WO2022107379A1 - 車両攻撃イベント連続性判定方法、車両攻撃イベント連続性判定装置、および、プログラム - Google Patents

車両攻撃イベント連続性判定方法、車両攻撃イベント連続性判定装置、および、プログラム Download PDF

Info

Publication number
WO2022107379A1
WO2022107379A1 PCT/JP2021/025103 JP2021025103W WO2022107379A1 WO 2022107379 A1 WO2022107379 A1 WO 2022107379A1 JP 2021025103 W JP2021025103 W JP 2021025103W WO 2022107379 A1 WO2022107379 A1 WO 2022107379A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
event
attack event
vehicle attack
continuity
Prior art date
Application number
PCT/JP2021/025103
Other languages
English (en)
French (fr)
Inventor
貴志 牛尾
崇光 佐々木
Original Assignee
パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ filed Critical パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority to EP21894256.3A priority Critical patent/EP4250152A4/en
Priority to CN202180074125.7A priority patent/CN116368441A/zh
Priority to JP2022563570A priority patent/JPWO2022107379A1/ja
Publication of WO2022107379A1 publication Critical patent/WO2022107379A1/ja
Priority to US18/141,614 priority patent/US20230269258A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/146—Tracing the source of attacks

Definitions

  • hidden attack there is an attack in which the time interval between the time of intrusion into the in-vehicle network and the time of the attack on the attack target is relatively large (hereinafter, such an attack is referred to as “hidden attack”).
  • the first vehicle attack event that occurred in the time zone near the attack time to the attack target and the intrusion time near the in-vehicle network that occurred before the first attack event may be determined that two vehicle attack events different from each other have occurred, which are different from the second vehicle attack event that occurred in the time zone.
  • the continuity between the attack path of the first vehicle attack event and the attack path of the second vehicle attack event can be determined, the determination is made for one latent attack.
  • the attack of one vehicle attack event and the second vehicle attack event can be regarded as one vehicle attack event, and the attack of the vehicle attack event can be analyzed.
  • the present disclosure it is possible to determine the continuity between the first vehicle attack event that occurred in the in-vehicle network and the second vehicle attack event that occurred earlier than the first vehicle attack event.
  • the purpose is to provide an event continuity determination method and the like.
  • the vehicle attack event continuity determination method includes information on the first vehicle attack event related to the first vehicle attack event generated in the vehicle-mounted network and the first vehicle attack event in the vehicle-mounted network.
  • the determination step for determining the continuity between the first vehicle attack event and the second vehicle attack event, and the determination result are determined. Includes output steps to output.
  • the vehicle attack event continuity determination device includes information on the first vehicle attack event related to the first vehicle attack event generated in the vehicle-mounted network, and the first vehicle attack event in the vehicle-mounted network.
  • An acquisition unit that acquires the second vehicle attack event information related to the second vehicle attack event that has occurred in the past, the vehicle-mounted network information indicating the configuration of the vehicle-mounted network, the first vehicle attack event information, and the vehicle-mounted network information.
  • the determination unit for determining the continuity between the first vehicle attack event and the second vehicle attack event, and the determination result are determined. It is equipped with an output unit for output.
  • the program according to one aspect of the present disclosure is a program for causing a computer to execute a vehicle attack event continuity determination process, and the vehicle attack event continuity determination process is a first vehicle attack event generated in an in-vehicle network.
  • a determination step for determining continuity with the second vehicle attack event Based on the acquisition step of acquiring the in-vehicle network information indicating the above, the first vehicle attack event information, the second vehicle attack event information, and the in-vehicle network information, the first vehicle attack event , A determination step for determining continuity with the second vehicle attack event, and an output step for outputting the determination result.
  • the first vehicle attack event that occurred in the in-vehicle network and the second vehicle attack that occurred earlier than the first vehicle attack event It is possible to determine the continuity with the event.
  • FIG. 1 is a block diagram showing an example of the configuration of the attack monitoring system according to the first embodiment.
  • FIG. 2 is a block diagram showing an example of the configuration of the vehicle-mounted network according to the first embodiment.
  • FIG. 3 is a schematic diagram showing an example of how the abnormality detecting unit according to the first embodiment detects an abnormality.
  • FIG. 4 is a schematic diagram showing an example of vehicle attack event information according to the first embodiment.
  • FIG. 5 is a schematic diagram showing an example of vehicle function event information according to the first embodiment.
  • FIG. 6 is a block diagram showing an example of the configuration of the vehicle attack event continuity determination device according to the first embodiment.
  • FIG. 7 is a schematic diagram showing an example of the vehicle attack event history according to the first embodiment.
  • FIG. 8 is a schematic diagram showing an example of the vehicle function event history according to the first embodiment.
  • FIG. 9 is a schematic diagram showing an example of vehicle-mounted network information according to the first embodiment.
  • FIG. 10 is a flowchart of the first vehicle attack event continuity determination process according to the first embodiment.
  • FIG. 11 is a flowchart of the event search range calculation process according to the first embodiment.
  • FIG. 12 is a flowchart of the engine start event search range calculation process according to the first embodiment.
  • FIG. 13 is a flowchart of the automatic operation start event search range calculation process according to the first embodiment.
  • FIG. 14 is a flowchart of the high-speed running event search range calculation process according to the first embodiment.
  • FIG. 15 is a flowchart of the software update event search range calculation process according to the first embodiment.
  • FIG. 16A is a schematic diagram showing how the first event according to the first embodiment has occurred.
  • FIG. 16B is a schematic diagram showing how the second event according to the first embodiment has occurred.
  • FIG. 16C is a schematic diagram showing how the third event according to the first embodiment has occurred.
  • FIG. 16D is a schematic diagram showing how the fourth event according to the first embodiment has occurred.
  • FIG. 17 is a schematic diagram showing the usage status of the vehicle function event.
  • FIG. 18 is a block diagram showing an example of the configuration of the vehicle attack event continuity determination device according to the second embodiment.
  • FIG. 19 is a schematic diagram showing an example of an image displayed by the image display device according to the second embodiment.
  • FIG. 20 is a flowchart of the second vehicle attack event continuity determination process according to the second embodiment.
  • the inventors can determine the continuity between the first vehicle attack event that occurred in the in-vehicle network and the second vehicle attack event that occurred earlier than the first vehicle attack event.
  • the attack of the vehicle attack event can be analyzed. I got the knowledge of.
  • the vehicle attack event continuity determination method includes information on the first vehicle attack event related to the first vehicle attack event generated in the vehicle-mounted network and the first vehicle attack event in the vehicle-mounted network.
  • the determination step for determining the continuity between the first vehicle attack event and the second vehicle attack event, and the determination result are determined. Includes output steps to output.
  • the continuity between the first vehicle attack event that occurred in the in-vehicle network and the second vehicle attack event that occurred before the first vehicle attack event is determined. be able to.
  • the third vehicle attack event information related to the third vehicle attack event that occurred in the past from the second vehicle attack event is acquired in the vehicle-mounted network, and in the determination step, the third vehicle attack event information is acquired.
  • the first vehicle attack event information, the third vehicle attack event information, and the vehicle-mounted network information are further obtained. The continuity between the vehicle attack event of the above and the third vehicle attack event may be determined.
  • the in-vehicle network includes a plurality of abnormality detection units
  • the first vehicle attack event information is one or more of the plurality of abnormality detection units that have detected an abnormality in the first vehicle attack event.
  • the second vehicle attack event information includes information indicating a first abnormality detection unit
  • the second vehicle attack event information is one or more second of the plurality of abnormality detection units that have detected an abnormality in the second vehicle attack event.
  • the determination step includes information indicating an abnormality detection unit, calculates an attack route in the first vehicle attack event, and is located upstream of the one or more first abnormality detection units in the attack route.
  • the undetected abnormality detection unit that did not detect an abnormality in the first attack event is calculated, and the time when the abnormality is detected is the most among the undetected abnormality detection unit and the first or more second abnormality detection unit.
  • the continuity may be determined to have continuity.
  • the continuity may be determined for the second vehicle attack event that occurred within the first predetermined period from the time when the first vehicle attack event occurred.
  • vehicle function event information related to the vehicle function event generated in the vehicle equipped with the vehicle-mounted network is further acquired, and in the determination step, the vehicle function event information is further obtained.
  • the continuity may be determined.
  • the vehicle function event information is a vehicle function event that occurs within a second predetermined period from the earliest first time among the times when the first abnormality detection unit of one or more detects an abnormality to the past.
  • the same first vehicle function event as the number of times or period of time that the first vehicle function event occurred in the third predetermined period longer than the second predetermined period from the first time to the past includes the vehicle function utilization rate.
  • the vehicle attack event continuity determination method includes a period update step for updating the first predetermined period based on the vehicle function utilization rate, and the determination step is updated by the period update step. The continuity may be determined by using the first predetermined period.
  • the first predetermined period when the first vehicle function event has not occurred within the third predetermined period from the first time to the past (1) the first predetermined period when the first vehicle function event has not occurred within the third predetermined period from the first time to the past.
  • the first vehicle function event occurs within the third predetermined period from the first time to the past.
  • the first predetermined period may be renewed so as to lengthen the first predetermined period.
  • the first vehicle function event may be an engine start event for starting the engine of the vehicle.
  • the first vehicle function event may be an automatic driving start event that activates the automatic driving of the vehicle.
  • the first vehicle function event may be a high-speed traveling event in which the vehicle travels at high speed.
  • the first vehicle function event may be a software update event for updating the software of the vehicle.
  • the combination step of combining the first vehicle attack event and the second vehicle attack event may be included. ..
  • the output step includes a reliability calculation step for calculating the reliability of the combined vehicle attack event obtained by combining the first vehicle attack event and the second vehicle attack event based on the above. Further, the reliability may be output.
  • the vehicle attack event continuity determination device includes information on the first vehicle attack event related to the first vehicle attack event generated in the vehicle-mounted network, and the first vehicle attack event in the vehicle-mounted network.
  • An acquisition unit that acquires the second vehicle attack event information related to the second vehicle attack event that has occurred in the past, the vehicle-mounted network information indicating the configuration of the vehicle-mounted network, the first vehicle attack event information, and the vehicle-mounted network information.
  • the determination unit for determining the continuity between the first vehicle attack event and the second vehicle attack event, and the determination result are determined. It is equipped with an output unit for output.
  • the continuity between the first vehicle attack event that occurred in the in-vehicle network and the second vehicle attack event that occurred before the first vehicle attack event is determined. It can be determined.
  • the program according to one aspect of the present disclosure is a program for causing a computer to execute a vehicle attack event continuity determination process, and the vehicle attack event continuity determination process is a first vehicle attack event generated in an in-vehicle network.
  • a determination step for determining continuity with the second vehicle attack event Based on the acquisition step of acquiring the in-vehicle network information indicating the above, the first vehicle attack event information, the second vehicle attack event information, and the in-vehicle network information, the first vehicle attack event , A determination step for determining continuity with the second vehicle attack event, and an output step for outputting the determination result.
  • This vehicle attack event continuity determination device is a continuation of a first vehicle attack event that occurred in an in-vehicle network mounted on a vehicle and a second vehicle attack event that occurred before the first vehicle attack event. It is a device for judging sex.
  • FIG. 1 is a block diagram showing an example of a configuration of an attack monitoring system 1 that monitors an attack on an in-vehicle network 20 mounted on a vehicle 30 by using the vehicle attack event continuity determination device 10 according to the embodiment. ..
  • the attack monitoring system 1 includes a server device 40, a vehicle 30, an in-vehicle network 20, and an external network 50.
  • the server device 40 is a so-called computer device, which is a processor (not shown), a memory (not shown), a communication interface (not shown), a storage device (not shown), and a display (not shown). It is equipped with.
  • the server device 40 realizes the vehicle attack event continuity determination device 10 and the display device 41 by the processor executing the program stored in the memory.
  • the vehicle 30 has a communication function and is equipped with an in-vehicle network 20.
  • the vehicle 30 is, for example, an automobile.
  • the external network 50 is a wide area network such as the Internet, and its connection destination includes a vehicle attack event continuity determination device 10 and an in-vehicle network 20.
  • FIG. 2 is a block diagram showing an example of the configuration of the in-vehicle network 20.
  • the in-vehicle network 20 includes a plurality of ECUs (Electronic Control Units) and a vehicle attack event management unit 60.
  • ECUs Electronic Control Units
  • vehicle attack event management unit 60 the vehicle attack event management unit 60.
  • the plurality of ECUs correspond to ECU_A70A, ECU_B70B, ECU_C70C, ECU_D70D, and ECU_E70E.
  • each of the plurality of ECUs may be referred to as an ECU 70.
  • the plurality of ECUs 70 include, for example, an ECU that controls the engine of the vehicle 30, an ECU that controls the automatic operation of the vehicle 30, an ECU that controls an air conditioner mounted on the vehicle 30, and the like.
  • Each of the ECU 70s is provided with an abnormality detection unit that detects an abnormality in the ECU 70.
  • the ECU_A70A includes an abnormality detection unit_A71A
  • the ECU_B70B includes an abnormality detection unit_B71B
  • the ECU_C70C includes an abnormality detection unit_C71C
  • the ECU_D70D includes an abnormality detection unit_D71D
  • the ECU_E70E includes an abnormality detection unit_E71E.
  • the abnormality detection unit provided in each of the ECU 70s may be referred to as an abnormality detection unit 71.
  • the types of abnormality detection of the ECU 70 by the abnormality detection unit 71 include detection of abnormal operation in the ECU 70 (hereinafter, also referred to as “IDS”) and a defense error against an attack on the ECU 70 (hereinafter, “ROB”). It will be described as including).
  • IDS abnormal operation in the ECU 70
  • ROB defense error against an attack on the ECU 70
  • the abnormality detection unit 71 When the abnormality detection unit 71 detects an abnormality in the ECU 70, the abnormality detection unit 71 transmits the abnormality detection information to the vehicle attack event management unit 60.
  • the abnormality detection information is information including an abnormality detection type indicating an abnormality type, a detection time indicating an abnormality detection time, and an ECU name indicating an ECU 70 to be detected for the abnormality.
  • FIG. 3 is a schematic diagram showing an example of how a plurality of abnormality detection units 71 detect an abnormality in the corresponding ECU 70 when there is an attack on the vehicle-mounted network 20.
  • ⁇ (arrow) in FIG. 3 indicates the connection relationship between the ECUs 70 in the in-vehicle network 20. Further, the “depth” in FIG. 3 indicates the degree of adverse effect on the vehicle 30 that may occur due to the detected abnormality. Here, it is shown that the deeper the hierarchy (the larger the number in the hierarchy), the greater the degree of adverse effect.
  • Anomaly detection unit_A71A detects ROB for an attack on ECU_A70A at time YY1 (year): MM1 (month) / DD1 (day): HH1 (hour): MM1 (minute): SS1 (second), and then.
  • the abnormality detection unit_A71A detects IDS for an attack on ECU_A70A at time YY2 (year): MM2 (month) / DD2 (day): HH2 (hour): MM2 (minute): SS2 (second). After that, (3) the abnormality detection unit_C71C sets the IDS for the attack on the ECU_C70C at time YY3 (year): MM3 (month) / DD3 (day): HH3 (hour): MM3 (minute): SS3 (second).
  • the abnormality detection unit_D71D sets the ROB for the attack on the ECU_D70D at time YY4 (year): MM4 (month) / DD4 (day): HH4 (hour): MM4 (minute) :. This is an example when it is detected at SS4 (seconds).
  • the vehicle attack event management unit 60 receives the abnormality detection information transmitted from the abnormality detection unit 71.
  • the vehicle attack event management unit 60 When the vehicle attack event management unit 60 receives a plurality of abnormality detection information whose detection time difference is within a predetermined period TA (for example, 5 minutes), the vehicle attack event management unit 60 is indicated by the plurality of abnormality detection information in the vehicle-mounted network 20. It is determined that a vehicle attack event consisting of detection of an abnormality in the ECU 70 has occurred. Then, the vehicle attack event management unit 60 generates vehicle attack event information based on the plurality of abnormality detection information.
  • TA for example, 5 minutes
  • FIG. 4 is a schematic diagram showing an example of vehicle attack event information generated by the vehicle attack event management unit 60.
  • the vehicle attack event information specifies the abnormality detection type, the detection time, the ECU name, and the detection of the abnormality for each of the detections of the abnormality of the ECU 70 included in one vehicle attack event. This is information configured in association with the detection number.
  • the vehicle attack event indicated by the vehicle attack event information is detected by the ECU_C70C at the detection time of 12:00:36 on April 1, 2020, and the abnormality detection type is IDS. It can be read that the event consists of the detection of an abnormality and the detection of an abnormality whose abnormality detection type is ROB, which is detected by the ECU_D70D at 12:00:37 on April 1, 2020.
