WO2020021714A1 - 不正防止方法およびセキュアスターカプラ - Google Patents

不正防止方法およびセキュアスターカプラ Download PDF

Info

Publication number
WO2020021714A1
WO2020021714A1 PCT/JP2018/028294 JP2018028294W WO2020021714A1 WO 2020021714 A1 WO2020021714 A1 WO 2020021714A1 JP 2018028294 W JP2018028294 W JP 2018028294W WO 2020021714 A1 WO2020021714 A1 WO 2020021714A1
Authority
WO
WIPO (PCT)
Prior art keywords
unit
frame
branch
star coupler
routing
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2018/028294
Other languages
English (en)
French (fr)
Inventor
剛 岸川
良浩 氏家
平野　亮
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Intellectual Property Corp of America
Original Assignee
Panasonic Intellectual Property Corp of America
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Intellectual Property Corp of America filed Critical Panasonic Intellectual Property Corp of America
Priority to PCT/JP2018/028294 priority Critical patent/WO2020021714A1/ja
Priority to EP19841931.9A priority patent/EP3832956B1/en
Priority to CN201980006599.0A priority patent/CN111788800B/zh
Priority to PCT/JP2019/029252 priority patent/WO2020022445A1/ja
Priority to JP2020532476A priority patent/JP7337063B2/ja
Publication of WO2020021714A1 publication Critical patent/WO2020021714A1/ja
Priority to US17/089,277 priority patent/US11764998B2/en
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/44—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for communication between vehicles and infrastructures, e.g. vehicle-to-cloud [V2C] or vehicle-to-home [V2H]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/44—Star or tree networks
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40006—Architecture of a communication node
    • H04L12/40013—Details regarding a bus controller
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/407—Bus networks with decentralised control
    • H04L12/417—Bus networks with decentralised control with deterministic access, e.g. token passing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40234—Local Interconnect Network LIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40241—Flexray
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/44—Star or tree networks
    • H04L2012/445—Star or tree networks with switching in a hub, e.g. ETHERNET switch

Definitions

  • ECUs electronice control units
  • a network connecting these ECUs is called an in-vehicle network.
  • FlexRay which is designed as a protocol that is faster and more reliable than the currently mainstream Controller @ Area @ Network (hereinafter, CAN).
  • FlexRay represents a value of “0” and a value of “1” by a voltage difference between two stranded wires.
  • the ECU connected to the bus is called a node.
  • Each node connected to the bus sends and receives messages called frames.
  • FlexRay is a Time ⁇ Division ⁇ Multiple ⁇ Access (TDMA) system, and each node transmits a frame at a predetermined timing.
  • TDMA Time ⁇ Division ⁇ Multiple ⁇ Access
  • a routing unit, and a routing rule holding unit wherein the transceiver unit is connected to one of the branches, converts a physical signal of a bus of the connected branch into a digital signal, and From the receiving unit that notifies And a transmitting unit for converting the received digital signal into a physical signal and transmitting the converted signal to the bus, wherein the routing unit is connected to the first branch unless the non-transfer condition is met.
  • a time-triggered communication method is adopted, and even for an in-vehicle network designed in a star topology, by grasping a transmission position of an invalid frame, it is This makes it possible to cope with the situation, and to maintain a safe state as the whole in-vehicle network system.
  • FIG. 8 is a diagram illustrating an example of the received frame information stored in the received frame holding unit 304 according to the first and second embodiments.
  • FIG. 9 is a diagram illustrating an example of a routing table stored in the routing table holding unit 305 according to the first and second embodiments.
  • FIG. 10 is a diagram illustrating an example of frame information stored in the frame information holding unit 314 according to the first and second embodiments.
  • FIG. 11 is a diagram illustrating an example of a frame rule stored in the frame rule holding unit 315 according to the first and second embodiments.
  • FIG. 12 is a diagram illustrating an example of a branch abnormality degree stored in the branch abnormality degree holding unit 316 according to the first and second embodiments.
  • the digital signal is transferred to a plurality of transmission / reception steps other than the first transmission / reception step, and the non-transfer condition does not match the predetermined condition described in the routing rule holding step, and the first branch already exists.
  • a digital signal is received from a second transmission / reception step other than the first transmission / reception step that handles the physical signal, and the digital signal is transferred to a transmission / reception step other than the second transmission / reception step.
  • the step includes a rule indicating the correspondence between the time slot and the identifier of the branch or transmission / reception step to be received.
  • a fraud prevention method of equity As a result, even if an illegal frame is transmitted on a branch that does not match the routing rule, the transfer of the illegal frame is prevented by the secure star coupler, and the security of the vehicle-mounted network is improved.
  • the network idle time is a time period during which communication is not performed, and is always provided at the end of a cycle.
  • Each ECU performs a time synchronization process and the like.
  • ⁇ Header ⁇ Segment starts with Reserved @ bit, and includes Payload @ preamble @ indicator, Null @ frame @ indicator, Sync @ frame @ indicator, and Startup @ frame @ indicator each for indicating a frame type. Further, it is composed of an 11-bit Frame @ ID, a 7-bit Payload @ length, an 11-bit Header @ CRC, and a 6-bit Cycle @ count.
  • the Frame @ ID is also called a slot ID, and is used to identify the transmission timing of a frame and the contents of the frame.
  • Payload @ length can take a maximum value of 127. Payload @ Segment stores the number of bytes obtained by multiplying the value of Payload @ length by two. Header @ CRC is a checksum calculated from a value including Sync @ frame @ indicator to Payload @ length. Cycle @ count stores the current number of cycles.
  • the communication setting parameter holding unit 205 holds common parameters in a cluster for correctly converting a physical signal into a digital signal.
  • FIG. 7 shows an example of communication setting parameters stored in the communication setting parameter storage unit 205, which will be described in detail later.
  • the routing unit 302 transfers the digital signal notified from the transceiver unit 301a to the transceiver units 301b, 301c, and 301d excluding the transceiver unit 301a. Similarly, when the digital signal is notified from the transceiver unit 301b, the digital signal is notified to the transceiver units except the transceiver unit 301b.
  • the ECU interface unit 303 is also notified of the signal being received and the input branch information indicating from which branch the signal is being received. Further, the correspondence between the slot number and the receiving branch (transceiver unit) can be set from the ECU interface unit based on the routing table. At the timing of the slot number, the signal of the set receiving branch is transferred to another branch. Signals from the receiving branch that are not set are ignored and are not transferred to other branches. At the timing when the correspondence between the slot number and the reception branch is not set, the signal from the branch that received the signal first is transferred to another branch.
  • the ECU interface unit 303 interprets the received signal, converts the signal into a received frame, and sends the received frame information to the received frame holding unit 304. Save with.
  • the information of the received frame and the input branch information stored in the received frame holding unit 304 are notified. Further, it interprets and executes instructions such as rewriting the table of the branch to be received in each slot stored in the routing table holding unit 305 and reflecting it on the routing unit 302.
  • FIG. 6 is a configuration diagram of the fraud detection ECU 310.
  • the fraud detection ECU 310 includes a star coupler communication control unit 311, a fraud detection unit 312, a frame generation unit 313, a communication setting parameter storage unit 205, a frame information storage unit 314, a frame rule storage unit 315, a branch abnormality degree storage unit 316, and a reception unit. And a history holding unit 317.
  • the functions having the same functions as those of the ECU 200a are given the same numbers, and the description is omitted.
  • the fraud detecting unit 312 is notified of information about the received frame from the star coupler communication control unit 311 and determines whether the received frame is a normal frame. The determination as to whether the frame is a normal frame is made by referring to the ID and the reception branch table stored in the frame information holding unit 314, and confirming whether the correspondence between the ID of the received frame and the reception branch is correct. If the correspondence between the frame and the reception branch is correct, an invalid frame is transmitted by referring to the rule for each ID stored in the frame rule storage 315 and the reception history stored in the reception history storage 317.
  • a notification is sent to the frame generation unit 313 to notify other ECUs that the invalid frame is being transmitted, and the transmission of the invalid frame is performed.
  • the value of the degree of abnormality of each branch stored in the branch abnormality degree holding unit 316 is increased.
  • the fraud detecting unit 312 is stored in the routing table holding unit 305 of the secure star coupler 300 in order to prevent a fraudulent frame from being transferred from a branch that is a source of a fraudulent frame to another branch. , The slot and the input branch, and a notification of the control to the routing unit 302.
  • the frame information holding unit 314 stores a list of IDs of frames transmitted by each ECU and a branch of a transmission source.
  • FIG. 10 shows an example of the frame information held by the frame information holding unit 314, which will be described later in detail.
  • the frame rule holding unit 315 stores a rule for the fraud detecting unit 312 to determine whether the frame is fraudulent when the frame is received.
  • FIG. 11 shows an example of a frame rule stored in the frame rule holding unit 315, which will be described in detail later.
  • the branch abnormality degree holding unit 316 stores the degree of abnormality for each branch based on the number of illegal frames received.
  • FIG. 12 shows an example of the branch abnormality degree stored in the branch abnormality degree holding unit 316, which will be described in detail later.
  • FIG. 7 shows an example of communication setting parameters stored in the communication setting parameter holding unit 205.
  • the communication setting parameters indicate that the baud rate indicating the communication speed is 10 Mbps, the slot ID of the static segment is 1 to 50, and the slot ID of the dynamic segment is 51 to 100. I have. It also shows that the payload length of the static slot is 8 (that is, 16 bytes). These values are shared by all the ECUs in the cluster, and the transmission and reception of the FlexRay frame is realized based on these values.
  • the value of the communication setting parameter is merely an example, and another value may be used.
  • the parameters shown here are merely examples, and may include parameters not described in FIG. 7 (for example, the length of each segment, the length of a slot, and the like), or may be described in reverse. Some of the parameters may not be included.
  • FIG. 8 shows an example of a received frame list stored in the received frame holding unit 304 of the secure star coupler 300.
  • the information of the received frame includes, for each frame, a branch that received the frame, a reception slot ID, a cycle, a payload length, payload information included in the frame, a flag state of the Preamble indicator, and an error flag indicating whether the frame was correctly received. Have been.
  • FIG. 9 shows an example of a routing table stored in the routing table holding unit 305 of the secure star coupler 300.
  • a table that defines a specific timing (determined by a combination of a slot ID, a cycle offset, and a cycle reception) and a branch that receives a signal at the timing is held.
  • the input branch is 100c, and the routing unit 302 controls the signal received from the bus 100c to transfer it to another branch. I do.
  • the routing unit 302 ignores the signal.
  • the input branch at a timing when the slot ID is 3, the cycle @ offset is 0, and the cycle @ reception is 2 is 100a, and the input branch at a timing when the slot ID is 98, the cycle @ offset is 1 and the cycle @ reception is 2 is 100b. It indicates that there is.
  • FIG. 10 shows an example of frame information stored in the frame information holding unit 314 of the fraud detection ECU 310.
  • a frame whose slot ID is 98, whose Cycle @ offset is 1, and whose Cycle @ reception is 2 (that is, transmitted only when the cycle counter is an odd number) has a frame name C, and information about the gear state is included in the payload of the frame C. This indicates that the transmission source ECU is 200b and the branch is 100b.
  • a frame with a slot ID of 99, a cycle @ offset of 0, and a cycle @ reception of 4 has a frame name of D, the payload of frame D contains information on camera information 1, the source ECU is 200d, and the branch is 100d.
  • a frame having a slot ID of 99, a cycle @ offset of 1, and a cycle @ reception of 4 has a frame name of E
  • the payload of the frame E includes information on camera information 2
  • the transmission source ECU is 200d
  • the branch is 100d.
  • a cycle of reception of 4 has a frame name of F
  • the payload of frame F includes information on camera information 3
  • the transmission source ECU is 200d
  • the branch is 100d.
  • a frame having a slot ID of 99, a cycle of $ offset of 3, and a cycle of $ reception of 4 has a frame name of G
  • the payload of frame G includes information on camera information 4
  • the transmission source ECU is 200d
  • the branch is 100d.
  • Frames A and B are static frames transmitted in the static segment
  • frames C to G are dynamic frames transmitted in the dynamic segment.
  • FIG. 11 is a diagram illustrating an example of the frame rule stored in the frame rule holding unit 315 of the fraud detection ECU 310. In the figure, a reception rule is set for each frame name.
  • FIG. 13 is an example of the reception history stored in the reception history holding unit 317 of the fraud detection ECU 310.
  • the figure shows an example in which the last received value and the vehicle state of each frame are held.
  • the previous reception value and the reception time (us) are held for each frame.
  • the previous reception value of the speed included in frame A is 40.5 km / h, indicating that the previous reception time was 12100 us.
  • the previous reception value of the handle angle included in frame B is 5 degrees, indicating that the previous reception time was 8100.
  • the gear state included in the frame C is the drive state, and indicates that the previous reception time was 12400 us.
  • the previous reception value of the camera information 1 included in the frame D indicates detection of the preceding vehicle, and indicates that the previous reception time was 1440 us.
  • the previous reception value of the camera information 2 included in the frame E indicates pedestrian detection, and indicates that the reception time was 5480 us.
  • the previous reception value of the camera information 3 included in the frame F indicates the lane detection state, and indicates that the reception time was 9520 us.
  • the previous reception value of the camera information 4 included in the frame G indicates that the rear camera has not been started, and indicates that the reception time is 13560 us.
  • the fraud detection unit 312 updates the vehicle state stored in the reception history holding unit 317 as the traveling state.
  • FIG. 14 is a flowchart showing the operation of the secure star coupler 300.
  • the secure star coupler 300 determines from which branch the signal has been received (S1001). When receiving the signal, the secure star coupler 300 determines whether a routing table corresponding to the current reception timing exists. (S1002). If there is a routing table corresponding to the current reception timing, the secure star coupler 300 checks whether the correspondence between the reception timing and the branch that has received the signal is appropriate (S1003). If there is no routing table corresponding to the current reception timing, the secure star coupler 300 checks whether a signal is being received from another branch (S1006).
  • Signals from the receiving branch that are not set are ignored and are not transferred to other branches.
  • the signal from the branch that received the signal first is transferred to another branch.
  • the signal being transferred is decoded, and it is determined whether or not the signal matches the blacklist held in the blacklist holding unit 1306. If the signal being transferred matches the blacklist, and the branch abnormality degree stored in the branch abnormality degree holding unit and the running state stored in the running state holding unit are referred to, the validity condition of the blacklist is satisfied. In such a case, the transfer of the signal being transferred to another branch is stopped.
  • FIG. 17 is a configuration diagram of the fraud detection ECU 1310.
  • the fraud detection ECU 1310 includes a star coupler communication control unit 1311, a fraud detection unit 1312, a frame generation unit 313, a communication setting parameter storage unit 205, a frame information storage unit 314, a frame rule storage unit 315, a reception history And a holding unit 317.
  • the fraud detecting unit 1312 is notified of information about the received frame from the star coupler communication control unit 1311 and determines whether the received frame is a normal frame. The determination as to whether the frame is a normal frame is made by referring to the ID and the reception branch table stored in the frame information holding unit 314, and confirming whether the correspondence between the ID of the received frame and the reception branch is correct. If the correspondence between the frame and the reception branch is correct, an invalid frame is transmitted by referring to the rule for each ID stored in the frame rule storage 315 and the reception history stored in the reception history storage 317.
  • FIG. 20 is a processing flowchart of the secure star coupler 1300 when receiving a frame.
  • the secure star coupler 1300 starts receiving a frame (S2001).
  • the secure star coupler 1300 checks whether a routing table corresponding to the current slot exists (S2002). If a corresponding routing table exists, the secure star coupler 1300 executes S2003. Otherwise, the secure star coupler 1300 executes S2011.
  • the secure star coupler 1300 decodes the signal being transferred during routing (after S2004), and checks whether the signal matches the blacklist held by itself (S2005). If it matches the blacklist, the secure star coupler 1300 stops the routing (S2009) and ends the processing. If they do not match the blacklist, the secure star coupler 1300 transfers all signals (S2006).
  • the fraud detection ECU 1310 refers to the frame rule stored in the frame rule holding unit 315, and checks whether the received frame conforms to the frame rule. If the frame rule is satisfied, the fraud detection ECU 1310 determines that the legitimate frame has been received, updates the reception history stored in the reception history holding unit 317 (S2104), and notifies the secure star coupler 1300 of the running state update notification. (S2105), and the process ends. If the frame rule is not satisfied, it is determined that an invalid frame has been received, and the fraud detection ECU 1310 notifies the secure star coupler 1300 to increase the degree of abnormality of the receiving branch (S2106), and ends the processing.
  • a star network topology is shown, but the network topology is not limited.
  • a network topology such as a bus-type hybrid or a star-type hybrid can be adopted.
  • the process is terminated after detecting an invalid frame.
  • the response when an invalid frame is detected is not limited to this.
  • the branch information, the header information, the payload value, the reception time, etc., which transmitted the invalid frame may be stored as a log, or the other ECU may be notified of the invalid frame.
  • an external server may be notified that the vehicle has been fraudulent, or the driver may be notified that the vehicle's in-vehicle network has been fraudulent.
  • the number of reception rules stored in the frame rule holding unit is one for each frame, but there may be one or more reception rules.
  • a reception rule may not exist. This makes it possible to check according to the importance of the frame, which is effective in improving the security of the vehicle-mounted network.
  • the frame name is held in the frame information stored in the frame information holding unit.
  • the frame name may not be held.
  • the vehicle history included in the reception history is only the two states of running or stopped, but the vehicle state is not limited to these two states.
  • an ignition-on state, an accessory-on state, a low-speed running state, a high-speed running state, a steering wheel steering state, a gear state, or a state in which these are combined can be taken.
  • the transfer of the signal matching the blacklist is stopped, but processing other than stopping the transfer of the signal may be performed.
  • the CRC value included in the frame may be rewritten. Any measures can be taken as long as the signals being transferred are not recognized and processed by other ECUs as valid frames.
  • the FlexRay protocol was used as the in-vehicle network, but the present invention is not limited to this.
  • CAN CAN-FD (CAN with Flexible Data Rate), Ethernet, LIN (Local Interconnect Network), MOST (Media Oriented Systems Transport), or the like may be used.
  • LIN Local Interconnect Network
  • MOST Media Oriented Systems Transport
  • a network in which these networks are combined as a sub-network may be used. This is particularly effective for a network employing a time trigger method.
  • the present disclosure may be the methods described above. Further, these methods may be a computer program that is realized by a computer, or may be a digital signal composed of a computer program.
  • the present disclosure may be a computer system including a microprocessor and a memory, wherein the memory records the computer program, and the microprocessor may operate according to the computer program.
  • the program or digital signal may be recorded on a recording medium and transferred, or the program or digital signal may be transferred via a network or the like, so as to be implemented by another independent computer system.
  • the present disclosure provides a secure in-vehicle network system by observing a frame flowing in the in-vehicle network, grasping a transmission position of an illegal frame, and taking measures. As a result, a secure state can be maintained for the entire in-vehicle network system.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mechanical Engineering (AREA)
  • Small-Scale Networks (AREA)

