[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

WO2020021715A1 - 不正対処方法、不正対処装置および通信システム - Google Patents

不正対処方法、不正対処装置および通信システム Download PDF

Info

Publication number
WO2020021715A1
WO2020021715A1 PCT/JP2018/028297 JP2018028297W WO2020021715A1 WO 2020021715 A1 WO2020021715 A1 WO 2020021715A1 JP 2018028297 W JP2018028297 W JP 2018028297W WO 2020021715 A1 WO2020021715 A1 WO 2020021715A1
Authority
WO
WIPO (PCT)
Prior art keywords
frame
fraud
slot
switching
predetermined
Prior art date
Application number
PCT/JP2018/028297
Other languages
English (en)
French (fr)
Inventor
良浩 氏家
剛 岸川
平野　亮
Original Assignee
パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ filed Critical パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority to PCT/JP2018/028297 priority Critical patent/WO2020021715A1/ja
Priority to CN201980007100.8A priority patent/CN111543033B/zh
Priority to CN202210916502.3A priority patent/CN115296884A/zh
Priority to JP2020532409A priority patent/JP7362613B2/ja
Priority to PCT/JP2019/028836 priority patent/WO2020022327A1/ja
Priority to EP19841334.6A priority patent/EP3832955A4/en
Publication of WO2020021715A1 publication Critical patent/WO2020021715A1/ja
Priority to US17/031,224 priority patent/US12083971B2/en
Priority to JP2023173115A priority patent/JP2023168558A/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B60R16/0231—Circuits relating to the driving or the functioning of the vehicle
    • B60R16/0232—Circuits relating to the driving or the functioning of the vehicle for measuring vehicle parameters and indicating critical, abnormal or dangerous conditions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/4013—Management of data rate on the bus
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40052—High-speed IEEE 1394 serial bus
    • H04L12/40084—Bus arbitration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/44—Star or tree networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/64—Hybrid switching systems
    • H04L12/6418—Hybrid transport
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40241—Flexray
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/64—Hybrid switching systems
    • H04L12/6418—Hybrid transport
    • H04L2012/6432—Topology
    • H04L2012/644—Star

