JP6520515B2

JP6520515B2 - Network monitoring system, network monitoring program, and network monitoring method

Info

Publication number: JP6520515B2
Application number: JP2015143406A
Authority: JP
Inventors: 純矢嶋; 長谷部　高行; 高行長谷部; 保彦阿部
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2015-07-17
Filing date: 2015-07-17
Publication date: 2019-05-29
Anticipated expiration: 2035-07-17
Also published as: JP2017028410A

Description

本発明は、通信装置間の通信の監視に関する。 The present invention relates to monitoring communication between communication devices.

自動車の車載ネットワークやファクトリーオートメーションなどに使用される装置間で、データや制御情報を送受信するために、ＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）と呼ばれるネットワーク技術が使用されることがある。ＣＡＮが用いられるシステムは、複数のＥＣＵ（ＥｌｅｃｔｒｏｎｉｃＣｏｎｔｒｏｌＵｎｉｔ）を含む。ＥＣＵ同士はメッセージを送受信することにより通信を行う。ＣＡＮ通信に使用されるメッセージには、メッセージの識別情報（ＩＤ）が含まれている。また、各ＥＣＵは、受信するメッセージのＩＤを予め記憶している。メッセージはブロードキャストされ、各ＥＣＵは、設定されたＩＤを含むメッセージを受信するが、受信対象に設定されていないＩＤを含むメッセージは破棄する。 A network technology called CAN (Controller Area Network) may be used to transmit and receive data and control information between devices used for in-vehicle networks of vehicles, factory automation, and the like. A system in which CAN is used includes a plurality of ECUs (Electronic Control Units). The ECUs communicate by transmitting and receiving messages. The message used for CAN communication includes identification information (ID) of the message. In addition, each ECU stores in advance the ID of the message to be received. The message is broadcasted, and each ECU receives the message including the set ID, but discards the message including the ID not set for reception.

ＣＡＮのネットワークに関し、メインメッセージが正当なものである否かを判定する技術が知られている。各ＥＣＵは、ＣＡＮＩＤごとにメッセージが送信された回数をカウントする。送信ノードと受信ノードとはＭＡＣ（ＭｅｓｓａｇｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＣｏｄｅ）を用いることで、再送攻撃を防止する（例えば、特許文献１を参照）。 With respect to CAN networks, techniques are known to determine whether the main message is legitimate. Each ECU counts the number of times a message has been transmitted for each CANID. The transmitting node and the receiving node prevent retransmission attacks by using a MAC (Message Authentication Code) (see, for example, Patent Document 1).

特開２０１３−９８７１９号公報JP, 2013-98719, A

ＣＡＮにおいて、或る通信ノード（ＥＣＵ）が悪意ある第３者によって別の通信ノード（ＥＣＵ）に置き換えられたとする。置き換えられた通信ノードからはＩＤを成りすましたメッセージが発信され、このメッセージは、全ての通信ノードに到達する。成りすましたＩＤが自装置で受け取るべきＩＤである通信ノードは、このメッセージを受信してしまい、その結果、意図しない動作を引き起こされる可能性がある。 In CAN, it is assumed that a communication node (ECU) is replaced by a malicious third party with another communication node (ECU). From the replaced communication node, a message with a spoofed ID is issued, and this message reaches all the communication nodes. A communication node whose spoofed ID is an ID to be received by its own device may receive this message, and as a result, may cause an unintended operation.

上記攻撃対策として、各通信ノードに自身が発信する可能性があるＩＤを登録しておき、受信データに含まれるＩＤと登録ＩＤを比較することが考えられる。他通信ノードから受信したメッセージに自身が発信する可能性があるＩＤが含まれている場合、他の通信ノードの何れかが不正な通信ノードに置き換わり、自身に成りすましていることを認識できる。 As measures against the attack, it is conceivable to register an ID that may be transmitted by the communication node itself to each communication node and compare the ID contained in the received data with the registered ID. If the message received from the other communication node includes an ID that it may transmit, it is possible to recognize that one of the other communication nodes is replaced with an unauthorized communication node and is spoofing itself.

複数の通信ノードが同一のＩＤを持つメッセージを発信する可能性があるＣＡＮにおいて、自身が発信する可能性があるメッセージと同一のＩＤを受信しても、通信ノードは、該メッセージを発信した通信ノードが正規のものか不正なものかを判定できない。 In CAN in which a plurality of communication nodes may transmit messages having the same ID, even if the same communication node receives the same ID as a message which may be transmitted by itself, the communication node transmits the messages. It can not be determined whether the node is legitimate or invalid.

本発明は１つの側面において、不正に置き換えられた通信ノードを検知する手法を提供することを目的とする。 An object of the present invention is, in one aspect, to provide a method for detecting an illegally replaced communication node.

複数の通信ノードは、それぞれ予め設定されたＩＤを付したメッセージを発信する。中継装置は、前記通信ノードに対応して設けられ、対応する前記通信ノードから受信したメッセージをバスに送出するとともに、前記受信したメッセージを前記ＩＤ毎に計数する第１のカウンタを有する。管理装置は、前記バスに接続され、前記バスを介して前記通信ノードが発信したメッセージを受信するとともに、前記受信したメッセージを前記ＩＤ毎に計数する第２のカウンタを有し、前記第１及び前記第２のカウンタの値を取得し、ＩＤ毎に前記第１及び前記第２のカウンタの値を比較する比較部を備える。 A plurality of communication nodes each transmit a message with an ID set in advance. The relay device is provided corresponding to the communication node, has a first counter that sends a message received from the corresponding communication node to the bus and counts the received message for each ID. The management device has a second counter connected to the bus, receives a message transmitted by the communication node via the bus, and counts the received message for each ID, A comparison unit is provided that acquires the value of the second counter and compares the values of the first and second counters for each ID.

本発明によれば、不正に置き換えられた通信ノードを検知することができる。 According to the present invention, it is possible to detect an illegally replaced communication node.

検知器を備えた複数のＥＣＵを含むＣＡＮの例を説明する図である。It is a figure explaining the example of CAN including a plurality of ECUs provided with a detector. 本実施形態に係るシステムの例を説明する図である。It is a figure explaining the example of the system concerning this embodiment. 本実施形態に係るシステムの例を説明する図である。It is a figure explaining the example of the system concerning this embodiment. 本実施形態に係るシステムの例を説明する図である。It is a figure explaining the example of the system concerning this embodiment. ハードウェア構成の例を説明する図である。It is a figure explaining the example of hardware constitutions. 異なるＥＣＵが同一のＩＤを含むメッセージを送信するシステムにおける本実施形態に係る子機と親機の処理の具体的な例を説明する図The figure explaining the concrete example of processing of the child machine and the master machine concerning this embodiment in the system in which different ECUs transmit the message containing the same ID. 本実施形態に係る親機の処理の例を説明するフローチャートである。It is a flowchart explaining the example of processing of the main phone concerning this embodiment. 本実施形態に係る子機の処理の例を説明するフローチャートである。It is a flow chart explaining an example of processing of a child machine concerning this embodiment. 子機と接続されたＥＣＵが不正に置き換えられた場合の子機と親機処理の例を説明する図である。It is a figure explaining an example of a child machine and a parent machine processing when ECU connected with a child machine is replaced illegally.

以下、図面を参照しながら、実施形態を詳細に説明する。
図１は、検知器を備えた複数のＥＣＵを含むＣＡＮの例を説明する図である。システム１００１は、ＣＡＮ１０１とＥＣＵ１１１（１１１ａ〜１１１ｆ）を含む。ＥＣＵ１１１ａ〜１１１ｆの各々は、ＣＡＮ１０１で接続されている。ＥＣＵ同士は、ＣＡＮ１０１を介してメッセージの送受信をすることができる。ＥＣＵ１１１ａ〜１１１ｆの各々は、ＣＡＮ１０１に接続されるインターフェースに検知器１１２ａ（ＥＣＵ１１１ａに対応）〜１１２ｆ（ＥＣＵ１１１ｆに対応）を備える。検知器は、ＥＣＵが送信するメッセージのＩＤを、ホワイトリストとして保持している。ここで、ＥＣＵの各々は、複数種類のメッセージが送信可能であり、種類毎のメッセージに対応したＩＤが設定される。なお、システム１００１内で異なるＥＣＵが同一のＩＤを持つメッセージを送信することはないものとする。検知器は、自ＥＣＵが送信する可能性のある複数種類のメッセージのＩＤの何れかを含むメッセージを受信した場合に、異常を検知する。また、検知器は、ＥＣＵが送信する可能性のある複数種類のメッセージのＩＤの何れかを含むメッセージを受信した場合に、システム１００１に異常があることを検知できる。 Hereinafter, embodiments will be described in detail with reference to the drawings.
FIG. 1 is a diagram for explaining an example of a CAN including a plurality of ECUs equipped with a detector. The system 1001 includes the CAN 101 and the ECUs 111 (111a to 111f). Each of the ECUs 111 a to 111 f is connected by the CAN 101. The ECUs can send and receive messages via the CAN 101. Each of the ECUs 111a to 111f includes detectors 112a (corresponding to the ECU 111a) to 112f (corresponding to the ECU 111f) in the interface connected to the CAN 101. The detector holds the IDs of the messages sent by the ECU as a white list. Here, each of the ECUs can transmit a plurality of types of messages, and an ID corresponding to each type of message is set. Note that different ECUs in the system 1001 do not transmit messages having the same ID. The detector detects an abnormality when it receives a message including any one of the IDs of a plurality of types of messages that its own ECU may transmit. In addition, the detector can detect that there is an abnormality in the system 1001 when receiving a message including any one of the IDs of a plurality of types of messages that the ECU may transmit.

システム１００２は、システム１００１のＥＣＵ１１１ｂが、何者かによって不正にＥＣＵ１１１ｇに置き換えられたシステムの例である。システム１００２におけるＣＡＮ１０１、ＥＣＵ１１１ａ、ＥＣＵ１１１ｃ〜１１１ｆはシステム１００１と同じものである。ＥＣＵ１１１ｇには、ＥＣＵ１１１ａが送信する可能性のある複数種類のメッセージのＩＤの何れかを含むメッセージを送信する。ＥＣＵ１１１ｇがメッセージを送信すると、該メッセージは、ＥＣＵ１１１ａ、ＥＣＵ１１１ｃ〜１１１ｆに到達する。すると、ＥＣＵ１１１ａの検知器１１２ａは、自ＥＣＵ１１１ａが送信する可能性のある複数種類のメッセージのＩＤの何れかを含むメッセージを受信するため、異常を検知できる。 The system 1002 is an example of a system in which the ECU 111 b of the system 1001 has been illegally replaced by the ECU 111 g. The CAN 101, the ECU 111a, and the ECUs 111c to 111f in the system 1002 are the same as the system 1001. The ECU 111 g transmits a message including any one of the IDs of a plurality of types of messages that the ECU 111 a may transmit. When the ECU 111 g transmits a message, the message reaches the ECU 111 a and the ECUs 111 c to 111 f. Then, the detector 112a of the ECU 111a can detect an abnormality because it receives a message including any one of the IDs of a plurality of types of messages that may be transmitted by the ECU 111a.

