JP6481579B2 - 車載通信システム及び監視装置 - Google Patents

車載通信システム及び監視装置 Download PDF

Info

Publication number
JP6481579B2
JP6481579B2 JP2015192146A JP2015192146A JP6481579B2 JP 6481579 B2 JP6481579 B2 JP 6481579B2 JP 2015192146 A JP2015192146 A JP 2015192146A JP 2015192146 A JP2015192146 A JP 2015192146A JP 6481579 B2 JP6481579 B2 JP 6481579B2
Authority
JP
Japan
Prior art keywords
message
unit
processing unit
discard
communication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2015192146A
Other languages
English (en)
Other versions
JP2017069719A5 (ja
JP2017069719A (ja
Inventor
井上　雅之
雅之 井上
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Sumitomo Wiring Systems Ltd
AutoNetworks Technologies Ltd
Sumitomo Electric Industries Ltd
Original Assignee
Sumitomo Wiring Systems Ltd
AutoNetworks Technologies Ltd
Sumitomo Electric Industries Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Sumitomo Wiring Systems Ltd, AutoNetworks Technologies Ltd, Sumitomo Electric Industries Ltd filed Critical Sumitomo Wiring Systems Ltd
Priority to JP2015192146A priority Critical patent/JP6481579B2/ja
Priority to PCT/JP2016/077959 priority patent/WO2017057165A1/ja
Priority to CN201680052782.0A priority patent/CN108028855B/zh
Priority to DE112016004438.0T priority patent/DE112016004438T5/de
Priority to US15/763,308 priority patent/US10554623B2/en
Publication of JP2017069719A publication Critical patent/JP2017069719A/ja
Publication of JP2017069719A5 publication Critical patent/JP2017069719A5/ja
Application granted granted Critical
Publication of JP6481579B2 publication Critical patent/JP6481579B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40006—Architecture of a communication node
    • H04L12/40013—Details regarding a bus controller
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40169—Flexible bus arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/40—Support for services or applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H04L67/125—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks involving control of end-device applications over a network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/40—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass for recovering from a failure of a protocol instance or entity, e.g. service redundancy protocols, protocol state redundancy or protocol service redirection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/48—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for in-vehicle communication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle

Description

本発明は、共通の通信線に接続された複数の通信装置がメッセージの送受信を行う車載通信システム、及び、メッセージを監視する監視装置に関する。
従来、車両には複数のＥＣＵ（Electronic Control Unit）が搭載され、これらがＣＡＮ（Controller Area Network）などのネットワークを介して接続されている。これら複数のＥＣＵは、ネットワークを介して情報を交換しながら各個の処理を進めている。近年では車両内のネットワークの規模が大きくなる傾向がある。このような車両のネットワークに対する攻撃として、例えばＥＣＵに不正なプログラムを注入することが行われ得る。不正なプログラムを注入されたＥＣＵは、車両のネットワークへ不正なメッセージ送信を行う可能性があり、これによりネットワークに接続された他のＥＣＵが誤動作するなどの虞がある。
特許文献１においては、ＣＡＮプロトコルを変更せずにＭＡＣ（Message Authentication Code）によるメッセージ認証を行う通信システムが提案されている。この通信システムにおいては、各ＥＣＵがＣＡＮ−ＩＤ毎にメッセージの送信回数をカウントする。送信ノードは、メインメッセージのデータフィールド、ＣＡＮ−ＩＤ及びカウント値からＭＡＣを生成してＭＡＣメッセージとして送信する。受信ノードは、受信したメインメッセージに含まれるデータフィールド、ＣＡＮ−ＩＤとカウント値とからＭＡＣを生成し、ＭＡＣメッセージに含まれるＭＡＣと一致するかを判断する。
非特許文献１においては、各ＥＣＵがネットワーク上を流れるメッセージを監視し、自身が送信するはずのＣＡＮ−ＩＤが付されたメッセージが他のＥＣＵから送信された場合にこれを不正メッセージと判断し、不正メッセージを検出したＥＣＵが不正メッセージの送信完了前にエラーフレームを送信することで送信を阻止する通信システムが提案されている。
特開２０１３−９８７１９号公報
畑正人，田邉正人，吉岡克成，大石和臣，松本勉、「不正送信阻止：ＣＡＮではそれが可能である」、コンピュータセキュリティシンポジウム、２０１１年１０月
非特許文献１に記載の通信システムでは、不正メッセージを検出したＥＣＵがエラーフレームを送信して不正メッセージの送信を阻止している。しかしながら、メッセージの送信がエラーとなったＥＣＵ（不正なＥＣＵ）は、このメッセージがエラーなく送信されるまで、メッセージの再送信を繰り返すこととなる。このようなメッセージの再送信が繰り返され続けた場合、これにより通信線が占有されてしまい、他のＥＣＵによる正規のメッセージ送信が阻害される虞がある。
本発明は、斯かる事情に鑑みてなされたものであって、その目的とするところは、不正なメッセージ送信が繰り返されて通信線が占有されることを防止し得る車載通信システム及び監視装置を提供することにある。
本発明に係る車載通信システムは、車両に搭載された複数の通信装置が共通の通信線を介して接続された車載通信システムにおいて、前記通信線に送信されたメッセージが正規のメッセージであるか否かを判定する判定部と、前記判定部が正規のメッセージでないと判定したメッセージを、該メッセージの送信完了前に前記通信装置に破棄させる処理を行う破棄部と、前記破棄部により破棄させたメッセージの識別情報を記憶する第１記憶部とを有する監視装置を備え、各通信装置は、前記監視装置により破棄させられたメッセージの識別情報を記憶する第２記憶部と、前記第２記憶部に記憶された識別情報が付されたメッセージに基づく処理を禁止する禁止部とを有し、前記破棄部は、前記第１記憶部に記憶された識別情報が付されたメッセージに対しては破棄させる処理を行わず、前記監視装置は、前記第１記憶部に記憶された識別情報が付されたメッセージを受信した場合に、前記判定部の判定結果に関わらず、当該メッセージの受信を完了したことを示す信号を前記通信線へ出力する受信完了通知部を有することを特徴とする。
また、本発明に係る車載通信システムは、前記監視装置が、前記受信完了通知部による前記信号が出力された場合に、前記第１記憶部に記憶された識別情報を消去する第１記憶消去部を有し、各通信装置は、前記受信完了通知部による前記信号が出力された場合に、前記第２記憶部に記憶された識別情報を消去する第２記憶消去部を有することを特徴とする。
また、本発明に係る車載通信システムは、車両に搭載された複数の通信装置が共通の通信線を介して接続された車載通信システムにおいて、前記通信線に送信されたメッセージが正規のメッセージであるか否かを判定する判定部と、前記判定部が正規のメッセージでないと判定したメッセージを、該メッセージの送信完了前に前記通信装置に破棄させる処理を行う破棄部と、前記破棄部によりメッセージを破棄させた回数をカウントする第１カウンタと、前記第１カウンタがカウントした回数が所定回数を超える場合に、前記判定部の判定結果に関わらず、当該メッセージの受信を完了したことを示す信号を前記通信線へ出力する受信完了通知部とを有する監視装置を備え、各通信装置は、前記監視装置によりメッセージを破棄させられた回数をカウントする第２カウンタと、前記第２カウンタがカウントした回数が前記所定回数を超える場合、受信したメッセージに基づく処理を禁止する禁止部とを有し、前記破棄部は、前記第１カウンタがカウントした回数が前記所定回数を超える場合にメッセージを破棄させる処理を行わないことを特徴とする。
また、本発明に係る車載通信システムは、前記監視装置が、前記破棄部によりメッセージを破棄させた場合に、破棄させたメッセージの識別情報を記憶する第１記憶部と、前記第１記憶部に記憶された識別情報とは異なる識別情報が付されたメッセージが前記通信線に送信された場合に、前記第１カウンタを初期化する初期化部とを有し、各通信装置は、前記監視装置によりメッセージを破棄させられた場合に、破棄させられたメッセージの識別情報を記憶する第２記憶部と、前記第２記憶部に記憶された識別情報とは異なる識別情報が付されたメッセージが前記通信線に送信された場合に、前記第２カウンタを初期化する初期化部とを有することを特徴とする。
また、本発明に係る車載通信システムは、前記監視装置が、前記受信完了通知部による信号が出力された場合に、前記第１カウンタを初期化する初期化部を有し、各通信装置は、前記受信完了通知部による信号が出力された場合に、前記第２カウンタを初期化する初期化部を有することを特徴とする。
また、本発明に係る車載通信システムは、前記監視装置が、複数の通信線に接続されて、通信線間のメッセージを中継するゲートウェイ装置であることを特徴とする。
また、本発明に係る監視装置は、車両に搭載された複数の通信装置が接続された共通の通信線に送信されたメッセージが正規のメッセージであるか否かを判定する判定部と、前記判定部が正規のメッセージでないと判定したメッセージを、該メッセージの送信完了前に前記通信装置に破棄させる処理を行う破棄部と、前記破棄部により破棄させたメッセージの識別情報を記憶する記憶部と、前記記憶部に記憶された識別情報が付されたメッセージを受信した場合に、前記判定部の判定結果に関わらず、当該メッセージの受信を完了したことを示す信号を前記通信線へ出力する受信完了通知部とを備え、前記破棄部は、前記記憶部に記憶された識別情報が付されたメッセージに対しては破棄させる処理を行わないことを特徴とする。
また、本発明に係る監視装置は、車両に搭載された複数の通信装置が接続された共通の通信線に送信されたメッセージが正規のメッセージであるか否かを判定する判定部と、前記判定部が正規のメッセージでないと判定したメッセージを、該メッセージの送信完了前に前記通信装置に破棄させる処理を行う破棄部と、前記破棄部によりメッセージを破棄させた回数をカウントするカウンタと、前記カウンタがカウントした回数が所定回数を超える場合に、前記判定部の判定結果に関わらず、当該メッセージの受信を完了したことを示す信号を前記通信線へ出力する受信完了通知部とを備え、前記破棄部は、前記カウンタがカウントした回数が前記所定回数を超える場合にメッセージを破棄させる処理を行わないことを特徴とする。
本発明においては、共通の通信線を介して複数の通信装置が接続された構成の車載通信システム中に、正規のメッセージであるか否かを判定する判定部、正規でないメッセージを送信完了前に破棄させる破棄部、破棄されたメッセージに付された識別情報を記憶する記憶部、及び、この記憶部に記憶された識別情報のメッセージを受信した場合に受信完了を示す信号を出力する受信完了通知部を設ける。なお判定部、破棄部、記憶部及び受信完了通知部は、車載通信システムに含まれる各通信装置が備える構成であってもよく、通信線に接続された監視装置が備える構成であってもよい。
車載通信システムの各通信装置は、記憶部に記憶された識別情報が付されたメッセージに基づく処理を行わない。また破棄部は、記憶部に記憶された識別情報が付されたメッセージに対しては、このメッセージを破棄させる処理を行わない。
即ち本車載通信システムでは、不正なメッセージの１回目の送信に対しては破棄部による破棄が行われ、このときに破棄したメッセージの識別情報が記憶される。この破棄に対して、例えば不正な通信装置が不正メッセージの再送信を行った場合、再送信されたメッセージに付された識別情報が記憶部に記憶されているため、破棄部による破棄は行われず、受信完了通知部による受信完了の信号出力が行われるが、各通信装置はこの不正メッセージに基づく処理は行わない。受信完了の信号出力が行われることにより、不正メッセージを送信した不正な通信装置では、不正メッセージが他の通信装置により受信されたと判断されるため、不正メッセージの再送信は行われなくなる。
また本発明においては、破棄されたメッセージの識別情報を記憶する記憶部は、受信完了通知部による受信完了の信号出力が行われた場合に、記憶している識別情報を消去する。これにより、不正なメッセージと同じ識別情報が付される正規のメッセージに基づく処理が各ＥＣＵにて行われなくなることを防止できる。
