WO2019021402A1 - 通信装置、通信方法および通信システム - Google Patents

通信装置、通信方法および通信システム Download PDF

Info

Publication number
WO2019021402A1
WO2019021402A1 PCT/JP2017/027116 JP2017027116W WO2019021402A1 WO 2019021402 A1 WO2019021402 A1 WO 2019021402A1 JP 2017027116 W JP2017027116 W JP 2017027116W WO 2019021402 A1 WO2019021402 A1 WO 2019021402A1
Authority
WO
WIPO (PCT)
Prior art keywords
message
list
communication
unit
communication device
Prior art date
Application number
PCT/JP2017/027116
Other languages
English (en)
French (fr)
Inventor
良浩 氏家
唯之 鳥崎
芳賀　智之
弘泰 寺澤
遼 加藤
Original Assignee
パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ filed Critical パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority to PCT/JP2017/027116 priority Critical patent/WO2019021402A1/ja
Priority to EP18838307.9A priority patent/EP3661128A1/en
Priority to CN201880003923.9A priority patent/CN109845195B/zh
Priority to PCT/JP2018/027465 priority patent/WO2019021995A1/ja
Priority to JP2018552904A priority patent/JP7017520B2/ja
Publication of WO2019021402A1 publication Critical patent/WO2019021402A1/ja
Priority to US16/380,447 priority patent/US10904883B2/en
Priority to US17/129,012 priority patent/US11553484B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/28—Flow control; Congestion control in relation to timing considerations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W72/00—Local resource management
    • H04W72/04—Wireless resource allocation
    • H04W72/044—Wireless resource allocation based on the type of the allocated resource
    • H04W72/0446—Resources in time domain, e.g. slots or frames
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/61—Time-dependent
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/02—Processing of mobility data, e.g. registration information at HLR [Home Location Register] or VLR [Visitor Location Register]; Transfer of mobility data, e.g. between HLR, VLR or external networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/121—Timestamp
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/74—Address processing for routing

