WO2021111685A1 - 検知装置、車両、検知方法および検知プログラム - Google Patents

検知装置、車両、検知方法および検知プログラム Download PDF

Info

Publication number
WO2021111685A1
WO2021111685A1 PCT/JP2020/032583 JP2020032583W WO2021111685A1 WO 2021111685 A1 WO2021111685 A1 WO 2021111685A1 JP 2020032583 W JP2020032583 W JP 2020032583W WO 2021111685 A1 WO2021111685 A1 WO 2021111685A1
Authority
WO
WIPO (PCT)
Prior art keywords
detection
unit
distribution
vehicle
message
Prior art date
Application number
PCT/JP2020/032583
Other languages
English (en)
French (fr)
Inventor
塚本博之
上田浩史
足立直樹
相羽慎一
石川史也
上口翔悟
Original Assignee
住友電気工業株式会社
住友電装株式会社
株式会社オートネットワーク技術研究所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 住友電気工業株式会社, 住友電装株式会社, 株式会社オートネットワーク技術研究所 filed Critical 住友電気工業株式会社
Priority to JP2021562455A priority Critical patent/JP7480786B2/ja
Priority to US17/780,199 priority patent/US20220407868A1/en
Publication of WO2021111685A1 publication Critical patent/WO2021111685A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/088—Access security using filters or firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud

Definitions

  • the present disclosure relates to detection devices, vehicles, detection methods and detection programs. This application claims priority on the basis of Japanese Application Japanese Patent Application No. 2019-219993 filed on December 5, 2019, and incorporates all of its disclosures herein.
  • Patent Document 1 Japanese Unexamined Patent Publication No. 2014-146868 discloses the following network devices. That is, the network device has a communication unit for receiving data, a time management unit for managing the reception time for receiving data, and a control unit for processing the received data, and periodically receives and processes the data.
  • the control unit records the reception time in the time management unit for each identifier of the data received by the communication unit, and the interval at which data having the same identifier as the reference data is received is a predetermined cycle.
  • the cycle abnormality occurs.
  • the predetermined processing is performed on the first data.
  • Patent Document 2 discloses the following detection method. That is, the detection method is a method of detecting intrusion in the vehicle network, and the time is periodically transmitted from the transmitting side ECU to the receiving side ECU via the vehicle network in the receiving side ECU (Electronic Control Unit). A plurality of messages not including stamp information are received, the receiving side ECU determines the clock skew of the transmitting side ECU based on the plurality of messages, and the receiving side ECU determines the clock skew of the transmitting side ECU as a baseline value.
  • the detection method is a method of detecting intrusion in the vehicle network, and the time is periodically transmitted from the transmitting side ECU to the receiving side ECU via the vehicle network in the receiving side ECU (Electronic Control Unit). A plurality of messages not including stamp information are received, the receiving side ECU determines the clock skew of the transmitting side ECU based on the plurality of messages, and the receiving side ECU determines the clock skew of the transmitting side ECU as a baseline value.
  • the transmitting side ECU By comparing with, the sudden change of the clock skew of the transmitting side ECU is detected, and the transmitting side ECU becomes dangerous based on the detection of the sudden change of the clock skew of the transmitting side ECU in the receiving side ECU. Identify as exposed.
  • the detection device of the present disclosure is a detection device that detects an unauthorized message in an in-vehicle network, and is obtained by an acquisition unit that acquires an object distribution that is a distribution of reception intervals of periodic messages transmitted in the in-vehicle network, and an acquisition unit.
  • An extraction unit that extracts a part of the acquired target distribution according to a predetermined standard, and a detection unit that performs detection processing for detecting the malicious message based on a part of the target distribution extracted by the extraction unit. To be equipped.
  • the detection method of the present disclosure is a detection method in a detection device that detects an unauthorized message in an in-vehicle network, and includes a step of acquiring an object distribution which is a distribution of reception intervals of periodic messages transmitted in the in-vehicle network.
  • the step includes a step of extracting a part of the target distribution according to a predetermined criterion, and a step of performing a detection process for detecting the malicious message based on the extracted part of the target distribution.
  • the detection program of the present disclosure is a detection program used in a detection device that detects an unauthorized message in an in-vehicle network, and acquires a target distribution, which is a distribution of reception intervals of periodic messages transmitted in the in-vehicle network.
  • the malicious message is detected based on the acquisition unit, the extraction unit that extracts a part of the target distribution acquired by the acquisition unit according to a predetermined criterion, and the part of the target distribution extracted by the extraction unit.
  • It is a program for functioning as a detection unit that performs detection processing.
  • One aspect of the present disclosure can be realized as a semiconductor integrated circuit that realizes a part or all of the detection device, or can be realized as a system including the detection device. Further, one aspect of the present disclosure may be realized as a semiconductor integrated circuit that realizes a part or all of a system including a detection device, or as a program for causing a computer to execute a processing step in a system including a detection device. Can be done.
  • FIG. 1 is a diagram showing a configuration of an in-vehicle communication system according to an embodiment of the present disclosure.
  • FIG. 2 is a diagram showing a configuration of a bus connection device group according to the embodiment of the present disclosure.
  • FIG. 3 is a diagram showing a configuration of a gateway device in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 4 is a diagram showing an example of a probability density function and a cumulative distribution function generated from an extraction unit in the gateway device according to the embodiment of the present disclosure.
  • FIG. 5 is a diagram showing an example of a probability density function and a cumulative distribution function generated by an extraction unit in the gateway device according to the embodiment of the present disclosure.
  • FIG. 1 is a diagram showing a configuration of an in-vehicle communication system according to an embodiment of the present disclosure.
  • FIG. 2 is a diagram showing a configuration of a bus connection device group according to the embodiment of the present disclosure.
  • FIG. 3 is a diagram showing a configuration
  • FIG. 6 is a diagram showing a time change of the standard deviation calculated by the detection unit in the gateway device according to the embodiment of the present disclosure.
  • FIG. 7 is a flowchart defining an example of an operation procedure when the gateway device in the in-vehicle communication system according to the embodiment of the present disclosure performs detection processing.
  • FIG. 8 is a flowchart defining an example of an operation procedure when the gateway device in the in-vehicle communication system according to the embodiment of the present disclosure determines the reference of the extraction section of the probability density function.
  • FIG. 9 is a diagram showing an example of the connection topology of the vehicle-mounted network according to the embodiment of the present invention.
  • FIG. 10 is a diagram showing the verification results of the inventors of the present application.
  • FIG. 11 is a diagram showing the verification results of the inventors of the present application.
  • FIG. 12 is a diagram showing the verification results of the inventors of the present application.
  • the present disclosure has been made to solve the above-mentioned problems, and an object thereof is to provide a detection device, a vehicle, a detection method, and a detection program capable of more accurately detecting a malicious message in an in-vehicle network. is there.
  • the detection device is a detection device that detects an unauthorized message in an in-vehicle network, and acquires an object distribution which is a distribution of reception intervals of periodic messages transmitted in the in-vehicle network.
  • the fraudulent message is detected based on the acquisition unit, the extraction unit that extracts a part of the target distribution acquired by the acquisition unit according to a predetermined criterion, and the part of the target distribution extracted by the extraction unit. It is provided with a detection unit that performs detection processing.
  • a part of the target distribution is extracted according to a predetermined standard, and an invalid message is detected based on the part of the extracted target distribution.
  • the clock frequency in the in-vehicle device of the transmission source etc. It is possible to extract a portion reflecting the characteristics of the above and identify whether or not the in-vehicle device of the transmission source is an illegal in-vehicle device based on the extracted portion. Therefore, it is possible to more accurately detect an unauthorized message in the in-vehicle network.
  • the extraction unit extracts a part of the target distribution by using a reference distribution which is a distribution of the reception interval of the periodic message transmitted under a condition satisfying a predetermined condition.
  • the predetermined condition is that the utilization rate of the vehicle-mounted network is lower than the utilization rate of the vehicle-mounted network when the target distribution is acquired.
  • the detection unit performs the detection process based on the standard deviation of the reception interval of the periodic message in the part of the target distribution.
  • the calculation load when calculating the standard deviation of the reception interval of periodic messages in a part of the target distribution is smaller than the calculation load when calculating the number of peaks and kurtosis in a part of the target distribution. Therefore, with the above configuration, the detection process can be performed by a simple arithmetic process on the target distribution.
  • the detection unit performs the detection process based on the number of peaks in the part of the target distribution.
  • the calculation load when calculating the number of peaks in a part of the target distribution is smaller than the calculation load when calculating the kurtosis in a part of the target distribution. Therefore, with the above configuration, it is possible to perform detection processing that is difficult to avoid by relatively simple arithmetic processing on the target distribution.
  • the detection unit performs the detection process based on the kurtosis in the part of the target distribution.
  • the detection device further includes a calculation unit that calculates a statistical value of the reception interval of the periodic message based on the target distribution acquired by the acquisition unit, and the detection unit includes the detection unit. The detection process is performed based on the comparison result between the statistical value calculated by the calculation unit and the predetermined value.
  • various detection processes can be performed based on the statistical value reflecting the error between the actual transmission cycle and the design transmission cycle.
  • the vehicle according to the embodiment of the present disclosure is provided with the detection device.
  • the detection method according to the embodiment of the present disclosure is a detection method in a detection device for detecting an unauthorized message in an in-vehicle network, and is a target distribution which is a distribution of reception intervals of periodic messages transmitted in the in-vehicle network.
  • a part of the target distribution is extracted according to a predetermined standard, and an unauthorized message is detected based on the part of the extracted target distribution.
  • the clock frequency in the in-vehicle device of the transmission source etc. It is possible to extract a portion reflecting the characteristics of the above and identify whether or not the in-vehicle device of the transmission source is an illegal in-vehicle device based on the extracted portion. Therefore, it is possible to more accurately detect an unauthorized message in the in-vehicle network.
  • the detection program according to the embodiment of the present disclosure is a detection program used in a detection device for detecting an unauthorized message in an in-vehicle network, and is a detection program used in a detection device for detecting an unauthorized message in an in-vehicle network.
  • a part of the target distribution is extracted according to a predetermined standard, and an invalid message is detected based on the part of the extracted target distribution.
  • the clock frequency in the in-vehicle device of the transmission source etc. It is possible to extract a portion reflecting the characteristics of the above and identify whether or not the in-vehicle device of the transmission source is an illegal in-vehicle device based on the extracted portion. Therefore, it is possible to more accurately detect an unauthorized message in the in-vehicle network.
  • FIG. 1 is a diagram showing a configuration of an in-vehicle communication system according to an embodiment of the present disclosure.
  • the vehicle-mounted communication system 301 includes a gateway device 101, a plurality of vehicle-mounted communication devices 111, and a plurality of bus connection device groups 121.
  • the in-vehicle communication system 301 is mounted on the vehicle 1.
  • FIG. 2 is a diagram showing a configuration of a bus connection device group according to the embodiment of the present disclosure.
  • the bus connection device group 121 includes control devices 122A, 122B, 122C.
  • each of the control devices 122A, 122B, and 122C is also referred to as a control device 122.
  • the bus connection device group 121 is not limited to the configuration including the three control devices 122, and may be configured to include one, two, or four or more control devices 122.
  • the vehicle-mounted network 12 includes a gateway device 101, a plurality of vehicle-mounted communication devices 111, and a plurality of control devices 122, which are examples of vehicle-mounted devices.
  • the in-vehicle network 12 may have a configuration that includes a plurality of in-vehicle communication devices 111 and does not include the control device 122, or may have a configuration that does not include the in-vehicle communication device 111 and includes a plurality of control devices 122.
  • the configuration may include one in-vehicle communication device 111 and one control device 122.
  • the vehicle-mounted communication device 111 communicates with, for example, a device outside the vehicle 1.
  • the in-vehicle communication device 111 is, for example, a TCU (Telematics Communication Unit) 111A, a short-range wireless terminal device 111B, and an ITS (Intelligent Transport Systems) radio 111C.
  • TCU Transmission Control Unit
  • ITS Intelligent Transport Systems
  • the TCU111A can perform wireless communication with the wireless base station device and can communicate with the gateway device 101 according to a communication standard such as LTE (Long Term Evolution) or 3G.
  • the TCU111A relays information used for services such as navigation, vehicle theft prevention, remote maintenance, and FOTA (Firmware Over The Air).
  • the short-range wireless terminal device 111B is, for example, a wireless terminal device such as a smart phone held by a person in vehicle 1, that is, a passenger, in accordance with communication standards such as Wi-Fi (registered trademark) and Bluetooth (registered trademark). It is possible to perform wireless communication with the gateway device 101, and it is possible to perform communication with the gateway device 101.
  • the short-range wireless terminal device 111B relays information used for services such as entertainment, for example.
  • the short-range wireless terminal device 111B includes, for example, a wireless terminal device such as a smart key held by a passenger, and a wireless terminal device provided on a tire in accordance with a predetermined communication standard, and an LF (Low Frequency) band or UHF (Low Frequency) band or UHF ( It is possible to perform wireless communication using radio waves in the Ultra High Frequency band, and to communicate with the gateway device 101.
  • the short-range wireless terminal device 111B relays information used for services such as smart entry and TPMS (Tire Pressure Monitoring System).
  • the ITS radio 111C can perform road-to-vehicle communication with roadside units such as optical beacons, radio wave beacons, and ITS spots provided near the road, and is mounted on other vehicles. It is possible to perform inter-vehicle communication and to communicate with the gateway device 101.
  • the ITS radio 111C relays information used for services such as congestion mitigation, safe driving support, and route guidance.
  • the gateway device 101 can, for example, transmit and receive data such as firmware updates and data accumulated by the gateway device 101 to and from the maintenance terminal device outside the vehicle 1 via the port 112.
  • the gateway device 101 is connected to other vehicle-mounted devices in the vehicle-mounted network 12 via, for example, buses 13 and 14.
  • the buses 13 and 14 are, for example, CAN (Control Area Network) (registered trademark), FlexRay (registered trademark), MOST (Media Oriented Systems Transport) (registered trademark), Ethernet (registered trademark), and LIN. It is a bus that complies with standards such as (Local Ethernet Network).
  • the vehicle-mounted communication device 111 is connected to the gateway device 101 via a corresponding bus 14 that complies with the Ethernet standard. Further, each control device 122 in the bus connection device group 121 is connected to the gateway device 101 via a corresponding bus 13 according to the CAN standard.
  • Bus 13 is provided for each system, for example.
  • the bus 13 is, for example, a drive system bus, a chassis / safety system bus, a body / electrical system bus, and an AV / information system bus.
  • An engine control device, an AT (Automatic Transmission) control device, and a HEV (Hybrid Electric Vehicle) control device, which are examples of the control device 122, are connected to the drive system bus.
  • the engine control device, the AT control device, and the HEV control device control the engine, the AT, and the switching between the engine and the motor, respectively.
  • a brake control device, a chassis control device, and a steering control device which are examples of the control device 122, are connected to the chassis / safety system bus.
  • the brake control device, chassis control device and steering control device control the brake, chassis and steering, respectively.
  • An instrument display control device, an air conditioner control device, an anti-theft control device, an airbag control device, and a smart entry control device which are examples of the control device 122, are connected to the body / electrical system bus.
  • the instrument display control device, the air conditioner control device, the anti-theft control device, the airbag control device, and the smart entry control device control the instrument, the air conditioner, the anti-theft mechanism, the airbag mechanism, and the smart entry, respectively.
  • the AV / information system bus is connected to a navigation control device, an audio control device, an ETC (Electronic Toll Collection System) (registered trademark) control device, and a telephone control device, which are examples of the control device 122.
  • the navigation control device, the audio control device, the ETC control device, and the telephone control device control the navigation device, the audio device, the ETC device, and the mobile phone, respectively.
  • bus 13 is not limited to the configuration in which the control device 122 is connected, and a device other than the control device 122 may be connected.
  • the gateway device 101 is, for example, a central gateway (CGW), and can communicate with other in-vehicle devices.
  • CGW central gateway
  • the gateway device 101 is, for example, information exchanged between the control devices 122 connected to different buses 13 in the vehicle 1, information exchanged between the in-vehicle communication devices 111, and exchanged between the control device 122 and the in-vehicle communication device 111. Performs relay processing to relay the information to be received.
  • a message is periodically transmitted from one in-vehicle device to another in-vehicle device according to a predetermined agreement.
  • a message transmitted periodically from one control device 122 to another control device 122 will be described, but a message transmitted between the control device 122 and the in-vehicle communication device 111, and between each in-vehicle communication device 111. The same applies to the transmitted message.
  • the message may be transmitted by broadcasting or by unicast.
  • the message transmitted periodically is also referred to as a periodic message.
  • the "periodic message” is not limited to a message that is strictly transmitted periodically, but means a type of message that should be transmitted periodically.
  • vehicle 1 in addition to the periodic message, there is a message transmitted irregularly from one control device 122 to another control device 122.
  • the message includes an ID (Identifier) for identifying the content of the message and the source of the message, and a message number. It is possible to identify whether or not the message is a periodic message by the ID included in the message.
  • FIG. 3 is a diagram showing a configuration of a gateway device in the in-vehicle communication system according to the embodiment of the present disclosure.
  • the gateway device 101 includes a communication processing unit 51, an acquisition unit 52, an extraction unit 53, a calculation unit 54, a detection unit 55, and a storage unit 56.
  • the communication processing unit 51, the acquisition unit 52, the extraction unit 53, the calculation unit 54, and the detection unit 55 are realized by, for example, a processor such as a CPU (Central Processing Unit) and a DSP (Digital Signal Processor).
  • the storage unit 56 is, for example, a flash memory.
  • the gateway device 101 functions as a detection device and performs detection processing for detecting an unauthorized message in the vehicle-mounted network 12.
  • the communication processing unit 51 relays a message transmitted between the control device 122, a message transmitted between the in-vehicle communication device 111, and a message transmitted between the control device 122 and the in-vehicle communication device 111. Do.
  • the communication processing unit 51 when the communication processing unit 51 receives a message from a certain control device 122 via the corresponding bus 13, the communication processing unit 51 adds a time stamp indicating the reception time of the message to the received message. Then, the communication processing unit 51 transmits the message with the time stamp to the other control device 122 via the corresponding bus 13.
  • the acquisition unit 52 acquires the target distribution, which is the distribution of the reception intervals of the periodic messages transmitted in the vehicle-mounted network 12.
  • the acquisition unit 52 acquires the reception time t of the periodic message that is the target of the detection process in the gateway device 101 by monitoring the message relayed by the communication processing unit 51.
  • the periodic message that is the target of the detection process in the gateway device 101 is also referred to as a target message.
  • the target message may be one type of periodic message transmitted from a certain control device 122, or may be a plurality of types of periodic messages transmitted from each of the plurality of control devices 122.
  • the gateway device 101 performs detection processing using the periodic message transmitted from the control device 122A as the “target message M” will be described.
  • the storage unit 56 stores an ID for each type of target message.
  • the ID of the target message M is also referred to as a target ID.
  • the acquisition unit 52 confirms the ID included in the message received by the communication processing unit 51 and the target ID in the storage unit 56.
  • the acquisition unit 52 recognizes that the message received by the communication processing unit 51 is the target message M, and the acquisition unit 52 recognizes that the target message M.
  • the reception time t of the target message M is acquired.
  • the acquisition unit 52 calculates the difference between the reception time t and the reception time t of the immediately preceding target message M as the reception interval x of the target message M.
  • the acquisition unit 52 receives the nth target message Mn received by the communication processing unit 51 at the reception time nt, and the (n-1) th target message M (n-1) received by the communication processing unit 51.
  • the difference from the reception time t (n-1) of -1) is calculated, and the calculated difference is stored in the storage unit 56 as the reception interval xn of the target message Mn.
  • n is a positive integer.
  • the acquisition unit 52 receives the frequency distribution D of the reception interval x of the target message M received by the communication processing unit 51 within the target period Ta, which is a predetermined period, based on the plurality of reception intervals x in the storage unit 56. Is generated, and the generated frequency distribution D is stored in the storage unit 56.
  • the frequency distribution D is an example of a target distribution.
  • the target message M received by the communication processing unit 51 within the target period Ta is also referred to as a target message M in the target period Ta.
  • the frequency distribution D of the reception interval x of the target message M received by the communication processing unit 51 within the target period Ta is also referred to as the frequency distribution D in the target period Ta.
  • the acquisition unit 52 newly generates the frequency distribution D in the target period Ta starting from the time (T1 ⁇ m) at the generation timing according to the period T1, and newly generates the frequency distribution D in the storage unit 56.
  • Update to D m is a positive integer.
  • each target period Ta may be continuous in time. Further, since the cycle T1 is shorter than the target period Ta, each target period Ta may partially overlap in time. Further, since the cycle T1 is longer than the target period Ta, each target period Ta may be provided intermittently.
  • the extraction unit 53 extracts a part of the target distribution acquired by the acquisition unit 52 according to a predetermined standard.
  • the extraction unit 53 uses a mixed Gaussian model to generate a probability density function that approximates the frequency distribution D in the storage unit 56. Then, the extraction unit 53 extracts a part of the generated probability density function according to a predetermined standard.
  • the extraction unit 53 approximates the frequency distribution D in the storage unit 56 by the probability density function P in which the variable is x, which is shown in the following equation (1).
  • K, ck, xx bar and ⁇ k ⁇ 2 are parameters, which are the mixed number of the normal distribution, the mixed ratio of the k-th normal distribution function p, the average value of the k-th normal distribution, and the k-th normal, respectively.
  • the variance of the distribution is an integer from 1 to K.
  • a ⁇ b means a to the b-th power.
  • the k-th normal distribution function p in the equation (1) is represented by the following equation (2).
  • Non-Patent Document 1 O. Cappe, one outside person, “Online exposure maximization algorithm for latent data models", Journalal c1 to cK in the probability density functions P using the Stepwise-EM method described in od the Royal Statistical Society: Series B (Statistical Statistics), Vol.71, P.593-613, 2009. And ⁇ 1 ⁇ 2 to ⁇ K ⁇ 2 are updated.
  • the extraction unit 53 calculates the attenuation coefficient ⁇ t using the following equation (3) in the E step.
  • the extraction unit 53 calculates the i-th burden rate ⁇ i (s) using the following formula (4).
  • the extraction unit 53 calculates the sufficient statistic Si (s) and the updated sufficient statistic S (s) using the following equations (5) and (6).
  • s (s-1) is a sufficient statistic in the previous E step.
  • the extraction unit 53 uses the following equations (7), (8) and (9) to form the i-th mixture ratio ci (s), the i-th average value xi bar (s) and the i-th.
  • the variance ⁇ i ⁇ 2 (s) is calculated.
  • the extraction unit 53 increments the number of calculations w using the following equation (10).
  • the extraction unit 53 generates a probability density function P that approximates the frequency distribution D in the target period Ta by the above-mentioned arithmetic processing.
  • the probability density function P that approximates the frequency distribution D is also referred to as a probability density function P based on the frequency distribution D.
  • FIG. 4 is a diagram showing an example of a probability density function and a cumulative distribution function generated from an extraction unit in the gateway device according to the embodiment of the present disclosure.
  • the solid line shows the probability density function P
  • the alternate long and short dash line shows the cumulative distribution function A.
  • the horizontal axis indicates the reception interval x [seconds]
  • the vertical axis for the probability density function P indicates the probability density
  • the vertical axis for the cumulative distribution function A indicates the probability.
  • the extraction unit 53 generates a cumulative distribution function A by definitely integrating the generated probability density function P.
  • the extraction unit 53 extracts the distribution in the range of the value of the reception interval x when the value of the probability in the generated cumulative distribution function A is within the predetermined range from the frequency distribution D.
  • the extraction unit 53 determines the range of the value of the reception interval x when the value of the probability represented by the generated cumulative distribution function A is within a predetermined range as the extraction interval, and sets the determined extraction interval. Based on this, a part of the probability density function P is extracted.
