特許 6712938 評価装置、評価システム及び評価方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6712938

(24)【登録日】2020年6月4日

(45)【発行日】2020年6月24日

(54)【発明の名称】評価装置、評価システム及び評価方法

(51)【国際特許分類】

   G06F 21/55 20130101AFI20200615BHJP

   H04L 12/28 20060101ALI20200615BHJP

   B60R 16/023 20060101ALI20200615BHJP

   B60R 16/02 20060101ALI20200615BHJP

   G06F 13/00 20060101ALI20200615BHJP

【ＦＩ】

   G06F21/55

   H04L12/28 200M

   B60R16/023 P

   B60R16/02 660Z

   G06F13/00 351N

【請求項の数】18

【全頁数】29

(21)【出願番号】特願2016-201242(P2016-201242)

(22)【出願日】2016年10月12日

(65)【公開番号】特開2017-112598(P2017-112598A)

(43)【公開日】2017年6月22日

【審査請求日】2019年4月18日

(31)【優先権主張番号】特願2015-243433(P2015-243433)

(32)【優先日】2015年12月14日

(33)【優先権主張国】JP

(73)【特許権者】

【識別番号】514136668

【氏名又は名称】パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ

【氏名又は名称原語表記】Ｐａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ

(74)【代理人】

【識別番号】100109210

【弁理士】

【氏名又は名称】新居 広守

(74)【代理人】

【識別番号】100137235

【弁理士】

【氏名又は名称】寺谷 英作

(74)【代理人】

【識別番号】100131417

【弁理士】

【氏名又は名称】道坂 伸一

(72)【発明者】

【氏名】中野 稔久

(72)【発明者】

【氏名】安齋 潤

(72)【発明者】

【氏名】若林 徹

(72)【発明者】

【氏名】南 公男

【審査官】 吉田 歩

(56)【参考文献】

【文献】 特開２０１５−１１４８３３（ＪＰ，Ａ）

【文献】 岸川 剛 ほか６名，車載ネットワークを保護するセキュリティＥＣＵの提案：ＨＷ／ＳＷ協調による更新可能なＣＡＮの保護手法とその評価，２０１５年 暗号と情報セキュリティシンポジウム概要集，電子情報通信学会，２０１５年 １月２０日，ｐ．１−８，特に「４ セキュリティＥＣＵのコンセプト」の章

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ２１／５５

Ｂ６０Ｒ １６／０２

Ｂ６０Ｒ １６／０２３

Ｇ０６Ｆ １３／００

Ｈ０４Ｌ １２／２８

(57)【特許請求の範囲】

【請求項1】

電子制御システムにおいて複数の電子制御ユニットが通信に用いるバスに接続され、当該電子制御システムのセキュリティに関する評価を行う評価装置であって、
複数のフレームの内容及び送信順序を示す攻撃手順情報を保持する保持部と、
前記攻撃手順情報が示す送信順序で前記複数のフレームを前記バスに送信する送信部と、
前記複数の電子制御ユニットのいずれかにより制御されるアクチュエータ部について監視する監視部と、
前記送信部により前記複数のフレームが前記バスに送信される際における前記監視部の監視結果に基づいて前記評価を行う評価部とを備え、
前記監視部は、前記アクチュエータ部についての前記監視として、前記複数の電子制御ユニットのうちの１つに前記アクチュエータ部を制御させるよう指示するための制御指示フレームが前記バスに送信されたことを検出し、
前記評価部は、前記送信部により前記複数のフレームの１つ以上が前記バスに送信された後の一定期間内に、前記制御指示フレームが前記バス上で送信されたことが前記監視部により検出されたか否かに応じて評価結果が相違するように前記評価を行う
評価装置。

【請求項2】

電子制御システムにおいて複数の電子制御ユニットが通信に用いるバスに接続され、当該電子制御システムのセキュリティに関する評価を行う評価装置であって、
複数のフレームの内容及び送信順序を示す攻撃手順情報を保持する保持部と、
前記攻撃手順情報が示す送信順序で前記複数のフレームを前記バスに送信する送信部と、
前記複数の電子制御ユニットのいずれかにより制御されるアクチュエータ部について監視する監視部と、
前記送信部により前記複数のフレームが前記バスに送信される際における前記監視部の監視結果に基づいて前記評価を行う評価部とを備え、
前記監視部は、前記アクチュエータ部についての前記監視として、前記複数の電子制御ユニットのうちの１つから前記アクチュエータ部に制御信号が入力されたことを検出し、
前記評価部は、前記送信部により前記複数のフレームの１つ以上が前記バスに送信された後の一定期間内に、前記アクチュエータ部に前記制御信号が入力されたことが前記監視部により検出されたか否かに応じて評価結果が相違するように前記評価を行う
評価装置。

【請求項3】

電子制御システムにおいて複数の電子制御ユニットが通信に用いるバスに接続され、当該電子制御システムのセキュリティに関する評価を行う評価装置であって、
複数のフレームの内容及び送信順序を示す攻撃手順情報を保持する保持部と、
前記攻撃手順情報が示す送信順序で前記複数のフレームを前記バスに送信する送信部と、
前記複数の電子制御ユニットのいずれかにより制御されるアクチュエータ部について監視する監視部と、
前記送信部により前記複数のフレームが前記バスに送信される際における前記監視部の監視結果に基づいて前記評価を行う評価部とを備え、
前記監視部は、前記アクチュエータ部についての前記監視として、前記アクチュエータ部の動作を検出し、
前記評価部は、前記送信部により前記複数のフレームの１つ以上が前記バスに送信された後の一定期間内に、前記アクチュエータ部が動作したことが前記監視部により検出されたか否かに応じて評価結果が相違するように前記評価を行う
評価装置。

【請求項4】

前記監視部は、前記アクチュエータ部についての前記監視として、前記複数の電子制御ユニットのうちの１つに前記アクチュエータ部を制御させるよう指示するための制御指示フレームが前記バスに送信されたことを検出し、
前記評価部は、前記送信部により前記複数のフレームの１つ以上が前記バスに送信された後の一定期間内に、前記制御指示フレームが前記バス上で送信されたことが前記監視部により検出されたか否かに応じて評価結果が相違するように前記評価を行う
請求項２又は３に記載の評価装置。

【請求項5】

前記監視部は、前記アクチュエータ部についての前記監視として、前記複数の電子制御ユニットのうちの１つから前記アクチュエータ部に制御信号が入力されたことを検出し、
前記評価部は、前記送信部により前記複数のフレームの１つ以上が前記バスに送信された後の一定期間内に、前記アクチュエータ部に前記制御信号が入力されたことが前記監視部により検出されたか否かに応じて評価結果が相違するように前記評価を行う
請求項１又は３に記載の評価装置。

【請求項6】

前記監視部は、前記アクチュエータ部についての前記監視として、前記アクチュエータ部の動作を検出し、
前記評価部は、前記送信部により前記複数のフレームの１つ以上が前記バスに送信された後の一定期間内に、前記アクチュエータ部が動作したことが前記監視部により検出されたか否かに応じて評価結果が相違するように前記評価を行う
請求項１又は２に記載の評価装置。

【請求項7】

前記アクチュエータ部は、アクチュエータを有し、
前記監視部は、前記アクチュエータ部の動作を、前記アクチュエータの動作で変化する物理量の測定によって検出する
請求項３又は６に記載の評価装置。

【請求項8】

前記アクチュエータ部は、アクチュエータの動作を模擬するプログラムを実行するコンピュータを有し、
前記監視部は、前記アクチュエータ部の動作を、前記コンピュータにおいて前記プログラムに関わる所定データの変化を観測することによって検出する
請求項３又は６に記載の評価装置。

【請求項9】

前記複数の電子制御ユニットは、ＣＡＮ（Controller Area Network）プロトコルに従
って前記バスを介して通信を行う
請求項１〜８のいずれか一項に記載の評価装置。

【請求項10】

前記攻撃手順情報は更に前記複数のフレームについての送信間隔を示し、
前記送信部は、前記攻撃手順情報が示す送信順序及び送信間隔に従って前記複数のフレームを前記バスに送信する
請求項１〜９のいずれか一項に記載の評価装置。

【請求項11】

前記評価部は、評価結果として前記電子制御システムに攻撃耐性があるか否かを示す情報を出力する
請求項１〜１０のいずれか一項に記載の評価装置。

【請求項12】

前記送信部は、前記攻撃手順情報が示す送信順序で前記複数のフレームを前記バスに送信する攻撃パターンを複数回繰り返し、
前記評価部は、前記攻撃パターンの繰り返しによる前記監視結果の変化の有無に応じて評価結果が相違するように前記評価を行う
請求項１〜１１のいずれか一項に記載の評価装置。

【請求項13】

バスを介して通信する複数の電子制御ユニットを備える電子制御システムのセキュリティに関する評価を行う評価システムであって、
複数のフレームの内容及び送信順序を示す攻撃手順情報を保持する保持部と、
前記攻撃手順情報が示す送信順序で前記複数のフレームを前記バスに送信する送信部と、
前記複数の電子制御ユニットのいずれかにより制御されるアクチュエータ部について監視する監視部と、
前記送信部により前記複数のフレームが前記バスに送信される際における前記監視部の監視結果に基づいて前記評価を行う評価部とを備え、
前記監視部は、前記アクチュエータ部についての前記監視として、前記複数の電子制御ユニットのうちの１つに前記アクチュエータ部を制御させるよう指示するための制御指示フレームが前記バスに送信されたことを検出し、
前記評価部は、前記送信部により前記複数のフレームの１つ以上が前記バスに送信された後の一定期間内に、前記制御指示フレームが前記バス上で送信されたことが前記監視部により検出されたか否かに応じて評価結果が相違するように前記評価を行う
評価システム。

【請求項14】

バスを介して通信する複数の電子制御ユニットを備える電子制御システムのセキュリティに関する評価を行う評価システムであって、
複数のフレームの内容及び送信順序を示す攻撃手順情報を保持する保持部と、
前記攻撃手順情報が示す送信順序で前記複数のフレームを前記バスに送信する送信部と、
前記複数の電子制御ユニットのいずれかにより制御されるアクチュエータ部について監視する監視部と、
前記送信部により前記複数のフレームが前記バスに送信される際における前記監視部の監視結果に基づいて前記評価を行う評価部とを備え、
前記監視部は、前記アクチュエータ部についての前記監視として、前記複数の電子制御ユニットのうちの１つから前記アクチュエータ部に制御信号が入力されたことを検出し、
前記評価部は、前記送信部により前記複数のフレームの１つ以上が前記バスに送信された後の一定期間内に、前記アクチュエータ部に前記制御信号が入力されたことが前記監視部により検出されたか否かに応じて評価結果が相違するように前記評価を行う
評価システム。

