JP5423754B2

JP5423754B2 - バス監視セキュリティ装置及びバス監視セキュリティシステム

Info

Publication number: JP5423754B2
Application number: JP2011212517A
Authority: JP
Inventors: 雄三原田; 康行高橋; 聡鈴木; 充啓夏目; 友久岸上
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2011-09-28
Filing date: 2011-09-28
Publication date: 2014-02-19
Anticipated expiration: 2031-09-28
Also published as: DE102012217200A1; US9038132B2; US20130081106A1; JP2013074489A

Description

本発明は、ＥＣＵ（電子制御ユニット）が接続されているバスを監視するバス監視セキュリティ装置及びバス監視セキュリティシステムに関する。

従来より、バスに接続されている複数のＥＣＵ（Electronic Control Unit、電子制御ユニット）の間でデータを送受信する（中継する）中継装置が供されている（例えば特許文献１参照）。

特開２００７−１６６３０２号公報

ところで、正規の作業者のみならず不特定多数の第三者がツール（操作機器）をバスに接続可能な構成では、悪意を持った第三者が不正ツールをバスに接続することで、バスに接続されているＥＣＵからデータを不正に読出したり、バスに接続されているＥＣＵの制御プログラムを不正に書換えたりする等の不正な操作を行うことが考えられる。このような事情から、不正ツールがバスに接続されたことに対する防御対策が望まれている。

本発明は、上記した事情に鑑みてなされたものであり、その目的は、不正ツールがバスに接続された場合であっても、不正ツールが接続されたことによる被害を抑制することができるバス監視セキュリティ装置及びバス監視セキュリティシステムを提供することにある。

請求項１に記載したバス監視セキュリティ装置によれば、ＥＣＵ（電子制御ユニット）が接続されているＥＣＵ側バスと、ＥＣＵと通信可能なツールを接続可能なツール接続端子が設けられているツール側バスとに切分けるようにバスに接続される。制御手段は、ＥＣＵをアクセス対象とするツールがＥＣＵ側バスに接続されたか否かを、ツール側バスからのデータ受信の発生状態及びＥＣＵ側バスからのデータ受信の発生状態に基づいて判定し、ＥＣＵ側バスからのデータ受信のみが発生したと判定することで、ツールがＥＣＵ側バスに接続されたと判定すると、ツールとアクセス対象にされているＥＣＵとの間でのデータの送受信を妨害する。

これにより、悪意を持った第三者がツールをＥＣＵ側バスに接続したとしても、そのＥＣＵ側バスに接続されたツールを不正ツールと判定し、そのＥＣＵ側バスに接続されたツールである不正ツールとアクセス対象にされているＥＣＵとの間でのデータの送受信を妨害することで、不正ツールが接続されたことによる被害を抑制することができる。尚、ここでいうアクセス対象とは、ＥＣＵからデータを不正に読出したり（リード）、ＥＣＵの制御プログラムを不正に書換えたり（ライト）する等の不正な操作全般を目的として通信対象とすることを意味する。

請求項２に記載したバス監視セキュリティ装置によれば、ＥＣＵは、起動状態では外部からデータ要求コマンドを受信してから所定時間内にデータ応答コマンドを外部へ送信することで通信を成立させ、外部からデータ要求コマンドを受信した後に起動状態から休止状態に移行した場合には所定時間内にデータ応答コマンドを外部へ送信しないように構成されている。制御手段は、ツールがＥＣＵ側バスに接続されたと判定すると、アクセス対象にされているＥＣＵを起動状態から休止状態に移行させることで、ツールとアクセス対象にされているＥＣＵとの間でのデータの送受信を妨害する。

これにより、アクセス対象にされているＥＣＵを起動状態から休止状態に移行させることで、データ応答コマンドを所定時間内に送信しないようにすることができ、たとえアクセス対象にされているＥＣＵが休止状態から起動状態に移行して（復帰して）データ応答コマンドを送信したとしても、データ要求コマンドを受信してから所定時間以上が経過していれば、ＥＣＵへ送信されたデータ応答コマンドを不成立とする（無効とする）ことができ、ツールとアクセス対象にされているＥＣＵとの間でのデータの送受信を妨害することができる。

請求項３に記載したバス監視セキュリティ装置によれば、制御手段は、ツールがＥＣＵ側バスに接続されたと判定すると、擬似データ応答コマンドをツールへ送信することで、ツールとアクセス対象にされているＥＣＵとの間でのデータの送受信を妨害する。

