WO2017065100A1 - 車載通信システム及び監視装置 - Google Patents

車載通信システム及び監視装置 Download PDF

Info

Publication number
WO2017065100A1
WO2017065100A1 PCT/JP2016/079902 JP2016079902W WO2017065100A1 WO 2017065100 A1 WO2017065100 A1 WO 2017065100A1 JP 2016079902 W JP2016079902 W JP 2016079902W WO 2017065100 A1 WO2017065100 A1 WO 2017065100A1
Authority
WO
WIPO (PCT)
Prior art keywords
message
identification information
unit
monitoring device
processing unit
Prior art date
Application number
PCT/JP2016/079902
Other languages
English (en)
French (fr)
Inventor
井上　雅之
Original Assignee
株式会社オートネットワーク技術研究所
住友電装株式会社
住友電気工業株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社オートネットワーク技術研究所, 住友電装株式会社, 住友電気工業株式会社 filed Critical 株式会社オートネットワーク技術研究所
Publication of WO2017065100A1 publication Critical patent/WO2017065100A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks

Definitions

  • the present invention relates to an in-vehicle communication system in which a plurality of communication devices connected to a common communication line transmit and receive messages, and a monitoring device that monitors transmitted and received messages.
  • a plurality of ECUs Electronic Control Units
  • CAN Controller Area Network
  • the plurality of ECUs proceed with each process while exchanging information via a network.
  • an unauthorized program can be injected into the ECU.
  • An ECU into which an unauthorized program has been injected may transmit an unauthorized message to the vehicle network, which may cause other ECUs connected to the network to malfunction.
  • Patent Document 1 proposes a communication system that performs message authentication by MAC (Message Authentication Code) without changing the CAN protocol.
  • each ECU counts the number of message transmissions for each CAN-ID.
  • the transmission node generates a MAC from the data field of the main message, the CAN-ID, and the count value, and transmits it as a MAC message.
  • the receiving node generates a MAC from the data field, CAN-ID, and count value included in the received main message, and determines whether the MAC matches the MAC included in the MAC message.
  • Non-Patent Document 1 each ECU monitors a message flowing on the network, and when a message with a CAN-ID to be transmitted from another ECU is transmitted from another ECU, it is determined as an illegal message.
  • a communication system has been proposed in which an ECU that detects an illegal message transmits an error frame before transmission of the illegal message is completed, thereby preventing transmission.
  • an ECU that detects an unauthorized message transmits an error frame to prevent the unauthorized message from being transmitted.
  • the ECU (illegal ECU) in which the message transmission is in error repeats the message retransmission until the message is transmitted without error.
  • the communication line is occupied by this, and there is a possibility that regular message transmission by other ECUs may be hindered.
  • the present invention has been made in view of such circumstances, and an object of the present invention is to provide an in-vehicle communication system and a monitoring device capable of preventing a communication line from being occupied by repeated unauthorized message transmission. It is to provide.
  • An in-vehicle communication system is an in-vehicle communication system in which a plurality of communication devices are connected to a common communication line, and a message with identification information is transmitted and received between the plurality of communication devices via the communication line.
  • a storage unit that stores identification information of a message to be monitored, a determination unit that determines whether or not a message transmitted on the communication line is a regular message, and the determination unit that is not a regular message
  • a discard unit that performs processing for discarding the message before completion of transmission of the message, and a first change unit that changes identification information stored in the storage unit when the discard unit performs processing for discarding the message.
  • a monitoring device that monitors the message transmitted on the communication line, and each communication device transmits and receives when the discarding unit discards the message.
  • a second changing unit that changes the identification information attached to the message, and a prohibiting unit that prohibits processing based on the message with the identification information before the change after the second changing unit has changed the identification information,
  • the first changing unit of the monitoring device and the second changing unit of the communication device change identification information by the same method.
  • the in-vehicle communication system includes a reception completion notification unit that outputs a signal indicating reception completion to the communication line with respect to the message to which the monitoring device or the communication device is attached with the identification information before the change. It is characterized by having.
  • the vehicle-mounted communication system which concerns on this invention has a table which memorize
  • the second changing unit of the apparatus selects one identification information from the table according to a predetermined rule, and changes the selected identification information as new identification information.
  • the identification information is numerical information
  • the first changing unit of the monitoring device and the second changing unit of the communication device add or subtract a predetermined value to the identification information.
  • a value is calculated, and the calculated identification information is changed as new identification information.
  • the first changing unit of the monitoring device and the second changing unit of the communication device are predetermined based on a part or all of the messages discarded by the processing of the discarding unit.
  • the identification information is generated by a rule, and the generated identification information is changed as new identification information.
  • the vehicle-mounted communication system which concerns on this invention has a memory
  • the 1st change part of the said monitor apparatus, and the 2nd change part of the said communication apparatus Uses the encryption key stored in the storage unit to generate new identification information.
  • the identification information attached to the message includes a basic part and an extended part
  • the first changing unit of the monitoring device and the second changing unit of the communication device are: The extended portion is changed.
  • the in-vehicle communication system is characterized in that any one of the plurality of communication devices monitors a message as the monitoring device.
  • the monitoring device is a gateway device that is connected to a plurality of communication lines and relays messages between the communication lines.
  • the monitoring device is connected to a common communication line to which a plurality of communication devices that transmit and receive a message with identification information attached is connected, and monitors a message transmitted on the communication line.
  • a storage unit that stores identification information of a message to be monitored, a determination unit that determines whether a message transmitted on the communication line is a regular message, and the determination unit that is a regular message
  • a discard unit that performs processing for discarding a message that is determined to be not completed before transmission of the message, and a change unit that changes identification information stored in the storage unit when the discard unit performs processing for discarding the message,
  • the identification information attached to the message transmitted to and received from the communication device can be changed by the same method as the changing unit by discarding the message performed by the discarding unit.
  • the monitoring device is characterized by including a reception completion notification unit that outputs a signal indicating reception completion to the communication line with respect to the message to which the identification information before the change is attached.
  • the monitoring device has a table storing a plurality of identification information that can be assigned to a message, and the changing unit selects one identification information from the table according to a predetermined rule, and selects the identification information.
  • the identification information is changed as new identification information.
  • the identification information is numerical information
  • the changing unit calculates a value obtained by adding or subtracting a predetermined value to the identification information, and uses the calculated identification information as new identification information. It is characterized by making a change.
  • the changing unit generates identification information according to a predetermined rule based on a part or all of the message discarded by the processing of the discarding unit, and the generated identification information is newly set.
  • the identification information is changed.
  • the monitoring device has a storage unit that stores an encryption key, and the change unit generates new identification information using the encryption key stored in the storage unit. To do.
  • the monitoring device is characterized in that the identification information attached to the message includes a basic part and an extended part, and the changing part changes the extended part.
  • the monitoring device is a gateway device that is connected to a plurality of communication lines and relays messages between the communication lines.
  • the monitoring apparatus which monitors the message transmitted on the communication line is provided in the vehicle-mounted communication system of the structure with which the some communication apparatus was connected to the common communication line.
  • the monitoring device stores the identification information of the message to be monitored, determines whether or not the message transmitted on the communication line is a regular message, and transmits the message that is determined to be not a regular message before transmission is completed. Perform the process of discarding. Thereby, an unauthorized message transmitted by an unauthorized communication device is discarded by each communication device, and processing based on the unauthorized message is prevented from being performed by each communication device.
  • the monitoring device performs processing for discarding an illegal message, the monitoring device changes the identification information of the message to be monitored.
  • each communication device changes identification information attached to a message transmitted and received by itself when a discarding process is performed by the monitoring device.
  • the change by the monitoring device and the change by each communication device are performed by the same method, and the monitoring device and the plurality of communication devices share the identification information to be processed.
  • Each communication device prohibits processing based on a message with identification information before the change.
  • an unauthorized communication device retransmits an unauthorized message due to the discarding of the unauthorized message, this message has already been excluded from monitoring by the monitoring device, and the processing of each communication device Not applicable. For this reason, the monitoring device or the communication device can make a response such as ACK to the unauthorized message, and can stop the retransmission of the unauthorized message by the unauthorized communication device.
  • the monitoring device when a message with identification information before change (that is, identification information of a message judged to be illegal) is transmitted, the monitoring device does not discard the message and sends a signal indicating reception completion. Output. Thereby, since the unauthorized communication device determines that the unauthorized message has been received by another communication device, it is possible to prevent retransmission of the unauthorized message by the unauthorized communication device.
  • the monitoring device and the plurality of communication devices have tables storing a plurality of pieces of identification information that can be assigned to messages.
  • the same table is stored in the monitoring device and the plurality of communication devices.
  • one identification information is selected from this table according to a predetermined rule, and the selected identification information is used as new identification information.
  • the identification information attached to the message is numerical information, and when the identification information is changed, a predetermined value is added to or subtracted from the identification information to obtain new identification information.
  • a predetermined value to be added or subtracted the same value is used in the monitoring device and the plurality of communication devices.
  • new identification information is generated according to a predetermined rule based on a part or all of the message discarded by the discarding process of the monitoring device.
  • the predetermined rule the monitoring device and the plurality of communication devices store the same rule in advance. Accordingly, since an unauthorized communication device that does not store a predetermined rule cannot change the identification information, unauthorized message transmission by the unauthorized communication device can be invalidated.
  • the monitoring device and the plurality of communication devices store a common encryption key and use the encryption key to generate new identification information.
  • the unauthorized communication device that does not store the encryption key cannot change the identification information, and therefore unauthorized message transmission by the unauthorized communication device can be invalidated.
  • the monitoring device and the plurality of communication devices change the identification information
  • the basic portion of the identification information attached to the message is fixed and the extended portion is changed.
  • the function of the monitoring device described above is provided in any one of a plurality of communication devices included in the in-vehicle communication system. This eliminates the need for a dedicated monitoring device for message monitoring.
  • the gateway device that relays messages between communication lines is provided with a monitoring device function that performs processing such as discarding messages.
  • the gateway device can collectively perform a discarding process for a plurality of communication lines.
  • the monitoring device when the monitoring device performs a process of discarding an unauthorized message, the monitoring device and the communication device are configured to change the identification information of the message to be processed. It becomes possible to stop retransmission of unauthorized messages, and it is possible to prevent the unauthorized transmission of messages and the occupation of communication lines.
  • FIG. 1 is a schematic diagram illustrating a configuration of an in-vehicle communication system according to Embodiment 1.
  • FIG. It is a schematic diagram which shows an example of ID table memorize
  • 3 is a block diagram illustrating a configuration of an in-vehicle communication system according to a second embodiment. 10 is a schematic diagram for explaining message ID change processing by the monitoring apparatus according to Embodiment 2.
  • FIG. 10 is a schematic diagram for explaining
  • FIG. 1 is a schematic diagram showing the configuration of the in-vehicle communication system according to the first embodiment.
  • the in-vehicle communication system according to Embodiment 1 has a configuration in which a plurality of ECUs 30 mounted on a vehicle 1 are connected via a common communication line 2 and monitors transmission / reception of messages of the ECU 30 via the communication line 2.
  • a monitoring device 10 is provided.
  • the plurality of communication devices 30 and the monitoring device 10 transmit and receive messages according to a communication protocol such as CAN or CAN-FD, for example.
  • the monitoring apparatus 10 includes a processing unit 11, a communication unit 12, a storage unit 13, and the like.
  • the processing unit 11 is configured using an arithmetic processing device such as a CPU (Central Processing Unit) or an MPU (Micro-Processing Unit), and by executing a program stored in a ROM (Read Only Memory) or the like (not shown), Various processes related to message monitoring are performed.
  • a CPU Central Processing Unit
  • MPU Micro-Processing Unit
  • ROM Read Only Memory
  • the communication unit 12 is connected to the communication line 2, and can send and receive messages to and from other ECUs 30 via the communication line 2.
  • the communication unit 12 can be configured using a so-called CAN controller.
  • the communication unit 12 receives the message by sampling the potential of the communication line 2 and gives the message to the processing unit 11, and also converts the message for transmission given from the processing unit 11 into an electric signal and outputs it to the communication line 2. Message can be sent.
  • the monitoring device 10 does not need to transmit / receive messages to / from the ECU 30, and the communication unit 12 is used to monitor messages transmitted / received between the ECUs 30 via the communication line 2. .
  • the storage unit 13 is configured using, for example, an EEPROM (Electrically Erasable Programmable Read Only Memory) or a non-volatile memory element capable of data rewriting such as a flash memory.
