特許 6858282 セキュリティ装置、ネットワークシステム及び攻撃検知方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6858282

(24)【登録日】2021年3月25日

(45)【発行日】2021年4月14日

(54)【発明の名称】セキュリティ装置、ネットワークシステム及び攻撃検知方法

(51)【国際特許分類】

   H04L 12/46 20060101AFI20210405BHJP

   H04L 12/28 20060101ALI20210405BHJP

【ＦＩ】

   H04L12/46 E

   H04L12/28 100A

【請求項の数】24

【全頁数】44

(21)【出願番号】特願2020-4994(P2020-4994)

(22)【出願日】2020年1月16日

(62)【分割の表示】特願2016-179736(P2016-179736)の分割

【原出願日】2016年9月14日

(65)【公開番号】特開2020-74574(P2020-74574A)

(43)【公開日】2020年5月14日

【審査請求日】2020年1月28日

(31)【優先権主張番号】62/266,831

(32)【優先日】2015年12月14日

(33)【優先権主張国】US

(73)【特許権者】

【識別番号】514136668

【氏名又は名称】パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ

【氏名又は名称原語表記】Ｐａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ

(74)【代理人】

【識別番号】100109210

【弁理士】

【氏名又は名称】新居 広守

(74)【代理人】

【識別番号】100137235

【弁理士】

【氏名又は名称】寺谷 英作

(74)【代理人】

【識別番号】100131417

【弁理士】

【氏名又は名称】道坂 伸一

(72)【発明者】

【氏名】鶴見 淳一

(72)【発明者】

【氏名】氏家 良浩

(72)【発明者】

【氏名】中野 稔久

(72)【発明者】

【氏名】松島 秀樹

(72)【発明者】

【氏名】海上 勇二

【審査官】 宮島 郁美

(56)【参考文献】

【文献】 国際公開第２０１５／１５９５２０（ＷＯ，Ａ１）

【文献】 特開２０１５−１３６１０７（ＪＰ，Ａ）

【文献】 特開２０１３−０１７１４０（ＪＰ，Ａ）

【文献】 国際公開第２０１３／００５７３０（ＷＯ，Ａ１）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ１２／００−１２／９５５

(57)【特許請求の範囲】

【請求項1】

車両内の１つ又は複数のネットワークに接続されたセキュリティ装置であって、
１つの前記ネットワークからフレームを受信する受信部と、
前記受信部により受信されたフレームについて、所定条件が満たされるか否かを判定する判定部と、
前記所定条件が満たされると前記判定部が判定した場合に前記車両の外部に判定要求が伝達されるように制御して、当該判定要求に応じた判定結果を取得する取得部と、
前記所定条件が満たされると前記判定部が判定した場合に、注意喚起のための第１提示用情報を出力し、前記判定結果を前記取得部が取得した場合に前記判定結果を示す第２提示用情報を出力する出力部とを備える
セキュリティ装置。

【請求項2】

前記出力部はディスプレイを含み、前記ディスプレイに前記第１提示用情報及び前記第２提示用情報を表示する、
請求項１記載のセキュリティ装置。

【請求項3】

前記出力部はバイブレータを含み、前記バイブレータに前記第１提示用情報及び前記第２提示用情報を振動させる、
請求項１記載のセキュリティ装置。

【請求項4】

前記出力部はブザーを含み、前記ブザーに前記第１提示用情報及び前記第２提示用情報を鳴動させる、
請求項１記載のセキュリティ装置。

【請求項5】

前記出力部はライトを含み、前記ライトに前記第１提示用情報及び前記第２提示用情報を点灯させる、
請求項１記載のセキュリティ装置。

【請求項6】

前記出力部はスピーカを含み、前記スピーカに前記第１提示用情報及び前記第２提示用情報を出力させる、
請求項１記載のセキュリティ装置。

【請求項7】

前記車両は、前記１つ又は複数のネットワークを介してＣＡＮ（Controller Area Network）プロトコルに従ってフレームの授受を行う複数の電子制御ユニットを搭載する
請求項１記載のセキュリティ装置。

【請求項8】

前記セキュリティ装置は、前記車両内の前記複数のネットワークに接続されたゲートウェイ装置である
請求項１〜７のいずれか一項に記載のセキュリティ装置。

【請求項9】

前記セキュリティ装置は更に、一のネットワークから前記受信部により受信されたフレームについて不正条件に該当するか否かを確認する確認部を備え、
前記セキュリティ装置は、前記受信部により一のネットワークから受信されたフレームについて、前記確認部により前記不正条件に該当しないことが確認された場合には当該フレームを他のネットワークへ転送し、前記確認部により前記不正条件に該当することが確認された場合には当該フレームを転送せず、
前記受信部により受信されたフレームについて前記確認部により前記不正条件に該当することが確認された場合には、前記判定部は、前記所定条件が満たされると判定せず、
前記出力部は、前記所定条件が満たされると前記判定部が判定した際に前記第１提示用情報を出力する
請求項８記載のセキュリティ装置。

【請求項10】

前記出力部は、前記所定条件が満たされると前記判定部が判定した場合において、警告条件が満たされるときに前記第１提示用情報を出力し、当該警告条件が満たされないときに前記第１提示用情報を出力しない
請求項１〜９のいずれか一項に記載のセキュリティ装置。

【請求項11】

前記出力部は、前記判定結果を前記取得部が取得した場合に、前記第１提示用情報と異なる予め定められた複数の相異なる情報のうち、警告条件が満たされるか否かと当該判定結果とに応じて選択した情報を、前記第２提示用情報として出力する
請求項１〜１０のいずれか一項に記載のセキュリティ装置。

【請求項12】

前記出力部は、前記警告条件が満たされるか否かを、前記受信部により過去に受信された１つ又は複数のフレームの内容に基づいて判別する
請求項１０又は１１記載のセキュリティ装置。

【請求項13】

前記判定結果は、正常か否かを択一的に示し、
前記出力部は、前記判定結果を前記取得部が取得した場合に、前記第１提示用情報と異なる予め定められた複数の相異なる情報のうち、当該判定結果が正常を示すか否かに応じて選択した情報を、前記第２提示用情報として出力する
請求項１〜１０のいずれか一項に記載のセキュリティ装置。

【請求項14】

前記取得部は、前記判定要求を送信し、当該判定要求に応じて判定結果を受信する外部通信部を含む
請求項１〜１３のいずれか一項に記載のセキュリティ装置。

【請求項15】

前記出力部は、前記所定条件が満たされると前記判定部が判定した場合に前記車両内の１つのネットワークに前記第１提示用情報を含むフレームを送信し、前記判定結果を前記取得部が取得した場合に当該１つのネットワークに前記第２提示用情報を含むフレームを送信する
請求項１〜１４のいずれか一項に記載のセキュリティ装置。

【請求項16】

前記判定部によりフレームについての判定に用いられる前記所定条件は、当該フレームと同一ＩＤを有して先に前記受信部に受信された同種先行フレームと当該フレームとの受信間隔、当該フレームのデータの内容と当該同種先行フレームのデータの内容との差分、及び、当該フレームと異なるＩＤを有して先に前記受信部に受信された異種先行フレームの内容と当該フレームの内容との相関性のうち、少なくとも１つに関する条件である
請求項７に記載のセキュリティ装置。

【請求項17】

請求項１〜１６のいずれか一項に記載のセキュリティ装置と、
外部装置と、
前記外部装置と通信する通信装置を搭載した前記車両と、
前記１つ又は複数のネットワークと、
前記１つ又は複数のネットワークを介してフレームの授受を行う、前記車両に搭載された複数の電子制御ユニットとを備え、
前記セキュリティ装置は、前記通信装置を介して前記外部装置に前記判定要求を伝達し、
前記外部装置は、前記判定要求に応じて判定を行い、前記通信装置を介して前記判定結果を前記セキュリティ装置へ伝達する、
ネットワークシステム。

【請求項18】

前記複数の電子制御ユニットの１つは、情報提示機能を有する所定電子制御ユニットであり、
前記出力部は、前記所定条件が満たされると前記判定部が判定した場合に前記所定電子制御ユニットが接続されているネットワークに前記第１提示用情報を含むフレームを送信し、前記外部装置からの判定結果を前記取得部が取得した場合に前記所定電子制御ユニットが接続されているネットワークに前記第２提示用情報を含むフレームを送信し、
前記所定電子制御ユニットは、前記第１提示用情報を含むフレームを受信した場合に当該第１提示用情報を提示し、前記第２提示用情報を含むフレームを受信した場合に当該第２提示用情報を提示する
請求項１７記載のネットワークシステム。

【請求項19】

前記車両は、当該車両の外部に対して報知を行う報知装置を備え、
前記第１提示用情報は、前記報知装置に対して報知を行わせるための制御情報を含み、
前記出力部による前記第１提示用情報の出力は、前記第１提示用情報の前記報知装置への送信を含む
請求項１７又は１８記載のネットワークシステム。

【請求項20】

前記報知装置は、サイレン又は非常点滅表示灯である、
請求項１９記載のネットワークシステム。

【請求項21】

前記通信装置は、前記セキュリティ装置の前記受信部により受信された各フレームに関するログ情報を前記外部装置に送信し、
前記セキュリティ装置の前記取得部は、前記通信装置を介して前記外部装置に前記判定要求を送信し、当該判定要求に応じて前記外部装置から送信される判定結果を、前記通信装置を介して受信し、
前記外部装置は、前記判定要求を受信した場合に前記ログ情報に基づいて、前記車両において攻撃フレームが送信されているか否かを判定することで前記判定結果を前記通信装置に送信する
請求項１７〜２０のいずれか一項に記載のネットワークシステム。

【請求項22】

前記外部装置は、前記車両の動作を当該車両の外部から観測して当該車両の動作が正常であるか否かを判定することで前記判定結果を前記通信装置に送信する
請求項１７〜２０のいずれか一項に記載のネットワークシステム。

【請求項23】

前記外部装置は、前記所定条件が満たされると前記判定部が判定した場合に前記車両の周囲に所在する他の車両である
請求項２２記載のネットワークシステム。

【請求項24】

車両内の１つ又は複数のネットワークを介して複数の電子制御ユニットがフレームの授受を行う車載ネットワークシステムにおいて用いられる攻撃検知方法であって、
前記ネットワークからフレームを受信する受信ステップと、
前記受信ステップで受信されたフレームについて、所定条件が満たされるか否かを判定する判定ステップと、
前記所定条件が満たされると前記判定ステップで判定された場合に注意喚起のための第１提示用情報を提示する第１提示ステップと、
前記所定条件が満たされると前記判定ステップで判定された場合に前記車両の外部に判定要求が伝達されるように制御して、当該判定要求に応じた判定結果を取得する取得ステップと、
前記判定結果を前記取得ステップで取得した場合に前記判定結果を示す第２提示用情報を提示する第２提示ステップとを含む
攻撃検知方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、車両等に搭載される電子制御ユニットが通信を行うネットワークにおいて送信される不正なフレームである攻撃フレームを検知する技術に関する。

【背景技術】

【0002】

近年、自動車の中のシステムには、電子制御ユニット（ＥＣＵ：Electronic Control Unit）と呼ばれる装置が多数配置されている。これらのＥＣＵをつなぐネットワークは車載ネットワークと呼ばれる。車載ネットワークには、多数の規格が存在する。その中でも最も主流な車載ネットワークの一つに、ＩＳＯ１１８９８−１で規定されているＣＡＮ（Controller Area Network）という規格が存在する。

【0003】

ＣＡＮでは、通信路は２本のワイヤで構成されたバスであり、バスに接続されているＥＣＵはノードと呼ばれる。バスに接続されている各ノードは、フレームと呼ばれるメッセージを送受信する。またＣＡＮでは、送信先や送信元を指す識別子は存在せず、送信ノードはフレーム毎にメッセージＩＤと呼ばれるＩＤを付けて送信し（つまりバスに信号を送出し）、各受信ノードは予め定められたメッセージＩＤのみを受信する（つまりバスから信号を読み取る）。

【0004】

ＣＡＮでは送信先や送信元を指す識別子は存在せず、送信ノードはフレーム毎にメッセージＩＤと呼ばれるＩＤを付けて送信し（つまりバスに信号を送出し）、各受信ノードは予め定められたＩＤのフレームのみを受信する（つまりバスから信号を読み取る）。また、ＣＳＭＡ／ＣＡ（Carrier Sense Multiple Access/Collision Avoidance）方式を採用しており、複数ノードの同時送信時にはメッセージＩＤによる調停が行われ、メッセージＩＤの値が小さいフレームが優先的に送信される。

【0005】

上述の通り、ＣＡＮでは送信元が正しいかどうかの検証を実施しないことから、攻撃者（不正なノード）がＣＡＮのバスにアクセスして、不正なフレーム（攻撃フレーム）を送信することで、自動車を不正に制御してしまうことが可能である。このような攻撃に対する防御技術として、フレームがＣＡＮのバス上に送信された場合、不正に送信されたフレームかどうかを判定し、警報を発すること、不正なフレームをブロックすること等のアクションをとる技術が知られている（特許文献１参照）。

【先行技術文献】

【特許文献】

【0006】

【特許文献1】特開２０１５−１３６１０７号公報

【発明の概要】

【発明が解決しようとする課題】

【0007】

しかしながら、車載ネットワークのバスに送信されたフレームが、攻撃者が自動車等の車両を不正に制御しようとして送信した攻撃フレームであることが疑わしいが、攻撃フレームと断定できない場合においては、そのフレームをブロックすべきとは限らない。

【0008】

そこで、本発明は、送信されたフレームが攻撃フレームであることが疑わしい場合に、そのフレーム或いはそのフレームに後続するフレームによる悪影響（例えば車両の暴走等）を低減化し得るセキュリティ装置を提供する。また、本発明は、攻撃フレームであることが疑わしい場合にそのフレーム等による悪影響を低減化し得るネットワークシステム、及び、そのネットワークシステムで用いられる攻撃検知方法を提供する。

【課題を解決するための手段】

【0009】

上記課題を解決するために本発明の一態様に係るセキュリティ装置は、車両内の１つ又は複数のネットワークに接続されたセキュリティ装置であって、１つの前記ネットワークからフレームを受信する受信部と、前記受信部により受信されたフレームについて、所定条件が満たされるか否かを判定する判定部と、前記所定条件が満たされると前記判定部が判定した場合に前記車両の外部に判定要求が伝達されるように制御して、当該判定要求に応じた判定結果を取得する取得部と、前記所定条件が満たされると前記判定部が判定した場合に、注意喚起のための第１提示用情報を出力し、前記判定結果を前記取得部が取得した場合に前記判定結果を示す第２提示用情報を出力する出力部とを備えるセキュリティ装置である。

【0010】

また、上記課題を解決するために本発明の一態様に係るネットワークシステムは、上述のセキュリティ装置と、外部装置と、前記外部装置と通信する通信装置を搭載した前記車両と、前記１つ又は複数のネットワークと、前記１つ又は複数のネットワークを介してフレームの授受を行う、前記車両に搭載された複数の電子制御ユニットとを備え、前記セキュリティ装置は、前記通信装置を介して前記外部装置に前記判定要求を伝達し、前記外部装置は、前記判定要求に応じて判定を行い、前記通信装置を介して前記判定結果を前記セキュリティ装置へ伝達するネットワークシステムである。

【0011】

また、上記課題を解決するために本発明の一態様に係る攻撃検知方法は、車両内の１つ又は複数のネットワークを介して複数の電子制御ユニットがフレームの授受を行う車載ネットワークシステムにおいて用いられる攻撃検知方法であって、前記ネットワークからフレームを受信する受信ステップと、前記受信ステップで受信されたフレームについて、所定条件が満たされるか否かを判定する判定ステップと、前記所定条件が満たされると前記判定ステップで判定された場合に注意喚起のための第１提示用情報を提示する第１提示ステップと、前記所定条件が満たされると前記判定ステップで判定された場合に前記車両の外部に判定要求が伝達されるように制御して、当該判定要求に応じた判定結果を取得する取得ステップと、前記判定結果を前記取得ステップで取得した場合に前記判定結果を示す第２提示用情報を提示する第２提示ステップとを含む攻撃検知方法である。

【発明の効果】

【0012】

本発明によれば、攻撃フレームと疑わしいフレームが送信された場合において適切な通知がなされるようになるので、車両の運転者等がその通知を受けて、適切に対応できるようになり得る。

