WO2019167384A1 - 車載通信システム、スイッチ装置、検証方法および検証プログラム - Google Patents

車載通信システム、スイッチ装置、検証方法および検証プログラム Download PDF

Info

Publication number
WO2019167384A1
WO2019167384A1 PCT/JP2018/046201 JP2018046201W WO2019167384A1 WO 2019167384 A1 WO2019167384 A1 WO 2019167384A1 JP 2018046201 W JP2018046201 W JP 2018046201W WO 2019167384 A1 WO2019167384 A1 WO 2019167384A1
Authority
WO
WIPO (PCT)
Prior art keywords
unit
switch device
verification
communication
unauthorized
Prior art date
Application number
PCT/JP2018/046201
Other languages
English (en)
French (fr)
Inventor
呉ダルマワン
浦山博史
萩原剛志
藪内靖弘
Original Assignee
株式会社オートネットワーク技術研究所
住友電装株式会社
住友電気工業株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社オートネットワーク技術研究所, 住友電装株式会社, 住友電気工業株式会社 filed Critical 株式会社オートネットワーク技術研究所
Priority to JP2020502819A priority Critical patent/JP7115536B2/ja
Priority to CN201880090220.4A priority patent/CN111788796B/zh
Priority to US16/955,323 priority patent/US11558404B2/en
Publication of WO2019167384A1 publication Critical patent/WO2019167384A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4604—LAN interconnection over a backbone network, e.g. Internet, Frame Relay
    • H04L12/462—LAN interconnection over a bridge based backbone
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle

Definitions

  • the present invention relates to an in-vehicle communication system, a switch device, a verification method, and a verification program.
  • This application claims the priority on the basis of Japanese application Japanese Patent Application No. 2018-34044 for which it applied on February 28, 2018, and takes in those the indications of all here.
  • Patent Document 1 Japanese Patent Laid-Open No. 2017-123639 discloses the following fraud detection method. That is, a fraud detection method for detecting that an improper state has occurred in an in-vehicle network system including a plurality of electronic control units that perform communication via a bus, a frame having a first identifier, a first identifier, Determines whether a set of frames received from the bus satisfies the first condition by using fraud detection rule information indicating a first condition that is a condition regarding a content relationship with a frame having a different identifier. When the first condition is not satisfied, it is detected that an illegal state has occurred.
  • the in-vehicle communication system includes a plurality of functional units and one or a plurality of switching devices that perform relay processing for relaying communication data between the functional units, and the switching devices are based on the functional units.
  • a verification process is performed to verify the functional units other than the unauthorized functional unit that is the functional unit in which the unauthorized communication is detected.
  • the switch device is a switch device used in an in-vehicle communication system, and performs a relay process for relaying communication data between a plurality of function units, and unauthorized communication by the function unit is detected.
  • a verification unit that performs a verification process for verifying the functional unit other than the illegal functional unit that is the functional unit in which the unauthorized communication is detected.
  • the verification method of the present disclosure is a verification method in an in-vehicle communication system including a plurality of functional units and one or a plurality of switch devices that perform relay processing for relaying communication data between the functional units.
  • the switch device obtains a detection result of unauthorized communication by the function unit, and the switch device transmits a confirmation request to the function unit of the communication partner of the unauthorized function unit that is the function unit in which unauthorized communication is detected. And a step in which the functional unit of the communication partner of the unauthorized function unit transmits response information to the confirmation request to the switch device.
  • the verification method of the present disclosure is a verification method in a switching device that performs relay processing for relaying communication data between a plurality of functional units, the step of obtaining detection results of unauthorized communications by the functional units, Performing a verification process for verifying the functional unit other than the unauthorized functional unit that is the functional unit in which the unauthorized communication is detected when the unauthorized communication by the functional unit is detected.
  • a verification program is a verification program used in a switch device, in which a computer performs relay processing for relaying communication data between a plurality of functional units, and unauthorized communication by the functional units. When detected, it is a program for functioning as a verification unit that performs verification processing for verifying the functional unit other than the illegal functional unit, which is the functional unit in which unauthorized communication is detected.
  • One aspect of the present disclosure can be realized not only as an in-vehicle communication system including such a characteristic processing unit, but also as a program for causing a computer to execute such characteristic processing. Further, one aspect of the present disclosure can be realized as a semiconductor integrated circuit that realizes part or all of the in-vehicle communication system.
  • One embodiment of the present disclosure can be realized not only as a switch device including such a characteristic processing unit, but also as a semiconductor integrated circuit that realizes part or all of the switch device.
  • FIG. 1 is a diagram showing a configuration of an in-vehicle communication system according to an embodiment of the present invention.
  • FIG. 2 is a diagram showing an example of the VID, MAC address, and IP address of each device in the in-vehicle communication system according to the embodiment of the present invention.
  • FIG. 3 is a diagram showing a configuration of the switch device in the in-vehicle communication system according to the embodiment of the present invention.
  • FIG. 4 is a diagram showing an example of relay information in the switch device according to the embodiment of the present invention.
  • FIG. 5 is a diagram illustrating an example of a configuration of a functional unit in the in-vehicle communication system according to the embodiment of the present invention.
  • FIG. 1 is a diagram showing a configuration of an in-vehicle communication system according to an embodiment of the present invention.
  • FIG. 2 is a diagram showing an example of the VID, MAC address, and IP address of each device in the in-vehicle communication system according to the embodiment
  • FIG. 6 is a diagram showing an example of a management list according to the embodiment of the present invention.
  • FIG. 7 is a diagram showing another example of relay information in the switch device according to the embodiment of the present invention.
  • FIG. 8 is a diagram showing an example of a check value table held by the switch device according to the embodiment of the present invention.
  • FIG. 9 is a diagram showing a sequence of processing for verifying unauthorized communication in the in-vehicle communication system according to the embodiment of the present invention.
  • FIG. 10 is a flowchart defining an operation procedure when the switch device according to the embodiment of the present invention performs a verification process for verifying unauthorized communication.
  • a technology that can appropriately deal with an unauthorized state in an in-vehicle network is desired.
  • the present disclosure has been made to solve the above-described problem, and an object thereof is an in-vehicle communication system, a switching device, a verification method, and a verification program capable of improving a function to cope with fraud in an in-vehicle network. Is to provide.
  • An in-vehicle communication system includes a plurality of functional units and one or a plurality of switch devices that perform relay processing for relaying communication data between the functional units.
  • a verification process for verifying the function unit other than the unauthorized function unit that is the function unit in which the unauthorized communication is detected is performed.
  • the switch device performs the relay process using relay information indicating a communication relationship between the function units, and the function unit in which the unauthorized communication is detected is used as the verification process.
  • the function part of the communication part of the function part is specified based on the relay information, and the specified function part is verified.
  • the switch device further includes, as the verification process, a secondary function unit that is the function unit of the communication partner of the abnormal function unit that is the function unit determined to be abnormal in the verification process. Verify
  • the in-vehicle communication system includes a plurality of the switch devices, and the switch device is an abnormal function unit that is determined to be abnormal in the unauthorized function unit and the verification process. A list indicating at least one of them is maintained.
  • the switch device when the secondary function unit, which is the function unit of the communication partner of the abnormal function unit, is connected to another switch device, the switch device includes the list on the other switch device. Is given to verify the secondary function unit.
  • the switch device transmits the updated list to the other switch devices each time the list is updated.
  • the information of the specified functional unit can be always shared between the switch devices, and a wider range of verification processing can be performed.
  • the switch device acquires verification data of stored data from the functional unit, and verifies the functional unit using the acquired verification data.
  • the switch device acquires authentication data of stored data from the function unit, and verifies the function unit using the acquired authentication data.
  • a switch device is a switch device used in an in-vehicle communication system, and includes a switch unit that performs relay processing for relaying communication data between a plurality of functional units, and the functional unit.
  • a verification unit that performs a verification process for verifying the functional unit other than the unauthorized functional unit that is the functional unit in which the unauthorized communication has been detected.
  • a verification method is a verification method in an in-vehicle communication system including a plurality of functional units and one or a plurality of switch devices that perform relay processing for relaying communication data between the functional units.
  • the switch device acquires a detection result of unauthorized communication by the function unit, and the function unit of the communication partner of the unauthorized function unit is the function unit in which the switch device is detected unauthorized communication.
  • a verification method is a verification method in a switching device that performs relay processing for relaying communication data between a plurality of functional units, and obtains detection results of unauthorized communication by the functional units. And a step of performing verification processing for verifying the functional unit other than the unauthorized functional unit that is the functional unit in which the unauthorized communication is detected when unauthorized communication by the functional unit is detected.
  • a verification program is a verification program used in a switch device, wherein the computer performs a relay process for relaying communication data between a plurality of functional units, and the function A program for causing a function to function as a verification unit that performs a verification process for verifying the functional unit other than the unauthorized functional unit that is the functional unit in which the unauthorized communication is detected.
  • FIG. 1 is a diagram showing a configuration of an in-vehicle communication system according to an embodiment of the present invention.
  • the in-vehicle communication system 301 includes switch devices 101A and 101B and functional units 111C, 111D, 111E, and 111F.
  • the in-vehicle communication system 301 is mounted on the vehicle 1.
  • each of the switch devices 101A and 101B is also referred to as a switch device 101.
  • Each of the functional units 111C, 111D, 111E, and 111F is also referred to as a functional unit 111.
  • vehicle-mounted communication system 301 is not limited to the configuration including the two switch devices 101, and may be configured to include one, or three or more switch devices 101.
  • the in-vehicle communication system 301 is not limited to the configuration including the four functional units 111, and may be configured to include two, three, four, or six or more functional units 111.
  • the functional unit 111 is, for example, an automatic driving ECU (Electronic Control Unit), a driving support device, a sensor, or the like, and can communicate with the switch device 101.
  • ECU Electronic Control Unit
  • connection relationship between each switch device 101 and each functional unit 111 in the in-vehicle network of the vehicle 1 is fixed, for example.
  • the switch device 101 and the functional unit 111 are connected to each other by, for example, an in-vehicle Ethernet (registered trademark) communication cable (hereinafter also referred to as an Ethernet cable) 10.
  • an in-vehicle Ethernet (registered trademark) communication cable hereinafter also referred to as an Ethernet cable 10.
  • the switch device 101 and the function unit 111 communicate with each other using the Ethernet cable 10. Communication data is exchanged between the switch device 101 and the functional unit 111 using, for example, an Ethernet frame conforming to IEEE 802.3.
  • FIG. 2 is a diagram showing an example of the VID, MAC address, and IP address of each device in the in-vehicle communication system according to the embodiment of the present invention.
  • function units 111C and 111D and function units 111E and 111F belong to different VLANs (Virtual Local Area Networks).
  • the ID of the VLAN to which the functional units 111C and 111D belong (hereinafter also referred to as VID) is 1.
  • the VID to which the functional units 111E and 111F belong is 2.
  • the switch device 101 and the functional unit 111 have a unique MAC (Media Access Control) address and an IP (Internet Protocol) address.
  • MAC Media Access Control
  • IP Internet Protocol
  • the switch device 101 performs a relay process for relaying data between the functional units 111 in the in-vehicle network.
  • the switch device 101 can perform relay processing according to, for example, layer 2 and layer 3 higher than layer 2.
  • IP packets according to the IP protocol, for example.
  • the IP packet is stored in an Ethernet frame and transmitted.
  • the switch device 101 relays data in the in-vehicle network. Specifically, the switch device 101 relays an Ethernet frame transmitted between the functional units 111.
  • the switch device 101 operates according to a communication protocol having a plurality of layers. More specifically, the switch device 101 can function as an L2 (layer 2) switch, and relays an Ethernet frame transmitted between the functional units 111 belonging to the same VLAN.
  • L2 layer 2
  • the switch device 101 can also function as an L3 (layer 3) relay device, and relays Ethernet frames between the functional units 111 belonging to different VLANs.
  • L3 layer 3
  • the IP packet when the functional unit 111C transmits an IP packet to the functional unit 111D, the IP packet includes IP-C and IP-D as a source IP address and a destination IP address, respectively.
  • the function unit 111C Since the function unit 111C and the function unit 111D belong to the same VLAN, the function unit 111C writes 1, MAC-C and MAC-D in the Ethernet frame as VID, source MAC address, and destination MAC address, respectively.
  • the functional unit 111C transmits the Ethernet frame storing the IP packet to the switch device 101A.
  • the switch device 101A When receiving the Ethernet frame from the functional unit 111C, the switch device 101A transmits the Ethernet frame to the functional unit 111D by performing layer 2 switch processing on the received Ethernet frame.
  • the IP packet When the functional unit 111C transmits an IP packet to the functional unit 111E, the IP packet includes IP-C and IP-E as the source IP address and the destination IP address, respectively.
  • the functional unit 111C belongs to different VLANs, the functional unit 111C is 1.
  • the MAC address of the switch device 101A that is the default gateway, that is, MAC-A and MAC-C, is changed to the VID and the destination MAC address. And write to the Ethernet frame as the source MAC address.
  • the functional unit 111C transmits the Ethernet frame storing the IP packet to the switch device 101A.
  • the switching device 101A When receiving the Ethernet frame from the functional unit 111C, the switching device 101A transmits the Ethernet frame to the functional unit 111E by performing layer 3 relay processing on the received Ethernet frame.
  • the switch device 101A can detect unauthorized communication such as data being transmitted at a timing different from normal. In this case, for example, when the switch device 101A detects unauthorized communication with the function unit 111C, the switch device 101A performs measures such as stopping communication with the function unit 111C.
  • the functional unit 111D and the switch device 101B connected to the switch device 101A may have a problem due to the influence of unauthorized communication.
  • the function unit 111E and the function unit 111F connected to the switch device 101B may also be defective.
  • the switch device according to the embodiment of the present invention solves the above problems by the following configuration and operation.
  • FIG. 3 is a diagram showing a configuration of the switch device in the in-vehicle communication system according to the embodiment of the present invention.
  • the switch device 101 includes a switch unit 51, a control unit 52, a storage unit 53, a plurality of communication ports 54, and a verification unit 55.
  • the switch device 101A illustrated in FIG. 1 includes a switch unit 51A, a control unit 52A, a storage unit 53A, a plurality of communication ports 54A, and a verification unit 55A.
  • the switch device 101B includes a switch unit 51B, a control unit 52B, a storage unit 53B, a plurality of communication ports 54B, and a verification unit 55B.
  • the communication port 54 in the switch device 101 is a terminal to which, for example, the Ethernet cable 10 can be connected.
  • the communication port 54 may be a terminal of an integrated circuit.
  • Each of the plurality of communication ports 54 is connected to any one of the plurality of functional units 111 via the Ethernet cable 10.
  • Each of the plurality of communication ports 54 is associated with a VLAN, for example.
  • the switch unit 51 performs a relay process for relaying communication data using relay information indicating a communication relationship between the function units 111.
  • the storage unit 53 holds communication data to be relayed.
  • FIG. 4 is a diagram showing an example of relay information in the switch device according to the embodiment of the present invention.
  • relay information Tab1 indicates the correspondence between the transmission source and the transmission destination of communication data.
  • IP-D is registered as a transmission destination IP address corresponding to IP-C which is a transmission source IP address
  • IP-E is transmitted as a transmission destination IP address corresponding to IP-D which is a transmission source IP address. Is registered.
  • the control unit 52 monitors the relay process in the switch unit 51 to acquire a communication path of communication data relayed in the switch unit 51 and register it in the relay information Tab1.
  • the switch device 101 stores the relay information Tab1 in the storage unit 53.
  • the switch unit 51 operates as an L2 switch, for example, and relays an Ethernet frame between the functional units 111 belonging to the same VLAN.
  • the switch unit 51 holds, for example, an address table indicating the correspondence between the port number of the communication port 54, the VLAN ID, and the MAC address of the connection destination device.
  • the switch unit 51A when receiving the Ethernet frame from the functional unit 111C, the switch unit 51A saves the received Ethernet frame in the storage unit 53A and confirms the destination MAC address of the Ethernet frame.
  • the control unit 52A confirms that the Ethernet unit received by the switch unit 51A from the function unit 111C via the corresponding communication port 54A is stored in the storage unit 53A
  • the control unit 52A includes the Ethernet frame stored in the storage unit 53A.
  • Source IP address and destination IP address that is, the IP address of functional unit 111C as the source IP address and the IP address of functional unit 111D as the destination IP address, respectively.
  • the control unit 52A registers the confirmed IP addresses in the relay information Tab1 as “source IP address” and “destination IP address”.
  • the communication path is registered using the “transmission source IP address” and the “transmission destination IP address”, but not limited thereto, the “reception source MAC address” and the “transmission destination MAC address”, Alternatively, the communication path may be registered using “the port number of the communication port 54A of the reception source” and “the port number of the communication port 54A of the transmission destination”.
  • the switch unit 51A identifies the communication port 54A corresponding to the confirmed destination MAC address by referring to the address table.
  • the switch unit 51 specifies the communication port 54A connected to the functional unit 111D.
  • the switch unit 51 acquires the Ethernet frame from the storage unit 53A, and transmits the acquired Ethernet frame to the functional unit 111D via the specified communication port 54A.
  • the switch unit 51 operates as, for example, an L3 switch or an L4 switch, and relays communication data between the functional units 111 belonging to different VLANs.
  • the switch unit 51 holds, for example, a network table indicating the correspondence between VLAN IDs and network addresses. Further, the switch unit 51 holds, for example, an ARP (Address Resolution Protocol) table indicating a correspondence relationship between an IP address and a MAC address for each VLAN ID.
  • ARP Address Resolution Protocol
  • the switch unit 51A when the switch unit 51A receives an Ethernet frame from the functional unit 111D, the switch unit 51A confirms that the destination MAC address is its own MAC address, and extracts an IP packet from the received Ethernet frame.
  • the switch unit 51A identifies the VLAN ID corresponding to the destination IP address included in the IP packet by referring to the network table.
  • the switch unit 51A obtains the MAC address of the VLAN gateway corresponding to the destination IP address by referring to the ARP table corresponding to the identified VLAN ID.
  • the switch unit 51A creates an Ethernet frame that includes the acquired MAC address as the destination MAC address and includes the IP packet, and stores the Ethernet frame in the storage unit 53.
  • the control unit 52A confirms that the switch unit 51A has stored the Ethernet frame in the storage unit 53A
  • the transmission source IP address and the transmission destination IP address included in the Ethernet frame stored in the storage unit 53A that is, The IP address of the functional unit 111D is confirmed as the transmission source IP address
  • the IP address of the functional unit 111E is confirmed as the transmission destination IP address.
  • control unit 52A registers the IP address of the functional unit 111D and the IP address of the functional unit 111E in the relay information Tab1 as “transmission destination IP address” and “transmission destination IP address”, respectively.
  • the switch unit 51A refers to the address table to identify the communication port 54 corresponding to the destination MAC address, that is, the communication port 54 connected to the switch device 101B.
  • the switch unit 51A acquires the Ethernet frame from the storage unit 53, and transmits the acquired Ethernet frame to the switch device 101B via the specified communication port 54.
  • the switch device 101B operates as an L2 switch for the Ethernet frame transmitted from the switch device 101A, and relays the Ethernet frame to the function unit 111E.
  • the switch device 101 detects unauthorized communication by the function unit 111
  • the verification process for verifying another function unit 111 connected to itself that is, the unauthorized function unit that is the function unit 111 in which unauthorized communication is detected. I do.
  • control unit 52 can detect unauthorized communication such as data being transmitted at a timing different from normal.
  • control unit 52 outputs to the verification unit 55 information indicating that the unauthorized communication has been detected and the port number of the communication port 54 in which the unauthorized communication has been detected.
  • the verification unit 55 refers to the address table held by the switch unit 51 and acquires the MAC address of the function unit 111 of the connection destination from the port number of the communication port 54 in which unauthorized communication is detected.
  • the verification unit 55 refers to the ARP table held by the switch unit 51 and acquires an IP address corresponding to the acquired MAC address.
  • the verification part 55 specifies the function part 111 of the other party of an unauthorized function part based on the relay information Tab1 preserve
  • the function unit 111 other than the unauthorized function unit that is a communication partner of such an unauthorized function unit is also referred to as a primary function unit.
  • the verification unit 55 refers to the relay information Tab1 stored in the storage unit 53, and obtains the acquired IP address, that is, the communication path in which the IP address of the unauthorized function unit is registered as the transmission source IP address. By acquiring the destination IP address, the primary function unit is specified.
  • the verification unit 55 verifies the identified primary function unit. For example, if the functional unit 111C shown in FIG. 1 is an unauthorized functional unit and the IP address of the functional unit 111D is registered in the relay information Tab1 as the corresponding destination IP address, the verification unit 55A Validate. That is, the verification unit 55 determines whether or not the function unit 111D is abnormal.
  • the verification unit 55A generates, for example, an Ethernet frame including a reset command and outputs the Ethernet frame to the switch unit 51A.
  • the switch unit 51A writes MAC-A and MAC-D in the Ethernet frame as the source MAC address and the destination MAC address, respectively.
  • the switch unit 51A identifies the communication port 54A corresponding to the transmission destination MAC address by referring to the address table, and transmits the Ethernet frame received from the verification unit 55A to the functional unit 111D via the identified communication port 54A. To do.
  • the functional unit 111D receives the Ethernet frame including the reset command and restarts.
  • FIG. 5 is a diagram illustrating an example of a configuration of a functional unit in the in-vehicle communication system according to the embodiment of the present invention.
  • the functional unit 111 includes a processor 21, a FROM (Flash Read Only Memory) 26, a DRAM (Dynamic Random Access Memory) 27, and a communication unit 28.
  • the processor 21 includes a built-in hardware (HW) 22, a core unit 23, and a secure ROM 24.
  • HW built-in hardware
  • the built-in hardware 22 is, for example, hardware dedicated to security such as a cryptographic accelerator, and verifies whether data stored in the FROM 26 is valid.
  • the FROM 26 stores, for example, target data TD911 including data and application programs, and a verification value VV911. Data stored in the FROM 26 can be rewritten.
  • the secure ROM 24 is a storage area in which a first encryption key used for verification of the target data TD911 is stored and cannot be accessed from the outside of the processor 21.
  • the secure ROM 24 is a secure storage area in which only access from the built-in hardware 22 is permitted.
  • the first encryption key is stored in the secure ROM 24 when the product is shipped, for example.
  • the first encryption key stored in the secure ROM 24 can be acquired only by the built-in hardware 22 and cannot be rewritten.
  • the secure ROM 24 stores a verification key VK11, which is an example of a first encryption key generated by the key generation tool when the functional unit 111 is manufactured, as a verification value verification key.
  • the generation key GK1 is stored as a verification value generation key corresponding to the verification key VK11.
  • the core unit 23 outputs a verification request for the target data TD911 to the built-in hardware 22.
  • the built-in hardware 22 When the built-in hardware 22 receives the verification request from the core unit 23, the built-in hardware 22 acquires the verification key VK11 and the generation key GK1 from the secure ROM 24 in accordance with the received verification request.
  • the built-in hardware 22 acquires the target data TD911 and the verification value VV911 from the FROM 26 in accordance with the verification request.
  • the built-in hardware 22 verifies the target data TD911 using the acquired target data TD911, verification key VK11, generation key GK1, and verification value VV911.
  • the built-in hardware 22 generates a digest of the target data TD911 from the generation key GK1 and the target data TD911 using the hash function HF1.
  • the built-in hardware 22 generates a digest by decrypting the verification value VV911 using the verification key VK11.
  • the built-in hardware 22 compares the generated digests and determines that the target data TD911 is valid if they match, and determines that the target data TD911 is invalid if they do not match. To do.
  • the built-in hardware 22 can detect an abnormality in its function unit 111.
  • the built-in hardware 22 stores verification result information indicating the determination result in, for example, the FROM 26 and outputs it to the core unit 23.
  • the core unit 23 When the core unit 23 receives the verification result information from the built-in hardware 22, the core unit 23 acquires the target data TD911 from the FROM 26.
  • the core unit 23 operates in accordance with the OS program by executing the boot loader and the OS program, and transitions its own functional unit 111 to the initial state.
  • the functional unit 111D when the functional unit 111D transitions to the initial state, the functional unit 111D can communicate with the switch device 101A.
