第２の実施の形態では、ＣＡＮバスによって送信されるメッセージシーケンスが、信号送信方式のいわゆるイフ・アクティブ・ウィズ・レピティション信号（ＩＦＡｃｔｉｖｅＷｉｔｈＲｅｐｅｔｉｔｉｏｎ−Ｓｉｇｎａｌ）によるメッセージシーケンスである。それ故に、以下では、最初に、信号送信方式のイフ・アクティブ・ウィズ・レピティションの従来の方式を説明し、この従来の方式に対する攻撃の概要を記載する。

図７に示されているように、信号送信方式のいわゆるイフ・アクティブ・ウィズ・レピティションによるメッセージシーケンスは、有効フェーズＡＰとレピティションフェーズＲｅｐＰと無効フェーズＲＰとを有する。情報信号を含む情報メッセージＰ_１，Ｐ_２が、有効フェーズＡＰ中に情報送信サイクル期間ＢＺで送信される。レピティションフェーズＲｅｐＰが、有効フェーズＡＰに追従する。それぞれ無効信号を含む３つの無効メッセージＰ_Ｒが、このレピティションフェーズＲｅｐＰ中に情報送信サイクル期間ＢＺで送信される。このレピティションフェーズＲｅｐＰ中の無効メッセージＰ_Ｒの数は、３つでなくてもよいが、予め設定されている。当該無効信号を含む複数の無効メッセージＰ_Ｒが、無効フェーズＲＰ中に１つの無効サイクル期間ＲＺで送信される。図２に示されているように、無効フェーズＲＰは、レピティションフェーズＲｅｐＰの直後に１つの無効メッセージＰ_Ｒによって開始する。

当該イフ・アクティブ・ウィズ・レピティションの信号送信方式の場合でも、攻撃者が、図８に示されているように、さらなる２つの無効メッセージＰ_ＡＲを、情報送信サイクル期間ＢＺの間隔で、後続する２つの無効メッセージＰ_Ｒ間に不正侵入させるときに、当該攻撃者は、誰にも気づかれずに追加のメッセージＰ_Ａを２つの無効メッセージＰ_Ｒ間に不正侵入させ得る。これらの追加のメッセージＰ_Ａ及びＰ_ＡＲは、監視システムによって認識され得ない。何故なら、これらの追加のメッセージＰ_Ａ及びＰ_ＡＲは、通常のメッセージシーケンスに相当するからである。

したがって、当該信号送信方式の「イフ・アクティブ・ウィズ・レピティション」の場合、それぞれの有効フェーズＡＰ後に、所定の数の無効メッセージＰ_Ｒが、速いサイクル期間ＢＺ（繰り返し）で送信される。この信号送信方式の場合も、不正侵入した部分が、全ての規則（禁止期間、速いサイクル期間及び繰り返し回数）に相当し、連続する２つの無効メッセージＰ_Ｒ間に適正に配列されるときに、当該不正侵入したメッセージＰ_Ａ，Ｐ_ＡＲは認識され得ない。

それ故に、本発明の第２の実施の形態では、図９に示されているように、イフ・アクティブ・ウィズ・レピティション信号の送信シーケンスが変更される。図９のメッセージシーケンスは、情報送信サイクル期間ＢＺの間隔で２つの情報メッセージＰ_１，Ｐ_２を有する１つの有効フェーズＡＰを示す。情報送信サイクル期間ＢＺの間隔で３つの無効メッセージＰ_Ｒを有する１つのレピティションフェーズＲｅｐＰが、この有効フェーズＡＰに追従する。無効フェーズＲＰが、このレピティションフェーズＲｅｐＰ後に１つの安全メッセージＰ_Ｓによって始動される。この安全メッセージＰ_Ｓの値は、この有効フェーズＡＰの最後の情報メッセージＰ_２の情報信号の値に相当する。同様に無効サイクル期間ＲＺで送信される複数の無効メッセージＰ_Ｒが、無効サイクル期間ＲＺの間隔でこの安全メッセージＰ_Ｓに追従する。