【図面の簡単な説明】

【0013】

【図1】実施の形態１に係るネットワークシステムの全体構成を示す図である。

【図2】実施の形態１に係るネットワークシステムの動作例を示すシーケンス図である。

【図3】ゲートウェイで授受されるフレームの内容の具体例を示す図である。

【図4】ステアリングＥＣＵの構成図である。

【図5】速度通知ＥＣＵの構成図である。

【図6】白線角度通知ＥＣＵの構成図である。

【図7】自動操舵指示ＥＣＵの構成図である。

【図8】ヘッドユニットＥＣＵの構成図である。

【図9】ヘッドユニットＥＣＵの表示内容保持部が保持する表示内容テーブルの一例を示す図である。

【図10】ヘッドユニットＥＣＵにおける警告通知の表示例を示す図である。

【図11】ヘッドユニットＥＣＵにおける異常なし通知の表示例を示す図である。

【図12】ヘッドユニットＥＣＵにおける攻撃検知通知の表示例を示す図である。

【図13】ヘッドユニットＥＣＵにおける停車勧告の表示例を示す図である。

【図14】実施の形態１に係るゲートウェイの構成図である。

【図15】ゲートウェイが受信するフレームに係る受信ＩＤリストの一例を示す図である。

【図16】ゲートウェイが不正フレームか否かの確認に用いるフレームフォーマットルールの一例を示す図である。

【図17】ゲートウェイが外部への判定要求の要否判断に用いる判断ルールの一例を示す図である。

【図18】ゲートウェイが警告の要否判断に用いる警告ルールの一例を示す図である。

【図19】ゲートウェイが通知内容の決定に用いる通知ルールの一例を示す図である。

【図20】ゲートウェイが用いる転送ルールの一例を示す図である。

【図21】ゲートウェイの状態記憶部に記憶されるデータ値の一例を示す図である。

【図22】実施の形態１に係るゲートウェイにおけるフレーム受信対応処理の一例を示すフローチャートである。

【図23】実施の形態１に係るゲートウェイにおける判定結果受信対応処理の一例を示すフローチャートである。

【図24】サーバの構成図である。

【図25】サーバにおける異常判定処理の一例を示すフローチャートである。

【図26】サーバの動作例を示すフローチャートである。

【図27】実施の形態２に係るネットワークシステムの全体構成を示す図である。

【図28】実施の形態２に係るネットワークシステムの動作例を示すシーケンス図である。

【図29】実施の形態２に係るゲートウェイの構成図である。

【図30】実施の形態２に係るゲートウェイにおけるフレーム受信対応処理の一例を示すフローチャートである。

【図31】実施の形態２に係るゲートウェイにおける判定結果受信対応処理の一例を示すフローチャートである。

【図32】自動車Ｂにおける判定要求に対応した動作例を示すフローチャートである。

【図33】ネットワークシステムの概略構成図である。

【発明を実施するための形態】

【0014】

本発明の一態様に係るセキュリティ装置は、車両内の１つ又は複数のバスに接続されたセキュリティ装置であって、１つの前記バスからフレームを受信する受信部と、前記受信部により受信されたフレームについて、攻撃フレームである可能性の有無を区別するための所定条件が満たされるか否かを判定する判定部と、前記所定条件が満たされると前記判定部が判定した場合に前記車両の外部に所在する外部装置に判定要求が伝達されるように制御して、当該判定要求に応じて当該外部装置から伝達される判定結果を取得する取得部と、前記所定条件が満たされると前記判定部が判定した場合に第１提示用情報を出力し、前記外部装置からの判定結果を前記取得部が取得した場合に第２提示用情報を出力する出力部とを備えるセキュリティ装置である。セキュリティ装置は、攻撃フレームである可能性の有無を区別する所定条件に基づく判定を行った後に、所定条件が満たされていれば外部装置による判定結果を待って攻撃フレームか否かを判定し得る。外部装置に判定要求を送信して外部装置に判定を行わせその判定結果を受信するには一定の時間を要する。上述の構成を有するセキュリティ装置によれば、所定条件が満たされた場合つまり攻撃フレームと疑わしいフレームが送信された場合に、第１提示用情報の出力によって適切な通知がなされ、一定の時間の経過後に外部装置による判定結果が得られた段階で第２提示用情報の出力によって適切な通知がなされるようになる。なお、提示用情報の出力は、直接或いはユーザインタフェースを有する装置等を介して車両の運転者、同乗者その他の人間への通知（情報提示等）に向けられたものである。従って、車両の運転者等がその通知を受けて、適切に対応できるようになり得る。例えば、攻撃フレームと疑わしいフレームが送信された場合において第１提示用情報に基づく通知で運転者等の注意が喚起されると、外部装置を利用してそのフレームが攻撃フレームであると判定できて第２提示用情報に基づく通知がなされた際に、運転者等が円滑に対応可能となり得る。このため、攻撃フレームであることが疑わしいフレームが送信された場合におけるそのフレーム或いはそのフレームに後続するフレームによる悪影響が低減化され得る。

【0015】

また、例えば、前記車両は、前記１つ又は複数のバスを介してＣＡＮ（Controller Area Network）プロトコルに従ってフレームの授受を行う複数の電子制御ユニットを搭載することとしても良い。これにより、電子制御ユニット（ＥＣＵ）間でフレームの授受を行うためのＣＡＮに従う車載ネットワークにおいて攻撃フレームが送信された場合に、攻撃フレームの悪影響を低減すべく適切に通知を行うことが可能となり得る。

【0016】

また、例えば、前記セキュリティ装置は、前記車両内の前記複数のバスに接続されたゲートウェイ装置であることとしても良い。これにより、複数のバス間を接続してフレームの転送を行うゲートウェイ装置としてのセキュリティ装置は、いずれかのバスに攻撃フレームが送信された場合に適切に通知を行うことが可能となり得る。

【0017】

また、例えば、前記セキュリティ装置は更に、一のバスから前記受信部により受信されたフレームについて不正条件に該当するか否かを確認する確認部を備え、前記セキュリティ装置は、前記受信部により一のバスから受信されたフレームについて、前記確認部により前記不正条件に該当しないことが確認された場合には当該フレームを他のバスへ転送し、前記確認部により前記不正条件に該当することが確認された場合には当該フレームを転送せず、前記受信部により受信されたフレームについて前記確認部により前記不正条件に該当することが確認された場合には、前記判定部は、前記所定条件が満たされると判定せず、前記出力部は、前記所定条件が満たされると前記判定部が判定した際に前記第１提示用情報を出力することとしても良い。これにより、ゲートウェイ装置としてのセキュリティ装置は、いずれかのバスに送信されたフレームが不正なフレーム（即ち所定のルールに適合しないフレーム）であることが確認された場合にはバス間での転送を抑止することができる。また、いずれかのバスに送信されたフレームが不正なフレームと判定できなくても不正な可能性があるフレームつまり攻撃フレームと疑わしいフレームと判定された場合にはセキュリティ装置は、フレームの転送は行うが、その判定の際に第１提示用情報の出力を行うので、この出力により運転者等に対して適切な通知がなされ得る。例えば、運転者等は、迅速に車両が自らの意図と異なる挙動を引き起こす可能性があることを知り得る。そして、運転者等は、車両の挙動に注意して運転することが可能となる。

【0018】

また、例えば、前記出力部は、前記所定条件が満たされると前記判定部が判定した場合において、警告条件が満たされるときに前記第１提示用情報を出力し、当該警告条件が満たされないときに前記第１提示用情報を出力しないこととしても良い。これにより、攻撃フレームと疑わしいフレームが送信された場合においても、警告を行う必要の有無をフレーム内容等から判別し得る。このため、送信されたフレームによる悪影響が小さい場合等において通知のための出力を行わないことが可能となり、運転者等に不要な警告を与えないことで混乱を防止し得る。

【0019】

また、例えば、前記出力部は、前記外部装置からの判定結果を前記取得部が取得した場合に、前記第１提示用情報と異なる予め定められた複数の相異なる情報のうち、警告条件が満たされるか否かと当該判定結果とに応じて選択した情報を、前記第２提示用情報として出力することとしても良い。これにより、外部装置から判定結果が得られた際における警告を行う必要性に鑑みて適切な情報を出力し得る。このため、外部装置による判定結果に基づいて運転者等に対して適切な通知がなされ得る。

【0020】

また、例えば、前記出力部は、前記警告条件が満たされるか否かを、前記受信部により過去に受信された１つ又は複数のフレームの内容に基づいて判別することとしても良い。これにより、例えば、現在又は一定期間内に近い過去において車両の挙動を異常にするようなフレームが受信されている場合に満たされる等と警告条件を定め得るので、車両の挙動が異常か否か等によって通知内容を変化させ得る。即ち、この構成により、例えば、異常が収まっている状態では、運転者等に過度に注意喚起することのない通知を行い、異常が続いている状態では、運転者等に停車を勧告する等の通知を行うことが可能となり得る。

【0021】

また、例えば、前記外部装置からの前記判定結果は、正常か否かを択一的に示し、前記出力部は、前記外部装置からの判定結果を前記取得部が取得した場合に、前記第１提示用情報と異なる予め定められた複数の相異なる情報のうち、当該判定結果が正常を示すか否かに応じて選択した情報を、前記第２提示用情報として出力することとしても良い。これにより、外部装置による判定結果が得られた際に、第１提示用情報とは別の、その判定結果に基づく第２提示用情報が出力され得る。このように外部装置による判定結果が得られる前後において出力される提示用情報が変化し得るので、例えば、提示用情報に基づく表示を行うディスプレイ等では表示が切り替わり、運転者等に対して適切に情報が通知され得る。

【0022】

また、例えば、前記取得部は、前記外部装置に前記判定要求を送信し、当該判定要求に応じて前記外部装置から送信される判定結果を受信する外部通信部を含むこととしても良い。これにより、セキュリティ装置が外部装置と通信可能となるので、車両においてセキュリティ装置とは別に車両外部との通信装置等を設ける必要がなくなり、例えば通信遅延等が低減され得る。

【0023】

また、例えば、前記出力部は、前記所定条件が満たされると前記判定部が判定した場合に前記車両内の１つのバスに前記第１提示用情報を含むフレームを送信し、前記外部装置からの判定結果を前記取得部が取得した場合に当該１つのバスに前記第２提示用情報を含むフレームを送信することとしても良い。これにより、セキュリティ装置は、自ら提示用情報を提示（表示等）する構成を有さなくても、バスに接続されたＥＣＵに提示用情報を送信してそのＥＣＵを介して情報を提示させること等で通知を実現し得る。

【0024】

また、例えば、前記判定部によりフレームについての判定に用いられる前記所定条件は、当該フレームと同一ＩＤを有して先に前記受信部に受信された同種先行フレームと当該フレームとの受信間隔、当該フレームのデータの内容と当該同種先行フレームのデータの内容との差分、及び、当該フレームと異なるＩＤを有して先に前記受信部に受信された異種先行フレームの内容と当該フレームの内容との相関性のうち、少なくとも１つに関する条件であることとしても良い。これにより、セキュリティ装置は、バスに送信されたフレームが攻撃フレームと疑わしいか否かを適切に判定し得る。

【0025】

また、本発明の一態様に係るネットワークシステムは、上述のセキュリティ装置と、前記外部装置と、前記外部装置と通信する通信装置を搭載した前記車両と、前記１つ又は複数のバスと、前記１つ又は複数のバスを介してフレームの授受を行う、前記車両に搭載された複数の電子制御ユニットとを備えるネットワークシステムである。これにより、複数の電子制御ユニット（ＥＣＵ）で構成される車載ネットワークにおいて攻撃フレームと疑わしいフレームが送信された場合に、第１提示用情報の出力によって適切な通知がなされ、一定の時間の経過後に車両の外部に所在する外部装置による判定結果が得られた段階で第２提示用情報の出力によって適切な通知がなされるようになる。このため、攻撃フレームであることが疑わしいフレームが送信された場合におけるそのフレーム或いはそのフレームに後続するフレームによる悪影響が低減化され得る。

【0026】

また、例えば、前記複数の電子制御ユニットの１つは、情報提示機能を有する所定電子制御ユニットであり、前記出力部は、前記所定条件が満たされると前記判定部が判定した場合に前記所定電子制御ユニットが接続されているバスに前記第１提示用情報を含むフレームを送信し、前記外部装置からの判定結果を前記取得部が取得した場合に前記所定電子制御ユニットが接続されているバスに前記第２提示用情報を含むフレームを送信し、前記所定電子制御ユニットは、前記第１提示用情報を含むフレームを受信した場合に当該第１提示用情報を提示し、前記第２提示用情報を含むフレームを受信した場合に当該第２提示用情報を提示することとしても良い。これにより、車載ネットワークにおいて攻撃フレームと疑わしいフレームが送信された場合に、情報提示機能を有する所定電子制御ユニット（所定ＥＣＵ）が適切な通知（情報の提示）を行うようになる。

【0027】

また、例えば、前記車両は、当該車両の外部に対して報知を行う報知装置を備え、前記第１提示用情報は、前記報知装置に対して報知を行わせるための制御情報を含み、前記出力部による前記第１提示用情報の出力は、前記第１提示用情報の前記報知装置への送信を含むこととしても良い。報知装置は、例えばサイレン、非常点滅表示灯（ハザードランプ）等であり得る。これにより、車両のバスに攻撃フレームと疑わしいフレームが送信された場合に例えばその車両の周囲を走行中の他の車両等に対して注意を喚起させることが可能となり得る。

【0028】

また、例えば、前記通信装置は、前記セキュリティ装置の前記受信部により受信された各フレームに関するログ情報を前記外部装置に送信し、前記セキュリティ装置の前記取得部は、前記通信装置を介して前記外部装置に前記判定要求を送信し、当該判定要求に応じて前記外部装置から送信される判定結果を、前記通信装置を介して受信し、前記外部装置は、前記判定要求を受信した場合に前記ログ情報に基づいて、前記車両において攻撃フレームが送信されているか否かを判定することで前記判定結果を前記通信装置に送信することとしても良い。これにより、外部装置はフレームに関するログ情報を蓄積し、蓄積したログ情報を分析して適切に判定を行い得る。なお、フレームの情報を用いた判定においても、車両が判定できないことを外部装置が判定可能な場合があり得る。例えば車両が比較的多量のログ情報を蓄積できない場合、その車両以外の車両におけるログ情報等を有さない場合等に対して、外部装置は、複数の車両のログ情報を収集して多量に蓄積し得るものであっても良い。

【0029】

また、例えば、前記外部装置は、前記車両の動作を当該車両の外部から観測して当該車両の動作が正常であるか否かを判定することで前記判定結果を前記通信装置に送信することとしても良い。これにより、車両では判定できないことを外部装置は判定することで、適切にその車両の動作が正常であるか否かを判定し得る。そして、その車両では外部装置による判定結果を利用して攻撃がなされているか否かを適切に判定し得る。従って、その車両において攻撃フレームと疑わしいフレームが送信された場合においてその車両によって適切な通知がなされ得る。

【0030】

また、例えば、前記外部装置は、前記所定条件が満たされると前記判定部が判定した場合に前記車両の周囲に所在する他の車両であることとしても良い。これにより、車両において攻撃フレームと疑わしいフレームが送信された場合においてその車両は周囲の他の車両に判定要求を行って判定結果を得ることにより適切な通知を行い得る。

【0031】

また、本発明の一態様に係る攻撃検知方法は、１つ又は複数のバスを介して複数の電子制御ユニットがフレームの授受を行う車載ネットワークシステムにおいて用いられる攻撃検知方法であって、前記バスからフレームを受信する受信ステップと、前記受信ステップで受信されたフレームについて、攻撃フレームである可能性の有無を区別するための所定条件が満たされるか否かを判定する判定ステップと、前記所定条件が満たされると前記判定ステップで判定された場合に第１提示用情報を提示する第１提示ステップと、前記所定条件が満たされると前記判定ステップで判定された場合に前記車両の外部に所在する外部装置に判定要求が伝達されるように制御して、当該判定要求に応じて当該外部装置から伝達される判定結果を取得する取得ステップと、前記外部装置からの判定結果を前記取得ステップで取得した場合に第２提示用情報を提示する第２提示ステップとを含む攻撃検知方法である。これにより、車両における複数の電子制御ユニット（ＥＣＵ）で構成される車載ネットワークシステムにおいて攻撃フレームと疑わしいフレームがバスに送信された場合に、第１提示用情報の提示がなされ、一定の時間の経過後に車両の外部に所在する外部装置による判定結果が得られた段階で第２提示用情報の提示がなされる。車両の運転者等は、第１提示用情報及び第２提示用情報を認識することができる。このため、このため、攻撃フレームであることが疑わしいフレームが送信された場合におけるそのフレーム或いはそのフレームに後続するフレームによる悪影響が低減化され得る。

