JP7336770B2 - 情報処理装置、情報処理システム及びプログラム - Google Patents

情報処理装置、情報処理システム及びプログラム Download PDF

Info

Publication number
JP7336770B2
JP7336770B2 JP2020006134A JP2020006134A JP7336770B2 JP 7336770 B2 JP7336770 B2 JP 7336770B2 JP 2020006134 A JP2020006134 A JP 2020006134A JP 2020006134 A JP2020006134 A JP 2020006134A JP 7336770 B2 JP7336770 B2 JP 7336770B2
Authority
JP
Japan
Prior art keywords
network
ecu
information processing
message
ecus
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2020006134A
Other languages
English (en)
Other versions
JP2021114687A (ja
Inventor
章人 竹内
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Intellectual Property Management Co Ltd
Original Assignee
Panasonic Intellectual Property Management Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Intellectual Property Management Co Ltd filed Critical Panasonic Intellectual Property Management Co Ltd
Priority to JP2020006134A priority Critical patent/JP7336770B2/ja
Priority to US17/147,062 priority patent/US20210226991A1/en
Publication of JP2021114687A publication Critical patent/JP2021114687A/ja
Application granted granted Critical
Publication of JP7336770B2 publication Critical patent/JP7336770B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Small-Scale Networks (AREA)

Description

本開示は、複数の電子制御装置（以下ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）とも呼ぶ）が接続されたネットワークにおける不正を検知するための情報処理装置、情報処理システム及びプログラムに関する。
トラック、バス、建機、トラクタ、トレーラ又は船舶等の移動体に適用される制御バス規格として、ＳＡＥ（Ｓｏｃｉｅｔｙ ｏｆ Ａｕｔｏｍｏｔｉｖｅ Ｅｎｇｉｎｅｅｒｓ） Ｊ１９３９規格が存在する。上記移動体内では、例えば、ＳＡＥ Ｊ１９３９規格に基づいて、ＥＣＵ間でメッセージの送受信が行われる。ＳＡＥ Ｊ１９３９規格において用いられるアドレスクレーム（以下ＡＣＬとも呼ぶ）メッセージを悪用して、ＥＣＵが接続されたＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）に不正なメッセージを送信することで、正規のＥＣＵになりすますという攻撃があることが指摘されている。これに対して、例えば、非特許文献１には、ＳＡＥ Ｊ１９３９規格のＡＣＬメッセージを悪用した不正を検知する技術について開示されている。具体的には、ＥＣＵ間で公開鍵暗号ベース又は秘密鍵暗号ベースの認証及び鍵共有を行い、共有した鍵でＣＡＮメッセージパケットに対して改ざん検出用コード（ＭＡＣ：Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を付加することで、不正なメッセージを検知できる。
Paul-Stefan Murvae, et al. "Security shortcomings and countermeasures for the SAE J1939 commercial vehicle bus protocol", IEEE Transactions on Vehicular Technology, Volume 67, Issue 5, May 2018
しかしながら、上記非特許文献１に開示された技術では、認証及び鍵共有のための通信が必要となり、ＣＡＮ通信の開始の際にその都度当該通信による遅延が発生するという問題がある。また、ＣＡＮメッセージパケット内にＭＡＣを格納するための８バイトものフィールドが必要となり、１つのＣＡＮメッセージで送信可能なデータ量が削減されるため、メッセージを送信するのに要する時間が増加するという問題がある。このように、上記非特許文献１に開示された技術では、ＣＡＮ等のネットワークにおける不正を検知しようとすると、通信品質が劣化するおそれがある。
そこで、本開示は、通信品質の劣化を抑制しつつ、ネットワークにおける不正を検知できる情報処理装置等を提供する。
本開示の一態様に係る情報処理装置は、複数の電子制御装置が接続されたネットワークにおける不正を検知するための情報処理装置であって、前記複数の電子制御装置のそれぞれは、前記ネットワークにおいて使用を希望するソースアドレスを主張する宣言メッセージを前記ネットワークに送信した後、当該ソースアドレスを含む通常のメッセージの前記ネットワークへの送信を開始する装置であり、前記宣言メッセージは、当該宣言メッセージを送信する電子制御装置に予め割り振られたデバイス固有のデバイスネームを含み、前記情報処理装置は、それぞれ同一のデバイスネームを含む前記宣言メッセージが、前記ネットワークに送信される回数又は前記ネットワークに送信される間隔の累積時間と、前記ネットワークに接続される前記複数の電子制御装置の数とに基づいて、前記ネットワークにおける不正を検知する不正検知部と、前記検知の結果を出力する出力部と、を備える。
また、本開示の一態様に係る情報処理システムは、上記の情報処理装置と、前記複数の電子制御装置と、前記ネットワークと、を備える。
また、本開示の一態様に係るプログラムは、複数の電子制御装置が接続されたネットワークにおける不正を検知するための情報処理装置によって実行されるプログラムであって、前記複数の電子制御装置のそれぞれは、前記ネットワークにおいて使用を希望するソースアドレスを主張する宣言メッセージを前記ネットワークに送信した後、当該ソースアドレスを含む通常のメッセージの前記ネットワークへの送信を開始する装置であり、前記宣言メッセージは、当該宣言メッセージを送信する電子制御装置に予め割り振られたデバイス固有のデバイスネームを含み、前記プログラムは、それぞれ同一のデバイスネームを含む前記宣言メッセージが、前記ネットワークに送信される回数又は前記ネットワークに送信される間隔の累積時間と、前記ネットワークに接続される前記複数の電子制御装置の数とに基づいて、前記ネットワークにおける不正を検知する不正検知処理と、前記検知の結果を出力する出力処理と、を含む。
また、本開示の一態様に係る情報処理装置は、複数の電子制御装置が接続されたネットワークにおける不正を検知するための情報処理装置であって、前記複数の電子制御装置のそれぞれは、前記ネットワークにおいて使用を希望するソースアドレスを主張する宣言メッセージを前記ネットワークに送信した後、当該ソースアドレスを含む通常のメッセージの前記ネットワークへの送信を開始する装置であり、前記宣言メッセージは、当該宣言メッセージを送信する電子制御装置に予め割り振られたデバイス固有のデバイスネームを含み、前記情報処理装置は、前記複数の電子制御装置のうちのいずれかの電子制御装置であり、それぞれ同一のデバイスネームを含む前記宣言メッセージが、前記ネットワークに送信される回数又は前記ネットワークに送信される間隔の累積時間と、前記ネットワークに接続される前記複数の電子制御装置の数とに基づいて、前記ネットワークにおける不正を検知する不正検知部と、前記検知の結果を出力する出力部と、を備える。
本開示によれば、通信品質の劣化を抑制しつつ、ネットワークにおける不正を検知できる。
実施の形態における情報処理システムの一例を示す構成図である。 ＳＡＥ Ｊ１９３９規格で使用されるデータフレームのフォーマットを示す図である。 ＥＣＵに割り当てられるデバイスネームのフォーマットを示す図である。 宣言メッセージの送信によるソースアドレスの使用を希望する際のルールを説明するためのシーケンス図である。 ソースアドレスが競合したときのルールを説明するためのシーケンス図である。 ソースアドレスが競合したときのルールを説明するためのシーケンス図である。 宣言メッセージが悪用され得ることを説明するためのフローチャートである。 宣言メッセージが悪用されたときのＥＣＵと攻撃ＥＣＵの動作の一例を示すシーケンス図である。 実施の形態における情報処理装置の一例を示すブロック図である。 実施の形態における情報処理装置の動作の一例を示すフローチャートである。 実施の形態における情報処理装置の不正の検知方法の第一例を示すフローチャートである。 実施の形態における情報処理装置の不正の検知方法の第一例を説明するための図である。 実施の形態における情報処理装置の不正の検知方法の第二例を示すフローチャートである。 実施の形態における情報処理装置の不正の検知方法の第二例を説明するための図である。 その他の実施の形態における情報処理システムの一例を示すブロック図である。
（実施の形態）
［情報処理システムの構成］
以下、実施の形態における情報処理システムについて図面を参照しながら説明する。
図１は、実施の形態における情報処理システム１の一例を示す構成図である。
