JP2020123307A - セキュリティ装置、攻撃特定方法、及びプログラム - Google Patents

Abstract

【課題】機器ネットワークにセキュリティ攻撃を受けた場合、その攻撃を負荷の軽減された処理で特定することができるセキュリティ装置を提供すること。【解決手段】機器ネットワークに含まれるセキュリティ装置であって、前記機器ネットワークに対する攻撃により発生した異常を検出する異常検出部、検出された前記異常のデータを収集する異常データ収集部、収集された前記異常のデータを保持する異常データ保持部、複数の異常検出項目それぞれに対する検出要否の組み合わせデータを含んで構成される、前記攻撃毎の異常検出パターンを保持する異常検出パターン保持部、及び前記異常データ保持部に保持された前記異常のデータと、前記異常検出パターン保持部に保持されている前記異常検出パターンとに基づいて、前記異常に対応する前記攻撃の種類を特定する攻撃特定部を装備する。【選択図】 図２

Description

本発明は、セキュリティ装置、攻撃特定方法、及びプログラムに関する。

特許文献１には、クラウド上の異常検知サーバが、各車両から車載ネットワークで受信されたフレームについての情報等を集積し、機械学習等により所定モデルを調整し、ある車載ネットワークで受信されたフレームについての異常度を、そのフレームについての情報と所定モデルとの比較に係る演算処理により算定するシステムが開示されている。

特許文献１記載の異常検知サーバによれば、異常度を算定することにより、様々な攻撃フレームへの適切な対処が可能となり得るとしている。

［発明が解決しようとする課題］
しかしながら、特許文献１記載の発明では、車両と異常検知サーバとの間で通信を行う必要があるため、攻撃フレームへの適切な対処（インシデント対応）を車両単体で完結することができず、また、通信を介すため、発生した攻撃に対するインシデント対応が遅れる場合もあり、また、通信できない状況となった場合、そもそも異常度の算定やインシデント対応を行うことができないという課題があった。

また、異常検知サーバで実行される処理量は膨大であり、このような異常検知サーバの機能を車両に搭載しようとした場合、車両に搭載される装置の処理能力面、コスト面で実現が困難であるという課題があった。

特開２０１７−１１１７９６号公報

課題を解決するための手段及びその効果

本発明は上記課題に鑑みなされたものであって、１以上の機器が通信路を介して接続された機器ネットワークに対してセキュリティ攻撃を受けた場合、その攻撃の種類を負荷が軽減された処理で特定することができ、迅速なインシデント対応を可能とするセキュリティ装置、攻撃特定方法、及びプログラムを提供することを目的としている。

上記目的を達成するために本開示に係るセキュリティ装置（１）は、１以上の機器が通信路を介して接続された機器ネットワークに含まれるセキュリティ装置であって、
前記機器ネットワークに対する攻撃により発生した異常を検出する異常検出部と、
該異常検出部により検出された前記異常のデータを収集する異常データ収集部と、
該異常データ収集部により収集された前記異常のデータを保持する異常データ保持部と、
複数の異常検出項目それぞれに対する検出要否の組み合わせデータを含んで構成される、前記攻撃の種類ごとの異常検出パターンを保持する異常検出パターン保持部と、
前記異常データ保持部に保持された前記異常のデータと、前記異常検出パターン保持部に保持されている前記異常検出パターンとに基づいて、前記異常に対応する前記攻撃の種類を特定する攻撃特定部とを備えていることを特徴としている。

上記セキュリティ装置（１）によれば、前記異常検出部により前記異常が検出され、検出された前記異常のデータが前記異常データ収集部により収集され、収集された前記異常のデータが前記異常データ保持部に保持される。そして、前記攻撃特定部によって、前記異常に対応する前記攻撃の種類が特定される。したがって、前記機器ネットワークが前記攻撃を受けた場合に、当該セキュリティ装置単体で、前記攻撃の種類を特定することができる。また、前記攻撃の種類の特定には、前記攻撃の種類ごとに規定された前記異常検出パターンを用いるので、機械学習等の処理量が膨大で高負荷の異常分析を行うことなく、負荷が軽減された処理によって、前記攻撃の種類を特定することができる。なお、前記通信路は、有線の通信路であってもよいし、無線の通信路であってもよいし、有線と無線とを含む通信路であってもよい。

また本開示に係るセキュリティ装置（２）は、上記セキュリティ装置（１）において、
前記複数の異常検出項目それぞれに対する重み付け値の組み合わせデータを含んで構成される、前記攻撃の種類ごとの攻撃推定パターンを保持する攻撃推定パターン保持部と、
前記攻撃特定部により前記攻撃の種類を特定することができなかった場合に、前記異常データ保持部に保持された前記異常のデータと、前記攻撃推定パターン保持部に保持されている前記攻撃推定パターンとに基づいて、前記異常に対応する前記攻撃の種類を推定する攻撃推定部とを備えていることを特徴としている。

上記セキュリティ装置（２）によれば、前記攻撃特定部により前記攻撃の種類を特定することができなかった場合であっても、前記攻撃推定部によって、前記異常に対応する前記攻撃の種類を推定することができる。また、前記攻撃の種類の推定には、前記攻撃の種類ごとに規定された前記攻撃推定パターンを用いるので、機械学習等の処理量が膨大で高負荷の異常分析を行うことなく、負荷が軽減された処理によって、前記攻撃が既知のいずれの攻撃に類似しているのかを推定することができる。

また本開示に係るセキュリティ装置（３）は、上記セキュリティ装置（１）において、
前記異常データ保持部に保持される前記異常のデータが、
前記複数の異常検出項目それぞれに対する検出有無の結果を示すデータを含み、
前記攻撃特定部が、
前記複数の異常検出項目それぞれに対する検出有無の結果を示すデータと、前記異常検出パターンとを照合して、前記異常に対応する前記攻撃の種類を特定するものであることを特徴としている。

上記セキュリティ装置（３）によれば、前記攻撃特定部が、前記複数の異常検出項目それぞれに対する検出有無の結果を示すデータと、前記異常検出パターンとを照合する（換言すれば、マッチングする）ことによって、前記異常に対応する前記攻撃の種類が特定される。したがって、低負荷の処理によって、前記攻撃の種類を迅速に特定することができる。

また本開示に係るセキュリティ装置（４）は、上記セキュリティ装置（２）において、
前記異常データ保持部に保持される前記異常のデータが、
前記複数の異常検出項目それぞれに対する検出有無の結果を示すデータを含み、
前記攻撃推定パターンが、
前記重み付け値の組み合わせデータの和を示す第１合計値を含み、
前記攻撃推定部が、
前記攻撃の種類ごとに、前記複数の異常検出項目それぞれに対する検出有無の結果を示すデータと前記重み付け値との積の和を示す第２合計値を算出する第１算出部と、
前記攻撃の種類ごとに、前記第１合計値と前記第２合計値との一致率を算出する第２算出部と、
該第２算出部により算出された前記一致率に基づいて、前記異常に対応する前記攻撃の種類を推定する推定部とを備えていることを特徴としている。

上記セキュリティ装置（４）によれば、前記攻撃推定部によって、前記攻撃の種類ごとに前記第２合計値が算出され、前記攻撃の種類ごとの前記第１合計値と前記第２合計値との一致率が算出され、算出された前記一致率に基づいて、前記異常に対応する前記攻撃の種類が推定される。したがって、低負荷の処理によって、前記攻撃が、既知のいずれの攻撃に最も類似しているのかを迅速に推定することができる。

また本開示に係るセキュリティ制御部（５）は、上記セキュリティ装置（１）〜（４）のいずれかにおいて、
前記通信路を介して受信したメッセージが正常である場合における、前記複数の異常検出項目それぞれの正常値を保持するメッセージ正常値保持部を備え、
前記複数の異常検出項目には、前記メッセージの異常に関する１以上の項目を含み、
前記異常検出部が、
前記メッセージ正常値保持部に保持された前記複数の異常検出項目それぞれの正常値に基づいて、前記攻撃によるメッセージ異常を検出するメッセージ異常検出部を備え、
前記異常データ収集部が、
前記メッセージ異常検出部で検出された前記メッセージ異常のデータを収集するものであることを特徴としている。

上記セキュリティ装置（５）によれば、前記メッセージ正常値保持部に保持された前記複数の異常検出項目それぞれの正常値に基づいて、前記メッセージ異常が検出されるので、前記複数の異常検出項目の数が多い場合であっても、負荷が軽減された処理で、前記メッセージ異常を迅速に検出することができる。また、前記攻撃特定部では、前記メッセージ異常に対応する前記攻撃の種類を迅速に特定することが可能となり、前記攻撃推定部では、前記メッセージ異常に対応する前記攻撃の種類を迅速に推定することが可能となる。

また本開示に係るセキュリティ制御部（６）は、上記セキュリティ装置（１）〜（５）のいずれかにおいて、
前記通信路の状態が正常である場合における、前記複数の異常検出項目それぞれの正常値を保持する通信路正常値保持部を備え、
前記複数の異常検出項目には、前記通信路の異常に関する１以上の項目を含み、
前記異常検出部が、
前記通信路正常値保持部に保持された前記複数の異常検出項目それぞれの正常値に基づいて、前記攻撃による通信路異常を検出する通信路異常検出部を備え、
前記異常データ収集部が、
前記通信路異常検出部で検出された前記通信路異常のデータを収集するものであることを特徴としている。

上記セキュリティ装置（６）によれば、前記通信路正常値保持部に保持された前記複数の異常検出項目それぞれの正常値に基づいて、前記通信路異常が検出されるので、前記複数の異常検出項目の数が多い場合であっても、負荷が軽減された処理で、前記通信路異常を迅速に検出することができる。また、前記攻撃特定部では、前記通信路異常に対応する前記攻撃の種類を迅速に特定することが可能となり、前記攻撃推定部では、前記通信路異常に対応する前記攻撃の種類を迅速に推定することが可能となる。

また本開示に係るセキュリティ制御部（７）は、上記セキュリティ装置（１）〜（６）のいずれかにおいて、
当該セキュリティ装置の内部処理が正常である場合における、前記複数の異常検出項目それぞれの正常値を保持する内部処理正常値保持部を備え、
前記複数の異常検出項目には、前記内部処理の異常に関する１以上の項目を含み、
前記異常検出部が、
前記内部処理正常値保持部に保持された前記複数の異常検出項目それぞれの正常値に基づいて、前記内部処理の異常を検出する内部処理異常検出部を備え、
前記異常データ収集部が、
前記内部処理異常検出部で検出された前記内部処理の異常のデータを収集するものであることを特徴としている。

上記セキュリティ装置（７）によれば、前記内部処理正常値保持部に保持された前記複数の異常検出項目それぞれの正常値に基づいて、前記内部処理の異常（以下、内部処理異常ともいう）が検出されるので、前記複数の異常検出項目の数が多い場合であっても、負荷が軽減された処理で、前記内部処理異常を迅速に検出することができる。また、前記攻撃特定部では、前記内部処理異常に対応する前記攻撃の種類を迅速に特定することが可能となり、前記攻撃推定部では、前記内部処理異常に対応する前記攻撃の種類を迅速に推定することが可能となる。したがって、前記通信路や該通信路を介して受信したメッセージからでは検出できないような前記攻撃による異常を前記内部処理異常に基づいて特定したり、推定したりすることが可能となり、より多様な種類の攻撃の特定又は推定を行うことが可能となる。

また本開示に係るセキュリティ装置（８）は、上記セキュリティ装置（１）〜（７）のいずれかにおいて、
前記異常データ収集部が、
前記異常検出部により前記異常が検出されてから所定時間内に検出された前記異常のデータを収集するものであることを特徴としている。

上記セキュリティ装置（８）によれば、前記異常データ収集部によって、前記異常が検出されてから所定時間内に検出された前記異常のデータが収集される。したがって、前記所定時間内に検出された前記異常のデータを用いることによって、前記攻撃特定部による前記攻撃の種類の特定精度を高めることができ、また、前記攻撃推定部による前記攻撃の種類の推定精度を高めることができる。

また本開示に係るセキュリティ装置（９）は、上記セキュリティ装置（１）〜（８）のいずれかにおいて、前記異常データ収集部により収集された前記異常のデータを異常ログとして蓄積する異常ログ蓄積部を備えていることを特徴としている。

上記セキュリティ装置（９）によれば、前記異常ログ蓄積部に前記異常のデータが異常ログとして蓄積されるので、前記異常ログ蓄積部に蓄積された前記異常ログを用いて事後解析を行うことが可能となる。

