JP2023102696A - 通信装置、車両、通信方法、及びプログラム - Google Patents

通信装置、車両、通信方法、及びプログラム Download PDF

Info

Publication number
JP2023102696A
JP2023102696A JP2022003365A JP2022003365A JP2023102696A JP 2023102696 A JP2023102696 A JP 2023102696A JP 2022003365 A JP2022003365 A JP 2022003365A JP 2022003365 A JP2022003365 A JP 2022003365A JP 2023102696 A JP2023102696 A JP 2023102696A
Authority
JP
Japan
Prior art keywords
communication
authentication
message
unit
messages
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2022003365A
Other languages
English (en)
Inventor
貴仁 清川
Takahito Kiyokawa
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Toyota Motor Corp
Original Assignee
Toyota Motor Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Toyota Motor Corp filed Critical Toyota Motor Corp
Priority to JP2022003365A priority Critical patent/JP2023102696A/ja
Priority to US18/056,745 priority patent/US20230224289A1/en
Priority to CN202211500348.8A priority patent/CN116436628A/zh
Publication of JP2023102696A publication Critical patent/JP2023102696A/ja
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/12—Arrangements for remote connection or disconnection of substations or of equipment thereof
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN

Abstract

【課題】複数の通信装置から受信したデータの一部において認証が失敗している場合であっても、通信異常状態を誤って判定することを抑止することができる【解決手段】通信装置は、他の通信装置の各々から、前記他の通信装置で生成された認証情報が付与されたメッセージを受信する受信部と、前記受信部が受信した前記メッセージの各々について、前記メッセージに付与された前記認証情報に基づいて、前記メッセージを認証する認証部と、前記他の通信装置毎、又は前記メッセージの種類毎に、対応する複数の前記メッセージの各々について前記認証部により行われた複数の認証のうち所定回数未満の認証に失敗した場合には、通信異常状態と判定し、対応する複数の前記メッセージの各々について前記認証部により行われた前記複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記通信異常状態と判定しない判定部と、を備えている。【選択図】図４

