JP7410804B2 - 車両制御システム、車両制御方法及び車両制御装置 - Google Patents

Description

本発明はＤｏＳ攻撃（Ｄｅｎｉａｌ ｏｆ ｓｅｒｖｉｃｅ ａｔｔａｃｋ）に対処する車載装置の通信方法に関する。

複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）を有する車両制御システムにおいて、車外及びＥＣＵ間の通信ではＥｔｈｅｒｎｅｔが採用され、通信の高速化及び大容量化が進んでいる。

ただし、Ｅｔｈｅｒｎｅｔを使用した場合、車外から攻撃対象のＥＣＵに対して大量のパケットを送信する行為、すなわちＤｏＳ攻撃が行われることがある。このＤｏＳ攻撃が行われることで、ＥＣＵ間の通信トラフィックの増加及びＥＣＵの機能不全が発生することがある。

このようなＤｏＳ攻撃を回避するための技術として、例えば、特許文献１が知られている。この特許文献１の技術では、攻撃対象のＥＣＵがＤｏＳ攻撃を検出した場合に、ＤｏＳ攻撃を経由するＥＣＵのＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）テーブルを変更(攻撃対象ＥＣＵを誘導)する。このような技術によれば、攻撃対象のＥＣＵへのＤｏＳ攻撃を回避することが可能となっている。

特開２０１７－００５５１９号公報 国際公開第２０１８／０６１３６２号

特許文献１では、ＤｏＳ攻撃による通信トラフィックの増加及びＥＣＵの処理負荷の影響が考慮されていない。そのため、ＤｏＳ攻撃を受けた場合に回避対処が遅延するという課題があった。

また、ＤｏＳ攻撃を回避するための他の手法として、特許文献２では、制御デバイス（例えば車両制御ＥＣＵ）より上位のゲートウェイ（例えば、車外―車内ＧＷＥＣＵ）でＤｏＳ攻撃のパケットのフィルタリング処理を行っている。

しかし、特許文献２の技術では、車外通信デバイス（例えば車外通信ＥＣＵ）が不正な通信によって掌握された場合の復帰処理や、制御デバイスをＤｏＳ攻撃対象とした場合の対処ができない、という課題があった。

そこで、本発明では、ＤｏＳ攻撃による通信トラフィック量の増加及びＥＣＵの負荷状況に依存せずに、ＤｏＳ攻撃を即時回避可能な技術を提供することを目的とする。

本発明は、プロセッサとメモリを有する車両制御装置と、車両の外部と通信を行う車外通信装置と、前記車両制御装置と前記車外通信装置の間で通信の中継を行うゲートウェイ装置と、を有する車両制御システムであって、前記車外通信装置と前記ゲートウェイ装置及び前記車両制御装置を接続して車両制御に関する通信を行う第１のネットワークと、前記車外通信装置と前記ゲートウェイ装置及び前記車両制御装置を接続して状態監視に関する通信を行う第２のネットワークと、を有し、前記車両制御装置は、前記第１のネットワークを介して前記車外通信装置からの情報を受信して車両の制御を行う車両制御部と、前記車両制御部の負荷情報を監視して不正な通信に基づく攻撃を検出する処理を前記車両制御部とは独立して行う状態監視部と、を有し、前記車両制御部は、当該車両制御部が受信する通信量及び前記車両制御部で行われる処理の負荷を負荷情報として格納する。

本発明によれば、攻撃対象の通信プロトコル及びＥＣＵの負荷状況に問わず、ＤｏＳ攻撃を即座に回避することができる車載装置を提供することができる。

本明細書において開示される主題の、少なくとも一つの実施の詳細は、添付されている図面と以下の記述の中で述べられる。開示される主題のその他の特徴、態様、効果は、以下の開示、図面、請求項により明らかにされる。

本発明の実施例１に係る車両制御システムの構成の一例を示すブロック図である。 本発明の実施例１に係る車両制御システムにおける車両制御ＥＣＵのハードウェア構成の一例を示すブロック図である。 本発明の実施例１に係る車両制御システムによるＤｏＳ攻撃の有無に応じた処理の一例を示すシーケンス図である。 本発明の実施例１に係る車両制御システムにおける車両制御ＥＣＵの車両制御プログラムについて、正常時の処理の一例を示すフローチャートである。 本発明の実施例１に係る車両制御システムにおける車両制御ＥＣＵの状態監視プログラムについて、ＤｏＳ攻撃を受けた際の処理の一例を示すフローチャートである。 本発明の実施例１に係る車両制御システムおける車両制御ＥＣＵのＣＰＵ使用率とイーサネットフレーム受信量の関係を示すグラフで、ＤｏＳ攻撃と判定する例を示す。 本発明の実施例１に係る車両制御システムおける車両制御ＥＣＵのＣＰＵ使用率とイーサネットフレーム受信量の関係を示すグラフで、正常と判定する例を示す。 本発明の実施例１に係る車両制御システムにおいて車両制御プログラムが記録する負荷情報の一例を示す図である。 本発明の実施例１に係る車両制御システムにおける車外通信ＥＣＵ、車外―車内ＧＷＥＣＵ及び車両制御ＥＣＵ間でやり取りされるＤｏＳ攻撃情報の一例を示す図である。 本発明の実施例１に係る車両制御システムにおける車外通信ＥＣＵで行われる、正常時の処理の一例を示すフローチャートである。 本発明の実施例１に係る車両制御システムにおける車外通信ＥＣＵで行われる、ＤｏＳ攻撃時の処理の一例を示すフローチャートである。 本発明の実施例１に係る車両制御システムにおける車外通信ＥＣＵで行われる、ＤｏＳ攻撃を受けた際の処理の一例を示すフローチャートである。 本発明の実施例１に係る車両制御システムにおける車外―車内ＧＷＥＣＵで行われる、正常時の処理の一例を示すフローチャートである。 本発明の実施例１に係る車両制御システムにおける車外―車内ＧＷＥＣＵで行われる、ＤｏＳ攻撃を受けた際の処理の一例を示すフローチャートである。 本発明の実施例２に係る車両制御システムにおける車両制御ＥＣＵのハードウェア構成の一例を示すブロック図である。 本発明の実施例１に係る車両制御システムにおける車外―車内ＧＷＥＣＵで行われる、ＤｏＳ攻撃を受けた際の処理の一例を示すフローチャートの変形例である。

以下、添付図面を参照して本発明の実施形態について説明する。添付図面では、機能的に同じ要素は同じ符号で表示される場合もある。なお、添付図面は本開示の原理に則った実施形態と実装例を示しているが、これらは本開示の理解のためのものであり、決して本開示を限定的に解釈するために用いられるものではない。本明細書の記述は典型的な例示に過ぎず、本開示の特許請求の範囲又は適用例を如何なる意味においても限定するものではない。

本実施形態では、当業者が本開示を実施するのに十分詳細にその説明がなされているが、他の実装及び形態も可能で、本開示の技術的思想の範囲と精神を逸脱することなく構成や構造の変更や多様な要素の置き換えが可能であることを理解する必要がある。従って、以降の記述をこれに限定して解釈してはならない。

図１は、本発明の実施例１に係る車両制御システムのブロック図を示す。まず、構成要素の名称と包含関係を記載し、次に各構成要素の機能を記載する。図１及び図２の構成図における処理の流れを図３、図４、図５、図９、図１０、図１１及び図１２のフローチャート又はシーケンス図を用いて説明する。