  • the switch device 101A detects completion of restart by the function unit 111 when communication with the function unit 111 becomes possible. Then, the switch device 101A transmits a confirmation request to the function unit 111D.
  • the verification unit 55A generates an Ethernet frame including a verification result request indicating that verification result information is requested as a confirmation request, and outputs the Ethernet frame to the switch unit 51A.
  • the switch unit 51A writes the transmission source MAC address and the transmission destination MAC address in the Ethernet frame and refers to the address table to identify the communication port 54 corresponding to the transmission destination MAC address, and via the identified communication port 54 Then, the Ethernet frame received from the verification unit 55A is transmitted to the functional unit 111D.
  • the communication unit 28 in the functional unit 111D receives the Ethernet frame including the verification result request from the switching device 101A, the communication unit 28 acquires the verification result request included in the Ethernet frame and outputs the request to the processor 21.
  • the core unit 23 in the processor 21 acquires verification result information from the FROM 26 and outputs the verification result information to the communication unit 28.
  • the communication unit 28 generates an Ethernet frame including the verification result information received from the core unit 23 and transmits the Ethernet frame to the switch device 101A.
  • the switch device 101A When the switch device 101A receives the Ethernet frame transmitted from the functional unit 111D, the switch device 101A stores the received Ethernet frame in the storage unit 53A.
  • the verification unit 55A determines whether or not the functional unit 111D is abnormal by checking the verification result information included in the Ethernet frame stored in the storage unit 53A.
  • the switch device 101A holds a list indicating at least one of an abnormal function unit that is a function unit 111 that is determined to be abnormal in the verification process and an unauthorized function unit that is a function unit 111 in which unauthorized communication is detected.
  • a list is also referred to as a management list.
  • the verification unit 55A refers to the address table held by the switch unit 51A, and acquires the MAC address of the function unit 111 at the connection destination from the port number of the communication port 54A that detected the unauthorized communication. Then, the management list is created, or the management list is updated by registering the acquired MAC address in the created management list, and the management list is stored in the storage unit 53A.
  • the verification unit 55A updates the management list by registering the MAC address of the abnormal function unit in the management list.
  • FIG. 6 is a diagram showing an example of a management list according to the embodiment of the present invention.
  • MAC-C and MAC-D which are the MAC addresses of function unit 111C and function unit 111D shown in FIG. 1, are registered in the management list.
  • the function unit 111C is an unauthorized function unit
  • the function unit 111D is an abnormal function unit.
  • the verification unit 55A transmits the updated management list to another switch device every time the management list is updated. For example, since the switch device 101A illustrated in FIG. 1 is connected to the switch device 101B, the updated management list A is transmitted to the switch device 101B.
  • the verification unit 55A generates an Ethernet frame including the updated management list A and outputs the Ethernet frame to the switch unit 51.
  • the updated management list A for example, as shown in FIG. 6, the function unit 111C is registered as an unauthorized function unit, and the function unit 111D is registered as an abnormal function unit.
  • the switch unit 51A writes MAC-A and MAC-B in the Ethernet frame as the source MAC address and the destination MAC address, respectively.
  • the switch unit 51A refers to the address table to identify the communication port 54A corresponding to the transmission destination MAC address, and transmits the Ethernet frame received from the verification unit 55A to the switch device 101B via the identified communication port 54A. To do.
  • the switch unit 51B when the switch unit 51B receives the Ethernet frame including the management list A from the switch device 101A, the switch unit 51B stores the management list A included in the received Ethernet frame in the storage unit 53B.
  • the verification unit 55 creates a new management list C by merging the management list A and the management list B when the switch device 101B has already stored the management list B in the storage unit 53B.
  • the switch device 101B transmits the created management list C to another switch device 101 such as the switch device 101A.
  • the switch device 101A when the switch device 101A is connected to another switch device 101, the secondary function unit that is the function unit 111 of the communication partner of the abnormal function unit that is the function unit 111 that is determined to be abnormal in the verification process. Then, the management function is given to the other switch device 101 and the secondary function unit is verified.
  • the verification unit 55A specifies the communication partner of the functional unit 111D registered as an abnormal functional unit in the management list A.
  • the verification unit 55A refers to the management list A and acquires the MAC address of the functional unit 111D.
  • the verification unit 55A refers to the ARP table and acquires an IP address corresponding to the acquired MAC address.
  • the verification unit 55A acquires the IP address of the functional unit 111E that is the transmission destination IP address of the communication path in which the acquired IP address is registered as the transmission source IP address by referring to the relay information Tab1 illustrated in FIG. To do.
  • the verification unit 55A refers to the address table, the ARP table, and the network table, and confirms that the functional unit 111E corresponding to the transmission destination IP address is not connected to the switch device 101A but is connected to the switch device 101B. To do.
  • the verification unit 55A transmits the management list A to the switch device 101B. More specifically, the verification unit 55A generates an Ethernet frame including the management list A and outputs the Ethernet frame to the switch unit 51.
  • the switch unit 51A writes MAC-A and MAC-B as the transmission source MAC address and the transmission destination MAC address in the Ethernet frame, respectively.
  • the switch unit 51A refers to the address table to identify the communication port 54A corresponding to the transmission destination MAC address, and transmits the Ethernet frame received from the verification unit 55A to the switch device 101B via the identified communication port 54A. To do.
  • the switch unit 51B receives the Ethernet frame including the management list A from the switch device 101A, and stores the management list A included in the Ethernet frame in the storage unit 53B.
  • the verification unit 55B refers to the management list A stored in the storage unit 53B and acquires MAC addresses corresponding to the unauthorized function unit and the abnormal function unit registered in the management list A.
  • the verification unit 55B refers to the ARP table and acquires an IP address corresponding to the acquired MAC address. Then, the verification unit 55B searches for the functional unit 111 in which the acquired IP address is registered as the transmission source IP address in the relay information Tab2 stored in the storage unit 53B.
  • FIG. 7 is a diagram showing another example of relay information in the switch device according to the embodiment of the present invention.
  • IP-D is registered as the source IP address and IP-E is registered as the destination IP address.
  • the verification unit 55B refers to the relay information Tab2 and determines whether IP-D is registered as the transmission source IP address. Search for.
  • the verification unit 55B specifies the functional unit 111E as a secondary functional unit by acquiring IP-E, which is the transmission destination IP address of the communication path in which IP-D is registered as the transmission source IP address.
  • the verification part 55B further verifies the function part 111E specified as the secondary function part as a verification process.
  • the verification unit 55B updates the management list A by registering the function unit 111E as the abnormal function unit in the management list A.
  • the verification unit 55B transmits the updated management list A to the switch device 101A.
  • the verification unit 55B searches for the secondary function unit of the function unit 111E identified as the abnormal function unit by the same processing as described above. Then, when the secondary function unit exists, the verification unit 55B verifies the secondary function unit.
  • the verification unit 55B continues the above processing until the secondary function units for all abnormal function units registered in the management list A are verified.
  • the verification unit 55B may create a management list after the above-described verification processing is completed, and register the unauthorized function unit and the abnormal function unit.
  • the switch device 101 acquires verification data for stored data from the functional unit 111 and verifies the functional unit 111 using the acquired verification data.
  • the switch device 101 acquires verification data of stored data from the functional unit 111 and uses the acquired verification data The function unit 111 is verified.
  • the switch device 101 writes the firmware of the functional unit 111, for example, when the functional unit 111 is manufactured and when the firmware of the functional unit is updated.
  • the switch device 101 calculates a hash value of the firmware to be written using a hash function. Further, the switch device 101 calculates a checksum of the firmware to be written.
  • the switch device 101 stores the calculated hash value and checksum in the storage unit 53 in association with the function unit 111.
  • FIG. 8 is a diagram showing an example of a check value table held by the switch device according to the embodiment of the present invention.
  • the hash value and checksum of the firmware written by switch device 101A to functional unit 111C are HASH-C and SUM-C, respectively, and the firmware written by switch device 101A to functional unit 111D
  • the hash value and checksum of HASH-D and SUM-D are respectively.
  • the switch device 101A transmits a reset command to the function unit 111D to forcibly restart the function unit 111D.
  • the functional unit 111D can communicate with the switch device 101A when the restart is completed and the state transitions to the initial state.
  • the switch device 101A detects completion of restart by the functional unit 111D by enabling communication with the functional unit 111D. Then, the switch device 101A transmits a confirmation request to the function unit 111D.
  • the verification unit 55A generates an Ethernet frame including a verification data request for requesting verification data as a confirmation request and outputs the Ethernet frame to the switch unit 51A.
  • the switch unit 51A specifies the communication port 54 corresponding to the transmission destination MAC address by writing the transmission source MAC address and the transmission destination MAC address in the Ethernet frame and referring to the address table, and via the identified communication port 54
  • the Ethernet frame received from the verification unit 55A is transmitted to the function unit 111D.
  • the communication unit 28 in the functional unit 111D receives the Ethernet frame including the verification data request from the switch device 101A, the communication unit 28 acquires the verification data request included in the Ethernet frame and outputs the request to the processor 21.
  • the core unit 23 in the processor 21 acquires the hash value and checksum of the firmware written in itself, which is the verification data stored in the FROM 26, for example, and the communication unit To 28.
  • the communication unit 28 generates an Ethernet frame including verification data received from the core unit 23 and transmits the Ethernet frame to the switch device 101A.
  • the switch device 101A When the switch device 101A receives the Ethernet frame transmitted from the functional unit 111D, the switch device 101A stores the received Ethernet frame in the storage unit 53A.
  • the verification unit 55A acquires the hash value and checksum included in the Ethernet frame stored in the storage unit 53A.
  • the verification unit 55A collates the acquired hash value and checksum with the hash value and checksum of the check value table stored in the storage unit 53A.
  • the verification unit 55A determines that the corresponding functional unit 111 is abnormal when the collated hash value and checksum do not match.
  • the switch device 101 acquires authentication data of stored data from the function unit 111, and verifies the function unit 111 using the acquired authentication data.
  • the switch device 101A transmits a reset command to the function unit 111D to forcibly restart the function unit 111D in the verification process.
  • the functional unit 111D can communicate with the switch device 101A when the restart is completed and the state transitions to the initial state.
  • the switch device 101A detects completion of restart by the functional unit 111D by enabling communication with the functional unit 111D. Then, the switch device 101A transmits a confirmation request to the function unit 111D.
  • the switch device 101A requests authentication using, for example, an ID and a password using a predetermined protocol.
  • the verification unit 55A generates an Ethernet frame that includes an authentication data request for requesting authentication data as a confirmation request, and outputs the Ethernet frame to the switch unit 51A.
  • the switch unit 51A specifies the communication port 54 corresponding to the transmission destination MAC address by writing the transmission source MAC address and the transmission destination MAC address in the Ethernet frame and referring to the address table, and via the identified communication port 54
  • the Ethernet frame received from the verification unit 55A is transmitted to the function unit 111D.
  • the communication unit 28 in the functional unit 111D receives the Ethernet frame including the authentication data request from the switch device 101A, the communication unit 28 acquires the authentication data request included in the Ethernet frame and outputs it to the processor 21.
  • the core unit 23 in the processor 21 receives an authentication data request from the communication unit 28, the core unit 23 acquires, for example, an ID and a password that are authentication data stored in the FROM 26 and outputs them to the communication unit 28.
  • the communication unit 28 generates an Ethernet frame including the authentication data received from the core unit 23 and transmits the Ethernet frame to the switch device 101A.
  • the switch device 101A When the switch device 101A receives the Ethernet frame transmitted from the functional unit 111D, the switch device 101A stores the received Ethernet frame in the storage unit 53A.
  • the verification unit 55A acquires the ID and password included in the stored Ethernet frame, and authenticates the functional unit 111D using the acquired ID and password.
  • the verification unit 55A determines that the functional unit 111D is abnormal when re-authentication cannot be performed.
  • Each device in the in-vehicle communication system 301 includes a computer, and an arithmetic processing unit such as a CPU in the computer reads and executes a program including a part or all of each step of the following sequence diagram or flowchart from a memory (not shown). To do.
  • Each of the programs of the plurality of apparatuses can be installed from the outside. The programs of the plurality of apparatuses are distributed while being stored in a recording medium.
  • FIG. 9 is a diagram showing a sequence of processing for verifying unauthorized communication in the in-vehicle communication system according to the embodiment of the present invention.
  • FIG. 9 representatively shows processing in which the switch device 101A and the switch device 101B verify unauthorized communication.
  • switch device 101A detects unauthorized communication at its own communication port 54 (step S101).
  • the switching device 101A identifies the unauthorized function unit that is the transmission source in the unauthorized communication as the function unit 111C (step S102).
  • the switching device 101A refers to the relay information Tab1, searches for the primary function unit, and identifies the function unit 111D as the primary function unit (step S103).
  • Step S104 the switch device 101A transmits a reset command to the functional unit 111D.
  • the function unit 111D is restarted by the received reset command.
  • the function unit 111D can communicate with the switch device 101A (step S105).
  • the switch device 101A transmits a confirmation request for requesting various data of verification result information, verification data, or authentication data to the functional unit 111D (step S106). .
  • the functional unit 111D transmits the verification result information, verification data, or authentication data to the switch device 101A (step S107).
  • the switching device 101A determines that the functional unit 111D is an abnormal functional unit by confirming the verification result information, the verification data, or the authentication data (step S108).
  • the switch device 101A searches for the secondary function unit that is the function unit 111 of the communication partner of the abnormal function unit, and identifies the function unit 111E as the secondary function unit (step S109).
  • the switching device 101A refers to the relay information Tab1 and confirms that the functional unit 111E is connected to the switching device 101B, and the functional unit 111C that is an unauthorized functional unit and the functional unit 111D that is an abnormal functional unit. Is registered in the management list (step S110).
  • the switch device 101A transmits a management list to the switch device 101B (step S111).
  • the switching device 101B refers to the received management list and the relay information Tab2, and searches for the primary function unit and the secondary function unit, thereby identifying the function unit 111E as the secondary function unit (step S112).
  • Step S113 the switch device 101B transmits a reset command to the function unit 111E.
  • the functional unit 111E is restarted by the received reset command.
  • the function unit 111E can communicate with the switch device 101B (step S114).
  • the switching device 101B transmits a confirmation request for requesting various data of verification result information, verification data, or authentication data to the functional unit 111E (step S115). .
  • the functional unit 111E transmits the verification result information, verification data, or authentication data to the switch device 101B (step S116).
  • the switching device 101B determines that the functional unit 111E is an abnormal functional unit by confirming the verification result information, the verification data, or the authentication data (step S117).
  • the switch device 101B registers the function unit 111E in the management list (step S118).
  • the switch device 101B transmits the management list to the switch device 101A (step S119).
  • FIG. 10 is a flowchart that defines an operation procedure when the switch device according to the embodiment of the present invention performs a verification process for verifying unauthorized communication.
  • switch device 101 detects unauthorized communication at its own communication port 54 (step S201).
  • the switch device 101 identifies an unauthorized function unit that is a transmission source in unauthorized communication (step S202).
  • the switch device 101 refers to the relay information Tab1 and searches for the primary function unit (step S203).
  • the switch device 101 when the primary function unit does not exist (NO in step S203), the switch device 101 generates or updates a management list (step S209), and transmits the management list to another switch device 101 (step S210). .
  • the management list is transferred to another list. It transmits to the switch apparatus 101 (step S210).
  • step S204 when the primary function unit is connected to its own switch device 101 (YES in step S204), the switch device 101 verifies the primary function unit (step S205).
  • step S205 when it is determined in the verification process that the primary function unit is normal (NO in step S205), the switch device 101 generates or updates a management list (step S209), and the management list is transferred to another switch device. 101 is transmitted (step S210).
  • the switching device 101 refers to the relay information Tab1 and is the function unit 111 of the communication partner of the abnormal function unit.
  • the next function unit is searched (step S206).
  • the switch device 101 when the secondary function unit does not exist (NO in step S206), the switch device 101 generates or updates a management list (step S209), and transmits the management list to another switch device 101 (step S210). .
  • step S206 if the switch device 101 has a secondary function unit (YES in step S206) and the secondary function unit is connected to another switch device 101 (NO in step S207), a management list is generated or The management list is updated (step S209), and the management list is transmitted to the other switch device 101 (step S210).
  • step S207 when the secondary function unit is connected to its own switch device 101 (YES in step S207), the switch device 101 verifies the secondary function unit (step S208).
  • the switch device 101 when it is determined in the verification process that the secondary function unit is normal (NO in step S208), the switch device 101 generates or updates a management list (step S209), and the management list is transferred to another switch device. 101 is transmitted (step S210).
  • the switch device 101 refers to the relay information Tab1 and is the function unit 111 of the communication partner of the abnormal function unit.
  • the next function unit is searched (step S206).
  • the control unit 52 is configured to detect unauthorized communication.
  • the switch device 101 may be configured to acquire information indicating that unauthorized communication has been detected from another switch device 101 connected to itself or the function unit 111. In this case, when acquiring information indicating that unauthorized communication has been detected, the control unit 52 outputs the information to the verification unit 55.
  • the verification unit 55 is configured to determine whether or not the functional unit 111 is abnormal as verification processing, but is not limited thereto. .
  • the verification unit 55 may be configured to determine the possibility that the functional unit 111 is abnormal as the verification process.
  • the switch device 101 is configured to identify the primary function unit based on the relay information and verify the primary function unit. It is not limited.
  • the switch device 101 may be configured to verify all functional units 111 connected to itself without using relay information, for example.
  • the switch device 101 is configured to further verify the secondary function unit.
  • the present invention is not limited to this.
  • the switch device 101 may be configured to limit the verification of the primary function unit.
  • the switch device 101 is configured to hold a management list, but the present invention is not limited to this.
  • the switch device 101 may be configured to perform verification processing without holding a management list.
  • the switch device 101 transmits a management list to another switch device 101 connected to itself, and a functional unit connected to the other switch device 101.
  • the configuration is such that 111 is verified, the present invention is not limited to this.
  • the switch device 101 may be configured not to transmit a management list to other switch devices 101.
  • the switch device 101 is configured to transmit the management list to another switch device every time the management list is updated.
  • the present invention is not limited to this. Absent.
  • the switch device 101 may be configured to transmit the management list to another switch device at a predetermined timing.
  • the switch device 101 performs a relay process for relaying communication data between the plurality of functional units 111.
  • the switch device 101 performs a verification process for verifying the function unit 111 other than the unauthorized function unit that is the function unit 111 in which the unauthorized communication is detected.
  • the switch device 101 performs relay processing using relay information indicating the communication relationship between the functional units 111, and unauthorized communication is detected as verification processing. Based on the relay information, the function unit 111 of the communication partner of the unauthorized function unit that is the function unit 111 is specified, and the specified function unit 111 is verified.
  • the switch device 101 performs the verification process as the function unit 111 of the communication partner of the abnormal function unit that is determined to be abnormal in the verification process.
  • the secondary function unit is further verified.
  • the switch device 101 is an unauthorized function unit that is a function unit 111 in which unauthorized communication is detected and a function unit 111 that is determined to be abnormal in the verification process.
  • a management list indicating at least one of the abnormal function units is held.
  • the switch device 101 is a secondary function that is the function unit 111 of the communication partner of the abnormal function unit that is the function unit 111 that is determined to be abnormal in the verification process.
  • a processing list is given to the other switch device 101 to verify the secondary function unit.
  • the switch device 101 transmits the updated management list to another switch device 101 every time the management list is updated.
  • the information of the specified functional unit 111 can be always shared between the switch devices 101, and a wider range of verification processing can be performed.
  • the switch device 101 acquires the verification data of the stored data from the functional unit 111 in the verification process, and uses the acquired verification data to switch the functional unit 111. Validate.
  • the switch device 101 can detect an abnormality such as falsification of the firmware of the functional unit 111.
  • the switch device 101 acquires authentication data of stored data from the function unit 111 in the verification process, and uses the acquired authentication data to switch the function unit 111. Verify.
  • the switch unit 51 performs a relay process for relaying communication data between a plurality of functional units.
  • the verification unit 55 performs a verification process for verifying the function unit 111 other than the unauthorized function unit that is the function unit 111 in which the unauthorized communication is detected.
  • the switch device 101 acquires the detection result of unauthorized communication by the functional unit 111.
  • the switch device 101 transmits a confirmation request to the function unit 111 of the communication partner of the unauthorized function unit that is the function unit 111 in which the unauthorized communication is detected.
  • the function unit 111 of the communication partner of the unauthorized function unit transmits response information to the confirmation request to the switch device 101.
  • the verification method in the switch device first, the detection result of unauthorized communication by the function unit 111 is acquired. Next, when unauthorized communication by the function unit 111 is detected, a verification process is performed to verify the function units 111 other than the unauthorized function unit that is the function unit 111 in which the unauthorized communication is detected.
  • [Appendix 1] A plurality of functional units; One or a plurality of switch devices that perform relay processing for relaying communication data between the functional units; The switch device performs a verification process for verifying the function unit other than the unauthorized function unit, which is the function unit in which the unauthorized communication is detected, when unauthorized communication by the function unit is detected, The switch device transmits, as the verification process, a confirmation request to a function unit other than the unauthorized function unit, and information indicating a determination result of whether or not its own data is valid from the function unit other than the unauthorized function unit In-vehicle communication system that receives
  • a switch device used in an in-vehicle communication system A switch unit that performs relay processing for relaying communication data between a plurality of functional units; A verification unit that performs a verification process for verifying the functional unit other than the unauthorized functional unit that is the functional unit in which the unauthorized communication is detected when the unauthorized communication is detected by the functional unit; The verification unit transmits a confirmation request to the function unit other than the unauthorized function unit via the switch unit as the verification process, The switch unit receives information indicating a determination result of whether or not its own data is valid from a function unit other than the unauthorized function unit.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Small-Scale Networks (AREA)