Description

本発明は、通信装置、車両、通信方法、及びプログラムに関する。
特許文献１には、第一データ及び前記第一データと異なる第二データを受信し、受信された前記第一データと暗号鍵とに基づいて第三データを生成し、前記第二データと前記第三データとを比較し、両者が一致した場合に前記第一データを認証し、車両起動後の所定期間内の前記受信に対して複数回行われた前記比較の結果、全ての回において前記第二データと前記第三データとが不一致となる場合を装置異常状態と判定し、前記複数回の前記比較の結果、前記一致を含む場合を装置作動状態と判定する車両通信装置が開示されている。
特開２０２１－０８３００５号公報
特許文献１の車両通信装置において、複数の通信装置から受信したデータの一部において認証が失敗している場合、一部の通信装置のみから受信したデータの認証に全て失敗しているのか、通信装置によらず、一部のデータの認証に失敗しているのかを判別していないため、適切な処置が行えないおそれがある。
そこで、本発明は、複数の通信装置から受信したメッセージの一部において認証が失敗している場合であっても、通信異常状態を誤って判定することを抑止することができる通信装置、車両、通信方法、及びプログラムを提供することを目的とする。
請求項１に記載の通信装置は、他の通信装置の各々から、前記他の通信装置で生成された認証情報が付与されたメッセージを受信する受信部と、前記受信部が受信した前記メッセージの各々について、前記メッセージに付与された前記認証情報に基づいて、前記メッセージを認証する認証部と、前記他の通信装置毎、又は前記メッセージの種類毎に、対応する複数の前記メッセージの各々について前記認証部により行われた複数の認証のうち所定回数未満の認証に失敗した場合には、通信異常状態と判定し、対応する複数の前記メッセージの各々について前記認証部により行われた前記複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記通信異常状態と判定しない判定部と、を備えている。
請求項１に記載の通信装置は、受信部が、他の通信装置の各々から、前記他の通信装置で生成された認証情報が付与されたメッセージを受信する。そして、認証部が、前記受信部が受信した前記メッセージの各々について、前記メッセージに付与された前記認証情報に基づいて、前記メッセージを認証する。そして、判定部が、前記他の通信装置毎、又は前記メッセージの種類毎に、対応する複数の前記メッセージの各々について前記認証部により行われた複数の認証のうち所定回数未満の認証に失敗した場合には、通信異常状態と判定し、対応する複数の前記メッセージの各々について前記認証部により行われた前記複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記通信異常状態と判定しない。
他の通信装置の１つ、又は前記メッセージの種類の１つに対応する複数の前記メッセージの各々について前記認証部により行われた複数の認証のうち所定回数未満の認証に失敗した場合には、他の通信装置に異常があるとみなし、ハッキング等の通信異常ではないと判定することができる。そのため、当該通信装置によれば、複数の通信装置から受信したデータの一部において認証が失敗している場合であっても、通信異常状態を誤って判定することを抑止することができる。
請求項２に記載の通信装置は、請求項１に記載の通信装置において、前記メッセージは、前記メッセージの種類を示す識別情報を有し、前記判定部は、前記識別情報毎に、前記識別情報を有する複数の前記メッセージの各々について前記認証部により行われた複数の認証のうち所定回数未満の認証に失敗した場合には、前記通信異常状態と判定し、前記識別情報を有する複数の前記メッセージの各々について前記認証部により行われた前記複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記通信異常状態と判定しない。
請求項２に記載の通信装置では、メッセージの種類を示す１つの識別情報を有する複数の前記メッセージの各々について前記認証部により行われた複数の認証のうち所定回数未満の認証に失敗した場合には、他の通信装置に異常があるとみなし、ハッキング等の通信異常ではないと判定することができる。
請求項３に記載の通信装置は、請求項１又は２に記載の通信装置において、前記認証に失敗したメッセージを破棄する破棄部と、前記メッセージに応じた情報処理を実行する情報処理部と、を更に含み、前記情報処理部は、前記メッセージの受信状況に基づいて、通信途絶を検出し、前記判定部は、前記通信途絶が検出された場合、前記検出された前記通信途絶に対応する前記メッセージの種類について、対応する複数の前記メッセージの各々について前記認証部により行われた複数の認証のうち所定回数未満の認証に失敗した場合には、前記通信異常状態と判定し、対応する複数の前記メッセージの各々について前記認証部により行われた前記複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記通信異常状態と判定しない。
請求項３に記載の通信装置では、破棄部が、前記認証に失敗したメッセージを破棄すると、情報処理部は、破棄された前記メッセージの受信状況に基づいて、通信途絶を検出する。そして、前記判定部は、前記通信途絶が検出された場合、前記検出された前記通信途絶に対応する前記メッセージの種類について、対応する複数の前記メッセージの各々について前記認証部により行われた複数の認証のうち所定回数未満の認証に失敗した場合には、前記通信異常状態と判定し、対応する複数の前記メッセージの各々について前記認証部により行われた前記複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記通信異常状態と判定しない。
従って、認証に失敗したメッセージを破棄することにより、通信途絶が検出された場合であっても、前記検出された前記通信途絶に対応する前記メッセージの種類について、対応する複数の前記メッセージの各々について前記認証部により行われた前記複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記通信異常状態と判定しない。そのため、当該通信装置によれば、認証に失敗したメッセージを破棄する場合であっても、通信異常状態を誤って判定することを抑止することができる。
請求項４に記載の通信装置は、請求項１～３の何れか１項に記載の通信装置において、前記認証部は、メモリに記憶された暗号鍵と、前記メッセージに付与された前記認証情報とに基づいて、前記メッセージを認証し、前記判定部は、前記対応する複数の前記メッセージの各々について前記認証部により行われた前記複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記他の通信装置の暗号鍵の異常状態と判定する。
請求項４に記載の通信装置では、前記判定部は、前記他の通信装置毎、又は前記メッセージの種類毎に、前記対応する複数の前記メッセージの各々について前記認証部により行われた前記複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記他の通信装置の暗号鍵の異常状態と判定する。そのため、当該通信装置によれば、他の通信装置の暗号鍵の異常状態を判定することができる。
請求項５に記載の通信装置は、請求項１～４の何れか１項に記載の通信装置において、前記判定部は、対応する複数の前記メッセージの各々について前記認証部により行われた複数の認証のうち一部の認証に失敗した場合には、通信異常状態と判定し、
対応する複数の前記メッセージの各々について前記認証部により行われた前記複数の認証の全ての認証に失敗した場合には、前記通信異常状態と判定しない。
請求項５に記載の通信装置では、前記判定部は、対応する複数の前記メッセージの各々について前記認証部により行われた複数の認証のうち一部の認証に失敗した場合には、通信異常状態と判定し、対応する複数の前記メッセージの各々について前記認証部により行われた前記複数の認証の全ての認証に失敗した場合には、前記通信異常状態と判定しない。
請求項６に記載の車両は、請求項１～請求項５の何れか１項記載の通信装置を複数備える。
