WO2023084624A1 - 車載制御装置 - Google Patents

車載制御装置 Download PDF

Info

Publication number
WO2023084624A1
WO2023084624A1 PCT/JP2021/041268 JP2021041268W WO2023084624A1 WO 2023084624 A1 WO2023084624 A1 WO 2023084624A1 JP 2021041268 W JP2021041268 W JP 2021041268W WO 2023084624 A1 WO2023084624 A1 WO 2023084624A1
Authority
WO
WIPO (PCT)
Prior art keywords
unit
storage unit
rule
communication data
rules
Prior art date
Application number
PCT/JP2021/041268
Other languages
English (en)
French (fr)
Inventor
康次郎 近松
裕司 奥山
俊憲 松井
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to JP2023558387A priority Critical patent/JP7408033B2/ja
Priority to PCT/JP2021/041268 priority patent/WO2023084624A1/ja
Publication of WO2023084624A1 publication Critical patent/WO2023084624A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R25/00—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks

Definitions

  • This application relates to an in-vehicle control device.
  • a vehicle In general, a vehicle is equipped with a plurality of electronic control units called ECUs (Electronic Control Units), and each ECU is connected to a network that enables wired or wireless communication, thereby building an in-vehicle system.
  • ECUs Electronic Control Units
  • in-vehicle systems have come to be connected to devices outside the vehicle via networks, and there is a risk that malicious individuals will abuse the networks and intrude into the in-vehicle systems from the outside via the network. If an in-vehicle system is invaded, the control program of the ECU may be tampered with, and the control may be hijacked, resulting in unintended disadvantages for the user of the vehicle.
  • a mechanism for detecting anomalies in vehicles when they are subject to cyberattacks a mechanism for detecting anomalies by monitoring communication data flowing through networks is being considered.
  • a mechanism for monitoring communication data rules for when communication data is normal are defined in advance.
  • Patent Document 1 discloses a control device capable of detecting abnormalities without increasing the data processing load by changing the communication data monitoring method according to the state of the vehicle.
  • the present application was made in order to solve such problems. By efficiently referring to rules according to the communication data flowing through the network, it is possible to detect anomalies in communication data while suppressing the load of monitoring processing. It is an object of the present invention to provide an in-vehicle control device capable of controlling redundant rules, and preventing erroneous detection or oversight within the scope of predefined rules.
  • An in-vehicle control device disclosed in the present application includes a communication unit that transmits and receives communication data, a primary storage unit that stores rules for normal communication data transmitted and received by the communication unit, and one of the rules stored in the primary storage unit. and a rule stored in the secondary storage unit to monitor whether or not the communication data sent and received by the communication unit is normal based on the rules stored in the secondary storage unit. If there is no applicable rule in the above, the monitoring unit monitors whether or not the communication data sent and received by the communication unit is normal based on the rules stored in the primary storage unit.
  • a reference rule recording unit that records, from the rules stored in the primary storage unit, the rule that matches the communication data to be monitored and the number of matching times when the rule is normal, and the rules stored in the primary storage unit and the reference rule and a rule updating unit for updating the rules stored in the secondary storage unit based on the records in the rule recording unit.
  • the rules are not redundantly defined, and monitoring processing is performed while efficiently referring to the rules according to the communication data flowing through the network. , it is possible to detect an abnormality in the communication data while suppressing the processing load.
  • FIG. 1 is a block diagram showing the configuration of an in-vehicle control device according to Embodiment 1;
  • FIG. 4 is a diagram showing rules stored in a primary storage unit of the in-vehicle control device according to Embodiment 1;
  • FIG. 4 is a diagram showing rules stored in a secondary storage unit of the in-vehicle control device according to Embodiment 1;
  • FIG. 4 is a diagram showing records of a reference rule recording unit in the vehicle-mounted control device according to Embodiment 1;
  • FIG. FIG. 4 is a flow chart showing the flow of monitoring processing of the in-vehicle control device according to Embodiment 1;
  • FIG. 5 is a flow chart showing the flow of rule update processing of the in-vehicle control device according to Embodiment 1; 2 is a block diagram showing the configuration of an in-vehicle control device according to Embodiment 2;
  • FIG. 9 is a diagram showing rules stored in a primary storage unit of an in-vehicle control device according to Embodiment 2;
  • FIG. 9 is a diagram showing rules (during normal running) stored in a secondary storage unit of the in-vehicle control device according to Embodiment 2;
  • FIG. 10 is a diagram showing rules (during diagnosis) stored in a secondary storage unit of the in-vehicle control device according to Embodiment 2;
  • FIG. 9 is a diagram showing rules stored in a primary storage unit of an in-vehicle control device according to Embodiment 2;
  • FIG. 9 is a diagram showing rules (during normal running) stored in a secondary storage unit of the in-vehicle control device according to Embodi
  • FIG. 10 is a diagram showing monitoring results of a bus load monitoring unit in the vehicle-mounted control device according to Embodiment 2;
  • FIG. 10 is a flow diagram showing a flow of monitoring processing of an in-vehicle control device according to Embodiment 2;
  • FIG. 11 is a flow diagram showing a flow of rule update processing of the in-vehicle control device according to Embodiment 2; It is a figure which shows an example of the hardware constitutions of the vehicle-mounted control apparatus which concerns on embodiment.
  • Embodiments of the in-vehicle control device disclosed in the present application will be described below with reference to the drawings.
  • the in-vehicle control device a case where it is applied to a gateway that is connected to a plurality of different in-vehicle networks and plays a role of relaying data between the different in-vehicle networks will be described in detail.
  • the present embodiment can be applied as an intrusion detection system in an in-vehicle controller for a vehicle to be controlled.
  • the same or corresponding parts are denoted by the same reference numerals, and redundant explanations are omitted.
  • FIG. 1 is a diagram showing an example of a configuration of a gateway used as an in-vehicle control device according to Embodiment 1.
  • the gateway 100 comprises a communication section 110 , a primary storage section 111 , a secondary storage section 112 , a monitoring section 113 , a reference rule recording section 114 and a rule updating section 115 .
  • the communication unit 110 is connected to a plurality of in-vehicle controllers 101 via a plurality of in-vehicle networks 102 . It should be noted that the configuration or network architecture shown in FIG. As long as it is connected to one or more in-vehicle controllers 101 via one or more in-vehicle networks 102, it does not necessarily have to be as shown in FIG.
  • gateway vehicle control device 100 and its function will be briefly described below.
  • the communication unit 110 transmits and receives communication data to and from each in-vehicle control device 101 via the connected in-vehicle network 102 .
  • the in-vehicle network 102 for example, CAN (Control Area Network) or Ethernet (registered trademark) can be considered, but it is not limited to this.
  • the in-vehicle control device is not limited to the function of gatewaying communication between in-vehicle control devices. (system) control device, etc., but is not limited to this.