Abstract

車載ネットワークは、１以上の電子制御装置と１つの車載ネットワークバスで構成される複数のブランチが、セキュアスターカプラ（３００）を通じて接続され、電子制御装置は所定タイムスロット内でフレームを送受信し、セキュアスターカプラ（３００）は、ブランチ数のトランシーバ部（３０１ａ～３０１ｄ）と、ルーティング部（３０２）と、保持部（３０５）を備え、トランシーバ部（３０１ａ～３０１ｄ）は、いずれかのブランチに接続されており、ブランチのバスの物理信号をデジタル信号へ変換しルーティング部（３０２）へ通知する受信部と、デジタル信号を物理信号へ変換しバスへ送信する送信部を備え、ルーティング部（３０２）は、非転送条件の場合を除き、第１のブランチに接続される第１のトランシーバ部からのデジタル信号を第１のトランシーバ部以外のトランシーバ部へ転送する。

Description

不正防止方法およびセキュアスターカプラ
　本開示は、スター型トポロジの車載ネットワークにおける不正フレームの送信を防止するセキュアスターカプラに関する。
　近年、自動車の中のシステムには、電子制御ユニット（以下、ＥＣＵ）と呼ばれる装置が多数配置されている。これらのＥＣＵをつなぐネットワークを車載ネットワークと呼ばれる。車載ネットワークには、多数の規格が存在する。その中でも、現在、主流となっているＣｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ（以下ＣＡＮ）よりも高速、高信頼プロトコルとして設計されたＦｌｅｘＲａｙという規格が存在する。
　ＦｌｅｘＲａｙでは２本のより線の電圧差により“０”の値と“１”の値を表す。バスに接続されているＥＣＵはノードと呼ばれる。バスに接続されている各ノードは、フレームと呼ばれるメッセージを送受信する。ＦｌｅｘＲａｙはＴｉｍｅ　Ｄｉｖｉｓｉｏｎ　Ｍｕｌｔｉｐｌｅ　Ａｃｃｅｓｓ（以下ＴＤＭＡ）方式であり、各ノードは予め決められたタイミングでフレームを送信する。
　ＦｌｅｘＲａｙでは、最大の時間単位であるサイクルが存在し、各ノードはグローバルタイムを同期している。サイクルは「静的セグメント」「動的セグメント」「シンボルウィンドウ」「ネットワークアイドルタイム」の４つのセグメントから構成され、動的セグメントとシンボルウィンドウはオプションである。各ノードは静的セグメントと動的セグメントにおいてフレームを送信する。静的セグメントと動的セグメントは、さらにスロットと呼ばれる１つのフレームを送信することができる時間から構成される。
　ＦｌｅｘＲａｙでは送信先や送信元を示す識別子は存在せず、送信ノードはフレーム毎に予め定められた送信タイミングであるスロット番号に基づいてフレームを送信する。各受信ノードは予め決められたスロット番号のフレームのみを受信する。また、同一のスロット番号のフレームであっても、サイクルによって異なるフレームの通信を実現する「サイクルマルチプレキシング」と呼ばれる方法が用いられる。
　また、ＦｌｅｘＲａｙでは、ＣＡＮのように全てのノードが１つのバスに接続されるバス型ネットワークトポロジだけでなく、スターカプラを介したスター型のネットワークトポロジや、バス型とスター型のハイブリッド型のネットワークトポロジを設計することが可能である。
　一方、セキュリティに関しては、ＣＡＮでは、攻撃者がＣＡＮのバスにアクセスし、不正フレームを送信することで、ＥＣＵを不正制御するといった脅威が存在し、セキュリティ対策が検討されている。
　例えば特許文献１では、車載ネットワーク監視装置を提案しており、フレームがあらかじめ規定された通信間隔でＣＡＮに送信されているかを検出し、規定された通信間隔から外れるフレームを不正と判断することで、不正フレームによる制御を防止する方法が開示されている。
特許第５６６４７９９号公報 特許第４８７１３９５号公報
　しかしながら、タイムトリガー型の通信方式を採用しているＦｌｅｘＲａｙでは、予め規定された通信間隔で通信を行うため、ある特定の識別子をもつフレームの受信間隔は常に一定となり、特許文献１のような不正検知手法を適用することはできない。また、ＦｌｅｘＲａｙでは、設計容易性の観点からスター型のネットワークトポロジが利用されることが多い。これに対し、特許文献２では、タイムスケジュールに応じて転送元のブランチをスイッチするインテリジェントスターカプラが開示されている。インテリジェントスターカプラにより、本来フレームの送信が予定されていないブランチからの攻撃フレームの注入を防ぐことが可能になるが、攻撃が試行されたことを把握することはできない。さらに特許文献２のインテリジェントスターカプラでは、送信が予定されているブランチに不正なノードが存在する場合には、不正なフレームの注入を防ぐことはできない。
　本開示は、上記課題を解決するため、タイムトリガー型の通信方式であるプロトコルを採用した車載ネットワークにおいて、スター型トポロジによりネットワークが設計されたときに、不正なフレームの送信箇所を把握し、対処することで安全な車載ネットワークシステムを提供することを目的とする。
　本開示の一態様に係る不正検知防止装置は、タイムスロットに基づくタイムトリガー型の通信方式である車載ネットワークにおけるセキュアスターカプラであって、前記車載ネットワークには、１以上の電子制御装置と１つの車載ネットワークバスから構成される複数のブランチが、セキュアスターカプラを通じて接続され、前記電子制御装置は所定のタイムスロット内でフレームを送受信し、前記セキュアスターカプラは、ブランチ数に対応する複数のトランシーバ部と、ルーティング部と、ルーティングルール保持部とから構成され、前記トランシーバ部は、いずれかのブランチに接続されており、接続されているブランチのバスの物理信号をデジタル信号へ変換し、前記ルーティング部へ通知する受信部と、前記ルーティング部から受信したデジタル信号を物理信号へ変換し、前記バスへ送信する、送信部と、を備え、前記ルーティング部は、非転送条件に合致する場合を除き、第１のブランチに接続される第１のトランシーバ部から受信したデジタル信号を、前記第１のトランシーバ部以外の複数のトランシーバ部へ転送し、前記非転送条件は、前記ルーティングルール保持部に記載されている所定の条件に合致しない場合と、既に第１のブランチ接続される第１のトランシーバ部以外の第２のトランシーバ部からデジタル信号を受信し、前記第２のトランシーバ部以外のトランシーバ部へデジタル信号を転送している場合であり、前記ルーティングルール保持部は、タイムスロットと受信すべきブランチまたはトランシーバ部の識別子の対応を示したルールを保持するセキュアスターカプラである。
　なお、これらの全般的または具体的な態様は、装置、システム、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、装置、システム、方法、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。
　本開示によれば、タイムトリガー型の通信方式を採用しており、スター型トポロジで設計されている車載ネットワークに対しても、不正なフレームの送信箇所を把握することで、不正なフレームへの対処が可能となり車載ネットワークシステム全体として、安全な状態を維持することができる。
図１は、実施の形態１、２における車載ネットワークシステム１０の全体構成図である。 図２は、実施の形態１、２におけるＦｌｅｘＲａｙのサイクルについての図である。 図３は、実施の形態１、２におけるＦｌｅｘＲａｙフレームのフォーマットを示した図である。 図４は、実施の形態１、２におけるＥＣＵ２００ａの構成図である。 図５は、実施の形態１におけるセキュアスターカプラ３００の構成図である。 図６は、実施の形態１における不正検知ＥＣＵ３１０の構成図である。 図７は、実施の形態１、２における通信用設定パラメータ保持部２０５に格納される通信用設定パラメータの一例を示す図である。 図８は、実施の形態１、２における受信フレーム保持部３０４に格納される受信フレーム情報の一例を示す図である。 図９は、実施の形態１、２におけるルーティングテーブル保持部３０５に格納されるルーティングテーブルの一例を示す図である。 図１０は、実施の形態１、２におけるフレーム情報保持部３１４に格納されるフレーム情報の一例を示す図である。 図１１は、実施の形態１、２におけるフレームルール保持部３１５に格納されるフレームルールの一例を示す図である。 図１２は、実施の形態１、２におけるブランチ異常度保持部３１６に格納されるブランチ異常度の一例を示す図である。 図１３は、実施の形態１、２における受信履歴保持部３１７に格納される受信履歴の一例を示す図である。 図１４は、実施の形態１におけるセキュアスターカプラ３００の処理フローチャートである。 図１５は、実施の形態１における不正検知ＥＣＵ３１０の処理フローチャートである。 図１６は、実施の形態２におけるセキュアスターカプラ１３００の構成図である。 図１７は、実施の形態２における不正検知ＥＣＵ１３１０の構成図である。 図１８は、実施の形態２におけるブラックリスト保持部１３０６に格納されるブラックリストの一例を示す図である。 図１９は、実施の形態２における走行状態保持部１３０７に格納される走行状態の一例を示す図である。 図２０は、実施の形態２におけるセキュアスターカプラ１３００のフレーム受信時の処理フローチャートである。 図２１は、実施の形態２における不正検知ＥＣＵ１３１０の処理フローチャートである。
　本開示の一実施様態の不正防止装置は、タイムスロットに基づくタイムトリガー型の通信方式である車載ネットワークにおけるセキュアスターカプラであって、前記車載ネットワークには、１以上の電子制御装置と１つの車載ネットワークバスから構成される複数のブランチが、セキュアスターカプラを通じて接続され、前記電子制御装置は所定のタイムスロット内でフレームを送受信し、前記セキュアスターカプラは、ブランチ数に対応する複数のトランシーバ部と、ルーティング部と、ルーティングルール保持部とから構成され、前記トランシーバ部は、いずれかのブランチに接続されており、接続されているブランチのバスの物理信号をデジタル信号へ変換し、前記ルーティング部へ通知する受信部と、前記ルーティング部から受信したデジタル信号を物理信号へ変換し、前記バスへ送信する、送信部と、を備え、前記ルーティング部は、非転送条件に合致する場合を除き、第１のブランチに接続される第１のトランシーバ部から受信したデジタル信号を、前記第１のトランシーバ部以外の複数のトランシーバ部へ転送し、前記非転送条件は、前記ルーティングルール保持部に記載されている所定の条件に合致しない場合と、既に第１のブランチ接続される第１のトランシーバ部以外の第２のトランシーバ部からデジタル信号を受信し、前記第２のトランシーバ部以外のトランシーバ部へデジタル信号を転送している場合であり、前記ルーティングルール保持部は、タイムスロットと受信すべきブランチまたはトランシーバ部の識別子の対応を示したルールを保持するセキュアスターカプラである。これにより、不正なフレームを、ルーティングルールに合致しないブランチにて送信されたとしても、セキュアスターカプラにより、不正なフレームの転送を阻止され、車載ネットワークの安全性が向上する。
　また、前記セキュアスターカプラは、さらに、ブランチ異常度保持部を備え、前記ブランチ異常度保持部は、ブランチごとの異常度を保持し、前記異常度は、前記ルーティングルール保持部に保持される、ルールに合致しないタイミングで第３のトランシーバ部からデジタル信号を受信した場合に、前記第３のトランシーバ部に対応するブランチの異常度を増加させ、前記非転送条件は、加えて、デジタル信号を受信したトランシーバ部に対応する、ブランチ異常度に保持される対応する異常度が所定の値以上の場合であるとしてもよい。これにより、不正なフレームの送信が継続されていると判断されたブランチから送信されるフレームの転送を阻止することが可能となりうる。
　また、前記セキュアスターカプラは、さらに各ブランチのデジタル信号をデコードし、フレームにプロトコル上のエラー発生の有無を検知するエラー検知部を、ブランチごとに備え、前記異常度は、加えて、前記ルーティングルール保持部に記載されている、ルールが有効なタイムスロットにおいて、第１のエラー検知部がエラーを検知した場合に、第１のエラー検知部に対応するブランチの異常度を増加させるとしてもよい。これにより、ルーティングルールに従った転送を行い、車載ネットワークの安全性を保ちながら、不正なフレームの送信が試行されているブランチを把握することが可能となる。
　また、前記セキュアスターカプラは、さらに電子制御装置と通信を行うための通信制御部を備え、前記ルーティング部は、さらに前記第１のトランシーバ部から受信したデジタル信号を、デコードし、フレームとして解釈するデコーダ部と、前記フレームと、転送元である前記第１のトランシーバ部を示す識別子と、を併せて保持する受信フレーム保持部と、を備え、前記通信制御部は、前記受信フレーム保持部の情報を、電子制御装置へ通知するとしてもよい。これにより、受信フレームの送信元ブランチを、外部装置が容易に把握することが可能となり、不正の発生原因の特定が容易になりうる。
　また、前記セキュアスターカプラは、さらに、ブラックリストを保持するブラックリスト保持部を備え、前記ブラックリスト保持部は、転送を禁止する、所定のタイムスロットにおけるフレームに含まれるペイロードの値の条件を保持し、前記ルーティング部は、さらに転送中のデジタル信号をデコードし、前記ブラックリスト保持部に含まれる、対応するルールとの照合を行うブラックリスト照合部を備え、前記ブラックリスト照合部は、転送中のデジタル信号が、前記ブラックリストに合致していると判断した場合に、以降のデジタル信号の転送を停止するとしてもよい。これにより、ルーティングルールに合致する不正なフレームであっても、フレームに含まれるペイロードから不正なフレームを検知し、転送を阻止することが可能となる。
