JP2024033325A - 装置及び方法 - Google Patents

Abstract

【課題】ＣＡＮのセキュリティレベルを向上させる。【解決手段】第１のＣＡＮ（Controller Area Network）バスに接続する第１のインタフェース部と、第２のＣＡＮバスに接続する第２のインタフェース部と、ＣＡＮフレームの送信が開始された場合に、アービトレーションの終了後初めてドミナント状態が検知された第１のＣＡＮバス又は第２のＣＡＮバスを、当該ＣＡＮフレームの送信元装置が接続しているＣＡＮバスとして特定することを実行する制御部と、を備える装置である。【選択図】図１

Description

本開示は、ＣＡＮ（Controller Area Network）に関する。

フレームの送信経路を登録しているルート情報を用いて受信フレームの送信経路先のアドレスを算出し、算出したアドレスの示すアドレス変換テーブルに登録されているルート情報が示す送信経路に受信フレームを送信する、ＬＡＮ間接続装置が開示されている（例えば、特許文献１）。

特開平５－０４８６１２号公報

本開示は、ＣＡＮのセキュリティレベルを向上可能な装置及び方法を提供することを課題とする。

本開示の態様の一つは、
第１のＣＡＮバスに接続する第１のインタフェース部と、
第２のＣＡＮバスに接続する第２のインタフェース部と、
ＣＡＮフレームの送信が発生した場合に、アービトレーションの終了後初めてドミナント状態が検知された前記第１のＣＡＮバス又は前記第２のＣＡＮバスを、前記ＣＡＮフレームの送信元装置が接続しているＣＡＮバスとして特定することを実行する制御部と、
を備える装置である。

本開示の他の態様の一つは、
第１のＣＡＮバスと第２のＣＡＮバスとに接続する装置が、
ＣＡＮフレームの送信の開始を検出することと、
前記ＣＡＮフレームの送信が開始された場合に、アービトレーションの終了後初めてドミナント状態が検知された前記第１のＣＡＮバス又は前記第２のＣＡＮバスを、前記ＣＡＮフレームの送信元装置が接続しているＣＡＮバスとして特定する、
方法である。

本開示によれば、ＣＡＮのセキュリティレベルを向上させることができる。

図１は、第１実施形態に係る送信元検知装置の構成の一例を示す図である。 図２は、インタフェース部、通信状態検知部、及び、アービトレーション終了判定部の回路図の一例である。 図３は、バス接続制御部及び送信方向判定部の回路図の一例である。 図４は、制御部の処理のフローチャートの一例である。 図５は、送信元ＣＡＮバスの検知結果を応用する送信元検知装置の構成の一例である。 図６は、ＣＡＮ ＩＤと送信元ＣＡＮバスに関する情報とを紐づけたデータベースの一例である。

ＣＡＮでは、メッセージに送信元を特定可能な情報が含まれていないため、ＣＡＮフレームの送受信方向を特定することが困難である。このため、例えば、ＣＡＮバスに接続された悪意のある機器からの成りすましメッセージが送信される等の攻撃を防ぐことは困難である。

本開示の態様の一つは、第１のＣＡＮバスに接続する第１のインタフェース部と、第２のＣＡＮバスに接続する第２のインタフェース部と、制御部とを備える装置である。当該制御部は、ＣＡＮフレームの送信が開始された場合に、アービトレーションの終了後初めてドミナント状態が検知された第１のＣＡＮバス又は第２のＣＡＮバスを、ＣＡＮフレームの送信元装置が接続しているＣＡＮバスとして特定することを実行する。

ＣＡＮバスでは、複数の装置によって同時にＣＡＮフレームの送信が行われた場合には、ＣＡＮ ＩＤの優先度によってメッセージ送信を行う装置が決定される。ＣＡＮフレーム送信を行う装置は、ＣＡＮフレーム送信開始後のアービトレーションの期間を経て決定される。通信がない場合のＣＡＮバスの状態はリセッシブ状態であり、ドミナント状態はＣＡＮフレームの送信中にのみ発生する状態である。したがって、本開示の態様の一つでは、ＣＡＮフレームの送信が開始された場合に、アービトレーションの終了後初めてドミナント状態となるＣＡＮバスを特定することで、ＣＡＮフレームの送信元装置が接続されているＣＡＮバスを特定可能にする。

本開示の態様の一つに係る当該装置は、第１のインタフェース部と第２のインタフェース部間の接続及び切断を行う接続部をさらに備えてもよい。当該制御部は、ＣＡＮフレームの送信が開始された場合に、接続部へ接続指示を出力してもよい。当該制御部は、アービトレーションの終了が検出された場合に、接続部へ切断指示を出力し、その後、第１のＣＡＮバス又は第２のＣＡＮバスのドミナント状態が検知された場合に、接続部へ接続指示を出力してもよい。

１本のＣＡＮバスを第１のＣＡＮバスと第２のＣＡＮバスとに分断することで、いずれかのＣＡＮバスからＣＡＮフレームを受信した場合の電気的な変化をとらえることができる。ＣＡＮフレームの送信が開始されると第１のＣＡＮバスと第２のＣＡＮバスとが接続されるので、第１のＣＡＮバスと第２のＣＡＮバスとの電気的特性を同一にすることができ、ＣＡＮバス内の通信を妨げることを抑制できる。また、アービトレーションの終了後、一旦、第１のＣＡＮバスと第２のＣＡＮバスとの接続を切断することによって、ＣＡＮフレームの送信が確定した装置からのＣＡＮフレームの送信による電気的な変化が発生したＣＡＮバスを特定することができる。これによって、ＣＡＮフレームの送信元装置が接続されているＣＡＮバスを特定することができる。

