JP6418217B2 - 通信システムで実行される情報集約方法 - Google Patents

Description

本発明は、複数の電子制御装置とセンター装置または外部ツールなどの集約装置とがネットワークを介して接続された通信システムで実行される情報集約方法に関する。

例えば特許文献１には、電子制御装置（監視対象システム）と集約装置であるセンター装置（被害解析装置）とがネットワークで接続された通信システムであって、センター装置が、不正アクセスによる攻撃を受けた電子制御装置の情報を収集して被害状況を解析する技術が開示されている。

この従来の通信システムでは、情報の収集にあたって、不正アクセスによって電子制御装置に被害が発生している攻撃と、不正アクセスはあるが電子制御装置に被害が発生していない攻撃との、切り分けが自動的に行われている。

特開２００５−１６５５４１号公報

しかしながら、上記従来の通信システムでは、不正アクセスによる攻撃を原因とする異常と、不正アクセスによる攻撃を原因としない異常とを、切り分けることができない。例えば、メッセージ認証コードの異常は、不正アクセスなどのセキュリティ攻撃に基づいて生じる場合と回路故障などに基づいて生じる場合とが考えられるが、それぞれの異常時に記憶された攻撃情報を切り分けることができない。

このため、集約装置が、回路故障などの原因による認証処理の異常時に記憶された攻撃情報を除外することなく、複数の電子制御装置から全ての攻撃情報を集約することになり、集約装置などによる攻撃情報の解析精度が低下する。

本発明は、上記課題を鑑みてなされたものであり、複数の電子制御装置と集約装置とがネットワーク接続された通信システムにおいて、集約装置が、回路故障などの原因による認証処理の異常時に記憶された攻撃情報を除外して、複数の電子制御装置から攻撃情報を集約することができる情報集約方法を提供することを目的とする。

上記課題を解決するために、本発明の第１態様は、車内に搭載され、随時更新される所定のカウンタのカウント値を用いて認証処理を行い、かつ当該認証処理の異常時に攻撃情報を記憶する複数の電子制御装置と、車外に設けられ、複数の電子制御装置の攻撃情報を集約するセンター装置または外部ツールである集約装置とからなる、通信システムで実行される情報集約方法であって、集約装置が、攻撃情報を取得したい電子制御装置である対象装置に対して、テストモードの開始要求を送信し、対象装置が、集約装置からテストモードの開始要求を受信したときに車両が所定の条件を満足していると判断すれば、テストモードを開始して、カウンタの動作を停止し、停止したカウンタのカウント値を集約装置へ送信し、集約装置が、対象装置から受信したカウント値に基づいて第１メッセージ認証コードを生成し、第１メッセージ認証コードを添付した攻撃情報の取得要求を対象装置へ送信し、対象装置が、集約装置から第１メッセージ認証コードが添付された攻撃情報の取得要求を受信すると、停止したカウンタのカウント値に基づいて第２メッセージ認証コードを生成し、第１メッセージ認証コードと第２メッセージ認証コードとが一致した場合に自身の装置が正常であると判断して、攻撃情報を集約装置へ送信し、対象装置が、攻撃情報を集約装置へ送信した後または自身の装置が正常でないと判断した後、カウンタの動作を始動させてテストモードを終了する、ことを特徴とする。

この本発明の第１態様では、所定のテストモードにおいて、電子制御装置側が有する所定のカウンタのカウント値を対象装置からセンター装置や外部ツールなどの集約装置へ送信する。そして、集約装置および対象装置の双方で、同じカウント値からそれぞれメッセージ認証コードを生成し、対象装置が双方のメッセージ認証コードの一致／不一致を判断して集約装置への攻撃情報の送信可否を決定する。