　また、前記セキュアスターカプラは、さらに、走行状態保持部を備え、前記通信制御部は、さらに、電子制御装置から、走行状態を受信し、前記走行状態保持部の値を更新する、走行状態受信部を備え、前記ブラックリスト照合部は、走行状態保持部の走行状態が、所定の条件を満たしている時のみ、前記ブラックリストに合致した転送中の信号の以降の転送を停止するとしてもよい。これにより、車両の走行状態に応じて、不正フレームの転送禁止の有無を切り替えることで、運転者にとって危険な状況における不正フレームの送信を阻止しつつ、安全な状況においては車載ネットワークシステムへの介入を避けることが可能となる。
　また、本開示の一実施様態の不正防止方法は、タイムスロットに基づくタイムトリガー型の通信方式である車載ネットワークにおける不正防止方法であって、前記車載ネットワークには、１以上の電子制御装置と１つの車載ネットワークバスから構成される複数のブランチが、セキュアスターカプラを通じて接続され、前記電子制御装置は所定のタイムスロット内でフレームを送受信し、前記不正防止方法は、ブランチ数に対応する複数の送受信ステップと、ルーティングステップと、ルーティングルール保持ステップと、から構成され、前記送受信ステップは、いずれかのブランチのバスの物理信号をデジタル信号へ変換し、前記ルーティングステップへ通知する受信ステップと、前記ルーティングステップから受信したデジタル信号を物理信号へ変換し、前記バスへ送信する、送信ステップと、を備え、前記ルーティングステップは、非転送条件に合致する場合を除き、第１のブランチの物理信号を扱う第１の送受信ステップから受信したデジタル信号を、前記第１の送受信ステップ以外の複数の送受信ステップへ転送し、前記非転送条件は、前記ルーティングルール保持ステップで記載された所定の条件に合致しない場合と、既に第１のブランチの物理信号を扱う第１の送受信ステップ以外の第２の送受信ステップからデジタル信号を受信し、前記第２の送受信ステップ以外の送受信ステップへデジタル信号を転送している場合であり、前記ルーティングルール保持ステップは、タイムスロットと受信すべきブランチまたは送受信ステップの識別子の対応を示したルールを保持する不正防止方法である。これにより、不正なフレームを、ルーティングルールに合致しないブランチにて送信されたとしても、セキュアスターカプラにより、不正なフレームの転送を阻止され、車載ネットワークの安全性が向上する。
　以下、実施の形態に係る不正防止装置について、図面を参照しながら説明する。ここで示す実施の形態は、いずれも本開示の一具体例を示すものである。従って、以下の実施の形態で示される数値、構成要素、構成要素の配置及び接続形態、並びに、ステップ（工程）及びステップの順序等は、一例であって本開示を限定するものではない。以下の実施の形態における構成要素のうち、独立請求項に記載されていない構成要素については、任意に付加可能な構成要素である。また、各図は、模式図であり、必ずしも厳密に図示されたものではない。
　（実施の形態１）
　１．システムの構成
　ここでは、本開示の実施の形態として、スター型トポロジの車載ネットワークを監視し、各フレームと、各フレームの送信元のブランチを示す情報に基づいて、不正なフレームの送信を検知、または防止するセキュアスターカプラ３００と不正検知ＥＣＵ３１０について図面を参照しながら説明する。
　１．１　車載ネットワークシステム１０の全体構成
　図１は、本開示に係る車載ネットワークシステム１０の全体構成を示す図である。車載ネットワークシステム１０は、ＦｌｅｘＲａｙバス１００ａ、１００ｂ、１００ｃ、１００ｄ、と各バスに接続される、ＥＣＵ２００ａ、２００ｂ、２００ｃ、２００ｄ、各ＥＣＵの制御対象であるハンドル２１０、ギア２２０、ブレーキ２３０、カメラ２４０と、各ＦｌｅｘＲａｙバスを接続するセキュアスターカプラ３００と、セキュアスターカプラ３００と通信線１１０により接続される不正検知ＥＣＵ３１０と、から構成される。ＥＣＵ２００ａ～２００ｄは、ＦｌｅｘＲａｙバスを通じて、フレームの送受信を行うことで、車両の制御を実現する。不正検知ＥＣＵ３１０はセキュアスターカプラ３００を通じてＦｌｅｘＲａｙバスを観測することで、不正なフレームの送信を検知する。またＦｌｅｘＲａｙバス１００ａ、１００ｂ、１００ｃ、１００ｄは、どのバスにも同じ信号が流れるようにスターカプラが信号の整形を行い、各ＥＣＵは、ＦｌｅｘＲａｙバスを通じて同期をとっている。ここでは各バスのことをブランチと呼ぶ。
　１．２　ＦｌｅｘＲａｙサイクル
　図２は、本開示に係るＦｌｅｘＲａｙ通信のサイクルを示す図である。ＦｌｅｘＲａｙの通信はサイクル（Ｃｙｃｌｅ）と呼ばれる単位で行われ、サイクルの繰り返し回数（サイクルカウンタ）を各ノードが同期して保持しており、サイクルカウンタは０～６３の値をとる。サイクルカウンタが６３である次のサイクルはサイクルカウンタを０にリセットする。
　各サイクルは、静的セグメント（Ｓｔａｔｉｃ　ｓｅｇｍｅｎｔ）、動的セグメント（Ｄｙｎａｍｉｃ　ｓｅｇｍｅｎｔ）、シンボルウィンドウ（Ｓｙｍｂｏｌ　ｗｉｎｄｏｗ）、ネットワークアイドルタイム（ＮＩＴ）の４つのセグメントから構成される。各セグメントの時間は予め設計されたパラメータによって、ＦｌｅｘＲａｙネットワーク全体（クラスタ）で共通であるため、１サイクルの時間も同様にクラスタで共通である。
　静的セグメントは、複数のスロットから構成される。スロットの個数、および各スロットの時間はクラスタ内で共通である。またＦｌｅｘＲａｙフレームは１スロット内に１つのフレームが送信され、スロットの番号がフレームの識別子（Ｆｒａｍｅ　ＩＤ）となる。各ＥＣＵは予め定められたタイミング（スロット番号）で、フレームの送信を行うように設計されている。静的セグメント内で送信されるフレームを静的フレームとよぶ。静的フレームは、ペイロード長がクラスタ内で共通となっている。
　動的セグメントは、ミニスロットと呼ばれるスロットから構成される。ミニスロットにも同様にスロット番号が存在し、各ＥＣＵは、予め定められたタイミング（スロット番号）で送信を行うように設計されているが、静的セグメントと異なり、必ずしもフレームの送信を行う必要はない。動的セグメント内で送信されるフレーム動的フレームとよぶ。動的フレームは、ペイロード長として０～２５４の任意の値をとることができる。
　シンボルウィンドウは、シンボルと呼ばれる信号の送受信を行う時間帯である。
　ネットワークアイドルタイムは、通信を行わない時間帯であり、サイクルの最後に必ず設けられる。各ＥＣＵは、時刻の同期処理等を行う。
　１．３　フレームフォーマット
　図３は、本開示に係るＦｌｅｘＲａｙプロトコルのフレームフォーマットを示す図である。静的フレームおよび動的フレームともに共通のフォーマットである。フレームは、Ｈｅａｄｅｒ　Ｓｅｇｍｅｎｔ、Ｐａｙｌｏａｄ　Ｓｅｇｍｅｎｔ、Ｔｒａｉｌｅｒ　Ｓｅｇｍｅｎｔの３つのセグメントから構成される。
　Ｈｅａｄｅｒ　ＳｅｇｍｅｎｔはＲｅｓｅｒｖｅｄ　ｂｉｔから始まり、フレームの種別を表すための、Ｐａｙｌｏａｄ　ｐｒｅａｍｂｌｅ　ｉｎｄｉｃａｔｏｒ、Ｎｕｌｌ　ｆｒａｍｅ　ｉｎｄｉｃａｔｏｒ、Ｓｙｎｃ　ｆｒａｍｅ　ｉｎｄｉｃａｔｏｒ、Ｓｔａｒｔｕｐ　ｆｒａｍｅ　ｉｎｄｉｃａｔｏｒがそれぞれ１ビットずつ含まれる。さらに１１ビットのＦｒａｍｅ　ＩＤと、７ビットのＰａｙｌｏａｄ　ｌｅｎｇｔｈ、１１ビットのＨｅａｄｅｒ　ＣＲＣ、６ビットのＣｙｃｌｅ　ｃｏｕｎｔから構成される。Ｆｒａｍｅ　ＩＤは、スロットＩＤとも呼ばれ、フレームの送信タイミング及び、フレームの内容を識別するために用いられる。Ｐａｙｌｏａｄ　ｌｅｎｇｔｈは最大１２７の値をとり得る。Ｐａｙｌｏａｄ　ＳｅｇｍｅｎｔにはＰａｙｌｏａｄ　ｌｅｎｇｔｈの値に２をかけたバイト数が格納される。Ｈｅａｄｅｒ　ＣＲＣはＳｙｎｃ　ｆｒａｍｅ　ｉｎｄｉｃａｔｏｒからＰａｙｌｏａｄ　ｌｅｎｇｔｈまでを含んだ値から計算されるチェックサムである。Ｃｙｃｌｅ　ｃｏｕｎｔは、現在のサイクル数が格納される。
　Ｐａｙｌｏａｄ　Ｓｅｇｍｅｎｔには、フレームの内容を表すデータが含まれる。Ｐａｙｌｏａｄ　ｌｅｎｇｔｈの値の２倍のバイト数が格納されており、最大で２５４バイトが格納される。
　Ｔｒａｉｌｅｒ　Ｓｅｇｍｅｎｔにはフレームの全てを含んだ値から計算されるＣＲＣが格納されている。
　１．４　ＥＣＵ２００ａの構成図
　図４は、ＥＣＵ２００ａの構成図である。なお、ＥＣＵ２００ｂ、ＥＣＵ２００ｃ、ＥＣＵ２００ｄも同様の構成要素のため、説明を省略する。
　ＥＣＵ２００ａは、フレーム送受信部２０１と、フレーム解釈部２０２と外部機器制御部２０３と、フレーム生成部２０４と、通信用設定パラメータ保持部２０５と、から構成される。
　フレーム送受信部２０１は、バス１００ａから受信した物理信号を、デジタル信号に復号することでフレームの情報を取得する。フレーム送受信部は通信用設定パラメータ保持部２０５に保持される、通信用設定パラメータを参照することで、他のＥＣＵと時刻を同期し、正しくフレームを受信することができる。またフレーム送受信部２０１は、フレーム生成部２０４から、通知される送信フレーム要求に従い、予め定められたタイミングで、フレームを物理信号に変換して、バス１００ａに送信する。
　フレーム解釈部２０２は、フレーム送受信部２０１から通知される受信したフレームに含まれるペイロードを解釈し、ペイロードの内容に応じてＥＣＵ２００ａに接続されるハンドル２１０の制御を行うために外部機器制御部へ通知を行う。例えば、他のＥＣＵから通知される車両の速度の情報に基づいて、走行状態を判断し、走行状態に応じたハンドルのアシスト制御や、自動駐車モード時のステアリング操舵指示信号に基づいて、ハンドルの自動操舵を実現する。
　外部機器制御部２０３は、ＥＣＵ２００ａに接続されるハンドル２１０の制御を行う。またハンドル２１０の状態を監視し、他のＥＣＵに状態を通知するためのフレーム送信要求をフレーム生成部に通知する。例えば、ハンドル２１０の角度を通知する。
　フレーム生成部２０４は、通知された信号に基づいて、フレームの生成を行い、フレーム送受信部２０１へ送信要求を行う。
　通信用設定パラメータ保持部２０５は、物理信号を正しく、デジタル信号に変換するための、クラスタ内で共通のパラメータが保持されている。図７に通信用設定パラメータ保持部２０５に保持される通信用設定パラメータの一例を示し、詳細は後述する。
　１．５　セキュアスターカプラ３００の構成図
　図５は、セキュアスターカプラ３００の構成図である。セキュアスターカプラ３００は、トランシーバ部３０１ａ、３０１ｂ、３０１ｃ、３０１ｄ、ルーティング部３０２、ＥＣＵインターフェース部３０３、受信フレーム保持部３０４、ルーティングテーブル保持部３０５と、から構成される。
　トランシーバ部３０１ａは、バス１００ａから受信した物理信号を、デジタル信号に変換し、ルーティング部３０２へ通知する。またデジタル信号をルーティング部３０２から通知された場合は、通知されたデジタル信号を、物理信号へ変換し、バス１００ａへ転送する。他のトランシーバ部３０１ｂ、３０１ｃ、３０１ｄも同様の機能を有する。
　ルーティング部３０２は、トランシーバ部３０１ａから通知されたデジタル信号を、トランシーバ部３０１ａを除くトランシーバ部３０１ｂ、３０１ｃ、３０１ｄ、へ転送する。同様にトランシーバ部３０１ｂからデジタル信号を通知された場合は、トランシーバ部３０１ｂを除く、トランシーバ部に対して、デジタル信号を通知する。また、受信中の信号と、どのブランチから信号を受信しているかの入力ブランチ情報をＥＣＵインターフェース部３０３へ通知する。さらにＥＣＵインターフェース部からルーティングテーブルに基き、スロット番号と、受信ブランチ（トランシーバ部）の対応を設定でき、当該スロット番号のタイミングにおいては、設定された受信ブランチの信号を他のブランチへ転送する。設定されていない受信ブランチからの信号は無視され、他のブランチへ転送されない。スロット番号と、受信ブランチの対応が設定されていないタイミングにおいては、一番早く信号を受信したブランチからの信号を、他のブランチへ転送する。
　ＥＣＵインターフェース部３０３は、ルーティング部３０２より通知される受信した信号と、入力ブランチ情報を通知されると、受信した信号を解釈し、受信フレームに変換し、受信フレーム保持部３０４に、入力ブランチ情報とともに保存する。不正検知ＥＣＵ３１０の要求に従って、受信フレーム保持部３０４に格納されている、受信フレームの情報と入力ブランチ情報を通知する。さらにルーティングテーブル保持部３０５に格納されている、各スロットにおける受信するブランチのテーブルの書き換えや、ルーティング部３０２への反映等の指示を解釈し、実行する。
　受信フレーム保持部３０４は、受信したフレームの情報が保持されている。図８に受信フレーム保持部３０４に格納されている受信フレームの情報の一例を示す。
　ルーティングテーブル保持部３０５は、各スロットにおける、受信するブランチを示したテーブルを格納している。図９にルーティングテーブル保持部３０５に格納されているテーブルの一例を示す。
　１．６　不正検知ＥＣＵ３１０の構成図
　図６は、不正検知ＥＣＵ３１０の構成図である。不正検知ＥＣＵ３１０は、スターカプラ通信制御部３１１、不正検知部３１２、フレーム生成部３１３、通信用設定パラメータ保持部２０５、フレーム情報保持部３１４、フレームルール保持部３１５、ブランチ異常度保持部３１６、受信履歴保持部３１７、とから構成される。なお、ＥＣＵ２００ａと同様の機能であるものは、同じ番号を付与して説明を省略する。