  • the vehicle attack event management unit 60 When the vehicle attack event management unit 60 generates the vehicle attack event information, the vehicle attack event management unit 60 has a predetermined period TB (for example, 10 minutes) from the earliest first time among the detection times included in the generated vehicle attack event information to the past.
  • the vehicle function event that occurred in the vehicle 30 is investigated.
  • the vehicle function event means an event in which any one of the functions of the vehicle 30 is executed.
  • the vehicle function event includes an engine start event indicating a state in which the engine of the vehicle 30 is started, an engine start event for starting the engine of the vehicle 30, and automatic driving indicating a state in which the automatic operation of the vehicle 30 is started.
  • a start event, an automatic driving start event to start automatic driving of the vehicle 30, a high-speed driving event indicating a state in which the vehicle 30 is running at high speed, a high-speed running start event to start high-speed running of the vehicle 30, installed in the vehicle 30. Includes software update events, etc., where the software is updated.
  • the vehicle attack event management unit 60 has the same vehicle function event as the vehicle function event within a predetermined period TC (for example, one week) from the first time to the past. Calculate the vehicle function utilization rate related to the number of occurrences or the period.
  • the vehicle function utilization rate may be an engine start utilization rate indicating the ratio of the period during which the engine is started to the predetermined period TB, or the vehicle function utilization rate. It may be a continuous start time, for example, when the vehicle function event is an engine start event, it may be an engine start frequency indicating the number of times the engine has been started in a predetermined period TB, for example, a vehicle.
  • the functional event is an automatic operation start event, it may be an automatic operation start utilization rate indicating the ratio of the period during which the automatic operation is started to the predetermined period TB, or it may be a continuous start time of the automatic operation.
  • the vehicle function event when it is an automatic driving start event, it may be an automatic driving start frequency indicating the number of times automatic driving is started in a predetermined period TB, for example, a vehicle function event.
  • a high-speed driving event it may be a high-speed driving utilization rate indicating the ratio of the period of high-speed driving to the predetermined period TB, or it may be a continuous high-speed driving time, for example, a vehicle.
  • the functional event is a high-speed driving start event, it may be a high-speed driving start frequency indicating the number of times high-speed driving is started in a predetermined period TB.
  • the vehicle functional event is a software update event. In some cases, it may be a software update frequency indicating the number of times the software has been updated in the predetermined period TB.
  • the vehicle attack event management unit 60 When the vehicle function utilization rate is calculated, the vehicle attack event management unit 60 generates vehicle function event information based on the corresponding vehicle function event and the generated vehicle function utilization rate.
  • FIG. 5 is a schematic diagram showing an example of vehicle function event information generated by the vehicle attack event management unit 60.
  • the vehicle function event information is information configured by associating the corresponding vehicle function event with the vehicle function utilization rate of the vehicle function event.
  • the corresponding vehicle function event is an engine start event, and the ratio of the period during which the engine is started to the predetermined period TB is 60%.
  • the vehicle attack event management unit 60 When the vehicle attack event management unit 60 generates the vehicle attack event information and the vehicle function event information, the generated vehicle attack event information and the generated vehicle function event information are transmitted to the vehicle attack event continuity determination device 10. do.
  • the vehicle attack event management unit 60 is realized, for example, by a processor (not shown) constituting the vehicle-mounted network 20 executing a program stored in a memory (not shown) constituting the vehicle-mounted network 20.
  • FIG. 6 is a block diagram showing an example of the configuration of the vehicle attack event continuity determination device 10.
  • the vehicle attack event continuity determination device 10 includes an acquisition unit 11, a determination unit 12, a coupling unit 13, an output unit 14, a period update unit 15, an attack route calculation unit 16, and the like.
  • An undetected abnormality detection unit calculation unit 17 and a storage unit 18 are provided.
  • the acquisition unit 11 acquires vehicle attack event information and vehicle function event information transmitted from the vehicle attack event management unit 60.
  • the acquisition unit 11 When the acquisition unit 11 acquires new vehicle attack event information, the acquisition unit 11 updates the vehicle attack event history stored in the storage unit 18.
  • FIG. 7 is a schematic diagram showing an example of the vehicle attack event history stored in the storage unit 18.
  • the vehicle attack event history is the vehicle attack event information indicating the vehicle attack event information and the time when the vehicle attack event information is received for each of the vehicle attack event information acquired in the past by the acquisition unit 11.
  • the reception time, the vehicle number specifying the vehicle 30 including the vehicle attack event management unit 60 that transmitted the vehicle attack event information, and the vehicle attack event number specifying the vehicle attack event information are associated with each other. Information.
  • each component constituting the vehicle attack event continuity determination device 10 indicates the occurrence of a vehicle attack event in which the acquisition unit 11 indicates the vehicle attack event reception time when the vehicle attack event information is received by the vehicle attack event information. Perform various processing as time.
  • the acquisition unit 11 When the acquisition unit 11 acquires new vehicle function event information, the acquisition unit 11 updates the vehicle function event history stored in the storage unit 18.
  • FIG. 8 is a schematic diagram showing an example of the vehicle function event history stored in the storage unit 18.
  • the vehicle function event history is the vehicle function event information indicating the vehicle function event information and the time when the vehicle function event information is received for each of the vehicle function event information acquired in the past by the acquisition unit 11.
  • the vehicle number specifying the vehicle 30 having the vehicle attack event management unit 60 that transmitted the vehicle function event information and the vehicle attack event number specifying the vehicle attack event corresponding to the vehicle function event information. It is information that is attached and composed.
  • the storage unit 18 stores in-vehicle network information indicating the configuration of the in-vehicle network 20 in addition to the vehicle attack event history and the vehicle function event history.
  • FIG. 9 is a schematic diagram showing an example of in-vehicle network information stored in the storage unit 18.
  • the entry point flag of the connection source ECU is "True (for example, a logical value 1)" when the connection source ECU is an entry point, and is not an ECU in which the connection source ECU is an entry point. In this case, it is a flag that becomes "Fase (for example, logical value 0)".
  • the entry point refers to an intrusion point of the attack on the vehicle-mounted network 20 in an attack on the vehicle-mounted network 20.
  • the storage unit 18 may store the vehicle-mounted network information in advance, and the storage unit 18 acquires, for example, the vehicle-mounted network information transmitted from the vehicle attack event management unit 60, and the acquisition unit 11 acquires the vehicle-mounted network information.
  • the vehicle-mounted network information acquired by the vehicle may be stored.
  • the attack route calculation unit 16 calculates an attack route including the entry point of the attack of the vehicle attack event and the attack target of the attack for the vehicle attack event included in the vehicle attack event history stored in the storage unit 18. do.
  • the attack target refers to the attack target of the attack on the in-vehicle network 20.
  • the attack route calculation unit 16 refers to the vehicle-mounted network information stored in the storage unit 18, from the entry point group that can be an entry point to the attack target group that can be an attack target in the vehicle-mounted network 20.
  • the connectable route is calculated, and among the calculated routes, the route having the smallest number of abnormality detection units 71 that did not detect an abnormality in the target vehicle attack event is calculated as an attack route.
  • the undetected abnormality detection unit calculation unit 17 targets the attack route calculated by the attack route calculation unit 16, and does not detect an abnormality located upstream of the abnormality detection unit 71 that has detected an abnormality in the attack route.
  • the undetected abnormality detection unit is calculated.
  • the determination unit 12 has a first vehicle attack event indicated by the first vehicle attack event information and a first vehicle attack event information indicated by the second vehicle attack event information included in the vehicle attack event history stored in the storage unit 18. The continuity with the second vehicle attack event that occurred before the vehicle attack event of.
  • the determination unit 12 sets the time when the abnormality is detected among the undetected abnormality detection unit in the first vehicle attack event and the abnormality detection unit 71 in which the abnormality is detected in the second vehicle attack event.
  • the slowest abnormality detection unit 71 matches, the continuity between the first vehicle attack event and the second vehicle attack event is determined to be continuous, and when they do not match, it is determined that there is no continuity. ..
  • the determination unit 12 may determine the continuity of the second vehicle attack event that occurred within the predetermined period T1 from the time when the first vehicle attack event occurred.
  • the determination unit 12 determines that the continuity between the first vehicle attack event and the second vehicle attack event is not continuous, the determination unit 12 further records the vehicle attack event history stored in the storage unit 18. The included first vehicle attack event indicated by the first vehicle attack event information and the third vehicle attack event that occurred earlier than the second vehicle attack event indicated by the third vehicle attack event information. It may be determined to determine the continuity with.
  • the period update unit 15 is predetermined based on the vehicle function utilization rate included in the vehicle function event information corresponding to the first vehicle attack event among the vehicle function events included in the vehicle function event history stored in the storage unit 18. Update period T1.
  • the period update unit 15 includes (1) a vehicle function event that occurred within a predetermined period TB from the first time to the past. (2) Within the predetermined period TB from the first time to the past so that the predetermined period T1 is not changed when the same vehicle function event does not occur within the predetermined period TC from the first time to the past.
  • the predetermined period (3) The same vehicle function event as the vehicle function event that occurred in the predetermined period TB from the first time to the past occurs within the predetermined period TC from the first time to the past so as to shorten T1. If the number of times or the period is less than the predetermined threshold, the predetermined period T1 is updated so as to lengthen the predetermined period T1.
  • the coupling unit 13 determines that there is continuity between the first vehicle attack event and the second vehicle attack. Combine events.
  • the output unit 14 outputs the determination result by the determination unit 12. More specifically, the output unit 14 outputs to the display device 41 a first display control signal including the determination result, which is a first display control signal for displaying the determination result on the display device 41. ..
  • FIG. 10 is a flowchart of the first vehicle attack event continuity determination process performed by the vehicle attack event continuity determination device 10.
  • This first vehicle attack event continuity determination process is a process for determining the continuity between the first vehicle attack event and the second vehicle attack event that occurred before the first vehicle attack event.
  • a user who uses the vehicle attack event continuity determination device 10 is a first target for determining continuity with respect to the vehicle attack event continuity determination device 10. It is started by designating a vehicle attack event and performing an operation to execute the first vehicle attack event continuity determination process.
  • the attack route calculation unit 16 receives the first vehicle attack event from the vehicle attack event history stored in the storage unit 18.
  • the first vehicle attack event information indicating the above is acquired (step S10).
  • the attack route calculation unit 16 When the attack route calculation unit 16 acquires the first vehicle attack event information, the attack route calculation unit 16 targets the first vehicle attack event and determines the attack route including the entry point of the attack of the vehicle attack event and the attack target of the attack. Calculate (step S15).
  • the undetected abnormality detection unit calculation unit 17 is located upstream of the abnormality detection unit 71 that detected the abnormality in the attack route, and the undetected abnormality detection unit 17 that did not detect the abnormality. Is calculated (step S20). Then, the undetected abnormality detection unit calculation unit 17 checks whether or not there is an undetected abnormality detection unit in the calculation of the undetected abnormality detection unit (step S25).
  • step S25 When there is an undetected abnormality detection unit in the process of step S25 (step S25: Yes), the determination unit 12 has not acquired the first vehicle attack in the vehicle attack event history stored in the storage unit 18. It is examined whether or not there is vehicle attack event information (hereinafter, also referred to as “unacquired vehicle attack event information”) indicating a vehicle attack event that occurred before the event (step S30).
  • vehicle attack event information hereinafter, also referred to as “unacquired vehicle attack event information”
  • the unacquired vehicle attack event information proceeds to Yes in the process of step S30, proceeds to Yes in the loop process formed by proceeding to No in the process of step S45 described later, and proceeds to Yes in the process of step S30.
  • the first vehicle attack that has not yet been acquired by the process of step S30.
  • Vehicle attack event information that indicates a vehicle attack event that occurred before the event.
  • step S30 When the unacquired vehicle attack event information exists in the process of step S30 (step S30: Yes), the determination unit 12 is included in the first vehicle attack event information from the vehicle attack event history stored in the storage unit 18. Acquires unacquired vehicle attack event information (hereinafter, also referred to as “acquired vehicle attack event information”) including the reception time closest to the reception time (step S35).
  • the determination unit 12 acquires the acquired vehicle attack event information
  • the end point abnormality detection unit which is the abnormality detection unit 71 with the latest abnormality detection time, is calculated (step S40).
  • the determination unit 12 calculates the end point abnormality detection unit, it checks whether or not the undetected abnormality detection unit and the end point abnormality detection unit match (step S45).
  • step S45 when the undetected abnormality detection unit and the end point abnormality detection unit match (step S45: Yes), the determination unit 12 determines the time when the acquired vehicle attack event occurs (here, the acquired vehicle attack event information).
  • the elapsed time between events which is the elapsed time from the reception time of the first vehicle attack event to the occurrence time of the first vehicle attack event (here, the reception time of the first vehicle attack event information), is calculated (step S50).
  • the period update unit 15 executes an event search range calculation process for updating the predetermined period T1 (hereinafter, also referred to as “event search range”) (step S55).
  • FIG. 11 is a flowchart of the event search range calculation process executed by the period update unit 15.
  • the period update unit 15 becomes the first vehicle attack event among the vehicle function events included in the vehicle function event history stored in the storage unit 18. Acquire the corresponding vehicle function event information (step S100).
  • the period update unit 15 checks whether or not the vehicle function event exists in the acquired vehicle function event information (step S110).
  • step S110 when a vehicle function event exists (step S110: Yes), the period update unit 15 examines whether or not the vehicle function utilization rate included in the acquired vehicle function event information is equal to or higher than the threshold value. (Step S130).
  • step S130 when the vehicle function utilization rate is equal to or higher than the threshold value (step S130: Yes), the period update unit 15 updates the event search range so as to increase the event search range (step S140), that is. , The predetermined period T1 is updated so as to lengthen the predetermined period T1.
  • step S130 when the vehicle function utilization rate is not equal to or higher than the threshold value (step S130: No), the period update unit 15 updates the event search range so as to reduce the event search range (step S140), that is, The predetermined period T1 is updated so as to shorten the predetermined period T1.
  • step S110 when the vehicle function event does not exist (step S110: No), the period update unit 15 updates the event search range so as not to change the event search range (step S120), that is, a predetermined period. T1 is updated for a predetermined period so as not to update T1.
  • step S120 When the process of step S120 is completed, the process of step S140 is completed, or the process of step S150 is completed, the period update unit 15 ends the event search range calculation process.
  • the determination unit 12 examines whether or not the inter-event elapsed time is within the event search range (step S60), that is, the inter-event elapsed time is T1 or less for a predetermined period. Check if it is.
  • step S60 when the elapsed time between events is within the event search range (step S60: Yes), that is, when the elapsed time between events is a predetermined period T1 or less, the determination unit 12 is the first.
  • the continuity between the vehicle attack event and the acquired vehicle attack event is determined to be continuous (step S65).
  • the coupling unit 13 combines the first vehicle attack event and the acquired vehicle attack event (step S70). ).
  • step S45 when the undetected abnormality detection unit and the end point abnormality detection unit do not match (step S45: No), and in the process of step S60, the elapsed time between events is not within the event search range (step S60: Yes), the determination unit 12 determines the continuity between the first vehicle attack event and the acquired vehicle attack event as no continuity (step S75). Then, the first vehicle attack event continuity determination process proceeds to the process of step S30.
  • step S25 When there is no undetected abnormality detection unit in the process of step S25 (step S25: No), when there is no unacquired vehicle attack event information in the process of step S30 (step S30: No), and in step S70.
  • step S30 When the process is completed, the vehicle attack event continuity determination device 10 ends the first vehicle attack event continuity determination process.
  • the engine start event search range calculation process instead of the event search range calculation process in step S55, the engine start event search range calculation process, the automatic driving start event search range calculation process, and the high-speed running are described below.
