特許 7453404 通信システム、中継装置、受信装置及び通信制御方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-03-11

(45)【発行日】2024-03-19

(54)【発明の名称】通信システム、中継装置、受信装置及び通信制御方法

(51)【国際特許分類】

   H04L 12/46 20060101AFI20240312BHJP

【ＦＩ】

H04L12/46 100C

【請求項の数】 19

(21)【出願番号】P 2022553225

(86)(22)【出願日】2020-09-29

(86)【国際出願番号】 IB2020000825

(87)【国際公開番号】W WO2022069915

(87)【国際公開日】2022-04-07

【審査請求日】2023-03-14

(73)【特許権者】

【識別番号】000003997

【氏名又は名称】日産自動車株式会社

(73)【特許権者】

【識別番号】507308902

【氏名又は名称】ルノー エス．ア．エス．

【氏名又は名称原語表記】ＲＥＮＡＵＬＴ Ｓ．Ａ．Ｓ．

【住所又は居所原語表記】１２２－１２２ ｂｉｓ， ａｖｅｎｕｅ ｄｕ Ｇｅｎｅｒａｌ Ｌｅｃｌｅｒｃ， ９２１００ Ｂｏｕｌｏｇｎｅ－Ｂｉｌｌａｎｃｏｕｒｔ， Ｆｒａｎｃｅ

(74)【代理人】

【識別番号】110000486

【氏名又は名称】弁理士法人とこしえ特許事務所

(72)【発明者】

【氏名】中 健

(72)【発明者】

【氏名】山口 貴士

(72)【発明者】

【氏名】山田 英明

【審査官】和平 悠希

(56)【参考文献】

【文献】特開２０１８－０７０１２１（ＪＰ，Ａ）

【文献】特開２０１９－１６５４７３（ＪＰ，Ａ）

【文献】国際公開第２０１８／１９８２９７（ＷＯ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ １２／００－１２／６６

Ｈ０４Ｌ ４１／００－１０１／６９５

(57)【特許請求の範囲】

【請求項1】

通信ネットワークに接続された第１の通信装置及び第２の通信装置と、
前記通信ネットワークに接続され、前記第１の通信装置と前記第２の通信装置との間の通信を中継する中継装置と、を備え、
前記中継装置は、
前記第１の通信装置から前記通信ネットワークへ送信されたデータフレームを受信する受信処理と、受信した前記データフレームを前記第２の通信装置へ送信する送信処理とを行う中継部を備え、
前記第１の通信装置は、
前記データフレームの前記通信ネットワークへの送信回数をカウントするカウンタを備え、
前記カウンタのカウンタ値が格納された前記データフレームを前記通信ネットワークへ送信し、
前記第２の通信装置は、
前記第１の通信装置により送信された前記データフレームの前記カウンタ値を管理するカウンタ値管理情報が記憶されたカウンタ値検証部を備え、
前記カウンタ値が格納された前記データフレームを受信し、
前記カウンタ値検証部は、受信した前記データフレームの前記カウンタ値が、前記カウンタ値管理情報に登録されているか否かに応じて、受信した前記データフレームの正当性を検証する通信システムにおいて、
前記カウンタ値管理情報には、所定の数値幅の前記カウンタ値が登録されており、
前記第２の通信装置は、前記カウンタ値管理情報に登録されている前記カウンタ値の数値幅を制御する通信システム。

【請求項2】

前記中継部により受信した前記データフレームに基づいて、受信した前記データフレームの送信処理の優先度を判定する優先度判定部と、を備え、
前記中継部は、前記優先度判定部により判定された優先度に基づいて、前記データフレームの送信処理を行う請求項１に記載の通信システム。

【請求項3】

前記優先度判定部は、前記中継部が複数の前記データフレームを受信すると、受信した複数の前記データフレームに基づいて、前記複数のデータフレームの送信処理の優先度を判定し、
前記中継部は、判定された優先度に基づいて、前記複数のデータフレームの送信処理を行う請求項２に記載の通信システム。

【請求項4】

前記中継部は、優先度が高い前記データフレームは、優先度が低い前記データフレームよりも優先して送信処理を行う請求項２又は３に記載の通信システム。

【請求項5】

前記優先度判定部は、前記データフレームに含まれるメッセージＩＤに基づいて優先度を判定する請求項２～４のいずれか１項に記載の通信システム。

【請求項6】

前記第１の通信装置は、
前記データフレームに格納される格納データと、予め備える共通鍵とに基づいて第１のメッセージ認証コードを生成し、前記格納データと、生成された前記第１のメッセージ認証コードとが格納された前記データフレームを生成するフレーム生成部と、
前記第１のメッセージ認証コードが格納された前記データフレームを前記通信ネットワークへ送信する第１の通信部と、を備え、
前記第２の通信装置は、
前記第１のメッセージ認証コードが格納された前記データフレームを受信する第２の通信部と、
前記第２の通信部により受信した前記データフレーム内の前記格納データと、前記第１の通信装置と共通の前記共通鍵とに基づいて第２のメッセージ認証コードを生成し、生成された前記第２のメッセージ認証コードと、受信した前記第１のメッセージ認証コードとが一致するか否かによって、受信した前記データフレームの正当性を検証する認証コード検証部と、を備える請求項２～５のいずれか１項に記載の通信システム。

【請求項7】

前記カウンタ値検証部により、受信した前記データフレームの前記カウンタ値と、前記カウンタ値管理情報とに基づいて、受信した前記データフレームの正当性を検証する請求項２～６のいずれか１項に記載の通信システム。

【請求項8】

前記第２の通信装置は、新たに受信した前記データフレームの前記カウンタ値が、前記カウンタ値管理情報に登録されている前記カウンタ値の最大値よりも大きい場合に、新たに受信した前記データフレームの前記カウンタ値が前記カウンタ値管理情報内で最大値となるように、所定の数値幅の前記カウンタ値を更新する請求項１～７のいずれか１項に記載の通信システム。

【請求項9】

前記第２の通信装置は、前記通信ネットワークにおける通信が途絶されていると判断される所定の通信途絶時間を上限として、前記カウンタ値管理情報に登録されている前記カウンタ値の数値幅を制御する請求項１～８のいずれか１項に記載の通信システム。

【請求項10】

前記第２の通信装置は、前記カウンタ値管理情報を記憶する記憶部の記憶容量、又は前記中継装置にて前記データフレームをバッファするバッファ容量を上限として、前記カウンタ値管理情報に登録されている前記カウンタ値の数値幅を制御する請求項１～９のいずれか１項に記載の通信システム。

【請求項11】

前記カウンタ値管理情報は、前記データフレームの種類毎に設けられている請求項１～１０のいずれか１項に記載の通信システム。

【請求項12】

前記第２の通信装置は、前記データフレームの種類別の送信頻度に基づいて、前記データフレームの種類毎に設けられている前記カウンタ値管理情報の前記カウンタ値の数値幅を制御する請求項１１に記載の通信システム。

【請求項13】

前記第２の通信装置は、送信頻度が低い種類の前記データフレームの前記カウンタ値管理情報は、送信頻度が高い種類の前記データフレームの前記カウンタ値管理情報よりも、前記カウンタ値の数値幅が広くなるように制御する請求項１２に記載の通信システム。