　スターカプラ通信制御部３１１は、セキュアスターカプラ３００との通信インターフェースであり、通信用設定パラメータ保持部２０５に格納されている、通信用設定パラメータに基づいて、セキュアスターカプラ３００の設定を行う。セキュアスターカプラ３００の設定には、スロットと受信ブランチの関係を示したテーブルに基づくルーティングの制御情報も含まれうる。また、セキュアスターカプラ３００が受信したフレームに関する情報を受信し、不正検知部３１２へ通知する。フレーム生成部３１３からフレームの送信を要求されると、送信フレームの内容を、セキュアスターカプラ３００へ通知する。
　不正検知部３１２は、スターカプラ通信制御部３１１から、受信したフレームに関わる情報を通知され、受信したフレームが、正常なフレームであるかを判断する。正常フレームであるかの判断は、フレーム情報保持部３１４に格納されているＩＤと受信ブランチテーブルを参照することで、受信したフレームのＩＤと、受信ブランチの対応が正しいかを確認し、受信したフレームと受信ブランチの対応が正しい場合は、フレームルール保持部３１５に格納されているＩＤごとのルールと、受信履歴保持部３１７に保持されている受信履歴を参照し、不正なフレームが送信されているかを判断する。不正なフレームが送信されていると判断された場合は、他のＥＣＵに不正なフレームが送信されていることを通知するために、フレーム生成部３１３に通知を行うと共に、不正なフレームの送信を行ったブランチに対して、ブランチ異常度保持部３１６に格納されている各ブランチの異常度の値を増加させる。また、不正検知部３１２は、不正なフレームの送信元であるブランチから、他のブランチへ不正なフレームが転送されることを防ぐために、セキュアスターカプラ３００のルーティングテーブル保持部３０５に格納されている、スロットと、入力ブランチの対応関係を表したテーブルの書き換えおよび、ルーティング部３０２への制御反映を通知する。
　フレーム情報保持部３１４は、各ＥＣＵが送信するフレームに関するＩＤのリストや、送信元のブランチを格納している。図１０にフレーム情報保持部３１４が保持するフレーム情報の一例を示し、詳細は後述する。
　フレームルール保持部３１５は、不正検知部３１２が、フレームを受信したときに、当該フレームが不正であるかどうかを判定するためのルールを格納している。図１１にフレームルール保持部３１５に格納されるフレームルールの一例を示し、詳細は後述する。
　ブランチ異常度保持部３１６は、不正なフレームの受信数に基づく、ブランチごとの異常度を格納している。図１２にブランチ異常度保持部３１６に格納されるブランチ異常度の一例を示し、詳細は後述する。
　受信履歴保持部３１７は、受信したフレームに関する情報（ペイロード情報、フレームの種類などのメタ情報、フレームの受信数、等）を格納している。図１３に受信履歴保持部３１７に格納される受信履歴の一例を示し、詳細は後述する。
　１．７　通信用設定パラメータの一例
　図７は、通信用設定パラメータ保持部２０５に格納されている通信用設定パラメータの一例を示している。通信用設定パラメータとしては、通信の速度を表すボーレートが１０Ｍｂｐｓであることと、静的セグメントのスロットＩＤが１～５０であること、動的セグメントのスロットＩＤが５１～１００であることを示している。また静的スロットのペイロード長が８（つまり１６バイト）であることが示されている。これらの値は、クラスタ内のＥＣＵ全てに共有されており、これらの値を元にＦｌｅｘＲａｙフレームの送受信を実現する。なお通信用設定パラメータの値は一例に過ぎず、別の値であっても構わない。また、ここで示したパラメータも一例に過ぎず、図７に記載のないパラメータ（例えば、各セグメントの長さや、スロットの長さ等）が含まれていてもよいし、逆に記載されているパラメータの一部が含まれていなくてもよい。
　１．８　受信フレーム情報の一例
　図８は、セキュアスターカプラ３００の受信フレーム保持部３０４に格納される受信フレームリストの一例を示している。
　図では、上から順に最新の受信フレームに関する情報が保持されている。受信フレームの情報は、フレームごとに、フレームを受信したブランチ、受信スロットＩＤ、サイクル、ペイロード長、フレームに含まれるペイロード情報、Ｐｒｅａｍｂｌｅ　ｉｎｄｉｃａｔｏｒのフラグ状態、フレームが正しく受信されたかを示すエラーフラグが保持されている。
　１．９　ルーティングテーブルの一例
　図９は、セキュアスターカプラ３００のルーティングテーブル保持部３０５に格納される、ルーティングテーブルの一例を示している。
　図では、ある特定のタイミング（スロットＩＤ、Ｃｙｃｌｅ　ｏｆｆｓｅｔ、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎの組み合わせにより決定される）と、当該タイミングで信号を受信するブランチを規定したテーブルが保持されている。スロットＩＤが１、Ｃｙｃｌｅ　ｏｆｆｓｅｔが０、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが１、のタイミングにおいては、入力ブランチが１００ｃとなっており、バス１００ｃから受信した信号を、他のブランチへ転送するようにルーティング部３０２が制御する。その際に、バス１００ｃ以外から信号を受信したとしてもルーティング部３０２は、当該信号を無視する。同様に、スロットＩＤが３、Ｃｙｃｌｅ　ｏｆｆｓｅｔが０、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが２、のタイミングの入力ブランチは１００ａであり、スロットＩＤが９８、Ｃｙｃｌｅ　ｏｆｆｓｅｔが１、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが２のタイミングの入力ブランチは１００ｂであることを示している。
　１．１０　フレーム情報の一例
　図１０は、不正検知ＥＣＵ３１０のフレーム情報保持部３１４に格納される、フレーム情報の一例を示している。
　図では、スロットＩＤとＣｙｃｌｅ　ｏｆｆｓｅｔ、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎ、フレーム名、フレームに含まれるペイロード情報が保持されている。Ｃｙｃｌｅ　ｏｆｆｓｅｔとＣｙｃｌｅ　ｒｅｃｅｐｔｉｏｎは、サイクル多重化（サイクルマルチプレキシング）と呼ばれる同じスロットＩＤであっても異なる内容のフレームを送受信する方法が用いられるときに対象のフレームを抽出するために必要な情報である。例えばスロットＩＤが９９のフレームには４つのフレーム名が存在し、それぞれのフレームでカメラ情報１、カメラ情報２、カメラ情報３、カメラ情報４の異なる内容を通知する。カメラ情報１ではＣｙｃｌｅ　ｏｆｆｓｅｔが０で、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが４である。これはサイクルカウンタが０からスタートし、４サイクルごとに当該フレームを送信することを意味する。つまりカメラ情報１が通知されるフレームＤが送信されるのは、サイクルカウンタが、０、４、８、１２、１６、・・・、５２、５６、６０のスロットＩＤが９９のときに送信されることを示している。同様にカメラ情報２を含むフレームＥは、サイクルカウンタが１、５、９、・・・５３、５７、６１のスロットＩＤが９９のときに送信され、カメラ情報３を含むフレームＦは、サイクルカウンタが２、６、１０、・・・、５４、５８、６２のサイクルＩＤが９９のときに送信され、カメラ情報４が含まれるフレームＧは、サイクルカウンタが３、７、１１、・・・、５５、５９、６３のサイクルＩＤが９９のときに送信される。上記のように異なるフレームを同一スロットＩＤで送信する方法をサイクルマルチ多重化とよぶ。また、各フレームの情報として、送信元のＥＣＵと、送信元ＥＣＵが接続されるブランチの情報を保持している。
　図では、スロットＩＤが１であり、Ｃｙｃｌｅ　ｏｆｆｓｅｔが０、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが１（つまり全てのサイクルで同一フレームが送信される。）のフレームはフレーム名がＡであり、フレームＡのペイロードには速度に関する情報が含まれ、送信元のＥＣＵは２００ｃ、であり、ブランチは１００ｃであることを示している。スロットＩＤが２には、フレームが送信されないことを示している。スロットＩＤが３であり、Ｃｙｃｌｅ　ｏｆｆｓｅｔが０、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが２（つまりサイクルカウンタが偶数のときのみ送信される）のフレームはフレーム名がＢであり、フレームＢのペイロードにはハンドル角度に関する情報が含まれ、送信元ＥＣＵは２００ａ、ブランチは１００ａであることを示している。スロットＩＤが９８であり、Ｃｙｃｌｅ　ｏｆｆｓｅｔが１、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが２（つまりサイクルカウンタが奇数のときのみ送信される）のフレームはフレーム名がＣであり、フレームＣのペイロードにはギア状態に関する情報が含まれ、送信元ＥＣＵは２００ｂで、ブランチは１００ｂであることを示している。スロットＩＤが９９であり、Ｃｙｃｌｅ　ｏｆｆｓｅｔが０、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが４のフレームはフレーム名がＤであり、フレームＤのペイロードにはカメラ情報１に関する情報が含まれ、送信元ＥＣＵは２００ｄで、ブランチは１００ｄであることを示している。スロットＩＤが９９であり、Ｃｙｃｌｅ　ｏｆｆｓｅｔが１、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが４のフレームはフレーム名がＥであり、フレームＥのペイロードにはカメラ情報２に関する情報が含まれ、送信元ＥＣＵは２００ｄで、ブランチは１００ｄであることを示している。スロットＩＤが９９であり、Ｃｙｃｌｅ　ｏｆｆｓｅｔが２、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが４のフレームはフレーム名がＦであり、フレームＦのペイロードにはカメラ情報３に関する情報が含まれ、送信元ＥＣＵが２００ｄで、ブランチが１００ｄであることを示している。スロットＩＤが９９であり、Ｃｙｃｌｅ　ｏｆｆｓｅｔが３、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが４のフレームはフレーム名がＧであり、フレームＧのペイロードにはカメラ情報４に関する情報が含まれ、送信元ＥＣＵは２００ｄで、ブランチが１００ｄであることを示している。また、フレームＡおよびＢは静的セグメント内で送信される静的フレームであり、フレームＣからフレームＧは動的セグメント内で送信される動的フレームである。
　１．１１　フレームルールの一例
　図１１は、不正検知ＥＣＵ３１０のフレームルール保持部３１５に格納される、フレームルールの一例を示した図である。図ではフレーム名ごとに受信ルールが設定されている。
　フレームＡに関しては、ペイロード長は８で固定であり、受信ルールとしては前回受信した速度との差分が０．５ｋｍ／ｈ以上となった場合に不正なフレームを受信したと判断する。フレームＢに関しては、ペイロード長は８で固定であり、受信ルールとしては前回受信したハンドル角度との差分が３０度以上となった場合に不正なフレームを受信したと判断する。なお、不正検知ＥＣＵ３１０は、受信したフレームが受信ルールに適合するかだけでなく、ペイロード長が正しいかを元に不正なフレームを判断してもよい。
　１．１２　ブランチ異常度の一例
　図１２は、不正検知ＥＣＵ３１０のブランチ異常度保持部３１６に格納されるブランチ異常度の一例である。ブランチ異常度保持部３１６には各ブランチの異常度が保持されている。ブランチ異常度は、不正検知部３１２の結果に基づいて、不正なフレームを１つ受信するたびに該当ブランチの異常度が１ずつ増加していく。図では、ブランチ１００ａの異常度は０、ブランチ１００ｂの異常度は０、ブランチ１００ｃの異常度は０、ブランチ１００ｄの異常度は２０である例を示している。
　１．１３　受信履歴の一例
　図１３は、不正検知ＥＣＵ３１０の受信履歴保持部３１７に格納される受信履歴の一例である。図では、各フレームの前回受信値と車両状態を保持している例を示している。図ではフレームごとに前回受信値と受信時刻（ｕｓ）が保持されている。フレームＡに含まれる速度の前回受信値は４０．５ｋｍ／ｈであり、前回の受信時刻が１２１００ｕｓであったことを示している。フレームＢに含まれるハンドル角度の前回受信値は５度であり、前回受信時刻は８１００であったことを示している。フレームＣに含まれるギア状態はドライブ状態であり、前回受信時刻は１２４００ｕｓであったことを示している。フレームＤに含まれるカメラ情報１の前回受信値は、前方車両の検知を示しており、前回の受信時刻は１４４０ｕｓであったことを示している。フレームＥに含まれるカメラ情報２の前回受信値は歩行者検知を示しており、受信時刻は５４８０ｕｓであったことを示している。フレームＦに含まれるカメラ情報３の前回受信値はレーン検知状態を示しており、受信時刻は９５２０ｕｓであったことを示している。フレームＧに含まれるカメラ情報４の前回受信値は、後方のカメラが未起動であることを示しており、受信時刻は１３５６０ｕｓであることを示している。車両状態は、不正検知部３１２が、フレームＡの車両の速度が０ｋｍ／ｈより大きい場合は、走行状態として受信履歴保持部３１７に格納されている車両状態を更新する。不正検知部３１２は、車両の速度が０ｋｍ／ｈの場合は停止状態に車両状態を更新する。なお、本実施の形態では、受信時刻を保持しているが、受信時刻を保持しないでもよい。また、受信時刻をｕｓ単位で保持しているが、単位は何でもよい。例えばＦｌｅｘＲａｙプロトコルで用いる内部クロックから算出されるマイクロティック数を単位としてもよいし、マイクロティックによって定義されるマイクロティックの個数を単位としてもよい。