これにより、擬似データ応答コマンドをツールへ送信することで、ツールへの擬似データ応答コマンドと、アクセス対象にされているＥＣＵからツールへのデータ応答コマンドとによるデータの衝突を発生させることができ、ツールとアクセス対象にされているＥＣＵとの間でのデータの送受信を妨害することができる。

請求項４に記載したバス監視セキュリティ装置によれば、制御手段は、ツールがＥＣＵ側バスに接続されたと判定すると、仕様で規定されているデータフォーマットとは異なるデータフォーマットのデータをアクセス対象にされているＥＣＵへ送信することで、ツールとアクセス対象にされているＥＣＵとの間でのデータの送受信を妨害する。

これにより、仕様で規定されているデータフォーマットとは異なるデータフォーマットのデータをアクセス対象にされているＥＣＵへ送信することで、エラー判定をＥＣＵにて行わせることができ、ツールとアクセス対象にされているＥＣＵとの間でのデータの送受信を妨害することができる。

請求項５に記載したバス監視セキュリティ装置によれば、制御手段は、ツールがＥＣＵ側バスに接続されたと判定すると、ツールがＥＣＵ側バスに接続されたことに関する情報を不正検出履歴として不正検出履歴記憶手段に記憶させる。これにより、例えばツールがＥＣＵ側バスに接続された時刻や、アクセス対象にされたＥＣＵの種別等を記憶することができる。

請求項６に記載したバス監視セキュリティ装置によれば、制御手段は、不正検出履歴記憶手段に記憶されている不正検出履歴を通知する。これにより、例えばツールがＥＣＵ側バスに接続された時刻や、アクセス対象にされたＥＣＵの種別等を解析することで、有用な情報を得たり防御対策を講じたりすることができる。

請求項７に記載したバス監視セキュリティシステムによれば、監視代行装置は、バス監視セキュリティ装置がバスから取外されたか否かを判定し、バス監視セキュリティ装置がバスから取外されたと判定すると、ツールとアクセス対象にされているＥＣＵとの間でのデータの送受信を妨害する。

これにより、悪意を持った第三者が単にツールをバスに接続するだけでなく、バス監視セキュリティ装置をバスから取外した上でツールをバスに接続することも想定されるが、悪意を持った第三者がバス監視セキュリティ装置をバスから取外した上でツールをバスに接続したとしても、バス監視セキュリティ装置に代わって監視代行装置がツールとアクセス対象にされているＥＣＵとの間でのデータの送受信を妨害することで、ツールが接続されたことによる被害を抑制することができる。

本発明の第１の実施形態を示す機能ブロック図ゲートウェイ装置が行う処理を示すフローチャート不正ツールがＥＣＵ側バスに接続された態様を示す図ゲートウェイ装置が擬似データ応答コマンドを送信する態様を示す図不正データを判定する態様を示す図図５相当図本発明の第２の実施形態を示す図１相当図監視代行装置が行う処理を示すフローチャートゲートウェイ装置が取外された態様を示す図図３相当図

（第１の実施形態）
以下、本発明の第１の実施形態について、図１乃至図６を参照して説明する。図１は、バス監視セキュリティシステムの全体構成を概略的に示している。バス監視セキュリティシステム１において、ゲートウェイ装置２（バス監視セキュリティ装置に相当）は、ＣＰＵ３と、ツール側バス送受信部４と、ＥＣＵ（Electronic Control Unit、電子制御ユニット）側バス送受信部５とを備えている。ＣＰＵ３はマイクロコンピュータにより構成されており、マイクロコンピュータが制御プログラムを実行する機能に応じて、制御部６（制御手段に相当）と、不正検出履歴記憶部７（不正検出履歴記憶手段に相当）と、ツール側バス制御部８と、ＥＣＵ側バス制御部９とを備えている。

制御部６は、不正検出履歴記憶部７、ツール側バス制御部８及びＥＣＵ側バス制御部９の動作を制御し、詳しくは後述するが、ＥＣＵを攻撃対象（アクセス対象）とする不正ツールがＥＣＵ側バスに接続されたか否かを判定し、不正ツールがＥＣＵ側バスに接続されたと判定すると、不正ツールと攻撃対象にされているＥＣＵとの間でのデータの送受信を妨害する機能を有すると共に、不正ツールがＥＣＵ側バスに接続されたことを不正検出履歴として不正検出履歴記憶部７に記憶させる機能を有する。尚、上記したアクセス対象とは、ＥＣＵからデータを不正に読出したり（リード）、ＥＣＵの制御プログラムを不正に書換えたり（ライト）する等の不正な操作全般を目的として通信対象とすることを意味する。

