特許 7528402 サイバー攻撃から車両を保護するための方法及び対応する装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-07-29

(45)【発行日】2024-08-06

(54)【発明の名称】サイバー攻撃から車両を保護するための方法及び対応する装置

(51)【国際特許分類】

   H04L 12/40 20060101AFI20240730BHJP

   H04L 12/22 20060101ALI20240730BHJP

【ＦＩ】

H04L12/40 Z

H04L12/22

【請求項の数】 12

【外国語出願】

(21)【出願番号】P 2019221395

(22)【出願日】2019-12-06

(65)【公開番号】P2020109953

(43)【公開日】2020-07-16

【審査請求日】2022-11-07

(31)【優先権主張番号】102018000021550

(32)【優先日】2018-12-31

(33)【優先権主張国・地域又は機関】IT

(73)【特許権者】

【識別番号】519437087

【氏名又は名称】マレリ ヨーロッパ エス．ピー．エー．

(73)【特許権者】

【識別番号】519437098

【氏名又は名称】ウニベルシタ ディ ピサ

(74)【代理人】

【識別番号】110000877

【氏名又は名称】弁理士法人ＲＹＵＫＡ国際特許事務所

(72)【発明者】

【氏名】ロザディニ クリスチャン

(72)【発明者】

【氏名】ネスシー ウォルター

(72)【発明者】

【氏名】バルダンジ ルカ

(72)【発明者】

【氏名】クロセッティ ルカ

(72)【発明者】

【氏名】ファヌッチ ルカ

【審査官】羽岡 さやか

(56)【参考文献】

【文献】特開２０１５－１３６１０７（ＪＰ，Ａ）

【文献】特表２０１６－５２２６１６（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ １２／００－６９／４０

(57)【特許請求の範囲】

【請求項1】

コントローラエリアネットワーク（ＣＡＮ）バスと、信号交換関係で前記ＣＡＮバスに関連し、かつ、車両機能を制御するユニットに少なくとも部分的に関連する複数のノードとを含む、車両ＣＡＮ通信ネットワークをサイバー攻撃から保護する方法であって、前記方法は、
不正なＣＡＮメッセージを識別すべく、前記複数のノードのうちのノード間で伝送中のＣＡＮメッセージの内容を分析する工程と、
前記不正なメッセージをブロックする工程と
を備え、
前記ブロックする工程は、破損したメッセージを取得すべく、前記ノードのＣＡＮコントローラによってエラーと認識される破損ビットシーケンスを挿入することによって、前記ＣＡＮコントローラによって実行されるインテグリティチェックに対して前記不正なメッセージを無効にすることを有し、
前記方法は、前記不正なＣＡＮメッセージのインテグリティチェックフィールドにおいて、前記破損ビットシーケンスを挿入するビット時間を計算する工程を備え、
前記不正なメッセージのセパレーターフィールドが、前記破損ビットシーケンスを含む前記不正なメッセージを受信する前記車両ＣＡＮ通信ネットワークのノードによって生成される、エラーメッセージの対応するセパレーターフィールドと時間的に整合するように、前記破損ビットシーケンスが、前記ビット時間で前記不正なＣＡＮメッセージの前記インテグリティチェックフィールドに挿入される
方法。

【請求項2】

‐伝送の間、伝送中の前記メッセージの情報内容を抽出する工程と、
‐ファイアウォールルールのセットに基づいて、前記情報内容を分析する工程と、
‐破損したメッセージを取得すべく、前記情報内容の前記分析によって、不正なメッセージであると分析された前記メッセージを識別する場合に、前記メッセージを無効にする工程と
を備える、請求項１に記載の方法。

【請求項3】

少なくとも、全ての前記不正なＣＡＮメッセージだけを選択的にブロックするモードに従って、又は全ての前記ＣＡＮメッセージを完全にブロックするモードに従って、前記不正なメッセージを無効にする前記工程を適用するかどうかの選択が行われる、請求項２に記載の方法。

【請求項4】

前記不正なメッセージを無効にする前記工程は、
前記不正なメッセージを伝送するＣＡＮノードに、任意の変更をすることなく複製された前記不正なＣＡＮメッセージを送信する、あるいは、前記不正なメッセージを伝送する前記車両ＣＡＮ通信ネットワークについては複製の任意のアクションを採用しない段階と、
前記ＣＡＮノード又は前記車両ＣＡＮ通信ネットワークのそれぞれによって前記不正なメッセージを伝送する場合に前記ＣＡＮバスあるいは前記ＣＡＮノードをエミュレートし、１つの受信ノード又は複数の受信ノードよる前記不正なメッセージの誤りのない受信を通知し、前記不正なメッセージを伝送する前記ＣＡＮノード又は前記車両ＣＡＮ通信ネットワークについては、前記不正なメッセージに関連するエラーメッセージを同時にブロックする段階と
によって、前記不正なＣＡＮメッセージを伝送する前記ＣＡＮノード又は前記車両ＣＡＮ通信ネットワークから、破損ビットシーケンスを挿入する前記工程を隠す工程を有する、
請求項１から３のいずれか一項に記載の方法。

【請求項5】

前記ファイアウォールルールのセットは、
‐所与の車両条件に適用される、許可されたメッセージのホワイトリスト、
‐許可された診断サービスのホワイトリスト、
‐所与の車両条件に適用される、許可されていない診断サービスのブラックリスト、
‐前記完全にブロックするモードをアクティブにするための前記ホワイトリスト及び前記ブラックリストの侵害の数の閾値、
‐前記完全にブロックするモードをアクティブにするための前記ＣＡＮバスの占有の閾値、及び
‐前記診断サービスの前記ブラックリスト及び前記許可されたメッセージに対する前記ホワイトリストを評価するのに用いられる車両条件を示す、前記車両条件の検出に関する情報
のリスト及びパラメータのうちの１又は複数を含む、請求項３に記載の方法。

【請求項6】

‐メッセージ識別子を抽出し、前記車両条件に対するホワイトリストの対応するフィールドと前記メッセージ識別子を比較する工程と、
‐前記ホワイトリストの対応するフィールドと比較されるメッセージ長を抽出する工程と、
‐同一のメッセージの最後の受信から経過した時間を測定し、タイミング閾値と前記時間を比較する工程と、
ａ）前記メッセージが診断タイプである場合に、前記メッセージが前記診断サービスのホワイトリストに存在しているかどうかをチェックする工程と、
ｂ）前記メッセージが診断タイプである場合に、前記診断サービスを示す値を抽出し、前記値が前記車両条件に対する前記診断サービスのブラックリストに存在しているかどうかをチェックする工程と、
‐バス占有の値を更新し、バス占有閾値と前記バス占有の値を比較する工程
の１又は複数を含む、前記ＣＡＮメッセージの前記情報内容を分析する工程を備える、請求項５に記載の方法。

