JPWO2016185514A1

JPWO2016185514A1 - 攻撃検出装置

Info

Publication number: JPWO2016185514A1
Application number: JP2017518627A
Authority: JP
Inventors: 稔佐伯; 健菅原
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2015-05-15
Filing date: 2015-05-15
Publication date: 2017-07-20
Also published as: US20180069874A1; DE112015006541T5; CN107531200A; WO2016185514A1

Abstract

本発明は、機器間の通信ネットワークに対する攻撃を検出し、通信ネットワークの情報セキュリティを向上させる攻撃検出装置に関する。攻撃検出装置は、２本の信号線の差動電圧により複数のノードに信号を伝達するＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）と、ＣＡＮの２本の信号線で伝達される信号を監視し、不正なノードによる短絡攻撃の特徴を示す信号の変化に基づいて２本の信号線間の短絡を検出する短絡検出部とを備える。

Description

本発明は、機器間の通信ネットワークに対する攻撃を検出し、通信ネットワークの情報セキュリティを向上させる攻撃検出装置に関する。

機器間の通信ネットワークとして、ＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）が広く知られている。ＣＡＮは、最初は、車載機器間の通信技術として開発され、その後、ＩＳＯ１１８９８、およびＩＳＯ１１５１９として標準化された。現在、ＣＡＮは、車載ネットワーク以外にも産業機器、医療機器など、幅広い分野で採用されている。ＣＡＮは、通信速度によって高速ＣＡＮと低速ＣＡＮに分けられ、両者のプロトコルは共通であるが、最大通信速度や物理層が異なる。以下、高速ＣＡＮを前提として背景技術を説明する。

非特許文献１で示されるように、ＣＡＮは信号線が少なく、複数のノードの追加接続が容易で、ネットワーク構成の自由度が高い。また、差動電圧で通信を行なうため、外来ノイズの影響を受け難いことに加えて、さまざまなエラー検出機構も備えているため、信頼性が高い。これらのことから、例えば自動車のように、限定された空間に多数のノードが設置され、かつ、高い信頼性が求められるシステムで、ＣＡＮは広く用いられている。

ＣＡＮでは、特定のＩＤを持つメッセージは、特定のノードのみが送信することが原則である。しかしながら、もしも不正なノードがＩＤを偽って送信すると、ＣＡＮのプロトコルでは、送信ノードを特定するための情報がＩＤのみであるため、当該メッセージを不正メッセージと認識できず、受信ノードは、正規のメッセージとして受信して誤動作することになる。これは、ＣＡＮのなりすまし攻撃と呼ばれ、自動車のセキュリティにおいて、現在、大きな問題と考えられている。このようななりすまし攻撃は、例えば、ＣＡＮに接続されているＥＣＵ（ＥｎｇｉｎｅＣｏｎｔｒｏｌＵｎｉｔ）のプログラムを、ネットワーク経由で不正なプログラムに書き変える、あるいは不正なＥＣＵを物理的にＣＡＮに追加接続する、などの方法で実現できる。

ＣＡＮのなりすまし攻撃に対して、松本らは、非特許文献２、非特許文献３で示される対策方式を提案している。この対策方式は、ＣＡＮに接続されるノードがＣＡＮ上の信号値を監視していることを利用する。具体的には、あるノードが、自身に割り当てられているＩＤが他のノードによって送信されていることを検出すると、直ちにエラーフレームを挿入し、不正メッセージの通信を停止させる。この対策方式は、ＣＡＮのなりすまし攻撃に対して有望な対策方式の一つと考えられていた。

しかし、最近では、松本らの対策方式に対して、ＣＡＮ上で短絡を発生させてエラーフレームを挿入できないようにする短絡攻撃が可能であることが分かってきた。非特許文献２、非特許文献３の対策方式を提案した松本らは、その後、非特許文献４で、不正ノードに接続された二つの線を接続することで、ＣＡＮの信号を電気的に改ざんする攻撃手法を示している。この攻撃も、短絡攻撃に含まれるものである。

ＣＡＮの短絡を検出する従来技術としては、短絡攻撃のようなセキュリティ上の攻撃に対する対策を意図したものではないが、特許文献１、特許文献２、特許文献３に示される短絡検出技術がある。また、ＣＡＮ上の不正ノードを検出する技術として、特許文献４、特許文献５に示される不正ノード検出技術がある。

