[go: up one dir, main page]

WO2013065689A1 - 通信システムにおけるメッセージ認証方法および通信システム - Google Patents

通信システムにおけるメッセージ認証方法および通信システム Download PDF

Info

Publication number
WO2013065689A1
WO2013065689A1 PCT/JP2012/078049 JP2012078049W WO2013065689A1 WO 2013065689 A1 WO2013065689 A1 WO 2013065689A1 JP 2012078049 W JP2012078049 W JP 2012078049W WO 2013065689 A1 WO2013065689 A1 WO 2013065689A1
Authority
WO
WIPO (PCT)
Prior art keywords
message
node
counter value
mac
main
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2012/078049
Other languages
English (en)
French (fr)
Inventor
小熊　寿
松本　勉
正人 畑
正人 田邉
克成 吉岡
大石　和臣
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Toyota Motor Corp
Toyota InfoTechnology Center Co Ltd
Yokohama National University NUC
Original Assignee
Toyota Motor Corp
Toyota InfoTechnology Center Co Ltd
Yokohama National University NUC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Toyota Motor Corp, Toyota InfoTechnology Center Co Ltd, Yokohama National University NUC filed Critical Toyota Motor Corp
Priority to EP12846706.5A priority Critical patent/EP2775660B1/en
Priority to US14/355,038 priority patent/US9331854B2/en
Priority to CN201280053525.0A priority patent/CN104025506B/zh
Publication of WO2013065689A1 publication Critical patent/WO2013065689A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/84—Vehicles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/12—Transmitting and receiving encryption devices synchronised or initially set up in a particular manner

Definitions

  • the present invention relates to a message authentication technique in a communication system.
  • CA CAN Controller Area ⁇ Network
  • This CAN is provided with a diagnostic port called an OBD2 port, which can receive a message flowing on the network and transmit a message on the network.
  • the replay attack described here is an attack that causes an illegal operation by eavesdropping a message flowing on the network, storing the contents, and resending the stored message. Even if an unauthorized device does not understand the content of the message, if the behavior of the vehicle after transmitting the message is known, the intention of the message can be grasped.
  • Non-Patent Document 1 a technique for embedding a message authentication code (MAC) in a CAN message has been proposed (Non-Patent Document 1).
  • MAC message authentication code
  • the CRC fields (16 bits) of the four CAN messages from the (N + 4) th to the (N + 7) th are embedded and transmitted.
  • the MAC is obtained from the CRC field of the (N + 4) th to (N + 7) th CAN messages, and the Nth to (N + 3) th CAN messages are determined depending on whether the MAC is generated from the Nth to (N + 3) th data fields Judge whether it is legitimate. If the MAC obtained from the CRC field is different from the MAC calculated from the data field, it can be determined that any of the Nth to N + 3th CAN messages is invalid.
  • Non-Patent Document 1 has the following problems. First, since it is necessary to receive messages up to N + 7 in order to verify the validity of the Nth message, there is a problem that it takes time to verify the message.
  • Non-Patent Document 1 changes the standardized CAN protocol.
  • the CRC field is originally intended for error detection of data contents such as a data field. Considering the current situation where the processing of the CAN controller is realized by hardware, changing the protocol is not realistic. Therefore, this second problem is more serious.
  • An object of the present invention is to provide a technique that enables message authentication by a method applicable to the CAN protocol.
  • a MAC message including a main message and a message authentication code (Message Authentication Code: MAC) of the main message is transmitted.
  • MAC Message Authentication Code
  • the present invention is characterized in that the MAC is generated as follows.
  • Each node in the communication system stores a counter value that is incremented each time a main message is transmitted over the network.
  • the node that transmits the main message increments the counter value at the time of transmission. Except for the sending node, the counter value is incremented when it is detected that the main message has been transmitted on the network.
  • the initial value of the counter value does not need to be 0 and may be arbitrary, but it is necessary to make it common to each node. Further, the increment does not necessarily have to increment the counter value by one.
  • a method in which each node changes the counter value according to a common rule that is, a method in which the counter value is common to all nodes, even if the counter value is changed according to an arbitrary method every time a main message is transmitted. I do not care.
  • the sending node of the main message uses this counter value to generate a MAC to be included in the MAC message. More specifically, the MAC is generated by applying a predetermined algorithm to the main message and the counter value.
  • the predetermined algorithm can be, for example, an encryption algorithm based on common key encryption, a keyed hash function that requires pre-sharing of the encryption key, or the like. Note that it is not necessary to use all data bits of the main message when generating the MAC, and the MAC may be generated from only a part thereof and the counter value.
  • the receiving node of the main message generates a MAC by applying a predetermined encryption algorithm to the received main message and the counter value.
  • the validity of the main message can be verified by the MAC in a method applicable to the CAN protocol. For example, even when an unauthorized device transmits a MAC message corresponding to a main message received previously, the correct MAC also changes because the counter value changes during retransmission. Therefore, even if an unauthorized device performs a replay attack, it is possible to detect that the main message is unauthorized at the receiving node.
  • the unauthorized device since the main message is transmitted over the network in a plain text state, the unauthorized device can know the main message, but the counter value is not transmitted over the network and is unknown to the unauthorized device. Therefore, even if the main message and the MAC message are eavesdropped, there is an advantage that the encryption algorithm and encryption key for generating the MAC cannot be guessed from there.
  • the main message can include a message ID and a data field.
  • the counter value of the main message is preferably counted individually for each message ID.
  • the MAC is preferably generated based on the message ID and data field included in the main message and the counter value corresponding to the message ID. Even in such a case, the MAC may be generated only from the data field and the counter value.
  • the MAC is preferably generated by extracting a predetermined bit from a bit string generated by applying a common key encryption algorithm to a message ID, a data field, and a counter corresponding to the message ID.
  • This method is effective when the bit string obtained from the common key encryption algorithm exceeds the number of bits that can be stored in the MAC message.
  • the bit extraction method may be any method as long as it is common to each node. For example, it is possible to extract the first half bit string, the second half bit string, the odd number bit string, or the even number bit string from the bit string obtained from the common key encryption algorithm. it can.
  • the counter value is preferably initialized by a notification from the master node. That is, it is preferable that one node on the network becomes a master node, and the initial value of the counter value corresponding to each message ID is notified by broadcast when the communication system is activated.
  • the counter value can be made the same for all nodes.
  • the initialization of the counter value is preferably performed as follows. That is, the master node generates a random value for each message ID and broadcasts it. Each node acquires a random value transmitted by broadcast and applies a common key encryption algorithm to the random value. Then, the obtained value is adopted as the initial value of the counter value.
  • the present invention can be understood as a message authentication method including at least a part of the above processing.
  • the present invention can also be understood as a computer program that executes this method.
  • the present invention can be understood as a communication system that executes at least a part of the above-described processing and a communication device that constitutes the communication system.
  • Each of the above means and processes can be combined with each other as much as possible to constitute the present invention.
  • the message can be authenticated by a method applicable to the CAN protocol.
  • CAN Controller Area Network
  • ECU Electronic Control Unit
  • FIG. 1 is a diagram showing a data frame format used for CAN.
  • the data frame includes a CAN ID (101), a data field (102), a CRC field (103), and the like. A description of fields other than those shown is omitted.
  • message addressing is performed using a CAN ID. That is, the CAN ID indicates what kind of data this message is, and the receiving side refers to the CAN ID to determine whether the data needs to be processed by the own node.
  • the data field is a 64-bit field (maximum) in which the data content is stored.
  • the CRC field a CRC code calculated from a data field or the like is stored, and bit loss associated with communication can be detected.
  • an ID indicating a transmission source and a destination is not given to a message, and the data content and the receiving node are indicated by the AN ID.
  • FIG. 2 is a diagram showing an outline of the present invention.
  • data When data is communicated between ECUs connected to the network, it is performed as follows. That is, after transmitting a message including data to be communicated (hereinafter referred to as a main message), a message including a MAC (message authentication code) corresponding to the data field of the main message (hereinafter referred to as a MAC message) is transmitted.
  • MAC messages authentication code
  • MAC message authentication code
  • the main side at the receiving side determines whether the MAC obtained from the data field of the received main message matches the MAC contained in the received MAC message. Verify the validity of the message.
  • the number of times each CAN D message is transmitted is counted and stored in each ECU.
  • the MAC is obtained using the data field of the main message, the CAN ID, and the counter value corresponding to the CAN ID.
  • the MAC may be calculated by any known method such as a method using a hash function (HMAC) or a method using a block encryption algorithm (CMAC or the like).
  • the MAC is obtained by an AES encryption algorithm that is one of the common key block ciphers.
  • the output is at least 128 bits, but since the data field in which the MAC is stored is 64 bits, predetermined 64 bits are extracted from the 128-bit output and used as the MAC.
  • Some common key encryption algorithms can output 64 bits, and the above extraction operation is not necessary when such a common key encryption algorithm is adopted.
  • each ECU since each ECU counts the number of message transmissions for each CAN ID, the counter value of each CAN ID is common to all ECUs. Therefore, the receiving ECU can also obtain the MAC from the data field and CAN ID included in the main message, and the counter value stored in the own node. The validity of the main message can be verified based on whether or not the MAC thus obtained matches the MAC included in the MAC message.
  • the CAN protocol since the CAN protocol is not changed, it can be mentioned that it is compatible with an existing system. For example, a hardware CAN controller can be used for the purpose of high-speed processing and cost reduction.
  • the corresponding MAC message can be transmitted immediately after the main message is transmitted, it is possible to immediately verify the validity of the main message.
  • FIG. 4 is a diagram illustrating functional units included in the ECU according to the present embodiment.
  • the ECU includes a CPU, a RAM, a ROM, an interface with a sensor and an actuator, and the functional units shown in FIG. 4 are realized by the CPU executing a program stored in the ROM.
  • the function unit shown in FIG. 4 shows all functions necessary for message transmission and message reception, and an appropriate function unit is selectively executed according to the processing content.
  • message authentication may be performed only for important messages.
  • the function units for message authentication as shown in FIG. 4 are not required.
  • the encryption key storage unit 5 stores a common encryption key (common key) in the CAN network. This encryption key must not leak to the outside.
  • the AES encryption algorithm is adopted and the key length is 128 bits. Of course, the key length may be longer, or an encryption algorithm other than AES may be adopted.
  • the counter storage unit 3 stores a counter value indicating the number of times a message has been transmitted on the network for each CAN ID. Since CAN is a bus-type architecture, all ECUs can refer to messages transmitted over the network, and counters can be updated in each ECU. It is sufficient for each ECU to update and store the counter only for the CAN ID that it may transmit / receive.
  • the counter is 53 bits. This is because 128 bits are required for the input to the encryption algorithm, so that the data field (64 bits) and CAN ID (11 bits) are combined to 128 bits.
  • the input to the encryption algorithm since the input to the encryption algorithm only needs to be padded, there is no problem even if the number of bits of the counter is smaller than this. For example, even when sending a message 20 years continuously at full speed in accordance with the CAN specification, since only 2 40 or so messages can not be sent, the counter value may be about 40 bits. Of course, repetition of the counter value may be allowed, and in that case, a smaller number of bits may be used.
  • FIG. 5 is a diagram illustrating the cooperation of the functional units in the transmission ECU.
  • FIG. 6 is a flowchart showing a flow of processing at the time of main message transmission.
  • the main message generation unit 9 generates a main message including a CAN ID and a data field and transmits it to the CAN.
  • the flowchart of FIG. 6 shows the flow of processing after the main message is transmitted.
  • the CAN ID extraction unit 6 extracts the CAN ID of the main message transmitted from the main message generation unit 9 (S101).
  • the CAN ID extraction unit 6 reads the counter value corresponding to the CAN ID of the main message from the counter storage unit 3 (S102), increments the counter by one, and updates the counter storage unit 3 (S103).
  • the extracted CAN ID and the updated counter value are sent to the MAC generation unit 4.
  • the data field extraction unit 7 extracts the data field of the main message transmitted by the main message generation unit 9 (S104).
  • the extracted data field is sent to the MAC generation unit 4.
  • the MAC generation unit 4 extracts an encryption key (common key) from the encryption key storage unit 5 (S105), and generates a MAC from the CAN ID, the latest counter value, and the transmitted data field using this encryption key ( S106).
  • an encryption key common key
  • the output of the encryption algorithm is 128 bits, but the data field to which the CAN data frame can be sent is 64 bits. Therefore, 64 bits are extracted from 128 bits of the output according to a rule common in the system. For example, the first 64 bits or the second 64 bits may be employed, or odd bits or even bits may be employed. Furthermore, depending on whether the CAN ID is an odd number or an even number, it may be determined whether to adopt the first 64 bits or the second 64 bits, whether to adopt odd bits or even bits.
  • the MAC generated by the MAC generation unit 4 is sent to the MAC message generation unit 1 (S107), and the MAC message generation unit 1 processes the MAC into a CAN message (MAC message) and transmits it to the CAN. That is, the calculated 64-bit MAC is stored in the data field of the MAC message. Further, as the CAN ID of the MAC message, an ID corresponding to the CAN ID of the main message is used. The correspondence between the main message and the CAN ID of the MAC message allows the receiving side ECU to know that the MAC is the main message having the corresponding CAN ID when the MAC message is received.
  • FIG. 7 is a diagram illustrating the cooperation of the functional units in the receiving ECU.
  • FIG. 8 is a flowchart showing the flow of processing when a main message is received.
  • the CAN ID extraction unit 6 extracts the CAN ID of the received main message via the CAN message analysis unit 8 (S201).
  • the content of a message is prescribed
  • the CAN ID extraction unit 6 reads the counter value corresponding to the extracted CAN ID from the counter storage unit 3 (S202), updates the counter storage unit 3 by incrementing the counter by one (S203).
  • the extracted CAN ID and the updated counter value are sent to the MAC generation unit 4.
  • the data field extraction unit 7 extracts the data field of the received main message via the CAN message analysis unit 8 (S204). The extracted data field is sent to the MAC generation unit 4.
  • the MAC generation unit 4 extracts the encryption key (common key) from the encryption key storage unit 5 (S205), and uses this encryption key to receive the received message data field, CAN ID, and the latest counter value corresponding to the CAN ID.
  • MAC is generated from (S206). Since the MAC generation method is the same as the method used for message transmission, detailed description is omitted.
  • the MAC generated by the MAC generation unit 4 is sent to the MAC comparison unit 2 (S207).
  • the receiving ECU waits for the CAN message analysis unit 8 to receive the MAC message corresponding to the main message (S208 to S209). As described above, since the CAN message ID is associated with the main message and the MAC message, the CAN message analyzing unit 8 waits for a message having a CAN ID corresponding to the CAN ID of the main message to arrive.
  • the data field extraction unit 7 extracts the MAC from the MAC message via the CAN message analysis unit 8 (S211). As described above, the MAC is stored in the data field (64 bits) of the MAC message. The MAC extracted by the data field extraction unit 7 is sent to the MAC comparison unit 2 (S212).
  • the MAC comparison unit 2 compares the MAC generated by the MAC generation unit 4 with the MAC extracted from the received MAC message (S213). If these two MACs are the same (S214-YES), it is found that the main message is valid, so the receiving ECU processes the main message (S216). On the other hand, if these two MACs are different (S214-NO), the receiving ECU does not process the main message because the main message is found to be invalid (S215).
  • Various processes after receiving an illegal main message are conceivable, but any countermeasure may be taken.
  • the counter value must be common to all ECUs in the system. While the system is activated, the counters can be made the same in all ECUs by counting messages transmitted over the network. However, the counter values must be matched even when the system is activated. For this purpose, it is conceivable to provide a readable / writable nonvolatile memory in all ECUs, store the counter value when the power is turned off, and read and use the counter value from the nonvolatile memory when the system is restarted. However, in this embodiment, the counter values at the start of the system are matched as follows without providing a non-volatile memory in all the ECUs.
  • any ECU in the network is used as a counter initialization ECU (hereinafter also referred to as a master node) for counter initialization processing.
  • the master node performs processing for notifying all ECUs of initial counter values for all CAN IDs (meaning CAN IDs corresponding to messages that require message authentication; the same shall apply hereinafter) when the system is started.
  • FIG. 9 is a diagram showing the cooperation of the functional units of the general node when the counter value initialization message is received from the master node.
  • FIG. 10A is a flowchart showing the flow of processing of the master node that transmits a counter value initialization message.
  • FIG. 10B is a flowchart showing the flow of processing of the general node that has received the initialization message.
  • the master node selects a CAN ID (S301), and generates a random number for determining the initial counter value of the CAN ID (S302). Then, this random number is transmitted as a counter initialization message in association with the CAN ID for initializing the counter (S303). The master node transmits such a counter initialization message for all CAN IDs.
  • the data field extraction unit 7 acquires the random value generated by the master node from the data field of the counter initialization message (S312). Then, this random number value is sent to the MAC generation unit 4. Then, using the encryption algorithm included in the MAC generation unit 4, the received random value is encrypted using the encryption key (common key) in the encryption key storage unit 5 (S313). The obtained numerical value is stored in the counter storage unit 3 as an initial value of the counter for CAN ID (S314). Note that the number of bits (128 bits) of the output of the encryption processing and the number of bits (53 bits) of the counter do not match. For example, the first half 53 bits or the second half 53 bits are adopted. The initial value of the counter is determined according to a common rule.
  • the present embodiment by verifying the main message using the message authentication code (MAC), it is determined whether the main message is a legitimate one or an illegal one transmitted from an unauthorized device. be able to.
  • the counter value used for MAC calculation changes, so if a replay attack that retransmits a previously received message is performed, the receiving ECU can detect an unauthorized attack due to the MAC difference. it can.
  • a CAN controller that processes a CAN message is implemented as hardware for the purpose of high-speed processing and cost reduction, but in the present embodiment, it can be implemented using such an existing CAN controller.
  • the data field, CAN ID, and counter value of the main message are used to calculate the MAC.
  • the data field and the CAN ID flow in the clear text on the network, but the counter value itself does not flow on the network. If the text before encryption and the text after encryption are all known, it is possible to decrypt the encryption key by receiving many messages. However, in this embodiment, the unauthorized device cannot obtain the counter value. The encryption key cannot be decrypted.
  • the receiving ECU can immediately determine the validity of the main message.
  • the present invention is not limited to the above-described embodiment, and various modifications are possible.
  • the encryption algorithm and the key length to be adopted may be arbitrary, and the bit length of the counter value may be set to an arbitrary length in consideration of the security requirement and the cost requirement.
  • the Example which applied this invention with respect to CAN was demonstrated above, if it is a communication system according to the protocol similar to CAN even if it is other than CAN, this invention can be applied.
  • the MAC is generated from the CAN ID and data field included in the main message and the counter value corresponding to the CAN ID.
  • the MAC is generated only from the data field and counter value of the main message. You may do it. Even in this way, it is possible to determine whether the main message is transmitted by a replay attack or the like or is valid.
  • the counter value is incremented when the main message is received and transmitted, and the MAC is calculated using the counter value after the increment.
  • the MAC is calculated using the counter value before the increment. It doesn't matter.
  • the counter value has been incremented by one. However, it is not always necessary to increment by one as long as a common rule is adopted in all the ECUs, and other values may be incremented.
  • the main message is processed after verifying that the main message is valid by the MAC.
  • the main message is processed first. You may verify its validity after you go. In this case, when it is determined that the message is invalid, the message having the corresponding CAN ID may be ignored thereafter.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Power Engineering (AREA)
  • Small-Scale Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

