JP2023059006A - 制御装置及び制御システム - Google Patents

Abstract

【課題】外部からの不正な侵入を検知可能な制御装置及び制御システムを提供する。【解決手段】ＥＣＵ１０が受信するフレームは、データと、認証子と、ＩＰアドレス情報とを含む。ＩＰアドレス情報は、制御システム１に接続された外部ツールのＩＰアドレスがＩＰアドレスリストに登録されているか否かを示す。ＩＰアドレスリストには、制御システム１との接続が許可された外部ツールのＩＰアドレスが予め登録されている。フレームを受信したＥＣＵ１０は、認証子が異常であり（Ｓ２０にてＹＥＳ）、かつ、ＩＰアドレス情報が未登録を示している場合に（Ｓ４０にてＹＥＳ）、外部ツールによる不正な侵入があったものと判定する（Ｓ５０）。【選択図】図６

Description

本開示は、外部ツールを接続可能な制御システム及びそれに用いられる制御装置に関する。

近年、自動車には、多数の電子制御装置（ＥＣＵ：Electronic Control Unit）が搭載されており、ＣＡＮ（Controller Area Network）等の通信ネットワークを通じてＥＣＵ間で様々なデータがやり取りされる。このような制御システムにおいて、セキュリティの向上が求められる。例えば、特開２０１９－１６９８７７号公報（特許文献１）には、ＥＣＵが受信したデータの波形情報を登録済みの波形情報と比較することによって、不正動作しているＥＣＵを識別する技術が開示されている（特許文献１参照）。

特開２０１９－１６９８７７号公報

特許文献１に記載の技術は、ＥＣＵの不正動作を検知することができる点で有用であるが、その不正動作が制御システムの外部からの不正な侵入によるものか、それともＥＣＵの異常によるものかを判別することはできない。

本開示は、かかる問題を解決するためになされたものであり、本開示の目的は、外部からの不正な侵入を検知可能な制御装置及び制御システムを提供することである。

本開示における制御装置は、外部ツールを接続可能な制御システムに用いられる制御装置であって、通信部と、処理部とを備える。通信部は、制御システムに含まれる他の装置からフレームを受信する。フレームは、データと、認証子と、ＩＰアドレス情報とを含む。認証子は、上記の他の装置により生成され、データを認証するためのコードである。ＩＰアドレス情報は、制御システムに接続された外部ツールのＩＰアドレスがＩＰアドレスリストに登録されているか否かを示す情報である。ＩＰアドレスリストには、制御システムとの接続が許可された外部ツールのＩＰアドレスが予め登録されている。処理部は、通信部が受信したフレームに含まれる認証子及びＩＰアドレス情報に基づいて、外部ツールによる不正な侵入を検知する。処理部は、認証子が異常であり、かつ、ＩＰアドレス情報が未登録を示している場合に、外部ツールによる不正な侵入があったものと判定する。

また、本開示における制御装置は、外部ツールを接続可能な制御システムに用いられる制御装置であって、通信部と、処理部とを備える。通信部は、制御システムに含まれる他の装置へデータを含むフレームを送信する。処理部は、上記の他の装置においてデータを認証するための認証子を生成する。フレームは、処理部により生成された認証子と、ＩＰアドレス情報とをさらに含む。ＩＰアドレス情報は、制御システムに接続された外部ツールのＩＰアドレスがＩＰアドレスリストに登録されているか否かを示す情報である。ＩＰアドレスリストには、制御システムとの接続が許可された外部ツールのＩＰアドレスが予め登録されている。

本開示における制御装置及び制御システムによれば、制御システムに接続された外部ツールのＩＰアドレスとＩＰアドレスリストとに基づいて、制御システムの外部からの不正な侵入を検知することができる。

実施の形態に従う制御システムの全体構成の一例を示す図である。 ＥＣＵのハードウェア構成の一例を示す図である。 外部通信モジュールのハードウェア構成の一例を示す図である。 外部通信モジュールに接続され得る外部ツールのＩＰアドレスが登録されたＩＰアドレスリストを示す図である。 ＥＣＵ間でやり取りされるフレームの構成の一例を示す図である。 ＥＣＵにおいてフレームの受信時に実行される処理の一例を示すフローチャートである。 外部通信モジュールにおいて外部ツールが接続された場合の処理の一例を示すフローチャートである。 ＥＣＵにおいてフレームの送信時に実行される処理の一例を示すフローチャートである。

