WO2021111685A1 - 検知装置、車両、検知方法および検知プログラム - Google Patents
検知装置、車両、検知方法および検知プログラム Download PDFInfo
- Publication number
- WO2021111685A1 WO2021111685A1 PCT/JP2020/032583 JP2020032583W WO2021111685A1 WO 2021111685 A1 WO2021111685 A1 WO 2021111685A1 JP 2020032583 W JP2020032583 W JP 2020032583W WO 2021111685 A1 WO2021111685 A1 WO 2021111685A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- detection
- unit
- distribution
- vehicle
- message
- Prior art date
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/12—Applying verification of the received information
- H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
- H04W4/30—Services specially adapted for particular environments, situations or purposes
- H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
-
- B—PERFORMING OPERATIONS; TRANSPORTING
- B60—VEHICLES IN GENERAL
- B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
- B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
- B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
- B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/08—Access security
- H04W12/088—Access security using filters or firewalls
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/12—Detection or prevention of fraud
Definitions
- the present disclosure relates to detection devices, vehicles, detection methods and detection programs. This application claims priority on the basis of Japanese Application Japanese Patent Application No. 2019-219993 filed on December 5, 2019, and incorporates all of its disclosures herein.
- Patent Document 1 Japanese Unexamined Patent Publication No. 2014-146868 discloses the following network devices. That is, the network device has a communication unit for receiving data, a time management unit for managing the reception time for receiving data, and a control unit for processing the received data, and periodically receives and processes the data.
- the control unit records the reception time in the time management unit for each identifier of the data received by the communication unit, and the interval at which data having the same identifier as the reference data is received is a predetermined cycle.
- the cycle abnormality occurs.
- the predetermined processing is performed on the first data.
- Patent Document 2 discloses the following detection method. That is, the detection method is a method of detecting intrusion in the vehicle network, and the time is periodically transmitted from the transmitting side ECU to the receiving side ECU via the vehicle network in the receiving side ECU (Electronic Control Unit). A plurality of messages not including stamp information are received, the receiving side ECU determines the clock skew of the transmitting side ECU based on the plurality of messages, and the receiving side ECU determines the clock skew of the transmitting side ECU as a baseline value.
- the detection method is a method of detecting intrusion in the vehicle network, and the time is periodically transmitted from the transmitting side ECU to the receiving side ECU via the vehicle network in the receiving side ECU (Electronic Control Unit). A plurality of messages not including stamp information are received, the receiving side ECU determines the clock skew of the transmitting side ECU based on the plurality of messages, and the receiving side ECU determines the clock skew of the transmitting side ECU as a baseline value.
- the transmitting side ECU By comparing with, the sudden change of the clock skew of the transmitting side ECU is detected, and the transmitting side ECU becomes dangerous based on the detection of the sudden change of the clock skew of the transmitting side ECU in the receiving side ECU. Identify as exposed.
- the detection device of the present disclosure is a detection device that detects an unauthorized message in an in-vehicle network, and is obtained by an acquisition unit that acquires an object distribution that is a distribution of reception intervals of periodic messages transmitted in the in-vehicle network, and an acquisition unit.
- An extraction unit that extracts a part of the acquired target distribution according to a predetermined standard, and a detection unit that performs detection processing for detecting the malicious message based on a part of the target distribution extracted by the extraction unit. To be equipped.
- the detection method of the present disclosure is a detection method in a detection device that detects an unauthorized message in an in-vehicle network, and includes a step of acquiring an object distribution which is a distribution of reception intervals of periodic messages transmitted in the in-vehicle network.
- the step includes a step of extracting a part of the target distribution according to a predetermined criterion, and a step of performing a detection process for detecting the malicious message based on the extracted part of the target distribution.
- the detection program of the present disclosure is a detection program used in a detection device that detects an unauthorized message in an in-vehicle network, and acquires a target distribution, which is a distribution of reception intervals of periodic messages transmitted in the in-vehicle network.
- the malicious message is detected based on the acquisition unit, the extraction unit that extracts a part of the target distribution acquired by the acquisition unit according to a predetermined criterion, and the part of the target distribution extracted by the extraction unit.
- It is a program for functioning as a detection unit that performs detection processing.
- One aspect of the present disclosure can be realized as a semiconductor integrated circuit that realizes a part or all of the detection device, or can be realized as a system including the detection device. Further, one aspect of the present disclosure may be realized as a semiconductor integrated circuit that realizes a part or all of a system including a detection device, or as a program for causing a computer to execute a processing step in a system including a detection device. Can be done.
- FIG. 1 is a diagram showing a configuration of an in-vehicle communication system according to an embodiment of the present disclosure.
- FIG. 2 is a diagram showing a configuration of a bus connection device group according to the embodiment of the present disclosure.
- FIG. 3 is a diagram showing a configuration of a gateway device in the in-vehicle communication system according to the embodiment of the present disclosure.
- FIG. 4 is a diagram showing an example of a probability density function and a cumulative distribution function generated from an extraction unit in the gateway device according to the embodiment of the present disclosure.
- FIG. 5 is a diagram showing an example of a probability density function and a cumulative distribution function generated by an extraction unit in the gateway device according to the embodiment of the present disclosure.
- FIG. 1 is a diagram showing a configuration of an in-vehicle communication system according to an embodiment of the present disclosure.
- FIG. 2 is a diagram showing a configuration of a bus connection device group according to the embodiment of the present disclosure.
- FIG. 3 is a diagram showing a configuration
- FIG. 6 is a diagram showing a time change of the standard deviation calculated by the detection unit in the gateway device according to the embodiment of the present disclosure.
- FIG. 7 is a flowchart defining an example of an operation procedure when the gateway device in the in-vehicle communication system according to the embodiment of the present disclosure performs detection processing.
- FIG. 8 is a flowchart defining an example of an operation procedure when the gateway device in the in-vehicle communication system according to the embodiment of the present disclosure determines the reference of the extraction section of the probability density function.
- FIG. 9 is a diagram showing an example of the connection topology of the vehicle-mounted network according to the embodiment of the present invention.
- FIG. 10 is a diagram showing the verification results of the inventors of the present application.
- FIG. 11 is a diagram showing the verification results of the inventors of the present application.
- FIG. 12 is a diagram showing the verification results of the inventors of the present application.
- the present disclosure has been made to solve the above-mentioned problems, and an object thereof is to provide a detection device, a vehicle, a detection method, and a detection program capable of more accurately detecting a malicious message in an in-vehicle network. is there.
- the detection device is a detection device that detects an unauthorized message in an in-vehicle network, and acquires an object distribution which is a distribution of reception intervals of periodic messages transmitted in the in-vehicle network.
- the fraudulent message is detected based on the acquisition unit, the extraction unit that extracts a part of the target distribution acquired by the acquisition unit according to a predetermined criterion, and the part of the target distribution extracted by the extraction unit. It is provided with a detection unit that performs detection processing.
- a part of the target distribution is extracted according to a predetermined standard, and an invalid message is detected based on the part of the extracted target distribution.
- the clock frequency in the in-vehicle device of the transmission source etc. It is possible to extract a portion reflecting the characteristics of the above and identify whether or not the in-vehicle device of the transmission source is an illegal in-vehicle device based on the extracted portion. Therefore, it is possible to more accurately detect an unauthorized message in the in-vehicle network.
- the extraction unit extracts a part of the target distribution by using a reference distribution which is a distribution of the reception interval of the periodic message transmitted under a condition satisfying a predetermined condition.
- the predetermined condition is that the utilization rate of the vehicle-mounted network is lower than the utilization rate of the vehicle-mounted network when the target distribution is acquired.
- the detection unit performs the detection process based on the standard deviation of the reception interval of the periodic message in the part of the target distribution.
- the calculation load when calculating the standard deviation of the reception interval of periodic messages in a part of the target distribution is smaller than the calculation load when calculating the number of peaks and kurtosis in a part of the target distribution. Therefore, with the above configuration, the detection process can be performed by a simple arithmetic process on the target distribution.
- the detection unit performs the detection process based on the number of peaks in the part of the target distribution.
- the calculation load when calculating the number of peaks in a part of the target distribution is smaller than the calculation load when calculating the kurtosis in a part of the target distribution. Therefore, with the above configuration, it is possible to perform detection processing that is difficult to avoid by relatively simple arithmetic processing on the target distribution.
- the detection unit performs the detection process based on the kurtosis in the part of the target distribution.
- the detection device further includes a calculation unit that calculates a statistical value of the reception interval of the periodic message based on the target distribution acquired by the acquisition unit, and the detection unit includes the detection unit. The detection process is performed based on the comparison result between the statistical value calculated by the calculation unit and the predetermined value.
- various detection processes can be performed based on the statistical value reflecting the error between the actual transmission cycle and the design transmission cycle.
- the vehicle according to the embodiment of the present disclosure is provided with the detection device.
- the detection method according to the embodiment of the present disclosure is a detection method in a detection device for detecting an unauthorized message in an in-vehicle network, and is a target distribution which is a distribution of reception intervals of periodic messages transmitted in the in-vehicle network.
- a part of the target distribution is extracted according to a predetermined standard, and an unauthorized message is detected based on the part of the extracted target distribution.
- the clock frequency in the in-vehicle device of the transmission source etc. It is possible to extract a portion reflecting the characteristics of the above and identify whether or not the in-vehicle device of the transmission source is an illegal in-vehicle device based on the extracted portion. Therefore, it is possible to more accurately detect an unauthorized message in the in-vehicle network.
- the detection program according to the embodiment of the present disclosure is a detection program used in a detection device for detecting an unauthorized message in an in-vehicle network, and is a detection program used in a detection device for detecting an unauthorized message in an in-vehicle network.
- a part of the target distribution is extracted according to a predetermined standard, and an invalid message is detected based on the part of the extracted target distribution.
- the clock frequency in the in-vehicle device of the transmission source etc. It is possible to extract a portion reflecting the characteristics of the above and identify whether or not the in-vehicle device of the transmission source is an illegal in-vehicle device based on the extracted portion. Therefore, it is possible to more accurately detect an unauthorized message in the in-vehicle network.
- FIG. 1 is a diagram showing a configuration of an in-vehicle communication system according to an embodiment of the present disclosure.
- the vehicle-mounted communication system 301 includes a gateway device 101, a plurality of vehicle-mounted communication devices 111, and a plurality of bus connection device groups 121.
- the in-vehicle communication system 301 is mounted on the vehicle 1.
- FIG. 2 is a diagram showing a configuration of a bus connection device group according to the embodiment of the present disclosure.
- the bus connection device group 121 includes control devices 122A, 122B, 122C.
- each of the control devices 122A, 122B, and 122C is also referred to as a control device 122.
- the bus connection device group 121 is not limited to the configuration including the three control devices 122, and may be configured to include one, two, or four or more control devices 122.
- the vehicle-mounted network 12 includes a gateway device 101, a plurality of vehicle-mounted communication devices 111, and a plurality of control devices 122, which are examples of vehicle-mounted devices.
- the in-vehicle network 12 may have a configuration that includes a plurality of in-vehicle communication devices 111 and does not include the control device 122, or may have a configuration that does not include the in-vehicle communication device 111 and includes a plurality of control devices 122.
- the configuration may include one in-vehicle communication device 111 and one control device 122.
- the vehicle-mounted communication device 111 communicates with, for example, a device outside the vehicle 1.
- the in-vehicle communication device 111 is, for example, a TCU (Telematics Communication Unit) 111A, a short-range wireless terminal device 111B, and an ITS (Intelligent Transport Systems) radio 111C.
- TCU Transmission Control Unit
- ITS Intelligent Transport Systems
- the TCU111A can perform wireless communication with the wireless base station device and can communicate with the gateway device 101 according to a communication standard such as LTE (Long Term Evolution) or 3G.
- the TCU111A relays information used for services such as navigation, vehicle theft prevention, remote maintenance, and FOTA (Firmware Over The Air).
- the short-range wireless terminal device 111B is, for example, a wireless terminal device such as a smart phone held by a person in vehicle 1, that is, a passenger, in accordance with communication standards such as Wi-Fi (registered trademark) and Bluetooth (registered trademark). It is possible to perform wireless communication with the gateway device 101, and it is possible to perform communication with the gateway device 101.
- the short-range wireless terminal device 111B relays information used for services such as entertainment, for example.
- the short-range wireless terminal device 111B includes, for example, a wireless terminal device such as a smart key held by a passenger, and a wireless terminal device provided on a tire in accordance with a predetermined communication standard, and an LF (Low Frequency) band or UHF (Low Frequency) band or UHF ( It is possible to perform wireless communication using radio waves in the Ultra High Frequency band, and to communicate with the gateway device 101.
- the short-range wireless terminal device 111B relays information used for services such as smart entry and TPMS (Tire Pressure Monitoring System).
- the ITS radio 111C can perform road-to-vehicle communication with roadside units such as optical beacons, radio wave beacons, and ITS spots provided near the road, and is mounted on other vehicles. It is possible to perform inter-vehicle communication and to communicate with the gateway device 101.
- the ITS radio 111C relays information used for services such as congestion mitigation, safe driving support, and route guidance.
- the gateway device 101 can, for example, transmit and receive data such as firmware updates and data accumulated by the gateway device 101 to and from the maintenance terminal device outside the vehicle 1 via the port 112.
- the gateway device 101 is connected to other vehicle-mounted devices in the vehicle-mounted network 12 via, for example, buses 13 and 14.
