JP2019212972A

JP2019212972A - Electronic control device, monitoring method, program, and gateway device

Info

Publication number: JP2019212972A
Application number: JP2018104986A
Authority: JP
Inventors: 中野　稔久; Toshihisa Nakano; 稔久中野; 若林　徹; Toru Wakabayashi; 徹若林; 崇之藤井; Takayuki Fujii; 室山隆; Takashi Muroyama; 隆室山
Original assignee: Panasonic Intellectual Property Management Co Ltd
Current assignee: Panasonic Intellectual Property Management Co Ltd
Priority date: 2018-05-31
Filing date: 2018-05-31
Publication date: 2019-12-12
Anticipated expiration: 2038-05-31
Also published as: JP6519829B1

Abstract

To provide a monitoring device that appropriately copes with an attack frame of an unauthorized acceleration control instruction transmitted to a network provided in a mobility object.SOLUTION: A monitoring device 100 that monitors an acceleration control instruction for steering a mobility object, which is transmitted in a network provided in the mobility object includes a receiving unit 1101 that acquires status information indicating at least one of the status of the mobility object and the status of the outside world in which the mobility object travels, and an acceleration control instruction transmitted in an in-vehicle network 10, and a determination unit 3101 that determines whether the acceleration control instruction is an unauthorized control instruction by comparing the situation indicated by the acquired situation information with the control content indicated by the acquired acceleration control instruction and outputs information indicating the result of the determination.SELECTED DRAWING: Figure 6

Description

本発明は、例えば車両に搭載される電子制御ユニットが通信を行う車載ネットワークにおいて送信される車速制御指示メッセージについての不正に対処するためのセキュリティ技術に関する。 The present invention relates to a security technique for dealing with a vehicle speed control instruction message transmitted in an in-vehicle network in which an electronic control unit mounted on a vehicle communicates, for example.

近年、自動車の中のシステムには、電子制御ユニット（ＥＣＵ：Electronic Control Unit）と呼ばれる装置が多数配置されている。これらのＥＣＵをつなぐネットワークは車載ネットワークと呼ばれる。車載ネットワークには、多数の規格が存在する。その中でも最も主流な車載ネットワークの一つに、ＩＳＯ１１８９８−１で規定されているＣＡＮ（Controller Area Network）という規格が存在する。 In recent years, many systems called electronic control units (ECUs) are arranged in a system in an automobile. A network connecting these ECUs is called an in-vehicle network. There are many standards for in-vehicle networks. Among them, one of the most mainstream in-vehicle networks is a standard called CAN (Controller Area Network) defined by ISO11898-1.

ＣＡＮでは、通信路は２本のワイヤで構成されたバス（ＣＡＮバス）であり、バスに接続されているＥＣＵはノードと呼ばれる。ＣＡＮバスに接続されている各ノードは、フレーム（メッセージ）を送受信する。フレームを送信する送信ノードは、２本のバスに電圧をかけ、バス間で電位差を発生させることによって、レセシブと呼ばれる「１」の値と、ドミナントと呼ばれる「０」の値を送信する。複数の送信ノードが全く同一のタイミングで、レセシブとドミナントを送信した場合は、ドミナントが優先されて送信される。受信ノードは、受け取ったフレームのフォーマットに異常がある場合には、エラーフレームと呼ばれるフレームを送信する。エラーフレームとは、ドミナントを６ｂｉｔ連続して送信することで、送信ノードや他の受信ノードにフレームの異常を通知するものである。 In CAN, the communication path is a bus composed of two wires (CAN bus), and the ECU connected to the bus is called a node. Each node connected to the CAN bus transmits and receives a frame (message). A transmission node that transmits a frame applies a voltage to two buses to generate a potential difference between the buses, thereby transmitting a value of “1” called recessive and a value of “0” called dominant. When a plurality of transmitting nodes transmit recessive and dominant at exactly the same timing, the dominant is transmitted with priority. When there is an abnormality in the format of the received frame, the receiving node transmits a frame called an error frame. An error frame is a notification of frame abnormality to a transmitting node or another receiving node by transmitting dominants continuously for 6 bits.

またＣＡＮでは、送信先や送信元を指す識別子は存在せず、送信ノードはフレーム毎に、メッセージＩＤと呼ばれるＩＤを付けて送信し（つまりバスに信号を送出し）、各受信ノードは予め定められたメッセージＩＤのみを受信する（つまりバスから信号を読み取る）。また、ＣＡＮでは、ＣＳＭＡ／ＣＡ（Carrier Sense Multiple Access/Collision Avoidance）方式を採用しており、複数ノードの同時送信時にはメッセージＩＤによる調停が行われ、メッセージＩＤの値が小さいフレームが優先的に送信される。自動車の中のシステムにおいては、多数のＥＣＵそれぞれは、様々な情報を含むフレームの授受を行う。例えば、各ＥＣＵがフレームを授受して連携することで、先進運転者支援システム（ＡＤＡＳ：Advanced Driver Assistance System）の車速制御支援機能等が実現される。車速制御支援機能の例としては、車速維持機能（クルーズコントロール（Cruise Control））、車間距離維持機能（アダプティブクルーズコントロール（Adaptive Cruise Control））、車間距離調整機能（コーオペラティブアダプティブクルーズコントロール（Cooperative Adaptive Cruise Control））が挙げられる。これらの機能を実現するためには、エンジン又はモーター等の原動機の出力を制御するアクセルＥＣＵと、先行車両、路面の区画線等、車両の周囲の物体の認識及び検知等を行うセンサＥＣＵと、加速が必要な状況を検知して加速制御指示のフレームを出す車速制御支援ＥＣＵ等とが連携する。 In CAN, there is no identifier indicating a transmission destination or a transmission source, the transmission node transmits an ID called a message ID for each frame (that is, sends a signal to the bus), and each reception node is predetermined. Only the received message ID is received (ie, the signal is read from the bus). In addition, CAN employs a CSMA / CA (Carrier Sense Multiple Access / Collision Avoidance) method, and arbitration is performed using a message ID during simultaneous transmission of a plurality of nodes, and a frame with a small message ID value is preferentially transmitted. Is done. In a system in an automobile, each of a large number of ECUs exchanges frames including various information. For example, a vehicle speed control support function of an advanced driver assistance system (ADAS) is realized by each ECU exchanging a frame and cooperating with each other. Examples of vehicle speed control support functions include vehicle speed maintenance function (Cruise Control), inter-vehicle distance maintenance function (Adaptive Cruise Control), and inter-vehicle distance adjustment function (Cooperative Adaptive Cruise Control (Cooperative Adaptive)). Cruise Control)). In order to realize these functions, an accelerator ECU that controls the output of a prime mover such as an engine or a motor, a sensor ECU that recognizes and detects an object around the vehicle, such as a preceding vehicle, a road marking line, and the like, A vehicle speed control support ECU or the like that detects a situation that requires acceleration and issues an acceleration control instruction frame cooperates.

ところで、ＣＡＮバスに不正なノードを接続すること、又は携帯情報端末、車外の通信装置等と通信する機能を有するＥＣＵ等を攻撃して不正なノードに変化させること等により、攻撃者が、攻撃フレームをＣＡＮバスに送信して、自動車を不正にコントロールする脅威が存在する。攻撃フレームは、不正な攻撃者によってＣＡＮバスに送信されたフレームであり、車載ネットワークの正常状態において本来は送信されないフレーム（不正なフレーム）である。例えば、攻撃者により、先行車両との車間距離の短い状態で、急加速を発動させるような加速制御指示のフレームがＣＡＮバスに送信されると、その先行車両への追突等の事故が生じ得る。 By the way, an attacker can connect an unauthorized node to the CAN bus or attack an ECU having a function of communicating with a portable information terminal, a communication device outside the vehicle, etc. There is a threat of sending frames to the CAN bus to illegally control the car. The attack frame is a frame transmitted to the CAN bus by an unauthorized attacker, and is a frame (illegal frame) that is not originally transmitted in a normal state of the in-vehicle network. For example, if an attacker sends an acceleration control instruction frame that activates rapid acceleration to a CAN bus with a short distance from the preceding vehicle, an accident such as a rear-end collision with the preceding vehicle may occur. .

このような攻撃フレームを検知して防御する技術として、センサが検知する車輪速、エンジン回転数などの物理量又は選択的状態を示す数値についての所定値を基準として予め登録しておき、この基準に基づいてフレームに含まれる値について異常判断を行う技術が知られている（特許文献１参照）。 As a technique for detecting and defending against such attack frames, a physical value such as a wheel speed detected by a sensor, an engine speed, or a predetermined value for a numerical value indicating a selective state is registered in advance as a reference. A technique for performing abnormality determination on a value included in a frame based on this is known (see Patent Document 1).

特開２００８−１１４８０６号公報JP 2008-114806 A

しかし、特許文献１の技術では、攻撃者が送信する不正な加速制御指示の攻撃フレームに適切に対処するためには有用ではない。 However, the technique of Patent Document 1 is not useful for appropriately dealing with an attack frame of an unauthorized acceleration control instruction transmitted by an attacker.

そこで、本発明は、攻撃者により移動体におけるネットワーク（例えば車載ネットワーク）のバスに送信される不正な加速制御指示の攻撃フレームに適切に対処する監視装置、制御システム、制御方法、及び、当不正なフレームに適切に対処するために用いられるプログラムを提供する。 Therefore, the present invention provides a monitoring device, a control system, a control method, and the illegal device that appropriately copes with an attack frame of an unauthorized acceleration control instruction transmitted to a bus of a network (for example, an in-vehicle network) in a mobile body by an attacker. Provide a program that can be used to deal appropriately with various frames.

上記課題を解決するために本発明の一態様に係る監視装置は、モビリティが備えるモビリティネットワークで伝送される、前記モビリティを加速させるための加速制御指示を監視する監視装置であって、前記モビリティの状況及び前記モビリティが走行する外界の状況の少なくとも一方を示す状況情報を、及び前記モビリティネットワークで伝送されている前記加速制御指示を取得する取得部と、取得された前記状況情報が示す状況と、取得された前記加速制御指示が示す制御内容とを比較することで、前記加速制御指示が不正な制御指示であるか否かの判定を実行し、前記判定の結果を示す情報を出力する判定部とを備える。 In order to solve the above-described problem, a monitoring apparatus according to an aspect of the present invention is a monitoring apparatus that monitors an acceleration control instruction for accelerating the mobility, which is transmitted in a mobility network included in the mobility. A situation information indicating at least one of a situation and a situation of the outside world where the mobility travels, an acquisition unit for acquiring the acceleration control instruction transmitted in the mobility network, and a situation indicated by the acquired situation information, A determination unit that determines whether or not the acceleration control instruction is an unauthorized control instruction by comparing the acquired control content indicated by the acceleration control instruction and outputs information indicating the result of the determination With.

また、上記課題を解決するために本発明の一態様に係る監視方法は、モビリティが備えるモビリティネットワークで伝送される、前記モビリティを加速させるための加速制御指示を監視する監視装置による監視方法であって、前記モビリティの状況及び前記モビリティが走行する外界の状況の少なくとも一方を示す状況情報を、及び前記モビリティネットワークで伝送されている前記加速制御指示を取得し、取得された前記状況情報が示す状況と、取得された前記加速制御指示が示す制御内容とを比較することで、前記加速制御指示が不正な制御指示であるか否かを判定し、前記判定の結果を示す情報を出力する。 In order to solve the above problem, a monitoring method according to an aspect of the present invention is a monitoring method by a monitoring device that monitors an acceleration control instruction for accelerating the mobility, which is transmitted in a mobility network included in the mobility. The situation information indicating at least one of the mobility situation and the outside situation where the mobility travels and the acceleration control instruction transmitted in the mobility network are obtained, and the situation indicated by the obtained situation information Is compared with the control content indicated by the acquired acceleration control instruction, it is determined whether or not the acceleration control instruction is an illegal control instruction, and information indicating the result of the determination is output.

また、上記課題を解決するために本発明の一態様に係るプログラムは、上記の監視方法をコンピュータに実行させるためのプログラムである。 In order to solve the above problem, a program according to one embodiment of the present invention is a program for causing a computer to execute the monitoring method.

本発明によれば、移動体におけるネットワークのバスに送信される加速制御指示に係る不正なフレーム（攻撃フレーム）の無効化が可能となり得る。 ADVANTAGE OF THE INVENTION According to this invention, the invalid frame (attack frame) concerning the acceleration control instruction | indication transmitted to the bus | bath of the network in a mobile body can be made invalid.

図１は、実施の形態に係る車載ネットワークシステムの全体構成を示す図である。FIG. 1 is a diagram illustrating an overall configuration of an in-vehicle network system according to an embodiment. 図２は、ＣＡＮプロトコルで規定されるデータフレームのフォーマットを示す図である。FIG. 2 is a diagram showing a format of a data frame defined by the CAN protocol. 図３は、ＣＡＮプロトコルで規定されるエラーフレームのフォーマットを示す図である。FIG. 3 is a diagram illustrating an error frame format defined by the CAN protocol. 図４は、実施の形態に係るアクセルＥＣＵの構成例を示すブロック図である。FIG. 4 is a block diagram illustrating a configuration example of the accelerator ECU according to the embodiment. 図５は、車速制御支援ＥＣＵが送信する加速制御指示に係るデータフレームのデータフィールドの値が示す制御内容の一例を説明するための図である。FIG. 5 is a diagram for explaining an example of the control content indicated by the value of the data field of the data frame related to the acceleration control instruction transmitted by the vehicle speed control support ECU. 図６は、実施の形態に係るセキュリティＥＣＵ（監視装置）の構成例を示すブロック図である。FIG. 6 is a block diagram illustrating a configuration example of the security ECU (monitoring device) according to the embodiment. 図７は、車速制御支援機能による制御による車速と車間距離との関係に基づいて定められる、加速制御指示の不正判定の条件について説明するための図である。FIG. 7 is a diagram for explaining the conditions for determining whether the acceleration control instruction has been illegally determined based on the relationship between the vehicle speed and the inter-vehicle distance controlled by the vehicle speed control support function. 図８は、実施の形態に係るセキュリティＥＣＵで実行される監視処理の手順の一例を示すフローチャートである。FIG. 8 is a flowchart illustrating an example of a procedure of monitoring processing executed by the security ECU according to the embodiment. 図９は、実施の形態における加速制御に係る処理シーケンスの一例を示す図である。FIG. 9 is a diagram illustrating an example of a processing sequence according to the acceleration control in the embodiment. 図１０は、実施の形態の一変形例に係るアクセルＥＣＵの構成例を示すブロック図である。FIG. 10 is a block diagram illustrating a configuration example of an accelerator ECU according to a modification of the embodiment. 図１１は、上記の変形例に係る監視装置で実行される監視処理の手順の一例を示すフローチャートである。FIG. 11 is a flowchart illustrating an example of a procedure of a monitoring process executed by the monitoring device according to the modification. 図１２は、上記の変形例における加速制御に係る処理シーケンスの一例を示す図である。FIG. 12 is a diagram illustrating an example of a processing sequence related to acceleration control in the above modification.

（本発明の基礎となった知見等）
車両の先進運転者支援システムでは、車速又は車間距離を一定に保とうとする車速制御支援ＥＣＵは、車速等の検知を行うセンサＥＣＵを含む、ネットワーク上の他のＥＣＵからＣＡＮバス等の通信線を介して取得した情報等に基づいて、加速が必要な状況が発生したときに加速制御指示（つまり加速制御指示のフレーム）をＣＡＮバスに送信する。その加速制御指示に従って、アクセルＥＣＵがエンジン又はモーター等の原動機の出力を制御することで車両が加速する。なお、加速制御指示の内容として、加速のために原動機の出力を上げる指示の他に、例えば車速の維持のために原動機の出力を上げる又は抑える指示、加速度を調整するために原動機の出力を上げる又は抑える指示が含まれてもよい。実際にはこれらの指示は、例えばアクセル開度で表されてもよい。 (Knowledge that became the basis of the present invention)
In the advanced driver support system for vehicles, the vehicle speed control support ECU that tries to keep the vehicle speed or the inter-vehicle distance constant includes a communication line such as a CAN bus from other ECUs on the network including a sensor ECU that detects the vehicle speed and the like. On the basis of the information acquired via the interface, when a situation requiring acceleration occurs, an acceleration control instruction (that is, an acceleration control instruction frame) is transmitted to the CAN bus. In accordance with the acceleration control instruction, the accelerator ECU controls the output of a prime mover such as an engine or a motor to accelerate the vehicle. In addition to the instruction to increase the output of the prime mover for acceleration, the contents of the acceleration control instruction include, for example, an instruction to increase or suppress the output of the prime mover to maintain the vehicle speed, and increase the output of the prime mover to adjust the acceleration. Or instructions to suppress may be included. Actually, these instructions may be expressed by, for example, an accelerator opening.

攻撃者により、不正な加速制御指示の攻撃フレーム（不正なフレーム）が送信され、その不正な加速制御指示が、車速制御支援ＥＣＵが送信する適正な加速制御指示と相違する内容である場合においては、車両等の事故につながる可能性がある。適正な加速制御指示は、車両の実際の速度、車両速度に対するドライバーによる設定、若しくは車両で有効な運転支援機能等の車両の状況、又は走行中の場所での速度に関する規制、若しくは先行車両との車間距離等の車両の走行する外界の状況に対応した内容となるべきである。 In the case where an attacker sends an attack frame (illegal frame) of an unauthorized acceleration control instruction, and the unauthorized acceleration control instruction is different from an appropriate acceleration control instruction transmitted by the vehicle speed control support ECU. , May lead to accidents such as vehicles. Appropriate acceleration control instructions are the actual speed of the vehicle, the setting by the driver for the vehicle speed, or the vehicle status such as the driving support function that is effective in the vehicle, or the restriction on the speed at the place where the vehicle is traveling, or the preceding vehicle The content should correspond to the situation of the outside world where the vehicle travels, such as the inter-vehicle distance.

そこで、ＣＡＮバスに送信された加速制御指示が、これらのような車両の状況又は車両の外界の状況に応じた適正な加速制御指示か、これらの状況と不整合な内容の不正な加速制御指示かを、判定する方法に想到した。なお、車両はこの方法の適用対象の一例であり、その他の移動体にもこの方法を適用し得る。 Therefore, the acceleration control instruction transmitted to the CAN bus is an appropriate acceleration control instruction corresponding to the situation of the vehicle or the external environment of the vehicle, or an incorrect acceleration control instruction having contents inconsistent with these situations. I came up with a method to judge. A vehicle is an example of an application target of this method, and this method can be applied to other moving objects.

本発明の一態様に係る監視装置等では、その方法を実行して不正な加速制御指示を特定する。また、不正な加速制御指示であればさらに無効化することで、その加速制御指示に従って加速制御を実行することを抑止する。これにより、不正な加速制御指示の攻撃フレームによって引き起こされる事故の防止が可能となる。 In the monitoring device or the like according to one aspect of the present invention, the method is executed to identify an unauthorized acceleration control instruction. Further, by invalidating an invalid acceleration control instruction, execution of the acceleration control according to the acceleration control instruction is suppressed. As a result, it is possible to prevent an accident caused by an unauthorized acceleration control instruction attack frame.

本発明の一態様に係る監視装置は、モビリティが備えるモビリティネットワークで伝送される、前記モビリティを加速させるための加速制御指示を監視する監視装置であって、前記モビリティの状況及び前記モビリティが走行する外界の状況の少なくとも一方を示す状況情報を、及び前記モビリティネットワークで伝送されている前記加速制御指示を取得する取得部と、取得された前記状況情報が示す状況と、取得された前記加速制御指示が示す制御内容とを比較することで、前記加速制御指示が不正な制御指示であるか否かの判定を実行し、前記判定の結果を示す情報を出力する判定部とを備える。これにより、車両の状況及び車両の外界の状況（以下、特に区別せずにまとめて車両等の状況ともいう）に照らして適切か否かに基づいて、ネットワークに送信された加速制御指示が不正な制御指示であるか否かが判定され、その判定結果を利用することができる。 A monitoring apparatus according to an aspect of the present invention is a monitoring apparatus that monitors an acceleration control instruction for accelerating the mobility, which is transmitted in a mobility network included in the mobility, and the mobility status and the mobility travel. An acquisition unit that acquires status information indicating at least one of the conditions of the outside world and the acceleration control instruction transmitted in the mobility network; a status indicated by the acquired status information; and the acquired acceleration control instruction And a determination unit that determines whether or not the acceleration control instruction is an illegal control instruction and outputs information indicating the result of the determination. As a result, the acceleration control instruction sent to the network is illegal based on whether or not it is appropriate in light of the situation of the vehicle and the situation of the outside world of the vehicle (hereinafter collectively referred to as the situation of the vehicle etc. without distinction). It is determined whether the control instruction is correct, and the determination result can be used.

