JP2022140785A - 電子制御ユニット、方法およびプログラム - Google Patents

電子制御ユニット、方法およびプログラム Download PDF

Info

Publication number
JP2022140785A
JP2022140785A JP2022125365A JP2022125365A JP2022140785A JP 2022140785 A JP2022140785 A JP 2022140785A JP 2022125365 A JP2022125365 A JP 2022125365A JP 2022125365 A JP2022125365 A JP 2022125365A JP 2022140785 A JP2022140785 A JP 2022140785A
Authority
JP
Japan
Prior art keywords
message
list
received
network
transmitted
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2022125365A
Other languages
English (en)
Other versions
JP7362856B2 (ja
Inventor
良太 高橋
Ryota Takahashi
崇光 佐々木
Takamitsu Sasaki
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Intellectual Property Corp of America
Original Assignee
Panasonic Intellectual Property Corp of America
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Intellectual Property Corp of America filed Critical Panasonic Intellectual Property Corp of America
Publication of JP2022140785A publication Critical patent/JP2022140785A/ja
Application granted granted Critical
Publication of JP7362856B2 publication Critical patent/JP7362856B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B60R16/0231—Circuits relating to the driving or the functioning of the vehicle
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40006—Architecture of a communication node
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40052—High-speed IEEE 1394 serial bus
    • H04L12/40117—Interconnection of audio or video/imaging devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B60W2050/021—Means for detecting failure or malfunction
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Mechanical Engineering (AREA)
  • Automation & Control Theory (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Small-Scale Networks (AREA)
  • Multimedia (AREA)
  • Human Computer Interaction (AREA)
  • Transportation (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)

Abstract

【課題】車載ネットワークにおける異常を容易に検知できる電子制御ユニットを提供する。【解決手段】ＥＣＵ１０１ｇは、車両の所定の制御を行う処理部１１５と、処理部１１５からメッセージを取得してネットワークへ送信し、ネットワークからメッセージを受信して処理部１１５へ通知する通信部１１１と、通信部１１１がネットワークから受信し処理部１１５へ通知したメッセージのＩＤのリストである受信済みＩＤリストを保持する受信済みＩＤリスト保持部１１４と、通信部１１１および受信済みＩＤリスト保持部１１４を制御する制御部１１２と、を備え、制御部１１２は、通信部１１１がネットワークから受信したメッセージのＩＤが受信済みＩＤリストに存在しない場合に、当該ＩＤを受信済みＩＤリストに追加し、通信部１１１が処理部１１５から取得したメッセージのＩＤが受信済みＩＤリストに存在する場合に、当該メッセージをネットワークへ送信しない。【選択図】図８