- the buses 13 and 14 are, for example, CAN (Control Area Network) (registered trademark), FlexRay (registered trademark), MOST (Media Oriented Systems Transport) (registered trademark), Ethernet (registered trademark), and LIN. It is a bus that complies with standards such as (Local Ethernet Network).
- the vehicle-mounted communication device 111 is connected to the gateway device 101 via a corresponding bus 14 that complies with the Ethernet standard. Further, each control device 122 in the bus connection device group 121 is connected to the gateway device 101 via a corresponding bus 13 according to the CAN standard.
- Bus 13 is provided for each system, for example.
- the bus 13 is, for example, a drive system bus, a chassis / safety system bus, a body / electrical system bus, and an AV / information system bus.
- An engine control device, an AT (Automatic Transmission) control device, and a HEV (Hybrid Electric Vehicle) control device, which are examples of the control device 122, are connected to the drive system bus.
- the engine control device, the AT control device, and the HEV control device control the engine, the AT, and the switching between the engine and the motor, respectively.
- a brake control device, a chassis control device, and a steering control device which are examples of the control device 122, are connected to the chassis / safety system bus.
- the brake control device, chassis control device and steering control device control the brake, chassis and steering, respectively.
- An instrument display control device, an air conditioner control device, an anti-theft control device, an airbag control device, and a smart entry control device which are examples of the control device 122, are connected to the body / electrical system bus.
- the instrument display control device, the air conditioner control device, the anti-theft control device, the airbag control device, and the smart entry control device control the instrument, the air conditioner, the anti-theft mechanism, the airbag mechanism, and the smart entry, respectively.
- the AV / information system bus is connected to a navigation control device, an audio control device, an ETC (Electronic Toll Collection System) (registered trademark) control device, and a telephone control device, which are examples of the control device 122.
- the navigation control device, the audio control device, the ETC control device, and the telephone control device control the navigation device, the audio device, the ETC device, and the mobile phone, respectively.
- bus 13 is not limited to the configuration in which the control device 122 is connected, and a device other than the control device 122 may be connected.
- the gateway device 101 is, for example, a central gateway (CGW), and can communicate with other in-vehicle devices.
- CGW central gateway
- the gateway device 101 is, for example, information exchanged between the control devices 122 connected to different buses 13 in the vehicle 1, information exchanged between the in-vehicle communication devices 111, and exchanged between the control device 122 and the in-vehicle communication device 111. Performs relay processing to relay the information to be received.
- a message is periodically transmitted from one in-vehicle device to another in-vehicle device according to a predetermined agreement.
- a message transmitted periodically from one control device 122 to another control device 122 will be described, but a message transmitted between the control device 122 and the in-vehicle communication device 111, and between each in-vehicle communication device 111. The same applies to the transmitted message.
- the message may be transmitted by broadcasting or by unicast.
- the message transmitted periodically is also referred to as a periodic message.
- the "periodic message” is not limited to a message that is strictly transmitted periodically, but means a type of message that should be transmitted periodically.
- vehicle 1 in addition to the periodic message, there is a message transmitted irregularly from one control device 122 to another control device 122.
- the message includes an ID (Identifier) for identifying the content of the message and the source of the message, and a message number. It is possible to identify whether or not the message is a periodic message by the ID included in the message.
- FIG. 3 is a diagram showing a configuration of a gateway device in the in-vehicle communication system according to the embodiment of the present disclosure.
- the gateway device 101 includes a communication processing unit 51, an acquisition unit 52, an extraction unit 53, a calculation unit 54, a detection unit 55, and a storage unit 56.
- the communication processing unit 51, the acquisition unit 52, the extraction unit 53, the calculation unit 54, and the detection unit 55 are realized by, for example, a processor such as a CPU (Central Processing Unit) and a DSP (Digital Signal Processor).
- the storage unit 56 is, for example, a flash memory.
- the gateway device 101 functions as a detection device and performs detection processing for detecting an unauthorized message in the vehicle-mounted network 12.
- the communication processing unit 51 relays a message transmitted between the control device 122, a message transmitted between the in-vehicle communication device 111, and a message transmitted between the control device 122 and the in-vehicle communication device 111. Do.
- the communication processing unit 51 when the communication processing unit 51 receives a message from a certain control device 122 via the corresponding bus 13, the communication processing unit 51 adds a time stamp indicating the reception time of the message to the received message. Then, the communication processing unit 51 transmits the message with the time stamp to the other control device 122 via the corresponding bus 13.
- the acquisition unit 52 acquires the target distribution, which is the distribution of the reception intervals of the periodic messages transmitted in the vehicle-mounted network 12.
- the acquisition unit 52 acquires the reception time t of the periodic message that is the target of the detection process in the gateway device 101 by monitoring the message relayed by the communication processing unit 51.
- the periodic message that is the target of the detection process in the gateway device 101 is also referred to as a target message.
- the target message may be one type of periodic message transmitted from a certain control device 122, or may be a plurality of types of periodic messages transmitted from each of the plurality of control devices 122.
- the gateway device 101 performs detection processing using the periodic message transmitted from the control device 122A as the “target message M” will be described.
- the storage unit 56 stores an ID for each type of target message.
- the ID of the target message M is also referred to as a target ID.
- the acquisition unit 52 confirms the ID included in the message received by the communication processing unit 51 and the target ID in the storage unit 56.
- the acquisition unit 52 recognizes that the message received by the communication processing unit 51 is the target message M, and the acquisition unit 52 recognizes that the target message M.
- the reception time t of the target message M is acquired.
- the acquisition unit 52 calculates the difference between the reception time t and the reception time t of the immediately preceding target message M as the reception interval x of the target message M.
- the acquisition unit 52 receives the nth target message Mn received by the communication processing unit 51 at the reception time nt, and the (n-1) th target message M (n-1) received by the communication processing unit 51.
- the difference from the reception time t (n-1) of -1) is calculated, and the calculated difference is stored in the storage unit 56 as the reception interval xn of the target message Mn.
- n is a positive integer.
- the acquisition unit 52 receives the frequency distribution D of the reception interval x of the target message M received by the communication processing unit 51 within the target period Ta, which is a predetermined period, based on the plurality of reception intervals x in the storage unit 56. Is generated, and the generated frequency distribution D is stored in the storage unit 56.
- the frequency distribution D is an example of a target distribution.
- the target message M received by the communication processing unit 51 within the target period Ta is also referred to as a target message M in the target period Ta.
- the frequency distribution D of the reception interval x of the target message M received by the communication processing unit 51 within the target period Ta is also referred to as the frequency distribution D in the target period Ta.
- the acquisition unit 52 newly generates the frequency distribution D in the target period Ta starting from the time (T1 ⁇ m) at the generation timing according to the period T1, and newly generates the frequency distribution D in the storage unit 56.
- Update to D m is a positive integer.
- each target period Ta may be continuous in time. Further, since the cycle T1 is shorter than the target period Ta, each target period Ta may partially overlap in time. Further, since the cycle T1 is longer than the target period Ta, each target period Ta may be provided intermittently.
- the extraction unit 53 extracts a part of the target distribution acquired by the acquisition unit 52 according to a predetermined standard.
- the extraction unit 53 uses a mixed Gaussian model to generate a probability density function that approximates the frequency distribution D in the storage unit 56. Then, the extraction unit 53 extracts a part of the generated probability density function according to a predetermined standard.
- the extraction unit 53 approximates the frequency distribution D in the storage unit 56 by the probability density function P in which the variable is x, which is shown in the following equation (1).
- K, ck, xx bar and ⁇ k ⁇ 2 are parameters, which are the mixed number of the normal distribution, the mixed ratio of the k-th normal distribution function p, the average value of the k-th normal distribution, and the k-th normal, respectively.
- the variance of the distribution is an integer from 1 to K.
- a ⁇ b means a to the b-th power.
- the k-th normal distribution function p in the equation (1) is represented by the following equation (2).
- Non-Patent Document 1 O. Cappe, one outside person, “Online exposure maximization algorithm for latent data models", Journalal c1 to cK in the probability density functions P using the Stepwise-EM method described in od the Royal Statistical Society: Series B (Statistical Statistics), Vol.71, P.593-613, 2009. And ⁇ 1 ⁇ 2 to ⁇ K ⁇ 2 are updated.
- the extraction unit 53 calculates the attenuation coefficient ⁇ t using the following equation (3) in the E step.
- the extraction unit 53 calculates the i-th burden rate ⁇ i (s) using the following formula (4).
- the extraction unit 53 calculates the sufficient statistic Si (s) and the updated sufficient statistic S (s) using the following equations (5) and (6).
- s (s-1) is a sufficient statistic in the previous E step.
- the extraction unit 53 uses the following equations (7), (8) and (9) to form the i-th mixture ratio ci (s), the i-th average value xi bar (s) and the i-th.
- the variance ⁇ i ⁇ 2 (s) is calculated.
- the extraction unit 53 increments the number of calculations w using the following equation (10).
- the extraction unit 53 generates a probability density function P that approximates the frequency distribution D in the target period Ta by the above-mentioned arithmetic processing.
- the probability density function P that approximates the frequency distribution D is also referred to as a probability density function P based on the frequency distribution D.
- FIG. 4 is a diagram showing an example of a probability density function and a cumulative distribution function generated from an extraction unit in the gateway device according to the embodiment of the present disclosure.
- the solid line shows the probability density function P
- the alternate long and short dash line shows the cumulative distribution function A.
- the horizontal axis indicates the reception interval x [seconds]
- the vertical axis for the probability density function P indicates the probability density
- the vertical axis for the cumulative distribution function A indicates the probability.
- the extraction unit 53 generates a cumulative distribution function A by definitely integrating the generated probability density function P.
- the extraction unit 53 extracts the distribution in the range of the value of the reception interval x when the value of the probability in the generated cumulative distribution function A is within the predetermined range from the frequency distribution D.
- the extraction unit 53 determines the range of the value of the reception interval x when the value of the probability represented by the generated cumulative distribution function A is within a predetermined range as the extraction interval, and sets the determined extraction interval. Based on this, a part of the probability density function P is extracted.
- the storage unit 56 stores a predetermined value ya which is a lower limit value and a predetermined value yb which is an upper limit value in a predetermined range of the probability represented by the cumulative distribution function A.
- the probability represented by the cumulative distribution function A becomes the predetermined value ya based on the generated cumulative distribution function A and the predetermined values ya and yb in the storage unit 56.
- the reception interval xa and the reception interval xb when the probability represented by the cumulative distribution function A becomes a predetermined value yb are specified.
- the extraction unit 53 determines a range in which the reception interval x is greater than or equal to xa and less than or equal to xb as the extraction interval [xa, xb], and extracts the probability density function P in the extraction interval [xa, xb].
- the extraction unit 53 includes K, c1 to cK, x1 bar to xK bar and ⁇ 1 ⁇ 2 to ⁇ K ⁇ 2 in the probability density function P based on the frequency distribution D in the target period Ta, and the determined extraction interval [xa, xb]. ] Is output to the detection unit 55.
- the extraction unit 53 extracts a part of the frequency distribution D by using the reference distribution which is the distribution of the reception interval x of the periodic message transmitted under the condition that the predetermined condition is satisfied.
- the above-mentioned predetermined condition is that the utilization rate of the in-vehicle network 12 is lower than the utilization rate of the in-vehicle network 12 when the frequency distribution D of the reception interval x of the target message M is acquired.
- the utilization rate of the vehicle-mounted network 12 in the vehicle 1 in use is generally about 40%, the vehicle-mounted network 12 when the frequency distribution D of the reception interval x of the target message M is acquired. Similarly, the utilization rate is about 40%.
- the extraction unit 53 extracts a part of the probability density function P by using the frequency distribution of the periodic message transmitted under the situation where the utilization rate of the in-vehicle network 12 is 0%.
- the predetermined values ya and yb in the storage unit 56 are the frequencies of the reception intervals x of the periodic messages transmitted from the control device 122A in the gateway device 101 under the condition that the utilization rate of the vehicle-mounted network 12 is 0%.
- the frequency distribution D (UR0) is an example of a reference distribution.
- the extraction unit 53 determines the extraction interval [xa, xb] of the probability density function P by using the predetermined values ya and yb determined in advance using the frequency distribution D (UR0).
- FIG. 5 is a diagram showing an example of a probability density function and a cumulative distribution function generated by an extraction unit in the gateway device according to the embodiment of the present disclosure.
- the solid line shows the probability density function P
- the alternate long and short dash line shows the cumulative distribution function A.
- the horizontal axis indicates the reception interval x [seconds]
- the vertical axis for the probability density function P indicates the probability density
- the vertical axis for the cumulative distribution function A indicates the probability.
- the acquisition unit 52 uses the control device 122A, for example, in a situation where the utilization rate of the in-vehicle network 12 is set to 0% by a worker in a production factory of the vehicle 1 before the vehicle 1 is shipped. Generates a frequency distribution D (UR0) of the reception interval x of the periodic message transmitted from.
- UR0 frequency distribution D
- the acquisition unit 52 receives the frequency of the periodic message transmitted from the control device 122A under the situation where the utilization rate of the in-vehicle network 12 is set to 40% by the worker in the production factory of the vehicle 1.
- Generate distribution D UR40
- the extraction unit 53 generates a probability density function P (UR0) and a cumulative distribution function A (UR0) that approximate the frequency distribution D (UR0) generated by the acquisition unit 52. Further, the extraction unit 53 generates a probability density function P (UR40) and a cumulative distribution function A (UR40) that approximate the frequency distribution D (UR40) generated by the acquisition unit 52.
