JP2019068253A

JP2019068253A - 異常検知装置、異常検知方法、プログラム及び通信システム

Info

Publication number: JP2019068253A
Application number: JP2017191781A
Authority: JP
Inventors: 達郎川上; Tatsuro Kawakami; 健司菅島; Kenji Sugashima
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2017-09-29
Filing date: 2017-09-29
Publication date: 2019-04-25
Anticipated expiration: 2037-09-29
Also published as: US20190104204A1; JP7003544B2; US11038991B2

Abstract

【課題】通信ネットワークにおいて、より高い検知率及びより低い誤検知率で不正な通信を検知する異常検知装置を提供する。【解決手段】異常検知装置２００は、通信ネットワーク１０３を介して通信フレームを受信する受信部と、通信フレームに関する情報を保存するフレーム情報記憶部と、受信部が通信フレームを受信した際に、複数種類の通信フレームのうち、いずれかの種類の通信フレームである対象通信フレームを受信する予定時刻を含む時間範囲である予定時刻範囲を、通信フレームの受信時刻を基準として算出し設定する受信予測部と、予定時刻範囲外において対象通信フレームを受信した場合には対象通信フレームを異常フレームと判定する異常判定部と、を備える。【選択図】図１

Description

本発明は、通信ネットワークにおける異常検知装置、異常検知方法、プログラム及び通信システムに関する。

従来から、通信ネットワークの外部からの不審なアクセスやデータがないかを検知するネットワーク侵入検知システム（ＮＩＤＳ：Network-based Intrusion Detection System）が知られている。

特許文献１は、通信システムにて通信されているメッセージの正／不正を簡易な構成で判定することのできる通信システム及び通信方法を開示している。この通信システムでは複数のＥＣＵが、メッセージを通信可能に通信用バスに接続される。各ＥＣＵには、通信されるメッセージに対して規定された通信間隔が設定されており、メッセージを送信するＥＣＵは、この規定された通信間隔に基づいてメッセージを送信する。送信されたメッセージを受信するＥＣＵは、当該受信したメッセージの通信間隔を検出し、この検出した通信間隔と前記規定された通信間隔との比較に基づいて、当該受信したメッセージの正／不正を判定する。

国際公開第２０１３／０９４０７２号

特許文献１のような通信システムは、通信フレームの異常を検知するために有効であるものと考えられる。しかしながら、通信間隔はネットワークの負荷やＥＣＵの負荷によりばらつきを生じるものであり、このようなばらつきを最大限考慮した許容範囲を有する通信間隔の規定は、低負荷時において異常検知率が低くなってしまう恐れがある。また、逆に低負荷時の許容範囲を基準とした通信間隔の規定は、高負荷時に誤検知が発生する恐れがある。

本開示は、上述の事情に鑑みてされたものであり、通信ネットワークにおいて、より高い検知率及びより低い誤検知率で不正な通信を検知する異常検知装置、異常検知方法、プログラム及び通信システムを提供することを目的とする。

本開示の一態様である異常検知装置は、通信ネットワーク（１０３）を介して通信フレームを受信する受信部（２０１）と、前記通信フレームに関する情報を保存するフレーム情報記憶部（２１０）と、前記受信部が前記通信フレームを受信した際に、複数種類の前記通信フレームのうち、いずれかの種類の前記通信フレームである対象通信フレームを受信する予定時刻を含む時間範囲である予定時刻範囲を、前記通信フレームの受信時刻を基準として算出し設定する受信予測部（２０２）と、前記予定時刻範囲外において前記対象通信フレームを受信した場合には前記対象通信フレームを異常フレームと判定する異常判定部（２０３）と、を備える異常検知装置（２００）である。

上述のような構成により異常検知装置は、より高い検知率及びより低い誤検知率で不正な通信を検知することができる。

本開示の一実施形態に係る通信システムの例について示す図である。本開示の一実施形態に係る異常検知装置の機能構成例について示す図である。フレーム情報記憶部に保存される情報の例について示す図である。異常検知装置における異常検知処理の例について示すフローチャートである。予定時刻範囲について説明するための図である。通信フレームの衝突が生じた際の再送信について説明するための図である。送信する電子制御装置における送信待ちについて説明するための図である。予定時刻範囲に対象通信フレームを受信した際の次の対象通信フレームの予定時刻範囲の設定について説明するための図である。予定時刻範囲に対象通信フレーム以外の通信フレームを受信した場合の処理の一例について示す図である。予定時刻範囲に対象通信フレーム以外の通信フレームを受信した場合の処理の一例について示す図である。予定時刻範囲に対象通信フレーム以外の通信フレームの予定時刻がある場合の処理の一例について示す図である。周期送信の最中に対象通信フレームの非周期送信があった場合の処理の一例について示す図である。周期送信の最中に対象通信フレームの非周期送信があった場合の処理の一例について示す図である。周期送信の通信フレームの内容により、他の種類の通信フレームの送信原因となる場合の処理の一例について示す図である。非周期送信の通信フレームが、他の種類の通信フレームの送信原因となる場合の処理の一例について示す図である。本開示の一実施形態に係る通信システム及び異常検知装置の適用例について示す図である。

