JP2020145490A - 通信監視装置 - Google Patents

Abstract

【課題】より高いセキュリティが確保可能な通信監視装置を提供する。【解決手段】通信監視装置は、複数の制御装置（１３ａ〜１３ｃ、２００）の間で送受信される通信フレームを受信可能な通信部（１２１）と、複数の制御装置の間で送受信される複数の通信フレーム間で満たすべき関係性を示す関係性データ（１２３ａ）を記憶した記憶部（１２３）と、関係性データを参照し、通信フレームのうちで関係性を逸脱している通信フレームを不正通信フレームとして検知する検知部（１２５）と、検知部が不正通信フレームを検知した場合に、設定された処理を実行する処理部（１２２、１２６）と、を備えている。【選択図】図１

Description

本発明は、複数の制御装置の間で送受信される通信フレームを監視する通信監視装置に関する。

例えば、車両のなかには、ＥＣＵ（Electronic Control Unit）と呼ばれる制御装置が複数、搭載されているものがある。車両に搭載された複数のＥＣＵは、通常、有線通信ネットワークで接続されている。それにより、各ＥＣＵは、通信フレームの送受信により、必要な情報を他のＥＣＵから取得できるようになっている。

またＥＣＵのなかには、搭載された車両が備える無線通信機能を用いて、車両外部に存在する制御装置と無線通信を行うものがある。車両外部に存在する制御装置とは、例えば他の車両に搭載されたＥＣＵ、路側機に用いられた制御装置、メーカが設置したサーバー、等である。サーバーを設置するメーカは、例えば車両メーカ、或いは車載部品供給メーカである。ここでは、便宜的に、車両外部に存在する制御装置を「外部制御装置」と総称する。

ＥＣＵと外部制御装置との間の通信により、車両は、車両設計者が期待する制御を行うことができる。しかし、外部制御装置との間で行った通信が車両の制御に反映されることから、第三者が送信させる通信フレームにより、車両に不正な制御を行わせることも可能である。このことから、従来、あらかじめ設定された受信周期とは異なるタイミングで受信する通信フレームを不正攻撃により送信された通信フレームと車両が見做すことで、車両が不正攻撃を検知して、不正な制御を防ぐことが行われている（例えば、特許文献１参照）。

国際公開第２０１４／１１５４５５号

ＥＣＵ間で送受信される通信フレームには、定めたイベントトリガの発生により、受信周期に関係なく送受信される通信フレームも存在する。そのような通信フレームは、受信周期による不正攻撃の検知の対象外となる。また、第三者が通信フレームを送信させるタイミングによっては、その通信フレームが有効と見做される恐れもある。

本発明は、かかる問題点を解決するためになされたもので、より高いセキュリティが確保可能な通信監視装置を提供することを目的とする。

本発明に係る通信監視装置は、複数の制御装置の間で送受信される通信フレームを受信可能な通信部と、複数の制御装置の間で送受信される複数の通信フレーム間で満たすべき関係性を示す関係性データを記憶した記憶部と、関係性データを参照し、通信フレームのうちで関係性を逸脱している通信フレームを不正通信フレームとして検知する検知部と、検知部が不正通信フレームを検知した場合に、設定された処理を実行する処理部と、を備えている。

本発明によれば、より高いセキュリティを確保することができる。

本発明の実施の形態１に係る通信監視装置を用いて構築されたネットワークシステムの構成例を示す図である。 複数の通信フレームにそれぞれ格納された情報から生成された関係性データの例を説明する図である。 複数の通信フレームの送信順序から生成された関係性データの例を説明する図である。 各ＥＣＵが送受信する通信フレームの構成例を示す図である。 本発明の実施の形態１に係る通信監視装置を構成する制御部が通信フレームの受信により実行する監視処理の例を示すフローチャートである。 本発明の実施の形態１に係る通信監視装置を用いて構築された別のネットワークシステムの構成例を示す図である。

以下、本発明に係る通信監視装置の各実施の形態を、図を参照して説明する。各図では、同一の要素、同一と見なせる要素、または対応する要素には、同一符号を付している。

実施の形態１．
図１は、本発明の実施の形態１に係る通信監視装置を用いて構築されたネットワークシステムの構成例を示す図である。

このネットワークシステム１は、図１に示すように、車両１００とサーバー２００とを通信ネットワーク３００により接続させた構成となっている。通信ネットワーク３００は、例えば無線通信ネットワークである。サーバー２００は、車両１００の運転者を含むユーザに対し、より快適なサービスを提供するために車両メーカ、或いは車載部品供給メーカが設置した制御装置である。

車両１００は、図１に示すように、車外通信ユニット１１、ゲートウェイ１２、及びＥＣＵ１３ａ〜１３ｃの計３台の制御装置、を備える。ここでは、ＥＣＵ１３ａ〜１３ｃのうちの任意の１台以上のＥＣＵには符号として「１３」を付すこととする。ＥＣＵ１３ａ〜１３ｃは、本実施の形態１における第１の制御装置に相当する。

車外通信ユニット１１は、車両１００の外部に存在する制御装置との間の通信用である。サーバー２００との通信ネットワーク３００を介した通信は、車外通信ユニット１１により行われる。車外通信ユニット１１が備える転送部１１１は、ゲートウェイ１２と通信ネットワーク３００を介したサーバー２００との間の通信を中継する。

ゲートウェイ１２は、各ＥＣＵ１３間、及び各ＥＣＵ１３と車外通信ユニット１１との間の通信を中継する。このゲートウェイ１２は、図１に示すように、送受信部群１２１、制御部１２２、記憶部１２３、関係性更新部１２４、逸脱判定部１２５、及び通報部１２６、を備えている。