Abstract

車載通信システムは、複数の機能部と、前記機能部間の通信データを中継する中継処理を行う１または複数のスイッチ装置とを備え、前記スイッチ装置は、前記機能部による不正通信が検知された場合、不正通信が検知された前記機能部である不正機能部以外の前記機能部を検証する検証処理を行う。

Description

車載通信システム、スイッチ装置、検証方法および検証プログラム
　本発明は、車載通信システム、スイッチ装置、検証方法および検証プログラムに関する。
　この出願は、２０１８年２月２８日に出願された日本出願特願２０１８－３４０４４号を基礎とする優先権を主張し、その開示のすべてをここに取り込む。
　特許文献１（特開２０１７－１２３６３９号公報）には、以下のような不正検知方法が開示されている。すなわち、バスを介して通信を行う複数の電子制御ユニットを備える車載ネットワークシステムにおいて不正状態が発生したことを検知するための不正検知方法であって、第１識別子を有するフレームと、第１識別子とは異なる識別子を有するフレームとの内容の関係についての条件である第１条件を示す不正検知ルール情報を用いて、前記バスから受信されたフレームの集合が当該第１条件を満たすか否かを判定し、当該第１条件が満たされない場合に不正状態が発生したと検知する。
特開２０１７－１２３６３９号公報
　（１）本開示の車載通信システムは、複数の機能部と、前記機能部間の通信データを中継する中継処理を行う１または複数のスイッチ装置とを備え、前記スイッチ装置は、前記機能部による不正通信が検知された場合、不正通信が検知された前記機能部である不正機能部以外の前記機能部を検証する検証処理を行う。
　（９）本開示のスイッチ装置は、車載通信システムにおいて用いられるスイッチ装置であって、複数の機能部間の通信データを中継する中継処理を行うスイッチ部と、前記機能部による不正通信が検知された場合、不正通信が検知された前記機能部である不正機能部以外の前記機能部を検証する検証処理を行う検証部とを備える。
　（１０）本開示の検証方法は、複数の機能部と、前記機能部間の通信データを中継する中継処理を行う１または複数のスイッチ装置とを備える車載通信システムにおける検証方法であって、前記スイッチ装置が、前記機能部による不正通信の検知結果を取得するステップと、前記スイッチ装置が、不正通信が検知された前記機能部である不正機能部の通信相手の前記機能部へ確認要求を送信するステップと、前記不正機能部の通信相手の前記機能部が、前記確認要求に対する応答情報を前記スイッチ装置へ送信するステップとを含む。
　（１１）本開示の検証方法は、複数の機能部間の通信データを中継する中継処理を行うスイッチ装置における検証方法であって、前記機能部による不正通信の検知結果を取得するステップと、前記機能部による不正通信が検知された場合、不正通信が検知された前記機能部である不正機能部以外の前記機能部を検証する検証処理を行うステップとを含む。
　（１２）本開示の検証プログラムは、スイッチ装置において用いられる検証プログラムであって、コンピュータを、複数の機能部間の通信データを中継する中継処理を行うスイッチ部と、前記機能部による不正通信が検知された場合、不正通信が検知された前記機能部である不正機能部以外の前記機能部を検証する検証処理を行う検証部、として機能させるためのプログラムである。
　本開示の一態様は、このような特徴的な処理部を備える車載通信システムとして実現され得るだけでなく、かかる特徴的な処理をコンピュータに実行させるためのプログラムとして実現され得る。また、本開示の一態様は、車載通信システムの一部または全部を実現する半導体集積回路として実現され得る。
　本開示の一態様は、このような特徴的な処理部を備えるスイッチ装置として実現され得るだけでなく、スイッチ装置の一部または全部を実現する半導体集積回路として実現され得る。
図１は、本発明の実施の形態に係る車載通信システムの構成を示す図である。 図２は、本発明の実施の形態に係る車載通信システムにおける各装置のＶＩＤ、ＭＡＣアドレスおよびＩＰアドレスの一例を示す図である。 図３は、本発明の実施の形態に係る車載通信システムにおけるスイッチ装置の構成を示す図である。 図４は、本発明の実施の形態に係るスイッチ装置における中継情報の一例を示す図である。 図５は、本発明の実施の形態に係る車載通信システムにおける機能部の構成の一例を示す図である。 図６は、本発明の実施の形態に係る管理リストの一例を示す図である。 図７は、本発明の実施の形態に係るスイッチ装置における中継情報の他の例を示す図である。 図８は、本発明の実施の形態に係るスイッチ装置の保持するチェック値テーブルの一例を示す図である。 図９は、本発明の実施の形態に係る車載通信システムにおいて不正通信を検証する処理のシーケンスを示す図である。 図１０は、本発明の実施の形態に係るスイッチ装置が不正通信を検証する検証処理を行う際の動作手順を定めたフローチャートである。
　従来、車載ネットワークにおけるセキュリティを向上させるための車載ネットワークシステムが開発されている。
　［本開示が解決しようとする課題］
　特許文献１に記載の車載ネットワークでは、車載ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）間で送受信される通信データを中継する通信ゲートウェイが設けられる。
　車載ネットワークにおいて不正状態が発生した場合に適切に対処可能な技術が望まれる。
　本開示は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおける不正に対して対処する機能を向上させることが可能な車載通信システム、スイッチ装置、検証方法および検証プログラムを提供することである。
　［本開示の効果］
　本開示によれば、車載ネットワークにおける不正に対して対処する機能を向上させることができる。
　［本願発明の実施形態の説明］
　最初に、本発明の実施形態の内容を列記して説明する。
　（１）本発明の実施の形態に係る車載通信システムは、複数の機能部と、前記機能部間の通信データを中継する中継処理を行う１または複数のスイッチ装置とを備え、前記スイッチ装置は、前記機能部による不正通信が検知された場合、不正通信が検知された前記機能部である不正機能部以外の前記機能部を検証する検証処理を行う。
　このような構成により、機能部におけるファームウェアの不正な書き換え等により不正通信が行われた場合、不正または異常状態である可能性がある当該機能部の通信相手の機能部の検証を行い、被害が拡大することを抑制することができる。したがって、車載ネットワークにおける不正に対して対処する機能を向上させることができる。
　（２）好ましくは、前記スイッチ装置は、前記機能部間の通信の関係を示す中継情報を用いて前記中継処理を行い、前記検証処理として、前記不正通信が検知された前記機能部である不正機能部の通信相手の前記機能部を前記中継情報に基づいて特定し、特定した前記機能部を検証する。
　このような構成により、不正通信を行った機能部と通信を行う機能部を正しくかつ容易に特定し、検証することができる。
　（３）好ましくは、前記スイッチ装置は、前記検証処理として、前記検証処理において異常であると判定された前記機能部である異常機能部の通信相手の前記機能部である２次機能部をさらに検証する
　このように段階的に検証を行う構成により、不正または異常状態である可能性がある機能部を特定し、被害が拡大する前に適切な処置を行うことができる。
　（４）好ましくは、前記車載通信システムは、複数の前記スイッチ装置を備え、前記スイッチ装置は、前記不正機能部および前記検証処理において異常であると判定された前記機能部である異常機能部の少なくともいずれか一方を示すリストを保持する。
　このような構成により、特定した機能部が示されたリストを用いて各種の処置を容易に行うことができる。
　（５）より好ましくは、前記スイッチ装置は、前記異常機能部の通信相手の前記機能部である２次機能部が他の前記スイッチ装置に接続されている場合、前記他のスイッチ装置に前記リストを与えて前記２次機能部を検証させる処理を行う。
　このような構成により、自己のスイッチ装置と直接接続されていない機能部に対して、他のスイッチ装置経由で検証処理を行うことができる。
　（６）より好ましくは、前記スイッチ装置は、前記リストを更新するたびに更新後の前記リストを他の前記スイッチ装置へ送信する。
　このような構成により、特定した機能部の情報をスイッチ装置間において常時共有し、より広い範囲の検証処理を行うことができる。
　（７）好ましくは、前記スイッチ装置は、前記検証処理において、前記機能部から記憶データの検証用データを取得し、取得した前記検証用データを用いて前記機能部を検証する。
　このような構成により、スイッチ装置において、機能部のファームウェアの改ざん等の異常を検知することができる。
　（８）好ましくは、前記スイッチ装置は、前記検証処理において、前記機能部から記憶データの認証用データを取得し、取得した前記認証用データを用いて前記機能部を検証する。
　このような構成により、より簡易な処理でファームウェアの改ざん等の異常を検知することができる。
　（９）本発明の実施の形態に係るスイッチ装置は、車載通信システムにおいて用いられるスイッチ装置であって、複数の機能部間の通信データを中継する中継処理を行うスイッチ部と、前記機能部による不正通信が検知された場合、不正通信が検知された前記機能部である不正機能部以外の前記機能部を検証する検証処理を行う検証部とを備える。
　このような構成により、機能部におけるファームウェアの不正な書き換え等により不正通信が行われた場合、不正または異常状態である可能性がある当該機能部の通信相手の機能部の検証を行い、被害が拡大することを抑制することができる。したがって、車載ネットワークにおける不正に対して対処する機能を向上させることができる。
　（１０）本発明の実施の形態に係る検証方法は、複数の機能部と、前記機能部間の通信データを中継する中継処理を行う１または複数のスイッチ装置とを備える車載通信システムにおける検証方法であって、前記スイッチ装置が、前記機能部による不正通信の検知結果を取得するステップと、前記スイッチ装置が、不正通信が検知された前記機能部である不正機能部の通信相手の前記機能部へ確認要求を送信するステップと、前記不正機能部の通信相手の前記機能部が、前記確認要求に対する応答情報を前記スイッチ装置へ送信するステップとを含む。
　このような構成により、機能部におけるファームウェアの不正な書き換え等により不正通信が行われた場合、不正または異常状態である可能性がある当該機能部の通信相手の機能部の検証を行い、被害が拡大することを抑制することができる。したがって、車載ネットワークにおける不正に対して対処する機能を向上させることができる。
　（１１）本発明の実施の形態に係る検証方法は、複数の機能部間の通信データを中継する中継処理を行うスイッチ装置における検証方法であって、前記機能部による不正通信の検知結果を取得するステップと、前記機能部による不正通信が検知された場合、不正通信が検知された前記機能部である不正機能部以外の前記機能部を検証する検証処理を行うステップとを含む。
　このような構成により、機能部におけるファームウェアの不正な書き換え等により不正通信が行われた場合、不正または異常状態である可能性がある当該機能部の通信相手の機能部の検証を行い、被害が拡大することを抑制することができる。したがって、車載ネットワークにおける不正に対して対処する機能を向上させることができる。
　（１２）本発明の実施の形態に係る検証プログラムは、スイッチ装置において用いられる検証プログラムであって、コンピュータを、複数の機能部間の通信データを中継する中継処理を行うスイッチ部と、前記機能部による不正通信が検知された場合、不正通信が検知された前記機能部である不正機能部以外の前記機能部を検証する検証処理を行う検証部、として機能させるためのプログラムである。
　このような構成により、機能部におけるファームウェアの不正な書き換え等により不正通信が行われた場合、不正または異常状態である可能性がある当該機能部の通信相手の機能部の検証を行い、被害が拡大することを抑制することができる。したがって、車載ネットワークにおける不正に対して対処する機能を向上させることができる。
　以下、本発明の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。
　［構成および基本動作］
　図１は、本発明の実施の形態に係る車載通信システムの構成を示す図である。
　図１を参照して、車載通信システム３０１は、スイッチ装置１０１Ａ，１０１Ｂと、機能部１１１Ｃ，１１１Ｄ，１１１Ｅ，１１１Ｆとを備える。車載通信システム３０１は、車両１に搭載される。
　以下、スイッチ装置１０１Ａ，１０１Ｂの各々を、スイッチ装置１０１とも称する。また、機能部１１１Ｃ，１１１Ｄ，１１１Ｅ，１１１Ｆの各々を、機能部１１１とも称する。
　なお、車載通信システム３０１は、２つのスイッチ装置１０１を備える構成に限らず、１つ、または３つ以上のスイッチ装置１０１を備える構成であってもよい。
　なお、車載通信システム３０１は、４つの機能部１１１を備える構成に限らず、２つ、３つ、４つまたは６つ以上の機能部１１１を備える構成であってもよい。
　機能部１１１は、たとえば、自動運転ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）、運転支援装置およびセンサ等であり、スイッチ装置１０１と通信を行うことが可能である。
　車両１の車載ネットワークにおける各スイッチ装置１０１および各機能部１１１の接続関係は、たとえば固定されている。
　スイッチ装置１０１および機能部１１１は、たとえば、車載のイーサネット（登録商標）通信用のケーブル（以下、イーサネットケーブルとも称する。）１０により互いに接続されている。
　スイッチ装置１０１および機能部１１１は、イーサネットケーブル１０を用いて互いに通信する。スイッチ装置１０１および機能部１１１間では、たとえば、ＩＥＥＥ８０２．３に従うイーサネットフレームを用いて通信データのやり取りが行われる。
　図２は、本発明の実施の形態に係る車載通信システムにおける各装置のＶＩＤ、ＭＡＣアドレスおよびＩＰアドレスの一例を示す図である。
　図２を参照して、車載ネットワークにおいて、たとえば、機能部１１１Ｃ，１１１Ｄと機能部１１１Ｅ，１１１Ｆとは、互いに異なるＶＬＡＮ（Ｖｉｒｔｕａｌ　Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）に属する。
　この例では、機能部１１１Ｃ，１１１Ｄの属するＶＬＡＮのＩＤ（以下、ＶＩＤとも称する。）は、１である。また、機能部１１１Ｅ，１１１Ｆの属するＶＩＤは、２である。
　スイッチ装置１０１および機能部１１１は、固有のＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）アドレスおよびＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）アドレスを有する。
　再び図１を参照して、スイッチ装置１０１は、車載ネットワークにおける各機能部１１１間のデータを中継する中継処理を行う。
　より詳細には、スイッチ装置１０１は、たとえば、レイヤ２、およびレイヤ２よりも上位のレイヤ３に従って中継処理を行うことが可能である。
　具体的には、車載ネットワークでは、たとえば、ＩＰプロトコルに従って、ＩＰパケットを用いて情報の送受信が行われる。ＩＰパケットは、イーサネットフレームに格納されて伝送される。
