(57)【特許請求の範囲】
【請求項１】
第１バス（７）を介して通信可能に接続された複数の車載装置（５）と、
車両（３）の外部に存在する装置である車外装置（９）がコネクタ（１１）を介して接続される第２バス（１３）と、
前記第１バス及び前記第２バスに接続され、前記コネクタを介して前記第２バスに接続された前記車外装置と前記車載装置との間のデータ通信を中継する中継装置（１５）と、
を備える車載通信システム（１）において、
前記第２バスに接続されて、前記車外装置からのＤｏＳ攻撃（Denial of Service attack）を検出する監視装置（１７）を備え、
前記監視装置は、前記ＤｏＳ攻撃が発生したと判定すると、前記中継装置へ、前記ＤｏＳ攻撃が発生したことを示す攻撃通知を送信し（Ｓ１１０〜Ｓ１５０）、
前記中継装置は、前記攻撃通知を受信すると、前記中継を停止するように構成され（Ｓ３２０，Ｓ３３０）、
更に、前記攻撃通知は、前記第２バスにおいて伝送されるフレームのうち、優先度が最も高いフレームであること、
を特徴とする車載通信システム。
【請求項２】
請求項１に記載の車載通信システムにおいて、
前記監視装置は、前記攻撃通知を送信してから所定時間が経過し、且つ、前記ＤｏＳ攻撃が無くなったと判定すると、前記中継装置へ、前記ＤｏＳ攻撃が終了したことを示す終了通知を送信し（Ｓ２００〜Ｓ２５０）、
前記中継装置は、前記終了通知を受信すると、前記中継を再開すること（Ｓ３４０，Ｓ３５０）、
を特徴とする車載通信システム。
【請求項３】
請求項２に記載の車載通信システムにおいて、
前記攻撃通知と前記終了通知は、同じ共用のフレームであること、
を特徴とする車載通信システム。
【請求項４】
請求項２又は請求項３に記載の車載通信システムにおいて、
前記所定時間はランダムな時間であること、
を特徴とする車載通信システム。
【請求項５】
請求項１ないし請求項４の何れか１項に記載の車載通信システムにおいて、
前記監視装置は、前記第２バスの負荷が所定の負荷閾値以上になった場合に、前記ＤｏＳ攻撃が発生したと判定すること（Ｓ１２０，Ｓ１４０）、
を特徴とする車載通信システム。
【請求項６】
請求項５に記載の車載通信システムにおいて、
前記監視装置は、前記第２バスの負荷が前記負荷閾値以上になり、且つ、前記第２バスにおいて伝送されるドミナント信号の割合が所定の割合閾値以上になった場合に、前記ＤｏＳ攻撃が発生したと判定すること（Ｓ１２０，Ｓ１３０，Ｓ１４０）、
を特徴とする車載通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車載通信システムに関する。
【背景技術】
【０００２】
車外装置接続用のコネクタを介した車載通信システムに対する不正行為を、阻止するためのセキュリティ装置として、特許文献１のものがある。特許文献１のセキュリティ装置では、車外装置からコネクタを介して入力されるデータが、予め定められた許可情報を有している場合にだけ、そのデータを、複数の車載装置が接続されているバスへ提供することで、セキュリティ性を高めている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１３−１１８６０９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１の技術であっても、許可情報がハッキング（不正に入手）されてしまうと、悪意のある車外装置（詳しくは、悪意のある者が操作する車外装置）がＤｏＳ攻撃（Denial of Service attack）を行えるようになってしまう。
【０００５】
そこで、本発明は、車載通信システムのセキュリティ性能を向上させることを目的としている。
【課題を解決するための手段】
【０００６】
第１発明の車載通信システムは、第１バスを介して通信可能に接続された複数の車載装置と、車両の外部に存在する装置である車外装置がコネクタを介して接続される第２バスと、第１バス及び第２バスに接続され、前記コネクタを介して第２バスに接続された車外装置と前記車載装置との間のデータ通信を中継する中継装置と、を備える。