　各ＥＣＵにおいてＣＡＮＩＤごとにメッセージが送信された回数をカウント する。メインメッセージを送信した送信ノードは、メインメッセージのデータフィールドおよびＣＡＮＩＤと、ＣＡＮＩＤに対応するカウンタ値とからＭＡＣを生成して、ＭＡＣメッセージとして送信する。メインメッセージを受信した受信ノードは、メインメッセージに含まれるデータフィールドおよびＣＡＮＩＤと、ＣＡＮＩＤに対応するカウンタ値とからＭＡＣを生成して、ＭＡＣメッセージに含まれるＭＡＣと一致するか判断する。これにより、メインメッセージが正当なものであるか否か検証できる。こうすることで、ＣＡＮプロトコルを変更せずにＭＡＣによるメッセージ認証を行える。

Description

通信システムにおけるメッセージ認証方法および通信システム
　本発明は、通信システムにおけるメッセージ認証技術に関する。
　車載ネットワークとしてＣＡＮ（Controller Area Network）が採用されている。このＣＡＮにはＯＢＤ２ポートと呼ばれる診断用のポートが設けられており、ネットワーク上を流れるメッセージを受信したり、ネットワーク上にメッセージを送信したりすることができる。
　ＯＢＤ２ポートはメッセージのフィルタリング処理などを行わない直づけのインタフェースであるため、ＯＢＤ２ポートに不正機器が接続された場合は、リプレイ攻撃が行われる危険性がある。ここで述べるリプレイ攻撃とは、ネットワーク上を流れるメッセージを盗聴してその内容を記憶しておき、記憶したメッセージを再送することで不正な動作を引き起こす攻撃とする。なお、不正機器はメッセージの内容が分からなくても、メッセージ送信後の車両の挙動が分かれば、そのメッセージの意図も把握できる。
　このようなリプレイ攻撃を防ぐ技術として、ＣＡＮメッセージにメッセージ認証コード（ＭＡＣ）を埋め込む技術が提案されている（非特許文献１）。この提案では、図１１に示すように、Ｎ番目からＮ＋３番目の４つのＣＡＮメッセージに含まれるデータフィールド（６４×４＝２５６ビット）から６４ビットのＭＡＣを生成し、１６ビットずつに４分割して、Ｎ＋４番目からＮ＋７番目の４つのＣＡＮメッセージのＣＲＣフィールド（１６ビット）に埋め込んで送信している。
　受信側では、Ｎ＋４番目からＮ＋７番目のＣＡＮメッセージのＣＲＣフィールドからＭＡＣを取得し、Ｎ番目からＮ＋３番目のデータフィールドから生成されるＭＡＣと一致するか否かによってＮ番目からＮ＋３番目のＣＡＮメッセージが正当であるか判断する。ＣＲＣフィールドから得られるＭＡＣと、データフィールドから算出されるＭＡＣが異なる場合は、Ｎ番目からＮ＋３番目のＣＡＮメッセージのいずれかが不正であることが判断できる。
D. K. Nilsson, U. E. Larson, E. Jonsson, "Efficient In-Vehicle Delayed Data Authentication Based on Compound Message Authentication Codes", IEEE 68th VTC 2008-Fall, 2008, 1-5.
　しかしながら、非特許文献１に示す方法では、以下のような問題がある。第１に、Ｎ番目のメッセージの正当性を検証するためにＮ＋７番目までのメッセージを受信する必要があるので、メッセージの検証に時間を要するという問題がある。
　第２の問題点は、非特許文献１に示す方法は標準化されているＣＡＮのプロトコルを変更している点である。ＣＲＣフィールドは本来、データフィールド等のデータ内容の誤り検出のためのものである。ＣＡＮコントローラの処理をハードウェアによって実現している現状を考慮すると、プロトコルの変更は現実的ではない。したがって、この第２の問題点はより深刻なものである。
　本発明は、ＣＡＮプロトコルに適用可能な方式でメッセージの認証を可能とする技術を提供することを目的とする。
　本発明に係るメッセージ認証方法では、メインメッセージと、メインメッセージのメッセージ認証コード（Message Authentication Code: ＭＡＣ）を含むＭＡＣメッセージを送信する。受信側では、メインメッセージから算出されるＭＡＣとＭＡＣメッセージに含まれるＭＡＣが一致すればメインメッセージが正当なものであり、不一致であれば不正なものであると判断できる。本発明においては、以下のようにしてＭＡＣを生成する点に特徴がある。
　通信システム内の各ノードは、メインメッセージがネットワーク上を伝送する度にインクリメントするカウンタ値を記憶する。メインメッセージを送信するノードは、その送信に際してカウンタ値をインクリメントする。送信ノード以外は、ネットワーク上をメインメッセージが伝送したことを検知するとカウンタ値をインクリメントする。なお、カウンタ値の初期値は０である必要はなく任意であって良いが、各ノードで共通とする必要がある。また、インクリメントは、必ずしもカウンタ値を１ずつ増分させるものでなくても良い。各ノードが共通のルールに従ってカウンタ値を変化させる方式、すなわち全てのノードでカウンタ値が共通となる方式であれば、メインメッセージ送信の度に任意の方式に従ってカウンタ値を変化させる方式であっても構わない。
　メインメッセージの送信ノードは、このカウンタ値を利用してＭＡＣメッセージに含めるＭＡＣを生成する。より具体的には、メインメッセージとカウンタ値に所定のアルゴリズムを適用してＭＡＣを生成する。この所定のアルゴリズムは、例えば共通鍵暗号による暗号アルゴリズムであったり、暗号鍵の事前共有を必要とする鍵付きハッシュ関数などであったりすることができる。なお、ＭＡＣを生成する際にメインメッセージの全データビットを利用する必要はなく、その一部のみとカウンタ値からＭＡＣを生成しても良い。
　メインメッセージの受信ノードも同様に、受信したメインメッセージとカウンタ値に所定の暗号アルゴリズムを適用してＭＡＣを生成する。
　このような本発明によると、ＣＡＮプロトコルに適用可能な方式で、ＭＡＣによってメインメッセージの正当性を検証することができる。たとえば、不正機器が以前に受信したメインメッセージと対応するＭＡＣメッセージを送信した場合であっても、再送時にはカウンタ値が変化しているため正しいＭＡＣも変化している。したがって、不正機器がリプレイ攻撃を行っても、受信ノードにおいてメインメッセージが不正であることを検知できる。
　また、本発明では、メインメッセージは平文の状態でネットワーク上を伝送するため不正機器がメインメッセージを知ることができるが、カウンタ値はネットワーク上を伝送せず不正機器には未知である。したがって、メインメッセージおよびＭＡＣメッセージを盗聴しても、そこからＭＡＣを生成するための暗号アルゴリズムや暗号鍵を推測できないという利点もある。
　本発明において、メインメッセージは、メッセージＩＤとデータフィールドを含むものであることができる。この場合、メインメッセージのカウンタ値は、メッセージＩＤごとに個別にカウントすることが好ましい。そして、ＭＡＣの生成は、メインメッセージに含まれるメッセージＩＤおよびデータフィールドと、このメッセージＩＤに対応するカウンタ値とに基づいて生成することが好ましい。なお、このような場合であってもデータフィールドとカウンタ値のみからＭＡＣを生成しても構わない。
　また、本発明において、ＭＡＣは、メッセージＩＤ、データフィールドおよびメッセージＩＤに対応するカウンタに共通鍵暗号アルゴリズムを作用させて生成されるビット列から、所定のビットを抽出して生成することが好ましい。この方式は、共通鍵暗号アルゴリズムから得られるビット列が、ＭＡＣメッセージに格納可能なビット数を超える場合に有効である。なお、ビットの抽出方法は、各ノードで共通していれば任意の方法であって良い。例えば、共通鍵暗号アルゴリズムから得られるビット列から、前半部分のビット列を抽出したり、後半部分のビット列を抽出したり、奇数番目のビット列を抽出したり、偶数番目のビット列を抽出したりすることができる。
　また、本発明において、カウンタ値の初期化はマスタノードからの通知によって行うことが好ましい。すなわち、ネットワーク上の１つのノードがマスタノードとなって、各メッセージＩＤに対応するカウンタ値の初期値を、通信システム起動時にブロードキャストによって通知することが好ましい。
　このようにすれば、各ノードが不揮発性のメモリを有していなくても、全てのノードでカウンタ値を同一とすることができる。
　カウンタ値の初期化は、より具体的には、以下のようにして行うことが好ましい。すなわち、マスタノードは、メッセージＩＤごとに乱数値を生成して、ブロードキャスト送信する。各ノードは、ブロードキャスト送信された乱数値を取得して、この乱数値に対して共通鍵暗号アルゴリズムを作用させる。そして、得られた値をカウンタ値の初期値として採用する。
　このようにすれば、カウンタ値の初期値が、ネットワーク上を直接流れることがないため、不正機器はどのような値でカウンタ値が初期化されたか知ることができない。初期値がわかれば、任意の時点におけるカウンタ値を知ることが可能となり、メインメッセージとＭＡＣメッセージから暗号鍵を解読することも可能となり得るが、カウンタの初期値を秘匿化することでこのような危険性も回避できる。
　なお、本発明は、上記処理の少なくとも一部を含むメッセージ認証方法として捉えることができる。また、本発明は、この方法を実行するコンピュータプログラムとして捉えることもできる。また、本発明は、上記処理の少なくとも一部を実行する通信システムおよび、通信システムを構成する通信装置として捉えることができる。上記手段および処理の各々は可能な限り互いに組み合わせて本発明を構成することができる。
　本発明によれば、ＣＡＮプロトコルに適用可能な方式でメッセージの認証が可能となる。
ＣＡＮプロトコルにおけるデータフレームのフォーマットを示す図。 本実施形態におけるメッセージ検証処理の概要を説明する図。 本実施形態におけるＭＡＣ算出方法の概要を説明する図。 本実施形態におけるＥＣＵの機能構成を示す図。 メッセージを送信するＥＣＵにおける各機能部の連携を示す図。 メインメッセージを送信するＥＣＵにおける処理の流れを示すフローチャート。 メッセージを受信するＥＣＵにおける各機能部の連携を示す図。 メインメッセージを受信するＥＣＵにおける処理の流れを示すフローチャート。 カウンタ初期化メッセージを受信するＥＣＵにおける各機能部の連携を示す図。 （ａ）カウンタ初期化メッセージを送信するマスタノードにおける処理の流れを示すフローチャートと、（ｂ）カウンタ初期化メッセージを受信する一般ノードにおける処理の流れを示すフローチャート。 非特許文献１におけるメッセージ検証方法を説明する図。