  • the primary storage unit 111 stores a pre-defined rule regarding normal communication data from communication data transmitted and received via the communication unit 110 .
  • a pre-defined rule regarding normal communication data from communication data transmitted and received via the communication unit 110 .
  • it is, for example, a ROM (Read Only Memory).
  • this rule may be stored across multiple in-vehicle control devices 101 .
  • the secondary storage unit 112 stores part of the rules stored in the primary storage unit 111.
  • the rules to be stored are updated by the rule updating unit 115, which will be described later. It is desirable that the access speed or processing speed is faster than that of the primary storage unit 111 .
  • it is, for example, a RAM (Random Access Memory).
  • the monitoring unit 113 monitors whether the communication data transmitted and received by the communication unit 110 is normal based on the rules stored in the secondary storage unit 112 . Also, if there is no rule stored in the secondary storage unit 112 that matches, it monitors whether or not the communication data is normal based on the rule stored in the primary storage unit 111 . If none of the rules stored in the secondary storage unit 112 and the primary storage unit 111 match the rule, the communication data to be monitored is detected as abnormal. The result of monitoring the communication data may be notified to other functions installed in the gateway 100 or may be notified from the communication unit 110 to the in-vehicle control device 101 via the in-vehicle network 102 . In addition, in FIG. 1, illustration of other functions installed in the gateway 100 is omitted.
  • the reference rule recording unit 114 records the number of matches with communication data for all rules stored in the primary storage unit 111 .
  • the monitoring unit 113 performs monitoring processing and finds normal, the number of matching times is increased for a rule matching communication data to be monitored.
  • the rule updating unit 115 updates the rules stored in the secondary storage unit 112 based on the records in the reference rule recording unit 114 .
  • updating the rules means adding rules stored in the primary storage unit 111 to the secondary storage unit 112 , deleting rules stored in the secondary storage unit 112 , and deleting rules stored in the secondary storage unit 112 .
  • the order of stored rules is rearranged.
  • FIG. 1 The configurations of rules stored in the primary storage unit 111 and the secondary storage unit 112 according to the first embodiment will be described with reference to FIGS. 2 and 3.
  • FIG. 1 The configurations of rules stored in the primary storage unit 111 and the secondary storage unit 112 according to the first embodiment will be described with reference to FIGS. 2 and 3.
  • FIG. 1 The configurations of rules stored in the primary storage unit 111 and the secondary storage unit 112 according to the first embodiment will be described with reference to FIGS. 2 and 3.
  • the rules stored in the primary storage unit 111 and the secondary storage unit 112 describe items for determining whether communication data flowing through the network is normal.
  • the rules stored in the primary storage unit 111 and the secondary storage unit 112 have items such as rule number, data ID, transmission source, transmission destination, data size, and data. These items are arbitrary, and other items may be used as long as they can uniquely identify the rule and determine whether or not the communication data is normal.
  • the primary storage unit 111 stores five rules.
  • the rules stored in the secondary storage unit 112 are, as shown in FIG. may be stored in the same order as that stored in , or may be stored in a different order.
  • the reference rule recording unit 114 records the number of times all rules stored in the primary storage unit 111 match the monitored communication data in the monitoring process.
  • the rule number and the number of matches are recorded as items, but the rule stored in the primary storage unit 111 can be uniquely identified, and in the monitoring process, the communication data to be monitored and each rule are identified.
  • the item is not limited to this as long as the number of matching times can be known.
  • the monitoring unit 113 determines whether or not the communication data transmitted and received in step S501 is normal based on the rules stored in the secondary storage unit 112.
  • the communication data to be transmitted and received is sequentially compared with the rules stored in the secondary storage unit 112, and it is determined whether any of the rules match. If there is a matching rule, the process proceeds to step S504 at that time, and if there is no matching with all the stored rules, the process proceeds to step S506.
  • the monitoring unit 113 determines whether or not the communication data transmitted and received in step S501 is normal based on the rules stored in the primary storage unit 111.
  • the communication data to be transmitted and received is sequentially compared with the rules stored in the primary storage unit 111 to determine whether any of the rules match. If there is a matching rule, the process proceeds to step S504 at that time, and if there is no matching with all the stored rules, the process proceeds to step S508.
  • step S504 the monitoring unit 113 judges that the communication data to be monitored is normal, assuming that the communication data to be transmitted and received matches one of the rules stored in the secondary storage unit 112 and the primary storage unit 111. .
  • the result of determination as normal may be notified to other functions installed in the gateway 100 , or may be notified from the communication unit 110 to the in-vehicle control device 101 via the in-vehicle network 102 .
  • step S505 for the rules that matched in steps S502 and S503 or steps S506 and S507, the number of matching times of the applicable rule is increased by one from the record of the reference rule recording unit 114.
  • step S508 the monitoring unit 113 determines that the communication data to be monitored is abnormal because the communication data to be transmitted and received does not match any of the rules stored in the secondary storage unit 112 and the primary storage unit 111. do.
  • the result of determination as abnormal may be notified to other functions installed in the gateway 100 , or may be notified from the communication unit 110 to the in-vehicle control device 101 via the in-vehicle network 102 .
  • step S601 the record of the reference rule recording unit 114 is acquired.
  • step S602 the rule stored in the secondary storage unit 112 is updated based on the reference rule record acquired in step S601.
  • the rules with the number of matches equal to or greater than 1 are sorted in descending order of the number of matches and stored in the secondary storage unit 112 .
  • the timing of executing the rule update process may be dynamically executed in conjunction with the monitoring process, or may be executed in conjunction with the ignition off, vehicle diagnosis, software update by OTA (Over The Air), etc. can also be run statically.
  • OTA Over The Air
  • the in-vehicle control apparatus since rules with a high matching frequency are preferentially referred to in the monitoring process, the rules are efficiently referred to and the communication data flowing through the network is monitored. Therefore, the load of monitoring processing can be suppressed.
  • Embodiment 2 Next, an in-vehicle control device according to Embodiment 2 will be described with reference to FIGS. 7 to 13.
  • FIG. 7 is a diagrammatic representation of Embodiment 2.
  • FIG. 7 is a diagram showing an example of the configuration of a gateway according to the second embodiment. 1 in that the gateway 100 includes a bus load monitoring unit 116, a communication data analysis unit 117, and a state determination unit 118.