特開平７−４３２５６号公報特開２００６−１９１４０４号公報特開２００４−２５２９６３号公報特開２００７−３６５１２号公報特開２０１４−８３８７４号公報

Vector、 "はじめてのCAN"、 http://download.vector-japan.co.jp/portal/medien/cmc/beginners/For_Beginners_CAN.pdf. 畑正人、田邉正人、吉岡克成、大石和臣、松本勉、 "不正送信阻止：CANではそれが可能である"、コンピュータセキュリティシンポジウム（CSS）2011、 3B2-2. T. Matsumoto、 M. Hata、 M. Tanabe、 K. Yoshioka、 and K. Oishi、 "A Method of Preventing Unauthorized Data Transmission in Controller Area Network、" Vehicular Technology Conference (VTC Spring)、 2012 IEEE 75th、 2012. 松本勉、中山淑文、向達泰希、土屋遊、吉岡克成、 "CAN における再同期を利用した電気的データ改ざん"、 SCIS2015、 2C4-1.

ＣＡＮのバスは、２本の信号線を使用したライン型の構造である。両信号線の電位差が大きい状態をドミナントと呼び、電位差が小さい状態をレセシブと呼ぶ。非特許文献２、非特許文献３で示される対策方式では、不正メッセージの中のレセシブを強制的にドミナントに変えることでエラーフレームを挿入する。これは、ドミナントとレセシブが衝突したときには、ＣＡＮ上ではドミナントが検出される、すなわちドミナントの方が強いというＣＡＮの電気的な仕様により、うまく機能する。しかし、ＣＡＮの２本の信号線間を選択的なタイミングで短絡させることができれば、ドミナント時に２本の信号線間の電位差が十分大きくならないようにでき、ＣＡＮ上ではレセシブが検出されて、エラーフレームが挿入できなくなり、なりすまし攻撃を防げないという課題があった。

特許文献１で示される技術は、車両内において、電源から流出する電流の異常を監視する。しかし、特許文献１の技術は、電流プローブを用いて電流の瞬間的な異常な変化を監視するため、定常的な異常電流の検出には不向きである。即ち、攻撃者がＣＡＮの２線間のインピーダンスを緩やかに減らしていくような場合は、異常電流を検出できず、なりすまし攻撃を防止することができない。

特許文献２で示される技術は、ＣＡＮの２線間の電位差の異常を監視する。しかし、特許文献２の技術は、故障のような偶発的な異常を想定しているため、悪意を持った攻撃に対して脆弱である。例えば、短絡攻撃の攻撃者が、異常監視用のノード装置を取り外すような不正を行なうと、短絡を検出できなくなる。

特許文献３で示される技術は、ＣＡＮに定常的な短絡が発生した際に、短絡箇所を特定することを目的とし、テスタを用いて人手により故障診断を行なうために適用される。従って、短絡攻撃のようなダイナミックな短絡を検出することができない。

特許文献４、特許文献５で示される技術は、ＣＡＮに不正ノードが追加されたことを検出することを目的とし、ＣＡＮの電圧降下やインピーダンスを監視して、予め記憶した値と比較するものである。短絡攻撃の攻撃者が不正ノードを接続する場合は、これらの技術で不正ノードの追加を検出できる可能性があるが、この場合も、攻撃者が正規のノードを不正ノードに置換する、あるいは、正規のノードを改ざんするなどの方法で、不正ノードを接続できる。不正ノード接続後は、特許文献４、特許文献５の技術では、短絡攻撃のようなダイナミックな短絡を検出することができない。

以上述べたように、従来技術では、短絡攻撃のようなダイナミックな短絡を検出することができず、なりすまし攻撃を防止することができないという課題があった。

本発明は、上記の課題を解決するためになされたもので、短絡攻撃のようなダイナミックな短絡を検出でき、ＣＡＮのセキュリティを向上させてなりすまし攻撃を防止することを目的とする。

上記で述べた課題を解決するため、本発明の攻撃検出装置は、２本の信号線の差動電圧により複数のノードに信号を伝達するＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）と、前記ＣＡＮの２本の信号線で伝達される前記信号を監視し、不正な前記ノードによる短絡攻撃の特徴を示す信号の変化に基づいて前記２本の信号線間の短絡を検出する短絡検出部とを備える。

本発明によれば、ＣＡＮの２線間の短絡を監視し、短絡攻撃を検知するとともに、ＣＡＮ上の各ノードや上位のシステム制御部に、短絡攻撃の発生を通知することにより、短絡攻撃のようなダイナミックな短絡を検出でき、ＣＡＮのセキュリティを向上させてなりすまし攻撃を防止することができるという効果がある。