本実施の形態１による通信監視装置は、このゲートウェイ１２上に実現されている。ゲートウェイ１２上に通信監視装置を実現させたのは、上記のように、ゲートウェイ１２は、各ＥＣＵ１３間、各ＥＣＵ１３と車外通信ユニット１１との間の通信を中継するからである。言い換えれば、ゲートウェイ１２は、車両１００のＥＣＵ１３ａ〜１３ｃを含む制御装置間、及び車両１００の各制御装置とサーバー２００のような外部制御装置との間で送受信される通信フレームを監視するうえで、最適な装置だからである。

ネットワークトポロジーによっては、通信監視装置は専用の装置として配置することができる。このこともあり、通信監視装置の配置は、特に限定されない。つまり、通信監視装置は、送受信される通信フレームを直接的に、或いは間接的に監視できる位置に配置すれば良いものである。なお、通信フレームは、ここでは送受信されるデータの単位の総称として用いている。

図１に示す構成要素１２１〜１２６は、通信監視装置の構成要素である。ここでは、便宜的に、通信監視装置を実現させる構成要素１２１〜１２６にのみ着目し、説明を行うこととする。その説明の前に、各ＥＣＵ１３ａ〜１３ｃについて具体的に説明する。

ＥＣＵ１３ａは、例えばパワーステアリングなどの機能を実現させるシャシー系ドメインＥＣＵである。ＥＣＵ１３ｂは、例えば高度運転支援機能を実現させる安全系ドメインＥＣＵである。高度運転支援機能には、例えば衝突軽減ブレーキ機能、車線維持機能、誤発進抑制機能、車線逸脱通知機能などが含まれる。

ＥＣＵ１３ｃは、例えばヘッドライト制御、ウインドウ制御の機能を備え、シートに対する圧力検知、シートベルトの装着、装着解除の検知、ドアの解錠、施錠、等を行うボディ系ドメインＥＣＵである。各ＥＣＵ１３ａ〜１３ｃは、センサ等により得られた入力情報、生成した制御情報の一部、或いは全てを他のＥＣＵ１３に送信する。それにより、各ＥＣＵ１３ａ〜１３ｃは、他のＥＣＵ１３から得られた情報を必要に応じて制御に用いる。送信対象となる入力情報、制御情報の一部、或いは制御情報の全ては、データ本体として通信フレーム中に格納される。

なお、車両１００には、ＥＣＵ１３ａ〜１３ｃの他に、車両１００の駆動を担うパワートレイン系ドメインＥＣＵ等も搭載されている。しかし、図１ではそのＥＣＵは省いている。車両１００に制御装置として搭載されるＥＣＵ１３は、図１に示すようなものに限定されない。制御装置は、ＥＣＵ１３とは異なる種類の情報処理装置であっても良い。

ＥＣＵ１３ａは、図１に示すように、送受信部１３１、制御部１３２、１つ以上のセンサ１３３、及び１つ以上のアクチュエータ１３４を備えている。センサ１３３、及びアクチュエータ１３４は、通常、ＥＣＵ１３ａの外部に存在する。ここでは、ＥＣＵ１３ａとの関係を明確にするために、センサ１３３、及びアクチュエータ１３４をＥＣＵ１３ａ内に示している。これは、他のＥＣＵ１３ｂ、１３ｃでも同様である。

送受信部１３１は、ゲートウェイ１２との間の通信用である。センサ１３３のうちの少なくとも一つは、運転者が操舵するステアリングホイールの操舵角の検出に用いられる。アクチュエータ１３４は、運転者による操舵をアシストするトルクを発生させる。制御部１３２は、センサ１３３によって検出された操舵角、ＥＣＵ１３ｃから通知される車両１００の速度である車速等に応じてアクチュエータ１３４を制御し、適切なトルクをアシスト力としてアクチュエータ１３４に発生させる。制御部１３２は、送受信部１３１を用いて、アシスト力として発生させたトルクを示す操舵アシスト量をＥＣＵ１３ｂ、及び１３ｃのうちの少なくとも一方に通知する。

ＥＣＵ１３ｂは、図１に示すように、送受信部１３１、制御部１３２、及び複数のセンサ１３３を備える。複数のセンサ１３３には、例えばミリ波レーダー、前方カメラ、後方カメラ、側方カメラ、レーザーレーダー、超音波センサ、乗員監視カメラなどが含まれる。

ＥＣＵ１３ｂの制御部１３２は、複数のセンサ１３３から得られた情報を統合して、走る・曲がる・止まるといった車両１００の走行状態に応じた適切な制御をＥＣＵ１３ａ、１３ｃが行うために必要な各種情報を生成する。制御部１３２は、例えば、複数のセンサ１３３として、車内カメラ、車内レーダー等がそれぞれ出力する情報を用いて乗員監視を行い、乗員の動作、姿勢、状態を特定する。乗員の動作、姿勢、及び状態の特定には、画像認識技術が用いられる。生成された情報の一部、或いは全ては、制御部１３２の制御により、送受信部１３１を介して、ＥＣＵ１３ａ、及び１３ｃのうちの少なくとも一方に送信される。

ＥＣＵ１３ｂの制御部１３２は、複数のセンサ１３３から得られた情報を用いて、乗員監視を行う。この乗員監視には、複数のセンサ１３３として、例えば乗員監視カメラ、車内レーダー等が用いられる。それにより、制御部１３２は、乗員、特に運転者の有無、運転者の姿勢、運転者の状態、等を判断し、判断した結果の一部、或いは全てを送受信部１３１によりＥＣＵ１３ａ、及び１３ｃのうちの少なくとも一方に通知する。

