特許 7420285 車載装置、不正検知方法及びコンピュータプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-01-15

(45)【発行日】2024-01-23

(54)【発明の名称】車載装置、不正検知方法及びコンピュータプログラム

(51)【国際特許分類】

   H04L 12/28 20060101AFI20240116BHJP

   H04L 12/66 20060101ALI20240116BHJP

   H04L 12/22 20060101ALI20240116BHJP

   H04L 43/16 20220101ALI20240116BHJP

【ＦＩ】

H04L12/28 100A

H04L12/66

H04L12/22

H04L43/16

【請求項の数】 12

(21)【出願番号】P 2022568164

(86)(22)【出願日】2021-11-24

(86)【国際出願番号】 JP2021042939

(87)【国際公開番号】W WO2022124069

(87)【国際公開日】2022-06-16

【審査請求日】2023-01-30

(31)【優先権主張番号】P 2020205345

(32)【優先日】2020-12-10

(33)【優先権主張国・地域又は機関】JP

(73)【特許権者】

【識別番号】395011665

【氏名又は名称】株式会社オートネットワーク技術研究所

(73)【特許権者】

【識別番号】000183406

【氏名又は名称】住友電装株式会社

(73)【特許権者】

【識別番号】000002130

【氏名又は名称】住友電気工業株式会社

(74)【代理人】

【識別番号】100114557

【弁理士】

【氏名又は名称】河野 英仁

(74)【代理人】

【識別番号】100078868

【弁理士】

【氏名又は名称】河野 登夫

(72)【発明者】

【氏名】石川 史也

【審査官】和平 悠希

(56)【参考文献】

【文献】特開２０１７－１１２５９０（ＪＰ，Ａ）

【文献】特開２０１５－０６５５４６（ＪＰ，Ａ）

【文献】特開２０１７－０７９４２９（ＪＰ，Ａ）

【文献】特開２０１９－０４７１７７（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ １２／００－１２／６６

Ｈ０４Ｌ ４１／００－１０１／６９５

(57)【特許請求の範囲】

【請求項1】

車両に搭載され、車載ネットワークに伝送されるメッセージの不正を検知する車載装置であって、
前記メッセージの不正の検知に関する処理を制御する制御部を備え、
前記制御部は、
取得した前記メッセージに含まれる複数のシグナルに対する不正を仮検知し、
不正と仮検知されたシグナルを含む前記複数のシグナルのうち対象シグナルがフェール値か否かを判定し、
前記対象シグナルが前記フェール値である場合、前記メッセージに含まれる前記複数のシグナルのうち前記対象シグナル以外のシグナルに基づき、前記メッセージに含まれる前記対象シグナルに対する不正を検知する
車載装置。

【請求項2】

前記対象シグナル以外のシグナルそれぞれが前記フェール値か否かを判定し、前記対象シグナル以外のシグナルのうち前記フェール値であるものの数が第１所定値未満である場合、前記対象シグナルを正常として検知する
請求項１に記載の車載装置。

【請求項3】

前記対象シグナル以外のシグナルそれぞれが前記フェール値か否かを判定し、前記対象シグナル以外のシグナルのうち前記フェール値であるものの数が、前記対象シグナル以外のシグナルの総数の半数未満である場合、前記対象シグナルを正常として検知する
請求項１又は請求項２に記載の車載装置。

【請求項4】

前記複数のシグナルの不正を仮検知することにより、前記複数のシグナルのうち仮検知結果が正常であるものの数が第２所定値以上である場合、前記対象シグナルを正常として検知する
請求項１から請求項３のいずれか１項に記載の車載装置。

【請求項5】

前記複数のシグナルの不正を仮検知することにより、前記複数のシグナルのうち前記対象シグナル以外のシグナルの全てを正常とする仮検知結果を取得した場合、前記対象シグナルを正常として検知する
請求項１から請求項４のいずれか１項に記載の車載装置。

【請求項6】

前記車載ネットワークには複数の通信線が設けられており、
前記複数の通信線のうちいずれか一つの通信線を介して送信される前記メッセージにおける前記対象シグナルが前記フェール値である場合、前記いずれか一つの通信線を介して送信される他のメッセージにおけるシグナルに基づき、前記メッセージにおける前記対象シグナルの不正を検知する
請求項１から請求項５のいずれか１項に記載の車載装置。

【請求項7】

前記フェール値は、所定のフェールセーフ処理を実行するための値である
請求項１から請求項６のいずれか１項に記載の車載装置。

【請求項8】

前記メッセージは、ＣＡＮ（Controller Area Network ）プロトコルによるものである
請求項１から請求項７のいずれか１項に記載の車載装置。

【請求項9】

シグナルの種類毎にフェール値を記憶したテーブルを参照して前記対象シグナルが前記フェール値か否かを判定する
請求項１から請求項８のいずれか１項に記載の車載装置。

【請求項10】

前記メッセージに含まれる前記複数のシグナルのうち前記対象シグナル以外のシグナルであって、前記対象シグナルとの相関関係に基づき選択されるシグナルに基づき、前記メッセージに含まれる前記対象シグナルに対する不正を検知する
請求項１から請求項９のいずれか１項に記載の車載装置。

【請求項11】

取得した車載ネットワークに伝送されるメッセージに含まれる複数のシグナルに対する不正を仮検知し、
不正と仮検知されたシグナルを含む前記複数のシグナルのうち対象シグナルがフェール値か否かを判定し、
前記対象シグナルが前記フェール値である場合、前記メッセージに含まれる前記複数のシグナルのうち前記対象シグナル以外のシグナルに基づき、前記メッセージに含まれる前記対象シグナルに対する不正を検知する
不正検知方法。

【請求項12】

取得した車載ネットワークに伝送されるメッセージに含まれる複数のシグナルに対する不正を仮検知し、
不正と仮検知されたシグナルを含む前記複数のシグナルのうち対象シグナルがフェール値か否かを判定し、
前記対象シグナルが前記フェール値である場合、前記メッセージに含まれる前記複数のシグナルのうち前記対象シグナル以外のシグナルに基づき、前記メッセージに含まれる前記対象シグナルに対する不正を検知する
処理をコンピュータに実行させるためのコンピュータプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、車載装置、不正検知方法及びコンピュータプログラムに関する。
本出願は、２０２０年１２月１０日出願の日本出願第２０２０－２０５３４５号に基づく優先権を主張し、前記日本出願に記載された全ての記載内容を援用するものである。

【背景技術】

【0002】

車両には、車載機器を制御するための複数の車載ＥＣＵ（Electronic Control Unit ）が搭載されている。これら車載ＥＣＵ間は、車載ネットワークにより通信接続され、車載装置を介して相互にデータの送受信を行う。

【0003】

車載ネットワークにおいては、車外の通信装置と通信する機能を有する車載ＥＣＵ等を介して、攻撃者が、不正なデータを車載ネットワークに送信して、車両を不正にコントロールする脅威が存在する。このため、車載ネットワークにおける不正を検知するための不正検知方法が提案されている（例えば特許文献１参照）。