【請求項14】

前記カウンタ値管理情報には、受信済み又は未受信の前記データフレームの前記カウンタ値が登録されており、
前記カウンタ値検証部は、受信した前記データフレームの前記カウンタ値が受信済みであるか否かに応じて、受信した前記データフレームの正当性を検証する請求項１～１３のいずれか１項に記載の通信システム。

【請求項15】

前記第２の通信装置は、未受信の前記データフレームを受信すると、前記カウンタ値管理情報の前記カウンタ値を受信済みに更新する請求項１４に記載の通信システム。

【請求項16】

前記第２の通信装置は、受信した前記データフレームが不正であると判定された場合に、受信した前記データフレームを破棄する請求項１～１５のいずれか１項に記載の通信システム。

【請求項17】

前記通信ネットワークは、ＣＡＮ（Controller Area Network）である請求項１～１６のいずれか１項に記載の通信システム。

【請求項18】

通信ネットワークに接続され、送信装置から前記通信ネットワークへ送信されたデータフレームを受信する受信装置であって、
前記送信装置から、前記データフレームの前記通信ネットワークへの送信回数を示すカウンタ値が格納された前記データフレームを受信する受信部と、
前記送信装置により送信された前記データフレームの前記カウンタ値を管理するカウンタ値管理情報が記憶されたカウンタ値検証部と、を備え、
前記受信部により、前記カウンタ値が格納された前記データフレームを受信し、
前記カウンタ値検証部により、受信した前記データフレームの前記カウンタ値と、前記カウンタ値管理情報とに基づいて、受信した前記データフレームの正当性を検証する受信装置において、
前記カウンタ値管理情報には、所定の数値幅の前記カウンタ値が登録されており、
前記カウンタ値管理情報に登録されている前記カウンタ値の数値幅を制御する受信装置。

【請求項19】

中継装置により中継され、通信ネットワークに接続された第１の通信装置と第２の通信装置によって実行される通信制御方法であって、
前記第１の通信装置は、
前記第１の通信装置から前記通信ネットワークへ送信されたデータフレームの前記通信ネットワークへの送信回数をカウントするカウンタを備え、
前記カウンタのカウンタ値が格納された前記データフレームを前記通信ネットワークへ送信し、
前記第２の通信装置は、
前記第１の通信装置により送信された前記データフレームの前記カウンタ値を管理するカウンタ値管理情報が記憶されたカウンタ値検証部を備え、
前記カウンタ値が格納された前記データフレームを受信し、
前記カウンタ値検証部は、受信した前記データフレームの前記カウンタ値が、前記カウンタ値管理情報に登録されているか否かに応じて、受信した前記データフレームの正当性を検証する通信制御方法において、
前記カウンタ値管理情報には、所定の数値幅の前記カウンタ値が登録されており、
前記第２の通信装置は、前記カウンタ値管理情報に登録されている前記カウンタ値の数値幅を制御する通信制御方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、通信ネットワークを介してデータフレームを送受信する通信システム、中継装置、受信装置及び通信制御方法に関するものである。

【背景技術】

【0002】

特許文献１には、車載機器を制御する複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）と、各ＥＣＵが相互に通信できるように接続するＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の車載ネットワークと、ＥＣＵ間の通信を中継するＣＧＷ（Ｃｅｎｔｒａｌ Ｇａｔｅ Ｗａｙ）とを備える車載ネットワークシステムが開示されている。ＣＧＷは、送信元のＥＣＵからＣＡＮに送信されたデータフレームを受信し、受信したデータフレームを送信先のＥＣＵへ送信する。特許文献１の車載ネットワークシステムでは、このような車載ネットワークに対するリプレイ攻撃等に対処するために、公知のメッセージ認証コード（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ、以下「ＭＡＣ」ともいう）を用いてデータフレームの正当性を検証している。

【先行技術文献】

【特許文献】

【0003】

【文献】国際公開第２０１８／１３５０９８号

【発明の概要】

【発明が解決しようとする課題】

【0004】

ＣＧＷは、複数のデータフレームを受信してバッファすると、受信したデータフレームから順に送信先のＥＣＵへ送信する。そのため、重要なデータフレームの送信が後回しになり、送信先のＥＣＵが適切なタイミングで重要なデータフレームを受信できない可能性がある。

【0005】

本発明が解決しようとする課題は、データフレームの送信頻度等が変化した場合でも、データフレームの過度な破棄を抑制しながら、セキュリティリスクを低減することである。

【課題を解決するための手段】

【0006】

本発明は、通信ネットワークに接続された第１の通信装置及び第２の通信装置と、前記通信ネットワークに接続され、前記第１の通信装置と前記第２の通信装置との間の通信を中継する中継装置と、を備えた通信システムにおいて、第２の通信装置は、第１の通信装置により送信されたデータフレームのカウンタ値を管理するカウンタ値管理情報が記憶されたカウンタ値検証部を備え、カウンタ値管理情報には、所定の数値幅の前記カウンタ値が登録されており、第２の通信装置は、カウンタ値管理情報に登録されているカウンタ値の数値幅を制御することによって上記課題を解決する。

【発明の効果】

【0007】

本発明によれば、データフレームの送信頻度等が変化した場合でも、データフレームの過度な破棄を抑制しながら、セキュリティリスクを低減することができる。

【図面の簡単な説明】

【0008】

【図1】図１は、本発明に係る通信システム、中継装置、受信装置及び通信制御方法を適用した、車載ネットワークシステムの構成図である。

【図2】図２は、図１のゲートウェイによりデータフレームの送信処理の優先度を判定している状態を示す説明図である。

【図3】図３は、図１のＥＣＵの構成を示すブロック図である。

【図4】図４は、図１の車載ネットワークシステムで通信されるデータフレームのデータ構成を示す説明図である。

【図5A】図５Ａは、図１のカウンタ値管理情報を用いてデータフレームの正当性を検証している状態を示す説明図である。

【図5B】図５Ｂは、図１のカウンタ値管理情報の受信フラグを更新した状態を示す説明図である。

【図6A】図６Ａは、図１のカウンタ値管理情報の最大のカウンタ値よりも大きなカウンタ値を有するデータフレームを受信した状態を示す説明図である。

【図6B】図６Ｂは、図１のカウンタ値管理情報のカウンタ値情報をカウンタ値の最大値に基づいて更新した状態を示す説明図である。

【図7】図７は、図１の車載ネットワークシステムにてデータフレームを通信する手順を示すシーケンスチャートである。

【図8】図８は、図１の車載ネットワークシステムの通信途絶時間を上限としてカウンタ値管理情報のカウンタ値情報を制御する状態を示す説明図である。

【図9】図９は、図１のゲートウェイのバッファメモリの記憶容量を上限としてカウンタ値管理情報のカウンタ値情報を制御する状態を示す説明図である。

【図10】図１０は、データフレームの種類毎に設けられたカウンタ値管理情報を示す説明図である。

【発明を実施するための形態】

【0009】

以下、本発明の実施形態を図面に基づいて説明する。
本実施形態では、本発明に係る通信システム、中継装置、受信装置及び通信制御方法を、車載ネットワークシステムに適用した例を用いて説明する。図１に示すように、本実施形態の車載ネットワークシステム２は、自動車である車両１に搭載されている。車載ネットワークシステム２は、ＣＡＮ３と、ＣＡＮ３に接続された複数のＥＣＵ４ａ、ＥＣＵ４ｂ、ＥＣＵ４ｃ、ＥＣＵ４ｄ及びＥＣＵ４ｅと、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）５と、ＯＢＤ（Ｏｎ－ｂｏａｒｄ ｄｉａｇｎｏｓｔｉｃｓ）ポート６と、ゲートウェイ７とを備えている。なお、ＣＡＮ３は、本発明の通信ネットワークの一例に相当する。また、ＥＣＵ４ａ～４ｅ及びＴＣＵ５は、本発明の第１の通信装置、第２の通信装置及び受信装置の一例に相当する。また、ゲートウェイ７は、本発明の中継装置の一例に相当する。なお、ＥＣＵ４ａ～４ｅを総称してＥＣＵ４ともいう。