　本実施形態の説明の前にＣＡＮ（Controller Area Network）プロトコルの概要について説明する。ＣＡＮは相互接続された機器間のデータ伝送に用いられる通信プロトコルであり、例えば自動車内の各種ＥＣＵ（Electronic Control Unit）間の通信などに用いられる。
　図１は、ＣＡＮに用いられるデータフレームのフォーマットを示した図である。データフレームは、ＣＡＮ　ＩＤ（１０１）、データフィールド（１０２）、ＣＲＣフィールド（１０３）などを含む。図示した以外のフィールドについての説明は割愛する。ＣＡＮではＣＡＮ　ＩＤを用いてメッセージのアドレッシングが行われる。すなわち、ＣＡＮ　ＩＤによって、このメッセージがどのようなデータであるのかを示し、受信側はＣＡＮ　ＩＤを参照して自ノードが処理する必要のあるデータか否かを判断する。データフィールドは（最大で）６４ビットのフィールドであり、この中にデータの内容が格納される。ＣＲＣフィールドは、データフィールドなどから計算されるＣＲＣコードが格納され、通信に伴うビット落ちを検出可能とする。
　以上のように、ＣＡＮにおいては、メッセージに送信元や宛先を示すＩＤは付与されず、ＡＮ　ＩＤによってデータの内容や受信ノードが指示される。
　本実施形態では、ＣＡＮネットワークに本発明を適用して、メッセージの正当性検証を行う。以下、図面を参照しながら本実施形態について説明する。
（概要）
　図２は、本発明の概要を示す図である。ネットワークに接続されたＥＣＵ間でデータを通信する場合には次のようにして行う。すなわち、通信すべきデータを含むメッセージ（以下、メインメッセージ）を送信した後に、メインメッセージのデータフィールドに対するＭＡＣ（メッセージ認証コード）を含むメッセージ（以下、ＭＡＣメッセージ）を送信する。ＭＡＣによるメッセージ認証自体は既知な仕組みであり、本実施形態においても、受信したメインメッセージのデータフィールドから得られるＭＡＣと受信したＭＡＣメッセージに含まれるＭＡＣが一致するか否かによって、受信側においてメインメッセージの正当性を検証する。
　本実施形態においては、図３（Ａ）に示すように、それぞれのＥＣＵにおいて各ＣＡＮ　Ｄのメッセージが送信された回数をカウントして記憶する。そして、図３（Ｂ）に示すように、メインメッセージのデータフィールドと、ＣＡＮ　ＩＤと、このＣＡＮ　ＩＤに対応するカウンタ値とを使ってＭＡＣを求める点に特徴がある。ＭＡＣの算出は、ハッシュ関数を使う方式（ＨＭＡＣ）や、ブロック暗号アルゴリズムを使う方式（ＣＭＡＣなど）の任意の既知の手法によって行えば良い。本実施形態では、共通鍵ブロック暗号の一つであるＡＥＳ暗号アルゴリズムによってＭＡＣを求める。ＡＥＳでは出力が少なくとも１２８ビットになるが、ＭＡＣが格納されるデータフィールドは６４ビットなので、１２８ビットの出力から所定の６４ビットを抽出してＭＡＣとして利用する。なお共通鍵暗号アルゴリズムの中には６４ビットを出力可能なものも存在し、そのような共通鍵暗号アルゴリズムを採用する際には上記の抽出作業は不要である。
　本実施形態においては、各ＥＣＵがそれぞれＣＡＮ　ＩＤごとにメッセージ送信回数をカウントしているため、各ＣＡＮ　ＩＤのカウンタ値は全ＥＣＵにおいて共通となる。したがって、受信側ＥＣＵにおいても、メインメッセージに含まれるデータフィールドとＣＡＮ　ＩＤ、および自ノードが記憶しているカウンタ値からＭＡＣを求めることができる。そして、このようにして求めたＭＡＣとＭＡＣメッセージに含まれるＭＡＣが一致するか否かによって、メインメッセージの正当性を検証可能である。
　本実施形態の効果を簡単に説明すると、第１にＣＡＮプロトコルを変更していないので、既存システムとの互換性があることを挙げられる。例えば、高速処理および低価格化を目的としてハードウェア化されているＣＡＮコントローラを利用することができる。第２に、メッセージ送信の度にカウンタ値が更新されるので、不正機器が以前に受信したメッセージをそのまま送信しても、受信側において不正なメッセージであることが検証可能である。第３に、カウンタ値がネットワーク上を流れないため、メインメッセージとＭＡＣメッセージを受信して暗号鍵を解読する試みも事実上不可能である。第４に、メインメッセージ送信直後に対応するＭＡＣメッセージを送信できるので、即座にメインメッセージの正当性検証が可能である。
（構成）
　以下では、より詳細に本実施形態について説明する。図４は、本実施形態におけるＥＣＵが有する機能部を示す図である。ＥＣＵは、ＣＰＵ、ＲＡＭ、ＲＯＭ、センサやアクチュエータとのインタフェースなどから構成されており、ＲＯＭに格納されたプログラムをＣＰＵが実行することで、図４に示す各機能部が実現される。図４に示した機能部は、メッセージ送信およびメッセージ受信に必要な機能全てが示されており、処理内容に応じて適切な機能部が選択的に実行される。
　なお、本実施形態において、全てのメッセージについてＭＡＣによるメッセージ認証を行う必要はない。すなわち、重要なメッセージについてのみメッセージ認証を行っても良い。そして、メッセージ認証が必要ないメッセージのみを送受信するＥＣＵについては、図４に示したようなメッセージ認証のための各機能部は不要である。
　図４に示した各機能部の詳細については、メッセージ送受信処理とともに説明を行うが、いくつかの機能部については、ここで説明を加える。
　暗号鍵記憶部５には、ＣＡＮネットワーク内で共通な暗号鍵（共通鍵）が記憶される。この暗号鍵は、外部に漏洩しないことが必要である。本実施形態では、ＡＥＳ暗号アルゴリズムを採用し鍵長は１２８ビットとする。もちろん、鍵長はより長くても良いし、ＡＥＳ以外の暗号アルゴリズムを採用しても構わない。
　カウンタ記憶部３には、ＣＡＮ　ＩＤごとにネットワーク上をメッセージが伝送された回数を表すカウンタ値が格納される。ＣＡＮはバス型アーキテクチャであるため、ネットワーク上を伝送されるメッセージを全てのＥＣＵが参照可能であり、各ＥＣＵにおいてカウンタの更新が可能である。なお、それぞれのＥＣＵは、自身が送受信する可能性があるＣＡＮ　ＩＤについてのみカウンタを更新・記憶すれば十分である。
　なお、本実施形態においてカウンタは５３ビットとする。これは、暗号アルゴリズムへの入力が１２８ビット必要なので、データフィールド（６４ビット）とＣＡＮ　ＩＤ（１１ビット）と合わせて１２８ビットとするためである。ただし、暗号アルゴリズムへの入力はパディングを行えば良いので、カウンタのビット数はこれより少なくても問題ない。例えば、ＣＡＮの仕様にしたがって２０年間継続的に最大限の速度でメッセージを送信したとしても、２４０個程度のメッセージしか送信できないので、カウンタ値は４０ビット程度としても良い。もちろんカウンタ値の繰り返しを許容しても良く、その場合はより少ないビット数であっても構わない。
（メッセージ送信時処理）
　まず、メインメッセージを送信するＥＣＵが行う処理を、図５および図６を参照しつつ説明する。図５は、送信ＥＣＵにおける各機能部の連携を示す図である。図６は、メインメッセージ送信時の処理の流れを示すフローチャートである。
　メインメッセージ生成部９は、ＣＡＮ　ＩＤおよびデータフィールドを含むメインメッセージを生成してＣＡＮに送信する。図６のフローチャートには、メインメッセージを送信した後の処理の流れが示されている。メインメッセージを送信すると、ＣＡＮ　ＩＤ抽出部６がメインメッセージ生成部９から送信したメインメッセージのＣＡＮ　ＩＤを抽出する（Ｓ１０１）。ＣＡＮ　ＩＤ抽出部６は、メインメッセージのＣＡＮ　ＩＤに対応するカウンタ値をカウンタ記憶部３から読み取り（Ｓ１０２）、カウンタを１つ増加させてカウンタ記憶部３を更新する（Ｓ１０３）。抽出されたＣＡＮ　ＩＤおよび更新後のカウンタ値は、ＭＡＣ生成部４に送られる。
　また、データフィールド抽出部７は、メインメッセージ生成部９が送信したメインメッセージのデータフィールドを抽出する（Ｓ１０４）。抽出されたデータフィールドは、ＭＡＣ生成部４に送られる。
　ＭＡＣ生成部４は、暗号鍵記憶部５から暗号鍵（共通鍵）を取り出し（Ｓ１０５）、この暗号鍵を用いて、ＣＡＮ　ＩＤ、最新のカウンタ値、送信済みのデータフィールドからＭＡＣを生成する（Ｓ１０６）。なお、上述したように本実施形態ではＡＥＳを採用しているため暗号アルゴリズムの出力は１２８ビットであるが、ＣＡＮのデータフレームが送れるデータフィールドは６４ビットである。したがって、システム内で共通するルールに従って出力の１２８ビットから６４ビットを抽出する。例えば、前半６４ビットや後半６４ビットを採用しても良いし、奇数ビットや偶数ビットを採用しても良い。さらには、ＣＡＮ　ＩＤが奇数か偶数かによって、前半６４ビットを採用するか後半６４ビットを採用するか、あるいは奇数ビットを採用するか偶数ビットを採用するかなどを決めても構わない。
　ＭＡＣ生成部４が生成したＭＡＣはＭＡＣメッセージ生成部１へ送られ（Ｓ１０７）、ＭＡＣメッセージ生成部１がＭＡＣをＣＡＮメッセージ（ＭＡＣメッセージ）に加工してＣＡＮに送信する。すなわち、計算された６４ビットのＭＡＣがＭＡＣメッセージのデータフィールドに格納される。また、ＭＡＣメッセージのＣＡＮ　ＩＤは、メインメッセージのＣＡＮ　ＩＤに対応するＩＤが用いられる。メインメッセージとＭＡＣメッセージのＣＡＮ　ＩＤの対応によって、受信側ＥＣＵでは、ＭＡＣメッセージを受信した場合に対応するＣＡＮ ＩＤを有するメインメッセージに対するＭＡＣであることが把握できる。
（メッセージ受信時処理）
　次に、メインメッセージを受信してその検証を行うＥＣＵの処理を、図７および図８を参照しつつ説明する。図７は、受信ＥＣＵにおける各機能部の連携を示す図である。図８は、メインメッセージ受信時の処理の流れを示すフローチャートである。