また、例えば、前記判定部によって前記加速制御指示が不正な制御指示であると判定された場合に、前記加速制御指示を無効化する無効化部をさらに備えてもよい。これにより、アクセルＥＣＵによる不正な加速制御指示に従っての加速制御の実行が抑止される。 For example, when the said determination part determines with the said acceleration control instruction | indication being an unauthorized control instruction | indication, you may further provide the invalidation part which invalidates the said acceleration control instruction | indication. Thereby, execution of the acceleration control according to the unauthorized acceleration control instruction by the accelerator ECU is suppressed.

また、例えば、前記判定部は、前記加速制御指示が、前記状況情報が示す状況と不整合の制御内容を示す場合に、前記加速制御指示が不正な制御指示であると判定してもよい。これにより、例えば車両等の状況と矛盾する加速制御指示は、不正な制御指示であると判定される。 Further, for example, the determination unit may determine that the acceleration control instruction is an illegal control instruction when the acceleration control instruction indicates a control content inconsistent with the situation indicated by the situation information. Thereby, for example, an acceleration control instruction that contradicts the situation of the vehicle or the like is determined to be an unauthorized control instruction.

また、例えば、前記判定部は、前記状況情報が示す状況が、前記モビリティの設定速度又は前記モビリティが走行する場所の規制速度を示し、かつ、前記加速制御指示が、前記モビリティを前記設定速度又は前記規制速度を超える速度で走行させる制御内容を示す場合に、前記加速制御指示が不正な制御指示であると判定してもよい。また、例えば、前記判定部は、前記状況情報が示す状況が、前記モビリティの先行モビリティから前記モビリティが走行すべき速度を示す情報を受信したことを示し、かつ、前記加速制御指示が、受信した前記情報が示す速度を超える速度で走行させる制御内容を示す場合に、前記加速制御指示が不正な制御指示であると判定もよい。これにより、ドライバーが車両に対して設定している制限速度、又は公的な制限を超える速度で車両を走行させる加速制御指示は、不正な制御指示であると判定される。 Further, for example, the determination unit indicates that the situation indicated by the situation information indicates a set speed of the mobility or a regulation speed of a place where the mobility travels, and the acceleration control instruction indicates that the mobility is the set speed or When the control content for traveling at a speed exceeding the regulation speed is shown, the acceleration control instruction may be determined to be an unauthorized control instruction. Further, for example, the determination unit indicates that the situation indicated by the situation information has received information indicating a speed at which the mobility should travel from the preceding mobility of the mobility, and the acceleration control instruction has been received. When the control content for running at a speed exceeding the speed indicated by the information is indicated, the acceleration control instruction may be determined to be an unauthorized control instruction. As a result, the acceleration control instruction for causing the vehicle to travel at a speed limit set by the driver for the vehicle or exceeding the official limit is determined to be an unauthorized control instruction.

また、例えば、前記判定部は、前記状況情報が示す状況が、前記モビリティの進行方向にある物体との距離を示し、かつ、前記加速制御指示が、前記モビリティを、第１所定値を超える速度で走行させる制御内容を示す場合に、前記加速制御指示が不正な制御指示であると判定してもよい。これにより、例えば先行車両との車間距離を過度に詰めることになる速度で車両を走行させる加速制御指示は、不正な制御指示であると判定される。 In addition, for example, the determination unit indicates a speed at which the situation indicated by the situation information indicates a distance from an object in the traveling direction of the mobility, and the acceleration control instruction exceeds the mobility by a first predetermined value. The acceleration control instruction may be determined to be an illegal control instruction when the control content to be traveled is indicated. As a result, for example, an acceleration control instruction for causing the vehicle to travel at a speed that would excessively reduce the inter-vehicle distance from the preceding vehicle is determined to be an unauthorized control instruction.

また、例えば、前記判定部は、前記状況情報が示す状況が、前記モビリティを減速させるべき状況を示し、かつ、前記加速制御指示が、前記モビリティを、第２所定値を超える速度で走行させる制御内容を示す場合に、前記加速制御指示が不正な制御指示であると判定してもよい。これにより、減速が実行される状況で車両を加速させる加速制御指示は、不正な制御指示であると判定される。 In addition, for example, the determination unit performs a control in which the situation indicated by the situation information indicates a situation where the mobility should be decelerated, and the acceleration control instruction causes the mobility to travel at a speed exceeding a second predetermined value. When the content is indicated, the acceleration control instruction may be determined to be an unauthorized control instruction. Thereby, it is determined that the acceleration control instruction for accelerating the vehicle in a situation where deceleration is executed is an unauthorized control instruction.

また、例えば、前記判定部は、前記状況情報が示す状況が、前記モビリティが備える先進運転者支援システムがオフであることを示し、かつ、前記加速制御指示が、第３所定値を超える速度で走行させる制御内容を示す、又は、前記取得部が所定期間内に前記加速制御指示を取得した場合に、前記加速制御指示が不正な制御指示であると判定してもよい。これにより、ＡＤＡＳ機能が無効である状況で、ＡＤＡＳ機能からの加速制御指示を装った可能性のある加速制御指示は、不正な制御指示であると判定される。 For example, the determination unit indicates that the situation indicated by the situation information indicates that the advanced driver assistance system included in the mobility is off, and the acceleration control instruction is at a speed exceeding a third predetermined value. It may be determined that the acceleration control instruction is an improper control instruction when the content of the control to be performed is indicated or the acquisition unit acquires the acceleration control instruction within a predetermined period. Thereby, in a situation where the ADAS function is invalid, it is determined that an acceleration control instruction that may be disguised as an acceleration control instruction from the ADAS function is an unauthorized control instruction.

また、本発明の一態様に係る監視方法は、モビリティが備えるモビリティネットワークで伝送される、前記モビリティを加速させるための加速制御指示を監視する監視装置による監視方法であって、前記モビリティの状況及び前記モビリティが走行する外界の状況の少なくとも一方を示す状況情報を、及び前記モビリティネットワークで伝送されている前記加速制御指示を取得し、取得された前記状況情報が示す状況と、取得された前記加速制御指示が示す制御内容とを比較することで、前記加速制御指示が不正な制御指示であるか否かを判定し、前記判定の結果を示す情報を出力する。これにより、車両等の状況に照らして適切か否かに基づいて、ネットワークに送信された加速制御指示が不正な制御指示であるか否かが判定され、その判定結果を利用することができる。 A monitoring method according to an aspect of the present invention is a monitoring method by a monitoring device that monitors an acceleration control instruction for accelerating the mobility, which is transmitted in a mobility network included in the mobility, and includes the mobility status and The situation information indicating at least one of the conditions of the outside world where the mobility travels and the acceleration control instruction transmitted in the mobility network are acquired, the situation indicated by the acquired situation information, and the acquired acceleration By comparing with the control content indicated by the control instruction, it is determined whether or not the acceleration control instruction is an illegal control instruction, and information indicating the result of the determination is output. Thereby, it is determined whether the acceleration control instruction transmitted to the network is an improper control instruction based on whether it is appropriate in light of the situation of the vehicle or the like, and the determination result can be used.

また、本発明の一態様に係るプログラムは、上記の監視方法をコンピュータに実行させるためのプログラムである。このプログラムが、プロセッサ（マイクロプロセッサ）を備えるコンピュータにインストールされ、そのコンピュータのプロセッサによって当該プログラムが実行されることで、バス上に現れた加速制御指示が不正であるか否か適切に判定される。 A program according to one embodiment of the present invention is a program for causing a computer to execute the above monitoring method. When this program is installed in a computer having a processor (microprocessor) and the program is executed by the processor of the computer, it is appropriately determined whether or not the acceleration control instruction appearing on the bus is illegal. .

なお、これらの全般的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ−ＲＯＭ等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。 These general or specific aspects may be realized by a system, a method, an integrated circuit, a computer program, or a computer-readable recording medium such as a CD-ROM. The system, method, integrated circuit, computer You may implement | achieve with arbitrary combinations of a program or a recording medium.

以下、実施の形態に係る監視方法を実行する監視装置等について、図面を参照しながら説明する。ここで示す実施の形態は、本発明の一具体例を示すものである。したがって、以下の実施の形態で示される数値、構成要素、構成要素の配置及び接続形態、並びに、ステップ（工程）及びステップの順序等は、一例であって本発明を限定するものではない。以下の実施の形態における構成要素のうち、独立請求項に記載されていない構成要素については、任意に付加可能な構成要素である。また、各図は模式図であり、必ずしも厳密に図示されたものではない。 Hereinafter, a monitoring device or the like that executes a monitoring method according to an embodiment will be described with reference to the drawings. The embodiment shown here shows a specific example of the present invention. Therefore, numerical values, components, arrangement and connection forms of components, and steps (processes) and order of steps shown in the following embodiments are merely examples, and do not limit the present invention. Among the constituent elements in the following embodiments, constituent elements that are not described in the independent claims can be arbitrarily added. Each figure is a mimetic diagram and is not necessarily illustrated strictly.

なお、以下実施の形態では、自動車に搭載される車載ネットワークにおけるセキュリティ対策として説明するが、適用範囲はこれに限られない。自動車に限らず、建機、農機、船舶、鉄道、飛行機等の各種のモビリティが備えるモビリティネットワークに適用してもよい。 In the following embodiments, a security measure in an in-vehicle network mounted on an automobile will be described, but the scope of application is not limited to this. You may apply not only to a motor vehicle but to the mobility network with which various mobility, such as a construction machine, an agricultural machine, a ship, a railroad, an airplane, is equipped.

（実施の形態）
以下、本発明の実施の一態様として、モビリティの一例としての車両において車載ネットワークを構成するバス（ＣＡＮバス）に送信された不正な加速制御指示に係るフレームを無効化するセキュリティＥＣＵ（監視装置）を備える車載ネットワークシステムについて、図面を用いて説明する。なお、以下で説明する技術を船舶又は飛行機に適用する際には、走行は航行又は飛行、車線は移動経路等のように適宜読み替えて理解されたい。 (Embodiment)
Hereinafter, as an embodiment of the present invention, a security ECU (monitoring device) that invalidates a frame related to an unauthorized acceleration control instruction transmitted to a bus (CAN bus) constituting an in-vehicle network in a vehicle as an example of mobility An in-vehicle network system including the above will be described with reference to the drawings. It should be understood that when the technology described below is applied to a ship or an airplane, the traveling is navigation or flight, and the lane is appropriately read as a moving route.

［１．１車載ネットワークシステム１０の構成］
図１は、実施の形態に係る車載ネットワークシステム１０の全体構成を示す図である。 [1.1 Configuration of in-vehicle network system 10]
FIG. 1 is a diagram illustrating an overall configuration of an in-vehicle network system 10 according to an embodiment.

車載ネットワークシステム１０は、図１に例示するように、車両２０に搭載された各種ＥＣＵ（セキュリティＥＣＵ１００、アクセルＥＣＵ３１０、センサＥＣＵ３２０、ブレーキＥＣＵ３３０、車速制御支援ＥＣＵ３５０、及び通信ＥＣＵ３８０）と、バス（ＣＡＮバス）３０とを含んで構成される。なお、車載ネットワークシステム１０には、例えばステアリングの制御に関わるＥＣＵ等の上記以外のＥＣＵも含まれ得るが、図示を省略する。また、車載ネットワークシステム１０は、図示が省略されたものも含むいずれかのＥＣＵがインターネット等の通信ネットワークを通じて通信する車両外部のサーバ装置等とあわせて、車両２０のための制御ネットワークシステムを構成してもよい。なお、外部との通信経路は、車載ネットワークシステム１０への不正なフレームの注入（送信）又はいずれかのＥＣＵを乗っ取るための侵入経路として、車載ネットワークシステム１０へのサイバー攻撃に利用され得る。 As illustrated in FIG. 1, the in-vehicle network system 10 includes various ECUs (security ECU 100, accelerator ECU 310, sensor ECU 320, brake ECU 330, vehicle speed control assist ECU 350, and communication ECU 380) mounted on the vehicle 20, and a bus (CAN bus). 30). The in-vehicle network system 10 may include other ECUs such as an ECU related to steering control, for example, but illustration thereof is omitted. The in-vehicle network system 10 constitutes a control network system for the vehicle 20 together with a server device outside the vehicle with which any ECU including those not shown in the figure communicates through a communication network such as the Internet. May be. Note that the communication path with the outside can be used for cyber attacks to the in-vehicle network system 10 as an intrusion path for injecting (transmitting) unauthorized frames to the in-vehicle network system 10 or hijacking any ECU.

車載ネットワークシステム１０上の各ＥＣＵは、例えば、プロセッサ（マイクロプロセッサ）、メモリ等のデジタル回路、アナログ回路、通信回路等を含む装置である。メモリは、ＲＯＭ（Read-Only Memory）、ＲＡＭ（Random Access Memory）等であり、プロセッサにより実行される制御プログラム（ソフトウェアとしてのコンピュータプログラム）を記憶することができる。例えばプロセッサが、制御プログラム（コンピュータプログラム）に従って動作することにより、ＥＣＵは各種機能を実現する。なお、コンピュータプログラムは、所定の機能を達成するために、プロセッサに対する指令を示す命令コードが複数個組み合わされて構成されたものである。これらのＥＣＵは、ＣＡＮプロトコルに従ってバス３０を介してフレームの授受を行い得る。 Each ECU on the in-vehicle network system 10 is a device including, for example, a processor (microprocessor), a digital circuit such as a memory, an analog circuit, a communication circuit, and the like. The memory is a ROM (Read-Only Memory), a RAM (Random Access Memory), or the like, and can store a control program (computer program as software) executed by the processor. For example, the ECU implements various functions by the processor operating in accordance with a control program (computer program). The computer program is configured by combining a plurality of instruction codes indicating instructions for the processor in order to achieve a predetermined function. These ECUs can exchange frames via the bus 30 according to the CAN protocol.

車載ネットワークシステム１０上の一部のＥＣＵは、バス３０以外の通信路によりセンサ、アクチュエータ、ユーザインタフェース装置等の各種機器と接続されている。例えば、アクセルＥＣＵ３１０は、原動機３１１（のスロットル、燃料噴射装置、モーター駆動回路等）に接続され、原動機３１１を制御する。ブレーキＥＣＵ３３０は、ブレーキ３３１（のアクチュエータ）に接続され、ブレーキ３３１を制御する。なお、図１では、上記の各構成要素を制御するアクチュエータ等の個別の図示を省略しており、以下では説明の簡単のために、アクチュエータ等に対する制御指示を、各構成要素に対する制御指示と表現することがある。また、通信ＥＣＵ３８０は、アンテナ３８１に接続され、アンテナ３８１を介して車載ネットワークシステム１０の外部との通信を行う。図１では、通信相手の例として他の車両２１が示されている。つまり、通信ＥＣＵ３８０によって、車車間通信が実現される。また、センサＥＣＵ３２０は、物体検知センサ３２１及び速度センサ３２２に接続され、各センサで測定された測定情報を表すフレーム（データフレーム）を周期的にバス３０に送信する。車載ネットワークシステム１０において、個々のセンサに対応してセンサＥＣＵ３２０が複数存在してもよいが、説明の便宜上、複数のセンサそれぞれで測定された測定情報を表すフレームを送信し得る１つのセンサＥＣＵ３２０が存在する例を示す。ただし、センサＥＣＵ３２０には車載ネットワークシステム１０上の全てのセンサが接続される必要はなく、アクセルＥＣＵ３１０又はエンジンＥＣＵ３４０等の、センサＥＣＵ３２０以外のＥＣＵに接続されるセンサが存在してもよい。物体検知センサ３２１は、車両２０の進行方向又は周辺の車両、障害物、通行者、路面の区画線等の被検知物を検知する。また、車両２０と被検知物との間の距離等を測定する。より具体的には、例えば前方、側方、後方又は全周囲を撮影するカメラなどのカメラ（イメージセンサ）、レーダー、若しくはライダー又はこれらの組合せで実現され得る。速度センサ３２２は、車両２０の速度を検知するためのセンサである。ここでの車両２０の速度とは、例えば車両２０の絶対速度であるが、物体検知センサ３２１が検知した被検知物に対する車両２０の相対速度であってもよい。なお、車両２０の絶対速度は、移動していない被検知物に対する車両２０の相対速度に等しい。 Some ECUs on the in-vehicle network system 10 are connected to various devices such as sensors, actuators, and user interface devices through communication paths other than the bus 30. For example, the accelerator ECU 310 is connected to a prime mover 311 (a throttle, a fuel injection device, a motor drive circuit, etc.) and controls the prime mover 311. The brake ECU 330 is connected to the brake 331 (actuator thereof) and controls the brake 331. In FIG. 1, individual illustrations of actuators and the like that control each of the above-described components are omitted, and for the sake of simplicity, the control instructions for the actuators and the like are expressed as control instructions for the respective components below. There are things to do. The communication ECU 380 is connected to the antenna 381 and performs communication with the outside of the in-vehicle network system 10 via the antenna 381. In FIG. 1, another vehicle 21 is shown as an example of a communication partner. In other words, vehicle-to-vehicle communication is realized by communication ECU 380. The sensor ECU 320 is connected to the object detection sensor 321 and the speed sensor 322, and periodically transmits a frame (data frame) representing measurement information measured by each sensor to the bus 30. In the in-vehicle network system 10, there may be a plurality of sensor ECUs 320 corresponding to individual sensors. However, for convenience of explanation, one sensor ECU 320 that can transmit a frame representing measurement information measured by each of the plurality of sensors is provided. An example that exists. However, not all sensors on the in-vehicle network system 10 need be connected to the sensor ECU 320, and there may be sensors connected to an ECU other than the sensor ECU 320, such as the accelerator ECU 310 or the engine ECU 340. The object detection sensor 321 detects an object to be detected such as a traveling direction of the vehicle 20 or a surrounding vehicle, an obstacle, a passerby, and a road marking line. Further, the distance between the vehicle 20 and the object to be detected is measured. More specifically, it can be realized by, for example, a camera (image sensor) such as a camera that captures the front, side, rear, or the entire periphery, a radar, a rider, or a combination thereof. The speed sensor 322 is a sensor for detecting the speed of the vehicle 20. Here, the speed of the vehicle 20 is, for example, the absolute speed of the vehicle 20, but may be a relative speed of the vehicle 20 with respect to the detected object detected by the object detection sensor 321. The absolute speed of the vehicle 20 is equal to the relative speed of the vehicle 20 with respect to the detected object that is not moving.

車速制御支援ＥＣＵ３５０は、先進運転者支援システムの車速制御支援機能を担うＥＣＵである。車速制御支援ＥＣＵ３５０は、アクセルＥＣＵ３１０に加速制御を要求するために、センサＥＣＵ３２０から取得した測定情報等、他のＥＣＵから取得した情報に基づいて決定した制御内容の加速制御指示のフレームをバス３０に周期的に送信する。なお、車速制御支援ＥＣＵ３５０は、例えばセンサＥＣＵ３２０等の他のＥＣＵと統合又は直接接続されて、バス３０を介さずに測定情報等の各種の情報を取得してもよい。また、車速制御支援ＥＣＵ３５０と他のＥＣＵとの直接の接続は専用線を介して行われてもよい。 The vehicle speed control support ECU 350 is an ECU that has a vehicle speed control support function of the advanced driver support system. The vehicle speed control assisting ECU 350 sends an acceleration control instruction frame of control contents determined based on information acquired from other ECUs such as measurement information acquired from the sensor ECU 320 to the accelerator 30 in order to request acceleration control from the accelerator ECU 310. Send periodically. The vehicle speed control assistance ECU 350 may be integrated or directly connected to another ECU such as the sensor ECU 320, for example, and may acquire various types of information such as measurement information without going through the bus 30. Further, the direct connection between the vehicle speed control support ECU 350 and another ECU may be made via a dedicated line.

診断用ポート３９０は、ＯＢＤ２（On-Board Diagnostics 2）等のバス３０に接続された端子であり、診断用ポート３９０を介して、診断ツール（故障診断ツール）等の機器によるバス３０へのアクセスが可能となる。 The diagnostic port 390 is a terminal connected to the bus 30 such as OBD2 (On-Board Diagnostics 2) and the bus 30 is accessed by a device such as a diagnostic tool (fault diagnostic tool) via the diagnostic port 390. Is possible.