【請求項15】

バスを介して通信する複数の電子制御ユニットを備える電子制御システムのセキュリティに関する評価を行う評価システムであって、
複数のフレームの内容及び送信順序を示す攻撃手順情報を保持する保持部と、
前記攻撃手順情報が示す送信順序で前記複数のフレームを前記バスに送信する送信部と、
前記複数の電子制御ユニットのいずれかにより制御されるアクチュエータ部について監視する監視部と、
前記送信部により前記複数のフレームが前記バスに送信される際における前記監視部の監視結果に基づいて前記評価を行う評価部とを備え、
前記監視部は、前記アクチュエータ部についての前記監視として、前記アクチュエータ部の動作を検出し、
前記評価部は、前記送信部により前記複数のフレームの１つ以上が前記バスに送信された後の一定期間内に、前記アクチュエータ部が動作したことが前記監視部により検出されたか否かに応じて評価結果が相違するように前記評価を行う
評価システム。

【請求項16】

バスを介して通信する複数の電子制御ユニットを備える電子制御システムのセキュリティに関する評価を行う評価装置において用いられる評価方法であって、
複数のフレームの内容及び送信順序を示す攻撃手順情報を保持し、
前記攻撃手順情報が示す送信順序で前記複数のフレームを前記バスに送信し、
前記複数のフレームが前記バスに送信される際に、前記複数の電子制御ユニットのいずれかにより制御されるアクチュエータ部について監視し、
前記監視による監視結果に基づいて前記評価を行い、
前記監視は、前記アクチュエータ部についての前記監視として、前記複数の電子制御ユニットのうちの１つに前記アクチュエータ部を制御させるよう指示するための制御指示フレームが前記バスに送信されたことを検出し、
前記評価は、前記送信により前記複数のフレームの１つ以上が前記バスに送信された後の一定期間内に、前記制御指示フレームが前記バス上で送信されたことが前記監視により検出されたか否かに応じて評価結果が相違するように前記評価を行う
評価方法。

【請求項17】

バスを介して通信する複数の電子制御ユニットを備える電子制御システムのセキュリティに関する評価を行う評価装置において用いられる評価方法であって、
複数のフレームの内容及び送信順序を示す攻撃手順情報を保持し、
前記攻撃手順情報が示す送信順序で前記複数のフレームを前記バスに送信し、
前記複数のフレームが前記バスに送信される際に、前記複数の電子制御ユニットのいずれかにより制御されるアクチュエータ部について監視し、
前記監視による監視結果に基づいて前記評価を行い、
前記監視は、前記アクチュエータ部についての前記監視として、前記複数の電子制御ユニットのうちの１つから前記アクチュエータ部に制御信号が入力されたことを検出し、
前記評価は、前記送信により前記複数のフレームの１つ以上が前記バスに送信された後の一定期間内に、前記アクチュエータ部に前記制御信号が入力されたことが前記監視により検出されたか否かに応じて評価結果が相違するように前記評価を行う
評価方法。

【請求項18】

バスを介して通信する複数の電子制御ユニットを備える電子制御システムのセキュリティに関する評価を行う評価装置において用いられる評価方法であって、
複数のフレームの内容及び送信順序を示す攻撃手順情報を保持し、
前記攻撃手順情報が示す送信順序で前記複数のフレームを前記バスに送信し、
前記複数のフレームが前記バスに送信される際に、前記複数の電子制御ユニットのいずれかにより制御されるアクチュエータ部について監視し、
前記監視による監視結果に基づいて前記評価を行い、
前記監視は、前記アクチュエータ部についての前記監視として、前記アクチュエータ部の動作を検出し、
前記評価は、前記送信により前記複数のフレームの１つ以上が前記バスに送信された後の一定期間内に、前記アクチュエータ部が動作したことが前記監視により検出されたか否かに応じて評価結果が相違するように前記評価を行う
評価方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、車載ネットワークシステム等の電子制御ユニットが通信を行う電子制御システムのセキュリティ（攻撃耐性等）に関する評価を行う技術に関する。

【背景技術】

【0002】

近年、自動車には多数の電子制御ユニット（ＥＣＵ：Electronic Control Unit）が配置され、ＥＣＵをつなぐ車載ネットワークには、例えばＩＳＯ１１８９８−１で規定されているＣＡＮ（Controller Area Network）規格等が用いられる。車載ネットワークに対する攻撃としては、攻撃者が車内の情報端末に無線通信でアクセスし、情報端末のプログラムを不正に書き換えてその情報端末から車載ネットワークに対して任意のＣＡＮメッセージを送信し、車載ＥＣＵにつながるアクチュエータを運転者の意図に反して制御するような攻撃が知られている。自動車の運転自動化等に向けて、車載ＥＣＵ自体がＶ２Ｘ（車車間通信（Ｖ２Ｖ：Vehicle to Vehicle）及び路車間通信（Ｖ２Ｉ：Vehicle to Infrastructure））等の無線通信の機能を搭載する状況になれば、情報端末と同様に、Ｖ２Ｘに対応するＥＣＵのプログラムが不正に書き換えられ、攻撃に利用され得る。攻撃対策の評価手法については、現状ではまだ研究が少ないが、例えば、非特許文献１には、単体の車載ＥＣＵにデータを送信してその応答に注目することで不具合（プログラミング間違いによるバグの混入等）を見つけるファジング手法が開示されている。

【先行技術文献】

【非特許文献】

【0003】

【非特許文献1】松本勉、小林優希、土屋遊、吉田直樹、森田伸義、萱島信、「車載ＥＣＵに対するＣＡＮ経由のファジング手法」、ＳＣＩＳ２０１５、２０１５年１月２０日

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、非特許文献１の手法は、単体の車載ＥＣＵの不具合を見つけることはできても、車載ネットワークを形成する複数のＥＣＵで構成されるシステム（電子制御システム）を評価対象としてセキュリティ（評価対象に施されたセキュリティ対策技術が攻撃を適切に防御できるか否かという攻撃耐性等）に関する評価を行えるものではない。

【0005】

そこで、本発明は、複数のＥＣＵから構成される電子制御システムを評価対象としてセキュリティに関する評価を行い得る評価装置を提供する。また、本発明は、複数のＥＣＵから構成される電子制御システムのセキュリティに関する評価を行い得る評価システム及びその評価のための評価方法を提供する。

【課題を解決するための手段】

【0006】

上記課題を解決するために本発明の一態様に係る評価装置は、電子制御システムにおいて複数の電子制御ユニットが通信に用いるバスに接続され、当該電子制御システムのセキュリティに関する評価を行う評価装置であって、複数のフレームの内容及び送信順序を示す攻撃手順情報を保持する保持部と、前記攻撃手順情報が示す送信順序で前記複数のフレームを前記バスに送信する送信部と、前記複数の電子制御ユニットのいずれかにより制御されるアクチュエータ部について監視する監視部と、前記送信部により前記複数のフレームが前記バスに送信される際における前記監視部の監視結果に基づいて前記評価を行う評価部とを備える評価装置である。

【0007】

また、上記課題を解決するために本発明の一態様に係る評価システムは、バスを介して通信する複数の電子制御ユニットを備える電子制御システムのセキュリティに関する評価を行う評価システムであって、複数のフレームの内容及び送信順序を示す攻撃手順情報を保持する保持部と、前記攻撃手順情報が示す送信順序で前記複数のフレームを前記バスに送信する送信部と、前記複数の電子制御ユニットのいずれかにより制御されるアクチュエータ部について監視する監視部と、前記送信部により前記複数のフレームが前記バスに送信される際における前記監視部の監視結果に基づいて前記評価を行う評価部とを備える評価システムである。

【0008】

また、上記課題を解決するために本発明の一態様に係る評価方法は、バスを介して通信する複数の電子制御ユニットを備える電子制御システムのセキュリティに関する評価を行う評価方法であって、複数のフレームの内容及び送信順序を示す攻撃手順情報を保持し、前記攻撃手順情報が示す送信順序で前記複数のフレームを前記バスに送信し、前記複数のフレームが前記バスに送信される際に、前記複数の電子制御ユニットのいずれかにより制御されるアクチュエータ部について監視し、前記監視による監視結果に基づいて前記評価を行う評価方法である。

【発明の効果】

【0009】

本発明によれば、複数のＥＣＵから構成される電子制御システムの攻撃耐性（電子制御システムに施されたセキュリティ対策技術が攻撃を適切に防御できるか否か等）について評価することが可能となる。

【図面の簡単な説明】

【0010】

【図1】実施の形態１に係る評価システムの概略構成を示す構成図である。

【図2】評価システムにおける評価装置の構成図である。

【図3】評価対象の電子制御システムにおけるアクチュエータＥＣＵの構成図である。

【図4】評価対象の電子制御システムにおける指示ＥＣＵの構成図である。

【図5】評価対象の電子制御システムにおけるセキュリティＥＣＵの構成図である。

【図6】評価対象の電子制御システムにおけるシフト位置ＥＣＵの構成図である。

【図7】評価装置の保持部が保持する攻撃手順情報の一例を示す図である。

【図8】評価システムの動作例１を示すシーケンス図である（図９に続く）。

【図9】評価システムの動作例１を示すシーケンス図である（図１０に続く）。

【図10】評価システムの動作例１を示すシーケンス図である（図９から続く）。

【図11】評価システムの動作例２を示すシーケンス図である（図１２に続く）。

【図12】評価システムの動作例２を示すシーケンス図である（図１１から続く）。

【図13】評価システムの動作例３を示すシーケンス図である（図１４に続く）。

【図14】評価システムの動作例３を示すシーケンス図である（図１５に続く）。

【図15】評価システムの動作例３を示すシーケンス図である（図１４から続く）。

【図16】評価システムの動作例４を示すシーケンス図である（図１７に続く）。

【図17】評価システムの動作例４を示すシーケンス図である（図１６から続く）。

【発明を実施するための形態】

【0011】

本発明の一態様に係る評価装置は、電子制御システムにおいて複数の電子制御ユニットが通信に用いるバスに接続され、当該電子制御システムのセキュリティに関する評価を行う評価装置であって、複数のフレームの内容及び送信順序を示す攻撃手順情報を保持する保持部と、前記攻撃手順情報が示す送信順序で前記複数のフレームを前記バスに送信する送信部と、前記複数の電子制御ユニットのいずれかにより制御されるアクチュエータ部について監視する監視部と、前記送信部により前記複数のフレームが前記バスに送信される際における前記監視部の監視結果に基づいて前記評価を行う評価部とを備える評価装置である。監視部は、送信部により複数のフレーム（例えばＣＡＮメッセージ）がバスに送信される際に（例えば、送信直後に、或いは、送信直前から送信直後に亘り）、アクチュエータ部について直接又は間接的に監視し得る。これにより、複数の電子制御ユニット（ＥＣＵ）から構成される電子制御システムを評価対象として、アクチュエータ部の駆動に係る攻撃への防御機能等といったセキュリティ機能の評価を行い得る。

【0012】

また、例えば、前記複数の電子制御ユニットは、ＣＡＮ（Controller Area Network）プロトコルに従って前記バスを介して通信を行うこととしても良い。これにより、ＥＣＵ間でフレームの授受を行うためのＣＡＮに従うネットワークにおける攻撃耐性等の評価が可能となり得る。