　ＥＣＵがメインメッセージを受信すると、ＣＡＮ　ＩＤ抽出部６がＣＡＮメッセージ解析部８を経由して、受信したメインメッセージのＣＡＮ　ＩＤを抽出する（Ｓ２０１）。なお、ＣＡＮ　ＩＤごとにメッセージの内容が規定されているため、ＣＡＮ　ＩＤを参照することでそのメッセージがＭＡＣによる認証を必要とするものか否かも判断できる。受信したメインメッセージがＭＡＣによる認証を必要としないものであれば、以下の処理は行う必要がない。また、受信したメッセージが自ノードで処理する必要がないものである場合も、以下の処理を行う必要がない。
　受信したメインメッセージは自ノードが処理する必要があるものであり、かつＭＡＣによるメッセージ認証が行われるものであると、抽出したＣＡＮ　ＩＤから判断される場合には以下の処理が行われる。ＣＡＮ　ＩＤ抽出部６は、抽出したＣＡＮ　ＩＤに対応するカウンタ値をカウンタ記憶部３から読み取り（Ｓ２０２）、カウンタを１つ増加させてカウンタ記憶部３を更新する（Ｓ２０３）。抽出されたＣＡＮ　ＩＤおよび更新後のカウンタ値は、ＭＡＣ生成部４に送られる。
　また、データフィールド抽出部７は、ＣＡＮメッセージ解析部８を経由して、受信したメインメッセージのデータフィールドを抽出する（Ｓ２０４）。抽出されたデータフィールドは、ＭＡＣ生成部４に送られる。
　ＭＡＣ生成部４は、暗号鍵記憶部５から暗号鍵（共通鍵）を取り出し（Ｓ２０５）、この暗号鍵を用いて、受信したメッセージのデータフィールド、ＣＡＮ　ＩＤおよびＣＡＮ　ＩＤに対応する最新のカウンタ値からＭＡＣを生成する（Ｓ２０６）。ＭＡＣの生成方法は、メッセージ送信の際の方法と同じであるため詳細な説明は省略する。ＭＡＣ生成部４が生成したＭＡＣは、ＭＡＣ比較部２へと送られる（Ｓ２０７）。
　受信側ＥＣＵは、メインメッセージに対応するＭＡＣメッセージをＣＡＮメッセージ解析部８が受信するのを待つ（Ｓ２０８～Ｓ２０９）。上述のように、メインメッセージとそのＭＡＣメッセージとはＣＡＮ　ＩＤが対応付けられているので、ＣＡＮメッセージ解析部８は、メインメッセージのＣＡＮ　ＩＤに対応するＣＡＮ　ＩＤを有するメッセージが到着するのを待つ。
　メインメッセージに対応するＭＡＣメッセージが到着すると（Ｓ２０９－ＹＥＳ）、データフィールド抽出部７が、ＣＡＮメッセージ解析部８を経由して、ＭＡＣメッセージからＭＡＣを抽出する（Ｓ２１１）。上述したように、ＭＡＣはＭＡＣメッセージのデータフィールド（６４ビット）に格納されている。データフィールド抽出部７が抽出したＭＡＣは、ＭＡＣ比較部２へと送られる（Ｓ２１２）。
　ＭＡＣ比較部２は、ＭＡＣ生成部４が生成したＭＡＣと、受信したＭＡＣメッセージから抽出されたＭＡＣとを比較する（Ｓ２１３）。これら２つのＭＡＣが同じであれば（Ｓ２１４－ＹＥＳ）、メインメッセージが正当なものであることが分かるので、受信ＥＣＵはメインメッセージを処理する（Ｓ２１６）。一方、これら２つのＭＡＣが異なるものであれば（Ｓ２１４－ＮＯ）、メインメッセージが不正なものであることが分かるので、受信ＥＣＵはメインメッセージを処理しない（Ｓ２１５）。なお、不正なメインメッセージを受信した後の処理は種々考えられるが、どのような対応を行っても構わない。
（カウンタ初期化処理）
　次に、ＣＡＮ　ＩＤごとのカウンタ値の初期化について説明する。カウンタ値はシステム内の全ＥＣＵで共通することが必要である。システム起動中はネットワークを伝送されるメッセージをカウントすることで全ＥＣＵにてカウンタを同一とすることができるが、システム起動時においてもカウンタ値を一致させる必要がある。このために、全ＥＣＵに読み書き可能な不揮発性メモリを設け、電源オフ時のカウンタ値を記憶し、システム再開時にこの不揮発性メモリからカウンタ値を読み込んで使用することが考えられる。しかしながら、本実施形態では、全ＥＣＵに不揮発性メモリを設けずにシステム開始時のカウンタ値を、以下のようにして一致させる。
　本実施形態においては、カウンタの初期化処理のために、ネットワーク内の任意のＥＣＵをカウンタ初期化用のＥＣＵ（以下、マスタノードともいう）として利用する。マスタノードは、システム開始時に全てのＣＡＮ　ＩＤ（メッセージ認証が必要なメッセージに対応するＣＡＮ　ＩＤという意味。以下同じ。）についてカウンタ値の初期値を全ＥＣＵに通知する処理を行う。
　図９は、マスタノードからカウンタ値の初期化メッセージを受信した際の、一般ノードの各機能部の連携を示した図である。図１０（ａ）は、カウンタ値の初期化メッセージを送信するマスタノードの処理の流れを示すフローチャートである。図１０（ｂ）は、初期化メッセージを受信した一般ノードの処理の流れを示すフローチャートである。
　まず、マスタノードが行う処理について図１０（ａ）を参照して説明する。マスタノードは、システムが起動すると、ＣＡＮ　ＩＤを選択して（Ｓ３０１）、そのＣＡＮ　ＩＤのカウンタ初期値を決定するための乱数を発生させる（Ｓ３０２）。そして、カウンタを初期化するＣＡＮ　ＩＤと関連づけて、カウンタ初期化メッセージとしてこの乱数を送信する（Ｓ３０３）。マスタノードでは、全てのＣＡＮ　ＩＤについて、このようなカウンタ初期化メッセージを送信する。
　次に、一般ノードが行う処理を図９および図１０（ｂ）を参照して説明する。一般ノードは、カウンタ初期化メッセージを受信した場合に（Ｓ３１１）、そのメッセージが自ノードで送受信する（すなわち、カウンタ値を記憶する必要がある）ＣＡＮ　ＩＤに対するカウンタ初期化メッセージであれば以下の処理を行う。
　データフィールド抽出部７が、カウンタ初期化メッセージのデータフィールドから、マスタノードが生成した乱数値を取得する（Ｓ３１２）。そして、この乱数値はＭＡＣ生成部４に送られる。そして、ＭＡＣ生成部４に含まれる暗号アルゴリズムを使用して、受信した乱数値を暗号鍵記憶部５内の暗号鍵（共通鍵）を用いて暗号化する（Ｓ３１３）。そして、得られた数値をこのＣＡＮ　ＩＤ用のカウンタの初期値として、カウンタ記憶部３に記憶する（Ｓ３１４）。なお、暗号化処理の出力のビット数（１２８ビット）とカウンタのビット数（５３ビット）は一致していないので、例えば前半５３ビットを採用したり後半５３ビットを採用したりするなど、システム内で共通のルールに従ってカウンタの初期値を決定する。
　このようにすることで、カウンタを記憶するための不揮発性メモリを設ける必要なく、またカウンタ値自体を平文でネットワーク上を伝送させることなく、システム起動時に全ＥＣＵにおいてカウンタ値を共通なものとすることができる。
（本実施形態の作用・効果）
　本実施形態によれば、メッセージ認証コード（ＭＡＣ）を用いてメインメッセージの検証を行うことで、メインメッセージが正規なものであるか、不正機器から送信された不正なものであるかを判断することができる。メッセージ送信の度に、ＭＡＣ算出に用いられるカウンタ値が変化するので、以前に受信したメッセージを再送するリプレイ攻撃を行った場合には、受信側ＥＣＵでＭＡＣの相違により不正攻撃を検知することができる。
　また、本実施形態によるＭＡＣによるメッセージ検証処理は、標準化されているＣＡＮのプロトコルにしたがった設計となっているため、既存システムへの影響を小さくすることができる。たとえば、ＣＡＮメッセージを処理するＣＡＮコントローラは、高速処理および低価格化を目的としてハードウェア化されているが、本実施形態ではこのような既存のＣＡＮコントローラを用いて実装できる。
　また、本実施形態においては、ＭＡＣを算出するためにメインメッセージのデータフィールドとＣＡＮ　ＩＤとカウンタ値を利用している。ここで、データフィールドおよびＣＡＮ　ＩＤは平文でネットワーク上を流れるが、カウンタ値自体はネットワーク上を流れない。暗号化前のテキストと暗号化後のテキストが全て分かれば、多くのメッセージを受信することで暗号鍵を解読することが可能となるが、本実施形態では不正機器はカウンタ値を得られないため暗号鍵の解読も不可能となる。
　また、メインメッセージを送信した後、即座に対応するＭＡＣメッセージを送信できる設計となっているため、受信ＥＣＵ側ではメインメッセージの正当性を即座に判断することができる。
（変形例）
　本発明は、以上の実施形態に限定されることなく、種々の変形が可能であることは明らかであろう。例えば、採用する暗号アルゴリズムや鍵長などは任意のものであって良いし、カウンタ値のビット長なども安全性に対する要求とコストに対する要求を勘案して任意の長さにすることができる。また、上記ではＣＡＮに対して本発明を適用した実施例を説明したが、ＣＡＮ以外であってもＣＡＮと類似するプロトコルにしたがった通信システムであれば本発明を適用できる。
　また、上記の実施形態においてはメインメッセージに含まれるＣＡＮ　ＩＤとデータフィールドと、ＣＡＮ　ＩＤに対応するカウンタ値からＭＡＣを生成しているが、メインメッセージのデータフィールドとカウンタ値のみからＭＡＣを生成するようにしても良い。このようにしても、メインメッセージがリプレイ攻撃などによって送信されたものであるか、正当なものであるかの判断は可能である。
　また、上記の説明においては、メインメッセージ受信時および送信時にカウンタ値をインクリメントし、インクリメント後のカウンタ値を使ってＭＡＣを算出しているが、インクリメント前のカウンタ値を用いてＭＡＣを算出しても構わない。また、カウンタ値のインクリメントは１ずつの増分であるとして説明したが、全ＥＣＵで共通のルールが採用されれば必ずしも１ずつ増分する必要はなく、それ以外の値ずつ増分させても構わない。
　また、上記の実施形態においてはＭＡＣによってメインメッセージが正当であることを検証してからメインメッセージの処理を行っているが、処理のリアルタイム性が要求されるメッセージについては、まずメインメッセージの処理を行ってからその正当性を検証しても構わない。この場合、メッセージが不正なものであると判定された場合には、それ以降は該当するＣＡＮ　ＩＤを有するメッセージを無視したりすればよい。
　１　ＭＡＣメッセージ生成部
　２　ＭＡＣ比較部
　３　カウンタ記憶部
　４　ＭＡＣ生成部
　５　暗号鍵記憶部
　６　ＣＡＮ　ＩＤ抽出部
　７　データフィールド抽出部
　８　ＣＡＮメッセージ解析部
　９　ＣＡＮメッセージ生成部