【請求項7】

前記破損ビットシーケンスの最初のビットの直前の最後のビットは、前記破損ビットシーケンスの前記最初のビットの極性と反対の極性を有する、請求項１から６のいずれか一項に記載の方法。

【請求項8】

前記インテグリティチェックフィールドは、ＣＲＣフィールドである、請求項１から７のいずれか一項に記載の方法。

【請求項9】

コントローラエリアネットワーク（ＣＡＮ）バスと、信号交換関係で前記ＣＡＮバスに関連し、かつ、車両機能を制御するユニットに少なくとも部分的に関連する複数のノードとを含む、車両ＣＡＮ通信ネットワークでサイバー攻撃から保護する装置であって、前記装置は、請求項１から８のいずれか一項に記載の方法に従って動作するよう構成される、装置。

【請求項10】

ＣＡＮメッセージの前記内容を分析し、前記ノードのＣＡＮコントローラによって実行されるインテグリティチェックに対して不正なメッセージを無効にする前記工程を少なくとも実行するよう構成されるファイアウォールモジュールと、
ファイアウォールのルールのセットを格納する格納モジュールと
を備える、請求項９に記載の装置。

【請求項11】

前記装置は、ＣＡＮノードのＣＡＮコントローラとＣＡＮ送受信機の間に配置される、請求項９又は１０に記載の装置。

【請求項12】

前記装置は、ゲートウェイと合併して２つのＣＡＮネットワークの間に配置される、請求項９又は１０に記載の装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、コントローラエリアネットワーク（ＣＡＮ）バスと、信号交換関係でＣＡＮバスに関連し、車両機能を制御するユニットに少なくとも部分的に関連する複数のノードを含む車両ＣＡＮ通信ネットワークをサイバー攻撃から保護する技術に関する。上記の技術は、不正なＣＡＮメッセージを識別すべく、複数のノードのうちのノード間で伝送中のＣＡＮメッセージの内容を分析する工程と、不正なメッセージをブロックする工程とを備える。ブロックする工程は、破損したメッセージを取得すべく、ＣＡＮコントローラによってエラーと認識される破損ビットシーケンスを挿入することによって、特に、元のビットシーケンスの一部を破損シーケンスと交換することによって、ノードのＣＡＮコントローラによって実行されるインテグリティチェックに対して不正なメッセージを無効にすることを有する。

【0002】

自動車における通信バスとして採用されるＣＡＮバスは、シリアルでマルチマスタであるタイプの通信手段である。バスに接続されて「ノード」とも称されるそれぞれのマスタは、メッセージを送受信し、複数の伝送ノードよる同時アクセスに起因するあらゆる衝突を解決することができる。

【0003】

図１Ａに示されるように、ＣＡＮバス１０で通信することができるノード１１は、概して、
‐伝送ラインＴＴ及び受信ラインＴＲを介してＣＡＮバス１０に関連し、ＣＡＮバス（ＯＳＩモデルの物理層）の適切な電気レベルを管理するよう構成されるＣＡＮ送受信機１２と、
‐それぞれの伝送ラインＣＴ及び受信ラインＣＲを介してＣＡＮ送受信機１２に接続され、ＣＡＮバス１０（ＯＳＩモデルのデータリンク層）のロジックレベル及びシリアライゼーションを管理するよう構成されるＣＡＮコントローラ１３と、
‐メッセージの送受信に関するロジック（データリンク層の上位のＯＳＩ層の管理）を含むマイクロコントローラ１４と
を備える。

【0004】

図１Ａは、ＣＡＮコントローラ１３及びマイクロコントローラ１４が全く同一のシステムオンチップ１５に配置されるが、ＣＡＮ送受信機が別個のチップ上にあることを想定する実装の可能な解決策のうちの１つを示す。

【0005】

図１Ａに示されるように、ＣＡＮコントローラ１３とＣＡＮ送受信機１２との間のサイバー攻撃から保護する装置１６を組み込むことは、既知である。保護装置１６は、不正な又は悪意のあるメッセージを識別して、ＣＡＮコントローラ１３とＣＡＮ送受信機１２との間で伝送中のメッセージを処理、特に分析し、図２、３、４及び５に記載される異なる使用状況で、ＣＡＮバス上のこれらの悪意のあるメッセージの注入をブロックする工程を実行する。

【0006】

特に、図１Ｂでは、保護装置１６は、ＣＡＮコントローラ１３から保護装置１６に向かう伝送ラインＣＴ上のＣＡＮメッセージを受信し、上記のブロックする工程によってＣＡＮメッセージを分析してフィルタにかけて、その結果、保護装置１６とＣＡＮ送受信機１２との間のラインは、保護装置１６によって処理されたＣＡＮメッセージが移動する、フィルタにかけられた伝送ラインＤＴである。反対方向において、送受信機１２からのＣＡＮメッセージは、これらのモジュールを接続する受信ラインＣＲ上の保護装置に達し、保護装置１６で処理されて、保護装置１６によってフィルタにかけられた受信ラインＤＲ上のＣＡＮコントローラ１３に伝送される。

【0007】

特に、図２は、例えば、電子制御ユニット（ＥＣＵ）のような車両制御ユニット、例えば、エンジン制御ユニット、並びに、照明、空調、伝送、ＡＢＳ、サスペンション、及び他の車両サービス専用の他のプロセッサモジュールのための制御ユニットを表す、複数のノード１１_１、…、１１_ｎを備える車両ネットワーク２０が与えられる場合を示す。この複数のノード１１_１、…、１１_ｎにおいて、ノード１１_１は、保護されたノード、すなわち、保護装置１６を備えているノードであり、図で表されているのは、保護されたノード１１_１は悪意があり、車両ネットワーク２０に悪意のある、すなわち、不正なＣＡＮメッセージ又はＣＡＮフレームＭＦを注入する場合である。この使用例は、例えば、インフォテインメント／テレマティックスユニットに対応するノードに起こり得るような、マイクロコントローラ１４が、無線チャネルのような他の通信チャネルによって侵害された一例である。この場合において、保護装置１６の存在によって、これらのメッセージＭＦが車両ネットワーク２０、すなわち、他の保護されていないノード１１_２、…、１１_ｎに達することを阻止する。

【0008】

図３は、車両ネットワーク２０によって、すなわち、保護装置が提供されていないノード、すなわち、保護されていないノード１１_２、…、１１_ｎのうちの１つ、特に、ノード１１_２によって、悪意のあるＣＡＮメッセージＭＦが注入された場合を示す。図３は、車両ネットワーク２０のいずれかのノードが侵害された場合を表す。この場合、保護装置１６の存在によって、保護装置１６自身が設置されるそれぞれの保護されたＣＡＮノード１１_１に関係しないメッセージが、マイクロコントローラ１４によって処理されることを阻止する。

