WO2023058212A1 - 制御装置 - Google Patents
制御装置 Download PDFInfo
- Publication number
- WO2023058212A1 WO2023058212A1 PCT/JP2021/037278 JP2021037278W WO2023058212A1 WO 2023058212 A1 WO2023058212 A1 WO 2023058212A1 JP 2021037278 W JP2021037278 W JP 2021037278W WO 2023058212 A1 WO2023058212 A1 WO 2023058212A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- state
- list
- unit
- monitoring
- acquired
- Prior art date
Links
- 238000004891 communication Methods 0.000 claims abstract description 113
- 238000012544 monitoring process Methods 0.000 claims abstract description 88
- 230000007704 transition Effects 0.000 claims abstract description 66
- 230000005856 abnormality Effects 0.000 claims abstract description 37
- 238000005259 measurement Methods 0.000 claims description 9
- 230000008859 change Effects 0.000 claims description 8
- 238000000034 method Methods 0.000 description 38
- 230000008569 process Effects 0.000 description 28
- 238000012545 processing Methods 0.000 description 20
- 238000001514 detection method Methods 0.000 description 15
- 238000010586 diagram Methods 0.000 description 7
- 230000007246 mechanism Effects 0.000 description 7
- 230000006870 function Effects 0.000 description 5
- 230000002159 abnormal effect Effects 0.000 description 4
- 239000000284 extract Substances 0.000 description 3
- 238000007689 inspection Methods 0.000 description 3
- 238000005516 engineering process Methods 0.000 description 2
- 230000004913 activation Effects 0.000 description 1
- 230000007850 degeneration Effects 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 230000007613 environmental effect Effects 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004044 response Effects 0.000 description 1
Images
Classifications
-
- B—PERFORMING OPERATIONS; TRANSPORTING
- B60—VEHICLES IN GENERAL
- B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
- B60R25/00—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles
- B60R25/30—Detection related to theft or to other events relevant to anti-theft systems
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
Definitions
- This application relates to a control device.
- a mechanism to monitor unauthorized communication data and detect anomalies is being considered.
- a mechanism for detecting abnormalities by comparing normal communication data with received communication data to determine whether or not it is unauthorized communication data is being studied.
- Patent Document 1 states that it is possible to detect abnormal data without increasing the data processing load by changing the communication data monitoring method according to the state of the vehicle.
- Patent Document 1 when communication data is received immediately before the state is switched, if the state cannot be acquired correctly, the communication data is monitored in a state different from the state that should be monitored, resulting in erroneous anomaly detection. Detection or misses can occur.
- the present application is made to solve such problems, and compares the monitored communication data with the list according to the relationship between the state of the controlled object, the state transition information of the controlled object state, and the list of communication data. It is an object of the present invention to obtain a control device capable of detecting anomalies in communication data and detecting anomalies in a controlled object by determining whether or not data is fraudulent, even if it is subjected to a cyberattack.
- the control device disclosed in the present application is a control device that communicates data with a controlled object, a communication unit for transmitting/receiving communication data to/from a controlled object using a control device, a state acquiring unit for acquiring the state of the controlled object, a storage unit for listing and storing communication data of the communication unit when the communication data is normal, Based on the relationship between the state transition information of the controlled object state acquired by the state acquisition unit and the list in the storage unit, if communication data is received before the predetermined time at which the controlled object state is switched, the list is changed or A monitoring determination unit that determines not to change, a communication monitoring unit that monitors communication data in the target list determined by the monitoring determination unit, and compares the monitoring result of the communication monitoring unit with the list to determine whether the data is unauthorized data. Equipped with an abnormality judgment unit
- the control device of the present application even if communication data is received before the predetermined time at which the state is switched, the abnormality of the controlled object is detected by detecting unauthorized data without erroneous detection or overlooking, A controlled object can be controlled safely.
- FIG. 2 is a functional block diagram of a control device according to Embodiment 1;
- FIG. 4 is a diagram showing combinations of transition states extracted by the state transition management unit of the control device according to the first embodiment;
- FIG. FIG. 4 is a diagram illustrating a method of determining a list in which two types of state lists are combined in a monitoring determining unit of the control device according to Embodiment 1;
- 4 is a diagram illustrating a method of determining a list in which three types of state lists are combined in a monitoring determining unit of the control device according to Embodiment 1;
- FIG. 4 is a diagram illustrating a method of combining lists of two types in the list creation unit of the control device according to Embodiment 1;
- FIG. 5 is a flowchart showing abnormality detection processing of the control device according to Embodiment 1; 4 is a flow chart showing a process of determining a monitoring method of the control device according to Embodiment 1.
- FIG. 2 is a diagram illustrating an example of a hardware configuration of a control device according to Embodiment 1; FIG.
- control device Preferred embodiments of the control device disclosed in the present application will be described below with reference to the drawings.
- ECU in-vehicle control device
- the present embodiment can be applied as an intrusion detection system in a control device to a vehicle to be controlled.
- FIG. 1 is a functional block diagram of an in-vehicle control unit (ECU) to which the control device according to Embodiment 1 is applied.
- An in-vehicle control device (hereinafter referred to as control device 10) according to the first embodiment includes a communication unit 100, a state acquisition unit 101, a storage unit 102, a monitoring determination unit 103, a communication monitoring unit 104, an abnormality determination unit 105, a state transition It comprises a management section 106 , a time measurement section 107 and a list creation section 108 .
- the control device 10 is an in-vehicle control device that controls the vehicle.
- the control device 10 is connected to other control devices inside the vehicle via a communication line (not shown) such as a CAN (Controller Area Network).
- a communication line not shown
- CAN Controller Area Network
- the communication unit 100 has a function of transmitting and receiving communication data with other control devices. For example, it is a function of transmitting and receiving communication data of CAN communication.
- the state acquisition unit 101 acquires the state of the vehicle to be controlled.
- the state acquisition unit 101 obtains the control state of the control device 10, the control state of the vehicle control system, the surrounding environment state of the vehicle, the position information of the vehicle, the communication state of the control device 10, the state of the driver in the vehicle, and the processing load of the control device. Either the state or the attack state of the control device 10 is acquired.
- control state of the control device 10 is the activation state or sleep state of the control device.
- control state of the vehicle control system is the operation state of the vehicle operation such as running, turning, and stopping. Moreover, you may classify finely. Specifically, it is high speed, medium speed, low speed, etc. in the running state.
- the environmental conditions surrounding the vehicle are traffic conditions such as traffic jams or weather conditions such as snow.
- the location information of the vehicle is in a tunnel or at an intersection.
- the communication state of the control device 10 is whether the control device is communicating or not. Further, the communication state may be classified finely.
- the state of the driver in the car is the state of the driver, such as sleeping or tired.
- the processing load state of the control device is whether the processing load of the control device 10 is small and there is room for processing, or whether the processing load is large and there is no room for processing. Also, the states may be classified finely.
