JP6620696B2

JP6620696B2 - 電子制御装置

Info

Publication number: JP6620696B2
Application number: JP2016147327A
Authority: JP
Inventors: 智史金丸; 昌貞近藤
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2016-07-27
Filing date: 2016-07-27
Publication date: 2019-12-18
Anticipated expiration: 2036-07-27
Also published as: US20180034851A1; JP2018019218A

Description

本発明は、ネットワークを介してデータ通信する電子制御装置に関する。

例えば、ネットワークに機器を容易に接続可能となっており、当該ネットワークのプロトコルも周知となっている場合には、悪意を持った第三者がネットワークに不正に機器を接続し情報を搾取することが考えられる。このため、セキュリティ技術は重要な技術であり、ネットワークセキュリティを向上する技術が様々提案されている（例えば、特許文献１参照）。

特開２００５−２７８００７号公報

不正に機器が閉じたネットワークに接続されデータを読み取られることが回避できない場合にも対策を施すことが望まれている。
本発明の目的は、たとえネットワークに不正な機器が接続されることでデータを読み取られたとしても、本来送受信処理するための通常データを解析し難くできるようにした通信システムを構成する電子制御装置を提供することにある。

請求項１記載の発明によれば、ダミーデータ設定部は予め規定されるフォーマット領域内の空領域にダミーデータを設定し、送信部は設定部により設定されたダミーデータを含めて通常データを送信する。このため、たとえば不正機器がネットワークに通信接続されておりデータを読取ったとしても、通常データと共にダミーデータを読取ることになる。このため、どのデータが本来の通常データであるか解析し難くなり、通常データを簡単に読出すことができなくなる。このため、たとえネットワークに不正な機器が接続されることでデータを読み取られたとしても本来の通常データを解析し難くできるようになる。

しかも、予め規定されるフォーマットの領域内の空領域を活用することになるため、通信情報量が特別に増加することもなく、ネットワーク通信量の増加を極力防止できる。
また通常データはＣＡＮＩＤ毎に送受信するデータであって、空領域はＣＡＮＩＤ毎に予め定められている。フォーマットの領域内におけるＣＡＮＩＤ毎の空領域の情報は、送信ノードと受信ノードとの間で管理テーブル（１４）により共有されている。このため、受信ノードでは、空領域にデータが格納されていたとしてもダミーデータであることを認識でき、空領域のデータを不要なデータと認識して無視できる。

第１実施形態における通信システムの構成例（ａ）はＥＣＵの電気的構成図、（ｂ）はＥＣＵの電気的構成を機能的に示す図ＣＡＮに用いられるデータフレームの通信データフォーマットの一部を示す図管理テーブルに格納されるＣＡＮＩＤと使用領域、空領域との関係図送信ノードの処理を概略的に示すフローチャートダミーデータの更新処理を概略的に示すフローチャート送信ノードと受信ノード間で行われるデータ送受信処理を示すイメージ図受信ノードの処理を概略的に示すフローチャート不正機器の処理を示すフローチャート第２実施形態におけるダミーデータの更新処理を概略的に示すフローチャート

以下、電子制御装置の幾つかの実施形態について図面を参照しながら説明する。以下に説明する各実施形態において、同一又は類似の動作を行う構成については、同一又は類似の符号を付して必要に応じて説明を省略する。なお、下記の実施形態において同一又は類似する構成には、符号の十の位と一の位とに同一符号を付して説明を行っている。

（第１実施形態）
図１から図９は第１実施形態の説明図を示している。図１に通信システム１の構成例を示す。車載ネットワーク２には、例えばＣＡＮ（Controller Area Network：登録商標）のプロトコルが採用されている。ＣＡＮは、相互接続された機器間のデータ伝送に用いられる通信プロトコルを採用した閉じられた車載ネットワークである。この車載ネットワーク２には様々なＥＣＵ（Electronic Control Unit）、すなわち、ＥＣＵ＿Ａ３、ＥＣＵ＿Ｂ４、ＥＣＵ＿Ｃ５（以下ＥＣＵ３、４、５と略す）が接続されている。これらのＥＣＵ３〜５は、車載ネットワーク２に接続されており相互に通信可能である。これらの多数のＥＣＵ３〜５は、他のＥＣＵと連携動作することで車両内の様々な制御を行う。車載ネットワーク２には、悪意を持った第三者が不正に機器を接続することも想定されるため、図１には不正機器６を破線により図示している。

