WO2018198545A1 - Ｅｃｕ - Google Patents

Ｅｃｕ Download PDF

Info

Publication number
WO2018198545A1
WO2018198545A1 PCT/JP2018/008881 JP2018008881W WO2018198545A1 WO 2018198545 A1 WO2018198545 A1 WO 2018198545A1 JP 2018008881 W JP2018008881 W JP 2018008881W WO 2018198545 A1 WO2018198545 A1 WO 2018198545A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
ecu
received
cpu
bus
Prior art date
Application number
PCT/JP2018/008881
Other languages
English (en)
French (fr)
Inventor
浩介 中園
Original Assignee
ボッシュ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ボッシュ株式会社 filed Critical ボッシュ株式会社
Priority to JP2019515134A priority Critical patent/JPWO2018198545A1/ja
Publication of WO2018198545A1 publication Critical patent/WO2018198545A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]

Definitions

  • the present invention relates to an ECU, and is particularly suitable for application to an ECU disposed on an in-vehicle network.
  • CAN network In recent years, an in-vehicle network (CAN network) using a communication standard called CAN (Controller Area Network) has become widespread.
  • This CAN network is configured by connecting a plurality of electronic control units (ECUs) installed in a vehicle and a communication bus (CAN bus) using CAN.
  • the ECU can communicate (CAN communication) with other ECUs via the CAN bus.
  • the CAN bus is provided with a data link connector (DLC) while connecting the ECUs so that they can communicate with each other.
  • DLC data link connector
  • OBD On Board Diagnostics
  • Incorrect data is transmitted from a device connected to the DLC by wire to the CAN bus, or when a device capable of wireless communication is connected to the DLC and transmitted wirelessly to the CAN bus via this device. You could think so.
  • Patent Document 1 the difference between the previous transmission timing and the current transmission timing is calculated as the transmission cycle for the data transmitted to the CAN bus, and this transmission cycle is stored in advance as an invalid data determination.
  • a technique for determining the currently transmitted data as illegal data is disclosed.
  • one ECU can monitor the CAN bus, and can detect and invalidate this before another ECU completes reception of illegal data.
  • unauthorized data with the same ID and different ID as the legitimate data enters the CAN bus, and all the ECUs connected to the in-vehicle network are prevented from impersonation attacks that cause malfunction of the ECUs connected to the CAN bus. It can be defended.
  • Patent Document 1 requires an additional device for constantly monitoring data transmitted to the CAN bus. Specifically, in addition to a normal communication line that connects the ECU and the CAN bus, an additional communication line that connects the ECU and the CAN bus in parallel with this is further required. Further, additional processing such as processing for constantly monitoring data on the CAN bus, processing for determining whether or not the data is illegal, and invalidation processing when the data is illegal is required.
  • the present invention has been made in consideration of the above points, and proposes an ECU that can realize security protection while avoiding the complexity and cost increase of an in-vehicle network.
  • the CPU (100) of the ECU (10) is referred to as a reference via the CAN bus (20).
  • the regular data (D0) is received
  • the acceptance period of D4) is limited.
  • FIG. 1 is an overall configuration diagram of an in-vehicle network. It is an internal block diagram of ECU. It is a flowchart of a reception process. It is a conceptual diagram of a reception process.
  • FIG. 1 shows the overall configuration of the in-vehicle network N1 in the vehicle 1.
  • the in-vehicle network N1 is a network using a communication standard called CAN (Controller Area Network), and includes an electronic control unit (ECU) 10 and a CAN bus 20.
  • ECU electronice control unit
  • the ECU 10 is a control device that controls various operations of the vehicle 1.
  • the ECU 10 includes a CPU (Central Processing Unit), a RAM (Random Access Memory), a ROM (Read Only Memory), an input / output interface, and the like.
  • Each ECU 10 is connected to a CAN bus 20.
  • the ECUs 10 are connected to each other via the CAN bus 20 so as to communicate with each other.
  • the ECU 10 As the ECUs 10 connected to the CAN bus 20, the ECU 10 called an engine ECU comprehensively controls the operation of the vehicle 1. Therefore, in the present embodiment, by applying the present invention to this engine ECU, it is intended to realize security protection especially for control related to traveling.
  • the CAN bus 20 is a communication bus using CAN, and connects the ECUs 10 so that they can communicate with each other.
  • the CAN bus 20 includes a data link connector (DLC) 30.
  • the DLC 30 is a connection connector for connecting the scan tool 40 to the CAN bus 20 by wire or wireless.
  • a fault code generated by a self-diagnosis function (OBD: On Board Diagnostics) provided in the ECU 10 can be read.
  • OBD On Board Diagnostics
  • the service engineer can specify the failure location of the vehicle 1 with reference to the failure code displayed on the display screen of the scan tool 40.
  • illegal data is transmitted to the CAN bus 20 from the outside of the vehicle 1 via the DLC 30.
  • the illegal data here refers to data that is at least transmitted to the CAN bus 20 at a different timing from the regular data.
  • the ID of one regular data is “1” and is transmitted to the CAN bus 20 every “100 ms”
  • the data transmitted to the CAN bus 20 every “120 ms” is “1”.
  • it is handled as invalid data.
  • data with different IDs, or data with different contents even if the IDs are the same are naturally invalid data.
  • the ECU 10 connected to the CAN bus 20 receives this and performs arithmetic processing.
  • the engine ECU receives illegal data and performs arithmetic processing, there is a possibility that control relating to traveling may become impossible.
  • the ECU 10 even if unauthorized data is transmitted to the CAN bus 20, the ECU 10 excludes the unauthorized data from the target of the arithmetic processing, and only the regular data is the target of the arithmetic processing. Like to do. Details of the processing will be described later (FIGS. 2 to 4).
  • FIG. 2 shows the internal configuration of the ECU 10.
  • the ECU 10 includes a memory such as a RAM and a ROM (not shown), an input / output interface, and a CPU 100.