  • the storage unit 56 stores a predetermined value ya which is a lower limit value and a predetermined value yb which is an upper limit value in a predetermined range of the probability represented by the cumulative distribution function A.
  • the probability represented by the cumulative distribution function A becomes the predetermined value ya based on the generated cumulative distribution function A and the predetermined values ya and yb in the storage unit 56.
  • the reception interval xa and the reception interval xb when the probability represented by the cumulative distribution function A becomes a predetermined value yb are specified.
  • the extraction unit 53 determines a range in which the reception interval x is greater than or equal to xa and less than or equal to xb as the extraction interval [xa, xb], and extracts the probability density function P in the extraction interval [xa, xb].
  • the extraction unit 53 includes K, c1 to cK, x1 bar to xK bar and ⁇ 1 ⁇ 2 to ⁇ K ⁇ 2 in the probability density function P based on the frequency distribution D in the target period Ta, and the determined extraction interval [xa, xb]. ] Is output to the detection unit 55.
  • the extraction unit 53 extracts a part of the frequency distribution D by using the reference distribution which is the distribution of the reception interval x of the periodic message transmitted under the condition that the predetermined condition is satisfied.
  • the above-mentioned predetermined condition is that the utilization rate of the in-vehicle network 12 is lower than the utilization rate of the in-vehicle network 12 when the frequency distribution D of the reception interval x of the target message M is acquired.
  • the utilization rate of the vehicle-mounted network 12 in the vehicle 1 in use is generally about 40%, the vehicle-mounted network 12 when the frequency distribution D of the reception interval x of the target message M is acquired. Similarly, the utilization rate is about 40%.
  • the extraction unit 53 extracts a part of the probability density function P by using the frequency distribution of the periodic message transmitted under the situation where the utilization rate of the in-vehicle network 12 is 0%.
  • the predetermined values ya and yb in the storage unit 56 are the frequencies of the reception intervals x of the periodic messages transmitted from the control device 122A in the gateway device 101 under the condition that the utilization rate of the vehicle-mounted network 12 is 0%.
  • the frequency distribution D (UR0) is an example of a reference distribution.
  • the extraction unit 53 determines the extraction interval [xa, xb] of the probability density function P by using the predetermined values ya and yb determined in advance using the frequency distribution D (UR0).
  • FIG. 5 is a diagram showing an example of a probability density function and a cumulative distribution function generated by an extraction unit in the gateway device according to the embodiment of the present disclosure.
  • the solid line shows the probability density function P
  • the alternate long and short dash line shows the cumulative distribution function A.
  • the horizontal axis indicates the reception interval x [seconds]
  • the vertical axis for the probability density function P indicates the probability density
  • the vertical axis for the cumulative distribution function A indicates the probability.
  • the acquisition unit 52 uses the control device 122A, for example, in a situation where the utilization rate of the in-vehicle network 12 is set to 0% by a worker in a production factory of the vehicle 1 before the vehicle 1 is shipped. Generates a frequency distribution D (UR0) of the reception interval x of the periodic message transmitted from.
  • UR0 frequency distribution D
  • the acquisition unit 52 receives the frequency of the periodic message transmitted from the control device 122A under the situation where the utilization rate of the in-vehicle network 12 is set to 40% by the worker in the production factory of the vehicle 1.
  • Generate distribution D UR40
  • the extraction unit 53 generates a probability density function P (UR0) and a cumulative distribution function A (UR0) that approximate the frequency distribution D (UR0) generated by the acquisition unit 52. Further, the extraction unit 53 generates a probability density function P (UR40) and a cumulative distribution function A (UR40) that approximate the frequency distribution D (UR40) generated by the acquisition unit 52.
  • the extraction unit 53 receives the reception interval xp when the probability represented by the cumulative distribution function A (UR0) is zero, and when the probability represented by the cumulative distribution function A (UR0) reaches 1. Specify the reception interval xq.
  • the extraction unit 53 specifies the probability yp corresponding to the reception interval xp and the probability yq corresponding to the reception interval xq in the cumulative distribution function A (UR40), and sets the probability yp and the probability yq to the predetermined values ya and the predetermined values ya. Each is stored in the storage unit 56 as a value yb.
  • the extraction unit 53 generates the probability density function P each time the frequency distribution D in the target period Ta is generated by the acquisition unit 52, and accumulates the generated probability density function P by definite integral. Generate a distribution function A. Then, the extraction unit 53 determines the extraction interval [xa, xb] based on the generated cumulative distribution function A and the predetermined values ya and yb determined as described above, and determines the extraction interval [xa, xb]. The probability density function P in is extracted.
  • the calculation unit 54 calculates a statistical value of the reception interval of the periodic message based on the frequency distribution D acquired by the acquisition unit 52.
  • the calculation unit 54 calculates the average value Av of the plurality of reception intervals x constituting the updated frequency distribution D. Then, the calculation unit 54 outputs the calculated average value Av to the detection unit 55.
  • the detection unit 55 performs detection processing for detecting an unauthorized message based on a part of the target distribution extracted by the extraction unit 53.
  • the detection unit 55 when the detection unit 55 receives the extraction information from the extraction unit 53, the detection unit 55 performs the detection process based on the received extraction information.
  • the detection unit 55 performs detection processing based on the standard deviation of the reception interval x of the periodic message in a part of the target distribution.
  • the detection unit 55 when the detection unit 55 receives the extraction information from the extraction unit 53, the detection unit 55 refers to the storage unit 56 and from the extraction unit 53 among the plurality of reception intervals x constituting the frequency distribution D in the target period Ta.
  • the reception interval x within the range of the extraction interval [xa, xb] indicated by the received extraction information is extracted, and the standard deviation Sd of the extracted reception interval x is calculated.
  • the storage unit 56 stores the threshold values ThA and ThB regarding the standard deviation Sd.
  • the threshold value ThA is smaller than the threshold value ThB.
  • the detection unit 55 calculates the standard deviation Sd
  • the detected standard deviation Sd is compared with the threshold values ThA and ThB in the storage unit 56, and an invalid message is detected based on the comparison result. For example, when the standard deviation Sd is smaller than the threshold value ThA or larger than the threshold value ThB, the detection unit 55 determines that a part or all of the target message M in the target period Ta is an invalid message.
  • the detection unit 55 includes a shoe heart control chart, an Xbar-R control chart, a CUSUM (Cumulative Sum) control chart, an EWMA (Exponentially Weighted Moving Average) control chart, a MEWMA (Multivariate Moving Average) control chart, and a MEWMA (Multivariate Moving Average) control chart.
  • the detection process is performed using a control chart such as a control chart such as a Multivariate Exponentially Weighted Moving Covariance Control chart.
  • FIG. 6 is a diagram showing a time change of the standard deviation calculated by the detection unit in the gateway device according to the embodiment of the present disclosure.
  • the horizontal axis represents the time [seconds] and the vertical axis represents the standard deviation Sd.
  • the detection unit 55 monitors the time change of the standard deviation Sd calculated for each target period Ta, and when the standard deviation Sd exceeds the upper limit control limit line UCL, the standard deviation Sd manages the lower limit. If the standard deviation Sd exceeds the center line CL for a certain period of time below the limit line LCL, or if the standard deviation Sd falls below the center line CL for a certain period of time, the target message M in the target period Ta. Judge that some or all of the messages are malicious.
  • the lower limit control limit line LCL is the threshold value ThA in the storage unit 56
  • the upper limit control limit line UCL is the threshold value ThB in the storage unit 56.
  • the detection unit 55 performs detection processing based on the number of peaks in a part of the target distribution.
  • the detection unit 55 sets the extraction information in the probability density function P indicated by K, c1 to cK, x1 bar to xK bar and ⁇ 1 ⁇ 2 to ⁇ K ⁇ 2 included in the extraction information received from the extraction unit 53.
  • the number Ps of peaks existing in the extraction interval [xa, xb] indicated by is calculated.
  • the storage unit 56 stores the threshold value ThC regarding the number of peaks Ps.
  • the detection unit 55 calculates the number of peaks Ps, it compares the calculated number of peaks Ps with the threshold value ThC in the storage unit 56, and detects an invalid message based on the comparison result. For example, when the number Ps of peaks is larger than the threshold value ThC, the detection unit 55 determines that a part or all of the target message M in the target period Ta is an invalid message.
  • the detection unit 55 performs detection processing based on the kurtosis in a part of the target distribution.
  • the detection unit 55 sets the extraction information in the probability density function P indicated by K, c1 to cK, x1 bar to xK bar and ⁇ 1 ⁇ 2 to ⁇ K ⁇ 2 included in the extraction information received from the extraction unit 53.
  • the kurtosis Ks of the peak existing in the extraction interval [xa, xb] indicated by is calculated.
  • the storage unit 56 stores the threshold value ThD regarding the kurtosis Ks.
  • the detection unit 55 calculates the peak kurtosis Ks, it compares the calculated kurtosis Ks with the threshold value ThD in the storage unit 56, and detects an unauthorized message based on the comparison result. For example, when the kurtosis Ks is smaller than the threshold value ThD, the detection unit 55 determines that a part or all of the target message M in the target period Ta is an invalid message.
  • the detection unit 55 performs the detection process based on the comparison result between the statistical value such as the average value Av calculated by the calculation unit 54 and the predetermined value.
  • the storage unit 56 stores the threshold values ThE and ThF regarding the average value Av of the reception interval x. It is assumed that the threshold value ThE is smaller than the threshold value ThF.
  • the detection unit 55 When the detection unit 55 receives the average value Av from the calculation unit 54, the detection unit 55 compares the received average value Av with the threshold values ThE and ThF in the storage unit 56, and detects an unauthorized message based on the comparison result. For example, when the average value Av is smaller than the threshold value ThE or larger than the threshold value ThF, the detection unit 55 determines that a part or all of the target message M in the target period Ta is an invalid message.
  • the detection unit 55 may be configured to perform the detection process using the control chart in the detection processes Examples 2 to 4 as in the case of the detection process Example 1.
  • the detection unit 55 uses a part or all of the standard deviation Sd of the reception interval x, the number Ps of the peaks, the kurtosis Ks of the peaks, and the average value Av of the reception interval x, and the degree of abnormality of the target message M.
  • the score indicating the above may be calculated, and the detection process may be performed based on the time change of the calculated score using the control chart.
  • the detection unit 55 determines that a part or all of the target message M in the target period Ta is an invalid message, the detection unit 55 performs the following processing.
  • the detection unit 55 records the information of the target message M transmitted within the target period Ta. Further, the detection unit 55 transmits alarm information indicating that an unauthorized message is being transmitted in the vehicle-mounted network 12 to a higher-level device inside or outside the vehicle 1 via the communication processing unit 51.
  • the host device is, for example, a device such as a server that performs a predetermined process using alarm information.
  • Each device in the in-vehicle communication system includes a computer including a memory, and an arithmetic processing unit such as a CPU in the computer is a program including a part or all of each step of the following flowchart and sequence. Is read from the memory and executed. The programs of these plurality of devices can be installed from the outside. The programs of these plurality of devices are distributed in a state of being stored in a recording medium.
  • FIG. 7 is a flowchart defining an example of an operation procedure when the gateway device in the in-vehicle communication system according to the embodiment of the present disclosure performs detection processing.
  • the gateway device 101 monitors the message transmitted in the vehicle-mounted network 12, and when the target message M is received, the gateway device 101 receives the target message M based on the reception time t of the received target message M.
  • the interval x is calculated, and the calculated reception interval x is stored in the storage unit 56 (step S102).
  • the gateway device 101 repeatedly accumulates the reception interval x until the target period Ta elapses (NO in step S104), and when the target period Ta elapses (YES in step S104), each reception accumulated in the storage unit 56. Based on the interval x, the frequency distribution D of the reception interval x of the target message M in the target period Ta is generated (step S106).
  • the gateway device 101 calculates the average value Av of each reception interval x constituting the generated frequency distribution D (step S108).
  • the gateway device 101 generates a probability density function P that approximates the generated frequency distribution D, and also generates a cumulative distribution function A by definitely integrating the generated probability density function P (step S110).
  • the gateway device 101 has a reception interval xa when the probability represented by the cumulative distribution function A is a predetermined value ya, and a reception interval xb when the probability represented by the cumulative distribution function A is a predetermined value yb.
  • the extraction interval [xa, xb] is determined based on (step S112).
  • the gateway device 101 extracts a part of the frequency distribution D. More specifically, the gateway device 101 extracts the probability density function P in the extraction interval [xa, xb] (step S114).
  • the gateway device 101 sets the extracted information including K, c1 to cK, x1 bar to xK bar and ⁇ 1 ⁇ 2 to ⁇ K ⁇ 2 in the extracted probability density function P, and the determined extraction interval [xa, xb]. Based on this, the standard deviation Sd, the number of peaks Ps, and the peak kurtosis Ks are calculated (step S116).
  • the gateway device 101 performs detection processing based on the average value Av, the standard deviation Sd, the number of peaks Ps, and the peak kurtosis Ks (step S118).
  • the gateway device 101 determines as a result of the detection process that the target message M in the target period Ta is not an invalid message (NO in step S120)
  • the gateway device 101 receives a new target message M and stores the reception interval x. Accumulate in unit 56 (step S102).
  • the gateway device 101 determines that the invalid message is transmitted.
  • the indicated alarm information is transmitted to a higher-level device inside or outside the vehicle 1 (step S122).
  • the gateway device 101 receives the new target message M and stores the reception interval x in the storage unit 56 (step S102).
  • the gateway device 101 may be configured to perform the processing of step S102 and the processing of steps S106 to S122 in parallel.
  • FIG. 8 is a flowchart defining an example of an operation procedure when the gateway device in the in-vehicle communication system according to the embodiment of the present disclosure determines the reference of the extraction section of the probability density function.
  • the gateway device 101 is controlled in a situation where the utilization rate of the in-vehicle network 12 is set to 0% by a worker in a production factory of the vehicle 1, for example, before the vehicle 1 is shipped.
  • a frequency distribution D (UR0) of the reception interval x of the periodic message transmitted from the device 122A is generated (step S202).
  • the gateway device 101 has a frequency of the reception interval x of the periodic message transmitted from the control device 122A under the condition that the utilization rate of the in-vehicle network 12 is set to 40% by the worker in the production factory of the vehicle 1.
  • the distribution D (UR40) is generated (step S204).
  • the gateway device 101 approximates the frequency distribution D (UR0) with the probability density function P (UR0) and the cumulative distribution function A (UR0), and the frequency distribution D (UR40) with the probability density function P (UR40). And the cumulative distribution function A (UR40) is generated (step S206).
  • the gateway device 101 reaches the reception interval xp when the probability represented by the cumulative distribution function A (UR0) is zero, and the probability represented by the cumulative distribution function A (UR0) reaches 1.
  • the reception interval xq is specified (step S208).
  • the gateway device 101 specifies the probability yp corresponding to the reception interval xp and the probability yq corresponding to the reception interval xq in the cumulative distribution function A (UR40), and sets the probability yp and the probability yq to predetermined values ya and yq, respectively. It is stored in the storage unit 56 as a predetermined value yb (step S210).
  • the gateway device 101 is configured to detect an unauthorized message in the vehicle-mounted network 12, but the present invention is not limited to this.
  • a device other than the gateway device 101 may be configured to detect an unauthorized message in the in-vehicle network 12 as a detection device.
  • the gateway device 101 functioning as a detection device is directly connected to the bus 13, but the present invention is not limited to this.
  • FIG. 9 is a diagram showing an example of the connection topology of the in-vehicle network according to the embodiment of the present invention.
  • the detection device 151 may be connected to the bus 13 via an in-vehicle device such as a control device 122. In this case, the detection device 151 detects an unauthorized message transmitted to the bus 13, for example, by monitoring the message transmitted and received by the in-vehicle device.
  • the acquisition unit 52 of the detection device 151 acquires the reception time t of the target message received by the control device 122. Then, the acquisition unit 52 calculates the reception interval x based on the acquired reception time t, and generates the frequency distribution D of the reception interval x.
  • the acquisition unit 52 acquires the reception time t of the target message M by monitoring the message relayed by the communication processing unit 51, and the acquired reception time t.
  • the configuration is such that the difference from the reception time t of the immediately preceding target message M is calculated as the reception interval x of the target message M, but the present invention is not limited to this.
  • the acquisition unit 52 may be configured to receive the reception interval x from an external device of the gateway device 101 via the communication processing unit 51.
  • the detection unit 55 is configured to perform detection processing based on the standard deviation Sd, the number of peaks Ps, the peak kurtosis Ks, and the average value Av. However, it is not limited to this. The detection unit 55 may perform detection processing based on any one, two, or three of the standard deviation Sd, the number of peaks Ps, the peak kurtosis Ks, and the average value Av. Good.
  • the detection unit 55 is configured to calculate the standard deviation Sd, the number of peaks Ps, and the peak kurtosis Ks based on the extracted information. It is not limited to this.
  • the detection unit 55 transmits the extracted information to an external device such as a server outside the vehicle 1, and obtains the standard deviation Sd, the number of peaks Ps, and the peak kurtosis Ks calculated based on the transmitted extracted information. It may be configured to receive from an external device.
  • the calculation unit 54 is configured to calculate the average value Av of the reception interval x as the statistical value of the reception interval x, but the present invention is limited to this. is not it.
  • the calculation unit 54 may be configured to calculate statistical values other than the average value Av, such as the median value of each reception interval x.
  • the gateway device 101 is configured to include a calculation unit 54, but the present invention is not limited to this.
  • the gateway device 101 may be configured not to include the calculation unit 54.
  • the detection unit 55 performs the detection process based on at least one of the standard deviation Sd, the number of peaks Ps, and the peak kurtosis Ks.
  • the calculation unit 54 may be provided in an external device such as a server outside the vehicle 1, for example.
  • the detection unit 55 may be configured to receive the average value Av calculated from the frequency distribution D from the external device.
  • the extraction unit 53 uses the frequency distribution D (UR0), which is an example of the reference distribution, to determine the extraction section based on the predetermined values ya and yb. [Xa, xb] is determined, and the probability density function P in the determined extraction interval [xa, xb] is extracted, but the present invention is not limited to this.
  • the extraction unit 53 may be configured to determine the extraction interval [xa, xb] without using the reference distribution and extract the probability density function P in the determined extraction interval [xa, xb].
  • the extraction unit 53 is determined in advance using the frequency distribution D (UR0) of the reception interval x under the situation where the utilization rate of the vehicle-mounted network 12 is 0%.
  • the extraction unit 53 uses a predetermined value predetermined using the frequency distribution D (UR10) of the reception interval x under the situation where the utilization rate of the vehicle-mounted network 12 is, for example, 10%, and uses a part of the probability density function P. It may be a configuration to be extracted.
  • the inventors of the present application evaluated a detection method using the standard deviation of the reception interval of the periodic message as the fingerprint information by the following procedure.
  • the inventors of the present application generated a simulated in-vehicle network by connecting an in-vehicle device having an oscillator A having a clock frequency of 8 MHz and a frequency deviation of plus or minus 30 ppm, and a logger to a CAN bus. ..
  • the inventors of the present application set the period of the periodic message transmitted from the in-vehicle device to 100 milliseconds, and monitored the transmission interval of the periodic message in the in-vehicle device using an oscilloscope. Further, the inventors of the present application set the simulated in-vehicle network to the network utilization rate, that is, the traffic in each situation of 0%, 40%, and 80%, and under each situation, in the logger of the periodic message from the in-vehicle device. The reception interval was monitored.
  • the inventors of the present application mount the vibrator B having a clock frequency of 8 MHz and a frequency deviation of plus or minus 20 ppm in the in-vehicle device, and similarly, each of the traffic. Under the circumstances, the transmission interval of the periodic message in the in-vehicle device and the reception interval in the logger were monitored.
  • the inventors of the present application mount an oscillator C having a clock frequency of 8 MHz and a frequency deviation of plus or minus 30 ppm in an in-vehicle device instead of the oscillator A, and similarly, each situation regarding traffic.
  • the transmission interval of the periodic message in the in-vehicle device and the reception interval in the logger were monitored.
  • FIG. 10 to 12 are diagrams showing the verification results of the inventors of the present application.
  • FIG. 10 shows the standard deviation of the transmission interval of the periodic message in the in-vehicle device for each oscillator mounted in the in-vehicle device.
  • FIG. 11 shows the standard deviation of the periodic message reception interval in the logger when the traffic is 40% for each oscillator mounted on the vehicle-mounted device.
  • FIG. 12 shows the standard deviation of the periodic message reception interval in the logger when the traffic is 80% for each oscillator mounted on the vehicle-mounted device.
  • the acquisition unit 52 acquires the target distribution, which is the distribution of the reception intervals of the periodic messages transmitted in the vehicle-mounted network 12.
  • the extraction unit 53 extracts a part of the target distribution acquired by the acquisition unit 52 according to a predetermined standard.
  • the detection unit 55 performs detection processing for detecting an unauthorized message based on a part of the target distribution extracted by the extraction unit 53.
  • the detection method according to the embodiment of the present disclosure is the detection method in the gateway device 101 that detects an unauthorized message in the vehicle-mounted network 12.
  • the gateway device 101 first acquires a target distribution, which is a distribution of reception intervals of periodic messages transmitted in the vehicle-mounted network 12.
  • the gateway device 101 extracts a part of the acquired target distribution according to a predetermined standard.
  • the gateway device 101 performs a detection process for detecting an unauthorized message based on a part of the extracted target distribution.
  • a part of the target distribution is extracted according to a predetermined criterion, and a rogue message is detected based on the part of the extracted target distribution.
  • a portion reflecting characteristics such as frequency can be extracted, and based on the extracted portion, it can be identified whether or not the in-vehicle device of the transmission source is an illegal in-vehicle device.
  • the gateway device and the detection method according to the embodiment of the present disclosure can more accurately detect an unauthorized message in the vehicle-mounted network.
  • a detection device that detects malicious messages in an in-vehicle network.
  • An acquisition unit that acquires a target distribution, which is a distribution of reception intervals of periodic messages transmitted in the in-vehicle network.
  • An extraction unit that extracts a part of the target distribution acquired by the acquisition unit according to a predetermined standard, and an extraction unit.
  • a detection unit that performs detection processing for detecting the malicious message based on a part of the target distribution extracted by the extraction unit is provided.
  • the extraction unit generates a probability density function that approximates the target distribution and a cumulative distribution function based on the probability density function.
  • the extraction unit is a detection device that extracts a distribution in the range of the value of the reception interval when the value of the probability in the generated cumulative distribution function is within a predetermined range from the target distribution.
  • a detection device equipped with a processor that detects malicious messages in an in-vehicle network mounted on a vehicle.
  • the processor An acquisition unit that acquires a target distribution, which is a distribution of reception intervals of periodic messages transmitted in the in-vehicle network.
  • An extraction unit that extracts a part of the target distribution acquired by the acquisition unit according to a predetermined standard, and an extraction unit.
  • a detection device that realizes a detection unit that performs detection processing for detecting the malicious message based on a part of the target distribution extracted by the extraction unit.
  • Gateway device 111 In-vehicle communication device 111A TCU (In-vehicle communication device) 111B Short-range wireless terminal device (vehicle-mounted communication device) 111C ITS radio (vehicle-mounted communication device) 112 Port 121 Bus connection device group 122, 122A, 122B, 122C Control device 151 Detection device 301 In-vehicle communication system

