特開 2023-168684 検出装置、車載装置、検出方法及びコンピュータプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023168684

(43)【公開日】2023-11-29

(54)【発明の名称】検出装置、車載装置、検出方法及びコンピュータプログラム

(51)【国際特許分類】

   G06F 21/55 20130101AFI20231121BHJP

   B60R 16/023 20060101ALI20231121BHJP

【ＦＩ】

G06F21/55

B60R16/023 Z

【審査請求】未請求

【請求項の数】11

【出願形態】ＯＬ

(21)【出願番号】P 2022079938

(22)【出願日】2022-05-16

(71)【出願人】

【識別番号】395011665

【氏名又は名称】株式会社オートネットワーク技術研究所

(71)【出願人】

【識別番号】000183406

【氏名又は名称】住友電装株式会社

(71)【出願人】

【識別番号】000002130

【氏名又は名称】住友電気工業株式会社

(74)【代理人】

【識別番号】110000280

【氏名又は名称】弁理士法人サンクレスト国際特許事務所

(72)【発明者】

【氏名】咸 元俊

(57)【要約】

【課題】より確実に不正侵入を検出する。
【解決手段】車両に搭載されるＥＣＵと通信線により接続されている検出装置であって、第１発振器の発振に基づいて第１発振信号を出力する発振回路と、前記第１発振信号の周波数と、前記通信線から受信される受信信号に含まれる第２発振信号の周波数と、の差分に応じた検出値を判定部へ出力する検出回路と、を備え、前記判定部は、前記検出値が、前記第１発振信号の周波数と、前記ＥＣＵに含まれる第２発振器の発振に基づいて生成される第３発振信号の周波数と、の差分に応じた正常値と相違する場合に、前記通信線に不正侵入があることを判定する、検出装置。
【選択図】図２

【特許請求の範囲】

【請求項1】

車両に搭載されるＥＣＵと通信線により接続されている検出装置であって、
第１発振器の発振に基づいて第１発振信号を出力する発振回路と、
前記第１発振信号の周波数と、前記通信線から受信される受信信号に含まれる第２発振信号の周波数と、の差分に応じた検出値を判定部へ出力する検出回路と、
を備え、
前記判定部は、前記検出値が、前記第１発振信号の周波数と、前記ＥＣＵに含まれる第２発振器の発振に基づいて生成される第３発振信号の周波数と、の差分に応じた正常値と相違する場合に、前記通信線に不正侵入があることを判定する、
検出装置。

【請求項2】

前記判定部は、前記検出値が前記正常値から所定値を超えて相違する場合に、前記通信線に不正侵入があることを判定する、
請求項１に記載の検出装置。

【請求項3】

前記検出回路は、
前記第１発振信号と前記第２発振信号とが入力され、前記第１発振信号の周波数と前記第２発振信号の周波数との差分を検出する第１回路と、
前記第１回路において検出された差分を前記検出値に変換する第２回路と、
を含む、
請求項２に記載の検出装置。

【請求項4】

前記受信信号は、前記第２発振信号とデータ信号とが重畳された信号であり、
前記検出回路は、前記受信信号から前記第２発振信号を抽出して、前記第１回路に出力する抽出回路をさらに含む、
請求項３に記載の検出装置。

【請求項5】

前記正常値が予め記憶されている記憶部と、
前記判定部と、
をさらに備える、
請求項１から請求項４のいずれか１項に記載の検出装置。

【請求項6】

前記記憶部に記憶されている前記正常値を変更する変更部をさらに備え、
前記変更部は、第１モードと第２モードとを含む複数の動作モードを選択可能であり、
前記第１モードが選択されている場合、前記変更部は、前記記憶部に記憶されている前記正常値を、前記第１モードが選択されている間に前記検出回路から出力される前記検出値に変更し、
前記第２モードが選択されている場合、前記変更部は、前記記憶部に記憶されている前記正常値を変更しない、
請求項５に記載の検出装置。

【請求項7】

前記判定部は、前記第１発振器及び前記第２発振器のうち少なくとも一方の温度を検出する温度センサの検出温度に基づいて、前記正常値を決定する、
請求項５に記載の検出装置。

【請求項8】

前記第２発振器の温度を調整する温度調整部に指示を行う温度制御部をさらに備え、
前記検出回路は、
前記第１発振信号の周波数と、前記温度制御部の指示により前記第２発振器が第１の所定温度に調整されている間に受信される前記受信信号に含まれる前記第２発振信号の周波数と、の差分に応じた前記検出値である第１の検出値を前記判定部へ出力し、
前記判定部は、前記第１の検出値が、前記第１発振信号の周波数と、前記温度制御部の指示により前記第２発振器が前記第１の所定温度に調整されている間に前記第２発振器の発振に基づいて生成される前記第３発振信号の周波数と、の差分に応じた前記正常値である第１の正常値から所定値を超えて相違する場合に、前記通信線に不正侵入があることを判定する、
請求項１から請求項４のいずれか１項に記載の検出装置。

【請求項9】

前記ＥＣＵと前記通信線により接続されている車載装置であって、
物理層で動作し、前記受信信号をデジタル信号に変換するＰＨＹ部と、
前記ＰＨＹ部により変換された前記デジタル信号が入力される処理装置と、
を備え、
前記ＰＨＹ部は、
前記受信信号を前記デジタル信号に変換する変換装置と、
請求項１から請求項４のいずれか１項に記載の検出装置と、
を含む、
車載装置。

【請求項10】

車両に搭載されるＥＣＵと検出装置とを接続する通信線における不正侵入を検出する検出方法であって、
検出値が、正常値と相違する場合に、前記通信線に不正侵入があることを判定するステップを備え、
前記検出値は、前記検出装置に含まれる発振回路が第１発振器の発振に基づいて出力する第１発振信号の周波数と、前記通信線から受信される受信信号に含まれる第２発振信号の周波数と、の差分に応じた値であり、
前記正常値は、前記第１発振信号の周波数と、前記ＥＣＵに含まれる第２発振器の発振に基づいて生成される第３発振信号の周波数と、の差分に応じた値である、
検出方法。

【請求項11】

車両に搭載されるＥＣＵと検出装置とを接続する通信線における不正侵入を検出するためのコンピュータプログラムであって、
コンピュータプログラムは、コンピュータに、
検出値が、正常値と相違する場合に、前記通信線に不正侵入があることを判定するステップを実行させ、
前記検出値は、前記検出装置に含まれる発振回路が第１発振器の発振に基づいて出力する第１発振信号の周波数と、前記通信線から受信される受信信号に含まれる第２発振信号の周波数と、の差分に応じた値であり、
前記正常値は、前記第１発振信号の周波数と、前記ＥＣＵに含まれる第２発振器の発振に基づいて生成される第３発振信号の周波数と、の差分に応じた値である、
コンピュータプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、検出装置、車載装置、検出方法及びコンピュータプログラムに関する。

【背景技術】

【0002】

車両に搭載されるＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）等を含む車載ネットワークへの不正侵入を防止するための技術が知られている。例えば、特許文献１には、ＥＣＵに含まれるＣＰＵがポートに接続される端末を監視する。そして、接続された端末のＭＡＣアドレスが、ＭＡＣアドレステーブルに予め登録された端末の宛先ＭＡＣアドレスと異なる場合に、当該ポートを使用不能とすることで、車載ＬＡＮへの不正侵入を防ぐ。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０１９－１２５９９１号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

近年、車載ネットワーク内の複数のＥＣＵ間において送受信されるデータを不正端末によって盗み見ることで、正常なシーケンスを不正端末に記録した後、不正端末が一方のＥＣＵになりすまして車載ネットワークに不正に侵入する手法が存在する。

【0005】

この場合、不正端末は車載ネットワークに含まれるＥＣＵのＭＡＣアドレスをコピーするため、特許文献１のような従来の監視手法では不正侵入を検出することができない。

【0006】

かかる課題に鑑み、本開示は、より確実に不正侵入を検出することができる検出装置、車載装置、検出方法及びコンピュータプログラムを提供することを目的とする。

【課題を解決するための手段】

【0007】

本開示の検出装置は、車両に搭載されるＥＣＵと通信線により接続されている検出装置であって、第１発振器の発振に基づいて第１発振信号を出力する発振回路と、前記第１発振信号の周波数と、前記通信線から受信される受信信号に含まれる第２発振信号の周波数と、の差分に応じた検出値を判定部へ出力する検出回路と、を備え、前記判定部は、前記検出値が、前記第１発振信号の周波数と、前記ＥＣＵに含まれる第２発振器の発振に基づいて生成される第３発振信号の周波数と、の差分に応じた正常値と相違する場合に、前記通信線に不正侵入があることを判定する、検出装置である。