【先行技術文献】

【特許文献】

【0004】

【文献】特開２０２０－１０２８８６号公報

【発明の概要】

【0005】

本開示の一態様に係る車載装置は、車両に搭載され、車載ネットワークに伝送されるメッセージの不正を検知する車載装置であって、前記メッセージの不正の検知に関する処理を制御する制御部を備え、前記制御部は、取得した前記メッセージに含まれる複数のシグナルに対する不正を仮検知し、不正と仮検知されたシグナルを含む前記複数のシグナルのうち対象シグナルがフェール値か否かを判定し、前記対象シグナルが前記フェール値である場合、前記メッセージに含まれる前記複数のシグナルのうち前記対象シグナル以外のシグナルに基づき、前記メッセージに含まれる前記対象シグナルに対する不正を検知する車載装置。

【図面の簡単な説明】

【0006】

【図1】第１実施形態における車載システムの構成を示す模式図である。

【図2】第１実施形態に係る車載装置等の構成を示すブロック図である。

【図3】メッセージのデータフレームの一態様を例示する説明図である。

【図4】フェール値ＤＢのレコードレイアウトを例示する説明図である。

【図5】メッセージに含まれるシグナルの変化を説明する説明図である。

【図6】第１検知結果及び第２検知結果を示す概念図である。

【図7】第１実施形態における車載装置が実行する検知処理の手順を示すフローチャートである。

【図8】第２実施形態における第１検知結果及び第２検知結果を示す概念図である。

【図9】第２実施形態における車載装置が実行する検知処理の手順を示すフローチャートである。

【発明を実施するための形態】

【0007】

［本開示が解決しようとする課題］
従来の方法では、不正検知の精度において改善の余地が見込まれる。

【0008】

本開示の目的は、車載ネットワークにおける不正検知の精度を向上させることができる車載装置等を提供することである。

【0009】

［本開示の効果］
本開示の一態様によれば、車載ネットワークにおける不正検知の精度を向上させることができる。

【0010】

［本開示の実施形態の説明］
最初に本開示の実施態様を列挙して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

【0011】

（１）本開示の一態様に係る車載装置は、車両に搭載され、車載ネットワークに伝送されるメッセージの不正を検知する車載装置であって、前記メッセージの不正の検知に関する処理を制御する制御部を備え、前記制御部は、取得した前記メッセージに含まれる複数のシグナルに対する不正を仮検知し、不正と仮検知されたシグナルを含む前記複数のシグナルのうち対象シグナルがフェール値か否かを判定し、前記対象シグナルが前記フェール値である場合、前記メッセージに含まれる前記複数のシグナルのうち前記対象シグナル以外のシグナルに基づき、前記メッセージに含まれる前記対象シグナルに対する不正を検知する。

【0012】

本態様にあっては、車載装置は、車載ネットワークを介して取得した複数のシグナルを含むメッセージに対し、不正を仮検知するための仮検知処理（第１検知処理）を実行する。車載装置は、仮検知処理により不正が仮検知された場合において、複数のシグナルのうち検知対象である対象シグナルにフェール値が含まれるときは、当該対象シグナルに対して更なる検知処理（第２検知処理）を実行する。更なる検知処理は、仮検知処理とは異なる検知手法によるものであり、例えば仮検知処理に対する本検知処理に相当する。車載ネットワークに伝送されるメッセージのシグナルについて、２種類の検知処理を実行することにより、誤検知や不正値の見逃しを防止し、検知精度を向上することができる。また、第２検知処理は、対象シグナル以外のシグナル（周囲シグナル）の情報に基づき行われる。従って、対象シグナルの周囲におけるシグナルの状態に基づき、対象シグナルの不正を適正に検知することができる。例えば、車外からのウィルスによる攻撃ケースとして想定される、周囲シグナルを含むデータの書き換えに対しても、精度よく不正を検知することができる。

【0013】

（２）本開示の一態様に係る車載装置は、前記対象シグナル以外のシグナルそれぞれが前記フェール値か否かを判定し、前記対象シグナル以外のシグナルのうち前記フェール値であるものの数が第１所定値未満である場合、前記対象シグナルを正常として検知する。

【0014】

本態様にあっては、周囲シグナルのうちフェール値であるものの数に基づき、対象シグナルの不正が判定される。車載装置は、複数の周囲シグナルそれぞれがフェール値か否かの判定結果に基づき、対象シグナルがフェール値である場合において、フェール値である周囲シグナルの数が閾値未満であるときには、対象シグナルのフェール値を正常として検知する。周囲シグナルの状態を判定材料に用いて総合的に評価することで、対象シグナル単体の場合よりも精度よく不正を検知することができる。

【0015】

（３）本開示の一態様に係る車載装置は、前記対象シグナル以外のシグナルそれぞれが前記フェール値か否かを判定し、前記対象シグナル以外のシグナルのうち前記フェール値であるものの数が、前記対象シグナル以外のシグナルの総数の半数未満である場合、前記対象シグナルを正常として検知する。

【0016】

本態様にあっては、車載装置は、複数の周囲シグナルそれぞれがフェール値か否かの判定結果に基づき、対象シグナルがフェール値である場合において、複数の周囲シグナルのうちのフェール値である周囲シグナルの数が半数未満であるときには、対象シグナルのフェール値を正常として検知する。通常、メッセージに含まれる半数以上のシグナルがフェール値であることは少ない。従って、すなわちフェール値の割合が高い場合には対象シグナルを不正とすることで、フェール値を偽装した不正なメッセージを精度よく検知することができる。

【0017】

（４）本開示の一態様に係る車載装置は、前記複数のシグナルのうち仮検知結果が正常であるものの数が第２所定値以上である場合、前記対象シグナルを正常として検知する。

【0018】

本態様にあっては、周囲シグナルにおける仮検知結果（第１検知結果）に基づき、対象シグナルの不正が判定される。車載装置は、複数の周囲シグナルそれぞれに対する仮検知結果に基づき、対象シグナルがフェール値である場合において、複数の周囲シグナルのうちの仮検知結果が正常であるものの数が閾値以上であるときには、対象シグナルのフェール値を正常として検知する。周囲シグナルの仮検知結果を判定材料に用いて総合的に評価することで、対象シグナル単体の場合よりも検知精度を向上することができる。

【0019】

（５）本開示の一態様に係る車載装置は、前記複数のシグナルの不正を仮検知することにより、前記複数のシグナルのうち前記対象シグナル以外のシグナルの全てを正常とする仮検知結果を取得したときに、前記対象シグナルを正常として検知する。

【0020】

本態様にあっては、車載装置は、複数の周囲シグナルそれぞれに対する仮検知結果に基づき、対象シグナルがフェール値である場合において、複数の周囲シグナルの仮検知結果が全て正常であるときには、対象シグナルのフェール値を正常として検知する。周囲シグナル全ての仮検知結果が正常な場合にのみ、当該仮検知結果を採用することで、周囲シグナルによる誤った仮検知結果を採用することを防止することができる。