  • the rule updating unit 115 updates the importance of communication data corresponding to each rule stored in the primary storage unit 111, the record of the reference rule recording unit 114, the monitoring result of the bus load monitoring unit 116, and the analysis of the communication data analysis unit 117. As a result, the rule stored in the secondary storage unit 112 is updated based on the determination result of the state determination unit 118 .
  • the bus load monitoring unit 116 monitors the load status of each bus for all in-vehicle networks 102 connected to the communication unit 110, and notifies the rule updating unit 115 of the monitoring results.
  • the communication data analysis unit 117 analyzes the communication data to be monitored and notifies the rule updating unit 115 of the analysis result.
  • the data ID, source, destination, data size, data, and other items that caused an abnormality in the monitoring process are identified. These items are arbitrary, but since the rule update unit 115 updates the rule based on the item that caused the abnormality, it is desirable that they be the same as the items of the rule stored in the primary storage unit 111. .
  • the state determination unit 118 determines the current state of the vehicle and notifies the rule update unit 115 of the determination result. Possible vehicle states include normal driving, high-speed driving, automatic driving, degraded driving, diagnosis, software update, and power saving mode. is desirable.
  • the rules stored in the primary storage unit 111 and the secondary storage unit 112 include items for determining whether or not communication data flowing through the network are normal, and a rule updating unit. 115 describes items to be referred to when updating rules stored in the secondary storage unit 112 .
  • the rules stored in the primary storage unit 111 and the secondary storage unit 112 have items such as rule number, data ID, transmission source, transmission destination, data size, data, bus number, vehicle state, importance of communication data, and the like. . These items are arbitrary, they can uniquely identify the rule, they are the items that can determine whether the communication data is normal or not, and they are the communication data flowing on which bus and in which vehicle state.
  • FIG. 8 shows the rules of the primary storage unit 111
  • FIG. 9 shows the rules of the secondary storage unit 112 (during normal running)
  • FIG. 10 shows the rules of the secondary storage unit 112 (during diagnosis ).
  • the degree of importance of communication data indicates, for example, the degree of influence on the vehicle when an abnormality occurs in the communication data. If there is a high possibility of leading to a serious accident, set a high importance.
  • communication data related to an infotainment system is less likely to lead to a serious accident even if an abnormality occurs, so the degree of importance is set to be low.
  • it indicates the degree of impact on the vehicle or the user when the information of the communication data is leaked. Specifically, information on privileged accounts, keys used for encrypted communication, communication data related to user privacy If there is, there is a high possibility that if the information is leaked, it will be misused and lead to a serious incident, so the importance is set high.
  • the monitoring results notified to the rule updating unit 115 by the bus load monitoring unit 116 include the load status of all buses connected to the communication unit 110 .
  • the monitoring result notified by the bus load monitoring unit 116 has items such as the bus number and the load. These items are optional, and other items may be used as long as they can uniquely identify the bus and represent the load status of the bus.
  • steps S1201 to S1208 have the same step processing contents as steps S501 to S508 in FIG.
  • the communication data analysis unit 117 analyzes the communication data detected as abnormal by the monitoring unit 113, and identifies the item of the rule that caused the abnormality. The analysis result is notified to the rule update unit 115 in the rule update process to be described later.
  • step S1301 executes the same processing as step S601 in FIG. monitor the situation.
  • the monitored result is notified to the rule updating unit 115 .
  • step S1303 the rule update unit 115 acquires the result of analysis by the communication data analysis unit 117 in step S1209 of FIG. 12 in the monitoring process.
  • step S1304 the state determination unit 118 determines the current state of the vehicle and notifies the rule update unit 115 of the determination result.
  • step S1305 the rule update unit 115 updates the record of the reference rule recording unit 114, the monitoring result of the bus load monitoring unit 116, the analysis result of the communication data analysis unit 117, the determination result of the state determination unit 118, and the importance of communication data. Based on this, the rules stored in the secondary storage unit 112 are updated.
  • the rule update logic for example, based on the determination result of the state determination unit 118, only rules that match the current vehicle state are stored in the secondary storage unit 112.
  • a bus with a high load there is a high possibility that communication data other than expected communication data, that is, unauthorized communication data, is flowing.
  • Prioritize updating communication data rules Regarding the rule of communication data flowing through a plurality of buses, the bus with the highest load among the flowing buses is used as a reference. Also, the rules are rearranged in descending order of importance of communication data. Also, based on the analysis result of the communication data analysis unit 117, the rule having the same value in the item causing the abnormality is preferentially updated.
  • the series of rule update processing flows in FIG. 13 is an example, and the rules may be updated based on all the criteria, or may be updated based on some of the criteria. Also, when the rules are updated based on some criteria, the steps corresponding to notification and acquisition of criteria not referred to may be omitted.
  • step S1305 not only the records of the reference rule recording unit 114, but also a plurality of criteria such as the monitoring results of the bus load monitoring unit 116, the analysis results of the communication data analysis unit 117, the determination results of the state determination unit 118, and the importance of communication data. 6 in that the rule stored in the secondary storage unit 112 is updated based on the above.
  • the in-vehicle control device As described above, according to the in-vehicle control device according to the second embodiment, it is possible to preferentially monitor the communication data corresponding to the vehicle state according to the current vehicle state, thereby reducing the load of the monitoring process. can be suppressed.
  • the gateway (in-vehicle control device) 100 is composed of a processor 1001 and a storage device 1002, as shown in FIG. 14 as an example of hardware.
  • the storage device 1002 includes, for example, volatile storage such as random access memory, and non-volatile secondary storage such as flash memory. Also, an auxiliary storage device such as a hard disk may be provided instead of the flash memory.
  • Processor 1001 executes a program input from storage device 1002 . In this case, the program is input from the auxiliary storage device to the processor 1001 via the volatile storage device.
  • the processor 1001 may output data such as calculation results to the volatile storage device of the storage device 1002, or may store data in an auxiliary storage device via the volatile storage device.
  • gateway in-vehicle control device
  • 101 in-vehicle control device 101 in-vehicle control device
  • 102 in-vehicle network 110 communication unit
  • 111 primary storage unit 112 secondary storage unit
  • 113 monitoring unit 114 reference rule recording unit
  • 115 rule updating unit 116 bus load Monitoring unit
  • 117 communication data analysis unit 118 state determination unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Mechanical Engineering (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Small-Scale Networks (AREA)