Description

本開示は、車載ネットワーク等で用いられる電子制御ユニット等に関する。
電子化が進んだ自動車において、電子化が進んでいない自動車と比較すると、車載ネットワークの重要性は高くなっている。自動車には各種のシステムを制御する多数の電子制御ユニット（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ、以下ＥＣＵと表記する）が搭載されている。ＥＣＵは車載ネットワークに接続され、自動車の諸機能を実現するためにこの車載ネットワークを介して通信を行う。ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）は、このような車載ネットワークの規格のひとつで、ＩＳＯ１１８９８、ＩＳＯ１１５１９において規格化され標準的な技術として多くの国および地域で採用されている。
ＣＡＮのプロトコルに準拠するネットワークは１台の車上で閉じた通信経路として構築可能である。しかしながら、自動車には外部からのアクセスが可能なネットワークが構築され、搭載されるのが珍しくない。例えば車載ネットワークには、ネットワークを流れる情報を自動車に搭載された各システムの診断に利用する目的で取り出すためのポートが設置されたり、無線ＬＡＮを提供する機能を備えるカーナビゲーションシステムが接続されたりしている。車載ネットワークへの外部からのアクセスが可能になることで自動車のユーザにとっての利便性は向上し得るが、その一方で脅威も増大する。
例えば、２０１３年には、車載ネットワークの外部からの駐車支援機能等の悪用による不正な車両制御が可能であることが実証された。また、２０１５年には特定の車種の遠隔からの不正制御が可能であることが実証され、この実証が発端となって当該車種のリコールに発展した。
このような外部からのアクセスによる車両の不正制御は、自動車業界にとっては看過できない問題であり、車載ネットワークのセキュリティ対策は急務な状況にある。
車載ネットワークへの攻撃の一手法としては、車載ネットワークに接続されるＥＣＵに外部からアクセスして乗っ取り、乗っ取ったＥＣＵから攻撃のためのメッセージ（以下では不正メッセージまたは異常メッセージともいう）を車載ネットワークに向けて送信させて自動車を不正に制御するものがある。
このような攻撃に対し、非特許文献１では、車載ネットワークに送信されたメッセージから不正メッセージを検知するＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）ＥＣＵと呼ばれるノードを車載ネットワークに追加し、ＩＤＳＥＣＵが不正なメッセージのハッシュ値をネットワークに送信し、このハッシュ値を各ＥＣＵが送信したメッセージのハッシュ値と比較することで、不正なメッセージを送信する不正ＥＣＵを特定し、車載ネットワークから遮断する方法を開示している。
また、非特許文献２では、車載ネットワークでは同一のＩＤを持つメッセージを複数のＥＣＵが送信しないという前提で、各ＥＣＵが自身の送信するＩＤを持つメッセージを受信した際に、そのメッセージを不正メッセージとして遮断する方法を開示している。
Ｓｍａｒｔ ＣＡＮ ｃａｂｌｅ， Ａｎｏｔｈｅｒ ｐｒｏｐｏｓａｌ ｏｆ ｉｎｔｒｕｓｉｏｎ ｐｒｅｖｅｎｔｉｏｎ ｓｙｓｔｅｍ（ＩＰＳ） ｆｏｒ ｉｎ－ｖｅｈｉｃｌｅ ｎｅｔｗｏｒｋｓ － ＬＡＣ Ｃｏ．，Ｌｔｄ．， Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ， ２０１８． Ａ Ｍｅｔｈｏｄ ｏｆ Ｐｒｅｖｅｎｔｉｎｇ Ｕｎａｕｔｈｏｒｉｚｅｄ Ｄａｔａ Ｔｒａｎｓｍｉｓｓｉｏｎ ｉｎ ｃｏｎｔｒｏｌｌｅｒ ａｒｅａ ｎｅｔｗｏｒｋ－Ｙｏｋｏｈａｍａ Ｎａｔｉｏｎａｌ Ｕｎｉｖｅｒｓｉｔｙ： Ｖｅｈｉｃｕｌａｒ Ｔｅｃｈｎｏｌｏｇｙ Ｃｏｎｆｅｒｅｎｃｅ，２０１２
しかしながら、非特許文献１の方法では、車載ネットワーク内にＩＤＳＥＣＵを追加するコストおよび、不正なメッセージのハッシュ値をネットワークに送ることによる、ネットワークのトラフィック量の増大が発生する。
また、非特許文献２の方法では、不正メッセージの遮断を行うためにＣＡＮコントローラーを改造する（例えば、各ＥＣＵが送信するメッセージのＩＤを予め記憶させておく）必要があり導入コストが大きい。
そこで、本開示では上記課題を解決するために、車載ネットワークにおける異常を容易に検知できる電子制御ユニット等を提供する。
上記課題を解決するために、本開示の一態様に係る電子制御ユニットは、車両に搭載される車載ネットワークに配置される電子制御ユニットであって、前記車載ネットワークは、前記電子制御ユニットと、複数の他の電子制御ユニットと、ネットワークから構成され、前記電子制御ユニットは、前記車両の所定の制御を行う処理部と、前記処理部からメッセージを取得して当該メッセージを前記ネットワークへ送信し、前記ネットワークからメッセージを受信して当該メッセージを前記処理部へ通知する通信部と、前記通信部が前記ネットワークから受信し前記処理部へ通知したメッセージのＩＤのリストである受信済みＩＤリストを保持する受信済みＩＤリスト保持部と、前記通信部および前記受信済みＩＤリスト保持部を制御する制御部と、を備え、前記制御部は、前記通信部が前記ネットワークから受信したメッセージのＩＤが前記受信済みＩＤリストに存在しない場合に、当該ＩＤを前記受信済みＩＤリストに追加し、前記通信部が前記処理部から取得したメッセージのＩＤが前記受信済みＩＤリストに存在する場合に、当該メッセージを前記ネットワークへ送信しない。
なお、上記の包括的または具体的な態様は、システム、装置、方法、集積回路、コンピュータプログラムまたはコンピュータ読取可能な記録ディスク等の記録媒体で実現されてもよく、システム、装置、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。コンピュータ読み取り可能な記録媒体は、例えばＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ－Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等の不揮発性の記録媒体を含む。
本開示によれば、車載ネットワークにおける異常を容易に検知できる。
図１は、実施の形態１における、車載ネットワークの全体構成図である。 図２は、実施の形態１における、車載ネットワークの全体構成の変形例１を示す図である。 図３は、実施の形態１における、車載ネットワークの全体構成の変形例２を示す図である。 図４は、実施の形態１における、ＣＡＮプロトコルのデータフレームフォーマットを示す図である。 図５は、実施の形態１における、車載ネットワークを構成するＥＣＵが送信するＩＤの仕様を示す図である。 図６は、実施の形態１における、ＩＤＳＥＣＵの構成図である。 図７は、実施の形態１における、異常検知装置の構成図である。 図８は、実施の形態１における、異常検知機能を有するＥＣＵの構成図である。 図９は、実施の形態１における、受信済みＩＤリストの一例を示す図である。 図１０は、実施の形態１における、送信済みＩＤリストの一例を示す図である。 図１１は、実施の形態１における、受信済みＩＤリストのアップデート処理のシーケンスを示す図である。 図１２は、実施の形態１における、受信済みＩＤリストを用いた異常検知処理のシーケンスを示す図である。 図１３は、実施の形態１における、送信済みＩＤリストのアップデート処理のシーケンスを示す図である。 図１４は、実施の形態１における、送信済みＩＤリストを用いた異常検知処理のシーケンスを示す図である。 図１５は、実施の形態１における、ＩＤＳＥＣＵが異常を検知した場合の処理シーケンスを示す図である。 図１６は、実施の形態１における、異常検知装置の全体処理のフローチャートである。 図１７は、実施の形態１における、受信済みＩＤリスト更新処理のフローチャートである。 図１８は、実施の形態１における、送信済みＩＤリスト更新処理のフローチャートである。 図１９は、実施の形態１における、受信済みＩＤリストによる異常検知処理のフローチャートである。 図２０は、実施の形態１における、受信済みＩＤリストによる異常検知処理の変形例のフローチャートである。 図２１は、実施の形態１における、送信済みＩＤリストによる異常検知処理のフローチャートである。 図２２は、実施の形態１における、異常検知装置がＩＤＳＥＣＵから異常通知を受信した場合の処理のフローチャートである。 図２３は、実施の形態１における、異常検知装置の全体処理の変形例のフローチャートである。 図２４は、実施の形態１における、異常検知装置の車両シャットダウン時の処理のフローチャートである。 図２５は、実施の形態１における、低頻度受信済みＩＤの退避の処理のフローチャートである。 図２６は、実施の形態１における、低頻度送信済みＩＤの退避の処理のフローチャートである。 図２７は、実施の形態１における、異常検知装置の車両起動時の処理のフローチャートである。
本開示の異常検知装置は、複数の電子制御ユニットと、ネットワークバスと、異常検知装置から構成される車載ネットワークに配置される異常検知装置であって、前記異常検知装置は、前記ネットワークバスと前記複数の電子制御ユニットのうちのいずれかの第１電子制御ユニットの間に配置され、前記第１電子制御ユニットからメッセージを受信して当該メッセージを前記ネットワークバスへ送信し、前記ネットワークバスからメッセージを受信して当該メッセージを前記第１電子制御ユニットへ送信する通信部と、前記通信部が前記ネットワークバスから受信し前記第１電子制御ユニットへ送信したメッセージのＩＤのリストである受信済みＩＤリストを保持する受信済みＩＤリスト保持部と、前記通信部および前記受信済みＩＤリスト保持部を制御する制御部と、を備え、前記制御部は、前記通信部が前記ネットワークバスから受信したメッセージのＩＤが前記受信済みＩＤリストに存在しない場合に、当該ＩＤを前記受信済みＩＤリストに追加し、前記通信部が前記第１電子制御ユニットから受信したメッセージのＩＤが前記受信済みＩＤリストに存在する場合に、当該メッセージを前記ネットワークバスへ送信しないことを特徴とする。
異常検知装置は、ネットワークバスから受信したメッセージのＩＤを受信済みＩＤリストに追加していく。つまり、異常検知装置は、複数のＥＣＵのうち、自身を介してネットワークバスと接続された第１ＥＣＵ以外のＥＣＵがネットワークバスへ送信したメッセージのＩＤを受信済みＩＤリストに追加していく。一般的に、車載ネットワークにおける複数のＥＣＵのそれぞれは、同じＩＤを含むメッセージを送信しないという仕様になっていることが多い。この仕様のもとでは、受信済みＩＤリストは、第１ＥＣＵが送信しないメッセージのＩＤのリストとなる。これに対して、異常検知装置が第１ＥＣＵから受信したメッセージ（つまり、第１ＥＣＵが送信したメッセージ）のＩＤが受信済みＩＤリストに存在する場合、本来第１ＥＣＵが送信するはずのないメッセージを第１ＥＣＵが送信していることになる。つまり、第１ＥＣＵが異常なメッセージを送信していることがわかる。したがって、このような場合に、第１ＥＣＵからのメッセージをネットワークバスに送信しないようにすることで、異常なメッセージがネットワークバスに流れることを抑制できる。このように、車載ネットワーク内にＩＤＳＥＣＵを追加（つまり、ネットワークトラフィックおよびコストが増大）したり、各ＥＣＵが送信するメッセージのＩＤを予め記憶させておいたりすることなく、車載ネットワークにおける異常を容易に検知できる。また、正規メッセージがネットワークバスに流れる前に、攻撃者が不正メッセージをネットワークバスへ送信しない限り、誤検知をすることなく異常メッセージを遮断可能である。
また例えば、前記制御部は、前記通信部が前記第１電子制御ユニットから受信したメッセージのＩＤが前記受信済みＩＤリストに存在する場合に、前記第１電子制御ユニットを前記ネットワークバスから隔離してもよい。
この場合、第１ＥＣＵが不正なＥＣＵであるため、不正なＥＣＵをネットワークバスから隔離する（例えば、第１ＥＣＵから送信される全てのメッセージを異常検知装置において遮断してネットワークバスへ送信しないようにする）ことが可能となり、異常メッセージのみを遮断する場合と比べて、車載ネットワークに不正なＥＣＵが与える影響をより軽減できる。
また例えば、前記制御部は、前記通信部が前記複数の電子制御ユニットのうちの前記第１電子制御ユニットとは異なる第２電子制御ユニットから送信された異常なＩＤを示す異常ＩＤ情報を前記ネットワークバスから受信した場合に、前記受信済みＩＤリストから前記異常ＩＤ情報が示すＩＤを消去してもよい。
正規メッセージがネットワークバスに流れる前に、攻撃者が不正メッセージをネットワークバスへ送信する場合が考えられる。この場合、受信済みＩＤリストに不正メッセージに含まれるＩＤが追加されることになる。例えば、正規な第１ＥＣＵが送信するメッセージに含まれるＩＤが不正メッセージに含まれる場合、正規な第１ＥＣＵから送信される正規メッセージが不正メッセージであると判定されてしまう。つまり、以降は、正規メッセージがネットワークバスへ送信されず、攻撃者が第１ＥＣＵになりすまして不正メッセージがネットワークバスへ送信されることになる。これに対して、第２ＥＣＵとして例えばＩＤＳＥＣＵ等が車載ネットワークに配置されることで、攻撃者が送信した不正メッセージを検知することが可能となる。したがって、正規メッセージがネットワークバスに流れる前に、攻撃者が不正メッセージをネットワークバスへ送信した場合（つまり、受信済みＩＤリストが汚染された場合）であっても、受信済みＩＤリストを修正して、受信済みＩＤリストに追加された不正メッセージに含まれるＩＤ（つまり第１ＥＣＵが送信するメッセージに含まれるＩＤ）を受信済みＩＤリストから消去することで、異常検知装置が正規メッセージを不正メッセージであると誤検知することを防止することが可能である。
また例えば、前記受信済みＩＤリスト保持部は、前記受信済みＩＤリストに含まれるＩＤ毎のメッセージ受信回数を記録する領域を持ち、前記制御部は、前記通信部が前記ネットワークバスからメッセージを受信したとき、当該メッセージのＩＤについて記録されるメッセージ受信回数を更新し、前記車載ネットワークを搭載した車両のシャットダウン時に、前記受信済みＩＤリストに含まれるＩＤのうち、前記受信済みＩＤリスト保持部に記録されたメッセージ受信回数、または、当該メッセージ受信回数に基づくメッセージ受信頻度が所定の値以下となっているＩＤを不揮発性メモリに退避させ、前記車両の起動時に、前記不揮発性メモリに退避させた前記ＩＤを前記受信済みＩＤリストに追加してもよい。
メッセージ受信回数またはメッセージ受信頻度が所定の値以下となっているＩＤ（低頻度で受信されるメッセージに含まれるＩＤ）は、車両が起動した後、当該ＩＤを含むメッセージがネットワークバスを流れるまでに時間を要する場合がある。つまり、当該ＩＤを含む正規メッセージがネットワークバスを流れるまでに、攻撃者が当該ＩＤを含む不正メッセージをネットワークバスへ送信して、受信済みＩＤリストに不正メッセージに含まれるＩＤが追加されてしまう（言い換えると、受信済みＩＤリストが不正なＩＤで汚染されてしまう）場合がある。これに対して、車両の起動時に、不揮発性メモリに退避させた低頻度で受信されるメッセージに含まれるＩＤを受信済みＩＤリストに追加することで、低頻度で受信されるメッセージが最初にネットワークバスに流れる前に攻撃者が不正メッセージを送信することによる受信済ＩＤリストの汚染を防ぐことが可能である。また、高頻度に受信されるメッセージの含まれるＩＤを不揮発性メモリに退避させないことで、その分メモリ容量を削減することが可能である。
また例えば、前記制御部は、前記車両の起動時に、前回の起動時から前記第１電子制御ユニットのファームウェア情報が変更されている場合に、前記不揮発性メモリに退避させた前記ＩＤを消去し、当該ＩＤを前記受信済みＩＤリストに追加しなくてもよい。
第１ＥＣＵのファームウェアアップデートに伴い第１ＥＣＵのファームウェア情報が変更された場合、第１ＥＣＵから送信されるメッセージに含まれるＩＤの仕様が変更されることがある。したがって、この場合に、不揮発性メモリに退避させたＩＤを消去し、当該ＩＤを受信済みＩＤリストに追加しないようにすることで、仕様が変更されたＩＤが原因で発生する正常メッセージの誤遮断を防止することが可能である。
また例えば、前記異常検知装置は、さらに、前記通信部が前記第１電子制御ユニットから受信し前記ネットワークバスへ送信したメッセージのＩＤのリストである送信済みＩＤリストを保持する送信済みＩＤリスト保持部を備え、前記制御部は、さらに、前記送信済みＩＤリスト保持部を制御し、前記通信部が前記第１電子制御ユニットから受信したメッセージのＩＤが前記送信済みＩＤリストに存在しない場合に、当該ＩＤを前記送信済みＩＤリストに追加し、前記通信部が前記ネットワークバスから受信したメッセージのＩＤが前記送信済みＩＤリストに存在する場合、当該メッセージを前記第１電子制御ユニットへ送信しなくてもよい。
