JP2020096320A - 不正信号処理装置 - Google Patents

Abstract

【課題】通信網に入力された不正信号の送信元を特定する。【解決手段】不正信号処理装置１００は、第１、第２通信網に接続され、第１、第２通信網を介して受信した信号が不正信号であるか否かを判定するＥＣＵ２ａ，２ｂと、第１、第２通信網がそれぞれ接続され、第１、第２通信網の間で送受信される信号を中継する信号中継部５２と、中継履歴を記憶する記憶部５１と、ＥＣＵ２ａにより第１通信網を介して受信した信号が不正信号と判定されると、中継履歴に基づいて、不正信号と判定された信号が第１通信網と第２通信網とのうちのいずれの通信網を介して入力されたかを判定する送信元判定部５４とを備える。【選択図】図２

Description

本発明は、通信網に入力される不正な信号を処理する不正信号処理装置に関する。

従来、ＣＡＮ（コントローラエリアネットワーク）通信の通信信号に含まれる送信元のＩＤ情報に基づいて、なりすまし信号を検出するようにした装置が知られている。例えば特許文献１記載の装置では、車載通信網に接続された複数のＥＣＵ（電子制御ユニット）のそれぞれに互いに異なるＩＤを予め割り当て、各ＥＣＵにより受信された信号のＩＤがそのＥＣＵに割り当てられたＩＤと同一であれば、その受信信号を不正な信号であると判定する。

特許文献１：特開２０１４−１１６２１号公報

ところで、通信網に不正な信号が入力された場合は、さらなる不正な信号による攻撃を防ぐために送信元を特定する必要がある。しかしながら、上記特許文献１記載の装置は、受信信号が不正な信号か否かを判定するだけであり、不正な信号の送信元を特定するものではない。

本発明の一態様である不正信号処理装置は、第１通信網に接続され、第１通信網を介して受信した通信信号が不正な信号であるか否かを判定する第１機器と、第２通信網に接続され、第２通信網を介して受信した通信信号が不正な信号であるか否かを判定する第２機器と、第１通信網と第２通信網とがそれぞれ接続され、第１通信網と第２通信網との間で送受信される通信信号を中継する中継部と、中継部により中継された通信信号の中継履歴を記憶する記憶部と、第１機器により、第１通信網を介して受信した通信信号が不正な信号であると判定されると、記憶部に記憶された中継履歴に基づいて、第１機器により不正な信号であると判定された通信信号が中継部により中継されたか否かを判定する中継判定部と、中継判定部により、第１機器により不正な信号であると判定された通信信号が中継部により中継されたと判定されると、第１機器により不正な信号であると判定された通信信号が第１通信網と第２通信網とのうちのいずれの通信網を介して入力されたかを判定する送信元判定部と、を備える。

本発明によれば、通信網に入力された不正な信号の送信元を特定することができる。

本発明の実施形態に係る不正信号処理装置を概略的に示す図。 本発明の実施形態に係る不正信号処理装置の要部構成を示すブロック図。 図２の記憶部に記憶される中継履歴の一例を示す図。 図１のゲートウェイによる中継が行われていない場合の不正通信の送信元の判定の一例を説明する図。 図１のゲートウェイによる中継が行われた場合の不正通信の送信元の判定の一例を説明する図。 図１のゲートウェイによる中継が行われた場合の不正通信の送信元の判定の別の例を説明する図。 本発明の実施形態に係る不正信号処理装置により実行される処理の一例を示すフローチャート。

以下、図１〜図５を参照して本発明の実施形態について説明する。図１は、本発明の実施形態に係る不正信号処理装置１００を概略的に示す図である。

不正信号処理装置１００が適用される車両１には、複数のＥＣＵ（電子制御ユニット）２（図１の例では、４つのＥＣＵ２ａ１，２ａ２，２ｂ１，２ｂ２）が搭載される。複数のＥＣＵ２には、エンジン制御用ＥＣＵ、変速機制御用ＥＣＵ、操舵制御用ＥＣＵなどの車両の動作に直接的な影響を与えるＥＣＵ、エアコンやナビゲーションなどの車両の動作に直接的な影響を与えない機器の制御用ＥＣＵ等、機能の異なるＥＣＵが含まれる。

各ＥＣＵ２は、演算処理を行うＣＰＵ等の演算部２０と、揮発性メモリ（ＲＡＭ）、書き換え可能な不揮発性メモリ（フラッシュメモリやＥＥＰＲＯＭ等）などの記憶部２１と、その他の周辺回路とを有するコンピュータを含んで構成される（図２）。各ＥＣＵ２は、予め不揮発性メモリに記憶された制御プログラムに従い、各種センサや他のＥＣＵ２からの出力値に基づいて各種制御を実行する。

これら複数のＥＣＵ２は、ＣＡＮ（コントローラエリアネットワーク）等の車載通信網により互いに通信可能に接続される。図１の例では、ＥＣＵ２ａ１，２ａ２が通信網ＢＵＳａを介して、ＥＣＵ２ｂ１，２ｂ２が通信網ＢＵＳｂを介して、それぞれ互いに通信可能に接続される。