【0021】

（６）本開示の一態様に係る車載装置は、前記車載ネットワークには複数の通信線が設けられており、前記複数の通信線のうちいずれか一つの通信線を介して送信される前記メッセージにおける前記対象シグナルが前記フェール値である場合、前記いずれか一つの通信線を介して送信される他のメッセージにおけるシグナルに基づき、前記メッセージにおける前記対象シグナルの不正を検知する。

【0022】

本態様にあっては、車載ネットワークにおける通信線（バス）単位で検知処理を実行することができる。従って、バス単位での攻撃に対しても精度よく不正を検知することができる。

【0023】

（７）本開示の一態様に係る車載装置において、前記フェール値は、所定のフェールセーフ処理を実行するための値である。

【0024】

本態様にあっては、対象シグナルが所定のフェールセーフ処理を実行するための値である場合に、第２検知処理が実行される。所定のフェールセーフ処理を実行するための値は、通常時に用いられる値とは異なる値であることが多く、不正なシグナルと判定されるおそれが高い。このようなフェール値を含む場合に第２検知処理を行うことで、正規のフェール値を不正と判定する誤検知を低減し、フェールセーフ処理を適切に実行させることができる。

【0025】

（８）本開示の一態様に係る車載装置において、前記メッセージは、ＣＡＮ（Controller Area Network ）プロトコルによるものである。

【0026】

本態様にあっては、従来の車載ネットワークにおける通信に広く採用されているＣＡＮプロトコルによるメッセージに対し、本検知処理を適用して、精度よく不正を検知することができる。

【0027】

（９）本開示の一態様に係る不正検知方法は、取得した車載ネットワークに伝送されるメッセージに含まれる複数のシグナルに対する不正を仮検知し、不正と仮検知されたシグナルを含む前記複数のシグナルのうち対象シグナルがフェール値か否かを判定し、前記対象シグナルが前記フェール値である場合、前記メッセージに含まれる前記複数のシグナルのうち前記対象シグナル以外のシグナルに基づき、前記メッセージに含まれる前記対象シグナルに対する不正を検知する。

【0028】

本態様にあっては、車載ネットワークにおける不正検知の精度を向上させることができる。

【0029】

（１０）本開示の一態様に係るコンピュータプログラムは、取得した車載ネットワークに伝送されるメッセージに含まれる複数のシグナルに対する不正を仮検知し、不正と仮検知されたシグナルを含む前記複数のシグナルのうち対象シグナルがフェール値か否かを判定し、前記対象シグナルが前記フェール値である場合、前記メッセージに含まれる前記複数のシグナルのうち前記対象シグナル以外のシグナルに基づき、前記メッセージに含まれる前記対象シグナルに対する不正を検知する処理をコンピュータに実行させる。

【0030】

本態様にあっては、車載ネットワークにおける不正検知の精度を向上させることができる。

【0031】

[本開示の実施形態の詳細]
本開示をその実施の形態を示す図面に基づいて具体的に説明する。なお、本開示はこれらの例示に限定されるものではなく、請求の範囲によって示され、請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

【0032】

（第１実施形態）
図１は、第１実施形態における車載システムＳの構成を示す模式図である。車載システムＳは、車両１に搭載された車載装置２と、複数の車載ＥＣＵ（Electronic Control Unit 、以下単にＥＣＵと称する）とを含む。車載装置２には、複数の通信線４１～４３が接続されている。車載装置２は、所定の通信プロトコルに対応した通信線４１～４３を介して各ＥＣＵ３と通信可能に接続されている。車載装置２は、これら複数のＥＣＵ３間において送受信されるメッセージを中継すると共に、不正なメッセージを検知する。

【0033】

通信線４１～４３は、例えば、制御系、安全系及びボディ系等の系統毎に設けられている。これら複数の通信線４１～４３により、車載ネットワーク４０が構成されている。以下の説明において、通信線４１～４３を区別して説明する必要がない場合には、単に通信線４とも記載する。

【0034】

車両１には、車載装置２、車外通信装置６及び種々の車載機器を制御するための複数のＥＣＵ３が搭載されている。各ＥＣＵ３は、自ＥＣＵ３の機能（例えば制御系、安全系及びボディ系等）に応じて、系統別に車両１に配された複数の通信線４１～４３のうちいずれか１つに接続されている。各ＥＣＵ３は、接続された通信線４１～４３を介してデータ（メッセージ）の送受信を行う。図示の例においては、制御系の通信線４１及び安全系の通信線４３に３つのＥＣＵ３が接続され、ボディ系の通信線４２に２つのＥＣＵ３２が接続されている。

【0035】

ＥＣＵ３は、例えば複数のセンサ５と接続されており、当該センサ５から出力された出力値を含むデータを、通信線４１～４３を介して出力する。通信線４１～４３はそれぞれ、車載装置２に接続されている。車載装置２は、複数の通信線４１～４３間の通信を中継する。これにより、各ＥＣＵ３は、通信線４１～４３及び車載装置２を介して、他のＥＣＵ３及び車載装置２との間で相互にデータの送受信を行うことができる。ＥＣＵ３は、例えばエンジン又はブレーキ等のアクチュエータと接続されていてもよい。

【0036】

車載装置２は、当該車載装置２に接続される複数の通信線４による系統のセグメントを統括し、これらセグメント間でのＥＣＵ３同士の通信を中継する。車載装置２は、例えばゲートウェイ又はイーサスイッチである。複数の通信線４１～４３それぞれは、各セグメントにおけるバスに相当する。車載装置２は、例えば車両１全体をコントロールするボディＥＣＵ３、自動運転を制御する自動運転ＥＣＵ３、ビークルコンピュータで構成される統合ＥＣＵ等の一機能部として構成されるものであってもよい。

【0037】

第１実施形態において、車載ネットワーク４０及び通信線４を介して送受信されるメッセージは、ＣＡＮ（Controller Area Network ／登録商標）の通信プロトコルに準拠したものであるとする。なお、通信プロトコルはＣＡＮに限定されるものではなく、例えばイーサネット（Ethernet／登録商標）、ＬＩＮ（Local Interconnect Network）等であってもよい。

【0038】

また、第１実施形態に係る車載システムＳでは、車載装置２は、例えばシリアルケーブル等のハーネスを介して車外通信装置６に通信可能に接続されている。車外通信装置６は、例えば３Ｇ、ＬＴＥ、４Ｇ、５Ｇ、ＷｉＦｉ等の移動体通信のプロトコルを用いて無線通信をするための通信装置である。車外通信装置６は、当該車外通信装置６に設けられたアンテナを介して外部サーバ７とデータの送受信を行う。車載装置２は、車外通信装置６を介して車両１の外部に設置された外部サーバ７との通信を行うことができる。なお、車外通信装置６は、車載装置２の一構成部位として車載装置２に内蔵されるものであってもよい。

【0039】

外部サーバ７は、例えばインターネット又は公衆回線網等の車外ネットワークＮに接続されているサーバ等のコンピュータである。外部サーバ７は、例えば、車両１に搭載されるＥＣＵ３にて実行されるプログラム及びデータを管理及び記憶している。車載装置２は、外部サーバ７から無線通信により送信されたプログラム及びデータを取得し、対象となるＥＣＵ３が接続されている通信線４を介して対象となるＥＣＵ３へ取得したプログラム及びデータを送信する。