  • the processing unit 11 can read out various data stored in the storage unit 13 and use it for processing, and can write necessary data in the storage unit 13.
  • the storage unit 13 of the monitoring apparatus 10 stores ID list information that can be attached to messages transmitted and received in the in-vehicle communication system as an ID table 13a, and the monitoring apparatus 10 monitors the ID information.
  • the ID of the target message is stored as the monitoring ID 13b.
  • a specific ID (so-called CAN-ID) is assigned to each message type transmitted and received by the ECU 30 and the monitoring device 10.
  • a plurality of IDs are predetermined for one message type.
  • the ID table 13a of the storage unit 13 stores correspondences between message types and a plurality of IDs that can be attached to the message types.
  • the ECU 30 and the monitoring apparatus 10 select one from a plurality of IDs, and only the selected ID is set as a processing target ID, and an unselected ID is set as an illegal ID that is not a processing target.
  • an ID selected for each message type is stored.
  • a determination processing unit 21 determines whether the message transmitted by the ECU 30 on the communication line 2 is a regular message. However, the determination processing unit 21 determines only a message to which the ID stored in the monitoring ID 13b of the storage unit 13 is attached, and determination is not performed for other messages. In the present embodiment, the determination method of the message by the determination processing unit 21 is not specified.
  • the determination processing unit 21 may be configured to perform determination based on, for example, a MAC attached to a message, or may be configured to determine, for example, a message with an ID not registered in advance as an unauthorized message. Alternatively, the determination may be made by a method other than these methods.
  • the discard processing unit 22 performs a process of causing all the ECUs 30 connected to the communication line 2 to discard the message that the determination processing unit 21 determines is not a regular message, that is, an unauthorized message. Specifically, the discard processing unit 22 discards the invalid message by outputting an error frame from the communication unit 12 to the communication line 2 before the transmission of the invalid message output to the communication line 2 is completed.
  • the change processing unit 23 performs processing for changing the ID of the message to be monitored when the discard processing unit 22 performs the discard processing.
  • the change processing unit 23 selects one new ID from the ID table 13a of the storage unit 13 for the discarded message.
  • the change processing unit 23 stores the selected new ID in the monitoring ID 13b of the storage unit 13, and deletes the ID before the change from the monitoring ID 13b. Thereby, the determination process by the determination processing unit 21 is not performed on the message with the ID before the change, and the determination process is performed on the message with the ID after the change.
  • the notification processing unit 24 performs processing for outputting ACK to the message transmitted by the ECU 30.
  • the notification processing unit 24 outputs an ACK to notify the transmission-source ECU 30 of the reception completion.
  • the notification processing unit 24 outputs an ACK to notify the reception completion.
  • Each ECU 30 (but regular ECU 30) included in the in-vehicle communication system according to the present embodiment includes a processing unit 31, a communication unit 32, a storage unit 33, and the like.
  • the processing unit 31 is configured using an arithmetic processing device such as a CPU or MPU, and performs various processes related to the control of the vehicle 1.
  • the communication unit 32 is for transmitting and receiving messages to and from other ECUs 30 via the communication line 2 and can be configured using a so-called CAN controller.
  • the communication unit 32 receives the message by sampling the potential of the communication line 2 and gives the message to the processing unit 31, converts the message for transmission given from the processing unit 31 into an electrical signal, and outputs it to the communication line 2. Message can be sent.
  • the ECU 30 can receive the message transmitted from the other ECU 30 by the communication unit 32 and perform processing based on the received message in the processing unit 31. Moreover, ECU30 can transmit the information produced
  • the processing unit 31 can perform a control process for switching on / off of.
  • the process which ECU30 performs based on a received message is not limited to this, What kind of process may be sufficient.
  • the storage unit 33 is configured by using a non-volatile memory element capable of rewriting data, such as an EEPROM or a flash memory.
  • the processing unit 31 can read out various data stored in the storage unit 33 and use it for processing, and can write necessary data in the storage unit 33.
  • ID list information that can be attached to messages transmitted and received in the in-vehicle communication system is stored as an ID table 33a. ID of the message to be stored is stored as the process ID 33b.
  • the ID table 13a of the monitoring device 10 and the ID table 33a of the ECU 30 may have the same contents.
  • IDs for all message types that can be transmitted and received in the in-vehicle communication system need to be stored in the ID table 13a of the monitoring device 10
  • messages related to its own processing are stored in the ID table 33a of the ECU 30. Only the ID for the type may be stored.
  • the monitoring ID 13b of the monitoring device 10 and the process ID 33b of the ECU 30 may have the same content.
  • the monitoring ID 13b of the monitoring device 10 needs to store IDs to be monitored for all message types that can be transmitted and received in the in-vehicle communication system, but the processing ID 33b of the ECU 30 relates to its own processing. You may memorize
  • the processing unit 31 of the ECU 30 executes a program for communication processing stored in the storage unit 33 or a ROM (not shown) so that the change processing unit 41, the prohibition processing unit 42, etc. Realized as a functional block.
  • the change processing unit 41 performs processing for changing the ID of a message to be processed when the message is discarded by the processing performed by the discard processing unit 22 of the monitoring device 10.
  • the process performed by the change processing unit 41 of the ECU 30 is substantially the same as the process performed by the change processing unit 23 of the monitoring device 10.
  • the change processing unit 41 of the ECU 30 selects one new ID from the ID table 33a of the storage unit 33 for the discarded message.
  • the change processing unit 41 stores the selected new ID in the process ID 33b of the storage unit 33, and deletes the ID before the change from the process ID 33b.
  • the prohibition processing unit 42 prohibits processing using a message with an ID other than the ID stored in the processing ID 33b of the storage unit 33.
  • the processing unit 31 performs processing using the message with the ID stored in the processing ID 33b, but does not perform processing based on this message even if a message with other ID is received. . Accordingly, it is possible to prevent each ECU 30 from performing a process based on a message having the same ID as the message for which the monitoring apparatus 10 determines that the information is invalid and the discard process is performed.
  • FIG. 2 is a schematic diagram illustrating an example of an ID table 13a stored in the storage unit 13 of the monitoring device 10.
  • the ID table 13a stores eight IDs for each of the messages A to D. For example, for the message A, eight IDs of 100h to 107h are stored in hexadecimal.
  • the ID table 33a stored in the storage unit 13 of the ECU 30 has the same configuration and the same contents as the ID table 13a of the monitoring device 10.
  • the ID table 33a of the ECU 30 may be configured to store IDs only for messages necessary for its own processing. For example, when the ECU 30 is configured to transmit the message A, receive the message B, and perform processing, the ID table 33a of the ECU 30 stores IDs for the messages A and B, and stores the IDs of the messages C and D. There is no need to remember.
  • the change processing unit 23 of the monitoring device 10 selects one of a plurality of IDs stored in the ID table 13a, and performs a change process using the selected ID as a new ID.
  • the change processing unit 23 may be configured to select one of a plurality of IDs stored in the ID table 13a in the stored order. That is, when eight IDs of 100h to 107h are stored as IDs, the change processing unit 23 may select IDs in the order of 100h ⁇ 101h ⁇ 102h ⁇ ... ⁇ 106h ⁇ 107h ⁇ 101h. In the case of this configuration, the selection may be performed cyclically such that the first ID 101h is selected after the last ID 107h.
  • the change processing unit 23 of the monitoring device 10 and the change processing unit 41 of the ECU 30 need to select an ID according to the same selection rule. Note that the ID selection rule in this example is an example, and the present invention is not limited to this.
  • FIG. 3 is a schematic diagram for explaining the process of changing the message ID by the monitoring device 10, and illustrates the change in the contents of the monitoring ID 13 b stored in the storage unit 33 of the monitoring device 10.
  • the values (100h, 200h, 20Fh, 305h) shown at the top of the ID table 13a in FIG. 2 are set as the initial values of the IDs of the messages A to D in the monitoring ID 13b (state in FIG. 3). (See (1)).
  • the determination processing unit 21 determines whether or not this message is a regular message.
  • the change processing unit 23 performs an ID change process.
  • the change processing unit 23 refers to the ID table 13a of the storage unit 13 and acquires the ID (101h) registered next to the ID (100h) of the unauthorized message.
  • the change processing unit 23 deletes the ID (100h) of the message A registered in the monitoring ID 13b and registers a new ID (101h) acquired from the ID table 13a (see state (2) in FIG. 3).
  • the change processing unit 41 of the ECU 30 determines that this message is an illegal message when an error frame is output by the discarding process of the monitoring device 10 with respect to the message transmitted to the communication line 2, and the ID changing process I do.
  • the change processing unit 41 refers to the ID table 33a stored in the storage unit 33, acquires the ID (101h) registered next to the ID (100h) of the unauthorized message, and the ID registered in the processing ID 33b. (100h) is deleted and a new ID (101h) is registered.
  • the notification processing unit 23 outputs the ACK signal for the unauthorized message having the ID of 100h without the determination processing unit 21 performing the determination. An unauthorized ECU that has transmitted an unauthorized message by this ACK signal determines that the unauthorized message has been received by the ECU 30, so that the unauthorized message is not retransmitted.
  • an unauthorized ECU sends an unauthorized message with ID set to 200h. Since 200h is set as the ID of the message B in the monitoring ID 13b of the monitoring device 10, the determination processing unit 21 determines whether or not this message is a regular message. When the determination processing unit 21 determines that this message is an invalid message and the discard processing unit 22 performs a discard process on the invalid message, the change processing unit 23 performs an ID change process.
  • the change processing unit 23 refers to the ID table 13a of the storage unit 13 and acquires the ID (202h) registered next to the ID (200h) of the unauthorized message.
  • the change processing unit 23 deletes the ID (200h) of the message B registered in the monitoring ID 13b and registers a new ID (202h) acquired from the ID table 13a (see state (3) in FIG. 3). Although the description is omitted, the same processing is performed for each ECU 30 as well.
  • an unauthorized ECU transmits an unauthorized message with ID set to 101h. Since 101h is set as the ID of the message A in the monitoring ID 13b of the monitoring device 10, the determination processing unit 21 determines whether or not this message is a legitimate message. When the determination processing unit 21 determines that this message is an invalid message and the discard processing unit 22 performs a discard process on the invalid message, the change processing unit 23 performs an ID change process.
  • the change processing unit 23 refers to the ID table 13a of the storage unit 13 and acquires the ID (102h) registered next to the ID (101h) of the unauthorized message.
  • the change processing unit 23 deletes the ID (101h) of the message A registered in the monitoring ID 13b and registers a new ID (102h) acquired from the ID table 13a (see state (4) in FIG. 3). Although the description is omitted, the same processing is performed for each ECU 30 as well.
  • an unauthorized ECU transmits an unauthorized message with ID set to 20Fh. Since 20Fh is set as the ID of the message C in the monitoring ID 13b of the monitoring device 10, the determination processing unit 21 determines whether or not this message is a regular message. When the determination processing unit 21 determines that this message is an invalid message and the discard processing unit 22 performs a discard process on the invalid message, the change processing unit 23 performs an ID change process.
  • the change processing unit 23 refers to the ID table 13a of the storage unit 13 and acquires the ID (20Dh) registered next to the ID (20Fh) of the unauthorized message.
  • the change processing unit 23 deletes the ID (20Fh) of the message C registered in the monitoring ID 13b and registers a new ID (20Dh) acquired from the ID table 13a (see state (5) in FIG. 3). Although the description is omitted, the same processing is performed for each ECU 30 as well.
  • FIG. 4 is a flowchart showing the procedure of the monitoring process performed by the monitoring apparatus 10 according to the present embodiment.
  • the processing unit 11 of the monitoring apparatus 10 determines whether or not the message transmission of the ECU 30 to the communication line 2 has been performed (step S1). When message transmission is not performed (S1: NO), the processing unit 11 stands by until message transmission by the ECU 30 is performed. When the message transmission by the ECU 30 is performed (S1: YES), the processing unit 11 acquires the message ID when the message ID is output to the communication line 2 (step S2).
  • the processing unit 11 refers to the monitoring ID 13b in the storage unit 13 and determines whether or not the ID acquired in step S2 is registered in the monitoring ID 13b (step S3).
  • the notification processing unit 24 of the processing unit 11 outputs ACK to the communication line 2 (step S9), and ends the process.
  • the determination processing unit 21 of the processing unit 11 performs this process when the authentication information (MAC) included in the message is output to the communication line 2.
  • the authentication information is acquired, whether the acquired authentication information is correct or not is determined (step S4), and it is determined whether the message being transmitted to the communication line 2 is a regular message (step S5).
  • authentication information is attached to the message, and it is configured to determine whether the message is correct based on this authentication information.
  • this is merely an example, and the message correctness determination is not limited to using authentication information. You may carry out by the method.
  • the determination processing unit 21 determines that the message is a regular message (S5: YES)
  • the notification processing unit 24 of the processing unit 11 outputs ACK to the communication line 2 (step S9), and ends the process.
  • the discard processing unit 22 of the processing unit 11 performs communication before completing the transmission of this message.
  • An error frame is output to the line 2 (step S6), and this message is discarded by the ECU 30.
  • the change processing unit 23 of the processing unit 11 refers to the ID table 13a of the storage unit 13 (Step S7), and acquires a new ID corresponding to the ID acquired in Step S2.
  • the change processing unit 23 deletes the ID acquired in step S2 from the monitoring ID 13b and registers the new ID acquired from the ID table 13a in the monitoring ID 13b, thereby changing the ID to be monitored (step S8). ), The process is terminated.
  • FIG. 5 is a flowchart showing a procedure of reception processing performed by each ECU 30 according to the present embodiment.
  • the processing unit 31 of the ECU 30 according to the present embodiment determines whether or not a message is transmitted from another ECU 30 to the communication line 2 (step S21). If message transmission is not performed (S21: NO), the processing unit 31 waits until message transmission by another ECU 30 is performed. When the message is transmitted by another ECU 30 (S21: YES), the processing unit 31 acquires the message ID when the message ID is output to the communication line 2 (step S22).
  • the processing unit 31 refers to the process ID 33b in the storage unit 33 and determines whether or not the ID acquired in step S22 is registered in the process ID 33b (step S23).
  • the prohibition processing unit 42 of the processing unit 31 prohibits the process based on the received message (step S24). Further, the processing unit 31 outputs ACK to the communication line 2 (step S25) and ends the process.
