[发明专利]不正常检测方法、监视电子控制单元以及车载网络系统

说明书

提供不正常检测方法，该不正常检测方法在具备经由总线进行通信的多个电子控制单元(ECU)的车载网络系统中，即使在ECU由于固件的不正常改写等而处于攻击者的支配下的情况下，也能够通过监视总线上发送的帧来检测不正常状态的产生。不正常检测方法用于检测车载网络系统中不正常状态的产生，在不正常检测方法中，使用表示第1条件的不正常检测规则信息，判定从所述总线接收到的帧的集合是否满足该第1条件，所述第1条件是关于具有第1标识符的帧、与具有和第1标识符不同的标识符的帧的内容的关系的条件；在不满足该第1条件的情况下，检测为产生了不正常状态。

技术领域

本公开涉及检测电子控制单元进行通信的车载网络中的不正常(improper，不正当、非法)帧的发送的技术。

背景技术

近年来，在汽车中的系统内，配置有许多被称为电子控制单元(ECU：ElectronicControl Unit)的装置。连接这些ECU的网络被称为车载网络。车载网络存在多种标准。作为其中最主流的车载网络之一，存在由ISO11898-1规定的CAN(Controller Area Network：控制器局域网络)这一标准。

在CAN中，通信路径是由两条电线构成的总线，与总线连接的ECU被称为节点。与总线连接的各节点收发被称为帧的消息。发送帧的发送节点通过在两条总线上施加电压，并在总线间产生电位差，从而发送被称为隐性(recessive)的“1”的值和被称为显性(dominant)的“0”的值。多个发送节点在完全相同的定时(timing)发送了隐性和显性的情况下，优先发送显性。接收节点在接收到的帧的格式(format)存在异常的情况下，发送被称为错误帧(error frame)的帧。错误帧是通过连续地发送6比特(bit)的显性来向发送节点和/或其他接收节点通知帧的异常的帧。

另外，在CAN中不存在指示发送目的地和/或发送源的标识符，发送节点对每一帧附加ID而进行发送(也就是向总线送出信号)，各接收节点仅接收预先确定的ID的帧(也就是从总线读取信号)。另外，采用CSMA/CA(Carrier Sense Multiple Access/CollisionAvoidance：载波侦听多路访问/冲突避免)方式，在多个节点同时发送时基于消息ID进行仲裁(调停)，优先发送消息ID的值小的帧。

关于CAN的车载网络系统，存在攻击者通过访问总线并发送不正常帧(用于攻击的帧)从而不正常地控制ECU这样的威胁，安全对策正在被进行研究。

例如专利文献1中所记载的车载网络监视装置进行如下不正常检测方法：在针对发送给CAN的总线的帧测定的接收间隔与预先规定的通信间隔之差偏离于规定的基准范围的情况下，将该帧判断为不正常。

现有技术文献

专利文献1：日本专利第5664799号公报

专利文献2：国际公开第2015/041161号

发明内容

发明所要解决的问题

然而，在如专利文献1那样的不正常检测方法中，在攻击者通过不正常地改写(重写)正规ECU的固件(firmware)来进行支配，并使该ECU以在车载网络系统中规定的正规的发送间隔发送用于攻击的帧的情况下，则无法检测到该用于攻击的帧。另外，即使ECU的固件不能被改写，但若在ECU上执行了恶意软件(不正常的程序)，也会产生同样的状况，无法检测到该ECU向CAN的总线发送的用于攻击的帧。另外，专利文献2表示了通过与ECU通信来检测ECU的程序或者数据的不正常改写的技术，但为了使用该技术对与车载网络的总线连接的各ECU的不正常改写随时进行确认，需要进行与各ECU的通信，导致产生总线通信流量增大这一弊病。