JP7147635B2

JP7147635B2 - 不正送信データ検知装置

Info

Publication number: JP7147635B2
Application number: JP2019039702A
Authority: JP
Inventors: 慶太後藤; 雄介佐藤; 真一飯山
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2019-03-05
Filing date: 2019-03-05
Publication date: 2022-10-05
Anticipated expiration: 2039-03-05
Also published as: JP2020145547A; EP3706026A1; EP3706026B1; US20200287911A1; US11405406B2

Description

本発明は不正送信データ検知装置に関する。

特許文献１には、監視対象メッセージを受信する毎に、受信した監視メッセージについて、今回の受信時刻Ｔiと、ｍ個前の受信時刻Ｔi-mと、メッセージ送信周期Ｆと、予め定めた定数σとに基づいて、受信時刻Ｔi-mからＴiまでの期間内における不正送信の有無を判定する技術が開示されている。

特開２０１８－０２６６６３号公報

特許文献１に記載の技術は、データ（メッセージ）の送信周期Ｆよりも短い時間間隔でデータを受信した場合に不正送信データと判定している。しかし、例えば自動車・産業機械用通信プロトコルであるＣＡＮ（Controller Area Network）などの規格に準拠した通信では、正常データであっても受信時間間隔にゆらぎが発生することがあり、この受信時間間隔のゆらぎなどの影響で誤判定が生じ得る。

一例として図７は、通常時には正常データを１００ｍｓおきに受信する場合を示している。図７（Ａ）は、本来は０ｍｓのタイミングで受信する筈の正常データの受信が、何らかの原因により１００ｍｓに近いタイミングまで遅延すると共に、本来は３００ｍｓのタイミングで受信する筈の正常データの受信が何らかの原因により若干早まった例を示している。この場合、正常データの２周期分の２００ｍｓの時間内にデータを４回受信しているので、不正送信データを受信したと誤判定され、「攻撃がないのにデータを破棄する」と表記して示すように、正常データが誤って破棄される可能性がある。

また、図７（Ｂ）は、２００ｍｓと３００ｍｓとの間のタイミングで不正送信データを受信すると共に、本来は３００ｍｓのタイミングで受信する筈の正常データの受信が何らかの原因により遅延した例を示している。この場合、正常データの３周期分の２００ｍｓの時間内にデータを４回受信しているので、「攻撃があるのに正常と判断」と表記して示すように、不正送信データを受信しているにも拘わらず「正常」と誤判定される可能性がある。

本発明は上記事実を考慮して成されたもので、正常データの受信時間間隔のゆらぎなどの影響により、不正送信データの受信について誤判定が生ずることを抑制できる不正送信データ検知装置を得ることが目的である。

第１の態様に係る不正送信データ検知装置は、周期的に送信されるデータを受信する受信部で所定のＩＤのデータが所定個受信される迄の時間が基準タイミングから所定時間未満か否かに基づいて、前記受信された所定のＩＤのデータに不正送信データが含まれているか否かを各々判定する複数の判定部を含む不正送信データ検知装置であって、前記複数の判定部は、基準タイミングから前記受信部で所定のＩＤのデータが第１所定個受信される迄の時間が第１所定時間未満か否かに基づいて、前記受信された所定のＩＤのデータに不正送信データが含まれているか否かを判定する第１判定部と、基準タイミングから前記受信部で所定のＩＤのデータが前記第１所定個と異なる第２所定個受信される迄の時間が前記第１所定時間と異なる第２所定時間未満か否かに基づいて、前記受信された所定のＩＤのデータに不正送信データが含まれているか否かを判定する第２判定部と、前記第１判定部と異なる基準タイミングから前記受信部で所定のＩＤのデータが前記第１所定個受信される迄の時間が前記第１所定時間未満か否かに基づいて、前記受信された所定のＩＤのデータに不正送信データが含まれているか否かを判定する第３判定部と、を含んでいる。