異常検知装置は、第１ＥＣＵから受信したメッセージのＩＤを送信済みＩＤリストに追加していく。車載ネットワークにおける複数のＥＣＵのそれぞれは、同じＩＤを含むメッセージを送信しないという仕様のもとでは、送信済みＩＤリストは、複数のＥＣＵのうちの第１ＥＣＵ以外のＥＣＵ等が送信しないメッセージのＩＤのリストとなる。これに対して、異常検知装置がネットワークバスから受信したメッセージ（つまり、第１ＥＣＵ以外のＥＣＵが送信したメッセージ）のＩＤが送信済みＩＤリストに存在する場合、本来第１ＥＣＵ以外のＥＣＵ等が送信するはずのないメッセージを第１ＥＣＵ以外のＥＣＵ等が送信していることになる。つまり、第１ＥＣＵ以外のＥＣＵ等が異常なメッセージを送信していることがわかる。したがって、このような場合に、第１ＥＣＵ以外のＥＣＵ等からのメッセージを第１ＥＣＵに送信しないようにすることで、異常なメッセージが第１ＥＣＵに送信されることを抑制できる。このように車載ネットワーク内にＩＤＳＥＣＵを追加（つまり、ネットワークトラフィックおよびコストが増大）したり、各ＥＣＵが送信するメッセージのＩＤを予め記憶させておいたりすることなく、車載ネットワークにおける異常を容易に検知できる。また、正規メッセージがネットワークバスに流れる前に、攻撃者が不正メッセージをネットワークバスへ送信しない限り、誤検知をすることなく異常メッセージを検知可能である。
また例えば、前記送信済みＩＤリスト保持部は、前記送信済みＩＤリストに含まれるＩＤ毎のメッセージ送信回数を記録する領域を持ち、前記制御部は、前記通信部が前記第１電子制御ユニットからメッセージを受信したときに、当該メッセージのＩＤについて記録されるメッセージ送信回数を更新し、前記車載ネットワークを搭載した車両のシャットダウン時に、前記送信済みＩＤリストに含まれるＩＤのうち、前記送信済みＩＤリスト保持部に記録されたメッセージ送信回数、または、当該メッセージ送信回数に基づくメッセージ送信頻度が所定の値以下となっているＩＤを不揮発性メモリに退避させ、前記車両の起動時に、前記不揮発性メモリに退避させた前記ＩＤを前記送信済みＩＤリストに追加してもよい。
メッセージ送信回数またはメッセージ送信頻度が所定の値以下となっているＩＤ（低頻度で第１ＥＣＵから送信されるメッセージに含まれるＩＤ）は、車両が起動した後、当該ＩＤを含むメッセージを異常検知装置が第１ＥＣＵから受信するまでに時間を要する場合がある。つまり、当該ＩＤを含む正規メッセージを異常検知装置が受信するまでに、攻撃者が第１ＥＣＵを攻撃して不正な第１ＥＣＵから不正メッセージを異常検知装置へ送信して、送信済みＩＤリストに不正メッセージに含まれるＩＤが追加されてしまう（言い換えると、送信済みＩＤリストが不正なＩＤで汚染されてしまう）場合がある。これに対して、車両の起動時に、不揮発性メモリに退避させた低頻度で送信されるメッセージに含まれるＩＤを送信済みＩＤリストに追加することで、低頻度で送信されるメッセージを異常検知装置が受信する前に攻撃者が不正メッセージを送信することによる送信済ＩＤリストの汚染を防ぐことが可能である。また、高頻度に送信されるメッセージに含まれるＩＤを不揮発性メモリに退避させないことで、その分メモリ容量を削減することが可能である。
また例えば、前記制御部は、前記車両の起動時に、前回の起動時から前記第１電子制御ユニットのファームウェア情報が変更されている場合に、前記不揮発性メモリに退避させた前記ＩＤを消去し、当該ＩＤを前記送信済みＩＤリストに追加しなくてもよい。
第１ＥＣＵのファームウェアアップデートに伴い第１ＥＣＵのファームウェア情報が変更された場合、第１ＥＣＵから送信されるメッセージに含まれるＩＤの仕様が変更されることがある。したがって、この場合に、不揮発性メモリに退避させたＩＤを消去し、当該ＩＤを送信済みＩＤリストに追加しないようにすることで、仕様が変更されたＩＤによる正常メッセージの誤遮断の防止が可能である。
本開示の異常検知方法は、複数の電子制御ユニットと、ネットワークバスと、異常検知装置から構成される車載ネットワークに配置される異常検知装置により実行される異常検知方法であって、前記異常検知装置は、前記ネットワークバスと前記複数の電子制御ユニットのうちのいずれかの第１電子制御ユニットの間に配置され、前記第１電子制御ユニットからメッセージを受信して当該メッセージを前記ネットワークバスへ送信し、前記ネットワークバスからメッセージを受信して当該メッセージを前記第１電子制御ユニットへ送信する通信部と、前記通信部が前記ネットワークバスから受信し前記第１電子制御ユニットへ送信したメッセージのＩＤのリストである受信済みＩＤリストを保持する受信済みＩＤリスト保持部と、を備え、前記異常検知方法では、前記通信部が前記ネットワークバスから受信したメッセージのＩＤが前記受信済みＩＤリストに存在しない場合に、当該ＩＤを前記受信済みＩＤリストに追加し、前記通信部が前記第１電子制御ユニットから受信したメッセージのＩＤが前記受信済みＩＤリストに存在する場合に、当該メッセージを前記ネットワークバスへ送信しないことを特徴とする。
これにより、車載ネットワークにおける異常を容易に検知できる異常検知方法を提供できる。
本開示のプログラムは、上記の異常検知方法をコンピュータに実行させるプログラムである。
これにより、車載ネットワークにおける異常を容易に検知できるプログラムを提供できる。
以下、実施の形態に係る異常検知装置について、図面を参照しながら説明する。ここで示す実施の形態は、いずれも本開示の一具体例を示すものである。したがって、以下の実施の形態で示される数値、構成要素、構成要素の配置および接続形態、並びに、ステップ（工程）およびステップの順序等は、一例であって本開示を限定するものではない。
また、以下の実施の形態における構成要素のうち、独立請求項に記載されていない構成要素については、任意に付加可能な構成要素である。各図は模式図であり、必ずしも厳密に図示されたものではない。
また、以下に含まれるＣＡＮおよび異常検知装置に関する説明は、本開示の理解の一助を主な趣旨とするものであり、この説明のうち請求項に含まれない事項については、本開示を限定する趣旨で記載されるものではない。
（実施の形態１）
［１－１．車載ネットワーク構成］
図１は、車載ネットワーク１００の全体構成図である。なお、図１には、車載ネットワーク１００を搭載し車両１０を示している。車両１０は、その内部に車載ネットワーク１００を持つ。車両１０は、例えば自動車である。
車載ネットワーク１００は、複数のＥＣＵと、ネットワークバスと、異常検知装置から構成される。例えば、図１に示す例では、車載ネットワーク１００は、複数のＥＣＵのそれぞれに対応するように設けられた複数の異常検知装置を備える。例えば、車載ネットワーク１００は、複数のＥＣＵとして、ＥＣＵ１０１ａ、１０１ｂ、１０１ｃ、１０１ｄ、１０１ｅおよび１０１ｆとバス１３０（ネットワークバス）と異常検知装置１１０ａ、１１０ｂ、１１０ｃ、１１０ｄ、１１０ｅおよび１１０ｆとから構成される。ＥＣＵ１０１ａとバス１３０は、異常検知装置１１０ａを間に介して接続され、通信を行う。ＥＣＵ１０１ｂとバス１３０は、異常検知装置１１０ｂを間に介して接続され、通信を行う。ＥＣＵ１０１ｃとバス１３０は、異常検知装置１１０ｃを間に介して接続され、通信を行う。ＥＣＵ１０１ｄとバス１３０は、異常検知装置１１０ｄを間に介して接続され、通信を行う。ＥＣＵ１０１ｅとバス１３０は、異常検知装置１１０ｅを間に介して接続され、通信を行う。ＥＣＵ１０１ｆとバス１３０は、異常検知装置１１０ｆを間に介して接続され、通信を行う。例えば、異常検知装置１１０ａに着目すると、異常検知装置１１０ａは、バス１３０と複数のＥＣＵのうちのいずれかの第１ＥＣＵ（ここではＥＣＵ１０１ａ）の間に配置される。ＥＣＵ１０１ａがバス１３０へ向けてメッセージを送信する際、および、ＥＣＵ１０１ａがバス１３０からメッセージが受信する際に、異常検知装置１１０ａを介してメッセージの送受信が行われる。
車載ネットワーク１００では、例えばＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）プロトコルに従って通信が行われる。
車載ネットワーク１００を構成するＥＣＵ１０１ａ、１０１ｂ、１０１ｃ、１０１ｄ、１０１ｅおよび１０１ｆとしては、例えば、ステアリング、ブレーキ、エンジン、ドアまたはウィンドウ等に関連したＥＣＵがあり、これらのＥＣＵは、走行制御やインストルメントパネルの制御等の車両１０の各種制御を行う。
ＥＣＵは、例えば、プロセッサ、メモリ等のデジタル回路、アナログ回路、通信回路等を含む装置である。メモリは、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等であり、プロセッサにより実行されるプログラムを記憶することができる。例えばプロセッサが、プログラムに従って動作することにより、ＥＣＵは各種機能を実現することになる。ＥＣＵは、例えば、ＣＡＮプロトコルに従って車載ネットワークにおけるネットワークバスを介してメッセージの送受信を行う。
各ＥＣＵは、ネットワークバスに対して、ＣＡＮのプロトコルに従ったメッセージを送受信する。例えば、ネットワークバスから他のＥＣＵが送信したメッセージを受信し、また、他のＥＣＵに送信したい内容を含むメッセージを生成してバスに送信する。具体的には、各ＥＣＵは、受信したメッセージの内容に応じた処理を行い、また、ＥＣＵに接続されている機器、センサ等の状態を示すメッセージもしくは他のＥＣＵへの指示値（制御値）等のメッセージを生成して送信する。
異常検知装置の詳細については後述する。
［１－２．車載ネットワーク構成（変形例１）］
図２は、車載ネットワーク１００の全体構成の変形例１を示す図である。図１の車載ネットワーク１００では、全てのＥＣＵに異常検知装置が接続されていたが、図２の車載ネットワーク１００は、一部のＥＣＵには異常検知装置が接続されていない場合の一例である。つまり、車載ネットワーク１００における複数のＥＣＵには、異常検知装置を介さずにバス１３０に接続されるＥＣＵが含まれていてもよい。
図２において、具体的にはＥＣＵ１０１ｃおよび１０１ｅには異常検知装置が接続されずに直接バス１３０に接続されている。図２に示すように、異常検知装置は必ずしも全てのＥＣＵに接続する必要はない。例えば、車両の安全性に大きな影響を及ぼす可能性の高い走行制御に関わるＥＣＵとバス１３０との間のみに異常検知装置を接続することでコストダウンを図ってもよい。
［１－３．車載ネットワーク構成（変形例２）］
図３は、車載ネットワーク１００の全体構成の変形例２を示す図であり、図１および図２の車載ネットワーク１００に対して、異常検知機能を持ったノードが存在する。以後、異常検知機能を持ったノードをＩＤＳＥＣＵとも表記する。図３において、ＩＤＳＥＣＵ１２０は、バス１３０を流れるメッセージの異常検知を行い、異常を検知した際はその情報を車載ネットワーク内の異常検知装置１１０ａ、１１０ｂ、１１０ｄ、１１０ｆに通知する。ＩＤＳＥＣＵ１２０を、異常検知装置を介してバス１３０に接続されたＥＣＵ（第１ＥＣＵ）と区別するために、第２ＥＣＵとも呼ぶ。
［１－４．ＣＡＮメッセージのフォーマット］
図４は、ＣＡＮプロトコルのデータフレームのフォーマットを示す図である。ここではＣＡＮプロトコルにおける標準ＩＤフォーマットにおけるデータフレームを示している。データフレームは、Ｓｔａｒｔ Ｏｆ Ｆｒａｍｅ（ＳＯＦ）、ＩＤフィールド、Ｒｅｍｏｔｅ Ｔｒａｎｓｉｍｉｓｓｉｏｎ Ｒｅｑｕｅｓｔ（ＲＴＲ）、ＩＤｅｎｔｉｆｉｅｒ Ｅｘｔｅｎｓｉｏｎ（ＩＤＥ）、予約ｂｉｔ（ｒ）、データレングスコード（ＤＬＣ）、データフィールド、ＣＲＣシーケンス、ＣＲＣデリミタ（ＤＥＬ）、Ａｃｋｎｏｗｌｅｄｇｅｍｅｎｔスロット（ＡＣＫ）、ＡＣＫデリミタ（ＤＥＬ）、および、エンドオブフレーム（ＥＯＦ）から構成される。ＩＤフィールドには、各ＥＣＵが送信するメッセージに固有のＩＤが格納される。
［１－５．ＥＣＵの送信ＩＤの仕様］
図５は、車載ネットワーク１００を構成するＥＣＵが送信するＩＤの仕様を示す図である。
本実施の形態の車載ネットワーク１００では、図５に示すように、同じＩＤのメッセージを複数のＥＣＵが送信しないものとする。例えば、エンジンＥＣＵが送信する「０ｘ１３」というＩＤを含むメッセージを、ブレーキＥＣＵまたはドア制御ＥＣＵは送信しない。同じＩＤのメッセージを複数のＥＣＵが送信しない、という仕様はＣＡＮを用いた通信において一般的である。異常検知装置は、この仕様を利用することで、車載ネットワーク１００における異常を容易に検知することを可能としている。
［１－６．ＩＤＳＥＣＵの構成］
図６は、ＩＤＳＥＣＵ１２０の構成図である。ＩＤＳＥＣＵ１２０は、ＣＡＮメッセージの送受信を行う通信部１２１と、受信したメッセージの異常検知を行う異常検知部１２２を持つＥＣＵであって、複数のＥＣＵのうちの第１ＥＣＵ（例えば、ＥＣＵ１０１ａ、ＥＣＵ１０１ｂ、ＥＣＵ１０１ｄおよびＥＣＵ１０１ｆ）とは異なる第２ＥＣＵである。
通信部１２１は、バス１３０に流れるメッセージを受信し、また、バス１３０に流れるメッセージに含まれる異常なＩＤを示す異常ＩＤ情報をバス１３０へ送信する。
異常検知部１２２は、通信部１２１が受信したバス１３０に流れるメッセージの異常検知を行う。例えば、ＩＤＳＥＣＵ１２０は、異常を判定するための判定ルールを保持しており、異常検知部１２２は、バス１３０から受信するメッセージを判定ルールに照らし合わせることで、メッセージの異常検知を行う。具体的には、異常検知部１２２は、判定ルールに基づいて、バス１３０を流れるメッセージの送信周期に異常があったり、バス１３０を流れるメッセージに含まれる指示値に異常があったりした場合に、当該メッセージを異常と検知する。
ＩＤＳＥＣＵ１２０は、通信部１２１で受信したメッセージを、異常検知部１２２で異常と検知した場合、そのメッセージに含まれる異常なＩＤを示す異常ＩＤ情報を通信部１２１からバス１３０を介して車載ネットワーク１００内の異常検知装置（図３に示す例では、異常検知装置１１０ａ、１１０ｂ、１１０ｄおよび１１０ｆ）に送信する。これにより、各異常検知装置は、異常なＩＤを認識することができる。
［１－７．異常検知装置の構成］
図７は、異常検知装置１１０ａの構成図である。図７には、異常検知装置１１０ａの他に、異常検知装置１１０ａに直接接続されたＥＣＵ１０１ａおよびバス１３０も示されている。本実施の形態では、複数の異常検知装置のうち異常検知装置１１０ａに着目して説明する。
異常検知装置１１０ａは、バス１３０とＥＣＵ１０１ａの間に配置される。
異常検知装置１１０ａは、通信部１１１、制御部１１２、送信済みＩＤリスト保持部１１３および受信済みＩＤリスト保持部１１４を備える。異常検知装置１１０ａは、例えば、プロセッサ、メモリ等のデジタル回路、アナログ回路、通信回路等を含む装置である。メモリは、ＲＯＭ、ＲＡＭ等であり、プロセッサにより実行されるプログラムを記憶することができる。例えば、プロセッサが、プログラムに従って動作することにより、異常検知装置１１０ａは制御部１１２を実現することになる。通信部１１１は、例えば通信回路により実現される。送信済みＩＤリスト保持部１１３および受信済みＩＤリスト保持部１１４は、例えばメモリにより実現される。
通信部１１１は、ＥＣＵ１０１ａからメッセージを受信して当該メッセージをバス１３０へ送信し、バス１３０からメッセージを受信して当該メッセージをＥＣＵ１０１ａへ送信する通信回路である。通信部１１１は、バス１３０からＥＣＵ１０１ａへ送信されるメッセージおよび、ＥＣＵ１０１ａからバス１３０へ送信されるメッセージを中継する機能を持つ。
送信済みＩＤリスト保持部１１３は、通信部１１１がＥＣＵ１０１ａから受信しバス１３０へ送信したメッセージのＩＤのリストである送信済みＩＤリストを保持する。送信済みＩＤリストについては後述する。
受信済みＩＤリスト保持部１１４は、通信部１１１がバス１３０から受信しＥＣＵ１０１ａへ送信したメッセージのＩＤのリストである受信済みＩＤリストを保持する。受信済みＩＤリストについては後述する。
制御部１１２は、通信部１１１、送信済みＩＤリスト保持部１１３および受信済みＩＤリスト保持部１１４を制御する。制御部１１２は、以下の処理を行う（それぞれ詳細は後述する）。
制御部１１２は、通信部１１１がバス１３０から受信したメッセージのＩＤが受信済みＩＤリストに存在しない場合に、当該ＩＤを受信済みＩＤリストに追加する。また、制御部１１２は、通信部１１１がＥＣＵ１０１ａから受信したメッセージのＩＤが受信済みＩＤリストに存在する場合に、当該メッセージをバス１３０へ送信しない。例えば、制御部１１２は、通信部１１１がＥＣＵ１０１ａから受信したメッセージのＩＤが受信済みＩＤリストに存在する場合に、ＥＣＵ１０１ａをバス１３０から隔離する。
また、制御部１１２は、通信部１１１が複数のＥＣＵのうちの他のＥＣＵ（具体的にはＩＤＳＥＣＵ１２０）から送信された異常なＩＤを示す異常ＩＤ情報をバス１３０から受信した場合に、受信済みＩＤリストから異常ＩＤ情報が示すＩＤを消去する。