【0010】

ＣＡＮ３は、各ＥＣＵ４、ＴＣＵ５及びゲートウェイ７等が接続された複数のバス３ａ、３ｂ、３ｃ、３ｄ、３ｅ及び３ｆを備えている。ＣＡＮ３の通信プロトコルでは、バス３ａ～３ｆに接続された各ＥＣＵ４及びＴＣＵ５等が、データフレームと呼ばれるメッセージを送受信する。データフレームには、送信元や送信先を示す識別子は付加されておらず、各ＥＣＵ４及びＴＣＵ５は、データフレーム毎にＣＡＮ ＩＤ（メッセージＩＤともいう）と呼ばれる識別情報を付加してバス３ａ～３ｆに送信する。ＣＡＮ ＩＤは、メッセージの種類を示す識別情報であり、各ＥＣＵ４及びＴＣＵ５は、予め定められたＣＡＮ ＩＤのみを受信する。

【0011】

各ＥＣＵ４ａ～４ｅには、図示しないセンサ又はアクチュエータ等の車載機器が接続されている。また、各ＥＣＵ４ａ～４ｅは、接続されているセンサから、センサによる検知結果を示すセンサ情報を取得し、取得したセンサ情報を含む制御情報を格納したデータフレームをバス３ａ～３ｆへ送信する。また、各ＥＣＵ４ａ～４ｅは、バス３ａ～３ｆからデータフレームを受信し、受信したデータフレームに格納されている制御情報に基づいてアクチュエータ等の車載機器を制御する。

【0012】

ＣＡＮ３は、各バス３ａ～３ｆと、各バス３ａ～３ｆに接続された各ＥＣＵ４ａ～４ｅ及びＴＣＵ５により、車両１の基本構成毎に区分けされた複数の制御グループを構成している。この制御グループは、ドメインとも呼ばれる。バス３ａ及びＥＣＵ４ａは、例えば、マルチメディアドメインを構成し、カーナビゲーション装置を含むヘッドユニット等の情報提示機器を制御する。また、バス３ｂ及びＥＣＵ４ｂは、例えば、ＡＤＡＳ（Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ－Ａｓｓｉｓｔａｎｃｅ Ｓｙｓｔｅｍ）ドメインを構成し、カメラやレーダ、ＬＩＤＡＲ（Ｌｉｇｈｔ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｒａｎｇｉｎｇ）、これらの出力に基づいてセンサフュージョン処理を行う物体認識装置等の走行支援制御に関連する車載機器を制御する。バス３ｃ及びＥＣＵ４ｃは、例えば、パワートレインドメインを構成し、エンジンやモータ等の車両１の駆動源等を制御する。また、バス３ｄ及びＥＣＵ４ｄは、例えば、シャーシドメインを構成し、ステアリング機構等のシャーシ関連の車載機器を制御する。さらに、バス３ｅ及びＥＣＵ４ｅは、例えば、ボディドメインを構成し、パワーウィンドウ等のボディ関連の車載機器を制御する。

【0013】

ＴＣＵ５は、車両１の外部の外部通信網８と接続して通信を行う通信用ＥＣＵである。外部通信網８は、インターネット、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、公衆回線、ＬＴＥ（Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ）等の移動体通信網等の電気通信回線網である。ＯＢＤポート６は、ＣＡＮ３を流れる様々な情報、例えば車両１の動作状態を示す情報を外部装置へ出力するポートである。ＴＣＵ５及びＯＢＤポート６と、これらが接続されたバス３ｆは、例えば、外部通信ドメインを構成する。すなわち、バス３ｆを流れるデータフレームには、例えば、外部通信網８側の装置から送信されたデータフレーム、及びＯＢＤポート６に接続された装置から送信されたデータフレームが含まれる。

【0014】

ゲートウェイ７は、ＣＡＮ３の複数のバス３ａ～３ｆに接続され、バス間でのデータフレームの中継処理およびルーティング処理を実行するＥＣＵである。従来のゲートウェイは、複数のデータフレームを受信してバッファすると、受信したデータフレームから順に送信先のＥＣＵへ送信していた。そのため、重要なデータフレームの送信が後回しになり、送信先のＥＣＵが適切なタイミングで重要なデータフレームを受信できない可能性があった。本実施形態のゲートウェイ７は、このような問題を解決するために、中継部７１と、優先度判定部７２とを備えている。

【0015】

ゲートウェイ７の中継部７１は、送信元のＥＣＵ４又はＴＣＵ５からＣＡＮ３に送信されたデータフレームを受信する受信処理と、受信したデータフレームを送信先のＥＣＵ４又はＴＣＵ５へ送信する送信処理とを行う。また、ゲートウェイ７の優先度判定部７２は、中継部７１の受信処理により受信したデータフレームに基づいて、受信したデータフレームの送信処理の優先度を判定する。具体的には、優先度判定部７２は、中継部７１が複数のデータフレームを受信してバッファすると、バッファされている複数のデータフレームのＣＡＮ ＩＤに基づいて、複数のデータフレームの送信処理の優先度を判定する。本実施形態の車載ネットワークシステム２では、ＣＡＮ ＩＤは、重要度が高いデータフレームほど数値が小さくなるように設定されている。なお、重要度が高いデータフレームとは、例えば、車両１の走行制御に関するデータフレーム等である。そのため、優先度判定部７２は、ＣＡＮ ＩＤに基づいて、送信処理の優先度を判定することができる。中継部７１は、判定された優先度に基づいて、複数のデータフレームの送信処理を行う。より具体態には、中継部７１は、優先度が高いデータフレームは、優先度が低いデータフレームよりも優先して送信処理を行う。

【0016】

図２に示すように、ゲートウェイ７の中継部７１は、例えば、ＣＡＮ ＩＤが「３０７」、「１０５」、「４０９」、「２０１」、「１０５」のデータフレームを順に受信してバッファしているとする。この場合、優先度判定部７２は、ＣＡＮ ＩＤが小さい順に送信処理が行われるように優先度を判定する。また、ＣＡＮ ＩＤ「１０５」のデータフレームのように、同じＣＡＮ ＩＤのデータフレームが複数存在する場合には、データフレームの送信順序を示すカウンタ値が小さいデータフレームの優先度を高くする。なお、データフレームのカウンタ値については、詳しくは後述する。すなわち、優先度判定部７２は、送信処理の優先度が「１０５（カウンタ値：４５）」、「１０５（カウンタ値：４８）」、「２０１」、「３０７」、「４０９」の順に高くなるように、優先度を判定する。中継部７１は、優先度判定部７２の判定結果に基づいて、ＣＡＮ ＩＤが「１０５（カウンタ値：４５）」、「１０５（カウンタ値：４８）」、「２０１」、「３０７」、「４０９」のデータフレームを順に送信する。これにより、送信先のＥＣＵ４又はＴＣＵ５は、優先度に応じた適切なタイミングでデータフレームを受信することができる。