- the attack state of the control device 10 is when the abnormality determination unit 105 determines that there is an abnormality. For example, there is a case where an attack is being made on a bus different from the received communication data.
- the storage unit 102 has a memory in which an operation program for control processing of the control device 10, control values used during operation, and a list of communication data received by the communication unit 100 during normal operation are recorded.
- the memory that stores the list is ROM or RAM.
- the monitoring determination unit 103 changes or does not change the communication data list to be monitored by the communication monitoring unit 104 based on the relationship between the state transition information of the state acquired by the state acquisition unit 101 and the communication data list in the storage unit 102. to decide.
- the communication monitoring unit 104 monitors communication data received by the communication unit 100. Specifically, the communication ID, data length, data value, amount of change in data value, communication period, communication frequency, and the like are acquired.
- the abnormality determination unit 105 compares the communication data acquired by the communication monitoring unit 104 as the monitoring result and the communication data list in the storage unit 102 as the normal value of the communication data, and compares the monitoring result with the normal value.
- the abnormality determination unit 105 determines that there is an abnormality when the comparison result between the monitoring result and the normal value does not match.
- the abnormality determination unit 105 may shift to abnormality handling processing. For example, switching of a communication line, switching to a standby control device, degeneration of control device functions, and the like are executed. If determined to be normal, normal control processing is continued.
- the state transition management unit 106 extracts transition states based on the state transition state information acquired by the state acquisition unit 101 . Specifically, the transition information of the previous state acquired by the state acquisition unit 101 is extracted. For example, in the running state of the vehicle operation in the control state of the vehicle control system, the transition state after the stop state is the low speed state. Also, a plurality of states may be extracted.
- the monitoring determination unit 103 When the state acquired by the state acquisition unit 101 does not match the state extracted by the state transition management unit 106, the monitoring determination unit 103 notifies the abnormality determination unit 105 of an abnormality.
- the abnormality determination unit 105 determines that there is an abnormality.
- the monitoring determination unit 103 stores the storage unit 102 in the state acquired by the state acquisition unit 101. is determined as a list of communication data to be monitored by the communication monitoring unit 104 .
- the monitoring determination unit 103 determines whether the storage unit 102 is in the state acquired by the state acquisition unit 101.
- a list obtained by combining the communication data list and the previous state list obtained by the state obtaining unit 101 is determined as the communication data list to be monitored by the communication monitoring unit 104 .
- the monitoring determination unit 103 preferentially duplicates communication data in a list obtained by combining the list of states acquired by the state acquisition unit 101 and the list of the previous state acquired by the state acquisition unit 101. Decide to monitor.
- the time measurement unit 107 measures the time until the state acquired by the state acquisition unit 101 transitions to the next state.
- the monitoring determining unit 103 selects a list to be monitored by the communication monitoring unit 104 based on the state transition information extracted by the state transition managing unit 106. Then, a list obtained by combining the list of states acquired by the state acquisition unit 101, the list of the previous state acquired by the state acquisition unit 101, and the list of the two previous states acquired by the state acquisition unit 101 is determined.
- the monitoring determination unit 103 combines the list of states acquired by the state acquisition unit 101, the list of the previous state acquired by the state acquisition unit 101, and the list of the two previous states acquired by the state acquisition unit 101 into a list. , it decides to preferentially monitor duplicate communication data when combining.
- the monitoring determination unit 103 determines a list obtained by combining the list of states acquired by the state acquisition unit 101 and the list of the previous state acquired by the state acquisition unit 101, and the combined list exists. Otherwise, create a combined list.
- the list creation unit 108 allows the monitoring determination unit 103 to create a list of the states acquired by the state acquisition unit 101, a list of the previous state acquired by the state acquisition unit 101, and a list of the two previous states acquired by the state acquisition unit 101. to be a combined list, and if the combined list does not exist, create the combined list.
- FIG. 2 shows combinations of transition states extracted by the state transition management unit 106 .
- the state acquired by the state acquiring unit 101 the running state corresponding to the vehicle operation in the control state of the vehicle control system is shown.
- the running state is classified into four, high speed, medium speed, low speed, and stop, and the next transition state for each state is extracted.
- the driving state may be finely classified.
- Other states are similarly extracted for transition states.
- FIG. 3 shows how the monitoring determination unit 103 determines a list in which the list of states acquired by the state acquisition unit 101 and the list of the previous state, that is, the list of two types of states are combined.
- the state is stop, the transition state is slow according to the state transition management unit.
- communication data T4 is received immediately before the state switches from stop to low speed, and state S4 is acquired by the state acquisition unit 101, the state at T4 is stop, but the state acquired at S4 is low speed, and when communication data is received The state and the state at the time of state acquisition do not match. If the list to be monitored is determined according to the state, the list of different states will be monitored, which may lead to false positives or oversights.
- erroneous detection or oversight can be prevented by using a list obtained by combining the list of states acquired by the state acquisition unit 101 and the list of the previous state as a list to be monitored.
- monitoring is performed using a combined list of the slow state obtained in S4 and the list of stopped state obtained in the previous step S3.
- FIG. 4 shows a method of determining a list in which the list of states two before and the list of three types of states are combined.
- the state is stop, the transition state is low speed from the state transition management unit, and when the state is low speed, the transition state is medium speed and stop from the state transition management unit. If the state switches between stopped and slow at intervals shorter than a predetermined time, there are cases where false positives or missed cases occur when the list that combines the list of states and the list of the previous state is used as a list to be monitored. do.
- FIG. 5 shows how the list creation unit 108 creates a list in which the list of states acquired by the state acquisition unit 101 and the list of the previous state are combined.
- the slow state list obtained by the state obtaining unit 101 and the stop state list immediately before are combined.
- Rule number 1 in the slow list and rule number 1 in the stop list are duplicated into one rule. Duplicate rules are given lower rule numbers in order to be monitored preferentially. If there is another rule that should have priority, the rule number may be changed.
- FIG. 6 is a flowchart showing the flow of processing from reception of communication data by the communication unit 100 according to the first embodiment, through abnormality detection processing, to execution of determination result processing.
- step S601 the communication unit 100 receives communication data. After completing step S601, the process proceeds to step S602.
- step S602 the state obtaining unit 101 obtains the vehicle state. After completing step S602, the process proceeds to step S603.
- step S ⁇ b>603 the monitoring determination unit 103 determines the monitoring target of the communication monitoring unit 104 . After completing step S603, the process proceeds to step S604.
- step S604 if the state acquired by the state acquisition unit 101 is a normal state transition, the monitoring determination unit 103 proceeds to step S605. If the state transition is not normal, the process proceeds to step S606.
- step S605 the communication monitoring unit 104 monitors the communication data in the list of the monitoring storage unit 102, which is the monitoring target determined by the monitoring determination unit 103. After completing step S605, the process proceeds to step S606.
- step S606 the abnormality determination unit 105 compares the monitoring result of the communication monitoring unit 104 with the list in the storage unit 102, and determines whether the abnormality is due to unauthorized data. The monitoring determination unit 103 also determines that the state transition is not normal. After completing step S606, the process proceeds to step S607.