　スイッチ装置１０１は、車載ネットワークにおけるデータを中継処理する。具体的には、スイッチ装置１０１は、各機能部１１１間で伝送されるイーサネットフレームを中継する。
　詳細には、スイッチ装置１０１は、複数のレイヤを有する通信プロトコルに従って動作する。より詳細には、スイッチ装置１０１は、Ｌ２（レイヤ２）スイッチとして機能することが可能であり、同じＶＬＡＮに属する機能部１１１間で伝送されるイーサネットフレームを中継する。
　また、スイッチ装置１０１は、Ｌ３（レイヤ３）中継装置としても機能することが可能であり、異なるＶＬＡＮに属する機能部１１１間のイーサネットフレームを中継する。
　具体的には、機能部１１１ＣがＩＰパケットを機能部１１１Ｄへ送信する場合、このＩＰパケットには、送信元ＩＰアドレスおよび送信先ＩＰアドレスとして、ＩＰ－ＣおよびＩＰ－Ｄがそれぞれ含まれる。
　機能部１１１Ｃは、自己と機能部１１１Ｄとが同じＶＬＡＮに属していることから、１、ＭＡＣ－ＣおよびＭＡＣ－Ｄを、ＶＩＤ、送信元ＭＡＣアドレスおよび送信先ＭＡＣアドレスとしてそれぞれイーサネットフレームに書き込む。
　機能部１１１Ｃは、ＩＰパケットを格納したイーサネットフレームをスイッチ装置１０１Ａへ送信する。
　スイッチ装置１０１Ａは、機能部１１１Ｃからイーサネットフレームを受信すると、受信したイーサネットフレームに対してレイヤ２のスイッチ処理を行うことで、イーサネットフレームを機能部１１１Ｄへ送信する。
　また、機能部１１１ＣがＩＰパケットを機能部１１１Ｅへ送信する場合、このＩＰパケットには、送信元ＩＰアドレスおよび送信先ＩＰアドレスとして、ＩＰ－ＣおよびＩＰ－Ｅがそれぞれ含まれる。
　機能部１１１Ｃは、自己と機能部１１１Ｅとが異なるＶＬＡＮに属していることから、１、デフォルトゲートウェイであるスイッチ装置１０１ＡのＭＡＣアドレスすなわちＭＡＣ－Ａ、およびＭＡＣ－Ｃを、ＶＩＤ、送信先ＭＡＣアドレスおよび送信元ＭＡＣアドレスとしてそれぞれイーサネットフレームに書き込む。
　機能部１１１Ｃは、ＩＰパケットを格納したイーサネットフレームをスイッチ装置１０１Ａへ送信する。
　スイッチ装置１０１Ａは、機能部１１１Ｃからイーサネットフレームを受信すると、受信したイーサネットフレームに対してレイヤ３の中継処理を行うことで、イーサネットフレームを機能部１１１Ｅへ送信する。
　［課題］
　スイッチ装置１０１Ａは、たとえば、通常と異なるタイミングでデータが送信される等の不正通信を検知することができる。この場合、スイッチ装置１０１Ａは、たとえば機能部１１１Ｃと不正通信を検知すると、機能部１１１Ｃとの通信を停止する等の処置を行う。
　しかしながら、この場合、スイッチ装置１０１Ａに接続されている機能部１１１Ｄおよびスイッチ装置１０１Ｂは、不正通信の影響により不具合を生じる可能性がある。また、スイッチ装置１０１Ｂに接続されている機能部１１１Ｅおよび機能部１１１Ｆも不具合を生じる可能性がある。
　これに対して、本発明の実施の形態に係るスイッチ装置では、以下のような構成および動作により、上記課題を解決する。
　［スイッチ装置の構成］
　図３は、本発明の実施の形態に係る車載通信システムにおけるスイッチ装置の構成を示す図である。
　図３を参照して、スイッチ装置１０１は、スイッチ部５１と、制御部５２と、記憶部５３と、複数の通信ポート５４と、検証部５５とを備える。
　一例として、図１に示すスイッチ装置１０１Ａは、スイッチ部５１Ａと、制御部５２Ａと、記憶部５３Ａと、複数の通信ポート５４Ａと、検証部５５Ａとを備える。スイッチ装置１０１Ｂは、スイッチ部５１Ｂと、制御部５２Ｂと、記憶部５３Ｂと、複数の通信ポート５４Ｂと、検証部５５Ｂとを備える。
　スイッチ装置１０１における通信ポート５４は、たとえばイーサネットケーブル１０を接続可能な端子である。なお、通信ポート５４は、集積回路の端子であってもよい。
　複数の通信ポート５４の各々は、イーサネットケーブル１０を介して複数の機能部１１１のうちのいずれか１つに接続されている。また、複数の通信ポート５４の各々は、たとえばＶＬＡＮと対応付けられている。
　スイッチ部５１は、機能部１１１間の通信の関係を示す中継情報を用いて通信データを中継する中継処理を行う。記憶部５３は、中継すべき通信データを保持する。
　図４は、本発明の実施の形態に係るスイッチ装置における中継情報の一例を示す図である。
　図４を参照して、中継情報Ｔａｂ１は、通信データの送信元と送信先との対応関係を示す。中継情報Ｔａｂ１には、送信元ＩＰアドレスであるＩＰ－Ｃに対応する送信先ＩＰアドレスとしてＩＰ－Ｄが登録され、送信元ＩＰアドレスであるＩＰ－Ｄに対応する送信先ＩＰアドレスとしてＩＰ－Ｅが登録されている。
　制御部５２は、スイッチ部５１における中継処理を監視することにより、スイッチ部５１において中継される通信データの通信経路を取得して中継情報Ｔａｂ１に登録する。スイッチ装置１０１は、中継情報Ｔａｂ１を記憶部５３に保存している。
　より詳細には、スイッチ部５１は、たとえば、Ｌ２スイッチとして動作し、同じＶＬＡＮに属する機能部１１１間のイーサネットフレームを中継する。
　具体的には、スイッチ部５１は、たとえば、通信ポート５４のポート番号とＶＬＡＮのＩＤおよび接続先装置のＭＡＣアドレスとの対応関係を示すアドレステーブルを保持する。
　たとえば、スイッチ装置１０１Ａにおいて、スイッチ部５１Ａは、機能部１１１Ｃからイーサネットフレームを受信すると、受信したイーサネットフレームを記憶部５３Ａに保存するとともにイーサネットフレームの宛先ＭＡＣアドレスを確認する。
　このとき、制御部５２Ａは、スイッチ部５１Ａが機能部１１１Ｃから対応の通信ポート５４Ａ経由で受信したイーサネットフレームを記憶部５３Ａに保存したことを確認すると、記憶部５３Ａに保存されたイーサネットフレームに含まれる送信元ＩＰアドレスおよび送信先ＩＰアドレス、すなわち、それぞれ送信元ＩＰアドレスとして機能部１１１ＣのＩＰアドレス、および送信先ＩＰアドレスとして機能部１１１ＤのＩＰアドレスを確認する。
　そして、制御部５２Ａは、確認したそれぞれのＩＰアドレスを、「送信元ＩＰアドレス」および「送信先ＩＰアドレス」として中継情報Ｔａｂ１に登録する。
　なお、中継情報Ｔａｂ１では、「送信元ＩＰアドレス」および「送信先ＩＰアドレス」を用いて通信経路が登録されたが、これに限らず、「受信元ＭＡＣアドレス」および「送信先ＭＡＣアドレス」、または「受信元の通信ポート５４Ａのポート番号」および「送信先の通信ポート５４Ａのポート番号」を用いて通信経路が登録されてもよい。
　スイッチ部５１Ａは、アドレステーブルを参照することにより、確認した宛先ＭＡＣアドレスに対応する通信ポート５４Ａを特定する。ここでは、スイッチ部５１は、機能部１１１Ｄに接続される通信ポート５４Ａを特定する。
　そして、スイッチ部５１は、当該イーサネットフレームを記憶部５３Ａから取得し、取得したイーサネットフレームを、特定した通信ポート５４Ａ経由で機能部１１１Ｄへ送信する。
　また、スイッチ部５１は、たとえば、Ｌ３スイッチまたはＬ４スイッチとして動作し、異なるＶＬＡＮに属する機能部１１１間の通信データを中継する。
　具体的には、スイッチ部５１は、たとえばＶＬＡＮのＩＤとネットワークアドレスとの対応関係を示すネットワークテーブルを保持する。また、スイッチ部５１は、たとえば、ＩＰアドレスとＭＡＣアドレスとの対応関係を示すＡＲＰ（Ａｄｄｒｅｓｓ　Ｒｅｓｏｌｕｔｉｏｎ　Ｐｒｏｔｏｃｏｌ）テーブルをＶＬＡＮのＩＤごとに保持する。
　たとえば、スイッチ装置１０１Ａにおいて、スイッチ部５１Ａは、機能部１１１Ｄからイーサネットフレームを受信すると、宛先ＭＡＣアドレスが自己のＭＡＣアドレスであることを確認し、受信したイーサネットフレームからＩＰパケットを取り出す。
　スイッチ部５１Ａは、ネットワークテーブルを参照することにより、ＩＰパケットに含まれる宛先ＩＰアドレスに対応するＶＬＡＮのＩＤを特定する。
　そして、スイッチ部５１Ａは、特定したＶＬＡＮのＩＤに対応するＡＲＰテーブルを参照することにより、宛先ＩＰアドレスに対応するＶＬＡＮのゲートウェイのＭＡＣアドレスを取得する。
　スイッチ部５１Ａは、取得したＭＡＣアドレスを宛先ＭＡＣアドレスとして含みかつ当該ＩＰパケットを含むイーサネットフレームを作成して記憶部５３に保存する。
　このとき、制御部５２Ａは、スイッチ部５１Ａがイーサネットフレームを記憶部５３Ａに保存したことを確認すると、記憶部５３Ａに保存されたイーサネットフレームに含まれる送信元ＩＰアドレスおよび送信先ＩＰアドレス、すなわち、それぞれ送信元ＩＰアドレスとして機能部１１１ＤのＩＰアドレス、および送信先ＩＰアドレスとして機能部１１１ＥのＩＰアドレスを確認する。
　そして、制御部５２Ａは、「送信先ＩＰアドレス」および「送信先ＩＰアドレス」として、それぞれ機能部１１１ＤのＩＰアドレスおよび機能部１１１ＥのＩＰアドレスを中継情報Ｔａｂ１に登録する。
　スイッチ部５１Ａは、アドレステーブルを参照することにより、当該宛先ＭＡＣアドレスに対応する通信ポート５４すなわちスイッチ装置１０１Ｂに接続される通信ポート５４を特定する。
　そして、スイッチ部５１Ａは、当該イーサネットフレームを記憶部５３から取得し、取得したイーサネットフレームを、特定した通信ポート５４経由でスイッチ装置１０１Ｂへ送信する。
　スイッチ装置１０１Ｂは、スイッチ装置１０１Ａから送信されたイーサネットフレームに対して、Ｌ２スイッチとして動作し、機能部１１１Ｅへイーサネットフレームを中継する。
　また、スイッチ装置１０１は、機能部１１１による不正通信を検知した場合、自己に接続されている他の機能部１１１、すなわち不正通信が検知された機能部１１１である不正機能部を検証する検証処理を行う。
　より詳細には、制御部５２は、通常と異なるタイミングでデータが送信される等の不正通信を検知することができる。制御部５２は、不正通信を検知すると、不正通信を検知した旨および不正通信が検知された通信ポート５４のポート番号を示す情報を検証部５５へ出力する。
　検証部５５は、スイッチ部５１が保持するアドレステーブルを参照し、不正通信が検知された通信ポート５４のポート番号から接続先の機能部１１１のＭＡＣアドレスを取得する。
　そして、検証部５５は、スイッチ部５１が保持するＡＲＰテーブルを参照し、取得したＭＡＣアドレスに対応するＩＰアドレスを取得する。
　そして、検証部５５は、検証処理として、記憶部５３において保存されている中継情報Ｔａｂ１に基づいて、不正機能部の通信相手の機能部１１１を特定する。
　以下、このような不正機能部の通信相手である不正機能部以外の機能部１１１を、１次機能部とも称する。
　より詳細には、検証部５５は、記憶部５３において保存されている中継情報Ｔａｂ１を参照して、取得したＩＰアドレスすなわち不正機能部のＩＰアドレスが送信元ＩＰアドレスとして登録されている通信経路の送信先ＩＰアドレスを取得することにより、１次機能部を特定する。
　検証部５５は、特定した１次機能部を検証する。たとえば、検証部５５Ａは、図１に示す機能部１１１Ｃが不正機能部であり、かつ対応する送信先ＩＰアドレスとして機能部１１１ＤのＩＰアドレスが中継情報Ｔａｂ１に登録されている場合、機能部１１１Ｄを検証する。すなわち、検証部５５は、機能部１１１Ｄが異常であるか否かを判定する。
　具体的には、検証部５５Ａは、たとえば、リセットコマンドを含むイーサネットフレームを生成してスイッチ部５１Ａへ出力する。
　スイッチ部５１Ａは、送信元ＭＡＣアドレスおよび送信先ＭＡＣアドレスとしてＭＡＣ－ＡおよびＭＡＣ－Ｄをそれぞれイーサネットフレームに書き込む。
　スイッチ部５１Ａは、アドレステーブルを参照することにより、送信先ＭＡＣアドレスに対応する通信ポート５４Ａを特定し、特定した通信ポート５４Ａを介して、検証部５５Ａから受けたイーサネットフレームを機能部１１１Ｄへ送信する。
　機能部１１１Ｄは、リセットコマンドを含むイーサネットフレームを受信して、再起動する。
　図５は、本発明の実施の形態に係る車載通信システムにおける機能部の構成の一例を示す図である。
　図５を参照して、機能部１１１は、プロセッサ２１と、ＦＲＯＭ（Ｆｌａｓｈ　Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）２６と、ＤＲＡＭ（Ｄｙｎａｍｉｃ　Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）２７と、通信部２８とを備える。プロセッサ２１は、内蔵ハードウェア（ＨＷ）２２と、コア部２３と、セキュアＲＯＭ２４とを含む。
　内蔵ハードウェア２２は、たとえば、暗号アクセラレータ等のセキュリティ専用のハードウェアであり、ＦＲＯＭ２６に保存されたデータが正当であるか否かを検証する。
　ＦＲＯＭ２６には、たとえばデータおよびアプリケーションプログラム等を含む対象データＴＤ９１１と、検証値ＶＶ９１１とが格納されている。ＦＲＯＭ２６に保存されたデータは書き換え可能である。
　セキュアＲＯＭ２４は、対象データＴＤ９１１の検証に用いる第１の暗号鍵が保存され、プロセッサ２１の外部からアクセスできない記憶領域である。
　より詳細には、セキュアＲＯＭ２４は、内蔵ハードウェア２２からのアクセスだけが許可されたセキュアな記憶領域である。第１の暗号鍵は、たとえば製品の出荷時にセキュアＲＯＭ２４に格納される。
　セキュアＲＯＭ２４に格納された第１の暗号鍵は、内蔵ハードウェア２２しか取得できず、また、書き換えることができない。
　より詳細には、セキュアＲＯＭ２４には、機能部１１１の製造時において、鍵生成ツールによって生成された第１の暗号鍵の一例である検証鍵ＶＫ１１が検証値検証鍵として格納されている。
　また、セキュアＲＯＭ２４には、生成鍵ＧＫ１が、検証鍵ＶＫ１１に対応する検証値生成鍵として格納されている。
　コア部２３は、たとえば、機能部１１１Ｄが再起動すると、対象データＴＤ９１１の検証要求を内蔵ハードウェア２２へ出力する。
　内蔵ハードウェア２２は、コア部２３から検証要求を受けると、受けた検証要求に従って、セキュアＲＯＭ２４から検証鍵ＶＫ１１および生成鍵ＧＫ１を取得する。
　また、内蔵ハードウェア２２は、検証要求に従って、ＦＲＯＭ２６から対象データＴＤ９１１および検証値ＶＶ９１１を取得する。
　内蔵ハードウェア２２は、取得した対象データＴＤ９１１、検証鍵ＶＫ１１、生成鍵ＧＫ１および検証値ＶＶ９１１を用いて対象データＴＤ９１１を検証する。
　より詳細には、内蔵ハードウェア２２は、生成鍵ＧＫ１および対象データＴＤ９１１からハッシュ関数ＨＦ１を用いて対象データＴＤ９１１のダイジェストを生成する。また、内蔵ハードウェア２２は、検証鍵ＶＫ１１を用いて検証値ＶＶ９１１を復号化することによってダイジェストを生成する。
　内蔵ハードウェア２２は、生成した各ダイジェストを照合し、これらが一致している場合、対象データＴＤ９１１が正当であると判断し、また、これらが一致しない場合、対象データＴＤ９１１が不正であると判断する。
　たとえば、不正通信の影響により、ＦＲＯＭ２６保存されたファームウェア等のデータが改ざんされた場合、各ダイジェストは一致しないため、内蔵ハードウェア２２は、自己の機能部１１１の異常を検知することができる。
　そして、内蔵ハードウェア２２は、判断結果を示す検証結果情報を、たとえば、ＦＲＯＭ２６に保存するとともにコア部２３へ出力する。
　コア部２３は、内蔵ハードウェア２２から検証結果情報を受けると、ＦＲＯＭ２６から対象データＴＤ９１１を取得する。
　コア部２３は、ブートローダーおよびＯＳプログラムを実行することにより、ＯＳプログラムに従って動作し自己の機能部１１１を初期状態に遷移させる。
　たとえば、機能部１１１Ｄが初期状態に遷移すると、機能部１１１Ｄは、スイッチ装置１０１Ａとの通信が可能となる。