Definitions

  • the present invention relates to a method, a system, and an apparatus for transmitting a frame even when a communication error occurs on a vehicle-mounted network.
  • ECUs electronice control units
  • a network connecting these ECUs is called an in-vehicle network.
  • FlexRay which is designed as a protocol that is faster and more reliable than the currently mainstream Controller @ Area @ Network (hereinafter, CAN).
  • FlexRay represents a value of “0” and a value of “1” by a voltage difference between two stranded wires.
  • the ECU connected to the bus is called a node.
  • Each node connected to the bus sends and receives messages called frames.
  • FlexRay is a Time ⁇ Division ⁇ Multiple ⁇ Access (TDMA) system, and each node transmits a frame at a predetermined timing.
  • TDMA Time ⁇ Division ⁇ Multiple ⁇ Access
  • a cycle is composed of four segments: a "static segment”, a “dynamic segment”, a “symbol window”, and a "network idle time”.
  • the dynamic segment and the symbol window are optional.
  • Each node sends frames in static and dynamic segments.
  • the static segment and the dynamic segment are further composed of time during which one frame called a slot can be transmitted.
  • the transmission node transmits a frame based on a slot number that is a transmission timing predetermined for each frame.
  • Each receiving node receives only a frame with a predetermined slot number.
  • a method called “cycle multiplexing” that realizes communication of different frames depending on the cycle even in the case of frames having the same slot number may be used.
  • Patent Literature 1 proposes an in-vehicle network monitoring device that detects whether a frame is transmitted to a CAN at a predetermined communication interval, and determines that a frame deviating from the specified communication interval is invalid. Discloses a method for preventing control by an illegal frame.
  • the present invention solves the above problem by detecting a frame to be transmitted illegally and then switching a communication slot for transmitting the frame, thereby reducing the range of influence by the frame transmitted illegally. It is intended to provide a simple in-vehicle network system.
  • a fraud countermeasure method is a fraud countermeasure method in an in-vehicle network that is a time-triggered communication method based on a time slot, wherein the in-vehicle network includes one or more Electronic control devices are connected, each of the electronic control devices transmits and receives a frame within a predetermined time slot, the electronic control device performs a frame transmission and reception step of transmitting and receiving the frame, A fraud detecting step for detecting, and a switching determining step of performing a transmission frame switching process in accordance with a predetermined setting when a predetermined condition is satisfied based on a determination result of the fraud detecting step.
  • the present invention even if an illegal frame is transmitted to the in-vehicle network, it is possible to maintain a safe state as a whole in-vehicle network system by detecting the invalid frame and taking action.
  • FIG. 1 is an overall configuration diagram of a vehicle-mounted network system 10 according to the first embodiment.
  • FIG. 2 is a diagram showing a cycle of FlexRay communication according to the first embodiment.
  • FIG. 3 is a diagram showing a frame format of FlexRay communication according to the first embodiment.
  • FIG. 4 is a diagram illustrating an example of a configuration of the ECU 200a according to the first embodiment.
  • FIG. 5 is a diagram illustrating an example of communication setting parameters for FlexRay communication according to the first embodiment.
  • FIG. 6 is a diagram illustrating an example of a configuration of the star coupler 300 according to the first embodiment.
  • FIG. 7 is a diagram illustrating an example of a frame list transmitted by FlexRay communication according to the first embodiment.
  • FIG. 1 is an overall configuration diagram of a vehicle-mounted network system 10 according to the first embodiment.
  • FIG. 2 is a diagram showing a cycle of FlexRay communication according to the first embodiment.
  • FIG. 3 is a diagram showing a frame format of FlexRay communication according to the first
  • FIG. 8 is a diagram illustrating an example of a frame transmission schedule of FlexRay communication according to the first embodiment.
  • FIG. 9 is a diagram illustrating an example of the switching table according to the first embodiment.
  • FIG. 10 is a diagram showing an example of a switching communication sequence according to the first embodiment.
  • FIG. 11 is an overall configuration diagram of the vehicle-mounted network system 20 according to the second embodiment.
  • FIG. 12 is a diagram illustrating an example of a configuration of the ECU 1200a according to the second embodiment.
  • FIG. 13 is a diagram illustrating an example of a switching table according to the second embodiment.
  • FIG. 14 is a diagram showing an example of a switching communication sequence according to the second embodiment.
  • a fraud countermeasure method is a fraud countermeasure method in a vehicle-mounted network that is a time-triggered communication system based on a time slot, wherein one or more electronic control devices are connected to the vehicle-mounted network, Each of the electronic control units transmits and receives a frame within a predetermined time slot, and the electronic control unit transmits and receives the frame, a frame transmitting and receiving step, a fraud detection step of detecting an invalid frame, A switching determination step of performing a transmission frame switching process according to a predetermined setting when a predetermined condition is satisfied based on a determination result of the fraud detection step.
  • the fraud countermeasure method is characterized in that, as the fraud detecting step, the fraud of the frame is determined by a predetermined attack determination algorithm.
  • the fraud countermeasure method according to an embodiment of the present invention is characterized in that, as the predetermined setting, one of a static slot and a dynamic slot is designated as a switching source slot.
  • the fraud countermeasure method according to an embodiment of the present invention is characterized in that, as the predetermined setting, one of a static slot and a dynamic slot is designated as a switching destination slot.
  • the fraud countermeasure method is characterized in that, as the predetermined setting, an empty slot to which a frame has not been allocated is designated as a switching destination slot.
  • the fraud countermeasure method is characterized in that, as the predetermined setting, a slot to which a frame has already been assigned is designated as a switching destination slot.
  • the fraud countermeasure method is characterized in that, as the predetermined setting, a payload of an already allocated frame is combined with a payload of a switched frame.
  • the fraud countermeasure method according to an embodiment of the present invention is characterized in that a new slot is added as the switching destination slot as the predetermined setting.
  • the fraud countermeasure method is characterized in that, as the predetermined setting, a payload of an already allocated frame is exchanged with a payload of a switched frame.
  • the fraudulent response method is characterized in that a switching process is performed by detecting occurrence of an error according to the communication method as the predetermined condition.
  • the fraudulent response method is characterized in that, as the predetermined condition, a switching process is performed by detecting a frame other than the frame in which the fraud has occurred.
  • the fraudulent countermeasure method is characterized in that a switching process is performed as the predetermined condition according to a preset state of a vehicle equipped with the in-vehicle network.
  • the fraudulent response method is characterized in that the state of the vehicle is any one of a state of being parked, a state of being stopped, and a state of running.
  • a communication system in an in-vehicle network that is a time-triggered communication method based on a time slot, wherein one or more electronic control devices are connected to the in-vehicle network, and each of the electronic control devices is a predetermined predetermined number.
  • the electronic control unit transmits and receives a frame within the time slot, and the electronic control unit performs a frame transmission and reception step of transmitting and receiving the frame, a fraud detection step of detecting an illegal frame, and a predetermined result based on a determination result of the fraud detection step.
  • a switching determination step of performing a transmission frame switching process according to a predetermined setting when the condition is satisfied.
  • an electronic control device connected to the in-vehicle network is one or more, wherein each of the electronic control devices is a predetermined predetermined number.
  • a frame transmitting / receiving unit for transmitting / receiving a frame within the time slot of the frame, a frame transmitting / receiving unit for transmitting / receiving the frame, a fraud detecting unit for detecting a fraudulent frame, and based on a determination result of the fraud detecting step, when a predetermined condition is satisfied ,
  • a switching determination unit that performs a transmission frame switching process according to a predetermined setting.
  • FIG. 1 is a diagram showing the overall configuration of an in-vehicle network system 10 according to the present invention.
  • the in-vehicle network system 10 includes FlexRay buses 100a, 100b, 100c, and 100d, ECUs 200a, 200b, 200c, and 200d connected to each bus, and a front camera 210, a gear 220, and a brake 230 that are controlled by each ECU. It comprises a rear camera 240 and a star coupler 300 for connecting each FlexRay bus.
  • the ECUs 200a to 200d realize control of the vehicle by transmitting and receiving frames via the FlexRay bus.
  • the star coupler shapes the signals so that the same signal flows in every bus, and the ECUs are synchronized through the FlexRay bus.
  • FIG. 2 is a diagram showing a cycle of FlexRay communication according to the present invention. FlexRay communication is performed in units called a cycle, and each node synchronously holds the number of cycle repetitions (cycle counter). The cycle counter takes a value of 0 to 63. The next cycle in which the cycle counter is 63 resets the cycle counter to zero.
  • Each cycle is composed of four segments: a static segment (Static segment), a dynamic segment (Dynamic segment), a symbol window (Symbol window), and a network idle time (NIT). Since the time of each segment is common to the entire FlexRay network (cluster) according to parameters designed in advance, the time of one cycle is also common to the cluster.
  • Static segment static segment
  • Dynamic segment dynamic segment
  • Symbol window symbol window
  • NIT network idle time
  • the static segment is composed of multiple slots.
  • the number of slots and the time of each slot are common in the cluster.
  • one frame is transmitted in one slot, and the slot number becomes a frame identifier (Frame (ID).
  • Each ECU is designed to transmit a frame at a predetermined timing (slot number).
  • a frame transmitted in a static segment is called a static frame.
  • the static frame has a common payload length within the cluster.
  • the dynamic segment is composed of slots called mini slots.
  • mini-slots have slot numbers, and each ECU is designed to transmit at a predetermined timing (slot number), but unlike the static segment, it is necessary to transmit a frame. There is no.
  • Frames transmitted within the dynamic segment are called dynamic frames.
  • the dynamic frame can take any value from 0 to 254 as the payload length.
  • the symbol window is a time zone for transmitting and receiving signals called symbols.
  • the network idle time is a time period during which communication is not performed, and is always provided at the end of a cycle.
  • Each ECU performs a time synchronization process and the like.
  • FIG. 3 is a diagram showing a frame format of the FlexRay protocol according to the present invention.
  • the frame is composed of three segments: a Header Segment, a Payload Segment, and a Trailer Segment.
  • ⁇ Header ⁇ Segment starts with Reserved @ bit, and includes Payload @ preamble @ indicator, Null @ frame @ indicator, Sync @ frame @ indicator, and Startup @ frame @ indicator each for indicating a frame type. Further, it is composed of an 11-bit Frame @ ID, a 7-bit Payload @ length, an 11-bit Header @ CRC, and a 6-bit Cycle @ count.
  • the Frame @ ID is also called a slot ID, and is used to identify the transmission timing of a frame and the contents of the frame.
  • Payload @ length can take a maximum value of 127. Payload @ Segment stores the number of bytes obtained by multiplying the value of Payload @ length by two. Header @ CRC is a checksum calculated from a value including Sync @ frame @ indicator to Payload @ length. Cycle @ count stores the current number of cycles.
  • ⁇ Payload ⁇ Segment contains data representing the contents of the frame. The number of bytes that is twice the value of Payload @ length is stored, and a maximum of 254 bytes is stored.
  • ⁇ Trailer ⁇ Segment stores a CRC calculated from a value including all frames.
  • FIG. 4 is a diagram showing a configuration of the ECU 200a according to the present invention. Note that the ECUs 200b, 200c, and 200d have the same configuration, and a description thereof will be omitted.
  • the ECU 200a includes a frame transmission / reception unit 201, a communication setting parameter holding unit 202, a frame interpretation unit 203, an external device control unit 204, a frame generation unit 205, a fraud determination unit 206, a switch determination unit 207, And a table holding unit 208.
  • the frame transmission / reception unit 201 acquires frame information by decoding a physical signal received from the bus 100a into a digital signal.
  • the frame transmission / reception unit 201 synchronizes the time with the other ECUs by referring to the communication setting parameters held in the communication setting parameter holding unit 202, and can correctly receive the frame. Further, the frame transmission / reception unit 201 converts the frame into a physical signal at a predetermined timing in accordance with the transmission frame request notified from the frame generation unit 205, and transmits the physical signal to the bus 100a.
  • the communication setting parameter holding unit 202 holds common parameters in a cluster for correctly converting a physical signal into a digital signal.
  • FIG. 5 shows an example of communication setting parameters held in the communication setting parameter holding unit 202, which will be described in detail later.
  • the frame interpreting unit 203 interprets the payload included in the received frame notified from the frame transmitting / receiving unit 201, and controls the external camera control unit 204 to control the front camera 210 connected to the ECU 200a according to the content of the payload. Notify to. For example, the traveling state is determined based on information on the speed of the vehicle notified from another ECU, and the content of the camera photographing is adjusted according to the traveling state. Further, it notifies the fraud determining unit 206 of the received content such as the ID and the payload included in the frame.
  • the external device control unit 204 controls the front camera 210 connected to the ECU 200a. Further, in response to the notification content from front camera 210, it notifies frame generation unit 205 of a frame transmission request for notifying another ECU of the state. For example, the presence or absence of a pedestrian ahead is notified.