また本発明においては、共通の通信線を介して複数の通信装置が接続された構成の車載通信システム中に、正規のメッセージであるか否かを判定する判定部、正規でないメッセージを送信完了前に破棄させる破棄部、メッセージが破棄された回数をカウントするカウンタ、及び、カウンタがカウントした回数が所定回数を超える場合に受信完了を示す信号を出力する受信完了通知部を設ける。なお判定部、破棄部、カウンタ及び受信完了通知部は、車載通信システムに含まれる各通信装置が備える構成であってもよく、通信線に接続された監視装置が備える構成であってもよい。
車載通信システムの各通信装置は、カウンタがカウントした回数が所定回数を超える場合に、受信メッセージに基づく処理を行わない。また破棄部は、カウンタがカウントした回数が所定回数を超える場合、メッセージを破棄させる処理を行わない。
即ち本車載通信システムでは、不正なメッセージの所定回数以下の送信に対しては破棄部による破棄が行われ、このときにメッセージを破棄した回数がカウンタによりカウントされる。この破棄に対して、例えば不正な通信装置が不正メッセージの再送信を繰り返し行って、破棄の回数が所定回数を超えた場合、受信完了通知部による受信完了の信号出力が行われるが、各通信装置はこの不正メッセージに基づく処理は行わない。受信完了の信号出力が行われることにより、不正メッセージを送信した不正な通信装置では、不正メッセージが他の通信装置により受信されたと判断されるため、不正メッセージの再送信は行われなくなる。
また本発明においては、破棄部により破棄されたメッセージに付された識別情報を記憶する記憶部を備え、記憶部に記憶された識別情報と異なる識別情報が付されたメッセージが通信線に送信された場合にはカウンタを初期化する。これにより、同一の識別情報が連続的に送信されている場合にのみカウンタによるカウントを行うことができる。
また本発明においては、メッセージの破棄回数をカウントするカウンタは、受信完了通知部による受信完了の信号出力が行われた場合に、そのカウント値を初期化する。これにより、正規のメッセージに基づく処理が各ＥＣＵにて行われなくなることを防止できる。
また本発明においては、メッセージを破棄させる処理などを監視装置が行う構成とする場合、通信線間のメッセージを中継するゲートウェイ装置をこの監視装置とすることが好適である。これにより複数の通信線に対する破棄処理などをゲートウェイ装置が一括して行うことができる。
本発明による場合は、不正メッセージを破棄した後、更に不正メッセージの再送信が繰り返される場合には、不正メッセージを破棄せずに受信完了の信号を出力し、このメッセージに基づく処理を各通信装置が行わない構成とすることにより、不正なメッセージ送信が繰り返されて通信線が占有されることを防止できる。
実施の形態１に係る車載通信システムの構成を示す模式図である。 本実施の形態に係る監視装置が行う監視処理の手順を示すフローチャートである。 本実施の形態に係る各ＥＣＵが行う受信処理の手順を示すフローチャートである。 本実施の形態に係る各ＥＣＵが行う受信処理の手順を示すフローチャートである。 変形例１に係る車載通信システムの構成を示すブロック図である。 変形例２に係る車載通信システムの構成を示すブロック図である。 実施の形態２に係る車載通信システムの構成を示すブロック図である。 実施の形態２に係る監視装置が行う監視処理の手順を示すフローチャートである。 実施の形態２に係る各ＥＣＵが行う受信処理の手順を示すフローチャートである。 実施の形態２に係る各ＥＣＵが行う受信処理の手順を示すフローチャートである。
（実施の形態１）
以下、本発明をその実施の形態を示す図面に基づき具体的に説明する。図１は、実施の形態１に係る車載通信システムの構成を示す模式図である。実施の形態１に係る車載通信システムは、車両１に搭載された複数のＥＣＵ３０が共通の通信線２を介して接続された構成であり、通信線２を介したＥＣＵ３０のメッセージの送受信を監視する監視装置１０を備えている。
監視装置１０は、処理部１１、通信部１２及び記憶部１３等を備えて構成されている。処理部１１は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro-Processing Unit）等の演算処理装置を用いて構成され、図示しないＲＯＭ（Read Only Memory）などに記憶されたプログラムを実行することにより、メッセージの監視に係る種々の処理を行う。
通信部１２は、通信線２が接続され、この通信線２を介して他のＥＣＵ３０との間でメッセージの送受信を行うことができる。通信部１２は、いわゆるＣＡＮコントローラを用いて構成され得る。通信部１２は、通信線２の電位をサンプリングすることによってメッセージを受信し処理部１１へ与えると共に、処理部１１から与えられた送信用のメッセージを電気信号に変換して通信線２へ出力することによってメッセージを送信することができる。ただし本実施の形態に係る監視装置１０はＥＣＵ３０との間でメッセージの送受信を行う必要はなく、通信部１２は通信線２を介してＥＣＵ３０の間で送受信されるメッセージを監視するために用いられる。
記憶部１３は、例えばＳＲＡＭ（Static Random Access Memory）又はＤＲＡＭ（Dynamic Random Access Memory）等のデータ書き換えが可能なメモリ素子を用いて構成されている。処理部１１は、受信メッセージなどの種々のデータを記憶部１３に記憶することができる。ただし本実施の形態に係る監視装置１０は、通信線２を介して送受信されるメッセージを監視し、不正メッセージであると判断して破棄処理を行ったメッセージに付されていたＩＤを記憶部１３に記憶する。
本実施の形態に係る監視装置１０の処理部１１には、ＲＯＭなどに記憶された監視処理のためのプログラムを実行することにより、判定処理部２１、破棄処理部２２、通知処理部２３及び消去処理部２４等がソフトウェア的な機能ブロックとして実現される。判定処理部２１は、通信線２上にＥＣＵ３０が送信したメッセージが正規のメッセージであるか否かを判定する。なお本実施の形態において、判定処理部２１によるメッセージの判定方法については規定しない。判定処理部２１は、例えばメッセージに付されたＭＡＣなどに基づいて判定を行う構成であってもよく、また例えば予め登録されていないＩＤが付されたメッセージを不正メッセージと判定する構成であってもよく、これら以外の方法で判定を行う構成であってもよい。
破棄処理部２２は、判定処理部２１が正規のメッセージではない、即ち不正メッセージであると判定したメッセージを、通信線２に接続された全てのＥＣＵ３０に破棄させる処理を行う。詳しくは、破棄処理部２２は、通信線２に出力された不正メッセージの送信完了前に、通信線２に対して通信部１２からエラーフレームを出力することにより、不正メッセージを破棄させる。破棄処理部２２が破棄処理を行った場合、処理部１１は、この不正メッセージに付されていたＩＤを記憶部１３に破棄ＩＤとして記憶しておく。なお本実施の形態においては、記憶部１３に破棄ＩＤとして記憶されるＩＤは１つである。破棄処理部２２が不正メッセージの破棄処理を行うことによって、不正メッセージがＥＣＵ３０にて受信されてこれに基づく処理が行われることを防止できる。
通知処理部２３は、通信線２に出力されたメッセージのＩＤと、記憶部１３に破棄ＩＤとして記憶したＩＤとが一致するか否かを判定する。両ＩＤが一致する場合、通知処理部２３は、このメッセージが正規のものであるか否かに関わらず、このメッセージの受信完了を通知する処理を行う。詳しくは、通知処理部２３は、このメッセージの送信に対して通信部１２にて通信線２へＡＣＫを出力することにより、このメッセージの送信元のＥＣＵ３０へ受信完了を通知する。通知処理部２３が通知処理を行うことによって、不正メッセージの送信元に受信完了を通知することができるため、不正メッセージが再送信され続けることを防止できる。
消去処理部２４は、通知処理部２３によるＡＣＫの出力が行われた場合、記憶部１３に破棄ＩＤとして記憶されたＩＤを、記憶部１３から消去する処理を行う。消去処理部２４が破棄ＩＤの消去を行うことにより、破棄ＩＤと同じＩＤが付された正規のメッセージに基づく処理が各ＥＣＵ３０にて行われなくなることを防止できる。
本実施の形態に係る車載通信システムに含まれる各ＥＣＵ３０（ただし正規のＥＣＵ３０）は、処理部３１、通信部３２及び記憶部３３等を備えて構成されている。処理部３１は、ＣＰＵ又はＭＰＵ等の演算処理装置を用いて構成され、車両１の制御に係る種々の処理を行う。通信部３２は、他のＥＣＵ３０との間で通信線２を介したメッセージの送受信を行うためのものであり、いわゆるＣＡＮコントローラを用いて構成され得る。通信部３２は、通信線２の電位をサンプリングすることによってメッセージを受信し処理部３１へ与えると共に、処理部３１から与えられた送信用のメッセージを電気信号に変換して通信線２へ出力することによってメッセージを送信することができる。
これによりＥＣＵ３０は、他のＥＣＵ３０が送信したメッセージを通信部３２にて受信し、受信したメッセージに基づく処理を処理部３１にて行うことができる。またＥＣＵ３０は、処理部３１の処理により生成した情報をメッセージとして通信部３２から他のＥＣＵ３０へ送信することができる。例えば、ＥＣＵ３０が車両１のヘッドライトを制御するＥＣＵである場合、他のＥＣＵ３０がセンサによって検知した明るさの情報をメッセージとして受信し、受信したメッセージに含まれる明るさの情報に応じてヘッドライトの点灯／消灯を切り替える制御処理を処理部３１が行うことができる。なおＥＣＵ３０が受信メッセージに基づいて行う処理はこれに限定されるものではなく、どのような処理であってもよい。
