JP7283427B2 - 車両制御システム、攻撃判定方法及びプログラム - Google Patents

車両制御システム、攻撃判定方法及びプログラム Download PDF

Info

Publication number
JP7283427B2
JP7283427B2 JP2020055168A JP2020055168A JP7283427B2 JP 7283427 B2 JP7283427 B2 JP 7283427B2 JP 2020055168 A JP2020055168 A JP 2020055168A JP 2020055168 A JP2020055168 A JP 2020055168A JP 7283427 B2 JP7283427 B2 JP 7283427B2
Authority
JP
Japan
Prior art keywords
communication
communication path
vehicle
control
instruction device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2020055168A
Other languages
English (en)
Other versions
JP2021157338A (ja
Inventor
哲平 福澤
健 松井
佳成 竹山
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Toyota Motor Corp
Original Assignee
Toyota Motor Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Toyota Motor Corp filed Critical Toyota Motor Corp
Priority to JP2020055168A priority Critical patent/JP7283427B2/ja
Priority to US17/193,027 priority patent/US11713058B2/en
Priority to CN202110244080.5A priority patent/CN113442848B/zh
Publication of JP2021157338A publication Critical patent/JP2021157338A/ja
Application granted granted Critical
Publication of JP7283427B2 publication Critical patent/JP7283427B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B60R16/0231—Circuits relating to the driving or the functioning of the vehicle
    • B60R16/0232—Circuits relating to the driving or the functioning of the vehicle for measuring vehicle parameters and indicating critical, abnormal or dangerous conditions
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B60R16/0231—Circuits relating to the driving or the functioning of the vehicle
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/04—Monitoring the functioning of the control system
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W60/00—Drive control systems specially adapted for autonomous road vehicles
    • B60W60/001—Planning or execution of driving tasks
    • B60W60/0015—Planning or execution of driving tasks specially adapted for safety
    • B60W60/0018—Planning or execution of driving tasks specially adapted for safety by employing degraded modes, e.g. reducing speed, in response to suboptimal conditions
    • B60W60/00188—Planning or execution of driving tasks specially adapted for safety by employing degraded modes, e.g. reducing speed, in response to suboptimal conditions related to detected security violation of control systems, e.g. hacking of moving vehicle
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Computer Security & Cryptography (AREA)
  • Mechanical Engineering (AREA)
  • Human Computer Interaction (AREA)
  • Transportation (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Small-Scale Networks (AREA)