請求項７に記載の通信方法は、受信部が、他の通信装置の各々から、前記他の通信装置で生成された認証情報が付与されたメッセージを受信し、認証部が、前記受信部が受信した前記メッセージの各々について、前記メッセージに付与された前記認証情報に基づいて、前記メッセージを認証し、判定部が、前記他の通信装置毎、又は前記メッセージの種類毎に、対応する複数の前記メッセージの各々について前記認証部により行われた複数の認証のうち所定回数未満の認証に失敗した場合には、通信異常状態と判定し、対応する複数の前記メッセージの各々について前記認証部により行われた前記複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記通信異常状態と判定しない。
請求項７に記載の通信方法は、受信部が、他の通信装置の各々から、前記他の通信装置で生成された認証情報が付与されたメッセージを受信する。認証部が、前記受信部が受信した前記メッセージの各々について、前記メッセージに付与された前記認証情報に基づいて、前記メッセージを認証する。
そして、判定部が、前記他の通信装置毎、又は前記メッセージの種類毎に、対応する複数の前記メッセージの各々について前記認証部により行われた複数の認証のうち所定回数未満の認証に失敗した場合には、通信異常状態と判定し、対応する複数の前記メッセージの各々について前記認証部により行われた前記複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記通信異常状態と判定しない。
上述のように、当該通信方法によれば、複数の通信装置から受信したデータの一部において認証が失敗している場合であっても、通信異常状態を誤って判定することを抑止することができる。
請求項８に記載のプログラムは、他の通信装置の各々から、前記他の通信装置で生成された認証情報が付与されたメッセージを受信し、前記受信した前記メッセージの各々について、前記メッセージに付与された前記認証情報に基づいて、前記メッセージを認証し、他の通信装置毎、又は前記メッセージの種類毎に、対応する複数の前記メッセージの各々について行われた複数の認証のうち所定回数未満の認証に失敗した場合には、通信異常状態と判定し、対応する複数の前記メッセージの各々について行われた前記複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記通信異常状態と判定しない処理をコンピュータに実行させるためのプログラムである。
請求項８に記載のプログラムは、コンピュータに対して次の処理を実行させる。コンピュータは、他の通信装置の各々から、前記他の通信装置で生成された認証情報が付与されたメッセージを受信する。コンピュータは、前記受信した前記メッセージの各々について、前記メッセージに付与された前記認証情報に基づいて、前記メッセージを認証する。
そして、コンピュータは、前記他の通信装置毎、又は前記メッセージの種類毎に、対応する複数の前記メッセージの各々について行われた複数の認証のうち所定回数未満の認証に失敗した場合には、通信異常状態と判定し、対応する複数の前記メッセージの各々について行われた前記複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記通信異常状態と判定しない。
上述のように、当該プログラムによれば、複数の通信装置から受信したデータの一部において認証が失敗している場合であっても、通信異常状態を誤って判定することを抑止することができる。
本発明によれば、複数の通信装置から受信したデータの一部において認証が失敗している場合であっても、通信異常状態を誤って判定することを抑止することができる。
実施形態に係る車両通信システムの概略構成を示す図である。 実施形態のＥＣＵのハードウェア構成を示すブロック図である。 実施形態のストレージの構成の例を示すブロック図である。 実施形態のＣＰＵの機能構成の例を示すブロック図である。 送信側及び受信側のＥＣＵにおけるデータの流れを説明する図である。 検証結果リストの例を示す図である。 送信側のＥＣＵにおける処理の流れを示すフローチャートである。 受信側のＥＣＵにおける異常判定処理の流れを示すフローチャートである。 受信側のＥＣＵにおける異常記録処理の流れを示すフローチャートである。 受信側のＥＣＵにおける通信途絶記録処理の流れを示すフローチャートである。 受信側のＥＣＵにおける攻撃検知記録処理の流れを示すフローチャートである。 診断装置における診断処理の流れを示すフローチャートである。
（通信システム）
図１は、実施形態に係る車両通信システム１２の概略構成を示すブロック図である。図１に示されるように、本実施形態に係る車両通信システム１２は、通信装置である複数のＥＣＵ（Electronic Control Unit）１０と、複数のＥＣＵ１０同士を接続する通信路であるバス１４と、を含んで構成されている。本実施形態の車両通信システム１２は、例えば、車両１１に設けられた各ＥＣＵ１０を接続するネットワークとして形成されている。
図１には、ＥＣＵ１０Ａ、ＥＣＵ１０Ｂ、及びＥＣＵ１０Ｃの３つのＥＣＵ１０が図示されている。ＥＣＵ１０Ａ、ＥＣＵ１０Ｂ、及びＥＣＵ１０Ｃは、スレーブＥＣＵに相当し、マスタＥＣＵに相当するＥＣＵ１０の図示を省略している。以下の説明において、ＥＣＵ１０Ａ、ＥＣＵ１０Ｂを、通信フレームを送信する送信側のＥＣＵ１０とし、ＥＣＵ１０Ｃを、通信フレームを受信する受信側のＥＣＵ１０として説明する。なお、バス１４には、ＥＣＵ１０Ａ、１０Ｂ及び１０Ｃに限らず、さらに多くのＥＣＵ１０が接続されていてもよい。また、本実施形態の車両通信システム１２は、バス型のバス構造を採用しているが、これに限らず、スター型、リング型、ライン型（ディジーチェーン接続）のバス構造を採用してもよい。
本実施形態の車両通信システム１２では、ＥＣＵ１０同士の通信を行うための通信方式にＣＡＮ（Controller Area Network）プロトコル、又はＣＡＮプロトコルよりも通信速度が高速であるＣＡＮ－ＦＤ（CAN With Flexible Data Rate）プロトコルを採用している。なお、通信方式はこれに限らず、イーサネット（登録商標）等のＬＡＮ規格を採用してもよい。
（ＥＣＵ）
図２に示されるように、本実施形態のＥＣＵ１０は、マイクロコントローラ２０と、ＣＡＮトランシーバ３０と、を含んで構成されている。マイクロコントローラ２０は、ＣＰＵ（Central Processing Unit）２２、ＲＯＭ（Read Only Memory）２４、ＲＡＭ（Random Access Memory）２６、及びＣＡＮコントローラ２８を含んで構成されている。
ＣＰＵ２２は、中央演算処理ユニットであり、各種プログラムを実行したり、各部を制御したりする。すなわち、ＣＰＵ２２は、ＲＯＭ２４からプログラムを読み出し、ＲＡＭ２６を作業領域としてプログラムを実行する。本実施形態では、ＲＯＭ２４に実行プログラム１００が記憶されている（図３参照）。
ＲＯＭ２４は、各種プログラム及び各種データを記憶している。
ＲＡＭ２６は、作業領域として一時的にプログラム又はデータを記憶する。
ストレージ２７は、各種プログラム及び各種データを記憶している。図３に示されるように、ストレージ２７は、実行プログラム１００と、鍵データ１１０と、メッセージデータ１２０と、コードデータ１３０と、認証結果リスト１４０とが記憶されている。鍵データ１１０には、ＭＡＣ（Message Authentication Code：メッセージ認証コード）を生成するための暗号鍵５２（図５参照）のデータが記憶されている。メッセージデータ１２０には、ＥＣＵ１０が送信する又は受信したメッセージ６２（図５参照）が記憶されている。コードデータ１３０には、装置の故障を示すＤＴＣ（Diagnostic Trouble Code）、及び通信の異常を示すＲｏｂ（Record of Behavior）コードが記憶される。なお、装置の故障をＤＴＣとは異なる形式で記憶したり、通信の異常をＲｏｂコードとは異なる他の形式のコードで記憶したりしてもよい。認証結果リスト１４０には、メッセージＩＤ毎に、メッセージを認証した認証結果が記憶される。
ＣＡＮコントローラ２８は、ＣＡＮプロトコル及びＣＡＮ－ＦＤプロトコルに係る機能、例えば、通信調停やエラーチェック等の機能を実現する。
ＣＡＮトランシーバ３０は、マイクロコントローラ２０、及びバス１４と接続され、マイクロコントローラ２０から入力される通信フレームをバス１４に送信し、バス１４によって転送される通信フレームをマイクロコントローラ２０に入力する機能を有している。
図４は、ＥＣＵ１０の機能構成の例を示すブロック図である。図４に示されるように、ＥＣＵ１０は、送信部２００、受信部２１０、生成部２２０、認証部２３０、破棄部２４０、判定部２５０、及び情報処理部２６０を有している。各機能構成は、ＣＰＵ２２がＲＯＭ２４に記憶された実行プログラム１００を読み出し、これを実行することによって実現される。