通信ＥＣＵ３８０及び診断用ポート３９０もまた、車載ネットワークシステム１０への攻撃に利用され得る。 The communication ECU 380 and the diagnostic port 390 can also be used for attacks on the in-vehicle network system 10.

セキュリティＥＣＵ１００は、車載ネットワークシステム１０のセキュリティを確保するための機能を担う。本実施の形態では、セキュリティＥＣＵ１００は、バス３０を流れるフレームを監視し、バス３０上に現れた不正な加速制御指示に係るデータフレームをエラーフレームの送信によって無効化する装置であり、不正な加速制御指示の攻撃フレームに対処する監視装置として機能する。なお、セキュリティＥＣＵ１００は、不正な加速制御指示のフレームのみならず、バス３０上のデータフレームが不正か否かをその他の一定条件を用いて判定し、不正なデータフレームを無効化する機能を有してもよい。 The security ECU 100 has a function for ensuring the security of the in-vehicle network system 10. In the present embodiment, the security ECU 100 is a device that monitors a frame flowing through the bus 30 and invalidates a data frame related to an unauthorized acceleration control instruction appearing on the bus 30 by transmitting an error frame. Functions as a monitoring device to deal with attack frames of control instructions. Note that the security ECU 100 has a function of determining whether or not the data frame on the bus 30 is illegal as well as an illegal acceleration control instruction frame and invalidating the illegal data frame. May be.

［１．２データフレームフォーマット］
以下、ＣＡＮプロトコルに従ったネットワークで用いられるフレームの１つであるデータフレーム（メッセージ）について説明する。 [1.2 Data frame format]
Hereinafter, a data frame (message) which is one of the frames used in the network according to the CAN protocol will be described.

図２は、ＣＡＮプロトコルで規定されるデータフレームのフォーマットを示す図である。同図には、ＣＡＮプロトコルで規定される標準ＩＤフォーマットにおけるデータフレームを示している。データフレームは、ＳＯＦ（Start Of Frame）、ＩＤフィールド、ＲＴＲ（Remote Transmission Request）、ＩＤＥ（Identifier Extension）、予約ビット「ｒ」、ＤＬＣ（Data Length Code）、データフィールド、ＣＲＣ（Cyclic Redundancy Check）シーケンス、ＣＲＣデリミタ「ＤＥＬ」、ＡＣＫ（Acknowledgement）スロット、ＡＣＫデリミタ「ＤＥＬ」、及び、ＥＯＦ（End Of Frame）の各フィールドで構成される。 FIG. 2 is a diagram showing a format of a data frame defined by the CAN protocol. In the figure, a data frame in a standard ID format defined by the CAN protocol is shown. The data frame includes an SOF (Start Of Frame), an ID field, an RTR (Remote Transmission Request), an IDE (Identifier Extension), a reserved bit “r”, a DLC (Data Length Code), a data field, and a CRC (Cyclic Redundancy Check) sequence. , A CRC delimiter “DEL”, an ACK (Acknowledgement) slot, an ACK delimiter “DEL”, and an EOF (End Of Frame) field.

ＳＯＦは、１ｂｉｔのドミナントで構成される。何らのメッセージも送信されていないアイドル状態のバスはレセシブであり、送信ノードであるＥＣＵは、バスをドミナントへ変更することでフレームの送信開始を通知する。 The SOF is composed of a 1-bit dominant. An idle bus in which no message is transmitted is recessive, and an ECU serving as a transmission node notifies the start of frame transmission by changing the bus to dominant.

ＩＤフィールドは、１１ｂｉｔで構成される、データの種類を示す値であるＩＤ（メッセージＩＤ）を格納するフィールドである。複数のノードが同時に送信を開始した場合、ＩＤが小さい値を持つフレームを優先させて通信調停が行われる。 The ID field is a field for storing an ID (message ID) that is a value indicating the type of data, which is composed of 11 bits. When a plurality of nodes start transmission at the same time, communication arbitration is performed by giving priority to a frame having a small ID.

ＲＴＲは、データフレームと、データフレームの要求に用いられるリモートフレームとを識別するための値であり、データフレームではドミナント１ｂｉｔで構成される。 The RTR is a value for identifying a data frame and a remote frame used for requesting the data frame, and is composed of a dominant 1 bit in the data frame.

ＩＤＥ及び「ｒ」は、いずれもドミナント１ｂｉｔで構成される。 IDE and “r” are both composed of a dominant 1 bit.

ＤＬＣは、４ｂｉｔで構成され、続くデータフィールドの長さを示す値である。なお、ＩＤＥ、「ｒ」及びＤＬＣを合わせてコントロールフィールドと称される。 DLC is composed of 4 bits and is a value indicating the length of the following data field. Note that IDE, “r”, and DLC are collectively referred to as a control field.

データフィールドは、最大６４ｂｉｔで構成される、フレームで送信されるデータの内容を含む。長さは８ｂｉｔ単位で可変である。ＣＡＮプロトコルではデータの仕様については規定されておらず、設計者が決定できる。したがって、車載ネットワークシステムのデータの仕様は、車種、製造者（製造メーカ）等に依存する。 The data field includes the content of data transmitted in a frame composed of a maximum of 64 bits. The length is variable in units of 8 bits. The CAN protocol does not define data specifications and can be determined by the designer. Therefore, the data specifications of the in-vehicle network system depend on the vehicle type, manufacturer (manufacturer), and the like.

ＣＲＣシーケンスは１５ｂｉｔで構成される。送信ノードがＳＯＦ、ＩＤフィールド、コントロールフィールド及びデータフィールドの送信値より算出した結果が入る。受信ノードは、これらのフィールドの受信から同様に算出した結果をＣＲＣシーケンスの値と照らし合わせてフレームを正常に受信したか判断する。 The CRC sequence is composed of 15 bits. A result calculated by the transmission node from the transmission values of the SOF, ID field, control field, and data field is entered. The receiving node compares the result calculated in the same manner from the reception of these fields with the CRC sequence value to determine whether the frame has been normally received.

ＣＲＣデリミタは、１ｂｉｔのレセシブで構成されるＣＲＣシーケンスの終了を表す区切り記号である。なお、ＣＲＣシーケンス及びＣＲＣデリミタを合わせてＣＲＣフィールドと称される。 The CRC delimiter is a delimiter representing the end of a CRC sequence composed of 1-bit recessive. The CRC sequence and the CRC delimiter are collectively referred to as a CRC field.

ＡＣＫスロットは１ｂｉｔで構成される。送信ノードはＡＣＫスロットをレセシブにして送信を行う。受信ノードはＣＲＣシーケンスまで正常に受信ができていればＡＣＫスロットのタイミングでドミナントを確認応答として送信する。レセシブよりドミナントが優先されるため、送信後にＡＣＫスロットがドミナントであれば、送信ノードは、ＣＡＮバスに接続されるいずれかの受信ノードがフレームを正常に受信したことを確認できる。 The ACK slot is composed of 1 bit. The transmitting node performs transmission with the ACK slot being recessive. The receiving node transmits a dominant as an acknowledgment at the timing of the ACK slot if it has successfully received the CRC sequence. Since dominant is given priority over recessive, if the ACK slot is dominant after transmission, the transmitting node can confirm that any receiving node connected to the CAN bus has received the frame normally.

ＡＣＫデリミタは、１ｂｉｔのレセシブで構成されるＡＣＫの終了を表す区切り記号である。 The ACK delimiter is a delimiter representing the end of ACK composed of 1-bit recessive.

ＥＯＦは、７ｂｉｔのレセシブで構成されており、データフレームの終了を示す。 The EOF is composed of 7 bits recessive and indicates the end of the data frame.

［１．３エラーフレームフォーマット］
図３は、ＣＡＮプロトコルで規定されるエラーフレームのフォーマットを示す図である。エラーフレームは、エラーフラグ（プライマリ）と、エラーフラグ（セカンダリ）と、エラーデリミタとから構成される。 [1.3 Error frame format]
FIG. 3 is a diagram illustrating an error frame format defined by the CAN protocol. The error frame includes an error flag (primary), an error flag (secondary), and an error delimiter.

エラーフラグ（プライマリ）は、エラーの発生を他のノードに知らせるために使用される。エラーを検知したノードはエラーの発生を他のノードに知らせるために６ｂｉｔのドミナントを連続で送信する。この送信は、ＣＡＮプロトコルにおけるビットスタッフィングルール（同じ値を連続して６ｂｉｔ以上送信しない）に違反し、他のノードからのエラーフレーム（セカンダリ）の送信を引き起こす。 The error flag (primary) is used to notify other nodes of the occurrence of an error. A node that detects an error continuously transmits a 6-bit dominant to notify other nodes of the occurrence of the error. This transmission violates the bit stuffing rule in the CAN protocol (the same value is not transmitted continuously for 6 bits or more), and causes transmission of an error frame (secondary) from another node.

エラーフラグ（セカンダリ）は、エラーの発生を他のノードに知らせるために使用される連続した６ビットのドミナントで構成される。エラーフラグ（プライマリ）を受信してビットスタッフィングルール違反を検知した全てのノードがエラーフラグ（セカンダリ）を送信することになる。 The error flag (secondary) is composed of a continuous 6-bit dominant used to notify other nodes of the occurrence of an error. All nodes that have received the error flag (primary) and detected a violation of the bit stuffing rule will transmit the error flag (secondary).

エラーデリミタ「ＤＥＬ」は、８ｂｉｔの連続したレセシブであり、エラーフレームの終了を示す。 The error delimiter “DEL” is a continuous recess of 8 bits and indicates the end of the error frame.

［１．４アクセルＥＣＵ３１０の構成］
図４は、アクセルＥＣＵ３１０の構成例を示すブロック図である。原動機３１１を制御するためアクセルＥＣＵ３１０は、通信部１３１０と、データバッファ２３１０と、制御処理部３３１０とを備える。 [1.4 Configuration of Accelerator ECU 310]
FIG. 4 is a block diagram illustrating a configuration example of the accelerator ECU 310. In order to control the prime mover 311, the accelerator ECU 310 includes a communication unit 1310, a data buffer 2310, and a control processing unit 3310.

通信部１３１０は、バス３０での通信の制御を担う集積回路（例えば通信回路、メモリ、プロセッサ等）である。通信部１３１０は、例えば、機能的な構成要素としてフレーム送受信機能部、受信フレーム解釈機能部等を含む。 The communication unit 1310 is an integrated circuit (for example, a communication circuit, a memory, a processor, etc.) that controls communication on the bus 30. The communication unit 1310 includes, for example, a frame transmission / reception function unit and a received frame interpretation function unit as functional components.

フレーム送受信機能部は、例えば、バス３０に対してＣＡＮプロトコルに従ってフレームの送受信（フレームの１ｂｉｔずつの逐次送受信）を行う。 The frame transmission / reception function unit performs frame transmission / reception (sequential transmission / reception of each frame by one bit) according to the CAN protocol, for example.

受信フレーム解釈機能部では、フレーム送受信機能部が受信したフレームの値を、ＣＡＮプロトコルで規定されているフレームフォーマットにおける各フィールドにマッピングするよう解釈を行う。受信フレーム解釈機能部では、ＩＤフィールドと判断した値に基づいて、アクセルＥＣＵ３１０が受信すべきデータフレーム（メッセージ）か否かを判別し、受信すべきＩＤでなければそのフレームの解釈を中止する。また、受信フレーム解釈機能部は、例えば、ＣＲＣの値が合わなかったり、ドミナント固定とされている項目がレセシブだったりする等、ＣＡＮプロトコルに則っていないフレームと判断した場合は、フレーム送受信機能部にエラーフレームを送信させる。また、受信フレーム解釈機能部は、エラーフレームを受信した場合、つまり受け取ったフレームにおける値からエラーフレームであると解釈した場合には、それ以降はそのフレームを破棄する、つまりフレームの解釈を中止する。受信したデータフレームのＩＤが車載ネットワークシステム１０の仕様で予め定められている加速制御指示のフレームであることを示すＩＤの場合、通信部１３１０の受信フレーム解釈機能部において受信すべきデータフレームと判別される。受信フレーム解釈機能部は、受信すべきデータフレームと判別したフレームの内容（ＩＤ、データフィールドのデータ等）をデータバッファ２３１０に格納する。 The received frame interpretation function unit interprets the value of the frame received by the frame transmission / reception function unit so as to be mapped to each field in the frame format defined by the CAN protocol. The received frame interpretation function unit determines whether or not the data frame (message) is to be received by the accelerator ECU 310 based on the value determined to be the ID field, and if the ID is not to be received, the interpretation of the frame is stopped. In addition, when the received frame interpretation function unit determines that the frame does not comply with the CAN protocol, for example, the CRC value does not match or the dominant fixed item is recessive, the frame transmission / reception function unit To send an error frame. In addition, when the received frame interpretation function unit receives an error frame, that is, when it is interpreted as an error frame from the value in the received frame, the frame is discarded after that, that is, the interpretation of the frame is stopped. . If the ID of the received data frame is an ID indicating that the frame is an acceleration control instruction frame predetermined in the specifications of the in-vehicle network system 10, it is determined as a data frame to be received by the received frame interpretation function unit of the communication unit 1310. Is done. The received frame interpretation function unit stores the contents (ID, data field data, etc.) of the frame determined as the data frame to be received in the data buffer 2310.

データバッファ２３１０は、メモリ、レジスタ等といった記憶媒体の一記憶領域である。データバッファ２３１０には、通信部１３１０により受信されたデータフレームの内容としてのＩＤ、データフィールドの値が示す情報（例えば加速制御指示を示す情報）が格納される。バス３０上への、複数ノードからのデータフレームの同時送信時にはＩＤによる通信調停が行われる。このため、アクセルＥＣＵ３１０が、車速制御支援ＥＣＵ３５０が送信する加速制御指示に係るデータフレームをバス３０から受信するタイミングは、必ずしも一定周期（例えば５０ｍｓ等）と正確に一致するとは限らず、その一定周期から多少ずれることもある。アクセルＥＣＵ３１０では、このような通信調停の影響などによって生じる受信タイミングの変動にも対応して、受信したデータフレームを効率的に処理できるようデータバッファ２３１０が用いられる。 The data buffer 2310 is a storage area of a storage medium such as a memory or a register. The data buffer 2310 stores an ID as the content of the data frame received by the communication unit 1310 and information indicated by the value of the data field (for example, information indicating an acceleration control instruction). Communication arbitration by ID is performed when data frames are simultaneously transmitted from a plurality of nodes onto the bus 30. For this reason, the timing at which the accelerator ECU 310 receives the data frame related to the acceleration control instruction transmitted from the vehicle speed control support ECU 350 from the bus 30 does not necessarily exactly coincide with a certain period (for example, 50 ms). May deviate somewhat. Accelerator ECU 310 uses data buffer 2310 so that it can efficiently process received data frames in response to fluctuations in reception timing caused by the influence of such communication arbitration.

制御処理部３３１０は、データバッファ２３１０に格納されたフレームの内容（加速制御指示等を示す情報）を、周期的に又は一定条件（データバッファ２３１０へのフレーム格納に関連した条件等）が成立した場合等に取得し、その取得した情報が示す加速制御指示に従って、原動機３１１に制御信号を送信することで原動機３１１を制御する。 The control processing unit 3310 determines that the contents of the frame stored in the data buffer 2310 (information indicating an acceleration control instruction or the like) periodically or a certain condition (such as a condition related to frame storage in the data buffer 2310) is satisfied. The prime mover 311 is controlled by transmitting a control signal to the prime mover 311 according to the acceleration control instruction indicated by the obtained information.

なお、ブレーキＥＣＵ３３０等の、アクチュエータを制御し得るＥＣＵは、通信部、データバッファ、及びアクチュエータの制御のための制御処理部を備える。また、センサと接続されたセンサＥＣＵ３２０については、センサでの測定結果を取得し、予め定められたメッセージＩＤを付してその測定結果を示す測定情報をデータフィールド内に含むデータフレームを生成する処理部と、そのデータフレームをＣＡＮプロトコルに従ってバス３０に送信するための通信部等を備える。この測定情報は、例えば被検知物の認識結果、車両２０と被検知物との距離、車両２０の速度等に関する測定結果を示す。なお、センサＥＣＵ３２０以外のＥＣＵであっても、センサと接続されている場合には、センサＥＣＵ３２０が備えるこのような各構成要素を備え得る。また、アンテナと接続された通信ＥＣＵ３８０については、車載ネットワークシステム１０の外部から通信データを受信する無線通信部、受信した通信データから車載ネットワークシステム１０に転送する情報を抽出し、その情報をデータフィールド内に含むデータフレームを、予め定められたメッセージＩＤを付して生成する処理部と、そのデータフレームをＣＡＮプロトコルに従ってバス３０に送信するためのＣＡＮ通信部等を備える。データフレームに含めて送信される情報とは、例えば車両２１の走行制御の状況、車両２１のセンサによる測定で得られた測定結果等、車両２０が走行する外界の状況を示す情報である。 Note that an ECU such as the brake ECU 330 that can control the actuator includes a communication unit, a data buffer, and a control processing unit for controlling the actuator. Further, for sensor ECU 320 connected to the sensor, processing for obtaining a measurement result at the sensor, generating a data frame including measurement information indicating the measurement result in a data field with a predetermined message ID attached thereto And a communication unit for transmitting the data frame to the bus 30 in accordance with the CAN protocol. This measurement information shows the measurement result regarding the recognition result of the detected object, the distance between the vehicle 20 and the detected object, the speed of the vehicle 20, and the like. In addition, even if it is ECU other than sensor ECU320, when connected with a sensor, each such component with which sensor ECU320 is provided may be provided. For the communication ECU 380 connected to the antenna, a wireless communication unit that receives communication data from the outside of the in-vehicle network system 10, information to be transferred to the in-vehicle network system 10 is extracted from the received communication data, and the information is stored in the data field. A processing unit that generates a data frame included therein with a predetermined message ID, a CAN communication unit for transmitting the data frame to the bus 30 according to the CAN protocol, and the like. The information transmitted by being included in the data frame is information indicating the state of the outside world in which the vehicle 20 travels, such as the travel control state of the vehicle 21 and the measurement result obtained by the measurement by the sensor of the vehicle 21.

［１．５加速制御指示］
図５は、車速制御支援ＥＣＵ３５０が送信する加速制御指示に係るフレームのデータフィールドの一例を示す図である。この例では、加速制御指示のフレームのデータフィールドには、原動機３１１に対する出力の指定が含まれ、図５では、データフィールドの値とアクセル開度との対応の例を示している。なお、ここでのアクセル開度は、ドライバーが操作するアクセルペダルの実際の位置に応じた開度ではなく、車速制御支援ＥＣＵ３５０がアクセルＥＣＵ３１０に、原動機３１１の出力制御のために指定して使用させるパラメータの一例である。加速制御指示のフレームのデータフィールドにはアクセル開度以外の情報が付加されていてもよいが、ここでは説明の便宜上、アクセル開度のみに注目して説明する。この例では、アクセル開度は８ｂｉｔ値で表され、値２５５（１１１１１１１１）は、アクセル開度０を、値５５（００１１０１１１）はアクセル開度の最大値（この例では１００）を示し、その間の値は０．５刻みの出力を示す。 [1.5 Acceleration control instructions]
FIG. 5 is a diagram illustrating an example of a data field of a frame related to an acceleration control instruction transmitted by the vehicle speed control support ECU 350. In this example, the data field of the acceleration control instruction frame includes an output designation for the prime mover 311. FIG. 5 shows an example of the correspondence between the value of the data field and the accelerator opening. Here, the accelerator opening is not an opening corresponding to the actual position of the accelerator pedal operated by the driver, but the vehicle speed control assist ECU 350 causes the accelerator ECU 310 to designate and use the output for the prime mover 311. It is an example of a parameter. Information other than the accelerator opening may be added to the data field of the acceleration control instruction frame, but here, for convenience of explanation, only the accelerator opening will be described. In this example, the accelerator opening is represented by an 8-bit value, the value 255 (11111111) indicates the accelerator opening 0, and the value 55 (00110111) indicates the maximum value of the accelerator opening (100 in this example). The value indicates the output in 0.5 increments.

アクセルＥＣＵ３１０では、車速制御支援ＥＣＵ３５０から、アクセル開度の指定を含む加速制御指示を受信した場合に、このアクセル開度に従って原動機３１１を作動させる。より具体的な例で説明すると、加速制御指示のアクセル開度が最大量（この例では１００）であるときには、アクセルＥＣＵ３１０の制御処理部３３１０は、アクセルペダルが全行程踏み込まれた場合と同じ制御信号を送信して原動機３１１を作動させる。また、車速制御支援ＥＣＵ３５０から、アクセル開度をゼロと指定する加速制御指示を受信したときには、アクセルＥＣＵ３１０の制御処理部３３１０は、アクセルペダルが踏まれていない場合と同じ制御信号を原動機３１１へ送信する。なお、アクセルＥＣＵ３１０では、車両２０の加速の自動制御に関する設定等に応じて、ドライバーによるアクセルペダルの操作を反映した原動機３１１の制御と車速制御支援ＥＣＵ３５０からの加速制御指示に従う原動機３１１の制御との間で一方を他方に優先させることがある。 When the accelerator ECU 310 receives an acceleration control instruction including designation of the accelerator opening from the vehicle speed control support ECU 350, the accelerator 311 is operated according to the accelerator opening. More specifically, when the accelerator opening degree of the acceleration control instruction is the maximum amount (100 in this example), the control processing unit 3310 of the accelerator ECU 310 performs the same control as when the accelerator pedal is fully depressed. A signal is transmitted to activate the prime mover 311. When an acceleration control instruction that designates the accelerator opening as zero is received from the vehicle speed control support ECU 350, the control processing unit 3310 of the accelerator ECU 310 transmits the same control signal to the prime mover 311 as when the accelerator pedal is not depressed. To do. The accelerator ECU 310 performs control of the prime mover 311 reflecting the operation of the accelerator pedal by the driver and control of the prime mover 311 according to the acceleration control instruction from the vehicle speed control support ECU 350 in accordance with the setting related to the automatic control of the acceleration of the vehicle 20. Sometimes one is given priority over the other.

［１．６セキュリティＥＣＵ１００の構成］
図６は、セキュリティＥＣＵ１００の構成例を示すブロック図である。セキュリティＥＣＵ１００は、バス３０に流れるフレームを監視し、バス３０上に現れた不正な加速制御指示に係るデータフレームを、エラーフレームの送信により無効化する制御装置としての機能を有し、この機能の実現のために、通信部１１００と、記憶部２１００と、監視処理部３１００とを備える。これらの各構成要素の各機能は、例えばセキュリティＥＣＵ１００における通信回路、メモリ等の記憶媒体、メモリに格納された制御プログラムを実行するプロセッサ又はデジタル回路等により実現される。 [1.6 Configuration of Security ECU 100]
FIG. 6 is a block diagram illustrating a configuration example of the security ECU 100. The security ECU 100 has a function as a control device that monitors a frame flowing through the bus 30 and invalidates a data frame related to an unauthorized acceleration control instruction that appears on the bus 30 by transmitting an error frame. For realization, a communication unit 1100, a storage unit 2100, and a monitoring processing unit 3100 are provided. Each function of these components is realized by, for example, a communication circuit in the security ECU 100, a storage medium such as a memory, a processor that executes a control program stored in the memory, a digital circuit, or the like.

通信部１１００は、通信回路、制御プログラムを実行するプロセッサ等により実現される。通信部１１００は、ＣＡＮプロトコルに従ってバス３０との間のフレームの送受信（フレームの１ｂｉｔずつの逐次送受信）を行うための受信部１１０１及び送信部１１０２を含む。受信部１１０１は、バス３０からフレームを受信する。通信部１１００は、受信部１１０１によってバス３０からフレームが受信されると、フレームの値をＣＡＮプロトコルで規定されているフレームフォーマットにおける各フィールドにマッピングするよう解釈を行うことでＩＤ（メッセージＩＤ）、ＤＬＣ、データフィールドのデータのそれぞれを区別してフレームから抽出する。通信部１１００は、抽出したＩＤが、車載ネットワークシステム１０の仕様で予め定められているＩＤのうちの、セキュリティＥＣＵ１００が受信すべきフレームのＩＤであるか否かを判別する。通信部１１００は、受信すべきフレームのＩＤでなければそのフレームの解釈を中止する。受信部１１０１は、本実施の形態における取得部の例である。また、通信部１１００は、受信部１１０１が受信したフレームを解釈して取得した当該フレームの内容（ＩＤ、データ等）を、記憶部２１００に格納する。また、通信部１１００は、監視処理部３１００からのエラーフレームの送信指示を受けて、送信部１１０２によりエラーフレームをバス３０に送信する。 The communication unit 1100 is realized by a communication circuit, a processor that executes a control program, and the like. The communication unit 1100 includes a reception unit 1101 and a transmission unit 1102 for performing transmission / reception of frames with the bus 30 according to the CAN protocol (sequential transmission / reception of each frame by 1 bit). The receiving unit 1101 receives a frame from the bus 30. When a frame is received from the bus 30 by the receiving unit 1101, the communication unit 1100 interprets the frame value to map to each field in the frame format defined by the CAN protocol, thereby obtaining an ID (message ID), DLC and data field data are distinguished from each other and extracted from the frame. The communication unit 1100 determines whether or not the extracted ID is an ID of a frame to be received by the security ECU 100 among the IDs determined in advance in the specifications of the in-vehicle network system 10. If the ID of the frame to be received is not received, the communication unit 1100 stops the interpretation of the frame. Receiving unit 1101 is an example of an acquiring unit in the present embodiment. Further, the communication unit 1100 stores the contents (ID, data, etc.) of the frame acquired by interpreting the frame received by the receiving unit 1101 in the storage unit 2100. Further, the communication unit 1100 receives an error frame transmission instruction from the monitoring processing unit 3100, and transmits the error frame to the bus 30 by the transmission unit 1102.

セキュリティＥＣＵ１００が受信すべきフレームには、車速制御支援ＥＣＵ３５０から送信される加速制御指示のフレームが含まれる。また、車両２０の状況を示す情報及び車両２０が走行する外界の状況を示す情報（以下、これらの状況の少なくとも一方を示す情報を状況情報ともいう）の少なくとも一方を示すフレームもセキュリティＥＣＵ１００によって受信される。車両２０の状況を示すフレームとは、例えば車速制御支援ＥＣＵ３５０から送信される有効（オン）又は無効（オフ）な車速制御支援機能を示すデータフレームが挙げられる。また、車速制御支援機能以外も含めた先進運転者支援システムの各種の支援機能の有効（オン）又は無効（オフ）、ドライバー又は各種機能による設定値を示すデータフレームも挙げられる。また、アクセルＥＣＵ３１０から送信される現在のアクセル開度を示すデータフレームも、車両２０の状況である状況情報を示すフレームとしてセキュリティＥＣＵ１００によって受信され得る。また、セキュリティＥＣＵ１００は、センサＥＣＵ３２０等の他のＥＣＵから送信された測定情報を含むデータフレームも受信する。測定情報には、その測定対象によって、車両２０の状況を示すもの（例えば車速、水温、電圧）もあるし、外界の状況（例えば車外の気温、路面状況、物体認識の結果）を示すものもある。さらにセキュリティＥＣＵ１００は、通信ＥＣＵ３８０が車両２１との通信によって取得し、車載ネットワークシステム１０に転送する情報（例えば車両２１の走行制御の状況、車両２１のセンサによる測定で得られた測定結果）も受信する。この情報は、車両２０の外界の状況を示すものである。 The frame to be received by the security ECU 100 includes an acceleration control instruction frame transmitted from the vehicle speed control support ECU 350. The security ECU 100 also receives a frame indicating at least one of information indicating the status of the vehicle 20 and information indicating the status of the outside world where the vehicle 20 travels (hereinafter, information indicating at least one of these statuses is also referred to as status information). Is done. The frame indicating the state of the vehicle 20 includes, for example, a data frame indicating a valid (on) or invalid (off) vehicle speed control support function transmitted from the vehicle speed control support ECU 350. Moreover, the data frame which shows the setting value by the effective (on) or invalidity (off) of various assistance functions of an advanced driver assistance system including those other than a vehicle speed control assistance function, a driver, or various functions is also mentioned. Further, the data frame indicating the current accelerator opening degree transmitted from the accelerator ECU 310 can also be received by the security ECU 100 as a frame indicating the situation information that is the situation of the vehicle 20. Security ECU 100 also receives a data frame including measurement information transmitted from another ECU such as sensor ECU 320. The measurement information includes information indicating the state of the vehicle 20 (for example, vehicle speed, water temperature, voltage) depending on the measurement object, and information indicating the external environment (for example, temperature outside the vehicle, road surface condition, object recognition result). is there. Furthermore, the security ECU 100 also receives information (for example, the traveling control status of the vehicle 21 and the measurement result obtained by the measurement of the sensor of the vehicle 21) that is acquired by the communication ECU 380 through communication with the vehicle 21 and transferred to the in-vehicle network system 10. To do. This information indicates the external environment of the vehicle 20.

記憶部２１００は、受信部１１０１により受信されたフレームの内容を格納するためのメモリ等の記憶媒体の一記憶領域である。記憶部２１００には、例えば、上述の状況情報、つまり、センサＥＣＵ３２０等から送信される測定情報、車速制御支援ＥＣＵ３５０から送信される有効又は無効な車速制御支援機能の情報、アクセルＥＣＵ３１０から送信される現在のアクセル開度、又は通信ＥＣＵ３８０から送信される車両２１から提供された情報が格納される。 The storage unit 2100 is a storage area of a storage medium such as a memory for storing the contents of the frame received by the reception unit 1101. For example, the above-described situation information, that is, measurement information transmitted from the sensor ECU 320 or the like, information on a valid or invalid vehicle speed control support function transmitted from the vehicle speed control support ECU 350, and the accelerator ECU 310 are transmitted to the storage unit 2100, for example. The current accelerator opening or information provided from the vehicle 21 transmitted from the communication ECU 380 is stored.

監視処理部３１００は、制御プログラムを実行するプロセッサ等により実現され、バス３０上の加速制御指示のデータフレームを無効化する無効化処理を一定条件下で行う機能を担う。監視処理部３１００は、判定部３１０１及び無効化部３１０２を含む。 The monitoring processing unit 3100 is realized by a processor or the like that executes a control program, and has a function of performing invalidation processing for invalidating a data frame of an acceleration control instruction on the bus 30 under a certain condition. The monitoring processing unit 3100 includes a determination unit 3101 and an invalidation unit 3102.

判定部３１０１は、受信部１１０１が加速制御指示のデータフレームを受信した際における車両２０の状況及び車両２０が走行する外界の状況の少なくとも一方と、当該加速制御指示とを比較することで、加速制御指示が不正か否か（つまりその加速制御指示のデータフレームは無効化されるべき不正なフレームであるか否か）を判定する。判定部３１０１は、受信部１１０１により受信され、記憶部２１００に格納されている状況情報が示す状況と、受信部１１０１により受信された加速制御指示が示す制御内容とを比較することで、この判定を実行する。この判定は、加速制御指示のデータフレームの全体が受信部１１０１によってバス３０から受信されるまで（つまりデータフレームの終了前であり、例えばデータフィールドの受信直後或いはＣＲＣシーケンスの受信直後等）に行われる。判定部３１０１は、加速制御指示を不正であると判定した場合には、その結果を出力して無効化部３１０２に通知する。 The determination unit 3101 compares the acceleration control instruction with at least one of the situation of the vehicle 20 and the situation of the outside world where the vehicle 20 travels when the reception unit 1101 receives the data frame of the acceleration control instruction. It is determined whether or not the control instruction is illegal (that is, whether or not the data frame of the acceleration control instruction is an invalid frame to be invalidated). The determination unit 3101 compares the situation indicated by the situation information received by the reception unit 1101 and stored in the storage unit 2100 with the control content indicated by the acceleration control instruction received by the reception unit 1101. Execute. This determination is performed until the entire data frame of the acceleration control instruction is received from the bus 30 by the receiving unit 1101 (that is, before the end of the data frame, for example, immediately after receiving the data field or immediately after receiving the CRC sequence). Is called. If the determination unit 3101 determines that the acceleration control instruction is invalid, the determination unit 3101 outputs the result and notifies the invalidation unit 3102 of the result.

無効化部３１０２は、判定部３１０１により、加速制御指示が不正であると判定された場合に、バス３０に現れている加速制御指示のデータフレームを無効化するために、送信部１１０２に、バス３０にエラーフレームを送信させることで無効化処理を行う。この無効化部３１０２による無効化処理は、加速制御指示のデータフレームの終了（ＥＯＦ）の受信が完了するより前に、バス３０にエラーフレームが送信されることで実現される。無効化処理がなされると、バス３０上の加速制御指示のデータフレームは上書きされるので、アクセルＥＣＵ３１０においては、不正な加速制御指示のデータフレームが破棄され、この加速制御指示に従った加速制御が回避される。 When the determination unit 3101 determines that the acceleration control instruction is invalid, the invalidation unit 3102 sends a bus 110 to the transmission unit 1102 to invalidate the data frame of the acceleration control instruction appearing on the bus 30. The invalidation process is performed by causing 30 to transmit an error frame. The invalidation process by the invalidation unit 3102 is realized by transmitting an error frame to the bus 30 before the end of the data frame (EOF) of the acceleration control instruction is completed. When the invalidation processing is performed, the data frame of the acceleration control instruction on the bus 30 is overwritten, so that the accelerator ECU 310 discards the data frame of the incorrect acceleration control instruction, and the acceleration control according to this acceleration control instruction. Is avoided.

［１．７加速制御指示の不正判別］
以下、上述のセキュリティＥＣＵ１００（監視装置）における監視処理部３１００の判定部３１０１での加速制御指示が不正であるか否かの判定の方法について説明する。 [1.7 Unauthorized discrimination of acceleration control instructions]
Hereinafter, a method for determining whether or not the acceleration control instruction in the determination unit 3101 of the monitoring processing unit 3100 in the security ECU 100 (monitoring device) is illegal will be described.

判定部３１０１は、受信部１１０１によって受信されたデータフレームから取得された加速制御指示が示す制御内容と、記憶部２１００に格納されている状況情報が示す状況とを比較し、状況と制御内容とが不整合である場合に、この加速制御指示が不正な制御指示であると判定する。以下、この状況と制御内容との不整合について例を挙げて説明する。 The determination unit 3101 compares the control content indicated by the acceleration control instruction acquired from the data frame received by the reception unit 1101 with the status indicated by the status information stored in the storage unit 2100, and determines the situation and the control content. Are inconsistent, it is determined that the acceleration control instruction is an illegal control instruction. Hereinafter, the inconsistency between this situation and the control content will be described with an example.

［１．７．１設定又は制限速度との不整合］
例えば、状況情報が示す状況が、車両２０の設定速度を示し、かつ、加速制御指示が、車両２０をこの設定速度を超える速度で走行させる制御内容を示す場合に、判定部３１０１は、この加速制御指示は状況情報が示す状況と不整合であって不正な制御指示であると判定する。 [1.7.1 Inconsistency with setting or speed limit]
For example, when the situation indicated by the situation information indicates the set speed of the vehicle 20 and the acceleration control instruction indicates the control content for causing the vehicle 20 to travel at a speed exceeding the set speed, the determination unit 3101 It is determined that the control instruction is an illegal control instruction that is inconsistent with the situation indicated by the situation information.

ここでの設定速度とは、例えばドライバーが車速維持機能を有効にして設定した速度である。または、設定速度は、車両２０において車間距離維持機能又は車間距離調整機能等の車速制御支援機能が有効なときに、車速制御支援機能によって設定された速度であってもよい。これらの設定速度は、車両２０の状況の例である。セキュリティＥＣＵ１００は、この状況を示す状況情報を車速制御支援ＥＣＵ３５０から送信される、車速制御支援機能の設定状況を示すデータフレームから取得し得る。 The set speed here is, for example, a speed set by the driver with the vehicle speed maintenance function enabled. Alternatively, the set speed may be a speed set by the vehicle speed control support function when a vehicle speed control support function such as an inter-vehicle distance maintaining function or an inter-vehicle distance adjustment function is effective in the vehicle 20. These set speeds are examples of the situation of the vehicle 20. The security ECU 100 can acquire status information indicating this status from a data frame indicating the setting status of the vehicle speed control support function transmitted from the vehicle speed control support ECU 350.

また、状況情報が示す状況が、車両２０が走行する場所の規制速度を示し、かつ、加速制御指示が、車両２０をこの規制速度を超える速度で走行させる制御内容を示す場合に、判定部３１０１は、この加速制御指示は状況情報が示す状況と不整合であって不正な制御指示であると判定する。 In addition, when the situation indicated by the situation information indicates the regulated speed of the place where the vehicle 20 travels, and the acceleration control instruction indicates the control content for causing the vehicle 20 to travel at a speed exceeding the regulated speed, the determination unit 3101. Determines that this acceleration control instruction is an illegal control instruction that is inconsistent with the situation indicated by the situation information.

ここでの規制速度とは、例えば関係法規で定められた速度、又は私有の土地又は建造物（例えば小売店舗の駐車場）においてその使用者が定めて掲示する上限速度である。これらの規制速度は、車両２０の走行する外界の状況の例である。セキュリティＥＣＵ１００は、この状況を示す状況情報を、例えばセンサＥＣＵ３２０から提供される、外界の物体（文字）認識の結果を示すデータフレームから取得し得る。または、セキュリティＥＣＵ１００は、車両２０が備えるカーナビゲーションシステム又は自動運転システムが保持する地図情報、又は車両２０の外部のサービスが提供する地図情報又は交通情報から抽出される規制速度を示す情報を取得して利用してもよい。この抽出は、送信側又はセキュリティＥＣＵ１００のいずれが行ってもよい。 The speed limit here is, for example, a speed determined by related laws or regulations, or an upper limit speed determined and posted by the user on private land or a building (for example, a parking lot of a retail store). These regulated speeds are examples of the external environment in which the vehicle 20 travels. The security ECU 100 can obtain status information indicating this status from a data frame indicating the result of recognition of an object (character) in the outside world provided from the sensor ECU 320, for example. Or security ECU100 acquires the information which shows the regulation speed extracted from the map information which the car navigation system with which vehicles 20 are equipped, or the automatic driving system holds, or the map information provided by the service outside vehicles 20, or traffic information May be used. This extraction may be performed by either the transmission side or the security ECU 100.

［１．７．２進行方向にある物体との距離との不整合］
この不整合について、進行方向にある物体の例として先行車両、物体との距離の例として車間距離を用いて説明する。例えば、状況情報が示す状況が、車両２０の先行車両との車間距離を示し、かつ、加速制御指示が、車両２０を、第１所定値を超える速度で走行させる制御内容を示す場合に、判定部３１０１は、この加速制御指示は状況情報が示す状況と不整合であって不正な制御指示であると判定する。 [1.7.2 Mismatch with distance from object in traveling direction]
This mismatch will be described using a preceding vehicle as an example of an object in the traveling direction and an inter-vehicle distance as an example of a distance from the object. For example, when the situation indicated by the situation information indicates the inter-vehicle distance between the vehicle 20 and the preceding vehicle, and the acceleration control instruction indicates the control content for causing the vehicle 20 to travel at a speed exceeding the first predetermined value. The unit 3101 determines that this acceleration control instruction is an illegal control instruction that is inconsistent with the situation indicated by the situation information.