  • the frame generation unit 205 generates a frame based on the notified signal, and issues a transmission request to the frame transmission / reception unit 201.
  • the fraud determining unit 206 determines whether the received frame is fraudulent based on the received content such as the ID and the payload notified from the frame interpreting unit 203. In this embodiment, when an error such as a syntax error is received with the same ID, it is determined to be invalid. If it is determined that the data is invalid, it notifies the switching determination unit 207 and the frame generation unit 205 of the fact.
  • the switching determination unit 207 refers to the content of the switching table notified from the switching table holding unit 208 based on the determination result notified from the fraud determination unit 206, and instructs the frame generation unit 205 to change the transmission content. Notice.
  • the switching table holding unit 208 holds a switching table necessary for switching transmission contents according to the result of fraud detection.
  • FIG. 5 shows an example of the communication setting parameter stored in the communication setting parameter holding unit 202.
  • the communication setting parameters indicate that the baud rate indicating the communication speed is 10 Mbps, the slot ID of the static segment is 1 to 50, and the slot ID of the dynamic segment is 51 to 100. I have. It also shows that the payload length of the static slot is 8 (that is, 16 bytes). These values are shared by all the ECUs in the cluster, and the transmission and reception of the FlexRay frame is realized based on these values.
  • the value of the communication setting parameter is merely an example, and another value may be used.
  • the parameters shown here are merely examples, and may include parameters not described in FIG. 5 (for example, the length of each segment, the length of a slot, and the like), or may be described in reverse. Some of the parameters may not be included.
  • FIG. 6 is a configuration diagram of the star coupler 300.
  • the star coupler 300 includes transceiver units 301a, 301b, 301c, 301d and a routing unit 302. Note that the transceiver units 301b, 301c, and 301d are the same as the transceiver unit 301a, and a description thereof will be omitted.
  • the transceiver unit 301a converts a physical signal received from the bus 100a into a digital signal and notifies the digital signal to the routing unit 302. When a digital signal is notified from the routing unit 302, the digital signal is converted into a physical signal and transferred to the bus 100a.
  • the routing unit 302 transfers the digital signal notified from the transceiver unit 301a to the transceiver units 301b, 301c, 301d, and 301e excluding the transceiver unit 301a. Similarly, when the digital signal is notified from the transceiver unit 301b, the digital signal is notified to the transceiver units except the transceiver unit 301b. When receiving a digital signal from a plurality of transceiver units, the routing unit notifies other transceiver units of a signal from the bus that first received the digital signal.
  • FIG. 7 shows an example of a frame list transmitted and received by the ECU 200a.
  • Cycle @ offset and Cycle @ reception are information necessary for extracting a target frame when a method of transmitting and receiving frames having different contents is used even with the same slot ID called cycle multiplexing (cycle multiplexing).
  • cycle multiplexing cycle multiplexing
  • a frame with a slot ID of 98 has two frame names, and different contents of the front camera information 1 and the front camera information 2 are notified in each frame.
  • Cycle @ offset is 0, and Cycle @ reception is 2. This means that the cycle counter starts from 0 and transmits the frame every two cycles.
  • the frame C in which the front camera information 1 is notified is transmitted when the cycle ID is 0, 2, 4, 6,..., 58, 60, and 62 when the slot ID is 98. It is shown that.
  • the frame D including the front camera information 2 is transmitted when the slot ID of the cycle counter is 1, 3, 5,..., 59, 61, 63 is 99.
  • the method of transmitting different frames with the same slot ID as described above is called cycle multiplexing.
  • the frame E including the rear camera information 1 is transmitted when the cycle ID of the cycle counter is 0, 2, 4,..., 58, 60, 62 is 99, and the frame F including the rear camera information 2 is the cycle .., 59, 61, and 63 are transmitted when the cycle ID is 99.
  • the frame whose slot ID is 1, the cycle @ Offset is 0, and the cycle @ reception is 1 (that is, the same frame is transmitted in every cycle) has the frame name A, and the payload of the frame A is Indicates that information about speed is included.
  • a slot ID of 2 indicates that no frame is transmitted.
  • a frame having a slot ID of 3, a Cycle @ Offset of 0, and a Cycle @ Reception of 2 (that is, transmitted only when the cycle counter is an even number) has a frame name B, and the payload of the frame B contains information on the gear state. Indicates that it is included.
  • a frame having a slot ID of 98, a cycle of $ Offset of 0, and a cycle of $ reception of 2 has a frame name of C, and indicates that the payload of the frame C includes information on the front camera information 1.
  • a frame having a slot ID of 98, a Cycle @ Offset of 1, and a Cycle @ reception of 2 has a frame name of D, and indicates that the payload of the frame D includes information on the front camera information 2.
  • a frame with a slot ID of 99, a cycle of $ Offset of 0, and a cycle of $ reception of 2 has a frame name of E, and the payload of the frame E includes information on the rear camera information 1.
  • a frame having a slot ID of 99, a Cycle @ Offset of 1, and a Cycle @ reception of 2 has a frame name of F, and indicates that the payload of the frame F includes information on the rear camera information 2.
  • Frames A and B are static frames transmitted in a static segment, and frames C to F are dynamic frames transmitted in a dynamic segment.
  • FIG. 8 shows a frame transmission schedule in the example of the frame list in FIG.
  • the horizontal axis indicates the slot ID
  • the vertical axis indicates the cycle.
  • the name of the frame to be transmitted is described.
  • the frames C to F are transmitted in a predetermined cycle, but may not be transmitted because the frames are dynamic frames.
  • FIG. 9 shows an example of the switching table.
  • FIG. 10 shows an example of a sequence in which the ECU 200a detects fraud and performs switching.
  • the ECU 200a determines whether an error with the same ID has occurred a plurality of times by using a counter for determining whether or not the error has the same ID.
  • the ECU 200a refers to the switching table and finds a switching process corresponding to the target ID.
  • the ECU that detects the fraud dynamically changes the transmission slot of the frame to be transmitted by using the switching table to thereby obtain the illegal fraud. It is possible to avoid communication disturbance due to the frame and maintain normal communication. In addition, by effectively utilizing the previously vacated communication slots, frames can be transmitted without increasing the traffic.
  • FIG. 11 is a diagram showing the overall configuration of the in-vehicle network system 20 according to the present invention.
  • the in-vehicle network system 20 includes FlexRay buses 100a, 100b, 100c, and 100d, ECUs 1200a, 1200b, 1200c, and 1200d connected to each bus, and a front camera 210, a gear 220, and a brake 230, which are controlled by each ECU. It comprises a rear camera 240 and a star coupler 300 for connecting each FlexRay bus.
  • the same components as those in the first embodiment are denoted by the same reference numerals, and description thereof is omitted.
  • FIG. 12 is a diagram showing the configuration of the ECU 1200a according to the present invention. Note that the ECUs 1200b, 1200c, and 1200d have the same configuration, and a description thereof will be omitted.
  • the ECU 1200a switches the frame transmission / reception unit 201, the communication setting parameter holding unit 202, the frame interpretation unit 1203, the external device control unit 204, the frame generation unit 205, the fraud determination unit 206, the switch determination unit 1207, It comprises a table holding unit 208 and a vehicle state determination unit 1209.
  • the same components as those in the first embodiment are denoted by the same reference numerals, and description thereof is omitted.
  • the frame interpretation unit 1203 interprets the payload included in the received frame notified from the frame transmission / reception unit 201, and controls the front camera 210 connected to the ECU 200a according to the content of the payload. Notify to. For example, the traveling state is determined based on information on the speed of the vehicle notified from another ECU, and the content of the camera photographing is adjusted according to the traveling state. In addition, the received content such as the ID and the payload included in the frame is notified to the fraud determination unit 206 and the vehicle state determination unit 1209.
  • the switching determination unit 1207 refers to the contents of the switching table notified from the switching table holding unit 208 based on the determination result notified from the fraud determination unit 206 and the vehicle state notified from the vehicle state determination unit 1209. Then, the frame generation unit 205 is notified to change the transmission content.
  • the vehicle state determination unit 1209 determines the current state of the vehicle based on the received content such as the ID and the payload notified from the frame interpretation unit 1203. For example, a frame including a result determined by another ECU as a payload may be received, or the vehicle determination unit 1209 of each ECU may determine based on information such as speed and gear.
  • FIG. 13 shows an example of the switching table.
  • the contents of switching the ID to 1, 3 and the ID to 97, 100 are shown.
  • the contents of switching the ID to 98 and 99 and the ID to 99 and 98 respectively are shown.
  • FIG. 14 illustrates an example of a sequence in which the ECU 1200a detects a fraud and performs switching.
  • the same processing steps as those in FIG. 10 are denoted by the same reference numerals, and description thereof will be omitted.
  • S2007 The ECU 1200a compares the current vehicle state with the switching table and determines whether the target ID needs to be switched.
  • the fraud countermeasure method described in the second embodiment is such that the ECU that detects the fraud dynamically changes the transmission slot of a frame to be transmitted using a switching table corresponding to a specific vehicle state. By making the change, it is possible to avoid communication disturbance due to an illegal frame and maintain normal communication. In addition, by effectively utilizing the previously vacated communication slots, frames can be transmitted without increasing the traffic. In addition, by limiting to a specific vehicle state, it is possible to minimize the change from the normal communication and maintain the normal communication.
  • the switching was performed by detecting a frame error, but the fraud detection method is not limited to this.
  • the detection may be performed when the payload deviates from a predetermined payload, or may be determined to be invalid when the difference from the previous frame is sharp.
  • the result of the fraud detection as described above may be notified to the communication partner in another slot determined in advance by both parties.
  • the content to be switched is set for each ID, but the position of the payload may be switched.
  • the payload position may be changed to an originally empty payload position, or may be switched to an originally existing payload position.
  • the FlexRay protocol was used as the vehicle-mounted network, but the present invention is not limited to this.
  • CAN-FD CAN @ Flexible @ Data @ Rate
  • Ethernet CAN @ Flexible @ Data @ Rate
  • LIN Lical @ Interconnect @ Network
  • MOST Media @ Oriented @ Systems @ Transport
  • a network in which these networks are combined as a sub-network may be used.
  • Each device in the above embodiment is, specifically, a computer system including a microprocessor, a ROM, a RAM, a hard disk unit, a display unit, a keyboard, a mouse, and the like.
  • a computer program is recorded in the RAM or the hard disk unit.
  • Each device achieves its function by the microprocessor operating according to the computer program.
  • the computer program is configured by combining a plurality of instruction codes indicating instructions to the computer in order to achieve a predetermined function.
  • Each or all of the constituent elements of each device in the above embodiment may be configured by one system LSI (Large Scale Integration).
  • the system LSI is an ultra-multifunctional LSI manufactured by integrating a plurality of components on one chip, and is specifically a computer system including a microprocessor, a ROM, a RAM, and the like. .
  • the RAM stores a computer program. When the microprocessor operates according to the computer program, the system LSI achieves its function.
  • Each part of the constituent elements constituting each device described above may be individually formed into one chip, or may be formed into one chip so as to include a part or all.
  • LSI may also be called IC, LSI, super LSI, or ultra LSI depending on the degree of integration.
  • the method of circuit integration is not limited to LSI, and may be realized by a dedicated circuit or a general-purpose processor. After manufacturing the LSI, a programmable FPGA (Field Programmable Gate Array) or a reconfigurable processor capable of reconfiguring connection and setting of circuit cells inside the LSI may be used.
  • a programmable FPGA Field Programmable Gate Array
  • reconfigurable processor capable of reconfiguring connection and setting of circuit cells inside the LSI may be used.
  • a part or all of the constituent elements constituting each of the above devices may be constituted by an IC card detachable to each device or a single module.
  • the IC card or the module is a computer system including a microprocessor, a ROM, a RAM, and the like.
  • the IC card or the module may include the above-mentioned super multifunctional LSI.
  • the IC card or the module achieves its function by the microprocessor operating according to the computer program.
  • the IC card or the module may have tamper resistance.
  • the present invention may be the method described above. Further, these methods may be a computer program that is realized by a computer, or may be a digital signal formed by the computer program.
  • the present invention also relates to a computer-readable recording medium capable of reading a computer program or a digital signal, for example, a flexible disk, a hard disk, a CD-ROM, an MO, a DVD, a DVD-ROM, a DVD-RAM, a BD (Blu-ray (registered trademark) ) Disc), and may be recorded in a semiconductor memory or the like. Further, the digital signal may be recorded on these recording media.
  • the computer program or the digital signal may be transmitted via an electric communication line, a wireless or wired communication line, a network represented by the Internet, a data broadcast, or the like.
  • the present invention may be a computer system including a microprocessor and a memory, wherein the memory records the computer program, and the microprocessor operates according to the computer program.
  • program or the digital signal is recorded on the recording medium and transferred, or the program or the digital signal is transferred via the network or the like, so that it is implemented by another independent computer system. It may be.
  • the entire in-vehicle network system can maintain a safe state.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Mechanical Engineering (AREA)
  • Quality & Reliability (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