ツール側バス制御部８は、ツール側バス送受信部４におけるデータ送受信動作を制御する。ツール側バス送受信部４は、ツール側バス１０との間の通信インタフェースとしての機能を有し、ツール側バス１０からＣＰＵ３へのデータの受信動作を行うデータ受信部１１と、ＣＰＵ３からツール側バス１０へのデータの送信動作を行うデータ送信部１２とを備えている。これらデータ受信部１１及びデータ送信部１２は、２つのチョークコイル１３、１４を有するコモンモードチョークコイル１５を介してツール側バス１０に接続されており、データをコモンモードチョークコイル１５を介してツール側バス１０との間で送受信する。

ツール側バス１０には、正規の作業者が正規ツール（正規操作機器）１６をツール側バス１０に対して接続する（装着する）ための例えばコネクタからなる接続端子１７、１８が設けられている。正規ツール１６は、後述するＥＣＵ側バスに接続されているＥＣＵからデータを正規に読出したり、ＥＣＵ側バスに接続されているＥＣＵの制御プログラムを正規に書換えたりするための機器である。即ち、正規の作業者は、正規ツール１６を接続端子１７、１８に接続し、正規ツール１６を操作することで、データの読出対象とするＥＣＵからデータを正規に読出したり、制御プログラムの書換対象とするＥＣＵの制御プログラムを正規に書換えたりすることが可能である。

ＥＣＵ側バス制御部９は、ＥＣＵ側バス送受信部５におけるデータ送受信動作を制御する。ＥＣＵ側バス送受信部５は、ＥＣＵ側バス１９との間の通信インタフェースとしての機能を有し、ＥＣＵ側バス１９からＣＰＵ３へのデータの受信動作を行うデータ受信部２０と、ＣＰＵ３からＥＣＵ側バス１９へのデータの送信動作を行うデータ送信部２１とを備えている。これらデータ受信部２０及びデータ送信部２１は、２つのチョークコイル２２、２３を有するコモンモードチョークコイル２４を介してＥＣＵ側バス１９に接続されており、データをコモンモードチョークコイル２４を介してＥＣＵ側バス１９との間で送受信する。

ＥＣＵ側バス１９には、複数のＥＣＵ２５、２６が接続されている。ＥＣＵ２５、２６は、例えばエンジンの動作を制御するエンジンＥＣＵ、ドアロック機構の動作を制御するドアロックＥＣＵ、ナビゲーションの動作を制御するナビゲーションＥＣＵ等の周知のＥＣＵである。ＥＣＵ側バス１９に接続されるＥＣＵの個数は３個以上であっても良いし、１個のみであっても良い。

上記したように、ゲートウェイ装置２は、ツール側バス１０との間の通信インタフェースを有するツール側バス送受信部４と、ＥＣＵ側バス１９との間の通信インタフェースを有するＥＣＵ側バス送受信部５とを備えることで、正規の作業者が正規ツール１６を接続可能なツール側バス１０と、ＥＣＵ２５、２６が接続されているＥＣＵ側バス１９とを切分ける（分断する）ように接続されている。

そして、上記した構成では、正規ツール１６がツール側バス１０に接続され、データの読出対象又は制御プログラムの書換対象が例えばＥＣＵ２５であれば、正規ツール１６から出力されたデータ（データ要求コマンド、書換プログラム等）は、ツール側バス１０、コモンモードチョークコイル１５、ツール側バス送受信部４のデータ受信部１１、ツール側バス制御部８、制御部６、ＥＣＵ側バス制御部９、ＥＣＵ側バス送受信部５のデータ送信部２１、コモンモードチョークコイル２４、ＥＣＵ側バス１９を介してＥＣＵ２５に入力される。又、ＥＣＵ２５から出力されたデータ（データ応答コマンド、プログラム書換結果等）は、ＥＣＵ側バス１９、コモンモードチョークコイル２４、ＥＣＵ側バス送受信部５のデータ受信部２０、ＥＣＵ側バス制御部９、制御部６、ツール側バス制御部８、ツール側バス送受信部４のデータ送信部１２、コモンモードチョークコイル１５、ツール側バス１０を介して正規ツール１６に入力される。