Description

本発明は、車両制御システム、攻撃判定方法及びプログラムに関する。
特許文献１には、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）プロトコルに従って少なくとも１つのバスを介してメッセージ認証コード（ＭＡＣ：Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）が付加されたデータフレームの授受を行う複数の電子制御ユニットを備える車載ネットワークシステムが開示されている。
特許第６４０７９８１号公報
一方、メッセージ認証のための通信を行うことにより、車両ネットワークの負荷が増大する。
本発明は、車両ネットワークの負荷を抑えつつ、外部から車内ネットワークに対する攻撃等の通信異常の判定を行うことが可能な車両制御システム、攻撃判定方法及びプログラムを提供することを目的とする。
請求項１に記載の車両制御システムは、車両に設けられた駆動部を制御する制御装置である駆動制御装置と、前記駆動制御装置に対する通信による指示を行うことで前記駆動制御装置を制御する制御装置である制御指示装置と、前記制御指示装置及び前記駆動制御装置を含む複数の前記制御装置を相互に通信可能に接続する通信路と、前記制御指示装置及び前記駆動制御装置の各々に設けられ、前記通信路を介した他の制御装置との通信における通信周期と予め記憶されている基準周期とを比較し、前記通信周期が前記基準周期に対して許容される誤差範囲内に入っていない場合に通信フレームを不正フレームとして検出し、検知回数をカウントし、比較結果としてカウントした検知回数を前記制御指示装置に通知する比較部と、前記制御指示装置に設けられ、前記制御指示装置及び前記駆動制御装置の各前記比較部における前記検知回数の合計が予め設定した閾値を超えた場合に、前記通信路において生じた外部からの攻撃となりうる通信異常を判定する攻撃判定部と、を備え、前記制御指示装置及び前記駆動制御装置を含む複数の制御装置を相互に通信可能に接続すると共に、前記通信路とは独立した他の通信路を備え、前記制御指示装置は、前記車両の自動運転の制御を行う機能を有する運転支援用ＥＣＵであって、車両走行用の前記駆動部を制御するための制御信号の前記駆動制御装置への送信に前記通信路又は前記他の通信路を介しており、前記制御指示装置は、前記攻撃判定部が前記通信路について前記通信異常があると判定した場合に、前記他の通信路のみを介して前記駆動制御装置と通信を行い、前記制御指示装置は、前記攻撃判定部が前記通信路について前記通信異常があると判定した場合において、前記他の通信路のみを用いて、運転者が適正な運転姿勢にあり、自動運転から手動運転へのハンドオーバが可能である場合、ハンドオーバ処理を開始し、ハンドオーバが不可能である場合、前記車両を停止させる制御を行う。
請求項１に記載の車両制御システムは、制御指示装置が通信路を通じて駆動制御装置に制御信号を送信することで、駆動制御装置が駆動部を駆動させるものである。当該車両制御システムでは、制御指示装置及び駆動制御装置の各々に設けられた比較部が通信路の通信における通信周期と予め記憶されている基準周期とを比較し、攻撃判定部が各比較部における比較結果に基づいて通信路に対する攻撃を判定する。そのため、当該車両制御システムによれば、メッセージ認証を使用することなく車両ネットワークに対する攻撃を判定することができる。すなわち、車両ネットワークの負荷を抑えつつ、外部から車内ネットワークに対する攻撃等の通信異常の判定を行うことができる。
また、車両制御システムでは、複数の制御装置が通信路及び他の通信路の双方により通信可能に接続されており、通信路について通信異常がある場合には他の通信路により制御装置間の通信が行われる。そのため、当該車両制御システムによれば、通信路について通信異常があった場合でも他の通信路の通信により駆動部の制御を継続することができる。
また、車両制御システムでは、自動運転に係る制御信号はセキュリティが担保された通信路を介して送信されることで、自動運転車両の通信の信頼性を向上させることができる。
請求項２に記載の車両制御システムは、請求項１に記載の車両制御システムにおいて、前記制御指示装置及び前記駆動制御装置の各々は、他の制御装置との通信においてメッセージ認証を行う認証部を備え、前記攻撃判定部は、第一種の情報に対しては、前記認証部が実行したメッセージ認証に基づいて前記通信路についての前記通信異常を判定し、前記第一種の情報とは異なる第二種の情報に対しては、前記比較部の比較結果に基づいて前記通信路についての前記通信異常を判定する。
請求項２に記載の車両制御システムでは、第一種の情報についてはメッセージ認証に基づいて通信路に対する攻撃を判定し、第二の情報については通信周期と基準周期との比較結果に基づいて通信路に対する攻撃を判定する。当該車両制御システムによれば、通信路における一部の通信においてはメッセージ認証を必要としないため、車両ネットワークの負荷を抑えつつ、通信異常判定を行うことができる。
請求項３に記載の車両制御システムは、請求項２に記載の車両制御システムにおいて、前記第一種の情報は、前記第二種の情報よりも前記通信路における攻撃判定時のリスクの高い情報であって緊急停止に係る制御信号である。
請求項３に記載の車両制御システムは、通信路が攻撃を受けた場合にリスクの高い情報についてはメッセージ認証を行うものである。当該車両制御システムによれば、リスクの高い情報に対してはより確実な認証手段を設けることにより、セキュリティ性を担保しつつ、車両ネットワークの負荷を抑えることができる。
請求項４に記載の車両制御システムは、請求項１～３の何れか１項に記載の車両制御システムにおいて、前記車両は複数の前記駆動制御装置として、前記駆動部を制御するＥＣＵであって、ステアリングＥＣＵと、ブレーキＥＣＵとを少なくとも含み、前記攻撃判定部は、更に、複数の前記駆動制御装置に設けられることにより、前記複数の制御装置のそれぞれに設けられ、前記複数の制御装置のそれぞれの前記攻撃判定部において、前記通信異常を判定し、何れかの前記制御装置において前記通信異常と判定されている場合に、システム全体について前記通信異常であると判定する。
請求項４に記載の車両制御システムによれば、複数の制御装置は、それぞれの制御装置の通信異常の判定により、車両ネットワークに対するシステム全体の通信異常があると判定できる。
請求項５に記載の攻撃判定方法は、車両に設けられた駆動部を制御する駆動制御装置と、前記駆動制御装置を制御する制御指示装置と、を含む複数の制御装置を相互に接続する通信路における攻撃判定方法であって、前記制御指示装置及び前記駆動制御装置の各々において実行され、前記通信路を介した他の制御装置との通信における通信周期と予め記憶されている基準周期とを比較し、前記通信周期が前記基準周期に対して許容される誤差範囲内に入っていない場合に通信フレームを不正フレームとして検出し、検知回数をカウントし、比較結果としてカウントした検知回数を前記制御指示装置に通知する比較ステップと、前記制御指示装置において実行され、前記比較ステップにおける前記検知回数の合計が予め設定した閾値を超えた場合に、前記通信路において生じた外部からの攻撃となりうる通信異常を判定する攻撃判定ステップと、を含み、前記制御指示装置及び前記駆動制御装置を含む複数の制御装置を相互に通信可能に接続すると共に、前記通信路とは独立した他の通信路があり、前記制御指示装置は、前記車両の自動運転の制御を行う機能を有する運転支援用ＥＣＵであって、車両走行用の前記駆動部を制御するための制御信号の前記駆動制御装置への送信に前記通信路又は前記他の通信路を介しており、前記制御指示装置は、前記攻撃判定ステップにおいて前記通信路について前記通信異常があると判定した場合に、前記他の通信路のみを介して前記駆動制御装置と通信を行い、前記制御指示装置は、前記攻撃判定ステップにおいて前記通信路について前記通信異常があると判定した場合において、前記他の通信路のみを用いて、運転者が適正な運転姿勢にあり、自動運転から手動運転へのハンドオーバが可能である場合、ハンドオーバ処理を開始し、ハンドオーバが不可能である場合、前記車両を停止させる制御を行う。