情報処理システム１は、例えば、車両に搭載された車載ネットワークである。情報処理システム１は、情報処理装置１０と複数のＥＣＵとネットワーク３００とを備える。ネットワーク３００は、例えば、ＳＡＥ Ｊ１９３９規格に基づくＣＡＮである。複数のＥＣＵのそれぞれは、ＳＡＥ Ｊ１９３９規格に基づいて他のＥＣＵとネットワーク３００を介したメッセージの送受信を行う。例えば、実施の形態では、情報処理システム１は、複数のＥＣＵとしてＥＣＵ１００ａ～１００ｇを備える。ＥＣＵ１００ａに着目すると、ＥＣＵ１００ａは、他のＥＣＵ１００ｂ～１００ｇとネットワーク３００を介したメッセージの送受信を行う。実施の形態においてネットワーク３００に接続されるＥＣＵ１００ａ～１００ｇ等を総称してＥＣＵ１００とも呼ぶ。つまり、実施の形態でＥＣＵ１００と呼ぶものは、ＥＣＵ１００ａ～１００ｇのいずれであってもよい。また、情報処理装置１０はＥＣＵの一種であり、複数のＥＣＵ１００のそれぞれとネットワーク３００を介したメッセージの送受信を行う。
ＳＡＥ Ｊ１９３９規格は、トラック、バス、建機、トラクタ、トレーラ又は船舶等の移動体に適用される制御バス規格であり、ＳＡＥ Ｊ１９３９規格に基づいてこれらの移動体内のＥＣＵ間でメッセージの送受信が行われている。つまり、ＥＣＵ１００は、ＳＡＥ Ｊ１９３９規格に基づいて移動体内のネットワーク３００を介してメッセージの送受信を行う。
情報処理装置１０は、複数のＥＣＵ１００が接続されたネットワーク３００における不正を検知するための装置であり、例えば、不正検知ＥＣＵである。
ＥＣＵ１００は、例えば、操舵制御ＥＣＵ、ステアリングＥＣＵ、エンジンＥＣＵ、ブレーキＥＣＵ、ドア開閉センサＥＣＵ又はウィンドウ開閉センサＥＣＵ等であるが、特に限定されない。
情報処理装置１０及びＥＣＵ１００は、例えば、プロセッサ（マイクロプロセッサ）、メモリ及び通信回路等を含む装置である。メモリは、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）及びＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等であり、プロセッサにより実行されるプログラムを記憶することができる。例えばプロセッサが、プログラムに従って動作することにより、情報処理装置１０及びＥＣＵ１００は各種機能を実現することになる。
複数のＥＣＵ１００のそれぞれは、ネットワーク３００から他のＥＣＵ１００が送信したメッセージを受信し、また、他のＥＣＵ１００に送信したい内容を含むメッセージを生成してネットワーク３００に送信する。具体的には、複数のＥＣＵ１００のそれぞれは、受信したメッセージの内容に応じた処理を行い、また、ＥＣＵ１００に接続されている機器の状態を示すデータ又は他のＥＣＵ１００への指示値（制御値）等のデータを含む通常のメッセージを生成して周期的に送信する。また、複数のＥＣＵ１００のそれぞれは、ネットワーク３００において固有のソースアドレス（以下ＳＡとも呼ぶ）であって、ネットワーク３００において使用を希望するＳＡを主張する宣言メッセージをネットワーク３００に送信した後、当該ＳＡを含む通常のメッセージのネットワーク３００への送信を開始する装置である。具体的には、複数のＥＣＵ１００のそれぞれは、宣言メッセージを送信してから規定時間（例えば２５０ｍｓ）、送信した宣言メッセージに対する他のＥＣＵ１００からの応答がなかった場合に、ネットワーク３００において使用を希望するＳＡを含む通常のメッセージのネットワーク３００への送信を開始する。また、複数のＥＣＵ１００のそれぞれがネットワーク３００に送信する宣言メッセージは、当該宣言メッセージを送信するＥＣＵ１００に予め割り振られたデバイス固有のデバイスネーム（以下ＤＮとも呼ぶ）を含む。宣言メッセージについては、後述する。なお、機器の状態を示すデータ又は指示値等のデータを含むメッセージを通常のメッセージと呼んでいるのは、宣言メッセージと区別するためである。通常のメッセージには、ＣＡＮＩＤが含まれており、複数のＥＣＵ１００のそれぞれは、特定のＣＡＮＩＤを含むメッセージのみを受信するため、目的のＥＣＵ１００へ向けて通常のメッセージを送信することができる。
［フォーマット］
以下、ＳＡＥ Ｊ１９３９規格において使用されるＣＡＮＩＤのフォーマット及びＤＮのフォーマットについて説明する。
図２は、ＳＡＥ Ｊ１９３９規格で使用されるＣＡＮＩＤのフォーマットを示す図である。図２には、ＣＡＮプロトコルで規定される１１ビットの標準ＩＤフォーマットをベースとして、トラック、バス、建機車両、トラクタ又はトレーラ等の移動体に適用される制御バス用の拡張が行われた２９ビットの拡張ＣＡＮＩＤのフォーマットが示されている。詳細な説明は省略するが、拡張ＣＡＮＩＤには、メッセージを識別するためのＰＧＮ（Ｐａｒａｍｅｔｅｒ Ｇｒｏｕｐ Ｎｕｍｂｅｒ）、宛先アドレス情報等が含まれるフィールドに加え、下位８ビットにおいて、送信元を特定するためのＳＡが割り当てられていることがわかる。ＥＣＵ１００は、起動後にＡＣＬメッセージの送信によって他のＥＣＵ１００とネゴシエーションを行い、他のＥＣＵ１００と競合しないＳＡを取得する。ＡＣＬメッセージとは、ＥＣＵがＳＡを取得するために用いられるメッセージであり、ＥＣＵに割り当てられたＤＮ及び当該ＥＣＵの希望するＳＡを含むメッセージである。基本的には、ＥＣＵの起動時に当該ＥＣＵからＡＣＬメッセージが送信されるが、例えばＥＣＵが起動した後にＥＣＵ診断ツールがＣＡＮバスに接続されて使用されるようなユースケースを想定して、ＥＣＵ起動後の任意のタイミングで送信されることもＳＡＥ Ｊ１９３９規格としては許容している。ＡＣＬメッセージを受信したＥＣＵは、当該ＡＣＬメッセージに含まれるＤＮが割り当てられたＥＣＵが当該ＡＣＬメッセージに含まれるＳＡを取得しようとしていることを確認できる。ＡＣＬメッセージの送信によるＳＡの取得方法の詳細については後述する。
図３は、ＥＣＵに割り当てられるＤＮのフォーマットを示す図である。
ＥＣＵには、図３に示されるように、自身のプロファイル情報及び自身を個体識別するための情報を含む６４ビットのＤＮが予め割り振られている。ＤＮは、ＥＣＵごとに固有であることが求められるため、ＥＣＵ１００には、ネットワーク３００に関わらず他のＥＣＵと重複しないようなＤＮが割り当てられる。実施の形態では、例えば、図１に示されるように、ＥＣＵ１００ａにはＤＮとしてＮａが割り当てられ、ＥＣＵ１００ｂにはＤＮとしてＮｂが割り当てられ、ＥＣＵ１００ｃにはＤＮとしてＮｃが割り当てられ、ＥＣＵ１００ｄにはＤＮとしてＮｄが割り当てられ、ＥＣＵ１００ｅにはＤＮとしてＮｅが割り当てられ、ＥＣＵ１００ｆにはＤＮとしてＮｆが割り当てられ、ＥＣＵ１００ｇにはＤＮとしてＮｇが割り当てられる。一方で、ＥＣＵ１００間での通信の際に、送信元の特定のために、その都度６４ビットのＤＮが用いられると、ＤＮが用いられる分（６４ビット分）送信可能なデータ量が削減されるため、ネットワーク３００において固有の８ビットのＳＡが用いられる。ＣＡＮＩＤには、８ビットのＳＡが含まれており、ＣＡＮＩＤを含む通常のメッセージを受信したＥＣＵ１００は、ＣＡＮＩＤに含まれるＳＡを確認することで送信元を特定できる。
なお、本開示は、ＳＡＥ Ｊ１９３９規格以外に適用されてもよい。例えば、本開示は、ＳＡＥ Ｊ１９３９規格を応用した規格（例えばＩＳＯ（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｏｒｇａｎｉｚａｔｉｏｎ ｆｏｒ Ｓｔａｎｄａｒｄｉｚａｔｉｏｎ）１１７８３、ＮＭＥＡ（Ｎａｔｉｏｎａｌ Ｍａｒｉｎｅ Ｅｌｅｃｔｒｏｎｉｃｓ Ａｓｓｏｃｉａｔｉｏｎ）２０００、ＩＳＯ１１９９２又はＦＭＳ（Ｆｌｅｅｔ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ））等に適用できる。
［宣言メッセージ］
次に、ＥＣＵ１００がネットワーク３００においてＳＡの使用を希望する方法について説明する。
複数のＥＣＵ１００のそれぞれは、情報処理システム１において他のＥＣＵ１００に自身を認識させるためのＳＡを、他のＥＣＵ１００と競合しないように使用するために、宣言メッセージをネットワーク３００に送信する。宣言メッセージは、ＳＡＥ Ｊ１９３９規格においてはＡＣＬメッセージであり、以下では、ＡＣＬメッセージの送信によるＳＡの使用を希望する際のルールについて図４を用いて説明する。
図４は、宣言メッセージ（例えばＡＣＬメッセージ）の送信によるＳＡの使用を希望する際のルールを説明するためのシーケンス図である。
まず、ＥＣＵ１００は、起動する（ステップＳ１１）。複数のＥＣＵ１００のそれぞれは、起動後に、自身の希望する８ビットのＳＡを取得するための動作を行う。
ＥＣＵ１００は、起動後の初期化が完了すると（ステップＳ１２）、自身の希望するＳＡ（例えばここではＳＡとしてＸを希望したとする）及び自身のＤＮ（例えばＮ）を含めたＡＣＬメッセージをネットワーク３００へ送信する（ステップＳ１３）。つまり、ＥＣＵ１００は、このようなＡＣＬメッセージをネットワーク３００を介して他のＥＣＵ１００へブロードキャストすることにより、他のＥＣＵ１００に対して自身がＳＡとしてＸを使用しようとしていることを宣言する。
ＳＡＥ Ｊ１９３９規格では、複数のＥＣＵ１００のそれぞれは、ＡＣＬメッセージに対して異議がなければ、ＤＮとしてＮが割り当てられたＥＣＵ１００がＳＡとしてＸを使用することを記憶する。一方で、ＡＣＬメッセージに対して異議がある場合、例えば、ＳＡが競合している場合、ＡＣＬメッセージを受信してから規定時間（ＳＡＥ Ｊ１９３９規格では２５０ｍｓ）以内に当該ＡＣＬメッセージに対する応答を返信するというルールがある。このため、ＥＣＵ１００は、ＡＣＬメッセージを送信してから規定時間、送信したＡＣＬメッセージに対する他のＥＣＵ１００からの応答（異議）がなかった場合、ＳＡとしてＸを自身が使用することを他のＥＣＵ１００が認めたとして、自身が使用を希望するＳＡを用いて、当該ＳＡを含む通常のメッセージのネットワーク３００への送信（周期的な送信）を開始する（ステップＳ１４）。通常のメッセージには、ＳＡとしてＸが含まれているため、他のＥＣＵ１００は、このメッセージに含まれるＳＡがＸであるということを確認することで、当該メッセージの送信元がＤＮとしてＮが割り当てられたＥＣＵ１００であると特定できる。
次に、ＳＡが競合したときのルールについて図５Ａ及び図５Ｂを用いて説明する。