ＥＣＵ１３ｃは、図１に示すように、送受信部１３１、制御部１３２、１つ以上のセンサ１３３、及び１つ以上のアクチュエータ１３４を備えている。センサ１３３としては、例えば外部の明るさを検出する照度センサ、座席に設置した圧力センサ、シートベルトの装着の有無を検出するセンサ、速度計等が含まれる。アクチュエータ１３４としては、車両１００に設けられたウインドウの昇降用のものが含まれる。

ＥＣＵ１３ｃの制御部１３２は、各種センサ１３３から得られた情報を処理して、必要に応じて、アクチュエータ１３４の駆動を含む制御を行う。それにより、車両１００は、ヘッドライトのオン／オフ、配光の調整、等を含め、自律的に動作する。制御部１３２は、何れかのセンサ１３３により得た情報、その情報から生成した制御情報の一部、或いは全てを送受信部１３１によりＥＣＵ１３ａ、１３ｂのうちの少なくとも一方に送信する。例えば圧力センサにより得られた情報は、ＥＣＵ１３ｂに少なくとも送信され、運転者の有無の判断に用いられる。速度計により得られた速度情報は、ＥＣＵ１３ａにおいて、操舵アシスト量の決定に用いられる。ここでは、便宜的に、センサ１３３から直接、或いは直接的に得られる情報を「入力情報」、その入力情報を処理して得られる情報を「制御情報」とそれぞれ定義する。

ゲートウェイ１２、つまり通信監視装置の説明に戻る。送受信部群１２１は、例えば車外通信ユニット１１との通信用の送受信部と、各ＥＣＵ１３との通信用の送受信部とを少なくとも含む。送受信部群１２１は、通信フレームの中継に不可欠であることから、ゲートウェイ１２の構成要素でもある。この２つの送受信部は共に、制御装置が送信する通信フレームが受信可能であることから、本実施の形態１における通信部に相当する。

記憶部１２３は、例えば不揮発性の半導体メモリである。この半導体メモリは、例えばＥＰＲＯＭ（Erasable Programmable Read Only Memory）、或いはフラッシュメモリである。この記憶部１２３には、関係性データ１２３ａが記憶される。

ここで、図２及び図３を参照し、関係性データ１２３ａについて具体的に説明する。図２は、複数の通信フレームにそれぞれ格納された情報から生成された関係性データの例を説明する図である。図３は、複数の通信フレームの送信順序から生成された関係性データの例を説明する図である。

関係性データ１２３ａは、複数の通信フレーム間で満たすべき関係性を示すデータである。その関係性データ１２３ａは、図２及び図３に示すように、複数の通信フレームにそれぞれデータ本体として格納された情報間の対応関係から生成されたものと、複数の通信フレームの送信順序関係から生成されたものと、に大別される。ここでは、便宜的に、前者を「情報関係性データ」、後者を「順序関係性データ」とそれぞれ表記して区別する。符号としては、共に「１２３ａ」を付す。通信フレーム中にデータ本体として格納された情報は、他と区別するために、「通知情報」と表記し、通知情報が表す内容は「状態量」と総称する。

ＥＣＵ１３間では、上記のように、入力情報、或いは制御情報が通知情報として格納された通信フレームの送受信が行われる。各ＥＣＵ１３では、他のＥＣＵ１３から受信した通信フレーム中に格納された通知情報を反映させた制御が行われる。そのため、各ＥＣＵ１３間で送受信される通信フレーム中の通知情報が表す状態量は、車両１００の状況に応じて変化するだけでなく、状態量間に対応関係、言い換えれば依存関係が存在する場合が多い。本実施の形態１では、このことに着目し、複数の通信フレーム間で満たすべき条件である関係性を表すデータとして、関係性データ１２３ａを用意する。なお、状態量の種類は、通常、通信フレームを送信するＥＣＵ１３によって異なる。

このような関係性データ１２３ａは、ＥＣＵ１３に送信される通信フレームの監視に用いられる。それにより、本実施の形態１では、関係性データ１２３ａが表す関係性を満たしていない通信フレーム、つまり関係性を逸脱している通信フレームは、第三者が不正に送信させた通信フレームと見做し、処理させる。これは、関係性を逸脱した通信フレームは、そのときの車両１００の状況にとって好ましくない制御を行わせる確率が非常に高いと考えられるためである。

本実施の形態１では、不正と見做す通信フレーム、つまり不正通信フレームが検知された場合、例えばその不正通信フレームを破棄させる処理を行わせ、その不正通信フレームを送信先とするＥＣＵ１３に送信させないようにしている。本実施の形態１では、不正通信フレームが検知された旨を外部の情報処理装置に通報する処理を併せて行うようにしている。不正通信フレームが検知された際の処理は、このような処理に限定されない。

このように、関係性データ１２３ａを用意することにより、複数の通信フレームを対象に、通知情報が表す状態量を考慮した監視ができる。そのため、受信周期に従って送受信される通信フレームはもとより、定めたイベントトリガの発生により、受信周期に関係なく送受信される通信フレームにも対応することができる。そのように幅広い通信フレームに対応可能なことから、より高いセキュリティをより確実に確保することができる。

関係性データ１２３ａを参照しての通信フレームの監視、言い換えれば不正通信フレームの検知は、逸脱判定部１２５によって行われる。このことから、逸脱判定部１２５は、本実施の形態１における検知部に相当する。不正通信フレームの破棄は、制御部１２２の制御により行われる。そのため、制御部１２２は、本実施の形態１における処理部に相当する。外部の情報処理装置への通報は、制御部１２２が通報部１２６を制御することにより実現される。このことから、本実施の形態１における処理部としては、制御部１２２の他に、通報部１２６も相当する。外部の情報処理装置への通報は、例えば定めた内容の通信フレームの送信により行われる。