また本開示に係るセキュリティ装置（１０）は、上記セキュリティ装置（１）又は（３）において、前記攻撃特定部により前記異常に対応する前記攻撃の種類が特定された場合、特定された前記攻撃の種類に対する対応処理を行う第１インシデント対応部を備えていることを特徴としている。

上記セキュリティ装置（１０）によれば、前記第１インシデント対応部によって、前記異常に対応する前記攻撃の種類が特定された場合、特定された前記攻撃の種類に対する対策を迅速に行うことができる。

また本開示に係るセキュリティ装置（１１）は、上記セキュリティ装置（２）又は（４）において、前記攻撃推定部により前記異常に対応する前記攻撃の種類が推定された場合、推定された前記攻撃の種類に対する対応処理を行う第２インシデント対応部を備えていることを特徴としている。

上記セキュリティ装置（１１）によれば、前記第２インシデント対応部によって、前記異常に対応する前記攻撃の種類が推定された場合、推定された前記攻撃の種類に対する対策を迅速に行うことができる。

また本開示に係るセキュリティ装置（１２）は、上記セキュリティ装置（１）〜（１１）のいずれかにおいて、前記機器ネットワークに接続された報知部を作動させて前記異常を報知する報知処理部を備えていることを特徴としている。

上記セキュリティ装置（１２）によれば、前記報知処理部によって前記報知部を作動させて前記異常を報知することが可能となるので、前記報知を受けたユーザに、前記異常に対して適切な対応を実施させることができる。

また本開示に係るセキュリティ装置（１３）は、上記セキュリティ装置（１）〜（１２）のいずれかにおいて、前記機器ネットワークに接続された外部通報部を作動させて外部に前記異常を通報する通報処理部を備えていることを特徴としている。

上記セキュリティ装置（１３）によれば、前記通報処理部によって前記外部通報部を作動させて外部に前記異常を通報することが可能となるので、前記外部から前記異常に対して適切な対応を実施することができる。

また本開示に係るセキュリティ装置（１４）は、上記セキュリティ装置（１）〜（１３）のいずれかにおいて、前記機器が、車両に搭載される制御装置であり、
前記機器ネットワークが、車載ネットワークであることを特徴としている。

上記セキュリティ装置（１４）によれば、１以上の前記制御装置が前記通信路を介して接続された前記車載ネットワークに対してセキュリティ攻撃を受けた場合、車両単体で、前記攻撃の種類を負荷が軽減された処理で特定することができる。また、迅速なインシデント対応が可能となり、前記車両の安全性を高めることができる。

また本開示に係るセキュリティ装置（１５）は、上記セキュリティ装置（１）〜（１３）のいずれかにおいて、前記機器が、ＦＡ（Factory Automation）システムを構成する産業機器に搭載される制御機器であり、
前記機器ネットワークが、前記ＦＡシステムを構成する産業機器ネットワークであることを特徴としている。

上記セキュリティ装置（１５）によれば、１以上の前記制御機器が前記通信路を介して接続された前記産業機器ネットワークに対して前記攻撃を受けた場合、前記ＦＡシステム内で、前記攻撃の種類を負荷が軽減された処理で特定することができる。また、迅速なインシデント対応が可能となり、前記産業機器のユーザ（例えば、オペレータ）は、セキュリティの脅威に対して不安を抱くことなく、より安心して前記産業機器を使用することが可能となる。

また本開示に係る攻撃特定方法（１）は、１以上の機器が通信路を介して接続された機器ネットワークに含まれる少なくとも１以上のコンピュータが実行する攻撃特定方法であって、
前記機器ネットワークに対する攻撃により発生した異常を検出する異常検出ステップと、
該異常検出ステップにより検出された前記異常のデータを収集する異常データ収集ステップと、
該異常データ収集ステップにより収集された前記異常のデータを異常データ保持部に保持する保持ステップと、
前記異常データ保持部に保持された前記異常のデータと、異常検出パターン保持部に保持されている前記攻撃の種類ごとの異常検出パターンとに基づいて、前記異常に対応する前記攻撃の種類を特定する攻撃特定ステップとを含み、
前記異常検出パターンが、複数の異常検出項目それぞれに対する検出要否の組み合わせデータを含んで構成されていることを特徴としている。

上記攻撃特定方法（１）によれば、前記攻撃の種類の特定に、前記異常検出パターンを用いるので、前記機器ネットワークが前記攻撃を受けた場合に、機械学習等の処理量が膨大で高負荷の異常分析を行うことなく、負荷が軽減された処理によって、前記攻撃の種類を特定することができる。

また本開示に係る攻撃特定方法（２）は、上記攻撃特定方法（１）において、前記攻撃特定ステップにより前記攻撃の種類を特定することができなかった場合に、前記異常データ保持部に保持された前記異常のデータと、攻撃推定パターン保持部に保持されている前記攻撃の種類ごとの攻撃推定パターンとに基づいて、前記異常に対応する前記攻撃の種類を推定する攻撃推定ステップを含み、
前記攻撃推定パターンが、前記複数の異常検出項目それぞれに対する重み付け値の組み合わせデータを含んで構成されていることを特徴としている。

上記攻撃特定方法（２）によれば、前記攻撃特定ステップにより前記攻撃の種類を特定することができなかった場合であっても、前記攻撃推定ステップによって、前記異常に対応する前記攻撃の種類を推定することができる。また、前記攻撃の種類の推定には、前記攻撃の種類ごとに規定された前記攻撃推定パターンを用いるので、機械学習等の処理量が膨大で高負荷の異常分析を行うことなく、負荷が軽減された処理によって、前記攻撃が既知のいずれの攻撃に類似しているのかを推定することができる。

また本開示に係るプログラム（１）は、１以上の機器が通信路を介して接続された機器ネットワークに含まれる少なくとも１以上のコンピュータに実行させるためプログラムであって、
前記少なくとも１以上のコンピュータに、
前記機器ネットワークに対する攻撃により発生した異常を検出する異常検出ステップと、
該異常検出ステップにより検出された前記異常のデータを収集する異常データ収集ステップと、
該異常データ収集ステップにより収集された前記異常のデータを異常データ保持部に保持する保持ステップと、
前記異常データ保持部に保持された前記異常のデータと、異常検出パターン保持部に保持されている前記攻撃の種類ごとの異常検出パターンとに基づいて、前記異常に対応する前記攻撃の種類を特定する攻撃特定ステップとを実行させるためのプログラムであり、
前記異常検出パターンが、複数の異常検出項目それぞれに対する検出要否の組み合わせデータを含んで構成されていることを特徴としている。

上記プログラム（１）によれば、前記機器ネットワークに対する前記攻撃を受けた場合に、前記少なくとも１以上のコンピュータに、前記攻撃の種類を特定する処理を実行させることができる。したがって、当該コンピュータ単体で、前記攻撃の種類を特定することが可能となる。また、前記攻撃の種類の特定には、前記異常検出パターンを用いるので、前記コンピュータは、機械学習等の処理量が膨大で高負荷の異常分析を行うことなく、負荷が軽減された処理によって、前記攻撃の種類を特定する処理を実行することが可能となる。上記プログラムは、記憶媒体に保存されたプログラムであってもよいし、通信ネットワークを介して転送可能なプログラムであってもよい。

また本開示に係るプログラム（２）は、上記プログラム（１）において、
前記少なくとも１以上のコンピュータに、
前記攻撃特定ステップにより前記攻撃の種類を特定することができなかった場合に、前記異常データ保持部に保持された前記異常のデータと、攻撃推定パターン保持部に保持されている前記攻撃の種類ごとの攻撃推定パターンとに基づいて、前記異常に対応する前記攻撃の種類を推定する攻撃推定ステップをさらに実行させるためのプログラムであり、
前記攻撃推定パターンが、前記複数の異常検出項目それぞれに対する重み付け値の組み合わせデータを含んで構成されていることを特徴としている。

上記プログラム（２）によれば、前記攻撃特定ステップにより前記攻撃の種類を特定することができなかった場合であっても、前記攻撃推定ステップによって、前記コンピュータに、前記異常に対応する前記攻撃の種類を推定する処理を実行させることができる。また、前記攻撃の種類の推定には、前記攻撃の種類ごとに規定された前記攻撃推定パターンを用いるので、前記コンピュータに、機械学習等の処理量が膨大で高負荷の異常分析を実行させることなく、負荷が軽減された処理によって、前記攻撃が既知のいずれの攻撃に類似しているのかを推定する処理を実行させることができる。

実施の形態（１）に係るセキュリティ装置が適用された車載ネットワークシステムの概略ブロック図である。 実施の形態（１）に係るゲートウェイＥＣＵの機能構成例を示すブロック図である。 異常検出パターン保持部に保持されている、攻撃の種類ごとの異常検出パターンの一例を説明するための図である。 攻撃特定部が行う攻撃特定処理により攻撃の種類を特定できた場合を説明するための図である。 攻撃特定部が行う攻撃特定処理により攻撃の種類を特定できなかった場合を説明するための図である。 攻撃推定パターン保持部に保持されている、攻撃の種類ごとの攻撃推定パターンの一例を説明するための図である。 攻撃推定部が行う攻撃推定処理の一例を説明するための図である。 攻撃推定部を構成する第１算出部により算出された第２合計値の算出結果の一例を示す図である。 攻撃推定部を構成する第２算出部により算出された一致率の一例を示す図である。 攻撃特定部により異常に対応する攻撃の種類が特定された場合に、インシデント対応部に出力される攻撃特定データの構成例である。 攻撃推定部により異常に対応する攻撃の種類が特定された場合に、インシデント対応部に出力される攻撃推定データの構成例である。 実施の形態（１）に係るゲートウェイＥＣＵを構成するセキュリティ制御部が行う処理動作を示す概略フローチャートである。 実施の形態（１）に係るゲートウェイＥＣＵを構成するセキュリティ制御部が行う異常検出処理動作を示すフローチャートである。 実施の形態（１）に係るゲートウェイＥＣＵを構成するセキュリティ制御部が行う異常収集処理動作を示すフローチャートである。 実施の形態（１）に係るゲートウェイＥＣＵを構成するセキュリティ制御部が行う攻撃特定処理動作を示すフローチャートである。 実施の形態（２）に係るゲートウェイＥＣＵの機能構成例を示すブロック図である。 異常検出パターン保持部に保持されている、攻撃の種類ごとの異常検出パターンの一例を説明するための図である。 攻撃推定パターン保持部に保持されている、攻撃の種類ごとの攻撃推定パターンの一例を説明するための図である。 実施の形態（２）に係るゲートウェイＥＣＵを構成するセキュリティ制御部が行う異常検出処理動作を示すフローチャートである。 変形例に係るＦＡシステムの概略ブロック図である。 別の変形例に係るＦＡシステムの概略ブロック図である。

以下、本発明に係るセキュリティ装置、攻撃特定方法、及びプログラムの実施の形態を図面に基づいて説明する。

［適用例］
図１は、実施の形態（１）に係るセキュリティ装置が適用された車載ネットワークシステムの概略ブロック図である。

車載ネットワーク２は、車両１に搭載された通信ネットワークシステムであり、ＯＢＤII（On-board diagnostics II）４、走行系ＥＣＵ（Electronic Control Unit）群５、ボディ系ＥＣＵ群６、情報系ＥＣＵ群７、及びゲートウェイＥＣＵ１０を含んで構成されている。本実施の形態における車載ネットワーク２は、ＣＡＮ（Controller Area Network）プロトコルに従って通信するネットワークである。なお、車載ネットワーク２には、ＣＡＮ以外の他の通信規格が採用されてもよい。

ＯＢＤII４、走行系ＥＣＵ群５、ボディ系ＥＣＵ群６、及び情報系ＥＣＵ群７は、それぞれ通信路であるバス３を介して、ゲートウェイＥＣＵ１０のＣＨ１、ＣＨ２、ＣＨ３、及びＣＨ４に接続されている。なお、ゲートウェイＥＣＵ１０の有する通信ＣＨ数は、この４つに限定されるものではない。また、図１の例では、ＥＣＵ群が機能系統ごとにゲートウェイＥＣＵ１０に接続されたセントラルゲートウェイ方式が採用されているが、ゲートウェイＥＣＵ１０の接続方式は、この方式に限定されず、各ＥＣＵ群の間にゲートウェイＥＣＵ１０が設けられた方式などであってもよい。