【0009】

図４は、保護装置１６がＣＡＮゲートウェイ１８と共に用いられる場合を示す。この構成は、概して保護されていないそれぞれノード１１Ａ_１、…、１１Ａ_ｎ及びノード１１Ｂ_１、…、１１Ｂ_ｎを有する、２つの区別できるＣＡＮネットワーク２０Ａ及び２０Ｂを分離し、１つのネットワークと他のネットワークとの間で伝送中のＣＡＮフレームをフィルタにかけることを保証することを可能にする。図４の特定の場合において、保護装置１６は、ネットワーク２０Ａによって伝送される不正なメッセージＭＦをブロックし、ネットワーク２０Ｂにそれらが拡散することを阻止する。保護装置１６はまた、ネットワーク２０Ｂのノードによって、ゲートウェイ１８を介してネットワーク２０Ａに伝送される不正なＣＡＮメッセージＭＦをブロックできることが、明らかである。

【0010】

米国特許出願公報第２０１５／１９１１３６号は、自動車ＣＡＮバス上で動作する保護装置を記載し、これは、パラメータが不正なメッセージの基準を満たす、伝送中のメッセージをブロックすることを想定する。ブロックは、ＣＡＮコントローラによって実行される有効性チェックに対して不正なメッセージを無効にすることによって、すなわち、ＣＡＮコントローラによってエラーと認識されたビットのシーケンス、すなわち、スタッフィングビットを挿入することによって、特に、ＣＡＮプロトコルによって想定されるビットスタッフィングルールに関連しないシーケンスを用いてスタッフィングエラーを挿入するによって、ＣＡＮ送受信機とＣＡＮコントローラとの間の不正なメッセージの伝送の間、不正なメッセージを破損することによって実行され、従って、これらの不正なメッセージをＣＡＮコントローラに無視させて、ＣＡＮネットワークに不正なメッセージを伝播しない。しかしながら、複数のスタッフィングビットを処理することによって、（バスに送信される）破損したメッセージと、破損したメッセージを受信するＣＡＮノードによって生成されるフレームエラーメッセージとの間に一時的な不整合を起こす場合がある。

【0011】

本発明の目的は、不正なメッセージを無効にし、同時に適切な整合を確実にすることを可能にする監視方法を提供することである。

【0012】

本発明に従って、上記の目的は、以降の特許請求の範囲で詳細に想起される特性を示す保護方法及び対応する保護装置のおかげで実現される。

【図面の簡単な説明】

【0013】

本発明は、非限定の例として単に提供される添付の図面に関連して記載される。

【図1A】これまでにすでに記載されている。

【図1B】これまでにすでに記載されている。

【図2】これまでにすでに記載されている。

【図3】これまでにすでに記載されている。

【図4】これまでにすでに記載されている。

【図5】本明細書で記載される方法を実装する保護装置の原理ブロック図を示す。

【図6】保護装置によって処理されるＣＡＮメッセージを概略的に表す図である。

【図7A】本明細書で方法の３つの動作段階で記載される保護装置の概略図である。

【図7B】本明細書で方法の３つの動作段階で記載される保護装置の概略図である。

【図7C】本明細書で方法の３つの動作段階で記載される保護装置の概略図である。

【図8】本明細書で記載される方法の工程を示すフローチャートである。

【発明を実施するための形態】

【0014】

図５は、本発明による保護装置２６の原理ブロック図を示す。この保護装置２６は、例えば、図３のノード１１_１の構成のように、ＣＡＮネットワーク１０の保護されたノード内のＣＡＮコントローラ１３とＣＡＮ送受信機１２との間に配置されるものとして表される。本明細書で記載される解決策は、適用されるＣＡＮのバージョン（ＣＡＮ２．０又はＣＡＮ－ＦＤ）に関係なく、説明を簡単にするために、ＣＡＮ２．０バージョンに対応するシナリオだけが記載される。

【0015】

保護装置２６は、概して、受信ラインＣＲ及び伝送ラインＣＴに送信されたＣＡＮメッセージＭのシーケンスを受信し、フィルタにかけられた受信ラインＤＲ及びフィルタにかけられた伝送ラインＤＲにフィルタにかけられたＣＡＮメッセージのシーケンスを送信するファイアウォールモジュール２６１を含む。前述のように、メッセージＭは、不正なメッセージＭＦであり得る。以下においてさらに詳細に記載されるように、フィルタにかけられたシーケンスは、ＣＡＮメッセージＭ自身を含んでよく、不正なメッセージＭＦから取得された破損したメッセージＭＦ'を含んでよく、あるいは、正当なメッセージＭ及び不正なメッセージＭＦの両方を破損すること（以下において記載されるモードＢ２）によって完全にブロックすることを適用してよい。

【0016】

従って、上記のファイアウォールモジュール２６１は、
‐伝送ラインＣＴ又は受信ラインＣＲの伝送中にＣＡＮメッセージＭの情報内容を抽出し、
‐上記の情報内容を分析し、これは、例えば、伝送中ＣＡＮメッセージＭのフィールドの値を、ルールのデータベースを表し、ファイアウォールモジュール２６１が、少なくとも読み出すためのアクセスを有するルール格納モジュール２６２に格納されたファイアウォールルールＲのセットと比較することを含み、
‐その内容に基づいて、不正なＣＡＮメッセージＭＦであるとして識別される場合に、伝送中のＣＡＮメッセージＭを無効にし、これは、不正なメッセージＭＦがＣＡＮバスでまだ伝送中であるが、分析されたメッセージＭが不正なメッセージＭＦであると識別された場合に、ブロックモード、例えば、以下でより詳細に記載されるＢ１及びＢ２に従って、保護装置２６によって伝送の間にこれらを破損することを実行することによって取得される、
よう構成される。

【0017】

前述のように、保護装置２６は、不正なメッセージＭＦを識別すべく、ファイアウォール２６１によって、分析された、すなわち、伝送中のＣＡＮメッセージに適用されるルールＲを含むデータベースである、ルールのデータベース２６２をさらに含む。伝送ラインＣＴ及び受信ラインＣＲから到達する伝送中のＣＡＮメッセージＭは、ルールデータベース２６２におけるルールＲの全く同一のセットに従ってよく、あるいは、ルールデータベース２６２は、受信ＣＲ及び伝送ＣＴに独立に適用されるルールの２つのセットを含んでよい。