各通信網ＢＵＳａ，ＢＵＳｂは、それぞれ１本の通信線（バスライン）により構成され、共通のアドレス（ドメイン）が割り当てられる。例えば、通信網ＢＵＳａ，ＢＵＳｂには、ドメインとして、それぞれ、「Ａ」、「Ｂ」が割り当てられる。通信網ＢＵＳａに接続されたＥＣＵ２ａ１，２ａ２、通信網ＢＵＳｂに接続されたＥＣＵ２ｂ１，２ｂ２は、それぞれ共通のドメインを使用する。

さらにＥＣＵ２には、通信網ＢＵＳａ，ＢＵＳｂを介して、外部との無線通信を行うＴＣＵ（テレマティクス制御ユニット）３、ＥＣＵ２に記憶された故障コードを読み出して車両１の故障診断を行う診断機６を接続可能なＤＬＣ（データリンクコネクタ）４などを接続することができる。

通信網ＢＵＳａ，ＢＵＳｂ、ＴＣＵ３およびＤＬＣ４の間にはゲートウェイ５が設けられ、各通信網ＢＵＳａ，ＢＵＳｂと車外との通信を中継するとともに、ドメインの異なる通信網ＢＵＳａ，ＢＵＳｂ間の通信を中継する。

通信網ＢＵＳａ，ＢＵＳｂを介して送受信される各通信信号、例えばＣＡＮ通信のデジタル信号（データフレーム）には、送信元ＩＤを示すヘッダ部と、送受信されるデータの内容を示すペイロード部とが含まれる。各ＥＣＵ２には、互いに異なるＩＤ（送信元ＩＤ）が予め割り当てられる。

例えば、ＥＣＵ２ａ１，２ａ２，２ｂ１，２ｂ２には、送信元ＩＤとして、それぞれ、「２ａ１」、「２ａ２」、「２ｂ１」、「２ｂ２」が予め割り当てられる。各ＥＣＵ２は、通信網ＢＵＳａ，ＢＵＳｂを介して送信する通信信号のヘッダ部に、自身の送信元ＩＤを含める。

各ＥＣＵ２は、基本的に、自身を送信先として指定する通信信号、すなわち自身のＩＤを送信先ＩＤとする通信信号を受信するが、例えば実行する制御内容に応じて予め設定された送信元ＩＤの通信信号を受信してもよい。この場合、各ＥＣＵ２は、通信網ＢＵＳａ，ＢＵＳｂを介して入力（送信）された通信信号のうち、予め設定された送信元ＩＤをヘッダ部に含む通信信号を受信する。より具体的には、各ＥＣＵ２は、自身が接続された通信網ＢＵＳａ，ＢＵＳｂに入力された全てあるいは一部の通信信号の送信元ＩＤを検出し、必要に応じてその通信信号を受信する。特に、自身のＩＤを送信元ＩＤとする通信信号を検出する。

ところで、悪意のある第三者が正当なＥＣＵ２の送信元ＩＤを利用して各ＥＣＵ２を攻撃対象とする不正な信号（なりすまし信号）の送信（なりすまし通信）を試みることがある。例えば、一部のＥＣＵ２の制御プログラムを改ざんし、改ざんされたＥＣＵ２００を介して、なりすまし通信を試みる可能性がある。

このような、なりすまし通信は、各ＥＣＵ２が、自身に割り当てられた送信元ＩＤと同一の送信元ＩＤをヘッダ部に含む通信信号を発見することで検出することができる。あるいは、各ＥＣＵ２が、それぞれの制御内容に応じて、出力するはずのないＥＣＵ２からの通信信号を発見することで、なりすまし通信を検出することもできる。

なりすまし通信が検出された場合は、さらなる攻撃を防ぐため、なりすまし通信の送信元である改ざんされたＥＣＵ２００を交換する必要がある。なりすまし通信の送信元を特定できない場合は、すべての通信網ＢＵＳａ，ＢＵＳｂに接続されるすべてのＥＣＵ２を交換しなければならない。

そこで、本発明の実施形態に係る不正信号処理装置１００は、なりすまし通信の送信元であるＥＣＵ２を特定するよう、具体的には、複数の通信網ＢＵＳａ，ＢＵＳｂのいずれに接続されているかを特定するよう、以下のように構成する。

図２は、不正信号処理装置１００の要部構成を示すブロック図である。図１および図２に示すように、不正信号処理装置１００は、車両１に搭載されたＥＣＵ２ａ（２ａ１，２ａ２），２ｂ（２ｂ１，２ｂ２）と、ＥＣＵ２ａ，２ｂの間に設けられたゲートウェイ５とを備えた車載通信網として構成される。

図２に示すように、各ＥＣＵ２ａ（２ａ１，２ａ２），２ｂ（２ｂ１，２ｂ２）は、演算処理を行うＣＰＵ等の演算部２０と、揮発性メモリ（ＲＡＭ）、書き換え可能な不揮発性メモリ（フラッシュメモリやＥＥＰＲＯＭ等）などの記憶部２１と、その他の周辺回路とを有するコンピュータを含んで構成される。演算部２０は、各ＥＣＵ２ａ，２ｂの制御プログラムを実行する以外の機能的構成として、なりすまし判定部２２と、なりすまし報知部２３とを有する。

記憶部２１には、演算部２０により実行される制御プログラムおよび予め設定された受信すべき通信信号の送信元ＩＤが記憶されるとともに、各ＥＣＵ２ａ，２ｂに予め割り当てられた送信元ＩＤ（自身の送信元ＩＤ）が記憶される。