第１の態様では、受信されたデータに不正送信データが含まれているか否かを判定する判定部が複数設けられ、当該複数の判定部は、第１判定部、第２判定部および第３判定部を含んでいる。そして第１の態様では、第１判定部と第２判定部とで、受信された所定のＩＤのデータに不正送信データが含まれているか否かの判定における所定個及び所定時間が相違している。所定時間が比較的短く、それに応じて所定個が比較的少ない場合には、短時間に高頻度で不正送信データを受信したときに不正送信データの受信を高速で検知できる。一方、所定時間が比較的長く、それに応じて所定個が比較的多い場合は、長い時間内に低頻度で不正送信データを受信したときも不正送信データの受信を検知できる。従って、正常データの受信時間間隔にゆらぎが発生した場合にも、第１判定部又は第２判定部で適正な判定結果が得られる可能性が出てくるので、不正送信データの受信について誤判定が生ずることを抑制することができる。

さらに、第１の態様では、第１判定部と第３判定部とで、受信されたデータに不正送信データが含まれているか否かの判定における基準タイミングが相違している。このように、基準タイミングが異なる複数の判定部を設けることで、正常データの受信時間間隔に一時的なゆらぎが発生した場合にも、何れかの判定部はゆらぎの影響が軽減された期間で判定できる可能性が出てくるので、不正送信データの受信について誤判定が生ずることを抑制することができる。

第２の態様は、第１の態様において、前記複数の判定部の何れかで前記受信された所定のＩＤのデータに不正送信データが含まれていると判定された場合に、前記不正送信データによる影響を抑制する安全制御に移行する制御部を更に含んでいる。

第２の態様では、複数の判定部の何れかで、受信された所定のＩＤのデータに不正送信データが含まれていると判定された場合に、安全制御に移行するので、不正送信データによる影響を抑制することができる。

第３の態様は、第２の態様において、前記複数の判定部及び前記制御部は、複数の通信バスが接続されたハブＥＣＵに設けられており、前記制御部は、前記複数の判定部の何れかで前記受信された所定のＩＤのデータに不正送信データが含まれていると判定された場合に、前記不正送信データが伝送された通信バスを対象として前記安全制御を行う。

第３の態様では、複数の判定部及び制御部がハブＥＣＵに設けられており、不正送信データの判定などがハブＥＣＵで行われるので、本発明を適用するにあたってハブＥＣＵ以外の機器の構成を変更する必要がなくなり、容易に適用することができる。

第４の態様は、第２の態様において、前記複数の判定部及び前記制御部は、単一の通信バスが接続された個別ＥＣＵに設けられており、前記制御部は、前記複数の判定部の何れかで前記受信された所定のＩＤのデータに不正送信データが含まれていると判定された場合に、自身が設けられた前記個別ＥＣＵを対象として前記安全制御を行う。

第４の態様では、複数の判定部及び制御部が個別ＥＣＵに設けられており、不正送信データの判定などが個別ＥＣＵで行われるので、ハブＥＣＵの負荷を低減することができる。

第５の態様は、第１の態様～第４の態様の何れかにおいて、前記周期的に送信されるデータは、ＣＡＮに準拠した通信で送信されるデータである。

ＣＡＮに準拠した通信が行われる環境では、正常データの受信時間間隔に定常的にゆらぎが発生し易い。第５の態様では、このような環境において、不正送信データの受信について誤判定が生ずることを抑制することができる。

本発明は、正常データの受信時間間隔のゆらぎなどの影響により、不正送信データの受信について誤判定が生ずることを抑制できる、という効果を有する。

実施形態に係る車載ネットワークを示す概略ブロック図である。ハブＥＣＵ、個別ＥＣＵのハードウェア構成の一例を示すブロック図である。データ監視部の構成を示すブロック図である。データ監視処理を示すフローチャートである。複数の判定部における処理タイミングを示すタイミングチャートである。ハブＥＣＵ、個別ＥＣＵのハードウェア構成の他の例を示すブロック図である。従来技術の課題を説明するためのタイミングチャートである。