  • the processing unit 31 determines whether or not an error frame has been received before the transmission of this message is completed (step S26). When no error frame has been received (S26: NO), the processing unit 31 receives a message output to the communication line 2 (step S27). The processing unit 31 outputs ACK to the communication line 2 (step S28) and notifies the completion of reception of this message. Thereafter, the processing unit 31 performs processing based on the received message (step S29) and ends the processing.
  • the processing unit 31 interrupts this message reception process and discards this message (step S30).
  • the change processing unit 41 of the processing unit 31 refers to the ID table 33a of the storage unit 33 (Step S31) and acquires a new ID corresponding to the ID acquired in Step S22.
  • the change processing unit 41 deletes the ID acquired in step S22 from the process ID 33b and changes the ID to be processed by registering the new ID acquired from the ID table 33a in the process ID 33b (step S32). ), The process is terminated.
  • the in-vehicle communication system monitors a message transmitted on the communication line 2 during the in-vehicle communication system in which a plurality of ECUs 30 are connected to the common communication line 2.
  • the apparatus 10 is provided.
  • the monitoring apparatus 10 stores the ID of the message to be monitored in the monitoring ID 13b of the storage unit 13, and the determination processing unit 21 determines whether the message transmitted on the communication line 2 is a regular message.
  • the discard processing unit 22 performs a process of discarding a message determined not to be a regular message before the transmission is completed. Thereby, the unauthorized message transmitted by the unauthorized ECU is discarded by the ECU 30, and the processing based on the unauthorized message is prevented from being performed in each ECU 30.
  • the monitoring device 10 When the discard processing unit 22 performs processing for discarding an illegal message, the monitoring device 10 performs processing for changing the ID of the message to be monitored by the change processing unit 23. Similarly, each ECU 30 performs, in the change processing unit 41, a process for changing an ID attached to a message transmitted / received by itself when the discarding process is performed by the monitoring device 10. However, the ID changing process by the monitoring device 10 and the ID changing by each ECU 30 are performed by the same method, and the monitoring device 10 and the ECU 30 share the ID to be processed. Each ECU 30 prohibits processing based on the message with the ID before the change.
  • the monitoring device 10 and the ECU 30 can make a response such as ACK to the unauthorized message, and can stop retransmission of the unauthorized message by the unauthorized ECU.
  • the monitoring device 10 allows the discard processing unit 22 to discard the message to which the pre-change ID is attached (that is, the message once determined to be invalid) on the communication line 2. Instead, an ACK signal is output to notify the completion of reception. As a result, the unauthorized ECU determines that the unauthorized message has been received by another ECU 30, and therefore can prevent the unauthorized ECU from retransmitting the unauthorized message.
  • the monitoring device 10 and the ECU 30 each have ID tables 13a and 33a that store a plurality of IDs that can be assigned to messages.
  • the ID tables 13a and 33a store the same contents in the monitoring device 10 and the plurality of ECUs 30.
  • one ID is selected from the ID tables 13a and 33a according to a predetermined rule, and the selected ID is set as a new ID. Accordingly, since an unauthorized ECU that does not have the ID tables 13a and 33a cannot change the ID, unauthorized message transmission by the unauthorized ECU can be invalidated.
  • a predetermined rule for selecting an ID for example, a method of cyclically selecting one in a stored order from a plurality of IDs stored in the ID tables 13a and 33a may be employed.
  • the monitoring device 10 is configured so that the processing unit 11 performs each process of the determination processing unit 21, the discard processing unit 22, the change processing unit 23, and the notification processing unit 24.
  • the present invention is not limited to this.
  • the storage unit 13 may be configured to be directly accessible by the communication unit 12 or may be provided in the communication unit 12.
  • the ECU 30 is configured to perform the processing of the change processing unit 41 and the prohibition processing unit 42 by the processing unit 31, but is not limited thereto, and may be configured to be performed by the communication unit 32, for example.
  • each ECU 30 included in the in-vehicle communication system of the vehicle 1 performs communication according to the CAN protocol.
  • the present invention is not limited to this.
  • Each ECU 30 may be configured to perform communication according to a protocol other than CAN, for example, a protocol such as TCP / IP or FlexRay.
  • the communication system mounted on the vehicle 1 has been described as an example.
  • the communication system is not limited to this.
  • the present technology may be applied to a communication system other than a vehicle, such as a system.
  • the configuration is such that one ID is selected from the ID tables 13a and 33a and the monitoring ID 13b and the process ID 33b are changed.
  • the change processing unit 23 of the monitoring device 10 acquires the ID attached to the message that the determination processing unit 21 determines to be illegal, generates a new ID by adding or subtracting a predetermined value to the ID, and monitors the ID. It is good also as a structure registered into ID13b. For example, when it is determined that the message with ID 100h is illegal, 1 can be added to 100h as a predetermined value to generate a new ID 101h.
  • the predetermined value to be added or subtracted may be different for each message type. In this case, a predetermined value to be added or subtracted in association with the message type is stored in the storage unit 13.
  • each ECU 30 acquires the ID attached to the message that has been discarded by the monitoring device 10, and generates a new ID by adding or subtracting a predetermined value to this ID. It is good also as a structure registered into process ID33b. However, the predetermined value to be added to or subtracted from the ID needs to be a value common to the monitoring device 10 and the ECU 30.
  • FIG. 6 is a block diagram illustrating a configuration of the in-vehicle communication system according to the second modification.
  • a message monitoring function similar to that of the monitoring device 10 shown in the first embodiment is added to one ECU 50 among a plurality of ECUs 30 that perform control processing of the vehicle 1 and the like.
  • the ECU 50 according to the modified example 2 includes a determination processing unit 21, a discard processing unit 22, a change processing unit 23, and a notification processing unit 24 similar to those in the monitoring device 10 according to the first embodiment.
  • a prohibition processing unit 42 similar to the ECU 30 is provided in the processing unit 51.
  • the ECU 50 stores, in the process ID 33b of the storage unit 33, an ID to be monitored for illegal messages and an ID of a message related to its own process.
  • the ECU 50 determines by the determination processing unit 21, discards by the discard processing unit 22, and changes the ID by the change processing unit 23. And so on.
  • the ECU 50 performs processing such as output of ACK by the notification processing unit 24 and prohibition of processing based on the received message by the prohibition processing unit 42.
  • the function of the monitoring device 10 is provided in one or a plurality of ECUs 50 included in the in-vehicle communication system, it is not necessary to provide the dedicated monitoring device 10 for message monitoring. And an increase in cost can be suppressed.
  • the plurality of ECUs included in the in-vehicle communication system may all have the same configuration as the ECU 50 according to the second modification.
  • FIG. 7 is a block diagram illustrating a configuration of the in-vehicle communication system according to the third modification.
  • the in-vehicle communication system according to the modified example 3 has a configuration in which the communication line 2 and the communication line 3 to which a plurality of ECUs 30 are connected are connected to the gateway 110 and the gateway 110 relays a message between the communication lines 2 and 3. .
  • the gateway 110 can be provided with a monitoring function similar to that of the monitoring device 10 according to the first embodiment.
  • the gateway 110 includes a processing unit 11, communication units 12a and 12b, and a storage unit 13.
  • the two communication units 12 a and 12 b are connected to the communication lines 2 and 3, respectively, and send and receive messages to and from the ECU 30 via the connected communication lines 2 and 3.
  • the processing unit 11 performs processing for relaying a message between the communication lines 2 and 3 by transmitting a message received by one of the communication units 12a and 12b from the other.
  • the processing unit 211 executes a predetermined program stored in a ROM or the like, so that the determination processing unit 21, the discard processing unit 22, the change processing unit 23, the notification processing unit 24, and the like are realized as software functional blocks. Is done.
  • the processing performed by these functional blocks is substantially the same as that of the monitoring device 10 according to the first embodiment described above, but the message monitoring processing is individually performed for the two communication lines 2 and 3.
  • the message monitoring function is provided in the gateway 110 to which the plurality of communication lines 2 and 3 are connected.
  • message monitoring can be performed centrally at the gateway 110, and the in-vehicle communication system can be reduced in size and cost compared to the configuration in which the monitoring devices 10 are provided on the communication lines 2 and 3, respectively. it can.
  • FIG. 8 is a block diagram illustrating a configuration of the in-vehicle communication system according to the second embodiment.
  • the in-vehicle communication system according to the second embodiment monitors a message on the communication line 2 while a plurality of ECUs 230 are connected to the common communication line 2.
  • the monitoring device 210 is connected.
  • the monitoring apparatus 210 according to the second embodiment stores an encryption key 213a in the storage unit 13 instead of the ID table 13a, and the change processing unit 223 performs ID change processing using the encryption key 213a.
  • the ECU 230 stores the encryption key 233a in the storage unit 33 instead of the ID table 33a, and the change processing unit 241 performs ID change processing using the encryption key 213a.
  • the encryption key 213a stored in the monitoring device 210 and the encryption key 233a stored in each ECU 230 are the same, and an appropriate value is written in each device, for example, at the manufacturing stage of the vehicle 1.
  • FIG. 9 is a schematic diagram for explaining message ID change processing by the monitoring apparatus 210 according to the second embodiment.
  • a message transmitted and received in the in-vehicle communication system according to the present embodiment is based on a protocol such as CAN or CAN-FD, and includes an arbitration field, a control field, a data field, a CRC (Cyclic Redundancy Check) field, and the like. (Refer to the message structure in the upper part of FIG. 9).
  • the message ID is stored in the arbitration field.
  • the ID stored in the arbitration field is 29 bits as a whole, and is divided into an 11-bit base ID and an 18-bit extended ID.
  • the data field 64-bit data is stored.
  • the determination processing unit 21 of the monitoring device 210 performs determination based on the MAC
  • the MAC may be included in, for example, a part of the data field of the message.
  • the base ID is 012h (000 0001 0010) and the extension ID is 34567h (11 0100 0101 0110 0111) as shown in the message example of FIG. It is assumed that 89abcdef01234567h data is stored in the data field.
  • a 29-bit ID obtained by combining the illustrated base ID and extension ID is registered.
  • the determination processing unit 21 of the monitoring device 210 determines that this message is unauthorized, and the discard processing unit 22 outputs an error frame to each ECU 30. Message is discarded.
  • the change processing unit 223 of the monitoring apparatus 210 includes the 64-bit data included in the data field of the discarded message and the encryption key 213 a stored in the storage unit 13. And a new ID is generated.
  • the discard processing unit 22 outputs an error frame after transmission to the data field of the message is completed and before transmission of the message is completed.
  • the change processing unit 223 performs an encryption process using the encryption key 213a on, for example, 64-bit data in the data field.
  • an algorithm such as DES (Data Encryption Standard) or AES (Advanced Encryption Standard) known as a shared key cryptosystem can be adopted.
  • DES Data Encryption Standard
  • AES Advanced Encryption Standard
  • any algorithm other than DES or AES may be employed for the encryption processing performed by the change processing unit 223.
  • 64-bit data 76543210 fedcba98h
  • 64-bit data 89abcdef01234567h
  • the change processing unit 223 extracts the lower 18-bit data (0ba98h) from the 64-bit data obtained by the encryption process.
  • the change processing unit 223 replaces the extension ID included in the ID of the discarded message with 18-bit data extracted from the data obtained by the encryption process, and sets a new ID (ID change in the lower part of FIG. 9). See the example message below).
  • the change processing unit 223 changes the ID of the monitoring target by deleting the discarded message ID from the monitoring ID 13b of the storage unit 13 and registering the new ID generated by the above processing in the monitoring ID 13b.
  • the change processing unit 241 of each ECU 230 uses the 64-bit data included in the data field of the message discarded by the discarding process of the monitoring device 210 and a new encryption key 233 a stored in the storage unit 33. ID is generated.
  • the change processing unit 241 changes the processing target ID by deleting the discarded message ID from the processing ID 33b of the storage unit 33 and registering the generated new ID in the processing ID 33b.
  • the method for generating a new ID by the change processing unit 241 of the ECU 230 is the same as the method for generating a new ID by the change processing unit 223 of the monitoring device 210, and thus the description thereof is omitted.
  • the encryption key 233a stored in the ECU 230 and the encryption key 213a stored in the monitoring device 210 are the same. Therefore, the new ID generated based on the data field of the discarded message has the same value for the one generated by the ECU 230 and the one generated by the monitoring device 210.
  • the in-vehicle communication system performs a process (encryption process) according to a predetermined rule based on a part of the message (data field) discarded by the discard process of the monitoring device 210. To generate a new ID.
  • the monitoring device 210 and each ECU 230 store the same encryption processing rules in advance. Accordingly, since an unauthorized ECU that does not store a predetermined encryption processing rule cannot change the ID, transmission of an unauthorized message by the unauthorized ECU can be invalidated.
  • the monitoring device 210 and each ECU 230 store common encryption keys 213a and 233a, and use these encryption keys 213a and 233a for generating a new ID. Accordingly, since an unauthorized ECU that does not store the encryption keys 213a and 233a cannot change the ID, transmission of an unauthorized message by the unauthorized ECU can be invalidated.
  • the basic ID of the IDs attached to the message is fixed and the extension ID is changed.
  • the IDs of a plurality of messages of different types may coincide with each other. It is necessary to check the existence. By adopting a configuration in which only the extended ID is changed while the basic ID is fixed, such duplication does not occur, so that the change of the ID can be facilitated.
  • the monitoring device 210 and each ECU 230 are configured to perform encryption processing based on the data field of the discarded message, but the present invention is not limited to this.
  • the monitoring device 210 and each ECU 230 may perform encryption processing based on the CRC field of the discarded message, for example, or may perform encryption processing based on a part of the upper 32 bits of the data field, for example. Further, for example, encryption processing may be performed based on the entire message, or encryption processing may be performed based on portions other than these.
  • the monitoring device 210 and each ECU 230 may use different values for each message type, for example, instead of using one value as the encryption keys 213a and 233a.
  • the monitoring device 210 and each ECU 230 are configured to generate a new ID by encryption processing using the encryption keys 213a and 233a, the present invention is not limited to this.
  • the monitoring device 210 and each ECU 230 may be configured to generate a new ID according to a predetermined rule based on part or all of the discarded message. For example, the monitoring device 210 and each ECU 230 calculate a hash value using a hash function stored in advance for the data field of the discarded message, and use the calculated hash value as a new ID or a part of a new ID. Also good.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Small-Scale Networks (AREA)