なりすまし判定部２２は、自身が接続された通信網ＢＵＳａまたはＢＵＳｂに入力された全ての通信信号を検出し、その信号がなりすまし通信によるものであるか否かを判定する。例えば、検出された通信信号のヘッダ部を参照し、送信元ＩＤが記憶部２１に記憶された自身の送信元ＩＤと一致するか否かを判定し、一致する場合は、なりすまし通信による信号であると判定する。検出された通信信号のヘッダ部を参照し、送信元ＩＤが出力するはずのないＩＤであるか否かを判定してもよい。

なりすまし報知部２３は、なりすまし判定部２２により検出された通信信号がなりすまし通信による信号であると判定されると、ゲートウェイ５に対して、なりすまし通信が発生した旨を報知する。また、なりすまし通信による通信信号のペイロード部の情報をゲートウェイ５に送信する。

なりすまし報知部２３は、ゲートウェイ５に対する報知に加え、車両１のインストルメントパネルに「異常な通信が発生しました。点検を行ってください」などの警告メッセージを表示してユーザに対する報知を行ってもよい。ユーザに対する報知に代えて、あるいはユーザに対する報知に加えて、車両メーカや販売店等に対して報知を行ってもよい。

ゲートウェイ５は、ＣＰＵ等の演算部５０と、ＲＯＭ，ＲＡＭ，ハードディスク等の記憶部５１と、その他の周辺回路とを有するコンピュータを含んで構成される。演算部５０は、機能的構成として、信号中継部５２と、中継判定部５３と、送信元判定部５４と、通信制限部５５とを有する。

信号中継部５２は、ドメインの異なる複数の通信網ＢＵＳａ，ＢＵＳｂの間で送受信される通信信号を中継（転送）する。すなわち、信号中継部５２は、送信元ドメインから通信信号を受信し、当該通信信号の通信転送フラグを、転送済みを示す値に変更した上で、送信先ドメインに転送する。信号中継部５２により中継された通信信号の中継履歴は、記憶部５１に記憶される。

図３は、記憶部５１に記憶される中継履歴の一例を示す図である。図３に示すように、記憶部５１には、中継履歴として、信号中継部５２により中継された通信信号のペイロード部の情報、すなわちデータの内容に関する情報が送信元ドメインごとに記憶される。

中継判定部５３は、各ＥＣＵ２ａ，２ｂのなりすまし報知部２３から報知を受けると、当該なりすまし通信の信号がゲートウェイ５により中継されたか否かを判定する。具体的には、各ＥＣＵ２ａ，２ｂから受信した、なりすまし通信による通信信号のペイロード部の情報が、記憶部５１に記憶された中継履歴に含まれるペイロード部の情報のいずれかに一致するか否かを判定する。

送信元判定部５４は、なりすまし通信の送信元が通信網ＢＵＳａに接続されたＥＣＵ２ａ（２ａ１，２ａ２）であるか、通信網ＢＵＳｂに接続されたＥＣＵ２ｂ（２ｂ１，２ｂ２）であるかを判定する。

図４Ａ〜４Ｃは、なりすまし通信の送信元の判定の一例を説明する図である。図４Ａの例では、改ざんされたＥＣＵ２００が、自身が接続された通信網ＢＵＳａと同一の通信網ＢＵＳａに接続された正当なＥＣＵ２ａ１の送信元ＩＤ「２ａ１」を利用して、同一の通信網ＢＵＳａに接続されたＥＣＵ２ａ２を攻撃対象とする、なりすまし通信を試みる。なお以下では、説明の簡略化のため、それぞれのＥＣＵ２に割り当てられる送信元ＩＤと送信先ＩＤとを同一のものとして説明するが、送信元ＩＤと送信先ＩＤとを別個に設定してもよい。

この場合、改ざんされたＥＣＵ２００から通信網ＢＵＳａに送信先ＩＤ「２ａ２」、送信元ＩＤ「２ａ１」のなりすまし信号が入力され、通信網ＢＵＳａに接続されたＥＣＵ２ａ１，２ａ２がそれぞれ当該通信信号を検出する。そして、なりすましの対象となったＥＣＵ２ａ１が送信元ＩＤに基づいて、なりすまし信号を検出し、ゲートウェイ５に対し、なりすまし通信の発生を報知するとともに、当該通信信号のペイロード部の情報を送信する。

このとき、なりすまし信号の送信元ドメインと送信先ドメインとが同一のドメインＡであるため、ゲートウェイ５は当該通信信号を中継せず、中継判定部５３は、当該通信信号がゲートウェイ５により中継されなかったと判定する。このような場合、なりすまし信号の送信元が当該なりすまし信号の検出されたドメインＡ（通信網ＢＵＳａ）であると判定することができる。

したがって、送信元判定部５４は、中継判定部５３により、なりすまし通信の通信信号がゲートウェイ５により中継されなかったと判定されると、なりすまし通信が検出されたドメインを送信元と判定する。

