JPWO2018211790A1 - Ｅｃｕ - Google Patents

Abstract

車載ネットワークの複雑化及びコストの増加を回避しつつ、セキュリティの保護を実現し得るＥＣＵを提案する。ＣＡＮバス（２０）に接続されているＥＣＵ（１０）において、ＥＣＵ（１０）のＣＰＵ（１００）は、通信バス（２０）を介して正規のデータ（Ｄ１）を受信した後、正規のデータ（Ｄ１）とＩＤが同一のデータ（Ｄ２〜Ｄ８）を受信し、ＩＤが同一のデータ（Ｄ２〜Ｄ８）の一定期間内における受信回数が予め定められた規定回数（ＤＣ）以上である場合、異常な状態であると判断して、安全な制御状態に移行することを特徴とする。

Description

本発明は、ＥＣＵに関し、特に車載ネットワーク上に配置されるＥＣＵに適用して好適なものである。

近年、ＣＡＮ（Controller Area Network）と呼ばれる通信規格を利用した車載ネットワーク（ＣＡＮネットワーク）が普及している。このＣＡＮネットワークは、車両に設置された複数の電子制御装置（ECU：Electronic Control Unit）と、ＣＡＮを利用した通信バス（ＣＡＮバス）とが接続されて構成される。ＥＣＵは、このＣＡＮバスを介して、他のＥＣＵと互いに通信（ＣＡＮ通信）することができる。

ＣＡＮバスは、ＥＣＵ同士を互いに通信可能に接続する一方で、データリンクコネクタ（DLC：Data Link Connector）を備える。このデータリンクコネクタに専用の機器を接続することで、ＥＣＵが備える自己診断機能（OBD：On Board Diagnostics）により生成される故障コードを読み取ることができる。故障コードを参照することで、例えばサービスエンジニアは故障箇所を容易に特定することができる。

ところで、このＤＬＣが不正に利用された場合、具体的にはＤＬＣを介して、正規のデータとＩＤが同一で中身が異なる不正なデータが外部からＣＡＮバスに送信された場合、ＣＡＮバスに接続されているＥＣＵがこの不正なデータを受信して誤動作するおそれがある。よってセキュリティ保護の観点から、このような不正なデータを防御する技術が必要となる。

なお不正なデータは、ＤＬＣに有線で接続された機器からＣＡＮバスに送信される場合と、ＤＬＣに無線通信可能な機器が接続されて、この機器を介して無線でＣＡＮバスに送信される場合とが考えられる。

特許文献１には、ＣＡＮバスに対して送信されたデータについて、前回の送信タイミングと、今回の送信タイミングとの間の差分を送信周期として算出し、この送信周期と、予め記憶する不正データ判定用の送信周期とを比較し、比較した結果、算出した送信周期が不正データ判定用の送信周期よりも短い場合、今回送信されたデータを不正データとして判定する技術が開示されている。

この特許文献１に記載の技術によれば、一のＥＣＵがＣＡＮバスを監視し、他のＥＣＵが不正データの受信を完了する前にこれを検出して無効化することができる。これにより正規なデータとＩＤが同一で中身が異なる不正なデータがＣＡＮバスに侵入し、ＣＡＮバスに接続されているＥＣＵの誤動作を引き起こすなりすまし攻撃から、車載ネットワークに接続している全てのＥＣＵを防御することができるとしている。

特開２０１４−２３６２４８号公報

しかしこの特許文献１に記載の技術では、ＣＡＮバスに対して送信されたデータを常時監視するための追加の機器が必要になる。具体的には、ＥＣＵとＣＡＮバスとを接続する通常の通信線に加えて、これと並列にこのＥＣＵとＣＡＮバスとを接続する追加の通信線が更に必要となる。またＣＡＮバス上のデータを常時監視する処理、不正データか否かを判定する処理及び不正データである場合の無効化処理等の追加の処理が必要になる。

よって車載ネットワークのハードウェア構成及びソフトウェア構成が複雑化し、これに伴い、車載ネットワークを実現するための全体のコストが増加するという課題が生じる。

本発明は以上の点を考慮してなされたものであり、車載ネットワークの複雑化及びコストの増加を回避しつつ、セキュリティの保護を実現し得るＥＣＵを提案する。

かかる課題を解決するために、本発明においては、ＣＡＮバス（２０）に接続されているＥＣＵ（１０）において、ＥＣＵ（１０）のＣＰＵ（１００）は、通信バス（２０）を介して正規のデータ（Ｄ１）を受信した後、正規のデータ（Ｄ１）とＩＤが同一のデータ（Ｄ２〜Ｄ８）を受信し、ＩＤが同一のデータ（Ｄ２〜Ｄ８）の一定期間内における受信回数が予め定められた規定回数（ＤＣ）以上である場合、異常な状態であると判断して、安全な制御状態に移行することを特徴とする。