以下、本開示の通信システム１００及び電子制御装置である異常検知装置２００の構成及び機能について、図面を参照して説明する。なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。明細書中の鉤括弧内の語は、特許請求の範囲又は課題を解決するための手段の項に記載された語を意味し、同じく以下の実施形態に限定されるものではない。

また特許請求の範囲の従属項に記載の構成及び方法、従属項に記載の構成及び方法に対応する実施形態の方法、及び特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明においては任意の構成及び方法である。発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の手段と共に発明の進歩性を肯定する事実である。

［通信システムの構成］
図１に示すように、通信システム１００は、通信ネットワーク１０３により互いに接続された第１電子制御装置１０１、第２電子制御装置１０２及び電子制御装置としての異常検知装置２００を備えている。通信ネットワーク１０３には、ＣＡＮ（登録商標）等のシリアル通信規格、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ−Ｆｉ（登録商標）等のＬＡＮ（Local Area Network）通信規格その他の通信方式を用いることができる。第１電子制御装置１０１及び第２電子制御装置１０２は互いに通信フレームの送受信を行い、異常検知装置２００は、第１電子制御装置１０１及び第２電子制御装置１０２において送受信される通信フレームを受信する。

第１電子制御装置１０１、第２電子制御装置１０２及び異常検知装置２００は、それぞれ電子制御装置（ＥＣＵ：Electronic Control Unit）として構成されていてもよい。各電子制御装置は、例えば、主に半導体装置で構成され、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）等の揮発性記憶部、フラッシュメモリ等の不揮発性記憶部を有し、更に通信ネットワーク１０３に接続するネットワークインターフェース部等を有していてもよい。また、このような情報処理装置はパッケージ化された半導体装置であっても、配線基板において各半導体装置が配線接続された構成であってもよい。図面においては、図面の理解をしやすくするため電子制御装置をＥＣＵと記載している。

［異常検知装置の構成］
図２に示すように、異常検知装置２００は、受信部２０１と、受信予測部２０２と、異常判定部２０３と、フレーム情報記憶部２１０と、を有している。受信部２０１は、通信ネットワーク１０３を介して通信フレームを受信する。受信予測部２０２は、受信部２０１が通信フレームを受信した際に、複数種類の通信フレームのうち、いずれかの種類の通信フレームである対象通信フレームを受信する予定時刻を含む時間範囲である予定時刻範囲を、通信フレームの受信時刻を基準として算出し設定する。異常判定部２０３は、予定時刻範囲外において対象通信フレームを受信した場合には対象通信フレームを異常フレームと判定する。フレーム情報記憶部２１０は、通信フレームに関する情報を保存する。

ここで「通信フレームに関する情報」は、各種類の通信フレームについて、通信フレームが周期的に送信されるか否か、いずれの送信装置から配信されるか否か、非周期的に配信されるか否か、非周期的に配信された場合に周期に影響するかどうかその他の情報を含めることができる。「対象通信フレーム」は、同じ種類の通信フレームで定義することができる。同じ種類の通信フレームとは、例えば、同じ種類の情報を伝達する通信フレームとすることができる。また、同じ種類の通信フレームは、周期的に送信されるものであってもよいし、周期的に送信されないものであってもよいし、これらの両方であってもよい。また、受信した通信フレームと対象通信フレームとは、同じ種類の通信フレームであってもよいし、異なる種類の通信フレームであってもよい。

また「予定時刻」は予定時刻範囲と共に算出されることとしてもよく、この場合には「予定時刻」とその前後の許容範囲により予定時刻範囲が定められるものであってもよい。異常判定部２０３において異常判定された場合には、異常判定された通信フレームの破棄やコンピュータウィルスへの感染の可能性を外部に通知する等の対応を行うこととしてもよい。上述のように構成することにより、異常検知装置２００及び通信システム１００は、より高い検知率及びより低い誤検知率で不正な通信を検知することができる。