当該メッセージシーケンスを送信するため、図４を参照して説明されているＣＡＮバスによってメッセージシーケンスを送信するための方法５が、同様に適用される。この場合、有効フェーズＡＰ中の最後の情報メッセージＰ_２と安全メッセージＰ_Ｓとの間の送信だけで、３つの無効メッセージＰ_Ｒが、情報送信サイクル期間ＢＺの間隔で送信される。図６を参照して説明されている攻撃を認識するための方法も、同様に適用される。

図１０は、第３の実施の形態によるメッセージシーケンスを示す。このメッセージシーケンスは、無効信号を含む追加の１つの無効メッセージＰ_Ｒａｄｄが、安全メッセージＰ_Ｓ後に情報送信サイクル期間ＢＺの間隔で送信される点だけが、図５に示されたメッセージシーケンスと異なる。これにより、安全メッセージＰ_Ｓが、より確実に認識され、受信装置・制御装置内での望まない状態又は応答が阻止され得る。

追加の１つの無効メッセージＰ_Ｒａｄｄの代わりに、追加の複数の無効メッセージＰ_Ｒａｄｄが送信されてもよい。

これにしたがって、図９のイフ・アクティブ・ウィズ・レピティションの信号送信方式のメッセージシーケンスも、安全メッセージＰ_Ｓ後の短い間隔ＢＺで追加の１つ又は複数の無効メッセージＰ_Ｒａｄｄだけ付加されてもよい。

第４の実施の形態によれば、図５に示されたメッセージシーケンスの安全マークが、上記の監視のために適していると同時に、無効フェーズＲＰの開始として受信装置によって認識され得るように、当該安全マークは適切に提供されている。

これにしたがって、安全メッセージＰ_Ｓは、図９のイフ・アクティブ・ウィズ・レピティションの信号送信方式のメッセージシーケンスに配列されてもよい。

当該説明されている方法は、１つのメッセージ内の個々の信号だけに適用され得るのではなくて、全体の複数のメッセージにも適用され得る。それ故に、第５の実施の形態では、複数の信号送信方式が混ざっている複数のメッセージの確実な送信可能性を説明する。

図１１は、Ａの場合に第１メッセージシーケンスＳ１を示し、Ｂの場合に第２メッセージシーケンスＳ２を示す。第１メッセージシーケンスＳ１によれば、複数のメッセージＰ_Ｃが、周期的に送信される。第２メッセージシーケンスＳ２によれば、第１メッセージシーケンスＳ１のメッセージＰ_Ｃと同時に、複数の無効メッセージＰ_Ｒと、２つの無効メッセージ間の情報メッセージＰ_１〜Ｐ_３と、情報メッセージＰ_３に相当する安全メッセージＰ_Ｓとが送信される。

これから、図１１のＣの場合に示されているように、２つの信号送信方式を成す複数のメッセージを有する１つのメッセージシーケンスが生成される。信号送信方式のイフ・アクティブが、優勢な信号送信方式であるので、第２メッセージシーケンスＳ２が、この第２メッセージシーケンスＳ２の時間挙動を第１メッセージシーケンスＳ１に転写する。第２メッセージシーケンスＳ２が追従し、制御装置、例えばエンジン制御装置から直接に入力される値を含む。したがって、当該生成されたメッセージシーケンスは、図１１のＣの場合で示されているように、当該転写された時間挙動のイフ・アクティブによる周期的な挙動を含む第１受信シーケンスＥ１と、イフ・アクティブ挙動を含む第２受信シーケンスＥ２とから成る。

図１２は、当該生成された信号のメッセージの構造７を示す。メッセージを「管理する」ための２つのデータから成るメッセージヘッド７０及びメッセージエンド７１を有する。さらに、このメッセージは、メッセージヘッド７０とメッセージエンド７１との間にデータ部７２を有する。異なる複数の受信信号ＥＳ１，ＥＳ２が、このデータ部７２内に含まれている。したがって、このデータ部は、例えば、第１メッセージシーケンスＳ１がその情報信号を送信し、第２メッセージシーケンスがその無効信号を送信する時点ｔ_１に、第１メッセージシーケンスＳ１の情報信号と第２メッセージシーケンスの無効信号とを含み得る。第２メッセージシーケンスＳ２がその時間挙動を第１メッセージシーケンスＳ１に転写する時点ｔ_２に、このデータ部は、第１メッセージシーケンスＳ１の情報信号と第２メッセージシーケンスＳ２の情報信号とを含み得る。第２メッセージシーケンスの無効信号が始動される時点ｔ_３に、このデータ部は、第１メッセージシーケンスＳ１の情報信号と第２メッセージシーケンスＳ２の有効フェーズの最後のメッセージの情報信号とを含み得る。