本実施の形態１では、外部の情報処理装置はサーバー２００としている。このことから、サーバー２００は、本実施の形態１において、１台の制御装置、及び情報処理装置の両方に相当する。

何れかのＥＣＵ１３で実行されるプログラムに存在する不具合により、不適切な通知情報を格納した通信フレームが送信される可能性がある。そのような不適切な通信フレームは、関係性データ１２３ａを参照した監視により検知することが可能である。そのため、不正通信フレームの検知を通報するようにした場合、プログラムに存在する不具合に対し、より早期に対応できるという効果も期待できる。

関係性データ１２３ａの生成は、例えば以下のようにして行うことができる。なお、図１に示す構成例において、この関係性データ１２３ａの生成は、関係性更新部１２４によって行われる。関係性更新部１２４は、外部から送信された関係性データ１２３ａを記憶部１２３に保存する機能も備えている。関係性更新部１２４は、本実施の形態１における生成部に相当する。

例えば、各ＥＣＵ１３から送信される通信フレーム中の通知情報が表す状態量の種類を、車両１００の走行状態Ｘ、車両１００の周辺状況Ｙ、運転者の状態Ｚ、に大別する。それらの組み合せとして適切な関係を、例えばα≧ａ・Ｘ＋Ａ・Ｙ≧β、などの等式、或いは不等式で定義する。ここで、αとβは適切、つまり正常動作の範囲を示すパラメータ、ａ、Ａは重み、である。以降、このような適切な関係を表す式は「関係式」と総称する。この関係式は、実際には、特に走行状態Ｘ、及び周辺状況Ｙをそれぞれ細分化し、多数、用意する必要がある。

上記のような関係式は、関係性の単位となる状態量の組み合わせを特定させる。多くの場合、組み合わせられる状態量は、値の範囲を示す内容となる。例えば走行状態Ｘには、車両１００の速度である車速が含まれる。その車速は、多段階評価により表される。図２では、車速は、０、つまり停車、低速、中速、及び高速の４段階で表している。図２及び図３において、「−」は状態量の内容が問われないことを表している。

個別に特定した状態量の組み合わせは、例えばそのうちの一方に着目して関係づけて、まとめられる。それにより、情報関係性データ１２３ａが生成される。このことから、図２における各行は、それぞれ、１つの情報関係性データ１２３ａの内容を表している。

図２に示すように、各情報関係性データ１２３ａには、ＩＤ（IDentifier）が割り当てられている。図２に表記の「ＷＬ−１」等は、実際に情報関係性データ１２３ａに割り当てられたＩＤの例を表している。「解釈したデータ」は、情報関係性データ１２３ａの実際の内容例を表している。「解釈したデータ」と表記しているのは、上記関係式により、状態量を組み合わせたデータだからである。

図２では、データ項目として、「走行状態」「周辺状況」「乗員状態」「衝突検知」「操舵アシスト」「ヘッドライト」を表記している。これらデータ項目は、便宜的に選択したものである。データ項目、その組み合わせ、各データ項目での分類の仕方、等は、特に限定されない。なお、「走行状態」「ヘッドライト」は、ＥＣＵ１３ｃが送信する通信フレームから特定される。「周辺状況」「乗員状態」「衝突検知」は、ＥＣＵ１３ｂが送信する通信フレームから特定される。「操舵アシスト」は、ＥＣＵ１３ａが送信する通信フレームから特定される。走行状態Ｘには、「走行状態」の他に、「操舵アシスト」が相当する。周辺状況Ｙには、「周辺状況」の他に、「衝突検知」が相当する。状態Ｚには、「乗員状態」が相当する。

ＩＤが「ＷＬ−１」〜「ＷＬ−３」と表記の情報関係性データ１２３ａは、車速、及び車両１００の周囲に存在する障害物により、操舵アシスト量が異なることを表している。このため、車速に対応しない操舵アシスト量を表す通知情報が格納された通信フレームは、不正通信フレームと見做される。

ＩＤが「ＷＬ−４」と表記の情報関係性データ１２３ａは、夜間、乗員である運転者がステアリングホイールを握った運転操作のみを行っている状況では、ヘッドライトのオンからオフへの切り換えは行われないはずであることを表している。このため、ヘッドライトをオンからオフに切り換えたことを表す通知情報を格納した通信フレームは、不正通信フレームと見做される。運転者が運転操作のみを行っているか否かは、例えば車載監視カメラにより撮像した画像から判断することができる。

なお、情報関係性データ１２３ａは、図２に示すようなものに限定されない。例えばＩＤが「ＷＬ−４」と表記の情報関係性データ１２３ａと共に、或いはその代わりに、異なる内容の情報関係性データ１２３ａを生成しても良い。その情報関係性データ１２３ａとしては、例えば状態情報を運転者によるヘッドライトのスイッチへの操作とし、車両状態をヘッドライトの切り換えとすることが考えられる。そのための情報関係性データ１２３ａを用意した場合には、運転者がヘッドライトのスイッチへの操作を行った後、所定の時間が経過するまでに、ヘッドライトの切り換えを示す通知情報を格納した通信フレームを受信するか否かを確認することになる。その確認により、ＥＣＵ１３ｃが送信する通信フレームに不正な通信フレームが存在するか否かを判断することができる。

ヘッドライトの切り換えを示す通知情報を格納した通信フレーム、つまり本実施の形態１における第２の通信フレームは、ＥＣＵ１３ｃが送信可能である。運転者がヘッドライトのスイッチへの操作を示す通知情報を格納した通信フレーム、つまり本実施の形態１における第１の通信フレームは、ＥＣＵ１３ｂが送信可能である。