図４Ｂの例では、改ざんされたＥＣＵ２００が、自身が接続された通信網ＢＵＳｂと異なる通信網ＢＵＳａに接続された正当なＥＣＵ２ａ１の送信元ＩＤ「２ａ１」を利用して、自身が接続された通信網ＢＵＳｂと異なる通信網ＢＵＳａに接続されたＥＣＵ２ａ２を攻撃対象とする、なりすまし通信を試みる。

この場合、改ざんされたＥＣＵ２００から通信網ＢＵＳｂに送信先ＩＤ「２ａ２」、送信元ＩＤ「２ａ１」のなりすまし信号が入力され、通信網ＢＵＳｂに接続されたＥＣＵ２ｂ１，２ｂ２がそれぞれ当該通信信号を検出する。さらに、通信網ＢＵＳｂに入力された当該通信信号は、ゲートウェイ５（信号中継部５２）により送信元ドメインＢから送信先ドメインＡへと転送されて通信網ＢＵＳａに入力され、通信網ＢＵＳａに接続されたＥＣＵ２ａ１，２ａ２のそれぞれにより検出される。

送信先ドメインＡでは、なりすましの対象となったＥＣＵ２ａ１が送信元ＩＤに基づいて、なりすまし信号を検出し、ゲートウェイ５に対し、なりすまし通信の発生を報知するとともに、当該通信信号のペイロード部の情報を送信する。

なりすまし信号が検出されたドメインＡ（検出ドメイン）のＥＣＵ２ａ１により、なりすまし通信の発生が報知されると、ゲートウェイ５の中継判定部５３は、当該通信信号がゲートウェイ５により中継されたか否かを判定する。すなわち、なりすまし信号のペイロード部の情報と、記憶部５１に記憶された中継履歴（図３）とに基づいて、当該通信信号が検出ドメインから中継されたか否かを判定する。具体的には、図３の例では、なりすまし信号のデータ内容（ペイロード部の情報）がａ〜ｄのいずれかに一致するか否かを判定する。

例えば、なりすまし通信のデータ内容が「ｆ」であれば、当該通信信号は、検出ドメイン（ドメインＡ）から中継されたものではないと判定され、検出ドメインとは別のドメイン（ドメインＢ）から検出ドメイン（ドメインＡ）へ中継されたものであると判定される。このような場合、なりすまし信号の送信元が当該なりすまし信号の検出されたドメインＡ（通信網ＢＵＳａ）とは異なるドメインＢ（通信網ＢＵＳｂ）であると判定することができる。

したがって、送信元判定部５４は、中継判定部５３により、なりすまし信号がゲートウェイ５により中継されたと判定され、かつ、検出ドメインから中継されなかったと判定されると、検出ドメインとは異なるドメインをなりすまし通信の送信元と判定する。

図４Ｃの例では、改ざんされたＥＣＵ２００が、自身が接続された通信網ＢＵＳａと同一の通信網ＢＵＳａに接続された正当なＥＣＵ２ａ１の送信元ＩＤ「２ａ１」を利用して、自身が接続された通信網ＢＵＳａと異なる通信網ＢＵＳｂに接続されたＥＣＵ２ｂ２を攻撃対象とする、なりすまし通信を試みる。

この場合、改ざんされたＥＣＵ２００から通信網ＢＵＳａに送信先ＩＤ「２ｂ２」、送信元ＩＤ「２ａ１」のなりすまし信号が入力され、通信網ＢＵＳａに接続されたＥＣＵ２ａ１，２ａ２がそれぞれ当該通信信号を検出する。そして、なりすましの対象となったＥＣＵ２ａ１が送信元ＩＤに基づいて、なりすまし信号を検出し、ゲートウェイ５に対し、なりすまし通信の発生を報知するとともに、当該通信信号のペイロード部の情報を送信する。

なりすまし通信の発生が報知されると、ゲートウェイ５の中継判定部５３は、当該通信信号がゲートウェイ５により中継されたか否かを判定し、中継されたと判定すると、さらに、当該通信信号が検出ドメインから中継されたか否かを判定する。

具体的には、図３の例では、ペイロード部の情報がａ〜ｄのいずれかに一致するか否かを判定し、例えば「ｄ」であれば、当該通信信号は、検出ドメイン（ドメインＡ）から中継されたものであると判定される。このような場合、なりすまし信号の送信元が当該なりすまし信号の検出されたドメインＡ（通信網ＢＵＳａ）であると判定することができる。

したがって、送信元判定部５４は、中継判定部５３により、なりすまし信号がゲートウェイ５により中継されたと判定され、かつ、検出ドメインから中継されたと判定されると、検出ドメインをなりすまし通信の送信元と判定する。

通信制限部５５は、必要に応じて、送信元判定部５４により、なりすまし通信の送信元であると判定されたドメインからの通信を制限、例えば、そのドメインからの通信信号のゲートウェイ５による中継を禁止（遮断）する。

なお、各ＥＣＵ２ａ，２ｂのなりすまし判定部２２が、検出した通信信号の通信転送フラグを参照して、送信元のドメインを判定してもよい。すなわち、通信転送フラグの情報に基づいて、なりすまし通信の通信信号がゲートウェイ５により中継（転送）されたものであると判定される場合は、なりすまし通信の送信元は自身のドメインとは異なるドメインであると判定する。なりすまし通信の通信信号が転送されたものではないと判定される場合は、なりすまし通信の送信元は自身のドメインと同一のドメインであると判定する。