Definitions

  • the present invention relates to a communication device, a communication method, and a communication system that prevent in-vehicle information from being illegally transmitted to the outside in an in-vehicle Ethernet network.
  • ECUs electronice control units
  • an on-vehicle network a network connecting these ECUs.
  • Ethernet registered trademark
  • the adoption of Ethernet will enable a significant increase in bandwidth and the utilization of existing technology assets outside of the automotive field, and while cost reduction effects are expected, there are also concerns that the potential for security risks will increase. It is pointed out.
  • Data expected to increase in the future include various sensor data and video data which are essential to automatic driving technology and the like. These data are simply monitored from the outside, where the car is currently running and where the surrounding situation is known, so these data are unintentionally leaked to the outside. It is important to take measures to prevent it.
  • Patent Document 1 an apparatus that determines devices located in the same group by comparison with a reference time for communication is also referred to as Patent Document 2, TTL (Time To Live) of Internet Protocol (hereinafter IP) field.
  • IP Internet Protocol
  • Patent Document 1 and Patent Document 2 there is a possibility that the normal operation is not performed due to the determination of the communication apparatus as the transmission source as a reference and the communication apparatus of the transmission source is falsified.
  • An object of the present invention is to provide a communication device, a communication method, and a communication system in order to solve the above problems.
  • a communication device is a communication device disposed in a vehicle and connected to a network bus used by the plurality of electronic control devices for communication, the electronic control device A receiving unit for receiving a message transmitted from the network bus via the network bus; a list holding unit for holding a list including determination criteria regarding a predetermined field indicating a range in which the message can be transferred; And a determination unit that determines the validity of the message by comparison.
  • a communication method is a communication method that is disposed in a car and used in a network bus that a plurality of electronic control devices use for communication, A determination step of determining whether or not the message can be transmitted by using a transmission step in which the control device transmits a message to the network bus, and a list serving as a determination criterion of transferability regarding a predetermined field indicating a range in which the message can be transferred.
  • a communication method characterized by comprising:
  • a communication system is a communication system including a network bus used by a plurality of electronic control devices disposed in a vehicle for communication, the electronic control device A determination step of determining whether the message can be sent or not using a transmission unit that sends the message to the network bus and a list including a determination criterion of transfer availability regarding a predetermined field indicating a range in which the message can be transferred; It is a communication system characterized by having.
  • the determination is performed by comparing the value of a predetermined field indicating the transferable range with the reference value stored in advance, and the processing for the message is determined based on the determination result.
  • a secure state can be maintained as the entire network system.
  • FIG. 1 is a diagram showing an example of the overall configuration of the in-vehicle network system according to the first embodiment.
  • FIG. 2 is a diagram showing an example of an IP address / MAC address list according to the first embodiment.
  • FIG. 3 is a diagram showing an example of the configuration of the Ethernet switch according to the first embodiment.
  • FIG. 4 is a diagram showing an example of the configuration of IVI in the first embodiment.
  • FIG. 5 is a diagram showing an example of the configuration of the ECU in the first embodiment.
  • FIG. 6 is a diagram showing an example of the configuration of the CGW in the first embodiment.
  • FIG. 7 is a diagram showing an example of the configuration of the TCU in the first embodiment.
  • FIG. 1 is a diagram showing an example of the overall configuration of the in-vehicle network system according to the first embodiment.
  • FIG. 2 is a diagram showing an example of an IP address / MAC address list according to the first embodiment.
  • FIG. 3 is a diagram showing an example of the configuration of
  • FIG. 8 is a diagram showing an example of fields included in a message transmitted from the ECU in the first embodiment.
  • FIG. 9 is a diagram showing an example of the configuration of the transfer table in the first embodiment.
  • FIG. 10 is a diagram showing an example of the configuration of the TTL white list in the first embodiment.
  • FIG. 11 is a diagram showing an example of a determination sequence of messages using the TTL white list according to the first embodiment.
  • FIG. 12 is a diagram showing an example of the configuration of the Ethernet switch in the first modification of the first embodiment.
  • FIG. 13 is a diagram showing an example of a configuration of a transfer table in the first modification of the first embodiment.
  • FIG. 14 is a diagram showing an example of the configuration of the TTL white list in the first modification of the first embodiment.
  • FIG. 15 is a diagram showing an example of a determination sequence of a message using the TTL white list in the first modification of the first embodiment.
  • FIG. 16 is a diagram showing an example of the configuration of the Ethernet switch in the second modification of the first embodiment.
  • FIG. 17 is a diagram showing an example of the configuration of the Ethernet switch in the third modification of the first embodiment.
  • FIG. 18 is a diagram showing an example of fields included in the ECU transmission message in the third modification of the first embodiment.
  • FIG. 19 is a diagram showing an example of a determination sequence of a message using the TTL white list in the third modification of the first embodiment.
  • FIG. 20 is a diagram showing an example of the configuration of the Ethernet switch in the second embodiment.
  • FIG. 21 is a diagram showing an example of the configuration of the white list in the second embodiment and the first modification of the second embodiment.
  • FIG. 22 is a diagram showing an example of a determination sequence of messages using the RTT white list in the second embodiment.
  • FIG. 23 is a diagram showing an example of the configuration of the Ethernet switch in the first modification of the second embodiment.
  • Communication device for determining whether the transmission destination is inside or outside the vehicle assuming a case where a specific node existing in the vehicle is tampered with illegally and a message to be transmitted only to the network is unintentionally transmitted outside the vehicle , Had not been considered so far.
  • a communication device is a communication device disposed in a car and connected to a network bus used by the plurality of electronic control devices for communication, A receiving unit for receiving a message transmitted from the control device via the network bus; a list holding unit for holding a list including a determination criterion of transferability regarding a predetermined field indicating a transferable range of the received message; And a determination unit that determines validity of the received message by comparing the received message and the list. This makes it possible to determine whether the message transfer range is properly set.
  • the network bus is Ethernet
  • a criterion for a predetermined field indicating a range in which the message can be transferred is a criterion for holding a value of TTL (Time To Live) included in the message in a list. It may be a criterion determined by comparison with a value. This makes it possible to communicate only messages having a properly set TTL.
  • the network bus is Ethernet
  • a determination reference regarding a predetermined field indicating a range in which the message can be transferred is a list of RTTs (Rand Trip Time) calculated from time information included in the message. It may be a criterion determined by comparison with a reference value held in This makes it possible to communicate only within the appropriate RTT range.
  • the list may be a list including information of a transmission source or a transmission destination. This makes it possible to set a stricter reference value.
  • the information on the transmission source or the transmission destination may be a MAC address. This makes it possible to set a more strict reference value also in the L2 switch.
  • the information on the transmission source or the transmission destination may be an IP address. This makes it possible to set a more strict reference value also in the L3 switch.
  • the list may be a fixed list preset in the communication device. As a result, in an environment where there is no change in component elements or attribute information, it is possible to make a determination using a strict reference value.
  • the list may be a list that is dynamically updated according to the physical arrangement of the electronic control unit. As a result, a list updated with physical changes can be made, and more flexible operation becomes possible.
  • the list may be a list that is dynamically updated according to the attribute information of the electronic control device. This makes it possible to operate the list even in an environment where IP addresses and the like are dynamically changed, and a wider range of adaptation can be realized.
  • the list may be a list that is dynamically updated according to the attribute information of the electronic control device. This makes it possible to operate the list even in an environment where IP addresses and the like are dynamically changed, and a wider range of adaptation can be realized.
  • the list may be a list that is dynamically updated each time the electronic control device changes the communication destination in accordance with the Scalable service-oriented Middlewar OVER IP (hereinafter referred to as SOME / IP) protocol.
  • SOME / IP Scalable service-oriented Middlewar OVER IP
  • the value of TTL included in the message may be changed to meet the criteria. This makes it possible to set an appropriate TTL value even under circumstances where it is difficult to set each ECU individually.
  • a processing unit that performs a predetermined action may be provided based on the determination result of the determination unit. This makes it possible to perform appropriate processing based on the determination result and to enhance the security of the entire network system.
  • the processing unit may determine whether the message can be transferred to another electronic control device as a predetermined transmission destination. This makes it possible to prevent the transfer of inappropriate messages and to enhance the security of the entire network system.
  • the processing unit may record the determination result of the determination unit. This makes it possible to update the list to more appropriate values by analyzing the records later.
  • the processing unit may notify the electronic control unit as a transmission source of the determination result. This makes it possible to set a more appropriate value at the sender and send the message.
  • a communication method is a communication method disposed in a vehicle and used by a network bus used by a plurality of electronic control units for communication, wherein the electronic control unit is a message to the network bus. And a determination step of determining whether or not the message can be transmitted by using a list serving as a determination criterion of transferability regarding a predetermined field indicating a range in which the message can be transferred. This makes it possible to determine whether the transfer range of the message to be transmitted is appropriately set in the communication method used by the network bus arranged in the vehicle.
  • a communication system is a communication system including a network bus used by a plurality of electronic control devices disposed in a car for communication, the electronic control device transmitting a message to the network bus And a determination unit that determines whether the message can be transmitted or not using a list including determination criteria on a predetermined field indicating a range in which the message can be transferred. This makes it possible to determine whether the transfer range of the message to be transmitted in the communication system disposed in the vehicle is properly set.
  • a communication apparatus, a communication method, and a communication system according to an embodiment of the present invention will be described below with reference to the drawings.
  • the embodiments described below each show a preferable specific example of the present invention. That is, the numerical values, shapes, materials, components, arrangement and connection of components, steps, order of steps, and the like shown in the following embodiments are merely examples of the present invention and are not intended to limit the present invention. .
  • the present invention is specified based on the description of the claims. Therefore, among the components in the following embodiments, components which are not described in the independent claim indicating the highest concept of the present invention are not necessarily required to achieve the object of the present invention, but are more preferable. It is described as a component that constitutes a form.
  • Embodiment 1 As an embodiment of the present invention, a communication apparatus having a function of holding a white list for checking TTL contained in a received message will be described with reference to the drawings.
  • FIG. 1 is a diagram showing an overall configuration of an in-vehicle network system according to the present embodiment.
  • the in-vehicle network system 10 includes Ethernet switches 100a and 100b, an In-Vehicle Information System (hereinafter, IVI) 200, ECUs 300a, 300b, 300c, 300d, and 300e, a Central Gateway (hereinafter, CGW) 400, and a Telematics Control Unit. (Hereinafter, TCU) 500, and a base station of which details will not be described in the present embodiment.
  • IVI In-Vehicle Information System
  • CGW Central Gateway
  • TCU Telematics Control Unit
  • the Ethernet switch 100a and the Ethernet switch 100b are connected to the CGW 400 by an Ethernet cable, respectively.
  • the Ethernet switch 100a is connected to the ECUs 300a to 300e, and the Ethernet switch 100b is connected to the IVI 200 and the TCU 500 by Ethernet cables, respectively, and the message received from each port is transferred to other ports or all ports. Have the ability to
  • the IVI 200 is connected to the Ethernet switch 100b by an Ethernet cable, has a display, and has a function of presenting information to the driver.
  • the ECUs 300a to 300e are respectively connected to the front distance sensor 310, the front camera 320, the advanced driving support function (hereinafter ADAS) 330, the rear distance sensor 340, and the rear camera 350, acquire information from each, and transmit messages It has a function to transmit to another ECU.
  • ADAS advanced driving support function
  • the CGW 400 is connected to the Ethernet switch 100 a and the Ethernet switch 100 b by Ethernet, and has a router function of dividing each domain.
  • the TCU 500 is connected to the Ethernet switch 100 a by an Ethernet cable. Further, it has a function of communicating with the base station 600 via wireless communication such as 3G or LTE (registered trademark), acquiring information required in the vehicle from outside the vehicle, or transmitting information in the vehicle to the outside.
  • wireless communication such as 3G or LTE (registered trademark)
  • FIG. 2 is a diagram showing an example of the IP address and MAC address list according to the present embodiment.
  • the MAC address is uniquely set by the component mounted at the time of manufacture, and the IP address is statically given at the time of system construction.
  • FIG. 3 is a configuration diagram of the Ethernet switch 100 a in the present embodiment.
  • the Ethernet switch 100a includes a communication unit 101, a transfer processing unit 102, a transfer table holding unit 103, a white list determination unit 104, a white list holding unit 105, and an error message transmission unit 106.
  • the Ethernet switch 100b has the same configuration as that of the Ethernet switch 100a, and thus the description thereof is omitted.
  • the communication unit 101 receives a message from another ECU via Ethernet and notifies the transfer processing unit 102 of the message. Also, the message is transmitted to the transmission destination ECU notified from the transfer processing unit 102 and the error message transmission unit 106.
  • the transfer processing unit 102 determines transferability based on the transfer table acquired from the transfer table storage unit 103 and the determination result of the whitelist determination unit 104, and notifies the communication unit 101 of the transfer destination if transfer is possible. .
  • the transfer table holding unit 103 holds the transfer table. Details of the transfer table will be described with reference to FIG.
  • the whitelist determination unit 104 determines the message according to the whitelist held by the whitelist holding unit 105 and the received message notified from the transfer processing unit 102, and the determination result is transferred to the transfer processing unit 102, and an error message.
  • the transmission unit 106 is notified.
  • the whitelist holding unit 105 holds a whitelist for determining whether or not the message can be transferred. Details of the whitelist will be described with reference to FIG.
  • the error message transmission unit 106 notifies the communication unit 101 to transmit an error message based on the result notified from the transfer processing unit 102 or the white list determination unit 104.
  • FIG. 4 is a diagram showing an example of the configuration of the IVI 200 according to the present embodiment.
  • the IVI 200 includes a communication unit 201, a message processing unit 202, a display unit 203, and an operation unit 204.
  • the communication unit 201 receives a message from another ECU via Ethernet, and notifies the message processing unit 202 of the message. Also, according to the content notified from the message processing unit 202, the message is transmitted to another ECU.
  • the message processing unit 202 extracts display content from the received message notified from the communication unit 201 and notifies the display unit 203 of the display content. Further, according to the notification content from the operation unit 204, a message to be transmitted is created and notified to the communication unit 201.
  • the display unit 203 performs processing for displaying on the screen according to the notification content from the message processing unit 202.
  • the operation unit 204 notifies the message processing unit 202 of the content corresponding to the operation by the driver.
  • FIG. 5 is a diagram showing an example of a configuration of ECU 300a in the present embodiment.
  • the ECU 300a includes a communication unit 301, a message processing unit 302, and a sensor communication unit 303. Note that the ECUs 300b to 300d have the same configuration as the ECU 300a, and thus the description thereof is omitted.
  • the communication unit 301 receives a message from another ECU via Ethernet, and notifies the message processing unit 302 of the message. Further, according to the content notified from the message processing unit 302, the message is transmitted to another ECU.
  • the message processing unit 302 extracts the content of an instruction to a sensor or the like from the received message notified from the communication unit 301, and notifies the sensor communication unit 303 of the content. Further, according to the notification content from the sensor communication unit 303, a message to be transmitted is created and notified to the communication unit 201.
  • the sensor communication unit 303 acquires information from an external sensor or the like, and notifies the message processing unit 302 of the content. Also, in accordance with the content notified from the message processing unit 302, an instruction is sent to an external sensor or the like.
  • FIG. 6 is a diagram showing an example of a configuration of CGW 400 in the present embodiment.
  • the CGW 400 includes a communication unit 401, a transfer processing unit 402, a transfer table holding unit 403, and an error message transmission unit 404.
  • the communication unit 401 receives a message from another ECU via Ethernet, and notifies the transfer processing unit 402 of the message. Also, it transmits a message to the communication destination ECU notified from the transfer processing unit 402 and the error message transmission unit 404.
  • the transfer processing unit 402 notifies the communication unit 401 of the transfer destination based on the transfer table acquired from the transfer table holding unit 403.
  • the transfer table holding unit 403 holds the transfer table.
  • the error message transmission unit 404 notifies the communication unit 101 to transmit an error message based on the result notified from the transfer processing unit 402.
  • FIG. 7 is a diagram showing an example of a configuration of TCU 500 in the present embodiment.
  • the TCU 500 includes an in-vehicle communication unit 501, a message processing unit 502, and an out-of-vehicle communication unit 503.
  • the in-vehicle communication unit 501 receives a message from another ECU via Ethernet and notifies the message processing unit 502 of the message. Also, according to the content notified from the message processing unit 502, the message is transmitted to another ECU.
  • the message processing unit 502 extracts the contents of transmission to the outside from the received message notified from the in-vehicle communication unit 501, and notifies the outside-vehicle communication unit 503 of the contents. Further, according to the notification content from the outside-vehicle communication unit 503, a message to be transmitted to the inside of the vehicle is created and notified to the in-vehicle communication unit 501.
  • the out-of-vehicle communication unit 503 communicates with a base station (not described) outside the vehicle and notifies the message processing unit 502 of the received content. Also, in accordance with the content notified from the message processing unit 502, a message is transmitted to a base station outside the vehicle.
  • FIG. 8 is a diagram showing an example of a field included in the message transmitted from the ECU 300a in the present embodiment.
  • the messages transmitted from the ECUs 300b to 300e are substantially the same as the messages transmitted from the ECU 300a, and thus the description thereof is omitted here.
  • the MAC header field includes a transmission source MAC address and a transmission destination MAC address.
  • the IP header field contains TTL, source IP address, and destination IP address.
  • the IP payload field contains the packet type.
  • the transmission source MAC address and the transmission source IP address are the information of the ECU 300a, the transmission destination MAC address, and the transmission destination IP address Sets the information of the ECU 300c.
  • TTL is set to 1 indicating that it does not go through the repeater on the way.
  • FIG. 9 is a diagram showing an example of a configuration of a transfer table possessed by the Ethernet switch 100a in the present embodiment.