以下、図面を参照して本発明の実施形態の一例を詳細に説明する。図１に示す車載ネットワーク１０は、車両に搭載された複数の電子制御ユニット（以下、「ＥＣＵ」という）１２、１４Ａ、１４Ｂ、１４Ｃ、１４Ｄ、１４Ｅ、１４Ｆを含み、これらのＥＣＵが第１通信バス１６Ａ、第２通信バス１６Ｂ及び第３通信バス１６Ｃの少なくとも１つに各々接続されて構成されている。車載ネットワーク１０では、各ＥＣＵがＣＡＮに準拠した通信を行い、およそ送信周期Ｔ毎にデータ（メッセージ）が送受される。なお、データの送信周期ＴはデータのＩＤ（本実施形態ではＣＡＮＩＤ）毎に相違している。

図１に示す例では、ＥＣＵ１４Ａ、１４Ｂは第１通信バス１６Ａに接続され、ＥＣＵ１４Ｃ、１４Ｄは第２通信バス１６Ｂに接続され、ＥＣＵ１４Ｅ、１４Ｆは第３通信バス１６Ｃに接続されている。本実施形態では、上記のように１つのバスに接続されたＥＣＵを必要に応じて「個別ＥＣＵ１４」と総称する。

一方、ＥＣＵ１２は、第１通信バス１６Ａ、第２通信バス１６Ｂ及び第３通信バス１６Ｃに各々接続されている。本実施形態では、ＥＣＵ１２を必要に応じて「ハブＥＣＵ１２」と称する。或る通信バス１６に接続された個別ＥＣＵ１４が他の通信バス１６に接続された個別ＥＣＵ１４に対してデータを送信する場合、ハブＥＣＵ１２はそのデータの転送を行う。

なお、図１では車載ネットワーク１０の構成要素として個別ＥＣＵ１４及びハブＥＣＵ１２を示しているが、これらに限られるものではなく、通信バス１６には、各種のセンサに通信制御部が付加されたセンサユニットなどが接続されていてもよい。

図２に示すように、個別ＥＣＵ１４は、ＣＰＵ（Central Processing Unit）２０、ＲＯＭ（Read Only Memory）やＲＡＭ（Random Access Memory）などのメモリ２２、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）などの不揮発性の記憶部２４及び通信Ｉ／Ｆ（Inter Face）２６を含んでいる。ＣＰＵ２０、メモリ２２、記憶部２４及び通信Ｉ／Ｆ２６は内部バス２８を介して相互に通信可能に接続されており、通信Ｉ／Ｆ２６は通信バス１６（図２では第２通信バス１６Ｂ）に接続されている。

また、ハブＥＣＵ１２は、ＣＰＵ３０、ＲＯＭやＲＡＭなどのメモリ３２、ＨＤＤやＳＳＤなどの不揮発性の記憶部３４及び通信Ｉ／Ｆ３８を含んでいる。ＣＰＵ３０、メモリ３２、記憶部３４及び通信Ｉ／Ｆ３８は内部バス４０を介して相互に通信可能に接続されており、通信Ｉ／Ｆ３８は第１通信バス１６Ａ、第２通信バス１６Ｂ及び第３通信バス１６Ｃに各々接続されている。

また、記憶部３４にはデータ監視プログラム３６が記憶されている。ハブＥＣＵ１２は、データ監視プログラム３６が記憶部３４から読み出されてメモリ３２に展開され、メモリ３２に展開されたデータ監視プログラム３６がＣＰＵ３０によって実行されることで、図３に示すデータ監視部４２として機能する。データ監視部４２は、受信部４４、複数の判定部群４６、制御部５２を含んでいる。このように、ハブＥＣＵ１２は不正送信データ検知装置の一例である。

受信部４４は、ハブＥＣＵ１２が監視対象のデータを受信する毎に、そのデータの受信時刻をそのデータのＩＤ（本実施形態ではＣＡＮＩＤ）と対応付けて、受信データ情報として記録する。

複数の判定部群４６は、受信部４４で受信された監視対象のデータに対して、互いに異なる判定基準により不正送信データが含まれていないか否かを判定する複数の判定部５０の集まりであり、異なる判定部群４６に属する判定部５０は、互いにＩＤの異なるデータを監視対象としている。