本発明によれば、車載ネットワークの複雑化及びコストの増加を回避しつつ、セキュリティの保護を実現することができる。

車載ネットワークの全体構成図である。 ＥＣＵの内部構成図である。 受信処理のフローチャートである。 受信処理の概念図である。

以下本発明について、図面を参照しながら本発明の一実施の形態を詳述する。なお以下の説明はあくまで本発明の一実施の形態にすぎず、本発明の技術的範囲がこれに限定されるものではない。

図１は、車両１における車載ネットワークＮ１の全体構成を示す。車載ネットワークＮ１は、ＣＡＮ（Controller Area Network）と呼ばれる通信規格を利用したネットワークであり、電子制御装置（ECU：Electronic Control Unit）１０及びＣＡＮバス２０を備えて構成される。

ＥＣＵ１０は、車両１の各種動作を制御する制御装置である。ＥＣＵ１０は、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）及び入出力インタフェース等を備えて構成される。各ＥＣＵ１０は、それぞれＣＡＮバス２０に接続される。これにより各ＥＣＵ１０は、ＣＡＮバス２０を介して互いに通信可能に接続される。

なおＣＡＮバス２０に接続されるＥＣＵ１０のうち、エンジンＥＣＵと呼ばれるＥＣＵ１０は、車両１の動作を統括的に制御する。そのため本実施の形態においては、このエンジンＥＣＵに本発明を適用することで、特に走行に関する制御についてセキュリティの保護を実現しようとするものである。

ＣＡＮバス２０は、ＣＡＮを利用した通信バスであり、各ＥＣＵ１０を互いに通信可能に接続する。またＣＡＮバス２０は、データリンクコネクタ（DLC：Data Link Connector）３０を備える。ＤＬＣ３０は、スキャンツール４０を有線又は無線によりＣＡＮバス２０に接続するための接続コネクタである。

ＤＬＣ３０にスキャンツール４０を接続し、スキャンツール４０上で特定の操作を行うと、ＥＣＵ１０が備える自己診断機能（OBD：On Board Diagnostics）により生成される故障コードを読み取ることができる。例えばサービスエンジニアは、スキャンツール４０の表示画面上に表示される故障コードを参照して、車両１の故障箇所を特定することができる。

ここで、ＤＬＣ３０を介して車両１の外部から不正なデータがＣＡＮバス２０に送信される場合が考えられる。ここでいう不正なデータとは、少なくともＣＡＮバス２０に送信されるタイミングが正規のデータとは異なるデータをいう。

例えば一の正規のデータのＩＤが「１」で、「１００ｍｓ」ごとにＣＡＮバス２０に送信される場合、ＩＤが「１」で、「１２０ｍｓ」ごとにＣＡＮバス２０に送信されるデータは本実施の形態においては不正なデータとして取り扱われる。またこのＩＤが「１」のデータとの関係において、ＩＤが異なるデータ、或いは、ＩＤが同一であっても内容が異なるデータも当然に不正なデータとなる。

このような不正なデータがＤＬＣ３０を介してＣＡＮバス２０に送信された場合であって何らの防御手段もない場合、ＣＡＮバス２０に接続されているＥＣＵ１０がこれを受信して演算処理してしまう。特にエンジンＥＣＵが不正なデータを受信して演算処理すると、走行に関する制御が不能になるおそれがある。

本実施の形態においては、たとえ不正なデータがＣＡＮバス２０に送信された場合であっても、ＥＣＵ１０においてこの不正なデータは演算処理の対象から除外し、正規のデータだけを演算処理の対象とするようにしている。またＥＣＵ１０がＣＡＮバス２０を介して、不正なデータを受信する受信回数が増加した場合、これを異常な状態と判断し、安全な制御状態に移行するようにしている。

安全な制御状態には、エンジンを停止させた状態（エンストさせた状態）、ＣＡＮバス２０からのデータの受信を拒否した状態、最小のギア段による走行を維持するリンプホームモードに移行した状態などがある。