【0008】

本開示の検出方法は、車両に搭載されるＥＣＵと検出装置とを接続する通信線における不正侵入を検出する検出方法であって、検出値が、正常値と相違する場合に、前記通信線に不正侵入があることを判定するステップを備え、前記検出値は、前記検出装置に含まれる発振回路が第１発振器の発振に基づいて出力する第１発振信号の周波数と、前記通信線から受信される受信信号に含まれる第２発振信号の周波数と、の差分に応じた値であり、前記正常値は、前記第１発振信号の周波数と、前記ＥＣＵに含まれる第２発振器の発振に基づいて生成される第３発振信号の周波数と、の差分に応じた値である、検出方法である。

【0009】

本開示のコンピュータプログラムは、車両に搭載されるＥＣＵと検出装置とを接続する通信線における不正侵入を検出するためのコンピュータプログラムであって、コンピュータプログラムは、コンピュータに、検出値が、正常値と相違する場合に、前記通信線に不正侵入があることを判定するステップを実行させ、前記検出値は、前記検出装置に含まれる発振回路が第１発振器の発振に基づいて出力する第１発振信号の周波数と、前記通信線から受信される受信信号に含まれる第２発振信号の周波数と、の差分に応じた値であり、前記正常値は、前記第１発振信号の周波数と、前記ＥＣＵに含まれる第２発振器の発振に基づいて生成される第３発振信号の周波数と、の差分に応じた値である、コンピュータプログラムである。

【発明の効果】

【0010】

本開示によれば、より確実に不正侵入を検出することができる。

【図面の簡単な説明】

【0011】

【図1】図１は、実施形態に係る車載システムの構成例を示す図である。

【図2】図２は、図１の車載システムが不正侵入されている様子を示す図である。

【図3】図３は、実施形態に係る車載装置の構成例を示す図である。

【図4】図４は、実施形態に係る検出装置の構成例を示す図である。

【図5】図５は、実施形態に係る検出方法を例示するフローチャートである。

【図6】図６は、実施形態に係る検出方法を例示するフローチャートである。

【図7】図７は、実施形態に係る検出値を例示するグラフである。

【図8】図８は、発振器の温度特性を例示するグラフである。

【図9】図９は、変形例に係る正常値と温度の関係を例示するテーブルである。

【図10】図１０は、発振器のエージング特性を例示するグラフである。

【図11】図１１は、変形例に係る車載システムの構成を示す図である。

【図12】図１２は、変形例に係る検出値を例示するグラフである。

【発明を実施するための形態】

【0012】

［本開示の実施形態の説明］
本開示の実施形態には、その要旨として、以下の構成が含まれる。

【0013】

（１）本開示の検出装置は、車両に搭載されるＥＣＵと通信線により接続されている検出装置であって、第１発振器の発振に基づいて第１発振信号を出力する発振回路と、前記第１発振信号の周波数と、前記通信線から受信される受信信号に含まれる第２発振信号の周波数と、の差分に応じた検出値を判定部へ出力する検出回路と、を備え、前記判定部は、前記検出値が、前記第１発振信号の周波数と、前記ＥＣＵに含まれる第２発振器の発振に基づいて生成される第３発振信号の周波数と、の差分に応じた正常値と相違する場合に、前記通信線に不正侵入があることを判定する、検出装置である。

【0014】

不正端末等では、ＥＣＵの通信シーケンス等を模倣することはできても、ＥＣＵの第２発振器に起因する第３発振信号を模倣することができない。このため、通信線から受信される第２発振信号の周波数が、第３発振信号の周波数に相当するか否かを判断することで、より確実に不正侵入を検出することができる。

【0015】

（２）前記（１）の検出装置において、前記判定部は、前記検出値が前記正常値から所定値を超えて相違する場合に、前記通信線に不正侵入があることを判定してもよい。

【0016】

このように構成することで、誤差等により前記検出値が前記正常値からずれた場合に、不正侵入を誤判定することを抑制することができる。

【0017】

（３）前記（２）の検出装置において、前記検出回路は、前記第１発振信号と前記第２発振信号とが入力され、前記第１発振信号の周波数と前記第２発振信号の周波数との差分を検出する第１回路と、前記第１回路において検出された差分を前記検出値に変換する第２回路と、を含んでもよい。

【0018】

このように構成することで、第１発振信号の周波数と第２発振信号の周波数との差分を、検出値に変換することができる。

【0019】

（４）前記（３）の検出装置において、前記受信信号は、前記第２発振信号とデータ信号とが重畳された信号であってもよい。この場合、前記検出回路は、前記受信信号から前記第２発振信号を抽出して、前記第１回路に出力する抽出回路をさらに含んでもよい。

【0020】

このように構成することで、受信信号から第２発振信号を抽出することができる。

【0021】

（５）前記（１）から前記（４）のいずれかの検出装置は、前記正常値が予め記憶されている記憶部と、前記判定部と、をさらに備えてもよい。

【0022】

このように構成することで、検出装置内において不正侵入の検出を行うことができる。

【0023】

（６）前記（５）の検出装置は、前記記憶部に記憶されている前記正常値を変更する変更部をさらに備えてもよく、前記変更部は、第１モードと第２モードとを含む複数の動作モードを選択可能であり、前記第１モードが選択されている場合、前記変更部は、前記記憶部に記憶されている前記正常値を、前記第１モードが選択されている間に前記検出回路から出力される前記検出値に変更し、前記第２モードが選択されている場合、前記変更部は、前記記憶部に記憶されている前記正常値を変更しなくてもよい。

【0024】

このように構成することで、経年変化に起因する発振器の周波数偏差を補償することができるため、不正侵入をより確実に検出することができる。

【0025】

（７）前記（５）の検出装置において、前記判定部は、前記第１発振器及び前記第２発振器のうち少なくとも一方の温度を検出する温度センサの検出温度に基づいて、前記正常値を決定してもよい。

【0026】

このように構成することで、温度変化に起因する発振器の周波数偏差を補償することができるため、不正侵入をより確実に検出することができる。

【0027】

（８）前記（１）から前記（７）のいずれかの検出装置は、前記第２発振器の温度を調整する温度調整部に指示を行う温度制御部をさらに備えてもよく、前記検出回路は、前記第１発振信号の周波数と、前記温度制御部の指示により前記第２発振器が第１の所定温度に調整されている間に受信される前記受信信号に含まれる前記第２発振信号の周波数と、の差分に応じた前記検出値である第１の検出値を前記判定部へ出力し、前記判定部は、前記第１の検出値が、前記第１発振信号の周波数と、前記温度制御部の指示により前記第２発振器が前記第１の所定温度に調整されている間に前記第２発振器の発振に基づいて生成される前記第３発振信号の周波数と、の差分に応じた前記正常値である第１の正常値から所定値を超えて相違する場合に、前記通信線に不正侵入があることを判定してもよい。

【0028】

このような構成によれば、第１の検出値が温度調整部による温度調整に追従しない場合に不正侵入を検出し、第１の検出値が温度調整部による温度調整に追従している場合に不正侵入を検出しない。これにより、ある温度において第２発振器の周波数と第３発振器の周波数とが偶然一致する場合であっても、不正侵入を検出することができる。

【0029】

（９）本開示の車載装置は、前記ＥＣＵと前記通信線により接続されている車載装置であって、物理層で動作し、前記受信信号をデジタル信号に変換するＰＨＹ部と、前記ＰＨＹ部により変換された前記デジタル信号が入力される処理装置と、を備え、前記ＰＨＹ部は、前記受信信号を前記デジタル信号に変換する変換装置と、前記（１）から前記（８）のいずれかの検出装置と、を含む、車載装置である。

【0030】

（１０）本開示の検出方法は、車両に搭載されるＥＣＵと検出装置とを接続する通信線における不正侵入を検出する検出方法であって、検出値が、正常値と相違する場合に、前記通信線に不正侵入があることを判定するステップを備え、前記検出値は、前記検出装置に含まれる発振回路が第１発振器の発振に基づいて出力する第１発振信号の周波数と、前記通信線から受信される受信信号に含まれる第２発振信号の周波数と、の差分に応じた値であり、前記正常値は、前記第１発振信号の周波数と、前記ＥＣＵに含まれる第２発振器の発振に基づいて生成される第３発振信号の周波数と、の差分に応じた値である、検出方法である。