図１のシステム１００２において、ＥＣＵ１１１ａは、自身が送信する可能性のある複数種類のメッセージのＩＤの何れかを含むメッセージを受信することで、システム１００２内の何れかのＥＣＵ１１１が何者かによって置き換えられていることを検知できる。一方、図１のシステム１００２において、何れかのＥＣＵ１１１が何者かによって置き換えられていることは検知可能であるものの、どのＥＣＵ１１１（以下、「通信ノード」とも称す）が置き換えられたかまでは特定できない。また、図１のシステム１００１は、異なるＥＣＵが同一のＩＤを持つメッセージを送信することがないという前提の元で動作する。システム１００１は、異なるＥＣＵが同一のＩＤを持つメッセージを送信する場合、機能しない。 In the system 1002 of FIG. 1, the ECU 111 a receives a message including any of the IDs of a plurality of types of messages that it may transmit, thereby replacing any ECU 111 in the system 1002 by someone. Can be detected. On the other hand, although it is detectable in the system 1002 of FIG. 1 that any one of the ECUs 111 has been replaced by someone, it can not be specified until which of the ECUs 111 (hereinafter also referred to as “communication node”) has been replaced. Also, the system 1001 of FIG. 1 operates under the premise that different ECUs do not transmit messages having the same ID. The system 1001 does not function when different ECUs transmit messages with the same ID.

車内ネットワーク（ＣＡＮ）において、ＥＣＵの不正な置き換えや、改竄される脅威が存在する。これらの脅威に対しては、ＥＣＵ同士が認証を行うことで解決する方法も考えうる。しかし、ＥＣＵ同士が認証を行うためには、認証用の機能を備えるようにＥＣＵを改造することになり、ＣＡＮに対してそのまま適用できない。ＥＣＵを改造しないでも、これらの脅威に対抗できる車内ネットワークが求められる。 In the in-vehicle network (CAN), there are unauthorized replacement of ECUs and threats to be tampered with. It is also conceivable to solve these threats by performing authentication between ECUs. However, in order for the ECUs to perform authentication, the ECUs are modified so as to have an authentication function, and can not be applied to CAN as it is. There is a need for an in-vehicle network that can counter these threats without modifying the ECU.

そこで本発明では、親機と複数の子機とをＣＡＮで接続し、各子機１個につき１個のＥＣＵを接続する。子機は、対応して接続された（予め登録された）ＥＣＵからのデータだけをＣＡＮ側に通過させる。子機には、対応して接続されたＥＣＵが送信するメッセージに対応したＩＤのホワイトリストが登録される。更に、該子機は、カウンタ及びカウンタ制御部を備える。カウンタは、ホワイトリストに保持しているＩＤ毎のカウント数を記憶する。子機のカウンタ制御部は、対応したＥＣＵからメッセージを受信した場合、メッセージに含まれるＩＤに対応するカウンタをインクリメントする。親機は、ＣＡＮに接続されている全てのＥＣＵが送信するメッセージに含まれる可能性のあるＩＤのホワイトリストが登録される。更に、親機には、ホワイトリストに登録されている全てのＩＤ毎にカウンタを保持する。親機内のカウンタ制御部は、受信したメッセージに含まれるＩＤに対応するカウンタをインクリメントする。子機は、カウンタの何れかのＩＤの値が所定の値に達した場合、該ＩＤ情報を親機に通知する。親機は、通知されたＩＤと自身が持つ同ＩＤのカウンタの値が所定の値に達していなければ、「異常」ありと判定し、ユーザに通知することができる。このようにすることで、子機に接続されていないＥＣＵから攻撃メッセージが送信された場合で、かつ、子機に接続された何れかのＥＣＵが送信する可能性のあるＩＤを用いた攻撃メッセージであっても、異常を検知できる。また、親機は、該ＩＤを用いて、異常なＩＤを含むメッセージを送信するＥＣＵを特定することができる。 Therefore, in the present invention, a master unit and a plurality of slave units are connected by CAN, and one ECU is connected to each slave unit. The slave unit passes only data from the correspondingly connected (pre-registered) ECU to the CAN side. In the slave unit, a whitelist of IDs corresponding to messages transmitted by the corresponding connected ECUs is registered. Furthermore, the slave includes a counter and a counter control unit. The counter stores the count number for each ID held in the white list. When receiving the message from the corresponding ECU, the counter control unit of the slave increments the counter corresponding to the ID included in the message. In the parent device, a whitelist of IDs that may be included in messages transmitted by all ECUs connected to CAN is registered. Further, the master holds a counter for every ID registered in the white list. The counter control unit in the master unit increments a counter corresponding to the ID included in the received message. The slave unit notifies the master unit of the ID information when the value of any ID of the counter reaches a predetermined value. If the notified ID and the value of the counter of the same ID possessed by the parent device have not reached a predetermined value, it can be judged as “abnormal” and notified to the user. By doing this, when an attack message is transmitted from an ECU not connected to a child device, an attack message using an ID that any of the ECUs connected to the child device may transmit Even in this case, an abnormality can be detected. Also, the master unit can use the ID to specify an ECU that transmits a message including an abnormal ID.

図２Ａ〜図２Ｃは、本実施形態に係るシステムの例を説明する図である。システム２０００は、ＣＡＮ２１０、ＥＣＵ２０１（２０１ａ〜２０１ｆ）、子機２０２（２０２ａ〜２０２ｆ）、親機２２０を含む。子機の各々はＣＡＮ２１０で接続されている。ＣＡＮ２１０は、例えば、ＣＡＮバスである。また、親機２２０も子機とＣＡＮ２１０を介して通信可能に接続されている。ＥＣＵ２０１a〜２０１ｆは、子機２０２ａ（ＥＣＵ２０１ａと対応）〜２０２ｆ（ＥＣＵ２０１ｆと対応）と対応付けられており、ＣＡＮ２１０を介して通信可能に接続されている。子機２０２は、ＥＣＵ２０１と1対１でＣＡＮ２１０を介して通信可能に接続される。 2A to 2C are diagrams for explaining an example of a system according to the present embodiment. The system 2000 includes a CAN 210, an ECU 201 (201 a to 201 f), a child device 202 (202 a to 202 f), and a parent device 220. Each slave unit is connected by CAN 210. The CAN 210 is, for example, a CAN bus. Also, the parent device 220 is communicably connected to the child device via the CAN 210. The ECUs 201a to 201f are associated with the child devices 202a (corresponding to the ECU 201a) to 202f (corresponding to the ECU 201f), and are communicably connected via the CAN 210. The slave unit 202 is communicably connected to the ECU 201 on a one-on-one basis via the CAN 210.

図２Ｂには、図２Ａのシステム２０００に含まれる親機２２０、子機２０２ｂの機能部が示されている。子機２０２ｂは、ＣＡＮトランシーバ２３１、ＣＡＮトランシーバ２３２、カウンタ制御部２３３、記憶部２３４を備える。なお、子機２０２ａ〜２０２ｆの各々は、子機２０２ｂと同様である。ＣＡＮトランシーバ２３１は、子機２０２ｂが他の子機、親機２２０とＣＡＮ２１０を介して通信をする際に使用される通信インターフェースである。ＣＡＮトランシーバ２３２は、子機２０２ｂが自身に対応付けて設定されるＥＣＵ２０１ｂと通信をする際に使用される通信インターフェースである。記憶部２３４は、ＥＣＵ２０１ｂが送信する可能性のある複数種類のメッセージのＩＤをホワイトリスト２３５として記憶する。ホワイトリスト２３５は、子機２０２と１対１で予め設置されたＥＣＵが送信するメッセージに対応したＩＤが登録されている。更に記憶部２３４は、カウンタ２３６を備える。カウンタ２３６は、ホワイトリスト２３５に登録されたＩＤを含むメッセージを子機２０２ｂが受信した回数を示す受信回数を記憶する。カウンタ制御部２３３は、ホワイトリスト２３５に登録されたＩＤを含むメッセージを子機２０２ｂが受信した回数を実際にカウントし、カウンタ２３６に反映する。なお、ＥＣＵ２０１ｂからのメッセージは、子機２０２ｂを経由して、ＣＡＮ２１０側にブロードキャストで配信されるものとする。 In FIG. 2B, functional units of a parent device 220 and a child device 202b included in the system 2000 of FIG. 2A are shown. The slave unit 202 b includes a CAN transceiver 231, a CAN transceiver 232, a counter control unit 233, and a storage unit 234. Each of the slaves 202a to 202f is the same as the slave 202b. The CAN transceiver 231 is a communication interface used when the slave device 202 b communicates with another slave device, the master device 220, via the CAN 210. The CAN transceiver 232 is a communication interface used when the slave device 202b communicates with the ECU 201b set in association with itself. The storage unit 234 stores, as a white list 235, IDs of a plurality of types of messages that the ECU 201b may transmit. In the whitelist 235, an ID corresponding to a message transmitted by the ECU installed in advance in a one-to-one relationship with the slave device 202 is registered. The storage unit 234 further includes a counter 236. The counter 236 stores the number of receptions indicating the number of times the handset 202 b receives a message including the ID registered in the white list 235. The counter control unit 233 actually counts the number of times the handset 202 b receives a message including the ID registered in the white list 235, and reflects the count on the counter 236. Note that the message from the ECU 201 b is broadcasted to the CAN 210 via the slave device 202 b.

親機２２０は、ＣＡＮトランシーバ２２１、カウンタ制御部２２２、記憶部２２３を備える。ＣＡＮトランシーバ２２１は、子機２０２ａ〜２０２ｆとＣＡＮ２１０を介して通信をする際に使用される通信インターフェースである。記憶部２２３は、システム２０００内の全てのＥＣＵが送信してくる可能性のあるメッセージに含まれるＩＤを全てホワイトリスト２２４として記憶する。記憶部２２３は、ホワイトリスト２２４内においてメッセージに含まれるＩＤと該ＩＤを送信してくる子機（ＥＣＵ）を識別する識別情報（子機ＩＤ）とを対応付けて記憶する。更に記憶部２２３は、カウンタ２２５を備える。カウンタ２２５は、ホワイトリスト２２４に登録されたＩＤを含むメッセージを親機２２０が受信した回数を示す受信回数を記憶する。カウンタ制御部２２２は、ホワイトリスト２２４に登録されたＩＤを含むメッセージを親機２２０が受信した回数を実際にカウントし、カウンタ２２５に反映する。 The parent device 220 includes a CAN transceiver 221, a counter control unit 222, and a storage unit 223. The CAN transceiver 221 is a communication interface used when communicating with the slaves 202 a to 202 f via the CAN 210. The storage unit 223 stores, as a white list 224, all the IDs included in messages that may be transmitted by all the ECUs in the system 2000. The storage unit 223 stores the ID included in the message in the white list 224 in association with identification information (child device ID) for identifying a child device (ECU) that sends the ID. The storage unit 223 further includes a counter 225. The counter 225 stores the number of receptions indicating the number of times the parent device 220 has received a message including the ID registered in the whitelist 224. The counter control unit 222 actually counts the number of times the parent device 220 has received a message including the ID registered in the white list 224, and reflects the number on the counter 225.

以下に、本実施形態に係る親機２２０と子機２０２ｂの処理の例を順に説明する。 Hereinafter, an example of processing of the parent device 220 and the child device 202b according to the present embodiment will be described in order.

（Ａ１）ＥＣＵ２０１ｂから子機２０２ｂに対してメッセージが送信される。 (A1) A message is transmitted from the ECU 201b to the child device 202b.