タイムスロットに基づくタイムトリガー型の通信方式である車載ネットワークにおける不正対処方法であって、車載ネットワークには、１以上の電子制御装置が接続され、１以上の電子制御装置は予め定められた所定のタイムスロット内でフレームを送受信し、電子制御装置は、フレームの送受信を行うフレーム送受信ステップと、不正なフレームを検知する不正検知ステップ（Ｓ１００２）と、不正検知ステップの判定結果を元に、所定の条件を満たした時に、所定の設定に従い、送信フレームの切り替え処理を行う切り替え判定ステップ（Ｓ１００５）を備える。

Description

不正対処方法、不正対処装置および通信システム
　本発明は、車載ネットワーク上で通信異常発生時にもフレームを送信する方法、システム、及び、装置に関する。
　近年、自動車の中のシステムには、電子制御ユニット（以下、ＥＣＵ）と呼ばれる装置が多数配置されている。これらのＥＣＵをつなぐネットワークを車載ネットワークと呼ばれる。車載ネットワークには、多数の規格が存在する。その中でも、現在、主流となっているＣｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ（以下ＣＡＮ）よりも高速、高信頼プロトコルとして設計されたＦｌｅｘＲａｙという規格が存在する。
　ＦｌｅｘＲａｙでは２本のより線の電圧差により“０”の値と“１”の値を表す。バスに接続されているＥＣＵはノードと呼ばれる。バスに接続されている各ノードは、フレームと呼ばれるメッセージを送受信する。ＦｌｅｘＲａｙはＴｉｍｅ　Ｄｉｖｉｓｉｏｎ　Ｍｕｌｔｉｐｌｅ　Ａｃｃｅｓｓ（以下ＴＤＭＡ）方式であり、各ノードは予め決められたタイミングでフレームを送信する。
　ＦｌｅｘＲａｙでは、最大の時間単位であるサイクルが存在し、各ノードはグローバルタイムを同期している。サイクルは「静的セグメント」「動的セグメント」「シンボルウィンドウ」「ネットワークアイドルタイム」の４つのセグメントから構成され、動的セグメントとシンボルウィンドウはオプションである。各ノードは静的セグメントと動的セグメントにおいてフレームを送信する。静的セグメントと動的セグメントは、さらにスロットと呼ばれる１つのフレームを送信することができる時間から構成される。
　ＦｌｅｘＲａｙでは送信先や送信元を示す識別子は存在せず、送信ノードはフレーム毎に予め定められた送信タイミングであるスロット番号に基いてフレームを送信する。各受信ノードは予め決められたスロット番号のフレームのみを受信する。また、同一のスロット番号のフレームであっても、サイクルによって異なるフレームの通信を実現する「サイクルマルチプレキシング」と呼ばれる方法が用いられることもある。
　また、ＦｌｅｘＲａｙでは、ＣＡＮのように全てのノードが１つのバスに接続されるバス型ネットワークトポロジだけでなく、スターカプラを介したスター型のネットワークトポロジや、バス型とスター型のハイブリッド型のネットワークトポロジを設計することが可能である。
　一方、セキュリティに関しては、ＣＡＮでは、攻撃者がＣＡＮのバスにアクセスし、不正フレームを送信することで、ＥＣＵを不正制御するといった脅威が存在し、セキュリティ対策が検討されている。
　例えば特許文献１では、車載ネットワーク監視装置を提案しており、フレームがあらかじめ規定された通信間隔でＣＡＮに送信されているかを検出し、規定された通信間隔から外れるフレームを不正と判断することで、不正フレームによる制御を防止する方法が開示されている。
特許第５６６４７９９号公報
　しかしながら、特許文献１のような不正検知手法による方法は、ＴＤＭＡ方式を採用しているＦｌｅｘＲａｙでは、予め規定された通信間隔で通信を行うため、適用することができない。
　本発明は、上記課題を解決するため、不正に送信されるフレームを検知した後に、当該フレームを送信する通信スロットを切り替えることで、不正に送信されたフレームによる影響の範囲を低減することにより安全な車載ネットワークシステムを提供することを目的とする。
　上記目的を達成するために、本発明の一態様に関わる不正対処方法は、タイムスロットに基づくタイムトリガー型の通信方式である車載ネットワークにおける不正対処方法であって、前記車載ネットワークには、１以上の電子制御装置が接続され、前記各電子制御装置は予め定められた所定のタイムスロット内でフレームを送受信し、前記電子制御装置は、前記フレームの送受信を行うフレーム送受信ステップと、不正なフレームを検知する不正検知ステップと、前記不正検知ステップの判定結果を元に、所定の条件を満たした時に、所定の設定に従い、送信フレームの切り替え処理を行う切り替え判定ステップを備える。
　本発明によれば、車載ネットワークに、不正フレームが送信されたとしても、不正なフレームを検知した後に、対処することで車載ネットワークシステム全体として、安全な状態を維持することができる。
図１は、実施の形態１における車載ネットワークシステム１０の全体構成図である。 図２は、実施の形態１におけるＦｌｅｘＲａｙ通信のサイクルを示す図である。 図３は、実施の形態１におけるＦｌｅｘＲａｙ通信のフレームフォーマットを示す図である。 図４は、実施の形態１におけるＥＣＵ２００ａの構成の一例を示す図である。 図５は、実施の形態１におけるＦｌｅｘＲａｙ通信の通信用設定パラメータの一例を示す図である。 図６は、実施の形態１におけるスターカプラ３００の構成の一例を示す図である。 図７は、実施の形態１におけるＦｌｅｘＲａｙ通信にて送信されるフレームリストの一例を示す図である。 図８は、実施の形態１におけるＦｌｅｘＲａｙ通信のフレーム送信スケジュールの一例を示す図である。 図９は、実施の形態１における切り替えテーブルの一例を示す図である。 図１０は、実施の形態１における切り替え通信のシーケンスの一例を示す図である。 図１１は、実施の形態２における車載ネットワークシステム２０の全体構成図である。 図１２は、実施の形態２におけるＥＣＵ１２００ａの構成の一例を示す図である。 図１３は、実施の形態２における切り替えテーブルの一例を示す図である。 図１４は、実施の形態２における切り替え通信のシーケンスの一例を示す図である。
　本発明の一実施様態の不正対処方法は、タイムスロットに基づくタイムトリガー型の通信方式である車載ネットワークにおける不正対処方法であって、前記車載ネットワークには、１以上の電子制御装置が接続され、前記各電子制御装置は予め定められた所定のタイムスロット内でフレームを送受信し、前記電子制御装置は、前記フレームの送受信を行うフレーム送受信ステップと、不正なフレームを検知する不正検知ステップと、前記不正検知ステップの判定結果を元に、所定の条件を満たした時に、所定の設定に従い、送信フレームの切り替え処理を行う切り替え判定ステップを備える。
　これにより、不正なフレームを検知した際に、切り替えにより車載ネットワークシステム全体として、安全な状態を維持することができる。
　さらに、本発明の一実施態様の不正対処方法は、前記不正検知ステップとして、所定の攻撃判定アルゴリズムにより、フレームの不正を判定することを特徴とする。
　これにより、当該車載ネットワークがサイバーセキュリティ攻撃を受けた場合でも、車載ネットワークシステム全体として、安全な状態を維持することができる。
　さらに、本発明の一実施態様の不正対処方法は、前記所定の設定として、切り替え元のスロットとして、静的スロット、または、動的スロット、のいずれか一つを指定することを特徴とする。
　これにより、特定のスロットが不正となっても、回避することが可能となる。
　さらに、本発明の一実施態様の不正対処方法は、前記所定の設定として、切り替え先のスロットとして、静的スロット、または、動的スロット、のいずれか一つを指定することを特徴とする。
　これにより、特定のスロットが不正となっても、回避することが可能となる。
　さらに、本発明の一実施態様の不正対処方法は、前記所定の設定として、切り替え先のスロットとして、フレームがまだ割り当てられていない空きスロットを指定することを特徴とする。
　これにより、全体として通信時間が増加することなく、通信をすることが可能となる。
　さらに、本発明の一実施態様の不正対処方法は、前記所定の設定として、切り替え先のスロットとして、既にフレームが割り当てられているスロットを指定することを特徴とする。
　これにより、元々空きスロットが存在しないような通信仕様の場合にでも、全体として通信時間が増加することなく、通信をすることが可能となる。
　さらに、本発明の一実施態様の不正対処方法は、前記所定の設定として、既に割り当てられているフレームのペイロードと、切り替えられたフレームのペイロードを結合することを特徴とする。
　これにより、さらに全体として通信時間が増加することなく、通信をすることが可能となる。
　さらに、本発明の一実施態様の不正対処方法は、前記所定の設定として、切り替え先のスロットとして、新たにスロットを追加することを特徴とする。
　これにより、通常時の通信仕様に依存することなく、通信することが可能となる。
　さらに、本発明の一実施態様の不正対処方法は、前記所定の設定として、既に割り当てられているフレームのペイロードと、切り替えられたフレームのペイロードを交換することを特徴とする。
　これにより、特定のペイロードの送受信を行うだけで通常時は複数スロットのフレームを送受信する必要のある情報を送受信することが可能となる。
　さらに、本発明の一実施態様の不正対処方法は、前記所定の条件として、前記通信方式に従ったエラーの発生を検知することで、切り替え処理を行うことを特徴とする。
　これにより、追加で通知用のフレームを用意する必要が無く、切り替え処理を行うことが可能となる。
　さらに、本発明の一実施態様の不正対処方法は、前記所定の条件として、前記不正が発生したフレーム以外のフレームを検知することで、切り替え処理を行うことを特徴とする。
　これにより、ネットワークプロトコルに依存することなく、切り替え処理を行うことが可能となる。
　さらに、本発明の一実施態様の不正対処方法は、前記所定の条件として、予め設定された前記車載ネットワークを搭載する車両の状態に応じて、切り替え処理を行うことを特徴とする。
　これにより、車両状態に応じて適切な切り替え処理を規定することが可能となり、通常時との差分を抑えることが可能となる。
　さらに、本発明の一実施態様の不正対処方法は、前記車両の状態として、駐車中と、停車中と、走行中と、のいずれか一つの状態であることを特徴とする。
　これにより、駐車中と、停車中と、走行中のいずれかの状態に応じて適切な切り替え処理を規定することが可能となり、通常時との差分を抑えることが可能となる。
　さらに、タイムスロットに基づくタイムトリガー型の通信方式である車載ネットワークにおける通信システムであって、前記車載ネットワークには、１以上の電子制御装置が接続され、前記各電子制御装置は予め定められた所定のタイムスロット内でフレームを送受信し、前記電子制御装置は、前記フレームの送受信を行うフレーム送受信ステップと、不正なフレームを検知する不正検知ステップと、前記不正検知ステップの判定結果を元に、所定の条件を満たした時に、所定の設定に従い、送信フレームの切り替え処理を行う切り替え判定ステップを備える、ことを特徴とする。
　これにより、不正なフレームを検知した際に、切り替えにより車載ネットワークシステム全体として、安全な状態を維持することができる。
　さらに、タイムスロットに基づくタイムトリガー型の通信方式である車載ネットワークにおける通信システムにおいて、前記車載ネットワークに、１つ以上接続される電子制御装置であって、前記各電子制御装置は予め定められた所定のタイムスロット内でフレームを送受信し、前記フレームの送受信を行うフレーム送受信部と、不正なフレームを検知する不正検知部と、前記不正検知ステップの判定結果を元に、所定の条件を満たした時に、所定の設定に従い、送信フレームの切り替え処理を行う切り替え判定部を備える、ことを特徴とする。
　これにより、不正なフレームを検知した際に、切り替えにより車載ネットワークシステム全体として、安全な状態を維持することができる。
　以下、図面を参照しながら、本発明の実施の形態に関わる不正対処方法について説明する。なお、以下で説明する実施の形態は、いずれも本発明の好ましい一具体例を示す。つまり、以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置および接続形態、ステップ、ステップの順序などは、本発明の一例であり、本発明を限定する主旨ではない。本発明は、請求の範囲の記載に基づいて特定される。したがって、以下の実施の形態における構成要素のうち、本発明の最上位概念を示す独立請求項に記載されていない構成要素は、本発明の課題を達成するために必ずしも必要ではないが、より好ましい形態を構成する構成要素として説明される。