【0032】

なお、これらの全般的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ−ＲＯＭ等の記録媒体で実現されても良く、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されても良い。

【0033】

以下、実施の形態に係るセキュリティ装置の一例としてのゲートウェイ装置を含むネットワークシステムについて、図面を参照しながら説明する。ここで示す実施の形態は、いずれも本発明の一具体例を示すものである。従って、以下の実施の形態で示される数値、構成要素、構成要素の配置及び接続形態、並びに、ステップ（工程）及びステップの順序等は、一例であって本発明を限定するものではない。以下の実施の形態における構成要素のうち、独立請求項に記載されていない構成要素については、任意に付加可能な構成要素である。また、各図は、模式図であり、必ずしも厳密に図示されたものではない。

【0034】

（実施の形態１）
以下、車両に搭載された複数の電子制御ユニット（ＥＣＵ）がバスを介して通信する車載ネットワーク（車載ネットワークシステム）におけるセキュリティ装置としてのゲートウェイ、及び、その車両と外部装置とを含むネットワークシステム、並びに、そのネットワークシステムで用いられる攻撃検知方法について説明する。攻撃検知方法は、車両に搭載された各ＥＣＵ間での通信に用いられるバスで不正なフレームである攻撃フレーム（その疑いがあるフレームを含む）が送信されたことを検知して検知結果に応じた通知のための出力を行う方法である。車両に搭載された、車載ネットワークにおけるセキュリティ装置（例えばゲートウェイ装置）は、攻撃検知方法に関連した攻撃の検知のための機能を少なくとも有する装置である。

【0035】

ここでは、自動車内のバスに送信されたフレームが、不正なフレーム（攻撃フレーム）である可能性がありかつそのフレームによって自動車が運転者の意図しない動作を引き起こす可能性があると判定された際に迅速に運転者へ通知を行い、更に、自動車の外部のサーバによる判定結果を受信することで攻撃フレームか否かを判別できるようになった際に、自動車の挙動に応じて通知内容を決定して、運転者へ通知を行うゲートウェイ装置を中心として、ネットワークシステムについて説明する。

【0036】

［１．１ ネットワークシステム１００の全体構成］
図１は、本実施の形態に係るネットワークシステム１００の全体構成を示す図である。

【0037】

ネットワークシステム１００は、自動車５００とサーバ４００と、これら自動車５００及びサーバ４００の間の通信路となるネットワーク１０とで構成される。ネットワーク１０は、インターネット等を含み得る。

【0038】

自動車５００は、車内の制御装置、センサ、アクチュエータ、ユーザインタフェース装置等の各種機器に接続されて、車内のバスを介してフレームに係る通信を行う複数の電子制御ユニット（ＥＣＵ）を含んで構成される車載ネットワークを備える。自動車５００内の車載ネットワークでは各ＥＣＵはＣＡＮプロトコルに従って通信を行う。ＣＡＮプロトコルにおけるフレームには、データフレーム、リモートフレーム、オーバーロードフレーム及びエラーフレームがあるが、ここでは主としてデータフレームに注目して説明する。なお、ＣＡＮにおいてデータフレームは、ＩＤ（メッセージＩＤ）を格納するＩＤフィールド、データ長を示すＤＬＣ（Data Length Code）、データを格納するデータフィールド等を含むように規定されている。

【0039】

車載ネットワークは、具体的には図１に示すように、自動車５００に搭載されたＣＡＮバスＡ１０１、ＣＡＮバスＢ１０２、及び、ＣＡＮバスＣ１０３を有する。ＣＡＮバスＡ１０１には、ステアリングＥＣＵ２００と速度通知ＥＣＵ２１０と、白線角度通知ＥＣＵ２２０と、ゲートウェイ３００とが接続されている。ＣＡＮバスＢ１０２には、自動操舵指示ＥＣＵ２３０とゲートウェイ３００とが接続されている。ＣＡＮバスＣ１０３には、ヘッドユニットＥＣＵ２４０とゲートウェイ３００とが接続されている。なお、車載ネットワークには、図１に示したＥＣＵ以外にもいくつものＥＣＵが含まれ得るが、ここでは、便宜上、ゲートウェイ３００、ステアリングＥＣＵ２００、速度通知ＥＣＵ２１０、白線角度通知ＥＣＵ２２０、自動操舵指示ＥＣＵ２３０、及び、ヘッドユニットＥＣＵ２４０に注目して説明を行う。ゲートウェイ３００も一種のＥＣＵである。ＥＣＵは、例えば、プロセッサ（マイクロプロセッサ）、メモリ等のデジタル回路、アナログ回路、通信回路等を含む装置である。メモリは、ＲＯＭ、ＲＡＭ等であり、プロセッサにより実行される制御プログラム（ソフトウェアとしてのコンピュータプログラム）を記憶することができる。例えばプロセッサが、制御プログラム（コンピュータプログラム）に従って動作することにより、ＥＣＵは各種機能を実現することになる。なお、コンピュータプログラムは、所定の機能を達成するために、プロセッサに対する指令を示す命令コードが複数個組み合わされて構成されたものである。なお、ゲートウェイ３００は、自動車５００の外部のサーバ４００と通信するための通信装置（通信回路等）を備える。

【0040】

ステアリングＥＣＵ２００、速度通知ＥＣＵ２１０、白線角度通知ＥＣＵ２２０は、それぞれ接続された機器（センサ等）の状態を取得し、周期的に状態を表すフレーム（データフレーム）を、ＣＡＮバス（ＣＡＮバスＡ〜Ｃのいずれか）に送信している。ゲートウェイ３００は、バス間でデータフレームの転送を行う。自動操舵指示ＥＣＵ２３０は、白線角度通知ＥＣＵ２２０が送信した白線の角度に係るフレームを受け取ると、そのフレームに基づいて自動車５００が白線に沿って進行するように調整すべく、ステアリングＥＣＵ２００に次のステアリングの角度を指示するためのフレームをＣＡＮバスＢ１０２に送信する。

【0041】

ゲートウェイ（ゲートウェイ装置）３００は、保持している受信ＩＤリスト（メッセージＩＤのリスト）に基づいて受信したフレームのＩＤを確認して、フレームのフィルタリングを行う。また、ゲートウェイ３００は、バスを流れるフレームの監視による攻撃の検知のための機能を有し、受信したフレームから抽出したログ情報をサーバ４００に送信する。また、ゲートウェイ３００は、ＩＤ毎に予め定められた受信周期、フレーム内のデータの変化量等に係る判断条件を受信したフレームが満たすか否かに基づいて、不正に送信された疑いのあるフレーム（つまり攻撃フレームと疑わしいフレーム）か否かを判定し、攻撃フレームと疑わしいフレームと判定した場合にはサーバ４００に判定を要求（依頼）する。

【0042】

ゲートウェイ３００は、例えばＣＡＮバスＢ１０２から、攻撃フレームと疑わしいフレームを受信し、かつ、そのフレームの転送によって例えばステアリングＥＣＵ２００において制御等がなされることで、自動車５００が運転者の意図しない動作を引き起こす可能性があると、予め定められた警告条件に基づいて判定した場合には、ヘッドユニットＥＣＵ２４０に警告（運転者に警告を通知する表示等）を指示した上で、そのフレームのＣＡＮバスＡ１０１への転送を行う。

【0043】

ゲートウェイ３００からの判定要求（判定依頼）を受信したサーバ４００は、それまでに受信して蓄積しているログ情報を用いて、判定要求に係るフレームについて、受信周期等に基づいて、正常か異常かの判定を行い、判定結果をゲートウェイ３００に返信する。ゲートウェイ３００は、サーバ４００からの判定結果と、現在の自動車５００の状態（ステアリングの角度、自動車５００の速度等）とに応じて、運転者への通知内容を決定してヘッドユニットＥＣＵ２４０に指示する。ヘッドユニットＥＣＵ２４０は、ゲートウェイ３００からの指示を受けて、例えばインストルメンタルパネル等に設けられたディスプレイ等において通知を行う（運転者に知らせる表示を切り替える）。図２に、このようなネットワークシステム１００の動作例について示している。動作の詳細については後に説明する。

【0044】

［１．２ ＥＣＵ］
ここでは各ＥＣＵについて、それらの構成と生成するフレームの内容とを説明する。なお、ＥＣＵ間で同一の構成要素については、同一の符号を付加し、説明を適宜省略する。

【0045】

ステアリングＥＣＵ２００は、ＩＤ１のフレームを１０ｍｓの周期で定期的に送信する。ここでは、ＩＤが１であることをＩＤ１と表記し、ＩＤが２、３、４、５であることをそれぞれＩＤ２、ＩＤ３、ＩＤ４、ＩＤ５と表記する。なお、１０ｍｓの周期は一例であり、任意の値を決定し、送信して良い。ＩＤ１のフレームは操舵角（ステアリングの現在の角度）を示すデータを含む。またステアリングＥＣＵ２００は、自動操舵指示ＥＣＵ２３０から送信されるＩＤ４のフレームを受信すると、フレーム内のデータが示すステアリングの操舵指示角度に従って、ステアリングの角度を制御する。

【0046】

速度通知ＥＣＵ２１０は、ＩＤ２のフレームを１０ｍｓの周期で定期的に送信する。ＩＤ２のフレームは、現在の自動車の速度を示すデータを含む。

【0047】

白線角度通知ＥＣＵ２２０は、ＩＤ３のフレームを１０ｍｓの周期で定期的に送信する。ＩＤ３のフレームは、白線角度（つまり車体前後方向である進行方向と白線との角度差）を示すデータを含む。

【0048】

自動操舵指示ＥＣＵ２３０は、ＩＤ４のフレームを１０ｍｓの周期で定期的に送信する。ＩＤ４のフレームは、自動操舵角（つまり次のステアリングの角度）を指示するデータを含む。

【0049】

ヘッドユニットＥＣＵ２４０は、ゲートウェイ３００から送信されるＩＤ５のフレームを受信すると、フレーム内のデータが示す表示内容に応じて、例えばインストルメンタルパネル等におけるディスプレイでの表示内容の切り替えを行う。

【0050】

［１．２．１ 各ＥＣＵで生成されるフレーム］
図３は、各ＥＣＵで生成されるフレーム（データフレーム）の一例を示す図である。ＩＤ毎にＤＬＣの値は予め定められている。また、データフィールドにおけるデータが示す内容は、ＩＤ毎に予め定められている。このデータ等の仕様については、ＣＡＮプロトコルで規定されておらず、例えば、自動車５００の車種、製造者（製造メーカ）等に依存した仕様となる。

【0051】

ここでは、ＩＤ１のフレームは、自動車５００の現在の操舵角を示し、ＤＬＣは２である。図３ではデータについて１６進数で表記しており、データの１桁が４ｂｉｔ分の値を示す。ＩＤ１のフレームのデータは、先頭の１桁でステアリングが現在左右のどちらに曲がっているかを表す。０なら左を、１なら右を表す。タイヤが車両前後方向と一致する向きとなるときのステアリングの角度を０度として、データの後半の３桁で、０〜３６０度を表す。ＩＤ２のフレームは、自動車５００の現在の速度を示し、ＤＬＣは２である。データは、２桁で現在の速度を表す。ＩＤ３のフレームは、自動車５００の進行方向と、道路面の白線方向との角度差としての白線角度を示し、ＤＬＣは２である。ＩＤ３のフレームのデータの表し方はＩＤ１のフレームと同様である。ＩＤ４のフレームは、自動操舵指示（ステアリングを自動で制御する指示）のフレームであり、自動車５００の自動操舵角を示し、ＤＬＣは２である。ＩＤ４のフレームのデータの表し方はＩＤ１のフレームと同様である。ＩＤ５のフレームは、ヘッドユニットＥＣＵ２４０での表示の切り替えに用いられる表示内容を指定する番号（表示切り替え信号）を示し、ＤＬＣは１である。ＩＤ５のフレームのデータは、２桁で、表示内容を指定する。具体的な表示内容（画面表示）、及び、表示内容を指定する番号については後に、図９〜図１３を用いて説明する。

【0052】

［１．２．２ ステアリングＥＣＵ］
図４は、ステアリングＥＣＵ２００の構成図である。ステアリングＥＣＵ２００は、同図に示すように、フレーム送受信部２０１と、フレーム解釈部２０２と、受信ＩＤ判断部２０３と、受信ＩＤリスト保持部２０９と、フレーム生成部２０８と、制御部２０５と、自動操舵用モータ２０６と、ステアリングセンサ２０７とを含んで構成される。

【0053】

フレーム送受信部２０１は、接続されているＣＡＮバスからフレームを受信するとフレーム解釈部２０２へ送り、また、フレーム生成部２０８で生成されたフレームを受け取ると、受け取ったフレームを、接続されているＣＡＮバスに送信する。

【0054】

フレーム解釈部２０２は、フレーム送受信部２０１から受け取ったフレームからＩＤ、ＤＬＣ、データのそれぞれを区別して抽出し、ＩＤを受信ＩＤ判断部２０３へ送る。フレーム解釈部２０２は、受信ＩＤ判断部２０３から、受信すべきＩＤであるという結果を受けるとＩＤ、ＤＬＣ、及び、データを制御部２０５へ送り、受信すべきＩＤでないという結果を受けるとフレームを破棄する。

【0055】

受信ＩＤ判断部２０３は、フレーム解釈部２０２からＩＤを受け取ると、受信ＩＤリスト保持部２０９で保持する受信ＩＤリストに基づいて受信すべきＩＤか否かを判断し、その結果をフレーム解釈部２０２へ返す。

【0056】

受信ＩＤリスト保持部２０９は、受信ＩＤ判断部２０３が受信すべきＩＤか否かを判断するために用いる受信ＩＤリストを保持する。ステアリングＥＣＵ２００では、自動操舵角を示すＩＤ４のフレームを受信する受信ＩＤリストを保持する。

【0057】

制御部２０５は、受け取ったフレームのＩＤを確認することでそのフレームが自動操舵指示のフレーム（ＩＤ４のフレーム）であれば、ステアリングセンサ２０７より得られた現在のステアリングの角度を参照して自動操舵用モータ２０６の制御を行う。

【0058】

自動操舵用モータ２０６は、制御部２０５からの指示に応じてステアリングを動作させる。

【0059】

ステアリングセンサ２０７は、１０ｍｓに１度の周期で自動車５００のステアリングの角度を取得し、制御部２０５とフレーム生成部２０８とへ伝達する。

【0060】

フレーム生成部２０８は、１０ｍｓ毎に、ステアリングセンサ２０７から伝達された自動車５００のステアリングの角度を示すデータを含むＩＤ１のフレームを生成して、フレーム送受信部２０１へ送る。

【0061】

［１．２．３ 速度通知ＥＣＵ］
図５は、速度通知ＥＣＵ２１０の構成図である。速度通知ＥＣＵ２１０は、同図に示すように、フレーム送受信部２０１と、フレーム生成部２１８と、速度センサ２１１とを含んで構成される。

【0062】

速度センサ２１１は、自動車５００の速度を、１０ｍｓに１度の周期でフレーム生成部２１８へ伝達する。

【0063】

フレーム生成部２１８では、１０ｍｓ毎に、速度センサ２１１から伝達された自動車５００の速度を示すデータを含むＩＤ２のフレームを生成して、フレーム送受信部２０１へ送る。

【0064】

フレーム送受信部２０１は、フレーム生成部２１８で生成されたフレームを受け取ると、受け取ったフレームを、接続されているＣＡＮバスに送信する。

【0065】

［１．２．４ 白線角度通知ＥＣＵ］
図６は、白線角度通知ＥＣＵ２２０の構成図である。白線角度通知ＥＣＵ２２０は、同図に示すように、フレーム送受信部２０１と、フレーム生成部２２８と、白線角度検知センサ２２１とを含んで構成される。