Abstract

不正なメッセージ送信が繰り返されて通信線が占有されることを防止し得る車載通信システム及び監視装置を提供する。　監視装置は、記憶部の監視ＩＤに監視対象とするメッセージのＩＤを記憶しておき、通信線上に送信されたメッセージが正規のメッセージであるか否かを判定処理部が判定し、正規のメッセージでないと判定したメッセージを送信完了前に破棄させる処理を破棄処理部が行う。監視装置は、破棄処理部にて不正なメッセージを破棄させる処理を行った場合、監視対象とするメッセージのＩＤを変更する処理を変更処理部にて行う。同様に、各ＥＣＵは、監視装置による破棄処理が行われた場合に、自身が送受信するメッセージに付すＩＤを変更する処理を変更処理部にて行う。各ＥＣＵは、変更前のＩＤが付されたメッセージに基づく処理を禁止する。

Description

車載通信システム及び監視装置
　本発明は、共通の通信線に接続された複数の通信装置がメッセージの送受信を行う車載通信システム、及び、送受信されるメッセージを監視する監視装置に関する。
　従来、車両には複数のＥＣＵ（Electronic Control Unit）が搭載され、これらがＣＡＮ（Controller Area Network）などのネットワークを介して接続されている。これら複数のＥＣＵは、ネットワークを介して情報を交換しながら各個の処理を進めている。近年では車両内のネットワークの規模が大きくなる傾向がある。このような車両のネットワークに対する攻撃として、例えばＥＣＵに不正なプログラムを注入することが行われ得る。不正なプログラムを注入されたＥＣＵは、車両のネットワークへ不正なメッセージ送信を行う可能性があり、これによりネットワークに接続された他のＥＣＵが誤動作するなどの虞がある。
　特許文献１においては、ＣＡＮプロトコルを変更せずにＭＡＣ（Message Authentication Code）によるメッセージ認証を行う通信システムが提案されている。この通信システムにおいては、各ＥＣＵがＣＡＮ－ＩＤ毎にメッセージの送信回数をカウントする。送信ノードは、メインメッセージのデータフィールド、ＣＡＮ－ＩＤ及びカウント値からＭＡＣを生成してＭＡＣメッセージとして送信する。受信ノードは、受信したメインメッセージに含まれるデータフィールド、ＣＡＮ－ＩＤとカウント値とからＭＡＣを生成し、ＭＡＣメッセージに含まれるＭＡＣと一致するかを判断する。
　非特許文献１においては、各ＥＣＵがネットワーク上を流れるメッセージを監視し、自身が送信するはずのＣＡＮ－ＩＤが付されたメッセージが他のＥＣＵから送信された場合にこれを不正メッセージと判断し、不正メッセージを検出したＥＣＵが不正メッセージの送信完了前にエラーフレームを送信することで送信を阻止する通信システムが提案されている。
特開２０１３－９８７１９号公報
畑正人，田邉正人，吉岡克成，大石和臣，松本勉、不正送信阻止：ＣＡＮではそれが可能である、コンピュータセキュリティシンポジウム、２０１１年１０月
　非特許文献１に記載の通信システムでは、不正メッセージを検出したＥＣＵがエラーフレームを送信して不正メッセージの送信を阻止している。しかしながら、メッセージの送信がエラーとなったＥＣＵ（不正なＥＣＵ）は、このメッセージがエラーなく送信されるまで、メッセージの再送信を繰り返すこととなる。このようなメッセージの再送信が繰り返され続けた場合、これにより通信線が占有されてしまい、他のＥＣＵによる正規のメッセージ送信が阻害される虞がある。
　本発明は、斯かる事情に鑑みてなされたものであって、その目的とするところは、不正なメッセージ送信が繰り返されて通信線が占有されることを防止し得る車載通信システム及び監視装置を提供することにある。
　本発明に係る車載通信システムは、複数の通信装置が共通の通信線に接続され、前記通信線を介して識別情報が付されたメッセージを前記複数の通信装置間で送受信する車載通信システムにおいて、監視対象とするメッセージの識別情報を記憶する記憶部と、前記通信線上に送信されたメッセージが正規のメッセージであるか否かを判定する判定部と、前記判定部が正規のメッセージでないと判定したメッセージを、該メッセージの送信完了前に破棄させる処理を行う破棄部と、前記破棄部が破棄させる処理を行った場合に、前記記憶部に記憶する識別情報を変更する第１変更部とを有し、前記通信線上に送信されたメッセージの監視を行う監視装置を備え、各通信装置は、前記破棄部によるメッセージの破棄が行われた場合に、送受信するメッセージに付す識別情報を変更する第２変更部と、前記第２変更部が識別情報を変更した後に、変更前の識別情報が付されたメッセージに基づく処理を禁止する禁止部とを有し、前記監視装置の第１変更部と前記通信装置の第２変更部とは、同じ方法で識別情報の変更を行うことを特徴とする。
　また、本発明に係る車載通信システムは、前記監視装置又は前記通信装置が、変更前の識別情報が付されたメッセージに対して受信完了を示す信号を前記通信線に出力する受信完了通知部を有することを特徴とする。
　また、本発明に係る車載通信システムは、前記監視装置及び前記通信装置が、メッセージに対して割り当て可能な複数の識別情報を記憶したテーブルを有し、前記監視装置の第１変更部及び前記通信装置の第２変更部は、前記テーブルから所定の規則で一の識別情報を選択し、選択した識別情報を新たな識別情報として変更を行うことを特徴とする。
　また、本発明に係る車載通信システムは、前記識別情報が数値情報であり、前記監視装置の第１変更部及び前記通信装置の第２変更部は、前記識別情報に所定値を加算又は減算した値を算出し、算出した識別情報を新たな識別情報として変更を行うことを特徴とする。
　また、本発明に係る車載通信システムは、前記監視装置の第１変更部及び前記通信装置の第２変更部が、前記破棄部の処理により破棄されたメッセージの一部又は全部を元に所定の規則で識別情報を生成し、生成した識別情報を新たな識別情報として変更を行うことを特徴とする。
　また、本発明に係る車載通信システムは、前記監視装置及び前記通信装置が、共通の暗号鍵を記憶する記憶部を有し、前記監視装置の第１変更部及び前記通信装置の第２変更部は、前記記憶部に記憶された前記暗号鍵を用いて新たな識別情報を生成することを特徴とする。
　また、本発明に係る車載通信システムは、前記メッセージに付される識別情報には、基本部分と拡張部分とを含み、前記監視装置の第１変更部及び前記通信装置の第２変更部は、前記拡張部分を変更することを特徴とする。
　また、本発明に係る車載通信システムは、前記複数の通信装置のうちのいずれか１つの通信装置が、前記監視装置としてメッセージの監視を行うことを特徴とする。
　また、本発明に係る車載通信システムは、前記監視装置が、複数の通信線に接続されて、通信線間のメッセージを中継するゲートウェイ装置であることを特徴とする。
　また、本発明に係る監視装置は、識別情報が付されたメッセージを送受信する複数の通信装置が接続された共通の通信線に接続され、前記通信線上に送信されたメッセージの監視を行う監視装置であって、監視対象とするメッセージの識別情報を記憶する記憶部と、前記通信線上に送信されたメッセージが正規のメッセージであるか否かを判定する判定部と、前記判定部が正規のメッセージでないと判定したメッセージを、該メッセージの送信完了前に破棄させる処理を行う破棄部と、前記破棄部が破棄させる処理を行った場合に、前記記憶部に記憶する識別情報を変更する変更部とを備え、前記破棄部が行うメッセージの破棄により、前記変更部と同じ方法で、前記通信装置に対して送受信するメッセージに付す識別情報を変更させることを特徴とする。
　また、本発明に係る監視装置は、変更前の識別情報が付されたメッセージに対して受信完了を示す信号を前記通信線に出力する受信完了通知部を備えることを特徴とする。
　また、本発明に係る監視装置は、メッセージに対して割り当て可能な複数の識別情報を記憶したテーブルを有し、前記変更部は、前記テーブルから所定の規則で一の識別情報を選択し、選択した識別情報を新たな識別情報として変更を行うことを特徴とする。
　また、本発明に係る監視装置は、前記識別情報は数値情報であり、前記変更部は、前記識別情報に所定値を加算又は減算した値を算出し、算出した識別情報を新たな識別情報として変更を行うことを特徴とする。
　また、本発明に係る監視装置は、前記変更部が、前記破棄部の処理により破棄されたメッセージの一部又は全部を元に所定の規則で識別情報を生成し、生成した識別情報を新たな識別情報として変更を行うことを特徴とする。
　また、本発明に係る監視装置は、暗号鍵を記憶する記憶部を有し、前記変更部は、前記記憶部に記憶された前記暗号鍵を用いて新たな識別情報を生成することを特徴とする。
　また、本発明に係る監視装置は、前記メッセージに付される識別情報には、基本部分と拡張部分とを含み、前記変更部は、前記拡張部分を変更することを特徴とする。
　また、本発明に係る監視装置は、複数の通信線に接続されて、通信線間のメッセージを中継するゲートウェイ装置であることを特徴とする。
　本発明においては、共通の通信線に複数の通信装置が接続された構成の車載通信システム中に、通信線上に送信されたメッセージの監視を行う監視装置を設ける。監視装置は、監視対象とするメッセージの識別情報を記憶しておき、通信線上に送信されたメッセージが正規のメッセージであるか否かを判定し、正規のメッセージでないと判定したメッセージを送信完了前に破棄させる処理を行う。これにより不正な通信装置が送信した不正なメッセージが各通信装置にて破棄され、不正なメッセージに基づく処理が各通信装置にて行われることが防止される。
　監視装置は、不正なメッセージを破棄させる処理を行った場合、監視対象とするメッセージの識別情報を変更する。同様に、各通信装置は、監視装置による破棄処理が行われた場合に、自身が送受信するメッセージに付す識別情報を変更する。ただし、監視装置による変更と各通信装置による変更とは同じ方法で行い、監視装置及び複数の通信装置が処理対象とする識別情報を共有する。また各通信装置は、変更前の識別情報が付されたメッセージに基づく処理を禁止する。
　これにより、不正なメッセージが破棄されたことにより不正な通信装置が不正なメッセージの再送信を行った場合、既にこのメッセージは監視装置の監視対象外となっており、且つ、各通信装置の処理対象外となっている。このため監視装置又は通信装置は、不正なメッセージに対してＡＣＫなどの応答を行うことができ、不正な通信装置による不正なメッセージの再送信を停止させることが可能となる。
　また本発明においては、変更前の識別情報（即ち不正と判断したメッセージの識別情報）が付されたメッセージが送信された場合、監視装置によるメッセージの破棄は行わずに、受信完了を示す信号を出力する。これにより、不正な通信装置は不正なメッセージが他の通信装置により受信されたと判断するため、不正な通信装置による不正なメッセージの再送信を防止できる。
　また本発明においては、メッセージに対して割り当て可能な複数の識別情報を記憶したテーブルを監視装置及び複数の通信装置が有する。このテーブルは、監視装置及び複数の通信装置で同じものを記憶しておく。処理対象の識別情報を変更する場合には、このテーブルから所定の規則で一の識別情報を選択し、選択した識別情報を新たな識別情報とする。これにより、テーブルを有していない不正な通信装置は識別情報を変更することができないため、不正な通信装置による不正なメッセージ送信を無効化できる。
　また本発明においては、メッセージに付される識別情報を数値情報とし、識別情報を変更する場合には、所定値を識別情報に対して加算又は減算して新たな識別情報とする。加算又は減算する所定値は、監視装置及び複数の通信装置にて同じ値を用いる。これにより、所定値を有していない不正な通信装置は識別情報を変更することができないため、不正な通信装置による不正なメッセージ送信を無効化できる。
　また本発明においては、監視装置の破棄処理により破棄されたメッセージの一部又は全部を元に所定の規則で新たな識別情報を生成する。所定の規則として、監視装置及び複数の通信装置は同じ規則を予め記憶しておく。これにより所定の規則を記憶していない不正な通信装置は識別情報を変更することができないため、不正な通信装置による不正なメッセージ送信を無効化できる。
　また本発明においては、監視装置及び複数の通信装置が共通の暗号鍵を記憶しておき、新たな識別情報の生成に暗号鍵を用いる。これにより暗号鍵を記憶していない不正な通信装置は識別情報を変更することができないため、不正な通信装置による不正なメッセージ送信を無効化できる。
　また本発明においては、監視装置及び複数の通信装置が識別情報を変更する場合、メッセージに付される識別情報の基本部分は固定し、拡張部分を変更する。これにより、識別情報が異なる複数のメッセージが送受信され得る車載通信システムにおいて、一つのメッセージに対する識別情報の変更を容易化することができ、一つのメッセージに対して設定し得る識別情報の範囲を広げることを容易化できる。
　また本発明においては、車載通信システムに含まれる複数の通信装置のうちのいずれか１つの通信装置に、上述の監視装置の機能を設ける。これによりメッセージ監視のために専用の監視装置を設ける必要がなくなる。
　また本発明においては、メッセージを破棄させる処理などを行う監視装置の機能を、通信線間のメッセージを中継するゲートウェイ装置に設ける。これにより複数の通信線に対する破棄処理などをゲートウェイ装置が一括して行うことができる。