　（実施の形態１）
　１．システムの構成
　ここでは、本発明の実施の形態として、車載ネットワークシステム１０について図面を参照しながら説明する。
　１．１　車載ネットワークシステム１０の全体構成
　図１は、本発明に係る車載ネットワークシステム１０の全体構成を示す図である。車載ネットワークシステム１０は、ＦｌｅｘＲａｙバス１００ａ、１００ｂ、１００ｃ、１００ｄと、各バスに接続される、ＥＣＵ２００ａ、２００ｂ、２００ｃ、２００ｄと、各ＥＣＵの制御対象である前方カメラ２１０、ギア２２０、ブレーキ２３０、後方カメラ２４０と、各ＦｌｅｘＲａｙバスを接続するスターカプラ３００と、から構成される。ＥＣＵ２００ａ～２００ｄは、ＦｌｅｘＲａｙバスを通じて、フレームの送受信を行うことで、車両の制御を実現する。また、ＦｌｅｘＲａｙバス１００ａ、１００ｂ、１００ｃ、１００ｄは、どのバスにも同じ信号が流れるようにスターカプラが信号の整形を行い、各ＥＣＵは、ＦｌｅｘＲａｙバスを通じて同期をとっている。
　１．２　ＦｌｅｘＲａｙサイクル
　図２は、本発明に係るＦｌｅｘＲａｙ通信のサイクルを示す図である。ＦｌｅｘＲａｙの通信はサイクル（Ｃｙｃｌｅ）と呼ばれる単位で行われ、サイクルの繰り返し回数（サイクルカウンタ）を各ノードが同期して保持しており、サイクルカウンタは０～６３の値をとる。サイクルカウンタが６３である次のサイクルはサイクルカウンタを０にリセットする。
　各サイクルは、静的セグメント（Ｓｔａｔｉｃ　ｓｅｇｍｅｎｔ）、動的セグメント（Ｄｙｎａｍｉｃ　ｓｅｇｍｅｎｔ）、シンボルウィンドウ（Ｓｙｍｂｏｌ　ｗｉｎｄｏｗ）、ネットワークアイドルタイム（ＮＩＴ）の４つのセグメントから構成される。各セグメントの時間は予め設計されたパラメータによって、ＦｌｅｘＲａｙネットワーク全体（クラスタ）で共通であるため、１サイクルの時間も同様にクラスタで共通である。
　静的セグメントは、複数のスロットから構成される。スロットの個数、および各スロットの時間はクラスタ内で共通である。またＦｌｅｘＲａｙフレームは１スロット内に１つのフレームが送信され、スロットの番号がフレームの識別子（Ｆｒａｍｅ　ＩＤ）となる。各ＥＣＵは予め定められたタイミング（スロット番号）で、フレームの送信を行うように設計されている。静的セグメント内で送信されるフレームを静的フレームとよぶ。静的フレームは、ペイロード長がクラスタ内で共通となっている。
　動的セグメントは、ミニスロットと呼ばれるスロットから構成される。ミニスロットにも同様にスロット番号が存在し、各ＥＣＵは、予め定められたタイミング（スロット番号）で送信を行うように設計されているが、静的セグメントと異なり、必ずしもフレームの送信を行う必要はない。動的セグメント内で送信されるフレーム動的フレームとよぶ。動的フレーは、ペイロード長として０～２５４の任意の値をとることができる。
　シンボルウィンドウは、シンボルと呼ばれる信号の送受信を行う時間帯である。
　ネットワークアイドルタイムは、通信を行わない時間帯であり、サイクルの最後に必ず設けられる。各ＥＣＵは、時刻の同期処理等を行う。
　１．３　フレームフォーマット
　図３は、本発明に係るＦｌｅｘＲａｙプロトコルのフレームフォーマットを示す図である。フレームは、Ｈｅａｄｅｒ　Ｓｅｇｍｅｎｔ、Ｐａｙｌｏａｄ　Ｓｅｇｍｅｎｔ、Ｔｒａｉｌｅｒ　Ｓｅｇｍｅｎｔの３つのセグメントから構成される。
　Ｈｅａｄｅｒ　ＳｅｇｍｅｎｔはＲｅｓｅｒｖｅｄ　ｂｉｔから始まり、フレームの種別を表すための、Ｐａｙｌｏａｄ　ｐｒｅａｍｂｌｅ　ｉｎｄｉｃａｔｏｒ、Ｎｕｌｌ　ｆｒａｍｅ　ｉｎｄｉｃａｔｏｒ、Ｓｙｎｃ　ｆｒａｍｅ　ｉｎｄｉｃａｔｏｒ、Ｓｔａｒｔｕｐ　ｆｒａｍｅ　ｉｎｄｉｃａｔｏｒがそれぞれ１ビットずつ含まれる。さらに１１ビットのＦｒａｍｅ　ＩＤと、７ビットのＰａｙｌｏａｄ　ｌｅｎｇｔｈ、１１ビットのＨｅａｄｅｒ　ＣＲＣ、６ビットのＣｙｃｌｅ　ｃｏｕｎｔから構成される。Ｆｒａｍｅ　ＩＤは、スロットＩＤとも呼ばれ、フレームの送信タイミング及び、フレームの内容を識別するために用いられる。Ｐａｙｌｏａｄ　ｌｅｎｇｔｈは最大１２７の値をとり得る。Ｐａｙｌｏａｄ　ＳｅｇｍｅｎｔにはＰａｙｌｏａｄ　ｌｅｎｇｔｈの値に２をかけたバイト数が格納される。Ｈｅａｄｅｒ　ＣＲＣはＳｙｎｃ　ｆｒａｍｅ　ｉｎｄｉｃａｔｏｒからＰａｙｌｏａｄ　ｌｅｎｇｔｈまでを含んだ値から計算されるチェックサムである。Ｃｙｃｌｅ　ｃｏｕｎｔは、現在のサイクル数が格納される。
　Ｐａｙｌｏａｄ　Ｓｅｇｍｅｎｔには、フレームの内容を表すデータが含まれる。Ｐａｙｌｏａｄ　ｌｅｎｇｔｈの値の２倍のバイト数が格納されており、最大で２５４バイトが格納される。
　Ｔｒａｉｌｅｒ　Ｓｅｇｍｅｎｔにはフレームの全てを含んだ値から計算されるＣＲＣが格納されている。
　１．４　ＥＣＵ２００ａの構成図
　図４は、本発明に係るＥＣＵ２００ａの構成を示す図である。なお、ＥＣＵ２００ｂ、ＥＣＵ２００ｃ、ＥＣＵ２００ｄも同様の構成であるので、ここでは説明を省略する。
　ＥＣＵ２００ａは、フレーム送受信部２０１と、通信用設定パラメータ保持部２０２と、フレーム解釈部２０３と、外部機器制御部２０４と、フレーム生成部２０５と、不正判定部２０６と、切り替え判定部２０７と、切り替えテーブル保持部２０８と、から構成される。
　フレーム送受信部２０１は、バス１００ａから受信した物理信号を、デジタル信号に復号することでフレームの情報を取得する。フレーム送受信部２０１は通信用設定パラメータ保持部２０２に保持される、通信用設定パラメータを参照することで、他のＥＣＵと時刻を同期し、正しくフレームを受信することができる。またフレーム送受信部２０１は、フレーム生成部２０５から、通知される送信フレーム要求に従い、予め定められたタイミングで、フレームを物理信号に変換して、バス１００ａに送信する。
　通信用設定パラメータ保持部２０２は、物理信号を正しく、デジタル信号に変換するための、クラスタ内で共通のパラメータが保持されている。図５に通信用設定パラメータ保持部２０２に保持される通信用設定パラメータの一例を示し、詳細は後述する。
　フレーム解釈部２０３は、フレーム送受信部２０１から通知される受信したフレームに含まれるペイロードを解釈し、ペイロードの内容に応じてＥＣＵ２００ａに接続される前方カメラ２１０の制御を行うために外部機器制御部２０４へ通知を行う。例えば、他のＥＣＵから通知される車両の速度の情報に基づいて、走行状態を判断し、走行状態に応じたカメラ撮影内容の調整を行う。また、フレームに含まれるＩＤ、ペイロードなどの受信内容を不正判定部２０６へ通知する。
　外部機器制御部２０４は、ＥＣＵ２００ａに接続される前方カメラ２１０の制御を行う。また前方カメラ２１０からの通知内容に応じて、他のＥＣＵに状態を通知するためのフレーム送信要求をフレーム生成部２０５に通知する。例えば、前方の歩行者の有無を通知する。
　フレーム生成部２０５は、通知された信号に基づいて、フレームの生成を行い、フレーム送受信部２０１へ送信要求を行う。
　不正判定部２０６は、フレーム解釈部２０３から通知されるＩＤ、ペイロードなどの受信内容を基に、受信したフレームが不正かどうかを判定する。本実施例では、シンタックスエラーなどのエラーを同一ＩＤにて受信した場合、不正と判定する。不正と判定された場合、その旨を切り替え判定部２０７と、フレーム生成部２０５へと通知する。
　切り替え判定部２０７は、不正判定部２０６から通知される判定結果を基に、切り替えテーブル保持部２０８から通知される切り替えテーブルの内容を参照し、送信内容を変更するよう、フレーム生成部２０５へと通知する。
　切り替えテーブル保持部２０８は、不正検知結果に応じて送信内容を切り替えるために必要となる切り替えテーブルを保持する。
　１．５　通信用設定パラメータの一例
　図５は、通信用設定パラメータ保持部２０２に格納されている通信用設定パラメータの一例を示している。通信用設定パラメータとしては、通信の速度を表すボーレートが１０Ｍｂｐｓであることと、静的セグメントのスロットＩＤが１～５０であること、動的セグメントのスロットＩＤが５１～１００であることを示している。また静的スロットのペイロード長が８（つまり１６バイト）であることが示されている。これらの値は、クラスタ内のＥＣＵ全てに共有されており、これらの値を元にＦｌｅｘＲａｙフレームの送受信を実現する。なお通信用設定パラメータの値は一例に過ぎず、別の値であっても構わない。また、ここで示したパラメータも一例に過ぎず、図５に記載のないパラメータ（例えば、各セグメントの長さや、スロットの長さ等）が含まれていてもよいし、逆に記載されているパラメータの一部が含まれていなくてもよい。
　１．６　スターカプラ３００の構成図
　図６は、スターカプラ３００の構成図である。スターカプラ３００は、トランシーバ部３０１ａ、３０１ｂ、３０１ｃ、３０１ｄとルーティング部３０２とから構成される。なお、トランシーバ部３０１ｂ、３０１ｃ、３０１ｄは、トランシーバ部３０１ａと同様のため、説明を省略する。
　トランシーバ部３０１ａは、バス１００ａから受信した物理信号を、デジタル信号に変換し、ルーティング部３０２へ通知する。またデジタル信号をルーティング部３０２から通知された場合は、通知されたデジタル信号を、物理信号へ変換し、バス１００ａへ転送する。
　ルーティング部３０２は、トランシーバ部３０１ａから通知されたデジタル信号を、トランシーバ部３０１ａを除くトランシーバ部３０１ｂ、３０１ｃ、３０１ｄ、３０１ｅへ転送する。同様にトランシーバ部３０１ｂからデジタル信号を通知された場合は、トランシーバ部３０１ｂを除く、トランシーバ部に対して、デジタル信号を通知する。ルーティング部は複数のトランシーバ部から、デジタル信号を受信した場合は、最初にデジタル信号を受信したバスからの信号を、他のトランシーバ部へ通知する。
　１．７　フレームリストの一例
　図７は、ＥＣＵ２００ａによって送受信されるフレームリストの一例を示している。
　図７では、スロットＩＤとＣｙｃｌｅ　ｏｆｆｓｅｔ、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎ、フレーム名、フレームに含まれるペイロード情報が保持されている。Ｃｙｃｌｅ　ｏｆｆｓｅｔとＣｙｃｌｅ　ｒｅｃｅｐｔｉｏｎは、サイクル多重化（サイクルマルチプレキシング）と呼ばれる同じスロットＩＤであっても異なる内容のフレームを送受信する方法が用いられるときに対象のフレームを抽出するために必要な情報である。例えば、スロットＩＤが９８のフレームには２つのフレーム名が存在し、それぞれのフレームで前方カメラ情報１、前方カメラ情報２の異なる内容を通知する。前方カメラ情報１ではＣｙｃｌｅ　ｏｆｆｓｅｔが０で、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが２である。これはサイクルカウンタが０からスタートし、２サイクルごとに当該フレームを送信することを意味する。つまり前方カメラ情報１が通知されるフレームＣが送信されるのは、サイクルカウンタが、０、２、４、６、・・・、５８、６０、６２のスロットＩＤが９８のときに送信されることを示している。同様に前方カメラ情報２を含むフレームＤは、サイクルカウンタが１、３、５、・・・５９、６１、６３のスロットＩＤが９９のときに送信される。上記のように異なるフレームを同一スロットＩＤで送信する方法をサイクルマルチ多重化とよぶ。同様に、スロットＩＤが９９のフレームにも２つのフレーム名が存在し、それぞれのフレームで後方カメラ情報１、後方カメラ情報２の異なる内容を通知する。後方カメラ情報１を含むフレームＥは、サイクルカウンタが０、２、４、・・・、５８、６０、６２のサイクルＩＤが９９の時に送信され、後方カメラ情報２が含まれるフレームＦは、サイクルカウンタが１、３、５、・・・、５９、６１、６３のサイクルＩＤが９９の時に送信される。