本開示の態様の一つにおいて、当該制御部は、ＣＡＮフレームの送信の開始の検出後、１３ビット分に相当する時間長の経過によって、ＣＡＮフレームのアービトレーションの終了を検出してもよい。ＣＡＮフレームのフォーマットにおいて、先頭から１ビットがＳＯＦ（Start Of Frame）のフィールドであり、続いて１１ビットがＣＡＮ ＩＤのフィールドであり、続いて１ビットがＲＴＲのフィールドである。アービトレーションはＣＡＮ
ＩＤとＲＴＲとに基づいて行われる。したがって、ＣＡＮフレームの送信の開始の検出後、１３ビット分に相当する時間長の経過を待つことによって、より正確に、より簡易な構成で、アービトレーションの終了を検出することができる。

本開示の態様の一つにおいて、当該制御部は、第１のＣＡＮフレームの送信元装置が接
続しているＣＡＮバスとして特定した第１のＣＡＮバス又は第２のＣＡＮバスが、第１のＣＡＮフレームが送信される正規のＣＡＮバスとして登録されていない場合に、接続部へ切断指示を出力するようにしてもよい。例えば、第１のバスにはＣＡＮフレームを送信するような装置が接続されていない場合、ＣＡＮバスと当該ＣＡＮバスから送信されるＣＡＮフレームとの対応付けに、第１のＣＡＮバスと第１のＣＡＮフレームとの対応付けが含まれていない場合、及び、これまで第１のＣＡＮバスから第１のＣＡＮフレームの送信が検出されていない場合に、第１のＣＡＮバスから第１のＣＡＮフレームが受信されたことを検出すると、第１のＣＡＮバスと第２のＣＡＮバスとが切断される。これによって、不審なＣＡＮフレームが、送信元装置が接続されているＣＡＮバスから他方のＣＡＮバスへ送信されることを抑制することができ、不審なＣＡＮフレームの送信による影響の範囲を抑えることができる。

本開示の他の態様の一つは、上記装置が上記処理を実行する方法として特定することも可能である。本開示は、他の態様の一つとして、上記装置の処理をコンピュータに実行させるためのプログラム、及び、当該プログラムを記録した非一時的でコンピュータ読み取り可能な記録媒体としても特定することができる。

以下、図面に基づいて、本開示の実施の形態を説明する。以下の実施形態の構成は例示であり、本開示は実施形態の構成に限定されない。

＜第１実施形態＞
図１は、第１実施形態に係る送信元検知装置１の構成の一例を示す図である。送信元検知装置１は、車両に搭載されている装置であって、ＣＡＮバスに接続されている。ＣＡＮバスには、当該車両に搭載されたＥＣＵ（Electronic Control Unit）等の他の装置も接続されている。送信元検知装置１は、当該ＣＡＮバスを２本に分断し、分断されたＣＡＮバス＃１とＣＡＮバス＃２とに接続している。送信元検知装置１は、ＣＡＮフレームが、ＣＡＮバス＃１又はＣＡＮバス＃２のどちらに接続している装置から送信されたか、を検出する装置である。以下、ＣＡＮフレームの送信元装置が接続しているＣＡＮバスを、送信元ＣＡＮバス、と称する。

送信元検知装置１は、制御部１０、インタフェース部１１、及び、バス接続部１５を備える。制御部１０は、通信状態検知部１２、アービトレーション終了判定部１３、バス接続制御部１４、及び、送信方向判定部１６を備える。インタフェース部１１、通信状態検知部１２、アービトレーション終了判定部１３は、ＣＡＮバスごとに備えられる。図１では、ＣＡＮバス＃１について備えられている構成要素の符号の末尾には“Ａ”が付属している。ＣＡＮバス＃２について備えられている構成要素の符号の末尾には“Ｂ”が付属している。各ＣＡＮバスについて備えられている共通の符号を有する構成要素どうしは、それぞれ、同じ構成である。そのため、両者を区別しない場合には、符号の末尾に“Ａ”又は“Ｂ”を付けないで表記する。以下、区別せずに表記する場合には、それぞれの構成要素が処理の対象とするＣＡＮバスを、対象ＣＡＮバス、と称する。

インタフェース部１１は、対象ＣＡＮバスに接続するインタフェースである。ＣＡＮバスは２本の信号線で構成されており、それぞれの信号線には異なる電圧の信号が流れる。ドミナント状態で電圧が高い信号が流れる信号線は、図中「Ｈ」と表記されている。ドミナント状態で電圧が低い信号が流れる信号線は、図中「Ｌ」と表記されている。この２本の信号線の電圧差で、対象ＣＡＮバスが、リセッシブ状態又はドミナント状態であるかが判定される。インタフェース部１１は、対象ＣＡＮバスが、リセッシブ状態であるかドミナント状態であるかを通信状態検知部１２と送信方向判定部１６とに通知する。

通信状態検知部１２は、インタフェース部１１からの対象ＣＡＮバスの状態に基づいて
、対象ＣＡＮバスにおいて、ＣＡＮフレームの送信開始、及び、ＣＡＮフレームの送信終了を検知する。より具体的には、通信状態検知部１２は、対象ＣＡＮバスがドミナント状態になった場合にＣＡＮフレームの送信開始を検知する。また、通信状態検知部１２は、対象ＣＡＮバスのリセッシブ状態が７ビット相当の時間長継続した場合に、ＣＡＮフレームの送信終了又はエラーフレームの送信終了を検出する。通信状態検知部１２は、ＣＡＮフレームの送信開始及び送信終了を、アービトレーション終了判定部１３、バス接続制御部１４、及び送信方向判定部１６に通知する。

