ホーム > 特許ランキング > 住友電気工業株式会社
知財求人 - 知財ポータルサイト「IP Force」
▶ 住友電気工業株式会社の特許一覧 ▶ 株式会社オートネットワーク技術研究所の特許一覧 ▶ 住友電装株式会社の特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】6760185
(24)【登録日】2020年9月7日
(45)【発行日】2020年9月23日
(54)【発明の名称】中継装置、検知方法および検知プログラム
(51)【国際特許分類】
H04L 12/28 20060101AFI20200910BHJP
【ＦＩ】
H04L12/28 200Z
H04L12/28 100A
【請求項の数】8
【全頁数】45
(21)【出願番号】特願2017-72278(P2017-72278)
(22)【出願日】2017年3月31日
(65)【公開番号】特開2018-174480(P2018-174480A)
(43)【公開日】2018年11月8日
【審査請求日】2019年9月24日
(73)【特許権者】
【識別番号】000002130
【氏名又は名称】住友電気工業株式会社
(73)【特許権者】
【識別番号】395011665
【氏名又は名称】株式会社オートネットワーク技術研究所
(73)【特許権者】
【識別番号】000183406
【氏名又は名称】住友電装株式会社
(74)【代理人】
【識別番号】110000682
【氏名又は名称】特許業務法人ワンディーＩＰパートナーズ
(72)【発明者】
【氏名】呉 ダルマワン
(72)【発明者】
【氏名】浦山 博史
(72)【発明者】
【氏名】萩原 剛志
(72)【発明者】
【氏名】藪内 靖弘
【審査官】
野元 久道
(56)【参考文献】
【文献】
特開２００６−２１７４３７（ＪＰ，Ａ）
(58)【調査した分野】（Int.Cl.，ＤＢ名）
Ｈ０４Ｌ １２／２８
(57)【特許請求の範囲】
【請求項1】
車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置であって、
前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするカウント部と、
前記カウント部のカウント値を監視し、前記カウント部によってカウントされた各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知する検知部とを備え、
各前記対象機能部は、
共通の前記機能部へパケットを送信する機能部であるか、
パケットの送信先ポート番号が同じであること、アドレスが所定範囲に含まれること、属するネットワークの識別子が同じであること、および識別情報が所定の定義情報により定義されていることの少なくともいずれか１つを満たす機能部であるか、または、
同じ機器を含む、中継装置。
前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするカウント部と、
前記カウント部のカウント値を監視し、前記カウント部によってカウントされた各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知する検知部とを備え、
各前記対象機能部は、
共通の前記機能部へパケットを送信する機能部であるか、
パケットの送信先ポート番号が同じであること、アドレスが所定範囲に含まれること、属するネットワークの識別子が同じであること、および識別情報が所定の定義情報により定義されていることの少なくともいずれか１つを満たす機能部であるか、または、
同じ機器を含む、中継装置。
【請求項2】
前記検知部は、前記最大値および前記最小値の差分の推移に基づいて前記不正通信を検知する、請求項１に記載の中継装置。
【請求項3】
前記検知部は、前記推移において前記差分が減少から増加に転じる際の値に基づいて前記不正通信を検知する、請求項２に記載の中継装置。
【請求項4】
前記検知部は、前記推移において前記差分が減少してゼロに達する前に増加に転じた場合、前記不正通信が発生したと判断する、請求項３に記載の中継装置。
【請求項5】
前記カウント部は、前記検知部によって前記不正通信が検知された場合、各前記中継パケット数をリセットする、請求項１から請求項４のいずれか１項に記載の中継装置。
【請求項6】
前記パケットは、所定の順番で各前記対象機能部へ送信され、
前記カウント部は、前記検知部によって前記不正通信が検知された後、前記パケットの中継先となる前記対象機能部が切り替わる際に各前記中継パケット数をリセットする、請求項１から請求項５のいずれか１項に記載の中継装置。
前記カウント部は、前記検知部によって前記不正通信が検知された後、前記パケットの中継先となる前記対象機能部が切り替わる際に各前記中継パケット数をリセットする、請求項１から請求項５のいずれか１項に記載の中継装置。
【請求項7】
車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置における検知方法であって、
前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするステップと、
カウントしたカウント値を監視し、カウントした各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知するステップとを含み、
各前記対象機能部は、
共通の前記機能部へパケットを送信する機能部であるか、
パケットの送信先ポート番号が同じであること、アドレスが所定範囲に含まれること、属するネットワークの識別子が同じであること、および識別情報が所定の定義情報により定義されていることの少なくともいずれか１つを満たす機能部であるか、または、
同じ機器を含む、検知方法。
前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするステップと、
