WO2017203375A1 - セキュリティ検査システム、セキュリティ検査方法、機能評価装置、及びプログラム - Google Patents

セキュリティ検査システム、セキュリティ検査方法、機能評価装置、及びプログラム Download PDF

Info

Publication number
WO2017203375A1
WO2017203375A1 PCT/IB2017/052566 IB2017052566W WO2017203375A1 WO 2017203375 A1 WO2017203375 A1 WO 2017203375A1 IB 2017052566 W IB2017052566 W IB 2017052566W WO 2017203375 A1 WO2017203375 A1 WO 2017203375A1
Authority
WO
WIPO (PCT)
Prior art keywords
unit
abnormality
security inspection
control device
signal
Prior art date
Application number
PCT/IB2017/052566
Other languages
English (en)
French (fr)
Inventor
デニス 健五 岡
Original Assignee
ローベルト ボッシュ ゲゼルシャフト ミット べシュレンクテル ハフツング シュトゥットガルト ポストファッハ 30 02 20
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from JP2016221268A external-priority patent/JP2017214049A/ja
Application filed by ローベルト ボッシュ ゲゼルシャフト ミット べシュレンクテル ハフツング シュトゥットガルト ポストファッハ 30 02 20 filed Critical ローベルト ボッシュ ゲゼルシャフト ミット べシュレンクテル ハフツング シュトゥットガルト ポストファッハ 30 02 20
Priority to EP17727000.6A priority Critical patent/EP3468131B1/en
Priority to JP2018518802A priority patent/JP6718960B2/ja
Priority to US16/304,437 priority patent/US11184383B2/en
Publication of WO2017203375A1 publication Critical patent/WO2017203375A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/50—Testing arrangements