アービトレーション終了判定部１３は、通信状態検知部１２からＣＡＮフレームの送信開始が通知されると、タイマを開始させ、タイマの満了とともにアービトレーションの終了を検知する。当該タイマの時間長は、ＣＡＮフレームにおけるＳＯＦ（１ビット）とＣＡＮ ＩＤ（１１ビット）とＲＴＲ（１ビット）のフィールドの合計ビット長（１３ビット）に相当する時間長である。アービトレーション終了判定部１３は、アービトレーションの終了を検知すると、アービトレーション終了をバス接続制御部１４と送信方向判定部１６とに通知する。

送信方向判定部１６は、ＣＡＮバス＃１及びＣＡＮバス＃２それぞれについての、ＣＡＮバスの状態、ＣＡＮフレームの送信終了、及び、アービトレーション終了の通知に基づいて、ＣＡＮフレームの送信元ＣＡＮバスを特定する。具体的には、送信方向判定部１６は、ＣＡＮバス＃１又はＣＡＮバス＃２についてアービトレーションの終了後、初めてドミナント状態が検知されたＣＡＮバスを、送信元ＣＡＮバスとして特定する。送信方向判定部１６は、送信元ＣＡＮバスの情報をバス接続制御部１４へ出力する。

バス接続制御部１４は、ＣＡＮバス＃１及びＣＡＮバス＃２夫々についての、ＣＡＮフレームの送信開始の通知、アービトレーション終了の通知、及び、送信元ＣＡＮバスに関する情報に基づいて、バス接続部１５に、ＣＡＮバス＃１とＣＡＮバス＃２との接続指示又は切断指示を出力する。より具体的には、バス接続制御部１４は、ＣＡＮフレームの送信開始の通知が入力されると、バス接続部１５に、接続指示を出力する。バス接続制御部１４は、ＣＡＮフレームの送信完了の通知が入力されると、バス接続部１５に、切断指示を出力する。バス接続制御部１４は、アービトレーション終了の通知が入力されると、バス接続部１５に、切断指示を出力する。バス接続制御部１４は、アービトレーション終了後に、ＣＡＮバス＃１又はＣＡＮバス＃２のいずれかからドミナント状態の通知が入力されると、バス接続部１５に、接続指示を出力する。

バス接続部１５は、２本の信号線それぞれについて、ＣＡＮバス＃１とＣＡＮバス＃２を接続するスイッチを備える。バス接続部１５に備えられるスイッチは、例えば、ノーマリーオープンでＤＰＳＴ（Double Pole Single Throw）型のＣＭＯＳ（Complementary Metal Oxide Semiconductor）アナログスイッチである。バス接続部１５は、バス接続制御部１４からの接続指示又は切断指示の入力を受けて、当該２つのスイッチをＯＮ又はＯＦＦにし、ＣＡＮバス＃１とＣＡＮバス＃２とを接続又は切断する。

制御部１０、インタフェース部１１、及び、バス接続部１５は、それぞれ、電子回路によって実現されてもよい。ただし、これに限定されず、制御部１０は、例えば、ＣＰＵ（Central Processing Unit）等のプロセッサであり、通信状態検知部１２、アービトレーション終了判定部１３、バス接続制御部１４、及び、送信方向判定部１６は、当該プロセッサが所定のプログラムを実行することによって達成される機能モジュールであってもよい。以下は、制御部１０が電子回路によって実現される場合について説明される。

図２は、インタフェース部１１Ａ、通信状態検知部１２Ａ、及び、アービトレーション終了判定部１３Ａの回路図の一例である。インタフェース部１１Ａは、ＣＡＮバス＃１を
構成する２本の信号線に接続するトランシーバを含む。２本の信号線の電圧差が所定未満の場合には、ＣＡＮバス＃１はリセッシブ状態である。当該２本の信号線の電圧差が所定値以上の場合には、ＣＡＮバス＃１はドミナント状態である。インタフェース部１１ＡのトランシーバのＲｘ端子からは、ドミナント状態の場合にＨｉｇｈ信号が出力され、リセッシブ状態の場合にＬｏｗ信号が出力される。インタフェース部１１ＡのトランシーバのＲｘ端子のＨｉｇｈ信号の出力は、ＣＡＮバス＃１におけるドミナント状態の検知の通知を示す（図中、「ドミナント検知＃１」）。

通信状態検知部１２Ａは、開始検知部１２１Ａと終了検知部１２２Ａとを含む。開始検知部１２１Ａは、ＣＡＮバス＃１におけるＣＡＮフレームの送信の開始を検知する。開始検知部１２１Ａは、Ｄフリップフロップ回路（以下、Ｄ－ＦＦ）を備える。第１実施形態において、図２以降に登場する当該Ｄ－ＦＦでは、Ｄ端子には常にＨｉｇｈ信号が入力されており、クロック端子（図中、「ＣＬＫ」）の入力がＬｏｗ信号からＨｉｇｈ信号に立ち上がると、以降、クロック端子の入力値にかかわらず、Ｑ端子からＨｉｇｈ信号が出力される。当該Ｄ－ＦＦでは、クリア端子（図中「ＣＬＲ」）にＨｉｇｈ信号が入力されると、Ｑ端子の出力値が初期状態のＬｏｗ信号に戻る。

開始検知部１２１ＡのＤ－ＦＦは、クロック端子の入力をインタフェース部１１Ａの出力信号としている。したがって、開始検知部１２１ＡのＤ－ＦＦは、ＣＡＮバス＃１においてリセッシブ状態からドミナント状態へ移行すると、Ｑ端子からＨｉｇｈ信号を出力する。開始検知部１２１ＡのＤ－ＦＦのＱ端子からのＨｉｇｈ信号の出力は、ＣＡＮバス＃１におけるＣＡＮフレームの送信開始の通知（図中、「通信開始＃１」）に対応させることができる。