次に、上記した構成の作用について、図２乃至図６を参照して説明する。図２は、ゲートウェイ装置２のＣＰＵ３が行う処理をフローチャートにより示している。
ＣＰＵ３は、バス監視処理を開始すると、ツール側バス制御部８とツール側バス送受信部４との間でデータの送受信を監視することで、ツール側バス１０を監視し（ステップＳ１）、ＥＣＵ側バス制御部９とＥＣＵ側バス送受信部５との間でデータの送受信を監視することで、ＥＣＵ側バス１９を監視する（ステップＳ２）。ＣＰＵ３は、ツール側バス１０からツール側バス制御部８へのデータ受信が発生したと判定すると、又はＥＣＵ側バス１９からＥＣＵ側バス制御部９へのデータ受信が発生したと判定すると（ステップＳ３にて「ＹＥＳ」）、ツール側バス１０及びＥＣＵ側バス１９の双方からのデータ受信であるか否かを判定する（ステップＳ４）。

ここで、正規の作業者が正規ツール１６をツール側バス１０に接続すると、上記したように、正規ツール１６から出力されたデータがツール側バス制御部８を介して制御部６に入力されると共に、ＥＣＵ２５、２６から出力されたデータがＥＣＵ側バス制御部９を介して制御部６に入力されるので、ツール側バス１０及びＥＣＵ側バス１９の双方からのデータ受信が発生する。即ち、ＣＰＵ３は、ツール側バス１０及びＥＣＵ側バス１９の双方からのデータ受信であると判定すると（ステップＳ４にて「ＹＥＳ」）、正規ツール１６がツール側バス１０に接続されたと判定し、バス監視処理を終了してリターンする。

これに対して、図３に示すように、悪意を持った第三者が不正ツール（不正操作機器）３１をＥＣＵ側バス１９に接続した場合を想定する。悪意を持った第三者が不正ツール３１をＥＣＵ側バス１９に接続すると、不正ツール３１から出力されたデータ（不正なデータ要求コマンド、不正な書換プログラム等）は、ＥＣＵ側バス１９を介して攻撃対象にされているＥＣＵに入力されると共に、コモンモードチョークコイル２４、ＥＣＵ側バス送受信部５のデータ受信部２０、ＥＣＵ側バス制御部９を介して制御部６に入力される。

この場合、不正ツール３１から出力されたデータがＥＣＵ側バス制御部９を介して制御部６に入力されるが、正規ツール１６がツール側バス１０に接続された場合とは異なり、正規ツール１６からデータが出力されることはないので、ツール側バス１０からのデータ受信が発生することはなく、ＥＣＵ側バス１９のみからのデータ受信が発生する。即ち、ＣＰＵ３は、ツール側バス１０及びＥＣＵ側バス１９のうち何れか片方（ＥＣＵ側バス１９）のみからのデータ受信であると判定すると（ステップＳ４にて「ＮＯ」）、不正ツール３１がＥＣＵ側バス１９に接続されたと判定する。換言すれば、ＣＰＵ３は、ツール側バス１０及びＥＣＵ側バス１９のうち何れか片方（ＥＣＵ側バス１９）のみからのデータ受信であると判定することで、バスに接続されたツールが不正ツール３１であり、その不正ツール３１がＥＣＵ側バス１９に接続されたと判定する。そして、ＣＰＵ３は、不正ツール３１がＥＣＵ側バス１９に接続されたことに対する防御対策を行う（ステップＳ５）。

ここで、不正ツール３１がＥＣＵ側バス１９に接続されたことに対する防御対策としては、以下の３つの方法がある。
（１）攻撃対象にされているＥＣＵを起動状態から休止状態に移行させる方法
（２）擬似データ応答コマンドを不正ツール３１へ送信する方法
（３）仕様で規定されているデータフォーマットとは異なるデータフォーマットのデータを攻撃対象にされているＥＣＵへ送信する方法
以下、これらの方法について順次説明する。