【0017】

ＥＣＵ４は、ハードウェア及びソフトウェアを備えたコンピュータにより構成されている。詳しくは図示しないが、ＥＣＵ４は、プログラムを格納したＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）と、このＲＯＭに格納されたプログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）と、プログラムの実行中に生じたデータを一時的に記憶するＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）とを備えている。ＲＯＭには、各ＥＣＵ４ａ～４ｆ毎に接続されている車載機器に応じた制御を行うための制御プログラムが記憶されている。なお、動作回路としては、ＣＰＵに代えて又はこれとともに、ＭＰＵ（Ｍｉｃｒｏ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等を用いることができる。

【0018】

図３は、ＥＣＵ４のＣＰＵが制御プログラムに基づいて動作することにより構成される各種の機能部を示している。ＥＣＵ４は、記憶部４１、通信部４２、カウンタ４３、データ取得部４４、フレーム生成部４５、ＭＡＣ検証部４６、カウンタ値検証部４７、車載機器制御部４８、管理情報更新部４９を備えている。なお、詳しくは説明しないが、ＴＣＵ５も同様の構成を備えている。

【0019】

記憶部４１は、上記のＲＯＭによって構成されており、車載ネットワークシステム２に対するリプレイ攻撃への対処に利用されるカウンタ値４１１、共通鍵４１２及びカウンタ値管理情報４１３が記憶されている。ここで、リプレイ攻撃とは、ネットワーク上を流れるデータフレームを盗聴してその内容を記憶しておき、記憶したデータフレーム、又は改変したデータフレームをネットワーク内に送信することにより、ネットワーク内の機器に不正な動作を引き起こすサイバー攻撃である。リプレイ攻撃は、ＴＣＵ５と通信を行う外部機器や、ＯＤＢポート６に接続された外部機器によって行われる。

【0020】

通信部４２は、ＣＡＮ３及びゲートウェイ７を介して他のＥＣＵ４及びＴＣＵ５と通信を行う。通信部４２は、他のＥＣＵ４及びＴＣＵ５から送信されたデータフレームを受信する際に、データフレームのＣＡＮ ＩＤを確認し、予め定められたＣＡＮ ＩＤを有するデータフレーム、すなわち、通信部４２が設けられているＥＣＵ４に関連するデータフレームのみを受信する。

【0021】

カウンタ４３は、データフレームがＣＡＮ３に送信された回数をカウントし、カウンタ値をインクリメントする。すなわち、カウンタ４３は、車載ネットワークシステム２内のＥＣＵ４ａ～４ｅ、ＴＣＵ５及びＯＢＤポート６等が、データフレームをＣＡＮ３へ送信した回数をカウントする。したがって、各ＥＣＵ４ａ～４ｅ及びＴＣＵ５のカウンタは、同じカウンタ値となる。カウンタ４３によりカウントされたカウンタ値は、符号４１１で示すように、記憶部４１に記憶される。

【0022】

データ取得部４４は、ＥＣＵ４に接続されたセンサ等の車載機器から、センサによる検知結果を示すセンサ情報を取得する。フレーム生成部４５は、データ取得部４４により取得されたセンサ情報に基づいて、センサ情報を含む制御情報を生成し、生成された制御情報に基づいて、通信部４２により送信されるデータフレームを生成する。具体的には、フレーム生成部４５は、データ取得部４４により取得したセンサ情報の種類に応じてＣＡＮ ＩＤを設定する。フレーム生成部４５は、例えば、センサ情報とＣＡＮ ＩＤとが対応付けられたテーブルを記憶しており、このテーブルに基づいてＣＡＮ ＩＤを設定する。

【0023】

また、フレーム生成部４５は、上述したリプレイ攻撃に対処するために、設定したＣＡＮ ＩＤと、生成された制御情報と、記憶部４１に記憶されているカウンタ値４１１とに基づいて、記憶部４１に記憶されている共通鍵４１２によりＭＡＣを生成する。共通鍵４１２は、各ＥＣＵ４ａ～４ｅ及びＴＣＵ５において、共通のものが用いられる。また、ＭＡＣの算出には、ハッシュ関数を使う方式（ＨＭＡＣ）や、ブロック暗号アルゴリズムを使う方式（ＣＭＡＣ等）等が用いられる。フレーム生成部４５は、設定したＣＡＮ ＩＤと、データ取得部４４により取得したセンサ情報を含む制御情報と、記憶部４１に記憶されているカウンタ値４１１と、生成したＭＡＣとに基づいてデータフレームを生成する。フレーム生成部４５にて生成されるＭＡＣは、本発明の第１のメッセージ認証コードの一例に相当する。

【0024】

図４は、フレーム生成部４５により生成されるデータフレームの構成の一例を示している。データフレームは、ＣＡＮ ＩＤが格納されるＩＤフィールド９１と、データが格納されるデータフィールド９２とを備えている。データフィールド９２には、上記のセンサ情報を含む制御情報と、カウンタ値と、ＭＡＣとが格納される。なお、ＣＡＮ ＩＤ、制御情報及びカウンタ値は、本発明の格納データの一例に相当する。

【0025】

ＭＡＣ検証部４６は、通信部４２により受信したデータフレームのＭＡＣに基づいて、データフレームの正当性、すなわち、受信したデータフレームが車載ネットワークシステム２内の他のＥＣＵ４又はＴＣＵ５から送信されたものであるか否かを検証する。具体的には、ＭＡＣ検証部４６は、受信したデータフレームから、ＣＡＮ ＩＤと、制御情報と、カウンタ値と、ＭＡＣとを取得する。ＭＡＣ検証部４６は、取得されたＣＡＮ ＩＤと、制御情報と、カウンタ値とに基づいて、記憶部４１に記憶されている共通鍵４１２により検証用のＭＡＣを生成する。この検証用のＭＡＣは、本発明の第２のメッセージ認証コードの一例に相当する。

【0026】

次いで、ＭＡＣ検証部４６は、受信したデータフレームから取得したＭＡＣと、検証用のＭＡＣとを比較し、取得したＭＡＣと検証用のＭＡＣとが一致する場合に、受信したデータフレームが正当なデータであると判定する。ＭＡＣ検証部４６は、受信したデータフレームが正当なデータであると判定すると、受信したデータフレームをカウンタ値検証部４７に出力する。また、ＭＡＣ検証部４６は、受信したデータフレームが不正なデータであると判定すると、受信したデータフレームを破棄する。このように、ＭＡＣを利用して不正なデータフレームを検出して破棄することができるので、車載ネットワークシステム２に対するリプレイ攻撃等を防ぐことが可能である。なお、ＭＡＣの生成にＣＡＮ ＩＤと、制御情報と、カウンタ値とを用いているが、これらの３つのデータのうち、いずれか１つ又は２つの組み合わせを用いてＭＡＣを生成してもよい。