ここで、受信予測部２０２は、受信部２０１が通信フレームを受信した際に、対象通信フレームの予定時刻範囲を変更する構成としてもよい。この場合に予定時刻範囲の変更は、予定時刻範囲の拡張及び縮小を含む。また予定時刻範囲に含まれる予定時刻を変更することを含んでもよい。このような構成とすることにより、処理装置の負荷やネットワーク負荷等により正常な通信フレームの受信予定時刻が変更される場合であっても、予め設定された予定時刻範囲を変更するため、より高い検知率及びより低い誤検知率で不正な通信を検知することができる。

図３に示すように、フレーム情報記憶部２１０は、周期的に送信される種類の通信フレームの識別子と周期の関係を保存することができる。この図において周期は規定の通信間隔で示されている。これにより受信予測部２０２は、フレーム情報記憶部２１０を参照し、対象通信フレームが次に受信される予定時刻を算出して設定することができる。また、図３に示すように、フレーム情報記憶部２１０は、通信フレームの種類に応じた優先度、及び各種類の通信フレームを送信する送信装置の識別子、つまり本実施形態において第１電子制御装置１０１又は第２電子制御装置１０２の区別を更に保存することとしてもよい。また図３の規定の通信間隔の欄には、括弧内に±を用いて許容範囲が保存されており、予定時刻の前後に許容範囲を適用することにより、予定時刻範囲を定めることとしてもよい。なお、図面においては、図面の理解をしやすくするため識別子を単にＩＤと記載することがある。

ここで「優先度」は、通信フレームの種類を示す識別子として示されることとしてもよい。例えば、通信フレームの種類の識別子の番号が小さい方が、優先度が高いとすることができる。優先度が高い場合には、通信ネットワーク１０３において衝突があった場合に、優先度が高い通信フレームが先に送信される。この場合には、優先度が低い通信フレームは所定時間経過の後再送されるものとすることとしてもよい。図３においては、優先度は、通信フレームの種類を示す数値の識別子により示され、より小さい数の優先度が高いものとしている。このような構成とすることにより、受信予測部２０２は、通信フレームの種類に応じた優先度、各種類の通信フレームを送信する送信装置の識別子を参照して、予定時刻範囲の変更ついて判断することができる。

また、フレーム情報記憶部２１０は、図３の非周期送信の有無の欄に示すように、非周期的な通信フレームが送信されるか否か、及び非周期的でない通信フレームが周期をリセットするか否かを保存することができる。ここで非周期的な通信フレームとは、例えば非周期的に発生するイベントにより送信される通信フレームであり、非周期的な通信フレームは、周期的にも送信されるものであってもよい。周期をリセットとは、非周期的な通信フレームの送信が、新たな周期的な通信フレームの周期の開始となることを意味する。これにより、受信予測部２０２は、フレーム情報記憶部２１０に保存された、非周期的な通信フレームが送信されるか否か、又は非周期的でない通信フレームが周期をリセットするか否かを参照して、予定時刻範囲を設定することができる。

［異常検知装置の処理］
図４のフローチャートを用いて、異常検知装置２００の異常検知処理Ｓ１００について説明する。まずステップＳ１０１において、受信部２０１が、第１電子制御装置１０１及び第２電子制御装置１０２間で授受される通信フレームを受信する。次に異常判定部２０３が、ステップＳ１０２において、通信フレームの受信時刻は、予定時刻範囲内か否かを判定する。予定時刻範囲内の場合にはステップＳ１０５に移行する。

予定時刻範囲内でない場合には、異常判定部２０３は、ステップＳ１０３において、フレーム情報記憶部２１０を参照し、受信した通信フレームが、非周期送信を行う識別子かどうかを判定する。ここで非周期送信を行う場合には、ステップＳ１０５に移行する。非周期送信を行わない場合には、ステップＳ１０４において、受信フレームを異常フレームと判定し、ステップＳ１０５に移行する。ステップＳ１０３において、フレーム情報記憶部２１０が、非周期送信の有無について保存しない構成である場合には、異常フレームと判定することとしてもよい。

また、異常判定部２０３は、ステップＳ１０３において、非周期的に送信される通信フレームがイベントの発生により送信されるべきものである場合には、イベントの発生に関わるステータスを確認し、イベントの発生を確認できた際に、異常フレームと判定しないこととしてもよい。ここで異常フレームと判定しないことは、正常フレームと判定することを意味していてもよい。

ステップＳ１０５では、受信予測部２０２が、受信した識別子の通信フレームが、次の受信が予定される対象通信フレームであるかどうかを判定する。ステップＳ１０５において肯定的な判定の場合には、ステップＳ１０６において、受信した種類の通信フレームの識別子に対して、次の受信の予定時刻の範囲である予定時刻範囲を設定し、ステップＳ１０７に移行する。ステップＳ１０５において否定的な判定の場合には、ステップＳ１０７に移行する。