　スイッチ装置１０１Ａは、機能部１１１との通信が可能になることにより、機能部１１１による再起動の完了を検知する。そして、スイッチ装置１０１Ａは、機能部１１１Ｄに確認要求を送信する。
　より詳細には、検証部５５Ａは、検証結果情報を要求する旨を示す検証結果要求を確認要求として含むイーサネットフレームを生成してスイッチ部５１Ａへ出力する。
　スイッチ部５１Ａは、送信元ＭＡＣアドレスおよび送信先ＭＡＣアドレスをそれぞれイーサネットフレームに書き込み、アドレステーブルを参照することにより、送信先ＭＡＣアドレスに対応する通信ポート５４を特定し、特定した通信ポート５４を介して、検証部５５Ａから受けたイーサネットフレームを機能部１１１Ｄへ送信する。
　機能部１１１Ｄにおける通信部２８は、スイッチ装置１０１Ａから検証結果要求を含むイーサネットフレームを受信すると、イーサネットフレームに含まれる検証結果要求を取得し、プロセッサ２１へ出力する。
　プロセッサ２１におけるコア部２３は、通信部２８から検証結果要求を受けると、検証結果情報をＦＲＯＭ２６から取得して通信部２８へ出力する。
　通信部２８は、コア部２３から受けた検証結果情報を含むイーサネットフレームを生成してスイッチ装置１０１Ａへ送信する。
　スイッチ装置１０１Ａは、機能部１１１Ｄから送信されたイーサネットフレームを受信すると、受信したイーサネットフレームを記憶部５３Ａに保存する。
　検証部５５Ａは、記憶部５３Ａに保存されたイーサネットフレームに含まれる検証結果情報を確認することにより、機能部１１１Ｄが異常であるか否かを判定する。
　スイッチ装置１０１Ａは、検証処理において異常であると判定された機能部１１１である異常機能部および不正通信が検知された機能部１１１である不正機能部の少なくともいずれか一方を示すリストを保持する。以下、このようなリストを管理リストとも称する。
　より詳細には、スイッチ装置１０１Ａにおいて、検証部５５Ａは、スイッチ部５１Ａが保持するアドレステーブルを参照し、不正通信を検知した通信ポート５４Ａのポート番号から接続先の機能部１１１のＭＡＣアドレスを取得して管理リストを作成するか、または取得したＭＡＣアドレスを作成済みの管理リストに登録することにより管理リストを更新し、当該管理リストを記憶部５３Ａに保存する。
　また、検証部５５Ａは、異常機能部のＭＡＣアドレスを管理リストに登録することにより、管理リストを更新する。
　図６は、本発明の実施の形態に係る管理リストの一例を示す図である。
　図６を参照して、管理リストには、たとえば図１に示す機能部１１１Ｃおよび機能部１１１Ｄの各々のＭＡＣアドレスであるＭＡＣ－ＣおよびＭＡＣ－Ｄが登録されている。
　たとえば、機能部１１１Ｃは、不正機能部であり、機能部１１１Ｄは、異常機能部である。
　検証部５５Ａは、管理リストを更新するたびに更新後の管理リストを他のスイッチ装置へ送信する。たとえば、図１に示すスイッチ装置１０１Ａは、スイッチ装置１０１Ｂに接続されているため、更新後の管理リストＡをスイッチ装置１０１Ｂへ送信する。
　より詳細には、検証部５５Ａは、更新後の管理リストＡを含むイーサネットフレームを生成してスイッチ部５１へ出力する。更新後の管理リストＡには、たとえば図６に示すように、不正機能部として機能部１１１Ｃが登録され、異常機能部として機能部１１１Ｄが登録されている。
　スイッチ部５１Ａは、送信元ＭＡＣアドレスおよび送信先ＭＡＣアドレスとしてＭＡＣ－ＡおよびＭＡＣ－Ｂをそれぞれイーサネットフレームに書き込む。
　スイッチ部５１Ａは、アドレステーブルを参照することにより、送信先ＭＡＣアドレスに対応する通信ポート５４Ａを特定し、特定した通信ポート５４Ａを介して、検証部５５Ａから受けたイーサネットフレームをスイッチ装置１０１Ｂへ送信する。
　スイッチ装置１０１Ｂにおいて、スイッチ部５１Ｂは、スイッチ装置１０１Ａから管理リストＡを含むイーサネットフレームを受信すると、受信したイーサネットフレームに含まれる管理リストＡを記憶部５３Ｂに保存する。
　なお、検証部５５は、スイッチ装置１０１Ｂが既に管理リストＢを記憶部５３Ｂに保存していた場合、管理リストＡおよび管理リストＢのマージを行うことにより新たな管理リストＣを作成する。
　スイッチ装置１０１Ｂは、作成した管理リストＣをスイッチ装置１０１Ａ等の他のスイッチ装置１０１へ送信する。
　また、スイッチ装置１０１Ａは、検証処理において異常であると判定された機能部１１１である異常機能部の通信相手の機能部１１１である２次機能部が他のスイッチ装置１０１に接続されている場合、他のスイッチ装置１０１に管理リストを与えて２次機能部を検証させる処理を行う。
　具体的には、たとえば、検証部５５Ａは、管理リストＡに異常機能部として登録されている機能部１１１Ｄの通信相手を特定する。
　検証部５５Ａは、管理リストＡを参照して機能部１１１ＤのＭＡＣアドレスを取得する。検証部５５Ａは、ＡＲＰテーブルを参照し、取得したＭＡＣアドレスに対応するＩＰアドレスを取得する。検証部５５Ａは、図４に示す中継情報Ｔａｂ１を参照することにより、取得したＩＰアドレスが送信元ＩＰアドレスとして登録されている通信経路の、送信先ＩＰアドレスである機能部１１１ＥのＩＰアドレスを取得する。
　検証部５５Ａは、アドレステーブル、ＡＲＰテーブル、およびネットワークテーブルを参照して、送信先ＩＰアドレスに対応する機能部１１１Ｅがスイッチ装置１０１Ａに接続されておらずスイッチ装置１０１Ｂに接続されていることを確認する。
　そして、検証部５５Ａは、管理リストＡをスイッチ装置１０１Ｂへ送信する。より詳細には、検証部５５Ａは、管理リストＡを含むイーサネットフレームを生成してスイッチ部５１へ出力する。
スイッチ部５１Ａは、送信元ＭＡＣアドレスおよび送信先ＭＡＣアドレスとしてＭＡＣ－ＡおよびＭＡＣ－Ｂをそれぞれイーサネットフレームに書き込む。
　スイッチ部５１Ａは、アドレステーブルを参照することにより、送信先ＭＡＣアドレスに対応する通信ポート５４Ａを特定し、特定した通信ポート５４Ａを介して、検証部５５Ａから受けたイーサネットフレームをスイッチ装置１０１Ｂへ送信する。
　スイッチ装置１０１Ｂにおいて、スイッチ部５１Ｂは、スイッチ装置１０１Ａから管理リストＡを含むイーサネットフレームを受信して、イーサネットフレームに含まれる管理リストＡを記憶部５３Ｂに保存する。
　検証部５５Ｂは、記憶部５３Ｂに保存された管理リストＡを参照し、管理リストＡに登録されている不正機能部および異常機能部に相当するＭＡＣアドレスを取得する。検証部５５Ｂは、ＡＲＰテーブルを参照し、取得したＭＡＣアドレスに対応するＩＰアドレスを取得する。そして、検証部５５Ｂは、取得したＩＰアドレスが記憶部５３Ｂに保存されている中継情報Ｔａｂ２において送信元ＩＰアドレスとして登録されている機能部１１１を検索する。
　図７は、本発明の実施の形態に係るスイッチ装置における中継情報の他の例を示す図である。
　図７を参照して、記憶部５３Ｂに保存されている中継情報Ｔａｂ２には、送信元ＩＰアドレスとしてＩＰ－Ｄ、および送信先ＩＰアドレスとしてＩＰ－Ｅが登録されている。
　具体的には、検証部５５Ｂは、管理リストＡに異常機能部として機能部１１１Ｄが登録されているため、中継情報Ｔａｂ２を参照して、ＩＰ－Ｄが送信元ＩＰアドレスとして登録されているかを検索する。
　検証部５５Ｂは、ＩＰ－Ｄが送信元ＩＰアドレスとして登録されている通信経路の送信先ＩＰアドレスであるＩＰ－Ｅを取得することにより、機能部１１１Ｅを２次機能部と特定する。
　そして、検証部５５Ｂは、検証処理として、２次機能部と特定した機能部１１１Ｅをさらに検証する。検証部５５Ｂは、機能部１１１Ｅの検証処理において、機能部１１１Ｅが異常であると判定した場合、機能部１１１Ｅを異常機能部として管理リストＡに登録することにより、管理リストＡを更新する。
　そして、検証部５５Ｂは、更新後の管理リストＡをスイッチ装置１０１Ａへ送信する。
　また、検証部５５Ｂは、上記と同様の処理により、異常機能部と特定した機能部１１１Ｅの２次機能部を検索する。そして、検証部５５Ｂは、２次機能部が存在した場合、当該２次機能部を検証する。
　検証部５５Ｂは、管理リストＡに登録されているすべての異常機能部に対する２次機能部を検証するまで、上記処理を継続する。
　なお、検証部５５Ｂは、上記の検証処理が終了した後に管理リストを作成し、不正機能部および異常機能部を登録してもよい。
　［変形例１］
　スイッチ装置１０１は、検証処理において、機能部１１１から記憶データの検証用データを取得し、取得した検証用データを用いて当該機能部１１１を検証する。
　車載通信システム３０１では、スイッチ装置１０１は、たとえば機能部１１１が図５に示すセキュアＲＯＭ２４を含まない場合、機能部１１１から記憶データの検証用データを取得し、取得した検証用データを用いて当該機能部１１１を検証する。
　より詳細には、スイッチ装置１０１は、たとえば機能部１１１の製造時、および機能部のファームウェアの更新時等において、機能部１１１のファームウェアの書き込みを行う。
　スイッチ装置１０１は、ハッシュ関数を用いて、書き込むファームウェアのハッシュ値を算出する。また、スイッチ装置１０１は、書き込むファームウェアのチェックサムを算出する。
　スイッチ装置１０１は、算出したハッシュ値およびチェックサムを機能部１１１と関連付けて記憶部５３に保持する。
　図８は、本発明の実施の形態に係るスイッチ装置の保持するチェック値テーブルの一例を示す図である。
　図８を参照して、たとえば、スイッチ装置１０１Ａが機能部１１１Ｃに書き込んだファームウェアのハッシュ値およびチェックサムは、それぞれＨＡＳＨ－ＣおよびＳＵＭ－Ｃであり、スイッチ装置１０１Ａが機能部１１１Ｄに書き込んだファームウェアのハッシュ値およびチェックサムは、それぞれＨＡＳＨ－ＤおよびＳＵＭ－Ｄである。
　スイッチ装置１０１Ａは、検証処理において、たとえば機能部１１１Ｄにリセットコマンドを送信して機能部１１１Ｄを強制的に再起動させる。
　機能部１１１Ｄは、再起動が完了して初期状態に遷移すると、スイッチ装置１０１Ａとの通信が可能となる。
　スイッチ装置１０１Ａは、機能部１１１Ｄとの通信が可能になることにより、機能部１１１Ｄによる再起動の完了を検知する。そして、スイッチ装置１０１Ａは、機能部１１１Ｄに確認要求を送信する。
　より詳細には、検証部５５Ａは、検証用データを要求する旨の検証用データ要求を確認要求として含むイーサネットフレームを生成してスイッチ部５１Ａへ出力する。
　スイッチ部５１Ａは、送信元ＭＡＣアドレスおよび送信先ＭＡＣアドレスそれぞれイーサネットフレームに書き込み、アドレステーブルを参照することにより、送信先ＭＡＣアドレスに対応する通信ポート５４を特定し、特定した通信ポート５４を介して、検証部５５Ａから受けたイーサネットフレームを機能部１１１Ｄへ送信する。
　機能部１１１Ｄにおける通信部２８は、スイッチ装置１０１Ａから検証用データ要求を含むイーサネットフレームを受信すると、イーサネットフレームに含まれる検証用データ要求を取得し、プロセッサ２１へ出力する。
　プロセッサ２１におけるコア部２３は、通信部２８から検証用データ要求を受けると、たとえばＦＲＯＭ２６に保存されている検証用データである自己に書き込まれたファームウェアのハッシュ値およびチェックサムを取得して通信部２８へ出力する。
　通信部２８は、コア部２３から受けた検証用データを含むイーサネットフレームを生成してスイッチ装置１０１Ａへ送信する。
　スイッチ装置１０１Ａは、機能部１１１Ｄから送信されたイーサネットフレームを受信すると、受信したイーサネットフレームを記憶部５３Ａに保存する。
　検証部５５Ａは、記憶部５３Ａに保存されたイーサネットフレームに含まれるハッシュ値およびチェックサムを取得する。
　検証部５５Ａは、取得したハッシュ値およびチェックサムと記憶部５３Ａに保存されたチェック値テーブルのハッシュ値およびチェックサムをそれぞれ照合する。
　検証部５５Ａは、照合したハッシュ値およびチェックサムが一致しない場合、対応する機能部１１１を異常であると判定する。
　［変形例２］
　スイッチ装置１０１は、検証処理において、機能部１１１から記憶データの認証用データを取得し、取得した認証用データを用いて当該機能部１１１を検証する。
　より詳細には、たとえば、スイッチ装置１０１Ａは、検証処理において、機能部１１１Ｄにリセットコマンドを送信して機能部１１１Ｄを強制的に再起動させる。
　機能部１１１Ｄは、再起動が完了して初期状態に遷移すると、スイッチ装置１０１Ａとの通信が可能となる。
　スイッチ装置１０１Ａは、機能部１１１Ｄとの通信が可能になることにより、機能部１１１Ｄによる再起動の完了を検知する。そして、スイッチ装置１０１Ａは、機能部１１１Ｄに確認要求を送信する。
　より詳細には、スイッチ装置１０１Ａは、所定のプロトコルを用いて、たとえばＩＤおよびパスワードによる認証を要求する。
　より詳細には、検証部５５Ａは、認証用データを要求する旨の認証用データ要求を確認要求として含むイーサネットフレームを生成してスイッチ部５１Ａへ出力する。
　スイッチ部５１Ａは、送信元ＭＡＣアドレスおよび送信先ＭＡＣアドレスそれぞれイーサネットフレームに書き込み、アドレステーブルを参照することにより、送信先ＭＡＣアドレスに対応する通信ポート５４を特定し、特定した通信ポート５４を介して、検証部５５Ａから受けたイーサネットフレームを機能部１１１Ｄへ送信する。
　機能部１１１Ｄにおける通信部２８は、スイッチ装置１０１Ａから認証用データ要求を含むイーサネットフレームを受信すると、イーサネットフレームに含まれる認証用データ要求を取得し、プロセッサ２１へ出力する。
　プロセッサ２１におけるコア部２３は、通信部２８から認証用データ要求を受けると、たとえばＦＲＯＭ２６に保存されている認証用データであるＩＤおよびパスワードを取得して通信部２８へ出力する。
　通信部２８は、コア部２３から受けた認証用データを含むイーサネットフレームを生成してスイッチ装置１０１Ａへ送信する。
　スイッチ装置１０１Ａは、機能部１１１Ｄから送信されたイーサネットフレームを受信すると、受信したイーサネットフレームを記憶部５３Ａに保存する。
　検証部５５Ａは、保存されたイーサネットフレームに含まれるＩＤおよびパスワードを取得し、取得したＩＤおよびパスワードを用いて、機能部１１１Ｄの認証を行う。検証部５５Ａは、再認証できない場合、機能部１１１Ｄを異常であると判定する。
　［動作の流れ］
　車載通信システム３０１における各装置は、コンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のシーケンス図またはフローチャートの各ステップの一部または全部を含むプログラムを図示しないメモリからそれぞれ読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。
　図９は、本発明の実施の形態に係る車載通信システムにおいて不正通信を検証する処理のシーケンスを示す図である。図９は、スイッチ装置１０１Ａおよびスイッチ装置１０１Ｂが不正通信を検証する処理を代表的に示す。
　図９を参照して、まず、スイッチ装置１０１Ａは、自己の通信ポート５４において不正通信を検知する（ステップＳ１０１）。
　次に、スイッチ装置１０１Ａは、不正通信における送信元である不正機能部を機能部１１１Ｃと特定する（ステップＳ１０２）。
　次に、スイッチ装置１０１Ａは、中継情報Ｔａｂ１を参照して１次機能部を検索し、機能部１１１Ｄを１次機能部と特定する（ステップＳ１０３）。
　次に、スイッチ装置１０１Ａは、機能部１１１Ｄへリセットコマンドを送信する。（ステップＳ１０４）。