【0027】

カウンタ値検証部４７は、通信部４２により受信したデータフレームのカウンタ値に基づいて、データフレームの正当性、すなわち、受信したデータフレームが車載ネットワークシステム２内の他のＥＣＵ４又はＴＣＵ５から送信されたものであるか否かを検証する。また、カウンタ値検証部４７は、受信したデータフレームのカウンタ値を利用して、データフレームの過度な破棄を抑制する。すなわち、ゲートウェイ７において、ＭＡＣ ＩＤを利用してデータフレームの送信処理の優先度を制御すると、優先度の低いデータフレームの送信タイミングは遅くなる。このような送信タイミングが遅くなったデータフレームには、車両１の制御において必要なものが存在する一方、送信タイミングが遅くなりすぎて不要になっているものも存在するため、送信タイミングが遅くなったデータフレームを適切に取捨選択する必要がある。本実施形態では、データフレームに送信順序を示すカウンタ値が格納されているため、例えば、既に受信済みのデータフレームのカウンタ値よりも小さいカウンタ値を有するデータフレーム（すなわち、受信済みのデータフレームよりも古いデータフレーム）を受信した場合に、そのデータフレームを破棄する、という処理を行うことが可能である。しかしながら、このような処理では、重要なデータフレームが破棄され、あるいは破棄されるデータフレームが多くなる可能性がある。例えば、図２に示す例であれば、ＣＡＮ ＩＤが「１０５」でカウンタ値が「４８」の重要なデータフレームは、ＣＡＮ ＩＤが「１０５」でカウンタ値が「４５」のデータフレームよりも古いため、破棄されてしまう。このような課題を解決するために、本実施形態のカウンタ値検証部４７は、受信したデータフレームのカウンタ値を利用して、リプレイ攻撃に対処しながら、データフレームの過度な破棄を抑制する。

【0028】

カウンタ値検証部４７は、記憶部４１に記憶されているカウンタ値管理情報４１３を備えている。カウンタ値管理情報４１３は、送信されたデータフレームのカウンタ値を管理する情報である。図５Ａに示すように、カウンタ値管理情報４１３は、所定の数値幅（例えば、６４）のカウンタ値（例えば、１０７～４３）を示すカウンタ値情報４１３ａと、カウンタ値が格納されたデータフレームがいずれかのＥＣＵ４又はＴＣＵ５により受信済みであるか否かを示す受信フラグ４１３ｂとが対応付けられている。受信フラグ４１３ｂは、受信済みのカウンタ値には「受信済み」の受信フラグが登録され、未受信のカウンタ値には「未受信」の受信フラグが登録されている。

【0029】

カウンタ値検証部４７は、受信したデータフレームのカウンタ値が、カウンタ値管理情報４１３に登録されているか否かに応じて、受信した前記データフレームの正当性を検証する。また、カウンタ値検証部４７は、受信したデータフレームのカウンタ値が受信済みであるか否かに応じて、受信したデータフレームの正当性を検証する。より具体的には、カウンタ値検証部４７は、受信したデータフレームのカウンタ値が未受信である場合には、受信したデータフレームは正当なデータフレームであると判定する。また、カウンタ値検証部４７は、受信したデータフレームのカウンタ値が受信済みである場合、あるいは受信したデータフレームのカウンタ値がカウンタ値情報４１３ａに登録されているカウンタ値よりも小さい値である場合には、受信したデータフレームは不正なデータフレームであると判定する。

【0030】

例えば、図５Ａに示すカウンタ値管理情報４１３において、新たに受信したデータフレームのカウンタ値が「１０６」の場合には、このデータフレームは未受信であるため、カウンタ値検証部４７は、カウンタ値「１０６」のデータフレームを正当なデータフレームであると判定する。また、新たに受信したデータフレームのカウンタ値が「４５」の場合には、このデータフレームは未受信であるため、カウンタ値検証部４７は、カウンタ値「４５」のデータフレームを正当なデータフレームであると判定する。

【0031】

これに対し、新たに受信したデータフレームのカウンタ値が「１０４」の場合には、このデータフレームは既に受信済みであるため、カウンタ値検証部４７は、カウンタ値「１０４」のデータフレームを不正なデータフレームであると判定する。さらに、新たに受信したデータフレームのカウンタ値が「３２」の場合には、カウンタ値情報４１３ａに登録されていない古いデータフレームであると判定できるため、カウンタ値検証部４７は、カウンタ値「３２」のデータフレームを不正なデータフレームであると判定する。

【0032】

カウンタ値検証部４７は、受信したデータフレームが正当なデータであると判定すると、受信したデータフレームを車載機器制御部４８に出力する。車載機器制御部４８は、カウンタ値検証部４７から出力されたデータフレームの制御情報に基づいて、車載機器を制御する。また、カウンタ値検証部４７は、受信したデータフレームが不正なデータであると判定すると、受信したデータフレームを破棄する。このように、データフレームのカウンタ値により、そのデータフレームが受信済みであるか否かを判定するので、受信済みのデータフレームに偽装して送信された不正なデータフレームを検出して破棄することができる。また、カウンタ値情報４１３ａの数値幅を所定数にしているので、送信タイミングが多少遅くなったデータフレームを受信し、送信タイミングが大幅に遅くなった古いデータフレームを破棄することができる。

【0033】

カウンタ値情報４１３ａの数値幅は、データフレームの過度な破棄の抑制と、セキュリティリスクの低減とが両立するような値に設定されることが好ましい。すなわち、カウンタ値情報４１３ａの数値幅を広くすると、データフレームの過度な破棄は抑制することができるが、リプレイ攻撃に利用可能なデータフレームが増えるため、セキュリティリスクは上昇する。これに対し、カウンタ値情報４１３ａの数値幅を狭くすると、データフレームの過度な破棄は抑制できなくなるが、リプレイ攻撃に利用可能なデータフレームが少なくなるため、セキュリティリスクは低下する。このように、データフレームの破棄の抑制と、セキュリティリスクの低減とは、カウンタ値情報４１３ａの数値幅に影響される。なお、図５Ａに示す例では、カウンタ値情報４１３ａの数値幅を例えば「６４」にしているため、最大で６３フレーム分のデータフレームの破棄を抑制し、リプレイ攻撃を防ぐことができる。また、データフレームが送信される最短周期が、例えば１０ｍｓである場合には、６３０ｍｓの間のデータフレームの破棄を抑制し、リプレイ攻撃を防ぐことができる。

【0034】

管理情報更新部４９は、未受信のデータフレームを受信すると、この受信したデータフレームのカウンタ値に基づいて、カウンタ値管理情報４１３の受信フラグ４１３ｂを受信済みに更新する。例えば、図５Ａに示すカウンタ値管理情報４１３において、新たに受信したデータフレームのカウンタ値が「１０６」、「４５」の場合、このデータフレームは未受信であるため、管理情報更新部４９は、図６Ｂに示すように、カウンタ値「１０６」、「４５」のデータフレームの受信フラグを受信済みに更新する。