- step S607 If the abnormality determination unit 105 determines that there is an abnormality in step S607, the process proceeds to step S608. If the abnormality determination unit 105 determines that the abnormality is normal, the abnormality detection process is terminated.
- step S608 the process for abnormality determination is executed. After step S608 ends, the abnormality detection process ends.
- FIG. 7 is a flow chart showing the flow of monitoring method determination processing of the control device 10 according to the first embodiment.
- step S701 the state transition management unit 106 extracts the next transition state from the state obtained immediately before the state obtained by the state obtaining unit 101. There may be a plurality of transition states. After completing step S701, the process proceeds to step S702.
- step S702 the monitoring determination unit 103 compares whether the transition state extracted by the state transition management unit 106 and the state acquired by the state acquisition unit 101 match. If they match, the process proceeds to step S703. If they do not match, it is regarded as abnormal and the monitoring method determination process is terminated.
- step S703 since the state acquired by the state acquisition unit 101 is a state that has transitioned from the state acquired immediately before, it is determined as the state at the time of communication data reception by the communication unit 100. After completing step S703, the process proceeds to step S704.
- step S704 it is checked whether the state determined in step S703 has transitioned from the previous state to another state. If the state determined in step S703 transitions from the previous state to another state, the process proceeds to step S705. If the previous state has not transitioned to another state, the process proceeds to step S710.
- step S705 the time measurement unit 107 measures the time from the pre-transition state to the post-transition state. After step S705, the process proceeds to step S706.
- step S706 if the time measured by the time measurement unit 107 is shorter than the predetermined time, the process proceeds to step S707. If it is longer than the predetermined time, the process proceeds to step S710.
- step S707 the monitoring determination unit 103 defines the list of communication data stored in the storage unit 102 defined in the state determined in step S703 and the state obtained immediately before as the monitoring target of the communication monitoring unit 104.
- a list obtained by combining the list of communication data stored in the storage unit 102 and the list of communication data stored in the storage unit 102 defined in the state acquired two years before is determined as a combined list.
- step S708 if the list determined in step S707 exists, proceed to step S713. If the list determined in step S707 does not exist, the process proceeds to step S709.
- step S709 the list creation unit 108 creates a list of communication data stored in the storage unit 102 defined in the state determined in step S703 and a list of communication data stored in the storage unit 102 defined in the state acquired immediately before. A list of communication data stored in the storage unit 102 defined in a state acquired two years before is combined to create a list. After completing step S709, the process proceeds to step S713.
- step S710 the monitoring determination unit 103 defines, as the monitoring target of the communication monitoring unit 104, the list of communication data stored in the storage unit 102 defined in the state determined in step S703 and the state obtained immediately before. A list obtained by combining the communication data lists stored in the storage unit 102 is determined. After completing step S710, the process proceeds to step S711.
- step S711 if the list determined in step S710 exists, proceed to step S713. If the list determined in step S710 does not exist, the process proceeds to step S712.
- step S712 the list creation unit 108 creates a list of communication data stored in the storage unit 102 defined in the state determined in step S703 and a list of communication data stored in the storage unit 102 defined in the state acquired immediately before. Create a list that combines the lists of communication data that After completing step S712, the process proceeds to step S713.
- step S713 the monitoring determining unit 103 notifies the communication monitoring unit 104 of the list of monitoring targets. After step S713 ends, the monitoring determination process ends.
- the control device 10 is composed of a processor 11 and a storage device 12, as shown in FIG. 8 as an example of hardware.
- the storage device 12 includes, for example, a volatile storage device such as a random access memory and a non-volatile auxiliary storage device such as a flash memory. Also, an auxiliary storage device such as a hard disk may be provided instead of the flash memory.
- the processor 11 executes programs input from the storage device 12 . In this case, the program is input from the auxiliary storage device to the processor 11 via the volatile storage device. Further, the processor 11 may output data such as calculation results to the volatile storage device of the storage device 12, or may store the data in the auxiliary storage device via the volatile storage device.
- control device in the first embodiment described above, an example in which the control device is used as an in-vehicle control device has been described.
- the control device according to the present application is not limited to this.
- it can be used for a control device connected to a communication line that has high security strength and requires a mechanism for early detection of an abnormality in the control device.
- the control device changes the list or It is configured to detect an abnormality in the control device by determining not to change and comparing the monitoring result with the normal value to see if they match.
- the control device changes the list or It is configured to detect an abnormality in the control device by determining not to change and comparing the monitoring result with the normal value to see if they match.
- control device includes a state acquisition unit that acquires the vehicle state and a state transition management unit that extracts the transition state of the state acquired by the state acquisition unit based on the state transition information.
- the state acquired by the state acquisition unit and the previous state acquired by the state acquisition unit are obtained by the monitoring determination unit based on the state extracted by the state transition management unit. It has a configuration that can determine the list of , into a combined list. As a result, even if the state changes, it can be monitored without switching to a list of a different state.
- a configuration is provided in which a list obtained by combining the list of states acquired by the state acquisition unit, the list of the previous state acquired by the state acquisition unit, and the list of the two previous states is determined.
- the list creating unit It has a construct that creates a list joined by . As a result, even if the state changes, it can be monitored without switching to a list of a different state.
- the monitoring determination unit combines the list of the state acquired by the state acquisition unit, the list of the previous state acquired by the state acquisition unit, and the list of the state two times before. If there is no list to match, the list creation unit creates a combined list. As a result, even if the state changes, it can be monitored without switching to a list of a different state.
- the monitoring determination unit combines the list of the state acquired by the state acquisition unit and the list of the immediately preceding state acquired by the state acquisition unit, and duplicates in the combined list. It has a configuration that preferentially monitors the communication data that As a result, it is possible to improve the processing time by inspecting communication data from the most likely communication data. Even if the state changes, monitoring can be performed without switching to a list of a different state.
- the monitoring determination unit combines the state acquired by the state acquisition unit, the list of the previous state acquired by the state acquisition unit, and the list of the two previous states. , has a configuration for preferentially monitoring duplicate communication data in the combined list. As a result, it is possible to monitor communication data without switching the list even if the state changes to improve the processing time by inspecting the communication data from the most likely communication data.