　１．１４　セキュアスターカプラ処理フローチャート
　図１４は、セキュアスターカプラ３００の動作を表したフローチャートである。セキュアスターカプラ３００は、いずれのブランチから信号を受信したかを判断する（Ｓ１００１）。信号を受信した場合は、セキュアスターカプラ３００は、現在の受信タイミングに対応するルーティングテーブルが存在するかを判断する。（Ｓ１００２）。現在の受信タイミングに対応するルーティングテーブルが存在する場合は、セキュアスターカプラ３００は、受信タイミングと信号を受信したブランチの対応が適切であるかを確認する（Ｓ１００３）。現在の受信タイミングに対応するルーティングテーブルが存在しない場合は、セキュアスターカプラ３００は、他のブランチから信号を受信中かを確認する（Ｓ１００６）。
　Ｓ１００３にて、受信タイミングと信号を受信したブランチの対応が適切である場合は、セキュアスターカプラ３００は、受信中の信号を、受信中のブランチ以外のブランチへ信号を転送する（Ｓ１００４）。セキュアスターカプラ３００は、その後受信した信号からフレームを解釈し、受信フレーム保持部に格納する（Ｓ１００５）。受信タイミングと信号を受信したブランチの対応が適切でない場合は、セキュアスターカプラ３００は、処理を終了する。
　Ｓ１００６にて、現在信号を受信しているブランチ以外から既に信号を受信中でない場合は、セキュアスターカプラ３００は、Ｓ１００４以降の処理を実行する。他のブランチから、信号を受信中の場合は、セキュアスターカプラ３００は、処理を終了する。
　Ｓ１００１にて、信号を受信していない場合は、セキュアスターカプラ３００は、ＥＣＵから通知があったかを判断する（Ｓ１００７）。通知を受けていない場合は、セキュアスターカプラ３００は、Ｓ１００１を実行する。通知を受けた場合は、セキュアスターカプラ３００は、通知内容がフレームの送信要求であるかを判断する（Ｓ１００８）。通知内容がフレームの送信要求である場合は、セキュアスターカプラ３００は、フレームを全ブランチに送信して（Ｓ１００９）、処理を終了する。通知内容がフレームの送信要求でない場合は、セキュアスターカプラ３００は、通知内容がルーティングテーブルの更新・設定の反映要求であるとして、ルーティングテーブルを更新し、設定を反映させて（Ｓ１０１０）、処理を終了する。
　１．１５　不正検知ＥＣＵ３１０の動作
　図１５は、不正検知ＥＣＵ３１０の動作を表したフローチャートである。不正検知ＥＣＵ３１０は、フレームを受信する（Ｓ１１０１）。不正検知ＥＣＵ３１０は受信したフレームの受信ブランチが、フレーム情報に記載されている受信フレームのスロットＩＤと、受信ブランチと適合するかを確認する（Ｓ１１０２）。受信ブランチと適合する場合は、不正検知ＥＣＵ３１０は、受信フレームに対応するフレームルールに適合するかを確認する（Ｓ１１０３）。フレームルールに適合する場合は、不正検知ＥＣＵ３１０は、処理を終了する。
　Ｓ１１０２、およびＳ１１０３にて、受信フレームと受信ブランチが適合しない、または受信フレームがフレームルールに適合しない場合は、不正検知ＥＣＵ３１０は、受信ブランチの異常度を１増加させる（Ｓ１１０４）。その後、不正検知ＥＣＵ３１０は、受信ブランチの異常度が所定の閾値以上であるかを判断する（Ｓ１１０５）。所定の閾値異常である場合は、当該ブランチによる不正なフレーム送信を抑制するために、不正検知ＥＣＵ３１０は、セキュアスターカプラ３００のルーティングテーブルの更新を行い（Ｓ１１０６）、終了する。
　（実施の形態２）
　２．システムの構成
　ここでは、本開示の実施の形態として、スター型トポロジの車載ネットワークを監視し、各フレームと、各フレームの送信元のブランチを示す情報とブラックリストを用いて、不正なフレームの送信を防止するセキュアスターカプラ１３００と不正検知ＥＣＵ１３１０について図面を参照しながら説明する。また実施の形態１と同様の機能を有する構成要素は同じ番号を付与し説明を省略する。
　２．１　セキュアスターカプラ１３００の構成図
　図１６は、セキュアスターカプラ１３００の構成図である。セキュアスターカプラ１３００はトランシーバ部３０１ａ、３０１ｂ、３０１ｃ、３０１ｄ、ルーティング部１３０２、ＥＣＵインターフェース部１３０３、受信フレーム保持部３０４、ルーティングテーブル保持部３０５、ブラックリスト保持部１３０６、ブランチ異常度保持部３１６、走行状態保持部１３０７と、から構成される。
　ルーティング部１３０２は、トランシーバ部３０１ａから通知されたデジタル信号を、トランシーバ部３０１ａを除くトランシーバ部３０１ｂ、３０１ｃ、３０１ｄ、へ転送する。同様にトランシーバ部３０１ｂからデジタル信号を通知された場合は、トランシーバ部３０１ｂを除く、トランシーバ部に対して、デジタル信号を通知する。また、受信中の信号と、どのブランチから信号を受信しているかの入力ブランチ情報をＥＣＵインターフェース部１３０３へ通知する。さらにルーティングテーブル保持部３０５に格納されているルーティングテーブルに基き、スロット番号と、受信ブランチ（トランシーバ部）の対応を設定でき、当該スロット番号のタイミングにおいては、設定された受信ブランチの信号を他のブランチへ転送する。設定されていない受信ブランチからの信号は無視され、他のブランチへ転送されない。スロット番号と、受信ブランチの対応が設定されていないタイミングにおいては、一番早く信号を受信したブランチからの信号を、他のブランチへ転送する。また信号の転送中も、転送中の信号をデコードし、ブラックリスト保持部１３０６に保持されているブラックリストに合致しているかを判断する。もし転送中の信号がブラックリストに合致し、かつブランチ異常度保持部に格納されているブランチ異常度と、走行状態保持部に格納されている走行状態を参照し、ブラックリストの有効条件を満たす場合に、転送中の信号を他のブランチへ転送することを停止する。これにより、不正なＥＣＵがルーティングテーブルに合致するブランチに存在した場合であっても、ペイロード値にしたがって不正な信号の転送を防止することが可能となる。また各ブランチの信号をデコードし、各ブランチにおいてプロトコル上のエラーが発生しているかを確認するエラー検知処理を行う。もしルーティングテーブルが有効なスロットにおいて、エラーが発生しているブランチが存在すれば、ブランチ異常度保持部３１６に格納されている対応するブランチの異常度を増加させる。これは、どのブランチから不正なフレーム送信が試行されているかを把握する目的で実行する。特定のスロットにおいてフレームを送信する正規ＥＣＵが存在するブランチとは異なるブランチに、当該スロットにて不正なフレームを送信しようとするＥＣＵが存在した場合に、セキュアスターカプラ１３００において、ルーティングテーブルに合致しないブランチからの不正なフレームの送信は無視されるため、不正フレームの転送を防ぐことが可能であるが、これだけでは当該ブランチにて不正なフレームの発生したことを把握できない。正規のＥＣＵから送信されるフレームはルーティングテーブルに合致しているため、その他のブランチに転送されるが、このとき、不正なＥＣＵから送信されるフレームと、転送されたフレームが衝突を起こし、不正なＥＣＵが存在するブランチのみエラー状態となることを検知する。
　ＥＣＵインターフェース部１３０３は、ルーティング部１３０２より通知される受信した信号と、入力ブランチ情報を通知されると、受信した信号を解釈し、受信フレームに変換し、受信フレーム保持部３０４に、入力ブランチ情報とともに保存する。不正検知ＥＣＵ３１０の要求に従って、受信フレーム保持部３０４に格納されている、受信フレームの情報と入力ブランチ情報を通知する。さらにルーティングテーブル保持部３０５に格納されている、各スロットにおける受信するブランチのテーブルの書き換えや、ブラックリスト保持部に格納されているブラックリストの更新、ブランチ異常度保持部３１６に保持されているブランチ異常度の更新、走行状態保持部１３０７に格納されている走行状態の更新を行う。
　ブラックリスト保持部１３０６は、ルーティング部１３０２が参照し、転送中の信号の転送を停止させるためのブラックリストを格納している。図１８にブラックリスト保持部１３０６が保持するブラックリストの一例を示し、詳細は後述する。
　走行状態保持部１３０７は、ブラックリスト保持部１３０６に格納されるブラックリストを有効化するための条件に用いられる。図１９に走行状態保持部１３０７が保持する走行状態の一例を示す、図では、走行状態は走行中であることを示している。
　２．２　不正検知ＥＣＵ１３１０の構成図
　図１７は、不正検知ＥＣＵ１３１０の構成図である。不正検知ＥＣＵ１３１０は、スターカプラ通信制御部１３１１と、不正検知部１３１２と、フレーム生成部３１３と、通信用設定パラメータ保持部２０５と、フレーム情報保持部３１４と、フレームルール保持部３１５と、受信履歴保持部３１７とから構成される。
　スターカプラ通信制御部１３１１は、セキュアスターカプラ１３００との通信インターフェースであり、通信用設定パラメータ保持部２０５に格納されている、通信用設定パラメータに基づいて、セキュアスターカプラ１３００の設定を行う。セキュアスターカプラ１３００の設定には、スロットと受信ブランチの関係を示したテーブルに基づくルーティングテーブルに関する情報やブラックリストも含まれる。さらに、受信したフレームに基づいて決定される車両の走行状態の更新通知や、ブランチ異常度の増加に関する通知を行う。また、セキュアスターカプラ１３００が受信したフレームに関する情報を受信し、不正検知部１３１２へ通知する。フレーム生成部３１３からフレームの送信を要求されると、送信フレームの内容を、セキュアスターカプラ１３００へ通知する。
　不正検知部１３１２は、スターカプラ通信制御部１３１１から、受信したフレームに関わる情報を通知され、受信したフレームが、正常なフレームであるかを判断する。正常フレームであるかの判断は、フレーム情報保持部３１４に格納されているＩＤと受信ブランチテーブルを参照することで、受信したフレームのＩＤと、受信ブランチの対応が正しいかを確認し、受信したフレームと受信ブランチの対応が正しい場合は、フレームルール保持部３１５に格納されているＩＤごとのルールと、受信履歴保持部３１７に保持されている受信履歴を参照し、不正なフレームが送信されているかを判断する。不正なフレームが送信されていると判断された場合は、他のＥＣＵに不正なフレームが送信されていることを通知するために、フレーム生成部３１３に通知を行うと共に、不正なフレームの送信を行ったブランチが異常であることをスターカプラ通信制御部１３１１に通知する。また、不正検知部１３１２は、不正なフレームの送信元であるブランチから、他のブランチへ不正なフレームが転送されることを防ぐために、セキュアスターカプラ１３００のルーティングテーブル保持部３０５に格納されている、スロットと、入力ブランチの対応関係を表したテーブルの書き換えを通知する。
　２．３　ブラックリストの一例
　図１８は、ブラックリスト保持部１３０６に格納されるブラックリストの一例である。図では、スロットＩＤ、Ｃｙｃｌｅ　ｏｆｆｓｅｔ、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎの組みで定義されるフレームごとに入力ブランチ、ブラックリスト、ブラックリスト作動条件が保持されている。スロットＩＤが２０でＣｙｃｌｅ　ｏｆｆｓｅｔが３、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが４のフレームは、入力ブランチが１００ｄ、ブラックリストは＊＊５＊　…、ブラックリストの作動条件は、走行状態が走行中であり、かつブランチ異常度が３０より大きい場合であることが示されている。ここでブラックリストの＊はドントケアを意味し、上位２バイト目の上位４ビットが５であるペイロードを受信した場合にブラックリストに合致することを示している。同様にスロットＩＤが１０、Ｃｙｃｌｅ　ｏｆｆｓｅｔが０、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが２、入力ブランチが１００ａ、ブラックリストがＦＦ　１１　＊＊　…、ブラックリスト作動条件はブラックリストに合致する場合は常に作動することを示している。
　２．４　セキュアスターカプラの処理フローチャート
　図２０はセキュアスターカプラ１３００のフレーム受信時の処理フローチャートである。セキュアスターカプラ１３００は、フレームの受信を開始する（Ｓ２００１）。セキュアスターカプラ１３００は、現在のスロットに対応するルーティングテーブルが存在するかを確認する（Ｓ２００２）。対応するルーティングテーブルが存在する場合は、セキュアスターカプラ１３００は、Ｓ２００３を実行する。そうでない場合は、セキュアスターカプラ１３００は、Ｓ２０１１を実行する。
　セキュアスターカプラ１３００は、Ｓ２００３では、現在受信中のフレームと、受信ブランチの関係がルーティングテーブルに合致しているかを確認する。ルーティングテーブルに合致している場合は、セキュアスターカプラ１３００は、他のブランチへ、受信している信号を転送するルーティングを開始する（Ｓ２００４）。そうでない場合は、セキュアスターカプラ１３００は、受信ブランチの異常度をインクリメントし（Ｓ２００８）て、終了する。