ここでの第１所定値とは、例えば先行車両との車間距離に対して予め定められた車両２０の絶対速度の値であり、例えば速度に対する停止距離に基づいて安全上必要とされている車間距離との関係で定められてもよい。この場合、また、車速制御支援ＥＣＵ３５０による制御での車速と車間距離との関係に基づいて定められる速度の値であってもよい。図７は、このように定められる加速制御指示の不正判定の条件について説明するための図である。図７では、車両がサイバー攻撃を一切受けていない状態（つまり正常状態）で車速制御支援機能がした加速制御支援による車両の絶対速度と、その時の先行車両との車間距離とに基づいて黒い点がグラフエリアにプロットされている。つまりこれらの点は、先行車両との車間距離という状況と、加速制御支援指示による制御内容とが整合している場合を示す。したがって、これらの点に近似する線（図中の破線）から一定範囲の距離の領域に入る速度に至る加速制御はその内容が状況と整合するものとし、それ以外の領域に入る速度に至る加速制御はその内容が状況と不整合と扱うことができる。図７では、グラフエリア右下にある、斜線で網掛けを付した直角三角形の領域が、正常状態での加速制御支援では実行されない車間距離に対して速度が過大になる、状況と不整合の加速制御支援がプロットされる領域を示す。第１所定値は、当該直角三角形の斜辺上で、車間距離に基づく縦軸の値に対する、車速を示す横軸の値である。また、第１所定値は、先行車両に対する車両２０の相対速度の値でもよい。例えば、各車間距離に応じて予め定められた相対速度の値である。この決定の手法としては、上記の絶対速度で例示したように、正常状態で車速制御支援機能がした加速制御支援指示による車両の先行車両に対する相対速度と車間距離との関係が利用されてもよい。また別の例としては、所定時間（例えば０．５秒）以内に車間距離が上記の安全上必要とされている車間距離未満になる相対速度の値であってもよい。 Here, the first predetermined value is, for example, a value of the absolute speed of the vehicle 20 that is predetermined with respect to the inter-vehicle distance from the preceding vehicle. For example, the inter-vehicle distance that is necessary for safety based on the stop distance with respect to the speed. It may be determined in relation to the distance. In this case, the speed value may be a value determined based on the relationship between the vehicle speed and the inter-vehicle distance in the control by the vehicle speed control assist ECU 350. FIG. 7 is a diagram for explaining the conditions for determining whether or not the acceleration control instruction has been determined in this way. In FIG. 7, a black dot is based on the absolute speed of the vehicle by the acceleration control support performed by the vehicle speed control support function in a state where the vehicle is not subjected to any cyber attack (that is, in a normal state) and the inter-vehicle distance from the preceding vehicle at that time. Is plotted in the graph area. That is, these points indicate a case where the situation of the inter-vehicle distance from the preceding vehicle is consistent with the control content by the acceleration control support instruction. Therefore, the acceleration control that reaches the speed of entering a certain distance range from the line that approximates these points (broken line in the figure) shall be consistent with the situation, and the acceleration that will reach the speed of entering other areas. Control can treat the content as inconsistent with the situation. In FIG. 7, a right-angled triangular area shaded with a diagonal line in the lower right corner of the graph area has an excessive speed with respect to the inter-vehicle distance that is not executed by the acceleration control support in the normal state, which is inconsistent with the situation. The area | region where acceleration control assistance is plotted is shown. The first predetermined value is a value on the horizontal axis indicating the vehicle speed with respect to the value on the vertical axis based on the inter-vehicle distance on the hypotenuse of the right triangle. Further, the first predetermined value may be a value of the relative speed of the vehicle 20 with respect to the preceding vehicle. For example, it is a value of a relative speed that is predetermined according to the distance between the vehicles. As the determination method, as exemplified by the absolute speed described above, the relationship between the relative speed of the vehicle with respect to the preceding vehicle and the inter-vehicle distance according to the acceleration control support instruction performed by the vehicle speed control support function in a normal state may be used. . As another example, the relative speed may be a value that makes the inter-vehicle distance less than the inter-vehicle distance required for safety within a predetermined time (for example, 0.5 seconds).

なお、先行車両との車間距離は、車両２０の状況又は車両２０の走行する外界の状況のいずれとも考え得る。セキュリティＥＣＵ１００は、この状況を示す状況情報を、例えばセンサＥＣＵ３２０から送信される、物体認識の結果及び測距センサによる測定結果を示すデータフレームから取得し得る。また、車速は車両２０の状況であり、セキュリティＥＣＵ１００は、この状況を示す状況情報を、例えばセンサＥＣＵ３２０から送信される、速度センサによる測定結果を示すデータフレームから取得し得る。また、相対速度は、通信ＥＣＵ３８０が車両２１から受信した車両２１の速度を示すデータフレームから判定部３１０１が算出してもよい。 The inter-vehicle distance from the preceding vehicle can be considered as either the situation of the vehicle 20 or the situation of the outside world where the vehicle 20 travels. The security ECU 100 can acquire the situation information indicating the situation from, for example, a data frame that is transmitted from the sensor ECU 320 and indicates the result of object recognition and the measurement result by the distance measuring sensor. Further, the vehicle speed is the state of the vehicle 20, and the security ECU 100 can acquire the state information indicating this state from, for example, a data frame indicating the measurement result by the speed sensor transmitted from the sensor ECU 320. The relative speed may be calculated by the determination unit 3101 from a data frame indicating the speed of the vehicle 21 received by the communication ECU 380 from the vehicle 21.

なお、上述のとおり先行車両は進行方向にある物体の例、車間距離は物体との距離としての例である。進行方向にある物体は車両等のモビリティに限定されず、走行の時点で接触が意図されていない各種の物体であり得る。 As described above, the preceding vehicle is an example of an object in the traveling direction, and the inter-vehicle distance is an example of a distance from the object. The object in the traveling direction is not limited to mobility such as a vehicle, and may be various objects that are not intended to be contacted at the time of traveling.

［１．７．３減速制御に関する不整合］
例えば、状況情報が示す状況が、車両２０を減速させるべき状況を示し、かつ、加速制御指示が、車両２０を、第２所定値を超える速度で走行させる制御内容を示す場合に、判定部３１０１は、この加速制御指示は状況情報が示す状況と不整合であって不正な制御指示であると判定する。 [1.7.3 Mismatch in deceleration control]
For example, when the situation indicated by the situation information indicates a situation where the vehicle 20 should be decelerated, and the acceleration control instruction indicates the control content for causing the vehicle 20 to travel at a speed exceeding the second predetermined value, the determination unit 3101. Determines that this acceleration control instruction is an illegal control instruction that is inconsistent with the situation indicated by the situation information.

ここでの車両２０を減速させるべき状況とは、単純には車両２０でドライバーの操作によってブレーキ制御が実行されている状況であるが、これに限定されない。他の例としては、先進運転者支援システムが提供するいずれかの機能によって車両２０のブレーキ制御指示が出されている状況が挙げられる。なお、ここでのブレーキ制御とは、ブレーキパッドによる摩擦力でのブレーキングに限定されない。積極的なシフトダウンによるエンジンブレーキ又は排気ブレーキの制御も含まれる。また、原動機がモーターの車両で回生ブレーキが減速に積極的に利用されている場合には、回生ブレーキの制御も含まれる。また、ドライバー又は先進運転者支援システムによってブレーキ制御がなされるべき状況、より具体的には、例えば先行車両の減速又はブレーキ制御の発生時、車両２０の進行方向の所定の距離未満の範囲に、停車中の車両、建物又は通行人等の人又は物が検知された時、車両２０のカーブへの進入時、現在の車速よりも低い規制速度の区域への進入時も車両２０を減速させるべき状況に含まれる。 The situation where the vehicle 20 should be decelerated here is simply a situation where the brake control is being executed by the driver's operation on the vehicle 20, but is not limited to this. As another example, there is a situation in which a brake control instruction for the vehicle 20 is issued by any function provided by the advanced driver assistance system. The brake control here is not limited to braking with frictional force by the brake pads. Control of engine brakes or exhaust brakes by aggressive downshifting is also included. Further, when the motor is a motor vehicle and the regenerative brake is actively used for deceleration, control of the regenerative brake is also included. In addition, the situation where the brake control is to be performed by the driver or the advanced driver support system, more specifically, for example, in the range of less than a predetermined distance in the traveling direction of the vehicle 20 when the preceding vehicle decelerates or the brake control occurs. When a stopped vehicle, building or passerby is detected, or when a vehicle 20 enters a curve, or when entering a zone with a regulated speed lower than the current vehicle speed, the vehicle 20 should be decelerated. Included in the situation.

上記のドライバー又は先進運転者支援システムによってブレーキ制御がなされている状況は車両２０の状況であり、セキュリティＥＣＵ１００がブレーキＥＣＵ３３０又は先進運転者支援システムを担うＥＣＵから送信されるブレーキの適用状況を示すデータフレームから取得し得る。先行車両の減速又はブレーキ制御の発生、進行方向の人又は物の検知、カーブへの進入、及び車速より低い規制速度の区域への進入は、車両２０の走行する外界の状況であり、セキュリティＥＣＵ１００は、この状況を示す状況情報を、例えばセンサＥＣＵ３２０から送信される、物体認識の結果等を示すデータフレームから取得し得る。また、先行車両の減速又はブレーキ制御の発生の状況情報は、通信ＥＣＵ３８０が車両２１から受信するデータフレームから取得されてもよい。また、カーブへの進入及び車速より低い規制速度の区域への進入の状況情報を、セキュリティＥＣＵ１００は、車両２０が備えるカーナビゲーションシステムが保持する地図情報、又は車両２０の外部のサービスが提供する地図情報又は交通情報から抽出される規制速度を示す情報を含むデータフレームから取得してもよい。 The situation in which the brake control is performed by the driver or the advanced driver assistance system is the situation of the vehicle 20, and the security ECU 100 transmits the brake application status transmitted from the brake ECU 330 or the ECU responsible for the advanced driver assistance system. Can be obtained from the frame. The occurrence of deceleration or brake control of the preceding vehicle, detection of a person or an object in the traveling direction, entry to a curve, and entry to an area having a regulated speed lower than the vehicle speed are external circumstances where the vehicle 20 travels, and the security ECU 100 Can acquire status information indicating this status from a data frame indicating the result of object recognition transmitted from the sensor ECU 320, for example. Further, the situation information on the occurrence of deceleration or brake control of the preceding vehicle may be acquired from a data frame received by the communication ECU 380 from the vehicle 21. In addition, the security ECU 100 provides map information held by a car navigation system included in the vehicle 20 or a map provided by a service outside the vehicle 20 for information on the status of entering a curve and entering an area with a regulated speed lower than the vehicle speed. You may acquire from the data frame containing the information which shows the control speed extracted from information or traffic information.

［１．７．４外部からの情報に基づいて決定される車速との不整合］
例えば、状況情報が示す状況が、車両２０の先行車両から車両２０が走行すべき速度を示す情報を受信したことを示し、かつ、加速制御指示が、受信した情報が示す速度を超える速度で走行させる制御内容を示す場合に、判定部３１０１は、この加速制御指示は状況情報が示す状況と不整合であって不正な制御指示であると判定する。 [1.7.4 Inconsistency with vehicle speed determined based on external information]
For example, the situation indicated by the situation information indicates that information indicating the speed at which the vehicle 20 should travel from the preceding vehicle of the vehicle 20 is received, and the acceleration control instruction travels at a speed exceeding the speed indicated by the received information. When the control content to be displayed is indicated, the determination unit 3101 determines that the acceleration control instruction is an illegal control instruction that is inconsistent with the situation indicated by the situation information.

車車間通信が可能な車両同士では、車間距離維持機能又は車間距離調整機能の実行において先行車両から後続車両に走行すべき速度を直接又は間接に示す情報が送信されることが想定される。より具体的には、例えば後続車両が走行すべき絶対速度又は先行車両に対する相対速度の提示を含む情報が送信され得る。これらは後続車両である車両２０が走行すべき速度を直接に示す情報の例である。これに対し、後続車両である車両２０が走行すべき速度を間接に示す情報とは、車両２０で車速の決定に用いられ得る先行車両から送信される情報である。具体的には、加速又は減速の指示、ブレーキ制御の実行の指示、当該先行車両の速度、当該先行車両でのブレーキングの有無若しくは強さ、現在の車間距離、又は取るべき車間距離の指示を含む情報である。セキュリティＥＣＵ１００は、車両２０が走行すべき速度を示すこのような情報が受信されたという車両２０の状況を示す状況情報を、通信ＥＣＵ３８０がバス３０に送信する、この情報の内容を含めたデータフレームを受信して、その内容から取得する。セキュリティＥＣＵ１００では、判定部３１０１が、これらの情報に基づいて、例えば車両２０が現在の車速から加速、減速若しくは維持するのか、又は加減速であればさらにその大きさを判定する。そして、この判定の結果と、車速制御支援ＥＣＵ３５０から送信された加速制御指示が示す制御内容との比較の結果に基づいて、この加速制御指示は状況情報が示す状況と不整合であるか否か判定する。 It is assumed that information indicating directly or indirectly the speed at which the vehicle should travel from the preceding vehicle to the succeeding vehicle in the execution of the inter-vehicle distance maintaining function or the inter-vehicle distance adjusting function is assumed between vehicles capable of inter-vehicle communication. More specifically, for example, information including an absolute speed at which the following vehicle should travel or a relative speed with respect to the preceding vehicle may be transmitted. These are examples of information that directly indicates the speed at which the vehicle 20 as the following vehicle should travel. On the other hand, the information indirectly indicating the speed at which the vehicle 20 as the subsequent vehicle should travel is information transmitted from the preceding vehicle that can be used for determining the vehicle speed in the vehicle 20. Specifically, instructions for acceleration or deceleration, instructions for execution of brake control, speed of the preceding vehicle, presence or strength of braking in the preceding vehicle, current inter-vehicle distance, or inter-vehicle distance instruction to be taken It is information to include. The security ECU 100 transmits, to the bus 30, status information indicating the status of the vehicle 20 that such information indicating the speed at which the vehicle 20 should travel has been received, and a data frame including the content of this information. Is received from the content. In the security ECU 100, the determination unit 3101 determines, based on such information, for example whether the vehicle 20 accelerates, decelerates or maintains from the current vehicle speed, or further accelerates or decelerates the acceleration. Then, based on a result of comparison between the result of this determination and the control content indicated by the acceleration control instruction transmitted from the vehicle speed control support ECU 350, whether or not the acceleration control instruction is inconsistent with the situation indicated by the situation information. judge.

［１．７．５先進運転者支援システムの稼働状態との不整合］
例えば、状況情報が示す状況が、車両２０が備える先進運転者支援システムがオフであることを示し、かつ、加速制御指示が、第３所定値を超える速度で走行させる制御内容を示す、又は、受信部１１０１が所定期間内に加速制御指示を取得した場合に、判定部３１０１は、この加速制御指示は状況情報が示す状況と不整合であって不正な制御指示であると判定する。 [1.7.5 Inconsistency with the operating status of the advanced driver assistance system]
For example, the situation indicated by the situation information indicates that the advanced driver support system included in the vehicle 20 is off, and the acceleration control instruction indicates the control content for running at a speed exceeding the third predetermined value, or When the reception unit 1101 acquires an acceleration control instruction within a predetermined period, the determination unit 3101 determines that the acceleration control instruction is an illegal control instruction that is inconsistent with the situation indicated by the situation information.

先進運転者支援システムがオフの場合には、ある程度より大きな加速制御指示が車速制御支援ＥＣＵ３５０から送信されない。第３所定値は、先進運転者支援システムがオフである車両２０の状況とは不整合であるこのような加速制御指示を検出するための基準として判定部３１０１が用いる値である。また、先進運転者支援システムがオフからオンになって車速制御支援ＥＣＵ３５０から加速制御指示が送信されるまでには最低限かかる時間がある。所定期間は、先進運転者支援システムがオフである車両２０の状況とは不整合であるこのような加速制御指示を検出するための基準として判定部３１０１が用いる値である。 When the advanced driver assistance system is off, an acceleration control instruction larger than a certain degree is not transmitted from the vehicle speed control assistance ECU 350. The third predetermined value is a value used by the determination unit 3101 as a reference for detecting such an acceleration control instruction that is inconsistent with the situation of the vehicle 20 in which the advanced driver assistance system is off. In addition, there is a minimum amount of time until the advanced driver assistance system is turned on from off and the acceleration control instruction is transmitted from the vehicle speed control assistance ECU 350. The predetermined period is a value used by the determination unit 3101 as a reference for detecting such an acceleration control instruction that is inconsistent with the situation of the vehicle 20 in which the advanced driver assistance system is off.

この例の場合、先進運転者支援システムがオフであるという車両２０の状況を、セキュリティＥＣＵ１００は、例えば先進運転者支援システムに係るＥＣＵから送信されるデータフレームから取得する。車速制御支援ＥＣＵ３５０は、先進運転者支援システムに係るＥＣＵの一例である。 In the case of this example, the security ECU 100 acquires the situation of the vehicle 20 that the advanced driver assistance system is off from, for example, a data frame transmitted from the ECU related to the advanced driver assistance system. The vehicle speed control support ECU 350 is an example of an ECU according to an advanced driver support system.

［１．８セキュリティＥＣＵ１００の制御処理］
図８は、車載ネットワークシステム１０において、セキュリティＥＣＵ１００で実行される監視処理の手順の一例を示すフローチャートである。以下、同図に即して、不正な加速制御指示の攻撃フレームへの対処としてセキュリティＥＣＵ１００で実行される監視処理について説明する。 [1.8 Control Processing of Security ECU 100]
FIG. 8 is a flowchart illustrating an example of a procedure of monitoring processing executed by the security ECU 100 in the in-vehicle network system 10. Hereinafter, the monitoring process executed by the security ECU 100 as a countermeasure to the attack frame of the unauthorized acceleration control instruction will be described with reference to FIG.

受信部１１０１が状況情報を含むデータフレームをバス３０から受信した場合（ステップＳ１１でＹＥＳ）、受信された状況情報は記憶部２１００に保存、つまり格納される（ステップＳ１２）。状況情報を含むデータフレームは、センサＥＣＵ３２０等から周期的に送信され、ステップＳ１２での状況情報の受信及び保存は、繰り返し行われる。 When the reception unit 1101 receives a data frame including status information from the bus 30 (YES in step S11), the received status information is saved, that is, stored in the storage unit 2100 (step S12). The data frame including the situation information is periodically transmitted from the sensor ECU 320 or the like, and the reception and storage of the situation information in step S12 is repeatedly performed.

受信部１１０１が加速制御指示のデータフレームをバス３０から受信した場合（ステップＳ１３でＹＥＳ）、判定部３１０１が、記憶部２１００に保存されている最新の状況情報が示す状況と、受信した加速制御指示が示す制御内容とを比較する（ステップＳ１４）。そして、判定部３１０１はこの比較で、状況と制御内容とが不整合であるか否かを判定し（ステップＳ１５）、不整合である場合には（ステップＳ１５でＹＥＳ）、ステップＳ１３で受信されたデータフレームに係る加速制御指示が不正であると判定する。なお、受信部１１０１により加速制御指示のデータフレームのデータフィールドまでの受信が終了すれば、加速制御指示が示す制御内容を取得することができるので、判定部３１０１はステップＳ１４以降を実行することができる。 When the reception unit 1101 receives the data frame for the acceleration control instruction from the bus 30 (YES in step S13), the determination unit 3101 indicates the situation indicated by the latest situation information stored in the storage unit 2100 and the received acceleration control. The control content indicated by the instruction is compared (step S14). In this comparison, the determination unit 3101 determines whether or not the situation and the control content are inconsistent (step S15). If they are inconsistent (YES in step S15), the determination unit 3101 receives the data in step S13. It is determined that the acceleration control instruction related to the data frame is invalid. Note that if the reception unit 1101 completes reception of the data field of the acceleration control instruction data frame, the control content indicated by the acceleration control instruction can be acquired, and thus the determination unit 3101 can execute step S14 and subsequent steps. it can.

ステップＳ１６で不正と判定された加速制御指示のデータフレームに対しては、無効化部３１０２が、送信部１１０２にエラーフレームを送信させることで無効化する（ステップＳ１７）。 The invalidation unit 3102 invalidates the acceleration control instruction data frame determined to be invalid in step S16 by causing the transmission unit 1102 to transmit an error frame (step S17).

［１．９車載ネットワークシステム１０における加速制御に係る処理シーケンス］
図９は、車載ネットワークシステム１０における加速制御に係る処理シーケンスの一例を示す。以下、図９に即して、車載ネットワークシステム１０における各ＥＣＵの動作について説明する。なお、ここでの不正ＥＣＵとは、車載ネットワークシステム１０上のＥＣＵ（不図示のものを含む）のいずれかであって、例えば攻撃者によって診断用ポート３９０に接続されたＥＣＵ、又はファームウェアの書き換え等によって乗っ取られたＥＣＵである。また、対比的に図示する便宜上、処理シーケンスの前半（上半分）は、不正なデータフレームが送信されない場合、後半（下半分）は、不正なデータフレームが送信された場合を示す例としている。 [1.9 Processing Sequence for Acceleration Control in In-vehicle Network System 10]
FIG. 9 shows an example of a processing sequence related to acceleration control in the in-vehicle network system 10. The operation of each ECU in the in-vehicle network system 10 will be described below with reference to FIG. Note that the fraudulent ECU here is any ECU (including an unillustrated one) on the in-vehicle network system 10, and for example, an ECU connected to the diagnostic port 390 by an attacker or rewriting of firmware The ECU is hijacked by the like. Further, for convenience of illustration, the first half (upper half) of the processing sequence is an example in which an illegal data frame is not transmitted, and the latter half (lower half) is an example in which an illegal data frame is transmitted.