ＯＢＤII４は、故障診断、又は保守等を行うための診断器又はスキャンツールなどが接続されるポートを備えている。

走行系ＥＣＵ群５には、駆動系ＥＣＵと、シャーシ系ＥＣＵとが含まれている。駆動系ＥＣＵには、エンジン制御、モータ制御、燃料電池制御、EV（Electric Vehicle）制御、又はトランスミッション制御等の「走る」機能に関する制御ユニットが含まれている。シャーシ系ＥＣＵには、ブレーキ制御、又はステアリング制御等の「止まる、曲がる」機能に関する制御ユニットが含まれている。

ボディ系ＥＣＵ群６には、ドアロック、パワーウインドウ、エアコン、ライト、又はウインカ等の車体の機能に関する制御ユニットが含まれている。

情報系ＥＣＵ群７は、インフォテイメント装置、テレマティクス装置、又はＩＴＳ（Intelligent Transport Systems）関連装置が含まれている。インフォテイメント装置には、カーナビゲーション装置、又はオーディオ機器などが含まれ、テレマティクス装置には、携帯電話網等へ接続するための通信ユニットなどが含まれている。ＩＴＳ関連装置には、ＥＴＣ（Electronic Toll Collection System）、又はＩＴＳスポットなどの路側機との路車間通信、若しくは車々間通信を行うための通信ユニットなどが含まれている。

これらＥＣＵ群に加えて、さらに安全機能系ＥＣＵ群がゲートウェイＥＣＵ１０に接続されてもよい。安全機能系ＥＣＵ群には、自動ブレーキ、車線維持制御、又は車間距離制御等、走行系ＥＣＵ群５などとの連携により自動的に安全性の向上、又は快適な運転を実現する機能に関する制御ユニットが含まれている。

また、外部インターフェースがゲートウェイＥＣＵ１０に接続されてもよい。外部インターフェースには、例えば、Bluetooth（登録商標）、Wi-Fi（登録商標）、USB(Universal Serial Bus)ポート、又はメモリーカードスロットなどが含まれる。

ゲートウェイＥＣＵ１０は、車載ネットワーク２に含まれる各ＥＣＵ群との間で、ＣＡＮプロトコルに従ってフレームの授受を行う機能を有し、さらに本実施の形態に係るセキュリティ装置として機能する。すなわち、本実施の形態に係るセキュリティ装置は、車載ネットワーク２のバス３に接続されたゲートウェイＥＣＵ１０に搭載されている。

ゲートウェイＥＣＵ１０は、車載ネットワーク２に対する攻撃（セキュリティ攻撃、又はサイバー攻撃ともいう）が実行された場合に、車両１単体で、すなわちゲートウェイＥＣＵ１０において、負荷が軽減された処理でその攻撃を判定し（すなわち、攻撃の種類を特定又は推定し）、判定した攻撃に応じたインシデント対応処理を実行する。これにより、車両１の運転者は、セキュリティ攻撃の脅威に対して不安を抱くことなく、安心して車両１を運転することが可能となっている。

走行系ＥＣＵ群５、ボディ系ＥＣＵ群６、情報系ＥＣＵ群７、及びゲートウェイＥＣＵ１０は、１つ以上のプロセッサ、メモリ、及び通信モジュールなどを含むコンピュータ装置で構成され、各ＥＣＵに搭載されたプロセッサが、メモリに記憶されたプログラムを読み出し、プログラムを解釈し実行することで、各ＥＣＵで所定の制御が実行されるようになっている。

［構成例１］
図２は、実施の形態（１）に係るゲートウェイＥＣＵ１０の機能構成例を示すブロック図である。
ゲートウェイＥＣＵ１０は、ゲートウェイ機能部１１と、セキュリティ制御部１２とを含んでいる。セキュリティ制御部１２が、本実施の形態に係るセキュリティ装置の機能が実装される部分である。ゲートウェイＥＣＵ１０は、ハードウェアとして、制御プログラムが格納されたＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）などを含むメモリ、該メモリからプログラムを読み出して実行するＣＰＵ（Central Processing Unit）などのプロセッサ、及び車載ネットワーク２に接続するための通信モジュールなどを含んで構成されている。

ゲートウェイ機能部１１は、各ＥＣＵ群とバス３を介してフレームを転送する制御を行う機能を備えており、例えば、図示しないフレーム送受信部、フレーム解釈部、及びフレーム変換部など、車載ネットワーク２の各ＥＣＵ群との間でＣＡＮプロトコルに従って相互通信するために必要な構成が含まれている。本実施の形態では、バス３が、通信路の一例であり、フレームが、メッセージの一例である。

ＣＡＮプロトコルにおけるフレームは、データフレーム、リモートフレーム、オーバーロードフレーム、及びエラーフレームを含んで構成されている。データフレームは、ＳＯＦ（Start Of Frame）、ＩＤ、ＲＴＲ（Remote Transmission Request）、ＩＤＥ（Identifier Extension）、予約ビット、ＤＬＣ（Data Length Code）、データフィールド、ＣＲＣ（Cyclic Redundancy Check）シーケンス、ＣＲＣデリミタ（ＤＥＬ）、ＡＣＫ（Acknowledgement）スロット、ＡＣＫデリミタ（ＤＥＬ）、及びＥＯＦ（End Of Frame）の各フィールドを含んで構成されている。

セキュリティ制御部１２は、フレーム受信部２１、フレーム異常検出部２２、バス監視部２３、バス異常検出部２４、及び正常値保持部２５を含んで構成されている。セキュリティ制御部１２は、さらに、異常データ収集部２６、異常データ保持部２７、タイマー２８、異常検出パターン保持部２９、攻撃特定部３０、攻撃推定パターン保持部３１、攻撃推定部３２、及びインシデント対応部３３を含んで構成されている。

セキュリティ制御部１２は、ハードウェアとして、制御プログラムが格納されたＲＯＭ、ＲＡＭなどを含むメモリ、該メモリからプログラムを読み出して実行するプロセッサなどを含んで構成され、これらハードウェアにより、上記各部の機能が実現されるようになっている。

フレーム受信部２１は、例えば、ゲートウェイ機能部１１からＣＡＮ信号であるフレーム（ＣＡＮフレーム）を受信し、受信したフレームをフレーム異常検出部２２、及びバス監視部２３に送る。

フレーム異常検出部２２は、フレーム受信部２１で受信したフレームに、車載ネットワーク２に対する攻撃により発生した異常（すなわち、フレーム異常）があるかどうかを、複数の異常検出項目（パラメータともいう）を確認して検出する。フレーム異常を検出するための複数の異常検出項目には、例えば、フレームのＩＤ毎に設定されるＲＴＲ、ＤＬＣ、ペイロード、受信周期などのパラメータが含まれ得る。フレーム異常とは、ＣＡＮ信号単体での異常を表している。フレーム異常検出部２２が、メッセージ異常検出部の一例である。

バス監視部２３は、ゲートウェイＥＣＵ１０のＣＨ１〜ＣＨ４に接続されたバス３のそれぞれの状態を監視し、監視データをバス異常検出部２４に送る。バス異常検出部２４が、通信路異常検出部の一例である。

バス異常検出部２４は、ＣＨ１〜ＣＨ４に接続されたバス３に、車載ネットワーク２に対する攻撃により発生した異常（すなわち、バス異常）があるかどうかを、複数の異常検出項目（パラメータともいう）を確認して検出する。バス異常を検出するための複数の異常検出項目には、例えば、ＣＨ１〜ＣＨ４に接続された各バス３のバス負荷率、バス状態（バスエラーの有無などの状態）、バス３に出現するＩＤなどのパラメータが含まれ得る。バス異常とは、ＣＡＮ信号の状況的な異常を表している。フレーム異常検出部２２、及びバス異常検出部２４が、車載ネットワーク２に対する攻撃により発生した異常を検出する異常検出部の一例である。

正常値保持部２５には、フレーム異常検出部２２でフレーム異常があるかどうかを判断するために用いる、複数の異常検出項目それぞれのフレーム正常値（正常パターンともいう）が予め保持されている。また、正常値保持部２５には、バス異常検出部２４でバス異常があるかどうかを判断するために用いる、複数の異常検出項目それぞれのバス正常値（正常パターンともいう）が予め保持されている。正常値保持部２５は、フレーム正常値保持部（メッセージ正常値保持部）及びバス正常値保持部（通信路正常値保持部）としての機能を備えているが、正常値保持部２５に代えて、フレーム正常値保持部とバス正常値保持部とをそれぞれ個別に設けてもよい。

フレーム正常値は、例えば、各ＣＨで受信するフレームのＩＤ毎に、受信周期、ＤＬＣのデータ長、ペイロードの特徴など、複数の項目の正常パターンで構成されている。また、バス正常値は、例えば、各ＣＨに接続されたバス３毎に、バス負荷率、バスエラーの有無、出現ＩＤなど、複数の項目の正常パターンで構成されている。

異常データ収集部２６は、フレーム異常検出部２２によりフレーム異常が検出された後、所定時間内に検出されるフレーム異常のデータを収集し、収集したフレーム異常のデータを異常データ保持部２７に送る。また、異常データ収集部２６は、バス異常検出部２４によりバス異常が検出された後、所定時間内に検出される他のバス異常のデータを収集し、収集したバス異常のデータを異常データ保持部２７に送る。

異常データ保持部２７には、異常データ収集部２６により収集された、フレーム異常のデータと、バス異常のデータとが一時的に保持される。タイマー２８は、異常データ収集部２６で異常のデータを収集するための所定時間をカウントする。所定時間は、例えば、車両１がセキュリティ攻撃を受けた場合であっても安全な走行に支障をきたさない時間に設定されている。

異常検出パターン保持部２９には、攻撃の種類ごとの異常検出パターンが予め保持されている。攻撃の種類ごとの異常検出パターンは、複数の異常検出項目それぞれに対する検出要否の組み合わせデータを含んで構成される。

図３は、異常検出パターン保持部２９に保持されている、攻撃の種類ごとの異常検出パターンの一例を説明するための図である。
攻撃の種類ごとの異常検出パターン２９ａを示すデータは、攻撃種別の項目と複数の異常検出項目とを含んで構成されている。

攻撃種別の項目には、車載ネットワーク２において想定され得る攻撃の種類（攻撃Ａ１〜Ａ５、・・）が設定されている。攻撃種別の欄に設定された攻撃は、車載ネットワーク２のシステムに対する脅威分析（すなわち、ゲートウェイＥＣＵ１０、これに接続される走行系ＥＣＵ群５、ボディ系ＥＣＵ群６、情報系ＥＣＵ群７、及びＯＢＤII４に接続される機器、その他、車載ネットワーク２に繋がる通信機器などについての脆弱性や脅威の分析）により抽出された既知の攻撃を表している。これら攻撃を抽出するための脅威分析の手法は特に限定されない。例えば、ＤＦＤ（Date Flow Diagram）を用いた脅威抽出、STRIDEによる脅威分類、脅威ツリー、又はDREADによる脅威評価などの手法が採用され得る。攻撃種別の欄に設定される攻撃には、例えば、不正利用、不正設定、不正中継、不正挿入、情報漏洩、Ｄｏｓ攻撃、メッセージ喪失、又は偽メッセージなどの攻撃が設定され得る。

複数の異常検出項目には、フレーム異常Ｆ１〜Ｆ５、及びバス異常Ｂ１〜Ｂ５が含まれている。フレーム異常Ｆ１〜Ｆ５には、受信周期、ペイロード、ＤＬＣ、ＲＴＲなどのフレーム異常に関するパラメータがそれぞれ設定されている。また、バス異常Ｂ１〜Ｂ５には、バス負荷率、バスエラー、出現ＩＤなどのバス異常に関するパラメータがそれぞれ設定されている。

そして、攻撃の種類ごとに、複数の異常検出項目（フレーム異常Ｆ１〜Ｆ５、及びバス異常Ｂ１〜Ｂ５）それぞれに対する検出要否の組み合わせデータのパターンが設定されている。図３において、「AND」は、必ず検出されることを示し、「NOT」は、絶対に検出されないことを示し、「−」は、検出されるか不明であることを示している。例えば、攻撃Ａ１では、フレーム異常Ｆ１が必ず検出され、フレーム異常Ｆ３、Ｆ５、及びバス異常Ｂ１、Ｂ４、Ｂ５は絶対に検出されず、フレーム異常Ｆ２、Ｆ４、及びバス異常Ｂ２、Ｂ３は検出されるか不明（検出されても、検出されなくてもよい）であることを表している。

攻撃特定部３０は、異常データ保持部２７に保持された異常のデータと、異常検出パターン保持部２９に保持されている攻撃の種類ごとの異常検出パターンとに基づいて、検出した異常に対応する攻撃の種類を特定する処理を行う。また、攻撃特定部３０は、攻撃特定処理を行った後、異常データ保持部２７に一時された異常のデータ（検出データ）のリセット（クリア）指示を行う。