したがって、個々のメッセージシーケンスの送信時と同様に、安全メッセージが配列される。これにより、攻撃が阻止され得る。メッセージの全体を監視する場合、有効フェーズ中に、場合によってはレピティションフェーズ中に、（安全マークを含めて）該当するメッセージ内の信号が変化しない限り、このメッセージが、複数の信号構成要素に分割される。

上記の開示内容は、ここで説明されている実施の形態に限定されない。当業者がその知識に基づいて上記の開示内容に属すると考えられる様々な適合及び変更の余地がある。例えば、説明されている送信方法は、ＣＡＮバスとは違うバスシステムでも使用され得る。

ここで説明した全ての例及び構成は、特定して引用された例に限定しないで解釈しなければならない。したがって、当業者は、例えば、ここに示されたブロック図は例示的な回路配置の概念的な図であることを認識している。同様に、図示されたフローチャート等は、主にコンピュータで読み取り可能な媒体に記憶され、したがってコンピュータ又はプロセッサによって実行され得るプロセスの様々なバリエーションを示すものと解釈しなければならない。

提唱されている方法及び付随する装置は、ハードウェア、ソフトウェア、ファームウェア、特別なプロセッサ又はこれらの組み合わせの様々な形態で実装され得ることが分かる。特別なプロセッサは、特定用途向け集積回路（ＡＳＩＣ）、縮小命令セットコンピュータ（Ｒｅｄｕｃｅｄ Ｉｎｓｔｒｕｃｔｉｏｎ Ｓｅｔ Ｃｏｍｐｕｔｅｒ−ＲＩＳＣ）及び／又はデジタル技術の集積回路（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙｓ−ＦＰＧＡ）を含み得る。ソフトウェアは、アプリケーションプログラムとしてプログラム記憶装置上にインストールされ得る。ハードウェアは、例えば、１つ又はｈ複数の中央演算処理装置（ＣＰＵ）及び／又は１つ又は複数の記憶装置並びにランダムアクセスメモリ（ＲＡＭ）及び／又は１つ又は複数の入出力（Ｉ／Ｏ）インタフェースを有し得る。

１ ＣＡＮバスシステム
２ 制御線
３ エンジン制御装置
４ａ ＡＢＳ制御装置
４ｂ ナビゲーション装置
４ｃ 光スイッチ
４ｄ 車両運動制御装置
５ ＣＡＮバスによってメッセージシーケンスを送信するための方法
５０ 情報メッセージの受信
５１ 安全メッセージの送信
５２ 無効内容を有するメッセージの送信
６ 攻撃を認識するための方法
６０ ＣＡＮバスによって送信されるメッセージシーケンスの受信
６１ 安全メッセージの検査
６２ 攻撃の認識
７ メッセージ
７０ メッセージヘッド
７０ メッセージエンド
７２ データ部
ＡＰ 有効フェーズ
ＲＰ 無効フェーズ
ＢＺ 情報送信サイクル期間（短いサイクル期間）
ＲＺ 無効サイクル期間（長いサイクル期間）
Ｐ_１，Ｐ_２，Ｐ_３，Ｐ_Ｃ 情報メッセージ
Ｐ_Ａ 不正侵入情報メッセージ
Ｐ_Ｒ，Ｐ_Ｒａｄｄ 無効内容を有するメッセージ
Ｐ_ＡＲ 無効内容を有する不正侵入メッセージ
Ｐ_Ｓ 安全メッセージ
Ｓ１，Ｓ２ メッセージシーケンス
Ｅ１，Ｅ２ 受信機シーケンス
ＥＳ１，ＥＳ２ 受信信号
ｔ_１，ｔ_２，ｔ_３ 時点

Claims (10)