図５Ａ及び図５Ｂは、ＳＡが競合したときのルールを説明するためのシーケンス図である。図５Ａには、ＳＡが競合したときに、ＳＡが競合した２つのＥＣＵ１００が競合を解消してＳＡを取得できたときの一例が示され、図５Ｂには、ＳＡが競合したときに、ＳＡが競合した２つのＥＣＵ１００の一方が競合を解消できずにＳＡを取得できなかったときの一例が示される。図５Ａ及び図５Ｂでは、ＳＡが競合したＥＣＵ１００として、ＥＣＵ１００ａ及び１００ｂを例にあげて説明する。また、図５Ａ及び図５Ｂでは、ＥＣＵ１００ａとＥＣＵ１００ｂとで直接通信が行われているように示されているが、実際にはネットワーク３００を介して通信が行われる。以下において、あるＥＣＵと他のＥＣＵとでメッセージ等を送受信するというような表現をする場合があるが、あるＥＣＵがネットワーク３００へメッセージ等を送信し、他のＥＣＵがネットワーク３００から当該メッセージ等を受信し、また、他のＥＣＵがネットワーク３００へメッセージ等を送信し、あるＥＣＵがネットワーク３００からメッセージ等を受信して、結果的にあるＥＣＵと他のＥＣＵとでメッセージ等を送受信することになるため、このように表現している。
まずは、ＳＡが競合した２つのＥＣＵ１００がＳＡを取得できたときの例について説明する。
図５Ａに示されるように、ＥＣＵ１００ａは、起動し（ステップＳ２１）、起動後の初期化が完了すると（ステップＳ２２）、自身の希望するＳＡ（例えばここではＸ）及び自身のＤＮであるＮａを含めたＡＣＬメッセージをＥＣＵ１００ｂへ送信する（ステップＳ２３）。
ＥＣＵ１００ｂは、ＥＣＵ１００ａの起動後に起動し（ステップＳ３１）、初期化が完了する前にＥＣＵ１００ａからＡＣＬメッセージが送信されているため、ＥＣＵ１００ａからのＡＣＬメッセージを受信できない。このため、ＥＣＵ１００ａは、送信したＡＣＬメッセージに対する応答を、ＥＣＵ１００ｂを含む他のＥＣＵ１００から受けないため、ＳＡとしてＸを取得して、通常のメッセージの送信を開始する。
ＥＣＵ１００ｂは、起動後の初期化が完了すると（ステップＳ３２）、ＥＣＵ１００ａがＳＡとしてＸを取得しようとしたことに気付いていないため、自身の希望するＳＡ（例えばここではＥＣＵ１００ａが取得したＳＡと同じＸ）及び自身のＤＮであるＮｂを含めたＡＣＬメッセージをＥＣＵ１００ａへ送信する（ステップＳ３３）。
ＳＡＥ Ｊ１９３９では、ＳＡが競合した場合、ＤＮが示す値（具体的には６４ビットの整数値）が小さいＥＣＵが優先的にＳＡを取得するというルールがある。このため、ＤＮが示す値の大きいＥＣＵは、競合したＳＡの取得を断念して、選択し直した別のＳＡを含むＡＣＬメッセージを再度送信すると決められている。そして、ＥＣＵは、ＳＡが取得できない場合（例えば、一定時間ＳＡを取得しようと様々なＳＡについてＡＣＬメッセージの送信を試みたがＳＡを取得できない場合又は全てのＳＡの候補についてＡＣＬメッセージを送信してもＳＡを取得できない場合等）には、ＳＡを取得できなかったことを示すキャンノットクレームメッセージを送信して、休止状態となる。キャンノットクレームメッセージとは、ＥＣＵに割り当てられたＤＮを含むメッセージであり、当該ＤＮが割り当てられたＥＣＵがＳＡを取得できなかったことを他のＥＣＵに通知するためのメッセージである。キャンノットクレームメッセージを受信した他のＥＣＵは、キャンノットクレームメッセージに含まれるＤＮが割り当てられたＥＣＵがＳＡを取得できなかったことを確認できる。
ＥＣＵ１００ａは、ＳＡとしてＸを取得しており、ＥＣＵ１００ｂは、ＳＡとしてＸを希望してＡＣＬメッセージを送信したため、ＳＡの競合が生じる。ＥＣＵ１００ａのＤＮであるＮａの方が、ＥＣＵ１００ｂのＤＮであるＮｂよりも小さいとする。この場合、ＥＣＵ１００ａがＥＣＵ１００ｂよりも優先的にＳＡを取得するＥＣＵとなるため、ＥＣＵ１００ｂが送信したＡＣＬメッセージに対する異議として、ＥＣＵ１００ａは、再度ＳＡとしてＸ及び自身のＤＮであるＮａを含むＡＣＬメッセージをＥＣＵ１００ｂへ送信する（ステップＳ２４）。
ＥＣＵ１００ｂは、自身のＤＮであるＮｂよりも小さいＤＮであるＮａが割り当てられたＥＣＵ１００ａがＳＡとしてＸを優先的に取得することを認識し、選択し直した別のＳＡとしてＹを含むＡＣＬメッセージを送信する（ステップＳ３４）。ＥＣＵ１００ｂは、ＡＣＬメッセージを送信した後２５０ｍｓ経過しても、他のＥＣＵ１００から、自身が送信したＡＣＬメッセージに対する応答がなければ、ＳＡとしてＹを取得する。
なお、ＥＣＵ１００ｂは、初期化が完了しておらずＥＣＵ１００ａがＳＡとしてＸを取得しようとしていることを認識できていなかったため、ステップＳ３３においてＳＡとしてＸを含むＡＣＬメッセージを送信している。これに対して、ＥＣＵ１００ｂは、初期化完了後にＥＣＵ１００ａからＳＡとしてＸ及びＤＮとしてＮａを含むＡＣＬメッセージを受信した場合には、ＥＣＵ１００ａの方が自身よりも優先度が高いことから、ＳＡとしてＸを含むＡＣＬメッセージを送信せず、別のＳＡを含むＡＣＬメッセージを送信する。
次に、ＳＡが競合した２つのＥＣＵ１００の一部がＳＡを取得できなかったときの例について説明する。なお、ステップＳ２１からステップＳ２４及びステップ３１からステップＳ３３での処理については、図５Ａと同じであるため説明は省略する。
ステップＳ２４の後、ＥＣＵ１００ｂは、自身のＤＮであるＮｂよりも小さいＤＮであるＮａが割り当てられたＥＣＵ１００ａがＳＡとしてＸを優先的に取得することを認識し、別のＳＡを取得しようとするが、別のＳＡを取得できなかった場合、自身のＤＮであるＮｂを含むキャンノットクレームメッセージを送信して、休止状態となる（ステップＳ３５）。これにより、ＥＣＵ１００ａを含む他のＥＣＵ１００は、このメッセージに含まれるＤＮがＮｂであるということを確認することで、ＥＣＵ１００ｂがＳＡを取得できておらず、休止状態にあることを認識できる。
［宣言メッセージの悪用］
次に、ＳＡＥ Ｊ１９３９規格の宣言メッセージが悪用され得ることについて図６を用いて説明する。
図６は、ＳＡＥ Ｊ１９３９規格の宣言メッセージ（例えばＡＣＬメッセージ）が悪用され得ることを説明するためのフローチャートである。図６では、他のＥＣＵ１００からＡＣＬメッセージを受信したときに、すでに希望するＳＡを使用して通常のメッセージの送信を開始しているＥＣＵ１００の動作を示すフローチャートである。
ＥＣＵ１００は、他のＥＣＵ１００からＡＣＬメッセージを受信する（ステップＳ１０１）。例えば、ＥＣＵ１００は、他のＥＣＵ１００から自身が使用しているＳＡと同じＳＡを含むＡＣＬメッセージを受信する。
ＥＣＵ１００は、自身のＤＮ（自ＤＮとも呼ぶ）が示す値と受信したＡＣＬメッセージに含まれるＤＮ（相手ＤＮとも呼ぶ）が示す値とを比較し、自ＤＮが示す値が、相手ＤＮが示す値以上であるか否かを判定する（ステップＳ１０２）。
自ＤＮが示す値が、相手ＤＮが示す値よりも小さい場合には（ステップＳ１０２でＮｏ）、ＥＣＵ１００は、自身の方が相手よりも優先度が高いため、通常のメッセージの送信を停止せずに、他のＥＣＵ１００へ自身が取得したＳＡ及び自身のＤＮを含むＡＣＬメッセージを送信する（ステップＳ１０４）。これにより、他のＥＣＵ１００は、そのＳＡを取得できないことを認識する。
一方で、自ＤＮが示す値が、相手ＤＮが示す値以上である場合（ステップＳ１０２でＹｅｓ）、ＥＣＵ１００は、相手の方が自身よりも優先度が高いため、通常のメッセージの送信を停止して、ＳＡの変更を試みる（ステップＳ１０３）。例えば、ＥＣＵ１００は、使用していたＳＡと隣接するアドレスのＳＡとを含む宣言メッセージをネットワーク３００に送信する。
ここで、ＳＡＥ Ｊ１９３９規格では、ステップＳ１０２に示すように、受信したＡＣＬメッセージに含まれる相手ＤＮが示す値が自ＤＮが示す値と同じか小さい場合に、相手の方が自身よりも優先度が高いと判断するように規定されている。このため、ＥＣＵ１００は、自身のＳＡと同じＳＡを含む不正なＡＣＬメッセージを受信した場合、通常のメッセージの送信を中止させられ、さらに、使用していたＳＡが変更させられる場合がある。
上記のことから、例えば、ＳＡＥ Ｊ１９３９規格のＡＣＬメッセージが悪用されることで、正規のＥＣＵ１００になりすまされる攻撃がなされることが考えられる。以下では、ＤＮがＮａである正規のＥＣＵ１００ａが、ネットワーク３００に接続された不正なＥＣＵ（攻撃ＥＣＵ１００ｘとも呼ぶ）によってＥＣＵ１００ａになりすまされる攻撃について、図７を用いて説明する。
図７は、宣言メッセージ（例えばＡＣＬメッセージ）が悪用されたときのＥＣＵ１００ａと攻撃ＥＣＵ１００ｘの動作の一例を示すシーケンス図である。
例えば、ＥＣＵ１００ａがＤＮとしてＮａ、ＳＡとしてＡを含むＡＣＬメッセージをネットワーク３００へ送信する（ステップＳ４１）。攻撃ＥＣＵ１００ｘは、ＤＮとしてＮａ、ＳＡとしてＡを含むＡＣＬメッセージを受信する。攻撃ＥＣＵ１００ｘは、ＤＮがＮａのＥＣＵ１００ａがＳＡとしてＡを取得しようとしていることを認識し、ＥＣＵ１００ａになりすますために、ＤＮとしてＮａ、ＳＡとしてＡを含むＡＣＬメッセージをネットワーク３００へ送信する（ステップＳ５１）。
ＥＣＵ１００ａは、ＤＮとしてＮａ、ＳＡとしてＡを含むＡＣＬメッセージを受信する。ＥＣＵ１００ａは、受信したＡＣＬメッセージに含まれる相手ＤＮが示す値と自ＤＮが示す値とが同じであることから相手の方が自身よりも優先度が高いと判断するため、別のＳＡ（例えばＢ）を含むＡＣＬメッセージをネットワーク３００へ送信する（ステップＳ４２）。これに対して、攻撃ＥＣＵ１００ｘは、ＤＮとしてＮａ、ＳＡとしてＢを含むＡＣＬメッセージを受信するため、直ちにＤＮとしてＮａ、ＳＡとしてＢを含むＡＣＬメッセージをネットワーク３００へ送信する（ステップＳ５２）。これにより、攻撃ＥＣＵ１００ｘは、ＥＣＵ１００ａがＳＡとしてＢを取得するのを阻止する。
ＥＣＵ１００ａは、ＤＮとしてＮａ、ＳＡとしてＢを含むＡＣＬメッセージを受信する。ＥＣＵ１００ａは、受信したＡＣＬメッセージに含まれる相手ＤＮが示す値と自ＤＮが示す値とが同じであることから相手の方が自身よりも優先度が高いと判断するため、別のＳＡ（例えばＣ）を含むＡＣＬメッセージをネットワーク３００へ送信する（ステップＳ４３）。これに対して、攻撃ＥＣＵ１００ｘは、ＤＮとしてＮａ、ＳＡとしてＣを含むＡＣＬメッセージを受信するため、直ちにＤＮとしてＮａ、ＳＡとしてＣを含むＡＣＬメッセージをネットワーク３００へ送信する（ステップＳ５３）。これにより、攻撃ＥＣＵ１００ｘは、ＥＣＵ１００ａがＳＡとしてＣを取得するのを阻止する。
このように、攻撃ＥＣＵ１００ｘは、ＥＣＵ１００ａがＳＡを取得するのを断念するまで（つまり、ＥＣＵ１００ａがキャンノットクレームメッセージを送信するまで）、ＥＣＵ１００ａのＳＡの取得を阻止し続ける。例えば、ＥＣＵ１００ａは、ＤＮとしてＮａ、ＳＡとしてＹを含むＡＣＬメッセージをネットワーク３００に送信し（ステップＳ４４）、これに対して攻撃ＥＣＵ１００ｘは、ＤＮとしてＮａ、ＳＡとしてＹを含むＡＣＬメッセージをネットワーク３００に送信し（ステップＳ５４）、ＥＣＵ１００ａは、ＳＡを取得するのを断念してキャンノットクレームメッセージをネットワーク３００に送信する（ステップＳ４５）。