記憶部３３は、例えばＳＲＡＭ又はＤＲＡＭ等のデータ書き換えが可能なメモリ素子を用いて構成されている。処理部３１は、制御に係る種々のデータを記憶部３３に記憶することができる。また本実施の形態に係るＥＣＵ３０は、通信線２に出力されたメッセージが送信完了する前に、監視装置１０によるエラーフレームの出力が行われた場合に、このメッセージを受信処理の途中で破棄すると共に、このメッセージに付されていたＩＤを破棄ＩＤとして記憶部３３に記憶する。なお本実施の形態においては、記憶部３３に破棄ＩＤとして記憶されるＩＤは１つである。
本実施の形態に係るＥＣＵ３０の処理部３１には、ＲＯＭなどに記憶された通信処理のためのプログラムを実行することにより、禁止処理部４１がソフトウェア的な機能ブロックとして実現される。禁止処理部４１は、記憶部３３に記憶された破棄ＩＤと同じＩＤが付されたメッセージを用いた処理を禁止する。これにより処理部３１は、記憶部３３に記憶された破棄ＩＤと同じＩＤが付されたメッセージを通信部３２にて受信した場合、このメッセージを用いた処理を行わない。これにより、監視装置１０が不正と判定して破棄処理が行われたメッセージと同じＩＤのメッセージに基づく処理が各ＥＣＵ３０にて行われることを防止できる。
また禁止処理部４１は、記憶部３３に記憶された破棄ＩＤと同じＩＤが付されたメッセージを通信部３２にて受信した場合、受信完了を通知するＡＣＫの出力と、記憶部３３に記憶された破棄ＩＤを消去する処理とを行う。（即ち禁止処理部４１は、監視装置１０の通知処理部２３及び消去処理部２４と略同じ処理をも行う。）
図２は、本実施の形態に係る監視装置１０が行う監視処理の手順を示すフローチャートである。本実施の形態に係る監視装置１０の処理部１１は、通信線２に対するＥＣＵ３０のメッセージ送信が行われたか否かを判定する（ステップＳ１）。メッセージ送信が行われていない場合（Ｓ１：ＮＯ）、処理部１１は、ＥＣＵ３０によるメッセージ送信が行われるまで待機する。ＥＣＵ３０によるメッセージ送信が行われた場合（Ｓ１：ＹＥＳ）、処理部１１は、通信線２に対してメッセージのＩＤが出力された段階で、メッセージのＩＤを取得する（ステップＳ２）。また処理部１１は、記憶部１３に破棄ＩＤとして記憶されたＩＤを取得する（ステップＳ３）。なおこのときに記憶部１３に破棄ＩＤが記憶されていない場合、処理部１１は、ＩＤの取得を行わなくてよい。
処理部１１は、ステップＳ２にて取得したＩＤと、ステップＳ３にて取得したＩＤとが一致したか否かを判定する（ステップＳ４）。なおステップＳ３にて破棄ＩＤを取得できなかった場合、処理部１１は、ステップＳ４にてＩＤが一致しないと判定すればよい。両ＩＤが一致しない場合（Ｓ４：ＮＯ）、処理部１１の判定処理部２１は、通信線２に対してメッセージに含まれる認証情報（ＭＡＣ）が出力された段階でこの認証情報を取得し、取得した認証情報が正否判定を行い（ステップＳ５）、通信線２に送信中のメッセージが正規のメッセージであるか否かを判定する（ステップＳ６）。なお本フローチャートでは、メッセージに認証情報が付されており、この認証情報に基づいてメッセージの正否判定を行う構成としてあるが、これは一例であって、メッセージの正否判定は認証情報を用いる以外の方法で行ってもよい。
通信線２に送信中のメッセージが正規のメッセージではないと判定処理部２１が判定した場合（Ｓ６：ＮＯ）、処理部１１の破棄処理部２２は、このメッセージの送信が完了する前に、通信線２に対してエラーフレームを出力し（ステップＳ７）、このメッセージをＥＣＵ３０に破棄させる。次いで処理部１１は、このメッセージのＩＤを記憶部１３に破棄ＩＤとして記憶し（ステップＳ８）、処理を終了する。
通信線２に送信中のメッセージが正規のメッセージであると判定処理部２１が判定した場合（Ｓ６：ＹＥＳ）、処理部１１の通知処理部２３は、通信線２へＡＣＫを出力し（ステップＳ９）、このメッセージの受信完了を通知する。次いで処理部１１は、記憶部１３に破棄ＩＤとして記憶されているＩＤを消去し（ステップＳ１０）、処理を終了する。
図３及び図４は、本実施の形態に係る各ＥＣＵ３０が行う受信処理の手順を示すフローチャートである。本実施の形態に係るＥＣＵ３０の処理部３１は、通信線２に対する他のＥＣＵ３０のメッセージ送信が行われたか否かを判定する（ステップＳ２１）。メッセージ送信が行われていない場合（Ｓ２１：ＮＯ）、処理部３１は、他のＥＣＵ３０によるメッセージ送信が行われるまで待機する。他のＥＣＵ３０によるメッセージ送信が行われた場合（Ｓ２１：ＹＥＳ）、処理部３１は、通信線２に対してメッセージのＩＤが出力された段階で、メッセージのＩＤを取得する（ステップＳ２２）。また処理部３１は、記憶部３３に破棄ＩＤとして記憶されたＩＤを取得する（ステップＳ２３）。なおこのときに記憶部３３に破棄ＩＤが記憶されていない場合、処理部３１は、ＩＤの取得を行わなくてよい。
処理部３１は、ステップＳ２２にて取得したＩＤと、ステップＳ２３にて取得したＩＤとが一致したか否かを判定する（ステップＳ２４）。なおステップＳ２３にて破棄ＩＤを取得できなかった場合、処理部３１は、ステップＳ２４にてＩＤが一致しないと判定すればよい。両ＩＤが一致しない場合（Ｓ２４：ＮＯ）、処理部３１は、このメッセージの送信完了前にエラーフレームを受信したか否かを判定する（ステップＳ２５）。エラーフレームを受信していない場合（Ｓ２５：ＮＯ）、処理部３１は、通信線２に出力されているメッセージの受信を行う（ステップＳ２６）。処理部３１は、通信線２へＡＣＫを出力し（ステップＳ２７）、このメッセージの受信完了を通知する。その後、処理部３１は、受信したメッセージに基づく処理を行って（ステップＳ２８）、処理を終了する。
通信線２上のメッセージの送信完了前にエラーフレームを受信した場合（Ｓ２５：ＹＥＳ）、処理部３１は、このメッセージの受信処理を中断し、このメッセージを破棄する（ステップＳ２９）。また処理部３１は、このメッセージのＩＤを記憶部３３に破棄ＩＤとして記憶し（ステップＳ３０）、処理を終了する。
またステップＳ２２にて取得したＩＤとステップＳ２３にて取得したＩＤとが一致する場合（Ｓ２４：ＹＥＳ）、処理部３１の禁止処理部４１は、受信メッセージに基づく処理を禁止する（ステップＳ３１）。処理部３１は、通信線２へＡＣＫを出力し（ステップＳ３２）、このメッセージの受信完了を通知する。次いで処理部３１は、記憶部３３に破棄ＩＤとして記憶されているＩＤを消去し（ステップＳ３３）、処理を終了する。
以上の構成の実施の形態１に係る車載通信システムは、共通の通信線２を介して複数のＥＣＵ３０が接続された構成の車載通信システム中に、正規のメッセージであるか否かを判定する判定処理部２１、不正なメッセージを送信完了前に破棄させる処理を行う破棄処理部２２、破棄されたメッセージのＩＤを記憶する記憶部１３、及び、この記憶部１３に記憶されたＩＤのメッセージを受信した場合に受信完了を示すＡＣＫの信号を出力する処理を行う通知処理部２３を有する監視装置１０を設けた構成である。なお破棄処理部２２は、記憶部１３に破棄ＩＤとして記憶されたＩＤが付されたメッセージに対しては、破棄処理を行わない。また各ＥＣＵ３０は、監視装置１０により破棄処理がなされたメッセージに付されていたＩＤを破棄ＩＤとして記憶部３３に記憶し、禁止処理部４１が記憶部３３に記憶されたＩＤが付されたメッセージに基づく処理を禁止することで、不正メッセージに基づく処理を行わない。
即ち本実施の形態に係る車載通信システムでは、不正なメッセージの１回目の送信に対しては監視装置１０の破棄処理部２２による破棄が行われ、このときに破棄されたメッセージのＩＤが監視装置１０及びＥＣＵ３０のそれぞれにて記憶される。このメッセージの破棄に対して、不正なＥＣＵなどが不正メッセージの再送信を行った場合、再送信されたメッセージに付されたＩＤが監視装置１０及びＥＣＵ３０にて記憶されているため、監視装置１０の破棄処理部２２による破棄は行われず、通知処理部２３による受信完了のＡＣＫ信号出力が行われるが、各ＥＣＵ３０ではこの不正メッセージに基づく処理が禁止されており行われない。不正メッセージに対して受信完了のＡＣＫ信号の出力が行われることにより、不正メッセージを送信した不正なＥＣＵではこのメッセージが他のＥＣＵ３０により受信されたと判断されるため、不正メッセージの再送信は行われなくなる。
また監視装置１０の消去処理部２４は、通知処理部２３による受信完了のＡＣＫ信号の出力が行われた場合に、記憶部１３に破棄ＩＤとして記憶しているＩＤを消去する。同様に、各ＥＣＵ３０は、記憶部３３に破棄ＩＤとして記憶しているＩＤが付されたメッセージを受信した場合、記憶部３３に記憶されたＩＤを消去する。これにより、不正メッセージと同じＩＤが付される正規のメッセージに基づく処理が各ＥＣＵ３０にて行われなくなることを防止できる。
なお本実施の形態において監視装置１０は、判定処理部２１、破棄処理部２２、通知処理部２３及び消去処理部２４の各処理を処理部１１が行う構成としたが、これに限るものではなく、例えば通信部１２が行う構成としてもよい。この場合には、記憶部１３は通信部１２が直接的にアクセス可能な構成とするか、又は、通信部１２内に設けてもよい。同様にＥＣＵ３０は、禁止処理部４１の処理を処理部３１が行う構成としたが、これに限るものではなく、例えば通信部３２が行う構成としてもよい。
また本実施の形態においては、車両１の車載通信システムに含まれる各ＥＣＵ３０がＣＡＮプロトコルに従った通信を行う構成としたが、これに限るものではない。各ＥＣＵ３０が、ＣＡＮ以外のプロトコル、例えばＴＣＰ／ＩＰ又はＦｌｅｘＲａｙ等のプロトコルに従った通信を行う構成としてもよい。また車両１に搭載される車載通信システムを例に説明を行ったが、これに限るものではなく、航空機若しくは船舶等の移動体に搭載される車載通信システム、又は、工場若しくはオフィス等に設置される車載通信システム等のように、車載以外の車載通信システムに対して本技術を適用してもよい。また上述の実施の形態においては、判定処理部２１、破棄処理部２２、通知処理部２３及び消去処理部２４の各処理を行う監視装置１０をＥＣＵ３０とは別に設ける構成としたが、これに限るものではない。例えば以下の変形例１に示すように、判定処理部２１、破棄処理部２２、通知処理部２３及び消去処理部２４の各処理を各ＥＣＵ３０が行う構成としてもよい。