  • the transfer table possessed by the Ethernet switch 100b is almost the same as the transfer table possessed by the Ethernet switch 100a, so the description thereof is omitted here.
  • the transfer table of FIG. 9 uses a MAC address.
  • FIG. 10 is a diagram showing an example of the configuration of a TTL white list, which is a white list possessed by the Ethernet switch 100 a in the present embodiment.
  • the TTL white list possessed by the Ethernet switch 100 b is substantially the same as the TTL white list possessed by the Ethernet switch 100 a, and therefore the description thereof is omitted here.
  • the TTL white list holds five sets of source MAC address, destination MAC address, and TTL, and the five sets are correct combinations, and the message includes these combinations.
  • the message is transferred, and if the message contains any other combination, it is used as a process for discarding the message as all NG.
  • FIG. 11 is a diagram showing an example of a message determination sequence using the TTL white list by the Ethernet switch 100 a according to the present embodiment.
  • the Ethernet switch 100a receives a message from the owned Ethernet port.
  • the Ethernet switch 100a acquires the source MAC address from the received message.
  • the Ethernet switch 100a acquires a transmission destination MAC address from the received message.
  • the Ethernet switch 100a acquires the value of TTL from the received message.
  • the Ethernet switch 100a collates the TTL white list and checks whether the received TTL value is a correct value from the set of the source MAC address and the destination MAC address. If the value of the received TTL is a correct value (in the case of Yes), the Ethernet switch 100a executes the process of step S1007. If the value of the received TTL is not the correct value (in the case of No), the Ethernet switch 100a executes the process of step S1006.
  • the Ethernet switch 100a transmits a message from the port to which the device having the transmission destination MAC address is connected according to the transfer table.
  • the source MAC address is 0a: 0a: 0a: 0a: 0a: 0a: 0a
  • the destination MAC address is 0c: 0c: 0c: 0c: 0c: 0c: 0c
  • the TTL is 1. Since the set of FIG. 8 exists in the TTL white list of FIG. 10, the Ethernet switch 100a determines that the value of TTL is correct in step S1005, and a message is transmitted.
  • the TTL white list based on the MAC address allows the Ethernet switch to discard a message that deviates from the predetermined communication range.
  • Modification 1 of Embodiment 1 Although the MAC address is used as the TTL white list in the first embodiment, the present invention is not limited to this.
  • an L3 switch that performs transfer control using an IP layer it is also possible to create a TTL white list using an IP address. This enables the Ethernet switch to discard messages to a device that spoofs the MAC address.
  • the Ethernet switch 110a that performs transfer control using the IP layer will be described below with reference to the drawings. The description of the same contents as those of the above-described embodiment will be omitted.
  • FIG. 12 is a configuration diagram of the Ethernet switch 110 a in the present embodiment.
  • the Ethernet switch 110a includes a communication unit 101, a transfer processing unit 102, a transfer table holding unit 113, a white list determination unit 114, a white list holding unit 115, and an error message transmission unit 106.
  • the Ethernet switch 110 b has the same configuration as that of the Ethernet switch 100 a, and thus the description thereof is omitted.
  • the same reference numerals are given to the same components as those in FIG. 3 and the description will be omitted.
  • the transfer table holding unit 113 holds the transfer table.
  • An example of the transfer table is shown in FIG.
  • the whitelist determination unit 114 determines the message according to the whitelist held by the whitelist holding unit 115 and the received message notified from the transfer processing unit 102, and the determination result is transferred to the transfer processing unit 102 and an error message.
  • the transmission unit 106 is notified.
  • the whitelist holding unit 115 holds a whitelist for determining whether or not the message can be transferred.
  • An example of the whitelist is shown in FIG.
  • FIG. 13 is a diagram showing an example of a configuration of a transfer table possessed by the Ethernet switch 110a in the present embodiment.
  • the transfer table possessed by the Ethernet switch 110b is substantially the same as the transfer table possessed by the Ethernet switch 110a, and thus the description thereof is omitted here.
  • the Ethernet switch 110 a holds six Ethernet ports, and these port numbers indicate the port numbers. An example in which 1 to 6 is set is shown. Also, port no. It shows that the connection destination IP addresses 1 to 6 are 192.168.0.1, 192.168.0.2, 192.168.0.3, 192.168.0.4, 192.168.0.5, 192.168.0.127, respectively.
  • FIG. 14 is a diagram showing an example of the configuration of a TTL white list, which is a white list possessed by the Ethernet switch 110 a in the present embodiment.
  • the TTL white list possessed by the Ethernet switch 100 b is substantially the same as the TTL white list possessed by the Ethernet switch 110 a, and therefore the description thereof is omitted here.
  • the TTL white list holds five sets of source IP address, destination IP address, and TTL, and the five sets are correct combinations, and the message includes these combinations.
  • the message is transferred, and if the message contains any other combination, it is used as a process for discarding the message as all NG.
  • FIG. 15 is a diagram showing an example of a message determination sequence using the TTL white list by the Ethernet switch 110 a according to the present embodiment.
  • the same processes as in FIG. 11 will be assigned the same reference numerals and descriptions thereof will be omitted.
  • the Ethernet switch 110a acquires a transmission source IP address from the received message.
  • the Ethernet switch 110a acquires a transmission destination IP address from the received message.
  • the Ethernet switch 110a collates with the TTL white list and checks whether the received TTL value is a correct value from the set of the transmission source IP address and the transmission destination IP address. If the value of the received TTL is a correct value (in the case of Yes), the Ethernet switch 100a executes the process of step S1108. If the value of the received TTL is not the correct value (in the case of No), the Ethernet switch 100a executes the process of step S1006.
  • Ethernet switch 110a decrements the received TTL value by 1 and overwrites it.
  • the Ethernet switch 110a checks whether the received TTL value is not zero. If the value of the received TTL is 0 (in the case of No), the Ethernet switch 100a executes the process of step S1110. If the value of the received TTL is not 0 (in the case of Yes), the Ethernet switch 100a executes the process of step S1107.
  • the Ethernet switch 100a transmits a message from the port to which the device having the transmission destination IP address is connected according to the transfer table.
  • a message that deviates from a predetermined communication range can be discarded by the Ethernet switch by the TTL white list by the IP address.
  • messages to devices that implement MAC address spoofing can be discarded by the Ethernet switch.
  • FIG. 16 is a configuration diagram of the Ethernet switch 120a in the present embodiment.
  • the Ethernet switch 120a includes a communication unit 121, a transfer processing unit 102, a transfer table holding unit 123, a white list determination unit 114, a white list holding unit 125, an error message transmission unit 106, and a white list generation unit 127. , Composed of
  • the Ethernet switch 120 b has the same configuration as the Ethernet switch 120 a.
  • the same reference numerals as in FIGS. 3 and 12 denote the same parts, and a description thereof will be omitted.
  • the communication unit 121 receives a message from another ECU via Ethernet, and notifies the transfer processing unit 102 and the white list creating unit 127 of the message. Further, the message is transmitted to the transmission destination ECU notified from the transfer processing unit 102, the error message transmission unit 106, and the white list creation unit 127.
  • the whitelist holding unit 125 holds the whitelist notified from the whitelist creating unit 127 for determining whether the message can be forwarded.
  • An example of the whitelist is the same as that of FIG.
  • the whitelist creation unit 127 creates an ICMP message and notifies the communication unit 121 of the same. Further, it collects ICMP reply messages notified from the communication unit 121, creates a white list, and notifies the white list holding unit 125.
  • the message is discarded if the condition is not met after the comparison with the TTL white list, but if the condition is not met, even if the message is updated with the value described in the TTL white list good.
  • an appropriate value is set by the Ethernet switch, and the operation of the TTL white list becomes easy.
  • the Ethernet switch 130a having a function of setting an appropriate value to TTL will be described below with reference to the drawings. The description of the same contents as those of the above-described embodiment will be omitted.
  • FIG. 17 is a configuration diagram of the Ethernet switch 130a in the present embodiment.
  • the Ethernet switch 130a includes a communication unit 101, a transfer processing unit 132, a transfer table storage unit 103, a white list determination unit 114, a white list storage unit 105, and an error message transmission unit 106.
  • the Ethernet switch 130 b has the same configuration as that of the Ethernet switch 130 a, and thus the description thereof is omitted.
  • the same reference numerals as in FIGS. 3 and 12 denote the same parts, and a description thereof will be omitted.
  • the transfer processing unit 132 updates the TTL value of the received message with the TTL value on the white list according to the transfer table acquired from the transfer table holding unit 103 and the determination result of the white list determination unit 134, and the transfer destination Is notified to the communication unit 101.
  • the whitelist determination unit 134 determines the message according to the whitelist held by the whitelist holding unit 105 and the received message notified from the transfer processing unit 132, and the determination result and the value of TTL on the whitelist. Is notified to the transfer processing unit 132 and the error message transmission unit 106.
  • FIG. 18 is a diagram showing an example of a field included in the message transmitted from the ECU 300a in the present embodiment.
  • the messages transmitted from the ECUs 300b to 300e are substantially the same as the messages transmitted from the ECU 300a, and thus the description thereof is omitted here.
  • the MAC header field includes a transmission source MAC address and a transmission destination MAC address.
  • the IP header field contains TTL, source IP address, and destination IP address.
  • the IP payload field contains the packet type.
  • the transmission source MAC address and the transmission source IP address are the information of the ECU 300a, the transmission destination MAC address, and the transmission destination IP address Sets the information of the ECU 300c. Also, since no value is set for TTL, TTL is set to 255, which is the upper limit value.
  • FIG. 19 is a diagram showing an example of a fraud determination sequence of a message using the TTL white list by the Ethernet switch 130 a according to the present embodiment.
  • the same processes as in FIG. 11 will be assigned the same reference numerals and descriptions thereof will be omitted.
  • Ethernet switch 130a If the Ethernet switch 130a does not match the TTL whitelist, the Ethernet switch 130a updates the TTL value of the received message to the TTL whitelisted value.
  • an Ethernet switch 1110a having a function of acquiring a reference time relating to transmission using information included in a received message and collating with a white list will be described with reference to the drawings. . The description of the same contents as those of the above-described embodiment will be omitted.
  • FIG. 20 is a configuration diagram of the Ethernet switch 1110 a in the present embodiment.
  • the Ethernet switch 1110 a includes a communication unit 1111, a transfer processing unit 102, a transfer table holding unit 113, a white list determination unit 1114, a white list holding unit 1115, an error message transmission unit 106, and an RTT acquisition unit 1108. It consists of
  • the Ethernet switch 1110b has the same configuration as that of the Ethernet switch 1110a, and thus the description thereof is omitted.
  • the same reference numerals as in FIGS. 3 and 12 denote the same parts, and a description thereof will be omitted.
  • the communication unit 1111 receives a message from another ECU via Ethernet and notifies the transfer processing unit 102 and the RTT acquisition unit 1108 of the message. Also, it transmits a message to the transmission destination ECU notified from the transfer processing unit 102, the error message transmission unit 106, and the RTT acquisition unit 1108.
  • the whitelist determination unit 1114 determines a message according to the whitelist held by the whitelist holding unit 1115 and the received message notified from the transfer processing unit 102, and the determination result is transferred to the transfer processing unit 102, and an error message.
  • the transmission unit 106 is notified.
  • the whitelist holding unit 1115 holds the RTT whitelist for determining whether the message can be transferred.
  • An example of the RTT white list is shown in FIG.
  • FIG. 21 is a diagram showing an example of the structure of the RTT white list, which is a white list possessed by the Ethernet switch 1110 a in the present embodiment.
  • the RTT white list possessed by the Ethernet switch 1110 b is substantially the same as the RTT white list possessed by the Ethernet switch 1110 a, and thus the description thereof is omitted here.
  • the RTT white list holds five sets of source IP address, destination IP address, and RTT, and the five sets are correct combinations, and the message includes these combinations.
  • the message is transferred, and if the message contains any other combination, it is used as a process for discarding the message as all NG.
  • FIG. 22 is a diagram showing an example of a fraud determination sequence of a message using the RTT white list by the Ethernet switch 1110 a according to the present embodiment.
  • the same processing as in FIG. 11 is assigned the same reference numeral, and the description thereof is omitted.
  • the Ethernet switch 1110a transmits an ICMP message to the IP address of the transmission destination from the received message, and obtains the value of RTT by calculation from the time of reply.
  • the Ethernet switch 1110a collates with the RTT white list and checks whether the value of RTT calculated from the received message is within the range from the set of the transmission source IP address and the transmission destination IP address. If the calculated RTT value is within the range of the RTT white list (in the case of Yes), the Ethernet switch 110a executes the process of step S1007. If the calculated RTT value is not within the range of the RTT white list (in the case of No), the Ethernet switch 110a executes the process of step S1006.
  • the RTT white list based on the IP address enables the Ethernet switch to discard a message that deviates from the predetermined communication range.
  • messages to devices that implement MAC address spoofing can be discarded by the Ethernet switch.
  • a fixed list set in advance as an RTT white list is used, but a list dynamically updated after system startup can also be used as an RTT white list using ICMP or the like.
  • the RTT white list can be operated even in an environment where physical location changes such as removal and replacement of the ECU and static IP addresses and the like are not acquired, for example, an environment such as DHCP.
  • the Ethernet switch 1120a that holds a whitelist that is dynamically updated after system startup will be described below with reference to the drawings. The description of the same contents as those of the above-described embodiment will be omitted.
  • FIG. 23 is a configuration diagram of the Ethernet switch 1120 a in the present embodiment.
  • the Ethernet switch 120 a includes a communication unit 1121, a transfer processing unit 102, a transfer table holding unit 113, a white list determination unit 1114, a white list holding unit 1125, an error message transmission unit 106, and an RTT acquisition unit 1108. And a whitelist creation unit 1127.
  • the Ethernet switch 1120 b has the same configuration as the Ethernet switch 1120 a.
  • the same reference numerals are given to the same configurations as those in FIG. 3, FIG. 12, and FIG. 20, and the description thereof will be omitted.
  • a message is received from another ECU via the communication unit 1121 and Ethernet, and is notified to the transfer processing unit 102, the RTT acquisition unit 1108, and the whitelist creation unit 1127.
  • a message is transmitted to the transmission destination ECU notified from the transfer processing unit 102, the error message transmission unit 106, the RTT acquisition unit 1108, and the white list creation unit 1127.
  • a whitelist holding unit 1125 holds the whitelist for determining whether or not transfer of a message is notified from the whitelist creating unit 1127.
  • An example of the white list is omitted because it is the same as FIG.
  • the whitelist creation unit 1127 creates an ICMP message and notifies the communication unit 1121 of the message. In addition, it collects the ICMP reply messages notified from the communication unit 1121, creates a white list, and notifies the white list holding unit 1125.
  • the communication device is an Ethernet switch, but this is an aspect of the communication device in the present invention, and it may be any device that relays a message.
  • it may be a CGW, a domain controller arranged in each domain, a controller area network to Ethernet converter, or the like.
  • the Ethernet switch holds the whitelist and discards messages that do not match the whitelist.
  • the Ethernet switch may be a blacklist that discards only the messages that match the list. Also, both whitelist and blacklist may be held.
  • the Ethernet switch holds the whitelist and discards messages that do not match the whitelist. However, if they do not match, the transfer processing is normally performed but the result is stored as a log. It may be If the two do not match, the transfer processing is normally performed, but a message corresponding to the determination result may be notified to the transmission source using ICMP. Further, the items of the corresponding action may be held in the list so as to switch the corresponding action for each list. For example, the specific message may not be discarded, but the determination result may always be saved as a log, or the particular message may not be discarded, but may be saved as a log only when the determination result is NG.
  • the DHCP environment is described as an example of the dynamic environment, but not only the IP address of the communication destination, In an environment corresponding to SOME / IP in which communication destinations are changed for each service, TTL and RTT white list may be updated using ICMP etc. for each communication relationship determination by the service discovery protocol.
  • the Ethernet switch has a transfer table, it may be an Ethernet switch having an IP table. Also, if TTL does not match the whitelist, update is performed using the whitelist value, but it is not limited to the above. For example, only the message matching the specific value for each of the preset ECUs may be updated using the value of the white list. Further, specific values for each of the previously set ECUs may be separately stored in the white list.
  • each device in the above embodiment is a computer system including a microprocessor, a ROM, a RAM, a hard disk unit, a display unit, a keyboard, a mouse and the like.
  • a computer program is recorded in the RAM or the hard disk unit.
  • Each device achieves its function by the microprocessor operating according to the computer program.
  • the computer program is configured by combining a plurality of instruction codes indicating instructions to the computer in order to achieve a predetermined function.
  • the constituent components may be configured as one system LSI (Large Scale Integration: large scale integrated circuit).
  • the system LSI is a super-multifunctional LSI manufactured by integrating a plurality of components on one chip, and more specifically, a computer system including a microprocessor, a ROM, a RAM, and the like. . A computer program is recorded in the RAM.
  • the system LSI achieves its functions as the microprocessor operates in accordance with the computer program.
  • each part of the component which comprises each said apparatus may be integrated into 1 chip separately, and 1 chip may be integrated so that one part or all may be included.
  • a system LSI may be called an IC, an LSI, a super LSI, or an ultra LSI depending on the degree of integration.
  • the method of circuit integration is not limited to LSI's, and implementation using dedicated circuitry or general purpose processors is also possible.
  • a programmable field programmable gate array FPGA
  • a reconfigurable processor that can reconfigure connection and setting of circuit cells in the LSI may be used.
  • Some or all of the components constituting each of the above-described devices may be configured from an IC card or a single module that can be detached from each device.
  • the IC card or the module is a computer system including a microprocessor, a ROM, a RAM, and the like.
  • the IC card or the module may include the above-described ultra-multifunctional LSI.
  • the IC card or module achieves its function by the microprocessor operating according to the computer program. This IC card or this module may be tamper resistant.
  • the present invention may be the method shown above. Further, the present invention may be a computer program that realizes these methods by a computer, or may be a digital signal composed of the computer program.
  • the present invention is a computer readable recording medium that can read the computer program or the digital signal, such as a flexible disk, a hard disk, a CD-ROM, an MO, a DVD, a DVD-ROM, a DVD-RAM, a BD (Blu-ray It may be recorded in a registered trademark) Disc), a semiconductor memory or the like. Further, the present invention may be the digital signal recorded on these recording media.
  • a computer program or the digital signal may be transmitted via a telecommunications line, a wireless or wired communication line, a network represented by the Internet, data broadcasting, and the like.
  • the present invention may also be a computer system comprising a microprocessor and a memory, the memory storing the computer program, and the microprocessor operating according to the computer program.
  • it may be implemented by another independent computer system by recording and transferring the program or the digital signal on a recording medium, or by transferring the program or the digital signal via the network or the like. .
  • the communication device of the present invention contributes to the development of a vehicle aiming to secure a safe state by being disposed in an in-vehicle network system.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Databases & Information Systems (AREA)
  • Small-Scale Networks (AREA)