（１）攻撃対象にされているＥＣＵを起動状態から休止状態に移行させる方法。
ＥＣＵ２５、２６は、起動状態（ウェイクアップ状態）では外部からデータ要求コマンドを受信してから所定時間内にデータ応答コマンドを外部へ送信することで通信を成立させ、外部からデータ要求コマンドを受信した後に起動状態から休止状態（スリープ状態）に移行した場合には所定時間内にデータ応答コマンドを外部へ送信しないように構成されている。この方法では、上記したＥＣＵ２５、２６の動作特性を利用し、ＣＰＵ３は、攻撃対象にされているＥＣＵを起動状態から休止状態に移行させることで、不正ツール３１と攻撃対象にされているＥＣＵとの間でのデータの送受信を妨害する（データの送受信を成立させなくする）。即ち、攻撃対象にされているＥＣＵは、起動状態から休止状態に移行することで、データ応答コマンドを送信しなくなり、又、たとえ休止状態から起動状態に移行して（復帰して）データ応答コマンドを送信したとしても、データ要求コマンドを受信してから所定時間以上が経過していれば、ＥＣＵへ送信されたデータ応答コマンドは不成立とされるので（無効とされるので）、不正ツール３１と攻撃対象にされているＥＣＵとの間でデータの送受信が成立することはない。

（２）擬似データ応答コマンドを不正ツール３１へ送信する方法。
この方法では、図４に示すように、ＣＰＵ３は、攻撃対象にされているＥＣＵが不正ツール３１からデータ要求コマンドを受信したことに応じてデータ応答コマンドを不正ツール３１へ送信する際に使用するＩＤ（識別子）を用い、そのＩＤを用いて擬似データ応答コマンドを不正ツール３１へ送信する。ゲートウェイ装置２が擬似データ応答コマンドを不正ツール３１へ送信することで、たとえ攻撃対象にされているＥＣＵがデータ応答コマンドを不正ツール３１へ送信したとしても、ゲートウェイ装置２からの擬似データ応答コマンドと、攻撃対象にされているＥＣＵからのデータ応答コマンドとによるデータの衝突が発生するので、この場合も、不正ツール３１と攻撃対象にされているＥＣＵとの間でデータの送受信が成立することはない。

（３）仕様で規定されているデータフォーマットとは異なるデータフォーマットのデータを攻撃対象にされているＥＣＵへ送信する方法。
この方法では、ＥＣＵ２５、２６が仕様規定に準じたエラー判定を行う機能を利用するものであり、仕様で規定されているデータフォーマットとは異なるデータフォーマットのデータを攻撃対象にされているＥＣＵへ送信する。ゲートウェイ装置２が仕様で規定されているデータフォーマットとは異なるデータフォーマットのデータを攻撃対象にされているＥＣＵへ送信することで、攻撃対象にされているＥＣＵがエラー判定を行い、通信エラーを特定するので、この場合も、不正ツール３１と攻撃対象にされているＥＣＵとの間でデータの送受信が成立することはない。

尚、ＣＰＵ３は、上記した３つの方法のうち何れかを、例えば車両メーカ側による設定に応じて選択して行っても良いし、攻撃対象にされているＥＣＵの種別に応じて選択して行っても良いし、不正ツール３１からのデータ要求コマンドの種別に応じて選択して行っても良い。即ち、例えば攻撃対象にされているＥＣＵが起動状態から休止状態に移行する機能を有しなければ、（２）又は（３）の方法を選択して行えば良いし、攻撃対象にされているＥＣＵがるエラー判定を行う機能を有しなければ、（１）又は（２）の方法を選択して行えば良い。

そして、ＣＰＵ３は、このようにして不正ツール３１がＥＣＵ側バス１９に接続されたことに対する防御対策を行った後に、不正ツール３１がＥＣＵ側バス１９に接続されたことに関する情報（不正ツール３１がＥＣＵ側バス１９に接続された時刻や、攻撃対象にされたＥＣＵの種別等）を不正検出履歴として不正履歴検出記憶部７に記憶させ（ステップＳ６）、バス監視処理を終了してリターンする。尚、ＣＰＵ３は、例えば正規の作業者が正規ツール１６を接続した場合に、このようにして不正履歴検出記憶部７に記憶させた不正検出履歴を正規ツール１６又はメータ装置やナビゲーションシステムの表示装置等に送信することで、不正検出履歴を正規の作業者等に通知する。

