JP7354180B2 - 車載中継装置 - Google Patents

Description

本発明は、車両に搭載されて、車両の外部と内部の車載ネットワークとの通信を中継する装置に関する。

最近の車両には、車両の外部と内部のＣＡＮ（Controller Area Network）などの車載ネットワークとの間で通信を行うコネクテッド機能が搭載されてきている。

コネクテッド機能を搭載した車両は、外部から車載ネットワークへの攻撃の対象となる可能性がある。車載ネットワークには、複数のＥＣＵ（Electronic Control Unit：電子制御ユニット）が接続されており、各ＥＣＵにより、エンジンおよびブレーキなどの各部の制御が行われる。そのため、車載ネットワークが外部から攻撃を受けて、ＥＣＵのソフトウェアや制御データが改ざんされると、車両の各部が誤動作するおそれがある。

そこで、かかる車両では、車両の外部と車載ネットワークとの通信を中継するゲートウェイＥＣＵ（Electronic Control Unit：電子制御ユニット）が設けられ、ゲートウェイＥＣＵに、外部からの攻撃を検出して、車載ネットワークを防御する機能が盛り込まれている。

特開２０１６－１１６０７５号公報

ところが、自動運転技術などの発展に伴い、車載ネットワークへの攻撃が深刻な問題となっており、セキュリティ対策の強化が重要な課題となっている。

本発明の目的は、セキュリティ対策の強化を図ることができる、車載中継装置を提供することである。

前記の目的を達成するため、本発明に係る車載中継装置は、車両に搭載されて、車両の外部と内部の車載ネットワークとの間の通信を中継する車載中継装置であって、車載ネットワークから切り離して設けられ、車両の外部と通信を行う第１装置と、車両の外部から切り離して設けられ、第１装置に通信可能に接続されるとともに、車載ネットワークに通信可能に接続される第２装置とを備え、第１装置は、車載ネットワークに対する攻撃を検知する攻撃検知機能を有し、第２装置は、第１装置が攻撃を受けたか否かを判定する攻撃判定機能を有し、攻撃判定機能により第１装置が攻撃を受けたと判定された場合には、所定の対応を行う。

この構成によれば、車載中継装置には、第１装置および第２装置が備えられている。第１装置は、車両の内部の車載ネットワークから切り離されており、車両の外部との通信は、第１装置により行われる。一方、第２装置は、車両の外部から切り離して設けられ、車載ネットワークに通信可能に接続されている。そして、第１装置は、車載ネットワークに対する攻撃を検知する攻撃検知機能を有し、第２装置は、第１装置が攻撃を受けたか否かを判定する攻撃判定機能を有している。また、第２装置では、攻撃判定機能により第１装置が攻撃を受けたと判定された場合、所定の対応が行われる。

これにより、車両の外部からの車載ネットワークへの攻撃の対策として、第１装置の攻撃検知機能を第１層の防御層とし、第２装置の攻撃判定機能を第２層の防御層とする多層防御が構築される。この多層防御の構築により、セキュリティ対策の強化を図ることができる。

所定の対応は、たとえば、第１装置から受信したメッセージを破棄するという対応であってもよい。

これにより、外部からの攻撃を受けた第１装置が不正メッセージを第２装置に向けて送信しても、その不正メッセージが破棄されるので、車載ネットワークが不正メッセージによる攻撃を受けることを防止でき、車載ネットワークによる通信を継続できる。

車載中継装置は、記憶装置をさらに備え、記憶装置は、車載ネットワークで通信可能なメッセージに使用されるＩＤ（Identifier）が登録されたホワイトリストを記憶しており、第１装置は、ホワイトリストに登録されたＩＤを使用していないメッセージを車両の外部から受信した場合、攻撃検知機能により当該メッセージの受信を攻撃として検知してもよい。

車載中継装置は、記憶装置をさらに備え、第１装置は、攻撃検知機能により攻撃が検知されたことに応じて、当該攻撃に関する情報を記憶装置に記憶させ、車両の外部の情報管理機器からの要求に従って、記憶装置に記憶されている情報を出力してもよい。

これにより、第１装置が外部からの攻撃を受けた場合に、その攻撃に関する情報を車両の外部の情報管理機器に読み出すことができる。そのため、情報管理機器に読み出した情報を解析して、第１装置が受けた攻撃の内容を早期に特定でき、攻撃への対策を早期に講じることができる。