ステップＳ１０７では、受信予測部２０２が、受信した識別子の通信フレームとは異なる識別子の通信フレームを、次の受信が予定される対象通信フレームとするかどうかを判定する。ステップＳ１０７において肯定的な判定の場合には、受信した識別子の種類の通信フレームとは異なる、所定の種類の通信フレームの識別子に対して、次の受信の予定時刻の範囲である予定時刻範囲を設定し、処理を終了する。ステップＳ１０７において否定的な判定の場合には、処理を終了する。上述の異常検知処理Ｓ１００を通信フレームを受信する毎に繰り返す。

上述の異常検知処理Ｓ１００は、例えば半導体メモリ等の記録媒体である非遷移的実体的記録媒体にプログラムが格納され、ＣＰＵ等の処理装置においてプログラムに対応する方法が実行されることによる処理とすることができる。また、ソフトウェアに限らず、デジタル回路又はアナログ回路を含むハードウェアによる処理、又はソフトウェアとハードウェアの協働による処理とすることができる。

［受信予測部の処理の具体例］
図５を用いて、通信ネットワーク１０３の負荷や各電子制御装置の負荷が十分小さい場合の予定時刻範囲について説明する。なお、以後の図において、実線で囲まれたFrameは実際に受信された通信フレームを示し、破線で囲まれたFrameは、予測される通信フレームの受信時刻の例を示すものとする。周期送信のある通信フレームの受信時刻から、規定の通信間隔Ｔの経過後が、受信の予定時刻となる。この際に通信ネットワーク１０３において衝突がなかった時の最小通信間隔と規定の通信間隔との差α、及び衝突がなかった時の最大通信間隔と規定の通信間隔との差βを定義する。そして衝突がなかった時の最小通信間隔（Ｔ‐α）と、衝突がなかった時の最大通信間隔（Ｔ＋β）との間を予定時刻範囲とする。異常判定部２０３は、周期送信の通信フレームについて、予定時刻範囲外で受信した場合に異常フレームと判定することができる。

図６を用いて衝突発生時の再送について説明する。１回の衝突が発生した場合には、優先度の低い送信電子制御装置が、所定時間経過後に再送信を行う。再送信された通信フレームの通信間隔の平均値と規定の通信間隔との差はδと定義され、１回衝突時の平均通信間隔は（Ｔ＋δ）と表される。

図７を用いて電子制御装置において送信待ちが発生した場合について説明する。送信待ちが発生すると、電子制御装置において送信待ちが解除された後に送信行う。送信待ち後に送信された通信フレームの通信間隔の平均値と規定の通信間隔との差はεと定義され、送信待ち発生時の平均通信間隔は（Ｔ＋ε）と表される。

図８は、周期送信の識別子２００の通信フレームを予定時刻範囲に受信した場合について示している。この場合において、図に示されるように、対象通信フレームの受信時刻が予定時刻より遅い場合には、受信時刻と予定時刻との差は、実際の通信間隔τを用いて（τ‐Ｔ）と表される。このとき、この受信時刻と予定時刻との差分（τ‐Ｔ）だけ、対象通信フレームの予定時刻範囲を早い時刻側に拡張することができる。識別子２００の通信フレームを送信する第２電子制御装置１０２は、衝突による再送等により遅れが生じていたとしても、遅れに関わらず、同じ周期で識別子２００の通信フレームを送信し続けることがある。このため、予定受信時刻範囲は、受信時刻を基準とする範囲よりも差分（τ‐Ｔ）だけ早い時刻側に拡張することにより誤検知率を抑えることができる。

また、逆に対象通信フレームの受信時刻が予定時刻より早い場合には、受信時刻と予定時刻との差分（Ｔ‐τ）だけ、次の対象通信フレームの予定時刻範囲を遅い時刻側に拡張することとしてもよい。これにより、例えば、一時的に受信遅れが生じた後、同じ周期で送信し続ける電子制御装置からの通信フレームが予定時刻より早く受信した場合に、予定時刻の周期のずれを修正することができる。このように、送信装置に処理の負荷による送信遅れや、通信ネットワーク１０３の負荷による再送が発生した場合であっても、送信装置の送信周期には変更が生じない場合があるが、そのような場合であっても、より高い検知率及びより低い誤検知率で不正な通信を検知することができる。

図９には、周期送信の識別子３００の通信フレームを予定時刻範囲に、識別子２００の通信フレームを受信した場合の処理について示している。ここで、この図に示されるように、受信予測部２０２は、予定時刻範囲内の時刻に対象通信フレームとは異なる種類の通信フレームを受信した場合に、対象通信フレームの予定時刻範囲を遅い時刻側に拡張することができる。これにより、処理装置の負荷やネットワーク負荷等により正常な通信フレームの受信が遅れる場合であっても、より高い検知率及びより低い誤検知率で不正な通信を検知することができる。