図２（ａ）に示すように、ＥＣＵ３〜５は、ＣＰＵ７、ＲＯＭ８、ＲＡＭ９、その他のメモリ（例えばバックアップＲＡＭ、ＥＥＰＲＯＭ等：図示せず）を有するマイクロコンピュータ（以下マイコン）１０と、ＣＡＮによる通信コントローラ１１と、を備えている。以下、ＲＯＭ８、ＲＡＭ９、その他のメモリ（バックアップＲＡＭ、ＥＥＰＲＯＭ）をメモリと総称して説明を行う。

通信コントローラ１１は、例えばＣＡＮにより車載ネットワーク２との通信接続を行う。ＥＣＵ（例えば３）のマイコン１０は、通信コントローラ１１と接続し、車載ネットワーク２に接続される他のＥＣＵ（例えば４又は５）との間で通信接続する。図２（ｂ）は、ＥＣＵ３〜５を機能的に図示しているものであり、ＣＰＵ７はメモリに記憶されたプログラムを実行することで、送信部１２、ダミーデータ設定部１３としての機能を備えており、メモリ内にＣＡＮフォーマットの管理テーブル１４の記憶領域を備える。

図３は、ＣＡＮに用いられるデータフレームのフォーマットを示す。データフレーム１５は、アービトレーションフィールド１６、コントロールフィールド１７、データを格納するデータフィールド１８、を含むフォーマット領域に分けられている。例えば、データフレーム１５は、その他のフィールドも備えるが、その説明は割愛する。

アービトレーションフィールド１６は、データの種類と優先順位を表すフィールドであり、通常１１ビットのＩＤ（識別番号相当：所謂ＣＡＮＩＤ）を格納するフィールドとされている。コントロールフィールド１７には、例えば４ビットのＤＬＣ（Data Length Code）が含まれている。このＤＬＣは、何バイトのデータをデータフィールドに設定しているかを表しており、その設定範囲は最大８バイトになっている。データフィールド１８は、実際に送受信するデータを格納するフィールドであり、格納されるデータは１バイト単位で最大８バイトになっている。このように、通常のデータは、ＣＡＮＩＤ、すなわち識別番号毎に送受信するデータとされている。

また、ＣＡＮのプロトコルにおいて、データフレームの内部ビット情報はＣＡＮＩＤ毎に決定されている。このため図４に示すように、ＣＡＮの管理テーブル１４が各ＥＣＵ３〜５に用意されている。この図４に示す例では、ＣＡＮＩＤが２０１の場合には、１バイト中の上位３ビットは、使用ビット、すなわち使用領域として規定されるものの、下位５ビットは空きビット、すなわち空領域として規定される。ＣＡＮＩＤが２０２の場合には、１バイト中の上位５ビットは使用ビットとして規定されるものの、下位３ビットは空きビットとして規定される。またＣＡＮＩＤが２０３の場合には、１バイト中の上位３ビット及び下位３ビットは使用ビットとして規定されるものの、中間の２ビットは空きビットとして規定される。本実施形態では、各ＥＣＵ３〜５が、このＣＡＮの管理テーブル１４を保持することで、車載ネットワーク２の通信上の規則を確立している。

本実施形態はダミーデータを空きビット（空領域相当）に設定するところを特徴としている。この動作を説明する。以下の説明では、送信側のＥＣＵ３をデータフレームの送信ノードとし、受信側のＥＣＵ４をデータフレームの受信ノードとして説明を行う。図５は送信側のＥＣＵ３の送信処理を示し、図６はダミーデータの更新処理を詳細に示している。図７は送受信処理のイメージを示している。図８は受信側のＥＣＵ４の受信処理を示す。また、図９は送受信データの送受信処理の概要を示している。

図５に示すように、ＥＣＵ３のマイコン１０は、Ｓ１において通常データを作成し、Ｓ２においてダミーデータの更新処理を行う。またＥＣＵ３のマイコン１０は、Ｓ３において、Ｓ１、Ｓ２で作成したデータを管理テーブル１４で決められたＣＡＮＩＤのデータフィールドへ格納する。そしてＥＣＵ３のマイコン１０は、Ｓ４においてデータフレームを車載ネットワーク２に出力する。