【0040】

図２は、第１実施形態に係る車載装置２等の構成を示すブロック図である。車載装置２は、制御部２０、記憶部２１、入出力Ｉ／Ｆ２２及び車内通信部２３等を備える。

【0041】

制御部２０は、ＣＰＵ（Central Processing Unit ）又はＭＰＵ（Micro Processing Unit ）等を備える。制御部２０は、内蔵するＲＯＭ（Read Only Memory）及びＲＡＭ（Random Access Memory）等のメモリを用い、各構成部を制御して種々の制御処理及び演算処理等を行う。制御部２０は、ＲＯＭ又は記憶部２１に記憶されたプログラム２１Ｐを読み出して実行することにより、通信における不正検知に関する処理を実行する本開示の車載装置として機能させる。

【0042】

記憶部２１は、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性メモリを備える。記憶部２１は、制御部２０により実行されるプログラム２１Ｐを含むプログラム及びプログラムの実行に必要なデータ等を記憶する。記憶部２１に記憶されるプログラム２１Ｐは、記録媒体２１Ｍにコンピュータ読み取り可能に記録されている態様であってもよい。記憶部２１は、図示しない読出装置によって記録媒体２１Ｍから読み出されたプログラム２１Ｐを記憶する。また、図示しない通信網に接続されている図示しない外部コンピュータからプログラム２１Ｐをダウンロードし、記憶部２１に記憶させたものであってもよい。

【0043】

また記憶部２１は、不正の検知処理を実行するためのフェール値を格納するフェール値ＤＢ（Data Base ：データベース）２１１を記憶する。フェール値ＤＢ２１１については、後述する。記憶部２１は、ＥＣＵ３間の通信、又はＥＣＵ３と外部サーバ７との間の通信のための中継処理を行うにあたり用いられる中継経路情報（ルーティングテーブル）を記憶するものであってもよい。

【0044】

入出力Ｉ／Ｆ２２は、例えばシリアル通信を行うための通信インタフェースを備える。入出力Ｉ／Ｆ２２は、車外通信装置６及び表示装置８と通信可能に接続されている。表示装置８は、例えばカーナビゲーションのディスプレイ等のＨＭＩ（Human Machine Interface ）装置である。表示装置８には、制御部２０から入出力Ｉ／Ｆ２２を介して出力されたデータ又は情報が表示される。車載装置２と表示装置８との接続形態は、入出力Ｉ／Ｆ２２による接続形態に限定されない。車載装置２と表示装置８とは、車載ネットワーク４０を介した接続形態であってもよい。

【0045】

車内通信部２３は、車載ネットワーク４０を介してＥＣＵ３と通信を行うための通信インタフェースを備える。車内通信部２３は、通信線４に接続されており、所定の通信プロトコルに従ってデータの送受信を行う。第１実施形態においては、車内通信部２３はＣＡＮトランシーバであり、ＣＡＮバスである通信線４にて伝送されるＣＡＮメッセージに対応するものである。制御部２０は、車内通信部２３を介して車載ネットワーク４０に接続されているＥＣＵ３又は他の車載装置等の車載機器と相互に通信する。

【0046】

車載装置２は、複数の車内通信部２３を備える。車内通信部２３それぞれに、車載ネットワーク４０を構成する通信線４１～４３のいずれか１つが接続されている。このように車内通信部２３を複数個設けることにより、車載ネットワーク４０を複数個のセグメントに分け、各セグメントに自装置の機能に応じてＥＣＵ３を接続するものであってよい。

【0047】

ＥＣＵ３はそれぞれ、制御部３０、記憶部３１、車内通信部３２及び入出力Ｉ／Ｆ３３等を備える。制御部３０は、ＣＰＵ又はＭＰＵ等を備える。制御部３０は、内蔵するＲＯＭ及びＲＡＭ等のメモリを用い、各構成部を制御する。記憶部３１は、ＥＥＰＲＯＭ若しくはフラッシュメモリ等の不揮発性メモリを備える。各ＥＣＵの制御部３０は、ＲＯＭ又は記憶部３１に記憶されたプログラムを読み出して実行することにより、当該ＥＣＵ３を含む車載機器又はアクチュエータ等を制御する。車内通信部３２は、車載ネットワーク４０を介して車載装置２と通信を行うための通信インタフェースを備える。入出力Ｉ／Ｆ３３は、例えば複数のセンサ５に接続されている。入出力Ｉ／Ｆ３３は、複数のセンサ５それぞれから出力された出力値を取得し、制御部３０へ出力する。制御部３０は、取得した出力値を例えばデジタル変換したシグナルを含むメッセージを、車内通信部３２を介して通信線４へ出力する。

【0048】

車載装置２の制御部２０は、通信線４に接続されているＥＣＵ３から送信されるメッセージを受信し、又はＥＣＵ３に対しメッセージを送信するものであり、例えばＣＡＮコントローラとして機能する。制御部２０は、受信したメッセージ内に含まれるＣＡＮ－ＩＤ等のメッセージ識別子を参照し、参照したメッセージ識別子及び記憶部２１に記憶してある中継経路情報等に基づいて、送信先となるセグメントに対応する車内通信部２３を特定する。制御部２０は、特定した車内通信部２３から当該受信したメッセージを送信することにより、メッセージを中継するＣＡＮゲートウェイとして機能する。制御部２０はＣＡＮコントローラとして機能するとしたがこれに限定されない。車内通信部２３がＣＡＮトランシーバ及びＣＡＮコントローラとして機能するものであってもよい。

【0049】

また制御部２０は、車載ネットワーク４０を介して受信したメッセージを解析することにより、不正なメッセージを検知する検知処理を実行するＩＤＳ（Intrusion Detection System）として機能する。不正なメッセージとは、例えば、車外通信装置６等を介して車外から侵入したウィルス等により異常な状態となったＥＣＵ３又は不正に交換されたＥＣＵ３等の不正なＥＣＵ３から送信されるメッセージである。さらに、制御部２０は、検知した内容に基づき、通信の遮断等の防御処理を実行するＩＰＳ（Intrusion Prevention System ）として機能するものであってもよい。制御部２０は、不正侵入検知防御システム（ＩＤＰＳ：Intrusion Detection and Prevention System ）として機能するものであってもよい。制御部２０は、上述のごとく、受信したメッセージが不正なメッセージであると判定した場合、当該不正なメッセージに含まれるメッセージ識別子等の情報を表示装置８に送信し、表示装置８に当該情報を表示させるものであってもよい。表示装置８に当該情報を表示させることにより、車両１の操作者に不正なメッセージを検出したことを報知することができる。