　次に、機能部１１１Ｄは、受信したリセットコマンドにより再起動する。機能部１１１Ｄは、再起動が完了して初期状態に遷移すると、スイッチ装置１０１Ａとの通信が可能となる（ステップＳ１０５）。
　次に、スイッチ装置１０１Ａは、機能部１１１Ｄによる再起動の完了を検知すると、検証結果情報、検証用データまたは認証用データの各種データを要求する確認要求を機能部１１１Ｄへ送信する（ステップＳ１０６）。
　次に、機能部１１１Ｄは、検証結果情報、検証用データまたは認証用データをスイッチ装置１０１Ａへ送信する（ステップＳ１０７）。
　次に、スイッチ装置１０１Ａは、検証結果情報、検証用データまたは認証用データを確認することにより、機能部１１１Ｄが異常機能部であると判定する（ステップＳ１０８）。
　次に、スイッチ装置１０１Ａは、異常機能部の通信相手の機能部１１１である２次機能部を検索し、機能部１１１Ｅを２次機能部と特定する（ステップＳ１０９）。
　次に、スイッチ装置１０１Ａは、中継情報Ｔａｂ１を参照して機能部１１１Ｅがスイッチ装置１０１Ｂに接続されていることを確認し、不正機能部である機能部１１１Ｃ、および異常機能部である機能部１１１Ｄを管理リストに登録する（ステップＳ１１０）。
　次に、スイッチ装置１０１Ａは、管理リストをスイッチ装置１０１Ｂへ送信する（ステップＳ１１１）。
　次に、スイッチ装置１０１Ｂは、受信した管理リスト、および中継情報Ｔａｂ２を参照して１次機能部、および２次機能部を検索することにより、機能部１１１Ｅを２次機能部と特定する（ステップＳ１１２）。
　次に、スイッチ装置１０１Ｂは、機能部１１１Ｅへリセットコマンドを送信する。（ステップＳ１１３）。
　次に、機能部１１１Ｅは、受信したリセットコマンドにより再起動する。機能部１１１Ｅは、再起動が完了して初期状態に遷移すると、スイッチ装置１０１Ｂとの通信が可能となる（ステップＳ１１４）。
　次に、スイッチ装置１０１Ｂは、機能部１１１Ｅによる再起動の完了を検知すると、検証結果情報、検証用データまたは認証用データの各種データを要求する確認要求を機能部１１１Ｅへ送信する（ステップＳ１１５）。
　次に、機能部１１１Ｅは、検証結果情報、検証用データまたは認証用データをスイッチ装置１０１Ｂへ送信する（ステップＳ１１６）。
　次に、スイッチ装置１０１Ｂは、検証結果情報、検証用データまたは認証用データを確認することにより、機能部１１１Ｅが異常機能部であると判定する（ステップＳ１１７）。
　次に、スイッチ装置１０１Ｂは、機能部１１１Ｅを管理リストに登録する（ステップＳ１１８）。
　次に、スイッチ装置１０１Ｂは、管理リストをスイッチ装置１０１Ａへ送信する（ステップＳ１１９）。
　図１０は、本発明の実施の形態に係るスイッチ装置が不正通信を検証する検証処理を行う際の動作手順を定めたフローチャートである。
　図１０を参照して、まず、スイッチ装置１０１は、自己の通信ポート５４において不正通信を検知する（ステップＳ２０１）。
　次に、スイッチ装置１０１は、不正通信における送信元である不正機能部を特定する（ステップＳ２０２）。
　次に、スイッチ装置１０１は、中継情報Ｔａｂ１を参照し、１次機能部を検索する（ステップＳ２０３）。
　次に、スイッチ装置１０１は、１次機能部が存在しない場合（ステップＳ２０３でＮＯ）、管理リストを生成または更新し（ステップＳ２０９）、管理リストを他のスイッチ装置１０１へ送信する（ステップＳ２１０）。
　一方、スイッチ装置１０１は、１次機能部が存在し（ステップＳ２０３でＹＥＳ）、かつ１次機能部が他のスイッチ装置１０１に接続されている場合（ステップＳ２０４でＮＯ）、管理リストを他のスイッチ装置１０１へ送信する（ステップＳ２１０）。
　一方、スイッチ装置１０１は、１次機能部が自己のスイッチ装置１０１に接続されている場合（ステップＳ２０４でＹＥＳ）、１次機能部を検証する（ステップＳ２０５）。
　次に、スイッチ装置１０１は、検証処理において、１次機能部が正常であると判定した場合（ステップＳ２０５でＮＯ）、管理リストを生成または更新し（ステップＳ２０９）、管理リストを他のスイッチ装置１０１へ送信する（ステップＳ２１０）。
　一方、スイッチ装置１０１は、検証処理において、１次機能部が異常であると判定した場合（ステップＳ２０５でＹＥＳ）、中継情報Ｔａｂ１を参照し、異常機能部の通信相手の機能部１１１である２次機能部を検索する（ステップＳ２０６）。
　次に、スイッチ装置１０１は、２次機能部が存在しない場合（ステップＳ２０６でＮＯ）、管理リストを生成または更新し（ステップＳ２０９）、管理リストを他のスイッチ装置１０１へ送信する（ステップＳ２１０）。
　一方、スイッチ装置１０１は、２次機能部が存在し（ステップＳ２０６でＹＥＳ）、かつ２次機能部が他のスイッチ装置１０１に接続されている場合（ステップＳ２０７でＮＯ）、管理リストを生成または更新し（ステップＳ２０９）、管理リストを他のスイッチ装置１０１へ送信する（ステップＳ２１０）。
　一方、スイッチ装置１０１は、２次機能部が自己のスイッチ装置１０１に接続されている場合（ステップＳ２０７でＹＥＳ）、２次機能部を検証する（ステップＳ２０８）。
　次に、スイッチ装置１０１は、検証処理において、２次機能部が正常であると判定した場合（ステップＳ２０８でＮＯ）、管理リストを生成または更新し（ステップＳ２０９）、管理リストを他のスイッチ装置１０１へ送信する（ステップＳ２１０）。
　一方、スイッチ装置１０１は、検証処理において、２次機能部が異常であると判定した場合（ステップＳ２０８でＹＥＳ）、中継情報Ｔａｂ１を参照し、異常機能部の通信相手の機能部１１１である２次機能部を検索する（ステップＳ２０６）。
　なお、本発明の実施の形態に係るスイッチ装置では、制御部５２が不正通信を検知する構成であるとしたが、これに限定するものではない。スイッチ装置１０１は、たとえば自己に接続された他のスイッチ装置１０１または機能部１１１から不正通信を検知した旨の情報を取得する構成であってもよい。この場合、制御部５２は、不正通信を検知した旨の情報を取得すると、当該情報を検証部５５へ出力する。
　また、本発明の実施の形態に係るスイッチ装置では、検証部５５は、検証処理として、機能部１１１が異常であるか否かを判定する構成であるとしたが、これに限定するものではない。検証部５５は、検証処理として、機能部１１１が異常である可能性を判定する構成であってもよい。
　また、本発明の実施の形態に係る車載通信システムでは、スイッチ装置１０１は、中継情報に基づいて１次機能部を特定し、当該１次機能部を検証する構成であるとしたが、これに限定するものではない。スイッチ装置１０１は、中継情報を用いず、たとえば自己に接続されているすべての機能部１１１を検証する構成であってもよい。
　また、本発明の実施の形態に係る車載通信システムでは、スイッチ装置１０１は、２次機能部をさらに検証する構成であるとしたが、これに限定するものではない。スイッチ装置１０１は、１次機能部の検証にとどめる構成であってもよい。
　また、本発明の実施の形態に係る車載通信システムでは、スイッチ装置１０１は、管理リストを保持する構成であるとしたが、これに限定するものではない。スイッチ装置１０１は、管理リストを保持せずに検証処理を行う構成であってもよい。
　また、本発明の実施の形態に係る車載通信システムでは、スイッチ装置１０１は、管理リストを自己に接続されている他のスイッチ装置１０１に送信し、他のスイッチ装置１０１に接続されている機能部１１１を検証させる構成であるとしたが、これに限定するものではない。スイッチ装置１０１は、他のスイッチ装置１０１へ管理リストを送信しない構成であってもよい。
　また、本発明の実施の形態に係る車載通信システムでは、スイッチ装置１０１は、管理リストを更新するたびに管理リストを他のスイッチ装置へ送信する構成であるとしたが、これに限定するものではない。スイッチ装置１０１は、所定のタイミングで管理リストを他のスイッチ装置へ送信する構成であってもよい。
　ところで、車載ネットワークにおいて不正状態が発生した場合に適切に対処可能な技術が望まれる。
　これに対して、本発明の実施の形態に係る車載通信システムでは、スイッチ装置１０１は、複数の機能部１１１間の通信データを中継する中継処理を行う。そして、スイッチ装置１０１は、機能部１１１による不正通信が検知された場合、不正通信が検知された機能部１１１である不正機能部以外の機能部１１１を検証する検証処理を行う。
　このような構成により、機能部１１１におけるファームウェアの不正な書き換え等により不正通信が行われた場合、不正または異常状態である可能性がある当該機能部１１１の通信相手の機能部１１１の検証を行い、被害が拡大することを抑制することができる。
　したがって、本発明の実施の形態に係る車載通信システムでは、車載ネットワークにおける不正に対して対処する機能を向上させることができる。
　また、本発明の実施の形態に係る車載通信システムでは、スイッチ装置１０１は、機能部１１１間の通信の関係を示す中継情報を用いて中継処理を行い、検証処理として、不正通信が検知された機能部１１１である不正機能部の通信相手の機能部１１１を中継情報に基づいて特定し、特定した機能部１１１を検証する。
　このような構成により、不正通信を行った機能部１１１と通信を行う機能部１１１を正しくかつ容易に特定し、検証することができる。
　また、本発明の実施の形態に係る車載通信システムでは、スイッチ装置１０１は、検証処理として、当該検証処理において異常であると判定された機能部１１１である異常機能部の通信相手の機能部１１１である２次機能部をさらに検証する。
　このように段階的に検証を行う構成により、不正または異常状態である可能性がある機能部１１１を特定し、被害が拡大する前に適切な処置を行うことができる。
　また、本発明の実施の形態に係る車載通信システムでは、スイッチ装置１０１は、不正通信が検知された機能部１１１である不正機能部および検証処理において異常であると判定された機能部１１１である異常機能部の少なくともいずれか一方を示す管理リストを保持する。
　このような構成により、特定した機能部１１１が示された管理リストを用いて各種の処置を容易に行うことができる。
　また、本発明の実施の形態に係る車載通信システムでは、スイッチ装置１０１は、検証処理において異常であると判定された機能部１１１である異常機能部の通信相手の機能部１１１である２次機能部が他のスイッチ装置１０１に接続されている場合、他のスイッチ装置１０１に管理リストを与えて２次機能部を検証させる処理を行う。
　このような構成により、自己のスイッチ装置１０１と直接接続されていない機能部１１１に対して、他のスイッチ装置１０１経由で検証処理を行うことができる。
　また、本発明の実施の形態に係る車載通信システムでは、スイッチ装置１０１は、管理リストを更新するたびに更新後の管理リストを他のスイッチ装置１０１へ送信する。
　このような構成により、特定した機能部１１１の情報をスイッチ装置１０１間において常時共有し、より広い範囲の検証処理を行うことができる。
　また、本発明の実施の形態に係る車載通信システムでは、スイッチ装置１０１は、検証処理において、機能部１１１から記憶データの検証用データを取得し、取得した検証用データを用いて機能部１１１を検証する。
　このような構成により、スイッチ装置１０１において、機能部１１１のファームウェアの改ざん等の異常を検知することができる。
　また、本発明の実施の形態に係る車載通信システムでは、スイッチ装置１０１は、検証処理において、機能部１１１から記憶データの認証用データを取得し、取得した認証用データを用いて機能部１１１を検証する。
　このような構成により、より簡易な処理でファームウェアの改ざん等の異常を検知することができる。
　また、本発明の実施の形態に係るスイッチ装置では、スイッチ部５１は、複数の機能部間の通信データを中継する中継処理を行う。検証部５５は、機能部１１１による不正通信が検知された場合、不正通信が検知された機能部１１１である不正機能部以外の機能部１１１を検証する検証処理を行う。
　このような構成により、機能部１１１におけるファームウェアの不正な書き換え等により不正通信が行われた場合、不正または異常状態である可能性がある当該機能部１１１の通信相手の機能部１１１の検証を行い、被害が拡大することを抑制することができる。
　したがって、本発明の実施の形態に係るスイッチ装置では、車載ネットワークにおける不正に対して対処する機能を向上させることができる。
　また、本発明の実施の形態に係る車載通信システムにおける検証方法では、まず、スイッチ装置１０１が、機能部１１１による不正通信の検知結果を取得する。次に、スイッチ装置１０１が、不正通信が検知された機能部１１１である不正機能部の通信相手の機能部１１１へ確認要求を送信する。次に、当該不正機能部の通信相手の機能部１１１が、確認要求に対する応答情報をスイッチ装置１０１へ送信する。
　このような構成により、機能部１１１におけるファームウェアの不正な書き換え等により不正通信が行われた場合、不正または異常状態である可能性がある当該機能部１１１の通信相手の機能部１１１の検証を行い、被害が拡大することを抑制することができる。
　したがって、本発明の実施の形態に係る車載通信システムにおける検証方法では、車載ネットワークにおける不正に対して対処する機能を向上させることができる。
　また、本発明の実施の形態に係るスイッチ装置における検証方法では、まず、機能部１１１による不正通信の検知結果を取得する。次に、機能部１１１による不正通信が検知された場合、不正通信が検知された機能部１１１である不正機能部以外の機能部１１１を検証する検証処理を行う。
　このような構成により、機能部１１１におけるファームウェアの不正な書き換え等により不正通信が行われた場合、不正または異常状態である可能性がある当該機能部１１１の通信相手の機能部１１１の検証を行い、被害が拡大することを抑制することができる。
　したがって、本発明の実施の形態に係るスイッチ装置における検証方法では、車載ネットワークにおける不正に対して対処する機能を向上させることができる。
　上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
　以上の説明は、以下に付記する特徴を含む。
　［付記１］
　複数の機能部と、
　前記機能部間の通信データを中継する中継処理を行う１または複数のスイッチ装置とを備え、
　前記スイッチ装置は、前記機能部による不正通信が検知された場合、不正通信が検知された前記機能部である不正機能部以外の前記機能部を検証する検証処理を行い、
　前記スイッチ装置は、前記検証処理として、確認要求を前記不正機能部以外の機能部へ送信し、前記不正機能部以外の機能部から自己のデータが正当であるか否かの判断結果を示す情報を受信する、車載通信システム。
　［付記２］
　車載通信システムにおいて用いられるスイッチ装置であって、
　複数の機能部間の通信データを中継する中継処理を行うスイッチ部と、
　前記機能部による不正通信が検知された場合、不正通信が検知された前記機能部である不正機能部以外の前記機能部を検証する検証処理を行う検証部とを備え、
　前記検証部は、前記検証処理として、確認要求を前記スイッチ部経由で前記不正機能部以外の機能部へ送信し、
　前記スイッチ部は、前記不正機能部以外の機能部から自己のデータが正当であるか否かの判断結果を示す情報を受信する、スイッチ装置。
　１　車両
　１０　イーサネットケーブル
　２１　プロセッサ
　２２　内蔵ＨＷ
　２３　コア部
　２４　セキュアＲＯＭ
　２６　ＦＲＯＭ
　２７　ＤＲＡＭ
　２８　通信部
　５１　スイッチ部
　５２　制御部
　５３　記憶部
　５４　通信ポート
　５５　検証部
　１０１　スイッチ装置
　１１１　機能部
　３０１　車載通信システム
 