また、制御部１１２は、通信部１１１がバス１３０からメッセージを受信したとき、当該メッセージのＩＤについて記録されるメッセージ受信回数を更新する。また、制御部１１２は、車載ネットワーク１００を搭載した車両１０のシャットダウン時に、受信済みＩＤリストに含まれるＩＤのうち、受信済みＩＤリスト保持部１１４に記録されたメッセージ受信回数、または、当該メッセージ受信回数に基づくメッセージ受信頻度が所定の値以下となっているＩＤを不揮発性メモリに退避させ、車両１０の起動時に、不揮発性メモリに退避させたＩＤを受信済みＩＤリストに追加する。また、制御部１１２は、車両１０の起動時に、前回の起動時からＥＣＵ１０１ａのファームウェア情報が変更されている場合に、不揮発性メモリに退避させたＩＤを消去し、当該ＩＤを受信済みＩＤリストに追加しない。
また、制御部１１２は、ＥＣＵ１０１ａから受信したメッセージのＩＤが送信済みＩＤリストに存在しない場合に、当該ＩＤを送信済みＩＤリストに追加する。また、制御部１１２は、通信部１１１がバス１３０から受信したメッセージのＩＤが送信済みＩＤリストに存在する場合、当該メッセージをＥＣＵ１０１ａへ送信しない。
また、制御部１１２は、通信部１１１がＥＣＵ１０１ａからメッセージを受信したときに、当該メッセージのＩＤについて記録されるメッセージ送信回数を更新する。また、制御部１１２は、車載ネットワーク１００を搭載した車両１０のシャットダウン時に、送信済みＩＤリストに含まれるＩＤのうち、送信済みＩＤリスト保持部１１３に記録されたメッセージ送信回数、または、当該メッセージ送信回数に基づくメッセージ送信頻度が所定の値以下となっているＩＤを不揮発性メモリに退避させ、車両１０の起動時に、不揮発性メモリに退避させたＩＤを送信済みＩＤリストに追加する。制御部１１２は、車両１０の起動時に、前回の起動時からＥＣＵ１０１ａのファームウェア情報が変更されている場合に、不揮発性メモリに退避させたＩＤを消去し、当該ＩＤを送信済みＩＤリストに追加しない。
なお、異常検知装置１１０ｂ、１１０ｃ、１１０ｄ、１１０ｅおよび１１０ｆは、異常検知装置１１０ａと同様の構成であり、異常検知装置１１０ａと同様のことが言えるため説明は省略する。ただし、異常検知装置１１０ｂ、１１０ｃ、１１０ｄ、１１０ｅおよび１１０ｆに接続されるＥＣＵはそれぞれＥＣＵ１０１ｂ、１０１ｃ、１０１ｄ、１０１ｅおよび１０１ｆである点が異なる。
［１－８．異常検知機能を有するＥＣＵの構成］
図８は、異常検知機能を有するＥＣＵ１０１ｇの構成図である。図８において、ＥＣＵ１０１ｇは、図７に示した異常検知装置１１０ａをＥＣＵに実装した場合の構成を示している。具体的には、異常検知装置１１０ａが有する機能を異常検知部１１０ｇとして示し、ＥＣＵ１０１ａが有する車両制御等に関する処理を行う機能をＥＣＵ処理部１１５として示している。この場合、異常検知部１１０ｇ（異常検知装置１１０ａに対応）は、バス１３０とＥＣＵ処理部１１５（ＥＣＵ１０１ａに対応）の間に配置されることになる。図８に示すように、異常検知機能はＥＣＵに直接実装されてもよい。
［１－９．受信済みＩＤリスト例］
図９は、受信済みＩＤリストの一例を示す図である。受信済みＩＤリストは、受信済みＩＤリスト保持部１１４に保持される。受信済みＩＤリスト保持部１１４は、異常検知装置１１０ａに接続されたＥＣＵ１０１ａが受信したメッセージのＩＤ、受信済みＩＤリストに含まれるＩＤ毎のメッセージ受信回数を記録する領域を持つ。言い換えると、受信済みＩＤリストには、例えば、異常検知装置１１０ａに接続されたＥＣＵ１０１ａが受信したメッセージのＩＤ、そのＩＤを持つメッセージの車両１０の起動時からのメッセージ受信回数、および、メッセージ受信回数に基づくメッセージ受信頻度（例えば最近１分間の受信回数）が含まれる。なお、ＥＣＵ１０１ａが受信したメッセージとは、異常検知装置１１０ａがバス１３０から受信して、異常検知装置１１０ａがＥＣＵ１０１ａへ送信したメッセージのことである。制御部１１２は、受信済みＩＤリスト保持部１１４を制御することで、受信済みＩＤリストに含まれるこれらの情報を更新する。具体的には、制御部１１２は、通信部１１１がバス１３０からメッセージを受信して当該メッセージをＥＣＵ１０１ａへ送信したときに当該メッセージに含まれるＩＤを受信済みＩＤリストに追加する。また、制御部１１２は、メッセージに含まれるＩＤごとにメッセージをＥＣＵ１０１ａへ送信した回数を車両１０の起動時からカウントすることで、ＩＤごとにＥＣＵ１０１ａがメッセージを受信した受信回数を更新する。また、制御部１１２は、例えば、１分ごとに最近１分間の受信回数を更新する。
図９では、ＩＤとして０ｘ２５、０ｘ２７、０ｘ８９のメッセージのそれぞれについて、受信回数および最近１分間の受信回数が受信済みＩＤリスト保持部１１４に保持されていることを示している。
なお、図９では最近１分間の受信回数が示されているが、最近３０分間もしくは最近１時間等の受信回数、または、車両起動時からの受信回数を車両起動時間で割った回数等が保持されるように受信済みＩＤリスト保持部１１４を構成してもよい。
［１－１０．送信済みＩＤリスト例］
図１０は、送信済みＩＤリストの一例を示す図である。送信済みＩＤリストは、送信済みＩＤリスト保持部１１３に保持される。送信済みＩＤリスト保持部１１３は、異常検知装置１１０ａに接続されたＥＣＵ１０１ａが送信したメッセージのＩＤ、送信済みＩＤリストに含まれるＩＤ毎のメッセージ送信回数を記録する領域を持つ。言い換えると、送信済みＩＤリストは、異常検知装置１１０ａに接続されたＥＣＵ１０１ａが送信したメッセージのＩＤ、そのＩＤを持つメッセージの車両１０の起動時からのメッセージ送信回数、および、メッセージ送信回数に基づくメッセージ送信頻度（例えば最近１分間の送信回数）が含まれる。なお、ＥＣＵ１０１ａが送信したメッセージとは、異常検知装置１１０ａがＥＣＵ１０１ａから受信して、異常検知装置１１０ａがバス１３０へ送信したメッセージのことである。制御部１１２は、送信済みＩＤリスト保持部１１３を制御することで、送信済みＩＤリストに含まれるこれらの情報を更新する。具体的には、制御部１１２は、通信部１１１がＥＣＵ１０１ａからメッセージを受信して当該メッセージをバス１３０へ送信したときに当該メッセージに含まれるＩＤを送信済みＩＤリストに追加する。また、制御部１１２は、メッセージに含まれるＩＤごとにメッセージをバス１３０へ送信した回数を車両１０の起動時からカウントすることで、ＩＤごとにＥＣＵ１０１ａがメッセージを送信した送信回数を更新する。また、制御部１１２は、例えば、１分ごとに最近１分間の送信回数を更新する。
図１０では、ＩＤとして０ｘ２５３、０ｘ２７２、０ｘ３４９のメッセージのそれぞれについて、送信回数および最近１分間の送信回数が送信済みＩＤリスト保持部１１３に保持されていることを示している。
なお、図１０では最近１分間の送信回数が示されているが、最近３０分間または最近１時間等の送信回数等が保持されるように送信済みＩＤリスト保持部１１３を構成してもよい。
［１－１１．受信済みＩＤリストのアップデート処理シーケンス］
図１１は、受信済みＩＤリストのアップデート処理のシーケンスを示す図である。図１１では異常検知装置１１０ａが、受信済みＩＤリストに存在しないＩＤのメッセージをバス１３０から受信した場合の受信済みＩＤリストのアップデート処理のシーケンスの一例である。
ステップＳ１１１では、バス１３０から異常検知装置１１０ａにメッセージが送信される。
ステップＳ１１２では、異常検知装置１１０ａがバス１３０から受信したメッセージのＩＤを読み出す。
ステップＳ１１３では、異常検知装置１１０ａは、ステップＳ１１２で読み出したＩＤが受信済みＩＤリストに存在するか否かを確認し、読み出したＩＤが受信済みＩＤリストに存在していないと判断する場合、受信済みＩＤリストに、読み出したＩＤを追加する。
ステップＳ１１４では、異常検知装置１１０ａがバス１３０から受信したメッセージをＥＣＵ１０１ａに転送する。
このようにして、異常検知装置１１０ａは、バス１３０から受信したメッセージのＩＤを受信済みＩＤリストに追加していく。つまり、異常検知装置１１０ａは、複数のＥＣＵのうち、自身を介してバス１３０と接続されたＥＣＵ１０１ａ以外のＥＣＵがバス１３０へ送信したメッセージのＩＤを受信済みＩＤリストに追加していく。車載ネットワーク１００における複数のＥＣＵのそれぞれは、同じＩＤを含むメッセージを送信しないという仕様のもとでは、受信済みＩＤリストは、ＥＣＵ１０１ａが送信しないメッセージのＩＤのリストとなる。
［１－１２．受信済みＩＤリストによる異常検知処理シーケンス］
図１２は、受信済みＩＤリストを用いた異常検知処理のシーケンスを示す図である。図１２では、受信済みＩＤリストにあるＩＤのメッセージ（つまり、ＥＣＵ１０１ａが送信しないメッセージ）をＥＣＵ１０１ａが送信した場合のシーケンスの一例である。
ステップＳ１２１では、ＥＣＵ１０１ａから異常検知装置１１０ａにメッセージが送信される。これにより、異常検知装置１１０ａは、ＥＣＵ１０１ａから送信されたメッセージを受信する。
ステップＳ１２２では、異常検知装置１１０ａが受信したメッセージのＩＤを読み出す。
ステップＳ１２３では、異常検知装置１１０ａは、ステップＳ１２２で読み出したＩＤが受信済みＩＤリストに存在するか否かを確認し、読み出したＩＤが受信済みＩＤリストに存在していると判断する。この場合、本来ＥＣＵ１０１ａが送信するはずのないメッセージをＥＣＵ１０１ａが送信していることになる。つまり、ＥＣＵ１０１ａが異常なメッセージを送信していることがわかる。
ステップＳ１２４では、異常検知装置１１０ａは、ＥＣＵ１０１ａが送信したメッセージをバス１３０へ送信することを中止する。このような場合に、ＥＣＵ１０１ａからのメッセージをバス１３０に送信しないようにすることで、異常なメッセージがバス１３０に流れることを抑制できる。
ステップＳ１２５では、異常検知装置１１０ａは、ＥＣＵ１０１ａが異常であることをバス１３０に送信し、バス１３０に接続されたＥＣＵ１０１ａ以外の各ノードにＥＣＵ１０１ａが異常であることを通知する。例えば、ＥＣＵ１０１ａに異常があることをＥＣＵ１０１ａ以外の各ノードが認識することで、各ノードは、ＥＣＵ１０１ａの機能に応じて適切な処理ができる。例えば、ＥＣＵ１０１ａが車両１０の走行に関するＥＣＵである場合、各ノードは、車両１０を停止させるような処理をすることができる。
ステップＳ１２６では、異常検知装置１１０ａは、ＥＣＵ１０１ａが異常であるという通知をＥＣＵ１０１ａ自身に送信する。ＥＣＵ１０１ａが自身に異常があることを認識することで、ＥＣＵ１０１ａは、ＥＣＵ１０１ａの異常の程度にもよるが、例えばフェイルセーフ機能を起動させることができる。
［１－１３．送信済みＩＤリストのアップデート処理シーケンス］
図１３は、送信済みＩＤリストのアップデート処理のシーケンスを示す図である。図１３では、送信済みＩＤリストに存在しないＩＤを異常検知装置１１０ａが自身に接続されたＥＣＵ１０１ａから受信した場合の送信済みＩＤリストのアップデート処理のシーケンスの一例である。
ステップＳ１３１では、ＥＣＵ１０１ａから異常検知装置１１０ａへメッセージが送信される。
ステップＳ１３２では、ＥＣＵ１０１ａが送信したメッセージを異常検知装置１１０ａが受信し、ＩＤを読み出す。
ステップＳ１３３では、異常検知装置１１０ａは、ステップＳ１３２で読み出したＩＤが送信済みＩＤリストに存在するか否かを確認し、読み出したＩＤが送信済みＩＤリストに存在していないと判断する場合、送信済みＩＤリストに、読み出したＩＤを追加する。
ステップＳ１３４では、異常検知装置１１０ａがＥＣＵ１０１ａから受信したメッセージをバス１３０に転送する。
このようにして、異常検知装置１１０ａは、ＥＣＵ１０１ａから受信したメッセージのＩＤを送信済みＩＤリストに追加していく。つまり、異常検知装置１１０ａは、複数のＥＣＵのうち、自身を介してバス１３０と接続されたＥＣＵ１０１ａがバス１３０へ送信したメッセージのＩＤを送信済みＩＤリストに追加していく。車載ネットワーク１００における複数のＥＣＵのそれぞれは、同じＩＤを含むメッセージを送信しないという仕様のもとでは、送信済みＩＤリストは、ＥＣＵ１０１ａ以外のＥＣＵ等が送信しないメッセージのＩＤのリストとなる。
［１－１４．送信済みＩＤリストによる異常検知処理シーケンス］
図１４は、送信済みＩＤリストを用いた異常検知処理のシーケンスを示す図である。図１４では、送信済みＩＤリストに存在するＩＤのメッセージ（つまり、ＥＣＵ１０１ａ以外のＥＣＵ等が送信しないメッセージ）がバス１３０に送信された場合のシーケンスである。
ステップＳ１４１では、バス１３０から異常検知装置１１０ａにメッセージが送信される。これにより、異常検知装置１１０ａは、バス１３０からのメッセージを受信する。
ステップＳ１４２では、異常検知装置１１０ａが受信したメッセージのＩＤを読み出す。
ステップＳ１４３では、異常検知装置１１０ａは、ステップＳ１４２で読み出したＩＤが送信済みＩＤリストに存在するか否かを確認し、読み出したＩＤが送信済みＩＤリストに存在していると判断する。この場合、本来ＥＣＵ１０１ａ以外のＥＣＵ等が送信するはずのないメッセージをＥＣＵ１０１ａ以外のＥＣＵ等が送信していることになる。つまり、ＥＣＵ１０１ａ以外のＥＣＵ等が異常なメッセージを送信していることがわかる。
ステップＳ１４４では、異常検知装置１１０ａは、バス１３０が送信したメッセージをＥＣＵ１０１ａへ送信することを中止している。このような場合に、ＥＣＵ１０１ａ以外のＥＣＵ等からのメッセージをＥＣＵ１０１ａに送信しないようにすることで、異常なメッセージがＥＣＵ１０１ａに送信されることを抑制できる。
ステップＳ１４５では、異常検知装置１１０ａは、車載ネットワーク１００に異常なＥＣＵ等が存在することをＥＣＵ１０１ａに通知している。例えば、異常なＥＣＵ等は、ＥＣＵ１０１ａが送信するメッセージに含まれるＩＤを使って不正メッセージを送信しているため、ＥＣＵ１０１ａになりすまそうとしている可能性がある。このため、ＥＣＵ１０１ａは、自身が有する機能に応じて適切な処理ができる。例えば、ＥＣＵ１０１ａが車両１０の走行に関するＥＣＵである場合、ＥＣＵ１０１ａは、車両１０を停止させるような処理をすることができる。
ステップＳ１４６では、異常検知装置１１０ａは、車載ネットワーク１００に異常なＥＣＵ等が存在することをバス１３０に通知する。つまり、異常検知装置１１０ａは、バス１３０に接続されたＥＣＵ１０１ａ以外のＥＣＵ１０１ｂ、１０１ｃ、１０１ｄ、１０１ｅ、１０１ｆにその旨を通知する。これにより、各ＥＣＵは、ＥＣＵ１０１ａが有する機能に応じて適切な処理ができる。
［１－１５．ＩＤＳＥＣＵが異常を検知した場合のシーケンス］
図１１から図１４では、送信済みＩＤリストに含まれるＩＤおよび受信済みＩＤリストに含まれるＩＤが正規なＩＤであるとして説明した。基本的には、車両１０が起動してすぐに各ＥＣＵからのメッセージの送信が開始され、送信済みＩＤリストおよび受信済みＩＤリストには、すぐに正規のＩＤが追加されることになるためである。
しかし、車両１０が起動した後、送信済みＩＤリストおよび受信済みＩＤリストに正規のＩＤが追加される前に、攻撃者によって攻撃を受けて異常なＩＤが送信済みＩＤリストまたは受信済みＩＤリストに追加される場合も考えられる。
以下では、正規のＩＤが追加される前に、異常なＩＤ（例えばＥＣＵ１０１ａが送信する正規のメッセージに含まれるＩＤ）が異常検知装置１１０ａの受信済みＩＤリストに追加された場合の処理について説明する。
図１５は、ＩＤＳＥＣＵ１２０が異常を検知した場合の処理のシーケンスを示す図である。図１５では、図３に示すように、車載ネットワーク１００にＩＤＳＥＣＵ１２０が存在する場合に、ＩＤＳＥＣＵ１２０が異常を検知した場合の処理のシーケンスの一例である。ＩＤＳＥＣＵ１２０が異常を検知した場合は、検知した異常なメッセージに含まれる異常なＩＤを異常検知装置１１０ａが保持する受信済みＩＤリストから消去する。
ステップＳ１５１では、バス１３０からＩＤＳＥＣＵ１２０へメッセージが送信される。
ステップＳ１５２では、ＩＤＳＥＣＵ１２０が受信したメッセージの異常判定を行い、受信したメッセージは異常と判定する。
ステップＳ１５３では、ＩＤＳＥＣＵ１２０は、異常と判定したメッセージの異常なＩＤを示す異常ＩＤ情報をバス１３０へ送信する。
ステップＳ１５４では、バス１３０に送信された、ＩＤＳＥＣＵ１２０で異常と判定されたメッセージについての異常ＩＤ情報を、バス１３０に接続された異常検知装置１１０ａは受信する。なお、ＩＤＳＥＣＵ１２０で異常と判定されたメッセージについての異常ＩＤ情報は、バス１３０に接続された全ての異常検知装置、すなわち、異常検知装置１１０ａ、１１０ｂ、１１０ｄ、１１０ｆに通知される。
ステップＳ１５５では、異常検知装置１１０ａが受信済みＩＤリストから、ＩＤＳＥＣＵ１２０で異常と判定されたメッセージのＩＤ（つまり、異常ＩＤ情報が示すＩＤ）を消去する。
