WO2016009812A1 - 通信システム、通信制御装置及び不正情報送信防止方法 - Google Patents

通信システム、通信制御装置及び不正情報送信防止方法 Download PDF

Info

Publication number
WO2016009812A1
WO2016009812A1 PCT/JP2015/068452 JP2015068452W WO2016009812A1 WO 2016009812 A1 WO2016009812 A1 WO 2016009812A1 JP 2015068452 W JP2015068452 W JP 2015068452W WO 2016009812 A1 WO2016009812 A1 WO 2016009812A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
communication
transmission
authentication information
unit
Prior art date
Application number
PCT/JP2015/068452
Other languages
English (en)
French (fr)
Inventor
高田　広章
亮 倉地
直樹 足立
Original Assignee
国立大学法人名古屋大学
株式会社オートネットワーク技術研究所
住友電装株式会社
住友電気工業株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 国立大学法人名古屋大学, 株式会社オートネットワーク技術研究所, 住友電装株式会社, 住友電気工業株式会社 filed Critical 国立大学法人名古屋大学
Priority to DE112015003282.7T priority Critical patent/DE112015003282T5/de
Priority to US15/322,575 priority patent/US20170134358A1/en
Priority to CN201580036368.6A priority patent/CN106664230A/zh
Publication of WO2016009812A1 publication Critical patent/WO2016009812A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/403—Bus networks with centralised control, e.g. polling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04B—TRANSMISSION
    • H04B1/00—Details of transmission systems, not covered by a single one of groups H04B3/00 - H04B13/00; Details of transmission systems not characterised by the medium used for transmission
    • H04B1/38—Transceivers, i.e. devices in which transmitter and receiver form a structural unit and in which at least one part is used for functions of transmitting and receiving
    • H04B1/3822—Transceivers, i.e. devices in which transmitter and receiver form a structural unit and in which at least one part is used for functions of transmitting and receiving specially adapted for use in vehicles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle

Definitions

  • the present invention relates to a communication system in which a plurality of communication devices such as an ECU (Electronic Control Unit) are connected by a common communication line, a communication control device for preventing unauthorized information transmission in this system, and an unauthorized information transmission preventing method.
  • a communication system in which a plurality of communication devices such as an ECU (Electronic Control Unit) are connected by a common communication line, a communication control device for preventing unauthorized information transmission in this system, and an unauthorized information transmission preventing method.
  • a CAN (ControllerCAArea Network) communication protocol has been widely adopted for communication between a plurality of communication devices mounted on a vehicle.
  • the CAN communication protocol since a plurality of communication devices are connected to a common CAN bus, when a plurality of communication devices transmit information simultaneously and a collision occurs, an arbitration process ( Arbitration) is performed, and information transmission with a high priority is executed.
  • each communication device outputs a transmission signal to the CAN bus and simultaneously detects the signal level of the CAN bus, and the signal level of the detected signal relative to the transmission signal output by itself is detected.
  • recessive inferior value
  • dominant dominant
  • the dominant signal is dominant over the recessive signal on the CAN bus. Therefore, even if a communication collision occurs, the electronic device that outputs the dominant signal can continue the transmission process.
  • Patent Document 1 proposes an abnormality diagnosis apparatus that performs abnormality diagnosis for each branch circuit of a branch-connected two-wire CAN communication circuit.
  • the abnormality diagnosis apparatus includes a branch circuit for inspection connected to each branch circuit of a CAN communication line, a branch connection circuit having a joint circuit for connecting the branch circuit, and a separating unit for separating each branch circuit from the joint circuit. And a potential measuring means for measuring the potential of the branch circuit separated by the separating means, a connecting means for connecting the potential measuring means and the branch circuit, and connected to the potential measuring means, from the measured potential An abnormality determination means for performing abnormality determination.
  • Malicious devices may be connected to the vehicle's CAN bus.
  • a malicious device may cause other ECUs connected to the CAN bus to malfunction by repeatedly transmitting unauthorized information to the CAN bus, for example.
  • the present invention has been made in view of such circumstances, and the object of the present invention is to connect to this communication line even when unauthorized information transmission is performed to the common communication line.
  • Another object of the present invention is to provide a communication system, a communication control device, and an unauthorized information transmission preventing method that can prevent malfunction of the communication device.
  • the communication device in a communication system in which a plurality of communication devices are connected via a common communication line, the communication device gives authentication information to information to be transmitted to another communication device. And transmission information to which the authentication information is attached by the authentication information providing means is output to the communication line, and the transmission information is transmitted to another communication device, and is connected to the communication line.
  • Acquisition means for acquiring transmission information output to the communication line, authentication information determination means for determining whether authentication information included in the transmission information acquired by the acquisition means is correct, and the authentication information
  • a communication control unit having an information discarding unit that causes the communication device to discard the transmission information when the authentication information determination unit determines that the information is not correct, and the information discarding unit of the communication control unit includes
  • the authentication information determination unit determines that the authentication information is not correct
  • the predetermined information is output to the communication line
  • the other communication device receives the predetermined information from the communication line. The transmission information transmitted from the communication device is discarded.
  • the information discarding unit of the communication control device transmits the predetermined information to the communication before the information transmitting unit of the communication device finishes outputting all the transmission information to the communication line.
  • the transmission information is discarded by outputting to a line.
  • the communication device and the communication control device share key information
  • the authentication information providing unit of the communication device generates authentication information based on the key information and transmits the transmission information.
  • the authentication information determination means of the communication control device determines the authentication information included in the transmission information based on the key information.
  • the communication system according to the present invention is characterized in that the plurality of communication devices have different key information, and the communication control device has the key information of each communication device.
  • the communication control device is connected to a common communication line to which a plurality of communication devices are connected, acquires an acquisition unit that acquires transmission information output to the communication line, and a transmission acquired by the acquisition unit Authentication information determining means for determining whether or not the authentication information included in the information is correct, and discarding the transmission information to the communication device when the authentication information determining means determines that the authentication information is not correct.
  • An information discarding unit for causing the information discarding unit to output predetermined information to the communication line when the authentication information determining unit determines that the authentication information is not correct.
  • the unauthorized information transmission preventing method is an unauthorized information transmission preventing method for preventing unauthorized information transmission to the communication line in a communication system in which a plurality of communication apparatuses are connected via a common communication line.
  • the communication device adds authentication information to information to be transmitted to another communication device and outputs the information to the communication line.
  • the communication control device acquires the transmission information output to the communication line, and acquires the acquired transmission.
  • the communication control device determines whether or not the authentication information included in the information is correct. When the communication control device determines that the authentication information is not correct, the communication control device outputs predetermined information to the communication line. The other communication device discards the transmission information transmitted from the communication device when the predetermined information is received from the communication line.
  • a plurality of communication devices and a communication control device are connected to a common communication line.
  • Each communication device performs transmission of information to another communication device by adding authentication information to the transmission information and outputting it to the communication line.
  • a communication device that has received information from another communication device need not determine whether the authentication information included in the received information is correct.
  • the communication control apparatus monitors the transmission of information to the communication line. When the information is transmitted, the communication control apparatus acquires the transmission information and determines whether the authentication information included in the acquired information is correct. If the authentication information is correct, the communication control device does not need to perform any processing for this information transmission.
  • the communication control apparatus performs processing for causing the communication apparatus to discard the transmission information because there is a possibility that the transmission information is illegal by a malicious device. Thereby, it is possible to prevent each communication device from receiving unauthorized information without determining whether the authentication information is correct or not.
  • the communication control apparatus in order to discard the transmission information, the communication control apparatus outputs predetermined information to the communication line before the communication apparatus finishes outputting all of the transmission information to the communication line. As a result, the transmission information is not legitimate, and each communication device stops receiving this information, so the transmission information is discarded.
  • the communication device and the communication control device share key information and perform processing such as generation and determination of authentication information.
  • processing such as generation and determination of authentication information.
  • the plurality of communication devices included in the communication system have different key information. As a result, it is possible to reduce adverse effects due to leakage of key information.
  • Each communication device does not need to determine the authentication information included in the transmission information of the other communication device, and therefore does not need to have the key information of the other communication device.
  • the communication control device has key information for all communication devices that are to be discarded. The communication control device determines whether the authentication information included in the transmission information is correct or not by using key information corresponding to the communication device that is the information transmission source.
  • the communication control device determines whether the transmission information is correct based on the authentication information attached to the transmission information by the communication device. If the transmission information is not correct, the communication control device sends this information to the communication device.
  • the communication control device By adopting a configuration for discarding, even if unauthorized information is transmitted to a common communication line by a malicious device, it prevents the communication device from malfunctioning by discarding the transmitted information. it can.
  • FIG. 1 is a schematic diagram showing a configuration of a communication system according to the present embodiment.
  • the communication system according to the present embodiment includes a plurality of ECUs 3 mounted on the vehicle 1 and a single monitoring device 5.
  • the ECU 3 and the monitoring device 5 are connected via a common communication line laid on the vehicle 1 and can transmit / receive data to / from each other.
  • this communication line is a CAN bus, and the ECU 3 and the monitoring device 5 perform communication according to the CAN protocol.
  • the ECU 3 controls, for example, an engine ECU that controls the engine of the vehicle 1, a body ECU that controls electrical components of the vehicle body, an ABS-ECU that performs control related to ABS (Antilock Brake System), or an airbag of the vehicle 1.
  • ABS Antilock Brake System
  • the monitoring device 5 is a device that monitors unauthorized data transmission to the in-vehicle network.
  • the monitoring device 5 may be provided as a device dedicated to monitoring.
  • the monitoring device 5 may have a configuration in which a monitoring function is added to a device such as a gateway. It may be.
  • FIG. 2 is a block diagram showing the configuration of the ECU 3.
  • the ECU 3 provided in the vehicle 1 is illustrated with extracted blocks relating to communication, fraud monitoring, and the like. These blocks are common to each ECU 3.
  • the ECU 3 according to the present embodiment includes a processing unit 31, a storage unit 32, a CAN communication unit 33, and the like.
  • the processing unit 31 is configured using an arithmetic processing device such as a CPU (Central Processing Unit) or an MPU (Micro-Processing Unit).
  • the processing unit 31 performs various information processing or control processing related to the vehicle 1 by reading and executing a program stored in the storage unit 32 or the like.
  • the storage unit 32 is configured using a non-volatile memory element such as a flash memory or an EEPROM (Electrically Erasable Programmable ROM).
  • the storage unit 32 stores a program executed by the processing unit 31 and various data necessary for processing performed thereby.
  • the program and data stored in the storage unit 32 are different for each ECU 3.
  • the storage unit 32 stores key information 32 a used for the authentication information generation process performed by the processing unit 31.
  • a plurality of ECUs 3 are connected to the CAN bus, but the key information 32a stored in the storage unit 32 by each ECU 3 may be different.
  • the CAN communication unit 33 communicates with another ECU 3 or the monitoring device 5 via the CAN bus according to the CAN communication protocol.
  • the CAN communication unit 33 converts the information for transmission given from the processing unit 31 into a transmission signal in accordance with the CAN communication protocol, and outputs the converted signal to the CAN bus, so that the other ECU 3 or the monitoring device 5 Send information to.
  • the CAN communication unit 33 obtains a signal output from another ECU 3 or the monitoring device 5 by sampling the potential of the CAN bus, and converts this signal into binary information according to the CAN communication protocol. Reception is performed and the received information is given to the processing unit 31.
  • the processing unit 31 of the ECU 3 is provided with an authentication information generation unit 41, a transmission frame generation unit 42, and the like.
  • the authentication information generation unit 41 and the transmission frame generation unit 42 may be configured as hardware functional blocks or may be configured as software functional blocks.
  • the authentication information generation unit 41 performs processing for generating authentication information using information to be transmitted to the other ECU 3 and the key information 32a of the storage unit 32.
  • the transmission frame generation unit 42 generates a transmission frame (message) suitable for communication in the present embodiment based on information to be transmitted to another ECU 3 and the authentication information generated by the authentication information generation unit 41. I do. By sending the transmission frame generated by the transmission frame generation unit 42 to the CAN communication unit 33, information transmission to another ECU 3 can be performed.
  • FIG. 3 is a block diagram showing the configuration of the monitoring device 5.
  • the monitoring device 5 includes a processing unit 51, a storage unit 52, a CAN communication unit 53, and the like.
  • the processing unit 51 is configured by using an arithmetic processing device such as a CPU or MPU, and performs processing for monitoring the behavior and communication of the ECU 3 of the vehicle 1 by reading and executing a program stored in the storage unit 52. .
  • the storage unit 52 is configured using a non-volatile rewritable memory element such as a flash memory or an EEPROM.
  • the storage unit 52 stores a key information table 52a including key information of all ECUs 3 connected to the CAN bus.
  • FIG. 4 is a schematic diagram illustrating the configuration of the key information table 52a.
  • the key information table 52a that the monitoring device 5 stores in the storage unit 52, an ID that can identify each ECU 3 is associated with key information that the ECU 3 has.
  • the transmission frame transmitted by each ECU 3 includes an ID. It is assumed that one or a plurality of IDs are assigned to each ECU 3 in advance, and the same ID is not assigned to two or more ECUs 3.