車両１００の乗員が行う動作は、ヘッドライトのスイッチへの操作に限定されない。また、乗員が行う動作は、車両１００側の動作により期待されるものであっても良い。つまり、乗員が行う動作は、例えば車両１００側がメッセージの表示等で乗員の動作を促した結果、確認すべき必要性が生じた動作であっても良い。言い換えれば、第１の通信フレームは、第２の通信フレームが送信された後に送信されるものであっても良い。

情報関係性データ１２３ａの生成については、上記関係式を用いなくとも良い。例えば「走行状態」の内容、及び「周辺状況」の内容の組み合わせ毎に、送受信される通信フレーム中の通知情報が表す状態量を確認し、その確認結果から更に組み合わせるべき状態量を特定するようにしても良い。このこともあり、情報関係性データ１２３ａの生成方法は、本実施の形態１で採用された方法に限定されない。

順序関係性データ１２３ａは、上記のように、複数の通信フレームの送信順序から生成される。そのため、図３は、１つの順序関係性データ１２３ａの内容例を表している。

この順序関係性データ１２３ａは、主に、特定のイベントが検出された後に送信される複数の通信フレームに着目して生成される。図３に示す例は、駐車場への駐車後、乗員の動作によって発生したイベントを特定のイベントとした場合のものである。

なお、特定のイベントは、駐車場への駐車後に乗員の動作によって発生するものに限定されない。このイベントは、信号待ちからの発進時、信号、踏切等による停止時、等であっても良い。駐車場への駐車は、駐車場に設置された管理用の制御装置との通信、ＧＰＳ（Global Positioning System）を用いた位置検出、などにより、車両１００側が特定することができる。

駐車場に車両１００を駐車された運転者は、例えばドアの解錠→乗車→モータ始動→シートベルトの装着→アクセルペダルの操作、等の順序で車両１００を発進させる。各段階で１台以上のＥＣＵ１３は、送信すべき通信フレームを送信する。図３に示す順序関係性データ１２３ａは、そのようにして送信される通信フレームの順序を表している。そのため、図３における各行の解釈したデータは、それぞれ１つの通信フレームを表している。なお、図３に示す順序関係性データ１２３ａは、１例であり、これに限定されない。

このような順序で運転者が行う操作の間には、或る程度の比較的に長い時間が存在する。そのために、通信フレームを表す各データには、時刻データが付加されている。図３に表記の「ｔ１」〜「ｔ５」は、それぞれ付加された時刻データを表している。同じ運転者であっても常に同じように操作を行うとは限らないため、時刻データは時間範囲を有するデータとなっている。ドアの解錠を起点とする場合、「ｔ１」の値は０とすれば良い。

順序関係性データ１２３ａには、時刻データの他に、通信ＩＤが付加されている。この通信ＩＤは、通信フレームの送信元、データ本体の内容等を示すデータである。図３中に表記の「ＩＤ１」〜「ＩＤ３」は、その内容例を表している。なお、通信ＩＤがＩＤ１、ＩＤ２、ＩＤ４の通信フレームは、ＥＣＵ１３ｃが送信する通信フレームであり、通信ＩＤがＩＤ３の通信フレームは、パワートレイン系ドメインＥＣＵが送信する通信フレームである。

車両状態では、具体的内容例として、「ドア解錠」「シート圧力検知」「モータ始動」「シートベルトセット」「モータトルク大」を図３に表記している。「ドア解錠」「シート圧力検知」「シートベルトセット」は、ＥＣＵ１３ｃが送信する通信フレームにより確認される。「モータ始動」「モータトルク大」は、パワートレイン系ドメインＥＣＵが送信する通信フレームにより確認される。車両状態は、上記走行状態Ｘに相当する。

周辺状況では、具体的内容例として、「他車なし：駐車場」を図３に表記している。他車の有無は、例えば他車から送信された通信フレームの受信の有無、或いは駐車場に設置された制御装置との通信により特定することができる。

図３に示すような順序関係性データ１２３ａを用意することにより、送受信される通信フレームのうちに存在する不正な通信フレームを特定することができる。例えばドアの解錠から車両１００を発信させるまでの間に、操舵アシスト量は「大」のまま変化しないはずであることから、操舵アシスト量の変化を表す通信フレームは不正な通信フレームと見做すことができる。また、順序関係性データ１２３ａが表す状態量の組み合わせは満たしていたとしても、順序関係性データ１２３ａが表す送信順序を満たしていない通信フレームも不正な通信フレームと見做される。このようなことから、順序関係性データ１２３ａを参照して通信フレームを監視することにより、不正と見做す通信フレームをより確実に抽出できるようになって、より高いセキュリティを確保することができる。

順序関係性データ１２３ａを用いた場合、送受信される通信フレームの順序関係、通知情報が表す状態量、及び各通信フレームが送受信されるタイミングを考慮した監視を行うことができる。順序関係性データ１２３ａでは、上記のように、特定のイベントの発生を想定している。このようなことから、順序関係性データ１２３ａは、特定のイベントの発生を契機に送受信される通信フレーム、及びそれに続く通信フレームの監視に特に有効である。

情報関係性データ１２３ａを用いた場合であっても、各通信フレームが送受信されるタイミングを考慮した監視が行われる。これは、車両１００の状況により、通信フレーム中に格納される通知情報が表す状態量は変化するためである。このことは、順序関係性データ１２３ａを用いた監視を行った場合に、より高いセキュリティをより確実に確保できる理由の一つである。

記憶部１２３に保存される関係性データ１２３ａには、情報関係性データ１２３ａ、及び順序関係性データ１２３ａのうちの少なくとも一方が一つ以上、存在する。逸脱判定部１２５は、通信フレームを受信する度に、各関係性データ１２３ａを参照し、不正と見做す通信フレームを判定する。