カウントしたカウント値を監視し、カウントした各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知するステップとを含み、
各前記対象機能部は、
共通の前記機能部へパケットを送信する機能部であるか、
パケットの送信先ポート番号が同じであること、アドレスが所定範囲に含まれること、属するネットワークの識別子が同じであること、および識別情報が所定の定義情報により定義されていることの少なくともいずれか１つを満たす機能部であるか、または、
同じ機器を含む、検知方法。
【請求項8】
車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置において用いられる検知プログラムであって、
コンピュータを、
前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするカウント部と、
前記カウント部のカウント値を監視し、前記カウント部によってカウントされた各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知する検知部、
として機能させるためのプログラムであり、
各前記対象機能部は、
共通の前記機能部へパケットを送信する機能部であるか、
パケットの送信先ポート番号が同じであること、アドレスが所定範囲に含まれること、属するネットワークの識別子が同じであること、および識別情報が所定の定義情報により定義されていることの少なくともいずれか１つを満たす機能部であるか、または、
同じ機器を含む、検知プログラム。
コンピュータを、
前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするカウント部と、
前記カウント部のカウント値を監視し、前記カウント部によってカウントされた各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知する検知部、
として機能させるためのプログラムであり、
各前記対象機能部は、
共通の前記機能部へパケットを送信する機能部であるか、
パケットの送信先ポート番号が同じであること、アドレスが所定範囲に含まれること、属するネットワークの識別子が同じであること、および識別情報が所定の定義情報により定義されていることの少なくともいずれか１つを満たす機能部であるか、または、
同じ機器を含む、検知プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、中継装置、検知方法および検知プログラムに関する。
【背景技術】
【0002】
従来、車載ネットワークにおけるセキュリティを向上させるための車載通信システムが開発されている。
【0003】
たとえば、特許文献１（特開２０１６−９２６４５号公報）には、以下のような車載通信システムが開示されている。すなわち、車載通信システムは、外部機器と車載ＬＡＮとの間での通信を中継するゲートウェイと、取得した所定の車両情報に基づき前記車載ＬＡＮを搭載する車両が駐車状態であると判断した場合、前記ゲートウェイによる前記外部機器と前記車載ＬＡＮとの間での通信を禁止する通信可否判断部を備える。
【0004】
また、非特許文献１（朴 駿漢、外３名、“Ｓｌｏｗ Ｒｅａｄ ＤｏＳ攻撃とその対策に関する解析”、Ｃｏｍｐｕｔｅｒ Ｓｅｃｕｒｉｔｙ Ｓｙｍｐｏｓｉｕｍ ２０１４、２０１４年１０月、Ｐ．３５４−３６１）には、ターゲットのＷｅｂサーバがダウンしないことから攻撃の検知が一般に困難なＳｌｏｗ Ｒｅａｄ ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃が記載されている。
【先行技術文献】
【特許文献】
【0005】
【特許文献1】特開２０１６−９２６４５号公報
【非特許文献】
【0006】
【非特許文献1】朴 駿漢、外３名、“Ｓｌｏｗ Ｒｅａｄ ＤｏＳ攻撃とその対策に関する解析”、Ｃｏｍｐｕｔｅｒ Ｓｅｃｕｒｉｔｙ Ｓｙｍｐｏｓｉｕｍ ２０１４、２０１４年１０月、Ｐ．３５４−３６１
【発明の概要】
【発明が解決しようとする課題】
【0007】
特許文献１に車載通信システムでは、車両が駐車している状態において車載ＬＡＮと外部機器との間のゲートウェイを介した通信が禁止されるので、車両外部からゲートウェイを介した車載ＬＡＮへの不正アクセスが防止される。しかしながら、車両が走行している状態では車両外部からの不正アクセスを防止できない。
【0008】
また、非特許文献１に記載の検知方法では、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）コネクションおよびタイムアウト時間を用いて攻撃を検知する。しかしながら、ＴＣＰコネクションを用いないＳｌｏｗ Ｒｅａｄ ＤｏＳ攻撃に対しては、上記の方法を用いた検知が困難である。
【0009】
この発明は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおいて良好なセキュリティを提供することが可能な中継装置、検知方法および検知プログラムを提供することである。
【課題を解決するための手段】
【0010】
（１）上記課題を解決するために、この発明のある局面に係わる中継装置は、車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置であって、前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするカウント部と、前記カウント部のカウント値を監視し、前記カウント部によってカウントされた各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知する検知部とを備える。
【0011】