- control device 100 communication unit, 101 state acquisition unit, 102 storage unit, 103 monitoring determination unit, 104 communication monitoring unit, 105 abnormality determination unit, 106 state transition management unit, 107 time measurement unit, 108 list creation unit
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Mechanical Engineering (AREA)
- Computer Hardware Design (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Small-Scale Networks (AREA)
Abstract
サイバー攻撃を受けても制御対象の異常を検知し、安全に制御することを可能とする。状態取得部（１０１）で取得した制御対象の状態遷移情報と記憶部（１０２）に記憶した正常時の通信データのリストの関係性から、制御対象の状態が切り替わる所定の時間よりも前に通信データを受信した場合に、リストを変えるまたは変えないことを決定する監視決定部（１０３）と、監視決定部（１０３）で決定した対象のリストの通信データを監視する通信監視部（１０４）と、通信監視部（１０４）の監視結果とリストを比較し、不正データであるか判定する異常判定部（１０５）を備えている。
Description
本願は、制御装置に関するものである。
近年、自動車の車載システムはネットワークを介して車外の装置と接続されるようになり、悪意のある第三者が外部からネットワークを介して車載システムに侵入するリスクがある。車載システムに侵入されると、車両に搭載される制御装置である、例えばＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）において、ＥＣＵのプログラムが改ざんされ、制御を乗っ取られ遠隔操作によって事故につながる可能性がある。
従来の車載システムでは、一部の装置が故障した場合でも、故障によって発生した異常を検知し、フェールセーフによって機能を縮退するなど、安全な走行ができるように、異常対処方法が考えられている。
しかし、プログラムが改ざんされ、故障によって異常を検知する仕組みを変更される、もしくは異常検知の対象となる情報を正常な値になりすまされると、異常として検知することが困難となる。
サイバー攻撃を受けて車両の異常を検知する仕組みとして、不正な通信データを監視して異常を検知する仕組みが検討される。正常時の通信データと受信した通信データを比較して、不正な通信データでないか異常を検知する仕組みが検討される。
しかし、正常時の通信データと受信した通信データを比較して不正な通信データでないか異常を検知する場合、通信データが膨大であると、データ処理も増大する課題がある。そこで、サイバー攻撃を受けても処理負荷を抑えつつ誤検知あるいは見逃しがないよう異常を検知し、車を安全に走行可能にする仕組みが必要である。
特許文献１は、車両の状態に応じて通信データの監視方法を変え、データ処理の負荷を増大させず、異常データを検知することができるとしている。
しかしながら、特許文献１に記載されている従来技術には、以下のような課題がある。特許文献１では、状態が切り替わる直前で通信データを受信する場合、状態を正しく取得できないと、本来監視すべき状態の通信データとは異なる状態の通信データを監視することになり、異常検知の誤検知あるいは見逃しが起きる可能性がある。
本願は、このような問題を解決するためになされたものであり、制御対象の状態と制御対象状態の状態遷移情報と通信データのリストの関係性により、監視した通信データとリストを比較して不正データであるか判定することにより、サイバー攻撃を受けても通信データの異常を検知し、制御対象の異常を検知することができる制御装置を得ることを目的とする。
本願に開示される制御装置は、制御対象との間でデータの通信を行う制御装置において、
制御対象に対して制御装置で通信データを送受信する通信部と、制御対象の状態を取得する状態取得部と、通信部の通信データの正常時の通信データをリストして記憶する記憶部と、状態取得部で取得した制御対象状態の状態遷移情報と記憶部のリストの関係性から、制御対象の状態が切り替わるあらかじめ決められた時間よりも前に通信データを受信した場合に、リストを変えるまたは変えないことを決定する監視決定部と、監視決定部で決定した対象のリストの通信データを監視する通信監視部と、通信監視部の監視結果とリストを比較し、不正データであるか判定する異常判定部を備えている
制御対象に対して制御装置で通信データを送受信する通信部と、制御対象の状態を取得する状態取得部と、通信部の通信データの正常時の通信データをリストして記憶する記憶部と、状態取得部で取得した制御対象状態の状態遷移情報と記憶部のリストの関係性から、制御対象の状態が切り替わるあらかじめ決められた時間よりも前に通信データを受信した場合に、リストを変えるまたは変えないことを決定する監視決定部と、監視決定部で決定した対象のリストの通信データを監視する通信監視部と、通信監視部の監視結果とリストを比較し、不正データであるか判定する異常判定部を備えている
本願の制御装置によれば、状態が切り替わるあらかじめ決められた時間よりも前に通信データを受信した場合でも誤検知あるいは見逃しをすることなく不正データを検知することで制御対象の異常を検知し、制御対象を安全に制御することができる。
以下に、本願に開示される制御装置の好適な実施の形態について、図面を用いて説明する。なお、以下では、制御装置の具体例として、制御対象を車両および車載機器とする車載制御装置（ＥＣＵ）に適用する場合について、詳細に説明する。本実施の形態は、制御対象である車両に制御装置における侵入検知システムとして適用可能である。
実施の形態１．
図１は、実施の形態１に係る制御装置を適用した車載制御装置（ＥＣＵ）の機能ブロック図である。本実施の形態１における車載制御装置（以下、制御装置１０と称する）は、通信部１００、状態取得部１０１、記憶部１０２、監視決定部１０３、通信監視部１０４、異常判定部１０５、状態遷移管理部１０６、時間計測部１０７およびリスト作成部１０８を備えて構成されている。
図１は、実施の形態１に係る制御装置を適用した車載制御装置（ＥＣＵ）の機能ブロック図である。本実施の形態１における車載制御装置（以下、制御装置１０と称する）は、通信部１００、状態取得部１０１、記憶部１０２、監視決定部１０３、通信監視部１０４、異常判定部１０５、状態遷移管理部１０６、時間計測部１０７およびリスト作成部１０８を備えて構成されている。
制御装置１０は、車両の制御を行う車載制御装置である。制御装置１０は、車両内部の他の制御装置と、図示しない通信線、例えばＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）、を介して接続されている。
通信部１００は、他の制御装置と通信データを送受信する機能を有している。例えばＣＡＮ通信の通信データを送受信する機能である。
状態取得部１０１は、制御対象である車両の状態を取得する。状態取得部１０１は、制御装置１０の制御状態、車両制御システムの制御状態、車両の周辺環境状態、車両の位置情報、制御装置１０の通信状態、車内の運転者の状態、制御装置の処理負荷状態、制御装置１０の攻撃状態のいずれかの状態を取得する。
制御装置１０の制御状態とは、具体的には、制御装置の起動状態あるいはスリープ状態などである。
車両制御システムの制御状態は、具体的には、車両動作の走る、曲がる、止まるといった動作状態である。また、細かく分類してもよい。具体的には、走る状態において、高速、中速、低速などである。
車両の周辺環境状態は、具体的には、渋滞などの交通状況あるいは雪などの天候である。