＜構成及び基本処理＞
車両制御システム１０１は、車外通信ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）１０２と、車外－車内ＧＷ（ＧａｔｅＷａｙ）ＥＣＵ１０３及び複数の車両制御ＥＣＵ１０４－１～１０４－ｎを有する。車両制御システム１０１は車両（図示省略）に搭載される。

また、当該車両には、当該車両の内部における装置の一例である、車両制御ＥＣＵ１０４－１～１０４－ｎは複数搭載される。以降、各ＥＣＵの基本処理について説明する。なお、車両制御ＥＣＵを個々に特定しない場合には、「－」以降を省略した符号「１０４」を使用する。他の構成要素の符号についても同様である。

車外通信ＥＣＵ（車外通信装置）１０２は、車両制御システム１０１の外部通信装置と情報のやり取りを行う。外部通信装置としては、例えば、無線通信装置及び通信モジュール等である。

無線通信装置は、例えば、ＬＴＥ（Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ）又は３Ｇ等の通信規格に従って、無線基地局装置１１０と無線通信を行うことが可能であり、かつ車外－車内ＧＷＥＣＵ（ゲートウェイ装置）１０３を経由して車両制御ＥＣＵ１０４と通信を行うことが可能である。

通信モジュールは、例えば、ＯＢＤ２（Ｏｎ Ｂｏａｒｄ Ｄｉａｇｎｏｓｉｓ ｓｅｃｏｎｄ ｇｅｎｅｒａｔｉｏｎ）の通信規格に従って、整備用端末装置１１１と無線通信を行うことが可能であり、かつ車外－車内ＧＷＥＣＵ１０３を経由して車両制御ＥＣＵ１０４と通信を行うことが可能である。なお、整備用端末装置１１１は、整備時以外では通信モジュールに接続されないことがある。

車外－車内ＧＷＥＣＵ１０３は、イーサネット１０、１２及びＣＡＮ（Ｃｏｎｔｒｏｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）１１、１３を経由して、車外通信ＥＣＵ１０２及び車両制御ＥＣＵ（車両制御装置）１０４と通信を行う。

車外－車内ＧＷＥＣＵ１０３は、車外通信ＥＣＵ１０２と車両制御ＥＣＵ１０４との間でやり取りされる情報の中継処理を行う。

車両制御ＥＣＵ１０４は、例えば、エンジン制御や、ＡＴ（Ａｕｔｏｍａｔｉｃ Ｔｒａｎｓｍｉｓｓｉｏｎ）制御や、ＨＥＶ（Ｈｙｂｒｉｄ Ｅｌｅｃｔｒｉｃ Ｖｅｈｉｃｌｅ）制御や、ブレーキ制御や、シャーシ制御や、ステアリング制御及び計器表示制御等を行う車両制御を行う。

前記構成においては、例えば、不正な外部通信装置からの不正アクセスにより車外通信ＥＣＵ１０２の機能が掌握される可能性がある。これにより、車外通信ＥＣＵ１０２がイーサネット１０、１２を経由して、大量のデータを送りつける意図的な攻撃、すなわちＤｏＳ攻撃を車両制御ＥＣＵ１０４に行い、その結果、車両制御ＥＣＵ１０４が機能不全を起こす恐れがある。

そこで、本発明の実施例１に係る車両制御システム１０１では、以下のような構成及び処理により、ＤｏＳ攻撃による車両制御ＥＣＵ１０４の機能不全を解決する。

＜車両制御ＥＣＵ１０４の構成＞
図２は、車両制御ＥＣＵ１０４のハードウェア構成を示すブロック図である。

車両制御ＥＣＵ１０４は、ＣＰＵ２００と、周辺モジュール２１０及びメモリ２２０を有する。ＣＰＵ２００と、周辺モジュール２１０及びメモリ２２０は、内部バス又はアダプタなどを介して相互に接続している。

メモリ２２０は、ＣＰＵ２００の処理を規定するプログラム及び情報を記録する記録部である。本実施例では、メモリ２２０は、車両制御プログラム２２１と、状態監視プログラム２２２及び負荷情報２２３を記録する。

ＣＰＵ２００は、ＣＰＵコア（車両制御部）２０１及びＣＰＵコア（状態監視部）２０２を有する。ＣＰＵコア（車両制御部）２０１は、車両制御プログラム２２１を実行し、ＣＰＵコア（状態監視部）２０２は、状態監視プログラム２２２を実行し、各々の機能を実現する。以下では、便宜上、プログラムを主語として説明することもあるが、各処理の実行主体は、実際にはＣＰＵ２００である。

周辺モジュール２１０は、各々のプログラムが車両制御情報の入出力等に使用する。本実施例では、ＥｔｈｅｒＭＡＣ（Ｅｔｈｅｒｎｅｔ Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌｌｅｒ）２１１とＣａｎ（ＣＡＮ ｃｏｎｔｒｏｌｌｅｒ）２１２を有する。ＥｔｈｅｒＭＡＣ２１１は、イーサネット１２に接続される。ＣＡＮ２１２は、ＣＡＮ１３に接続される。

負荷情報２２３は、車両制御プログラム２２１の処理に要する負荷情報を記録する。負荷情報２２３は、具体的には、車両制御プログラム２２１を実行するＣＰＵコア（車両制御部）２０１の負荷状況が格納されるため、図７に示す負荷情報フォーマット７００のような情報を含む。

図７の負荷情報フォーマット７００は、ＣＰＵ使用率（％）とイーサネットフレーム受信量（ｂｙｔｅ）で構成される例を示す。ＣＰＵ使用率は、ＣＰＵコア２０１の使用率を示す。イーサネットフレーム受信量は、単位時間（例えば、１秒）当たりのイーサネット１２のデータ量（受信量）を示す。また、ＣＰＵ使用率（％）は、単位時間（例えば、１秒）当たりのＣＰＵコア２０１の使用率を示す。

車両制御プログラム２２１は、車両制御の機能を実現するためのプログラムである。また、負荷情報２２３へ定期的にＣＰＵ使用率とイーサネットフレーム受信量の書き込みを行う。

状態監視プログラム２２２は、車両制御プログラム２２１が出力した負荷情報２２３を取得し、負荷情報２２３からＤｏＳ攻撃の検知及び通知を行う。

ＣＰＵ２００は、各機能部のプログラムに従って処理を実行することによって、所定の機能を提供する機能部として稼働する。例えば、ＣＰＵ２００のＣＰＵコア２０１は、車両制御プログラム２２１に従って処理を実行することで車両制御部として機能する。他のプログラムについても同様である。さらに、ＣＰＵ２００は、各プログラムが実行する複数の処理のそれぞれの機能を提供する機能部としても稼働する。計算機及び計算機システムは、これらの機能部を含む装置及びシステムである。

＜車外通信ＥＣＵ１０２の処理＞
図９Ａ、図９Ｂ、図１０は、本発明の実施例１に係る車両制御システム１０１における車外通信ＥＣＵ１０２で行われる処理の一例を示すフローチャートである。

図９Ａは、車外通信ＥＣＵ１０２の基本処理における、外部通信装置の無線基地局装置１１０からの受信、又はイーサネット１０を経由した車外―車内ＧＷＥＣＵ１０３からのパケット受信及び転送処理の一例を示す。