　セキュアスターカプラ１３００は、ルーティング中（Ｓ２００４の後）に、転送している信号のデコードを行い、自身が保持しているブラックリストに合致しているかの確認を行う（Ｓ２００５）。ブラックリストに一致した場合は、セキュアスターカプラ１３００は、ルーティングを停止し（Ｓ２００９）、処理を終了する。ブラックリストに一致しない場合は、セキュアスターカプラ１３００は、全ての信号を転送する（Ｓ２００６）。
　セキュアスターカプラ１３００はＳ２００６の後に、各ブランチのエラー発生状況を確認し（Ｓ２００７）、全てのブランチでエラーが無ければ正常に転送が完了したとして処理を終了する。もしエラーの発生したブランチが存在した場合は、セキュアスターカプラ１３００は、不正なフレームの送信がなされていた可能性があるとして、エラーが発生したブランチの異常度をインクリメントし（Ｓ２０１０）、処理を終了する。
　セキュアスターカプラ１３００は、Ｓ２０１１では、現在他のブランチから受信した信号を転送中でないかを確認する。ルーティング中でない場合はＳ２００４を実行する。ルーティング中である場合は、セキュアスターカプラ１３００は、受信信号を無視し、処理を終了する。
　２．５　不正検知ＥＣＵのフレーム受信時の処理フローチャート
　図２１は、不正検知ＥＣＵ１３１０のフレーム受信時の処理フローチャートである。
　不正検知ＥＣＵ１３１０は、フレーム受信の通知を、セキュアスターカプラ１３００から受けると、受信したフレームに関するペイロード情報や、受信ブランチに関する情報を取得し（Ｓ２１０１）、フレーム情報保持部３１４に格納されているフレーム情報を参照し、受信フレームと、受信ブランチの対応が適切であるかを判定する（Ｓ２１０２）。対応が適切である場合は、不正検知ＥＣＵ１３１０は、Ｓ２１０３を実行する。対応が適切でない場合は、不正検知ＥＣＵ１３１０は、対応するブランチの異常度を増加させるようにセキュアスターカプラ１３００へ通知を行い（Ｓ２１０６）、処理を終了する。
　Ｓ２１０３では、不正検知ＥＣＵ１３１０は、フレームルール保持部３１５に格納されているフレームルールを参照し、受信したフレームがフレームルールに適合するかを確認する。フレームルールに適合する場合は、不正検知ＥＣＵ１３１０は、正規のフレームを受信したとして、受信履歴保持部３１７に格納されている受信履歴を更新し（Ｓ２１０４）、走行状態の更新通知をセキュアスターカプラ１３００に行い（Ｓ２１０５）、処理を終了する。フレームルールに適合しない場合は、不正なフレームを受信したとして、不正検知ＥＣＵ１３１０は、受信ブランチの異常度を増加させるようにセキュアスターカプラ１３００へ通知を行い（Ｓ２１０６）、処理を終了する。
　３．　その他変形例
　なお、本開示を上記各実施の形態に基づいて説明してきたが、本開示は、上記各実施の形態に限定されないのはもちろんである。以下のような場合も本開示に含まれる。
　（１）上記の実施の形態では、スター型のネットワークトポロジにおける例を示しているがネットワークトポロジを限るものではない。例えば、バス型とスター型のハイブリッドなどのネットワークトポロジを取りうる。
　（２）上記の実施の形態では、セキュアスターカプラと不正検知ＥＣＵを分けて記載したが、不正検知ＥＣＵにセキュアスターカプラが内蔵されて実現されていてもよい。これにより部品点数の削減につながり効果的である。
　（３）上記の実施の形態では、セキュアスターカプラと不正検知ＥＣＵが通信を行っていたが、不正検知ＥＣＵは必須の構成要素ではない。例えば予めルーティングテーブル保持部や、通信用設定パラメータ保持部の内容を埋め込んでおき、必要最小限の機能のみを実現してもよい。これにより、ＥＣＵ数を削減でき、コスト低下につながり効果的である。
　（４）上記の実施の形態では、不正なフレームを検出して終了しているが、不正なフレームを検出したとき対応はこれに限らない。例えば不正なフレームに関する、不正なフレームを送信したブランチ情報や、ヘッダ情報、ペイロード値、受信時刻等をログとして保存しておいてもよいし、他のＥＣＵに不正なフレームの通知を行ってもよいし、外部のサーバへ当該車両の不正発生を通知してもよいし、運転者へ車載ネットワークに不正が発生したことを通知してもよい。
　（５）上記の実施の形態では、フレーム情報、フレームルールを平文で保持していたが、暗号化して保持していてもよい。
　（６）上記の実施の形態では、ブランチごとに異常度を保持していたが、フレームごとに異常度を保持していてもよい。これにより、異常度の高いフレームのみを遮断することが可能となり、車両への影響を抑えることができ効果的である。
　（７）上記の実施の形態では、フレームルール保持部に格納される受信ルールは、各フレーム１つであったが、１つ以上あってもよい。また受信ルールが存在しなくてもよい。これにより、フレームの重要度に応じた、チェックが可能となり、車載ネットワークの安全性を高めることに効果的である。
　（８）上記の実施の形態では、フレームルール保持部に格納される受信ルールは、動的フレームに関して設定されていなかったが、フレームルールが設定されていてもよい。例えば、前回値との変化量に関するルールを設定してもよい。
　（９）上記の実施の形態では、セキュアスターカプラは不正検知ＥＣＵからフレームの送信要求を受け、他ブランチにフレームを送信可能であったが、送信不可であってもよい。これによりセキュアスターカプラの機能削減ができ、コスト削減につながり効果的である。
　（１０）上記の実施の形態では、フレーム情報保持部に格納されるフレーム情報にフレーム名を保持していたが、フレーム名は保持していなくてもよい。
　（１１）上記の実施の形態では、フレーム情報保持部に格納されるフレーム情報について、１つのフレームに対して、１つのペイロード情報が保持されていたが、１つ以上保持されていてもよく、ペイロード情報が無くてもよい。またペイロード情報として、速度などの各信号のペイロード上のフィールドを示す情報（フィールドの位置、長さ、単位等）が含まれていてもよい。
　（１２）上記の実施の形態では、受信履歴の前回受信値をフレーム名ごとに１信号だけ保持していたが、複数信号保持していてもよいし、ペイロード値をそのまま保持していてもよい。
　（１３）上記の実施の形態では、受信履歴に含まれる車両状態は、走行中か停止中の２状態のみであったが、車両状態はこの２状態に限らない。例えば、イグニッションオン状態、アクセサリーオン状態、低速走行状態、高速走行状態、ハンドル操舵状態、ギア状態、やこれらを組み合わせた状態を取りうる。
　（１４）上記の実施の形態２では、ブラックリストを予め保持している例を示したが、ブラックリストを、動的に更新するようにしてもよい。例えば、不正検知ＥＣＵが不正なフレームとして検知したペイロード値を保持しておき、同じＩＤ、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎ、Ｃｙｃｌｅ　ｏｆｆｓｅｔのフレームにて所定数以上の不正フレームを検知したときに、不正フレームのペイロード値が一致するフィールドをブラックリストとして更新するようにしてもよい。これにより予めブラックリストに登録されていない不正なフレームのルーティングを防止できるようになり、安全性向上につながり効果的である。
　（１５）上記の実施の形態２では、ルーティング部にエラー検出の機構を設けていたが、エラー検出の機構はルーティング部（セキュアスターカプラ）内に無くてもよい。例えばセキュアスターカプラに接続する不正検知ＥＣＵが任意の２ブランチの信号を受信可能なようにすることで、不正検知ＥＣＵ内に持つデコーダ部でエラーの検出を行っても良い。
　（１６）上記の実施の形態２では、ブラックリストに合致する信号の転送を停止していたが、信号の転送を停止する以外の処理を行っても良い。例えば、フレームに含まれるＣＲＣの値を書き換えるなどしてもよい。転送中の信号が他のＥＣＵに有効なフレームとして認識され処理されないような、対処方法であればなんでもよい。
　（１７）上記の実施の形態２では、ブラックリストに合致する、信号の転送を停止していたが、ホワイトリストに合致しない信号の転送を停止してもよい。
　（１８）上記の実施の形態２では、車両走行状態および、ブランチ異常度は、ブラックリストの有効化条件に用いられていたが、ルーティングルールの有効化条件に用いてもよい。これにより不正なＥＣＵの存在するブランチからのフレーム送信を無効化でき効果的である。
　（１９）上記の実施の形態２では、走行状態保持部に、車両の走行状態を保持しているが走行状態でなくてもよい。例えばＥＣＵから通知されるフラグ信号であってもよい。これによりフラグ信号に応じて、ブラックリストの有効化が可能となり、より柔軟な対応が可能となる。
　（２０）上記の実施の形態では、車載ネットワークとしてＦｌｅｘＲａｙプロトコルを用いていたが、これに限るものではない。例えば、ＣＡＮ、ＣＡＮ－ＦＤ（ＣＡＮ　ｗｉｔｈ　Ｆｒｅｘｉｂｌｅ　Ｄａｔａ　Ｒａｔｅ）、Ｅｔｈｅｒｎｅｔ、ＬＩＮ（Ｌｏｃａｌ　Ｉｎｔｅｒｃｏｎｎｅｃｔ　Ｎｅｔｗｏｒｋ）、ＭＯＳＴ（Ｍｅｄｉａ　Ｏｒｉｅｎｔｅｄ　Ｓｙｓｔｅｍｓ　Ｔｒａｎｓｐｏｒｔ）などを用いてもよい。あるいはこれらのネットワークをサブネットワークとして、組み合わせたネットワークであってもよい。特にタイムトリガー方式を採用しているネットワークに対して有効である。
　（２１）上記の実施の形態における各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
　（２２）上記の実施の形態における各装置は、構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。ＲＡＭには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。
　また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部又はすべてを含むように１チップ化されてもよい。
　また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサーを利用しても良い。
　さらには、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。
　（２３）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。ＩＣカードまたはモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。ＩＣカードまたは前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、ＩＣカードまたは前記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。
　（２４）本開示は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、コンピュータプログラムからなるデジタル信号であるとしてもよい。
　また、本開示は、コンピュータプログラムまたはデジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標）　Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されているデジタル信号であるとしてもよい。
　また、本開示は、コンピュータプログラムまたはデジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。
　また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、メモリは、上記コンピュータプログラムを記録しており、マイクロプロセッサは、コンピュータプログラムにしたがって動作するとしてもよい。
　また、プログラムまたはデジタル信号を記録媒体に記録して移送することにより、またはプログラムまたはデジタル信号をネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
　（２５）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
　本開示は、車載ネットワークに流れるフレームを観測し、不正なフレームの送信箇所を把握し、対処することで、安全な車載ネットワークシステムを提供する。これにより車載ネットワークシステム全体として、安全な状態を維持することができる。
　１０　車載ネットワークシステム
　１００ａ、１００ｂ、１００ｃ、１００ｄ　バス
　２００ａ、２００ｂ、２００ｃ、２００ｄ　ＥＣＵ
　２０１　フレーム送受信部
　２０２　フレーム解釈部
　２０３　外部機器制御部
　２０４　フレーム生成部
　２０５　通信用設定パラメータ保持部
　２１０　ハンドル
　２２０　ギア
　２３０　ブレーキ
　２４０　カメラ
　３００、１３００　セキュアスターカプラ
　３０１ａ、３０１ｂ、３０１ｃ、３０１ｄ　トランシーバ部
　３０２、１３０２　ルーティング部
　３０３、１３０３　ＥＣＵインターフェース部
　３０４　受信フレーム保持部
　３０５　ルーティングテーブル保持部
　３１０、１３１０　不正検知ＥＣＵ
　３１１、１３１１　スターカプラ通信制御部
　３１２、１３１２　不正検知部
　３１３　フレーム生成部
　３１４　フレーム情報保持部
　３１５　フレームルール保持部
　３１６　ブランチ異常度保持部
　３１７　受信履歴保持部
　１３０６　ブラックリスト保持部
　１３０７　走行状態保持部