このように、同じカウント値からそれぞれ生成したメッセージ認証コードの比較を行うことで、集約装置が生成した正しいメッセージ認証コードと一致しなければ、対象装置のメッセージ認証コードが異常であると判断することができる。従って、この場合には、対象装置が記憶している攻撃情報が、回路故障などの原因による認証処理の異常時に記憶された攻撃情報であるおそれがあるため、当該攻撃情報を集約装置へ送信しない。双方のメッセージ認証コードが一致した場合だけ、対象装置が記憶している攻撃情報を集約装置へ送信する。これにより、回路故障などの原因による認証処理の異常時に記憶された攻撃情報を除外することができ、センター装置などによる攻撃情報の解析精度が向上する。

また、本発明の第２態様は、上記第１態様において、対象装置が、テストモードを開始してから終了するまでの期間は、対象装置が搭載された車両を走行できないように制御する、ことを特徴とする。

この本発明の第２態様によれば、上記第１態様によって実現される効果に加え、例えばカウンタの停止によってセキュリティが脆弱な状況にある車両が、安全な場所の外に移動（走行）してしまいセキュリティ攻撃の危険に晒されてしまうことを、未然に防止することができる。

また、本発明の第３態様は、上記第１態様において、対象装置が、テストモードを終了する前に車両が所定の条件を満足しなくなったと判断すれば、判断の時点でカウンタの動作を始動させてテストモードを終了する、ことを特徴とする。

この本発明の第３態様によれば、上記第１態様によって実現される効果に加え、例えばカウンタの停止によってセキュリティが脆弱な状況にある車両が、安全な場所の外に移動（走行）してしまっても、セキュリティが脆弱な状況でセキュリティ攻撃の危険に晒されてしまうことを防止することができる。

以上述べたように、本発明の情報集約方法によれば、複数の電子制御装置と集約装置とがネットワーク接続された通信システムにおいて、集約装置は、回路故障などの原因による認証処理の異常時に記憶された攻撃情報を除外して、複数の電子制御装置から攻撃情報を集約することができる。

本発明の各実施形態に係る情報集約方法が適用される通信システムの構成例を示す図 センター装置（集約装置）の構成例を示す図 電子制御装置（ＥＣＵ）の構成例を示す図 本発明の第１の実施形態に係る情報集約方法の処理手順を示したフローチャート 本発明の第２の実施形態に係る情報集約方法の処理手順を示したフローチャート 本発明の第３の実施形態に係る情報集約方法の処理手順を示したフローチャート 本発明の各実施形態に係る情報集約方法が適用される通信システムの他の構成例を示す図

［概要］
本発明は、複数の電子制御装置が記憶する攻撃情報をセンター装置または外部ツールなどの集約装置が集約する通信システムである。この通信システムでは、集約装置と電子制御装置とが、同じデータに基づいてメッセージ認証コードをそれぞれ生成する。集約装置が生成したメッセージ認証コードが正しい場合、双方のメッセージ認証コードが一致しなければ電子制御装置の認証コード生成機能が故障していると判断できる。よって、故障の判断がなされた電子制御装置は、攻撃情報を集約装置へ送信しない。これにより、集約装置は、複数の電子制御装置から集約する攻撃情報から、回路故障などの原因による認証処理の異常時に記憶された攻撃情報を除外することができる。

以下、本発明が提供する情報集約方法を、車両用の通信システムに適用した場合を一例に挙げて、図面を参照しながら詳細に説明する。

［通信システムの構成例］
図１は、本発明の各実施形態に係る情報集約方法が適用される通信システム１の構成例を示す図である。図１に例示した通信システム１は、車両外部に設けられたセンター装置１０と、車両内部に搭載される複数の電子制御装置２０（ＥＣＵ＿１、ＥＣＵ＿２、ＥＣＵ＿３）とで、構成される。

複数の電子制御装置２０は、ＣＡＮ（Controller Area Network）などの車内ネットワーク３０を介して、通信可能に接続されている。センター装置１０は、例えば無線ネットワーク４０を介して、少なくとも１つの電子制御装置２０（ＥＣＵ＿１）と通信可能に接続されている。センター装置１０と直接通信可能に接続されていない電子制御装置２０（ＥＣＵ＿２、ＥＣＵ＿３）は、車内ネットワーク３０、センター装置１０と通信可能に接続された電子制御装置２０（ＥＣＵ＿１）、および無線ネットワーク４０を経由して、センター装置１０と通信を行う。