ここで、識別子２００の通信フレームを送信する第２電子制御装置１０２は、識別子３００の通信フレームを送信する第１電子制御装置１０１とは異なっている。この場合には、送信された識別子３００の通信フレームは、識別子２００の通信フレームと衝突し、より優先度の高い識別子２００の通信フレームが送信されたものと考えられる。この場合、識別子３００の通信フレームは所定時間の後再送される。したがって、受信予測部２０２が、予定受信時刻範囲を、図６の１回衝突時の周期との差分δだけ遅い時刻側に拡張することにより、再送された通信フレームを異常フレームと判定することなく、より低い誤検知率で不正な通信を検知することができる。

図１０には、周期送信の識別子３００の通信フレームを予定時刻範囲に、識別子５００の通信フレームを受信した場合の処理について示している。この場合においても、図９と同様に、受信予測部２０２は、予定時刻範囲内の時刻に対象通信フレームとは異なる種類の通信フレームを受信した場合に、対象通信フレームの予定時刻範囲を遅い時刻側に拡張することができる。

ここで、識別子５００の通信フレームを送信する第１電子制御装置１０１は、識別子３００の通信フレームを送信する電子制御装置と同じ電子制御装置である。この場合には、送信される識別子３００の通信フレームは、識別子５００の通信フレームにより送信待機となり、所定時間の後再送されるもの考えられる。したがって、受信予測部２０２が、予定受信時刻範囲を、図７の送信待ち発生時の通信間隔との差分εだけ遅い時刻側に拡張することにより、再送された通信フレームを異常フレームと判定することなく、より低い誤検知率で不正な通信を検知することができる。

図９及び図１０に示されるように、遅い時刻側に拡張される時間幅は、対象通信フレームが送信される装置と同じ装置から送信される通信フレームを受信した場合と、異なる装置から送信され、対象通信フレームより優先度の高い通信フレームを受信した場合とで異ならせることができる。同じ処理装置から送信される通信フレームの受信の場合には、処理装置の負荷が影響している可能性が高く、異なる処理装置から送信される優先度のより高い通信フレームの場合には通信ネットワーク１０３の負荷が影響している可能性が高いと考えられる。これらの影響による通信フレームの遅れ時間幅は異なることから、これらに応じて遅い時刻側に拡張される時間幅を異ならせることにより、より高い検知率及びより低い誤検知率で不正な通信を検知することができる。

図１１には、通信間隔Ｔ１の識別子２００の通信フレームを受信した後、通信間隔Ｔ２の識別子１００の通信フレームを受信したことにより、識別子２００の通信フレームの予定時刻範囲に、識別子１００の通信フレームの予定時刻又は予定時刻範囲が含まれることとなった場合の処理について示す図である。この場合には、識別子１００の通信フレームと識別子２００の通信フレームとが通信ネットワーク１０３において衝突する可能性が高く、衝突した場合には優先度の高い識別子１００の通信フレームの送信が優先され、所定時間の後再送されるもの考えられる。したがって、受信予測部２０２は、識別子２００の通信フレームの予定時刻範囲を、図６の１回衝突時の周期との差分δだけ遅い時刻側に拡張する。これにより、再送された通信フレームを異常フレームと判定することなく、より低い誤検知率で不正な通信を検知することができる。

このように、受信予測部２０２は、一の対象通信フレームの予定時刻範囲に、他の対象通信フレームの予定時刻又は予定時刻範囲が含まれる場合には、一の対象通信フレームの予定時刻範囲を遅い時刻側に拡張する。したがって、処理装置の負荷やネットワーク負荷等により正常な通信フレームの受信が遅れることを予測した予定時刻範囲に修正することにより、より高い検知率及びより低い誤検知率で不正な通信を検知することができる。

ここで図１０の場合と同様に、図１１においても、通信フレームを送信する電子制御装置が、それぞれ同じ電子制御装置の場合には、一方の通信フレームは、他方の通信フレームにより送信待機となり、所定時間の後再送されるもの考えられる。そのため、図７の送信待ち発生時の通信間隔との差分εだけ遅い時刻側に拡張することができる。