又、ゲートウェイ装置２は、図５及び図６に示すように、不正データ判定テーブルを記憶領域に記憶しており、不正なデータであると特定し得る監視対象ＩＤを不正データ判定テーブルに登録している。図５に示すように、不正ツール３１がＥＣＵ側バス１９に接続され、不正ツール３１からデータが送信されると、ＣＰＵ３は、不正ツール３１から受信したデータのＩＤ（図５では「７４０」）と、不正データ判定テーブルに登録されている監視対象ＩＤとを照合し、不正ツール３１から受信したデータのＩＤと監視対象ＩＤとが合致すると判定することで、不正ツール３１から受信したデータが不正なデータであると特定する。

又、図６に示すように、リモート端末５１がＥＣＵ側バス１９に接続され、リモート端末５１からデータが送信されると、ＣＰＵ３は、リモート端末５１から受信したデータのＩＤ（図６では「７７０」）と、不正データ判定テーブルに登録されている監視対象ＩＤとを照合し、リモート端末５１から受信したデータのＩＤと監視対象ＩＤとが合致しないと判定することで、リモート端末５１から受信したデータが不正なデータでない（正規のデータである）と特定する。

以上に説明したように第１の実施形態によれば、正規の作業者が正規ツール１６を接続可能なツール側バス１０と、ＥＣＵ２５、２６が接続されているＥＣＵ側バス１９とを切分けるようにゲートウェイ装置２が接続され、ゲートウェイ装置２において、ＥＣＵを攻撃対象とする不正ツール３１がＥＣＵ側バス１９に接続されたと判定すると、攻撃対象にされているＥＣＵを起動状態から休止状態に移行させたり、擬似データ応答コマンドを不正ツール３１へ送信したり、仕様で規定されているデータフォーマットとは異なるデータフォーマットのデータを攻撃対象にされているＥＣＵへ送信したりすることで、不正ツール３１と攻撃対象にされているＥＣＵとの間でのデータの送受信を妨害するようにしたので、不正ツール３１が接続されたことによる被害を抑制することができる。

（第２の実施形態）
次に、本発明の第２の実施形態について、図７乃至図１０を参照して説明する。尚、上記した第１の実施形態と同一部分については説明を省略し、異なる部分について説明する。第２の実施形態は、ゲートウェイ装置２がツール側バス１０及びＥＣＵ側バス１９から取外されることを考慮し、ゲートウェイ装置２が取外された場合に、その取外されたゲートウェイ装置２に代わって不正ツール３１と攻撃対象にされているＥＣＵとの間でのデータの送受信を妨害する監視代行装置が設けられている。

即ち、バス監視セキュリティシステム４１において、ゲートウェイ装置２には監視代行装置４２が接続されており、監視代行装置４２は、ＥＣＵ側バス１９に接続されている。ゲートウェイ装置２は、ツール側バス１０及びＥＣＵ側バス１９に接続されている状態では接続維持信号を監視代行装置４２へ定期的に出力し、監視代行装置４２は、ゲートウェイ装置２から出力される接続維持信号を入力しているか否かを判定することで、ゲートウェイ装置２がツール側バス１０及びＥＣＵ側バス１９に接続されているか否かを判定する機能を有する。

次に、上記した構成の作用について、図８乃至図１０を参照して説明する。図８は、監視代行装置４２が行う処理をフローチャートにより示している。
監視代行装置４２は、バス監視処理を開始すると、ゲートウェイ装置２から出力される接続維持信号を入力しているか否かを監視し、ゲートウェイ装置２が接続されているか否かを監視する（ステップＳ１１）。監視代行装置４２は、ゲートウェイ装置２から出力される接続維持信号を入力していると判定すると、ゲートウェイ装置２が接続されている（ツール側バス１０及びＥＣＵ側バス１９から取外されていない）と判定し（ステップＳ１２にて「ＮＯ」）、バス監視処理を終了してリターンする。

これに対して、図９に示すように、悪意を持った第三者がゲートウェイ装置２をツール側バス１０及びＥＣＵ側バス１９から取外した場合を想定する。悪意を持った第三者がゲートウェイ装置２をツール側バス１０及びＥＣＵ側バス１９から取外すと、第１実施形態で説明したゲートウェイ装置２による防御対策を行うことは不可能である。