車両の位置情報は、具体的には、トンネル内あるいは交差点などである。
制御装置１０の通信状態は、具体的には、制御装置が通信中であるか通信中ではないかである。また、通信状態は細かく分類してもよい。
車内の運転者の状態は、具体的には、運転者が寝ている、疲れているなどの状態である。
制御装置の処理負荷状態は、具体的には、制御装置１０の処理負荷が小さくて処理に余裕があるか、処理負荷が大きくて処理に余裕がないかなどである。また、状態は細かく分類してもよい。
制御装置１０の攻撃状態は、具体的には、異常判定部１０５で異常と判定された場合である。例えば、受信した通信データとは異なるバスで攻撃を受けている場合などである。
記憶部１０２は、制御装置１０の制御処理である動作プログラムおよび動作時に使用する制御値、通信部１００が正常時に受信する通信データのリストが記録されているメモリを有する。リストを記憶するメモリはＲＯＭあるいはＲＡＭである。
監視決定部１０３は、状態取得部１０１で取得した状態の状態遷移情報と記憶部１０２の通信データのリストの関係性より、通信監視部１０４の監視対象となる通信データのリストを変えるまたは変えないことを決定する。
通信監視部１０４は、通信部１００で受信する通信データを監視する。具体的には、通信ＩＤ、データ長、データ値、データ値の変化量、通信周期、通信頻度などを取得する。
異常判定部１０５は、通信監視部１０４で取得した通信データを監視結果として、記憶部１０２の通信データのリストを通信データの正常値として、監視結果と正常値を比較する。
異常判定部１０５は、監視結果と正常値の比較結果が一致しなかった場合、異常と判定する。
異常判定部１０５は、異常と判定した場合、異常対応処理に移行してもよい。例えば、通信線の切り替え、待機用制御装置への切り替え、制御装置の機能縮退などを実行する。正常と判定した場合、通常の制御処理を引き続き実行する。
状態遷移管理部１０６は、状態取得部１０１で取得した状態の遷移状態情報を基に、遷移する状態を抽出する。具体的には、状態取得部１０１で取得した一つ前の状態の遷移情報を抽出する。例えば、車両制御システムの制御状態の車両動作の走る状態において、停止状態の次に遷移する状態は低速状態などである。また、抽出する状態は複数でもよい。
監視決定部１０３は、状態取得部１０１で取得した状態が、状態遷移管理部１０６で抽出した状態と一致しなかった場合、異常であることを異常判定部１０５へ通知する。
異常判定部１０５は、状態取得部１０１で取得した状態が、状態遷移管理部１０６で抽出した状態と不一致で、異常であることを監視決定部１０３から通知された場合、異常と判定する。
監視決定部１０３は、状態取得部１０１で取得した状態が、状態遷移管理部１０６で抽出した状態と一致した場合かつ、状態に変更がない場合、状態取得部１０１で取得した状態における記憶部１０２の通信データのリストを、通信監視部１０４の監視対象となる通信データのリストとして決定する。
監視決定部１０３は、状態取得部１０１で取得した状態が、状態遷移管理部１０６で抽出した状態と一致した場合かつ、状態が遷移した場合、状態取得部１０１で取得した状態における記憶部１０２の通信データのリストと、状態取得部１０１で取得した一つ前の状態のリストを結合したリストを、通信監視部１０４の監視対象となる通信データのリストとして決定する。
監視決定部１０３は、状態取得部１０１で取得した状態のリストと状態取得部１０１で取得した一つ前の状態のリストを結合したリストの中で、結合する時に重複する通信データを優先的に監視することを決定する。
時間計測部１０７は、状態取得部１０１で取得した状態が次に遷移する状態までの時間を計測する。
監視決定部１０３は、時間計測部１０７が計測した状態遷移時間が所定の時間よりも短い場合、通信監視部１０４の監視対象となるリストを、状態遷移管理部１０６で抽出した状態遷移情報を基に、状態取得部１０１で取得した状態のリストと状態取得部１０１で取得した一つ前の状態のリストと状態取得部１０１で取得した二つ前の状態のリストを結合したリストに決定する。
監視決定部１０３は、状態取得部１０１で取得した状態のリストと状態取得部１０１で取得した一つ前の状態のリストと状態取得部１０１で取得した二つ前の状態のリストを結合したリストの中で、結合する時に重複する通信データを優先的に監視することを決定する。
リスト作成部１０８は、監視決定部１０３が、状態取得部１０１で取得した状態のリストと状態取得部１０１で取得した一つ前の状態のリストを結合したリストに決定し、結合したリストが存在しない場合、結合したリストを作成する。
リスト作成部１０８は、監視決定部１０３が、状態取得部１０１で取得した状態のリストと状態取得部１０１で取得した一つ前の状態のリストと状態取得部１０１で取得した二つ前の状態のリストを結合したリストに決定し、結合したリストが存在しない場合、結合したリストを作成する。
状態遷移管理部１０６が抽出する遷移する状態の組合せを図２に示す。状態取得部１０１で取得する状態として、例として車両制御システムの制御状態の車両動作の走るにあたる走行状態を示す。走行状態は高速、中速、低速、停止の四つに分類され、各状態の次に遷移する状態を抽出する。走行状態は細かく分類してもよい。他の状態でも同様に遷移する状態を抽出する。
監視決定部１０３が状態取得部１０１で取得した状態のリストと一つ前の状態のリスト、即ち２種類の状態のリストを結合したリストに決定する方法を図３に示す。状態が停止の場合、状態遷移管理部より、遷移する状態は低速である。状態が停止から低速に切り替わる直前で通信データＴ４を受信し、状態取得部１０１で状態Ｓ４を取得した場合、Ｔ４での状態は停止だが、Ｓ４で取得した状態は低速となり、通信データ受信時の状態と状態取得時の状態が一致しない。状態によって監視対象のリストを決定すると異なる状態のリストを監視してしまい、誤検知あるいは見逃しが起きる可能性がある。よって、状態取得部１０１で取得した状態のリストと一つ前の状態のリストを結合したリストを監視対象のリストとすることで、誤検知あるいは見逃しを防ぐことができる。Ｔ４の検査Ｐ４では、Ｓ４で取得した状態低速と一つ前のＳ３で取得した状態停止のリストを結合したリストを用いて監視する。
監視決定部１０３が、時間計測部１０７が計測した状態遷移時間があらかじめ決められた時間（所定の時間）よりも短い場合、状態取得部１０１で取得した状態のリストと一つ前の状態のリストと二つ前の状態のリスト、即ち３種類の状態のリストを結合したリストに決定する方法を図４に示す。状態が停止の場合、状態遷移管理部より、遷移する状態は低速、状態が低速である場合、状態遷移管理部より、遷移する状態は中速、停止である。所定の時間より短い間隔で状態が停止と低速に切り替わる場合、状態のリストと一つ前の状態のリストを結合したリストを監視対象のリストにするには、誤検知あるいは見逃しが起きるケースが存在する。状態が停止から低速に切り替わる直前で通信データＴ５を受信し、状態取得部１０１で状態Ｓ５を取得した場合、Ｔ５での状態は停止だが、Ｓ５で取得した状態は低速となり、通信データ受信時の状態と状態取得時の状態が一致しない。状態取得部１０１で取得した状態のリストと一つ前の状態のリストを結合したリストを監視対象のリストにした場合、Ｔ５の検査Ｐ５では、Ｓ５で取得した状態低速と一つ前のＳ４で取得した状態低速のリストを結合したリストを用いて監視した場合、異なる状態のリストを監視してしまい、誤検知あるいは見逃しが起きる可能性がある。よって、状態取得部１０１で取得した状態のリストと一つ前の状態のリストと二つ前の状態のリストを結合したリストを監視対象のリストとすることで、誤検知あるいは見逃しを防ぐことができる。Ｔ５の検査Ｐ５では、Ｓ５で取得した状態低速と一つ前のＳ４で取得した状態低速と二つ前のＳ３で取得した状態停止のリストを結合したリストを用いて監視する。
リスト作成部１０８が状態取得部１０１で取得した状態のリストと一つ前の状態のリストを結合したリストを作成する方法を図５に示す。状態取得部１０１で取得した状態低速のリストと一つ前の状態停止のリストを結合する。低速のリストのルール番号１と停止のリストのルール番号１で重複するルールは一つにする。重複するルールは優先的に監視するためにルール番号を小さい数字にする。そのほかに優先すべきルールがあれば、ルール番号を変更してもよい。