図１２には、識別子４００の通信フレームが通信間隔Ｔで送信されている中で、非周期の識別子４００の通信フレームを受信した場合の処理について示す図である。異常判定部２０３は、予定時刻範囲外に識別子４００の通信フレームを受信した場合には、図３のフレーム情報記憶部２１０を参照し、予定時刻範囲外において受信した通信フレームが、非周期送信を行う種類の通信フレームである否かを判定する。ここで非周期送信を行う種類の通信フレームであった場合には、正常フレームと判定することができる。これにより、異常検知装置２００は、例えば、非周期イベントにより発生した正常な通信フレームを異常フレームと判定せずに処理することができるため、より高い検知率及びより低い誤検知率で不正な通信を検知することができる。

ここでイベントは、例えば、通信ネットワーク１０３が車載ネットワークの場合には、周期的、非周期的に関わらず、車両の状態等を通知するタイミングで発生するものとすることができる。周期イベントとして、ブレーキペダル・アクセルペダルの度合い、ハンドルの角度、周囲の明るさを示す照度、非周期イベントとしてヘッドライトの点灯等とすることができる。また異常判定部２０３は、正常フレームと判定するにあたり、通信フレームが非周期的なイベントの発生により送信されるべきものである場合には、イベントの発生に関わるデータ変化を確認して、正常フレームと判定することとしてもよい。

受信予測部２０２は、図３のフレーム情報記憶部２１０を参照し、識別子４００の通信フレームにおいて非周期送信が行われると周期はリセットされることを確認する。そして図１２に示されるように、正常フレームと判定された通信フレームの受信時刻を基準として、対象通信フレームの予定時刻範囲を変更することができる。更に、異常判定部２０３は、変更した予定時刻範囲に対象通信フレームを受信しなかった場合に、正常フレームと判定された通信フレームを異常フレームと判定することができる。

このように、受信予測部２０２は、イベントにより発生した正常な通信フレームにより、次に受信する同じ種類の通信フレームの予定時刻範囲を変更することができるため、より高い検知率及びより低い誤検知率で不正な通信を検知することができる。また、変更された予定時刻範囲に対象通信フレームを受信しなかった場合には、予定時刻範囲の変更の原因となった通信フレームを異常フレームと判定するため、より高い検知率及びより低い誤検知率で不正な通信を検知することができる。

図１３には、識別子５００の通信フレームが通信間隔Ｔで送信されている中で、非周期の識別子５００の通信フレームを受信した場合の処理について示す図である。異常判定部２０３は、図１２の場合と同様に、予定時刻範囲外に識別子４００の通信フレームを受信した場合には、図３のフレーム情報記憶部２１０を参照し、予定時刻範囲外において受信した通信フレームが、非周期送信を行う種類の通信フレームであった場合には、正常フレームと判定することができる。また、受信予測部２０２は、図３のフレーム情報記憶部２１０を参照し、識別子４００の通信フレームにおいて非周期送信は、周期送信と独立に送信されることを確認し、受信予測部２０２は、予定時刻範囲の変更を行わないこととすることができる。

図１４には、識別子３００の通信フレームが通信間隔Ｔで送信されている中で、識別子３００の通信フレームの送信を原因として、非周期の識別子４００の通信フレームが送信される場合について示す図である。ここで周期送信される識別子３００の通信フレームは、データに関係し、データが所定の条件を満たす場合において、非周期の識別子４００の通信フレームが送信されるものとすることができる。例えば、識別子３００の通信フレームは、周囲の明るさを示す照度のデータを有し、照度が所定の値を下回った際に、自動で点灯するライトの点灯イベントにおいて非周期の識別子４００の通信フレームが送信される場合が考えられる。

このような場合に、受信予測部２０２は、所定の条件を満たす識別子３００の通信フレームの受信に基づいて、非周期の識別子４００の通信フレームの受信までのイベント反応時間Ｒを参照し、予定時刻及び予定時刻範囲を設定することができる。イベント反応時間Ｒは、過去のイベント反応時間Ｒから算出されるものであってもよいし、フレーム情報記憶部２１０に保存されているものであってもよい。

このように受信予測部２０２は、識別子３００の第１通信フレームの受信時刻を基準として、異なる種類の識別子４００の第２通信フレームである対象通信フレームの予定時刻範囲を設定する。ここで異常判定部２０３は、設定した予定時刻範囲に対象通信フレームを受信しなかった場合に、識別子３００の第１通信フレームを異常フレームと判定することができる。受信予測部２０２は、受信した通信フレームとは異なる種類の通信フレームを、次に受信する予定時刻範囲を設定することができるため、より高い検知率及びより低い誤検知率で不正な通信を検知することができる。また、予定時刻範囲の変更の原因となった通信フレームを異常フレームと判定するため、より高い検知率及びより低い誤検知率で不正な通信を検知することができる。