  • the event search range calculation process or the software update event search range calculation process may be executed.
  • FIG. 12 is a flowchart of the engine start event search range calculation process executed by the period update unit 15.
  • step S110 is changed to the process of step S210 from the event search range calculation process shown in FIG. 11, and the process of step S130 is changed to the process of step S230.
  • step S230 is a changed process. Therefore, here, the process of step S210 and the process of step S230 will be mainly described.
  • the period update unit 15 checks whether or not the engine start event exists in the acquired vehicle function event information (step S210).
  • step S210 when the engine start event exists (step S210: Yes), the period update unit 15 has the vehicle function utilization rate included in the acquired vehicle function event information, that is, the engine start utilization rate is equal to or higher than the threshold value. (Step S230).
  • step S230 when the engine start utilization rate is equal to or higher than the threshold value (step S230: Yes), the process proceeds to step S140.
  • step S230 if the engine start utilization rate is not equal to or higher than the threshold value (step S230: No), the process proceeds to step S150.
  • step S210: No If the engine start event does not exist in the process of step S210 (step S210: No), the process proceeds to the process of step S120.
  • step S120 When the process of step S120 is completed, the process of step S140 is completed, or the process of step S150 is completed, the period update unit 15 ends the engine start event search range calculation process.
  • FIG. 13 is a flowchart of the automatic operation start event search range calculation process executed by the period update unit 15.
  • step S110 is changed to the process of step S310 from the event search range calculation process shown in FIG. 11, and the process of step S130 is the process of step S330.
  • the process has been changed to. Therefore, here, the process of step S310 and the process of step S330 will be mainly described.
  • the period update unit 15 checks whether or not the automatic driving start event exists in the acquired vehicle function event information (step S310).
  • step S310 when the automatic driving start event exists (step S310: Yes), the period update unit 15 has the vehicle function utilization rate included in the acquired vehicle function event information, that is, the automatic driving start utilization rate. It is checked whether or not it is equal to or higher than the threshold value (step S330).
  • step S330 when the automatic operation start utilization rate is equal to or higher than the threshold value (step S330: Yes), the process proceeds to step S140.
  • step S330 if the automatic operation start utilization rate is not equal to or higher than the threshold value (step S330: No), the process proceeds to step S150.
  • step S310 If the automatic operation start event does not exist in the process of step S310 (step S310: No), the process proceeds to the process of step S120.
  • step S120 When the process of step S120 is completed, the process of step S140 is completed, or the process of step S150 is completed, the period update unit 15 ends the automatic operation start event search range calculation process.
  • FIG. 14 is a flowchart of the high-speed running event search range calculation process executed by the period update unit 15.
  • step S110 is changed to the process of step S410 from the event search range calculation process shown in FIG. 11, and the process of step S130 is changed to the process of step S430.
  • This is a changed process. Therefore, here, the process of step S410 and the process of step S430 will be mainly described.
  • the period update unit 15 checks whether or not the high-speed running event exists in the acquired vehicle function event information (step S410).
  • step S410 when a high-speed running event exists (step S410: Yes), the period update unit 15 has the vehicle function utilization rate included in the acquired vehicle function event information, that is, the high-speed running utilization rate is equal to or higher than the threshold value. (Step S430).
  • step S430 when the high-speed driving utilization rate is equal to or higher than the threshold value (step S430: Yes), the process proceeds to step S140.
  • step S430 if the high-speed driving utilization rate is not equal to or higher than the threshold value (step S430: No), the process proceeds to step S150.
  • step S410 If there is no high-speed driving event in the process of step S410 (step S410: No), the process proceeds to step S120.
  • step S120 When the processing of step S120 is completed, the processing of step S140 is completed, or the processing of step S150 is completed, the period update unit 15 ends the high-speed running event search range calculation processing.
  • FIG. 15 is a flowchart of the software update event search range calculation process executed by the period update unit 15.
  • step S110 is changed to the process of step S510 from the event search range calculation process shown in FIG. 11, and the process of step S130 is the process of step S530.
  • the process has been changed to. Therefore, here, the process of step S510 and the process of step S530 will be mainly described.
  • the period update unit 15 checks whether or not the software update event exists in the acquired vehicle function event information (step S510).
  • step S510 When a software update event exists in the process of step S510 (step S510: Yes), the period update unit 15 has a threshold value of the vehicle function utilization rate included in the acquired vehicle function event information, that is, the software update frequency. It is examined whether or not it is the above (step S530).
  • step S530 if the software update frequency is equal to or higher than the threshold value (step S530: Yes), the process proceeds to step S140.
  • step S530 if the software update frequency is not equal to or higher than the threshold value (step S530: No), the process proceeds to step S150.
  • step S510 If the software update event does not exist in the process of step S510 (step S510: No), the process proceeds to the process of step S120.
  • step S120 When the process of step S120 is completed, the process of step S140 is completed, or the process of step S150 is completed, the period update unit 15 ends the software update event search range calculation process.
  • FIG. 16A shows a first vehicle attack including IDS detection by the abnormality detection unit_C71C of the ECU_C70C and subsequent ROB detection by the abnormality detection unit_D71D of the ECU_D70D in the vehicle-mounted network 20 having a connection relationship from the ECU_A70A to the ECU_C70C.
  • the abnormality detection unit A_71A is the undetected abnormality detection unit of the first vehicle attack event, and the end point abnormality detection unit of the second vehicle attack event. Further, (2) the first vehicle attack event and the second vehicle attack event when the elapsed time between the events of the first vehicle attack event and the second vehicle attack event is within the event search range. The continuity with and is judged to have continuity.
  • the user who uses the vehicle attack event continuity determination device 10 determines that the first event is a first vehicle attack event and a second vehicle attack event. It becomes possible to analyze the attack of the vehicle attack event by regarding the latent attack consisting of the above as one vehicle attack event.
  • FIG. 16B shows a first vehicle attack including IDS detection by the abnormality detection unit_C71C of the ECU_C70C and subsequent ROB detection by the abnormality detection unit_D71D of the ECU_D70D in the vehicle-mounted network 20 having no connection relationship from the ECU_E70E to the ECU_C70C.
  • the vehicle attack event continuity determination device 10 does not calculate the abnormality detection unit E_71E as the undetected abnormality detection unit of the first vehicle attack event, and therefore, the first vehicle attack event and the second vehicle attack event.
  • the continuity with the vehicle attack event is determined to be non-continuity.
  • the user using the vehicle attack event continuity determination device 10 makes one latent attack of the first vehicle attack event and the second vehicle attack event against the second event. It becomes possible to analyze the first vehicle attack event and the second vehicle attack event without considering it as.
  • FIG. 16C shows an in-vehicle network 20 having a connection relationship from the ECU_A70A to the ECU_C70C but not a connection relationship from the ECU_B70B to the ECU_C70C.
  • a first vehicle attack event consisting of ROB detection
  • a second vehicle attack event consisting of an IDS detection by the ECU_A70A abnormality detection unit_A71A and a subsequent IDS detection by the ECU_B70B abnormality detection unit_B71B occurred.
  • the vehicle attack event continuity determination device 10 does not calculate the ECU_B70B, which is the end point abnormality detection unit of the second vehicle attack event, as the undetected abnormality detection unit of the first vehicle attack event, and therefore, The continuity between the first vehicle attack event and the second vehicle attack event is determined to be non-continuity.
  • the user who uses the vehicle attack event continuity determination device 10 sets one vehicle attack event and the second vehicle attack event as one latent attack for the third event. It becomes possible to analyze the first vehicle attack event and the second vehicle attack event without considering them.
  • FIG. 16D shows a first vehicle attack including IDS detection by the abnormality detection unit_C71C of the ECU_C70C and subsequent ROB detection by the abnormality detection unit_D71D of the ECU_D70D in the vehicle-mounted network 20 having a connection relationship from the ECU_A70A to the ECU_C70C.
  • It is a second vehicle attack event consisting of an event and IDS detection by the abnormality detection unit_A71A of ECU_A70A, and the elapsed time between the events of the first vehicle attack event and the second vehicle attack event is outside the event search range.
  • It is a schematic diagram which shows the state that the 4th event which occurred with a certain 2nd vehicle attack event occurred.
  • the vehicle attack event continuity determination device 10 since the vehicle attack event continuity determination device 10 has an elapsed time between the events of the first vehicle attack event and the second vehicle attack event outside the event search range, the first vehicle attack event and the second vehicle attack event are present.
  • the continuity with the vehicle attack event is determined to be non-continuity.
  • the user who uses the vehicle attack event continuity determination device 10 sets one vehicle attack event and the second vehicle attack event as one latent attack for the fourth event. It becomes possible to analyze the first vehicle attack event and the second vehicle attack event without considering them.
  • FIG. 17 shows a vehicle function event (hereinafter, also referred to as “most recently started vehicle function event”) that occurred within a predetermined period TB from the first time, which is the earliest detection time in the first vehicle attack event, to the past. It is a schematic diagram which shows the usage situation of the same vehicle function event.
  • vehicle function event hereinafter, also referred to as “most recently started vehicle function event”
  • the predetermined period T1 is updated so as to shorten the predetermined period T1.
  • the vehicle attack event continuity determination device 10 can determine the continuity between the first vehicle attack event and the second vehicle attack event relatively efficiently and relatively effectively.
  • the predetermined period T1 is updated so as to lengthen the predetermined period T1.
  • the vehicle attack event continuity determination device 10 can determine the continuity between the first vehicle attack event and the second vehicle attack event relatively efficiently and relatively effectively.
  • FIG. 18 is a block diagram showing an example of the configuration of the vehicle attack event continuity determination device 10A according to the second embodiment.
  • the reliability calculation unit 19 is added from the vehicle attack event continuity determination device 10 according to the first embodiment, and the output unit 14 is added to the output unit 14A. Modified and configured.
  • the reliability calculation unit 19 includes the first vehicle attack event information indicating the first vehicle attack event and the second vehicle attack event information when the coupling unit 13 combines the first vehicle attack event and the second vehicle attack event. Based on the second vehicle attack event information indicating the vehicle attack event of, the reliability of the combined vehicle attack event obtained by combining the first vehicle attack event and the second vehicle attack event is calculated. ..
  • the reliability calculation unit 19 is, for example, in the attack route calculated by the attack route calculation unit 16 for the first vehicle attack event, the first vehicle attack event and the first vehicle attack event against the abnormality detection unit 71 existing in the attack route.
  • the matching rate of the abnormality detecting unit 71 that detected the abnormality in the second vehicle attack event may be calculated as the reliability.
  • the abnormality detection unit 71 existing in the attack path is the abnormality detection unit_A71A, the abnormality detection unit_B71B, the abnormality detection unit_C71C, and the abnormality detection unit_D71D, the first vehicle attack event and the second vehicle.
  • the reliability calculation unit 19 has, for example, an abnormality detection type detected by the abnormality detection unit 71 existing in the attack route in the attack route calculated by the attack route calculation unit 16 for the first vehicle attack event.
  • the match rate with the abnormality detection type detected by the abnormality detection unit 71 that detected the abnormality in the first vehicle attack event and the second vehicle attack event may be calculated as the reliability.
  • the abnormality detection type detected by the abnormality detection unit 71 existing in the attack path is the abnormality detection unit_A_Abnormity1, the abnormality detection unit_B_Abnormality2, the abnormality detection unit_C_Abnormality3, the abnormality detection unit_D_Abnormality4, and the abnormality detection unit_D_Abnorm.
  • the abnormality detection types detected by the abnormality detection unit 71 that detected the abnormality in the first vehicle attack event and the second vehicle attack event are the abnormality detection unit_A_Abnormality1, the abnormality detection unit_B_Abnormality2, and the abnormality detection unit_C_Abnormality3.
  • the output unit 14A outputs the determination result by the determination unit 12 and the reliability calculated by the reliability calculation unit 19. More specifically, the output unit 14A causes the display device 41 to display the determination result and the reliability as the second display control signal including the determination result and the reliability.
  • the display control signal of 2 is output.
  • FIG. 19 is a schematic diagram showing an example of an image displayed by the display device 41 that has received the second display control signal output from the output unit 14A based on the received second display control signal.
  • the display device 41 that has received the second display control signal output from the output unit 14A has a determination result by the determination unit 12 and a reliability calculated by the reliability calculation unit 19. indicate.
  • the vehicle attack event continuity determination device 10A is a second vehicle attack event continuity determination in which a part of the processing is changed from the first vehicle attack event continuity determination process performed by the vehicle attack event continuity determination device 10. Perform processing.
  • FIG. 20 is a flowchart of the second vehicle attack event continuity determination process performed by the vehicle attack event continuity determination device 10A.
  • step S680 is added from the first vehicle attack event continuity determination process, and the undetected abnormality detection unit in the process of step S25.
  • the second vehicle attack event continuity determination process is terminated when there is no (step S25: No) and when there is no unacquired vehicle attack event information in the process of step S30 (step S30: No). This is a process that has been changed to.
  • step S680 the process of step S680 will be mainly described.
  • the reliability calculation unit 19 determines the first vehicle attack event based on the first vehicle attack event information indicating the first vehicle attack event and the vehicle attack event information indicating the acquired vehicle attack event. The reliability of the combined vehicle attack event obtained by combining the attack event and the acquired vehicle attack event is calculated (step S680).
  • step S680 the second vehicle attack event continuity determination process proceeds to the process of step S30.
  • the user who uses the vehicle attack event continuity determination device 10A can perform one latent attack on the first vehicle attack event and the second vehicle attack event based on the display content displayed on the display device 41. It will be possible to judge whether or not it should be regarded as.
  • the vehicle attack event continuity determination device 10 is realized by the server device 40 existing outside the vehicle-mounted network 20.
  • the vehicle attack event continuity determination device 10 does not necessarily have to be limited to the example realized by the server device 40, and further needs to be limited to the example realized by the device outside the vehicle-mounted network 20. do not have.
  • the vehicle attack event continuity determination device 10 may be realized in the vehicle-mounted network 20.
  • the vehicle-mounted network 20 may include, for example, a processor and a memory, and the processor may execute a program stored in the memory to realize the vehicle attack event continuity determination device 10.
  • Some or all of the components included in the vehicle attack event continuity determination device 10 may be realized as a dedicated or general-purpose circuit.
  • a part or all of the components included in the vehicle attack event continuity determination device 10 may be composed of, for example, one system LSI (Large Scale Integration: large-scale integrated circuit).
  • the system LSI is an ultra-multifunctional LSI manufactured by integrating a plurality of components on one chip, and specifically, a microprocessor, a ROM (Read Only Memory), a RAM (Random Access Memory), and the like. It is a computer system configured to include.
  • a computer program is stored in the ROM.
  • the system LSI achieves its function by operating the microprocessor according to the computer program.
  • system LSI Although it is referred to as a system LSI here, it may be referred to as an IC, an LSI, a super LSI, or an ultra LSI due to the difference in the degree of integration. Further, the method of making an integrated circuit is not limited to the LSI, and may be realized by a dedicated circuit or a general-purpose processor. An FPGA (Field Programmable Gate Array) that can be programmed after the LSI is manufactured, or a reconfigurable processor that can reconfigure the connection and settings of the circuit cells inside the LSI may be used.
  • FPGA Field Programmable Gate Array
  • One aspect of the present disclosure is not only such a vehicle attack event continuity determination device 10, but also a vehicle attack event continuity having a characteristic component included in the vehicle attack event continuity determination device 10 as a step. It may be a determination method. Further, one aspect of the present disclosure may be a computer program that causes a computer to execute each characteristic step included in the vehicle attack event continuity determination method. Also, one aspect of the present disclosure may be a computer-readable, non-temporary recording medium on which such a computer program is recorded.
  • This disclosure can be widely used in attack monitoring systems that monitor cyber attacks on networks.
  • Attack monitoring system 10A Vehicle attack event continuity judgment device 11 Acquisition unit 12 Judgment unit 13 Coupling unit 14, 14A Output unit 15 Period update unit 16 Attack route calculation unit 17 Undetected abnormality detection unit Calculation unit 18 Storage unit 19 Reliability Degree calculation unit 20 In-vehicle network 30 Vehicle 40 Server device 41 Display device 50 External network 60 Vehicle attack event management unit 70 ECU 70A ECU_A 70B ECU_B 70C ECU_C 70D ECU_D 70E ECU_E 71 Anomaly detection unit 71A Anomaly detection unit_A 71B Anomaly detection unit_B 71C Anomaly detection unit_C 71D Anomaly detection unit_D 71E Anomaly detection unit_E