【０００７】
更に、この車載通信システムは、第２バスに接続されて、車外装置からのＤｏＳ攻撃を検出する監視装置を備える。監視装置は、ＤｏＳ攻撃が発生したと判定すると、中継装置へ、ＤｏＳ攻撃が発生したことを示す攻撃通知を送信する。そして、中継装置は、監視装置からの攻撃通知を受信すると、前記中継を停止する。
【０００８】
この車載通信システムでは、悪意のある車外装置がコネクタを介して第２バスに接続され、その車外装置がＤｏＳ攻撃を行った場合に、監視装置がそれを検知して中継装置に伝え、中継装置が、車外装置と車載装置との間のデータ通信の中継を停止することで、ＤｏＳ攻撃の影響を無くしている。尚、中継装置が中継を停止したとしても、第１バスを介した車載装置間の通信は正常に実施することができる。
【０００９】
よって、悪意のある車外装置がＤｏＳ攻撃を行ったときに、ＤｏＳ攻撃の影響を無効にして、セキュリティ性能を高めることができる。
なお、特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。
【図面の簡単な説明】
【００１０】
【図１】実施形態の車載通信システムを表す構成図である。
【図２】監視ＥＣＵが行う監視第１処理を表すフローチャートである。
【図３】監視ＥＣＵが行う監視第２処理を表すフローチャートである。
【図４】ゲートウェイが行う中継停止制御処理を表すフローチャートである。
【発明を実施するための形態】
【００１１】
以下に、本発明が適用された実施形態の車載通信システムについて説明する。
図１に示すように、実施形態の車載通信システム１は、車両３の各部に配置された複数の車載装置としての電子制御ユニット（以下、ＥＣＵという）５と、複数のＥＣＵ５を通信可能に接続する通信線路である第１バス７と、を備える。尚、ＥＣＵは、「Electronic Control Unit」の略である。
【００１２】
更に、車載通信システム１は、車両３の外部に存在する車外装置としての外部ツール９が、車両３に設けられているコネクタ１１を介して接続される通信線路である第２バス１３と、第１バス７及び第２バス１３に接続された中継装置であるゲートウェイ（ＧＷ）１５と、第２バス１３に接続された監視ＥＣＵ１７と、を備える。
【００１３】
複数のＥＣＵ５は、第１バス７を介してデータ通信を行う。
ゲートウェイ１５は、コネクタ１１を介して第２バス１３に接続された外部ツール９と、第１バス７に接続されているＥＣＵ５との間の、データ通信を中継する。以下では、この中継のことを、外内中継という。
【００１４】
外部ツール９は、例えば、ＥＣＵ５を介して車両３の状態を診断したり、ＥＣＵ５に内蔵されているソフトウェア（プログラムやデータ）を書き換えたりする車外装置である。
尚、第１バス７の通信プロトコルと、第２バス１３の通信プロトコルは、例えばＣＡＮ（Controller Area Network：登録商標）であるが、他のプロトコルであっても良い。また、第１バス７は、車載通信システム１の基幹バスに相当し、第２バス１３は、車外装置を当該車載通信システム１に接続するための外部バスに相当する。
【００１５】
この車載通信システム１において、監視ＥＣＵ１７は、悪意のある車外装置からのＤｏＳ攻撃を検出して、ゲートウェイ１５へ、ＤｏＳ攻撃が発生したことを示す攻撃通知を送信する。悪意のある車外装置とは、正規の動作をする外部ツール９ではない車外装置である。そして、ゲートウェイ１５は、監視ＥＣＵ１７からの攻撃通知を受信すると外内中継を停止する。
【００１６】
次に、監視ＥＣＵ１７とゲートウェイ１５との各々が行う処理の具体的な内容について説明する。尚、監視ＥＣＵ１７が行う処理は、実際には、監視ＥＣＵ１７に備えられたマイクロコンピュータによって実行される処理である。同様に、ゲートウェイ１５が行う処理は、実際には、ゲートウェイ１５に備えられたマイクロコンピュータによって実行される処理である。
【００１７】
〈監視第１処理〉
監視ＥＣＵ１７は、図２の監視第１処理を例えば一定時間毎に行う。