この場合、各ＥＣＵ２ａ，２ｂのなりすまし報知部２３は、なりすまし通信による通信信号のペイロード部の情報に代えて、なりすまし通信の送信元であると判定されたドメインの情報をゲートウェイ５に送信する。

図５は、不正信号処理装置１００により実行される処理の一例を示すフローチャートであり、予め記憶されたプログラムに従い、各ＥＣＵ２ａ，２ｂの演算部２０で実行される、なりすまし判定処理、およびゲートウェイ５の演算部５０で実行される通信制限処理の一例を示す。このフローチャートに示す処理は、例えば、車両１が起動されて車載通信網に電源が供給されると開始され、所定周期で繰り返される。

各ＥＣＵ２ａ，２ｂによる、なりすまし判定処理では、まず、ステップＳ１で、なりすまし判定部２２での処理により通信信号を検出したか否かを判定する。ステップＳ１は肯定されるまで繰り返される。ステップＳ１で肯定されるとステップＳ２に進み、ヘッダ部の情報に基づいて、ステップＳ１で検出された通信信号がなりすまし通信によるものか否かを判定する。

ステップＳ２で肯定されるとステップＳ３に進み、ステップＳ１で検出された、なりすまし通信による通信信号のペイロード部の情報をゲートウェイ５に送信する。一方、ステップＳ２で否定されると各ＥＣＵ２ａ，２ｂでの処理を終了する。

ゲートウェイ５による通信制限処理では、まず、ステップＳ４で、中継判定部５３での処理により、各ＥＣＵ２ａ，２ｂから送信された、なりすまし通信による通信信号のペイロード部の情報を受信する。次いで、ステップＳ５で、ステップＳ４で受信されたペイロード部の情報が記憶部５１に記憶された中継履歴に含まれるペイロード部の情報のいずれかに一致するか否かを判定する。

ステップＳ５で肯定されると、ステップＳ６に進む。一方、ステップＳ５で否定されると、ステップＳ７に進み、送信元判定部５４での処理により、なりすまし通信が検出されたドメインを送信元と判定する。

ステップＳ６では、中継判定部５３での処理により、なりすまし通信が検出されたドメインから別のドメインへ中継されたか否かを判定する。ステップＳ６で肯定されると、ステップＳ７に進み、送信元判定部５４での処理により、なりすまし通信が検出されたドメインを送信元と判定する。一方、ステップＳ６で否定されると、ステップＳ８に進み、なりすまし通信が検出されたドメインとは異なるドメインを送信元と判定する。

次いで、ステップＳ９で、通信制限部５５での処理により、必要に応じて、ステップＳ７またはＳ８で、なりすまし通信の送信元であると判定されたドメインからの通信を制限する。これにより、ゲートウェイ５によるなりすまし信号の中継を禁止することができる。

本実施形態に係る不正信号処理装置１００の主要な動作についてより具体的に説明する。車両１のＥＣＵ２（図１）が車両１の駐車中などに改ざんされたものとする。ユーザが車両１を始動すると、車載通信網に電源が供給され、改ざんされたＥＣＵ２００（図４Ａ〜４Ｃ）が、例えばＥＣＵ２ａ１の送信元ＩＤ「２ａ１」を使用して、なりすまし通信を試みる。

ＥＣＵ２ａ１が、通信網ＢＵＳａを介して、自身のＩＤと同一の送信元ＩＤを使用する通信信号を検出すると、なりすまし通信による通信信号であると判定し、ゲートウェイ５に対し、なりすまし通信の発生と、その通信信号のペイロード部の情報とを報知する（図５のステップＳ１〜Ｓ３）。

ＥＣＵ２ａ１から報知を受けたゲートウェイ５は、なりすまし通信のデータ内容（例えば、「ｆ」）を中継履歴（図３）と比較する。なりすまし通信のデータ内容が中継履歴に含まれ、かつ検出ドメインとは別のドメインＢから検出ドメインへ中継されている場合は、なりすまし通信の送信元がＥＣＵ２ａ１の属するドメインＡ（検出ドメイン）とは異なるドメインＢ、すなわち通信網ＢＵＳｂであると判定する（ステップＳ４〜Ｓ６、Ｓ８）（図４Ｂ）。

同様に、ＥＣＵ２ａ１が、通信網ＢＵＳａを介して、自身のＩＤと同一の送信元ＩＤを使用する通信信号を検出すると、なりすまし通信による通信信号であると判定し、ゲートウェイ５に対し、なりすまし通信の発生と、その通信信号のペイロード部の情報とを報知する（ステップＳ１〜Ｓ３）。

ＥＣＵ２ａ１から報知を受けたゲートウェイ５は、なりすまし通信のデータ内容（例えば、「ｋ」）を中継履歴（図３）と比較する。なりすまし通信のデータ内容が中継履歴に含まれない場合は、なりすまし通信の送信元がＥＣＵ２ａ１の属するドメインＡ、すなわち通信網ＢＵＳａであると判定する（ステップＳ４〜Ｓ６、Ｓ８）（図４Ａ）。

また、なりすまし通信の内容（例えば、「ｄ」）が中継履歴に含まれ、かつ検出ドメインから別のドメインＢへ中継されている場合は、なりすまし通信の送信元がＥＣＵ２ａ１の属するドメインＡ（検出ドメイン）、すなわち通信網ＢＵＳａであると判定する（ステップＳ４〜Ｓ７）（図４Ｃ）。