  • the CPU 100 includes programs or memories such as a data transmission / reception unit 101, a reception data restriction unit 102, a CAN buffer 103, and a control calculation unit 104.
  • the data transmission / reception unit 101 receives regular or illegal data D0 to D4 from the CAN bus 20 and outputs them to the reception data regulation unit 102. Further, the data transmitting / receiving unit 101 transmits the calculation results D21 and D22 for the regular data among these data D0 to D4 to the CAN bus 20. The calculation results D21 and D22 are then used for operations of other ECUs 10 and other devices.
  • Receiving data restricting section 102 when receiving regular or illegal data D0 to D4 from data transmitting / receiving section 101, outputs only the regular data of these data D0 to D4 to CAN buffer 103, and other than the regular data The illegal data is blocked, and the data output to the CAN buffer 103 is restricted.
  • the reception data restricting unit 102 when receiving one regular data D0 as a reference, outputs it to the CAN buffer 103 and starts a timer T held in the CPU 100 to count the time. Start.
  • the reception data restricting unit 102 refers to the prescribed time DT associated in advance for each ID, and outputs only the data received within a prescribed time (within the window) after the prescribed time has elapsed to the CAN buffer 103.
  • the reception data restriction unit 102 determines the data with the ID “1”. Outputs only the data received in the window between 100 ms to 110 ms or 95 ms to 105 ms after receiving the data D 0 to the CAN buffer 103.
  • the CAN buffer 103 is a memory that stores data waiting for arithmetic processing.
  • the control calculation unit 104 performs calculation processing on the data stored in the CAN buffer 103 to generate calculation results D21 and D22, and outputs the calculation results D21 and D22 to the data transmission / reception unit 101.
  • FIG. 3 shows a flowchart of reception processing in the present embodiment.
  • the reception process is started when the CPU 100 of the ECU 10 receives one regular data as a reference, and is always executed thereafter.
  • the CPU 100 when the CPU 100 receives regular data from the CAN bus 20 (S1), the CPU 100 starts the timer T, starts counting time (S2), and sets the block setting to “valid” (S3).
  • the CPU 100 receives data when the block setting is set to be effective, the CPU 100 blocks (isolates or discards) the data.
  • the CPU 100 refers to the specified time DT associated with the regular data ID received in step S1 and the count time counted in step S2, and whether the count time has passed the specified time DT. It is determined whether or not (S4).
  • the CPU 100 When the CPU 100 obtains a negative result in the determination at step S4 (S4: N), the CPU 100 regards the data with the same ID received until the count time passes the specified time DT as invalid data, and Block data from being output to the CAN buffer 103 (S5).
  • the CPU 100 determines whether there is data received within a predetermined time (within the window) after the lapse of the specified time DT (S7).
  • step S9 if a negative result is obtained by judgment of step S7 (S7: N). On the other hand, if the CPU 100 obtains a positive result (S7: Y), it outputs the received data to the CAN buffer 103 (S8). After the specified time DT has elapsed, the CPU 100 stops the timer T, resets the count time, and starts the timer T again (S9).
  • the CPU 100 determines whether or not a predetermined time has passed (outside the window) (S10).
  • the CPU 100 obtains a negative result in the determination at step S10 (S10: N)
  • the CPU 100 proceeds to step S7 and determines whether there is data continuously received.
  • the CPU 100 obtains a positive result (S10: Y)
  • it sets the block setting to “valid” again (S11).
  • the CPU 100 again blocks the data having the same ID received thereafter, while calculating the data stored in the CAN buffer 103 in step S8 (S12), and ends this process. Thereafter, the CPU 100 proceeds to step S4 and executes the above-described processing again.
  • FIG. 4 shows a conceptual diagram of the reception process described in FIG. Hereinafter, the processing of the data D0 to D4 will be described along the time series.
  • the data D0 is received by the data transmitting / receiving unit 101 at the timing of this time t0.
  • the reception data restriction unit 102 starts the timer T and refers to the specified time DT.
  • the data D0 is output to the CAN buffer 103.
  • the data D0 stored in the CAN buffer 103 is processed by the control calculation unit 104. As a result, a calculation result D21 is generated.
  • the received data restriction unit 102 indicates that the block setting is set to “valid”. Therefore, among the data received during this period, data D1 and D2 having the same ID as the data D0 are regarded as illegal data and are blocked from being output to the CAN buffer 103 by the received data restricting unit 102.
  • the received data restriction unit 102 indicates that the block setting is set to “invalid”. This time is called a window W here.
  • the data D3 received within this window W is regarded as regular data, and is output to the CAN buffer 103 by the reception data restriction unit 102.
  • the data D3 stored in the CAN buffer 103 is processed by the control calculation unit 104. As a result, a calculation result D22 is generated.
  • the acceptance period of data having the same ID as data D0 among the data received thereafter is limited by the operation of the software. Only the data D3 received in the window W provided periodically is processed.
  • the timer T is started when the regular data D0 is received, and the data D1, D2 and D4 received until the count time has passed the specified time DT is regarded as invalid data and blocked. Then, only the data D3 received in the window W after the predetermined time DT has elapsed and before the predetermined time has elapsed is processed.
  • the ID and the specified time DT are associated with each other in advance, but in addition to this, the specified time DT and the window width (the time between time t1 and t2 in FIG. 4) correspond to each other. It may be attached.
  • the specified time DT is “100 ms” and the window width is “10 ms”
  • the specified time DT is “50 ms” and the window width is “5 ms” may be associated in advance. That is, the window width may be variable according to the number of receptions per unit time.
  • the window width can be shortened to make it easy to block illegal data. Therefore, security protection can be realized more reliably.