このように、正規メッセージがバス１３０に流れる前に、攻撃者が不正メッセージをバス１３０へ送信した場合であっても、受信済みＩＤリストを修正して、受信済みＩＤリストに追加された不正メッセージに含まれるＩＤ（例えばＥＣＵ１０１ａが送信するメッセージに含まれるＩＤ）を受信済みＩＤリストから消去することで正規メッセージ（例えば正規なＥＣＵ１０１ａが送信するメッセージ）を不正メッセージであると異常検知装置１１０ａが誤検知することを防止することが可能である。すなわち、正規なＥＣＵ１０１ａが送信するメッセージに含まれるＩＤが受信済みＩＤリストに存在しなくなるため、正規なＥＣＵ１０１ａからバス１３０へのメッセージの送信が可能となる。
［１－１６．異常検知装置の全体処理フロー］
図１６は、実施の形態１における異常検知装置１１０ａの全体処理のフローチャートである。異常検知装置１１０ａは、異常検知装置１１０ａに接続されるＥＣＵ１０１ａとバス１３０間で送受信されるメッセージを受信し、メッセージがバス１３０からＥＣＵ１０１ａへ送信されたものか、ＥＣＵ１０１ａからバス１３０へ送信されたものかに応じて受信済みＩＤリストまたは送信済みＩＤリストの更新とメッセージの異常判定を行い、異常を検知した場合はＥＣＵ１０１ａまたはバス１３０へのメッセージの転送を中止する。
ステップＳ１６１では、異常検知装置１１０ａがバス１３０または、異常検知装置１１０ａに接続されたＥＣＵ１０１ａからメッセージを受信する。
ステップＳ１６２では、異常検知装置１１０ａは、受信したメッセージがＥＣＵ１０１ａから送信されたメッセージか、バス１３０から送信されたメッセージかを判定する。例えば、異常検知装置１１０ａは、ＥＣＵ１０１ａに接続された入出力端子と、バス１３０に接続された入出力端子を有し、どちらの入出力端子からメッセージを受信したかに応じて上記判定を行ってもよい。
ステップＳ１６３およびＳ１６４は、受信したメッセージがバス１３０から送信された場合（ステップＳ１６２で「バス」の場合）の処理であり、異常検知装置１１０ａは、受信済みＩＤリストの更新処理および、送信済みＩＤリストによる異常検知処理を行う。
ステップＳ１６５およびステップＳ１６６は、受信したメッセージがＥＣＵ１０１ａから送信された場合（ステップＳ１６２で「ＥＣＵ」の場合）の処理であり、異常検知装置１１０ａは、送信済みＩＤリスト更新処理および、受信済みＩＤリストによる異常検知処理を行う。
ステップＳ１６３は、図１７を用いて後述し、ステップＳ１６４は、図２１を用いて後述し、ステップＳ１６５は、図１８を用いて後述し、ステップＳ１６６は、図１９および図２０を用いて後述する。
［１－１７．受信済みＩＤリスト更新処理フロー］
図１７は、受信済みＩＤリスト更新処理のフローチャートである。図１７は、図１６のステップＳ１６３の受信済みＩＤリスト更新処理の詳細な処理フローである。異常検知装置１１０ａは、バス１３０からメッセージが送信された際に、受信済みＩＤリスト保持部１１４に保持している受信済みＩＤリストを更新する。
ステップＳ１７１では、異常検知装置１１０ａは、バス１３０から受信したメッセージのＩＤを読み出す。
ステップＳ１７２では、異常検知装置１１０ａは、受信済みＩＤリストにステップＳ１７１で読み出したＩＤが存在するか否かを判断する。
異常検知装置１１０ａは、受信済みＩＤリストに読み出したＩＤが存在しない場合（ステップＳ１７２でＮＯの場合）は、ステップＳ１７３で、受信済みＩＤリストに読み出したＩＤを追加する。異常検知装置１１０ａは、受信済みＩＤリストに読み出したＩＤが存在する場合（ステップＳ１７２でＹＥＳの場合）は、ステップＳ１７４の処理を行う。
ステップＳ１７４では、異常検知装置１１０ａは、読み出したＩＤについて、受信済みＩＤリスト保持部１１４に記録されるメッセージ受信回数をインクリメントして更新する。
［１－１８．送信済みＩＤリスト更新処理フロー］
図１８は、送信済みＩＤリスト更新処理のフローチャートである。図１８は、図１６のステップＳ１６５の送信済みＩＤリスト更新処理の詳細な処理フローである。異常検知装置１１０ａは、ＥＣＵ１０１ａからメッセージが送信された際に、送信済みＩＤリスト保持部１１３に保持している送信済みＩＤリストを更新する。
ステップＳ１８１では、異常検知装置１１０ａは、ＥＣＵ１０１ａから受信したメッセージのＩＤを読み出す。
ステップＳ１８２では、異常検知装置１１０ａは、送信済みＩＤリストにステップＳ１８１で読み出したＩＤが存在するか否かを判断する。
異常検知装置１１０ａは、送信済みＩＤリストに読み出したＩＤが存在しない場合（ステップＳ１８２でＮＯの場合）は、ステップＳ１８３で、送信済みＩＤリストに読み出したＩＤを追加する。異常検知装置１１０ａは、送信済みＩＤリストに読み出したＩＤが存在する場合（ステップＳ１８２でＹＥＳの場合）は、ステップＳ１８４の処理を行う。
ステップＳ１８４では、異常検知装置１１０ａは、読み出したＩＤについて、送信済みＩＤリスト保持部１１３に記録されるメッセージ送信回数をインクリメントして更新する。
［１－１９．受信済みＩＤリストによる異常検知処理フロー］
図１９は、受信済みＩＤリストによる異常検知処理のフローチャートである。図１９は、図１６のステップＳ１６６の受信済みＩＤリストによる、異常検知装置１１０ａに接続されたＥＣＵ１０１ａの異常検知処理の詳細な処理フローである。
ステップＳ１９１では、異常検知装置１１０ａは、ＥＣＵ１０１ａから受信したメッセージのＩＤを読み出す。
ステップＳ１９２では、異常検知装置１１０ａは、読み出したＩＤが受信済みＩＤリストに存在するか否かを判断する。
異常検知装置１１０ａは、読み出したＩＤが受信済みＩＤリストに存在する場合（ステップＳ１９２でＹＥＳの場合）、ＥＣＵ１０１ａから受信したメッセージが異常であると検知して、ステップＳ１９３、Ｓ１９４およびＳ１９５の処理を行う。異常検知装置１１０ａは、読み出したＩＤが受信済みＩＤリストに存在しない場合（ステップＳ１９２でＮＯの場合）、ＥＣＵ１０１ａから受信したメッセージは正常であると検知して、ステップＳ１９６の処理を行う。
ステップＳ１９３では、異常検知装置１１０ａは、受信したメッセージを破棄する。つまり、異常検知装置１１０ａは、ＥＣＵ１０１ａから受信したメッセージをバス１３０へ送信しない。ＥＣＵ１０１ａからのメッセージをバス１３０に送信しないようにすることで、異常なメッセージがバス１３０に流れることを抑制できる。
ステップＳ１９４では、異常検知装置１１０ａは、ＥＣＵ１０１ａが異常であるとバス１３０に通知する。
ステップＳ１９５では、異常検知装置１１０ａは、ＥＣＵ１０１ａにＥＣＵ１０１ａが異常であると通知する。
一方で、ステップＳ１９６では、異常検知装置１１０ａは、ＥＣＵ１０１ａから受信したメッセージは正常なため、バス１３０へ当該メッセージを転送する。
［１－２０．受信済みＩＤリストによる異常検知処理フロー（変形例）］
図２０は、受信済みＩＤリストによる異常検知処理の変形例のフローチャートである。図２０は、図１６のステップＳ１６６の受信済みＩＤリストによる異常検知処理の変形例の詳細な処理フローである。図１９における受信済みＩＤリストによる異常検知処理では、受信したメッセージのＩＤが受信済みＩＤリストに存在する場合、異常検知装置１１０ａは、ステップＳ１９３にて受信したメッセージを破棄しバス１３０に転送しないという処理を行うようにしたが、図２０の変形例では、ステップＳ１９３の処理を実施せず、代わりにステップＳ２０１の処理を実施する。具体的には、異常検知装置１１０ａは、ＥＣＵ１０１ａをバス１３０から隔離する。より具体的には、異常検知装置１１０ａは、ＥＣＵ１０１ａから受信するメッセージをすべて遮断する。これにより、ＥＣＵ１０１ａをバス１３０から隔離し被害が拡大することを防止して、異常メッセージのみを遮断する場合と比べて、車載ネットワーク１００に不正なＥＣＵが与える影響をより軽減できる。なお、例えば、異常検知装置１１０ａとＥＣＵ１０１ａとの間に異常検知装置１１０ａとＥＣＵ１０１ａとの接続および非接続を切り替えるスイッチが設けられていてもよく、当該スイッチの切り替えによって異常検知装置１１０ａとＥＣＵ１０１ａと接続されないようにすることで、ＥＣＵ１０１ａをバス１３０から隔離してもよい。
［１－２１．送信済みＩＤリストによる異常検知処理フロー］
図２１は、送信済みＩＤリストによる異常検知処理のフローチャートである。図２１は、図１６のステップＳ１６４の送信済みＩＤリストによる、バス１３０に存在するＥＣＵの異常検知処理の詳細な処理フローである。
ステップＳ２１１では、異常検知装置１１０ａは、バス１３０から受信したメッセージのＩＤを読み出す。
ステップＳ２１２では、異常検知装置１１０ａは、読み出したＩＤが送信済みＩＤリストに存在するか否かを判断する。
異常検知装置１１０ａは、読み出したＩＤが送信済みＩＤリストに存在する場合（ステップＳ２１２でＹＥＳの場合）、バス１３０から受信したメッセージが異常であると検知して、ステップＳ２１３、Ｓ２１４およびＳ２１５の処理を行う。異常検知装置１１０ａは、読み出したＩＤが送信済みＩＤリストに存在しない場合（ステップＳ２１２でＮＯの場合）、バス１３０から受信したメッセージは正常であると検知して、ステップＳ２１６の処理を行う。
ステップＳ２１３では、異常検知装置１１０ａは、受信したメッセージを破棄する。つまり、異常検知装置１１０ａは、バス１３０から受信したメッセージをＥＣＵ１０１ａへ送信しない。バス１３０に存在するＥＣＵからのメッセージをＥＣＵ１０１ａに送信しないようにすることで、異常なメッセージがＥＣＵ１０１ａに送信されることを抑制できる。
ステップＳ２１４では、異常検知装置１１０ａは、バス１３０に異常なＥＣＵが存在することをバス１３０に通知する。
ステップＳ２１５では、異常検知装置１１０ａは、ＥＣＵ１０１ａにバス１３０に異常なＥＣＵが存在することを通知する。
一方で、ステップＳ２１６では、異常検知装置１１０ａは、バス１３０から受信したメッセージは正常なため、ＥＣＵ１０１ａへ当該メッセージを転送する。
以上のように、車載ネットワーク１００内に必ずしもＩＤＳＥＣＵ１２０を追加（つまり、ネットワークトラフィックおよびコストが増大）したり、各ＥＣＵが送信するメッセージのＩＤを予め記憶させておいたりすることなく、車載ネットワーク１００における異常を容易に検知できる。
［１－２２．異常検知装置がＩＤＳＥＣＵから異常通知を受信した場合の処理フロー］
図２２は、異常検知装置がＩＤＳＥＣＵ１２０から異常通知を受信した場合の処理のフローチャートである。なお、図２２には、異常検知装置がＩＤＳＥＣＵ１２０から異常通知を受信する前のＩＤＳＥＣＵ１２０での処理（ステップＳ２２１からステップＳ２２４）についても示している。
ステップＳ２２１では、ＩＤＳＥＣＵ１２０がバス１３０からメッセージを受信する。
ステップＳ２２２では、ＩＤＳＥＣＵ１２０は受信したメッセージの異常判定を行う。
ステップＳ２２３では、ステップＳ２２２の異常判定の結果が異常か否かを判断する。ＩＤＳＥＣＵ１２０は、異常判定の結果が異常である場合（ステップＳ２２３でＹＥＳの場合）、ステップＳ２２４の処理を行い、異常判定の結果が異常でない場合（ステップＳ２２３でＮＯの場合）、処理を終了する。
ステップＳ２２４では、ＩＤＳＥＣＵ１２０は、異常と判定したメッセージに含まれる異常なＩＤを示す異常ＩＤ情報をバス１３０に接続されている異常検知装置１１０ａ、１１０ｂ、１１０ｄおよび１１０ｆに通知する。ここでは、異常検知装置１１０ａに着目して説明する。
ステップＳ２２５では、異常検知装置１１０ａが、ＩＤＳＥＣＵ１２０から送信された異常なＩＤを示す異常ＩＤ情報をバス１３０から受信する。異常検知装置１１０ａは、ＩＤＳＥＣＵ１２０から送信された異常なＩＤを示す異常ＩＤ情報をバス１３０から受信した場合に、受信済みＩＤリストから異常ＩＤ情報が示すＩＤを消去する。具体的には以下の処理が行われる。
ステップＳ２２６では、異常検知装置１１０ａは、受信した異常ＩＤ情報が示す異常なＩＤが受信済みＩＤリストに存在するか否かを判断する。異常なＩＤが受信済みＩＤリストに存在する場合（ステップＳ２２６でＹＥＳの場合）は、異常検知装置１１０ａは、ステップＳ２２７の処理を行い、異常なＩＤが受信済みＩＤリストに存在しない場合（ステップＳ２２６でＮＯの場合）は、異常検知装置１１０ａは、処理を終了する。
ステップＳ２２７では、異常検知装置１１０ａは、受信済みＩＤリストから異常なＩＤを消去する。
正規メッセージがバス１３０に流れる前に、攻撃者が不正メッセージをバス１３０へ送信する場合が考えられる。この場合、受信済みＩＤリストに不正メッセージに含まれるＩＤが追加されることになる。例えば、正規なＥＣＵ１０１ａが送信するメッセージに含まれるＩＤが不正メッセージに含まれる場合、正規なＥＣＵ１０１ａから送信される正規メッセージが不正メッセージであると判定されてしまう。つまり、以降は、正規メッセージがバス１３０へ送信されず、攻撃者がＥＣＵ１０１ａになりすまして不正メッセージがバス１３０へ送信されることになる。これに対して、上記説明のように、例えばＩＤＳＥＣＵ１２０が車載ネットワーク１００に配置されることで、攻撃者が送信した不正メッセージを検知することが可能となる。したがって、正規メッセージがバス１３０に流れる前に、攻撃者が不正メッセージをバス１３０へ送信した場合（つまり、受信済みＩＤリストが汚染された場合）であっても、受信済みＩＤリストを修正して、受信済みＩＤリストに追加された不正メッセージに含まれるＩＤ（例えばＥＣＵ１０１ａが送信するメッセージに含まれるＩＤ）を受信済みＩＤリストから消去することで正規メッセージを不正メッセージであると異常検知装置１１０ａが誤検知することを防止することが可能である。
［１－２３．異常検知装置の全体処理フロー（変形例）］
図２３は、異常検知装置１１０ａの全体処理の変形例を記載したフローチャートである。図２３は、図１６の異常検知装置１１０ａの全体処理のフローチャートの変形例である。具体的には、図２３では、図１６の全体処理に加えて、ステップＳ１６７の車両シャットダウン操作があるか否かの判断の処理、ステップＳ２３１の車両１０の起動時の処理、および、ステップＳ２３２の車両１０のシャットダウン時の処理が追加されている。
ステップＳ２３１は、後ほど図２７にて詳細に説明する。
ステップＳ１６７では、異常検知装置１１０ａは、車両シャットダウン操作があれば（ステップＳ１６７でＹＥＳの場合）、ステップＳ２３２を行い、車両シャットダウン操作がなければ（ステップＳ１６７でＮＯの場合）、ステップＳ１６１に戻る。ステップＳ２３２については、図２４から図２６にて詳細に説明する。
［１－２４．車両シャットダウン時の処理フロー］
図２４は、異常検知装置１１０ａの車両シャットダウン時の処理のフローチャートである。図２４は、図２３のステップＳ２３２の異常検知装置１１０ａの車両シャットダウン時の処理の詳細なフローチャートである。
ステップＳ２４１では、異常検知装置１１０ａは、低頻度受信済みＩＤ退避処理を行う。ステップＳ２４１の処理は、図２５にて詳細に説明する。
ステップＳ２４２では、異常検知装置１１０ａは、低頻度送信済みＩＤ退避処理を行う。ステップＳ２４２の処理は、図２６にて詳細に説明する。
［１－２５．低頻度受信済みＩＤの退避処理フロー］
図２５は、低頻度受信済みＩＤの退避の処理のフローチャートである。図２５は、図２４のステップＳ２４１の低頻度受信済みＩＤ退避処理の詳細な処理のフローチャートである。
ステップＳ２５１では、異常検知装置１１０ａは、受信済みＩＤリストから、低頻度受信済みＩＤの退避の処理においてまだ選択していないＩＤを選択する。
ステップＳ２５２では、異常検知装置１１０ａは、選択したＩＤについて、受信済みＩＤリスト保持部１１４に記録されたメッセージ受信回数に基づくメッセージ受信頻度を算出する。例えば、異常検知装置１１０ａは、メッセージ受信回数を車両１０の起動からシャットダウンまでの時間で割ることでメッセージ受信頻度を算出する。なお、異常検知装置１１０ａは、選択したＩＤについて、受信済みＩＤリスト保持部１１４に記録されたメッセージ受信回数を取得してもよい。メッセージ受信回数は、例えば、シャットダウン前最近１分間、３０分間または１時間等の所定の時間にＥＣＵ１０１ａがバス１３０からメッセージを受信した回数であってもよい。
ステップＳ２５３では、異常検知装置１１０ａは、ステップＳ２５２で算出したメッセージ受信頻度が予め設定した所定の値以下であるか否かの判断を行う。異常検知装置１１０ａは、メッセージ受信頻度が所定の値以下ならば（ステップＳ２５３でＹＥＳの場合）、メッセージ受信頻度が所定の値以下となっているＩＤを低頻度受信済みＩＤと判断し、ステップＳ２５４の処理を行い、メッセージ受信頻度が所定の値よりも大きいならば（ステップＳ２５３でＮＯの場合）、ステップＳ２５５の処理を行う。なお、異常検知装置１１０ａは、ステップＳ２５２で、選択したＩＤについて、受信済みＩＤリスト保持部１１４に記録されたメッセージ受信回数を取得する場合、ステップＳ２５２で取得したメッセージ受信回数が予め設定した所定の値以下であるか否かの判断を行ってもよい。そして、異常検知装置１１０ａは、メッセージ受信回数が所定の値以下ならば、メッセージ受信回数が所定の値以下となっているＩＤを低頻度受信済みＩＤと判断し、ステップＳ２５４の処理を行い、メッセージ受信回数が所定の値よりも大きいならば、ステップＳ２５５の処理を行う。このように、メッセージ受信回数が少なければメッセージ受信頻度も低いとみなすことで、ステップＳ２５２においてメッセージ受信回数からメッセージ受信頻度を算出せず、メッセージ受信回数を取得するだけでもよい。