【0066】

白線角度検知センサ２２１は、自動車５００の車体の前後方向である進行方向と道路面の白線との角度差を、一定の周期でフレーム生成部２２８へ伝達する。

【0067】

フレーム生成部２２８は、１０ｍｓ毎に、白線角度検知センサ２２１から伝達された自動車５００と白線との角度差を示すデータを含むＩＤ３のフレームを生成して、フレーム送受信部２０１へ送る。

【0068】

フレーム送受信部２０１は、フレーム生成部２２８で生成されたフレームを受け取ると、受け取ったフレームを、接続されているＣＡＮバスに送信する。

【0069】

［１．２．５ 自動操舵指示ＥＣＵ］
図７は、自動操舵指示ＥＣＵ２３０の構成図である。自動操舵指示ＥＣＵ２３０は、同図に示すように、フレーム送受信部２０１と、フレーム解釈部２０２と、受信ＩＤ判断部２０３と、受信ＩＤリスト保持部２３９と、フレーム生成部２３８と、制御部２３１とを含んで構成される。

【0070】

受信ＩＤリスト保持部２３９は、ステアリングＥＣＵ２００からのステアリングの角度を示すＩＤ１のフレーム、及び、白線角度通知ＥＣＵ２２０からの白線角度を示すＩＤ３のフレームを、受信ＩＤ判断部２０３で受信するものと判断させるために、ＩＤ１及びＩＤ３を含む受信ＩＤリストを保持する。

【0071】

制御部２３１は、フレーム解釈部２０２から受け取ったフレームのうち、ＩＤ１のフレームのデータが示す操舵角、及び、ＩＤ３のフレームのデータが示す白線角度（自動車５００の進行方向と道路面の白線の方向との角度差）に基づいて、次のステアリングの角度を決定して指示する。例えば、白線角度（角度差）が左に１０度の場合において、例えば、次のステアリングの角度を左に１０度等と決定して、その決定した角度を指示するフレームをフレーム生成部２３８に生成させる。

【0072】

フレーム生成部２３８は、１０ｍｓ毎に、制御部２３１で決定された角度（自動操舵角）を示すデータを含むＩＤ４のフレームを生成して、フレーム送受信部２０１へ送る。

【0073】

［１．２．６ ヘッドユニットＥＣＵ］
ヘッドユニットＥＣＵ２４０は、例えばカーナビゲーション等の機能を含みインストルメンタルパネル等に設けられたディスプレイに各種表示を行うことで、運転者に情報を認識させ得る。

【0074】

図８は、ヘッドユニットＥＣＵ２４０の構成図である。ヘッドユニットＥＣＵ２４０は、同図に示すように、フレーム送受信部２０１と、フレーム解釈部２０２と、受信ＩＤ判断部２０３と、受信ＩＤリスト保持部２４９と、表示部２４１と表示内容保持部２４１ａとを含んで構成される。

【0075】

受信ＩＤリスト保持部２４９は、ゲートウェイ３００からの表示切り替え信号を示すＩＤ５のフレームを、受信ＩＤ判断部２０３で受信するものと判断させるために、ＩＤ５を含む受信ＩＤリストを保持する。

【0076】

表示部２４１は、ディスプレイ画面に各種表示を行う機能を有し、ゲートウェイ３００からの表示内容に対応した番号（表示切り替え信号）を示すＩＤ５のフレームがフレーム送受信部２０１で受信された場合に、表示内容保持部２４１ａで保持する表示内容テーブルに基づいて表示内容を特定してディスプレイ画面の表示を切り替える。

【0077】

表示内容保持部２４１ａは、表示内容テーブルを記憶する。

【0078】

図９は、表示内容保持部２４１ａが記憶する表示内容テーブルの一例を示す図である。表示内容テーブルは、ゲートウェイ３００から受信するＩＤ５のフレームのデータが示す番号（表示切り替え信号）と、表示内容とを対応付けている。この表示内容テーブルにより、表示部２４１は、受信したＩＤ５のフレームのデータが示す番号が１の場合には、異常なし通知としての表示内容（異常がなかった旨を示すメッセージ等）をディスプレイに表示する。また、受信したＩＤ５のフレームのデータが示す番号が２の場合には、表示部２４１は、警告通知としての表示内容（運転者の意図しない、自動車５００の動作への注意を促すメッセージ等）をディスプレイに表示する。また、受信したＩＤ５のフレームのデータが示す番号が３の場合には、表示部２４１は、攻撃検知通知としての表示内容（車載ネットワークにおいて攻撃フレームが送信されたことが検知された旨のメッセージ等）をディスプレイに表示する。また、受信したＩＤ５のフレームのデータが示す番号が４の場合には、表示部２４１は、停車勧告としての表示内容（自動車５００を停車させることを勧めるメッセージ等）をディスプレイに表示する。

【0079】

以下、上述した表示部２４１による具体的な画面表示例について、図１０〜図１３を用いて説明する。

【0080】

図１０は、ヘッドユニットＥＣＵ２４０における警告通知の表示例を示す。ヘッドユニットＥＣＵ２４０により、カーナビゲーション機能による道路地図上での自動車５００の位置を示す画面２４２ａがディスプレイに表示されている状態を前提とする。そして、この状態で、ヘッドユニットＥＣＵ２４０が、番号を２としたデータを含むＩＤ５のフレームを受信すると、ヘッドユニットＥＣＵ２４０は、警告通知に係る画面２４２ｂをディスプレイに表示させる。番号を２としたデータを含むＩＤ５のフレームは、ゲートウェイ３００から、運転者の意図しない自動車５００の動作を引き起こし得るフレームをＣＡＮバス間で転送した際において、ＣＡＮバスＣ１０３に送信される。

【0081】

図１１は、ヘッドユニットＥＣＵ２４０における異常なし通知の表示例を示す。ヘッドユニットＥＣＵ２４０が、上述した画面２４２ｂをディスプレイに表示させた後に、番号を１としたデータを含むＩＤ５のフレームを受信すると、ヘッドユニットＥＣＵ２４０は、異常なし通知に係る画面２４２ｃをディスプレイに表示させる。番号を１としたデータを含むＩＤ５のフレームは、ゲートウェイ３００から、サーバ４００での判定結果に基づいて攻撃フレームが送信されていなかったと判定した際においてＣＡＮバスＣ１０３に送信される。

【0082】

図１２は、ヘッドユニットＥＣＵ２４０における攻撃検知通知の表示例を示す。ヘッドユニットＥＣＵ２４０が、上述した画面２４２ｂをディスプレイに表示させた後に、番号を３としたデータを含むＩＤ５のフレームを受信すると、ヘッドユニットＥＣＵ２４０は、攻撃検知通知に係る画面２４２ｄをディスプレイに表示させる。番号を３としたデータを含むＩＤ５のフレームは、ゲートウェイ３００から、サーバ４００での判定結果に基づいて攻撃フレームが送信されていたと判定し、かつ、現在は自動車５００において運転者の意図しない動作が起きていないことを確認した際においてＣＡＮバスＣ１０３に送信される。

【0083】

図１３は、ヘッドユニットＥＣＵ２４０における停車勧告の表示例を示す。ヘッドユニットＥＣＵ２４０が、上述した画面２４２ｂをディスプレイに表示させた後に、番号を４としたデータを含むＩＤ５のフレームを受信すると、ヘッドユニットＥＣＵ２４０は、停車勧告に係る画面２４２ｅをディスプレイに表示させる。番号を４としたデータを含むＩＤ５のフレームは、ゲートウェイ３００から、サーバ４００での判定結果に基づいて攻撃フレームが送信されていたと判定し、かつ、現在も自動車５００において運転者の意図しない動作が起きていることを確認した際においてＣＡＮバスＣ１０３に送信される。

【0084】

［１．３ ゲートウェイ］
図１４は、ゲートウェイ３００の構成図である。なお同図にはサーバ４００を付記している。ゲートウェイ３００は、バス間でのフレーム転送の機能を実行し、攻撃の検知のための機能を有するセキュリティ装置としても機能する。このためゲートウェイ３００は、図１４に示すように、フレーム送受信部３０１と、フレーム解釈部３０２と、外部通信部３０３と、受信ＩＤ判断部３０２ａと、受信ＩＤリスト保持部３０２ｂと、確認部３０５と、フォーマットルール保持部３０５ａと、判断部３０６と、判断ルール保持部３０６ａと、通知部３０７と、警告ルール保持部３０７ａと、状態記憶部３０７ｂと、通知ルール保持部３０７ｃと、転送部３０８と、転送ルール保持部３０８ａと、フレーム生成部３０４とを含んで構成される。これらの各構成要素は、ゲートウェイ３００における通信回路、メモリに格納された制御プログラムを実行するプロセッサ或いはデジタル回路等により実現される。

【0085】

フレーム送受信部３０１は、ＣＡＮバスＡ１０１、ＣＡＮバスＢ１０２及びＣＡＮバスＣ１０３のいずれからフレームを受信するとフレーム解釈部３０２へ送る。また、フレーム送受信部３０１は、フレーム生成部３０４で生成されたフレームを受け取ると、転送部３０８で決められたバスに受け取ったフレームを送信する。

【0086】

フレーム解釈部３０２は、フレーム送受信部３０１から受け取ったフレームからＩＤ、ＤＬＣ、データのそれぞれを区別して抽出して、ＩＤ、ＤＬＣ及びデータを外部通信部３０３へ送り、ＩＤを受信ＩＤ判断部３０２ａへ送る。フレーム解釈部３０２は、受信ＩＤ判断部３０２ａから、受信すべきＩＤであるという結果を受けるとＩＤ、ＤＬＣ及びデータを確認部３０５と状態記憶部３０７ｂとへ送り、受信すべきＩＤでないという結果を受けると、フレームを破棄する。

【0087】

状態記憶部３０７ｂは、フレーム解釈部３０２から、ＩＤ、ＤＬＣ及びデータを受け取り、ＩＤとデータとを記憶する。状態記憶部３０７ｂは例えば、メモリ等の記憶媒体に、ＩＤ毎に過去に受け取った複数回分（例えば２回分）のデータを記憶し得る。状態記憶部３０７ｂが記憶するデータ等は、通知部３０７において自動車５００の現在の状態を知るために参照される。状態記憶部３０７ｂにおいて記憶されるデータについては、図２１を用いて具体例を後に説明する。

【0088】

外部通信部３０３は、通信装置として機能し得る。外部通信部３０３は、フレーム解釈部３０２からＩＤ、ＤＬＣ及びデータを受け取ると、これをログ情報としてサーバ４００に送信する。また、判断部３０６から判定要求（判定依頼）を受け取ると、判定要求をサーバ４００に送信する。判定要求は、例えばゲートウェイ３００の通信アドレス等を示す情報を含む。サーバ４００から判定要求に応じた判定結果を受信すると、判定結果を通知部３０７へ伝達する。

【0089】

受信ＩＤ判断部３０２ａは、フレーム解釈部３０２からＩＤを受け取ると、受信ＩＤリスト保持部３０２ｂで保持する受信ＩＤリストに基づいて受信すべきＩＤか否かを判断し、その結果をフレーム解釈部３０２へ返す。

【0090】

受信ＩＤリスト保持部３０２ｂは、受信ＩＤ判断部３０２ａが受信すべきＩＤか否かを判断するために用いる受信ＩＤリストを保持する。この受信ＩＤリストについては後に図１５を用いて説明する。

【0091】

確認部３０５は、フレーム解釈部３０２からＩＤ、ＤＬＣ及びデータを受け取ると、フォーマットルール保持部３０５ａで保持するフォーマットルールに基づいてＩＤ、ＤＬＣ及びデータが不正か否かを確認（判定）する。確認部３０５は、受け取ったＩＤ、ＤＬＣ及びデータが不正でないと判定した場合はそのＩＤ、ＤＬＣ及びデータを判断部３０６へ送り、その他の場合には、ＩＤ、ＤＬＣ及びデータを、判断部３０６に伝達せずに破棄する。

【0092】

フォーマットルール保持部３０５ａは、確認部３０５において、受け取ったＩＤ、ＤＬＣ及びデータが正規のものであるか否かを判定（確認）するための基準となるフォーマットルールを保持する。フォーマットルールは、不正なフレームが満たす不正条件を規定しているとも言える。確認部３０５により不正条件に該当しないことが確認されたフレームは、ゲートウェイ３００においてバス間で転送され、確認部３０５により不正条件に該当することが確認されたフレームは転送されない（破棄される）ことになる。フォーマットルールについては、図１６を用いて後に説明する。

【0093】

判断部３０６は、確認部３０５からＩＤ、ＤＬＣ及びデータを受け取ると、判断ルール保持部３０６ａで保持する判断ルールが示す所定条件が満たされるか否かに基づいて、サーバ４００に判定要求を行うべきか否か（つまりそのＩＤ、ＤＬＣ及びデータに係るフレームが攻撃フレームと疑わしいフレームであるか否か）を判定する。判断部３０６がサーバ４００に判定要求を行うべきと判定した場合には、判定要求を外部通信部３０３へ送り、その判定要求を送る際にはＩＤ、ＤＬＣ及びデータを通知部３０７へ送る。判断部３０６は、サーバ４００に判定要求を行うべきと判定しなかった場合（つまり該当のフレームが攻撃フレームと疑わしいフレームであると判定しなかった場合）には、ＩＤ、ＤＬＣ及びデータを転送部３０８へ送る。

【0094】

判断ルール保持部３０６ａは、判断部３０６において、受け取ったＩＤ、ＤＬＣ及びデータに係るフレームが攻撃フレームと疑わしいフレームであるか否か（サーバに判定要求を行うべきか否か）の判断条件（所定条件）を示す判断ルールを保持する。判断ルールについては、図１７を用いて後に説明する。

【0095】

通知部３０７は、判断部３０６からＩＤ、ＤＬＣ及びデータを受け取ると、警告ルール保持部３０７ａで保持する警告ルールが示す警告条件が満たされるか否かに基づいて、ゲートウェイ３００が受信したフレームを転送することで自動車５００が運転者の意図しない動作を引き起こす可能性があるか否かを判定する。通知部３０７は、運転者が意図しない動作を引き起こす可能性があると判定した場合（つまり警告条件を満たすと判定した場合）は、ヘッドユニットＥＣＵ２４０へ警告通知を指示する番号（通知切り替え信号）を示すＩＤ５のフレームを生成するための情報と、受信したＩＤ、ＤＬＣ及びデータとを、転送部３０８へ送る。通知部３０７は、運転者が意図しない動作を引き起こす可能性がないと判定した場合（つまり警告条件を満たさないと判定した場合）は、受信したＩＤ、ＤＬＣ及びデータとを、転送部３０８へ送る。また、通知部３０７は、サーバ４００から受信した判定結果を外部通信部３０３から受け取ると、現在の自動車５００の状態を、状態記憶部３０７ｂを参照して、警告ルールが示す警告条件が満たされるか否かに基づいて、通知ルールに従って通知内容に係る番号を決定し、ヘッドユニットＥＣＵ２４０へその通知内容を指示する番号（通知切り替え信号）を示すＩＤ５のフレームを生成するための情報を転送部３０８へ送る。

【0096】

警告ルール保持部３０７ａは、通知部３０７において、受け取ったＩＤ、ＤＬＣ及びデータに係るフレームを転送することで、自動車５００が、運転者の意図しない動作を引き起こす可能性があるか否か、或いは、サーバ４００からの判定結果が受信された際において自動車５００が運転者の意図しない動作を引き起こす可能性がある状態にあるか否かを、判定するための警告条件を示す警告ルールを保持する。警告ルールについては、図１８を用いて後に説明する。

【0097】

通知ルール保持部３０７ｃは、通知部３０７で受け取ったサーバ４００からの判定結果と現在の自動車５００の状態とから、通知内容を決定するための基準となる通知ルールを保持する。通知ルールについては、図１９を用いて後に説明する。

【0098】

転送部３０８は、判断部３０６又は通知部３０７からＩＤ、ＤＬＣ及びデータを受信すると、転送ルール保持部３０８ａで保持する転送ルールに基づいて、ＩＤ毎に定められたバスへ送信する指示と、受信したＩＤ、ＤＬＣ及びデータに対応するフレームの生成指示とをフレーム生成部３０４へ送る。通知部３０７からヘッドユニットＥＣＵ２４０への指示に係るＩＤ５のフレームを生成するための情報を受け取った場合は、ＣＡＮバスＣ１０３へ送信する指示と、そのＩＤ５のフレームの生成指示とをフレーム生成部３０４へ送る。