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Medical Informatics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Computer And Data Communications (AREA)
  • Traffic Control Systems (AREA)
  • Small-Scale Networks (AREA)

Abstract

車両攻撃イベント連続性判定方法は、車載ネットワーク（２０）において発生した第１の車両攻撃イベントに係る第１の車両攻撃イベント情報と、車載ネットワーク（２０）において、第１の車両攻撃イベントより過去に発生した第２の車両攻撃イベントに係る第２の車両攻撃イベント情報と、車載ネットワーク（２０）の構成を示す車載ネットワーク情報とを取得する取得ステップと、第１の車両攻撃イベント情報と、第２の車両攻撃イベント情報と、車載ネットワーク情報とに基づいて、第１の車両攻撃イベントと、第２の車両攻撃イベントとの連続性を判定する判定ステップと、判定した結果を出力する出力ステップと、を含む。

Description

車両攻撃イベント連続性判定方法、車両攻撃イベント連続性判定装置、および、プログラム
　ネットワークに対するサイバー攻撃を解析する方法に関する。
　従来、車両に搭載する車載ネットワークに対するサイバー攻撃（以下、単に「攻撃」とも称する）を解析する技術が知られている（例えば、特許文献１参照）。
特開２０１５－０２６２５２号公報
　車載ネットワークに対する攻撃の中には、車載ネットワークへの侵入時刻と、攻撃ターゲットへの攻撃時刻との時間間隔が比較的大きい攻撃（以下、このような攻撃のことを「潜伏攻撃」と称する）がある。
　従来、１つの潜伏攻撃に対して、攻撃ターゲットへの攻撃時刻近傍の時間帯に発生した第１の車両攻撃イベントと、第１の攻撃イベントより過去に発生した、車載ネットワークへの侵入時刻近傍の時間帯に発生した第２の車両攻撃イベントとの、互いに異なる２つの車両攻撃イベントが発生したと判定してしまうことがある。
　このため、潜伏攻撃の解析を正しく行うことができない場合がある。
　このような場合であっても、第１の車両攻撃イベントの攻撃経路と第２の車両攻撃イベントの攻撃経路との連続性を判定することができれば、１つの潜伏攻撃に対して判定された第１の車両攻撃イベントと第２の車両攻撃イベントとを１つの車両攻撃イベントとみなして、その車両攻撃イベントの攻撃を解析することができるようになる。
　そこで、本開示は、車載ネットワークにおいて発生した、第１の車両攻撃イベントと、第１の車両攻撃イベントよりも過去に発生した第２の車両攻撃イベントとの連続性を判定することができる車両攻撃イベント連続性判定方法等を提供することを目的とする。
　本開示の一態様に係る車両攻撃イベント連続性判定方法は、車載ネットワークにおいて発生した第１の車両攻撃イベントに係る第１の車両攻撃イベント情報と、前記車載ネットワークにおいて、前記第１の車両攻撃イベントより過去に発生した第２の車両攻撃イベントに係る第２の車両攻撃イベント情報と、前記車載ネットワークの構成を示す車載ネットワーク情報とを取得する取得ステップと、前記第１の車両攻撃イベント情報と、前記第２の車両攻撃イベント情報と、前記車載ネットワーク情報とに基づいて、前記第１の車両攻撃イベントと、前記第２の車両攻撃イベントとの連続性を判定する判定ステップと、判定した結果を出力する出力ステップと、を含む。
　本開示の一態様に係る車両攻撃イベント連続性判定装置は、車載ネットワークにおいて発生した第１の車両攻撃イベントに係る第１の車両攻撃イベント情報と、前記車載ネットワークにおいて、前記第１の車両攻撃イベントより過去に発生した第２の車両攻撃イベントに係る第２の車両攻撃イベント情報と、前記車載ネットワークの構成を示す車載ネットワーク情報とを取得する取得部と、前記第１の車両攻撃イベント情報と、前記第２の車両攻撃イベント情報と、前記車載ネットワーク情報とに基づいて、前記第１の車両攻撃イベントと、前記第２の車両攻撃イベントとの連続性を判定する判定部と、判定した結果を出力する出力部と、を備える。
　本開示の一態様に係るプログラムは、コンピュータに車両攻撃イベント連続性判定処理を実行させるためのプログラムであって、前記車両攻撃イベント連続性判定処理は、車載ネットワークにおいて発生した第１の車両攻撃イベントに係る第１の車両攻撃イベント情報と、前記車載ネットワークにおいて、前記第１の車両攻撃イベントより過去に発生した第２の車両攻撃イベントに係る第２の車両攻撃イベント情報と、前記車載ネットワークの構成を示す車載ネットワーク情報とを取得する取得ステップと、前記第１の車両攻撃イベント情報と、前記第２の車両攻撃イベント情報と、前記車載ネットワーク情報とに基づいて、前記第１の車両攻撃イベントと、前記第２の車両攻撃イベントとの連続性を判定する判定ステップと、判定した結果を出力する出力ステップと、を含む。
　本開示の一態様に係る車両攻撃イベント連続性判定方法等によれば、車載ネットワークにおいて発生した、第１の車両攻撃イベントと、第１の車両攻撃イベントよりも過去に発生した第２の車両攻撃イベントとの連続性を判定することができる。
図１は、実施の形態１に係る攻撃監視システムの構成の一例を示すブロック図である。 図２は、実施の形態１に係る車載ネットワークの構成の一例を示すブロック図である。 図３は、実施の形態１に係る異常検知部が異常を検知する様子の一例を示す模式図である。 図４は、実施の形態１に係る車両攻撃イベント情報の一例を示す模式図である。 図５は、実施の形態１に係る車両機能イベント情報の一例を示す模式図である。 図６は、実施の形態１に係る車両攻撃イベント連続性判定装置の構成の一例を示すブロック図である。 図７は、実施の形態１に係る車両攻撃イベント履歴の一例を示す模式図である。 図８は、実施の形態１に係る車両機能イベント履歴の一例を示す模式図である。 図９は、実施の形態１に係る車載ネットワーク情報の一例を示す模式図である。 図１０は、実施の形態１に係る第１の車両攻撃イベント連続性判定処理のフローチャートである。 図１１は、実施の形態１に係るイベント探索範囲算出処理のフローチャートである。 図１２は、実施の形態１に係るエンジン起動イベント探索範囲算出処理のフローチャートである。 図１３は、実施の形態１に係る自動運転起動イベント探索範囲算出処理のフローチャートである。 図１４は、実施の形態１に係る高速走行イベント探索範囲算出処理のフローチャートである。 図１５は、実施の形態１に係るソフトウエア更新イベント探索範囲算出処理のフローチャートである。 図１６Ａは、実施の形態１に係る第１の事象が発生した様子を示す模式図である。 図１６Ｂは、実施の形態１に係る第２の事象が発生した様子を示す模式図である。 図１６Ｃは、実施の形態１に係る第３の事象が発生した様子を示す模式図である。 図１６Ｄは、実施の形態１に係る第４の事象が発生した様子を示す模式図である。 図１７は、車両機能イベントの利用状況を示す模式図である。 図１８は、実施の形態２に係る車両攻撃イベント連続性判定装置の構成の一例を示すブロック図である。 図１９は、実施の形態２に係る画像表示装置が表示する画像の一例を示す模式図である。 図２０は、実施の形態２に係る第２の車両攻撃イベント連続性判定処理のフローチャートである。
　（本開示の一態様を得るに至った経緯）
　上述したように、従来、潜伏攻撃の解析を正しく行うことができない場合がある。
　このため、発明者らは、潜伏攻撃の解析を正しく行うための方法について、鋭意、検討、実験を重ねた。
　その結果、発明者らは、車載ネットワークにおいて発生した、第１の車両攻撃イベントと、第１の車両攻撃イベントよりも過去に発生した第２の車両攻撃イベントとの連続性を判定することができれば、１つの潜伏攻撃に対して判定された第１の車両攻撃イベントと第２の車両攻撃イベントとを１つの車両攻撃イベントとみなして、その車両攻撃イベントの攻撃を解析することができるようになるとの知見を得た。
　そして、発明者らは、この知見を基に、更に検討、実験を重ね、下記本開示に係る車両攻撃イベント連続性判定方法、車両攻撃イベント連続性判定装置、および、プログラムに想到した。
　本開示の一態様に係る車両攻撃イベント連続性判定方法は、車載ネットワークにおいて発生した第１の車両攻撃イベントに係る第１の車両攻撃イベント情報と、前記車載ネットワークにおいて、前記第１の車両攻撃イベントより過去に発生した第２の車両攻撃イベントに係る第２の車両攻撃イベント情報と、前記車載ネットワークの構成を示す車載ネットワーク情報とを取得する取得ステップと、前記第１の車両攻撃イベント情報と、前記第２の車両攻撃イベント情報と、前記車載ネットワーク情報とに基づいて、前記第１の車両攻撃イベントと、前記第２の車両攻撃イベントとの連続性を判定する判定ステップと、判定した結果を出力する出力ステップと、を含む。
　上記車両攻撃イベント連続性判定方法によると、車載ネットワークにおいて発生した、第１の車両攻撃イベントと、第１の車両攻撃イベントよりも過去に発生した第２の車両攻撃イベントとの連続性を判定することができる。
　また、前記取得ステップでは、さらに、前記車載ネットワークにおいて、前記第２の車両攻撃イベントより過去に発生した第３の車両攻撃イベントに係る第３の車両攻撃イベント情報を取得し、前記判定ステップでは、前記連続性を、連続性ありと判定しなかった場合に、さらに、前記第１の車両攻撃イベント情報と、前記第３の車両攻撃イベント情報と、前記車載ネットワーク情報とに基づいて、前記第１の車両攻撃イベントと、前記第３の車両攻撃イベントとの連続性を判定するとしてもよい。
　また、前記車載ネットワークは、複数の異常検知部を備え、前記第１の車両攻撃イベント情報は、前記複数の異常検知部のうちの、前記第１の車両攻撃イベントにおいて異常を検知した１以上の第１の異常検知部を示す情報を含み、前記第２の車両攻撃イベント情報は、前記複数の異常検知部のうちの、前記第２の車両攻撃イベントにおいて異常を検知した１以上の第２の異常検知部を示す情報を含み、前記判定ステップでは、前記第１の車両攻撃イベントにおける攻撃経路を算出し、前記攻撃経路において前記１以上の第１の異常検知部よりも上流側に位置する、前記第１の攻撃イベントにおいて異常を検知しなかった未検知異常検知部を算出し、前記未検知異常検知部と、前記１以上の第２の異常検知部のうち、異常を検知した時刻が最も遅い終点異常検知部とが一致する場合に、前記連続性を、連続性ありと判定するとしてもよい。
　また、前記判定ステップでは、前記第１の車両攻撃イベントの発生時刻から第１の所定期間内に発生した前記第２の車両攻撃イベントを対象として、前記連続性を判定するとしてもよい。
　また、前記取得ステップでは、さらに、前記車載ネットワークを搭載する車両において発生した車両機能イベントに係る車両機能イベント情報を取得し、前記判定ステップでは、さらに、前記車両機能イベント情報にも基づいて、前記連続性を判定するとしてもよい。
　また、前記車両機能イベント情報は、前記１以上の第１の異常検知部が異常を検知した時刻のうちのもっとも早い第１の時刻から過去への第２の所定期間内に発生した車両機能イベントと同じ第１の車両機能イベントが、前記第１の時刻から過去への、前記第２の所定期間よりも長い第３の所定期間内に発生した回数または期間に係る車両機能利用率を含み、さらに、前記車両攻撃イベント連続性判定方法は、前記車両機能利用率に基づいて、前記第１の所定期間を更新する期間更新ステップを含み、前記判定ステップでは、前記期間更新ステップにより更新された前記第１の所定期間を利用して、前記連続性を判定するとしてもよい。
　また、前記期間更新ステップでは、（１）前記第１の時刻から過去への前記第３の所定の期間内に前記第１の車両機能イベントが発生していない場合に、前記第１の所定期間を変更しないように、（２）前記第１の時刻から過去への前記第３の所定の期間内に、前記第１の車両機能イベントが発生している、かつ、所定の閾値以上の回数または期間発生している場合に、前記第１の所定期間を短くするように、（３）前記第１の時刻から過去への前記第３の所定の期間内に、前記第１の車両機能イベントが発生している、かつ、所定の閾値未満の回数または期間発生している場合に、前記第１の所定期間を長くするように、前記第１の所定期間を更新するとしてもよい。
　また、前記第１の車両機能イベントは、前記車両のエンジンを起動しているエンジン起動イベントであるとしてもよい。
　また、前記第１の車両機能イベントは、前記車両の自動運転を起動している自動運転起動イベントであるとしてもよい。
　また、前記第１の車両機能イベントは、前記車両が高速走行を行う高速走行イベントであるとしてもよい。
　また、前記第１の車両機能イベントは、前記車両のソフトウエアを更新するソフトウエア更新イベントであるとしてもよい。
　また、さらに、前記判定ステップにおいて、前記連続性を、連続性ありと判定した場合に、前記第１の車両攻撃イベントと、前記第２の車両攻撃イベントとを結合する結合ステップを含むとしてもよい。
　また、さらに、前記結合ステップにおいて、前記第１の車両攻撃イベントと前記第２の車両攻撃イベントとを結合した場合に、前記第１の車両攻撃イベント情報と、前記第２の車両攻撃イベント情報とに基づいて、前記第１の車両攻撃イベントと前記第２の車両攻撃イベントとを結合して得られた結合後車両攻撃イベントの信頼度を算出する信頼度算出ステップを含み、前記出力ステップでは、さらに、前記信頼度を出力するとしてもよい。
　本開示の一態様に係る車両攻撃イベント連続性判定装置は、車載ネットワークにおいて発生した第１の車両攻撃イベントに係る第１の車両攻撃イベント情報と、前記車載ネットワークにおいて、前記第１の車両攻撃イベントより過去に発生した第２の車両攻撃イベントに係る第２の車両攻撃イベント情報と、前記車載ネットワークの構成を示す車載ネットワーク情報とを取得する取得部と、前記第１の車両攻撃イベント情報と、前記第２の車両攻撃イベント情報と、前記車載ネットワーク情報とに基づいて、前記第１の車両攻撃イベントと、前記第２の車両攻撃イベントとの連続性を判定する判定部と、判定した結果を出力する出力部と、を備える。
　上記構成の車両攻撃イベント連続性判定装置によると、車載ネットワークにおいて発生した、第１の車両攻撃イベントと、第１の車両攻撃イベントよりも過去に発生した第２の車両攻撃イベントとの連続性を判定することができる。
　本開示の一態様に係るプログラムは、コンピュータに車両攻撃イベント連続性判定処理を実行させるためのプログラムであって、前記車両攻撃イベント連続性判定処理は、車載ネットワークにおいて発生した第１の車両攻撃イベントに係る第１の車両攻撃イベント情報と、前記車載ネットワークにおいて、前記第１の車両攻撃イベントより過去に発生した第２の車両攻撃イベントに係る第２の車両攻撃イベント情報と、前記車載ネットワークの構成を示す車載ネットワーク情報とを取得する取得ステップと、前記第１の車両攻撃イベント情報と、前記第２の車両攻撃イベント情報と、前記車載ネットワーク情報とに基づいて、前記第１の車両攻撃イベントと、前記第２の車両攻撃イベントとの連続性を判定する判定ステップと、判定した結果を出力する出力ステップと、を含む。
　上記プログラムによると、車載ネットワークにおいて発生した、第１の車両攻撃イベントと、第１の車両攻撃イベントよりも過去に発生した第２の車両攻撃イベントとの連続性を判定することができる。
　以下、本開示の一態様に係る車両攻撃イベント連続性判定方法等の具体例について、図面を参照しながら説明する。ここで示す実施の形態は、いずれも本開示の一具体例を示すものである。従って、以下の実施の形態で示される数値、形状、構成要素、構成要素の配置および接続形態、ならびに、ステップ（工程）およびステップの順序等は、一例であって本開示を限定する趣旨ではない。また、各図は、模式図であり、必ずしも厳密に図示されたものではない。各図において、実質的に同一の構成に対しては同一の符号を付しており、重複する説明は省略または簡略化する。