この場合、監視代行装置４２は、接続維持信号を定期的に出力するゲートウェイ装置２が取外されたことで、ゲートウェイ装置２から定期的に出力される接続維持信号を定期的に入力しなくなったと判定すると、ゲートウェイ装置２がツール側バス１０及びＥＣＵ側バス１９から取外されたと判定し（ステップＳ１２にて「ＹＥＳ」）、ゲートウェイ装置２がツール側バス１０及びＥＣＵ側バス１９から取外されたことに関する情報（ゲートウェイ装置２が取外された時刻等）を取外検出履歴として記憶する（ステップＳ１３）。そして、監視代行装置４２は、ＥＣＵ側バス１９を監視する（ステップＳ１４）。

ここで、図１０に示すように、悪意を持った第三者がゲートウェイ装置２をツール側バス１０及びＥＣＵ側バス１９から取外したことに続いて不正ツール３１をＥＣＵ側バス１９に接続した場合を想定する。悪意を持った第三者が不正ツール３１をＥＣＵ側バス１９に接続すると、不正ツール３１から出力されたデータ（不正なデータ要求コマンド、不正な書換プログラム等）は、ＥＣＵ側バス１９を介して攻撃対象にされているＥＣＵに入力されると共に、監視代行装置４２に入力される。

監視代行装置４２は、ＥＣＵ側バス１９からのデータ受信が発生したと判定すると（ステップＳ１５にて「ＹＥＳ」）、不正ツール３１がＥＣＵ側バス１９に接続されたと判定し、不正ツール３１がＥＣＵ側バス１９に接続されたことに対する防御対策を行う（ステップＳ１６）。即ち、監視代行装置４２は、第１の実施形態で説明したゲートウェイ装置２が（１）乃至（３）の何れかを防御対策として行うのと同様にして、防御対策を行う。

そして、監視代行装置４２は、この場合も、このようにして不正ツール３１がＥＣＵ側バス１９に接続されたことに対する防御対策を行った後に、不正ツール３１がＥＣＵ側バス１９に接続されたことに関する情報（不正ツール３１がＥＣＵ側バス１９に接続された時刻や、攻撃対象にされたＥＣＵの種別等）を不正検出履歴として記憶し（ステップＳ１７）、バス監視処理を終了してリターンする。尚、監視代行装置４２は、例えば正規の作業者が正規ツール１６を接続した場合に、このようにして記憶した不正検出履歴を正規ツール１６又はメータ装置やナビゲーションシステムの表示装置等に送信することで、不正検出履歴を正規の作業者等に通知する。

以上に説明したように第２の実施形態によれば、ゲートウェイ装置２に接続される監視代行装置４２において、ゲートウェイ装置２がツール側バス１０及びＥＣＵ側バス１９から取外されたと判定し、ＥＣＵを攻撃対象とする不正ツール３１がＥＣＵ側バス１９に接続されたと判定すると、ゲートウェイ装置２に代わって不正ツール３１と攻撃対象にされているＥＣＵとの間でのデータの送受信を妨害するようにしたので、ゲートウェイ装置２がツール側バス１０及びＥＣＵ側バス１９から取外された上で不正ツール３１が接続されたとしても、不正ツール３１が接続されたことによる被害を抑制することができる。

（その他の実施形態）
本発明は、上記した実施形態にのみ限定されるものではなく、以下のように変形又は拡張することができる。
不正なデータであると特定し得る監視対象ＩＤを不正データ判定テーブルに登録する構成を説明したが、不正なデータでない（正規のデータである）と特定し得る監視対象外ＩＤを不正データ判定テーブルに登録し、リモート端末５１から受信したデータのＩＤと監視対象外ＩＤとが合致すると判定することで、リモート端末５１から受信したデータが不正なデータでないと特定する構成であっても良い。

第２の実施形態において、監視代行装置４２が、ゲートウェイ装置２から定期的に出力される接続維持信号を入力しているか否かを判定することで、ゲートウェイ装置２がツール側バス１０及びＥＣＵ側バス１９に接続されているか否かを判定する構成を説明したが、確認要求信号をゲートウェイ装置２へ定期的に出力し、ゲートウェイ装置２から確認要求信号に対する応答である確認応答信号を入力しているか否かを判定することで、ゲートウェイ装置２がツール側バス１０及びＥＣＵ側バス１９に接続されているか否かを判定する構成であっても良い。