Landscapes

  • Engineering & Computer Science (AREA)
  • Small-Scale Networks (AREA)
  • Mechanical Engineering (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)

Abstract

車載ネットワークの複雑化及びコストの増加を回避しつつ、セキュリティの保護を実現し得る電子制御装置を提案する。　ＣＡＮバス（２０）に接続されているＥＣＵ（１０）において、ＥＣＵ（１０）のＣＰＵ（１００）は、ＣＡＮバス（２０）を介して基準となる正規のデータ（Ｄ０）を受信した場合、正規のデータ（Ｄ０）を受信した後にＩＤが同一のデータ（Ｄ１、Ｄ２、Ｄ３、Ｄ４）を受信する場合の該データ（Ｄ１、Ｄ２、Ｄ３、Ｄ４）の受け入れ期間を制限し、定期的に設けるウインドウ（Ｗ）外で受信したデータ（Ｄ１、Ｄ２、Ｄ４）についてはブロックして演算処理の対象から除外し、ウインドウ（Ｗ）内で受信したデータ（Ｄ３）のみを演算処理の対象とすることを特徴とする。

Description

ＥＣＵ
　本発明は、ＥＣＵに関し、特に車載ネットワーク上に配置されるＥＣＵに適用して好適なものである。
　近年、ＣＡＮ（Controller　Area　Network）と呼ばれる通信規格を利用した車載ネットワーク（ＣＡＮネットワーク）が普及している。このＣＡＮネットワークは、車両に設置された複数の電子制御装置（ECU：Electronic　Control　Unit）と、ＣＡＮを利用した通信バス（ＣＡＮバス）とが接続されて構成される。ＥＣＵは、このＣＡＮバスを介して、他のＥＣＵと互いに通信（ＣＡＮ通信）することができる。
　ＣＡＮバスは、ＥＣＵ同士を互いに通信可能に接続する一方で、データリンクコネクタ（DLC：Data　Link　Connector）を備える。このデータリンクコネクタに専用の機器を接続することで、ＥＣＵが備える自己診断機能（OBD：On　Board　Diagnostics）により生成される故障コードを読み取ることができる。故障コードを参照することで、例えばサービスエンジニアは故障箇所を容易に特定することができる。
　ところで、このＤＬＣが不正に利用された場合、具体的にはＤＬＣを介して、正規のデータとＩＤが同一で中身が異なる不正なデータが外部からＣＡＮバスに送信された場合、ＣＡＮバスに接続されているＥＣＵがこの不正なデータを受信して誤動作するおそれがある。よってセキュリティ保護の観点から、このような不正なデータを防御する技術が必要となる。
　なお不正なデータは、ＤＬＣに有線で接続された機器からＣＡＮバスに送信される場合と、ＤＬＣに無線通信可能な機器が接続されて、この機器を介して無線でＣＡＮバスに送信される場合とが考えられる。
　特許文献１には、ＣＡＮバスに対して送信されたデータについて、前回の送信タイミングと、今回の送信タイミングとの間の差分を送信周期として算出し、この送信周期と、予め記憶する不正データ判定用の送信周期とを比較し、比較した結果、算出した送信周期が不正データ判定用の送信周期よりも短い場合、今回送信されたデータを不正データとして判定する技術が開示されている。
　この特許文献１に記載の技術によれば、一のＥＣＵがＣＡＮバスを監視し、他のＥＣＵが不正データの受信を完了する前にこれを検出して無効化することができる。これにより正規なデータとＩＤが同一で中身が異なる不正なデータがＣＡＮバスに侵入し、ＣＡＮバスに接続されているＥＣＵの誤動作を引き起こすなりすまし攻撃から、車載ネットワークに接続している全てのＥＣＵを防御することができるとしている。
特開２０１４－２３６２４８号公報
　しかしこの特許文献１に記載の技術では、ＣＡＮバスに対して送信されたデータを常時監視するための追加の機器が必要になる。具体的には、ＥＣＵとＣＡＮバスとを接続する通常の通信線に加えて、これと並列にこのＥＣＵとＣＡＮバスとを接続する追加の通信線が更に必要となる。またＣＡＮバス上のデータを常時監視する処理、不正データか否かを判定する処理及び不正データである場合の無効化処理等の追加の処理が必要になる。
　よって車載ネットワークのハードウェア構成及びソフトウェア構成が複雑化し、これに伴い、車載ネットワークを実現するための全体のコストが増加するという課題が生じる。