以下、本開示の実施の形態について、図面を参照しながら詳細に説明する。なお、図中同一又は相当部分には同一符号を付してその説明は繰り返さない。

図１は、本開示の実施の形態に従う制御システムの全体構成の一例を示す図である。図１を参照して、制御システム１は、複数のＥＣＵ１０－１，１０－２，…と、外部通信モジュール２０と、バス３０とを備える。制御システム１は、例えば、車両に搭載され、車載ネットワークシステムを構成する。以下では、制御システム１は車両に搭載されるものとして説明する。

ＥＣＵ１０－１，１０－２，…及び外部通信モジュール２０の各々は、バス３０に接続され、所定の通信プロトコルに従って相互にデータを送受信することができる。本実施の形態では、代表的にＣＡＮプロトコルに従ってデータ（フレーム）が送受信されるものとする。なお、ＥＣＵの数は、図示されている数に限定されるものではない。また、以下では、ＥＣＵ１０－１，１０－２，…の各々を区別せずに「ＥＣＵ１０」と称する場合がある。

ＥＣＵ１０は、制御システム１が搭載される車両における各種制御を実行する。例えば、各ＥＣＵ１０は、車両に乗車する利用者の認証を行なうＥＣＵであったり、車両の駆動制御を行なうＥＣＵであったりする。

図２は、ＥＣＵ１０のハードウェア構成の一例を示す図である。図２を参照して、ＥＣＵ１０は、ＣＰＵ（Central Processing Unit）１０２と、ＲＡＭ（Random Access Memory）１０４と、ＲＯＭ（Read Only Memory）１０６と、ＣＡＮ－Ｉ／Ｆ１０８とを含む。

ＣＰＵ１０２は、ＲＯＭ１０６に格納されているプログラムをＲＡＭ１０４に展開して実行する。ＲＯＭ１０６に格納されているプログラムには、ＥＣＵ１０において実行される各種処理が記述されている。ＣＡＮ－Ｉ／Ｆ１０８は、ＣＡＮプロトコルに従ってバス３０（図１）とデータ（フレーム）を送受信するための通信装置である。

再び図１を参照して、外部通信モジュール２０は、制御システム１（車両）の外部のＣＡＮツール４２、サーバ４４、スマートフォン４６等（以下では、これらを纏めて「外部ツール」と称する。）と通信可能に構成された通信装置である。

図３は、外部通信モジュール２０のハードウェア構成の一例を示す図である。図３を参照して、外部通信モジュール２０は、ＣＰＵ１１２と、ＲＡＭ１１４と、ＲＯＭ１１６と、ＣＡＮ－Ｉ／Ｆ１１８と、外部Ｉ／Ｆ１２０とを含む。

ＣＰＵ１１２は、ＲＯＭ１１６に格納されているプログラムをＲＡＭ１１４に展開して実行する。ＲＯＭ１１６に格納されているプログラムには、外部通信モジュール２０において実行される各種処理が記述されている。ＣＡＮ－Ｉ／Ｆ１１８は、ＣＡＮプロトコルに従ってバス３０（図１）とデータ（フレーム）を送受信するための通信装置である。

外部Ｉ／Ｆ１２０は、外部通信モジュール２０が外部ツールとデータを送受信するための通信装置である。外部Ｉ／Ｆ１２０は、例えば、ＣＡＮプロトコルに従ってＣＡＮツール４２と通信を行なうためのＣＡＮ通信モジュール、及びＬＴＥ（Long Term Evolution）等の無線通信規格に従ってサーバ４４やスマートフォン４６（以下、纏めて「サーバ４４等」と称する場合がある。）と通信を行なうためのＤＣＭ（Data Communication Module）を含んで構成される。

なお、ＣＡＮツール４２は、ＣＡＮプロトコルに従って制御システム１（車両）の外部から制御システム１にアクセスするための端末装置であり、例えば、車両のディーラー等で用いられるメンテナンスツールである。サーバ４４等は、ＬＴＥ等の無線通信規格に従って制御システム１にアクセス可能な端末装置であり、例えば、事業者のサーバであったり、ユーザのスマートフォンであったりする。

再び図１を参照して、ＥＣＵ１０は、ＣＡＮプロトコルに従って、データを含むフレームを他のＥＣＵ１０又は外部通信モジュール２０からバス３０を通じて受信することができる。また、ＥＣＵ１０は、ＣＡＮプロトコルに従って、バス３０を通じて他のＥＣＵ１０又は外部通信モジュール２０へフレームを送信することができる。