（Ａ２）子機２０２ｂのＣＡＮトランシーバ２３２は、ＥＣＵ２０１ｂからのメッセージを受信する。 (A2) The CAN transceiver 232 of the child device 202b receives a message from the ECU 201b.

（Ａ３）子機２０２ｂのカウンタ制御部２３２は、受信したメッセージに含まれるＩＤが記憶部２３４に保持されているホワイトリスト２３５に含まれているか否かを判定する。ここではＥＣＵ２０１ｂは、未だ不正にＥＣＵ２０１´に置き換えられていないものとする。ＥＣＵ２０１ｂから受信したメッセージに含まれるＩＤがホワイトリスト２３５に保持されていると判定すると、カウンタ制御部２３３は、カウンタ２３６内の受信したメッセージに含まれるＩＤに対応する受信回数に１をインクリメントする。この場合、子機２０２ｂに接続されているＥＣＵ２０１ｂは、正しいＩＤを送信していると考えられる。 (A3) The counter control unit 232 of the slave unit 202b determines whether the ID included in the received message is included in the white list 235 stored in the storage unit 234. Here, it is assumed that the ECU 201 b has not been illegally replaced with the ECU 201 ′. If it is determined that the ID included in the message received from the ECU 201 b is held in the white list 235, the counter control unit 233 increments the number of receptions corresponding to the ID included in the received message in the counter 236 by one. In this case, the ECU 201b connected to the child device 202b is considered to be transmitting the correct ID.

（Ａ４）（Ａ３）の処理と並列して、ＣＡＮトランシーバ２３１は、ＣＡＮトランシーバ２３２が受信したＥＣＵ２０１ｂからのメッセージをブロードキャストでＣＡＮ２１０側に送信する。 (A4) In parallel with the processing of (A3), the CAN transceiver 231 broadcasts a message from the ECU 201b received by the CAN transceiver 232 to the CAN 210 side.

（Ａ５）親機２２０のＣＡＮトランシーバ２２１は、子機２０２ｂを介したＥＣＵ２０１ｂからのメッセージを受信する。 (A5) The CAN transceiver 221 of the parent device 220 receives a message from the ECU 201b via the child device 202b.

（Ａ６）親機２２０のカウンタ制御部２２２は、受信したメッセージに含まれるＩＤが記憶部２２３に保持されているホワイトリスト２２４に含まれているか否かを判定する。ＥＣＵ２０１ｂは、未だ不正にＥＣＵ２０１´に置き換えられていないものとする。ＥＣＵ２０１ｂから送信されたメッセージに含まれるＩＤがホワイトリスト２２４に保持されていると判定すると、カウンタ制御部２２２は、カウンタ２２５内の受信したメッセージに含まれるＩＤに対応する受信回数に１をインクリメントする。 (A6) The counter control unit 222 of the parent device 220 determines whether the ID included in the received message is included in the white list 224 stored in the storage unit 223. It is assumed that the ECU 201 b has not been illegally replaced by the ECU 201 ′. If it is determined that the ID included in the message transmitted from the ECU 201b is held in the white list 224, the counter control unit 222 increments the reception count corresponding to the ID included in the received message in the counter 225 by one. .

（Ａ７）ＥＣＵ２０１ｂからメッセージが送信される毎に、（Ａ２）〜（Ａ６）の処理が繰り返し実行される。子機２０２ｂと親機２２０は、各々が受信したメッセージに含まれるＩＤに対応する受信回数をカウントする。子機２０２ｂのカウンタ２３６におけるＩＤ毎の受信回数の値は、親機２２０のカウンタ２２５における子機２０２ｂのメッセージＩＤに対応する受信回数の値とは同じ値である。 (A7) Every time a message is transmitted from the ECU 201b, the processes of (A2) to (A6) are repeatedly executed. The slave 202 b and the master 220 count the number of times of reception corresponding to the ID included in the message received by each. The value of the number of receptions for each ID in the counter 236 of the slave unit 202b is the same value as the value of the number of receptions corresponding to the message ID of the slave unit 202b in the counter 225 of the master unit 220.

（Ａ８）子機２０２ｂのカウンタ制御部２３４は、カウンタ２２５内の受信回数の何れかが所定の値（例えば１０回）に達しているか否かを判定する。受信回数が所定の値を超えているメッセージのＩＤがある場合、カウンタ制御部２３４の制御により、ＣＡＮトランシーバ２３１は、所定の値を超えているメッセージのＩＤを含む通知用メッセージを親機２２０に通知する。この通知メッセージは暗号化されていることもある。併せて、カウンタ制御部２３４は、受信回数が所定の値を超えているメッセージのＩＤに対応する受信回数をリセットする。 (A8) The counter control unit 234 of the slave unit 202b determines whether or not any of the reception counts in the counter 225 has reached a predetermined value (for example, ten times). If there is an ID of a message for which the number of receptions exceeds a predetermined value, the CAN transceiver 231 sends a notification message including the ID of the message exceeding the predetermined value to the parent device 220 under the control of the counter control unit 234. Notice. This notification message may be encrypted. At the same time, the counter control unit 234 resets the number of receptions corresponding to the ID of the message whose number of receptions exceeds the predetermined value.

（Ａ９）親機２２０のＣＡＮトランシーバ２２１は、子機２０２ｂから通知用メッセージを受信する。親機２２０のカウンタ制御部２２２は、通知用メッセージに含まれるメッセージＩＤ（子機２０２側でメッセージの受信回数が所定の回数に達したメッセージのＩＤ）に対応する受信回数を確認する。カウンタ２２５内の通知用メッセージに含まれるメッセージＩＤに対応する受信回数が所定の値である場合、カウンタ制御部２２２は、該メッセージＩＤに対応する受信回数をリセットする。 (A9) The CAN transceiver 221 of the parent device 220 receives the notification message from the child device 202b. The counter control unit 222 of the parent device 220 checks the number of receptions corresponding to the message ID (ID of the message for which the number of receptions of messages has reached a predetermined number on the side of the child device 202) included in the notification message. When the number of receptions corresponding to the message ID included in the notification message in the counter 225 is a predetermined value, the counter control unit 222 resets the number of receptions corresponding to the message ID.

このように、ＥＣＵ２０１に問題がないシステムでは、親機２２０側のメッセージの受信回数と子機２０２側のメッセージの受信回数が同じである。子機２０２と親機２２０側の受信回数が所定の値に達するタイミングも同じタイミングである。 As described above, in a system in which there is no problem in the ECU 201, the number of times of message reception on the side of the master unit 220 and the number of times of reception of messages on the side of the slave unit 202 are the same. The timing when the number of receptions on the side of the slave unit 202 and the master unit 220 reaches a predetermined value is also the same timing.

ここで、ＥＣＵ２０１ａと子機２０２ａとが不正なＥＣＵ２０１´に交換されたものとする。図３Ｃは、ＥＣＵ２０１ａと子機２０２ａとが不正なＥＣＵ２０１´に交換されたシステムの例である。ＥＣＵ２０１´は、ＥＣＵ２０１ａが送信しないメッセージのＩＤで、且つ、ＥＣＵ２０１ｂが送信するメッセージのＩＤを含むメッセージを送信することができる。言い換えると、ＥＣＵ２０１´は、ＥＣＵ２０１ｂに成りすましてメッセージを送信可能な通信ノードである。 Here, it is assumed that the ECU 201a and the child device 202a are replaced with an invalid ECU 201 '. FIG. 3C is an example of a system in which the ECU 201a and the child device 202a are replaced with an incorrect ECU 201 '. The ECU 201 ′ can transmit a message including an ID of a message that the ECU 201a does not transmit, and an ID of a message that the ECU 201b transmits. In other words, the ECU 201 'is a communication node capable of spoofing the ECU 201b and transmitting a message.

（Ｂ１）不正なＥＣＵ２０１´は、ブロードキャストでＥＣＵ２０１ｂに成りすましてメッセージを送信する。 (B1) The unauthorized ECU 201 'transmits a message by spoofing the ECU 201b by broadcast.

（Ｂ２）親機２２０のＣＡＮトランシーバ２２１は、ＥＣＵ２０１´からのメッセージを受信する。 (B2) The CAN transceiver 221 of the parent device 220 receives a message from the ECU 201 '.

（Ｂ３）親機２２０のカウンタ制御部２２２は、受信したメッセージに含まれるＩＤが記憶部２２３に保持されているホワイトリスト２２４に含まれているか否かを判定する。ＥＣＵ２０１´がＥＣＵ２０１ｂに成りすましてメッセージを送信しているため、カウンタ制御部２２２は、ＥＣＵ２０１´から受信したメッセージに含まれるＩＤがホワイトリスト２２４に保持されていると判定する。カウンタ制御部２２２は、カウンタ２２５内の受信したメッセージに含まれるＩＤに対応する受信回数に１をインクリメントする。 (B3) The counter control unit 222 of the parent device 220 determines whether the ID included in the received message is included in the white list 224 stored in the storage unit 223. Since the ECU 201 ′ spoofs the ECU 201 b and transmits a message, the counter control unit 222 determines that the ID included in the message received from the ECU 201 ′ is held in the white list 224. The counter control unit 222 increments the number of receptions corresponding to the ID included in the received message in the counter 225 by one.

（Ｂ４）ＥＣＵ２０１´によるメッセージ送信と、ＥＣＵ２０１ｂ〜２０１ｆによるメッセージ送信がシステム２０００内で実行され続ける。すると、ＥＣＵ２０１´によるメッセージ送信により、親機２２０内のカウンタ２２５内の受信回数がインクリメントされていく。また、ＥＣＵ２０１ｂによるメッセージ送信により、子機２０２と親機２２０内のカウンタの受信回数がインクリメントされていく。 (B4) The message transmission by the ECU 201 'and the message transmission by the ECUs 201b to 201f continue to be executed in the system 2000. Then, the number of receptions in the counter 225 in the parent device 220 is incremented by the message transmission by the ECU 201 '. Further, the number of receptions of the counters in the slave unit 202 and the master unit 220 is incremented by the message transmission by the ECU 201 b.

（Ｂ５）子機２０２ｂのカウンタ制御部２３４は、カウンタ２２５内の受信回数の何れかが所定の値（例えば１０回）に達しているか否かを判定する。受信回数が所定の値を超えているメッセージのＩＤがある場合、カウンタ制御部２３４の制御により、ＣＡＮトランシーバ２３１は、所定の値を超えているメッセージのＩＤを含む通知用メッセージを親機２２０に通知する。併せて、カウンタ制御部２３４は、受信回数が所定の値を超えているメッセージのＩＤに対応する受信回数をリセットする。 (B5) The counter control unit 234 of the slave device 202b determines whether or not any of the reception numbers in the counter 225 has reached a predetermined value (for example, 10 times). If there is an ID of a message for which the number of receptions exceeds a predetermined value, the CAN transceiver 231 sends a notification message including the ID of the message exceeding the predetermined value to the parent device 220 under the control of the counter control unit 234. Notice. At the same time, the counter control unit 234 resets the number of receptions corresponding to the ID of the message whose number of receptions exceeds the predetermined value.