  • the monitoring device 5 can acquire one piece of key information from the key information table 52a based on the ID included in the transmission frame of the ECU 3.
  • the CAN communication unit 53 performs communication with the ECU 3 via the CAN bus according to the CAN communication protocol.
  • the CAN communication unit 53 converts the information for transmission given from the processing unit 51 into a transmission signal according to the CAN communication protocol, and outputs the converted signal to the CAN bus to transmit information to the ECU 3. .
  • the CAN communication unit 53 obtains a signal output from the ECU 3 by sampling the potential of the CAN bus, converts the signal into binary information according to the CAN communication protocol, and receives the information. Information is given to the processing unit 51.
  • the processing unit 51 of the monitoring device 5 is provided with an authentication information determination unit 61, a transmission information discard processing unit 62, and the like.
  • the authentication information determination unit 61 and the transmission information discard processing unit 62 may be configured as hardware functional blocks or may be configured as software functional blocks.
  • the authentication information determination unit 61 performs a process of determining whether or not the authentication information included in the transmission frame transmitted by the ECU 3 is correct.
  • the transmission information discard processing unit 62 performs processing for causing each ECU 3 to discard the transmission frame when an unauthorized transmission frame is detected.
  • the communication system according to the present embodiment has a function of monitoring unauthorized information transmission to the CAN bus.
  • FIG. 5 is a schematic diagram for explaining an overview of the monitoring process of the communication system according to the present embodiment.
  • a malicious device 100 (indicated by a broken line in FIG. 5) is illegally connected to the CAN bus of the vehicle 1.
  • the malicious device 100 transmits, for example, an unauthorized message to the CAN bus.
  • An illegal message may include, for example, a control instruction that causes the normal ECU 3 to malfunction, a sensor detection result, or the like.
  • the monitoring device 5 monitors message transmission to the CAN bus.
  • the monitoring device 5 determines whether or not this message is transmitted by the regular ECU 3. When it is determined that the message is illegal, the monitoring device 5 determines a predetermined signal to the CAN bus before the message transmission by the malicious device 100 is completed (before the message reception by the ECU 3 is completed). Is output to cause the ECU 3 to discard this message.
  • FIG. 6 is a schematic diagram for explaining a method of generating a transmission frame by each ECU 3.
  • a frame (message) transmitted and received in the communication system according to the present embodiment includes a CAN header, a data field, authentication information, a CRC (Cyclic Redundancy Check) field, an ACK field, and an EOF (End Of Frame).
  • the CAN header includes an SOF (Start Of Frame), an arbitration field, a control field, and the like in the conventional CAN protocol, and includes an ID that can identify the ECU 3 described above.
  • the data field stores a main body of information to be exchanged between the ECUs 3 such as a control instruction to the ECU 3 or a sensor detection result.
  • the CRC field stores information for error detection.
  • the ACK field is a field for a reception response by the ECU 3 that receives this frame.
  • the EOF is a specific bit string indicating the end of the field.
  • the frame according to this embodiment is compatible with the conventional CAN protocol, but includes authentication information in part.
  • the authentication information is information used by the monitoring device 5 to determine whether or not this frame is valid.
  • the authentication information generation unit 41 of the ECU 3 generates authentication information by encrypting the CAN header and data included in the transmission frame using the key information 32 a stored in the storage unit 32.
  • a 256-bit message authentication code is generated based on about 512-bit key information 32a using, for example, an HMAC (SHA-256) algorithm.
  • the transmission frame generation unit 42 of the ECU 3 attaches the 256-bit MAC generated by the authentication information generation unit 41 to the transmission frame as authentication information, and gives the transmission frame to the CAN communication unit 33, so that the frame to the other ECU 3 is transmitted. Send.
  • the ECU 3 that has received the frame shown in FIG. 6 does not need to confirm whether the authentication information included in the received frame is correct. For this reason, each ECU3 does not share key information with other ECU3.
  • the CAN communication unit 33 of the ECU 3 outputs multiple bits of information constituting the transmission frame to the CAN bus in order from the CAN header side to the EOF.
  • the monitoring device 5 sequentially acquires information output to the CAN bus, and performs error detection based on the CRC field information when acquiring up to the CRC field of the transmission frame.
  • the authentication information determination unit 61 of the monitoring device 5 determines whether the authentication information included in the transmission frame is correct.
  • the authentication information determination unit 61 acquires an ID from the received CAN header, refers to the key information table 52a of the storage unit 52, and acquires key information corresponding to the ID.
  • the authentication information determination unit 61 generates authentication information by the same algorithm as the authentication information generation unit 41 of the ECU 3 based on the acquired key information and the received CAN header and data field.
  • the authentication information determination unit 61 compares the authentication information generated by itself with the authentication information included in the transmission frame transmitted to the CAN bus, and when both authentication information matches, this transmission frame is valid. Is determined. If the two pieces of authentication information do not match, the authentication information determination unit 61 determines that the transmission frame is not valid.
  • the authentication information determination unit 61 completes the determination process after the last bit of the CRC field of the transmission frame is output to the CAN bus until the last bit of the EOF is output to the CAN bus.
  • the transmission information discard processing unit 62 of the monitoring device 5 discards the transmission frame to the ECU 3 connected to the CAN bus. To perform the process.
  • the transmission information discard processing unit 62 transmits an error frame to the CAN bus during the EOF output period of this transmission frame. With this error frame, all ECUs 3 connected to the CAN bus discard the illegal frame being received.
  • FIG. 7 is a flowchart illustrating a procedure of information transmission processing performed by the ECU 3.
  • the processing unit 31 of the ECU 3 generates a CAN header and a data field based on information to be transmitted to other ECUs 3 such as an ID given to the ECU 3 and a sensor detection result (step S1).
  • the authentication information generation unit 41 of the processing unit 31 reads the key information 32a stored in the storage unit 32 (step S2).
  • the authentication information generation unit 41 generates authentication information by a predetermined algorithm based on the CAN header and data field generated in step S1 and the key information 32a read in step S2 (step S3).
  • the processing unit 31 generates a CRC field for performing error detection on the CAN header, data field, and authentication information (step S4).
  • the processing unit 31 combines the CAN header, data field, authentication information, and CRC field generated so far to generate a transmission frame (step S5), and provides it to the CAN communication unit 33.
  • the CAN communication unit 33 of the ECU 3 starts transmission from the CAN header of the transmission frame.
  • the CAN communication unit 33 acquires 1 bit from the untransmitted portion of the transmission frame, and outputs a signal corresponding to the 1 bit to the CAN bus (step S6).
  • the CAN communication unit 33 determines whether or not a factor for interrupting transmission processing has occurred, such as transmission stoppage due to arbitration (step S7).
  • a factor for interrupting transmission processing such as transmission stoppage due to arbitration
  • the CAN communication unit 33 performs an error process or the like (step S8) and ends the information transmission process. If no interruption factor has occurred (S7: NO), the CAN communication unit 33 determines whether or not the output has been completed for all the bits of the given transmission frame (step S9).
  • the CAN communication unit 33 When the output of all the bits has not been completed (S9: NO), the CAN communication unit 33 returns the process to step S6 and outputs the next bit of the transmission frame. When the output of all the bits has been completed (S9: YES), the CAN communication unit 33 ends the information transmission process.
  • the CAN communication unit 53 of the monitoring device 5 periodically samples the potential of the CAN bus.
  • the CAN communication unit 53 determines whether or not information transmission to the CAN bus is started based on the change in the potential of the CAN bus (step S21).
  • the CAN communication unit 53 waits until the information transmission is started.
  • the CAN communication unit 53 acquires 1 bit of the transmission frame based on the potential of the CAN bus (step S22).
  • the CAN communication unit 53 determines whether or not the acquired 1 bit corresponds to the last bit of the CRC field (step S23).
  • the CAN communication unit 53 If it is not the last bit of the CRC field (S23: NO), the CAN communication unit 53 returns the process to step S22, and repeatedly acquires each bit of the transmission frame. If it is the last bit of the CRC field (S23: YES), the CAN communication unit 53 gives the information acquired so far to the processing unit 51.
  • the processing unit 51 determines the CRC field based on the information (transmission frame) given from the CAN communication unit 53 (step S24).
  • the processing unit 51 compares the CRC calculated based on the CAN header to the authentication information of the transmission frame with the CRC stored in the CRC field of the transmission frame to determine whether or not there is an error in the transmission frame. Determination is made (step S25). When there is an error in the transmission frame (S25: YES), the processing unit 51 ends the process.
  • the same determination is made in the other ECUs 3 and this transmission frame is discarded in each ECU 3.
  • the authentication information determination unit 61 of the processing unit 51 acquires the ID included in the CAN header of the transmission frame (step S26).
  • the authentication information determination unit 61 refers to the key information table 52a of the storage unit 52 based on the acquired ID, and acquires key information corresponding to the ID (step S27).
  • the authentication information determination unit 61 generates authentication information by a predetermined algorithm based on the CAN header and data field of the acquired transmission frame and the key information acquired in step S27 (step S28).
  • the authentication information determination unit 61 acquires authentication information from the transmission frame (step S29), and determines whether or not the acquired authentication information matches the authentication information generated in step S28 (step S30).
  • FIG. 10 is a flowchart showing a procedure of information reception processing performed by the ECU 3.
  • the CAN communication unit 33 of the ECU 3 acquires the transmission frame output to the CAN bus bit by bit, and performs reception processing from the CAN header to the ACK field of the transmission frame (step S41).
  • the ECU 3 performs a process of detecting whether there is an error when receiving up to the CRC field.
  • the CAN communication unit 33 acquires 1 bit of EOF of the transmission frame output to the CAN bus (step S42). The CAN communication unit 33 determines whether the acquired 1 bit is not an EOF but an error frame output from the monitoring device 5 (step S43). If it is an error frame (S43: YES), the CAN communication unit 33 discards the frames received so far (step S44) and ends the reception process.
  • the CAN communication unit 33 determines whether or not the reception of the EOF is completed (step S45). If the EOF reception has not been completed (S45: NO), the CAN communication unit 33 returns the process to step S42, and continues the EOF reception. When reception of the EOF is completed (S45: YES), the processing unit 31 acquires necessary data from the data field of the frame received by the CAN communication unit 33 (step S46), and performs processing according to the acquired data. (Step S47), and the process ends.
  • the communication system connects a plurality of ECUs 3 and monitoring devices 5 to a common CAN bus.
  • Each ECU 3 transmits information to other ECUs 3 by outputting a transmission frame in which authentication information is added to data to be transmitted to the other ECUs 3 to the CAN bus at the CAN communication unit 33.
  • the ECU 3 that has received a frame from another ECU 3 does not need to determine whether the authentication information included in the received frame is correct.
  • the monitoring device 5 monitors the transmission of the frame to the CAN bus. When the frame is transmitted, the monitoring device 5 acquires the frame and determines whether the authentication information included in the acquired frame is correct.
  • each ECU 3 can prevent an unauthorized frame from being received by each ECU 3 without determining whether the authentication information is correct.
  • the monitoring device 5 in order to cause each ECU 3 to discard the transmission frame, the monitoring device 5 outputs an error frame to the CAN bus before the final bit of the EOF of the transmission frame is output to the CAN bus. As a result, each ECU 3 stops receiving the transmission frame, and the transmission frame is discarded.
  • the monitoring device 5 and the ECU 3 share key information, and generate and determine authentication information. Accordingly, since the malicious device 100 that does not have the key information cannot generate the authentication information, the monitoring device 5 can more reliably prevent the transmission of an unauthorized frame.
  • the plurality of ECUs 3 connected to the CAN bus have different key information. As a result, it is possible to reduce adverse effects due to leakage of key information.
  • Each ECU 3 does not need to determine whether the authentication information included in the transmission frame of the other ECU 3 is correct or not, and therefore does not need to have the key information of the other ECU 3.
  • the monitoring device 5 has key information for all the ECUs 3 and manages the key information table 52 a in the storage unit 52. The monitoring device 5 can determine the transmission source ECU 3 based on the ID included in the transmission frame, read the corresponding key information from the key information table 52a, and determine whether the authentication information included in the transmission frame is correct. .
  • the ECU 3 and the monitoring device 5 are configured to perform communication in accordance with the CAN protocol.
  • the present invention is not limited to this, and the configuration may be configured to perform communication using a protocol other than CAN.
  • the communication system mounted on the vehicle 1 has been described as an example.
  • the communication system is not limited to the one mounted on the vehicle 1, and is mounted on a moving body such as an airplane or a ship. For example, it may be installed in a factory, office, school or the like instead of a mobile object.
  • the configuration of the frame shown in the present embodiment is an example, and the present invention is not limited to this.
  • any one ECU 3 may be configured to have the monitoring function of the monitoring device 5 according to the present embodiment.
  • any method may be adopted as a key information sharing method between the ECU 3 and the monitoring device 5.
  • the cryptographic process performed by the ECU 3 and the monitoring device 5 using the key information may be of any algorithm.
  • the processing unit 51 performs the authentication information generation process and the transmission frame discarding process.
  • the present invention is not limited to this, and the CAN communication unit 53 may perform part or all of the processing.