【0018】

保護装置２６は、工程格納モジュール２６３、すなわち、ＣＡＮバス１０の保護装置２６によって実行される工程Ｂのログを格納するための専用メモリ領域をさらに含む。保護装置２６は、上記のモジュール２６３にアクセスして、ＣＡＮバス１０の保護装置によって実行される工程Ｂを書き込む。ログＢは、図５に示されるように、読み出すために工程格納モジュール２６３にアクセスできる構成インタフェース２６４を用いて、閲覧され得る（伝送ラインＣＴ上の破損した不正なフレームＭＦの数、受信ラインＣＲ上の破損した不正なフレームの数等のような）ファイアウォール２６１のアクティビティの統計値を含む。

【0019】

前述のように、保護装置２６は、次に、ファイアウォール２６１によって適用され、モジュール２６２に格納されるフィルタルールＲを画定するための構成インタフェース２６４を含む。特に、この構成インタフェースは、（図に示されていない）外部の通信インタフェースから保護装置２６のフィルタ設定、すなわち、ルールＲを受信し得る。この構成インタフェース２６４は、例えば、ファイアウォールによってフィルタにかけるためのルールＲのセットが書き込まれるルールデータベース２６２、及び、前述のように、例えば、ファイアウォール２６１の工程ログにおけるデータを読み出すための工程格納モジュール２６３とデータ交換関係である。

【0020】

構成インタフェース２６４に関連するのは、例えば、デジタル署名及びデータ暗号化メカニズムによって、外部の通信インタフェースから受信されたフィルタ設定の信頼性をチェックするよう構成される認証モジュール２６５である。

【0021】

保護装置２６は、概して、悪意のある、無関連なＣＡＮメッセージをブロックして、正当なデータだけを通過させるフィルタを実装するよう構成される。

【0022】

正当なメッセージと不正なメッセージとの間の区別は、保護装置２６の使用目的に基づいて構成されてよく、以下の特有のパラメータＣを通じて画定されてよい。
Ｃ１：ＣＡＮメッセージ識別子
Ｃ２：ＣＡＮメッセージ長
Ｃ３：伝送時間、例えば、周期的なメッセージの場合における周波数
Ｃ４：メッセージ内容、このパラメータは、診断タイプのメッセージにのみ用いられる
Ｃ５：車両状態、このパラメータは、診断タイプのメッセージにのみ用いられる
Ｃ６：単位時間あたりのバスの使用のパーセンテージ

【0023】

保護装置２６は、概して、非診断メッセージ及び診断メッセージにルールＲのセットを適用し、伝送中のフレームが診断タイプであると認識された場合に、この設定にさらなる特定のフィルタルールを適用するよう構成される。

【0024】

保護装置２６は、特に、ファイアウォールモジュール２６１によって、全ての不正なＣＡＮメッセージＭＦだけがブロックされる、選択的なブロックモードＢ１、並びに全てのＣＡＮメッセージ、正当なメッセージＭ及び不正なメッセージＭＦの両方がブロックされる、完全なブロックモードＢ２の２つのメッセージのブロックモードのうちの１つを実装するようさらに構成される。

【0025】

完全なブロックモードＢ２は、完全なブロックモードＢ２が有効にされる又は無効にされる第１の使用モードＢＣ１、並びに、完全なブロックモードＢ２が有効にされる場合、ブロックモードがアクティブのままである間の時間だけでなく、完全なブロックモードＢ２がアクティブにされなければならないことに達するとすぐに、特定された侵害のタイプごとに、保護装置２６で侵害のタイプと、侵害の数とを画定することが可能であり、従って、第２の使用モードＢ２において、１又は複数の非アクティブなパラメータが、侵害のタイプと、侵害の数と、非アクティブな時間とを備えるリストで画定される第２の使用モードＢＣ２で設定可能である。

【0026】

完全なブロックモードＢ２は、任意の期間にＣＡＮバス１０からｉ番目のノード１１_ｉ又はネットワーク（例えば、図４における２０Ｂ）の仮想切断を可能にし、これは、構成に基づいて、実質的に無限でさえあり得、従って、ノード１１_ｉ又はネットワークを完全に分離し、あるいは、設定された期間が経過した後、ノード１１_ｉの通信能力を回復する。

【0027】

保護装置２６が不正なＣＡＮメッセージをブロックするメカニズムは、ゼロ遅延モードを実装する。これは、実際には保護装置２６であるような、追加のフィルタ要素によって導入される伝播遅延が最小化される全ての適用で保護装置２６の有利な使用を与える。

【0028】

前述のように、保護装置２６によって実装されるゼロ遅延メッセージフィルタモードは、受信ノードが、ＣＡＮコントローラ１３のデジタルレベル、すなわち、データリンク層で上記の不正なメッセージＭＦをすでに無視するような方法で、ＣＡＮバス上の伝送の間に不正なＣＡＮメッセージＭＦを無効にする、すなわち、不正なＣＡＮメッセージＭＦを破損することによって、ＣＡＮバスにすでに存在するインテグリティチェックメカニズムを活用することを想定し、ここで、マイクロコントローラ１４に（及びＯＳＩスタックの上位層に）メッセージを伝播することなく、メッセージのインテグリティのチェックが実行される。その結果として、上記のゼロ遅延モードは、ゼロ分析時間の理想的な状態においても、フィルタ要素が、いずれの場合もメッセージを分析することができる前にメッセージが終了するのを待たなければならず、メッセージが正当であって再伝送されなければならない場合に、再びバス競合及び（分析後の）調停に参加しなければならず、従って、メッセージ自身を再伝送する継続時間に少なくとも等しい追加の遅延を導入する限りにおいて、フィルタ要素が、ゲートウェイの典型的な動作であるような、受信、分析、再伝送する１つのモードとは完全に異なる。さらに、これまでに分析されたメッセージを再伝送することができるためには、フィルタ要素がＣＡＮバス競合に勝つ必要があるので、この追加の遅延は、ＣＡＮプロトコルの特性のために、理論上無限である上限で著しく長くなる場合があり、これは、より高い優先度を有するメッセージが他のネットワークノードによって伝送される場合である。

【0029】

代わりに、保護装置２６によって実装されるゼロ遅延モードは、伝送中、すなわち伝送の間又は装置２６が設置されるノードによる受信の間にＣＡＮメッセージの検査を可能にし、従って、
‐伝送又は受信が終了する前であってもメッセージが不正である場合、メッセージを破損することによって迅速に作動し、
‐メッセージが正当である場合、メッセージを変更しないで通過させ、従って、伝播時間を損なわない
ことを可能にする。保護装置２６によって実装される第１の選択的なブロックモードＢ１あるいは第２の完全なブロックモードＢ２による、ＣＡＮフレームをゼロ遅延のフィルタにかける手順は、具体的には、ＣＡＮメッセージの伝播時間を変更しないで、不正なメッセージが成功裏に送信されたことを悪意のあるノードに想定させないような２つの工程を含む。