図２は、ＥＣＵ１０の内部構成を示す。ＥＣＵ１０は、ここでは図示しないＲＡＭ及びＲＯＭ等のメモリや入出力インタフェースを備えるとともに、ＣＰＵ１００を備える。ＣＰＵ１００は、データ送受信部１０１、受信データ監視部１０２、ＣＡＮバッファ１０３及び制御判断部１０４及び演算部１０５等のプログラム又はメモリを備える。

データ送受信部１０１は、ＣＡＮバス２０からの正規又は不正なデータＤ０〜Ｄ８を受信して、受信データ監視部１０２に出力する。またデータ送受信部１０１は、これらのデータＤ０〜Ｄ８のうちの正規のデータに対する演算結果Ｄ２１、Ｄ２２又は安全な制御状態に移行するためのフェールセーフデータＤ２３をＣＡＮバス２０に送信する。

演算結果Ｄ２１、Ｄ２２、フェールセーフデータＤ２３は、その後他のＥＣＵ１０や他の機器の動作に用いられる。他のＥＣＵ１０や他の機器がフェールセーフデータＤ２３を受信した場合、安全な制御がドライバの操作によらずに実行されることになる。

受信データ監視部１０２は、データ送受信部１０１からの正規又は不正なデータＤ０〜Ｄ８を入力すると、これらのデータをＣＡＮバッファ１０３に出力するとともに、これらのデータＤ０〜Ｄ８の受信回数をカウントして異常な状態であるか否かを判断する。

具体的に、受信データ監視部１０２は、基準となる一の正規のデータＤ０を受信すると、これをＣＡＮバッファ１０３に出力するとともに、ＣＰＵ１００の内部に保持するタイマＴを起動して時間のカウントを開始する。

受信データ監視部１０２は、ＩＤごとに予め対応付けられた規定時間ＤＴを参照して、この規定時間ＤＴが経過するまでの間に受信したデータＤ０〜Ｄ８をＣＡＮバッファ１０３に出力する。またこれらのデータＤ０〜Ｄ８の受信回数をカウンタＣによりカウントする。すなわち受信データ監視部１０２は、単位時間当たりのデータの受信回数をカウントする。

そして受信データ監視部１０２は、予め定められた規定回数ＤＣを参照して、カウンタＣによりカウントされた受信回数が規定回数ＤＣ以上であるか否かを判断する。受信回数が規定回数ＤＣ以上になった場合、受信データ監視部１０２は異常な状態であるものと判断する。そして受信データ監視部１０２は、異常な状態であることを示す監視結果を制御判断部１０４に出力する。

ＣＡＮバッファ１０３は、演算処理待ちのデータを格納するメモリである。
制御判断部１０４は、受信データ監視部１０２からの監視結果に基づいて、ＣＡＮバッファ１０３に格納されているデータを演算対象とするか、或いは、演算対象から除外するかを判断する。そして制御判断部１０４は、判断結果を演算部１０５に出力する。

演算部１０５は、制御判断部１０４からの判断結果に基づいて、ＣＡＮバッファ１０３に格納されたデータＤ０〜Ｄ８のうちの規定時間ＤＴの経過後で所定時間内（ウインドウ内）に受信したデータを演算処理して、演算結果Ｄ２１、Ｄ２２を生成する。或いは、演算処理の対象から除外してフェールセーフデータＤ２３を生成する。

例えば演算部１０５は、データＤ０のＩＤが「１」であり、このＩＤに予め対応付けられている規定時間ＤＴが「１００ｍｓ」である場合、ＩＤが「１」のデータについてはデータＤ０を受信してから１００ｍｓ〜１１０ｍｓ、或いは、９５ｍｓ〜１０５ｍｓの間のウインドウ内に受信したデータを演算処理して、演算結果Ｄ２１、Ｄ２２を生成する。

一方で演算部１０５は、異常な状態である場合、ＣＡＮバッファ１０３に格納されたデータＤ０〜Ｄ８を演算対象から除外し、安全な制御状態に移行するためのフェールセーフデータＤ２３を生成する。演算部１０５は、生成した演算結果Ｄ２１、Ｄ２２又はフェールセーフデータＤ２３をデータ送受信部１０１に出力する。