Definitions

  • Patent application title Security inspection system, security inspection method, function evaluation apparatus, and program
  • the present invention relates to a security inspection system and a security inspection method for performing a security inspection of a control device for an in-vehicle network, and a function evaluation device and a program that can be used for the security inspection system.
  • Patent Document 1 Japanese Patent Laid-Open No. 2 0 1 4-2 2 9 3 0 1
  • Patent Document 2 Japanese Unexamined Patent Application Publication No. 2 0 1 5-7 5 8 0 8
  • each control device ECU: Electronic Control Unit
  • a message is sent to.
  • ECU Electronic Control Unit
  • CAN message a message
  • such an ECU on the network performs arithmetic processing based on a test signal acquired from the inspection device via the network, and then responds to the inspection device in response to the test signal. Is not configured to return. Therefore, it has been difficult to apply such an inspection device to an ECU for an in-vehicle network.
  • the present invention has been made in view of the above problems, and an object of the present invention is to perform ECU security inspection using a random test signal without modifying the ECU.
  • an object of the present invention is to perform ECU security inspection using a random test signal without modifying the ECU.
  • a test signal transmission that transmits a random test signal including an illegal signal for diagnosing the security of a control device on an in-vehicle network.
  • a security inspection unit having a diagnostic unit that identifies an illegal signal based on a processing result of the control device based on the test signal, a processing information acquisition unit that acquires information related to the processing result of the control device, a test An error that detects an abnormality in the processing result of the control device based on the signal
  • a security evaluation system for a control device for an in-vehicle network comprising a function evaluation unit having a normal detection unit and an abnormal information output unit that outputs information of detected abnormalities.
  • a function evaluation unit that performs a function evaluation of a processing result by a control unit (ECU), which has been conventionally used separately from a security inspection unit, is provided with a security inspection unit.
  • An anomaly information output unit that outputs information on anomalies that can be used for security inspection is provided.
  • the security inspection unit can diagnose the security of the control device by using the abnormality information output from the abnormality information output unit of the function evaluation unit without modifying the control device.
  • the security inspection unit may include a test signal adaptation unit that sets a random test signal to be transmitted thereafter based on the immediately preceding inspection result.
  • the function evaluation unit may include a test condition setting unit that sets a state in which the control device can be placed on the in-vehicle network as a test condition and transmits the test condition to the control device.
  • the test signal transmission unit of the security inspection unit transmits a test signal to the function evaluation unit together with the control device, and the abnormality information output unit of the function evaluation unit tests the test corresponding to the normal processing result. It is also possible to output test signal information corresponding to the processing result that resulted in an error.
  • the error information output part of the function evaluation unit may send error information to the security inspection unit.
  • the abnormality information output unit of the function evaluation unit may store the abnormality information in a storage unit provided in the function evaluation unit.
  • In-vehicle network capability CAN (Controller Area Network), LIN (Local Internet Network), F lex Ray, MO ST (Media Oriented Systems T ransport), C AN-FD (CAN with F lexible D atarate) or Automotive E thernet.
  • CAN Controller Area Network
  • LIN Local Internet Network
  • F lex Ray F lex Ray
  • MO ST Media Oriented Systems T ransport
  • C AN-FD CAN with F lexible D atarate
  • Automotive E thernet Automotive E thernet.
  • the abnormality detection unit of the function evaluation unit may detect an abnormality in the processing result when the transmission frequency of the output signal output as the processing result of the control device exceeds an assumed frequency.
  • the abnormality detection unit of the function evaluation unit ⁇ is used when the output signal output as the processing result of the control device or the voltage value of the analog signal or digital signal as the input signal exceeds the assumed upper limit or falls below the lower limit. An abnormality in the processing result may be detected.
  • the function detection unit's anomaly detector detects the processing result when the output signal output as the processing result of the control device or the frequency of the analog signal or digital signal as the input signal exceeds the expected frequency. Anomalies may be detected.
  • the abnormality detection unit of the function evaluation unit may detect an abnormality in the processing result based on imaging information obtained by photographing the display device in which display control is performed based on the processing result of the control device.
  • the anomaly detection unit of the function evaluation unit may detect an anomaly in the processing result when an inconsistent display on the display device is detected based on the imaging information. [0 0 2 0]
  • the abnormality detection unit of the function evaluation unit may detect an abnormality in the processing result when the amount of change per unit time of a predetermined value related to the processing result of the control device exceeds an assumed threshold.
  • the abnormality detection unit of the function evaluation unit may detect an abnormality in the processing result when an unchangeable value included in the memory address in the control device is overwritten as the processing result of the control device. .
  • the security inspection unit transmits a random test signal including an illegal signal for diagnosing the security of the control device on the in-vehicle network, and a function A step in which the evaluation unit obtains information related to the processing result of the control device, a step in which the function evaluation unit detects an abnormality in the processing result of the control device based on the test signal, and a function evaluation unit In-vehicle including: storing information on detected anomalies to the memory or transmitting to the security inspection unit; and the security inspection unit identifying the unauthorized signal based on the processing result of the control device based on the test signal.
  • a security inspection method for the control device for the network is provided.
  • the processing information acquisition unit that acquires information related to the processing result of the control device on the in-vehicle network
  • the security inspection unit that diagnoses the security of the control device are mounted on the vehicle.
  • An anomaly detection unit that detects anomalies in the processing results of the control device due to random test signals including fraudulent signals sent to the control device via the network, and anomaly information output that outputs information on the detected anomalies
  • a function evaluation device for a control device for an in-vehicle network.
  • a processing information acquisition unit that acquires information related to a processing result of a control device on an in-vehicle network by a computer, and a security inspection unit that diagnoses the security of the control device.
  • An abnormality detection unit that detects abnormalities in the processing results of the control device due to random test signals including illegal signals sent from the ⁇ to the control device via the in-vehicle network, and outputs information on the detected abnormality
  • An abnormality information output unit and a program for realizing the functions are provided.
  • FIG. 1 is a schematic diagram showing a configuration example of an in-vehicle network including an ECU to be inspected according to the present invention.
  • FIG. 2 is a schematic diagram showing a configuration example of a security inspection system according to the first embodiment.
  • FIG. 3 is an explanatory diagram showing an abnormality determination method by the security inspection system according to the embodiment.
  • FIG. 4 is an explanatory diagram showing an example of a flow chart of processing by the security inspection system according to the embodiment.
  • FIG. 5 is a schematic diagram showing a configuration example of a security inspection system according to a first modification of the embodiment.
  • FIG. 6 is an explanatory diagram showing an abnormality determination method by the security inspection system according to the first modification of the embodiment.
  • FIG. 7 is a schematic diagram showing a configuration example of a security inspection system according to a second modification of the embodiment.
  • FIG. 8 is an explanatory diagram showing an example of a process flowchart by the security inspection system according to the second modification example of the embodiment;
  • FIG. 9 is an explanatory diagram showing an example of a process flowchart by the security inspection system according to the third modification example of the embodiment.
  • FIG. 10 is a schematic diagram illustrating a configuration example of a security inspection system according to a second embodiment.
  • FIG. 11 is an explanatory diagram showing an example of a process flowchart by the security inspection system according to the embodiment.
  • FIG. 12 is a schematic diagram showing a configuration example of a security inspection system according to a third embodiment.
  • FIG. 13 is an explanatory diagram showing an example of a process flowchart by the security inspection system according to the embodiment.
  • FIG. 14 is a schematic diagram showing a configuration example of a security inspection system according to a modification of the embodiment.
  • FIG. 15 is an explanatory diagram showing an example of a flow chart of processing by a security inspection system according to a modification of the embodiment.
  • FIG. 16 is a schematic diagram showing a configuration example of a security inspection system according to a fourth embodiment.
  • FIG. 17 is an explanatory diagram showing an example of a process flowchart by the security inspection system according to the embodiment.
  • FIG. 18 is a schematic diagram showing a configuration example of a security inspection system according to a fifth embodiment.
  • FIG. 19 is a schematic diagram showing another configuration example of the security inspection system.
  • an in-vehicle communication network (hereinafter referred to as “ECU”) equipped with an ECU (control device) to which the security inspection by the security inspection system according to the first embodiment can be applied.
  • ECU in-vehicle communication network
  • FIG. 1 shows an in-vehicle network 1 in which a plurality of E C U 10 A to 10 E mounted in a vehicle such as a passenger car or a commercial vehicle is connected.
  • the plurality of ECUs 10 A to 10 E include, for example, an engine control unit for controlling a vehicle engine, a transmission control unit for controlling an automatic transmission, and a driving of a hybrid vehicle.
  • Motor control unit for controlling motors for motors or generators, battery control unit for controlling high-voltage batteries of hybrid vehicles, and for comprehensively controlling the driving force or regenerative power of hybrid vehicles
  • Body control unit for controlling hybrid control, instrument panel, door opening, and door window, air bag control for controlling airbag devices Such as nits.
  • Each ECU 10 A to 10 E is connected to peripheral devices such as various actuating sensors required for control of each control target.
  • the ECUs 10 A to 10 E transmit signals to the peripheral devices based on the calculation processing results, or receive sensor signals from the peripheral devices.
  • peripheral device 2 1 like peripheral device 2 1 to 2 4 connected to ECU 10 A ⁇ 24 may be individually connected to E CU 1 OA.
  • a certain network is connected to a subnetwork 30 such as a peripheral device 3 1 to 3 4 LIN (Local Internet Network) such as a peripheral device 3 1 to 3 4 connected to an ECU 10 C. Via the ECU 10 C.
  • LIN Local Internet Network
  • Each ECU 10 A to 10 E includes, for example, a communication circuit with the communication bus 5, a CPU (Centra 1 Processing Unit), a RAM (R andom Access Memory), and a ROM (R ead O nly Memory) and the like.
  • ROM for example, information such as a program executed by the CPU and parameters used for program calculation processing is stored.
  • the RAM stores, for example, calculation processing results by CPU, transmission signals of various peripheral devices, and information of reception signals from various peripheral devices.
  • the plurality of ECUs 10 A to 10 E are respectively connected to the communication bus 5, and can transmit and receive information to and from each other via the communication bus 5.
  • the in-vehicle network 1 according to this embodiment is constructed as a CAN (Controller Area Network) system, and a plurality of ECUs 10 A to 10 E send CAN messages via the communication bus 5. It is configured to be able to send and receive information to and from each other by sending and receiving.
  • CAN Controller Area Network
  • Each ECU 10 A to 10 E transmits a CAN message on the communication bus 5 so that the information acquired or calculated in its own ECU can be shared by other ECUs. Transmission of CAN messages can be set to occur at predetermined time intervals. An ECU that has received a CAN message from another ECU can use the information contained in the CAN message to execute control of the controlled object.
  • the number of ECUs connected to the in-vehicle network 1 is not limited. Further, the device connected to the communication bus 5 is not limited to the ECU, and various peripheral devices including a communication circuit and a drive circuit for the communication bus 5 may be connected.
  • the in-vehicle network 1 is constructed as a CAN system.
  • the in-vehicle network 1 is composed of LIN (Local Internet Network; flex Ray ⁇ MST (Media Oriented Systems T ransport), C AN—FD (CAN with flexible data rate) or Automotive Ethernet
  • LIN Local Internet Network
  • flex Ray ⁇ MST Media Oriented Systems T ransport
  • C AN—FD CAN with flexible data rate
  • Automotive Ethernet Automotive Ethernet
  • Communication performed between each of the ECUs 10 A to 10 E and the communication bus 5 is not limited to wired communication, and may be wireless communication.
  • E CU 1 0 A book that examines the security vulnerabilities of ECU 1 0 A to 1 0 E (hereinafter referred to as “E CU 1 0” unless otherwise required) on the in-vehicle network 1 A security inspection system according to the embodiment will be described.
  • ECU 1 0 there are multiple ECUs 10 etc. on the in-vehicle network 1, and additional ECUs and various peripheral devices are installed in the in-vehicle network 1 to cope with the diversification of vehicle functions. Can be connected to.
  • security against illegal signals must be compensated so that an abnormal control action is not caused by an illegal signal transmitted to E CU 1 0 intentionally or unintentionally. I must. [0 0 3 7]
  • a security inspection is performed in a black box by a security inspection device (security inspection tool) that does not have information on the internal structure of the software.
  • a security inspection device transmits a random test signal including an illegal signal, receives a response to the test signal from the device to be tested, and identifies the illegal signal.
  • fuzzing is known as such a security inspection.
  • ECU 10 that is not configured to receive signals from other ECUs and return the results of computation processing to other ECUs, etc., performs security inspection by a general security inspection device. Cannot be executed.
  • an output signal from the ECU 10 to be inspected to another ECU or a peripheral device, or an ECU to be inspected from the peripheral device A function evaluation device (test evaluation tool) that monitors and evaluates the input signal to 10 is used.
  • Such a function evaluation device evaluates an output signal from E C U 10 or an input signal to E C U 10 when a specific command or condition is input to E C U 10. Therefore, the security of every conceivable input signal cannot be examined.
  • the ECU 10 is output from the ECU 10 as a result of the arithmetic processing performed based on the random test signal output from the security inspection device.
  • the function evaluation device monitors whether there is any abnormality in the output signal to be output or the input signal input to the ECU 10 from the peripheral device.
  • the security inspection device identifies the unauthorized signal that caused the abnormality based on the information on the abnormality. . This makes it possible to perform security inspection with a security inspection device without making significant modifications to ECU10.
  • FIG. 2 is a block diagram showing the overall configuration of the security inspection system according to the present embodiment.
  • the security inspection system includes a security inspection unit 100 and a function evaluation unit (function evaluation device) 150.
  • the security inspection unit 100 and the function evaluation unit 150 are configured as independent devices.
  • the security inspection unit 1 00 and the function evaluation unit 1 5 0 may be configured as a single device.
  • the configuration of each unit and the security inspection method using the security inspection system will be described by taking the case where the in-vehicle network 1 is a CAN system as an example.
  • the security inspection unit 100 includes a processor such as a CPU, and includes a test signal transmission unit 110, a diagnosis unit 120, and a storage unit 130.
  • the processor functions as the test signal transmission unit 110 and the diagnosis unit 120 by executing the program.
  • the storage unit 130 includes a RAM and a ROM, and stores a program executed by the processor and various data.
  • the storage unit 130 may include a semiconductor memory, a hard disk, an external storage device, and the like.
  • the test signal transmission unit 110 includes, for example, a processor and a drive circuit, and transmits a random test signal including an illegal signal to the ECU 10 to be inspected via the communication bus 5.
  • a test signal may be a fuzzing signal, for example.
  • the test signal transmission unit 110 transmits a CAN message that can be configured as a test signal to the ECU 10 at random. For example, all CAN messages that can be configured may be sent to ECU 10 at random. This CAN message may also contain illegal signals.
  • the diagnostic unit 1 2 0 determines that the abnormality is detected when the ECU 10 performs arithmetic processing based on the test signal transmitted from the test signal transmission unit 1 1 0 and the processing result is abnormal. Identify the illegal signal that caused the error. For example, the diagnosis unit 1 2 0 specifies the transmission timing of the test signal that caused the abnormality based on the abnormality information output from the function evaluation unit 1 5 0 and stored in the storage unit 1 30. By doing so, an illegal signal may be specified.
  • the method of identifying an unauthorized signal by the diagnosis unit 120 is not limited to the above example, and various methods including a method using a conventionally known security inspection device can be adopted.
  • the storage unit 1 3 0 stores abnormality information output from the function evaluation unit 1 5 0.
  • the information on the abnormality is the information when the abnormal result is found in the processing result of the ECU 10 due to the illegal signal among the test signals transmitted from the test signal transmitter 1 1 0 to the ECU 1 0. Information related to the calculation processing result. Specifically, this will be described in detail in the description of the abnormality detection unit 1 70 of the function evaluation unit 15 50.
  • the function evaluation unit 1 5 0 includes a processor such as a CPU, for example, a test condition setting unit 1 5 5, a processing information acquisition unit 1 6 0, an anomaly detection unit 1 7 0, and an anomaly information output unit 1 8 0.
  • the processor functions as a test condition setting unit 1555, a processing information acquisition unit 160, an abnormality detection unit 170, and an abnormality information output unit 180 by executing the program.
  • the function evaluation unit 150 has a storage unit (not shown).
  • the storage unit includes a RAM and a ROM, and stores programs and data executed by the processor.
  • the storage unit may include a semiconductor memory, a disk, an external storage device, and the like.
  • the test condition setting unit 1 5 5 transmits a test condition signal to the ECU 10 so that the ECU 10 to be inspected is placed in a normal test environment.
  • the state of the vehicle that can occur when the ECU 10 is actually mounted on the vehicle is set as a test condition and transmitted to the ECU 10.
  • the test condition signal that can be transmitted includes a signal indicating the on / off state of the innovation switch, an analog signal or a digital signal including various information that can be input to the ECU 10 from a peripheral device, etc., and At least one of the CAN messages containing information such as vehicle speed and gear position can be included.
  • the test conditions may be set manually by the user, or may be manually or automatically selected from one or more preset test conditions. When performing a security check under a plurality of test conditions, the test condition setting unit 1 5 5 may cause the security check to be executed under various test conditions while switching the test conditions.
  • the processing information acquisition unit 160 acquires information on the processing result by the ECU 10 performed based on the test signal transmitted from the security inspection unit 100.
  • the processing result information includes output signals output from the ECU 10 as processing results, input signals input to the ECU 10 from peripheral devices, and RAM and ROM provided in the ECU 10 and the like. It may include data stored in the storage unit. More specifically, the processing result information includes CAN messages transmitted from the ECU 10 to the communication bus 5, analog signals or digital signals transmitted from the ECU 10 to the peripheral devices, and ECUs from the peripheral devices. It may include analog signals or digital signals input to 10 and memory address data stored in the storage section of ECU 10.
  • the processing information acquisition unit 160 may store the acquired information in a storage unit (not shown). [0 0 4 9]
  • the abnormality detection unit 170 detects an abnormality in the processing result from the processing result information acquired by the processing information acquisition unit 160. Anomalies that can occur as a result of E CU 10 performing arithmetic processing using random test signals can appear in a variety of ways. For example, whether or not transmission of CAN messages by ECU 1 0 is properly performed, or whether or not the sensor value input to E CU 1 0 is within an appropriate range, change in sensor value An abnormality in the processing result of the ECU 10 can be determined based on whether or not the sensor value is appropriate or whether or not the frequency of the sensor value is appropriate. The presence or absence of these abnormalities can be determined by determining whether or not the processing results output under the test conditions set by the test condition setting unit 1 5 5 are appropriate.
  • FIG. 3 shows a determination table illustrating some of the abnormality determination methods by the abnormality detection unit 170.
  • the anomaly detection unit 1 70 can determine that the processing result of the ECU 10 is abnormal. For example, if a certain CAN message is set to be transmitted every 100 milliseconds, but the CAN message is transmitted at a higher frequency, the anomaly detection unit 1 7 0 , E CU 1 0 processing result can be determined to be abnormal
  • the voltage value V of the analog or digital command signal transmitted to the peripheral device as the output signal from ECU 10 is the upper limit value V ⁇ 0 that is assumed under the set test conditions.
  • the abnormality detection unit 1 70 can determine that the processing result of the ECU 10 is abnormal.
  • the detection unit 1 70 can determine that the processing result of the ECU 10 is abnormal. For example, in the ECU 10, since the transmission cycle of the sensor signal from various sensors to the ECU 10 is set, the frequency f V of the sensor signal can be used for abnormality detection.
  • the abnormality detection unit 1 70 has an abnormal processing result for ECU 10 Can be determined.
  • the engine speed as information included in the output signal from E CU 10 or the input signal to E CU 10 is increased from 3, 0 0 0 to 8, 0 0 0 in a short time.
  • the abnormality detection unit 1700 can determine that the processing result of the ECU 10 is abnormal.
  • the abnormality detection unit 1 7 0 when the unchangeable memory address value Y included in the predetermined memory address in the ECU 10 is overwritten to reflect the result of the arithmetic processing by the ECU 10, the abnormality detection unit 1 7 0 Thus, it can be determined that the processing result of ECU 100 is abnormal. For example, if the memory address value Y, which means the end of the buffer frame of the CAN message, is an unchangeable value, but the memory address value Y is overwritten, the anomaly detection unit 1 7 0 can be determined that the processing result of the ECU 10 is abnormal.
  • a threshold value for performing abnormality determination is set for each test condition that can be set.
  • a determination table is prepared in advance for each test condition that can be set and stored in the storage unit.
  • the abnormality determination method is not limited to the example shown in FIG. Some of the judgment types illustrated in Fig. 3 may be omitted.
  • the abnormality determination unit 170 may determine the abnormality of the processing result of the ECU 10 by a method other than the example shown here. For example, when an ECU 10 that functions as a gateway receives a CAN message, it is not forwarded even if it is set to forward the received CAN message to another ECU. In this case, the abnormality detection unit 1 70 can determine that the processing result of the ECU 10 is abnormal.
  • the abnormality information output unit 1800 outputs the information on the abnormality when the abnormality detection unit 1700 detects an abnormality in the calculation processing result of the ECU 1 0, and stores the security inspection unit 1 0 0 Store in part 1 3 0.
  • abnormality information is stored in the storage unit 1 30 of the security inspection unit 100, for example, the output or input time of the ECU 10 0, the processing information of the function evaluation unit 15 50 Along with at least one of the time when the acquisition unit 1600 acquired the processing result information, the time when the abnormality was detected by the abnormality detection unit 1700, or the time output from the abnormality information output unit 1800 It may be stored.
  • the diagnostic unit 1 2 0 of the security inspection unit 1 0 0 includes, for example, the time information linked to the abnormality information and each test signal randomly transmitted from the test signal transmission unit 1 1 0. It is possible to identify an illegal signal that has caused an abnormality in the processing result of the ECU 10 based on the transmission time information.
  • the method of identifying an illegal signal by the diagnostic unit 1 2 0 of the security inspection unit 1 0 0 is not limited to such an example, and the diagnostic unit 1 2 0 An illegal signal that causes an abnormality of the processing result of 0 may be specified.
  • test signal transmission unit 1 1 0 of the security inspection unit 1 0 0 transmits a plurality of test signals at short intervals, it is linked to abnormality information as in the above example.
  • the test signal transmission unit 1 0 After identifying the illegal signal once based on the time information and the transmission time information, the test signal transmission unit 1 0 again transmits a plurality of test signals transmitted before and after the identified illegal signal. 0 is retransmitted.
  • the test signal transmitter 100 retransmits the test signal at a transmission interval larger than the transmission interval when the test signal is first transmitted. This can ensure the certainty of the identified fraudulent signal.
  • the test signal transmission unit 1 1 0 receives the test signals TS 1, TS 2, TS 3, When TS 4, TS 5, TS 6, TS 7, TS 8, TS 9, TS 10 are transmitted and the test signal TS 6 is identified as an illegal signal, the test signal transmitter 1 1 0 In the second round, test signals 4 S4, TS5, TS6, TS7, and TS8 are transmitted with a larger transmission interval. Similar to the first time, the abnormality evaluation unit 1 5 0 of the function evaluation unit 1 5 0 makes an abnormality determination, and the diagnosis unit 1 2 0 identifies the incorrect signal again based on the abnormality information fed back. . At this time, since the transmission interval of the test signal is large, it becomes easy to associate the time information. For example, it is found that the actual illegal signal is the test signal TS 5 instead of the test signal TS 6. It becomes possible to do.
  • the calculation processing is also executed. Get test signal information as CAN message.
  • the abnormality detection unit 1 70 of the function evaluation unit 15 0 can grasp the test signal (incorrect signal) when detecting the abnormality of the processing result, and the abnormality information output unit 1 8 0 outputs abnormality information including illegal signal information and stores it in the storage unit 130 of the security check unit 100. As a result, it is possible to identify an illegal signal in the diagnostic unit 1 2 0 force of the security inspection unit 1 100.
  • the test signal transmission unit 1 1 0 of the security inspection unit 100 is a test signal at a transmission interval equal to or longer than the maximum waiting time at which abnormality information can be fed back from the function evaluation unit 1 5 0. May be sent.
  • the diagnostic unit 1 2 0 receives the error information of the processing result of the ECU 1 0 from the function evaluation unit 1 5 0 as feedback, and the test signal transmitted immediately before is an invalid signal. It can be identified.
  • test condition setting unit 15 5 of the function evaluation unit 15 50 sets the test condition and transmits it to the ECU 10 to be inspected (step S 8).
  • the test conditions include, for example, the on / off state of the innovation switch, the differential state of peripheral devices to which an analog signal or digital signal can be input to the ECU 10, and the state of the vehicle such as the vehicle speed and gear position. These conditions may be set manually by the user, or may be manually or automatically selected from one or more preset test conditions.
  • the test signal transmission unit 1 1 0 of the security inspection unit 1 0 0 transmits a random test signal including an illegal signal to the ECU 1 0 via the communication bus 5 (step S 1 0 )
  • the generation of the random test signal may be executed by a predetermined random signal generation program.
  • the ECU 10 that has received the test signal performs arithmetic processing based on the test signal (step S 14). As a result, a CAN message is output from the ECU 10 to the communication bus 5, a command signal is output to the peripheral device connected to the ECU 10 0, and the ECU A sensor signal or the like is input to 1 0.
  • the processing information acquisition unit 16 0 of the function evaluation unit 1 5 0 receives an output signal from the ECU 1 0 as an output result from the ECU 1 0, an input signal from the peripheral device to the ECU 1 0, And the data etc. memorize
  • the abnormality detection unit 170 refers to the abnormality determination standard corresponding to the test condition illustrated in FIG. 3 to determine whether there is an abnormality in the processing result of the ECU 10.
  • the abnormality detection unit 1 70 of the function evaluation unit 15 50 determines whether or not there is an abnormality in the processing result of the ECU 10 (step S 2 2). If there is no abnormality (S 2 2: For N o), go to step S 3 4. On the other hand, if there is an abnormality (S 2 2: Y es), the abnormality information output unit 1 80 of the function evaluation unit 1 5 0 outputs abnormality information to the security inspection unit 1 0 0 (Step S 2 6). As a result, the abnormality information of the processing result of the ECU 10 is stored in the storage unit 13 0 of the security check unit 10 0.
  • the diagnostic unit 1 2 0 of the security inspection unit 1 0 0 includes the abnormality information stored in the storage unit 1 3 0 and the test signal information transmitted from the test signal transmission unit 1 1 0. Based on this, an illegal signal that causes an abnormality in the processing result of the ECU 10 is identified (step S 30).
  • the diagnosis unit 1 2 0 specifies the transmission timing of the test signal that caused the abnormality based on the abnormality information output from the function evaluation unit 1 5 0 and stored in the storage unit 1 3 0. By doing so, an illegal signal may be specified.
  • the method of identifying an unauthorized signal is not limited to the above example.
  • the information of the specified illegal signal may be stored in the storage unit 1 3 0 so that it can be referred to later.
  • step S 2 2 If no abnormality is found in step S 2 2 (S 2 2: No), or if an illegal signal is identified in step S 3 0, send a test signal for security check unit 1 0 0 0 The unit 1 1 0 determines whether or not to continue the inspection (step S 3 4).
  • the test signal to be inspected remains (S 3 4: Y e s)
  • the process returns to step S 10 and the processes described so far are repeatedly executed.
  • transmission of all the test signals has been completed (S 3 4: No)
  • the security inspection by the security inspection system ends.