【0031】

不正端末等では、ＥＣＵの通信シーケンス等を模倣することはできても、ＥＣＵの第２発振器に起因する第３発振信号を模倣することができない。このため、通信線から受信される第２発振信号の周波数が、第３発振信号の周波数に相当するか否かを判断することで、より確実に不正侵入を検出することができる。

【0032】

（１１）本開示のコンピュータプログラムは、車両に搭載されるＥＣＵと検出装置とを接続する通信線における不正侵入を検出するためのコンピュータプログラムであって、コンピュータプログラムは、コンピュータに、検出値が、正常値と相違する場合に、前記通信線に不正侵入があることを判定するステップを実行させ、前記検出値は、前記検出装置に含まれる発振回路が第１発振器の発振に基づいて出力する第１発振信号の周波数と、前記通信線から受信される受信信号に含まれる第２発振信号の周波数と、の差分に応じた値であり、前記正常値は、前記第１発振信号の周波数と、前記ＥＣＵに含まれる第２発振器の発振に基づいて生成される第３発振信号の周波数と、の差分に応じた値である、コンピュータプログラムである。

【0033】

不正端末等では、ＥＣＵの通信シーケンス等を模倣することはできても、ＥＣＵの第２発振器に起因する第３発振信号を模倣することができない。このため、通信線から受信される第２発振信号の周波数が、第３発振信号の周波数に相当するか否かを判断することで、より確実に不正侵入を検出することができる。

【0034】

［１．本開示の実施形態の詳細］
以下、図面を参照して、本開示の実施形態の詳細を説明する。

【0035】

［１．１ 車載システム１の構成］
図１は、実施形態に係る車載システム１の構成例を示す図である。

【0036】

車載システム１は、自動車等の車両９に搭載されているシステムである。車載システム１は、車載装置１０と、複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）２０と、車載装置１０と複数のＥＣＵ２０との間をそれぞれ接続する複数の通信線３０と、を備える。車載装置１０及び複数のＥＣＵ２０は、複数の通信線３０によりそれぞれ接続されることで、車載ネットワークを構成する。

【0037】

車載装置１０は、例えば複数のＥＣＵ２０間において送受信されるデータを中継する中継装置である。具体的には、車載装置１０はイーサネットスイッチ（イーサネットは登録商標）及びＬ２スイッチとしての機能を有する中継装置である。なお、車載装置１０は複数のＥＣＵ２０の制御を管理する統合ＥＣＵであってもよいし、複数のＥＣＵ２０と同様のＥＣＵであってもよい。

【0038】

車載システム１に含まれるＥＣＵ２０の個数は、特に限定されず、１個でもよい。図１の例では、車載システム１は４個のＥＣＵ２０を備える。４個のＥＣＵ２０を区別する場合、ＥＣＵ２１，２２，２３，２４とそれぞれ称する。

【0039】

ＥＣＵ２０は、例えば車両９の各部（例えば、制動装置、ドア、バッテリ、エアコンディショナ等）を制御する装置（操作系ＥＣＵ）である。ＥＣＵ２０の機能は特に限定されず、ＥＣＵ２０は、センサと通信して、車両９の各部の状態を監視する装置（認知系ＥＣＵ）であってもよい。複数のＥＣＵ２０は、それぞれ異なる機能を有してもよいし、それぞれ同じ機能を有してもよい。

【0040】

複数（図１の例では４本）の通信線３０は、それぞれ車載装置１０から延びている。４本の通信線３０を区別する場合、ＥＣＵ２１に延びる線を通信線３１と称し、ＥＣＵ２２に延びる線を通信線３２と称し、ＥＣＵ２３に延びる線を通信線３３と称し、ＥＣＵ２４に延びる線を通信線３４と称する。

【0041】

車載ネットワークがイーサネット規格に基づくネットワークである場合、通信線３０は、例えば１０００ＢＡＳＥ－Ｔ１又は１０００ＢＡＳＥ－ＲＨの規格に準拠した通信線である。なお、通信線３０はＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）等のその他の規格に準拠していてもよい。

【0042】

［１．２ 実施形態が解決しようとする課題］
図２は、車載システム１が不正侵入されている様子を示す図である。はじめに、侵入者は、通信線３１の途中に、不正端末Ｄ１が接続されているハブＨ１を挿入する。不正端末Ｄ１は、例えばラップトップコンピュータ等のパーソナルコンピュータ、又はタブレット端末である。ハブＨ１は、例えば通信線３１に流れるデータをコピーするリピータハブである。例えば、侵入者は通信線３１を切断して切断部分にそれぞれコネクタを取り付け、ハブＨ１を当該コネクタに接続する。また、車載装置１０及びＥＣＵ２１の一方から通信線３１を引き抜いてハブＨ１に差し込み、新たな通信線をハブＨ１から車載装置１０及びＥＣＵ２１の他方に接続する場合もある。

【0043】

続いて、侵入者は、ハブＨ１に接続されている不正端末Ｄ１に、通信線３１に流れるデータをコピーする。そして、不正端末Ｄ１は、当該データに基づいて、例えばＥＣＵ２１のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスと、ＥＣＵ２１と車載装置１０との間における通信のシーケンスを解析する。その後、不正端末Ｄ１は、ＥＣＵ２１のＭＡＣアドレス及び通信シーケンスをコピーすることで、ＥＣＵ２１になりすまして不正なデータを車載装置１０に送信する。

【0044】

例えば、特許文献１の場合、ＭＡＣアドレスに基づいて、通信の相手方が正常か不正かを判断する。上記の手法では、ＥＣＵ２１のＭＡＣアドレスをコピーした状態で不正侵入を行うため、特許文献１のようなソフト的な監視手法では不正侵入を検出することができない。

【0045】

そこで、本実施形態では、ＥＣＵ２０に含まれる発振器（例えば、水晶振動子）の周波数に着目して、不正侵入を検知する。複数のＥＣＵ２０には、それぞれ発振信号（クロック信号）を生成するために発振器が設けられている。例えば、ＥＣＵ２１は、第２発振器７１を含む。発振器の周波数には個体差（許容偏差）があり、同じ仕様の発振器であっても、例えば±２０～５０ｐｐｍ程度の周波数の差が生じる。このため、従来より、信号の受信側において、この周波数差をなくすように、クロックを同期させている。

【0046】

図１に示すように、正常な状態（不正侵入のない状態）において、車載装置１０はＥＣＵ２１に含まれる第２発振器７１の発振に基づいて生成される発振信号ＳＧ３（本開示の「第３発振信号」の一例）を受信する。

【0047】

一方で、図２に示すように、不正端末Ｄ１がＥＣＵ２１になりすまして車載装置１０にデータを送信する場合、車載装置１０はハブＨ１に含まれる第３発振器Ｈ２の発振に基づいて生成される発振信号ＳＧｘを受信する。

【0048】

不正端末Ｄ１は、ＥＣＵ２１のＭＡＣアドレス及び通信シーケンス等、データの内容に関してなりすますことはできても、車載装置１０に送信される発振信号ＳＧｘの周波数は第３発振器Ｈ２の特性に依存するため、ＥＣＵ２１から送信される発振信号ＳＧ３の周波数を模倣することはできない。

【0049】

発明者は、鋭意研究の結果、不正端末Ｄ１では発振器等のハード的な構成に起因する信号を模倣できないことを利用して、車載装置１０において受信される発振信号の周波数が、ＥＣＵ２１の発振信号ＳＧ３の周波数に相当するか否かを判断することで、より確実に不正侵入を検出する発明を想到した。以下、その具体的構成を説明する。

【0050】

［１．３ 車載装置１０の構成］
図３は、実施形態に係る車載装置１０の構成例を示す図である。
車載装置１０は、複数のＰＨＹ部１１と、処理装置１２と、第１発振器１３と、温度センサ１４と、を備える。

【0051】

ＰＨＹ部１１は、ＯＳＩ（Ｏｐｅｎ Ｓｙｓｔｅｍ Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）参照モデルにおける物理層（Ｐｈｙｓｉｃａｌ Ｌａｙｅｒ）で動作する領域であり、例えばイーサネットＰＨＹ等の集積回路である。ＰＨＹ部１１は、検出装置４０と、変換装置５０と、を含む。検出装置４０及び変換装置５０は、ＰＨＹ部１１のうちそれぞれ異なる領域によって実現されてもよいし、少なくとも一部の領域を共用することで実現されてもよい。