【0030】

第１の工程は、ＣＡＮメッセージ自身のビットのシーケンスを破損することによって、保護装置２６によって実行される、伝送中のメッセージをブロックする工程Ｆ１である。

【0031】

第２の工程は、保護装置２６によって妨害された不正なＣＡＮメッセージＭＦを伝送する悪意のあるＣＡＮモードから、悪意のあるＣＡＮモードによって伝送された不正なＣＡＮメッセージを破損することを隠す工程、及び、従って、結果として、他のＣＡＮノードのＣＡＮコントローラで実装されるインテグリティチェックによってＣＡＮメッセージをブロックする工程から成る工程Ｆ２である。

【0032】

破損することＦ１及び隠すことＦ２のそれぞれによる上記のブロックモードＢ１又はＢ２の結果として、保護装置２６及び装置２６によって実装された保護方法は、不正なメッセージＭＦにブロックする工程Ｆ１を適用する保護装置２６を含むノード及び不正なメッセージＭＦを注入するＣＡＮノード以外の１つの受信ＣＡＮノード／複数の受信ＣＡＮノード１１_１、…、１１_ｎによって、保護装置２６によって実行される工程Ｆ１によって破損された不正なＣＡＮメッセージの通過の終了と、上記の破損した不正なＣＡＮメッセージに応えて（すなわち、悪意のあるＣＡＮメッセージを破損すべく、保護装置２６によって悪意のあるＣＡＮメッセージに導入されたエラー条件の検出の結果として）送信されたエラーメッセージの伝送の終了との間の同時性を保証する。

【0033】

この同時性は、バス占有オーバーヘッドでＣＡＮバス１０のデータの一連の破損を引き起こし、最終的に通信の中断を引き起こすであろう送信されたメッセージの整合されていない重畳をトリガーすることを阻止するための基本的な側面を表す。

【0034】

破損することＦ１及び隠すことＦ２の工程によって保護装置に実装される保護方法は、ＣＡＮプロトコルのデータ及びエラータイプのメッセージの特定の構造を利用する。

【0035】

特に、データタイプのメッセージが、以下の表１でリストされる隣接ビットのセクションＳで構造化される。
［表１］

【表1】

【0036】

データタイプのメッセージのセクションＳの構造は、もちろんそれ自体がＣＡＮバス基準で既知である。

【0037】

エラータイプのメッセージは、アクティブタイプのメッセージ及びパッシブタイプのメッセージを含む。アクティブエラーについて、メッセージが以下の表２のように構造化される。
［表２］

【表2】

【0038】

代わりに、パッシブエラーについて、メッセージが以下の表３のように構造化される。
［表３］

【表3】

【0039】

図６で例として示されるのは、アクティブエラーを参照する場合である。ＭＦで表されるのが伝送される不正なＣＡＮメッセージであるが、ＭＦ'で表されるのがＣＡＮコントローラによって実装されたインテグリティチェックが破損を検出した後、受信ノードのうちの１つによって送信されたレスポンスエラータイプのＣＡＮメッセージである、エラーメッセージＥＭを最後に有する破損したメッセージである。

【0040】

さらにｂｔで表されるのがビット時間軸であり、ＮＶで表されるが保護装置２６によって不正なＣＡＮメッセージＭＦに書き込まれる信号である。Ｓ_ｉで表されるのが、保護装置によって生成された内部信号である。特に、信号Ｓ_ｉは、メッセージが伝送される場合における保護装置２６の信号ＤＴ、又は代替的にメッセージが受信される場合における保護装置２６の信号ＤＲである。

【0041】

保護装置２６によって破損されたデータタイプの不正なＣＡＮメッセージＭＦの伝送の終了と、受信ノード１１のうちの任意の１つによって発行されたレスポンスエラータイプの対応するメッセージＥＭの伝送の終了との間の同時性が保証されるべく、すなわち、不正なメッセージＭＦに対するインターミッション（ＩＴＭ）フィールド（フィールドＳ８）及び上記のメッセージのエラーメッセージＥＭに対するフィールドＳＥ３が整合されて重畳されるべく、正確な挿入ポイント、すなわち、不正なメッセージＭＦのビット時間ｂｔの特定の値でエラー条件を挿入する必要がある。特に、これは、破損したメッセージを取得すべく、元のビットのシーケンスの一部を破損シーケンスと交換することによって実行される。

【0042】

６個の連続したビット（ＮＶ）で構成される破損シーケンスが挿入される正確な挿入ポイントは、パケットのフォーマットによって及びＣＡＮプロトコルのルールによって一意に決定され、挿入ポイントの計算及び上記の破損シーケンスＮＶを構成するビットの極性の計算専用のロジックリソース／モジュールの使用を必要とする。

【0043】

特に、巡回冗長検査（ＣＲＣ）フィールド内の６個の連続したビットのシーケンスの開始ポイント及びそれを構成するビットの（ドミナント又はリセッシブ）極性を計算すべく、保護装置２６、特に、ファイアウォールモジュール２６１は、
‐ＣＲＣフィールド内に存在するスタッフィングビットの数を予測すべく、ＣＲＣフィールドＳ５の値を（ランタイムで）動的に計算し、
‐ＣＲＣフィールド、すなわち、メッセージＭ、ＭＦのフィールドＳ５に存在するスタッフィングビットの数を評価すべく、ＣＲＣに先行するビットも考慮に入れて前の段階で再構成されたＣＲＣフィールドの内容を分析する
よう設計又は構成される、１又は複数のロジックモジュール／要素が提供され、ＣＲＣフィールドは、データ依存である（従って、データもランタイムで異なる）ので、破損シーケンスを挿入する正確なポイントも、動的な態様で決定される。

【0044】

図６に関連して、破損シーケンスを挿入する正確なポイントは、インスタントｂｔ_ｊ－５であるが、受信ノードがスタッフエラー条件（ＳＰＥ）を検出するインスタントは、インスタントｂｔ_ｊである。破損シーケンスがこのビットの極性と反対の極性を有さなければならない、という事実を明確に示すべく、破損シーケンスの最初のビットの直前の最後のビットが、ｂｔ_ｊ－６で図に示される。