・センター装置１０
センター装置１０は、車内に搭載された複数の電子制御装置２０から攻撃情報を集約する、集約装置の１つである。センター装置１０は、集約した攻撃情報の解析を行うことができる。このセンター装置１０は、図２に示すように、通信部１１、記憶部１２、およびＭＡＣ生成部１３を備えている。

通信部１１は、テストモードの開始要求やメッセージ認証コードが添付された攻撃情報の取得要求を対象の電子制御装置２０へ送信したり、同期カウンタのカウント値や攻撃情報を対象の電子制御装置２０から受信したりする機能部である。テストモード、メッセージ認証コード、カウント値、および攻撃情報については、後述する。記憶部１２には、様々な電子制御装置２０から受信した攻撃情報が記憶される。

ＭＡＣ生成部１３は、対象の電子制御装置２０から受信したカウント値を用いて、メッセージ認証コード（第１のＭＡＣ）を生成する機能部である。本実施形態では、通信部１１が対象の電子制御装置２０から正しいカウント値を受信するという前提であるため、ＭＡＣ生成部１３で生成されたメッセージ認証コード（第１のＭＡＣ）は、正規のメッセージ認証コードとなる。この正規のメッセージ認証コード（第１のＭＡＣ）は、攻撃情報の取得要求に添付されて、通信部１１から対象の電子制御装置２０へ送信される。

このセンター装置１０は、典型的には中央演算処理装置（ＣＰＵ：Central Processing Unit）、メモリ、および入出力インタフェースなどを含んで構成され、メモリに格納されたプログラムをＣＰＵが読み出して解釈実行することにより、上述した通信部１１、記憶部１２、およびＭＡＣ生成部１３の各機能を実現する。

・電子制御装置２０
電子制御装置２０は、同期カウンタのカウント値を用いてメッセージの認証処理を行い、この認証処理の異常時に攻撃情報（例えば、いつ、どこから、どのような攻撃を受けたかを示すログ）を記憶する。さらに、電子制御装置２０は、車外に設けられたセンター装置１０から受ける要求に応じて、テストモードへの移行処理、装置の故障判定処理、および攻撃情報の送信処理を行う。この電子制御装置２０は、図３に示すように、通信部２１、記憶部２２、テストモード制御部２３、ＭＡＣ生成部２４、および故障判断部２５を備えている。

通信部２１は、テストモードの開始要求や攻撃情報の取得要求をセンター装置１０から受信したり、同期カウンタのカウント値や攻撃情報をセンター装置１０へ送信したりする機能部である。テストモードの開始要求を受けた電子制御装置２０が、対象の電子制御装置２０となる。同期カウンタは、車内ネットワークのセキュリティ確保のために利用される車両内部のカウンタであり、標準規格（ＡＵＴＯＳＡＲ: AUTomotive Open System ARchitecture）に準拠した随時更新動作を行う。記憶部２２には、電子制御装置２０が受けた不正アクセスなどのセキュリティ攻撃を原因とする認証処理の異常時に記憶される情報である「攻撃情報」が記憶される。

テストモード制御部２３は、センター装置１０からテストモードの開始要求を受けて、テストモードへの移行を制御する機能部である。テストモードとは、車外装置では知ることができない車内にある同期カウンタのカウント値を、対象の電子制御装置２０からセンター装置１０へ提供するためのモードである。このテストモードでは、セキュリティ確保に重要な同期カウンタを停止させてその時に示されるカウント値を取得するため、新たな脆弱性が生じる可能性がある。そこで、本発明の一実施形態では、テストモード制御部２３が、車両がセキュリティを確保するための予め定めた車両状況にある場合、換言すれば車両が所定の条件を満足している場合に限って、テストモードの開始（テストモードへの移行）を可能とする判断を行う。また、他の実施形態では、テストモードを開始した後であっても、車両が所定の条件を満足しなくなれば、テストモード制御部２３がテストモードを途中で終了させる。