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mechanical Engineering (AREA)
  • Small-Scale Networks (AREA)

Abstract

検知装置は、前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備える。

Description

検知装置、車両、検知方法および検知プログラム
　本開示は、検知装置、車両、検知方法および検知プログラムに関する。
　この出願は、２０１９年１２月５日に出願された日本出願特願２０１９－２１９９９３号を基礎とする優先権を主張し、その開示のすべてをここに取り込む。
　特許文献１（特開２０１４－１４６８６８号公報）には、以下のようなネットワーク装置が開示されている。すなわち、ネットワーク装置は、データを受信する通信部と、データを受信した受信時間を管理する時間管理部と、受信したデータを処理する制御部とを有し、周期的にデータを受信して処理するネットワーク装置において、前記制御部は、前記通信部で受信したデータが有する識別子毎に前記時間管理部における受信時刻を記録し、基準とするデータと同じ識別子を持つデータを受信した間隔が所定周期より短い第１のデータを受信した場合に、前記基準とするデータを受信した時刻から前記所定周期経過するまでに前記第１のデータと同じ識別子を持つ第２のデータを受信した時には、周期異常検出時処理を行い、前記所定周期経過するまでに前記第１のデータと同じ識別子を持つデータを受信しなかった時には、前記第１のデータについて所定の処理を行う。
　また、特許文献２（米国特許出願公開第２０１７／２８６６７５号明細書）には、以下のような検出方法が開示されている。すなわち、検出方法は、車両ネットワーク内の侵入を検出する方法であって、受信側ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）において、送信側ＥＣＵから車両ネットワーク経由で前記受信側ＥＣＵへ定期的に送信される、タイムスタンプ情報を含まない複数のメッセージを受信し、受信側ＥＣＵにおいて、複数のメッセージに基づいて前記送信側ＥＣＵのクロックスキューを決定し、受信側ＥＣＵにおいて、前記送信側ＥＣＵのクロックスキューをベースライン値と比較することにより、前記送信側ＥＣＵのクロックスキューの突然の変化を検出し、受信側ＥＣＵにおいて、前記送信側ＥＣＵのクロックスキューの突然の変化の検出に基づいて、前記送信側ＥＣＵが危険にさらされていると特定する。
特開２０１４－１４６８６８号公報 米国特許出願公開第２０１７／０２８６６７５号明細書
Ｏ．Ｃａｐｐｅ、外１名、"Ｏｎｌｉｎｅ　ｅｘｐｅｃｔａｔｉｏｎ　ｍａｘｉｍｉｚａｔｉｏｎ　ａｌｇｏｒｉｔｈｍ　ｆｏｒ　ｌａｔｅｎｔ　ｄａｔａ　ｍｏｄｅｌｓ"、Ｊｏｕｒｎａｌ　ｏｄ　ｔｈｅ　Ｒｏｙａｌ　Ｓｔａｔｉｓｔｉｃｓ　Ｓｏｃｉｅｔｙ：　Ｓｅｒｉｅｓ　Ｂ　（Ｓｔａｔｉｓｔｉｃａｌ　Ｍｅｔｈｏｄｏｌｏｇｙ）、Ｖｏｌ．７１、Ｐ．５９３－６１３、２００９
　本開示の検知装置は、車載ネットワークにおける不正メッセージを検知する検知装置であって、前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備える。
　本開示の検知方法は、車載ネットワークにおける不正メッセージを検知する検知装置における検知方法であって、前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得するステップと、取得した前記対象分布の一部を所定の基準に従って抽出するステップと、抽出した前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行うステップとを含む。
　本開示の検知プログラムは、車載ネットワークにおける不正メッセージを検知する検知装置において用いられる検知プログラムであって、コンピュータを、記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部、として機能させるためのプログラムである。
　本開示の一態様は、検知装置の一部または全部を実現する半導体集積回路として実現され得たり、検知装置を備えるシステムとして実現され得る。また、本開示の一態様は、検知装置を備えるシステムの一部または全部を実現する半導体集積回路として実現され得たり、検知装置を備えるシステムにおける処理のステップをコンピュータに実行させるためのプログラムとして実現され得る。
図１は、本開示の実施の形態に係る車載通信システムの構成を示す図である。 図２は、本開示の実施の形態に係るバス接続装置群の構成を示す図である。 図３は、本開示の実施の形態に係る車載通信システムにおけるゲートウェイ装置の構成を示す図である。 図４は、本開示の実施の形態に係るゲートウェイ装置における抽出部より生成される確率密度関数および累積分布関数の一例を示す図である。 図５は、本開示の実施の形態に係るゲートウェイ装置における抽出部により生成される確率密度関数および累積分布関数の一例を示す図である。 図６は、本開示の実施の形態に係るゲートウェイ装置において検知部により算出される標準偏差の時間変化を示す図である。 図７は、本開示の実施の形態に係る車載通信システムにおけるゲートウェイ装置が検知処理を行う際の動作手順の一例を定めたフローチャートである。 図８は、本開示の実施の形態に係る車載通信システムにおけるゲートウェイ装置が確率密度関数の抽出区間の基準を決定する際の動作手順の一例を定めたフローチャートである。 図９は、本発明の実施の形態に係る車載ネットワークの接続トポロジの一例を示す図である。 図１０は、本願発明者らの検証結果を示す図である。 図１１は、本願発明者らの検証結果を示す図である。 図１２は、本願発明者らの検証結果を示す図である。
　従来、車載ネットワークにおけるセキュリティを向上させるための技術が開発されている。
　［本開示が解決しようとする課題］
　特許文献１および２に記載の技術を超えて、車載ネットワークにおける不正メッセージをより正しく検知することを可能とする技術が望まれる。
　本開示は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおける不正メッセージをより正しく検知することが可能な検知装置、車両、検知方法および検知プログラムを提供することである。
　［本開示の効果］
　本開示によれば、車載ネットワークにおける不正メッセージをより正しく検知することが可能である。
　［本開示の実施形態の説明］
　最初に、本開示の実施形態の内容を列記して説明する。
　（１）本開示の実施の形態に係る検知装置は、車載ネットワークにおける不正メッセージを検知する検知装置であって、前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備える。
　このように、対象分布の一部を所定の基準に従って抽出し、抽出した対象分布の一部に基づいて不正メッセージを検知する構成により、たとえば、対象分布から、送信元の車載装置におけるクロック周波数等の特性が反映された部分を抽出し、抽出部分に基づいて、送信元の車載装置が不正な車載装置であるか否かを識別することができる。したがって、車載ネットワークにおける不正メッセージをより正しく検知することができる。
　（２）好ましくは、前記抽出部は、所定条件を満たす状況下において送信される前記周期メッセージの受信間隔の分布である参照分布を用いて、前記対象分布の一部を抽出する。
　このような構成により、条件を指定した参照分布を用いて、対象分布から、たとえば送信元の車載装置におけるクロック周波数等の特性がより強く反映された部分を抽出することができるため、不正メッセージをより正しく検知することができる。
　（３）より好ましくは、前記所定条件は、前記車載ネットワークの利用率が、前記対象分布が取得されるときの前記車載ネットワークの利用率よりも低いことである。
　このような構成により、車載ネットワークの利用率に応じた周期メッセージの送信遅延等の影響が低減された参照分布を用いて、対象分布から、車載ネットワークの利用率に応じた影響が比較的小さい部分を抽出することができるため、不正メッセージをより正しく検知することができる。
　（４）好ましくは、前記検知部は、前記対象分布の前記一部における前記周期メッセージの受信間隔の標準偏差に基づいて、前記検知処理を行う。
　対象分布の一部における周期メッセージの受信間隔の標準偏差を算出する際の計算負荷は、対象分布の一部におけるピークの数および尖度を算出する際の計算負荷と比べて小さい。したがって、上記のような構成により、対象分布に対する簡易な演算処理で検知処理を行うことができる。
　（５）好ましくは、前記検知部は、前記対象分布の前記一部におけるピークの数に基づいて、前記検知処理を行う。
　対象分布の一部におけるピークの数を算出する際の計算負荷は、対象分布の一部における尖度を算出する際の計算負荷と比べて小さい。したがって、上記のような構成により、対象分布に対する比較的簡易な演算処理で、回避され難い検知処理を行うことができる。
　（６）好ましくは、前記検知部は、前記対象分布の前記一部における尖度に基づいて、前記検知処理を行う。
　このような構成により、回避され難い検知処理を行うことができる。
　（７）好ましくは、前記検知装置は、さらに、前記取得部によって取得された前記対象分布に基づいて、前記周期メッセージの受信間隔の統計値を算出する算出部を備え、前記検知部は、前記算出部によって算出された前記統計値と、所定値との比較結果に基づいて、前記検知処理を行う。
　このような構成により、たとえば、送信元の車載装置における、実際の送信周期と設計上の送信周期との誤差が反映された統計値に基づいて、多様な検知処理を行うことができる。
　（８）本開示の実施の形態に係る車両は、前記検知装置を備える。
　このような構成により、検知装置を備える車両において、車載ネットワークにおける不正メッセージをより正しく検知することができる。
　（９）本開示の実施の形態に係る検知方法は、車載ネットワークにおける不正メッセージを検知する検知装置における検知方法であって、前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得するステップと、取得した前記対象分布の一部を所定の基準に従って抽出するステップと、抽出した前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行うステップとを含む。
　このように、対象分布の一部を所定の基準に従って抽出し、抽出した対象分布の一部に基づいて不正メッセージを検知する方法により、たとえば、対象分布から、送信元の車載装置におけるクロック周波数等の特性が反映された部分を抽出し、抽出部分に基づいて、送信元の車載装置が不正な車載装置であるか否かを識別することができる。したがって、車載ネットワークにおける不正メッセージをより正しく検知することができる。
　（１０）本開示の実施の形態に係る検知プログラムは、車載ネットワークにおける不正メッセージを検知する検知装置において用いられる検知プログラムであって、コンピュータを、記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部、として機能させるためのプログラムである。
　このように、対象分布の一部を所定の基準に従って抽出し、抽出した対象分布の一部に基づいて不正メッセージを検知する構成により、たとえば、対象分布から、送信元の車載装置におけるクロック周波数等の特性が反映された部分を抽出し、抽出部分に基づいて、送信元の車載装置が不正な車載装置であるか否かを識別することができる。したがって、車載ネットワークにおける不正メッセージをより正しく検知することができる。
　以下、本開示の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。
　［構成および基本動作］
　図１は、本開示の実施の形態に係る車載通信システムの構成を示す図である。
　図１を参照して、車載通信システム３０１は、ゲートウェイ装置１０１と、複数の車載通信機１１１と、複数のバス接続装置群１２１とを備える。車載通信システム３０１は、車両１に搭載される。
　図２は、本開示の実施の形態に係るバス接続装置群の構成を示す図である。
　図２を参照して、バス接続装置群１２１は、制御装置１２２Ａ，１２２Ｂ，１２２Ｃを含む。以下、制御装置１２２Ａ，１２２Ｂ，１２２Ｃの各々を制御装置１２２とも称する。なお、バス接続装置群１２１は、３つの制御装置１２２を備える構成に限らず、１つ、２つまたは４つ以上の制御装置１２２を含む構成であってもよい。
　車載ネットワーク１２は、車載装置の一例である、ゲートウェイ装置１０１、複数の車載通信機１１１および複数の制御装置１２２を含む。なお、車載ネットワーク１２は、複数の車載通信機１１１を含みかつ制御装置１２２を含まない構成であってもよいし、車載通信機１１１を含まずかつ複数の制御装置１２２を含む構成であってもよいし、１つの車載通信機１１１および１つの制御装置１２２を含む構成であってもよい。
　車載ネットワーク１２において、車載通信機１１１は、たとえば、車両１の外部における装置と通信する。具体的には、車載通信機１１１は、たとえば、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｕｎｉｔ）１１１Ａ、近距離無線端末装置１１１Ｂ、およびＩＴＳ（Ｉｎｔｅｌｌｉｇｅｎｔ　Ｔｒａｎｓｐｏｒｔ　Ｓｙｓｔｅｍｓ）無線機１１１Ｃである。
　ＴＣＵ１１１Ａは、たとえば、ＬＴＥ（Ｌｏｎｇ　Ｔｅｒｍ　Ｅｖｏｌｕｔｉｏｎ）または３Ｇ等の通信規格に従って、無線基地局装置と無線通信を行うことが可能であり、かつゲートウェイ装置１０１と通信を行うことが可能である。ＴＣＵ１１１Ａは、たとえば、ナビゲーション、車両盗難防止、リモートメンテナンスおよびＦＯＴＡ（Ｆｉｒｍｗａｒｅ　Ｏｖｅｒ　Ｔｈｅ　Ａｉｒ）等のサービスに用いる情報を中継する。
　近距離無線端末装置１１１Ｂは、たとえば、Ｗｉ－Ｆｉ（登録商標）およびＢｌｕｅｔｏｏｔｈ（登録商標）等の通信規格に従って、車両１に乗車している人間すなわち搭乗者の保持するスマートホン等の無線端末装置と無線通信を行うことが可能であり、かつゲートウェイ装置１０１と通信を行うことが可能である。当該近距離無線端末装置１１１Ｂは、たとえば、エンターテイメント等のサービスに用いる情報を中継する。