【0050】

ここで、第１実施形態において、車載ネットワーク４０を介して送受信されるメッセージについて説明する。図３は、メッセージのデータフレームの一態様を例示する説明図である。第１実施形態では、上述の通りＣＡＮプロトコルによるメッセージが送受信される。ＣＡＮは、ＩＳＯ１１８９８等により規定されている通信プロトコルである。送受信されるメッセージ（フレーム）のフレームタイプは、データフレーム、リモートフレーム、エラーフレーム及びオーバーロードフレームに分類される。図３おいては、これらフレームタイプにおいて、データフレームの一態様を例示する。データフレームは、ＳＯＦ（Start Of Frame）、ＩＤフィールド、ＲＴＲ（Remote Transmission Request ）、コントロールフィールド、データフィールド、ＣＲＣ、ＡＣＫ（Acknowledgement ）、ＥＯＦ（End Of Frame）等の各フィールドで構成される。ＩＤフィールドには、メッセージの内容及び送信ノードを識別するためのメッセージ識別子（例えばＣＡＮ－ＩＤ）が格納される。データフィールドには、送信されるメッセージのデータ（シグナル）が格納される。その他のフィールドの詳細については省略する。

【0051】

データフィールドは、最大６４２ビットで構成され、８ビット毎に長さを設定できる。データフィールドには、メッセージの内容に応じて、それぞれ所定のビット数からなる複数のシグナルが含まれている。図３の例において、データフィールドには、第１シグナル、第２シグナル、…、第ｎシグナルの合計ｎ個のシグナルが含まれている。データの割り当て形式については、ＣＡＮプロトコルで規定されておらず、車載システムＳにおいて決定することができる。データの割り当て形式は、例えば、車種、製造者（製造メーカ）等に応じて設定されてよい。データフィールドに格納されるシグナルには、例えば、車速を示す車速シグナル、エンジン回転数を示すエンジン回転数シグナル、車輪速を示す車輪速シグナル等が含まれる。

【0052】

各シグナルには、有効値及びフェール値が含まれる。有効値とは、ＥＣＵ３の正常時におけるデータ通信に用いられる値である。本実施形態において、フェール値とは、車両１に異常が発生し、車両１全体又は車両１内における特定の車載機器向けに所定のフェールセーフ処理を実行する場合に用いられる値である。フェール値は、製造メーカ等の仕様に基づき、シグナルの種類毎に一意的に設定されている。フェール値には、有効値として使用されない特定値が用いられてよい。ＥＣＵ３は、自装置に接続する車速、エンジン回転数、車輪速等をそれぞれ検出する複数のセンサ５からの出力値を受け付け、受け付けた出力値を通知する複数の有効値をデータフィールドに格納したメッセージを生成する。また、ＥＣＵ３は、フェールセーフ処理の実行指示に応じて、フェール値をデータフィールドに格納したメッセージを生成する。なお、有効値は、センサ５からの出力値を示す値に限定されるものではない。

【0053】

正規のＥＣＵ３から送信されるメッセージは、正規信号である有効値又はフェール値を含むものであり、すなわち正常なシグナルを含む正常なメッセージである。一方、不正なＥＣＵ３から送信されるメッセージは、例えば有効値又はフェール値を偽装した値等の不正値（不正信号）を含むものであり、すなわち不正なシグナルを含む不正なメッセージである。

【0054】

図４は、フェール値ＤＢ２１１のレコードレイアウトを例示する説明図である。車載装置２の記憶部２１には、シグナルの種類毎に規定されるフェール値を格納したフェール値ＤＢ２１１が記憶されている。フェール値ＤＢ２１１には、例えばシグナル名称とフェール値とが対応付けられて格納されている。シグナル名称は、データフィールドに格納されるシグナルの種類を識別するための識別情報である。識別情報は、シグナル名称に限定されず、例えばシグナルＩＤであってもよい。フェール値列には、識別情報にて識別されるシグナルのフェール値が格納されている。フェール値は、特定の値であるものに限定されず、所定の範囲内の値として定義されているものであってもよい。車載装置２の記憶部２１は、例えば外部サーバ７と通信すること等により、予め各シグナルに対応するフェール値の情報を取得し、取得した情報をフェール値ＤＢ２１１に記憶する。車載装置２の制御部２０は、フェール値ＤＢ２１１を用いて、メッセージに含まれる不正なシグナルを検知する検知処理を実行する。

【0055】

ここで、第１実施形態において車載装置２が実行する不正の検知処理について説明する。車載装置２の制御部２０は、例えば、メッセージに含まれるシグナルの値及び変化量に基づき、当該シグナルが正常か否かを判定することにより、不正なメッセージを検知する。制御部２０は、検知処理として、第１検知処理及び第２検知処理の２種類の検知処理を実行する。第１検知処理は、仮検知処理に相当する。図５は、メッセージに含まれるシグナルの変化を説明する説明図である。図６は、第１検知結果及び第２検知結果を示す概念図である。図５及び図６を用いて、第１検知処理及び第２検知処理の方法について具体的に説明する。

【0056】

図５中のグラフは、シグナルの時系列変化を示すグラフである。横軸は時間、縦軸はシグナル値である。シグナル値は、例えば車速シグナルを示す値である。車速を制御するＥＣＵ３は、当該ＥＣＵ３に接続される速度センサから周期的に車両の速度を取得し、取得した速度を通知するシグナル（有効値）を含むメッセージを、周期的に通信線４を介して送信する。図５のグラフ左側にて示す如く、ＥＣＵ３の正常時において、車速を示すシグナルの値は例えば０から所定の傾きで増加し、その後所定の傾きで減少する。ＥＣＵ３の正常時において、シグナルの傾き、すなわち単位時間当たりの変化量は、車速シグナルに設定されている正常範囲（例えば上限値及び下限値で規定される範囲）内に含まれる。一方で、不正なＥＣＵ３から送信される不正なメッセージにおいては、シグナルが急激に変化する場合がある。すなわち、不正なメッセージにおけるシグナルの変化量は、正常な変化量とされる閾値を超える量となる場合がある。車載装置２は、このようなシグナルの不正な変化を検出することで、不正なメッセージを検知する。

【0057】

図５のグラフ右側にて示す如く、所定のフェールセーフ処理を実行する場合においては、メッセージに含まれるシグナル（フェール値）は、正常時のシグナル（有効値）とは大きく異なる値となる。この場合においても、シグナルが急激に変化する。従来のＩＤＳによる検知手法においては、シグナルの変化量が適正であるか否かに基づき、当該シグナルの不正が検知される。このため、シグナルが有効値からフェール値に変化した場合においても、シグナルの変化量が大きいことから、フェール値を不正と検知されるおそれが有る。本実施形態では、シグナルがフェール値であるか否かを判定することにより、フェール値に起因するシグナルの変化を適正なものとして検知する。

【0058】

車載装置２の制御部２０は、ＥＣＵ３からメッセージを受信すると、初めに第１検知処理を行う。第１検知処理において、制御部２０は、連続する同種の２つのメッセージに含まれる各シグナルの変化量に基づき、各シグナルが正常か否かを判定する。具体的には、制御部２０は、過去に取得したメッセージの中から、今回のメッセージと同種のデータを含むメッセージであり、且つ時系列で連続するメッセージ（前回のメッセージ）を特定する。制御部２０は、今回のメッセージのＩＤフィールドに格納されるメッセージ識別子及びメッセージのタイムスタンプ等に基づき前回のメッセージを特定する。制御部２０は、例えば同一のメッセージ識別子を有する場合には、同種のデータを含むメッセージであると特定してよい。