- the extraction unit 53 receives the reception interval xp when the probability represented by the cumulative distribution function A (UR0) is zero, and when the probability represented by the cumulative distribution function A (UR0) reaches 1. Specify the reception interval xq.
- the extraction unit 53 specifies the probability yp corresponding to the reception interval xp and the probability yq corresponding to the reception interval xq in the cumulative distribution function A (UR40), and sets the probability yp and the probability yq to the predetermined values ya and the predetermined values ya. Each is stored in the storage unit 56 as a value yb.
- the extraction unit 53 generates the probability density function P each time the frequency distribution D in the target period Ta is generated by the acquisition unit 52, and accumulates the generated probability density function P by definite integral. Generate a distribution function A. Then, the extraction unit 53 determines the extraction interval [xa, xb] based on the generated cumulative distribution function A and the predetermined values ya and yb determined as described above, and determines the extraction interval [xa, xb]. The probability density function P in is extracted.
- the calculation unit 54 calculates a statistical value of the reception interval of the periodic message based on the frequency distribution D acquired by the acquisition unit 52.
- the calculation unit 54 calculates the average value Av of the plurality of reception intervals x constituting the updated frequency distribution D. Then, the calculation unit 54 outputs the calculated average value Av to the detection unit 55.
- the detection unit 55 performs detection processing for detecting an unauthorized message based on a part of the target distribution extracted by the extraction unit 53.
- the detection unit 55 when the detection unit 55 receives the extraction information from the extraction unit 53, the detection unit 55 performs the detection process based on the received extraction information.
- the detection unit 55 performs detection processing based on the standard deviation of the reception interval x of the periodic message in a part of the target distribution.
- the detection unit 55 when the detection unit 55 receives the extraction information from the extraction unit 53, the detection unit 55 refers to the storage unit 56 and from the extraction unit 53 among the plurality of reception intervals x constituting the frequency distribution D in the target period Ta.
- the reception interval x within the range of the extraction interval [xa, xb] indicated by the received extraction information is extracted, and the standard deviation Sd of the extracted reception interval x is calculated.
- the storage unit 56 stores the threshold values ThA and ThB regarding the standard deviation Sd.
- the threshold value ThA is smaller than the threshold value ThB.
- the detection unit 55 calculates the standard deviation Sd
- the detected standard deviation Sd is compared with the threshold values ThA and ThB in the storage unit 56, and an invalid message is detected based on the comparison result. For example, when the standard deviation Sd is smaller than the threshold value ThA or larger than the threshold value ThB, the detection unit 55 determines that a part or all of the target message M in the target period Ta is an invalid message.
- the detection unit 55 includes a shoe heart control chart, an Xbar-R control chart, a CUSUM (Cumulative Sum) control chart, an EWMA (Exponentially Weighted Moving Average) control chart, a MEWMA (Multivariate Moving Average) control chart, and a MEWMA (Multivariate Moving Average) control chart.
- the detection process is performed using a control chart such as a control chart such as a Multivariate Exponentially Weighted Moving Covariance Control chart.
- FIG. 6 is a diagram showing a time change of the standard deviation calculated by the detection unit in the gateway device according to the embodiment of the present disclosure.
- the horizontal axis represents the time [seconds] and the vertical axis represents the standard deviation Sd.
- the detection unit 55 monitors the time change of the standard deviation Sd calculated for each target period Ta, and when the standard deviation Sd exceeds the upper limit control limit line UCL, the standard deviation Sd manages the lower limit. If the standard deviation Sd exceeds the center line CL for a certain period of time below the limit line LCL, or if the standard deviation Sd falls below the center line CL for a certain period of time, the target message M in the target period Ta. Judge that some or all of the messages are malicious.
- the lower limit control limit line LCL is the threshold value ThA in the storage unit 56
- the upper limit control limit line UCL is the threshold value ThB in the storage unit 56.
- the detection unit 55 performs detection processing based on the number of peaks in a part of the target distribution.
- the detection unit 55 sets the extraction information in the probability density function P indicated by K, c1 to cK, x1 bar to xK bar and ⁇ 1 ⁇ 2 to ⁇ K ⁇ 2 included in the extraction information received from the extraction unit 53.
- the number Ps of peaks existing in the extraction interval [xa, xb] indicated by is calculated.
- the storage unit 56 stores the threshold value ThC regarding the number of peaks Ps.
- the detection unit 55 calculates the number of peaks Ps, it compares the calculated number of peaks Ps with the threshold value ThC in the storage unit 56, and detects an invalid message based on the comparison result. For example, when the number Ps of peaks is larger than the threshold value ThC, the detection unit 55 determines that a part or all of the target message M in the target period Ta is an invalid message.
- the detection unit 55 performs detection processing based on the kurtosis in a part of the target distribution.
- the detection unit 55 sets the extraction information in the probability density function P indicated by K, c1 to cK, x1 bar to xK bar and ⁇ 1 ⁇ 2 to ⁇ K ⁇ 2 included in the extraction information received from the extraction unit 53.
- the kurtosis Ks of the peak existing in the extraction interval [xa, xb] indicated by is calculated.
- the storage unit 56 stores the threshold value ThD regarding the kurtosis Ks.
- the detection unit 55 calculates the peak kurtosis Ks, it compares the calculated kurtosis Ks with the threshold value ThD in the storage unit 56, and detects an unauthorized message based on the comparison result. For example, when the kurtosis Ks is smaller than the threshold value ThD, the detection unit 55 determines that a part or all of the target message M in the target period Ta is an invalid message.
- the detection unit 55 performs the detection process based on the comparison result between the statistical value such as the average value Av calculated by the calculation unit 54 and the predetermined value.
- the storage unit 56 stores the threshold values ThE and ThF regarding the average value Av of the reception interval x. It is assumed that the threshold value ThE is smaller than the threshold value ThF.
- the detection unit 55 When the detection unit 55 receives the average value Av from the calculation unit 54, the detection unit 55 compares the received average value Av with the threshold values ThE and ThF in the storage unit 56, and detects an unauthorized message based on the comparison result. For example, when the average value Av is smaller than the threshold value ThE or larger than the threshold value ThF, the detection unit 55 determines that a part or all of the target message M in the target period Ta is an invalid message.
- the detection unit 55 may be configured to perform the detection process using the control chart in the detection processes Examples 2 to 4 as in the case of the detection process Example 1.
- the detection unit 55 uses a part or all of the standard deviation Sd of the reception interval x, the number Ps of the peaks, the kurtosis Ks of the peaks, and the average value Av of the reception interval x, and the degree of abnormality of the target message M.
- the score indicating the above may be calculated, and the detection process may be performed based on the time change of the calculated score using the control chart.
- the detection unit 55 determines that a part or all of the target message M in the target period Ta is an invalid message, the detection unit 55 performs the following processing.
- the detection unit 55 records the information of the target message M transmitted within the target period Ta. Further, the detection unit 55 transmits alarm information indicating that an unauthorized message is being transmitted in the vehicle-mounted network 12 to a higher-level device inside or outside the vehicle 1 via the communication processing unit 51.
- the host device is, for example, a device such as a server that performs a predetermined process using alarm information.
- Each device in the in-vehicle communication system includes a computer including a memory, and an arithmetic processing unit such as a CPU in the computer is a program including a part or all of each step of the following flowchart and sequence. Is read from the memory and executed. The programs of these plurality of devices can be installed from the outside. The programs of these plurality of devices are distributed in a state of being stored in a recording medium.
- FIG. 7 is a flowchart defining an example of an operation procedure when the gateway device in the in-vehicle communication system according to the embodiment of the present disclosure performs detection processing.
- the gateway device 101 monitors the message transmitted in the vehicle-mounted network 12, and when the target message M is received, the gateway device 101 receives the target message M based on the reception time t of the received target message M.
- the interval x is calculated, and the calculated reception interval x is stored in the storage unit 56 (step S102).
- the gateway device 101 repeatedly accumulates the reception interval x until the target period Ta elapses (NO in step S104), and when the target period Ta elapses (YES in step S104), each reception accumulated in the storage unit 56. Based on the interval x, the frequency distribution D of the reception interval x of the target message M in the target period Ta is generated (step S106).
- the gateway device 101 calculates the average value Av of each reception interval x constituting the generated frequency distribution D (step S108).
- the gateway device 101 generates a probability density function P that approximates the generated frequency distribution D, and also generates a cumulative distribution function A by definitely integrating the generated probability density function P (step S110).
- the gateway device 101 has a reception interval xa when the probability represented by the cumulative distribution function A is a predetermined value ya, and a reception interval xb when the probability represented by the cumulative distribution function A is a predetermined value yb.
- the extraction interval [xa, xb] is determined based on (step S112).
- the gateway device 101 extracts a part of the frequency distribution D. More specifically, the gateway device 101 extracts the probability density function P in the extraction interval [xa, xb] (step S114).
- the gateway device 101 sets the extracted information including K, c1 to cK, x1 bar to xK bar and ⁇ 1 ⁇ 2 to ⁇ K ⁇ 2 in the extracted probability density function P, and the determined extraction interval [xa, xb]. Based on this, the standard deviation Sd, the number of peaks Ps, and the peak kurtosis Ks are calculated (step S116).
- the gateway device 101 performs detection processing based on the average value Av, the standard deviation Sd, the number of peaks Ps, and the peak kurtosis Ks (step S118).
- the gateway device 101 determines as a result of the detection process that the target message M in the target period Ta is not an invalid message (NO in step S120)
- the gateway device 101 receives a new target message M and stores the reception interval x. Accumulate in unit 56 (step S102).
- the gateway device 101 determines that the invalid message is transmitted.
- the indicated alarm information is transmitted to a higher-level device inside or outside the vehicle 1 (step S122).
- the gateway device 101 receives the new target message M and stores the reception interval x in the storage unit 56 (step S102).
- the gateway device 101 may be configured to perform the processing of step S102 and the processing of steps S106 to S122 in parallel.
- FIG. 8 is a flowchart defining an example of an operation procedure when the gateway device in the in-vehicle communication system according to the embodiment of the present disclosure determines the reference of the extraction section of the probability density function.
- the gateway device 101 is controlled in a situation where the utilization rate of the in-vehicle network 12 is set to 0% by a worker in a production factory of the vehicle 1, for example, before the vehicle 1 is shipped.
- a frequency distribution D (UR0) of the reception interval x of the periodic message transmitted from the device 122A is generated (step S202).
- the gateway device 101 has a frequency of the reception interval x of the periodic message transmitted from the control device 122A under the condition that the utilization rate of the in-vehicle network 12 is set to 40% by the worker in the production factory of the vehicle 1.
- the distribution D (UR40) is generated (step S204).
- the gateway device 101 approximates the frequency distribution D (UR0) with the probability density function P (UR0) and the cumulative distribution function A (UR0), and the frequency distribution D (UR40) with the probability density function P (UR40). And the cumulative distribution function A (UR40) is generated (step S206).
- the gateway device 101 reaches the reception interval xp when the probability represented by the cumulative distribution function A (UR0) is zero, and the probability represented by the cumulative distribution function A (UR0) reaches 1.
- the reception interval xq is specified (step S208).
- the gateway device 101 specifies the probability yp corresponding to the reception interval xp and the probability yq corresponding to the reception interval xq in the cumulative distribution function A (UR40), and sets the probability yp and the probability yq to predetermined values ya and yq, respectively. It is stored in the storage unit 56 as a predetermined value yb (step S210).
- the gateway device 101 is configured to detect an unauthorized message in the vehicle-mounted network 12, but the present invention is not limited to this.
- a device other than the gateway device 101 may be configured to detect an unauthorized message in the in-vehicle network 12 as a detection device.
- the gateway device 101 functioning as a detection device is directly connected to the bus 13, but the present invention is not limited to this.
- FIG. 9 is a diagram showing an example of the connection topology of the in-vehicle network according to the embodiment of the present invention.
- the detection device 151 may be connected to the bus 13 via an in-vehicle device such as a control device 122. In this case, the detection device 151 detects an unauthorized message transmitted to the bus 13, for example, by monitoring the message transmitted and received by the in-vehicle device.
- the acquisition unit 52 of the detection device 151 acquires the reception time t of the target message received by the control device 122. Then, the acquisition unit 52 calculates the reception interval x based on the acquired reception time t, and generates the frequency distribution D of the reception interval x.
- the acquisition unit 52 acquires the reception time t of the target message M by monitoring the message relayed by the communication processing unit 51, and the acquired reception time t.
- the configuration is such that the difference from the reception time t of the immediately preceding target message M is calculated as the reception interval x of the target message M, but the present invention is not limited to this.
- the acquisition unit 52 may be configured to receive the reception interval x from an external device of the gateway device 101 via the communication processing unit 51.
- the detection unit 55 is configured to perform detection processing based on the standard deviation Sd, the number of peaks Ps, the peak kurtosis Ks, and the average value Av. However, it is not limited to this. The detection unit 55 may perform detection processing based on any one, two, or three of the standard deviation Sd, the number of peaks Ps, the peak kurtosis Ks, and the average value Av. Good.
- the detection unit 55 is configured to calculate the standard deviation Sd, the number of peaks Ps, and the peak kurtosis Ks based on the extracted information. It is not limited to this.