  • the software programmer etc. of the ECU 10 refers to the illegal signal information stored in the storage unit 130 of the security inspection unit 100, and corrects the software etc. Improve software vulnerabilities. This security check is repeated for all test signals until all processing results of ECU 10 are normal. This ensures the security of ECU 10.
  • the security inspection system according to the embodiment described so far is not limited to the above configuration, and various modifications are possible. Hereinafter, some modified examples of the security inspection system according to the present embodiment will be described.
  • FIG. 5 shows a configuration example of the security inspection system according to the first modification example of the present embodiment.
  • the security inspection system according to the first modification includes a display device 80 that performs display control based on a processing result of the ECU 10 and an imaging unit 90 that captures the display state of the display device 80.
  • the display device 80 may be, for example, an instrument cluster, and the control state of the vehicle based on the control command of ECU 10 is displayed on the instrument cluster in a pseudo manner.
  • the imaging unit 90 includes three cameras 9 1, 9 2, and 9 3 that capture the display unit of the display device 80 in the imaging range. Each of the cameras 9 1, 9 2, and 9 3 divides the display unit of the display device 80 to capture an image. The number of cameras is not limited to three.
  • the camera is, for example, a camera with a C CD (Charge-Coup 1 ed Device) image sensor or CMOS (Cop 1 er ententary Metal Oxide Semiconductor) image sensor that can acquire color images. It can be.
  • the image information captured by the imaging unit 90 is transmitted to the abnormality detection unit 170 of the function evaluation unit 150. [0 0 7 6]
  • the abnormality detection unit 170 performs, for example, image processing such as image recognition and character recognition, and performs abnormality determination of the arithmetic processing result of the ECU 10 based on the result of the image processing.
  • the anomaly detection unit 1 7 0 can display the contents of the display by recognizing the numerical value on the display device 80, recognizing the angle of the gauge, and whether the lamp is lit or not by image processing. Can be calculated.
  • FIG. 6 shows a determination table illustrating some of the abnormality determination methods by the abnormality detection unit 170 in the function evaluation unit 15 50 of the security inspection system according to the first modification.
  • the judgment types 1 to 3 and 5 are the same as the judgment table shown in Fig. 3.
  • the detection unit 1 7 0 can determine that the processing result of the ECU 1 0 is abnormal. For example, when the engine speed displayed on the engine speed meter of the display unit of the display device 80 is increased from 3, 0 00 to 8, 0 0 0 in a short time, the abnormality detection unit 1 70 can determine that the processing result of ECU 1 0 is abnormal.
  • the abnormality detection unit 1700 can determine that the processing result of ECU10 is abnormal. For example, when both the “D (drive)” and “P (parking)” lights on the display of the gear range position on the display device 80 are turned on as a result of the calculation processing of the ECU 10 based on the test signal, The abnormality detection unit 1 7 0 can determine that the processing result of the ECU 1 0 is abnormal.
  • the security inspection method by the security inspection system according to the first modification can be executed according to the example of the flowchart shown in FIG. According to the security inspection system according to the first modified example, using the imaging information of the display device 80 on which the control state of the vehicle based on the control command of the ECU 10 is displayed, the ECU You can also monitor the movement
  • FIG. 7 shows a configuration example of a security inspection system according to the second modification of the present embodiment.
  • the abnormality information output unit 1 85 of the function evaluation unit 1 5 0 does not transmit abnormality information to the security inspection unit 1 0 0, but the function evaluation unit 1 5 0
  • the abnormality information is output and stored in the storage unit 1 90 provided in the unit 1 5 0.
  • the storage unit 190 includes a semiconductor memory, a hard disk, an external storage device, and the like, and the security inspection unit 100 can read the stored abnormality information later.
  • the security inspection unit 1 0 0 and the function evaluation unit 1 5 0 are connected via a communication line, or a hard disk or USB (universal serial bus) memory that stores abnormal information is
  • the security inspection unit 1 0 0 may read the abnormal information by connecting to 1 0 0 or the like.
  • the diagnostic unit 1 2 0 of the security inspection unit 1 0 0 identifies the illegal signal based on the information on the abnormality of the processing result of the ECU 1 0 and the information on the test signal transmitted at random. You can do it.
  • FIG. 8 shows a flowchart of the security inspection method by the security inspection system according to the second modification.
  • the security inspection unit 10 0, the ECU 10 0, and the function evaluation unit 1 5 0 are respectively the same procedures as those described based on the flowchart of FIG. Execute each process of 2.
  • the security inspection system according to the second modified example if there is an abnormality in the processing result of the ECU 10 (S 2 2: Y es), in step S 2 7, the abnormality information of the function evaluation unit 1 5 0 Output unit 1 8 5 Force storage unit 1 9 (Stores information on abnormalities in processing results of HECU 1 0.
  • step S 22 If no abnormality is found in step S 22 (S 2 2: No), or if abnormality information is stored in storage unit 190 in step S 27, security check unit 1
  • the 0 0 test signal transmitter 1 1 0 determines whether or not to continue the inspection (step S 3 4). Until all the test signals to be inspected are completed (S 3 4: No), the process returns to step S 10 and repeats the processing of each step so far.
  • the information on the abnormality detected by the abnormality detection unit 1 70 of the function evaluation unit 1 5 0 is temporarily stored in the storage unit 1 90, Later, fraudulent signals can be identified together.
  • the security inspection system according to the second modification for example, the load on the security inspection unit 100 during transmission of a random test signal such as fuzzing can be reduced.
  • FIG. 9 shows a modification (third modification) of the flowchart of the security inspection method by the security inspection system according to the present embodiment shown in FIG.
  • a plurality of test conditions are sequentially set by the test condition setting unit 1 5 5 of the function evaluation unit 1 5 0, and security inspection is executed under each test condition.
  • the test condition setting unit 1 5 5 of the function evaluation unit 1 5 0 selects a test condition for executing a security check from a plurality of test conditions stored in advance in a storage unit (not shown) and The test condition signal can be sent to the ECU 10 of the system.
  • the test condition setting unit 15 5 5 switches to the next test condition in order when the security inspection for a certain test condition is completed, so that the security inspection is executed under a plurality of test conditions. To.
  • the plurality of test conditions can be set as follows, for example.
  • test conditions are not limited to three. Further, in addition to the test conditions exemplified above, information on the assumed vehicle state may be included in the test conditions. In the following description of the flow chart, an example in which security inspection is performed while setting test conditions 1 to 3 above in this order will be described. However, the test condition setting order may be random.
  • the test condition setting unit 1 5 5 of the function evaluation unit 1 5 0 selects one of the plurality of test conditions set in advance.
  • G Select the conditions (Step S6). For example, immediately after the start of the security inspection, the test condition setting unit 1 5 5 selects the test condition 1 described above.
  • step S8 to step S30 each process of step S8 to step S30 is executed.
  • the test condition setting unit 1 5 5 determines whether or not to continue the inspection under the current test condition. (Step S3 6). For example, the test condition setting unit 1 5 5 performs the determination in step S 3 6 by determining whether or not the test for all test signals has been completed under the current test condition. Also good.
  • step S 8 determines whether or not to continue the inspection under different test conditions. Is determined (step S 3 8). If test conditions that have not been inspected remain and the test is continued under a different test condition (S 3 8: Y es), the test condition setting unit 1 5 5 returns to step S 6 To select the next test condition. For example, the test condition setting unit 1 5 5 selects the test condition 2 after the inspection under the test condition 1 is completed, and further performs the test after the inspection under the test condition 2 is completed. Select condition 3.
  • the security inspection unit 100, the ECU 10 and the function evaluation unit 15 50 are configured to perform steps S8 to S under the selected test conditions. Execute each process of 30.
  • the test condition setting unit 15 5 determines that the inspection under the different test conditions is not continued (S 3 8: No), and the security. Security inspection by the inspection system ends.
  • security inspection is automatically performed under a plurality of test conditions set in accordance with various vehicle conditions that can be assumed in advance. It is possible to identify fraudulent signals that may exist at.
  • the flowchart shown in FIG. 9 is an example in which the third modification is applied to the flowchart of the process shown in FIG. 4.
  • the flowchart of the process according to the second modification shown in FIG. The third modification may be applied to the above.
  • step S6 is provided as a pre-process of step S8 in the flowchart shown in FIG. 8, and a step instead of step S34 is provided.
  • S 3 6 and step S 3 8 are provided.
  • the security inspection system includes the security inspection unit 100 that transmits a random test signal to the ECU 10 via the communication bus 5, and the test. Based on the signal, information on the operation result of the ECU 10 is acquired and an abnormality is determined, and the detected abnormality information is fed back to the security inspection unit 100 or stored in the storage unit 190. Functional evaluation unit 1 5 0. Therefore, even if the ECU 10 is not configured to return a response such as a processing result to the received CAN message, a security inspection using the security inspection unit 100 can be performed. It becomes like this.
  • FIG. 10 is a block diagram showing the overall configuration of the security inspection system according to the present embodiment.
  • the security inspection system consists of the security inspection unit 300 and the function evaluation unit 35 With.
  • the configuration of each unit and the security inspection method by the security inspection system will be described focusing on differences from the first embodiment.
  • the security inspection unit 300 includes a processor such as a CPU, and includes a test signal transmission unit 3 10, a diagnosis unit 3 2 0, and a storage unit 3 30.
  • the diagnosis unit 3 2 0 and the storage unit 3 3 0 may have the same configuration as the diagnosis unit 1 2 0 and the storage unit 1 3 0 of the security inspection unit 1 0 0 shown in FIG. it can.
  • the test signal transmission unit 3 10 only transmits a random test signal including an illegal signal to the ECU 10 to be inspected via the communication bus 5. Also sent to the function evaluation unit 3 5 0.
  • the function evaluation unit 3 5 0 includes a processor such as a CPU, for example, a test condition setting unit 3 5 5, a processing information acquisition unit 3 6 0, an anomaly detection unit 3 7 0, and an anomaly information output unit 3 8 0.
  • the test condition setting unit 3 5 5, the processing information acquisition unit 3 60 and the abnormality information output unit 3 80 are the test condition setting unit 1 5 5 of the function evaluation unit 1 5 0 shown in FIG.
  • the processing information acquisition unit 160 and the abnormality information output unit 180 can have the same configuration.
  • the abnormality detection unit 3 70 of the function evaluation unit 3 5 0 is a test transmitted from the test signal transmission unit 3 1 0 of the security inspection unit 3 0 0. Get signal information.
  • the abnormality detection unit 37 0 extracts an illegal signal candidate that is not appropriate as a CAN message to be transmitted to the ECU 10 from the test signal. Then, the anomaly detection unit 37 0 targets only the processing result information based on the extracted illegal signal candidate among the processing result information of the ECU 10 acquired by the processing information acquisition unit 36 60. Execute abnormality judgment.
  • the abnormality determination process can be performed in the same manner as the abnormality determination method illustrated in FIG.
  • the candidate for the illegal signal is extracted in advance. It may be performed by setting as a positive signal candidate. Alternatively, fraudulent signal candidates may be extracted by excluding test signals that have already been tested under the same test conditions and determined to be normal.
  • the anomaly detection unit 3700 may extract illegal signal candidates by various methods such as selecting a test signal that is considered to be inappropriate due to the structure of the CAN message as an illegal signal candidate.
  • the abnormality information output unit 3 80 outputs the processing result information of the ECU 10 in which an abnormality has actually been found as a result of the abnormality determination processing to the security inspection unit 3 0 0, and the security inspection unit 3 0 Store in 0 storage unit 3 3 0.
  • the diagnostic unit 3 2 0 of the security inspection unit 3 0 0 is based on the information on the abnormality of the processing result of the ECU 1 0 stored in the storage unit 3 3 0 and the information on the test signal transmitted at random. Identify illegal signals.
  • FIG. 11 shows an example of a flow chart of the security inspection method by the security inspection system according to the present embodiment.
  • the flowchart shown in FIG. 11 is similar to the flowchart shown in FIG. 4 except for step S 1 1 and step S 17, and steps S 8, S 14, S 1 8, S 2 2, S 2 6, S 3 0, S 3 4 are included.
  • the test condition setting unit 15 5 of the function evaluation unit 15 50 sets the test condition and transmits it to the ECU 10 to be inspected (step S 8).
  • the test signal transmission unit 3 1 0 of the security inspection unit 3 0 0 transmits a random test signal including an illegal signal to the ECU 1 0 via the communication bus 5, and the function evaluation unit 3 5 Transmits to 0 (step S 1 1).
  • the ECU 10 that has received the test signal executes a calculation process based on the test signal (step S 14).
  • anomaly detection unit 3 of function evaluation unit 3 5 0 70 extracts illegal signal candidates that are not appropriate as CAN messages from the test signal (step S 17).
  • the processing information acquisition unit 3 60 of the function evaluation unit 3 5 0 acquires the processing result information from the power ECU 1 0, and the anomaly detection unit 3 70 detects the illegality extracted in step S 1 7 Anomaly judgment is performed on the information of the processing result based on the signal candidate (step S 1 8).
  • the abnormality detection unit 37 0 may determine whether there is an abnormality in the processing result of the ECU 10 0 with reference to the abnormality determination criteria illustrated in FIG.
  • step S 2 6 Abnormal information is transmitted to 0 (step S 2 6), and the diagnostic unit 3 2 0 of the security check unit 3 0 specifies an illegal signal (step S 3 0).
  • step S 22 to step S 34 can be executed in the same manner as each process described based on the flowchart shown in FIG.
  • the function evaluation unit 35 0 determines that only the information of the processing result of the ECU 10 corresponding to the illegal signal candidate extracted in advance is abnormal. And feed back the detected abnormality information to the security inspection unit 300. Therefore, compared with the security inspection system according to the first embodiment, the load on the function evaluation unit 350 can be reduced.
  • the security inspection may be executed by appropriately combining the first to third modifications of the first embodiment.
  • FIG. 12 is a block diagram showing the overall configuration of the security inspection system according to the present embodiment.
  • the security inspection system includes a security inspection unit 400 and a function evaluation unit 45 0.
  • the configuration of each unit and the security inspection method by the security inspection system will be described focusing on differences from the first and second embodiments.
  • the security inspection unit 400 includes a processor such as a CPU, and includes a test signal transmission unit 4 1 0, a diagnosis unit 4 2 0, and a storage unit 4 3 0.
  • the diagnosis unit 4 20 and the storage unit 4 3 0 may have the same configuration as the diagnosis unit 1 2 0 and the storage unit 1 3 0 of the security inspection unit 1 0 0 shown in FIG. it can.
  • the test signal transmission unit 4 10 transmits a random test signal including an illegal signal to the function evaluation unit 45 50.
  • the function evaluation unit 4 5 0 includes a processor such as a CPU, for example, a test condition setting unit 4 5 5, an illegal signal candidate extraction unit 4 6 0, a processing information acquisition unit 4 7 0, and an abnormality detection unit 4 8 0 and an abnormality information output unit 4 9 0.
  • the test condition setting unit 4 5 5, the processing information acquisition unit 4 70, the abnormality detection unit 4 80, and the abnormality information output unit 4 90 are the function evaluation unit 1 shown in FIG.
  • the configuration can be the same as that of the 50 test condition setting unit 1 5 5, the processing information acquisition unit 1 60, the abnormality detection unit 1 70, and the abnormality information output unit 1 80.
  • the illegal signal candidate extraction unit 4 60 of the function evaluation unit 4 5 0 is randomly transmitted from the test signal transmission unit 4 1 0 of the security inspection unit 4 0 0. From this test signal, an inappropriate illegal signal candidate is extracted as a CAN message transmitted to ECU 10. Further, the illegal signal candidate extraction unit 46 0 transmits the extracted test signal of the illegal signal candidate to the ECU 10 via the communication bus 5. EC In U 1 0, arithmetic processing is performed based only on test signals that appear to be fraudulent signals. As a result, the information on the processing result of the ECU 10 acquired by the processing information acquisition unit 47 0 is reduced, and the load of the determination processing by the abnormality determination unit 48 0 is reduced.
  • Extraction of illegal signal candidates is performed in advance when an assumed illegal signal such as a test signal including unexpected information with respect to the ECU 10 to be inspected is grasped. It may be performed by setting it as an illegal signal candidate. Alternatively, fraudulent signal candidates may be extracted by excluding test signals that have already been examined under the same test conditions and determined to be normal. In addition, the fraudulent signal candidate extraction unit 46 60 may extract fraudulent signal candidates by various methods such as selecting a test signal that is considered to be inappropriate due to the structure of the CAN message as a fraudulent signal candidate. .
  • FIG. 13 shows an example of a flow chart of the security inspection method by the security inspection system according to the present embodiment.
  • the flowchart shown in FIG. 13 is the same as the flowchart shown in FIG. 4 except for step S 1 2 and step S 1 3, and steps S 8, S 1 4, S 1 8, S 2 2, S 2 6, S 3 0, S 3 4 are included.
  • the test condition setting unit 4 5 5 of the function evaluation unit 1 5 0 sets the test condition and transmits it to the ECU 10 to be inspected (step S 8).
  • the test signal transmission unit 4 10 of the security check unit 4 0 0 transmits a random test signal including an illegal signal to the function evaluation unit 4 5 0 (step S 1 2).
  • the illegal signal candidate extraction unit 4 60 of the function evaluation unit 4 5 0 that has received the test signal outputs an inappropriate illegal signal as a CAN message to be transmitted to the ECU 1 0 from the test signal. Candidates are extracted, and the extracted test signal is transferred to ECU 10 (step S 1 3).
  • step S 14 the ECU 10 performs arithmetic processing based on the received test signal (step S 14), and the processing information acquisition unit 47 0 of the function evaluation unit 45 0 starts from the ECU 10 0.
  • the process result information is acquired, and the abnormality detection unit 48 0 determines an abnormality for the process result information (step S 18). If an abnormality is found in the processing result of E CU 10 (S 2 2: Y es), the abnormality information output unit 4 90 of the function evaluation unit 4 5 0 indicates an error in the security inspection unit 4 0 0.
  • the information is transmitted (step S 2 6), and the diagnostic unit 4 2 0 of the security inspection unit 4 0 0 identifies an illegal signal (step S 3 0).
  • Each process from step S 14 to step S 34 can be performed in the same manner as each process described based on the flowchart shown in FIG.
  • the function evaluation unit 45 0 0 extracts the illegal signal candidates from the test signals transmitted at random in advance. 1 Transfer to 0. Then, the function evaluation unit 45 0 performs abnormality determination only on the information of the processing result of the ECU 10 based on the illegal signal candidate, and feeds back the detected abnormality information to the security inspection unit 4 0 0. . Therefore, compared with the security inspection system according to the first embodiment, the load on the function evaluation unit 45 can be reduced.
  • the security inspection may be executed by appropriately combining the first to third modifications of the first embodiment.
  • FIG. 14 shows a configuration example in which the security inspection system according to this embodiment is combined with the second modification of the first embodiment.
  • the abnormality information output unit 4 95 of the function evaluation unit 45 50 does not send abnormality information to the security inspection unit 400, but the function evaluation unit 45 4 5 0 Outputs abnormality information to the storage unit 4 9 8 and stores it.
  • the storage unit 4 9 8 is a semiconductor memory or hard
  • the security check unit 300 can read the stored abnormality information later.
  • the security inspection unit 400 and the function evaluation unit 45 50 are connected via a communication line, or a hard disk or USB (universal serial bus) memory that stores abnormal information is in the security inspection unit.
  • the security inspection unit 4 0 0 may read abnormal information by connecting to 4 0 0 or the like.
  • the diagnostic unit 4 2 0 of the security inspection unit 4 0 0 identifies the illegal signal based on the information on the abnormality of the processing result of the ECU 1 0 and the information on the test signal transmitted at random. You can do it.
  • FIG. 15 shows the flowchart of the security inspection method by the security inspection system according to the modified example.
  • the security inspection unit 400, ECU 10 and function evaluation unit 45 0 are similar to the procedure described based on the flowchart of FIG. 2 Perform each process of 2.
  • the abnormality information output of function evaluation unit 4 5 0 is output in step S 2 7.
  • the unit 4 95 stores information on the abnormality of the processing result of the ECU 1 0 in the storage unit 4 9 8.
  • step S 2 2 If no abnormality is found in step S 2 2 (S 2 2: No), or the abnormality information is stored in storage unit 4 9 8 in step S 2 7 and then the test to be inspected. Until all the signals are completed (S 3 4: No), the process returns to step S 8 and repeats the processing of each step so far.
  • the information on the abnormality detected by the abnormality detection unit 48 0 of the function evaluation unit 45 0 is temporarily stored in the storage unit 4 98. Later, illegal signals can be identified together.
  • the security inspection system according to the modification for example, the load of the security inspection unit 400 during transmission of a random test signal such as fuzzing can be reduced.
  • FIG. 16 is a block diagram showing the overall configuration of the security inspection system according to the present embodiment.
  • the security inspection system includes a security inspection unit 500 and a function evaluation unit 55.
  • the configuration of each unit and the security inspection method using the security inspection system will be described focusing on differences from the first embodiment.
  • the security inspection unit 50 0 includes a processor such as a CPU, for example, a test signal transmission unit 5 1 0, a diagnosis unit 5 2 0, a storage unit 5 3 0, and a test signal adaptation unit 5 4 0
  • the test signal transmission unit 5 1 0, the diagnosis unit 5 2 0 and the storage unit 5 3 0 are the test signal transmission unit 1 1 0 and the diagnosis unit 1 of the security inspection unit 1 0 0 shown in FIG.
  • the configuration can be the same as 2 0 and the storage unit 1 3 0.
  • the test signal adaptation unit 5 4 0 adapts the test signal transmitted from the test signal transmission unit 5 1 0 to the ECU 1 0 based on the test results executed immediately before. As a result, the security inspection unit 500 can generate a test signal so that the security inspection proceeds efficiently in the correct direction.
  • a standard format CAN message is an 11-bit identifier (ID: I dentifie) in the data frame. r) is included.
  • Extended format CAN messages contain an 18-bit extended identifier in addition to the 11-bit identifier in the standard format. For standard format CAN CAN messages, 2, 048 types can be identified, and for extended format CAN messages, about 5, 4 0 0, 0 0 0 types can be identified. For CAN messages with these individual identifiers, enormous man-hours are required to perform security inspection by sending all CAN messages with different data contents.
  • the test signal transmission unit 5 1 0 when a security inspection is performed under a certain test condition, the test signal transmission unit 5 1 0 first uses a plurality of CAN messages with different identifiers as test signals. E CU 1 0 Randomly sent. If an abnormality is found in the processing result of ECU 10 based on any of the transmitted test signals, an illegal signal is identified by diagnostic unit 5 2 0 of security inspection unit 5 0 0. In other words, the identifier that contains the CAN message is specified as an illegal signal.
  • the test signal adaptation unit 5 40 is adapted so that a CAN message having the same identifier as the CAN message that has been regarded as an illegal signal and having a different data content is transmitted as a test signal for subsequent inspection. .
  • the test signal transmission unit 5 10 transmits a plurality of CAN messages including the identifier and different data contents to the ECU 10 at random.
  • security inspections specialized for CAN messages containing specific identifiers are performed.
  • a CAN message having the same identifier as that of a CAN message that has already been identified as an illegal signal can be efficiently inspected for a CAN message having a different data content.
  • test signal adaptation unit 540 may perform test signal adaptation based on the results of the tests performed immediately before, under other appropriate conditions.
  • FIG. 17 shows an example of a flowchart of a security inspection method by the security inspection system according to the present embodiment.
  • the flowchart shown in FIG. 17 is similar to the flowchart shown in FIG. 4 except that step S 7 is included. Steps S 8, S 10, S 14, S 18, S 2 2, S 2 6, Including S 3 0 and S 3 4
  • the test signal adaptation unit 5 4 0 of the security inspection unit 5 0 0 adapts the CAN message (test signal) to be transmitted from the test signal transmission unit 5 1 0 to the ECU 1 0 (step S7).
  • the test signal adaptation unit 5 40 sets so that a CAN message including a plurality of different identifiers is randomly transmitted as a test signal.
  • the security inspection unit 50 0, ECU 10 0 and function evaluation unit 15 50 are respectively the same procedure as described based on the flowchart of FIG. Each process of S 30 is executed.
  • the test signal transmission unit 5 1 0 of the security inspection unit 5 0 0 is connected to the ECU 10 with a plurality of test signals set by the test signal adaptation unit 5 4 0. Is sent at random.
  • the test signal matching unit 5400 determines whether or not to continue the inspection. (Step S 3 4). If all test signals have been transmitted (S 3 4: No), the security inspection by the security inspection system ends. On the other hand, when the test signal to be inspected remains (S 3 4: Y es), the test signal matching unit 5 40 It is determined whether or not it is necessary to reconform the CAN message (step S 39).
  • step S 39 If transmission of all test signals according to the conditions has not been completed, it is determined that reconformance of the test signals is not necessary (S 39: No). In this case, the process returns to step S8 and the processing described so far is repeatedly executed.
  • step S 7 the test signal adaptation unit 540 randomly transmits a plurality of CAN messages having the same identifier as the CAN message identified as the illegal signal immediately before and having different data contents as test signals. Set to be. As a result, CAN messages that are likely to contain illegal signals can be preferentially examined.
  • step S 39 if all the CAN messages have been transmitted under the current conformance (narrowing) conditions and another conformance (narrowing) is possible, It is determined that reconformity of the signal is necessary (S 39: Y es). In this case, the process returns to step S7, and after setting the test signal under another matching (narrowing) condition, the processing described so far is repeated.
  • an illegal signal is transmitted as a test signal transmitted from the security inspection unit 50 0 to the ECU 10 to be inspected.
  • CAN messages that are likely to be included are preferentially selected. Therefore, it is possible to efficiently execute a security inspection for identifying an illegal signal.
  • the first to third modifications of the first embodiment, or the second embodiment or the third embodiment are appropriately combined. They may be configured together.
  • the security inspection system according to the present embodiment is configured as a system for executing a security inspection of an ECU that controls a door lock system using, for example, a smart phone or an electronic device that transmits radio waves.
  • FIG. 18 is a block diagram showing the overall configuration of the security inspection system according to the present embodiment.
  • the security inspection system includes a security inspection unit 6 00 and a function evaluation unit 6 50. In the following, the configuration of each unit and the security inspection method using the security inspection system will be described focusing on the differences from the first embodiment.
  • the security inspection unit 600 includes a processor such as a CPU, and includes a test signal transmission / reception unit 6 10, a diagnosis unit 6 20, and a storage unit 6 30.
  • the diagnosis unit 6 2 0 and storage unit 6 3 0 basically have the same configuration as the diagnosis unit 1 2 0 and storage unit 1 3 0 of the security inspection unit 1 0 0 shown in FIG. be able to.
  • the test signal transmission / reception unit 6 10 is not an in-vehicle communication protocol such as CAN, but Wi-fi, B 1 uetooth (registered trademark), or USB. Signals are sent to and received from ECU 10 via communication device 8.
  • the test signal transmission / reception unit 6 1 0 can turn on / off the door lock via the communication means 8.
  • An instruction signal etc. is sent as a test signal to the ECU 10 to be inspected.
  • the test signal transmission / reception unit 6 10 receives from the ECU 10 10 the door mouth drive signal as a processing result of the ECU 10 based on the test signal via the communication means 8.
  • Information on the processing result of ECU 10 received by the test signal transmission / reception unit 6 1 0 can be referred to by the diagnosis unit 6 2 0 as well.
  • the function evaluation unit 6 5 0 includes, for example, a processor such as a CPU and a storage unit, a test condition setting unit 6 5 5, a processing information acquisition unit 6 6 0, an anomaly detection unit 6 7 0, and an anomaly information output Part 6 8 0.
  • a processor such as a CPU and a storage unit
  • a test condition setting unit 6 5 5 a processing information acquisition unit 6 6 0, an anomaly detection unit 6 7 0, and an anomaly information output Part 6 8 0.
  • Each of these units is basically the test condition setting unit 1 5 5 of the function evaluation unit 1 5 0 shown in Fig. 2, the processing information acquisition unit 1 60, the abnormality detection unit 1 70, and the abnormality information output It may be configured in the same manner as the part 1 80
  • the test signal is further added to the test signal. Based on this, it is possible to inspect whether an abnormal signal is exchanged between the ECU 10 and peripheral devices or other ECUs. Therefore, the diagnostic unit 6 2 0 of the security inspection unit 6 0 0 not only checks whether the response to the test signal is properly performed by the ECU 10 0, but also makes the ECU 10 abnormal due to the test signal. Can be inspected to see if it is taking any action. This makes it easier to find vulnerabilities in the ECU 10 software more accurately and improves the accuracy of security inspection.
  • the embodiments may be appropriately combined.
  • the feedback of abnormal information from the function evaluation unit 15 0 to the security check unit 1 0 0 can be configured as a feed knock circuit in the device 70 0.
  • a part of the storage unit of each unit may be configured by a common memory or the like.