【0013】

また、例えば、前記監視部は、前記アクチュエータ部についての前記監視として、前記複数の電子制御ユニットのうちの１つに前記アクチュエータ部を制御させるよう指示するための制御指示フレームが前記バスに送信されたことを検出し、前記評価部は、前記送信部により前記複数のフレームの１つ以上が前記バスに送信された後の一定期間内に、前記制御指示フレームが前記バス上で送信されたことが前記監視部により検出されたか否かに応じて評価結果が相違するように前記評価を行うこととしても良い。制御指示フレームは例えば電子制御システムで規定されたフレームのＩＤにより識別可能である。これにより、アクチュエータ部を制御するためのフレームがバスで授受される場合においてバスの監視により適切に電子制御システムを評価し得る。

【0014】

また、例えば、前記監視部は、前記アクチュエータ部についての前記監視として、前記複数の電子制御ユニットのうちの１つから前記アクチュエータ部に制御信号が入力されたことを検出し、前記評価部は、前記送信部により前記複数のフレームの１つ以上が前記バスに送信された後の一定期間内に、前記アクチュエータ部に前記制御信号が入力されたことが前記監視部により検出されたか否かに応じて評価結果が相違するように前記評価を行うこととしても良い。アクチュエータ部を制御するための制御信号は電子制御システムで規定されている。これにより、攻撃によってアクチュエータ部への制御信号が伝達されたか否かが確認できるので適切な評価が可能となり得る。

【0015】

また、例えば、前記監視部は、前記アクチュエータ部についての前記監視として、前記アクチュエータ部の動作を検出し、前記評価部は、前記送信部により前記複数のフレームの１つ以上が前記バスに送信された後の一定期間内に、前記アクチュエータ部が動作したことが前記監視部により検出されたか否かに応じて評価結果が相違するように前記評価を行うこととしても良い。これにより、攻撃によってアクチュエータ部が動作したか否かが確認できるので適切な評価が可能となり得る。

【0016】

また、例えば、前記アクチュエータ部は、アクチュエータを有し、前記監視部は、前記アクチュエータ部の動作を、前記アクチュエータの動作で変化する物理量の測定によって検出することとしても良い。これにより、攻撃によって実際にアクチュエータが動作したか否かが確認できるので適切な評価が可能となり得る。

【0017】

また、例えば、前記アクチュエータ部は、アクチュエータの動作を模擬するプログラムを実行するコンピュータを有し、前記監視部は、前記アクチュエータ部の動作を、前記コンピュータにおいて前記プログラムに関わる所定データの変化を観測することによって検出することとしても良い。これにより、実際のアクチュエータを代替する模擬アクチュエータを用いる場合において攻撃耐性等の評価が可能となり得る。

【0018】

また、例えば、前記攻撃手順情報は更に前記複数のフレームについての送信間隔を示し、前記送信部は、前記攻撃手順情報が示す送信順序及び送信間隔に従って前記複数のフレームを前記バスに送信することとしても良い。これにより、複数のフレームの送信順序と送信間隔とで定まる攻撃方法に対する防御機能等の評価が可能となり得る。

【0019】

また、例えば、前記評価部は、評価結果として前記電子制御システムに攻撃耐性があるか否かを示す情報を出力することとしても良い。これにより、評価装置の利用者等は、電子制御システムに攻撃耐性があるか否かを知り得る。

【0020】

また、例えば、前記送信部は、前記攻撃手順情報が示す送信順序で前記複数のフレームを前記バスに送信する攻撃パターンを複数回繰り返し、前記評価部は、前記攻撃パターンの繰り返しによる前記監視結果の変化の有無に応じて評価結果が相違するように前記評価を行うこととしても良い。これにより、攻撃パターンの繰り返しに対する電子制御システムの攻撃耐性等についての評価が可能となり得る。

【0021】

また、本発明の一態様に係る評価システムは、バスを介して通信する複数の電子制御ユニットを備える電子制御システムのセキュリティに関する評価を行う評価システムであって、複数のフレームの内容及び送信順序を示す攻撃手順情報を保持する保持部と、前記攻撃手順情報が示す送信順序で前記複数のフレームを前記バスに送信する送信部と、前記複数の電子制御ユニットのいずれかにより制御されるアクチュエータ部について監視する監視部と、前記送信部により前記複数のフレームが前記バスに送信される際における前記監視部の監視結果に基づいて前記評価を行う評価部とを備える評価システムである。これにより、複数のＥＣＵから構成される電子制御システムにおけるアクチュエータ部の駆動に係る攻撃への防御機能等といったセキュリティ機能の評価を行い得る。

【0022】

また、本発明の一態様に係る評価方法は、バスを介して通信する複数の電子制御ユニットを備える電子制御システムのセキュリティに関する評価を行う評価方法であって、複数のフレームの内容及び送信順序を示す攻撃手順情報を保持し、前記攻撃手順情報が示す送信順序で前記複数のフレームを前記バスに送信し、前記複数のフレームが前記バスに送信される際に、前記複数の電子制御ユニットのいずれかにより制御されるアクチュエータ部について監視し、前記監視による監視結果に基づいて前記評価を行う評価方法である。これにより、複数のＥＣＵから構成される電子制御システムを評価対象として、アクチュエータ部の駆動に係る攻撃への防御機能等といったセキュリティ機能の評価を行い得る。

【0023】

また、例えば、前記複数の電子制御ユニットは、ＣＡＮ（Controller Area Network）プロトコルに従って前記バスを介して通信を行い、前記評価方法は、前記複数のフレームの１つ以上が前記バスに送信された後の一定期間内に、前記複数の電子制御ユニットのうちの１つに前記アクチュエータ部を制御させるよう指示するための制御指示フレームが前記バスに送信されたことを検出したか否かに応じて、評価結果が相違するように前記評価を行うこととしても良い。これにより、ＣＡＮに従う車載ネットワークシステム等の電子制御システムについて攻撃耐性等の評価が可能となり得る。

【0024】

なお、これらの全般的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ−ＲＯＭ等の記録媒体で実現されても良く、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されても良い。

【0025】

以下、実施の形態に係る評価システムについて、図面を参照しながら説明する。ここで示す実施の形態は、いずれも本発明の一具体例を示すものである。従って、以下の実施の形態で示される数値、構成要素、構成要素の配置及び接続形態、並びに、ステップ（工程）及びステップの順序等は、一例であって本発明を限定するものではない。以下の実施の形態における構成要素のうち、独立請求項に記載されていない構成要素については、任意に付加可能な構成要素である。また、各図は、模式図であり、必ずしも厳密に図示されたものではない。

【0026】

（実施の形態１）
以下、自動車（車両）に搭載され、バスを介して通信する複数の電子制御ユニット（ＥＣＵ）を含んで構成される車載ネットワークシステム（電子制御システム）のセキュリティに関する評価を行う評価装置及び評価方法、並びに、電子制御システムと評価装置とを含む評価システムについて説明する。

【0027】

［１．１ 評価システム１０の構成］
図１は、評価システム１０の概略構成を示す構成図である。評価システム１０は、同図に示すように、評価装置１０１と、電子制御システム１１とを含んで構成される。評価システム１０は、電子制御システム１１を評価対象として、電子制御システム１１の攻撃耐性（攻撃に対して防御を行うセキュリティ対策技術が適切に作用しているか否か等）について評価を行う。

【0028】

電子制御システム１１は、車載ネットワークシステムであり、車両内の制御装置、センサ、アクチュエータ（例えば電子制御可能にされたステアリング、アクセル、ブレーキ等）、ユーザインタフェース装置等の各種機器に接続されて、車内のバス（ＣＡＮバス）を介してフレームの送受信を行う複数の電子制御ユニット（ＥＣＵ）を含んで構成される車載ネットワークを備える。電子制御システム１１では、各ＥＣＵがフレームを授受して連携することで、例えば、先進運転者支援システム（ＡＤＡＳ：Advanced Driver Assistance System）の一機能である駐車支援機能、車線維持支援機能、衝突回避支援機能等の機能を実現する。

【0029】

車内には多数のセンサ、アクチュエータ、ＥＣＵ等が含まれ得るが、ここでは説明の便宜上、一例として、電子制御システム１１は、図１に示すように、アクチュエータＥＣＵ１０２、指示ＥＣＵ１０３、セキュリティＥＣＵ１０４、シフト位置ＥＣＵ１０５、車速ＥＣＵ１０６、及び、アクチュエータ１０７を備えるものとして説明する。ここでは、アクチュエータ１０７は、ステアリング、アクセル、ブレーキ等を代表して表したものであり、アクチュエータＥＣＵ１０２も、ステアリング、アクセル、ブレーキ等の１つ又は複数を制御するＥＣＵを代表して表したものである。なお、各ＥＣＵは、ＣＡＮバス２０を通信路としてＣＡＮ規格（プロトコル）に従って通信を行う。ＣＡＮにおいてデータの伝送に用いられるフレームであるデータフレーム（ＣＡＮメッセージとも称する）は、ＩＤ（メッセージＩＤ）を格納するＩＤフィールド、データを格納するデータフィールド等を含むように規定されている。

【0030】

アクチュエータＥＣＵ１０２は、アクチュエータ１０７（例えば、ステアリング、アクセル、ブレーキ等）と信号線で接続されると共に、ＣＡＮバス２０とも接続され、ＣＡＮバス２０を介して受信したＣＡＮメッセージに基づいてアクチュエータ１０７を制御する。

【0031】

指示ＥＣＵ１０３は、ＣＡＮバス２０に接続され、車両の状態等を示すＣＡＮメッセージを取得し、一定条件下でアクチュエータ１０７を制御させるための指示（例えばステアリング操作指示）を、ＣＡＮメッセージとしてアクチュエータＥＣＵ１０２へ送信する。

【0032】

セキュリティＥＣＵ１０４は、ＣＡＮバス２０を常時監視（モニタリング）し、例えば不正なＣＡＮメッセージ（攻撃用のＣＡＮメッセージ）が流れていることを検知した場合に、そのＣＡＮメッセージを無効化する等の対処を行う。ＣＡＮメッセージの無効化の方法としては、任意の方法を用いることができるが、例えば不正なＣＡＮメッセージに重畳させるように、ＣＡＮプロトコルで規定されたエラーフレームを送信することで無効化し得る。

【0033】

シフト位置ＥＣＵ１０５及び車速ＥＣＵ１０６は、これらを搭載する車両の状態を取得し、ＣＡＮメッセージとしてＣＡＮバス２０に送信する。シフト位置ＥＣＵ１０５は、車両のシフトレバーのシフト位置に対応する変速ギアの状態（パーキング：Ｐ、リバース：Ｒ、ドライブ：Ｄ等）を示すＣＡＮメッセージを送信し、車速ＥＣＵ１０６は、車速（車両の速度）を示すＣＡＮメッセージを送信する。