（変形例１）
図５は、変形例１に係る車載通信システムの構成を示すブロック図である。変形例１に係る車載通信システムは、通信線２上に送受信されるメッセージを監視する監視装置１０を備えず、通信線２に接続される各ＥＣＵ１３０がメッセージの監視を行う構成である。各ＥＣＵ１３０は、ＲＯＭなどに記憶された所定のプログラムを実行することにより、処理部１３１に判定処理部２１、破棄処理部２２、通知処理部２３、消去処理部２４及び禁止処理部４１等がソフトウェア的な機能ブロックとして実現される。これらの機能ブロックが行う処理は、上述の実施の形態１に係る監視装置１０及びＥＣＵ３０のものと略同じである。
即ち、変形例１に係る各ＥＣＵ１３０は、通信線２に対して他のＥＣＵ１３０が送信したメッセージが正規のメッセージであるか否かを判定処理部２１にて判定する。このときに判定処理部２１は、例えば自身が送信すべきＩＤのメッセージが他のＥＣＵ１３０により送信された場合にこのメッセージを不正メッセージと判定する構成としてもよく、また例えばメッセージに付された認証情報に基づいて判定を行う構成としてもよく、これら以外の方法で判定を行う構成としてもよい。各ＥＣＵ１３０の破棄処理部２２は、判定処理部２１が不正メッセージと判定した場合に、このメッセージの送信完了前にエラーフレームを通信線２へ出力することで不正メッセージを他のＥＣＵ１３０に破棄させる処理を行う。各ＥＣＵ１３０の処理部１３１は、自身の破棄処理部２２によりメッセージの破棄を行った場合、及び、他のＥＣＵ１３０のエラーフレーム出力によりメッセージの破棄が行われた場合に、このメッセージに付されていたＩＤを破棄ＩＤとして記憶部３３に記憶する。
また各ＥＣＵ１３０の通知処理部２３は、通信線２に送信されたメッセージのＩＤが記憶部３３に記憶された破棄ＩＤと一致する場合、通信線２に対してＡＣＫ信号を出力することでこのメッセージの送信元に対して受信完了を通知する。ただし各ＥＣＵ１３０の禁止処理部４１は、記憶部３３に記憶された破棄ＩＤと一致するＩＤが付されたメッセージに基づく処理を行うことを禁止し、これにより各ＥＣＵ１３０の処理部１３１では不正メッセージに基づく処理は行われない。通知処理部２３がＡＣＫ信号を出力した場合、各ＥＣＵ１３０の消去処理部２４は、記憶部３３に破棄ＩＤとして記憶されたＩＤを消去する。
このように変形例１に係る車載通信システムでは、判定処理部２１、破棄処理部２２、通知処理部２３、消去処理部２４及び禁止処理部４１を各ＥＣＵ１３０が有する構成とすることにより、不正なＥＣＵが不正メッセージの再送信を繰り返すことを防止することができる。
（変形例２）
図６は、変形例２に係る車載通信システムの構成を示すブロック図である。変形例２に係る車載通信システムは、それぞれに複数のＥＣＵ３０が接続された通信線２及び通信線３がゲートウェイ２１０に接続され、ゲートウェイ２１０が通信線２，３間のメッセージを中継する構成である。この構成の場合、ゲートウェイ２１０に上述の実施の形態１に係る監視装置１０と同様の監視機能を設けることができる。
変形例２に係るゲートウェイ２１０は、処理部２１１、通信部１２ａ，１２ｂ及び記憶部１３を備えて構成されている。２つの通信部１２ａ，１２ｂは、それぞれ通信線２，３が接続され、接続された通信線２，３を介してＥＣＵ３０との間でメッセージの送受信を行う。処理部２１１は、通信部１２ａ，１２ｂの一方にて受信したメッセージを他方から送信することにより、通信線２，３間でメッセージを中継する処理を行う。更に処理部２１１は、ＲＯＭなどに記憶された所定意のプログラムを実行することにより、判定処理部２１、破棄処理部２２、通知処理部２３及び消去処理部２４等がソフトウェア的な機能ブロックとして実現される。これらの機能ブロックが行う処理は、上述の実施の形態１に係る監視装置１０のものと略同じであるが、２つの通信線２，３に対して個別にメッセージの監視処理を行う。
このように変形例２に係る車載通信システムでは、複数の通信線２，３が接続されるゲートウェイ２１０にメッセージ監視機能を設ける。これによりゲートウェイ２１０にてメッセージ監視を集中的に行うことができ、各通信線２，３にそれぞれ監視装置１０を設ける構成と比較して、車載通信システムを小規模化及び低コスト化することができる。
（実施の形態２）
図７は、実施の形態２に係る車載通信システムの構成を示すブロック図である。実施の形態２に係る車載通信システムは、実施の形態１に係る車載通信システムと同様に、車両１に搭載された複数のＥＣＵ３３０が共通の通信線２を介して接続された構成であり、通信線２を介したＥＣＵ３３０のメッセージの送受信を監視する監視装置３１０を備えている。
監視装置３１０は、処理部３１１、通信部１２、記憶部１３及びカウンタ３１４等を備えて構成されている。処理部３１１は、ＣＰＵ又はＭＰＵ等の演算処理装置を用いて構成され、図示しないＲＯＭなどに記憶されたプログラムを実行することにより、メッセージの監視に係る種々の処理を行う。カウンタ３１４は、数値を記憶する回路であり、処理部３１１から与えられる加算命令に応じて記憶している数値を増加（カウントアップ）し、初期化命令に応じて記憶している数値を０に初期化する。実施の形態２においてカウンタ３１４は、メッセージが不正であると判定されて破棄された回数をカウントする。
実施の形態２に係る監視装置３１０の処理部３１１には、ＲＯＭなどに記憶された監視処理のためのプログラムを実行することにより、判定処理部２１、破棄処理部２２、通知処理部２３、消去処理部２４及び初期化処理部３２５等がソフトウェア的な機能ブロックとして実現される。判定処理部２１は、通信線２上にＥＣＵ３３０が送信したメッセージが正規のメッセージであるか否かを判定する。破棄処理部２２は、判定処理部２１が正規のメッセージではないと判定した場合に、このメッセージの送信完了前にエラーフレームを通信線２へ出力することにより、ＥＣＵ３３０に不正メッセージを破棄させる処理を行う。破棄処理部２２が破棄処理を行った場合、処理部３１１は、この不正メッセージに付されていたＩＤを記憶部１３に破棄ＩＤとして記憶しておくと共に、カウンタ３１４をカウントアップする。
その後、処理部３１１は、通信線２にメッセージが送信された場合、このメッセージのＩＤが記憶部１３に記憶した破棄ＩＤと一致するか否かを判定する。両ＩＤが一致しない場合、不正メッセージの再送信が行われていないと判断し、処理部３１１の初期化処理部３２５がカウンタ３１４を初期化すると共に、消去処理部２４が記憶部１３に記憶した破棄ＩＤを消去する。両ＩＤが一致する場合、処理部３１１は、カウンタ３１４が記憶している数値が所定数を超えたか否かを判定する。カウンタ３１４の数値が所定数を超えない場合、上述と同様に、判定処理部２１による正規メッセージであるか否かの判定、及び、破棄処理部２２による不正メッセージの破棄処理を行う。
カウンタ３１４の数値が所定数を超える場合、通知処理部２３は、メッセージが正規のものであるか否かに関わらず、このメッセージの送信に対して通信部１２にて通信線２へＡＣＫを出力することにより、メッセージの送信元へ受信完了を通知する。消去処理部２４は、通知処理部２３によるＡＣＫの出力が行われた場合、記憶部１３に破棄ＩＤとして記憶されたＩＤを、記憶部１３から消去する処理を行う。同様に、この場合に初期化処理部３２５は、カウンタ３１４を初期化する処理を行う。
実施の形態２に係る車載通信システムに含まれる各ＥＣＵ３３０は、処理部３３１、通信部３２、記憶部３３及びカウンタ３３４等を備えて構成されている。処理部３３１は、ＣＰＵ又はＭＰＵ等の演算処理装置を用いて構成され、車両１の制御に係る種々の処理を行う。実施の形態２に係るＥＣＵ３３０の処理部３３１には、ＲＯＭなどに記憶された通信処理のためのプログラムを実行することにより、禁止処理部４１がソフトウェア的な機能ブロックとして実現される。カウンタ３３４は、数値を記憶する回路であり、処理部３３１から与えられる加算命令に応じて記憶している数値をカウントアップし、初期化命令に応じて記憶している数値を０に初期化する。
実施の形態２に係る各ＥＣＵ３３０の処理部３３１は、通信線２に送信されたメッセージが監視装置３１０のエラーフレームにより破棄された場合、このメッセージに付されていたＩＤを記憶部３３に記憶する。禁止処理部４１は、記憶部３３に記憶された破棄ＩＤと同じＩＤが付されたメッセージを用いた処理を禁止する。その後、処理部３３１は、通信線２にメッセージが送信された場合、このメッセージのＩＤが記憶部３３に記憶した破棄ＩＤと一致するか否かを判定する。両ＩＤが一致しない場合、不正メッセージの再送信が行われていないと判断し、処理部３３１はカウンタ３３４を初期化すると共に、記憶部３３に記憶した破棄ＩＤを消去する。両ＩＤが一致する場合、処理部３３１は、カウンタ３３４が記憶している数値が所定数を超えたか否かを判定する。なおＥＣＵ３３０がカウンタ３３４との比較を行う所定数は、監視装置３１０がカウンタ３１４との比較を行う所定数と同じ値である。カウンタ３３４の数値が所定数を超えない場合、処理部３３１は、通常のメッセージの受信処理を行う（ただし、このメッセージは監視装置３１０により破棄される可能性はある）。
カウンタ３３４の数値が所定数を超える場合、処理部３３１は、このメッセージの送信に対して通信部３２にて通信線２へＡＣＫを出力することにより、メッセージの送信元へ受信完了を通知する。このときに処理部３３１は、記憶部３３に破棄ＩＤとして記憶されたＩＤを消去すると共に、カウンタ３３４を初期化する処理を行う。