ステップＳ９００では、車外通信ＥＣＵ１０２が、外部通信装置又は車外―車内ＧＷＥＣＵ１０３からのいずれのパケット送信であるかを判定する。

ステップＳ９０１では、車外通信ＥＣＵ１０２が、外部通信装置からのパケット送信（Ｓ９００がＹＥＳの場合）と判断し、受信したパケットを車外―車内ＧＷＥＣＵ１０３に送信する。

ステップＳ９０２では、車外通信ＥＣＵ１０２が、車外―車内ＧＷＥＣＵ１０３からのパケット送信（Ｓ９００がＮＯの場合）と判断し、受信したパケットを外部通信装置に送信する。

図９Ｂは、車外通信ＥＣＵ１０２が制御不能状態における、転送処理の一例を示す図である。また本図は、不正な外部通信装置からの不正アクセスにより、図９Ａの処理が不正に書き換えられ、制御不能となった状態を示す一例である。

ステップＳ９１０では、車外通信ＥＣＵ１０２が、外部通信装置又は車外―車内ＧＷＥＣＵ１０３からのいずれのパケット送信であるかを判定する。

ステップＳ９１１～Ｓ９１３では、車外通信ＥＣＵ１０２が、外部通信装置からのパケット送信（Ｓ９１０がＹＥＳの場合）と判断し、ステップＳ９１２の処理を繰り返して実行させ、意図的なＤｏＳ攻撃を発生させる。

ステップＳ９１２では、車外通信ＥＣＵ１０２が、受信したパケットを車外―車内ＧＷＥＣＵ１０３に送信する。

一方、ステップＳ９１４では、車外通信ＥＣＵ１０２が、車外―車内ＧＷＥＣＵ１０３からのパケット送信（Ｓ９１０がＮＯの場合）と判断し、受信したパケットを外部通信装置に送信する。

以上により、車外通信ＥＣＵ１０２が不正な外部通信装置からの不正アクセスによって掌握された場合には、車外通信ＥＣＵ１０２が受信したパケットを車外―車内ＧＷＥＣＵ１０３に繰り返して送信することでＤｏＳ攻撃が実行される。

図１０は、車外通信ＥＣＵ１０２のＤｏＳ攻撃時における、ＣＡＮ１１を経由して車外―車内ＧＷＥＣＵ１０３から通知されるＤｏＳ攻撃情報の判定、及び復帰処理の一例を示すフローチャートである。

ステップＳ１０００では、車外通信ＥＣＵ１０２が、ＣＡＮ１１を経由して、車外―車内ＧＷＥＣＵ１０３からＤｏＳ攻撃情報が通知されているか否かを判定する。なお、判定結果がＮＯの場合、車外通信ＥＣＵ１０２はＤｏＳ攻撃をしていないと判定して処理を終了する。

ステップＳ１００１では、車外通信ＥＣＵ１０２が、ＤｏＳ攻撃情報を不揮発メモリ（図示省略）に書き込む。ステップＳ１００２では、車外通信ＥＣＵ１０２が、リブート処理を行う。具体的には、ソフトウェアリセットやウォッチドッグリセットを用いて、意図的なリセットを発生させる処理を行う。

なお、車外通信ＥＣＵ１０２は、図示しないＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）から通信プログラムを読み込んで起動する。

ステップＳ１００３では、車外通信ＥＣＵ１０２が、上記ステップＳ１００１で不揮発メモリに書き込んだＤｏＳ攻撃情報を読み込む。

ステップＳ１００４では、車外通信ＥＣＵ１０２が、ＤｏＳ攻撃情報をもとに、不正アクセスをしている不正な外部通信装置を特定し、当該外部通信装置からのアクセスを遮断する。

また、図１０のフローチャートは、車外通信ＥＣＵ１０２が図９Ｂのフローチャートの処理中であっても、確実に処理するものとする。具体的には、リアルタイムＯＳ機能を用いたマルチタスクによる優先度制御にて実現する。好ましくは、車外通信ＥＣＵ１０２のＣＰＵ（図示省略）をＣＰＵコアＡとＣＰＵコアＢを含むマルチコア構成とし、例えば、ＣＰＵコアＡで図９Ｂのフローチャートの処理を行い、ＣＰＵコアＢで図１０のフローチャートの処理を行える構成とする。

これにより、不正な車外通信装置からの不正アクセスにより車外通信ＥＣＵ１０２の機能が掌握されて、図９Ｂの処理が常駐したとしても、図１０のフローチャートが確実に処理されることで、ＣＡＮ１１を経由した車外―車内ＧＷＥＣＵ１０３からの通知（ＤｏＳ攻撃情報）を受け付けることができれば、リブートによって車外通信ＥＣＵ１０２の復帰処理が可能となる。

＜車外－車内ＧＷＥＣＵ１０３の処理＞
図１１は、本実施例に係る車両制御システム１０１における車外―車内ＧＷＥＣＵ１０３で行われる処理のフローチャートを示す。

図１１は、車外―車内ＧＷＥＣＵ１０３における、イーサネット１０、１２を経由した車外通信ＥＣＵ１０２及び車両制御ＥＣＵ１０４からのパケット転送処理、及びＤｏＳ攻撃時のＤｏＳ攻撃情報の検知、ＤｏＳ攻撃パケットのフィルタリング及び車外通信ＥＣＵ１０２へのＤｏＳ攻撃情報の通知処理を示す図である。

ステップＳ１１００では、車外－車内ＧＷＥＣＵ１０３が、車外通信ＥＣＵ１０２又は車両制御ＥＣＵ１０４からパケットを受信したか否かを判定する。なお、ＮＯの場合は、車外－車内ＧＷＥＣＵ１０３が、パケットを受信していないと判定して処理を終了する。

ステップＳ１１０１では、車外－車内ＧＷＥＣＵ１０３が、転送情報テーブル（図示省略）を参照する。転送情報テーブルは、具体的には、受信したパケットのポート番号に対応する送信先のＥＣＵ及び転送可否の情報を含む。

ステップＳ１１０２では、車外－車内ＧＷＥＣＵ１０３が、転送情報テーブルに基づき、受信したパケットが送信先のＥＣＵへ転送可能か否かを判定する。なお、ＮＯの場合は、車外－車内ＧＷＥＣＵ１０３が不要なパケット情報、又はＤｏＳ攻撃パケットと判定して処理を終了する。なお、車外－車内ＧＷＥＣＵ１０３は、転送が禁止又は拒否されているパケットは破棄する。

ステップＳ１１０３では、車外－車内ＧＷＥＣＵ１０３が、転送情報テーブルに基づき、送信先のＥＣＵへパケットを送信する。

以上の処理によって、車外－車内ＧＷＥＣＵ１０３は、車外通信ＥＣＵ１０２又は車両制御ＥＣＵ１０４からのパケットを転送情報に基づいて宛先と転送の可否を判定して、転送が許可されているパケットを宛先へ送信する。

図１２は、車外―車内ＧＷＥＣＵ１０３のＤｏＳ攻撃時の処理における、ＣＡＮ１３を経由して車両制御ＥＣＵ１０４から通知されるＤｏＳ攻撃情報の検知と、ＤｏＳ攻撃パケットのフィルタリング及び車外通信ＥＣＵ１０２へのＤｏＳ攻撃情報の通知処理の一例を示すフローチャートである。