送信部２００は、他のＥＣＵ１０に向けて通信フレームを送信する機能を有している。
受信部２１０は、他のＥＣＵ１０から通信フレームを受信する機能を有している。本実施形態の送信部２００及び受信部２１０は、ＣＡＮプロトコル又はＣＡＮ－ＦＤプロトコルの通信方式に基づいて制御される。そのため、通信フレームは、通信データ６０を含んでいる。図５に示されるように、通信データ６０はメッセージ６２と、当該メッセージ６２から生成されたＭＡＣ６４と、を含んでいる。また、メッセージ６２は、メッセージ６２の種類を示すメッセージＩＤとしてのＣＡＮＩＤを有する。
生成部２２０は、暗号鍵５２を使用して所定のデータからＭＡＣ６４を生成する機能を有している。送信側のＥＣＵ１０における生成部２２０は、車両１１に搭載されたセンサや通信装置から入力された送付データ５０と暗号鍵５２とに基づいて演算処理を実行してＭＡＣ６４を生成する。受信側のＥＣＵ１０における生成部２２０は、送信側のＥＣＵ１０から受信したメッセージ６２と暗号鍵５２とに基づいて演算処理を実行して検証用ＭＡＣ６６を生成する。本実施形態の暗号鍵５２は、送信側と受信側とで共通とされる共通鍵が使用される。
認証部２３０は、受信部２１０が受信したメッセージ６２の各々について、メッセージ６２を認証する機能を有している。認証部２３０は、受信した通信データ６０に含まれるＭＡＣ６４と、受信したメッセージ６２から生成された検証用ＭＡＣ６６とを比較して一致した場合にメッセージ６２を認証する。
認証部２３０は、受信部２１０が受信したメッセージ６２の各々についての認証結果を、認証結果リスト１４０に格納する。例えば、図６に示すように、ＣＡＮＩＤと認証結果との組み合わせの各々が、認証結果リスト１４０に格納される。
破棄部２４０は、認証部２３０による認証に失敗したメッセージ６２を破棄する。例えば、破棄部２４０は、認証に失敗したメッセージ６２をＲＡＭ２６又はストレージ２７から消去する。
判定部２５０は、メッセージ６２の種類毎に、対応する複数のメッセージの各々について認証部２３０により行われた認証結果に基づいて、正常状態、通信異常状態、及び鍵異常状態の何れであるかを判定する機能を有している。
正常状態はＥＣＵ１０に異常がなく、ＥＣＵ１０における通信が正常であることを示す状態である。通信異常状態は、ＥＣＵ１０に異常がないものの、ＥＣＵ１０がハッキング等のセキュリティ攻撃を受けていることを示す状態、又はＥＣＵ１０の通信機能が故障していることを示す情報である。なお、通信機能の故障として、一時的な通信障害を含むようにしてもよい。鍵異常状態は、メッセージ６２の送信側のＥＣＵ１０の暗号鍵５２に異常があること示す状態である。
具体的には、判定部２５０は、ＣＡＮＩＤ毎に、当該ＣＡＮＩＤを有する複数のメッセージ６２の各々について認証部２３０により行われた認証結果に基づいて、複数の認証のうち一部の認証に失敗した場合には、通信異常状態と判定し、複数の認証の全ての認証に失敗した場合には、通信異常状態と判定せずに、当該ＣＡＮＩＤを有するメッセージ６２の送信元のＥＣＵ１０の鍵異常状態と判定する。
より具体的には、判定部２５０は、ＣＡＮＩＤ毎に、車両１１の起動後、当該ＣＡＮＩＤを有するメッセージ６２についての第１の所定回数の認証結果に基づいて、全ての認証が成功した場合には、正常状態と判定し、第１の所定回数の認証のうち、第２の所定回数以上の認証に成功し、一部の認証に失敗した場合には、通信異常状態と判定し、全ての認証に失敗した場合には、通信異常状態と判定せずに、当該ＣＡＮＩＤを有するメッセージ６２の送信元のＥＣＵ１０の鍵異常状態と判定する。
ここで、本実施形態における「第１の所定回数」とは、ＥＣＵ１０が起動してから認証に係る装置（例えば生成部２２０及び認証部２３０）の準備が完了するまでに必要とする時間に相当する回数である。また、「第２の所定回数」の定義は次による。ＭＡＣ６４と検証用ＭＡＣ６６とが偶然一致したことにより、第２の所定回数に渡りメッセージ６２が認証される確率は、ＡＳＩＬ（Automotive Safety Integrity Level）のＤグレードの故障率を下回る回数に設定されている。
なお、判定部２５０は、第２の所定回数未満の認証にしか成功しなかった場合には、全ての認証に失敗していなくとも、通信異常状態と判定せずに、当該ＣＡＮＩＤを有するメッセージ６２の送信元のＥＣＵ１０の鍵異常状態と判定するようにしてもよい。
また、判定部２５０は、後述する情報処理部２６０により通信途絶が検出された場合、検出された通信途絶に対応するメッセージ６２の種類について、認証部２３０により行われた複数の認証結果に基づいて、正常状態、通信異常状態、及び鍵異常状態の何れであるかを判定する。
具体的には、通信途絶が検出されたメッセージ６２と同じＣＡＮＩＤを有する複数のメッセージ６２の各々について認証部２３０により行われた認証結果に基づいて、複数の認証のうち一部の認証に失敗した場合には、通信異常状態と判定し、複数の認証の全ての認証に失敗した場合には、通信異常状態と判定せずに、当該ＣＡＮＩＤを有するメッセージ６２の送信元のＥＣＵ１０の鍵異常状態と判定する。
より具体的には、判定部２５０は、情報処理部２６０により通信途絶が検出された場合、通信途絶が検出されたメッセージ６２と同じＣＡＮＩＤを有するメッセージ６２についての第１の所定回数の認証結果に基づいて、全ての認証が成功した場合には、正常状態と判定し、第１の所定回数の認証のうち、第２の所定回数以上の認証に成功し、一部の認証に失敗した場合には、通信異常状態と判定し、全ての認証に失敗した場合には、通信異常状態と判定せずに、当該ＣＡＮＩＤを有するメッセージ６２の送信元のＥＣＵ１０の鍵異常状態と判定する。
情報処理部２６０は、他のＥＣＵ１０や各部のセンサから取得したメッセージ６２を処理する機能を有している。例えば、ＥＣＵ１０が車両１１の情報を表示させるメータＥＣＵである場合、情報処理部２６０は、受信したメッセージ６２に基づいてメータパネルに情報を表示させることができる。また、情報処理部２６０は、判定部２５０によって鍵異常状態と判定された場合、鍵異常状態時のフェールセーフ処理を実行する。例えば、ＥＣＵ１０が車両１１の情報を表示させるメータＥＣＵであり、鍵異常状態と判定されたときのＣＡＮＩＤのメッセージ６２が、メータパネルに表示させる情報を示している場合、情報処理部２６０は、予め定められた情報をメータパネルに表示させることができる。
また、情報処理部２６０は、メッセージ６２の受信状況に基づいて、当該メッセージ６２の通信途絶を検出する。例えば、破棄部２４０によって、認証部２３０による認証に失敗した、同じＣＡＮＩＤを有する複数のメッセージ６２が破棄されたことにより、情報処理部２６０は、当該メッセージ６２の通信途絶を検出する。
（作用）
次に本実施形態においてＥＣＵ１０Ａ及びＥＣＵ１０ＢからＥＣＵ１０Ｃに向けて通信データ６０を送信する場合において、各ＥＣＵ１０で実行される処理の流れについて図７～図１１のフローチャートを用いて説明する。なお、ＥＣＵ１０Ｂ及びＥＣＵ１０ＣからＥＣＵ１０Ａに通信データ６０を送信する場合、ＥＣＵ１０Ｃ及びＥＣＵ１０ＡからＥＣＵ１０Ｂに通信データ６０を送信する場合においても同様の処理が実行可能である。
送信側のＥＣＵ１０Ａ及びＥＣＵ１０ＢではＣＰＵ２２により以下の各ステップに基づく処理が実行される。
図７のステップＳ１００において、ＣＰＵ２２は送付データ５０を取得する。取得された送付データ５０は、通信データ６０に含まれる、ＣＡＮＩＤを有するメッセージ６２となる（図５参照）。
ステップＳ１０２において、ＣＰＵ２２はＭＡＣ６４を生成すると共に、ＭＡＣ６４をメッセージ６２に付与する。すなわち、ＣＰＵ２２は、送付データ５０及び暗号鍵５２に基づく演算処理を行ってＭＡＣ６４を生成し、生成したＭＡＣ６４をメッセージ６２の下位ビットに付与する（図５参照）。
ステップＳ１０４において、ＣＰＵ２２はメッセージ６２及びＭＡＣ６４を含む通信データ６０を受信側のＥＣＵ１０に送信する。
ステップＳ１０６において、ＣＰＵ２２は、所定時間が経過したか否かの判定を行う。本実施形態の車両通信システム１２では、受信側のＥＣＵ１０における通信データ６０の取りこぼしを防ぐべく、所定時間内は同じ通信データ６０を送信している。ＣＰＵ２２は所定時間が経過したと判定した場合、ステップＳ１００に戻る。一方、ＣＰＵ２２は所定時間が経過していないと判定した場合、ステップＳ１０４に戻る。すなわち、所定時間が経過するまでは既存の通信データ６０を送信し、所定時間を経過すると新たな通信データ６０を送信する処理を繰り返す。