Abstract

【課題】ECUに改変を加えることなく、ランダムなテスト信号を用いてECUのセキュリティ検査を実行可能にする。 【解決手段】セキュリティ検査システムは、車載ネットワーク向けの制御装置のセキユリティを診断するための、不正信号を含むランダムなテスト信号を送信するテスト信号送信部、及び、テスト信号による制御装置の処理結果に基づいて不正信号を特定する診断部、を有するセキュリティ検査ュニッ卜と、制御装置の処理結果に関連する情報を取得する処理情報取得部、テス卜信号に基づく制御装置の処理結果の異常を検出する異常検出部、及び、検出された異常の情報を出力する異常情報出力部、を有する機能評価ユニットと、を備える。

Description

【書類名】 明細書
【発明の名称】 セキュリティ検査システム、 セキュリティ検査方法、 機能評価装置、 及び プログラム
【技術分野】
【 0 0 0 1】
本発明は、 車載ネッ トワーク向けの制御装置のセキュリティ検査を行うセキュリティ検 査システム及びセキュリティ検査方法、 並びに、 当該セキュリティ検査システムに利用可 能な機能評価装置及びプログラムに関する。
【背景技術】
【 0 0 0 2】
従来、 ソフ トウェアの脆弱性を発見するための検査方法として、 不正信号を含むランダ ムなテス ト信号を、 検査対象のソフ トウェアが実行され得る装置に入力し、 その際の装置 の動作を監視する方法が知られている。 かかる検査方法としては、 例えば、 フアジングテ ス トが挙げられる。 フアジングテス トは、 ソフ トウェアの内部構造を知らない、 いわゆる ブラックボックスの状態で行われる検査方法であり、 検査装置は、 テス ト信号をランダム に大量に検査対象の装置に送信し、 当該装置による演算処理の結果を受けて不正信号を特 定する等により、 ソフ トウェアの脆弱性を発見する （特許文献 1及び 2を参照） 。
【先行技術文献】
【特許文献】
【 0 0 0 3】
【特許文献 1】 特開 2 0 1 4— 2 2 9 3 0 1号公報
【特許文献 2】 特開 2 0 1 5— 7 5 8 0 8号公報
【発明の概要】
【発明が解決しょうとする課題】
【 0 0 0 4】
ここで、 CAN (C o n t r o l l e r A r e a N e t w o r k) に代表される車 載の通信ネッ トワークでは、 ネッ トワーク上の各制御装置 （E CU : E l e c t r o n i c C o n t r o l Un i t ) が適宜のタイミングでネッ トワーク上にメッセージ （C ANメッセージ） を送信するようになっている。 つまり、 このようなネッ トワーク上の E CUは、 検査装置からネッ トワークを介して取得したテス ト信号に基づき演算処理を行つ た後、 当該テス ト信号に対応して検査装置に対して応答を返すようには構成されていない 。 したがって、 かかる検査装置は、 車載ネッ トワーク向けの E CUに対して適用すること が困難であった。
【 0 0 0 5】
さらに、 仮に E CUがテス ト信号に対応して検査装置に対して検査結果についての応答 を返すように構成されていたとしても、 実際に E CUが周辺機器や他の E CUとの間で異 常な信号のやり取りをしていないかを把握することは困難であった。
【 0 0 0 6】
本発明は、 上記問題に鑑みてなされたものであり、 本発明の目的とするところは、 E C Uに改変を加えることなく、 ランダムなテス ト信号を用いて E CUのセキュリティ検査を 実行可能な、 新規かつ改良されたセキュリティ検査システム及びセキュリティ検査方法、 並びに、 当該セキュリティ検査システムに利用可能な機能評価装置及びプログラムを提供 することにある。
【課題を解決するための手段】
【 0 0 0 7】
上記課題を解決するために、 本発明のある観点によれば、 車載ネッ トワーク上の制御装 置のセキュリティを診断するための、 不正信号を含むランダムなテス ト信号を送信するテ ス ト信号送信部、 及び、 テス ト信号による制御装置の処理結果に基づいて不正信号を特定 する診断部、 を有するセキュリティ検査ユニッ トと、 制御装置の処理結果に関連する情報 を取得する処理情報取得部、 テス 卜信号に基づく制御装置の処理結果の異常を検出する異 常検出部、 及び、 検出された異常の情報を出力する異常情報出力部、 を有する機能評価ュ ニッ トと、 を備えた、 車載ネッ トワーク向けの制御装置のセキュリティ検査システムが提 供される。
【 0 0 0 8】
本発明に係るセキュリティ検査システムによれば、 セキュリティ検査ュニッ トとは別に 従来から使用されている、 制御装置 （E CU) による処理結果の機能評価を行う機能評価 ユニッ トが、 セキュリティ検査ュニッ 卜のセキュリティ検査に用いられ得る異常の情報を 出力する異常情報出力部を備える。 このため、 制御装置に改変を加えることなく、 セキュ リティ検査ュニッ トは、 機能評価ュニッ 卜の異常情報出力部が出力する異常情報を用いて 、 制御装置のセキュリティを診断することができる。
【 0 0 0 9】
セキュリティ検査ユニッ トは、 直前までの検査結果に基づいて、 以降送信されるランダ ムなテス ト信号を設定するテス ト信号適合部を備えてもよい。
【0 0 1 0】
機能評価ュニッ トは、 制御装置が車載ネッ トワーク上で置かれ得る状態をテス ト条件と して設定し、 制御装置に送信するテス ト条件設定部を備えてもよい。
【0 0 1 1】
セキュリティ検査ュニッ 卜のテス ト信号送信部は、 制御装置と併せて機能評価ュニッ ト にテス ト信号を送信し、 機能評価ュニッ 卜の異常情報出力部は、 正常であった処理結果に 対応するテス ト信号を除外して、 異常となった処理結果に対応するテス ト信号の情報を出 力してもよレ、。
【0 0 1 2】
機能評価ュニッ 卜の異常情報出力部は、 セキュリティ検査ュニッ 卜に異常の情報を送信 してもよレ、。
【0 0 1 3】
機能評価ュニッ 卜の異常情報出力部は、 機能評価ュニッ 卜に設けられた記憶部に異常の 情報を記憶させてもよい。
【0 0 1 4】
車載ネッ トワーク力 CAN (C o n t r o l l e r A r e a N e t w o r k) 、 L I N (L o c a l I n t e r c o n n e c t N e t w o r k) 、 F l e x R a y、 MO S T (Me d i a O r i e n t e d S y s t e m s T r a n s p o r t ) 、 C AN- F D (CAN w i t h F l e x i b l e D a t a r a t e ) 、 又は、 Au t o m o t i v e E t h e r n e tであってもよレヽ。
【0 0 1 5】
機能評価ュニッ 卜の異常検出部は、 制御装置の処理結果として出力される出力信号の送 信周波数が想定される周波数を超える場合に、 処理結果の異常を検出してもよい。
【0 0 1 6】
機能評価ュニッ 卜の異常検出部は、 制御装置の処理結果として出力される出力信号又は 入力される入力信号としてのアナログ信号又はデジタル信号の電圧値が想定される上限を 超え又は下限を下回る場合に、 処理結果の異常を検出してもよい。
【0 0 1 7】
機能評価ュニッ 卜の異常検出部は、 制御装置の処理結果として出力される出力信号又は 入力される入力信号と してのアナログ信号又はデジタル信号の周波数が想定される周波数 を超える場合に、 処理結果の異常を検出してもよい。
【0 0 1 8】
機能評価ュニッ 卜の異常検出部は、 制御装置の処理結果に基づいて表示制御が行われる 表示装置を撮影した撮像情報に基づいて、 処理結果の異常を検出してもよい。
【0 0 1 9】
機能評価ュニッ 卜の異常検出部は、 撮像情報に基づいて表示装置の矛盾する表示を検出 した場合に、 処理結果の異常を検出してもよい。 【 0 0 2 0】
機能評価ュニッ 卜の異常検出部は、 制御装置の処理結果に関連する所定の値の単位時間 当たりの変化量が想定される閾値を超える場合に、 処理結果の異常を検出してもよい。
【 0 0 2 1】
機能評価ユニッ トの異常検出部は、 制御装置の処理結果として、 制御装置内のメモリア ドレスに含まれる変更不可能な値が上書きされた場合に、 処理結果の異常を検出してもよ レ、。
【 0 0 2 2】
また、 本発明の別の観点によれば、 セキュリティ検査ユニッ トが、 車載ネッ トワーク上 の制御装置のセキュリティを診断するための、 不正信号を含むランダムなテス ト信号を送 信するステップと、 機能評価ユニッ トが、 制御装置の処理結果に関連する情報を取得する ステップと、 機能評価ュニッ 卜が、 テス ト信号に基づく制御装置の処理結果の異常を検出 するステップと、 機能評価ユニッ トが、 検出された異常の情報を記憶又はセキュリティ検 査ユニッ トに送信するステップと、 セキュリティ検査ユニッ トが、 テス ト信号による制御 装置の処理結果に基づいて不正信号を特定するステップと、 を含む、 車載ネッ トワーク向 けの制御装置のセキュリティ検査方法が提供される。
【 0 0 2 3】
また、 本発明のさらに別の観点によれば、 車載ネッ トワーク上の制御装置の処理結果に 関連する情報を取得する処理情報取得部と、 制御装置のセキュリティを診断するセキユリ ティ検査ュニッ 卜から車載ネッ トワークを介して制御装置に送信された、 不正信号を含む ランダムなテス ト信号による制御装置の処理結果の異常を検出する異常検出部と、 検出さ れた異常の情報を出力する異常情報出力部と、 を備えた、 車載ネッ トワーク向けの制御装 置の機能評価装置が提供される。
【 0 0 2 4】
また、 本発明のさらに別の観点によれば、 コンピュータにより、 車載ネッ トワーク上の 制御装置の処理結果に関連する情報を取得する処理情報取得部と、 制御装置のセキュリテ ィを診断するセキュリティ検査ュニッ 卜から車載ネッ トワークを介して制御装置に送信さ れた、 不正信号を含むランダムなテス ト信号による制御装置の処理結果の異常を検出する 異常検出部と、 検出された異常の情報を出力する異常情報出力部と、 の機能を実現させる 、 プログラムが提供される。
【発明の効果】
【 0 0 2 5】
以上説明したように本発明によれば、 E C Uに改変を加えることなく、 ランダムなテス ト信号を用いて E C Uのセキュリティ検査を実行することができる。
【図面の簡単な説明】
【 0 0 2 6】
【図 1】 本発明の検査対象の E C Uを含む車載ネッ トワークの構成例を示す模式図で ある。
【図 2】 第 1の実施の形態に係るセキュリティ検査システムの構成例を示す模式図で ある。
【図 3】 同実施形態に係るセキュリティ検査システムによる異常判定方法を示す説明 図である。
【図 4】 同実施形態に係るセキュリティ検査システムによる処理のフローチヤ一卜の 一例を示す説明図である。
【図 5】 同実施形態の第 1の変形例に係るセキュリティ検査システムの構成例を示す 模式図である。
【図 6】 同実施形態の第 1の変形例に係るセキュリティ検査システムによる異常判定 方法を示す説明図である。
【図 7】 同実施形態の第 2の変形例に係るセキュリティ検査システムの構成例を示す 模式図である。 【図 8】 同実施形態の第 2の変形例に係るセキュリティ検査システムによる処理のフ ローチャー卜の一例を示す説明図である。
【図 9】 同実施形態の第 3の変形例に係るセキュリティ検査システムによる処理のフ ローチャー卜の一例を示す説明図である。
【図 1 0】 第 2の実施の形態に係るセキュリティ検査システムの構成例を示す模式図 である。
【図 1 1】 同実施形態に係るセキュリティ検査システムによる処理のフローチヤ一ト の一例を示す説明図である。
【図 1 2】 第 3の実施の形態に係るセキュリティ検査システムの構成例を示す模式図 である。
【図 1 3】 同実施形態に係るセキュリティ検査システムによる処理のフローチヤ一ト の一例を示す説明図である。
【図 1 4】 同実施形態の変形例に係るセキュリティ検査システムの構成例を示す模式 図である。
【図 1 5】 同実施形態の変形例に係るセキュリティ検査システムによる処理のフロー チヤ一卜の一例を示す説明図である。
【図 1 6】 第 4の実施の形態に係るセキュリティ検査システムの構成例を示す模式図 である。
【図 1 7】 同実施形態に係るセキュリティ検査システムによる処理のフローチヤ一ト の一例を示す説明図である。
【図 1 8】 第 5の実施の形態に係るセキュリティ検査システムの構成例を示す模式図 である。
【図 1 9】 セキュリティ検査システムの別の構成例を示す模式図である。
【発明を実施するための形態】
【 0 0 2 7】
以下に添付図面を参照しながら、 本発明の好適な実施の形態について詳細に説明する。 なお、 本明細書及び図面において、 実質的に同一の機能構成を有する構成要素については 、 同一の符号を付することにより重複説明を省略する。
【 0 0 2 8】
くく 1 . 第 1の実施の形態 > >
< 1 - 1 . 車載ネッ トワーク >
まず、 図 1を参照して、 第 1の実施の形態に係るセキュリティ検査システムによるセキ ユリティ検査を適用可能な E C U (制御装置） を備えた車載の通信ネッ トワーク （以下、
「車載ネッ トワーク」 ともいう。 ） の構成例について簡単に説明する。 図 1は、 乗用車や 商用車等の車両に搭載された複数の E C U 1 0 A〜 1 0 Eが接続された車載ネッ トワーク 1を示している。
【 0 0 2 9】
複数の E C U 1 0 A〜 1 0 Eは、 例えば、 車両のエンジンを制御するためのエンジンコ ントロールュニッ ト、 自動変速機を制御するための トランスミ ッションコントロールュニ ッ ト、 ハイブリ ッ ド車両の駆動用モータ又は発電用モータを制御するためのモータコント ロールュニッ ト、 ハイブリッ ド車両の高電圧バッテリを制御するためのバッテリコント口 ールュニッ ト、 ハイブリッ ド車両の駆動力あるいは回生力を統合的に制御するためのハイ ブリッ ドコントローノレュニッ ト、 ィンス トノレメントパネノレやドア口ック、 ノ ワーウィンド ゥ等を制御するためのボディコントロールュニッ ト、 エアバッグ装置を制御するためのェ アバッグコントロールュニッ ト等である。
【 0 0 3 0】
各 E C U 1 0 A〜1 0 Eには、 それぞれの制御対象の制御に必要とされる各種のァクチ ユエータゃセンサ等の周辺機器が接続されている。 E C U 1 0 A〜1 0 Eは、 演算処理結 果に基づいて周辺機器に対して信号を送信し、 あるいは、 周辺機器からセンサ信号等を受 信する。 例えば、 E C U 1 0 Aに接続された周辺機器 2 1〜 2 4のように、 周辺機器 2 1 〜24が個別に E CU 1 O Aに接続されていてもよレ、。 あるレ、は、 E CU 1 0 Cに接続さ れた周辺機器 3 1〜 3 4のように、 周辺機器 3 1〜3 4カ L I N (L o c a l I n t e r c o n n e c t N e t w o r k) 等のサブネッ トワーク 3 0を介して E C U 1 0 C に接続されていてもよい。
【 0 0 3 1】
各 E C U 1 0 A〜 1 0 Eは、 例えば、 通信バス 5との通信回路、 C PU (C e n t r a 1 P r o c e s s i n g U n i t ) 、 及び、 RAM (R a n d o m A c c e s s Me m o r y) や ROM (R e a d O n l y M e m o r y) 等の記憶素子を備えて構 成されている。 ROMには、 例えば、 C PUによって実行されるプログラムや、 プロダラ ムの演算処理に用いられるパラメータ等の情報が記憶される。 RAMには、 例えば、 C P Uによる演算処理結果や各種周辺機器 の送信信号、 各種周辺機器からの受信信号の情報 が記憶される。
【 0 0 3 2】
これらの複数の E CU 1 0 A〜 1 0 Eは、 それぞれ通信バス 5に接続され、 通信バス 5 を介して互いに情報の送受信が可能となっている。 本実施形態に係る車載ネッ トワーク 1 は、 CAN (C o n t r o l l e r A r e a N e t w o r k) システムと して構築さ れ、 複数の E CU 1 0 A〜 1 0 Eは、 通信バス 5を介して CANメッセージを送受信する ことにより、 互いに情報を送受信可能に構成されている。
【 0 0 3 3】
各 E CU 1 0 A〜 1 0 Eは、 自身の E CUにおいて取得あるいは算出された情報を、 他 の E C Uにより共有されるようにするために、 通信バス 5上に CANメッセージを送信す る。 CANメッセージの送信は、 所定の時間間隔で行われるように設定され得る。 他の E CUからの CANメッセージを受信した E C Uは、 CANメッセージに含まれる情報を用 いて、 制御対象の制御を実行することができる。
【 0 0 3 4】
本実施形態においては、 1つの E CUから送信された CANメッセージを他の E CUが 受信して演算処理を実行したとしても、 送信された CANメッセージに対する応答として 、 なんらかのメッセージが送信元の E CUに返信される構成とはなっていない。
【 0 0 3 5】
なお、 車載ネッ トワーク 1に接続される E CUの数は限定されない。 また、 通信バス 5 に対して接続される装置は E CUに限られず、 通信バス 5との通信回路及び駆動回路を備 えた各種周辺機器が接続されていてもよい。 また、 上記車載ネッ トワーク 1は CANシス テムとして構築されているが、 車載ネッ トワーク 1は、 L I N (L o c a l I n t e r c o n n e c t N e t w o r k; f l e x R a y^ M S T (Me d i a O r i e n t e d S y s t e m s T r a n s p o r t ) 、 C AN— F D (CAN w i t h F l e x i b l e D a t a r a t e ) 、 又は、 Au t o m o t i v e E t h e r n e tであってもよい。 通信バス 5を介して送受信される信号は、 車載ネッ トワーク 1の規 格に沿って構成される。 各 E CU 1 0 A〜 1 0 Eと通信バス 5との間で行われる通信は、 有線通信に限られず、 無線通信であってもよい。
【 0 0 3 6】
く 1— 2. セキュリティ検査システム >
( 1 - 2 - 1. 全体概要）
次に、 車載ネッ トワーク 1上の E C U 1 0 A〜 1 0 E (以下、 特に区別する必要がある 場合を除き、 「E CU 1 0」 と表記する。 ） のセキュリティの脆弱性を検査する本実施形 態に係るセキュリティ検査システムについて説明する。 上述のとおり、 車載ネッ トワーク 1上には複数の E CU 1 0等が存在し、 さらに、 車両の機能の多様化にも対応できるよう に、 追加の E CUや各種周辺機器が車載ネッ トワーク 1に接続可能になっている。 E CU 1 0では、 意図的に、 あるいは、 意図せずに、 E CU 1 0に送信されてくる不正な信号に よって異常な制御動作が引き起こされないように、 不正信号に対するセキュリティが補償 されなければならない。 【 0 0 3 7】
このため、 E C U 1 0の開発段階においては、 E C U 1 0の R O M等に格納されるソフ トウエアのセキュリティ検査が行われ、 E C U 1 0の演算処理に異常を引き起こし得る不 正信号が特定され、 ソフ トウェアの修正が行われる。 一般的なソフ トウェアのセキユリテ ィ検査は、 ソフ トウェアの内部構造の情報を持たないセキュリティ検査装置 （セキユリテ ィ検査ツール） により、 ブラックボックスの状態で行われている。 かかるセキュリティ検 査装置としては、 一般的に、 不正信号を含むランダムなテス ト信号を送信しつつ、 当該テ ス ト信号に対する何らかの返信をテス ト対象の装置から受け取って、 不正信号を特定する 。 このようなセキュリティ検査としては、 例えばフアジングが知られている。
【 0 0 3 8】
このため、 他の E C U等から信号を受け取り、 演算処理を行った結果を当該他の E C U 等に返信する構成とはなっていない E C U 1 0では、 一般的なセキュリティ検査装置によ るセキユリティ検査を実行することができない。
【 0 0 3 9】
他方で、 E C U 1 0の開発段階において、 E C U 1 0の動作を検査する装置として、 検 査対象の E C U 1 0から他の E C Uあるいは周辺機器への出力信号、 又は、 周辺機器から 検査対象の E C U 1 0への入力信号を監視して、 評価を行う機能評価装置 （テス ト評価ッ ール） が用いられている。 かかる機能評価装置は、 E C U 1 0に対して特定の指令あるい は条件を入力したときの E C U 1 0からの出力信号又は E C U 1 0への入力信号を評価す るようになっている。 したがって、 考え得るあらゆる入力信号に対するセキュリティを検 査できるものではない。
【 0 0 4 0】
これに対して、 本実施形態に係るセキュリティ検査システムでは、 セキュリティ検査装 置から出力されるランダムなテス ト信号に基づいて E C U 1 0が演算処理を行った結果と して E C U 1 0から出力される出力信号、 又は、 周辺機器から E C U 1 0に対して入力さ れる入力信号に異常が見られないかを、 機能評価装置により監視する。 また、 E C U 1 0 からの出力信号又は E C U 1 0への入力信号に異常が見られた場合には、 当該異常の情報 に基づいて、 セキュリティ検査装置が、 異常を発生させた不正信号を特定する。 これによ り、 E C U 1 0に大幅な改変を加えることなく、 セキュリティ検査装置によるセキュリテ ィ検査が可能となっている。
【 0 0 4 1】