Abstract

　共通の通信線に対して不正な情報送信がなされた場合であっても、この通信線に接続された通信装置の誤動作などを防止し得る通信システム、通信制御装置及び不正情報送信防止方法を提供する。　共通のＣＡＮバスに対して複数のＥＣＵ３と監視装置５とを接続する。各ＥＣＵ３は、他のＥＣＵ３へ送信すべきデータに認証情報を付した送信フレームをＣＡＮバスへ出力する。監視装置５は、ＣＡＮバスに対するフレームの送信を監視しており、フレームの送信が行われた場合にはこれを取得して、取得したフレームに含まれる認証情報の正否を判定する。認証情報が正しいものでない場合、送信フレームが悪意のある機器１００による不正なものである可能性があるため、監視装置５は、送信フレームのＥＯＦの最終ビットがＣＡＮバスへ出力される前にエラーフレームをＣＡＮバスへ出力し、この送信フレームをＥＣＵ３に破棄させる。

Description

通信システム、通信制御装置及び不正情報送信防止方法
　本発明は、例えばＥＣＵ（Electronic Control Unit）などの複数の通信装置が共通の通信線で接続された通信システム、このシステムにおいて不正な情報送信を防止する通信制御装置及び不正情報送信防止方法に関する。
　従来、車両に搭載された複数の通信装置間の通信には、ＣＡＮ（Controller Area Network）の通信プロトコルが広く採用されている。ＣＡＮの通信プロトコルでは、共通のＣＡＮバスに複数の通信装置が接続されるため、複数の通信装置が同時的に情報送信を行って衝突が発生した場合には、各通信装置にて調停処理（アービトレーション）が行われ、優先度の高い情報送信が実行される。アービトレーションを行うために、各通信装置は、ＣＡＮバスに送信信号の出力を行うと同時に、ＣＡＮバスの信号レベルの検出を行い、自らが出力した送信信号に対して、検出した信号の信号レベルがレセシブ（劣性値）からドミナント（優性値）に変化した場合、通信の衝突が発生したと判断し、送信処理を停止する。ＣＡＮバス上の信号はレセシブよりドミナントが優位であるため、通信の衝突が発生してもドミナントを出力した電子機器は送信処理を継続して行うことができる。
　特許文献１においては、分岐接続された２線式ＣＡＮ通信回路の分岐回路毎の異常診断を行う異常診断装置が提案されている。この異常診断装置は、ＣＡＮ通信線の各分岐回路とコネクタ接続される検査用の分岐回路と、該分岐回路を接続するジョイント回路を有する分岐接続回路と、各分岐回路をジョイント回路から切り離す分離手段と、前記分離手段で切り離された分岐回路の電位を測定する電位測定手段と、前記電位測定手段と前記分岐回路とを接続する接続手段と、前記電位測定手段と接続し、測定された電位より異常判定を行う異常判定手段とを備えている。
特開２０１０－１１１２９５号公報
　車両のＣＡＮバスには、悪意のある機器が接続される可能性がある。悪意のある機器は、例えばＣＡＮバスに対して不正な情報送信を繰り返し行うことによって、このＣＡＮバスに接続された他のＥＣＵを誤動作させる虞がある。
　本発明は、斯かる事情に鑑みてなされたものであって、その目的とするところは、共通の通信線に対して不正な情報送信がなされた場合であっても、この通信線に接続された通信装置の誤動作などを防止し得る通信システム、通信制御装置及び不正情報送信防止方法を提供することにある。
　本発明に係る通信システムは、複数の通信装置が共通の通信線を介して接続された通信システムにおいて、前記通信装置は、他の通信装置へ送信する情報に認証情報を付与する認証情報付与手段と、該認証情報付与手段により前記認証情報が付された送信情報を前記通信線へ出力し、該送信情報を他の通信装置へ送信する情報送信手段とを有し、前記通信線に接続され、前記通信線へ出力された送信情報を取得する取得手段、該取得手段が取得した送信情報に含まれる認証情報が正しいものであるか否かを判定する認証情報判定手段、及び、前記認証情報が正しいものでないと前記認証情報判定手段が判定した場合に前記送信情報を前記通信装置に破棄させる情報破棄手段を有する通信制御装置を備え、前記通信制御装置の前記情報破棄手段は、前記認証情報が正しいものでないと前記認証情報判定手段が判定した場合に所定の情報を前記通信線へ出力し、前記他の通信装置は、前記通信線より前記所定の情報を受信した場合、前記通信装置から送信された前記送信情報を破棄するようにしてあることを特徴とする。
　また、本発明に係る通信システムは、前記通信制御装置の情報破棄手段は、前記通信装置の情報送信手段が送信情報の全てを前記通信線へ出力し終える前に、前記所定の情報を前記通信線へ出力することにより、前記送信情報を破棄させるようにしてあることを特徴とする。
　また、本発明に係る通信システムは、前記通信装置及び前記通信制御装置が、鍵情報を共有し、前記通信装置の認証情報付与手段は、前記鍵情報に基づいて認証情報を生成して送信情報へ付与し、前記通信制御装置の前記認証情報判定手段は、前記鍵情報に基づいて前記送信情報に含まれる前記認証情報の判定を行うようにしてあることを特徴とする。
　また、本発明に係る通信システムは、前記複数の通信装置が、それぞれ異なる前記鍵情報を有し、前記通信制御装置は、各通信装置の前記鍵情報を有していることを特徴とする。
　また、本発明に係る通信制御装置は、複数の通信装置が接続された共通の通信線に接続され、前記通信線へ出力された送信情報を取得する取得手段と、該取得手段が取得した送信情報に含まれる認証情報が正しいものであるか否かを判定する認証情報判定手段と、前記認証情報が正しいものでないと前記認証情報判定手段が判定した場合に前記送信情報を前記通信装置に破棄させる情報破棄手段とを備え、前記情報破棄手段は、前記認証情報が正しいものでないと前記認証情報判定手段が判定した場合に所定の情報を前記通信線へ出力するようにしてあることを特徴とする。
　また、本発明に係る不正情報送信防止方法は、複数の通信装置が共通の通信線を介して接続された通信システムにて、前記通信線に対する不正な情報送信を防止する不正情報送信防止方法であって、前記通信装置は、他の通信装置へ送信する情報に認証情報を付与して前記通信線へ出力し、前記通信線へ出力された送信情報を通信制御装置が取得し、取得した送信情報に含まれる認証情報が正しいものであるか否かを前記通信制御装置が判定し、前記認証情報が正しいものでないと判定した場合に前記通信制御装置が所定の情報を前記通信線へ出力し、前記他の通信装置は、前記通信線より前記所定の情報を受信した場合、前記通信装置から送信された前記送信情報を破棄することを特徴とする。
　本発明においては、共通の通信線に対して複数の通信装置と通信制御装置とを接続する。各通信装置は、送信情報に認証情報を付与して通信線へ出力することにより、他の通信装置への情報送信を行う。なお本発明では、他の通信装置からの情報を受信した通信装置は、受信情報に含まれる認証情報の正否を判定する必要はない。
　通信制御装置は、通信線に対する情報の送信を監視しており、情報の送信が行われた場合には送信情報を取得して、取得した情報に含まれる認証情報の正否を判定する。認証情報が正しいものであれば、通信制御装置は、この情報送信に対して何ら処理を行う必要はない。認証情報が正しいものでない場合、送信情報が悪意のある機器による不正なものである可能性があるため、通信制御装置は、通信装置に破棄させる処理を行う。
　これにより、各通信装置では認証情報の正否を判定することなく、不正な情報が各通信装置にて受信されることを防止できる。
　また本発明においては、送信情報を破棄させるため、通信装置が送信情報の全てを通信線へ出力し終える前に、通信制御装置が所定の情報を通信線へ出力する。これにより送信情報が正規のものではなくなり、各通信装置はこの情報の受信を中止するため、送信情報が破棄される。
　また本発明においては、通信装置及び通信制御装置が鍵情報を共有し、認証情報の生成及び判定等の処理を行う。これにより、鍵情報を有していない悪意のある機器は認証情報を生成することができないため、通信制御装置がより確実に不正な情報送信を防止することができる。
　また本発明においては、通信システムに含まれる複数の通信装置は、それぞれ異なる鍵情報を有する。これにより鍵情報の漏えいなどによる悪影響を低減することができる。各通信装置は、他の通信装置の送信情報に含まれる認証情報の判定を行う必要がないため、他の通信装置の鍵情報を有している必要はない。これに対して通信制御装置は、送信情報の破棄を行う対象とすべき全ての通信装置についての鍵情報を有している。通信制御装置は、情報の送信元の通信装置に対応する鍵情報を用いて送信情報に含まれる認証情報の正否を判定する。
　本発明による場合は、通信装置が送信情報に付した認証情報に基づいて通信制御装置が送信情報の正否を判定し、送信情報が正しいものでない場合には通信制御装置がこの情報を通信装置に破棄させる構成とすることにより、悪意のある機器により共通の通信線に対して不正な情報送信がなされた場合であっても、送信された情報を破棄させることで通信装置が誤動作することを防止できる。
本実施の形態に係る通信システムの構成を示す模式図である。 ＥＣＵの構成を示すブロック図である。 監視装置の構成を示すブロック図である。 鍵情報テーブルの構成を説明する模式図である。 本実施の形態に係る通信システムの監視処理の概要を説明するための模式図である。 各ＥＣＵによる送信フレームの生成方法を説明するための模式図である。 ＥＣＵが行う情報送信処理の手順を示すフローチャートである。 監視装置が行う監視処理の手順を示すフローチャートである。 監視装置が行う監視処理の手順を示すフローチャートである。 ＥＣＵが行う情報受信処理の手順を示すフローチャートである。
＜システム構成＞
　図１は、本実施の形態に係る通信システムの構成を示す模式図である。本実施の形態に係る通信システムは、車両１に搭載された複数のＥＣＵ３と、１つの監視装置５とを備えて構成されている。ＥＣＵ３及び監視装置５は、車両１に敷設された共通の通信線を介して接続され、相互にデータを送受信することができる。本実施の形態においては、この通信線をＣＡＮバスとし、ＥＣＵ３及び監視装置５は、ＣＡＮプロトコルに従った通信を行う。ＥＣＵ３は、例えば車両１のエンジンの制御を行うエンジンＥＣＵ、車体の電装品の制御を行うボディＥＣＵ、ＡＢＳ（Antilock Brake System）に関する制御を行うＡＢＳ－ＥＣＵ、又は、車両１のエアバッグの制御を行うエアバッグＥＣＵ等のように、種々の電子制御装置であってよい。監視装置５は、車内ネットワークに対する不正なデータ送信を監視する装置である。監視装置５は、監視専用の装置として設けられてもよく、例えばゲートウェイなどの装置に監視の機能を付加した構成であってもよく、また例えばいずれか１つのＥＣＵ３に監視の機能を付加した構成であってもよい。
