JP2020092325A - 不正信号処理装置 - Google Patents

Abstract

【課題】単位時間当たりのデータ量の検出に必要な記憶容量を低減する。【解決手段】不正信号処理装置１００は、通信網に入力されるデータ信号を検出する信号検出部５２と、特定の時刻から信号検出部５２によりデータ信号が検出された検出時刻までの経過時間を所定時間で除算して商と剰余とを算出する除算部５４と、除算部５４により算出された商および剰余を記憶する記憶部５１と、記憶部５１に記憶された商および剰余に基づいて、所定時間よりも長い判定時間内に信号検出部５２により検出されたデータ信号の信号数を算出し、算出された信号数に基づいて通信網に対する攻撃が発生したか否かを判定する攻撃判定部５５とを備える。【選択図】図４

Description

本発明は、通信網に入力される不正な信号を処理する不正信号処理装置に関する。

従来、車両に搭載されたＥＣＵに対する車外の装置からのＤｏＳ攻撃（Denial of Service attack）を検出するようにした装置が知られている。例えば特許文献１記載の装置では、単位時間当たりに車外の装置から車載通信網に対して入力されるデータ量を検出し、予め設定された閾値以上のデータ量が検出されると、ＤｏＳ攻撃が発生したと判定する。

特許文献１：特開２０１６−１４３９６３号公報

ところで、一般に、単位時間当たりのデータ量を検出するためには、データ信号が入力された時刻データを記憶する必要がある。しかしながら、単位時間分の時刻データを記憶するためには記憶容量の大きなメモリが必要になり、コストの上昇を招く。

本発明の一態様である不正信号処理装置は、通信網に入力されるデータ信号を検出する信号検出部と、特定の時刻から信号検出部によりデータ信号が検出された検出時刻までの経過時間を所定時間で除算して商と剰余とを算出する除算部と、除算部により算出された商および剰余を記憶する記憶部と、記憶部に記憶された商および剰余に基づいて、所定時間よりも長い判定時間内に信号検出部により検出されたデータ信号の信号数を算出し、算出された信号数に基づいて通信網に対する攻撃が発生したか否かを判定する攻撃判定部と、を備える。

本発明によれば、単位時間当たりのデータ量の検出に必要な記憶容量を低減することができる。

本発明の実施形態に係る不正信号処理装置を概略的に示す図。 車載通信網に入力される正当なデータ信号について説明するための図。 車載通信網に対する攻撃について説明するための図。 本発明の実施形態に係る不正信号処理装置の要部構成を示すブロック図。 図４の除算部により算出される経過時間について説明するための図。 図４の除算部により算出される商および剰余の一例について説明するための図。 図４の記憶部に記憶される時刻データの一例について説明するための図。 本発明の実施形態に係る不正信号処理装置により実行される処理の一例を示すフローチャート。

以下、図１〜図８を参照して本発明の実施形態について説明する。図１は、本発明の実施形態に係る不正信号処理装置１００を概略的に示す図である。

不正信号処理装置１００が適用される車両１には、複数（図１の例では、４個）のＥＣＵ（電子制御ユニット）２が搭載される。複数のＥＣＵ２には、エンジン制御用ＥＣＵ、変速機制御用ＥＣＵ、操舵制御用ＥＣＵなどの車両の動作に直接的な影響を与えるＥＣＵ、エアコンやナビゲーションなどの車両の動作に直接的な影響を与えない機器の制御用ＥＣＵ等、機能の異なるＥＣＵが含まれる。

各ＥＣＵ２は、ＣＡＮ（コントローラエリアネットワーク）等の車載通信網により互いに通信可能に接続される。各ＥＣＵ２は、演算処理を行うＣＰＵ、揮発性メモリ（ＲＡＭ）、書き換え可能な不揮発性メモリ（フラッシュメモリやＥＥＰＲＯＭ等）、その他の周辺回路を有するコンピュータを含んで構成される。各ＥＣＵ２は、予め不揮発性メモリに記憶されたプログラムに従い、各種センサからの出力値に基づいて各種制御を実行する。