図 2は、 本実施形態に係るセキュリティ検査システムの全体構成を示すプロック図であ る。 セキュリティ検査システムは、 セキュリティ検査ュニッ ト 1 0 0と、 機能評価ュニッ ト （機能評価装置） 1 5 0とを備える。 すでに述べたとおり、 本実施形態に係るセキユリ ティ検査システムは、 セキュリティ検査ュニッ ト 1 0 0と機能評価ュニッ ト 1 5 0とは独 立した装置として構成されている。 ただし、 セキュリティ検査ユニッ ト 1 0 0と機能評価 ュニッ ト 1 5 0とが単体の装置として構成されてもよレ、。 以下、 車載ネッ トワーク 1が C A Nシステムである場合を例に採って、 各ユニッ トの構成、 及び、 セキュリティ検査シス テムによるセキュリティ検査方法について説明する。
【 0 0 4 2】
( 1— 2— 2 . セキュリティ検査ユニッ ト）
セキュリティ検査ュニッ ト 1 0 0は、 例えば C P U等のプロセッサを備え、 テス ト信号 送信部 1 1 0と、 診断部 1 2 0と、 記憶部 1 3 0とを有する。 プロセッサは、 プログラム を実行することにより、 テス ト信号送信部 1 1 0及び診断部 1 2 0として機能する。 記憶 部 1 3 0は、 R A M及び R O Mを含み、 プロセッサにより実行されるプログラム及び各種 のデータを記憶する。 また、 記憶部 1 3 0は、 半導体メモリやハードディスク、 外付けの 記憶装置等を含んでいてもよい。
【 0 0 4 3】
テス ト信号送信部 1 1 0は、 例えばプロセッサ及び駆動回路により構成され、 不正信号 を含むランダムなテス ト信号を、 通信バス 5を介して検査対象の E C U 1 0に送信する。 かかるテス ト信号は、 例えばフアジング信号であってもよい。 本実施形態に係るセキユリ ティ検査システムでは、 テス ト信号送信部 1 1 0は、 テス ト信号として、 構成され得る C ANメッセージを、 E CU 1 0に対してランダムに送信する。 例えば、 構成され得るすべ ての CANメッセージを E CU 1 0に対してランダムに送信してもよレ、。 この CANメッ セージには、 不正信号も含まれ得る。
【 0 0 4 4】
診断部 1 2 0は、 テス ト信号送信部 1 1 0から送信されたテス ト信号に基づいて E CU 1 0が演算処理を実行した結果、 処理結果に異常が見られた場合に、 当該異常を発生させ た不正信号を特定する。 例えば、 診断部 1 2 0は、 機能評価ュニッ ト 1 5 0から出力され て記憶部 1 3 0に記憶された異常の情報に基づき、 当該異常を発生させたテス ト信号の送 信時期を特定することで、 不正信号を特定してもよい。 ただし、 診断部 1 2 0による不正 信号の特定方法は上記の例に限られず、 従来公知のセキュリティ検査装置による方法を含 む種々の方法が採用され得る。
【 0 0 4 5】
記憶部 1 3 0は、 機能評価ュニッ ト 1 5 0から出力される異常の情報を記憶する。 当該 異常の情報は、 テス ト信号送信部 1 1 0から E CU 1 0に送信されたテス ト信号のうちの 不正信号によって、 E CU 1 0による演算処理の結果に異常が見られた場合の、 当該演算 処理結果に関連する情報である。 具体的には、 機能評価ュニッ ト 1 5 0の異常検出部 1 7 0の説明において詳述する。
【 0 0 4 6】
( 1 - 2 - 3. 機能評価ュニッ ト）
機能評価ュニッ ト 1 5 0は、 例えば C P U等のプロセッサを備え、 テス ト条件設定部 1 5 5と、 処理情報取得部 1 6 0と、 異常検出部 1 7 0と、 異常情報出力部 1 8 0とを有す る。 プロセッサは、 プログラムを実行することにより、 テス ト条件設定部 1 5 5、 処理情 報取得部 1 6 0、 異常検出部 1 7 0及び異常情報出力部 1 8 0として機能する。 また、 機 能評価ユニッ ト 1 5 0は、 図示しない記憶部を備える。 記憶部は、 RAM及び ROMを含 み、 プロセッサにより実行されるプログラム及びデータを記憶する。 記憶部は、 半導体メ モリや ドディスク、 外付けの記憶装置等を含んでいてもよい。
【 0 0 4 7】
テス ト条件設定部 1 5 5は、 検査対象の E CU 1 0が正常なテス ト環境下に置かれるよ うに、 当該 E CU 1 0に対してテス ト条件の信号を送信する。 例えば、 E CU 1 0が実際 に車両に搭載された場合に生じ得る車両の状態をテス ト条件として設定し、 E CU 1 0に 対して送信する。 例えば、 送信され得るテス ト条件の信号には、 イダニッシヨンスィッチ のオンオフ状態を示す信号、 周辺機器等から E CU 1 0に入力され得る種々の情報を含む アナ口グ信号あるいはデジタル信号、 及び車速やギヤポジション等の情報を含む CANメ ッセージのうちの少なく とも 1つが含まれ得る。 テス ト条件は、 ユーザにより手動で設定 されてもよく、 あるいは、 あらかじめ設定された 1つ又は複数のテス ト条件の中から手動 又は自動で選択されてもよい。 複数のテス ト条件下でセキュリティ検査を実行する場合、 テス ト条件設定部 1 5 5は、 テス ト条件を切り替えながら様々なテス ト条件下でセキュリ ティ検査を実行させてもよい。
【 0 0 4 8】
処理情報取得部 1 6 0は、 セキュリティ検査ュニッ ト 1 0 0から送信されたテス ト信号 に基づいて行われた E CU 1 0による処理結果の情報を取得する。 かかる処理結果の情報 は、 処理結果として E CU 1 0から出力される出力信号、 周辺機器から E CU 1 0に入力 される入力信号、 及び、 E CU 1 0に備えられた RAMや ROM等の記憶部に記憶された データ等を含み得る。 より具体的には、 処理結果の情報は、 E CU 1 0から通信バス 5上 に送信された CANメッセージ、 E CU 1 0から周辺機器に送信されたアナログ信号又は デジタル信号、 周辺機器から E CU 1 0に入力されたアナログ信号又はデジタル信号、 及 び、 E CU 1 0の記憶部に記憶されたメモリア ドレスのデータ等を含み得る。 処理情報取 得部 1 6 0は、 取得した情報を図示しない記憶部に記憶してもよい。 【 0 0 4 9】
異常検出部 1 7 0は、 処理情報取得部 1 6 0により取得された処理結果の情報から、 処 理結果の異常を検出する。 E CU 1 0がランダムなテス ト信号を用いて演算処理を行った 結果として生じ得る異常は、 様々な態様で現れ得る。 例えば、 E CU 1 0による CANメ ッセージの転送の有無が適切に行われているか否か、 あるいは、 E CU 1 0に入力される センサ値が適切な範囲であるか否か、 センサ値の変化が適切か否か、 又は、 センサ値の周 波数が適切であるか否かにより、 E CU 1 0の処理結果の異常を判定することができる。 これらの異常の有無は、 テス ト条件設定部 1 5 5により設定されたテス ト条件下において 出力された処理結果として適切であるか否かを判別することにより判定され得る。
【 0 0 5 0】
図 3は、 異常検出部 1 7 0による異常判定方法のいくつかを例示した判定テーブルを示 している。 例えば、 E CU 1 0からの出力信号として、 通信バス 5に送信される C ANメ ッセージの送信周波数 f eが、 設定されたテス ト条件下において想定される上限の周波数 f e— 0を超える場合に、 異常検出部 1 7 0は、 E CU 1 0の処理結果が異常であると判 定することができる。 例えば、 ある CANメッセージが、 1 0 0ミ リ秒ごとに送信される ように設定されているにもかかわらず、 より高い頻度で CANメッセージが送信された場 合に、 異常検出部 1 7 0は、 E CU 1 0の処理結果が異常であると判定することができる
【 0 0 5 1】
また、 E CU 1 0からの出力信号として、 周辺機器に対して送信されるアナログ又はデ ジタルの指令信号の電圧値 Vが、 設定されたテス ト条件下において想定される上限の値 V —0を超える場合に、 異常検出部 1 7 0は、 E CU 1 0の処理結果が異常であると判定す ることができる。 例えば、 指令信号の電圧値 Vが 2. 0 V ( = V— 0) を大きく上回って いる場合に、 異常検出部 1 7 0は、 E CU 1 0の処理結果が異常であると判定することが できる。 電圧値 Vの上限値だけでなく下限値が定められてもよい。
【 0 0 5 2】
E CU 1 0から周辺機器に対して送信されるアナログ又はデジタルの指令信号の送信周 波数 f Vが、 設定されたテス ト条件下において想定される上限の周波数 f V— 0を超える 場合においても、 異常検出部 1 7 0は、 E CU 1 0の処理結果が異常であると判定するこ とができる。 E CU 1 0では、 制御対象に応じて演算処理のサイクルあるいは指令信号の 送信サイクルが設定されているため、 かかる指令信号の送信周波数 f Vを異常検出に用い ることができる。 例えば、 アナログ又はデジタルの指令信号の送信周波数 f Vが 1 0 , 0 0 0 H z (= f v_0 ) を大きく上回っている場合に、 異常検出部 1 7 0は、 E CU 1 0 の処理結果が異常であると判定することができる。
【 0 0 5 3】
また、 E CU 1 0による演算処理の結果を反映して、 周辺機器から E CU 1 0に対して 入力されるアナログ信号又はデジタル信号の電圧値 Vが、 設定されたテス ト条件下におい て想定される上限の値 V—0を超える場合に、 異常検出部 1 7 0は、 E CU 1 0の処理結 果が異常であると判定することができる。 例えば、 センサ信号の電圧値 Vが 2. 0 V (= V— 0 ) を大きく上回っている場合に、 異常検出部 1 7 0は、 E CU 1 0の処理結果が異 常であると判定することができる。 電圧値 Vの上限値だけでなく下限値が定められてもよ レ、。
【 0 0 5 4】
周辺機器から E CU 1 0に対して入力されるアナログ信号又はデジタル信号の周波数 f Vが、 設定されたテス ト条件下において想定される上限の周波数 f v— 0を超える場合に おいても、 異常検出部 1 7 0は、 E CU 1 0の処理結果が異常であると判定することがで きる。 例えば、 E CU 1 0では、 各種センサから E CU 1 0へのセンサ信号の送信サイク ルが設定されているため、 かかるセンサ信号の周波数 f Vを異常検出に用いることができ る。
【 0 0 5 5】 また、 E CU 1 0から通信バス 5に送信される CANメッセージに含まれる情報、 E C U 1 0から周辺機器への出力信号、 又は、 周辺機器から E CU 1 0への入力信号に含まれ 得る値の単位時間当たりの変化量 Δ Xが、 設定されたテス ト条件下において想定される閾 値 Δ X— 0を超える場合に、 異常検出部 1 7 0は、 E CU 1 0の処理結果が異常であると 判定することができる。 例えば、 E CU 1 0からの出力信号又は E CU 1 0への入力信号 に含まれる情報としてのエンジン回転数が、 短時間の間に 3 , 0 0 0回転から 8 , 0 0 0 回転に上昇した場合に、 異常検出部 1 7 0は、 E CU 1 0の処理結果が異常であると判定 することができる。
【 0 0 5 6】
また、 E CU 1 0による演算処理の結果を反映して、 E C U 1 0内の所定のメモリアド レスに含まれる変更不可能なメモリア ドレス値 Yが上書きされた場合に、 異常検出部 1 7 0は、 E CU 1 0の処理結果が異常であると判定することができる。 例えば、 CANメッ セージのバッファフレームの終わりを意味するメモリアドレス値 Yは、 変更不可能な値と されているにもかかわらず、 当該メモリア ドレス値 Yが上書きされた場合に、 異常検出部 1 7 0は、 E C U 1 0の処理結果が異常であると判定することができる。
【 0 0 5 7】
例えば、 異常判定を行うための閾値等は、 設定し得るテス ト条件ごとに設定される。 好 ましくは、 設定され得るテス ト条件ごとにあらかじめ判定テーブルが用意されて記憶部に 記憶される。 異常判定方法は、 図 3に示した例に限られない。 図 3に例示した判定種別の いくつかが省略されていてもよい。 あるいは、 異常判定部 1 7 0は、 ここに示した例以外 の方法により、 E CU 1 0の処理結果の異常を判定してもよい。 例えば、 ゲートウェイと しての機能を有する E CU 1 0が CANメッセージを受信した場合に、 他の E CUに対し て受信した CANメッセージを転送するよう設定されているにもかかわらず、 転送されな い場合に、 異常検出部 1 7 0は、 E CU 1 0の処理結果が異常であると判定することがで さる。
【 0 0 5 8】
異常情報出力部 1 8 0は、 異常検出部 1 7 0により E CU 1 0の演算処理結果の異常が 検出された場合に、 当該異常の情報を出力し、 セキュリティ検査ユニッ ト 1 0 0の記憶部 1 3 0に記憶させる。 かかる異常の情報がセキュリティ検査ュニッ ト 1 0 0の記憶部 1 3 0に記憶される際に、 例えば、 E CU 1 0による出力あるいは入力の時刻、 機能評価ュニ ッ ト 1 5 0の処理情報取得部 1 6 0が処理結果の情報を取得した時刻、 異常検出部 1 7 0 により異常が検出された時刻、 あるいは、 異常情報出力部 1 8 0から出力した時刻の少な く とも 1つの情報とともに記憶されてもよい。
【 0 0 5 9】
セキュリティ検査ユニッ ト 1 0 0の診断部 1 2 0は、 例えば、 異常の情報に紐付けされ た時刻の情報と、 テス ト信号送信部 1 1 0からランダムに送信されたそれぞれのテス ト信 号の送信時刻の情報とに基づいて、 E CU 1 0の処理結果の異常を発生させた不正信号を 特定することができる。 ただし、 セキュリティ検査ュニッ ト 1 0 0の診断部 1 2 0による 不正信号の特定方法は、 かかる例に限定されるものではなく、 診断部 1 2 0は、 以下のよ うにして、 E CU 1 0の処理結果の異常を発生させた不正信号を特定してもよい。
【 0 0 6 0】
例えば、 セキュリティ検査ュニッ ト 1 0 0のテス ト信号送信部 1 1 0が短い間隔で複数 のテス ト信号を送信するような場合には、 上記の例のように、 異常の情報に紐付けされた 時刻の情報と、 送信時刻の情報とに基づいて不正信号を一旦特定した後、 再び、 当該特定 された不正信号の前後に送信された複数のテス ト信号を、 テス ト信号送信部 1 0 0が再送 する。 このとき、 テス ト信号送信部 1 0 0は、 最初にテス ト信号を送信したときの送信間 隔よりも大きい送信間隔でテス ト信号を再送する。 これにより、 特定される不正信号の確 からしさが保証され得る。
【 0 0 6 1】
例えば、 テス ト信号送信部 1 1 0が、 1巡目に、 テス ト信号 T S 1 , T S 2 , T S 3 , T S 4 , T S 5 , T S 6 , T S 7 , T S 8 , T S 9 , T S 1 0を送信して、 テス ト信号 T S 6が不正信号と特定された場合、 テス ト信号送信部 1 1 0は、 2巡目に、 テス ト信号 Τ S 4 , T S 5, T S 6 , T S 7, T S 8を、 送信間隔を大きく して送信する。 1回目と同 様に機能評価ュニッ ト 1 5 0の異常検出部 1 7 0で異常判定が行われてフィードバックさ れた異常の情報に基づいて、 診断部 1 2 0が再度不正信号を特定する。 このとき、 テス ト 信号の送信間隔が大きいことから、 時刻情報の対応付けが容易になるため、 例えば、 実際 の不正信号が、 テス ト信号 T S 6ではなくテス ト信号 T S 5であることを発見することが 可能になる。
【 0 0 6 2】
また、 別の例として、 機能評価ュニッ ト 1 5 0の処理情報取得部 1 6 0力 E CU 1 0 から演算処理の結果の情報を取得する際に、 併せて、 当該演算処理を実行させた CANメ ッセージとしてのテス ト信号の情報を取得する。 この場合、 機能評価ュニッ ト 1 5 0の異 常検出部 1 7 0は、 処理結果の異常を検出する際に、 テス ト信号 （不正信号） を把握する ことができ、 異常情報出力部 1 8 0は、 不正信号の情報も含む異常の情報を出力して、 セ キュリティ検査ュニッ ト 1 0 0の記憶部 1 3 0に記憶させる。 その結果、 セキュリティ検 査ュニッ ト 1 0 0の診断部 1 2 0力 不正信号を特定することができる。
【 0 0 6 3】
さらなる別の例として、 セキュリティ検査ュニッ ト 1 0 0のテス ト信号送信部 1 1 0が 、 機能評価ュニッ ト 1 5 0から異常の情報がフィードバックされ得る最大待機時間以上の 送信間隔でテス ト信号を送信してもよい。 この場合、 診断部 1 2 0は、 機能評価ュニッ ト 1 5 0から E CU 1 0の処理結果の異常の情報がフィ一ドバックされてきたときに、 直前 に送信したテス ト信号が不正信号であることを特定することができる。
【 0 0 6 4】
( 1— 2— 4. フローチャート）
次に、 図 4を参照して、 本実施形態に係るセキュリティ検査システムによるセキユリテ ィ検査方法のフローチャートの一例を説明する。 以下のフローチャートによる処理は、 例 えば、 E CU 1 0の開発過程の最終段階で実施されてもよい。
【 0 0 6 5】
まず、 機能評価ュニッ ト 1 5 0のテス ト条件設定部 1 5 5は、 テス ト条件を設定して、 検査対象の E CU 1 0に送信する （ステップ S 8 ) 。 テス ト条件は、 例えば、 イダニッシ ョンスィツチのオンオフ状態、 E CU 1 0にアナログ信号あるいはデジタル信号が入力さ れ得る周辺機器等の差動状態、 及び車速やギヤポジション等の車両の状態などを含む。 こ れらの条件は、 ユーザにより手動で設定されてもよく、 あるいは、 あらかじめ設定された 1つ又は複数のテス ト条件の中から手動又は自動で選択されてもよい。
【 0 0 6 6】
次いで、 セキュリティ検査ュニッ ト 1 0 0のテス ト信号送信部 1 1 0は、 不正信号を含 むランダムなテス ト信号を、 通信バス 5を介して E CU 1 0に送信する （ステップ S 1 0 ) 。 ランダムなテス ト信号の生成は、 所定のランダム信号生成プログラムにより実行され てもよい。 次いで、 テス ト信号を受信した E CU 1 0は、 当該テス ト信号に基づいて演算 処理を実行する （ステップ S 1 4 ) 。 その結果、 E CU 1 0から通信バス 5へ C ANメ ッ セージが出力されたり、 E CU 1 0に接続された周辺機器に対して指令信号が出力された り、 さらに、 周辺機器から E CU 1 0に対してセンサ信号等が入力されたりする。
【 0 0 6 7】
次いで、 機能評価ユニッ ト 1 5 0の処理情報取得部 1 6 0が、 E CU 1 0から、 処理結 果として E CU 1 0からの出力信号、 周辺機器から E CU 1 0への入力信号、 及び、 E C U 1 0に備えられた RAMや ROM等の記憶部に記憶されたデータ等を取得し、 異常検出 部 1 7 0が異常判定を行う （ステップ S 1 8 ) 。 例えば、 異常検出部 1 7 0は、 図 3に例 示したテス ト条件に応じた対応する異常判定の基準を参照して、 E CU 1 0の処理結果の 異常の有無を判定する。
【 0 0 6 8】 次いで、 機能評価ュニッ ト 1 5 0の異常検出部 1 7 0は、 E CU 1 0の処理結果に異常 があったか否かを判別し （ステップ S 2 2 ) 、 異常が無い場合 （S 2 2 ： N o ) にはステ ップ S 3 4に進む。 一方、 異常が有った場合 （S 2 2 ： Y e s ) 、 機能評価ュニッ ト 1 5 0の異常情報出力部 1 8 0は、 セキュリティ検査ュニッ ト 1 0 0に対して異常の情報を出 力する （ステップ S 2 6 ) 。 これにより、 E CU 1 0の処理結果の異常の情報は、 セキュ リティ検査ュニッ ト 1 0 0の記憶部 1 3 0に記憶される。
【 0 0 6 9】
次いで、 セキュリティ検査ュニッ ト 1 0 0の診断部 1 2 0は、 記憶部 1 3 0に記憶され た異常の情報と、 テス ト信号送信部 1 1 0から送信されたテス ト信号の情報とに基づいて 、 E CU 1 0の処理結果の異常を発生させた不正信号を特定する （ステップ S 3 0) 。 例 えば、 診断部 1 2 0は、 機能評価ュニッ ト 1 5 0から出力されて記憶部 1 3 0に記憶され た異常の情報に基づき、 当該異常を発生させたテス ト信号の送信時期を特定することで、 不正信号を特定してもよい。 なお、 不正信号を特定する方法は上記の例に限定されない。 特定された不正信号の情報は、 後に参照可能なように、 記憶部 1 3 0に記憶されてもよい
【 0 0 7 0】
ステップ S 2 2において異常が見られなかった場合 （S 2 2 ： N o ) 、 あるいは、 ステ ップ S 3 0で不正信号が特定された場合、 セキュリティ検査ュニッ ト 1 0 0のテス ト信号 送信部 1 1 0は、 検査を継続するか否かを判別する （ステップ S 3 4) 。 検査すべきテス ト信号が残存する場合 （S 3 4 ： Y e s ) 、 ステップ S 1 0に戻って、 ここまでに説明し た処理を繰り返し実行する。 一方、 すべてのテス ト信号の送信が終了している場合 （S 3 4 ： N o ) 、 セキュリティ検査システムによるセキュリティ検査が終了する。
【 0 0 7 1】
この後、 E CU 1 0のソフ トウェアのプログラマ一等は、 セキュリティ検査ユニッ ト 1 0 0の記憶部 1 3 0に記憶された不正信号の情報を参照し、 ソフ トウエアの修正等を行う ことで、 ソフ トウェアの脆弱性を改善する。 すべてのテス ト信号に対して、 E CU 1 0の 処理結果がすべて正常となるまでかかるセキュリティ検査が繰り返し実行される。 これに より、 E CU 1 0のセキュリティが保証される。
【 0 0 7 2】
< 1 - 3. 変形例 >
ここまでに説明した実施形態に係るセキュリティ検査システムは、 上記の構成に限られ ず、 種々の変形が可能である。 以下、 本実施形態に係るセキュリティ検査システムの変形 例のいくつかを説明する。
【 0 0 7 3】
( 1 - 3 - 1. 第 1の変形例）