　図２は、ＥＣＵ３の構成を示すブロック図である。なお図２においては、車両１に設けられたＥＣＵ３について、通信及び不正監視等に関するブロックを抜き出して図示してある。これらのブロックは各ＥＣＵ３に共通である。本実施の形態に係るＥＣＵ３は、処理部３１、記憶部３２及びＣＡＮ通信部３３等を備えて構成されている。処理部３１は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro-Processing Unit）等の演算処理装置を用いて構成されている。処理部３１は、記憶部３２などに記憶されたプログラムを読み出して実行することにより、車両１に係る種々の情報処理又は制御処理等を行う。
　記憶部３２は、フラッシュメモリ又はＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）等の不揮発性のメモリ素子を用いて構成されている。記憶部３２は、処理部３１が実行するプログラム、及び、これにより行われる処理に必要な種々のデータが記憶されている。なお記憶部３２に記憶されるプログラム及びデータは、ＥＣＵ３毎に異なる。また本実施の形態において記憶部３２は、処理部３１が行う認証情報の生成処理に用いられる鍵情報３２ａが記憶されている。本実施の形態においてはＣＡＮバスに複数のＥＣＵ３が接続されているが、各ＥＣＵ３が記憶部３２に記憶する鍵情報３２ａは、それぞれ異なるものであってもよい。
　ＣＡＮ通信部３３は、ＣＡＮの通信プロトコルに従って、ＣＡＮバスを介した他のＥＣＵ３又は監視装置５との通信を行う。ＣＡＮ通信部３３は、処理部３１から与えられた送信用の情報を、ＣＡＮの通信プロトコルに従った送信信号に変換し、変換した信号をＣＡＮバスへ出力することで他のＥＣＵ３又は監視装置５への情報送信を行う。ＣＡＮ通信部３３は、ＣＡＮバスの電位をサンプリングすることによって、他のＥＣＵ３又は監視装置５が出力した信号を取得し、この信号をＣＡＮの通信プロトコルに従って２値の情報に変換することで情報の受信を行い、受信した情報を処理部３１へ与える。
　本実施の形態においてＥＣＵ３の処理部３１には、認証情報生成部４１及び送信フレーム生成部４２等が設けられている。認証情報生成部４１及び送信フレーム生成部４２は、ハードウェアの機能ブロックとして構成されるものであってもよく、ソフトウェアの機能ブロックとして構成されるものであってもよい。認証情報生成部４１は、他のＥＣＵ３へ送信すべき情報と記憶部３２の鍵情報３２ａとを用いて認証情報を生成する処理を行う。送信フレーム生成部４２は、他のＥＣＵ３へ送信すべき情報及び認証情報生成部４１が生成した認証情報を基に、本実施の形態における通信に適した送信用のフレーム（メッセージ）を生成する処理を行う。送信フレーム生成部４２が生成した送信フレームをＣＡＮ通信部３３へ与えることにより、他のＥＣＵ３への情報送信を行うことができる。
　図３は、監視装置５の構成を示すブロック図である。監視装置５は、処理部５１、記憶部５２及びＣＡＮ通信部５３等を備えて構成されている。処理部５１は、ＣＰＵ又はＭＰＵ等の演算処理装置を用いて構成され、記憶部５２に記憶されたプログラムを読み出して実行することにより、車両１のＥＣＵ３の挙動及び通信等を監視する処理を行う。
　記憶部５２は、フラッシュメモリ又はＥＥＰＲＯＭ等のデータ書き換え可能な不揮発性のメモリ素子を用いて構成されている。本実施の形態において記憶部５２は、ＣＡＮバスに接続された全てのＥＣＵ３の鍵情報を含む鍵情報テーブル５２ａを記憶している。図４は、鍵情報テーブル５２ａの構成を説明する模式図である。監視装置５が記憶部５２に記憶する鍵情報テーブル５２ａは、各ＥＣＵ３を識別し得るＩＤと、ＥＣＵ３が有する鍵情報とが対応付けられている。本実施の形態において各ＥＣＵ３が送信する送信フレームには、ＩＤが含まれている。各ＥＣＵ３には予め一又は複数のＩＤがそれぞれ割り当てられており、２つ以上のＥＣＵ３に対して同一のＩＤが割り当てられることはないものとする。監視装置５は、ＥＣＵ３の送信フレームに含まれるＩＤに基づいて、鍵情報テーブル５２ａから１つの鍵情報を取得することができる。
　ＣＡＮ通信部５３は、ＣＡＮの通信プロトコルに従って、ＣＡＮバスを介したＥＣＵ３との通信を行う。ＣＡＮ通信部５３は、処理部５１から与えられた送信用の情報を、ＣＡＮの通信プロトコルに従った送信信号に変換し、変換した信号をＣＡＮバスへ出力することでＥＣＵ３への情報送信を行う。ＣＡＮ通信部５３は、ＣＡＮバスの電位をサンプリングすることによって、ＥＣＵ３が出力した信号を取得し、この信号をＣＡＮの通信プロトコルに従って２値の情報に変換することで情報の受信を行い、受信した情報を処理部５１へ与える。
　本実施の形態において監視装置５の処理部５１には、認証情報判定部６１及び送信情報破棄処理部６２等が設けられている。認証情報判定部６１及び送信情報破棄処理部６２は、ハードウェアの機能ブロックとして構成されるものであってもよく、ソフトウェアの機能ブロックとして構成されるものであってもよい。認証情報判定部６１は、ＥＣＵ３が送信した送信フレームに含まれる認証情報が正しいものであるか否かを判定する処理を行う。送信情報破棄処理部６２は、不正な送信フレームを検出した場合に、各ＥＣＵ３にこの送信フレームを破棄させるための処理を行う。
＜監視処理＞
　本実施の形態に係る通信システムは、ＣＡＮバスに対する不正な情報送信を監視する機能を有している。図５は、本実施の形態に係る通信システムの監視処理の概要を説明するための模式図である。車両１のＣＡＮバスに対しては、悪意のある機器１００（図５において破線で示す）が不正に接続される可能性がある。悪意のある機器１００は、例えば不正なメッセージをＣＡＮバスに対して送信する。不正なメッセージには、例えば正規のＥＣＵ３を誤動作させるような制御指示又はセンサ検知結果等を含む可能性がある。本実施の形態に係る監視装置５は、ＣＡＮバスに対するメッセージ送信を監視している。監視装置５は、ＣＡＮバスに対してメッセージが送信された場合、このメッセージが正規のＥＣＵ３が送信したものであるか否かを判定する。メッセージが不正なものであると判定した場合、監視装置５は、悪意のある機器１００によるメッセージ送信が完了する前に（ＥＣＵ３によるメッセージ受信が完了する前に）、ＣＡＮバスに対して所定の信号を出力することによって、ＥＣＵ３にこのメッセージを破棄させる。
　図６は、各ＥＣＵ３による送信フレームの生成方法を説明するための模式図である。本実施の形態に係る通信システムにて送受信されるフレーム（メッセージ）には、ＣＡＮヘッダ、データフィールド、認証情報、ＣＲＣ（Cyclic Redundancy Check）フィールド、ＡＣＫフィールド及びＥＯＦ（End Of Frame）を含んで構成されている。ＣＡＮヘッダは、従来のＣＡＮプロトコルにおけるＳＯＦ（Start Of Frame）、アービトレーションフィールド及びコントロールフィールド等を含むものであり、上述したＥＣＵ３を識別し得るＩＤを含んでいる。データフィールドは、例えばＥＣＵ３に対する制御指示又はセンサ検知結果等のように、ＥＣＵ３間で授受すべき情報の本体が格納される。
　ＣＲＣフィールド、ＡＣＫフィールド及びＥＯＦは、従来のＣＡＮプロトコルにて用いられるものと同じであるため詳細な説明は省略する。ＣＲＣフィールドは、誤り検出を行うための情報を格納する。ＡＣＫフィールドは、このフレームを受信するＥＣＵ３による受信応答のためのフィールドである。ＥＯＦは、フィールドの終了を示す特定のビット列である。
　本実施の形態に係るフレームには、従来のＣＡＮプロトコルと互換するものの、一部に認証情報を含んでいる。認証情報は、このフレームが正当なものであるか否かを監視装置５が判定するために用いられる情報である。ＥＣＵ３の認証情報生成部４１は、送信フレームに含まれるＣＡＮヘッダ及びデータを、記憶部３２に記憶した鍵情報３２ａを用いて暗号化することにより認証情報を生成する。本実施の形態においては、例えばＨＭＡＣ（ＳＨＡ－２５６）のアルゴリズムを用いて、５１２ビット程度の鍵情報３２ａに基づき、２５６ビットのメッセージ認証符号（ＭＡＣ）を生成する。ＥＣＵ３の送信フレーム生成部４２は、認証情報生成部４１が生成した２５６ビットのＭＡＣを認証情報として送信フレームに付し、ＣＡＮ通信部３３へ送信フレームを与えることで、他のＥＣＵ３へのフレームの送信を行う。
　なお本実施の形態において、図６に示したフレームを受信したＥＣＵ３は、受信フレームに含まれる認証情報の正否を確認する必要はない。このため各ＥＣＵ３は、他のＥＣＵ３と鍵情報を共有していない。
　ＥＣＵ３のＣＡＮ通信部３３は、送信フレームを構成する複数ビットの情報を、ＣＡＮヘッダ側からＥＯＦまで順にＣＡＮバスへ出力する。監視装置５は、ＣＡＮバスへ出力された情報を順次取得し、送信フレームのＣＲＣフィールドまでを取得した際に、ＣＲＣフィールドの情報に基づく誤り検出を行う。送信フレームに誤りがない場合、監視装置５の認証情報判定部６１は、送信フレームに含まれる認証情報の正否を判定する。認証情報判定部６１は、受信済みのＣＡＮヘッダからＩＤを取得して記憶部５２の鍵情報テーブル５２ａを参照し、ＩＤに対応する鍵情報を取得する。認証情報判定部６１は、取得した鍵情報と、受信済みのＣＡＮヘッダ及びデータフィールドとに基づき、ＥＣＵ３の認証情報生成部４１と同じアルゴリズムにより認証情報を生成する。認証情報判定部６１は、自らが生成した認証情報と、ＣＡＮバスに送信された送信フレームに含まれる認証情報とを比較し、両認証情報が一致した場合にこの送信フレームが正当なものであると判定する。両認証情報が一致しない場合、認証情報判定部６１は、送信フレームが正当なものではないと判定する。なお認証情報判定部６１は、送信フレームのＣＲＣフィールドの最終ビットがＣＡＮバスに出力されてから、ＥＯＦの最終ビットがＣＡＮバスに出力されるまでの間に判定処理を完了する。