Abstract

自動車の内部で生成されるデータが意図せず外部に流出してしまうことで、プライバシーが侵害される懸念がある。本発明の一態様に係る通信装置では、メッセージに含まれる、転送可能な範囲を示す所定のフィールドの値と、予め保持しておいた基準値との比較により判定を行い、メッセージのフィルタリングを行う。これにより、データの送信元の装置が不正に改ざんされ、意図せず車外へ車内データが流出することを防止することが可能となる。

Description

通信装置、通信方法および通信システム
　本発明は、車載Ｅｔｈｅｒｎｅｔネットワークにおいて、車内の情報が外部へ不正に送信されることを防ぐ、通信装置、通信方法、通信システムに関する。
　近年、自動車の中のシステムには、電子制御ユニット（以下、ＥＣＵ）と呼ばれる装置が多数配置されており、これらのＥＣＵをつなぐネットワークを車載ネットワークと呼ばれる。車載ネットワークには、多数の規格が存在する。その中の一つとして、一般の情報ネットワークとして既に実績のあるＥｔｈｅｒｎｅｔ（登録商標）を車載ネットワークに適応しようとする動きがあり、近年注目を集めている。Ｅｔｈｅｒｎｅｔの採用により、帯域幅の大幅な増加や、自動車分野以外でのこれまでの技術資産の活用が可能となり、コスト削減効果などが期待される一方、セキュリティリスクの可能性が高まるとの懸念も指摘されている。
　一方、自動車の電子システムは今後も進化を続けることが予想され、扱うデータ量も膨大となる可能性がある。今後増加が予想されるデータとは、自動運転技術などに必須となる、各種センサデータや映像データなどである。これらのデータは、外部からモニタリングするだけで、自動車が今現在どこを走っており、周囲の状況がどういった状況かが判明してしまうため、これらのデータが意図せず外部に流出してしまわないよう、対策することが重要である。
　例えば、特許文献１では、同一グループ内に位置する機器を通信に係る基準時間との比較によって判定する装置を、また特許文献２では、Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ（以下ＩＰ）フィールドのＴＴＬ（Ｔｉｍｅ　Ｔｏ　Ｌｉｖｅ）という値を用いて、コンテンツの共有範囲を制限する装置を、それぞれ開示している。
特許第４１２９２１６号公報 特許第４１８１９５１号公報
　しかしながら、特許文献１や、特許文献２では、送信元となる通信装置による判定を基準としており、送信元の通信装置が改ざんされるなどにより正常な動作が行われないという可能性が存在する。
　本発明は、上記課題を解決するために、通信装置、通信方法、通信システムを提供することを目的とする。
　上記目的を達成するために、本発明の一態様に係る通信装置は、自動車内に配置され、複数の電子制御装置が通信に用いるネットワークバスに接続される通信装置であって、前記電子制御装置から前記ネットワークバス経由で送信されるメッセージを受信する受信部と、前記メッセージを転送可能な範囲を示す所定のフィールドに関する判定基準を含むリストを保持するリスト保持部と、前記メッセージと、前記リストの比較により、前記メッセージの正当性を判定する判定部と、を有することを特徴とする、通信装置である。
　また、上記目的を達成するために、本発明の一態様に係る通信方法は、自動車内に配置され、複数の電子制御装置が通信に用いるネットワークバスにて用いられる通信方法であって、前記電子制御装置が前記ネットワークバスにメッセージを送信する送信ステップと、前記メッセージを転送可能な範囲を示す所定のフィールドに関する転送可否の判定基準となるリストを用いて、前記メッセージの送信可否を判定する判定ステップと、を有することを特徴とする、通信方法である。
　また、上記目的を達成するために、本発明の一態様に係る通信システムは、自動車内に配置される複数の電子制御装置が通信に用いるネットワークバスを含む通信システムであって、前記電子制御装置が前記ネットワークバスにメッセージを送信する送信部と、前記メッセージが転送可能な範囲を示す所定のフィールドに関する転送可否の判定基準を含むリストを用いて、前記メッセージの送信可否を判定する判定ステップと、を有することを特徴とする、通信システムである。
　本発明によれば、転送可能な範囲を示す所定のフィールドの値と、予め保持しておいた基準値との比較により判定を行い、判定結果に基づいてメッセージに対する処理を決定することで、車載ネットワークシステム全体として、安全な状態を維持することができる。
図１は、実施の形態１における車載ネットワークシステムの全体構成の一例を示す図である。 図２は、実施の形態１におけるＩＰアドレス・ＭＡＣアドレス一覧表の一例を示す図である。 図３は、実施の形態１におけるＥｔｈｅｒｎｅｔスイッチの構成の一例を示す図である。 図４は、実施の形態１におけるＩＶＩの構成の一例を示す図である。 図５は、実施の形態１におけるＥＣＵの構成の一例を示す図である。 図６は、実施の形態１におけるＣＧＷの構成の一例を示す図である。 図７は、実施の形態１におけるＴＣＵの構成の一例を示す図である。 図８は、実施の形態１におけるＥＣＵから送信されるメッセージに含まれるフィールドの一例を示す図である。 図９は、実施の形態１における転送テーブルの構成の一例を示す図である。 図１０は、実施の形態１におけるＴＴＬホワイトリストの構成の一例を示す図である。 図１１は、実施の形態１におけるＴＴＬホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。 図１２は、実施の形態１の変形例１におけるＥｔｈｅｒｎｅｔスイッチの構成の一例を示す図である。 図１３は、実施の形態１の変形例１における転送テーブルの構成の一例を示す図である。 図１４は、実施の形態１の変形例１におけるＴＴＬホワイトリストの構成の一例を示す図である。 図１５は、実施の形態１の変形例１におけるＴＴＬホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。 図１６は、実施の形態１の変形例２におけるＥｔｈｅｒｎｅｔスイッチの構成の一例を示す図である。 図１７は、実施の形態１の変形例３におけるＥｔｈｅｒｎｅｔスイッチの構成の一例を示す図である。 図１８は、実施の形態１の変形例３におけるＥＣＵ送信メッセージに含まれるフィールドの一例を示す図である。 図１９は、実施の形態１の変形例３におけるＴＴＬホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。 図２０は、実施の形態２におけるＥｔｈｅｒｎｅｔスイッチの構成の一例を示す図である。 図２１は、実施の形態２及び実施の形態２の変形例１におけるホワイトリストの構成の一例を示す図である。 図２２は、実施の形態２におけるＲＴＴホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。 図２３は、実施の形態２の変形例１におけるＥｔｈｅｒｎｅｔスイッチの構成の一例を示す図である。
　（本発明の基礎となった知見）
　車両内に存在する特定のノードが不正に改ざんされ、ネットワークのみに送信するべきメッセージが意図せず車外へ送信されるケースを想定し、送信先が車両内か車両外かを判定する通信装置について、これまで検討はされていなかった。
　このような課題を解決するために、本発明の一実施態様の通信装置は、自動車内に配置され、複数の電子制御装置が通信に用いるネットワークバスに接続される通信装置であって、前記電子制御装置から前記ネットワークバス経由で送信されるメッセージを受信する受信部と、前記受信メッセージを転送可能な範囲を示す所定のフィールドに関する転送可否の判定基準を含むリストを保持するリスト保持部と、前記受信メッセージと、前記リストの比較により、前記受信メッセージの正当性を判定する判定部と、を備える。これにより、メッセージの転送範囲が適切に設定されているかどうかを判定することが可能となる。
　また、前記ネットワークバスとは、Ｅｔｈｅｒｎｅｔであり、前記メッセージが転送可能な範囲を示す所定のフィールドに関する判定基準とは、前記メッセージに含まれるＴＴＬ（Ｔｉｍｅ　Ｔｏ　Ｌｉｖｅ）の値をリスト内に保持する基準値との比較により判定する基準であるとしてもよい。これにより、適切に設定されたＴＴＬを持つメッセージのみ通信可能とすることが可能となる。
　また、前記ネットワークバスとは、Ｅｔｈｅｒｎｅｔであり、前記メッセージが転送可能な範囲を示す所定のフィールドに関する判定基準とは、前記メッセージに含まれる時刻情報から算出されるＲＴＴ（Ｒａｎｄ　Ｔｒｉｐ　Ｔｉｍｅ）をリスト内に保持する基準値との比較により判定する基準であるとしてもよい。これにより、適切なＲＴＴの範囲にのみ通信可能とすることが可能となる。
　また、前記リストとは、送信元、あるいは、送信先の情報を含んだリストであるとしてもよい。これにより、より厳密な基準値を設定することが可能となる。
　また、前記送信元、あるいは、送信先の情報とは、ＭＡＣアドレスであるとしてもよい。これにより、Ｌ２スイッチにおいても、より厳密な基準値を設定することが可能となる。
　また、前記送信元、あるいは、送信先の情報とは、ＩＰアドレスであるとしてもよい。これにより、Ｌ３スイッチにおいても、より厳密な基準値を設定することが可能となる。
　また、リストは、前記通信装置に予め設定された固定のリストであるとしてもよい。これにより、構成要素や属性情報などに変更のない環境下において、厳密な基準値で判定することが可能となる。
　また、リストは、前記電子制御装置の物理的な配置に応じ、動的に更新されるリストであるとしてもよい。これにより、物理的な変更に伴い更新されたリストが可能となり、より柔軟な運用が可能となる。
　また、リストは、前記電子制御装置の属性情報に応じ、動的に更新されるリストであるとしてもよい。これにより、ＩＰアドレスなどが動的に変更される環境下においてもリストの運用が可能となり、より広範な適応範囲を実現するが可能となる。
　また、リストは、前記電子制御装置の属性情報に応じ、動的に更新されるリストであるとしてもよい。これにより、ＩＰアドレスなどが動的に変更される環境下においてもリストの運用が可能となり、より広範な適応範囲を実現するが可能となる。
　また、リストは、前記電子制御装置がＳｃａｌａｂｌｅ　ｓｅｒｖｉｃｅ－Ｏｒｉｅｎｔｅｄ　ＭｉｄｄｌｅｗａｒＥ　ＯＶＥＲ　ＩＰ（以下ＳＯＭＥ／ＩＰ）プロトコルに従い、通信先を変更する度に、動的に更新されるリストであるとしてもよい。これにより、ファームウェアのアップデートなどにより通信先が動的に変更される環境下においてもリストの運用が可能となり、より広範な適応範囲を実現するが可能となる。
　また、前記判定の結果、基準に合致しない場合、前記メッセージに含まれるＴＴＬの値を、基準に合致するよう変更するとしてもよい。これにより、ＥＣＵごとに個別に設定することが難しい環境下においても、適切なＴＴＬの値を設定することが可能となる。
　また、前記判定部の判定結果に基づき、所定のアクションを実施する処理部を持つとしてもよい。これにより、判定結果に基づいた適切な処理を実施し、ネットワークシステム全体の安全性を高めることが可能となる。
　また、前記処理部では、前記メッセージを所定の送信先となる、他の前記電子制御装置への転送可否を判定するとしてもよい。これにより、適切でないメッセージの転送を防止することが可能となり、ネットワークシステム全体の安全性を高めることが可能となる。
　また、前記処理部では、前記判定部の判定結果を記録するとしてもよい。これにより、後に記録を分析することで、リストをより適切な値へ更新することが可能なる。
　また、前記処理部では送信元となる前記電子制御装置に対して判定結果を通知するとしてもよい。これにより、送信元でより適切な値を設定し、メッセージを送信することが可能となる。
　また、本発明の一実施態様の通信方法は、自動車内に配置され、複数の電子制御装置が通信に用いるネットワークバスにて用いられる通信方法であって、前記電子制御装置が前記ネットワークバスにメッセージを送信する送信ステップと、前記メッセージを転送可能な範囲を示す所定のフィールドに関する転送可否の判定基準となるリストを用いて、前記メッセージの送信可否を判定する判定ステップと、を備える。これにより、自動車内に配置されるネットワークバスにて用いられる通信方法おいて、送信されるメッセージの転送範囲が適切に設定されているかどうかを判定することが可能となる。
　また、本発明の一実施態様の通信システムは、自動車内に配置される複数の電子制御装置が通信に用いるネットワークバスを含む通信システムであって、前記電子制御装置が前記ネットワークバスにメッセージを送信する送信部と、前記メッセージが転送可能な範囲を示す所定のフィールドに関する判定基準を含むリストを用いて、前記メッセージの送信可否を判定する判定部と、を備える。これにより、自動車内に配置される通信システムにおいて送信されるメッセージの転送範囲が適切に設定されているかどうかを判定することが可能となる。
　以下、図面を参照しながら、本発明の実施の形態に関わる通信装置、通信方法、通信システムについて説明する。なお、以下で説明する実施の形態は、いずれも本発明の好ましい一具体例を示す。つまり、以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置および接続形態、ステップ、ステップの順序などは、本発明の一例であり、本発明を限定する主旨ではない。本発明は、請求の範囲の記載に基づいて特定される。したがって、以下の実施の形態における構成要素のうち、本発明の最上位概念を示す独立請求項に記載されていない構成要素は、本発明の課題を達成するために必ずしも必要ではないが、より好ましい形態を構成する構成要素として説明される。
　（実施の形態１）
　ここでは、本発明の実施の形態として、受信したメッセージに含まれるＴＴＬをチェックするためのホワイトリストを保持する機能を持つ通信装置について図面を参照しながら説明する。
　１．１　車載ネットワークシステムの全体構成
　図１は、本実施の形態における車載ネットワークシステムの全体構成を示す図である。車載ネットワークシステム１０は、Ｅｔｈｅｒｎｅｔスイッチ１００ａ、１００ｂと、Ｉｎ－Ｖｅｈｉｃｌｅ　Ｉｎｆｏｔａｉｎｍｅｎｔ　Ｓｙｓｔｅｍ（以下、ＩＶＩ）２００と、ＥＣＵ３００ａ、３００ｂ、３００ｃ、３００ｄ、３００ｅと、Ｃｅｎｔｒａｌ　Ｇａｔｅｗａｙ（以下、ＣＧＷ）４００と、Ｔｅｌｅｍａｔｉｃｓ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ（以下、ＴＣＵ）５００と、本実施の形態では詳細を説明しない基地局と、から構成される。
　Ｅｔｈｅｒｎｅｔスイッチ１００ａと、Ｅｔｈｅｒｎｅｔスイッチ１００ｂと、は、それぞれ、ＣＧＷ４００とＥｔｈｅｒｎｅｔケーブルで接続されている。Ｅｔｈｅｒｎｅｔスイッチ１００ａは、ＥＣＵ３００ａ～３００ｅと、Ｅｔｈｅｒｎｅｔスイッチ１００ｂは、ＩＶＩ２００と、ＴＣＵ５００と、それぞれＥｔｈｅｒｎｅｔケーブルで接続されており、それぞれのポートから受信するメッセージを、その他のポート、あるいは、全てのポートに転送する機能を持つ。
　ＩＶＩ２００はＥｔｈｅｒｎｅｔスイッチ１００ｂとＥｔｈｅｒｎｅｔケーブルにて接続されており、ディスプレイを有し、ドライバーに対して情報を提示する機能を持つ。
　ＥＣＵ３００ａ～３００ｅは、それぞれ、前方距離センサ３１０、前方カメラ３２０、高度運転支援機能（以下、ＡＤＡＳ）３３０、後方距離センサ３４０、後方カメラ３５０に接続されており、それぞれから情報を取得し、メッセージを別のＥＣＵに送信する機能を持つ。
　ＣＧＷ４００は、Ｅｔｈｅｒｎｅｔスイッチ１００ａと、Ｅｔｈｅｒｎｅｔスイッチ１００ｂと、それぞれＥｔｈｅｒｎｅｔで接続し、各ドメインを分割するルータの機能を持つ。
　ＴＣＵ５００は、Ｅｔｈｅｒｎｅｔスイッチ１００ａとＥｔｈｅｒｎｅｔケーブルにて接続されている。また、３ＧやＬＴＥ（登録商標）などの無線通信を介して基地局６００と通信し、車内に必要となる情報を車外から取得、あるいは、車内の情報を外部へ送信する機能を持つ。
　１．２　ＩＰアドレス・ＭＡＣアドレス一覧表
　図２は、本実施の形態におけるＩＰアドレス・ＭＡＣアドレス一覧表の一例を示す図である。図２において、ＭＡＣアドレスは、製造時に搭載する部品により一意に設定され、ＩＰアドレスはシステム構築時に静的に与えられるものとする。
　１．３　Ｅｔｈｅｒｎｅｔスイッチの構成
　図３は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１００ａの構成図である。Ｅｔｈｅｒｎｅｔスイッチ１００ａは、通信部１０１と、転送処理部１０２と、転送テーブル保持部１０３と、ホワイトリスト判定部１０４と、ホワイトリスト保持部１０５と、エラーメッセージ送信部１０６と、から構成される。
　なお、Ｅｔｈｅｒｎｅｔスイッチ１００ｂは、Ｅｔｈｅｒｎｅｔスイッチ１００ａと同様の構成であるため、説明は省略する。
　通信部１０１は、Ｅｔｈｅｒｎｅｔを介し、他のＥＣＵからメッセージの受信を行い、転送処理部１０２へ通知する。また転送処理部１０２と、エラーメッセージ送信部１０６と、から通知された送信先ＥＣＵにメッセージを送信する。
　転送処理部１０２は、転送テーブル保持部１０３から取得する転送テーブルと、ホワイトリスト判定部１０４の判定結果に基づき、転送可否を決定し、転送可能な場合は、転送先を通信部１０１に通知する。
　転送テーブル保持部１０３は、転送テーブルを保持する。転送テーブルの詳細は、図９で説明する。
　ホワイトリスト判定部１０４は、ホワイトリスト保持部１０５が保持するホワイトリストと、転送処理部１０２より通知される受信メッセージに応じて、メッセージに対する判定を行い、判定結果を転送処理部１０２と、エラーメッセージ送信部１０６と、に通知する。