（Ｂ６）親機２２０のＣＡＮトランシーバ２２１は、子機２０２ｂから通知用メッセージを受信する。親機２２０のカウンタ制御部２２２は、通知用メッセージに含まれるメッセージＩＤ（子機２０２側でメッセージの受信回数が所定の回数に達したメッセージのＩＤ）に対応する受信回数を確認する。親機２２０の受信回数は、ＥＣＵ２０１´からのメッセージの受信回数と、ＥＣＵ２０１ｂからのメッセージの受信回数との値を合算した値となっている。カウンタ２２５内の通知用メッセージに含まれるメッセージＩＤに対応する受信回数は、所定の値（例えば１０）ではない。カウンタ制御部２２２は、不正なＥＣＵ２０１があると判定し、ユーザに通知する。 (B6) The CAN transceiver 221 of the parent device 220 receives the notification message from the child device 202b. The counter control unit 222 of the parent device 220 checks the number of receptions corresponding to the message ID (ID of the message for which the number of receptions of messages has reached a predetermined number on the side of the child device 202) included in the notification message. The reception frequency of the parent device 220 is a value obtained by adding the value of the reception frequency of the message from the ECU 201 ′ and the reception frequency of the message from the ECU 201b. The number of receptions corresponding to the message ID included in the notification message in the counter 225 is not a predetermined value (for example, 10). The counter control unit 222 determines that there is an unauthorized ECU 201 and notifies the user.

子機２０２と親機２２０とで夫々カウンタを備え、メッセージの受信回数をカウントすることで、親機２２０は、不正なＥＣＵ２０１´が設置されたことを検知することができる。親機２２０のカウンタ制御部２２２は、画面などに不正に置き換えられたＥＣＵ２０１´が存在することなどを表示させ、ユーザに対して異常を通知してもよい。又、親機２２０のカウンタ制御部２２２は、システム２０００外のシステムに対して、不正に置き換えられたＥＣＵ２０１´があることを通知してもよい。なお、システム２０００では、子機２０２と親機２２０と記載しているものの、子機２０２を、「中継装置」、親機２２０を中継装置及びＥＣＵを管理する「管理装置」と称してもよい。 The slave unit 202 and the master unit 220 respectively have counters, and by counting the number of times of reception of the message, the master unit 220 can detect that the unauthorized ECU 201 'is installed. The counter control unit 222 of the parent device 220 may display, for example, the presence of the ECU 201 ′ that has been illegally replaced on a screen or the like, and notify the user of an abnormality. Further, the counter control unit 222 of the parent device 220 may notify a system outside the system 2000 that there is an incorrectly substituted ECU 201 ′. In the system 2000, although the child device 202 and the parent device 220 are described, the child device 202 may be referred to as a "relaying device", and the parent device 220 may be referred to as a "management device" that manages relay devices and ECUs. .

図３は、ハードウェア構成の例を説明する図である。親機２２０、子機２０２のいずれも、図３に示すハードウェアによって実現される。子機２０２は、ＣＡＮトランシーバ３０１、ＣＡＮコントローラ３０２、処理回路３０３を含む。処理回路３０３は、プロセッサ３０４とメモリ３０５を備える。 FIG. 3 is a diagram for explaining an example of the hardware configuration. Both the parent device 220 and the child device 202 are realized by the hardware shown in FIG. The slave unit 202 includes a CAN transceiver 301, a CAN controller 302, and a processing circuit 303. The processing circuit 303 includes a processor 304 and a memory 305.

ＣＡＮトランシーバ３０１は、子機２０２がＣＡＮネットワークを介して他の装置と通信するための処理を行う。ＣＡＮコントローラ３０２は、受信したメッセージ内のデータやＩＤなどを抽出する。ＣＡＮコントローラ３０２は、データをプロセッサ３０４に出力する。プロセッサ３０４は、任意の処理回路である。プロセッサは、メモリ３０５に格納されたプログラムを読み込み、処理を行う。 The CAN transceiver 301 performs processing for the slave device 202 to communicate with other devices via the CAN network. The CAN controller 302 extracts data, an ID and the like in the received message. The CAN controller 302 outputs data to the processor 304. Processor 304 is an optional processing circuit. The processor reads a program stored in the memory 305 and performs processing.

親機２２０において、ＣＡＮトランシーバ２２１は、ＣＡＮトランシーバ３０１とＣＡＮコントローラ３０２で実現される。プロセッサ３０４は、カウンタ制御部２２２として動作する。メモリ３０５は、記憶部２２３として動作する。 In parent device 220, CAN transceiver 221 is realized by CAN transceiver 301 and CAN controller 302. The processor 304 operates as a counter control unit 222. The memory 305 operates as the storage unit 223.

子機２０２のＣＡＮトランシーバ２３１とＣＡＮトランシーバ２３２は、ＣＡＮトランシーバ３０１とＣＡＮコントローラ３０２で実現される。プロセッサ３０４は、カウンタ制御部２３３として動作する。メモリ３０５は、記憶部２３４として動作する。なお、上記では子機のカウンタが一定値に達した場合に親機に対して通知するが、親機のカウンタが一定値に達した時点で子機に対してカウンタ値を要求する、あるいは、一定値であることを確認させる形でもよい。あるいは、親機にてカウンタが一定値に到達した時点で子機からの通知が無い場合に異常を検知したと判断しても良い。また、子機にはホワイトリストを持たず、単にID毎にカウントし、一定時間毎に親機に送信し、親機にて整合性チェックをしてもよい。 The CAN transceiver 231 and the CAN transceiver 232 of the slave unit 202 are realized by the CAN transceiver 301 and the CAN controller 302. The processor 304 operates as a counter control unit 233. The memory 305 operates as the storage unit 234. In the above description, the base unit is notified when the counter of the slave unit reaches a certain value, but when the counter of the master unit reaches a certain value, the counter value is requested to the slave unit, or It may be in the form of confirming that it is a constant value. Alternatively, it may be determined that an abnormality is detected when there is no notification from the slave when the counter reaches a predetermined value in the master. Also, the child device does not have a white list, but may be simply counted for each ID, transmitted to the parent device at regular time intervals, and checked for consistency at the parent device.

＜異なるＥＣＵが同一のＩＤを含むメッセージを送信しないシステムを用いた具体例＞
図２Ｂと図２Ｃを用いて異なるＥＣＵが同一のＩＤを含むメッセージを送信しないシステムにおける本実施形態に係る子機２０２と親機２２０の処理の具体的な例を説明する。ＥＣＵ２０１ｂは、０ｘ１２３、０ｘ４５６、０ｘ７８９の３つのＩＤの何れかを含めてメッセージを送信するものとする。ＥＣＵ２０１ａは、０ｘ２２２、０ｘ３３３の２つのＩＤの何れかを含めてメッセージを送信するものとする。親機２２０のホワイトリスト２２４と子機２０２のホワイトリスト２３５は、夫々、０ｘ１２３、０ｘ４５６、０ｘ７８９をＥＣＵから送信する可能性のあるＩＤとして記憶する。親機２２０のカウンタ２２５と子機２０２ｂのカウンタ２３６は、夫々、０ｘ１２３、０ｘ４５６、０ｘ７８９に対応する受信回数を記憶する。以下に、異なるＥＣＵが同一のＩＤを含むメッセージを送信しないシステムにおける本実施形態に係る子機２０２と親機２２０の処理を、具体例を用いて順に説明する。 <A specific example using a system in which different ECUs do not send messages containing the same ID>
A specific example of processing of the child device 202 and the parent device 220 according to the present embodiment in a system in which different ECUs do not transmit a message including the same ID will be described using FIGS. 2B and 2C. The ECU 201 b transmits a message including any one of three IDs of 0x123, 0x456, and 0x789. The ECU 201a transmits a message including one of two IDs of 0x222 and 0x333. The white list 224 of the master unit 220 and the white list 235 of the slave unit 202 store 0x123, 0x456, and 0x789, respectively, as IDs that may be transmitted from the ECU. The counter 225 of the master unit 220 and the counter 236 of the slave unit 202b store the number of receptions corresponding to 0x123, 0x456, and 0x789, respectively. Hereinafter, processing of the child device 202 and the parent device 220 according to the present embodiment in a system in which different ECUs do not transmit messages including the same ID will be sequentially described using a specific example.

（Ｃ１）ＥＣＵ２０１ｂから子機２０２ｂに対して０ｘ１２３のＩＤを含むメッセージが送信される。 (C1) A message including an ID of 0x123 is transmitted from the ECU 201b to the child device 202b.

（Ｃ２）子機２０２ｂのＣＡＮトランシーバ２３２は、ＥＣＵ２０１ｂからのメッセージを受信する。 (C2) The CAN transceiver 232 of the child device 202b receives the message from the ECU 201b.

（Ｃ３）子機２０２ｂのカウンタ制御部２３２は、受信したメッセージに含まれるＩＤが記憶部２３４に保持されているホワイトリスト２３５に含まれているか否かを判定する。ホワイトリスト２３５は、受信したメッセージに含まれるＩＤである０ｘ１２３を保持している。カウンタ制御部２３３は、カウンタ２３６内の受信したメッセージに含まれるＩＤ（０ｘ１２３）に対応する受信回数に１をインクリメントする。 (C3) The counter control unit 232 of the slave unit 202b determines whether the ID included in the received message is included in the white list 235 stored in the storage unit 234. The whitelist 235 holds 0x123 which is an ID included in the received message. The counter control unit 233 increments the reception count corresponding to the ID (0x123) included in the received message in the counter 236 by one.

（Ｃ４）（Ｃ３）の処理と並列して、ＣＡＮトランシーバ２３１は、ＣＡＮトランシーバ２３２が受信したＥＣＵ２０１ｂからのメッセージをブロードキャストでＣＡＮ２１０側に送信する。 (C4) In parallel with the processing of (C3), the CAN transceiver 231 broadcasts a message from the ECU 201b received by the CAN transceiver 232 to the CAN 210 side.

（Ｃ５）親機２２０のＣＡＮトランシーバ２２１は、子機２０２ｂを介したＥＣＵ２０１ｂからのメッセージを受信する。 (C5) The CAN transceiver 221 of the parent device 220 receives a message from the ECU 201b via the child device 202b.

（Ｃ６）親機２２０のカウンタ制御部２２２は、受信したメッセージに含まれるＩＤ（０ｘ１２３）が記憶部２２３に保持されているホワイトリスト２２４に含まれているか否かを判定する。カウンタ制御部２２２は、ＥＣＵ２０１ｂから送信されたメッセージに含まれるＩＤ（０ｘ１２３）をホワイトリスト２２４に保持していると判定する。カウンタ制御部２２２は、カウンタ２２５内の受信したメッセージに含まれるＩＤ（０ｘ１２３）に対応する受信回数に１をインクリメントする。 (C6) The counter control unit 222 of the parent device 220 determines whether the ID (0x123) included in the received message is included in the white list 224 stored in the storage unit 223. The counter control unit 222 determines that the white list 224 holds the ID (0x123) included in the message transmitted from the ECU 201 b. The counter control unit 222 increments the number of receptions corresponding to the ID (0x123) included in the received message in the counter 225 by one.

（Ｃ７）（Ｃ１）〜（Ｃ６）の処理が５回繰り返されると、親機２２０のカウンタ２３６と子機２０２ｂのカウンタ２２５の０ｘ１２３のＩＤを含むメッセージの受信回数は５回となる。 (C7) When the processes of (C1) to (C6) are repeated five times, the number of receptions of the message including the ID of 0x123 of the counter 236 of the parent device 220 and the counter 225 of the child device 202b is five.