【0034】

評価装置１０１は、電子制御システム１１（評価対象）に対して施されたセキュリティ対策技術の攻撃耐性を評価する装置である。評価装置１０１は、保持する攻撃手順情報１０８に基づいて、評価対象に対して攻撃（ハッキング）を仕掛け、攻撃への反応を観測するための監視（モニタリング）を行い、監視結果に応じた評価を行う。評価装置１０１による評価の一例としては、例えば、その攻撃に対する耐性の有無（攻撃或いは防御の成否）の判定が挙げられる。評価装置１０１は、監視として具体的には、ＣＡＮバス２０を流れるフレーム（メッセージ）の監視、アクチュエータ１０７への入力信号（つまりアクチュエータＥＣＵ１０２の出力信号）の監視、及び、アクチュエータ１０７の挙動（動作）そのものの監視を行う。攻撃手順情報１０８は、攻撃を仕掛ける際の手順（送信すべきＣＡＮメッセージの種類、順序、タイミング、頻度等）を示す。

【0035】

以下、評価システム１０の各構成要素について詳細に説明する。

【0036】

［１．２ 評価装置１０１の構成］
図２は、評価システム１０における評価装置１０１の構成図である。

【0037】

評価装置１０１は、図２に示すように、監視部２００（ＣＡＮバス監視部２０３、信号監視部２０４及びアクチュエータ監視部２０５）と、送受信部２０１（送信部２０１ａ及び受信部２０１ｂ）と、保持部２０２と、評価部２０６と、制御部２０７とを含んで構成される。

【0038】

評価装置１０１は、例えば、プロセッサ（マイクロプロセッサ）、メモリ等のデジタル回路、アナログ回路、通信回路、ハードディスク等を含む装置である。メモリは、ＲＯＭ、ＲＡＭ等であり、プロセッサにより実行される制御プログラム（ソフトウェアとしてのコンピュータプログラム）を記憶することができる。例えばプロセッサが、制御プログラム（コンピュータプログラム）に従って動作（各種回路の制御等）することにより、評価装置１０１は各種機能を実現することになる。なお、コンピュータプログラムは、所定の機能を達成するために、プロセッサに対する指令を示す命令コードが複数個組み合わされて構成されたものである。

【0039】

（１）送受信部２０１
送受信部２０１は、通信回路等により実現される。送受信部２０１は、送信部２０１ａ及び受信部２０１ｂで構成される。送信部２０１ａは、ＣＡＮバス２０に対してＣＡＮメッセージ（例えば、シフト位置、車速、或いは、ステアリング操作指示を示すデータフレーム等）を送信する。受信部２０１ｂは、ＣＡＮバス２０を流れるＣＡＮメッセージ（例えば指示ＥＣＵ１０３が送信するステアリング操作指示を示すデータフレーム等）を受信する。

【0040】

（２）保持部２０２
保持部２０２は、メモリ、ハードディスク等の記憶媒体で実現され、評価装置１０１が評価対象の攻撃耐性等を評価するために仕掛ける攻撃の手順を示す攻撃手順情報１０８を記憶している。攻撃手順情報１０８は攻撃用の複数のフレーム（ＣＡＮメッセージ）の送信順序等を示す。攻撃手順情報１０８の詳細については後に図７を用いて説明する。

【0041】

（３）ＣＡＮバス監視部２０３
ＣＡＮバス監視部２０３は、例えばプログラムを実行するプロセッサ等により実現され、評価対象の電子制御システム１１で複数のＥＣＵが接続されているＣＡＮバス２０を監視する。ＣＡＮバス監視部２０３は、具体的には受信部２０１ｂを介してＣＡＮメッセージを受信して、ＣＡＮメッセージに含まれるデータの中身（ペイロード）を確認する。例えば、ＣＡＮバス監視部２０３は、アクチュエータ１０７についての監視として、ＣＡＮバス２０に接続された指示ＥＣＵ１０３にアクチュエータ１０７を制御させるよう指示するための制御指示フレームがＣＡＮバス２０に送信されたことを検出する。そしてＣＡＮバス監視部２０３は、例えば指示ＥＣＵ１０３が送信する制御指示フレーム（ステアリング操作指示に関するデータフレーム）のデータフィールドの内容（駐車支援機能の有効／無効フラグ、ステアリング操舵角の指定等）を確認する。

【0042】

（４）信号監視部２０４
信号監視部２０４は、アクチュエータＥＣＵ１０２がアクチュエータ１０７に対して信号線により送信した信号（アクチュエータ１０７への入力信号）を観測し、信号内容を確認する。信号監視部２０４は、例えば、アクチュエータＥＣＵ１０２かアクチュエータ１０７かその間の信号線かに接続する通信回路、プログラムを実行するプロセッサ等により実現される。

【0043】

（５）アクチュエータ監視部２０５
アクチュエータ監視部２０５は、アクチュエータ１０７を観測し、アクチュエータ１０７の挙動（動作）を確認する。アクチュエータ１０７の動作の確認は、アクチュエータ１０７がステアリングであれば回転量、アクセル或いはブレーキであれば変位量等の状態、変化の有無等の確認である。アクチュエータ監視部２０５は、例えば、アクチュエータ１０７が生じる物理現象（アクチュエータ１０７の動作で変化する物理量）を直接的又は間接的に測定するセンサ、プログラムを実行するプロセッサ等で実現される。

【0044】

（６）評価部２０６
評価部２０６は、プログラムを実行するプロセッサ等により実現される。評価部２０６は、監視部２００（ＣＡＮバス監視部２０３、信号監視部２０４及びアクチュエータ監視部２０５）での監視による確認結果に基づいて、電子制御システム１１のセキュリティに関する評価を行う。具体的には、評価部２０６は、監視部２００による確認結果の全部又は一部と、攻撃手順情報１０８に基づいてＣＡＮメッセージを送信するときの期待値とを比較し、攻撃が成功しているか否か（例えば攻撃に対する防御機能が適切に作動したか否か）等を判定する。期待値は、攻撃結果として期待されるアクチュエータの挙動、攻撃結果として期待される、アクチュエータ１０７へ入力される制御信号、攻撃結果として指示ＥＣＵ１０３が送信すると期待されるＣＡＮメッセージ（例えば制御指示フレーム）等であり、予め規定され得る。評価部２０６は、送信部２０１ａにより攻撃手順情報１０８に基づく攻撃用のＣＡＮメッセージがＣＡＮバス２０に送信される際（例えば送信直後の一定期間、或いは送信直前から送信直後まで等）における監視部２００の監視結果に基づいて評価を行う。評価部２０６は、例えば、送信部２０１ａにより攻撃手順情報１０８に示される攻撃用の複数のフレーム（ＣＡＮメッセージ）の１つ以上がＣＡＮバス２０に送信された後の一定期間内に、制御指示フレームがＣＡＮバス２０上で送信されたことがＣＡＮバス監視部２０３により検出されたか否かを判定し、制御指示フレームが検出されたか否かに応じて評価結果が相違するように評価を行い得る。また評価部２０６は、例えば、攻撃用のＣＡＮメッセージの１つ以上がＣＡＮバス２０に送信された後の一定期間内に、アクチュエータ１０７に、制御のための制御信号が入力されたことが信号監視部２０４により検出されたか否かに応じて評価結果が相違するように評価を行い得る。また、評価部２０６は、例えば、攻撃用のＣＡＮメッセージの１つ以上がＣＡＮバス２０に送信された後の一定期間内に、アクチュエータ１０７が動作したことがアクチュエータ監視部２０５により検出されたか否かに応じて評価結果が相違するように評価を行い得る。

【0045】

（７）制御部２０７
制御部２０７は、プログラムを実行するプロセッサ等により実現され、監視部２００、送受信部２０１、保持部２０２、及び、評価部２０６を管理、制御して評価装置１０１の機能を実現する。

【0046】

［１．３ アクチュエータＥＣＵ１０２の構成］
図３は、アクチュエータＥＣＵ１０２の構成図である。

【0047】

アクチュエータＥＣＵ１０２は、図３に示すように、送受信部３０１と、指示送信部３０２と、状態取得部３０３と、判定部３０４と、制御部３０５とを含んで構成される。

【0048】

アクチュエータＥＣＵ１０２は、ＣＡＮバス２０に接続されたＥＣＵである。ＥＣＵは、例えば、プロセッサ、メモリ等のデジタル回路、アナログ回路、通信回路等を含む装置である。メモリは、ＲＯＭ、ＲＡＭ等であり、プロセッサにより実行される制御プログラムを記憶することができる。例えばプロセッサが、制御プログラム（コンピュータプログラム）に従って動作（各種回路の制御等）することにより、アクチュエータＥＣＵ１０２は機能を果たす。

【0049】

（１）送受信部３０１
送受信部３０１は、ＣＡＮバス２０に対してＣＡＮメッセージを送信し、ＣＡＮバス２０を流れるＣＡＮメッセージを受信する。送受信部３０１は、例えば、シフト位置、車速、或いは、ステアリング操作指示を示すＣＡＮメッセージを受信する。

【0050】

（２）指示送信部３０２
指示送信部３０２は、送受信部３０１を介して受信したＣＡＮメッセージに基づき、アクチュエータ１０７に対して信号線で制御信号を送信する。制御信号は、例えば、ステアリングに対しては、回転角度等を示して回転等を指示する信号（ステアリング動作指示）であり、アクセル或いはブレーキに対しては、変位量（例えば踏み込み量）等を示して作動等を指示する信号である。

【0051】

（３）状態取得部３０３
状態取得部３０３は、アクチュエータ１０７と接続する信号線を介してアクチュエータ１０７の状態を取得する。状態取得部３０３が取得する状態は、例えば、アクチュエータ１０７がステアリングであれば回転角度、アクセル或いはブレーキであれば変位量（例えば踏み込み量）等である。

【0052】

（４）判定部３０４
判定部３０４は、送受信部３０１を介して受信したＣＡＮメッセージに基づき、アクチュエータ１０７へ制御信号を送信するか否かを判定する。例えば、アクチュエータ１０７としてのステアリングへ指示する制御信号を出す場合には、判定部３０４は、送受信部３０１を介して受信したシフト位置、車速、ステアリング操作指示等の情報に基づいて、制御信号を出すか否かを判定し、制御信号で指定する制御量（回転角度等）を決定する。

【0053】

（５）制御部３０５
制御部３０５は、送受信部３０１、指示送信部３０２、状態取得部３０３、及び、判定部３０４を管理、制御してアクチュエータＥＣＵ１０２の機能を実現する。

【0054】

［１．４ 指示ＥＣＵ１０３の構成］
図４は、指示ＥＣＵ１０３の構成図である。

【0055】

指示ＥＣＵ１０３は、図４に示すように、送受信部４０１と、判定部４０２と、算出部４０３と、制御部４０４とを含んで構成される。

【0056】

指示ＥＣＵ１０３は、ＣＡＮバス２０に接続されたＥＣＵである。指示ＥＣＵ１０３のプロセッサが、メモリに記憶された制御プログラム（コンピュータプログラム）に従って動作することにより、指示ＥＣＵ１０３は機能を果たす。