図 5は、 本実施形態の第 1の変形例に係るセキュリティ検査システムの構成例を示して いる。 第 1の変形例に係るセキュリティ検査システムは、 E CU 1 0の処理結果に基づい て表示制御が行われる表示装置 8 0と、 かかる表示装置 8 0の表示状態を撮像する撮像ュ ニッ ト 9 0とを備える。
【 0 0 7 4】
表示装置 8 0は、 例えば、 インス トルメン トクラスターであってよく、 E C U 1 0の制 御指令に基づく車両の制御状態が疑似的にィンス トルメントクラスター上に表示される。
【 0 0 7 5】
撮像ュニッ ト 9 0は、 表示装置 8 0の表示部を撮像範囲に捉える 3台のカメラ 9 1 , 9 2 , 9 3を備える。 それぞれのカメラ 9 1 , 9 2 , 9 3は、 表示装置 8 0の表示部を分割 して撮像する。 カメラの台数は 3つに限られない。 カメラは、 例えば、 C CD (C h a r g e - C o u p 1 e d D e v i c e ) ィメージセンサ又は C MO S (C o m p 1 e rn e n t a r y Me t a l O x i d e S e m i c o n d u c t o r ) イメージセンサを 備えたカラー画像を取得可能なカメラとすることができる。 撮像ュニッ ト 9 0で撮像され た画像情報は、 機能評価ュニッ ト 1 5 0の異常検出部 1 7 0に送信される。 【 0 0 7 6】
異常検出部 1 7 0は、 例えば、 画像認識や文字認識等の画像処理を実行するとともに、 当該画像処理の結果に基づいて、 E CU 1 0の演算処理結果の異常判定を実行する。 例え ば、 異常検出部 1 7 0は、 画像処理により、 表示装置 8 0上の数値を認識したり、 ゲージ の角度を認識したり、 ランプの点灯の有無を認識したりすることにより、 表示内容を算出 することができる。
【 0 0 7 7】
図 6は、 第 1の変形例に係るセキュリティ検査システムの機能評価ュニッ ト 1 5 0にお ける、 異常検出部 1 7 0による異常判定方法のいくつかを例示した判定テーブルを示して いる。 図 6に示した判定種別のうち、 1〜 3， 5の判定種別は、 図 3に示した判定テープ ルと同じである。
【 0 0 7 8】
また、 判定種別の 4では、 E CU 1 0から通信バス 5に送信される CANメッセージに 含まれる情報、 E CU 1 0から周辺機器への出力信号、 又は、 周辺機器から E CU 1 0へ の入力信号に含まれ得る値だけでなく、 表示装置 8 0の撮像情報を用いて、 所定の値の単 位時間当たりの変化量 Δ Xが想定される閾値 Δ X—0を超える場合に、 異常検出部 1 7 0 は、 E CU 1 0の処理結果が異常であると判定することができる。 例えば、 表示装置 8 0 の表示部のエンジン回転数メータに表示されたエンジン回転数が、 短時間の間に 3 , 0 0 0回転から 8 , 0 0 0回転に上昇した場合に、 異常検出部 1 7 0は、 E CU 1 0の処理結 果が異常であると判定することができる。
【 0 0 7 9】
さらに、 判定種別の 6では、 表示装置 8 0の表示内容に矛盾がある場合に、 異常検出部 1 7 0は、 E C U 1 0の処理結果が異常であると判定することができる。 例えば、 テス ト 信号に基づく E CU 1 0の演算処理の結果により、 表示装置 8 0におけるギヤレンジの位 置の表示の 「D (ドライブ） 」 及び 「P (パーキング） 」 がともに点灯した場合に、 異常 検出部 1 7 0は、 E CU 1 0の処理結果が異常であると判定することができる。
【 0 0 8 0】
第 1の変形例に係るセキュリティ検査システムによるセキュリティ検査方法は、 図 4に 示したフローチヤ一卜の例に沿って実行され得る。 第 1の変形例に係るセキュリティ検査 システムによれば、 E CU 1 0の制御指令に基づく車両の制御状態が表示される表示装置 8 0の撮像情報を用いて、 視覚的に E CU 1 0の動作を監視することもできるようになる
【 0 0 8 1】
( 1 - 3 - 2. 第 2の変形例）
図 7は、 本実施形態の第 2の変形例に係るセキュリティ検査システムの構成例を示して いる。 第 2の変形例に係るセキュリティ検査システムは、 機能評価ユニッ ト 1 5 0の異常 情報出力部 1 8 5が、 セキュリティ検査ュニッ ト 1 0 0に異常の情報を送信するのではな く、 機能評価ュニッ ト 1 5 0に備えられた記憶部 1 9 0に異常の情報を出力し、 記憶させ る。 記憶部 1 9 0は、 半導体メモリやハードディスク、 外付けの記憶装置等からなり、 後 に、 セキュリティ検査ユニッ ト 1 0 0が、 記憶された異常の情報を読み込み可能になって いる。
【 0 0 8 2】
例えば、 セキュリティ検査ュニッ ト 1 0 0と機能評価ュニッ ト 1 5 0とを通信線により 接続したり、 異常の情報を記憶したハードディスクや U S B (Un i v e r s a l S e r i a l B u s ) メモリ等をセキュリティ検査ュニッ ト 1 0 0に接続したりすることに より、 セキュリティ検査ユニッ ト 1 0 0が異常の情報を読み込んでもよい。 これにより、 セキュリティ検査ュニッ ト 1 0 0の診断部 1 2 0は、 E CU 1 0の処理結果の異常の情報 と、 ランダムに送信されたテス ト信号の情報とに基づいて、 不正信号を特定することがで さる。
【 0 0 8 3】 図 8は、 第 2の変形例に係るセキュリティ検査システムによるセキュリティ検査方法の フローチヤ一トを示している。 セキュリティ検査ュニッ ト 1 0 0、 E C U 1 0、 及び、 機 能評価ユニッ ト 1 5 0は、 それぞれ、 図 4のフローチャートに基づいて説明した手順と同 様の手順で、 ステップ S 8〜ステップ S 2 2の各処理を実行する。 第 2の変形例に係るセ キュリティ検査システムでは、 E C U 1 0の処理結果に異常があった場合 （S 2 2 ： Y e s ) 、 ステップ S 2 7において、 機能評価ュニッ ト 1 5 0の異常情報出力部 1 8 5力 記 憶部 1 9 (H E C U 1 0の処理結果の異常の情報を記憶する。
【 0 0 8 4】
ステップ S 2 2において異常が見られなかった場合 （S 2 2 ： N o ) 、 あるいは、 ステ ップ S 2 7で異常の情報が記憶部 1 9 0に記憶された場合、 セキュリティ検査ュニッ ト 1 0 0のテス ト信号送信部 1 1 0は、 検査を継続するか否かを判別する （ステップ S 3 4 ) 。 検査すべきテス ト信号がすべて終了するまで （S 3 4 ： N o ) 、 ステップ S 1 0に戻つ て、 ここまでの各ステップの処理を繰り返し実行する。
【 0 0 8 5】
第 2の変形例に係るセキュリティ検査システムによれば、 機能評価ユニッ ト 1 5 0の異 常検出部 1 7 0により検出された異常の情報を、 一旦記憶部 1 9 0に記憶させておき、 後 で不正信号をまとめて特定することができる。 第 2の変形例に係るセキュリティ検査シス テムによれば、 例えば、 フアジング等のランダムなテス ト信号の送信中におけるセキユリ ティ検査ュニッ ト 1 0 0の負荷を低減させることができる。
【 0 0 8 6】
( 1 - 3 - 3 . 第 3の変形例）
図 9は、 図 2に示した本実施形態に係るセキュリティ検査システムによるセキュリティ 検査方法のフローチャートの変形例 （第 3の変形例） を示している。 第 3の変形例では、 機能評価ュニッ ト 1 5 0のテス ト条件設定部 1 5 5により複数のテス ト条件が順次に設定 され、 それぞれのテス ト条件下においてセキュリティ検査が実行されるようになつている
【 0 0 8 7】
機能評価ュニッ ト 1 5 0のテス ト条件設定部 1 5 5は、 図示しない記憶部にあらかじめ 記憶された複数のテス ト条件の中から、 セキュリティ検査を実行するテス ト条件を選択し 、 検査対象の E C U 1 0に対してテス ト条件の信号を送信可能になっている。 また、 テス ト条件設定部 1 5 5は、 あるテス ト条件についてのセキュリティ検査が終了した場合、 次 のテス ト条件へと順次切り替えて、 複数のテス ト条件下においてセキュリティ検査が実行 されるようにする。
【 0 0 8 8】
複数のテス ト条件は、 例えば、 以下のように設定され得る。
テス ト条件 1 ： ィグニッシヨンスィッチ =オフ、 ギヤレンジ =パーキングレンジ、 車速 = 0 k m / h , など
テス ト条件 2 ： イダニッシヨンスィッチ =オン、 ギヤレンジ = ドライブレンジ、 車速 = 5 0 k m / h , など
テス ト条件 3 ： ィダニッションスィツチ =オン、 ギヤレンジ =リバースレンジ、 車速 = 5 k m/ h、 なと
【 0 0 8 9】
なお、 テス ト条件は 3つに限られない。 また、 上記に例示したテス ト条件以外に、 想定 され得る車両の状態の情報がテス ト条件に含まれてもよい。 以下のフローチヤ一卜の説明 においては、 上記のテス ト条件 1〜テス ト条件 3をこの順に設定しながらセキュリティ検 査を行う例について説明する。 ただし、 テス ト条件の設定順序はランダムであってもよい
【 0 0 9 0】
図 9に示したフローチヤ一トを参照すると、 まず、 機能評価ュニッ ト 1 5 0のテス ト条 件設定部 1 5 5は、 あらかじめ設定された複数のテス ト条件の中から、 いずれかのテス ト 条件を選択する （ステップ S 6 ) 。 例えば、 セキュリティ検査の開始直後において、 テス ト条件設定部 1 5 5は、 上記のテス ト条件 1を選択する。
【 0 0 9 1】
以降、 選択されたテス ト条件下で、 セキュリティ検査ュニッ ト 1 0 0、 E C U 1 0、 及 び、 機能評価ユニッ ト 1 5 0は、 それぞれ図 4のフローチャートに基づいて説明した手順 と同様の手順で、 ステップ S 8〜ステップ S 3 0の各処理を実行する。 当該処理の結果、 あるテス ト信号が不正信号であるか否かが判定された後、 テス ト条件設定部 1 5 5は、 現 在のテス ト条件下で検査を継続するか否かを判別する （ステップ S 3 6 ) 。 例えば、 テス ト条件設定部 1 5 5は、 現在のテス ト条件下で、 すべてのテス ト信号についての検査を終 了したか否かを判別することにより、 ステップ S 3 6の判別を行ってもよい。
【 0 0 9 2】
現在のテス ト条件下での検査を継続する場合 （S 3 6 ： Y e s ) 、 ステップ S 8に戻つ て、 ステップ S 8〜ステップ S 3 0の処理が繰り返し実行される。 一方、 現在のテス ト条 件下での検査が終了している場合 （S 3 6 ： N o ) 、 テス ト条件設定部 1 5 5は、 異なる テス ト条件下で検査を継続するか否かを判別する （ステップ S 3 8 ) 。 検査が終了してい ないテス ト条件が残っており、 異なるテス ト条件下での検査を継続する場合 （S 3 8 ： Y e s ) 、 テス ト条件設定部 1 5 5は、 ステップ S 6に戻って次のテス ト条件を選択する。 例えば、 テス ト条件設定部 1 5 5は、 テス ト条件 1の下での検査が終了した後にテス ト条 件 2を選択し、 さらに、 テス ト条件 2の下での検査が終了した後にテス ト条件 3を選択す る。
【 0 0 9 3】
このように、 複数のテス ト条件が順次選択されつつ、 セキュリティ検査ユニッ ト 1 0 0 、 E C U 1 0及び機能評価ユニッ ト 1 5 0は、 選択されたテス ト条件下でステップ S 8〜 ステップ S 3 0の各処理を実行する。 そして、 すべてのテス ト条件下での検査が終了した 場合、 テス ト条件設定部 1 5 5は、 異なるテス ト条件下での検査を継続しないと判定し （ S 3 8 ： N o ) 、 セキュリティ検査システムによるセキュリティ検査が終了する。
【 0 0 9 4】
第 3の変形例に係るセキュリティ検査システムによれば、 あらかじめ想定され得る様々 な車両の状態に応じて設定される複数のテス ト条件下でのセキュリティ検査が自動で行わ れ、 各テス ト条件下において存在し得る不正信号を特定することができる。
【 0 0 9 5】
なお、 図 9に示したフローチャートは、 図 4に示した処理のフローチャートに対して第 3の変形例を適用した例であるが、 図 8に示した第 2の変形例による処理のフローチヤ一 卜に第 3の変形例が適用されてもよい。 第 2の変形例に第 3の変形例を適用する場合、 図 8に示したフローチヤ一卜のステップ S 8の前処理としてステップ S 6が設けられ、 さら に、 ステップ S 3 4の代わりにステップ S 3 6及びステップ S 3 8が設けられる。
【 0 0 9 6】
以上説明したように、 第 1の実施の形態に係るセキュリティ検査システムは、 E C U 1 0に対して通信バス 5を介してランダムなテス ト信号を送信するセキュリティ検査ュニッ ト 1 0 0と、 テス ト信号に基づく E C U 1 0の演算処理結果の情報を取得して異常判定を 行い、 検出された異常の情報をセキュリティ検査ユニッ ト 1 0 0にフィードバックし、 あ るいは、 記憶部 1 9 0に記憶する機能評価ュニッ ト 1 5 0とを備える。 したがって、 受信 された C A Nメッセージに対して処理結果等の何らかの応答を返す構成とはなっていない E C U 1 0であっても、 セキュリティ検査ュニッ ト 1 0 0を用いたセキュリティ検査を行 うことができるようになる。
【 0 0 9 7】
くく 2 . 第 2の実施の形態 > >
次に、 第 2の実施の形態に係るセキュリティ検査システムについて説明する。 図 1 0は 、 本実施形態に係るセキュリティ検査システムの全体構成を示すブロック図である。 セキ ュリティ検査システムは、 セキュリティ検査ュニッ ト 3 0 0 と、 機能評価ュニッ ト 3 5 0 とを備える。 以下、 各ュニッ 卜の構成、 及び、 セキュリティ検査システムによるセキュリ ティ検査方法について、 第 1の実施の形態と異なる点を中心に説明する。
【 0 0 9 8】
セキュリティ検査ュニッ ト 3 0 0は、 例えば C P U等のプロセッサを備え、 テス ト信号 送信部 3 1 0と、 診断部 3 2 0と、 記憶部 3 3 0とを有する。 このうち、 診断部 3 2 0及 び記憶部 3 3 0は、 図 2に示したセキュリティ検査ュニッ ト 1 0 0の診断部 1 2 0及び記 憶部 1 3 0と同様の構成とすることができる。 また、 本実施形態に係るセキュリティ検査 システムにおいて、 テス ト信号送信部 3 1 0は、 不正信号を含むランダムなテス ト信号を 、 通信バス 5を介して検査対象の E C U 1 0に送信するだけでなく、 機能評価ユニッ ト 3 5 0にも送信する。
【 0 0 9 9】
機能評価ユニッ ト 3 5 0は、 例えば C P U等のプロセッサを備え、 テス ト条件設定部 3 5 5と、 処理情報取得部 3 6 0と、 異常検出部 3 7 0と、 異常情報出力部 3 8 0とを有す る。 このうち、 テス ト条件設定部 3 5 5、 処理情報取得部 3 6 0及び異常情報出力部 3 8 0は、 図 2に示した機能評価ュニッ ト 1 5 0のテス ト条件設定部 1 5 5、 処理情報取得部 1 6 0及び異常情報出力部 1 8 0と同様の構成とすることができる。
【0 1 0 0】
また、 本実施形態に係るセキュリティ検査システムにおいて、 機能評価ユニッ ト 3 5 0 の異常検出部 3 7 0は、 セキュリティ検査ュニッ ト 3 0 0のテス ト信号送信部 3 1 0から 送信されるテス ト信号の情報を取得する。 また、 異常検出部 3 7 0は、 テス ト信号のうち 、 E C U 1 0に送信する C A Nメッセージとして適切でない不正信号候補を抽出する。 そ して、 異常検出部 3 7 0は、 処理情報取得部 3 6 0が取得した E C U 1 0の処理結果の情 報のうち、 抽出した不正信号候補に基づく処理結果の情報のみを対象として、 異常判定を 実行する。 異常判定処理は、 図 3に例示した異常判定方法と同様に行うことができる。
【0 1 0 1】
不正信号候補の抽出は、 例えば、 検査対象の E C U 1 0に対して想定外の情報を含むテ ス ト信号等、 想定される不正信号が把握される場合には、 あらかじめ当該テス ト信号を不 正信号候補として設定することにより行われてもよい。 あるいは、 不正信号候補の抽出は 、 すでに同一のテス ト条件下で検査が行われて正常であると判定されたテス ト信号を除外 することにより行われてもよレ、。 この他、 異常検出部 3 7 0は、 C A Nメッセージの構造 上適切でないと考えられるテス ト信号を不正信号候補として選択する等、 種々の方法によ り不正信号候補を抽出してもよい。
【0 1 0 2】
異常情報出力部 3 8 0は、 異常判定処理の結果、 実際に異常が見られた E C U 1 0の処 理結果の情報を、 セキュリティ検査ユニッ ト 3 0 0に出力し、 セキュリティ検査ユニッ ト 3 0 0の記憶部 3 3 0に記憶させる。 セキュリティ検査ュニッ ト 3 0 0の診断部 3 2 0は 、 記憶部 3 3 0に記憶された E C U 1 0の処理結果の異常の情報と、 ランダムに送信され たテス ト信号の情報とに基づいて、 不正信号を特定する。
【0 1 0 3】
図 1 1は、 本実施形態に係るセキュリティ検査システムによるセキュリティ検査方法の フローチヤ一卜の一例を示している。 図 1 1に示したフローチヤ一トは、 ステップ S 1 1 及びステップ S 1 7以外は、 図 4に示したフローチャートと同様のステップ S 8 , S 1 4 , S 1 8 , S 2 2 , S 2 6 , S 3 0 , S 3 4を含む。
【0 1 0 4】
まず、 機能評価ュニッ ト 1 5 0のテス ト条件設定部 1 5 5は、 テス ト条件を設定して、 検査対象の E C U 1 0に送信する （ステップ S 8 ) 。 次いで、 セキュリティ検査ユニッ ト 3 0 0のテス ト信号送信部 3 1 0は、 不正信号を含むランダムなテス ト信号を、 通信バス 5を介して E C U 1 0に送信するとともに、 機能評価ュニッ ト 3 5 0に送信する （ステツ プ S 1 1 ) 。 次いで、 テス ト信号を受信した E C U 1 0は、 当該テス ト信号に基づいて演 算処理を実行する （ステップ S 1 4 ) 。 次いで、 機能評価ユニッ ト 3 5 0の異常検出部 3 7 0は、 テス ト信号の中から、 CANメッセージとして適切でない不正信号候補を抽出す る （ステップ S 1 7) 。
【0 1 0 5】
次いで、 機能評価ユニッ ト 3 5 0の処理情報取得部 3 6 0力 E CU 1 0から、 処理結 果の情報を取得するとともに、 異常検出部 3 7 0が、 ステップ S 1 7で抽出した不正信号 候補に基づく処理結果の情報について異常判定を行う （ステップ S 1 8 ) 。 異常検出部 3 7 0は、 図 3に例示した異常判定の基準を参照して、 E CU 1 0の処理結果の異常の有無 を判定してもよい。
【0 1 0 6】
以降、 E CU 1 0の処理結果に異常が見られた場合 （S 2 2 ： Y e s ) 、 機能評価ュニ ッ ト 3 5 0の異常情報出力部 3 8 0は、 セキュリティ検査ュニッ ト 3 0 0に異常の情報を 送信し （ステップ S 2 6 ) 、 セキュリティ検査ュニッ ト 3 0 0の診断部 3 2 0は、 不正信 号を特定する （ステップ S 3 0) 。 ステップ S 2 2〜ステップ S 3 4までの各処理は、 図 4に示したフローチヤ一卜に基づいて説明した各処理と同様に実行することができる。
【0 1 0 7】
以上説明したように、 第 2の実施の形態に係るセキュリティ検査システムは、 機能評価 ュニッ ト 3 5 0が、 あらかじめ抽出した不正信号候補に対応する E CU 1 0の処理結果の 情報についてのみ異常判定を行い、 検出された異常の情報をセキュリティ検査ュニッ ト 3 0 0にフィードバックする。 したがって、 第 1の実施の形態に係るセキュリティ検査シス テムと比較して、 機能評価ュニッ ト 3 5 0の負荷を低減することができる。
【0 1 0 8】
なお、 本実施形態に係るセキュリティ検査システムにおいても、 第 1の実施の形態の第 1の変形例〜第 3の変形例を適宜組み合わせてセキュリティ検査が実行されてもよい。
【0 1 0 9】
くく 3. 第 3の実施の形態 >>
次に、 第 3の実施の形態に係るセキュリティ検査システムについて説明する。 図 1 2は 、 本実施形態に係るセキュリティ検査システムの全体構成を示すブロック図である。 セキ ュリティ検査システムは、 セキュリティ検査ュニッ ト 4 0 0 と、 機能評価ュニッ ト 4 5 0 とを備える。 以下、 各ュニッ 卜の構成、 及び、 セキュリティ検査システムによるセキュリ ティ検査方法について、 第 1及び第 2の実施の形態と異なる点を中心に説明する。
【0 1 1 0】
セキュリティ検査ュニッ ト 4 0 0は、 例えば C P U等のプロセッサを備え、 テス ト信号 送信部 4 1 0 と、 診断部 4 2 0 と、 記憶部 4 3 0とを有する。 このうち、 診断部 4 2 0及 び記憶部 4 3 0は、 図 2に示したセキュリティ検査ュニッ ト 1 0 0の診断部 1 2 0及び記 憶部 1 3 0と同様の構成とすることができる。 また、 本実施形態に係るセキュリティ検査 システムにおいて、 テス ト信号送信部 4 1 0は、 不正信号を含むランダムなテス ト信号を 機能評価ュニッ ト 4 5 0に送信する。
【0 1 1 1】
機能評価ュニッ ト 4 5 0は、 例えば C PU等のプロセッサを備え、 テス ト条件設定部 4 5 5と、 不正信号候補抽出部 4 6 0と、 処理情報取得部 4 7 0と、 異常検出部 4 8 0と、 異常情報出力部 4 9 0とを有する。 このうち、 テス ト条件設定部 4 5 5、 処理情報取得部 4 7 0、 異常検出部 4 8 0、 及び、 異常情報出力部 4 9 0は、 図 2に示した機能評価ュニ ッ ト 1 5 0のテス ト条件設定部 1 5 5、 処理情報取得部 1 6 0、 異常検出部 1 7 0、 及び 、 異常情報出力部 1 8 0と同様の構成とすることができる。