さらにＥＣＵ２には、車載通信網を介して、外部との無線通信を行うＴＣＵ（テレマティクス制御ユニット）３、ＥＣＵ２に記憶された故障コードを読み出して車両１の故障診断を行う、あるいはＥＣＵ２のプログラムを更新する診断機を接続可能なＤＬＣ（データリンクコネクタ）４が接続される。ＥＣＵ２、ＴＣＵ３およびＤＬＣ４の間にはゲートウェイ５が設けられ、車載通信網と車外との通信あるいは複数の車載通信網間の通信を中継する。

図２は、車載通信網に入力される正当なデータ信号ＬＳについて説明するための図である。複数のＥＣＵ２は、それぞれのプログラムに従って各種制御を実行するための演算を行うとともに、それぞれの演算結果を含むデータ信号を相互に送受信して共有することで、複数のＥＣＵ２による協調制御を実行する。図２に示すように、協調制御を行うために送受信される正当なデータ信号ＬＳは、一定の周期Ｔｆ（例えば、１０ｍｓ）で車載通信網に入力される。

図３は、車載通信網に対する攻撃について説明するための図である。悪意のある第三者が車載通信網に対して不正なデータ信号ＩＳを大量に送信（入力）し、車載通信網における正当なデータ信号ＬＳの送受信を妨害する攻撃、いわゆるＤｏＳ攻撃（Denial of Service attack）を試みることがある。このようなＤｏＳ攻撃が行われると、車載通信網に接続された各ＥＣＵ２が正常に動作できなくなる可能性がある。

車載通信網に対するＤｏＳ攻撃の発生は、単位時間当たりに車載通信網に入力されるデータ信号の信号数をカウントし、カウントされた信号数を設計許容値と比較することで検知することができる。この場合、単位時間当たりに車載通信網に入力された各データ信号ＬＳ，ＩＳの入力時刻ｔの時刻データをバッファ領域に一時的に記憶する必要がある。

ＤｏＳ攻撃の発生を確実に検知するには、正当なデータ信号ＬＳの入力周期Ｔｆよりも十分長い、例えば、入力周期Ｔｆの１０倍程度の判定時間Ｔｗ当たりの信号数をカウントすることが望ましい。しかしながら、判定時間Ｔｗを長く設定すると、バッファ領域に記憶される時刻データのデータ数が増大するため、メモリ容量が必要となるとともに、順次検出されるデータ信号と連動した時刻データのずらし処理による演算負荷も増大する。

そこで、本発明の実施形態に係る不正信号処理装置１００は、各データ信号ＬＳ，ＩＳの入力時刻ｔを桁数の小さい数値に変換した上でバッファ領域に記憶するよう、以下のように構成する。

図４は、不正信号処理装置１００の要部構成を示すブロック図である。図１および図４に示すように、不正信号処理装置１００は、車両１に搭載されたＥＣＵ２と、ＴＣＵ３と、ＤＬＣ４と、ＥＣＵ２、ＴＣＵ３およびＤＬＣ４の間に設けられたゲートウェイ５とを備えた車載通信網として構成される。

図４に示すように、ゲートウェイ５は、ＣＰＵ等の演算部５０と、ＲＯＭ，ＲＡＭ，ハードディスク等の記憶部５１と、その他の周辺回路とを有するコンピュータを含んで構成される。演算部５０は、機能的構成として、信号検出部５２と、信号中継部５３と、除算部５４と、攻撃判定部５５と、通信制限部５６とを有する。

信号検出部５２は、車載通信網を介して入力された全てのデータ信号ＬＳ，ＩＳを検出する。すなわち、ＴＣＵ３やＤＬＣ４を介して車外から入力されるデータ信号や、車内のＥＣＵ２から入力されるデータ信号だけでなく、改ざんされたＥＣＵ２や、車載通信網に挿入された不正な外部機器から入力される、なりすまし等のデータ信号も含む全てのデータ信号ＬＳ，ＩＳを検出する。

信号中継部５３は、ＥＣＵ２、ＴＣＵ３およびＤＬＣ４の間で送受信される通信信号（データ信号）を中継する。すなわち、信号中継部５３は、送信元から車載通信網に入力されて信号検出部５２により検出されたデータ信号を送信先へと転送（中継）する。