個々の判定部５０は、基準タイミングから受信部４４で所定個（Ｎ＋α）のデータが受信される迄の時間が所定時間（Ｎ×Ｔ）未満か否かに基づいて、受信されたデータに不正送信データが含まれているか否かを判定する。１つの判定部群４６は、所定個及び所定時間を規定する定数Ｎ，αが互いに異なる複数の判定部列４８を含んでいる。また、１つの判定部列４８は、基準タイミングを規定する定数ｉが互いに異なる複数の判定部５０を含んでいる。複数の判定部群４６に含まれる個々の判定部５０は各々並列に動作する。

なお、同一の判定部群４６に含まれかつ属する判定部列４８が相違する複数の判定部５０は、第１判定部及び第２判定部の一例である。また、同一の判定部群４６に含まれかつ属する判定部列４８の同一で基準タイミングが相違する複数の判定部５０は、第１判定部及び第３判定部の一例である。また、Ｎは所定時間の一例であり、ｎ＋αは所定個の一例である。

制御部５２は、複数の判定部群４６に含まれる何れかの判定部５０で、受信されたデータに不正送信データが含まれていると判定された場合に、不正送信データによる影響を抑制する安全制御に移行する。本実施形態における安全制御の一例は、不正送信データに対応するＩＤの受信データを破棄すると共に、不正送信データが伝送された通信バス１６を一時的に使用不可とする制御である。

次に図４を参照し、個々の判定部５０で実行されるデータ監視処理について説明する。データ監視処理のステップ７０において、判定部５０は、自判定部に対して予め設定された定数Ｎ，α，ｉを取得する。またステップ７２において、判定部５０は、監視対象のデータのＩＤ及び送信周期Ｔを取得する。またステップ７４において、判定部５０は、変数ｊに定数ｉの値を設定する。

ステップ７６において、判定部５０は、受信部４４によって記録された受信データ情報を参照し、監視対象のｊ番目のデータが受信されたか否か判定する。判定が否定された場合は判定が肯定される迄、ステップ７６を繰り返す。監視対象のｊ番目のデータの情報（ＩＤ及び受信時刻）が受信データ情報として記録されると、ステップ７６の判定が肯定されてステップ７８へ移行する。ステップ７８において、判定部５０は、監視対象のｊ番目のデータの受信時刻ｔ1を基準データとして取り出す。

また、ステップ８０において、判定部５０は、監視対象のｊ＋Ｎ＋α－１番目のデータが受信されたか否か判定する。判定が否定された場合は判定が肯定される迄、ステップ８０を繰り返す。監視対象のｊ＋Ｎ＋α－１番目のデータの情報（ＩＤ及び受信時刻）が受信データ情報として記録されると、ステップ８０の判定が肯定されてステップ８２へ移行する。ステップ８２において、判定部５０は、監視対象のｊ＋Ｎ＋α－１番目のデータの受信時刻ｔ2を比較データとして取り出す。

ステップ８４において、判定部５０は、ステップ７８で取り出した基準データとステップ８２で取り出した比較データとの受信時刻差Δｔ（＝ｔ2－ｔ1）を演算する。次のステップ８６において、判定部５０は、ステップ８４で演算した受信時刻差ΔｔがＮ×Ｔ未満か否か判定する。ステップ８４の判定が否定された場合は、受信した監視対象のデータに不正送信データは含まれていないと判断し、ステップ８８へ移行する。ステップ８８において、判定部５０は、ｊ＋Ｎ＋α－１を変数ｊに代入し、ステップ７６に戻る。これにより、ステップ８６の判定が否定されている間はステップ７６～ステップ８８が繰り返される。

一方、ステップ８６の判定が肯定された場合は、受信した監視対象のデータに不正送信データは含まれていると判断し、ステップ９０へ移行する。ステップ９０において、判定部５０は、不正送信データを検知したことを制御部５２へ通知し、制御部５２は、例えば、不正送信データに対応するＩＤの受信データを破棄すると共に、不正送信データが伝送された通信バス１６を一時的に使用不可とするなどの安全制御へ移行する。

上述したデータ監視処理は、複数の判定部５０において、互いに異なる判定基準により並列に実行される。同一の判定部群４６に含まれる複数の判定部５０の動作について、具体的な数値を挙げて更に説明する。