【0099】

転送ルール保持部３０８ａは、転送部３０８で受け取ったＩＤをどのバスへ送信すべきかを示す転送ルールを保持する。転送ルールについては、図２０を用いて後に説明する。

【0100】

フレーム生成部３０４は、転送部３０８から受け取ったフレームの生成指示に応じてフレームを生成し、生成したフレームと、指定されたバスへ送信する指示とをフレーム送受信部３０１へ送る。

【0101】

［１．３．１ ゲートウェイにおける受信ＩＤリスト］
図１５は、受信ＩＤリストの一例を示す図である。受信ＩＤリストは、ゲートウェイ３００が接続されているバス（ＣＡＮバスＡ１０１、ＣＡＮバスＢ１０２及びＣＡＮバスＣ１０３）毎に、受信可能なフレームのＩＤを示す。ゲートウェイ３００は、この受信ＩＤリストに示されないＩＤのフレームを受信した場合にはそのフレームを破棄する（そのフレームについてバス間での転送を行わない）。

【0102】

図１５の例の受信ＩＤリストは、ＣＡＮバスＡ１０１から受信できるフレームのＩＤが１、２、３であり、ＣＡＮバスＢ１０２から受信できるフレームのＩＤが４であることを示す。

【0103】

［１．３．２ フォーマットルール］
図１６は、フォーマットルールの一例を示す図である。フォーマットルールは、フレームのＩＤ毎に、正規なフレームのＤＬＣと、データフィールド内のデータが示す値の範囲を規定している。ゲートウェイ３００は、フォーマットルールに従って正規なフレームか否（不正なフレーム）かを判定し、不正なフレームを受信した場合には、そのフレームを破棄する（そのフレームについてバス間での転送を行わない）。

【0104】

図１６の例のフォーマットルールによれば、ゲートウェイ３００は、ＩＤ１のフレームに対してＤＬＣが２であり、かつ、データフィールド内のデータが示す操舵角の値の範囲が−３６０〜３６０であるフレームのみを正規なフレームと判定し、その他のフレームは不正なフレームと判定する。

【0105】

［１．３．３ 判断ルール］
図１７は、判断ルールの一例を示す図である。判断ルールは、受信したフレームが攻撃フレームと疑わしいフレームであるか否か（つまりサーバ４００に判定要求を行うべきか否か）の判定のための所定条件を示す。図１７の例の判断ルールは、フレームのＩＤ毎に、データフィールド内のデータが示す値の変化量の絶対値の閾値、フレームについて規定された周期等を示す。この変化量の絶対値の閾値は、受信したフレームのデータフィールドのデータが示す値と、そのフレームと同じＩＤの前回受信したフレームのデータフィールドのデータが示す値との差の絶対値の上限である。例えば、この上限を超える場合に所定条件が満たされ、受信したフレームは攻撃フレームと疑わしいフレームであると判定（つまり自動車５００の外部に所在する外部装置による判定が必要であると判定）される。即ち、ゲートウェイ３００は、受信したフレームについてその前回受信したフレームとの関係で変化量が上限を超える場合に、その受信したフレームが攻撃フレームと疑わしいフレームであると判定し、サーバ４００に判定要求を送信する。また、フレームについての規定された周期は、受信したフレームと、そのフレームと同じＩＤの前回受信したフレームとの受信間隔に関する基準（規定周期）である。例えば、この基準から所定マージン（例えばプラスマイナス１ｍｓ等）の範囲を逸脱する場合に所定条件が満たされ、受信したフレームは攻撃フレームと疑わしいフレームであると判定（つまり自動車５００の外部に所在する外部装置による判定が必要であると判定）される。即ち、ゲートウェイ３００は、受信したフレームについてその前回受信したフレームとの受信間隔がその基準から所定マージンの範囲を逸脱する場合に、その受信したフレームが攻撃フレームと疑わしいフレームであると判定し、サーバ４００に判定要求を送信する。

【0106】

図１７の例の判断ルールによれば、ゲートウェイ３００は、ＩＤ１のフレームのデータが示す操舵角について、前回からの更新において変化量の絶対値が２００を超えている場合か、ＩＤ１のフレームが、規定周期１０ｍｓ−所定マージンより、短い受信間隔、或いは、規定周期１０ｍｓ＋所定マージンより、長い受信間隔で受信された場合に、不正に送信された疑いのあるフレーム（攻撃フレームと疑わしいフレーム）であると判定する（つまり外部のサーバ４００による判定が必要であると判定する）。なお、ゲートウェイ３００では、受信間隔を特定するために、受信したフレームの受信時刻をＩＤ毎に記憶し得る。

【0107】

［１．３．４ 警告ルール］
図１８は、警告ルールの一例を示す図である。警告ルールは、自動車５００が運転者の意図しない動作を引き起こす可能性がある状態にあるか否かを判定するための警告条件を示す。図１８の例の警告ルールは、フレームのＩＤ毎に、データフィールド内のデータが示す値の変化量の絶対値の閾値等を示す。この変化量の絶対値の閾値は、フレームによって更新される値と更新前の値との差の絶対値の上限である。例えば、この上限を超える場合に警告条件が満たされ、自動車５００が運転者の意図しない動作を引き起こす可能性がある状態にあると判定される。即ち、ゲートウェイ３００は、フレームを受信した際において、受信したフレームについてその前回受信したフレームとの関係で変化量が上限を超える場合に、自動車５００が運転者の意図しない動作を引き起こす可能性がある状態にあると判定し、ＩＤ５のフレームをヘッドユニットＥＣＵ２４０に送信することになる。また、ゲートウェイ３００は、サーバ４００からの判定結果を受信した際において、例えば状態記憶部３０７ｂに記憶している最後に受信したフレームについてその前回受信したフレームとの関係で変化量が上限を超えるか否かにより、自動車５００が運転者の意図しない動作を引き起こす可能性がある状態であるか否かを判定し、その判定等に応じて通知内容を決定してＩＤ５のフレームをヘッドユニットＥＣＵ２４０に送信することになる。

【0108】

図１８の例の警告ルールによれば、ゲートウェイ３００は、操舵角を示すＩＤ１のフレームのデータについて、前回からの更新で変化量の絶対値が９０を超えている場合、或いは、自動車の速度を示すＩＤ２のフレームのデータについて、前回からの更新で変化量の絶対値が５０を超えている場合に、自動車５００が、運転者の意図しない動作を引き起こす可能性がある状態にあると判定する。

【0109】

［１．３．５ 通知ルール］
図１９は、ヘッドユニットＥＣＵ２４０へ指示する通知内容の決定の基準となる通知ルールの一例を示す。図１９の通知ルールでは、サーバ４００での判定前の場合と、サーバ４００から不正（異常）の判定結果を得た場合と正常の判定結果を得た場合とで、通知内容を区別している。なお、サーバ４００での判定前の場合においては、警告ルールが示す警告条件が満たされていることが通知部３０７による通知内容の決定の前提となる。また、サーバ４００から不正（異常）の判定結果を得た場合において、警告ルールが示す警告条件が満たされたとき（警告必要のとき）と警告条件が満たされなかったとき（警告不要のとき）とで、通知内容を区別している。

【0110】

図１９の例の通知ルールによれば、ゲートウェイ３００は、警告が必要と判定されてサーバ４００での判定前には、警告通知を指示する２番（図９参照）の通知切り替え信号を示すデータを含むＩＤ５のフレームを、ヘッドユニットＥＣＵ２４０に送信することになる。また、ゲートウェイ３００は、サーバ４００から異常の判定結果を得た際に警告が必要と判定された場合には、停車勧告を指示する４番の通知切り替え信号を示すデータを含むＩＤ５のフレームを、ヘッドユニットＥＣＵ２４０に送信することになる。また、ゲートウェイ３００は、サーバ４００から異常の判定結果を得た際に警告が不要と判定された場合には、攻撃検知通知を指示する３番の通知切り替え信号を示すデータを含むＩＤ５のフレームを、ヘッドユニットＥＣＵ２４０に送信することになる。また、ゲートウェイ３００は、サーバ４００から正常の判定結果を得た場合には、異常なし通知を指示する１番の通知切り替え信号を示すデータを含むＩＤ５のフレームを、ヘッドユニットＥＣＵ２４０に送信することになる。

【0111】

［１．３．６ 転送ルール］
図２０は、転送ルールの一例を示す図である。転送ルールは、対象ＩＤのフレームを転送元バスから受信した場合に限って転送すべきことと、その転送のための転送先バスとを示している。転送ルールにおいて対象ＩＤ及び転送元バスの組で示されていない転送は行われない。

【0112】

図２０の例の転送ルールによれば、ゲートウェイ３００は、例えばＩＤ１のフレームをＣＡＮバスＡ１０１から受信した場合に、ＣＡＮバスＢ１０２とＣＡＮバスＣ１０３とへ、このフレームを転送する。また、ＩＤ５のフレームは、ゲートウェイ３００からの送信するフレームであるため、図２０の転送ルールにおいて対応する転送元バスが存在しない。

【0113】

［１．３．７ 状態記憶部３０７ｂにおいて記憶されるデータ］
図２１は、状態記憶部３０７ｂにおいて記憶されるデータの一例を示す図である。状態記憶部３０７ｂでは、ＩＤ毎に、ゲートウェイ３００が過去に受信した複数回分のフレームのＩＤ及びデータが記憶される。なお、図２１では便宜上ＩＤ毎に過去に受信された１つのデータを示している。この例では、現在記憶されているＩＤ１のフレームに係るデータが示す操舵角（ステアリングの角度）の値は５であり、ＩＤ２のフレームに係るデータが示す自動車の速度の値は４０であり、ＩＤ３のフレームに係るデータが示す白線角度の値は−８であり、ＩＤ４のフレームに係るデータが示す自動操舵角（ステアリングの自動操舵指示に係る角度）の値は５である。

【0114】

［１．３．８ ゲートウェイにおけるフレーム受信対応処理］
図２２は、ゲートウェイ３００におけるフレーム受信対応処理の一例を示すフローチャートである。以下、同図に即してフレーム受信対応処理について説明する。

【0115】

ゲートウェイ３００は、いずれかのバスからフレームを受信し、フレームを解釈する（ステップＳ３０１）。ゲートウェイ３００は、フレーム内のＩＤ、ＤＬＣ及びデータをログ情報としてサーバ４００に送信する（ステップＳ３０２）。

【0116】

続いてゲートウェイ３００は、受信したフレームが正規なものか否かを、フォーマットルールを用いて確認する（ステップＳ３０３）。正規なフレームでない場合（つまり不正なフレームである場合）には、ゲートウェイ３００は、受信したフレームを破棄して（ステップＳ３０４）、フレーム受信対応処理を終える。なお、不正なフレームであることを確認した場合にゲートウェイ３００が、不正検知の旨を運転者等に通知するためにヘッドユニットＥＣＵ２４０に対して攻撃検知を通知すべき指示を示すフレームを送信するようにゲートウェイ３００を構成しても良い。

【0117】

ステップＳ３０３で、受信したフレームがフォーマットルールにより正規と確認された場合に、ゲートウェイ３００は、サーバ４００での判定が必要か否か（攻撃フレームと疑わしいフレームか否か）を、判断ルールを用いて判定する（ステップＳ３０５）。

【0118】

ステップＳ３０５でサーバ４００での判定が必要でない（攻撃フレームと疑わしいフレームでない）と判定した場合には、ゲートウェイ３００は、受信したフレームを転送ルールに従って転送して（ステップＳ３０６）、フレーム受信対応処理を終える。

【0119】

ステップＳ３０５でサーバ４００での判定が必要である（攻撃フレームと疑わしいフレームである）と判定した場合には、ゲートウェイ３００は、サーバ４００に判定要求（判定依頼）を送信する（ステップＳ３０７）。

【0120】

続いて、ゲートウェイ３００は、受信したフレームを転送することによって、自動車５００が運転者の意図しない動作を引き起こす可能性がある状態にあるか否か（警告が必要か否か）を、警告ルールを用いて判定する（ステップＳ３０８）。

【0121】

ステップＳ３０８で警告が必要（自動車５００が運転者の意図しない動作を引き起こす可能性がある状態にある）と判定した場合には、ゲートウェイ３００は、ヘッドユニットＥＣＵ２４０に警告通知を行わせるためのＩＤ５のフレームを生成し（ステップＳ３０９）、ＣＡＮバスＣ１０３にそのフレームを送信する（ステップＳ３１０）。

【0122】

ステップＳ３０８で警告が必要でない（自動車５００が運転者の意図しない動作を引き起こす可能性がある状態にない）と判定した場合に、或いは、ステップＳ３１０でのフレームの送信の後に、ゲートウェイ３００は、受信したフレームを転送ルールに従って転送する（ステップＳ３１１）。

【0123】

［１．３．９ ゲートウェイにおける判定結果受信対応処理］
図２３は、ゲートウェイ３００における判定結果受信対応処理の一例を示すフローチャートである。以下、同図に即して判定結果受信対応処理について説明する。

【0124】

ゲートウェイ３００は、サーバから判定結果を受信すると、異常（不正なフレーム）との判定結果であるか否かを判定する（ステップＳ３２１）。

【0125】

ステップＳ３２１で、異常との判定結果であった場合には、ゲートウェイ３００は、現在、自動車５００は運転者の意図しない動作を引き起こす可能性がある状態（例えば意図しない動作を直前に引き起こしている状態等）であるか否かを、状態記憶部３０７ｂが記憶しているデータを用いて、警告ルールに基づいて判定する（ステップＳ３２２）。

【0126】

ステップＳ３２２で、自動車５００が運転者の意図しない動作を引き起こす可能性がある状態であると判定した場合には、ゲートウェイ３００は、ヘッドユニットＥＣＵ２４０で停車勧告を運転者へ通知するように指示するＩＤ５のフレームを生成する（ステップＳ３２３）。続いてゲートウェイ３００は、その生成したＩＤ５のフレームをヘッドユニットＥＣＵ２４０が接続するＣＡＮバスＣ１０３に送信し（ステップＳ３２４）、判定結果受信対応処理を終える。

【0127】

ステップＳ３２２で、自動車５００が運転者の意図しない動作を引き起こす可能性がある状態でないと判定した場合には、ゲートウェイ３００は、ヘッドユニットＥＣＵ２４０で攻撃検知通知を運転者へ通知するように指示するＩＤ５のフレームを生成する（ステップＳ３２５）。続いてゲートウェイ３００は、その生成したＩＤ５のフレームをヘッドユニットＥＣＵ２４０が接続するＣＡＮバスＣ１０３に送信し（ステップＳ３２４）、判定結果受信対応処理を終える。

【0128】

また、ステップＳ３２１で、正常との判定結果であった場合には、ゲートウェイ３００は、ヘッドユニットＥＣＵ２４０で異常なし通知を運転者へ通知するように指示するＩＤ５のフレームを生成する（ステップＳ３２６）。続いてゲートウェイ３００は、その生成したＩＤ５のフレームをヘッドユニットＥＣＵ２４０が接続するＣＡＮバスＣ１０３に送信し（ステップＳ３２４）、判定結果受信対応処理を終える。

【0129】

［１．４ サーバ］
サーバ４００は、自動車５００の外部に所在し、プロセッサ（マイクロプロセッサ）、メモリ、ハードディスク等の記憶媒体、通信回路等を含むコンピュータである。メモリは、ＲＯＭ、ＲＡＭ等であり、プロセッサにより実行される制御プログラム（ソフトウェアとしてのコンピュータプログラム）を記憶することができる。

【0130】

図２４は、サーバ４００の構成図である。なお同図にはゲートウェイ３００を付記している。同図に示すようにサーバ４００は、受信部４０１と、判断部４０２と、ログ記憶部４０３と、不正判定部４０４と、送信部４０５とを含んで構成される。これらの各構成要素は、サーバ４００における通信回路、メモリに格納された制御プログラムを実行するプロセッサ等により実現される。