　ホワイトリスト保持部１０５は、メッセージの転送可否を判断するためのホワイトリストを保持する。ホワイトリストの詳細は、図１０で説明する。
　エラーメッセージ送信部１０６は、転送処理部１０２や、ホワイトリスト判定部１０４から通知された結果に基づきエラーメッセージを送信するよう、通信部１０１へ通知する。
　１．４　ＩＶＩの構成
　図４は、本実施の形態におけるＩＶＩ２００の構成の一例を示す図である。ＩＶＩ２００は、通信部２０１と、メッセージ処理部２０２と、表示部２０３と、操作部２０４と、から構成される。
　通信部２０１は、Ｅｔｈｅｒｎｅｔを介し、他のＥＣＵからメッセージの受信を行い、メッセージ処理部２０２へ通知する。また、メッセージ処理部２０２から通知された内容に応じて、他のＥＣＵへメッセージの送信を行う。
　メッセージ処理部２０２は、通信部２０１から通知された受信メッセージから、表示内容を抽出し、表示部２０３へと通知する。また、操作部２０４からの通知内容に応じて、送信するメッセージを作成し、通信部２０１へ通知する。
　表示部２０３は、メッセージ処理部２０２からの通知内容に応じて、画面に表示する処理を行う。
　操作部２０４は、ドライバーによる操作に対応する内容を、メッセージ処理部２０２へと通知する。
　１．５　ＥＣＵの構成
　図５は、本実施の形態におけるＥＣＵ３００ａの構成の一例を示す図である。ＥＣＵ３００ａは、通信部３０１と、メッセージ処理部３０２と、センサ通信部３０３と、から構成される。なお、ＥＣＵ３００ｂ～３００ｄはＥＣＵ３００ａと同様の構成であるため、説明を省略する。
　通信部３０１は、Ｅｔｈｅｒｎｅｔを介し、他のＥＣＵからメッセージの受信を行い、メッセージ処理部３０２へ通知する。また、メッセージ処理部３０２から通知された内容に応じて、他のＥＣＵへメッセージの送信を行う。
　メッセージ処理部３０２は、通信部３０１から通知された受信メッセージから、センサ等への指示内容を抽出し、センサ通信部３０３へと通知する。また、センサ通信部３０３からの通知内容に応じて、送信するメッセージを作成し、通信部２０１へ通知する。
　センサ通信部３０３は、外部にあるセンサ等から情報を取得し、その内容をメッセージ処理部３０２へと通知する。また、メッセージ処理部３０２から通知された内容に応じて、外部のセンサ等へ指示を送る。
　ＥＣＵ３００ａが送信するメッセージの一例は、図８で詳細に説明する。
　１．６　ＣＧＷの構成
　図６は、本実施の形態におけるＣＧＷ４００の構成の一例を示す図である。ＣＧＷ４００は、通信部４０１と、転送処理部４０２と、転送テーブル保持部４０３と、エラーメッセージ送信部４０４と、から構成される。
　通信部４０１は、Ｅｔｈｅｒｎｅｔを介し、他のＥＣＵからメッセージの受信を行い、転送処理部４０２へ通知する。また、転送処理部４０２と、エラーメッセージ送信部４０４と、から通知された通信先ＥＣＵにメッセージを送信する。
　転送処理部４０２は、転送テーブル保持部４０３から取得する転送テーブルに基づき、転送先を通信部４０１に通知する。
　転送テーブル保持部４０３は、転送テーブルを保持する。
　エラーメッセージ送信部４０４は、転送処理部４０２から通知された結果に基づきエラーメッセージを送信するよう、通信部１０１へ通知する。
　１．７　ＴＣＵの構成
　図７は、本実施の形態におけるＴＣＵ５００の構成の一例を示す図である。ＴＣＵ５００は、車内通信部５０１と、メッセージ処理部５０２と、車外通信部５０３と、から構成される。
　車内通信部５０１は、Ｅｔｈｅｒｎｅｔを介し、他のＥＣＵからメッセージの受信を行い、メッセージ処理部５０２へ通知する。また、メッセージ処理部５０２から通知された内容に応じて、他のＥＣＵへメッセージの送信を行う。
　メッセージ処理部５０２は、車内通信部５０１から通知された受信メッセージから、外部への送信内容を抽出し、車外通信部５０３へと通知する。また、車外通信部５０３からの通知内容に応じて、車内へ送信するメッセージを作成し、車内通信部５０１へ通知する。
　車外通信部５０３は、車外にある基地局（説明しない）との通信を行い、受信内容をメッセージ処理部５０２へと通知する。また、メッセージ処理部５０２から通知された内容に応じて、車外の基地局へメッセージを送信する。
　１．８　ＥＣＵから送信されるメッセージに含まれるフィールドの一例
　図８は、本実施の形態におけるＥＣＵ３００ａから送信されるメッセージに含まれるフィールドの一例を示す図である。なお、ＥＣＵ３００ｂ～３００ｅから送信されるメッセージはＥＣＵ３００ａから送信されるメッセージとほぼ同様であるため、ここでは説明は省略する。
　ＭＡＣヘッダフィールドには、送信元ＭＡＣアドレスと、送信先ＭＡＣアドレスと、が含まれる。ＩＰヘッダフィールドにはＴＴＬと、送信元ＩＰアドレスと、送信先ＩＰアドレスと、が含まれる。ＩＰペイロードフィールドには、パケット種別と、が含まれる。
　本実施の形態では、ＥＣＵ３００ａは、ＥＣＵ３００ｃにのみセンサデータを送信する仕様であるため、送信元ＭＡＣアドレス、及び、送信元ＩＰアドレスはＥＣＵ３００ａの情報を、送信先ＭＡＣアドレス、及び、送信先ＩＰアドレスは、ＥＣＵ３００ｃの情報を設定している。また、ＴＴＬは、途中に中継器を介さないことを示す１を設定する。
　１．９　転送テーブルの構成
　図９は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１００ａが持つ転送テーブルの構成の一例を示す図である。Ｅｔｈｅｒｎｅｔスイッチ１００ｂが持つ転送テーブルは、Ｅｔｈｅｒｎｅｔスイッチ１００ａが持つ転送テーブルとほぼ同様であるため、ここでは説明を省略する。図９の転送テーブルはＭＡＣアドレスを用いている。
　図９では、Ｅｔｈｅｒｎｅｔスイッチ１００ａがＥｔｈｅｒｎｅｔポートを６つ保持し、これらのポート番号をポートＮｏ．１～６としている例を示している。また、ポートＮｏ．１～６の接続先のＭＡＣアドレスが、それぞれ、0a:0a:0a:0a:0a:0a、0b:0b:0b:0b:0b:0b、0c:0c:0c:0c:0c:0c、0d:0d:0d:0d:0d:0d、0e:0e:0e:0e:0e:0e、04:04:04:04:04:04であることを示している。
　１．１０　ＴＴＬホワイトリストの構成
　図１０は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１００ａが持つホワイトリストである、ＴＴＬホワイトリストの構成の一例を示す図である。Ｅｔｈｅｒｎｅｔスイッチ１００ｂが持つ、ＴＴＬホワイトリストは、Ｅｔｈｅｒｎｅｔスイッチ１００ａが持つＴＴＬホワイトリストとほぼ同様であるため、ここでは説明を省略する。
　図１０において、ＴＴＬホワイトリストは、送信元ＭＡＣアドレス、送信先ＭＡＣアドレス、ＴＴＬのセットを５つ保持しており、５つのセットは正しい組み合わせであり、メッセージにこれらの組み合わせが含まれている場合はメッセージを転送し、メッセージにその他の組み合わせが含まれている場合については、全てＮＧとして、メッセージを破棄する処理に用いる。
　１．１１　ＴＴＬホワイトリストの判定シーケンス
　図１１は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１００ａによる、ＴＴＬホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。
　（Ｓ１００１）Ｅｔｈｅｒｎｅｔスイッチ１００ａは、保有するＥｔｈｅｒｎｅｔポートからメッセージを受信する。
　（Ｓ１００２）Ｅｔｈｅｒｎｅｔスイッチ１００ａは、受信したメッセージから、送信元ＭＡＣアドレスを取得する。
　（Ｓ１００３）Ｅｔｈｅｒｎｅｔスイッチ１００ａは、受信したメッセージから、送信先ＭＡＣアドレスを取得する。
　（Ｓ１００４）Ｅｔｈｅｒｎｅｔスイッチ１００ａは、受信したメッセージから、ＴＴＬの値を取得する。
　（Ｓ１００５）Ｅｔｈｅｒｎｅｔスイッチ１００ａは、ＴＴＬホワイトリストと照合し、送信元ＭＡＣアドレスと、送信先ＭＡＣアドレスのセットから、受信したＴＴＬの値が正しい値かどうかをチェックする。受信したＴＴＬの値が正しい値の場合（Ｙｅｓの場合）、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、ステップＳ１００７の処理を実行する。受信したＴＴＬの値が正しい値でない場合（Ｎｏの場合）、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、ステップＳ１００６の処理を実行する。
　（Ｓ１００６）Ｅｔｈｅｒｎｅｔスイッチ１００ａは、受信したメッセージを破棄する。
　（Ｓ１００７）Ｅｔｈｅｒｎｅｔスイッチ１００ａは、転送テーブルに従い、送信先ＭＡＣアドレスを持つ機器がつながるポートからメッセージを送信する。
　図８の受信メッセージの例では、送信元ＭＡＣアドレスが0a:0a:0a:0a:0a:0a、送信先ＭＡＣアドレスが0c:0c:0c:0c:0c:0c、ＴＴＬが１である。図１０のＴＴＬホワイトリストに図８のセットが存在するため、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、ステップＳ１００５においてＴＴＬの値は正しいと判定し、メッセージは送信される。
　（実施の形態１の効果）
　実施の形態１では、ＭＡＣアドレスによるＴＴＬホワイトリストによって、予め決められた通信範囲を逸脱するようなメッセージをＥｔｈｅｒｎｅｔスイッチで破棄することが可能となる。
　（実施の形態１の変形例１）
　実施の形態１では、ＴＴＬホワイトリストとしてＭＡＣアドレスを使用したが、これに限られない。例えば、ＩＰレイヤを用いて転送制御を行うＬ３スイッチでは、ＩＰアドレスを使用してＴＴＬホワイトリストを作成することも可能である。これにより、ＭＡＣアドレスの偽装を行うデバイスへのメッセージについてもＥｔｈｅｒｎｅｔスイッチで破棄することが可能となる。以下、ＩＰレイヤを用いて転送制御を行うＥｔｈｅｒｎｅｔスイッチ１１０ａについて、図面を参照しながら説明する。なお、前述の実施の形態と同一の内容については説明を省略する。
　１．１２　Ｅｔｈｅｒｎｅｔスイッチの構成
　図１２は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１１０ａの構成図である。Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、通信部１０１と、転送処理部１０２と、転送テーブル保持部１１３と、ホワイトリスト判定部１１４と、ホワイトリスト保持部１１５と、エラーメッセージ送信部１０６と、から構成される。
　なお、Ｅｔｈｅｒｎｅｔスイッチ１１０ｂは、Ｅｔｈｅｒｎｅｔスイッチ１００ａと同様の構成であるため、説明は省略する。また、図３と同様の構成については同一の符号を付与し、その説明は省略する。
　転送テーブル保持部１１３は、転送テーブルを保持する。転送テーブルの一例は、図１３に示す。
　ホワイトリスト判定部１１４は、ホワイトリスト保持部１１５が保持するホワイトリストと、転送処理部１０２より通知される受信メッセージに応じて、メッセージに対する判定を行い、判定結果を転送処理部１０２と、エラーメッセージ送信部１０６と、に通知する。
　ホワイトリスト保持部１１５は、メッセージの転送可否を判断するためのホワイトリストを保持する。ホワイトリストの一例は図１４に示す。
　１．１３　転送テーブルの構成
　図１３は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１１０ａが持つ転送テーブルの構成の一例を示す図である。なお、Ｅｔｈｅｒｎｅｔスイッチ１１０ｂが持つ、転送テーブルは、Ｅｔｈｅｒｎｅｔスイッチ１１０ａが持つ転送テーブルとほぼ同様であるため、ここでは説明を省略する。
　図１３では、Ｅｔｈｅｒｎｅｔスイッチ１１０ａがＥｔｈｅｒｎｅｔポートを６つ保持し、これらのポート番号をポートＮｏ．１～６としている例を示している。また、ポートＮｏ．１～６の接続先ＩＰアドレスが、それぞれ192.168.0.1、192.168.0.2、192.168.0.3、192.168.0.4、192.168.0.5、192.168.0.127、であることを示している。
　１．１４　ＴＴＬホワイトリストの構成
　図１４は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１１０ａが持つホワイトリストである、ＴＴＬホワイトリストの構成の一例を示す図である。Ｅｔｈｅｒｎｅｔスイッチ１００ｂが持つ、ＴＴＬホワイトリストは、Ｅｔｈｅｒｎｅｔスイッチ１１０ａが持つＴＴＬホワイトリストとほぼ同様であるため、ここでは説明を省略する。
　図１４において、ＴＴＬホワイトリストは、送信元ＩＰアドレス、送信先ＩＰアドレス、ＴＴＬのセットを５つ保持しており、５つのセットは正しい組み合わせであり、メッセージにこれらの組み合わせが含まれている場合はメッセージを転送し、メッセージにその他の組み合わせが含まれている場合については、全てＮＧとして、メッセージを破棄する処理に用いる。
　１．１５　ＴＴＬホワイトリストの判定シーケンス
　図１５は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１１０ａによる、ＴＴＬホワイトリストを用いたメッセージの判定シーケンスの一例を示す図である。なお、図１１と同様の処理については同一の番号を付与し、説明を省略する。
　（Ｓ１１０２）Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、受信したメッセージから、送信元ＩＰアドレスを取得する。
　（Ｓ１１０３）Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、受信したメッセージから、送信先ＩＰアドレスを取得する。
　（Ｓ１１０５）Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、ＴＴＬホワイトリストと照合し、送信元ＩＰアドレスと、送信先ＩＰアドレスのセットから、受信したＴＴＬの値が正しい値かどうかをチェックする。受信したＴＴＬの値が正しい値の場合（Ｙｅｓの場合）、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、ステップＳ１１０８の処理を実行する。受信したＴＴＬの値が正しい値でない場合（Ｎｏの場合）、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、ステップＳ１００６の処理を実行する。
　（Ｓ１１０８）Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、受信したＴＴＬの値を１デクリメントして上書きする。
　（Ｓ１１０９）Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、受信したＴＴＬの値が、０となっていないかどうかをチェックする。受信したＴＴＬの値が０となっている場合（Ｎｏの場合）、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、ステップＳ１１１０の処理を実行する。受信したＴＴＬの値が０でない場合（Ｙｅｓの場合）、Ｅｔｈｅｒｎｅｔスイッチ１００ａは、ステップＳ１１０７の処理を実行する。
　（Ｓ１１１０）Ｅｔｈｅｒｎｅｔスイッチ１００ａは、受信したメッセージを破棄する。
　（Ｓ１１０７）Ｅｔｈｅｒｎｅｔスイッチ１００ａは、転送テーブルに従い、送信先ＩＰアドレスを持つ機器がつながるポートからメッセージを送信する。
　（実施の形態１の変形例１の効果）
　実施の形態１の変形例１では、ＩＰアドレスによるＴＴＬホワイトリストによって、予め決められた通信範囲を逸脱するようなメッセージをＥｔｈｅｒｎｅｔスイッチで破棄することが可能となる。また、ＭＡＣアドレスの偽装を実施するデバイスへのメッセージについてもＥｔｈｅｒｎｅｔスイッチで破棄することが可能となる。
　（実施の形態１の変形例２）
　実施の形態１の変形例１では、ＴＴＬホワイトリストとして静的に保持する固定のセットを用いたが、Ｉｎｔｅｒｎｅｔ　Ｃｏｎｔｒｏｌ　Ｍｅｓｓａｇｅ　Ｐｒｏｔｏｃｏｌ（以下ＩＣＭＰ）などを用いて、システム開始後に動的に変更するセットをＴＴＬホワイトリストとして用いることもできる。これにより、ＥＣＵの撤去、置き換えなどの物理的な配置変更や、静的にＩＰアドレスなどを取得しない環境、例えばＤｙｎａｍｉｃ　Ｈｏｓｔ　Ｃｏｎｆｉｇｕｒａｔｉｏｎ　Ｐｒｏｔｏｃｏｌ（以下ＤＨＣＰ）などの環境下においても、ＴＴＬホワイトリストを用いたメッセージの判定が可能となる。以下、システム開始後に動的に変更するＴＴＬホワイトリストを保持するＥｔｈｅｒｎｅｔスイッチ１２０ａについて、図面を参照しながら説明する。なお、前述の実施の形態と同一の内容については説明を省略する。
　１．１６　Ｅｔｈｅｒｎｅｔスイッチの構成
　図１６は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１２０ａの構成図である。Ｅｔｈｅｒｎｅｔスイッチ１２０ａは、通信部１２１と、転送処理部１０２と、転送テーブル保持部１２３と、ホワイトリスト判定部１１４と、ホワイトリスト保持部１２５と、エラーメッセージ送信部１０６と、ホワイトリスト作成部１２７と、から構成される。
　なお、Ｅｔｈｅｒｎｅｔスイッチ１２０ｂは、Ｅｔｈｅｒｎｅｔスイッチ１２０ａと同様の構成である。また、図３と、図１２と、同様の構成については同一の符号を付与し、その説明は省略する。