実施の形態１に係る攻撃検出装置の一構成例を示す図である。ＣＡＮのバス構成を示す図である。高速ＣＡＮの信号レベルを示す図である。ＣＡＮの標準フォーマットのデータフレームを示す図である。従来のなりすまし攻撃への対策方式を示す図である。短絡攻撃の実装例（その１）を示す図である。短絡攻撃の実装例（その２）を示す図である。短絡攻撃による信号レベルを示す図である。電位差の監視を行なう対策用ノード２の一構成例を示す図である。インピーダンスの監視を行なう対策用ノード２の一構成例を示す図である。インピーダンスモニタ１１の一構成例を示す図である。電流の監視を行なう場合の一構成例を示す図である。複数のドメインのＣＡＮを監視する攻撃監視装置の一構成例を示す図である。

実施の形態１．
本実施の形態では、まず、ＣＡＮの概要と短絡攻撃の詳細を説明した後に、本実施の形態に係る攻撃検出装置の構成と動作を説明する。

＜ＣＡＮの概要＞
図２は、ＣＡＮのバス構成を示す図である。
ＣＡＮのバスは、２本の信号線ＣＡＮ＿ＨとＣＡＮ＿Ｌを使用したライン型の構造であり、両端がそれぞれ１２０Ωで終端される。また、ノード１〜ノードｎの複数のノードが、それぞれＣＡＮトランシーバを介して、ＣＡＮのバスに接続される。これらのノードは、マルチマスター方式により平等にバスアクセスが可能である。ＣＡＮでは、ＣＡＮ＿ＨとＣＡＮ＿Ｌの差動電圧で信号を伝達することでシリアル通信を行なう。

図３は、高速ＣＡＮの信号レベルを示す図である。
図３に示すように、ＣＡＮ＿ＨとＣＡＮ＿Ｌの両者の電位差が大きい状態をドミナントと呼び、論理値０を表す。また、両者の電位差が小さい状態をレセシブと呼び、論理値１を表す。

ＣＡＮには、通信を開始する前に調停を行なうための専用の信号線が無く、複数のノードが同時に送信を始めることもあり得る。このような場合、調停は次のように行なわれる。ここで、異なるノードがそれぞれドミナントとレセシブを送信したときには、ＣＡＮ上の状態は、ドミナントとなる点が重要である（詳細は、ＣＡＮの国際規格や非特許文献１などを参照のこと）。各ノードはＣＡＮ上の信号を監視し、自身が送信した信号値と異なる信号値を検出した場合、レセシブを送信したノードは送信を停止し、ドミナントを送信したノードのみが送信を続けるという取り決めとなっている。これによって調停が実現される。

ＣＡＮの通信は、フレームと呼ばれる時系列のビットの並びを単位として行なわれる。数種類のフレームが存在するが、主に使用されるのは、図４に示すデータフレームである。
図４は、ＣＡＮの標準フォーマットのデータフレームを示す図である。
データフレームは、複数のフィールドに分割される。例えば、図４のＳＯＦとＥＯＦは、それぞれフレームの先頭と末尾を表すフィールドである。図４のデータフィールドは、送受信するデータが格納されるフィールドである。各フィールドの詳細については、非特許文献１などに示されている。本発明に特に関係するのは、ＩＤフィールドである。ＩＤフィールドは、データ内容や送信ノードを識別するためのフィールドであり、前述の調停にも使われる。ＩＤフィールドの値によって、ＣＡＮ上のどのノードが送信したフレームなのか、どのノードが受信すべきフレームなのか、このフレームを受信したノードはどのような処理をすべきか、などが決まる。ＩＤフィールドの値は、システム設計者などによって、ＣＡＮ毎に予め定義される。原則として、特定のＩＤの値を持つフレームは、特定のノードのみが送信するよう割り当てられなければならない。フレームによって実現される通信のことを、以下、メッセージと呼ぶことにする。

＜短絡攻撃の詳細＞
次に、ＣＡＮに対する短絡攻撃の詳細について説明する。
まず、非特許文献２、非特許文献３で示される従来のなりすまし攻撃への対策方式を、図５を用いて説明する。
図５は、従来のなりすまし攻撃への対策方式を示す図である。
図５において、ＣＡＮに接続されているノードＸを不正な送信ノードとする。ノードＸは、正規の送信ノードであるノードＡに割り当てられたＩＤを用いた不正メッセージの送信を開始する（１）。ノードＡは、ＣＡＮ上の信号値を監視しており（２）、フレームのＩＤが自身に割り当てられた値であることを検出すると、当該メッセージにエラーフレームを挿入する（３）。エラーフレームは、連続した６ビットのドミナントである。ＣＡＮでは、通信中に同じビット値が６ビット以上連続して現れるとエラーと見なされる。前述のように、ドミナントとレセシブが衝突すると、ＣＡＮ上ではドミナントが検出されるため、同じタイミングでノードＸが送信するレセシブは打ち消される。この結果、ノードＢは、通信中にエラーフレームを検出し、不正メッセージの通信は無効となる（４）。