センサＥＣＵ３２０は、物体検知センサ３２１又は速度センサ３２２で測定された測定結果を示す状況情報を含むデータフレームをバス３０に送信する（ステップＳ１０１Ａ）。このデータフレームを、車速制御支援ＥＣＵ３５０及びセキュリティＥＣＵ１００がバス３０から受信する。また、車速制御支援ＥＣＵ３５０は、各種の加速支援機能の有効又は無効を示す情報を含むデータフレームをバス３０に送信する（ステップＳ１０１Ｂ）。このデータフレームを、セキュリティＥＣＵ１００がバス３０から受信する。また、アクセルＥＣＵ３１０は、現在のアクセル開度を示すデータフレームをバス３０に送信する（ステップＳ１０１Ｃ）。このデータフレームを、セキュリティＥＣＵ１００がバス３０から受信する。セキュリティＥＣＵ１００は、このようにして車両２０の状況及び車両２０が走行する外界の状況を示す状況情報を取得する。 The sensor ECU 320 transmits a data frame including situation information indicating the measurement result measured by the object detection sensor 321 or the speed sensor 322 to the bus 30 (step S101A). The data frame is received from the bus 30 by the vehicle speed control support ECU 350 and the security ECU 100. Further, the vehicle speed control support ECU 350 transmits a data frame including information indicating validity or invalidity of various acceleration support functions to the bus 30 (step S101B). The security ECU 100 receives this data frame from the bus 30. In addition, accelerator ECU 310 transmits a data frame indicating the current accelerator opening to bus 30 (step S101C). The security ECU 100 receives this data frame from the bus 30. The security ECU 100 thus acquires situation information indicating the situation of the vehicle 20 and the situation of the outside world where the vehicle 20 travels.

車速制御支援ＥＣＵ３５０は、ステップＳ１０１ＡでセンサＥＣＵ３２０が送信した状況情報に基づいて、有効な加速支援機能のための加速制御指示、例えば車速維持のためのアクセル開度を制御内容として示すデータフレームをバス３０に送信する（ステップＳ１０２）。このデータフレームを、アクセルＥＣＵ３１０及びセキュリティＥＣＵ１００がバス３０から受信する。 Based on the situation information transmitted by the sensor ECU 320 in step S101A, the vehicle speed control support ECU 350 buses an acceleration control instruction for an effective acceleration support function, for example, a data frame indicating the accelerator opening for maintaining the vehicle speed as control contents. 30 (step S102). The accelerator ECU 310 and the security ECU 100 receive this data frame from the bus 30.

このデータフレームを受信して加速制御指示を取得したセキュリティＥＣＵ１００は、この加速制御指示が示す制御内容が、ステップＳ１０１Ａから１０１Ｃで送信された状況情報が示す状況と不整合であるか判定する（ステップＳ１０３）。この例では不整合でないため、セキュリティＥＣＵ１００はステップＳ１０２で送信されたデータフレームに対する無効化処理を実行しない。アクセルＥＣＵ３１０は、取得した加速制御指示に従って作動する（ステップＳ１０５）。 The security ECU 100 receiving this data frame and acquiring the acceleration control instruction determines whether the control content indicated by the acceleration control instruction is inconsistent with the situation indicated by the situation information transmitted in steps S101A to 101C (step S101A). S103). In this example, since there is no mismatch, the security ECU 100 does not execute the invalidation process for the data frame transmitted in step S102. The accelerator ECU 310 operates according to the acquired acceleration control instruction (step S105).

センサＥＣＵ３２０、車速制御支援ＥＣＵ３５０、及びアクセルＥＣＵ３１０は、ステップＳ１０１ＡからＳ１０１Ｃと同様に、それぞれがより新しい状況情報を示すデータフレームをバス３０に送信する（ステップＳ２０１Ａ、Ｓ２０１Ｂ、Ｓ２０１Ｃ）。セキュリティＥＣＵ１００は、これらのより新しい状況情報を取得する。 The sensor ECU 320, the vehicle speed control support ECU 350, and the accelerator ECU 310 each transmit a data frame indicating newer situation information to the bus 30 as in steps S101A to S101C (steps S201A, S201B, and S201C). The security ECU 100 acquires these newer situation information.

不正ＥＣＵは、攻撃のための加速制御指示を含む不正なデータフレームを送信する（ステップＳ２０２）。この不正なデータフレームを、アクセルＥＣＵ３１０及びセキュリティＥＣＵ１００がバス３０から受信する。 The unauthorized ECU transmits an unauthorized data frame including an acceleration control instruction for an attack (step S202). The accelerator ECU 310 and the security ECU 100 receive this illegal data frame from the bus 30.

このデータフレームを受信して加速制御指示を取得したセキュリティＥＣＵ１００は、この加速制御指示が示す制御内容が、ステップＳ２０１Ａから２０１Ｃで送信された状況情報が示す状況と不整合であるか判定する（ステップＳ２０３）。この例では不整合であるため、セキュリティＥＣＵ１００はステップＳ２０２で送信されたデータフレームに対する無効化処理として、当該データフレームがバス３０上に現れているうちにエラーフレームをバス３０に送信する。エラーフレームを受信したアクセルＥＣＵ３１０は、途中まで取得していた、ステップＳ２０２で送信されたデータフレームを破棄する（ステップＳ２０５）。 The security ECU 100 receiving this data frame and acquiring the acceleration control instruction determines whether the control content indicated by the acceleration control instruction is inconsistent with the situation indicated by the situation information transmitted in steps S201A to 201C (step S201). S203). Since this example is inconsistent, the security ECU 100 transmits an error frame to the bus 30 while the data frame appears on the bus 30 as an invalidation process for the data frame transmitted in step S202. The accelerator ECU 310 that has received the error frame discards the data frame transmitted in step S202 that has been acquired halfway (step S205).

以上が車載ネットワークシステム１０における加速制御に係る処理シーケンスの例を用いた説明であり、本実施の形態にかかるセキュリティＥＣＵ１００を含む車載ネットワークシステムの加速制御に係る処理シーケンスはこの例に限定されない。例えば、セキュリティＥＣＵ１００による不整合であるかの判定には、常に全種類の最新の状況情報が用いられなくてもよい。また、同じ状況情報を用いて複数回の不整合であるかの判定が実行されてもよい。例えば、上記の例では、説明を簡便にするために省略したが、ステップＳ２０１の後に車速制御支援ＥＣＵ３５０からも加速制御指示のデータフレームが送信され、セキュリティＥＣＵ１００は、このデータフレームからも加速制御指示を取得して不整合であるかの判定を実行してもよい。ＣＡＮプロトコルでは同一の制御対象に対する制御指示のデータフレームは周期的に送信され、攻撃のための不正なデータフレームは、周期のルールに従って弾かれないように正当なデータフレームとごく近い時刻に送信されることもある。このような攻撃に対しても、状況情報が示す状況と制御指示の内容とを突き合わせた結果に基づいて状況と不整合な制御を示すと判定された不正なデータフレームが適切に無効化される。 The above is the description using the example of the processing sequence related to the acceleration control in the in-vehicle network system 10, and the processing sequence related to the acceleration control of the in-vehicle network system including the security ECU 100 according to the present embodiment is not limited to this example. For example, the latest status information of all types does not have to be used for determining whether the security ECU 100 is inconsistent. In addition, it may be determined whether or not there is inconsistency a plurality of times using the same situation information. For example, in the above example, although omitted for the sake of simplicity, an acceleration control instruction data frame is also transmitted from the vehicle speed control support ECU 350 after step S201, and the security ECU 100 also transmits an acceleration control instruction from this data frame. May be acquired to determine whether or not they are inconsistent. In the CAN protocol, control instruction data frames for the same control target are transmitted periodically, and illegal data frames for attack are transmitted at a time very close to a legitimate data frame so that they are not played according to the rules of the period. Sometimes. Even for such an attack, an invalid data frame determined to show control inconsistent with the situation based on the result of matching the situation indicated by the situation information with the contents of the control instruction is appropriately invalidated. .

［１．１０実施の形態の効果］
実施の形態に係る車載ネットワークシステム１０では、セキュリティＥＣＵ（監視装置）１００の監視処理部３１００が、加速制御指示（つまり加速制御指示のデータフレーム）の受信部１１０１での受信が完了する直前に、センサＥＣＵ３２０等、他の装置から取得した状況情報に基づいて、その加速制御指示の制御内容と状況情報が示す状況とが不整合であるかを所定の方法で判定する。不整合である場合には、エラーフレームの送信によりその加速制御指示を無効化する無効化処理を行う。所定の方法は、基準となる状況と制御内容との組合せを種々定めておくことができる。状況と不整合な加速制御内容を含む不正なデータフレームは、セキュリティＥＣＵ１００からのエラーフレームの送信によってバス３０上で無効化されるので、アクセルＥＣＵ３１０がこの不正なデータフレームの受信を完了し、そのデータフレームが含む加速制御指示に従って原動機３１１を制御することが防止され得る。つまり、車載ネットワークシステム１０では、セキュリティＥＣＵ１００により加速制御指示に係る不正なフレーム（攻撃フレーム）への適切な対処がなされ、攻撃フレームによって引き起こされる事故の防止が可能となる。 [1.10 Effects of the embodiment]
In the in-vehicle network system 10 according to the embodiment, the monitoring processing unit 3100 of the security ECU (monitoring device) 100 immediately before the reception of the acceleration control instruction (that is, the data frame of the acceleration control instruction) by the receiving unit 1101 is completed. Based on the situation information acquired from other devices such as the sensor ECU 320, it is determined by a predetermined method whether the control content of the acceleration control instruction and the situation indicated by the situation information are inconsistent. If they are inconsistent, invalidation processing for invalidating the acceleration control instruction by transmitting an error frame is performed. The predetermined method can determine various combinations of the reference situation and the control content. Since the invalid data frame including the acceleration control content inconsistent with the situation is invalidated on the bus 30 by the transmission of the error frame from the security ECU 100, the accelerator ECU 310 completes the reception of the illegal data frame, Control of the prime mover 311 according to the acceleration control instruction included in the data frame can be prevented. That is, in the in-vehicle network system 10, the security ECU 100 appropriately takes measures against an unauthorized frame (attack frame) related to the acceleration control instruction, and can prevent an accident caused by the attack frame.

（その他変形例）
以上のように、本発明に係る技術の例示として実施の形態を説明した。しかしながら、本発明に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本発明の一実施態様に含まれる。 (Other variations)
As described above, the embodiments have been described as examples of the technology according to the present invention. However, the technology according to the present invention is not limited to this, and can also be applied to embodiments in which changes, replacements, additions, omissions, etc. are made as appropriate. For example, the following modifications are also included in one embodiment of the present invention.

（１）上記実施の形態では、車載ネットワークシステム１０のセキュリティを確保するための機能を担うセキュリティＥＣＵ１００によって実現されている監視装置は、アクセルＥＣＵ３１０の一部として実現されてもよい。この場合、無効化部３１０２による無効化処理として、不正な加速制御指示を含むデータフレームの破棄が実行されてもよい。図１０は、監視装置を一部に含むアクセルＥＣＵの構成例を示すブロック図である。 (1) In the above-described embodiment, the monitoring device realized by the security ECU 100 that has a function for ensuring the security of the in-vehicle network system 10 may be realized as a part of the accelerator ECU 310. In this case, as an invalidation process by the invalidation unit 3102, a data frame including an unauthorized acceleration control instruction may be discarded. FIG. 10 is a block diagram illustrating a configuration example of an accelerator ECU partially including a monitoring device.

本変形例に係るアクセルＥＣＵ３１０Ｂは、実施の形態におけるアクセルＥＣＵ３１０の構成要素に加えて、記憶部２１００Ｂ及び監視処理部３１００Ｂを備える。また、アクセルＥＣＵ３１０Ｂの通信部１３１０Ｂは、実施の形態における通信部１３１０とセキュリティＥＣＵ１００が備える通信部１１００の両方の機能を担う。これらの機能のうち、通信部１１００の受信部１１０１に相当する部分をアクセルＥＣＵ３１０Ｂの説明では受信部１１０１Ｂとして示す。本変形例では、記憶部２１００Ｂ、監視処理部３１００Ｂ、及び受信部１１０１Ｂが、アクセルＥＣＵ３１０Ｂ内で監視装置１００Ｂを構成する。以下、監視装置１００Ｂと実施の形態における監視装置であるセキュリティＥＣＵ１００との差異を中心に説明する。 The accelerator ECU 310B according to this modification includes a storage unit 2100B and a monitoring processing unit 3100B in addition to the components of the accelerator ECU 310 in the embodiment. Further, the communication unit 1310B of the accelerator ECU 310B has both functions of the communication unit 1310 and the communication unit 1100 included in the security ECU 100 in the embodiment. Of these functions, a portion corresponding to the receiving unit 1101 of the communication unit 1100 is shown as the receiving unit 1101B in the description of the accelerator ECU 310B. In the present modification, the storage unit 2100B, the monitoring processing unit 3100B, and the receiving unit 1101B constitute the monitoring device 100B in the accelerator ECU 310B. Hereinafter, the difference between monitoring apparatus 100B and security ECU 100 that is the monitoring apparatus in the embodiment will be mainly described.

受信部１１０１Ｂは上述のとおり、実施の形態におけるセキュリティＥＣＵ１００の通信部１１００の受信部１１０１に相当する。記憶部２１００Ｂは、セキュリティＥＣＵ１００の記憶部２１００に相当する。監視処理部３１００Ｂは、セキュリティＥＣＵ１００の監視処理部３１００の判定部３１０１に相当する判定部３１０１Ｂ及び無効化部３１０２に相当する無効化部３１０２Ｂに加えて、転送部３１０３を備える。 As described above, the reception unit 1101B corresponds to the reception unit 1101 of the communication unit 1100 of the security ECU 100 in the embodiment. The storage unit 2100B corresponds to the storage unit 2100 of the security ECU 100. The monitoring processing unit 3100B includes a transfer unit 3103 in addition to a determination unit 3101B corresponding to the determination unit 3101 of the monitoring processing unit 3100 of the security ECU 100 and an invalidation unit 3102B corresponding to the invalidation unit 3102.

受信部１１０１Ｂは、アクセルＥＣＵ３１０が受信するデータフレームに加えて、他のＥＣＵからの状況情報を含むデータフレームも受信する。なお、実施の形態においてセキュリティＥＣＵ１００がアクセルＥＣＵ３１０から受信する状況情報は、監視処理部３１００ＢがアクセルＥＣＵ３１０Ｂ内で取得する。 In addition to the data frame received by accelerator ECU 310, reception unit 1101B also receives a data frame including situation information from another ECU. In the embodiment, the status information received by the security ECU 100 from the accelerator ECU 310 is acquired by the monitoring processor 3100B in the accelerator ECU 310B.

監視処理部３１００Ｂにおいて、判定部３１０１Ｂは判定部３１０１と同様に、状況情報が示す状況と、車速制御支援ＥＣＵ３５０からの加速制御指示が示す制御内容との比較による判定（図８、ステップＳ１５）を実行し、判定の結果を出力する。ただし、状況と制御内容とが不整合ではないと判定した場合の処理が判定部３１０１と異なる。図１１は、アクセルＥＣＵ３１０Ｂの監視装置１００Ｂで実行される、この差異を含む監視処理の手順の一例を示すフローチャートである。この場合（ステップＳ１５でＮＯ）、つまり加速制御指示を不正でないと判定した判定部３１０１Ｂは、その結果を転送部３１０３に通知する。この通知を受けた転送部３１０３は、この加速制御指示に係るデータフレームの内容（ＩＤ、データフィールドのデータ等）をデータバッファ２３１０に格納する（ステップＳ１８）。 In the monitoring processing unit 3100B, the determination unit 3101B performs a determination (FIG. 8, step S15) by comparing the situation indicated by the situation information with the control content indicated by the acceleration control instruction from the vehicle speed control support ECU 350, as in the determination unit 3101. Execute and output the judgment result. However, the processing when it is determined that the situation and the control content are not inconsistent is different from that of the determination unit 3101. FIG. 11 is a flowchart illustrating an example of a procedure of monitoring processing including this difference, which is executed by the monitoring device 100B of the accelerator ECU 310B. In this case (NO in step S15), that is, the determination unit 3101B that has determined that the acceleration control instruction is not incorrect notifies the transfer unit 3103 of the result. Receiving this notification, the transfer unit 3103 stores the data frame contents (ID, data field data, etc.) related to the acceleration control instruction in the data buffer 2310 (step S18).

監視処理部３１００Ｂにおいて、状況と制御内容とが不整合ではなく、不正な加速制御であると判定した場合（ステップＳ１５でＹＥＳ、ステップＳ１６）、無効化部３１０２Ｂは、この加速制御指示に係るデータフレームを破棄する（ステップＳ１７Ｂ）。 When the monitoring processing unit 3100B determines that the situation and the control content are not inconsistent and is an unauthorized acceleration control (YES in step S15, step S16), the invalidation unit 3102B displays data related to the acceleration control instruction. The frame is discarded (step S17B).

図１２に、アクセルＥＣＵ３１０Ｂを含む車載ネットワークシステム１０における加速制御に係る処理シーケンスの一例を示す。図９に示した実施の形態の処理シーケンスとは、アクセルＥＣＵ３１０Ｂが各状況情報を取得している点、不整合の判定を実行する点（ステップＳ１０３、Ｓ２０３）、不整合でない場合に加速制御指示転送を実行する点（ステップＳ１０４）が異なる。 FIG. 12 shows an example of a processing sequence related to acceleration control in the in-vehicle network system 10 including the accelerator ECU 310B. The processing sequence of the embodiment shown in FIG. 9 is that the accelerator ECU 310B acquires each situation information, performs a mismatch determination (steps S103 and S203), and gives an acceleration control instruction when there is no mismatch. The difference is that the transfer is executed (step S104).

なお、さらに無効化部３１０２Ｂは、無効化部３１０２と同様に、通信部１３１０Ｂにエラーフレームをバス３０へ送信させてもよい。 Further, the invalidating unit 3102B may cause the communication unit 1310B to transmit an error frame to the bus 30 in the same manner as the invalidating unit 3102.

（２）判定部３１０１及び３１０１Ｂによって加速制御指示の制御内容と比較される、状況情報が示す車両の状況又は車両が走行する外界の状況は、上記実施の形態に記載されたものに限定されない。例えば車両が走行している場所又は走行予定経路の道路標識又は道路標示の示す内容も状況情報が示す外界の状況に含まれてもよい。例えば加速制御指示の制御内容が、道路標識が示す速度に関する規制の状況と不整合であるか否か判定されてもよい。また例えば、天候、気温、路面状況、地形（勾配率）、積載荷重若しくはさらにそのバランス、車速の変化状況、又はタイヤの種類若しくは劣化の程度等の、安全な速度に影響し得る状況も、状況情報が示す車両又は外界の状況に含まれてもよい。このような情報は、例えば車載のセンサ、地図データ、ＶＩＣＳ（登録商標）などの道路交通情報の提供システム、又はインターネット上でのサービスから取得され得る。判定部３１０１又は３１０１Ｂでは、車両の走行速度に加えこれらの状況に対して加速制御指示が示すアクセル開度による加速が安全に実行し得るか否かの基準を用いて不整合の判定を実行してもよい。例えば状況情報が示すこれらの状況に応じて異なる基準が用いられてもよいし、これらの状況情報を入力値とする識別関数又は識別モデルが用いられてもよい。 (2) The situation of the vehicle indicated by the situation information or the situation of the outside world where the vehicle travels is compared with the control content of the acceleration control instruction by the determination units 3101 and 3101B is not limited to that described in the above embodiment. For example, the content of a road sign or road marking of a place where the vehicle is traveling or a planned travel route may be included in the situation of the outside world indicated by the situation information. For example, it may be determined whether or not the control content of the acceleration control instruction is inconsistent with the state of regulation regarding the speed indicated by the road sign. Also, for example, conditions that can affect safe speed, such as weather, temperature, road surface conditions, topography (gradient rate), load capacity or even balance, changes in vehicle speed, or tire type or degree of deterioration It may be included in the situation indicated by the vehicle or the outside world indicated by the information. Such information can be obtained from, for example, a vehicle-mounted sensor, map data, a system for providing road traffic information such as VICS (registered trademark), or a service on the Internet. In the determination unit 3101 or 3101B, inconsistency is determined using a criterion as to whether or not acceleration based on the accelerator opening indicated by the acceleration control instruction can be safely executed in addition to the traveling speed of the vehicle. May be. For example, different criteria may be used according to these situations indicated by the situation information, or an identification function or an identification model using these situation information as input values may be used.