　本発明による場合は、監視装置が不正なメッセージを破棄させる処理を行った場合に、監視装置及び通信装置が処理対象とするメッセージの識別情報を変更する構成とすることにより、不正な通信装置による不正なメッセージの再送信を停止させることが可能となり、不正なメッセージ送信が繰り返されて通信線が占有されることを防止することができる。
実施の形態１に係る車載通信システムの構成を示す模式図である。 監視装置の記憶部に記憶されるＩＤテーブルの一例を示す模式図である。 監視装置によるメッセージのＩＤの変更処理を説明するための模式図である。 本実施の形態に係る監視装置が行う監視処理の手順を示すフローチャートである。 本実施の形態に係る各ＥＣＵが行う受信処理の手順を示すフローチャートである。 変形例２に係る車載通信システムの構成を示すブロック図である。 変形例３に係る車載通信システムの構成を示すブロック図である。 実施の形態２に係る車載通信システムの構成を示すブロックである。 実施の形態２に係る監視装置によるメッセージのＩＤの変更処理を説明するための模式図である。
＜実施の形態１＞
　以下、本発明をその実施の形態を示す図面に基づき具体的に説明する。図１は、実施の形態１に係る車載通信システムの構成を示す模式図である。実施の形態１に係る車載通信システムは、車両１に搭載された複数のＥＣＵ３０が共通の通信線２を介して接続された構成であり、通信線２を介したＥＣＵ３０のメッセージの送受信を監視する監視装置１０を備えている。複数の通信装置３０及び監視装置１０は、例えばＣＡＮ又はＣＡＮ－ＦＤ等の通信プロトコルに従ってメッセージの送受信を行う。
　監視装置１０は、処理部１１、通信部１２及び記憶部１３等を備えて構成されている。処理部１１は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro-Processing Unit）等の演算処理装置を用いて構成され、図示しないＲＯＭ（Read Only Memory）などに記憶されたプログラムを実行することにより、メッセージの監視に係る種々の処理を行う。
　通信部１２は、通信線２が接続され、この通信線２を介して他のＥＣＵ３０との間でメッセージの送受信を行うことができる。通信部１２は、いわゆるＣＡＮコントローラを用いて構成され得る。通信部１２は、通信線２の電位をサンプリングすることによってメッセージを受信し処理部１１へ与えると共に、処理部１１から与えられた送信用のメッセージを電気信号に変換して通信線２へ出力することによってメッセージを送信することができる。ただし本実施の形態に係る監視装置１０はＥＣＵ３０との間でメッセージの送受信を行う必要はなく、通信部１２は通信線２を介してＥＣＵ３０の間で送受信されるメッセージを監視するために用いられる。
　記憶部１３は、例えばＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）又はフラッシュメモリ等のデータ書き換えが可能な不揮発性のメモリ素子を用いて構成されている。処理部１１は、記憶部１３に記憶された種々のデータを読み出して処理に使用することができると共に、必要なデータを記憶部１３に書き込むことができる。なお本実施の形態に係る監視装置１０の記憶部１３には、車載通信システム中で送受信されるメッセージに付され得るＩＤの一覧情報がＩＤテーブル１３ａとして記憶されていると共に、監視装置１０が監視対象とするメッセージのＩＤが監視ＩＤ１３ｂとして記憶される。
　ＥＣＵ３０及び監視装置１０が送受信するメッセージには、このメッセージの種別毎に、特定のＩＤ（いわゆるＣＡＮ－ＩＤ）が付される。本実施の形態に係る車載通信システムでは、１つのメッセージ種別に対して複数のＩＤが予め定められている。記憶部１３のＩＤテーブル１３ａには、メッセージの種別と、これに対して付され得る複数のＩＤとの対応が記憶されている。ＥＣＵ３０及び監視装置１０は、複数のＩＤから１つを選択し、選択したＩＤのみを処理対象のＩＤとし、選択していないＩＤは処理対象外の不正なＩＤとする。記憶部１３の監視ＩＤ１３ｂは、メッセージ種別毎に１つ選択されたＩＤが記憶されている。
　本実施の形態に係る監視装置１０の処理部１１には、記憶部１３又は図示しないＲＯＭ等に記憶された監視処理のためのプログラムを実行することにより、判定処理部２１、破棄処理部２２、変更処理部２３及び通知処理部２４等がソフトウェア的な機能ブロックとして実現される。判定処理部２１は、通信線２上にＥＣＵ３０が送信したメッセージが正規のメッセージであるか否かを判定する。ただし判定処理部２１が判定対象とするのは、記憶部１３の監視ＩＤ１３ｂに記憶されたＩＤが付されたメッセージのみであり、これ以外のメッセージについては判定を行わない。なお本実施の形態において、判定処理部２１によるメッセージの判定方法については規定しない。判定処理部２１は、例えばメッセージに付されたＭＡＣなどに基づいて判定を行う構成であってもよく、また例えば予め登録されていないＩＤが付されたメッセージを不正メッセージと判定する構成であってもよく、これら以外の方法で判定を行う構成であってもよい。
　破棄処理部２２は、判定処理部２１が正規のメッセージではない、即ち不正メッセージであると判定したメッセージを、通信線２に接続された全てのＥＣＵ３０に破棄させる処理を行う。詳しくは、破棄処理部２２は、通信線２に出力された不正メッセージの送信完了前に、通信線２に対して通信部１２からエラーフレームを出力することにより、不正メッセージを破棄させる。
　変更処理部２３は、破棄処理部２２が破棄処理を行った場合に、監視対象とするメッセージのＩＤを変更する処理を行う。変更処理部２３は、破棄されたメッセージについて、記憶部１３のＩＤテーブル１３ａから新たなＩＤを１つ選択する。変更処理部２３は、選択した新たなＩＤを記憶部１３の監視ＩＤ１３ｂに記憶すると共に、変更前のＩＤは監視ＩＤ１３ｂから削除する。これにより、変更前のＩＤが付されたメッセージに対しては判定処理部２１による判定処理が行われなくなり、変更後のＩＤが付されたメッセージに対して判定処理が行われることとなる。
　通知処理部２４は、ＥＣＵ３０が送信したメッセージに対してＡＣＫを出力する処理を行う。通知処理部２４は、通信部１２にて正規のメッセージを受信した場合、ＡＣＫを出力して受信完了を送信元のＥＣＵ３０に対して通知する。また通知処理部２４は、記憶部１３の監視ＩＤ１３ｂに記憶されたＩＤ以外のＩＤが付されたメッセージを受信した場合にも同様に、ＡＣＫを出力して受信完了を通知する。
　本実施の形態に係る車載通信システムに含まれる各ＥＣＵ３０（ただし正規のＥＣＵ３０）は、処理部３１、通信部３２及び記憶部３３等を備えて構成されている。処理部３１は、ＣＰＵ又はＭＰＵ等の演算処理装置を用いて構成され、車両１の制御に係る種々の処理を行う。通信部３２は、他のＥＣＵ３０との間で通信線２を介したメッセージの送受信を行うためのものであり、いわゆるＣＡＮコントローラを用いて構成され得る。通信部３２は、通信線２の電位をサンプリングすることによってメッセージを受信し処理部３１へ与えると共に、処理部３１から与えられた送信用のメッセージを電気信号に変換して通信線２へ出力することによってメッセージを送信することができる。
　これによりＥＣＵ３０は、他のＥＣＵ３０が送信したメッセージを通信部３２にて受信し、受信したメッセージに基づく処理を処理部３１にて行うことができる。またＥＣＵ３０は、処理部３１の処理により生成した情報をメッセージとして通信部３２から他のＥＣＵ３０へ送信することができる。例えば、ＥＣＵ３０が車両１のヘッドライトを制御するＥＣＵである場合、他のＥＣＵ３０がセンサによって検知した明るさの情報をメッセージとして受信し、受信したメッセージに含まれる明るさの情報に応じてヘッドライトの点灯／消灯を切り替える制御処理を処理部３１が行うことができる。なおＥＣＵ３０が受信メッセージに基づいて行う処理はこれに限定されるものではなく、どのような処理であってもよい。
　記憶部３３は、例えばＥＥＰＲＯＭ又はフラッシュメモリ等のデータ書き換えが可能な不揮発性のメモリ素子を用いて構成されている。処理部３１は、記憶部３３に記憶された種々のデータを読み出して処理に使用することができると共に、必要なデータを記憶部３３に書き込むことができる。なお本実施の形態に係るＥＣＵ３０の記憶部３３には、車載通信システム中で送受信されるメッセージに付され得るＩＤの一覧情報がＩＤテーブル３３ａとして記憶されていると共に、ＥＣＵ３０が送受信処理の対象とするメッセージのＩＤが処理ＩＤ３３ｂとして記憶される。
　なお、監視装置１０のＩＤテーブル１３ａとＥＣＵ３０のＩＤテーブル３３ａとは、同じ内容であってよい。ただし、監視装置１０のＩＤテーブル１３ａには車載通信システムにて送受信され得る全てのメッセージ種別についてのＩＤが記憶されている必要があるが、ＥＣＵ３０のＩＤテーブル３３ａには自身の処理に関係するメッセージ種別についてのＩＤのみを記憶してもよい。同様に、監視装置１０の監視ＩＤ１３ｂとＥＣＵ３０の処理ＩＤ３３ｂとは、同じ内容であってよい。ただし、監視装置１０の監視ＩＤ１３ｂには車載通信システムにて送受信され得る全てのメッセージ種別について監視対象とするＩＤを記憶しておく必要があるが、ＥＣＵ３０の処理ＩＤ３３ｂには自身の処理に関係するメッセージ種別について送受信処理の対象とするＩＤのみを記憶してもよい。
　本実施の形態に係るＥＣＵ３０の処理部３１には、記憶部３３又は図示しないＲＯＭ等に記憶された通信処理のためのプログラムを実行することにより、変更処理部４１及び禁止処理部４２等がソフトウェア的な機能ブロックとして実現される。変更処理部４１は、監視装置１０の破棄処理部２２が行う処理によりメッセージが破棄された場合に、処理対象とするメッセージのＩＤを変更する処理を行う。ＥＣＵ３０の変更処理部４１が行う処理は、監視装置１０の変更処理部２３が行う処理と略同じである。ＥＣＵ３０の変更処理部４１は、破棄されたメッセージについて、記憶部３３のＩＤテーブル３３ａから新たなＩＤを１つ選択する。変更処理部４１は、選択した新たなＩＤを記憶部３３の処理ＩＤ３３ｂに記憶すると共に、変更前のＩＤを処理ＩＤ３３ｂから削除する。
　禁止処理部４２は、記憶部３３の処理ＩＤ３３ｂに記憶されたＩＤ以外のＩＤが付されたメッセージを用いた処理を禁止する。これにより処理部３１は、処理ＩＤ３３ｂに記憶されたＩＤが付されたメッセージを用いた処理を行うが、これ以外のＩＤが付されたメッセージを受信しても、このメッセージに基づく処理を行わない。これにより、監視装置１０が不正と判定して破棄処理が行われたメッセージと同じＩＤのメッセージに基づく処理が各ＥＣＵ３０にて行われることを防止できる。
　図２は、監視装置１０の記憶部１３に記憶されるＩＤテーブル１３ａの一例を示す模式図である。本例では、車載通信システムにて送受信されるメッセージがメッセージＡ～Ｄの４種類としている。ＩＤテーブル１３ａには、各メッセージＡ～Ｄに対して、それぞれ８つのＩＤが記憶されている。例えばメッセージＡに対しては、１６進数で１００ｈ～１０７ｈの８つのＩＤが記憶されている。
　また図示は省略するが、ＥＣＵ３０の記憶部１３に記憶されるＩＤテーブル３３ａも同様の構成であり、且つ、監視装置１０のＩＤテーブル１３ａと同じ内容である。ただしＥＣＵ３０のＩＤテーブル３３ａは、自身の処理に必要なメッセージについてのみＩＤを記憶しておく構成としてよい。例えばＥＣＵ３０がメッセージＡを送信し、メッセージＢを受信して処理を行う構成である場合、このＥＣＵ３０のＩＤテーブル３３ａはメッセージＡ及びＢについてのＩＤを記憶しておき、メッセージＣ及びＤのＩＤを記憶しておく必要はない。
　監視装置１０の変更処理部２３は、ＩＤテーブル１３ａに記憶された複数のＩＤから１つを選択し、選択したＩＤを新たなＩＤとして変更処理を行う。変更処理部２３は、例えばＩＤテーブル１３ａに記憶された複数のＩＤを、記憶された順に１つ選択する構成としてよい。即ち変更処理部２３は、ＩＤとして１００ｈ～１０７ｈの８つのＩＤが記憶されている場合、１００ｈ→１０１ｈ→１０２ｈ→…→１０６ｈ→１０７ｈ→１０１ｈの順でＩＤを選択する構成としてよい。この構成の場合、最後のＩＤ１０７ｈの次には、最初のＩＤ１０１ｈを選択するというように、巡回的に選択を行えばよい。監視装置１０の変更処理部２３と、ＥＣＵ３０の変更処理部４１とは、同じ選択規則でＩＤの選択を行う必要がある。なお本例のＩＤの選択規則は一例であって、これに限るものではない。
　図３は、監視装置１０によるメッセージのＩＤの変更処理を説明するための模式図であり、監視装置１０の記憶部３３に記憶された監視ＩＤ１３ｂの内容の変化を図示してある。本例では、メッセージＡ～ＤのＩＤの初期値として、図２のＩＤテーブル１３ａの最上段に示した値（１００ｈ、２００ｈ、２０Ｆｈ、３０５ｈ）が監視ＩＤ１３ｂに設定されている（図３の状態（１）参照）。
　ここで、ＩＤに１００ｈが設定された不正なメッセージを不正なＥＣＵが送信したとする。監視装置１０の監視ＩＤ１３ｂにはメッセージＡのＩＤとして１００ｈが設定されているため、このメッセージが正規のメッセージであるか否かの判定が判定処理部２１にて行われる。判定処理部２１がこのメッセージを不正メッセージであると判定し、破棄処理部２２が不正メッセージに対する破棄処理を行った場合、変更処理部２３はＩＤの変更処理を行う。変更処理部２３は、記憶部１３のＩＤテーブル１３ａを参照して、不正メッセージのＩＤ（１００ｈ）の次に登録されているＩＤ（１０１ｈ）を取得する。変更処理部２３は、監視ＩＤ１３ｂに登録されたメッセージＡのＩＤ（１００ｈ）を削除し、ＩＤテーブル１３ａから取得した新たなＩＤ（１０１ｈ）を登録する（図３の状態（２）参照）。