　本発明は以上の点を考慮してなされたものであり、車載ネットワークの複雑化及びコストの増加を回避しつつ、セキュリティの保護を実現し得るＥＣＵを提案する。
　かかる課題を解決するために、本発明においては、ＣＡＮバス（２０）に接続されているＥＣＵ（１０）において、ＥＣＵ（１０）のＣＰＵ（１００）は、ＣＡＮバス（２０）を介して基準となる正規のデータ（Ｄ０）を受信した場合、正規のデータ（Ｄ０）を受信した後にＩＤが同一のデータ（Ｄ１、Ｄ２、Ｄ３、Ｄ４）を受信する場合の該データ（Ｄ１、Ｄ２、Ｄ３、Ｄ４）の受け入れ期間を制限することを特徴とする。
　本発明によれば、車載ネットワークの複雑化及びコストの増加を回避しつつ、セキュリティの保護を実現することができる。
車載ネットワークの全体構成図である。 ＥＣＵの内部構成図である。 受信処理のフローチャートである。 受信処理の概念図である。
　以下本発明について、図面を参照しながら本発明の一実施の形態を詳述する。なお以下の説明はあくまで本発明の一実施の形態にすぎず、本発明の技術的範囲がこれに限定されるものではない。
　図１は、車両１における車載ネットワークＮ１の全体構成を示す。車載ネットワークＮ１は、ＣＡＮ（Controller　Area　Network）と呼ばれる通信規格を利用したネットワークであり、電子制御装置（ECU：Electronic　Control　Unit）１０及びＣＡＮバス２０を備えて構成される。
　ＥＣＵ１０は、車両１の各種動作を制御する制御装置である。ＥＣＵ１０は、ＣＰＵ（Central　Processing　Unit）、ＲＡＭ（Random　Access　Memory）、ＲＯＭ（Read　Only　Memory）及び入出力インタフェース等を備えて構成される。各ＥＣＵ１０は、それぞれＣＡＮバス２０に接続される。これにより各ＥＣＵ１０は、ＣＡＮバス２０を介して互いに通信可能に接続される。
　なおＣＡＮバス２０に接続されるＥＣＵ１０のうち、エンジンＥＣＵと呼ばれるＥＣＵ１０は、車両１の動作を統括的に制御する。そのため本実施の形態においては、このエンジンＥＣＵに本発明を適用することで、特に走行に関する制御についてセキュリティの保護を実現しようとするものである。
　ＣＡＮバス２０は、ＣＡＮを利用した通信バスであり、各ＥＣＵ１０を互いに通信可能に接続する。またＣＡＮバス２０は、データリンクコネクタ（DLC：Data　Link　Connector）３０を備える。ＤＬＣ３０は、スキャンツール４０を有線又は無線によりＣＡＮバス２０に接続するための接続コネクタである。
　ＤＬＣ３０にスキャンツール４０を接続し、スキャンツール４０上で特定の操作を行うと、ＥＣＵ１０が備える自己診断機能（OBD：On　Board　Diagnostics）により生成される故障コードを読み取ることができる。例えばサービスエンジニアは、スキャンツール４０の表示画面上に表示される故障コードを参照して、車両１の故障箇所を特定することができる。
　ここで、ＤＬＣ３０を介して車両１の外部から不正なデータがＣＡＮバス２０に送信される場合が考えられる。ここでいう不正なデータとは、少なくともＣＡＮバス２０に送信されるタイミングが正規のデータとは異なるデータをいう。
　例えば一の正規のデータのＩＤが「１」で、「１００ｍｓ」ごとにＣＡＮバス２０に送信される場合、ＩＤが「１」で、「１２０ｍｓ」ごとにＣＡＮバス２０に送信されるデータは本実施の形態においては不正なデータとして取り扱われる。またこのＩＤが「１」のデータとの関係において、ＩＤが異なるデータ、或いは、ＩＤが同一であっても内容が異なるデータも当然に不正なデータとなる。
　このような不正なデータがＤＬＣ３０を介してＣＡＮバス２０に送信された場合であって何らの防御手段もない場合、ＣＡＮバス２０に接続されているＥＣＵ１０がこれを受信して演算処理してしまう。特にエンジンＥＣＵが不正なデータを受信して演算処理すると、走行に関する制御が不能になるおそれがある。
　本実施の形態においては、たとえ不正なデータがＣＡＮバス２０に送信された場合であっても、ＥＣＵ１０においてこの不正なデータは演算処理の対象から除外し、正規のデータだけを演算処理の対象とするようにしている。処理の詳細については後述する（図２～図４）。