ゲートウェイ５は、必要に応じて、なりすまし通信の送信元であると判定されたドメインからの通信を制限する（ステップＳ９）。これにより、なりすまし通信の送信元である改ざんされたＥＣＵ２ａ２を含む通信網ＢＵＳｂからの通信を制限し、車載通信網に対する攻撃を制限することができる。

また、改ざんされたＥＣＵ２ａ２が含まれる通信網ＢＵＳｂを特定することで、ＥＣＵ２の交換や復旧を行うべき範囲を絞り込むことが可能となり、保守にかかる工数や費用を低減することができる。

不正信号処理装置１００では、通信信号に含まれる情報のうち、なりすまし通信において偽の情報が使用されるヘッダ部の送信元ＩＤの情報ではなく、ペイロード部に含まれるデータの内容の情報に基づいて、なりすまし通信の送信元を特定する。通信信号に含まれる情報のうち、改ざんＥＣＵによる攻撃内容そのものであるデータの内容に基づいて中継の判定を行うことで、なりすまし通信の送信元を確実に特定することができる。

本実施形態によれば以下のような作用効果を奏することができる。
（１）不正信号処理装置１００は、通信網ＢＵＳａに接続され、通信網ＢＵＳａを介して受信した通信信号が不正な信号であるか否かを判定するＥＣＵ２ａ（ＥＣＵ２ａ１，２ａ２）と、通信網ＢＵＳｂに接続され、通信網ＢＵＳｂを介して受信した通信信号が不正な信号であるか否かを判定するＥＣＵ２ｂ（ＥＣＵ２ｂ１，２ｂ２）と、通信網ＢＵＳａと通信網ＢＵＳｂとがそれぞれ接続され、通信網ＢＵＳａと通信網ＢＵＳｂとの間で送受信される通信信号を中継する信号中継部５２と、信号中継部５２により中継された通信信号の中継履歴を記憶する記憶部５１と、ＥＣＵ２ａ（ＥＣＵ２ａ１，２ａ２）により、通信網ＢＵＳａを介して受信した通信信号が不正な信号であると判定されると、記憶部５１に記憶された中継履歴に基づいて、ＥＣＵ２ａ（ＥＣＵ２ａ１，２ａ２）により不正な信号であると判定された通信信号が通信網ＢＵＳａと通信網ＢＵＳｂとのうちのいずれの通信網を介して入力されたかを判定する送信元判定部５４と、を備える（図１、図２）。

これにより、通信網ＢＵＳａ，ＢＵＳｂに入力された、なりすまし通信による通信信号などの不正な信号の送信元を特定することができる。例えば、改ざんされたＥＣＵ２００が含まれる通信網ＢＵＳａ，ＢＵＳｂを特定できるため、車載通信網のうちの通信を制限すべき範囲を絞り込むことが可能となり、車載通信網に対する攻撃を効率的に制限することができる。また、改ざんされたＥＣＵ２００の交換、復旧を行うべき範囲を絞り込むことが可能となり、保守にかかる工数や費用を低減することができる。

（２）不正信号処理装置１００は、ＥＣＵ２ａにより、通信網ＢＵＳａを介して受信した通信信号が不正な信号であると判定されると、記憶部５１に記憶された中継履歴に基づいて、ＥＣＵ２ａにより不正な信号であると判定された通信信号が信号中継部５２により中継されたか否かを判定する中継判定部５３をさらに備える（図２）。

送信元判定部５４は、中継判定部５３により、ＥＣＵ２ａにより不正な信号であると判定された通信信号が信号中継部５２により中継されなかったと判定されると、ＥＣＵ２ａにより不正な信号であると判定された通信信号が通信網ＢＵＳａを介して入力されたと判定する。

これにより、図４Ａに示すように、不正な信号が検出されたドメインと同一のドメインで発生し、不正な信号が検出されたドメインのＥＣＵを攻撃対象とする不正な信号の送信元ドメインを特定することができる。

（３）中継判定部５３は、ＥＣＵ２ａにより不正な信号であると判定された通信信号が信号中継部５２により中継されたと判定されると、さらに、当該通信信号が通信網ＢＵＳａから中継されたか否かを判定する。

送信元判定部５４は、中継判定部５３により、ＥＣＵ２ａにより不正な信号であると判定された通信信号が信号中継部５２により中継されたと判定され、かつ、通信網ＢＵＳａから中継されなかった、すなわち、通信網ＢＵＳａへ中継されたと判定されると、ＥＣＵ２ａにより不正な信号であると判定された通信信号が通信網ＢＵＳｂを介して入力されたと判定する。

これにより、図４Ｂに示すように、不正な信号が検出されたドメインとは別のドメインで発生し、不正な信号が検出されたドメインのＥＣＵを攻撃対象とする不正な信号の送信元ドメインを特定することができる。

（４）送信元判定部５４は、中継判定部５３により、ＥＣＵ２ａにより不正な信号であると判定された通信信号が信号中継部５２により中継されたと判定され、かつ、通信網ＢＵＳａから中継されたと判定されると、ＥＣＵ２ａにより不正な信号であると判定された通信信号が通信網ＢＵＳａを介して入力されたと判定する。