1. データバス（２）によってメッセージシーケンスを送信するための方法において、
   当該方法は、
   １つの有効フェーズ（ＡＰ）中に情報信号を含んでいる情報メッセージ（Ｐ_１，Ｐ_２）を送信し（５０）、
   １つの無効フェーズ（ＲＰ）を始動するために１つの安全メッセージ（Ｐ_Ｓ）を送信し（５１）、
   前記無効フェーズ（ＲＰ）中に１つの無効サイクル期間（ＲＺ）で無効信号を含んでいる複数の無効メッセージ（Ｐ_Ｒ）を送信する（５２）ことから成り、
   前記情報信号と前記無効信号とは互いに異なり、
   前記安全メッセージ（Ｐ_Ｓ）と前記無効メッセージ（Ｐ_Ｒ）とは互いに異なる当該方法。
2. ２つ以上の情報メッセージ（Ｐ_１，Ｐ_２）が、前記有効フェーズ（ＡＰ）中に前記無効サイクル期間（ＲＺ）よりも短い１つの情報送信サイクル期間（ＢＺ）の間隔で送信される請求項１に記載の方法。
3. 前記安全メッセージ（Ｐ_Ｓ）は、前記無効フェーズ（ＲＰ）の直前に先行する前記有効フェーズ（ＡＰ）中に送信された複数の前記情報メッセージ（Ｐ_１，Ｐ_２）のうちの１つの情報メッセージの情報信号に相当する信号を有する請求項１又は２に記載の方法。
4. 前記安全メッセージ（Ｐ_Ｓ）は、前記無効フェーズ（ＲＰ）の直前に先行する前記有効フェーズ（ＡＰ）中に最後に送信された前記情報メッセージ（Ｐ_２）の情報信号に相当する信号を有する請求項１〜３のいずれか１項に記載の方法。
5. 無効内容を有する１つの無効メッセージ（Ｐ_Ｒａｄｄ）が、前記安全メッセージ（Ｐ_Ｓ）の送信後の前記無効フェーズ（ＲＰ）中に前記無効サイクル期間（ＲＺ）よりも短い間隔で送信される請求項１〜４のいずれか１項に記載の方法。
6. 前記データバス（２）によって送信すべき前記メッセージシーケンスは、信号送信方式のイフ・アクティブ又はイフ・アクティブ・ウィズ・レピティションによって送信される請求項１〜５のいずれか１項に記載の方法。
7. 前記情報メッセージ（Ｐ_１，Ｐ_２）と前記無効メッセージ（Ｐ_Ｒ）とは、前記データバスによって送信すべき前記メッセージシーケンスの信号送信方式とは異なる１つの信号送信方式によって送信される１つのメッセージシーケンスの情報信号であるそれぞれ１つの追加の信号を有する請求項１〜６のいずれか１項に記載の方法。
8. データバスによってメッセージシーケンスを送信するための装置において、
   当該装置は、データバス（２）によってメッセージシーケンスを送信するための請求項１〜７のいずれか１項に記載の方法（５）を実行するように構成されている回路を有する当該装置。
9. データバス（２）によって送信されるメッセージシーケンス、特にデータバス（２）によってメッセージシーケンスを送信するための請求項１〜７のいずれか１項に記載の方法（５）によって送信されるメッセージシーケンスに対する攻撃を認識するための方法において、
   当該方法は、
   前記データバスによって送信される前記メッセージシーケンスを受信し（６０）、
   無効内容を有するメッセージ（Ｐ_Ｒ）を１つの無効サイクル期間（ＲＺ）の間隔で送信する１つの無効フェーズ（ＲＰ）が、予め設定されている１つの安全メッセージによって始動されたか否かを検査し、予め設定されている前記安全メッセージと前記無効メッセージとは互いに異なり、
   前記無効フェーズ（ＲＰ）が、予め設定されている前記安全メッセージによって始動されなかったときに、攻撃を認識する（６２）ことから成る当該方法。
10. データバス（２）によって送信されるメッセージシーケンスに対する攻撃を認識するための装置において、
    当該装置は、データバス（２）によって送信されるメッセージシーケンスに対する攻撃を認識するための請求項９に記載の方法（６）を実行するように構成されている回路を有する当該装置。

Images