【0059】

制御部２０は、今回のメッセージ及び前回のメッセージに含まれる各シグナルの差分に基づき、単位時間当たりのシグナルの変化量をそれぞれ算出する。制御部２０は、シグナル種類毎の変化量に係る正常範囲又は正常とされる最大の変化量（閾値）を記憶する不図示のテーブルを参照して、算出したシグナルの変化量が正常範囲内又は閾値以下であるか否かを判定することにより、各シグナルの不正を検知する第１検知結果を導出する。

【0060】

シグナルの変化量が正常範囲内である場合、制御部２０は、当該シグナルは正常であるとの第１検知結果を導出する。一方、シグナルの変化量が正常範囲内でない場合、制御部２０は、当該シグナルは不正であるとの第１検知結果を導出する。正常範囲内でない場合とは、シグナルの変化量が正常範囲から逸脱している、シグナルの変化量が閾値を超えている場合を含む。制御部２０は、メッセージに含まれる複数のシグナルそれぞれについて、上述の処理を行う。上述の第１検知処理は、いわゆる従来のＩＤＳの機能による不正検知処理に相当する。なお、第１検知処理の検知方法は上述の例に限定されるものではない。

【0061】

制御部２０は、上述の第１検知処理において不正との第１検知結果が導出された場合、更なる検知処理を進める。具体的には、制御部２０は、メッセージに含まれる対象シグナルがフェール値であるか否かを判定し、フェール値であった場合、対象シグナルの不正を検知する第２検知処理を行う。

【0062】

本実施形態において、対象シグナルとは、メッセージに含まれる複数のシグナルのうち、第２検知処理の対象となるいずれか１つのシグナルを意味する。対象シグナルは、第１検知処理により不正と検知されたシグナルのうちのいずれか１つであってよい。メッセージに含まれる複数のシグナルのうちいずれを対象シグナルとするかは、適宜設定されてよい。例えば、車両１の安全性等を鑑みて、優先度の高いシグナルを対象シグナルとしてもよく、メッセージに含まれる複数のシグナルを所定の順序に従い対象シグナルとして再帰的に処理してもよい。

【0063】

制御部２０は、シグナル種類毎のフェール値を記憶するフェール値ＤＢ２１１を参照して、メッセージに含まれる対象シグナルがフェール値であるか否かを判定する。対象シグナルがフェール値であった場合、制御部２０は、第１検知処理とは異なる判定手法により対象シグナルの不正を検知するための第２検知処理を進める。第２検知処理では、周囲シグナルの情報に基づき、対象シグナルの不正を検知する。周囲シグナルとは、同一のメッセージに含まれる複数のシグナルのうち、対象シグナル以外のシグナルを意味する。

【0064】

制御部２０は、周囲シグナルそれぞれについて、対象シグナルと同様に、フェール値であるか否かを判定する。制御部２０は、周囲シグナルのうちフェール値であるものの数が、当該周囲シグナルの総数の半数未満であるか否かを判定することにより、対象シグナルが正常であるか否かを判定する。周囲シグナルのうちフェール値であるものの数が半数未満である場合、対象シグナルは正常と判定され、対象シグナルを正常とする第２検知結果が導出される。周囲シグナルのうちフェール値であるものの数が半数以上である場合、対象シグナルは不正と判定され、対象シグナルを不正とする第２検知結果が導出される。

【0065】

図６を用いて、第１検知結果に基づく第２検知結果の導出方法について、検知例１及び検知例２を挙げて具体的に説明する。図６では、メッセージ（フレーム）のデータフィールドには、第１シグナルから第６シグナルまでの合計６個のシグナルが含まれ、第３シグナルとして、対象シグナルである車速シグナルが格納されている例を説明する。

【0066】

図６の上側に示す検知例１において、今回のメッセージの第３シグナルにはフェール値が含まれている。第３シグナル以外の、５個の周囲シグナルにはそれぞれ、有効値が含まれている。制御部２０は、今回のメッセージ及び前回のメッセージにおける各シグナルの変化量に基づき、第１検知処理を実行する。第１検知結果として、例えば、第３シグナルは不正、周囲シグナルは全て正常との検知結果が導出されている。上述の通り、今回のメッセージに含まれるシグナルがフェール値であった場合において、時系列的に今回のメッセージに隣接する前回のメッセージに含まれるシグナルが有効値であるときには、前後のメッセージ間におけるシグナルの変化量が大きくなる。従って、第３シグナルのフェール値は、第１検知処理においては不正なシグナルであるとされる。

【0067】

制御部２０は、第２検知処理を実行し、周囲シグナルのフェール値の数に基づき、第３シグナルのフェール値が不正であるか否かを判定する。検知例１において、周囲シグナルは全て有効値である。すなわち、周囲シグナルにおけるフェール値であるものの数が、周囲シグナルの総数の半数未満である。従って、第３シグナルのフェール値は、正常であるとの第２検知結果が導出される。このように、周囲のシグナルの多数が正常な有効値である場合には、対象シグナルは正常なデータであり、シグナル値の変化はフェール値に起因する適正なものであると推定されるため、対象シグナルは正常とされる。

【0068】

図６の下側に示す検知例２において、今回のメッセージにおける全てのシグナルにはフェール値が含まれている。第１検知結果として、例えば、全てのシグナルは不正との検知結果が導出されている。検知例２において、周囲シグナルは全てフェール値である。すなわち、周囲シグナルにおけるフェール値であるものの数が、周囲シグナルの総数の半数以上である。従って、第３シグナルのフェール値は、不正であるとの第２検知結果が導出される。このように、周囲のシグナルの多数がフェール値である場合には、対象シグナルであるフェール値又は対象シグナルを含む全てのシグナルのフェール値は、フェール値を偽装した不正なデータであるおそれが有ると推定されるため、対象シグナルは不正とされる。

【0069】

上述のように、車載装置２の制御部２０は、同一フレームに含まれる周囲シグナルに応じて、検知対象シグナルであるフェール値に対する第１検知結果を修正する。これにより、フェール値を不正とする誤検知を防止するとともに、フェール値を偽装した不正を検知し、適切にフェールセーフ処理を実行することができる。

【0070】

上記において、制御部２０は、周囲シグナルの総数の半数未満がフェール値であるときに検知対象シグナルを正常と判定するものに限定されない。例えば、制御部２０は、周囲シグナルのうちフェール値であるものの数が、周囲シグナルの総数の半数以下であるときに、検知対象シグナルを正常と判定するものであってもよい。制御部２０は、周囲シグナルのうちフェール値であるものの数が、所定値未満であるときに、検知対象シグナルを正常と判定するものであってもよい。