ここで、ＥＣＵ２０１ａと子機２０２ａとが不正なＥＣＵ２０１´に交換されたものとする。ＥＣＵ２０１´は、ＥＣＵ２０１ａが送信するメッセージ（０ｘ２２２、０ｘ３３３）とは異なるＩＤ（０ｘ１２３）のメッセージを送信するものとする。ＥＣＵ２０１´は、ＥＣＵ２０１ｂに成りすましてメッセージを送信可能な通信ノードである。 Here, it is assumed that the ECU 201a and the child device 202a are replaced with an invalid ECU 201 '. The ECU 201 ′ transmits a message of an ID (0x123) different from the message (0x222, 0x333) transmitted by the ECU 201a. The ECU 201 ′ is a communication node capable of spoofing the ECU 201b and transmitting a message.

（Ｃ８）不正なＥＣＵ２０１´は、ブロードキャストでＥＣＵ２０１ｂに成りすましてＩＤ０ｘ１２３を含むメッセージを送信する。 (C8) The unauthorized ECU 201 'spoofs the ECU 201b by broadcast and transmits a message including the ID 0x123.

（Ｃ９）親機２２０のＣＡＮトランシーバ２２１は、ＥＣＵ２０１´からのメッセージを受信する。 (C9) The CAN transceiver 221 of the parent device 220 receives the message from the ECU 201 ′.

（Ｃ１０）親機２２０のカウンタ制御部２２２は、受信したメッセージに含まれるＩＤ（０ｘ１２３）が記憶部２２３に保持されているホワイトリスト２２４に含まれているか否かを判定する。ＥＣＵ２０１´がＥＣＵ２０１ｂに成りすましてメッセージを送信しているため、カウンタ制御部２２２は、ＥＣＵ２０１´から受信したメッセージに含まれるＩＤ（０ｘ１２３）がホワイトリスト２２４に保持されていると判定する。カウンタ制御部２２２は、カウンタ２２５内の受信したメッセージに含まれるＩＤ（０ｘ１２３）に対応する受信回数に１をインクリメントする。その結果、親機２２０のカウンタ２３６内のＩＤ０ｘ１２３に対する受信回数は、６回と設定される。 (C10) The counter control unit 222 of the parent device 220 determines whether the ID (0x123) included in the received message is included in the white list 224 stored in the storage unit 223. Since the ECU 201 'spoofs the ECU 201b and transmits a message, the counter control unit 222 determines that the ID (0x123) included in the message received from the ECU 201' is held in the white list 224. The counter control unit 222 increments the number of receptions corresponding to the ID (0x123) included in the received message in the counter 225 by one. As a result, the number of receptions for ID 0x123 in the counter 236 of the parent device 220 is set to six.

（Ｃ１１）その後、ＥＣＵ２０１ｂから子機２０２ｂに対して０ｘ１２３のＩＤを含むメッセージが５回送信され、（Ｃ２）〜（Ｃ６）の処理が繰り返し実行される。すると、子機２０２のカウンタ２３６内のＩＤ０ｘ１２３に対する受信回数は１０回となる。親機２２０のカウンタ２２５内のＩＤ０ｘ１２３に対する受信回数は１１回となる。 (C11) After that, a message including an ID of 0x123 is transmitted five times from the ECU 201b to the child device 202b, and the processes of (C2) to (C6) are repeatedly executed. Then, the number of receptions for ID 0x123 in the counter 236 of the slave unit 202 is ten. The number of receptions for ID 0x123 in the counter 225 of the parent device 220 is 11 times.

（Ｃ１２）子機２０２ｂのカウンタ制御部２３４は、カウンタ２３５内のＩＤ０ｘ１２３の受信回数が所定の値（例えば１０回）に達したと判定する。カウンタ制御部２３４の制御により、ＣＡＮトランシーバ２３１は、所定の値を超えているメッセージのＩＤ（０ｘ１２３）を含む通知用メッセージ（例えば、通知用ＩＤ０ｘ７７７を含む）を親機２２０に通知する。なお、該通知用メッセージには、子機ＩＤ（例えば０ｘ１）などを含める。併せて、カウンタ制御部２３４は、受信回数が所定の値を超えているメッセージのＩＤ（０ｘ１２３）に対応する受信回数をリセットする。 (C12) The counter control unit 234 of the slave unit 202b determines that the number of times of reception of the ID 0x123 in the counter 235 has reached a predetermined value (for example, 10 times). Under the control of the counter control unit 234, the CAN transceiver 231 notifies the parent device 220 of a notification message (for example, including the notification ID 0x777) including the ID (0x123) of the message exceeding the predetermined value. The notification message includes a handset ID (for example, 0x1). At the same time, the counter control unit 234 resets the number of receptions corresponding to the ID (0x123) of the message whose number of receptions exceeds the predetermined value.

（Ｃ１３）親機２２０のＣＡＮトランシーバ２２１は、子機２０２ｂから通知用メッセージを受信する。親機２２０のカウンタ制御部２２２は、通知用メッセージから、ＩＤ０ｘ１２３の受信回数が子機２０２ｂにおいて所定の値となったことを示す情報を取得する。 (C13) The CAN transceiver 221 of the parent device 220 receives the notification message from the child device 202b. The counter control unit 222 of the parent device 220 acquires, from the notification message, information indicating that the number of times of reception of the ID 0x123 has become a predetermined value in the child device 202b.

（Ｃ１４）親機２２０のカウンタ制御部２２２は、通知用メッセージに含まれるメッセージＩＤ（０ｘ１２３）に対応する受信回数を確認する。カウンタ２２５において、ＩＤ０ｘ１２３に対応する受信回数は１１回となっているため、カウンタ制御部２２２は、不正なＥＣＵ２０１があると判定し、ユーザに不正なＥＣＵが存在することを通知する。 (C14) The counter control unit 222 of the parent device 220 confirms the number of receptions corresponding to the message ID (0x123) included in the notification message. In the counter 225, since the number of receptions corresponding to ID 0x123 is 11, the counter control unit 222 determines that there is an unauthorized ECU 201 and notifies the user that there is an unauthorized ECU.

子機２０２と親機２２０とで夫々カウンタを備え、メッセージの受信回数をカウントすることで、親機２２０は、不正なＥＣＵ２０１´が設置されたことを検知することができる。親機２２０のカウンタ制御部２２２は、画面などに不正に置き換えられたＥＣＵ２０１´があることを通知するなどの手法で、ユーザに対して異常を通知してもよい。又、親機２２０のカウンタ制御部２２２は、システム２０００外のシステムに対して、不正に置き換えられたＥＣＵ２０１´があることを通知してもよい。異なるＥＣＵが同一のＩＤを含むメッセージを送信しないシステムにおいて、親機２２０は、不正なＥＣＵが存在することを検知できる。 The slave unit 202 and the master unit 220 respectively have counters, and by counting the number of times of reception of the message, the master unit 220 can detect that the unauthorized ECU 201 'is installed. The counter control unit 222 of the parent device 220 may notify the user of the abnormality by a method such as notifying that there is the ECU 201 ′ illegally replaced on the screen or the like. Further, the counter control unit 222 of the parent device 220 may notify a system outside the system 2000 that there is an incorrectly substituted ECU 201 ′. In a system in which different ECUs do not transmit a message including the same ID, parent device 220 can detect the presence of an unauthorized ECU.

＜異なるＥＣＵが同一のＩＤを含むメッセージを送信するシステムを用いた具体例＞
図４は、異なるＥＣＵが同一のＩＤを含むメッセージを送信するシステムにおける本実施形態に係る子機２０２と親機２２０の処理の具体的な例を説明する図である。図４のシステム２０００では、子機２０２ｆが接続されておらず、子機２０２を備えないＥＣＵ２０１ｆがＣＡＮに接続される。このように、ユーザがＥＣＵ２０１ｆの異常検知を望まない場合、子機２０２を備えなくてもよい。ＥＣＵ２０１ａは、０ｘ１２３、０ｘ４５６、０ｘ７８９の３つのＩＤの何れかを含めてメッセージを送信するものとする。ＥＣＵ２０１ｂは、０ｘ１１２、０ｘ４５６の２つのＩＤの何れかを含めてメッセージを送信するものとする。ＥＣＵ２０１ｆは、０ｘ２２２、０ｘ３３３の２つのＩＤの何れかを含めてメッセージを送信するものとする。 <A specific example using a system in which different ECUs transmit messages including the same ID>
FIG. 4 is a diagram for explaining a specific example of processing of the child device 202 and the parent device 220 according to the present embodiment in a system in which different ECUs transmit messages including the same ID. In the system 2000 of FIG. 4, the child device 202 f is not connected, and the ECU 201 f not provided with the child device 202 is connected to the CAN. As described above, when the user does not want to detect abnormality of the ECU 201 f, the child device 202 may not be provided. The ECU 201a transmits a message including any one of three IDs of 0x123, 0x456, and 0x789. The ECU 201 b transmits a message including one of two IDs of 0x112 and 0x456. The ECU 201 f transmits a message including one of two IDs of 0x222 and 0x333.

親機２２０のホワイトリスト２２４と子機２０２ａのホワイトリスト２３５は、夫々、０ｘ１２３、０ｘ４５６、０ｘ７８９をＥＣＵ２０１ａが送信するメッセージＩＤとして記憶する。親機２２０のホワイトリスト２２４と子機２０２ｂのホワイトリスト２３５は、夫々、０ｘ１１２、０ｘ４５６をＥＣＵ２０１ｂが送信するメッセージＩＤとして記憶する。ここで、０ｘ４５６のＩＤを含むメッセージは、ＥＣＵ２０１ａとＥＣＵ２０１ｂから送信される。子機２０２ａのカウンタ２３６は、０ｘ１２３、０ｘ４５６、０ｘ７８９の夫々のＩＤに対応した受信回数を記憶する。子機２０２ｂのカウンタ２３６は、０ｘ１１２、０ｘ４５６の夫々のＩＤに対応した受信回数を記憶する。親機２２０のカウンタ２２５は、０ｘ１２３、０ｘ４５６、０ｘ７８９、０ｘ１１２の夫々のＩＤに対応した受信回数を記憶する。なお、カウンタ制御部２２２は、０ｘ４５６のＩＤを含むメッセージをＥＣＵ２０１ａとＥＣＵ２０１ｂから受信する毎に、カウンタ２２５の該ＩＤに対応する受信回数をインクリメントする。カウンタ２２５内の０ｘ４５６に対応する受信回数は、ＥＣＵ２０１ａとＥＣＵ２０１ｂのメッセージの送信回数の合算値である。以下に、異なるＥＣＵが同一のＩＤを含むメッセージを送信するシステムにおける本実施形態に係る子機２０２と親機２２０の処理を、具体例を用いて順に説明する。 The whitelist 224 of the parent device 220 and the whitelist 235 of the child device 202a store 0x123, 0x456, and 0x789, respectively, as message IDs transmitted by the ECU 201a. The whitelist 224 of the parent device 220 and the whitelist 235 of the child device 202b store 0x112 and 0x456, respectively, as message IDs transmitted by the ECU 201b. Here, the message including the ID of 0x456 is transmitted from the ECU 201a and the ECU 201b. The counter 236 of the slave unit 202a stores the number of receptions corresponding to each ID of 0x123, 0x456, and 0x789. The counter 236 of the slave unit 202b stores the number of receptions corresponding to each ID of 0x112 and 0x456. The counter 225 of the parent device 220 stores the number of receptions corresponding to each ID of 0x123, 0x456, 0x789, 0x112. Note that each time the counter control unit 222 receives a message including an ID of 0x456 from the ECU 201a and the ECU 201b, the counter control unit 222 increments the reception number corresponding to the ID of the counter 225. The number of receptions corresponding to 0x456 in the counter 225 is a total value of the number of transmissions of messages of the ECU 201a and the ECU 201b. Hereinafter, processing of the child device 202 and the parent device 220 according to the present embodiment in a system in which different ECUs transmit messages including the same ID will be sequentially described using a specific example.