　図２は、ＥＣＵ１０の内部構成を示す。ＥＣＵ１０は、ここでは図示しないＲＡＭ及びＲＯＭ等のメモリや入出力インタフェースを備えるとともに、ＣＰＵ１００を備える。ＣＰＵ１００は、データ送受信部１０１、受信データ規制部１０２、ＣＡＮバッファ１０３及び制御演算部１０４等のプログラム又はメモリを備える。
　データ送受信部１０１は、ＣＡＮバス２０からの正規又は不正なデータＤ０～Ｄ４を受信して、受信データ規制部１０２に出力する。またデータ送受信部１０１は、これらのデータＤ０～Ｄ４のうちの正規のデータに対する演算結果Ｄ２１、Ｄ２２をＣＡＮバス２０に送信する。演算結果Ｄ２１、Ｄ２２は、その後他のＥＣＵ１０や他の機器の動作に用いられる。
　受信データ規制部１０２は、データ送受信部１０１からの正規又は不正なデータＤ０～Ｄ４を入力すると、これらのデータＤ０～Ｄ４のうちの正規のデータのみをＣＡＮバッファ１０３に出力し、正規のデータ以外の不正なデータはブロックするようにして、ＣＡＮバッファ１０３に出力するデータを規制する。
　具体的に、受信データ規制部１０２は、基準となる一の正規のデータＤ０を受信すると、これをＣＡＮバッファ１０３に出力するとともに、ＣＰＵ１００の内部に保持するタイマＴを起動して時間のカウントを開始する。
　一方で受信データ規制部１０２は、ＩＤごとに予め対応付けられた規定時間ＤＴを参照し、規定時間経過後で所定時間内（ウインドウ内）に受信したデータだけをＣＡＮバッファ１０３に出力する。
　例えば受信データ規制部１０２は、データＤ０のＩＤが「１」であり、ＩＤが「１」に予め対応付けられている規定時間ＤＴが「１００ｍｓ」である場合、ＩＤが「１」のデータについては、データＤ０を受信してから１００ｍｓ～１１０ｍｓ、或いは、９５ｍｓ～１０５ｍｓの間のウインドウ内に受信したデータのみをＣＡＮバッファ１０３に出力する。
　ＣＡＮバッファ１０３は、演算処理待ちのデータを格納するメモリである。制御演算部１０４は、ＣＡＮバッファ１０３に格納されたデータを演算処理して演算結果Ｄ２１、Ｄ２２を生成し、これらの演算結果Ｄ２１、Ｄ２２をデータ送受信部１０１に出力する。
　図３は、本実施の形態における受信処理のフローチャートを示す。受信処理は、ＥＣＵ１０のＣＰＵ１００により、基準となる一の正規のデータを受信した時点から開始され、それ以後は常時実行される。
　ここでは、基準となる一の正規のデータを受信して処理するまでの間に限って説明する。ここで説明するデータのＩＤは全て同一である（例えば「１」）。すなわちＩＤごとに本処理が行われる。説明の便宜上、処理主体をＣＰＵ１００として説明する。
　まずＣＰＵ１００は、ＣＡＮバス２０からの正規のデータを受信すると（Ｓ１）、タイマＴを起動して時間のカウントを開始し（Ｓ２）、ブロックの設定を「有効」にする（Ｓ３）。ＣＰＵ１００は、ブロックの設定が有効に設定されている場合にデータを受信すると、そのデータをブロック（隔離又は破棄）する。
　次いでＣＰＵ１００は、ステップＳ１で受信した正規のデータのＩＤに対応付けられている規定時間ＤＴと、ステップＳ２でカウントしているカウント時間とを参照して、カウント時間が規定時間ＤＴを経過したか否かを判断する（Ｓ４）。
　ＣＰＵ１００は、ステップＳ４の判断で否定結果を得ると（Ｓ４：Ｎ）、カウント時間が規定時間ＤＴを経過するまでの間に受信した同一のＩＤのデータを不正なデータとみなして、この不正なデータがＣＡＮバッファ１０３に出力されないようにブロックする（Ｓ５）。
　これに対し、ＣＰＵ１００はステップＳ４の判断で肯定結果を得ると（Ｓ４：Ｙ）、ブロックの設定を「無効」にする（Ｓ６）。ＣＰＵ１００は、ブロックの設定が無効に設定されている場合に限って、受信したデータをＣＡＮバス２０に出力する。この状態でＣＰＵ１００は、規定時間ＤＴ経過後から所定時間内（ウインドウ内）に受信したデータがあるか否かを判断する（Ｓ７）。
　ＣＰＵ１００は、ステップＳ７の判断で否定結果を得ると（Ｓ７：Ｎ）、ステップＳ９に移行する。これに対し、ＣＰＵ１００は肯定結果を得ると（Ｓ７：Ｙ）、受信したデータをＣＡＮバッファ１０３に出力する（Ｓ８）。ＣＰＵ１００は、規定時間ＤＴが経過した後はタイマＴを停止してカウント時間をリセットし、再びタイマＴを起動する（Ｓ９）。
　次いでＣＰＵ１００は、所定時間経過した（ウインドウ外）か否かを判断する（Ｓ１０）。ＣＰＵ１００は、ステップＳ１０の判断で否定結果を得ると（Ｓ１０：Ｎ）、ステップＳ７に移行して引き続き受信したデータの有無を判断する。これに対し、ＣＰＵ１００は肯定結果を得ると（Ｓ１０：Ｙ）、ブロックの設定を再度「有効」にする（Ｓ１１）。