（１２）上記課題を解決するために、この発明のある局面に係わる検知方法は、車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置における検知方法であって、前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするステップと、カウントしたカウント値を監視し、カウントした各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知するステップとを含む。
【0012】
（１３）上記課題を解決するために、この発明のある局面に係わる検知プログラムは、車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置において用いられる検知プログラムであって、コンピュータを、前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするカウント部と、前記カウント部のカウント値を監視し、前記カウント部によってカウントされた各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知する検知部、として機能させるためのプログラムである。
【0013】
本発明は、このような特徴的な処理部を備える中継装置として実現することができるだけでなく、中継装置を備える車載通信システムとして実現することができる。また、本発明は、中継装置の一部または全部を実現する半導体集積回路として実現することができる。
【発明の効果】
【0014】
本発明によれば、車載ネットワークにおいて良好なセキュリティを提供することができる。
【図面の簡単な説明】
【0015】
【発明を実施するための形態】
【0016】
最初に、本発明の実施形態の内容を列記して説明する。
【0017】
（１）本発明の実施の形態に係る中継装置は、車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置であって、前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするカウント部と、前記カウント部のカウント値を監視し、前記カウント部によってカウントされた各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知する検知部とを備える。
【0018】
各対象機能部は同類であるので、各対象機能部への中継パケット数は同数であると考えられる。そして、各対象機能部への中継パケット数をカウントし、カウントした各中継パケット数の最大値および最小値に基づいて、対象機能部への不正通信を検知する構成により、たとえば、同数であるべき各中継パケット数のばらつきに基づいて、Ｓｌｏｗ Ｒｅａｄ ＤｏＳ攻撃のような車載ネットワークにおける末端に位置する機能部において検知困難な不正通信を検知することができる。また、各中継パケット数をカウントする構成により、通信プロトコルに関わらず不正通信を検知することができる。具体的には、中継されるパケットが、ＴＣＰコネクションを用いないＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）パケットおよびＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）におけるメッセージである場合においても、Ｓｌｏｗ Ｒｅａｄ ＤｏＳ攻撃を検知することができる。また、車両の走行状態に関係なく中継装置が動作する構成により、車両が駐車している状態に加えて、車両が走行している状態においても不正通信を検知することができる。したがって、車載ネットワークにおいて良好なセキュリティを提供することができる。
【0019】
（２）好ましくは、前記パケットは、各前記対象機能部へ順番に送信され、前記検知部は、前記順番における最後の前記対象機能部以外の前記対象機能部への不正通信を検知可能である。
【0020】
パケットが各対象機能部へ順番に送信される場合において、不正侵入パケットが無いケースでは最大値と最小値とが同じ値となるタイミングがある。一方、最後の対象機能部以外の対象機能部への１つ以上の不正侵入パケットがあるケースでは、最大値と最小値とが同じ値となるタイミングがなくなる。このような相違に着目した上記構成により、最後の対象機能部以外の対象機能部への１つ以上の不正侵入パケットがあったことを検知することができる。
【0021】
（３）好ましくは、前記検知部は、不正通信において２つ以上のパケットがいずれか１つの前記対象機能部へ中継された場合に前記不正通信を検知可能である。
【0022】
不正侵入パケットの個数が少ないケースでは、不正侵入パケットがあっても最大値と最小値とが同じ値となるタイミングがあるが、不正侵入パケットの個数がさらに増加すると、最大値と最小値とが同じ値となるタイミングがなくなる。このような相違に着目した上記構成により、対象機能部への不正侵入パケットがあったことを検知することができる。
【0023】
（４）好ましくは、各前記対象機能部は、共通の前記機能部へパケットを送信する機能部である。
【0024】
このような構成により、たとえば、各対象機能部が共通の機能部からの要求に応じて当該共通の機能部へパケットを送信する場合、当該要求を含むパケットが各対象機能部へ同様に中継されるので、当該要求を含むパケットを各対象機能部への中継数が同数となるパケットとして用いることができる。
【0025】
（５）好ましくは、各前記対象機能部は、パケットの送信先ポート番号が同じであること、アドレスが所定範囲に含まれること、属するネットワークの識別子が同じであること、および所定の定義情報により定義されていることの少なくともいずれか１つを満たす機能部である。
【0026】