Claims (14)

  1. 　複数のノードがネットワーク接続された通信システムにおけるメッセージ認証方法であって、
    　各ノードが、他のノードによってメインメッセージが送信される度に、各ノードに記憶されているカウンタ値をインクリメントするステップと、
    　送信ノードが、メインメッセージを送信するステップと、
    　送信ノードが、前記メインメッセージの送信に際し、カウンタ値をインクリメントするステップと、
    　送信ノードが、前記メインメッセージおよび前記カウンタ値に基づいて生成されるメッセージ認証コードを含むＭＡＣメッセージを送信するステップと、
    　受信ノードが、前記メインメッセージおよび前記ＭＡＣメッセージを受信するステップと、
    　受信ノードが、前記メインメッセージおよび前記カウンタ値に基づいて生成されるメッセージ認証コードと、前記ＭＡＣメッセージに含まれるメッセージ認証コードとが一致するか否かによって、前記メインメッセージの正当性を検証するステップと、
    　を含む、メッセージ認証方法。
  2. 　前記メッセージ認証コードは、共通鍵を用いた暗号アルゴリズムによって生成される、
    　請求項１に記載のメッセージ認証方法。
  3. 　複数のノードがネットワーク接続された通信システムにおけるメッセージ認証方法であって、
    　各ノードが、所定のメッセージＩＤを有するメッセージが他のノードによって送信される度に、各ノードに記憶されている当該メッセージＩＤに対応するカウンタ値をインクリメントするステップと、
    　送信ノードが、メッセージＩＤとデータフィールドを含むメインメッセージを送信する
    ステップと、
    　送信ノードが、前記メインメッセージの送信に際し、前記メッセージＩＤに対応するカウンタ値をインクリメントするステップと、
    　送信ノードが、前記メッセージＩＤ、前記データフィールド、および前記メッセージＩＤに対応するカウンタ値に基づいて生成されるメッセージ認証コードを含むＭＡＣメッセージを送信するステップと、
    　受信ノードが、前記メインメッセージおよび前記ＭＡＣメッセージを受信するステップと、
    　受信ノードが、前記メインメッセージに含まれる前記メッセージＩＤおよび前記データフィールドと、前記メッセージＩＤに対応するカウンタ値とに基づいて生成されるメッセージ認証コードが、前記ＭＡＣメッセージに含まれるメッセージ認証コードと一致するか否かによって、前記メインメッセージの正当性を検証するステップと、
    　を含む、メッセージ認証方法。
  4. 　前記メッセージ認証コードは、共通鍵を用いた暗号アルゴリズムによって生成される、
    　請求項３に記載のメッセージ認証方法。
  5. 　前記メッセージ認証コードは、前記メッセージＩＤ、前記データフィールド、および前記メッセージＩＤに対応するカウンタ値に対して、前記共通鍵を用いた前記暗号アルゴリズムを作用させて生成されるビット列から、所定のビットを抽出して生成される、
    　請求項４に記載のメッセージ認証方法。
  6. 　マスタノードが、通信システム起動時に、各メッセージＩＤに対応するカウンタ値の初期値をブロードキャストによって通知する、
    　請求項３～５のいずれかに記載のメッセージ認証方法。
  7. 　前記マスタノードは、メッセージＩＤごとに乱数値を生成してブロードキャスト送信し、
    　各ノードは、受信された乱数値に対して、共通鍵を用いた暗号アルゴリズムを作用させて生成される数値を、各メッセージＩＤに対応するカウンタ値の初期値として利用する、
    　請求項６に記載のメッセージ認証方法。
  8. 　少なくとも送信ノードと受信ノードがネットワーク接続された通信システムであって、
    　送信ノードは、
    　カウンタ値を記憶するカウンタ値記憶手段と、
    　他のノードが送信したメインメッセージを受信する度、および自ノードがメインメッセージを送信する度に、カウンタ値をインクリメントするカウンタ値インクリメント手段と、
    　メインメッセージを送信するメインメッセージ送信手段と、
    　前記メインメッセージおよび前記カウンタ値に基づいて生成されるメッセージ認証コードを含むＭＡＣメッセージを送信するＭＡＣメッセージ送信手段と、
    　を有し、
    　受信ノードは、
    　カウンタ値を記憶するカウンタ値記憶手段と、
    　メインメッセージを受信する度に、カウンタ値をインクリメントするカウンタ値インクリメント手段と、
    　送信ノードから送信されるメインメッセージおよびＭＡＣメッセージを受信する受信手段と、
    　前記メインメッセージおよび前記カウンタ値に基づいて生成されるメッセージ認証コードが、前記ＭＡＣメッセージに含まれるメッセージ認証コードと一致するか否かによって、前記メインメッセージの正当性を検証するメッセージ検証手段と、
    　を有する、
    　通信システム。
  9. 　前記送信ノードのＭＡＣメッセージ送信手段と前記受信ノードのメッセージ検証手段は、共通鍵を用いた暗号アルゴリズムによってメッセージ認証コードを生成する、
    　請求項８に記載の通信システム。
  10. 　少なくとも送信ノードと受信ノードがネットワーク接続された通信システムであって、
    　送信ノードは、
    　メッセージＩＤに対応するカウンタ値を記憶するカウンタ値記憶手段と、
    　所定のメッセージＩＤを有するメインメッセージが他のノードによって送信される度、および自ノードが所定のメッセージＩＤを有するメインメッセージを送信する度に、当該メッセージＩＤに対応するカウンタ値をインクリメントするカウンタ値インクリメント手段と、
    　メッセージＩＤとデータフィールドとを含むメインメッセージを送信するメインメッセージ送信手段と、
    　前記メッセージＩＤ、前記データフィールド、および前記メッセージＩＤに対応するカウンタ値に基づいて生成されるメッセージ認証コードを含むＭＡＣメッセージを送信する
    ＭＡＣメッセージ送信手段と、
    　を有し、
    　受信ノードは、
    　メッセージＩＤに対応するカウンタ値を記憶するカウンタ値記憶手段と、
    　所定のメッセージＩＤを有するメインメッセージが他のノードによって送信される度に、当該メッセージＩＤに対応するカウンタ値をインクリメントするカウンタ値インクリメント手段と、
    　送信ノードから送信されるメインメッセージおよびＭＡＣメッセージを受信する受信手段と、
    　前記メインメッセージに含まれる前記メッセージＩＤおよび前記データフィールドと、前記メッセージＩＤとに対応するカウンタ値に基づいて生成されるメッセージ認証コードが、前記ＭＡＣメッセージに含まれるメッセージ認証コードと一致するか否かによって、前記メインメッセージの正当性を検証するメッセージ検証手段と、
    　を有する、
    　通信システム。
  11. 　前記送信ノードのＭＡＣメッセージ送信手段と前記受信ノードのメッセージ検証手段は、共通鍵を用いた暗号アルゴリズムによってメッセージ認証コードを生成する、
    　請求項１０に記載の通信システム。
  12. 　前記送信ノードのＭＡＣメッセージ送信手段と前記受信ノードのメッセージ検証手段は、前記メッセージＩＤ、前記データフィールド、および前記メッセージＩＤに対応するカウンタ値に対して、前記共通鍵を用いた前記暗号アルゴリズムによって生成されるビット列から、所定のビットを抽出してメッセージ認証コードを生成する、
    　請求項１１に記載の通信システム。
  13. 　通信システム起動時に、各メッセージＩＤに対応するカウンタ値の初期値をブロードキャストによって通知するマスタノードをさらに含む、
    　請求項１０～１２のいずれかに記載の通信システム。
  14. 　前記マスタノードは、メッセージＩＤごとに乱数値を生成してブロードキャスト送信し、
    　前記送信ノードおよび受信ノードは、受信された乱数値に対して、共通鍵を用いた暗号アルゴリズムによって生成される数値を、各メッセージＩＤに対応するカウンタ値の初期値として利用する、
    　請求項１３に記載の通信システム。
PCT/JP2012/078049 2011-10-31 2012-10-30 通信システムにおけるメッセージ認証方法および通信システム Ceased WO2013065689A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP12846706.5A EP2775660B1 (en) 2011-10-31 2012-10-30 Message authentication method in communication system and communication system
US14/355,038 US9331854B2 (en) 2011-10-31 2012-10-30 Message authentication method in communication system and communication system
CN201280053525.0A CN104025506B (zh) 2011-10-31 2012-10-30 通信系统中的消息认证方法及通信系统