　なお図示は省略するが、車載通信システムに含まれる各ＥＣＵ３０（少なくとも、メッセージＡを送信又は受信する必要があるＥＣＵ３０）でも同様の処理が行われる。ＥＣＵ３０の変更処理部４１は、通信線２に送信されたメッセージに対して監視装置１０の破棄処理によるエラーフレームの出力がなされた場合、このメッセージが不正メッセージであると判断し、ＩＤの変更処理を行う。変更処理部４１は、記憶部３３に記憶されたＩＤテーブル３３ａを参照し、不正メッセージのＩＤ（１００ｈ）の次に登録されているＩＤ（１０１ｈ）を取得し、処理ＩＤ３３ｂに登録されているＩＤ（１００ｈ）を削除して新たなＩＤ（１０１ｈ）を登録する。
　これにより、不正なＥＣＵがＩＤに１００ｈが設定された不正メッセージの再送信を行った場合、ＥＣＵ３０の処理ＩＤ３３ｂには１００ｈが登録されていないこととなり、禁止処理部４２によりこのメッセージに基づく処理が禁止される。このためＥＣＵ３０の処理部４１は、不正メッセージを受信しても、この不正メッセージに基づく処理を行わない。また監視装置１０の監視ＩＤ１３ｂにも１００ｈが登録されていないため、ＩＤが１００ｈの不正メッセージは判定処理部２１の判定が行われることなく、通知処理部２３によるＡＣＫ信号の出力が行われる。このＡＣＫ信号によって不正メッセージを送信した不正なＥＣＵは、不正メッセージがＥＣＵ３０にて受信されたと判断するため、不正メッセージの再送信が行われなくなる。
　次いで、ＩＤに２００ｈが設定された不正メッセージを不正なＥＣＵが送信したとする。監視装置１０の監視ＩＤ１３ｂにはメッセージＢのＩＤとして２００ｈが設定されているため、このメッセージが正規のメッセージであるか否かの判定が判定処理部２１にて行われる。判定処理部２１がこのメッセージを不正メッセージであると判定し、破棄処理部２２が不正メッセージに対する破棄処理を行った場合、変更処理部２３はＩＤの変更処理を行う。変更処理部２３は、記憶部１３のＩＤテーブル１３ａを参照して、不正メッセージのＩＤ（２００ｈ）の次に登録されているＩＤ（２０２ｈ）を取得する。変更処理部２３は、監視ＩＤ１３ｂに登録されたメッセージＢのＩＤ（２００ｈ）を削除し、ＩＤテーブル１３ａから取得した新たなＩＤ（２０２ｈ）を登録する（図３の状態（３）参照）。説明は省略するが、各ＥＣＵ３０についても同様の処理が行われる。
　次いで、ＩＤに１０１ｈが設定された不正メッセージを不正なＥＣＵが送信したとする。監視装置１０の監視ＩＤ１３ｂにはメッセージＡのＩＤとして１０１ｈが設定されているため、このメッセージが正規のメッセージであるか否かの判定が判定処理部２１にて行われる。判定処理部２１がこのメッセージを不正メッセージであると判定し、破棄処理部２２が不正メッセージに対する破棄処理を行った場合、変更処理部２３はＩＤの変更処理を行う。変更処理部２３は、記憶部１３のＩＤテーブル１３ａを参照して、不正メッセージのＩＤ（１０１ｈ）の次に登録されているＩＤ（１０２ｈ）を取得する。変更処理部２３は、監視ＩＤ１３ｂに登録されたメッセージＡのＩＤ（１０１ｈ）を削除し、ＩＤテーブル１３ａから取得した新たなＩＤ（１０２ｈ）を登録する（図３の状態（４）参照）。説明は省略するが、各ＥＣＵ３０についても同様の処理が行われる。
　次いで、ＩＤに２０Ｆｈが設定された不正メッセージを不正なＥＣＵが送信したとする。監視装置１０の監視ＩＤ１３ｂにはメッセージＣのＩＤとして２０Ｆｈが設定されているため、このメッセージが正規のメッセージであるか否かの判定が判定処理部２１にて行われる。判定処理部２１がこのメッセージを不正メッセージであると判定し、破棄処理部２２が不正メッセージに対する破棄処理を行った場合、変更処理部２３はＩＤの変更処理を行う。変更処理部２３は、記憶部１３のＩＤテーブル１３ａを参照して、不正メッセージのＩＤ（２０Ｆｈ）の次に登録されているＩＤ（２０Ｄｈ）を取得する。変更処理部２３は、監視ＩＤ１３ｂに登録されたメッセージＣのＩＤ（２０Ｆｈ）を削除し、ＩＤテーブル１３ａから取得した新たなＩＤ（２０Ｄｈ）を登録する（図３の状態（５）参照）。説明は省略するが、各ＥＣＵ３０についても同様の処理が行われる。
　図４は、本実施の形態に係る監視装置１０が行う監視処理の手順を示すフローチャートである。本実施の形態に係る監視装置１０の処理部１１は、通信線２に対するＥＣＵ３０のメッセージ送信が行われたか否かを判定する（ステップＳ１）。メッセージ送信が行われていない場合（Ｓ１：ＮＯ）、処理部１１は、ＥＣＵ３０によるメッセージ送信が行われるまで待機する。ＥＣＵ３０によるメッセージ送信が行われた場合（Ｓ１：ＹＥＳ）、処理部１１は、通信線２に対してメッセージのＩＤが出力された段階で、メッセージのＩＤを取得する（ステップＳ２）。処理部１１は、記憶部１３の監視ＩＤ１３ｂを参照して、ステップＳ２にて取得したＩＤが監視ＩＤ１３ｂに登録されたものであるか否かを判定する（ステップＳ３）。取得したＩＤが監視ＩＤ１３ｂに登録されていない場合（Ｓ３：ＮＯ）、処理部１１の通知処理部２４は、通信線２へＡＣＫを出力し（ステップＳ９）、処理を終了する。
　取得したＩＤが監視ＩＤ１３ｂに登録されている場合（Ｓ３：ＹＥＳ）、処理部１１の判定処理部２１は、通信線２に対してメッセージに含まれる認証情報（ＭＡＣ）が出力された段階でこの認証情報を取得し、取得した認証情報の正否判定を行い（ステップＳ４）、通信線２に送信中のメッセージが正規のメッセージであるか否かを判定する（ステップＳ５）。なお本フローチャートでは、メッセージに認証情報が付されており、この認証情報に基づいてメッセージの正否判定を行う構成としてあるが、これは一例であって、メッセージの正否判定は認証情報を用いる以外の方法で行ってもよい。メッセージが正規のメッセージであると判定処理部２１が判定した場合（Ｓ５：ＹＥＳ）、処理部１１の通知処理部２４は、通信線２へＡＣＫを出力し（ステップＳ９）、処理を終了する。
　通信線２に送信中のメッセージが正規のメッセージではないと判定処理部２１が判定した場合（Ｓ５：ＮＯ）、処理部１１の破棄処理部２２は、このメッセージの送信が完了する前に、通信線２に対してエラーフレームを出力し（ステップＳ６）、このメッセージをＥＣＵ３０に破棄させる。次いで処理部１１の変更処理部２３は、記憶部１３のＩＤテーブル１３ａを参照して（ステップＳ７）、ステップＳ２にて取得したＩＤに対応する新たなＩＤを取得する。変更処理部２３は、ステップＳ２にて取得したＩＤを監視ＩＤ１３ｂから削除すると共に、ＩＤテーブル１３ａから取得した新たなＩＤを監視ＩＤ１３ｂに登録することによって、監視対象とするＩＤを変更し（ステップＳ８）、処理を終了する。
　図５は、本実施の形態に係る各ＥＣＵ３０が行う受信処理の手順を示すフローチャートである。本実施の形態に係るＥＣＵ３０の処理部３１は、通信線２に対する他のＥＣＵ３０のメッセージ送信が行われたか否かを判定する（ステップＳ２１）。メッセージ送信が行われていない場合（Ｓ２１：ＮＯ）、処理部３１は、他のＥＣＵ３０によるメッセージ送信が行われるまで待機する。他のＥＣＵ３０によるメッセージ送信が行われた場合（Ｓ２１：ＹＥＳ）、処理部３１は、通信線２に対してメッセージのＩＤが出力された段階で、メッセージのＩＤを取得する（ステップＳ２２）。処理部３１は、記憶部３３の処理ＩＤ３３ｂを参照して、ステップＳ２２にて取得したＩＤが処理ＩＤ３３ｂに登録されたものであるか否かを判定する（ステップＳ２３）。
　取得したＩＤが処理ＩＤ３３ｂに登録されていない場合（Ｓ２３：ＮＯ）、処理部３１の禁止処理部４２は、受信メッセージに基づく処理を禁止する（ステップＳ２４）。また処理部３１は、通信線２へＡＣＫを出力し（ステップＳ２５）、処理を終了する。
　取得したＩＤが処理ＩＤ３３ｂに登録されている場合（Ｓ２３：ＹＥＳ）、処理部３１は、このメッセージの送信完了前にエラーフレームを受信したか否かを判定する（ステップＳ２６）。エラーフレームを受信していない場合（Ｓ２６：ＮＯ）、処理部３１は、通信線２に出力されているメッセージの受信を行う（ステップＳ２７）。処理部３１は、通信線２へＡＣＫを出力し（ステップＳ２８）、このメッセージの受信完了を通知する。その後、処理部３１は、受信したメッセージに基づく処理を行って（ステップＳ２９）、処理を終了する。
　通信線２上のメッセージの送信完了前にエラーフレームを受信した場合（Ｓ２６：ＹＥＳ）、処理部３１は、このメッセージの受信処理を中断し、このメッセージを破棄する（ステップＳ３０）。また処理部３１の変更処理部４１は、記憶部３３のＩＤテーブル３３ａを参照して（ステップＳ３１）、ステップＳ２２にて取得したＩＤに対応する新たなＩＤを取得する。変更処理部４１は、ステップＳ２２にて取得したＩＤを処理ＩＤ３３ｂから削除すると共に、ＩＤテーブル３３ａから取得した新たなＩＤを処理ＩＤ３３ｂに登録することによって、処理対象とするＩＤを変更し（ステップＳ３２）、処理を終了する。
　以上の構成の実施の形態１に係る車載通信システムは、共通の通信線２に複数のＥＣＵ３０が接続された構成の車載通信システム中に、通信線２上に送信されたメッセージの監視を行う監視装置１０を設けた構成である。監視装置１０は、記憶部１３の監視ＩＤ１３ｂに監視対象とするメッセージのＩＤを記憶しておき、通信線２上に送信されたメッセージが正規のメッセージであるか否かを判定処理部２１が判定し、正規のメッセージでないと判定したメッセージを送信完了前に破棄させる処理を破棄処理部２２が行う。これにより不正なＥＣＵが送信した不正メッセージがＥＣＵ３０にて破棄され、不正メッセージに基づく処理が各ＥＣＵ３０にて行われることが防止される。
　監視装置１０は、破棄処理部２２にて不正なメッセージを破棄させる処理を行った場合、監視対象とするメッセージのＩＤを変更する処理を変更処理部２３にて行う。同様に、各ＥＣＵ３０は、監視装置１０による破棄処理が行われた場合に、自身が送受信するメッセージに付すＩＤを変更する処理を変更処理部４１にて行う。ただし監視装置１０によるＩＤの変更処理と、各ＥＣＵ３０によるＩＤの変更とは同じ方法で行い、監視装置１０及びＥＣＵ３０が処理対象とするＩＤを共有する。また各ＥＣＵ３０は、変更前のＩＤが付されたメッセージに基づく処理を禁止する。
　これにより、不正メッセージが破棄されたことによる不正なＥＣＵによる不正メッセージの再送信が行われた場合、既にこの不正メッセージは監視装置１０の監視対象外となっており、且つ、各ＥＣＵ３０の処理対象外となっている。このため監視装置１０及びＥＣＵ３０は、不正メッセージに対してＡＣＫなどの応答を行うことができ、不正なＥＣＵによる不正メッセージの再送信を停止させることが可能となる。
　また本実施の形態に係る監視装置１０は、変更前のＩＤが付されたメッセージ（即ち、一度不正と判定されたメッセージ）が通信線２上に送信された場合、破棄処理部２２による破棄は行わずに、ＡＣＫ信号を出力して受信完了を通知する。これにより不正なＥＣＵは、不正メッセージが他のＥＣＵ３０にて受信されたと判断するため、不正なＥＣＵによる不正メッセージの再送信を防止できる。
　また本実施の形態に係る車載通信システムでは、メッセージに対して割り当て可能な複数のＩＤを記憶したＩＤテーブル１３ａ，３３ａを監視装置１０及びＥＣＵ３０がそれぞれ有する。このＩＤテーブル１３ａ，３３ａは、監視装置１０及び複数のＥＣＵ３０で同じ内容のものを記憶しておく。処理対象のＩＤを変更する場合には、ＩＤテーブル１３ａ，３３ａから所定の規則で一のＩＤを選択し、選択したＩＤを新たなＩＤとする。これにより、ＩＤテーブル１３ａ，３３ａを有していない不正なＥＣＵはＩＤを変更することができないため、不正なＥＣＵによる不正なメッセージ送信を無効化することができる。なお、ＩＤを選択する所定の規則には、例えばＩＤテーブル１３ａ，３３ａに記憶された複数のＩＤから、記憶されている順で巡回的に１つを選択するという方法を採用し得る。
　なお本実施の形態において監視装置１０は、判定処理部２１、破棄処理部２２、変更処理部２３及び通知処理部２４の各処理を処理部１１が行う構成としたが、これに限るものではなく、例えば通信部１２が行う構成としてもよい。この場合には、記憶部１３は通信部１２が直接的にアクセス可能な構成とするか、又は、通信部１２内に設けてもよい。同様にＥＣＵ３０は、変更処理部４１及び禁止処理部４２の処理を処理部３１が行う構成としたが、これに限るものではなく、例えば通信部３２が行う構成としてもよい。
　また本実施の形態においては、車両１の車載通信システムに含まれる各ＥＣＵ３０がＣＡＮプロトコルに従った通信を行う構成としたが、これに限るものではない。各ＥＣＵ３０が、ＣＡＮ以外のプロトコル、例えばＴＣＰ／ＩＰ又はＦｌｅｘＲａｙ等のプロトコルに従った通信を行う構成としてもよい。また車両１に搭載される通信システムを例に説明を行ったが、これに限るものではなく、航空機若しくは船舶等の移動体に搭載される通信システム、又は、工場若しくはオフィス等に設置される通信システム等のように、車載以外の通信システムに対して本技術を適用してもよい。
　（変形例１）