Claims (12)

  1. 　複数の機能部と、
    　前記機能部間の通信データを中継する中継処理を行う１または複数のスイッチ装置とを備え、
    　前記スイッチ装置は、前記機能部による不正通信が検知された場合、不正通信が検知された前記機能部である不正機能部以外の前記機能部を検証する検証処理を行う、車載通信システム。
  2. 　前記スイッチ装置は、前記機能部間の通信の関係を示す中継情報を用いて前記中継処理を行い、前記検証処理として、前記不正機能部の通信相手の前記機能部を前記中継情報に基づいて特定し、特定した前記機能部を検証する、請求項１に記載の車載通信システム。
  3. 　前記スイッチ装置は、前記検証処理として、前記検証処理において異常であると判定された前記機能部である異常機能部の通信相手の前記機能部である２次機能部をさらに検証する、請求項１または請求項２に記載の車載通信システム。
  4. 　前記車載通信システムは、複数の前記スイッチ装置を備え、
    　前記スイッチ装置は、前記不正機能部および前記検証処理において異常であると判定された前記機能部である異常機能部の少なくともいずれか一方を示すリストを保持する、請求項１から請求項３のいずれか１項に記載の車載通信システム。
  5. 　前記スイッチ装置は、前記異常機能部の通信相手の前記機能部である２次機能部が他の前記スイッチ装置に接続されている場合、前記他のスイッチ装置に前記リストを与えて前記２次機能部を検証させる処理を行う、請求項４に記載の車載通信システム。
  6. 　前記スイッチ装置は、前記リストを更新するたびに更新後の前記リストを他の前記スイッチ装置へ送信する、請求項４または請求項５に記載の車載通信システム。
  7. 　前記スイッチ装置は、前記検証処理において、前記機能部から記憶データの検証用データを取得し、取得した前記検証用データを用いて前記機能部を検証する、請求項１から請求項６のいずれか１項に記載の車載通信システム。
  8. 　前記スイッチ装置は、前記検証処理において、前記機能部から記憶データの認証用データを取得し、取得した前記認証用データを用いて前記機能部を検証する、請求項１から請求項６のいずれか１項に記載の車載通信システム。
  9. 　車載通信システムにおいて用いられるスイッチ装置であって、
    　複数の機能部間の通信データを中継する中継処理を行うスイッチ部と、
    　前記機能部による不正通信が検知された場合、不正通信が検知された前記機能部である不正機能部以外の前記機能部を検証する検証処理を行う検証部とを備える、スイッチ装置。
  10. 　複数の機能部と、前記機能部間の通信データを中継する中継処理を行う１または複数のスイッチ装置とを備える車載通信システムにおける検証方法であって、
    　前記スイッチ装置が、前記機能部による不正通信の検知結果を取得するステップと、
    　前記スイッチ装置が、不正通信が検知された前記機能部である不正機能部の通信相手の前記機能部へ確認要求を送信するステップと、
    　前記不正機能部の通信相手の前記機能部が、前記確認要求に対する応答情報を前記スイッチ装置へ送信するステップとを含む、検証方法。
  11. 　複数の機能部間の通信データを中継する中継処理を行うスイッチ装置における検証方法であって、
    　前記機能部による不正通信の検知結果を取得するステップと、
    　前記機能部による不正通信が検知された場合、不正通信が検知された前記機能部である不正機能部以外の前記機能部を検証する検証処理を行うステップとを含む、検証方法。
  12. 　スイッチ装置において用いられる検証プログラムであって、
    　コンピュータを、
    　複数の機能部間の通信データを中継する中継処理を行うスイッチ部と、
    　前記機能部による不正通信が検知された場合、不正通信が検知された前記機能部である不正機能部以外の前記機能部を検証する検証処理を行う検証部、
    として機能させるための、検証プログラム。
     
PCT/JP2018/046201 2018-02-28 2018-12-14 車載通信システム、スイッチ装置、検証方法および検証プログラム WO2019167384A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2020502819A JP7115536B2 (ja) 2018-02-28 2018-12-14 車載通信システム、スイッチ装置、検証方法および検証プログラム
CN201880090220.4A CN111788796B (zh) 2018-02-28 2018-12-14 车载通信系统、交换装置、验证方法和计算机可读存储介质
US16/955,323 US11558404B2 (en) 2018-02-28 2018-12-14 On-board communication system, switching device, verification method, and verification program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018034044 2018-02-28
JP2018-034044 2018-02-28

Publications (1)

Publication Number Publication Date
WO2019167384A1 true WO2019167384A1 (ja) 2019-09-06

Family

ID=67805694

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/046201 WO2019167384A1 (ja) 2018-02-28 2018-12-14 車載通信システム、スイッチ装置、検証方法および検証プログラム

Country Status (4)

Country Link
US (1) US11558404B2 (ja)
JP (1) JP7115536B2 (ja)
CN (1) CN111788796B (ja)
WO (1) WO2019167384A1 (ja)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021002013A1 (ja) * 2019-07-04 2021-01-07 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知装置および異常検知方法
US11528267B2 (en) * 2019-12-06 2022-12-13 Bank Of America Corporation System for automated image authentication and external database verification
CN114553634A (zh) * 2020-11-24 2022-05-27 上海汽车集团股份有限公司 一种数据处理方法和相关装置
CN114679289B (zh) * 2021-01-28 2024-01-30 北京新能源汽车股份有限公司 一种车载通信系统及车辆

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010220066A (ja) * 2009-03-18 2010-09-30 Toshiba Corp ネットワーク監視装置及びネットワーク監視方法
JP2013168865A (ja) * 2012-02-16 2013-08-29 Hitachi Automotive Systems Ltd 車載ネットワークシステム
JP2017005617A (ja) * 2015-06-15 2017-01-05 株式会社デンソー 中継装置、電子装置および通信システム
JP2017147695A (ja) * 2016-02-19 2017-08-24 トヨタ自動車株式会社 イーサネットスイッチ装置

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6694235B2 (en) * 2001-07-06 2004-02-17 Denso Corporation Vehicular relay device, in-vehicle communication system, failure diagnostic system, vehicle management device, server device and detection and diagnostic program
JP3767561B2 (ja) * 2002-09-02 2006-04-19 ソニー株式会社 機器認証装置、機器認証方法、および情報処理装置、情報処理方法、並びにコンピュータ・プログラム
JP6545966B2 (ja) * 2015-01-27 2019-07-17 ルネサスエレクトロニクス株式会社 中継装置、端末装置および通信方法
JP6505318B2 (ja) * 2015-09-10 2019-04-24 ローベルト ボツシユ ゲゼルシヤフト ミツト ベシユレンクテル ハフツングＲｏｂｅｒｔ Ｂｏｓｃｈ Ｇｍｂｈ 車両の電子制御ユニットへの不正アクセスイベントの通知
JP6684690B2 (ja) 2016-01-08 2020-04-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知方法、監視電子制御ユニット及び車載ネットワークシステム
CN106534156B (zh) * 2016-11-30 2019-06-04 北京梆梆安全科技有限公司 车辆电子控制单元之间的身份认证方法和装置及设备
CN110235358B (zh) * 2017-03-23 2022-09-20 日立安斯泰莫株式会社 车辆控制装置
US20190182267A1 (en) * 2017-12-13 2019-06-13 International Business Machines Corporation Vehicle security manager
US11283598B2 (en) * 2019-01-25 2022-03-22 Infineon Technologies Ag Selective real-time cryptography in a vehicle communication network

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010220066A (ja) * 2009-03-18 2010-09-30 Toshiba Corp ネットワーク監視装置及びネットワーク監視方法
JP2013168865A (ja) * 2012-02-16 2013-08-29 Hitachi Automotive Systems Ltd 車載ネットワークシステム
JP2017005617A (ja) * 2015-06-15 2017-01-05 株式会社デンソー 中継装置、電子装置および通信システム
JP2017147695A (ja) * 2016-02-19 2017-08-24 トヨタ自動車株式会社 イーサネットスイッチ装置

Also Published As

Publication number Publication date
JPWO2019167384A1 (ja) 2021-02-12
CN111788796B (zh) 2022-10-18
CN111788796A (zh) 2020-10-16
JP7115536B2 (ja) 2022-08-09
US11558404B2 (en) 2023-01-17
US20210021615A1 (en) 2021-01-21

Similar Documents

Publication Publication Date Title
WO2019167384A1 (ja) 車載通信システム、スイッチ装置、検証方法および検証プログラム
US20220123946A1 (en) Systems and methods for enabling trusted communications between controllers
US10498718B2 (en) Device identification and authentication in a network
US9132790B2 (en) In-vehicle network system
US9923722B2 (en) Message authentication library
US11930021B2 (en) Unauthorized frame detection device and unauthorized frame detection method
US11063908B2 (en) On-vehicle communication device, communication control method, and communication control program
KR100954370B1 (ko) 소프트웨어 실행 관리 장치 및 그 방법
US11196702B2 (en) In-vehicle communication device, and communication control method
KR102460691B1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
JP5869552B2 (ja) 方法を実行するデバイスを介してアクセス可能なデータまたはサービスに対するアクセスのセキュリティを保護する方法、およびそれに対応するデバイス
Ammar et al. Securing the on-board diagnostics port (obd-ii) in vehicles
US20220247721A1 (en) System For Authenticating And Controlling Network Access Of Terminal, And Method Therefor
US20220019669A1 (en) Information processing device
JP2020119596A (ja) ログ解析システム、解析装置、方法、および解析用プログラム
JP2003258795A (ja) コンピュータ集合体運用方法及びその実施システム並びにその処理プログラム
JP5509999B2 (ja) 不正接続防止装置及びプログラム
JP7067508B2 (ja) ネットワークシステム
KR20180072340A (ko) 운송 수단 내부 네트워크에서의 제어 데이터를 보안 전송하는 방법
WO2020240984A1 (ja) 設定装置、通信システムおよび車両通信管理方法
US20230147082A1 (en) Control device and program verification method
Grümer Attack Model Implementation for a Secure Onboard Communication from an Automotive ECU
JP2023519910A (ja) 特に自動車におけるデータの異常を処理するための方法
KR20210075771A (ko) 차량 내부 네트워크 경량 보안 통신 장치 및 방법
CN116346398A (zh) 安全汽车系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18907963

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020502819

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18907963

Country of ref document: EP

Kind code of ref document: A1