（３）上記実施の形態及びその変形例で示した加速制御指示が状況と不整合であるか否かについての判定のための基準は、車両２０の車種毎に異なるものが用いられてもよい。ここでの車種とは、車両型式で識別される種類であってもよいし、さらに細かいグレードであってもよい。また、オプション等による所定の機能の有無でさらに区別されてもよい。 (3) The reference for determining whether or not the acceleration control instruction shown in the above embodiment and its modification is inconsistent with the situation may be different for each vehicle type. . The vehicle type here may be a type identified by a vehicle type, or may be a finer grade. Further, it may be further distinguished by the presence or absence of a predetermined function such as an option.

また、制御内容と比較される状況情報のうち、車速制御支援ＥＣＵ３５０から送信される情報の内容は上記に限定されない。例えばドライバーによる加速制御に関連する設定の内容が含まれてもよい。例えば車間距離維持機能又は車間距離調整機能に対してドライバーが設定する先行車両との車間距離が含まれていてもよい。 Moreover, the content of the information transmitted from vehicle speed control assistance ECU350 among the status information compared with the control content is not limited to the above. For example, the setting content related to the acceleration control by the driver may be included. For example, the inter-vehicle distance with the preceding vehicle set by the driver for the inter-vehicle distance maintaining function or the inter-vehicle distance adjusting function may be included.

（４）上記実施の形態として、ＣＡＮプロトコルにおけるデータフレームについてのフォーマットとして図２に示す標準フォーマットが用いられる車載ネットワークシステムでの本発明の適用の例を説明したが、本発明が適用可能なネットワークシステムはこれに限定されない。例えば拡張フォーマットのデータフレームが流れるネットワークであってもよい。上記実施の形態で示したＣＡＮプロトコルは、ＴＴＣＡＮ（Time-Triggered CAN）、ＣＡＮＦＤ（CAN with Flexible Data Rate）等の派生的なプロトコルも包含する広義のものとして捉えられてもよい。また、Ｅｔｈｅｒｎｅｔ（登録商標）、ＦｌｅｘＲａｙ（登録商標）等の、ＣＡＮ以外のプロトコルに準拠するネットワークシステム、又は複数のプロトコルが混在するネットワークシステムにも適用可能である。 (4) In the above embodiment, the example of application of the present invention in the in-vehicle network system in which the standard format shown in FIG. 2 is used as the format for the data frame in the CAN protocol has been described. The system is not limited to this. For example, it may be a network through which an extended format data frame flows. The CAN protocol shown in the above embodiment may be understood as a broad sense including derivative protocols such as TTCAN (Time-Triggered CAN) and CAN FD (CAN with Flexible Data Rate). The present invention is also applicable to a network system that complies with protocols other than CAN, such as Ethernet (registered trademark) and FlexRay (registered trademark), or a network system in which a plurality of protocols are mixed.

（５）上記実施の形態又はその変形例で示した車載ネットワークシステム１０上又はこれを含む制御ネットワークシステムが備える各種構成要素間の機能分担は一例であり、その分担を変更し得る。また、セキュリティＥＣＵ１００における監視処理部３１００等、又はアクセルＥＣＵ３１０Ｂにおける監視処理部３１００Ｂの機能の一部が、セキュリティＥＣＵ１００と通信可能な装置、例えば車載ネットワークシステム１０上の他のＥＣＵ、又は車載ネットワークシステム１０の外部のサーバ装置等によって担われてもよい。例えば、上記実施の形態において、車載ネットワークシステム１０には、セキュリティＥＣＵ１００とは別の他のセキュリティＥＣＵが含まれ、監視処理部３１００の機能のうち、無効化部３１０２の機能はこの他のセキュリティＥＣＵによって担われてもよい。この場合、判定部３１０１から出力された判定の結果は、データフレームとして送信部１１０２からバス３０に送信されてもよいし、専用線で他のセキュリティＥＣＵに送信されてもよい。 (5) The division of functions among the various components provided on the in-vehicle network system 10 or the control network system including the above-described embodiment or its modification is an example, and the division can be changed. In addition, a part of the functions of the monitoring processing unit 3100 or the like in the security ECU 100 or the monitoring processing unit 3100B in the accelerator ECU 310B can communicate with the security ECU 100, for example, another ECU on the in-vehicle network system 10, or the in-vehicle network system 10 May be carried by an external server device or the like. For example, in the above embodiment, the in-vehicle network system 10 includes another security ECU different from the security ECU 100, and the function of the invalidation unit 3102 among the functions of the monitoring processing unit 3100 is the other security ECU. May be carried by. In this case, the determination result output from the determination unit 3101 may be transmitted as a data frame from the transmission unit 1102 to the bus 30 or may be transmitted to another security ECU via a dedicated line.

（６）上記実施の形態における各ＥＣＵは、例えば、プロセッサ、メモリ等のデジタル回路、アナログ回路、通信回路等を含む装置であることとしたが、ハードディスク装置、ディスプレイ、キーボード、マウス等のハードウェア構成要素を含んでいてもよい。また、上記実施の形態で示した各装置は、メモリに記憶された制御プログラムがプロセッサにより実行されてソフトウェア的に機能を実現する代わりに、専用のハードウェア（デジタル回路等）によりその機能が実現されてもよい。 (6) Each ECU in the above embodiment is a device including a digital circuit such as a processor and a memory, an analog circuit, a communication circuit, and the like, but hardware such as a hard disk device, a display, a keyboard, and a mouse. A component may be included. In addition, each device shown in the above embodiment realizes its function by dedicated hardware (digital circuit, etc.) instead of realizing the function by software by the control program stored in the memory being executed by the processor. May be.

（７）上記実施の形態における各装置を構成する構成要素の一部又は全部は、１個のシステムＬＳＩ（Large Scale Integration：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等を含んで構成されるコンピュータシステムである。このＲＯＭには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。また、上記各装置を構成する構成要素の各部は、個別に１チップ化されていてもよいし、一部又は全部を含むように１チップ化されてもよい。また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Field Programmable Gate Array）、又はＬＳＩ内部の回路セルの接続及び設定を再構成可能なリコンフィギュラブル・プロセッサを利用してもよい。さらには、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてあり得る。 (7) Part or all of the constituent elements constituting each device in the above embodiment may be constituted by one system LSI (Large Scale Integration). The system LSI is an ultra-multifunctional LSI manufactured by integrating a plurality of components on a single chip. Specifically, the system LSI is a computer system including a microprocessor, a ROM, a RAM, and the like. . A computer program is recorded in this ROM. The system LSI achieves its functions by the microprocessor operating according to the computer program. Further, each part of the constituent elements constituting each of the above devices may be individually made into one chip, or may be made into one chip so as to include a part or all of them. Although the system LSI is used here, it may be called IC, LSI, super LSI, or ultra LSI depending on the degree of integration. Further, the method of circuit integration is not limited to LSI's, and implementation using dedicated circuitry or general purpose processors is also possible. An FPGA (Field Programmable Gate Array) that can be programmed after manufacturing the LSI or a reconfigurable processor that can reconfigure the connection and setting of circuit cells inside the LSI may be used. Furthermore, if integrated circuit technology comes out to replace LSI's as a result of the advancement of semiconductor technology or a derivative other technology, it is naturally also possible to carry out function block integration using this technology. Biotechnology can be applied as a possibility.

（８）上記各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしてもよい。ＩＣカード又はモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。ＩＣカード又はモジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、ＩＣカード又はモジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしてもよい。 (8) A part or all of the constituent elements constituting each of the above devices may be configured as an IC card or a single module that can be attached to and detached from each device. The IC card or module is a computer system that includes a microprocessor, ROM, RAM, and the like. The IC card or the module may include the super multifunctional LSI described above. The IC card or the module achieves its function by the microprocessor operating according to the computer program. This IC card or this module may have tamper resistance.

（９）本発明の一態様としては、例えば図８及び図９、図１１及び図１２、並びに本明細書中のこれらに関連する記載に含まれる処理手順の全部又は一部を含む監視方法であるとしてもよい。例えば、監視方法は、車両２０の状況及び車両２０が走行する外界の状況の少なくとも一つを示す状況情報、及び車載ネットワークシステム１０で伝送されている加速制御指示を取得する取得ステップ（例えばステップＳ１１及びＳ１３）と、取得された状況情報が示す状況と、取得された加速制御指示が示す制御内容とを比較することで、加速制御指示が不正な制御指示であるか否かを判定する判定ステップ（例えばステップＳ１４）と、判定ステップによる判定の結果を示す情報を出力する出力ステップ（例えばステップＳ１５）とを含む。また、さらに判定ステップによって加速制御指示が不正な制御指示であると判定された場合に、この加速制御指示を無効化する無効化ステップ（例えばステップＳ１７又はＳ１７Ｂ）が含まれてもよい。このような方法は、例えば車載ネットワークシステム１０で伝送される、車両２０を加速するための加速制御指示を監視する監視装置として機能するＥＣＵによって実行される。 (9) As one aspect of the present invention, for example, there is a monitoring method including all or part of the processing procedures included in FIGS. 8 and 9, FIGS. 11 and 12, and descriptions related thereto in this specification. There may be. For example, in the monitoring method, an acquisition step (for example, step S11) of acquiring situation information indicating at least one of the situation of the vehicle 20 and the situation of the outside world where the vehicle 20 travels, and the acceleration control instruction transmitted in the in-vehicle network system 10 And step S13) for determining whether the acceleration control instruction is an unauthorized control instruction by comparing the situation indicated by the acquired situation information with the control content indicated by the acquired acceleration control instruction. (For example, step S14) and an output step (for example, step S15) for outputting information indicating the result of determination by the determination step. Further, when the determination step determines that the acceleration control instruction is an illegal control instruction, an invalidation step (for example, step S17 or S17B) for invalidating the acceleration control instruction may be included. Such a method is executed by an ECU functioning as a monitoring device that monitors an acceleration control instruction for accelerating the vehicle 20, for example, transmitted by the in-vehicle network system 10.

また、本発明の一態様としては、この監視方法に係る処理をコンピュータに実行させるコンピュータプログラムであってもよいし、このコンピュータプログラムからなるデジタル信号であるとしてもよい。この監視方法に係る処理は、車両２０の状況及び車両２０が走行する外界の状況の少なくとも一つを示す状況情報、及び車載ネットワークシステム１０で伝送されている加速制御指示を取得する取得ステップ（例えばステップＳ１１及びＳ１３）と、取得された状況情報が示す状況と、取得された加速制御指示が示す制御内容とを比較することで、加速制御指示が不正な制御指示であるか否かを判定する判定ステップ（例えばステップＳ１４）と、判定ステップによる判定の結果を示す情報を出力する出力ステップ（例えばステップＳ１５）とを含む処理である。出力されたこの情報は、別のプログラムモジュール若しくはコンピュータプログラム、又は通信可能な他の装置への入力として用いられてもよい。この別のプログラムモジュール等によって、例えばデータフレームの無効化、車速制御支援ＥＣＵの無効化、緊急停止のための自動運転、攻撃の発生に関する通知のドライバーへの提示、エラーログの記録などが実行されてもよい。 Further, as one aspect of the present invention, a computer program that causes a computer to execute processing according to the monitoring method may be used, or a digital signal that includes the computer program may be used. The process according to this monitoring method is an acquisition step of acquiring situation information indicating at least one of the situation of the vehicle 20 and the situation of the outside where the vehicle 20 travels, and an acceleration control instruction transmitted by the in-vehicle network system 10 (for example, Steps S11 and S13) are compared with the situation indicated by the acquired situation information and the control content indicated by the acquired acceleration control instruction to determine whether or not the acceleration control instruction is an unauthorized control instruction. This is a process including a determination step (for example, step S14) and an output step (for example, step S15) for outputting information indicating the result of determination by the determination step. This output information may be used as an input to another program module or computer program or other device capable of communication. By this other program module, for example, data frame invalidation, vehicle speed control assist ECU invalidation, automatic driving for emergency stop, notification of occurrence of attack to driver, error log recording, etc. are executed May be.

また、本発明の一態様としては、このコンピュータプログラム又はデジタル信号をコンピュータで読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Blu-ray（登録商標） Disc）、半導体メモリ等に記録したものとしてもよい。また、これらの記録媒体に記録されているデジタル信号であるとしてもよい。また、本発明の一態様としては、コンピュータプログラム又はデジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。 Further, as one embodiment of the present invention, a computer-readable recording medium such as a flexible disk, a hard disk, a CD-ROM, an MO, a DVD, a DVD-ROM, a DVD-RAM, a BD ( It may be recorded on a Blu-ray (registered trademark) disc, a semiconductor memory, or the like. Further, it may be a digital signal recorded on these recording media. Further, as one embodiment of the present invention, a computer program or a digital signal may be transmitted via an electric communication line, a wireless or wired communication line, a network represented by the Internet, data broadcasting, or the like.

また、本発明の一態様としては、マイクロプロセッサとメモリを備えたコンピュータシステムであって、メモリは、上記コンピュータプログラムを記録しており、マイクロプロセッサは、コンピュータプログラムに従って動作するとしてもよい。また、プログラム若しくはデジタル信号を記録媒体に記録して移送することにより、又はプログラム若しくはデジタル信号を、ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。 Further, an embodiment of the present invention may be a computer system including a microprocessor and a memory, the memory recording the above computer program, and the microprocessor operating according to the computer program. Alternatively, the program or digital signal may be recorded on a recording medium and transferred, or the program or digital signal may be transferred via a network or the like, and executed by another independent computer system.

（１０）上記実施の形態及びその変形例における無効化の処理は、エラーフレームのＣＡＮバスへの送出によるものに限定されない。上述のアクセルＥＣＵ３１０Ｂにおいて実行されるデータフレームの破棄も無効化処理の一態様である。別の例として、ネットワークにおけるゲートウェイの一部として実現される監視装置が、不正な加速制御指示を含むデータフレームを転送しないこともまた無効化処理の一態様に含まれる。 (10) The invalidation processing in the above embodiment and its modifications is not limited to the one by sending an error frame to the CAN bus. Discarding the data frame executed in the above-described accelerator ECU 310B is also an aspect of the invalidation process. As another example, it is also included in one aspect of the invalidation process that the monitoring device realized as part of the gateway in the network does not transfer a data frame including an unauthorized acceleration control instruction.

（１１）上記実施の形態及び上記変形例で示した各構成要素及び機能を任意に組み合わせることで実現される形態も本発明の範囲に含まれる。 (11) Embodiments realized by arbitrarily combining the constituent elements and functions shown in the embodiment and the modified examples are also included in the scope of the present invention.

本発明は、車両等の手動又は自動で車速制御が実行されるモビリティが備えるモビリティネットワークに不正な加速制御指示のフレームを送信する攻撃に対処するために利用可能である。 INDUSTRIAL APPLICABILITY The present invention can be used to cope with an attack in which a frame of an unauthorized acceleration control instruction is transmitted to a mobility network included in mobility in which vehicle speed control is performed manually or automatically, such as a vehicle.

１０車載ネットワークシステム
２０、２１車両
３０バス（ＣＡＮバス）
１００セキュリティＥＣＵ（監視装置）
３１０、３１０ＢアクセルＥＣＵ
３１１原動機
３２０センサＥＣＵ
３２１物体検知センサ
３２２速度センサ
３３０ブレーキＥＣＵ
３３１ブレーキ
３５０車速制御支援ＥＣＵ
３９０診断用ポート
１１００、１３１０、１３１０Ｂ通信部
１１０１、１１０１Ｂ受信部（取得部）
１１０２送信部
２１００、２１００Ｂ記憶部
２３１０データバッファ
３１００、３１００Ｂ監視処理部
３１０１、３１０１Ｂ判定部
３１０２、３１０２Ｂ無効化部
３１０３転送部
３３１０制御処理部 10 In-vehicle network system 20, 21 Vehicle 30 Bus (CAN bus)
100 Security ECU (Monitoring device)
310, 310B Accelerator ECU
311 Motor 320 Sensor ECU
321 Object detection sensor 322 Speed sensor 330 Brake ECU
331 Brake 350 Vehicle speed control assist ECU
390 Diagnostic port 1100, 1310, 1310B Communication unit 1101, 1101B Receiving unit (acquiring unit)
1102 Transmission unit 2100, 2100B Storage unit 2310 Data buffer 3100, 3100B Monitoring processing unit 3101, 3101B Judgment unit 3102, 3102B Invalidation unit 3103 Transfer unit 3310 Control processing unit

上記課題を解決するために本発明の一態様に係る電子制御装置は、モビリティの状況と前記モビリティが移動する外界の状況との少なくとも一方を示す状況情報、及び、前記モビリティを加速させるための加速制御指示を取得する取得部と、取得された前記状況情報が示す状況と、取得された前記加速制御指示が示す制御内容とに基づいて、前記加速制御指示が不正な制御指示であるか否かを判定する判定部とを備える。 Electronic control apparatus according to an embodiment of the present invention to solve the above problems, the situation information indicating at least one of the outside world situation which the situation of the mobility mobility moves, and, for accelerating the mobility Whether the acceleration control instruction is an illegal control instruction based on the acquisition unit for acquiring the acceleration control instruction, the situation indicated by the acquired situation information, and the control content indicated by the acquired acceleration control instruction. and a determination unit to determine whether.

また、上記課題を解決するために本発明の一態様に係る監視方法は、電子制御装置による監視方法であって、モビリティの状況と前記モビリティが移動する外界の状況との少なくとも一方を示す状況情報、及び、前記モビリティを加速させるための加速制御指示を取得し、取得された前記状況情報が示す状況と、取得された前記加速制御指示が示す制御内容とに基づいて、前記加速制御指示が不正な制御指示であるか否かを判定する。 The monitoring method according to an embodiment of the present invention to solve the aforementioned problem is a monitoring method by the electronic control unit, status indicating at least one of the outside world situation which the situation of the mobility mobility moves information, and obtains the acceleration control instruction for accelerating the mobility, and status indicated by the status information acquired, based on a control content indicated by the acquired the acceleration control instruction, the acceleration control instruction is Ru determine Teisu whether or not it is illegal control instruction.

また、上記課題を解決するために本発明の一態様に係るプログラムは、モビリティの状況と前記モビリティが移動する外界の状況との少なくとも一方を示す状況情報、及び、前記モビリティを加速させるための加速制御指示を取得する処理と、取得された前記状況情報が示す状況と、取得された前記加速制御指示が示す制御内容とに基づいて、前記加速制御指示が不正な制御指示であるか否かを判定する処理とをコンピュータに実行させるためのプログラムである。
また、上記課題を解決するために本発明の一態様に係るゲートウェイ装置は、モビリティの状況と前記モビリティが移動する外界の状況との少なくとも一方を示す状況情報、及び、前記モビリティを加速させるための加速制御指示を取得する取得部と、取得された前記状況情報が示す状況と、取得された前記加速制御指示が示す制御内容とに基づいて、前記加速制御指示が不正な制御指示であるか否かを判定する判定部と、前記判定部によって前記加速制御指示が不正な制御指示であると判定された場合に、前記加速制御指示を転送しない無効化部とを備える。 In order to solve the above-described problem, a program according to an aspect of the present invention includes a situation information indicating at least one of a mobility situation and an outside situation in which the mobility moves, and an acceleration for accelerating the mobility. Whether the acceleration control instruction is an unauthorized control instruction based on the process of acquiring the control instruction, the situation indicated by the acquired situation information, and the control content indicated by the acquired acceleration control instruction. This is a program for causing a computer to execute the determination process .
In order to solve the above problems, a gateway device according to an aspect of the present invention provides status information indicating at least one of a mobility status and an external environment in which the mobility moves, and for accelerating the mobility. Whether the acceleration control instruction is an unauthorized control instruction based on the acquisition unit that acquires the acceleration control instruction, the situation indicated by the acquired situation information, and the control content indicated by the acquired acceleration control instruction And a disabling unit that does not transfer the acceleration control instruction when the determination unit determines that the acceleration control instruction is an unauthorized control instruction.

本発明の一態様に係る監視装置を実現する電子制御装置等では、その方法を実行して不正な加速制御指示を特定する。また、不正な加速制御指示であればさらに無効化することで、その加速制御指示に従って加速制御を実行することを抑止する。これにより、不正な加速制御指示の攻撃フレームによって引き起こされる事故の防止が可能となる。 In an electronic control device or the like that realizes a monitoring device according to an aspect of the present invention, the method is executed to specify an unauthorized acceleration control instruction. Further, by invalidating an invalid acceleration control instruction, execution of the acceleration control according to the acceleration control instruction is suppressed. As a result, it is possible to prevent an accident caused by an unauthorized acceleration control instruction attack frame.