　上述の実施の形態１においては、ＩＤテーブル１３ａ，３３ａから１つのＩＤを選択して監視ＩＤ１３ｂ及び処理ＩＤ３３ｂを変更する構成としたが、これに限るものではない。監視装置１０の変更処理部２３は、判定処理部２１が不正と判定したメッセージに付されているＩＤを取得し、このＩＤに所定値を加算又は減算することで新たなＩＤを生成し、監視ＩＤ１３ｂに登録する構成としてもよい。例えばＩＤ１００ｈのメッセージが不正であると判定された場合に、１００ｈに所定値として１を加算し、新たなＩＤ１０１ｈを生成する構成とすることができる。なお、加算又は減算する所定値は、メッセージの種別毎に異なる値としてよく、この場合にはメッセージの種別に対応付けて加算又は減算する所定値を記憶部１３に記憶しておく。
　各ＥＣＵ３０の変更処理部４１も同様に、監視装置１０により破棄処理がなされたメッセージに付されているＩＤを取得し、このＩＤに所定値を加算又は減算することで新たなＩＤを生成し、処理ＩＤ３３ｂに登録する構成としてよい。ただしＩＤに対して加算又は減算する所定値は、監視装置１０及びＥＣＵ３０で共通の値とする必要がある。
　（変形例２）
　また、上述の実施の形態においては、メッセージの監視処理のみを行う監視装置１０を車載通信システム中に設ける構成としたが、これに限るものではない。例えば車載通信システム中に含まれる複数のＥＣＵ３０のうち、一又は複数のＥＣＵ３０に監視装置１０と同様のメッセージ監視処理を行う機能を追加する構成としてもよい。図６は、変形例２に係る車載通信システムの構成を示すブロック図である。変形例２に係る車載通信システムでは、車両１の制御処理などを行う複数のＥＣＵ３０のうちの一つのＥＣＵ５０に、実施の形態１に示した監視装置１０と同様のメッセージ監視機能を追加した構成である。このため変形例２に係るＥＣＵ５０は、実施の形態１に係る監視装置１０と同様の判定処理部２１、破棄処理部２２、変更処理部２３及び通知処理部２４が処理部５１に設けられると共に、ＥＣＵ３０と同様の禁止処理部４２が処理部５１に設けられている。
　変形例２に係るＥＣＵ５０は、記憶部３３の処理ＩＤ３３ｂに、不正メッセージの監視対象とするＩＤ、且つ、自身の処理に関係するメッセージのＩＤを記憶している。ＥＣＵ５０は、通信線２上に送信されたメッセージのＩＤが処理ＩＤ３３ｂに登録されたものである場合、判定処理部２１による判定、破棄処理部２２による破棄、及び、変更処理部２３によるＩＤの変更等の処理を行う。またメッセージのＩＤが処理ＩＤ３３ｂに登録されたものでない場合、ＥＣＵ５０は、通知処理部２４によるＡＣＫの出力、及び、禁止処理部４２による受信メッセージに基づく処理の禁止等の処理を行う。
　このように、車載通信システムに含まれる一又は複数のＥＣＵ５０に監視装置１０の機能を設けることによって、メッセージ監視のために専用の監視装置１０を設ける必要がなくなるため、車載通信システムの大規模化を抑制し、コストの増大を抑制することができる。なお、車載通信システムに含まれる複数のＥＣＵを、全て変形例２に係るＥＣＵ５０と同様の構成としてもよい。
　（変形例３）
　図７は、変形例３に係る車載通信システムの構成を示すブロック図である。変形例３に係る車載通信システムは、それぞれに複数のＥＣＵ３０が接続された通信線２及び通信線３がゲートウェイ１１０に接続され、ゲートウェイ１１０が通信線２，３間のメッセージを中継する構成である。この構成の場合、ゲートウェイ１１０に上述の実施の形態１に係る監視装置１０と同様の監視機能を設けることができる。
　変形例３に係るゲートウェイ１１０は、処理部１１、通信部１２ａ，１２ｂ及び記憶部１３を備えて構成されている。２つの通信部１２ａ，１２ｂは、それぞれ通信線２，３が接続され、接続された通信線２，３を介してＥＣＵ３０との間でメッセージの送受信を行う。処理部１１は、通信部１２ａ，１２ｂの一方にて受信したメッセージを他方から送信することにより、通信線２，３間でメッセージを中継する処理を行う。更に処理部２１１は、ＲＯＭなどに記憶された所定意のプログラムを実行することにより、判定処理部２１、破棄処理部２２、変更処理部２３及び通知処理部２４等がソフトウェア的な機能ブロックとして実現される。これらの機能ブロックが行う処理は、上述の実施の形態１に係る監視装置１０のものと略同じであるが、２つの通信線２，３に対して個別にメッセージの監視処理を行う。
　このように変形例３に係る車載通信システムでは、複数の通信線２，３が接続されるゲートウェイ１１０にメッセージ監視機能を設ける。これによりゲートウェイ１１０にてメッセージ監視を集中的に行うことができ、各通信線２，３にそれぞれ監視装置１０を設ける構成と比較して、車載通信システムを小規模化及び低コスト化することができる。
＜実施の形態２＞
　図８は、実施の形態２に係る車載通信システムの構成を示すブロックである。実施の形態２に係る車載通信システムは、実施の形態１に係る車載通信システムと同様に、共通の通信線２に対して複数のＥＣＵ２３０が接続されると共に、通信線２上のメッセージを監視する監視装置２１０が接続された構成である。実施の形態２に係る監視装置２１０は、ＩＤテーブル１３ａに代えて、記憶部１３に暗号鍵２１３ａを記憶しており、変更処理部２２３が暗号鍵２１３ａを用いてＩＤの変更処理を行う。同様に、実施の形態２に係るＥＣＵ２３０は、ＩＤテーブル３３ａに代えて、記憶部３３に暗号鍵２３３ａを記憶しており、変更処理部２４１が暗号鍵２１３ａを用いてＩＤの変更処理を行う。なお、監視装置２１０が記憶する暗号鍵２１３ａと、各ＥＣＵ２３０が記憶する暗号鍵２３３ａとは同じであり、例えば車両１の製造段階などにおいて適切な値が各装置に書き込まれる。
　図９は、実施の形態２に係る監視装置２１０によるメッセージのＩＤの変更処理を説明するための模式図である。本実施の形態に係る車載通信システムにて送受信されるメッセージは、ＣＡＮ又はＣＡＮ－ＦＤ等のプロトコルに基づくものであり、アービトレーションフィールド、コントロールフィールド、データフィールド及びＣＲＣ（Cyclic Redundancy Check）フィールド等を含んで構成されている（図９上段のメッセージ構成を参照）。アービトレーションフィールドにメッセージのＩＤが格納される。実施の形態２においてアービトレーションフィールドに格納されるＩＤは全体で２９ビットであり、１１ビットのベースＩＤと、１８ビットの拡張ＩＤとに分けられている。またデータフィールドには６４ビットのデータが格納される。監視装置２１０の判定処理部２１がＭＡＣに基づく判定を行う場合に、メッセージの例えばデータフィールドの一部にＭＡＣを含めてよい。
　ここで図９のメッセージ例に示すように、ベースＩＤが０１２ｈ（000 0001 0010）であり、拡張ＩＤが３４５６７ｈ（11 0100 0101 0110 0111）であるとする。またデータフィールドには８９ａｂｃｄｅｆ０１２３４５６７ｈのデータが格納されているとする。監視装置２１０の監視ＩＤ１３ｂ及びＥＣＵ２３０の処理ＩＤ３３ｂには、例示したベースＩＤ及び拡張ＩＤを結合した２９ビットのＩＤが登録されている。
　不正なＥＣＵがこのＩＤを用いて不正メッセージを送信した場合、監視装置２１０の判定処理部２１がこのメッセージを不正であると判定し、破棄処理部２２がエラーフレームを出力することにより各ＥＣＵ３０にてこのメッセージが破棄される。破棄処理部２２によるメッセージの破棄処理を行った場合、監視装置２１０の変更処理部２２３は、破棄したメッセージのデータフィールドに含まれる６４ビットのデータと、記憶部１３に記憶している暗号鍵２１３ａとを用いて新たなＩＤを生成する。なお破棄処理部２２は、メッセージのデータフィールドまでの送信が完了した後、且つ、メッセージの送信完了前までにエラーフレームの出力を行う。
　変更処理部２２３は、例えばデータフィールドの６４ビットのデータに対して、暗号鍵２１３ａを用いた暗号化処理を行う。なお暗号化処理は、例えば共有鍵暗号方式として知られるＤＥＳ（Data Encryption Standard）又はＡＥＳ（Advanced Encryption Standard）等のアルゴリズムを採用することができる。ただし変更処理部２２３が行う暗号化処理はＤＥＳ又はＡＥＳ以外のどのようなアルゴリズムを採用してもよい。本例では、データフィールドの６４ビットのデータ（８９ａｂｃｄｅｆ０１２３４５６７ｈ）に対して暗号化処理を行った結果、６４ビットのデータ（７６５４３２１０ｆｅｄｃｂａ９８ｈ）が得られたものとする。
　変更処理部２２３は、暗号化処理により得られた６４ビットのデータから、下位１８ビットのデータ（０ｂａ９８ｈ）を抽出する。変更処理部２２３は、破棄したメッセージのＩＤに含まれる拡張ＩＤを、暗号化処理により得られたデータから抽出した１８ビットのデータに置き換えたものを新たなＩＤとする（図９下段のＩＤ変更後のメッセージ例を参照）。変更処理部２２３は、記憶部１３の監視ＩＤ１３ｂから破棄したメッセージのＩＤを削除すると共に、上記の処理により生成した新たなＩＤを監視ＩＤ１３ｂに登録することにより、監視対象のＩＤの変更を行う。
　同様に、各ＥＣＵ２３０の変更処理部２４１は、監視装置２１０の破棄処理により破棄したメッセージのデータフィールドに含まれる６４ビットのデータと、記憶部３３に記憶された暗号鍵２３３ａとを用いて新たなＩＤを生成する。変更処理部２４１は、記憶部３３の処理ＩＤ３３ｂから破棄したメッセージのＩＤを削除すると共に、生成した新たなＩＤを処理ＩＤ３３ｂに登録することにより、処理対象のＩＤの変更を行う。
　ＥＣＵ２３０の変更処理部２４１による新たなＩＤの生成方法は、監視装置２１０の変更処理部２２３による新たなＩＤの生成方法と同じであるため、説明は省略する。またＥＣＵ２３０が記憶している暗号鍵２３３ａと、監視装置２１０が記憶している暗号鍵２１３ａとは同じものである。よって、破棄したメッセージのデータフィールドに基づいて生成される新たなＩＤは、ＥＣＵ２３０にて生成されるものと、監視装置２１０にて生成されるものとで同じ値となる。
　以上の構成の実施の形態２に係る車載通信システムは、監視装置２１０の破棄処理により破棄されたメッセージの一部（データフィールド）を元に、所定の規則による処理（暗号化処理）を行うことで新たなＩＤを生成する。監視装置２１０及び各ＥＣＵ２３０は、同じ暗号化処理の規則を予め記憶しておく。これにより、所定の暗号化処理の規則を記憶していない不正なＥＣＵはＩＤを変更することができないため、不正なＥＣＵによる不正メッセージの送信を無効化することができる。
　また実施の形態２に係る車載通信システムは、監視装置２１０及び各ＥＣＵ２３０が共通の暗号鍵２１３ａ，２３３ａを記憶しておき、新たなＩＤの生成のこの暗号鍵２１３ａ，２３３ａを用いる。これにより暗号鍵２１３ａ，２３３ａを記憶していない不正なＥＣＵはＩＤを変更することができないため、不正なＥＣＵによる不正メッセージの送信を無効化することができる。
　また実施の形態２に係る車載通信システムは、監視装置２１０及び各ＥＣＵ２３０がＩＤを変更する場合、メッセージに付されるＩＤのうちの基本ＩＤは固定し、拡張ＩＤを変更する。例えば複数のＩＤが使用される車載通信システムにおいて、メッセージのＩＤを全て変更する構成とした場合、種別が異なる複数のメッセージのＩＤが偶然に一致する虞があるため、ＩＤの変更処理において重複の有無を確認する必要がある。基本ＩＤを固定して拡張ＩＤのみを変更する構成とすることにより、このような重複が発生することがなくなるため、ＩＤの変更を容易化することができる。
　なお実施の形態２において監視装置２１０及び各ＥＣＵ２３０は、破棄したメッセージのデータフィールドを元に暗号化処理を行う構成としたが、これに限るものではない。監視装置２１０及び各ＥＣＵ２３０は、例えば破棄したメッセージのＣＲＣフィールドを元に暗号化処理を行ってもよく、また例えばデータフィールドの上位３２ビットなどの一部分を元に暗号化処理を行ってもよく、また例えばメッセージ全体を元に暗号化処理を行ってもよく、これら以外の部分を元に暗号化処理を行ってもよい。また監視装置２１０及び各ＥＣＵ２３０は、暗号鍵２１３ａ，２３３ａとして１つの値を用いるのではなく、例えばメッセージの種別毎に異なる値を用いてもよい。
　また監視装置２１０及び各ＥＣＵ２３０は、暗号鍵２１３ａ，２３３ａを用いた暗号化処理により新たなＩＤを生成する構成としたが、これに限るものではない。監視装置２１０及び各ＥＣＵ２３０は、破棄したメッセージの一部又は全部を元に、所定の規則で新たなＩＤを生成する構成であればよい。例えば監視装置２１０及び各ＥＣＵ２３０は、破棄したメッセージのデータフィールドに対して、予め記憶したハッシュ関数を用いたハッシュ値の算出を行い、算出したハッシュ値を新たなＩＤ又は新たなＩＤの一部としてもよい。
　また、実施の形態２に係る車載通信システムのその他の構成は、実施の形態１に係る車載通信システムと同様であるため、同様の箇所には同じ符号を付し、詳細な説明を省略する。
　１　車両
　２，３　通信線
　１０　監視装置
　１１　処理部
　１２，１２ａ，１２ｂ　通信部
　１３　記憶部
　１３ａ　ＩＤテーブル
　１３ｂ　監視ＩＤ
　２１　判定処理部
　２２　破棄処理部
　２３　変更処理部
　２４　通知処理部
　３０　ＥＣＵ
　３１　処理部
　３２　通信部
　３３　記憶部
　３３ａ　ＩＤテーブル
　３３ｂ　処理ＩＤ
　４１　変更処理部
　４２　禁止処理部
　５０　ＥＣＵ
　５１　処理部
　１１０　ゲートウェイ
　２１０　監視装置
　２１３ａ　暗号鍵
　２２３　変更処理部
　２３０　ＥＣＵ
　２３３ａ　暗号鍵
　２４１　変更処理部