図５には、Ｎ＝２、α＝３、ｉ＝１の判定部Ａと、Ｎ＝２、α＝３、ｉ＝２の判定部Ｂと、Ｎ＝２、α＝３、ｉ＝３の判定部Ｃと、Ｎ＝４、α＝３、ｉ＝１の判定部Ｄと、Ｎ＝４、α＝３、ｉ＝２の判定部Ｅと、Ｎ＝４、α＝３、ｉ＝３の判定部Ｆと、の動作の具体例を示している。

なお、判定部Ａ～Ｃは、定数Ｎ，αが同じで定数ｉが相違しているので、同一の判定部列４８に含まれる判定部５０であり、判定部Ｄ～Ｆは、定数Ｎ，αが同じで定数ｉが相違しているので、同一の判定部列４８に含まれる判定部５０である。そして、判定部Ａ～Ｃと判定部Ｄ～Ｆとは定数Ｎが相違しているので、異なる判定部列４８に含まれる判定部５０である。

判定部Ａの動作を説明する。判定部Ａはｉ＝１であるので、ｊ＝１番目のデータを基準データに設定し、Ｎ＝２、α＝３であるので、ｊ＋Ｎ＋α－１＝５番目のデータを比較データに設定し、１番目のデータと５番目のデータとの受信時刻差Δｔが２Ｔ未満か否か判定する。判定部Ａは、続いて、ｊ＝５番目のデータを基準データに設定し、ｊ＋Ｎ＋α－１＝５＋２＋３－１＝９番目のデータを比較データに設定し、５番目のデータと９番目のデータとの受信時刻差Δｔが２Ｔ未満か否か判定する。

次に判定部Ｂの動作を説明する。判定部Ｂはｉ＝２であるので、ｊ＝２番目のデータを基準データに設定し、Ｎ＝２、α＝３であるので、ｊ＋Ｎ＋α－１＝６番目のデータを比較データに設定し、２番目のデータと６番目のデータとの受信時刻差Δｔが２Ｔ未満か否か判定する。判定部Ｂは、続いて、ｊ＝６番目のデータを基準データに設定し、ｊ＋Ｎ＋α－１＝６＋２＋３－１＝１０番目のデータを比較データに設定し、６番目のデータと１０番目のデータとの受信時刻差Δｔが２Ｔ未満か否か判定する。このように、判定部Ｂは判定部Ａと比較して、基準タイミングが監視対象のデータの１周期＝Ｔだけずれている。

次に判定部Ｃの動作を説明する。判定部Ｃはｉ＝３であるので、ｊ＝３番目のデータを基準データに設定し、Ｎ＝２、α＝３であるので、ｊ＋Ｎ＋α－１＝７番目のデータを比較データに設定し、３番目のデータと７番目のデータとの受信時刻差Δｔが２Ｔ未満か否か判定する。判定部Ｃは、続いて、ｊ＝７番目のデータを基準データに設定し、ｊ＋Ｎ＋α－１＝６＋２＋３－１＝１１番目のデータを比較データに設定し、７番目のデータと１１番目のデータとの受信時刻差Δｔが２Ｔ未満か否か判定する。このように、判定部Ｃは判定部Ａと比較して、基準タイミングが監視対象のデータの２周期＝２Ｔだけずれている。また、図１の例では正常データの受信時間間隔にゆらぎが発生していると共に、５番目、８番目、１０番目のデータが不正送信データになっているが、判定部Ｃの判定では７番目のデータと１１番目のデータとの受信時刻差Δｔが２Ｔ未満となることで、不正送信データの受信が検知される。

次に判定部Ｄの動作を説明する。判定部Ｄはｉ＝１であるので、ｊ＝１番目のデータを基準データに設定し、Ｎ＝４、α＝３であるので、ｊ＋Ｎ＋α－１＝７番目のデータを比較データに設定し、１番目のデータと７番目のデータとの受信時刻差Δｔが４Ｔ未満か否か判定する。判定部Ｄは、続いて、ｊ＝７番目のデータを基準データに設定し、ｊ＋Ｎ＋α－１＝７＋４＋３－１＝１３番目のデータを比較データに設定し、７番目のデータと１３番目のデータとの受信時刻差Δｔが４Ｔ未満か否か判定する。判定部Ｄの判定では７番目のデータと１３番目のデータとの受信時刻差Δｔが４Ｔ未満となることで、不正送信データの受信が検知される。