（Ｄ１）ＥＣＵ２０１ａから子機２０２ａに対して０ｘ４５６のＩＤを含むメッセージが送信される。 (D1) A message including an ID of 0x456 is transmitted from the ECU 201a to the child device 202a.

（Ｄ２）子機２０２ａのＣＡＮトランシーバ２３２は、ＥＣＵ２０１ａからのメッセージを受信する。 (D2) The CAN transceiver 232 of the slave unit 202a receives a message from the ECU 201a.

（Ｄ３）子機２０２ａのカウンタ制御部２３２は、受信したメッセージに含まれるＩＤ０ｘ４５６が記憶部２３４に保持されているホワイトリスト２３５に含まれているか否かを判定する。ホワイトリスト２３５は、受信したメッセージに含まれるＩＤである０ｘ４５６を保持している。カウンタ制御部２３３は、カウンタ２３６内の受信したメッセージに含まれるＩＤ（０ｘ４５６）に対応する受信回数に１をインクリメントする。 (D3) The counter control unit 232 of the slave unit 202a determines whether the ID 0x456 included in the received message is included in the white list 235 stored in the storage unit 234. The whitelist 235 holds 0x456, which is an ID included in the received message. The counter control unit 233 increments the reception number corresponding to the ID (0x456) included in the received message in the counter 236 by one.

（Ｄ４）（Ｄ３）の処理と並列して、ＣＡＮトランシーバ２３１は、ＣＡＮトランシーバ２３２が受信したＥＣＵ２０１ａからのメッセージをブロードキャストでＣＡＮ２１０側に送信する。 (D4) In parallel with the processing of (D3), the CAN transceiver 231 broadcasts a message from the ECU 201a received by the CAN transceiver 232 to the CAN 210 side.

（Ｄ５）親機２２０のＣＡＮトランシーバ２２１は、子機２０２ａを介したＥＣＵ２０１ａからのメッセージを受信する。 (D5) The CAN transceiver 221 of the parent device 220 receives a message from the ECU 201a via the child device 202a.

（Ｄ６）親機２２０のカウンタ制御部２２２は、受信したメッセージに含まれるＩＤ（０ｘ４５６）が記憶部２２３に保持されているホワイトリスト２２４に含まれているか否かを判定する。カウンタ制御部２２２は、ＥＣＵ２０１ａから送信されたメッセージに含まれるＩＤ（０ｘ４５６）をホワイトリスト２２４に保持していると判定する。カウンタ制御部２２２は、カウンタ２２５内の受信したメッセージに含まれるＩＤ（０ｘ４５６）に対応する受信回数に１をインクリメントする。 (D6) The counter control unit 222 of the parent device 220 determines whether or not the ID (0x456) included in the received message is included in the white list 224 stored in the storage unit 223. The counter control unit 222 determines that the whitelist 224 holds the ID (0x456) included in the message transmitted from the ECU 201a. The counter control unit 222 increments the number of receptions corresponding to the ID (0x456) included in the received message in the counter 225 by one.

（Ｄ７）（Ｄ１）〜（Ｄ７）の処理が３回繰り返されると、親機２２０のカウンタ２３６と子機２０２ａのカウンタ２２５の０ｘ４５６のＩＤを含むメッセージの受信回数は、夫々３回となる。 (D7) When the processing of (D1) to (D7) is repeated three times, the number of receptions of the message including the ID of 0x456 of the counter 236 of the parent device 220 and the counter 225 of the child device 202a becomes 3 times.

（Ｄ８）ＥＣＵ２０１ｂから子機２０２ｂに対して０ｘ４５６のＩＤを含むメッセージが送信される。 (D8) A message including an ID of 0x456 is transmitted from the ECU 201b to the child device 202b.

（Ｄ９）子機２０２ｂのＣＡＮトランシーバ２３２は、ＥＣＵ２０１ｂからのメッセージを受信する。 (D9) The CAN transceiver 232 of the child device 202b receives the message from the ECU 201b.

（Ｄ１０）子機２０２ｂのカウンタ制御部２３２は、受信したメッセージに含まれるＩＤ０ｘ４５６が記憶部２３４に保持されているホワイトリスト２３５に含まれているか否かを判定する。ホワイトリスト２３５は、受信したメッセージに含まれるＩＤである０ｘ４５６を保持している。カウンタ制御部２３３は、カウンタ２３６内の受信したメッセージに含まれるＩＤ（０ｘ４５６）に対応する受信回数に１をインクリメントする。 (D10) The counter control unit 232 of the slave unit 202b determines whether or not the ID 0x456 included in the received message is included in the white list 235 stored in the storage unit 234. The whitelist 235 holds 0x456, which is an ID included in the received message. The counter control unit 233 increments the reception number corresponding to the ID (0x456) included in the received message in the counter 236 by one.

（Ｄ１１）（Ｄ１０）のの処理と並列して、ＣＡＮトランシーバ２３１は、ＣＡＮトランシーバ２３２が受信したＥＣＵ２０１ｂからのメッセージをブロードキャストでＣＡＮ２１０側に送信する。 (D11) In parallel with the process of (D10), the CAN transceiver 231 broadcasts a message from the ECU 201b received by the CAN transceiver 232 to the CAN 210 side.

（Ｄ１２）親機２２０のＣＡＮトランシーバ２２１は、子機２０２ｂを介したＥＣＵ２０１ｂからのメッセージを受信する。 (D12) The CAN transceiver 221 of the parent device 220 receives a message from the ECU 201b via the child device 202b.

（Ｄ１３）親機２２０のカウンタ制御部２２２は、受信したメッセージに含まれるＩＤ（０ｘ４５６）が記憶部２２３に保持されているホワイトリスト２２４に含まれているか否かを判定する。カウンタ制御部２２２は、ＥＣＵ２０１ｂから送信されたメッセージに含まれるＩＤ（０ｘ４５６）をホワイトリスト２２４に保持していると判定する。カウンタ制御部２２２は、カウンタ２２５内の受信したメッセージに含まれるＩＤ（０ｘ４５６）に対応する受信回数に１をインクリメントする。 (D13) The counter control unit 222 of the parent device 220 determines whether or not the ID (0x456) included in the received message is included in the whitelist 224 stored in the storage unit 223. The counter control unit 222 determines that the white list 224 holds the ID (0x456) included in the message transmitted from the ECU 201 b. The counter control unit 222 increments the number of receptions corresponding to the ID (0x456) included in the received message in the counter 225 by one.

（Ｄ１４）（Ｄ８）〜（Ｄ１３）の処理が４回繰り返されると、子機２０２ｂのカウンタ２２５の０ｘ４５６のＩＤを含むメッセージの受信回数は４回となる。親機２２０のカウンタ２３６の０ｘ４５６のＩＤを含むメッセージの受信回数は７回となる。 (D14) When the processes of (D8) to (D13) are repeated four times, the number of receptions of the message including the ID of 0x456 of the counter 225 of the slave device 202b is four times. The number of times of reception of the message including the ID of 0x456 of the counter 236 of the parent device 220 is seven.

ここで、ＥＣＵ２０１ｆが不正なＥＣＵ２０１´に交換されたものとする。ＥＣＵ２０１´は、ＥＣＵ２０１ｆが送信しないＩＤ０ｘ４５６のＩＤのメッセージを送信するものとする。ＥＣＵ２０１´は、ＥＣＵ２０１ａやＥＣＵ２０１ｂに成りすましてメッセージを送信可能な通信ノードである。 Here, it is assumed that the ECU 201 f is replaced with an incorrect ECU 201 ′. The ECU 201 ′ transmits a message with an ID of ID 0x456 that is not transmitted by the ECU 201 f. The ECU 201 ′ is a communication node capable of spoofing the ECU 201a or the ECU 201b and transmitting a message.

（Ｄ１５）不正なＥＣＵ２０１´は、ブロードキャストでＩＤ０ｘ４５６を含むメッセージを送信する。 (D15) The unauthorized ECU 201 'transmits a message including ID 0x456 by broadcast.

（Ｄ１６）親機２２０のＣＡＮトランシーバ２２１は、ＥＣＵ２０１´からのメッセージを受信する。 (D16) The CAN transceiver 221 of the parent device 220 receives the message from the ECU 201 ′.

（Ｄ１７）親機２２０のカウンタ制御部２２２は、受信したメッセージに含まれるＩＤ（０ｘ４５５）が記憶部２２３に保持されているホワイトリスト２２４に含まれているか否かを判定する。 (D17) The counter control unit 222 of the parent device 220 determines whether or not the ID (0x455) included in the received message is included in the whitelist 224 stored in the storage unit 223.

（Ｄ１８）カウンタ制御部２２２は、ＥＣＵ２０１´から受信したメッセージに含まれるＩＤ（０ｘ４５６）がホワイトリスト２２４に保持されていると判定する。カウンタ制御部２２２は、カウンタ２２５内の受信したメッセージに含まれるＩＤ（０ｘ４５６）に対応する受信回数に１をインクリメントする。その結果、親機２２０のカウンタ２３６内のＩＤ０ｘ４５６に対する受信回数は、８回と設定される。 (D18) The counter control unit 222 determines that the ID (0x456) included in the message received from the ECU 201 'is held in the white list 224. The counter control unit 222 increments the number of receptions corresponding to the ID (0x456) included in the received message in the counter 225 by one. As a result, the number of receptions for ID 0x456 in the counter 236 of the parent device 220 is set to eight.

（Ｄ１９）その後、ＥＣＵ２０１ａ、ＥＣＵ２０１ｂも通信を行い、ＩＤ０ｘ４５６のメッセージを夫々６回送信する。すると、親機２２０のカウンタ２２５内のＩＤ０ｘ４５６に対応する受信回数は、２０回となる。子機２０１ａのカウンタ２３６内のＩＤ０ｘ４５６に対応する受信回数は、９回となる。子機２０１ｂのカウンタ２３６内のＩＤ０ｘ４５６に対応する受信回数は、１０回となる。 (D19) Thereafter, the ECU 201a and the ECU 201b also communicate with each other, and each transmit a message of ID 0x456 six times. Then, the number of receptions corresponding to ID 0x456 in the counter 225 of the parent device 220 is 20 times. The number of receptions corresponding to ID 0x456 in the counter 236 of the slave device 201a is nine. The number of receptions corresponding to ID 0x456 in the counter 236 of the slave device 201b is 10 times.

（Ｄ２０）親機２２０のカウンタ制御部２２２は、カウンタ２２５内のＩＤ０ｘ４５６の受信回数が所定の値（ここでは例えば２０回）に達したと判定する。すると、カウンタ制御部２２２は、通知用ＩＤ（例えば０ｘ７７７）で発信されるメッセージに、収集対象のＩＤ（０ｘ４５６）を含めて全ての子機２０２に対して送信する。 (D20) The counter control unit 222 of the parent device 220 determines that the number of times of reception of the ID 0x456 in the counter 225 has reached a predetermined value (for example, 20 times in this case). Then, the counter control unit 222 transmits the message to be transmitted by the notification ID (for example, 0x777) to all the slaves 202 including the ID to be collected (0x456).