車載中継装置は、記憶装置をさらに備え、記憶装置は、ソフトウェアを記憶しており、第１装置は、起動時にソフトウェアの改ざんを検知する改ざん検知機能を有し、改ざん検知機能により改ざんが検知されなければ、ソフトウェアを起動し、改ざん検知機能によりソフトウェアの改ざんが検知された場合には、ソフトウェアを起動せずに動作を停止することが好ましい。

これにより、改ざんされたソフトウェアの起動を防止できる。そのため、改ざんされたソフトウェアが実行されることによる第２装置への不正メッセージの送信などを防止できる。

ソフトウェアの改ざんが検知されて、第１動作が動作を停止した場合、第１装置から第２装置へのメッセージ送信が行われないので、メッセージ送信が一定時間行われない場合には、第１装置と第２装置との通信が切断されてもよい。

これにより、第１装置のソフトウェアが改ざんされていても、第２装置が第１装置から不正メッセージを受信しないので、車載ネットワークが不正メッセージによる攻撃を受けることを防止できる。

第２装置は、攻撃判定手段により第１装置が攻撃を受けたと判定された場合、車両に搭載されているデータ通信装置から車両の外部のサーバに第１装置が攻撃を受けたことの情報がアップロードされるように、電子制御ユニット経由でデータ通信装置に、第１装置が攻撃を受けたことを通知してもよい。

これにより、サーバ管理者またはサーバ経由で情報を入手しうるユーザが第１装置の受攻撃を認知することができる。

本発明によれば、車載ネットワークの攻撃に対して、セキュリティ対策の強化を図ることができる。

本発明の一実施形態に係る車載中継装置（ゲートウェイＥＣＵ）を含む車載通信システム１の構成を示す図である。 第１ＣＰＵにより起動時に行われる処理の流れを示すフローチャートである。 第１ＣＰＵによりメッセージ受信時に行われる処理の流れを示すフローチャートである。 第１ＣＰＵによりスキャンツールの接続時に行われる処理の流れを示すフローチャートである。 第２ＣＰＵにより起動後に行われる処理の流れを示すフローチャートである。

以下では、本発明の実施の形態について、添付図面を参照しつつ詳細に説明する。

＜車載通信システム＞
図１は、本発明の一実施形態に係るゲートウェイＥＣＵ３を含む車載通信システム１の構成を示す図である。

車載通信システム１は、自動車などの車両に搭載されて、車両の外部と内部の車載ネットワーク２との間で通信を可能にするコネクテッド機能のためのシステムである。車載通信システム１には、車載ネットワーク２、ゲートウェイＥＣＵ（Electronic Control Unit：電子制御ユニット）３、ＴＣＵ（Telematics Communication Unit）４およびＤＬＣ（Data Link Connector）５が含まれる。

車載ネットワーク２は、たとえば、ＣＡＮ（Controller Area Network）通信プロトコルによる通信が可能なネットワークである。車載ネットワーク２には、複数のバス（伝送線路）６が設けられており、各バス６には、車両の各部を制御するための複数のＥＣＵ７が接続されている。ＥＣＵ７には、車両のイグニッションスイッチがオフの状態でも動作可能なボデーＥＣＵ７Ａ、車両のコンビネーションメータに配設された機器（たとえば、マルチインフォメーションディスプレイなど）を制御するメータＥＣＵ７Ｂなどが含まれる。

ゲートウェイＥＣＵ３には、ＴＣＵ４、ＯＢＤ５および各バス６が接続されている。ゲートウェイＥＣＵ３は、車載ネットワーク２とＴＣＵ４との間および車載ネットワーク２とＯＢＤ５との間でメッセージを中継する機能と、車載ネットワーク２の各バス６間でメッセージを中継する機能とを有している。また、ゲートウェイＥＣＵ３は、外部からの車載ネットワーク２に対する攻撃を検知して、その攻撃から車載ネットワーク２を防御するセキュリティ機能を有している。