図８は、実施の形態２に係る監視装置３１０が行う監視処理の手順を示すフローチャートである。実施の形態２に係る監視装置３１０の処理部３１１は、通信線２に対するＥＣＵ３３０のメッセージ送信が行われたか否かを判定する（ステップＳ５１）。メッセージ送信が行われていない場合（Ｓ５１：ＮＯ）、処理部３１１は、ＥＣＵ３３０によるメッセージ送信が行われるまで待機する。ＥＣＵ３３０によるメッセージ送信が行われた場合（Ｓ５１：ＹＥＳ）、処理部３１１は、通信線２に対してメッセージのＩＤが出力された段階で、メッセージのＩＤを取得する（ステップＳ５２）。また処理部３１１は、記憶部１３に破棄ＩＤとして記憶されたＩＤを取得する（ステップＳ５３）。なおこのときに記憶部１３に破棄ＩＤが記憶されていない場合、処理部１１は、ＩＤの取得を行わなくてよい。
処理部３１１は、ステップＳ５２にて取得したＩＤと、ステップＳ５３にて取得したＩＤとが一致したか否かを判定する（ステップＳ５４）。なおステップＳ５３にて破棄ＩＤを取得できなかった場合、処理部３１１は、ステップＳ５４にてＩＤが一致しないと判定すればよい。両ＩＤが一致しない場合（Ｓ５４：ＮＯ）、処理部３１１の初期化処理部３２５は、カウンタ３１４を初期化する（ステップＳ５５）。また処理部３１１の消去処理部２４は、記憶部３３に破棄ＩＤとして記憶されたＩＤを消去し（ステップＳ５６）、ステップＳ５８へ処理を進める。
両ＩＤが一致する場合（Ｓ５４：ＹＥＳ）、処理部３１１は、カウンタ３１４が記憶している数値が所定数を超えるか否かを判定する（ステップＳ５７）。カウンタ３１４の数値が所定数を超えない場合（Ｓ５７：ＮＯ）、又は、ステップＳ５６にて記憶部３３からＩＤを消去した後、処理部３１１の判定処理部２１は、通信線２に対してメッセージに含まれる認証情報が出力された段階でこの認証情報を取得し、取得した認証情報が正否判定を行い（ステップＳ５８）、通信線２に送信中のメッセージが正規のメッセージであるか否かを判定する（ステップＳ５９）。
通信線２に送信中のメッセージが正規のメッセージではないと判定処理部２１が判定した場合（Ｓ５９：ＮＯ）、処理部３１１の破棄処理部２２は、このメッセージの送信が完了する前に、通信線２に対してエラーフレームを出力し（ステップＳ６０）、このメッセージをＥＣＵ３３０に破棄させる。処理部３１１は、このメッセージのＩＤを記憶部１３に破棄ＩＤとして記憶する（ステップＳ６１）。また処理部３１１は、カウンタ３１４の値に１を加算し（ステップＳ６２）、処理を終了する。
カウンタ３１４の数値が所定数を超える場合（Ｓ５７：ＹＥＳ）、又は、通信線２に送信中のメッセージが正規のメッセージであると判定処理部２１が判定した場合（Ｓ５９：ＹＥＳ）、処理部３１１の通知処理部２３は、通信線２へＡＣＫを出力し（ステップＳ６３）、このメッセージの受信完了を通知する。処理部３１１は、記憶部１３に破棄ＩＤとして記憶されているＩＤを消去する（ステップＳ６４）。また処理部３１１は、カウンタ３１４を初期化して（ステップＳ６５）、処理を終了する。
図９及び図１０は、実施の形態２に係る各ＥＣＵ３３０が行う受信処理の手順を示すフローチャートである。実施の形態２に係るＥＣＵ３３０の処理部３３１は、通信線２に対する他のＥＣＵ３３０のメッセージ送信が行われたか否かを判定する（ステップＳ７１）。メッセージ送信が行われていない場合（Ｓ７１：ＮＯ）、処理部３３１は、他のＥＣＵ３３０によるメッセージ送信が行われるまで待機する。他のＥＣＵ３３０によるメッセージ送信が行われた場合（Ｓ７１：ＹＥＳ）、処理部３３１は、通信線２に対してメッセージのＩＤが出力された段階で、メッセージのＩＤを取得する（ステップＳ７２）。また処理部３３１は、記憶部３３に破棄ＩＤとして記憶されたＩＤを取得する（ステップＳ７３）。なおこのときに記憶部３３に破棄ＩＤが記憶されていない場合、処理部３３１は、ＩＤの取得を行わなくてよい。
処理部３３１は、ステップＳ７２にて取得したＩＤと、ステップＳ７３にて取得したＩＤとが一致したか否かを判定する（ステップＳ７４）。なおステップＳ７３にて破棄ＩＤを取得できなかった場合、処理部３３１は、ステップＳ７４にてＩＤが一致しないと判定すればよい。両ＩＤが一致しない場合（Ｓ７４：ＮＯ）、処理部３３１は、このメッセージの送信完了前にエラーフレームを受信したか否かを判定する（ステップＳ７５）。エラーフレームを受信していない場合（Ｓ７５：ＮＯ）、処理部３３１は、通信線２に出力されているメッセージの受信を行う（ステップＳ７６）。処理部３３１は、通信線２へＡＣＫを出力し（ステップＳ７７）、このメッセージの受信完了を通知する。処理部３３１は、受信したメッセージに基づく処理を行う（ステップＳ７８）。また処理部３３１は、カウンタ３３４を初期化すると共に（ステップＳ７９）、記憶部３３に破棄ＩＤとして記憶されたＩＤを消去して（ステップＳ８０）、処理を終了する。
通信線２上のメッセージの送信完了前にエラーフレームをした場合（Ｓ７５：ＹＥＳ）、処理部３３１は、このメッセージの受信処理を中断し、このメッセージを破棄する（ステップＳ８１）。また処理部３３１は、このメッセージのＩＤを記憶部３３に破棄ＩＤとして記憶すると共に（ステップＳ８２）、カウンタ３３４の値に１を加算して（ステップＳ８３）、処理を終了する。
またステップＳ７２にて取得したＩＤとステップＳ７３にて取得したＩＤとが一致する場合（Ｓ７４：ＹＥＳ）、処理部３３１は、カウンタ３３４が記憶している数値が所定数を超えるか否かを判定する（ステップＳ８４）。カウンタ３３４の数値が所定数を超えない場合（Ｓ８４：ＮＯ）、処理部３３１は、ステップＳ７５へ処理を進める。カウンタ３３４の数値が所定数を超える場合（Ｓ８４：ＹＥＳ）、処理部３３１の禁止処理部４１は、受信メッセージに基づく処理を禁止する（ステップＳ８５）。処理部３３１は、通信線２へＡＣＫを出力し（ステップＳ８６）、このメッセージの受信完了を通知する。次いで処理部３３１は、記憶部３３に破棄ＩＤとして記憶されているＩＤを消去すると共に（ステップＳ８７）、カウンタ３３４を初期化して（ステップＳ８８）、処理を終了する。
以上の構成の実施の形態２に係る車載通信システムは、共通の通信線２を介して複数のＥＣＵ３３０が接続されたシステム中に、正規のメッセージであるか否かを判定する判定処理部２１、正規でないメッセージを送信完了前に破棄させる破棄処理部２２、メッセージが破棄された回数をカウントするカウンタ３１４、及び、カウンタが記憶する数値が所定数を超える場合にＡＣＫ信号を出力する通知処理部２３を有する監視装置３１０を設けた構成である。破棄処理部２２は、カウンタ３１４の数値が所定数を超える場合、メッセージを破棄させる処理を行わない。また各ＥＣＵ３３０は、監視装置３１０によりメッセージの破棄がなされた回数をカウントするカウンタ３３４を有し、カウンタ３３４の数値が所定数を超える場合、受信メッセージに基づく処理は禁止されて行われない。
即ち、実施の形態２に係る車載通信システムでは、不正メッセージの所定回数以下の送信に対しては破棄処理部２２による破棄が行われ、このときにメッセージを破棄した回数がカウンタ３１４及びカウンタ３３４によりカウントされる。破棄処理部２２による破棄に対して、例えば不正なＥＣＵが不正メッセージの再送信を繰り返し行って、破棄の回数が所定数を超えた場合、監視装置３１０の通知処理部２３によるＡＣＫ信号の出力が行われるが、各ＥＣＵ３３０はこの不正メッセージに基づく処理が禁止されており行われない。受信完了を示すＡＣＫ信号の出力が行われることにより、不正メッセージを送信した不正なＥＣＵでは、不正メッセージがＥＣＵ３３０により受信されたと判断されるため、不正メッセージの再送信が行われなくなる。
また監視装置３１０は、破棄処理部２２により破棄されたメッセージに付されたＩＤを記憶する記憶部１３を備え、記憶部１３に記憶されたＩＤとは異なるＩＤが付されたメッセージが通信線２に送信された場合にはカウンタ３１４を初期化する。同様に各ＥＣＵ３３０は、監視装置３１０により破棄の処理がなされたメッセージに付されたＩＤを記憶する記憶部３３を備え、記憶部３３に記憶されたＩＤとは異なるＩＤが付されたメッセージが送信された場合にカウンタ３３４を初期化する。これにより同一のＩＤが連続的に送信されている場合にのみカウンタ３１４，３３４によるカウントを行うことができる。
またカウンタ３１４，３３４は、監視装置３１０の通知処理部２３によるＡＣＫ信号の出力が行われた場合に、初期化される。これにより正規のメッセージに基づく処理が各ＥＣＵ３３０にて禁止され続けることを防止できる。
なお実施の形態２においては、判定処理部２１、破棄処理部２２、通知処理部２３、消去処理部２４及び初期化処理部３２５の各処理を行う監視装置３１０をＥＣＵ３３０とは別に設ける構成としたが、これに限るものではない。例えば実施の形態１の変形例１に示した構成と同様に、判定処理部２１、破棄処理部２２、通知処理部２３、消去処理部２４及び初期化処理部３２５の各処理を各ＥＣＵ３３０が行う構成としてもよい。
また、実施の形態２に係る車載通信システムのその他の構成は、実施の形態１に係る車載通信システムと同様であるため、同様の箇所には同じ符号を付し、詳細な説明を省略する。
１ 車両
２，３ 通信線
１０ 監視装置
１１ 処理部
１２，１２ａ，１２ｂ 通信部
１３ 記憶部
２１ 判定処理部（判定部）
２２ 破棄処理部（破棄部）
２３ 通知処理部（受信完了通知部）
２４ 消去処理部（記憶消去部）
３０ ＥＣＵ（通信装置）
３１ 処理部
３２ 通信部
３３ 記憶部
４１ 禁止処理部（禁止部）
１３０ ＥＣＵ（通信装置）
１３１ 処理部
２１０ ゲートウェイ
２１１ 処理部
３１０ 監視装置
３１１ 処理部
３１４ カウンタ
３２５ 初期化処理部（初期化部）
３３０ ＥＣＵ（通信装置）
３３１ 処理部
３３４ カウンタ