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2011239161A JP5770602B2 (ja) 2011-10-31 2011-10-31 通信システムにおけるメッセージ認証方法および通信システム
JP2011-239161 2011-10-31

Publications (1)

Publication Number Publication Date
WO2013065689A1 true WO2013065689A1 (ja) 2013-05-10

Family

ID=48192035

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2012/078049 Ceased WO2013065689A1 (ja) 2011-10-31 2012-10-30 通信システムにおけるメッセージ認証方法および通信システム

Country Status (5)

Country Link
US (1) US9331854B2 (ja)
EP (1) EP2775660B1 (ja)
JP (1) JP5770602B2 (ja)
CN (1) CN104025506B (ja)
WO (1) WO2013065689A1 (ja)

Cited By (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103368943A (zh) * 2013-05-25 2013-10-23 中山市中商港科技有限公司 一种云平台的专属客户端
WO2015151418A1 (ja) * 2014-04-03 2015-10-08 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ ネットワーク通信システム、不正検知電子制御ユニット及び不正対処方法
WO2015170453A1 (ja) * 2014-05-08 2015-11-12 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車載ネットワークシステム、不正検知電子制御ユニット及び不正対処方法
CN105594156A (zh) * 2014-05-08 2016-05-18 松下电器（美国）知识产权公司 车载网络系统、电子控制单元及不正常检测方法
CN105594155A (zh) * 2014-05-08 2016-05-18 松下电器（美国）知识产权公司 车载网络系统、电子控制单元以及更新处理方法
WO2016116999A1 (ja) * 2015-01-19 2016-07-28 三菱電機株式会社 パケット送信装置、パケット受信装置、パケット送信プログラムおよびパケット受信プログラム
CN106464499A (zh) * 2014-06-05 2017-02-22 Kddi株式会社 通信网络系统、发送节点、接收节点、消息检查方法及计算机程序
EP3151462A4 (en) * 2014-05-29 2017-04-12 Panasonic Intellectual Property Management Co., Ltd. Transmission device, reception device, transmission method, and reception method
JP2017098937A (ja) * 2015-11-13 2017-06-01 株式会社東芝 通信システム、受信装置、受信方法およびプログラム
JP2017168931A (ja) * 2016-03-14 2017-09-21 Kddi株式会社 通信ネットワークシステム、車両、カウンタ値通知ノード、カウンタ値共有方法、及びコンピュータプログラム
JP2018029352A (ja) * 2017-09-25 2018-02-22 Kddi株式会社 通信ネットワークシステム、車両、カウンタ値通知ノード、カウンタ値共有方法、及びコンピュータプログラム
US10270768B2 (en) 2016-01-15 2019-04-23 Fujitsu Limited Communication system, communication method, and communication device
US10785034B2 (en) 2015-10-06 2020-09-22 Fujitsu Limited Implementation unit, implementation unit verification method, and computer-readable recording medium
US10986093B2 (en) 2017-01-18 2021-04-20 Panasonic Intellectual Property Management Co., Ltd. Monitoring device, monitoring method, and computer program
WO2021136072A1 (zh) * 2019-12-31 2021-07-08 华为技术有限公司 通信方法和电子设备
WO2021139190A1 (zh) * 2020-01-10 2021-07-15 华为技术有限公司 一种基于车内网的通信方法及装置
CN113300947A (zh) * 2015-08-31 2021-08-24 松下电器（美国）知识产权公司 网关装置、车载网络系统以及转送方法
JP2023519059A (ja) * 2019-12-10 2023-05-10 エフピーティー インダストリアル ソチエタ ペル アツィオーニ ネットワークのセキュリティ手段を高めるネットワーク上におけるデータ交換のための方法およびシステムおよびその種のシステムを包含する乗り物