図３は、本実施の形態における受信処理のフローチャートを示す。受信処理は、ＥＣＵ１０のＣＰＵ１００により、カウンタＣが起動された時点から開始され、それ以後は常時実行される。カウンタＣの起動タイミングは、ＥＣＵ１０の電源ＯＮ時であることを想定しているが、必ずしもこれに限られない。

またここでは、基準となる一の正規のデータを受信した後の一定期間に限って説明する。ここで説明するデータのＩＤは全て同一である（例えば「１」）。すなわちＩＤごとに本処理が行われる。説明の便宜上、処理主体をＣＰＵ１００として説明する。

まずＣＰＵ１００は、カウンタＣを起動して受信回数のカウントを開始する（Ｓ１）。その後ＣＰＵ１００は、ＣＡＮバス２０から一の正規のデータを受信すると（Ｓ２）、タイマＴを起動して時間のカウントを開始する（Ｓ３）。

ＣＰＵ１００は、タイマＴを起動した後、ステップＳ２で正規のデータを受信しているので受信回数ｉを＋１だけカウントアップする（Ｓ４）。そしてＣＰＵ１００は、受信回数ｉがｉ≧規定回数ＤＣであるか否かを判断する（Ｓ５）。

例えば規定回数ＤＣが「６」回であるものとして定められている場合、一の正規のデータを受信した時点では受信回数ｉは「１」回であるため受信回数ｉ＜規定回数ＤＣであり、ステップＳ５の判断では否定結果を得ることになる。

ＣＰＵ１００は、ステップＳ５の判断で否定結果を得ると（Ｓ５：Ｎ）、受信した正規のデータをＣＡＮバッファ１０３に出力する（Ｓ６）。そしてＣＰＵ１００は、タイマＴを起動した以後で他に受信したデータがあるか否かを判断する（Ｓ７）。ＣＰＵ１００は、ステップＳ７の判断で肯定結果を得ると（Ｓ７：Ｙ）、ステップＳ４に移行して上述の処理を繰り返す。

これに対しＣＰＵ１００は、ステップＳ７の判断で否定結果を得ると（Ｓ７：Ｎ）、ステップＳ２で受信した正規のデータのＩＤに対応付けられている規定時間ＤＴと、ステップＳ３でカウントを開始したカウント時間とを参照して、カウント時間が規定時間ＤＴを経過したか否かを判断する（Ｓ８）。

ＣＰＵ１００は、ステップＳ８の判断で否定結果を得ると（Ｓ８：Ｎ）、カウント時間が規定時間ＤＴを経過するまでステップＳ４に移行して、上述の処理を繰り返す。そしてＣＰＵ１００は、ステップＳ５の判断で肯定結果を得ると（Ｓ５：Ｙ）、異常な状態であるものと判断する（Ｓ９）。そしてＣＰＵ１００は、安全な制御状態に移行して（Ｓ１０）、本処理を終了する。

これに対しＣＰＵ１００は、ステップＳ８の判断で肯定結果を得ると（Ｓ８：Ｙ）、カウンタＣを停止及び再起動することにより、カウント回数を一旦リセットして受信回数のカウントを再度開始する（Ｓ１２）。

次いでＣＰＵ１００は、ＣＡＮバッファ１０３に格納されているデータのうち、規定時間ＤＴの経過後から所定時間内（ウインドウ内）に受信したデータがあるか否かを判断する（Ｓ１３）。

ＣＰＵ１００は、ステップＳ１３の判断で否定結果を得ると（Ｓ１３：Ｎ）、ＣＡＮバッファ１０３に格納されているデータを演算処理せずに本処理を終了する。これに対しＣＰＵ１００は、肯定結果を得ると（Ｓ１３：Ｙ）、ＣＡＮバッファ１０３に格納されているデータのうち、ウインドウ内に受信したデータを演算処理して（Ｓ１４）、本処理を終了する。

なおＣＰＵ１００は、これ以降に受信するＩＤが同一のデータについてはステップＳ４に移行して上述の処理を繰り返すことになる。

図４は、図３で説明した受信処理の概念図を示す。以下時系列に沿って、データＤ０〜Ｄ８の処理について説明する。

時間ｔ＝ｔ０のタイミングで、基準となる正規のデータＤ０がデータ送受信部１０１により受信される。また受信データ監視部１０２により、タイマＴが起動されるとともに規定時間ＤＴが参照される。またカウンタＣの受信回数が＋１だけカウントアップされる。