【0057】

（１）送受信部４０１
送受信部４０１は、ＣＡＮバス２０に対してＣＡＮメッセージを送信し、ＣＡＮバス２０を流れるＣＡＮメッセージを受信する。送受信部４０１は、例えば、ステアリング操作指示を示すＣＡＮメッセージを送信し、シフト位置或いは車速を示すＣＡＮメッセージを受信する。

【0058】

（２）判定部４０２
判定部４０２は、送受信部４０１を介して受信したＣＡＮメッセージに基づき、アクチュエータＥＣＵ１０２へ制御指示（例えばステアリング操作指示を示す制御指示フレームであるＣＡＮメッセージ）を出すか否かを判定する。例えば、ステアリングを制御させるためにアクチュエータＥＣＵ１０２へ制御指示を出す場合、送受信部４０１を介して受信したＣＡＮメッセージが示すシフト位置、車速、或いは、駐車支援機能の開始に関する情報等から、制御指示を出すか否かを判定する。ここでは、電子制御システム１１において駐車支援機能の開始に関する情報を示すＣＡＮメッセージは、例えば、ＣＡＮバス２０に接続された、ユーザインタフェースを備えるＥＣＵ（不図示）から送信されること等を想定している。そのＥＣＵは例えば車両の運転者の操作に応じて駐車支援機能の開始に関する情報を示すＣＡＮメッセージを送信し得る。

【0059】

（３）算出部４０３
算出部４０３は、送受信部４０１を介して受信したＣＡＮメッセージに基づき、制御指示で指示すべき制御量（例えばステアリングの回転角度等）を算出する。

【0060】

（４）制御部４０４
制御部４０４は、送受信部４０１、判定部４０２、及び、算出部４０３を管理、制御して指示ＥＣＵ１０３の機能を実現する。

【0061】

［１．５ セキュリティＥＣＵ１０４の構成］
図５は、セキュリティＥＣＵ１０４の構成図である。

【0062】

セキュリティＥＣＵ１０４は、図５に示すように、送受信部５０１と、ＣＡＮバス監視部５０２と、制御部５０３とを含んで構成される。

【0063】

セキュリティＥＣＵ１０４は、ＣＡＮバス２０に接続され、攻撃に対処するセキュリティ機能（防御機能等）を備えたＥＣＵである。セキュリティＥＣＵ１０４のプロセッサが、メモリに記憶された制御プログラム（コンピュータプログラム）に従って動作することにより、セキュリティＥＣＵ１０４は機能を果たす。

【0064】

（１）送受信部５０１
送受信部５０１は、ＣＡＮバス２０を流れるＣＡＮメッセージを受信し、ＣＡＮバス監視部５０２の指示を受けてＣＡＮバス２０に、不正なＣＡＮメッセージを無効化するためにエラーフレームを送信する。送受信部５０１は、例えば、シフト位置、車速、或いは、ステアリング操作指示を示すＣＡＮメッセージを受信する。

【0065】

（２）ＣＡＮバス監視部５０２
ＣＡＮバス監視部５０２は、複数のＥＣＵが接続されているＣＡＮバス２０から送受信部５０１を介して受信したＣＡＮメッセージに含まれるデータの中身（ペイロード）を確認する。ＣＡＮバス監視部５０２は、不正なＣＡＮメッセージ（つまり電子制御システム１１において予め定められたルールに準拠していないＣＡＮメッセージ）が流れていることを確認した場合に、送受信部５０１を介してエラーフレームを送信する。

【0066】

（３）制御部５０３
制御部５０３は、送受信部５０１及びＣＡＮバス監視部５０２を管理、制御してセキュリティＥＣＵ１０４の機能を実現する。

【0067】

［１．６ シフト位置ＥＣＵ１０５、車速ＥＣＵ１０６の構成］
図６は、シフト位置ＥＣＵ１０５の構成図である。

【0068】

シフト位置ＥＣＵ１０５は、図６に示すように、送受信部６０１と、状態取得部６０２と、制御部６０３とを含んで構成される。車速ＥＣＵ１０６も、シフト位置ＥＣＵ１０５と同様の構成を備える。

【0069】

シフト位置ＥＣＵ１０５及び車速ＥＣＵ１０６のそれぞれは、ＣＡＮバス２０に接続されたＥＣＵである。それぞれのＥＣＵのプロセッサが、メモリに記憶された制御プログラム（コンピュータプログラム）に従って動作することにより、それぞれのＥＣＵは機能を果たす。

【0070】

（１）送受信部６０１
送受信部６０１は、ＣＡＮバス２０に対してＣＡＮメッセージを送信し、ＣＡＮバス２０を流れるＣＡＮメッセージを受信する。

【0071】

（２）状態取得部６０２
状態取得部６０２は、センサ等から車両の状態を取得し、送受信部６０１を介してその取得した状態を示すＣＡＮメッセージを送信する。シフト位置ＥＣＵ１０５における状態取得部６０２は、シフト位置を取得し、車速ＥＣＵ１０６における状態取得部６０２は、車速を取得する。

【0072】

（３）制御部６０３
制御部６０３は、送受信部６０１及び状態取得部６０２を管理、制御して、シフト位置ＥＣＵ１０５或いは車速ＥＣＵ１０６の機能を実現する。

【0073】

［１．７ 攻撃手順情報］
評価装置１０１の保持部２０２に保持される攻撃手順情報１０８の一例を図７に示す。図７の例では、攻撃手順情報１０８は、評価対象機能（攻撃対象とする電子制御システム１１の機能）、攻撃のために送信すべきＣＡＮメッセージ、そのＣＡＮメッセージのメッセージＩＤ、そのＣＡＮメッセージにおけるデータ内容（即ち他のＥＣＵへ通知又は指示する内容）、そのＣＡＮメッセージの送信間隔、及び、送信順序を示す。

【0074】

図７の例の攻撃手順情報１０８は、駐車支援機能を攻撃対象とする場合については、ＩＤ（メッセージＩＤ）が０ｘ０１２３である、シフト位置を通知するＣＡＮメッセージにより、シフト位置が「リバース」であることを通知し、その後、ＩＤが０ｘ００３４である、車速を通知するＣＡＮメッセージにより、車速が「６ｋｍ／ｈ」であること通知し、最後に、ＩＤが０ｘ０２５６である、ステアリング操作指示を示すＣＡＮメッセージにより、ステアリングを右に１５度回転させるためのフラグ「１」及びステアリング操舵角の指定「右旋回１５度」のデータを送信すべきことを示す。このフラグは、駐車支援機能が有効か無効かを示す有効／無効フラグであり、「１」が有効であることを示し、「０」が有効でない（無効である）ことを示す。なお、図７の例は、一例に過ぎず、攻撃手順情報１０８の内容は、任意に定め得る。送信部２０１ａは、攻撃手順情報１０８が示す送信順序で複数のＣＡＮメッセージをＣＡＮバス２０に送信することになる。また、攻撃手順情報１０８は、複数のＣＡＮメッセージ間の送信間隔を規定したものであっても良く、この場合には、送信部２０１ａは、攻撃手順情報１０８が示す送信順序及び送信間隔に従って複数のＣＡＮメッセージをＣＡＮバス２０に送信することになる。

【0075】

なお、電子制御システム１１ではＣＡＮバス２０においてシフト位置、車速、或いは、ステアリング操作指示（駐車支援機能の有効／無効の状態）に関するＣＡＮメッセージは、常に周期的に送信されている。ステアリングの操作が必要ない場合（駐車支援機能が働いていない場合）には、フラグが「０」の状態でステアリング操作指示（駐車支援機能の有効／無効の状態）に関するＣＡＮメッセージが周期的に送信され、ステアリングの操作が必要な場合（駐車支援機能を働かせる場合）には、フラグが「１」の状態に変えられたそのＣＡＮメッセージ（つまりステアリング操作指示を示すＣＡＮメッセージ）が周期的に送信される。

【0076】

［１．８ 評価システム１０の動作］
以下、上述した構成を備える評価システム１０において、評価装置１０１により評価対象の電子制御システム１１を、攻撃手順情報１０８に従って攻撃（ＣＡＮメッセージの送信により攻撃）することで評価する動作について説明する。まず、セキュリティＥＣＵ１０４を除去した状態（セキュリティＥＣＵ１０４の導入前等）の電子制御システム１１を評価対象として評価する動作例１及び動作例２を説明し、その後に、セキュリティＥＣＵ１０４を有する状態（セキュリティＥＣＵ１０４の導入後等）の電子制御システム１１を評価対象として評価する動作例３及び動作例４を説明する。

【0077】

［１．８．１ 評価システム１０の動作例１］
図８〜図１０は、セキュリティＥＣＵ１０４を備えない状態の電子制御システム１１を評価する評価システム１０の動作（動作例１）を示すシーケンス図である。動作例１では、評価装置１０１が、攻撃によりアクチュエータＥＣＵ１０２を誤認識させる例を示す。電子制御システム１１ではシフト位置、車速、及び、ステアリング操作指示に関する各ＣＡＮメッセージが、シフト位置ＥＣＵ１０５、車速ＥＣＵ１０６、或いは、指示ＥＣＵ１０３により周期的に送信されている。

【0078】

シフト位置ＥＣＵ１０５は、現在のシフト位置（ドライブ：Ｄ）を示すＣＡＮメッセージをＣＡＮバス２０へ送信し（ステップＳ８０１）、アクチュエータＥＣＵ１０２は、ＣＡＮバス２０を流れているそのシフト位置を示すＣＡＮメッセージを受信する（ステップＳ８０２）。

【0079】

評価装置１０１は、例えばアクチュエータＥＣＵ１０２におけるＣＡＮメッセージの定期処理用のバッファを上書きさせること等を狙って、ＣＡＮバス２０にシフト位置（ドライブ：Ｄ）を示すＣＡＮメッセージが流れた直後に、攻撃手順情報１０８に従って現在のシフト位置を詐称する偽のシフト位置（リバース：Ｒ）を示すＣＡＮメッセージをＣＡＮバス２０へ送信する（ステップＳ８０３）。これにより、アクチュエータＥＣＵ１０２は、ＣＡＮバス２０を流れているシフト位置を示すＣＡＮメッセージを受信して、現在のシフト位置がリバース：Ｒであると誤認識する（ステップＳ８０４）。

【0080】

また、車速ＥＣＵ１０６は、現在の車速（３０ｋｍ／ｈ）を示すＣＡＮメッセージをＣＡＮバス２０へ送信し（ステップＳ８０５）、アクチュエータＥＣＵ１０２は、ＣＡＮバス２０を流れているその車速を示すＣＡＮメッセージを受信する（ステップＳ８０６）。