　（実施の形態１）
　以下、実施の形態１に係る車両攻撃イベント連続性判定装置について説明する。この車両攻撃イベント連続性判定装置は、車両に搭載される車載ネットワークにおいて発生した、第１の車両攻撃イベントと、第１の車両攻撃イベントよりも過去に発生した第２の車両攻撃イベントとの連続性を判定する装置である。
　＜構成＞
　図１は、実施の形態に係る車両攻撃イベント連続性判定装置１０を利用して、車両３０に搭載される車載ネットワーク２０に対する攻撃を監視する攻撃監視システム１の構成の一例を示すブロック図である。
　図１に示すように、攻撃監視システム１は、サーバ装置４０と、車両３０と、車載ネットワーク２０と、外部ネットワーク５０とを含んで構成される。
　サーバ装置４０は、いわゆるコンピュータ装置であって、プロセッサ（図示されず）と、メモリ（図示されず）と、通信インターフェース（図示されず）と、記憶装置（図示されず）と、ディスプレイ（図示されず）とを備える。
　サーバ装置４０は、メモリに記憶されたプログラムをプロセッサが実行することで、車両攻撃イベント連続性判定装置１０と表示装置４１とを実現する。
　車両３０は、通信機能を有し、車載ネットワーク２０を搭載する。車両３０は、例えば自動車である。
　外部ネットワーク５０は、インターネット等の広域ネットワークであって、その接続先に、車両攻撃イベント連続性判定装置１０と、車載ネットワーク２０とを含む。
　図２は、車載ネットワーク２０の構成の一例を示すブロック図である。
　図２に示すように、車載ネットワーク２０は、複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）と、車両攻撃イベント管理部６０とを含んで構成される。
　ここで、図２において、複数のＥＣＵは、ＥＣＵ＿Ａ７０Ａ、ＥＣＵ＿Ｂ７０Ｂ、ＥＣＵ＿Ｃ７０Ｃ、ＥＣＵ＿Ｄ７０Ｄ、ＥＣＵ＿Ｅ７０Ｅが該当する。以下では、複数のＥＣＵのそれぞれのことを、ＥＣＵ７０と称することもある。
　複数のＥＣＵ７０には、例えば、車両３０のエンジンを制御するＥＣＵ、車両３０の自動運転を制御するＥＣＵ、車両３０に搭載されたエアコンを制御するＥＣＵ等が含まれる。
　ＥＣＵ７０のそれぞれは、ＥＣＵ７０の異常を検知する異常検知部を備える。ここでは、ＥＣＵ＿Ａ７０Ａが異常検知部＿Ａ７１Ａを備え、ＥＣＵ＿Ｂ７０Ｂが異常検知部＿Ｂ７１Ｂを備え、ＥＣＵ＿Ｃ７０Ｃが異常検知部＿Ｃ７１Ｃを備え、ＥＣＵ＿Ｄ７０Ｄが異常検知部＿Ｄ７１Ｄを備え、ＥＣＵ＿Ｅ７０Ｅが異常検知部＿Ｅ７１Ｅを備える。以下では、ＥＣＵ７０のそれぞれが備える異常検知部のことを、異常検知部７１と称することもある。
　ここでは、異常検知部７１による、ＥＣＵ７０の異常の検知の種別には、ＥＣＵ７０における異常動作の検知（以下、「ＩＤＳ」とも称する）と、ＥＣＵ７０への攻撃に対する防御エラー（以下、「ＲＯＢ」とも称する）とが含まれるとして説明する。
　異常検知部７１は、ＥＣＵ７０の異常を検知すると、異常検知情報を車両攻撃イベント管理部６０に送信する。ここで、異常検知情報は、異常の種別を示す異常検知種別と、異常を検知した時刻を示す検知時刻と、異常の検知対象となるＥＣＵ７０を示すＥＣＵ名とを含む情報である。
　図３は、車載ネットワーク２０に対する攻撃があった場合において、複数の異常検知部７１が、対応するＥＣＵ７０の異常を検知する様子の一例を示す模式図である。
　図３における「→（矢印）」は、車載ネットワーク２０におけるＥＣＵ７０間の接続関係を示す。また、図３における「深度」は、検知した異常に起因して生じ得る、車両３０への悪影響の度合を示す。ここでは、階層が深い程（階層の数字が大きい程）、悪影響の度合いが大きいことを示す。
　図３に示す例は、ＥＣＵ＿Ａ７０Ａに対する攻撃が行われた後に、ＥＣＵ＿Ａ７０Ａの接続先であるＥＣＵ＿Ｃ７０Ｃに対する攻撃が行われ、さらにその後にＥＣＵ＿Ｃ７０Ｃの接続先であるＥＣＵ＿Ｄ７０Ｄに対する攻撃が行われた場合において、（１）異常検知部＿Ａ７１Ａが、ＥＣＵ＿Ａ７０Ａへの攻撃に対するＲＯＢを、時刻ＹＹ１（年）：ＭＭ１（月）／ＤＤ１（日）：ＨＨ１（時）：ＭＭ１（分）：ＳＳ１（秒）に検知し、その後、（２）異常検知部＿Ａ７１Ａが、ＥＣＵ＿Ａ７０Ａへの攻撃に対するＩＤＳを、時刻ＹＹ２（年）：ＭＭ２（月）／ＤＤ２（日）：ＨＨ２（時）：ＭＭ２（分）：ＳＳ２（秒）に検知し、その後、（３）異常検知部＿Ｃ７１Ｃが、ＥＣＵ＿Ｃ７０Ｃへの攻撃に対するＩＤＳを、時刻ＹＹ３（年）：ＭＭ３（月）／ＤＤ３（日）：ＨＨ３（時）：ＭＭ３（分）：ＳＳ３（秒）に検知し、その後、（４）異常検知部＿Ｄ７１Ｄが、ＥＣＵ＿Ｄ７０Ｄへの攻撃に対するＲＯＢを、時刻ＹＹ４（年）：ＭＭ４（月）／ＤＤ４（日）：ＨＨ４（時）：ＭＭ４（分）：ＳＳ４（秒）に検知した場合の例となっている。
　再び図２に戻って、車載ネットワーク２０の説明を続ける。
　車両攻撃イベント管理部６０は、異常検知部７１から送信された異常検知情報を受信する。
　車両攻撃イベント管理部６０は、検知時刻の差が所定期間ＴＡ（例えば、５分）以内となる複数の異常検知情報を受信した場合に、車載ネットワーク２０において、それら複数の異常検知情報により示されるＥＣＵ７０の異常の検知からなる車両攻撃イベントが発生したと判定する。そして、車両攻撃イベント管理部６０は、それら複数の異常検知情報に基づいて、車両攻撃イベント情報を生成する。
　図４は、車両攻撃イベント管理部６０が生成する車両攻撃イベント情報の一例を示す模式図である。
　図４に示すように、車両攻撃イベント情報は、１つの車両攻撃イベントに含まれるＥＣＵ７０の異常の検知のそれぞれについて、異常検知種別と、検知時刻と、ＥＣＵ名と、その異常の検知を特定する検知番号とが対応付けられて構成される情報である。
　図４に例示される車両攻撃イベント情報からは、車両攻撃イベント情報が示す車両攻撃イベントは、ＥＣＵ＿Ｃ７０Ｃにおいて検知時刻２０２０年４月１日１２時００分３６秒に検知された、異常検知種別がＩＤＳとなる異常の検知と、ＥＣＵ＿Ｄ７０Ｄにおいて検知時刻２０２０年４月１日１２時００分３７秒に検知された、異常検知種別がＲＯＢとなる異常の検知とからなるイベントであることが読み取れる。
　再び図２に戻って、車載ネットワーク２０の説明を続ける。
　車両攻撃イベント管理部６０は、車両攻撃イベント情報を生成すると、生成した車両攻撃イベント情報に含まれる検知時刻のうちの一番早い第１の時刻から過去への所定期間ＴＢ（例えば、１０分）内に車両３０において発生した車両機能イベントを調べる。ここで、車両機能イベントとは、車両３０が有する機能のうちのいずれかの機能が実行される事象のことをいう。例えば、車両機能イベントには、車両３０のエンジンが起動している状態を示すエンジン起動イベント、車両３０のエンジンを始動するエンジン始動イベント、車両３０の自動運転が起動している状態を示す自動運転起動イベント、車両３０の自動運転を開始する自動運転開始イベント、車両３０が高速走行をしている状態を示す高速走行イベント、車両３０が高速走行を開始する高速走行開始イベント、車両３０にインストールされたソフトウエアが更新されるソフトウエア更新イベント等が含まれる。
　そして、車両攻撃イベント管理部６０は、該当する車両機能イベントがある場合に、その車両機能イベントと同じ車両機能イベントが、第１の時刻から過去への所定期間ＴＣ（例えば、１週間）内に発生した回数または期間に係る車両機能利用率を算出する。
　車両機能利用率は、例えば、車両機能イベントがエンジン起動イベントである場合には、所定期間ＴＢに対する、エンジンが起動している期間の割合を示すエンジン起動利用率であってもよいし、エンジンの連続起動時間であってもよいし、例えば、車両機能イベントがエンジン始動イベントである場合には、所定期間ＴＢにおいてエンジンが始動された回数を示すエンジン始動頻度であってもよいし、例えば、車両機能イベントが自動運転起動イベントである場合には、所定期間ＴＢに対する、自動運転が起動している期間の割合を示す自動運転起動利用率であってもよいし、自動運転の連続起動時間であってもよいし、例えば、車両機能イベントが自動運転開始イベントである場合には、所定期間ＴＢにおいて自動運転が開始された回数を示す自動運転開始頻度であってもよいし、例えば、車両機能イベントが高速走行イベントである場合には、所定期間ＴＢに対する、高速走行をしている期間の割合を示す高速走行利用率であってもよいし、連続高速走行時間であってもよいし、例えば車両機能イベントが、高速走行開始イベントである場合には、所定期間ＴＢにおいて高速走行が開始された回数を示す高速走行開始頻度であってもよいし、例えば、車両機能イベントが、ソフトウエア更新イベントである場合には、所定期間ＴＢにおいてソフトウエアが更新された回数を示すソフトウエア更新頻度であってもよい。
　車両攻撃イベント管理部６０は、車両機能利用率を算出すると、該当する車両機能イベントと、生成した車両機能利用率とに基づいて、車両機能イベント情報を生成する。
　図５は、車両攻撃イベント管理部６０が生成する車両機能イベント情報の一例を示す模式図である。
　図５に示すように、車両機能イベント情報は、該当する車両機能イベントと、その車両機能イベントの車両機能利用率とを対応付けて構成される情報である。
　図５に例示される車両機能イベント情報からは、該当する車両機能イベントがエンジン起動イベントであって、所定期間ＴＢに対する、エンジンが起動している期間の割合が６０％であることが読み取れる。
　再び図２に戻って、車載ネットワーク２０の説明を続ける。
　車両攻撃イベント管理部６０は、車両攻撃イベント情報と、車両機能イベント情報とを生成すると、生成した車両攻撃イベント情報と、生成した車両機能イベント情報とを、車両攻撃イベント連続性判定装置１０に送信する。
　車両攻撃イベント管理部６０は、例えば、車載ネットワーク２０を構成するプロセッサ（図示されず）が、車載ネットワーク２０を構成するメモリ（図示されず）に記憶されるプログラムを実行することで実現される。
　図６は、車両攻撃イベント連続性判定装置１０の構成の一例を示すブロック図である。
　図６に示すように、車両攻撃イベント連続性判定装置１０は、取得部１１と、判定部１２と、結合部１３と、出力部１４と、期間更新部１５と、攻撃経路算出部１６と、未検知異常検知部算出部１７と、記憶部１８とを備える。
　取得部１１は、車両攻撃イベント管理部６０から送信される、車両攻撃イベント情報と、車両機能イベント情報とを取得する。
　取得部１１は、新たな車両攻撃イベント情報を取得すると、記憶部１８が記憶する車両攻撃イベント履歴を更新する。
　図７は、記憶部１８が記憶する車両攻撃イベント履歴の一例を示す模式図である。
　図７に示すように、車両攻撃イベント履歴は、取得部１１が過去に取得した車両攻撃イベント情報のそれぞれについて、車両攻撃イベント情報と、その車両攻撃イベント情報を受信した時刻を示す車両攻撃イベント情報受信時刻と、その車両攻撃イベント情報を送信した車両攻撃イベント管理部６０を含む車両３０を特定する車両番号と、その車両攻撃イベント情報を特定する車両攻撃イベント番号とが対応付けられて構成される情報である。
　ここでは、車両攻撃イベント連続性判定装置１０を構成する各構成要素は、取得部１１が車両攻撃イベント情報を受信した車両攻撃イベント受信時刻を、その車両攻撃イベント情報により示される車両攻撃イベントの発生時刻として各種処理を行う。
　再び図６に戻って、車両攻撃イベント連続性判定装置１０の説明を続ける。
　取得部１１は、新たな車両機能イベント情報を取得すると、記憶部１８が記憶する車両機能イベント履歴を更新する。
　図８は、記憶部１８が記憶する車両機能イベント履歴の一例を示す模式図である。
　図８に示すように、車両機能イベント履歴は、取得部１１が過去に取得した車両機能イベント情報のそれぞれについて、車両機能イベント情報と、その車両機能イベント情報を受信した時刻を示す車両機能イベント情報受信時刻と、その車両機能イベント情報を送信した車両攻撃イベント管理部６０を有する車両３０を特定する車両番号と、その車両機能イベント情報に対応する車両攻撃イベントを特定する車両攻撃イベント番号とが対応付けられて構成される情報である。
　再び図６に戻って、車両攻撃イベント連続性判定装置１０の説明を続ける。
　記憶部１８は、車両攻撃イベント履歴と、車両機能イベント履歴とに加えて、車載ネットワーク２０の構成を示す車載ネットワーク情報を記憶する。
　図９は、記憶部１８が記憶する車載ネットワーク情報の一例を示す模式図である。
　図９において、接続元ＥＣＵのエントリーポイントフラグとは、接続元ＥＣＵがエントリーポイントになるＥＣＵである場合には「Ｔｒｕｅ（例えば、論理値１）」となり、接続元ＥＣＵがエントリーポイントになるＥＣＵでない場合には「Ｆａｓｅ（例えば論理値０）」となるフラグである。ここで、エントリーポイントとは、車載ネットワーク２０に対する攻撃において、その攻撃の車載ネットワーク２０への侵入地点のことをいう。
　記憶部１８は、例えば、車載ネットワーク情報を予め記憶するとしてもよいし、記憶部１８は、例えば、車両攻撃イベント管理部６０から送信される車載ネットワーク情報を取得部１１が取得し、取得部１１によって取得された車載ネットワーク情報を記憶するとしてもよい。
　再び図６に戻って、車両攻撃イベント連続性判定装置１０の説明を続ける。
　攻撃経路算出部１６は、記憶部１８が記憶する車両攻撃イベント履歴に含まれる車両攻撃イベントを対象として、その車両攻撃イベントの攻撃のエントリーポイントと、その攻撃の攻撃ターゲットとを含む攻撃経路を算出する。ここで、攻撃ターゲットとは、車載ネットワーク２０に対する攻撃において、その攻撃の攻撃対象のことをいう。
　より具体的には、攻撃経路算出部１６は、記憶部１８が記憶する車載ネットワーク情報を参照して、車載ネットワーク２０において、エントリーポイントとなり得るエントリーポイント群から、攻撃ターゲットとなり得る攻撃ターゲット群までの接続可能な経路を算出し、算出した経路のうち、対象とする車両攻撃イベントにおいて異常を検知しなかった異常検知部７１の数が最も少なくなる経路を、攻撃経路と算出する。
　未検知異常検知部算出部１７は、攻撃経路算出部１６が算出した攻撃経路を対象として、その攻撃経路において、異常を検知した異常検知部７１よりも上流側に位置する、異常を検知しなかった未検知異常検知部を算出する。
　判定部１２は、記憶部１８が記憶する車両攻撃イベント履歴に含まれる、第１の車両攻撃イベント情報により示される第１の車両攻撃イベントと、第２の車両攻撃イベント情報により示される、第１の車両攻撃イベントよりも過去に発生した第２の車両攻撃イベントとの連続性を判定する。
　より具体的には、判定部１２は、第１の車両攻撃イベントにおける未検知異常検知部と、第２の車両攻撃イベントにおいて異常を検知した異常検知部７１のうちの、異常を検知した時刻が最も遅い異常検知部７１とが一致する場合に、第１の車両攻撃イベントと第２の車両攻撃イベントとの連続性を、連続性ありと判定し、一致しない場合に、連続性なしと判定する。
　この際、判定部１２は、第１の車両攻撃イベントの発生時刻から、所定期間Ｔ１内に発生した第２の車両攻撃イベントを対象として、上記連続性を判定するとしてもよい。
　また、判定部１２は、第１の車両攻撃イベントと、第２の車両攻撃イベントとの連続性を、連続性なしと判定した場合には、さらに、記憶部１８が記憶する車両攻撃イベント履歴に含まれる、第１の車両攻撃イベント情報により示される第１の車両攻撃イベントと、第３の車両攻撃イベント情報により示される、第２の車両攻撃イベントよりも過去に発生した第３の車両攻撃イベントとの連続性を判定するとしてもよい。
　期間更新部１５は、記憶部１８が記憶する車両機能イベント履歴に含まれる車両機能イベントのうち、第１の車両攻撃イベントに対応する車両機能イベント情報に含まれる車両機能利用率に基づいて、所定期間Ｔ１を更新する。