上記パケットの到着先のアプリケーションが同じである可能性が高いので、上記パケットが同様に各対象機能部へ伝送されると考えられる。また、各対象機能部のアドレスが類似している可能性が高いので、上記パケットが同様に各対象機能部へ伝送されると考えられる。また、各対象機能部が同じネットワークに属しているので、上記パケットが同様に各対象機能部へ伝送されると考えられる。また、たとえば、上記パケットが同様に伝送される機能部が定義情報に含まれる場合、上記パケットが同様に各対象機能部へ伝送されると考えられる。このようなパケットを、各対象機能部への中継数が同数となるパケットとして用いることができる。
【0027】
（６）好ましくは、各前記対象機能部は、同類の機器を含む。
【0028】
各対象機能部に含まれる機器が同じ動作を行う可能性が高いので、たとえば、当該機器への命令を含むパケットが各対象機能部へ同様に伝送されると考えられる。このようなパケットを、各対象機能部への中継数が同数となるパケットとして用いることができる。
【0029】
（７）好ましくは、前記検知部は、前記最大値および前記最小値の差分の推移に基づいて前記不正通信を検知する。
【0030】
不正侵入パケットが無いケースでは、差分は、時間の経過とともに減少してゼロになった後、増加する。一方、不正侵入パケットがあるケースでは、差分は、時間の経過とともに減少してゼロより大きい値になった後、増加する。このような、差分の時間的推移の相違に着目し、不正なパケットが車載ネットワークへ侵入したことを検知することができる。
【0031】
（８）より好ましくは、前記検知部は、前記推移において前記差分が減少から増加に転じる際の値に基づいて前記不正通信を検知する。
【0032】
不正なパケットが侵入した場合における上記値が、不正なパケットが侵入しない場合における上記値と異なることに着目し、不正通信を簡易に検知することができる。
【0033】
（９）より好ましくは、前記検知部は、前記推移において前記差分が減少してゼロに達する前に増加に転じた場合、前記不正通信が発生したと判断する。
【0034】
このような構成により、不正なパケットが侵入してから不正通信の発生の判断までの時間を短くすることができるので、検知の遅れを防ぐことができる。
【0035】
（１０）好ましくは、前記カウント部は、前記検知部によって前記不正通信が検知された場合、各前記中継パケット数をリセットする。
【0036】
このような構成により、不正通信が発生していないのに不正通信が発生していると誤って判断してしまうことを防ぐことができる。
【0037】
（１１）好ましくは、前記パケットは、所定の順番で各前記対象機能部へ送信され、前記カウント部は、前記検知部によって前記不正通信が検知された後、前記パケットの中継先となる前記対象機能部が切り替わる際に各前記中継パケット数をリセットする。
【0038】
このように、順番の区切りのタイミングで各中継パケット数をリセットする構成により、上記所定の順番の途中から検知処理を再開することができる。すなわち、実質的な初期状態から検知処理を再開することができる。
【0039】
（１２）本発明の実施の形態に係る検知方法は、車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置における検知方法であって、前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするステップと、カウントしたカウント値を監視し、カウントした各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知するステップとを含む。
【0040】
各対象機能部は同類であるので、各対象機能部への中継パケット数は同数であると考えられる。そして、各対象機能部への中継パケット数をカウントし、カウントした各中継パケット数の最大値および最小値に基づいて、対象機能部への不正通信を検知する構成により、たとえば、同数であるべき各中継パケット数のばらつきに基づいて、Ｓｌｏｗ Ｒｅａｄ ＤｏＳ攻撃のような車載ネットワークにおける末端に位置する機能部において検知困難な不正通信を検知することができる。また、各中継パケット数をカウントする構成により、通信プロトコルに関わらず不正通信を検知することができる。具体的には、中継されるパケットが、ＴＣＰコネクションを用いないＵＤＰパケットおよびＣＡＮにおけるメッセージである場合においても、Ｓｌｏｗ Ｒｅａｄ ＤｏＳ攻撃を検知することができる。また、車両の走行状態に関係なく中継装置が動作する構成により、車両が駐車している状態に加えて、車両が走行している状態においても不正通信を検知することができる。したがって、車載ネットワークにおいて良好なセキュリティを提供することができる。
【0041】
（１３）本発明の実施の形態に係る検知プログラムは、車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置において用いられる検知プログラムであって、コンピュータを、前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするカウント部と、前記カウント部のカウント値を監視し、前記カウント部によってカウントされた各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知する検知部、として機能させるためのプログラムである。
【0042】
各対象機能部は同類であるので、各対象機能部への中継パケット数は同数であると考えられる。そして、各対象機能部への中継パケット数をカウントし、カウントした各中継パケット数の最大値および最小値に基づいて、対象機能部への不正通信を検知する構成により、たとえば、同数であるべき各中継パケット数のばらつきに基づいて、Ｓｌｏｗ Ｒｅａｄ ＤｏＳ攻撃のような車載ネットワークにおける末端に位置する機能部において検知困難な不正通信を検知することができる。また、各中継パケット数をカウントする構成により、通信プロトコルに関わらず不正通信を検知することができる。具体的には、中継されるパケットが、ＴＣＰコネクションを用いないＵＤＰパケットおよびＣＡＮにおけるメッセージである場合においても、Ｓｌｏｗ Ｒｅａｄ ＤｏＳ攻撃を検知することができる。また、車両の走行状態に関係なく中継装置が動作する構成により、車両が駐車している状態に加えて、車両が走行している状態においても不正通信を検知することができる。したがって、車載ネットワークにおいて良好なセキュリティを提供することができる。