Families Citing this family (98)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9225544B2 (en) 2011-12-22 2015-12-29 Toyota Jidosha Kabushiki Kaisha Communication system and communication method
WO2013179392A1 (ja) 2012-05-29 2013-12-05 トヨタ自動車 株式会社 認証システム及び認証方法
JP5712995B2 (ja) 2012-12-20 2015-05-07 トヨタ自動車株式会社 通信システム、通信装置及び通信方法
JP5949572B2 (ja) * 2013-01-18 2016-07-06 トヨタ自動車株式会社 車両不正状態検出方法、車載システムにおける制御方法、およびシステム
JP6065113B2 (ja) * 2013-06-04 2017-01-25 三菱電機株式会社 データ認証装置、及びデータ認証方法
EP2901400A4 (en) 2013-09-23 2015-12-02 Farmobile Llc SYSTEM FOR COLLECTION AND EXCHANGE OF AGRICULTURAL DATA
JP6126980B2 (ja) 2013-12-12 2017-05-10 日立オートモティブシステムズ株式会社 ネットワーク装置およびネットワークシステム
US9425963B2 (en) * 2014-03-21 2016-08-23 GM Global Technology Operations LLC Securing electronic control units using message authentication codes
US9792440B1 (en) * 2014-04-17 2017-10-17 Symantec Corporation Secure boot for vehicular systems
JP5880898B2 (ja) * 2014-05-08 2016-03-09 パナソニックＩｐマネジメント株式会社 送信装置
JP6875576B2 (ja) * 2014-05-08 2021-05-26 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正対処方法
JP6967097B2 (ja) * 2014-05-08 2021-11-17 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカPanasonic Intellectual Property Corporation of America 車載ネットワークシステム、電子制御ユニット及び不正検知方法
US10412101B2 (en) 2014-06-30 2019-09-10 Nippon Telegraph And Telephone Corporation Detection device, detection method, and detection program
EP3876481B1 (en) 2014-07-10 2023-08-02 Panasonic Intellectual Property Corporation of America Vehicle network system, electronic control unit, reception method, and transmission method
KR101596753B1 (ko) 2014-10-02 2016-02-23 현대자동차주식회사 메시지 인증 코드 분할을 통한 순차적 can 패킷 인증 방법 및 그 장치
KR101572935B1 (ko) * 2014-10-02 2015-12-11 현대자동차주식회사 메시지 인증 코드 혼합을 통한 can 패킷 인증 방법 및 그 장치
JP5802892B1 (ja) * 2014-11-12 2015-11-04 オプテックス株式会社 通信パケットのメッセージ認証コードの生成方法および認証方法
EP3605943B1 (en) 2014-11-13 2021-02-17 Panasonic Intellectual Property Corporation of America Key management method, vehicle-mounted network system, and key management device
JP6218184B2 (ja) 2014-11-13 2017-10-25 日立オートモティブシステムズ株式会社 情報処理装置、メッセージ認証方法
EP3657757B1 (en) 2014-12-01 2021-08-04 Panasonic Intellectual Property Corporation of America Illegality detection electronic control unit, car onboard network system, and illegality detection method
JP6173411B2 (ja) * 2014-12-12 2017-08-02 Kddi株式会社 管理装置、車両、管理システム、管理方法、及びコンピュータプログラム
JP6079768B2 (ja) 2014-12-15 2017-02-15 トヨタ自動車株式会社 車載通信システム
JP6188673B2 (ja) * 2014-12-24 2017-08-30 Kddi株式会社 受信ノード、メッセージ検査方法、及びコンピュータプログラム
JP6488702B2 (ja) 2014-12-27 2019-03-27 富士通株式会社 通信制御装置、通信制御方法、および、通信制御プログラム
US9749147B2 (en) * 2014-12-29 2017-08-29 Harman International Industries, Incorporated Ethernet AVB for time-sensitive networks
JP2016158028A (ja) * 2015-02-23 2016-09-01 株式会社デンソー 通信装置及びネットワークシステム
JP6420176B2 (ja) 2015-02-26 2018-11-07 ルネサスエレクトロニクス株式会社 通信システムおよび通信装置
US11165851B2 (en) 2015-06-29 2021-11-02 Argus Cyber Security Ltd. System and method for providing security to a communication network
US10798114B2 (en) 2015-06-29 2020-10-06 Argus Cyber Security Ltd. System and method for consistency based anomaly detection in an in-vehicle communication network
EP3113529B1 (en) 2015-06-29 2020-09-16 Argus Cyber Security Ltd. System and method for time based anomaly detection in an in-vehicle communication network
JP6197000B2 (ja) * 2015-07-03 2017-09-13 Kddi株式会社 システム、車両及びソフトウェア配布処理方法
JP6520515B2 (ja) * 2015-07-17 2019-05-29 富士通株式会社 ネットワーク監視システム、ネットワーク監視プログラム及びネットワーク監視方法
JP2017034555A (ja) * 2015-08-04 2017-02-09 株式会社ジェイテクト データ通信システム、データ通信機器及びデータ通信方法
JP6332194B2 (ja) 2015-08-07 2018-05-30 株式会社デンソー 通信装置、通信方法、及び通信プログラム
WO2017026361A1 (ja) * 2015-08-07 2017-02-16 株式会社デンソー 通信システム、管理ノード、通常ノード、カウンタ同期方法、プログラム、記録媒体
JP6512023B2 (ja) * 2015-08-07 2019-05-15 株式会社デンソー 通信システム、送信ノード、及び受信ノード
JP6376073B2 (ja) 2015-08-07 2018-08-22 株式会社デンソー 通信システム、カウント値同期方法、及びプログラム
JP6555209B2 (ja) 2015-08-07 2019-08-07 株式会社デンソー 通信システム、管理ノード、通信ノード、カウンタ同期方法、カウント値配信方法、カウント値初期化方法、プログラム、記録媒体
KR20180039102A (ko) * 2015-08-25 2018-04-17 후아웨이 테크놀러지 컴퍼니 리미티드 데이터 패킷 전송 방법, 장치, 시스템, 및 노드 장치
JP6787697B2 (ja) 2015-08-31 2020-11-18 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ ゲートウェイ装置、車載ネットワークシステム及び転送方法
US10361934B2 (en) * 2015-09-28 2019-07-23 Nxp B.V. Controller area network (CAN) device and method for controlling CAN traffic
JP6836340B2 (ja) * 2015-09-29 2021-02-24 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知電子制御ユニット、車載ネットワークシステム及び通信方法
JP6481579B2 (ja) 2015-09-29 2019-03-13 株式会社オートネットワーク技術研究所 車載通信システム及び監視装置
JP2017076861A (ja) * 2015-10-14 2017-04-20 株式会社オートネットワーク技術研究所 車載通信システム及び監視装置
JP6534913B2 (ja) * 2015-11-06 2019-06-26 日立オートモティブシステムズ株式会社 情報処理装置および不正メッセージ検知方法
US10050983B2 (en) 2015-11-13 2018-08-14 Kabushiki Kaisha Toshiba Communication system, receiving apparatus, receiving method, and computer program product
EP3396900B1 (en) * 2015-12-25 2019-10-30 Panasonic Intellectual Property Management Co., Ltd. Fraudulent message detection
JP6684690B2 (ja) * 2016-01-08 2020-04-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知方法、監視電子制御ユニット及び車載ネットワークシステム
JP6601244B2 (ja) * 2016-02-01 2019-11-06 トヨタ自動車株式会社 通信システム
JP6814549B2 (ja) * 2016-04-27 2021-01-20 日立オートモティブシステムズ株式会社 演算装置、認証システム、認証方法
JP6699407B2 (ja) * 2016-07-05 2020-05-27 株式会社デンソー メッセージの認証異常判別装置
JP6280662B2 (ja) 2016-07-05 2018-02-14 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正制御抑止方法、不正制御抑止装置及び車載ネットワークシステム
JP2018007211A (ja) * 2016-07-08 2018-01-11 マツダ株式会社 車載通信システム
JP6747361B2 (ja) 2016-09-02 2020-08-26 株式会社オートネットワーク技術研究所 通信システム、通信装置、中継装置、通信ＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、制御ＩＣ及び通信方法
EP3491774B1 (en) 2016-09-23 2024-02-21 Apple Inc. Secure communication of network traffic
JP6409849B2 (ja) * 2016-10-31 2018-10-24 トヨタ自動車株式会社 通信システム及び通信方法
JP6683105B2 (ja) * 2016-11-10 2020-04-15 トヨタ自動車株式会社 通信システム
JP6915717B2 (ja) * 2016-11-10 2021-08-04 トヨタ自動車株式会社 通信システム
JP6683106B2 (ja) * 2016-11-10 2020-04-15 トヨタ自動車株式会社 通信システム
JP6512205B2 (ja) 2016-11-14 2019-05-15 トヨタ自動車株式会社 通信システム
JP6693577B2 (ja) 2017-02-01 2020-05-13 富士通株式会社 暗号鍵配信システム、鍵配信ｅｃｕ、鍵配信プログラム、及び暗号鍵配信方法
CN108632218A (zh) * 2017-03-21 2018-10-09 罗伯特·博世有限公司 用于消息安全的方法和装置
JP2018157463A (ja) * 2017-03-21 2018-10-04 オムロンオートモーティブエレクトロニクス株式会社 車載通信システム、通信管理装置、車両制御装置
GB2561256A (en) * 2017-04-05 2018-10-10 Stmicroelectronics Grenoble2 Sas Apparatus for use in a can system
US10778715B2 (en) * 2017-04-10 2020-09-15 Oath Inc. Automatic peer to peer level of activity information maintenance and sharing method and apparatus
JP2017121091A (ja) * 2017-04-10 2017-07-06 日立オートモティブシステムズ株式会社 Ｅｃｕ、及び車用ネットワーク装置
CN106899614B (zh) * 2017-04-14 2019-09-24 北京梆梆安全科技有限公司 基于报文周期的车内网络入侵检测方法及装置
WO2018198297A1 (ja) * 2017-04-27 2018-11-01 富士通株式会社 車両システム及び鍵配信方法
CN108965218B (zh) 2017-05-25 2020-09-29 华为技术有限公司 一种控制器区域网总线安全通信方法、装置及系统
WO2018214487A1 (zh) * 2017-05-25 2018-11-29 华为技术有限公司 一种控制器区域网总线安全通信方法、装置及系统
SG10201705960QA (en) * 2017-07-20 2019-02-27 Huawei Int Pte Ltd System and method for managing secure communications between modules in a controller area network
US11032300B2 (en) * 2017-07-24 2021-06-08 Korea University Research And Business Foundation Intrusion detection system based on electrical CAN signal for in-vehicle CAN network
US10701102B2 (en) * 2017-10-03 2020-06-30 George Mason University Hardware module-based authentication in intra-vehicle networks
US10581609B2 (en) * 2017-10-23 2020-03-03 Nxp B.V. Log message authentication with replay protection
US10009325B1 (en) * 2017-12-07 2018-06-26 Karamba Security End-to-end communication security
CN108494725B (zh) * 2018-01-30 2021-03-30 惠州市德赛西威汽车电子股份有限公司 一种车载can总线报文的加密通信方法
JP7119537B2 (ja) * 2018-04-24 2022-08-17 日本電信電話株式会社 検知システムおよび検知方法
US11711384B2 (en) * 2018-08-27 2023-07-25 Lear Corporation Method and system for detecting message injection anomalies
JP7016783B2 (ja) * 2018-10-17 2022-02-07 日立Astemo株式会社 情報処理装置、管理装置
US10958470B2 (en) * 2018-11-06 2021-03-23 Lear Corporation Attributing bus-off attacks based on error frames
CN109672538B (zh) * 2019-02-13 2021-08-27 北京仁信证科技有限公司 一种轻量级车载总线安全通信方法及安全通信系统
CN110011805B (zh) * 2019-03-22 2022-02-15 深圳市令加信息技术有限公司 基于低功耗蓝牙系统的双向认证防伪系统及方法
CN110380842B (zh) * 2019-08-08 2022-09-13 北方工业大学 适用于智慧网联汽车的can总线报文签名方法、装置和系统
US12342247B2 (en) 2019-08-16 2025-06-24 Nec Corporation Method and device for reducing security risk in communication
FR3102269B1 (fr) * 2019-10-17 2022-01-21 Psa Automobiles Sa Procédé et dispositif de détection d’une intrusion sur un bus de données d’un véhicule
JP7156257B2 (ja) * 2019-11-21 2022-10-19 トヨタ自動車株式会社 車両通信装置、通信異常の判定方法及びプログラム
CN111127678A (zh) * 2019-11-29 2020-05-08 惠州市德赛西威汽车电子股份有限公司 一种车辆etc绑定方法、系统及etc设备
CN113132074B (zh) * 2019-12-31 2022-07-29 华为技术有限公司 信息传输方法、通信设备与系统、计算机可读存储介质
WO2021144858A1 (ja) 2020-01-14 2021-07-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知システム、異常検知装置、及び異常検知方法
JP2020123960A (ja) * 2020-03-26 2020-08-13 トヨタ自動車株式会社 通信システム
KR20220000537A (ko) * 2020-06-26 2022-01-04 현대자동차주식회사 차량 네트워크 기반의 데이터 송수신 시스템 및 그 방법
CN112003823B (zh) * 2020-07-17 2023-01-17 江阴市富仁高科股份有限公司 一种基于can总线的信息安全传输方法及应用
JP7173195B2 (ja) * 2021-03-24 2022-11-16 カシオ計算機株式会社 判定機器、電子機器、通信機器、判定システム、判定方法およびプログラム
EP4336775A4 (en) * 2021-05-07 2024-10-23 Panasonic Intellectual Property Management Co., Ltd. Information processing method, device, and program
EP4149127A1 (en) * 2021-09-10 2023-03-15 Thales Dis France SAS A method for updating a secure element cooperating with a telecommunication terminal
WO2023059626A1 (en) * 2021-10-04 2023-04-13 The Regents Of The University Of Michigan Sufficiently secure controller area network
JP7552623B2 (ja) * 2022-01-12 2024-09-18 トヨタ自動車株式会社 通信装置、車両、通信方法、及びプログラム
GB2616049A (en) * 2022-02-25 2023-08-30 Toshiba Kk Authentication method and system, a quantum communication network, and a node for quantum communication

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005203882A (ja) * 2004-01-13 2005-07-28 Denso Corp 通信システム及び鍵送信方法
JP2009081564A (ja) * 2007-09-25 2009-04-16 Kyocera Corp 署名検証方法および受信装置

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5757913A (en) 1993-04-23 1998-05-26 International Business Machines Corporation Method and apparatus for data authentication in a data communication environment
GB0031607D0 (en) * 2000-12-27 2001-02-07 Koninkl Philips Electronics Nv Credit system and method
US7505450B2 (en) * 2005-03-23 2009-03-17 Cisco Technology, Inc. Configuration of failure and acquire timeouts to facilitate recovery from failures in hierarchical mesh networks
US7545811B2 (en) * 2005-11-09 2009-06-09 Intel Corporation Efficient broadcast in wireless mesh networks
JP4810289B2 (ja) * 2006-04-17 2011-11-09 ルネサスエレクトロニクス株式会社 メッセージ認証子生成装置、メッセージ認証子検証装置、及びメッセージ認証システム
JP2008059450A (ja) * 2006-09-01 2008-03-13 Denso Corp 車両情報書換えシステム
US20080098218A1 (en) * 2006-10-18 2008-04-24 Sibigtroth James M Secure communication protocol and method therefor
EP1973265A1 (en) * 2007-03-21 2008-09-24 Nokia Siemens Networks Gmbh & Co. Kg Key refresh in SAE/LTE system
DE102008018001A1 (de) 2008-04-09 2009-10-22 Siemens Aktiengesellschaft Verfahren und Vorrichtung zur Übertragung von Nachrichten in Echtzeit
US8611306B2 (en) * 2009-01-12 2013-12-17 Qualcomm Incorporated Context fetching after inter-system handover
DE102009000869A1 (de) * 2009-02-16 2010-08-19 Robert Bosch Gmbh Verfahren und Vorrichtung zur manipulationssicheren Übertragung von Daten
KR101881167B1 (ko) * 2011-06-13 2018-07-23 주식회사 케이티 차량 제어 시스템