図２に示すように、監視ＥＣＵ１７は、監視第１処理を開始すると、Ｓ１１０にて、自身が接続されている第２バス１３を監視して、第２バス１３の負荷とドミナント割合とを計測する。
【００１８】
第２バス１３の負荷は、第２バス１３において単位時間（例えば１秒）当たりに伝送されるデータ量である。また、第２バス１３に伝送されるビットの信号としては、優勢であるドミナント信号と、劣勢であるレセッシブ信号とがある。そして、ドミナント割合は、第２バス１３において伝送される単位データ量（例えば１バイト）あたりのドミナント信号の割合である。
【００１９】
そして、監視ＥＣＵ１７は、Ｓ１２０にて、第２バス１３の負荷（以下単に、負荷ともいう）が、予め設定された閾値Ｌｔｈ（負荷閾値に相当）以上であるか否かを判定し、負荷が閾値Ｌｔｈ以上でなければ、そのまま当該監視第１処理を終了する。
【００２０】
また、監視ＥＣＵ１７は、Ｓ１２０にて、負荷が閾値Ｌｔｈ以上であると判定した場合には、Ｓ１３０に進み、ドミナント割合が、予め設定された閾値Ｄｔｈ（割合閾値に相当）以上であるか否かを判定する。
【００２１】
そして、監視ＥＣＵ１７は、ドミナント割合が閾値Ｄｔｈ以上でないと判定した場合には、そのまま当該監視第１処理を終了するが、ドミナント割合が閾値Ｄｔｈ以上であると判定した場合には、Ｓ１４０に進み、ＤｏＳ攻撃あり（詳しくは、車外装置からのＤｏＳ攻撃が発生した）と判定する。そして、監視ＥＣＵ１７は、次のＳ１５０にて、ゲートウェイ１５に攻撃通知を送信し、その後、当該監視第１処理を終了する。
【００２２】
攻撃通知は、車外装置からのＤｏＳ攻撃が発生したことを示す通知であり、本実施形態では、第２バス１３において伝送されるフレームのうち、優先度が最も高いフレームである。優先度が最も高いフレームであれば、第２バス１３において、他の何れのフレームと衝突しても勝ち残るため、ゲートウェイ１５に確実に伝達される。
【００２３】
また、監視ＥＣＵ１７は、上記Ｓ１５０で攻撃通知を送信した場合には、その後、後述する図３におけるＳ２５０の処理を行うまでは、監視第１処理の実行を中止する。
〈監視第２処理〉
監視ＥＣＵ１７は、図２のＳ１５０で攻撃通知を送信すると、その後は、図３の監視第２処理を例えば一定時間毎に行う。
【００２４】
図３に示すように、監視ＥＣＵ１７は、監視第２処理を開始すると、Ｓ２００にて、攻撃通知を送信してから所定時間が経過したか否かを判定する。
本実施形態において、Ｓ２００で判定する所定時間は、ランダムな時間である。ランダムな時間とは、ランダムに設定される時間であり、例えば、図２のＳ１４０でＤｏＳ攻撃ありと判定した場合毎にランダムに設定される。
【００２５】
そして、監視ＥＣＵ１７は、Ｓ２００にて、ランダムな時間が経過していないと判定した場合には、そのまま当該監視第２処理を終了するが、ランダムな時間が経過したと判定した場合には（Ｓ２００：ＹＥＳ）、Ｓ２１０に進む。
【００２６】
監視ＥＣＵ１７は、Ｓ２１０では、図２のＳ１１０と同様に、第２バス１３の負荷とドミナント割合とを計測する。そして、監視ＥＣＵ１７は、次のＳ２２０にて、第２バス１３の負荷が前述の閾値Ｌｔｈ以上であるか否かを判定し、負荷が閾値Ｌｔｈ以上であれば、そのまま当該監視第２処理を終了する。
【００２７】
また、監視ＥＣＵ１７は、Ｓ２２０にて、負荷が閾値Ｌｔｈ以上ではないと判定した場合には、Ｓ２３０に進み、ドミナント割合が前述の閾値Ｄｔｈ以上であるか否かを判定する。そして、監視ＥＣＵ１７は、ドミナント割合が閾値Ｄｔｈ以上であると判定した場合には（Ｓ２３０：ＹＥＳ）、そのまま当該監視第２処理を終了するが、ドミナント割合が閾値Ｄｔｈ以上ではないと判定した場合には（Ｓ２３０：ＮＯ）、Ｓ２４０に進む。
【００２８】
監視ＥＣＵ１７は、Ｓ２４０では、車外装置からのＤｏＳ攻撃が止んだ（換言すれば、ＤｏＳ攻撃が無くなった）と判定する。そして、監視ＥＣＵ１７は、次のＳ２５０にて、ゲートウェイ１５に終了通知を送信し、その後、当該監視第２処理を終了する。
【００２９】
終了通知は、車外装置からのＤｏＳ攻撃が終了したことを示す通知であり、本実施形態では、第２バス１３において伝送されるフレームのうち、例えば優先度が２番目に高いフレームである。