この予め定めた車両状況（所定の条件）とは、セキュリティが高いと予想される状況であることを言い、例えばディーラの整備建屋に車両が入庫して、かつ、停車している状況などが考えられる。このように車両がディーラの整備建屋に入庫して停車している高いセキュリティ状況である場合に、テストモード制御部２３は、車両が所定の条件を満たしているものと見なしてテストモードを開始させる、つまり電子制御装置２０をテストモードへ移行させる。そこで、他の実施形態では、テストモードが開始された後は、テストモード制御部２３が、自装置を搭載している車両を走行できないように制御する。車両が走行できないようにする制御は、例えばイモビライザーＥＣＵ、エンジンＥＣＵ、ブレーキＥＣＵなどの電子制御装置２０によって、エンジン始動を禁止したり、ブレーキ解除を禁止したり、することなどで実現可能である。

なお、車両がディーラの整備建屋に入庫したことは、例えばＧＰＳ（Global Positioning System）受信機から得られる自車位置情報に基づいて判断することができる。また、車両が停止していることは、例えば各種センサから得られる車速情報やシフトポジション情報に基づいて判断することができる。

ＭＡＣ生成部２４は、テストモード制御部２３によって停止させた同期カウンタのカウント値を用いて、メッセージ認証コード（第２のＭＡＣ）を生成する機能部である。故障判断部２５は、通信部２１がセンター装置１０から受信した攻撃情報の取得要求に添付された正規のメッセージ認証コード（第１のＭＡＣ）と、ＭＡＣ生成部２４で生成されたメッセージ認証コード（第２のＭＡＣ）との一致／不一致を判定する。そして、故障判断部２５は、双方のメッセージ認証コードが一致していれば（第１のＭＡＣ＝第２のＭＡＣ）、自身の電子制御装置２０は正常であると判断し、双方のメッセージ認証コードが一致していなければ（第１のＭＡＣ≠第２のＭＡＣ）、自身の電子制御装置２０は故障していると判断する。

本実施形態において故障を判断する対象は、ＭＡＣ生成部２４に相当する暗号化などに関する機能（回路）としている。よって、同じカウント値に基づいて生成された、センター装置１０側の正規のメッセージ認証コード（第１のＭＡＣ）と対象の電子制御装置２０側のメッセージ認証コード（第２のＭＡＣ）とが一致しなければ、対象の電子制御装置２０が故障していると判断することができる。

対象の電子制御装置２０が故障していると判断した場合、故障判断部２５は、記憶部２２に記憶されている攻撃情報が、回路故障などの原因による認証処理の異常時に記憶された誤った情報であるとして、その攻撃情報はセンター装置１０へ送信しない。これに対し、対象の電子制御装置２０が正常であると判断した場合、故障判断部２５は、記憶部２２に記憶されている攻撃情報が、不正アクセスなどのセキュリティ攻撃を原因とする認証処理の異常時に記憶された正しい情報であるとして、通信部２１を介してその攻撃情報をセンター装置１０へ送信する。

この電子制御装置２０は、典型的には中央演算処理装置（ＣＰＵ）、メモリ、および入出力インタフェースなどを含んで構成され、メモリに格納されたプログラムをＣＰＵが読み出して解釈実行することにより、上述した通信部２１、記憶部２２、テストモード制御部２３、ＭＡＣ生成部２４、および故障判断部２５の各機能を実現する。

［通信システムで実行される情報集約方法］
図４〜図６をさらに参照して、上述した通信システム１におけるセンター装置１０および対象の電子制御装置２０が実行する情報集約方法を説明する。図４は、本発明の第１の実施形態に係る情報集約方法の処理手順を示したフローチャートである。図５は、本発明の第２の実施形態に係る情報集約方法の処理手順を示したフローチャートである。図６は、本発明の第３の実施形態に係る情報集約方法の処理手順を示したフローチャートである。