請求項５に記載の攻撃判定方法は、車両において制御指示装置が通信路を通じて駆動制御装置に指示を行うことで、駆動制御装置が駆動部を駆動させる場合に適用される。当該攻撃判定方法では、制御指示装置及び駆動制御装置の各々において実行される比較ステップにおいて通信路の通信における通信周期と予め記憶されている基準周期とが比較され、攻撃判定ステップにおいて比較ステップの比較結果に基づいて通信路に対する攻撃が判定される。そのため、当該攻撃判定方法によれば、メッセージ認証を使用することなく車両ネットワークに対する攻撃を判定することができる。すなわち、車両ネットワークの負荷を抑えつつ、外部から車内ネットワークに対する攻撃等の通信異常の判定を行うことができる。
また、攻撃判定方法では、複数の制御装置が通信路及び他の通信路の双方により通信可能に接続されており、通信路について通信異常がある場合には他の通信路により制御装置間の通信が行われる。そのため、当該車両制御システムによれば、通信路について通信異常があった場合でも他の通信路の通信により駆動部の制御を継続することができる。
また、車両制御システムでは、自動運転に係る制御信号はセキュリティが担保された通信路を介して送信されることで、自動運転車両の通信の信頼性を向上させることができる。
請求項６に記載のプログラムは、車両に設けられた駆動部を制御する駆動制御装置と、前記駆動制御装置を制御する制御指示装置と、を含む複数の制御装置を相互に接続する通信路における攻撃を判定するプログラムであって、前記通信路を介した他の制御装置との通信における通信周期と予め記憶されている基準周期とを比較し、前記通信周期が前記基準周期に対して許容される誤差範囲内に入っていない場合に通信フレームを不正フレームとして検出し、検知回数をカウントし、比較結果としてカウントした検知回数を前記制御指示装置に通知する比較ステップと、前記比較ステップにおける前記検知回数の合計が予め設定した閾値を超えた場合に、前記通信路において生じた外部からの攻撃となりうる通信異常を判定する攻撃判定ステップと、を含む処理を前記制御指示装置が備えるコンピュータに実行させ、前記制御指示装置及び前記駆動制御装置を含む複数の制御装置を相互に通信可能に接続すると共に、前記通信路とは独立した他の通信路があり、前記制御指示装置は、前記車両の自動運転の制御を行う機能を有する運転支援用ＥＣＵであって、車両走行用の前記駆動部を制御するための制御信号の前記駆動制御装置への送信に前記通信路又は前記他の通信路を介しており、前記制御指示装置は、前記攻撃判定ステップにおいて前記通信路について前記通信異常があると判定した場合に、前記他の通信路のみを介して前記駆動制御装置と通信を行い、前記制御指示装置は、前記攻撃判定ステップにおいて前記通信路について前記通信異常があると判定した場合において、前記他の通信路のみを用いて、運転者が適正な運転姿勢にあり、自動運転から手動運転へのハンドオーバが可能である場合、ハンドオーバ処理を開始し、ハンドオーバが不可能である場合、前記車両を停止させる制御を行う。
請求項６に記載のプログラムは、車両において制御指示装置が通信路を通じて駆動制御装置に指示を行うことで、駆動制御装置が駆動部を駆動させる場合に適用される。当該プログラムでは、制御指示装置が駆動制御装置に指示を行う場合に、制御指示装置が備えるコンピュータは次の処理を実行する。すなわち、比較ステップにおいて通信路の通信における通信周期と予め記憶されている基準周期とが比較され、攻撃判定ステップにおいて比較ステップの比較結果に基づいて通信路に対する攻撃が判定される。そのため、当該プログラムによれば、メッセージ認証を使用することなく車両ネットワークに対する攻撃を判定することができる。すなわち、車両ネットワークの負荷を抑えつつ、外部から車内ネットワークに対する攻撃等の通信異常の判定を行うことができる。
また、プログラムでは、複数の制御装置が通信路及び他の通信路の双方により通信可能に接続されており、通信路について通信異常がある場合には他の通信路により制御装置間の通信が行われる。そのため、当該車両制御システムによれば、通信路について通信異常があった場合でも他の通信路の通信により駆動部の制御を継続することができる。
また、車両制御システムでは、自動運転に係る制御信号はセキュリティが担保された通信路を介して送信されることで、自動運転車両の通信の信頼性を向上させることができる。
本発明によれば、車両ネットワークの負荷を抑えつつ、外部から車内ネットワークに対する攻撃等の通信異常の判定を行うことができる。
実施形態に係る車両制御システムの概略構成を示す図である。 実施形態のＥＣＵのハードウェア構成を示すブロック図である。 実施形態の自動運転ＥＣＵの機能構成の例を示すブロック図である。 実施形態の駆動制御用のＥＣＵの機能構成の例を示すブロック図である。 実施形態において、各ＥＣＵにおいて実行される処理の流れを示すシーケンス図である。
図１は、本発明の実施形態に係る車両制御システム１０の概略構成を示すブロック図である。
（基本構成）
図１に示されるように、本実施形態に係る車両制御システム１０は、自動運転を可能とする車両１２に設けられている。
本実施形態の車両制御システム１０は、複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）２０と、複数のＥＣＵ２０同士を接続する通信路である車内バス３０と、ＤＣＭ（Ｄａｔａ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｍｏｄｕｌｅ）３４と、セントラルＧＷ（Ｃｅｎｔｒａｌ Ｇａｔｅｗａｙ）３８と、を含んで構成されている。
ＥＣＵ２０は、車両１２の各部を制御する制御装置として機能する。ＥＣＵ２０は、自動運転ＥＣＵ２２、ステアリングＥＣＵ２４、及びブレーキＥＣＵ２６を含む。なお、図示していないが、ＥＣＵ２０は、ボデーＥＣＵ、エンジンＥＣＵ、トランスミッションＥＣＵ、メータＥＣＵ、マルチメディアＥＣＵ、スマートキーＥＣＵ等を含んでいる。自動運転ＥＣＵ２２は運転支援用ＥＣＵであって、制御指示装置の一例である。また、ステアリングＥＣＵ２４及びブレーキＥＣＵ２６は駆動制御用のＥＣＵ２０であって、駆動制御装置の一例である。
ステアリングＥＣＵ２４及びブレーキＥＣＵ２６にはそれぞれアクチュエータ４０が接続されており、各アクチュエータ４０は、自動運転ＥＣＵ２２の制御信号に基づいて駆動する。すなわち、本実施形態の車両１２では、自動運転ＥＣＵ２２から送信された制御信号に基づいて、ステアリングＥＣＵ２４及びブレーキＥＣＵ２６等のＥＣＵ２０がアクチュエータ４０を駆動することで自動運転が実現される。ＥＣＵ２０の詳細な構成については後述する。
車内バス３０は、各ＥＣＵ２０を相互に接続するものである。車内バス３０は、車両１２の外部のネットワークＮと接続可能な第一バス３０Ａと、第一バス３０Ａとは独立し、かつ外部のネットワークから遮断された第二バス３０Ｂと、を含む。また、第一バス３０Ａには、各ＥＣＵ２０の他にＤＣＭ３４とセントラルＧＷ３８とが接続されている。