その後データＤ０は、ＣＡＮバッファ１０３に出力される。ＣＡＮバッファ１０３に格納されたデータＤ０は、制御判断部１０４により演算対象であると判断された後、演算部１０５により演算処理される。その結果、演算結果Ｄ２１が生成される。

時間ｔがｔ０≦ｔ＜ｔ１の間では、受信されるデータの監視が受信データ監視部１０２により行われる。具体的にはタイマＴにより時間がカウントされ、カウンタＣにより受信回数がカウントされる。ここではデータＤ０のみが受信されただけであるため、受信回数は１回である。

時間ｔ＝ｔ１のタイミングで、タイマＴ及びカウンタＣが受信データ監視部１０２により停止及び再起動されて、カウント時間及び受信回数がリセットされる。リセットされた後はカウントが再開される。ここでのタイマＴは、時間ｔ＝ｔ２のタイミングで時間のカウントを再開し、カウンタＣはリセットされた後すぐにデータのカウントを再開する。

時間ｔがｔ１＜ｔ≦ｔ３の間は、受信したデータを演算処理の対象とする期間を示す。この期間をここではウインドウＷと呼ぶ。正規のデータＤ１は、時間ｔ＝ｔ２のタイミングで受信されたデータであり、このウインドウＷ内で受信されたデータである。

よってデータＤ１は、その後ＣＡＮバッファ１０３に出力されて、制御判断部１０４により演算対象と判断された後、演算部１０５により演算処理される。その結果、演算結果Ｄ２２が生成される。

時間ｔがｔ２≦ｔ＜ｔ５の間は、受信されるデータの監視が再び行われる。ここではこの間に複数の不正なデータＤ２〜Ｄ７が受信されている。カウンタＣにより不正なデータＤ２〜Ｄ７が受信されるたびに受信回数が＋１だけカウントアップされる。

時間ｔ＝ｔ４のタイミングで、受信回数が規定回数ＤＣに到達していることが示されている。この場合、受信データ監視部１０２からの監視結果が制御判断部１０４に出力され、制御判断部１０４により以降に受信するデータは演算処理の対象から除外される。

時間ｔがｔ５＜ｔ≦ｔ７の間は、ここでは２回目のウインドウＷが設定されている。このようにウインドウＷは規定時間ＤＴが経過するたびに定期的に設けられる。正規のデータＤ８は、時間ｔ＝ｔ６のタイミングで受信されたデータであり、このウインドウＷ内で受信されたデータであるが、演算処理の対象から除外される。そしてこれに代えてフェールセーフデータＤ２３が生成される。

以上のように本実施の形態によれば、基準となる正規のデータＤ０を受信した場合、その後に受信するデータのうち、データＤ０と同一のＩＤのデータの受信回数をカウントし、一定期間内における受信回数が規定回数ＤＣに到達しない場合はその後に受信するデータＤ１を演算処理し、受信回数が規定回数ＤＣ以上になる場合は異常な状態であると判断して、安全な制御状態に移行するようにした。

より具体的には、正規のデータＤ０を受信した時点でタイマＴを起動し、カウント時間が規定時間ＤＴを経過するまでの間に受信したデータの受信回数をカウントし、受信回数が規定回数ＤＣに到達しない場合はその後にウインドウＷ内で受信した正規のデータＤ１を演算処理するようにする一方で、受信回数が規定回数ＤＣに到達した場合は正規のデータＤ８を演算処理の対象から除外し、代わりにフェールセーフデータＤ２３を生成し、これに基づいて安全な制御状態に移行するようにした。

これにより、なりすまし攻撃に対する防御手段として追加の機器を必要とすることなく、また不正な受信データを監視、判定及び無効化する等の煩雑な処理を必要とすることなく、単にソフトウェアの制御によって不正なデータを防御することができる。よって本実施の形態によれば、車載ネットワークの複雑化及びコストの増加を回避しつつ、セキュリティの保護を実現することができる。

なお本実施の形態においては、ＩＤと規定時間ＤＴとが予め対応付けられているが、これに加えて規定時間ＤＴとウインドウ幅（図４においては時間ｔ１とｔ３との間の時間）とが対応付けられているとしてもよい。

例えばＩＤが「１」については、規定時間ＤＴが「９９ｍｓ」、ウインドウ幅が「１０ｍｓ」が予め対応付けられており、ＩＤが「２」については、規定時間ＤＴが「５０ｍｓ」、ウインドウ幅が「５ｍｓ」が予め対応付けられているとしてもよい。すなわち単位時間当たりの受信回数に応じてウインドウ幅を可変にしてもよい。