＜第１の実施形態＞
図４を参照して、第１の実施形態に係る情報集約方法を説明する。図４において、センター装置１０は、攻撃情報を取得したい対象の電子制御装置（ＥＣＵ）２０に対して、テストモードの開始要求を送信する（Ｓ１０１）。

センター装置１０からテストモードの開始要求を受信した対象の電子制御装置２０は、車両の現在の状況に基づいて車両が所定の条件を満足するか否かを判断し、テストモードに移行可能か否かを判断する（Ｓ２０１）。ここで、所定の条件とは、セキュリティが高く安全であると想定される、例えば車両がディーラの整備建屋などの特定の場所に居て、かつ、車両が停車していることなどである。車両が特定の場所に居ることは、ＧＰＳの位置情報などに基づいて判断可能であり、車両が停車していることは、車速情報やシフトポジション情報などに基づいて判断することができる。この判断において車両が所定の条件を満足しておらずテストモードへの移行が不可能である場合（Ｓ２０１：Ｎｏ）、対象の電子制御装置２０は、テストモードへ移行することなく（Ｓ２０２）、センター装置１０からの要求に対する処理を終了する。

一方、上記判断において車両が所定の条件を満足していてテストモードへの移行が可能である場合（Ｓ２０１：Ｙｅｓ）、対象の電子制御装置２０は、テストモードへ移行して処理を開始する（Ｓ２０３）。処理を開始すると、対象の電子制御装置２０は、まず車両内部の同期カウンタを停止させる（Ｓ２０４）。そして、対象の電子制御装置２０は、停止させた同期カウンタが示すカウント値をセンター装置１０へ送信する（Ｓ２０５）。

センター装置１０は、テストモードの開始要求に対する応答であるカウント値を、対象の電子制御装置２０から受信したか否かを判断する（Ｓ１０２）。対象の電子制御装置２０からカウント値を受信できない場合（Ｓ１０２：Ｎｏ）、センター装置１０は、対象の電子制御装置２０から攻撃情報を取得することなく、処理を終了する。

一方、対象の電子制御装置２０からカウント値を受信した場合（Ｓ１０２：Ｙｅｓ）、センター装置１０は、受信したカウント値を用いて正規のメッセージ認証コード（第１のＭＡＣ）を生成する（Ｓ１０３）。そして、センター装置１０は、生成した正規のメッセージ認証コード（第１のＭＡＣ）を添付した攻撃情報の取得要求を、対象の電子制御装置２０へ送信する（Ｓ１０４）。

センター装置１０から正規のメッセージ認証コード（第１のＭＡＣ）が添付された攻撃情報の取得要求を受信した対象の電子制御装置２０は、停止させた同期カウンタが示すカウント値を用いてメッセージ認証コード（第２のＭＡＣ）を生成する（Ｓ２０６）。そして、対象の電子制御装置２０は、センター装置１０から受信した正規のメッセージ認証コード（第１のＭＡＣ）と自身が生成したメッセージ認証コード（第２のＭＡＣ）とが、一致しているか否かを判断する（Ｓ２０７）。

双方のメッセージ認証コードが一致していないと判断した場合（Ｓ２０７：Ｎｏ）、対象の電子制御装置２０は、自身（のメッセージ認証コードの生成機能）が故障していると判断する（Ｓ２１０）。この場合、対象の電子制御装置２０は、自身が記憶部２２に記憶している攻撃情報がＭＡＣ生成部２４の故障などの原因による認証処理の異常時に記憶された誤った情報であると判断して、その攻撃情報をセンター装置１０へ送信しない（Ｓ２１１）。

一方、双方のメッセージ認証コードが一致していると判断した場合（Ｓ２０７：Ｙｅｓ）、対象の電子制御装置２０は、自身（の認証コードの生成機能）は正常である判断する（Ｓ２０８）。この場合、対象の電子制御装置２０は、自身が記憶部２２に記憶している攻撃情報が不正アクセスなどのセキュリティ攻撃を原因とする認証処理の異常時に記憶された正しい情報であると判断して、その攻撃情報をセンター装置１０へ送信する（Ｓ２０９）。