Claims (7)

  1. 　タイムスロットに基づくタイムトリガー型の通信方式である車載ネットワークにおけるセキュアスターカプラであって、前記車載ネットワークには、１以上の電子制御装置と１つの車載ネットワークバスから構成される複数のブランチが、セキュアスターカプラを通じて接続され、前記電子制御装置は所定のタイムスロット内でフレームを送受信し、
    　前記セキュアスターカプラは、ブランチ数に対応する複数のトランシーバ部と、ルーティング部と、ルーティングルール保持部とから構成され、
    　前記トランシーバ部は、いずれかのブランチに接続されており、接続されているブランチのバスの物理信号をデジタル信号へ変換し、前記ルーティング部へ通知する受信部と、前記ルーティング部から受信したデジタル信号を物理信号へ変換し、前記バスへ送信する、送信部と、を備え、
    　前記ルーティング部は、非転送条件に合致する場合を除き、第１のブランチに接続される第１のトランシーバ部から受信したデジタル信号を、前記第１のトランシーバ部以外の複数のトランシーバ部へ転送し、
    　前記非転送条件は、前記ルーティングルール保持部に記載されている所定の条件に合致しない場合と、既に第１のブランチ接続される第１のトランシーバ部以外の第２のトランシーバ部からデジタル信号を受信し、前記第２のトランシーバ部以外のトランシーバ部へデジタル信号を転送している場合であり、
    　前記ルーティングルール保持部は、タイムスロットと受信すべきブランチまたはトランシーバ部の識別子の対応を示したルールを保持する、
    　ことを特徴とするセキュアスターカプラ。
  2. 　前記セキュアスターカプラは、さらに、ブランチ異常度保持部を備え、
    　前記ブランチ異常度保持部は、ブランチごとの異常度を保持し、
    　前記異常度は、前記ルーティングルール保持部に保持される、ルールに合致しないタイミングで第３のトランシーバ部からデジタル信号を受信した場合に、前記第３のトランシーバ部に対応するブランチの異常度を増加させ、
    　前記非転送条件は、加えて、デジタル信号を受信したトランシーバ部に対応する、ブランチ異常度に保持される対応する異常度が所定の値以上の場合である、
    　ことを特徴とする、請求項１記載のセキュアスターカプラ。
  3. 　前記セキュアスターカプラは、さらに各ブランチのデジタル信号をデコードし、フレームにプロトコル上のエラー発生の有無を検知するエラー検知部を、ブランチごとに備え、
    　前記異常度は、加えて、前記ルーティングルール保持部に記載されている、ルールが有効なタイムスロットにおいて、第１のエラー検知部がエラーを検知した場合に、第１のエラー検知部に対応するブランチの異常度を増加させる、
    　ことを特徴とする、請求項２記載のセキュアスターカプラ。
  4. 　前記セキュアスターカプラは、さらに電子制御装置と通信を行うための通信制御部を備え、
    　前記ルーティング部は、さらに前記第１のトランシーバ部から受信したデジタル信号を、デコードし、フレームとして解釈するデコーダ部と、前記フレームと、転送元である前記第１のトランシーバ部を示す識別子と、を併せて保持する受信フレーム保持部と、を備え、
    　前記通信制御部は、前記受信フレーム保持部の情報を、電子制御装置へ通知する、
    　ことを特徴とする、請求項１～３のいずれか１項記載のセキュアスターカプラ。
  5. 　前記セキュアスターカプラは、さらに、ブラックリストを保持するブラックリスト保持部を備え、
    　前記ブラックリスト保持部は、転送を禁止する、所定のタイムスロットにおけるフレームに含まれるペイロードの値の条件を保持し、
    　前記ルーティング部は、さらに転送中のデジタル信号をデコードし、前記ブラックリスト保持部に含まれる、対応するルールとの照合を行うブラックリスト照合部を備え、
    　前記ブラックリスト照合部は、転送中のデジタル信号が、前記ブラックリストに合致していると判断した場合に、以降のデジタル信号の転送を停止する、
    　ことを特徴とする、請求項４記載のセキュアスターカプラ。
  6. 　前記セキュアスターカプラは、さらに、走行状態保持部を備え、
    　前記通信制御部は、さらに、電子制御装置から、走行状態を受信し、前記走行状態保持部の値を更新する、走行状態受信部を備え、
    　前記ブラックリスト照合部は、走行状態保持部の走行状態が、所定の条件を満たしている時のみ、前記ブラックリストに合致した転送中の信号の以降の転送を停止する、
    　ことを特徴とする請求項５記載のセキュアスターカプラ。
  7. 　タイムスロットに基づくタイムトリガー型の通信方式である車載ネットワークにおける不正防止方法であって、前記車載ネットワークには、１以上の電子制御装置と１つの車載ネットワークバスから構成される複数のブランチが、セキュアスターカプラを通じて接続され、前記電子制御装置は所定のタイムスロット内でフレームを送受信し、
    　前記不正防止方法は、ブランチ数に対応する複数の送受信ステップと、ルーティングステップと、ルーティングルール保持ステップと、から構成され、
    　前記送受信ステップは、いずれかのブランチのバスの物理信号をデジタル信号へ変換し、前記ルーティングステップへ通知する受信ステップと、前記ルーティングステップから受信したデジタル信号を物理信号へ変換し、前記バスへ送信する、送信ステップと、を備え、
    　前記ルーティングステップは、非転送条件に合致する場合を除き、第１のブランチの物理信号を扱う第１の送受信ステップから受信したデジタル信号を、前記第１の送受信ステップ以外の複数の送受信ステップへ転送し、
    　前記非転送条件は、前記ルーティングルール保持ステップで記載された所定の条件に合致しない場合と、既に第１のブランチの物理信号を扱う第１の送受信ステップ以外の第２の送受信ステップからデジタル信号を受信し、前記第２の送受信ステップ以外の送受信ステップへデジタル信号を転送している場合であり、
    　前記ルーティングルール保持ステップは、タイムスロットと受信すべきブランチまたは送受信ステップの識別子の対応を示したルールを保持する、
    　ことを特徴とする不正防止方法。
PCT/JP2018/028294 2018-07-27 2018-07-27 不正防止方法およびセキュアスターカプラ Ceased WO2020021714A1 (ja)