　そしてＣＰＵ１００は、これ以降に受信するＩＤが同一のデータについて再びブロックする一方で、ステップＳ８でＣＡＮバッファ１０３に格納されたデータを演算処理して（Ｓ１２）、本処理を終了する。なおこれ以後、ＣＰＵ１００はステップＳ４に移行して再び上述してきた処理を実行することになる。
　図４は、図３で説明した受信処理の概念図を示す。以下時系列に沿って、データＤ０～Ｄ４の処理について説明する。
　時間ｔがｔ＝ｔ０は、基準となる正規のデータＤ０がＣＰＵ１００において受信されたタイミングを示す。この時間ｔ０のタイミングで、データＤ０はデータ送受信部１０１により受信される。また受信データ規制部１０２により、タイマＴが起動されるとともに規定時間ＤＴが参照される。
　その後データＤ０は、ＣＡＮバッファ１０３に出力される。ＣＡＮバッファ１０３に格納されたデータＤ０は、制御演算部１０４により演算処理される。その結果、演算結果Ｄ２１が生成される。
　時間ｔがｔ０＜ｔ≦ｔ１の間は、受信データ規制部１０２によりブロックの設定が「有効」に設定されていることを示す。よってこの間に受信されるデータのうち、データＤ０と同一のＩＤを有するデータＤ１、Ｄ２は不正なデータとみなされ、受信データ規制部１０２によりＣＡＮバッファ１０３に出力されないようにブロックされる。
　時間ｔがｔ１＜ｔ≦ｔ２の間は、受信データ規制部１０２によりブロックの設定が「無効」に設定されていることを示す。この間の時間をここではウインドウＷと呼んでいる。このウインドウＷ内で受信されたデータＤ３は、正規のデータとみなされ、受信データ規制部１０２によりＣＡＮバッファ１０３に出力される。
　ＣＡＮバッファ１０３に格納されたデータＤ３は、制御演算部１０４により演算処理される。その結果、演算結果Ｄ２２が生成される。
　時間ｔがｔ２＜ｔ≦ｔ３の間は、再び受信データ規制部１０２によりブロックの設定が「有効」に設定されていることを示す。よってこの間に受信されるデータのうち、データＤ０と同一のＩＤを有するデータＤ４は、不正なデータとみなされ、受信データ規制部１０２によりＣＡＮバッファ１０３に出力されないようにブロックされる。
　以上のように本実施の形態によれば、基準となる正規のデータＤ０を受信した場合、その後に受信するデータのうち、データＤ０と同一のＩＤのデータの受け入れ期間をソフトウェアの動作により制限し、定期的に設けるウインドウＷ内で受信したデータＤ３のみを演算処理するようにした。
　より具体的には、正規のデータＤ０を受信した時点でタイマＴを起動し、カウント時間が規定時間ＤＴを経過するまでの間に受信したデータＤ１、Ｄ２、Ｄ４を不正なデータとみなしてブロックし、カウント時間が規定時間ＤＴを経過した後であって、所定時間経過前のウインドウＷ内で受信したデータＤ３のみを演算処理するようにした。
　これにより、なりすまし攻撃に対する防御手段として追加の機器を必要とすることなく、また不正な受信データを監視、判定及び無効化する等の煩雑な処理を必要とすることなく、単にソフトウェアの制御によって不正なデータを防御することができる。よって本実施の形態によれば、車載ネットワークの複雑化及びコストの増加を回避しつつ、セキュリティの保護を実現することができる。
　なお本実施の形態において、ＩＤと規定時間ＤＴとが予め対応付けられているが、これに加えて規定時間ＤＴとウインドウ幅（図４においては時間ｔ１とｔ２との間の時間）とが対応付けられているとしてもよい。
　例えばＩＤが「１」については、規定時間ＤＴが「１００ｍｓ」、ウインドウ幅が「１０ｍｓ」が予め対応付けられており、ＩＤが「２」については、規定時間ＤＴが「５０ｍｓ」、ウインドウ幅が「５ｍｓ」が予め対応付けられているとしてもよい。すなわち単位時間当たりの受信回数に応じてウインドウ幅を可変にしてもよい。
　この場合、単位時間当たりの受信回数が多いデータについてはウインドウ幅を短くするようにして、不正なデータをブロックし易くすることができる。よってより確実にセキュリティの保護を実現することができる。
１　　　車両
１０　　ＥＣＵ
２０　　ＣＡＮバス
３０　　ＤＬＣ
４０　　スキャンツール
１００　ＣＰＵ
１０１　データ送受信部
１０２　受信データ規制部
１０３　ＣＡＮバッファ
１０４　制御演算部
 