ステップＳ２５４では、異常検知装置１１０ａは、選択したＩＤを不揮発性メモリに退避させる。
そして、ステップＳ２５５では、異常検知装置１１０ａは、受信済みＩＤリストに未選択のＩＤが存在するか否かを判定し、存在する場合（ステップＳ２５５でＹＥＳの場合）は、ステップＳ２５１に戻り、存在しない場合（ステップＳ２５５でＮＯの場合）は、処理を終了する。これにより、複数の低頻度受信済みＩＤを不揮発性メモリに退避することができる。
［１－２６．低頻度送信済みＩＤの退避処理フロー］
図２６は、低頻度送信済みＩＤの退避の処理フローチャートである。図２６は、図２４のステップＳ２４２の低頻度送信済みＩＤ退避処理の詳細な処理のフローチャートである。
ステップＳ２６１では、異常検知装置１１０ａは、送信済みＩＤリストから、低頻度送信済みＩＤの退避の処理においてまだ選択していないＩＤを選択する。
ステップＳ２６２では、異常検知装置１１０ａは、選択したＩＤについて、送信済みＩＤリスト保持部１１３に記録されたメッセージ送信回数に基づくメッセージ送信頻度を算出する。例えば、異常検知装置１１０ａは、メッセージ送信回数を車両１０の起動からシャットダウンまでの時間で割ることでメッセージ送信頻度を算出する。なお、異常検知装置１１０ａは、選択したＩＤについて、送信済みＩＤリスト保持部１１３に記録されたメッセージ送信回数を取得してもよい。メッセージ送信回数は、シャットダウン前最近１分間、３０分間または１時間等の所定の時間にＥＣＵ１０１ａがバス１３０へメッセージを送信した回数であってもよい。
ステップＳ２６３では、異常検知装置１１０ａは、ステップＳ２６２で算出したメッセージ送信頻度が予め設定した所定の値以下であるか否かの判定を行う。異常検知装置１１０ａは、メッセージ送信頻度が所定の値以下ならば（ステップＳ２６３でＹＥＳの場合）、メッセージ送信頻度が所定の値以下となっているＩＤを低頻度送信済みＩＤと判断し、ステップＳ２６４の処理を行い、メッセージ送信頻度が所定の値よりも大きいならば（ステップＳ２６３でＮＯの場合）、ステップＳ２６５の処理を行う。なお、異常検知装置１１０ａは、ステップＳ２６２で、選択したＩＤについて、送信済みＩＤリスト保持部１１３に記録されたメッセージ送信回数を取得する場合、ステップＳ２６２で取得したメッセージ送信回数が予め設定した所定の値以下であるか否かの判断を行ってもよい。そして、異常検知装置１１０ａは、メッセージ送信回数が所定の値以下ならば、メッセージ送信回数が所定の値以下となっているＩＤを低頻度送信済みＩＤと判断し、ステップＳ２６４の処理を行い、メッセージ送信回数が所定の値よりも大きいならば、ステップＳ２６５の処理を行う。このように、メッセージ送信回数が少なければメッセージ送信頻度も低いとみなすことで、異常検知装置１１０ａは、ステップＳ２６２においてメッセージ送信回数からメッセージ送信頻度を算出せず、メッセージ送信回数を取得するだけでもよい。
ステップＳ２６４では、異常検知装置１１０ａは、選択したＩＤを不揮発性メモリに退避させる。
そして、ステップＳ２６５では、異常検知装置１１０ａは、送信済みＩＤリストに未選択のＩＤが存在するか否かを判定し、存在する場合（ステップＳ２５５でＹＥＳの場合）は、ステップＳ２６１に戻り、存在しない場合（ステップＳ２５５でＮＯの場合）は、処理を終了する。これにより、複数の低頻度送信済みＩＤを不揮発性メモリに退避することができる。
［１－２７．車両起動時の処理フロー］
図２７は、異常検知装置１１０ａの車両起動時の処理のフローチャートである。図２７は、図２３のステップＳ２３１の異常検知装置１１０ａの車両起動時の詳細な処理のフローチャートである。
ステップＳ２７１では、異常検知装置１１０ａは、車両１０の起動時に、異常検知装置１１０ａに接続されたＥＣＵ１０１ａのファームウェア情報を確認する。
そして、ステップＳ２７２では、異常検知装置１１０ａは、現在のファームウェア情報を次回の車両１０の起動時に行うステップＳ２７１の処理で使用するために退避する。
次に、ステップＳ２７３では、異常検知装置１１０ａは、前回の車両１０の起動時からＥＣＵ１０１ａのファームウェア情報が変更（更新）されているか否かを判断する。ファームウェア情報が変更されている場合（ステップＳ２７３でＹＥＳの場合）は、異常検知装置１１０ａは、ステップＳ２７４の処理を行う。ファームウェア情報が変更されていない場合（ステップＳ２７３でＮＯの場合）は、異常検知装置１１０ａは、ステップＳ２７６の処理を行う。なお、車両１０の初回起動時は、前回のファームウェア情報は存在しないので、ファームウェア情報が変更されていないものとして扱う。また、車両１０の前回の起動時のＥＣＵ１０１ａのファームウェア情報は、前回の起動時のステップＳ２７２の処理で退避されている。つまり、車両１０が起動するごとに、図２７に示す処理が行われる。
ステップＳ２７４では、異常検知装置１１０ａは、図２５のステップＳ２５４にて不揮発性メモリに退避していた低頻度受信済みＩＤをリセットする。
さらに、ステップＳ２７５では、異常検知装置１１０ａは、図２６のステップＳ２６４にて不揮発性メモリに退避していた低頻度送信済みＩＤをリセットする。
ＥＣＵのファームウェアアップデートに伴いＥＣＵのファームウェア情報が変更された場合、ＥＣＵから送信されるメッセージに含まれるＩＤの仕様が変更されることがある。したがって、この場合に、不揮発性メモリに退避させたＩＤを消去し、当該ＩＤを受信済みＩＤリストまたは送信済みＩＤリストに追加しないようにすることで、仕様が変更されたＩＤが原因で発生する正常メッセージの誤遮断を防止することが可能である。
ステップＳ２７６では、異常検知装置１１０ａは、図２５のステップＳ２５４にて不揮発性メモリに退避していた低頻度受信済みＩＤを異常検知装置１１０ａの受信済みＩＤリストに読み込む。
メッセージ受信回数またはメッセージ受信頻度が所定の値以下となっているＩＤ（低頻度で受信されるメッセージに含まれるＩＤ）は、車両１０が起動した後、当該ＩＤを含むメッセージがバス１３０を流れるまでに時間を要する場合がある。つまり、当該ＩＤを含む正規メッセージがバス１３０を流れるまでに、攻撃者が当該ＩＤを含む不正メッセージをバス１３０へ送信して、受信済みＩＤリストに不正メッセージに含まれるＩＤが追加されてしまう（言い換えると、受信済みＩＤリストが不正なＩＤで汚染されてしまう）場合がある。これに対して、車両１０の起動時に、不揮発性メモリに退避させた低頻度で受信されるメッセージに含まれるＩＤを受信済みＩＤリストに追加することで、低頻度で受信されるメッセージが最初にネットワークバスに流れる前に攻撃者が不正メッセージを送信することによる受信済ＩＤリストの汚染を防ぐことが可能である。また、高頻度に受信されるメッセージの含まれるＩＤを不揮発性メモリに退避させないことで、その分メモリ容量を削減することが可能である。
さらに、ステップＳ２７７では、異常検知装置１１０ａは、図２６のステップＳ２６４にて不揮発性メモリに退避していた低頻度送信済みＩＤを異常検知装置１１０ａの送信済みＩＤリストに読み込む。
メッセージ送信回数またはメッセージ送信頻度が所定の値以下となっているＩＤ（低頻度でＥＣＵ１０１ａから送信されるメッセージに含まれるＩＤ）は、車両１０が起動した後、当該ＩＤを含むメッセージを異常検知装置１１０ａがＥＣＵ１０１ａから受信するまでに時間を要する場合がある。つまり、当該ＩＤを含む正規メッセージを異常検知装置１１０ａが受信するまでに、攻撃者がＥＣＵ１０１ａを攻撃して不正なＥＣＵ１０１ａから不正メッセージを異常検知装置１１０ａへ送信して、送信済みＩＤリストに不正メッセージに含まれるＩＤが追加されてしまう（言い換えると、送信済みＩＤリストが不正なＩＤで汚染されてしまう）場合がある。これに対して、車両１０の起動時に、不揮発性メモリに退避させた低頻度で送信されるメッセージに含まれるＩＤを送信済みＩＤリストに追加することで、低頻度で送信されるメッセージを異常検知装置１１０ａが受信する前に攻撃者が不正メッセージを送信することによる送信済ＩＤリストの汚染を防ぐことが可能である。また、高頻度に送信されるメッセージに含まれるＩＤを不揮発性メモリに退避させないことで、その分メモリ容量を削減することが可能である。
なお、異常検知装置１１０ａは、車両１０の起動時に、ファームウェア情報の確認を行わず、不揮発性メモリに退避させたＩＤを受信済みＩＤリストまたは送信済みＩＤリストに追加してもよい。つまり、車両１０の起動時にステップＳ２７１からステップＳ２７５の処理が行われず、ステップＳ２７６およびステップＳ２７７の処理が行われてもよい。
（他の実施の形態）
例えば、上記実施の形態では、異常検知装置は、送信済みＩＤリスト保持部１１３を備えていたが、備えていなくてもよい。この場合、制御部１１２は、送信済みＩＤリスト保持部１１３に関連する制御を行わなくてもよい。
また、例えば、上記実施の形態では、異常検知装置は、受信済みＩＤリスト保持部１１４を備えていたが、備えていなくてもよい。この場合、制御部１１２は、受信済みＩＤリスト保持部１１４に関連する制御を行わなくてもよい。
また、例えば、上記実施の形態では、制御部１１２は、通信部１１１がＥＣＵから受信したメッセージのＩＤが受信済みＩＤリストに存在する場合に、当該ＥＣＵをバス１３０から隔離するとしたが、隔離しなくてもよく、当該メッセージをバス１３０へ送信しないようにするのみでもよい。
また、例えば、上記実施の形態では、受信済みＩＤリスト保持部１１４は、受信済みＩＤリストに含まれるＩＤ毎のメッセージ受信回数を記録する領域を持っているとしたが、持っていなくてもよい。この場合、制御部１１２は、メッセージ受信回数に関連する制御を行わなくてもよい。
また、例えば、上記実施の形態では、送信済みＩＤリスト保持部１１３は、送信済みＩＤリストに含まれるＩＤ毎のメッセージ送信回数を記録する領域を持っているとしたが、持っていなくてもよい。この場合、制御部１１２は、メッセージ送信回数に関連する制御を行わなくてもよい。
本開示の車載ネットワーク１００は、典型的には上述のとおり車載のＣＡＮネットワークであるが、これに限定されない。例えば、ＣＡＮ－ＦＤ（ＣＡＮ ｗｉｔｈ Ｆｌｅｘｉｂｌｅ Ｄａｔａ ｒａｔｅ）、ＦｌｅｘＲａｙ（登録商標）、Ｅｔｈｅｒｎｅｔ（登録商標）、ＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）、ＭＯＳＴ（Ｍｅｄｉａ Ｏｒｉｅｎｔｅｄ Ｓｙｓｔｅｍｓ Ｔｒａｎｓｐｏｒｔ）などのネットワークであってもよい。あるいはこれらのネットワークをサブネットワークとして、ＣＡＮネットワークと組み合わせた車載ネットワークであってもよい。
また、上記実施の形態では、自動車に搭載される車載ネットワーク１００におけるセキュリティ対策として説明したが、本開示の適用範囲はこれに限られない。本開示は、自動車に限らず、建機、農機、船舶、鉄道、飛行機などのモビリティにも適用してもよい。すなわち、本開示は、モビリティネットワークおよびモビリティネットワークシステムにおけるサイバーセキュリティ対策として適用可能である。
上記の実施の形態における各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニットなどから構成されるコンピュータシステムである。ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
上記の実施の形態における各装置は、構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。ＲＡＭには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。
また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部またはすべてを含むように１チップ化されてもよい。
また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路または汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用しても良い。
さらには、半導体技術の進歩または派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。
上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。ＩＣカードまたはモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。ＩＣカードまたはモジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、ＩＣカードまたはモジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。
本開示は、異常検知装置として実現できるだけでなく、異常検知装置を構成する各構成要素が行うステップ（処理）を含む異常検知方法として実現できる。
異常検知方法は、複数のＥＣＵと、バス１３０と、異常検知装置から構成される車載ネットワーク１００に配置される異常検知装置により実行される異常検知方法であって、異常検知装置は、バス１３０と複数のＥＣＵのうちのいずれかの第１ＥＣＵの間に配置され、前記第１ＥＣＵからメッセージを受信して当該メッセージをバス１３０へ送信し、バス１３０からメッセージを受信して当該メッセージを前記第１ＥＣＵへ送信する通信部１１１と、通信部１１１がバス１３０から受信し前記第１ＥＣＵへ送信したメッセージのＩＤのリストである受信済みＩＤリストを保持する受信済みＩＤリスト保持部１１４と、を備え、異常検知方法では、通信部１１１がバス１３０から受信したメッセージのＩＤが受信済みＩＤリストに存在しない場合（図１７のステップＳ１７２でＮｏの場合）に、当該ＩＤを受信済みＩＤリストに追加し（図１７のステップＳ１７３）、通信部１１１が前記第１ＥＣＵから受信したメッセージのＩＤが受信済みＩＤリストに存在する場合（図１９のステップＳ１９２でＹｅｓ）に、当該メッセージをバス１３０へ送信しない（図１９のステップＳ１９３）ことを特徴とする。
また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、コンピュータプログラムからなるデジタル信号であるとしてもよい。
また、本開示は、コンピュータプログラムまたはデジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標） Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されているデジタル信号であるとしてもよい。
また、本開示は、コンピュータプログラムまたはデジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。
また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、メモリは、コンピュータプログラムを記録しており、マイクロプロセッサは、コンピュータプログラムにしたがって動作するとしてもよい。
また、プログラムまたはデジタル信号を記録媒体に記録して移送することにより、またはプログラムまたはデジタル信号を、ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
以上、一つまたは複数の態様に係る異常検知装置などについて、実施の形態に基づいて説明したが、本開示は、この実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したもの、および異なる実施の形態における構成要素を組み合わせて構築される形態も、一つまたは複数の態様の範囲内に含まれてもよい。
例えば、上記実施の形態において、特定の構成要素が実行する処理を特定の構成要素の代わりに別の構成要素が実行してもよい。また、複数の処理の順序が変更されてもよいし、複数の処理が並行して実行されてもよい。
本開示は、車載ネットワークを搭載した車両等に利用可能である。
１０ 車両
１００ 車載ネットワーク
１０１ａ、１０１ｂ、１０１ｃ、１０１ｄ、１０１ｅ、１０１ｆ、１０１ｇ ＥＣＵ
１１０ａ、１１０ｂ、１１０ｃ、１１０ｄ、１１０ｅ、１１０ｆ 異常検知装置
１１０ｇ 異常検知部
１１１ 通信部
１１２ 制御部
１１３ 送信済みＩＤリスト保持部
１１４ 受信済みＩＤリスト保持部
１１５ ＥＣＵ処理部
１２０ ＩＤＳＥＣＵ
１２１ 通信部
１２２ 異常検知部
１３０ バス