次に、従来のなりすまし攻撃への対策方式に対する短絡攻撃について説明する。
図６は、短絡攻撃の実装例（その１）を示す図である。
図７は、短絡攻撃の実装例（その２）を示す図である。
図８は、短絡攻撃による信号レベルを示す図である。

図６では、ＣＡＮ＿ＨとＣＡＮ＿Ｌの間にＦＥＴスイッチを挿入し、ＣＡＮ上に接続した不正ノードがＦＥＴスイッチをＯＮ/ＯＦＦ制御することで、短絡攻撃を実現する。不正ノードは、ＣＡＮの信号値を監視して、攻撃者の所望のタイミングでＦＥＴスイッチをＯＮして、図８に示すように、他のノードが送信するドミナントを強制的にレセシブにする。図８では、短絡攻撃がない場合を点線で示し、短絡攻撃がある場合を実線で示している。短絡攻撃によって、ドミナント時のＣＡＮ＿ＨとＣＡＮ＿Ｌの電位差が小さくなり、他のノードが送信するドミナントが強制的にレセシブにされていることが分かる。

図７は、図６と同等の機能を不正ノード内部で行なうようにしたものである。この場合、図６とは異なり、攻撃者はＣＡＮを改造してＦＥＴスイッチを挿入する必要はなく、不正ノードをＣＡＮに追加するだけでよい。

通常のＣＡＮに非特許文献２、非特許文献３の対策方式が実装された場合、攻撃者があるＩＤの不正メッセージを送信すると、当該ＩＤの正規の送信者であるノードが連続した６ビットのドミナントを送信することで、不正メッセージ中の以降のレセシブはドミナントに変わり、エラーフレームとなる。すなわち、不正メッセージが無効化される。
一方、前述のように、選択的なタイミングでＣＡＮの２線を短絡可能なように改造されたＣＡＮでは、攻撃者が不正メッセージを送信する際、レセシブとしたいビットでは、スイッチをＯＮするよう制御する。このＯＮの期間で２線は短絡され、不正メッセージの送信途中でエラーメッセージを挿入するために他ノードがドミナントを送信したとしても、攻撃者が意図した通りに受信者にはレセシブとして認識される。

短絡攻撃は、エラーフレームの挿入を阻害する以外にも、正規のノードが送信するメッセージに含まれるデータを改ざんするために利用することもできる。レセシブのデータをドミナントに改ざんすることは、短絡攻撃でなくても可能であるが、短絡攻撃では両方向の任意の改ざんが可能となる。ただし、いずれの場合も、攻撃者はＣＲＣエラーにならないようにデータを改ざんするか、またはＣＲＣフィールドも併せて改ざんする必要がある。

短絡攻撃は、ネットワーク経由のリモートからの攻撃と異なり、攻撃者が攻撃対象に触れられる人間に限定される。自動車の場合、利用者が自動車から離れる時には確実にドアをロックするなどして、不特定の第三者の攻撃機会を減らす対策も考えられるが、レンタカーやカーシェアリングのように、複数の利用者が存在する場合は、ある利用者が他の利用者に損害を与えるために、このような攻撃を行なう場合には無効である。また、利用者が自身のためにＣＡＮに対する攻撃者となる可能性もある。例えば、利用者は、走行速度を下げないよう、エンジンの回転速度を偽装することが可能である。従って、短絡攻撃のような攻撃者が限定される高度な攻撃に備えた対策が必要となる。本発明は、その手段を提供するものである。

次に、実施の形態１に係る攻撃検出装置を説明する。
まず、攻撃検出装置の概要を説明する．攻撃検出装置は、短絡攻撃に関連する、以下の３つの機能を実現し、ＣＡＮのセキュリティを向上させる。
ａ．電気的な手段によって、短絡攻撃の発生を検出する。
ｂ．短絡攻撃が発生したことを、ＣＡＮ上のノードや上位のシステム制御部に通知する。
ｃ．短絡攻撃が発生したドメインを特定する。
ａ．の短絡攻撃の検出には、電位差の監視、インピーダンスの監視、電流の監視の３つの実施形態がある。ｂ．の短絡攻撃の通知は、ＣＡＮのメッセージによるブロードキャスト（ＣＡＮ上のノードへの通知）と、ＣＡＮ以外の経路を用いた通知（システム制御部への通知）の2つの実施形態がある。ｃ．のドメインの特定については、一般に自動車などのシステムでは、ＣＡＮの２つの電源（３．５Ｖと１．５Ｖ）を共有する複数のドメインのＣＡＮが存在する。このようなシステムで、あるドメインが短絡攻撃を受けた場合、単純に各ドメインの中で短絡を監視するだけでは、どのドメインで短絡攻撃が発生したのかを特定できない可能性がある。上記ｃ．の実施形態は、攻撃を受けたドメインを特定可能とするものである。

実施の形態１．
図１は、実施の形態１に係る攻撃検出装置の一構成例を示す図である。
図１において、攻撃検出装置１は、対策用ノード２を備える。対策用ノード２は、短絡検出部の例である。攻撃検出装置１は、通信路４を介して、システム制御部３に接続されている。また、ＣＡＮのバス上にある破線部は、短絡攻撃を模擬する短絡攻撃発生源５である。短絡攻撃発生源５は、システムが短絡攻撃の標的となったときに存在するものである。

図１では、従来のＣＡＮの構成を示した図２と比べると、既存のノード１〜ノードｎだけでなく、短絡攻撃対策のために対策用ノード２が追加されている。対策用ノード２は、他の既存のノード１〜ノードｎと同様に、ＣＡＮに接続する。もちろん、既存のノード１〜ノードｎのいずれかに、図１の対策用ノード２と同等の短絡攻撃対策機能を加えることで、ノード数を増やさないことも可能である。

対策用ノード２は、短絡攻撃の監視、検出、通知を行なうノードである。対策用ノード２は、ＣＡＮの２本の信号線で伝達される信号を監視し、不正なノードによる短絡攻撃の特徴を示す信号の変化に基づいて２本の信号線間の短絡を検出する。短絡攻撃の監視、検出、通知の具体的な実現方法は後述する。

システム制御部３は、ＣＡＮも含めて自動車全体のシステム状態やセキュリティを管理する。

通信路４は、短絡攻撃が発生したことを確実にシステム制御部３に通知するための経路である。通信路４は、従来技術のＣＡＮでは定義されてなく、本実施の形態で新たに設ける通信路である。

次に、実施の形態１に係る攻撃検出装置１の動作について説明する。

まず、ＣＡＮを含めたシステム起動時においては、攻撃者が、短絡攻撃を発生させるために、攻撃対象のＣＡＮの改造や不正ノードの追加を行なう際に対策用ノード２を取り外すという脅威に備え、システム起動時のコンフィグレーションで、対策用ノード２が正しくＣＡＮに接続されていることを確認する。いくつかの確認手段がありえるが、例えば、各ノードがＣＡＮ上に存在するかどうかを各ノードに問い合わせるＣＡＮメッセージを定義して、このＣＡＮメッセージを各ノードに送信する。また、例えば、通信路４を使って、システム制御部３と対策用ノード２との間で通信を行なうことで、対策用ノード２の存在を確認しても良い。ここで、対策用ノード２が偽装されないよう、情報セキュリティ的な認証手段、例えば、チャレンジレスポンス認証方式を用いることが望ましい。また、対策用ノード２と通信路４が物理的に改ざんされないように、強固に囲われていればなお良い。

次に、攻撃検出装置１における短絡攻撃の監視動作について説明する。
ＣＡＮの２線間の短絡を電気的に検出する方法としては、電位差の監視、インピーダンスの監視、電流の監視の３種類が考えられる。実施の形態１では、電位差の監視による短絡攻撃の監視動作を説明する。

図９は、電位差の監視を行なう対策用ノード２の一構成例を示す図である。
図９において、攻撃検出装置１の対策用ノード２は、ＣＡＮトランシーバ６、ＣＡＮプロトコルコントローラ７、ＥＣＵ（ＥｎｇｉｎｅＣｏｎｔｒｏｌＵｎｉｔ）８、ＡＤコンバータ９、ＥＣＵ通信路１０を備える。

図９のＣＡＮトランシーバ６、ＣＡＮプロトコルコントローラ７、ＥＣＵ８は、ＣＡＮに接続されるノードが通常備えているものである。本実施の形態では、これらに加えてＡＤコンバータ９を設置し、ＣＡＮの２線間の電位差を監視する。ＡＤコンバータ９は、アナログ電気信号をデジタル電気信号に変換する電子回路であり、ここではＣＡＮの２線間の電位差がＡＤコンバータ９に入力されるアナログ電気信号となるように、ＣＡＮの２線をＡＤコンバータ９に接続する。