ＴＣＵ４は、車両に搭載されるデータ通信機であり、車両のユーザに種々の情報やサービスを提供するために、移動体無線データ通信などを利用して、サービスセンタのサーバ８とデータ通信を行う。ユーザに提供されるサービスには、たとえば、乗車前にエアコンディショナを作動させるなど、車両を遠隔操作するリモートサービスが含まれる。なお、本実施の形態では、データ通信機としてＴＣＵ４を用いているが、これに代えて、スマートフォンなどの携帯端末を用いてもよい。

ＤＬＣ５は、ＯＢＤ（On-Board Diagnostics：オン・ボード・ダイアグノーシス）による故障コードなどの読み出しのために、スキャンツール９が接続されるコネクタである。

＜ゲートウェイＥＣＵ＞
ゲートウェイＥＣＵ３には、第１ＣＰＵ（Central Processing Unit）１１および第２ＣＰＵ１２が備えられている。第１ＣＰＵ１１には、ＴＣＵ４およびＤＬＣ５が接続され、車載ネットワーク２から切り離して設けられている。第２ＣＰＵ１２は、ＴＣＵ４およびＤＬＣ５から切り離され、車載ネットワーク２に通信可能に接続されている。また、第１ＣＰＵ１１と第２ＣＰＵ１２とは、通信線Ｘにより通信可能に接続されている。

第１ＣＰＵ１１および第２ＣＰＵ１２には、それぞれセキュアメモリ１３，１４が内蔵されている。セキュアメモリ１３，１４は、たとえば、フラッシュメモリやＥ２ＰＲＯＭなどのデータの書き換えが可能な不揮発性メモリからなる。また、ゲートウェイＥＣＵ３には、ＨＳＭ（Hardware Security Module）が備えられており、セキュアメモリ１３，１４に記憶されているプログラムコードやパラメータデータなどのデータは、ＨＳＭの機能によるセキュア認証を経て書き換えることができる。

＜第１ＣＰＵ＞
第１ＣＰＵ１１は、外部からの攻撃に対するセキュリティ機能のための機能処理部として、攻撃検知部２１、転送判定部２２、攻撃情報管理部２３およびソフトウェア起動部２４を実質的に備えている。これらの機能処理部は、プログラム処理によってソフトウエア的に実現されるか、または、論理回路などのハードウェアにより実現される。

攻撃検知部２１は、ファイアウォールとしての機能を有している。すなわち、攻撃検知部２１は、車両の外部からの車載ネットワーク２に対する攻撃を検知する攻撃検知機能と、その攻撃から車載ネットワーク２およびゲートウェイＥＣＵ３を保護する保護機能とを有している。

セキュアメモリ１３には、車載ネットワーク２で通信可能なメッセージに使用されるＩＤ（Identifier）を登録したホワイトリストが記憶されている。攻撃検知部２１は、外部からＴＣＵ４またはＯＢＤ５経由で第１ＣＰＵ１１がメッセージを受信すると、ホワイトリストに登録されているＩＤ（以下、「登録ＩＤ」という。）がメッセージに使用されているか否かを調べる。そして、攻撃検知部２１は、登録ＩＤがメッセージに使用されている場合、そのメッセージが正規のメッセージであると判断する。この場合、攻撃検知部２１から転送判定部２２にメッセージが送信される。

一方、攻撃検知部２１は、登録ＩＤがメッセージに使用されていない場合には、そのメッセージの受信を外部からの車載ネットワーク２に対する攻撃として検知する。攻撃検知部２１は、外部からの攻撃を検知した場合、その登録ＩＤが使用されていないメッセージを不正メッセージとして破棄し、外部からの車載ネットワーク２に対する攻撃を受けたことを転送判定部２２に通知する。

転送判定部２２は、攻撃検知部２１からメッセージを受信した場合、そのメッセージを第２ＣＰＵ１２に転送（中継）する。一方、転送判定部２２は、攻撃検知部２１から攻撃を受けたことの通知（以下、「受攻撃の通知」という。）を受信した場合、その通知を第２ＣＰＵ１２に転送する。