【0043】
以下、本発明の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。
【0045】
図１を参照して、車載通信システム３０１は、スイッチ装置１０１と、複数の機能部１１１とを備える。車載通信システム３０１は、車両１に搭載される。
【0046】
この例では、ＬｉＤＡＲ（Ｌｉｇｈｔ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｒａｎｇｉｎｇ）１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄは、同類の複数の機能部１１１（以下、対象機能部とも称する。）の一例である。ＡＤＡＳ（Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ Ａｓｓｉｓｔａｎｃｅ Ｓｙｓｔｅｍ）１１１Ｅは、他の機能部１１１の一例である。
【0047】
以下、ＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄの各々を、ＬｉＤＡＲ１１１とも称する。
【0048】
ＬｉＤＡＲ１１１Ａ〜１１１Ｄは、たとえば、レーザ光を照射するためのレーザ機器、および物体によるレーザ光の散乱光を受光するための受光素子等の同類の機器を含む。
【0049】
ＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄは、それぞれ、自己の車両１の左部、右部、前部および後部に設けられ、車両１に対して左側、右側、前側および後側に位置する物体を検知することが可能である。
【0050】
ＬｉＤＡＲ１１１は、ＡＤＡＳ１１１Ｅからの計測要求に応じて、車両１の周囲における物体の有無を計測する。
【0051】
ＡＤＡＳ１１１Ｅは、たとえば、車両１の運転支援を行うことが可能である。より詳細には、ＡＤＡＳ１１１Ｅは、各ＬｉＤＡＲ１１１による計測結果を当該各ＬｉＤＡＲ１１１から取得し、取得した計測結果に基づいて運転支援を行う。
【0052】
なお、機能部１１１は、ＬｉＤＡＲ１１１およびＡＤＡＳ１１１Ｅに限らず、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｕｎｉｔ）、ゲートウェイ装置、ヒューマンマシンインタフェース、カメラ、ミリ波センサ、およびナビゲーション装置等であってもよい。
【0053】
車載ネットワークにおけるスイッチ装置１０１と各機能部１１１との接続関係は、たとえば固定されている。
【0054】
スイッチ装置１０１は、たとえば、車載のイーサネット（登録商標）通信用のケーブル（以下、イーサネットケーブルとも称する。）により機能部１１１と接続されている。
【0055】
スイッチ装置１０１および機能部１１１は、たとえばイーサネットケーブルを用いて互いに通信を行うことが可能である。
【0056】
具体的には、スイッチ装置１０１および機能部１１１は、たとえば、ＩＥＥＥ８０２．３に従うイーサネットフレームを用いて情報のやり取りを行うことが可能である。
【0057】
スイッチ装置１０１は、車両１に搭載される複数の機能部１１１間のデータを中継する中継処理を行う。
【0058】
具体的には、スイッチ装置１０１は、たとえば、ＡＤＡＳ１１１ＥからＬｉＤＡＲ１１１Ａ〜１１１Ｄへそれぞれ伝送されるイーサネットフレームを中継する。また、スイッチ装置１０１は、ＬｉＤＡＲ１１１Ａ〜１１１ＤからＡＤＡＳ１１１Ｅへそれぞれ伝送されるイーサネットフレームを中継する。
【0059】
より詳細には、ＡＤＡＳ１１１Ｅは、たとえば、所定の取得周期ごとに、ＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄをそれぞれ宛先とする４つのＩＰパケットを作成する。
【0060】
以下、宛先をＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１ＤとするＩＰパケットを、それぞれ対象パケットＡ，Ｂ，Ｃ，Ｄとも称する。また、対象パケットＡ，Ｂ，Ｃ，Ｄの各々を、対象パケットとも称する。
【0061】
対象パケットＡ，Ｂ，Ｃ，Ｄには、ＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１ＤのＩＰアドレスがそれぞれ宛先ＩＰアドレスとして含まれる。対象パケットには、ＡＤＡＳ１１１ＥのＩＰアドレスが差出元ＩＰアドレスとして含まれる。
【0062】
また、対象パケットには、たとえばＵＤＰパケットが含まれる。各ＵＤＰパケットのヘッダおよびペイロードには、同じ送信先ポート番号、および計測要求等がそれぞれ含まれる。
【0063】
ＡＤＡＳ１１１Ｅは、対象パケットＡ，Ｂ，Ｃ，Ｄをそれぞれ含む４つのイーサネットフレームを作成する。
【0064】
対象パケットＡ，Ｂ，Ｃ，Ｄをそれぞれ含む４つのイーサネットフレームには、ＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１ＤのＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスがそれぞれ宛先ＭＡＣアドレスとして含まれる。
【0065】
また、これら４つのイーサネットフレームには、ＡＤＡＳ１１１ＥのＭＡＣアドレスが差出元ＭＡＣアドレスとして含まれる。
【0066】
対象パケットは、たとえば所定の順番で各対象機能部へ送信される。この例では、ＡＤＡＳ１１１Ｅは、対象パケットＡ，Ｂ，Ｃ，Ｄをそれぞれ含む４つのイーサネットフレームを、この順番で、スイッチ装置１０１経由でＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄへ送信する。以下、この送信パターンを、シングルパケットパターンとも称する。