　ＣＡＮバスに出力された送信フレームが正当なものではないと認証情報判定部６１が判定した場合、監視装置５の送信情報破棄処理部６２は、ＣＡＮバスに接続されたＥＣＵ３にこの送信フレームを破棄させるための処理を行う。送信情報破棄処理部６２は、この送信フレームのＥＯＦの出力期間中に、ＣＡＮバスに対してエラーフレームを送信する。このエラーフレームにより、ＣＡＮバスに接続された全てのＥＣＵ３は、受信中の不正なフレームを破棄する。
＜フローチャート＞
　以下、本実施の形態に係る通信システムのＥＣＵ３及び監視装置５が行う処理を、フローチャートを用いて説明する。図７は、ＥＣＵ３が行う情報送信処理の手順を示すフローチャートである。ＥＣＵ３の処理部３１は、自らに与えられたＩＤ及びセンサの検知結果など他のＥＣＵ３へ送信すべき情報等に基づき、ＣＡＮヘッダ及びデータフィールドを生成する（ステップＳ１）。処理部３１の認証情報生成部４１は、記憶部３２に記憶された鍵情報３２ａを読み出す（ステップＳ２）。認証情報生成部４１は、ステップＳ１にて生成したＣＡＮヘッダ及びデータフィールドと、ステップＳ２にて読み出した鍵情報３２ａとに基づいて、所定のアルゴリズムにより認証情報を生成する（ステップＳ３）。処理部３１は、ＣＡＮヘッダ、データフィールド及び認証情報に対する誤り検出を行うためのＣＲＣフィールドを生成する（ステップＳ４）。処理部３１は、これまでに生成したＣＡＮヘッダ、データフィールド、認証情報及びＣＲＣフィールドを結合して送信フレームを生成し（ステップＳ５）、ＣＡＮ通信部３３へ与える。
　ＥＣＵ３のＣＡＮ通信部３３は、送信フレームのＣＡＮヘッダから送信を開始する。ＣＡＮ通信部３３は、送信フレームの未送信部分から１ビットを取得し、この１ビットに応じた信号をＣＡＮバスへ出力する（ステップＳ６）。ＣＡＮ通信部３３は、例えばアービトレーションによる送信停止など、送信処理を中断する要因が発生したか否かを判定する（ステップＳ７）。中断要因が発生した場合（Ｓ７：ＹＥＳ）、ＣＡＮ通信部３３は、エラー処理などを行って（ステップＳ８）、情報送信処理を終了する。中断要因が発生していない場合（Ｓ７：ＮＯ）、ＣＡＮ通信部３３は、与えられた送信フレームの全ビットについて出力を完了したか否かを判定する（ステップＳ９）。全ビットの出力を完了していない場合（Ｓ９：ＮＯ）、ＣＡＮ通信部３３は、ステップＳ６へ処理を戻し、送信フレームの次のビットの出力を行う。全ビットの出力を完了している場合（Ｓ９：ＹＥＳ）、ＣＡＮ通信部３３は、情報送信処理を終了する。
　図８及び図９は、監視装置５が行う監視処理の手順を示すフローチャートである。監視装置５のＣＡＮ通信部５３は、ＣＡＮバスの電位を周期的にサンプリングしている。ＣＡＮ通信部５３は、ＣＡＮバスの電位変化に基づき、ＣＡＮバスに対する情報送信が開始されたか否かを判定する（ステップＳ２１）。情報送信が開始されていない場合（Ｓ２１：ＮＯ）、ＣＡＮ通信部５３は、情報送信が開始されるまで待機する。情報送信が開始された場合（Ｓ２１：ＹＥＳ）、ＣＡＮ通信部５３は、ＣＡＮバスの電位に基づいて送信フレームの１ビットを取得する（ステップＳ２２）。ＣＡＮ通信部５３は、取得した１ビットがＣＲＣフィールドの最終ビットに相当するものであるか否かを判定する（ステップＳ２３）。ＣＲＣフィールドの最終ビットでない場合（Ｓ２３：ＮＯ）、ＣＡＮ通信部５３は、ステップＳ２２へ処理を戻し、送信フレームの各ビットの取得を繰り返して行う。ＣＲＣフィールドの最終ビットである場合（Ｓ２３：ＹＥＳ）、ＣＡＮ通信部５３は、これまでに取得した情報を処理部５１へ与える。
　処理部５１は、ＣＡＮ通信部５３から与えられた情報（送信フレーム）を基に、ＣＲＣフィールドの判定を行う（ステップＳ２４）。処理部５１は、送信フレームのＣＡＮヘッダ～認証情報に基づいて算出したＣＲＣと、送信フレームのＣＲＣフィールドに格納されたＣＲＣとの値を比較することで、送信フレームに誤りがあるか否かを判定する（ステップＳ２５）。送信フレームに誤りがある場合（Ｓ２５：ＹＥＳ）、処理部５１は、処理を終了する。なおＣＲＣフィールドに基づいて送信フレームに誤りがあると判断される場合、他のＥＣＵ３においても同様の判断がなされ、この送信フレームは各ＥＣＵ３において破棄される。
　送信フレームに誤りがない場合（Ｓ２５：ＮＯ）、処理部５１の認証情報判定部６１は、送信フレームのＣＡＮヘッダに含まれるＩＤを取得する（ステップＳ２６）。認証情報判定部６１は、取得したＩＤを基に記憶部５２の鍵情報テーブル５２ａを参照し、ＩＤに対応する鍵情報を取得する（ステップＳ２７）。認証情報判定部６１は、取得した送信フレームのＣＡＮヘッダ及びデータフィールドと、ステップＳ２７にて取得した鍵情報とに基づいて、所定のアルゴリズムにより認証情報を生成する（ステップＳ２８）。認証情報判定部６１は、送信フレームから認証情報を取得し（ステップＳ２９）、取得した認証情報と、ステップＳ２８にて生成した認証情報とが一致するか否かを判定する（ステップＳ３０）。両認証情報が一致する場合（Ｓ３０：ＹＥＳ）、処理部５１は、処理を終了する。両認証情報が一致しない場合（Ｓ３０：ＮＯ）、処理部５１の送信情報破棄処理部６２は、ＣＡＮ通信部５３にてエラーフレームをＣＡＮバスへ出力し（ステップＳ３１）、処理を終了する。
　図１０は、ＥＣＵ３が行う情報受信処理の手順を示すフローチャートである。ＥＣＵ３のＣＡＮ通信部３３は、まず、ＣＡＮバスに対して出力された送信フレームを１ビットずつ取得していき、送信フレームのＣＡＮヘッダからＡＣＫフィールドまでの受信処理を行う（ステップＳ４１）。なお図示は省略するが、ＥＣＵ３は、ＣＲＣフィールドまで受信した際に誤りの有無を検知する処理を行う。
　その後、ＣＡＮ通信部３３は、ＣＡＮバスに対して出力された送信フレームのＥＯＦの１ビットを取得する（ステップＳ４２）。ＣＡＮ通信部３３は、取得した１ビットがＥＯＦではなく監視装置５が出力したエラーフレームであるか否かを判定する（ステップＳ４３）。エラーフレームである場合（Ｓ４３：ＹＥＳ）、ＣＡＮ通信部３３は、これまでに受信したフレームを破棄して（ステップＳ４４）、受信処理を終了する。
　エラーフレームでない場合（Ｓ４３：ＮＯ）、ＣＡＮ通信部３３は、ＥＯＦの受信を完了したか否かを判定する（ステップＳ４５）。ＥＯＦの受信を完了していない場合（Ｓ４５：ＮＯ）、ＣＡＮ通信部３３は、ステップＳ４２へ処理を戻し、ＥＯＦの受信を継続する。ＥＯＦの受信を完了した場合（Ｓ４５：ＹＥＳ）、処理部３１は、ＣＡＮ通信部３３が受信したフレームのデータフィールドから必要なデータを取得し（ステップＳ４６）、取得したデータに応じた処理を行って（ステップＳ４７）、処理を終了する。
＜まとめ＞
　以上の構成の本実施の形態に係る通信システムは、共通のＣＡＮバスに対して複数のＥＣＵ３と監視装置５とを接続する。各ＥＣＵ３は、他のＥＣＵ３へ送信すべきデータに認証情報を付した送信フレームをＣＡＮ通信部３３にてＣＡＮバスへ出力することにより、他のＥＣＵ３への情報送信を行う。なお本実施の形態においては、他のＥＣＵ３からのフレームを受信したＥＣＵ３は、受信フレームに含まれる認証情報の正否を判定する必要はない。監視装置５は、ＣＡＮバスに対するフレームの送信を監視しており、フレームの送信が行われた場合にはこれを取得して、取得したフレームに含まれる認証情報の正否を判定する。認証情報が正しいものであれば、監視装置５は、このフレームに対して何ら処理を行う必要はない。認証情報が正しいものでない場合、送信フレームが悪意のある機器１００による不正なものである可能性があるため、監視装置５は、この送信フレームをＥＣＵ３に破棄させる処理を行う。これにより、各ＥＣＵ３では認証情報の正否を判定することなく、不正なフレームが各ＥＣＵ３にて受信されることを防止できる。
　また本実施の形態においては、各ＥＣＵ３に送信フレームを破棄させるため、送信フレームのＥＯＦの最終ビットがＣＡＮバスへ出力される前に、監視装置５がエラーフレームをＣＡＮバスへ出力する。これにより各ＥＣＵ３は、この送信フレームの受信を中止し、送信フレームが破棄される。
　また本実施の形態においては、監視装置５とＥＣＵ３とが鍵情報を共有し、認証情報の生成及び判定を行う。これにより鍵情報を有していない悪意のある機器１００は認証情報を生成することができないため、不正なフレームの送信を監視装置５がより確実に防止することができる。
　また本実施の形態においては、ＣＡＮバスに接続された複数のＥＣＵ３は、それぞれ異なる鍵情報を有している。これにより鍵情報の漏えいなどによる悪影響を低減することができる。各ＥＣＵ３は、他のＥＣＵ３の送信フレームに含まれる認証情報の正否を判定する必要がないため、他のＥＣＵ３の鍵情報を有している必要はない。これに対して監視装置５は、全てのＥＣＵ３についての鍵情報を有しており、記憶部５２に鍵情報テーブル５２ａとして管理している。監視装置５は、送信フレームに含まれるＩＤに基づいて送信元のＥＣＵ３を判別し、対応する鍵情報を鍵情報テーブル５２ａから読み出して、送信フレームに含まれる認証情報の正否を判定することができる。
　なお本実施の形態においては、ＥＣＵ３及び監視装置５がＣＡＮのプロトコルに従った通信を行う構成としたが、これに限るものではなく、ＣＡＮ以外のプロトコルによる通信を行う構成としてもよい。また本実施の形態においては、車両１に搭載された通信システムを例に説明を行ったが、通信システムは車両１に搭載されるものに限らず、例えば飛行機又は船舶等の移動体に搭載されるものであってよく、また例えば移動体ではなく工場、オフィス又は学校等に設置されるものであってもよい。また本実施の形態にて示したフレームの構成は、一例であって、これに限るものではない。また通信システム中に監視装置５を設けるのではなく、いずれか１つのＥＣＵ３が本実施の形態に係る監視装置５の監視機能を備える構成であってもよい。またＥＣＵ３及び監視装置５の間での鍵情報の共有方法は、どのような方法を採用してもよい。またＥＣＵ３及び監視装置５が鍵情報を用いて行う暗号処理は、どのようなアルゴリズムのものであってもよい。また認証情報の生成処理及び送信フレーム破棄の処理等を処理部５１が行う構成としたが、これに限るものではなく、その一部又は全部の処理をＣＡＮ通信部５３が行う構成としてもよい。
　１　車両
　３　ＥＣＵ
　５　監視装置
　３１　処理部
　３２　記憶部
　３２ａ　鍵情報
　３３　ＣＡＮ通信部
　４１　認証情報生成部
　４２　送信フレーム生成部
　５１　処理部
　５２　記憶部
　５２ａ　鍵情報テーブル
　５３　ＣＡＮ通信部
　６１　認証情報判定部
　６２　送信情報破棄処理部
　１００　悪意のある機器
 