ステップＳ１２００では、車外―車内ＧＷＥＣＵ１０３が、ＣＡＮ１３を経由して、車両制御ＥＣＵ１０４からＤｏＳ攻撃情報が通知されているか否かを判定する。判定結果がＮＯの場合は、車外―車内ＧＷＥＣＵ１０３はＤｏＳ攻撃がされていないと判断して処理を終了する。

ステップＳ１２０１では、車外―車内ＧＷＥＣＵ１０３が、ＤｏＳ攻撃情報に基づいて転送情報テーブルを、対象のＤｏＳ攻撃パケットの転送を不可に設定する。また、当ステップを処理することで、以降、図１１の基本処理では、当該ＤｏＳ攻撃パケットが上記ステップＳ１１０２の判定にて転送不可となり、ＤｏＳ攻撃パケットが破棄される（フィルタリング処理）。

ステップＳ１２０２では、車外―車内ＧＷＥＣＵ１０３が、ＣＡＮ１１を用いて、車外通信ＥＣＵ１０２へＤｏＳ攻撃情報（リブート要求）を通知する。

また、図１２のフローチャートは図１１のフローチャートの処理中であっても、車外―車内ＧＷＥＣＵ１０３が、確実に処理するものとする。具体的には、リアルタイムＯＳ機能を用いたマルチタスクによる優先度制御にて実現する。好ましくは、車外―車内ＧＷＥＣＵ１０３のＣＰＵ（図示省略）を、ＣＰＵコアＡとＣＰＵコアＢを含むマルチコア構成とし、例えば、ＣＰＵコアＡで図１１のフローチャートの処理を行い、ＣＰＵコアＢで図１２のフローチャートの処理を行える構成とする。

これにより、車外通信ＥＣＵ１０２からのＤｏＳ攻撃パケットにより図１１の基本処理が常駐したとしても、図１２のフローチャートが確実に処理されることで、ＣＡＮ１３を経由した車両制御ＥＣＵからの通知があれば、ＤｏＳ攻撃パケットのフィルタリング及び車外通信ＥＣＵ１０２へのＤｏＳ攻撃情報の通知が可能となる。

＜車両制御ＥＣＵ１０４の処理＞
図４、図５は、本発明の実施例１に係る車両制御システム１０１における車両制御ＥＣＵ１０４のフローチャートを示す図である。

図４は、車両制御ＥＣＵ１０４における車両制御プログラム２２１の処理の一例を示すフローチャートである。この処理は、車両制御ＥＣＵ１０４がパケットを受信する度に実行される。

ステップＳ４００では、車両制御ＥＣＵ１０４が、ＥｔｈｅｒＭＡＣ２１１を用いて、イーサネット１２を経由して車外―車内ＧＷＥＣＵ１０３から、車両制御で使用する車両制御情報を受信する。なお、車両制御情報は、車外―車内ＧＷＥＣＵ１０３が車外通信ＥＣＵ１０２から受信したパケットから抽出した情報を含む。

ステップＳ４０１では、車両制御ＥＣＵ１０４が、ステップＳ４００で取得した車両制御情報に基づいて、車両制御の処理を行う。

ステップＳ４０２では、車両制御ＥＣＵ１０４が、所定のタイミング（例えば１｛ｍｓ｝）であるかを判定する。所定のタイミングではない場合、車両制御ＥＣＵ１０４は、次の車両制御を行う（Ｓ４００に戻る）。

ステップＳ４０３では、車両制御ＥＣＵ１０４が、負荷情報２２３に、車両制御プログラム２２１を実行しているＣＰＵコア２０１のＣＰＵ使用率及びイーサネットフレーム受信量を記録する。

上記処理によって、車両制御ＥＣＵ１０４は車両制御を実施して、所定のタイミング（周期）となる度に負荷情報２２３にＣＰＵ使用率とイーサネットフレーム受信量を格納する。

図５は、車両制御ＥＣＵ１０４における状態監視プログラムの処理の一例を示すフローチャートである。

ステップＳ５００では、車両制御ＥＣＵ１０４が、所定のタイミング（例えば１｛ｍｓ｝）まで待機する。ステップＳ５０１では、車両制御ＥＣＵ１０４が、負荷情報２２３を読み出す。

ステップＳ５０２では、車両制御ＥＣＵ１０４が、負荷情報２２３のＣＰＵ使用率が予め定められた閾値（例えば８０％以上）となったことを判定する。ステップＳ５０３では、車両制御ＥＣＵ１０４が、負荷情報２２３のイーサネットフレーム受信量が予め定められた閾値（例えば１｛ｍｓ｝あたり１００００｛ｂｙｔｅ｝以上）となったことを判定する。

ステップＳ５０４では、車両制御ＥＣＵ１０４が、負荷情報２２３のＣＰＵ使用率とイーサネットフレーム受信量が比例して、ともに増加しているか否かを後述するように判定する。

ステップＳ５０５では、車両制御ＥＣＵ１０４が、ＤｏＳ攻撃あり（Ｓ５０２、Ｓ５０３、Ｓ５０４の全てがＹＥＳの場合）とした判定し、ＣＡＮ２１２を用いて、ＣＡＮ１３を経由して車外－車内ＧＷＥＣＵ１０３へＤｏＳ攻撃情報を通知する。

ＤｏＳ攻撃情報とは、具体的には、ＤｏＳ攻撃の送信元が判断できる図８のＤｏＳ攻撃情報フォーマット８００の情報を含む。図８のＤｏＳ攻撃情報フォーマット８００は、ＣＡＮＩＤと自ＩＰアドレスと、送信元ポート番号と、データ識別子を含む。

ＣＡＮＩＤは、ＤｏＳ攻撃を実施したＥＣＵのＣＡＮの識別子が格納される。自ＩＰアドレスには、ＤｏＳ攻撃を実施したＥＣＵのＩＰアドレスが格納される。送信元ポート番号には、ＤｏＳ攻撃で使用されたパケットのポート番号が格納される。データ識別子には、パケットに格納されたデータの属性が格納される。

また、車両制御ＥＣＵ１０４が、ＤｏＳ攻撃なし（Ｓ５０２、Ｓ５０３、Ｓ５０４のいずれかがＮＯの場合）と判定した場合は、新たな判定を行うべき所定のタイミングまで待機する（Ｓ５００に戻る）。

上記処理によって、車両制御ＥＣＵ１０４は所定のタイミング（１ｍｓ）毎に負荷情報２２３を読み込んで、ＣＰＵ使用率とイーサネットフレーム受信量が規定値以上で、かつ、ＣＰＵ使用率とイーサネットフレーム受信量が比例して増大している場合に、ＤｏＳ攻撃を受けていることを検知することができる。

また、図６Ａ、図６Ｂを参照して、上記ステップＳ５０４で行われる処理の具体的な判定方法を説明する。図６Ａは、ＤｏＳ攻撃と判定する場合のＣＰＵ使用率とイーサネットフレーム受信量の関係を示すグラフで、図６Ｂは、正常と判定する場合のグラフを示す。

図６ＡのＤｏＳ攻撃あり（Ｓ５０４がＹＥＳの場合）では、ＣＰＵ使用率及びイーサネットフレーム受信量の増加の推移が一定の間隔（ｔ１～ｔ４）で所定の回数（例えば４回）同様である場合、ＤｏＳ攻撃と判断する。