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005203882A (ja) * 2004-01-13 2005-07-28 Denso Corp 通信システム及び鍵送信方法
JP2009081564A (ja) * 2007-09-25 2009-04-16 Kyocera Corp 署名検証方法および受信装置

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
AKIRA YOSHIOKA ET AL.: "Kosei Shomei Kino o Motsu Shanai Tsushin Protocol no Teian", SYMPOSIUM ON MULTIMEDIA, DISTRIBUTED, COOPERATIVE AND MOBILE SYSTEMS (DICOM02008) RONBUNSHU, vol. 2008, no. 1, 2 July 2008 (2008-07-02), pages 1270 - 1275, XP008171387 *
D. K. NILSSON; U. E. LARSON; E. JONSSON: "Efficient In-Vehicle Delayed Data Authentication Based on Compound Message Authentication Codes", IEEE 68TH VTC 2008-FALL, 2008, pages 1 - 5
D. W. DAVIES ET AL.: "Network Security", NIKKEI MAGUROUHIRU-SHA, 5 December 1985 (1985-12-05), pages 126 - 129, XP008171782 *
MASATO HATA ET AL.: "Fusei Soshin Soshi: CAN dewa sore ga Kano de aru", COMPUTER SECURITY SYMPOSIUM 2011 (CSS2011) RONBUNSHU HEISAI ANTI MALWARE ENGINNERING WORKSHOP 2011, IPSJ SYMPOSIUM SERIES, vol. 2011, no. 3, 12 October 2011 (2011-10-12), pages 624 - 629, XP008171193 *

Cited By (43)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103368943A (zh) * 2013-05-25 2013-10-23 中山市中商港科技有限公司 一种云平台的专属客户端
JP2020141411A (ja) * 2014-04-03 2020-09-03 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正対処方法、不正検知電子制御ユニットおよびネットワーク通信システム
US11063971B2 (en) 2014-04-03 2021-07-13 Panasonic Intellectual Property Corporation Of America Method for preventing electronic control unit from executing process based on malicious frame transmitted to bus
JP2017127035A (ja) * 2014-04-03 2017-07-20 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正対処方法、不正検知電子制御ユニット及びネットワーク通信システム
US10454957B2 (en) 2014-04-03 2019-10-22 Panasonic Intellectual Property Corporation Of America Method for preventing electronic control unit from executing process based on malicious frame transmitted to bus
JPWO2015151418A1 (ja) * 2014-04-03 2017-04-13 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ ネットワーク通信システム、不正検知電子制御ユニット及び不正対処方法
US11595422B2 (en) 2014-04-03 2023-02-28 Panasonic Intellectual Property Corporation Of America Method for preventing electronic control unit from executing process based on malicious frame transmitted to bus
JP2017017761A (ja) * 2014-04-03 2017-01-19 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ ネットワーク通信システム
JP2017028742A (ja) * 2014-04-03 2017-02-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ ネットワーク通信システム、不正検知電子制御ユニット及び不正対処方法
JP7008100B2 (ja) 2014-04-03 2022-01-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正対処方法、不正検知電子制御ユニットおよびネットワーク通信システム
WO2015151418A1 (ja) * 2014-04-03 2015-10-08 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ ネットワーク通信システム、不正検知電子制御ユニット及び不正対処方法
JPWO2015170453A1 (ja) * 2014-05-08 2017-04-20 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 車載ネットワークシステム、電子制御ユニット及び不正対処方法
WO2015170453A1 (ja) * 2014-05-08 2015-11-12 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車載ネットワークシステム、不正検知電子制御ユニット及び不正対処方法
CN105637803A (zh) * 2014-05-08 2016-06-01 松下电器（美国）知识产权公司 车载网络系统、不正常检测电子控制单元以及不正常应对方法
EP3142289A4 (en) * 2014-05-08 2017-05-17 Panasonic Intellectual Property Corporation of America In-vehicle network system, electronic control unit, and irregularity detection method
CN105594155A (zh) * 2014-05-08 2016-05-18 松下电器（美国）知识产权公司 车载网络系统、电子控制单元以及更新处理方法
CN105594156A (zh) * 2014-05-08 2016-05-18 松下电器（美国）知识产权公司 车载网络系统、电子控制单元及不正常检测方法
CN111181732A (zh) * 2014-05-08 2020-05-19 松下电器（美国）知识产权公司 车载网络系统、电子控制单元及不正常检测方法
CN105594156B (zh) * 2014-05-08 2020-01-21 松下电器（美国）知识产权公司 车载网络系统、电子控制单元及不正常检测方法
CN110708166A (zh) * 2014-05-08 2020-01-17 松下电器（美国）知识产权公司 不正常应对方法、车载网络系统及电子控制单元
US10462226B2 (en) 2014-05-08 2019-10-29 Panasonic Intellectual Property Corporation Of America Method for detecting fraudulent frame sent over an in-vehicle network system
CN105637803B (zh) * 2014-05-08 2019-10-22 松下电器（美国）知识产权公司 车载网络系统、不正常检测电子控制单元以及不正常应对方法
EP3151462A4 (en) * 2014-05-29 2017-04-12 Panasonic Intellectual Property Management Co., Ltd. Transmission device, reception device, transmission method, and reception method
CN106464499B (zh) * 2014-06-05 2019-12-13 Kddi株式会社 通信网络系统、发送节点、接收节点、消息检查方法、发送方法及接收方法
CN106464499A (zh) * 2014-06-05 2017-02-22 Kddi株式会社 通信网络系统、发送节点、接收节点、消息检查方法及计算机程序
US10681540B2 (en) 2014-06-05 2020-06-09 Kddi Corporation Communication network system, transmission node, reception node, and message checking method
JPWO2016116999A1 (ja) * 2015-01-19 2017-04-27 三菱電機株式会社 パケット送信装置、パケット受信装置、パケット送信プログラムおよびパケット受信プログラム
WO2016116999A1 (ja) * 2015-01-19 2016-07-28 三菱電機株式会社 パケット送信装置、パケット受信装置、パケット送信プログラムおよびパケット受信プログラム
US10412069B2 (en) 2015-01-19 2019-09-10 Mitsubishi Electric Corporation Packet transmitting apparatus, packet receiving apparatus, and computer readable medium
CN113300947A (zh) * 2015-08-31 2021-08-24 松下电器（美国）知识产权公司 网关装置、车载网络系统以及转送方法
US10785034B2 (en) 2015-10-06 2020-09-22 Fujitsu Limited Implementation unit, implementation unit verification method, and computer-readable recording medium
JP2017098937A (ja) * 2015-11-13 2017-06-01 株式会社東芝 通信システム、受信装置、受信方法およびプログラム
US10270768B2 (en) 2016-01-15 2019-04-23 Fujitsu Limited Communication system, communication method, and communication device
JP2017168931A (ja) * 2016-03-14 2017-09-21 Kddi株式会社 通信ネットワークシステム、車両、カウンタ値通知ノード、カウンタ値共有方法、及びコンピュータプログラム
US11095453B2 (en) 2016-03-14 2021-08-17 Kddi Corporation Communication network system and count-value sharing method using count-value notification node with transmission node and reception node
WO2017159671A1 (ja) * 2016-03-14 2017-09-21 Kddi株式会社 通信ネットワークシステム、車両、カウンタ値通知ノード、カウンタ値共有方法、及びコンピュータプログラム
US10986093B2 (en) 2017-01-18 2021-04-20 Panasonic Intellectual Property Management Co., Ltd. Monitoring device, monitoring method, and computer program
JP2018029352A (ja) * 2017-09-25 2018-02-22 Kddi株式会社 通信ネットワークシステム、車両、カウンタ値通知ノード、カウンタ値共有方法、及びコンピュータプログラム
JP2023519059A (ja) * 2019-12-10 2023-05-10 エフピーティー インダストリアル ソチエタ ペル アツィオーニ ネットワークのセキュリティ手段を高めるネットワーク上におけるデータ交換のための方法およびシステムおよびその種のシステムを包含する乗り物
JP2025026888A (ja) * 2019-12-10 2025-02-26 エフピーティー インダストリアル ソチエタ ペル アツィオーニ ネットワークのセキュリティ手段を高めるネットワーク上におけるデータ交換のための方法およびシステムおよびその種のシステムを包含する乗り物
WO2021136072A1 (zh) * 2019-12-31 2021-07-08 华为技术有限公司 通信方法和电子设备
WO2021139190A1 (zh) * 2020-01-10 2021-07-15 华为技术有限公司 一种基于车内网的通信方法及装置
US12273439B2 (en) 2020-01-10 2025-04-08 Huawei Technologies Co., Ltd. Communication method and apparatus

Also Published As

Publication number Publication date
EP2775660A1 (en) 2014-09-10
EP2775660A4 (en) 2015-04-08
US9331854B2 (en) 2016-05-03
JP2013098719A (ja) 2013-05-20
JP5770602B2 (ja) 2015-08-26
CN104025506A (zh) 2014-09-03
US20140310530A1 (en) 2014-10-16
EP2775660B1 (en) 2019-06-26
CN104025506B (zh) 2017-03-22

Similar Documents

Publication Publication Date Title
JP5770602B2 (ja) 通信システムにおけるメッセージ認証方法および通信システム
US11146400B2 (en) Methods for verifying data integrity
CN108696411B (zh) 用于在can系统中使用的装置
US9252945B2 (en) Method for recognizing a manipulation of a sensor and/or sensor data of the sensor
CN104767618B (zh) 一种基于广播的can总线认证方法及系统
EP3451577B1 (en) Computing device, authentication system, and authentication method
EP3038318B1 (en) Communication control apparatus, communication control method and communication control program
CN111491299A (zh) 车辆通信网络中的数据消息认证系统及认证方法
WO2016204081A1 (ja) 車載中継装置、車載通信システム及び中継プログラム
WO2018017566A1 (en) Hash-chain based sender identification scheme
US20160241404A1 (en) Method for manipulation protection
CN104350703B (zh) 消息的安全传输
CN108352991B (zh) 信息处理装置以及不正当消息检测方法
Glas et al. Signal-based automotive communication security and its interplay with safety requirements
Ansari et al. A low-cost masquerade and replay attack detection method for CAN in automobiles
ES2667865T3 (es) Procedimiento para enviar mensajes con protección de integridad
CN104303452A (zh) 用于产生密码保护的冗余的数据包的方法和设备
WO2018056054A1 (ja) 通信システム、中継装置、通信装置及び通信方法
CN107466466B (zh) 安全通信的方法、受控装置及设备、遥控装置及设备
JP6454614B2 (ja) 車載システム、その制御装置および制御方法
KR20150109202A (ko) 차량용 통신 데이터 인증 방법 및 시스템
Došek et al. Secure high level communication protocol for CAN bus
JP6958114B2 (ja) 電子制御装置
US20240356754A1 (en) Nonce preprocessing for a security scheme
JP2010016522A (ja) 通信システム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12846706

Country of ref document: EP

Kind code of ref document: A1

DPE1 Request for preliminary examination filed after expiration of 19th month from priority date (pct application filed from 20040101)
WWE Wipo information: entry into national phase

Ref document number: 14355038

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2012846706

Country of ref document: EP