図１５には、識別子５００の通信フレームが通信間隔Ｔで送信されている中で、非周期の識別子５００の通信フレームが送信される場合について示す図である。ここで周期送信される識別子５００の通信フレームは、データに関係し、データが所定の条件を満たす場合において、非周期の識別子６００の通信フレームが送信される。例えば、識別子５００の通信フレームは、周辺監視のセンサー信号を示し、識別子６００の通信フレームは、センサー信号の変化に反応するブザーの鳴動に係るものである場合がこれに相当する。

このような場合においても受信予測部２０２は、非周期の識別子５００の第１通信フレームの受信時刻を基準として、異なる種類の識別子６００の第２通信フレームである対象通信フレームの予定時刻範囲を設定する。ここで異常判定部２０３は、設定した予定時刻範囲に対象通信フレームを受信しなかった場合に、非周期の識別子５００の第１通信フレームを異常フレームと判定することができる。したがって図１４の場合と同様の効果を得ることができる。

図１６に示すように、通信システム１００は、自動車１０等に搭載される車載ネットワークに適用することができる。この場合において通信システム１００は、例えば無線通信を介してインターネットを含む外部ネットワークと接続されていてもよい。通信システム１００を適用することにより、例えば、外部からの不正なアクセスによって生じる、通信ネットワーク１０３を流れる不正な通信フレームを、より高い検知率及びより低い誤検知率で検知することができる。

以上、本発明の実施形態における異常検知装置、異常検知方法、プログラム及び通信システムについて説明した。

本発明の異常検知装置は、車載を含む各種電子制御装置（ＥＣＵ）すべてが該当する。また本発明の異常検知装置の形態の例として、半導体、電子回路、モジュール、マイクロコンピュータが挙げられる。またこれらにアンテナや通信用インターフェースなど、必要な機能を追加してもよい。また、カーナビゲーションシステム、スマートフォン、パーソナルコンピュータ、携帯情報端末のような形態をとることも可能である。

加えて、本発明は、上述の専用のハードウェア（例えばＥＣＵとしての「異常検知装置」）で実現できるものだけでなく、メモリやハードディスク等の記録媒体に記録したプログラム、及びこれを実行可能な専用又は汎用のハードウェアに提供することもできる。これによりプログラムのアップグレードを通じて常に最新の機能を提供することができる。すなわち、異常検知装置の異常検知方法をコンピュータにて実行可能な異常検知プログラムも本発明に含まれる。

本発明の異常検知装置、異常検知方法、プログラム及び通信システムは、実施形態において自動車に搭載されるＥＣＵを念頭において説明したが、自動二輪車、船舶、鉄道、航空機等、移動する移動体全般に適用することが可能である。また、移動体に限らず、工場、会社のオフィス、個人宅等の通信ネットワークにおいて、マイクロコンピュータを包含する製品全般に適用可能である。

１００通信システム，１０１第１電子制御装置，１０２第２電子制御装置，１０３通信ネットワーク，２００異常検知装置，２０１受信部，２０２受信予測部，２０３異常判定部，２１０フレーム情報記憶部