　より具体的には、期間更新部１５は、第１の車両攻撃イベント情報に対応する車両機能イベント情報において、（１）第１の時刻から過去への所定期間ＴＢ内に発生した車両機能イベントと同じ車両機能イベントが、第１の時刻から過去への所定期間ＴＣ内に発生していない場合に、所定期間Ｔ１を変更しないように、（２）第１の時刻から過去への所定期間ＴＢ内に発生した車両機能イベントと同じ車両機能イベントが、第１の時刻から過去への所定期間ＴＣ内に発生している、かつ、所定の閾値以上の回数または期間発生している場合に、所定期間Ｔ１を短くするように、（３）第１の時刻から過去への所定期間ＴＢ内に発生した車両機能イベントと同じ車両機能イベントが、第１の時刻から過去への所定期間ＴＣ内に発生している、かつ、所定の閾値未満の回数または期間発生している場合に、所定期間Ｔ１を長くするように、所定期間Ｔ１を更新する。
　結合部１３は、判定部１２が、第１の車両攻撃イベントと第２の車両攻撃イベントとの連続性を、連続性ありと判定した場合に、第１の車両攻撃イベントと第２の車両攻撃イベントを結合する。
　出力部１４は、判定部１２による判定結果を出力する。より具体的には、出力部１４は、表示装置４１に対して、判定結果を含む第１の表示制御信号であって、判定結果を表示装置４１に表示させる第１の表示制御信号を出力する。
　＜動作＞
　以下、上記構成の車両攻撃イベント連続性判定装置１０が行う動作について図面を参照しながら説明する。
　図１０は、車両攻撃イベント連続性判定装置１０が行う第１の車両攻撃イベント連続性判定処理のフローチャートである。この第１の車両攻撃イベント連続性判定処理は、第１の車両攻撃イベントと、第１の車両攻撃イベントよりも過去に発生した第２の車両攻撃イベントとの連続性を判定する処理である。
　第１の車両攻撃イベント連続性判定処理は、例えば、車両攻撃イベント連続性判定装置１０を利用するユーザが、車両攻撃イベント連続性判定装置１０に対して、連続性の判定対象となる第１の車両攻撃イベントを指定して、第１の車両攻撃イベント連続性判定処理を実行する旨の操作を行うことで開始される。
　図１０に示すように、第１の車両攻撃イベント連続性判定処理が開始されると、攻撃経路算出部１６は、記憶部１８が記憶する車両攻撃イベント履歴の中から、第１の車両攻撃イベントを示す第１の車両攻撃イベント情報を取得する（ステップＳ１０）。
　攻撃経路算出部１６は、第１の車両攻撃イベント情報を取得すると、第１の車両攻撃イベントを対象として、その車両攻撃イベントの攻撃のエントリーポイントと、その攻撃の攻撃ターゲットとを含む攻撃経路を算出する（ステップＳ１５）。
　攻撃経路が算出されると、未検知異常検知部算出部１７は、その攻撃経路において、異常を検知した異常検知部７１よりも上流側に位置する、異常を検知しなかった未検知異常検知部を算出する（ステップＳ２０）。そして、未検知異常検知部算出部１７は、未検知異常検知部の算出において、未検知異常検知部があったかどうかを調べる（ステップＳ２５）。
　ステップＳ２５の処理において、未検知異常検知部があった場合（ステップＳ２５：Ｙｅｓ）、判定部１２は、記憶部１８が記憶する車両攻撃イベント履歴の中に、未取得の、第１の車両攻撃イベントよりも過去に発生した車両攻撃イベントを示す車両攻撃イベント情報（以下、「未取得車両攻撃イベント情報」とも称する）が存在するか否かを調べる（ステップＳ３０）。
　ここで、未取得車両攻撃イベント情報とは、ステップＳ３０の処理でＹｅｓに進み、後述のステップＳ４５の処理でＮｏに進むことで形成されるループ処理、および、ステップＳ３０の処理でＹｅｓに進み、後述のステップＳ４５の処理でＹｅｓに進み、さらに、後述のステップＳ６０の処理でＮｏに進むことで形成されるループ処理において、未だステップＳ３０の処理によって取得されたことがない、第１の車両攻撃イベントよりも過去に発生した車両攻撃イベントを示す車両攻撃イベント情報のことを言う。
　ステップＳ３０の処理において、未取得車両攻撃イベント情報が存在する場合（ステップＳ３０：Ｙｅｓ）、判定部１２は、記憶部１８が記憶する車両攻撃イベント履歴から、第１の車両攻撃イベント情報に含まれる受信時刻に最も近い受信時刻を含む未取得車両攻撃イベント情報（以下、「取得車両攻撃イベント情報」とも称する）を取得する（ステップＳ３５）。
　判定部１２は、取得車両攻撃イベント情報を取得すると、その取得車両攻撃イベント情報が示す車両攻撃イベント（以下、「取得車両攻撃イベント」とも称する）において異常を検知した異常検知部７１のうちの、異常を検知した時刻が最も遅い異常検知部７１である終点異常検知部を算出する（ステップＳ４０）。
　判定部１２は、終点異常検知部を算出すると、未検知異常検知部と終点異常検知部とが一致するか否かを調べる（ステップＳ４５）。
　ステップＳ４５の処理において、未検知異常検知部と終点異常検知部とが一致する場合に（ステップＳ４５：Ｙｅｓ）、判定部１２は、取得車両攻撃イベントの発生時刻（ここでは、取得車両攻撃イベント情報の受信時刻）から、第１の車両攻撃イベントの発生時刻（ここでは、第１の車両攻撃イベント情報の受信時刻）までの経過時間であるイベント間経過時間を算出する（ステップＳ５０）。
　イベント間経過時間が算出されると、期間更新部１５は、所定期間Ｔ１（以下、「イベント探索範囲」とも称する）を更新するイベント探索範囲算出処理を実行する（ステップＳ５５）。
　図１１は、期間更新部１５が実行するイベント探索範囲算出処理のフローチャートである。
　図１１に示すように、イベント探索範囲算出処理が開始されると、期間更新部１５は、記憶部１８が記憶する車両機能イベント履歴に含まれる車両機能イベントのうち、第１の車両攻撃イベントに対応する車両機能イベント情報を取得する（ステップＳ１００）。
　そして、期間更新部１５は、取得した車両機能イベント情報に、車両機能イベントが存在するか否かを調べる（ステップＳ１１０）。
　ステップＳ１１０の処理において、車両機能イベントが存在する場合に（ステップＳ１１０：Ｙｅｓ）、期間更新部１５は、取得した車両機能イベント情報に含まれる車両機能利用率が閾値以上であるか否かを調べる（ステップＳ１３０）。
　ステップＳ１３０の処理において、車両機能利用率が閾値以上である場合に（ステップＳ１３０：Ｙｅｓ）、期間更新部１５は、イベント探索範囲を増加させるようにイベント探索範囲を更新する（ステップＳ１４０）、すなわち、所定期間Ｔ１を長くするように所定期間Ｔ１を更新する。
　ステップＳ１３０の処理において、車両機能利用率が閾値以上でない場合に（ステップＳ１３０：Ｎｏ）、期間更新部１５は、イベント探索範囲を減少させるようにイベント探索範囲を更新する（ステップＳ１４０）、すなわち、所定期間Ｔ１を短くするように所定期間Ｔ１を更新する。
　ステップＳ１１０の処理において、車両機能イベントが存在しない場合に（ステップＳ１１０：Ｎｏ）、期間更新部１５は、イベント探索範囲を変更しないようにイベント探索範囲を更新する（ステップＳ１２０）、すなわち、所定期間Ｔ１を更新しないように所定期間Ｔ１を更新する。
　ステップＳ１２０の処理が終了した場合、ステップＳ１４０の処理が終了した場合、または、ステップＳ１５０の処理が終了した場合に、期間更新部１５は、そのイベント探索範囲算出処理を終了する。
　再び図１０に戻って、第１の車両攻撃イベント連続性判定処理の説明を続ける。
　イベント探索範囲算出処理が終了すると、判定部１２は、イベント間経過時間が、イベント探索範囲内であるか否かを調べる（ステップＳ６０）、すなわち、イベント間経過時間が、所定期間Ｔ１以下であるか否かを調べる。
　ステップＳ６０の処理において、イベント間経過時間がイベント探索範囲内である場合に（ステップＳ６０：Ｙｅｓ）、すなわち、イベント間経過時間が所定期間Ｔ１以下である場合に、判定部１２は、第１の車両攻撃イベントと、取得車両攻撃イベントとの連続性を、連続性ありと判定する（ステップＳ６５）。
　第１の車両攻撃イベントと、取得車両攻撃イベントとの連続性が、連続性ありと判定されると、結合部１３は、第１の車両攻撃イベントと取得車両攻撃イベントとを結合する（ステップＳ７０）。
　ステップＳ４５の処理において、未検知異常検知部と終点異常検知部とが一致しない場合（ステップＳ４５：Ｎｏ）と、ステップＳ６０の処理において、イベント間経過時間がイベント探索範囲内でない場合（ステップＳ６０：Ｙｅｓ）とに、判定部１２は、第１の車両攻撃イベントと、取得車両攻撃イベントとの連続性を、連続性なしと判定する（ステップＳ７５）。そして、第１の車両攻撃イベント連続性判定処理は、ステップＳ３０の処理に進む。
　ステップＳ２５の処理において、未検知異常検知部がなかった場合（ステップＳ２５：Ｎｏ）と、ステップＳ３０の処理において、未取得車両攻撃イベント情報が存在しない場合（ステップＳ３０：Ｎｏ）と、ステップＳ７０の処理が終了した場合とに、車両攻撃イベント連続性判定装置１０は、その第１の車両攻撃イベント連続性判定処理を終了する。
　なお、第１の車両攻撃イベント連続性判定処理は、ステップＳ５５のイベント探索範囲算出処理の替わりに、以下で説明する、エンジン起動イベント探索範囲算出処理、自動運転起動イベント探索範囲算出処理、高速走行イベント探索範囲算出処理、または、ソフトウエア更新イベント探索範囲算出処理を実行するとしてもよい。
　図１２は、期間更新部１５が実行するエンジン起動イベント探索範囲算出処理のフローチャートである。
　図１２に示すように、エンジン起動イベント探索範囲算出処理は、図１１に示すイベント探索範囲算出処理から、ステップＳ１１０の処理がステップＳ２１０の処理に変更され、ステップＳ１３０の処理がステップＳ２３０の処理に変更された処理である。このため、ここでは、ステップＳ２１０の処理とステップＳ２３０の処理を中心に説明する。
　ステップＳ１００の処理が終了すると、期間更新部１５は、取得した車両機能イベント情報に、エンジン起動イベントが存在するか否かを調べる（ステップＳ２１０）。
　ステップＳ２１０の処理において、エンジン起動イベントが存在する場合に（ステップＳ２１０：Ｙｅｓ）、期間更新部１５は、取得した車両機能イベント情報に含まれる車両機能利用率、すなわち、エンジン起動利用率が閾値以上であるか否かを調べる（ステップＳ２３０）。
　ステップＳ２３０の処理において、エンジン起動利用率が閾値以上である場合に（ステップＳ２３０：Ｙｅｓ）、ステップＳ１４０の処理に進む。
　ステップＳ２３０の処理において、エンジン起動利用率が閾値以上でない場合に（ステップＳ２３０：Ｎｏ）、ステップＳ１５０の処理に進む。
　ステップＳ２１０の処理において、エンジン起動イベントが存在しない場合に（ステップＳ２１０：Ｎｏ）、ステップＳ１２０の処理に進む。
　ステップＳ１２０の処理が終了した場合、ステップＳ１４０の処理が終了した場合、または、ステップＳ１５０の処理が終了した場合に、期間更新部１５は、そのエンジン起動イベント探索範囲算出処理を終了する。
　図１３は、期間更新部１５が実行する自動運転起動イベント探索範囲算出処理のフローチャートである。
　図１３に示すように、自動運転起動イベント探索範囲算出処理は、図１１に示すイベント探索範囲算出処理から、ステップＳ１１０の処理がステップＳ３１０の処理に変更され、ステップＳ１３０の処理がステップＳ３３０の処理に変更された処理である。このため、ここでは、ステップＳ３１０の処理とステップＳ３３０の処理を中心に説明する。
　ステップＳ１００の処理が終了すると、期間更新部１５は、取得した車両機能イベント情報に、自動運転起動イベントが存在するか否かを調べる（ステップＳ３１０）。
　ステップＳ３１０の処理において、自動運転起動イベントが存在する場合に（ステップＳ３１０：Ｙｅｓ）、期間更新部１５は、取得した車両機能イベント情報に含まれる車両機能利用率、すなわち、自動運転起動利用率が閾値以上であるか否かを調べる（ステップＳ３３０）。
　ステップＳ３３０の処理において、自動運転起動利用率が閾値以上である場合に（ステップＳ３３０：Ｙｅｓ）、ステップＳ１４０の処理に進む。
　ステップＳ３３０の処理において、自動運転起動利用率が閾値以上でない場合に（ステップＳ３３０：Ｎｏ）、ステップＳ１５０の処理に進む。
　ステップＳ３１０の処理において、自動運転起動イベントが存在しない場合に（ステップＳ３１０：Ｎｏ）、ステップＳ１２０の処理に進む。
　ステップＳ１２０の処理が終了した場合、ステップＳ１４０の処理が終了した場合、または、ステップＳ１５０の処理が終了した場合に、期間更新部１５は、自動運転起動イベント探索範囲算出処理を終了する。
　図１４は、期間更新部１５が実行する高速走行イベント探索範囲算出処理のフローチャートである。
　図１４に示すように、高速走行イベント探索範囲算出処理は、図１１に示すイベント探索範囲算出処理から、ステップＳ１１０の処理がステップＳ４１０の処理に変更され、ステップＳ１３０の処理がステップＳ４３０の処理に変更された処理である。このため、ここでは、ステップＳ４１０の処理とステップＳ４３０の処理を中心に説明する。
　ステップＳ１００の処理が終了すると、期間更新部１５は、取得した車両機能イベント情報に、高速走行イベントが存在するか否かを調べる（ステップＳ４１０）。
　ステップＳ４１０の処理において、高速走行イベントが存在する場合に（ステップＳ４１０：Ｙｅｓ）、期間更新部１５は、取得した車両機能イベント情報に含まれる車両機能利用率、すなわち、高速走行利用率が閾値以上であるか否かを調べる（ステップＳ４３０）。
　ステップＳ４３０の処理において、高速走行利用率が閾値以上である場合に（ステップＳ４３０：Ｙｅｓ）、ステップＳ１４０の処理に進む。
　ステップＳ４３０の処理において、高速走行利用率が閾値以上でない場合に（ステップＳ４３０：Ｎｏ）、ステップＳ１５０の処理に進む。
　ステップＳ４１０の処理において、高速走行イベントが存在しない場合に（ステップＳ４１０：Ｎｏ）、ステップＳ１２０の処理に進む。
　ステップＳ１２０の処理が終了した場合、ステップＳ１４０の処理が終了した場合、または、ステップＳ１５０の処理が終了した場合に、期間更新部１５は、その高速走行イベント探索範囲算出処理を終了する。
　図１５は、期間更新部１５が実行するソフトウエア更新イベント探索範囲算出処理のフローチャートである。
　図１５に示すように、ソフトウエア更新イベント探索範囲算出処理は、図１１に示すイベント探索範囲算出処理から、ステップＳ１１０の処理がステップＳ５１０の処理に変更され、ステップＳ１３０の処理がステップＳ５３０の処理に変更された処理である。このため、ここでは、ステップＳ５１０の処理とステップＳ５３０の処理を中心に説明する。
　ステップＳ１００の処理が終了すると、期間更新部１５は、取得した車両機能イベント情報に、ソフトウエア更新イベントが存在するか否かを調べる（ステップＳ５１０）。
　ステップＳ５１０の処理において、ソフトウエア更新イベントが存在する場合に（ステップＳ５１０：Ｙｅｓ）、期間更新部１５は、取得した車両機能イベント情報に含まれる車両機能利用率、すなわち、ソフトウエア更新頻度が閾値以上であるか否かを調べる（ステップＳ５３０）。
　ステップＳ５３０の処理において、ソフトウエア更新頻度が閾値以上である場合に（ステップＳ５３０：Ｙｅｓ）、ステップＳ１４０の処理に進む。
　ステップＳ５３０の処理において、ソフトウエア更新頻度が閾値以上でない場合に（ステップＳ５３０：Ｎｏ）、ステップＳ１５０の処理に進む。
　ステップＳ５１０の処理において、ソフトウエア更新イベントが存在しない場合に（ステップＳ５１０：Ｎｏ）、ステップＳ１２０の処理に進む。
　ステップＳ１２０の処理が終了した場合、ステップＳ１４０の処理が終了した場合、または、ステップＳ１５０の処理が終了した場合に、期間更新部１５は、そのソフトウエア更新イベント探索範囲算出処理を終了する。
　＜考察＞
　図１６Ａは、ＥＣＵ＿Ａ７０ＡからＥＣＵ＿Ｃ７０Ｃへの接続関係がある車載ネットワーク２０において、ＥＣＵ＿Ｃ７０Ｃの異常検知部＿Ｃ７１ＣによるＩＤＳの検知と、その後のＥＣＵ＿Ｄ７０Ｄの異常検知部＿Ｄ７１ＤによるＲＯＢの検知とからなる第１の車両攻撃イベントと、ＥＣＵ＿Ａ７０Ａの異常検知部＿Ａ７１ＡによるＩＤＳの検知からなる第２の車両攻撃イベントとが発生した第１の事象が発生した様子を示す模式図である。