Abstract

通信データの正常時のルールを記憶する一次記憶部（１１１）と、一次記憶部（１１１）に記憶されているルールの一部を記憶する二次記憶部（１１２）と、通信データが正常か否かを監視する監視部（１１３）と、監視対象の通信データと一致したルールおよび一致した回数を記録する参照ルール記録部（１１４）と、一次記憶部（１１１）に記憶されているルールと参照ルール記録部（１１４）の記録に基づいて、二次記憶部（１１２）に記憶されているルールを更新するルール更新部（１１５）を備えている。

Description

車載制御装置
　本願は、車載制御装置に関するものである。
　一般に、車両には、ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）と呼ばれる電子制御装置が複数搭載され、各ＥＣＵ間が、有線または無線によって通信が可能なネットワークに接続されることで、車載システムを構築している。
　近年、車載システムはネットワークを介して車外の装置と接続されるようになり、悪意のある者がネットワークを悪用し、ネットワークを介して外部から車載システムに侵入される恐れがある。車載システムに侵入されると、ＥＣＵの制御プログラムが改ざんされ、制御を乗っ取られることにより、車両のユーザが意図しない不利益を被る恐れがある。
　従来の車載システムでは、一部の制御装置が故障した場合でも、故障によって発生した異常を検知し、フェールセーフによって機能を縮退するなど、車両が安全に走行できるように、異常対処方法が考えられている。
　しかし、サイバー攻撃によりＥＣＵのプログラムが改ざんされ、故障による異常を検知する仕組みを変更される、もしくは検知対象となる情報を異常な値から正常な値に書き換えられると、異常を検知することが困難になる。
　そこで、サイバー攻撃を受けた際に車両の異常を検知する仕組みとして、ネットワークを流れる通信データを監視して異常を検知する仕組みが検討されている。通信データを監視する仕組みとしては、予め通信データの正常時のルールを定義しておき、そのルールに基づいて送受信する通信データが正常かどうかを判断し、不正な通信データであった場合に異常として検知する方法などが検討されている。
　しかし、通信データの送受信ごとにその通信データが正常かどうかを判断し異常を検知する場合、通信データが膨大であるとデータ処理が増大する課題がある。そこで、サイバー攻撃を受けても処理負荷を抑えつつ、誤検知あるいは見逃しがないよう異常を検知する必要がある。
　特許文献１では、車両の状態に応じて通信データの監視方法を変えることで、データ処理の負荷を増大させず、異常を検知することが可能な制御装置を開示している。
特許第６５３１０１１号公報
　しかしながら、正常時の通信データに基づいて異常を検知する場合、予め正常時の車両状態に対応した通信データに関するルールを全て定義しておく必要があり、監視時には全てのルールを網羅的に参照するため、通信データによっては監視処理の負荷が大きくなる。
　特許文献１に記載されている技術では、状態ごとにルールを定義する場合、状態ごとに定義された全てのルールを網羅的に参照することに変わりはなく、通信データによっては監視処理の負荷が大きくなる可能性がある。また、複数の状態において参照されるルールについては、ルールを冗長に定義することになる。また、状態ごとのルールの切り替え、通信データの送受信、監視処理の実行などのタイミングによっては、誤検知あるいは見逃しが発生する可能性がある。
　本願は、このような問題を解決するためになされたものであり、ネットワークを流れる通信データに合わせて効率良くルールを参照することで、監視処理の負荷を抑えつつ通信データの異常を検知することができ、また、ルールの冗長な定義を抑えることができ、さらに、予め定義されたルールの範囲内においては、誤検知あるいは見逃しが発生しない車載制御装置を得ることを目的とする。
　本願に開示される車載制御装置は、通信データを送受信する通信部と、通信部で送受信する通信データの正常時のルールを記憶する一次記憶部と、一次記憶部に記憶されているルールの一部を記憶する二次記憶部と、二次記憶部に記憶されているルールに基づいて、通信部で送受信する通信データが正常か否かを監視し、二次記憶部に記憶されているルールの中に該当するルールがなかった場合に、一次記憶部に記憶されているルールに基づいて、通信部で送受信する通信データが正常か否かを監視する監視部と、監視部で監視して正常だった場合に、一次記憶部に記憶されているルールから、監視対象の通信データと一致したルールおよび一致した回数を記録する参照ルール記録部と、一次記憶部に記憶されているルールと参照ルール記録部の記録に基づいて、二次記憶部に記憶されているルールを更新するルール更新部とを備えている。
　本願の車載制御装置によれば、正常時の通信データに関するルールが膨大である場合でも、ルールを冗長に定義することなく、ネットワークを流れる通信データに合わせて、効率良くルールを参照しながら監視処理を行うことで、処理負荷を抑えつつ通信データの異常を検知することができる。
実施の形態１に係る車載制御装置の構成を示すブロック図である。 実施の形態１に係る車載制御装置の一次記憶部に記憶されているルールを示す図である。 実施の形態１に係る車載制御装置の二次記憶部に記憶されているルールを示す図である。 実施の形態１に係る車載制御装置における参照ルール記録部の記録を示す図である。 実施の形態１に係る車載制御装置の監視処理の流れを示すフロー図である。 実施の形態１に係る車載制御装置のルール更新処理の流れを示すフロー図である。 実施の形態２に係る車載制御装置の構成を示すブロック図である。 実施の形態２に係る車載制御装置の一次記憶部に記憶されているルールを示す図である。 実施の形態２に係る車載制御装置の二次記憶部に記憶されているルール（通常走行中）を示す図である。 実施の形態２に係る車載制御装置の二次記憶部に記憶されているルール（診断中）を示す図である。 実施の形態２に係る車載制御装置におけるバス負荷監視部の監視結果を示す図である。 実施の形態２に係る車載制御装置の監視処理の流れを示すフロー図である。 実施の形態２に係る車載制御装置のルール更新処理の流れを示すフロー図である。 実施の形態に係る車載制御装置のハードウェア構成の一例を示す図である。
　以下、本願に開示される車載制御装置の実施の形態について、図面を用いて説明する。以下では、車載制御装置の具体例として、複数の異なる車載ネットワークに接続され、異なる車載ネットワーク間でデータを通信する際に、中継する役割を担うゲートウェイに適用する場合について、詳細に説明する。本実施の形態は、制御対象である車両の車載制御装置における侵入検知システムとして適用可能である。なお、各実施の形態において、同一もしくは相当する部分は同一符号で示し、重複する説明は省略する。
実施の形態１．