これにより、以降は、攻撃ＥＣＵ１００ｘは、ＤＮがＮａであるＥＣＵ１００ａになりすまして、メッセージの送信が可能となる。
そこで、本開示では、ネットワーク３００における不正を検知するための情報処理装置１０が、複数のＥＣＵ１００が接続されたネットワーク３００に接続されている。以下では、情報処理装置１０の構成及び動作について説明する。
［情報処理装置の構成及び動作］
図８は、実施の形態における情報処理装置１０の一例を示すブロック図である。
図９は、実施の形態における情報処理装置１０の動作の一例を示すフローチャートである。
情報処理装置１０は、不正検知部１１、出力部１２及び送受信インタフェース１３を備える。
送受信インタフェース１３は、ネットワーク３００に送信されたメッセージを受信し、また、ネットワーク３００に対してメッセージを送信する。送受信インタフェース１３は、例えば、情報処理装置１０に備えられた通信回路等により実現される。
不正検知部１１は、それぞれ同一のＤＮを含むＡＣＬメッセージが、ネットワーク３００に送信される回数又はネットワーク３００に送信される間隔の累積時間と、ネットワーク３００に接続される複数のＥＣＵ１００の数とに基づいて、ネットワーク３００における不正を検知する（ステップＳ１１１）。ステップＳ１１の詳細、すなわち、不正検知部１１の詳細については後述する。
出力部１２は、不正検知部１１による検知の結果を出力する（ステップＳ１１２）。例えば、出力部１２は、当該検知の結果を、送受信インタフェース１３を介してＥＣＵ１００に出力したり、情報処理装置１０が搭載された移動体のユーザ、又は、当該移動体を管理する中央管理センタ等に向けて出力したりする。これにより、安全を確保するために移動体を停止させたり、ユーザ等にネットワーク３００に不正が存在することを知らせたりすることができる。
不正検知部１１及び出力部１２は、情報処理装置１０が備えるプロセッサが、メモリに記憶されたプログラムに従って動作することにより実現される。
［不正の検知方法の第一例］
図１０は、実施の形態における情報処理装置１０の不正の検知方法の第一例を示すフローチャートである。図１０は、図９におけるステップＳ１１２の詳細の一例を示すフローチャートである。
図１０に示されるように、不正検知部１１は、同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信される回数を計測する（ステップＳ１２１）。例えば、不正検知部１１は、移動体が起動してからの（具体的には、起動した移動体から電力を供給されて情報処理装置１０が起動してからの）当該回数を計測する。例えば、不正検知部１１は、送受信インタフェース１３がネットワーク３００に送信されたＡＣＬメッセージを受信する毎に、受信したＡＣＬメッセージに含まれるＤＮを確認し、同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信された回数をＤＮ毎に計測する。
次に、不正検知部１１は、計測された回数、すなわち、それぞれ同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信される回数が、ネットワーク３００に接続される複数のＥＣＵ１００の数に基づいて決定される閾値よりも多いか否かを判定する（ステップＳ１２２）。
不正検知部１１は、それぞれ同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信される回数が、ネットワーク３００に接続される複数のＥＣＵ１００の数に基づいて決定される閾値よりも多いと判定した場合（ステップＳ１２２でＹｅｓ）、ネットワーク３００に不正が存在すると判定する（ステップＳ１２３）。不正検知部１１は、それぞれ同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信される回数が、ネットワーク３００に接続される複数のＥＣＵ１００の数に基づいて決定される閾値以下であると判定した場合（ステップＳ１２２でＮｏ）、ネットワーク３００に不正が存在しないと判定する（ステップＳ１２４）。
ここで、それぞれ同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信される回数が、ネットワーク３００に接続される複数のＥＣＵ１００の数に基づいて決定される閾値よりも多い場合に、ネットワーク３００に不正が存在すると判定することができる理由について図１１を用いて説明する。
図１１は、実施の形態における情報処理装置１０の不正の検知方法の第一例を説明するための図である。
例えば、ＥＣＵ１００ａのＤＮが他のＥＣＵ１００ｂ～１００ｇのＤＮよりも大きい、言い換えると、ＥＣＵ１００ａ～１００ｇのうちＥＣＵ１００ａがＳＡの取得に対する優先度が最も低いとする。このとき、ネットワーク３００に不正が存在していない正常時の場合にＥＣＵ１００ａが最も多くのＡＣＬメッセージを送信する状況としては、ＥＣＵ１００ａが、ＡＣＬメッセージを送信して複数のＥＣＵ１００のうちのいずれかのＥＣＵ１００（例えばＥＣＵ１００ｂ）と競合し、ＳＡを変えたＡＣＬメッセージを送信してまだ競合していないＥＣＵ１００（例えばＥＣＵ１００ｃ）と競合し、ＳＡを変えたＡＣＬメッセージを送信してまだ競合していないＥＣＵ１００（例えばＥＣＵ１００ｄ）と競合し、ＳＡを変えたＡＣＬメッセージを送信してまだ競合していないＥＣＵ１００（例えばＥＣＵ１００ｅ）と競合し、ＳＡを変えたＡＣＬメッセージを送信してまだ競合していないＥＣＵ１００（例えばＥＣＵ１００ｆ）と競合し、ＳＡを変えたＡＣＬメッセージを送信してまだ競合していないＥＣＵ１００（例えばＥＣＵ１００ｇ）と競合し、そして、競合するＥＣＵ１００が存在しなくなり、ＳＡを変えたＡＣＬメッセージを送信してＳＡを取得できるという状況がある。このような状況の場合、ＥＣＵ１００ａは、移動体が起動してからネットワーク３００に同一のＤＮ（例えばＮａ）を含むＡＣＬメッセージを最大で７回送信する可能性がある。言い換えると、正常時には、それぞれ同一のＤＮを含むＡＣＬメッセージがこの回数（ここでは７回）よりも多くネットワーク３００に送信されることはない。そこで、この回数を閾値として、それぞれ同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信される回数と比較する。なお、閾値は、ネットワーク３００に接続される複数のＥＣＵ１００の数に基づいて決定することができ、具体的にはネットワーク３００に接続された複数のＥＣＵ１００の数（ここでは７つ）となる。
例えば、ネットワーク３００に攻撃ＥＣＵ１００ｘが不正に接続されており、攻撃ＥＣＵ１００ｘがＥＣＵ１００ａになりすまそうとしている場合、同一のＤＮを含むＡＣＬメッセージとしてＮａを含むＡＣＬメッセージがＥＣＵ１００ａ及び攻撃ＥＣＵ１００ｘからネットワーク３００へ送信される。この場合、攻撃ＥＣＵ１００ｘは、図１１に示されるように、ＥＣＵ１００ａがＡＣＬメッセージを送信する毎にＥＣＵ１００ａと同一のＤＮを含むＡＣＬメッセージを送信するため、ネットワーク３００には、正常時に送信され得る最大回数である閾値（ここでは７回）を超えて同一のＤＮを含むＡＣＬメッセージが送信されることになる。
そのため、不正検知部１１は、図１１の破線枠で示されるように、移動体が起動してから、それぞれ同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信される回数を計測し、当該回数がネットワーク３００に接続された複数のＥＣＵ１００の数よりも多い場合、ネットワーク３００に不正が存在すると判定でき、ネットワーク３００における不正を検知することができる。
例えば、閾値としてネットワーク３００に接続された複数のＥＣＵ１００の数は、情報処理装置１０のユーザ又は管理者等により予め設定されてもよい。また、情報処理装置１０は、ネットワーク３００に送信されるＡＣＬメッセージに含まれるＤＮの種類数からネットワーク３００に接続された複数のＥＣＵ１００の数を推定して、推定した数を閾値としてもよい。
なお、ネットワーク３００に接続される複数のＥＣＵ１００の数に基づいて決定される閾値は、ネットワーク３００に接続された複数のＥＣＵ１００の数に限らない。
例えば、今後、ネットワーク３００に他のＥＣＵ１００が追加で接続される可能性がある場合、追加で接続され得るＥＣＵ１００の数だけ閾値を予め多くしておいてもよい。この場合、閾値は、ネットワーク３００に接続される可能性があるＥＣＵ１００の数となる。例えば、ネットワーク３００に現状７つのＥＣＵ１００が接続されているが、ネットワーク３００に最大で９つのＥＣＵ１００が接続される可能性がある場合、閾値は９回となる。例えば、閾値としてネットワーク３００に接続される可能性があるＥＣＵ１００の数は、情報処理装置１０のユーザ又は管理者等により予め設定されてもよい。
また、例えば、ネットワーク３００に接続された複数のＥＣＵ１００には、仕様によっては、使用するＳＡが予め決められており、ＳＡの取得の際に他のＥＣＵ１００との競合が発生しないように設定されているＥＣＵ１００が含まれる場合がある。この場合、閾値は、ネットワーク３００に接続された複数のＥＣＵ１００の数から他のＥＣＵ１００との競合が発生しないように設定されているＥＣＵ１００の数を減算した数となる。例えば、ネットワーク３００に現状７つのＥＣＵ１００が接続されているが、そのうち１つのＥＣＵ１００が他のＥＣＵ１００と競合しない場合には、閾値は６回となる。例えば、閾値としてネットワーク３００に接続された複数のＥＣＵ１００の数から他のＥＣＵ１００との競合が発生しないように設定されているＥＣＵ１００の数を減算した数は、情報処理装置１０のユーザ又は管理者等により予め設定されてもよい。
また、例えば、ネットワーク３００に接続された複数のＥＣＵ１００には、アクティブとなっていないＥＣＵ１００が含まれる場合がある。この場合、閾値は、ネットワーク３００に接続された複数のＥＣＵ１００の数からアクティブとなっていないＥＣＵ１００の数を減算した数となる。例えば、ネットワーク３００に現状７つのＥＣＵ１００が接続されているが、そのうち１つのＥＣＵ１００がアクティブとなっていない場合には、閾値は６回となる。例えば、閾値としてネットワーク３００に接続された複数のＥＣＵ１００の数からアクティブとなっていないＥＣＵ１００の数を減算した数は、情報処理装置１０のユーザ又は管理者等により予め設定されてもよい。また、情報処理装置１０は、ネットワーク３００に送信されるＡＣＬメッセージに含まれるＤＮの種類数から、ネットワーク３００に接続された複数のＥＣＵ１００の数からアクティブとなっていないＥＣＵ１００の数を減算した数を推定して、推定した数を閾値としてもよい。