また、攻撃検知部２１により外部からの車載ネットワーク２に対する攻撃が検知された場合、攻撃検知部２１から攻撃情報管理部２３に、攻撃の内容（たとえば、メッセージの送信先の情報など）と攻撃を受けた日時とを含む攻撃情報が送信される。攻撃情報管理部２３は、攻撃検知部２１から攻撃情報を受信した場合、その攻撃情報をセキュアメモリ１３に記憶させる。そして、ＴＣＵ４がサーバ８から攻撃情報の送信の要求を受信した場合、攻撃情報管理部２３は、要求に従い、セキュアメモリ１３から攻撃情報を読み出して、その読み出した攻撃情報をＴＣＵ４経由でサーバ８に送信する。また、ＤＬＣ５に接続されたスキャンツール９から第１ＣＰＵ１１に攻撃情報の出力の要求が入力された場合、攻撃情報管理部２３は、要求に従い、セキュアメモリ１３から攻撃情報を読み出して、その読み出した攻撃情報をスキャンツール９に出力する。

ソフトウェア起動部２４は、車両のイグニッションスイッチがオンにされたこと、または、車両の各ＥＣＵがドミナントウェイクアップしたことを検出し、セキュアメモリ１３に記憶されているソフトウェアを起動させる。ソフトウェア起動部２４は、ソフトウェア改ざん検知機能を有しており、ソフトウェアの起動時に、ソフトウェアの改ざんを検知するため、ソフトウェアに付与されているデジタル署名とセキュアメモリ１３に格納されている署名情報（ハッシュ値やサム値など）との整合を確認する。その確認の結果、ソフトウェアの改ざんが検知されなければ、ソフトウェア起動部２４は、そのソフトウェアを起動する。ソフトウェアの改ざんが検知された場合、ソフトウェア起動部２４は、そのソフトウェアを起動しない。ソフトウェアの改ざんが検知された場合、第１ＣＰＵ１１は、動作を停止する。

＜第２ＣＰＵ＞
第２ＣＰＵ１２は、車載ネットワーク２への攻撃に対するセキュリティ機能のための機能処理部として、攻撃判定部３１、転送判定部３２、攻撃通知部３３およびソフトウェア起動部３４を実質的に備えている。これらの機能処理部は、プログラム処理によってソフトウエア的に実現されるか、または、論理回路などのハードウェアにより実現される。

攻撃判定部３１は、車両の外部からの車載ネットワーク２に対する攻撃を第１ＣＰＵ１１が受けたか否かを判定する。

具体的には、攻撃判定部３１は、第１ＣＰＵ１１から受攻撃の通知を受信した場合、第１ＣＰＵ１１が外部から攻撃を受けたと判定する。そして、攻撃判定部３１は、第１ＣＰＵ１１との通信を切断（遮断）し、第１ＣＰＵ１１が外部からの攻撃を受けたことを攻撃通知部３３に通知する。

また、セキュアメモリ１４には、セキュアメモリ１３に記憶されているホワイトリストと同一のホワイトリストが記憶されている。攻撃判定部３１は、第１ＣＰＵ１１からメッセージ（第１ＣＰＵ１１により中継されるメッセージ）を受信すると、そのメッセージに登録ＩＤが使用されているか否かを調べる。そして、攻撃判定部３１は、登録ＩＤがメッセージに使用されている場合、そのメッセージが正規のメッセージであると判断する。この場合、攻撃判定部３１から転送判定部３２にメッセージが転送される。一方、登録ＩＤがメッセージに使用されていない場合には、攻撃判定部３１は、第１ＣＰＵ１１が外部から攻撃を受けたと判定し、そのメッセージを不正メッセージとして破棄する。そして、攻撃判定部３１は、第１ＣＰＵ１１との通信を切断し、第１ＣＰＵ１１が外部からの攻撃を受けたことを攻撃通知部３３に通知する。

さらに、第１ＣＰＵ１１が起動時にソフトウェアの改ざんを検知した場合、第１ＣＰＵ１１の動作が停止し、第１ＣＰＵ１１から第２ＣＰＵ１２にメッセージが送信されない状態が続く。攻撃判定部３１は、第１ＣＰＵ１１からメッセージを受信しない状態が一定時間続くと、第１ＣＰＵ１１が外部から攻撃を受けたと判定してもよい。そして、攻撃判定部３１は、第１ＣＰＵ１１との通信を切断し、第１ＣＰＵ１１が外部からの攻撃を受けたことを攻撃通知部３３に通知してもよい。