終了検知部１２２Ａは、ＣＡＮバス＃１におけるＣＡＮフレームの送信終了を検知する。終了検知部１２２Ａは、発振器とバイナリカウンタとＡＮＤ回路とを含む。終了検知部１２２Ａのバイナリカウンタは、クロック端子の入力を発信器のクロック信号とし、クリア端子の入力をインタフェース部１１Ａの出力信号としている。また、終了検知部１２２Ａのバイナリカウンタは、ＣＡＮフレームの送信終了及びエラーフレームを検出するために、７ビットに相当する時間におけるクロック数をカウントするように設定されている。すなわち、終了検知部１２２Ａのバイナリカウンタは、７ビットに相当する時間長のタイマとして機能する。

例えば、発信器が１６ＭＨｚのクロックであり、ＣＡＮバスの通信速度が５００ｋｂｐｓである場合には、１ビットの相当時間におけるクロック信号のカウント数は３２回になる。したがって、この場合には、終了検知部１２２Ａのバイナリカウンタは、７ビットに相当する時間におけるクロック数として、３２回×７ビット＝２２４回（０ｂ１１１０００００）カウントするように構成されている。

したがって、終了検知部１２２Ａでは、ＣＡＮバス＃１がリセッシブ状態になると、バイナリカウンタがクロックのカウントを開始し、カウント数が７ビット分に達すると、ＡＮＤ回路からＨｉｇｈ信号が出力される。ＡＮＤ回路からのＨｉｇｈ信号の出力は、ＣＡＮバス＃１におけるＣＡＮフレームの送信終了の通知（図中、「通信終了＃１」）に対応させることができる。

ここで、終了検知部１２２Ａからの「通信終了＃１」に対応するＨｉｇｈ信号は、開始検知部１２１ＡのＤ－ＦＦのクリア端子に入力されている。そのため、開始検知部１２１Ａは、ＣＡＮバス＃１においてＣＡＮフレームの送信開始が検知されると、以降、ＣＡＮフレームの送信開始の通知を示すＨｉｇｈ信号の出力を継続し、ＣＡＮバス＃１においてＣＡＮフレームの送信終了が検知されるとＬｏｗ信号を出力する。

次に、アービトレーション終了判定部１３Ａは、発信器とバイナリカウンタとＡＮＤ回路とＤ－ＦＦとを含む。アービトレーション終了判定部１３Ａのバイナリカウンタは、クロック端子の入力を発信器からのクロック信号とし、クリア端子の入力の反転を開始検知部１２１ＡのＱ端子の出力の反転信号としている。また、アービトレーション終了判定部１３Ａのバイナリカウンタは、アービトレーションの終了を検知するために、１３ビットに相当する時間におけるクロック数をカウントするように設定されている。すなわち、アービトレーション終了判定部１３Ａのバイナリカウンタは、アービトレーションタイマとして機能する。例えば、発信器が１６ＭＨｚのクロックであり、ＣＡＮバスの通信速度が５００ｋｂｐｓである場合には、アービトレーション終了判定部１３Ａのバイナリカウンタは、１３ビットに相当する時間におけるクロック数として、３２回×１３ビット＝４１６回（０ｂ１１０１０００００）カウントするように構成されている。すなわち、アービトレーション終了判定部１３Ａのバイナリカウンタは、ＣＡＮバス＃１においてＣＡＮフレームの送信開始が検知されるとカウントを開始し、１３ビット分のカウント数に達するとＡＮＤ回路からＨｉｇｈ信号が出力される。

また、アービトレーション終了判定部１３ＡのＤ－ＦＦは、クロック端子の入力をＡＮＤ回路の出力信号とし、クリア端子の入力を終了検知部１２２Ａの出力信号とする。すなわち、アービトレーション終了判定部１３ＡのＤ－ＦＦは、ＣＡＮバス＃１においてＣＡＮフレームの送信開始が検知されてから１３ビット分に相当する時間の経過後にＱ端子からＨｉｇｈ信号の出力を開始し、当該ＣＡＮフレームの送信終了が検知されるとＱ端子からＬｏｗ信号を出力する。アービトレーション終了判定部１３ＡのＤ－ＦＦのＱ端子からのＨｉｇｈ信号の出力は、ＣＡＮバス＃１において送信されたＣＡＮフレームのアービトレーション終了の通知（図中、「ＡＲＢ終了＃１」）に対応させることができる。

以上より、アービトレーション終了判定部１３Ａは、ＣＡＮバス＃１においてＣＡＮフレームの送信開始が検知されてから１３ビット分に相当する時間待機して、ＣＡＮバス＃１において送信されたＣＡＮフレームのアービトレーション終了の通知を出力するように動作する。

図３は、バス接続制御部１４及び送信方向判定部１６の回路図の一例である。図３に示される回路図は、バス接続制御部１４及び送信方向判定部１６のＣＡＮバス＃１についての構成であって、バス接続制御部１４及び送信方向判定部１６には、同様の構成がＣＡＮバス＃２についても備えられている。

送信方向判定部１６は、ＣＡＮバス＃１についての構成として、ＯＲ回路とＤ－ＦＦとを備える。送信方向判定部１６のＯＲ回路は、終了検知部１２２Ａの出力信号と、アービトレーション終了判定部１３のＤ－ＦＦのＱ端子の出力の反転信号と、ＣＡＮバス＃２を送信元ＣＡＮバスとして検知したことを通知する信号（図中、「送信検知＃２」）と、を入力とする。送信方向判定部１６のＤ－ＦＦ回路は、クロック端子の入力をインタフェース部１１Ａの出力信号とし、クリア端子の入力をＯＲ回路の出力信号とする。