この逸脱判定部１２５、制御部１２２、関係性更新部１２４、及び通報部１２６は何れも、１つの情報処理装置であり、ハードウェア構成として、例えばＣＰＵ（Central Processing Unit）、プログラムを格納した不揮発性メモリ、及びワーク用メモリを備えている。言い換えれば、ＣＰＵが実行するプログラムにより、逸脱判定部１２５、制御部１２２、関係性更新部１２４、及び通報部１２６が実現される。そのようなハードウェア構成の場合、通信フレームを受信した時刻は、例えばＣＰＵに搭載されたハードタイマから特定することができる。

図４は、各ＥＣＵが送受信する通信フレームの構成例を示す図である。図４に示すように、各ＥＣＵ１３が送受信する通信フレームには、通信ＩＤの他に、送信時刻情報、状態量である走行状態、周辺状態、及び乗員状態を表す通知情報、及び認証用符号が格納される。送信時刻情報は、データ本体として通信フレームに格納されている。認証用符号は、誤り検出用のデータであり、通信ＩＤ、送信時刻、及び通知情報を用いて生成される。この認証用符号の生成には、ＣＲＣ（Cyclic Redundancy Check）、ＭＡＣ（Message Authentication Code）、電子署名などを利用することができる。

サーバー２００は、図１に示すように、送受信部２１、制御部２２、記憶部２３、関係性生成部２４、及び関係性配布部２５を備えている。

送受信部２１は、通信ネットワーク３００を介した車両１００との通信を可能にする。制御部２２は、サーバー２００全体の制御を行う。記憶部２３は、車両１００に配布すべき関係性データ２３ａの保存に用いられる。関係性生成部２４は、車両１００に配布すべき関係性データ２３ａを生成する。関係性配布部２５は、送受信部２１を介して、記憶部２３に保存された関係性データ２３ａを送信すべき車両１００宛てに送信する。

上記のように、車両１００は、不正と見做す通信フレームの検知により、その旨をサーバー２００に通知する。その通知により、サーバー２００を運用する側、例えば車両１００に実行させるプログラムを開発するメーカは、現在のプログラムに不具合があるか否かの確認を行い、その確認により不具合の存在が判明した場合、プログラムをアップデートする。多くの場合、車両１００のプログラムは、アップデートしたプログラムに更新される。プログラムに不具合があるか否かの確認をより容易に行えるように、上記通報部１２６は、不正と見做す通信フレームの他に、その前後に受信した複数の通信フレームも併せてサーバー２００に送信するようになっている。

関係性生成部２４は、プログラムがアップデートされた場合に、例えばアップデートされたプログラムを用いたシミュレーションを行って送受信される通信フレームを模擬し、上記と同様な方法を用いて関係性データ２３ａを生成して記憶部２３に保存する。関係性配布部２５は、送受信部２１を介して、生成された関係性データ２３ａを、不具合が存在するプログラムを実行している、或いはアップデートされたプログラムに更新された車両１００に送信する。アップデートされたプログラムに更新されていない車両１００に関係性データ２３ａを送信する場合、例えばプログラムのアップデート後に有効となることを示す制御データが付加される。それにより、車両１００側では、適切な関係性データ１２３ａを参照しての通信フレームの監視を行うことができる。

車両１００側では、関係性更新部１２４により、サーバー２００から送信された関係性データ２３ａが関係性データ１２３ａとして記憶部１２３に保存される。上記制御データが付加された関係性データ２３ａが受信された場合、関係性更新部１２４は、記憶部１２３に保存された関係性データ１２３ａを残しつつ、関係性データ２３ａを無効な関係性データ１２３ａとして記憶部１２３に保存する。それにより、逸脱判定部１２５は、参照すべき関係性データ１２３ａを参照しての通信フレームの監視を行うことができる。

上記のように、車両１００で参照する関係性データ１２３ａは、車両１００の外部に存在する情報処理装置に生成させることができる。このことから、車両１００側では、関係性データ１２３ａを必ずしも生成しなくとも良い。つまり、記憶部１２３に、予め必要な関係性データ１２３ａを保存させるようにしても良い。そのため、関係性更新部１２４は、省くことができる。

次に、図５を参照して、ゲートウェイ１２上に実現された通信監視装置の動作について更に詳細に説明する。図５は、本発明の実施の形態１に係る通信監視装置を構成する制御部が通信フレームの受信により実行する監視処理の例を示すフローチャートである。

図５にフローチャート例を示す監視処理は、例えば通信フレームの受信を契機として実行される割り込み処理である。上記ハードウェア構成では、監視処理は、ＣＰＵが、不揮発性メモリに格納されたプログラムを実行することにより実現される。このプログラムは、常駐プログラムである。ここでは、便宜的に、プログラムが制御部１２２の他に逸脱判定部１２５を実現させる機能を備えていると想定して説明を行う。そのために、監視処理を実行する主体はＣＰＵとする。

先ず、ステップＳ１１では、ＣＰＵは、送受信部群１２１が受信した通信フレーム中の全ての情報、つまり通信ＩＤ、送信時刻情報、通知情報、及び認証用符号を抽出して取得する。続くステップＳ１２では、ＣＰＵは、取得した通信ＩＤ、送信時刻情報、及び通知情報を用いて認証用符号を生成し、生成した認証号符号を取得した認証用符号と比較することにより、通信フレーム中の情報が正しいか否かの確認を行う。

ステップＳ１２の次に移行するステップＳ１３では、ＣＰＵは、確認の結果、通信フレーム中の情報が誤っているか否か、つまり通信フレーム中の情報が不正か否か判定する。生成した認証号符号が取得した認証用符号と一致しなかった場合、通信フレーム中の情報に誤りが存在するとして、ステップＳ１３の判定はＹＥＳとなり、受信した通信フレームを破棄した後、この監視処理が終了する。一方、それらの認証用符号が一致した場合、ステップＳ１３の判定はＮＯとなってステップＳ１４に移行する。