【0052】

検出装置４０は、通信線３０の不正侵入を検出する装置である。検出装置４０の詳細は後述する。変換装置５０は、通信線３０側を流れるアナログ信号と処理装置１２に入出力されるデジタル信号とを相互変換する装置である。具体的には、変換装置５０は、通信線３０から受信されるアナログ信号（受信信号ＲＳ１）を処理装置１２が認識可能なデジタル信号ＤＳ１に変換して処理装置１２へ出力する機能と、処理装置１２から入力されるデジタル信号ＤＳ１をＥＣＵ２０が認識可能なアナログ信号に変換して通信線３０へ送信する機能と、を有する。

【0053】

図３の例では、ＥＣＵ２０の個数に対応して４個のＰＨＹ部１１が設けられている。なお、ＰＨＹ部１１の個数は特に限定されず、例えば５個以上設けられてもよい。４個のＰＨＹ部１１は、それぞれ同じ内部構成を有し、４本の通信線３１，３２，３３，３４にそれぞれ接続されている。なお、４個のＰＨＹ部１１のうち通信線３１に接続されるＰＨＹ部１１にのみ検出装置４０が設けられ、他の３個のＰＨＹ部１１において検出装置４０が省略されていてもよい。

【0054】

処理装置１２は、ＰＨＹ部１１により変換されたデジタル信号ＤＳ１に基づいて、各種の処理を行う装置であり、例えばマイクロコントローラーユニット（ＭＣＵ：Ｍｉｃｒｏ Ｃｏｎｔｒｏｌｌｅｒ Ｕｎｉｔ）である。処理装置１２は、ＣＰＬＤ（Ｃｏｍｐｌｅｘ ＰＬＤ）又はＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等のＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）であってもよい。

【0055】

処理装置１２は、制御部６１と、記憶部６２と、読取部６３と、を含む。これらの各部６１，６２，６３は、バスＢ１によって互いに電気的に接続されている。

【0056】

制御部６１は、例えばプロセッサ等の回路構成（Ｃｉｒｃｕｉｔｒｙ）を含む。制御部６１は、具体的には、１個又は複数個のＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）を含む。制御部６１に含まれるプロセッサは、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）であってもよい。制御部６１は、記憶部６２に記憶されているコンピュータプログラムを読み出して、各種の演算及び制御を実行する。

【0057】

記憶部６２は、揮発性メモリと、不揮発性メモリと有し、後述の正常値Ｖ１を含む各種のデータを記憶する。揮発性メモリは、例えばＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）を含む。不揮発性メモリは、例えばフラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）又はＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等を含む。記憶部６２は、例えば、不揮発性メモリにコンピュータプログラム及び各種のパラメータを記憶している。

【0058】

読取部６３は、コンピュータが読取り可能な記録媒体６４から情報を読み取る。記録媒体６４は、例えばＣＤ、ＤＶＤ等の光学ディスク又はＵＳＢフラッシュメモリである。読取部６３は、例えば光学ドライブ又はＵＳＢ端子である。記録媒体６４にはコンピュータプログラム及び各種のパラメータが記録されており、記録媒体６４を読取部６３に読み取らせることで、コンピュータプログラム及び各種のパラメータが記憶部６２の不揮発性メモリに記憶される。

【0059】

制御部６１は、後述の検出回路４３から入力される検出値Ｖｘと、記憶部６２に記憶されている正常値Ｖ１とを比較する。例えば、検出値Ｖｘと正常値Ｖ１との差分の絶対値（｜Ｖｘ－Ｖ１｜）を算出する。そして、当該絶対値が、マージン値αを超える場合に（｜Ｖｘ－Ｖ１｜＞α）、通信線３１に不正侵入があることを判定する。この場合、制御部６１が本開示の「判定部」として機能し、記憶部６２が本開示の「記憶部」として機能する。

【0060】

第１発振器１３は、車載装置１０に含まれる各回路のクロック源として用いられる素子である。第１発振器１３は、例えば水晶振動子である。なお、第１発振器１３は、セラミック振動子であってもよい。図１の例では、車載装置１０に１個の第１発振器１３が設けられ、第１発振器１３から車載装置１０の各部１１，１２に発振成分が供給される。なお、車載装置１０の各部１１，１２に個別に第１発振器１３が設けられてもよい。

【0061】

温度センサ１４は、第１発振器１３の温度を検出するセンサである。温度センサ１４は、例えばサーミスタ等の測温抵抗体（ＲＴＤ：Ｒｅｓｉｓｔａｎｃｅ Ｔｅｍｐｅｒａｔｕｒｅ Ｄｅｔｅｃｔｏｒ）である。なお、温度センサ１４は、熱電対又は赤外線放射温度計であってもよい。温度センサ１４は検出信号を処理装置１２に出力する。

【0062】

［１．４ 検出装置４０の構成］
図４は、実施形態に係る検出装置４０の構成例を示す図である。検出装置４０は、受信回路４１と、発振回路４２と、検出回路４３と、ロジック回路４４と、メモリ回路４５と、を備える。

【0063】

受信回路４１は、通信線３１から受信信号ＲＳ１を受信する回路（レシーバ）である。受信回路４１は、受信信号ＲＳ１に対して増幅及びノイズカット等の前処理を実行してもよい。受信回路４１は、受信信号ＲＳ１（又は前処理を施した受信信号ＲＳ１）を検出回路４３へ出力する。

【0064】

発振回路４２は、第１発振器１３の発振に基づいて第１発振信号ＳＧ１を生成する回路である。第１発振信号ＳＧ１の周波数は、第１発振器１３の周波数に依存する。発振回路４２は、第１発振信号ＳＧ１を検出回路４３へ出力する。

【0065】

検出回路４３は、第１発振信号ＳＧ１の周波数と、受信信号ＲＳ１に含まれる第２発振信号ＳＧ２の周波数と、の差分に応じた検出値Ｖｘを生成する回路である。検出回路４３は、検出値Ｖｘをロジック回路４４及び処理装置１２の少なくとも一方に出力する。

【0066】

より具体的には、検出回路４３は、抽出回路４３１と、第１回路４３２と、第２回路４３３と、を含む。

【0067】

ここで、受信信号ＲＳ１は、ひとつの差動信号の中に、第２発振信号ＳＧ２（クロック）とデータ信号ＤＳ２とが重畳された信号である。これにより、１種類の通信線３０によって第２発振信号ＳＧ２及びデータ信号ＤＳ２の両方を伝送することができる。

【0068】

抽出回路４３１は、受信信号ＲＳ１から第２発振信号ＳＧ２を抽出して、第１回路４３２に出力する回路である。抽出回路４３１は、例えばＣＤＲ（Ｃｌｏｃｋ Ｄａｔａ Ｒｅｃｏｖｅｒｙ）回路である。

【0069】

第１回路４３２には、発振回路４２から第１発振信号ＳＧ１が入力され、抽出回路４３１から第２発振信号ＳＧ２が入力される。第１回路４３２は、第１発振信号ＳＧ１の周波数と第２発振信号ＳＧ２の周波数の差分を検出する回路である。第１回路４３２は、例えばＰＦＤ（Ｐｈａｓｅ Ｆｒｅｑｕｅｎｃｙ Ｄｅｔｅｃｔｏｒ）回路である。第１回路４３２が検出した差分は、例えばパルス波として第２回路４３３へ出力される。

【0070】

第２回路４３３は、第１回路４３２において検出された差分を検出値Ｖｘに変換する回路である。第２回路４３３は、ＣＰ（Ｃｈａｒｇｅ Ｐｕｍｐ）回路４３４と、フィルタ回路４３５と、ＡＤ（Ａｎａｌｏｇ ｔｏ ｄｉｇｉｔａｌ）変換回路４３６と、を含む。第１回路４３２において検出された差分は、ＣＰ回路４３４に入力される。

【0071】

ＣＰ回路４３４は、第１回路４３２において検出された差分（パルス波）に応じた電流信号（パルス電流）を出力する回路であり、例えばコンデンサとダイオードとを含む。ＣＰ回路４３４において出力された電流信号はフィルタ回路４３５に入力される。