　図１は、実施の形態１に係る車載制御装置として用いられるゲートウェイの構成の一例を示した図である。ゲートウェイ１００は、通信部１１０、一次記憶部１１１、二次記憶部１１２、監視部１１３、参照ルール記録部１１４、ルール更新部１１５を備えて構成されている。また、通信部１１０は、複数の車載ネットワーク１０２を介して、複数の車載制御装置１０１と繋がっている。なお、図１に示す構成あるいはネットワークアーキテクチャは一例であり、通信部１１０と一次記憶部１１１と二次記憶部１１２と監視部１１３と参照ルール記録部１１４、ルール更新部１１５を備えており、一つ以上の車載ネットワーク１０２を介して、一つ以上の車載制御装置１０１と繋がっていれば、必ずしも図１の通りでなくてもよい。
　以下、ゲートウェイ（車載制御装置）１００の各構成要素とその機能について簡単に説明する。
　通信部１１０は、接続されている車載ネットワーク１０２を介して、各車載制御装置１０１と通信データの送受信を行う。車載ネットワーク１０２については、例えばＣＡＮ（Ｃｏｎｔｒｏｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）あるいはＥｔｈｅｒｎｅｔ（登録商標）などが考えられるが、これに限るものではない。また、車載制御装置についても、車載制御装置間の通信をゲートウェイする機能に限らず、例えばエンジン制御装置あるいはＥＰＳ（Ｅｌｅｃｔｒｉｃ　Ｐｏｗｅｒ　Ｓｔｅｅｒｉｎｇ：電動パワーステアリング）制御装置、ＡＤＡＳ（Ａｄｖａｎｃｅｄ　Ｄｒｉｖｅｒ　Ａｓｓｉｓｔａｎｃｅ　Ｓｙｓｔｅｍ：先進運転支援システム）制御装置などが考えられるが、これに限るものではない。
　一次記憶部１１１は、通信部１１０を介して送受信する通信データから予め定義された正常時の通信データに関するルールを記憶する。具体的には、例えばＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）などである。また、このルールは、複数の車載制御装置１０１にわたって記憶されてもよい。
　二次記憶部１１２は、一次記憶部１１１に記憶されているルールの一部を記憶する。記憶するルールについては、後述のルール更新部１１５により更新される。一次記憶部１１１よりアクセス速度あるいは処理速度の速いものが望ましい。具体的には、例えばＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）などである。
　監視部１１３は、二次記憶部１１２に記憶されているルールに基づいて、通信部１１０で送受信する通信データが正常か否かを監視する。また、二次記憶部１１２に記憶されているルールで一致するものがなかった場合、一次記憶部１１１に記憶されているルールに基づいて、通信データが正常か否かを監視する。二次記憶部１１２および一次記憶部１１１に記憶されているいずれのルールにも一致するものがなかった場合、監視対象の通信データを異常として検知する。通信データを監視した結果については、ゲートウェイ１００に搭載されている他の機能に通知してもよいし、通信部１１０から車載ネットワーク１０２を介して車載制御装置１０１に通知してもよい。なお、図１において、ゲートウェイ１００に搭載されている他の機能については、図示を省略している。
　参照ルール記録部１１４は、一次記憶部１１１に記憶されている全てのルールについて、通信データと一致した回数を記録する。監視部１１３で監視処理を行って正常だった場合に、監視対象の通信データと一致したルールについて、一致した回数を増やす。
　ルール更新部１１５は、参照ルール記録部１１４の記録に基づいて、二次記憶部１１２に記憶されているルールを更新する。ここで、ルールの更新とは、一次記憶部１１１に記憶されているルールを二次記憶部１１２に追加する、二次記憶部１１２に記憶されているルールを削除する、二次記憶部１１２に記憶されているルールの順序を並び替えるなどである。
　図２および図３を用いて、本実施の形態１に係る一次記憶部１１１および二次記憶部１１２が記憶するルールの構成について説明する。
　図２および図３に示すように、一次記憶部１１１および二次記憶部１１２が記憶するルールには、ネットワークを流れる通信データが正常か否かを判定するための項目が記載されている。一次記憶部１１１および二次記憶部１１２が記憶するルールは、ルール番号、データＩＤ、送信元、送信先、データサイズ、データなどの項目を有する。これらの項目は任意であり、ルールを一意に特定することができ、通信データが正常か否かを判定できる項目であれば、その他の項目でも構わない。
　図２に示すように、一次記憶部１１１が記憶するルールは５つである。二次記憶部１１２が記憶するルールは、図３に示すように、一次記憶部１１１が記憶するルールの一部（３つ）であり、また記憶する順序については任意であり、一次記憶部１１１に記憶されている順序と同じであってもよいし、異なる順序で記憶させてもよい。
　図４を用いて、本実施の形態１に係る参照ルール記録部１１４の記録について説明する。
　図４に示すように、参照ルール記録部１１４は、一次記憶部１１１に記憶されている全てのルールについて、監視処理において監視対象の通信データと一致した回数を記録している。図４においては、ルール番号および一致回数が項目として記録されているが、一次記憶部１１１に記憶されているルールを一意に特定することができ、監視処理において監視対象の通信データと各ルールが一致した回数がわかる項目であれば、これに限るものではない。
　次に、実施の形態１に係るゲートウェイ１００の監視処理の一連の流れについて図５を用いて説明し、ルール更新処理の一連の流れについて図６を用いて説明する。また、監視処理とルール更新処理は独立して実行されるため、それぞれの処理は任意のタイミングで実行される。
　図５において、ステップＳ５０１において、通信部１１０は、車載ネットワーク１０２を介して、車載制御装置１０１からの通信データを送受信する。図５において、通信データの送受信ごとに監視処理を行っているが、監視処理を実行するタイミングは、通信データの送受信ごとに行ってもよいし、あるいはデータ構造の一種であるキューなどを用いて通信データを蓄積し、一定のタイミングでまとめて行ってもよい。
　ステップＳ５０２およびステップＳ５０３において、監視部１１３は、二次記憶部１１２に記憶されているルールに基づいて、ステップＳ５０１において送受信する通信データが正常か否かを判定する。送受信する通信データと二次記憶部１１２に記憶されているルールを順に比較していき、いずれかのルールと一致するかどうかを判定する。一致したルールがあれば、その時点でステップＳ５０４に進み、記憶されている全てのルールと不一致だった場合はステップＳ５０６に進む。
　ステップＳ５０６およびステップＳ５０７において、監視部１１３は、一次記憶部１１１に記憶されているルールに基づいて、ステップＳ５０１において送受信する通信データが正常か否かを判定する。送受信する通信データと一次記憶部１１１に記憶されているルールを順に比較していき、いずれかのルールと一致するかどうかを判定する。一致したルールがあれば、その時点でステップＳ５０４に進み、記憶されている全てのルールと不一致だった場合はステップＳ５０８に進む。