ステップＳ１４では、ＣＰＵは、受信した通信フレームを例えば記憶部１２３に保存し、その保存を行った後、記憶部１２３に保存された関係性データ１２３ａを参照して、受信した通信フレームの関係性の確認を行う。続くステップＳ１５では、ＣＰＵは、受信した通信フレームに関係性の逸脱があるか否か判定する。受信した通信フレームが何れかの関係性データ１２３ａが示す関係性から逸脱していた場合、不正通信フレームが検知されたとして、ステップＳ１５の判定はＹＥＳとなり、ステップＳ１７に移行する。一方、受信した通信フレームが全ての関係性データ１２３ａが示す関係性の何れからも逸脱していなかった場合、ステップＳ１５の判定はＮＯとなり、ステップＳ１６に移行する。このステップＳ１４、Ｓ１５の処理の実行により、逸脱判定部１２５が実現される。

ステップＳ１６では、ＣＰＵは、受信した通信フレームを送受信部群１２１に出力して転送させる。その後、監視処理が終了する。

ステップＳ１７では、ＣＰＵは、何れかのＥＣＵ１３が実行するプログラムにバグ、つまり不具合が存在する可能性から、不正通信フレームの検知をサーバー２００に通報するための設定を行い、受信した通信フレームは破棄する。そのような処理を行った後、監視処理が終了する。

サーバー２００への通報では、上記のように、不正と見做す通信フレームの他に、その前後に受信した複数の通信フレームを含む履歴も併せてサーバー２００に送信される。このことから、不正と見做す通信フレームが検知された時点では、サーバー２００への通報は行わないようになっている。なお、各通信フレームが送信されたタイミングは、通信フレーム中の送信時刻情報から確認することができる。

なお、本実施の形態１では、車両１００と通信する外部制御装置としてサーバー２００を想定しているが、外部制御装置は、サーバー２００に限定されない。つまりネットワークシステム１は、図１に示すようなものに限定されない。制御装置は、車両１００に搭載された制御装置、及び車両１００に搭載された制御装置との通信が可能な外部制御装置に限定されない。

車両１００に搭載されたＥＣＵ１３のような制御装置と通信を行う外部制御装置は、図６に示すように、他の車両１１０に搭載されたＥＣＵ１３のような制御装置、及び路側機４００に設けられた制御装置４０１のうちの少なくとも一方が含まれる。路側機４００は、道路脇に設置されている双方向通信が可能な通信設備であり、監視カメラ、及び信号機も路側機４００として設置されている。ここでは、混乱を避けるために、他の車両１１０は「他車１１０」、車両１００は「自車１００」と表記する。他車１１０は、本実施の形態１の変形例における移動体に相当する。移動体は、他車１１０以外のもの、例えば人が携帯するスマートフォン等の携帯型端末装置であっても良い。車両１００に搭載されたＥＣＵ１３のような制御装置は第１の制御装置、他車１１０に搭載されたＥＣＵ１３のような制御装置、及び路側機４００に設けられた制御装置４０１は何れも第２の制御装置に相当する。

他車１１０、或いは路側機４００の制御装置である外部制御装置との通信が可能な場合、外部制御装置が入力した情報、及び生成された情報を自車１００で活用することができる。そのため、自車１００では、例えば自車１００の運転者が予想し難い状況を事前に推定した制御を行うことが可能である。関係性データ１２３ａは、そのような未来を想定した制御に用いることが可能である。なお、この場合の通信には、例えばＶ２Ｘ（Vehicle to Vehicle、Vehicle to Infrastructure等）を用いることができる。

このような外部制御装置との通信を想定する場合、例えば周辺状況Ｙに分類される状態量に、外部制御装置から送信される通知情報が表す状態量、或いはその通知情報から特定可能な状態量を含める。関係性データ１２３ａが表す状態量の組み合わせは、例えば時間軸上、好ましい状態量の変化を想定して特定する。それにより、例えば建物等により進行先が視認し難い交差点、曲がり角等では、その先に存在する障害物等の有無を外部制御装置から送信される通知情報により確認し、障害物等の存在の確認により、自車１００の車速を低速の範囲内に抑えるような制御を行う。このような制御は、障害物等の存在を状態量として表す通知情報を格納した通信フレームを不正通信フレームとすることで可能である。不正通信フレームの検知時に実行させる処理は、予め設定した処理であっても良いが、関係性データ１２３ａ毎に、実行すべき処理を設定するようにしても良い。つまり、例えば関係性データ１２３ａに、実行すべき処理を指定するデータを加えるようにしても良い。このこともあり、不正通信フレームの検知時に実行させる処理は、特に限定されない。

なお、建物等により進行先が視認し難い交差点、曲がり角等の場所は、地図データ、現在位置、及び進行方向から特定することができる。その場所での進行先は、乗員がウインカーに行った操作から特定することができる。

このような危険度の高い場所を走行する場合、第三者が送信させる不正な通信フレームの処理により実行される制御は、危険性がより大きいと考えられる。そのため、自車１００の状況により、不正通信フレーム検知時に実行させる処理を異ならせるようにしても良い。例えば危険度が高くない場所では、検知した不正通信フレームを破棄し、危険度が高い場所では、不正通信フレームの破棄と併せ、自車１００の車速の制限を行うようにしても良い。自車１００を停止させるようにした場合には、危険度の高い場所への進入を回避させることができる。