【0035】

また、管理情報更新部４９は、新たに受信したデータフレームのカウンタ値が、カウンタ値管理情報４１３に登録されているカウンタ値の最大値よりも大きい場合に、新たに受信したデータフレームのカウンタ値がカウンタ値管理情報４１３内で最大値となるように、所定の数値幅のカウンタ値情報４１３ａを更新する。例えば、図６Ａに示すカウンタ値管理情報４１３において、新たに受信したデータフレームのカウンタ値が、カウンタ値管理情報４１３の最大値「１０７」よりも大きな「１５０」であるとする。この場合、管理情報更新部４９は、図６Ｂに示すように、新たに受信したデータフレームのカウンタ値「１５０」がカウンタ値管理情報４１３内で最大値となるように、カウンタ値情報４１３ａの所定の数値幅「６４」を維持しつつ、カウンタ値「１０７～４３」を、「１５０～８６」に更新する。このように、カウンタ値管理情報４１３は、データフレームの受信状況に応じて更新されるので、データフレームの過度な破棄を抑制しながら、セキュリティリスクを低減することができる。

【0036】

次に、図７に示すシーケンスチャートに基づいて、上記実施形態の作用について説明する。なお、以下では、送信元ＥＣＵ４ａから、送信先ＥＣＵ４ｂへデータフレームを送信する場合について説明する。図７のステップＳ１において、データフレームを送信する送信元ＥＣＵ４ａは、データ取得部４４により、接続されているセンサ等から、センサによる検知結果を示すセンサ情報を取得する。送信元ＥＣＵ４ａは、次のステップＳ２において、フレーム生成部４５によりＭＡＣ値を生成する。具体的には、フレーム生成部４５は、データ取得部４４により取得したセンサ情報の種類に応じてＣＡＮ ＩＤを設定する。また、フレーム生成部４５は、センサ情報の種類に応じて、センサ情報を含む制御情報を生成する。さらにフレーム生成部４５は、設定したＣＡＮ ＩＤと、生成した制御情報と、記憶部４１に記憶されているカウンタ値４１１とに基づいて、記憶部４１に記憶されている共通鍵４１２によりＭＡＣを生成する。

【0037】

送信元ＥＣＵ４ａは、次のステップＳ３において、フレーム生成部４５によりデータフレームを生成する。フレーム生成部４５は、設定したＣＡＮ ＩＤと、センサ情報に基づいて生成した制御情報と、記憶部４１に記憶されているカウンタ値４１１と、生成したＭＡＣとに基づいてデータフレームを生成する。送信元ＥＣＵ４ａは、次のステップＳ４において、通信部４２により、生成したデータフレームをＣＡＮ３のバス３ａに送信する。送信元ＥＣＵ４ａは、次のステップＳ５において、カウンタ４３のカウンタ値をインクリメントする。なお、詳しくは図示しないが、データフレームの送信回数のカウントは、他のＥＣＵ４及びＴＣＵ５でも行われる。

【0038】

ゲートウェイ７は、送信元ＥＣＵ４ａから送信されたデータフレームを中継部７１により受信すると、ステップＳ６において、優先度判定部７２により、受信したデータフレームの送信処理の優先度を判定する。優先度判定部７２は、ＣＡＮ ＩＤが小さいほど送信処理の優先度が高くなるように優先度を判定する。また、優先度判定部７２は、同じＣＡＮ ＩＤのデータフレームが複数存在する場合には、カウンタ値が小さいほど送信処理の優先度が高くなるように優先度を判定する。ゲートウェイ７は、次のステップＳ７において、中継部７１により、優先度判定部７２により判定された優先度に基づいて、優先度が高いデータフレームを、優先度が低いデータフレームよりも優先して送信処理を行う。中継部７１は、送信元ＥＣＵ４ａから受信したデータフレームをバス３ｂに送信する。

【0039】

送信先ＥＣＵ４ｂは、通信部４２により、バス３ｂを流れるデータフレームのＣＡＮ ＩＤを確認し、予め定められたＣＡＮ ＩＤのデータフレームを受信する。送信先ＥＣＵ４ｂは、データフレームを受信すると、ステップＳ８において、ＭＡＣ検証部４６により、受信したデータフレームのＭＡＣを検証する。ＭＡＣ検証部４６は、受信したデータフレームから、ＣＡＮ ＩＤと、制御情報と、カウンタ値と、ＭＡＣとを取得する。ＭＡＣ検証部４６は、取得されたＣＡＮ ＩＤと、制御情報と、カウンタ値とに基づいて、記憶部４１に記憶されている共通鍵４１２により検証用のＭＡＣを生成する。

【0040】

ＭＡＣ検証部４６は、次のステップＳ９において、受信したデータフレームから取得したＭＡＣと、検証用のＭＡＣとを比較する。ＭＡＣ検証部４６は、取得したＭＡＣと検証用のＭＡＣとが一致する場合に、受信したデータフレームが正当なデータであると判定する。ＭＡＣ検証部４６は、受信したデータフレームが正当なデータであると判定すると、受信したデータフレームをカウンタ値検証部４７に出力する。また、ＭＡＣ検証部４６は、受信したデータフレームが不正なデータであると判定すると、ステップＳ１６において、受信したデータフレームを破棄する。

【0041】

ＭＡＣ検証部４６において、受信したデータフレームが正当なデータであると判定された場合、送信先ＥＣＵ４ｂは、次のステップＳ１０において、カウンタ値検証部４７により、カウンタ値に基づいて、受信したデータフレームの正当性を検証する。カウンタ値検証部４７は、受信したデータフレームからカウンタ値を取得し、取得したカウンタ値と、カウンタ値管理情報４１３とに基づいて、受信したデータフレームが受信済みであるか否かを検証する。

【0042】

送信先ＥＣＵ４ｂは、次のステップＳ１１において、受信したデータフレームのカウンタ値が未受信である場合には、受信したデータフレームは正当なデータフレームであると判定する。また、カウンタ値検証部４７は、受信したデータフレームのカウンタ値が受信済みである場合、あるいはカウンタ値管理情報４１３のカウンタ値よりも小さい値である場合には、受信したデータフレームは不正なデータフレームであると判定する。

【0043】

カウンタ値検証部４７は、受信したデータフレームが正当なデータであると判定すると、次のステップＳ１２において、新たに受信したデータフレームのカウンタ値が、カウンタ値管理情報４１３に登録されているカウンタ値の最大値よりも大きいか否かを判定する。送信先ＥＣＵ４ｂは、新たに受信したデータフレームのカウンタ値が、カウンタ値管理情報４１３に登録されているカウンタ値の最大値よりも大きい場合には、次のステップＳ１３において、管理情報更新部４９により、カウンタ値管理情報４１３を更新する。管理情報更新部４９は、新たに受信したデータフレームのカウンタ値がカウンタ値管理情報４１３内で最大値となるように、カウンタ値情報４１３ａを更新する。

【0044】

送信先ＥＣＵ４ｂは、次のステップＳ１４において、管理情報更新部４９により、カウンタ値管理情報４１３を更新する。具体的には、管理情報更新部４９は、未受信のデータフレームを受信すると、この受信したデータフレームのカウンタ値に基づいて、カウンタ値管理情報４１３の受信フラグ４１３ｂを受信済みに更新する。

