[发明专利]非法控制抑止方法、非法控制抑止装置和车载网络系统

说明书

具有经由通信路径进行包括对控制对象指示预定控制的控制帧的多个帧的收发的多个电子控制单元的网络系统所涉及的非法控制抑止方法，包括：接收步骤，从所述通信路径逐次接收多个帧；以及判定步骤，基于在通过所述接收步骤接收到的控制帧的接收时之前的预定期间内通过所述接收步骤接收到的帧的集合，判定是否应抑止基于该控制帧的所述预定控制。

技术领域

本公开涉及防止在网络中流动非法消息而非法地控制车辆等的安全对策技术。

背景技术

近年来，在汽车中的系统中配置有很多被称作电子控制单元(ECU：ElectronicControl Unit：电子控制单元)的装置。这些连接ECU的网络称作车载网络。车载网络存在多种通信标准。其中，作为最主流的车载网络之一，存在由ISO11898规定的CAN(ControllerArea Network：控制区域网)这样的标准。

在CAN中，通信路径是由2条线路构成的总线，与总线连接的ECU被称作节点。与总线连接的各节点收发被称作帧的消息。发送帧的发送节点通过向2条线路施加电压，在线路间产生电位差，由此发送称作隐性(recessive)的“1”的值和称作显性(Dominant)的“0”的值。在多个发送节点全部在同一时刻发送隐性和显性的情况下，优先发送显性。接收节点在收到的帧的格式存在异常的情况下，发送称作错误帧的帧。所谓错误帧，是指通过连续发送6bit的显性来向发送节点和其它接收节点通知帧的异常的帧。

另外，在CAN中，不存在指示发送目的地或发送源的标识符，发送节点对每一帧附加ID来发送，各接收节点仅接收预先设定的ID的帧。另外，采用CSMA/CA(Carrier SenseMultiple Access/Collision Avoidance：载波侦听多路访问/冲突避免)方式，在多个节点同时发送时，进行基于ID的仲裁，优先发送ID的值较小的帧。

关于CAN的车载网络系统，存在攻击者通过访问总线并发送非法帧来非法地控制ECU这样的威胁，正在研究安全对策。

例如，专利文献1记载了如下方法：针对向CAN的总线发送的帧，在测定出的接收间隔与预先规定的通信间隔之差超过规定的范围的情况下，判断该帧为非法，由此，防止基于非法帧进行的控制。另外，专利文献2记载了如下方法：在规定的通信间隔内接收到两个以上的具有同一标识符的帧的情况下，丢弃该各帧，由此防止基于非法帧进行的控制。

现有技术文献

专利文献1:日本特许第5664799号公报

专利文献2:日本特许第5919205号公报

发明内容

发明要解决的问题

但是，在专利文献1的方法中，不能防止基于不超过规定的通信间隔的非法帧进行的非法控制。另外，在专利文献2的方法中，将规定的通信间隔内包含的、具有同一标识符的非法帧和正常帧这两者丢弃，因此，从车辆控制的稳定性的观点出发，是不适当的。另外，该方法不能应对与不定期发送的正常帧具有同一标识符的非法帧。

因此，本公开提供能够适当地抑止基于在网络中流动的非法帧进行的非法控制的非法控制抑止方法。另外，本公开提供能够适当地抑止基于非法帧进行的非法控制的非法控制抑止装置和车载网络系统。

用于解决问题的手段

为了解决上述课题，本公开的一个方式的非法控制抑止方法是具有多个电子控制单元的网络系统中的非法控制抑止方法，所述多个电子控制单元经由通信路径进行包括对控制对象指示预定控制的控制帧的多个帧的收发，所述非法控制抑止方法包括：接收步骤，从所述通信路径逐次接收多个帧；以及判定步骤，基于在通过所述接收步骤接收到的控制帧的接收时之前的预定期间内通过所述接收步骤接收到的帧的集合，判定是否应抑止基于该控制帧的所述预定控制。