換言すれば、所定の時間内において、ＣＰＵ使用率及びイーサネットフレーム受信量の変化が共に増大方向であれば、車両制御ＥＣＵ１０４はＤｏＳ攻撃を受けていると判定することができる。

図６ＢのＤｏＳ攻撃なし（Ｓ５０４がＮＯの場合）では、ＣＰＵ使用率及びイーサネットフレーム受信量増加の推移が一定の間隔で所定の回数（例えば４回の内１回以上）異なった場合は、ＤｏＳ攻撃なしと判断する。

換言すれば、ＣＰＵ使用率及びイーサネットフレーム受信量の変化が異なる場合は、車両制御ＥＣＵ１０４は正常な処理であると判定することができる。

＜処理＞
図３を参照して、本実施例に係る車両制御システム１０１の処理の一例を説明する。

図３は、本発明の実施の形態に係る車両制御システム１０１における、正常時とＤｏＳ攻撃時の処理を定めたシーケンス図である。なお、各ＥＣＵの具体的な処理内容は、前記で示しているため本項では割愛して説明する。ステップＳ１～Ｓ３が正常時の処理を示し、ステップＳ４～Ｓ９がＤｏＳ攻撃を受けた場合の処理を示す。

正常時の処理としては、正規の外部通信装置１１２から送信されたパケットを、車外通信ＥＣＵ１０２の車外パケット受信処理（Ｓ１、図９ＡのステップＳ９００、Ｓ９０１）と、車外―車内ＧＷＥＣＵ１０３のパケット転送処理（Ｓ２、図１１のステップＳ１１００～Ｓ１１０３）及び車両制御ＥＣＵ１０４の車両制御プログラムが順次実行され、車両制御処理（Ｓ３、図４のステップＳ４００、Ｓ４０１）を行う。

図３のステップＳ４～Ｓ９は、本発明の実施の形態に係る車両制御システム１０１において、車外通信ＥＣＵ１０２が不正な外部通信装置１１９からの不正アクセスによりマルウェアなどに感染した状態、すなわち制御不能状態を想定し、車外通信ＥＣＵ１０２からのＤｏＳ攻撃時に車両制御ＥＣＵ１０４と、車外－車内ＧＷＥＣＵ１０３及び車外通信ＥＣＵ１０２が行う処理を定めたシーケンス図である。なお、各ＥＣＵの具体的な処理内容は前記を参照し、本項では割愛して説明する。

まず、車両制御システム１０１の起動後、具体的には、イグニッションキーオン後に車両制御ＥＣＵ１０４における状態監視プログラム２２２は、車両制御プログラム２２１により書き込まれた負荷情報２２３（図４のＳ４０２、Ｓ４０３）を参照して車両制御プログラム２２１へのＤｏＳ攻撃の監視を開始する（Ｓ１０及び図５のＳ５００～Ｓ５０４）。

車外通信ＥＣＵ１０２は、不正な外部通信装置１１９からのアクセスにより制御不能状態となり、ＤｏＳ攻撃を開始する（Ｓ４及び図９ＢのＳ９１０～Ｓ９１３）。

状態監視プログラム２２２は、ＤｏＳ攻撃を検知すると（Ｓ５）、ＣＡＮ１３を用いて、車外－車内ＧＷＥＣＵ１０３へＤｏＳ攻撃情報を通知する（Ｓ６及び図５のＳ５０５）。

また、この場合、ＤｏＳ攻撃を受けたことを重要度が高いものとして即時対応するため、ＣＡＮ１３のプロトコルの性質を利用し、ＤｏＳ攻撃情報のＣＡＮＩＤの値を小さくして優先度を高く設定して、優先的に、以降の処理を実行させることが好ましい。

車外－車内ＧＷＥＣＵ１０３がＤｏＳ攻撃情報に基づいてＤｏＳ攻撃となっているイーサネットフレームのフィルタリングを行う（Ｓ７）。具体的には、車外通信ＥＣＵ１０２から受信したＤｏＳ攻撃のイーサネットフレームを車両制御ＥＣＵ１０４へ送信せず破棄する（図１２のＳ１２００、Ｓ１２０１実施後に、図１１の正常処理のＳ１１０２で破棄）。

車外－車内ＧＷＥＣＵ１０３は、ＣＡＮ１１を用いて、車外通信ＥＣＵ１０２へリブート要求及びＤｏＳ攻撃情報を通知する（Ｓ８及び図１１のＳ１２０２）。

車外通信ＥＣＵ１０２は、車外―車内ＧＷＥＣＵ１０３からのＤｏＳ攻撃情報受信後、リブート（Ｓ９）し、ＤｏＳ攻撃情報に基づいて不正な外部通信装置１１９を特定し、アクセスを遮断する（図１０のＳ１０００～Ｓ１００４）。

以上説明したように本実施例では、攻撃対象の通信プロトコル及びＥＣＵの負荷状況に問わず、ＤｏＳ攻撃を即座に回避することが可能になる。

＜変形例＞
上記実施例１では、車外通信ＥＣＵ１０２を経由したＤｏＳ攻撃を想定したが、本変形例においては、車両制御システム１０１内に不正なＥＣＵが混入した場合のＤｏＳ攻撃の検知にも活用できる。

具体的には、車外－車内ＧＷＥＣＵ１０３は、車両制御ＥＣＵ１０４から送られるＤｏＳ攻撃情報、より具体的には図８のＤｏＳ攻撃情報フォーマット８００に含まれる送信元ポート番号をもとに、攻撃元のＥＣＵへ通知する。この通知による攻撃元ＥＣＵからの応答を判定し、不正なＥＣＵか否かを判定できる。

第１の実施形態からの変更点としては、車外―車内ＧＷＥＣＵ１０３のみであり、車外通信ＥＣＵ１０２及び車両制御ＥＣＵ１０４の構成及び処理については、前記実施例１と同様であるため説明を割愛する。

図１４は、本開示の変形例に係る車外―車内ＧＷＥＣＵ１０３が行うＤｏＳ攻撃時の処理のフローチャートを示す。実施例１の図１２のフローチャートと比べて、ステップＳ１４００、Ｓ１４０１、Ｓ１４０２及びＳ１４０３が追加された点が異なる。また、図１４のフローチャートにおいて、図１２のステップと同一の内容については、図１４において同一の符号を付しているので、その詳細な説明は行わない。

ステップＳ１４００では、車外―車内ＧＷＥＣＵ１０３がＤｏＳ攻撃情報の送信元ポート番号を取得し、車両制御システム１０１内からのＤｏＳ攻撃か否かを判定する。車両制御システム１０１内からのＤｏＳ攻撃であればステップＳ１４０１へ進む。そうでない場合には、車外―車内ＧＷＥＣＵ１０３がステップＳ１２０１へ進んで、前記実施例１と同様に処理を実施する。

ステップＳ１４０１では、車外―車内ＧＷＥＣＵ１０３がＣＡＮ１３を用いて、車両制御ＥＣＵ１０４以外の攻撃元のＥＣＵ（例えば、車両制御ＥＣＵ１０４－ｎ）へＤｏＳ攻撃情報を通知する。

ステップＳ１４０２では、車外―車内ＧＷＥＣＵ１０３が攻撃元のＥＣＵから正規のＥＣＵを示すメッセージを受信したかを判定する。車外―車内ＧＷＥＣＵ１０３はメッセージが正規のＥＣＵの場合は、正規のＥＣＵからのパケット送信であり、ＤｏＳ攻撃がされていないと判定して処理を終了する。