すなわち、送信方向判定部１６のＤ－ＦＦは、ＣＡＮバス＃１においてＣＡＮフレームのアービトレーションが終了してから当該ＣＡＮフレームの送信終了が検出されるまでの間で、且つ、ＣＡＮバス＃２が送信元ＣＡＮバスとして検知されていない場合に、ＣＡＮバス＃１がドミナント状態となると、Ｑ端子からＨｉｇｈ信号を出力する。送信方向判定部１６のＤ－ＦＦのＱ端子から出力されるＨｉｇｈ信号は、ＣＡＮバス＃１を送信元ＣＡＮバスとして検知したことの通知（図中、「送信検知＃１」）に対応させることができる。

以上より、送信方向判定部１６は、ＣＡＮバス＃１について、ＣＡＮフレームのアービトレーション終了後に初めてドミナント状態となったＣＡＮバスがＣＡＮバス＃１である場合に、ＣＡＮバス＃１を送信元ＣＡＮバスとして特定するように動作する。送信方向判定部１６は、ＣＡＮバス＃２についても同様の構成を有し、ＣＡＮバス＃２について、ＣＡＮフレームのアービトレーション終了後に初めてドミナント状態となったＣＡＮバスがＣＡＮバス＃２である場合に、ＣＡＮバス＃２を送信元ＣＡＮバスとして特定するように動作する。

次に、バス接続制御部１４は、ＣＡＮバス＃１についての構成として、ＡＮＤ回路とＯＲ回路とを備える。バス接続制御部１４のＡＮＤ回路は、開始検知部１２１Ａの出力信号と、アービトレーション終了判定部１３のＤ－ＦＦのＱ端子の出力の反転信号と、を入力とする。バス接続制御部１４のＯＲ回路は、送信方向判定部１６のＣＡＮバス＃１についてＤ－ＦＦのＱ端子の出力信号と、送信方向判定部１６のＡＮＤ回路の出力信号と、を入力信号とする。すなわち、バス接続制御部１４のＯＲ回路は、ＣＡＮバス＃１においてＣＡＮフレーム送信開始からアービトレーション終了までの間と、ＣＡＮバス＃１が送信元ＣＡＮバスとして特定されてからＣＡＮフレームの送信が終了するまでの間とに、Ｈｉｇｈ信号を出力する。バス接続制御部１４のＯＲ回路のＨｉｇｈ信号の出力は、バス接続部１５への接続指示に対応させることができる。一方、バス接続制御部１４のＯＲ回路のＬｏｗ信号の出力は、バス接続部１５へのバス切断指示に対応させることができる。

以上より、バス接続制御部１４は、ＣＡＮバス＃１について、ＣＡＮフレームの送信開始の検知後に接続指示を出力し、アービトレーションの終了が検知されるとバス切断指示を出力し、その後、ドミナント状態が検知されると接続指示を出力するように動作する。バス接続制御部１４は、ＣＡＮバス＃２についても同様の構成を有し、ＣＡＮバス＃２についても同様に動作する。

図４は、制御部１０の処理のフローチャートの一例である。制御部１０の処理は、所定の周期で繰り返し実行される。図４に示される処理は、制御部１０が図２及び図３で示される電子回路で構成される場合に制御部１０において行われる処理である。また、制御部１０がＣＰＵ等のプロセッサである場合にも、図４に示される処理は、制御部１０が所定のプログラムを実行することによって行われる処理であると言える。

ＯＰ１０１では、制御部１０は、いずれかのインタフェース部１１から、対象ＣＡＮバスのドミナント状態の検知の通知が入力されたか否かを判定する。ＯＰ１０１の判定は、ＣＡＮフレームの送信が開始されたか否かを判定することを意味する。ＯＰ１０１の判定が肯定判定の場合には、処理がＯＰ１０２へ進む。ＯＰ１０１の判定が否定判定の場合には、図４に示される処理が終了する。

ＯＰ１０２では、制御部１０は、バス接続部１５へ接続指示を出力する。これによって、バス接続部１５によってＣＡＮバス＃１とＣＡＮバス＃２とが接続され、いずれかのＣＡＮバスに接続する装置から送信されたＣＡＮフレームの信号がＣＡＮバス＃１及びＣＡＮバス＃２に送信される。

ＯＰ１０３では、制御部１０は、アービトレーションタイマ（１３ビット分相当時間）を始動させる。ＯＰ１０４では、アービトレーションタイマが満了したか否かが判定される。アービトレーションタイマが満了すると（ＯＰ１０４：ＹＥＳ）、処理がＯＰ１０６へ進む。アービトレーションタイマが満了するまでの間は（ＯＰ１０４：ＮＯ）、処理がＯＰ１０５へ進む。

ＯＰ１０５では、リセッシブ状態が７ビットに相当する時間長継続したか否かが判定さ
れる。ＯＰ１０５の処理は、例えば、図２における終了検知部１２２Ａのバイナリカウンタの動作に相当する。リセッシブ状態が７ビットに相当する時間長継続した場合には（ＯＰ１０５：ＹＥＳ）、処理がＯＰ１１４へ進む。リセッシブ状態の継続時間が７ビットに相当する時間長に達していない場合には（ＯＰ１０５：ＮＯ）、処理がＯＰ１０４へ進む。

ＯＰ１０６では、制御部１０は、アービトレーションの終了を検知し、バス接続部１５へ切断指示を出力する。これによって、バス接続部１５によって、ＣＡＮバス＃１とＣＡＮバス＃２とが切断される。