ＥＣＵ８とＡＤコンバータ９は、ＥＣＵ通信路１０を介して通信を行なう。ここで、2線間の電位差をデジタル信号としてＥＣＵ８に伝えられるものであれば、どのような素子や回路を用いても良く、ＡＤコンバータ９に限定されるものではない。

対策用ノード２は、例えば、次のようにして短絡攻撃を検出する。ＥＣＵ８は、定期的にＡＤコンバータ９がデジタルデータに変換したＣＡＮの２線間の電位差を読み出す。対策用ノード２は、ＣＡＮの２本の信号線間の電位差を監視し、電位差が短絡攻撃の特徴を示す範囲である場合に、２本の信号線間の短絡を検出する。具体的には、対策用ノード２は、ＡＤコンバータ９から読み出した電位差の値が、一定回数以上の間、連続して所定の範囲内の値であれば、短絡攻撃によって２線間が短絡したと見なして、ＣＡＮ上の各ノードや上位のシステム制御部３に通知する。図８に示したように、短絡攻撃によってドミナントがレセシブに改ざんされる際は、ＣＡＮの２線間の電位差は、通常のレセシブ時の電位差よりも大きく、通常のドミナント時の電位差よりも小さくなる。そこで、前述の所定の範囲は、この改ざんされたドミナント時の電位差の範囲を設定する。

次に、攻撃検出装置１が短絡攻撃を検出した際に、短絡攻撃の発生を通知する方法について説明する。
短絡攻撃を受けた場合、重大な被害につながらないように、ＣＡＮ上の各ノードや上位のシステム制御部３に、短絡攻撃の発生を可及的速やかに通知する必要がある。まず、ＣＡＮ上の各ノードに通知するため、対策用ノード２は、短絡攻撃の発生をＣＡＮ上の各ノードにブロードキャストする。これを実現するため、予めＣＡＮのメッセージのＩＤに、短絡攻撃通知用ＩＤを定義する。原則として、この短絡攻撃通知用ＩＤのメッセージは、対策用ノード２が送信し、全てのノードが受信するように各ノードが実装される。少なくとも、誤動作が重大な被害につながる可能性のあるノードは、この短絡攻撃通知用ＩＤのメッセージを受け付けて、適切な動作を行なうよう実装する。適切な動作がどのようなものであるかは、システム依存であるため、システムの機能に応じて適切な動作を実装しておく。

なお、ブロードキャストにより通知する場合、短絡攻撃が発生していないにも関わらず、不正ノードが短絡攻撃通知メッセージを送信することを防止するために、ＣＡＮのメッセージ認証技術を組み合わせても良い。

このように、上記のブロードキャストによる通知は、メッセージのＩＤに、短絡攻撃通知用ＩＤを１つ追加実装するだけで、ＣＡＮ上の各ノードに攻撃を通知できるようになるため、低コストで短絡攻撃を通知できる。

次に、短絡攻撃の発生を通知する別の方法について説明する。
上記のブロードキャストによる通知は、短絡攻撃の対象となったＣＡＮを使って通信するため、信頼性が十分でない可能性がある。すなわち、短絡攻撃検出後の短絡攻撃通知メッセージ自身が、再度、短絡攻撃にさらされると、正しく通知できない可能性がある。しかしながら、最も重要なことは、攻撃の発生をＣＡＮよりも上位のシステム制御部３に確実に通知することである。そこで、図１のように、ＣＡＮに接続した対策用ノード２から上位のシステム制御部３へ、短絡攻撃の検出を通知するための専用の通信路４を設ける。この通信路４は、ＣＡＮとは異なる通信路であるため、短絡攻撃を受けて信頼性が損なわれたＣＡＮを使うことなく、システム制御部３への通知が可能となる。なお、この通信路４のプロトコルや、有線、無線などの物理的な実現方法は問わない。ただし、この通信路４自身が攻撃され難くなるように、以下のようにすることが望ましい。
・通信路を強固な囲いで囲う。
・有線の場合は、複数の信号線を用いた通信路とする。
・システム制御部３は、情報セキュリティ的な認証手段を用いて、対策用ノード２を認証する。

以上のように、本実施の形態１の攻撃検出装置は、ＣＡＮの２線間の短絡を監視し、短絡攻撃を検知するとともに、ＣＡＮ上の各ノードや上位のシステム制御部に、短絡攻撃の発生を通知することにより、短絡攻撃のようなダイナミックな短絡を検出でき、ＣＡＮのセキュリティを向上させてなりすまし攻撃を防止することができるという効果がある。

実施の形態２．
実施の形態１では、ＣＡＮの２線間の電位差を監視することにより、短絡攻撃を検知する場合を説明したが、次に、ＣＡＮの２線間のインピーダンスを監視することで短絡攻撃を検知する実施の形態を説明する。