　また、近距離無線端末装置１１１Ｂは、たとえば、所定の通信規格に従って、搭乗者の保持するスマートキー等の無線端末装置、およびタイヤに設けられた無線端末装置とＬＦ（Ｌｏｗ　Ｆｒｅｑｕｅｎｃｙ）帯またはＵＨＦ（Ｕｌｔｒａ　Ｈｉｇｈ　Ｆｒｅｑｕｅｎｃｙ）帯の電波を用いて無線通信を行うことが可能であり、かつゲートウェイ装置１０１と通信を行うことが可能である。当該近距離無線端末装置１１１Ｂは、たとえば、スマートエントリおよびＴＰＭＳ（Ｔｉｒｅ　Ｐｒｅｓｓｕｒｅ　Ｍｏｎｉｔｏｒｉｎｇ　Ｓｙｓｔｅｍ）等のサービスに用いる情報を中継する。
　ＩＴＳ無線機１１１Ｃは、たとえば、道路の近傍に設けられた光ビーコン、電波ビーコンおよびＩＴＳスポット等の路側機と路車間通信を行うことが可能であり、他の車両に搭載された車載端末と車車間通信を行うことが可能であり、かつゲートウェイ装置１０１と通信を行うことが可能である。ＩＴＳ無線機１１１Ｃは、たとえば、渋滞緩和、安全運転支援およびルートガイダンス等のサービスに用いる情報を中継する。
　ゲートウェイ装置１０１は、たとえば、ファームウェアのアップデート等のデータ、およびゲートウェイ装置１０１により蓄積されたデータ等を車両１の外部における整備用端末装置とポート１１２を介して送受信することが可能である。
　ゲートウェイ装置１０１は、たとえばバス１３，１４を介して車載ネットワーク１２における他の車載装置と接続される。具体的には、バス１３，１４は、たとえば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）（登録商標）、ＦｌｅｘＲａｙ（登録商標）、ＭＯＳＴ（Ｍｅｄｉａ　Ｏｒｉｅｎｔｅｄ　Ｓｙｓｔｅｍｓ　Ｔｒａｎｓｐｏｒｔ）（登録商標）、イーサネット（登録商標）、およびＬＩＮ（Ｌｏｃａｌ　Ｉｎｔｅｒｃｏｎｎｅｃｔ　Ｎｅｔｗｏｒｋ）等の規格に従うバスである。
　この例では、車載通信機１１１は、イーサネットの規格に従う対応のバス１４を介してゲートウェイ装置１０１と接続されている。また、バス接続装置群１２１における各制御装置１２２は、ＣＡＮの規格に従う対応のバス１３を介してゲートウェイ装置１０１と接続されている。
　バス１３は、たとえば系統別に設けられる。具体的には、バス１３は、たとえば、駆動系バス、シャーシ／安全系バス、ボディ／電装系バスおよびＡＶ／情報系バスである。
　駆動系バスには、制御装置１２２の一例であるエンジン制御装置、ＡＴ（Ａｕｔｏｍａｔｉｃ　Ｔｒａｎｓｍｉｓｓｉｏｎ）制御装置およびＨＥＶ（Ｈｙｂｒｉｄ　Ｅｌｅｃｔｒｉｃ　Ｖｅｈｉｃｌｅ）制御装置が接続されている。エンジン制御装置、ＡＴ制御装置およびＨＥＶ制御装置は、エンジン、ＡＴ、およびエンジンとモータとの切替をそれぞれ制御する。
　シャーシ／安全系バスには、制御装置１２２の一例であるブレーキ制御装置、シャーシ制御装置およびステアリング制御装置が接続されている。ブレーキ制御装置、シャーシ制御装置およびステアリング制御装置は、ブレーキ、シャーシおよびステアリングをそれぞれ制御する。
　ボディ／電装系バスには、制御装置１２２の一例である計器表示制御装置、エアコン制御装置、盗難防止制御装置、エアバック制御装置およびスマートエントリ制御装置が接続されている。計器表示制御装置、エアコン制御装置、盗難防止制御装置、エアバック制御装置およびスマートエントリ制御装置は、計器、エアコン、盗難防止機構、エアバック機構およびスマートエントリをそれぞれ制御する。
　ＡＶ／情報系バスには、制御装置１２２の一例であるナビゲーション制御装置、オーディオ制御装置、ＥＴＣ（Ｅｌｅｃｔｒｏｎｉｃ　Ｔｏｌｌ　Ｃｏｌｌｅｃｔｉｏｎ　Ｓｙｓｔｅｍ）（登録商標）制御装置および電話制御装置が接続されている。ナビゲーション制御装置、オーディオ制御装置、ＥＴＣ制御装置および電話制御装置は、ナビゲーション装置、オーディオ装置、ＥＴＣ装置および携帯電話をそれぞれ制御する。
　また、バス１３には、制御装置１２２が接続される構成に限らず、制御装置１２２以外の装置が接続されてもよい。
　ゲートウェイ装置１０１は、たとえば、セントラルゲートウェイ（Ｃｅｎｔｒａｌ　Ｇａｔｅｗａｙ：ＣＧＷ）であり、他の車載装置と通信を行うことが可能である。
　ゲートウェイ装置１０１は、たとえば、車両１において異なるバス１３に接続された制御装置１２２間でやり取りされる情報、各車載通信機１１１間でやり取りされる情報、制御装置１２２および車載通信機１１１間でやり取りされる情報を中継する中継処理を行う。
　より詳細には、車両１では、たとえば、所定の取り決めに従って、ある車載装置から他の車載装置へ周期的にメッセージが送信される。この例では、ある制御装置１２２から他の制御装置１２２へ周期的に送信されるメッセージについて説明するが、制御装置１２２および車載通信機１１１間において送信されるメッセージ、ならびに各車載通信機１１１間において送信されるメッセージについても同様である。
　メッセージの送信は、ブロードキャストによって行われてもよいし、ユニキャストによって行われてもよい。以下、周期的に送信されるメッセージを周期メッセージとも称する。なお、「周期メッセージ」とは、厳密に周期的に送信されたメッセージに限らず、周期的に送信されるべき種類のメッセージを意味するものとする。
　車両１では、周期メッセージの他に、ある制御装置１２２から他の制御装置１２２へ不定期に送信されるメッセージが存在する。メッセージには、メッセージの内容およびメッセージの送信元を識別するためのＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）と、メッセージ番号とが含まれる。メッセージに含まれるＩＤによって、当該メッセージが周期メッセージであるか否かを識別することが可能である。
　［ゲートウェイ装置の構成］
　図３は、本開示の実施の形態に係る車載通信システムにおけるゲートウェイ装置の構成を示す図である。
　図３を参照して、ゲートウェイ装置１０１は、通信処理部５１と、取得部５２と、抽出部５３と、算出部５４と、検知部５５と、記憶部５６とを備える。
　通信処理部５１、取得部５２、抽出部５３、算出部５４および検知部５５は、たとえば、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）およびＤＳＰ（Ｄｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒ）等のプロセッサによって実現される。記憶部５６は、たとえばフラッシュメモリである。
　ゲートウェイ装置１０１は、検知装置として機能し、車載ネットワーク１２における不正メッセージを検知する検知処理を行う。
　［通信処理部］
　通信処理部５１は、制御装置１２２間で伝送されるメッセージ、車載通信機１１１間で伝送されるメッセージ、および制御装置１２２と車載通信機１１１との間で伝送されるメッセージを中継する中継処理を行う。
　たとえば、通信処理部５１は、ある制御装置１２２から対応のバス１３経由でメッセージを受信すると、受信したメッセージに、当該メッセージの受信時刻を示すタイムスタンプを付与する。そして、通信処理部５１は、タイムスタンプが付与されたメッセージを他の制御装置１２２へ対応のバス１３経由で送信する。
　［取得部］
　取得部５２は、車載ネットワーク１２において送信される周期メッセージの受信間隔の分布である対象分布を取得する。
　たとえば、取得部５２は、通信処理部５１によって中継されるメッセージを監視することにより、ゲートウェイ装置１０１における検知処理の対象となる周期メッセージの受信時刻ｔを取得する。以下、ゲートウェイ装置１０１における検知処理の対象となる周期メッセージを、対象メッセージとも称する。
　対象メッセージは、ある制御装置１２２から送信される１種類の周期メッセージであってもよいし、複数の制御装置１２２の各々から送信される複数種類の周期メッセージあってもよい。以下では、ゲートウェイ装置１０１が、制御装置１２２Ａから送信される周期メッセージを「対象メッセージＭ」として検知処理を行う例について説明する。
　たとえば、記憶部５６は、対象メッセージの種類ごとのＩＤを記憶している。以下、対象メッセージＭのＩＤを対象ＩＤとも称する。
　取得部５２は、中継処理を行うべきメッセージを通信処理部５１が受信すると、通信処理部５１によって受信されたメッセージに含まれるＩＤ、および記憶部５６における対象ＩＤを確認する。
　そして、取得部５２は、通信処理部５１によって受信されたメッセージに含まれるＩＤが対象ＩＤと一致する場合、通信処理部５１によって受信されたメッセージが対象メッセージＭであると認識し、当該対象メッセージＭに付与されたタイムスタンプを参照することにより、対象メッセージＭの受信時刻ｔを取得する。
　取得部５２は、対象メッセージＭの受信時刻ｔを取得すると、当該受信時刻ｔと、直前の対象メッセージＭの受信時刻ｔとの差分を対象メッセージＭの受信間隔ｘとして算出する。
　より詳細には、取得部５２は、通信処理部５１によって受信されたｎ回目の対象メッセージＭｎの受信時刻ｔｎと、通信処理部５１によって受信された（ｎ－１）回目の対象メッセージＭ（ｎ－１）の受信時刻ｔ（ｎ－１）との差分を算出し、算出した差分を対象メッセージＭｎの受信間隔ｘｎとして記憶部５６に保存する。ここで、ｎは正の整数である。
　そして、取得部５２は、記憶部５６における複数の受信間隔ｘに基づいて、所定の期間である対象期間Ｔａ内に通信処理部５１によって受信された対象メッセージＭの、受信間隔ｘの度数分布Ｄを生成し、生成した度数分布Ｄを記憶部５６に保存する。度数分布Ｄは、対象分布の一例である。以下、対象期間Ｔａ内に通信処理部５１によって受信された対象メッセージＭを、対象期間Ｔａにおける対象メッセージＭとも称する。また、対象期間Ｔａ内に通信処理部５１によって受信された対象メッセージＭの受信間隔ｘの度数分布Ｄを、対象期間Ｔａにおける度数分布Ｄとも称する。
　たとえば、取得部５２は、周期Ｔ１に従う生成タイミングにおいて、時刻（Ｔ１×ｍ）から始まる対象期間Ｔａにおける度数分布Ｄを新たに生成し、記憶部５６における度数分布Ｄを、新たに生成した度数分布Ｄに更新する。ここで、ｍは正の整数である。
　なお、周期Ｔ１が対象期間Ｔａと同じであることにより、各対象期間Ｔａが時間的に連続してもよい。また、周期Ｔ１が対象期間Ｔａよりも短いことにより、各対象期間Ｔａが時間的に一部重複してもよい。また、周期Ｔ１が対象期間Ｔａよりも長いことにより、各対象期間Ｔａが間欠的に設けられてもよい。
　［抽出部］
　抽出部５３は、取得部５２によって取得された対象分布の一部を所定の基準に従って抽出する。
　たとえば、抽出部５３は、混合ガウスモデルを用いて、記憶部５６における度数分布Ｄを近似する確率密度関数を生成する。そして、抽出部５３は、生成した当該確率密度関数の一部を、所定の基準に従って抽出する。
　（確率密度関数による近似）
　たとえば、抽出部５３は、記憶部５６おける度数分布Ｄを、以下の式（１）に示す、変数をｘとする確率密度関数Ｐにより近似する。
Figure JPOXMLDOC01-appb-M000001
　ここで、Ｋ、ｃｋ、ｘｋバーおよびσｋ＾２は、パラメータであり、それぞれ正規分布の混合数、ｋ番目の正規分布関数ｐの混合比、ｋ番目の正規分布の平均値およびｋ番目の正規分布の分散である。ここで、ｋは１～Ｋまでの整数である。なお、「ａ＾ｂ」は、ａのｂ乗を意味する。
　また、式（１）におけるｋ番目の正規分布関数ｐは、以下の式（２）により表される。
Figure JPOXMLDOC01-appb-M000002
　たとえば、抽出部５３は、取得部５２によって記憶部５６おける度数分布Ｄが更新されるたびに、非特許文献１（Ｏ．Ｃａｐｐｅ、外１名、”Ｏｎｌｉｎｅ　ｅｘｐｅｃｔａｔｉｏｎ　ｍａｘｉｍｉｚａｔｉｏｎ　ａｌｇｏｒｉｔｈｍ　ｆｏｒ　ｌａｔｅｎｔ　ｄａｔａ　ｍｏｄｅｌｓ”、Ｊｏｕｒｎａｌ　ｏｄ　ｔｈｅ　Ｒｏｙａｌ　Ｓｔａｔｉｓｔｉｃｓ　Ｓｏｃｉｅｔｙ：　Ｓｅｒｉｅｓ　Ｂ　（Ｓｔａｔｉｓｔｉｃａｌ　Ｍｅｔｈｏｄｏｌｏｇｙ）、Ｖｏｌ．７１、Ｐ．５９３－６１３、２００９）に記載のＳｔｅｐｗｉｓｅ－ＥＭ法を用いて、確率密度関数Ｐにおけるｃ１～ｃＫ、ｘ１バー～ｘＫバーおよびσ１＾２～σＫ＾２を更新する。
　より詳細には、抽出部５３は、ＥステップおよびＭステップにおいて、ｉ＝１～Ｋの各々についてＳｔｅｐｗｉｓｅ－ＥＭ法を適用することでｃｉ、ｘｉバーおよびσｉ＾２を算出する。
　具体的には、抽出部５３は、Ｅステップにおいて、以下の式（３）を用いて減衰係数ηｔを算出する。
Figure JPOXMLDOC01-appb-M000003
　また、抽出部５３は、以下の式（４）を用いてｉ番目の負担率γｉ（ｓ）を算出する。
Figure JPOXMLDOC01-appb-M000004
　抽出部５３は、以下の式（５）および（６）を用いて、十分統計量Ｓｉ（ｓ）および更新後の十分統計量Ｓ（ｓ）を算出する。
Figure JPOXMLDOC01-appb-M000005
Figure JPOXMLDOC01-appb-M000006
　ここで、ｓ（ｓ－１）は、１つ前のＥステップにおける十分統計量である。
　抽出部５３は、Ｍステップでは、以下の式（７）、（８）および（９）を用いてｉ番目の混合比ｃｉ（ｓ）、ｉ番目の平均値ｘｉバー（ｓ）およびｉ番目の分散σｉ＾２（ｓ）を算出する。
Figure JPOXMLDOC01-appb-M000007
Figure JPOXMLDOC01-appb-M000008
Figure JPOXMLDOC01-appb-M000009
　そして、抽出部５３は、以下の式（１０）を用いて計算回数ｗをインクリメントする。
Figure JPOXMLDOC01-appb-M000010
　抽出部５３は、上述の演算処理により、対象期間Ｔａにおける度数分布Ｄを近似する確率密度関数Ｐを生成する。以下、度数分布Ｄを近似する確率密度関数Ｐを、度数分布Ｄに基づく確率密度関数Ｐとも称する。
　（確率密度関数の一部の抽出）
　図４は、本開示の実施の形態に係るゲートウェイ装置における抽出部より生成される確率密度関数および累積分布関数の一例を示す図である。図４において、実線は確率密度関数Ｐを示し、一点鎖線は累積分布関数Ａを示す。また、図４において、横軸は受信間隔ｘ［秒］を示し、確率密度関数Ｐについての縦軸は確率密度を示し、累積分布関数Ａについての縦軸は確率を示す。
　図４を参照して、抽出部５３は、生成した確率密度関数Ｐを定積分することにより、累積分布関数Ａを生成する。