【0067】
各対象機能部は、たとえばパケットの受信ポート番号が同じ機能部１１１である。この例では、ＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄは、レーザ機器および受光素子等を動作させるための共通のアプリケーションを有している。ＡＤＡＳ１１１ＥからのＵＤＰパケットの宛先が、このアプリケーションである。すなわち、ＵＤＰパケットのヘッダに含まれる送信先ポート番号の示す宛先が、このアプリケーションである。
【0068】
ＬｉＤＡＲ１１１Ａにおけるアプリケーションは、自己のＬｉＤＡＲ１１１ＡがＡＤＡＳ１１１Ｅから受信したイーサネットフレームに含まれる計測要求を取得する。
【0069】
そして、ＬｉＤＡＲ１１１Ａは、取得した計測要求に従ってレーザ機器および受光素子等を制御することにより車両１の周囲における物体の有無を計測し、計測結果を含むＵＤＰパケットを作成する。
【0070】
ＬｉＤＡＲ１１１Ｂ，１１１Ｃ，１１１Ｄにおけるアプリケーションも、ＬｉＤＡＲ１１１Ａにおけるアプリケーションと同様の処理を行う。
【0071】
各対象機能部は、たとえば、共通の機能部１１１へパケットを送信する。この例では、ＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄは、計測結果を含むＵＤＰパケットをＡＤＡＳ１１１Ｅへ送信する。
【0072】
より詳細には、ＬｉＤＡＲ１１１Ａは、アプリケーションにより作成されたＵＤＰパケットをＩＰパケットに格納した後、当該ＩＰパケットを含むイーサネットフレームを作成し、作成したイーサネットフレームをスイッチ装置１０１経由でＡＤＡＳ１１１Ｅへ送信する。
【0073】
ＬｉＤＡＲ１１１Ｂ，１１１Ｃ，１１１Ｄも、ＬｉＤＡＲ１１１Ａと同様にイーサネットフレームを作成し、作成したイーサネットフレームをスイッチ装置１０１経由でＡＤＡＳ１１１Ｅへ送信する。
【0074】
［課題］車載通信システム３０１において、たとえば、ＡＤＡＳ１１１ＥからＬｉＤＡＲ１１１Ａ〜１１１Ｄへの通信経路の一部が不正通信により不通になっている場合、ＡＤＡＳ１１１ＥからＬｉＤＡＲ１１１Ａ〜１１１Ｄへそれぞれ伝送されるＵＤＰパケットのうち、一部が欠落することがある。
【0075】
これに対して、たとえば末端のＬｉＤＡＲ１１１において通信タイムアウト時間を設定することにより、最後にＵＤＰパケットを受信してからの経過時間と通信タイムアウト時間との大小関係に基づいてＵＤＰパケットの欠落を検知することが可能である。
【0076】
また、ＬｉＤＡＲ１１１が、ＵＤＰパケットを高頻度で送りつけられるＤｏＳ攻撃を受けることがある。具体的には、たとえば、車載通信システム３０１における各機能部１１１のうちの一部が、ＤｏＳ攻撃を行う偽の機能部（以下、偽機能部とも称する。）にすり替えられた車載ネットワークにおいて、ＬｉＤＡＲ１１１は偽機能部からＤｏＳ攻撃を受ける。
【0077】
このようなＤｏＳ攻撃に対して、たとえば、スイッチ装置１０１およびＬｉＤＡＲ１１１においてＵＤＰパケットの受信頻度についてのしきい値を設定することにより、ＵＤＰパケットの受信頻度がしきい値以上であることに基づいてＤｏＳ攻撃を検知する方法が考えられる。
【0078】
しかしながら、偽機能部が、たとえば、ＡＤＡＳ１１１Ｅが各ＬｉＤＡＲ１１１へ正規の計測要求を要求する頻度と同程度で、不正なＵＤＰパケットを伝送する場合、スイッチ装置１０１およびＬｉＤＡＲ１１１におけるＵＤＰパケットの受信頻度が上記しきい値より小さくなる可能性が高くなる。
【0079】
このようなスローＤｏＳ攻撃を、上記の方法を用いて検知することは困難であるため、スローＤｏＳ攻撃を検知するための技術が求められる。
【0080】
そこで、本発明の第１の実施の形態に係るスイッチ装置では、以下のような構成および動作により、このような課題を解決する。
【0082】
図２を参照して、スイッチ装置（中継装置）１０１は、スイッチ部３１と、カウント部３２と、検知部３３と、複数の通信ポート３４と、記憶部３５とを備える。
【0083】
通信ポート３４は、イーサネットケーブルを介して機能部１１１に接続されている。通信ポート３４には、固有のポート番号が割り当てられる。
【0084】
以下、説明を分かり易くするために、イーサネットケーブルを介してＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄにそれぞれ接続される通信ポート３４を、通信ポート３４Ａ，３４Ｂ，３４Ｃ，３４Ｄとも称する。また、イーサネットケーブルを介してＡＤＡＳ１１１Ｅに接続される通信ポート３４を、通信ポート３４Ｅとも称する。
【0085】
通信ポート３４は、たとえば、接続先の機能部１１１からイーサネットフレームを受信して、受信したイーサネットフレームのフィルタリング処理等のフレーム処理を行う。そして、通信ポート３４は、処理後のイーサネットフレームをスイッチ部３１へ出力する。
【0086】
また、通信ポート３４は、スイッチ部３１からイーサネットフレームを受けて、受けたイーサネットフレームを接続先の機能部１１１へ送信する。
【0087】
スイッチ部３１は、たとえばＬ２スイッチとして動作し、イーサネットフレームの中継処理を行う。
【0088】
より詳細には、スイッチ部３１は、通信ポート３４からイーサネットフレームを受けると、受けたイーサネットフレームに含まれる宛先ＭＡＣアドレスを参照する。
【0089】
スイッチ部３１は、たとえば、宛先ＭＡＣアドレスと出力先の通信ポート３４のポート番号との対応関係を示すＡＲＬ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｌｏｇｉｃ）テーブルを保持する。
【0090】