ＯＰ１０７では、制御部１０は、インタフェース部１１ＡからＣＡＮバス＃１のドミナント状態の検知の通知が入力されたか否かを判定する。ＯＰ１０７の判定が肯定判定の場合には、処理がＯＰ１０８へ進む。ＯＰ１０８では、制御部１０は、ＣＡＮバス＃１をＣＡＮフレームの送信元ＣＡＮバスとして特定する。ＯＰ１０７の判定が否定判定である場合には、処理がＯＰ１０９へ進む。

ＯＰ１０９では、制御部１０は、インタフェース部１１ＢからＣＡＮバス＃２のドミナント状態の検知の通知が入力されたか否かを判定する。ＯＰ１０９の判定が肯定判定である場合には、処理がＯＰ１１０へ進む。ＯＰ１１０では、制御部１０は、ＣＡＮバス＃２をＣＡＮフレームの送信元ＣＡＮバスとして特定する。ＯＰ１０９の判定が否定判定である場合には、処理がＯＰ１１１へ進む。

ＯＰ１１１では、制御部１０は、リセッシブ状態が７ビットに相当する時間長継続したか否かを判定する。リセッシブ状態が７ビットに相当する時間長継続した場合には（ＯＰ１１１：ＹＥＳ）、処理がＯＰ１１４へ進む。リセッシブ状態の継続時間が７ビットに相当する時間長に達していない場合には（ＯＰ１１１：ＮＯ）、処理がＯＰ１０７へ進む。

ＯＰ１１２では、制御部１０は、バス接続部１５へ接続指示を出力する。これによって、ＯＰ１０６においてアービトレーション終了後に切断されたＣＡＮバス＃１とＣＡＮバス＃２とが再度接続される。ＯＰ１１３では、制御部１０は、リセッシブ状態が７ビットに相当する時間長継続したか否かを判定する。リセッシブ状態が７ビットに相当する時間長継続した場合には（ＯＰ１１３：ＹＥＳ）、処理がＯＰ１１４へ進む。リセッシブ状態の継続時間が７ビットに相当する時間長に達していない場合には（ＯＰ１１３：ＮＯ）、再度ＯＰ１１３の処理が繰り返される。

ＯＰ１１４では、制御部１０は、ＣＡＮフレーム送信終了又はエラーフレーム送信終了が検知されたので、制御部１０の内部状態をリセットする。ＯＰ１１４では、例えば、図２及び図３における各Ｄ－ＦＦの状態がリセットされる。ＯＰ１１５では、制御部１０は、バス接続部１５へ、切断指示を出力する。これによって、ＣＡＮバス＃１とＣＡＮバス＃２とが切断される。

＜第１実施形態の作用効果＞
第１実施形態では、ＣＡＮバス＃１とＣＡＮバス＃２とに接続する送信元検知装置１が、ＣＡＮフレームの送信が開始されてからアービトレーション終了後に最初にドミナント状態が検知されたＣＡＮバスを送信元ＣＡＮバスとして特定する。これによって、ＣＡＮフレームの送信元装置が接続されているＣＡＮバスが、ＣＡＮバス＃１又はＣＡＮバス＃２のいずれであるかを特定することができる。

第１実施形態では、送信元検知装置１は、いずれかのＣＡＮバスのドミナント状態が検知さると、ＣＡＮバス＃１とＣＡＮバス＃２とを接続する。これによって、いずれかのＣ
ＡＮバスに接続する装置から送信されたＣＡＮフレームは、他方のＣＡＮバスにも伝送される。また、アービトレーション終了後にＣＡＮバス＃１とＣＡＮバス＃２との接続が一旦接続されるが、その後初めていずれかのＣＡＮバスがドミナント状態となったことが検知されると、再度ＣＡＮバス＃１とＣＡＮバス＃２とは接続される。これによって、送信元検知装置１は、ＣＡＮバス内のＣＡＮ通信を妨げることなく、ＣＡＮフレームの送信元装置が接続されているＣＡＮバスを特定することができる。

ＣＡＮバスをＣＡＮバス＃１とＣＡＮバス＃２とに分断し、送信元検知装置１を、ＣＡＮバス＃１及びＣＡＮバス＃２それぞれに接続させ、図２及び図３に示されるような電子回路で構成することによって、簡易な構成で、且つ、磁界ノイズに対する耐性の強い装置とすることができる。また、例えば、アービトレーション終了後にＣＡＮバス＃１とＣＡＮバス＃２とを接続したままにし、電流を測定することで送信元ＣＡＮバスを特定しようとすると、電流の測定が電気信号の伝搬速度に追いつかず、ＣＡＮバス＃１とＣＡＮバス＃２との両方でドミナント状態を検知してしまうおそれがある。第１実施形態では、アービトレーション終了後に一旦ＣＡＮバス＃１とＣＡＮバス＃２とを切断することで、より簡易な構成で、より正確に送信元ＣＡＮバスを特定することを可能にする。

＜送信元ＣＡＮバスの検知結果の応用例１＞
図５は、送信元ＣＡＮバスの検知結果を応用する送信元検知装置１Ｂの構成の一例である。送信元検知装置１Ｂは、送信元検知装置１の構成に加えて、攻撃検知部１７をさらに備える。なお、図５では、送信元検知装置１Ｂは、ＣＡＮ ＩＤ認識部１８及びメッセージコンテンツ保持部１９もさらに備えているが、これらは、後述の応用例において採用される構成である。

攻撃検知部１７は、送信方向判定部１６から、送信元ＣＡＮバスに関する情報の入力を受ける。攻撃検知部１７は、送信元ＣＡＮバスに関する情報に基づいて、送信されたＣＡＮフレームが攻撃性のものであるか否かを判定する。例えば、送信元ＣＡＮバスに関する情報が、ＣＡＮフレームの送信が発生するはずのないＣＡＮバスを送信元ＣＡＮバスとして示す場合には、攻撃検知部１７は、当該ＣＡＮフレームが攻撃性のものであることを判定する。