　通信部１２１は、Ｅｔｈｅｒｎｅｔを介し、他のＥＣＵからメッセージの受信を行い、転送処理部１０２と、ホワイトリスト作成部１２７と、へ通知する。また転送処理部１０２と、エラーメッセージ送信部１０６と、ホワイトリスト作成部１２７と、から通知された送信先ＥＣＵにメッセージを送信する。
　ホワイトリスト保持部１２５は、ホワイトリスト作成部１２７から通知された、メッセージの転送可否を判断するためのホワイトリストを保持する。ホワイトリストの一例は図１４と同様であるため省略する。
　ホワイトリスト作成部１２７は、ＩＣＭＰメッセージを作成し、通信部１２１へと通知する。また、通信部１２１から通知されたＩＣＭＰのリプライメッセージを集計し、ホワイトリストを作成し、ホワイトリスト保持部１２５へと通知する。
　（実施の形態１の変形例２の効果）
　実施の形態１の変形例２では、ＤＨＣＰにより動的に各ノードのＩＰアドレスを設定するような環境下においても、ＩＰアドレスによるＴＴＬホワイトリストによって、予め決められた通信範囲を逸脱するようなメッセージをＥｔｈｅｒｎｅｔスイッチで破棄することが可能となる。
　（実施の形態１の変形例３）
　実施の形態１の変形例１では、ＴＴＬホワイトリストとの照合の上、条件に合致しない場合、メッセージを破棄するとしたが、条件に合致しない場合、ＴＴＬホワイトリストに記載の値で更新するとしても良い。これにより、全てのＥＣＵにて、適切なＴＴＬの設定が困難な場合でも、Ｅｔｈｅｒｎｅｔスイッチにより適切な値が設定され、ＴＴＬホワイトリストの運用が容易となる。以下、ＴＴＬに適切な値を設定する機能を持つＥｔｈｅｒｎｅｔスイッチ１３０ａについて、図面を参照しながら説明する。なお、前述の実施の形態と同一の内容については説明を省略する。
　１．１７　Ｅｔｈｅｒｎｅｔスイッチの構成
　図１７は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１３０ａの構成図である。Ｅｔｈｅｒｎｅｔスイッチ１３０ａは、通信部１０１と、転送処理部１３２と、転送テーブル保持部１０３と、ホワイトリスト判定部１１４と、ホワイトリスト保持部１０５と、エラーメッセージ送信部１０６と、から構成される。なお、Ｅｔｈｅｒｎｅｔスイッチ１３０ｂは、Ｅｔｈｅｒｎｅｔスイッチ１３０ａと同様の構成であるため、説明は省略する。また、図３と、図１２と、同一の構成については、同一の符号を付与し、その説明は省略する。
　転送処理部１３２は、転送テーブル保持部１０３から取得する転送テーブルと、ホワイトリスト判定部１３４の判定結果に応じて、受信メッセージのＴＴＬ値をホワイトリスト上のＴＴＬの値にて更新し、転送先を通信部１０１に通知する。
　ホワイトリスト判定部１３４は、ホワイトリスト保持部１０５が保持するホワイトリストと、転送処理部１３２より通知される受信メッセージに応じて、メッセージに対する判定を行い、判定結果と、ホワイトリスト上のＴＴＬの値を、転送処理部１３２と、エラーメッセージ送信部１０６と、に通知する。
　１．１８　ＥＣＵから送信されるメッセージに含まれるフィールドの一例
　図１８は、本実施の形態におけるＥＣＵ３００ａから送信されるメッセージに含まれるフィールドの一例を示す図である。なお、ＥＣＵ３００ｂ～３００ｅから送信されるメッセージはＥＣＵ３００ａから送信されるメッセージとほぼ同様であるため、ここでは説明は省略する。
　ＭＡＣヘッダフィールドには、送信元ＭＡＣアドレスと、送信先ＭＡＣアドレスと、が含まれる。ＩＰヘッダフィールドにはＴＴＬと、送信元ＩＰアドレスと、送信先ＩＰアドレスと、が含まれる。ＩＰペイロードフィールドには、パケット種別と、が含まれる。
　本実施の形態では、ＥＣＵ３００ａは、ＥＣＵ３００ｃにのみセンサデータを送信する仕様であるため、送信元ＭＡＣアドレス、及び、送信元ＩＰアドレスはＥＣＵ３００ａの情報を、送信先ＭＡＣアドレス、及び、送信先ＩＰアドレスは、ＥＣＵ３００ｃの情報を設定している。また、ＴＴＬに対して値を設定していないため、ＴＴＬは上限値である２５５を設定する。
　１．１９　ＴＴＬホワイトリストの判定シーケンス
　図１９は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１３０ａによる、ＴＴＬホワイトリストを用いたメッセージの不正判定シーケンスの一例を示す図である。なお、図１１と同様の処理については同一の番号を付与し、説明を省略する。
　（Ｓ１３０６）Ｅｔｈｅｒｎｅｔスイッチ１３０ａは、ＴＴＬホワイトリストと合致しない場合、受信したメッセージのＴＴＬの値をＴＴＬホワイトリスト記載の値に更新する。
　（実施の形態１の変形例３の効果）
　実施の形態１の変形例３では、全てのＥＣＵにて、適切なＴＴＬの設定が困難な場合でも、Ｅｔｈｅｒｎｅｔスイッチにより適切な値が設定され、ＴＴＬホワイトリストの運用が容易となる。
　（実施の形態２）
　ここでは、本発明の実施の形態として、受信したメッセージに含まれる情報を用いて、送信に係る基準時刻を取得し、ホワイトリストと照合する機能を持つＥｔｈｅｒｎｅｔスイッチ１１１０ａについて図面を参照しながら説明する。なお、前述の実施の形態と同一の内容については説明を省略する。
　２．１　Ｅｔｈｅｒｎｅｔスイッチの構成
　図２０は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１１１０ａの構成図である。Ｅｔｈｅｒｎｅｔスイッチ１１１０ａは、通信部１１１１と、転送処理部１０２と、転送テーブル保持部１１３と、ホワイトリスト判定部１１１４と、ホワイトリスト保持部１１１５と、エラーメッセージ送信部１０６と、ＲＴＴ取得部１１０８と、から構成される。なお、Ｅｔｈｅｒｎｅｔスイッチ１１１０ｂは、Ｅｔｈｅｒｎｅｔスイッチ１１１０ａと同様の構成であるため、説明は省略する。また、図３と、図１２と、同様の構成については同一の符号を付与し、その説明は省略する。
　通信部１１１１は、Ｅｔｈｅｒｎｅｔを介し、他のＥＣＵからメッセージの受信を行い、転送処理部１０２と、ＲＴＴ取得部１１０８と、へ通知する。また転送処理部１０２と、エラーメッセージ送信部１０６と、ＲＴＴ取得部１１０８と、から通知された送信先ＥＣＵにメッセージを送信する。
　ホワイトリスト判定部１１１４は、ホワイトリスト保持部１１１５が保持するホワイトリストと、転送処理部１０２より通知される受信メッセージに応じて、メッセージに対する判定を行い、判定結果を転送処理部１０２と、エラーメッセージ送信部１０６と、に通知する。
　ホワイトリスト保持部１１１５は、メッセージの転送可否を判断するためのＲＴＴホワイトリストを保持する。ＲＴＴホワイトリストの一例は図２１に示す。
　２．２　ＲＴＴホワイトリストの構成
　図２１は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１１１０ａが持つホワイトリストである、ＲＴＴホワイトリストの構成の一例を示す図である。なお、Ｅｔｈｅｒｎｅｔスイッチ１１１０ｂが持つ、ＲＴＴホワイトリストは、Ｅｔｈｅｒｎｅｔスイッチ１１１０ａが持つＲＴＴホワイトリストとほぼ同様であるため、ここでは説明を省略する。
　図２１において、ＲＴＴホワイトリストは、送信元ＩＰアドレス、送信先ＩＰアドレス、ＲＴＴのセットを５つ保持しており、５つのセットは正しい組み合わせであり、メッセージにこれらの組み合わせが含まれている場合はメッセージを転送し、メッセージにその他の組み合わせが含まれている場合については、全てＮＧとして、メッセージを破棄する処理に用いる。
　２．３　ＲＴＴホワイトリストの判定シーケンス
　図２２は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１１１０ａによる、ＲＴＴホワイトリストを用いたメッセージの不正判定シーケンスの一例を示す図である。なお、図１１と同様の処理については同一の符号を付与し、その説明を省略する。
　（Ｓ２００４）Ｅｔｈｅｒｎｅｔスイッチ１１１０ａは、受信したメッセージから、送信先のＩＰアドレス宛にＩＣＭＰメッセージを送信し、返答のあった時刻より、ＲＴＴの値を計算により取得する。
　（Ｓ２００５）Ｅｔｈｅｒｎｅｔスイッチ１１１０ａは、ＲＴＴホワイトリストと照合し、送信元ＩＰアドレスと、送信先ＩＰアドレスのセットから、受信したメッセージから計算されたＲＴＴの値が範囲内の値かどうかをチェックする。計算されたＲＴＴの値がＲＴＴホワイトリストの範囲内の値である場合（Ｙｅｓの場合）、Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、ステップＳ１００７の処理を実行する。計算されたＲＴＴの値がＲＴＴホワイトリストの範囲内の値でない場合（Ｎｏの場合）、Ｅｔｈｅｒｎｅｔスイッチ１１０ａは、ステップＳ１００６の処理を実行する。
　（実施の形態２の効果）
　実施の形態２では、ＩＰアドレスによるＲＴＴホワイトリストによって、予め決められた通信範囲を逸脱するようなメッセージをＥｔｈｅｒｎｅｔスイッチで破棄することが可能となる。また、ＭＡＣアドレスの偽装を実施するデバイスへのメッセージについてもＥｔｈｅｒｎｅｔスイッチで破棄することが可能となる。
　（実施の形態２の変形例１）
　実施の形態２では、ＲＴＴホワイトリストとしてあらかじめ設定した固定のリストを用いたが、ＩＣＭＰなどを用いて、システム開始後に動的に更新するリストをＲＴＴホワイトリストとして使用することもできる。これにより、ＥＣＵの撤去、置き換えなどの物理的な配置変更や、静的にＩＰアドレスなどを取得しない環境、例えばＤＨＣＰなどの環境下においても、ＲＴＴホワイトリストの運用が可能となる。以下、システム開始後に動的に更新するホワイトリストを保持するＥｔｈｅｒｎｅｔスイッチ１１２０ａについて、図面を参照しながら説明する。なお、前述の実施の形態と同一の内容については説明を省略する。
　２．４　Ｅｔｈｅｒｎｅｔスイッチの構成
　図２３は、本実施の形態におけるＥｔｈｅｒｎｅｔスイッチ１１２０ａの構成図である。Ｅｔｈｅｒｎｅｔスイッチ１２０ａは、通信部１１２１と、転送処理部１０２と、転送テーブル保持部１１３と、ホワイトリスト判定部１１１４と、ホワイトリスト保持部１１２５と、エラーメッセージ送信部１０６と、ＲＴＴ取得部１１０８と、ホワイトリスト作成部１１２７と、から構成される。なお、Ｅｔｈｅｒｎｅｔスイッチ１１２０ｂは、Ｅｔｈｅｒｎｅｔスイッチ１１２０ａと同様の構成である。また、図３と、図１２と、図２０と、同様の構成については同一の符号を付与し、その説明は省略する。
　通信部１１２１と、Ｅｔｈｅｒｎｅｔを介し、他のＥＣＵからメッセージの受信を行い、転送処理部１０２と、ＲＴＴ取得部１１０８と、ホワイトリスト作成部１１２７と、へ通知する。また転送処理部１０２と、エラーメッセージ送信部１０６と、ＲＴＴ取得部１１０８と、ホワイトリスト作成部１１２７と、から通知された送信先ＥＣＵにメッセージを送信する。
　ホワイトリスト保持部１１２５と、ホワイトリスト作成部１１２７から通知された、メッセージの転送可否を判断するためのホワイトリストを保持する。ホワイトリストの一例は図２１と同様であるため省略する。
　ホワイトリスト作成部１１２７と、ＩＣＭＰメッセージを作成し、通信部１１２１へと通知する。また、通信部１１２１から通知されたＩＣＭＰのリプライメッセージを集計し、ホワイトリストを作成し、ホワイトリスト保持部１１２５へと通知する。
　（実施の形態２の変形例１の効果）
　実施の形態２の変形例１では、ＤＨＣＰにより動的に各ノードのＩＰアドレスを設定するような環境下においても、ＩＰアドレスによるＲＴＴホワイトリストによって、予め決められた通信範囲を逸脱するようなメッセージをＥｔｈｅｒｎｅｔスイッチで破棄することが可能となる。
　（その他変形例）
　なお、本発明を上記各実施の形態に基づいて説明してきたが、本発明は、上記各実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。
　（１）上記実施の形態では、通信装置をＥｔｈｅｒｎｅｔスイッチとしているが、これは本発明における通信装置の一態様であり、メッセージを中継する如何なる装置であってもよい。例えば、ＣＧＷ、各ドメインに配置されるドメインコントローラ、Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　ＮｅｔｗｏｒｋとＥｔｈｅｒｎｅｔの変換装置などであってもよい。
　（２）上記実施の形態では、Ｅｔｈｅｒｎｅｔスイッチはホワイトリストを保持し、ホワイトリストと合致しないメッセージを破棄するとしているが、リストに合致したメッセージのみ破棄するブラックリストであってもよい。また、ホワイトリスト、ブラックリストを両方保持してもよい。
　（３）上記実施の形態では、Ｅｔｈｅｒｎｅｔスイッチはホワイトリストを保持し、ホワイトリストと合致しないメッセージを破棄するとしているが、合致しない場合、正常に転送処理を実施するが、結果をログとして保存するとしてもよい。また、合致しない場合、正常に転送処理を実施するが、ＩＣＭＰを使って、送信元へ判定結果に応じたメッセージを通知するとしても良い。また、リストごとに対応するアクションを切り替えるよう、リストに対応アクションの項目を保持してもよい。例えば、特定のメッセージは破棄しないが、判定結果を常にログとして保存する、あるいは、特定のメッセージは破棄しないが、判定結果がＮＧだった場合のみログとして保存する、とするとしてもよい。
　（４）上記実施の形態１の変形例２、及び、上記実施の形態２の変形例１では、動的な環境の一例としてＤＨＣＰ環境を挙げたが、通信する先のＩＰアドレスだけではなく、サービスごとに通信先を変えるＳＯＭＥ／ＩＰに対応するような環境下において、サービスディスカバリーのプロトコルによる通信関係決定ごとに、ＩＣＭＰなどを用いて、ＴＴＬ、および、ＲＴＴホワイトリストを更新するとしても良い。
　（５）上記実施の形態１の変形例３では、転送テーブルを持つＥｔｈｅｒｎｅｔスイッチとしたが、ＩＰテーブルを持つＥｔｈｅｒｎｅｔスイッチでもよい。また、ＴＴＬは、ホワイトリストに合致しない場合、ホワイトリストの値を使って更新するとしたが、上記に限定しない。例えば、予め設定したＥＣＵごとの特定の値に合致したメッセージのみ、ホワイトリストの値を使って更新するとしても良い。また、前述予め設定したＥＣＵごとの特定の値をホワイトリストに別途保持するとしても良い。
　（６）上記の実施の形態における各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
　（７）上記の実施の形態における各装置は、構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。
　また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部又はすべてを含むように１チップ化されてもよい。
　また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサーを利用しても良い。
　さらには、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。
　（８）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。ＩＣカードまたは前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。ＩＣカードまたは前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、ＩＣカードまたはモジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。
　（９）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。
　また、本発明は、前記コンピュータプログラムまたは前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標）　Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。
　また、本発明は、コンピュータプログラムまたは前記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。
　また、本発明は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、メモリは、上記コンピュータプログラムを記録しており、前記マイクロプロセッサは、コンピュータプログラムにしたがって動作するとしてもよい。
　また、プログラムまたは前記デジタル信号を記録媒体に記録して移送することにより、またはプログラムまたは前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
　（１０）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
　本発明の通信装置は、車載ネットワークシステム内に配置することで、安全な状態の確保を目指す車両の開発に貢献する。
　１０　車載ネットワークシステム
　１００ａ、１００ｂ、１１０ａ、１１０ｂ、１２０ａ、１２０ｂ、１３０ａ、１３０ｂ、１１１０ａ、１１１０ｂ、１１２０ａ、１１２０ｂ　Ｅｔｈｅｒｎｅｔスイッチ
　２００　ＩＶＩ
　３００ａ、３００ｂ、３００ｃ、３００ｄ、３００ｅ　ＥＣＵ
　３１０　前方距離センサ
　３２０　前方カメラ
　３３０　ＡＤＡＳ
　３４０　後方距離センサ
　３５０　後方カメラ
　４００　ＣＧＷ
　５００　ＴＣＵ

Claims (17)

  1. 　自動車内に配置され、複数の電子制御装置が通信に用いるネットワークバスに接続される通信装置であって、
    　前記電子制御装置から前記ネットワークバス経由で送信されるメッセージを受信する受信部と、
    　前記メッセージを転送可能な範囲を示す所定のフィールドに関する判定基準を含むリストを保持するリスト保持部と、
    　前記メッセージと、前記リストの比較により、前記メッセージの正当性を判定する判定部と、
    　を有することを特徴とする、通信装置。
  2. 　前記ネットワークバスとは、ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）に対応するＥｔｈｅｒｎｅｔであり、
    　前記メッセージが転送可能な範囲を示す所定のフィールドに関する判定基準とは、
    　前記メッセージに含まれるＴＴＬ（Ｔｉｍｅ　Ｔｏ　Ｌｉｖｅ）の値をリスト内に保持する基準値との比較により判定する基準である、
    　ことを特徴とする、請求項１記載の通信装置。
  3. 　前記ネットワークバスとは、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ　Ｃｏｎｔｒｏｌ　Ｐｒｏｔｏｃｏｌ）と、ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）に対応するＥｔｈｅｒｎｅｔであり、
    　前記メッセージが転送可能な範囲を示す所定のフィールドに関する判定基準とは、
    　前記メッセージに含まれる時刻情報から算出されるＲＴＴ（Ｒａｎｄ　Ｔｒｉｐ　Ｔｉｍｅ）をリスト内に保持する基準値との比較により判定する基準である、
    　ことを特徴とする、請求項１記載の通信装置。
  4. 　前記リストとは、送信元、あるいは、送信先の情報を含んだリストである、
    　ことを特徴とする、請求項２または請求項３記載の通信装置。
  5. 　前記送信元、あるいは、送信先の情報とは、ＭＡＣアドレスである、
    　ことを特徴とする、請求項４記載の通信装置。
  6. 　前記送信元、あるいは、送信先の情報とは、ＩＰアドレスである、
    　ことを特徴とする、請求項４記載の通信装置。
  7. 　前記リストは、前記通信装置に予め設定された固定のリストである、
    　ことを特徴とする、請求項１記載の通信装置。
  8. 　前記リストとは、前記電子制御装置の物理的な配置に応じ、動的に更新されるリストである、
    　ことを特徴とする、請求項１記載の通信装置。
  9. 　前記リストとは、前記電子制御装置が持つ属性情報に応じて、動的に更新されるリストである、
    　ことを特徴とする、請求項１記載の通信装置。
  10. 　前記リストとは、前記電子制御装置がＳＯＭＥ／ＩＰ（Ｓｃａｌａｂｌｅ　ｓｅｒｖｉｃｅ－Ｏｒｉｅｎｔｅｄ　ＭｉｄｄｌｅｗａｒＥ　ＯＶＥＲ　ＩＰ）プロトコルに従い、通信先を変更する度に、動的に更新されるリストである、
    　ことを特徴とする、請求項９記載の通信装置。
  11. 　前記判定の結果、基準に合致しない場合、
    　前記メッセージに含まれるＴＴＬの値を、基準に合致するよう変更する、
    　ことを特徴とする、請求項２記載の通信装置。
  12. 　前記判定部の判定結果に基づき、所定のアクションを実施する処理部、
    　を持つことを特徴とする、請求項１記載の通信装置。
  13. 　前記処理部では、前記メッセージを所定の送信先となる、他の前記電子制御装置への転送可否を判定する、
    　ことを特徴とする、請求項１２記載の通信装置。
  14. 　前記処理部では、前記判定部の判定結果を記録する、
    　ことを特徴とする、請求項１２記載の通信装置。
  15. 　前記処理部では送信元となる前記電子制御装置に対して判定結果を通知する、
    　ことを特徴とする、請求項１２記載の通信装置。
  16. 　自動車内に配置され、複数の電子制御装置が通信に用いるネットワークバスにて用いられる通信方法であって、
    　前記電子制御装置が前記ネットワークバスにメッセージを送信する送信ステップと、
    　前記メッセージを転送可能な範囲を示す所定のフィールドに関する判定基準となるリストを用いて、前記メッセージの送信可否を判定する判定ステップと、
    　を有することを特徴とする、通信方法。
  17. 　自動車内に配置される複数の電子制御装置が通信に用いるネットワークバスを含む通信システムであって、
    　前記電子制御装置が前記ネットワークバスにメッセージを送信する送信部と、
    　前記メッセージが転送可能な範囲を示す所定のフィールドに関する判定基準を含むリストを用いて、前記メッセージの送信可否を判定する判定部と、
    　を有することを特徴とする、通信システム。
PCT/JP2017/027116 2017-07-26 2017-07-26 通信装置、通信方法および通信システム WO2019021402A1 (ja)