（Ｄ２１）子機２０２の各カウンタ制御部２３４は、通知用ＩＤ（０ｘ７７７）のメッセージを受信すると、収集対象ＩＤ（０ｘ４５６）に対する受信回数をカウンタ２３６が保持しているか否かを判定する。収集対象のＩＤ（０ｘ４５６）に対する受信回数をカウンタ２３６に保持している子機２０２のカウンタ制御部２３４の制御により、ＣＡＮトランシーバ２３１は、ＩＤ（０ｘ４５６）の受信回数と子機自身を識別するＩＤを通知用ＩＤ（０ｘ７７７）と共にメッセージに含めて親機２２０に通知する。すると、子機２０２ａからは０ｘ４５６に対応する受信回数９回と、子機２０２ｂからは０ｘ４５６に対応する受信回数１０回を示す情報が親機２２０に通知される。 (D21) When receiving the message of the notification ID (0x777), each counter control unit 234 of the slave unit 202 determines whether the counter 236 holds the number of receptions for the collection target ID (0x456). Under control of the counter control unit 234 of the slave unit 202 holding the number of receptions for the collection target ID (0x456) in the counter 236, the CAN transceiver 231 determines the number of receptions of the ID (0x456) and an ID for identifying the slave unit itself. Is included in the message together with the notification ID (0x777) to notify the parent device 220. Then, information indicating the reception number of 9 times corresponding to 0x456 is notified from the child device 202a, and information indicating 10 times of reception number corresponding to 0x456 is notified from the child device 202b to the parent device 220.

（Ｄ２２）親機２２０のカウンタ制御部２２２は、通知用ＩＤ０ｘ７７７を含むメッセージを受信すると、該メッセージから受信回数と、子機ＩＤとを取得する。 (D22) When the counter control unit 222 of the parent device 220 receives a message including the notification ID 0x777, the counter control unit 222 acquires the number of receptions and the child device ID from the message.

（Ｄ２３）親機２２０のカウンタ制御部２２２は、０ｘ４５６の受信回数を合算する。この場合、子機２０２ａの０ｘ４５６の受信回数９回と、子機２０２ｂの０ｘ４５６の受信回数１０回が合算され、１９回となる。次に、親機２２０のカウンタ制御部２２２は、０ｘ４５６の受信回数を合算した値と、カウンタ２２５内の０ｘ４５６の受信回数とで整合性がとれているか否かを判定する。この場合、合算した値は１９回であり、カウンタ２２５内の受信回数は２０回であるため整合性がとれない。カウンタ制御部２２２は、不正なＥＣＵ２０１があると判定し、ユーザに不正なＥＣＵが存在することを通知する。 (D23) The counter control unit 222 of the parent device 220 adds up the number of times of reception of 0x456. In this case, the number of 0x456 receptions of the slave 202a and the number of receptions of 0x456 of the slave 202b are summed up to nineteen times. Next, the counter control unit 222 of the parent device 220 determines whether the value obtained by adding the number of receptions of 0x456 is consistent with the number of receptions of 0x456 in the counter 225 or not. In this case, since the sum value is 19 and the number of receptions in the counter 225 is 20, consistency can not be achieved. The counter control unit 222 determines that there is an unauthorized ECU 201, and notifies the user that there is an unauthorized ECU.

子機２０２と親機２２０とで夫々カウンタを備え、メッセージの受信回数をカウントすることで、親機２２０は、不正なＥＣＵ２０１´が設置されたことを検知することができる。また、同一のＩＤを複数のＥＣＵが送信する場合であっても、親機２２０が該ＩＤを指定して全ての該ＩＤの受信回数をカウントしている子機２０２から対応する受信回数を収集することで、整合性の確認がとれる。この整合性を確認することで、親機２２０は、システム２０００内に不正なＥＣＵ２０１´が存在することを検知できる。なお、親機２２０は、定期的に子機２０２から受信回数を収集して整合性を確認してもよい。親機２２０のカウンタ制御部２２２は、画面などに不正に置き換えられたＥＣＵ２０１´があることを通知するなどの手法で、ユーザに対して異常を通知してもよい。又、親機２２０のカウンタ制御部２２２は、システム２０００外のシステムに対して、不正に置き換えられたＥＣＵ２０１´があることを通知してもよい。 The slave unit 202 and the master unit 220 respectively have counters, and by counting the number of times of reception of the message, the master unit 220 can detect that the unauthorized ECU 201 'is installed. In addition, even when the same ID is transmitted by a plurality of ECUs, the parent device 220 designates the ID and collects the corresponding number of receptions from the child device 202 counting the number of receptions of all the IDs. By doing this, you can check the integrity. By confirming this consistency, parent device 220 can detect that there is an unauthorized ECU 201 'in system 2000. Note that the master unit 220 may periodically collect the number of receptions from the slave unit 202 to check the consistency. The counter control unit 222 of the parent device 220 may notify the user of the abnormality by a method such as notifying that there is the ECU 201 ′ illegally replaced on the screen or the like. Further, the counter control unit 222 of the parent device 220 may notify a system outside the system 2000 that there is an incorrectly substituted ECU 201 ′.

図５は、本実施形態に係る親機の処理の例を説明するフローチャートである。親機２２０のＣＡＮトランシーバ２２１は、子機２０２を介したＥＣＵ２０１からのメッセージを受信する（ステップＳ１０１）。カウンタ制御部２２２は、受信したメッセージに、子機２０２が不正なＥＣＵを検知したことを示す情報が含まれるか否かを判定する（ステップＳ１０２）。受信したメッセージに子機２０２が不正なＥＣＵを検知したことを示す情報を含まない場合（ステップＳ１０２でＮＯ）、カウンタ制御部２２２は、受信したメッセージに含まれるＩＤがホワイトリスト２２４に含まれているか否かを判定する（ステップＳ１０３）。受信したメッセージに含まれるＩＤがホワイトリスト２２４に保持されている場合（ステップＳ１０３でＹＥＳ）、カウンタ制御部２２２は、カウンタ２２５内の受信したメッセージに含まれるＩＤに対応する受信回数に１をインクリメントする（ステップＳ１０４）。カウンタ制御部２２２は、カウンタ２２５内の受信したＩＤに対応する受信回数が所定の値に達しているか否かを判定する（ステップＳ１０５）。カウンタ２２５内の受信したＩＤに対応する受信回数が所定の値に達している場合（ステップＳ１０５でＹＥＳ）、カウンタ制御部２２２の制御によりＣＡＮトランシーバ２２１は、各子機２０２から該ＩＤの受信回数を収集する（ステップＳ１０６）。カウンタ制御部２２２は、収集した子機２０２側の該ＩＤの受信回数と、親機２２０側の該ＩＤの受信回数との整合性を確認し問題があるか否かを判定する（ステップＳ１０７）。整合性に問題がない場合（ステップＳ１０７でＮＯ）、親機２２０は処理をステップＳ１０１から繰り返す。整合性に問題がある場合、親機２２０は、ユーザに異常を通知する（ステップＳ１０８）。受信したメッセージに子機２０２が不正なＥＣＵを検知したことを示す情報を含む場合（ステップＳ１０２でＹＥＳ）、親機２２０は、ユーザに異常を通知する（ステップＳ１０８）。同様に、受信したメッセージに含まれるＩＤがホワイトリストに含まれない場合（ステップＳ１０３でＮＯ）、親機２２０は、ユーザに異常を通知する（ステップＳ１０８）。 FIG. 5 is a flow chart for explaining an example of processing of the parent device according to the present embodiment. The CAN transceiver 221 of the parent device 220 receives a message from the ECU 201 via the child device 202 (step S101). The counter control unit 222 determines whether or not the received message includes information indicating that the child device 202 has detected an unauthorized ECU (step S102). If the received message does not include information indicating that the child device 202 detected an invalid ECU (NO in step S102), the counter control unit 222 causes the white list 224 to include the ID included in the received message. It is determined whether or not there is (step S103). When the ID included in the received message is held in white list 224 (YES in step S103), counter control unit 222 increments the reception count corresponding to the ID included in the received message in counter 225 by one. (Step S104). The counter control unit 222 determines whether the number of receptions corresponding to the received ID in the counter 225 has reached a predetermined value (step S105). If the number of receptions corresponding to the received ID in the counter 225 has reached a predetermined value (YES in step S105), the CAN transceiver 221 receives the number of receptions of the ID from each slave device 202 under the control of the counter control unit 222. Are collected (step S106). The counter control unit 222 checks the consistency between the number of receptions of the collected ID on the side of the child device 202 and the number of receptions of the ID on the side of the parent device 220, and determines whether or not there is a problem (step S107) . If there is no problem with the consistency (NO in step S107), the master device 220 repeats the process from step S101. If there is a problem with the consistency, the parent device 220 notifies the user of an abnormality (step S108). If the received message includes information indicating that the child device 202 has detected an incorrect ECU (YES in step S102), the parent device 220 notifies the user of an abnormality (step S108). Similarly, when the ID included in the received message is not included in the whitelist (NO in step S103), the parent device 220 notifies the user of an abnormality (step S108).

図６は、本実施形態に係る子機の処理の例を説明するフローチャートである。子機２０２のＣＡＮトランシーバ２３２は、ＥＣＵ２０１からのメッセージを受信する（ステップＳ２０１）。子機２０２のカウンタ制御部２３２は、受信したメッセージに含まれるＩＤが記憶部２３４に保持されているホワイトリスト２３５に含まれているか否かを判定する（ステップＳ２０２）。受信したメッセージに含まれるＩＤがホワイトリスト２３５に保持されている場合（ステップＳ２０２でＹＥＳ）、カウンタ制御部２３３は、カウンタ２３６内の受信したメッセージに含まれるＩＤに対応する受信回数に１をインクリメントする（ステップＳ２０３）。子機２０２のカウンタ制御部２３４は、カウンタ２３６内の受信したＩＤに対応する受信回数が所定の値（例えば１０回）に達しているか否かを判定する（ステップＳ２０４）。受信したメッセージのＩＤに対応する受信回数が所定の値を超えている場合（ステップＳ２０４でＹＥＳ）、ＣＡＮトランシーバ２３１は、所定の値を超えている受信回数のＩＤを含む通知用メッセージを親機２２０に通知する（ステップS２０５）。カウンタ制御部２３４は、受信回数が所定の値を超えているメッセージのＩＤに対応する受信回数をリセットする（ステップＳ２０６）。受信したメッセージのＩＤに対応する受信回数が所定の値を超えていない場合（ステップＳ２０４でＮＯ）、子機２０２は、処理をステップＳ２０１から繰り返す。受信したメッセージのＩＤがホワイトリストに含まれていない場合（ステップＳ２０２でＮＯ）、ＣＡＮトランシーバ２３１は、子機２０２に接続されているＥＣＵが異常であることを親機２２０に通知する（ステップＳ２０７）。子機２０２は、ステップＳ２０６、ステップＳ２０７が終了すると、処理を終了する。なお、ステップＳ２０４を、親機２２０からのカウンタ値要求の有無を判定するステップに代えてもよい。この場合、カウンタ値の要求があれば要求されたＩＤのカウンタ値を親機２２０に通知して、当該カウンタ値をリセットする。カウンタ値の要求がなければ、処理Ｓ２０１から繰り返す。 FIG. 6 is a flow chart for explaining an example of processing of a child device according to the present embodiment. The CAN transceiver 232 of the slave unit 202 receives the message from the ECU 201 (step S201). The counter control unit 232 of the slave unit 202 determines whether the ID included in the received message is included in the whitelist 235 stored in the storage unit 234 (step S202). If the ID included in the received message is held in white list 235 (YES in step S 202), counter control unit 233 increments the reception count corresponding to the ID included in the received message in counter 236 by 1 (Step S203). The counter control unit 234 of the slave unit 202 determines whether or not the number of receptions corresponding to the received ID in the counter 236 has reached a predetermined value (for example, ten times) (step S204). If the number of receptions corresponding to the ID of the received message exceeds the predetermined value (YES in step S204), the CAN transceiver 231 transmits the notification message including the ID of the number of receptions exceeding the predetermined value to the parent device It notifies 220 (step S205). The counter control unit 234 resets the number of receptions corresponding to the ID of the message whose number of receptions exceeds the predetermined value (step S206). If the number of times of reception corresponding to the ID of the received message does not exceed the predetermined value (NO in step S204), the child device 202 repeats the process from step S201. If the ID of the received message is not included in the whitelist (NO in step S202), the CAN transceiver 231 notifies the parent device 220 that the ECU connected to the child device 202 is abnormal (step S207). ). The slave unit 202 ends the process when steps S206 and S207 end. Step S204 may be replaced by a step of determining the presence or absence of a counter value request from the parent device 220. In this case, if there is a request for the counter value, the base unit 220 is notified of the counter value of the requested ID, and the counter value is reset. If there is no request for the counter value, the process is repeated from step S201.