ＥＣＵ３のマイコン１０がダミーデータの更新処理を行うときには、図６に示すように、Ｓ６において通常データを更新したときにＹＥＳと判定し、この場合、Ｓ７において線形合同法などの疑似乱数生成法を用いてダミーデータを作成し、Ｓ８においてデータフィールド中の空きビットに埋めるためのダミーデータを更新する。このダミーデータは、疑似乱数生成法により生成されるデータであり、本来送信するべき通常データとは全く相関関係を備えていないダミーのデータである。すなわち、通常データを用いた生成処理もしていない。本実施形態では、通常データを用いずにダミーデータを生成した形態を示すが、これに限らず、通常データを用いてダミーデータを生成しても良い。

ＥＣＵ３のマイコン１０は、Ｓ６において本来送信する通常データを更新処理していなければＳ６でＮＯと判定し、ダミーデータの更新処理を行うことはない。図５のＳ５に示すように、ＥＣＵ３のマイコン１０は、ダミーデータを必要に応じて更新処理した後、このデータフレームを車載ネットワーク２に送信する。図７に示すように、このときＥＣＵ３は、通信コントローラ１１により、ＣＡＮＩＤ、ＤＬＣ、通常データを１０ビット、ダミーデータを６ビットとして車載ネットワーク２に送信する。

他方、図８に示すように、受信側のＥＣＵ４は、Ｓ１１において通信コントローラ１１を通じてＣＡＮＩＤを読み取ると、このＣＡＮＩＤの値に応じて自身宛てのデータフレームであるかを判定し、Ｓ１２において自身宛てのデータフレームを受信する。このとき、ＥＣＵ４は管理テーブル１４を参照し、ＣＡＮＩＤと対応したデータフィールドの読取領域、すなわち使用ビットを特定し、Ｓ１４においてこの使用ビットのデータを読取る。このとき、管理テーブル１４に記憶された内容は、各ＥＣＵ３、４の間で共有されているため、ＥＣＵ４は、データフィールドの中でも使用ビットのデータを読取ることで空きビットのデータを無視する。これによりＥＣＵ４のマイコン１０は、ＥＣＵ３によって設定されたダミーデータを無視できる。この結果、ＥＣＵ４は、必要な通常データを読取ることができ、ダミーデータを破棄できる。図７に示すように、ＥＣＵ４のマイコン１０は、通常データである１０ビットを読取り、残りの６ビットを無視する。

例えば、図１に示すように、不正な機器６が車載ネットワーク２に接続されていることを想定する。不正機器６は悪意の第三者などが不正に接続した機器である。不正機器６が車載ネットワーク２に接続されると、この車載ネットワーク２に流れるデータフレームを読取ることができる。しかし図９に示すように、不正機器６が、Ｓ２１においてデータフレームを受信したとしても、データフィールド中の何れのビットが真の通常データであるか判断し難くなる。このため、不正機器６がＳ２２においてデータを読み取ったとしてもダミーデータを本来の通常データと見做すように仕向けることができる。これにより、不正機器６が、ダミーデータを本来の送信データの一部と認識することで、通常データのデータ長を誤認する可能性を高めることができる。

本実施形態の特徴をまとめる。ＥＣＵ３のマイコン１０は、予め規定されるフォーマット領域内の空領域にダミーデータを設定し、ダミーデータを含めて通常データを送信する。このため、例えば不正機器６が、車載ネットワーク２に通信接続されデータを読取ったとしても通常データと共にダミーデータを読取ることになり、どのデータが通常データであるか解析しにくくなり、通常データを簡単に読出すことができなくなる。また、予め規定されるフォーマットの領域内の空領域を活用することになるため、車載ネットワーク２の通信情報量が特別に増加することもなく、車載ネットワーク２の通信量の増加を防止できる。

空きビットの空領域情報は、ＥＣＵ３とＥＣＵ４との間で管理テーブル１４により共有されており、空領域の情報は、この管理テーブル１４中にＣＡＮＩＤ、すなわち識別番号毎に予め定められている。このため、受信側のＥＣＵ４のマイコン１０は、空きビットにデータが格納されていたとしてもダミーデータであることを認識でき、この空きビットのデータを不要なデータと認識でき無視する。そして、受信側のＥＣＵ４のマイコン１０は、予め定められた読取領域におけるデータを読取るだけでよくなるため、新たな追加ロジックを要することはない。