Claims (17)

  1. 　複数の通信装置が共通の通信線に接続され、前記通信線を介して識別情報が付されたメッセージを前記複数の通信装置間で送受信する車載通信システムにおいて、
    　監視対象とするメッセージの識別情報を記憶する記憶部と、前記通信線上に送信されたメッセージが正規のメッセージであるか否かを判定する判定部と、前記判定部が正規のメッセージでないと判定したメッセージを、該メッセージの送信完了前に破棄させる処理を行う破棄部と、前記破棄部が破棄させる処理を行った場合に、前記記憶部に記憶する識別情報を変更する第１変更部とを有し、前記通信線上に送信されたメッセージの監視を行う監視装置を備え、
    　各通信装置は、
    　前記破棄部によるメッセージの破棄が行われた場合に、送受信するメッセージに付す識別情報を変更する第２変更部と、
    　前記第２変更部が識別情報を変更した後に、変更前の識別情報が付されたメッセージに基づく処理を禁止する禁止部と
    　を有し、
    　前記監視装置の第１変更部と前記通信装置の第２変更部とは、同じ方法で識別情報の変更を行うこと
    　を特徴とする車載通信システム。
  2. 　前記監視装置又は前記通信装置は、変更前の識別情報が付されたメッセージに対して受信完了を示す信号を前記通信線に出力する受信完了通知部を有すること
    　を特徴とする請求項１に記載の車載通信システム。
  3. 　前記監視装置及び前記通信装置は、メッセージに対して割り当て可能な複数の識別情報を記憶したテーブルを有し、
    　前記監視装置の第１変更部及び前記通信装置の第２変更部は、前記テーブルから所定の規則で一の識別情報を選択し、選択した識別情報を新たな識別情報として変更を行うこと
    　を特徴とする請求項１又は請求項２に記載の車載通信システム。
  4. 　前記識別情報は数値情報であり、
    　前記監視装置の第１変更部及び前記通信装置の第２変更部は、前記識別情報に所定値を加算又は減算した値を算出し、算出した識別情報を新たな識別情報として変更を行うこと
    　を特徴とする請求項１又は請求項２に記載の車載通信システム。
  5. 　前記監視装置の第１変更部及び前記通信装置の第２変更部は、前記破棄部の処理により破棄されたメッセージの一部又は全部を元に所定の規則で識別情報を生成し、生成した識別情報を新たな識別情報として変更を行うこと
    　を特徴とする請求項１又は請求項２に記載の車載通信システム。
  6. 　前記監視装置及び前記通信装置は、共通の暗号鍵を記憶する記憶部を有し、
    　前記監視装置の第１変更部及び前記通信装置の第２変更部は、前記記憶部に記憶された前記暗号鍵を用いて新たな識別情報を生成すること
    　を特徴とする請求項５に記載の車載通信システム。
  7. 　前記メッセージに付される識別情報には、基本部分と拡張部分とを含み、
    　前記監視装置の第１変更部及び前記通信装置の第２変更部は、前記拡張部分を変更すること
    　を特徴とする請求項１乃至請求項６のいずれか１つに記載の車載通信システム。
  8. 　前記複数の通信装置のうちのいずれか１つの通信装置が、前記監視装置としてメッセージの監視を行うこと
    　を特徴とする請求項１乃至請求項７のいずれか１つに記載の車載通信システム。
  9. 　前記監視装置は、複数の通信線に接続されて、通信線間のメッセージを中継するゲートウェイ装置であること
    　を特徴とする請求項１乃至請求項７のいずれか１つに記載の車載通信システム。
  10. 　識別情報が付されたメッセージを送受信する複数の通信装置が接続された共通の通信線に接続され、前記通信線上に送信されたメッセージの監視を行う監視装置であって、
    　監視対象とするメッセージの識別情報を記憶する記憶部と、
    　前記通信線上に送信されたメッセージが正規のメッセージであるか否かを判定する判定部と、
    　前記判定部が正規のメッセージでないと判定したメッセージを、該メッセージの送信完了前に破棄させる処理を行う破棄部と、
    　前記破棄部が破棄させる処理を行った場合に、前記記憶部に記憶する識別情報を変更する変更部と
    　を備え、
    　前記破棄部が行うメッセージの破棄により、前記変更部と同じ方法で、前記通信装置に対して送受信するメッセージに付す識別情報を変更させること
    　を特徴とする監視装置。
  11. 　変更前の識別情報が付されたメッセージに対して受信完了を示す信号を前記通信線に出力する受信完了通知部を備えること
    　を特徴とする請求項１０に記載の監視装置。
  12. 　メッセージに対して割り当て可能な複数の識別情報を記憶したテーブルを有し、
    　前記変更部は、前記テーブルから所定の規則で一の識別情報を選択し、選択した識別情報を新たな識別情報として変更を行うこと
    　を特徴とする請求項１０又は請求項１１に記載の監視装置。
  13. 　前記識別情報は数値情報であり、
    　前記変更部は、前記識別情報に所定値を加算又は減算した値を算出し、算出した識別情報を新たな識別情報として変更を行うこと
    　を特徴とする請求項１０又は請求項１１に記載の監視装置。
  14. 　前記変更部は、前記破棄部の処理により破棄されたメッセージの一部又は全部を元に所定の規則で識別情報を生成し、生成した識別情報を新たな識別情報として変更を行うこと
    　を特徴とする請求項１０又は請求項１１に記載の監視装置。
  15. 　暗号鍵を記憶する記憶部を有し、
    　前記変更部は、前記記憶部に記憶された前記暗号鍵を用いて新たな識別情報を生成すること
    　を特徴とする請求項１４に記載の監視装置。
  16. 　前記メッセージに付される識別情報には、基本部分と拡張部分とを含み、
    　前記変更部は、前記拡張部分を変更すること
    　を特徴とする請求項１０乃至請求項１５のいずれか１つに記載の監視装置。
  17. 　複数の通信線に接続されて、通信線間のメッセージを中継するゲートウェイ装置であること
    　を特徴とする請求項１０乃至請求項１６のいずれか１つに記載の監視装置。
PCT/JP2016/079902 2015-10-14 2016-10-07 車載通信システム及び監視装置 WO2017065100A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2015-202859 2015-10-14
JP2015202859A JP2017076861A (ja) 2015-10-14 2015-10-14 車載通信システム及び監視装置

Publications (1)

Publication Number Publication Date
WO2017065100A1 true WO2017065100A1 (ja) 2017-04-20

Family

ID=58517600

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/079902 WO2017065100A1 (ja) 2015-10-14 2016-10-07 車載通信システム及び監視装置

Country Status (2)

Country Link
JP (1) JP2017076861A (ja)
WO (1) WO2017065100A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013098719A (ja) * 2011-10-31 2013-05-20 Toyota Infotechnology Center Co Ltd 通信システムにおけるメッセージ認証方法および通信システム
WO2013171835A1 (ja) * 2012-05-15 2013-11-21 トヨタ自動車 株式会社 通信装置、通信システム及び通信方法
JP2014027517A (ja) * 2012-07-27 2014-02-06 Toyota Motor Corp 通信システム及び通信方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013098719A (ja) * 2011-10-31 2013-05-20 Toyota Infotechnology Center Co Ltd 通信システムにおけるメッセージ認証方法および通信システム
WO2013171835A1 (ja) * 2012-05-15 2013-11-21 トヨタ自動車 株式会社 通信装置、通信システム及び通信方法
JP2014027517A (ja) * 2012-07-27 2014-02-06 Toyota Motor Corp 通信システム及び通信方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
MASATO HATA: "How to Stop Unauthorized Transmission in Controller Area Network", CSS2011 COMPUTER SECURITY SYMPOSIUM 2011 RONBUNSHU HEISAI ANTI MALWARE ENGINEERING WORKSHOP 2011 IPSJ SYMPOSIUM SERIES, vol. 2011, no. 3, pages 624 - 627 *

Also Published As

Publication number Publication date
JP2017076861A (ja) 2017-04-20

Similar Documents

Publication Publication Date Title
CN104717201B (zh) 网络装置以及网络系统
US9866570B2 (en) On-vehicle communication system
JP6569087B2 (ja) 受信装置および受信方法
US20180367546A1 (en) Vehicle-mounted relay device, vehicle-mounted communication system and relay program
JP6488702B2 (ja) 通信制御装置、通信制御方法、および、通信制御プログラム
JP2017050643A (ja) 中継装置
US10554623B2 (en) On-board communication system
US10560286B2 (en) Gateway device and control method for the same
US20170149562A1 (en) Communication system and key information sharing method
JP2013098719A (ja) 通信システムにおけるメッセージ認証方法および通信システム
JP2016021623A (ja) 通信システム、通信制御装置及び不正情報送信防止方法
JP5712995B2 (ja) 通信システム、通信装置及び通信方法
JP2017121091A (ja) Ｅｃｕ、及び車用ネットワーク装置
JP6375962B2 (ja) 車載ゲートウェイ装置及び電子制御装置
WO2017026360A1 (ja) 通信システム
JP2018182767A (ja) Ｅｃｕ、ネットワーク装置、及び車用ネットワーク装置
WO2021005949A1 (ja) 中継装置および車両通信方法
WO2017065100A1 (ja) 車載通信システム及び監視装置
JPWO2013140455A1 (ja) アドホックネットワークシステム、ノード、および通信方法
JP7110950B2 (ja) ネットワークシステム
WO2020145086A1 (ja) 車載通信システム、車載通信制御装置、車載通信装置、通信制御方法及び通信方法
JP2018050183A (ja) 通信システム、中継装置、通信装置及び通信方法
CN116114222A (zh) 通信系统、中继装置、接收装置以及通信控制方法
JP2013121071A (ja) 中継システム及び、当該中継システムを構成する中継装置、外部装置
JP2020137009A (ja) ネットワークシステム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16855354

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 16855354

Country of ref document: EP

Kind code of ref document: A1