【0131】

受信部４０１は、ゲートウェイ３００から送信されるＩＤ、ＤＬＣ及びデータのセットであるログ情報、或いは、判定要求（判定依頼）を受信する。

【0132】

判断部４０２は、受信部４０１がＩＤ、ＤＬＣ及びデータのセットであるログ情報を受信した場合には、そのログ情報をログ記憶部４０３へ送る。また、判断部４０２は、受信部４０１が判定要求を受信した場合には、不正判定部４０４へ、不正（異常）か正常かを判定すべき旨の指示を出す。

【0133】

ログ記憶部４０３は、判断部４０２からＩＤ、ＤＬＣ及びデータのセットであるログ情報を受け取ると、そのログ情報を、受け取った時刻と対応付けて記憶する。不正判定部４０４からの指示に応じて、記憶している時刻、ＩＤ、ＤＬＣ及びデータを送る。なお、ログ情報は、ゲートウェイ３００側でＩＤ、ＤＬＣ及びデータに係るフレームを受信した受信時刻を含めてゲートウェイ３００から送信されるものであっても良く、この場合には、サーバ４００は、受信時刻を含むログ情報を単に記憶すれば良い。

【0134】

不正判定部４０４は、判断部４０２から不正（異常）か正常かを判定する指示を受け取ると、ログ記憶部４０３へ指示を送ることでログ情報を取得してそのログ情報に基づいて、不正（異常）か否（正常）かを判定する。

【0135】

送信部４０５は、不正判定部４０４における判定結果をゲートウェイ３００に送信する。

【0136】

［１．４．１ サーバにおける異常判定処理］
図２５は、サーバ４００における異常判定処理の一例を示すフローチャートである。なお、これはサーバ４００においてゲートウェイ３００からの判定要求に対応して行う判定の一例に過ぎず、サーバ４００は、任意の判定方法を用いた判定を行い得る。

【0137】

サーバ４００は、判定要求の契機となったフレームに係る情報を、ログ記憶部４０３を参照することで取得して、そのフレームのＩＤに対応した過去の受信時刻からそのフレームの受信周期を確認する（ステップＳ７０１）。そして、サーバ４００は、蓄積された今までのログ情報に基づいて同じＩＤのフレームの過去の受信周期のうち一番小さい（短い）周期であったものと比較してそれより、判定要求の契機となったフレームと前回のフレームとの受信間隔である周期が小さいか否かを判定する（ステップＳ７０２）。そして、判定要求の契機となったフレームと前回のフレームとの受信間隔である周期が小さい場合には、サーバ４００は、不正（異常）と判定し（ステップＳ７０３）、その他の場合には正常と判定する（ステップＳ７０４）。

【0138】

［１．４．２ サーバの動作］
図２６は、サーバ４００の動作例を示すフローチャートである。

【0139】

サーバ４００は、受信した内容が判定要求（判定依頼）か、ログ情報（ＩＤ、ＤＬＣ及びデータのセット）かを判別する（ステップＳ４０１）。

【0140】

判定要求を受信した場合には、サーバ４００は、判定要求に係るフレームが不正（異常）か正常かを判定する異常判定処理（図２５）を行う（ステップＳ７００）。続いて、サーバ４００は、異常判定処理の結果を判別し（ステップＳ４０２）、異常判定処理で正常と判定した場合には、正常の判定結果をゲートウェイ３００へ送信する（ステップＳ４０３）。また、異常判定処理で異常と判定した場合には、異常（不正）の判定結果をゲートウェイ３００へ送信する（ステップＳ４０４）。

【0141】

また、ステップＳ４０１でログ情報を受信したと判別した場合には、サーバ４００は、ＩＤ、ＤＬＣ及びデータのセットであるログ情報に、受信した時刻を対応付けて、メモリ、ハードディスク等の記憶媒体に蓄積する（ステップＳ４０５）。

【0142】

［１．５ ネットワークシステムの動作に係るシーケンス］
図２は、ネットワークシステム１００の動作例を示すシーケンス図である。この例では、ゲートウェイ３００がサーバ４００に対して送信するログ情報にゲートウェイ３００におけるフレームの受信時刻を含ませている例を用いて説明する。

【0143】

ゲートウェイ３００は、接続されている各バスからフレームを受信すると（ステップＳ１）、ＩＤ、ＤＬＣ、データを抽出して、受信時刻と対応付けてログ情報としてサーバ４００へログ情報の送信を行う（ステップＳ２）。

【0144】

サーバ４００は、ゲートウェイ３００からログ情報を受信するとそのログ情報を記憶媒体に蓄積する（ステップＳ３）。

【0145】

ゲートウェイ３００は、各バスから受信したフレームが、正規なフォーマットのものか否（不正なフレーム）かを確認する（ステップＳ４）。不正なフレームと確認した場合には、ゲートウェイ３００はそのフレームを破棄して、転送を抑止する（ステップＳ５）。

【0146】

ステップＳ４で正規なフォーマットのフレームと確認した場合には、ゲートウェイ３００は、そのフレームについてサーバ４００で判定する必要があるか否か（つまりそのフレームが攻撃フレームと疑わしいフレームであるか否か）を判定する（ステップＳ６）。ステップＳ６で、サーバ４００で判定する必要がないと判定した場合には、ゲートウェイ３００は、そのフレームを転送ルールに基づいて他のバスへと転送する（ステップＳ７）。

【0147】

また、受信したフレームについてサーバ４００で判定する必要があると判定した場合には、ゲートウェイ３００は、判定要求（判定依頼）をサーバ４００に送信し（ステップＳ８）、警告ルールに基づいて警告通知を必要とするか否か（受信したフレームを転送することによって、自動車５００が、運転者の意図しない動作を引き起こす可能性がある状態であるか否か）を判定する（ステップＳ９）。警告通知が必要と判定した場合は、ゲートウェイ３００は、ヘッドユニットＥＣＵ２４０へ通知に係る指示送信を行い（ステップＳ１０）、これによりヘッドユニットＥＣＵ２４０は警告通知を指示するフレームを受信する（ステップＳ１１）。

【0148】

ヘッドユニットＥＣＵ２４０は、警告通知の指示を受信した場合に、ディスプレイに警告通知に係る表示を行う（ステップＳ１２）。

【0149】

また、ステップＳ９の後においてゲートウェイ３００は、受信していたフレームを他のバスへ転送する（ステップＳ１３）。

【0150】

サーバ４００は、ゲートウェイ３００から判定要求（判定依頼）を受信すると、蓄積しているログ情報を用いて、フレームが不正に送信された異常状態であるか否（正常状態）であるかの択一判定である不正判定を行って（ステップＳ１４）、判定結果をゲートウェイ３００へ送信する（ステップＳ１５）。

【0151】

ステップＳ１５で判定結果を受信したゲートウェイ３００は、通知ルールに基づいて、判定結果と、現在の自動車５００が運転者の意図しない動作を引き起こす可能性がある状態であるか否かとに応じて、通知内容を決定する（ステップＳ１６）。ゲートウェイ３００は、ステップＳ１６で決定した通知内容を示すフレームをヘッドユニットＥＣＵ２４０へ送信する（ステップＳ１７）。

【0152】

ヘッドユニットＥＣＵ２４０は、ステップＳ１７で通知内容を示すフレームを受信した場合に、その通知内容に応じてディスプレイの表示内容を切り替える（ステップＳ１８）。

【0153】

［１．６ 実施の形態１の効果］
本実施の形態に係るネットワークシステム１００では、自動車５００における車載ネットワークのゲートウェイ３００で受信した不正に送信された疑いのあるフレーム（攻撃フレームと疑わしいフレーム）に対して自動車５００の外部のサーバ４００へ判定を要求し、このフレームによって自動車５００が危険な動作を引き起こす可能性がある状態であるときに注意を喚起する警告を通知するための制御を行う。またゲートウェイ３００は、サーバ４００からの異常を示す判定結果を受信した場合において、自動車５００が、運転者の意図しない動作を引き起こす可能性がある状態であるとき（例えば運転者の意図しない動作を継続しているとき）には、停車勧告を通知するための制御を行う。また、異常の判定結果を受信した場合において自動車５００が運転者の意図しない動作を引き起こす可能性がある状態でないときには、不正検知を通知するための制御を行う。

【0154】

これにより、不正に送信された疑いがあるフレームが車載ネットワークのバスを流れているという事実を、運転者に早い段階で知らせることができ、サーバ４００での判定結果を踏まえて自動車の挙動に合わせて通知を変えることにより、運転者に有用な通知を行うことができるようになる。

【0155】

（実施の形態２）
以下、上述のネットワークシステム１００の一部を変形し、自動車内のバスに送信されたフレームが、不正なフレーム（攻撃フレーム）である可能性がある場合に外部のサーバ４００に判定要求を送信するのではなく、その自動車の周囲の他の自動車に判定要求を送信するように構成されたネットワークシステムについて説明する。

【0156】

［２．１ ネットワークシステム１００Ａの全体構成］
図２７は、本実施の形態に係るネットワークシステム１００Ａの全体構成を示す図である。

【0157】

ネットワークシステム１００Ａは、自動車Ａ１０００内のバスに送信されたフレームが、攻撃フレームと疑わしいフレームでありかつそのフレームによって自動車Ａ１０００が運転者の意図しない動作を引き起こす可能性があると判定された際に迅速に運転者へ通知を行い、更に、その自動車Ａ１０００の周囲の他の自動車Ｂ６００による判定を要求して判定結果を受信した際に、判定結果及び自動車Ａ１０００の挙動に応じて通知内容を決定して、運転者へ通知を行うようにしたネットワークシステムである。

【0158】

ネットワークシステム１００Ａは、自動車Ａ１０００と自動車Ｂ６００と、これら自動車間の通信路となるネットワーク２０とで構成される。ネットワーク２０は、インターネット等を含み得るが、例えば車車間通信において無線信号の授受を直接行うための無線通信路であっても良い。

【0159】

自動車Ａ１０００は、車内の制御装置、センサ、アクチュエータ、ユーザインタフェース装置等の各種機器に接続されて、車内のバスを介してフレームに係る通信を行う複数の電子制御ユニット（ＥＣＵ）を含んで構成される車載ネットワークを備える。車載ネットワークは、具体的には図２７に示すように、自動車Ａ１０００に搭載されたＣＡＮバスＡ１０１、ＣＡＮバスＢ１０２、及び、ＣＡＮバスＣ１０３を有する。ＣＡＮバスＡ１０１には、ステアリングＥＣＵ２００と速度通知ＥＣＵ２１０と、白線角度通知ＥＣＵ２２０と、ゲートウェイ３００１とが接続されている。ＣＡＮバスＢ１０２には、自動操舵指示ＥＣＵ２３０とゲートウェイ３００１とが接続されている。ＣＡＮバスＣ１０３には、ヘッドユニットＥＣＵ２４０とゲートウェイ３００１とが接続されている。実施の形態１で説明した構成要素と同じ構成要素については、図２７において図１と同じ符号を付しており、ここでは説明を適宜省略する。ゲートウェイ３００１は、実施の形態１で示したゲートウェイ３００を部分的に変形したものであり、ここで特に説明しない点は、ゲートウェイ３００と同様である。なお、ゲートウェイ３００１は、自動車Ａ１０００の周囲（例えば概ね数十ｍ以内等）に所在する自動車（この一例としての自動車Ｂ６００）と通信するための通信装置（通信回路等）を備える。

【0160】

ゲートウェイ３００１は、バス間でデータフレームの転送を行う。また、ゲートウェイ３００１は、保持している受信ＩＤリストに基づいて受信したフレームのＩＤを確認して、フレームのフィルタリングを行う。また、ゲートウェイ３００１は、攻撃の検知のための機能を有し、ＩＤ毎に予め定められた受信周期、フレーム内のデータの変化量等に係る判断条件を受信したフレームが満たすか否かに基づいて、不正に送信された疑いのあるフレーム（つまり攻撃フレームと疑わしいフレーム）か否かを判定し、攻撃フレームと疑わしいフレームと判定した場合には、周囲に存在する自動車Ｂ６００に、判定要求（判定依頼）を送信する。具体的には、ゲートウェイ３００１は、例えばＣＡＮバスＢ１０２から、攻撃フレームと疑わしいフレームを受信し、かつ、そのフレームの転送によって例えばステアリングＥＣＵ２００において制御等がなされることで、自動車Ａ１０００が運転者の意図しない動作を引き起こす可能性があると、予め定められた警告条件に基づいて判定した場合には、ヘッドユニットＥＣＵ２４０に警告（運転者に警告を通知する表示等）を指示した上で、そのフレームのＣＡＮバスＡ１０１への転送を行う。そして、警告を指示した際にゲートウェイ３００１は、自動車Ａ１０００の周囲に所在する自動車Ｂ６００に、自動車Ａ１０００の位置情報、ステアリング情報（例えば自動車Ａ１０００の進行方向を示す方位情報等）、及び、速度情報を付した判定要求（判定依頼）を送信する。

【0161】

ゲートウェイ３００１からの判定要求（判定依頼）を受信した自動車Ｂ６００（自動車Ｂ６００の車載機器等）は、判定要求の要求元の自動車Ａ１０００が自動車Ｂ６００にとって危険な存在であるか否か等により、異常か否（正常）かの判定を行って、判定結果を自動車Ａ１０００のゲートウェイ３００１に返信する。

【0162】

ゲートウェイ３００１は、自動車Ｂ６００からの判定結果と、現在の自動車Ａ１０００の状態（ステアリングの角度、自動車Ａ１０００の速度等）とに応じて、運転者への通知内容を決定してヘッドユニットＥＣＵ２４０に指示する。図２８に、このようなネットワークシステム１００Ａの動作例について示している。動作の詳細については後に説明する。

【0163】

［２．２ ゲートウェイ］
図２９は、ゲートウェイ３００１の構成図である。なお同図には自動車Ｂ６００を付記している。ゲートウェイ３００１は、実施の形態１で示したゲートウェイ３００と同様に、バス間でのフレーム転送の機能を実行し、攻撃の検知のための機能を有するセキュリティ装置としても機能する。ゲートウェイ３００１は、図２９に示すように、フレーム送受信部３０１と、フレーム解釈部３０２と、外部通信部３０３と、位置情報取得部３０３ａと、受信ＩＤ判断部３０２ａと、受信ＩＤリスト保持部３０２ｂと、確認部３０５と、フォーマットルール保持部３０５ａと、判断部３０６と、判断ルール保持部３０６ａと、通知部３０７と、警告ルール保持部３０７ａと、状態記憶部３０７ｂと、通知ルール保持部３０７ｃと、転送部３０８と、転送ルール保持部３０８ａと、フレーム生成部３０４とを含んで構成される。これらの各構成要素は、ゲートウェイ３００１における通信回路、メモリに格納された制御プログラムを実行するプロセッサ或いはデジタル回路等により実現される。なお、図２９に示すゲートウェイ３００１の構成要素のうち、実施の形態１で示したゲートウェイ３００と同様の構成要素（図１４参照）については、図１４と同一の符号を付しており、ここでは説明を適宜省略する。

【0164】

位置情報取得部３０３ａは、例えばカーナビゲーション等に用いられるＧＰＳ（Global Positioning System）受信機等から緯度、経度、高度等の現在の自動車Ａ１０００の位置を示す情報を取得して、外部通信部３０３へ送る。

【0165】

外部通信部３０３は、判断部３０６から判定要求（判定依頼）を受け取ると、位置情報取得部３０３ａから取得した位置情報を付して判定要求を、自動車Ａ１０００の周囲に所在する自動車Ｂ６００に送信する。外部通信部３０３は、判定要求に、位置情報と同様に、自動車Ａ１０００の各部のセンサ、ＥＣＵ等から取得したステアリング情報及び速度情報を付して送信する。なお、本実施の形態では外部通信部３０３は、フレーム解釈部３０２から取得したＩＤ、ＤＬＣ及びデータのセットとしてのログ情報の外部への送信を行わない。また、外部通信部３０３は、自動車Ｂ６００から判定要求に応じた判定結果を受信すると、判定結果を通知部３０７へ伝達する。