本発明の一態様に係る電子制御装置は、モビリティの状況と前記モビリティが移動する外界の状況との少なくとも一方を示す状況情報、及び、前記モビリティを加速させるための加速制御指示を取得する取得部と、取得された前記状況情報が示す状況と、取得された前記加速制御指示が示す制御内容とに基づいて、前記加速制御指示が不正な制御指示であるか否かを判定する判定部とを備える。これにより、車両の状況及び車両の外界の状況（以下、特に区別せずにまとめて車両等の状況ともいう）に照らして適切か否かに基づいて、ネットワークに送信された加速制御指示が不正な制御指示であるか否かが判定され、その判定結果を利用することができる。 Electronic control apparatus according to an embodiment of the present invention, the situation information indicating at least one of the outside world situation which the situation of the mobility mobility moves, and obtains the acceleration control instruction for accelerating the mobility an acquisition unit, a status indicated by the status information acquired, based on a control content indicated by the acquired the acceleration control instruction, the acceleration control instruction to determine whether an unauthorized control command determination unit With. As a result, the acceleration control instruction sent to the network is illegal based on whether or not it is appropriate in light of the situation of the vehicle and the situation of the outside world of the vehicle (hereinafter collectively referred to as the situation of the vehicle etc. without distinction). It is determined whether the control instruction is correct, and the determination result can be used.

また、例えば、前記判定部によって前記加速制御指示が不正な制御指示であると判定された場合に、前記加速制御指示を無効化又は破棄する無効化部をさらに備えてもよい。これにより、アクセルＥＣＵによる不正な加速制御指示に従っての加速制御の実行が抑止される。 Further, for example, the in the case where the acceleration control instruction is determined to be invalid control instruction by the determination unit may further comprise an invalidation unit for invalidating or discard the acceleration control instruction. Thereby, execution of the acceleration control according to the unauthorized acceleration control instruction by the accelerator ECU is suppressed.

また、例えば、前記判定部は、前記加速制御指示が、前記状況情報が示す状況と整合しない制御内容を示す場合に、前記加速制御指示が不正な制御指示であると判定してもよい。これにより、例えば車両等の状況と矛盾する加速制御指示は、不正な制御指示であると判定される。 Further, for example, the determination unit, the acceleration control instruction, to indicate the control contents without conditions and integer if said status information indicating the acceleration control instruction may be determined to be invalid control instructions. Thereby, for example, an acceleration control instruction that contradicts the situation of the vehicle or the like is determined to be an unauthorized control instruction.

また、例えば、前記判定部は、前記状況情報が示す状況が、前記モビリティの設定速度又は前記モビリティが移動する場所の規制速度を示し、かつ、前記加速制御指示が、前記モビリティを前記設定速度又は前記規制速度を超える速度で移動させる制御内容を示す場合に、前記加速制御指示が不正な制御指示であると判定してもよい。また、例えば、前記判定部は、前記状況情報が示す状況が、前記モビリティの先行モビリティから前記モビリティが移動すべき速度を示し、かつ、前記加速制御指示が、受信した前記モビリティが移動すべき速度を超える速度で移動させる制御内容を示す場合に、前記加速制御指示が不正な制御指示であると判定もよい。これにより、ドライバーが車両に対して設定している制限速度、又は公的な制限を超える速度で車両を走行させる加速制御指示は、不正な制御指示であると判定される。 Further, for example, the determination unit indicates that the situation indicated by the situation information indicates a set speed of the mobility or a restriction speed of a place where the mobility moves , and the acceleration control instruction indicates the mobility at the set speed or When the control content to be moved at a speed exceeding the regulation speed is indicated, it may be determined that the acceleration control instruction is an unauthorized control instruction. Further, for example, the determination unit, the situation shown the status information is, the mobility from the preceding Mobility of the mobility indicates the movement should do speed, and the acceleration control instruction, the mobility received should move When the control content to be moved at a speed exceeding the speed is indicated, it may be determined that the acceleration control instruction is an unauthorized control instruction. As a result, the acceleration control instruction for causing the vehicle to travel at a speed limit set by the driver for the vehicle or exceeding the official limit is determined to be an unauthorized control instruction.

また、例えば、前記判定部は、前記状況情報が示す状況が、前記モビリティの車速又は前記モビリティの進行方向にある物体との相対速度を示し、かつ、前記加速制御指示が、前記モビリティを、第１所定値を超える速度で移動させる制御内容を示す場合に、前記加速制御指示が不正な制御指示であると判定してもよい。また、例えば、前記判定部は、前記状況情報が示す状況が、前記モビリティの進行方向にある物体との距離を示し、かつ、前記加速制御指示が、前記モビリティを、前記物体との距離に対応する第１所定値を超える速度で移動させる制御内容を示す場合に、前記加速制御指示が不正な制御指示であると判定してもよい。これにより、例えば先行車両との車間距離を過度に詰めることになる速度で車両を走行させる加速制御指示は、不正な制御指示であると判定される。 Further, for example, the determination unit indicates that the situation indicated by the situation information indicates a vehicle speed of the mobility or a relative speed with an object in the traveling direction of the mobility, and the acceleration control instruction indicates the mobility. When the control content for moving at a speed exceeding one predetermined value is indicated, it may be determined that the acceleration control instruction is an unauthorized control instruction. Further, for example, the determination unit indicates that the situation indicated by the situation information indicates a distance from an object in the mobility traveling direction, and the acceleration control instruction corresponds to the mobility and the distance from the object. to indicate a first control content moving at a speed exceeding a predetermined value for the acceleration control instruction it may be determined to be invalid control instructions. As a result, for example, an acceleration control instruction for causing the vehicle to travel at a speed that would excessively reduce the inter-vehicle distance from the preceding vehicle is determined to be an unauthorized control instruction.

また、例えば、前記判定部は、前記状況情報が示す状況が、前記モビリティを減速させるべき状況を示し、かつ、前記加速制御指示が、前記モビリティを、第２所定値を超える速度で移動させる制御内容を示す場合に、前記加速制御指示が不正な制御指示であると判定してもよい。これにより、減速が実行される状況で車両を加速させる加速制御指示は、不正な制御指示であると判定される。 In addition, for example, the determination unit performs a control in which the situation indicated by the situation information indicates a situation in which the mobility should be decelerated, and the acceleration control instruction moves the mobility at a speed exceeding a second predetermined value. When the content is indicated, the acceleration control instruction may be determined to be an unauthorized control instruction. Thereby, it is determined that the acceleration control instruction for accelerating the vehicle in a situation where deceleration is executed is an unauthorized control instruction.

また、例えば、前記判定部は、（１）前記状況情報が示す状況が、前記モビリティが備える先進運転者支援システムがオフであることを示し、かつ、前記加速制御指示が、第３所定値を超える速度で移動させる制御内容を示す場合、又は、（２）前記状況情報が示す状況が、前記モビリティが備える先進運転者支援システムがオフであることを示し、かつ、前記取得部が所定期間内に前記加速制御指示を取得した場合に、前記加速制御指示が不正な制御指示であると判定してもよい。これにより、ＡＤＡＳ機能が無効である状況で、ＡＤＡＳ機能からの加速制御指示を装った可能性のある加速制御指示は、不正な制御指示であると判定される。 For example, the determination unit may: (1) The situation indicated by the situation information indicates that the advanced driver assistance system included in the mobility is off, and the acceleration control instruction indicates a third predetermined value. when showing the control contents of moving at speeds in excess, or, (2) the status information indicates status indicates that advanced driver assistance system in which the mobility is provided is off, and the acquisition unit is within a predetermined time period When the acceleration control instruction is acquired, it may be determined that the acceleration control instruction is an unauthorized control instruction. Thereby, in a situation where the ADAS function is invalid, it is determined that an acceleration control instruction that may be disguised as an acceleration control instruction from the ADAS function is an unauthorized control instruction.

また、本発明の一態様に係る監視方法は、電子制御装置による監視方法であって、モビリティの状況と前記モビリティが移動する外界の状況との少なくとも一方を示す状況情報、及び、前記モビリティを加速させるための加速制御指示を取得し、取得された前記状況情報が示す状況と、取得された前記加速制御指示が示す制御内容とに基づいて、前記加速制御指示が不正な制御指示であるか否かを判定する。これにより、車両等の状況に照らして適切か否かに基づいて、ネットワークに送信された加速制御指示が不正な制御指示であるか否かが判定され、その判定結果を利用することができる。 The monitoring method according to an embodiment of the present invention, there is provided a monitoring method by the electronic control unit, status information indicating at least one of the outside world situation which the situation of the mobility mobility moves, and the mobility The acceleration control instruction is an unauthorized control instruction based on the situation indicated by the acquired situation information and the control content indicated by the acquired acceleration control instruction. whether or not the Ru determine Teisu. Thereby, it is determined whether the acceleration control instruction transmitted to the network is an improper control instruction based on whether it is appropriate in light of the situation of the vehicle or the like, and the determination result can be used.

また、本発明の一態様に係るプログラムは、モビリティの状況と前記モビリティが移動する外界の状況との少なくとも一方を示す状況情報、及び、前記モビリティを加速させるための加速制御指示を取得する処理と、取得された前記状況情報が示す状況と、取得された前記加速制御指示が示す制御内容とに基づいて、前記加速制御指示が不正な制御指示であるか否かを判定する処理とをコンピュータに実行させるためのプログラムである。このプログラムが、プロセッサ（マイクロプロセッサ）を備えるコンピュータにインストールされ、そのコンピュータのプロセッサによって当該プログラムが実行されることで、バス上に現れた加速制御指示が不正であるか否か適切に判定される。
また、本発明の一態様に係るゲートウェイ装置は、モビリティの状況と前記モビリティが移動する外界の状況との少なくとも一方を示す状況情報、及び、前記モビリティを加速させるための加速制御指示を取得する取得部と、取得された前記状況情報が示す状況と、取得された前記加速制御指示が示す制御内容とに基づいて、前記加速制御指示が不正な制御指示であるか否かを判定する判定部と、前記判定部によって前記加速制御指示が不正な制御指示であると判定された場合に、前記加速制御指示を転送しない無効化部とを備える。これにより、車両等の状況に照らして適切か否かに基づいて、ネットワークに送信された加速制御指示が不正な制御指示であるか否かを、ゲートウェイ装置が判定し、その判定結果を利用することができる。 Further, the program according to an aspect of the present invention is a process for obtaining situation information indicating at least one of a mobility situation and an outside world where the mobility moves, and an acceleration control instruction for accelerating the mobility; A process for determining whether the acceleration control instruction is an illegal control instruction based on the situation indicated by the acquired situation information and the control content indicated by the acquired acceleration control instruction. This is a program to be executed. When this program is installed in a computer having a processor (microprocessor) and the program is executed by the processor of the computer, it is appropriately determined whether or not the acceleration control instruction appearing on the bus is illegal. .
In addition, the gateway device according to one aspect of the present invention acquires the situation information indicating at least one of the situation of mobility and the situation of the outside world where the mobility moves, and the acceleration control instruction for accelerating the mobility A determination unit that determines whether or not the acceleration control instruction is an unauthorized control instruction based on a situation indicated by the acquired situation information and a control content indicated by the acquired acceleration control instruction. And an invalidating unit that does not transfer the acceleration control instruction when the determination unit determines that the acceleration control instruction is an illegal control instruction. Thus, the gateway device determines whether or not the acceleration control instruction transmitted to the network is an unauthorized control instruction based on whether or not it is appropriate in light of the situation of the vehicle or the like, and uses the determination result. be able to.

判定部３１０１は、受信部１１０１が加速制御指示のデータフレームを受信した際における車両２０の状況及び車両２０が走行する外界の状況の少なくとも一方と、当該加速制御指示とに基づいて、加速制御指示が不正か否か（つまりその加速制御指示のデータフレームは無効化されるべき不正なフレームであるか否か）を判定する。判定部３１０１は、受信部１１０１により受信され、記憶部２１００に格納されている状況情報が示す状況と、受信部１１０１により受信された加速制御指示が示す制御内容とに基づいて、この判定を実行する。この判定は、加速制御指示のデータフレームの全体が受信部１１０１によってバス３０から受信されるまで（つまりデータフレームの終了前であり、例えばデータフィールドの受信直後或いはＣＲＣシーケンスの受信直後等）に行われる。判定部３１０１は、加速制御指示を不正であると判定した場合には、その結果を出力して無効化部３１０２に通知する。 The determination unit 3101 determines an acceleration control instruction based on at least one of the situation of the vehicle 20 and the situation of the outside where the vehicle 20 travels when the reception unit 1101 receives the data frame of the acceleration control instruction, and the acceleration control instruction. Is invalid (that is, whether the data frame of the acceleration control instruction is an invalid frame to be invalidated). The determination unit 3101 executes this determination based on the situation indicated by the situation information received by the reception unit 1101 and stored in the storage unit 2100 and the control content indicated by the acceleration control instruction received by the reception unit 1101. To do. This determination is performed until the entire data frame of the acceleration control instruction is received from the bus 30 by the receiving unit 1101 (that is, before the end of the data frame, for example, immediately after receiving the data field or immediately after receiving the CRC sequence). Is called. If the determination unit 3101 determines that the acceleration control instruction is invalid, the determination unit 3101 outputs the result and notifies the invalidation unit 3102 of the result.

判定部３１０１は、受信部１１０１によって受信されたデータフレームから取得された加速制御指示が示す制御内容と、記憶部２１００に格納されている状況情報が示す状況とに基づくと、この加速制御指示が、状況情報が示す状況と整合しない制御内容を示す場合、つまり状況と制御内容とが不整合である場合に、この加速制御指示が不正な制御指示であると判定する。以下、この状況と制御内容との不整合について例を挙げて説明する。 Determining unit 3101, a control content indicated by the acceleration control instruction obtained from the received data frame by the receiving unit 1101, the status information stored in the storage unit 2100 is based on the situation illustrated, this acceleration control instruction When the control content inconsistent with the status indicated by the status information is indicated, that is, when the status and the control content are inconsistent, it is determined that the acceleration control instruction is an illegal control instruction. Hereinafter, the inconsistency between this situation and the control content will be described with an example.

Claims

モビリティが備えるモビリティネットワークで伝送される、前記モビリティを加速させるための加速制御指示を監視する監視装置であって、
前記モビリティの状況及び前記モビリティが走行する外界の状況の少なくとも一方を示す状況情報を、及び前記モビリティネットワークで伝送されている前記加速制御指示を取得する取得部と、
取得された前記状況情報が示す状況と、取得された前記加速制御指示が示す制御内容とを比較することで、前記加速制御指示が不正な制御指示であるか否かの判定を実行し、前記判定の結果を示す情報を出力する判定部と、
を備える監視装置。 A monitoring device that monitors an acceleration control instruction for accelerating the mobility, which is transmitted in a mobility network included in the mobility,
An acquisition unit that acquires status information indicating at least one of the status of the mobility and the status of the outside world where the mobility travels, and the acceleration control instruction transmitted in the mobility network;
By comparing the situation indicated by the acquired situation information with the control content indicated by the acquired acceleration control instruction, it is determined whether the acceleration control instruction is an unauthorized control instruction, A determination unit that outputs information indicating a result of the determination;
A monitoring device comprising:

前記判定部によって前記加速制御指示が不正な制御指示であると判定された場合に、前記加速制御指示を無効化する無効化部、
をさらに備える請求項１記載の監視装置。 An invalidating unit that invalidates the acceleration control instruction when the determination unit determines that the acceleration control instruction is an unauthorized control instruction;
The monitoring apparatus according to claim 1, further comprising:

前記判定部は、前記加速制御指示が、前記状況情報が示す状況と不整合の制御内容を示す場合に、前記加速制御指示が不正な制御指示であると判定する、
請求項１又は２記載の監視装置。 The determination unit determines that the acceleration control instruction is an illegal control instruction when the acceleration control instruction indicates a control content inconsistent with the situation indicated by the situation information.
The monitoring apparatus according to claim 1 or 2.

前記判定部は、前記状況情報が示す状況が、前記モビリティの設定速度又は前記モビリティが走行する場所の規制速度を示し、かつ、前記加速制御指示が、前記モビリティを前記設定速度又は前記規制速度を超える速度で走行させる制御内容を示す場合に、前記加速制御指示が不正な制御指示であると判定する、
請求項３記載の監視装置。 The determination unit indicates that the situation indicated by the situation information indicates a set speed of the mobility or a restricted speed of the place where the mobility travels, and the acceleration control instruction indicates the set speed or the restricted speed. When the control content for running at a speed exceeding the speed is indicated, it is determined that the acceleration control instruction is an illegal control instruction.
The monitoring device according to claim 3.

前記判定部は、前記状況情報が示す状況が、前記モビリティの進行方向にある物体との距離を示し、かつ、前記加速制御指示が、前記モビリティを、第１所定値を超える速度で走行させる制御内容を示す場合に、前記加速制御指示が不正な制御指示であると判定する、
請求項３記載の監視装置。 The determination unit is a control in which the situation indicated by the situation information indicates a distance from an object in the traveling direction of the mobility, and the acceleration control instruction causes the mobility to travel at a speed exceeding a first predetermined value. When indicating the content, it is determined that the acceleration control instruction is an illegal control instruction.
The monitoring device according to claim 3.

前記判定部は、前記状況情報が示す状況が、前記モビリティを減速させるべき状況を示し、かつ、前記加速制御指示が、前記モビリティを、第２所定値を超える速度で走行させる制御内容を示す場合に、前記加速制御指示が不正な制御指示であると判定する、
請求項３記載の監視装置。 In the case where the situation indicated by the situation information indicates a situation where the mobility should be decelerated, and the acceleration control instruction indicates a control content for causing the mobility to travel at a speed exceeding a second predetermined value. Determining that the acceleration control instruction is an illegal control instruction;
The monitoring device according to claim 3.

前記判定部は、前記状況情報が示す状況が、前記モビリティの先行モビリティから前記モビリティが走行すべき速度を示す情報を受信したことを示し、かつ、前記加速制御指示が、受信した前記情報が示す速度を超える速度で走行させる制御内容を示す場合に、前記加速制御指示が不正な制御指示であると判定する、
請求項３記載の監視装置。 The determination unit indicates that the situation indicated by the situation information has received information indicating the speed at which the mobility should travel from the preceding mobility of the mobility, and the acceleration control instruction indicates the received information When the control content for running at a speed exceeding the speed is indicated, it is determined that the acceleration control instruction is an unauthorized control instruction.
The monitoring device according to claim 3.

前記判定部は、前記状況情報が示す状況が、前記モビリティが備える先進運転者支援システムがオフであることを示し、かつ、前記加速制御指示が、第３所定値を超える速度で走行させる制御内容を示す、又は、前記取得部が所定期間内に前記加速制御指示を取得した場合に、前記加速制御指示が不正な制御指示であると判定する、
請求項３記載の監視装置。 The determination unit indicates that the situation indicated by the situation information indicates that the advanced driver support system included in the mobility is off, and the acceleration control instruction causes the vehicle to travel at a speed exceeding a third predetermined value. Or when the acquisition unit acquires the acceleration control instruction within a predetermined period, it is determined that the acceleration control instruction is an unauthorized control instruction.
The monitoring device according to claim 3.

モビリティが備えるモビリティネットワークで伝送される、前記モビリティを加速させるための加速制御指示を監視する監視装置による監視方法であって、
前記モビリティの状況及び前記モビリティが走行する外界の状況の少なくとも一方を示す状況情報を、及び前記モビリティネットワークで伝送されている前記加速制御指示を取得し、
取得された前記状況情報が示す状況と、取得された前記加速制御指示が示す制御内容とを比較することで、前記加速制御指示が不正な制御指示であるか否かを判定し、
前記判定の結果を示す情報を出力する、
監視方法。 A monitoring method by a monitoring device that monitors an acceleration control instruction for accelerating the mobility, which is transmitted in a mobility network provided for mobility,
Obtaining status information indicating at least one of the status of mobility and the status of the outside world where the mobility travels, and the acceleration control instruction transmitted in the mobility network;
By comparing the situation indicated by the acquired situation information with the control content indicated by the acquired acceleration control instruction, it is determined whether the acceleration control instruction is an unauthorized control instruction,
Outputting information indicating the result of the determination;
Monitoring method.

請求項９記載の監視方法をコンピュータに実行させるためのプログラム。 A program for causing a computer to execute the monitoring method according to claim 9.