　図７では、スロットＩＤが１であり、Ｃｙｃｌｅ　Ｏｆｆｓｅｔが０、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが１（つまり全てのサイクルで同一フレームが送信される。）のフレームはフレーム名がＡであり、フレームＡのペイロードには速度に関する情報が含まれることを示している。スロットＩＤが２には、フレームが送信されないことを示している。スロットＩＤが３であり、Ｃｙｃｌｅ　Ｏｆｆｓｅｔが０、Ｃｙｃｌｅ　Ｒｅｃｅｐｔｉｏｎが２（つまりサイクルカウンタが偶数のときのみ送信される）のフレームはフレーム名がＢであり、フレームＢのペイロードにはギア状態に関する情報が含まれることを示している。スロットＩＤが９８であり、Ｃｙｃｌｅ　Ｏｆｆｓｅｔが０、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが２のフレームはフレーム名がＣであり、フレームＣのペイロードには前方カメラ情報１に関する情報が含まれることを示している。スロットＩＤが９８であり、Ｃｙｃｌｅ　Ｏｆｆｓｅｔが１、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが２のフレームはフレーム名がＤであり、フレームＤのペイロードには前方カメラ情報２に関する情報が含まれることを示している。スロットＩＤが９９であり、Ｃｙｃｌｅ　Ｏｆｆｓｅｔが０、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが２のフレームはフレーム名がＥであり、フレームＥのペイロードには後方カメラ情報１に関する情報が含まれることを示している。スロットＩＤが９９であり、Ｃｙｃｌｅ　Ｏｆｆｓｅｔが１、Ｃｙｃｌｅ　ｒｅｃｅｐｔｉｏｎが２のフレームはフレーム名がＦであり、フレームＦのペイロードには後方カメラ情報２に関する情報が含まれることを示している。また、フレームＡおよびＢは静的セグメント内で送信される静的フレームであり、フレームＣからフレームＦは動的セグメント内で送信される動的フレームである。
　図８に、図７のフレームリストの例におけるフレーム送信スケジュールを示している。横軸がスロットＩＤを示しており、縦軸がサイクルを示している。スロットＩＤとサイクルで定まるセルには、送信されるフレーム名が記載されている。図では、フレームＣからフレームＦは、所定のサイクルで送信されているが、当該フレームは動的フレームであるため、送信されない場合もある。
　１．８　切り替えテーブルの一例
　図９は、切り替えテーブルの一例を示している。本実施例では、ＩＤが１、３、９８、９９のフレームにて不正が発生した場合に、それぞれＩＤが９７、１００、９９、９８へと切り替える内容を示している。
　１．９　切り替え通信シーケンスの一例
　図１０は、ＥＣＵ２００ａにて不正を検知し、切り替えを実施するシーケンスの一例を示している。
　（Ｓ１００１）ＥＣＵ２００ａは、ＦｌｅｘＲａｙにおけるエラーの有無を検出する。
　（Ｓ１００２）ＥＣＵ２００ａは、同一ＩＤによるエラーかどうかを判断するためのカウンタによって、同一ＩＤによるエラーが複数回発生しているかどうかを判断する。
　（Ｓ１００３）ＥＣＵ２００ａは、対象ＩＤのエラーカウンタをカウントアップする。
　（Ｓ１００４）ＥＣＵ２００ａは、切り替えテーブルを参照し、対象ＩＤに該当する切り替え処理を発見する。
　（Ｓ１００５）ＥＣＵ２００ａは、ＩＤ設定の切り替えを実施する。
　（Ｓ１００６）ＥＣＵ２００ａは、対象ＩＤのエラーカウンタをクリアする。
　１．１０　実施の形態１の効果
　実施の形態１で示した不正対処方法は、不正を検知したＥＣＵが切り替えテーブルを用いて、送信するフレームの送信スロットを動的に変更することで、不正なフレームによる通信妨害を回避し、通常の通信を維持することができる。また、予め空けておいた通信スロットを有効活用することで、通信量を増加させることなく、フレームを送信することが可能となる。
　（実施の形態２）
　２．システムの構成
　ここでは、本発明の実施の形態として、車載ネットワークシステム２０について図面を参照しながら説明する。
　２．１　車載ネットワークシステム２０の全体構成
　図１１は、本発明に係る車載ネットワークシステム２０の全体構成を示す図である。車載ネットワークシステム２０は、ＦｌｅｘＲａｙバス１００ａ、１００ｂ、１００ｃ、１００ｄと、各バスに接続される、ＥＣＵ１２００ａ、１２００ｂ、１２００ｃ、１２００ｄと、各ＥＣＵの制御対象である前方カメラ２１０、ギア２２０、ブレーキ２３０、後方カメラ２４０と、各ＦｌｅｘＲａｙバスを接続するスターカプラ３００と、から構成される。なお、実施の形態１と同一の構成要素は、同一の番号を付与し、説明を省略する。
　２．２　ＥＣＵ１２００ａの構成図
　図１２は、本発明に係るＥＣＵ１２００ａの構成を示す図である。なお、ＥＣＵ１２００ｂ、ＥＣＵ１２００ｃ、ＥＣＵ１２００ｄも同様の構成であるので、ここでは説明を省略する。
　ＥＣＵ１２００ａは、フレーム送受信部２０１と、通信用設定パラメータ保持部２０２と、フレーム解釈部１２０３と、外部機器制御部２０４と、フレーム生成部２０５と、不正判定部２０６と、切り替え判定部１２０７と、切り替えテーブル保持部２０８と、車両状態判定部１２０９と、から構成される。なお、実施の形態１と同一の構成要素は、同一の番号を付与し、説明を省略する。
　フレーム解釈部１２０３は、フレーム送受信部２０１から通知される受信したフレームに含まれるペイロードを解釈し、ペイロードの内容に応じてＥＣＵ２００ａに接続される前方カメラ２１０の制御を行うために外部機器制御部２０４へ通知を行う。例えば、他のＥＣＵから通知される車両の速度の情報に基づいて、走行状態を判断し、走行状態に応じたカメラ撮影内容の調整を行う。また、フレームに含まれるＩＤ、ペイロードなどの受信内容を不正判定部２０６と、車両状態判定部１２０９と、へ通知する。
　切り替え判定部１２０７は、不正判定部２０６から通知される判定結果と、車両状態判定部１２０９から通知される車両状態と、を基に、切り替えテーブル保持部２０８から通知される切り替えテーブルの内容を参照し、送信内容を変更するよう、フレーム生成部２０５へと通知する。
　車両状態判定部１２０９は、フレーム解釈部１２０３から通知されるＩＤ、ペイロードなどの受信内容を基に、現在の車両の状態を判定する。例えば、他ＥＣＵが判定した結果をペイロードとして含むフレームを受信しても良いし、速度やギアなどの情報を元に各ＥＣＵの車両判定部１２０９で判定するとしても良い。
　２．３　切り替えテーブルの一例
　図１３は、切り替えテーブルの一例を示している。本実施例では、車両の状態がどんな状態であっても、ＩＤが１、３、それぞれＩＤが９７、１００へと切り替える内容を示している。また、車両の状態が走行中の場合のみ、ＩＤが９８、９９、それぞれＩＤが９９、９８へと切り替える内容を示している。
　２．４　切り替え通信シーケンスの一例
　図１４は、ＥＣＵ１２００ａにて不正を検知し、切り替えを実施するシーケンスの一例を示している。なお、図１０と同一の処理ステップには同一の番号を付与し、説明を省略する。
（Ｓ２００７）ＥＣＵ１２００ａは、現在の車両状態と切り替えテーブルを比較し、対象ＩＤを切り替える必要があるかどうかを判定する。
　２．５　実施の形態２の効果
　実施の形態２で示した不正対処方法は、不正を検知したＥＣＵが特定の車両状態に対応した切り替えテーブルを用いて、送信するフレームの送信スロットを動的に変更することで、不正なフレームによる通信妨害を回避し、通常の通信を維持することができる。また、予め空けておいた通信スロットを有効活用することで、通信量を増加させることなく、フレームを送信することが可能となる。また、特定の車両状態に限定することで、通常時の通信からの変更を最小限に抑え、通常の通信を維持することができる。
　３．　その他変形例
　なお、本発明を上記各実施の形態に基づいて説明してきたが、本発明は、上記各実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。
　（１）上記実施の形態１では、切り替えテーブルは静的に保持している例を示したが、通信開始後、空いているスロットを動的に探索の上、作成するとしても良い。また、その際には、通信開始時にお互いのテーブルを共有するための同期フレームを新たに送信するとしてもよい。
　（２）上記実施の形態１では、切り替え前のスロットから、切り替え後のスロットへ、送信フレームを切り替える例を示したが、両方送信し続けるとしても良い。また、その場合には両スロットにて送信されるフレームの内容を比較の上、同一だった場合のみ採用する、あるいは両スロットにて送信されるフレームの内容に差異があった場合、切り替え後のスロットにて送信されるフレームの内容のみ採用するとしても良い。
　（３）上記実施の形態では、フレームのエラーを検知することで、切り替えを行いましたが、不正検知方法はこれに限定しない。予め決められたペイロードから外れる場合に検知するとしても良いし、前フレームからの差分が急な場合に不正と判断するとしても良い。また上記のような不正検知結果を、予め双方にて決めておいた別スロットで通信相手に通知するとしても良い。
　（４）上記実施の形態では、切り替えるＩＤを静的スロットから動的スロットへと切り替える例を示したが、動的スロットから静的スロットへ、または、動的スロット同士、または静的スロット同士で切り替えるとしても良い。
　（５）上記実施の形態では、切り替える内容をＩＤ毎にしたが、ペイロードの位置を切り替えるとしても良い。元々空きとなっているペイロード位置に変更しても良いし、元々あるペイロード位置とスイッチするとしても良い。
　（６）上記の実施の形態では、車載ネットワークとしてＦｌｅｘＲａｙプロトコルを用いていたが、これに限るものではない。例えば、ＣＡＮ－ＦＤ（ＣＡＮ　ｗｉｔｈ　Ｆｒｅｘｉｂｌｅ　Ｄａｔａ　Ｒａｔｅ）、Ｅｔｈｅｒｎｅｔ、ＬＩＮ（Ｌｏｃａｌ　Ｉｎｔｅｒｃｏｎｎｅｃｔ　Ｎｅｔｗｏｒｋ）、ＭＯＳＴ（Ｍｅｄｉａ　Ｏｒｉｅｎｔｅｄ　Ｓｙｓｔｅｍｓ　Ｔｒａｎｓｐｏｒｔ）などを用いてもよい。あるいはこれらのネットワークをサブネットワークとして、組み合わせたネットワークであってもよい。
　（７）上記の実施の形態における各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記録されている。マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
　（８）上記の実施の形態における各装置は、構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。ＲＡＭには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。
　また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部又はすべてを含むように１チップ化されてもよい。
　また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサーを利用しても良い。
　さらには、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。
　（９）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。ＩＣカードまたは前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。ＩＣカードまたは前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、ＩＣカードまたは前記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。
　（１０）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。
　また、本発明は、コンピュータプログラムまたはデジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標）　Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。
　また、本発明は、前記コンピュータプログラムまたは前記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。
　また、本発明は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記録しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしてもよい。
　また、前記プログラムまたは前記デジタル信号を前記記録媒体に記録して移送することにより、または前記プログラムまたは前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
　（１１）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
　本発明は、車載ネットワークシステム全体として、安全な状態を維持することができる。
　１０、２０　車載ネットワークシステム
　１００ａ、１００ｂ、１００ｃ、１００ｄ　バス
　２００ａ、２００ｂ、２００ｃ、２００ｄ、１２００ａ、１２００ｂ、１２００ｃ、１２００ｄ　ＥＣＵ
　２１０　前方カメラ
　２２０　ギア
　２３０　ブレーキ
　２４０　後方カメラ
　３００　スターカプラ

