CANとは
（車載ネットワーク基礎とリスク）

CANの基本

Classic CAN（CAN CC）は、11-bit または 29-bit の CAN-ID を使ってメッセージ優先度を決め、最大8 byte のデータ を1フレームに載せて送信します。

CiA の説明によると、複数ノードが同時に送信しようとしても、bit-wise arbitration（ビット単位の調停）によって「優先度の高いメッセージが先に流れ、低優先のノードは自動的に受信側へ回る」という仕組みになっています。これにより、リアルタイム性が求められる車両制御に非常に向いた特性を持ちます。

なぜリスクがあるのか

CANそのものは高信頼な制御向けネットワークですが、“安全（Safety）”と“セキュア（Security）”は同じではありません。

NHTSA の車両サイバーセキュリティ・ベストプラクティスでは、リスク評価文書は internal vehicle networks、external wireless networks、そして ECU が外部へ見せるあらゆる interface を最低限カバーすべきだとしています。
また、共通データバス上の safety-critical messages（安全に直結する重要メッセージ）は spoofing（なりすまし）の問題を招き得るため、可能なら分離し、分離できない場合は segmentation と message authentication（メッセージ認証） を使うべきだと述べています。

サプライヤー実務で意識すべき境界

部品メーカーやソフトサプライヤーが脆弱性対応（トリアージやOEM回答）において自社の CAN 通信を説明する時に重要なのは、「CAN がある」という事実ではありません。
「どの ECU/機能が、どの入口（外部接点）とつながっているか」 という境界線の把握です。

• 診断ポート（OBD-II）、Bluetooth、USB、OTAなどの経路があるか
• 中央ゲートウェイ越しに直接アクセスできる経路があるか
• その接続機能は「出荷状態」で有効になっているか
• critical messages が他の一般機能と同じ共通バスを流れているか

NHTSA が segmentation、boundary controls、internal communications control を重視しているのは、ここを明確にしないと実際の露出（アタックサーフェス）が分からないからです。

よくある誤解

• 誤解1：CANは車内の閉域ネットワークだから、外から攻撃できず安全だ

  違います。 外部無線ネットワーク（テレマティクス）、OBDポート、USB、アフターマーケット機器などが経由点（プロキシ）になり得ます。完全に物理隔離されていない限り「到達性なし」とは言い切れません。

• 誤解2：CANがあるだけで危険だ

  これも違います。 重要なのは「どの ECU に、どのメッセージが、どの境界条件で届くか」です。CiA が説明する CAN の優先度制御や高い信頼性は「通信品質・機能安全」の話であって、セキュリティ上の「到達性」や「認証の有無」とは別次元の話です。

• 誤解3：CAN FD は速いから危険だ

  違います。 通信速度やペイロードの拡張は性能面の特徴にすぎません。リスクの判断は、速度ではなく「外部接点との距離（境界）」と「メッセージの重要度」を合わせて行う必要があります。

---

FAQ：CANとは