外部通信モジュール２０は、外部ツールと接続されて外部ツールと通信することができる。そして、外部通信モジュール２０は、外部ツールから受信したデータを、ＣＡＮプロトコルに従ってバス３０を通じてＥＣＵ１０へ送信することができる。また、外部通信モジュール２０は、ＥＣＵ１０からバス３０を通じて受信したフレーム（データ）を外部ツールへ送信することも可能である。

ＣＡＮプロトコルに従って通信が行なわれるバス３０に接続されたＥＣＵ１０及び外部通信モジュール２０、並びにＣＡＮプロトコルに従って外部通信モジュール２０と通信可能なＣＡＮツール４２の各々には、ＣＡＮ－ＩＤが付与されている。ＣＡＮ－ＩＤが付与された各機器は、制御システム１においてＣＡＮ－ＩＤによって互いに識別される。

他方、制御システム１には、ＣＡＮプロトコルに従うＣＡＮツール４２の他、サーバ４４やスマートフォン４６等の外部ツールも接続され得る。サーバ４４等も、外部通信モジュール２０に接続されるところ、サーバ４４等と外部通信モジュール２０とは、ＬＴＥ等の無線通信規格に従って通信が行なわれる。

このように外部ツール（特に、ＣＡＮ－ＩＤが付与されていないサーバ４４等）が接続される制御システム１においては、外部からの不正な侵入に対するセキュリティの向上が求められる。この制御システム１では、外部からの不正侵入を検知するために、ＥＣＵ１０間で送受信されるデータを認証するための認証子が用いられる。

認証子は、例えば、各ＥＣＵ１０において共通の規定のアルゴリズムに従って送信データから生成される乱数であって、送信側のＥＣＵ１０において生成され、送信データとともに受信側のＥＣＵ１０へ送信される。受信側のＥＣＵ１０では、受信データとともに受信される認証子と、共通の上記アルゴリズムに従って受信データから生成される認証子との比較が行なわれる。

そして、受信した認証子と受信データから生成した認証子とが不一致であり、認証子の異常が検知された場合は、受信データは不正なものであって外部からの不正侵入の可能性がある。しかしながら、ＥＣＵ１０（送信側でも受信側でもよい）の異常により認証子の異常が検知される可能性もある。認証子の異常検知のみでは、外部からの不正侵入とＥＣＵ１０の異常とを区別することができず、ＥＣＵ１０の異常を外部からの不正侵入と誤検知してしまう可能性がある。

そこで、本実施の形態に従う制御システム１では、外部通信モジュール２０に接続され得る外部ツール（特に、ＣＡＮ－ＩＤが付与されていないサーバ４４等）のＩＰアドレスを予め登録しておく。そして、ＥＣＵ１０間で送受信されるデータに、上記の認証子に加えて、外部通信モジュール２０に接続されて当該データを送信した外部ツールのＩＰアドレスが登録されたものであるか否かを示すＩＰアドレス情報が付与される。

これにより、認証子の異常が検知された場合に、ＩＰアドレス情報がＩＰアドレスの未登録を示しているときは、外部からの不正侵入があったものと判定し、ＩＰアドレス情報が登録を示しているときは、外部からの不正侵入ではなくＥＣＵ１０の異常であると判定することができる。以下、この点について詳しく説明する。

図４は、外部通信モジュール２０に接続され得る外部ツールのＩＰアドレスが登録されたＩＰアドレスリストを示す図である。図４を参照して、ＩＰアドレスリストには、外部通信モジュール２０との接続が許可された外部ツールのＩＰアドレスが予め登録される。具体的には、外部通信モジュール２０との接続が許可されたサーバ４４やスマートフォン４６のＩＰアドレスが登録される。

なお、このＩＰアドレスリストは、外部通信モジュール２０に記憶されている。外部通信モジュール２０は、外部ツールの接続を検知すると、接続された外部ツールのＩＰアドレスがＩＰアドレスリストに登録されているか否かを判定する。そして、外部通信モジュール２０は、その判定結果を示すＩＰアドレス情報を生成し、外部ツールから受信したデータと、当該データから生成した認証子と、上記ＩＰアドレス情報とを含むフレームを送信先のＥＣＵ１０へ送信する。以降、ＥＣＵ１０間でデータを送受信する場合にも、データと、認証子と、ＩＰアドレス情報とを含むフレームが送受信される。