　たとえば、抽出部５３は、度数分布Ｄのうち、生成した累積分布関数Ａにおける確率の値が所定範囲内となるときの受信間隔ｘの値の範囲における分布を抽出する。
　より詳細には、抽出部５３は、生成した累積分布関数Ａにより表される確率の値が所定範囲内となるときの受信間隔ｘの値の範囲を抽出区間として決定し、決定した抽出区間に基づいて確率密度関数Ｐの一部を抽出する。
　たとえば、記憶部５６は、累積分布関数Ａにより表される確率の所定範囲における、下限値である所定値ｙａおよび上限値である所定値ｙｂを記憶している。
　抽出部５３は、累積分布関数Ａを生成すると、生成した累積分布関数Ａおよび記憶部５６における所定値ｙａ，ｙｂに基づいて、累積分布関数Ａにより表される確率が所定値ｙａとなるときの受信間隔ｘａ、および累積分布関数Ａにより表される確率が所定値ｙｂとなるときの受信間隔ｘｂを特定する。
　そして、抽出部５３は、受信間隔ｘがｘａ以上かつｘｂ以下の範囲を抽出区間［ｘａ，ｘｂ］として決定し、抽出区間［ｘａ，ｘｂ］における確率密度関数Ｐを抽出する。
　たとえば、抽出部５３は、対象期間Ｔａにおける度数分布Ｄに基づく確率密度関数ＰにおけるＫ、ｃ１～ｃＫ、ｘ１バー～ｘＫバーおよびσ１＾２～σＫ＾２、ならびに決定した抽出区間［ｘａ，ｘｂ］を含む抽出情報を検知部５５へ出力する。
　（所定値ｙａ，ｙｂの設定）
　たとえば、抽出部５３は、所定条件を満たす状況下において送信される周期メッセージの受信間隔ｘの分布である参照分布を用いて、度数分布Ｄの一部を抽出する。
　たとえば、上記所定条件は、車載ネットワーク１２の利用率が、対象メッセージＭの受信間隔ｘの度数分布Ｄが取得されるときの車載ネットワーク１２の利用率よりも低いことである。
　ここで、使用中の車両１における車載ネットワーク１２の利用率は、一般的に約４０％程度であることから、対象メッセージＭの受信間隔ｘの度数分布Ｄが取得されるときの車載ネットワーク１２の利用率も同様に、４０％程度である。
　そこで、抽出部５３は、車載ネットワーク１２の利用率がゼロ％の状況下において送信される周期メッセージの度数分布を用いて、確率密度関数Ｐの一部を抽出する。
　より詳細には、記憶部５６における所定値ｙａ，ｙｂは、車載ネットワーク１２の利用率がゼロ％の状況下において、制御装置１２２Ａから送信される周期メッセージの、ゲートウェイ装置１０１における受信間隔ｘの度数分布Ｄ（ＵＲ０）を用いて予め決定される。度数分布Ｄ（ＵＲ０）は、参照分布の一例である。
　抽出部５３は、度数分布Ｄ（ＵＲ０）を用いて予め決定された所定値ｙａ，ｙｂを用いて、確率密度関数Ｐの抽出区間［ｘａ，ｘｂ］を決定する。
　図５は、本開示の実施の形態に係るゲートウェイ装置における抽出部により生成される確率密度関数および累積分布関数の一例を示す図である。図５において、実線は確率密度関数Ｐを示し、一点鎖線は累積分布関数Ａを示す。また、図５において、横軸は受信間隔ｘ［秒］を示し、確率密度関数Ｐについての縦軸は確率密度を示し、累積分布関数Ａについての縦軸は確率を示す。
　図５を参照して、取得部５２は、たとえば車両１の出荷前に、車両１の生産工場等における作業者によって車載ネットワーク１２の利用率がゼロ％に設定された状況下において、制御装置１２２Ａから送信される周期メッセージの受信間隔ｘの度数分布Ｄ（ＵＲ０）を生成する。
　同様に、取得部５２は、車両１の生産工場等における作業者によって車載ネットワーク１２の利用率が４０％に設定された状況下において、制御装置１２２Ａから送信される周期メッセージの受信間隔ｘの度数分布Ｄ（ＵＲ４０）を生成する。なお、取得部５２が度数分布Ｄ（ＵＲ０），Ｄ（ＵＲ４０）を生成する際に制御装置１２２Ａから送信される周期メッセージには、不正メッセージは含まれないものとする。
　抽出部５３は、取得部５２によって生成された度数分布Ｄ（ＵＲ０）を近似する確率密度関数Ｐ（ＵＲ０）および累積分布関数Ａ（ＵＲ０）を生成する。また、抽出部５３は、取得部５２によって生成された度数分布Ｄ（ＵＲ４０）を近似する確率密度関数Ｐ（ＵＲ４０）および累積分布関数Ａ（ＵＲ４０）を生成する。
　次に、抽出部５３は、累積分布関数Ａ（ＵＲ０）により表される確率がゼロであるときの受信間隔ｘｐ、および累積分布関数Ａ（ＵＲ０）により表される確率が１に到達するときの受信間隔ｘｑを特定する。
　次に、抽出部５３は、累積分布関数Ａ（ＵＲ４０）において、受信間隔ｘｐに対応する確率ｙｐ、および受信間隔ｘｑに対応する確率ｙｑを特定し、確率ｙｐおよび確率ｙｑを所定値ｙａおよび所定値ｙｂとしてそれぞれ記憶部５６に保存する。
　上述したように、抽出部５３は、取得部５２によって対象期間Ｔａにおける度数分布Ｄが生成されるたびに、確率密度関数Ｐを生成するとともに、生成した確率密度関数Ｐを定積分することにより累積分布関数Ａを生成する。そして、抽出部５３は、生成した累積分布関数Ａおよび上述のようにして決定した所定値ｙａ，ｙｂに基づいて、抽出区間［ｘａ，ｘｂ］を決定し、決定した抽出区間［ｘａ，ｘｂ］における確率密度関数Ｐを抽出する。
　［算出部］
　算出部５４は、取得部５２によって取得された度数分布Ｄに基づいて、周期メッセージの受信間隔の統計値を算出する。
　算出部５４は、取得部５２によって記憶部５６おける度数分布Ｄが更新されると、更新後の度数分布Ｄを構成する複数の受信間隔ｘの平均値Ａｖを算出する。そして、算出部５４は、算出した平均値Ａｖを検知部５５へ出力する。
　［検知部］
　検知部５５は、抽出部５３によって抽出された対象分布の一部に基づいて、不正メッセージを検知する検知処理を行う。
　より詳細には、検知部５５は、抽出部５３から抽出情報を受けると、受けた抽出情報に基づいて、検知処理を行う。
　（検知処理の例１）
　検知部５５は、対象分布の一部における周期メッセージの受信間隔ｘの標準偏差に基づいて、検知処理を行う。
　より詳細には、検知部５５は、抽出部５３から抽出情報を受けると、記憶部５６を参照して、対象期間Ｔａにおける度数分布Ｄを構成する複数の受信間隔ｘのうち、抽出部５３から受けた抽出情報が示す抽出区間［ｘａ，ｘｂ］の範囲内の受信間隔ｘを抽出し、抽出した受信間隔ｘの標準偏差Ｓｄを算出する。
　たとえば、記憶部５６は、標準偏差Ｓｄに関するしきい値ＴｈＡ，ＴｈＢを記憶している。なお、しきい値ＴｈＡは、しきい値ＴｈＢよりも小さいものとする。
　検知部５５は、標準偏差Ｓｄを算出すると、算出した標準偏差Ｓｄと記憶部５６におけるしきい値ＴｈＡ，ＴｈＢとを比較し、比較結果に基づいて不正メッセージを検知する。たとえば、検知部５５は、標準偏差Ｓｄが、しきい値ＴｈＡより小さいか、またはしきい値ＴｈＢより大きい場合、対象期間Ｔａにおける対象メッセージＭの一部または全部が不正メッセージであると判断する。
　たとえば、検知部５５は、シューハート管理図、Ｘｂａｒ－Ｒ管理図、ＣＵＳＵＭ（Ｃｕｍｕｌａｔｉｖｅ　Ｓｕｍ）管理図、ＥＷＭＡ（Ｅｘｐｏｎｅｎｔｉａｌｌｙ　Ｗｅｉｇｈｔｅｄ　Ｍｏｖｉｎｇ　Ａｖｅｒａｇｅ）管理図、ＭＥＷＭＡ（Ｍｕｌｔｉｖａｒｉａｔｅ　Ｅｘｐｏｎｅｎｔｉａｌｌｙ　Ｗｅｉｇｈｔｅｄ　Ｍｏｖｉｎｇ　Ａｖｅｒａｇｅ）管理図、およびＭＥＷＭＣ（Ｍｕｌｔｉｖａｒｉａｔｅ　Ｅｘｐｏｎｅｎｔｉａｌｌｙ　Ｗｅｉｇｈｔｅｄ　Ｍｏｖｉｎｇ　Ｃｏｖａｒｉａｎｃｅ　Ｍａｔｒｉｘ）管理図等の管理図を用いて、検知処理を行う。
　図６は、本開示の実施の形態に係るゲートウェイ装置において検知部により算出される標準偏差の時間変化を示す図である。図６において、横軸は時間［秒］を示し、縦軸は標準偏差Ｓｄを示している。
　図６を参照して、検知部５５は、対象期間Ｔａごとに算出される標準偏差Ｓｄの時間変化をモニタし、標準偏差Ｓｄが上限管理限界線ＵＣＬを超えた場合、標準偏差Ｓｄが下限管理限界線ＬＣＬを下回った場合、一定時間連続して標準偏差Ｓｄが中心線ＣＬを超えた場合、または一定時間連続して標準偏差Ｓｄが中心線ＣＬを下回った場合、対象期間Ｔａにおける対象メッセージＭの一部または全部が不正メッセージであると判断する。
　たとえば、下限管理限界線ＬＣＬは、記憶部５６におけるしきい値ＴｈＡであり、上限管理限界線ＵＣＬは、記憶部５６におけるしきい値ＴｈＢである。
　（検知処理の例２）
　検知部５５は、対象分布の一部におけるピークの数に基づいて、検知処理を行う。
　より詳細には、検知部５５は、抽出部５３から受けた抽出情報に含まれるＫ、ｃ１～ｃＫ、ｘ１バー～ｘＫバーおよびσ１＾２～σＫ＾２が示す確率密度関数Ｐにおいて、抽出情報が示す抽出区間［ｘａ，ｘｂ］に存在するピークの数Ｐｓを算出する。
　たとえば、記憶部５６は、ピークの数Ｐｓに関するしきい値ＴｈＣを記憶している。
　検知部５５は、ピークの数Ｐｓを算出すると、算出したピークの数Ｐｓと記憶部５６におけるしきい値ＴｈＣとを比較し、比較結果に基づいて不正メッセージを検知する。たとえば、検知部５５は、ピークの数Ｐｓがしきい値ＴｈＣより大きい場合、対象期間Ｔａにおける対象メッセージＭの一部または全部が不正メッセージであると判断する。
　（検知処理の例３）
　検知部５５は、対象分布の一部における尖度に基づいて、検知処理を行う。
　より詳細には、検知部５５は、抽出部５３から受けた抽出情報に含まれるＫ、ｃ１～ｃＫ、ｘ１バー～ｘＫバーおよびσ１＾２～σＫ＾２が示す確率密度関数Ｐにおいて、抽出情報が示す抽出区間［ｘａ，ｘｂ］に存在するピークの尖度Ｋｓを算出する。
　たとえば、記憶部５６は、尖度Ｋｓに関するしきい値ＴｈＤを記憶している。
　検知部５５は、ピークの尖度Ｋｓを算出すると、算出した尖度Ｋｓと記憶部５６におけるしきい値ＴｈＤとを比較し、比較結果に基づいて不正メッセージを検知する。たとえば、検知部５５は、尖度Ｋｓがしきい値ＴｈＤより小さい場合、対象期間Ｔａにおける対象メッセージＭの一部または全部が不正メッセージであると判断する。
　（検知処理の例４）
　検知部５５は、算出部５４によって算出された平均値Ａｖ等の統計値と、所定値との比較結果に基づいて、検知処理を行う。
　たとえば、記憶部５６は、受信間隔ｘの平均値Ａｖに関するしきい値ＴｈＥ，ＴｈＦを記憶している。なお、しきい値ＴｈＥは、しきい値ＴｈＦよりも小さいものとする。
　検知部５５は、算出部５４から平均値Ａｖを受けると、受けた平均値Ａｖと記憶部５６におけるしきい値ＴｈＥ，ＴｈＦとを比較し、比較結果に基づいて不正メッセージを検知する。たとえば、検知部５５は、平均値Ａｖが、しきい値ＴｈＥより小さいか、またはしきい値ＴｈＦより大きい場合、対象期間Ｔａにおける対象メッセージＭの一部または全部が不正メッセージであると判断する。
　なお、検知部５５は、検知処理の例２～４において、検知処理の例１と同様に、管理図を用いて検知処理を行う構成であってもよい。
　また、検知部５５は、受信間隔ｘの標準偏差Ｓｄ、ピークの数Ｐｓ、ピークの尖度Ｋｓおよび受信間隔ｘの平均値Ａｖのうちの一部または全部を用いて、対象メッセージＭの異常度合いを示すスコアを算出し、管理図を用いて、算出したスコアの時間変化に基づく検知処理を行う構成であってもよい。
　検知部５５は、対象期間Ｔａにおける対象メッセージＭの一部または全部が不正メッセージであると判断した場合、以下の処理を行う。
　すなわち、検知部５５は、対象期間Ｔａ内に送信された対象メッセージＭの情報を記録する。また、検知部５５は、車載ネットワーク１２において不正メッセージが伝送されていることを示す警報情報を通信処理部５１経由で車両１内または車両１外における上位装置へ送信する。上位装置は、たとえば、警報情報を用いて所定の処理を行うサーバ等の装置である。
　［動作の流れ］
　本開示の実施の形態に係る車載通信システムにおける各装置は、メモリを含むコンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のフローチャートおよびシーケンスの各ステップの一部または全部を含むプログラムを当該メモリから読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。
　図７は、本開示の実施の形態に係る車載通信システムにおけるゲートウェイ装置が検知処理を行う際の動作手順の一例を定めたフローチャートである。
　図７を参照して、まず、ゲートウェイ装置１０１は、車載ネットワーク１２において送信されるメッセージを監視し、対象メッセージＭを受信すると、受信した対象メッセージＭの受信時刻ｔに基づいて対象メッセージＭの受信間隔ｘを算出し、算出した受信間隔ｘを記憶部５６に蓄積する（ステップＳ１０２）。
　次に、ゲートウェイ装置１０１は、対象期間Ｔａが経過するまで受信間隔ｘの蓄積を繰り返し（ステップＳ１０４でＮＯ）、対象期間Ｔａが経過すると（ステップＳ１０４でＹＥＳ）、記憶部５６に蓄積した各受信間隔ｘに基づいて、対象期間Ｔａにおける対象メッセージＭの受信間隔ｘの度数分布Ｄを生成する（ステップＳ１０６）。
　次に、ゲートウェイ装置１０１は、生成した度数分布Ｄを構成する各受信間隔ｘの平均値Ａｖを算出する（ステップＳ１０８）。
　次に、ゲートウェイ装置１０１は、生成した度数分布Ｄを近似する確率密度関数Ｐを生成するとともに、生成した確率密度関数Ｐを定積分することにより、累積分布関数Ａを生成する（ステップＳ１１０）。
　次に、ゲートウェイ装置１０１は、累積分布関数Ａにより表される確率が所定値ｙａとなるときの受信間隔ｘａ、および累積分布関数Ａにより表される確率が所定値ｙｂとなるときの受信間隔ｘｂに基づいて、抽出区間［ｘａ，ｘｂ］を決定する（ステップＳ１１２）。
　次に、ゲートウェイ装置１０１は、度数分布Ｄの一部を抽出する。より詳細には、ゲートウェイ装置１０１は、抽出区間［ｘａ，ｘｂ］における確率密度関数Ｐを抽出する（ステップＳ１１４）。
　次に、ゲートウェイ装置１０１は、抽出した確率密度関数ＰにおけるＫ、ｃ１～ｃＫ、ｘ１バー～ｘＫバーおよびσ１＾２～σＫ＾２、ならびに決定した抽出区間［ｘａ，ｘｂ］を含む抽出情報に基づいて、標準偏差Ｓｄ、ピークの数Ｐｓおよびピークの尖度Ｋｓを算出する（ステップＳ１１６）。
　次に、ゲートウェイ装置１０１は、平均値Ａｖ、標準偏差Ｓｄ、ピークの数Ｐｓおよびピークの尖度Ｋｓに基づいて、検知処理を行う（ステップＳ１１８）。
　次に、ゲートウェイ装置１０１は、検知処理の結果、対象期間Ｔａにおける対象メッセージＭは不正メッセージではないと判断した場合（ステップＳ１２０でＮＯ）、新たな対象メッセージＭを受信し、受信間隔ｘを記憶部５６に蓄積する（ステップＳ１０２）。