【0045】

カウンタ値検証部４７は、受信したデータフレームが正当なデータであると判定すると、受信したデータフレームを車載機器制御部４８に出力する。車載機器制御部４８は、次のステップＳ１５において、カウンタ値検証部４７から出力されたデータフレームの制御情報に基づいて、車載機器を制御する。また、カウンタ値検証部４７は、受信したデータフレームが不正なデータであると判定すると、ステップＳ１６において、受信したデータフレームを破棄する。

【0046】

以上で説明したように、本実施形態に係る車載ネットワークシステム２によれば、ＣＡＮ３に接続された複数のＥＣＵ４ａ～４ｅ及びＴＣＵ５と、ゲートウェイ７とを備えている。ゲートウェイ７は、送信元ＥＣＵ４ａからＣＡＮ３へ送信されたデータフレームを受信する受信処理と、受信したデータフレームを送信先ＥＣＵ４ｂへ送信する送信処理とを行う中継部７１と、中継部７１により受信したデータフレームに基づいて、受信したデータフレームの送信処理の優先度を判定する優先度判定部７２とを備えている。中継部７１は、優先度判定部７２により判定された優先度に基づいて、データフレームの送信処理を行う。これにより、データフレームは、優先度に基づいて送信処理が行われるので、送信先ＥＣＵ４ｂは、優先度に応じた適切なタイミングでデータフレームを受信することができる。

【0047】

また、本実施形態に係る車載ネットワークシステム２によれば、優先度判定部７２は、中継部７１が複数のデータフレームを受信すると、受信した複数のデータフレームに基づいて、複数のデータフレームの送信処理の優先度を判定し、中継部７１は、判定された優先度に基づいて、複数のデータフレームの送信処理を行う。これにより、複数のデータフレームは、優先度に基づいて送信処理が行われるので、送信先ＥＣＵ７ｂは、優先度に応じた適切なタイミングで複数のデータフレームを受信することができる。

【0048】

また、本実施形態に係る車載ネットワークシステム２によれば、中継部７１は、優先度が高いデータフレームは、優先度が低いデータフレームよりも優先して送信処理を行う。これにより、送信先ＥＣＵ７ｂは、優先度が高いデータフレームを、優先度が低いデータフレームよりも優先して受信することができるので、優先度の高い処理を迅速に実行することができる。

【0049】

また、本実施形態に係る車載ネットワークシステム２によれば、優先度判定部７２は、データフレームに含まれるＣＡＮ ＩＤに基づいて優先度を判定するので、複雑な処理が不要であり、処理負荷を低減できるとともに、判定ミスを抑制することが可能である。

【0050】

また、本実施形態に係る車載ネットワークシステム２によれば、送信元ＥＣＵ４ａは、データフレームに格納される制御情報等の格納データと、予め備える共通鍵４１２とに基づいてＭＡＣを生成し、格納データと、生成されたＭＡＣとが格納されたデータフレームを生成するフレーム生成部４５と、ＭＡＣが格納されたデータフレームを通信ネットワークへ送信する通信部４２とを備えている。また、送信先ＥＣＵ４ｂは、ＭＡＣが格納されたデータフレームを受信する通信部４２と、受信したデータフレーム内の格納データと共通鍵４１２とに基づいて検証用のＭＡＣを生成し、生成された検証用のＭＡＣと、受信したＭＡＣとが一致するか否かによって、受信したデータフレームの正当性を検証するＭＡＣ検証部４６とを備えている。これにより、ＭＡＣを利用して不正なデータフレームを検出して破棄することができるので、車載ネットワークシステム２に対するリプレイ攻撃等を防ぐことが可能である。

【0051】

また、本実施形態に係る車載ネットワークシステム２によれば、送信元ＥＣＵ４ａは、データフレームのＣＡＮ３への送信回数をカウントするカウンタ４３を備え、カウンタ４３のカウンタ値が格納されたデータフレームをＣＡＮ３へ送信する。また、送信先ＥＣＵ４ｂは、送信元ＥＣＵ４ａにより送信されたデータフレームのカウンタ値を管理するカウンタ値管理情報４１３が記憶されたカウンタ値検証部４７を備えている。カウンタ値検証部４７は、カウンタ値が格納されたデータフレームを受信すると、受信したデータフレームのカウンタ値と、カウンタ値管理情報４１３とに基づいて、受信したデータフレームの正当性を検証する。このように、データフレームのカウンタ値により、そのデータフレームの正当性を検証するので、受信済みのデータフレームに偽装して送信された不正なデータフレームを検出して破棄し、車載ネットワークシステム２に対するリプレイ攻撃等を防ぐことが可能である。

【0052】

また、本実施形態に係る車載ネットワークシステム２によれば、カウンタ値管理情報４１３には、所定の数値幅のカウンタ値を示すカウンタ値情報４１３ａが登録されており、カウンタ値検証部４７は、受信したデータフレームのカウンタ値が、カウンタ値管理情報４１３に登録されているか否かに応じて、受信したデータフレームの正当性を検証する。このように、カウンタ値情報４１３ａの数値幅を所定数にしているので、送信タイミングが多少遅くなったデータフレームは受信することができ、送信タイミングが大幅に遅くなった古いデータフレームは破棄することができる。また、カウンタ値情報４１３ａの数値幅を適正に設定することにより、データフレームの過度な破棄の抑制と、セキュリティリスクの低減とを両立することができる。

【0053】

また、本実施形態に係る車載ネットワークシステム２によれば、送信先ＥＣＵ４ｂは、新たに受信したデータフレームのカウンタ値が、カウンタ値管理情報４１３に登録されているカウンタ値の最大値よりも大きい場合に、新たに受信したデータフレームのカウンタ値がカウンタ値管理情報４１３内で最大値となるように、所定の数値幅のカウンタ値情報４１３ａを更新する。このように、カウンタ値管理情報４１３は、データフレームの受信状況に応じて適宜更新されるので、データフレームの過度な破棄を抑制しながら、セキュリティリスクを低減することができる。

【0054】

また、本実施形態に係る車載ネットワークシステム２によれば、カウンタ値管理情報４１３には、受信済み又は未受信のデータフレームのカウンタ値が登録されており、カウンタ値検証部４７は、受信したデータフレームのカウンタ値が受信済みであるか否かに応じて、受信したデータフレームの正当性を検証する。これにより、受信済みのデータフレームに偽装して送信された不正なデータフレームを検出して破棄し、車載ネットワークシステム２に対するリプレイ攻撃等を防ぐことが可能である。

【0055】

また、本実施形態に係る車載ネットワークシステム２によれば、送信先ＥＣＵ４ｂは、未受信のデータフレームを受信すると、未受信のデータフレームのカウンタ値に基づいて、カウンタ値管理情報４１３の受信フラグ４１３ｂを受信済みに更新する。このように、カウンタ値管理情報４１３は、データフレームの受信状況に応じて適宜更新されるので、データフレームの過度な破棄を抑制しながら、セキュリティリスクを低減することができる。

【0056】

なお、上記の実施形態では、データフレームの送信後にカウンタ４３で送信回数をカウントする手順について説明したが、先にカウンタ４３で送信回数をカウントし、このカウント後のカウンタ値を利用してＭＡＣを生成し、生成したＭＡＣを含むデータフレームを送信するようにしてもよい。これによれば、実際の送信回数のカウンタ値をデータフレームの検証に利用することができる。