Claims

通信ネットワーク（１０３）を介して通信フレームを受信する受信部（２０１）と、
前記通信フレームに関する情報を保存するフレーム情報記憶部（２１０）と、
前記受信部が前記通信フレームを受信した際に、複数種類の前記通信フレームのうち、いずれかの種類の前記通信フレームである対象通信フレームを受信する予定時刻を含む時間範囲である予定時刻範囲を、前記通信フレームの受信時刻を基準として算出し設定する受信予測部（２０２）と、
前記予定時刻範囲外において前記対象通信フレームを受信した場合には前記対象通信フレームを異常フレームと判定する異常判定部（２０３）と、を備える異常検知装置（２００）。
前記受信予測部は、前記受信部が前記通信フレームを受信した際に、前記対象通信フレームの前記予定時刻範囲を変更する、
請求項１に記載の異常検知装置。
前記受信予測部は、前記受信部が前記通信フレームを受信した際に、前記対象通信フレームの前記予定時刻範囲を縮小する、
請求項１又は２に記載の異常検知装置。
前記受信予測部は、前記予定時刻範囲内の時刻に前記対象通信フレームとは異なる種類の前記通信フレームを受信した場合に、前記対象通信フレームの前記予定時刻範囲を早い時刻側、又は遅い時刻側に拡張する、
請求項１又は２に記載の異常検知装置。
前記受信予測部は、一の前記対象通信フレームの前記予定時刻範囲に、他の前記対象通信フレームの前記予定時刻が含まれる場合には、前記一の対象通信フレームの前記予定時刻範囲を遅い時刻側に拡張する、
請求項１乃至４のいずれか一項に記載の異常検知装置。
前記遅い時刻側に拡張される時間幅は、前記対象通信フレームが送信される装置と同じ装置から送信される前記通信フレームを受信した場合と、異なる装置から送信されかつ前記対象通信フレームより優先度の高い前記通信フレームを受信した場合とで異なる、
請求項４又は５に記載の異常検知装置。
前記受信予測部は、
前記対象通信フレームの前記受信時刻が前記予定時刻より遅い場合には、前記受信時刻と前記予定時刻との差分だけ、次の前記対象通信フレームの前記予定時刻範囲を早い時刻側に拡張し、
前記対象通信フレームの前記受信時刻が前記予定時刻より早い場合には、前記受信時刻と前記予定時刻との差分だけ、次の前記対象通信フレームの前記予定時刻範囲を遅い時刻側に拡張する、
請求項１乃至６のいずれか一項に記載の異常検知装置。
前記フレーム情報記憶部は、周期的に送信される種類の前記通信フレームの周期を保存し、
前記受信予測部は、前記フレーム情報記憶部を参照し、前記対象通信フレームの前記予定時刻を算出し設定する、
請求項１乃至７のいずれか一項に記載の異常検知装置。
前記フレーム情報記憶部は、前記通信フレームの種類に応じた優先度、及び各種類の前記通信フレームを送信する送信装置の識別子を保存する、
請求項１乃至８のいずれか一項に記載の異常検知装置。
前記異常判定部は、前記予定時刻範囲外において受信した前記通信フレームが、非周期送信を行う種類の通信フレームであった場合には、正常フレームと判定する、
請求項１乃至９のいずれか一項に記載の異常検知装置。
前記受信予測部は、前記正常フレームと判定された前記通信フレームの受信時刻を基準として、前記対象通信フレームの前記予定時刻範囲を変更し、
前記異常判定部は、変更した前記予定時刻範囲に前記対象通信フレームを受信しなかった場合に、前記正常フレームと判定された前記通信フレームを異常フレームと判定する、
請求項１０に記載の異常検知装置。
前記受信予測部は、前記通信フレームである第１通信フレームの受信時刻を基準として、前記第１通信フレームとは異なる種類の第２通信フレームを前記対象通信フレームとして、前記対象通信フレームの前記予定時刻範囲を設定し、
前記異常判定部は、設定した前記予定時刻範囲に前記対象通信フレームを受信しなかった場合に、前記第１通信フレームを異常フレームと判定する、
請求項１乃至１１のいずれか一項に記載の異常検知装置。
前記フレーム情報記憶部は、非周期的な前記通信フレームが送信されるか否か、及び非周期的でない前記通信フレームが周期をリセットするか否かを保存する、
請求項１乃至１２のいずれか一項に記載の異常検知装置。
通信ネットワークを介して通信フレームを受信し、
前記通信フレームを受信した際に、複数種類の前記通信フレームのうち、いずれかの種類の前記通信フレームである対象通信フレームを受信する予定時刻を含む時間範囲である予定時刻範囲を、前記通信フレームの受信時刻を基準として算出して設定し、
前記予定時刻範囲外において前記対象通信フレームを受信した場合には前記対象通信フレームを異常フレームと判定する、異常検知方法。
通信ネットワークを介して通信フレームを受信する受信工程と、
前記通信フレームを受信した際に、複数種類の前記通信フレームのうち、いずれかの種類の前記通信フレームである対象通信フレームを受信する予定時刻を含む時間範囲である予定時刻範囲を、前記通信フレームの受信時刻を基準として算出して設定する算出設定工程と、
前記予定時刻範囲外において前記対象通信フレームを受信した場合には前記対象通信フレームを異常フレームと判定工程と、をコンピュータに実行させるためのプログラム。
通信ネットワークにより互いに接続された第１電子制御装置（１０１）、第２電子制御装置（１０２）及び異常検知装置を備え、
前記第１電子制御装置及び前記第２電子制御装置は互いに通信フレームの送受信を行い、
前記異常検知装置は、
前記第１電子制御装置及び前記第２電子制御装置において送受信される前記通信フレームを受信する受信部と、
前記通信フレームに関する情報を保存するフレーム情報記憶部と、
前記受信部が前記通信フレームを受信した際に、複数種類の前記通信フレームのうち、いずれかの種類の前記通信フレームである対象通信フレームを受信する予定時刻を含む時間範囲である予定時刻範囲を、前記通信フレームの受信時刻を基準として算出し設定する受信予測部と、
前記予定時刻範囲外において前記対象通信フレームを受信した場合には前記対象通信フレームを異常フレームと判定する異常判定部と、を有する、
通信システム（１００）。