【0045】

この結果として、
‐複数の受信ノード、それぞれの受信ノード１１_ｉが、エラーフレームが任意の他の受信ノードによって送信されたエラータイプの任意の他のＣＡＮメッセージＥＭのエラーフレームに正確に重畳されるエラータイプのＣＡＮメッセージＥＭを伝送する場合、ＣＡＮノード１１は、エラーメッセージＥＭ（アクティブエラーが示される例である限りにおいて、フィールドＳＥ１、ＳＥ２、ＳＥ３、そうでなければ、パッシブエラーに対して、フィールドＳＰ１、ＳＰ２、ＳＰ３が用いられる）に対応する破損したメッセージＭＦを受信し、スタッフエラー条件ＳＰＥが発生するポイントでのビット時間ｂｔ_ｊの直後のビット時間ｂｔ_ｊ＋１から開始し、より具体的には、図６に示されるように、エラーメッセージＥＭが書き込まれるビット時間ｂｔ_ｊ＋１から開始する。
‐エラーメッセージ（又は重畳されたエラーメッセージ）の終了、すなわち、リセッシブビット、具体的には、メッセージ間のセパレーターとして、すなわち、インターミッションフィールドとして機能する３ビットのフィールドを含む、セクションＳＥ３ＩＴＭは、送信元の悪意のあるノードに変更しないで同時に再伝送される不正なメッセージＭＦの対応するＩＴＭフィールドＳ８と時間的に整合される。

【0046】

たとえＣＡＮメッセージのデータタイプのフレームのさまざまなフィールドの長さが同一であっても、ＣＡＮメッセージの長さは、スタッフィングビットを挿入することが可能であるため、上記のフィールドの内容に基づいて異なり得る。その結果として、保護装置２６が、それぞれのＣＡＮメッセージに対して、フレームＭＦが破損されなければならない場合に、同一の極性を有する６個の連続したビットのシーケンスＮＶを挿入する必要があるＣＲＣフィールドのポイントｂｔ_ｊ－５を動的に計算するよう構成される。保護装置２６は、それぞれＣＡＮメッセージに対して、フレームＭＦが破損されなければならない場合に、同一の極性を有する６個の連続したビットのシーケンスＮＶを挿入する必要があるＣＲＣフィールドのポイントｂｔ_ｊ－５及びビットｂｔ_ｊ－６の極性と反対でなければならない上記のシーケンスＮＶのビットの極性の両方を動的に計算するよう構成される。

【0047】

前述のように、保護装置２６によって実行される他の基本的な工程は、保護装置２６によって妨害された不正なＣＡＮメッセージを伝送する悪意のあるＣＡＮモードから、上記の不正なＣＡＮメッセージを破損することを隠す工程Ｆ２、及び、従って、結果として、他のＣＡＮノードのＣＡＮコントローラに実装されるインテグリティチェックによってこれらをブロックする工程である。

【0048】

保護装置２６が不正なフレームＭＦを破損する場合において、保護装置２６が破損、すなわち、不正なフレームＭＦのＣＲＣフィールドＳ５の挿入ポイントｂｔ_ｊ－５で挿入されて、ポイントｂｔ_ｊでスタッフエラー条件ＳＰＥを決定するシーケンスＮＶを隠さない場合、悪意のあるフレームＭＦを送信したＣＡＮノードは、このスタッフエラー条件ＳＰＥを検出し、結果として、悪意のあるフレームＭＦの伝送を中断し、（全ての他の受信ノードによって送信されたエラータイプの全ての他のフレームで整合されていない）エラータイプのフレームＥＭを伝送し、その後、同一の悪意のあるフレームを再伝送することを試みるであろう。

【0049】

伝送中のメッセージを破損するプロセスを隠す工程Ｆ２が、図７Ａ～図７Ｃに示されるように、処理される。ここで、表されているＣＡＮコントローラ要素１３及びＣＡＮ送受信機要素１２は、例えば、保護装置２６が設置された保護されたＣＡＮノード１１_１に属するものであり、保護されたＣＡＮノードは、悪意のあるメッセージＭＦを伝送する（これは、保護装置２６が設置されたＣＡＮノードが侵害された場合である）。特に、伝送ラインＣＴで伝送されたＣＡＮメッセージＭＦのそれぞれのビットも受信ラインＣＲで再び読み出されるので、保護装置２６は、以下において記載されるように、装置２６に到達した悪意のあるフレームＭＦが伝送ラインＣＴで識別された（図７Ａ参照）後、２つの段階で上記の悪意のあるフレームＭＦを破損する工程を実行するよう動作する。

【0050】

第１の段階において、図７Ｂに表されるように、ホスト側で、すなわち、悪意のあるノード（伝送ラインＣＴ及びフィルタにかけられた受信ラインＤＲ）に向かって、不正なＣＡＮメッセージＭＦが、フィルタにかけられた受信ラインＤＲでビットストリームを任意に変更することなく複製されるが、送受信機１２のＣＡＮバス側のダウンストリームで、すなわち、悪意のない受信ノード、すなわち、フィルタにかけられた伝送ラインＤＴ及びフィルタにかけられ受信ラインＣＲに向かって、不正なメッセージＭＦが、破損したメッセージＭＦ'を取得すべく、ビットストリーム自身を修正することによって、適切な態様で破損される。

【0051】

第２の段階において、（図７Ｃに表されるように）ホスト側で、すなわち、悪意のあるノードに向かって、保護装置２６は、ラインＤＲでの誤りのない受信のメッセージＯＲ（図７Ｃ）により、ネットワーク２０の他のノード１１_２、…、１１_ｎによるメッセージの適切な受信を通知することによって、特に、ビット時間ＡＣＫスロットの間、ドミナントビットを送信することによって、ＣＡＮバスをエミュレートし、同時に、ＣＡＮバス側で、保護装置２６は、破損したメッセージＭＦ'を受信したネットワークの他のノード１１によって、ＣＡＮプロトコルによって想定されたエラーフレームＥＭで、ラインＣＲで発行されるエラー警告をブロックする。

【0052】

伝送中のメッセージを破損するプロセスを隠す工程Ｆ２はまた、メッセージを受信する場合におけるＣＡＮプロトコルの特性に従って、上記で表されたもの、並びに図７Ａ、図７Ｂ及び図７Ｃに示されるものと類似する態様で、不正なメッセージ、すなわち、保護装置２６が設置される保護されたＣＡＮノード１１_１以外のＣＡＮノード１１_１によって伝送された１つのメッセージが受信される場合に適用する。特に、二重性によって、ラインＤＴで伝送されるべきである、悪意のあるノードに送信され、複製されるべきメッセージＭＦが、この場合において不要である、すなわち、複製のアクションが実行されないが、誤りのない受信のメッセージＯＲは、（今回は、ＣＡＮバス１０である）悪意のあるメッセージの誤りのない受信の証拠を提供するのに十分である。