センター装置１０は、攻撃情報の取得要求に対する応答である攻撃情報を、対象の電子制御装置２０から受信したか否かを判断する（Ｓ１０５）。対象の電子制御装置２０から攻撃情報を受信できない場合（Ｓ１０５：Ｎｏ）、センター装置１０は、対象の電子制御装置２０から攻撃情報を取得することなく、処理を終了する。一方、対象の電子制御装置２０から攻撃情報を受信した場合（Ｓ１０５：Ｙｅｓ）、センター装置１０は、当該攻撃情報を記憶部１２に記憶する（Ｓ１０６）。記憶部１２に記憶された攻撃情報は、これまでに受信した他の攻撃情報と共に集約され、解析などに利用される。

上記センター装置１０への攻撃情報の送信（Ｓ２０９）または非送信（Ｓ２１１）を実行した後、対象の電子制御装置２０は、停止させていた車両内部の同期カウンタを再始動させると共に（Ｓ２１２）、テストモードを終了する（Ｓ２１３）。なお、同期カウンタの再始動のタイミングは、対象の電子制御装置２０の判断で行われてもよいし、センター装置１０から所定の返信を待って行われてもよい。

＜第２の実施形態＞
図５を参照して、第２の実施形態に係る情報集約方法を説明する。この第２の実施形態に係る情報集約方法は、上述した第１の実施形態に係る情報集約方法と比べて、対象の電子制御装置２０によって実行されるＳ３０３およびＳ３１３の処理が異なる。よって、本第２の実施形態に係る情報集約方法では、この異なる処理を中心に説明を行い、上記第１の実施形態に係る情報集約方法と同じ処理については、同一の参照符号を付してその説明を省略する。

対象の電子制御装置２０は、車両が所定の条件を満足していてテストモードへの移行が可能であると判断した場合（Ｓ２０１：Ｙｅｓ）、テストモードへ移行して処理を開始すると共に、自装置が搭載されている車両が走行できないように所定の制御を行う（Ｓ３０３）。車両を走行できなくする所定の制御には、上述したような周知の手段を用いることができる。

対象の電子制御装置２０は、テストモードを実行してゆき、センター装置１０への攻撃情報の送信（Ｓ２０９）または非送信（Ｓ２１１）を行った後、停止させていた車両内部の同期カウンタを再始動させる（Ｓ２１２）。そして、対象の電子制御装置２０は、テストモードを終了すると共に、車両を走行できなくする所定の制御を解除する（Ｓ３１３）。

すなわち、この第２の実施形態に係る情報集約方法では、テストモードを開始して（Ｓ３０３）からテストモードを終了する（Ｓ３１３）までの期間（図５の一点鎖線で囲まれた処理を行っている間）は、車両の走行を不可能にしている。

＜第３の実施形態＞
図６を参照して、第３の実施形態に係る情報集約方法を説明する。この第３の実施形態に係る情報集約方法は、上述した第１の実施形態に係る情報集約方法と比べて、対象の電子制御装置２０によって実行されるＳ４０３〜Ｓ４０５およびＳ４１３の処理が異なる。よって、本第３の実施形態に係る情報集約方法では、この異なる処理を中心に説明を行い、上記第１の実施形態に係る情報集約方法と同じ処理については、同一の参照符号を付してその説明を省略する。

対象の電子制御装置２０は、車両が所定の条件を満足していてテストモードへの移行が可能であると判断した場合（Ｓ２０１：Ｙｅｓ）、テストモードへ移行して処理を開始すると共に、テストモードであることを示す所定のフラグ（以下「テストモードフラグ」という）を「ＯＮ」に設定する（Ｓ４０３）。このテストモードフラグに「ＯＮ」が設定されると、上述したＳ２０４〜Ｓ２１１のテストモードにおいて実行される第１処理と並行して、Ｓ４０４およびＳ４０５による第２処理が実行される。