ステップＳ１４０３では、車外―車内ＧＷＥＣＵ１０３がＤｏＳ攻撃情報に基づいて転送情報テーブルを更新して、対象のＤｏＳ攻撃パケットの転送を不可に設定する。また、当ステップを処理することで、以降、図１１の基本処理では、当該ＤｏＳ攻撃パケットがステップＳ１１０２の判定にて転送不可となり、ＤｏＳ攻撃パケットが破棄される。

本変形例によれば、攻撃対象の通信プロトコル（ネットワーク）及びＥＣＵの負荷状況に問わず、さらに、車外からのＤｏＳ攻撃もしくは車内からのＤｏＳ攻撃のように、攻撃経路を問わず、ＤｏＳ攻撃を即座に回避することが可能になる。

本実施例では、車両制御ＥＣＵ１０４のハードウェア構成における他の例について説明する。

本実施形態では、既存の車両制御ＥＣＵに実施例１の機能を適用することを想定している。ただし、既存の車両制御ＥＣＵに搭載されているＣＰＵがシングルコアであった場合、第１の実施形態を適用することができない。

そこで、本実施形態では、既存の車両制御ＥＣＵを最小限の変更で、第１の実施形態と同様の機能を実現する。

実施例１からの変更点としては、車両制御ＥＣＵ１０４のみであり、車外通信ＥＣＵ１０２及び車外―車内ＧＷＥＣＵ１０３の構成及び処理については、実施例１と同様であるため説明を割愛する。以下、実施例１の車両制御ＥＣＵ１０４から異なる点について説明する。

図１３は、本開示の実施例２に係るマルチＣＰＵデバイスを搭載した車両制御ＥＣＵ１３００のハードウェア構成を示した図である。本実施例では、前記実施例１の車両制御ＥＣＵ１０４を車両制御ＥＣＵ１３００で置き換える例を示す。

車両制御ＥＣＵ１３００は、ＣＰＵデバイス１３０１と、ＣＰＵデバイス１３２１及び共有メモリ１３１０を有する。

共有メモリ１３１０は、ＣＰＵデバイス１３０１及びＣＰＵデバイス１３２１と外部バス又はアダプタなどを介して相互に接続している。また、ＣＰＵデバイス１３０１と、ＣＰＵデバイス１３２１は、それぞれ周辺モジュール１３０４、を有し、周辺モジュール１３０４にはＥｔｈｅｒＭＡＣ２１１が配置されてイーサネット１２に接続され、周辺モジュール１３２４にはＣＡＮ２１０が配置されてＣＡＮ１３に接続される。

既存の車両制御ＥＣＵからの変化点としては、ＣＰＵデバイス１３２１と共有メモリ１３１０が追加されている点が異なり、既存の車両制御の機能はＣＰＵデバイス１３０１で実現することに変更はない。

よって、本実施形態は、図２で示した実施例１の車両制御ＥＣＵ１０４と比べて、車両制御の機能（車両制御プログラム２２１）をＣＰＵデバイス１３０１で実現し、状態監視の機能（状態監視プログラム２２２）をＣＰＵデバイス１３２１で実現する点が異なる。

また、図２で示した実施例１の車両制御プログラム２２１の負荷情報２２３は、共有メモリ１３１０に記録される点が本実施例と前記実施例１で異なる。

また、車両制御と状態監視の負荷情報２２３のやり取りは共有メモリ１３１０ではなく、シリアル通信を用いてもよい。

本実施例では、ＣＰＵデバイス１３０１及びＣＰＵデバイス１３２１内の、ＣＰＵ、周辺モジュール、及びメモリの役割は、図２の実施例１で示した内容と同様であるため説明を割愛する。

本実施例によれば、既存の車両制御ＥＣＵ１０４の資産を活用して、攻撃対象の通信プロトコル（又は通信環境）及びＥＣＵの負荷状況に問わず、ＤｏＳ攻撃を即座に回避することが可能になる。

なお、上記各実施例では、第１のネットワークとしてイーサネット１０、１２を採用し、第２のネットワークとしてＣＡＮ１１、１３を採用する例を示したが、これらに限定されるものではなく、ＣＡＮ－ＦＤやＦｌｅｘＲａｙ等のネットワークを採用することができる。

また、各ＥＣＵ間は、車外通信ＥＣＵ１０２と車外－車内ＧＷＥＣＵ１０３及び車両制御ＥＣＵ１０４の間で、車両制御に関する通信を第１のネットワークで通信を行って、車両制御ＥＣＵ１０４と車外－車内ＧＷＥＣＵ１０３及び車外通信ＥＣＵ１０２の間で各ＥＣＵの状態に関する通信を第２のネットワークで行うことが望ましい。これにより、第１のネットワークのデータ量が過大になった場合には、第２のネットワークを介して各ＥＣＵがデータ量に異常が生じていることを通知することができる。

また、第１のネットワークと第２のネットワークは、物理層が異なり、かつ、通信プロトコルが異なることが望ましい。

また、上記各実施例では、不正な外部通信装置１１９からの攻撃としてＤｏＳ攻撃の例を示したが、これに限定されるものではなく、車両制御システム１０１の各ＥＣＵの負荷を不正に増大させる等の不正な通信に基づく攻撃であればよい。

＜結び＞
以上のように、上記各実施例の車両制御システムは、以下のような構成とすることができる。

（１）プロセッサ（ＣＰＵ２００）とメモリ（２２０）を有する車両制御装置（車両制御ＥＣＵ１０４）と、車両の外部と通信を行う車外通信装置（車外通信ＥＣＵ１０２）と、前記車両制御装置（１０４）と前記車外通信装置（１０２）の間で通信の中継を行うゲートウェイ装置（車外－車内ＧＷＥＣＵ１０３）と、を有する車両制御システム（１０１）であって、前記車外通信装置（１０２）と前記ゲートウェイ装置（１０３）及び前記車両制御装置（１０４）を接続して車両制御に関する通信を行う第１のネットワーク（イーサネット１２）と、前記車外通信装置（１０２）と前記ゲートウェイ装置（１０３）及び前記車両制御装置（１０４）を接続して状態監視に関する通信を行う第２のネットワーク（ＣＡＮ１３）と、を有し、前記車両制御装置（１０４）は、前記第１のネットワーク（１２）を介して前記車外通信装置（１０２）からの情報を受信して車両の制御を行う車両制御部（車両制御プログラム２２１）と、前記車両制御部（２２１）の負荷情報（２２３）を監視して不正な通信に基づく攻撃を検出する処理を前記車両制御部（２２１）とは独立して行う状態監視部（状態監視プログラム２２２）と、を有し、前記車両制御部（２２１）は、当該車両制御部（２２１）が受信する通信量及び前記車両制御部（２２１）で行われる処理の負荷を負荷情報（２２３）として格納することを特徴とする車両制御システム。

上記構成により、車外からの攻撃による通信トラフィック量の増加及び車両制御装置（車両制御ＥＣＵ１０４）の負荷状況に依存せずに、攻撃を即時回避することが可能となる。

（２）上記（１）に記載の車両制御システムであって、前記プロセッサ（２００）は、
前記車両制御部（２２１）の処理を実行する第１のプロセッサコア（ＣＰＵコア２０１）と、前記状態監視部（２２２）の処理を実行する第２のプロセッサコア（ＣＰＵコア２０２）と、を含むことを特徴とする車両制御システム。