【0081】

評価装置１０１は、ＣＡＮバス２０に車速（３０ｋｍ／ｈ）を示すＣＡＮメッセージが流れた直後に、現在の車速を詐称する偽の車速（０ｋｍ／ｈ）を示すＣＡＮメッセージをＣＡＮバス２０へ送信する（ステップＳ８０７）。これにより、アクチュエータＥＣＵ１０２は、ＣＡＮバス２０を流れている車速を示すＣＡＮメッセージを受信して、現在の車速が０ｋｍ／ｈであると誤認識する（ステップＳ８０８）。

【0082】

指示ＥＣＵ１０３は、現在、駐車支援機能が有効でないこと（フラグ：０）を示すＣＡＮメッセージをＣＡＮバス２０へ送信し（ステップＳ９０１）、アクチュエータＥＣＵ１０２は、ＣＡＮバス２０を流れている駐車支援機能の有効／無効の状態に関するＣＡＮメッセージを受信する（ステップＳ９０２）。

【0083】

評価装置１０１は、ＣＡＮバス２０に駐車支援機能が有効でないこと（フラグ：０）を示すＣＡＮメッセージが流れた直後に、現在、駐車支援機能が有効であること（フラグ：１）を示すＣＡＮメッセージをＣＡＮバス２０へ送信する（ステップＳ９０３）。これにより、アクチュエータＥＣＵ１０２は、ＣＡＮバス２０を流れているその駐車支援機能の有効／無効の状態に関するＣＡＮメッセージを受信して、現在、駐車支援機能が有効であると誤認識し（ステップＳ９０４）、駐車支援機能の有効／無効の状態に関するＣＡＮメッセージ（つまり駐車支援機能が有効であるのでステアリング操作指示を示すＣＡＮメッセージ）に含まれるステアリングの操舵角の指定に基づきステアリングを動作させるための制御信号（ステアリング動作指示）を送信する（ステップＳ９０５）。そして、ステアリング１０７は、受信した制御信号（ステアリング動作指示）に基づいて動作する（ステップＳ９０６）。

【0084】

評価装置１０１は、アクチュエータＥＣＵ１０２がアクチュエータ（ステアリング）１０７へ送信した制御信号（ステアリング動作指示）を受信（監視）する（ステップＳ１００１）。また、評価装置１０１は、ステアリング１０７の挙動を確認（観測）する（ステップＳ１００２）。評価装置１０１は、受信した制御信号、及び、確認したステアリング１０７の挙動を、攻撃の期待値と比較することにより、電子制御システム１１のセキュリティの評価（攻撃の成否についての判定等）を行う（ステップＳ１００３）。評価装置１０１は、例えば、受信した制御信号、及び、確認したステアリング１０７の挙動が、攻撃の期待値としての制御信号及び挙動となっている場合に攻撃が成功していると判定する。なお、評価装置１０１は、ステアリング１０７へ入力される制御信号の監視結果と、ステアリング１０７の挙動の確認結果とのうち一方のみを用いて攻撃の期待値に基づいて攻撃の成否についての判定等を行っても良い。

【0085】

評価装置１０１が、攻撃手順情報１０８に従った攻撃が成功していることを確認することで、例えば、その後に電子制御システム１１に導入するセキュリティ対策技術（例えば、セキュリティＥＣＵ１０４）の効果について評価できるようになる。

【0086】

［１．８．２ 評価システム１０の動作例２］
図１１及び図１２は、セキュリティＥＣＵ１０４を備えない状態の電子制御システム１１を評価する評価システム１０の動作（動作例２）を示すシーケンス図である。動作例２では、評価装置１０１が、攻撃により指示ＥＣＵ１０３を誤認識させる例を示す。

【0087】

シフト位置ＥＣＵ１０５は、現在のシフト位置（ドライブ：Ｄ）を示すＣＡＮメッセージをＣＡＮバス２０へ送信し（ステップＳ１１０１）、指示ＥＣＵ１０３は、ＣＡＮバス２０を流れているそのシフト位置を示すＣＡＮメッセージを受信する（ステップＳ１１０２）。アクチュエータＥＣＵ１０２も、同様にＣＡＮバス２０を流れているそのシフト位置を示すＣＡＮメッセージを受信する（ステップＳ１１０３）。

【0088】

評価装置１０１は、ＣＡＮバス２０にシフト位置（ドライブ：Ｄ）を示すＣＡＮメッセージが流れた直後に、攻撃手順情報１０８に従って現在のシフト位置を詐称する偽のシフト位置（リバース：Ｒ）を示すＣＡＮメッセージをＣＡＮバス２０へ送信する（ステップＳ１１０４）。これにより、指示ＥＣＵ１０３は、ＣＡＮバス２０を流れているシフト位置を示すＣＡＮメッセージを受信して、現在のシフト位置がリバース：Ｒであると誤認識する（ステップＳ１１０５）。アクチュエータＥＣＵ１０２も、同様にＣＡＮバス２０を流れているそのシフト位置を示すＣＡＮメッセージを受信して、現在のシフト位置がリバース：Ｒであると誤認識する（ステップＳ１１０６）。

【0089】

また、車速ＥＣＵ１０６は、現在の車速（３０ｋｍ／ｈ）を示すＣＡＮメッセージをＣＡＮバス２０へ送信し（ステップＳ１１０７）、指示ＥＣＵ１０３は、ＣＡＮバス２０を流れているその車速を示すＣＡＮメッセージを受信する（ステップＳ１１０８）。アクチュエータＥＣＵ１０２も、同様にＣＡＮバス２０を流れているその車速を示すＣＡＮメッセージを受信する（ステップＳ１１０９）。

【0090】

評価装置１０１は、ＣＡＮバス２０に車速（３０ｋｍ／ｈ）を示すＣＡＮメッセージが流れた直後に、現在の車速を詐称する偽の車速（０ｋｍ／ｈ）を示すＣＡＮメッセージをＣＡＮバス２０へ送信する（ステップＳ１１１０）。これにより、指示ＥＣＵ１０３は、ＣＡＮバス２０を流れている車速を示すＣＡＮメッセージを受信して、現在の車速が０ｋｍ／ｈであると誤認識する（ステップＳ１１１１）。アクチュエータＥＣＵ１０２も、同様にＣＡＮバス２０を流れているその車速を示すＣＡＮメッセージを受信して、現在の車速が０ｋｍ／ｈであると誤認識する（ステップＳ１１１２）。

【0091】

評価装置１０１は、駐車支援機能を開始することを示すＣＡＮメッセージをＣＡＮバス２０へ送信し（ステップＳ１２０１）、指示ＥＣＵ１０３は、ＣＡＮバス２０を流れているその駐車支援機能の開始に関するＣＡＮメッセージ（駐車支援機能を開始することを示すＣＡＮメッセージ）を受信する（ステップＳ１２０２）。

【0092】

続いて指示ＥＣＵ１０３は、既に受信した偽のシフト位置及び車速が駐車支援機能を実行するための一定条件を満たすことから、駐車支援機能が有効であること（フラグ：１）を示すＣＡＮメッセージ（つまりステアリング操作指示を示すＣＡＮメッセージ）をＣＡＮバス２０へ送信する（ステップＳ１２０３）。これにより、アクチュエータＥＣＵ１０２は、ＣＡＮバスを流れている駐車支援機能の有効／無効の状態に関するＣＡＮメッセージを受信して、現在、駐車支援機能が有効であると誤認識し（ステップＳ１２０４）、駐車支援機能の有効／無効の状態に関するＣＡＮメッセージ（ステアリング操作指示を示すＣＡＮメッセージ）に含まれるステアリングの操舵角の指定に基づきアクチュエータ（ステアリング）１０７へ制御信号（ステアリング動作指示）を送信する（ステップＳ１２０５）。そして、ステアリング１０７は、受信した制御信号（ステアリング動作指示）に基づいて動作する（ステップＳ１２０６）。

【0093】

また、評価装置１０１は、指示ＥＣＵ１０３がＣＡＮバスへ送信した駐車支援機能の有効／無効の状態に関するＣＡＮメッセージ（フラグ：１）を、受信（監視）する（ステップＳ１２０７）。評価装置１０１は、受信した駐車支援機能の有効／無効の状態に関するＣＡＮメッセージの内容を、攻撃の期待値と比較することにより、電子制御システム１１のセキュリティの評価（攻撃の成否についての判定等）を行う（ステップＳ１２０８）。評価装置１０１は、例えば、受信した駐車支援機能の有効／無効の状態に関するＣＡＮメッセージのフラグが、攻撃の期待値としてのフラグ値（１）となっている場合に、ステアリング１０７を制御するための制御指示フレームを検出したと判定して、攻撃が成功していると判定する。

【0094】

評価装置１０１が、攻撃手順情報１０８に従った攻撃が成功していることを確認することで、例えば、その後に電子制御システム１１に導入するセキュリティ対策技術（例えば、セキュリティＥＣＵ１０４）の効果について評価できるようになる。

【0095】

［１．８．３ 評価システム１０の動作例３］
図１３〜図１５は、セキュリティＥＣＵ１０４を備える状態（図１参照）の電子制御システム１１を評価する評価システム１０の動作（動作例３）を示すシーケンス図である。動作例３では、評価装置１０１が、攻撃によりアクチュエータＥＣＵ１０２を誤認識させようと試みる例を示す。

【0096】

シフト位置ＥＣＵ１０５は、現在のシフト位置（ドライブ：Ｄ）を示すＣＡＮメッセージをＣＡＮバス２０へ送信し（ステップＳ８０１）、アクチュエータＥＣＵ１０２は、ＣＡＮバス２０を流れているそのシフト位置を示すＣＡＮメッセージを受信する（ステップＳ８０２）。

【0097】

評価装置１０１は、ＣＡＮバス２０にシフト位置（ドライブ：Ｄ）を示すＣＡＮメッセージが流れた直後に、攻撃手順情報１０８に従って現在のシフト位置を詐称する偽のシフト位置（リバース：Ｒ）を示すＣＡＮメッセージをＣＡＮバス２０へ送信する（ステップＳ８０３）。これにより、アクチュエータＥＣＵ１０２は、ＣＡＮバス２０を流れているシフト位置を示すＣＡＮメッセージを受信して、現在のシフト位置がリバース：Ｒであると誤認識する（ステップＳ８０４）。

【0098】

また、車速ＥＣＵ１０６は、現在の車速（３０ｋｍ／ｈ）を示すＣＡＮメッセージをＣＡＮバス２０へ送信し（ステップＳ８０５）、アクチュエータＥＣＵ１０２は、ＣＡＮバス２０を流れているその車速を示すＣＡＮメッセージを受信する（ステップＳ８０６）。

【0099】

評価装置１０１は、ＣＡＮバス２０に車速（３０ｋｍ／ｈ）を示すＣＡＮメッセージが流れた直後に、現在の車速を詐称する偽の車速（０ｋｍ／ｈ）を示すＣＡＮメッセージをＣＡＮバス２０へ送信する（ステップＳ８０７）。これにより、アクチュエータＥＣＵ１０２は、ＣＡＮバス２０を流れている車速を示すＣＡＮメッセージを受信して、現在の車速が０ｋｍ／ｈであると誤認識する（ステップＳ８０８）。