図４は、攻撃特定部３０が行う攻撃特定処理により攻撃の種類を特定できた場合を説明するための図である。
攻撃特定部３０は、異常データ保持部２７に保持された異常のデータ２７ａと、異常検出パターン保持部２９に保持されている攻撃の種類ごとの異常検出パターン２９ａとを照合して、異常のデータ２７ａが示す異常に対応する攻撃の種類を特定する処理を行う。

異常のデータ２７ａには、複数の異常検出項目（フレーム異常Ｆ１〜Ｆ５、及びバス異常Ｂ１〜Ｂ５）それぞれに対する検出有無（「１」検出有り、「０」検出無し）の結果を示すデータが含まれている。図４に例示した異常のデータ２７ａは、フレーム異常Ｆ１、Ｆ２、及びバス異常Ｂ１〜Ｂ５が検出され、フレーム異常Ｆ３〜Ｆ５が検出されていないデータを含んで構成されている。

図４に示す例では、攻撃特定部３０により、異常のデータ２７ａと、攻撃の種類ごとの異常検出パターン２９ａとが照合された結果、今回検出された異常のデータ２７ａが示す異常は、異常検出パターン２９ａ中の攻撃Ａ３であると特定された場合を示している。次に、攻撃特定部３０が行う攻撃特定処理により攻撃の種類を特定できなかった場合を説明する。

図５は、攻撃特定部３０が行う攻撃特定処理により攻撃の種類を特定できなかった場合を説明するための図である。図５に例示した異常のデータ２７ｂは、フレーム異常Ｆ１、Ｆ２、及びバス異常Ｂ２、Ｂ４、Ｂ５が検出され、フレーム異常Ｆ３〜Ｆ５、及びバス異常Ｂ１、Ｂ３が検出されていないデータを含んで構成されている。

図５に示す例では、攻撃特定部３０により、異常のデータ２７ｂと、攻撃の種類ごとの異常検出パターン２９ａとが照合された結果、今回検出された異常のデータ２７ｂが示す異常は、異常検出パターン２９ａ中のいずれの攻撃にも対応しない（一致しない）と判定された場合を示している。このように、攻撃特定部３０が行う攻撃特定処理により攻撃の種類を特定できなかった（換言すれば、未知の攻撃であった）場合、次に攻撃推定部３２による攻撃推定処理が行われる。

攻撃推定パターン保持部３１には、攻撃の種類ごとの攻撃推定パターンが予め保持されている。攻撃の種類ごとの攻撃推定パターンは、複数の異常検出項目それぞれに対する重み付け値の組み合わせデータを含んで構成されている。

図６は、攻撃推定パターン保持部３１に保持されている、攻撃の種類ごとの攻撃推定パターンの一例を説明するための図である。
攻撃の種類ごとの攻撃推定パターン３１ａを示すデータは、攻撃種別の項目、複数の異常検出項目、及び第１合計値の項目を含んで構成されている。

攻撃種別の項目には、図３に例示した異常検出パターン２９ａと同様に、車載ネットワーク２において想定され得る攻撃の種類（攻撃Ａ１１〜Ａ１５、・・）が設定されている。また、複数の異常検出項目には、図３に例示した異常検出パターン２９ａと同様に、フレーム異常Ｆ１〜Ｆ５、及びバス異常Ｂ１〜Ｂ５のパラメータが含まれている。

そして、攻撃の種類ごとに、複数の異常検出項目（フレーム異常Ｆ１〜Ｆ５、及びバス異常Ｂ１〜Ｂ５）それぞれに対する重み付け値（０．０〜１．０のいずれかの値）の組み合わせデータ（重み付け集合ともいう）のパターンが設定されている。なお、重み付け値が１．０に近いほど、その異常が発生する確率が高いことを表し、また、０．０に近いほど、その異常が発生する確率が低いことを表している。各攻撃の異常検出項目それぞれに対する重み付け値は、予め行った脅威分析の結果に基づいて設定してもよいし、予め行った機械学習などの結果に基づいて設定してもよい。第１合計値は、各攻撃における複数の異常検出項目それぞれに対する重み付け値の組み合わせデータ（重み付け集合）の和（集合の和ともいう）を示している。

攻撃推定部３２は、攻撃特定部３０により攻撃の種類を特定することができなかった場合に、異常データ保持部２７に保持された異常のデータと、攻撃推定パターン保持部３１に保持されている攻撃の種類ごとの攻撃推定パターン３１ａとに基づいて、検出された異常に対応する攻撃の種類を推定する処理を行う。

図７は、攻撃推定部３２が行う攻撃推定処理の一例を説明するための図である。
攻撃推定部３２は、攻撃推定パターン保持部３１に保持されている攻撃の種類ごと（攻撃Ａ１１〜Ａ１５、・・）に、異常のデータ２７ｂの各異常検出項目（フレーム異常Ｆ１〜Ｆ５、及びバス異常Ｂ１〜Ｂ５）の検出有無のデータ（１又は０）と、攻撃推定パターン３１ａの各異常検出項目に設定された重み付け値との積の和を示す第２合計値（積集合の和ともいう）を算出する（すなわち、第１算出部として機能する）。

図８は、攻撃推定部３２を構成する第１算出部により算出された第２合計値の算出結果の一例を示す図である。
図８に示すように、各攻撃の異常検出項目（フレーム異常Ｆ１〜Ｆ５、及びバス異常Ｂ１〜Ｂ５）毎に、異常のデータ２７ｂのそれぞれの検出有無のデータと、攻撃推定パターン３１ａのそれぞれの重み付け値との積の値が算出され、算出された積の値の和が第２合計値として算出される構成になっている。

次に、攻撃推定部３２は、攻撃の種類ごとに、第１合計値と第２合計値との一致率を算出する（すなわち、第２算出部として機能する）。
図９は、攻撃推定部３２を構成する第２算出部により算出された一致率の一例を示す図である。図９に示すように、ここでの一致率は、［第２合計値／第１合計値］×１００（％）で表されている。

次に、攻撃推定部３２は、第２算出部により算出された、各攻撃に対する一致率に基づいて、攻撃特定部３０により特定できなかった異常に対応する攻撃の種類を推定する（すなわち、推定部として機能する）。攻撃推定部３２を構成する推定部により、攻撃特定部３０により特定できなかった異常が、一致率に基づいて、既存のどの攻撃の種類に類似しているのかを推定することが可能となる。図９に示す例では、攻撃Ａ１１の一致率が最も高くなっており、今回検出された異常による攻撃が、攻撃Ａ１１に最も類似していると推定することが可能となっている。

インシデント対応部３３は、攻撃特定部３０により異常に対応する攻撃の種類が特定された場合、特定された攻撃の種類に対する対応処理を行う第１インシデント対応部として機能する。また、インシデント対応部３３は、攻撃推定部３２により異常に対応する攻撃の種類が推定された場合、推定された攻撃の種類に対する対応処理を行う第２インシデント対応部として機能する。

図１０は、攻撃特定部３０により異常に対応する攻撃の種類が特定された場合に、インシデント対応部３３に出力される攻撃特定データの一例を示している。
図１０に示すように、攻撃特定データには、ゲートウェイＥＣＵ１０において攻撃されたＣＨ、異常があったフレーム、特定された攻撃に関するデータが含まれている。インシデント対応部３３では、攻撃特定部３０から取得した攻撃特定データに基づいて、特定された攻撃の種類に対する所定の対策処理を実行する。

図１１は、攻撃推定部３２により異常に対応する攻撃の種類が推定された場合に、インシデント対応部３３に出力される攻撃推定データの一例を示している。
図１１に示すように、攻撃推定データには、ゲートウェイＥＣＵ１０において攻撃されたＣＨ、異常があったフレーム、推定された攻撃に関するデータが含まれている。インシデント対応部３３では、攻撃推定部３２から取得した攻撃推定データに基づいて、推定された攻撃の種類に対する所定の対策処理を実行する。例えば、一致率が最も高い攻撃の種類に対する対策処理を実行する。

［動作例］
図１２は、実施の形態（１）に係るゲートウェイＥＣＵ１０を構成するセキュリティ制御部１２が行う処理動作を示した概略フローチャートである。なお、本処理動作は、攻撃者により車載ネットワーク２に何らかのセキュリティ攻撃が実施され、ゲートウェイＥＣＵ１０の防御機能が破られた場合を想定している。

まず、ステップＳ１では、セキュリティ制御部１２は、車載ネットワーク２にセキュリティ攻撃による異常が発生したか否かを判断し、異常が発生していないと判断すれば処理を終える一方、異常が発生したと判断すれば、ステップＳ２に処理を進める。

ステップＳ２では、セキュリティ制御部１２は、各ＥＣＵ群から受信したフレーム又は各ＣＨに接続されたバス３に発生した異常を検出する処理を行い、その後ステップＳ３に処理を進める。

ステップＳ３では、セキュリティ制御部１２は、受信したフレーム又はバス３に発生した異常のデータ（すなわち、異常の検出結果）を収集する処理を行い、その後ステップＳ４に処理を進める。

ステップＳ４では、セキュリティ制御部１２は、収集された異常のデータを用いて、セキュリティ攻撃の種類を特定する処理、また、攻撃の種類を特定できない場合に、その攻撃の種類を推定する処理を行い、その後ステップＳ５に処理を進める。ステップＳ５では、セキュリティ制御部１２は、特定された攻撃の種類、又は推定された攻撃の種類に対応するインシデント対策を実施する処理を行い、その後処理を終える。

図１３は、実施の形態（１）に係るゲートウェイＥＣＵ１０を構成するセキュリティ制御部１２が行う異常検出処理動作を示したフローチャートである。本処理動作は、図１２のステップＳ２で行われる異常検出処理動作の一例であり、ＣＡＮ信号であるフレームを受信した場合に実行される。

まずステップＳ１１では、セキュリティ制御部１２は、ゲートウェイ機能部１１からＣＡＮ信号であるフレーム（各ＥＣＵ群から受信したフレーム）を受信する処理を行い、ステップＳ１２に処理を進める。ステップＳ１２では、セキュリティ制御部１２は、受信したフレーム、又はフレームを受信したバス３で、セキュリティ攻撃による異常を検出したか否かを判断し、異常を検出していないと判断すれば、ＣＡＮ信号受信時の異常検出処理を終える一方、異常を検出したと判断すれば、ステップＳ１３に処理を進める。

ステップＳ１３では、セキュリティ制御部１２は、現在、セキュリティ攻撃による異常のデータを収集している状態（異常収集状態）であるか否か（換言すれば、異常データ収集部２６が作動中か否か）を判断し、現在、異常のデータを収集している状態であると判断すれば、ステップＳ１５に処理を進める。一方、ステップＳ１３において、セキュリティ制御部１２が、現在、異常のデータを収集している状態ではないと判断すれば、ステップＳ１４に処理を進め、ステップＳ１４では、セキュリティ攻撃による異常を収集する状態に遷移する（換言すれば、異常データ収集部２６により異常のデータの収集を開始する）処理を行い、その後ステップＳ１５に処理を進める。

ステップＳ１５では、セキュリティ制御部１２は、ステップＳ１２で検出された異常が、異常収集状態に遷移後、既に検出された異常であるか否かを判断し、既に検出された異常であると判断すれば、ＣＡＮ信号受信時の異常検出処理を終える。

一方、ステップＳ１５において、セキュリティ制御部１２は、既に検出された異常ではない（換言すれば、未検出の異常である）と判断すればステップＳ１６に処理を進め、ステップＳ１６では、検出された異常のデータを異常データ保持部２７に保存し、その後ＣＡＮ信号受信時の異常検出処理を終える。

なお、上記異常検出処理動作では、ステップＳ１１でフレームを受信後、ステップＳ１２において、フレーム異常、又はバス異常を検出したか否かを判断するようになっているが、この処理形態に限定されない。別の実施の形態では、セキュリティ制御部１２が、フレーム異常とバス異常とを、別々の処理フローで検出するようにしてもよい。例えば、フレーム異常の検出は、フレームを受信後に行い、バス異常の検出は、ＣＨ１〜ＣＨ４に接続されたバス３の状態を常時監視して検出するようにしてもよい。

図１４は、実施の形態（１）に係るゲートウェイＥＣＵ１０を構成するセキュリティ制御部１２が行う異常収集処理動作を示したフローチャートである。本処理動作は、図１２のステップＳ３で行われる異常のデータ（異常検出結果）の収集処理動作の一例である。