Claims (6)

  1. 　複数の通信装置が共通の通信線を介して接続された通信システムにおいて、
    　前記通信装置は、
    　他の通信装置へ送信する情報に認証情報を付与する認証情報付与手段と、
    　該認証情報付与手段により前記認証情報が付された送信情報を前記通信線へ出力し、該送信情報を他の通信装置へ送信する情報送信手段と
    　を有し、
    　前記通信線に接続され、前記通信線へ出力された送信情報を取得する取得手段、該取得手段が取得した送信情報に含まれる認証情報が正しいものであるか否かを判定する認証情報判定手段、及び、前記認証情報が正しいものでないと前記認証情報判定手段が判定した場合に前記送信情報を前記通信装置に破棄させる情報破棄手段を有する通信制御装置を備え、
    　前記通信制御装置の前記情報破棄手段は、前記認証情報が正しいものでないと前記認証情報判定手段が判定した場合に所定の情報を前記通信線へ出力し、
    　前記他の通信装置は、前記通信線より前記所定の情報を受信した場合、前記通信装置から送信された前記送信情報を破棄するようにしてあること
    　を特徴とする通信システム。
  2. 　前記通信制御装置の情報破棄手段は、前記通信装置の情報送信手段が送信情報の全てを前記通信線へ出力し終える前に、前記所定の情報を前記通信線へ出力することにより、前記送信情報を破棄させるようにしてあること
    　を特徴とする請求項１に記載の通信システム。
  3. 　前記通信装置及び前記通信制御装置は、鍵情報を共有し、
    　前記通信装置の認証情報付与手段は、前記鍵情報に基づいて認証情報を生成して送信情報へ付与し、
    　前記通信制御装置の前記認証情報判定手段は、前記鍵情報に基づいて前記送信情報に含まれる前記認証情報の判定を行うようにしてあること
    　を特徴とする請求項１又は請求項２に記載の通信システム。
  4. 　前記複数の通信装置は、それぞれ異なる前記鍵情報を有し、
    　前記通信制御装置は、各通信装置の前記鍵情報を有していること
    　を特徴とする請求項３に記載の通信システム。
  5. 　複数の通信装置が接続された共通の通信線に接続され、
    　前記通信線へ出力された送信情報を取得する取得手段と、
    　該取得手段が取得した送信情報に含まれる認証情報が正しいものであるか否かを判定する認証情報判定手段と、
    　前記認証情報が正しいものでないと前記認証情報判定手段が判定した場合に前記送信情報を前記通信装置に破棄させる情報破棄手段と
    　を備え、
    　前記情報破棄手段は、前記認証情報が正しいものでないと前記認証情報判定手段が判定した場合に所定の情報を前記通信線へ出力するようにしてあること
    　を特徴とする通信制御装置。
  6. 　複数の通信装置が共通の通信線を介して接続された通信システムにて、前記通信線に対する不正な情報送信を防止する不正情報送信防止方法であって、
    　前記通信装置は、他の通信装置へ送信する情報に認証情報を付与して前記通信線へ出力し、
    　前記通信線へ出力された送信情報を通信制御装置が取得し、
    　取得した送信情報に含まれる認証情報が正しいものであるか否かを前記通信制御装置が判定し、
    　前記認証情報が正しいものでないと判定した場合に前記通信制御装置が所定の情報を前記通信線へ出力し、
    　前記他の通信装置は、前記通信線より前記所定の情報を受信した場合、前記通信装置から送信された前記送信情報を破棄すること
    　を特徴とする不正情報送信防止方法。
     