続けて受信側のＥＣＵ１０ＣではＣＰＵ２２により、異常判定処理が実行される。図８に示す異常判定処理は、メッセージＩＤであるＣＡＮＩＤの各々を対象として実行される。
図８のステップＳ１１０において、ＣＰＵ２２は、対象のＣＡＮＩＤを有するメッセージ６２を含む通信データ６０を送信側のＥＣＵ１０から受信する。
ステップＳ１１２において、ＣＰＵ２２は認証処理を実行する。つまり、ＣＰＵ２２はメッセージ６２及び暗号鍵５２に基づく演算処理を行って検証用ＭＡＣ６６を生成し、当該検証用ＭＡＣ６６と通信データ６０に含まれるＭＡＣ６４とを比較する（図５参照）。
ステップＳ１１４において、ＣＰＵ２２は、上記ステップＳ１１２の認証結果を、ＣＡＮＩＤと共に、認証結果リスト１４０に記録する。
ステップＳ１１６において、ＣＰＵ２２はＥＣＵ１０の起動から、対象のＣＡＮＩＤを有するメッセージ６２の認証処理が、第１の所定回数以上行われたか否かを判定する。ＣＰＵ２２はＥＣＵ１０の起動から、対象のＣＡＮＩＤを有するメッセージ６２の認証処理が、第１の所定回数以上行われたと判定した場合、ステップＳ１１８に進む。一方、ＣＰＵ２２はＥＣＵ１０の起動から、対象のＣＡＮＩＤを有するメッセージ６２の認証処理が、第１の所定回数以上行われていないと判定した場合、ステップＳ１１０に戻る。つまり、ＣＰＵ２２はＥＣＵ１０の起動から、対象のＣＡＮＩＤを有するメッセージ６２の認証処理が、第１の所定回数以上行われるまで通信データ６０の受信を繰り返す。受信した通信データ６０はＲＡＭ２６又はストレージ２７に一時的に記憶される。
以下、ステップＳ１１８からＳ１２２において、ＭＡＣ６４と検証用ＭＡＣ６６との比較結果に基づく状態の判定が行われる。
ステップＳ１１８において、ＣＰＵ２２は、対象のＣＡＮＩＤを有するメッセージ６２の認証が全て成功であるか否かの判定を行う。すなわち、ＣＰＵ２２は、対象のＣＡＮＩＤを有するメッセージ６２についての複数回の認証処理の結果、全ての回においてＭＡＣ６４と検証用ＭＡＣ６６とが一致しているか否かの判定を行う。ＣＰＵ２２は認証が全て成功であると判定した場合、ステップＳ１２８に進む。この場合、対象のＣＡＮＩＤを有するメッセージ６２の通信は正常状態と判定される。一方、ＣＰＵ２２は認証が全て成功ではないと判定した場合、ステップＳ１２０に進む。
ステップＳ１２０において、ＣＰＵ２２は、対象のＣＡＮＩＤを有するメッセージ６２の認証が第２の所定回数以上成功で、かつ失敗を含むか否かの判定を行う。すなわち、ＣＰＵ２２は、対象のＣＡＮＩＤを有するメッセージ６２についての複数回の認証処理の結果、ＭＡＣ６４と検証用ＭＡＣ６６とが一致している場合が第２の所定回数以上あり、かつＭＡＣ６４と検証用ＭＡＣ６６とが不一致の場合を含んでいるか否かの判定を行う。ＣＰＵ２２は、対象のＣＡＮＩＤを有するメッセージ６２についての認証が第２の所定回数以上成功で、かつ失敗を含むと判定した場合、ステップＳ１２８に進む。この場合の対象のＣＡＮＩＤを有するメッセージ６２についての通信は通信異常状態とされる。一方、ＣＰＵ２２は、対象のＣＡＮＩＤを有するメッセージ６２についての認証が第２の所定回数以上成功ではなく、かつ失敗が含まれない、すなわち認証の成功が第２の所定回数未満であると判定した場合、ステップＳ１２２に進む。
ステップＳ１２２において、ＣＰＵ２２は、対象のＣＡＮＩＤを有するメッセージ６２の認証が全て失敗であるか否かの判定を行う。すなわち、ＣＰＵ２２は、対象のＣＡＮＩＤを有するメッセージ６２についての複数回の認証処理の結果、全ての回においてＭＡＣ６４と検証用ＭＡＣ６６とが不一致であるか否かの判定を行う。ＣＰＵ２２は、対象のＣＡＮＩＤを有するメッセージ６２の認証が全て失敗であると判定した場合、ステップＳ１２４に進む。一方、ＣＰＵ２２は認証が全て失敗ではないと判定した場合、ステップＳ１２８に進む。
なお、ステップＳ１２２を省略するようにしてもよい。この場合、ステップＳ１２０において認証の成功が第２の所定回数未満であると判定した場合、ＣＰＵ２２が、ステップＳ１２４に進む。
ステップＳ１２４において、ＣＰＵ２２は、対象のＣＡＮＩＤを有するメッセージ６２についての鍵異常状態を、ＲＡＭ２６に記録する。
ステップＳ１２６において、ＣＰＵ２２は、対象のＣＡＮＩＤを有するメッセージ６２についての鍵異常状態時のフェールセーフ処理へ移行する。
ステップＳ１２８において、ＣＰＵ２２は、対象のＣＡＮＩＤを有するメッセージ６２についての認証結果の記録を終了し、異常判定処理を終了させる。
ＣＡＮＩＤの各々を対象として上記異常判定処理が実行されると、続けて受信側のＥＣＵ１０ＣではＣＰＵ２２により、図９に示す異常記録処理が実行される。
ステップＳ１３０において、ＣＰＵ２２は、少なくとも１つのＣＡＮＩＤについて鍵異常状態が記録されているか否かを判定する。上記異常判定処理の結果、少なくとも１つのＣＡＮＩＤについて鍵異常状態が記録されている場合には、ステップＳ１３２に進む。一方、鍵異常状態が記録されていない場合には、異常記録処理を終了する。
ステップＳ１３２において、ＣＰＵ２２は、Ｒｏｂコードを保存する。すなわち、ＣＰＵ２２は通信に異常があったことを示すコードを記憶する。
ステップＳ１３４において、ＣＰＵ２２は、鍵異常状態であることを示すメッセージを、メータパネルに表示させる。
ステップＳ１３６において、ＣＰＵ２２は、全てのＣＡＮＩＤについて鍵異常状態が記録されているか否かを判定する。上記異常判定処理の結果、全てのＣＡＮＩＤについて鍵異常状態が記録されている場合には、ステップＳ１３８に進む。一方、少なくとも１つのＣＡＮＩＤについて鍵異常状態が記録されていない場合には、異常記録処理を終了する。
ステップＳ１３８において、ＥＣＵ１０Ｃ自身の鍵異常状態をストレージ２７に記録し、異常記録処理を終了する。
また、通信途絶が検出された場合に、通信途絶が検出されたメッセージ６２と同じＣＡＮＩＤを対象として、上記図８に示す異常判定処理を実行する。また、定期的に、上記図９に示す異常記録処理を実行する。
また、受信側のＥＣＵ１０ＣではＣＰＵ２２により、図１０に示す通信途絶記録処理が実行される。通信途絶記録処理は、メッセージＩＤであるＣＡＮＩＤの各々を対象として実行される。
ステップＳ１４０において、ＣＰＵ２２は、対象のＣＡＮＩＤを有するメッセージ６２を含む通信データ６０を受信したか否かを判定する。対象のＣＡＮＩＤを有するメッセージ６２を含む通信データ６０を受信すると、ステップＳ１４２に進む。一方、対象のＣＡＮＩＤを有するメッセージ６２を含む通信データ６０を受信していない場合には、ステップＳ１４４に進む。
ステップＳ１４２では、ＣＰＵ２２は、通信途絶を記録するための通信途絶カウンタの値を０にクリアし、ステップＳ１４０に戻る。
ステップＳ１４４では、ＣＰＵ２２は、通信途絶カウンタの値をカウントアップし、ステップＳ１４６に進む。
ステップＳ１４６では、ＣＰＵ２２は、通信途絶カウンタの値が、通信途絶を検出するための途絶閾値に到達したか否かを判定する。通信途絶カウンタの値が、途絶閾値に到達していない場合には、ステップＳ１４０に戻る。一方、通信途絶カウンタの値が、途絶閾値に到達した場合には、ステップＳ１４８に進む。
ステップＳ１４８において、ＣＰＵ２２は、対象のＣＡＮＩＤを有するメッセージ６２についての鍵異常状態がＲＡＭ２６に記録されているか否かを判定する。上記異常判定処理により、対象のＣＡＮＩＤを有するメッセージ６２についての鍵異常状態がＲＡＭ２６に記録されている場合には、ステップＳ１５０に進む。一方、対象のＣＡＮＩＤを有するメッセージ６２についての鍵異常状態がＲＡＭ２６に記録されていない場合には、ステップＳ１５２に進む。
ステップＳ１５０において、ＣＰＵ２２は、通信途絶ダイアグの記録を禁止するようにマスクし、通信途絶記録処理を終了する。
ステップＳ１５２において、ＣＰＵ２２は、通信途絶ダイアグをストレージ２７に記録する。ステップＳ１５４において、ＣＰＵ２２は、対象のＣＡＮＩＤを有するメッセージ６２についての通信途絶時のフェールセーフ処理を実行し、通信途絶記録処理を終了する。
また、受信側のＥＣＵ１０ＣではＣＰＵ２２により、図１１に示す攻撃検知記録処理が実行される。攻撃検知記録処理は、メッセージＩＤであるＣＡＮＩＤの各々を対象として実行される。
ステップＳ１６０において、ＣＰＵ２２は、上記ステップＳ１１０と同様に、対象のＣＡＮＩＤを有するメッセージ６２を含む通信データ６０を受信する。