【0053】

従って、ＣＡＮバス１０と、信号交換関係でＣＡＮバス１０に関連し、かつ、車両機能を制御するユニットに少なくとも部分的に関連する複数のノード１１とを含む車両ＣＡＮ通信ネットワーク２０においてサイバー攻撃から保護する方法は、不正なＣＡＮメッセージＭＦを識別すべく、複数のノード１１のうちのノード間で伝送中のＣＡＮメッセージＭの内容を分析する工程と、ブロックモードＢ１、Ｂ２によって、不正なメッセージＭＦをブロックする工程とを備え、ブロックモードＢ１、Ｂ２によって、ブロックする工程は、破損したメッセージＭＦ'を取得すべく、ノード１１のＣＡＮコントローラ１３によって実行されるインテグリティチェックに対して不正なメッセージＭＦを無効にすること、すなわち、ＣＡＮコントローラ１３によってエラーと認識される破損ビットシーケンスＮＶを挿入することＦ１によって、不正なメッセージＭＦを破損することを有し、具体的には、ビット時間ｂｔ_ｊ－５で不正なＣＡＮメッセージＭＦのインテグリティチェックフィールドＳ５、特にＣＲＣフィールドに破損ビットシーケンスＮＶを挿入することＦ１を想定し、破損ビットシーケンスの値は、不正なメッセージのセパレーターフィールド、すなわち、ＩＴＭ、特に、３個のリセッシブビットで構成されるインターミッションフィールドを、破損シーケンスＮＶを含む不正なメッセージＭＦを受信するネットワーク２０のノードによって生成される、エラーメッセージＥＭの対応するセパレーターフィールドと時間的に整合させるようなものである。破損したメッセージ又は不正なメッセージＭＦ'を取得すべく、上記の挿入する工程が、元のビットシーケンスの一部、特に、インテグリティチェックフィールドＳ５の一部を、破損ビットシーケンス、すなわち、ビットシーケンスＮＶ、特に、挿入ポイントｂｔ_ｊ－５のビットに先行する時間ｂｔ_ｊ－６のビットの極性と反対の極性を有するこのビットシーケンスＮＶと交換するによって実行されることを注意すべきである。

【0054】

記載される方法は、次に、
‐伝送の間、伝送中のメッセージＭの情報内容を抽出する工程と、
‐ファイアウォールルールＲのセットに基づいて、情報内容の分析を実行する工程と、
‐破損したメッセージＭＦ'を取得すべく、情報内容の分析によって、不正なメッセージＭＦであると分析されたメッセージＭを識別する場合に、メッセージＭを無効にする工程Ｆ１
を備える。記載される方法は、次に、少なくとも、全ての不正なＣＡＮメッセージＭＦだけを選択的にブロックするモードＢ１に従って、不正なメッセージＭＦを無効にする工程Ｆ１を適用するか、あるいは、ＣＡＮメッセージが正当なメッセージであろうと不正なメッセージＭＦであろうと全てのＣＡＮメッセージを完全にブロックするモードＢ２に従って、不正なメッセージＭＦを無効にする工程Ｆ１を適用するかどうかを選択することを備える。

【0055】

記載される方法は、次に、不正なメッセージＭＦを無効にする工程は、不正なメッセージＭＦを伝送するＣＡＮノード１１に、任意の変更をすることなく、特に、シーケンスＮＶなしで、複製された不正なＣＡＮメッセージＭＦを送信する、あるいは、不正なメッセージＭＦを伝送するＣＡＮネットワーク１０については複製のアクションを採用しない段階と、ＣＡＮノード１１又はＣＡＮバス１０のそれぞれによって不正なメッセージを伝送する場合にＣＡＮバス１０あるいはＣＡＮノード１１をエミュレートし、１つの受信ノード又は複数の受信ノードによる不正なメッセージＭＦの誤りのない受信を通知し、不正なメッセージを伝送するＣＡＮノード又はＣＡＮネットワークについては、不正なメッセージＭＦに関連エラーメッセージＥＭを同時にブロックする段階とによって、不正なＣＡＮメッセージＭＦを伝送するＣＡＮノード又はＣＡＮネットワークから、破損ビットＮＶを挿入する工程を隠す工程Ｆ２を有する可能性を想定する。

【0056】

上記の工程が、格納モジュール２６２に格納されるルールＲに基づいて、保護装置２６によって、特に、ファイアウォールモジュール２６１によって実装される。

【0057】

このため、保護装置２６は、変形した実施形態において、ＣＡＮノードのＣＡＮコントローラ１３とＣＡＮ送受信機１２との間に配置されてよく、従って、たとえそれ自体が悪意のあるノードである場合でも、ＣＡＮノードは保護されたノードである。

【0058】

保護装置２６は、さらに変形した実施形態において、ゲートウェイ１８と合併して、２つのＣＡＮネットワーク２０Ａ、２０Ｂの間に配置され得る。

【0059】

前述のように、保護装置２６は、構成インタフェース、すなわち、以下のリスト及びパラメータによって、ファイアウォールルールＲを画定することを可能するインタフェース２６４を有する。
‐（任意の方向における）許可されたメッセージが所与の車両条件に適用されるためのホワイトリスト、すなわち、承認又は許可された要素のリスト。このリストのそれぞれの項目は、以下のフィールドを含む。
ａ）識別子
ｂ）長さ
ｃ）伝送及び侵害閾値パラメータ
ｄ）メッセージのタイプ（診断／非診断）
‐許可された診断サービスのホワイトリスト（このリストは、診断タイプのメッセージにのみ適用可能である）
‐ブラックリスト、すなわち、許可されてない診断サービスの承認又は許可されていない要素のリスト（このリストは、所与の車両条件に適用される診断タイプのメッセージにのみ適用可能である）
‐完全にブロックするモードをアクティブにするための「ホワイト／ブラックリストの侵害の閾値」
‐完全にブロックするモードをアクティブにするための「バス占有閾値」、及び
‐「診断サービスのブラックリスト」及び許可されたメッセージの「ホワイトリスト」と共同で用いられる、どのような状態であるか（例えば、５ｋｍ／ｈより速い現在のスピード）を決定するための「車両条件の検出に関する情報」

【0060】

上述したパラメータ及びリストを用いて設定されたファイアウォールルールＲが、格納モジュール２６２のテーブルに格納され、新たなファイアウォールルールＲを加えることによって、あるいは既存のファイアウォールルールＲを上書き及び／又は除くことによって更新され得る。図５に示されるように、保護装置２６は、ファイアウォールのアクティビティに対応し、かつ、モジュール２６３にアクセスできる構成インタフェース２６４によって閲覧され得る全ての統計的な情報Ｂ（ラインＤＴの破損した不正なフレームの数、ラインＤＲの破損した不正なフレームの数等）を格納モジュール２６３に格納する。

【0061】

画定されて格納モジュール２６２に含まれるファイアウォールルールＲの適用が、データフレームタイプ又は遠隔フレームタイプのそれぞれのＣＡＮメッセージＭに対して実装される。フィルタにかけるプロセスの概略図が、図８に表される。