上記構成により、第１のプロセッサコアのプロセッサ使用率（負荷）が増大しても、第２のプロセッサコアで状態監視部の処理を独立して実行することができるので、第２のプロセッサコアは、攻撃による通信トラフィックの増加及び車両制御装置（ＥＣＵ）の負荷状況に依存せずに、攻撃を即時回避する処理を実行することができる。

（３）上記（１）に記載の車両制御システムであって、前記プロセッサ（２００）は、 前記車両制御部（２２１）の処理を実行する第１のプロセッサ（１３０２）と、前記状態監視部（２２２）の処理を実行する第２のプロセッサ（１３２２）で構成されることを特徴とする車両制御システム。

上記構成により、第１のプロセッサのプロセッサ使用率（負荷）が増大しても、第２のプロセッサで状態監視部の処理を独立して実行することができるので、第２のプロセッサは、攻撃による通信トラフィックの増加及び車両制御装置（ＥＣＵ）の負荷状況に依存せずに、攻撃を即時回避する処理を実行することができる。

（４）上記（１）に記載の車両制御システムであって、前記車両制御部（２２１）は、前記プロセッサ（２００）のプロセッサ使用率と、単位時間あたりの前記情報の受信量を前記負荷情報（２２３）として前記メモリに格納し、前記状態監視部（２２２）は、前記メモリ（２２０）から前記負荷情報（２２３）を読み込んで、前記プロセッサ使用率と前記単位時間あたりの前記情報の受信量が所定条件となった場合に前記攻撃としてＤｏＳ攻撃が行われていることを判定することを特徴とする車両制御システム。

上記構成により、状態監視部（２２２）は、負荷情報（２２３）のプロセッサ使用率と単位時間あたりの情報の受信量が所定条件となった場合に、車両制御装置（１０４）でＤｏＳ攻撃を受けていると判定することができる。所定条件は、例えば、プロセッサ使用率と情報の受信量が閾値を超え、かつ、共に増大とすることができる。

（５）上記（４）に記載の車両制御システムであって、前記状態監視部（２２２）は、前記ＤｏＳ攻撃を判定した場合に、ＤｏＳ攻撃の内容をＤｏＳ攻撃情報（ＤｏＳ攻撃情報フォーマット８００）として取得して、前記第２のネットワーク（１３）から前記ゲートウェイ装置（１０３）へ送信し、前記ゲートウェイ装置（１０３）は、前記第２のネットワーク（１３）からＤｏＳ攻撃情報（８００）を受信すると、前記第１のネットワーク（１２）から前記車両制御装置（１０４）へ送信する情報を前記ＤｏＳ攻撃情報（８００）に基づいてフィルタリングを実施することを特徴とする車両制御システム。

上記構成により、ゲートウェイ装置（１０３）は、車両制御装置（１０４）からＤｏＳ攻撃情報（８００）を受け付けると、ＤｏＳ攻撃情報（８００）に基づいて、車外通信装置（１０２）から車両制御装置（１０４）への通信をフィルタリングすることで、車両制御装置（１０４）のプロセッサ（２００）の負荷を低減することができる。

（６）上記（４）に記載の車両制御システムであって、前記第１のネットワーク（１２）は、イーサネットで構成され、前記第２のネットワーク（１３）は、ＣＡＮで構成され、前記状態監視部（２２２）は、前記ＤｏＳ攻撃を判定した場合に、ＣＡＮＩＤの値を減少させることを特徴とする車両制御システム。

上記構成により、ＣＡＮＩＤの値を小さくして優先度を高く設定することで、優先的にＤｏＳ攻撃に対処する処理を実行することが可能となる。

（７）上記（５）に記載の車両制御システムであって、前記ゲートウェイ装置（１０３）は、前記第２のネットワーク（１３）からＤｏＳ攻撃情報（８００）を受信すると、当該ＤｏＳ攻撃情報（８００）を前記第２のネットワーク（１３）を介して前記車外通信装置（１０２）へ送信し、前記車外通信装置（１０２）は、前記第２のネットワーク（１３）からＤｏＳ攻撃情報（８００）を受信すると、不正な外部通信装置（１１９）のＤｏＳ攻撃情報を保持し、リブートを実施した後に、前記ＤｏＳ攻撃情報に含まれる不正な前記外部通信装置（１１９）からの通信を遮断することを特徴とする車両制御システム。

上記構成により、車外通信装置（１０２）は、第２のネットワーク（１３）からＤｏＳ攻撃情報（８００）を受信すると、不正な外部通信装置（１１９）のＤｏＳ攻撃情報を保持してからＲＯＭの情報からリブートを実施して正常な状態に復帰した後に、ＤｏＳ攻撃情報に含まれる不正な前記外部通信装置（１１９）からの通信を遮断することができる。

これにより、不正な外部通信装置（１１９）の情報を不揮発メモリ等に保持してからＲＯＭの情報でリブートすることで正常な状態に復帰し、不揮発メモリの情報に基づいて不正な外部通信装置（１１９）からの通信を遮断することができる。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に記載したものであり、必ずしも説明した全ての構成を含むものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加、削除、又は置換のいずれもが、単独で、又は組み合わせても適用可能である。

また、上記の各構成、機能、処理部、及び処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、及び機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１０、１２ イーサネット
１１、１３ ＣＡＮ
１０１ 車両制御システム
１０４、１３００ 車両制御ＥＣＵ
２０１ ＣＰＵコア（車両制御部）
２０２ ＣＰＵコア（状態監視部）
２２１ 車両制御プログラム
２２２ 状態監視プログラム
２２３ 負荷情報

Claims (18)