- the detection unit 55 transmits the extracted information to an external device such as a server outside the vehicle 1, and obtains the standard deviation Sd, the number of peaks Ps, and the peak kurtosis Ks calculated based on the transmitted extracted information. It may be configured to receive from an external device.
- the calculation unit 54 is configured to calculate the average value Av of the reception interval x as the statistical value of the reception interval x, but the present invention is limited to this. is not it.
- the calculation unit 54 may be configured to calculate statistical values other than the average value Av, such as the median value of each reception interval x.
- the gateway device 101 is configured to include a calculation unit 54, but the present invention is not limited to this.
- the gateway device 101 may be configured not to include the calculation unit 54.
- the detection unit 55 performs the detection process based on at least one of the standard deviation Sd, the number of peaks Ps, and the peak kurtosis Ks.
- the calculation unit 54 may be provided in an external device such as a server outside the vehicle 1, for example.
- the detection unit 55 may be configured to receive the average value Av calculated from the frequency distribution D from the external device.
- the extraction unit 53 uses the frequency distribution D (UR0), which is an example of the reference distribution, to determine the extraction section based on the predetermined values ya and yb. [Xa, xb] is determined, and the probability density function P in the determined extraction interval [xa, xb] is extracted, but the present invention is not limited to this.
- the extraction unit 53 may be configured to determine the extraction interval [xa, xb] without using the reference distribution and extract the probability density function P in the determined extraction interval [xa, xb].
- the extraction unit 53 is determined in advance using the frequency distribution D (UR0) of the reception interval x under the situation where the utilization rate of the vehicle-mounted network 12 is 0%.
- the extraction unit 53 uses a predetermined value predetermined using the frequency distribution D (UR10) of the reception interval x under the situation where the utilization rate of the vehicle-mounted network 12 is, for example, 10%, and uses a part of the probability density function P. It may be a configuration to be extracted.
- the inventors of the present application evaluated a detection method using the standard deviation of the reception interval of the periodic message as the fingerprint information by the following procedure.
- the inventors of the present application generated a simulated in-vehicle network by connecting an in-vehicle device having an oscillator A having a clock frequency of 8 MHz and a frequency deviation of plus or minus 30 ppm, and a logger to a CAN bus. ..
- the inventors of the present application set the period of the periodic message transmitted from the in-vehicle device to 100 milliseconds, and monitored the transmission interval of the periodic message in the in-vehicle device using an oscilloscope. Further, the inventors of the present application set the simulated in-vehicle network to the network utilization rate, that is, the traffic in each situation of 0%, 40%, and 80%, and under each situation, in the logger of the periodic message from the in-vehicle device. The reception interval was monitored.
- the inventors of the present application mount the vibrator B having a clock frequency of 8 MHz and a frequency deviation of plus or minus 20 ppm in the in-vehicle device, and similarly, each of the traffic. Under the circumstances, the transmission interval of the periodic message in the in-vehicle device and the reception interval in the logger were monitored.
- the inventors of the present application mount an oscillator C having a clock frequency of 8 MHz and a frequency deviation of plus or minus 30 ppm in an in-vehicle device instead of the oscillator A, and similarly, each situation regarding traffic.
- the transmission interval of the periodic message in the in-vehicle device and the reception interval in the logger were monitored.
- FIG. 10 to 12 are diagrams showing the verification results of the inventors of the present application.
- FIG. 10 shows the standard deviation of the transmission interval of the periodic message in the in-vehicle device for each oscillator mounted in the in-vehicle device.
- FIG. 11 shows the standard deviation of the periodic message reception interval in the logger when the traffic is 40% for each oscillator mounted on the vehicle-mounted device.
- FIG. 12 shows the standard deviation of the periodic message reception interval in the logger when the traffic is 80% for each oscillator mounted on the vehicle-mounted device.
- the acquisition unit 52 acquires the target distribution, which is the distribution of the reception intervals of the periodic messages transmitted in the vehicle-mounted network 12.
- the extraction unit 53 extracts a part of the target distribution acquired by the acquisition unit 52 according to a predetermined standard.
- the detection unit 55 performs detection processing for detecting an unauthorized message based on a part of the target distribution extracted by the extraction unit 53.
- the detection method according to the embodiment of the present disclosure is the detection method in the gateway device 101 that detects an unauthorized message in the vehicle-mounted network 12.
- the gateway device 101 first acquires a target distribution, which is a distribution of reception intervals of periodic messages transmitted in the vehicle-mounted network 12.
- the gateway device 101 extracts a part of the acquired target distribution according to a predetermined standard.
- the gateway device 101 performs a detection process for detecting an unauthorized message based on a part of the extracted target distribution.
- a part of the target distribution is extracted according to a predetermined criterion, and a rogue message is detected based on the part of the extracted target distribution.
- a portion reflecting characteristics such as frequency can be extracted, and based on the extracted portion, it can be identified whether or not the in-vehicle device of the transmission source is an illegal in-vehicle device.
- the gateway device and the detection method according to the embodiment of the present disclosure can more accurately detect an unauthorized message in the vehicle-mounted network.
- a detection device that detects malicious messages in an in-vehicle network.
- An acquisition unit that acquires a target distribution, which is a distribution of reception intervals of periodic messages transmitted in the in-vehicle network.
- An extraction unit that extracts a part of the target distribution acquired by the acquisition unit according to a predetermined standard, and an extraction unit.
- a detection unit that performs detection processing for detecting the malicious message based on a part of the target distribution extracted by the extraction unit is provided.
- the extraction unit generates a probability density function that approximates the target distribution and a cumulative distribution function based on the probability density function.
- the extraction unit is a detection device that extracts a distribution in the range of the value of the reception interval when the value of the probability in the generated cumulative distribution function is within a predetermined range from the target distribution.
- a detection device equipped with a processor that detects malicious messages in an in-vehicle network mounted on a vehicle.
- the processor An acquisition unit that acquires a target distribution, which is a distribution of reception intervals of periodic messages transmitted in the in-vehicle network.
- An extraction unit that extracts a part of the target distribution acquired by the acquisition unit according to a predetermined standard, and an extraction unit.