次に判定部Ｅの動作を説明する。判定部Ｅはｉ＝２であるので、ｊ＝２番目のデータを基準データに設定し、Ｎ＝４、α＝３であるので、ｊ＋Ｎ＋α－１＝８番目のデータを比較データに設定し、２番目のデータと８番目のデータとの受信時刻差Δｔが４Ｔ未満か否か判定する。このように、判定部Ｂは判定部Ａと比較して、基準タイミングが監視対象のデータの１周期＝Ｔだけずれている。

次に判定部Ｆの動作を説明する。判定部Ｆはｉ＝３であるので、ｊ＝３番目のデータを基準データに設定し、Ｎ＝４、α＝３であるので、ｊ＋Ｎ＋α－１＝９番目のデータを比較データに設定し、３番目のデータと９番目のデータとの受信時刻差Δｔが４Ｔ未満か否か判定する。このように、判定部Ｆは判定部Ａと比較して、基準タイミングが監視対象のデータの１周期＝２Ｔだけずれている。

このように、本実施形態では、周期的に送信されるデータを受信する受信部４４で所定個のデータが受信される迄の時間が基準タイミングから所定時間未満か否かに基づいて、受信されたデータに不正送信データが含まれているか否かを判定すると共に、所定個（Ｎ＋α）及び所定時間（Ｎ×Ｔ）と、基準タイミング（を規定する定数ｉ）と、の少なくとも一方が互いに異なる複数の判定部５０を含んでいる。このように、受信されたデータに不正送信データが含まれているか否かの判定基準が互いに相違する複数の判定部５０を設けることで、正常データの受信時間間隔にゆらぎが発生した場合にも、複数の判定部５０の何れかで適正な判定結果が得られる可能性が生ずるので、不正送信データの受信について誤判定が生ずることを抑制することができる。

また、本実施形態では、複数の判定部５０は、基準タイミングから受信部４４で第１所定個のデータが受信される迄の時間が第１所定時間未満か否かに基づいて、受信されたデータに不正送信データが含まれているか否かを判定する判定部５０と、基準タイミングから受信部４４で第１所定個と異なる第２所定個のデータが受信される迄の時間が第１所定時間と異なる第２所定時間未満か否かに基づいて、受信されたデータに不正送信データが含まれているか否かを判定する判定部５０と、を含んでいる。これにより、正常データの受信時間間隔にゆらぎが発生した場合にも、上記の各判定部５０の何れかで適正な判定結果が得られる可能性が生ずるので、不正送信データの受信について誤判定が生ずることを抑制することができる。

また、本実施形態では、複数の判定部５０は、基準タイミングから受信部４４で第１所定個のデータが受信される迄の時間が第１所定時間未満か否かに基づいて、受信されたデータに不正送信データが含まれているか否かを判定する判定部５０と、当該判定部５０と異なる基準タイミングから受信部４４で第１所定個のデータが受信される迄の時間が第１所定時間未満か否かに基づいて、受信されたデータに不正送信データが含まれているか否かを判定する第３判定部と、を含んでいる。これにより、正常データの受信時間間隔にゆらぎが発生した場合にも、上記の各判定部５０の何れかで適正な判定結果が得られる可能性が生ずるので、不正送信データの受信について誤判定が生ずることを抑制することができる。

また、本実施形態では、複数の判定部５０の何れかで受信されたデータに不正送信データが含まれていると判定された場合に、不正送信データによる影響を抑制する安全制御に移行する制御部５２が設けられているので、不正送信データによる影響を抑制することができる。

また、本実施形態では、複数の判定部５０及び制御部５２は、複数の通信バス１６Ａ，１６Ｂ，１６Ｃが接続されたハブＥＣＵ１２に設けられており、制御部５２は、複数の判定部５０の何れかで受信されたデータに不正送信データが含まれていると判定された場合に、不正送信データが伝送された通信バス１６を対象として安全制御を行うので、本発明を適用するにあたって個別ＥＣＵ１４の構成を変更する必要がなくなる。