　また、ステップＳ５０６およびステップＳ５０７において、送受信する通信データと一次記憶部１１１に記憶されているルールを比較する際に、ステップＳ５０２およびステップＳ５０３において既に比較されたルールについては、比較を行わないことが望ましい。
　ステップＳ５０４において、監視部１１３は、送受信する通信データが二次記憶部１１２および一次記憶部１１１に記憶されているいずれかのルールと一致したとして、監視対象の通信データが正常であると判定する。正常と判定した結果は、ゲートウェイ１００に搭載されている他の機能に通知してもよいし、通信部１１０から車載ネットワーク１０２を介して車載制御装置１０１に通知してもよい。
　ステップＳ５０５において、ステップＳ５０２およびステップＳ５０３またはステップＳ５０６およびステップＳ５０７において一致したルールについて、参照ルール記録部１１４の記録から該当するルールの一致回数を１増やすように加算する。
　ステップＳ５０８において、監視部１１３は、送受信する通信データが二次記憶部１１２および一次記憶部１１１に記憶されているいずれのルールとも一致しなかったとして、監視対象の通信データが異常であると判定する。異常と判定した結果は、ゲートウェイ１００に搭載されている他の機能に通知してもよいし、通信部１１０から車載ネットワーク１０２を介して車載制御装置１０１に通知してもよい。
　続いて、図６において、ステップＳ６０１において、参照ルール記録部１１４の記録を取得する。
　ステップＳ６０２において、ステップＳ６０１において取得した参照ルール記録に基づいて、二次記憶部１１２に記憶されているルールを更新する。図２、図３および図４の例では、一致回数が１以上のルールを一致回数の多い順に並び替えて、二次記憶部１１２に記憶している。
　図６において、ルール更新処理を実行するタイミングについては、監視処理と併せて動的に実行してもよいし、イグニッションオフ時、車両診断時、ＯＴＡ（Ｏｖｅｒ　Ｔｈｅ　Ａｉｒ）によるソフトウェア更新時などと併せて静的に実行してもよい。
　このように、本実施の形態１に係る車載制御装置によれば、監視処理において一致頻度の高いルールを優先的に参照するようになるため、効率良くルールを参照しネットワークを流れる通信データを監視することができるため、監視処理の負荷を抑えることができる。
　さらに、二次記憶部に記憶されているルールのみが一次記憶部に記憶されているルールと重複することになり、ルールの重複度は最大でも２となるため、ルールの冗長な定義を抑えることができる。
　さらに、監視処理において、予め定義されてルールについては全て使用しているため、予め定義されたルールの範囲内においては、誤検知あるいは見逃しが発生することはない。
実施の形態２．
　次に、実施の形態２に係る車載制御装置について、図７から図１３までを用いて説明する。
　図７は、実施の形態２に係るゲートウェイの構成の一例を示した図である。ゲートウェイ１００が、バス負荷監視部１１６、通信データ解析部１１７、状態判定部１１８を備える点が、図１と異なる。なお、図７に示す構成あるいはネットワークアーキテクチャは一例であり、必ずしも図７の通りでなくてもよい。
　以下、ゲートウェイ１００の各構成要素とその機能について、実施の形態１と異なる点を簡単に説明する。
　ルール更新部１１５は、一次記憶部１１１に記憶されている各ルールに対応する通信データの重要度、参照ルール記録部１１４の記録、バス負荷監視部１１６の監視結果、通信データ解析部１１７の解析結果、状態判定部１１８の判定結果に基づいて、二次記憶部１１２に記憶されているルールを更新する。
　バス負荷監視部１１６は、通信部１１０に接続された全ての車載ネットワーク１０２について、各バスの負荷状況を監視し、監視した結果をルール更新部１１５に通知する。
　通信データ解析部１１７は、監視部１１３で監視処理を行って異常を検知した場合に、監視対象の通信データを解析し、解析した結果をルール更新部１１５に通知する。通信データの解析では、例えばデータＩＤ、送信元、送信先、データサイズ、データなどの監視処理において異常の原因となった項目を特定する。これらの項目は任意であるが、ルール更新部１１５では、異常の原因となった項目に基づいてルールを更新するため、一次記憶部１１１に記憶されているルールの項目と同様であることが望ましい。
　状態判定部１１８は、現在の車両の状態を判定し、判定した結果をルール更新部１１５に通知する。車両の状態としては、例えば通常走行中、高速走行中、自動運転中、縮退運転中、診断中、ソフトウェア更新中、省電力モードなどが考えられるが、車両の状態に応じてネットワークを流れる通信データが大きく変化するものが望ましい。
　図8、図９、図１０を用いて、本実施の形態２に係る一次記憶部１１１および二次記憶部１１２が記憶するルールの構成について説明する。
　図８、図９、図１０に示すように、一次記憶部１１１および二次記憶部１１２が記憶するルールには、ネットワークを流れる通信データが正常か否かを判定するための項目およびルール更新部１１５が二次記憶部１１２に記憶されているルールを更新する際に参照する項目が記載されている。一次記憶部１１１および二次記憶部１１２が記憶するルールは、ルール番号、データＩＤ、送信元、送信先、データサイズ、データ、バス番号、車両の状態、通信データの重要度などの項目を有する。これらの項目は任意であり、ルールを一意に特定することができ、通信データが正常か否かを判定できる項目であり、かつどのバスをどの車両の状態において流れる通信データか、また各ルールに対応する通信データの重要度を特定できる項目であれば、その他の項目でも構わない。
　図８は、一次記憶部１１１のルールを表しており、図９は、二次記憶部１１２のルール（通常走行中）を表しており、図１０は、二次記憶部１１２のルール（診断中）を表している。
　ここで、通信データの重要度とは、例えばその通信データに異常が発生した場合の車両に対する影響度を示しており、具体的には車両の走行制御に関する通信データなどであれば、異常が発生した場合に重大な事故に繋がる可能性が高いため、重要度を高く設定する。一方、インフォテインメントシステムに関する通信データなどであれば、異常が発生した場合でも重大な事故に繋がる可能性は低いため、重要度を低く設定する。その他にも、例えばその通信データの情報が漏洩した場合の車両あるいはユーザに対する影響度を示しており、具体的には特権アカウントの情報、暗号通信に用いられる鍵、ユーザのプライバシーに関する通信データなどであれば、その情報が漏洩した場合に悪用され重大なインシデントに繋がる可能性が高いため、重要度を高く設定する。一方、死活監視における周期的なやり取り、スイッチのオン／オフ、センサー値に関する通信データなどであれば、その情報が漏洩した場合でも悪用されにくく重大なインシデントに繋がる可能性は低いため、重要度を低く設定する。なお、これらの指標は一例であり、重要度の高い通信データを優先的に監視することで、有益な効果が得られる指標であれば、これらに限るものではない。