- a detection device that realizes a detection unit that performs detection processing for detecting the malicious message based on a part of the target distribution extracted by the extraction unit.
- Gateway device 111 In-vehicle communication device 111A TCU (In-vehicle communication device) 111B Short-range wireless terminal device (vehicle-mounted communication device) 111C ITS radio (vehicle-mounted communication device) 112 Port 121 Bus connection device group 122, 122A, 122B, 122C Control device 151 Detection device 301 In-vehicle communication system
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Mechanical Engineering (AREA)
- Small-Scale Networks (AREA)
Abstract
検知装置は、前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備える。
Description
本開示は、検知装置、車両、検知方法および検知プログラムに関する。
この出願は、2019年12月5日に出願された日本出願特願2019-219993号を基礎とする優先権を主張し、その開示のすべてをここに取り込む。
この出願は、2019年12月5日に出願された日本出願特願2019-219993号を基礎とする優先権を主張し、その開示のすべてをここに取り込む。
特許文献1(特開2014-146868号公報)には、以下のようなネットワーク装置が開示されている。すなわち、ネットワーク装置は、データを受信する通信部と、データを受信した受信時間を管理する時間管理部と、受信したデータを処理する制御部とを有し、周期的にデータを受信して処理するネットワーク装置において、前記制御部は、前記通信部で受信したデータが有する識別子毎に前記時間管理部における受信時刻を記録し、基準とするデータと同じ識別子を持つデータを受信した間隔が所定周期より短い第1のデータを受信した場合に、前記基準とするデータを受信した時刻から前記所定周期経過するまでに前記第1のデータと同じ識別子を持つ第2のデータを受信した時には、周期異常検出時処理を行い、前記所定周期経過するまでに前記第1のデータと同じ識別子を持つデータを受信しなかった時には、前記第1のデータについて所定の処理を行う。
また、特許文献2(米国特許出願公開第2017/286675号明細書)には、以下のような検出方法が開示されている。すなわち、検出方法は、車両ネットワーク内の侵入を検出する方法であって、受信側ECU(Electronic Control Unit)において、送信側ECUから車両ネットワーク経由で前記受信側ECUへ定期的に送信される、タイムスタンプ情報を含まない複数のメッセージを受信し、受信側ECUにおいて、複数のメッセージに基づいて前記送信側ECUのクロックスキューを決定し、受信側ECUにおいて、前記送信側ECUのクロックスキューをベースライン値と比較することにより、前記送信側ECUのクロックスキューの突然の変化を検出し、受信側ECUにおいて、前記送信側ECUのクロックスキューの突然の変化の検出に基づいて、前記送信側ECUが危険にさらされていると特定する。
O.Cappe、外1名、"Online expectation maximization algorithm for latent data models"、Journal od the Royal Statistics Society: Series B (Statistical Methodology)、Vol.71、P.593-613、2009
本開示の検知装置は、車載ネットワークにおける不正メッセージを検知する検知装置であって、前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備える。
本開示の検知方法は、車載ネットワークにおける不正メッセージを検知する検知装置における検知方法であって、前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得するステップと、取得した前記対象分布の一部を所定の基準に従って抽出するステップと、抽出した前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行うステップとを含む。
本開示の検知プログラムは、車載ネットワークにおける不正メッセージを検知する検知装置において用いられる検知プログラムであって、コンピュータを、記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部、として機能させるためのプログラムである。
本開示の一態様は、検知装置の一部または全部を実現する半導体集積回路として実現され得たり、検知装置を備えるシステムとして実現され得る。また、本開示の一態様は、検知装置を備えるシステムの一部または全部を実現する半導体集積回路として実現され得たり、検知装置を備えるシステムにおける処理のステップをコンピュータに実行させるためのプログラムとして実現され得る。
従来、車載ネットワークにおけるセキュリティを向上させるための技術が開発されている。
[本開示が解決しようとする課題]
特許文献1および2に記載の技術を超えて、車載ネットワークにおける不正メッセージをより正しく検知することを可能とする技術が望まれる。
特許文献1および2に記載の技術を超えて、車載ネットワークにおける不正メッセージをより正しく検知することを可能とする技術が望まれる。
本開示は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおける不正メッセージをより正しく検知することが可能な検知装置、車両、検知方法および検知プログラムを提供することである。
[本開示の効果]
本開示によれば、車載ネットワークにおける不正メッセージをより正しく検知することが可能である。
本開示によれば、車載ネットワークにおける不正メッセージをより正しく検知することが可能である。
[本開示の実施形態の説明]
最初に、本開示の実施形態の内容を列記して説明する。
最初に、本開示の実施形態の内容を列記して説明する。
(1)本開示の実施の形態に係る検知装置は、車載ネットワークにおける不正メッセージを検知する検知装置であって、前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備える。
このように、対象分布の一部を所定の基準に従って抽出し、抽出した対象分布の一部に基づいて不正メッセージを検知する構成により、たとえば、対象分布から、送信元の車載装置におけるクロック周波数等の特性が反映された部分を抽出し、抽出部分に基づいて、送信元の車載装置が不正な車載装置であるか否かを識別することができる。したがって、車載ネットワークにおける不正メッセージをより正しく検知することができる。
(2)好ましくは、前記抽出部は、所定条件を満たす状況下において送信される前記周期メッセージの受信間隔の分布である参照分布を用いて、前記対象分布の一部を抽出する。
このような構成により、条件を指定した参照分布を用いて、対象分布から、たとえば送信元の車載装置におけるクロック周波数等の特性がより強く反映された部分を抽出することができるため、不正メッセージをより正しく検知することができる。
(3)より好ましくは、前記所定条件は、前記車載ネットワークの利用率が、前記対象分布が取得されるときの前記車載ネットワークの利用率よりも低いことである。
このような構成により、車載ネットワークの利用率に応じた周期メッセージの送信遅延等の影響が低減された参照分布を用いて、対象分布から、車載ネットワークの利用率に応じた影響が比較的小さい部分を抽出することができるため、不正メッセージをより正しく検知することができる。
(4)好ましくは、前記検知部は、前記対象分布の前記一部における前記周期メッセージの受信間隔の標準偏差に基づいて、前記検知処理を行う。
対象分布の一部における周期メッセージの受信間隔の標準偏差を算出する際の計算負荷は、対象分布の一部におけるピークの数および尖度を算出する際の計算負荷と比べて小さい。したがって、上記のような構成により、対象分布に対する簡易な演算処理で検知処理を行うことができる。
(5)好ましくは、前記検知部は、前記対象分布の前記一部におけるピークの数に基づいて、前記検知処理を行う。
対象分布の一部におけるピークの数を算出する際の計算負荷は、対象分布の一部における尖度を算出する際の計算負荷と比べて小さい。したがって、上記のような構成により、対象分布に対する比較的簡易な演算処理で、回避され難い検知処理を行うことができる。
(6)好ましくは、前記検知部は、前記対象分布の前記一部における尖度に基づいて、前記検知処理を行う。
このような構成により、回避され難い検知処理を行うことができる。
(7)好ましくは、前記検知装置は、さらに、前記取得部によって取得された前記対象分布に基づいて、前記周期メッセージの受信間隔の統計値を算出する算出部を備え、前記検知部は、前記算出部によって算出された前記統計値と、所定値との比較結果に基づいて、前記検知処理を行う。
このような構成により、たとえば、送信元の車載装置における、実際の送信周期と設計上の送信周期との誤差が反映された統計値に基づいて、多様な検知処理を行うことができる。
(8)本開示の実施の形態に係る車両は、前記検知装置を備える。
このような構成により、検知装置を備える車両において、車載ネットワークにおける不正メッセージをより正しく検知することができる。
(9)本開示の実施の形態に係る検知方法は、車載ネットワークにおける不正メッセージを検知する検知装置における検知方法であって、前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得するステップと、取得した前記対象分布の一部を所定の基準に従って抽出するステップと、抽出した前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行うステップとを含む。
このように、対象分布の一部を所定の基準に従って抽出し、抽出した対象分布の一部に基づいて不正メッセージを検知する方法により、たとえば、対象分布から、送信元の車載装置におけるクロック周波数等の特性が反映された部分を抽出し、抽出部分に基づいて、送信元の車載装置が不正な車載装置であるか否かを識別することができる。したがって、車載ネットワークにおける不正メッセージをより正しく検知することができる。
(10)本開示の実施の形態に係る検知プログラムは、車載ネットワークにおける不正メッセージを検知する検知装置において用いられる検知プログラムであって、コンピュータを、記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部、として機能させるためのプログラムである。
このように、対象分布の一部を所定の基準に従って抽出し、抽出した対象分布の一部に基づいて不正メッセージを検知する構成により、たとえば、対象分布から、送信元の車載装置におけるクロック周波数等の特性が反映された部分を抽出し、抽出部分に基づいて、送信元の車載装置が不正な車載装置であるか否かを識別することができる。したがって、車載ネットワークにおける不正メッセージをより正しく検知することができる。
以下、本開示の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。
[構成および基本動作]
図1は、本開示の実施の形態に係る車載通信システムの構成を示す図である。
図1は、本開示の実施の形態に係る車載通信システムの構成を示す図である。
図1を参照して、車載通信システム301は、ゲートウェイ装置101と、複数の車載通信機111と、複数のバス接続装置群121とを備える。車載通信システム301は、車両1に搭載される。
図2は、本開示の実施の形態に係るバス接続装置群の構成を示す図である。
図2を参照して、バス接続装置群121は、制御装置122A,122B,122Cを含む。以下、制御装置122A,122B,122Cの各々を制御装置122とも称する。なお、バス接続装置群121は、3つの制御装置122を備える構成に限らず、1つ、2つまたは4つ以上の制御装置122を含む構成であってもよい。
車載ネットワーク12は、車載装置の一例である、ゲートウェイ装置101、複数の車載通信機111および複数の制御装置122を含む。なお、車載ネットワーク12は、複数の車載通信機111を含みかつ制御装置122を含まない構成であってもよいし、車載通信機111を含まずかつ複数の制御装置122を含む構成であってもよいし、1つの車載通信機111および1つの制御装置122を含む構成であってもよい。
車載ネットワーク12において、車載通信機111は、たとえば、車両1の外部における装置と通信する。具体的には、車載通信機111は、たとえば、TCU(Telematics Communication Unit)111A、近距離無線端末装置111B、およびITS(Intelligent Transport Systems)無線機111Cである。
TCU111Aは、たとえば、LTE(Long Term Evolution)または3G等の通信規格に従って、無線基地局装置と無線通信を行うことが可能であり、かつゲートウェイ装置101と通信を行うことが可能である。TCU111Aは、たとえば、ナビゲーション、車両盗難防止、リモートメンテナンスおよびFOTA(Firmware Over The Air)等のサービスに用いる情報を中継する。
近距離無線端末装置111Bは、たとえば、Wi-Fi(登録商標)およびBluetooth(登録商標)等の通信規格に従って、車両1に乗車している人間すなわち搭乗者の保持するスマートホン等の無線端末装置と無線通信を行うことが可能であり、かつゲートウェイ装置101と通信を行うことが可能である。当該近距離無線端末装置111Bは、たとえば、エンターテイメント等のサービスに用いる情報を中継する。
また、近距離無線端末装置111Bは、たとえば、所定の通信規格に従って、搭乗者の保持するスマートキー等の無線端末装置、およびタイヤに設けられた無線端末装置とLF(Low Frequency)帯またはUHF(Ultra High Frequency)帯の電波を用いて無線通信を行うことが可能であり、かつゲートウェイ装置101と通信を行うことが可能である。当該近距離無線端末装置111Bは、たとえば、スマートエントリおよびTPMS(Tire Pressure Monitoring System)等のサービスに用いる情報を中継する。
ITS無線機111Cは、たとえば、道路の近傍に設けられた光ビーコン、電波ビーコンおよびITSスポット等の路側機と路車間通信を行うことが可能であり、他の車両に搭載された車載端末と車車間通信を行うことが可能であり、かつゲートウェイ装置101と通信を行うことが可能である。ITS無線機111Cは、たとえば、渋滞緩和、安全運転支援およびルートガイダンス等のサービスに用いる情報を中継する。
ゲートウェイ装置101は、たとえば、ファームウェアのアップデート等のデータ、およびゲートウェイ装置101により蓄積されたデータ等を車両1の外部における整備用端末装置とポート112を介して送受信することが可能である。
ゲートウェイ装置101は、たとえばバス13,14を介して車載ネットワーク12における他の車載装置と接続される。具体的には、バス13,14は、たとえば、CAN(Controller Area Network)(登録商標)、FlexRay(登録商標)、MOST(Media Oriented Systems Transport)(登録商標)、イーサネット(登録商標)、およびLIN(Local Interconnect Network)等の規格に従うバスである。
この例では、車載通信機111は、イーサネットの規格に従う対応のバス14を介してゲートウェイ装置101と接続されている。また、バス接続装置群121における各制御装置122は、CANの規格に従う対応のバス13を介してゲートウェイ装置101と接続されている。
バス13は、たとえば系統別に設けられる。具体的には、バス13は、たとえば、駆動系バス、シャーシ/安全系バス、ボディ/電装系バスおよびAV/情報系バスである。
駆動系バスには、制御装置122の一例であるエンジン制御装置、AT(Automatic Transmission)制御装置およびHEV(Hybrid Electric Vehicle)制御装置が接続されている。エンジン制御装置、AT制御装置およびHEV制御装置は、エンジン、AT、およびエンジンとモータとの切替をそれぞれ制御する。
シャーシ/安全系バスには、制御装置122の一例であるブレーキ制御装置、シャーシ制御装置およびステアリング制御装置が接続されている。ブレーキ制御装置、シャーシ制御装置およびステアリング制御装置は、ブレーキ、シャーシおよびステアリングをそれぞれ制御する。
ボディ/電装系バスには、制御装置122の一例である計器表示制御装置、エアコン制御装置、盗難防止制御装置、エアバック制御装置およびスマートエントリ制御装置が接続されている。計器表示制御装置、エアコン制御装置、盗難防止制御装置、エアバック制御装置およびスマートエントリ制御装置は、計器、エアコン、盗難防止機構、エアバック機構およびスマートエントリをそれぞれ制御する。
AV/情報系バスには、制御装置122の一例であるナビゲーション制御装置、オーディオ制御装置、ETC(Electronic Toll Collection System)(登録商標)制御装置および電話制御装置が接続されている。ナビゲーション制御装置、オーディオ制御装置、ETC制御装置および電話制御装置は、ナビゲーション装置、オーディオ装置、ETC装置および携帯電話をそれぞれ制御する。
また、バス13には、制御装置122が接続される構成に限らず、制御装置122以外の装置が接続されてもよい。
ゲートウェイ装置101は、たとえば、セントラルゲートウェイ(Central Gateway:CGW)であり、他の車載装置と通信を行うことが可能である。
ゲートウェイ装置101は、たとえば、車両1において異なるバス13に接続された制御装置122間でやり取りされる情報、各車載通信機111間でやり取りされる情報、制御装置122および車載通信機111間でやり取りされる情報を中継する中継処理を行う。