【００３０】
また、監視ＥＣＵ１７は、上記Ｓ２５０で終了通知を送信した場合には、その後、図２のＳ１５０で攻撃通知を送信するまでは、監視第２処理の実行を中止する。
〈中継停止制御処理〉
ゲートウェイ１５は、図４の中継停止制御処理を例えば一定時間毎に行う。
【００３１】
図４に示すように、ゲートウェイ１５は、中継停止制御処理を開始すると、Ｓ３１０にて、外内中継の停止中であるか否かを判定し、外内中継の停止中でないと判定した場合には、Ｓ３２０に進む。
【００３２】
ゲートウェイ１５は、Ｓ３２０では、監視ＥＣＵ１７からの攻撃通知を受信したか否かを判定し、攻撃通知を受信していないと判定した場合には、そのまま当該中継停止制御処理を終了する。
【００３３】
また、ゲートウェイ１５は、Ｓ３２０にて、監視ＥＣＵ１７からの攻撃通知を受信したと判定した場合には、Ｓ３３０に進み、外内中継を停止する。そして、その後、当該中継停止制御処理を終了する。尚、ゲートウェイ１５による外内中継の停止は、後述するＳ３５０で外内中継を開始するまで継続する。
【００３４】
一方、ゲートウェイ１５は、上記Ｓ３１０にて、外内中継の停止中であると判定した場合には、Ｓ３４０に進む。
ゲートウェイ１５は、Ｓ３４０では、監視ＥＣＵ１７からの終了通知を受信したか否かを判定し、終了通知を受信していないと判定した場合には、そのまま当該中継停止制御処理を終了する。
【００３５】
また、ゲートウェイ１５は、Ｓ３４０にて、監視ＥＣＵ１７からの終了通知を受信したと判定した場合には、Ｓ３５４０に進み、外内中継を開始する。つまり、停止していた外内中継を再開する。そして、その後、当該中継停止制御処理を終了する。
【００３６】
以上のような車載通信システム１では、監視ＥＣＵ１７が、車外装置からのＤｏＳ攻撃が発生したと判定すると（Ｓ１２０及びＳ１３０：ＹＥＳ、Ｓ１４０）、ゲートウェイ１５へ、ＤｏＳ攻撃が発生したことを示す攻撃通知を送信する（Ｓ１５０）。そして、ゲートウェイ１５は、攻撃通知を受信すると（Ｓ３２０：ＹＥＳ）、外内中継を停止する（Ｓ３３０）。
【００３７】
このため、悪意のある車外装置がコネクタ１１を介して第２バス１３に接続され、その車外装置がＤｏＳ攻撃を行った場合に、ゲートウェイ１５による外内中継が停止されて、ＤｏＳ攻撃の影響が無効になる。よって、悪意のある車外装置がＤｏＳ攻撃を行ったときに、ＤｏＳ攻撃の影響を無効にして、セキュリティ性能を高めることができる。
【００３８】
また、監視ＥＣＵ１７は、攻撃通知を送信してから所定時間が経過し（Ｓ２００：ＹＥＳ）、且つ、ＤｏＳ攻撃が無くなったと判定すると（Ｓ２２０及びＳ２３０：ＮＯ、Ｓ２４０）、ゲートウェイ１５へ、ＤｏＳ攻撃が終了したことを示す終了通知を送信する（Ｓ２５０）。そして、ゲートウェイ１５は、終了通知を受信すると（Ｓ３４０：ＹＥＳ）、外内中継を再開する（Ｓ３５０）。
【００３９】
このため、車外装置からのＤｏＳ攻撃が発生してゲートウェイ１５による外内中継が停止した後、すぐにＤｏＳ攻撃が終了したとしても、所定時間は外内中継が停止し続けることとなる。よって、その所定時間内に車外装置がＤｏＳ攻撃を再開したとしても、その再開されたＤｏＳ攻撃の影響を最初から無効にすることができる。更に、外内中継の停止は、時限性の措置となるため、ＤｏＳ攻撃を行った車外装置がコネクタ１１から外され、その後、正規の外部ツール９がコネクタ１１に接続された場合には、その外部ツール９とＥＣＵ５とのデータ通信が可能となる。
【００４０】
また、監視ＥＣＵ１７が図３のＳ２００で判定する時間（上記所定時間）は、ランダムな時間であるため、セキュリティ性能を一層高くすることができる。
上記所定時間がランダムな時間であれば、周期的なＤｏＳ攻撃に対する耐性を向上させることができる。具体的には、例えば、外内中継が停止から再開された直後にＤｏＳ攻撃が再開されて、外内中継が停止されるまでの間に不要なデータが第１バス７へ中継されてしまう、という状態が繰り返されてしまうことを防止することができる。また、外内中継が停止される時間が、悪意のある者に見破られることもなくなる。