ＡＲＬテーブルの内容は、上述したように固定されている接続関係に基づいて、たとえばユーザにより予め定められている。
【0091】
スイッチ部３１は、参照した宛先ＭＡＣアドレスに対応するポート番号をＡＲＬテーブルから取得し、受信したイーサネットフレームを、取得したポート番号に対応する通信ポート３４経由で機能部１１１へ送信する。
【0092】
なお、スイッチ部３１は、レイヤ３（Ｌ３）スイッチとしても動作可能な構成であってもよい。
【0093】
図３は、本発明の第１の実施の形態に係るスイッチ装置が正常な各対象パケットを中継した場合における、差分の時間的推移の一例を示す図である。なお、図３において、横軸は時間を示し、縦軸は差分Ｄｉｆを示す。
【0094】
図１〜図３を参照して、スイッチ装置１０１における記憶部３５には、たとえばユーザにより作成された設定ファイルが登録されている。設定ファイルには、カウント部３２がカウントすべきパケットの条件が含まれる。
【0095】
より詳細には、設定ファイルには、監視対象の通信ポート３４のポート番号、ＩＰパケットの差出元ＩＰアドレスおよび宛先ＩＰアドレス、通信プロトコル番号、ＵＤＰパケットまたはＴＣＰパケットの差出元ポート番号および宛先ポート番号、ならびにイーサネットフレームの差出元ＭＡＣアドレスおよび宛先ＭＡＣアドレス等に基づく条件が含まれる。
【0096】
この例では、設定ファイルには、条件ＣＡ〜ＣＤが含まれる。条件ＣＡは、たとえば、差出元ＩＰアドレスおよび宛先ポート番号としてそれぞれＡＤＡＳ１１１ＥのＩＰアドレスおよび２３４５番を含むパケットが通信ポート３４Ａから送信されることである。ここで、２３４５番は、対象パケットＡ，Ｂ，Ｃ，Ｄに含まれる宛先ポート番号の一例である。
【0097】
条件ＣＢは、たとえば、差出元ＩＰアドレスおよび宛先ポート番号としてそれぞれＡＤＡＳ１１１ＥのＩＰアドレスおよび２３４５番を含むパケットが通信ポート３４Ｂから送信されることである。
【0098】
条件ＣＣは、たとえば、差出元ＩＰアドレスおよび宛先ポート番号としてそれぞれＡＤＡＳ１１１ＥのＩＰアドレスおよび２３４５番を含むパケットが通信ポート３４Ｃから送信されることである。
【0099】
条件ＣＤは、たとえば、差出元ＩＰアドレスおよび宛先ポート番号としてそれぞれＡＤＡＳ１１１ＥのＩＰアドレスおよび２３４５番を含むパケットが通信ポート３４Ｄから送信されることである。
【0100】
カウント部３２は、中継処理において対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントする。
【0101】
より詳細には、カウント部３２は、記憶部３５に登録された設定ファイルの内容に従って、通信ポート３４において送受信されるパケット数をカウントする。
【0102】
この例では、カウント部３２は、設定ファイルに含まれる条件ＣＡ，ＣＢ，ＣＣ，ＣＤを用いて、通信ポート３４Ａ，３４Ｂ，３４Ｃ，３４ＣからＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄへそれぞれ送信される対象パケットＡ，Ｂ，Ｃ，Ｄの個数をカウントする。
【0103】
また、カウント部３２は、偽機能部からＬｉＤＡＲ１１１へ伝送される、対象パケットＡ，Ｂ，Ｃ，Ｄのうちのいずれか１つを偽装した不正侵入パケットの個数もカウントする。
【0104】
具体的には、カウント部３２は、たとえば、カウント値ＮＡ，ＮＢ，ＮＣ，ＮＤをカウントするための４つの送信カウンタを保持する。
【0105】
ここで、カウント値ＮＡは、対象パケットＡの個数、および対象パケットＡを偽装した不正侵入パケットの個数の合計を示す。カウント値ＮＢは、対象パケットＢの個数、および対象パケットＢを偽装した不正侵入パケットの個数の合計を示す。カウント値ＮＣは、対象パケットＣの個数、および対象パケットＣを偽装した不正侵入パケットの個数の合計を示す。カウント値ＮＤは、対象パケットＤの個数、および対象パケットＤを偽装した不正侵入パケットの個数の合計を示す。
【0106】
以下、カウント値ＮＡ，ＮＢ，ＮＣ，ＮＤをまとめて、総合カウント値（ＮＡ，ＮＢ，ＮＣ，ＮＤ）とも表す。総合カウント値は、初期状態において（０，０，０，０）である。
【0107】
カウント部３２は、通信ポート３４ＡがＬｉＤＡＲ１１１Ａへの対象パケットＡをタイミングｔ１において送信すると、カウント値ＮＡをインクリメントする。このとき、総合カウント値は、（１，０，０，０）である。
【0108】
検知部３３は、カウント部３２のカウント値を監視する。より詳細には、検知部３３は、たとえば、カウント部３２によってカウントされた各中継パケット数の最大値および最小値の差分Ｄｉｆの時間的推移を監視する。
【0109】
具体的には、検知部３３は、カウント部３２における総合カウント値を監視し、総合カウント値が更新されるごとに最大値および最小値の差分Ｄｉｆを算出する。
【0110】
より具体的には、検知部３３は、タイミングｔ１において総合カウント値が（１，０，０，０）に更新されると、最大値および最小値として１およびゼロをそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0111】
次に、カウント部３２は、通信ポート３４ＡがＬｉＤＡＲ１１１Ｂへの対象パケットＢをタイミングｔ２において送信すると、カウント値ＮＢをインクリメントする。
【0112】
検知部３３は、タイミングｔ２において総合カウント値が（１，１，０，０）に更新されると、最大値および最小値として１およびゼロをそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0113】
次に、カウント部３２は、通信ポート３４ＣがＬｉＤＡＲ１１１Ｃへの対象パケットＣをタイミングｔ３において送信すると、カウント値ＮＣをインクリメントする。
【0114】