【0072】

フィルタ回路４３５は、ＣＰ回路４３４において出力された電流信号を電圧値に変換する回路である。フィルタ回路４３５は、例えばラグリードフィルタであり、パルス電流を平滑化された電圧値に変換する。フィルタ回路４３５において出力された電圧値は、ＡＤ変換回路４３６に入力される。

【0073】

ＡＤ変換回路４３６は、フィルタ回路４３５において出力された電圧値（アナログ値）をデジタル値に変換する回路である。ＡＤ変換回路４３６は、変換したデジタル値を検出値Ｖｘとして、ロジック回路４４及び処理装置１２の少なくとも一方に出力する。

【0074】

なお、例えば処理装置１２にＡＤ変換回路が備えられている場合、検出回路４３はフィルタ回路４３５において変換された電圧値（アナログ値）を検出値Ｖｘとして処理装置１２に出力してもよい。この場合、処理装置１２のＡＤ変換回路において検出値Ｖｘがデジタル値に変換される。

【0075】

ロジック回路４４は、例えばプロセッサ等の回路構成（Ｃｉｒｃｕｉｔｒｙ）を含む。制御部６１は、具体的には、複数個の論理ゲートを含み、メモリ回路４５に記憶されているパラメータと、検出回路４３から入力される検出値Ｖｘとに基づいて、各種の演算及び制御を実行する。

【0076】

メモリ回路４５は、各種のパラメータを記憶する回路である。メモリ回路４５は、例えばＰＲＯＭ（Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）である。メモリ回路４５は、後述の正常値Ｖ１と、マージン値αとを記憶している。

【0077】

ロジック回路４４は、検出回路４３から入力される検出値Ｖｘと、メモリ回路４５に記憶されている正常値Ｖ１とを比較する。例えば、検出値Ｖｘと正常値Ｖ１との差分の絶対値（｜Ｖｘ－Ｖ１｜）を算出する。そして、当該絶対値が、マージン値αを超える場合に（｜Ｖｘ－Ｖ１｜＞α）、通信線３１に不正侵入があることを判定する。この場合、ロジック回路４４が本開示の「判定部」として機能し、メモリ回路４５が本開示の「記憶部」として機能する。

【0078】

［１．５ 検出方法］
次に、車載システム１における不正侵入の検出方法を説明する。車載システム１において、処理装置１２の制御部６１が不正侵入を検出してもよいし、検出装置４０のロジック回路４４が不正侵入を検出してもよい。以下、前者の検出方法を「第１検出例」、後者の検出方法を「第２検出例」として説明する。

【0079】

［１．５．１ 第１検出例：制御部６１が不正侵入を検出］
図５及び図６は、実施形態に係る検出方法を例示するフローチャートである。図５及び図６は、車載装置１０が実行する制御をそれぞれ示している。
図７は、実施形態に係る検出値Ｖｘを例示するグラフである。

【0080】

車載システム１では、はじめに正常値Ｖ１の記憶を実行し、その後に不正侵入の検出を実行する。図５は正常値Ｖ１の記憶するための手順を示すフローチャートであり、図６は不正侵入の検出を実行するための手順を示すフローチャートである。図７は、図５及び図６の手順が実行されるタイミングを示すグラフであり、縦軸は検出値Ｖｘを示し、横軸は時刻を示している。

【0081】

正常値Ｖ１の記憶は、例えば車両９の出荷前に、車両９の製造工場において実行され、図７では時刻Ｘ１に実行される。車両９の出荷前（すなわち、製造工場内）であれば、車載システム１への不正侵入のおそれが低いため、不正侵入が無いものとして正常値Ｖ１を記憶部６２に登録することができる。

【0082】

図５を参照する。まず、第１回路４３２が、第１発振器１３の発振に基づいて生成される第１発振信号ＳＧ１の周波数と、ＥＣＵ２１に含まれる第２発振器７１の発振に基づいて生成される第３発振信号ＳＧ３の周波数との差分を検出する（ステップＳ１１）。具体的には、車載装置１０とＥＣＵ２１とを動作させ、例えばＥＣＵ２１から、第３発振信号ＳＧ３とデータ信号とが重畳されたテスト用の信号を、通信線３１を経由して車載装置１０へ送信する。車載装置１０は、当該テスト用の信号を受信信号ＲＳ１として受信する。

【0083】

受信信号ＲＳ１は受信回路４１において前処理された後、ＣＤＲ回路４３１に入力される。ＣＤＲ回路４３１において受信信号ＲＳ１から第３発振信号ＳＧ３が抽出され、第３発振信号ＳＧ３は第１回路４３２（ＰＦＤ回路）に入力される。また、第１発振器１３の発振に基づいて発振回路４２において生成された第１発振信号ＳＧ１も第１回路４３２に入力される。第１回路４３２は、第１発振信号ＳＧ１の周波数と、第３発振信号ＳＧ３の周波数とを比較し、その周波数差をパルス波として第２回路４３３へ出力する。以上により、ステップＳ１１が終了する。

【0084】

続いて、第２回路４３３は周波数の差分を検出値Ｖｘに変換する（ステップＳ１２からステップＳ１４まで）。具体的には、ＣＰ回路４３４が周波数の差分を電流値に変換し（ステップＳ１２）、フィルタ回路４３５が電流値を電圧値に変換し（ステップＳ１３）、ＡＤ変換回路４３６が電圧値をデジタル値に変換する（ステップＳ１４）。

【0085】

最後に、処理装置１２の記憶部６２が検出値Ｖｘを正常値Ｖ１として記憶する（ステップＳ１５）。具体的には、ＡＤ変換回路４３６がデジタル値を検出値Ｖｘとして処理装置１２に出力する。処理装置１２の制御部６１は、入力された検出値Ｖｘを記憶部６２に正常値Ｖ１として記憶させる。以上により、ステップＳ１５が終了する。

【0086】

図６及び図７を参照する。不正侵入の検出は、例えば車載装置１０の電源がオンになったときに実行される。なお、不正侵入の検出は、例えば車載装置１０の電源がオンとなっている間、定期的に実行されてもよいし、車両９の搭乗者の操作に基づいて実行されてもよい。図７では、例えば車両９の出荷後である時刻Ｘ２及び時刻Ｘ３に実行される。

【0087】

まず、第１回路４３２が、第１発振信号ＳＧ１の周波数と、通信線３１から受信される受信信号ＲＳ１に含まれる第２発振信号ＳＧ２の周波数との差分を検出する（ステップＳ２１）。

【0088】

具体的には、車載装置１０は通信線３１から受信信号ＲＳ１を受信する。ここで、受信信号ＲＳ１は、ステップＳ２１の時点では、図１に示すようにＥＣＵ２１から発される信号であるか、図２に示すように不正なハブＨ１から発される信号であるか、不明である。

【0089】

受信信号ＲＳ１は受信回路４１において前処理された後、ＣＤＲ回路４３１に入力される。ＣＤＲ回路４３１において受信信号ＲＳ１から第２発振信号ＳＧ２が抽出され、第２発振信号ＳＧ２は第１回路４３２に入力される。また、第１発振信号ＳＧ１も第１回路４３２に入力される。第１回路４３２は、第１発振信号ＳＧ１の周波数と、第２発振信号ＳＧ２の周波数とを比較し、その周波数差をパルス波として第２回路４３３へ出力する。以上により、ステップＳ２１が終了する。

【0090】

続いて、第２回路４３３は周波数の差分を検出値Ｖｘに変換する（ステップＳ２２からステップＳ２４まで）。具体的には、ＣＰ回路４３４が周波数の差分を電流値に変換し（ステップＳ２２）、フィルタ回路４３５が電流値を電圧値に変換し（ステップＳ２３）、ＡＤ変換回路４３６が電圧値をデジタル値に変換する（ステップＳ２４）。

【0091】

次に、処理装置１２の制御部６１が、検出値Ｖｘが所定の範囲内であるか否かを監視する（ステップＳ２５）。ここで、受信信号ＲＳ１に含まれる第２発振信号ＳＧ２がＥＣＵ２０に含まれる第２発振器７１に基づく信号であれば、第２発振信号ＳＧ２の周波数は第３発振信号ＳＧ３の周波数と例えば±２ｐｐｍ以内の範囲でほぼ等しくなる。一方、第２発振信号ＳＧ２がハブＨ１に含まれる第３発振器Ｈ２に基づく信号であれば、偶然に一致する場合を除いて、ほとんどの場合、第２発振信号ＳＧ２の周波数は第３発振信号ＳＧ３の周波数と相違する。