また、本実施形態では、ＣＡＮに準拠した通信で送信されるデータを対象として、不正送信データが含まれているか否かを監視するので、ＣＡＮに準拠した通信が行われる環境、すなわち正常データの受信時間間隔に定常的にゆらぎが発生し易い環境において、不正送信データの受信について誤判定が生ずることを抑制することができる。

なお、上記ではデータ監視部４２をハブＥＣＵ１２に設けた態様を説明したが、これに限定されるものではない。一例として図６に示すように、個々の個別ＥＣＵ１４の記憶部２４にデータ監視プログラム３６を記憶させ、個々の個別ＥＣＵ１４をデータ監視部４２としても機能させ、個々の個別ＥＣＵ１４によって受信されたデータに不正送信データが含まれているか否かを判定するようにしてもよい。この態様における安全制御の一例は、受信されたデータに不正送信データが含まれていると判定した判定部５０を含む自ＥＣＵ（１つの個別ＥＣＵ１４）を一時的に機能停止とする制御である。この態様は、データ監視部４２をハブＥＣＵ１２に設けた態様と比較して、ハブＥＣＵ１２の負荷を複数の個別ＥＣＵ１４に分散させることができる。

また、上記では基準タイミングをｉ番目のデータを受信したタイミングとしていたが、これに限定されるものではなく、基準タイミングはデータの受信タイミングと無関係に定めてもよい。

また、上記では通信プロトコルの一例としてＣＡＮを挙げたが、本発明はこれに限定されるものでもなく、周期的にデータの送信を行う公知の種々の通信プロトコルに適用可能である。

１０車載ネットワーク
１２ハブＥＣＵ（不正送信データ検知装置）
１４個別ＥＣＵ
１６Ａ，１６Ｂ，１６Ｃ通信バス
３６データ監視プログラム
４２データ監視部
４４受信部
５０判定部
５２制御部

Claims

周期的に送信されるデータを受信する受信部で所定のＩＤのデータが所定個受信される迄の時間が基準タイミングから所定時間未満か否かに基づいて、前記受信された所定のＩＤのデータに不正送信データが含まれているか否かを各々判定する複数の判定部を含む不正送信データ検知装置であって、
前記複数の判定部は、
基準タイミングから前記受信部で所定のＩＤのデータが第１所定個受信される迄の時間が第１所定時間未満か否かに基づいて、前記受信された所定のＩＤのデータに不正送信データが含まれているか否かを判定する第１判定部と、
基準タイミングから前記受信部で所定のＩＤのデータが前記第１所定個と異なる第２所定個受信される迄の時間が前記第１所定時間と異なる第２所定時間未満か否かに基づいて、前記受信された所定のＩＤのデータに不正送信データが含まれているか否かを判定する第２判定部と、
前記第１判定部と異なる基準タイミングから前記受信部で所定のＩＤのデータが前記第１所定個受信される迄の時間が前記第１所定時間未満か否かに基づいて、前記受信された所定のＩＤのデータに不正送信データが含まれているか否かを判定する第３判定部と、
を含む不正送信データ検知装置。
前記複数の判定部の何れかで前記受信された所定のＩＤのデータに不正送信データが含まれていると判定された場合に、前記不正送信データによる影響を抑制する安全制御に移行する制御部を更に含む請求項１記載の不正送信データ検知装置。
前記複数の判定部及び前記制御部は、複数の通信バスが接続されたハブＥＣＵに設けられており、
前記制御部は、前記複数の判定部の何れかで前記受信された所定のＩＤのデータに不正送信データが含まれていると判定された場合に、前記不正送信データが伝送された通信バスを対象として前記安全制御を行う請求項２記載の不正送信データ検知装置。
前記複数の判定部及び前記制御部は、単一の通信バスが接続された個別ＥＣＵに設けられており、
前記制御部は、前記複数の判定部の何れかで前記受信された所定のＩＤのデータに不正送信データが含まれていると判定された場合に、自身が設けられた前記個別ＥＣＵを対象として前記安全制御を行う請求項２記載の不正送信データ検知装置。
前記周期的に送信されるデータは、ＣＡＮに準拠した通信で送信されるデータである請求項１～請求項４の何れか１項記載の不正送信データ検知装置。