第１処理においては、テストモードを実行してゆき、センター装置１０への攻撃情報の送信（Ｓ２０９）または非送信（Ｓ２１１）を行った後、停止させていた車両内部の同期カウンタを再始動させる（Ｓ２１２）。そして、対象の電子制御装置２０は、テストモードフラグを「ＯＦＦ」に設定して、テストモードを終了する（Ｓ４１３）。

一方、第２処理では、対象の電子制御装置２０は、テストモードへの移行可能を判断したときに満足していた所定の条件を車両が満足し続けているか否か、つまり車両が所定の条件を満足しなくなったか否かを判断する（Ｓ４０５）。この判断は、テストモードを実行しているテストモードフラグが「ＯＮ」である間（Ｓ４０４：Ｙｅｓ）、例えば所定の間隔で定期的に行われる。

上記判断において車両が所定の条件を満足しなくなったと判断した場合（Ｓ４０５：Ｙｅｓ）、対象の電子制御装置２０は、停止させていた車両内部の同期カウンタを再始動させると共に（Ｓ２１２）、テストモードフラグを「ＯＦＦ」に設定してテストモードを終了する（Ｓ４１３）。また、対象の電子制御装置２０は、車両が所定の条件を満足し続けている間にテストモードフラグが「ＯＦＦ」になった場合には（Ｓ４０４：Ｎｏ）、正しくテストモードが終了したと判断して処理を終了する。

すなわち、この第３の実施形態に係る情報集約方法では、テストモードを開始して（Ｓ４０３）からテストモードを終了する（Ｓ４１３）までの期間（図６の一点鎖線で囲まれた処理を行っている間）、テストモードの実行（Ｓ２０４〜Ｓ２１１）と並行して車両が所定の条件を満足しているか否かを判断（Ｓ４０４、Ｓ４０５）している。そして、車両が所定の条件を満足しなくなれば、テストモードのいずれの実行状態であっても直ちにテストモードを強制的に終了することを行う。

［実施形態の作用・効果］
以上のように、本発明の第１の実施形態に係る情報集約方法によれば、車外装置では知ることができない車内にある同期カウンタのカウント値を、対象の電子制御装置２０から集約装置であるセンター装置１０へ提供するテストモードを設ける。そして、センター装置１０では、対象の電子制御装置２０から提供されたカウント値に基づいてメッセージ認証コード（第１のＭＡＣ）を生成し、対象の電子制御装置２０でもカウント値に基づいてメッセージ認証コード（第２のＭＡＣ）を生成して、双方のメッセージ認証コードの一致／不一致を判断し、センター装置１０への攻撃情報の送信可否を決定する。

このように、同じカウント値からそれぞれ生成したメッセージ認証コードの比較を行うことで、双方のメッセージ認証コードが一致していなければ、対象の電子制御装置２０のメッセージ認証コードの生成機能が故障していると判断することができる。従って、この場合には、対象の電子制御装置２０が記憶部２２に記憶している攻撃情報が、ＭＡＣ生成部２４の回路故障などの原因による認証処理の異常時に記憶された情報であるおそれがある。よって、そのようなおそれがある攻撃情報をセンター装置１０へ送信しないことで、回路故障などの原因による認証処理の異常時に記憶された攻撃情報を除外することができ、センター装置１０などによる攻撃情報の解析精度が向上する。

また、テストモードへの移行は、車両がセキュリティを確保するための予め定めた車両状況にある場合に限り可能としている。これにより、センター装置１０は、車両のセキュリティを高めたまま攻撃情報を収集することができる。

本発明の第２の実施形態に係る情報集約方法によれば、テストモードを開始してから終了するまでの期間は、車両の走行を不可能に制御している。この制御により、同期カウンタが停止してセキュリティが脆弱な状況にあるテストモード実行中の車両が、例えば安全なディーラ整備建屋の外に移動（走行）してしまいセキュリティ攻撃の危険に晒されてしまうことを、未然に防止することができる。