より詳細には、車両1では、たとえば、所定の取り決めに従って、ある車載装置から他の車載装置へ周期的にメッセージが送信される。この例では、ある制御装置122から他の制御装置122へ周期的に送信されるメッセージについて説明するが、制御装置122および車載通信機111間において送信されるメッセージ、ならびに各車載通信機111間において送信されるメッセージについても同様である。
メッセージの送信は、ブロードキャストによって行われてもよいし、ユニキャストによって行われてもよい。以下、周期的に送信されるメッセージを周期メッセージとも称する。なお、「周期メッセージ」とは、厳密に周期的に送信されたメッセージに限らず、周期的に送信されるべき種類のメッセージを意味するものとする。
車両1では、周期メッセージの他に、ある制御装置122から他の制御装置122へ不定期に送信されるメッセージが存在する。メッセージには、メッセージの内容およびメッセージの送信元を識別するためのID(Identifier)と、メッセージ番号とが含まれる。メッセージに含まれるIDによって、当該メッセージが周期メッセージであるか否かを識別することが可能である。
[ゲートウェイ装置の構成]
図3は、本開示の実施の形態に係る車載通信システムにおけるゲートウェイ装置の構成を示す図である。
図3は、本開示の実施の形態に係る車載通信システムにおけるゲートウェイ装置の構成を示す図である。
図3を参照して、ゲートウェイ装置101は、通信処理部51と、取得部52と、抽出部53と、算出部54と、検知部55と、記憶部56とを備える。
通信処理部51、取得部52、抽出部53、算出部54および検知部55は、たとえば、CPU(Central Processing Unit)およびDSP(Digital Signal Processor)等のプロセッサによって実現される。記憶部56は、たとえばフラッシュメモリである。
ゲートウェイ装置101は、検知装置として機能し、車載ネットワーク12における不正メッセージを検知する検知処理を行う。
[通信処理部]
通信処理部51は、制御装置122間で伝送されるメッセージ、車載通信機111間で伝送されるメッセージ、および制御装置122と車載通信機111との間で伝送されるメッセージを中継する中継処理を行う。
通信処理部51は、制御装置122間で伝送されるメッセージ、車載通信機111間で伝送されるメッセージ、および制御装置122と車載通信機111との間で伝送されるメッセージを中継する中継処理を行う。
たとえば、通信処理部51は、ある制御装置122から対応のバス13経由でメッセージを受信すると、受信したメッセージに、当該メッセージの受信時刻を示すタイムスタンプを付与する。そして、通信処理部51は、タイムスタンプが付与されたメッセージを他の制御装置122へ対応のバス13経由で送信する。
[取得部]
取得部52は、車載ネットワーク12において送信される周期メッセージの受信間隔の分布である対象分布を取得する。
取得部52は、車載ネットワーク12において送信される周期メッセージの受信間隔の分布である対象分布を取得する。
たとえば、取得部52は、通信処理部51によって中継されるメッセージを監視することにより、ゲートウェイ装置101における検知処理の対象となる周期メッセージの受信時刻tを取得する。以下、ゲートウェイ装置101における検知処理の対象となる周期メッセージを、対象メッセージとも称する。
対象メッセージは、ある制御装置122から送信される1種類の周期メッセージであってもよいし、複数の制御装置122の各々から送信される複数種類の周期メッセージあってもよい。以下では、ゲートウェイ装置101が、制御装置122Aから送信される周期メッセージを「対象メッセージM」として検知処理を行う例について説明する。
たとえば、記憶部56は、対象メッセージの種類ごとのIDを記憶している。以下、対象メッセージMのIDを対象IDとも称する。
取得部52は、中継処理を行うべきメッセージを通信処理部51が受信すると、通信処理部51によって受信されたメッセージに含まれるID、および記憶部56における対象IDを確認する。
そして、取得部52は、通信処理部51によって受信されたメッセージに含まれるIDが対象IDと一致する場合、通信処理部51によって受信されたメッセージが対象メッセージMであると認識し、当該対象メッセージMに付与されたタイムスタンプを参照することにより、対象メッセージMの受信時刻tを取得する。
取得部52は、対象メッセージMの受信時刻tを取得すると、当該受信時刻tと、直前の対象メッセージMの受信時刻tとの差分を対象メッセージMの受信間隔xとして算出する。
より詳細には、取得部52は、通信処理部51によって受信されたn回目の対象メッセージMnの受信時刻tnと、通信処理部51によって受信された(n-1)回目の対象メッセージM(n-1)の受信時刻t(n-1)との差分を算出し、算出した差分を対象メッセージMnの受信間隔xnとして記憶部56に保存する。ここで、nは正の整数である。
そして、取得部52は、記憶部56における複数の受信間隔xに基づいて、所定の期間である対象期間Ta内に通信処理部51によって受信された対象メッセージMの、受信間隔xの度数分布Dを生成し、生成した度数分布Dを記憶部56に保存する。度数分布Dは、対象分布の一例である。以下、対象期間Ta内に通信処理部51によって受信された対象メッセージMを、対象期間Taにおける対象メッセージMとも称する。また、対象期間Ta内に通信処理部51によって受信された対象メッセージMの受信間隔xの度数分布Dを、対象期間Taにおける度数分布Dとも称する。
たとえば、取得部52は、周期T1に従う生成タイミングにおいて、時刻(T1×m)から始まる対象期間Taにおける度数分布Dを新たに生成し、記憶部56における度数分布Dを、新たに生成した度数分布Dに更新する。ここで、mは正の整数である。
なお、周期T1が対象期間Taと同じであることにより、各対象期間Taが時間的に連続してもよい。また、周期T1が対象期間Taよりも短いことにより、各対象期間Taが時間的に一部重複してもよい。また、周期T1が対象期間Taよりも長いことにより、各対象期間Taが間欠的に設けられてもよい。
[抽出部]
抽出部53は、取得部52によって取得された対象分布の一部を所定の基準に従って抽出する。
抽出部53は、取得部52によって取得された対象分布の一部を所定の基準に従って抽出する。
たとえば、抽出部53は、混合ガウスモデルを用いて、記憶部56における度数分布Dを近似する確率密度関数を生成する。そして、抽出部53は、生成した当該確率密度関数の一部を、所定の基準に従って抽出する。
ここで、K、ck、xkバーおよびσk^2は、パラメータであり、それぞれ正規分布の混合数、k番目の正規分布関数pの混合比、k番目の正規分布の平均値およびk番目の正規分布の分散である。ここで、kは1~Kまでの整数である。なお、「a^b」は、aのb乗を意味する。
たとえば、抽出部53は、取得部52によって記憶部56おける度数分布Dが更新されるたびに、非特許文献1(O.Cappe、外1名、”Online expectation maximization algorithm for latent data models”、Journal od the Royal Statistics Society: Series B (Statistical Methodology)、Vol.71、P.593-613、2009)に記載のStepwise-EM法を用いて、確率密度関数Pにおけるc1~cK、x1バー~xKバーおよびσ1^2~σK^2を更新する。
より詳細には、抽出部53は、EステップおよびMステップにおいて、i=1~Kの各々についてStepwise-EM法を適用することでci、xiバーおよびσi^2を算出する。
ここで、s(s-1)は、1つ前のEステップにおける十分統計量である。
抽出部53は、上述の演算処理により、対象期間Taにおける度数分布Dを近似する確率密度関数Pを生成する。以下、度数分布Dを近似する確率密度関数Pを、度数分布Dに基づく確率密度関数Pとも称する。
(確率密度関数の一部の抽出)
図4は、本開示の実施の形態に係るゲートウェイ装置における抽出部より生成される確率密度関数および累積分布関数の一例を示す図である。図4において、実線は確率密度関数Pを示し、一点鎖線は累積分布関数Aを示す。また、図4において、横軸は受信間隔x[秒]を示し、確率密度関数Pについての縦軸は確率密度を示し、累積分布関数Aについての縦軸は確率を示す。
図4は、本開示の実施の形態に係るゲートウェイ装置における抽出部より生成される確率密度関数および累積分布関数の一例を示す図である。図4において、実線は確率密度関数Pを示し、一点鎖線は累積分布関数Aを示す。また、図4において、横軸は受信間隔x[秒]を示し、確率密度関数Pについての縦軸は確率密度を示し、累積分布関数Aについての縦軸は確率を示す。
図4を参照して、抽出部53は、生成した確率密度関数Pを定積分することにより、累積分布関数Aを生成する。
たとえば、抽出部53は、度数分布Dのうち、生成した累積分布関数Aにおける確率の値が所定範囲内となるときの受信間隔xの値の範囲における分布を抽出する。
より詳細には、抽出部53は、生成した累積分布関数Aにより表される確率の値が所定範囲内となるときの受信間隔xの値の範囲を抽出区間として決定し、決定した抽出区間に基づいて確率密度関数Pの一部を抽出する。
たとえば、記憶部56は、累積分布関数Aにより表される確率の所定範囲における、下限値である所定値yaおよび上限値である所定値ybを記憶している。
抽出部53は、累積分布関数Aを生成すると、生成した累積分布関数Aおよび記憶部56における所定値ya,ybに基づいて、累積分布関数Aにより表される確率が所定値yaとなるときの受信間隔xa、および累積分布関数Aにより表される確率が所定値ybとなるときの受信間隔xbを特定する。
そして、抽出部53は、受信間隔xがxa以上かつxb以下の範囲を抽出区間[xa,xb]として決定し、抽出区間[xa,xb]における確率密度関数Pを抽出する。
たとえば、抽出部53は、対象期間Taにおける度数分布Dに基づく確率密度関数PにおけるK、c1~cK、x1バー~xKバーおよびσ1^2~σK^2、ならびに決定した抽出区間[xa,xb]を含む抽出情報を検知部55へ出力する。
(所定値ya,ybの設定)
たとえば、抽出部53は、所定条件を満たす状況下において送信される周期メッセージの受信間隔xの分布である参照分布を用いて、度数分布Dの一部を抽出する。
たとえば、抽出部53は、所定条件を満たす状況下において送信される周期メッセージの受信間隔xの分布である参照分布を用いて、度数分布Dの一部を抽出する。
たとえば、上記所定条件は、車載ネットワーク12の利用率が、対象メッセージMの受信間隔xの度数分布Dが取得されるときの車載ネットワーク12の利用率よりも低いことである。
ここで、使用中の車両1における車載ネットワーク12の利用率は、一般的に約40%程度であることから、対象メッセージMの受信間隔xの度数分布Dが取得されるときの車載ネットワーク12の利用率も同様に、40%程度である。
そこで、抽出部53は、車載ネットワーク12の利用率がゼロ%の状況下において送信される周期メッセージの度数分布を用いて、確率密度関数Pの一部を抽出する。
より詳細には、記憶部56における所定値ya,ybは、車載ネットワーク12の利用率がゼロ%の状況下において、制御装置122Aから送信される周期メッセージの、ゲートウェイ装置101における受信間隔xの度数分布D(UR0)を用いて予め決定される。度数分布D(UR0)は、参照分布の一例である。
抽出部53は、度数分布D(UR0)を用いて予め決定された所定値ya,ybを用いて、確率密度関数Pの抽出区間[xa,xb]を決定する。
図5は、本開示の実施の形態に係るゲートウェイ装置における抽出部により生成される確率密度関数および累積分布関数の一例を示す図である。図5において、実線は確率密度関数Pを示し、一点鎖線は累積分布関数Aを示す。また、図5において、横軸は受信間隔x[秒]を示し、確率密度関数Pについての縦軸は確率密度を示し、累積分布関数Aについての縦軸は確率を示す。
図5を参照して、取得部52は、たとえば車両1の出荷前に、車両1の生産工場等における作業者によって車載ネットワーク12の利用率がゼロ%に設定された状況下において、制御装置122Aから送信される周期メッセージの受信間隔xの度数分布D(UR0)を生成する。
同様に、取得部52は、車両1の生産工場等における作業者によって車載ネットワーク12の利用率が40%に設定された状況下において、制御装置122Aから送信される周期メッセージの受信間隔xの度数分布D(UR40)を生成する。なお、取得部52が度数分布D(UR0),D(UR40)を生成する際に制御装置122Aから送信される周期メッセージには、不正メッセージは含まれないものとする。
抽出部53は、取得部52によって生成された度数分布D(UR0)を近似する確率密度関数P(UR0)および累積分布関数A(UR0)を生成する。また、抽出部53は、取得部52によって生成された度数分布D(UR40)を近似する確率密度関数P(UR40)および累積分布関数A(UR40)を生成する。
次に、抽出部53は、累積分布関数A(UR0)により表される確率がゼロであるときの受信間隔xp、および累積分布関数A(UR0)により表される確率が1に到達するときの受信間隔xqを特定する。
次に、抽出部53は、累積分布関数A(UR40)において、受信間隔xpに対応する確率yp、および受信間隔xqに対応する確率yqを特定し、確率ypおよび確率yqを所定値yaおよび所定値ybとしてそれぞれ記憶部56に保存する。
上述したように、抽出部53は、取得部52によって対象期間Taにおける度数分布Dが生成されるたびに、確率密度関数Pを生成するとともに、生成した確率密度関数Pを定積分することにより累積分布関数Aを生成する。そして、抽出部53は、生成した累積分布関数Aおよび上述のようにして決定した所定値ya,ybに基づいて、抽出区間[xa,xb]を決定し、決定した抽出区間[xa,xb]における確率密度関数Pを抽出する。
[算出部]
算出部54は、取得部52によって取得された度数分布Dに基づいて、周期メッセージの受信間隔の統計値を算出する。
算出部54は、取得部52によって取得された度数分布Dに基づいて、周期メッセージの受信間隔の統計値を算出する。
算出部54は、取得部52によって記憶部56おける度数分布Dが更新されると、更新後の度数分布Dを構成する複数の受信間隔xの平均値Avを算出する。そして、算出部54は、算出した平均値Avを検知部55へ出力する。
[検知部]
検知部55は、抽出部53によって抽出された対象分布の一部に基づいて、不正メッセージを検知する検知処理を行う。
検知部55は、抽出部53によって抽出された対象分布の一部に基づいて、不正メッセージを検知する検知処理を行う。
より詳細には、検知部55は、抽出部53から抽出情報を受けると、受けた抽出情報に基づいて、検知処理を行う。
(検知処理の例1)
検知部55は、対象分布の一部における周期メッセージの受信間隔xの標準偏差に基づいて、検知処理を行う。
検知部55は、対象分布の一部における周期メッセージの受信間隔xの標準偏差に基づいて、検知処理を行う。
より詳細には、検知部55は、抽出部53から抽出情報を受けると、記憶部56を参照して、対象期間Taにおける度数分布Dを構成する複数の受信間隔xのうち、抽出部53から受けた抽出情報が示す抽出区間[xa,xb]の範囲内の受信間隔xを抽出し、抽出した受信間隔xの標準偏差Sdを算出する。
たとえば、記憶部56は、標準偏差Sdに関するしきい値ThA,ThBを記憶している。なお、しきい値ThAは、しきい値ThBよりも小さいものとする。
検知部55は、標準偏差Sdを算出すると、算出した標準偏差Sdと記憶部56におけるしきい値ThA,ThBとを比較し、比較結果に基づいて不正メッセージを検知する。たとえば、検知部55は、標準偏差Sdが、しきい値ThAより小さいか、またはしきい値ThBより大きい場合、対象期間Taにおける対象メッセージMの一部または全部が不正メッセージであると判断する。
たとえば、検知部55は、シューハート管理図、Xbar-R管理図、CUSUM(Cumulative Sum)管理図、EWMA(Exponentially Weighted Moving Average)管理図、MEWMA(Multivariate Exponentially Weighted Moving Average)管理図、およびMEWMC(Multivariate Exponentially Weighted Moving Covariance Matrix)管理図等の管理図を用いて、検知処理を行う。
図6は、本開示の実施の形態に係るゲートウェイ装置において検知部により算出される標準偏差の時間変化を示す図である。図6において、横軸は時間[秒]を示し、縦軸は標準偏差Sdを示している。
図6を参照して、検知部55は、対象期間Taごとに算出される標準偏差Sdの時間変化をモニタし、標準偏差Sdが上限管理限界線UCLを超えた場合、標準偏差Sdが下限管理限界線LCLを下回った場合、一定時間連続して標準偏差Sdが中心線CLを超えた場合、または一定時間連続して標準偏差Sdが中心線CLを下回った場合、対象期間Taにおける対象メッセージMの一部または全部が不正メッセージであると判断する。
たとえば、下限管理限界線LCLは、記憶部56におけるしきい値ThAであり、上限管理限界線UCLは、記憶部56におけるしきい値ThBである。
(検知処理の例2)
検知部55は、対象分布の一部におけるピークの数に基づいて、検知処理を行う。
検知部55は、対象分布の一部におけるピークの数に基づいて、検知処理を行う。
より詳細には、検知部55は、抽出部53から受けた抽出情報に含まれるK、c1~cK、x1バー~xKバーおよびσ1^2~σK^2が示す確率密度関数Pにおいて、抽出情報が示す抽出区間[xa,xb]に存在するピークの数Psを算出する。
たとえば、記憶部56は、ピークの数Psに関するしきい値ThCを記憶している。
検知部55は、ピークの数Psを算出すると、算出したピークの数Psと記憶部56におけるしきい値ThCとを比較し、比較結果に基づいて不正メッセージを検知する。たとえば、検知部55は、ピークの数Psがしきい値ThCより大きい場合、対象期間Taにおける対象メッセージMの一部または全部が不正メッセージであると判断する。
(検知処理の例3)
検知部55は、対象分布の一部における尖度に基づいて、検知処理を行う。
検知部55は、対象分布の一部における尖度に基づいて、検知処理を行う。