車内バス３０では、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）プロトコルによる通信が行われている。第一バス３０Ａは他の通信路の一例であり、第二バス３０Ｂは通信路の一例である。
ＤＣＭ３４は、通信網であるネットワークＮと車両１２とを接続する通信装置として設けられている。上述のようにＤＣＭ３４は、第一バス３０Ａに対して接続されている。
セントラルＧＷ３８は、ネットワークを管理したりデータを通信したりする機能を有している。上述のようにセントラルＧＷ３８は、第一バス３０Ａに対して接続されている。なお、第一バス３０Ａの他に図示しない複数のバスが接続されている。
また、セントラルＧＷ３８は、ＤＬＣ（Ｄａｔａ Ｌｉｎｋ Ｃｏｎｎｅｃｔｏｒ）４２と接続されている。このＤＬＣ４２は、無線機器１８との接続が可能である。つまり、セントラルＧＷ３８は、無線機器１８を介してネットワークＮと接続可能に構成されている。
（ＥＣＵ）
図２に示されるように、ＥＣＵ２０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２０Ａ、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２０Ｂ、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２０Ｃ、第一通信Ｉ／Ｆ（Ｉｎｔｅｒ Ｆａｃｅ）２０Ｄ、第二通信Ｉ／Ｆ２０Ｅ、及び入出力Ｉ／Ｆ２０Ｆを含んで構成されている。ＣＰＵ２０Ａ、ＲＯＭ２０Ｂ、ＲＡＭ２０Ｃ、第一通信Ｉ／Ｆ２０Ｄ、第二通信Ｉ／Ｆ２０Ｅ、及び入出力Ｉ／Ｆ２０Ｆは、内部バス２０Ｈを介して相互に通信可能に接続されている。
ＣＰＵ２０Ａは、中央演算処理ユニットであり、各種プログラムを実行したり、各部を制御したりする。すなわち、ＣＰＵ２０Ａは、ＲＯＭ２０Ｂからプログラムを読み出し、ＲＡＭ２０Ｃを作業領域としてプログラムを実行する。
ＲＯＭ２０Ｂは、各種プログラム及び各種データを記憶している。本実施形態では、ＲＯＭ２０Ｂに実行プログラム１００が記憶されている。実行プログラム１００は、後述する攻撃監視及び攻撃対応に係る処理を行うためのプログラムである。また、ＲＯＭ２０Ｂには、フレームパラメータ１２０が記憶されている。フレームパラメータ１２０は、各車内バス３０を通信するフレームの間隔である基準周期を記憶したものである。
ＲＡＭ２０Ｃは、作業領域として一時的にプログラム又はデータを記憶する。ＲＡＭ２０Ｃには、フレーム受信ログ１４０が記憶されている。フレーム受信ログ１４０は、他のＥＣＵ２０からフレームを受信した際の受信した時刻が記憶されている。
第一通信Ｉ／Ｆ２０Ｄは、他のＥＣＵ２０と接続するためのインタフェースである。当該インタフェースは、ＣＡＮプロトコルによる通信規格が用いられる。第一通信Ｉ／Ｆ２０Ｄは、第一バス３０Ａに対して接続されている。
第二通信Ｉ／Ｆ２０Ｅは、他のＥＣＵ２０と接続するためのインタフェースである。当該インタフェースは、ＣＡＮプロトコルによる通信規格が用いられる。第二通信Ｉ／Ｆ２０Ｅは、第二バス３０Ｂに対して接続されている。
なお、本実施形態では、第一通信Ｉ／Ｆ２０Ｄ及び第二通信Ｉ／Ｆ２０Ｅを異なるインタフェースとして設けているが、これに限らず、一つの通信インタフェースが第一バス３０Ａ及び第二バス３０Ｂに接続されていてもよい。この場合、第一バス３０Ａと第二バス３０Ｂとが異なるチャンネルに接続される等、第一バス３０Ａの通信と第二バス３０Ｂの通信とは独立したものとする。
入出力Ｉ／Ｆ２０Ｆは、アクチュエータ４０又はメータ５０と通信するためのインタフェースである。詳しくは、駆動制御用のＥＣＵ２０の入出力Ｉ／Ｆ２０Ｆには、アクチュエータ４０が接続され、自動運転ＥＣＵ２２の入出力Ｉ／Ｆ２０Ｆには、メータ５０が接続されている。なお、メータ５０はメータＥＣＵを介して接続されていてもよい。なお、入出力Ｉ／Ｆ２０Ｆに接続される機器類はアクチュエータ４０及びメータ５０に限らず、他のセンサ類が接続されていてもよい。
（自動運転ＥＣＵ）
図３は、自動運転ＥＣＵ２２の機能構成の例を示すブロック図である。図３に示されるように、自動運転ＥＣＵ２２は、送信部２００、受信部２１０、生成部２２０、認証部２３０、攻撃検出部２４０、攻撃集約部２５０、攻撃判定部２６０及び運転制御部２７０を有している。各機能構成は、ＣＰＵ２０ＡがＲＯＭ２０Ｂに記憶された実行プログラム１００を読み出し、これを実行することによって実現される。
送信部２００は、他のＥＣＵ２０に向けて通信フレームを送信する機能を有している。つまり、送信部２００は、第一バス３０Ａ及び第二バス３０Ｂの双方に対して通信フレームを出力することが可能である。ここで、通信フレームはＣＡＮＩＤ及び通信データを含んでいる。
なお、第一バス３０Ａ及び第二バス３０Ｂを通じて送信される通信データは、メッセージに対して認証コードであるＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を含めることができる。例えば、車両１２の緊急停止に係る制御信号に対してはメッセージ認証を行う。すなわち、送信部２００は、ブレーキや舵角に関する制御信号のメッセージに対しては生成部２２０において生成されたＭＡＣを付加して送信する。これに対して、緊急停止以外の制御信号に対してはメッセージ認証を行わず、送信部２００は制御信号のみを送信する。ここで、緊急停止に係る制御信号は、通信路における攻撃判定時のリスクの高い情報であって、第一種の情報に相当する。また、緊急停止以外の制御信号は、第二種の情報に相当する。
受信部２１０は、他のＥＣＵ２０から通信フレームを受信する機能を有している。つまり、受信部２１０は、第一バス３０Ａ及び第二バス３０Ｂの双方から通信フレームを取得することが可能である。
生成部２２０は、暗号鍵を使用して所定のデータからＭＡＣを生成する機能を有している。ＥＣＵ２０が送信側となる場合の生成部２２０は、送信するメッセージと暗号鍵とに基づいて演算処理を実行してＭＡＣを生成する。一方、ＥＣＵ２０が受信側となる場合の生成部２２０は、送信側のＥＣＵ２０から受信したメッセージと暗号鍵とに基づいて演算処理を実行して検証用ＭＡＣを生成する。本実施形態の暗号鍵は、送信側と受信側とで共通とされる共通鍵が使用される。
認証部２３０は、メッセージを認証する機能を有している。認証部２３０は、受信した通信データに含まれるＭＡＣと、受信したメッセージから生成された検証用ＭＡＣとを比較して一致した場合にメッセージを認証する。また、認証部２３０は、メッセージの認証が不成立の場合、認証不成立の回数をカウントする。
比較部としての攻撃検出部２４０は、他のＥＣＵ２０から受信したフレームが不正なフレームか否かを判定する機能を有している。この攻撃検出部２４０は、フレーム受信ログ１４０とフレームパラメータ１２０とに基づいて不正フレームが挿入されているか否かの判定を行う。具体的に、攻撃検出部２４０はフレーム受信ログ１４０に記憶されている所定フレームの受信時刻と一つ前に受信したフレームの受信時刻との差から通信周期を算出し、当該通信周期とフレームパラメータ１２０に記憶されている基準周期とを比較する。
そして、攻撃検出部２４０は通信周期と基準周期とが一致しない場合、詳しくは、通信周期が基準周期に対して許容される誤差範囲内に入っていない場合、当該通信周期を算出した際の所定フレームを不正フレームとして検出する。