攻撃検知部１７は、送信されたＣＡＮフレームが攻撃性のＣＡＮフレームであることを判定した場合に、バス接続制御部１４に攻撃発生の通知を出力する。バス接続制御部１４は、攻撃検知部１７から攻撃発生の通知を受信すると、バス接続部１５へ切断指示を出力する。なお、攻撃発生の通知に応じた切断指示の出力は、バス接続制御部１４の他の機能に優先して実行される。これによって、ＣＡＮバス＃１とＣＡＮバス＃２との接続を切断して更なる攻撃を阻止することができる。

当該応用例１について想定される脅威シナリオの一例として、ＣＡＮバスをモニタするＥＣＵ及びデバッグ等のモード以外でＣＡＮフレームを送信しないＥＣＵを含む車載システムにおいて、当該ＥＣＵが攻撃された結果、当該ＥＣＵから攻撃性のＣＡＮフレームを送信させるケースが挙げられる。この場合、送信元検知装置１Ｂは、当該ＥＣＵからのＣＡＮフレームの送信を検知し、さらなる攻撃の継続を阻止することができる。

＜送信元ＣＡＮバスの検知結果の応用例２＞
送信元ＣＡＮバスの検知結果の応用例２では、送信元検知装置１Ｂは、攻撃検知部１７とＣＡＮ ＩＤ認識部１８とをさらに有する。ＣＡＮ ＩＤ認識部１８は、インタフェース部１１Ａ及びインタフェース部１１Ｂそれぞれから、ＣＡＮフレームの内容を取得する。また、ＣＡＮ ＩＤ認識部１８は、取得したＣＡＮフレームからＣＡＮ ＩＤを取得し、攻撃検知部１７に出力する。

攻撃検知部１７は、ＣＡＮ ＩＤと当該ＣＡＮ ＩＤを含むＣＡＮフレームの送信元ＣＡＮバスに関する情報とを紐づけたデータベースを備える。図６は、ＣＡＮ ＩＤと送信元ＣＡＮバスに関する情報とを紐づけたデータベースの一例である。当該データベースは、攻撃検知部１７に備えられるメモリ内、又は、制御部１０がプロセッサである場合には送信元検知装置１に備えられるメモリまたは補助記憶装置内に保持される。

攻撃検知部１７は、ＣＡＮ ＩＤ認識部１８から取得したＣＡＮ ＩＤと、送信方向判定部１６から取得した送信元ＣＡＮバスに関する情報と、を紐づけた情報が、攻撃検知部１７が保持するデータベースに存在するか否かを判定する。ＣＡＮ ＩＤ認識部１８から取得したＣＡＮ ＩＤと、送信方向判定部１６から取得した送信元ＣＡＮバスに関する情報と、を紐づけた情報が、攻撃検知部１７が保持するデータベースに存在しない場合には、攻撃検知部１７は、送信開始が検知されたＣＡＮフレームが攻撃性のＣＡＮフレームであることを判定して、バス接続制御部１４に攻撃発生の通知を出力する。バス接続制御部１４は、応用例１と同様に、攻撃発生の通知を受信して、バス接続部１５に切断指示を出力する。

応用例２によれば、ＣＡＮフレームのＣＡＮ ＩＤと送信元ＣＡＮバスとに基づいた攻撃判定が可能な攻撃について、ＣＡＮバスを切断して更なる攻撃を阻止することができる。

当該応用例２について想定される脅威シナリオの一例として、車両運行に係る第１のＥＣＵ群と、第１のＥＣＵ群のＥＣＵをサポートする第２のＥＣＵ群と、が１つのＣＡＮバスに接続されている車載システムにおいて、第２のＥＣＵ群側から攻撃を行うケースが挙げられる。この場合、第１のＥＣＵ群と第２のＥＣＵ群との間のＣＡＮバス上に送信元検知装置１Ｂを配置する。送信元検知装置１Ｂが、第２のＥＣＵ群側からの攻撃性のＣＡＮフレームを検知した際に、第２のＥＣＵ群側からのすべてのＣＡＮフレームを遮断することで、第１のＥＣＵ群を第２のＥＣＵ群側からのさらなる攻撃から守ることができる。

当該応用例２について想定される脅威シナリオの一例として、車載システム外との通信機能を持つ通信ＥＣＵが、車載システム外からの攻撃の結果、車載システム内に対して攻撃性のＣＡＮフレームを送信するケースが挙げられる。この場合は、通信ＥＣＵと他のＥＣＵとの間のＣＡＮバス上に送信元検知装置１Ｂを配置する。送信元検知装置１Ｂが、通信ＥＣＵ側からの攻撃性のＣＡＮフレームを検知した際に、通信ＥＣＵ側からのすべてのＣＡＮフレームを遮断することで、ＣＡＮバスに接続された他のＥＣＵをさらなる攻撃から守ることができる。

なお、応用例１及び２において、攻撃検知部１７は、ＣＡＮフレームの送信が完了するたびに、攻撃発生の通知の出力を終了してもよい。これにより、攻撃性のＣＡＮフレームを受信している間に限りＣＡＮバスを遮断することとなり、攻撃性のＣＡＮフレームに限定してＣＡＮフレームの送信元検知装置１Ｂの通過を妨げることができる。さらに、攻撃者にとっては攻撃性のＣＡＮフレーム送信自体は成功しているように見えるため、攻撃失敗を攻撃者に悟られることなく攻撃の阻止をすることもできる。