Claims (8)

  1. 車両に搭載された複数の通信装置が共通の通信線を介して接続された車載通信システムにおいて、
    前記通信線に送信されたメッセージが正規のメッセージであるか否かを判定する判定部と、前記判定部が正規のメッセージでないと判定したメッセージを、該メッセージの送信完了前に前記通信装置に破棄させる処理を行う破棄部と、前記破棄部により破棄させたメッセージの識別情報を記憶する第１記憶部とを有する監視装置を備え、
    各通信装置は、
    前記監視装置により破棄させられたメッセージの識別情報を記憶する第２記憶部と、
    前記第２記憶部に記憶された識別情報が付されたメッセージに基づく処理を禁止する禁止部と
    を有し、
    前記破棄部は、前記第１記憶部に記憶された識別情報が付されたメッセージに対しては破棄させる処理を行わず、
    前記監視装置は、前記第１記憶部に記憶された識別情報が付されたメッセージを受信した場合に、前記判定部の判定結果に関わらず、当該メッセージの受信を完了したことを示す信号を前記通信線へ出力する受信完了通知部を有すること
    を特徴とする車載通信システム。
  2. 前記監視装置は、前記受信完了通知部による前記信号が出力された場合に、前記第１記憶部に記憶された識別情報を消去する第１記憶消去部を有し、
    各通信装置は、前記受信完了通知部による前記信号が出力された場合に、前記第２記憶部に記憶された識別情報を消去する第２記憶消去部を有すること
    を特徴とする請求項１に記載の車載通信システム。
  3. 車両に搭載された複数の通信装置が共通の通信線を介して接続された車載通信システムにおいて、
    前記通信線に送信されたメッセージが正規のメッセージであるか否かを判定する判定部と、前記判定部が正規のメッセージでないと判定したメッセージを、該メッセージの送信完了前に前記通信装置に破棄させる処理を行う破棄部と、前記破棄部によりメッセージを破棄させた回数をカウントする第１カウンタと、前記第１カウンタがカウントした回数が所定回数を超える場合に、前記判定部の判定結果に関わらず、当該メッセージの受信を完了したことを示す信号を前記通信線へ出力する受信完了通知部とを有する監視装置を備え、
    各通信装置は、
    前記監視装置によりメッセージを破棄させられた回数をカウントする第２カウンタと、
    前記第２カウンタがカウントした回数が前記所定回数を超える場合、受信したメッセージに基づく処理を禁止する禁止部と
    を有し、
    前記破棄部は、前記第１カウンタがカウントした回数が前記所定回数を超える場合にメッセージを破棄させる処理を行わないこと
    を特徴とする車載通信システム。
  4. 前記監視装置は、
    前記破棄部によりメッセージを破棄させた場合に、破棄させたメッセージの識別情報を記憶する第１記憶部と、
    前記第１記憶部に記憶された識別情報とは異なる識別情報が付されたメッセージが前記通信線に送信された場合に、前記第１カウンタを初期化する初期化部と
    を有し、
    各通信装置は、
    前記監視装置によりメッセージを破棄させられた場合に、破棄させられたメッセージの識別情報を記憶する第２記憶部と、
    前記第２記憶部に記憶された識別情報とは異なる識別情報が付されたメッセージが前記通信線に送信された場合に、前記第２カウンタを初期化する初期化部と
    を有すること
    を特徴とする請求項３に記載の車載通信システム。
  5. 前記監視装置は、前記受信完了通知部による信号が出力された場合に、前記第１カウンタを初期化する初期化部を有し、
    各通信装置は、前記受信完了通知部による信号が出力された場合に、前記第２カウンタを初期化する初期化部を有すること
    を特徴とする請求項３又は請求項４に記載の車載通信システム。
  6. 前記監視装置は、複数の通信線に接続されて、通信線間のメッセージを中継するゲートウェイ装置であること
    を特徴とする請求項１乃至請求項５のいずれか１つに記載の車載通信システム。
  7. 車両に搭載された複数の通信装置が接続された共通の通信線に送信されたメッセージが正規のメッセージであるか否かを判定する判定部と、
    前記判定部が正規のメッセージでないと判定したメッセージを、該メッセージの送信完了前に前記通信装置に破棄させる処理を行う破棄部と、
    前記破棄部により破棄させたメッセージの識別情報を記憶する記憶部と、
    前記記憶部に記憶された識別情報が付されたメッセージを受信した場合に、前記判定部の判定結果に関わらず、当該メッセージの受信を完了したことを示す信号を前記通信線へ出力する受信完了通知部と
    を備え、
    前記破棄部は、前記記憶部に記憶された識別情報が付されたメッセージに対しては破棄させる処理を行わないこと
    を特徴とする監視装置。
  8. 車両に搭載された複数の通信装置が接続された共通の通信線に送信されたメッセージが正規のメッセージであるか否かを判定する判定部と、
    前記判定部が正規のメッセージでないと判定したメッセージを、該メッセージの送信完了前に前記通信装置に破棄させる処理を行う破棄部と、
    前記破棄部によりメッセージを破棄させた回数をカウントするカウンタと、
    前記カウンタがカウントした回数が所定回数を超える場合に、前記判定部の判定結果に関わらず、当該メッセージの受信を完了したことを示す信号を前記通信線へ出力する受信完了通知部と
    を備え、
    前記破棄部は、前記カウンタがカウントした回数が前記所定回数を超える場合にメッセージを破棄させる処理を行わないこと
    を特徴とする監視装置。
JP2015192146A 2015-09-29 2015-09-29 車載通信システム及び監視装置 Active JP6481579B2 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2015192146A JP6481579B2 (ja) 2015-09-29 2015-09-29 車載通信システム及び監視装置
PCT/JP2016/077959 WO2017057165A1 (ja) 2015-09-29 2016-09-23 車載通信システム
CN201680052782.0A CN108028855B (zh) 2015-09-29 2016-09-23 车载通信系统
DE112016004438.0T DE112016004438T5 (de) 2015-09-29 2016-09-23 Bordkommunikationssystem
US15/763,308 US10554623B2 (en) 2015-09-29 2016-09-23 On-board communication system