除算部５４は、信号検出部５２により新たなデータ信号ＬＳ，ＩＳが検出されると、その検出時刻を入力時刻ｔ１として、判定時間Ｔｗにおいて前回までに検出されたデータ信号ＬＳ，ＩＳの入力時刻ｔ２，ｔ３，…，ｔｎからの経過時間ｔｐ２，ｔｐ３，…，ｔｐｎを順次算出する。

図５は、除算部５４により算出される経過時間について説明するための図である。図５に示すように、除算部５４は、判定時間Ｔｗにおける前回までのデータ信号ＬＳ，ＩＳの入力時刻ｔ２〜ｔ１３のそれぞれから最新の入力時刻ｔ１までの経過時間ｔｐ２〜ｔｐ１３を算出する。

さらに除算部５４は、算出した経過時間ｔｐ２〜ｔｐ１３を、正当なデータ信号ＬＳの入力周期Ｔｆで除算して商Ｑ２〜Ｑ１３と剰余Ｃ２〜Ｃ１３とを算出する。なお、経過時間ｔｐ１および経過時間ｔｐ１に対応する商Ｑ１、剰余Ｃ１は、「０」とする。除算部５４により算出された商Ｑ１〜Ｑ１３および剰余Ｃ１〜Ｃ１３は、入力時刻ｔ１〜ｔ１３の時刻データとして記憶部５１に記憶される。

図６は、除算部５４により算出される商および剰余の一例について説明するための図であり、図７は、記憶部５１に記憶される入力時刻ｔ１〜ｔ１３の時刻データの一例について説明するための図である。図６の例では、経過時間ｔｐ２は、正当なデータ信号ＬＳの入力周期Ｔｆ（例えば、１０ｍｓ）より短いため、商Ｑ２＝０となり、剰余Ｃ２は、入力周期Ｔｆより小さい値となる。また、経過時間ｔｐ３は、Ｔｆ×１より長くＴｆ×２より短いため、商Ｑ３＝１となり、剰余Ｃ３は、入力周期Ｔｆより小さい値となる。

このように、経過時間ｔｐｎは、０から１０まで、すなわち２桁以下の整数である商Ｑｎと、０から入力周期Ｔｆ＝１０ｍｓまでの値、すなわち２桁以下の値である剰余Ｃｎとを用いて、Ｔｆ×Ｑｎ＋Ｃｎとして表すことができる。

時刻ｔｎそのものを記憶する場合には、経過時間ｔｐｎに変換したとしても、０から判定時間Ｔｗ＝１００ｍｓまでの値、すなわち３桁以下の値を記憶部５１に記憶する必要がある。一方、図７に示すように、入力時刻ｔｎそのものに代えて、経過時間ｔｐｎを正当なデータ信号ＬＳの入力周期Ｔｆで除算したときの商Ｑｎおよび剰余Ｃｎを時刻ｔｎの時刻データとして記憶部５１に記憶することで、記憶部５１に記憶される時刻データの桁数を削減することができる。

さらに、信号検出部５２により新たなデータ信号ＬＳ，ＩＳが検出されると、除算部５４は、新たに検出されたデータ信号ＬＳ，ＩＳの検出時刻を入力時刻ｔ１として、記憶部５１（バッファ領域）に記憶された時刻データのずらし処理を行う。記憶部５１に記憶される時刻データの桁数が削減されることで、ずらし処理による演算負荷も低減することができる。

攻撃判定部５５は、記憶部５１に記憶された時刻データ（商Ｑｎおよび剰余Ｃｎ）に基づいて、判定時間Ｔｗにおいて信号検出部５２により検出されたデータ信号ＬＳ，ＩＳの信号数をカウント（算出）する。図３および図７の例では、１３個のデータ信号ＬＳ，ＩＳがカウントされる。

さらに攻撃判定部５５は、判定時間Ｔｗにおいて信号検出部５２により検出されたデータ信号ＬＳ，ＩＳの信号数に基づいて、車載通信網に対するＤｏＳ攻撃が発生したか否かを判定する。ＤｏＳ攻撃が発生していない正常な状態で、判定時間Ｔｗにおいて信号検出部５２により検出されるデータ信号ＬＳの信号数の設計値は、（判定時間Ｔｗ＝１００ｍｓ）／（正当なデータ信号ＬＳの入力周期Ｔｆ＝１０ｍｓ）＝１０個となる。