Claims (15)

  1. 　タイムスロットに基づくタイムトリガー型の通信方式である車載ネットワークにおける不正対処方法であって、
    　前記車載ネットワークには、１以上の電子制御装置が接続され、
    　前記１以上の電子制御装置は予め定められた所定のタイムスロット内でフレームを送受信し、
    　前記電子制御装置は、
    　前記フレームの送受信を行うフレーム送受信ステップと、
    　不正なフレームを検知する不正検知ステップと、
    　前記不正検知ステップの判定結果を元に、所定の条件を満たした時に、所定の設定に従い、送信フレームの切り替え処理を行う切り替え判定ステップを備える、
    　ことを特徴とする不正対処方法。
  2. 　前記不正検知ステップは、
    　所定の攻撃判定アルゴリズムにより、フレームの不正を判定する、
    　ことを特徴とする請求項１記載の不正対処方法。
  3. 　前記所定の設定とは、
    　切り替え元のスロットとして、静的スロット、または、動的スロット、のいずれか一つを指定する、
    　ことを特徴とする請求項１記載の不正対処方法。
  4. 　前記所定の設定とは、
    　切り替え先のスロットとして、静的スロット、または、動的スロット、のいずれか一つを指定する、
    　ことを特徴とする請求項１記載の不正対処方法。
  5. 　前記所定の設定とは、
    　切り替え先のスロットとして、フレームがまだ割り当てられていない空きスロットを指定する、
    　ことを特徴とする請求項１記載の不正対処方法。
  6. 　前記所定の設定とは、
    　切り替え先のスロットとして、既にフレームが割り当てられているスロットを指定する、
    　ことを特徴とする請求項１記載の不正対処方法。
  7. 　前記所定の設定とは、
    　切り替え先のスロットとして、新たにスロットを追加する、
    　ことを特徴とする請求項１記載の不正対処方法。
  8. 　前記所定の設定とは、
    　既に割り当てられているフレームのペイロードと、切り替えられたフレームのペイロードを結合する、
    　ことを特徴とする請求項６記載の不正対処方法。
  9. 　前記所定の設定とは、
    　既に割り当てられているフレームのペイロードと、切り替えられたフレームのペイロードを交換する、
    　ことを特徴とする請求項１記載の不正対処方法。
  10. 　前記所定の条件とは、
    　前記通信方式に従ったエラーの発生を検知することで、切り替え処理を行う、
    　ことを特徴とする請求項１記載の不正対処方法。
  11. 　前記所定の条件とは、
    　前記不正が発生したフレーム以外のフレームを検知することで、切り替え処理を行う、
    　ことを特徴とする請求項１記載の不正対処方法。
  12. 　前記所定の条件とは、
    　予め設定された前記車載ネットワークを搭載する車両の状態に応じて、切り替え処理を行う、
    　ことを特徴とする請求項１記載の不正対処方法。
  13. 　前記車両の状態とは駐車中と、停車中と、走行中と、のいずれか一つの状態である、
    　ことを特徴とする請求項１２記載の不正対処方法。
  14. 　タイムスロットに基づくタイムトリガー型の通信方式である車載ネットワークにおける通信システムであって、
    　前記車載ネットワークには、１以上の電子制御装置が接続され、
    　前記１以上の電子制御装置は予め定められた所定のタイムスロット内でフレームを送受信し、
    　前記電子制御装置は、
    　前記フレームの送受信を行うフレーム送受信ステップと、
    　不正なフレームを検知する不正検知ステップと、
    　前記不正検知ステップの判定結果を元に、所定の条件を満たした時に、所定の設定に従い、送信フレームの切り替え処理を行う切り替え判定ステップを備える、
    　ことを特徴とする通信システム。
  15. 　タイムスロットに基づくタイムトリガー型の通信方式である車載ネットワークにおける通信システムにおいて、
    　前記車載ネットワークに、１つ以上接続される電子制御装置であって、
    　前記１以上の電子制御装置は予め定められた所定のタイムスロット内でフレームを送受信し、
    　前記フレームの送受信を行うフレーム送受信部と、
    　不正なフレームを検知する不正検知部と、
    　前記不正検知ステップの判定結果を元に、所定の条件を満たした時に、所定の設定に従い、送信フレームの切り替え処理を行う切り替え判定部を備える、
    　ことを特徴とする不正対処装置。
PCT/JP2018/028297 2018-07-27 2018-07-27 不正対処方法、不正対処装置および通信システム WO2020021715A1 (ja)

Priority Applications (8)