【0166】

判断部３０６は、確認部３０５からＩＤ、ＤＬＣ及びデータを受け取ると、判断ルール保持部３０６ａで保持する判断ルールが示す所定条件が満たされるか否かに基づいて、そのＩＤ、ＤＬＣ及びデータに係るフレームが攻撃フレームと疑わしいフレームであるか否かを判定する。判断部３０６は、受け取ったフレームが攻撃フレームと疑わしいフレームであると判定した場合に、外部の自動車Ｂ６００に判定要求を行うべきと判定し得る。但し、本実施の形態に係るゲートウェイ３００１の判断部３０６では、一例として、受け取ったフレームが攻撃フレームと疑わしいフレームでありかつ警告ルール保持部３０７ａが保持する警告ルールが示す警告条件が満たされる場合に限って、自動車Ｂ６００に判定要求を行うべきと判定することとする。つまり、ゲートウェイ３００１の判断部３０６では、警告ルール保持部３０７ａで保持する警告ルールが示す警告条件が満たされるか否かに基づいて、ゲートウェイ３００１が受信したフレームを転送することで自動車Ａ１０００が運転者の意図しない動作を引き起こす可能性があるか否かを判定し、運転者の意図しない動作を引き起こす可能性がある場合に限って、自動車Ｂ６００に判定要求を行うべきと判定する。判断部３０６が自動車Ｂ６００に判定要求を行うべきと判定した場合には、判定要求を外部通信部３０３へ送り、その判定要求を送る際にはＩＤ、ＤＬＣ及びデータを通知部３０７へ送る。判断部３０６は、自動車Ｂ６００に判定要求を行うべきと判定しなかった場合には、ＩＤ、ＤＬＣ及びデータを転送部３０８へ送る。

【0167】

判断ルール保持部３０６ａは、判断部３０６において、受け取ったＩＤ、ＤＬＣ及びデータに係るフレームが攻撃フレームと疑わしいフレームであるか否かの判断条件を示す判断ルールを保持する。

【0168】

通知部３０７は、判断部３０６からＩＤ、ＤＬＣ及びデータを受け取ると、ヘッドユニットＥＣＵ２４０へ警告通知を指示する番号（通知切り替え信号）を示すＩＤ５のフレームを生成するための情報と、受信したＩＤ、ＤＬＣ及びデータとを、転送部３０８へ送る。本実施の形態に係るゲートウェイ３００１の通知部３０７では、警告ルールが示す警告条件が満たされるか否かの判断を直接には行わないが、判断部３０６によって警告条件が満たされる場合に限ってＩＤ、ＤＬＣ及びデータを伝達されるので、運転者が意図しない動作を引き起こす可能性がある場合に限って、ヘッドユニットＥＣＵ２４０へ警告通知を指示に係る制御を行うこととなる。また、通知部３０７は、自動車Ｂ６００から受信した判定結果を外部通信部３０３から受け取ると、現在の自動車Ａ１０００の状態を、状態記憶部３０７ｂを参照して、警告ルールが示す警告条件が満たされるか否かに基づいて、通知ルールに従って通知内容に係る番号を決定し、ヘッドユニットＥＣＵ２４０へその通知内容を指示する番号（通知切り替え信号）を示すＩＤ５のフレームを生成するための情報を転送部３０８へ送る。

【0169】

通知ルール保持部３０７ｃは、通知部３０７で受け取った自動車Ｂ６００からの判定結果と現在の自動車Ａ１０００の状態とから、通知内容を決定するための基準となる通知ルールを保持する。この通知ルールは、図１９に例示したものと同様である。

【0170】

［２．３ ゲートウェイにおけるフレーム受信対応処理］
図３０は、ゲートウェイ３００１におけるフレーム受信対応処理の一例を示すフローチャートである。以下、同図に即してフレーム受信対応処理について説明する。

【0171】

ゲートウェイ３００１は、いずれかのバスからフレームを受信し、フレームを解釈する（ステップＳ３００１）。

【0172】

続いてゲートウェイ３００１は、受信したフレームが正規なものか否かを、フォーマットルールを用いて確認する（ステップＳ３００２）。正規なフレームでない場合（つまり不正なフレームである場合）には、ゲートウェイ３００１は、受信したフレームを破棄して（ステップＳ３００３）、フレーム受信対応処理を終える。なお、不正なフレームであることを確認した場合にゲートウェイ３００１が、不正検知の旨を運転者等に通知するためにヘッドユニットＥＣＵ２４０に対して攻撃検知を通知すべき指示を示すフレームを送信するようにゲートウェイ３００１を構成しても良い。

【0173】

ステップＳ３００２で、受信したフレームがフォーマットルールにより正規と確認された場合に、ゲートウェイ３００１は、そのフレームが攻撃フレームと疑わしいフレームか否かにより、外部の自動車による判定が必要となる条件が成立するか否かを、判断ルールを用いて判定する（ステップＳ３００４）。

【0174】

ステップＳ３００４で外部の自動車での判定が必要でない（攻撃フレームと疑わしいフレームでない）と判定した場合には、ゲートウェイ３００１は、受信したフレームを転送ルールに従って転送して（ステップＳ３００５）、フレーム受信対応処理を終える。

【0175】

ステップＳ３００４で外部の自動車での判定が必要である（攻撃フレームと疑わしいフレームである）と判定した場合には、ゲートウェイ３００１は、受信したフレームを転送することによって、自動車Ａ１０００が運転者の意図しない動作を引き起こす可能性がある状態にあるか否か（警告が必要か否か）を、警告ルールを用いて判定する（ステップＳ３００６）。

【0176】

ステップＳ３００６で警告が必要（自動車Ａ１０００が運転者の意図しない動作を引き起こす可能性がある状態にある）と判定した場合には、ゲートウェイ３００１は、ヘッドユニットＥＣＵ２４０に警告通知を行わせるためのＩＤ５のフレームを生成し（ステップＳ３００７）、ＣＡＮバスＣ１０３にそのフレームを送信し（ステップＳ３００８）、また、外部の自動車Ｂ６００に位置情報、ステアリング情報及び速度情報を付して判定要求（判定依頼）を送信する（ステップＳ３００９）。

【0177】

ステップＳ３００６で警告が必要ないと判定した場合に、或いは、ステップＳ３００９での判定要求の送信の後において、ゲートウェイ３００１は、受信したフレームを転送ルールに従って転送する（ステップＳ３０１０）。

【0178】

［２．４ ゲートウェイにおける判定結果受信対応処理］
図３１は、ゲートウェイ３００１における判定結果受信対応処理の一例を示すフローチャートである。以下、同図に即して判定結果受信対応処理について説明する。

【0179】

ゲートウェイ３００１は、自動車Ｂ６００から判定結果を受信すると、異常（自動車Ｂ６００にとって自動車Ａ１０００が危険である状態）との判定結果であるか否かを判定する（ステップＳ３１０１）。

【0180】

ステップＳ３１０１で、異常との判定結果であった場合には、ゲートウェイ３００１は、現在、自動車Ａ１０００は運転者の意図しない動作を引き起こす可能性がある状態（例えば意図しない動作を直前に引き起こしている状態等）であるか否かを、状態記憶部３０７ｂが記憶しているデータを用いて、警告ルールに基づいて判定する（ステップＳ３１０２）。

【0181】

ステップＳ３１０２で、自動車Ａ１０００が運転者の意図しない動作を引き起こす可能性がある状態であると判定した場合には、ゲートウェイ３００１は、ヘッドユニットＥＣＵ２４０で停車勧告を運転者へ通知するように指示するＩＤ５のフレームを生成する（ステップＳ３１０３）。続いてゲートウェイ３００１は、その生成したＩＤ５のフレームをヘッドユニットＥＣＵ２４０が接続するＣＡＮバスＣ１０３に送信し（ステップＳ３１０４）、判定結果受信対応処理を終える。

【0182】

ステップＳ３１０２で、自動車Ａ１０００が運転者の意図しない動作を引き起こす可能性がある状態でないと判定した場合には、ゲートウェイ３００１は、ヘッドユニットＥＣＵ２４０で攻撃検知通知を運転者へ通知するように指示するＩＤ５のフレームを生成する（ステップＳ３１０５）。続いてゲートウェイ３００１は、その生成したＩＤ５のフレームをヘッドユニットＥＣＵ２４０が接続するＣＡＮバスＣ１０３に送信し（ステップＳ３１０４）、判定結果受信対応処理を終える。

【0183】

また、ステップＳ３１０１で、正常との判定結果であった場合には、ゲートウェイ３００１は、ヘッドユニットＥＣＵ２４０で異常なし通知を運転者へ通知するように指示するＩＤ５のフレームを生成する（ステップＳ３１０６）。続いてゲートウェイ３００１は、その生成したＩＤ５のフレームをヘッドユニットＥＣＵ２４０が接続するＣＡＮバスＣ１０３に送信し（ステップＳ３１０４）、判定結果受信対応処理を終える。

【0184】

［２．５ 判定要求に対応する自動車Ｂの動作例］
図３２は、自動車Ｂ６００における判定要求に対応した動作例（異常判定処理）の一例を示すフローチャートである。なお、これは自動車Ｂ６００においてゲートウェイ３００１からの判定要求に対応して行う判定の一例に過ぎず、自動車Ｂ６００は、任意の判定方法を用いた判定を行い得る。ここでは、自動車Ｂ６００は、自動車Ａ１０００が自車両にとって危険な状態であるか否かにより異常か否かを判定することとする。以下、図３２に即して異常判定処理について説明する。

【0185】

自動車Ｂ６００は、自動車Ａ１０００から、自動車Ａ１０００の位置、速度、進行方向等を示す情報が付された判定要求を受信する（ステップＳ６００）。

【0186】

次に、自動車Ｂ６００は、自動車Ａ１０００の速度が予め定められている閾値以上であるか否かを判定する（ステップＳ６０１）。この閾値は、一例としては時速６０ｋｍである。ステップＳ６０１で、自動車Ａ１０００の速度が閾値未満であれば、自動車Ｂ６００は、正常という判定結果を自動車Ａ１０００に送信する（ステップＳ６０４）。即ち、自動車Ａ１０００の現在の速度が例えば時速６０ｋｍ未満であれば、自動車Ｂ６００は、自動車Ｂ６００にとって自動車Ａ１０００が危険（異常）でないと判定し、判定要求に対して正常という判定結果を送信する。

【0187】

ステップＳ６０１で自動車Ａ１０００の速度が予め定められている閾値以上であると判定した場合には、自動車Ｂ６００は、自動車Ａ１０００との距離が予め定められている閾値以下であるか否かを判定する（ステップＳ６０２）。この閾値は、一例としては５ｍである。ステップＳ６０２で、自動車Ａ１０００との距離が閾値を超えていると判定した場合には、自動車Ｂ６００は、正常という判定結果を自動車Ａ１０００に送信する（ステップＳ６０４）。即ち、自動車Ａ１０００の位置情報が示す位置と、自動車Ｂ６００についての現在の位置との距離が５ｍより離れていれば、自動車Ｂ６００は、自動車Ｂ６００にとって自動車Ａ１０００が危険（異常）でないと判定し、判定要求に対して正常という判定結果を送信する。

【0188】

ステップＳ６０２で自動車Ａ１０００との距離が予め定められている閾値以下であると判定した場合には、自動車Ｂ６００は、自動車Ａ１０００の進行方向が自動車Ｂ６００の方に向いているか否かを判定する（ステップＳ６０３）。ステップＳ６０３で、自動車Ａ１０００の進行方向が自動車Ｂ６００の方に向いていないと判定した場合には、自動車Ｂ６００は、正常という判定結果を自動車Ａ１０００に送信する（ステップＳ６０４）。即ち、自動車Ａ１０００の位置と進行方向とが、自動車Ｂ６００についての現在の位置の方向を示さない場合には、自動車Ｂ６００は、自動車Ｂ６００にとって自動車Ａ１０００が危険（異常）でないと判定し、判定要求に対して正常という判定結果を送信する。

【0189】

ステップＳ６０３で自動車Ａ１０００の進行方向が自動車Ｂ６００の方に向いていると判定した場合には、自動車Ｂ６００は、異常（危険）という判定結果を自動車Ａ１０００に送信する（ステップＳ６０５）。

【0190】

［２．６ ネットワークシステムの動作に係るシーケンス］
図２８は、ネットワークシステム１００Ａの動作例を示すシーケンス図である。

【0191】

ゲートウェイ３００１は、接続されている各バスからフレームを受信し（ステップＳ２１）、受信したフレームが、正規なフォーマットのものか否（不正なフレーム）かを確認する（ステップＳ２２）。不正なフレームと確認した場合には、ゲートウェイ３００１はそのフレームを破棄して、転送を抑止する（ステップＳ２３）。

【0192】

ステップＳ２２で正規なフォーマットのフレームと確認した場合には、ゲートウェイ３００１は、そのフレームの影響について外部の自動車で判定する必要があるか否か（つまりそのフレームが攻撃フレームと疑わしいフレームであるか否か）を判定する（ステップＳ２４）。

【0193】

ステップＳ２４で、受信したフレームについて攻撃フレームと疑わしいフレームであると判定した場合には、ゲートウェイ３００１は、警告ルールに基づいて警告通知を必要とするか否か（受信したフレームを転送することによって、自動車Ａ１０００が、運転者の意図しない動作を引き起こす可能性がある状態であるか否か）を判定する（ステップＳ２５）。

【0194】

ステップＳ２４で外部の自動車で判定する必要がないと判定した場合、或いは、ステップＳ２５で警告通知を必要としないと判定した場合には、ゲートウェイ３００１は、そのフレームを転送ルールに基づいて他のバスへと転送する（ステップＳ２６）。

【0195】

ステップＳ２５で、警告通知を必要とすると判定した場合には、ゲートウェイ３００１は、ヘッドユニットＥＣＵ２４０へ通知に係る指示送信を行い（ステップＳ２７）、これによりヘッドユニットＥＣＵ２４０は警告通知を指示するフレームを受信して、ディスプレイに警告通知に係る表示を行う（ステップＳ２８）。また、警告通知を必要とすると判定した場合に、ゲートウェイ３００１は、判定要求（判定依頼）を自動車Ａ１０００の周囲に存在する自動車Ｂ６００に送信し（ステップＳ２９）、受信していたフレームを他のバスへ転送する（ステップＳ３０）。

【0196】

自動車Ｂ６００は、ゲートウェイ３００１から判定要求（判定依頼）を受信すると、自動車Ｂ６００にとって自動車Ａ１０００が危険な異常状態であるか否（正常状態）であるかの択一判定である危険判定を行って（ステップＳ３１）、判定結果をゲートウェイ３００１へ送信する（ステップＳ３２）。

【0197】

ステップＳ３２で判定結果を受信したゲートウェイ３００１は、通知ルールに基づいて、判定結果と、現在の自動車Ａ１０００が運転者の意図しない動作を引き起こす可能性がある状態であるか否かとに応じて、通知内容を決定する（ステップＳ３３）。ゲートウェイ３００１は、ステップＳ３３で決定した通知内容を示すフレームをヘッドユニットＥＣＵ２４０へ送信する（ステップＳ３４）。

【0198】

ヘッドユニットＥＣＵ２４０は、ステップＳ３４で通知内容を示すフレームを受信した場合に、その通知内容に応じてディスプレイの表示内容を切り替える（ステップＳ３５）。

【0199】

［２．７ 実施の形態２の効果］
本実施の形態に係るネットワークシステム１００Ａでは、自動車Ａ１０００における車載ネットワークのゲートウェイ３００１で、不正に送信された疑いのあるフレーム（攻撃フレームと疑わしいフレーム）を受信した際において、自動車Ａ１０００が運転者の意図しない動作を引き起こす可能性がある状態である場合に限って、注意を喚起する警告を通知するための制御を行い、かつ、自動車Ａ１０００の周囲に存在する外部の装置（他の自動車Ｂ６００の車載機器等）へ判定を要求する。またゲートウェイ３００１は、自動車Ｂ６００（自動車Ｂ６００の車載機器等）からの異常（自動車Ａ１０００が自動車Ｂ６００にとって危険であること）を示す判定結果を受信した場合において、自動車Ａ１０００が、運転者の意図しない動作を引き起こす可能性がある状態であるとき（例えば運転者の意図しない動作を継続しているとき）には、停車勧告を通知するための制御を行う。また、異常の判定結果を受信した場合において自動車Ａ１０００が運転者の意図しない動作を引き起こす可能性がある状態でないときには、不正検知を通知するための制御を行う。