　図１１を用いて、本実施の形態２に係るバス負荷監視部１１６におけるバスの監視結果について説明する。
　図１１に示すように、バス負荷監視部１１６がルール更新部１１５に通知する監視結果には、通信部１１０に接続される全てのバスについての負荷状況が含まれる。バス負荷監視部１１６が通知する監視結果は、バス番号、負荷などの項目を有する。これらの項目は任意であり、バスを一意に特定することができ、バスの負荷状況を表すことができる項目であれば、その他の項目でも構わない。
　次に、実施の形態２に係るゲートウェイ１００の監視処理の一連の流れについて図１２を用いて説明し、ルール更新処理の一連の流れについて図１３を用いて説明する。実施の形態１と異なる点についてのみ説明し、実施の形態１と同じ点については説明を省略する。また、監視処理とルール更新処理は独立して実行されるため、それぞれの処理は任意のタイミングで実行される。
　図１２において、ステップＳ１２０１～ステップＳ１２０８は、図５におけるステップＳ５０１～ステップＳ５０８と同じステップ処理内容である。図１２のステップＳ１２０９において、通信データ解析部１１７は、監視部１１３で異常として検知した通信データの解析を行い、異常の原因となったルールの項目を特定する。解析した結果は、後述するルール更新処理において、ルール更新部１１５に通知する。
　続いて、図１３において、ステップＳ１３０１は、図６のステップＳ６０１と同じ処理を実行し、ステップＳ１３０２において、バス負荷監視部１１６は、通信部１１０に接続されている全てのバスについて、バスの負荷状況を監視する。監視した結果は、ルール更新部１１５に通知する。
　ステップＳ１３０３において、ルール更新部１１５は、監視処理における図１２のステップＳ１２０９で通信データ解析部１１７が解析した結果を取得する。
　ステップＳ１３０４において、状態判定部１１８は、現在の車両の状態を判定し、判定した結果をルール更新部１１５に通知する。
　ステップＳ１３０５において、ルール更新部１１５は、参照ルール記録部１１４の記録、バス負荷監視部１１６の監視結果、通信データ解析部１１７の解析結果、状態判定部１１８の判定結果、通信データの重要度に基づいて、二次記憶部１１２に記憶されているルールを更新する。
　ルール更新のロジックとしては、例えば状態判定部１１８の判定結果から、現在の車両の状態と一致するルールだけを二次記憶部１１２に記憶する。また、負荷が高いバスについては、想定される通信データ以外の通信データ、すなわち不正な通信データが流れている可能性が高いため、バス負荷監視部１１６の監視結果から、負荷の高いバスを流れる通信データのルールを優先的に更新する。複数のバスを流れる通信データのルールについては、流れるバスの中で最も負荷の高いバスを基準とする。また、通信データの重要度から、重要度の高い順にルールを並び替える。また、通信データ解析部１１７の解析結果から、異常の原因となっている項目において同様の値を持つルールを優先的に更新する。例えば、通信データの異常の原因が送信元であった場合、送信元が異常となっている可能性が高く、以降その送信元から送信される通信データについては、異常である可能性が高いと考えられる。そのため、その送信元と同様の送信元を持つルールを優先的に更新する。
　図８～図１１では、現在の車両の状態と一致するルールのみを二次記憶部１１２に記憶し、負荷の高いバス順にルールを並び替えたうえで、さらにバスごとに通信データの重要度の高い順にルールを並び替えている。なお、図８～図１１における基準ごとのルール更新のロジックあるいは複数の基準間の優先度については一例であり、これに限るものではない。
　なお、図１３におけるルール更新処理の一連の流れについては一例であり、全ての基準に基づいてルールを更新してもよいし、一部の基準に基づいてルールを更新してもよい。また、一部の基準に基づいてルールを更新する場合、参照しない基準の通知および取得に対応するステップについては、省略しても構わない。
　ステップＳ１３０５において、参照ルール記録部１１４の記録だけでなく、バス負荷監視部１１６の監視結果、通信データ解析部１１７の解析結果、状態判定部１１８の判定結果、通信データの重要度といった複数の基準に基づいて、二次記憶部１１２に記憶されているルールを更新している点が、図６のステップＳ６０２と異なる。
　このように、本実施の形態２に係る車載制御装置によれば、現在の車両の状態に合わせて、車両の状態に応じた通信データについて優先的に監視することができ、監視処理の負荷を抑えることができる。
　さらに、バスの負荷状況に合わせて、負荷の高いバスを流れる通信データについて優先的に監視することができ、また異常として検知した通信データにおける異常の原因に合わせて、異常の原因と同様の要素を持つ通信データについて優先的に監視できるため、異常を早く検知することができる。
　さらに、通信データの重要度に合わせて、重要度の高い通信データについて優先的に監視することができるため、異常が発生した場合の車両に対する影響あるいは情報が漏洩した場合の車両あるいはユーザに対する影響を小さくすることができる。
　なお、ゲートウェイ（車載制御装置）１００は、ハードウェアの一例を図１４に示すように、プロセッサ１００１と記憶装置１００２から構成される。記憶装置１００２は、例えば、ランダムアクセスメモリ等の揮発性記憶装置と、フラッシュメモリ等の不揮発性の補助記憶装置とを具備する。また、フラッシュメモリの代わりにハードディスクの補助記憶装置を具備してもよい。プロセッサ１００１は、記憶装置１００２から入力されたプログラムを実行する。この場合、補助記憶装置から揮発性記憶装置を介してプロセッサ１００１にプログラムが入力される。また、プロセッサ１００１は、演算結果等のデータを記憶装置１００２の揮発性記憶装置に出力してもよいし、揮発性記憶装置を介して補助記憶装置にデータを保存してもよい。
　本願は、様々な例示的な実施の形態及び実施例が記載されているが、１つ、または複数の実施の形態に記載された様々な特徴、態様、及び機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。
　従って、例示されていない無数の変形例が、本願明細書に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合、さらには、少なくとも１つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれるものとする。
　１００　ゲートウェイ（車載制御装置）、１０１　車載制御装置、１０２　車載ネットワーク、１１０　通信部、１１１　一次記憶部、１１２　二次記憶部、１１３　監視部、１１４　参照ルール記録部、１１５　ルール更新部、１１６　バス負荷監視部、１１７　通信データ解析部、１１８　状態判定部