より詳細には、検知部55は、抽出部53から受けた抽出情報に含まれるK、c1~cK、x1バー~xKバーおよびσ1^2~σK^2が示す確率密度関数Pにおいて、抽出情報が示す抽出区間[xa,xb]に存在するピークの尖度Ksを算出する。
たとえば、記憶部56は、尖度Ksに関するしきい値ThDを記憶している。
検知部55は、ピークの尖度Ksを算出すると、算出した尖度Ksと記憶部56におけるしきい値ThDとを比較し、比較結果に基づいて不正メッセージを検知する。たとえば、検知部55は、尖度Ksがしきい値ThDより小さい場合、対象期間Taにおける対象メッセージMの一部または全部が不正メッセージであると判断する。
(検知処理の例4)
検知部55は、算出部54によって算出された平均値Av等の統計値と、所定値との比較結果に基づいて、検知処理を行う。
検知部55は、算出部54によって算出された平均値Av等の統計値と、所定値との比較結果に基づいて、検知処理を行う。
たとえば、記憶部56は、受信間隔xの平均値Avに関するしきい値ThE,ThFを記憶している。なお、しきい値ThEは、しきい値ThFよりも小さいものとする。
検知部55は、算出部54から平均値Avを受けると、受けた平均値Avと記憶部56におけるしきい値ThE,ThFとを比較し、比較結果に基づいて不正メッセージを検知する。たとえば、検知部55は、平均値Avが、しきい値ThEより小さいか、またはしきい値ThFより大きい場合、対象期間Taにおける対象メッセージMの一部または全部が不正メッセージであると判断する。
なお、検知部55は、検知処理の例2~4において、検知処理の例1と同様に、管理図を用いて検知処理を行う構成であってもよい。
また、検知部55は、受信間隔xの標準偏差Sd、ピークの数Ps、ピークの尖度Ksおよび受信間隔xの平均値Avのうちの一部または全部を用いて、対象メッセージMの異常度合いを示すスコアを算出し、管理図を用いて、算出したスコアの時間変化に基づく検知処理を行う構成であってもよい。
検知部55は、対象期間Taにおける対象メッセージMの一部または全部が不正メッセージであると判断した場合、以下の処理を行う。
すなわち、検知部55は、対象期間Ta内に送信された対象メッセージMの情報を記録する。また、検知部55は、車載ネットワーク12において不正メッセージが伝送されていることを示す警報情報を通信処理部51経由で車両1内または車両1外における上位装置へ送信する。上位装置は、たとえば、警報情報を用いて所定の処理を行うサーバ等の装置である。
[動作の流れ]
本開示の実施の形態に係る車載通信システムにおける各装置は、メモリを含むコンピュータを備え、当該コンピュータにおけるCPU等の演算処理部は、以下のフローチャートおよびシーケンスの各ステップの一部または全部を含むプログラムを当該メモリから読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。
本開示の実施の形態に係る車載通信システムにおける各装置は、メモリを含むコンピュータを備え、当該コンピュータにおけるCPU等の演算処理部は、以下のフローチャートおよびシーケンスの各ステップの一部または全部を含むプログラムを当該メモリから読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。
図7は、本開示の実施の形態に係る車載通信システムにおけるゲートウェイ装置が検知処理を行う際の動作手順の一例を定めたフローチャートである。
図7を参照して、まず、ゲートウェイ装置101は、車載ネットワーク12において送信されるメッセージを監視し、対象メッセージMを受信すると、受信した対象メッセージMの受信時刻tに基づいて対象メッセージMの受信間隔xを算出し、算出した受信間隔xを記憶部56に蓄積する(ステップS102)。
次に、ゲートウェイ装置101は、対象期間Taが経過するまで受信間隔xの蓄積を繰り返し(ステップS104でNO)、対象期間Taが経過すると(ステップS104でYES)、記憶部56に蓄積した各受信間隔xに基づいて、対象期間Taにおける対象メッセージMの受信間隔xの度数分布Dを生成する(ステップS106)。
次に、ゲートウェイ装置101は、生成した度数分布Dを構成する各受信間隔xの平均値Avを算出する(ステップS108)。
次に、ゲートウェイ装置101は、生成した度数分布Dを近似する確率密度関数Pを生成するとともに、生成した確率密度関数Pを定積分することにより、累積分布関数Aを生成する(ステップS110)。
次に、ゲートウェイ装置101は、累積分布関数Aにより表される確率が所定値yaとなるときの受信間隔xa、および累積分布関数Aにより表される確率が所定値ybとなるときの受信間隔xbに基づいて、抽出区間[xa,xb]を決定する(ステップS112)。
次に、ゲートウェイ装置101は、度数分布Dの一部を抽出する。より詳細には、ゲートウェイ装置101は、抽出区間[xa,xb]における確率密度関数Pを抽出する(ステップS114)。
次に、ゲートウェイ装置101は、抽出した確率密度関数PにおけるK、c1~cK、x1バー~xKバーおよびσ1^2~σK^2、ならびに決定した抽出区間[xa,xb]を含む抽出情報に基づいて、標準偏差Sd、ピークの数Psおよびピークの尖度Ksを算出する(ステップS116)。
次に、ゲートウェイ装置101は、平均値Av、標準偏差Sd、ピークの数Psおよびピークの尖度Ksに基づいて、検知処理を行う(ステップS118)。
次に、ゲートウェイ装置101は、検知処理の結果、対象期間Taにおける対象メッセージMは不正メッセージではないと判断した場合(ステップS120でNO)、新たな対象メッセージMを受信し、受信間隔xを記憶部56に蓄積する(ステップS102)。
次に、ゲートウェイ装置101は、検知処理の結果、対象期間Taにおける対象メッセージMの一部または全部が不正メッセージであると判断した場合(ステップS120でYES)、不正メッセージが伝送されていることを示す警報情報を車両1内または車両1外における上位装置へ送信する(ステップS122)。
次に、ゲートウェイ装置101は、新たな対象メッセージMを受信し、受信間隔xを記憶部56に蓄積する(ステップS102)。
なお、ゲートウェイ装置101は、ステップS102の処理と、ステップS106~S122の処理とを並行して行う構成であってもよい。
図8は、本開示の実施の形態に係る車載通信システムにおけるゲートウェイ装置が確率密度関数の抽出区間の基準を決定する際の動作手順の一例を定めたフローチャートである。
図8を参照して、まず、ゲートウェイ装置101は、たとえば車両1の出荷前に、車両1の生産工場等における作業者によって車載ネットワーク12の利用率がゼロ%に設定された状況下において、制御装置122Aから送信される周期メッセージの受信間隔xの度数分布D(UR0)を生成する(ステップS202)。
次に、ゲートウェイ装置101は、車両1の生産工場等における作業者によって車載ネットワーク12の利用率が40%に設定された状況下において、制御装置122Aから送信される周期メッセージの受信間隔xの度数分布D(UR40)を生成する(ステップS204)。
次に、ゲートウェイ装置101は、度数分布D(UR0)を近似する確率密度関数P(UR0)および累積分布関数A(UR0)、ならびに度数分布D(UR40)を近似する確率密度関数P(UR40)および累積分布関数A(UR40)を生成する(ステップS206)。
次に、ゲートウェイ装置101は、累積分布関数A(UR0)により表される確率がゼロであるときの受信間隔xp、および累積分布関数A(UR0)により表される確率が1に到達するときの受信間隔xqを特定する(ステップS208)。
次に、ゲートウェイ装置101は、累積分布関数A(UR40)において、受信間隔xpに対応する確率yp、および受信間隔xqに対応する確率yqを特定し、確率ypおよび確率yqをそれぞれ所定値yaおよび所定値ybとして記憶部56に保存する(ステップS210)。
なお、本開示の実施の形態に係る車載通信システム301では、ゲートウェイ装置101が、車載ネットワーク12における不正メッセージを検知する構成であるとしたが、これに限定するものではない。車載通信システム301では、ゲートウェイ装置101とは別の装置が、検知装置として車載ネットワーク12における不正メッセージを検知する構成であってもよい。
また、本開示の実施の形態に係る車載通信システム301では、検知装置として機能するゲートウェイ装置101がバス13に直接接続される構成であるとしたが、これに限定するものではない。
図9は、本発明の実施の形態に係る車載ネットワークの接続トポロジの一例を示す図である。
図9を参照して、検知装置151が、車載装置たとえば制御装置122を介してバス13に接続される構成であってもよい。この場合、検知装置151は、たとえば、当該車載装置が送受信するメッセージを監視することにより、バス13に伝送される不正メッセージを検知する。
図9に示す例では、たとえば、検知装置151の取得部52は、制御装置122が受信する対象メッセージの受信時刻tを取得する。そして、取得部52は、取得した受信時刻tに基づいて受信間隔xを算出し、受信間隔xの度数分布Dを生成する。
また、本開示の実施の形態に係るゲートウェイ装置101では、取得部52は、通信処理部51によって中継されるメッセージを監視することにより対象メッセージMの受信時刻tを取得し、取得した受信時刻tと、直前の対象メッセージMの受信時刻tとの差分を対象メッセージMの受信間隔xとして算出する構成であるとしたが、これに限定するものではない。取得部52は、ゲートウェイ装置101の外部の装置から通信処理部51経由で受信間隔xを受信する構成であってもよい。
また、本開示の実施の形態に係るゲートウェイ装置101では、検知部55は、標準偏差Sd、ピークの数Ps、ピークの尖度Ksおよび平均値Avに基づいて検知処理を行う構成であるとしたが、これに限定するものではない。検知部55は、標準偏差Sd、ピークの数Ps、ピークの尖度Ksおよび平均値Avのうちの、いずれか1つ、2つまたは3つに基づいて、検知処理を行う構成であってもよい。
また、本開示の実施の形態に係るゲートウェイ装置101では、検知部55は、抽出情報に基づいて、標準偏差Sd、ピークの数Psおよびピークの尖度Ksを算出する構成であるとしたが、これに限定するものではない。検知部55は、たとえば、車両1の外部におけるサーバ等の外部装置へ抽出情報を送信し、送信した抽出情報に基づいて算出される標準偏差Sd、ピークの数Psおよびピークの尖度Ksを当該外部装置から受信する構成であってもよい。
また、本開示の実施の形態に係るゲートウェイ装置101では、算出部54は、受信間隔xの統計値として、受信間隔xの平均値Avを算出する構成であるとしたが、これに限定するものではない。算出部54は、各受信間隔xの中央値等の、平均値Av以外の統計値を算出する構成であってもよい。
また、本開示の実施の形態に係るゲートウェイ装置101は、算出部54を備える構成であるとしたが、これに限定するものではない。ゲートウェイ装置101は、算出部54を備えない構成であってもよい。この場合、検知部55は、標準偏差Sd、ピークの数Psおよびピークの尖度Ksのうちの少なくともいずれか1つに基づいて、検知処理を行う。
また、算出部54は、たとえば、車両1の外部におけるサーバ等の外部装置に設けられていてもよい。この場合、検知部55は、度数分布Dから算出される平均値Avを当該外部装置から受信する構成であってもよい。
また、本開示の実施の形態に係るゲートウェイ装置101では、抽出部53は、参照分布の一例である度数分布D(UR0)を用いて予め決定される所定値ya,ybに基づいて、抽出区間[xa,xb]を決定し、決定した抽出区間[xa,xb]における確率密度関数Pを抽出する構成であるとしたが、これに限定するものではない。抽出部53は、参照分布を用いることなく抽出区間[xa,xb]を決定し、決定した抽出区間[xa,xb]における確率密度関数Pを抽出する構成であってもよい。
また、本開示の実施の形態に係るゲートウェイ装置101では、抽出部53は、車載ネットワーク12の利用率がゼロ%の状況下における受信間隔xの度数分布D(UR0)を用いて予め決定される所定値ya,ybを用いて、確率密度関数Pの一部を抽出する構成であるとしたが、これに限定するものではない。抽出部53は、車載ネットワーク12の利用率がたとえば10%の状況下における受信間隔xの度数分布D(UR10)を用いて予め決定される所定値を用いて、確率密度関数Pの一部を抽出する構成であってもよい。
ところで、車載ネットワークにおける不正メッセージをより正しく検知することを可能とする技術が望まれる。
たとえば、不正な車載装置による攻撃モデルとして、正常な車載装置からの正当メッセージを停止させるとともに、正当メッセージと同一の送信周期の不正メッセージを送信するという、いわゆる占有バス型の攻撃モデルが想定される。特許文献1に記載の技術では、このような占有バス型の攻撃モデルに従って送信される不正メッセージを検知することは困難である。
また、占有バス型の攻撃モデルに対する対策として、たとえば周期メッセージの受信間隔の標準偏差等の、周期メッセージの受信時刻に関する統計値をフィンガープリント情報として用いて、送信元が不正な車載装置であるか否かを識別するという検知方法が知られている。
しかしながら、占有バス型の攻撃モデルにおいて、不正な車載装置が、正常な車載装置からの正当メッセージの送信時刻を機械学習し、送信間隔の標準偏差が正当メッセージの送信間隔の標準偏差と略同一となるように不正メッセージを送信するという、いわゆるクロックフィッシングを用いた不正メッセージの送信が想定される。特許文献2に記載の技術等の従来技術では、このようなクロックフィッシングにより検知機能が容易に回避されるおそれがある。
具体的には、本願発明者らの検証によれば、-30%~30%以内の精度で送信間隔の標準偏差を偽装することによって正当メッセージになりすました不正メッセージを送信された場合、フィンガープリント情報を用いて不正メッセージを検知することは困難である。
また、本願発明者らは、以下の手順により、周期メッセージの受信間隔の標準偏差をフィンガープリント情報として用いる検知方法を評価した。
初めに、本願発明者らは、クロック周波数が8MHzであり、かつ周波数偏差がプラスマイナス30ppmである振動子Aを備える車載装置、およびロガーをCANバスに接続することにより、模擬車載ネットワークを生成した。
そして、本願発明者らは、車載装置から送信される周期メッセージの周期を100ミリ秒に設定し、車載装置における周期メッセージの送信間隔をオシロスコープを用いてモニタした。また、本願発明者らは、当該模擬車載ネットワークを、ネットワークの利用率すなわちトラフィックをゼロ%、40%および80%の各状況に設定し、各状況下において、車載装置からの周期メッセージのロガーにおける受信間隔をモニタした。
次に、本願発明者らは、振動子Aの代わりに、クロック周波数が8MHzであり、かつ周波数偏差がプラスマイナス20ppmである振動子Bを車載装置に搭載し、同様にして、トラフィックについての各状況下において、車載装置における周期メッセージの送信間隔およびロガーにおける受信間隔をモニタした。
また、本願発明者らは、振動子Aの代わりに、クロック周波数が8MHzであり、かつ周波数偏差がプラスマイナス30ppmである振動子Cを車載装置に搭載し、同様にして、トラフィックについての各状況下において、車載装置における周期メッセージの送信間隔およびロガーにおける受信間隔をモニタした。
図10~12は、本願発明者らの検証結果を示す図である。図10は、車載装置に搭載される振動子ごとの、車載装置における周期メッセージの送信間隔の標準偏差を示している。図11は、車載装置に搭載される振動子ごとの、トラフィックが40%のときのロガーにおける周期メッセージの受信間隔の標準偏差を示している。図12は、車載装置に搭載される振動子ごとの、トラフィックが80%のときのロガーにおける周期メッセージの受信間隔の標準偏差を示している。
図10~12を参照して、車載装置に搭載される振動子の別に応じて、車載装置における周期メッセージの送信間隔の標準偏差に差異が現れている一方、トラフィックが40%,80%のときのロガーにおける周期メッセージの受信間隔の標準偏差には差異が現れていない。
以上より、周期メッセージの受信間隔の標準偏差に基づいて振動子の別を判断することは困難であることから、周期メッセージの受信間隔の標準偏差をフィンガープリント情報として用いる従来技術の検知方法では、送信元が不正な車載装置であるか否かを識別することは困難であるとの知見を得た。
これに対して、本開示の実施の形態に係るゲートウェイ装置101では、取得部52は、車載ネットワーク12において送信される周期メッセージの受信間隔の分布である対象分布を取得する。抽出部53は、取得部52によって取得された対象分布の一部を所定の基準に従って抽出する。検知部55は、抽出部53によって抽出された対象分布の一部に基づいて、不正メッセージを検知する検知処理を行う。
本開示の実施の形態に係る検知方法は、車載ネットワーク12における不正メッセージを検知するゲートウェイ装置101における検知方法である。この検知方法では、まず、ゲートウェイ装置101が、車載ネットワーク12において送信される周期メッセージの受信間隔の分布である対象分布を取得する。次に、ゲートウェイ装置101が、取得した対象分布の一部を所定の基準に従って抽出する。次に、ゲートウェイ装置101が、抽出した対象分布の一部に基づいて、不正メッセージを検知する検知処理を行う。
このように、対象分布の一部を所定の基準に従って抽出し、抽出した対象分布の一部に基づいて不正メッセージを検知する構成および方法により、たとえば、対象分布から、送信元の車載装置におけるクロック周波数等の特性が反映された部分を抽出し、抽出部分に基づいて、送信元の車載装置が不正な車載装置であるか否かを識別することができる。
したがって、本開示の実施の形態に係るゲートウェイ装置および検知方法では、車載ネットワークにおける不正メッセージをより正しく検知することができる。
上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
以上の説明は、以下に付記する特徴を含む。
[付記1]
車載ネットワークにおける不正メッセージを検知する検知装置であって、
前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、
前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、
前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備え、