　このとき、車両攻撃イベント連続性判定装置１０は、（１）異常検知部Ａ＿７１Ａが、第１の車両攻撃イベントの未検知異常検知部であり、かつ、第２の車両攻撃イベントの終点異常検知部であり、さらに、（２）第１の車両攻撃イベントと第２の車両攻撃イベントとのイベント間経過時間がイベント探索範囲内である場合に、第１の車両攻撃イベントと第２の車両攻撃イベントとの連続性を、連続性ありと判定する。
　このように連続性ありとの判定がなされた場合、車両攻撃イベント連続性判定装置１０を利用するユーザは、第１の事象に対して、第１の車両攻撃イベントと第２の車両攻撃イベントとからなる潜伏攻撃を１つの車両攻撃イベントとみなして、その車両攻撃イベントの攻撃を解析することができるようになる。
　図１６Ｂは、ＥＣＵ＿Ｅ７０ＥからＥＣＵ＿Ｃ７０Ｃへの接続関係がない車載ネットワーク２０において、ＥＣＵ＿Ｃ７０Ｃの異常検知部＿Ｃ７１ＣによるＩＤＳの検知と、その後のＥＣＵ＿Ｄ７０Ｄの異常検知部＿Ｄ７１ＤによるＲＯＢの検知とからなる第１の車両攻撃イベントと、ＥＣＵ＿Ｅ７０Ｅの異常検知部＿Ｅ７１ＥによるＩＤＳの検知からなる第２の車両攻撃イベントとが発生した第２の事象が発生した様子を示す模式図である。
　このとき、車両攻撃イベント連続性判定装置１０は、異常検知部Ｅ＿７１Ｅを、第１の車両攻撃イベントの未検知異常検知部と算出することはなく、したがって、第１の車両攻撃イベントと第２の車両攻撃イベントとの連続性を、連続性なしと判定する。
　この連続性なしとの判定により、車両攻撃イベント連続性判定装置１０を利用するユーザは、第２の事象に対して、第１の車両攻撃イベントと第２の車両攻撃イベントとを１つの潜伏攻撃とみなすことなく、それら第１の車両攻撃イベントと第２の車両攻撃イベントとを解析することができるようになる。
　図１６Ｃは、ＥＣＵ＿Ａ７０ＡからＥＣＵ＿Ｃ７０Ｃへの接続関係があるが、ＥＣＵ＿Ｂ７０ＢからＥＣＵ＿Ｃ７０Ｃへの接続関係がない車載ネットワーク２０において、ＥＣＵ＿Ｃ７０Ｃの異常検知部＿Ｃ７１ＣによるＩＤＳの検知と、その後のＥＣＵ＿Ｄ７０Ｄの異常検知部＿Ｄ７１ＤによるＲＯＢの検知とからなる第１の車両攻撃イベントと、ＥＣＵ＿Ａ７０Ａの異常検知部＿Ａ７１ＡによるＩＤＳの検知と、その後のＥＣＵ＿Ｂ７０Ｂの異常検知部＿Ｂ７１ＢによるＩＤＳの検知からなる第２の車両攻撃イベントとが発生した第３の事象が発生した様子を示す模式図である。
　このとき、車両攻撃イベント連続性判定装置１０は、第２の車両攻撃イベントの終点異常検知部であるＥＣＵ＿Ｂ７０Ｂを、第１の車両攻撃イベントの未検知異常検知部と算出することはなく、したがって、第１の車両攻撃イベントと第２の車両攻撃イベントとの連続性を、連続性なしと判定する。
　この連続性なしとの判定により、車両攻撃イベント連続性判定装置１０を利用するユーザは、第３の事象に対して、１の車両攻撃イベントと第２の車両攻撃イベントとを１つの潜伏攻撃とみなすことなく、それら第１の車両攻撃イベントと第２の車両攻撃イベントとを解析することができるようになる。
　図１６Ｄは、ＥＣＵ＿Ａ７０ＡからＥＣＵ＿Ｃ７０Ｃへの接続関係がある車載ネットワーク２０において、ＥＣＵ＿Ｃ７０Ｃの異常検知部＿Ｃ７１ＣによるＩＤＳの検知と、その後のＥＣＵ＿Ｄ７０Ｄの異常検知部＿Ｄ７１ＤによるＲＯＢの検知とからなる第１の車両攻撃イベントと、ＥＣＵ＿Ａ７０Ａの異常検知部＿Ａ７１ＡによるＩＤＳの検知からなる第２の車両攻撃イベントであって、第１の車両攻撃イベントと第２の車両攻撃イベントとのイベント間経過時間がイベント探索範囲外である第２の車両攻撃イベントとが発生した第４の事象が発生した様子を示す模式図である。
　このとき、車両攻撃イベント連続性判定装置１０は、第１の車両攻撃イベントと第２の車両攻撃イベントとのイベント間経過時間がイベント探索範囲外であるため、第１の車両攻撃イベントと第２の車両攻撃イベントとの連続性を、連続性なしと判定する。
　この連続性なしとの判定により、車両攻撃イベント連続性判定装置１０を利用するユーザは、第４の事象に対して、１の車両攻撃イベントと第２の車両攻撃イベントとを１つの潜伏攻撃とみなすことなく、それら第１の車両攻撃イベントと第２の車両攻撃イベントとを解析することができるようになる。
　図１７は、第１の車両攻撃イベントにおける一番早い検知時刻である第１の時刻から過去への所定期間ＴＢ内に発生した車両機能イベント（以下、「直近開始車両機能イベント」とも称する）と同じ車両機能イベントの利用状況を示す模式図である。
　一般に、潜伏攻撃において、なんらかの車両機能イベントの開始をトリガーとして、その潜伏期間を終了して攻撃活動が再開される事象が知られている。
　このため、図１７の（ａ）に示されるように、直近開始車両機能イベントと同じ車両機能イベントの利用率が比較的高い場合には、１つの潜伏攻撃における潜伏前の攻撃と、その潜伏後の攻撃との期間は、比較的短い可能性が高いと考えられる。
　そこで、期間更新部１５は、第１の時刻から過去への所定期間ＴＢ内に発生した車両機能イベントと同じ車両機能イベントが、第１の時刻から過去への所定期間ＴＣ内に発生している、かつ、所定の閾値以上の回数または期間発生している場合に、所定期間Ｔ１を短くするように、所定期間Ｔ１を更新する。
　これにより、車両攻撃イベント連続性判定装置１０は、比較的効率よく、かつ、比較的効果的に、第１の車両攻撃イベントと第２の車両攻撃イベントとの連続性を判定することができる。
　また、逆に、図１７の（ｂ）に示されるように、直近開始車両機能イベントと同じ車両機能イベントの利用率が比較的低い場合には、１つの潜伏攻撃における潜伏前の攻撃と、その潜伏後の攻撃との期間は、比較的長い可能性が高いと考えられる。
　そこで、期間更新部１５は、第１の時刻から過去への所定期間ＴＢ内に発生した車両機能イベントと同じ車両機能イベントが、第１の時刻から過去への所定期間ＴＣ内に発生している、かつ、所定の閾値未満の回数または期間発生している場合に、所定期間Ｔ１を長くするように、所定期間Ｔ１を更新する。
　これにより、車両攻撃イベント連続性判定装置１０は、比較的効率よく、かつ、比較的効果的に、第１の車両攻撃イベントと第２の車両攻撃イベントとの連続性を判定することができる。
　（実施の形態２）
　以下、実施の形態１に係る車両攻撃イベント連続性判定装置１０から、その機能の一部が変更されて構成される実施の形態２に係る車両攻撃イベント連続性判定装置について説明する。ここでは、実施の形態２に係る車両攻撃イベント連続性判定装置について、車両攻撃イベント連続性判定装置１０と同様の構成要素については、既に説明済みであるとして同じ符号を振ってその詳細な説明を省略し、車両攻撃イベント連続性判定装置１０との相違点を中心に説明する。
　＜構成＞
　図１８は、実施の形態２に係る車両攻撃イベント連続性判定装置１０Ａの構成の一例を示すブロック図である。
　図１８に示すように、車両攻撃イベント連続性判定装置１０Ａは、実施の形態１に係る車両攻撃イベント連続性判定装置１０から、信頼度算出部１９が追加され、出力部１４が出力部１４Ａに変更されて構成される。
　信頼度算出部１９は、結合部１３が、第１の車両攻撃イベントと第２の車両攻撃イベントを結合した場合に、第１の車両攻撃イベントを示す第１の車両攻撃イベント情報と、第２の車両攻撃イベントを示す第２の車両攻撃イベント情報とに基づいて、第１の車両攻撃イベントと第２の車両攻撃イベントとを結合して得られた結合後車両攻撃イベントの信頼度を算出する。
　信頼度算出部１９は、例えば、攻撃経路算出部１６により第１の車両攻撃イベントを対象として算出された攻撃経路において、その攻撃経路に存在する異常検知部７１に対する、第１の車両攻撃イベントおよび第２の車両攻撃イベントにおいて異常を検知した異常検知部７１の一致率を、信頼度として算出してもよい。
　例えば、攻撃経路に存在する異常検知部７１が、異常検知部＿Ａ７１Ａ、異常検知部＿Ｂ７１Ｂ、異常検知部＿Ｃ７１Ｃ、および、異常検知部＿Ｄ７１Ｄである場合において、第１の車両攻撃イベントおよび第２の車両攻撃イベントにおいて異常を検知した異常検知部７１が、異常検知部＿Ａ７１Ａ、異常検知部＿Ｂ７１Ｂ、および、異常検知部＿Ｃ７１Ｃであるときには、信頼度算出部１９は、信頼度を、３／４＝０．７５と算出してもよい。
　また、信頼度算出部１９は、例えば、攻撃経路算出部１６により第１の車両攻撃イベントを対象として算出された攻撃経路において、その攻撃経路に存在する異常検知部７１が検知する異常検知種別と、第１の車両攻撃イベントおよび第２の車両攻撃イベントにおいて異常を検知した異常検知部７１により検知された異常検知種別との一致率を、信頼度として算出してもよい。
　例えば、攻撃経路に存在する異常検知部７１が検知する異常検知種別が、異常検知部＿Ａ＿Ａｂｎｏｒｍａｌｉｔｙ１、異常検知部＿Ｂ＿Ａｂｎｏｒｍａｌｉｔｙ２、異常検知部＿Ｃ＿Ａｂｎｏｒｍａｌｉｔｙ３、異常検知部＿Ｄ＿Ａｂｎｏｒｍａｌｉｔｙ４、および、異常検知部＿Ｄ＿Ａｂｎｏｒｍａｌｉｔｙ５である場合において、第１の車両攻撃イベントおよび第２の車両攻撃イベントにおいて異常を検知した異常検知部７１により検知された異常検知種別が、異常検知部＿Ａ＿Ａｂｎｏｒｍａｌｉｔｙ１、異常検知部＿Ｂ＿Ａｂｎｏｒｍａｌｉｔｙ２、および、異常検知部＿Ｃ＿Ａｂｎｏｒｍａｌｉｔｙ３であるときには、信頼度算出部１９は、信頼度を、３／５＝０．６０と算出してもよい。
　出力部１４Ａは、判定部１２による判定結果と、信頼度算出部１９により算出された信頼度とを出力する。より具体的には、出力部１４Ａは、表示装置４１に対して、判定結果と信頼度とを含む第２の表示制御信号であって、判定結果と信頼度とを表示装置４１に表示させる第２の表示制御信号を出力する。
　図１９は、出力部１４Ａから出力された第２の表示制御信号を受信した表示装置４１が、受信した第２の表示制御信号に基づいて表示する画像の一例を示す模式図である。
　図１９に例示するように、出力部１４Ａから出力された第２の表示制御信号を受信した表示装置４１は、判定部１２による判定結果と、信頼度算出部１９により算出された信頼度とを表示する。
　＜動作＞
　以下、上記構成の車両攻撃イベント連続性判定装置１０Ａが行う動作について図面を参照しながら説明する。
　 車両攻撃イベント連続性判定装置１０Ａは、車両攻撃イベント連続性判定装置１０が行う第１の車両攻撃イベント連続性判定処理から、その一部の処理が変更された第２の車両攻撃イベント連続性判定処理を行う。
　図２０は、車両攻撃イベント連続性判定装置１０Ａが行う第２の車両攻撃イベント連続性判定処理のフローチャートである。
　図２０に示すように、第２の車両攻撃イベント連続性判定処理は、第１の車両攻撃イベント連続性判定処理から、ステップＳ６８０の処理が追加され、ステップＳ２５の処理において、未検知異常検知部がなかった場合（ステップＳ２５：Ｎｏ）と、ステップＳ３０の処理において、未取得車両攻撃イベント情報が存在しない場合（ステップＳ３０：Ｎｏ）とに、第２の車両攻撃イベント連続性判定処理が終了されるように変更された処理である。
　このため、ここでは、ステップＳ６８０の処理を中心に説明する。
　ステップＳ７０の処理が終了すると、信頼度算出部１９は、第１の車両攻撃イベントを示す第１の車両攻撃イベント情報と、取得車両攻撃イベントを示す車両攻撃イベント情報とに基づいて、第１の攻撃イベントと取得車両攻撃イベントとを結合して得られた結合後車両攻撃イベントの信頼度を算出する（ステップＳ６８０）。
　ステップＳ６８０の処理が終了すると、第２の車両攻撃イベント連続性判定処理は、ステップＳ３０の処理に進む。
　＜考察＞
　上記構成の車両攻撃イベント連続性判定装置１０Ａによると、第１の車両攻撃イベントと、第２の車両攻撃イベントとの連続性の判定結果、および、第１の車両攻撃イベントと第２の結合イベントとを結合して得られた結合後車両攻撃イベントの信頼度とが、表示装置４１に表示される。
　これにより、車両攻撃イベント連続性判定装置１０Ａを利用するユーザは、表示装置４１に表示される表示内容に基づいて、第１の車両攻撃イベントと、第２の車両攻撃イベントとを１つの潜伏攻撃とみなすべきか否かを判断することができるようになる。
　（補足）
　以上のように、本出願において開示する技術の例示として、実施の形態１および実施の形態２に基づいて説明した。しかしながら、本開示は、これら実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、本開示の１つまたは複数の態様の範囲内に含まれてもよい。
　（１）実施の形態１において、車両攻撃イベント連続性判定装置１０は、車載ネットワーク２０の外部に存在するサーバ装置４０により実現されるとして説明した。しかしながら、車両攻撃イベント連続性判定装置１０は、必ずしもサーバ装置４０により実現される例に限定される必要はなく、さらには、車載ネットワーク２０の外部の装置において実現される例に限定される必要もない。一例として、車両攻撃イベント連続性判定装置１０が、車載ネットワーク２０内に実現されるとしてもよい。
　この場合、車載ネットワーク２０は、例えば、プロセッサと、メモリとを備え、メモリに記憶されたプログラムをプロセッサが実行することで、車両攻撃イベント連続性判定装置１０を実現するとしてもよい。
　（２）車両攻撃イベント連続性判定装置１０に含まれる構成要素の一部または全部は、専用または汎用の回路として実現されてもよい。
　車両攻撃イベント連続性判定装置１０に含まれる構成要素の一部または全部は、例えば、１個のシステムＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）などを含んで構成されるコンピュータシステムである。ＲＯＭには、コンピュータプログラムが記憶されている。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。
　なお、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路または汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）、あるいはＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用してもよい。
　さらには、半導体技術の進歩または派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。
　（３）本開示の一態様は、このような車両攻撃イベント連続性判定装置１０だけではなく、車両攻撃イベント連続性判定装置１０に含まれる特徴的な構成部をステップとする車両攻撃イベント連続性判定方法であってもよい。また、本開示の一態様は、車両攻撃イベント連続性判定方法に含まれる特徴的な各ステップをコンピュータに実行させるコンピュータプログラムであってもよい。また、本開示の一態様は、そのようなコンピュータプログラムが記録された、コンピュータ読み取り可能な非一時的な記録媒体であってもよい。
　本開示は、ネットワークに対するサイバー攻撃を監視する攻撃監視システム等に広く利用可能である。
　１　攻撃監視システム
　１０、１０Ａ　車両攻撃イベント連続性判定装置
　１１　取得部
　１２　判定部
　１３　結合部
　１４、１４Ａ　出力部
　１５　期間更新部
　１６　攻撃経路算出部
　１７　未検知異常検知部算出部
　１８　記憶部
　１９　信頼度算出部
　２０　車載ネットワーク
　３０　車両
　４０　サーバ装置
　４１　表示装置
　５０　外部ネットワーク
　６０　車両攻撃イベント管理部
　７０　ＥＣＵ
　７０Ａ　ＥＣＵ＿Ａ
　７０Ｂ　ＥＣＵ＿Ｂ
　７０Ｃ　ＥＣＵ＿Ｃ
　７０Ｄ　ＥＣＵ＿Ｄ
　７０Ｅ　ＥＣＵ＿Ｅ
　７１　異常検知部
　７１Ａ　異常検知部＿Ａ
　７１Ｂ　異常検知部＿Ｂ
　７１Ｃ　異常検知部＿Ｃ
　７１Ｄ　異常検知部＿Ｄ
　７１Ｅ　異常検知部＿Ｅ