　次に、ゲートウェイ装置１０１は、検知処理の結果、対象期間Ｔａにおける対象メッセージＭの一部または全部が不正メッセージであると判断した場合（ステップＳ１２０でＹＥＳ）、不正メッセージが伝送されていることを示す警報情報を車両１内または車両１外における上位装置へ送信する（ステップＳ１２２）。
　次に、ゲートウェイ装置１０１は、新たな対象メッセージＭを受信し、受信間隔ｘを記憶部５６に蓄積する（ステップＳ１０２）。
　なお、ゲートウェイ装置１０１は、ステップＳ１０２の処理と、ステップＳ１０６～Ｓ１２２の処理とを並行して行う構成であってもよい。
　図８は、本開示の実施の形態に係る車載通信システムにおけるゲートウェイ装置が確率密度関数の抽出区間の基準を決定する際の動作手順の一例を定めたフローチャートである。
　図８を参照して、まず、ゲートウェイ装置１０１は、たとえば車両１の出荷前に、車両１の生産工場等における作業者によって車載ネットワーク１２の利用率がゼロ％に設定された状況下において、制御装置１２２Ａから送信される周期メッセージの受信間隔ｘの度数分布Ｄ（ＵＲ０）を生成する（ステップＳ２０２）。
　次に、ゲートウェイ装置１０１は、車両１の生産工場等における作業者によって車載ネットワーク１２の利用率が４０％に設定された状況下において、制御装置１２２Ａから送信される周期メッセージの受信間隔ｘの度数分布Ｄ（ＵＲ４０）を生成する（ステップＳ２０４）。
　次に、ゲートウェイ装置１０１は、度数分布Ｄ（ＵＲ０）を近似する確率密度関数Ｐ（ＵＲ０）および累積分布関数Ａ（ＵＲ０）、ならびに度数分布Ｄ（ＵＲ４０）を近似する確率密度関数Ｐ（ＵＲ４０）および累積分布関数Ａ（ＵＲ４０）を生成する（ステップＳ２０６）。
　次に、ゲートウェイ装置１０１は、累積分布関数Ａ（ＵＲ０）により表される確率がゼロであるときの受信間隔ｘｐ、および累積分布関数Ａ（ＵＲ０）により表される確率が１に到達するときの受信間隔ｘｑを特定する（ステップＳ２０８）。
　次に、ゲートウェイ装置１０１は、累積分布関数Ａ（ＵＲ４０）において、受信間隔ｘｐに対応する確率ｙｐ、および受信間隔ｘｑに対応する確率ｙｑを特定し、確率ｙｐおよび確率ｙｑをそれぞれ所定値ｙａおよび所定値ｙｂとして記憶部５６に保存する（ステップＳ２１０）。
　なお、本開示の実施の形態に係る車載通信システム３０１では、ゲートウェイ装置１０１が、車載ネットワーク１２における不正メッセージを検知する構成であるとしたが、これに限定するものではない。車載通信システム３０１では、ゲートウェイ装置１０１とは別の装置が、検知装置として車載ネットワーク１２における不正メッセージを検知する構成であってもよい。
　また、本開示の実施の形態に係る車載通信システム３０１では、検知装置として機能するゲートウェイ装置１０１がバス１３に直接接続される構成であるとしたが、これに限定するものではない。
　図９は、本発明の実施の形態に係る車載ネットワークの接続トポロジの一例を示す図である。
　図９を参照して、検知装置１５１が、車載装置たとえば制御装置１２２を介してバス１３に接続される構成であってもよい。この場合、検知装置１５１は、たとえば、当該車載装置が送受信するメッセージを監視することにより、バス１３に伝送される不正メッセージを検知する。
　図９に示す例では、たとえば、検知装置１５１の取得部５２は、制御装置１２２が受信する対象メッセージの受信時刻ｔを取得する。そして、取得部５２は、取得した受信時刻ｔに基づいて受信間隔ｘを算出し、受信間隔ｘの度数分布Ｄを生成する。
　また、本開示の実施の形態に係るゲートウェイ装置１０１では、取得部５２は、通信処理部５１によって中継されるメッセージを監視することにより対象メッセージＭの受信時刻ｔを取得し、取得した受信時刻ｔと、直前の対象メッセージＭの受信時刻ｔとの差分を対象メッセージＭの受信間隔ｘとして算出する構成であるとしたが、これに限定するものではない。取得部５２は、ゲートウェイ装置１０１の外部の装置から通信処理部５１経由で受信間隔ｘを受信する構成であってもよい。
　また、本開示の実施の形態に係るゲートウェイ装置１０１では、検知部５５は、標準偏差Ｓｄ、ピークの数Ｐｓ、ピークの尖度Ｋｓおよび平均値Ａｖに基づいて検知処理を行う構成であるとしたが、これに限定するものではない。検知部５５は、標準偏差Ｓｄ、ピークの数Ｐｓ、ピークの尖度Ｋｓおよび平均値Ａｖのうちの、いずれか１つ、２つまたは３つに基づいて、検知処理を行う構成であってもよい。
　また、本開示の実施の形態に係るゲートウェイ装置１０１では、検知部５５は、抽出情報に基づいて、標準偏差Ｓｄ、ピークの数Ｐｓおよびピークの尖度Ｋｓを算出する構成であるとしたが、これに限定するものではない。検知部５５は、たとえば、車両１の外部におけるサーバ等の外部装置へ抽出情報を送信し、送信した抽出情報に基づいて算出される標準偏差Ｓｄ、ピークの数Ｐｓおよびピークの尖度Ｋｓを当該外部装置から受信する構成であってもよい。
　また、本開示の実施の形態に係るゲートウェイ装置１０１では、算出部５４は、受信間隔ｘの統計値として、受信間隔ｘの平均値Ａｖを算出する構成であるとしたが、これに限定するものではない。算出部５４は、各受信間隔ｘの中央値等の、平均値Ａｖ以外の統計値を算出する構成であってもよい。
　また、本開示の実施の形態に係るゲートウェイ装置１０１は、算出部５４を備える構成であるとしたが、これに限定するものではない。ゲートウェイ装置１０１は、算出部５４を備えない構成であってもよい。この場合、検知部５５は、標準偏差Ｓｄ、ピークの数Ｐｓおよびピークの尖度Ｋｓのうちの少なくともいずれか１つに基づいて、検知処理を行う。
　また、算出部５４は、たとえば、車両１の外部におけるサーバ等の外部装置に設けられていてもよい。この場合、検知部５５は、度数分布Ｄから算出される平均値Ａｖを当該外部装置から受信する構成であってもよい。
　また、本開示の実施の形態に係るゲートウェイ装置１０１では、抽出部５３は、参照分布の一例である度数分布Ｄ（ＵＲ０）を用いて予め決定される所定値ｙａ，ｙｂに基づいて、抽出区間［ｘａ，ｘｂ］を決定し、決定した抽出区間［ｘａ，ｘｂ］における確率密度関数Ｐを抽出する構成であるとしたが、これに限定するものではない。抽出部５３は、参照分布を用いることなく抽出区間［ｘａ，ｘｂ］を決定し、決定した抽出区間［ｘａ，ｘｂ］における確率密度関数Ｐを抽出する構成であってもよい。
　また、本開示の実施の形態に係るゲートウェイ装置１０１では、抽出部５３は、車載ネットワーク１２の利用率がゼロ％の状況下における受信間隔ｘの度数分布Ｄ（ＵＲ０）を用いて予め決定される所定値ｙａ，ｙｂを用いて、確率密度関数Ｐの一部を抽出する構成であるとしたが、これに限定するものではない。抽出部５３は、車載ネットワーク１２の利用率がたとえば１０％の状況下における受信間隔ｘの度数分布Ｄ（ＵＲ１０）を用いて予め決定される所定値を用いて、確率密度関数Ｐの一部を抽出する構成であってもよい。
　ところで、車載ネットワークにおける不正メッセージをより正しく検知することを可能とする技術が望まれる。
　たとえば、不正な車載装置による攻撃モデルとして、正常な車載装置からの正当メッセージを停止させるとともに、正当メッセージと同一の送信周期の不正メッセージを送信するという、いわゆる占有バス型の攻撃モデルが想定される。特許文献１に記載の技術では、このような占有バス型の攻撃モデルに従って送信される不正メッセージを検知することは困難である。
　また、占有バス型の攻撃モデルに対する対策として、たとえば周期メッセージの受信間隔の標準偏差等の、周期メッセージの受信時刻に関する統計値をフィンガープリント情報として用いて、送信元が不正な車載装置であるか否かを識別するという検知方法が知られている。
　しかしながら、占有バス型の攻撃モデルにおいて、不正な車載装置が、正常な車載装置からの正当メッセージの送信時刻を機械学習し、送信間隔の標準偏差が正当メッセージの送信間隔の標準偏差と略同一となるように不正メッセージを送信するという、いわゆるクロックフィッシングを用いた不正メッセージの送信が想定される。特許文献２に記載の技術等の従来技術では、このようなクロックフィッシングにより検知機能が容易に回避されるおそれがある。
　具体的には、本願発明者らの検証によれば、－３０％～３０％以内の精度で送信間隔の標準偏差を偽装することによって正当メッセージになりすました不正メッセージを送信された場合、フィンガープリント情報を用いて不正メッセージを検知することは困難である。
　また、本願発明者らは、以下の手順により、周期メッセージの受信間隔の標準偏差をフィンガープリント情報として用いる検知方法を評価した。
　初めに、本願発明者らは、クロック周波数が８ＭＨｚであり、かつ周波数偏差がプラスマイナス３０ｐｐｍである振動子Ａを備える車載装置、およびロガーをＣＡＮバスに接続することにより、模擬車載ネットワークを生成した。
　そして、本願発明者らは、車載装置から送信される周期メッセージの周期を１００ミリ秒に設定し、車載装置における周期メッセージの送信間隔をオシロスコープを用いてモニタした。また、本願発明者らは、当該模擬車載ネットワークを、ネットワークの利用率すなわちトラフィックをゼロ％、４０％および８０％の各状況に設定し、各状況下において、車載装置からの周期メッセージのロガーにおける受信間隔をモニタした。
　次に、本願発明者らは、振動子Ａの代わりに、クロック周波数が８ＭＨｚであり、かつ周波数偏差がプラスマイナス２０ｐｐｍである振動子Ｂを車載装置に搭載し、同様にして、トラフィックについての各状況下において、車載装置における周期メッセージの送信間隔およびロガーにおける受信間隔をモニタした。
　また、本願発明者らは、振動子Ａの代わりに、クロック周波数が８ＭＨｚであり、かつ周波数偏差がプラスマイナス３０ｐｐｍである振動子Ｃを車載装置に搭載し、同様にして、トラフィックについての各状況下において、車載装置における周期メッセージの送信間隔およびロガーにおける受信間隔をモニタした。
　図１０～１２は、本願発明者らの検証結果を示す図である。図１０は、車載装置に搭載される振動子ごとの、車載装置における周期メッセージの送信間隔の標準偏差を示している。図１１は、車載装置に搭載される振動子ごとの、トラフィックが４０％のときのロガーにおける周期メッセージの受信間隔の標準偏差を示している。図１２は、車載装置に搭載される振動子ごとの、トラフィックが８０％のときのロガーにおける周期メッセージの受信間隔の標準偏差を示している。
　図１０～１２を参照して、車載装置に搭載される振動子の別に応じて、車載装置における周期メッセージの送信間隔の標準偏差に差異が現れている一方、トラフィックが４０％，８０％のときのロガーにおける周期メッセージの受信間隔の標準偏差には差異が現れていない。
　以上より、周期メッセージの受信間隔の標準偏差に基づいて振動子の別を判断することは困難であることから、周期メッセージの受信間隔の標準偏差をフィンガープリント情報として用いる従来技術の検知方法では、送信元が不正な車載装置であるか否かを識別することは困難であるとの知見を得た。
　これに対して、本開示の実施の形態に係るゲートウェイ装置１０１では、取得部５２は、車載ネットワーク１２において送信される周期メッセージの受信間隔の分布である対象分布を取得する。抽出部５３は、取得部５２によって取得された対象分布の一部を所定の基準に従って抽出する。検知部５５は、抽出部５３によって抽出された対象分布の一部に基づいて、不正メッセージを検知する検知処理を行う。
　本開示の実施の形態に係る検知方法は、車載ネットワーク１２における不正メッセージを検知するゲートウェイ装置１０１における検知方法である。この検知方法では、まず、ゲートウェイ装置１０１が、車載ネットワーク１２において送信される周期メッセージの受信間隔の分布である対象分布を取得する。次に、ゲートウェイ装置１０１が、取得した対象分布の一部を所定の基準に従って抽出する。次に、ゲートウェイ装置１０１が、抽出した対象分布の一部に基づいて、不正メッセージを検知する検知処理を行う。
　このように、対象分布の一部を所定の基準に従って抽出し、抽出した対象分布の一部に基づいて不正メッセージを検知する構成および方法により、たとえば、対象分布から、送信元の車載装置におけるクロック周波数等の特性が反映された部分を抽出し、抽出部分に基づいて、送信元の車載装置が不正な車載装置であるか否かを識別することができる。
　したがって、本開示の実施の形態に係るゲートウェイ装置および検知方法では、車載ネットワークにおける不正メッセージをより正しく検知することができる。
　上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
　以上の説明は、以下に付記する特徴を含む。
　［付記１］
　車載ネットワークにおける不正メッセージを検知する検知装置であって、
　前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、
　前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、
　前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備え、
　前記抽出部は、前記対象分布を近似する確率密度関数および前記確率密度関数に基づく累積分布関数を生成し、
　前記抽出部は、前記対象分布のうち、生成した前記累積分布関数における確率の値が所定範囲内となるときの受信間隔の値の範囲における分布を抽出する、検知装置。
　［付記２］
　車両に搭載される車載ネットワークにおける不正メッセージを検知する、プロセッサを備える検知装置であって、
　前記プロセッサは、
　前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、
　前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、
　前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを実現する、検知装置。
　１　　　車両
　１２　　車載ネットワーク
　１３　　バス
　１４　　バス
　５１　通信処理部
　５２　取得部
　５３　抽出部
　５４　算出部
　５５　検知部
　５６　記憶部
　１０１　ゲートウェイ装置
　１１１　車載通信機
　１１１Ａ　ＴＣＵ（車載通信機）
　１１１Ｂ　近距離無線端末装置（車載通信機）
　１１１Ｃ　ＩＴＳ無線機（車載通信機）
　１１２　ポート
　１２１　バス接続装置群
　１２２，１２２Ａ，１２２Ｂ，１２２Ｃ　制御装置
　１５１　検知装置
　３０１　車載通信システム