Application Number Priority Date Filing Date Title
PCT/JP2018/028297 WO2020021715A1 (ja) 2018-07-27 2018-07-27 不正対処方法、不正対処装置および通信システム
CN201980007100.8A CN111543033B (zh) 2018-07-27 2019-07-23 不正当应对方法及不正当应对装置
CN202210916502.3A CN115296884A (zh) 2018-07-27 2019-07-23 不正当应对方法及不正当应对装置
JP2020532409A JP7362613B2 (ja) 2018-07-27 2019-07-23 不正対処方法、及び、不正対処装置
PCT/JP2019/028836 WO2020022327A1 (ja) 2018-07-27 2019-07-23 不正対処方法、及び、不正対処装置
EP19841334.6A EP3832955A4 (en) 2018-07-27 2019-07-23 FRAUD HANDLING PROCEDURE AND FRAUD HANDLING DEVICE
US17/031,224 US12083971B2 (en) 2018-07-27 2020-09-24 Anomaly handling method and anomaly handling device
JP2023173115A JP2023168558A (ja) 2018-07-27 2023-10-04 不正対処方法、不正対処装置、及び、プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2018/028297 WO2020021715A1 (ja) 2018-07-27 2018-07-27 不正対処方法、不正対処装置および通信システム

Publications (1)

Publication Number Publication Date
WO2020021715A1 true WO2020021715A1 (ja) 2020-01-30

Family

ID=69180649

Family Applications (2)

Application Number Title Priority Date Filing Date
PCT/JP2018/028297 WO2020021715A1 (ja) 2018-07-27 2018-07-27 不正対処方法、不正対処装置および通信システム
PCT/JP2019/028836 WO2020022327A1 (ja) 2018-07-27 2019-07-23 不正対処方法、及び、不正対処装置

Family Applications After (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/028836 WO2020022327A1 (ja) 2018-07-27 2019-07-23 不正対処方法、及び、不正対処装置

Country Status (5)

Country Link
US (1) US12083971B2 (ja)
EP (1) EP3832955A4 (ja)
JP (2) JP7362613B2 (ja)
CN (2) CN115296884A (ja)
WO (2) WO2020021715A1 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021199191A1 (ja) * 2020-03-30 2021-10-07 三菱電機株式会社 通信装置、通信システム、通信方法及びプログラム
CN114826816B (zh) * 2022-04-27 2023-03-21 中国科学院声学研究所 一种can fd总线通信方法、装置及电子设备

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009516410A (ja) * 2005-11-10 2009-04-16 エヌエックスピー ビー ヴィ 改良型チャンネル監視付きバスガーディアン
WO2013171829A1 (ja) * 2012-05-14 2013-11-21 トヨタ自動車 株式会社 車両用ネットワークの通信管理装置及び通信管理方法
WO2016116973A1 (ja) * 2015-01-20 2016-07-28 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正フレーム対処方法、不正検知電子制御ユニット及び車載ネットワークシステム
JP2017195524A (ja) * 2016-04-21 2017-10-26 三菱電機株式会社 ネットワークシステム

Family Cites Families (29)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS5664799U (ja) 1979-10-23 1981-05-30
JPH10173617A (ja) * 1996-10-11 1998-06-26 Nec Eng Ltd メジャーフレーム同期検出方法及びシステム
US8423870B1 (en) * 2008-03-24 2013-04-16 Marvell International Ltd. Method and apparatus for determining the start of a data field in a data frame
US7974647B2 (en) * 2008-05-16 2011-07-05 Mediatek Inc. Mobile apparatus and method of timing synchronization
CN101383660B (zh) * 2008-10-15 2011-05-04 北京航空航天大学 一种光纤通道网络实时监视平台和监视方法
CN101640912B (zh) * 2009-08-31 2013-07-03 中兴通讯股份有限公司 用于接入服务网络的切换方法及装置
JP5717240B2 (ja) * 2010-08-09 2015-05-13 国立大学法人名古屋大学 通信システム及び通信装置
US9225544B2 (en) * 2011-12-22 2015-12-29 Toyota Jidosha Kabushiki Kaisha Communication system and communication method
KR101301078B1 (ko) * 2012-01-27 2013-09-03 경북대학교 산학협력단 플렉스레이 네트워크 제어 시스템, 장치 및 방법
JP5843020B2 (ja) * 2012-09-19 2016-01-13 トヨタ自動車株式会社 通信装置及び通信方法
JP5919205B2 (ja) * 2013-01-28 2016-05-18 日立オートモティブシステムズ株式会社 ネットワーク装置およびデータ送受信システム
CN106105105B9 (zh) * 2014-04-03 2020-01-24 松下电器（美国）知识产权公司 网络通信系统、不正常检测电子控制单元以及不正常应对方法
EP3133774B1 (en) * 2014-04-17 2020-11-25 Panasonic Intellectual Property Corporation of America Vehicle-mounted network system, abnormality detection electronic control unit and abnormality detection method
WO2015159486A1 (ja) * 2014-04-17 2015-10-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車載ネットワークシステム、不正検知電子制御ユニット及び不正検知方法
WO2015170452A1 (ja) * 2014-05-08 2015-11-12 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車載ネットワークシステム、電子制御ユニット及び更新処理方法
CN104009867A (zh) * 2014-05-12 2014-08-27 华南理工大学 一种基于fpga的光纤以太网智能分路器的切换方法
US9813381B2 (en) * 2014-06-18 2017-11-07 Open Text Sa Ulc Flexible and secure transformation of data using stream pipes
EP3192703B1 (en) * 2014-09-12 2019-01-30 Panasonic Intellectual Property Corporation of America Vehicle communication device, in-vehicle network system, and vehicle communication method
EP3229410B1 (en) * 2014-12-01 2018-04-18 Panasonic Intellectual Property Corporation of America Illegality detection electronic control unit, car onboard network system, and illegality detection method
US9648023B2 (en) * 2015-01-05 2017-05-09 Movimento Group Vehicle module update, protection and diagnostics
JP6594732B2 (ja) * 2015-01-20 2019-10-23 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正フレーム対処方法、不正検知電子制御ユニット及び車載ネットワークシステム
CN104914405B (zh) * 2015-06-26 2018-07-17 国家电网公司 检测方法及装置
JP6585001B2 (ja) * 2015-08-31 2019-10-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知方法、不正検知電子制御ユニット及び不正検知システム
JP6684690B2 (ja) * 2016-01-08 2020-04-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知方法、監視電子制御ユニット及び車載ネットワークシステム
US10108803B2 (en) * 2016-03-31 2018-10-23 International Business Machines Corporation Automatic generation of data-centric attack graphs
JP6887108B2 (ja) * 2017-01-13 2021-06-16 パナソニックＩｐマネジメント株式会社 不正検知電子制御ユニット、電子制御ユニット、車載ネットワークシステム、不正検知方法およびコンピュータプログラム
JP6539363B2 (ja) * 2017-04-07 2019-07-03 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正通信検知方法、不正通信検知システム及びプログラム
CN109005678B (zh) * 2017-04-07 2022-05-27 松下电器（美国）知识产权公司 非法通信检测方法、非法通信检测系统以及记录介质
CN111818037A (zh) * 2020-07-02 2020-10-23 上海工业控制安全创新科技有限公司 基于信息熵的车载网络流量异常检测防御方法及防御系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009516410A (ja) * 2005-11-10 2009-04-16 エヌエックスピー ビー ヴィ 改良型チャンネル監視付きバスガーディアン
WO2013171829A1 (ja) * 2012-05-14 2013-11-21 トヨタ自動車 株式会社 車両用ネットワークの通信管理装置及び通信管理方法
WO2016116973A1 (ja) * 2015-01-20 2016-07-28 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正フレーム対処方法、不正検知電子制御ユニット及び車載ネットワークシステム
JP2017195524A (ja) * 2016-04-21 2017-10-26 三菱電機株式会社 ネットワークシステム

Also Published As

Publication number Publication date
JP7362613B2 (ja) 2023-10-17
EP3832955A4 (en) 2021-09-15
CN111543033A (zh) 2020-08-14
JPWO2020022327A1 (ja) 2021-08-02
JP2023168558A (ja) 2023-11-24
CN111543033B (zh) 2022-08-02
EP3832955A1 (en) 2021-06-09
WO2020022327A1 (ja) 2020-01-30
CN115296884A (zh) 2022-11-04
US20210001793A1 (en) 2021-01-07
US12083971B2 (en) 2024-09-10

Similar Documents

Publication Publication Date Title
WO2020021713A1 (ja) 不正検知方法および不正検知電子制御装置
ES2353395T3 (es) Recepción de tramas redundantes y no redundantes.
US11909748B2 (en) Anti-fraud control system, monitoring device, and anti-fraud control method
WO2021002261A1 (ja) 異常検知装置および異常検知方法
US11102218B2 (en) Relay device, detection method, and detection program
US20160065409A1 (en) Operation method of communication node in network
JP2019029992A (ja) ネットワーク監視器、ネットワーク監視方法およびプログラム
US20210185070A1 (en) Lightweight intrusion detection apparatus and method for vehicle network
US10749738B2 (en) Method and apparatus for diagnosing network
JP7017520B2 (ja) 通信装置、通信方法及び通信システム
CN102457402A (zh) 一种检测多主用设备冲突的方法和装置
EP4054129A1 (en) Data transmission method, device, and system
WO2020021715A1 (ja) 不正対処方法、不正対処装置および通信システム
KR20170011826A (ko) 이더넷 기반의 네트워크를 위한 보안 방법
KR102352504B1 (ko) 이더넷 스위치 정보에 기초한 미등록 장치 검증 시스템 및 방법
JP2011250127A (ja) 伝送装置、制御情報設定方法及び制御情報設定プログラム
KR102250450B1 (ko) 네트워크에서 오류 검출을 위한 통신 노드의 동작 방법
EP3832956B1 (en) Frame transfer method and secure star coupler
KR102228331B1 (ko) 네트워크에서 통신 노드의 동작 방법
EP4254880A1 (en) Hardware ethernet header verification
ES2699353T3 (es) Aparato de interfaz de comunicaciones
JP2016092631A (ja) 中継システムおよびスイッチ装置
JP2019146144A (ja) 情報処理装置、情報処理方法及びプログラム
CN102316031A (zh) 交换机系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18927274

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18927274

Country of ref document: EP

Kind code of ref document: A1