攻撃判定部５５は、判定時間Ｔｗにおいて信号検出部５２により検出されるデータ信号ＬＳ，ＩＳの信号数が、設計値に所定値（例えば、３）を加算した閾値を超えると、車載通信網に対するＤｏＳ攻撃が発生したと判定する。すなわち、例えば、判定時間Ｔｗにおいて信号検出部５２により検出されるデータ信号ＬＳ，ＩＳの信号数が１４以上となると、車載通信網に対するＤｏＳ攻撃が発生したと判定する。

通信制限部５６は、攻撃判定部５５により、車載通信網に対するＤｏＳ攻撃が発生したと判定されると、必要に応じて通信制限を行う。例えば、送信元から送信先へのデータ信号のゲートウェイ５による中継を禁止（遮断）する。

図８は、不正信号処理装置１００により実行される処理の一例を示すフローチャートである。このフローチャートに示す処理は、例えば、車両１が起動されて車載通信網に電源が供給されると開始され、所定周期で繰り返される。

まず、ステップＳ１で、信号検出部５２での処理により、新たなデータ信号ＬＳ，ＩＳを検出したか否かを判定する。ステップＳ１は肯定されるまで繰り返される。ステップＳ１で肯定されるとステップＳ２に進み、ステップＳ１で検出されたデータ信号ＬＳ，ＩＳの検出時刻を入力時刻ｔ１として決定する。

次いで、ステップＳ３で、除算部５４での処理により、判定時間Ｔｗにおいて前回までに検出されたデータ信号ＬＳ，ＩＳの入力時刻ｔ２〜ｔ１３を、正当なデータ信号ＬＳの入力周期Ｔｆで除算して、商Ｑ２〜Ｑ１３と剰余Ｃ２〜Ｃ１３とを算出する。すなわち、入力時刻ｔ２〜ｔ１３を商Ｑ２〜Ｑ１３および剰余Ｃ２〜Ｃ１３に変換し、時刻データとして記憶部５１に記憶する。

次いで、ステップＳ４で、攻撃判定部５５での処理により、ステップＳ３で変換されて記憶部５１に記憶された時刻データに基づいて、判定時間Ｔｗにおいて検出されたデータ信号ＬＳ，ＩＳの信号数をカウントする。次いで、ステップＳ５で、ステップＳ４でカウントされた信号数が閾値以下であるか否かを判定する。

ステップＳ５で肯定されると処理を終了する一方、否定されると、ステップＳ６に進み、車載通信網に対するＤｏＳ攻撃が発生したと判定する。これにより、車載通信網に対するＤｏＳ攻撃が発生したと判定されるときは、必要に応じて、信号中継部５３による通信信号の中継を禁止することができる。

本実施形態に係る不正信号処理装置１００の主要な動作についてより具体的に説明する。車両１の車載通信網に対し、例えば、ＴＣＵ３（図１）を介して車外から不正なデータ信号ＩＳが大量に入力されると、ゲートウェイ５（図１）がＤｏＳ攻撃の発生を検知し、必要に応じて通信制限を行う（図８のステップＳ１〜Ｓ６）。すなわち、車載通信網全体の通信信号を監視するゲートウェイ５により、車載通信網に対するＤｏＳ攻撃の発生を判定し、必要に応じて通信信号の中継を禁止し、車載通信網に対する攻撃を制限することができる。

本実施形態によれば以下のような作用効果を奏することができる。
（１）不正信号処理装置１００は、車載通信網に入力されるデータ信号ＬＳ，ＩＳを検出する信号検出部５２と、特定の入力時刻ｔ１から信号検出部５２によりデータ信号ＬＳ，ＩＳが検出された入力時刻（検出時刻）ｔｎまでの経過時間ｔｐｎを正当なデータ信号ＬＳの入力周期Ｔｆで除算して商Ｑｎと剰余Ｃｎとを算出する除算部５４と、除算部５４により算出された商Ｑｎおよび剰余Ｃｎを記憶する記憶部５１と、記憶部５１に記憶された商Ｑｎおよび剰余Ｃｎに基づいて、入力周期Ｔｆよりも長い判定時間Ｔｗ内に信号検出部５２により検出されたデータ信号ＬＳ，ＩＳの信号数を算出し、算出された信号数に基づいて車載通信網に対するＤｏＳ攻撃が発生したか否かを判定する攻撃判定部５５とを備える（図４）。