これにより、図４Ｃに示すように、不正な信号が検出されたドメインと同一のドメインで発生し、不正な信号が検出されたドメインとは別のドメインのＥＣＵを攻撃対象とする不正な信号の送信元ドメインを特定することができる。

（５）通信信号は、当該通信信号の送信元の送信元ＩＤを示すヘッダ部を含む。ＥＣＵ２ａ（ＥＣＵ２ａ１，２ａ２）およびＥＣＵ２ｂ（ＥＣＵ２ｂ１，２ｂ２）のそれぞれには、互いに異なる送信元ＩＤが予め割り当てられる。ＥＣＵ２ａ，２ｂは、自身に予め割り当てられた送信元ＩＤを送信元の識別情報としてヘッダ部に含む通信信号を不正な信号（なりすまし信号）であると判定する。

（６）通信信号は、当該通信信号のデータ内容を示すペイロード部を含む。記憶部５１は、信号中継部５２により中継された通信信号のペイロード部の情報を中継履歴として記憶し、中継判定部５３は、記憶部５１に記憶された中継履歴に基づいて、ＥＣＵ２ａ（ＥＣＵ２ａ１，２ａ２）によりなりすまし信号であると判定された通信信号のペイロード部が信号中継部５２により中継された通信信号のペイロード部に一致するか否かを判定することにより、通信信号が信号中継部５２により中継されたか否かを判定する。

すなわち、なりすまし通信による通信信号などの不正な信号に含まれる情報のうち、車載通信網に対する攻撃内容そのものであるペイロード部に含まれるデータの内容に基づいて中継の判定を行うことで、なりすまし通信の送信元を確実に特定することができる。

（７）信号中継部５２は、送信元判定部５４による判定結果に応じて、通信網ＢＵＳａまたは通信網ＢＵＳｂを介して入力された通信信号の中継を禁止する。これにより、改ざんされたＥＣＵ２００など、不正な信号の送信元が含まれる通信網ＢＵＳａ，ＢＵＳｂからの通信を制限し、車載通信網に対する攻撃を制限することができる。

（８）不正信号処理装置１００は、ユニット化された信号中継部５２と、記憶部５１と、中継判定部５３と、送信元判定部５４と、を有するゲートウェイ５をさらに備える。車載通信網全体の通信信号を監視するゲートウェイ５が不正な信号の送信元ドメインを特定するため、不正信号処理装置１００全体を簡易な構成とすることができる。

上記実施形態は種々の形態に変更することができる。以下、変形例について説明する。上記実施形態では、信号中継部５２が中継する通信信号の通信規格としてＣＡＮを例示したが、中継部が中継する通信信号はこれに限らない。すなわち、通信網ＢＵＳａ，ＢＵＳｂはＣＡＮ以外の通信規格によるものでもよく、通信網ＢＵＳａ，ＢＵＳｂの通信規格が互いに異なるものであってもよい。

上記実施形態では、各ＥＣＵ２ａ，２ｂに、なりすまし判定部２２およびなりすまし報知部２３を設けるようにしたが、第１、第２通信網を介して受信した通信信号が不正な信号であるか否かを判定する第１、第２機器の構成はこれに限らない。例えば、各ＥＣＵ２ａ，２ｂとは別の、通信網ＢＵＳａ全体の通信信号を監視する専用の機器、通信網ＢＵＳｂ全体の通信信号を監視する専用の機器に、なりすまし判定部２２およびなりすまし報知部２３を設けてもよい。

上記実施形態では、不正信号処理装置１００を車両１の車載通信網に適用されるものとして例示したが、不正信号処理装置はこのようなものに限らない。複数の通信網間で送受信される通信信号を中継する中継部を含む通信網であれば、どのようなものにも適用することができる。

以上の説明はあくまで一例であり、本発明の特徴を損なわない限り、上述した実施形態および変形例により本発明が限定されるものではない。上記実施形態と変形例の１つまたは複数を任意に組み合わせることも可能であり、変形例同士を組み合わせることも可能である。

１ 車両、２（２ａ（２ａ１，２ａ２），２ｂ（２ｂ１，２ｂ２）） ＥＣＵ、３ ＴＣＵ、４ ＤＬＣ、５ ゲートウェイ、６ 診断機、２０ 演算部、２１ 記憶部、２２ なりすまし判定部、２３ なりすまし報知部、５０ 演算部、５１ 記憶部、５２ 信号中継部、５３ 中継判定部、５４ 送信元判定部、５５ 通信制限部、１００ 不正信号処理装置

Claims (9)