図１０は、インピーダンスの監視を行なう対策用ノード２の一構成例を示す図である。
図１０では、図９のＡＤコンバータ９に代えて、インピーダンスモニタ１１が設置されている。その他の構成は、図９と同様である。

本実施の形態では、インピーダンスモニタ１１によって、ＣＡＮの２線間のインピーダンスを測定する。
図１１は、インピーダンスモニタ１１の一構成例を示す図である。
図１１において、インピーダンスモニタ１１は、抵抗１２、ＡＤコンバータ１３を備える。なお、インピーダンスモニタ１１は、ＣＡＮの２線間のインピーダンスを測定でき、測定結果をデジタル情報としてＥＣＵに送信できる回路や素子であれば、図１１の構成に限定しない。

通常、ＣＡＮ上にドミナントが送信されている間は、１２０Ωの２つの終端抵抗を介して、３．５Ｖと１．５Ｖの電源が接続されるため、図１０の対策用ノード２が無ければ、２つの電源間に約３３ｍＡの電流が流れる。図１１の抵抗１２は、ＣＡＮの動作に悪影響を与えないよう、十分大きな抵抗値とする。この抵抗値を仮にＲ［Ω］とすると、図１０の対策用ノード２が接続された状態でドミナントが送信されている間、この抵抗には、３３＊（６０／（６０＋Ｒ））［ｍＡ］の電流が流れる。

一方、ＣＡＮ上にレセシブが送信されている間は、通常は、３．５Ｖと１．５Ｖの２つの電源は電気的に切り離されるため、図１１の抵抗１２には電流がほとんど流れない。ところが、短絡攻撃が発生すると、ＣＡＮ上ではレセシブが検出されるが、2つの電源間に電流が流れる。短絡攻撃では、ＣＡＮの２線間のインピーダンスが非常に小さな値（仮にｒ［Ω］とする）になるが、０にはならないので、図１０の対策用ノード２が接続された状態では、図１１の抵抗１２には、Ｒとｒの比に応じた電流が流れる。そこで、図１１のＡＤコンバータ１３で、抵抗１２の両端の電位差を測定することで、間接的にＣＡＮの2線間のインピーダンスを知ることができる。すなわち、通常のドミナントでは約６０Ω、通常のレセシブでは非常に大きな値、短絡攻撃によるレセシブでは非常に小さな値である。図１０のＥＣＵ８は、ＣＡＮ上でレセシブを検出した時のインピーダンスを監視し、ＣＡＮの２線間のインピーダンスが予め与えられた値よりも小さければ、短絡攻撃を検出したとみなして通知する。

実施の形態３．
実施の形態２では、ＣＡＮの２線間のインピーダンスを監視することにより、短絡攻撃を検知する場合を説明したが、次に、ＣＡＮの２線間の電流を監視することで短絡攻撃を検知する実施の形態を説明する。

図１２は、電流の監視を行なう場合の一構成例を示す図である。
本実施の形態では、電位差やインピーダンスを監視する場合と異なり、対策用ノード２内部で実施されるものではなく、ＣＡＮを用いるシステムの電源回路、または、電源回路とＣＡＮをつなぐ電源ラインや電源ケーブル上で実施される。これは、ＣＡＮに接続される特定のノード内を流れる電流を監視しても、ＣＡＮの２つの電源（３．５Ｖと１．５Ｖ）間を流れる電流全体を監視することにならないからである。

図１２においては、ＣＡＮの電源と、ＣＡＮをつなぐ電源ライン１５上に、直列に電流モニタ１４を挿入し、電源とＣＡＮの間を流れる電流を監視する。電流モニタ１４は、短絡検出部の例である。電流モニタ１４内部で大きな電圧降下がないよう、電流モニタ１４の内部抵抗は非常に小さい値である必要がある。前述のように、通常はＣＡＮの状態がドミナントの時は、電源間に約３３ｍＡの電流が流れ、レセシブの時は電流がほとんど流れない。しかし、短絡攻撃によるレセシブの時は、ＣＡＮの２線間のインピーダンスが非常に小さな値になるため、電源間に極めて大きな電流が流れる。図１２の電流モニタ１４は、このような大電流を一定期間以上の間に渡って検出すると、短絡攻撃を検出したとみなしてシステム制御部３に通知する。短絡攻撃を受けない場合でも、ＣＡＮの状態がドミナントに切り替わる時は、瞬間的に大きな電流が流れる可能性もあるが、短絡攻撃の場合は少なくとも１ビットを転送する期間の間、連続して大電流が流れるため、両者を区別することができる。