【0100】

指示ＥＣＵ１０３は、現在、駐車支援機能が有効でないこと（フラグ：０）を示すＣＡＮメッセージをＣＡＮバス２０へ送信し（ステップＳ９０１）、アクチュエータＥＣＵ１０２は、ＣＡＮバス２０を流れている駐車支援機能の有効／無効の状態に関するＣＡＮメッセージを受信する（ステップＳ９０２）。

【0101】

評価装置１０１は、ＣＡＮバス２０に駐車支援機能が有効でないこと（フラグ：０）を示すＣＡＮメッセージが流れた直後に、現在、駐車支援機能が有効であること（フラグ：１）を示すＣＡＮメッセージをＣＡＮバス２０へ送信する（ステップＳ９０３）。これに対して、セキュリティＥＣＵ１０４は、評価装置１０１がステップＳ９０３でＣＡＮバス２０へ送信した駐車支援機能の有効／無効の状態に関するＣＡＮメッセージを、不正なＣＡＮメッセージであると判定した場合に、エラーフレームを送信することでそのＣＡＮメッセージを無効化する（ステップＳ１４０１）。無効化されたＣＡＮメッセージの影響を受けないことから、アクチュエータＥＣＵ１０２は、アクチュエータ（ステアリング）１０７へ制御信号（ステアリング動作指示）を送信しない。このため、ステアリング１０７は、特に動作しない。

【0102】

評価装置１０１は、アクチュエータＥＣＵ１０２がステアリング１０７へ制御信号（ステアリング動作指示）を送信していないことを確認し（ステップＳ１４０２）、ステアリング１０７が動作していないことを確認し（ステップＳ１４０３）、それらが確認できた場合に防御（セキュリティ対策）が成功している（つまり攻撃が失敗している）と判定する（ステップＳ１５０１）。なお、評価装置１０１は、アクチュエータＥＣＵ１０２がステアリング１０７へ制御信号を送信していないことの確認と、ステアリング１０７が動作していないことの確認とのうち一方のみが確認できれば防御が成功していると判定する等、その一方のみを用いてセキュリティについての評価を行っても良い。

【0103】

［１．８．４ 評価システム１０の動作例４］
図１６及び図１７は、セキュリティＥＣＵ１０４を備える状態（図１参照）の電子制御システム１１を評価する評価システム１０の動作（動作例４）を示すシーケンス図である。動作例４では、評価装置１０１が、攻撃により指示ＥＣＵ１０３を誤認識させようと試みる例を示す。

【0104】

シフト位置ＥＣＵ１０５は、現在のシフト位置（ドライブ：Ｄ）を示すＣＡＮメッセージをＣＡＮバス２０へ送信し（ステップＳ１１０１）、指示ＥＣＵ１０３は、ＣＡＮバス２０を流れているそのシフト位置を示すＣＡＮメッセージを受信する（ステップＳ１１０２）。アクチュエータＥＣＵ１０２も、同様にＣＡＮバス２０を流れているそのシフト位置を示すＣＡＮメッセージを受信する（ステップＳ１１０３）。

【0105】

評価装置１０１は、ＣＡＮバス２０にシフト位置（ドライブ：Ｄ）を示すＣＡＮメッセージが流れた直後に、攻撃手順情報１０８に従って現在のシフト位置を詐称する偽のシフト位置（リバース：Ｒ）を示すＣＡＮメッセージをＣＡＮバス２０へ送信する（ステップＳ１１０４）。これに対して、セキュリティＥＣＵ１０４は、評価装置１０１がステップＳ１１０４でＣＡＮバス２０へ送信したシフト位置（リバース：Ｒ）を示すＣＡＮメッセージを、不正なＣＡＮメッセージであると判定した場合に、エラーフレームを送信することでそのＣＡＮメッセージを無効化する（ステップＳ１６０１）。

【0106】

また、車速ＥＣＵ１０６は、現在の車速（３０ｋｍ／ｈ）を示すＣＡＮメッセージをＣＡＮバス２０へ送信し（ステップＳ１１０７）、指示ＥＣＵ１０３は、ＣＡＮバス２０を流れているその車速を示すＣＡＮメッセージを受信する（ステップＳ１１０８）。アクチュエータＥＣＵ１０２も、同様にＣＡＮバス２０を流れているその車速を示すＣＡＮメッセージを受信する（ステップＳ１１０９）。

【0107】

評価装置１０１は、ＣＡＮバス２０に車速（３０ｋｍ／ｈ）を示すＣＡＮメッセージが流れた直後に、現在の車速を詐称する偽の車速（０ｋｍ／ｈ）を示すＣＡＮメッセージをＣＡＮバス２０へ送信する（ステップＳ１１１０）。これに対して、セキュリティＥＣＵ１０４は、評価装置１０１がステップＳ１１１０でＣＡＮバス２０へ送信した車速（０ｋｍ／ｈ）を示すＣＡＮメッセージを、不正なＣＡＮメッセージであると判定した場合に、エラーフレームを送信することでそのＣＡＮメッセージを無効化する（ステップＳ１６０２）。

【0108】

評価装置１０１は、駐車支援機能を開始することを示すＣＡＮメッセージをＣＡＮバス２０へ送信し（ステップＳ１２０１）、指示ＥＣＵ１０３は、ＣＡＮバス２０を流れているその駐車支援機能の開始に関するＣＡＮメッセージ（駐車支援機能を開始することを示すＣＡＮメッセージ）を受信する（ステップＳ１２０２）。

【0109】

続いて指示ＥＣＵ１０３は、偽のシフト位置及び車速を受信していないので、駐車支援機能を実行するための一定条件が満たされないことから、駐車支援機能が無効であること（フラグ：０）を示すＣＡＮメッセージ（駐車支援機能の有効／無効の状態に関するＣＡＮメッセージ）をＣＡＮバス２０へ送信する（ステップＳ１７０１）。これにより、アクチュエータＥＣＵ１０２は、ＣＡＮバスを流れている駐車支援機能の有効／無効の状態に関するＣＡＮメッセージを受信して、現在、駐車支援機能が無効であると認識し（ステップＳ１７０２）、アクチュエータ（ステアリング）１０７へ制御信号（ステアリング動作指示）を送信しない。

【0110】

評価装置１０１は、指示ＥＣＵ１０３がＣＡＮバス２０へ送信した駐車支援機能の有効／無効の状態に関するＣＡＮメッセージ（フラグ：０）を受信（監視）する（ステップＳ１７０３）。評価装置１０１は、受信した駐車支援機能の有効／無効の状態に関するＣＡＮメッセージの内容を、攻撃の期待値と比較することにより、電子制御システム１１のセキュリティの評価（攻撃の成否についての判定等）を行う（ステップＳ１７０４）。評価装置１０１は、例えば、受信した駐車支援機能の有効／無効の状態に関するＣＡＮメッセージのフラグが、攻撃の期待値としてのフラグ値（１）となっていない場合に、ステアリング１０７を制御するための制御指示フレームを検出しなかった判定して、防御（セキュリティ対策）が成功していると判定する。

【0111】

（変形例）
以上のように、本発明に係る技術の例示として実施の形態１を説明した。しかしながら、本発明に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本発明の一実施態様に含まれる。

【0112】

（１）上記実施の形態では、評価装置１０１がＣＡＮメッセージ（偽の情報を示すＣＡＮメッセージ）の送信により電子制御システム１１を攻撃する例を示した。しかし、評価装置１０１は、いかなる方法を用いて攻撃を行っても良く、ＣＡＮメッセージの送信以外の方法で攻撃を行っても良い。例えば、評価装置１０１は、評価対象の電子制御システム１１における各種ＥＣＵと信号線で接続されるセンサのセンシング情報を偽の情報に差し替えてそのＥＣＵに誤認識させることとしても良い。

【0113】

（２）上述の電子制御システム１１では、各種ＥＣＵ及びアクチュエータは、リアルな（実物としての）ＥＣＵ及びアクチュエータを想定して説明した。しかし、評価システム１０の評価対象としての電子制御システム１１における各種ＥＣＵは、リアルなＥＣＵ（例えば、評価ボード上で実装されたＥＣＵ、製品としてのＥＣＵ等）の代わりに、そのＥＣＵを模擬（シミュレート）する模擬ＥＣＵ（例えば、そのＥＣＵの機能、挙動等を模擬するソフトウェアを実行するコンピュータ等）であることとしても良い。同様に、評価対象の電子制御システム１１では、リアルなアクチュエータ（ステアリング、アクセル、ブレーキ等）の代わりに、そのアクチュエータを模擬する模擬アクチュエータ（例えば、アクチュエータの動作を模擬するシミュレーションソフトウェアを実行するコンピュータ等）を備えていても良い。即ち、評価システム１０の評価対象は、リアルなアクチュエータ及び模擬アクチュエータのいずれかであるアクチュエータ部を備える電子制御システムであれば良い。アクチュエータ部が模擬アクチュエータである場合においてはアクチュエータ部の観測を、アクチュエータ監視部２０５は例えばシミュレーションソフトウェアの出力機能等を利用してシミュレーションで用いられる各種パラメータを確認すること等で行っても良く、信号監視部２０４は例えばそのシミュレーションソフトウェアへ入力されるパラメータ等を確認すること等で行っても良い。即ち、アクチュエータ部が模擬アクチュエータである場合において監視部２００は、アクチュエータ部の動作を、コンピュータにおいてシミュレーションソフトウェア（プログラム）に関わる所定データ（例えばアクチュエータの動作で変化する物理量に対応したコンピュータの所定メモリ領域の内容或いは出力内容等）の変化を観測することによって検出しても良い。

【0114】

（３）上記実施の形態では、評価装置１０１が、ＣＡＮバス２０に接続された１つの装置である例を示したが、評価装置１０１は、攻撃手順情報１０８に従って攻撃用のＣＡＮメッセージを送信する送信装置と、ＣＡＮバス２０を流れるＣＡＮメッセージ、アクチュエータＥＣＵ１０２の出力する制御信号、アクチュエータ１０７の挙動等を監視する監視装置とに分離される等、複数の筐体に分離された構成を備えても良い。

【0115】

（４）上記実施の形態では、評価システム１０の評価対象として、ＣＡＮバス２０による車載ネットワークを備える電子制御システム１１を例示したが、評価システム１０で評価装置１０１が攻撃用のメッセージを送信したり監視の対象としたりするネットワークは、必ずしも車載ネットワークでなくても良く、また、ＣＡＮプロトコルによる通信が行われるＣＡＮバス２０以外のネットワークであっても良い。例えば、評価システム１０は、ロボット、産業機器等のネットワークその他のネットワーク通信システムを評価対象としても良い。また、ＣＡＮプロトコルは、オートメーションシステム内の組み込みシステム等に用いられるＣＡＮＯｐｅｎ、或いは、ＴＴＣＡＮ（Time-Triggered CAN）、ＣＡＮＦＤ（CAN with Flexible Data Rate）等の派生的なプロトコルも包含する広義の意味のものと扱われるべきである。また、評価対象のネットワークシステムで、ＣＡＮプロトコル以外の通信プロトコル、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）や、ＭＯＳＴ（登録商標）、ＦｌｅｘＲａｙ（登録商標）、ＬＩＮ（Local Interconnect Network）等を用いても良い。また、各種プロトコルに従ったネットワークを組み合わせた複合的なネットワークを含むシステムを評価対象として、評価装置１０１で、そのネットワークに対して攻撃及び監視を行うこととしても良い。