まずステップＳ２１では、セキュリティ制御部１２は、タイマー２８で異常収集時間のカウントを開始し、その後、ステップＳ２２に処理を進め、ステップＳ２２では、カウントを開始してから所定時間経過したか否かを判断する。所定時間は、車両１がセキュリティ攻撃を受けた場合であっても安全な走行に支障をきたさない時間（例えば、数秒から数十秒）に設定されている。

ステップＳ２２において、セキュリティ制御部１２は、所定時間経過していないと判断すれば、所定時間経過するまでタイマー２８でカウントを継続し、所定時間経過したと判断すればステップＳ２３に進む。ステップＳ２３では、セキュリティ制御部１２は、異常のデータの収集を終了し、次のステップＳ２４に処理を進め、ステップＳ２４では、タイマー２８のカウントをクリアして、その後処理を終える。

図１５は、実施の形態（１）に係るゲートウェイＥＣＵ１０を構成するセキュリティ制御部１２が行う攻撃特定処理動作を示したフローチャートである。当該処理動作は、図１２のステップＳ４で行われる攻撃特定処理動作の一例であり、攻撃を特定する処理動作と攻撃を推定する処理動作とが含まれている。

まず、ステップＳ３１では、セキュリティ制御部１２は、異常データ保持部２７に保存された異常のデータ（所定時間内に検出された異常のデータ）を読み出し、ステップＳ３２に処理を進める。異常のデータは、例えば、図４に例示した異常のデータ２７ａに示したデータ構成（複数の異常検出項目の検出有無の結果を含むデータ構成）となっている。

ステップＳ３２では、セキュリティ制御部１２は、異常検出パターン保持部２９から攻撃の種類ごとに規定された異常検出パターンを読み出し、次のステップＳ３３に処理を進める。異常検出パターンは、例えば、図３に例示した、攻撃の種類ごとの異常検出パターン２９ａに示したデータ構成（複数の異常検出項目に対する検出要否の組み合わせデータが攻撃の種類ごとに設定されているデータ構成）となっている。

ステップＳ３３では、セキュリティ制御部１２は、ステップＳ３１で読み出した異常のデータと、ステップＳ３２で読み出した攻撃の種類ごとの異常検出パターンとを照合する処理（マッチング処理）を行い、次にステップＳ３４に処理を進める。ステップＳ３４では、照合の結果、異常のデータと同一の異常検出パターンが検出されたか否かを判断し、異常のデータと同一の異常検出パターンが検出されたと判断すれば、ステップＳ３５に処理を進める。

ステップＳ３５では、セキュリティ制御部１２は、異常のデータが示す攻撃の種類が、ステップＳ３４で判定された同一の異常検出パターンが示す攻撃であると特定し、次にステップＳ３６に処理を進める。

ステップＳ３６では、セキュリティ制御部１２は、特定された攻撃の情報をインシデント対応部３３へ出力する処理を行い、その後ステップＳ３７に処理を進める。

一方ステップＳ３４において、セキュリティ制御部１２は、異常のデータと同一の異常検出パターンが検出されなかったと判断すれば、ステップＳ３８に処理を進める。
ステップＳ３８では、セキュリティ制御部１２は、攻撃推定パターン保持部３１から攻撃の種類ごとに規定された攻撃推定パターンを読み出し、次にステップＳ３９に処理を進める。攻撃推定パターンは、例えば、図６に例示した、攻撃の種類ごとの攻撃推定パターン３１ａに示したデータ構成（複数の異常検出項目それぞれに対する重み付け値の組み合わせデータと、重み付け値の和のデータとが攻撃の種類ごとに設定されているデータ構成）となっている。

ステップＳ３９では、セキュリティ制御部１２は、異常のデータと、攻撃の種類ごと攻撃推定パターンとの積の和（第２合計値）を算出する処理を行い、ステップＳ４０に処理を進める。ステップＳ４０では、セキュリティ制御部１２は、攻撃の種類ごとの攻撃推定パターンに規定された第１合計値（集合の和）に対する第２合計値（積集合の和）の一致率（[第２合計値／第１合計値]×１００（％））を算出する処理を行い、ステップＳ４１に処理を進める。

ステップＳ４１では、セキュリティ制御部１２は、一致率に基づき攻撃の種類を推定する。例えば、今回検出された異常は、一致率が最も高い攻撃に最も類似すると推定し、ステップＳ４２に処理を進める。ステップＳ４２では、セキュリティ制御部１２は、推定された攻撃の情報をインシデント対応部３３へ出力する処理を行い、その後ステップＳ３７に処理を進める。ステップＳ３７では、セキュリティ制御部１２は、異常データ保持部２７に一時保持されたデータをクリアするリセット処理を行い、その後処理を終える。

［作用・効果］
実施の形態（１）に係るゲートウェイＥＣＵ１０によれば、セキュリティ制御部１２を備えているので、フレーム異常検出部２２によりフレーム異常が検出され、またバス異常検出部２４によりバス異常が検出され、これら検出された異常が異常データ収集部２６により収集され、収集された異常のデータが異常データ保持部２７に保持される。そして、攻撃特定部３０によって、異常に対応する攻撃の種類が特定される。

したがって、車載ネットワーク２がセキュリティ攻撃を受けた場合に、車両１単体で、すなわち、ゲートウェイＥＣＵ１０で、その攻撃の種類を特定することができる。また、攻撃特定部３０が、複数の異常検出項目それぞれに対する検出有無の結果を示すデータと、攻撃の種類ごとの異常検出パターンとを照合する（マッチングする）ことによって、異常に対応する攻撃の種類が特定される。したがって、機械学習等の処理量が膨大で高負荷の異常分析を行うことなく、負荷が軽減された低負荷の処理によって、攻撃の種類を迅速に特定することができ、また、装置コストを低減することもでき、コスト面でも有利な装置を実現することができる。

そして、異常に対応する攻撃の種類が特定された場合、インシデント対応部３３によって、特定された攻撃の種類に対する対策を迅速に行うことができる。これにより、車両１の運転者は、セキュリティの脅威に対して安心して運転を行うことが可能となる。

また、攻撃特定部３０により攻撃の種類を特定することができなかった場合であっても、攻撃推定部３２によって、異常に類似する攻撃の種類を推定することができる。また、攻撃の種類の推定には、攻撃の種類ごとに規定された攻撃推定パターンが用いられ、攻撃の種類ごとに第２合計値が算出され、攻撃の種類ごとの第１合計値と第２合計値との一致率が算出され、算出された一致率に基づいて、異常に対応する攻撃の種類が推定される。したがって、機械学習等の処理量が膨大で高負荷の異常分析を行うことなく、負荷が軽減された低負荷の処理によって、既知のいずれの攻撃に最も類似しているのかを迅速に推定することができる。

そして、異常に対応する攻撃の種類が推定された場合、インシデント対応部３３によって、推定された攻撃の種類に対する対策を迅速に行うことができる。これにより、車両１の運転者は、セキュリティの脅威に対して安心して運転を行うことが可能となる。

［構成例２］
図１６は、実施の形態（２）に係るゲートウェイＥＣＵ１０Ａの機能構成例を示すブロック図である。なお、図２に示したゲートウェイＥＣＵ１０の機能構成と同一機能を有する構成には同一符号を付し、ここではその説明を省略する。
実施の形態（１）に係るゲートウェイＥＣＵ１０では、フレーム異常とバス異常とが検出可能に構成されていたが、実施の形態（２）に係るゲートウェイＥＣＵ１０Ａでは、さらに内部処理異常が検出可能に構成されている点が大きく相違している。

ゲートウェイＥＣＵ１０Ａは、ゲートウェイ機能部１１と、セキュリティ制御部１２Ａとを含んでいる。セキュリティ制御部１２Ａが、本実施の形態に係るセキュリティ装置の機能が実装される部分である。

セキュリティ制御部１２Ａは、フレーム受信部２１、フレーム異常検出部２２、バス監視部２３、バス異常検出部２４、フレーム正常値保持部２５Ａ、及びバス正常値保持部２５Ｂの他に、さらに内部処理監視部３４、内部処理異常検出部３５、及び内部処理正常値保持部３６を含んで構成されている。
さらに、セキュリティ制御部１２Ａは、異常データ収集部２６Ａ、異常データ保持部２７Ａ、タイマー２８、異常検出パターン保持部２９Ａ、攻撃特定部３０Ａ、攻撃推定パターン保持部３１Ａ、攻撃推定部３２Ａ、及びインシデント対応部３３を含んで構成されている。

内部処理監視部３４は、ゲートウェイ機能部１１が有する各機能（例えば、フレームの受信機能、転送機能、送信機能など）が実行されているときの当該ゲートウェイＥＣＵ１０Ａにおける内部制御処理の状態を監視する。
内部処理の監視対象には、上記機能の制御処理時間、機能実行回数、機能実行処理順、及びゲートウェイＥＣＵ１０Ａを構成するハードウェアのリソースのうちの少なくとも１つ以上が含まれる。

制御処理時間については、例えば、予め設定された時間内で各機能の制御処理が実行されているか否かが監視される。
機能実行回数については、例えば、ゲートウェイ機能部１１が有する各機能の実行回数が予め設定されている数値の範囲内にあるか否かが監視される。
機能実行処理順については、例えば、ゲートウェイ機能部１１が有する各機能の処理実行の順番が予め設定されている順番で実行されているか否かが監視される。

ハードウェアのリソースには、例えば、ＣＰＵ使用率、ＲＡＭ使用率、コードＲＯＭ（コード格納用メモリ）使用率、又はデータＲＯＭ（データ格納用メモリ）使用率などが含まれる。ハードウェアのリソースについては、例えば、各ハードウェアの平均使用率が予め設定されている数値の範囲内にあるか否かが監視される。

内部処理異常検出部３５は、内部処理監視部３４で監視している内部処理に異常（すなわち、内部処理異常）があるかどうかを、複数の異常検出項目（パラメータともいう）を確認して検出する。内部処理異常を検出するための複数の異常検出項目には、例えば、上記した制御処理時間、機能実行回数、機能実行処理順、及びハードウェアのリソースなどのパラメータが含まれる。フレーム異常検出部２２、バス異常検出部２４、及び内部処理異常検出部３５が、車載ネットワーク２に対する攻撃により発生した異常を検出する異常検出部の一例である。

内部処理正常値保持部３６には、内部処理異常検出部３５で内部処理異常があるかどうかを判断するために用いる、複数の異常検出項目それぞれの内部処理正常値（正常パターンともいう）が予め保持されている。内部処理正常値は、例えば、各機能の制御処理時間、機能実行回数、機能実行処理順、ハードウェアのリソースの平均使用率など複数の項目の正常パターンで構成されている。

異常データ収集部２６Ａは、フレーム異常検出部２２によりフレーム異常が検出された後、所定時間内に検出されるフレーム異常のデータを収集し、収集したフレーム異常のデータを異常データ保持部２７Ａに送る。また、異常データ収集部２６Ａは、バス異常検出部２４によりバス異常が検出された後、所定時間内に検出されるバス異常のデータを収集し、収集したバス異常のデータを異常データ保持部２７Ａに送る。また、異常データ収集部２６Ａは、内部処理異常検出部３５により内部処理異常が検出された後、所定時間内に検出される内部処理異常のデータを収集し、収集した内部処理異常のデータを異常データ保持部２７Ａに送る。

異常データ保持部２７Ａには、異常データ収集部２６Ａにより収集された、フレーム異常のデータと、バス異常のデータと、内部処理異常のデータとが一時的に保持される。タイマー２８は、異常データ収集部２６Ａで異常のデータを収集するための所定時間をカウントする。所定時間は、例えば、車両１がセキュリティ攻撃を受けた場合であっても安全な走行に支障をきたさない時間に設定されている。

異常検出パターン保持部２９Ａには、攻撃の種類ごとの異常検出パターンが予め保持されている。攻撃の種類ごとの異常検出パターンは、複数の異常検出項目それぞれに対する検出要否の組み合わせデータを含んで構成される。

図１７は、異常検出パターン保持部２９Ａに保持されている、攻撃の種類ごとの異常検出パターンの一例を説明するための図である。
攻撃の種類ごとの異常検出パターン２９ｂを示すデータは、攻撃種別の項目と複数の異常検出項目とを含んで構成されている。図３に示した異常検出パターン２９ａと相違する点は、複数の異常検出項目に、さらに内部処理異常が含まれている点である。