【0092】

ステップＳ２５では、検出値Ｖｘ（すなわち、第１発振信号ＳＧ１と第２発振信号ＳＧ２の差分に応じた値）が、正常値Ｖ１（すなわち、第１発振信号ＳＧ１と第３発振信号ＳＧ３の差分に応じた値）からどれだけ相違するかを監視する。そして、所定値を超えて相違する場合、第２発振信号ＳＧ２は第２発振器７１に起因する信号ではないと考えられるため、不正侵入と判定する。

【0093】

具体的には、ＡＤ変換回路４３６がデジタル値を検出値Ｖｘとして処理装置１２に出力する。処理装置１２の制御部６１は、入力された検出値Ｖｘと、記憶部６２に記憶されている正常値Ｖ１とを比較する。例えば、制御部６１は、検出値Ｖｘと正常値Ｖ１の差分の絶対値（｜Ｖｘ－Ｖ１｜）を算出する。

【0094】

制御部６１は、検出値Ｖｘが正常値Ｖ１から所定値（マージン値α）を超えて相違する場合に（ステップＳ２５のＮＯ）、通信線３１に不正な侵入があることを判定する（ステップＳ２６：侵入判定）。例えば、制御部６１は、検出値Ｖｘと正常値Ｖ１の差分の絶対値がマージン値αを超える場合に（｜Ｖｘ－Ｖ１｜＞α）、侵入判定を行う。

【0095】

ここで、マージン値αは、車載装置１０において要求される不正侵入の検出精度に応じて適宜に設定される。マージン値αを小さく設定すればするほど、不正侵入を検出しやすくなる一方で、後述する温度等の影響によって、不正侵入がない場合であっても検出値Ｖｘが正常値Ｖ１からマージン値αを超えて相違しやすくなり、誤判定の可能性が増える。また、マージン値αを大きく設定すればするほど、誤判定の可能性は減る一方で、不正侵入を見過ごしやすくなる。マージン値αは、例えば２ｐｐｍ以下の値に設定される。

【0096】

侵入判定を行った場合、制御部６１は車載装置１０に受信された受信信号ＲＳ１を消去する（ステップＳ２７）。また、制御部６１は、図示省略する表示部（例えばディスプレイ）に不正侵入がなされていることを通知する表示を実行させてもよい。例えば、制御部６１は、表示部に「不正な侵入が検出されました」等のテキストを表示させてもよい。

【0097】

一方、検出値Ｖｘが正常値Ｖ１から所定値（マージン値α）以内である場合（ステップＳ２５のＹＥＳ）、制御部６１は侵入判定を行わず、デジタル信号ＤＳ１を受信する（ステップＳ２８）。例えば、制御部６１は、検出値Ｖｘと正常値Ｖ１の差分の絶対値がマージン値α以下である場合に（｜Ｖｘ－Ｖ１｜≦α）、侵入判定を行わない。

【0098】

ステップＳ２８において、制御部６１は、ＰＨＹ部１１内の変換装置５０において受信信号ＲＳ１から変換されたデジタル信号ＤＳ１を受信する。そして、制御部６１は、デジタル信号ＤＳ１に基づいて、ＥＣＵ２１と通信する等の各種の制御を実行する。以上により、不正侵入の検出が終了する。

【0099】

図７の例では、時刻Ｘ２において、検出値Ｖｘは値Ｖ１となる（Ｖｘ＝Ｖ１）。検出値Ｖｘは正常値Ｖ１からマージン値α以内の値であるため、時刻Ｘ２において不正侵入は検出されない。一方で、時刻Ｘ３において、検出値Ｖｘは値Ｖ２となる（Ｖｘ＝Ｖ２）。検出値Ｖｘは正常値Ｖ１からマージン値αを超えて相違する値であるため、時刻Ｘ３において不正侵入が検出される。

【0100】

第１検出例では、制御部６１が本開示の「判定部」として機能し、記憶部６２が本開示の「記憶部」として機能する。不正端末Ｄ１及びハブＨ１では、ＥＣＵ２１の通信シーケンス等を模倣することはできても、ＥＣＵ２１の第２発振器７１に起因する第３発振信号ＳＧ３を模倣することができない。このため、車載装置１０において受信される第２発振信号ＳＧ２の周波数が、ＥＣＵ２１の第３発振信号ＳＧ３の周波数に相当するか否かを判断することで、より確実に不正侵入を検出することができる。

【0101】

また、検出装置４０をＰＨＹ部１１の内部に設けることで、車載装置１０全体としての回路構成をよりコンパクトにすることができる。

【0102】

［１．５．２ 第２検出例：ロジック回路４４が不正侵入を検出］
第２検出例において、上記の第１検出例と同じ処理を実行する工程については、適宜説明を省略する。第２検出例においても、はじめに正常値Ｖ１の記憶を実行し、その後に不正侵入の検出を実行する。

【0103】

図５を参照する。ステップＳ１１からステップＳ１４まで、検出装置４０において上記の第１検出例と同じ処理が実行される。そして、メモリ回路４５が検出値Ｖｘを正常値Ｖ１として記憶する（ステップＳ１５）。具体的には、ＡＤ変換回路４３６がデジタル値を検出値Ｖｘとしてロジック回路４４に出力する。ロジック回路４４は、入力された検出値Ｖｘをメモリ回路４５に正常値Ｖ１として記憶させる。以上により、ステップＳ１５が終了する。

【0104】

図６を参照する。ステップＳ２１からステップＳ２４まで、検出装置４０において上記の第１検出例と同じ処理が実行される。そして、ロジック回路４４が、検出値Ｖｘが所定の範囲内であるか否かを監視する（ステップＳ２５）。

【0105】

具体的には、ＡＤ変換回路４３６がデジタル値を検出値Ｖｘとしてロジック回路４４に出力する。ロジック回路４４は、入力された検出値Ｖｘと、メモリ回路４５に記憶されている正常値Ｖ１とを比較する。例えば、ロジック回路４４は、検出値Ｖｘと正常値Ｖ１の差分の絶対値（｜Ｖｘ－Ｖ１｜）を算出する。

【0106】

ロジック回路４４は、検出値Ｖｘが正常値Ｖ１から所定値（マージン値α）を超えて相違する場合に（ステップＳ２５のＮＯ）、通信線３１に不正な侵入があることを判定する（ステップＳ２６：侵入判定）。例えば、ロジック回路４４は、検出値Ｖｘと正常値Ｖ１の差分の絶対値がマージン値αを超える場合に（｜Ｖｘ－Ｖ１｜＞α）、侵入判定を行う。

【0107】

侵入判定を行った場合、ロジック回路４４は車載装置１０に受信された受信信号ＲＳ１を消去する（ステップＳ２７）。また、ロジック回路４４は、侵入判定を行った場合に、処理装置１２へ所定の第１検出信号を出力してもよい。この場合、当該第１検出信号を受信した処理装置１２の制御部６１が受信信号ＲＳ１を消去してもよい。

【0108】

一方、検出値Ｖｘが正常値Ｖ１から所定値（マージン値α）以内である場合（ステップＳ２５のＹＥＳ）、ロジック回路４４は侵入判定を行わない。この場合、ロジック回路４４は処理装置１２へ第１検出信号とは異なる第２検出信号を出力する。そして、当該第２検出信号を受信した処理装置１２の制御部６１は、デジタル信号ＤＳ１を受信する（ステップＳ２８）。例えば、第１検出信号はハイレベル信号及びローレベル信号のうちの一方であり、第２検出信号はハイレベル信号及びローレベル信号のうちの他方である。以上により、不正侵入の検出が終了する。

【0109】

第２検出例では、ロジック回路４４が本開示の「判定部」として機能し、メモリ回路４５が本開示の「記憶部」として機能する。このように構成する場合にも、第２発振信号ＳＧ２の周波数が、ＥＣＵ２１の第３発振信号ＳＧ３の周波数に相当するか否かを判断することで、より確実に不正侵入を検出することができる。

【0110】

［２．変形例］
以下、実施形態の変形例について説明する。変形例において、上記の実施形態と同じ構成については同じ符号を付して説明を省略する。

【0111】

［２．１ 温度特性に応じた正常値の補正］
図８は、発振器の温度特性を例示するグラフである。図８の横軸は摂氏温度を示し、図８の縦軸は摂氏２５度における発振器の周波数を基準とする、各温度における発振器の周波数偏差（Δｆ／ｆ）を示している。