Claims (10)

  1. 　車載ネットワークにおける不正メッセージを検知する検知装置であって、
    　前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、
    　前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、
    　前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備える、検知装置。
  2. 　前記抽出部は、所定条件を満たす状況下において送信される前記周期メッセージの受信間隔の分布である参照分布を用いて、前記対象分布の一部を抽出する、請求項１に記載の検知装置。
  3. 　前記所定条件は、前記車載ネットワークの利用率が、前記対象分布が取得されるときの前記車載ネットワークの利用率よりも低いことである、請求項２に記載の検知装置。
  4. 　前記検知部は、前記対象分布の前記一部における前記周期メッセージの受信間隔の標準偏差に基づいて、前記検知処理を行う、請求項１から請求項３のいずれか１項に記載の検知装置。
  5. 　前記検知部は、前記対象分布の前記一部におけるピークの数に基づいて、前記検知処理を行う、請求項１から請求項４のいずれか１項に記載の検知装置。
  6. 　前記検知部は、前記対象分布の前記一部における尖度に基づいて、前記検知処理を行う、請求項１から請求項５のいずれか１項に記載の検知装置。
  7. 　前記検知装置は、さらに、
    　前記取得部によって取得された前記対象分布に基づいて、前記周期メッセージの受信間隔の統計値を算出する算出部を備え、
    　前記検知部は、前記算出部によって算出された前記統計値と、所定値との比較結果に基づく前記不正メッセージの検知処理をさらに行う、請求項１から請求項６のいずれか１項に記載の検知装置。
  8. 　請求項１から請求項７のいずれか１項に記載の検知装置を備える、車両。
  9. 　車載ネットワークにおける不正メッセージを検知する検知装置における検知方法であって、
    　前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得するステップと、
    　取得した前記対象分布の一部を所定の基準に従って抽出するステップと、
    　抽出した前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行うステップとを含む、検知方法。
  10. 　車載ネットワークにおける不正メッセージを検知する検知装置において用いられる検知プログラムであって、
    　コンピュータを、
    前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、
    　前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、
    　前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部、
    として機能させるための、検知プログラム。
     
PCT/JP2020/032583 2019-12-05 2020-08-28 検知装置、車両、検知方法および検知プログラム WO2021111685A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2021562455A JP7480786B2 (ja) 2019-12-05 2020-08-28 検知装置、車両、検知方法および検知プログラム
US17/780,199 US20220407868A1 (en) 2019-12-05 2020-08-28 Detection device, vehicle, detection method, and detection program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019219993 2019-12-05
JP2019-219993 2019-12-05

Publications (1)

Publication Number Publication Date
WO2021111685A1 true WO2021111685A1 (ja) 2021-06-10

Family

ID=76221881

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/032583 WO2021111685A1 (ja) 2019-12-05 2020-08-28 検知装置、車両、検知方法および検知プログラム

Country Status (3)

Country Link
US (1) US20220407868A1 (ja)
JP (1) JP7480786B2 (ja)
WO (1) WO2021111685A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023127460A1 (ja) * 2021-12-28 2023-07-06 住友電気工業株式会社 検知装置および検知方法
WO2023223818A1 (ja) * 2022-05-16 2023-11-23 株式会社オートネットワーク技術研究所 検出装置、車載装置、検出方法及びコンピュータプログラム

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019029961A (ja) * 2017-08-03 2019-02-21 住友電気工業株式会社 検知装置、検知方法および検知プログラム
JP2019083534A (ja) * 2017-04-07 2019-05-30 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正通信検知方法、不正通信検知システム及びプログラム

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10298612B2 (en) * 2015-06-29 2019-05-21 Argus Cyber Security Ltd. System and method for time based anomaly detection in an in-vehicle communication network
EP3893443A1 (en) * 2015-11-02 2021-10-13 Kvaser AB Confirming data accuracy in a distributed control system
JP6839963B2 (ja) * 2016-01-08 2021-03-10 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 異常検知方法、異常検知装置及び異常検知システム
US11044260B2 (en) * 2016-04-01 2021-06-22 The Regents Of The University Of Michigan Fingerprinting electronic control units for vehicle intrusion detection
JP6956624B2 (ja) 2017-03-13 2021-11-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 情報処理方法、情報処理システム、及びプログラム
KR102272081B1 (ko) * 2017-09-25 2021-07-02 현대모비스 주식회사 자동차 네트워크의 데이터 통신방법
EP3720055A4 (en) * 2017-12-01 2021-01-06 Panasonic Intellectual Property Corporation of America ELECTRONIC CONTROL DEVICE, SERVER FOR DETECTING AUTHORIZED USE, VEHICLE-MOUNTED NETWORK SYSTEM, VEHICLE-MOUNTED NETWORK MONITORING SYSTEM AND VEHICLE-MOUNTED NETWORK MONITORING METHOD
EP4250648A3 (en) * 2018-03-29 2023-12-06 Panasonic Intellectual Property Corporation of America Illicit act detection method, illicit act detection device, and program
US10771488B2 (en) * 2018-04-10 2020-09-08 Cisco Technology, Inc. Spatio-temporal anomaly detection in computer networks using graph convolutional recurrent neural networks (GCRNNs)
US11170314B2 (en) * 2018-10-22 2021-11-09 General Electric Company Detection and protection against mode switching attacks in cyber-physical systems
WO2021131824A1 (ja) * 2019-12-23 2021-07-01 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 決定方法、決定システム及びプログラム

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019083534A (ja) * 2017-04-07 2019-05-30 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正通信検知方法、不正通信検知システム及びプログラム
JP2019029961A (ja) * 2017-08-03 2019-02-21 住友電気工業株式会社 検知装置、検知方法および検知プログラム

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023127460A1 (ja) * 2021-12-28 2023-07-06 住友電気工業株式会社 検知装置および検知方法
WO2023223818A1 (ja) * 2022-05-16 2023-11-23 株式会社オートネットワーク技術研究所 検出装置、車載装置、検出方法及びコンピュータプログラム

Also Published As

Publication number Publication date
JPWO2021111685A1 (ja) 2021-06-10
JP7480786B2 (ja) 2024-05-10
US20220407868A1 (en) 2022-12-22

Similar Documents

Publication Publication Date Title
CN110494330B (zh) 车辆监视装置、不正当检测服务器、以及控制方法
JP6805667B2 (ja) 検知装置、ゲートウェイ装置、検知方法および検知プログラム
US11838314B2 (en) Electronic control device, fraud detection server, in-vehicle network system, in-vehicle network monitoring system, and in-vehicle network monitoring method
CN111033504B (zh) 检测器、检测方法和检测程序
WO2021065068A1 (ja) 検知装置、車両、検知方法および検知プログラム
JP7276670B2 (ja) 検知装置、検知方法および検知プログラム
CN110063043B (zh) 检测装置、检测方法及记录介质
WO2021111685A1 (ja) 検知装置、車両、検知方法および検知プログラム
WO2021235105A1 (ja) 検知装置、車両、検知方法および検知プログラム
WO2021065069A1 (ja) 検知装置、車両、検知方法および検知プログラム
WO2020079874A1 (ja) 検知装置、ゲートウェイ装置、検知方法および検知プログラム
WO2022137661A1 (ja) 検知装置、検知方法および検知プログラム
JP7507205B2 (ja) 通信監視装置および通信監視方法
CN116320285A (zh) 通信监视装置以及通信监视方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20894936

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021562455

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20894936

Country of ref document: EP

Kind code of ref document: A1