このように、不正の検知方法の第一例では、それぞれ同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信される回数が、ネットワーク３００に接続される複数のＥＣＵ１００の数に基づいて決定される閾値よりも多い場合に、ネットワーク３００に不正が存在することを検知することができる。
［不正の検知方法の第二例］
図１２は、実施の形態における情報処理装置１０の不正の検知方法の第二例を示すフローチャートである。図１２は、図９におけるステップＳ１１２の詳細の一例を示すフローチャートである。
図１２に示されるように、不正検知部１１は、同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信される間隔の累積時間を計測する（ステップＳ１３１）。例えば、不正検知部１１は、移動体が起動してからの（具体的には、起動した移動体から電力を供給されて情報処理装置１０が起動してからの）当該時間を計測する。例えば、不正検知部１１は、送受信インタフェース１３がネットワーク３００に送信されたＡＣＬメッセージを受信する毎に、受信したＡＣＬメッセージに含まれるＤＮを確認し、同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信される間隔の累積時間をＤＮ毎に計測する。
次に、不正検知部１１は、計測された累積時間、すなわち、それぞれ同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信される間隔の累積時間が、ネットワーク３００に接続される複数のＥＣＵ１００の数に基づいて決定される閾値よりも長いか否かを判定する（ステップＳ１３２）。
不正検知部１１は、それぞれ同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信される間隔の累積時間が、ネットワーク３００に接続される複数のＥＣＵ１００の数に基づいて決定される閾値よりも長いと判定した場合（ステップＳ１３２でＹｅｓ）、ネットワーク３００に不正が存在すると判定する（ステップＳ１３３）。不正検知部１１は、それぞれ同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信される間隔の累積時間が、ネットワーク３００に接続される複数のＥＣＵ１００の数に基づいて決定される閾値以下であると判定した場合（ステップＳ１３２でＮｏ）、ネットワーク３００に不正が存在しないと判定する（ステップＳ１３４）。
ここで、それぞれ同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信される間隔の累積時間がネットワーク３００に接続される複数のＥＣＵ１００の数に基づいて決定される閾値よりも長い場合に、ネットワーク３００に不正が存在すると判定することができる理由について図１３を用いて説明する。
図１３は、実施の形態における情報処理装置１０の不正の検知方法の第二例を説明するための図である。
例えば、ＥＣＵ１００ａのＤＮが他のＥＣＵ１００ｂ～１００ｇのＤＮよりも大きい、言い換えると、ＥＣＵ１００ａ～１００ｇのうちＥＣＵ１００ａがＳＡの取得に対する優先度が最も低いとする。このとき、ネットワーク３００に不正が存在していない正常時の場合にＥＣＵ１００ａが最も長い時間ＡＣＬメッセージを送信する状況としては、ＥＣＵ１００ａが、ＡＣＬメッセージを送信して複数のＥＣＵ１００のうちのいずれかのＥＣＵ１００（例えばＥＣＵ１００ｂ）と競合し、ＳＡを変えたＡＣＬメッセージを送信してまだ競合していないＥＣＵ１００（例えばＥＣＵ１００ｃ）と競合し、ＳＡを変えたＡＣＬメッセージを送信してまだ競合していないＥＣＵ１００（例えばＥＣＵ１００ｄ）と競合し、ＳＡを変えたＡＣＬメッセージを送信してまだ競合していないＥＣＵ１００（例えばＥＣＵ１００ｅ）と競合し、ＳＡを変えたＡＣＬメッセージを送信してまだ競合していないＥＣＵ１００（例えばＥＣＵ１００ｆ）と競合し、ＳＡを変えたＡＣＬメッセージを送信してまだ競合していないＥＣＵ１００（例えばＥＣＵ１００ｇ）と競合し、そして、競合するＥＣＵ１００が存在しなくなり、ＳＡを変えたＡＣＬメッセージを送信してＳＡを取得できるという状況がある。このような状況の場合、ＥＣＵ１００ａは、移動体が起動してからネットワーク３００に同一のＤＮ（例えばＮａ）を含むＡＣＬメッセージを最大で７回送信する可能性がある。ＡＣＬメッセージを送信したＥＣＵ１００ａは、１つのＡＣＬメッセージを送信してから最大で規定時間分（例えば２５０ｍｓ）、送信したＡＣＬメッセージに対する他のＥＣＵ１００からの応答を待つ。例えば、ＥＣＵ１００ａは、上記規定時間内に自身のＤＮよりも小さいＤＮを有する他のＥＣＵ１００から応答があった場合、上記規定時間が経過するのを待たずに別のＳＡを含むＡＣＬメッセージを送信して再度最大で上記規定時間分、他のＥＣＵ１００からの応答を待つ。したがって、ＡＣＬメッセージが送信される間隔は、少なくとも上記規定時間以下となることから、ＡＣＬメッセージの送信回数を、ネットワーク３００にＡＣＬメッセージが送信される間隔の累積時間に変換することができる。よって、上記の状況の場合、移動体が起動してからネットワーク３００に同一のＤＮ（例えばＮａ）を含むＡＣＬメッセージが送信される間隔の累積時間は、ＥＣＵ１００ａが最大で７回分のＡＣＬメッセージを送信する際の送信間隔の最大累積時間（例えば最大２５０ｍｓ×７回＝１７５０ｍｓ）となる可能性がある。言い換えると、正常時には、それぞれ同一のＤＮを含むＡＣＬメッセージが送信される累積時間は、この最大累積時間を超えることはない。そこで、この最大累積時間を閾値として、それぞれ同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信される間隔の累積時間と比較する。なお、閾値は、ネットワーク３００に接続される複数のＥＣＵ１００の数に基づいて決定することができ、具体的にはネットワーク３００に接続された複数のＥＣＵ１００の数（ここでは７つ）に基づいて決定することができる。
例えば、ネットワーク３００に攻撃ＥＣＵ１００ｘが不正に接続されており、攻撃ＥＣＵ１００ｘがＥＣＵ１００ａになりすまそうとしている場合、同一のＤＮを含むＡＣＬメッセージとしてＮａを含むＡＣＬメッセージがＥＣＵ１００ａ及び攻撃ＥＣＵ１００ｘからネットワーク３００へ送信される。この場合、攻撃ＥＣＵ１００ｘは、図１３に示されるように、ＥＣＵ１００ａがＡＣＬメッセージを送信する毎にＥＣＵ１００ａと同一のＤＮを含むＡＣＬメッセージを送信するため、同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信される間隔の累積時間は、正常時に想定される最大累積時間である閾値を超えることになる。
そのため、不正検知部１１は、図１３の破線枠で示されるように、移動体が起動してから、それぞれ同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信される間隔の累積時間を計測し、当該累積時間がネットワーク３００に接続された複数のＥＣＵ１００の数に基づいて決定される時間（つまり最大累積時間）よりも長い場合、ネットワーク３００に不正が存在すると判定でき、ネットワーク３００における不正を検知することができる。
例えば、閾値としてネットワーク３００に接続された複数のＥＣＵ１００の数に基づいて決定される時間は、情報処理装置１０のユーザ又は管理者等により予め設定されてもよい。また、情報処理装置１０は、ネットワーク３００に送信されるＡＣＬメッセージに含まれるＤＮの種類数からネットワーク３００に接続された複数のＥＣＵ１００の数を推定して、推定した数に基づいて決定した時間を閾値としてもよい。
なお、ネットワーク３００に接続される複数のＥＣＵ１００の数に基づいて決定される閾値は、ネットワーク３００に接続された複数のＥＣＵ１００の数に基づいて決定される時間に限らない。
例えば、今後、ネットワーク３００に他のＥＣＵ１００が追加で接続される可能性がある場合、追加で接続され得るＥＣＵ１００の数だけ閾値を予め長くしておいてもよい。この場合、閾値は、ネットワーク３００に接続される可能性があるＥＣＵ１００の数に基づいて決定される時間となる。例えば、閾値としてネットワーク３００に接続される可能性があるＥＣＵ１００の数に基づいて決定される時間は、情報処理装置１０のユーザ又は管理者等により予め設定されてもよい。
また、例えば、ネットワーク３００に接続された複数のＥＣＵ１００には、仕様によっては、使用するＳＡが予め決められており、ＳＡの取得の際に他のＥＣＵ１００との競合が発生しないように設定されているＥＣＵ１００が含まれる場合がある。この場合、閾値は、ネットワーク３００に接続された複数のＥＣＵ１００の数から他のＥＣＵ１００との競合が発生しないように設定されているＥＣＵ１００の数を減算した数に基づいて決定される時間となる。例えば、閾値としてネットワーク３００に接続された複数のＥＣＵ１００の数から他のＥＣＵ１００との競合が発生しないように設定されているＥＣＵ１００の数を減算した数に基づいて決定される時間は、情報処理装置１０のユーザ又は管理者等により予め設定されてもよい。
また、例えば、ネットワーク３００に接続された複数のＥＣＵ１００には、アクティブとなっていないＥＣＵ１００が含まれる場合がある。この場合、閾値は、ネットワーク３００に接続された複数のＥＣＵ１００の数からアクティブとなっていないＥＣＵ１００の数を減算した数に基づいて決定される時間となる。例えば、閾値としてネットワーク３００に接続された複数のＥＣＵ１００の数からアクティブとなっていないＥＣＵ１００の数を減算した数に基づいて決定される時間は、情報処理装置１０のユーザ又は管理者等により予め設定されてもよい。また、情報処理装置１０は、ネットワーク３００に送信されるＡＣＬメッセージに含まれるＤＮの種類数から、ネットワーク３００に接続された複数のＥＣＵ１００の数からアクティブとなっていないＥＣＵ１００の数を減算した数を推定して、推定した数に基づいて決定した時間を閾値としてもよい。