ステップＳ１６２では、ＣＰＵ２２は、上記ステップＳ１１２と同様に、ＣＰＵ２２は認証処理を実行する。
ステップＳ１６４において、ＣＰＵ２２は、上記ステップＳ１６２の認証処理による認証が成功であるか否かの判定を行う。上記ステップＳ１６２の認証処理による認証が成功である場合には、上記ステップＳ１６０へ戻る。一方、上記ステップＳ１６２の認証処理による認証が失敗である場合には、ステップＳ１６６に進む。
ステップＳ１６６において、ＣＰＵ２２は、対象のＣＡＮＩＤを有するメッセージ６２についての鍵異常状態がＲＡＭ２６に記録されているか否かを判定する。上記異常判定処理により、対象のＣＡＮＩＤを有するメッセージ６２についての鍵異常状態がＲＡＭ２６に記録されている場合には、ステップＳ１６８に進む。一方、対象のＣＡＮＩＤを有するメッセージ６２についての鍵異常状態がＲＡＭ２６に記録されていない場合には、ステップＳ１７０に進む。
ステップＳ１６８において、ＣＰＵ２２は、攻撃検知の記録を禁止するようにマスクし、攻撃検知記録処理を終了する。
ステップＳ１７０において、ＣＰＵ２２は、攻撃検知をストレージ２７に記録し、攻撃検知記録処理を終了する。
また、ディーラーでの作業時に、作業員が、車両１１のメータパネルの異常状態表示を確認すると、上記図１に示すように、ディーラー用診断装置３２０を、車両１１の診断用インタフェース部３１０を介して車両通信システム１２に接続する。そして、ディーラー用診断装置３２０は、図１２に示す診断処理を実行する。
ステップＳ２００において、ディーラー用診断装置３２０は、車両１１の各ＥＣＵ１０のストレージ２７から、Ｒｏｂコードを含む車両状態を示す情報を読み出す。
ステップＳ２０２において、ディーラー用診断装置３２０は、上記ステップＳ２００で読み出した情報に、Ｒｏｂコードが含まれているか否かを判定する。上記ステップＳ２００で読み出した情報に、Ｒｏｂコードが含まれている場合には、ステップＳ２０６に進む。上記ステップＳ２００で読み出した情報に、Ｒｏｂコードが含まれていない場合には、ステップＳ２０４に進む。
ステップＳ２０４において、ディーラー用診断装置３２０は、鍵異常状態とは異なる、その他の異常と判断し、診断処理を終了する。
ステップＳ２０６において、ディーラー用診断装置３２０は、車両通信システム１２の各ＥＣＵ１０の鍵更新処理を行う。
ステップＳ２０８において、ディーラー用診断装置３２０は、車両１１の車両通信システム１２を再起動させる。このとき、各ＥＣＵ１０において、上記図８に示す異常判定処理及び上記図９に示す異常記録処理が実行される
そして、再起動後、一定期間経過すると、ディーラー用診断装置３２０は、車両通信システム１２の各ＥＣＵ１０のストレージ２７から、Ｒｏｂコードを含む車両状態を示す情報を読み出す。
ステップＳ２１０において、ディーラー用診断装置３２０は、上記ステップＳ２０８で読み出した情報に、Ｒｏｂコードが含まれているか否かを判定する。上記ステップＳ２０８で読み出した情報に、Ｒｏｂコードが含まれている場合には、上記ステップＳ２０６に戻る。上記ステップＳ２００で読み出した情報に、Ｒｏｂコードが含まれていない場合には、診断処理を終了する。
（まとめ）
本実施形態の車両通信システム１２のＥＣＵ１０は、メッセージの種類の１つに対応する複数のメッセージの各々について認証部２３０により行われた複数の認証のうち一部の認証に失敗した場合には、他のＥＣＵ１０の暗号鍵に異常があるとみなし、ハッキング等の通信異常ではないと判定することができる。そのため、当該ＥＣＵ１０によれば、複数のＥＣＵ１０から受信したデータの一部において認証が失敗している場合であっても、通信異常状態を誤って判定することを抑止することができる。
従来より、正しい暗号鍵を有するマスタＥＣＵから、当該暗号鍵を用いて生成されたＭＡＣを含むメッセージをスレーブＥＣＵが受信し、ＭＡＣ認証を行うことで、自装置の故障診断を行う技術がある。
しかしながら、スレーブＥＣＵ間で通信している場合には、相手方の暗号鍵が誤っていてもこれを検知できず、自装置の故障として誤診断してしまい、異常として記録してしまうおそれがあった。
本実施形態の車両通信システム１２では、複数のメッセージの各々について行われた複数回のＭＡＣ認証のうちの一部のＭＡＣ認証に失敗した場合には通信異常状態を記録し、複数回のＭＡＣ認証の全てに失敗した場合は、他のＥＣＵの暗号鍵の鍵異常状態と判断し、通信異常状態を記録しない。このように、他のＥＣＵの暗号鍵が誤っている場合には、複数回のＭＡＣ認証の全てに失敗するところ、この場合には通信異常状態を記録しないようにすることができる。例えば、一部のＥＣＵの暗号鍵を更新し忘れてしまった場合であっても、通信異常状態を記録しないようにすることができる。
また、セキュリティ機能は不正な攻撃が発生した際、その攻撃を防ぎ、攻撃があったことを記録する。しかし、ＥＣＵが正常ではない状態の際、セキュリティ機能は意図せず、攻撃を誤検知してしまう。本実施形態では、ＥＣＵの正常でない状態の際のセキュリティ機能の誤検知を抑制する。
（備考）
なお、上記実施形態では、ＣＡＮＩＤ毎に、当該ＣＡＮＩＤを有する複数のメッセージ６２の各々について認証部２３０により行われた認証結果に基づいて、複数の認証のうち一部の認証に失敗した場合には、通信異常状態と判定し、複数の認証の全ての認証に失敗した場合には、通信異常状態と判定せずに、当該ＣＡＮＩＤを有するメッセージ６２の送信元のＥＣＵ１０の鍵異常状態と判定する場合を例に説明したが、これに限定されるものではない。例えば、送信元のＥＣＵ１０毎に、当該ＥＣＵ１０から受信した複数のメッセージ６２の各々について認証部２３０により行われた認証結果に基づいて、複数の認証のうち一部の認証に失敗した場合には、通信異常状態と判定し、複数の認証の全ての認証に失敗した場合には、通信異常状態と判定せずに、当該ＥＣＵ１０の鍵異常状態と判定してもよい。この場合には、各ＥＣＵは、ＣＡＮＩＤと送信元となるＥＣＵとの対応関係を予め保持しておき、送信元のＥＣＵ１０毎に、当該ＥＣＵ１０に対応するＣＡＮＩＤを有する複数のメッセージ６２の各々について認証部２３０により行われた認証結果に基づいて、判定を行えばよい。
また、上記実施形態でＣＰＵ２２がソフトウェア（プログラム）を読み込んで実行した各種処理を、ＣＰＵ以外の各種のプロセッサが実行してもよい。この場合のプロセッサとしては、ＦＰＧＡ（Field-Programmable Gate Array）等の製造後に回路構成を変更可能なＰＬＤ（Programmable Logic Device）、及びＡＳＩＣ（Application Specific Integrated Circuit）等の特定の処理を実行させるために専用に設計された回路構成を有するプロセッサである専用電気回路等が例示される。また、上述した異常判定処理及び異常記録処理を、これらの各種のプロセッサのうちの１つで実行してもよいし、同種又は異種の２つ以上のプロセッサの組み合わせ（例えば、複数のＦＰＧＡ、及びＣＰＵとＦＰＧＡとの組み合わせ等）で実行してもよい。また、これらの各種のプロセッサのハードウェア的な構造は、より具体的には、半導体素子等の回路素子を組み合わせた電気回路である。
また、上記実施形態において、プログラムはコンピュータが読み取り可能な非一時的記録媒体に予め記憶（インストール）されている態様で説明した。例えば、実行プログラム１００は、ＲＯＭ２４に予め記憶されている。しかしこれに限らず、実行プログラム１００は、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）、ＤＶＤ－ＲＯＭ（Digital Versatile Disc Read Only Memory）、及びＵＳＢ（Universal Serial Bus）メモリ等の非一時的記録媒体に記録された形態で提供されてもよい。また、実行プログラム１００は、ネットワークを介して外部装置からダウンロードされる形態としてもよい。
上記実施形態で説明した処理の流れは、一例であり、主旨を逸脱しない範囲内において不要なステップを削除したり、新たなステップを追加したり、処理順序を入れ替えたりしてもよい。
１０ ＥＣＵ（通信装置）
１１ 車両
１２ 車両通信システム
２２ ＣＰＵ
２７ ストレージ
５０ 送付データ
５２ 暗号鍵
６０ 通信データ
６２ メッセージ
６６ 検証用ＭＡＣ
１００ 実行プログラム（プログラム）
１１０ 鍵データ
１４０ 認証結果リスト
２００ 送信部
２１０ 受信部
２２０ 生成部
２３０ 認証部
２４０ 破棄部
２５０ 判定部
２６０ 情報処理部