Claims (15)

  1. 　車載ネットワークにおいて発生した第１の車両攻撃イベントに係る第１の車両攻撃イベント情報と、前記車載ネットワークにおいて、前記第１の車両攻撃イベントより過去に発生した第２の車両攻撃イベントに係る第２の車両攻撃イベント情報と、前記車載ネットワークの構成を示す車載ネットワーク情報とを取得する取得ステップと、
    　前記第１の車両攻撃イベント情報と、前記第２の車両攻撃イベント情報と、前記車載ネットワーク情報とに基づいて、前記第１の車両攻撃イベントと、前記第２の車両攻撃イベントとの連続性を判定する判定ステップと、
    　判定した結果を出力する出力ステップと、を含む
    　車両攻撃イベント連続性判定方法。
  2. 　前記取得ステップでは、さらに、前記車載ネットワークにおいて、前記第２の車両攻撃イベントより過去に発生した第３の車両攻撃イベントに係る第３の車両攻撃イベント情報を取得し、
    　前記判定ステップでは、前記連続性を、連続性ありと判定しなかった場合に、さらに、前記第１の車両攻撃イベント情報と、前記第３の車両攻撃イベント情報と、前記車載ネットワーク情報とに基づいて、前記第１の車両攻撃イベントと、前記第３の車両攻撃イベントとの連続性を判定する
    　請求項１に記載の車両攻撃イベント連続性判定方法。
  3. 　前記車載ネットワークは、複数の異常検知部を備え、
    　前記第１の車両攻撃イベント情報は、前記複数の異常検知部のうちの、前記第１の車両攻撃イベントにおいて異常を検知した１以上の第１の異常検知部を示す情報を含み、
    　前記第２の車両攻撃イベント情報は、前記複数の異常検知部のうちの、前記第２の車両攻撃イベントにおいて異常を検知した１以上の第２の異常検知部を示す情報を含み、
    　前記判定ステップでは、前記第１の車両攻撃イベントにおける攻撃経路を算出し、前記攻撃経路において前記１以上の第１の異常検知部よりも上流側に位置する、前記第１の攻撃イベントにおいて異常を検知しなかった未検知異常検知部を算出し、前記未検知異常検知部と、前記１以上の第２の異常検知部のうち、異常を検知した時刻が最も遅い終点異常検知部とが一致する場合に、前記連続性を、連続性ありと判定する
    　請求項１または請求項２に記載の車両攻撃イベント連続性判定方法。
  4. 　前記判定ステップでは、前記第１の車両攻撃イベントの発生時刻から第１の所定期間内に発生した前記第２の車両攻撃イベントを対象として、前記連続性を判定する
    　請求項３に記載の車両攻撃イベント連続性判定方法。
  5. 　前記取得ステップでは、さらに、前記車載ネットワークを搭載する車両において発生した車両機能イベントに係る車両機能イベント情報を取得し、
    　前記判定ステップでは、さらに、前記車両機能イベント情報にも基づいて、前記連続性を判定する
    　請求項４に記載の車両攻撃イベント連続性判定方法。
  6. 　前記車両機能イベント情報は、前記１以上の第１の異常検知部が異常を検知した時刻のうちのもっとも早い第１の時刻から過去への第２の所定期間内に発生した車両機能イベントと同じ第１の車両機能イベントが、前記第１の時刻から過去への、前記第２の所定期間よりも長い第３の所定期間内に発生した回数または期間に係る車両機能利用率を含み、
    　さらに、前記車両攻撃イベント連続性判定方法は、前記車両機能利用率に基づいて、前記第１の所定期間を更新する期間更新ステップを含み、
    　前記判定ステップでは、前記期間更新ステップにより更新された前記第１の所定期間を利用して、前記連続性を判定する
    　請求項５に記載の車両攻撃イベント連続性判定方法。
  7. 　前記期間更新ステップでは、（１）前記第１の時刻から過去への前記第３の所定の期間内に前記第１の車両機能イベントが発生していない場合に、前記第１の所定期間を変更しないように、（２）前記第１の時刻から過去への前記第３の所定の期間内に、前記第１の車両機能イベントが発生している、かつ、所定の閾値以上の回数または期間発生している場合に、前記第１の所定期間を短くするように、（３）前記第１の時刻から過去への前記第３の所定の期間内に、前記第１の車両機能イベントが発生している、かつ、所定の閾値未満の回数または期間発生している場合に、前記第１の所定期間を長くするように、前記第１の所定期間を更新する
    　請求項６に記載の車両攻撃イベント連続性判定方法。
  8. 　前記第１の車両機能イベントは、前記車両のエンジンを起動しているエンジン起動イベントである
    　請求項６または請求項７に記載の車両攻撃イベント連続性判定方法。
  9. 　前記第１の車両機能イベントは、前記車両の自動運転を起動している自動運転起動イベントである
    　請求項６または請求項７に記載の車両攻撃イベント連続性判定方法。
  10. 　前記第１の車両機能イベントは、前記車両が高速走行を行う高速走行イベントである
    　請求項６または請求項７に記載の車両攻撃イベント連続性判定方法。
  11. 　前記第１の車両機能イベントは、前記車両のソフトウエアを更新するソフトウエア更新イベントである
    　請求項６または請求項７に記載の車両攻撃イベント連続性判定方法。
  12. 　さらに、前記判定ステップにおいて、前記連続性を、連続性ありと判定した場合に、前記第１の車両攻撃イベントと、前記第２の車両攻撃イベントとを結合する結合ステップを含む
    　請求項１から請求項１１のいずれか１項に記載の車両攻撃イベント連続性判定方法。
  13. 　さらに、前記結合ステップにおいて、前記第１の車両攻撃イベントと前記第２の車両攻撃イベントとを結合した場合に、前記第１の車両攻撃イベント情報と、前記第２の車両攻撃イベント情報とに基づいて、前記第１の車両攻撃イベントと前記第２の車両攻撃イベントとを結合して得られた結合後車両攻撃イベントの信頼度を算出する信頼度算出ステップを含み、
    　前記出力ステップでは、さらに、前記信頼度を出力する
    　請求項１２に記載の車両攻撃イベント連続性判定方法。
  14. 　車載ネットワークにおいて発生した第１の車両攻撃イベントに係る第１の車両攻撃イベント情報と、前記車載ネットワークにおいて、前記第１の車両攻撃イベントより過去に発生した第２の車両攻撃イベントに係る第２の車両攻撃イベント情報と、前記車載ネットワークの構成を示す車載ネットワーク情報とを取得する取得部と、
    　前記第１の車両攻撃イベント情報と、前記第２の車両攻撃イベント情報と、前記車載ネットワーク情報とに基づいて、前記第１の車両攻撃イベントと、前記第２の車両攻撃イベントとの連続性を判定する判定部と、
    　判定した結果を出力する出力部と、を備える
    　車両攻撃イベント連続性判定装置。
  15. 　コンピュータに車両攻撃イベント連続性判定処理を実行させるためのプログラムであって、
    　前記車両攻撃イベント連続性判定処理は、
    　車載ネットワークにおいて発生した第１の車両攻撃イベントに係る第１の車両攻撃イベント情報と、前記車載ネットワークにおいて、前記第１の車両攻撃イベントより過去に発生した第２の車両攻撃イベントに係る第２の車両攻撃イベント情報と、前記車載ネットワークの構成を示す車載ネットワーク情報とを取得する取得ステップと、
    　前記第１の車両攻撃イベント情報と、前記第２の車両攻撃イベント情報と、前記車載ネットワーク情報とに基づいて、前記第１の車両攻撃イベントと、前記第２の車両攻撃イベントとの連続性を判定する判定ステップと、
    　判定した結果を出力する出力ステップと、を含む
    　プログラム。
PCT/JP2021/025103 2020-11-20 2021-07-02 車両攻撃イベント連続性判定方法、車両攻撃イベント連続性判定装置、および、プログラム WO2022107379A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
EP21894256.3A EP4250152A4 (en) 2020-11-20 2021-07-02 METHOD FOR DETERMINING THE CONTINUITY OF A VEHICLE ATTACK EVENT, APPARATUS FOR DETERMINING THE CONTINUITY OF A VEHICLE ATTACK EVENT AND PROGRAM
CN202180074125.7A CN116368441A (zh) 2020-11-20 2021-07-02 车辆攻击事件连续性判定方法、车辆攻击事件连续性判定装置以及程序
JP2022563570A JPWO2022107379A1 (ja) 2020-11-20 2021-07-02
US18/141,614 US20230269258A1 (en) 2020-11-20 2023-05-01 Vehicle attack event continuity determination method, vehicle attack event continuity determination device, and non-transitory computer-readable recording medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US202063116479P 2020-11-20 2020-11-20
US63/116,479 2020-11-20

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US18/141,614 Continuation US20230269258A1 (en) 2020-11-20 2023-05-01 Vehicle attack event continuity determination method, vehicle attack event continuity determination device, and non-transitory computer-readable recording medium

Publications (1)

Publication Number Publication Date
WO2022107379A1 true WO2022107379A1 (ja) 2022-05-27

Family

ID=81708688

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/025103 WO2022107379A1 (ja) 2020-11-20 2021-07-02 車両攻撃イベント連続性判定方法、車両攻撃イベント連続性判定装置、および、プログラム

Country Status (5)

Country Link
US (1) US20230269258A1 (ja)
EP (1) EP4250152A4 (ja)
JP (1) JPWO2022107379A1 (ja)
CN (1) CN116368441A (ja)
WO (1) WO2022107379A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015026252A (ja) 2013-07-26 2015-02-05 株式会社豊田中央研究所 異常検知装置及びプログラム
JP2019129529A (ja) * 2018-01-22 2019-08-01 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ データ解析装置及びプログラム
CN111885034A (zh) * 2020-07-15 2020-11-03 杭州安恒信息技术股份有限公司 物联网攻击事件追踪方法、装置和计算机设备

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019227076A1 (en) * 2018-05-25 2019-11-28 Securethings U.S., Inc. Cybersecurity on a controller area network in a vehicle
CN111581643B (zh) * 2020-05-07 2024-02-02 中国工商银行股份有限公司 渗透攻击评价方法和装置、以及电子设备和可读存储介质

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015026252A (ja) 2013-07-26 2015-02-05 株式会社豊田中央研究所 異常検知装置及びプログラム
JP2019129529A (ja) * 2018-01-22 2019-08-01 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ データ解析装置及びプログラム
CN111885034A (zh) * 2020-07-15 2020-11-03 杭州安恒信息技术股份有限公司 物联网攻击事件追踪方法、装置和计算机设备

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP4250152A4

Also Published As

Publication number Publication date
US20230269258A1 (en) 2023-08-24
JPWO2022107379A1 (ja) 2022-05-27
EP4250152A4 (en) 2024-05-01
CN116368441A (zh) 2023-06-30
EP4250152A1 (en) 2023-09-27

Similar Documents

Publication Publication Date Title
US20190116157A1 (en) Information processing method, information processing system, and non-transitory computer-readable recording medium storing a program
US11924225B2 (en) Information processing apparatus, information processing method, and recording medium
CN113691432B (zh) 汽车can网络报文监测方法、装置、计算机设备和存储介质
CN114374565A (zh) 车辆can网络的入侵检测方法、装置、电子设备和介质
US20200358661A1 (en) Cyber-physical system evaluation
EP2551803A1 (en) Distributed computer system
CN109995793A (zh) 网络动态威胁跟踪量化方法及***
US20230080521A1 (en) Method For Protection From Cyber Attacks To A Vehicle Based Upon Time Analysis, And Corresponding Device
CN115225460A (zh) 故障判定方法、电子设备和存储介质
US10769273B2 (en) Electronic control unit
WO2022107379A1 (ja) 車両攻撃イベント連続性判定方法、車両攻撃イベント連続性判定装置、および、プログラム
US20210105292A1 (en) Detector, detection method, and detection program
EP4135261B1 (en) Information processing device, information processing method, and program
JPWO2022107379A5 (ja)
US20240007485A1 (en) Illegal signal detection apparatus, vehicle, and illegal signal detection method
US10249107B2 (en) Fault management method for a vehicle engine control system
EP4224790A1 (en) Method for protection from cyber attacks to a vehicle based upon time analysis, and corresponding device
KR100464598B1 (ko) 오용행위와 비정상행위의 통합 판정 기능을 갖는 호스트기반의 통합침입탐지시스템 및 방법
WO2023223515A1 (ja) 攻撃経路推定システム、攻撃経路推定装置、攻撃経路推定方法及びプログラム
US20240007486A1 (en) Signal detection apparatus, vehicle, and method
CN114564369B (zh) 应用程序的异常监测方法、装置、电子设备及存储介质
CN118094169B (zh) 用于复杂装备智能运维报警***的组件关联性分析方法
WO2024071120A1 (ja) 情報処理装置、情報処理システム、情報処理プログラム、情報処理方法
US20240080179A1 (en) Signal determination device, movable object, signal determination method, and computer readable storage medium
WO2023058212A1 (ja) 制御装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21894256

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022563570

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2021894256

Country of ref document: EP

Effective date: 20230620