攻撃種別の項目には、車載ネットワーク２において想定され得る攻撃の種類（攻撃Ａ２１〜Ａ２５、・・）が設定されている。
複数の異常検出項目には、フレーム異常Ｆ１〜Ｆ４、バス異常Ｂ１〜Ｂ４、及び内部処理異常Ｃ１〜Ｃ４が含まれている。フレーム異常Ｆ１〜Ｆ４には、受信周期、ペイロード、ＤＬＣ、ＲＴＲなどのフレーム異常に関するパラメータがそれぞれ設定されている。また、バス異常Ｂ１〜Ｂ４には、バス負荷率、バスエラー、出現ＩＤなどのバス異常に関するパラメータがそれぞれ設定されている。また、内部処理異常Ｃ１〜Ｃ４には、各機能の制御処理時間、機能実行回数、機能実行処理順、ハードウェアのリソースなどの内部処理異常に関するパラメータがそれぞれ設定されている。

そして、攻撃の種類ごとに、複数の異常検出項目（フレーム異常Ｆ１〜Ｆ４、バス異常Ｂ１〜Ｂ４、及び内部処理異常Ｃ１〜Ｃ４）それぞれに対する検出要否の組み合わせデータのパターンが設定されている。
例えば、攻撃Ａ２１では、フレーム異常Ｆ１及び内部処理異常Ｃ４が必ず検出され、フレーム異常Ｆ３、バス異常Ｂ２、Ｂ３、及び内部処理異常Ｃ２、Ｃ３は絶対に検出されず、フレーム異常Ｆ２、Ｆ４、バス異常Ｂ１、Ｂ４、及び内部処理異常Ｃ１は検出されるか不明（検出されても、検出されなくてもよい）であることを表している。

攻撃特定部３０Ａは、異常データ保持部２７Ａに保持された異常のデータと、異常検出パターン保持部２９Ａに保持されている攻撃の種類ごとの異常検出パターン２９ｂとに基づいて、検出した異常に対応する攻撃の種類を特定する処理を行う。また、攻撃特定部３０Ａは、攻撃特定処理を行った後、異常データ保持部２７Ａに一時された異常のデータ（検出データ）のリセット（クリア）指示を行う。攻撃特定部３０Ａは、図２に示した攻撃特定部３０が行う処理動作（照合して特定する処理）と同様の処理動作を実行する。

攻撃推定パターン保持部３１Ａには、攻撃の種類ごとの攻撃推定パターンが予め保持されている。攻撃の種類ごとの攻撃推定パターンは、複数の異常検出項目それぞれに対する重み付け値の組み合わせデータを含んで構成されている。

図１８は、攻撃推定パターン保持部３１Ａに保持されている、攻撃の種類ごとの攻撃推定パターンの一例を説明するための図である。
攻撃の種類ごとの攻撃推定パターン３１ｂを示すデータは、図６に示した攻撃推定パターン３１ａと同様に、攻撃種別の項目、複数の異常検出項目、及び第１合計値の項目を含んで構成されている。

攻撃種別の項目には、図１７に例示した異常検出パターン２９ｂと同様に、車載ネットワーク２において想定され得る攻撃の種類（攻撃Ａ３１〜Ａ３５、・・）が設定されている。また、複数の異常検出項目には、図１７に例示した異常検出パターン２９ｂと同様に、フレーム異常Ｆ１〜Ｆ４、バス異常Ｂ１〜Ｂ４、及び内部処理異常Ｃ１〜Ｃ４のパラメータが含まれている。

そして、攻撃の種類ごとに、複数の異常検出項目（フレーム異常Ｆ１〜Ｆ４、バス異常Ｂ１〜Ｂ４、及び内部処理異常Ｃ１〜Ｃ４）それぞれに対する重み付け値（０．０〜１．０のいずれかの値）の組み合わせデータ（重み付け集合ともいう）のパターンが設定されている。第１合計値は、各攻撃における複数の異常検出項目それぞれに対する重み付け値の組み合わせデータ（重み付け集合）の和（集合の和ともいう）を示している。

攻撃推定部３２Ａは、攻撃特定部３０Ａにより攻撃の種類を特定することができなかった場合に、異常データ保持部２７Ａに保持された異常のデータと、攻撃推定パターン保持部３１Ａに保持されている攻撃の種類ごとの攻撃推定パターン３１ｂとに基づいて、検出された異常に対応する攻撃の種類を推定する処理を行う。

より具体的には、攻撃推定部３２Ａは、攻撃推定パターン保持部３１Ａに保持されている攻撃の種類ごと（攻撃Ａ３１〜Ａ３５、・・）に、異常のデータの各異常検出項目（フレーム異常Ｆ１〜Ｆ４、バス異常Ｂ１〜Ｂ４、及び内部処理異常Ｃ１〜Ｃ４）の検出有無のデータ（１又は０）と、攻撃推定パターン３１ｂの各異常検出項目に設定された重み付け値との積の和を示す第２合計値（積集合の和ともいう）を算出する（すなわち、第１算出部として機能する）。

次に、攻撃推定部３２Ａは、攻撃の種類ごとに、第１合計値と第２合計値との一致率（例えば、［第２合計値／第１合計値］×１００（％））を算出する（すなわち、第２算出部として機能する）。

次に、攻撃推定部３２Ａは、第２算出部により算出された、各攻撃に対する一致率に基づいて、攻撃特定部３０Ａにより特定できなかった異常に対応する攻撃の種類を推定する（すなわち、推定部として機能する）。攻撃推定部３２Ａを構成する推定部により、攻撃特定部３０Ａにより特定できなかった異常が、一致率に基づいて、既存のどの攻撃の種類に類似しているのかを推定することが可能となる。

インシデント対応部３３は、攻撃特定部３０Ａにより異常に対応する攻撃の種類が特定された場合、特定された攻撃の種類に対する対応処理を行う第１インシデント対応部として機能する。また、インシデント対応部３３は、攻撃推定部３２Ａにより異常に対応する攻撃の種類が推定された場合、推定された攻撃の種類に対する対応処理を行う第２インシデント対応部として機能する。

攻撃特定部３０Ａにより異常に対応する攻撃の種類が特定された場合に、インシデント対応部３３に出力される攻撃特定データには、例えば、ゲートウェイＥＣＵ１０Ａにおいて攻撃されたＣＨ、異常があったフレーム、異常があった内部処理、及び特定された攻撃に関するデータが含まれる。インシデント対応部３３は、攻撃特定部３０Ａから取得した攻撃特定データに基づいて、特定された攻撃の種類に対する所定の対策処理を実行する。

また、攻撃推定部３２Ａにより異常に対応する攻撃の種類が推定された場合に、インシデント対応部３３に出力される攻撃推定データには、例えば、ゲートウェイＥＣＵ１０Ａにおいて攻撃されたＣＨ、異常があったフレーム、異常があった内部処理、及び推定された攻撃に関するデータが含まれる。インシデント対応部３３は、攻撃推定部３２Ａから取得した攻撃推定データに基づいて、推定された攻撃の種類に対する所定の対策処理を実行する。例えば、一致率が最も高い攻撃の種類に対する対策処理を実行する。

［動作例］
次に実施の形態（２）に係るゲートウェイＥＣＵ１０Ａを構成するセキュリティ制御部１２Ａが行う処理動作について説明する。なお、実施の形態（２）に係るゲートウェイＥＣＵ１０Ａを構成するセキュリティ制御部１２Ａが行う処理動作は、基本的には、実施の形態（１）に係るゲートウェイＥＣＵ１０を構成するセキュリティ制御部１２が行う処理動作と同様であるので、同様の処理については、その説明を省略する。

実施の形態（１）との主な相違点は、実施の形態（２）に係るゲートウェイＥＣＵ１０Ａでは、フレーム異常及びバス異常に加えて、さらに内部処理異常の検出を行い、これらの異常の組み合わせに基づいて、攻撃の種類を特定する処理を行い、また、攻撃の種類を特定できない場合に、その攻撃の種類を推定する処理を行う点である。

まず、図１２に示した概略フローチャートに基づいて、実施の形態（２）に係るゲートウェイＥＣＵ１０Ａを構成するセキュリティ制御部１２Ａが行う処理動作について説明する。

ステップＳ１では、セキュリティ制御部１２Ａは、車載ネットワーク２にセキュリティ攻撃による異常が発生したか否かを判断し、異常が発生していないと判断すれば処理を終える一方、異常が発生したと判断すれば、ステップＳ２に処理を進める。

ステップＳ２では、セキュリティ制御部１２Ａは、各ＥＣＵ群から受信したフレーム、各ＣＨに接続されたバス３、又はゲートウェイＥＣＵ１０Ａの内部処理に発生した異常を検出する処理を行い、その後ステップＳ３に処理を進める。

ステップＳ３では、セキュリティ制御部１２Ａは、受信したフレーム、バス３、又はゲートウェイＥＣＵ１０Ａの内部処理に発生した異常のデータ（すなわち、異常の検出結果）を収集する処理を行い、その後ステップＳ４に処理を進める。

ステップＳ４では、セキュリティ制御部１２Ａは、収集された異常のデータを用いて、セキュリティ攻撃の種類を特定する処理、また、攻撃の種類を特定できない場合に、その攻撃の種類を推定する処理を行い、その後ステップＳ５に処理を進める。ステップＳ５では、セキュリティ制御部１２Ａは、特定された攻撃の種類、又は推定された攻撃の種類に対応するインシデント対策を実施する処理を行い、その後処理を終える。

次に、実施の形態（２）に係るゲートウェイＥＣＵ１０Ａを構成するセキュリティ制御部１２Ａが行う異常検出処理動作について説明する。セキュリティ制御部１２Ａが行うフレーム異常とバス異常の検出処理動作は、図１３に示したフローチャートに基づいて説明した内容と略同様であるので、ここではその説明を省略する。

図１９に示すフローチャートに基づいて、セキュリティ制御部１２Ａが行う内部処理異常の検出処理動作を説明する。本処理動作は、ゲートウェイＥＣＵ１０Ａの動作中に実行される。

まずステップＳ５１では、セキュリティ制御部１２Ａは、ゲートウェイ機能部１１の各機能（例えば、フレームの受信機能、転送機能、送信機能など）が実行されているときの内部制御処理の状態を監視する処理を行い、ステップＳ５２に処理を進める。

ステップＳ５２では、セキュリティ制御部１２Ａは、監視した内部処理の状態、例えば、各機能の制御処理時間、機能実行回数、機能実行処理順、及びハードウェアのリソースのうちの少なくとも１つ以上の状態に基づいて、内部処理異常を検出したか否かを判断する。

ステップＳ５２において、セキュリティ制御部１２Ａが内部処理異常を検出していないと判断すれば、ゲートウェイ機能部１１の機能実行時における異常検出処理を終える一方、異常を検出したと判断すれば、ステップＳ５３に処理を進める。

ステップＳ５３では、セキュリティ制御部１２Ａは、現在、セキュリティ攻撃による異常のデータを収集している状態（異常収集状態）であるか否か（換言すれば、異常データ収集部２６が作動中か否か）を判断し、現在、異常のデータを収集している状態であると判断すれば、ステップＳ５５に処理を進める。一方、ステップＳ５３において、セキュリティ制御部１２Ａが、現在、異常のデータを収集している状態ではないと判断すれば、ステップＳ５４に処理を進め、ステップＳ５４では、セキュリティ攻撃による異常を収集する状態に遷移する（換言すれば、異常データ収集部２６Ａにより異常のデータの収集を開始する）処理を行い、その後ステップＳ５５に処理を進める。

ステップＳ５５では、セキュリティ制御部１２Ａは、ステップＳ５２で検出された内部処理異常が、異常収集状態に遷移後、既に検出された異常であるか否かを判断し、既に検出された異常であると判断すれば、ゲートウェイ機能部１１の機能実行時における内部処理の異常検出処理を終える。

一方、ステップＳ５５において、セキュリティ制御部１２Ａは、既に検出された内部処理異常ではない（換言すれば、未検出の異常である）と判断すればステップＳ５６に処理を進め、ステップＳ５６では、検出された内部処理異常のデータを異常データ保持部２７Ａに保存し、その後ゲートウェイ機能部１１の機能実行時における内部処理の異常検出処理を終える。

実施の形態（２）に係るゲートウェイＥＣＵ１０Ａを構成するセキュリティ制御部１２Ａが行う異常収集処理動作は、図１４に示したフローチャートに基づいて説明した内容と略同様であるので、ここではその説明を省略する。