Claims (6)

  1. 　通信バス（２０）に接続されているＥＣＵ（１０）において、
    　前記ＥＣＵ（１０）のＣＰＵ（１００）は、
    　前記通信バス（２０）を介して基準となる正規のデータ（Ｄ０）を受信した場合、
    　前記正規のデータ（Ｄ０）を受信した後にＩＤが同一のデータ（Ｄ１、Ｄ２、Ｄ３、Ｄ４）を受信する場合の該データ（Ｄ１、Ｄ２、Ｄ３、Ｄ４）の受け入れ期間を制限する
    　ことを特徴とするＥＣＵ。
  2. 　前記ＣＰＵ（１００）は、
    　前記ＩＤが同一のデータ（Ｄ１、Ｄ２、Ｄ３、Ｄ４）の受け入れ期間の制限について、
    　定期的に設けるウインドウ（Ｗ）外で受信したデータ（Ｄ１、Ｄ２、Ｄ４）についてはブロックして演算処理の対象から除外し、前記ウインドウ（Ｗ）内で受信したデータ（Ｄ３）のみを演算処理の対象とする
    　ことを特徴とする請求項１に記載のＥＣＵ。
  3. 　前記ＣＰＵ（１００）は、
    　前記正規のデータ（Ｄ０）のＩＤに予め対応付けられている規定時間（ＤＴ）が経過するごとに前記ウインドウ（Ｗ）を定期的に設ける
    　ことを特徴とする請求項２に記載のＥＣＵ。
  4. 　前記ＣＰＵ（１００）は、
    　前記正規のデータ（Ｄ０）を受信した時点（ｔ０）から前記規定時間（ＤＴ）が経過するまでの間に受信した前記データ（Ｄ１、Ｄ２）をブロックし、
    　前記規定時間（ＤＴ）が経過した時点（ｔ１）から所定時間が経過するまでの間に受信した前記データ（Ｄ３）のみを演算処理し、
    　前記所定時間が経過した時点（ｔ２）から前記規定時間（ＤＴ）が経過するまでの間に受信した前記データ（Ｄ４）をブロックする
    　ことを特徴とする請求項３に記載のＥＣＵ。
  5. 　前記規定時間（ＤＴ）は、
    　前記基準となる正規のデータ（Ｄ０）のＩＤごとに異なる
    　ことを特徴とする請求項３又は４に記載のＥＣＵ。
  6. 　前記ウインドウ（Ｗ）は、
    　前記基準となる正規のデータ（Ｄ０）のＩＤごとに幅が異なる
    　ことを特徴とする請求項３～５の何れか一項に記載のＥＣＵ。
     