図面中、１はバス監視セキュリティシステム、２はゲートウェイ装置（バス監視セキュリティ装置）、６は制御部（制御手段）、７は不正検出履歴記憶部（不正検出履歴記憶手段）、１０はツール側バス、１６は正規ツール（ツール）、１７、１８は接続端子、１９はＥＣＵ側バス、２５、２６はＥＣＵ、３１は不正ツール（ツール）、４１はバス監視セキュリティシステム、４２は監視代行装置である。

Claims

ＥＣＵ（電子制御ユニット）が接続されていると共に前記ＥＣＵと通信可能なツールを接続可能なツール接続端子が設けられているバスを、前記ＥＣＵが接続されているＥＣＵ側バスと前記ツール接続端子が接続されているツール側バスとに切分けるように前記バスに接続され、
前記ＥＣＵをアクセス対象とするツールが前記ＥＣＵ側バスに接続されたか否かを、前記ツール側バスからのデータ受信の発生状態及び前記ＥＣＵ側バスからのデータ受信の発生状態に基づいて判定し、前記ＥＣＵ側バスからのデータ受信のみが発生したと判定することで、前記ツールが前記ＥＣＵ側バスに接続されたと判定した場合に、前記ツールと前記アクセス対象にされているＥＣＵとの間でのデータの送受信を妨害する制御手段を備えたことを特徴とするバス監視セキュリティ装置。
請求項１に記載したバス監視セキュリティ装置において、
前記ＥＣＵは、起動状態では外部からデータ要求コマンドを受信してから所定時間内にデータ応答コマンドを外部へ送信することで通信を成立させ、外部からデータ要求コマンドを受信した後に起動状態から休止状態に移行した場合には所定時間内にデータ応答コマンドを外部へ送信しないように構成されており、
前記制御手段は、前記ツールが前記ＥＣＵ側バスに接続されたと判定した場合に、前記アクセス対象にされているＥＣＵを起動状態から休止状態に移行させることで、前記ツールとアクセス対象にされているＥＣＵとの間でのデータの送受信を妨害することを特徴とするバス監視セキュリティ装置。
請求項１又は２に記載したバス監視セキュリティ装置において、
前記制御手段は、前記ツールが前記ＥＣＵ側バスに接続されたと判定した場合に、擬似データ応答コマンドを前記ツールへ送信することで、前記ツールとアクセス対象にされているＥＣＵとの間でのデータの送受信を妨害することを特徴とするバス監視セキュリティ装置。
請求項１から３の何れか一項に記載したバス監視セキュリティ装置において、
前記制御手段は、前記ツールが前記ＥＣＵ側バスに接続されたと判定した場合に、仕様で規定されているデータフォーマットとは異なるデータフォーマットのデータをアクセス対象にされているＥＣＵへ送信することで、前記ツールとアクセス対象にされているＥＣＵとの間でのデータの送受信を妨害することを特徴とするバス監視セキュリティ装置。
請求項１から４の何れか一項に記載したバス監視セキュリティ装置において、
前記制御手段は、前記ツールが前記ＥＣＵ側バスに接続されたと判定した場合に、前記ツールが前記ＥＣＵ側バスに接続されたことに関する情報を不正検出履歴として不正検出履歴記憶手段に記憶させることを特徴とするバス監視セキュリティ装置。
請求項５に記載したバス監視セキュリティ装置において、
前記制御手段は、前記不正検出履歴記憶手段に記憶されている不正検出履歴を通知することを特徴とするバス監視セキュリティ装置。
ＥＣＵ（電子制御ユニット）が接続されていると共に前記ＥＣＵと通信可能なツールを接続可能なツール接続端子が設けられているバスを、前記ＥＣＵが接続されているＥＣＵ側バスと前記ツール接続端子が接続されているツール側バスとに切分けるように前記バスに接続され、前記ＥＣＵをアクセス対象とするツールが前記ＥＣＵ側バスに接続されたか否かを判定し、前記ツールが前記ＥＣＵ側バスに接続されたと判定した場合に、前記ツールと前記アクセス対象にされているＥＣＵとの間でのデータの送受信を妨害する制御手段を備えたバス監視セキュリティ装置と、
前記バス監視セキュリティ装置が前記バスから取外されたか否かを判定し、前記バス監視セキュリティ装置が前記バスから取外されたと判定した場合に、前記ツールと前記アクセス対象にされているＥＣＵとの間でのデータの送受信を妨害する監視代行装置と、を備えたことを特徴とするバス監視セキュリティシステム。