Claims (10)

  1. 車両に搭載される車載ネットワークに配置される電子制御ユニットであって、
    前記車載ネットワークは、前記電子制御ユニットと、複数の他の電子制御ユニットと、ネットワークから構成され、
    前記電子制御ユニットは、
    前記車両の所定の制御を行う処理部と、
    前記処理部からメッセージを取得して当該メッセージを前記ネットワークへ送信し、前記ネットワークからメッセージを受信して当該メッセージを前記処理部へ通知する通信部と、
    前記通信部が前記ネットワークから受信し前記処理部へ通知したメッセージのＩＤのリストである受信済みＩＤリストを保持する受信済みＩＤリスト保持部と、
    前記通信部および前記受信済みＩＤリスト保持部を制御する制御部と、を備え、
    前記制御部は、
    前記通信部が前記ネットワークから受信したメッセージのＩＤが前記受信済みＩＤリストに存在しない場合に、当該ＩＤを前記受信済みＩＤリストに追加し、
    前記通信部が前記処理部から取得したメッセージのＩＤが前記受信済みＩＤリストに存在する場合に、当該メッセージを前記ネットワークへ送信しない、
    電子制御ユニット。
  2. 前記制御部は、前記通信部が前記処理部から取得したメッセージのＩＤが前記受信済みＩＤリストに存在する場合に、前記処理部を前記ネットワークから隔離する、
    請求項１記載の電子制御ユニット。
  3. 前記制御部は、前記通信部が前記複数の他の電子制御ユニットのうちの第２電子制御ユニットから送信された異常なＩＤを示す異常ＩＤ情報を前記ネットワークから受信した場合に、前記受信済みＩＤリストから前記異常ＩＤ情報が示すＩＤを消去する、
    請求項１または２に記載の電子制御ユニット。
  4. 前記受信済みＩＤリスト保持部は、前記受信済みＩＤリストに含まれるＩＤ毎のメッセージ受信回数を記録する領域を持ち、
    前記制御部は、
    前記通信部が前記ネットワークからメッセージを受信したとき、当該メッセージのＩＤについて記録されるメッセージ受信回数を更新し、
    前記車両のシャットダウン時に、前記受信済みＩＤリストに含まれるＩＤのうち、前記受信済みＩＤリスト保持部に記録されたメッセージ受信回数、または、当該メッセージ受信回数に基づくメッセージ受信頻度が所定の値以下となっているＩＤを不揮発性メモリに退避させ、
    前記車両の起動時に、前記不揮発性メモリに退避させた前記ＩＤを前記受信済みＩＤリストに追加する、
    請求項１～３のいずれか１項に記載の電子制御ユニット。
  5. 前記制御部は、前記車両の起動時に、前回の起動時から前記処理部のファームウェア情報が変更されている場合に、前記不揮発性メモリに退避させた前記ＩＤを消去し、当該ＩＤを前記受信済みＩＤリストに追加しない、
    請求項４記載の電子制御ユニット。
  6. 前記電子制御ユニットは、さらに、前記通信部が前記処理部から受信し前記ネットワークへ送信したメッセージのＩＤのリストである送信済みＩＤリストを保持する送信済みＩＤリスト保持部を備え、
    前記制御部は、さらに、
    前記送信済みＩＤリスト保持部を制御し、
    前記通信部が前記処理部から取得したメッセージのＩＤが前記送信済みＩＤリストに存在しない場合に、当該ＩＤを前記送信済みＩＤリストに追加し、
    前記通信部が前記ネットワークから受信したメッセージのＩＤが前記送信済みＩＤリストに存在する場合、当該メッセージを前記処理部へ通知しない、
    請求項１～５のいずれか１項に記載の電子制御ユニット。
  7. 前記送信済みＩＤリスト保持部は、前記送信済みＩＤリストに含まれるＩＤ毎のメッセージ送信回数を記録する領域を持ち、
    前記制御部は、
    前記通信部が前記処理部からメッセージを取得したときに、当該メッセージのＩＤについて記録されるメッセージ送信回数を更新し、
    前記車両のシャットダウン時に、前記送信済みＩＤリストに含まれるＩＤのうち、前記送信済みＩＤリスト保持部に記録されたメッセージ送信回数、または、当該メッセージ送信回数に基づくメッセージ送信頻度が所定の値以下となっているＩＤを不揮発性メモリに退避させ、
    前記車両の起動時に、前記不揮発性メモリに退避させた前記ＩＤを前記送信済みＩＤリストに追加する、
    請求項６記載の電子制御ユニット。
  8. 前記制御部は、前記車両の起動時に、前回の起動時から前記処理部のファームウェア情報が変更されている場合に、前記不揮発性メモリに退避させた前記ＩＤを消去し、当該ＩＤを前記送信済みＩＤリストに追加しない、
    請求項７記載の電子制御ユニット。
  9. 車両に搭載される車載ネットワークに配置される電子制御ユニットにより実行される方法であって、前記車載ネットワークは、前記電子制御ユニットと、複数の他の電子制御ユニットと、ネットワークから構成され、
    前記電子制御ユニットは、
    前記車両の所定の制御を行う処理部と、
    前記処理部からメッセージを取得して当該メッセージを前記ネットワークへ送信し、前記ネットワークからメッセージを受信して当該メッセージを前記処理部へ通知する通信部と、
    前記通信部が前記ネットワークから受信し前記処理部へ通知したメッセージのＩＤのリストである受信済みＩＤリストを保持する受信済みＩＤリスト保持部と、を備え、
    前記方法では、
    前記通信部が前記ネットワークから受信したメッセージのＩＤが前記受信済みＩＤリストに存在しない場合に、当該ＩＤを前記受信済みＩＤリストに追加し、
    前記通信部が前記処理部から取得したメッセージのＩＤが前記受信済みＩＤリストに存在する場合に、当該メッセージを前記ネットワークへ送信しない、
    方法。
  10. 請求項９に記載の方法をコンピュータに実行させるプログラム。
JP2022125365A 2018-05-23 2022-08-05 電子制御ユニット、方法およびプログラム Active JP7362856B2 (ja)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
JP2018098855 2018-05-23
JP2018098855 2018-05-23
PCT/JP2019/017014 WO2019225257A1 (ja) 2018-05-23 2019-04-22 異常検知装置、異常検知方法およびプログラム
JP2019537416A JP7121737B2 (ja) 2018-05-23 2019-04-22 異常検知装置、異常検知方法およびプログラム