実施の形態４．
実施の形態１〜３では、ＣＡＮの２線間の電位差、インピーダンス、電流等を監視して短絡攻撃を検知する場合を説明したが、次に、複数のドメインのＣＡＮが存在する場合に、どのドメインで短絡攻撃が発生したのかを特定できるようにした実施の形態を説明する。

一つのシステムの中に、ＣＡＮの２つの電源（３．５Ｖと１．５Ｖ）を共有する複数のドメインのＣＡＮが存在する場合がある。このようなシステムで、あるドメインが短絡攻撃を受けた場合、各ドメインの中でそれぞれ実施の形態１〜３のように、ＣＡＮの２線間の電位差やインピーダンスを監視しても、どのドメインで短絡攻撃が発生したのかを特定できない可能性がある。例えば、２つのドメインのＣＡＮで、同じ時にそれぞれドミナントが送信され、一方のドメインのＣＡＮが短絡攻撃を受けた場合、他方の２線間の電位差やインピーダンスも、攻撃を受けたドメインと同様の異常な範囲の値となり得る。この場合、攻撃を受けたドメインを特定することが困難になる。この問題を解決するための実施例を説明する。

図１３は、複数のドメインのＣＡＮを監視する攻撃監視装置の一構成例を示す図である。
図１３の構成は、実施の形態３で説明した電流の監視を行なう場合の構成を応用したものである。この構成では、ＣＡＮの電源とＣＡＮの各ドメインをつなぐ電源ライン１５上に、ドメイン毎に直列に電流モニタ１４を挿入し、電源と各ドメインのＣＡＮの間を流れる電流を監視する。実施の形態３と同様に、各ドメインの電流モニタ１４は、短絡攻撃による大電流を監視し、一定期間以上の間に渡って大電流を検出すると、当該ドメインが短絡攻撃を受けたとみなしてシステム制御部３に通知する。システム制御部３への通知は、ドメイン毎に設けた短絡攻撃通知用の通信路４を用いて行われる。

以上のように攻撃監視装置を構成することにより、複数のＣＡＮのドメインが電源を共有していても、どのドメインで短絡攻撃が発生したのかを特定することが可能になる。

１攻撃検出装置、２対策用ノード、３システム制御部、４通信路、５短絡攻撃発生源、６ＣＡＮトランシーバ、７ＣＡＮプロトコルコントローラ、８ＥＣＵ（ＥｎｇｉｎｅＣｏｎｔｒｏｌＵｎｉｔ）、９ＡＤコンバータ、１０ＥＣＵ通信路、１１インピーダンスモニタ、１２抵抗、１３ＡＤコンバータ、１４電流モニタ、１５電源ライン。

Claims

２本の信号線の差動電圧により複数のノードに信号を伝達するＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）と、
前記ＣＡＮの２本の信号線で伝達される前記信号を監視し、不正な前記ノードによる短絡攻撃の特徴を示す信号の変化に基づいて前記２本の信号線間の短絡を検出する短絡検出部と
を備える攻撃検出装置。
前記短絡検出部は、前記ＣＡＮの２本の信号線間の電位差を監視し、前記電位差が前記短絡攻撃の特徴を示す範囲である場合に、前記２本の信号線間の短絡を検出する請求項１記載の攻撃検出装置。
前記短絡検出部は、前記ＣＡＮの２本の信号線間のインピーダンスを監視し、前記インピーダンスが前記短絡攻撃の特徴を示す範囲である場合に、前記２本の信号線間の短絡を検出する請求項１記載の攻撃検出装置。
前記短絡検出部は、前記ＣＡＮの２本の信号線間の電流を監視し、前記電流が前記短絡攻撃の特徴を示す範囲である場合に、前記２本の信号線間の短絡を検出する請求項１記載の攻撃検出装置。
前記短絡検出部は、複数のドメインに存在する複数の前記ＣＡＮの電流を監視し、短絡攻撃の特徴を示す短絡を検出した前記ドメインを特定する請求項４記載の攻撃検出装置。
前記ノードは、前記短絡検出部が短絡攻撃の特徴を示す短絡を検出した場合、短絡攻撃の発生を示すメッセージを他のノードに通知する請求項１記載の攻撃検出装置。
前記ＣＡＮの上位のシステム状態を管理するシステム制御部と、
前記システム制御部と前記短絡検出部とを接続する通信路とを備え、
前記短絡検出部は、短絡攻撃の特徴を示す短絡を検出した場合、前記通信路を介して短絡攻撃の発生を示すメッセージを前記システム制御部に通知する請求項１記載の攻撃検出装置。