【0 1 1 2】
本実施形態に係るセキュリティ検査システムにおいて、 機能評価ュニッ ト 4 5 0の不正 信号候補抽出部 4 6 0は、 セキュリティ検査ュニッ ト 4 0 0のテス ト信号送信部 4 1 0か らランダムに送信されるテス ト信号から、 E CU 1 0に送信される CANメッセージとし て不適切な不正信号候補を抽出する。 また、 不正信号候補抽出部 4 6 0は、 抽出した不正 信号候補のテス ト信号を、 通信バス 5を介して E CU 1 0に送信する。 これにより、 E C U 1 0では、 不正信号と思われるテス ト信号のみに基づいて演算処理が行われる。 その結 果、 処理情報取得部 4 7 0により取得される E CU 1 0の処理結果の情報は少なくなり、 異常判定部 4 8 0による判定処理の負荷が低減される。
【0 1 1 3】
不正信号候補の抽出は、 例えば、 検査対象の E CU 1 0に対して想定外の情報を含むテ ス ト信号等、 想定される不正信号が把握される場合には、 あらかじめ当該テス ト信号を不 正信号候補として設定することにより行われてもよい。 あるいは、 不正信号候補の抽出は 、 すでに同一のテス ト条件下で検査が行われて正常であると判定されたテス ト信号を除外 することにより行われてもよい。 この他、 不正信号候補抽出部 4 6 0は、 CANメッセ一 ジの構造上適切でないと考えられるテス ト信号を不正信号候補として選択する等、 種々の 方法により不正信号候補を抽出してもよい。
【0 1 1 4】
図 1 3は、 本実施形態に係るセキュリティ検査システムによるセキュリティ検査方法の フローチヤ一卜の一例を示している。 図 1 3に示したフローチヤ一トは、 ステップ S 1 2 及びステップ S 1 3以外は、 図 4に示したフローチャートと同様のステップ S 8 , S 1 4 , S 1 8 , S 2 2 , S 2 6 , S 3 0 , S 3 4を含む。
【0 1 1 5】
本実施形態では、 まず、 機能評価ュニッ ト 1 5 0のテス ト条件設定部 4 5 5は、 テス ト 条件を設定して、 検査対象の E CU 1 0に送信する （ステップ S 8 ) 。 次いで、 セキユリ ティ検査ュニッ ト 4 0 0のテス ト信号送信部 4 1 0は、 不正信号を含むランダムなテス ト 信号を機能評価ュニッ ト 4 5 0に送信する （ステップ S 1 2 ) 。 次いで、 テス ト信号を受 信した機能評価ュニッ ト 4 5 0の不正信号候補抽出部 4 6 0は、 テス ト信号の中から、 E CU 1 0に送信される CANメッセージとして不適切な不正信号候補を抽出し、 抽出され たテス ト信号を E CU 1 0に転送する （ステップ S 1 3) 。
【0 1 1 6】
以降、 E CU 1 0が、 受信したテス ト信号に基づいて演算処理を実行し （ステップ S 1 4 ) 、 機能評価ユニッ ト 4 5 0の処理情報取得部 4 7 0が、 E CU 1 0から、 処理結果の 情報を取得するとともに、 異常検出部 4 8 0が、 処理結果の情報について異常判定を行う (ステップ S 1 8 ) 。 E CU 1 0の処理結果に異常が見られた場合 （S 2 2 ： Y e s ) 、 機能評価ュニッ ト 4 5 0の異常情報出力部 4 9 0は、 セキュリティ検査ュニッ ト 4 0 0に 異常の情報を送信し （ステップ S 2 6 ) 、 セキュリティ検査ユニッ ト 4 0 0の診断部 4 2 0は、 不正信号を特定する （ステップ S 3 0) 。 ステップ S 1 4〜ステップ S 3 4までの 各処理は、 図 4に示したフローチャートに基づいて説明した各処理と同様に実行すること ができる。
【0 1 1 7】
以上説明したように、 第 3の実施の形態に係るセキュリティ検査システムは、 機能評価 ユニッ ト 4 5 0が、 ランダムに送信されるテス ト信号の中から、 あらかじめ不正信号候補 を抽出して E CU 1 0に転送する。 そして、 機能評価ユニッ ト 4 5 0は、 不正信号候補に 基づく E CU 1 0の演算処理結果の情報についてのみ異常判定を行い、 検出された異常の 情報をセキュリティ検査ユニッ ト 4 0 0にフィードバックする。 したがって、 第 1の実施 の形態に係るセキュリティ検査システムと比較して、 機能評価ュニッ ト 4 5 0の負荷を低 減することができる。
【0 1 1 8】
なお、 本実施形態に係るセキュリティ検査システムにおいても、 第 1の実施の形態の第 1の変形例〜第 3の変形例を適宜組み合わせてセキュリティ検査が実行されてもよい。 例 えば、 図 1 4は、 本実施形態に係るセキュリティ検査システムに、 第 1の実施の形態の第 2の変形例を組み合わせた構成例を示している。 かかる変形例に係るセキュリティ検査シ ステムは、 機能評価ュニッ ト 4 5 0の異常情報出力部 4 9 5が、 セキュリティ検査ュニッ ト 4 0 0に異常の情報を送信するのではなく、 機能評価ュニッ ト 4 5 0に備えられた記憶 部 4 9 8に異常の情報を出力し、 記憶させる。 記憶部 4 9 8は、 半導体メモリやハードデ イスク、 外付けの記憶装置等からなり、 後に、 セキュリティ検査ユニッ ト 3 0 0が、 記憶 された異常の情報を読み込み可能になっている。
【0 1 1 9】
例えば、 セキュリティ検査ュニッ ト 4 0 0と機能評価ュニッ ト 4 5 0とを通信線により 接続したり、 異常の情報を記憶したハードディスクや U S B (Un i v e r s a l S e r i a l B u s ) メモリ等をセキュリティ検査ュニッ ト 4 0 0に接続したりすることに より、 セキュリティ検査ユニッ ト 4 0 0が異常の情報を読み込んでもよい。 これにより、 セキュリティ検査ュニッ ト 4 0 0の診断部 4 2 0は、 E CU 1 0の処理結果の異常の情報 と、 ランダムに送信されたテス ト信号の情報とに基づいて、 不正信号を特定することがで さる。
【0 1 2 0】
図 1 5は、 変形例に係るセキュリティ検査システムによるセキュリティ検査方法のフロ 一チヤ一トを示している。 セキュリティ検査ュニッ ト 4 0 0、 E CU 1 0、 及び、 機能評 価ユニッ ト 4 5 0は、 それぞれ、 図 1 3のフローチャートに基づいて説明した手順と同様 の手順で、 ステップ S 8〜ステップ S 2 2の各処理を実行する。 変形例に係るセキユリテ ィ検査システムでは、 E CU 1 0の処理結果に異常があった場合 （S 2 2 ： Y e s ) 、 ス テツプ S 2 7において、 機能評価ュニッ ト 4 5 0の異常情報出力部 4 9 5が、 記憶部 4 9 8に E CU 1 0の処理結果の異常の情報を記憶する。
【0 1 2 1】
ステップ S 2 2において異常が見られなかった場合 （S 2 2 ： N o ) 、 あるいは、 ステ ップ S 2 7で異常の情報が記憶部 4 9 8に記憶された後、 検査すべきテス ト信号がすべて 終了するまで （S 3 4 ： N o ) 、 ステップ S 8に戻って、 ここまでの各ステップの処理を 繰り返し実行する。
【0 1 2 2】
本実施形態の変形例に係るセキュリティ検査システムによれば、 機能評価ュニッ ト 4 5 0の異常検出部 4 8 0により検出された異常の情報を、 一旦記憶部 4 9 8に記憶させてお き、 後で不正信号をまとめて特定することができる。 変形例に係るセキュリティ検査シス テムによれば、 例えば、 フアジング等のランダムなテス ト信号の送信中におけるセキユリ ティ検査ュニッ ト 4 0 0の負荷を低減させることができる。
【0 1 2 3】
くく 4. 第 4の実施の形態 >>
次に、 第 4の実施の形態に係るセキュリティ検査システムについて説明する。 本実施形 態に係るセキュリティ検査システムは、 多大な数の入力信号の中から E CU 1 0を不正に 動作させ得る不正信号の特定を効率的に実行できるように構成されている。 図 1 6は、 本 実施形態に係るセキュリティ検査システムの全体構成を示すブロック図である。 セキユリ ティ検査システムは、 セキュリティ検査ュニッ ト 5 0 0と、 機能評価ュニッ ト 5 5 0とを 備える。 以下、 各ユニッ トの構成、 及び、 セキュリティ検査システムによるセキュリティ 検査方法について、 第 1の実施の形態と異なる点を中心に説明する。
【0 1 2 4】
セキュリティ検査ュニッ ト 5 0 0は、 例えば C P U等のプロセッサを備え、 テス ト信号 送信部 5 1 0と、 診断部 5 2 0と、 記憶部 5 3 0と、 テス ト信号適合部 5 4 0とを有する 。 このうち、 テス ト信号送信部 5 1 0、 診断部 5 2 0及び記憶部 5 3 0は、 図 2に示した セキュリティ検査ュニッ ト 1 0 0のテス ト信号送信部 1 1 0、 診断部 1 2 0及び記憶部 1 3 0と同様の構成とすることができる。 テス ト信号適合部 5 4 0は、 直前までに実行され た検査結果に基づいて、 テス ト信号送信部 5 1 0から E CU 1 0に対して送信されるテス ト信号の適合を行う。 これにより、 セキュリティ検査ユニッ ト 5 0 0は、 セキュリティ検 査が効率よく正しい方向へと進行するように、 テス ト信号を生成することができる。
【0 1 2 5】
例えば、 車載ネッ トワークとしての CANシステムにおいて、 標準フォーマッ トの C A Nメッセージは、 データフレーム内に 1 1 ビッ ト長の識別子 （ I D : I d e n t i f i e r ) を含む。 拡張フォーマッ トの CANメッセージは、 標準フォーマッ トにおける 1 1 ビ ッ ト長の識別子に加えて、 1 8ビッ ト長の拡張識別子を含む。 標準フォーマツ 卜の CAN メッセージの場合、 2 , 0 4 8種類の識別が可能であり、 拡張フォーマッ トの CANメッ セージの場合、 約 5 , 4 0 0 , 0 0 0種類の識別が可能である。 これら個々の識別子を有 する C ANメッセージについて、 データ内容が異なるすべての CANメッセージを送信し てセキュリティ検査を行うには、 膨大な工数が必要になる。
【0 1 2 6】
そこで、 本実施形態に係るセキュリティ検査システムでは、 あるテス ト条件下において セキュリティ検査を実行する場合、 テス ト信号送信部 5 1 0は、 まず、 識別子が異なる複 数の CANメッセージをテス ト信号として E CU 1 0にランダムに送信する。 送信された いずれかのテス ト信号に基づく E CU 1 0の処理結果に異常が見られた場合、 セキユリテ ィ検査ユニッ ト 5 0 0の診断部 5 2 0によって不正信号が特定される。 つまり、 どの識別 子を含む CANメッセージが不正信号であるかが特定される。
【0 1 2 7】
そうすると、 テス ト信号適合部 5 4 0は、 以降の検査用に、 不正信号とされた CANメ ッセージと同一の識別子を含みデータ内容が異なる CANメッセージがテス ト信号として 送信されるように適合する。 これにより、 テス ト信号送信部 5 1 0は、 当該識別子を含み データ内容が異なる複数の C ANメッセージをランダムに E CU 1 0に送信する。 これに より、 以降の検査においては、 特定の識別子を含む CANメッセージに特化したセキユリ ティ検査が実行される。 その結果、 すでに不正信号と特定された CANメッセージと同一 の識別子を有する CANメッセージであって、 データ内容の異なる CANメッセージにつ いての検査を効率的に行うことができる。 つまり、 識別子及びデータ内容の異なる大量の CANメッセージを無作為に送信しつつ不正信号を特定する場合に比べて、 不正信号が含 まれる可能性の高い C ANメッセージが優先的に検査対象とされるため、 セキュリティ検 査が効率的に実行されるようになる。
【0 1 2 8】
なお、 テス ト信号適合部 5 4 0によるテス ト信号の適合 （絞り込み） の方法は、 上記の ような識別子を特定する例に限られない。 テス ト信号適合部 5 4 0は、 その他の適宜の条 件により、 直前までに実行された検査結果に基づいてテス ト信号の適合を行ってもよい。
【0 1 2 9】
図 1 7は、 本実施形態に係るセキュリティ検査システムによるセキュリティ検査方法の フローチャートの一例を示している。 図 1 7に示したフローチャートは、 ステップ S 7を 含む点以外、 図 4に示したフローチャートと同様のステップ S 8 , S 1 0 , S 1 4 , S 1 8 , S 2 2 , S 2 6 , S 3 0 , S 3 4を含む。
【0 1 3 0】
まず、 セキュリティ検査ュニッ ト 5 0 0のテス ト信号適合部 5 4 0は、 テス ト信号送信 部 5 1 0から E CU 1 0に対して送信させる CANメッセージ （テス ト信号） を適合する (ステップ S 7 ) 。 例えば、 セキュリティ検査の開始直後において、 テス ト信号適合部 5 4 0は、 複数の異なる識別子を含む CANメッセージがテス ト信号としてランダムに送信 されるように設定する。 以降、 セキュリティ検査ュニッ ト 5 0 0、 E CU 1 0及び機能評 価ュニッ ト 1 5 0は、 それぞれ図 4のフローチヤ一トに基づいて説明した手順と同様の手 順で、 ステップ S 8〜ステップ S 3 0の各処理を実行する。 ステップ S 1 0において、 セ キユリティ検査ュニッ ト 5 0 0のテス ト信号送信部 5 1 0は、 E CU 1 0に対して、 テス ト信号適合部 5 4 0により設定された複数のテス ト信号をランダムに送信する。
【0 1 3 1】
ステップ S 8〜ステップ S 3 0における各処理の結果、 ある C ANメッセージが不正信 号であるか否かが判定された後、 テス ト信号適合部 5 4 0は、 検査を継続するか否かを判 別する （ステップ S 3 4) 。 すべてのテス ト信号の送信が終了している場合 （S 3 4 ： N o ) 、 セキュリティ検査システムによるセキュリティ検査が終了する。 一方、 検査すべき テス ト信号が残存する場合 （S 3 4 ： Y e s ) 、 テス ト信号適合部 5 4 0は、 テス ト信号 としての CANメッセージの再適合が必要か否かを判別する （ステップ S 3 9) 。 例えば 、 直前に送信されたテス ト信号に基づく E CU 1 0の処理結果に異常が見られなかった場 合 （ステップ S 2 2が N o判定であった場合） において、 現在の適合 （絞り込み） 条件に よるすベてのテス ト信号の送信が終了していない場合には、 テス ト信号の再適合は不要と 判定される （S 3 9 : N o) 。 この場合、 ステップ S 8に戻って、 ここまでに説明した処 理を繰り返し実行する。
【0 1 3 2】
一方、 直前に送信されたテス ト信号に基づく E CU 1 0の処理結果に異常が見られて不 正信号が特定された場合 （ステップ S 2 2が Y e s判定であった場合） において、 テス ト 信号のさらなる絞り込みが可能な場合には、 テス ト信号の再適合が要と判定される （S 3 9 : Y e s ) 。 この場合、 ステップ S 7に戻って、 ここまでに説明した処理を繰り返し実 行する。 例えば、 ステップ S 7において、 テス ト信号適合部 54 0は、 直前に不正信号と して特定された CANメッセージと同一の識別子を含みデータ内容の異なる複数の CAN メッセージがテス ト信号としてランダムに送信されるように設定する。 これにより、 不正 信号が含まれる可能性の高い CANメッセージが優先的に検査対象とされ得る。
【0 1 3 3】
あるいは、 ステップ S 3 9において、 現在の適合 （絞り込み） 条件によるすベての CA Nメッセージの送信が終了している場合であって、 さらに別の適合 （絞り込み） が可能な 場合においても、 テス ト信号の再適合が要と判定される （S 3 9 : Y e s ) 。 この場合、 ステップ S 7に戻って、 別の適合 （絞り込み） 条件でテス ト信号を設定した上で、 ここま でに説明した処理を繰り返し実行する。
【0 1 3 4】
以上説明したように、 第 4の実施の形態に係るセキュリティ検査システムでは、 セキュ リティ検査ュニッ ト 5 0 0から検査対象の E CU 1 0に対して送信されるテス ト信号とし て、 不正信号が含まれる可能性の高い CANメッセージが優先的に選択される。 したがつ て、 不正信号を特定するセキュリティ検査を効率的に実行することができる。
【0 1 3 5】
なお、 本実施形態に係るセキュリティ検査システムにおいても、 第 1の実施の形態の第 1の変形例〜第 3の変形例、 あるいは、 第 2の実施の形態又は第 3の実施の形態を適宜組 み合わせて構成されてもよい。
【0 1 3 6】
くく 5. 第 5の実施の形態 >>
次に、 第 5の実施の形態に係るセキュリティ検査システムについて説明する。 本実施形 態に係るセキュリティ検査システムは、 例えばスマートホンや無線電波を発信する電子機 器等による ドアロックシステムを司る E CUのセキュリティ検査を実行するためのシステ ムとして構成される。 図 1 8は、 本実施形態に係るセキュリティ検査システムの全体構成 を示すブロック図である。 セキュリティ検査システムは、 セキユリティ検査ュニッ ト 6 0 0と、 機能評価ュニッ ト 6 5 0とを備える。 以下、 各ュニッ 卜の構成、 及び、 セキュリテ ィ検査システムによるセキュリティ検査方法について、 第 1の実施の形態と異なる点を中 心に説明する。
【0 1 3 7】
セキュリティ検査ュニッ ト 6 0 0は、 例えば C P U等のプロセッサを備え、 テス ト信号 送受信部 6 1 0と、 診断部 6 2 0と、 記憶部 6 3 0とを有する。 このうち診断部 6 2 0及 び記憶部 6 3 0は、 基本的には図 2に示したセキュリティ検査ュニッ ト 1 0 0の診断部 1 2 0及び記憶部 1 3 0と同様の構成とすることができる。 本実施形態に係るセキュリティ 検査システムにおいて、 テス ト信号送受信部 6 1 0は、 CAN等の車載用の通信プロ トコ ルではなく、 W i — f iや B 1 u e t o o t h (登録商標） 、 あるいは U S B等の通信手 段 8を介して E CU 1 0との間で信号の送受信を行う。
【0 1 3 8】
例えば、 テス ト信号送受信部 6 1 0は、 通信手段 8を介して、 ドアロックのオンオフの 指示信号等をテス ト信号として検査対象の E CU 1 0に送信する。 また、 テス ト信号送受 信部 6 1 0は、 通信手段 8を介して、 テス ト信号に基づく E CU 1 0の処理結果としての ドア口ックの駆動信号を E CU 1 0から受信する。 テス ト信号送受信部 6 1 0が受信した E CU 1 0の処理結果の情報は、 診断部 6 2 0によっても参照可能になっている。
【 0 1 3 9】
機能評価ュニッ ト 6 5 0は、 例えば C P U等のプロセッサと記憶部を備え、 テス ト条件 設定部 6 5 5と、 処理情報取得部 6 6 0と、 異常検出部 6 7 0と、 異常情報出力部 6 8 0 とを有する。 これらの各部は、 基本的には図 2に示した機能評価ユニッ ト 1 5 0のテス ト 条件設定部 1 5 5、 処理情報取得部 1 6 0、 異常検出部 1 7 0、 及び異常情報出力部 1 8 0と同様に構成され得る。
【 0 1 4 0】
かかる構成を有する本実施形態に係るセキュリティ検査システムは、 テス ト信号に対す る応答結果をセキュリティ検査ュニッ ト 6 0 0に返信可能な E CU 1 0であっても、 さら に当該テス ト信号に基づいて E CU 1 0と周辺機器や他の E CUとの間で異常な信号がや り取り されていないかを検査することができる。 したがって、 セキュリティ検査ユニッ ト 6 0 0の診断部 6 2 0は、 テス ト信号に対する応答が E CU 1 0によって適切に行われて いるかの検査だけでなく、 テス ト信号によって E CU 1 0が異常な動作を起こしていない かを検査することができる。 これにより、 E CU 1 0のソフ トウェアの脆弱性がより的確 に発見されやすくなり、 セキュリティ検査の精度を向上させることができる。
【 0 1 4 1】
なお、 本実施形態に係るセキュリティ検査システムにおいても、 第 1の実施の形態の第 1の変形例〜第 3の変形例、 あるいは、 第 2の実施の形態、 第 3の実施の形態又は第 4の 実施の形態を適宜組み合わせて構成されてもよい。
【 0 1 4 2】
以上、 添付図面を参照しながら本発明の好適な実施形態について詳細に説明したが、 本 発明はかかる例に限定されない。 本発明の属する技術の分野における通常の知識を有する 者であれば、 特許請求の範囲に記載された技術的思想の範疇内において、 各種の変更例ま たは修正例に想到し得ることは明らかであり、 これらについても、 当然に本発明の技術的 範囲に属するものと了解される。
【 0 1 4 3】
例えば、 上記各実施形態では、 セキュリティ検査ユニッ トと、 機能評価ユニッ トとが、 それぞれ独立した装置として構成された例について説明したが、 本発明は係る例に限定さ れない。 図 1 9に例示するように、 セキュリティ検査ュニッ ト 1 0 0と機能評価ュニッ ト
1 5 0とは、 1つの装置 7 0 0内に格納され、 それぞれ異なるソフ トウエアプログラムが 実行されるようになっていてもよレ、。 この場合、 機能評価ュニッ ト 1 5 0からセキュリテ ィ検査ュニッ ト 1 0 0への異常情報のフィードバックは、 装置 7 0 0内のフィードノくック 回路として構成され得る。 また、 かかる構成の場合、 各ユニッ トの記憶部の一部が共通の メモリ等により構成されてもよい。
【符号の説明】
【 0 1 4 4】
1 車載ネッ トワーク
5 通信バス
1 0 E CU
8 0 不装
9 0 撮像ュニッ ト
9 1 ， 9 2 , 9 3 カメラ
1 0 0 セキュリティ検査ユニッ ト （セキュリティ検査装置)
1 1 0 テス 卜信号送信部
1 2 0 診断部
1 3 0 記憶部 機能評価ュニッ ト （機能評価装置) 処理情報取得部
異常判定部
異常情報出力部