転送判定部３２は、攻撃判定部３１からメッセージを受信した場合、そのメッセージを車載ネットワーク２に転送（中継）する。メッセージは、メッセージに含まれるＩＤに応じた送信先のＥＣＵ７が受信する。

また、攻撃判定部３１から攻撃通知部３３に第１ＣＰＵ１１の受攻撃が通知された場合、攻撃通知部３３は、ＴＣＵ４と通信線Ｙにより通信可能に接続されたボデーＥＣＵ７Ａ経由にて、第１ＣＰＵ１１が外部から攻撃を受けたことをＴＣＵ４に通知する。ＴＣＵ４は、その通知を受けて、第１ＣＰＵ１１（第１ＣＰＵ１１を含むゲートウェイＥＣＵ３を搭載した車両）が外部から車載ネットワーク２に対する攻撃を受けたことの情報をサーバ８にアップロードする。

ソフトウェア起動部３４は、車両のイグニッションスイッチがオンにされたこと、または、車両の各ＥＣＵがドミナントウェイクアップしたことを検出し、セキュアメモリ１４に記憶されているソフトウェアを起動させる。ソフトウェア起動部３４は、ソフトウェア改ざん検知機能を有しており、ソフトウェアの起動時に、ソフトウェアの改ざんを検知するため、ソフトウェアに付与されているデジタル署名とセキュアメモリ３３に格納されている署名情報（ハッシュ値やサム値など）との整合を確認する。その確認の結果、ソフトウェアの改ざんが検知されなければ、ソフトウェア起動部３４は、そのソフトウェアを起動する。ソフトウェアの改ざんが検知された場合、ソフトウェア起動部３４は、そのソフトウェアを起動しない。ソフトウェアの改ざんが検知された場合、第２ＣＰＵ１２は、動作を停止する。

＜フローチャート＞
外部からの攻撃に対するセキュリティ機能による第１ＣＰＵ１１および第２ＣＰＵ１２の処理動作は、前述したとおりであるが、以下では、その処理動作を時系列に沿って説明する。

図２は、第１ＣＰＵ１１により起動時に行われる処理の流れを示すフローチャートである。

第１ＣＰＵ１１の起動時には、第１ＣＰＵ１１により、図２に示される処理が行われる。

図２に示される処理では、ソフトウェア改ざん検知機能により、セキュアメモリ１３に記憶されているソフトウェアが改ざんされていないかがチェックされる（ステップＳ１１）。

ソフトウェアが改ざんされていない場合（ステップＳ１２のＮＯ）、そのソフトウェアが起動される（ステップＳ１３）。ソフトウェアが改ざんされている場合、そのソフトウェアは起動されず、第１ＣＰＵ１１の動作が停止される（ステップＳ１４）。

図３は、第１ＣＰＵ１１によりメッセージ受信時に行われる処理の流れを示すフローチャートである。

第１ＣＰＵ１１が外部からＴＣＵ４またはＤＬＣ５経由でメッセージを受信すると、第１ＣＰＵ１１により、図３に示される処理が行われる。

図３に示される処理では、第１ＣＰＵ１１が受信したメッセージ（受信メッセージ）に登録ＩＤが使用されているか否かが判断される。登録ＩＤが受信メッセージに使用されている場合、その受信メッセージは、正規のメッセージである。一方、登録ＩＤが受信メッセージに使用されていない場合、その受信メッセージは、不正メッセージである。

受信メッセージが正規のメッセージである場合（ステップＳ２１のＮＯ）、その正規のメッセージが第１ＣＰＵ１１から第２ＣＰＵ１２に転送される（ステップＳ２２）。

受信メッセージが不正メッセージである場合（ステップＳ２１のＹＥＳ）、その不正メッセージが破棄される（ステップＳ２３）。また、第１ＣＰＵ１１が外部から車載ネットワーク２に対する攻撃を受けたことが第２ＣＰＵ１２に通知される（ステップＳ２４）。さらに、攻撃の内容と攻撃を受けた日時とを含む攻撃情報がセキュアメモリ１３に記憶される（ステップＳ２５）。