攻撃集約部２５０は、他のＥＣＵ２０からそれぞれ通知された不正フレームの検知回数を集約する機能を有している。具体的には駆動制御用のＥＣＵ２０の後述する攻撃通知部２８０から通知された検知回数を取得する。また、攻撃集約部２５０は、他のＥＣＵ２０からそれぞれ通知された認証不成立の回数を取得することができる。
攻撃判定部２６０は、車両ネットワークが攻撃を受けているか否かを判定する機能を有している。攻撃判定部２６０は、攻撃検出部２４０から取得した不正フレームの検知回数と、攻撃集約部２５０から取得した不正フレームの検知回数との合計が予め定めた閾値を上回る場合に、車内バス３０が攻撃を受けていると判定する。また、攻撃判定部２６０は、認証部２３０から取得した認証不成立の回数と、攻撃集約部２５０から取得した認証不成立の回数との合計が予め定めた閾値を上回る場合に、車内バス３０が攻撃を受けていると判定する。
運転制御部２７０は、車両１２の自動運転の制御を行う機能を有している。運転制御部２７０は、車両１２に搭載された認識センサやネットワークＮ等から車両１２に係るデータを取得し、取得したデータに基づいて車両１２の走行計画を作成し、アクチュエータ４０を制御するための制御信号を生成する。
また、運転制御部２７０は、攻撃検出部２４０により何れか一方の車内バス３０が攻撃を受けていると検知された場合、縮退処理を実行する。縮退処理において運転制御部２７０は、攻撃を受けていない他方の車内バス３０を通じて制御信号を送信するように制御する。これにより、運転制御部２７０は、自動運転から手動運転にハンドオーバを行い車両１２の運転を運転者に戻すか、車両１２を安全な場所に速やかに停車させて自動運転を終了させる。縮退処理が行われる場合、運転制御部２７０は、メータ５０に対して自動運転を終了し手動運転に切り替える旨や、直ちに停車させて自動運転を終了する旨を運転者に通知する。
（駆動制御用ＥＣＵ）
駆動制御用のＥＣＵ２０であるステアリングＥＣＵ２４及びブレーキＥＣＵ２６は、自動運転ＥＣＵ２２に対して以下の点で相違する。なお、その他の構成及び機能は自動運転ＥＣＵ２２と同じであり、詳細な説明は割愛する。
図４は、駆動制御用のＥＣＵ２０であるステアリングＥＣＵ２４及びブレーキＥＣＵ２６の機能構成の例を示すブロック図である。図４に示されるように、駆動制御用のＥＣＵ２０は、送信部２００、受信部２１０、生成部２２０、認証部２３０、攻撃検出部２４０、攻撃通知部２８０、及び駆動指示部２９０を有している。送信部２００、受信部２１０、生成部２２０、認証部２３０、及び攻撃検出部２４０の機能は、自動運転ＥＣＵ２２と同じである。
攻撃通知部２８０は、攻撃検出部２４０から取得した不正フレームの検知回数を自動運転ＥＣＵ２２に通知する機能を有している。また、攻撃通知部２８０は、認証部２３０が認証不成立と判定した回数を自動運転ＥＣＵ２２に通知することができる。
駆動指示部２９０は、受信部２１０で受信したメッセージに含まれる制御信号に基づいて各アクチュエータ４０を駆動させる機能を有している。例えば、ステアリングＥＣＵ２４の駆動指示部２９０は、制御信号に含まれるステアリングの舵角量に応じてアクチュエータ４０を駆動して操舵輪を転舵させる。また例えば、ブレーキＥＣＵ２６は、制御信号に含まれる制動量に応じてアクチュエータ４０を駆動して各車輪を制動させる。
（制御の流れ）
本実施形態において、各ＥＣＵ２０において実行される攻撃監視及び攻撃対応に係る処理の流れの例を図５のシーケンス図で説明する。なお、同図は、自動運転ＥＣＵ２２から制御信号をＣＰＵ２０Ａは第一バス３０Ａ及び第二バス３０Ｂの双方を通じてステアリングＥＣＵ２４及びブレーキＥＣＵ２６に送信して車両１２の自動運転を行う例である。
図５のステップＳ１０において、自動運転ＥＣＵ２２は第一バス３０Ａ及び第二バス３０Ｂを通じてステアリングＥＣＵ２４に向けて制御信号を送信する。また、ステップＳ１１において、自動運転ＥＣＵ２２は第一バス３０Ａ及び第二バス３０Ｂを通じてブレーキＥＣＵ２６に向けて制御信号を送信する。
ステップＳ１２において、自動運転ＥＣＵ２２は、受信フレームの受信時刻を記憶する。図示しないが、自動運転ＥＣＵ２２はセントラルＧＷ３８や他のＥＣＵ２０からフレームを受信している。
ステップＳ１３において、ステアリングＥＣＵ２４は、制御信号を含む受信フレームの受信時刻を記憶する。同様に、ステップＳ１４において、ブレーキＥＣＵ２６は、制御信号を含む受信フレームの受信時刻を記憶する。
ステップＳ１５において、ステアリングＥＣＵ２４は第一バス３０Ａ及び第二バス３０Ｂの双方から受信した制御信号のうち、第二バス３０Ｂから受信した制御信号をアクチュエータ４０の駆動制御に反映させる。同様に、ステップＳ１６において、ブレーキＥＣＵ２６は第一バス３０Ａ及び第二バス３０Ｂの双方から受信した制御信号のうち、第二バス３０Ｂから受信した制御信号をアクチュエータ４０の駆動制御に反映させる。
ステップＳ１７において、自動運転ＥＣＵ２２は、不正フレーム検出処理を実行する。すなわち、受信時刻から算出した通信周期とフレームパラメータ１２０に記憶されている基準周期とを比較し、一致しない場合を不正フレームとして検出し、その回数をカウントする。
同様に、ステップＳ１８において、ステアリングＥＣＵ２４は、不正フレーム検出処理を実行し、ステップＳ１９において、ブレーキＥＣＵ２６は、不正フレーム検出処理を実行する。
ステップＳ２０において、ステアリングＥＣＵ２４は、不正フレームの検出回数を自動運転ＥＣＵ２２に通知する。同様に、ステップＳ２１において、ブレーキＥＣＵ２６は、不正フレームの検出回数を自動運転ＥＣＵ２２に通知する。
ステップＳ２２において、自動運転ＥＣＵ２２は、他のＥＣＵ２０から不正フレームの検出回数を集約する。
ステップＳ２３において、自動運転ＥＣＵ２２は、車内バス３０に対する攻撃判定を行う。例えば、各ＥＣＵ２０で検知された第二バス３０Ｂにおける不正フレームの検知回数の合計が予め設定した閾値を超えた場合、自動運転ＥＣＵ２２は第二バス３０Ｂが攻撃を受けていると判定する。
そして、第二バス３０Ｂが攻撃を受けている場合、以下の制御が実行される。
ステップＳ２４において、自動運転ＥＣＵ２２は、縮退処理を開始させる。すなわち、自動運転ＥＣＵ２２は、運転者が適正な運転姿勢にある場合等、自動運転から手動運転へのハンドオーバが可能である場合、ハンドオーバ処理を開始する。この場合、自動運転ＥＣＵ２２は、ハンドオーバを行う旨をメータ５０に表示して運転者に通知する。また、自動運転ＥＣＵ２２は、バンドオーバが不可能である場合、車両１２を停止させる制御を行う。この場合、自動運転ＥＣＵ２２は、車両１２を停止させる旨をメータ５０に表示して運転者に通知する。なお、メータ５０における通知は表示のみに限らず、音声を伴っていてもよい。
ステップＳ２５において、自動運転ＥＣＵ２２は第一バス３０Ａのみを通じてステアリングＥＣＵ２４に向けて制御信号を送信する。また、ステップＳ２６において、自動運転ＥＣＵ２２は第一バス３０Ａのみを通じてブレーキＥＣＵ２６に向けて制御信号を送信する。
ステップＳ２７において、ステアリングＥＣＵ２４は第一バス３０Ａから受信した制御信号をアクチュエータ４０の駆動制御に反映させる。同様に、ステップＳ２８において、ブレーキＥＣＵ２６は第一バス３０Ａから受信した制御信号をアクチュエータ４０の駆動制御に反映させる。これにより、車両１２では最小限の自動運転が継続され、自動運転ＥＣＵ２２は車両１２を安全な場所に速やかに停車させる。