Claims

【書類名】 特許請求の範囲
【請求項 1】
車載ネッ トワーク向けの制御装置のセキュリティを診断するための、 不正信号を含むラ ンダムなテス ト信号を送信するテス ト信号送信部、 及び、 前記テス ト信号による前記制御 装置の処理結果に基づいて前記不正信号を特定する診断部、 を有するセキュリティ検査ュ ニッ 卜と、
前記制御装置の処理結果に関連する情報を取得する処理情報取得部、 前記テス 卜信号に 基づく前記制御装置の処理結果の異常を検出する異常検出部、 及び、 検出された前記異常 の情報を出力する異常情報出力部、 を有する機能評価ュニッ 卜と、
を備えた、 車載ネッ トワーク向けの制御装置のセキュリティ検査システム。
【請求項 2】
前記セキュリティ検査ユニッ トは、 直前までの検査結果に基づいて、 以降送信される前 記ランダムなテス ト信号を設定するテス ト信号適合部を備える、 請求項 1に記載のセキュ リティ検査システム。
【請求項 3】
前記機能評価ュニッ トは、 前記制御装置が前記車載ネッ トワーク上で置かれ得る状態を テス ト条件として設定し、 前記制御装置に送信するテス ト条件設定部を備える、 請求項 1 又は 2に記載のセキュリティ検査システム。
【請求項 4】
前記セキュリティ検査ュニッ 卜の前記テス ト信号送信部は、 前記制御装置と併せて前記 機能評価ュニッ 卜に前記テス ト信号を送信し、 前記機能評価ュニッ 卜の前記異常情報出力 部は、 正常であった前記処理結果に対応する前記テス ト信号を除外して、 前記異常となつ た前記処理結果に対応する前記テス ト信号の情報を出力する、 請求項 1〜3のいずれか 1 項に記載のセキュリティ検査システム。
【請求項 5】
前記機能評価ュニッ 卜の前記異常情報出力部は、 前記セキュリティ検査ュニッ 卜に前記 異常の情報を送信する、 請求項 1〜4のいずれか 1項に記載のセキュリティ検査システム
【請求項 6】
前記機能評価ュニッ 卜の前記異常情報出力部は、 前記機能評価ュニッ 卜に設けられた記 憶部に前記異常の情報を記憶させる、 請求項 1〜4のいずれか 1項に記載のセキュリティ 検査システム。
【請求項 7】
前記車載ネッ トワーク力 CAN (C o n t r o l l e r A r e a N e t w o r k ) 、 L I N o c a i I n t e r c o n n e c t N e t w o r k) 、 F l e x R a y、 MO S T (Me d i a O r i e n t e d S y s t e m s T r a n s p o r t ) , C AN- F D (CAN w i t h F l e x i b l e D a t a r a t e ) 、 又は、 Au t o m o t i v e E t h e r n e tである、 請求項 1〜 6のレヽずれ力 1項に記載の セキュリティ検査システム。
【請求項 8】
前記機能評価ュニッ 卜の前記異常検出部は、 前記制御装置の処理結果として出力される 出力信号の送信周波数が想定される周波数を超える場合に、 前記処理結果の異常を検出す る、 請求項 1〜 7のいずれか 1項に記載のセキュリティ検査システム。
【請求項 9】
前記機能評価ュニッ 卜の前記異常検出部は、 前記制御装置の処理結果として出力される 出力信号又は入力される入力信号としてのアナログ信号又はデジタル信号の電圧値が想定 される上限を超え又は下限を下回る場合に、 前記処理結果の異常を検出する、 請求項 1〜 7のいずれか 1項に記載のセキュリティ検査システム。
【請求項 1 0】
前記機能評価ュニッ 卜の前記異常検出部は、 前記制御装置の処理結果として出力される 出力信号又は入力される入力信号としてのアナログ信号又はデジタル信号の周波数が想定 される周波数を超える場合に、 前記処理結果の異常を検出する、 請求項 1〜7のいずれか 1項に記載のセキュリティ検査システム。
【請求項 1 1】
前記機能評価ュニッ 卜の前記異常検出部は、 前記制御装置の処理結果に基づいて表示制 御が行われる表示装置を撮影した撮像情報に基づいて、 前記処理結果の異常を検出する、 請求項 1〜 7のいずれか 1項に記載のセキュリティ検査システム。
【請求項 1 2】
前記機能評価ュニッ 卜の前記異常検出部は、 前記撮像情報に基づいて前記表示装置の矛 盾する表示を検出した場合に、 前記処理結果の異常を検出する、 請求項 1 1に記載のセキ ュリティ検査システム。
【請求項 1 3】
前記機能評価ュニッ 卜の前記異常検出部は、 前記制御装置の処理結果に関連する所定の 値の単位時間当たりの変化量が想定される閾値を超える場合に、 前記処理結果の異常を検 出する、 請求項 1〜 7のいずれか 1項に記載のセキュリティ検査システム。
【請求項 1 4】
前記機能評価ユニッ トの前記異常検出部は、 前記制御装置の処理結果として、 前記制御 装置内のメモリァドレスに含まれる変更不可能な値が上書きされた場合に、 前記処理結果 の異常を検出する、 請求項 1〜 7のいずれか 1項に記載のセキュリティ検査システム。 【請求項 1 5】
セキュリティ検査ュニッ 卜が、 車載ネッ トワーク向けの制御装置のセキュリティを診断 するための、 不正信号を含むランダムなテス ト信号を送信するステップと、
機能評価ュニッ 卜が、 前記制御装置の処理結果に関連する情報を取得するステップと、 前記機能評価ュニッ 卜が、 前記テス ト信号に基づく前記制御装置の処理結果の異常を検 出するステップと、
前記機能評価ュニッ 卜が、 検出された前記異常の情報を記憶又は前記セキュリティ検査 ュニッ 卜に送信するステップと、
前記セキュリティ検査ュニッ 卜が、 前記テス ト信号による前記制御装置の処理結果に基 づいて前記不正信号を特定するステップと、
を含む、 車載ネッ トワーク向けの制御装置のセキュリティ検査方法。
【請求項 1 6】
車載ネッ トワーク向けの制御装置の処理結果に関連する情報を取得する処理情報取得部 と、
前記制御装置のセキュリティを診断するセキュリティ検査ュニッ 卜から前記車載ネッ ト ワークを介して前記制御装置に送信された、 不正信号を含むランダムなテス ト信号による 前記制御装置の処理結果の異常を検出する異常検出部と、
検出された前記異常の情報を出力する異常情報出力部と、
を備えた、 車載ネッ トワーク向けの制御装置の機能評価装置。
【請求項 1 7】
コンピュータにより、
車載ネッ トワーク向けの制御装置の処理結果に関連する情報を取得する処理情報取得部 と、
前記制御装置のセキュリティを診断するセキュリティ検査ュニッ 卜から前記車載ネッ ト ワークを介して前記制御装置に送信された、 不正信号を含むランダムなテス ト信号による 前記制御装置の処理結果の異常を検出する異常検出部と、
検出された前記異常の情報を出力する異常情報出力部と、
の機能を実現させる、 プログラム。
PCT/IB2017/052566 2016-05-27 2017-05-03 セキュリティ検査システム、セキュリティ検査方法、機能評価装置、及びプログラム WO2017203375A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP17727000.6A EP3468131B1 (en) 2016-05-27 2017-05-03 Security test system, security test method, function evaluation device, and program
JP2018518802A JP6718960B2 (ja) 2016-05-27 2017-05-03 セキュリティ検査システム、セキュリティ検査方法、機能評価装置、及びプログラム
US16/304,437 US11184383B2 (en) 2016-05-27 2017-05-03 Security test system, security test method, function evaluation device, and program

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
JP2016106194 2016-05-27
JP2016-106194 2016-05-27
JP2016-221268 2016-11-14
JP2016221268A JP2017214049A (ja) 2016-05-27 2016-11-14 セキュリティ検査システム、セキュリティ検査方法、機能評価装置、及びプログラム

Publications (1)

Publication Number Publication Date
WO2017203375A1 true WO2017203375A1 (ja) 2017-11-30

Family

ID=58873842

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/IB2017/052566 WO2017203375A1 (ja) 2016-05-27 2017-05-03 セキュリティ検査システム、セキュリティ検査方法、機能評価装置、及びプログラム

Country Status (1)

Country Link
WO (1) WO2017203375A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113595990A (zh) * 2018-10-31 2021-11-02 百度在线网络技术（北京）有限公司 车辆网络通信方法和装置
JP2022510694A (ja) * 2018-12-07 2022-01-27 ローベルト ボツシユ ゲゼルシヤフト ミツト ベシユレンクテル ハフツング 通信ネットワークを介して接続された複数の電子デバイスが例外を正しく処理するか否かの同時試験
WO2024021908A1 (zh) * 2022-07-27 2024-02-01 深圳Tcl新技术有限公司 门锁安全评估方法以及相关设备

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20140047275A1 (en) * 2012-08-08 2014-02-13 Deja Vu Security, Llc Flow based fault testing
US20140082419A1 (en) * 2012-09-14 2014-03-20 Codenomicon Oy Monitoring Operation of Communication Protocol Procedure

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20140047275A1 (en) * 2012-08-08 2014-02-13 Deja Vu Security, Llc Flow based fault testing
US20140082419A1 (en) * 2012-09-14 2014-03-20 Codenomicon Oy Monitoring Operation of Communication Protocol Procedure

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
STEPHANIE BAYER ET AL: "Don't Fuss about Fuzzing: Fuzzing Controllers in Vehicular Networks", 12 November 2015 (2015-11-12), XP055393346, Retrieved from the Internet <URL:https://www.escar.info/images/Datastore/2015_escar_EU_Papers/3_escar_2015_Stephanie_Bayer.pdf> [retrieved on 20170724] *

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113595990A (zh) * 2018-10-31 2021-11-02 百度在线网络技术（北京）有限公司 车辆网络通信方法和装置
CN113595990B (zh) * 2018-10-31 2023-04-25 百度在线网络技术（北京）有限公司 车辆网络通信方法和装置
JP2022510694A (ja) * 2018-12-07 2022-01-27 ローベルト ボツシユ ゲゼルシヤフト ミツト ベシユレンクテル ハフツング 通信ネットワークを介して接続された複数の電子デバイスが例外を正しく処理するか否かの同時試験
JP7147065B2 (ja) 2018-12-07 2022-10-04 ローベルト ボツシユ ゲゼルシヤフト ミツト ベシユレンクテル ハフツング 通信ネットワークを介して接続された複数の電子デバイスが例外を正しく処理するか否かの同時試験
US11570189B2 (en) 2018-12-07 2023-01-31 Robert Bosch Gmbh Simultaneously testing whether a plurality of electronic devices connected via a communication network correctly handle exceptions
WO2024021908A1 (zh) * 2022-07-27 2024-02-01 深圳Tcl新技术有限公司 门锁安全评估方法以及相关设备

Similar Documents

Publication Publication Date Title
JP6718960B2 (ja) セキュリティ検査システム、セキュリティ検査方法、機能評価装置、及びプログラム
US11665018B2 (en) OBD interface bus type detection method and apparatus
CN111208800B (zh) 一种汽车诊断方法、装置和车辆通讯接口
WO2019141114A1 (zh) 车辆诊断方法和装置
WO2019064813A1 (ja) 車両診断装置、車両診断システム及び車両診断プログラム
JP2019516145A (ja) 自動車の遠隔診断の方法及び装置
CN107111902A (zh) 远程车辆数据收集系统
WO2017203375A1 (ja) セキュリティ検査システム、セキュリティ検査方法、機能評価装置、及びプログラム
CN111901349A (zh) 一种基于车内can总线的渗透测试方法、装置及系统
CN109639597A (zh) 车辆通信接口装置中的数据传输方法及车辆通信接口装置
CN107145138A (zh) 一种适用于不同车辆的诊断系统
JP2010206697A (ja) 車載通信ネットワークシステムおよび車載通信ネットワークシステムの異常診断方法
CN112829525A (zh) 一种胎压传感器匹配方法、装置、系统及设备
US11240489B2 (en) Testing method for a camera system, a control unit of the camera system, the camera system, and a vehicle having this camera system
KR101803908B1 (ko) Isobus와 영상을 이용한 차량의 고장 진단 통합 모니터링 시스템 및 방법
US20220108569A1 (en) Automated detection of vehicle data manipulation and mechanical failure
JP4281109B2 (ja) 車両用補機診断システム
CN111142504B (zh) 总线检测装置和方法
JP2003285700A (ja) 車両の故障診断装置
KR20170039950A (ko) 차량 검사 장치 및 검사 방법
JP7211036B2 (ja) 車両電子制御装置及び診断システム
JP2018119866A (ja) 車載故障診断システム
JP4259468B2 (ja) 車両用診断システム
JP2004020461A (ja) 車両用故障診断装置
CN104114840B (zh) 用于发动机调节设备的输出电路和用于此类电路的监测方法

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 2018518802

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17727000

Country of ref document: EP

Kind code of ref document: A1