Claims (8)

  1. 他の通信装置の各々から、前記他の通信装置で生成された認証情報が付与されたメッセージを受信する受信部と、
    前記受信部が受信した前記メッセージの各々について、前記メッセージに付与された前記認証情報に基づいて、前記メッセージを認証する認証部と、
    前記他の通信装置毎、又は前記メッセージの種類毎に、
    対応する複数の前記メッセージの各々について前記認証部により行われた複数の認証のうち所定の回数未満の認証に失敗した場合には、通信異常状態と判定し、
    対応する複数の前記メッセージの各々について前記認証部により行われた前記複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記通信異常状態と判定しない判定部と、
    を含む通信装置。
  2. 前記メッセージは、前記メッセージの種類を示す識別情報を有し、
    前記判定部は、
    前記識別情報毎に、
    前記識別情報を有する複数の前記メッセージの各々について前記認証部により行われた複数の認証のうち所定の回数未満の認証に失敗した場合には、前記通信異常状態と判定し、
    前記識別情報を有する複数の前記メッセージの各々について前記認証部により行われた前記複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記通信異常状態と判定しない請求項１記載の通信装置。
  3. 前記認証に失敗したメッセージを破棄する破棄部と、
    前記メッセージに応じた情報処理を実行する情報処理部と、を更に含み、
    前記情報処理部は、前記メッセージの受信状況に基づいて、通信途絶を検出し、
    前記判定部は、前記通信途絶が検出された場合、
    前記検出された前記通信途絶に対応する前記メッセージの種類について、
    対応する複数の前記メッセージの各々について前記認証部により行われた複数の認証のうち所定の回数未満の認証に失敗した場合には、前記通信異常状態と判定し、
    対応する複数の前記メッセージの各々について前記認証部により行われた前記複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記通信異常状態と判定しない請求項１又は２記載の通信装置。
  4. 前記認証部は、メモリに記憶された暗号鍵と、前記メッセージに付与された前記認証情報とに基づいて、前記メッセージを認証し、
    前記判定部は、前記対応する複数の前記メッセージの各々について前記認証部により行われた複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記他の通信装置の暗号鍵の異常状態と判定する請求項１～請求項３の何れか１項記載の通信装置。
  5. 前記判定部は、対応する複数の前記メッセージの各々について前記認証部により行われた複数の認証のうち一部の認証に失敗した場合には、通信異常状態と判定し、
    対応する複数の前記メッセージの各々について前記認証部により行われた前記複数の認証の全ての認証に失敗した場合には、前記通信異常状態と判定しない請求項１～請求項４の何れか１項記載の通信装置。
  6. 請求項１～請求項５の何れか１項記載の通信装置を複数備える車両。
  7. 受信部が、他の通信装置の各々から、前記他の通信装置で生成された認証情報が付与されたメッセージを受信し、
    認証部が、前記受信部が受信した前記メッセージの各々について、前記メッセージに付与された前記認証情報に基づいて、前記メッセージを認証し、
    判定部が、前記他の通信装置毎、又は前記メッセージの種類毎に、
    対応する複数の前記メッセージの各々について前記認証部により行われた複数の認証のうち所定の回数未満の認証に失敗した場合には、通信異常状態と判定し、
    対応する複数の前記メッセージの各々について前記認証部により行われた前記複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記通信異常状態と判定しない
    通信方法。
  8. 他の通信装置の各々から、前記他の通信装置で生成された認証情報が付与されたメッセージを受信し、
    前記受信した前記メッセージの各々について、前記メッセージに付与された前記認証情報に基づいて、前記メッセージを認証し、
    前記他の通信装置毎、又は前記メッセージの種類毎に、
    対応する複数の前記メッセージの各々について行われた複数の認証のうち所定の回数未満の認証に失敗した場合には、通信異常状態と判定し、
    対応する複数の前記メッセージの各々について行われた前記複数の認証のうち前記所定の回数以上の認証に失敗した場合には、前記通信異常状態と判定しない
    処理をコンピュータに実行させるためのプログラム。
JP2022003365A 2022-01-12 2022-01-12 通信装置、車両、通信方法、及びプログラム Pending JP2023102696A (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2022003365A JP2023102696A (ja) 2022-01-12 2022-01-12 通信装置、車両、通信方法、及びプログラム
US18/056,745 US20230224289A1 (en) 2022-01-12 2022-11-18 Communication device, vehicle, communication method, and recording medium recorded with program
CN202211500348.8A CN116436628A (zh) 2022-01-12 2022-11-28 通信装置、车辆、通信方法、以及记录有程序的记录介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2022003365A JP2023102696A (ja) 2022-01-12 2022-01-12 通信装置、車両、通信方法、及びプログラム