このように、不正の検知方法の第二例では、それぞれ同一のＤＮを含むＡＣＬメッセージがネットワーク３００に送信される間隔の累積時間が、ネットワーク３００に接続される複数のＥＣＵ１００の数に基づいて決定される閾値よりも長い場合に、ネットワーク３００に不正が存在することを検知することができる。
［効果等］
情報処理装置１０は、複数のＥＣＵ１００が接続されたネットワーク３００における不正を検知するための情報処理装置である。複数のＥＣＵ１００のそれぞれは、ネットワーク３００において使用を希望するＳＡを主張する宣言メッセージをネットワーク３００に送信した後、当該ＳＡを含む通常のメッセージのネットワーク３００への送信を開始する装置である。宣言メッセージは、当該宣言メッセージを送信するＥＣＵ１００に予め割り振られたデバイス固有のＤＮを含む。情報処理装置１０は、それぞれ同一のＤＮを含む宣言メッセージが、ネットワーク３００に送信される回数又はネットワーク３００に送信される間隔の累積時間と、ネットワーク３００に接続される複数のＥＣＵ１００の数とに基づいて、ネットワーク３００における不正を検知する不正検知部１１と、検知の結果を出力する出力部１２と、を備える。
これによれば、それぞれ同一のＤＮを含む宣言メッセージが、ネットワーク３００に送信される回数又はネットワーク３００に送信される間隔の累積時間と、ネットワーク３００に接続される複数のＥＣＵ１００の数とを例えば比較するだけで、ネットワーク３００における不正を検知することができる。すなわち、不正の検知のために、認証及び鍵共有のための通信が行われないため、当該通信による遅延が発生せず、また、通常のメッセージ内にＭＡＣを格納するためのフィールドが不要であり、通常のメッセージを送信するのに要する時間が増加しないことから、通信品質の劣化を抑制しつつ、ネットワーク３００における不正を検知できる。
また、不正検知部１１は、それぞれ同一のＤＮを含む宣言メッセージがネットワーク３００に送信される回数が、ネットワーク３００に接続される複数のＥＣＵ１００の数に基づいて決定される閾値よりも多い場合、ネットワーク３００に不正が存在することを検知してもよい。
ネットワーク３００に不正が存在しない場合、それぞれ同一のＤＮを含む宣言メッセージがネットワーク３００に送信される回数は、ネットワーク３００に接続される複数のＥＣＵ１００の数に基づいて決定される閾値を超えることはない。したがって、それぞれ同一のＤＮを含む宣言メッセージがネットワーク３００に送信される回数を計測しておき、計測した回数を閾値と比較するだけで、容易にネットワーク３００における不正を検知できる。
また、不正検知部１１は、それぞれ同一のＤＮを含む宣言メッセージがネットワーク３００に送信される間隔の累積時間が、ネットワーク３００に接続される複数のＥＣＵ１００の数に基づいて決定される閾値よりも長い場合、ネットワーク３００に不正が存在することを検知してもよい。
ネットワーク３００に不正が存在しない場合、それぞれ同一のＤＮを含む宣言メッセージがネットワーク３００に送信される間隔の累積時間は、ネットワーク３００に接続される複数のＥＣＵ１００の数に基づいて決定される閾値を超えることはない。したがって、それぞれ同一のＤＮを含む宣言メッセージがネットワーク３００に送信される間隔の累積時間を計測しておき、計測した累積時間を閾値と比較するだけで、容易にネットワーク３００における不正を検知できる。
また、ネットワーク３００は、ＳＡＥ Ｊ１９３９規格に基づくＣＡＮであり、宣言メッセージは、ＳＡＥ Ｊ１９３９規格において規定されたＡＣＬメッセージであってもよい。
このように、本開示は、ＳＡＥ Ｊ１９３９規格に基づくＣＡＮに適用できる。
また、情報処理システム１は、情報処理装置１０と、複数のＥＣＵ１００と、ネットワーク３００と、を備える。
これによれば、通信品質の劣化を抑制しつつ、ネットワーク３００における不正を検知できる情報処理システム１を提供できる。
（その他の実施の形態）
以上のように、本開示に係る技術の例示として実施の形態を説明した。しかしながら、本開示に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本開示の一実施の形態に含まれる。
例えば、上記実施の形態では、情報処理システム１は、ＥＣＵ１００ａ～１００ｇを備えているとして説明したが、少なくとも２つのＥＣＵ１００を備えていればよい。
例えば、上記実施の形態では、情報処理システム１が、複数のＥＣＵ１００とは別にネットワーク３００における不正を検知する機能を有する情報処理装置１０を備える例について説明したが、これに限らない。例えば、複数のＥＣＵ１００に、ネットワーク３００における不正を検知する機能を有する情報処理装置が含まれていてもよい。これについて、図１４を用いて説明する。
図１４は、その他の実施の形態における情報処理システム２の一例を示すブロック図である。
図１４に示されるように、情報処理装置２０は、複数のＥＣＵ１００のうちのいずれかのＥＣＵ１００であり、ここでは実施の形態において説明したＥＣＵ１００ａがネットワーク３００における不正を検知する機能も有する情報処理装置２０となっている。
具体的には、情報処理装置２０は、ＥＣＵ１００ａのように、受信したメッセージの内容に応じた処理を行い、また、情報処理装置２０に接続されている機器の状態を示すデータ又は他のＥＣＵ１００への指示値（制御値）等のデータを含む通常のメッセージを生成して周期的に送信する。また、情報処理装置２０は、ＥＣＵ１００ａのように、宣言メッセージをネットワーク３００に送信した後、当該ＳＡを含む通常のメッセージのネットワーク３００への送信を開始する。さらに、情報処理装置２０は、情報処理装置１０のように、不正検知部１１及び出力部１２を備え、ネットワーク３００における不正を検知する機能を有する。
このように、情報処理装置２０は、複数のＥＣＵ１００が接続されたネットワーク３００における不正を検知するための情報処理装置である。複数のＥＣＵ１００のそれぞれは、ネットワーク３００において使用を希望するＳＡを主張する宣言メッセージをネットワーク３００に送信した後、当該ＳＡを含む通常のメッセージのネットワーク３００への送信を開始する装置である。宣言メッセージは、当該宣言メッセージを送信するＥＣＵ１００に予め割り振られたデバイス固有のＤＮを含む。情報処理装置２０は、複数のＥＣＵ１００のうちのいずれかのＥＣＵ１００であり、それぞれ同一のＤＮを含む宣言メッセージが、ネットワーク３００に送信される回数又はネットワーク３００に送信される間隔の累積時間と、ネットワーク３００に接続される複数のＥＣＵ１００の数とに基づいて、ネットワーク３００における不正を検知する不正検知部１１と、検知の結果を出力する出力部１２と、を備える。
このように、ネットワーク３００における不正を検知する機能を有する情報処理装置２０は、複数のＥＣＵ１００のうちのいずれかのＥＣＵ１００であってもよい。
なお、本開示は、情報処理装置及び情報処理システムとして実現できるだけでなく、情報処理装置を構成する各構成要素が行うステップ（処理）を含む情報処理方法として実現できる。
例えば、情報処理方法におけるステップは、コンピュータ（コンピュータシステム）によって実行されてもよい。そして、本開示は、情報処理方法に含まれるステップを、コンピュータに実行させるためのプログラムとして実現できる。
当該プログラムは、複数のＥＣＵ１００が接続されたネットワーク３００における不正を検知するための情報処理装置によって実行されるプログラムである。複数のＥＣＵ１００のそれぞれは、ネットワーク３００において使用を希望するＳＡを主張する宣言メッセージをネットワーク３００に送信した後、当該ＳＡを含む通常のメッセージのネットワーク３００への送信を開始する装置であり、宣言メッセージは、当該宣言メッセージを送信するＥＣＵ１００に予め割り振られたデバイス固有のＤＮを含む。図９に示されるように、当該プログラムは、それぞれ同一のＤＮを含む宣言メッセージが、ネットワーク３００に送信される回数又はネットワーク３００に送信される間隔の累積時間と、ネットワーク３００に接続される複数のＥＣＵ１００の数とに基づいて、ネットワーク３００における不正を検知する不正検知処理（ステップＳ１１１）と、検知の結果を出力する出力処理（ステップＳ１１２）と、を含む。
さらに、本開示は、そのプログラムを記録したＣＤ－ＲＯＭ等である非一時的なコンピュータ読み取り可能な記録媒体として実現できる。
例えば、本開示が、プログラム（ソフトウェア）で実現される場合には、コンピュータのＣＰＵ、メモリ及び入出力回路等のハードウェア資源を利用してプログラムが実行されることによって、各ステップが実行される。つまり、ＣＰＵがデータをメモリ又は入出力回路等から取得して演算したり、演算結果をメモリ又は入出力回路等に出力したりすることによって、各ステップが実行される。
また、上記実施の形態の情報処理装置に含まれる各構成要素は、専用又は汎用の回路として実現されてもよい。
また、上記実施の形態の情報処理装置に含まれる各構成要素は、集積回路（ＩＣ：Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）であるＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）として実現されてもよい。
また、集積回路はＬＳＩに限られず、専用回路又は汎用プロセッサで実現されてもよい。プログラム可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）、又は、ＬＳＩ内部の回路セルの接続及び設定が再構成可能なリコンフィギュラブル・プロセッサが、利用されてもよい。
さらに、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて、情報処理装置に含まれる各構成要素の集積回路化が行われてもよい。
その他、実施の形態に対して当業者が思いつく各種変形を施して得られる形態、本開示の趣旨を逸脱しない範囲で各実施の形態における構成要素及び機能を任意に組み合わせることで実現される形態も本開示に含まれる。
本開示は、例えばトラック、バス、建機車両、トラクタ、トレーラ又は船舶等におけるネットワークにおける不正に対応するための装置に適用できる。
１、２ 情報処理システム
１０、２０ 情報処理装置
１１ 不正検知部
１２ 出力部
１３ 送受信インタフェース
１００、１００ａ、１００ｂ、１００ｃ、１００ｄ、１００ｅ、１００ｆ、１００ｇ ＥＣＵ
１００ｘ 攻撃ＥＣＵ
３００ ネットワーク