（実施形態のまとめ）
本実施形態の車両制御システム１０は、自動運転ＥＣＵ２２が駆動制御用のＥＣＵ２０に制御信号を送信することで、駆動制御用のＥＣＵ２０がアクチュエータ４０を駆動させて車両１２を走行させるものである。本実施形態は、自動運転ＥＣＵ２２及び駆動制御用のＥＣＵ２０を含むＥＣＵ２０を相互に通信可能に接続する車内バス３０である第一バス３０Ａと第二バス３０Ｂとを備えている。ここで、第一バス３０Ａは、ＤＣＭ３４を通じてネットワークＮと通信が可能であり、セントラルＧＷ３８及び無線機器１８を通じてネットワークＮと通信が可能である。一方、第二バス３０Ｂは第一バス３０Ａとは独立し、かつ車外から遮断されたネットワークとして構成されている。
本実施形態では、各ＥＣＵ２０に設けられた攻撃検出部２４０が各車内バス３０の通信における通信周期とフレームパラメータ１２０に予め記憶されている基準周期とを比較して不一致の場合に不正フレームを検出する。そして、攻撃判定部２６０が各ＥＣＵ２０の攻撃検出部２４０における比較結果に基づいて車内バス３０に対する攻撃を判定する。そのため、本実施形態によれば、必ずしもメッセージ認証を使用しなくとも車両ネットワークに対する攻撃を判定することができる。
ここで、メッセージ認証で通信する場合、８ｂｙｔｅのデータ長しかないペイロード部分に割り当てて通信を行うためには、８ｂｙｔｅ分を使っていた元々のフレームは２つのフレームに分けて送信する必要が出てくる。その結果、メッセージ認証で通信をするフレーム数が多い場合、送信フレーム数が大幅に増加し、バス負荷が増大する。
また、付与するＭＡＣは攻撃者等に通信Ｌｏｇから暗号鍵が解析されないよう、複雑な計算を行う。そのため、元々暗号演算等を考慮されていない既存のＥＣＵ２０の場合、ＭＡＣ演算による処理負荷が重く、本来機能の処理を逼迫する状態にする。これに対して、本実施形態によれば、車両ネットワークやＥＣＵ２０の負荷を抑えつつ、外部からの攻撃等の通信異常の判定を行うことができる。
ただし、本実施形態の車両制御システム１０では、車両１２の緊急停止に係る制御信号については不正フレームの検出と合わせてメッセージ認証を行うことで、攻撃判定部２６０は車内バス３０に対する攻撃を判定することができる。他方、緊急停止以外に係る制御信号について、攻撃判定部２６０は不正フレームの検出に基づいて車内バス３０に対する攻撃を判定すれば足りる。したがって、本実施形態によれば、車内バス３０における一部の通信においてはメッセージ認証を必要としないため、車両ネットワークの負荷を抑えつつ、通信異常判定を行うことができる。
特に、車両１２の緊急停止に係る制御信号のように車内バス３０が攻撃を受けた場合にリスクの高い情報についてはメッセージ認証のような、より確実な認証手段を設けることにより、セキュリティ性を担保しつつ、車両ネットワークの負荷を抑えることができる。
そして、緊急停止に係る制御信号がセキュリティの担保された車内バス３０を介して送信されることで、自動運転車両における通信の信頼性を向上させることができる。
さらに、本実施形態の車両制御システム１０では、複数のＥＣＵ２０が第一バス３０Ａと第二バス３０Ｂの双方により通信可能に接続されている。通常、外部とは遮断されている第二バス３０Ｂを主に使用することで、信頼性の確保された通信を行うことができるが、仮に第二バス３０Ｂに対する攻撃がある場合には第一バス３０ＡによりＥＣＵ２０間の通信を行うことができる。
すなわち、車内バス３０に不正フレームを挿入されている場合でも、車両１２が危険な車両挙動を示す前に処置を行うことができる。そのため、本実施形態によれば、仮に第二バス３０Ｂに対して攻撃があった場合でも第一バス３０Ａの通信により車両１２の自動運転を継続することができる。
（変形例）
上記実施形態の攻撃判定部２６０は各ＥＣＵ２０における不正フレームの検出回数や認証不成立の回数の合計値に基づいて車内バス３０の攻撃を判定しているが、これに限らず、各ＥＣＵ２０において車内バス３０の攻撃を判定してもよい。
具体的には、本変形例における攻撃検出部２４０は、一定期間内に所定回数以上の不正フレームを検出した場合、攻撃状態と判定する。また、攻撃検出部２４０は、一定期間内に受信したフレームの通信データにおいてＭＡＣと検証用ＭＡＣとの不一致が所定回数以上あった場合、攻撃状態と判定する。そして、自動運転ＥＣＵ２２の攻撃判定部２６０は、何れか一のＥＣＵ２０において攻撃状態と判定されている場合に、システム全体が攻撃を受けていると判定する。本変形例の場合も本実施形態と同様の作用効果を奏する。
［備考］
上記実施形態では、車両１２の緊急停止に係る制御信号にはメッセージ認証を適用しているが、この限りではなく、外部から遮断された第二バス３０Ｂを使用する場合に限れば、必ずしもメッセージ認証は必要とされない。第二バス３０Ｂの通信に対してメッセージ認証を省略することにより、認証に係るＥＣＵ２０の負担を軽減することができる。
なお、上記実施形態でＣＰＵ２０Ａがソフトウェア（プログラム）を読み込んで実行した各処理を、ＣＰＵ以外の各種のプロセッサが実行してもよい。この場合のプロセッサとしては、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等の製造後に回路構成を変更可能なＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）、及びＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）等の特定の処理を実行させるために専用に設計された回路構成を有するプロセッサである専用電気回路等が例示される。また、各処理を、これらの各種のプロセッサのうちの１つで実行してもよいし、同種又は異種の２つ以上のプロセッサの組み合わせ（例えば、複数のＦＰＧＡ、及びＣＰＵとＦＰＧＡとの組み合わせ等）で実行してもよい。また、これらの各種のプロセッサのハードウェア的な構造は、より具体的には、半導体素子等の回路素子を組み合わせた電気回路である。
また、上記実施形態において、プログラムはコンピュータが読み取り可能な非一時的記録媒体に予め記憶（インストール）されている態様で説明した。例えば、車両１２のＥＣＵ２０において実行プログラム１００は、ＲＯＭ２０Ｂに予め記憶されている。しかしこれに限らず、各プログラムは、ＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＤＶＤ－ＲＯＭ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、及びＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ等の非一時的記録媒体に記録された形態で提供されてもよい。また、各プログラムは、ネットワークを介して外部装置からダウンロードされる形態としてもよい。
上記実施形態で説明した処理の流れも、一例であり、主旨を逸脱しない範囲内において不要なステップを削除したり、新たなステップを追加したり、処理順序を入れ替えたりしてもよい。
１０ 車両制御システム
１２ 車両
２０ ＥＣＵ（制御装置）
２２ 自動運転ＥＣＵ（制御指示装置、運転支援用ＥＣＵ）
２４ ステアリングＥＣＵ（駆動制御装置）
２６ ブレーキＥＣＵ（駆動制御装置）
３０Ａ 第一バス（他の通信路）
３０Ｂ 第二バス（通信路）
４０ アクチュエータ（駆動部）
１００ 実行プログラム（プログラム）
２３０ 認証部
２４０ 攻撃検出部（比較部）
２６０ 攻撃判定部