子機２０２と親機２２０とで夫々カウンタを備え、メッセージの受信回数をカウントすることで、親機２２０は、不正なＥＣＵ２０１´が設置されたことを検知することができる。また、同一のＩＤを複数のＥＣＵが送信する場合であっても、親機２２０が該ＩＤを指定して全ての該ＩＤの受信回数をカウントしている子機２０２から対応する受信回数を収集することで、整合性の確認がとれる。この整合性を確認することで、親機２２０は、システム２０００内に不正なＥＣＵ２０１´が存在することを検知できる。なお、親機２２０は、定期的に子機２０２から受信回数を収集して整合性を確認してもよい。親機２２０のカウンタ制御部２２２は、画面などに不正に置き換えられたＥＣＵ２０１´があることを通知するなどの手法で、ユーザに対して異常を通知してもよい。又、親機２２０のカウンタ制御部２２２は、システム２０００外のシステムに対して、不正に置き換えられたＥＣＵ２０１´があることを通知してもよい。なお、本実施形態において、子機は、不正に置き換えられた場合に異常を検知したいＥＣＵと対として使用されればよい。 The slave unit 202 and the master unit 220 respectively have counters, and by counting the number of times of reception of the message, the master unit 220 can detect that the unauthorized ECU 201 'is installed. In addition, even when the same ID is transmitted by a plurality of ECUs, the parent device 220 designates the ID and collects the corresponding number of receptions from the child device 202 counting the number of receptions of all the IDs. By doing this, you can check the integrity. By confirming this consistency, parent device 220 can detect that there is an unauthorized ECU 201 'in system 2000. Note that the master unit 220 may periodically collect the number of receptions from the slave unit 202 to check the consistency. The counter control unit 222 of the parent device 220 may notify the user of the abnormality by a method such as notifying that there is the ECU 201 ′ illegally replaced on the screen or the like. Further, the counter control unit 222 of the parent device 220 may notify a system outside the system 2000 that there is an incorrectly substituted ECU 201 ′. In the present embodiment, the child device may be used as a pair with an ECU that wants to detect an abnormality when it is replaced illegally.

＜その他＞
図７は、子機と接続されたＥＣＵが不正に置き換えられた場合の子機と親機処理の例を説明する図である。図７のシステム２０００では、ＥＣＵ２０１ｄが不正なＥＣＵ２０１´に置き換えられた場合の例である。ＥＣＵ２０１ｄが不正なＥＣＵ２０１´に置き換えられた場合の、子機２０２ｄと親機２２０の処理の例を以下に順に説明する。 <Others>
FIG. 7 is a diagram for explaining an example of a slave unit process and a master unit process when an ECU connected to a slave unit is illegally replaced. The system 2000 of FIG. 7 is an example of the case where the ECU 201 d is replaced with an incorrect ECU 201 ′. An example of processing of the child device 202 d and the parent device 220 when the ECU 201 d is replaced with an invalid ECU 201 ′ will be described in order below.

（Ｅ１）ＥＣＵ２０１´から子機２０２ｄに対してメッセージが送信される。 (E1) A message is transmitted from the ECU 201 'to the child device 202d.

（Ｅ２）子機２０２ｄのＣＡＮトランシーバ２３２は、ＥＣＵ２０２´からのメッセージを受信する。 (E2) The CAN transceiver 232 of the child device 202d receives the message from the ECU 202 '.

（Ｅ３）子機２０２ｄのカウンタ制御部２３２は、受信したメッセージに含まれるＩＤが記憶部２３４に保持されているホワイトリスト２３５に含まれているか否かを判定する。ここで、ホワイトリスト２３５は、不正なＥＣＵ２０１´の送信するメッセージに含まれるＩＤを保持しないものとする。 (E3) The counter control unit 232 of the slave unit 202d determines whether the ID included in the received message is included in the white list 235 stored in the storage unit 234. Here, it is assumed that the whitelist 235 does not hold the ID included in the message transmitted by the unauthorized ECU 201 ′.

（Ｅ４）子機２０２ｄのカウンタ制御部２３２は、受信したメッセージに含まれるＩＤがホワイトリスト２３５に含まれていないと判定する。 (E4) The counter control unit 232 of the child device 202d determines that the ID included in the received message is not included in the white list 235.

（Ｅ５）子機２０２ｄのカウンタ制御部２３２の制御により、ＣＡＮトランシーバ２３１は、親機２２０に異常（不正なＥＣＵを検知したこと）を通知する。 (E5) Under the control of the counter control unit 232 of the child device 202d, the CAN transceiver 231 notifies the parent device 220 of an abnormality (the detection of an incorrect ECU).

（Ｅ６）親機２２０のＣＡＮトランシーバ２２１は、子機２０２ｄから異常の通知を受信する。この際、該通知には、子機２０２ｄを特定するための子機ＩＤが含まれる。 (E6) The CAN transceiver 221 of the parent device 220 receives a notification of abnormality from the child device 202d. At this time, the notification includes a handset ID for identifying the handset 202 d.

（Ｅ７）子機２０２が不正なＥＣＵを検知したことを示す情報を通知してきた場合、親機２２０は、ユーザに異常を通知する。 (E7) When the child device 202 has notified of information indicating that an illegal ECU has been detected, the parent device 220 notifies the user of an abnormality.

このように、不正なＥＣＵを検知した子機２０２から異常通知を受信し、親機２２０が該通知をしてきた子機２０２のＩＤを用いることで、異常を検知した子機２０２を特定することができる。従って、親機２２０は、子機２０２に接続された不正なＥＣＵ２０１´を特定し、ユーザに通知することができる。 As described above, the abnormal notification is received from the child device 202 that has detected an incorrect ECU, and the ID of the child device 202 that the parent device 220 has sent the notification to specifies the child device 202 that has detected the abnormality. Can. Therefore, the parent device 220 can identify the illegitimate ECU 201 ′ connected to the child device 202 and notify the user of it.

１００１、１００２、２０００システム
１０１、２１０ＣＡＮ
１１１、１１１ａ〜１１１ｆ、１１１ｂ´ ＥＣＵ
１１２、１１２ａ〜１１２ｆ検知器
２０１、２０１ａ〜２０１ｆＥＣＵ
２０２、２０２ａ〜２０２ｆ子機
２２０親機
２２１、２３１、２３２ＣＡＮトランシーバ
２２２、２３３カウンタ制御部
２２３、２３４記憶部
２２４、２３５ホワイトリスト
２２５、２３６カウンタ 1001, 1002, 2000 System 101, 210 CAN
111, 111a to 111f, 111b 'ECU
112, 112a-112f Detector 201, 201a-201f ECU
202, 202a to 202f slave unit 220 master unit 221, 231, 232 CAN transceiver 222, 233 counter control unit 223, 234 storage unit 224, 235 white list 225, 236 counter

Claims

A plurality of communication nodes each transmitting a message with an ID set in advance;
A relay apparatus provided corresponding to the communication node, having a first counter that sends out a message received from the corresponding communication node to the bus and counts the received message for each ID.
And a second counter connected to the bus for receiving a message originated by the communication node via the bus and counting the received message for each ID, wherein the first and second counters A management apparatus including a comparison unit that acquires a value of a counter and compares the values of the first and second counters for each ID;
A network monitoring system comprising:

The management device is
When the second counter corresponding to the received ID reaches a predetermined value, the value of the first counter corresponding to the received ID is acquired from the relay device. The network monitoring system according to 1.

The relay device is
When the first counter corresponding to the received ID reaches a predetermined value, the value of the first counter corresponding to the received ID is notified to the management apparatus, and the processing to the comparison unit is performed. The network monitoring system according to claim 1, characterized in that it is executed.

The management device is
The network monitoring system according to claim 1, wherein the value of the first counter is periodically acquired from the relay device, and the comparison unit is caused to execute processing.

The relay device has a list of IDs which may be included in the message transmitted by the corresponding communication node, and an ID in which the ID included in the message from the corresponding communication node is registered in the list The network monitoring system according to claim 1, wherein the network monitoring system matches with.

A relay device provided corresponding to a plurality of communication nodes transmitting messages with a preset ID, respectively,
Sending a message received from the corresponding communication node to a bus and counting the received message as a first counter for each of the IDs;
A management device connected to the bus and receiving a message originated by the communication node via the bus;
The received message is counted as a second counter for each ID, the values of the first and second counters are obtained, and the values of the first and second counters are compared for each ID. Network monitoring program characterized by.

The management device
When the second counter corresponding to the received ID reaches a predetermined value, the value of the first counter corresponding to the received ID is acquired from the relay device. Network monitoring program described in 6.

The relay device is
When said first counter corresponding to the ID thus received has reached a predetermined value, executes a process of a value of said first counter corresponding to the ID the received notification to the management apparatus, wherein the comparing The network monitoring program according to claim 6, characterized in that:

In a system comprising a relay device, a management device, and a plurality of nodes,
The relay device provided corresponding to a plurality of communication nodes transmitting messages with a preset ID, respectively,
Sending a message received from the corresponding communication node to a bus and counting the received message as a first counter for each of the IDs;
The management device connected to the bus and receiving a message originated by the communication node via the bus;
The received message is counted as a second counter for each ID, the values of the first and second counters are obtained, and the values of the first and second counters are compared for each ID. A network monitoring method characterized by

The management device
When the second counter corresponding to the received ID reaches a predetermined value, the value of the first counter corresponding to the received ID is acquired from the relay device. The network monitoring method according to 9.

The relay device is
When said first counter corresponding to the ID thus received has reached a predetermined value, executes a process of a value of said first counter corresponding to the ID the received notification to the management apparatus, wherein the comparing The network monitoring method according to claim 9, characterized in that: