WO2019117184A1 - 車載ネットワーク異常検知システム及び車載ネットワーク異常検知方法 - Google Patents

車載ネットワーク異常検知システム及び車載ネットワーク異常検知方法 Download PDF

Info

Publication number
WO2019117184A1
WO2019117184A1 PCT/JP2018/045619 JP2018045619W WO2019117184A1 WO 2019117184 A1 WO2019117184 A1 WO 2019117184A1 JP 2018045619 W JP2018045619 W JP 2018045619W WO 2019117184 A1 WO2019117184 A1 WO 2019117184A1
Authority
WO
WIPO (PCT)
Prior art keywords
abnormality
unit
unit data
data
vehicle
Prior art date
Application number
PCT/JP2018/045619
Other languages
English (en)
French (fr)
Inventor
弘泰 寺澤
芳賀　智之
唯之 鳥崎
遼 加藤
Original Assignee
パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ filed Critical パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority to EP18888512.3A priority Critical patent/EP3726782B1/en
Priority to CN201880052087.3A priority patent/CN111448783B/zh
Priority to JP2019559683A priority patent/JP7071998B2/ja
Publication of WO2019117184A1 publication Critical patent/WO2019117184A1/ja
Priority to US16/818,364 priority patent/US11438355B2/en

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60T—VEHICLE BRAKE CONTROL SYSTEMS OR PARTS THEREOF; BRAKE CONTROL SYSTEMS OR PARTS THEREOF, IN GENERAL; ARRANGEMENT OF BRAKING ELEMENTS ON VEHICLES IN GENERAL; PORTABLE DEVICES FOR PREVENTING UNWANTED MOVEMENT OF VEHICLES; VEHICLE MODIFICATIONS TO FACILITATE COOLING OF BRAKES
    • B60T17/00—Component parts, details, or accessories of power brake systems not covered by groups B60T8/00, B60T13/00 or B60T15/00, or presenting other characteristic features
    • B60T17/18—Safety devices; Monitoring
    • B60T17/22—Devices for monitoring or checking brake systems; Signal devices
    • B60T17/221—Procedure or apparatus for checking or keeping in a correct functioning condition of brake systems
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60L—PROPULSION OF ELECTRICALLY-PROPELLED VEHICLES; SUPPLYING ELECTRIC POWER FOR AUXILIARY EQUIPMENT OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRODYNAMIC BRAKE SYSTEMS FOR VEHICLES IN GENERAL; MAGNETIC SUSPENSION OR LEVITATION FOR VEHICLES; MONITORING OPERATING VARIABLES OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRIC SAFETY DEVICES FOR ELECTRICALLY-PROPELLED VEHICLES
    • B60L3/00—Electric devices on electrically-propelled vehicles for safety purposes; Monitoring operating variables, e.g. speed, deceleration or energy consumption
    • B60L3/0023—Detecting, eliminating, remedying or compensating for drive train abnormalities, e.g. failures within the drive train
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60L—PROPULSION OF ELECTRICALLY-PROPELLED VEHICLES; SUPPLYING ELECTRIC POWER FOR AUXILIARY EQUIPMENT OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRODYNAMIC BRAKE SYSTEMS FOR VEHICLES IN GENERAL; MAGNETIC SUSPENSION OR LEVITATION FOR VEHICLES; MONITORING OPERATING VARIABLES OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRIC SAFETY DEVICES FOR ELECTRICALLY-PROPELLED VEHICLES
    • B60L3/00—Electric devices on electrically-propelled vehicles for safety purposes; Monitoring operating variables, e.g. speed, deceleration or energy consumption
    • B60L3/0023—Detecting, eliminating, remedying or compensating for drive train abnormalities, e.g. failures within the drive train
    • B60L3/0084—Detecting, eliminating, remedying or compensating for drive train abnormalities, e.g. failures within the drive train relating to control modules
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60T—VEHICLE BRAKE CONTROL SYSTEMS OR PARTS THEREOF; BRAKE CONTROL SYSTEMS OR PARTS THEREOF, IN GENERAL; ARRANGEMENT OF BRAKING ELEMENTS ON VEHICLES IN GENERAL; PORTABLE DEVICES FOR PREVENTING UNWANTED MOVEMENT OF VEHICLES; VEHICLE MODIFICATIONS TO FACILITATE COOLING OF BRAKES
    • B60T7/00—Brake-action initiating means
    • B60T7/12—Brake-action initiating means for automatic initiation; for initiation not subject to will of driver or passenger
    • B60T7/16—Brake-action initiating means for automatic initiation; for initiation not subject to will of driver or passenger operated by remote control, i.e. initiating means not mounted on vehicle
    • B60T7/18—Brake-action initiating means for automatic initiation; for initiation not subject to will of driver or passenger operated by remote control, i.e. initiating means not mounted on vehicle operated by wayside apparatus
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60T—VEHICLE BRAKE CONTROL SYSTEMS OR PARTS THEREOF; BRAKE CONTROL SYSTEMS OR PARTS THEREOF, IN GENERAL; ARRANGEMENT OF BRAKING ELEMENTS ON VEHICLES IN GENERAL; PORTABLE DEVICES FOR PREVENTING UNWANTED MOVEMENT OF VEHICLES; VEHICLE MODIFICATIONS TO FACILITATE COOLING OF BRAKES
    • B60T8/00—Arrangements for adjusting wheel-braking force to meet varying vehicular or ground-surface conditions, e.g. limiting or varying distribution of braking force
    • B60T8/32—Arrangements for adjusting wheel-braking force to meet varying vehicular or ground-surface conditions, e.g. limiting or varying distribution of braking force responsive to a speed condition, e.g. acceleration or deceleration
    • B60T8/88—Arrangements for adjusting wheel-braking force to meet varying vehicular or ground-surface conditions, e.g. limiting or varying distribution of braking force responsive to a speed condition, e.g. acceleration or deceleration with failure responsive means, i.e. means for detecting and indicating faulty operation of the speed responsive control means
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60T—VEHICLE BRAKE CONTROL SYSTEMS OR PARTS THEREOF; BRAKE CONTROL SYSTEMS OR PARTS THEREOF, IN GENERAL; ARRANGEMENT OF BRAKING ELEMENTS ON VEHICLES IN GENERAL; PORTABLE DEVICES FOR PREVENTING UNWANTED MOVEMENT OF VEHICLES; VEHICLE MODIFICATIONS TO FACILITATE COOLING OF BRAKES
    • B60T8/00—Arrangements for adjusting wheel-braking force to meet varying vehicular or ground-surface conditions, e.g. limiting or varying distribution of braking force
    • B60T8/32—Arrangements for adjusting wheel-braking force to meet varying vehicular or ground-surface conditions, e.g. limiting or varying distribution of braking force responsive to a speed condition, e.g. acceleration or deceleration
    • B60T8/88—Arrangements for adjusting wheel-braking force to meet varying vehicular or ground-surface conditions, e.g. limiting or varying distribution of braking force responsive to a speed condition, e.g. acceleration or deceleration with failure responsive means, i.e. means for detecting and indicating faulty operation of the speed responsive control means
    • B60T8/885—Arrangements for adjusting wheel-braking force to meet varying vehicular or ground-surface conditions, e.g. limiting or varying distribution of braking force responsive to a speed condition, e.g. acceleration or deceleration with failure responsive means, i.e. means for detecting and indicating faulty operation of the speed responsive control means using electrical circuitry
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B62—LAND VEHICLES FOR TRAVELLING OTHERWISE THAN ON RAILS
    • B62D—MOTOR VEHICLES; TRAILERS
    • B62D5/00—Power-assisted or power-driven steering
    • B62D5/04—Power-assisted or power-driven steering electrical, e.g. using an electric servo-motor connected to, or forming part of, the steering gear
    • B62D5/0457—Power-assisted or power-driven steering electrical, e.g. using an electric servo-motor connected to, or forming part of, the steering gear characterised by control features of the drive means as such
    • B62D5/0481—Power-assisted or power-driven steering electrical, e.g. using an electric servo-motor connected to, or forming part of, the steering gear characterised by control features of the drive means as such monitoring the steering system, e.g. failures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40169—Flexible bus arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4604—LAN interconnection over a backbone network, e.g. Internet, Frame Relay
    • H04L12/462—LAN interconnection over a bridge based backbone
    • H04L12/4625—Single bridge functionality, e.g. connection of two networks over a single bridge
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60L—PROPULSION OF ELECTRICALLY-PROPELLED VEHICLES; SUPPLYING ELECTRIC POWER FOR AUXILIARY EQUIPMENT OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRODYNAMIC BRAKE SYSTEMS FOR VEHICLES IN GENERAL; MAGNETIC SUSPENSION OR LEVITATION FOR VEHICLES; MONITORING OPERATING VARIABLES OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRIC SAFETY DEVICES FOR ELECTRICALLY-PROPELLED VEHICLES
    • B60L2240/00—Control parameters of input or output; Target parameters
    • B60L2240/10—Vehicle control parameters
    • B60L2240/24—Steering angle
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60L—PROPULSION OF ELECTRICALLY-PROPELLED VEHICLES; SUPPLYING ELECTRIC POWER FOR AUXILIARY EQUIPMENT OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRODYNAMIC BRAKE SYSTEMS FOR VEHICLES IN GENERAL; MAGNETIC SUSPENSION OR LEVITATION FOR VEHICLES; MONITORING OPERATING VARIABLES OF ELECTRICALLY-PROPELLED VEHICLES; ELECTRIC SAFETY DEVICES FOR ELECTRICALLY-PROPELLED VEHICLES
    • B60L2250/00—Driver interactions
    • B60L2250/26—Driver interactions by pedal actuation
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60T—VEHICLE BRAKE CONTROL SYSTEMS OR PARTS THEREOF; BRAKE CONTROL SYSTEMS OR PARTS THEREOF, IN GENERAL; ARRANGEMENT OF BRAKING ELEMENTS ON VEHICLES IN GENERAL; PORTABLE DEVICES FOR PREVENTING UNWANTED MOVEMENT OF VEHICLES; VEHICLE MODIFICATIONS TO FACILITATE COOLING OF BRAKES
    • B60T2270/00—Further aspects of brake control systems not otherwise provided for
    • B60T2270/40—Failsafe aspects of brake control systems
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60T—VEHICLE BRAKE CONTROL SYSTEMS OR PARTS THEREOF; BRAKE CONTROL SYSTEMS OR PARTS THEREOF, IN GENERAL; ARRANGEMENT OF BRAKING ELEMENTS ON VEHICLES IN GENERAL; PORTABLE DEVICES FOR PREVENTING UNWANTED MOVEMENT OF VEHICLES; VEHICLE MODIFICATIONS TO FACILITATE COOLING OF BRAKES
    • B60T2270/00—Further aspects of brake control systems not otherwise provided for
    • B60T2270/40—Failsafe aspects of brake control systems
    • B60T2270/406—Test-mode; Self-diagnosis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/02—Services making use of location information
    • H04W4/024—Guidance services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/48—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for in-vehicle communication
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02T—CLIMATE CHANGE MITIGATION TECHNOLOGIES RELATED TO TRANSPORTATION
    • Y02T90/00—Enabling technologies or technologies with a potential or indirect contribution to GHG emissions mitigation
    • Y02T90/10—Technologies relating to charging of electric vehicles
    • Y02T90/16—Information or communication technologies improving the operation of electric vehicles

Definitions

  • the present invention detects an abnormality due to an unauthorized message among messages used in an in-vehicle network.
  • ECUs electronice control units
  • CAN Controller Area Network
  • Ethernet registered trademark
  • Ethernet enables communication at 100 Mbps, which is 100 times faster than CAN, and is also expected as a technology to be applied to in-vehicle networks in place of CAN in terms of bandwidth extensibility and flexibility.
  • an information system a safety system, a driving support (including automatic driving, which is required to process a vast amount of information represented by sensing information from sensors such as a camera and LIDAR, or information of a dynamic map)
  • a driving support including automatic driving, which is required to process a vast amount of information represented by sensing information from sensors such as a camera and LIDAR, or information of a dynamic map
  • Patent Document 1 discloses a gateway that performs protocol conversion between a CAN protocol and another protocol and relays a message when communication is performed according to another protocol different from CAN.
  • Patent Document 2 discloses a method for detecting and preventing an attack that causes an in-vehicle network to enter an incorrect message and cause a malfunction.
  • an in-vehicle network using only CAN periodically transmitted messages defined for each type of data included are mainly used. Using this point, when a message is transmitted in a cycle different from the specified cycle, it is determined that the message is illegal, and detection of fraud and prevention of data transfer are attempted.
  • the present invention provides an in-vehicle network abnormality detection system or the like which detects an abnormality more reliably and protects an in-vehicle network from the threat of a cyber attack.
  • An in-vehicle network abnormality detection system includes a first network to which a plurality of first devices communicating according to a first protocol are connected and a plurality of second devices communicating according to a second protocol different from the first protocol.
  • An in-vehicle network abnormality detection system disposed on an in-vehicle network including a second network to which a second network is connected to determine presence or absence of abnormality of data communicated in the in-vehicle network, the plurality of first devices transmitting An abnormality including a first communication unit that receives, from the first network, first unit data that is communication unit data in a first protocol, and information on an abnormality determination rule used to determine the presence or absence of an abnormality in the first unit data
  • An abnormal judgment that judges whether the first unit data contains an abnormality based on a judgment database and the abnormality judgment rule Communication unit data according to the second protocol included in the data field of the first unit data from the first unit data when the unit and the abnormality determination unit determine that the first unit data does not contain an abnormality
  • a second communication unit for transmitting the extracted second unit data to the second network, wherein the first unit data includes the plurality of The second unit data included in the first unit data is an identifier of the second unit data, including transmission source information indicating
  • a first network to which a plurality of first devices communicating according to a first protocol are connected and a plurality of second networks communicating according to a second protocol different from the first protocol
  • An abnormality detection method which is disposed on an in-vehicle network including a second network to which two devices are connected, and which is executed in an in-vehicle network abnormality detection system that determines presence or absence of an abnormality of data communicated in the in-vehicle network
  • An abnormality determination rule used to determine, from the first network, first unit data that is communication unit data in the first protocol transmitted by a plurality of first devices from the first network, and to determine presence / absence of abnormality of the first unit data It is determined whether or not the first unit data contains an abnormality, and as a result of the determination, the first unit data includes an abnormality.
  • the second unit data As communication unit data in the second protocol included in the data field of the first unit data is extracted. Transmitting data to the second network, wherein the first unit data includes transmission source information indicating a first device that is a transmission source of the first unit data among the plurality of first devices;
  • the second unit data included in the unit data includes a data identifier which is an identifier of the second unit data, and the determination as to whether or not the abnormality includes the combination includes the combination of the transmission source information and the data identifier. It compares with the anomaly judgment rule.
  • the in-vehicle network abnormality detection system and the in-vehicle network abnormality detection method according to the present invention can detect an abnormality more reliably and protect the in-vehicle network from the threat of a cyber attack.
  • FIG. 1 is a configuration diagram of the entire in-vehicle network according to the embodiment.
  • FIG. 2 is a diagram showing the format of an Ethernet packet in the embodiment.
  • FIG. 3 is a diagram showing the format of a CAN frame in the embodiment.
  • FIG. 4 is a configuration diagram of the Ethernet-CAN gateway in the embodiment.
  • FIG. 5 is a diagram showing an outline of processing by the Ethernet-CAN conversion unit in the embodiment.
  • FIG. 6 is a diagram showing an example of a list of values that can be set in the CAN ID and data field of the CAN frame received by each ECU in the embodiment.
  • FIG. 7 is a diagram showing an example of a white list of CAN frames received by the control ECU that the information system and the driving support system commands according to the embodiment.
  • FIG. 8 is a diagram illustrating an example of a list of abnormality handling processing performed by the abnormality determining unit according to the embodiment.
  • FIG. 9 is a diagram illustrating an example of the processing list when it is determined that there is an abnormality based on the combination of the transmission source device and the value of CAN ID by the abnormality determination unit according to the embodiment.
  • FIG. 10 is a diagram showing a processing list when it is determined by the abnormality determining unit in the embodiment that there is an abnormality based on the value of the data field linked to the CAN ID.
  • FIG. 11 is a processing flowchart of the Ethernet-CAN gateway in the embodiment.
  • Patent Document 1 monitors a voltage of a communication bus with a device and / or a communication cycle of the device at a gateway relaying messages between networks using different protocols, and the result of the monitoring is abnormal. , Disclose a method to determine the legitimacy of the device.
  • Patent Document 2 discloses a method for detecting fraud and preventing fraudulent data transfer based on network cycle information for the purpose of detecting and preventing attacks that cause fraudulent data to invade and malfunction.
  • These networks are mainly assumed to be in-vehicle networks using a single protocol.
  • this in-vehicle network since the message is periodically transmitted, it is determined that the fraud occurred when the message is received at a cycle different from the prescribed cycle, and the fraud detection and the prevention of the fraudulent data transfer, etc. , Defensive actions against attacks are being taken.
  • the transmission source of the illegitimate message can not be cut off, and the abnormality may continue to occur.
  • the computing resources of the devices constituting the in-vehicle network are squeezed to process abnormal data, there may occur a situation where processing of a large amount of data necessary for driving support can not be made in time. The occurrence of such a situation is a serious problem in terms of vehicle safety.
  • an in-vehicle network abnormality detection system is different from a first network to which a plurality of first devices communicating in a first protocol are connected and a first network different from the first protocol.
  • An in-vehicle network abnormality detection system disposed on an in-vehicle network including a second network to which a plurality of second devices communicating according to two protocols are connected, and determining presence or absence of an abnormality in data communicated in the in-vehicle network,
  • a first communication unit that receives, from the first network, first unit data that is communication unit data in the first protocol that the plurality of first devices transmit, and for determining whether there is an abnormality in the first unit data
  • An abnormality determination database including information of an abnormality determination rule to be used, and the first unit data based on the abnormality determination rule
  • An abnormality determination unit that determines whether or not an abnormality is included, and when the abnormality determination unit determines that the first unit data does not include an abnormality, the first unit data is included in the data field of the first unit data.
  • the first unit data includes transmission source information indicating a first device that is a transmission source of the first unit data among the plurality of first devices, and the second unit data included in the first unit data is And a data identifier that is an identifier of the second unit data, wherein the abnormality determination unit performs the determination by comparing a combination of the transmission source information and the data identifier with the abnormality determination rule. If serial first unit data is determined to include abnormal executes predetermined anomaly correction.
  • the plurality of first devices may be controlled by any of the plurality of second devices for driving assistance of the vehicle based on a traveling route of a vehicle equipped with the in-vehicle network or a condition or state of the vehicle.
  • a device for transmitting the second unit data indicating the instruction for the transmission in the first unit data, and the abnormality determination rule includes the first unit data in terms of specifications for each of the plurality of first devices.
  • the second unit data indicating the instruction may be transmitted.
  • the plurality of second devices may drive the vehicle equipped with the in-vehicle network according to a command received from the second communication unit and sent from any of the plurality of first devices.
  • Control device for performing control of the vehicle the plurality of first devices include the sensing device of the vehicle, the abnormality determination rule includes the transmission source information indicating the sensing device, and the control device receives the information.
  • the combination with the data identifier included in the second unit data may include a rule for causing the abnormality determination unit to determine that the combination is abnormal.
  • the plurality of second devices are for driving assistance of a vehicle equipped with the in-vehicle network according to a command received from the second communication unit and sent from any of the plurality of first devices.
  • the second unit data included in the first unit data further includes a control parameter for the driving support, and the abnormality determination rule includes the plurality of second devices.
  • Each of the above may be a rule regarding a combination of the data identifier included in the second unit data to be received according to the specification and the value of the parameter.
  • the command may be a command related to any one of acceleration, braking and steering of the vehicle
  • the parameter may be a parameter related to any control of acceleration, braking and steering of the vehicle.
  • the abnormality determination rule indicates a combination that is not abnormal in specification among the combinations, and the abnormality determination unit determines that the first unit data is the combination when the combination is indicated in the abnormality determination rule in the determination. It may be determined that no abnormality is included.
  • the transmitted data is not transferred between the devices which do not communicate according to the specification.
  • the on-vehicle network can be made more secure against cyber attacks without sacrificing the functions provided by information processing on the vehicle.
  • the abnormality determination unit may discard the first unit data determined to include an abnormality as the predetermined abnormality handling process. Further, for example, the abnormality determination unit specifies, as the predetermined abnormality handling process, a first device that is a transmission source of the first unit data determined to include an abnormality based on the transmission source information, and The level of driving support of a vehicle equipped with the in-vehicle network may be lowered.
  • the influence of the abnormality on the in-vehicle network in particular, the influence of the attack on the control system can be prevented by lowering the level of the driving support.
  • the driver can immediately execute driving for evacuation, and the possibility of a traffic accident can be suppressed.
  • the abnormality determination unit specifies, as the predetermined abnormality handling process, a first device that is a transmission source of the first unit data determined to include an abnormality based on the transmission source information, and specifies Communication of the first device in the in-vehicle network may be cut off.
  • the abnormality determination unit outputs the result of the determination as the predetermined abnormality handling process
  • the information presentation unit for presenting information to the user of the vehicle further includes the vehicle equipped with the in-vehicle network.
  • the information processing apparatus may further include a result transmission unit that notifies the user of the occurrence of an abnormality by transmitting the determination result output from the determination unit.
  • the abnormality determination unit outputs the result of the determination as the predetermined abnormality handling process, and the result of the determination output by the abnormality determination unit is sent to a communication network outside the vehicle equipped with the in-vehicle network. You may provide the result transmission part which transmits. Thereby, the user such as the driver of the vehicle can use the information that the abnormality has occurred in the in-vehicle network.
  • the vehicle may be used by another vehicle traveling around the vehicle in which the abnormality has occurred, a roadside machine, or a security operation center (SOC).
  • SOC security operation center
  • This information may also be used by the manufacturer of the vehicle or vehicle parts or the like to improve or develop the product to prevent similar attacks.
  • a first network to which a plurality of first devices communicating according to a first protocol are connected and a plurality of second networks communicating according to a second protocol different from the first protocol
  • An abnormality detection method which is disposed on an in-vehicle network including a second network to which two devices are connected, and which is executed in an in-vehicle network abnormality detection system that determines presence or absence of an abnormality of data communicated in the in-vehicle network
  • An abnormality determination rule used to determine, from the first network, first unit data that is communication unit data in the first protocol transmitted by a plurality of first devices from the first network, and to determine presence / absence of abnormality of the first unit data It is determined whether or not the first unit data contains an abnormality, and as a result of the determination, the first unit data includes an abnormality.
  • the second unit data As communication unit data in the second protocol included in the data field of the first unit data is extracted. Transmitting data to the second network, wherein the first unit data includes transmission source information indicating a first device that is a transmission source of the first unit data among the plurality of first devices;
  • the second unit data included in the unit data includes a data identifier which is an identifier of the second unit data, and the determination as to whether or not the abnormality includes the combination includes the combination of the transmission source information and the data identifier. It compares with the anomaly judgment rule.
  • FIG. 1 is an entire configuration diagram of a vehicle-mounted network in the embodiment.
  • the in-vehicle network 10 mounted on the vehicle 1 is configured of a network shown by a single solid line constructed according to the Ethernet protocol and a network shown by a double solid line constructed according to the CAN protocol.
  • the Ethernet protocol is an example of a first protocol
  • the CAN protocol is an example of a second protocol.
  • the central gateway 100 constituting the in-vehicle network 10 includes an Ethernet-CAN gateway 200, a telematics control unit (Telematics Communication Unit, hereinafter TCU) 300, an information system DCU (DCU: Domain Control Unit) 400, and a driving support system DCU 500. Are connected via Ethernet communication lines.
  • TCU Telematics Control Unit
  • DCU Domain Control Unit
  • the TCU 300 which constitutes the in-vehicle network 10 is a unit for the vehicle 1 to communicate with the cloud server 2 via the external network 3, and in the present embodiment, for example, a mobile phone network or Wi-Fi (registered trademark) Wireless communication equipment.
  • an information system DCU 400 constituting the in-vehicle network 10 is connected to an IVI (In-Vehicle Information Containment) 410, which is an information system device or system, by an Ethernet communication line, and provides a driver and other occupants (hereinafter referred to as a user) Perform domain management of information system network that provides information using sound.
  • the IVI includes, for example, a car navigation system, and also provides a function of reproducing video and music, and presenting information about the situation around the vehicle 1 or the state of the vehicle 1 to the user of the vehicle 1 including the driver. Hardware and software to do this.
  • an Advanced Driver-Assistance Systems (ADAS) 510 a Laser Imaging Detection and Ranging (LIDAR) 520, a camera 530, and a DYNAMIC MAP 540 are Ethernet communication lines. It is connected.
  • ADAS Advanced Driver-Assistance Systems
  • LIDAR Laser Imaging Detection and Ranging
  • camera 530 a camera 530
  • DYNAMIC MAP 540 Ethernet communication lines. It is connected.
  • the ADAS 510 is a system that supports driving operation by making decisions regarding execution of lane keeping, automatic parking, or the avoidance operation of other vehicles or obstacles from the inside and outside conditions of the traveling vehicle 1.
  • the camera 530 includes a sensor that detects light in order to capture the situation outside the vehicle, and is an example of the sensing device in the present embodiment.
  • the DYNAMIC MAP 540 receives and controls the dynamic map.
  • the information systems DCU 400 and IVI may be collectively referred to as an information system apparatus hereinafter collectively or any one of them.
  • the driving support system DCU 500 and the ADAS 510, the LIDAR 520, the camera 530 and the DYNAMIC MAP 540 connected to the driving support system DCU 500 are collectively referred to below or any one of them, also referred to as a driving support system device. There is. Then, from these devices, data indicating a command for controlling the vehicle 1 can be included in an Ethernet packet and transmitted for driving assistance based on the traveling route of the vehicle 1 or the condition or state of the vehicle 1 .
  • the Ethernet-CAN gateway 200 which also constitutes the in-vehicle network 10 relays the Ethernet network and the CAN network in the in-vehicle network 10.
  • a mirror ECU 210, a window ECU 220, a brake ECU 230, an accelerator ECU 240, and a steering ECU 250 are connected to the Ethernet-CAN gateway 200 via a CAN bus.
  • the mirror ECU 210 controls the operation of storing and deploying the motorized mirror of the vehicle 1.
  • the window ECU 220 controls the opening and closing operation of the window of the vehicle 1.
  • the brake ECU 230 controls the operation of the main brake of the vehicle 1.
  • the accelerator ECU 240 controls the operation to accelerate the vehicle 1.
  • the steering ECU 250 controls an operation for steering the vehicle 1.
  • the mirror ECU 210, the window ECU 220, the brake ECU 230, the accelerator ECU 240, and the steering ECU 250 are each an example of a control device in the present embodiment, and hereinafter also referred to as a control system ECU.
  • the central gateway 100, the TCU 300, the information system DCU 400, the driving support system DCU 500, and the above-described devices connected to these devices are examples of the first device in the present embodiment in which communication is performed by the Ethernet protocol.
  • the first device also directly or indirectly communicates with the Ethernet-CAN gateway 200 using the Ethernet protocol.
  • the network to which these first devices are connected is hereinafter also referred to as a first network.
  • the mirror ECU 210, the window ECU 220, the brake ECU 230, the accelerator ECU 240, and the steering ECU 250 which are connected to the Ethernet-CAN gateway 200 via the CAN bus and communicate according to the CAN protocol are examples of the second device in the present embodiment. And, a network to which these second devices are connected is hereinafter also referred to as a second network.
  • FIG. 2 shows a data format of Ethernet packets transmitted and received by the first network.
  • the Ethernet packet is composed of an Ethernet header, an IP header, a TCP header or a UDP header, and data in order from the top.
  • the Ethernet header includes a destination MAC address, a source MAC address, and a type.
  • the IP header includes a source IP address and a destination address.
  • the TCP header and the UDP header include a transmission source port number and a destination port number. The parts described so far are parts involved in appropriate transmission and reception from the device transmitting the Ethernet packet to the device receiving the Ethernet packet.
  • the subsequent data field (hereinafter referred to as a data field (of Ethernet packet)) includes, for example, sensing information indicating the sensing result output from the sensor, or data indicating an instruction to the device to be received from the device to be transmitted. .
  • a data field includes, for example, sensing information indicating the sensing result output from the sensor, or data indicating an instruction to the device to be received from the device to be transmitted.
  • Such an Ethernet packet is data of a communication unit of transmission and reception between the first devices, and is an example of first unit data in the present embodiment.
  • FIG. 3 is a diagram showing the format of a CAN frame transmitted and received by the second network.
  • CAN frames There are two types of CAN frames, a standard format and an extension format, and the technology described in the present embodiment can be used in either the standard format or the extension format. The following description will be made using a standard format as an example.
  • the CAN frame of the standard format is, from the top, SOF (Start of Frame), ID, RTR (Remote Transmission Request), control field, data field, CRC (Cyclic Redundancy Check) sequence and CRC delimiter, ACK (ACKnowledgement) slot and ACK Delimiter and EOF (End of Frame) slots are configured.
  • FIG. 3 also shows the length (bit length) of each slot. Also, the upper and lower solid lines indicate the possible states (recessive / dominant) of the CAN bus in each slot. Data corresponding to the content of the data field in the Ethernet packet is included in the data field of the CAN frame. Also, the type of this content is indicated by the slot value of the ID.
  • Such a CAN frame is data of a communication unit of transmission and reception between the second devices, and is an example of second unit data in the present embodiment.
  • the ID is an identifier of the second unit data regarding the type of data in the data field, and is an example of the data identifier in the present embodiment.
  • FIG. 4 is a block diagram of the Ethernet-CAN gateway 200.
  • the Ethernet-CAN gateway 200 includes an Ethernet packet transmission / reception unit 201, an abnormality determination unit 202, an abnormality determination database 203, an Ethernet-CAN conversion unit 204, a result transmission unit 205, and a CAN frame transmission / reception unit 206.
  • the Ethernet-CAN gateway 200 extracts the CAN frame packed in the Ethernet packet received by the Ethernet packet transmission / reception unit 201, and transmits it from the CAN frame transmission / reception unit 206 to the CAN bus to transmit data from the Ethernet network to the CAN network. Forward. Further, the CAN frame transmitting and receiving unit 206 packs the CAN frame received in the Ethernet packet, and transmits the Ethernet frame from the Ethernet packet transmitting and receiving unit 201 to the Ethernet communication line, thereby transferring data from the CAN network to the Ethernet network.
  • FIG. 5 is a diagram showing an outline of processing in which the Ethernet-CAN conversion unit 204 extracts a plurality of CAN frames from one Ethernet packet in the Ethernet-CAN gateway 200 and transmits the extracted CAN frames.
  • the Ethernet packet transmitting / receiving unit 201 receives an Ethernet packet transmitted from either the information device connected to the Ethernet network or the driving support device.
  • the information system device or the driving support system device transmits the data field of the Ethernet packet (first unit data) including the CAN frame (second unit data).
  • n CAN frames are included in the data field of the Ethernet packet. Some of these CAN frames include, in the data field, instructions for devices connected to the CAN network.
  • the n connected CAN frames included in the data field of the Ethernet packet received by the Ethernet packet transmission / reception unit 201 are extracted.
  • the extracted n connected CAN frames are individually sent to the CAN bus by the CAN frame transmission / reception unit 206.
  • the Ethernet-CAN conversion unit 204 extracts a CAN frame from the data field of the Ethernet packet.
  • the abnormality determination database 203 indicates a rule (hereinafter, also referred to as an abnormality determination rule) for determining whether the data transmitted and received by the in-vehicle network 10 is incorrect data, that is, whether it includes abnormal data. .
  • the abnormality determination unit 202 and the result transmission unit 205 will be described later.
  • FIG. 6 is a list of values (parameter values) that can be specified in specifications in the CAN ID of the CAN frame that each control ECU connected to the CAN bus receives according to specifications and the data field of the CAN frame received. It is an example.
  • the specifications referred to here are determined by, for example, the designer of the vehicle 1 or the in-vehicle network 10 in consideration of the operation of the entire CAN network.
  • This list is included in the abnormality determination database 203 and includes a part of information that is the basis of the abnormality determination rule.
  • the mirror ECU 210 receives a CAN frame with a CAN ID of 10.
  • the values of parameters that can be set according to specifications in the data field of the CAN frame whose CAN ID is 10 are 1000 and 1001.
  • the value 1000 means storage of the mirror, and the value 1001 means expansion of the mirror.
  • the window ECU 220 receives a CAN frame with a CAN ID of 20.
  • the values of parameters that can be set according to the specification are 2000 to 2010.
  • the value 2000 means that a window is fully closed
  • the values 2001 to 2009 mean the stepwise open state of this window (the degree of opening of the window)
  • the value 2010 means that the window is fully open.
  • the brake ECU 230 receives a CAN frame with a CAN ID of 30.
  • the values of parameters that can be included in the specification in the data field of the CAN frame whose CAN ID is 30 are 3000 and 3001.
  • the value 3000 means that the brake control is ON, and the value 3001 means that the brake control is OFF.
  • the accelerator ECU 240 receives a CAN frame with a CAN ID of 40.
  • the values of parameters that can be set according to the specification are 4000 to 4200. These values indicate the vehicle speed, for example, the value 4000 means 0 km / h and the value 4200 means 200 km / h.
  • the steering ECU 250 receives a CAN frame with a CAN ID of 50.
  • the value of the parameter that can be included in the specification in the data field of the CAN frame whose CAN ID is 50 is 5000 to 5600. These values indicate the magnitude of the rotation angle of the steering, for example, 5000 indicates the maximum angle in the left direction, 5300 indicates the center (rotation angle is zero), and 5600 indicates the maximum angle in the right direction.
  • FIG. 7 shows an IP address of each device of the information system or the driving support system connected to the Ethernet network and a CAN frame received by the control system ECU that receives an instruction transmitted by each device for control according to specifications
  • this list is data indicating an instruction to be transmitted from the information device or the driving support device to the control device in the in-vehicle network 10, and is an example of a white list in which non-illegal items are arranged.
  • This list is also included in the abnormality determination database 203, and includes a part of information that is the basis of the abnormality determination rule.
  • the IVI 410 has an IP address of 192.168.0.2.
  • CAN IDs of CAN frames transmitted by the IVI 410 for control according to specifications are 10 and 20. That is, referring to the table in FIG. 6, the control system ECU that receives the command transmitted by the IVI 410 according to the specification is the mirror ECU 210 and the window ECU 220.
  • the IVI 410 does not transmit commands to other ECUs (that is, the brake ECU 230, the accelerator ECU 240, and the steering ECU 250) in terms of specifications.
  • the devices to which the IVI 410 gives an instruction for control are limited to the mirror ECU 210 and the window ECU 220.
  • the ADAS 510 has an IP address of 192.168.0.3. Further, CAN IDs of CAN frames transmitted by the ADAS 510 for control in specifications are 30, 40 and 50. That is, referring to the table in FIG. 6, the control system ECU that receives the command transmitted by the ADAS 510 according to the specifications is the brake ECU 230, the accelerator ECU 240, and the steering ECU 250. Here, it is assumed that the ADAS 510 does not transmit instructions to other ECUs (that is, the mirror ECU 210 and the window ECU 220) in terms of specifications.
  • the LIDAR 520 has an IP address of 192.168.0.4
  • the camera 530 has an IP address of 192.168.0.5
  • the DYNAMIC MAP 540 has an IP address of 192.168.0.6. It is assumed that these driving support system devices do not directly transmit a command for control to any of the control system ECUs in terms of specifications. That is, for example, a sensing device such as LIDAR or a camera may send out data of the sensing result to the in-vehicle network 10, but may make a decision and send an instruction to a control device based on the decision. It does not occur on the specifications.
  • the abnormality determination unit 202 determines whether the Ethernet packet received by the Ethernet packet transmission / reception unit 201 includes an abnormality based on the above-described abnormality determination rule.
  • FIG. 8 is a process performed when the abnormality determination unit 202 determines that the Ethernet packet contains an abnormality based on the abnormality determination rule included in the abnormality determination database 203 in the Ethernet-CAN gateway 200 (hereinafter also referred to as an abnormality handling process).
  • Process No. A process 1 is a process of notifying the result transmission unit 205 that the Ethernet packet includes an abnormality, that is, the occurrence of the abnormality.
  • Process No. 2 is a process of discarding the Ethernet packet determined to contain an abnormality.
  • Process No. 3 is a process for blocking communication from the information system or the driving support system of the transmission source.
  • Process No. 4 is a process of stopping the automatic operation mode and notifying the result transmission unit of an instruction to switch to the manual operation mode.
  • the control system ECU that receives the control instruction is the mirror ECU 210 and the window ECU 220 according to the white list in FIG. Therefore, when the CAN ID of the CAN frame included in the Ethernet packet transmitted by the IVI 410 is 10 or 20, the abnormality determination unit 202 determines that the processing is normal, and for example, the predetermined processing at the normal time, for example, CAN of the extracted CAN frame Send to the network. On the other hand, it is impossible for the IVI 410 to transmit a command to the brake ECU 230, the accelerator ECU 240 or the steering ECU 250 in terms of specifications.
  • the abnormality determination unit 202 determines that the Ethernet packet is data including an abnormality, and the processing ID of FIG. Execute error handling processing according to. For example, when the CAN ID of the CAN packet included in the Ethernet packet transmitted by the IVI 410 is “30” which is the CAN ID of a CAN frame that only the brake ECU 230 receives by design, the abnormality determination unit 202 transmits this determination result Specify the device that is the sender of the Ethernet packet from notification to the unit (Process No. 1), discard the Ethernet packet (Process No.
  • the transmission source device is the ADAS 510, LIDAR 520, camera 530, or DYNAMIC MAP 540, similarly to the processing shown in the table shown in FIG. One is executed.
  • This table is also included in the abnormality determination database 203 and includes a part of the information of the abnormality determination rule.
  • FIG. 10 is an example of the processing list when the abnormality determination unit 202 determines that the value of the data field corresponding to the CAN ID is abnormal based on the abnormality determination rule indicated by the information included in the abnormality determination database 203.
  • the abnormality determination unit 202 determines the presence or absence of an abnormality regarding the value of the parameter included in the data field, with a part of the n CAN frames included in the received Ethernet packet being selected in order or randomly.
  • abnormality determination unit 202 determines that the value of the data field is the value shown in the list of FIG. When a value different from that of is determined to be abnormal, the determination result is transmitted to the result transmitting unit (processing No. 1), and the Ethernet packet is discarded (processing No. 2). However, even if the mirror ECU 210 and the window ECU 220 malfunction due to abnormal data, they determine that the possibility of leading to a serious accident is low, and the importance is defined as low.
  • the abnormality determination unit 202 determines that the value of the data field is abnormal when the value different from the value shown in the list of FIG. 6 is set.
  • the determination result is transmitted to the result transmitting unit (processing No. 1) and the abnormality handling processing of discarding the Ethernet packet (processing No. 2) is executed.
  • the abnormality determination unit 202 identifies the device that is the transmission source from the transmission source information included in the Ethernet packet, and shuts off the communication from the identified device (processing No. 3). Execute error handling processing.
  • the brake ECU 230 malfunctions due to abnormal data, the driving support may be impeded and the safety of driving may be impaired, so the importance is defined as medium.
  • the abnormality determination unit 202 determines that the value of the data field is the value shown in the list of FIG. Is determined to be abnormal when different values are set, and the determination result is transmitted to the result transmission unit (processing No. 1), discarding the Ethernet packet (processing No. 2), and included in the Ethernet packet An abnormality handling process of blocking communication (processing No. 3) from the device that is the transmission source identified from the transmission source information is executed. Further, in addition to these processes, the abnormality determination unit 202 stops the automatic operation mode, and notifies the result transmission unit of an instruction to switch to the manual operation mode (process No. 4). If the accelerator ECU 240 or the steering ECU 250 is improperly controlled, there is a high possibility that it will lead to a serious accident, so the importance is defined as high.
  • the processing list of FIG. 10 used in this manner is also included in the abnormality determination database 203, and includes a part of the information of the abnormality determination rule.
  • FIG. 11 is a flowchart of an example of a procedure up to processing performed according to the result of the determination after the Ethernet-CAN gateway 200 in the present embodiment receives an Ethernet packet and determines the presence or absence of an abnormality.
  • the Ethernet packet transmitting / receiving unit 201 receives an Ethernet packet sent by the information device or the driving support device to the Ethernet network.
  • the abnormality determination unit 202 checks a combination of transmission source information included in the Ethernet packet and the CAN ID of each CAN frame included in the data field of the Ethernet packet.
  • the abnormality determination unit 202 compares the combination of the transmission source information and the CAN ID with the information included in the white list in FIG. 7 and determines that the CAN ID included in the data field is a specification. Above, it is checked whether the device to be controlled of the device of the transmission source indicated by the transmission source information is the CAN ID of the CAN frame received.
  • the abnormality determination unit 202 next checks the combination of the CAN ID of each CAN frame included in the Ethernet packet and the value of the data field.
  • the value of this data field is, for example, the value of the received control parameter by the control ECU.
  • the abnormality determination unit 202 compares the combination of the CAN ID and the value of the parameter with the combination of the corresponding CAN ID and the settable value included in the list of FIG. On the other hand, it is checked whether the value of the data field is within the settable value or its range.
  • the Ethernet-CAN conversion unit 204 extracts a CAN frame from the Ethernet packet. Then, the extracted CAN frame is transmitted from the CAN frame transmitting / receiving unit 206 to the CAN bus.
  • the Ethernet-CAN gateway detects an incorrect message by utilizing the characteristics of both protocols.
  • a cyber attack such as an attacker operating the control system ECU illegally by hijacking an apparatus or system such as an ECU connected to the Ethernet network and rewriting the contents of a message used in the in-vehicle network It can detect and prevent serious accidents in advance.
  • the device of the transmission source can be specified and the communication from the device can be shut off, it is possible to prevent the in-vehicle network from being exposed to a security threat or having a heavy load for a long time.
  • Such Ethernet-CAN gateway is an example of the in-vehicle network abnormality detection system in the above embodiment.
  • the abnormality determination unit is configured in the Ethernet-CAN gateway, but this is an aspect of the in-vehicle network abnormality detection system in the present invention, and the location of the abnormality determination unit is Ethernet- It is not limited to the CAN gateway.
  • the abnormality determination unit may be configured as any device that relays data on the in-vehicle network, and may be configured as, for example, an Ethernet switch, a central gateway, or a DCU of each domain.
  • the abnormality determination database uses the white list method. However, when the abnormality determination database matches the list of the abnormality determination database, the abnormality determination database may be used. Also, both whitelist and blacklist databases may be used.
  • the abnormality judgment rule based on the information contained in the abnormality judgment database
  • the result of the determination may be stored as a log.
  • this notification may not be executed.
  • the item of the action corresponding to the abnormality determination database can be switched so that the action can be switched such that the abnormality determination is performed or not performed or the processing other than the abnormality determination is performed for each entry included in the abnormality determination database. You may hold it.
  • the determination result may be constantly saved as a log after the determination by the abnormality determination unit.
  • the abnormality determination unit may notify the determination result to the result transmission unit, and the result transmission unit may transfer the determination result to the TCU, and may always transmit from the TCU to the cloud server.
  • the stop of the automatic operation mode and the switching to the manual operation mode are exemplified as those related to the function of the driving support, but the present invention is not limited thereto.
  • a process of lowering the level of driving assistance being executed in the vehicle may be executed.
  • a part of the driving support function may be disabled such that the collision prevention function and the lane keeping support function are maintained, but the function that can execute the acceleration control such as the lane change support function is stopped.
  • the vehicle may be stopped in a safe place once it is forcibly decelerated by automatic driving.
  • blocking communication of the transmission origin apparatus of the Ethernet packet containing abnormality is not shown concretely in the said embodiment, it is not specifically limited. Only the transmission / reception function of the transmission source device may be invalidated, or the transmission source device may be shut down. Alternatively, when the transmission source device belongs to any domain, the DCU of the domain may be made to discard all the data received from the transmission source device in order to prevent outflow to the other parts of the in-vehicle network. .
  • the user may be notified of the result of the determination.
  • the abnormality determination unit outputs the determination result and notifies the result transmission unit. Then, when the result transmitting unit transmits the notified determination result to the IVI, the user may be notified of the determination result via the IVI.
  • IVI is the information presentation unit of the vehicle in this example, and as another example, the result of the determination may be notified to the user via the dashboard.
  • the determination result may include not only the presence or absence of an abnormality but also information of a transmission source device of abnormal data, a device on the receiving side affected, or a system including these devices.
  • information such as the restricted function may be further notified to the user.
  • V2X Vehicle-to-Everything
  • V2I Vehicle-to-Infrastraction
  • traffic base such as traffic light or road sign It may be sent to the facility.
  • the information included in the abnormality determination database is used to specify the control system ECU that the information system and the operation control system commands the control on the specification, but the present invention is not limited to this. It may be determined from the operation at the time of normal when each function performs network communication based on specification of the control system ECU, for example, specifications of each function. Also, not only based on a predetermined specification but also according to user settings may be specified.
  • the data such as various lists included in the abnormality determination database in the above embodiment is an example and is not limited.
  • the item of the type of data handled in the abnormality determination database may be a stream ID included in an IEEE 1722 frame in Ethernet AVB, a value unique to a device connected to an in-vehicle network, or the like.
  • the driving support system DCU 500 is not directly connected to the CAN bus, but may be connected directly to the CAN bus.
  • the Ethernet-CAN gateway may be included in the driving support system DCU, and the driving support system DCU may convert the Ethernet packet and the CAN frame and perform abnormality determination of the Ethernet packet. Then, a CAN frame of an instruction to the control ECU including an Ethernet packet determined not to contain an abnormality may be transmitted directly from the driving support DCU to the CAN bus.
  • the present invention is not limited to this.
  • the technology according to the present invention can be applied even to a network to which a protocol of Media Oriented Systems Transport (MOST) or FlexRay is applied instead of Ethernet.
  • MOST Media Oriented Systems Transport
  • FlexRay FlexRay
  • the technology according to the present invention can be applied even to a network to which LIN (Local Interconnect Network) is applied instead of the CAN network.
  • LIN Local Interconnect Network
  • each device in the above embodiment is a computer system including a microprocessor and a storage device such as a ROM, a RAM, or a hard disk unit.
  • a computer program is recorded in the storage device.
  • Each device achieves its function by the microprocessor operating according to the computer program.
  • the computer program is configured by combining a plurality of instruction codes indicating instructions to the computer in order to achieve a predetermined function.
  • the in-vehicle network abnormality detection system according to the present invention By arranging the in-vehicle network abnormality detection system according to the present invention on the in-vehicle network, the in-vehicle network is more reliably protected from cyber attacks such as unauthorized access and the like, which contributes to the development of a vehicle with higher security.
  • Ethernet-CAN gateway in-vehicle network anomaly detection system
  • Ethernet packet transceiver first communication unit
  • abnormality determination unit 203
  • abnormality determination database 204
  • Ethernet-CAN conversion unit unit data conversion unit
  • Result transmission unit 206
  • CAN frame transmission / reception unit 210
  • Mirror ECU 220 Window
  • ECU 230 brake ECU 240
  • accelerator ECU 250 steering ECU 300
  • TCU 400 Information system DCU 410 IVI 500 Driving support system

Landscapes

  • Engineering & Computer Science (AREA)
  • Mechanical Engineering (AREA)
  • Transportation (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • Sustainable Development (AREA)
  • Power Engineering (AREA)
  • Sustainable Energy (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Chemical & Material Sciences (AREA)
  • Combustion & Propulsion (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

車載ネットワーク異常検知システム（２００）は、第一プロトコルでの通信単位データである第一単位データを第一ネットワークから受信する第一通信部（２０１）と、異常判定ルールの情報を含む異常判定データベース（２０３）と、異常判定ルールを用いて第一単位データの異常の有無を判定する異常判定部（２０２）と、異常判定部（２０２）が異常を含まないと判定した第一単位データから第二プロトコルでの通信単位データである第二単位データを抽出する単位データ変換部（２０４）と、抽出された第二単位データを第二ネットワークに送出する第二通信部（２０６）とを備え、第一単位データは、送信元である第一機器を示す送信元情報を含み、第二単位データはデータ識別子を含み、異常判定部（２０２）は、送信元情報とデータ識別子との組み合わせを異常判定ルールと比較して第一単位データが異常を含むと判定した場合、所定の異常対応処理を実行する。

Description

車載ネットワーク異常検知システム及び車載ネットワーク異常検知方法
　本発明は、車載ネットワークにおいて利用されるメッセージのうちの不正なメッセージによる異常を検知するものである。
　近年、自動車を構成するシステムには、電子制御ユニット（以下、ＥＣＵ（英文名のＥｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔの略語）と表記）と呼ばれる装置が多数配置されおり、複数のＥＣＵを相互につなぐネットワークは車載ネットワークと呼ばれている。車載ネットワークには多くの規格が規定されており、一般的には、通信速度が最大１Ｍｂｐｓ程度であるＣｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ（以下、ＣＡＮ（登録商標）と表記）が利用されている。
　今後、自動車は、運転支援の高度化を経て完全自動運転の実現に向けて進化していく中で、車両一台に搭載されるＥＣＵの数は増加することが見込まれている。このＥＣＵの数の増加に伴って車載ネットワーク上の通信量も増加するため、ＣＡＮの通信速度では限界がある。そこで、車載ネットワークの高速化を実現するための一手法として、インターネットなどに代表される一般の情報ネットワークとして既に実績のあるＥｔｈｅｒｎｅｔ（登録商標）を車載ネットワークへ適用する動きがある。Ｅｔｈｅｒｎｅｔでは、ＣＡＮの１００倍である１００Ｍｂｐｓの速度で通信が可能であり、また、帯域幅の拡張性及び柔軟性の観点からも、ＣＡＮに置き換わって車載ネットワークに適用される技術として期待されている。
　しかし、Ｅｔｈｅｒｎｅｔを車載ネットワークへ適用した自動車は未だ発展途上であり、安全性及び導入コストの観点からも、ＣＡＮからＥｔｈｅｒｎｅｔへの完全な移行は現時点では困難である。
　そこで、ＣＡＮからＥｔｈｅｒｎｅｔへの移行は段階的に進む、つまり、ＣＡＮのネットワークとＥｔｈｅｒｎｅｔのネットワークとが一台の車両の車載ネットワークに混在する状況を経た後に、完全にＥｔｈｅｒｎｅｔに置き換わると考えられている。より高度な運転支援、及びその発展形ともいえる完全自動運転においては、車載ネットワークで取り扱うデータ量は膨大であり、その中で各種センサのデータ及び映像データなどのこの大量のデータを同時に並列で処理できなければならない。そこで車載ネットワークの中でも、カメラ、ＬＩＤＡＲといったセンサからのセンシング情報、又はダイナミックマップの情報に代表される、膨大な情報を処理する必要がある情報系、安全系、運転支援（自動運転を含む、以下同じ）系に分類される車載機器が接続される部分からＥｔｈｅｒｎｅｔに置き換わり、次いで、安全性と信頼性の観点で、自動車において最も重要である、車両の走行、駆動をつかさどる制御系に分類される機器が接続される部分がＥｔｈｅｒｎｅｔに置き換わると想定される。
　このような、ＣＡＮのネットワークとＥｔｈｅｒｎｅｔのネットワークとが混在する環境では、プロトコルの異なる複数のネットワーク間でメッセージを中継するためのゲートウェイが必要となる。
　例えば、特許文献１では、ＣＡＮとは異なる他のプロトコルに従って通信を行う場合において、ＣＡＮプロトコルと他のプロトコルとの間でプロトコル変換を行い、メッセージを中継するゲートウェイについて開示している。
　また、完全自動運転の実現に向けては、自動車が最新の地図情報やリアルタイムに変化する周囲の情報を取得するために、クラウドサービスの情報を利用することが必要不可欠であり、外部ネットワークとの接続が必須である。そのため、常に、外部ネットワークからの不正アクセスなどのセキュリティの脅威にさらされることになるため、セキュリティ対策を行う必要がある。
　例えば、特許文献２では、車載ネットワークに不正なメッセージを侵入させて誤動作させる攻撃を検知し防御する方法について開示している。ＣＡＮのみを利用した車載ネットワークでは、含むデータの種類ごとに規定された周期的に送信されるメッセージが主に利用される。この点を利用して、規定された周期とは異なる周期でメッセージが送信された場合には不正であると判断し、不正の検出及び不正なデータ転送の防止を図っている。
特開２０１６－１１１４７７号公報 国際公開第２０１４／１１５４５５号
　しかしながら、上記のようなより高度な運転支援に対応する車両の車載ネットワークでの異常検知では、車載ネットワークをサイバー攻撃の脅威から守るために、特許文献１又は２に開示される技術以上により確実に異常を検知することが求められる。
　本発明は、異常をより確実に検知して車載ネットワークをサイバー攻撃の脅威から守る車載ネットワーク異常検知システム等を提供する。
　本発明の一態様に係る車載ネットワーク異常検知システムは、第一プロトコルで通信する複数の第一機器が接続される第一ネットワーク及び前記第一プロトコルと異なる第二プロトコルで通信する複数の第二機器が接続される第二ネットワークを含む車載ネットワーク上に配置され、前記車載ネットワークで通信されるデータの異常の有無を判定する車載ネットワーク異常検知システムであって、前記複数の第一機器が送信する前記第一プロトコルでの通信単位データである第一単位データを前記第一ネットワークから受信する第一通信部と、前記第一単位データの異常の有無の判定に用いられる異常判定ルールの情報を含む異常判定データベースと、前記異常判定ルールに基づいて前記第一単位データが異常を含むか否か判定する異常判定部と、前記異常判定部が前記第一単位データが異常を含まないと判定した場合、前記第一単位データから、前記第一単位データのデータフィールドに含まれる前記第二プロトコルでの通信単位データである第二単位データを抽出する単位データ変換部と、抽出された前記第二単位データを前記第二ネットワークに送出する第二通信部とを備え、前記第一単位データは、前記複数の第一機器のうち、当該第一単位データの送信元である第一機器を示す送信元情報を含み、前記第一単位データに含まれる前記第二単位データは、当該第二単位データの識別子であるデータ識別子を含み、前記異常判定部は、前記送信元情報と前記データ識別子との組み合わせを前記異常判定ルールと比較して前記判定を行い、前記第一単位データが異常を含むと判定した場合、所定の異常対応処理を実行する。
　また、本発明の一態様に係る車載ネットワーク異常検知方法は、第一プロトコルで通信する複数の第一機器が接続される第一ネットワーク及び前記第一プロトコルと異なる第二プロトコルで通信する複数の第二機器が接続される第二ネットワークを含む車載ネットワーク上に配置され、前記車載ネットワークで通信されるデータの異常の有無を判定する車載ネットワーク異常検知システムにおいて実行される異常検知方法であって、前記複数の第一機器が送信する前記第一プロトコルでの通信単位データである第一単位データを前記第一ネットワークから受信し、前記第一単位データの異常の有無の判定に用いられる異常判定ルールを用いて前記第一単位データが異常を含むか否か判定し、前記判定の結果、前記第一単位データが異常を含まないと判定した場合、前記第一単位データから、前記第一単位データのデータフィールドに含まれる前記第二プロトコルでの通信単位データである第二単位データを抽出し、抽出された前記第二単位データを前記第二ネットワークに送出し、前記第一単位データは、前記複数の第一機器のうち、当該第一単位データの送信元である第一機器を示す送信元情報を含み、前記第一単位データに含まれる前記第二単位データは、当該第二単位データの識別子であるデータ識別子を含み、前記異常を含むか否かの判定は、前記送信元情報と前記データ識別子との組み合わせを前記異常判定ルールと比較して行う。
　なお、これらの包括的または具体的な態様は、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。
　本発明の車載ネットワーク異常検知システム及び車載ネットワーク異常検知方法は、異常をより確実に検知して車載ネットワークをサイバー攻撃の脅威から守ることができる。
図１は、実施の形態における車載ネットワーク全体の構成図である。 図２は、実施の形態におけるＥｔｈｅｒｎｅｔパケットのフォーマットを示す図である。 図３は、実施の形態におけるＣＡＮフレームのフォーマットを示す図である。 図４は、実施の形態におけるＥｔｈｅｒｎｅｔ－ＣＡＮゲートウェイの構成図である。 図５は、実施の形態におけるＥｔｈｅｒｎｅｔ－ＣＡＮ変換部による処理の概要を示す図である。 図６は、実施の形態における各ＥＣＵが受信するＣＡＮフレームのＣＡＮ　ＩＤ及びデータフィールドにおいて設定可能な値のリストの一例を示す図である。 図７は、実施の形態における情報系及び運転支援系の機器が命令を出す制御系ＥＣＵが受信するＣＡＮフレームのホワイトリストの一例を示す図である。 図８は、実施の形態における異常判定部が行う異常対応処理のリストの一例を示す図である。 図９は、実施の形態における異常判定部により送信元機器とＣＡＮ　ＩＤの値との組み合わせに基づいて異常があると判定された場合の処理リストの一例を示す図である。 図１０は、実施の形態における異常判定部により、ＣＡＮ　ＩＤに紐づけられたデータフィールドの値に基づいて異常があると判定された場合の処理リストを示す図である。 図１１は、実施の形態におけるＥｔｈｅｒｎｅｔ－ＣＡＮゲートウェイの処理フローチャートである。
　（本発明の基礎となった知見）
　本発明者は、「背景技術」の欄において記載した車載ネットワークの異常検出のための技術に関し、以下の問題が生じることを見出した。
　特許文献１は、異なるプロトコルが用いられるネットワーク間のメッセージを中継するゲートウェイにおいて、機器との通信バスの電圧、及び当該機器の通信周期の両方又は一方を監視し、監視の結果が異常である場合、その機器の正当性を判断する手法を開示する。
　また、特許文献２は、不正なデータを侵入させて誤動作させる攻撃を検知し防御を目的として、ネットワークの周期情報に基づく不正の検出及び不正なデータ転送の防止の手法を開示する。
　これらのネットワークとは、単一のプロトコルを利用した車載ネットワークが主に想定されている。この車載ネットワークでは、メッセージが周期的に送信されるため、規定された周期とは異なる周期でメッセージを受信した場合に不正が発生したと判断され、不正の検出及び不正なデータ転送の防止などの、攻撃に対する防御動作が行われている。
　しかし、この手法では、通信周期に基づいて車載ネットワーク上の異常検出ができたとしても、不正なメッセージの送信元を断つことができず、異常が発生し続け得る。例えば車載ネットワークを構成する機器の計算資源が異常を含むデータの処理に追われると、運転支援に必要な大量のデータの処理が間に合わない事態が発生するおそれがある。このような事態の発生は、車両の安全上重大な問題である。
　このような問題を解決するために、本発明の一態様に係る車載ネットワーク異常検知システムは、第一プロトコルで通信する複数の第一機器が接続される第一ネットワーク及び前記第一プロトコルと異なる第二プロトコルで通信する複数の第二機器が接続される第二ネットワークを含む車載ネットワーク上に配置され、前記車載ネットワークで通信されるデータの異常の有無を判定する車載ネットワーク異常検知システムであって、前記複数の第一機器が送信する前記第一プロトコルでの通信単位データである第一単位データを前記第一ネットワークから受信する第一通信部と、前記第一単位データの異常の有無の判定に用いられる異常判定ルールの情報を含む異常判定データベースと、前記異常判定ルールに基づいて前記第一単位データが異常を含むか否か判定する異常判定部と、前記異常判定部が前記第一単位データが異常を含まないと判定した場合、前記第一単位データから、前記第一単位データのデータフィールドに含まれる前記第二プロトコルでの通信単位データである第二単位データを抽出する単位データ変換部と、抽出された前記第二単位データを前記第二ネットワークに送出する第二通信部とを備え、前記第一単位データは、前記複数の第一機器のうち、当該第一単位データの送信元である第一機器を示す送信元情報を含み、前記第一単位データに含まれる前記第二単位データは、当該第二単位データの識別子であるデータ識別子を含み、前記異常判定部は、前記送信元情報と前記データ識別子との組み合わせを前記異常判定ルールと比較して前記判定を行い、前記第一単位データが異常を含むと判定した場合、所定の異常対応処理を実行する。
　これにより、車載ネットワーク上のより確実な異常検知が可能になる。
　例えば、前記複数の第一機器は、前記車載ネットワークを搭載する車両の走行経路又は前記車両の状況もしくは状態に基づく当該車両の運転支援のために、前記複数の第二機器のいずれかによる制御のための命令を示す前記第二単位データを前記第一単位データに含めて送出する機器を含み、前記異常判定ルールは、前記複数の第一機器の各々についての、仕様上、前記第一単位データに含めて送出し得る、前記命令を示す前記第二単位データが含む前記データ識別子の組み合わせに関するルールであってもよい。
　また例えば、前記複数の第二機器は、前記第二通信部を経由して受信した、前記複数の第一機器のいずれかから送出された命令に従って、前記車載ネットワークを搭載する車両の運転支援のための制御を実行する制御装置を含み、前記複数の第一機器は前記車両のセンシング機器を含み、前記異常判定ルールは、前記センシング機器を示す前記送信元情報と、前記制御装置が受信する前記第二単位データが含む前記データ識別子との組み合わせは異常であると前記異常判定部に判定させるためのルールを含んでもよい。
　これにより、仕様上は通信を行わない機器間の通信の発生が抑制される。その結果、車載ネットワーク上のより確実な異常検知が可能になる。
　例えば、前記複数の第二機器は、前記第二通信部を経由して受信した、前記複数の第一機器のいずれかから送出された命令に従って、前記車載ネットワークを搭載する車両の運転支援のための制御を実行する制御装置を含み、前記第一単位データに含まれる前記第二単位データは、前記運転支援のための制御のパラメータをさらに含み、前記異常判定ルールは、前記複数の第二機器の各々について、仕様上受信する前記第二単位データが含む前記データ識別子と、前記パラメータの値との組み合わせに関するルールであってもよい。
　これにより、車載ネットワーク上のより確実な異常検知が可能になる。
　例えば、前記命令は、前記車両の加速、制動及び操舵のいずれかに関する命令であり、前記パラメータは、前記車両の加速、制動及び操舵のいずれかの制御に関するパラメータであってもよい。
　これにより、より大きな事故につながる、車両の制御系の機器への攻撃の影響を防ぐことができる。
　例えば、前記異常判定ルールは、前記組み合わせのうち仕様上異常でない組み合わせを示し、前記異常判定部は前記判定において、前記組み合わせが前記異常判定ルールに示されている場合に、前記第一単位データは異常を含まないと判定してもよい。
　これにより、仕様上は通信を行わない機器間では、送信されたデータは転送されない。その結果、車両上での情報処理によって提供される機能を犠牲にすることなく、車載ネットワークのサイバー攻撃に対する安全性を高めることができる。
　例えば、前記異常判定部は、前記所定の異常対応処理として、異常を含むと判定された前記第一単位データを破棄してもよい。また例えば、前記異常判定部は、前記所定の異常対応処理として、異常を含むと判定された前記第一単位データの送信元である第一機器を前記送信元情報に基づいて特定し、かつ、前記車載ネットワークを搭載する車両の運転支援のレベルを下げてもよい。
　これにより、車載ネットワーク上での異常の影響、特に運転支援のレベルを下げることで制御系への攻撃の影響を防ぐことができる。また、速やかに運転者が退避のための運転を実行することもでき、交通事故の可能性を抑えることができる。
　例えば、前記異常判定部は、前記所定の異常対応処理として、異常を含むと判定された前記第一単位データの送信元である第一機器を前記送信元情報に基づいて特定し、かつ、特定した前記第一機器の前記車載ネットワークにおける通信を遮断してもよい。
　これにより、異常の原因は車載ネットワークから排除され、安全な運転の継続が可能になる。
　例えば、前記異常判定部は、前記所定の異常対応処理として前記判定の結果を出力し、前記車載ネットワークを搭載する車両がさらに備える、当該車両のユーザに情報を提示する情報提示部に、前記異常判定部が出力した前記判定の結果を送信することで、異常の発生を前記ユーザに通知する結果送信部を備えてもよい。また例えば、前記異常判定部は、前記所定の異常対応処理として前記判定の結果を出力し、前記異常判定部が出力した前記判定の結果を、前記車載ネットワークを搭載する車両の外部の通信ネットワークへ送信する結果送信部を備えてもよい。これにより、車載ネットワークで異常が発生したことの情報を、車両の運転者等のユーザが利用することができる。または、異常が発生した車両の周辺を走行する他の車両、路側機、又はＳＯＣ（Ｓｅｃｕｒｉｔｙ　Ｏｐｅｒａｔｉｏｎ　Ｃｅｎｔｅｒ）で利用されてもよい。これにより、異常の発生した現場周辺で必要に応じてサイバー攻撃に対する対策を打つことができる。また、この情報を車両又は車両部品のメーカー等が利用して、同種の攻撃を未然に防ぐよう製品の改良又は開発に役立ててもよい。
　また、本発明の一態様に係る車載ネットワーク異常検知方法は、第一プロトコルで通信する複数の第一機器が接続される第一ネットワーク及び前記第一プロトコルと異なる第二プロトコルで通信する複数の第二機器が接続される第二ネットワークを含む車載ネットワーク上に配置され、前記車載ネットワークで通信されるデータの異常の有無を判定する車載ネットワーク異常検知システムにおいて実行される異常検知方法であって、前記複数の第一機器が送信する前記第一プロトコルでの通信単位データである第一単位データを前記第一ネットワークから受信し、前記第一単位データの異常の有無の判定に用いられる異常判定ルールを用いて前記第一単位データが異常を含むか否か判定し、前記判定の結果、前記第一単位データが異常を含まないと判定した場合、前記第一単位データから、前記第一単位データのデータフィールドに含まれる前記第二プロトコルでの通信単位データである第二単位データを抽出し、抽出された前記第二単位データを前記第二ネットワークに送出し、前記第一単位データは、前記複数の第一機器のうち、当該第一単位データの送信元である第一機器を示す送信元情報を含み、前記第一単位データに含まれる前記第二単位データは、当該第二単位データの識別子であるデータ識別子を含み、前記異常を含むか否かの判定は、前記送信元情報と前記データ識別子との組み合わせを前記異常判定ルールと比較して行う。
　なお、これらの包括的または具体的な態様は、集積回路、コンピュータプログラム又はコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。
　以下、実施の形態について、図面を参照しながら具体的に説明する。以下で説明する実施の形態は、包括的または具体的な例を示すものである。実施の形態で示される数値、形状、材料、構成要素、構成要素の配置、位置関係及び接続形態、ステップ、ステップの順序などは一例であり、本発明を限定する趣旨ではない。また、実施の形態における構成要素のうち、独立請求項に記載されていない構成要素については、任意に含み得る構成要素として説明される。
　（実施の形態）
　［システム構成］
　図１は、実施の形態における車載ネットワークの全体構成図である。車両１に搭載される車載ネットワーク１０は、Ｅｔｈｅｒｎｅｔのプロトコルに従って構築されている一重の実線で示されるネットワークと、ＣＡＮのプロトコルに従って構築されている二重の実線で示されるネットワークで構成される。本実施の形態において、Ｅｔｈｅｒｎｅｔのプロトコルは第一のプロトコルの例であり、ＣＡＮのプロトコルは第二のプロトコルの例である。
　車載ネットワーク１０を構成するセントラルゲートウェイ１００には、Ｅｔｈｅｒｎｅｔ－ＣＡＮゲートウェイ２００と、テレマティクスコントロールユニット（Ｔｅｌｅｍａｔｉｃｓ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｕｎｉｔ、以下ＴＣＵ）３００と、情報系ＤＣＵ（ＤＣＵ：Ｄｏｍａｉｎ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）４００と、運転支援系ＤＣＵ５００が、Ｅｔｈｅｒｎｅｔの通信線で接続される。
　同じく車載ネットワーク１０を構成するＴＣＵ３００は、車両１が外部ネットワーク３を経由してクラウドサーバ２と通信するためユニットであり、本実施の形態では、例えば携帯電話網又はＷｉ－Ｆｉ（登録商標）などの無線通信のための機器である。
　同じく車載ネットワーク１０を構成する情報系ＤＣＵ４００は、情報系の機器又はシステムであるＩＶＩ（Ｉｎ－Ｖｅｈｉｃｌｅ　Ｉｎｆｏｔａｉｎｍｅｎｔ）４１０とＥｔｈｅｒｎｅｔの通信線で接続され、運転者その他の乗員（以下、ユーザ）に映像及び音を用いて情報を提供する情報系ネットワークのドメイン管理を行う。ＩＶＩには、例えばカーナビゲーションシステムが含まれ、その他、映像及び音楽の再生機能、車両１の周囲の状況又は車両１の状態に関する情報を、運転者を含む車両１のユーザに提示する機能を提供するためのハードウェア及びソフトウェアが含まれ得る。
　同じく車載ネットワーク１０を構成する運転支援系ＤＣＵ５００には、ＡＤＡＳ（Ａｄｖａｎｃｅｄ　Ｄｒｉｖｅｒ－Ａｓｓｉｓｔａｎｃｅ　Ｓｙｓｔｅｍｓ）５１０と、ＬＩＤＡＲ（Ｌａｓｅｒ　Ｉｍａｇｉｎｇ　Ｄｅｔｅｃｔｉｏｎ　ａｎｄ　Ｒａｎｇｉｎｇ）５２０と、カメラ５３０と、ＤＹＮＡＭＩＣ　ＭＡＰ５４０とが、Ｅｔｈｅｒｎｅｔの通信線で接続されている。
　ＡＤＡＳ５１０は、走行する車両１の内外の状況から、車線維持、自動駐車、又は他の交通体又は障害物の回避動作の実行に関する判断をして運転操作を支援するシステムである。
　ＬＩＤＡＲ５２０は車外の障害物を感知するため、カメラ５３０は車外の状況を撮影するために光検出をするセンサを備え、それぞれ本実施の形態におけるセンシング機器の例である。
　ＤＹＮＡＭＩＣ　ＭＡＰ５４０は、ダイナミックマップの受信や制御をする。
　なお、情報系ＤＣＵ４００及びＩＶＩを、以下ではまとめて、又はこれらのうち任意のいずれかを指して情報系機器ともいう場合がある。また、運転支援系ＤＣＵ５００、並びに運転支援系ＤＣＵ５００に接続されるＡＤＡＳ５１０、ＬＩＤＡＲ５２０、カメラ５３０及びＤＹＮＡＭＩＣ　ＭＡＰ５４０を、以下ではまとめて、又はこれらのうち任意のいずれかを指して運転支援系機器ともいう場合がある。そして、これらの機器からは、車両１の走行経路又は車両１の状況もしくは状態に基づく運転支援のために、車両１の制御のための命令を示すデータをＥｔｈｅｒｎｅｔパケットに含めて送信することができる。
　同じく車載ネットワーク１０を構成するＥｔｈｅｒｎｅｔ－ＣＡＮゲートウェイ２００は、車載ネットワーク１０においてＥｔｈｅｒｎｅｔのネットワークとＣＡＮのネットワークとを中継する。Ｅｔｈｅｒｎｅｔ－ＣＡＮゲートウェイ２００には、ミラーＥＣＵ２１０と、ウィンドウＥＣＵ２２０と、ブレーキＥＣＵ２３０と、アクセルＥＣＵ２４０と、ステアリングＥＣＵ２５０とがＣＡＮバスで接続される。
　ミラーＥＣＵ２１０は、車両１の電動ミラーの格納及び展開の動作を制御する。ウィンドウＥＣＵ２２０は、車両１のウィンドウの開閉の動作を制御する。ブレーキＥＣＵ２３０は、車両１の主ブレーキの動作を制御する。アクセルＥＣＵ２４０は、車両１の加速のため動作を制御する。ステアリングＥＣＵ２５０は、車両１の操舵のための動作を制御する。ミラーＥＣＵ２１０、ウィンドウＥＣＵ２２０、ブレーキＥＣＵ２３０、アクセルＥＣＵ２４０及びステアリングＥＣＵ２５０は、それぞれ本実施の形態における制御機器の例であり、以下では制御系ＥＣＵともいう。
　なお、セントラルゲートウェイ１００、ＴＣＵ３００、情報系ＤＣＵ４００、運転支援系ＤＣＵ５００及びこれらの機器に接続される上述の各機器はＥｔｈｅｒｎｅｔプロトコルで通信する、本実施の形態における第一機器の例である。第一機器は、Ｅｔｈｅｒｎｅｔ－ＣＡＮゲートウェイ２００とも、直接又は間接にＥｔｈｅｒｎｅｔのプロトコルで通信する。そして、これらの第一機器が接続されるネットワークを、以下では第一ネットワークともいう。
　また、Ｅｔｈｅｒｎｅｔ－ＣＡＮゲートウェイ２００とＣＡＮバスで接続されてＣＡＮのプロトコルで通信するミラーＥＣＵ２１０、ウィンドウＥＣＵ２２０、ブレーキＥＣＵ２３０、アクセルＥＣＵ２４０及びステアリングＥＣＵ２５０は、本実施の形態における第二機器の例である。そして、これらの第二機器が接続されるネットワークを、以下では第二ネットワークともいう。
　図２は、第一ネットワークで送受信されるＥｔｈｅｒｎｅｔパケットのデータフォーマットである。Ｅｔｈｅｒｎｅｔパケットは先頭から順に、Ｅｔｈｅｒｎｅｔヘッダと、ＩＰヘッダと、ＴＣＰヘッダ又はＵＤＰヘッダと、データから構成される。Ｅｔｈｅｒｎｅｔヘッダは、あて先ＭＡＣアドレスと、送信元ＭＡＣアドレスと、タイプを含む。ＩＰヘッダは、送信元ＩＰアドレスと、あて先アドレスを含む。ＴＣＰヘッダ、ＵＤＰヘッダは、送信元ポート番号と、あて先ポート番号を含む。ここまでに述べた部分はＥｔｈｅｒｎｅｔパケットを送信する機器から受信する機器までの適切な送受信に関わる部分である。続くデータのフィールド（以下、（Ｅｔｈｅｒｎｅｔパケットの）データフィールドという）には、例えばセンサが出力した、センシングの結果を示すセンシング情報、又は送信する機器から受信する機器に対する命令等を示すデータが含まれる。このようなＥｔｈｅｒｎｅｔパケットは、第一機器間の送受信の通信単位のデータであり、本実施の形態における第一単位データの例である。
　図３は、第二ネットワークで送受信されるＣＡＮフレームのフォーマットを示す図である。ＣＡＮフレームには、標準フォーマット及び拡張フォーマットの２種類が存在し、本実施の形態は示す技術は、標準フォーマットでも拡張フォーマットでも利用可能である。以下では標準フォーマットを例に用いて説明する。
　標準フォーマットのＣＡＮフレームは先頭から順に、ＳＯＦ（Ｓｔａｒｔ　ｏｆ　Ｆｒａｍｅ）、ＩＤ、ＲＴＲ（Ｒｅｍｏｔｅ　Ｔｒａｎｓｍｉｓｓｉｏｎ　Ｒｅｑｕｅｓｔ）、コントロールフィールド、データフィールド、ＣＲＣ（Ｃｙｃｌｉｃ　Ｒｅｄｕｎｄｅｎｃｙ　Ｃｈｅｃｋ）シーケンス及びＣＲＣデリミタ、ＡＣＫ（ＡＣＫｎｏｗｌｅｄｇｅｍｅｎｔ）スロット及びＡＣＫデリミタ、並びにＥＯＦ（Ｅｎｄ　ｏｆ　Ｆｒａｍｅ）のスロットで構成される。図３には、各スロットの長さ（ビット長）も示している。また、上下の実線は、各スロットでＣＡＮバスがとり得る状態（リセッシブ／ドミナント）を示している。Ｅｔｈｅｒｎｅｔパケットにおけるデータフィールドの内容に相当するデータは、ＣＡＮフレームのデータフィールドに含まれる。また、この内容の種類は、ＩＤのスロットの値で示される。このようなＣＡＮフレームは、第二機器間の送受信の通信単位のデータであり、本実施の形態における第二単位データの例である。また、ＩＤは、データフィールドのデータの種類に関しての第二単位データの識別子であり、本実施の形態におけるデータ識別子の例である。
　図４は、Ｅｔｈｅｒｎｅｔ－ＣＡＮゲートウェイ２００の構成図である。Ｅｔｈｅｒｎｅｔ－ＣＡＮゲートウェイ２００は、Ｅｔｈｅｒｎｅｔパケット送受信部２０１と、異常判定部２０２と、異常判定データベース２０３と、Ｅｔｈｅｒｎｅｔ－ＣＡＮ変換部２０４と、結果送信部２０５と、ＣＡＮフレーム送受信部２０６とを備える。
　Ｅｔｈｅｒｎｅｔ－ＣＡＮゲートウェイ２００は、Ｅｔｈｅｒｎｅｔパケット送受信部２０１が受信したＥｔｈｅｒｎｅｔパケットにパッキングされたＣＡＮフレームを抽出し、ＣＡＮフレーム送受信部２０６からＣＡＮバスへ送出することでＥｔｈｅｒｎｅｔのネットワークからＣＡＮのネットワークへデータを転送する。また、ＣＡＮフレーム送受信部２０６が受信したＣＡＮフレームをＥｔｈｅｒｎｅｔパケットにパッキングして、Ｅｔｈｅｒｎｅｔパケット送受信部２０１からＥｔｈｅｒｎｅｔの通信線へ送出することでＣＡＮのネットワークからＥｔｈｅｒｎｅｔのネットワークへデータを転送する。
　図５は、Ｅｔｈｅｒｎｅｔ－ＣＡＮゲートウェイ２００において、Ｅｔｈｅｒｎｅｔ－ＣＡＮ変換部２０４が１つのＥｔｈｅｒｎｅｔパケットから複数のＣＡＮフレームを抽出し、抽出したＣＡＮフレームを送出する処理の概要を示す図である。
　上述したように、Ｅｔｈｅｒｎｅｔ－ＣＡＮゲートウェイ２００では、Ｅｔｈｅｒｎｅｔネットワークに接続される情報系機器又は運転支援系機器のいずれから送信されたＥｔｈｅｒｎｅｔパケットが、Ｅｔｈｅｒｎｅｔパケット送受信部２０１によって受信される。情報系機器又は運転支援系機器は、このＥｔｈｅｒｎｅｔパケット（第一単位データ）のデータフィールドにＣＡＮフレーム（第二単位データ）を含めて送信している。図５の例では、ｎ個のＣＡＮフレームがＥｔｈｅｒｎｅｔパケットのデータフィールドに含められている。これらのＣＡＮフレームの中には、ＣＡＮネットワークに接続される機器に対する命令をデータフィールドに含むものもある。Ｅｔｈｅｒｎｅｔパケット送受信部２０１によって受信されたＥｔｈｅｒｎｅｔパケットのデータフィールドに含まれるｎ個の連結されたＣＡＮフレームが抽出される。抽出されたｎ個の連結されたＣＡＮフレームは、ＣＡＮフレーム送受信部２０６によって個別にＣＡＮバスへ送出される。これらの一連の処理のうち、ＥｔｈｅｒｎｅｔパケットのデータフィールドからＣＡＮフレームを抽出するのがＥｔｈｅｒｎｅｔ－ＣＡＮ変換部２０４である。
　異常判定データベース２０３は、車載ネットワーク１０で送受信されるデータが不正なデータであるか否か、つまり異常なデータを含むか否かを判定するためのルール（以下、異常判定ルールともいう）を示す。
　異常判定部２０２及び結果送信部２０５については後述する。
　図６は、ＣＡＮバスに接続された各制御系ＥＣＵが仕様上受信するＣＡＮフレームのＣＡＮ　ＩＤ、及び受信するＣＡＮフレームのデータフィールドに、仕様上、設定可能な値（パラメータの値）のリストの一例である。ここでいう仕様とは、例えば車両１又は車載ネットワーク１０の設計者によって、ＣＡＮネットワーク全体の動作を考慮して決定される。このリストは異常判定データベース２０３に含まれ、異常判定ルールの基である情報の一部を含む。
　この例では、ミラーＥＣＵ２１０はＣＡＮ　ＩＤが１０のＣＡＮフレームを受信する。ＣＡＮ　ＩＤが１０のＣＡＮフレームのデータフィールドにおいて仕様上設定可能なパラメータの値は、１０００及び１００１である。値１０００はミラーの格納を意味し、値１００１は、ミラーの展開を意味する。
　ウィンドウＥＣＵ２２０は、ＣＡＮ　ＩＤが２０のＣＡＮフレームを受信する。ＣＡＮ　ＩＤが２０のＣＡＮフレームのデータフィールドにおいて仕様上設定可能なパラメータの値は、２０００～２０１０である。値２０００は、ある窓の全閉を意味し、値２００１～２００９は、この窓の段階的な開状態（ウィンドウの開き具合の大小）、値２０１０は、この窓の全開を意味する。
　ブレーキＥＣＵ２３０は、ＣＡＮ　ＩＤが３０のＣＡＮフレームを受信する。ＣＡＮ　ＩＤが３０のＣＡＮフレームのデータフィールドに仕様上含まれ得るパラメータの値は、３０００及び３００１である。値３０００はブレーキ制御ＯＮを意味し、値３００１はブレーキ制御ＯＦＦを意味する。
　アクセルＥＣＵ２４０は、ＣＡＮ　ＩＤが４０のＣＡＮフレームを受信する。ＣＡＮ　ＩＤが３０のＣＡＮフレームのデータフィールドにおいて仕様上設定可能なパラメータの値は、４０００～４２００である。これらの値は車速を示しており、例えば値４０００は０ｋｍ／ｈを意味し、値４２００は２００ｋｍ／ｈを意味する。
　ステアリングＥＣＵ２５０は、ＣＡＮ　ＩＤが５０のＣＡＮフレームを受信する。ＣＡＮ　ＩＤが５０のＣＡＮフレームのデータフィールドに仕様上含まれ得るパラメータの値は、５０００～５６００である。これらの値はステアリングの回転角の大きさを示しており、例えば５０００は左方向に最大角、５３００はセンター（回転角はゼロ）、５６００は右方向に最大角を意味する。
　図７は、Ｅｔｈｅｒｎｅｔネットワークに接続された情報系又は運転支援系の各機器のＩＰアドレスと、これらの各機器が仕様上制御のために送信する命令を受信する制御系ＥＣＵが受信するＣＡＮフレームのＣＡＮ　ＩＤとの組み合わせを示したリストの一例である。つまりこのリストは、車載ネットワーク１０において、情報系機器又は運転支援系機器から制御系機器に送信される命令を示すデータであって不正でないものを並べたホワイトリストの一例である。このリストもまた異常判定データベース２０３に含まれ、異常判定ルールの基である情報の一部を含む。
　このリストによれば、例えばＩＶＩ４１０は、ＩＰアドレスが１９２．１６８．０．２である。また、ＩＶＩ４１０が仕様上制御のために送信するＣＡＮフレームのＣＡＮ　ＩＤは、１０及び２０である。つまり、図６の表とあわせて参照すると、ＩＶＩ４１０が仕様上送信する命令を受信する制御系ＥＣＵは、ミラーＥＣＵ２１０及びウィンドウＥＣＵ２２０である。ここで、ＩＶＩ４１０が、その他のＥＣＵ（つまり、ブレーキＥＣＵ２３０、アクセルＥＣＵ２４０、ステアリングＥＣＵ２５０）に命令を送信することは、仕様上無いものとする。別の表現をすると、車載ネットワーク１０の仕様によれば、ＩＶＩ４１０が制御のための命令を与える対象の機器は、ミラーＥＣＵ２１０及びウィンドウＥＣＵ２２０に限定されている。
　ＡＤＡＳ５１０は、ＩＰアドレスが１９２．１６８．０．３である。また、ＡＤＡＳ５１０が仕様上制御のために送信するＣＡＮフレームのＣＡＮ　ＩＤは、３０、４０及び５０である。つまり、図６の表とあわせて参照すると、ＡＤＡＳ５１０が仕様上送信する命令を受信する制御系ＥＣＵは、ブレーキＥＣＵ２３０、アクセルＥＣＵ２４０、及びステアリングＥＣＵ２５０である。ここで、ＡＤＡＳ５１０が、その他のＥＣＵ（つまり、ミラーＥＣＵ２１０及びウィンドウＥＣＵ２２０）に命令を送信することは、仕様上無いものとする。
　ＬＩＤＡＲ５２０は、ＩＰアドレスが１９２．１６８．０．４であり、カメラ５３０は、ＩＰアドレスが１９２．１６８．０．５であり、ＤＹＮＡＭＩＣ　ＭＡＰ５４０は、ＩＰアドレスが１９２．１６８．０．６である。これらの運転支援系の機器は、制御系ＥＣＵのいずれにも制御のための命令を直接送信することは仕様上無いものとする。つまり、例えばＬＩＤＡＲ又はカメラのようなセンシング機器は、車載ネットワーク１０にセンシングの結果のデータを送出することはあるが、何らかの判断をしてその判断に基づいて制御系機器に命令を送出することは仕様上発生しないとするものである。
　異常判定部２０２は、Ｅｔｈｅｒｎｅｔパケット送受信部２０１が受信したＥｔｈｅｒｎｅｔパケットが異常を含むか否かを、上記の異常判定ルールに基づいて判定する。図８は、Ｅｔｈｅｒｎｅｔ－ＣＡＮゲートウェイ２００において、異常判定部２０２が、異常判定データベース２０３が含む異常判定ルールに基づいて、Ｅｔｈｅｒｎｅｔパケットが異常を含むと判定した場合に行う処理（以下、異常対応処理ともいう）の例を示す。処理Ｎｏ．１は、Ｅｔｈｅｒｎｅｔパケットが異常を含むこと、つまり異常の発生を結果送信部２０５に通知する処理である。処理Ｎｏ．２は、異常を含むと判定したＥｔｈｅｒｎｅｔパケットを破棄する処理である。処理Ｎｏ．３は、送信元の情報系又は運転支援系機器からの通信を遮断する処理である。処理Ｎｏ．４は、自動運転モードを停止し、手動運転モードに切り替えの指示を結果送信部へ通知する処理である。
　図９は、異常判定部２０２により送信元の情報系又は運転支援系の機器が指定した、つまりＥｔｈｅｒｎｅｔパケットのデータフィールドに含まれるＣＡＮフレーム内のＣＡＮ　ＩＤの値に関する異常があると判定された場合の処理リストの一例である。
　例えば送信元機器がＩＶＩ４１０の場合、図７のホワイトリストにより、制御の命令を受け取る制御系ＥＣＵは、ミラーＥＣＵ２１０と、ウィンドウＥＣＵ２２０である。したがって、ＩＶＩ４１０が送信するＥｔｈｅｒｎｅｔパケットに含まれるＣＡＮフレームのＣＡＮ　ＩＤが１０又は２０である場合、異常判定部２０２は正常であると判定し、正常時の所定の処理、例えば抽出したＣＡＮフレームのＣＡＮネットワークへの送出を行う。一方、ＩＶＩ４１０は、ブレーキＥＣＵ２３０、アクセルＥＣＵ２４０又はステアリングＥＣＵ２５０に対する命令を送信することは仕様上あり得ない。したがって、Ｅｔｈｅｒｎｅｔパケットのデータフィールドに含まれるＣＡＮフレームのＣＡＮ　ＩＤが３０、４０又は５０である場合、異常判定部２０２は、当該Ｅｔｈｅｒｎｅｔパケットは異常を含むデータであると判定し、図８の処理ＩＤに従って異常対応処理を実行する。例えばＩＶＩ４１０が送信したＥｔｈｅｒｎｅｔパケットに含まれるＣＡＮパケットのＣＡＮ　ＩＤが、仕様上ブレーキＥＣＵ２３０のみが受信するＣＡＮフレームのＣＡＮ　ＩＤである「３０」である場合、異常判定部２０２はこの判定結果の結果送信部への通知（処理Ｎｏ．１）、当該Ｅｔｈｅｒｎｅｔパケットの破棄（処理Ｎｏ．２）、及び当該Ｅｔｈｅｒｎｅｔパケットに含まれる送信元情報（例えばＩＰアドレス）から当該Ｅｔｈｅｒｎｅｔパケットの送信元である機器を特定しての、及び当該機器からの通信の遮断（処理Ｎｏ．３）の異常対応処理を実行する。また例えば、アクセルＥＣＵ２４０のみが受信するＣＡＮパケットのＣＡＮ　ＩＤである「４０」が指定されていた場合、判定結果の結果送信部への通知（処理Ｎｏ．１）、当該Ｅｔｈｅｒｎｅｔパケットの破棄（処理Ｎｏ．２）、当該Ｅｔｈｅｒｎｅｔパケットに含まれる送信元情報から特定した送信元である機器からの通信の遮断（処理Ｎｏ．３）、及び自動運転モードを停止し、手動運転モードに切り替える命令を結果送信部へ通知する（処理Ｎｏ．４）異常対応処理を実行する。送信元機器がＡＤＡＳ５１０、ＬＩＤＡＲ５２０、カメラ５３０、又はＤＹＮＡＭＩＣ　ＭＡＰ５４０である場合も同様に、図９に示すテーブルに示される、Ｅｔｈｅｒｎｅｔパケットの異常の有無の判定の結果に応じた正常処理又は異常対応処理のいずれかが実行される。このテーブルもまた異常判定データベース２０３に含まれ、異常判定ルールの情報の一部を含む。
　図１０は、異常判定部２０２が、異常判定データベース２０３に含まれる情報が示す異常判定ルールに基づいて、ＣＡＮ　ＩＤに対応するデータフィールドの値が異常判定された場合の処理リストの一例である。異常判定部２０２は、受信したＥｔｈｅｒｎｅｔパケットに含まれるｎ個のＣＡＮフレームを順番、またはランダムに選択する一部を対象として、データフィールドに含むパラメータの値に関する異常の有無について判定する。
　ＣＡＮ　ＩＤが１０（ミラーＥＣＵ２１０が受信するＣＡＮフレーム）、または、２０（ウィンドウＥＣＵ２２０が受信するＣＡＮフレーム）の場合において、異常判定部２０２は、データフィールドの値が、図６のリストに示した値とは異なる値が設定されていたときに異常と判定し、判定結果を結果送信部へ送信し（処理Ｎｏ．１）、当該Ｅｔｈｅｒｎｅｔパケットを破棄する（処理Ｎｏ．２）。ただし、ミラーＥＣＵ２１０及びウィンドウＥＣＵ２２０は、異常なデータが原因で誤動作した場合でも、重大事故に繋がる可能性は低いと判断し、重要度は低と規定されている。
　ＣＡＮ　ＩＤが３０（ブレーキＥＣＵ２３０が受信するＣＡＮフレーム）の場合において、異常判定部２０２は、データフィールドの値が、図６のリストに示した値とは異なる値が設定されていたときに異常と判定し、判定結果を結果送信部への送信（処理Ｎｏ．１）、及び当該Ｅｔｈｅｒｎｅｔパケットの破棄（処理Ｎｏ．２）の異常対応処理を実行する。また、異常判定部２０２はこれらの処理に加えて、当該Ｅｔｈｅｒｎｅｔパケットに含まれる送信元情報から、送信元である機器を特定し、特定したこの機器からの通信を遮断する（処理Ｎｏ．３）異常対応処理を実行する。ただし、異常なデータが原因でブレーキＥＣＵ２３０が誤動作した場合は、運転支援が阻害されて運転の安全性が損なわれる可能性があるため、重要度は中と規定されている。
　ＣＡＮ　ＩＤが４０（アクセルＥＣＵ２４０が受信するＣＡＮフレーム）、または５０（ステアリングＥＣＵ２５０が受信するＣＡＮフレーム）の場合において、異常判定部２０２は、データフィールドの値が、図６のリストに示した値とは異なる値が設定されていたときに異常と判定し、判定結果を結果送信部への送信（処理Ｎｏ．１）、当該Ｅｔｈｅｒｎｅｔパケットの破棄（処理Ｎｏ．２）、及び当該Ｅｔｈｅｒｎｅｔパケットに含まれる送信元情報から特定した送信元である機器からの通信の遮断（処理Ｎｏ．３）の異常対応処理を実行する。また、異常判定部２０２はこれらの処理に加えて、自動運転モードを停止し、手動運転モードに切り替えの命令を結果送信部へ通知する（処理Ｎｏ．４）。アクセルＥＣＵ２４０又はステアリングＥＣＵ２５０が不正に制御された場合は重大事故に繋がる可能性が高いため、重要度は高と規定されている。
　このように用いられる図１０の処理リストもまた異常判定データベース２０３に含まれ、異常判定ルールの情報の一部を含む。
　以下では、Ｅｔｈｅｒｎｅｔ－ＣＡＮゲートウェイ２００が上記の異常判定データベース２０３に含まれる情報を用いて行う処理の手順を、具体的な例を用いて説明する。
　［異常の判定から異常対応までの処理手順］
　図１１は、本実施の形態におけるＥｔｈｅｒｎｅｔ－ＣＡＮゲートウェイ２００がＥｔｈｅｒｎｅｔパケットを受信し、異常の有無を判定した上で、その判定の結果に応じて行う処理までの手順例のフローチャートである。
　（Ｓ１１００）Ｅｔｈｅｒｎｅｔパケット送受信部２０１が、情報系機器又は運転支援系機器がＥｔｈｅｒｎｅｔネットワークに送出したＥｔｈｅｒｎｅｔパケットを受信する。
　（Ｓ１１０１）異常判定部２０２が、Ｅｔｈｅｒｎｅｔパケットに含まれる送信元情報と、当該Ｅｔｈｅｒｎｅｔパケットのデータフィールドに含まれる各ＣＡＮフレームのＣＡＮ　ＩＤとの組み合わせをチェックする。
　（Ｓ１１０２）このチェックにおいて異常判定部２０２は、上記の送信元情報とＣＡＮ　ＩＤとの組み合わせと、図７のホワイトリストに含まれる情報とを比較して、データフィールドに含まれるＣＡＮ　ＩＤが、仕様上、送信元情報が示す送信元の機器の制御対象の機器が受信するＣＡＮフレームのＣＡＮ　ＩＤであるか否かチェックする。
　（Ｓ１１０３）Ｓ１１０２の結果、送信元の機器が、仕様上制御を指示することは無い制御系ＥＣＵが受信するＣＡＮ　ＩＤであった場合、つまり、送信元情報とＣＡＮ　ＩＤとの組み合わせが図７のホワイトリストにない場合、当該Ｅｔｈｅｒｎｅｔパケットは異常を含むと判定し、図９の処理リストに従って図８に示される異常対応処理を実行する。
　（Ｓ１１０４）Ｓ１１０２の結果、正常と判定した場合、次に異常判定部２０２は、Ｅｔｈｅｒｎｅｔパケットに含まれる各ＣＡＮフレームのＣＡＮ　ＩＤとデータフィールドの値との組み合わせをチェックする。このデータフィールドの値は、例えば受信した制御系ＥＣＵによる制御のパラメータの値である。
　（Ｓ１１０５）このチェックにおいて異常判定部２０２は、ＣＡＮ　ＩＤとパラメータの値との組み合わせと、図６のリストに含まれる該当のＣＡＮ　ＩＤと設定可能値との組み合わせとを比較して、ＣＡＮ　ＩＤに対して、データフィールドの値が設定可能値又はその範囲に含まれているかをチェックする。
　（Ｓ１１０６）Ｓ１１０５の結果、ＣＡＮフレームに含まれるデータフィールドの値が、該当のＣＡＮ　ＩＤに対して設定可能値でない場合、当該ＣＡＮフレームを含む当該Ｅｔｈｅｒｎｅｔパケットは異常を含むと判定し、図１０の処理リストに従って図８に示される異常対応処理を実行する。
　（Ｓ１１０７）Ｓ１１０５の結果、正常と判定された場合、Ｅｔｈｅｒｎｅｔ－ＣＡＮ変換部２０４が当該ＥｔｈｅｒｎｅｔパケットからＣＡＮフレームを抽出する。そして抽出されたＣＡＮフレームが、ＣＡＮフレーム送受信部２０６からＣＡＮバスへ送信される。
　（実施の形態の効果）
　上記の実施の形態では、ＣＡＮネットワークとＥｔｈｅｒｎｅｔネットワークとが混在する車載ネットワークにおいて、Ｅｔｈｅｒｎｅｔ－ＣＡＮゲートウェイで両プロトコルの特性を活かして不正なメッセージが検知される。本構成によって、例えば攻撃者がＥｔｈｅｒｎｅｔネットワークに接続されるＥＣＵ等の機器又はシステムを乗っ取り、車載ネットワークで利用されるメッセージの中身を書き換えることで、不正に制御系ＥＣＵを操作するといったサイバー攻撃などを検知して、重大事故を未然に防ぐことができる。また、その送信元の機器を特定してその機器からの通信を遮断できるため、車載ネットワークがセキュリティの脅威に晒されたり、高負荷であったりする状態が長く持続することを防ぐことができる。このようなＥｔｈｅｒｎｅｔ－ＣＡＮゲートウェイは、上記の実施の形態における車載ネットワーク異常検知システムの例である。
　（その他変形例）
　なお、一つ又は複数の態様に係る車載ネットワーク異常検知システムについて説明してきたが、本発明は、上記実施の形態に限定されるものではない。本発明の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したもの、実施の形態及びその各種の変形における構成要素を組み合わせて構築される形態も、一つまたは複数の態様の範囲内に含まれてもよい。以下には、上記の実施の形態の変形の例を挙げる。
　（１）上記実施の形態では、異常判定部がＥｔｈｅｒｎｅｔ－ＣＡＮゲートウェイの中に構成されているが、これは本発明における車載ネットワーク異常検知システムの一態様であり、異常判定部の場所はＥｔｈｅｒｎｅｔ－ＣＡＮゲートウェイに限定されない。異常判定部は、車載ネットワーク上でデータを中継する任意の装置に構成されてもよく、例えばＥｔｈｅｒｎｅｔ　Ｓｗｉｔｃｈ、セントラルゲートウェイ、各ドメインのＤＣＵなどに構成されてもよい。
　（２）上記実施の形態では、異常判定データベースはホワイトリスト方式としているが、異常判定データベースのリストと合致する場合は異常と判定する、ブラックリスト方式であってもよい。また、ホワイトリスト方式、ブラックリスト方式の両方のデータベースが利用されてもよい。
　（３）上記実施の形態では、異常判定データベースに含まれる情報に基づく異常判定ルールと合致しない場合は異常があると判定されているが、これに限定されない。合致しない場合、例えば判定の結果をログとして保存するとしてもよい。また、合致しない場合、異常判定結果を結果送信部へ通知するとしているが、この通知は実行されなくてもよい。さらに、異常判定データベースに含まれるエントリごとに、異常判定を実行する、若しくはしない、又は異常判定以外の処理を実行する、といったアクションの切り替えが可能なように、異常判定データベースに対応アクションの項目を保持してもよい。例えば、特定のエントリについては、異常判定部による判定の実行後、さらに判定結果を常にログとして保存するとしてもよい。また例えば、異常判定部は判定結果を結果送信部に通知し、結果送信部はこの判定結果をＴＣＵに転送して、ＴＣＵから常にクラウドサーバ上へ送信する、としてもよい。
　（４）上記実施の形態では、異常対応処理のうち、運転支援の機能に関するものとして、自動運転モードの停止及び手動運転モードへの切替が例示されるが、これに限定されない。異常対応処理として、車両で実行中の運転支援のレベルを下げる（手動運転のレベルを上げる）処理が実行されればよい。例えば、追突防止機能及び車線維持支援機能は維持するが、車線変更支援機能等の加速制御が実行され得る機能は停止する、といったように、運転支援の機能の一部を無効にしてもよい。また別の例として、いったんは自動運転によって強制的に減速して車両を安全な場所に停止させてもよい。
　（５）また、上記実施の形態では異常を含むＥｔｈｅｒｎｅｔパケットの送信元機器の通信を遮断する手法を具体的に示していないが、特に限定されるものではない。当該送信元機器の送受信機能が無効にされるのみでもよいし、当該送信元機器をシャットダウンさせてもよい。または、当該送信元機器がいずれかのドメインに属する場合に、車載ネットワークのその他の部分への流出を防ぐために、当該ドメインのＤＣＵに、当該送信元機器から受信したデータをすべて破棄させてもよい。
　（６）また、異常対応処理として、ユーザに判定の結果が通知されてもよい。例えば異常判定部は、判定の結果を出力して結果送信部に通知する。そして結果送信部が、この通知された判定の結果をＩＶＩに送信すると、ＩＶＩを介してユーザに当該判定の結果が通知されてもよい。ＩＶＩは、この例における車両の情報提示部であり、他の例として、判定の結果は計器盤を介してユーザに通知されてもよい。また、判定の結果には、異常の有無のみならず、異常なデータの送信元機器、影響を受ける受信側の機器、又はこれらの機器を含む系統の情報が含まれてもよい。また、上記のように運転支援の機能が制限される場合には、制限される機能等の情報がさらにユーザに通知されてもよい。
　（７）結果送信部からＴＣＵを介しての判定結果は、Ｖ２Ｘ（Ｖｅｈｉｃｌｅ－ｔｏ－Ｅｖｅｒｙｔｈｉｎｇ）によって周辺の他車へ、又はＶ２Ｉ（Ｖｅｈｉｃｌｅ－ｔｏ－Ｉｎｆｒａｓｔｒａｃｔｕｒｅ）によって、信号機又は道路標識などの交通基盤設備へ送信されてもよい。
　（８）上記実施の形態では、情報系及び運転制御系の機器が仕様上制御を命令する制御系ＥＣＵの特定に、異常判定データベースに含まれる情報が用いられているがこれに限定されない。る制御系ＥＣＵの特定、例えば各機能の仕様に基づいて、各機能がネットワーク通信を行う際の正常時の動作から決定してもよい。また、あらかじめ決められた仕様に基づくのみならず、ユーザ設定に従って特定されてもよい。
　（９）上記実施の形態における異常判定データベースに含まれる各種のリスト等のデータは一例であり限定的なものではない。例えば、異常判定データベースで扱うデータの種類の項目は、Ｅｔｈｅｒｎｅｔ　ＡＶＢにおけるＩＥＥＥ１７２２フレームに含まれるストリームＩＤであったり、車載ネットワークに接続される機器固有の値などであったりしてもよい。
　（１０）上記実施の形態では、運転支援系ＤＣＵ５００がＣＡＮバスと直接は接続されていないが、ＣＡＮバスと直接に接続されてもよい。この場合、Ｅｔｈｅｒｎｅｔ－ＣＡＮゲートウェイが運転支援系ＤＣＵに含まれ、運転支援系ＤＣＵがＥｔｈｅｒｎｅｔパケットとＣＡＮフレームとの変換、及びＥｔｈｅｒｎｅｔパケットの異常判定を行ってもよい。そして、異常を含まないと判定されたＥｔｈｅｒｎｅｔパケットが含む制御系ＥＣＵへの命令のＣＡＮフレームが、運転支援系ＤＣＵから直接ＣＡＮバスに送信されてもよい。
　（１１）上記実施の形態は、ＥｔｈｅｒｎｅｔネットワークとＣＡＮネットワークが混在するネットワーク環境を例に説明したが、これに限定されない。例えばＥｔｈｅｒｎｅｔに代えてＭＯＳＴ（Ｍｅｄｉａ　Ｏｒｉｅｎｔｅｄ　Ｓｙｓｔｅｍｓ　Ｔｒａｎｓｐｏｒｔ）又はＦｌｅｘＲａｙのプロトコルが適用されているネットワークであっても本発明に係る技術は適用できる。また、ＣＡＮネットワークに代えて、ＬＩＮ（Ｌｏｃａｌ　Ｉｎｔｅｒｃｏｎｎｅｃｔ　Ｎｅｔｗｏｒｋ）が適用されているネットワークであっても本発明に係る技術は適用できる。
　（１２）上記の実施の形態における各機器は、具体的には、マイクロプロセッサ及びＲＯＭ、ＲＡＭ又はハードディスクユニット等の記憶装置等で構成されるコンピュータシステムである。記憶装置には、コンピュータプログラムが記録されている。マイクロプロセッサが、このコンピュータプログラムに従って動作することにより、各機器はその機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
　本発明にかかる車載ネットワーク異常検知システムを、車載ネットワーク上に配置することで、不正アクセスなどのサイバー攻撃から車載ネットワークをより確実に守り、より高い安全性が確保された車両の開発に貢献する。
　１　車両
　２　クラウドサーバ
　３　外部ネットワーク
　１０　車載ネットワーク
　１００　セントラルゲートウェイ
　２００　Ｅｔｈｅｒｎｅｔ－ＣＡＮゲートウェイ（車載ネットワーク異常検知システム）
　２０１　Ｅｔｈｅｒｎｅｔパケット送受信部（第一通信部）
　２０２　異常判定部
　２０３　異常判定データベース
　２０４　Ｅｔｈｅｒｎｅｔ－ＣＡＮ変換部（単位データ変換部）
　２０５　結果送信部
　２０６　ＣＡＮフレーム送受信部（第二通信部）
　２１０　ミラーＥＣＵ
　２２０　ウィンドウＥＣＵ
　２３０　ブレーキＥＣＵ
　２４０　アクセルＥＣＵ
　２５０　ステアリングＥＣＵ
　３００　ＴＣＵ
　４００　情報系ＤＣＵ
　４１０　ＩＶＩ
　５００　運転支援系ＤＣＵ
　５１０　ＡＤＡＳ
　５２０　ＬＩＤＡＲ
　５３０　カメラ
　５４０　ＤＹＮＡＭＩＣ　ＭＡＰ

Claims (12)

  1. 　第一プロトコルで通信する複数の第一機器が接続される第一ネットワーク及び前記第一プロトコルと異なる第二プロトコルで通信する複数の第二機器が接続される第二ネットワークを含む車載ネットワーク上に配置され、前記車載ネットワークで通信されるデータの異常の有無を判定する車載ネットワーク異常検知システムであって、
    　前記複数の第一機器が送信する前記第一プロトコルでの通信単位データである第一単位データを前記第一ネットワークから受信する第一通信部と、
    　前記第一単位データの異常の有無の判定に用いられる異常判定ルールの情報を含む異常判定データベースと、
    　前記異常判定ルールに基づいて前記第一単位データが異常を含むか否か判定する異常判定部と、
    　前記異常判定部が前記第一単位データが異常を含まないと判定した場合、前記第一単位データから、前記第一単位データのデータフィールドに含まれる前記第二プロトコルでの通信単位データである第二単位データを抽出する単位データ変換部と、
    　抽出された前記第二単位データを前記第二ネットワークに送出する第二通信部とを備え、
    　前記第一単位データは、前記複数の第一機器のうち、当該第一単位データの送信元である第一機器を示す送信元情報を含み、
    　前記第一単位データに含まれる前記第二単位データは、当該第二単位データの識別子であるデータ識別子を含み、
    　前記異常判定部は、前記送信元情報と前記データ識別子との組み合わせを前記異常判定ルールと比較して前記判定を行い、前記第一単位データが異常を含むと判定した場合、所定の異常対応処理を実行する
    　車載ネットワーク異常検知システム。
  2. 　前記複数の第一機器は、前記車載ネットワークを搭載する車両の走行経路又は前記車両の状況もしくは状態に基づく当該車両の運転支援のために、前記複数の第二機器のいずれかによる制御のための命令を示す前記第二単位データを前記第一単位データに含めて送出する機器を含み、
    　前記異常判定ルールは、前記複数の第一機器の各々についての、仕様上、前記第一単位データに含めて送出し得る、前記命令を示す前記第二単位データが含む前記データ識別子の組み合わせに関するルールである
    　請求項１に記載の車載ネットワーク異常検知システム。
  3. 　前記複数の第二機器は、前記第二通信部を経由して受信した、前記複数の第一機器のいずれかから送出された命令に従って、前記車載ネットワークを搭載する車両の運転支援のための制御を実行する制御装置を含み、
    　前記複数の第一機器は前記車両のセンシング機器を含み、
    　前記異常判定ルールは、前記センシング機器を示す前記送信元情報と、前記制御装置が受信する前記第二単位データが含む前記データ識別子との組み合わせは異常であると前記異常判定部に判定させるためのルールを含む
    　請求項１に記載の車載ネットワーク異常検知システム。
  4. 　前記複数の第二機器は、前記第二通信部を経由して受信した、前記複数の第一機器のいずれかから送出された命令に従って、前記車載ネットワークを搭載する車両の運転支援のための制御を実行する制御装置を含み、
    　前記第一単位データに含まれる前記第二単位データは、前記運転支援のための制御のパラメータをさらに含み、
    　前記異常判定ルールは、前記複数の第二機器の各々について、仕様上受信する前記第二単位データが含む前記データ識別子と、前記パラメータの値との組み合わせに関するルールである
    　請求項１に記載の車載ネットワーク異常検知システム。
  5. 　前記命令は、前記車両の加速、制動及び操舵のいずれかに関する命令であり、
    　前記パラメータは、前記車両の加速、制動及び操舵のいずれかの制御に関するパラメータである
    　請求項４に記載の車載ネットワーク異常検知システム。
  6. 　前記異常判定ルールは、前記組み合わせのうち仕様上異常でない組み合わせを示し、
    　前記異常判定部は前記判定において、前記組み合わせが前記異常判定ルールに示されている場合に、前記第一単位データは異常を含まないと判定する
    　請求項１に記載の車載ネットワーク異常検知システム。
  7. 　前記異常判定部は、前記所定の異常対応処理として、異常を含むと判定された前記第一単位データを破棄する
    　請求項１に記載の車載ネットワーク異常検知システム。
  8. 　前記異常判定部は、前記所定の異常対応処理として、異常を含むと判定された前記第一単位データの送信元である第一機器を前記送信元情報に基づいて特定し、かつ、前記車載ネットワークを搭載する車両の運転支援のレベルを下げる
    　請求項１に記載の車載ネットワーク異常検知システム。
  9. 　前記異常判定部は、前記所定の異常対応処理として、異常を含むと判定された前記第一単位データの送信元である第一機器を前記送信元情報に基づいて特定し、かつ、特定した前記第一機器の前記車載ネットワークにおける通信を遮断する
    　請求項１に記載の車載ネットワーク異常検知システム。
  10. 　前記異常判定部は、前記所定の異常対応処理として前記判定の結果を出力し、
    　前記車載ネットワークを搭載する車両がさらに備える、当該車両のユーザに情報を提示する情報提示部に、前記異常判定部が出力した前記判定の結果を送信することで、異常の発生を前記ユーザに通知する結果送信部を備える
    　請求項１に記載の車載ネットワーク異常検知システム。
  11. 　前記異常判定部は、前記所定の異常対応処理として前記判定の結果を出力し、
    　前記異常判定部が出力した前記判定の結果を、前記車載ネットワークを搭載する車両の外部の通信ネットワークへ送信する結果送信部を備える
    　請求項１に記載の車載ネットワーク異常検知システム。
  12. 　第一プロトコルで通信する複数の第一機器が接続される第一ネットワーク及び前記第一プロトコルと異なる第二プロトコルで通信する複数の第二機器が接続される第二ネットワークを含む車載ネットワーク上に配置され、前記車載ネットワークで通信されるデータの異常の有無を判定する車載ネットワーク異常検知システムにおいて実行される異常検知方法であって、
    　前記複数の第一機器が送信する前記第一プロトコルでの通信単位データである第一単位データを前記第一ネットワークから受信し、
    　前記第一単位データの異常の有無の判定に用いられる異常判定ルールを用いて前記第一単位データが異常を含むか否か判定し、
    　前記判定の結果、前記第一単位データが異常を含まないと判定した場合、前記第一単位データから、前記第一単位データのデータフィールドに含まれる前記第二プロトコルでの通信単位データである第二単位データを抽出し、
    　抽出された前記第二単位データを前記第二ネットワークに送出し、
    　前記第一単位データは、前記複数の第一機器のうち、当該第一単位データの送信元である第一機器を示す送信元情報を含み、
    　前記第一単位データに含まれる前記第二単位データは、当該第二単位データの識別子であるデータ識別子を含み、
    　前記異常を含むか否かの判定は、前記送信元情報と前記データ識別子との組み合わせを前記異常判定ルールと比較して行う
    　車載ネットワーク異常検知方法。
PCT/JP2018/045619 2017-12-15 2018-12-12 車載ネットワーク異常検知システム及び車載ネットワーク異常検知方法 WO2019117184A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
EP18888512.3A EP3726782B1 (en) 2017-12-15 2018-12-12 Detecting unauthorized messages in a vehicle network
CN201880052087.3A CN111448783B (zh) 2017-12-15 2018-12-12 车载网络异常检测系统及车载网络异常检测方法
JP2019559683A JP7071998B2 (ja) 2017-12-15 2018-12-12 車載ネットワーク異常検知システム及び車載ネットワーク異常検知方法
US16/818,364 US11438355B2 (en) 2017-12-15 2020-03-13 In-vehicle network anomaly detection system and in-vehicle network anomaly detection method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017-240759 2017-12-15
JP2017240759 2017-12-15

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US16/818,364 Continuation US11438355B2 (en) 2017-12-15 2020-03-13 In-vehicle network anomaly detection system and in-vehicle network anomaly detection method

Publications (1)

Publication Number Publication Date
WO2019117184A1 true WO2019117184A1 (ja) 2019-06-20

Family

ID=66819017

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/045619 WO2019117184A1 (ja) 2017-12-15 2018-12-12 車載ネットワーク異常検知システム及び車載ネットワーク異常検知方法

Country Status (5)

Country Link
US (1) US11438355B2 (ja)
EP (1) EP3726782B1 (ja)
JP (1) JP7071998B2 (ja)
CN (1) CN111448783B (ja)
WO (1) WO2019117184A1 (ja)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021111865A1 (ja) * 2019-12-06 2021-06-10 株式会社オートネットワーク技術研究所 判定装置、判定プログラム及び判定方法
WO2021144858A1 (ja) * 2020-01-14 2021-07-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知システム、異常検知装置、及び異常検知方法
WO2022059328A1 (ja) * 2020-09-17 2022-03-24 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 検知システム、検知方法、および、プログラム
JPWO2022085055A1 (ja) * 2020-10-19 2022-04-28
WO2022239420A1 (ja) * 2021-05-12 2022-11-17 株式会社日立製作所 移動体管制システム、攻撃通知方法
WO2023095258A1 (ja) * 2021-11-25 2023-06-01 日本電信電話株式会社 監視装置、監視方法、および、監視プログラム
JP7420623B2 (ja) 2020-03-30 2024-01-23 矢崎総業株式会社 車載通信システム及び通信制御方法

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019146976A1 (ko) * 2018-01-23 2019-08-01 현대자동차주식회사 차량 내 네트워크에 보안을 제공하는 시스템 및 방법
KR20200073448A (ko) * 2018-12-14 2020-06-24 현대자동차주식회사 게이트웨이 프로세서, 그 제어 로직, 프로그램 및 기록매체
WO2020261140A1 (en) * 2019-06-25 2020-12-30 Marvell Asia Pte, Ltd. Automotive network switch with anomaly detection
US11621970B2 (en) * 2019-09-13 2023-04-04 Is5 Communications, Inc. Machine learning based intrusion detection system for mission critical systems
WO2021240662A1 (ja) * 2020-05-26 2021-12-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知装置、異常検知システムおよび異常検知方法
CN112039898A (zh) * 2020-09-01 2020-12-04 广州小鹏汽车科技有限公司 加密通信方法、加密通信装置和车辆
CN112997467B (zh) 2020-09-18 2022-08-19 华为技术有限公司 入侵监控系统、方法及相关产品
KR102480506B1 (ko) * 2020-10-21 2022-12-22 현대모비스 주식회사 차량정보에 기반한 hud 보호모드 해제 장치 및 방법
CN115223273B (zh) * 2021-04-21 2024-02-23 广州汽车集团股份有限公司 Tcu数据监控方法、装置、终端设备及存储介质
US11887409B2 (en) * 2021-05-19 2024-01-30 Pony Al Inc. Device health code broadcasting on mixed vehicle communication networks
CN113890824A (zh) * 2021-10-21 2022-01-04 北京天融信网络安全技术有限公司 网络加速方法、装置、网关设备及计算机可读存储介质
CN115158194A (zh) * 2022-07-01 2022-10-11 锦图计算技术(深圳)有限公司 基于Linux系统的智能汽车安全网关系统及其通信方法
JP2024011955A (ja) * 2022-07-15 2024-01-25 キヤノン株式会社 通知装置、通知方法
CN115052023A (zh) * 2022-08-15 2022-09-13 理工雷科智途(北京)科技有限公司 一种高级辅助驾驶系统数据传输方法及装置

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013187555A (ja) * 2012-03-05 2013-09-19 Auto Network Gijutsu Kenkyusho:Kk 通信システム
WO2014115455A1 (ja) 2013-01-28 2014-07-31 日立オートモティブシステムズ株式会社 ネットワーク装置およびデータ送受信システム
JP2015114907A (ja) * 2013-12-12 2015-06-22 日立オートモティブシステムズ株式会社 ネットワーク装置およびネットワークシステム
JP2016111477A (ja) 2014-12-04 2016-06-20 トヨタ自動車株式会社 通信システム、及びゲートウェイ
JP2017112590A (ja) * 2015-12-14 2017-06-22 パナソニックＩｐマネジメント株式会社 通信装置、通信方法、及び通信プログラム
WO2017203906A1 (ja) * 2016-05-27 2017-11-30 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ ネットワークハブ、転送方法及び車載ネットワークシステム
JP2017212726A (ja) * 2016-05-27 2017-11-30 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 電子制御ユニット、フレーム生成方法及びプログラム

Family Cites Families (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9215168B2 (en) * 2012-07-23 2015-12-15 Broadcom Corporation Controller area network communications using ethernet
JP6069039B2 (ja) * 2013-03-11 2017-01-25 日立オートモティブシステムズ株式会社 ゲートウェイ装置及びサービス提供システム
US9809169B1 (en) * 2013-03-15 2017-11-07 Mouhamad A. Naboulsi Safety control system for vehicles
JP6318483B2 (ja) * 2013-06-28 2018-05-09 株式会社デンソー 電子装置の製造方法および限界値設定装置
US9827992B2 (en) * 2014-03-19 2017-11-28 Ford Global Technologies, Llc Driver anomaly detection
JP6024696B2 (ja) * 2014-03-27 2016-11-16 株式会社デンソー 通信装置
JP6408832B2 (ja) * 2014-08-27 2018-10-17 ルネサスエレクトロニクス株式会社 制御システム、中継装置、及び制御方法
JP6485049B2 (ja) * 2015-01-09 2019-03-20 株式会社デンソー 車載機、車載機診断システム
US10291506B2 (en) * 2015-03-04 2019-05-14 Fisher-Rosemount Systems, Inc. Anomaly detection in industrial communications networks
US10798114B2 (en) * 2015-06-29 2020-10-06 Argus Cyber Security Ltd. System and method for consistency based anomaly detection in an in-vehicle communication network
US10530605B2 (en) * 2015-08-06 2020-01-07 Tower-Sec Ltd. Means and methods for regulating can communication
KR102294634B1 (ko) * 2015-08-12 2021-08-26 현대자동차주식회사 네트워크에서 통신 노드의 동작 방법
US20170072876A1 (en) * 2015-09-14 2017-03-16 Broadcom Corporation Hardware-Accelerated Protocol Conversion in an Automotive Gateway Controller
US10158658B1 (en) * 2015-12-04 2018-12-18 Amazon Technologies, Inc. System for determining network anomalies
CN107111716B (zh) * 2015-12-14 2022-03-29 松下电器（美国）知识产权公司 评价装置、评价系统以及评价方法
US10295363B1 (en) * 2016-01-22 2019-05-21 State Farm Mutual Automobile Insurance Company Autonomous operation suitability assessment and mapping
JP6783174B2 (ja) 2016-05-27 2020-11-11 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ ネットワークハブ、転送方法及び車載ネットワークシステム
JP6962697B2 (ja) * 2016-05-27 2021-11-05 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカPanasonic Intellectual Property Corporation of America ネットワークハブ、転送方法及び車載ネットワークシステム
CN106515706A (zh) * 2016-09-30 2017-03-22 广州汽车集团股份有限公司 车辆安全驾驶控制方法及车辆安全驾驶控制系统
KR101888683B1 (ko) * 2017-07-28 2018-08-14 펜타시큐리티시스템 주식회사 비정상 트래픽을 탐지하는 방법 및 장치
US20190056231A1 (en) * 2017-08-15 2019-02-21 GM Global Technology Operations LLC Method and apparatus for participative map anomaly detection and correction
US10616253B2 (en) * 2017-11-13 2020-04-07 International Business Machines Corporation Anomaly detection using cognitive computing

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013187555A (ja) * 2012-03-05 2013-09-19 Auto Network Gijutsu Kenkyusho:Kk 通信システム
WO2014115455A1 (ja) 2013-01-28 2014-07-31 日立オートモティブシステムズ株式会社 ネットワーク装置およびデータ送受信システム
JP2015114907A (ja) * 2013-12-12 2015-06-22 日立オートモティブシステムズ株式会社 ネットワーク装置およびネットワークシステム
JP2016111477A (ja) 2014-12-04 2016-06-20 トヨタ自動車株式会社 通信システム、及びゲートウェイ
JP2017112590A (ja) * 2015-12-14 2017-06-22 パナソニックＩｐマネジメント株式会社 通信装置、通信方法、及び通信プログラム
WO2017203906A1 (ja) * 2016-05-27 2017-11-30 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ ネットワークハブ、転送方法及び車載ネットワークシステム
JP2017212726A (ja) * 2016-05-27 2017-11-30 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 電子制御ユニット、フレーム生成方法及びプログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3726782A4

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021111865A1 (ja) * 2019-12-06 2021-06-10 株式会社オートネットワーク技術研究所 判定装置、判定プログラム及び判定方法
JP2021093572A (ja) * 2019-12-06 2021-06-17 株式会社オートネットワーク技術研究所 判定装置、判定プログラム及び判定方法
JP7247875B2 (ja) 2019-12-06 2023-03-29 株式会社オートネットワーク技術研究所 判定装置、判定プログラム及び判定方法
WO2021144858A1 (ja) * 2020-01-14 2021-07-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知システム、異常検知装置、及び異常検知方法
JP7420623B2 (ja) 2020-03-30 2024-01-23 矢崎総業株式会社 車載通信システム及び通信制御方法
WO2022059328A1 (ja) * 2020-09-17 2022-03-24 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 検知システム、検知方法、および、プログラム
JPWO2022085055A1 (ja) * 2020-10-19 2022-04-28
WO2022085055A1 (ja) * 2020-10-19 2022-04-28 日産自動車株式会社 中継装置、通信ネットワークシステム及び通信制御方法
JP7151930B2 (ja) 2020-10-19 2022-10-12 日産自動車株式会社 中継装置、通信ネットワークシステム及び通信制御方法
WO2022239420A1 (ja) * 2021-05-12 2022-11-17 株式会社日立製作所 移動体管制システム、攻撃通知方法
WO2023095258A1 (ja) * 2021-11-25 2023-06-01 日本電信電話株式会社 監視装置、監視方法、および、監視プログラム

Also Published As

Publication number Publication date
US20200220888A1 (en) 2020-07-09
CN111448783B (zh) 2021-11-19
EP3726782B1 (en) 2022-02-02
EP3726782A4 (en) 2021-01-06
EP3726782A1 (en) 2020-10-21
CN111448783A (zh) 2020-07-24
US11438355B2 (en) 2022-09-06
JP7071998B2 (ja) 2022-05-19
JPWO2019117184A1 (ja) 2020-10-22

Similar Documents

Publication Publication Date Title
WO2019117184A1 (ja) 車載ネットワーク異常検知システム及び車載ネットワーク異常検知方法
EP3659868B1 (en) Abnormality detection device, and abnormality detection method
US11451579B2 (en) System and method for protecting electronics systems of a vehicle from cyberattacks
JP6578224B2 (ja) 車載システム、プログラムおよびコントローラ
US11277417B2 (en) System and method of generating rules for blocking a computer attack on a vehicle
US11398116B2 (en) Anomaly detection electronic control unit, in-vehicle network system, and anomaly detection method
CN109845196B (zh) 网络监视器、网络监视方法和计算机可读取记录介质
US20190356574A1 (en) Motor vehicle comprising an internal data network and method for operating the motor vehicle
EP3547191B1 (en) System and method of generating rules for blocking a computer attack on a vehicle
WO2019021922A1 (ja) 異常検知装置および異常検知方法
KR101714526B1 (ko) 차량 네트워크 해킹 방지 방법 및 장치
EP3547192B1 (en) System and method of blocking a computer attack on a means of transportation
KR20180072342A (ko) 이더넷 네트워크를 포함하는 운송 수단 내부 네트워크에서 v2x 메시지의 우선순위 고려한 운송 수단 내 보안 처리 방법
KR20180072340A (ko) 운송 수단 내부 네트워크에서의 제어 데이터를 보안 전송하는 방법
KR20180072341A (ko) 스마트폰 앱 공격의 우선순위 고려한 운송 수단 내 보안 처리 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18888512

Country of ref document: EP

Kind code of ref document: A1

DPE2 Request for preliminary examination filed before expiration of 19th month from priority date (pct application filed from 20040101)
ENP Entry into the national phase

Ref document number: 2019559683

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2018888512

Country of ref document: EP

Effective date: 20200715