図５は、ＥＣＵ１０間でやり取りされるフレームの構成の一例を示す図である。この例では、ＥＣＵ１０－１からＥＣＵ１０－２へフレームが送信される例が示される。図５を参照して、ＥＣＵ１０－１から送信されるフレームは、データ２００と、ＩＰアドレス情報２０２と、認証子２０４とを含む。

ＩＰアドレス情報２０２は、データ２００と対応付けられており、ＥＣＵ１０－１が他の装置（他のＥＣＵ１０又は外部通信モジュール２０）からデータ２００を受信したときに、データ２００とともにフレームに含まれているＩＰアドレス情報である。

ＥＣＵ１０－１は、データ２００をＥＣＵ１０－２へ送信する場合に、ＥＣＵ１０－２と共通の規定のアルゴリズムに従って、データ２００から認証子２０４を生成する。そして、ＥＣＵ１０－１は、データ２００、ＩＰアドレス情報２０２及び認証子２０４を含むフレームをＥＣＵ１０－２へ送信する。なお、認証子２０４は、データ２００とＩＰアドレス情報２０２とから成るデータから生成されたものであってもよい。

他方、ＥＣＵ１０－２により受信されるフレームは、データ２１０と、ＩＰアドレス情報２１２と、認証子２１４とを含む。ＥＣＵ１０－２は、フレームを受信すると、ＥＣＵ１０－１と共通の規定のアルゴリズムに従って、データ２１０から認証子を生成する。そして、ＥＣＵ１０－２は、生成された認証子を、受信フレームに含まれている認証子２１４と比較する。

データ２１０から生成された認証子と認証子２１４とが一致していれば（認証子正常）、ＥＣＵ１０間の正常なデータ送受信であると判定することができる。他方、データ２１０から生成された認証子と認証子２１４とが不一致のときは（認証子異常）、ＩＰアドレス情報２１２が参照され、ＩＰアドレス情報２１２が登録を示しているか、それとも未登録を示しているかに従って、外部からの不正侵入があったか、それともＥＣＵ１０－１或いはＥＣＵ１０－２の異常であるかが判定される。

図６は、ＥＣＵ１０においてフレームの受信時に実行される処理の一例を示すフローチャートである。図５の例では、ＥＣＵ１０－２において、フレームを受信したときに実行される。

図６を参照して、ＥＣＵ１０は、フレームを受信すると、認証子の確認を行なう（ステップＳ１０）。具体的には、ＥＣＵ１０は、受信フレームに含まれるデータから規定のアルゴリズムに従って認証子を生成し、受信フレームに含まれている認証子と比較する。

データから生成した認証子と受信フレームに含まれている認証子とが一致する場合、すなわち認証子は正常である場合は（ステップＳ２０においてＮＯ）、受信されたデータは正常なものであるとして、以降の一連の処理を実行することなくエンドへ処理が移行される。

他方、データから生成した認証子と受信フレームに含まれている認証子とが一致しない場合、すなわち認証子が異常である場合は（ステップＳ２０においてＹＥＳ）、ＥＣＵ１０は、受信フレームに含まれているＩＰアドレス情報を確認する（ステップＳ３０）。

そして、ＩＰアドレスがＩＰアドレスリストに未登録のものであることをＩＰアドレス情報が示している場合（ステップＳ４０においてＹＥＳ）、ＥＣＵ１０は、未登録の外部ツールによって不正侵入があったものと検知する（ステップＳ５０）。不正侵入の検知は、ダイアグのＲＯＢ（Record Of Behavior）データとして記録される。

他方、ステップＳ４０において、ＩＰアドレスがＩＰアドレスリストに登録済のものであることをＩＰアドレス情報が示している場合（ステップＳ４０においてＮＯ）、ＥＣＵ１０は、ＥＣＵに異常が生じているものと判断する（ステップＳ６０）。なお、このＥＣＵの異常は、データ送信側のＥＣＵ１０の異常も含む。

このように、受信側のＥＣＵ１０では、認証子の異常が検知された場合に、受信フレームに含まれているＩＰアドレス情報に基づいて、外部からの不正侵入か、それともＥＣＵ１０の異常かが区別される。

図７は、外部通信モジュール２０において外部ツールが接続された場合の処理の一例を示すフローチャートである。図７を参照して、外部ツールの接続が検知されると（ステップＳ１１０においてＹＥＳ）、外部通信モジュール２０は、接続された外部ツールのＩＰアドレスを取得する（ステップＳ１２０）。