１ 車外通信ユニット、１２ ゲートウェイ、１３ａ〜１３ｃ ＥＣＵ（制御装置、第１の制御装置）、１００、１１０ 車両、１２１ 送受信部群（通信部）、１２２ 制御部（処理部）、１２３ 記憶部、１２３ａ 関係性データ、１２４ 関係性更新部（生成部）、１２５ 逸脱判定部（検知部）、１２６ 通報部（処理部）、２００ サーバー（制御装置、情報処理装置）、３００ 通信ネットワーク、４００ 路側機、４０１ 制御装置（第２の制御装置）。

本発明に係る通信監視装置は、複数の制御装置の間で送受信される通信フレームを受信可能な通信部と、複数の制御装置の間で送受信される複数の通信フレーム間で満たすべき関係性を示す関係性データを記憶した記憶部と、関係性データを参照し、通信フレームのうちで関係性を逸脱している通信フレームを不正通信フレームとして検知する検知部と、検知部が不正通信フレームを検知した場合に、設定された処理を実行する処理部と、を備え、関係性データは、通信フレーム中にデータ本体として格納される通知情報が表す状態量の組み合わせを表し、検知部は、関係性データが表す組み合わせに含まれる状態量と内容が一致する通知情報を格納した通信フレームを通信部が受信した後、通信部が受信する通信フレームのうちで、組み合わせに含まれる他の状態量と種類が一致し、且つ内容が一致しない通知情報を格納した通信フレームを不正通信フレームとして検知する。

Claims (9)

1. 複数の制御装置の間で送受信される通信フレームを受信可能な通信部と、
   前記複数の制御装置の間で送受信される複数の通信フレーム間で満たすべき関係性を示す関係性データを記憶した記憶部と、
   前記関係性データを参照し、前記通信フレームのうちで前記関係性を逸脱している通信フレームを不正通信フレームとして検知する検知部と、
   前記検知部が前記不正通信フレームを検知した場合に、設定された処理を実行する処理部と、
   を備える通信監視装置。
2. 前記処理部は、前記設定された処理として、前記不正通信フレームの破棄のための処理、及び前記不正通信フレームが検知されたことを情報処理装置に通知するための処理、のうちの少なくとも一方を行う、
   請求項１に記載の通信監視装置。
3. 前記関係性データは、前記通信フレーム中にデータ本体として格納される通知情報が表す状態量の組み合わせを表し、
   前記検知部は、前記関係性データが表す前記組み合わせに含まれる状態量と内容が一致する前記通知情報を格納した通信フレームを前記通信部が受信した後、前記通信部が受信する前記通信フレームのうちで、前記組み合わせに含まれる他の状態量と種類が一致し、且つ内容が一致しない前記通知情報を格納した前記通信フレームを前記不正通信フレームとして検知する、
   請求項１または２に記載の通信監視装置。
4. 前記関係性データは、前記組み合わせに含まれる状態量と内容が一致する前記通知情報を格納した通信フレームの送信順序、を更に表し、
   前記検知部は、前記関係性データが表す前記組み合わせに含まれる状態量と内容が一致する前記通知情報を格納した通信フレームを前記通信部が受信した後、前記通信部が受信する前記通信フレームのうちで、前記組み合わせに含まれる他の状態量と種類、及び内容が一致する前記通知情報を格納し、且つ前記通信部が受信する順序が前記送信順序と一致しない前記通信フレームを前記不正通信フレームとして検知する、
   請求項３に記載の通信監視装置。
5. 前記通信部が受信する複数の通信フレームから、前記関係性データを生成して前記記憶部に保存する生成部、
   を更に備える請求項１〜４の何れか１項に記載の通信監視装置。
6. 前記生成部は、各通信フレーム中にデータ本体として格納された通知情報が表す状態量を参照して、前記複数の通信フレームから、種類の異なる複数の前記状態量の組み合わせを特定し、特定した前記組み合わせを基に、前記関係性データを生成する、
   請求項５に記載の通信監視装置。
7. 前記複数の制御装置を構成する２台以上の制御装置が第１の制御装置として車両に搭載され、異なる前記第１の制御装置から、前記車両の乗員が行った動作を前記状態量として表す前記通知情報を格納した第１の通信フレーム、及び前記動作に関係する前記状態量を表す前記通知情報を格納した第２の通信フレームが送信可能な場合に、
   前記生成部は、前記第１の通信フレーム、及び前記第２の通信フレームを含む前記複数の通信フレームを対象にして、前記第１の通信フレーム、及び前記第２の通信フレームにそれぞれ格納された前記通知情報が表す前記状態量の組み合わせを基に、前記関係性データを生成する、
   請求項６に記載の通信監視装置。
8. 前記複数の制御装置を構成する１台以上の制御装置が第１の制御装置として車両に搭載され、前記複数の制御装置を構成する１台以上の制御装置が第２の制御装置として移動体、及び道路脇に設置された通信設備のうちの少なくとも一方に搭載され、前記第１の制御装置から、前記車両の進行先を前記状態量として表す前記通知情報を格納した第１の通信フレームが送信可能であり、前記第２の制御装置から、前記車両の進行先に係わる状況を前記状態量として表す前記通知情報を格納した第２の通信フレームが送信可能な場合に、
   前記生成部は、前記第１の通信フレーム、及び前記第２の通信フレームを含む前記複数の通信フレームを対象にして、前記第１の通信フレーム、及び前記第２の通信フレームにそれぞれ格納された前記通知情報が表す前記状態量の組み合わせを基に、前記関係性データを生成する、
   請求項６に記載の通信監視装置。
9. 前記生成部は、各通信フレーム中に格納された通知情報が表す状態量、及び前記各通信フレームが受信されたタイミングを参照して、前記複数の通信フレームの間に存在する順序関係を特定し、特定した前記順序関係を基に、前記関係性データを生成する、
   請求項５に記載の通信監視装置。

Images