ＤｏＳ攻撃の発生を検知するためにカウントすべきデータ信号の時刻データを、桁数の小さい数値に変換した上でバッファ領域（記憶部５１）に記憶することで、必要なメモリ容量を低減することができる。また、順次検出されるデータ信号と連動した時刻データのずらし処理による演算負荷を低減することができる。

（２）不正信号処理装置１００は、車載通信網に接続された外部機器から車載通信網に入力されるデータ信号を中継する信号中継部５３と、攻撃判定部５５による判定結果に応じて、信号中継部５３によりデータ信号の中継を禁止する通信制限部５６と、をさらに備える（図４）。これにより、必要に応じてデータ信号の中継を禁止し、車載通信網に対する攻撃を制限することができる。

（３）不正信号処理装置１００は、ユニット化された記憶部５１と、信号検出部５２と、信号中継部５３と、除算部５４と、攻撃判定部５５と、通信制限部５６と、を有するゲートウェイ５をさらに備える（図４）。車載通信網全体の通信信号を監視するゲートウェイ５がＤｏＳ攻撃の発生を検知し、必要に応じて通信制限を行うため、不正信号処理装置１００全体を簡易な構成とすることができる。

上記実施形態は種々の形態に変更することができる。以下、変形例について説明する。上記実施形態では、不正信号処理装置１００を、記憶部５１、信号検出部５２、除算部５４および攻撃判定部５５を有するゲートウェイ５として例示したが、不正信号処理装置の構成はこれに限らない。例えば、ゲートウェイ５とは別の、車載通信網全体の通信信号を監視する専用の機器に、記憶部５１、信号検出部５２、除算部５４および攻撃判定部５５を設けてもよい。

上記実施形態では、通信網としてＣＡＮ通信による車載通信網を例示したが、不正信号処理装置が適用される通信網はこのようなものに限らない。通信網は、データ信号が入力されるものであれば、どのようなものでもよい。

以上の説明はあくまで一例であり、本発明の特徴を損なわない限り、上述した実施形態および変形例により本発明が限定されるものではない。上記実施形態と変形例の１つまたは複数を任意に組み合わせることも可能であり、変形例同士を組み合わせることも可能である。

１ 車両、２ ＥＣＵ、３ ＴＣＵ、４ ＤＬＣ、５ ゲートウェイ、５０ 演算部、５１ 記憶部、５２ 信号検出部、５３ 信号中継部、５４ 除算部、５５ 攻撃判定部、５６ 通信制限部、１００ 不正信号処理装置

Claims (3)

1. 通信網に入力されるデータ信号を検出する信号検出部と、
   特定の時刻から前記信号検出部により前記データ信号が検出された検出時刻までの経過時間を所定時間で除算して商と剰余とを算出する除算部と、
   前記除算部により算出された前記商および前記剰余を記憶する記憶部と、
   前記記憶部に記憶された前記商および前記剰余に基づいて、前記所定時間よりも長い判定時間内に前記信号検出部により検出された前記データ信号の信号数を算出し、算出された信号数に基づいて前記通信網に対する攻撃が発生したか否かを判定する攻撃判定部と、を備えることを特徴とする不正信号処理装置。
2. 請求項１に記載の不正信号処理装置において、
   前記通信網に接続された外部機器から前記通信網に入力されるデータ信号を中継する信号中継部と、
   前記攻撃判定部による判定結果に応じて、前記信号中継部によるデータ信号の中継を禁止する通信制限部と、をさらに備えることを特徴とする不正信号処理装置。
3. 請求項２に記載の不正信号処理装置において、
   ユニット化された前記記憶部と、前記信号検出部と、前記信号中継部と、前記除算部と、前記攻撃判定部と、前記通信制限部と、を有する中継装置をさらに備えることを特徴とする不正信号処理装置。
   

Images