PCT/JP2015/068452 2014-07-14 2015-06-26 通信システム、通信制御装置及び不正情報送信防止方法 WO2016009812A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
DE112015003282.7T DE112015003282T5 (de) 2014-07-14 2015-06-26 Kommunikationssystem, Kommunikationssteuervorrichtung und Verfahren zum Verhindern einer Übertragung von missbräuchlichen Informationen
US15/322,575 US20170134358A1 (en) 2014-07-14 2015-06-26 Communication system, communication control device, and fraudulent information-transmission preventing method
CN201580036368.6A CN106664230A (zh) 2014-07-14 2015-06-26 通信系统、通信控制装置及防止不正当信息发送方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2014144038A JP6267596B2 (ja) 2014-07-14 2014-07-14 通信システム、通信制御装置及び不正情報送信防止方法
JP2014-144038 2014-07-14

Publications (1)

Publication Number Publication Date
WO2016009812A1 true WO2016009812A1 (ja) 2016-01-21

Family

ID=55078311

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2015/068452 WO2016009812A1 (ja) 2014-07-14 2015-06-26 通信システム、通信制御装置及び不正情報送信防止方法

Country Status (5)

Country Link
US (1) US20170134358A1 (ja)
JP (1) JP6267596B2 (ja)
CN (1) CN106664230A (ja)
DE (1) DE112015003282T5 (ja)
WO (1) WO2016009812A1 (ja)

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016174243A (ja) * 2015-03-16 2016-09-29 カルソニックカンセイ株式会社 通信システム
JP6603617B2 (ja) 2015-08-31 2019-11-06 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ ゲートウェイ装置、車載ネットワークシステム及び通信方法
US10200371B2 (en) * 2015-11-09 2019-02-05 Silvercar, Inc. Vehicle access systems and methods
JP6741559B2 (ja) * 2016-01-18 2020-08-19 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 評価装置、評価システム及び評価方法
JP6747361B2 (ja) * 2016-09-02 2020-08-26 株式会社オートネットワーク技術研究所 通信システム、通信装置、中継装置、通信ＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、制御ＩＣ及び通信方法
JP6838147B2 (ja) * 2017-05-18 2021-03-03 ボッシュ株式会社 Ｅｃｕ
JP2019008618A (ja) * 2017-06-26 2019-01-17 パナソニックＩｐマネジメント株式会社 情報処理装置、情報処理方法及びプログラム
DE102018218257A1 (de) * 2018-10-25 2020-04-30 Robert Bosch Gmbh Steuergerät
CN109257374B (zh) * 2018-10-31 2021-09-03 百度在线网络技术（北京）有限公司 安全控制方法、装置和计算机设备
JP6961108B2 (ja) * 2018-12-12 2021-11-05 三菱電機株式会社 情報処理装置、情報処理方法及び情報処理プログラム
JP7328419B2 (ja) 2019-01-09 2023-08-16 国立大学法人東海国立大学機構 車載通信システム、車載通信装置、コンピュータプログラム及び通信方法
CN109921908B (zh) * 2019-02-13 2021-09-10 北京仁信证科技有限公司 一种can总线身份认证方法及身份认证系统
TWI733399B (zh) * 2019-04-07 2021-07-11 新唐科技股份有限公司 安全裝置、安全方法、安全系統以及安全設備
DE102019218715A1 (de) * 2019-12-02 2021-06-02 Robert Bosch Gmbh Teilnehmerstation für ein serielles Bussystem und Verfahren zur Kommunikation in einem seriellen Bussystem

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007067812A (ja) * 2005-08-31 2007-03-15 Fujitsu Ten Ltd フレーム監視装置
JP2013131907A (ja) * 2011-12-21 2013-07-04 Toyota Motor Corp 車両ネットワーク監視装置
WO2013175633A1 (ja) * 2012-05-25 2013-11-28 トヨタ自動車 株式会社 通信装置、通信システム及び通信方法

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009005160A (ja) * 2007-06-22 2009-01-08 Denso Corp エラー発生装置
JP5694851B2 (ja) * 2011-05-27 2015-04-01 株式会社東芝 通信システム
JP5651615B2 (ja) * 2012-02-16 2015-01-14 日立オートモティブシステムズ株式会社 車載ネットワークシステム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007067812A (ja) * 2005-08-31 2007-03-15 Fujitsu Ten Ltd フレーム監視装置
JP2013131907A (ja) * 2011-12-21 2013-07-04 Toyota Motor Corp 車両ネットワーク監視装置
WO2013175633A1 (ja) * 2012-05-25 2013-11-28 トヨタ自動車 株式会社 通信装置、通信システム及び通信方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
MASATO HATA: "How to Stop Unauthorized Transmission in Controller Area Network", CSS2011 COMPUTER SECURITY SYMPOSIUM 2011 RONBUNSHU HEISAI ANTI-MALWARE ENGINEERING WORKSHOP 2011, IPSJ SYMPOSIUM SERIES, vol. 2011, no. 3, XP008171193 *

Also Published As

Publication number Publication date
JP6267596B2 (ja) 2018-01-24
US20170134358A1 (en) 2017-05-11
DE112015003282T5 (de) 2017-04-06
CN106664230A (zh) 2017-05-10
JP2016021623A (ja) 2016-02-04

Similar Documents

Publication Publication Date Title
JP6267596B2 (ja) 通信システム、通信制御装置及び不正情報送信防止方法
JP6477281B2 (ja) 車載中継装置、車載通信システム及び中継プログラム
US9866570B2 (en) On-vehicle communication system
CN107005447B (zh) 通信控制装置及通信系统
WO2017038500A1 (ja) 中継装置
WO2017026359A1 (ja) 通信装置
US10425231B2 (en) Information processing apparatus and method for authenticating message
US10050983B2 (en) Communication system, receiving apparatus, receiving method, and computer program product
WO2017187924A1 (ja) 演算装置、認証システム、認証方法
CN107836095B (zh) 用于在网络中产生秘密或密钥的方法
WO2014097793A1 (ja) 通信システム、通信装置、および通信方法
JP2014017733A (ja) 通信システム、通信装置及び中継装置
WO2017126471A1 (ja) 認証システム、認証要求装置、車載電子機器、コンピュータプログラム及び認証処理方法
JP6375962B2 (ja) 車載ゲートウェイ装置及び電子制御装置
JP6348150B2 (ja) 通信システム、通信制御装置及び不正情報送信防止方法
JP2018121220A (ja) 車載ネットワークシステム
JP5981027B2 (ja) 車両用制御装置のｐｓｉ５受信ユニットの作動検査方法、並びに、対応するｐｓｉ５受信ユニット
JP6541004B2 (ja) 通信システム
KR102001420B1 (ko) 전자제어유닛, 차량 통신 보안시스템 및 보안방법
WO2018056054A1 (ja) 通信システム、中継装置、通信装置及び通信方法
JP7380530B2 (ja) 車両通信システム、通信方法及び通信プログラム
JP6611891B1 (ja) 検査システム
JP6615721B2 (ja) 通信システム、受信装置、受信方法およびプログラム
WO2017065100A1 (ja) 車載通信システム及び監視装置
JP2016158028A (ja) 通信装置及びネットワークシステム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15822309

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 15322575

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 112015003282

Country of ref document: DE

122 Ep: pct application non-entry in european phase

Ref document number: 15822309

Country of ref document: EP

Kind code of ref document: A1