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2015192146A JP6481579B2 (ja) 2015-09-29 2015-09-29 車載通信システム及び監視装置

Publications (3)

Publication Number Publication Date
JP2017069719A JP2017069719A (ja) 2017-04-06
JP2017069719A5 JP2017069719A5 (ja) 2018-02-15
JP6481579B2 true JP6481579B2 (ja) 2019-03-13

Family

ID=58423787

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2015192146A Active JP6481579B2 (ja) 2015-09-29 2015-09-29 車載通信システム及び監視装置

Country Status (5)

Country Link
US (1) US10554623B2 (ja)
JP (1) JP6481579B2 (ja)
CN (1) CN108028855B (ja)
DE (1) DE112016004438T5 (ja)
WO (1) WO2017057165A1 (ja)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6477281B2 (ja) * 2015-06-17 2019-03-06 株式会社オートネットワーク技術研究所 車載中継装置、車載通信システム及び中継プログラム
JP6561811B2 (ja) * 2015-12-09 2019-08-21 株式会社オートネットワーク技術研究所 車載通信装置、車載通信システム及び車両特定処理禁止方法
JP6693577B2 (ja) * 2017-02-01 2020-05-13 富士通株式会社 暗号鍵配信システム、鍵配信ｅｃｕ、鍵配信プログラム、及び暗号鍵配信方法
JP6956624B2 (ja) * 2017-03-13 2021-11-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 情報処理方法、情報処理システム、及びプログラム
JP6620133B2 (ja) * 2017-09-28 2019-12-11 株式会社Ｓｕｂａｒｕ 車両用通信制御装置及び車両用通信制御システム
CN111835627B (zh) * 2019-04-23 2022-04-26 华为技术有限公司 车载网关的通信方法、车载网关及智能车辆
CN113467409A (zh) * 2020-03-31 2021-10-01 北京新能源汽车股份有限公司 一种车辆的电子控制单元的故障诊断方法及装置
JP2022091585A (ja) * 2020-12-09 2022-06-21 トヨタ自動車株式会社 車両通信用中継装置、車両通信用中継方法及びプログラム

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3993063B2 (ja) * 2001-10-15 2007-10-17 三菱電機株式会社 暗号通信装置
WO2005006640A1 (en) * 2003-07-11 2005-01-20 Philips Intellectual Property & Standards Gmbh Transmission of data packets from a transmitter to a receiver
JP2007174287A (ja) * 2005-12-22 2007-07-05 Nec Corp 無線パケット通信システム、無線パケット基地局、無線パケット端末及び不正通信の排除方法
US7783300B2 (en) * 2006-11-22 2010-08-24 Airdefense, Inc. Systems and methods for proactively enforcing a wireless free zone
CN101795170B (zh) * 2009-02-02 2013-11-06 中兴通讯股份有限公司 一种实现数据反馈的方法、接收设备及系统
US8239932B2 (en) * 2009-08-12 2012-08-07 At&T Mobility Ii, Llc. Signal transfer point front end processor
JP5770602B2 (ja) 2011-10-31 2015-08-26 トヨタ自動車株式会社 通信システムにおけるメッセージ認証方法および通信システム
WO2013080387A1 (ja) * 2011-12-02 2013-06-06 株式会社オートネットワーク技術研究所 送信メッセージ生成装置及び車載通信システム
US9288048B2 (en) * 2013-09-24 2016-03-15 The Regents Of The University Of Michigan Real-time frame authentication using ID anonymization in automotive networks
JP6126980B2 (ja) * 2013-12-12 2017-05-10 日立オートモティブシステムズ株式会社 ネットワーク装置およびネットワークシステム

Also Published As

Publication number Publication date
CN108028855B (zh) 2020-10-13
US20180288000A1 (en) 2018-10-04
DE112016004438T5 (de) 2018-06-21
WO2017057165A1 (ja) 2017-04-06
JP2017069719A (ja) 2017-04-06
US10554623B2 (en) 2020-02-04
CN108028855A (zh) 2018-05-11

Similar Documents

Publication Publication Date Title
JP6481579B2 (ja) 車載通信システム及び監視装置
JP6477281B2 (ja) 車載中継装置、車載通信システム及び中継プログラム
JP6525824B2 (ja) 中継装置
JP6685023B2 (ja) 電子制御装置、通信方法およびプログラム
JP6306206B2 (ja) 通信制御装置及び通信システム
JP2013098719A (ja) 通信システムにおけるメッセージ認証方法および通信システム
US11938897B2 (en) On-vehicle device, management method, and management program
WO2017038422A1 (ja) 通信装置
US20200014758A1 (en) On-board communication device, computer program, and message determination method
KR20110031752A (ko) 유비쿼터스 센서 네트워크에서의 위치 정보 및 해쉬 체인을 이용한 시빌 공격 노드 탐지 방법 및 장치
CN111066001A (zh) 日志输出方法、日志输出装置以及程序
JP2023535474A (ja) アソシエーション制御方法及び関連装置
ES2657505T3 (es) Procedimiento, elemento seguro y sistema para supervisar dispositivos de red de área de controlador
JP2017050719A (ja) 車載ネットワークシステム
CN113273144B (zh) 车载通信系统、车载通信控制装置、车载通信装置、通信控制方法及通信方法
KR20190097216A (ko) 센서의 측정값들에 서명하기 위한 방법, 장치 및 명령어들을 포함하는 컴퓨터 판독 가능 저장 매체
US11212314B2 (en) Method for an object to communicate with a connected objects network to report that a clone may be impersonating the object in the network
CN111343129B (zh) 一种防御协议组网被破解的方法和设备
JP2018019218A (ja) 電子制御装置
CN112740726B (zh) 一种数据传输方法及装置
JP6512205B2 (ja) 通信システム
KR20220065680A (ko) 차량 통신 시스템, 통신 방법 및 통신 프로그램을 기록한 기록 매체
JP2017076861A (ja) 車載通信システム及び監視装置
WO2018206139A1 (en) Authentication exchange for wireless networks using variable expected response lengths

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20171226

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20171227

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20181023

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20181119

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20190115

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20190128

R150 Certificate of patent or registration of utility model

Ref document number: 6481579

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150