また、実施の形態（２）に係るゲートウェイＥＣＵ１０Ａを構成するセキュリティ制御部１２Ａが行う攻撃特定処理動作は、図１５に示したフローチャートに基づいて説明した内容と以下の相違点を除いて略同様であるので、その説明を省略する。
相違点の一つは、異常検出パターン保持部２９Ａから図１７に例示したような内部処理異常を含む異常検出パターン２９ｂを読み出し、攻撃の種類を特定する処理を行う点である。
他の相違点は、攻撃の種類を特定できなかった場合（同一の異常検出パターンが検出されなかった場合）に、攻撃推定パターン保持部３１Ａから図１８に例示したような内部処理異常を含む攻撃推定パターン３１ｂを読み出し、攻撃の種類を推定する処理を行う点である。

［作用・効果］
実施の形態（２）に係るゲートウェイＥＣＵ１０Ａによれば、実施の形態（１）に係るゲートウェイＥＣＵ１０と同様の作用効果を得ることができる。さらに、セキュリティ制御部１２Ａでは、フレーム異常とバス異常に加えて、さらに内部処理異常が検出可能となっているので、これら内部処理異常を踏まえて、攻撃の種類の特定、又は攻撃の種類の推定を行うことができ、より多様な種類の攻撃の特定や推定を行うことが可能となる。

［変形例］
以上、本発明の実施の形態を詳細に説明したが、前述までの説明はあらゆる点において本発明の例示に過ぎない。本発明の範囲を逸脱することなく、種々の改良や変更を行うことができることは言うまでもない。

例えば、ゲートウェイＥＣＵ１０、１０Ａに実装されたセキュリティ制御部１２、１２Ａを、他のＥＣＵに搭載してもよいし、セキュリティ制御部１２、１２Ａが装備されたセキュリティＥＣＵを車載ネットワーク２に接続する構成としてもよい。

また別の実施の形態に係るゲートウェイＥＣＵでは、セキュリティ制御部１２、１２Ａに、異常データ収集部２６、２６Ａにより収集された異常のデータを異常ログとして蓄積する異常ログ蓄積部をさらに備えてもよい。係る構成によれば、前記異常ログ蓄積部に異常のデータが異常ログとして蓄積されるので、前記異常ログ蓄積部に蓄積された異常ログを用いて事後解析を行うことが可能となる。

また別の実施の形態に係るゲートウェイＥＣＵでは、セキュリティ制御部１２、１２Ａに、車載ネットワーク２に接続された情報系ＥＣＵ群７に含まれる報知装置を介して車内の乗員に異常を報知する報知処理部をさらに備えてもよい。報知部として機能する報知装置には、ナビゲーション装置、又はオーディオ機器などが適用され得る。係る構成によれば、前記報知処理部によって、報知装置を介して車内の乗員に異常を報知することが可能となるので、乗員に、異常に対して適切な対応を実施させることが可能となる。

また別の実施の形態に係るゲートウェイＥＣＵでは、セキュリティ制御部１２、１２Ａに、車載ネットワーク２に接続された情報系ＥＣＵ群７に含まれるテレマティクス装置、又はＩＴＳ関連装置を介して車外に異常を通報する通報処理部をさらに備えてもよい。係る構成によれば、前記通報処理部によって、外部通報部として機能するテレマティクス装置、又はＩＴＳ関連装置を介して車外に異常を通報することが可能となるので、例えば、周辺の他車、インフラ設備、ディーラー、メーカー、又は公的機関に、異常の発生を知らせることができ、車外から異常に対して適切な対応を実施することが可能となる。

また、上記実施の形態では、車載ネットワーク２に接続されたゲートウェイＥＣＵ１０、１０Ａに本発明に係る技術が適用された例を説明した。車載ネットワーク２は、本発明に係る技術が適用される機器ネットワークの一例である。本発明に係る技術は、他の機器ネットワーク、例えば、ＦＡ（Factory Automation）システムを構成する１以上の産業機器が通信路を介して接続された産業機器ネットワーク、家電製品などを含む家庭用機器が接続されたホーム機器ネットワーク、又は事務用機器が接続された事務機器ネットワークなどに含まれるセキュリティ装置にも適用可能である。例えば、図１〜図１９に基づいて説明した車載ネットワーク２への適用例を、産業機器ネットワーク、ホーム機器ネットワーク、又は事務機器ネットワークに適用することが可能である。その場合、それぞれの機器ネットワークに対応できるように、本発明の範囲を逸脱することなく種々の改良や変形を行うことができ、実施形態に応じた具体的構成が適宜採用され得る。

上記のＦＡシステムには、例えば、各種物品の搬送システム、検査システム、ロボットを用いた組立システムなどが含まれる。また、これらＦＡシステムを構成する産業機器に搭載される制御機器には、例えば、プログラマブルコントローラ（以下、ＰＬＣという）、モーション位置制御コントローラ、フィールドネットワーク機器、無線機器、センサ、アクチュエータ、ロボット、ＨＭＩ機器、及びデータ収集機器のうちの少なくとも１つが含まれてもよい。また、ＦＡシステムにおいて各種の制御機器を接続する通信路は、有線でもよいし、無線でもよい。また、機器ネットワークにおける通信プロトコルはＣＡＮプロトコルに限定されず、機器ネットワークに適した通信プロトコルが採用され得る。

図２０は、変形例に係るセキュリティ装置をＦＡシステムに適用した例を示す概略ブロック図である。
ＦＡシステム１００は、セキュリティ装置１１０と、セキュリティ装置１１０に接続された１以上のＰＬＣ１０４と、ＰＬＣ１０４に接続された入力機器１０５及び出力機器１０６とを含んで構成され、これらがバス１０３を介して接続されて、産業機器ネットワーク１０１が構築されている。産業機器ネットワーク１０１は、ＦＡシステム１００を構成する通信ネットワークであり、例えば、ＣＡＮなどの所定の通信プロトコルに従って通信するネットワークである。

ＰＬＣ１０４がＦＡシステム１００を構成する制御機器の一例である。
また、セキュリティ装置１１０には、ＳＣＡＤＡ（Supervisory Control And Data Acquisition）１０７とＰＣ（Personal Computer）１０８とが接続されている。

ＦＡシステム１００では、セキュリティ装置１１０に本発明に係る技術が搭載されている。セキュリティ装置１１０は、実施の形態（１）に係るゲートウェイＥＣＵ１０のセキュリティ制御部１２と同様のハードウェア構成及び機能構成を備えてもよいし、実施の形態（２）に係るゲートウェイＥＣＵ１０Ａのセキュリティ制御部１２Ａと同様のハードウェア構成及び機能構成を備えてもよい。

この場合、異常検出パターン保持部２９、２９Ａ、及び攻撃推定パターン保持部３１、３１Ａに保持されている攻撃種別の項目（図３、図６、図１７、図１８を参照）には、産業機器ネットワーク１０１において想定され得る攻撃の種類が設定され、これら攻撃の種類ごとの異常検出パターン、攻撃推定パターンが設定されることとなる。

ＰＬＣ１０４は、例えば、所定のプログラムを実行するプロセッサを含む制御ユニットと、入力機器１０５と出力機器１０６などが接続される入出力ユニットと、セキュリティ装置１１０などが接続される通信ユニットとを含んで構成されている。入力機器１０５には、例えば、各種のセンサ、又はスイッチなどの機器が含まれる。出力機器１０６には、例えば、各種のアクチュエータ、ロボット、リレー、又はバルブなどの制御対象機器が含まれる。なお、入力機器１０５と出力機器１０６は、ＰＬＣ１０４に直接接続されてもよいし、フィールドネットワークを介して接続されてもよい。

ＰＬＣ１０４は、入力機器１０５からデータを入力し、所定のプログラムにしたがって演算処理を実行し、得られた演算結果に基づいて、出力機器１０６に対し、オン／オフなどの動作信号を出力する制御などを実行する。
ＳＣＡＤＡ１０７は、ＦＡシステム１００の運用状態を監視したり、プロセス制御などを実行したりするコンピュータ装置である。ＰＣ１０８は、汎用のコンピュータ装置であり、ＰＣ１０８を操作することで、ＦＡシステム１００を構成する各種機器の設定などのメンテナンス操作が行えるようになっている。

セキュリティ装置１１０によれば、実施の形態（１）に係るゲートウェイＥＣＵ１０、又は実施の形態（２）に係るゲートウェイＥＣＵ１０Ａと同様の構成を備えているので、ゲートウェイＥＣＵ１０、又はゲートウェイＥＣＵ１０Ａと同様の効果をＦＡシステム１００で得ることができる。

すなわち、セキュリティ装置１１０によれば、ＦＡシステム１００を構成する産業機器ネットワーク１０１に対する攻撃が実行された場合に、ＦＡシステム１００内で、すなわちセキュリティ装置１１０において、負荷が軽減された処理でその攻撃が判定され、判定された攻撃に応じたインシデント対応処理が実行される。これにより、迅速なインシデント対応が可能となり、ＦＡシステム１００のオペレータは、セキュリティの脅威に対して不安を抱くことなく、より安心してＦＡシステムを運用することが可能となる。

図２１は、別の変形例に係るＦＡシステムを示す概略ブロック図である。但し、図２０に示したＦＡシステム１００と同一機能を有する構成には、同一符号を付し、その説明を省略することとする。

図２０に示したＦＡシステム１００では、セキュリティ装置１１０がＰＬＣ１０４とは別の装置として装備され、セキュリティ装置１１０がＰＬＣ１０４にそれぞれ接続されている構成となっている。一方、図２１に示すＦＡシステム１００Ａでは、ＰＬＣ１０４Ａに、本発明に係るセキュリティ装置として機能するセキュリティ処理部１０４１が装備されている。セキュリティ処理部１０４１は、例えば、セキュリティ機能を実現するソフトウェアモジュールで構成され、実施の形態（１）に係るゲートウェイＥＣＵ１０のセキュリティ制御部１２を構成する各部の機能が装備されてもよいし、実施の形態（２）に係るゲートウェイＥＣＵ１０Ａのセキュリティ制御部１２Ａを構成する各部の機能が装備されてもよい。

この場合、ＦＡシステム１００Ａに含まれる全てのＰＬＣ１０４Ａにセキュリティ処理部１０４１がそれぞれ装備されてもよいし、ＦＡシステム１００Ａに含まれる複数のＰＬＣ１０４Ａのうちのいずれか１以上のＰＬＣ１０４Ａにセキュリティ処理部１０４１が装備されてもよい。

セキュリティ処理部１０４１が装備されたＰＬＣ１０４Ａによれば、ゲートウェイＥＣＵ１０、又はゲートウェイＥＣＵ１０Ａと同様の効果をＦＡシステム１００Ａで得ることができる。

すなわち、セキュリティ処理部１０４１が搭載されたＰＬＣ１０４Ａによれば、ＦＡシステム１００Ａを構成する産業機器ネットワーク１０１に対する攻撃が実行された場合に、ＦＡシステム１００Ａ内で、すなわちＰＬＣ１０４Ａにおいて、負荷が軽減された処理でその攻撃が判定され、判定された攻撃に応じたインシデント対応処理が実行される。これにより、迅速なインシデント対応が可能となり、ＦＡシステム１００Ａのオペレータは、セキュリティの脅威に対して不安を抱くことなく、より安心してＦＡシステムを運用することが可能となる。

なお、図２１では、ＦＡシステム１００Ａを構成するＰＬＣ１０４Ａにセキュリティ処理部１０４１が装備されている場合について説明したが、さらに別の変形例では、ＦＡシステムに含まれるＰＬＣとは別の制御機器にセキュリティ処理部１０４１の機能が装備されてもよい。

［付記］
本発明の実施の形態は、以下の付記の様にも記載され得るが、これらに限定されない。
（付記１）
１以上の制御装置（５、６、７）がバス（３）を介して接続された機器ネットワーク（２）に含まれるセキュリティ装置（１０）であって、
前記機器ネットワーク（２）に対する攻撃により発生した異常を検出する異常検出部（２２、２４）と、
該異常検出部（２２、２４）により検出された前記異常のデータを収集する異常データ収集部（２６）と、
該異常データ収集部（２６）により収集された前記異常のデータを保持する異常データ保持部（２７）と、
複数の異常検出項目それぞれに対する検出要否の組み合わせデータを含んで構成される、前記攻撃の種類ごとの異常検出パターンを保持する異常検出パターン保持部（２９）と、
前記異常データ保持部（２７）に保持された前記異常のデータと、前記異常検出パターン保持部（２９）に保持されている前記攻撃の種類ごとの異常検出パターンとに基づいて、前記異常に対応する攻撃の種類を特定する攻撃特定部（３０）とを備えていることを特徴とするセキュリティ装置（１０）。