【0112】

図８に示すように、水晶振動子等の発振器が振動する周波数は、温度によって変化することが知られている。例えば、摂氏２５度よりも温度が高くなると、発振器の周波数は徐々に遅くなり、極小値を経た後に徐々に速くなる傾向がある。また、摂氏２５度よりも温度が低くなると、発振器の周波数は徐々に速くなり、極大値を経たあとに徐々に遅くなる傾向がある。

【0113】

このため、例えば上記の正常値Ｖ１の記憶（ステップＳ１１からＳ１５まで）を摂氏２５度の環境下にて実行した場合に、不正侵入の検出（ステップＳ２１からステップＳ２５）を摂氏４０度（例えば、夏季）の環境下にて実行すると、車載装置１０に含まれる第１発振器１３及びＥＣＵ２１に含まれる第２発振器７１の周波数が正常値Ｖ１を記憶した際のそれぞれの周波数よりも遅くなる。周波数が遅くなる程度は、第１発振器１３と第２発振器７１とで異なる。

【0114】

このため、正常値Ｖ１を記憶した際の温度とは異なる温度において不正侵入を検出する場合に、マージン値αをより小さく設定すると（例えば、０．５ｐｐｍ）、第２発振器７１の発振に基づく第２発振信号ＳＧ２であるのにもかかわらず（すなわち、不正侵入がないのにもかかわらず）、検出値Ｖｘが正常値Ｖ１からマージン値αを超えて相違することで、侵入判定（ステップＳ２６）がなされるおそれがある。

【0115】

このような誤判定を防ぐために、マージン値αを大きく設定してもよい。しかしながら、マージン値αを大きく設定すると、不正なハブＨ１の第３発振器Ｈ２の発振に基づく第２発振信号ＳＧ２に応じた検出値Ｖｘが、偶然にも正常値Ｖ１に対してマージン値αの範囲内となる可能性が高くなり、不正侵入を見過ごしてしまうおそれが高くなる。

【0116】

そこで、本変形例では、第１発振器１３及び第２発振器７１のうち少なくとも一方の温度を検出する温度センサの検出温度に応じて正常値Ｖ１を決定する。これにより、温度変化に起因する発振器の周波数偏差を補償する。

【0117】

具体的には、温度センサ１４（図３）により第１発振器１３の温度を検出する。車載システム１は車両９に搭載されているシステムであるため、第２発振器７１の温度は、温度センサ１４の検出温度と同程度になると考えられる。このため、本変形例では、第１発振器１３を含む車載システム１全体の温度を温度センサ１４により検出する。なお、第１発振器１３及び第２発振器７１にそれぞれ異なる温度センサを設けてもよいし、第２発振器７１に温度センサを設けてもよい。

【0118】

図９は、変形例に係る正常値と温度の関係を例示するテーブルである。図９のテーブルは、第１検出例では記憶部６２に記憶され、第２検出例ではメモリ回路４５に記憶されている。図９において、テーブルの一列目は温度の範囲を示し、テーブルの二列目は温度範囲に対応する正常値を示している。図９のテーブルは、例えば出荷前の車載システム１において様々な温度条件にて試験を行うことにより取得される。

【0119】

例えば、温度センサ１４の検出温度Ｔｘが第１温度Ｔ１以下である場合、判定部（第１検出例では制御部６１であり、第２検出例ではロジック回路４４）は正常値を「Ｖ１１」に決定する。また、温度センサ１４の検出温度Ｔｘが第１温度Ｔ１を超え、かつ第２温度Ｔ２以下である場合、判定部は正常値をＶ１１とは異なる「Ｖ１２」に決定する。そして、温度センサ１４の検出温度Ｔｘが第２温度Ｔ２を超え、かつ第３温度Ｔ３以下である場合、判定部は正常値をＶ１１及びＶ１２とは異なる「Ｖ１３」に決定する。

【0120】

このように、記憶部に記憶されているテーブルと、検出温度Ｔｘとに基づいて、判定部は正常値を決定する。これにより、温度変化に起因する第１発振器１３及び第２発振器７１の周波数偏差を補償することができるため、例えばマージン値αをより小さく設定しても誤判定がなされることを抑制することができる。これにより、誤判定を抑制しつつ、不正侵入を見過ごすおそれの低いマージン値αに設定することができるため、不正侵入をより確実に検出することができる。

【0121】

［２．２ エージング特性に応じた正常値の補正］
図１０は、発振器のエージング特性（経年特性）を例示するグラフである。図１０の横軸は経過日数を対数で示し、図１０の縦軸は１日目における発振器の周波数を基準とする、各時点における発振器の周波数偏差（Δｆ／ｆ）を示している。

【0122】

図１０に示すように、水晶振動子等の発振器が振動する周波数は、経年により変化することが知られている。図１０では、経年により、発振器に不純物が付着することで、発振器の周波数が徐々に小さくなる（振動が徐々に遅くなる）例を示している。但し、発振器の特性によっては、例えば経年により、発振器からガスが放出されることで、発振器の周波数が徐々に大きくなり、ある経過日数において極大値を経たあと、周波数が徐々に小さくなる場合もある。

【0123】

このため、例えば上記の正常値Ｖ１の記憶（ステップＳ１１からＳ１５まで）を経過日数の浅い環境下（例えば、１０日）にて実行した場合に、不正侵入の検出（ステップＳ２１からステップＳ２５）を例えばその１０００日後に実行すると、第１発振器１３及び第２発振器７１の周波数が正常値Ｖ１を記憶した際のそれぞれの周波数から相違していることに起因して、不正侵入がないのにもかかわらず、検出値Ｖｘが正常値Ｖ１からマージン値αを超えて相違し、侵入判定（ステップＳ２６）がなされるおそれがある。

【0124】

そこで、本変形例では、第１発振器１３及び第２発振器７１のエージング特性を加味するために、車載装置１０に記憶されている正常値Ｖ１を管理者の操作によって更新可能とする。これにより、経年変化に起因する発振器の周波数偏差を補償する。

【0125】

例えば、車両９の所有者は、車両９の点検のために、定期的に車両点検を行う事業者（例えば、ディーラー）に車両９を持ち込む。事業者は、例えば車載システム１の製造者から車載システム１の管理権限を付与された管理者であり、正常値Ｖ１を上書きするためのキーを保持している。キーは、例えばハード的に車載装置１０に差し込まれるキーであってもよいし、ソフト的に車載装置１０に入力されるキーであってもよい。

【0126】

例えば、ロジック回路４４又は制御部６１は、判定部として機能するとともに、記憶部（メモリ回路４５又は記憶部６２）に記憶されている正常値Ｖ１を変更する変更部としても機能する。変更部は、第１モードと第２モードとを含む複数の動作モードを選択可能となっている。

【0127】

通常時において、変更部の動作モードとしては、第２モードが選択されている。第２モードが選択されている場合、変更部は、記憶部に記憶されている正常値Ｖ１を変更できない。管理者によって、車載装置１０にキーが入力されている場合に限り、変更部は第１モードを選択可能となる。

【0128】

第１モードが選択されている場合に、管理者が図示省略する入力部（例えば、キーボード）によって変更部へ正常値Ｖ１の更新を指示すると、変更部は、図５に示す正常値Ｖ１の記憶を実行する。そして、変更部は、記憶部に記憶されている正常値Ｖ１を、第１モードが選択されている間に検出回路４３から出力される検出値Ｖｘに変更する。

【0129】

例えば、車両９の１年目点検（図１０の時点Ｘ１１）の際に、管理者は正常値Ｖ１を新たな値に更新する。また、車両９の３年目点検（図１０の時点Ｘ１２）及び５年目点検（図１０の時点Ｘ１３）の際にも、管理者はそれぞれ正常値を更新する。これにより、経年変化に起因する発振器の周波数偏差を補償することができるため、温度補償の場合と同様に、誤判定を抑制しつつ、不正侵入を見過ごすおそれの低いマージン値αに設定することができる。この結果、不正侵入をより確実に検出することができる。

【0130】

［２．３ 発振器の温度を意図的に変更］
上記の実施形態では、ＥＣＵ２１に含まれる第２発振器７１と、不正なハブＨ１に含まれる第３発振器Ｈ２とが、ハード的に相違することを利用して、不正侵入を検出する。しかしながら、偶然にも、第２発振器７１の周波数と、第３発振器Ｈ２の周波数とが一致する場合、不正侵入を検出できないおそれがある。