図４は、第１ＣＰＵ１１によりスキャンツール９の接続時に行われる処理の流れを示すフローチャートである。

スキャンツール９がＤＬＣ５に接続されている間、第１ＣＰＵ１１により、図４に示される処理が繰り返し行われる。

図４に示される処理では、スキャンツール９からＤＬＣ５経由で、攻撃情報の出力の要求が入力されたか否かが判断される（ステップＳ３１）。

攻撃情報の出力の要求が入力されていない場合（ステップＳ３１のＮＯ）、図４に示される処理が一旦終了されて、所定のタイミングが到来すると、図４に示される処理が再び開始される。

スキャンツール９から攻撃情報の出力の要求が出されて、その要求が第１ＣＰＵ１１に入力されると（ステップＳ３１のＹＥＳ）、要求に従い、セキュアメモリ１３から攻撃情報が読み出されて、その読み出された攻撃情報がＤＬＣ５経由でスキャンツール９に出力される（ステップＳ３２）。

図５は、第２ＣＰＵ１２により起動後に行われる処理の流れを示すフローチャートである。

第２ＣＰＵ１２の起動後、第２ＣＰＵ１２により、図５に示される処理が繰り返し行われる。

図５に示される処理では、第１ＣＰＵ１１と第２ＣＰＵ１２との通信が切断されているか否かが判断される（ステップＳ４１）。第１ＣＰＵ１１と第２ＣＰＵ１２との通信が切断されている状況では（ステップＳ４１のＹＥＳ）、図５に示される処理が一旦終了されて、所定のタイミングが到来すると、図５に示される処理が再び開始される。

第１ＣＰＵ１１と第２ＣＰＵ１２との通信が切断されていない場合（ステップＳ４１のＮＯ）、第１ＣＰＵ１１から受攻撃の通知を受信したか否かが判断される（ステップＳ４２）。

第２ＣＰＵ１２が第１ＣＰＵ１１から受攻撃の通知を受信している場合（ステップＳ４２のＹＥＳ）、第１ＣＰＵ１１が外部から攻撃を受けたと判定されて、第１ＣＰＵ１１との通信が切断される（ステップＳ４３）。第１ＣＰＵ１１が外部から攻撃を受けたことは、第２ＣＰＵ１２からボデーＥＣＵ７Ａ経由でＴＣＵ４に通知されてもよい（ステップＳ４４）。

一方、第２ＣＰＵ１２が第１ＣＰＵ１１から受攻撃の通知を受信していない場合（ステップＳ４２のＮＯ）、第２ＣＰＵ１２が第１ＣＰＵ１１からメッセージ（第１ＣＰＵ１１により中継されるメッセージ）を受信したか否かが判断される（ステップＳ４５）。

第１ＣＰＵ１１からメッセージを受信した場合（ステップＳ４５のＹＥＳ）、その受信したメッセージに登録ＩＤが使用されているか否かが判断される。登録ＩＤが受信メッセージに使用されている場合、その受信メッセージは、正規のメッセージである。一方、登録ＩＤが受信メッセージに使用されていない場合、その受信メッセージは、不正メッセージである。

受信メッセージが正規のメッセージである場合（ステップＳ４６のＮＯ）、その正規のメッセージが第２ＣＰＵ１２から車載ネットワーク２に転送される（ステップＳ４７）。

受信メッセージが不正メッセージである場合（ステップＳ４６のＹＥＳ）、第１ＣＰＵ１１が外部から攻撃を受けたと判定されて、第１ＣＰＵ１１との通信が切断される（ステップＳ４３）。そして、第１ＣＰＵ１１が外部から攻撃を受けたことは、第２ＣＰＵ１２からボデーＥＣＵ７Ａ経由でＴＣＵ４に通知されてもよい（ステップＳ４４）。

第２ＣＰＵ１２が第１ＣＰＵ１１からメッセージを受信していないときには（ステップＳ４５のＮＯ）、図５に示される処理が終了される。

＜作用効果＞
以上のように、ゲートウェイＥＣＵ３には、第１ＣＰＵ１１および第２ＣＰＵ１２が備えられている。第１ＣＰＵ１１は、車両の内部の車載ネットワーク２から切り離されており、車両の外部との通信は、第１ＣＰＵ１１により行われる。一方、第２ＣＰＵ１２は、車両の外部から切り離して設けられ、車載ネットワーク２に通信可能に接続されている。そして、第１ＣＰＵ１１は、車載ネットワーク２に対する攻撃を検知する攻撃検知機能（攻撃検知部２１）を有し、第２ＣＰＵ１２は、第１ＣＰＵ１１が攻撃を受けたか否かを判定する攻撃判定機能（攻撃判定部３１）を有している。また、第２ＣＰＵ１２では、攻撃判定機能により第１ＣＰＵ１１が攻撃を受けたと判定された場合、第１ＣＰＵ１１との通信が切断されるとともに、第１ＣＰＵ１１が外部から攻撃を受けたことがボデーＥＣＵ７Ａ経由でＴＣＵ４に通知される。