（付記２）
１以上の制御装置（５、６、７）がバス（３）を介して接続された機器ネットワーク（２）に含まれる少なくとも１以上のコンピュータ（１０）が実行する攻撃特定方法であって、
前記機器ネットワーク（２）に対する攻撃により発生した異常を検出する異常検出ステップ（Ｓ２）と、
該異常検出ステップ（Ｓ２）により検出された前記異常のデータを収集する異常データ収集ステップ（Ｓ３）と、
該異常データ収集ステップ（Ｓ３）により収集された前記異常のデータを異常データ保持部（２７）に保持する保持ステップ（Ｓ１６）と、
前記異常データ保持部（２７）に保持された前記異常のデータと、異常検出パターン保持部（２９）に保持されている前記攻撃の種類ごとの異常検出パターンとに基づいて、前記異常に対応する攻撃の種類を特定する攻撃特定ステップ（Ｓ４）とを含み、
前記攻撃の種類ごとの異常検出パターンが、複数の異常検出項目それぞれに対する検出要否の組み合わせデータを含んで構成されていることを特徴とする攻撃特定方法。

（付記３）
機器ネットワーク（２）に接続されたコンピュータ（１０）に実行させるためプログラムであって、
前記コンピュータ（１０）に、
前記機器ネットワーク（２）に対する攻撃により発生した異常を検出する異常検出ステップ（Ｓ２）と、
該異常検出ステップにより検出された前記異常のデータを収集する異常データ収集ステップ（Ｓ３）と、
該異常データ収集ステップ（Ｓ３）により収集された前記異常のデータを異常データ保持部（２７）に保持する保持ステップ（Ｓ１６）と、
前記異常データ保持部（２７）に保持された前記異常のデータと、異常検出パターン保持部（２９）に保持されている前記攻撃の種類ごとの異常検出パターンとに基づいて、前記異常に対応する攻撃の種類を特定する攻撃特定ステップ（Ｓ４）とを実行させるためのプログラムであり、
前記攻撃の種類ごとの異常検出パターンが、複数の異常検出項目それぞれに対する検出要否の組み合わせデータを含んで構成されていることを特徴とするプログラム。

１ 車両
２ 車載ネットワーク（機器ネットワーク）
３ バス
４ ＯＢＤII
５ 走行系ＥＣＵ群
６ ボディ系ＥＣＵ群
７ 情報系ＥＣＵ群
１０、１０Ａ ゲートウェイＥＣＵ（セキュリティ装置）
１１ ゲートウェイ機能部
１２、１２Ａ セキュリティ制御部
２１ フレーム受信部
２２ フレーム異常検出部
２３ バス監視部
２４ バス異常検出部
２５ 正常値保持部
２５Ａ フレーム正常値保持部
２５Ｂ バス正常値保持部
２６、２６Ａ 異常データ収集部
２７、２７Ａ 異常データ保持部
２８ タイマー
２９、２９Ａ 異常検出パターン保持部
３０、３０Ａ 攻撃特定部
３１、３１Ａ 攻撃推定パターン保持部
３２、３２Ａ 攻撃推定部
３３ インシデント対応部
１００、１００Ａ ＦＡシステム
１０１ 産業機器ネットワーク（機器ネットワーク）
１０３ バス
１０４、１０４Ａ ＰＬＣ
１０４１ セキュリティ処理部
１０５ 入力機器
１０６ 出力機器
１０７ ＳＣＡＤＡ
１０８ ＰＣ
１１０ セキュリティ装置

Claims (19)

1. １以上の機器が通信路を介して接続された機器ネットワークに含まれるセキュリティ装置であって、
   前記機器ネットワークに対する攻撃により発生した異常を検出する異常検出部と、
   該異常検出部により検出された前記異常のデータを収集する異常データ収集部と、
   該異常データ収集部により収集された前記異常のデータを保持する異常データ保持部と、
   複数の異常検出項目それぞれに対する検出要否の組み合わせデータを含んで構成される、前記攻撃の種類ごとの異常検出パターンを保持する異常検出パターン保持部と、
   前記異常データ保持部に保持された前記異常のデータと、前記異常検出パターン保持部に保持されている前記異常検出パターンとに基づいて、前記異常に対応する前記攻撃の種類を特定する攻撃特定部とを備えていることを特徴とするセキュリティ装置。
2. 前記複数の異常検出項目それぞれに対する重み付け値の組み合わせデータを含んで構成される、前記攻撃の種類ごとの攻撃推定パターンを保持する攻撃推定パターン保持部と、
   前記攻撃特定部により前記攻撃の種類を特定することができなかった場合に、前記異常データ保持部に保持された前記異常のデータと、前記攻撃推定パターン保持部に保持されている前記攻撃推定パターンとに基づいて、前記異常に対応する前記攻撃の種類を推定する攻撃推定部とを備えていることを特徴とする請求項１記載のセキュリティ装置。
3. 前記異常データ保持部に保持される前記異常のデータが、
   前記複数の異常検出項目それぞれに対する検出有無の結果を示すデータを含み、
   前記攻撃特定部が、
   前記複数の異常検出項目それぞれに対する検出有無の結果を示すデータと、前記異常検出パターンとを照合して、前記異常に対応する前記攻撃の種類を特定するものであることを特徴とする請求項１記載のセキュリティ装置。
4. 前記異常データ保持部に保持される前記異常のデータが、
   前記複数の異常検出項目それぞれに対する検出有無の結果を示すデータを含み、
   前記攻撃推定パターンが、
   前記重み付け値の組み合わせデータの和を示す第１合計値を含み、
   前記攻撃推定部が、
   前記攻撃の種類ごとに、前記複数の異常検出項目それぞれに対する検出有無の結果を示すデータと前記重み付け値との積の和を示す第２合計値を算出する第１算出部と、
   前記攻撃の種類ごとに、前記第１合計値と前記第２合計値との一致率を算出する第２算出部と、
   該第２算出部により算出された前記一致率に基づいて、前記異常に対応する前記攻撃の種類を推定する推定部とを備えていることを特徴とする請求項２記載のセキュリティ装置。
5. 前記通信路を介して受信したメッセージが正常である場合における、前記複数の異常検出項目それぞれの正常値を保持するメッセージ正常値保持部を備え、
   前記複数の異常検出項目には、前記メッセージの異常に関する１以上の項目を含み、
   前記異常検出部が、
   前記メッセージ正常値保持部に保持された前記複数の異常検出項目それぞれの正常値に基づいて、前記攻撃によるメッセージ異常を検出するメッセージ異常検出部を備え、
   前記異常データ収集部が、
   前記メッセージ異常検出部で検出された前記メッセージ異常のデータを収集するものであることを特徴とする請求項１〜４のいずれかの項に記載のセキュリティ装置。
6. 前記通信路の状態が正常である場合における、前記複数の異常検出項目それぞれの正常値を保持する通信路正常値保持部を備え、
   前記複数の異常検出項目には、前記通信路の異常に関する１以上の項目を含み、
   前記異常検出部が、
   前記通信路正常値保持部に保持された前記複数の異常検出項目それぞれの正常値に基づいて、前記攻撃による通信路異常を検出する通信路異常検出部を備え、
   前記異常データ収集部が、
   前記通信路異常検出部で検出された前記通信路異常のデータを収集するものであることを特徴とする請求項１〜５のいずれかの項に記載のセキュリティ装置。
7. 当該セキュリティ装置の内部処理が正常である場合における、前記複数の異常検出項目それぞれの正常値を保持する内部処理正常値保持部を備え、
   前記複数の異常検出項目には、前記内部処理の異常に関する１以上の項目を含み、
   前記異常検出部が、
   前記内部処理正常値保持部に保持された前記複数の異常検出項目それぞれの正常値に基づいて、前記内部処理の異常を検出する内部処理異常検出部を備え、
   前記異常データ収集部が、
   前記内部処理異常検出部で検出された前記内部処理の異常のデータを収集するものであることを特徴とする請求項１〜６のいずれかの項に記載のセキュリティ装置。
8. 前記異常データ収集部が、
   前記異常検出部により前記異常が検出されてから所定時間内に検出された前記異常のデータを収集するものであることを特徴とする請求項１〜７のいずれかの項に記載のセキュリティ装置。
9. 前記異常データ収集部により収集された前記異常のデータを異常ログとして蓄積する異常ログ蓄積部を備えていることを特徴とする請求項１〜８のいずれかの項に記載のセキュリティ装置。
10. 前記攻撃特定部により前記異常に対応する前記攻撃の種類が特定された場合、特定された前記攻撃の種類に対する対応処理を行う第１インシデント対応部を備えていることを特徴とする請求項１又は請求項３記載のセキュリティ装置。
11. 前記攻撃推定部により前記異常に対応する前記攻撃の種類が推定された場合、推定された前記攻撃の種類に対する対応処理を行う第２インシデント対応部を備えていることを特徴とする請求項２又は請求項４記載のセキュリティ装置。
12. 前記機器ネットワークに接続された報知部を作動させて前記異常を報知する報知処理部を備えていることを特徴とする請求項１〜１１のいずれかの項に記載のセキュリティ装置。
13. 前記機器ネットワークに接続された外部通報部を作動させて外部に前記異常を通報する通報処理部を備えていることを特徴とする請求項１〜１２のいずれかの項に記載のセキュリティ装置。
14. 前記機器が、車両に搭載される制御装置であり、
    前記機器ネットワークが、車載ネットワークであることを特徴とする請求項１〜１３のいずれかの項に記載のセキュリティ装置。
15. 前記機器が、ＦＡ（Factory Automation）システムを構成する産業機器に搭載される制御機器であり、
    前記機器ネットワークが、前記ＦＡシステムを構成する産業機器ネットワークであることを特徴とする請求項１〜１３のいずれかの項に記載のセキュリティ装置。
16. １以上の機器が通信路を介して接続された機器ネットワークに含まれる少なくとも１以上のコンピュータが実行する攻撃特定方法であって、
    前記機器ネットワークに対する攻撃により発生した異常を検出する異常検出ステップと、
    該異常検出ステップにより検出された前記異常のデータを収集する異常データ収集ステップと、
    該異常データ収集ステップにより収集された前記異常のデータを異常データ保持部に保持する保持ステップと、
    前記異常データ保持部に保持された前記異常のデータと、異常検出パターン保持部に保持されている前記攻撃の種類ごとの異常検出パターンとに基づいて、前記異常に対応する前記攻撃の種類を特定する攻撃特定ステップとを含み、
    前記異常検出パターンが、複数の異常検出項目それぞれに対する検出要否の組み合わせデータを含んで構成されていることを特徴とする攻撃特定方法。
17. 前記攻撃特定ステップにより前記攻撃の種類を特定することができなかった場合に、前記異常データ保持部に保持された前記異常のデータと、攻撃推定パターン保持部に保持されている前記攻撃の種類ごとの攻撃推定パターンとに基づいて、前記異常に対応する前記攻撃の種類を推定する攻撃推定ステップを含み、
    前記攻撃推定パターンが、前記複数の異常検出項目それぞれに対する重み付け値の組み合わせデータを含んで構成されていることを特徴とする請求項１６記載の攻撃特定方法。
18. １以上の機器が通信路を介して接続された機器ネットワークに含まれる少なくとも１以上のコンピュータに実行させるためプログラムであって、
    前記少なくとも１以上のコンピュータに、
    前記機器ネットワークに対する攻撃により発生した異常を検出する異常検出ステップと、
    該異常検出ステップにより検出された前記異常のデータを収集する異常データ収集ステップと、
    該異常データ収集ステップにより収集された前記異常のデータを異常データ保持部に保持する保持ステップと、
    前記異常データ保持部に保持された前記異常のデータと、異常検出パターン保持部に保持されている前記攻撃の種類ごとの異常検出パターンとに基づいて、前記異常に対応する前記攻撃の種類を特定する攻撃特定ステップとを実行させるためのプログラムであり、
    前記異常検出パターンが、複数の異常検出項目それぞれに対する検出要否の組み合わせデータを含んで構成されていることを特徴とするプログラム。
19. 前記少なくとも１以上のコンピュータに、
    前記攻撃特定ステップにより前記攻撃の種類を特定することができなかった場合に、前記異常データ保持部に保持された前記異常のデータと、攻撃推定パターン保持部に保持されている前記攻撃の種類ごとの攻撃推定パターンとに基づいて、前記異常に対応する前記攻撃の種類を推定する攻撃推定ステップをさらに実行させるためのプログラムであり、
    前記攻撃推定パターンが、前記複数の異常検出項目それぞれに対する重み付け値の組み合わせデータを含んで構成されていることを特徴とする請求項１８記載のプログラム。

Images