Priority Applications (6)

Application Number Priority Date Filing Date Title
PCT/JP2018/028294 WO2020021714A1 (ja) 2018-07-27 2018-07-27 不正防止方法およびセキュアスターカプラ
EP19841931.9A EP3832956B1 (en) 2018-07-27 2019-07-25 Frame transfer method and secure star coupler
CN201980006599.0A CN111788800B (zh) 2018-07-27 2019-07-25 帧传送方法以及安全星型耦合器
PCT/JP2019/029252 WO2020022445A1 (ja) 2018-07-27 2019-07-25 フレーム転送方法及びセキュアスターカプラ
JP2020532476A JP7337063B2 (ja) 2018-07-27 2019-07-25 フレーム転送方法及びセキュアスターカプラ
US17/089,277 US11764998B2 (en) 2018-07-27 2020-11-04 Frame transfer method and secure star coupler

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2018/028294 WO2020021714A1 (ja) 2018-07-27 2018-07-27 不正防止方法およびセキュアスターカプラ

Publications (1)

Publication Number Publication Date
WO2020021714A1 true WO2020021714A1 (ja) 2020-01-30

Family

ID=69180787

Family Applications (2)

Application Number Title Priority Date Filing Date
PCT/JP2018/028294 Ceased WO2020021714A1 (ja) 2018-07-27 2018-07-27 不正防止方法およびセキュアスターカプラ
PCT/JP2019/029252 Ceased WO2020022445A1 (ja) 2018-07-27 2019-07-25 フレーム転送方法及びセキュアスターカプラ

Family Applications After (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/029252 Ceased WO2020022445A1 (ja) 2018-07-27 2019-07-25 フレーム転送方法及びセキュアスターカプラ

Country Status (5)

Country Link
US (1) US11764998B2 (ja)
EP (1) EP3832956B1 (ja)
JP (1) JP7337063B2 (ja)
CN (1) CN111788800B (ja)
WO (2) WO2020021714A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022185370A1 (ja) * 2021-03-01 2022-09-09 株式会社オートネットワーク技術研究所 車載装置、プログラム及び情報処理方法

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010503305A (ja) * 2006-09-06 2010-01-28 エヌエックスピー ビー ヴィ タイムトリガ通信用インテリジェントスターカプラ及びタイムトリガプロトコルを用いるネットワーク内のノード間で通信を行う方法
JP2010035171A (ja) * 2008-07-25 2010-02-12 Tttech Computertechnik Ag 時間制御通信システムのマルチルータ
JP2010521858A (ja) * 2007-03-14 2010-06-24 エヌエックスピー ビー ヴィ 分散通信システムのノード、分散通信システムに結合されたノード及び監視装置
WO2013171829A1 (ja) * 2012-05-14 2013-11-21 トヨタ自動車 株式会社 車両用ネットワークの通信管理装置及び通信管理方法
JP2017111796A (ja) * 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
WO2018008452A1 (ja) * 2016-07-05 2018-01-11 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正制御抑止方法、不正制御抑止装置及び車載ネットワークシステム

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS5222637Y2 (ja) 1971-12-10 1977-05-24
JPS5664799U (ja) 1979-10-23 1981-05-30
US5210632A (en) * 1989-05-26 1993-05-11 Hitachi, Ltd. Signal transmission system having a star coupled repeater
KR20090067151A (ko) * 2006-09-06 2009-06-24 엔엑스피 비 브이 클러스터 커플러, 네트워크 및 네트워크 통신 방법
US8407339B2 (en) * 2007-11-14 2013-03-26 Nxp B.V. Star network and method for preventing a repeated transmission of a control symbol in such a star network
DE102009030204A1 (de) * 2009-06-24 2010-12-30 Audi Ag Sternkoppler für ein Bussystem, Bussystem mit einem solchen Sternkoppler sowie Verfahren zum Austauschen von Signalen in einem Bussystem
WO2013094072A1 (ja) 2011-12-22 2013-06-27 トヨタ自動車 株式会社 通信システム及び通信方法
EP3111600B1 (de) * 2014-02-24 2018-11-14 TTTech Computertechnik AG Verfahren und computernetzwerk zum übertragen von nachrichten
EP3139547B1 (en) * 2015-09-07 2018-10-17 TTTech Computertechnik AG An online incremental scheduling method for deterministic networks
US20170072876A1 (en) * 2015-09-14 2017-03-16 Broadcom Corporation Hardware-Accelerated Protocol Conversion in an Automotive Gateway Controller
WO2017061079A1 (ja) * 2015-10-09 2017-04-13 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ セキュリティ装置、攻撃検知方法及びプログラム
JP6173541B2 (ja) * 2015-10-09 2017-08-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ装置、攻撃検知方法及びプログラム
CN112286764B (zh) * 2015-12-14 2024-11-26 松下电器（美国）知识产权公司 安全装置、网络系统以及攻击检测方法
JP6684690B2 (ja) * 2016-01-08 2020-04-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知方法、監視電子制御ユニット及び車載ネットワークシステム
CN113553285B (zh) * 2016-05-27 2024-08-09 松下电器（美国）知识产权公司 电子控制单元、帧生成方法和记录介质
JP6492234B2 (ja) * 2016-12-06 2019-03-27 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 情報処理装置及び情報処理方法
US20180300477A1 (en) * 2017-04-13 2018-10-18 Argus Cyber Security Ltd. In-vehicle cyber protection
CN106982397B (zh) * 2017-05-16 2020-06-16 华北电力大学（保定） 基于回传检测的变电站通信网络及其时间同步安全方法
CN107342833B (zh) * 2017-06-15 2019-03-15 西安微电子技术研究所 一种时间触发以太网交换控制方法
JP7033499B2 (ja) * 2017-07-26 2022-03-10 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知装置および異常検知方法

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010503305A (ja) * 2006-09-06 2010-01-28 エヌエックスピー ビー ヴィ タイムトリガ通信用インテリジェントスターカプラ及びタイムトリガプロトコルを用いるネットワーク内のノード間で通信を行う方法
JP2010521858A (ja) * 2007-03-14 2010-06-24 エヌエックスピー ビー ヴィ 分散通信システムのノード、分散通信システムに結合されたノード及び監視装置
JP2010035171A (ja) * 2008-07-25 2010-02-12 Tttech Computertechnik Ag 時間制御通信システムのマルチルータ
WO2013171829A1 (ja) * 2012-05-14 2013-11-21 トヨタ自動車 株式会社 車両用ネットワークの通信管理装置及び通信管理方法
JP2017111796A (ja) * 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
WO2018008452A1 (ja) * 2016-07-05 2018-01-11 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正制御抑止方法、不正制御抑止装置及び車載ネットワークシステム

Also Published As

Publication number Publication date
WO2020022445A1 (ja) 2020-01-30
US11764998B2 (en) 2023-09-19
JP7337063B2 (ja) 2023-09-01
CN111788800A (zh) 2020-10-16
EP3832956A1 (en) 2021-06-09
US20210051090A1 (en) 2021-02-18
CN111788800B (zh) 2022-05-10
EP3832956B1 (en) 2022-04-06
JPWO2020022445A1 (ja) 2021-08-05
EP3832956A4 (en) 2021-10-13

Similar Documents

Publication Publication Date Title
US11539727B2 (en) Abnormality detection apparatus and abnormality detection method
US11190533B2 (en) Anomaly detection electronic control unit, onboard network system, and anomaly detection method
JP7231559B2 (ja) 異常検知電子制御ユニット、車載ネットワークシステム及び異常検知方法
WO2020021713A1 (ja) 不正検知方法および不正検知電子制御装置
EP3358788B1 (en) Illegality detection electronic control unit, vehicle onboard network system, and communication method
EP3142288B1 (en) In-car network system, electronic control unit and update processing method
EP3772200B1 (en) Illicit act detection method, illicit act detection device, and program
US12063235B2 (en) Communication control device, anomaly detection electronic control unit, mobility network system, communication control method, anomaly detection method, and recording medium
JP2018026791A (ja) フレーム伝送阻止装置、フレーム伝送阻止方法及び車載ネットワークシステム
US11909748B2 (en) Anti-fraud control system, monitoring device, and anti-fraud control method
KR101972457B1 (ko) Can 통신 기반 해킹공격 탐지 방법 및 시스템
WO2020021715A1 (ja) 不正対処方法、不正対処装置および通信システム
JP7698394B2 (ja) 異常検知システム、異常検知方法及びプログラム
JP2019146145A (ja) 通信装置、通信方法及びプログラム
WO2020021714A1 (ja) 不正防止方法およびセキュアスターカプラ
EP4213448B1 (en) Controller area network module and method for the module
WO2018020833A1 (ja) フレーム伝送阻止装置、フレーム伝送阻止方法及び車載ネットワークシステム
WO2017056395A1 (ja) 不正検知電子制御ユニット、車載ネットワークシステム及び通信方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18927414

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18927414

Country of ref document: EP

Kind code of ref document: A1