次に、制御装置１０の異常検知処理について、図６を用いて詳細に説明する。図６は、実施の形態１に係る通信部１００の通信データ受信から異常検知処理を経て、判定結果の処理を実行するまでの処理の流れを示すフローチャートである。
ステップＳ６０１において、通信部１００は、通信データを受信する。ステップＳ６０１終了後、ステップＳ６０２へ進む。
ステップＳ６０２において、状態取得部１０１は車両状態を取得する。
ステップＳ６０２終了後、ステップＳ６０３へ進む。
ステップＳ６０２終了後、ステップＳ６０３へ進む。
ステップＳ６０３において、監視決定部１０３は通信監視部１０４の監視対象を決定する。
ステップＳ６０３終了後、ステップＳ６０４へ進む。
ステップＳ６０３終了後、ステップＳ６０４へ進む。
ステップＳ６０４において、監視決定部１０３は状態取得部１０１が取得した状態が正常な状態遷移である場合、ステップＳ６０５へ進む。正常な状態遷移でない場合、ステップＳ６０６へ進む。
ステップＳ６０５において、通信監視部１０４は監視決定部１０３で決定した監視対象である監視する記憶部１０２のリストの通信データを監視する。ステップＳ６０５終了後、ステップＳ６０６へ進む。
ステップＳ６０６において、異常判定部１０５は通信監視部１０４の監視結果と記憶部１０２のリストと比較し、不正データによる異常であるか判定する。監視決定部１０３で正常な状態遷移でない場合も異常と判定される。ステップＳ６０６終了後、ステップＳ６０７へ進む。
ステップＳ６０７において、異常判定部１０５が異常と判定した場合、ステップＳ６０８へ進む。異常判定部１０５が正常と判断した場合、異常検知処理を終了する。
ステップＳ６０８において、異常判定時の処理を実行する。ステップＳ６０８終了後、異常検知処理を終了する。
次に、図６における監視方法決定（ステップＳ６０３）について、図７を用いて詳細に説明する。図７は、実施の形態１に係る制御装置１０の監視方法決定処理の流れを示すフローチャートである。
ステップＳ７０１において、状態遷移管理部１０６は、状態取得部１０１で取得した状態より一つ前に取得した状態から次に遷移する状態を抽出する。遷移する状態は複数あってもよい。ステップＳ７０１終了後、ステップＳ７０２へ進む。
ステップＳ７０２において、監視決定部１０３は、状態遷移管理部１０６が抽出した遷移状態と状態取得部１０１が取得した状態が一致するか比較する。一致する場合、ステップＳ７０３へ進む。一致しない場合、異常と見なし、監視方法決定処理を終了する。
ステップＳ７０３において、状態取得部１０１で取得した状態が一つ前に取得した状態から遷移した状態であるので、通信部１００の通信データの受信時の状態として決定する。ステップＳ７０３終了後、ステップＳ７０４へ進む。
ステップＳ７０４において、ステップＳ７０３で決定した状態が一つ前の状態から別の状態へ遷移したか確認する。ステップＳ７０３で決定した状態が一つ前の状態から別の状態へ遷移した場合、ステップＳ７０５へ進む。一つ前の状態から別の状態へ遷移していない場合はステップＳ７１０へ進む。
ステップＳ７０５において、時間計測部１０７は遷移前の状態から遷移後の状態までの時間を計測する。ステップＳ７０５終了後、ステップＳ７０６へ進む。
ステップＳ７０６において、時間計測部１０７が計測した時間が所定の時間よりも短い場合、ステップＳ７０７へ進む。所定の時間よりも長い場合はステップＳ７１０へ進む。
ステップＳ７０７において、監視決定部１０３は通信監視部１０４の監視対象として、ステップＳ７０３で決定した状態で定義される記憶部１０２に記憶されている通信データのリストと一つ前に取得した状態で定義される記憶部１０２に記憶されている通信データのリストと二つ前に取得した状態で定義される記憶部１０２に記憶されている通信データのリストを結合したリストに決定する。
ステップＳ７０７終了後、ステップＳ７０８へ進む。
ステップＳ７０７終了後、ステップＳ７０８へ進む。
ステップＳ７０８において、ステップＳ７０７で決定したリストが存在する場合、ステップＳ７１３へ進む。ステップＳ７０７で決定したリストが存在しない場合、ステップＳ７０９へ進む。
ステップＳ７０９において、リスト作成部１０８はステップＳ７０３で決定した状態で定義される記憶部１０２に記憶されている通信データのリストと一つ前に取得した状態で定義される記憶部１０２に記憶されている通信データのリストと二つ前に取得した状態で定義される記憶部１０２に記憶されている通信データのリストを結合したリストを作成する。ステップＳ７０９終了後、ステップＳ７１３へ進む。
ステップＳ７１０において、監視決定部１０３は通信監視部１０４の監視対象として、ステップＳ７０３で決定した状態で定義される記憶部１０２に記憶されている通信データのリストと一つ前に取得した状態で定義される記憶部１０２に記憶されている通信データのリストを結合したリストに決定する。
ステップＳ７１０終了後、ステップＳ７１１へ進む。
ステップＳ７１０終了後、ステップＳ７１１へ進む。
ステップＳ７１１において、ステップＳ７１０で決定したリストが存在する場合、ステップＳ７１３へ進む。ステップＳ７１０で決定したリストが存在しない場合、ステップＳ７１２へ進む。
ステップＳ７１２において、リスト作成部１０８はステップＳ７０３で決定した状態で定義される記憶部１０２に記憶されている通信データのリストと一つ前に取得した状態で定義される記憶部１０２に記憶されている通信データのリストを結合したリストを作成する。ステップＳ７１２終了後、ステップＳ７１３へ進む。
ステップＳ７１３において、監視決定部１０３は通信監視部１０４へ監視対象のリストを通知する。ステップＳ７１３終了後、監視決定処理を終了する。
なお、制御装置１０は、ハードウェアの一例を図８に示すように、プロセッサ１１と記憶装置１２から構成される。記憶装置１２は、例えば、ランダムアクセスメモリ等の揮発性記憶装置と、フラッシュメモリ等の不揮発性の補助記憶装置とを具備する。また、フラッシュメモリの代わりにハードディスクの補助記憶装置を具備してもよい。プロセッサ１１は、記憶装置１２から入力されたプログラムを実行する。この場合、補助記憶装置から揮発性記憶装置を介してプロセッサ１１にプログラムが入力される。また、プロセッサ１１は、演算結果等のデータを記憶装置１２の揮発性記憶装置に出力してもよいし、揮発性記憶装置を介して補助記憶装置にデータを保存してもよい。
なお、以上説明した実施の形態１では、制御装置を車載制御装置として使用する例について説明した。しかしながら、本願に係る制御装置は、これに限られるものでない。例えば、高いセキュリティ強度を有し、かつ、早期に制御装置の異常を検知する仕組みを必要とする、通信線に接続された制御装置に利用することができる。
以上説明した実施の形態１によれば、制御処理において以下のような効果が得られる。
従来の制御装置においては、車両状態に基づいて通信データの監視方法を変え、異常なデータを検知する異常検知方法であった。これに対して、本実施の形態１に係る制御装置は、状態遷移情報と通信データのリストの関係性から、状態が切り替わる所定の時間より前に通信データを受信した場合に、リストを変えるまたは変えないことを決定し、監視結果と正常値が一致するか比較することで、制御装置の異常を検知する構成を備えている。
これにより、状態が切り替わる所定の時間よりも前にサイバー攻撃によって受信した不正通信データの異常を誤検知、見逃しすることなく検知することができる。
従来の制御装置においては、車両状態に基づいて通信データの監視方法を変え、異常なデータを検知する異常検知方法であった。これに対して、本実施の形態１に係る制御装置は、状態遷移情報と通信データのリストの関係性から、状態が切り替わる所定の時間より前に通信データを受信した場合に、リストを変えるまたは変えないことを決定し、監視結果と正常値が一致するか比較することで、制御装置の異常を検知する構成を備えている。
これにより、状態が切り替わる所定の時間よりも前にサイバー攻撃によって受信した不正通信データの異常を誤検知、見逃しすることなく検知することができる。