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
JP2019537416A Division JP7121737B2 (ja) 2018-05-23 2019-04-22 異常検知装置、異常検知方法およびプログラム

Publications (2)

Publication Number Publication Date
JP2022140785A true JP2022140785A (ja) 2022-09-27
JP7362856B2 JP7362856B2 (ja) 2023-10-17

Family

ID=68615624

Family Applications (2)

Application Number Title Priority Date Filing Date
JP2019537416A Active JP7121737B2 (ja) 2018-05-23 2019-04-22 異常検知装置、異常検知方法およびプログラム
JP2022125365A Active JP7362856B2 (ja) 2018-05-23 2022-08-05 電子制御ユニット、方法およびプログラム

Family Applications Before (1)

Application Number Title Priority Date Filing Date
JP2019537416A Active JP7121737B2 (ja) 2018-05-23 2019-04-22 異常検知装置、異常検知方法およびプログラム

Country Status (5)

Country Link
US (2) US11575538B2 (ja)
EP (1) EP3799365B1 (ja)
JP (2) JP7121737B2 (ja)
CN (1) CN110771099B (ja)
WO (1) WO2019225257A1 (ja)

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3668756B1 (en) 2017-08-17 2023-08-02 Red Bend Ltd. Systems and methods for disabling a malicious ecu in a controller area network (can) bus
US11870789B2 (en) * 2019-09-30 2024-01-09 Autonetworks Technologies, Ltd. Detection device, vehicle, detection method, and detection program
JP7435616B2 (ja) 2019-09-30 2024-02-21 株式会社オートネットワーク技術研究所 検知装置、車両、検知方法および検知プログラム
WO2021144858A1 (ja) * 2020-01-14 2021-07-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知システム、異常検知装置、及び異常検知方法
JP7247905B2 (ja) * 2020-01-22 2023-03-29 トヨタ自動車株式会社 第１中継装置、第２中継装置、第１中継方法、第２中継方法、第１中継プログラム、第２中継プログラム、及び中継システム
JP7449193B2 (ja) 2020-07-31 2024-03-13 日立Astemo株式会社 演算装置および車両制御装置
US11386204B2 (en) * 2020-09-24 2022-07-12 Intel Corporation Agile reconfigurable approach for real-time replacement of on-chip safety-critical modules
CN113434163B (zh) * 2021-05-24 2022-10-28 瑞浦兰钧能源股份有限公司 适用于电子控制单元的在线标定方法、系统、设备及介质
US11966503B2 (en) * 2021-09-24 2024-04-23 Intel Corporation Glitch attack mitigation for in-vehicle networks
US11820392B2 (en) * 2021-11-18 2023-11-21 GM Global Technology Operations LLC Eliminatinon of safety enable hardware through use of can transceiver wakeup functions

Family Cites Families (43)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5935543B2 (ja) * 2012-06-29 2016-06-15 トヨタ自動車株式会社 通信システム
WO2015008114A1 (en) * 2013-07-18 2015-01-22 Freescale Semiconductor, Inc. Illegal message destroyer
US9401923B2 (en) * 2013-10-23 2016-07-26 Christopher Valasek Electronic system for detecting and preventing compromise of vehicle electrical and control systems
JP2015098312A (ja) * 2013-11-20 2015-05-28 トヨタ自動車株式会社 車載ネットワークシステム
EP2892202B1 (en) * 2014-01-06 2018-06-20 Argus Cyber Security Ltd. Hosted watchman
EP3852313B1 (en) * 2014-04-03 2022-06-08 Panasonic Intellectual Property Corporation of America Network communication system, fraud detection electronic control unit and anti-fraud handling method
CN106170953B (zh) * 2014-04-17 2019-10-18 松下电器（美国）知识产权公司 车载网络系统、网关装置以及不正常检测方法
EP4246893A3 (en) * 2014-04-17 2023-12-27 Panasonic Intellectual Property Corporation of America Vehicle-mounted network system, invalidity detection electronic control unit, and invalidity detection method
US9158962B1 (en) * 2014-05-07 2015-10-13 Lytx, Inc. Passive driver identification
US10165442B2 (en) 2014-05-29 2018-12-25 Panasonic Intellectual Property Management Co., Ltd. Transmission device, reception device, transmission method, and reception method
CN104301177B (zh) * 2014-10-08 2018-08-03 清华大学 Can报文异常检测方法及系统
US10083071B2 (en) * 2014-12-30 2018-09-25 Battelle Memorial Institute Temporal anomaly detection on automotive networks
US9380070B1 (en) 2015-01-20 2016-06-28 Cisco Technology, Inc. Intrusion detection mechanism
JP6573819B2 (ja) * 2015-01-20 2019-09-11 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知ルール更新方法、不正検知電子制御ユニット及び車載ネットワークシステム
US11252180B2 (en) * 2015-06-29 2022-02-15 Argus Cyber Security Ltd. System and method for content based anomaly detection in an in-vehicle communication network
US10798114B2 (en) * 2015-06-29 2020-10-06 Argus Cyber Security Ltd. System and method for consistency based anomaly detection in an in-vehicle communication network
JP6520515B2 (ja) 2015-07-17 2019-05-29 富士通株式会社 ネットワーク監視システム、ネットワーク監視プログラム及びネットワーク監視方法
JP6536251B2 (ja) * 2015-07-24 2019-07-03 富士通株式会社 通信中継装置、通信ネットワーク、通信中継プログラム及び通信中継方法
JP2017050795A (ja) * 2015-09-04 2017-03-09 日立オートモティブシステムズ株式会社 自動車用電子制御装置間のデータ転送方法
US9756024B2 (en) * 2015-09-18 2017-09-05 Trillium Incorporated Computer-implemented cryptographic method for improving a computer network, and terminal, system and computer-readable medium for the same
JP6730578B2 (ja) * 2015-11-12 2020-07-29 富士通株式会社 監視方法および監視システム
JP6566400B2 (ja) * 2015-12-14 2019-08-28 パナソニックＩｐマネジメント株式会社 電子制御装置、ゲートウェイ装置、及び検知プログラム
CN112437056B (zh) * 2015-12-16 2023-07-25 松下电器（美国）知识产权公司 安全处理方法以及服务器
JP6423402B2 (ja) * 2015-12-16 2018-11-14 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
WO2017119246A1 (ja) * 2016-01-08 2017-07-13 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知方法、異常検知装置及び異常検知システム
JP6839963B2 (ja) 2016-01-08 2021-03-10 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 異常検知方法、異常検知装置及び異常検知システム
US10142358B1 (en) * 2016-02-29 2018-11-27 Symantec Corporation System and method for identifying an invalid packet on a controller area network (CAN) bus
JP6223498B2 (ja) * 2016-04-21 2017-11-01 三菱電機株式会社 ネットワークシステム
US10382196B2 (en) * 2016-04-29 2019-08-13 Olympus Sky Technologies, S.A. System and method for secure communications based on locally stored values
JP6846991B2 (ja) * 2016-07-05 2021-03-24 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 異常検知電子制御ユニット、車載ネットワークシステム及び異常検知方法
JP6849528B2 (ja) * 2016-07-28 2021-03-24 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ フレーム伝送阻止装置、フレーム伝送阻止方法及び車載ネットワークシステム
US11329953B2 (en) * 2017-03-09 2022-05-10 Argus Cyber Security Ltd. System and method for providing cyber security to an in-vehicle network
JP6494821B2 (ja) * 2017-04-07 2019-04-03 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正通信検知基準決定方法、不正通信検知基準決定システム及びプログラム
WO2018186054A1 (ja) * 2017-04-07 2018-10-11 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正通信検知基準決定方法、不正通信検知基準決定システム及びプログラム
US20180300477A1 (en) * 2017-04-13 2018-10-18 Argus Cyber Security Ltd. In-vehicle cyber protection
WO2019021403A1 (ja) * 2017-07-26 2019-01-31 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 制御ネットワークシステム、車両遠隔制御システム及び車載中継装置
US10630699B2 (en) * 2017-08-14 2020-04-21 Argus Cyber Security Ltd. Automotive cybersecurity
US10931635B2 (en) * 2017-09-29 2021-02-23 Nec Corporation Host behavior and network analytics based automotive secure gateway
EP3741091B1 (en) * 2018-01-16 2022-02-02 C2A-SEC, Ltd. Intrusion anomaly monitoring in a vehicle environment
JP7247089B2 (ja) * 2018-01-22 2023-03-28 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車両異常検知サーバ、車両異常検知システム及び車両異常検知方法
WO2019146976A1 (ko) * 2018-01-23 2019-08-01 현대자동차주식회사 차량 내 네트워크에 보안을 제공하는 시스템 및 방법
WO2019191002A1 (en) * 2018-03-26 2019-10-03 Nvidia Corporation Object movement behavior learning
JP7269922B2 (ja) * 2018-05-23 2023-05-09 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 通信制御装置、モビリティネットワークシステム、通信制御方法およびプログラム

Also Published As

Publication number Publication date
US11575538B2 (en) 2023-02-07
US20230164159A1 (en) 2023-05-25
JP7362856B2 (ja) 2023-10-17
JPWO2019225257A1 (ja) 2021-04-22
CN110771099A (zh) 2020-02-07
EP3799365B1 (en) 2022-11-30
EP3799365A1 (en) 2021-03-31
WO2019225257A1 (ja) 2019-11-28
JP7121737B2 (ja) 2022-08-18
US11848755B2 (en) 2023-12-19
US20200204395A1 (en) 2020-06-25
CN110771099B (zh) 2022-08-26
EP3799365A4 (en) 2021-07-14

Similar Documents

Publication Publication Date Title
JP7121737B2 (ja) 異常検知装置、異常検知方法およびプログラム
US20210312043A1 (en) Vehicle communications bus data security
EP3659868B1 (en) Abnormality detection device, and abnormality detection method
JP6908563B2 (ja) セキュリティ処理方法及びサーバ
US20210365542A1 (en) Vehicle network system whose security is improved using message authentication code
EP3554015B1 (en) Information processing method, information processng system, and program
EP3668756B1 (en) Systems and methods for disabling a malicious ecu in a controller area network (can) bus
JP6937131B2 (ja) セキュリティ装置、攻撃検知方法及びプログラム
KR102642875B1 (ko) 차량 내 네트워크에 보안을 제공하는 시스템 및 방법
JP2023021333A (ja) セキュリティ処理方法及びサーバ
EP3657757A1 (en) Illegality detection electronic control unit, car onboard network system, and illegality detection method
JPWO2019117184A1 (ja) 車載ネットワーク異常検知システム及び車載ネットワーク異常検知方法
JP7182559B2 (ja) ログ出力方法、ログ出力装置及びプログラム
JP2014236248A (ja) 電子制御装置、電子制御システム
US20200412756A1 (en) Communication control device, anomaly detection electronic control unit, mobility network system, communication control method, anomaly detection method, and recording medium
CN112422495B (zh) 判定装置、判定系统、存储程序的存储介质以及判定方法
JP2018157339A (ja) 通信装置、および受信装置
WO2018020833A1 (ja) フレーム伝送阻止装置、フレーム伝送阻止方法及び車載ネットワークシステム
US20240097935A1 (en) Controller area network system and a method for the system
US20220394470A1 (en) Method and control unit for detecting unauthorised data traffic in a packet-oriented data network of a motor vehicle, and corresponding motor vehicle

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20220805

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20230828

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20230926

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20231004

R150 Certificate of patent or registration of utility model

Ref document number: 7362856

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150