【0071】

また、第２検知処理は、対象シグナルを含むメッセージにおいて、メッセージに含まれる全ての周囲シグナルに基づき判定するものに限定されない。例えば、同一のメッセージに含まれる全てのシグナルから所定基準に従って選択された複数のシグナルを、周囲シグナルとするものであってもよい。この場合において、制御部２０は、対象シグナルと各周囲シグナルとの相関関係を予め記憶しておき、相関関係の強い周囲シグナルを優先的に選択するようにしてもよい。判定対象となる周囲シグナルを適宜選択することにより、より効率的に処理を行うことができる。

【0072】

図７は、第１実施形態における車載装置２が実行する検知処理の手順を示すフローチャートである。車載装置２の制御部２０は、記憶部２１に記憶されたプログラム２１Ｐに従って以下の処理を実行する。制御部２０は、例えば車両１の起動状態において常時的に以下の処理を行う。

【0073】

車載装置２の制御部２０は、メッセージを取得する（ステップＳ１１）。制御部２０は、いずれかのＥＣＵ３から送信されたメッセージを、車内通信部２３を介して受信することにより取得する。メッセージには、対象シグナルと、対象シグナル以外の周囲シグナルとの複数のシグナルが含まれている。制御部２０は、取得したメッセージを記憶部２１に記憶する。

【0074】

制御部２０は、取得したメッセージの不正を検知する第１検知処理を実行し（ステップＳ１２）、メッセージに含まれる各シグナルの正常又は不正を示す第１検知結果を導出する（ステップＳ１３）。具体的には、制御部２０は、時系列的に記憶部２１に記憶した複数のメッセージの中から、例えばメッセージ識別子に基づき、今回取得したメッセージと同種のデータを含む前回受信したメッセージを特定する。制御部２０は、今回のメッセージの各シグナルと、対応する前回のメッセージの各シグナルとの差分に基づき、シグナルの単位時間当たりの変化量をそれぞれ算出する。制御部２０は、各シグナルの変化量が規定された正常範囲内であるか否かに基づき、各シグナルの正常又は不正を判定し、判定結果を第１検知結果として導出する。

【0075】

制御部２０は、メッセージに含まれる複数のシグナルに対する第１検知結果に基づき、取得したメッセージに不正と検知されたシグナルが含まれるか否かを判定する（ステップＳ１４）。不正と検知されたシグナルが含まれないと判定した場合（Ｓ１４：ＮＯ）、制御部２０は、第１検知結果を当該メッセージの検知結果とし、メッセージの受信処理を終了する。不正と検知されたシグナルが含まれると判定した場合（Ｓ１４：ＹＥＳ）、制御部２０は、ステップＳ１５に処理を進める。なお、制御部２０は、ステップＳ１４において、取得したメッセージに不正と検知された対象シグナルが含まれるか否かを判定するのもであってもよい。すなわち、制御部２０は、第１検知処理により、メッセージに含まれる対象シグナルが不正と検知された場合にのみステップＳ１５以降の処理を実行するものであってよい。

【0076】

制御部２０は、フェール値ＤＢ２１１を参照して、メッセージに含まれる対象シグナルがフェール値であるか否かを判定する（ステップＳ１５）。フェール値ＤＢ２１１に記憶するフェール値と対象シグナルとが一致しないことにより、対象シグナルがフェール値でないと判定した場合（Ｓ１５：ＮＯ）、制御部２０は、第１検知結果を当該メッセージの検知結果とし、メッセージの受信処理を終了する。

【0077】

フェール値ＤＢ２１１に記憶するフェール値と対象シグナルとが一致することにより、対象シグナルがフェール値であると判定した場合（Ｓ１５：ＹＥＳ）、制御部２０は、第２検知処理を進める。制御部２０は、メッセージに含まれる周囲シグナルそれぞれがフェール値であるか否かを判定することにより、フェール値である周囲シグナルの数が、周囲シグナルの総数の半数未満であるか否かを判定する（ステップＳ１６）。なお、制御部２０は、一度の判定処理により、メッセージに含まれる全てのシグナルがフェール値であるか否かの判定結果をまとめて取得するものであってよい。

【0078】

フェール値である周囲シグナルの数が半数未満であると判定した場合（Ｓ１６：ＹＥＳ）、制御部２０は、対象シグナルを正常とする第２検知結果を導出する（ステップＳ１７）。フェール値である周囲シグナルの数が半数未満でないと判定した場合（Ｓ１６：ＮＯ）、制御部２０は、対象シグナルを不正とする第２検知結果を導出する（ステップＳ１８）。制御部２０は、ステップＳ１７又はステップＳ１８による第２検知結果を当該メッセージの検知結果とし、メッセージの受信処理を終了する。ステップＳ１６からステップＳ１８の処理は、第２検知処理に相当する。

【0079】

上述の処理において、制御部２０は、再度ステップＳ１１の処理を実行すべくループ処理を行うものであってもよい。制御部２０は、再度ステップＳ１５の処理を実行すべくループ処理を行い、同一メッセージに含まれる異なるシグナルを新たな対象シグナルとして第２検知処理を行うものであってもよい。

【0080】

上述の処理において、制御部２０は、メッセージに含まれるシグナルが不正との検知結果を取得した場合、検知結果に応じて当該メッセージの中継を中止する、通信を遮断する等の防御処理を実行することが好ましい。

【0081】

本実施形態によれば、車載ネットワーク４０に送信されるメッセージにフェール値が含まれる場合であっても、フェール値以外のシグナルの情報を用いることにより、精度よく不正を検知することができる。

【0082】

（第２実施形態）
第２実施形態では、第２検知処理における検知判定の詳細が第１実施形態と異なるため、以下では主に上記相違点を説明する。その他の構成については第１実施形態と同様であるので、共通する構成については同一の符号を付してその詳細な説明を省略する。

【0083】

第２実施形態における車載装置２の制御部２０は、メッセージに含まれる対象シグナルがフェール値であった場合、同一のメッセージに含まれる周囲シグナルに対する第１検知結果に基づき、対象シグナルが正常であるか否かを判定する。制御部２０は、周囲シグナルにおける第１検知結果が全て正常である場合、対象シグナルを正常と判定する。制御部２０は、周囲シグナルにおける第１検知結果が全て正常でない場合、すなわち周囲シグナルにおける第１検知結果の少なくとも１つが不正である場合、対象シグナルを不正と判定する。

【0084】

図８は、第２実施形態における第１検知結果及び第２検知結果を示す概念図である。図８を用いて、第２実施形態における第２検知処理について、検知例３及び検知例４を挙げて具体的に説明する。図８では、メッセージのデータフィールドには、第１シグナルから第６シグナルまでの合計６個のシグナルが含まれ、第３シグナルとして、検知対象シグナルである車速シグナルが格納されている例を説明する。

【0085】

図８の上側に示す検知例３において、今回のメッセージの第３シグナルにはフェール値が含まれている。第３シグナル以外の、５個の周囲シグナルにはそれぞれ、有効値が含まれている。第１検知結果として、第３シグナルは不正、周囲シグナルは全て正常との検知結果が導出されている。