【0057】

また、上記の実施形態では、カウンタ値管理情報４１３に、所定の数値幅のカウンタ値（カウンタ値情報４１３ａ）と、受信済み又は未受信のデータフレームのカウンタ値（受信フラグ４１３ｂ）とが登録されている例について説明したが、いずれか一方のみが登録されたカウンタ値管理情報４１３を用いて、データフレームの正当性を検証してもよい。上述したように、所定の数値幅のカウンタ値と、受信済み又は未受信のデータフレームのカウンタ値とのいずれか一方を用いた場合でも、データフレームの正当性を検証することは可能である。

【0058】

また、上記の実施形態では、カウンタ値管理情報４１３のカウンタ値情報４１３ａの所定の数値幅を「６４」等の固定値としているが、例えば、データフレームの送信頻度等に基づいて、カウンタ値情報４１３ａの数値幅を適宜増減するように制御してもよい。これにより、データフレームの送信頻度が変化した場合でも、データフレームの過度な破棄を抑制しながら、セキュリティリスクを低減することができる。例えば、図８に示す例では、ＭＡＣ３において通信が途絶している状態と判断される通信途絶時間Ｔ１を上限として、カウンタ値管理情報４１３Ａ、４１３Ｂのように、カウンタ値情報４１３ａの数値幅を増減している。カウンタ値情報４１３ａの数値幅の上限を通信途絶時間Ｔ１とするのは、ＭＡＣ３において、データフレームの通信が遅滞する最大時間が通信途絶時間Ｔ１であり、それ以上のカウンタ値情報４１３ａを保持しても無駄になるからである。なお、通信途絶時間Ｔ１が、例えば１秒であり、データフレームが送信される最短周期が、例えば１０ｍｓである場合には、カウンタ値情報４１３ａの最大の数値幅は「１００」である。

【0059】

また、図９に示すように、ゲートウェイ７において、データフレームをバッファするバッファメモリの記憶容量Ｃ１を上限として、カウンタ値管理情報４１３Ｃ、４１３Ｄのように、カウンタ値情報４１３ａの数値幅を増減してもよい。ゲートウェイ７のバッファメモリの記憶容量Ｃ１を上限とすることにより、ゲートウェイ７でバッファされている全てのデータフレームの正当性をカウンタ値に基づいて検証することができる。なお、記憶部４１において、カウンタ値管理情報４１３の記憶に割り当てられている記憶容量を上限として、カウンタ値情報４１３ａの数値幅を増減してもよい。

【0060】

また、図１０に示すように、データフレームに格納されているデータの種類毎、すなわち、ＣＡＮ ＩＤ毎にカウンタ値管理情報４１３Ｅ、４１３Ｆ、４１３Ｇ等を設けてもよい。これにより、データフレームの種類毎にデータフレームの過度な破棄を抑制しながら、セキュリティリスクを低減することができる。この場合、ＣＡＮ ＩＤ毎の送信頻度に基づいて、カウンタ値管理情報４１３Ｅ、４１３Ｆ、４１３Ｇのカウンタ値情報４１３ａの数値幅を増減してもよい。図１０に示す例では、送信頻度が低いＣＡＮ ＩＤ「１０５」のデータフレームの検証に用いられるＩＤ１０５用カウンタ値管理情報４１３Ｅは、送信頻度が高いＣＡＮ ＩＤ「４０９」のデータフレームの検証に用いられるＩＤ４０９用カウンタ値管理情報３４１Ｇよりも、カウンタ値情報４１３ａの数値幅が広くなるように設定されている。これにより、送信頻度が少なく重要なＣＡＮ ＩＤ「１０５」のデータフレームを優先して確実に検証することができる。

【0061】

以上で説明したように、本実施形態に係る車載ネットワークシステム２によれば、送信先ＥＣＵ４ｂは、カウンタ値管理情報４１３に登録されているカウンタ値情報４１３ａの数値幅を制御する。これにより、データフレームの送信頻度等が変化した場合でも、データフレームの過度な破棄を抑制しながら、セキュリティリスクを低減することができる。

【0062】

また、本実施形態に係る車載ネットワークシステム２によれば、送信先ＥＣＵ４ｂは、ＣＡＮ３における通信が途絶されていると判断される所定の通信途絶時間Ｔ１を上限として、カウンタ値管理情報４１３Ａ，４１３Ｂのように、登録されているカウンタ値情報４１３ａの数値幅を制御する。これにより、ＣＡＮ３の通信途絶によって通信が遅滞したデータフレームを確実に検証するとともに、データフレームの過度な破棄を抑制しながら、セキュリティリスクを低減することができる。

【0063】

また、本実施形態に係る車載ネットワークシステム２によれば、送信先ＥＣＵ４ｂは、カウンタ値管理情報４１３を記憶する記憶部４１の記憶容量、又はゲートウェイ７にてデータフレームをバッファするバッファメモリの記憶容量Ｃ１を上限として、カウンタ値管理情報４１３Ｃ、４１３Ｄのように、登録されているカウンタ値情報４１３ａの数値幅を制御する。これにより、ゲートウェイ７でバッファされている全てのデータフレームの正当性をカウンタ値に基づいて検証するとともに、データフレームの過度な破棄を抑制しながら、セキュリティリスクを低減することができる。

【0064】

また、本実施形態に係る車載ネットワークシステム２によれば、データフレームの種類毎、すなわち、ＣＡＮ ＩＤ毎にカウンタ値管理情報４１３Ｅ～４１３Ｇが設けられている。これにより、データフレームの種類毎に、データフレームの過度な破棄を抑制しながら、セキュリティリスクを低減することができる。

【0065】

また、本実施形態に係る車載ネットワークシステム２によれば、データフレームの種類別の送信頻度に基づいて、データフレームの種類毎に設けられているカウンタ値管理情報４１３Ｅ～４１３Ｇのカウンタ値情報４１３ａの数値幅を制御する。これにより、データフレームの種類毎の送信頻度に基づいて、データフレームの過度な破棄を抑制しながら、セキュリティリスクを低減することができる。

【0066】

また、本実施形態に係る車載ネットワークシステム２によれば、送信頻度が低い種類のデータフレームのカウンタ値管理情報４１３Ａは、送信頻度が高い種類のデータフレームのカウンタ値管理情報４１３Ｃよりも、カウンタ値情報４１３ａの数値幅が広くなるように制御する。これにより、送信頻度が少なく重要なデータフレームを優先して確実に検証するとともに、データフレームの過度な破棄を抑制しながら、セキュリティリスクを低減することができる。

【符号の説明】

【0067】

１…車両
２…車載ネットワークシステム
３…ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）
３ａ～３ｆ…バス
４、４ａ～４ｅ…ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）
４１…記憶部
４１１…カウンタ値
４１２…共通鍵
４１３…カウンタ値管理情報
４１３ａ…カウンタ値情報
４１３ｂ…受信フラグ
４２…通信部
４３…カウンタ
４４…データ取得部
４５…フレーム生成部
４６…ＭＡＣ検証部
４７…カウンタ値検証部
４８…車載機器制御部
４９…管理情報更新部

【図1】

【図2】

【図3】

【図4】

【図5A】

【図5B】

【図6A】

【図6B】

【図7】

【図8】

【図9】

【図10】