また、本実施の形態１に係る制御装置は、車両状態を取得する状態取得部と状態遷移情報を基に、状態取得部が取得する状態の遷移する状態を抽出する状態遷移管理部を備えている。これにより一つの状態だけでなく、状態と遷移する状態で使用するリストの中身を絞ることができる。
さらに、本実施の形態１に係る制御装置は、監視決定部において、状態遷移管理部で抽出した状態に基づいて、状態取得部で取得した状態と、状態取得部で取得した一つ前の状態のリストを結合したリストに決定することができる構成を備えている。これにより状態が変更しても異なる状態のリストへ切り替えることなく監視することができる。
さらに、本実施の形態１に係る制御装置は、状態取得部が状態を取得して次の状態に遷移するまでの時間を計測する時間計測部の計測した時間が所定の時間よりも短い場合、状態取得部で取得した状態のリストと、状態取得部で取得した一つ前の状態のリストと、二つ前の状態のリストを結合したリストに決定することができる構成を備えている。これにより状態が短い期間で変更しても異なる状態のリストへ切り替えることなく監視することができる。
さらに、本実施の形態１に係る制御装置は、監視決定部で、状態取得部で取得した状態と状態取得部で取得した一つ前の状態のリストを結合するリストがない場合、リスト作成部によって結合したリストを作成する構成を備えている。これにより状態が変更しても異なる状態のリストへ切り替えることなく監視することができる。
さらに、本実施の形態１に係る制御装置は、監視決定部で、状態取得部で取得した状態と状態取得部で取得した一つ前の状態のリストと、二つ前の状態のリストを結合するリストがない場合、リスト作成部によって結合したリストを作成する構成を備えている。これにより状態が変更しても異なる状態のリストへ切り替えることなく監視することができる。
さらに、本実施の形態１に係る制御装置は、監視決定部で、状態取得部で取得した状態と状態取得部で取得した一つ前の状態のリストを結合し、結合したリストの中で重複する通信データを優先的に監視する構成を備えている。これにより可能性の高い通信データから検査することで処理時間の向上を図る状態が変更しても異なる状態のリストへ切り替えることなく監視することができる。
さらに、本実施の形態１に係る制御装置は、監視決定部で、状態取得部で取得した状態と状態取得部で取得した一つ前の状態のリストと二つ前の状態のリストを結合し、結合したリストの中で重複する通信データを優先的に監視する構成を備えている。これにより可能性の高い通信データから検査することで処理時間の向上を図る状態が変更してもリストを切り替えることなく監視することができる。
本願は、例示的な実施の形態が記載されているが、実施の形態に記載された様々な特徴、態様、及び機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。
従って、例示されていない無数の変形例が、本願明細書に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合が含まれるものとする。
従って、例示されていない無数の変形例が、本願明細書に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合が含まれるものとする。
１０ 制御装置、１００ 通信部、１０１ 状態取得部、１０２ 記憶部、１０３ 監視決定部、１０４ 通信監視部、１０５ 異常判定部、１０６ 状態遷移管理部、１０７ 時間計測部、１０８ リスト作成部
Claims (8)
- 制御対象との間でデータの通信を行う制御装置において、前記制御対象に対して制御装置で通信データを送受信する通信部と、前記制御対象の状態を取得する状態取得部と、前記通信部の通信データの正常時の通信データをリストして記憶する記憶部と、前記状態取得部で取得した前記状態の状態遷移情報と前記記憶部の前記リストの関係性から、前記制御対象の状態が切り替わるあらかじめ決められた時間よりも前に前記通信データを受信した場合に、前記リストを変えるまたは変えないことを決定する監視決定部と、前記監視決定部で決定した対象の前記リストの通信データを監視する通信監視部と、前記通信監視部の監視結果と前記リストを比較し、不正データであるか判定する異常判定部と、を備えていることを特徴とする制御装置。
- 前記状態取得部で取得した前記状態の状態遷移情報を基に、遷移する状態を抽出する状態遷移管理部を備え、前記監視決定部は、前記状態取得部で取得した前記制御対象の状態と前記状態遷移管理部で抽出した遷移する状態と前記記憶部の前記リストの関係性から、前記制御対象の状態が切り替わるあらかじめ決められた時間よりも前に前記通信データを受信した場合に、前記リストを変えるまたは変えないことを決定することを特徴とする請求項１に記載の制御装置。
- 前記監視決定部は、前記状態遷移管理部で抽出した遷移する状態に基づいて、前記状態取得部で取得した前記制御対象の状態の前記リストと前記状態取得部で取得した一つ前の状態のリストを結合したリストに決定することを特徴とする請求項２に記載の制御装置。
- 前記状態取得部が状態を取得して次の状態に遷移するまでの時間を計測する時間計測部を備え、前記監視決定部は、 前記時間計測部の計測した時間があらかじめ決められた時間よりも短い場合、前記状態遷移管理部で抽出した遷移する状態に基づいて、前記状態取得部で取得した前記制御対象の状態の前記リストと前記状態取得部で取得した一つ前の状態のリストと二つ前の状態のリストを結合したリストに決定することを特徴とする請求項２に記載の制御装置。
- 前記状態遷移管理部で抽出した遷移する状態に基づいて、前記状態取得部で取得した前記制御対象の状態の前記リストと一つ前の状態のリストを結合したリストがない場合、結合したリストを作成するリスト作成部を備え、前記監視決定部は、前記リスト作成部で作成した前記リストに決定することを特徴とする請求項２に記載の制御装置。
- 前記リスト作成部は、前記状態遷移管理部で抽出した遷移する状態に基づいて、前記状態取得部で取得した前記制御対象の状態の前記リストと一つ前の状態のリストと二つ前の状態のリストを結合したリストがない場合、結合したリストを作成し、前記監視決定部は、前記リスト作成部で作成した前記リストに決定することを特徴とする請求項５に記載の制御装置。
- 前記監視決定部は、前記状態遷移管理部で抽出した遷移する状態に基づいて、前記状態取得部で取得した前記制御対象の状態と一つ前の状態のリストを結合したリストに決定し、監視するリストを結合したリストの中で重複する通信データを優先的に監視することを特徴とする請求項２に記載の制御装置。
- 前記監視決定部は、前記状態遷移管理部で抽出した遷移する状態に基づいて、前記制御対象の状態と一つ前の状態のリストと二つ前の状態のリストを結合したリストに決定し、監視するリストを結合したリストの中で重複する通信データを優先的に監視することを特徴とする請求項２に記載の制御装置。
Priority Applications (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202180103000.2A CN118056199A (zh) | 2021-10-08 | 2021-10-08 | 控制装置 |
| PCT/JP2021/037278 WO2023058212A1 (ja) | 2021-10-08 | 2021-10-08 | 制御装置 |
| JP2023552645A JP7471532B2 (ja) | 2021-10-08 | 2021-10-08 | 制御装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| PCT/JP2021/037278 WO2023058212A1 (ja) | 2021-10-08 | 2021-10-08 | 制御装置 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| WO2023058212A1 true WO2023058212A1 (ja) | 2023-04-13 |