【0116】

（５）上記実施の形態では、評価装置１０１が、偽の情報を示すＣＡＮメッセージを送信する攻撃を行う例を示したが、この他に、シフト位置ＥＣＵ１０５、車速ＥＣＵ１０６、指示ＥＣＵ１０３等が送信するＣＡＮメッセージの内容の一部をＣＡＮバス２０上で改ざんすることで攻撃を行っても良い。

【0117】

（６）上述した評価装置１０１は、例えば車載ネットワークシステムの一部に相当する電子制御システム１１を評価対象として攻撃することで評価しても良い。この場合には、評価対象に含まれない車載ネットワークシステムの部分（評価環境を構成する部分）を模擬するために、評価対象に含まれない車載ネットワークに定常状態で流れる正規のＣＡＮメッセージを送信しつつ、評価対象に対して攻撃を仕掛けることとしても良い。この場合において、例えば、評価対象におけるセキュリティＥＣＵ１０４が、不正なＣＡＮメッセージを検知して無効化する場合に、関係のない正規のメッセージを無効化していないかを確認することで、評価対象を評価しても良い。また、不正なＣＡＮメッセージを検知して無効化する以外の攻撃対処のためのセキュリティ機能（ＣＡＮメッセージへのメッセージ認証コード（ＭＡＣ）付与やＭＡＣ検証等）が導入されている場合に、攻撃対処のために、定常状態の正規のＣＡＮメッセージの送受信に悪影響（大幅な通信遅延等）を及ぼしていないか等を確認することで、評価装置１０１は、評価対象を評価しても良い。

【0118】

（７）評価装置１０１は、評価対象のセキュリティ（攻撃耐性等）についての評価として、防御をすり抜けた不正なＣＡＮメッセージの個数や割合に基づいて、攻撃耐性の有無の判定等といった評価を行うものであっても良い。なお、評価装置１０１は、攻撃耐性の有無を判定するために、不正なＣＡＮメッセージの個数や割合についての上限等を規定する閾値を用い得る。この閾値は、評価装置１０１に対して任意に設定可能にしても良いし、評価を繰り返し実施する場合において評価結果等に応じて変化（調整）し得るようにしても良い。また、評価装置１０１は、攻撃の成功率（成功の頻度等）を算定しても良い。このように評価装置１０１は、攻撃成否或いは防御成否の択一判定の他に、例えば複数の防御機能それぞれが作動するか否か或いはどの程度有効に作用したかについて評価しても良い。また、評価装置１０１では、送信部２０１ａが、攻撃手順情報１０８が示す送信順序で複数のＣＡＮメッセージをＣＡＮバス２０に送信する攻撃パターンを複数回繰り返し、評価部２０６が、攻撃パターンの繰り返しによる監視部２００の監視結果の変化の有無に応じて評価結果が相違するように評価を行うこととしても良い。なお、評価装置１０１の評価部２０６での評価結果は、評価装置１０１によりメモリ等の記憶媒体に記録される他、評価装置１０１の外部に出力（例えば、評価結果の表示、評価結果を示す情報の送信等）され得る。例えば、評価部２０６は、評価結果として評価対象の電子制御システムに攻撃耐性があるか否かを示す情報を出力することとしても良い。

【0119】

（８）評価対象の電子制御システム１１におけるセキュリティＥＣＵ１０４を含むセキュリティ機能は、不正の検知に関するログ情報（ＣＡＮメッセージの受信履歴等）を記録することとしても良く、この場合には、評価装置１０１は、そのログ情報と、その評価装置１０１が保持する、攻撃に関する期待値とを比較することで、攻撃が成功したか否かの判定或いは攻撃が成功した確率等の算出を行うことで、セキュリティについての評価を行うこととしても良い。

【0120】

（９）上記実施の形態では電子制御システム１１はセキュリティ機能として、独立したセキュリティＥＣＵ１０４を備え得ることとしたが、バスを介して通信する複数のＥＣＵのうちの全部又は一部のＥＣＵがセキュリティ機能を備えることとしても良い。また、複数のＥＣＵがセキュリティ機能を分散して実現しても良い。

【0121】

（１０）上記実施の形態では評価装置１０１が評価対象の電子制御システム１１におけるバスに直接接続されている例を示したが、評価装置１０１と評価対象との間に、ゲートウェイ等の中継装置が介在しても良い。例えば、評価装置１０１が、ゲートウェイとの間で相互認証又は片方向認証を実施した上で攻撃用のＣＡＮメッセージを送信することで、ゲートウェイにそのＣＡＮメッセージをＣＡＮバス２０へと転送させ、ＣＡＮバス２０からのＣＡＮメッセージを、ゲートウェイを介して取得する等により、評価対象のセキュリティ（攻撃耐性等）を評価することとしても良い。

【0122】

（１１）評価装置１０１は、アクチュエータ監視部２０５でアクチュエータ１０７を観測する代わりに、アクチュエータＥＣＵ１０２がＣＡＮバス２０へ送信するアクチュエータ１０７の状態通知（ステアリングの現在の角度、アクセル又はブレーキの変位量、エンジンの回転数等）に係るＣＡＮメッセージを監視することでアクチュエータ１０７の動作（挙動）を間接的に確認しても良い。

【0123】

（１２）上記実施の形態における評価装置１０１及び各種ＥＣＵは、例えば、プロセッサ、メモリ等のデジタル回路、アナログ回路、通信回路等を含む装置であることとしたが、ディスプレイ、キーボード、マウス等の他のハードウェア構成要素を含んでいても良い。また、メモリに記憶された制御プログラムがプロセッサにより実行されてソフトウェア的に機能を実現する代わりに、専用のハードウェア（デジタル回路等）によりその機能を実現することとしても良い。例えば、評価装置１０１のＣＡＮバス監視部２０３、信号監視部２０４、アクチュエータ監視部２０５、送受信部２０１、保持部２０２、評価部２０６及び制御部２０７の各機能ブロックは、集積回路で実現され得る。また、例えば、アクチュエータＥＣＵ１０２の送受信部３０１、指示送信部３０２、状態取得部３０３、判定部３０４及び制御部３０５の各機能ブロックは、集積回路で実現され得る。また、例えば、指示ＥＣＵ１０３の送受信部４０１、判定部４０２、算出部４０３及び制御部４０４の各機能ブロックは、集積回路で実現され得る。また、例えば、セキュリティＥＣＵ１０４の送受信部５０１、ＣＡＮバス監視部５０２及び制御部５０３の各機能ブロックは、集積回路で実現され得る。また、例えば、シフト位置ＥＣＵ１０５或いは車速ＥＣＵ１０６の送受信部６０１、状態取得部６０２及び制御部６０３の各機能ブロックは、集積回路で実現され得る。

【0124】

（１３）上記実施の形態における各装置（評価装置１０１、各種ＥＣＵ等）を構成する構成要素の一部又は全部は、１個のシステムＬＳＩ（Large Scale Integration：大規模集積回路）から構成されているとしても良い。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等を含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。また、上記各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部又は全部を含むように１チップ化されても良い。また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現しても良い。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Field Programmable Gate Array）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用しても良い。更には、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行っても良い。バイオ技術の適用等が可能性としてあり得る。

【0125】

（１４）上記各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしても良い。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしても良い。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしても良い。

【0126】

（１５）本発明の一態様としては、例えば図８〜図１７等に例示する処理手順の全部又は一部を含む評価方法であるとしても良い。例えば、評価方法は、ＣＡＮバス２０を介して通信する複数のＥＣＵを備える電子制御システム１１のセキュリティに関する評価を行う評価方法であって、複数のフレームの内容及び送信順序を示す攻撃手順情報１０８を保持し、攻撃手順情報１０８が示す送信順序で複数のフレームをＣＡＮバス２０に送信し（例えばステップＳ８０３、Ｓ８０７、Ｓ９０３、Ｓ１１０４、Ｓ１１１０、Ｓ１２０１）、複数のフレームがＣＡＮバス２０に送信される際に、複数のＥＣＵのいずれかにより制御されるアクチュエータ部（例えばアクチュエータ１０７）について直接又は間接的に監視し（例えばステップＳ１００１、Ｓ１００２、Ｓ１２０７）、監視による監視結果に基づいて評価（例えばＳ１００３、Ｓ１２０８）を行う評価方法である。また、本発明の一態様としては、この評価方法に係る処理をコンピュータにより実現するコンピュータプログラムであるとしても良いし、前記コンピュータプログラムからなるデジタル信号であるとしても良い。また、本発明の一態様としては、前記コンピュータプログラム又は前記デジタル信号をコンピュータで読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Blu-ray（登録商標） Disc）、半導体メモリ等に記録したものとしても良い。また、これらの記録媒体に記録されている前記デジタル信号であるとしても良い。また、本発明の一態様としては、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしても良い。また、本発明の一態様としては、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記録しており、前記マイクロプロセッサは、前記コンピュータプログラムに従って動作するとしても良い。また、前記プログラム若しくは前記デジタル信号を前記記録媒体に記録して移送することにより、又は、前記プログラム若しくは前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしても良い。

【0127】

（１６）上記実施の形態及び上記変形例で示した各構成要素及び機能を任意に組み合わせることで実現される形態も本発明の範囲に含まれる。

【産業上の利用可能性】

【0128】

本発明は、電子制御システムに対して施されたセキュリティ対策技術が攻撃を適切に防御できるか否か等の評価を実施するために利用可能である。

【符号の説明】

【0129】

１０ 評価システム
１１ 電子制御システム
２０ ＣＡＮバス
１０１ 評価装置
１０２ アクチュエータＥＣＵ
１０３ 指示ＥＣＵ
１０４ セキュリティＥＣＵ
１０５ シフト位置ＥＣＵ
１０６ 車速ＥＣＵ
１０７ アクチュエータ（ステアリング等）
１０８ 攻撃手順情報
２００ 監視部
２０１、３０１、４０１、５０１、６０１ 送受信部
２０１ａ 送信部
２０１ｂ 受信部
２０２ 保持部
２０３、５０２ ＣＡＮバス監視部
２０４ 信号監視部
２０５ アクチュエータ監視部
２０６ 評価部
２０７、３０５、４０４、５０３、６０３ 制御部
３０２ 指示送信部
３０３、６０２ 状態取得部
３０４、４０２ 判定部
４０３ 算出部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】