【0086】

制御部２０は、第２検知処理を実行し、周囲シグナルの第１検知結果に基づき、第３シグナルのフェール値が不正であるか否かを判定する。検知例３において、周囲シグナルの第１検知結果は全て正常である。従って、第３シグナルのフェール値は、正常であるとの第２検知結果が導出される。このように、周囲のシグナルが正常である場合には、対象シグナルは正常なデータであり、シグナル値の変化はフェール値に起因する適正なものであると推定されるため、対象シグナルは正常とされる。

【0087】

図８の下側に示す検知例４において、今回のメッセージの第３シグナルにはフェール値が含まれている。第３シグナル以外の、５個の周囲シグナルにはそれぞれ、有効値が含まれている。第１検知結果として、第３シグナルは不正との検知結果が導出されている。また、周囲シグナルのうち、第２シグナルは不正であり、第１、第４、第５、第６シグナルは正常との検知結果が導出されている。この場合、周囲シグナルの第１検知結果の１つが不正であることから、制御部２０は、第３シグナルのフェール値は、不正であるとの第２検知結果を導出する。このように、周囲のシグナルのいずれかが不正である場合には、対象シグナルであるフェール値も同様に不正なデータであるおそれが有ると推定されるため、対象シグナルは不正とされる。

【0088】

上記において、制御部２０は、周囲シグナルの第１検知結果が全て正常であるときに検知対象シグナルを正常と判定するものに限定されない。例えば、制御部２０は、周囲シグナルのうち第１検知結果が正常であるものの数が、所定値以上であるときに、検知対象シグナルを正常と判定するものであってもよい。

【0089】

図９は、第２実施形態における車載装置２が実行する検知処理の手順を示すフローチャートである。第１実施形態の図７と共通する処理については同一のステップ番号を付してその詳細な説明を省略する。

【0090】

車載装置２の制御部２０は、メッセージを取得する（ステップＳ１１）。制御部２０は、取得したメッセージの不正を検知する第１検知処理を実行し（ステップＳ１２）、メッセージに含まれる各シグナルの正常又は不正を示す第１検知結果を導出する（ステップＳ１３）。

【0091】

制御部２０は、メッセージに含まれる複数のシグナルに対する第１検知結果に基づき、取得したメッセージに不正と検知されたシグナルが含まれるか否かを判定する（ステップＳ１４）。不正と検知されたシグナルが含まれないと判定した場合（Ｓ１４：ＮＯ）、制御部２０は、第１検知結果を当該メッセージの検知結果とし、メッセージの受信処理を終了する。不正と検知されたシグナルが含まれると判定した場合（Ｓ１４：ＹＥＳ）、制御部２０は、ステップＳ１５に処理を進める。

【0092】

制御部２０は、フェール値ＤＢ２１１を参照して、メッセージに含まれる対象シグナルがフェール値であるか否かを判定する（ステップＳ１５）。対象シグナルがフェール値でないと判定した場合（Ｓ１５：ＮＯ）、制御部２０は、第１検知結果を当該メッセージの検知結果とし、メッセージの受信処理を終了する。

【0093】

対象シグナルがフェール値であると判定した場合（Ｓ１５：ＹＥＳ）、制御部２０は、第２検知処理を進める。制御部２０は、メッセージに含まれる周囲シグナルについて、周囲シグナルの第１検知結果が全て正常であるか否かを判定する（ステップＳ２１）。

【0094】

周囲シグナルの第１検知結果が全て正常であると判定した場合（Ｓ２１：ＹＥＳ）、制御部２０は、対象シグナルを正常とする第２検知結果を導出する（ステップＳ１７）。周囲シグナルの第１検知結果が全て正常でないと判定した場合（Ｓ２１：ＮＯ）、制御部２０は、対象シグナルを不正とする第２検知結果を導出する（ステップＳ１８）。制御部２０は、ステップＳ１７又はステップＳ１８による第２検知結果を当該メッセージの検知結果とし、メッセージの受信処理を終了する。ステップＳ１６からステップＳ１８の処理は、第２検知処理に相当する。

【0095】

本実施形態によれば、車載ネットワーク４０に送信されるメッセージにフェール値が含まれる場合であっても、フェール値以外のシグナルの第１検知結果を用いることにより、精度よく不正を検知することができる。

【0096】

（第３実施形態）
第３実施形態では、対象シグナルを含む同一メッセージ以外のメッセージに基づき第２検知処理を行う点で第１実施形態と異なるため、以下では主に上記相違点を説明する。その他の構成については第１実施形態と同様であるので、共通する構成については同一の符号を付してその詳細な説明を省略する。

【0097】

第３実施形態における車載装置２の制御部２０は、対象シグナルを含む同一メッセージ以外のメッセージのシグナルに基づき、対象シグナルが正常であるか否かを判定する。例えば、対象シグナルを含むメッセージが、通信線４１に接続されるＥＣＵ３から当該通信線４１を介して車載装置２へ送信される。車載装置２の制御部２０は、取得したメッセージに含まれる対象シグナルがフェール値である場合、対象シグナルを含むメッセージに加えて、通信線４１を介して送信された他のメッセージのシグナルに基づき、対象シグナルが正常であるか否かを判定する。

【0098】

制御部２０は、フェール値を含むメッセージを取得し、当該メッセージを取得した時刻周辺の所定期間において、当該メッセージが送信された通信線４１と同一の通信線４１を介して送信された他のメッセージを特定する。制御部２０は、特定した他のメッセージにおけるシグナルについて、例えば、フェール値であるシグナルの数を取得する。制御部２０は、取得した他のメッセージにおけるフェール値であるシグナルの数と、対象シグナルを含むメッセージにおけるフェール値である周囲シグナルの数との合計数を算出する。制御部２０は、算出した合計数が、他のメッセージにおけるシグナルと、対象シグナルを含むメッセージにおける周囲シグナルとの総数の半数未満であるか否かに基づき、対象シグナルが正常であるか否かを判定する第２検知処理を実行する。なお、制御部２０は、他のメッセージに含まれるシグナルの第１検知結果に基づき、対象シグナルが正常であるか否かを判定する第２検知処理を実行してもよい。

【0099】

本実施形態によれば、バス単位で不正を検知することにより、メッセージ単位で判定する場合よりも検知精度を高めることができる。

【0100】

今回開示した実施の形態は、全ての点で例示であって、制限的なものではないと考えられるべきである。各実施例にて記載されている技術的特徴は互いに組み合わせることができ、本発明の範囲は、請求の範囲内での全ての変更及び請求の範囲と均等の範囲が含まれることが意図される。

【符号の説明】

【0101】

１ 車両
２ 車載装置（ゲートウェイ）
２０ 制御部
２１ 記憶部
２１１ フェール値ＤＢ
２１Ｐ プログラム
２１Ｍ 記録媒体
２２ 入出力Ｉ／Ｆ
２３ 車内通信部
３ 車載ＥＣＵ
３０ 制御部
３１ 記憶部
３２ 車内通信部
３３ 入出力Ｉ／Ｆ
４０ 車載ネットワーク
４１～４３（４）通信線
５ センサ
６ 車外通信装置
７ 外部サーバ
８ 表示装置
Ｎ 車外ネットワーク
Ｓ 車載システム

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】