これにより、車両の外部からの車載ネットワーク２への攻撃の対策として、第１ＣＰＵ１１の攻撃検知機能を第１層の防御層とし、第２ＣＰＵ１２の攻撃判定機能および第２ＣＰＵ１２による第１ＣＰＵ１１との通信を第２層の防御層とする多層防御が構築される。この多層防御の構築により、セキュリティ対策の強化を図ることができる。

また、第２ＣＰＵ１２が第１ＣＰＵ１１から不正メッセージを受信した場合、その不正メッセージが破棄される。これにより、外部からの攻撃を受けた第１ＣＰＵ１１が不正メッセージを第２ＣＰＵ１２に向けて送信しても、その不正メッセージが破棄されるので、車載ネットワーク２が不正メッセージによる攻撃を受けることを防止でき、車載ネットワーク２による通信を継続できる。

第１ＣＰＵ１１は、攻撃検知機能により攻撃が検知されたことに応じて、当該攻撃に関する攻撃情報をセキュアメモリ１３に記憶させ、車両の外部のサーバ８またはスキャンツール９からの要求に従って、セキュアメモリ１３に記憶されている攻撃情報を出力する。これにより、第１ＣＰＵ１１が外部からの攻撃を受けた場合に、その攻撃に関する情報を車両の外部のサーバ８およびスキャンツール９に読み出すことができる。そのため、サーバ８またはスキャンツール９に読み出した情報を解析して、第１ＣＰＵ１１が受けた攻撃の内容を早期に特定でき、攻撃への対策を早期に講じることができる。

また、第１ＣＰＵ１１は、起動時にソフトウェアの改ざんを検知する改ざん検知機能を有し、起動時にソフトウェアの改ざんが検知されなければ、そのソフトウェアを起動し、起動時にソフトウェアの改ざんが検知された場合には、そのソフトウェアを起動せずに動作を停止する。これにより、改ざんされたソフトウェアの起動を防止できる。そのため、改ざんされたソフトウェアが実行されることによる第２ＣＰＵ１２への不正メッセージの送信などを防止できる。

ソフトウェアの改ざんが検知されて、第１動作が動作を停止した場合、第１ＣＰＵ１１から第２ＣＰＵ１２へのメッセージ送信が行われないので、メッセージ送信が一定時間行われない場合には、第２ＣＰＵ１２により、第１ＣＰＵ１１が外部から攻撃を受けたと判定されて、第１ＣＰＵ１１と第２ＣＰＵ１２との通信が切断される。これにより、第１ＣＰＵ１１のソフトウェアが改ざんされていても、第２ＣＰＵ１２が第１ＣＰＵ１１から不正メッセージを受信しないので、車載ネットワーク２が不正メッセージによる攻撃を受けることを防止できる。

第２ＣＰＵ１２により第１ＣＰＵ１１が攻撃を受けたと判定された場合、車両に搭載されているＴＣＵ４から車両の外部のサーバ８に第１ＣＰＵ１１が攻撃を受けたことの情報がアップロードされるように、第１ＣＰＵ１１が外部から攻撃を受けたことは、第２ＣＰＵ１２からボデーＥＣＵ７Ａ経由でＴＣＵ４に通知されてもよい。これにより、サーバ管理者またはサーバ経由で情報を入手しうるユーザが第１ＣＰＵ１１の受攻撃を認知することができる。