Priority Applications (7)

Application Number Priority Date Filing Date Title
PCT/JP2017/027116 WO2019021402A1 (ja) 2017-07-26 2017-07-26 通信装置、通信方法および通信システム
EP18838307.9A EP3661128A1 (en) 2017-07-26 2018-07-23 Communication device, communication method, and communication system
CN201880003923.9A CN109845195B (zh) 2017-07-26 2018-07-23 通信装置、通信方法以及通信系统
PCT/JP2018/027465 WO2019021995A1 (ja) 2017-07-26 2018-07-23 通信装置、通信方法及び通信システム
JP2018552904A JP7017520B2 (ja) 2017-07-26 2018-07-23 通信装置、通信方法及び通信システム
US16/380,447 US10904883B2 (en) 2017-07-26 2019-04-10 Communication device, communication method, and communication system
US17/129,012 US11553484B2 (en) 2017-07-26 2020-12-21 Communication device, communication method, and communication system

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2017/027116 WO2019021402A1 (ja) 2017-07-26 2017-07-26 通信装置、通信方法および通信システム

Publications (1)

Publication Number Publication Date
WO2019021402A1 true WO2019021402A1 (ja) 2019-01-31

Family

ID=65040692

Family Applications (2)

Application Number Title Priority Date Filing Date
PCT/JP2017/027116 WO2019021402A1 (ja) 2017-07-26 2017-07-26 通信装置、通信方法および通信システム
PCT/JP2018/027465 WO2019021995A1 (ja) 2017-07-26 2018-07-23 通信装置、通信方法及び通信システム

Family Applications After (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/027465 WO2019021995A1 (ja) 2017-07-26 2018-07-23 通信装置、通信方法及び通信システム

Country Status (5)

Country Link
US (2) US10904883B2 (ja)
EP (1) EP3661128A1 (ja)
JP (1) JP7017520B2 (ja)
CN (1) CN109845195B (ja)
WO (2) WO2019021402A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021002013A1 (ja) * 2019-07-04 2021-01-07 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知装置および異常検知方法
WO2021193253A1 (ja) * 2020-03-26 2021-09-30 株式会社オートネットワーク技術研究所 車載情報処理装置、情報処理方法及びサーバプログラム
JP2022160932A (ja) * 2021-04-07 2022-10-20 矢崎総業株式会社 車載システム

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20210120287A (ko) * 2020-03-26 2021-10-07 현대자동차주식회사 진단 시스템 및 차량

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10271154A (ja) * 1997-03-21 1998-10-09 Nec Eng Ltd 不正アクセス防止方法およびシステム
JP2003324458A (ja) * 2002-04-26 2003-11-14 Sumitomo Electric Ind Ltd ゲートウェイ装置
WO2004051946A1 (ja) * 2002-12-02 2004-06-17 Fujitsu Limited 送信元アドレス偽装パケット検出装置、送信元アドレス偽装パケット検出方法、送信元アドレス偽装パケット検出プログラム
JP2004349961A (ja) * 2003-05-21 2004-12-09 Denso Corp 中継装置、及びプログラム
US20150020152A1 (en) * 2012-03-29 2015-01-15 Arilou Information Security Technologies Ltd. Security system and method for protecting a vehicle electronic system
JP2016134170A (ja) * 2015-01-20 2016-07-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正対処方法及び電子制御ユニット

Family Cites Families (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7295552B1 (en) * 1999-06-30 2007-11-13 Broadcom Corporation Cluster switching architecture
CA2413922A1 (en) * 2000-06-30 2002-12-20 Sumitomo Electric Industries, Ltd On-vehicle gateway
JP2002016614A (ja) * 2000-06-30 2002-01-18 Sumitomo Electric Ind Ltd 車載ゲートウェイ
US6536816B1 (en) * 2002-03-04 2003-03-25 Fang-Chang Fan Adjustable door lock core
JP4181951B2 (ja) 2002-09-27 2008-11-19 松下電器産業株式会社 コンテンツ配信システム
TW200414737A (en) 2002-09-27 2004-08-01 Matsushita Electric Ind Co Ltd Contents transmission system
JP4129216B2 (ja) 2002-09-27 2008-08-06 松下電器産業株式会社 グループ判定装置
US20050180421A1 (en) * 2002-12-02 2005-08-18 Fujitsu Limited Source address-fabricated packet detection unit, source address-fabricated packet detection method, and source address-fabricated packet detection program
US7873731B1 (en) * 2004-04-08 2011-01-18 Cisco Technology, Inc. Use of per-flow monotonically decreasing TTLs to prevent IDS circumvention
JP4645281B2 (ja) * 2005-04-19 2011-03-09 ソニー株式会社 情報処理装置および方法、プログラム、並びに記録媒体
JP4634320B2 (ja) * 2006-02-28 2011-02-16 株式会社日立製作所 対異常通信防御を行うための装置とネットワークシステム
US8514845B2 (en) * 2008-12-31 2013-08-20 Telefonaktiebolaget L M Ericsson (Publ) Usage of physical layer information in combination with signaling and media parameters
CN101674312B (zh) * 2009-10-19 2012-12-19 中兴通讯股份有限公司 一种在网络传输中防止源地址欺骗的方法及装置
JP5301011B1 (ja) * 2012-05-23 2013-09-25 株式会社東芝 コンテンツ送信装置、及びコンテンツ送信方法
DE102015213522A1 (de) * 2015-07-17 2017-01-19 Robert Bosch Gmbh Bussystem, Teilnehmerstation dafür und Verfahren zur Konfiguration eines statischen Bussystems für eine dynamische Kommunikation
US9749955B2 (en) * 2015-07-20 2017-08-29 Intel Corporation Connectivity management for mobile wireless low-power wake-up radios
CN105577669B (zh) * 2015-12-25 2018-09-21 北京神州绿盟信息安全科技股份有限公司 一种识别虚假源攻击的方法及装置
CN107370677B (zh) * 2016-05-12 2021-01-26 西安三星电子研究有限公司 节点确定路径生存时间的方法和设备
EP3504863B1 (en) * 2016-08-25 2020-10-07 BlackBerry Limited Policing of packet switched services
US10650621B1 (en) * 2016-09-13 2020-05-12 Iocurrents, Inc. Interfacing with a vehicular controller area network
JP6424870B2 (ja) * 2016-09-27 2018-11-21 住友電気工業株式会社 ゲートウェイ、車載通信システム、通信制御方法および通信制御プログラム
US10776798B2 (en) * 2017-04-25 2020-09-15 Comscore, Inc. Device identification systems and methods

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10271154A (ja) * 1997-03-21 1998-10-09 Nec Eng Ltd 不正アクセス防止方法およびシステム
JP2003324458A (ja) * 2002-04-26 2003-11-14 Sumitomo Electric Ind Ltd ゲートウェイ装置
WO2004051946A1 (ja) * 2002-12-02 2004-06-17 Fujitsu Limited 送信元アドレス偽装パケット検出装置、送信元アドレス偽装パケット検出方法、送信元アドレス偽装パケット検出プログラム
JP2004349961A (ja) * 2003-05-21 2004-12-09 Denso Corp 中継装置、及びプログラム
US20150020152A1 (en) * 2012-03-29 2015-01-15 Arilou Information Security Technologies Ltd. Security system and method for protecting a vehicle electronic system
JP2016134170A (ja) * 2015-01-20 2016-07-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正対処方法及び電子制御ユニット

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021002013A1 (ja) * 2019-07-04 2021-01-07 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知装置および異常検知方法
WO2021002261A1 (ja) * 2019-07-04 2021-01-07 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知装置および異常検知方法
JP7490648B2 (ja) 2019-07-04 2024-05-27 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知装置および異常検知方法
WO2021193253A1 (ja) * 2020-03-26 2021-09-30 株式会社オートネットワーク技術研究所 車載情報処理装置、情報処理方法及びサーバプログラム
JP7415726B2 (ja) 2020-03-26 2024-01-17 株式会社オートネットワーク技術研究所 車載情報処理装置、情報処理方法及びサーバプログラム
JP2022160932A (ja) * 2021-04-07 2022-10-20 矢崎総業株式会社 車載システム
JP7307117B2 (ja) 2021-04-07 2023-07-11 矢崎総業株式会社 車載システム

Also Published As

Publication number Publication date
EP3661128A4 (en) 2020-06-03
EP3661128A1 (en) 2020-06-03
US11553484B2 (en) 2023-01-10
CN109845195B (zh) 2022-01-18
CN109845195A (zh) 2019-06-04
JPWO2019021995A1 (ja) 2020-05-28
US20210153194A1 (en) 2021-05-20
US10904883B2 (en) 2021-01-26
WO2019021995A1 (ja) 2019-01-31
US20190239221A1 (en) 2019-08-01
JP7017520B2 (ja) 2022-02-08

Similar Documents

Publication Publication Date Title
JP7182564B2 (ja) 不正検知装置、車載ネットワークシステム、および、不正検知方法
US20210281595A1 (en) Anomaly detection device and anomaly detection method
WO2019021402A1 (ja) 通信装置、通信方法および通信システム
US11930021B2 (en) Unauthorized frame detection device and unauthorized frame detection method
US11063908B2 (en) On-vehicle communication device, communication control method, and communication control program
JP7312769B2 (ja) 統計情報生成装置、統計情報生成方法、および、プログラム
CN107241378B (zh) 跨异构网络的统一数据建网的设备和方法以及存储介质
US20130044759A1 (en) N-way routing packets across an intermediate network
US20220360577A1 (en) Systems and methods for applying attestation tokens to lisp messages
CN111373699B (zh) 交换装置和通信控制方法
CN111131548B (zh) 信息处理方法、装置和计算机可读存储介质
CN105791458B (zh) 地址配置方法和装置
CN115152181A (zh) 用于物理攻击抵抗的加密覆盖网络
WO2017047087A1 (ja) データ検査システム、データ検査方法とそのプログラムを格納した記憶媒体
JP7496823B2 (ja) 不正フレーム検知装置および不正フレーム検知方法
US20230247009A1 (en) Method for capturing a packet from an encrypted session
US7382779B1 (en) Method and apparatus for configuring a network component
CN115086105A (zh) 一种报文传输方法及装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17919563

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 17919563

Country of ref document: EP

Kind code of ref document: A1