【0131】

そこで、本変形例では、意図的に第２発振器７１の温度を変更し、温度変更後の検出値Ｖｘが温度補償をした正常値Ｖ４からマージン値αを超えて相違する場合に、不正侵入を検出する。

【0132】

図１１は、変形例に係る車載システム１ａの構成を示す図である。車載システム１ａでは、ＥＣＵ２１に、第２発振器７１の温度を調整する温度調整部７２と、第２発振器７１の温度を検出する温度センサ７３とが含まれている点で、図１の車載システム１と相違する。また、本変形例において、制御部６１は、温度調整部７２に指示を行う温度制御部としても機能する。

【0133】

温度調整部７２は、例えば加熱のみ可能な抵抗ヒータ等の加熱部である。なお、温度調整部７２は、加熱及び冷却の両方を実行可能であってもよい。この場合、温度調整部７２は、例えばペルチェ素子である。

【0134】

図１２は、変形例に係る検出値Ｖｘを例示するグラフである。本変形例において、正常値は温度補償がなされる。例えば摂氏２５度における正常値は「Ｖ１」に、摂氏２５度よりも高い第１の所定温度Ｔ４における正常値は「Ｖ４」に、第１の所定温度Ｔ４よりも高い第２の所定温度Ｔ５における正常値は「Ｖ５」に決定される。

【0135】

例えば、検出環境が摂氏２５度である場合を考える。はじめに温度制御部（制御部６１）は温度調整部７２に指示を行わない状態（すなわち、第２発振器７１が摂氏２５度である状態）で、車載装置１０が不正侵入の検出を実行する。この場合、検出値Ｖｘとして例えば正常値Ｖ１と同じ値が検出されれば、不正侵入は検出されない。

【0136】

摂氏２５度において、不正侵入が検出されない場合、第２発振器７１の周波数と第３発振器Ｈ２の周波数とが偶然一致しているおそれがある。このため、次に、温度制御部は温度調整部７２に指示を行い、第２発振器７１の温度を第１の所定温度Ｔ４に調整する。そして、第２発振器７１の温度が第１の所定温度Ｔ４となっている時刻Ｘ４において、車載装置１０は、不正侵入の検出を再度実行する。

【0137】

具体的には、検出回路４３が、第１発振信号ＳＧ１の周波数と、温度制御部の指示により第２発振器７１が第１の所定温度Ｔ４に調整されている間に受信される受信信号ＲＳ１に含まれる第２発振信号ＳＧ２の周波数と、の差分に応じた検出値Ｖｘである第１の検出値Ｖｘ１を判定部へ出力する。

【0138】

そして、判定部は、第１発振信号ＳＧ１の周波数と、温度制御部の指示により第２発振器７１が第１の所定温度Ｔ４に調整されている間に第２発振器７１の発振に基づいて生成される第３発振信号ＳＧ３の周波数と、の差分に応じた正常値である第１の正常値Ｖ４から第１の検出値Ｖｘ１が所定値（マージン値α）を超えて相違する場合に、通信線３１に不正侵入があることを判定する。

【0139】

例えば、不正侵入がなされている場合、温度調整部７２によって第２発振器７１の温度が第１の所定温度Ｔ４に調整されても、不正なハブＨ１の第３発振器Ｈ２における温度は変更されないため、第１の検出値Ｖｘ１は「Ｖ１」となる。一方で、不正侵入がなされていない場合、第２発振器７１の温度調整に伴い、第１の検出値Ｖｘ１は「Ｖ４」となる。このため、本変形例では、第１の検出値Ｖｘ１が、温度調整部７２による温度調整に追従しない場合に、不正侵入を検出し、温度調整部７２による温度調整に追従している場合に、不正侵入を検出しない。これにより、第２発振器７１の周波数と第３発振器Ｈ２の周波数とが偶然一致する場合であっても、不正侵入を検出することができる。

【0140】

また、温度調整部７２によって第２発振器７１の温度をさらに第１の所定温度Ｔ４よりも高い第２の所定温度Ｔ５に変更した後の時刻Ｘ５において、車載装置１０は、不正侵入の検出を再度実行してもよい。温度を複数回変更し、その都度、不正侵入の検出を実行することで、検出の精度をより高めることができる。

【0141】

具体的には、検出回路４３が、第１発振信号ＳＧ１の周波数と、温度制御部の指示により第２発振器７１が第２の所定温度Ｔ５に調整されている間に受信される受信信号ＲＳ１に含まれる第２発振信号ＳＧ２の周波数と、の差分に応じた検出値Ｖｘである第２の検出値Ｖｘ２を判定部へ出力する。

【0142】

そして、判定部は、第１発振信号ＳＧ１の周波数と、温度制御部の指示により第２発振器７１が第２の所定温度Ｔ５に調整されている間に第２発振器７１の発振に基づいて生成される第３発振信号ＳＧ３の周波数と、の差分に応じた正常値である第２の正常値Ｖ５から第２の検出値Ｖｘ２が所定値（マージン値α）を超えて相違する場合に、通信線３１に不正侵入があることを判定する。

【0143】

なお、第１の所定温度Ｔ４は摂氏２５度より低い温度であってもよいし、第２の所定温度Ｔ５は第１の所定温度Ｔ４より低い温度であってもよい。

【0144】

［２．４ その他］
実施形態の検出装置４０は、ＰＨＹ部１１の内部に設けられている。しかしながら、検出装置４０は、ＰＨＹ部１１の外部に設けられていてもよい。また、検出装置４０のうち一部がＰＨＹ部１１の内部に、他の一部がＰＨＹ部１１の外部に設けられていてもよい。この場合、例えば検出装置４０の「他の一部」に処理装置１２を含んでもよい。すなわち、検出装置４０が、制御部６１及び記憶部６２を含んでもよい。

【0145】

［３．補記］
なお、上記の実施形態及び各種の変形例については、その少なくとも一部を、相互に任意に組み合わせてもよい。また、今回開示された実施形態及び変形例はすべての点で例示であって制限的なものではないと考えられるべきである。本開示の範囲は特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

【符号の説明】

【0146】

１ 車載システム
１ａ 車載システム
１０ 車載装置
１１ ＰＨＹ部
１２ 処理装置
１３ 第１発振器
１４ 温度センサ
２０ ＥＣＵ
２１ ＥＣＵ
２２ ＥＣＵ
２３ ＥＣＵ
２４ ＥＣＵ
３０ 通信線
３１ 通信線
３２ 通信線
３３ 通信線
３４ 通信線
４０ 検出装置
４１ 受信回路
４２ 発振回路
４３ 検出回路
４４ ロジック回路
４５ メモリ回路
４３１ 抽出回路（ＣＤＲ回路）
４３２ 第１回路（ＰＦＤ回路）
４３３ 第２回路
４３４ ＣＰ回路
４３５ フィルタ回路
４３６ ＡＤ変換回路
５０ 変換装置
６１ 制御部
６２ 記憶部
６３ 読取部
６４ 記録媒体
７１ 第２発振器
７２ 温度調整部
７３ 温度センサ
９ 車両
Ｄ１ 不正端末
Ｈ１ ハブ（リピータハブ）
Ｈ２ 発振器（第３発振器）
Ｂ１ バス
ＲＳ１ 受信信号
ＳＧ１ 第１発振信号
ＳＧ２ 第２発振信号
ＳＧ３ 発振信号（第３発振信号）
ＳＧｘ 発振信号
ＤＳ１ デジタル信号
ＤＳ２ データ信号
Ｖｘ 検出値
Ｖｘ１ 検出値（第１の検出値）
Ｖｘ２ 検出値（第２の検出値）
Ｖ１ 正常値
Ｖ４ 正常値（第１の正常値）
Ｖ５ 正常値（第２の正常値）
α マージン値
Ｘ１ 時刻
Ｘ２ 時刻
Ｘ３ 時刻
Ｘ４ 時刻
Ｘ５ 時刻
Ｘ１１ 時点
Ｘ１２ 時点
Ｘ１３ 時点
Ｔ１ 第１温度
Ｔ２ 第２温度
Ｔ３ 第３温度
Ｔ４ 第１の所定温度
Ｔ５ 第２の所定温度
Ｔｘ 検出温度

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】