この場合、単位時間当たりの受信回数が多いデータについてはウインドウ幅を短くするようにして、不正なデータを演算処理の対象から除外し易くすることができる。よってより確実にセキュリティの保護を実現することができる。

また本実施の形態においては、カウント時間が規定時間ＤＴを経過した時点で受信回数を一旦リセットするとしているが、これに限らず、受信回数の累計が規定回数ＤＣに到達するまでリセットしないとしてもよい。すなわちカウンタＣが受信回数のカウントを開始してから、定期的に設けるウインドウＷの範囲外で受信したデータの受信回数の累計が規定回数ＤＣに到達したタイミングで、受信回数をリセットするとしてもよい。

この場合、カウント時間が規定時間ＤＴを経過するたびに受信回数をリセットする必要がなくなるため処理の簡素化を図ることができる。また異常な状態と判断されるほどに不正なデータを受信していなくとも、定常的に不正なデータを受信している場合、これを異常な状態と判断することができる。

１ 車両
１０ ＥＣＵ
２０ ＣＡＮバス
３０ ＤＬＣ
４０ スキャンツール
１００ ＣＰＵ
１０１ データ送受信部
１０２ 受信データ監視部
１０３ ＣＡＮバッファ
１０４ 制御判断部
１０５ 演算部

Claims (8)

1. 通信バス（２０）に接続されているＥＣＵ（１０）において、
   前記ＥＣＵ（１０）のＣＰＵ（１００）は、
   前記通信バス（２０）を介して正規のデータ（Ｄ１）を受信した後、前記正規のデータ（Ｄ１）とＩＤが同一のデータ（Ｄ２〜Ｄ８）を受信し、前記ＩＤが同一のデータ（Ｄ２〜Ｄ８）の一定期間内における受信回数が予め定められた規定回数（ＤＣ）以上である場合、異常な状態であると判断して、安全な制御状態に移行する
   ことを特徴とするＥＣＵ。
2. 前記ＣＰＵ（１００）は、
   前記ＩＤが同一のデータ（Ｄ２〜Ｄ８）の一定期間内における受信回数が前記規定回数（ＤＣ）未満である場合、定期的に設けるウインドウ（Ｗ）内で受信したデータ（Ｄ１）を演算処理の対象とする
   ことを特徴とする請求項１に記載のＥＣＵ。
3. 前記ＣＰＵ（１００）は、
   異常な状態であると判断した場合、
   定期的に設けるウインドウ（Ｗ）内で受信したデータ（Ｄ８）を演算処理の対象から除外し、安全な制御状態に移行するためのフェールセーフデータを生成する
   ことを特徴とする請求項１又は２に記載のＥＣＵ。
4. 前記ＣＰＵ（１００）は、
   前記正規のデータ（Ｄ１）のＩＤに予め対応付けられている規定時間（ＤＴ）が経過するごとに前記ウインドウ（Ｗ）を定期的に設ける
   ことを特徴とする請求項２又は３に記載のＥＣＵ。
5. 前記ＣＰＵ（１００）は、
   前記正規のデータ（Ｄ１）の受信時に時間のカウントを開始し、カウント時間が予め定められる規定時間（ＤＴ）を経過した時点（ｔ５）から所定時間が経過するまで（ｔ７）の間に前記ウインドウ（Ｗ）を設定することにより、前記ウインドウ（Ｗ）を定期的に設ける
   ことを特徴とする請求項２〜４の何れか一項に記載のＥＣＵ。
6. 前記規定時間（ＤＴ）は、
   前記正規のデータ（Ｄ１）のＩＤごとに異なる
   ことを特徴とする請求項４又は５に記載のＥＣＵ。
7. 前記ウインドウ（Ｗ）は、
   前記正規のデータ（Ｄ１）のＩＤごとに幅が異なる
   ことを特徴とする請求項２〜６の何れか一項に記載のＥＣＵ。
8. 前記ＣＰＵ（１００）は、
   異常な状態であると判断した場合、
   エンジンを停止させる制御、前記通信バス（２０）からのデータの受信を拒否する制御又は最小のギア段による走行を維持する制御のうち、何れかの制御を実行することより、安全な制御状態に移行する
   ことを特徴とする請求項１〜７の何れか一項に記載のＥＣＵ。
   
   
   

Images