または、応用例１及び２において、攻撃検知部１７は、攻撃性のＣＡＮフレームを検知した際に、ＣＡＮバスに対してエラーフレームを送信してもよい。これにより、攻撃性のＣＡＮフレームの送信元装置が接続しているＣＡＮバスに対しても、攻撃性のＣＡＮフレームの流通を妨げることができる。

＜送信元ＣＡＮバスの検知結果の応用例３＞
送信元ＣＡＮバスの検知結果の応用例３では、送信元検知装置１Ｂは、攻撃検知部１７とＣＡＮ ＩＤ認識部１８とメッセージコンテンツ保持部１９をさらに有する。

メッセージコンテンツ保持部１９は、攻撃検知部１７によって攻撃性のＣＡＮフレームであると判定されたＣＡＮフレームのＣＡＮ ＩＤと、当該ＣＡＮフレームの送信元ＣＡＮバスに関する情報とを紐づけて、メモリに保存する。これによって、過去に発生した攻撃性のＣＡＮフレームの送信元装置に繋がり得る情報を保持して、攻撃を調査する際に役立つ情報を得ることができる。

＜その他の実施形態＞
上記の実施形態はあくまでも一例であって、本開示はその要旨を逸脱しない範囲内で適宜変更して実施しうる。

第１実施形態では、送信元検知装置１は、ＣＡＮバスをＣＡＮバス＃１とＣＡＮバス＃２との２つに分断する例が示されたが、送信元検知装置１によってＣＡＮバスは３つ以上に分断されてもよい。すなわち、送信元検知装置１は、３つ以上のＣＡＮバスに接続してもよい。この場合には、送信元検知装置１は、接続する各ＣＡＮバスについてインタフェース部１１、通信状態検知部１２、及び、アービトレーション終了判定部１３のセットを備える。

本開示において説明した処理や手段は、技術的な矛盾が生じない限りにおいて、自由に組み合わせて実施することができる。

また、１つの装置が行うものとして説明した処理が、複数の装置によって分担して実行されてもよい。あるいは、異なる装置が行うものとして説明した処理が、１つの装置によって実行されても構わない。コンピュータシステムにおいて、各機能をどのようなハードウェア構成（サーバ構成）によって実現するかは柔軟に変更可能である。

本開示は、上記の実施形態で説明した機能を実装したコンピュータプログラムをコンピュータに供給し、当該コンピュータが有する１つ以上のプロセッサがプログラムを読み出して実行することによっても実現可能である。このようなコンピュータプログラムは、コンピュータのシステムバスに接続可能な非一時的なコンピュータ可読記憶媒体によってコンピュータに提供されてもよいし、ネットワークを介してコンピュータに提供されてもよい。非一時的なコンピュータ可読記憶媒体は、例えば、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクドライブ（ＨＤＤ）等）、光ディスク（ＣＤ－ＲＯＭ、ＤＶＤディスク、ブルーレイディスク等）など任意のタイプのディスク、読み込み専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、ＥＰＲＯＭ、ＥＥＰＲＯＭ、磁気カード、フラッシュメモリ、光学式カード、電子的命令を格納するために適した任意のタイプの媒体を含む。

１・・送信元検知装置
１０・・制御部
１１・・インタフェース部
１２・・通信状態検知部
１３・・アービトレーション終了判定部
１４・・バス接続制御部
１５・・バス接続部
１６・・送信方向判定部
１７・・攻撃検知部
１８・・ＣＡＮ ＩＤ認識部
１９・・メッセージコンテンツ保持部
１２１・・開始検知部
１２２・・終了検知部

Claims (5)

1. 第１のＣＡＮ（Controller Area Network）バスに接続する第１のインタフェース部と、
   第２のＣＡＮバスに接続する第２のインタフェース部と、
   ＣＡＮフレームの送信が開始された場合に、アービトレーションの終了後初めてドミナント状態が検知された前記第１のＣＡＮバス又は前記第２のＣＡＮバスを、前記ＣＡＮフレームの送信元装置が接続しているＣＡＮバスとして特定することを実行する制御部と、を備える装置。
2. 前記第１のインタフェース部と前記第２のインタフェース部間の接続及び切断を行う接続部をさらに備え、
   前記制御部は、
   前記ＣＡＮフレームの送信が開始された場合に、前記接続部へ接続指示を出力し、
   前記アービトレーションの終了が検出された場合に、前記接続部へ切断指示を出力し、
   その後、前記第１のＣＡＮバス又は前記第２のＣＡＮバスのドミナント状態が検知された場合に、前記接続部へ接続指示を出力する、
   請求項１に記載の装置。
3. 前記制御部は、前記ＣＡＮフレームの送信の開始の検出後、１３ビット分に相当する時間長の経過によって、前記ＣＡＮフレームのアービトレーションの終了を検出する、
   請求項１に記載の装置。
4. 前記制御部は、第１のＣＡＮフレームの送信元装置が接続しているＣＡＮバスとして特定した前記第１のＣＡＮバス又は前記第２のＣＡＮバスが、前記第１のＣＡＮフレームが送信される正規のＣＡＮバスとして登録されていない場合に、前記接続部へ切断指示を出力する、
   請求項２に記載の装置。
5. 第１のＣＡＮ（Controller Area Network）バスと第２のＣＡＮバスとに接続する装置が、
   ＣＡＮフレームの送信の開始を検出することと、
   前記ＣＡＮフレームの送信が開始された場合に、アービトレーションの終了後初めてドミナント状態が検知された前記第１のＣＡＮバス又は前記第２のＣＡＮバスを、前記ＣＡＮフレームの送信元装置が接続しているＣＡＮバスとして特定する、
   方法。

Images