【００４１】
また、監視ＥＣＵ１７は、第２バス１３の負荷が所定の閾値Ｌｔｈ以上になった場合に、ＤｏＳ攻撃が発生したと判定するようになっている。このため、ＤｏＳ攻撃の発生を正しく判定することができる。
【００４２】
更に、監視ＥＣＵ１７は、第２バスの負荷が閾値Ｌｔｈ以上になり、且つ、第２バス１３において伝送されるドミナント信号の割合が所定の閾値Ｄｔｈ以上になった場合に、ＤｏＳ攻撃が発生したと判定するようになっている。このため、ＤｏＳ攻撃の発生を一層正しく判定することができる。ドミナント通信とレセッシブ信号とのうち、通信に対する影響は、ドミナント信号の方が大きいため、ＤｏＳ攻撃を行う車外装置は、ドミナント信号の割合を大きくしてデータを送信してくると予想されるからである。
【００４３】
また、監視ＥＣＵ１７が送信する攻撃通知は、優先度が最も高いフレームであるため、その攻撃通知をゲートウェイ１５に確実に伝達させることができ、延いては、外内中継の停止が確実に実施されるようにすることができる。
【００４４】
《変形例１》
例えば、図２の処理では、Ｓ１３０を削除して、Ｓ１２０でＹＥＳと判定すると、Ｓ１４０へ進むようにしても良い。その場合、図３のＳ２３０も、同様に削除することができる。
【００４５】
《変形例２》
図３の処理では、Ｓ２２０でＹＥＳと判定した場合にＳ２３０の判定を行い、そのＳ２３０でＮＯと判定するか、あるいは、Ｓ２２０でＮＯと判定した場合に、Ｓ２４０へ進むようにしても良い。つまり、第２バス１３の負荷が閾値Ｌｔｈ以上ではないと判定するか、あるいは、第２バス１３におけるドミナント割合が閾値Ｄｔｈ以上ではないと判定した場合に、ＤｏＳ攻撃が止んだと判定するようになっていても良い。
【００４６】
《変形例３》
図３の処理では、Ｓ２００を、Ｓ２４０の後、あるいは、Ｓ２３０とＳ２４０との間に移動しても良い。
【００４７】
《変形例４》
図３のＳ２５０で送信される終了通知を、図２のＳ１５０で送信される攻撃通知と同じフレームにしても良い。つまり、攻撃通知と終了通知とを、同じ共用のフレーム（換言すれば、共用の通知）にしても良い。その場合、ゲートウェイ１５は、図４のＳ３２０とＳ３４０との各々では、上記共用のフレームを受信したか否かを判定すれば良い。
【００４８】
《変形例５》
ゲートウェイ１５は、監視ＥＣＵ１７からの終了通知に拘わらず、攻撃通知を受信して外内中継を停止してから所定の待ち時間が経過すると、中継を再開するようになっていても良い。更に、その場合にも、上記待ち時間をランダムな時間にすれば、周期的なＤｏＳ攻撃に対する耐性を向上させることができる。
【００４９】
以上、本発明の実施形態について説明したが、本発明は上記実施形態（変形例を含む）に限定されることなく、種々の形態を採り得る。また、前述の数値も一例であり他の値でも良い。また、上記実施形態における１つの構成要素が有する機能を複数の構成要素として分散させたり、複数の構成要素が有する機能を１つの構成要素に統合させたりしてもよい。また、上記実施形態の構成の少なくとも一部を、同様の機能を有する公知の構成に置き換えてもよい。また、上記実施形態の構成の一部を省略してもよい。なお、特許請求の範囲に記載した文言によって特定される技術思想に含まれるあらゆる態様が本発明の実施形態である。また、上述した車載通信システムの他、当該車載通信システムを構成する監視装置、中継装置、監視装置又は中継装置としてコンピュータを機能させるためのプログラム、このプログラムを記録した媒体、ＤｏＳ攻撃の無効化方法など、種々の形態で本発明を実現することもできる。
【符号の説明】
【００５０】
１…車載通信システム、３…車両、５…ＥＣＵ（車載装置）、７…第１バス、９…外部ツール（車外装置）、１１…コネクタ、１３…第２バス、１５…ゲートウェイ（中継装置）、１７…監視ＥＣＵ（監視装置）
【図１】
0006369341.tif 000002
【図２】
0006369341.tif 000003
【図３】
0006369341.tif 000004
【図４】
0006369341.tif 000005