Claims (7)

  1. 複数の電子制御装置が接続されたネットワークにおける不正を検知するための情報処理装置であって、
    前記複数の電子制御装置のそれぞれは、前記ネットワークにおいて使用を希望するソースアドレスを主張する宣言メッセージを前記ネットワークに送信した後、当該ソースアドレスを含む通常のメッセージの前記ネットワークへの送信を開始する装置であり、
    前記宣言メッセージは、当該宣言メッセージを送信する電子制御装置に予め割り振られたデバイス固有のデバイスネームを含み、
    前記情報処理装置は、
    それぞれ同一のデバイスネームを含む前記宣言メッセージが、前記ネットワークに送信される回数又は前記ネットワークに送信される間隔の累積時間と、前記ネットワークに接続される前記複数の電子制御装置の数とに基づいて、前記ネットワークにおける不正を検知する不正検知部と、
    前記検知の結果を出力する出力部と、を備える、
    情報処理装置。
  2. 前記不正検知部は、それぞれ同一のデバイスネームを含む前記宣言メッセージが前記ネットワークに送信される回数が、前記ネットワークに接続される前記複数の電子制御装置の数に基づいて決定される閾値よりも多い場合、前記ネットワークに不正が存在することを検知する、
    請求項１に記載の情報処理装置。
  3. 前記不正検知部は、それぞれ同一のデバイスネームを含む宣言メッセージが前記ネットワークに送信される間隔の累積時間が、前記ネットワークに接続される前記複数の電子制御装置の数に基づいて決定される閾値よりも長い場合、前記ネットワークに不正が存在することを検知する、
    請求項１に記載の情報処理装置。
  4. 前記ネットワークは、ＳＡＥ（Ｓｏｃｉｅｔｙ ｏｆ Ａｕｔｏｍｏｔｉｖｅ Ｅｎｇｉｎｅｅｒｓ） Ｊ１９３９規格に基づくＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）であり、
    前記宣言メッセージは、ＳＡＥ Ｊ１９３９規格において規定されたアドレスクレームメッセージである、
    請求項１～３のいずれか１項に記載の情報処理装置。
  5. 請求項１～４のいずれか１項に記載の情報処理装置と、
    前記複数の電子制御装置と、
    前記ネットワークと、を備える、
    情報処理システム。
  6. 複数の電子制御装置が接続されたネットワークにおける不正を検知するための情報処理装置によって実行されるプログラムであって、
    前記複数の電子制御装置のそれぞれは、前記ネットワークにおいて使用を希望するソースアドレスを主張する宣言メッセージを前記ネットワークに送信した後、当該ソースアドレスを含む通常のメッセージの前記ネットワークへの送信を開始する装置であり、
    前記宣言メッセージは、当該宣言メッセージを送信する電子制御装置に予め割り振られたデバイス固有のデバイスネームを含み、
    前記プログラムは、
    それぞれ同一のデバイスネームを含む前記宣言メッセージが、前記ネットワークに送信される回数又は前記ネットワークに送信される間隔の累積時間と、前記ネットワークに接続される前記複数の電子制御装置の数とに基づいて、前記ネットワークにおける不正を検知する不正検知処理と、
    前記検知の結果を出力する出力処理と、を含む、
    プログラム。
  7. 複数の電子制御装置が接続されたネットワークにおける不正を検知するための情報処理装置であって、
    前記複数の電子制御装置のそれぞれは、前記ネットワークにおいて使用を希望するソースアドレスを主張する宣言メッセージを前記ネットワークに送信した後、当該ソースアドレスを含む通常のメッセージの前記ネットワークへの送信を開始する装置であり、
    前記宣言メッセージは、当該宣言メッセージを送信する電子制御装置に予め割り振られたデバイス固有のデバイスネームを含み、
    前記情報処理装置は、
    前記複数の電子制御装置のうちのいずれかの電子制御装置であり、
    それぞれ同一のデバイスネームを含む前記宣言メッセージが、前記ネットワークに送信される回数又は前記ネットワークに送信される間隔の累積時間と、前記ネットワークに接続される前記複数の電子制御装置の数とに基づいて、前記ネットワークにおける不正を検知する不正検知部と、
    前記検知の結果を出力する出力部と、を備える、
    情報処理装置。
JP2020006134A 2020-01-17 2020-01-17 情報処理装置、情報処理システム及びプログラム Active JP7336770B2 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2020006134A JP7336770B2 (ja) 2020-01-17 2020-01-17 情報処理装置、情報処理システム及びプログラム
US17/147,062 US20210226991A1 (en) 2020-01-17 2021-01-12 Information processing apparatus, information processing system, and recording medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2020006134A JP7336770B2 (ja) 2020-01-17 2020-01-17 情報処理装置、情報処理システム及びプログラム