Publications (1)

Publication Number Publication Date
JP2023102696A true JP2023102696A (ja) 2023-07-25

Family

ID=87069139

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2022003365A Pending JP2023102696A (ja) 2022-01-12 2022-01-12 通信装置、車両、通信方法、及びプログラム

Country Status (3)

Country Link
US (1) US20230224289A1 (ja)
JP (1) JP2023102696A (ja)
CN (1) CN116436628A (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11930000B2 (en) * 2021-08-02 2024-03-12 Cisco Technology, Inc. Detection of anomalous authentications

Also Published As

Publication number Publication date
CN116436628A (zh) 2023-07-14
US20230224289A1 (en) 2023-07-13

Similar Documents

Publication Publication Date Title
JP6477281B2 (ja) 車載中継装置、車載通信システム及び中継プログラム
US11063970B2 (en) Attack detection method, attack detection device and bus system for a motor vehicle
CN108028784B (zh) 不正常检测方法、监视电子控制单元以及车载网络系统
JP2018157463A (ja) 車載通信システム、通信管理装置、車両制御装置
JP6585019B2 (ja) ネットワーク監視装置、ネットワークシステムおよびプログラム
JP6782446B2 (ja) 監視装置、通信システム、車両、監視方法、およびコンピュータプログラム
WO2018173732A1 (ja) 車載通信装置、コンピュータプログラム及びメッセージ判定方法
CN112153646B (zh) 认证方法、设备及系统
US20200361412A1 (en) On-vehicle device, management method, and management program
KR101972457B1 (ko) Can 통신 기반 해킹공격 탐지 방법 및 시스템
US20190340850A1 (en) Method and Terminal For Controlling the Establishment of a Vehicle Accident Report
CN112825500B (zh) 车辆通信装置、通信异常的判定方法以及记录介质
JP2023102696A (ja) 通信装置、車両、通信方法、及びプログラム
KR101675223B1 (ko) 워치독 장치, 워치독 보안 시스템 및 그 보안 방법
JP6468133B2 (ja) 車載ネットワークシステム
CN113226858A (zh) 信息处理装置
CN113273144B (zh) 车载通信系统、车载通信控制装置、车载通信装置、通信控制方法及通信方法
JP2023170125A (ja) セキュリティ方法、および、セキュリティ装置
CN114499831B (zh) 车辆通信系统、通信方法以及记录有通信程序的记录介质
JP6950539B2 (ja) ネットワークシステム
CN111464969B (zh) 车载联网电子系统的控制方法
JP2023101193A (ja) 情報処理装置、車両、情報処理方法、及びプログラム
KR20230097397A (ko) 차량 네트워크 침입 탐지 시스템 및 그 방법
JP2024041392A (ja) 電子制御装置

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20231123