前記抽出部は、前記対象分布を近似する確率密度関数および前記確率密度関数に基づく累積分布関数を生成し、
前記抽出部は、前記対象分布のうち、生成した前記累積分布関数における確率の値が所定範囲内となるときの受信間隔の値の範囲における分布を抽出する、検知装置。
[付記1]
車載ネットワークにおける不正メッセージを検知する検知装置であって、
前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、
前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、
前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備え、
前記抽出部は、前記対象分布を近似する確率密度関数および前記確率密度関数に基づく累積分布関数を生成し、
前記抽出部は、前記対象分布のうち、生成した前記累積分布関数における確率の値が所定範囲内となるときの受信間隔の値の範囲における分布を抽出する、検知装置。
[付記2]
車両に搭載される車載ネットワークにおける不正メッセージを検知する、プロセッサを備える検知装置であって、
前記プロセッサは、
前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、
前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、
前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを実現する、検知装置。
車両に搭載される車載ネットワークにおける不正メッセージを検知する、プロセッサを備える検知装置であって、
前記プロセッサは、
前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、
前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、
前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを実現する、検知装置。
1 車両
12 車載ネットワーク
13 バス
14 バス
51 通信処理部
52 取得部
53 抽出部
54 算出部
55 検知部
56 記憶部
101 ゲートウェイ装置
111 車載通信機
111A TCU(車載通信機)
111B 近距離無線端末装置(車載通信機)
111C ITS無線機(車載通信機)
112 ポート
121 バス接続装置群
122,122A,122B,122C 制御装置
151 検知装置
301 車載通信システム
12 車載ネットワーク
13 バス
14 バス
51 通信処理部
52 取得部
53 抽出部
54 算出部
55 検知部
56 記憶部
101 ゲートウェイ装置
111 車載通信機
111A TCU(車載通信機)
111B 近距離無線端末装置(車載通信機)
111C ITS無線機(車載通信機)
112 ポート
121 バス接続装置群
122,122A,122B,122C 制御装置
151 検知装置
301 車載通信システム
Claims (10)
- 車載ネットワークにおける不正メッセージを検知する検知装置であって、
前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、
前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、
前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備える、検知装置。 - 前記抽出部は、所定条件を満たす状況下において送信される前記周期メッセージの受信間隔の分布である参照分布を用いて、前記対象分布の一部を抽出する、請求項1に記載の検知装置。
- 前記所定条件は、前記車載ネットワークの利用率が、前記対象分布が取得されるときの前記車載ネットワークの利用率よりも低いことである、請求項2に記載の検知装置。
- 前記検知部は、前記対象分布の前記一部における前記周期メッセージの受信間隔の標準偏差に基づいて、前記検知処理を行う、請求項1から請求項3のいずれか1項に記載の検知装置。
- 前記検知部は、前記対象分布の前記一部におけるピークの数に基づいて、前記検知処理を行う、請求項1から請求項4のいずれか1項に記載の検知装置。
- 前記検知部は、前記対象分布の前記一部における尖度に基づいて、前記検知処理を行う、請求項1から請求項5のいずれか1項に記載の検知装置。
- 前記検知装置は、さらに、
前記取得部によって取得された前記対象分布に基づいて、前記周期メッセージの受信間隔の統計値を算出する算出部を備え、
前記検知部は、前記算出部によって算出された前記統計値と、所定値との比較結果に基づく前記不正メッセージの検知処理をさらに行う、請求項1から請求項6のいずれか1項に記載の検知装置。 - 請求項1から請求項7のいずれか1項に記載の検知装置を備える、車両。
- 車載ネットワークにおける不正メッセージを検知する検知装置における検知方法であって、
前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得するステップと、
取得した前記対象分布の一部を所定の基準に従って抽出するステップと、
抽出した前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行うステップとを含む、検知方法。 - 車載ネットワークにおける不正メッセージを検知する検知装置において用いられる検知プログラムであって、
コンピュータを、
前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、
前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、
前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部、
として機能させるための、検知プログラム。
Priority Applications (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2021562455A JP7480786B2 (ja) | 2019-12-05 | 2020-08-28 | 検知装置、車両、検知方法および検知プログラム |
US17/780,199 US20220407868A1 (en) | 2019-12-05 | 2020-08-28 | Detection device, vehicle, detection method, and detection program |
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2019219993 | 2019-12-05 | ||
JP2019-219993 | 2019-12-05 |
Publications (1)
Publication Number | Publication Date |
---|---|
WO2021111685A1 true WO2021111685A1 (ja) | 2021-06-10 |
Family
ID=76221881
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
PCT/JP2020/032583 WO2021111685A1 (ja) | 2019-12-05 | 2020-08-28 | 検知装置、車両、検知方法および検知プログラム |
Country Status (3)
Country | Link |
---|---|
US (1) | US20220407868A1 (ja) |
JP (1) | JP7480786B2 (ja) |
WO (1) | WO2021111685A1 (ja) |
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2023127460A1 (ja) * | 2021-12-28 | 2023-07-06 | 住友電気工業株式会社 | 検知装置および検知方法 |
WO2023223818A1 (ja) * | 2022-05-16 | 2023-11-23 | 株式会社オートネットワーク技術研究所 | 検出装置、車載装置、検出方法及びコンピュータプログラム |
Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2019029961A (ja) * | 2017-08-03 | 2019-02-21 | 住友電気工業株式会社 | 検知装置、検知方法および検知プログラム |
JP2019083534A (ja) * | 2017-04-07 | 2019-05-30 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカPanasonic Intellectual Property Corporation of America | 不正通信検知方法、不正通信検知システム及びプログラム |
Family Cites Families (11)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US10298612B2 (en) * | 2015-06-29 | 2019-05-21 | Argus Cyber Security Ltd. | System and method for time based anomaly detection in an in-vehicle communication network |
EP3893443A1 (en) * | 2015-11-02 | 2021-10-13 | Kvaser AB | Confirming data accuracy in a distributed control system |
JP6839963B2 (ja) * | 2016-01-08 | 2021-03-10 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカPanasonic Intellectual Property Corporation of America | 異常検知方法、異常検知装置及び異常検知システム |
US11044260B2 (en) * | 2016-04-01 | 2021-06-22 | The Regents Of The University Of Michigan | Fingerprinting electronic control units for vehicle intrusion detection |
JP6956624B2 (ja) | 2017-03-13 | 2021-11-02 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカPanasonic Intellectual Property Corporation of America | 情報処理方法、情報処理システム、及びプログラム |
KR102272081B1 (ko) * | 2017-09-25 | 2021-07-02 | 현대모비스 주식회사 | 자동차 네트워크의 데이터 통신방법 |
EP3720055A4 (en) * | 2017-12-01 | 2021-01-06 | Panasonic Intellectual Property Corporation of America | ELECTRONIC CONTROL DEVICE, SERVER FOR DETECTING AUTHORIZED USE, VEHICLE-MOUNTED NETWORK SYSTEM, VEHICLE-MOUNTED NETWORK MONITORING SYSTEM AND VEHICLE-MOUNTED NETWORK MONITORING METHOD |
EP4250648A3 (en) * | 2018-03-29 | 2023-12-06 | Panasonic Intellectual Property Corporation of America | Illicit act detection method, illicit act detection device, and program |
US10771488B2 (en) * | 2018-04-10 | 2020-09-08 | Cisco Technology, Inc. | Spatio-temporal anomaly detection in computer networks using graph convolutional recurrent neural networks (GCRNNs) |
US11170314B2 (en) * | 2018-10-22 | 2021-11-09 | General Electric Company | Detection and protection against mode switching attacks in cyber-physical systems |
WO2021131824A1 (ja) * | 2019-12-23 | 2021-07-01 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ | 決定方法、決定システム及びプログラム |
-
2020
- 2020-08-28 US US17/780,199 patent/US20220407868A1/en active Pending
- 2020-08-28 WO PCT/JP2020/032583 patent/WO2021111685A1/ja active Application Filing
- 2020-08-28 JP JP2021562455A patent/JP7480786B2/ja active Active
Patent Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2019083534A (ja) * | 2017-04-07 | 2019-05-30 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカPanasonic Intellectual Property Corporation of America | 不正通信検知方法、不正通信検知システム及びプログラム |
JP2019029961A (ja) * | 2017-08-03 | 2019-02-21 | 住友電気工業株式会社 | 検知装置、検知方法および検知プログラム |
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2023127460A1 (ja) * | 2021-12-28 | 2023-07-06 | 住友電気工業株式会社 | 検知装置および検知方法 |
WO2023223818A1 (ja) * | 2022-05-16 | 2023-11-23 | 株式会社オートネットワーク技術研究所 | 検出装置、車載装置、検出方法及びコンピュータプログラム |
Also Published As
Publication number | Publication date |
---|---|
JPWO2021111685A1 (ja) | 2021-06-10 |
JP7480786B2 (ja) | 2024-05-10 |
US20220407868A1 (en) | 2022-12-22 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN110494330B (zh) | 车辆监视装置、不正当检测服务器、以及控制方法 | |
JP6805667B2 (ja) | 検知装置、ゲートウェイ装置、検知方法および検知プログラム | |
US11838314B2 (en) | Electronic control device, fraud detection server, in-vehicle network system, in-vehicle network monitoring system, and in-vehicle network monitoring method | |
CN111033504B (zh) | 检测器、检测方法和检测程序 | |
WO2021065068A1 (ja) | 検知装置、車両、検知方法および検知プログラム | |
JP7276670B2 (ja) | 検知装置、検知方法および検知プログラム | |
CN110063043B (zh) | 检测装置、检测方法及记录介质 | |
WO2021111685A1 (ja) | 検知装置、車両、検知方法および検知プログラム | |
WO2021235105A1 (ja) | 検知装置、車両、検知方法および検知プログラム | |
WO2021065069A1 (ja) | 検知装置、車両、検知方法および検知プログラム | |
WO2020079874A1 (ja) | 検知装置、ゲートウェイ装置、検知方法および検知プログラム | |
WO2022137661A1 (ja) | 検知装置、検知方法および検知プログラム | |
JP7507205B2 (ja) | 通信監視装置および通信監視方法 | |
CN116320285A (zh) | 通信监视装置以及通信监视方法 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 20894936 Country of ref document: EP Kind code of ref document: A1 |
|
ENP | Entry into the national phase |
Ref document number: 2021562455 Country of ref document: JP Kind code of ref document: A |
|
NENP | Non-entry into the national phase |
Ref country code: DE |
|
122 | Ep: pct application non-entry in european phase |
Ref document number: 20894936 Country of ref document: EP Kind code of ref document: A1 |