本発明の第３の実施形態に係る情報集約方法によれば、集約装置であるセンター装置１０からテストモードの開始要求を受信した時点では満足していた所定の条件を、テストモードの開始後でテストモードを終了する前に満足しなくなった場合、テストモードを強制的に終了する。この制御により、同期カウンタが停止してセキュリティが脆弱な状況にあるテストモード実行中の車両が、例えば安全なディーラ整備建屋の外に移動（走行）してしまっても、セキュリティが脆弱な状況でセキュリティ攻撃の危険に晒されてしまうことを防止することができる。

［応用例］
なお、上記各実施形態では、複数の電子制御装置２０から攻撃情報を集約する集約装置として、センター装置１０を説明した。しかし、この集約装置は、例えばディーラの整備士が使用するサービスツールなどの外部ツール５０であってもよい。この外部ツール５０は、図１および図２に示したセンター装置１０と同様に、無線ネットワーク４０を介して少なくとも１つの電子制御装置２０と通信可能に接続されてもよい。または、外部ツール５０は、図７に示す通信システム１’のように、コネクタケーブル３１などを介して車内ネットワーク３０に有線接続されることによって少なくとも１つの電子制御装置２０と通信可能に接続されていてもよい。

本発明は、複数の電子制御装置がネットワークを介してセンター装置または外部ツールなどの集約装置に接続された通信システムに利用可能であり、集約装置が複数の電子制御装置から集約する攻撃情報のうち、回路故障などの原因による認証処理の異常時に記憶された攻撃情報を除外したい場合に有用である。

１、１’ 通信システム
１０ センター装置（集約装置）
１１、２１ 通信部
１２、２２ 記憶部
１３、２４ ＭＡＣ生成部
２０ 電子制御装置（ＥＣＵ）
２３ テストモード制御部
２５ 故障判断部
３０ 車内ネットワーク
３１ コネクタケーブル
４０ 無線ネットワーク
５０ 外部ツール（集約装置）

Claims (3)

1. 車内に搭載され、随時更新される所定のカウンタのカウント値を用いて認証処理を行い、かつ当該認証処理の異常時に攻撃情報を記憶する複数の電子制御装置と、車外に設けられ、当該複数の電子制御装置の攻撃情報を集約するセンター装置または外部ツールである集約装置とからなる、通信システムで実行される情報集約方法であって、
   前記集約装置が、前記攻撃情報を取得したい電子制御装置である対象装置に対して、テストモードの開始要求を送信し、
   前記対象装置が、前記集約装置から前記テストモードの開始要求を受信したときに車両が所定の条件を満足していると判断すれば、前記テストモードを開始して、前記カウンタの動作を停止し、当該停止したカウンタのカウント値を前記集約装置へ送信し、
   前記集約装置が、前記対象装置から受信した前記カウント値に基づいて第１メッセージ認証コードを生成し、当該第１メッセージ認証コードを添付した前記攻撃情報の取得要求を前記対象装置へ送信し、
   前記対象装置が、前記集約装置から前記第１メッセージ認証コードが添付された前記攻撃情報の取得要求を受信すると、前記停止したカウンタのカウント値に基づいて第２メッセージ認証コードを生成し、当該第１メッセージ認証コードと当該第２メッセージ認証コードとが一致した場合に自身の装置が正常であると判断して、前記攻撃情報を前記集約装置へ送信し、
   前記対象装置が、前記攻撃情報を前記集約装置へ送信した後または自身の装置が正常でないと判断した後、前記カウンタの動作を始動させて前記テストモードを終了する、情報集約方法。
2. 前記対象装置が、前記テストモードを開始してから終了するまでの期間は、前記対象装置が搭載された車両を走行できないように制御する、請求項１に記載の情報集約方法。
3. 前記対象装置が、前記テストモードの開始後で前記テストモードを終了する前に車両が前記所定の条件を満足しなくなったと判断すれば、当該判断の時点で前記カウンタの動作を始動させて前記テストモードを終了する、請求項１に記載の情報集約方法。

Images