また、送信側のＥＣＵ３のマイコン１０は、通常データが更新される度にダミーデータを更新しているため、不正機器６がダミーデータを送信データの一部と認識することで、不正機器６に対し通常データのデータ長を誤認させる可能性を高めることができる。

（第２実施形態）
図１０は第２実施形態の追加説明図を示す。この図１０は図６に代わるフローチャートを示している。本実施形態においては、この図１０に示すように、ＥＣＵ３のマイコン１０は、Ｓ６ａにおいて通常データを送信する送信タイミングとなる度にＳ６ａにおいてＹＥＳと判定し、Ｓ７においてダミーデータを作成し、Ｓ８においてデータフレーム内のダミーデータを更新するようにしている。

すなわち、送信側のＥＣＵ３のマイコン１０は、通常データを送信するタイミング毎にダミーデータを更新するようにしても良い。この場合、不正機器６がダミーデータを通常データと相関関係のあるデータであると誤認しやすくなり、たとえデータを読み取られたとしてもデータを解析しづらくなる。

（他の実施形態）
本発明は、前述した実施形態に限定されるものではなく、種々変形して実施することができ、その要旨を逸脱しない範囲で種々の実施形態に適用可能である。例えば以下に示す変形又は拡張が可能である。

ＣＡＮに限定されるものではなく、ダミーデータを設定可能なフォーマットを備えるプロトコルを用いた通信システムであれば適用できる。
各ＥＣＵ３〜５が管理テーブル１４をそれぞれ備えて共有する形態を示したが、車載ネットワーク２に接続されている他のＥＣＵ等に管理テーブル１４を記憶させておき、各ＥＣＵ３〜５が、車載ネットワーク２を通じて管理テーブル１４を参照するようにしても良い。

各ＥＣＵ３〜５のマイコン１０が実行する機能の一部または全部を、一つあるいは複数のＩＣによりハードウェア的に構成しても良い。前述した複数の実施形態を組み合わせて構成しても良い。なお、特許請求の範囲に記載した括弧内の符号は、本発明の一つの態様として前述する実施形態に記載の具体的手段との対応関係の一例を示すものであって、本発明の技術的範囲を限定するものではない。

本開示は、前述した実施形態に準拠して記述したが、本開示は当該実施形態や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、さらには、それらに一要素、それ以上、あるいはそれ以下、を含む他の組み合わせや形態をも、本開示の範畴や思想範囲に入るものである。

図面中、１は通信システム、２は車載ネットワーク（ネットワーク）、３〜５はＥＣＵ（電子制御装置：３は送信ノード、４は受信ノード）、６は不正機器、１０はマイコン、１１は通信コントローラ、１２は送信部、１３はダミーデータ設定部、１４は管理テーブル、を示す。

Claims

送信ノード（３）が予め規定されるフォーマットの領域内に通常データを格納してネットワーク（２）に送信し、受信ノード（４）が前記通常データをネットワークを通じて受信する通信システム（１）において、前記送信ノードを構成する電子制御装置であって、
前記領域内に通常データが格納された残りの空領域にダミーデータを設定するダミーデータ設定部（１３）と、
前記設定部により設定されたダミーデータを含めて通常データを送信する送信部（１２）と、を備え、
前記通常データはＣＡＮＩＤ毎に送受信するデータであって、前記空領域は前記ＣＡＮＩＤ毎に予め定められており、
前記フォーマットの領域内における前記ＣＡＮＩＤ毎の空領域の情報は、前記送信ノードと前記受信ノードとの間で管理テーブル（１４）により共有されている電子制御装置。
請求項１記載の電子制御装置において、
前記ダミーデータ設定部（１３）は、前記送信ノードにより前記通常データが更新されるときに前記ダミーデータを更新する電子制御装置。
請求項１記載の電子制御装置において、
前記ダミーデータ設定部（１３）は、前記通常データを送信するタイミング毎に前記ダミーデータを更新する電子制御装置。
請求項１から３の何れか一項に記載の電子制御装置において、
前記受信ノード（４）は、前記空領域に設定されるダミーデータを無視する電子制御装置。