Claims (5)

  1. 　複数の制御装置間でデータの通信を行う車載制御装置において、
    通信データを送受信する通信部と、
    前記通信部で送受信する通信データの正常時のルールを記憶する一次記憶部と、
    前記一次記憶部に記憶されているルールの一部を記憶する二次記憶部と、
    前記二次記憶部に記憶されているルールに基づいて、前記通信部で送受信する通信データが正常か否かを監視し、前記二次記憶部に記憶されているルールの中に該当するルールがなかった場合に、前記一次記憶部に記憶されているルールに基づいて、前記通信部で送受信する通信データが正常か否かを監視する監視部と、
    前記監視部で監視して正常だった場合に、前記一次記憶部に記憶されているルールから、監視対象の通信データと一致したルールおよび一致した回数を記録する参照ルール記録部と、
    前記一次記憶部に記憶されているルールと前記参照ルール記録部の記録に基づいて、前記二次記憶部に記憶されているルールを更新するルール更新部と、
    を備えたことを特徴とする車載制御装置。
  2. 　前記一次記憶部に記憶されているルールは、項目としてルールの監視対象となる通信データの重要度を含み、前記ルール更新部は、前記通信データの重要度に基づいて、前記二次記憶部に記憶されているルールを更新することを特徴とする請求項１に記載の車載制御装置。
  3. 　前記一次記憶部に記憶されているルールは、項目としてルールの監視対象となる通信データが流れるバスの情報を含み、前記通信部に接続される全てのバスについて、バスの負荷状況を監視するバス負荷監視部を備え、前記ルール更新部は、前記バス負荷監視部の監視結果に基づいて、前記二次記憶部に記憶されているルールを更新することを特徴とする請求項１または請求項２に記載の車載制御装置。
  4. 　前記監視部で監視した結果、異常として検知された通信データについて、異常の原因を特定する通信データ解析部を備え、前記ルール更新部は、前記通信データ解析部の解析結果に基づいて、前記二次記憶部に記憶されているルールを更新することを特徴とする請求項１から請求項３のいずれか１項に記載の車載制御装置。
  5. 　前記一次記憶部に記憶されているルールは、項目としてルールの監視対象となる通信データを送受信するときの車両の状態を含み、現在の車両の状態を判定する状態判定部を備え、前記ルール更新部は、前記状態判定部の判定結果に基づいて、前記二次記憶部に記憶されているルールを更新することを特徴とする請求項１から請求項４のいずれか１項に記載の車載制御装置。
PCT/JP2021/041268 2021-11-10 2021-11-10 車載制御装置 WO2023084624A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2023558387A JP7408033B2 (ja) 2021-11-10 2021-11-10 車載制御装置
PCT/JP2021/041268 WO2023084624A1 (ja) 2021-11-10 2021-11-10 車載制御装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/041268 WO2023084624A1 (ja) 2021-11-10 2021-11-10 車載制御装置

Publications (1)

Publication Number Publication Date
WO2023084624A1 true WO2023084624A1 (ja) 2023-05-19

Family

ID=86335272

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/041268 WO2023084624A1 (ja) 2021-11-10 2021-11-10 車載制御装置

Country Status (2)

Country Link
JP (1) JP7408033B2 (ja)
WO (1) WO2023084624A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111462353A (zh) * 2020-03-30 2020-07-28 北京经纬恒润科技有限公司 一种基于网关的记录整车信息的方法及系统
CN112660046A (zh) * 2020-12-30 2021-04-16 爱驰汽车有限公司 设备控制方法、装置、计算机设备、存储介质及车辆
JP2021064877A (ja) * 2019-10-15 2021-04-22 ルネサスエレクトロニクス株式会社 ネットワーク処理装置、および、ネットワーク通信フレームの処理方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2021064877A (ja) * 2019-10-15 2021-04-22 ルネサスエレクトロニクス株式会社 ネットワーク処理装置、および、ネットワーク通信フレームの処理方法
CN111462353A (zh) * 2020-03-30 2020-07-28 北京经纬恒润科技有限公司 一种基于网关的记录整车信息的方法及系统
CN112660046A (zh) * 2020-12-30 2021-04-16 爱驰汽车有限公司 设备控制方法、装置、计算机设备、存储介质及车辆

Also Published As

Publication number Publication date
JP7408033B2 (ja) 2024-01-04
JPWO2023084624A1 (ja) 2023-05-19

Similar Documents

Publication Publication Date Title
US11063970B2 (en) Attack detection method, attack detection device and bus system for a motor vehicle
US11934520B2 (en) Detecting data anomalies on a data interface using machine learning
CN109495439B (zh) 用于车内网络入侵检测的系统和方法
US10798114B2 (en) System and method for consistency based anomaly detection in an in-vehicle communication network
CN109495438B (zh) 用于车内网络入侵检测的系统和方法
JP6723955B2 (ja) 情報処理装置及び異常対処方法
WO2019193786A1 (ja) ログ出力方法、ログ出力装置及びプログラム
WO2018135098A1 (ja) 監視装置、監視方法およびコンピュータプログラム
CN111448787B (zh) 用于提供安全的车载网络的系统及方法
JP2018160786A (ja) 監視装置、監視方法およびコンピュータプログラム
WO2020162075A1 (ja) 異常判定方法、異常判定装置およびプログラム
WO2023084624A1 (ja) 車載制御装置
JP2022024266A (ja) ログ分析装置
JP6913869B2 (ja) 監視装置、監視システムおよびコンピュータプログラム
WO2021131824A1 (ja) 決定方法、決定システム及びプログラム
JP7471532B2 (ja) 制御装置
WO2020008872A1 (ja) 車載セキュリティシステムおよび攻撃対処方法
WO2022244200A1 (ja) 制御装置
JP7391242B2 (ja) 制御装置
WO2022158020A1 (ja) 電子制御装置、車載制御システム、及び冗長機能制御方法
WO2020202850A1 (ja) 情報処理装置
US20230267213A1 (en) Mitigation of a manipulation of software of a vehicle
JP2023122636A (ja) 車両のソフトウェアの改竄の軽減
EP4201024B1 (en) Technique for determining a safety-critical state
US20240045970A1 (en) Analysis device

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21963984

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2023558387

Country of ref document: JP