Claims (6)

  1. 車両に設けられた駆動部を制御する制御装置である駆動制御装置と、
    前記駆動制御装置に対する通信による指示を行うことで前記駆動制御装置を制御する制御装置である制御指示装置と、
    前記制御指示装置及び前記駆動制御装置を含む複数の前記制御装置を相互に通信可能に接続する通信路と、
    前記制御指示装置及び前記駆動制御装置の各々に設けられ、前記通信路を介した他の制御装置との通信における通信周期と予め記憶されている基準周期とを比較し、前記通信周期が前記基準周期に対して許容される誤差範囲内に入っていない場合に通信フレームを不正フレームとして検出し、検知回数をカウントし、比較結果としてカウントした検知回数を前記制御指示装置に通知する比較部と、
    前記制御指示装置に設けられ、前記制御指示装置及び前記駆動制御装置の各前記比較部における前記検知回数の合計が予め設定した閾値を超えた場合に、前記通信路において生じた外部からの攻撃となりうる通信異常を判定する攻撃判定部と、
    を備え、
    前記制御指示装置及び前記駆動制御装置を含む複数の制御装置を相互に通信可能に接続すると共に、前記通信路とは独立した他の通信路を備え、
    前記制御指示装置は、前記車両の自動運転の制御を行う機能を有する運転支援用ＥＣＵであって、車両走行用の前記駆動部を制御するための制御信号の前記駆動制御装置への送信に前記通信路又は前記他の通信路を介しており、
    前記制御指示装置は、前記攻撃判定部が前記通信路について前記通信異常があると判定した場合に、前記他の通信路のみを介して前記駆動制御装置と通信を行い、
    前記制御指示装置は、前記攻撃判定部が前記通信路について前記通信異常があると判定した場合において、前記他の通信路のみを用いて、運転者が適正な運転姿勢にあり、自動運転から手動運転へのハンドオーバが可能である場合、ハンドオーバ処理を開始し、ハンドオーバが不可能である場合、前記車両を停止させる制御を行う、車両制御システム。
  2. 前記制御指示装置及び前記駆動制御装置の各々は、他の制御装置との通信においてメッセージ認証を行う認証部を備え、
    前記攻撃判定部は、
    第一種の情報対しては、前記認証部が実行したメッセージ認証に基づいて前記通信路についての前記通信異常を判定し、
    前記第一種の情報とは異なる第二種の情報に対しては、前記比較部の比較結果に基づいて前記通信路についての前記通信異常を判定する請求項１に記載の車両制御システム。
  3. 前記第一種の情報は、前記第二種の情報よりも前記通信路における攻撃判定時のリスクの高い情報であって緊急停止に係る制御信号である請求項２に記載の車両制御システム。
  4. 前記車両は複数の前記駆動制御装置として、前記駆動部を制御するＥＣＵであって、ステアリングＥＣＵと、ブレーキＥＣＵとを少なくとも含み、
    前記攻撃判定部は、更に、複数の前記駆動制御装置に設けられることにより、前記複数の制御装置のそれぞれに設けられ、
    前記複数の制御装置のそれぞれの前記攻撃判定部において、前記通信異常を判定し、何れかの前記制御装置において前記通信異常と判定されている場合に、システム全体について前記通信異常であると判定する、請求項１～３の何れか１項に記載の車両制御システム。
  5. 車両に設けられた駆動部を制御する駆動制御装置と、前記駆動制御装置を制御する制御指示装置と、を含む複数の制御装置を相互に接続する通信路における攻撃判定方法であって、
    前記制御指示装置及び前記駆動制御装置の各々において実行され、前記通信路を介した他の制御装置との通信における通信周期と予め記憶されている基準周期とを比較し、前記通信周期が前記基準周期に対して許容される誤差範囲内に入っていない場合に通信フレームを不正フレームとして検出し、検知回数をカウントし、比較結果としてカウントした検知回数を前記制御指示装置に通知する比較ステップと、
    前記制御指示装置において実行され、前記比較ステップにおける前記検知回数の合計が予め設定した閾値を超えた場合に、前記通信路において生じた外部からの攻撃となりうる通信異常を判定する攻撃判定ステップと、を含み、
    前記制御指示装置及び前記駆動制御装置を含む複数の制御装置を相互に通信可能に接続すると共に、前記通信路とは独立した他の通信路があり、
    前記制御指示装置は、前記車両の自動運転の制御を行う機能を有する運転支援用ＥＣＵであって、車両走行用の前記駆動部を制御するための制御信号の前記駆動制御装置への送信に前記通信路又は前記他の通信路を介しており、
    前記制御指示装置は、前記攻撃判定ステップにおいて前記通信路について前記通信異常があると判定した場合に、前記他の通信路のみを介して前記駆動制御装置と通信を行い、
    前記制御指示装置は、前記攻撃判定ステップにおいて前記通信路について前記通信異常があると判定した場合において、前記他の通信路のみを用いて、運転者が適正な運転姿勢にあり、自動運転から手動運転へのハンドオーバが可能である場合、ハンドオーバ処理を開始し、ハンドオーバが不可能である場合、前記車両を停止させる制御を行う、
    攻撃判定方法。
  6. 車両に設けられた駆動部を制御する駆動制御装置と、前記駆動制御装置を制御する制御指示装置と、を含む複数の制御装置を相互に接続する通信路における攻撃を判定するプログラムであって、
    前記通信路を介した他の制御装置との通信における通信周期と予め記憶されている基準周期とを比較し、前記通信周期が前記基準周期に対して許容される誤差範囲内に入っていない場合に通信フレームを不正フレームとして検出し、検知回数をカウントし、比較結果としてカウントした検知回数を前記制御指示装置に通知する比較ステップと、
    前記比較ステップにおける前記検知回数の合計が予め設定した閾値を超えた場合に、前記通信路において生じた外部からの攻撃となりうる通信異常を判定する攻撃判定ステップと、
    を含む処理を前記制御指示装置が備えるコンピュータに実行させ、
    前記制御指示装置及び前記駆動制御装置を含む複数の制御装置を相互に通信可能に接続すると共に、前記通信路とは独立した他の通信路があり、
    前記制御指示装置は、前記車両の自動運転の制御を行う機能を有する運転支援用ＥＣＵであって、車両走行用の前記駆動部を制御するための制御信号の前記駆動制御装置への送信に前記通信路又は前記他の通信路を介しており、
    前記制御指示装置は、前記攻撃判定ステップにおいて前記通信路について前記通信異常があると判定した場合に、前記他の通信路のみを介して前記駆動制御装置と通信を行い、
    前記制御指示装置は、前記攻撃判定ステップにおいて前記通信路について前記通信異常があると判定した場合において、前記他の通信路のみを用いて、運転者が適正な運転姿勢にあり、自動運転から手動運転へのハンドオーバが可能である場合、ハンドオーバ処理を開始し、ハンドオーバが不可能である場合、前記車両を停止させる制御を行う、プログラム。
JP2020055168A 2020-03-25 2020-03-25 車両制御システム、攻撃判定方法及びプログラム Active JP7283427B2 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2020055168A JP7283427B2 (ja) 2020-03-25 2020-03-25 車両制御システム、攻撃判定方法及びプログラム
US17/193,027 US11713058B2 (en) 2020-03-25 2021-03-05 Vehicle control system, attack judging method, and recording medium on which program is recorded
CN202110244080.5A CN113442848B (zh) 2020-03-25 2021-03-05 车辆控制系统、攻击判定方法及记录有程序的记录介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2020055168A JP7283427B2 (ja) 2020-03-25 2020-03-25 車両制御システム、攻撃判定方法及びプログラム