＜変形例＞
以上、本発明の一実施形態について説明したが、本発明は、他の形態で実施することもできる。

たとえば、第２ＣＰＵ１２は、図示されていないが、第１ＣＰＵ１１と同様に、車両のイグニッションスイッチがオンにされたことに応じて、セキュアメモリ１４に記憶されているソフトウェアを起動させるソフトウェア起動部を実質的に備えている。第２ＣＰＵ１２のソフトウェア起動部もまた、第１ＣＰＵ１１のソフトウェア起動部２４と同様に、セキュアブート機能を有していてもよい。そして、ソフトウェアの改ざんが検知された場合、そのソフトウェアが起動されないことが好ましい。これにより、改ざんされたソフトウェアが実行されることによる車載ネットワーク２への不正メッセージの送信などを防止できる。

また、第１ＣＰＵ１１が車載ネットワーク２に対する攻撃を受けたことの情報がＴＣＵ４からサーバ８にアップロードされたことに応じて、車両を遠隔操作するリモートサービスが停止されてもよい。これにより、車載ネットワーク２の攻撃による車両の誤動作を防止することができる。また、第１ＣＰＵ１１には、ＴＣＵ４やＤＬＣ５の他にも、コクピットＥＣＵとの専用通信線や急速充電用の専用通信線が接続されてもよい。この場合、ＴＣＵ４やＤＬＣ５と同様に、それらの専用通信線から攻撃検知部２１に並列に情報が入力される。

その他、前述の構成には、特許請求の範囲に記載された事項の範囲で種々の設計変更を施すことが可能である。

２：車載ネットワーク
３：ゲートウェイＥＣＵ（車載中継装置）
４：ＴＣＵ（データ通信装置）
７Ａ：ボデーＥＣＵ（電子制御ユニット）
８：サーバ（情報管理機器）
９：スキャンツール（情報管理機器）
１１：第１ＣＰＵ（第１装置）
１２：第２ＣＰＵ（第２装置）
１３：セキュアメモリ（記憶装置）

Claims (5)

1. 車両に搭載されて、前記車両の外部と内部の車載ネットワークとの間の通信を中継する車載中継装置であって、
   第１メモリを内蔵し、前記車載ネットワークから切り離して設けられ、前記車両の外部と通信を行う第１装置と、
   第２メモリを内蔵し、前記車両の外部から切り離して設けられ、前記第１装置に通信可能に接続されるとともに、前記車載ネットワークに通信可能に接続される第２装置と、を備え、
   前記第１装置は、前記車載ネットワークに対する攻撃を検知する攻撃検知機能を有し、
   前記第２装置は、前記第１装置が攻撃を受けたか否かを判定する攻撃判定機能を有し、前記攻撃判定機能により前記第１装置が攻撃を受けたと判定された場合には、所定の対応を行う、車載中継装置。
2. 前記第１メモリは、前記車載ネットワークで通信可能なメッセージに使用されるＩＤ（Identifier）が登録されたホワイトリストを記憶しており、
   前記第１装置は、前記ホワイトリストに登録されたＩＤを使用していないメッセージを前記車両の外部から受信した場合、前記攻撃検知機能により当該メッセージの受信を攻撃として検知する、請求項１に記載の車載中継装置。
3. 前記第１装置は、前記攻撃検知機能により攻撃が検知されたことに応じて、当該攻撃に関する情報を前記第１メモリに記憶させ、前記車両の外部の情報管理機器からの要求に従って、前記第１メモリに記憶されている情報を出力する、請求項１または２に記載の車載中継装置。
4. 前記第１メモリは、ソフトウェアを記憶しており、
   前記第１装置は、起動時に前記ソフトウェアの改ざんを検知する改ざん検知機能を有し、前記改ざん検知機能により改ざんが検知されなければ、前記ソフトウェアを起動し、前記改ざん検知機能により前記ソフトウェアの改ざんが検知された場合には、前記ソフトウェアを起動せずに動作を停止し、
   前記第２装置は、前記第１装置からのメッセージ送信が一定時間行われない場合、前記第１装置との通信を切断する、請求項１～３のいずれか一項に記載の車載中継装置。
5. 前記第２装置は、前記攻撃判定機能により前記第１装置が攻撃を受けたと判定された場合、前記車両に搭載されているデータ通信装置から前記車両の外部のサーバに前記第１装置が攻撃を受けたことの情報がアップロードされるように、前記車載ネットワークに接続された電子制御ユニット経由で前記データ通信装置に、前記第１装置が攻撃を受けたことを通知する、請求項１～４のいずれか一項に記載の車載中継装置。

Images