1. 第１通信網に接続され、前記第１通信網を介して受信した通信信号が不正な信号であるか否かを判定する第１機器と、
   第２通信網に接続され、前記第２通信網を介して受信した通信信号が不正な信号であるか否かを判定する第２機器と、
   前記第１通信網と前記第２通信網とがそれぞれ接続され、前記第１通信網と前記第２通信網との間で送受信される通信信号を中継する中継部と、
   前記中継部により中継された前記通信信号の中継履歴を記憶する記憶部と、
   前記第１機器により、前記第１通信網を介して受信した前記通信信号が不正な信号であると判定されると、前記記憶部に記憶された前記中継履歴に基づいて、前記第１機器により不正な信号であると判定された前記通信信号が前記第１通信網と前記第２通信網とのうちのいずれの通信網を介して入力されたかを判定する送信元判定部と、を備えることを特徴とする不正信号処理装置。
2. 請求項１に記載の不正信号処理装置において、
   前記第１機器により、前記第１通信網を介して受信した前記通信信号が不正な信号であると判定されると、前記記憶部に記憶された前記中継履歴に基づいて、前記第１機器により不正な信号であると判定された前記通信信号が前記中継部により中継されたか否かを判定する中継判定部をさらに備え、
   前記送信元判定部は、前記中継判定部により、前記第１機器により不正な信号であると判定された前記通信信号が前記中継部により中継されなかったと判定されると、前記第１機器により不正な信号であると判定された前記通信信号が前記第１通信網を介して入力されたと判定することを特徴とする不正信号処理装置。
3. 請求項１に記載の不正信号処理装置において、
   前記第１機器により、前記第１通信網を介して受信した前記通信信号が不正な信号であると判定されると、前記記憶部に記憶された前記中継履歴に基づいて、前記第１機器により不正な信号であると判定された前記通信信号が前記中継部により前記第１通信網へ中継されたか否かを判定する中継判定部をさらに備え、
   前記送信元判定部は、前記中継判定部により、前記第１機器により不正な信号であると判定された前記通信信号が前記中継部により前記第１通信網へ中継されたと判定されると、前記第１機器により不正な信号であると判定された前記通信信号が前記第２通信網を介して入力されたと判定することを特徴とする不正信号処理装置。
4. 請求項１に記載の不正信号処理装置において、
   前記第１機器により、前記第１通信網を介して受信した前記通信信号が不正な信号であると判定されると、前記記憶部に記憶された前記中継履歴に基づいて、前記第１機器により不正な信号であると判定された前記通信信号が前記中継部により前記第１通信網から中継されたか否かを判定する中継判定部をさらに備え、
   前記送信元判定部は、前記中継判定部により、前記第１機器により不正な信号であると判定された前記通信信号が前記中継部により前記第１通信網から中継されたと判定されると、前記第１機器により不正な信号であると判定された前記通信信号が前記第１通信網を介して入力されたと判定することを特徴とする不正信号処理装置。
5. 請求項１に記載の不正信号処理装置において、
   前記第１機器により、前記第１通信網を介して受信した前記通信信号が不正な信号であると判定されると、前記記憶部に記憶された前記中継履歴に基づいて、前記第１機器により不正な信号であると判定された前記通信信号が前記中継部により中継されたか否かを判定し、中継されたと判定されると、さらに、前記第１通信網から中継されたか否かを判定する中継判定部をさらに備え、
   前記送信元判定部は、
   前記中継判定部により、前記第１機器により不正な信号であると判定された前記通信信号が前記中継部により中継されなかったと判定されると、前記第１機器により不正な信号であると判定された前記通信信号が前記第１通信網を介して入力されたと判定し、 前記中継判定部により、前記第１機器により不正な信号であると判定された前記通信信号が前記中継部により中継されたと判定され、かつ、前記第１通信網から中継されなかったと判定されると、前記第１機器により不正な信号であると判定された前記通信信号が前記第２通信網を介して入力されたと判定し、
   前記中継判定部により、前記第１機器により不正な信号であると判定された前記通信信号が前記中継部により中継されたと判定され、かつ、前記第１通信網から中継されたと判定されると、前記第１機器により不正な信号であると判定された前記通信信号が前記第１通信網を介して入力されたと判定することを特徴とする不正信号処理装置。
6. 請求項１〜５のいずれか１項に記載の不正信号処理装置において、
   前記通信信号は、当該通信信号の送信元の識別情報を示すヘッダ部を含み、
   前記第１機器および前記第２機器のそれぞれには、互いに異なる識別情報が予め割り当てられ、
   前記第１機器および前記第２機器は、自身に予め割り当てられた識別情報を送信元の識別情報として前記ヘッダ部に含む通信信号を不正な信号であると判定することを特徴とする不正信号処理装置。
7. 請求項１〜６のいずれか１項に記載の不正信号処理装置において、
   前記通信信号は、当該通信信号のデータ内容を示すペイロード部を含み、
   前記記憶部は、前記中継部により中継された前記通信信号の前記ペイロード部の情報を前記中継履歴として記憶し、
   前記中継判定部は、前記記憶部に記憶された前記中継履歴に基づいて、前記第１機器により不正な信号であると判定された前記通信信号の前記ペイロード部が前記中継部により中継された前記通信信号の前記ペイロード部に一致するか否かを判定することにより、前記通信信号が前記中継部により中継された否かを判定することを特徴とする不正信号処理装置。
8. 請求項１〜７のいずれか１項に記載の不正信号処理装置において、
   前記中継部は、前記送信元判定部による判定結果に応じて、前記第１通信網または前記第２通信網を介して入力された前記通信信号の中継を禁止することを特徴とする不正信号処理装置。
9. 請求項１〜８のいずれか１項に記載の不正信号処理装置において、
   ユニット化された前記中継部と、前記記憶部と、前記中継判定部と、前記送信元判定部と、を有する中継装置をさらに備えることを特徴とする不正信号処理装置。
   

Images