【0200】

これにより、不正に送信された疑いがあるフレームが車載ネットワークのバスを流れているという事実を、運転者に早い段階で知らせることができ、自動車Ｂ６００による自動車Ａ１０００が危険（異常）か否かの判定結果を踏まえて自動車の挙動に合わせて通知を変えることにより、運転者に有用な通知を行うことができるようになる。

【0201】

（他の実施の形態）
以上のように、本発明に係る技術の例示として実施の形態１、２を説明した。しかしながら、本発明に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本発明の一実施態様に含まれる。

【0202】

（１）上記実施の形態では、車載ネットワークで攻撃フレームと疑わしいフレームを検出した際等において運転者へ注意喚起を図るためにヘッドユニットＥＣＵ２４０によりディスプレイへの表示を行う例を示したが（図１０〜図１３参照）、運転者へ伝達すべき提示用情報（警告通知、停車勧告等）を、表示以外の方法（例えばスピーカからの音声再生等）で提示しても良い。また、ネットワークシステムにおける警告通知等の通知方法として、室内灯の点灯状態を変化させることで通知しても良いし、シートベルトの締め付けの強さを変化させることで通知しても良いし、ステアリング或いはペダルを振動させることで通知しても良い。また、図９で示した異常なし通知、警告通知、攻撃検知通知及び停車勧告といった、通知の内容となる提示用情報の分類は、いかなるように定めても良く、また、具体的な提示内容（例えば表示内容）も、図１０〜図１３に例示したものに限られることはなく、いかなるものであっても良い。

【0203】

（２）上記実施の形態では、自動車における車載ネットワークでのフレームの監視等を行うゲートウェイ３００、３００１がヘッドユニットＥＣＵ２４０と連携して、一定条件下で運転者に対する通知（警告通知等）を行う例を示した。この車載ネットワークは、自動車以外の車両（例えば、二輪車等）に搭載されるものであっても良い。また、通知（警告通知等）の対象は車両の運転者に限られず、車両の乗組員、車両の周囲に所在する装置（他の車両等）であっても良い。なお通知の対象に対する通知は、サーバその他の装置を介して行われても良い。例えば、一の車両の車載ネットワークでのフレームの監視に基づいて一定条件下で他の車両に通知を行うために、一の車両は、非常点滅表示灯の点灯状態を制御する報知装置を備えても良い。また、上記実施の形態では、ゲートウェイ３００、３００１が外部との通信を行う通信機能（外部通信部）を有することとしたが、車両が、ゲートウェイ３００、３００１とは別に通信装置（通信部）を有し、ゲートウェイ３００、３００１はこの通信装置を介して車両の外部と通信することとしても良い。この報知装置、通信装置等を備えるネットワークシステムの一例について図３３に示す。

【0204】

図３３は、１つの実施の形態に係るネットワークシステム２０００の構成を示す。ネットワークシステム２０００は、車両２１００と外部装置２２００とを備える。

【0205】

車両２１００は、バス２１９０ａ、バス２１９０ｂ及びバス２１９０ｃに接続されてこれらのバスを監視するセキュリティ装置２１１０を備え、更に、外部装置２２００と通信する通信装置２１２０と、情報提示機能を有する所定ＥＣＵ（ヘッドユニット）２１４０と、各バスに接続されたＥＣＵ２１５０ａ〜２１５０ｄと、車両２１００の外部に対して報知するための報知装置２１３０とを備える。報知装置２１３０は、例えば非常点滅表示灯であり、例えばサイレン等であっても良い。セキュリティ装置２１１０は、受信部２１１１、確認部２１１２、判定部２１１３、取得部２１１４及び出力部２１１５を有する。受信部２１１１は、上述のフレーム送受信部３０１の受信機能部分に相当し、１つのバスからフレームを受信する。確認部２１１２は、上述の確認部３０５に相当し、一のバスから受信部２１１１により受信されたフレームについて不正条件に該当するか否かを確認する。判定部２１１３は、上述の判断部３０６に相当し、受信部２１１１により受信されたフレームについて、攻撃フレームである可能性の有無を区別するための所定条件が満たされるか否かを判定する。判定部２１１３は、受信部２１１１により受信されたフレームについて確認部２１１２により不正条件に該当することが確認された場合には、所定条件が満たされると判定しなくても良い。なお、判定部２１１３によりフレームについての判定に用いられる所定条件は、そのフレームと同一ＩＤを有して先に受信部２１１１に受信された同種先行フレームと当該フレームとの受信間隔、そのフレームのデータの内容とその同種先行フレームのデータの内容との差分、及び、そのフレームと異なるＩＤを有して先に受信部２１１１に受信された異種先行フレームの内容とそのフレームの内容との相関性のうち、少なくとも１つに関する条件である。取得部２１１４は、所定条件が満たされると判定部２１１３が判定した場合に外部装置２２００に判定要求が伝達されるように通信装置２１２０を制御して、判定要求に応じて外部装置２２００から伝達される判定結果を、通信装置２１２０を介して取得する。なお、通信装置２１２０は、セキュリティ装置２１１０の受信部２１１１により受信された各フレームに関するログ情報を外部装置２２００に送信しても良い。出力部２１１５は、所定条件が満たされると判定部２１１３が判定した場合に第１提示用情報（例えば警告通知）を出力し、外部装置２２００からの判定結果を取得部２１１４が取得した場合に第２提示用情報（例えば停車勧告、攻撃検知通知、異常なし通知等）を出力する。第１提示用情報は、報知装置２１３０に対して報知を行わせるための制御情報を含み、出力部２１１５による第１提示用情報の出力は、第１提示用情報の報知装置２１３０への送信を含み得る。出力部２１１５は、第１提示用情報及び第２提示用情報の出力を、提示（表示、振動の発生、ブザーの鳴動、光の点灯、音声出力等）で行っても良いし、所定ＥＣＵ２１４０等への送信（所定ＥＣＵ２１４０が接続されたバス２１９０ｃへの各提示用情報を含むフレームの送信）により行っても良い。所定ＥＣＵ２１４０は、第１提示用情報を含むフレームを受信した場合に第１提示用情報を提示し、第２提示用情報を含むフレームを受信した場合に第２提示用情報を提示する。第１提示用情報の提示タイミングについては、出力部２１１５は、所定条件が満たされると判定部２１１３が判定した際に第１提示用情報を出力することとしても良い。出力部２１１５は、所定条件が満たされると判定部２１１３が判定した場合において、警告条件（例えば上述の警告ルール保持部３０７ａが保持する警告ルールに基づく条件）が満たされるときに第１提示用情報を出力し、警告条件が満たされないときに第１提示用情報を出力しないこととしても良い。出力部２１１５は、警告条件が満たされるか否かを、受信部２１１１により過去に受信された１つ又は複数のフレームの内容に基づいて判別することとしても良い。出力部２１１５は、外部装置２２００からの判定結果を取得部２１１４が取得した場合に、第１提示用情報と異なる予め定められた複数の相異なる情報のうち、その判定結果が正常を示すか否かに応じて選択した情報を、第２提示用情報として出力することとしても良い。また、出力部２１１５は、外部装置２２００からの判定結果を取得部２１１４が取得した場合に、第１提示用情報と異なる予め定められた複数の相異なる情報のうち、警告条件が満たされるか否かとその判定結果とに応じて選択した情報を、第２提示用情報として出力することとしても良い。なお、セキュリティ装置２１１０は、ゲートウェイ装置であり得るが、必ずしもゲートウェイ装置でなくても良い。

【0206】

外部装置２２００は、車両２１００からの判定要求を受信して異常か否かの判定を行って判定結果を車両２１００に送信する装置であり、サーバ（例えばサーバ４００）、車両２１００の周囲に所在する他の車両（例えば自動車Ｂ６００）、車両２１００の周囲に所在する路側機、信号機等であり得る。車両２１００は、自動車、二輪車等であり、車内の制御装置、センサ、アクチュエータ、ユーザインタフェース装置等の各種機器に接続されて、車内のバスを介してフレームに係る通信を行う複数のＥＣＵを含んで構成される車載ネットワークを備える。

【0207】

外部装置２２００は、判定要求を受信した場合にログ情報に基づいて、車両において攻撃フレームが送信されているか否かを判定することで判定結果を通信装置２１２０に送信する装置であり得る。判定結果は、例えば、正常か否（異常）かを択一的に示す。外部装置２２００は、車両の動作をその車両の外部から観測してその車両の動作が正常であるか否かを判定することで判定結果を通信装置２１２０に送信する装置であっても良く、所定条件が満たされると判定部２１１３が判定した場合に車両２１００の周囲に所在する他の車両であり得る。

【0208】

（３）上記実施の形態では、不正に送信された疑いのあるフレーム（攻撃フレームと疑わしいフレーム）の判定に用いる判断ルールとして、フレームの受信周期（送信周期）或いはデータフィールドの値の変化量に関するルールを例示したが、ＣＡＮのフレームのいかなる性質を用いて攻撃フレームと疑わしいフレームか否かの判定を行うこととしても良い。

【0209】

（４）上記実施の形態では、サーバ或いは他の自動車に判定要求を送信して判定結果を受信した際に、通知内容を決定するだけ（つまり通知を切り替えるだけ）であったが、判定要求の契機となったフレームと同一ＩＤのフレームを、バス間で転送しないようにするためにゲートウェイ３００、３００１で保持するルールの追加、更新等を行っても良い。

【0210】

（５）上記実施の形態２では、自動車Ｂ６００は、自動車Ａ１０００から受信した判定要求に付された位置、速度、進行方向等の情報に基づいて異常か否かの判定を行うこととしたが、自動車Ｂ６００におけるセンサ等の車載機器を用いて自動車Ａ１０００の位置、速度或いは進行方向を測定してその測定結果を用いてステップＳ６０１〜Ｓ６０３での各判定を行うこととしても良い。例えば、自動車Ｂ６００は、自動車Ａ１０００から判定要求として予め定められた無線信号を受信した場合における電波強度の観測により判定要求元の自動車Ａ１０００の位置等を特定しても良い。

【0211】

（６）上記実施の形態では、ＣＡＮプロトコルに従って通信する車載ネットワークを示した。このＣＡＮプロトコルは、ＣＡＮＦＤ（CAN with Flexible Data Rate）等の派生的なプロトコルも包含する広義の意味のものと扱われるべきである。また、ネットワークシステムにおいては、ＣＡＮプロトコル以外の通信プロトコル、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）や、ＭＯＳＴ（登録商標）、ＦｌｅｘＲａｙ（登録商標）等を用いても良い。

【0212】

（７）上記実施の形態で示した各種処理の手順（例えば図２、図２２、図２３、図２５、図２６、図２８、図３０〜図３２に示した手順等）の実行順序は、必ずしも、上述した通りの順序に制限されるものではなく、発明の要旨を逸脱しない範囲で、実行順序を入れ替えたり、複数の手順を並列に行ったり、その手順の一部を省略したりすることができる。

【0213】

（８）上記実施の形態におけるゲートウェイその他のＥＣＵは、例えば、プロセッサ、メモリ等のデジタル回路、アナログ回路、通信回路等を含む装置であることとしたが、ハードディスク装置、ディスプレイ、キーボード、マウス等の他のハードウェア構成要素を含んでいても良い。また、メモリに記憶された制御プログラムがプロセッサにより実行されてソフトウェア的に機能を実現する代わりに、専用のハードウェア（デジタル回路等）によりその機能を実現することとしても良い。

【0214】

（９）上記実施の形態における各装置を構成する構成要素の一部又は全部は、１個のシステムＬＳＩ（Large Scale Integration：大規模集積回路）から構成されているとしても良い。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等を含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。また、上記各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部又は全部を含むように１チップ化されても良い。また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現しても良い。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Field Programmable Gate Array）や
、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用しても良い。更には、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行っても良い。バイオ技術の適用等が可能性としてあり得る。

【0215】

（１０）上記各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしても良い。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしても良い。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしても良い。

【0216】

（１１）本発明の一態様としては、例えば図２２、図２３、図３０、図３１等に示す処理手順の全部又は一部を含む攻撃検知方法であるとしても良い。例えば、攻撃検知方法は、１つ又は複数のバスを介して複数の電子制御ユニットがフレームの授受を行う車載ネットワークシステムにおいて用いられる攻撃検知方法であって、バスからフレームを受信する受信ステップと、受信ステップで受信されたフレームについて、攻撃フレームである可能性の有無を区別するための所定条件が満たされるか否かを判定する判定ステップ（例えばステップＳ３０５、Ｓ３００４）と、所定条件が満たされると判定ステップで判定された場合に第１提示用情報を提示する第１提示ステップ（例えばステップＳ３０９、Ｓ３１０、Ｓ３００７、Ｓ３００８）と、所定条件が満たされると判定ステップで判定された場合に車両の外部に所在する外部装置に判定要求が伝達されるように制御して、その判定要求に応じて外部装置から伝達される判定結果を取得する取得ステップ（例えばＳ３０７、Ｓ３００９等）と、外部装置からの判定結果を取得ステップで取得した場合に第２提示用情報を提示する第２提示ステップ（例えばステップＳ３２３〜Ｓ３２６、Ｓ３１０３〜Ｓ３１０６）とを含む。また、本発明の一態様としては、この攻撃検知方法に係る処理をコンピュータにより実現するコンピュータプログラムであるとしても良いし、前記コンピュータプログラムからなるデジタル信号であるとしても良い。また、本発明の一態様としては、前記コンピュータプログラム又は前記デジタル信号をコンピュータで読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Blu-ray（登録商標） Disc）、半導体メモリ等に記録したものとしても良い。また、これらの記録媒体に記録されている前記デジタル信号であるとしても良い。また、本発明の一態様としては、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしても良い。また、本発明の一態様としては、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記録しており、前記マイクロプロセッサは、前記コンピュータプログラムに従って動作するとしても良い。また、前記プログラム若しくは前記デジタル信号を前記記録媒体に記録して移送することにより、又は、前記プログラム若しくは前記デジタル信号を、前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしても良い。

【0217】

（１２）上記実施の形態及び上記変形例で示した各構成要素及び機能を任意に組み合わせることで実現される形態も本発明の範囲に含まれる。

【産業上の利用可能性】

【0218】

本発明は、車載ネットワークにおける攻撃フレーム等への対処のために利用可能である。

【符号の説明】

【0219】

１０、２０ ネットワーク
１００、１００Ａ、２０００ ネットワークシステム
１０１ バスＡ
１０２ バスＢ
１０３ バスＣ
２００ ステアリングＥＣＵ
２０１、３０１ フレーム送受信部
２０２、３０２ フレーム解釈部
２０３、３０２ａ 受信ＩＤ判断部
２０５、２３１ 制御部
２０６ 自動操舵用モータ
２０７ ステアリングセンサ
２０８、２１８、２２８、２３８、３０４ フレーム生成部
２０９、２３９、２４９、３０２ｂ 受信ＩＤリスト保持部
２１０ 速度通知ＥＣＵ
２１１ 速度センサ
２２０ 白線角度通知ＥＣＵ
２２１ 白線角度検知センサ
２３０ 自動操舵指示ＥＣＵ
２４０ ヘッドユニットＥＣＵ
２４１ 表示部
２４１ａ 表示内容保持部
３００、３００１ ゲートウェイ（セキュリティ装置）
３０３ 外部通信部
３０３ａ 位置情報取得部
３０５ 確認部
３０５ａ フォーマットルール保持部
３０６ 判断部
３０６ａ 判断ルール保持部
３０７ 通知部
３０７ａ 警告ルール保持部
３０７ｂ 状態記憶部
３０７ｃ 通知ルール保持部
３０８ 転送部
３０８ａ 転送ルール保持部
４００ サーバ
４０１、２１１１ 受信部
４０２ 判断部
４０３ ログ記憶部
４０４ 不正判定部
４０５ 送信部
５００ 自動車
６００ 自動車Ｂ
１０００ 自動車Ａ
２１００ 車両
２１１０ セキュリティ装置
２１１２ 確認部
２１１３ 判定部
２１１４ 取得部
２１１５ 出力部
２１２０ 通信装置
２１３０ 報知装置
２１４０、２１５０ａ〜２１５０ｄ 電子制御ユニット（ＥＣＵ）
２１９０ａ〜２１９０ｃ バス
２２００ 外部装置

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】

【図22】

【図23】

【図24】

【図25】

【図26】

【図27】

【図28】

【図29】

【図30】

【図31】

【図32】

【図33】