Publications (2)

Publication Number Publication Date
JP2021114687A JP2021114687A (ja) 2021-08-05
JP7336770B2 true JP7336770B2 (ja) 2023-09-01

Family

ID=76856435

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2020006134A Active JP7336770B2 (ja) 2020-01-17 2020-01-17 情報処理装置、情報処理システム及びプログラム

Country Status (2)

Country Link
US (1) US20210226991A1 (ja)
JP (1) JP7336770B2 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114779740A (zh) * 2022-04-22 2022-07-22 重庆长安汽车股份有限公司 一种车辆故障远程诊断***及方法

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014114687A (ja) 2012-12-11 2014-06-26 Kia Motors Corp スライディングドア用アウトサイドハンドル
JP2014146868A (ja) 2013-01-28 2014-08-14 Hitachi Automotive Systems Ltd ネットワーク装置およびデータ送受信システム
JP2014226946A (ja) 2013-05-17 2014-12-08 トヨタ自動車株式会社 車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法
WO2014199687A1 (ja) 2013-06-13 2014-12-18 日立オートモティブシステムズ株式会社 ネットワーク装置およびネットワークシステム
US20150372975A1 (en) 2013-02-25 2015-12-24 Toyota Jidosha Kabushiki Kaisha Information processing device and information processing method
US20170013005A1 (en) 2015-06-29 2017-01-12 Argus Cyber Security Ltd. System and method for consistency based anomaly detection in an in-vehicle communication network
JP2019097206A (ja) 2014-04-03 2019-06-20 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正対処方法、不正検知電子制御ユニット、および、ネットワーク通信システム
JP2019126004A (ja) 2018-01-19 2019-07-25 富士通株式会社 攻撃検知装置および攻撃検知方法

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018157288A (ja) * 2017-03-16 2018-10-04 本田技研工業株式会社 通信システム
US11032300B2 (en) * 2017-07-24 2021-06-08 Korea University Research And Business Foundation Intrusion detection system based on electrical CAN signal for in-vehicle CAN network
US11019084B2 (en) * 2018-12-14 2021-05-25 Intel Corporation Controller, a context broadcaster and an alert processing device

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014114687A (ja) 2012-12-11 2014-06-26 Kia Motors Corp スライディングドア用アウトサイドハンドル
JP2014146868A (ja) 2013-01-28 2014-08-14 Hitachi Automotive Systems Ltd ネットワーク装置およびデータ送受信システム
US20150372975A1 (en) 2013-02-25 2015-12-24 Toyota Jidosha Kabushiki Kaisha Information processing device and information processing method
JP2014226946A (ja) 2013-05-17 2014-12-08 トヨタ自動車株式会社 車両用通信装置の異常対応システム及び車両用通信装置の異常対応方法
WO2014199687A1 (ja) 2013-06-13 2014-12-18 日立オートモティブシステムズ株式会社 ネットワーク装置およびネットワークシステム
JP2019097206A (ja) 2014-04-03 2019-06-20 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正対処方法、不正検知電子制御ユニット、および、ネットワーク通信システム
US20170013005A1 (en) 2015-06-29 2017-01-12 Argus Cyber Security Ltd. System and method for consistency based anomaly detection in an in-vehicle communication network
US20200186560A1 (en) 2015-06-29 2020-06-11 Argus Cyber Security Ltd. System and method for time based anomaly detection in an in-vehicle communication network
JP2019126004A (ja) 2018-01-19 2019-07-25 富士通株式会社 攻撃検知装置および攻撃検知方法

Also Published As

Publication number Publication date
JP2021114687A (ja) 2021-08-05
US20210226991A1 (en) 2021-07-22

Similar Documents

Publication Publication Date Title
US10104094B2 (en) On-vehicle communication system
US11438355B2 (en) In-vehicle network anomaly detection system and in-vehicle network anomaly detection method
Aliwa et al. Cyberattacks and countermeasures for in-vehicle networks
CN111630825B (zh) 车辆环境中的入侵异常监视
CN109076001B (zh) 帧传送阻止装置、帧传送阻止方法及车载网络***
Matsumoto et al. A method of preventing unauthorized data transmission in controller area network
CN100536474C (zh) 防范利用地址解析协议进行网络攻击的方法及设备
KR101734505B1 (ko) 차량용 네트워크의 공격탐지 방법 및 그 장치
KR20180072339A (ko) 운송 수단 내부 네트워크에서 복수의 전자 제어 유닛간 메시지 전송 방법
CN111788796B (zh) 车载通信***、交换装置、验证方法和计算机可读存储介质
JP7336770B2 (ja) 情報処理装置、情報処理システム及びプログラム
KR20080107599A (ko) 통신 네트워크에서의 ａｒｐ 공격 차단 시스템 및 방법
JP7024069B2 (ja) 車両の制御機器に対する攻撃を検出する方法
US11502870B2 (en) Method for managing access control list based on automotive ethernet and apparatus using the same
Elend et al. Cyber security enhancing CAN transceivers
EP3713190A1 (en) Secure bridging of controller area network buses
KR102075514B1 (ko) 차량용 네트워크 보안장치
KR102204656B1 (ko) 일반 can 메시지의 전송지연을 예측하는 can 네트워크에 대한 메시지플러딩 공격 완화 시스템
JP4093075B2 (ja) 不正データ検出方法及び車載機器
KR102204655B1 (ko) 공격 메시지 재전송 시간을 예측하는 can 네트워크에 대한 메시지플러딩 공격 완화방법
JP7281714B2 (ja) 情報処理装置、情報処理システム及びプログラム
JP7117559B2 (ja) 電子制御装置、電子制御システム及びプログラム
CN114503518B (zh) 检测装置、车辆、检测方法及检测程序
JP6954071B2 (ja) ネットワーク監視装置および方法
KR20120010693A (ko) 전자 제어 장치간 인증방법 및 그 방법을 이용한 전자 제어 장치

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20220921

TRDD Decision of grant or rejection written
A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20230724

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20230725

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20230809

R151 Written notification of patent or utility model registration

Ref document number: 7336770

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151

S111 Request for change of ownership or part of ownership

Free format text: JAPANESE INTERMEDIATE CODE: R313113

SZ03 Written request for cancellation of trust registration

Free format text: JAPANESE INTERMEDIATE CODE: R313Z03