Publications (2)

Publication Number Publication Date
JP2021157338A JP2021157338A (ja) 2021-10-07
JP7283427B2 true JP7283427B2 (ja) 2023-05-30

Family

ID=77809024

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2020055168A Active JP7283427B2 (ja) 2020-03-25 2020-03-25 車両制御システム、攻撃判定方法及びプログラム

Country Status (3)

Country Link
US (1) US11713058B2 (ja)
JP (1) JP7283427B2 (ja)
CN (1) CN113442848B (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI791322B (zh) * 2021-11-10 2023-02-01 財團法人資訊工業策進會 流量控制伺服器及流量控制方法
JP7552623B2 (ja) 2022-01-12 2024-09-18 トヨタ自動車株式会社 通信装置、車両、通信方法、及びプログラム

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004328488A (ja) 2003-04-25 2004-11-18 Denso Corp 車両用通信システム
JP2008271040A (ja) 2007-04-18 2008-11-06 Toyota Motor Corp 通信装置、通信システム
JP2012249107A (ja) 2011-05-27 2012-12-13 Toshiba Corp 通信システム
JP2018160786A (ja) 2017-03-22 2018-10-11 パナソニックＩｐマネジメント株式会社 監視装置、監視方法およびコンピュータプログラム
JP2019191063A (ja) 2018-04-27 2019-10-31 三菱電機株式会社 検査システム

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5772666B2 (ja) * 2012-03-05 2015-09-02 株式会社オートネットワーク技術研究所 通信システム
JP2014058210A (ja) * 2012-09-18 2014-04-03 Hitachi Automotive Systems Ltd 車両制御装置および車両制御システム
EP4236196A3 (en) 2014-05-08 2023-10-18 Panasonic Intellectual Property Corporation of America In-vehicle network system, fraud-sensing electronic control unit, and anti-fraud method
JP6081437B2 (ja) * 2014-12-04 2017-02-15 本田技研工業株式会社 車両通信システム
JP5968501B1 (ja) * 2015-06-01 2016-08-10 三菱電機株式会社 車載電子制御装置
JP6649215B2 (ja) * 2015-12-14 2020-02-19 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ装置、ネットワークシステム及び攻撃検知方法
CN109074453B (zh) * 2016-04-26 2021-10-26 三菱电机株式会社 入侵检测装置、入侵检测方法以及计算机能读取的存储介质
JP6846991B2 (ja) * 2016-07-05 2021-03-24 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 異常検知電子制御ユニット、車載ネットワークシステム及び異常検知方法
WO2018186053A1 (ja) * 2017-04-07 2018-10-11 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正通信検知方法、不正通信検知システム及びプログラム
CN109688152B (zh) * 2019-01-03 2021-01-12 南京邮电大学 一种面向车载can总线的报文注入式攻击的检测方法
JP2019209961A (ja) * 2019-04-10 2019-12-12 パナソニックＩｐマネジメント株式会社 情報処理装置、監視方法、プログラム及びゲートウェイ装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004328488A (ja) 2003-04-25 2004-11-18 Denso Corp 車両用通信システム
JP2008271040A (ja) 2007-04-18 2008-11-06 Toyota Motor Corp 通信装置、通信システム
JP2012249107A (ja) 2011-05-27 2012-12-13 Toshiba Corp 通信システム
JP2018160786A (ja) 2017-03-22 2018-10-11 パナソニックＩｐマネジメント株式会社 監視装置、監視方法およびコンピュータプログラム
JP2019191063A (ja) 2018-04-27 2019-10-31 三菱電機株式会社 検査システム

Also Published As

Publication number Publication date
CN113442848B (zh) 2023-10-20
US20210300432A1 (en) 2021-09-30
CN113442848A (zh) 2021-09-28
JP2021157338A (ja) 2021-10-07
US11713058B2 (en) 2023-08-01

Similar Documents

Publication Publication Date Title
JP7231559B2 (ja) 異常検知電子制御ユニット、車載ネットワークシステム及び異常検知方法
JP7524421B2 (ja) 運転管理システム、車両、及び、情報処理方法
US20180004964A1 (en) Security system and method for protecting a vehicle electronic system
JP7283427B2 (ja) 車両制御システム、攻撃判定方法及びプログラム
JP2018157463A (ja) 車載通信システム、通信管理装置、車両制御装置
CN110892683B (zh) 车载装置、管理方法和管理程序
KR101491293B1 (ko) 게이트웨이 장치 및 그의 메시지 라우팅 방법
JP2019008618A (ja) 情報処理装置、情報処理方法及びプログラム
KR101972457B1 (ko) Can 통신 기반 해킹공격 탐지 방법 및 시스템
JP2020108132A (ja) 電子制御システム、電子制御装置、制御方法及びプログラム
US11394726B2 (en) Method and apparatus for transmitting a message sequence over a data bus and method and apparatus for detecting an attack on a message sequence thus transmitted
JP6920667B2 (ja) 情報処理装置、情報処理システム、情報処理方法、及びプログラム
US11902300B2 (en) Method for monitoring a data transmission system, data transmission system and motor vehicle
US11814069B2 (en) Vehicle control system, data transmitting method, and recording medium on which program is recorded
WO2020246031A1 (ja) 車載制御装置および車載制御システム
JP2023102696A (ja) 通信装置、車両、通信方法、及びプログラム
CN111077873B (zh) 用于控制对信息-物理系统的访问的系统和方法
JP2022097250A (ja) 情報収集装置、情報収集システム、情報収集方法及びプログラム
JP2021147008A (ja) 車両制御装置
WO2022016419A1 (zh) 认证检测方法、装置及系统
JP2020068506A (ja) 電子制御装置、電子制御システム及びプログラム
US20240007450A1 (en) Apparatus, Method, and Computer Program for the Secure, High-Availability Transmission of Messages, and a Vehicle Comprising the Apparatus
JP7549948B1 (ja) 監視装置、監視方法、及び、プログラム
CN111464969B (zh) 车载联网电子系统的控制方法
CN113348124A (zh) 认证方法、认证系统以及认证装置

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20220422

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20230118

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20230124

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20230322

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20230418

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20230501

R151 Written notification of patent or utility model registration

Ref document number: 7283427

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151