Family
ID=85804048
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| PCT/JP2021/037278 WO2023058212A1 (ja) | 2021-10-08 | 2021-10-08 | 制御装置 |
Country Status (3)
| Country | Link |
|---|---|
| JP (1) | JP7471532B2 (ja) |
| CN (1) | CN118056199A (ja) |
| WO (1) | WO2023058212A1 (ja) |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2010033100A (ja) * | 2006-10-26 | 2010-02-12 | Nec Corp | 通信装置およびネットワークへの不正侵入検知装置 |
| WO2017221373A1 (ja) * | 2016-06-23 | 2017-12-28 | 三菱電機株式会社 | 侵入検知装置および侵入検知プログラム |
| US20180115575A1 (en) * | 2015-03-30 | 2018-04-26 | Volkswagen Aktiengesellschaft | Attack detection method, attack detection device and bus system for a motor vehicle |
| WO2018134939A1 (ja) * | 2017-01-19 | 2018-07-26 | 三菱電機株式会社 | 攻撃検知装置、攻撃検知方法および攻撃検知プログラム |
-
2021
- 2021-10-08 JP JP2023552645A patent/JP7471532B2/ja active Active
- 2021-10-08 WO PCT/JP2021/037278 patent/WO2023058212A1/ja active Application Filing
- 2021-10-08 CN CN202180103000.2A patent/CN118056199A/zh active Pending
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2010033100A (ja) * | 2006-10-26 | 2010-02-12 | Nec Corp | 通信装置およびネットワークへの不正侵入検知装置 |
| US20180115575A1 (en) * | 2015-03-30 | 2018-04-26 | Volkswagen Aktiengesellschaft | Attack detection method, attack detection device and bus system for a motor vehicle |
| WO2017221373A1 (ja) * | 2016-06-23 | 2017-12-28 | 三菱電機株式会社 | 侵入検知装置および侵入検知プログラム |
| WO2018134939A1 (ja) * | 2017-01-19 | 2018-07-26 | 三菱電機株式会社 | 攻撃検知装置、攻撃検知方法および攻撃検知プログラム |
Also Published As
| Publication number | Publication date |
|---|---|
| CN118056199A (zh) | 2024-05-17 |
| JPWO2023058212A1 (ja) | 2023-04-13 |
| JP7471532B2 (ja) | 2024-04-19 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11636196B2 (en) | Misuse detection method, misuse detection electronic control unit, and misuse detection system | |
| CN112204578B (zh) | 使用机器学习在数据接口上检测数据异常 | |
| US10268557B2 (en) | Network monitoring device, network system, and computer program product | |
| CN111492361B (zh) | 用于基于边信道的网络攻击检测的***和方法 | |
| CN106031098A (zh) | 不正常帧应对方法、不正常检测电子控制单元以及车载网络*** | |
| WO2019193786A1 (ja) | ログ出力方法、ログ出力装置及びプログラム | |
| JP2007326425A (ja) | 通信制御ユニット，故障解析センタ，及び故障解析方法 | |
| CN110017994B (zh) | 自动驾驶车辆的异常检测方法、装置、***、设备及介质 | |
| US20210067528A1 (en) | Information processing apparatus, information processing method, and recording medium | |
| KR101781135B1 (ko) | 차량 네트워크 통신보안성 평가 및 모니터링 장치 | |
| KR20180109642A (ko) | 차량 네트워크 통신보안성 평가 및 모니터링 장치 | |
| KR20160009287A (ko) | 차량 전자제어유닛의 이상 진단을 위한 블랙박스장치 및 이의 제어 방법 | |
| US10944775B2 (en) | Authentication device for a vehicle | |
| CN101369141A (zh) | 用于可编程数据处理设备的保护单元 | |
| WO2023058212A1 (ja) | 制御装置 | |
| WO2021260984A1 (ja) | 情報処理装置、情報処理方法及びプログラム | |
| JP6913869B2 (ja) | 監視装置、監視システムおよびコンピュータプログラム | |
| US20190355188A1 (en) | Method for authenticating a diagnostic trouble code generated by a motor vehicle system of a vehicle | |
| EP4201024B1 (en) | Technique for determining a safety-critical state | |
| JP2016149655A (ja) | 管理方法、管理プログラム、管理装置、管理システムおよび情報処理方法 | |
| WO2022244200A1 (ja) | 制御装置 | |
| WO2023084624A1 (ja) | 車載制御装置 | |
| KR101902823B1 (ko) | 차량 네트워크 통신보안성 평가 및 모니터링 장치 | |
| US20230249698A1 (en) | Control apparatus | |
| JP2020145547A (ja) | 不正送信データ検知装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| 121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 21959954 Country of ref document: EP Kind code of ref document: A1 |
|
| WWE | Wipo information: entry into national phase |
Ref document number: 2023552645 Country of ref document: JP |