次いで、外部通信モジュール２０は、取得したＩＰアドレスがＩＰアドレスリスト（図４）に登録されているか否かを判定する（ステップＳ１３０）。そして、接続された外部ツールから取得されたＩＰアドレスがＩＰアドレスリストに登録されていると判定されると（ステップＳ１３０においてＹＥＳ）、外部通信モジュール２０は、接続された外部ツールから受信してＥＣＵ１０へ送信するデータに付与されるＩＰアドレス情報に、ＩＰアドレスがＩＰアドレスリストに登録されていることを示す「０」をセットする（ステップＳ１４０）。

他方、ステップＳ１３０において、接続された外部ツールから取得されたＩＰアドレスがＩＰアドレスリストに登録されていない（未登録）と判定されると（ステップＳ１３０においてＮＯ）、外部通信モジュール２０は、ＥＣＵ１０への送信データに付与されるＩＰアドレス情報に、ＩＰアドレスが未登録であることを示す「１」をセットする（ステップＳ１５０）。

図８は、ＥＣＵ１０においてフレームの送信時に実行される処理の一例を示すフローチャートである。図５の例では、ＥＣＵ１０－１においてフレームの送信が行なわれるときに実行される。

図８を参照して、ＥＣＵ１０は、送信するデータを他の装置（ＥＣＵ１０或いは外部通信モジュール２０）から受信したときのフレームから、ＩＰアドレス情報を取得する（ステップＳ２１０）。なお、このＩＰアドレス情報の取得は、他の装置から当該データのフレームを受信したときに行なってもよい。

次いで、ＥＣＵ１０は、規定のアルゴリズムに従って送信データから認証子を生成する（ステップＳ２２０）。なお、上述のように、送信データとＩＰアドレス情報とから成るデータから認証子を生成してもよい。そして、ＥＣＵ１０は、送信データ、取得されたＩＰアドレス情報、及び生成された認証子を含むフレームを送信先のＥＣＵ１０へ送信する（ステップＳ２３０）。

以上のように、この実施の形態においては、ＥＣＵ１０において、認証子が異常である場合に、受信フレームに含まれるＩＰアドレス情報が未登録を示しているときは、未登録の外部ツールによる不正な侵入があったものと判定される。他方、認証子が異常である場合に、受信フレームに含まれるＩＰアドレス情報が登録を示しているときは、ＥＣＵ１０の異常であると判定される。このように、この実施の形態によれば、制御システム１に接続された外部ツールのＩＰアドレスとＩＰアドレスリストとに基づいて、制御システム１の外部からの不正な侵入検知と、ＥＣＵ１０の異常とを区別することができる。

今回開示された実施の形態は、全ての点で例示であって制限的なものではないと考えられるべきである。本開示により示される技術的範囲は、上記した実施の形態の説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

以上に説明した例示的な実施形態は、以下の態様の具体例である。
一態様における制御装置（ＥＣＵ）は、外部ツールを接続可能な制御システムに用いられる制御装置であって、通信部と、処理部とを備える。通信部は、制御システムに含まれる他の装置からフレームを受信する。フレームは、データと、認証子と、ＩＰアドレス情報とを含む。認証子は、上記の他の装置により生成され、データを認証するためのコードである。ＩＰアドレス情報は、制御システムに接続された外部ツールのＩＰアドレスがＩＰアドレスリストに登録されているか否かを示す情報である。ＩＰアドレスリストには、制御システムとの接続が許可された外部ツールのＩＰアドレスが予め登録されている。処理部は、通信部が受信したフレームに含まれる認証子及びＩＰアドレス情報に基づいて、外部ツールによる不正な侵入を検知する。処理部は、認証子が異常であり、かつ、ＩＰアドレス情報が未登録を示している場合に、外部ツールによる不正な侵入があったものと判定する。

この制御装置においては、認証子が異常である場合に、ＩＰアドレス情報が未登録を示しているときは、外部ツールによる不正な侵入があったものと判定される。このように、この制御装置によれば、制御システムに接続された外部ツールのＩＰアドレスとＩＰアドレスリストとに基づいて、制御システムの外部からの不正な侵入を検知することができる。