【0062】

図８のフローチャートによれば、保護装置２６によって実行される保護手順１００の例として提供される一実施形態が、記載される。

【0063】

手順の開始１０５後、段階１１０において、ファイアウォール２６１は、伝送中のＣＡＮメッセージＭの調停フィールドＳ２から、車両設定の条件に対する「ホワイトリスト」の対応するフィールドと比較されるメッセージ識別子（ＩＤ、１１／２９ビット）を抽出する。メッセージ識別子が存在する場合、次の段階１２０が実行され、そうでなければ、メッセージＭが不正なメッセージＭＦとみなされ、制御は段階１８０に移動する。

【0064】

段階１２０において、ファイアウォール２６１は、伝送中のＣＡＮメッセージＭの制御フィールドＳ３から、「ホワイトリスト」の対応するフィールドと比較されるメッセージ長（ＤＬＣ、４ビット）を抽出する。長さが正しい場合、次の段階１３０が実行され、そうでなければ、ＣＡＮメッセージＭが不正なメッセージＭＦとみなされ、制御は段階１８０に移動する。

【0065】

段階１３０において、同一のメッセージの最後の受信から経過した時間が、識別子に基づいて測定され、例えば、最大時間Ｔｍａｘと最小時間Ｔｍｉｎとの間の画定された時間間隔、すなわち、期間等によって、タイミングルールの侵害の順序とも関連する、構成されたタイミング閾値と比較される。同一のメッセージの最後の受信から経過した時間が、許可された間隔の範囲に入る、あるいは許可された間隔の範囲に入らないが、検出された侵害の数が所与の閾値（全てのこれらのパラメータが、時間間隔のパラメータのような、「ホワイトリスト」から抽出される）より低い場合、次の段階１３５が実行され、そうでなければ、ＣＡＮメッセージが不正なメッセージＭＦであるとみなされ、制御は段階１８０に移動する。

【0066】

段階１３５において、メッセージＭが診断タイプであることを検証すべく、チェックが行われる。メッセージＭが診断タイプでない場合、制御は、車両の状態が更新される段階１６０に移動する。メッセージＭが診断タイプである場合、段階１４０において、データフィールドから診断サービスの値が抽出され、モジュール２６２に格納された「診断サービスのホワイトリスト」にそれが存在するかどうかを検証すべく、チェックが行われる。存在する場合、次の段階１５０が実行され、そうでなければ、ＣＡＮメッセージＭが不正なメッセージＭＦであるとみなされ、制御は段階１８０に移動する。

【0067】

段階１５０において、データフィールドＳ４から診断サービスの値が抽出され、車両設定の条件に対する「診断サービスのブラックリスト」にそれが存在するかどうかを検証すべく、チェックが行われる（段階１６０を参照）。存在する場合、メッセージＭが不正なメッセージＭＦであるとみなされ、制御は段階１８０に移動し、そうでなければ、メッセージＭが正当なメッセージであるとみなされ、車両の状態を更新する次の段階１６０が実行される。

【0068】

段階１６０において、メッセージＭの調停フィールド及びデータフィールドと共同で「車両条件の検出に関する情報」を用いることによって、車両の条件を表す内部情報が更新される。具体的に、段階１６０において、車両の状態の更新を実行することが必要であるかどうかを検証すべく、チェックが行われる。車両の状態が更新されるべきであるかどうかを評価するための識別因子が、ルールＲのセットに含まれる。チェックは、伝送中のフレームの調停フィールド及びデータフィールドに基づいている。

【0069】

次に、段階１７０において、メッセージの全長からバス占有の値が更新されて、「バス占有閾値」と比較される。メッセージがこれらの閾値に関連しない場合、ＣＡＮメッセージＭが不正なメッセージＭＦであるとみなされ、制御は段階１８０に移動する。そうでなければ、手順１００は段階１９５で終了する。

【0070】

従って、概して、ファイアウォール２６１によって実行される、伝送ラインＣＴ又は受信ラインＣＲで伝送中のＣＡＮメッセージＭの情報内容を抽出する工程及びこの情報内容を分析する工程は、工程１１０、１２０、１３０、１３５、１４０、１５０、１７０の１又は複数を含む。

【0071】

段階１８０において、ＣＡＮメッセージＭが不正なメッセージＭＦであるとみなされたので、検出された侵害のタイプを「ホワイト／ブラックリストの侵害の閾値」と組み合わせることによって、ブロックモードＢ１又はブロックモードＢ２をアクティブにするかどうかを決定する。

【0072】

段階１９０において、メッセージの有効性及びＢ１であってもＢ２であっても実装されるべきブロックモードに関する情報が、ブロックモードによって必要とされる工程、すなわち、完全にブロックすること（Ｂ１）あるいは破損することＦ１及び隠すことＦ２によってブロックすること（Ｂ２）を実行するファイアウォールブロック２６１に伝送される。

【0073】

保護装置２６は、単一フレーム診断メッセージとマルチフレーム診断メッセージの両方で動作する可能性を想定する。マルチフレーム診断メッセージの場合において、一連のメッセージの第１のフレームは悪意があると認識された場合、保護装置２６は、段階１３５を通じて、そのメッセージ及びマルチフレームメッセージを構成する全ての後続のメッセージをブロックすることができる。その結果として、どれくらいのＣＡＮフレームがＣＡＮバスを通り過ぎたかの記録をつけて、特定の診断サービスに対する破損プロセスがいつ終了するかを決定するカウンタが、保護装置２６に存在する。

【0074】

従って上記で記載されたものから、提案された解決策の利点が明らかになる。

【0075】

記載された装置及び方法は、（バスで送信された）破損したメッセージと、破損したメッセージを受信するＣＡＮノードによって生成されたエラーフレームメッセージとの間の任意の一時的な不整合を阻止する。

【0076】

さらに、記載された装置及び方法は、適切な隠すプロセスを用いて、不正なフレームを送信したＣＡＮノードから破損する工程をマスクすることが可能になる。これは、悪意のあるＣＡＮモードによって、結果として生じるＣＡＮバスを占有する自動的な再伝送を阻止する。

【0077】

記載された装置及び方法は、ＣＡＮメッセージの伝播の任意の遅延を導入しないことが可能になり、関係するＣＡＮノードによって透過的な態様でこれらを用いることを保証する。

【0078】

本明細書で記載された装置及び方法は、診断タイプのＣＡＮメッセージでも動作することが可能になる。専用制御ロジックのおかげで、マルチフレームタイプのシーケンスの診断メッセージを認識し、診断サービスが悪意のあると識別された場合に全ての一連のメッセージを無効にすることが可能になる。

【図1A】

【図1B】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7A】

【図7B】

【図7C】

【図8】