1. プロセッサとメモリを有する車両制御装置と、
   車両の外部と通信を行う車外通信装置と、
   前記車両制御装置と前記車外通信装置の間で通信の中継を行うゲートウェイ装置と、を有する車両制御システムであって、
   前記車外通信装置と前記ゲートウェイ装置及び前記車両制御装置を接続して車両制御に関する通信を行う第１のネットワークと、
   前記車外通信装置と前記ゲートウェイ装置及び前記車両制御装置を接続して状態監視に関する通信を行う第２のネットワークと、を有し、
   前記車両制御装置は、
   前記第１のネットワークを介して前記車外通信装置からの情報を受信して車両の制御を行う車両制御部と、
   前記車両制御部の負荷情報を監視して不正な通信に基づく攻撃を検出する処理を前記車両制御部とは独立して行う状態監視部と、を有し、
   前記車両制御部は、
   当該車両制御部が受信する通信量及び前記車両制御部で行われる処理の負荷を負荷情報として格納することを特徴とする車両制御システム。
2. 請求項１に記載の車両制御システムであって、
   前記プロセッサは、
   前記車両制御部の処理を実行する第１のプロセッサコアと、前記状態監視部の処理を実行する第２のプロセッサコアと、を含むことを特徴とする車両制御システム。
3. 請求項１に記載の車両制御システムであって、
   前記プロセッサは、
   前記車両制御部の処理を実行する第１のプロセッサと、前記状態監視部の処理を実行する第２のプロセッサで構成されることを特徴とする車両制御システム。
4. 請求項１に記載の車両制御システムであって、
   前記車両制御部は、
   前記プロセッサのプロセッサ使用率と、単位時間あたりの前記情報の受信量を前記負荷情報として前記メモリに格納し、
   前記状態監視部は、
   前記メモリから前記負荷情報を読み込んで、前記プロセッサ使用率と前記単位時間あたりの前記情報の受信量が所定条件となった場合に前記攻撃としてＤｏＳ攻撃が行われていることを判定することを特徴とする車両制御システム。
5. 請求項４に記載の車両制御システムであって、
   前記状態監視部は、
   前記ＤｏＳ攻撃を判定した場合に、ＤｏＳ攻撃の内容をＤｏＳ攻撃情報として取得して、前記第２のネットワークから前記ゲートウェイ装置へ送信し、
   前記ゲートウェイ装置は、
   前記第２のネットワークからＤｏＳ攻撃情報を受信すると、前記第１のネットワークから前記車両制御装置へ送信する情報を前記ＤｏＳ攻撃情報に基づいてフィルタリングを実施することを特徴とする車両制御システム。
6. 請求項４に記載の車両制御システムであって、
   前記第１のネットワークは、イーサネットで構成され、
   前記第２のネットワークは、ＣＡＮで構成され、
   前記状態監視部は、
   前記ＤｏＳ攻撃を判定した場合に、ＣＡＮＩＤの値を減少させることを特徴とする車両制御システム。
7. 請求項５に記載の車両制御システムであって、
   前記ゲートウェイ装置は、
   前記第２のネットワークからＤｏＳ攻撃情報を受信すると、当該ＤｏＳ攻撃情報を前記第２のネットワークを介して前記車外通信装置へ送信し、
   前記車外通信装置は、
   前記第２のネットワークからＤｏＳ攻撃情報を受信すると、不正な外部通信装置を含むＤｏＳ攻撃情報を保持し、リブートを実施した後に、前記ＤｏＳ攻撃情報に含まれる不正な前記外部通信装置からの通信を遮断することを特徴とする車両制御システム。
8. プロセッサとメモリを有する車両制御装置と、車両の外部と通信を行う車外通信装置と、前記車両制御装置と前記車外通信装置の間で通信の中継を行うゲートウェイ装置と、を有して車両の制御を行う車両制御方法であって、
   前記車両制御装置が、前記車外通信装置と前記ゲートウェイ装置及び前記車両制御装置を接続する第１のネットワークから前記ゲートウェイ装置を介して前記車外通信装置からの情報を受信して車両の制御を行い、前記車外通信装置から受信する通信量及び処理の負荷を負荷情報として格納する車両制御ステップと、
   前記負荷情報を監視して不正な通信に基づく攻撃を検出する処理を前記車両制御ステップから独立して行う状態監視ステップと、
   を含むことを特徴とする車両制御方法。
9. 請求項８に記載の車両制御方法であって、
   前記車両制御ステップは、前記プロセッサに含まれる第１のプロセッサコアで実行され、
   前記状態監視ステップは、前記プロセッサに含まれる第２のプロセッサコアで実行されることを特徴とする車両制御方法。
10. 請求項８に記載の車両制御方法であって、
    前記プロセッサが第１のプロセッサと第２のプロセッサで構成されて、
    前記車両制御ステップは、前記第１のプロセッサで実行され、
    前記状態監視ステップは、前記第２のプロセッサで実行されることを特徴とする車両制御方法。
11. 請求項８に記載の車両制御方法であって、
    前記車両制御ステップは、
    前記車両制御ステップのプロセッサ使用率と、単位時間あたりの前記情報の受信量を前記負荷情報として前記メモリに格納し、
    前記状態監視ステップは、
    前記メモリから前記負荷情報を読み込んで、前記プロセッサ使用率と前記単位時間あたりの前記情報の受信量が所定条件となった場合に前記攻撃としてＤｏＳ攻撃が行われていることを判定することを特徴とする車両制御方法。
12. 請求項１１に記載の車両制御方法であって、
    前記状態監視ステップは、
    前記ＤｏＳ攻撃を判定した場合に、ＤｏＳ攻撃の内容をＤｏＳ攻撃情報として取得して、前記車外通信装置と前記ゲートウェイ装置及び前記車両制御装置を接続する第２のネットワークから前記ゲートウェイ装置へ送信するステップを含み、
    前記ゲートウェイ装置が、前記第２のネットワークからＤｏＳ攻撃情報を受信すると、前記第１のネットワークから前記車両制御装置へ送信する情報を前記ＤｏＳ攻撃情報に基づいてフィルタリングを実施するフィルタリングステップをさらに含むことを特徴とする車両制御方法。
13. 請求項１１に記載の車両制御方法であって、
    前記車両制御装置は、前記第１のネットワークと、前記車外通信装置と前記ゲートウェイ装置及び前記車両制御装置を接続して状態監視に関する通信を行う第２のネットワークに接続され、
    前記第１のネットワークは、イーサネットで構成され、
    前記第２のネットワークは、ＣＡＮで構成され、
    前記状態監視ステップは、
    前記ＤｏＳ攻撃を判定した場合に、ＣＡＮＩＤの値を減少させることを特徴とする車両制御方法。
14. 請求項１２に記載の車両制御方法であって、
    前記フィルタリングステップは、
    前記第２のネットワークからＤｏＳ攻撃情報を受信すると、当該ＤｏＳ攻撃情報を前記第２のネットワークを介して前記車外通信装置へ送信するステップを含み、
    前記車外通信装置が、前記第２のネットワークからＤｏＳ攻撃情報を受信すると、不正な外部通信装置を含むＤｏＳ攻撃情報を保持し、リブートを実施した後に、前記ＤｏＳ攻撃情報に含まれる不正な前記外部通信装置からの通信を遮断するリブートステップをさらに含むことを特徴とする車両制御方法。
15. プロセッサとメモリを有する車両制御装置であって、
    車両制御に関する通信を行う第１のネットワークを介して情報を受信して車両の制御を行う車両制御部と、
    前記車両制御部の負荷情報を監視して不正な通信に基づく攻撃を検出する処理を前記車両制御部とは独立して行う状態監視部と、を有し、
    前記車両制御部は、
    当該車両制御部が受信する通信量及び前記車両制御部で行われる処理の負荷を前記負荷情報として格納することを特徴とする車両制御装置。
16. 請求項１５に記載の車両制御装置であって、
    前記プロセッサは、
    前記車両制御部の処理を実行する第１のプロセッサコアと、前記状態監視部の処理を実行する第２のプロセッサコアと、を含むことを特徴とする車両制御装置。
17. 請求項１５に記載の車両制御装置であって、
    前記プロセッサは、
    前記車両制御部の処理を実行する第１のプロセッサと、前記状態監視部の処理を実行する第２のプロセッサで構成されることを特徴とする車両制御装置。
18. 請求項１５に記載の車両制御装置であって、
    前記車両制御部は、
    前記プロセッサのプロセッサ使用率と、単位時間あたりの前記情報の受信量を前記負荷情報として前記メモリに格納し、
    前記状態監視部は、
    前記メモリから前記負荷情報を読み込んで、前記プロセッサ使用率と前記単位時間あたりの前記情報の受信量が所定条件となった場合に前記攻撃としてＤｏＳ攻撃が行われていることを判定することを特徴とする車両制御装置。

Images