処理部は、認証子が異常であり、かつ、ＩＰアドレス情報が登録を示している場合に、制御装置又は他の装置の異常であると判定してもよい。

この制御装置によれば、外部からの不正な侵入検知と、制御装置又は他の装置の異常とを区別することができる。

また、他の態様における制御装置（ＥＣＵ）は、外部ツールを接続可能な制御システムに用いられる制御装置であって、通信部と、処理部とを備える。通信部は、制御システムに含まれる他の装置へデータを含むフレームを送信する。処理部は、上記の他の装置においてデータを認証するための認証子を生成する。フレームは、処理部により生成された認証子と、ＩＰアドレス情報とをさらに含む。ＩＰアドレス情報は、制御システムに接続された外部ツールのＩＰアドレスがＩＰアドレスリストに登録されているか否かを示す情報である。ＩＰアドレスリストには、制御システムとの接続が許可された外部ツールのＩＰアドレスが予め登録されている。

この制御装置においては、データと、認証子と、ＩＰアドレス情報とを含むフレームが他の装置へ送信される。したがって、このようなフレームを受信した他の制御装置において、制御システムに接続された外部ツールのＩＰアドレスとＩＰアドレスリストとに基づいて、制御システムの外部からの不正な侵入を検知することができる。

１ 制御システム、１０，１０－１，１０－２ ＥＣＵ、２０ 外部通信モジュール、３０ バス、４２ ＣＡＮツール、４４ サーバ、４６ スマートフォン、１０２，１１２ ＣＰＵ、１０４，１１４ ＲＡＭ、１０６，１１６ ＲＯＭ、１０８，１１８ ＣＡＮ－Ｉ／Ｆ、１２０ 外部Ｉ／Ｆ。

Claims (6)

1. 外部ツールを接続可能な制御システムに用いられる制御装置であって、
   前記制御システムに含まれる他の装置からフレームを受信する通信部を備え、
   前記フレームは、
   データと、
   前記他の装置により生成され、前記データを認証するための認証子と、
   前記制御システムに接続された外部ツールのＩＰアドレスがＩＰアドレスリストに登録されているか否かを示すＩＰアドレス情報とを含み、
   前記ＩＰアドレスリストには、前記制御システムとの接続が許可された外部ツールのＩＰアドレスが予め登録されており、さらに、
   前記通信部が受信したフレームに含まれる前記認証子及び前記ＩＰアドレス情報に基づいて、前記外部ツールによる不正な侵入を検知する処理部を備え、
   前記処理部は、前記認証子が異常であり、かつ、前記ＩＰアドレス情報が未登録を示している場合に、前記外部ツールによる不正な侵入があったものと判定する、制御装置。
2. 前記処理部は、前記認証子が異常であり、かつ、前記ＩＰアドレス情報が登録を示している場合に、前記制御装置又は前記他の装置の異常であると判定する、請求項１に記載の制御装置。
3. 外部ツールを接続可能な制御システムに用いられる制御装置であって、
   前記制御システムに含まれる他の装置へデータを含むフレームを送信する通信部と、
   前記他の装置において前記データを認証するための認証子を生成する処理部とを備え、
   前記フレームは、
   前記処理部により生成された前記認証子と、
   前記制御システムに接続された外部ツールのＩＰアドレスがＩＰアドレスリストに登録されているか否かを示すＩＰアドレス情報とをさらに含み、
   前記ＩＰアドレスリストには、前記制御システムとの接続が許可された外部ツールのＩＰアドレスが予め登録されている、制御装置。
4. 請求項１又は請求項２に記載の制御装置と、
   前記制御装置へ前記フレームを送信するもう１つの制御装置とを備え、
   前記もう１つの制御装置は、
   前記制御装置において前記データを認証するための前記認証子を生成し、
   前記データと前記認証子と前記ＩＰアドレス情報とを含む前記フレームを前記制御装置へ送信する、制御システム。
5. 請求項３に記載の制御装置と、
   前記制御装置から前記フレームを受信するもう１つの制御装置とを備え、
   前記もう１つの制御装置は、前記制御装置から受信したフレームに含まれる前記認証子及び前記ＩＰアドレス情報に基づいて、前記外部ツールによる不正な侵入を検知する処理部を含み、
   前記処理部は、前記認証子が異常であり、かつ、前記ＩＰアドレス情報が未登録を示している場合に、前記外部ツールによる不正な侵入があったものと判定する、制御システム。
6. 前記制御システムの外部の前記外部ツールと通信可能な外部通信モジュールをさらに備え、
   前記外部通信モジュールは、前記ＩＰアドレスリストに基づいて、前記外部通信モジュールに接続された外部ツールについての前記ＩＰアドレス情報を生成する、請求項４又は請求項５に記載の制御システム。
   

Images