     
     
PCT/JP2018/008881 2017-04-26 2018-03-08 Ｅｃｕ WO2018198545A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2019515134A JPWO2018198545A1 (ja) 2017-04-26 2018-03-08 Ｅｃｕ

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017087064 2017-04-26
JP2017-087064 2017-04-26

Publications (1)

Publication Number Publication Date
WO2018198545A1 true WO2018198545A1 (ja) 2018-11-01

Family

ID=63918281

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/008881 WO2018198545A1 (ja) 2017-04-26 2018-03-08 Ｅｃｕ

Country Status (2)

Country Link
JP (1) JPWO2018198545A1 (ja)
WO (1) WO2018198545A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013094072A1 (ja) * 2011-12-22 2013-06-27 トヨタ自動車 株式会社 通信システム及び通信方法
WO2015170451A1 (ja) * 2014-05-08 2015-11-12 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車載ネットワークシステム、電子制御ユニット及び不正検知方法
WO2017037977A1 (ja) * 2015-08-31 2017-03-09 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ ゲートウェイ装置、車載ネットワークシステム及び通信方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013094072A1 (ja) * 2011-12-22 2013-06-27 トヨタ自動車 株式会社 通信システム及び通信方法
WO2015170451A1 (ja) * 2014-05-08 2015-11-12 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車載ネットワークシステム、電子制御ユニット及び不正検知方法
WO2017037977A1 (ja) * 2015-08-31 2017-03-09 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ ゲートウェイ装置、車載ネットワークシステム及び通信方法

Also Published As

Publication number Publication date
JPWO2018198545A1 (ja) 2020-01-23

Similar Documents

Publication Publication Date Title
CN107005447B (zh) 通信控制装置及通信系统
JP6477281B2 (ja) 車載中継装置、車載通信システム及び中継プログラム
JP6525825B2 (ja) 通信装置
US10496393B2 (en) Program update control system and program update control method
WO2017026359A1 (ja) 通信装置
KR101972457B1 (ko) Can 통신 기반 해킹공격 탐지 방법 및 시스템
US10721241B2 (en) Method for protecting a vehicle network against manipulated data transmission
WO2018211790A1 (ja) Ｅｃｕ
US10585401B2 (en) Method for determining a master time signal, vehicle, and system
JP2014236248A (ja) 電子制御装置、電子制御システム
JP7024069B2 (ja) 車両の制御機器に対する攻撃を検出する方法
JP6730578B2 (ja) 監視方法および監視システム
WO2018198545A1 (ja) Ｅｃｕ
US20170272451A1 (en) Monitoring apparatus and communication system
CN108632242B (zh) 通信装置及接收装置
JP2020145547A (ja) 不正送信データ検知装置
JP2015192216A (ja) 通信装置および通信方法
JP7110950B2 (ja) ネットワークシステム
WO2018037894A1 (ja) 車両用認証装置
JP2024041392A (ja) 電子制御装置
JP6149716B2 (ja) 車載ネットワークシステム
JP2022086429A (ja) 通信装置、通信装置が行なう通信異常判定方法、および通信装置を制御するためのプログラム
JP2002125221A (ja) 映像転送機能付き宅内監視装置
JP2013229670A (ja) 通信制御装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18789957

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2019515134

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18789957

Country of ref document: EP

Kind code of ref document: A1