検知部３３は、タイミングｔ３において総合カウント値が（１，１，１，０）に更新されると、最大値および最小値として１およびゼロをそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0115】
次に、カウント部３２は、通信ポート３４ＤがＬｉＤＡＲ１１１Ｄへの対象パケットＤをタイミングｔ４において送信すると、カウント値ＮＤをインクリメントする。
【0116】
検知部３３は、タイミングｔ４において総合カウント値が（１，１，１，１）に更新されると、最大値および最小値として１を取得し、差分Ｄｉｆとしてゼロを算出する。
【0117】
検知部３３は、カウント部３２によってカウントされた各中継パケット数の最大値および最小値に基づいて、対象機能部への不正通信を検知する。
【0118】
詳細には、検知部３３は、たとえば、所定の順番における最後の対象機能部以外の対象機能部への不正通信を検知可能である。
【0119】
この例では、検知部３３は、対象パケットＡ，Ｂ，Ｃ，Ｄがシングルパケットパターンで送信されるので、対象パケットＤの送信先であるＬｉＤＡＲ１１１Ｄ以外のＬｉＤＡＲ１１１Ａ〜１１１Ｃへの１つ以上の不正侵入パケットを検知可能である。ここで、ＬｉＤＡＲ１１１Ｄへの不正通信の検知については後述する。
【0120】
検知部３３は、たとえば、最大値および最小値の差分Ｄｉｆの時間的推移に基づいて不正通信を検知する。
【0121】
具体的には、検知部３３は、たとえば、差分Ｄｉｆの時間的推移において差分Ｄｉｆが減少から増加に転じる際の値に基づいて不正通信を検知する。
【0122】
より具体的には、検知部３３は、たとえば、差分Ｄｉｆの時間的推移において差分Ｄｉｆが減少してゼロに達する前に増加に転じた場合、不正通信が発生したと判断する。
【0123】
図３に示す時間的推移の場合、差分Ｄｉｆが減少してゼロに達する前に増加に転じないため、検知部３３は、不正通信が発生していないと判断する。
【0124】
図４は、本発明の第１の実施の形態に係るスイッチ装置が正常な各対象パケットおよび不正侵入パケットを中継した場合における、差分の時間的推移の一例を示す図である。
【0127】
また、偽機能部は、不正侵入パケットをスイッチ装置１０１経由でＬｉＤＡＲ１１１Ｂへ送信する。
【0128】
スイッチ装置１０１におけるカウント部３２は、通信ポート３４Ａおよび３４Ｂがそれぞれ対象パケットＡおよびＬｉＤＡＲ１１１Ｂへの不正侵入パケットをタイミングｔ５において送信すると、以下の処理を行う。
【0129】
すなわち、カウント部３２は、カウント値ＮＡおよびカウント値ＮＢをそれぞれインクリメントする。このとき、総合カウント値は、（２，２，１，１）である。
【0130】
検知部３３は、タイミングｔ５において総合カウント値が（２，２，１，１）に更新されると、最大値および最小値として２および１をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0131】
次に、カウント部３２は、通信ポート３４Ｂが対象パケットＢをタイミングｔ６において送信すると、カウント値ＮＢをインクリメントする。
【0132】
検知部３３は、タイミングｔ６において総合カウント値が（２，３，１，１）に更新されると、最大値および最小値として３および１をそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【0133】
次に、カウント部３２は、通信ポート３４Ｃが対象パケットＣをタイミングｔ７において送信すると、カウント値ＮＣをインクリメントする。
【0134】
検知部３３は、タイミングｔ７において総合カウント値が（２，３，２，１）に更新されると、最大値および最小値として３および１をそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【0135】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤをタイミングｔ８において送信すると、カウント値ＮＤをインクリメントする。
【0136】
検知部３３は、タイミングｔ８において総合カウント値が（２，３，２，２）に更新されると、最大値および最小値として３および２をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0137】
図４に示す時間的推移の場合、差分Ｄｉｆが減少してゼロに達する前に増加に転じないため、検知部３３は、不正通信が発生していないと判断する。
【0138】
図５は、本発明の第１の実施の形態に係るスイッチ装置が不正侵入を検知した場合における、差分の時間的推移の一例を示す図である。
【0139】
なお、図５の見方は、図３と同様である。また、図５には、図４に示すタイミングｔ８より後のスイッチ装置１０１の中継状況が示される。図５では、ＬｉＤＡＲ１１１Ｂへの不正通信（図４参照）の検知について説明するが、ＬｉＤＡＲ１１１Ａ，１１１Ｃへの不正通信の検知についても同様である。
【0141】
スイッチ装置１０１におけるカウント部３２は、通信ポート３４Ａが対象パケットＡをタイミングｔ９において送信すると、カウント値ＮＡをインクリメントする。このとき、総合カウント値は、（３，３，２，２）である。
【0142】
検知部３３は、タイミングｔ９において総合カウント値が（３，３，２，２）に更新されると、最大値および最小値として３および２をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0143】
次に、カウント部３２は、通信ポート３４Ｂが対象パケットＢをタイミングｔ１０において送信すると、カウント値ＮＢをインクリメントする。
【0144】
検知部３３は、タイミングｔ１０において総合カウント値が（３，４，２，２）に更新されると、最大値および最小値として４および２をそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【0145】
検知部３３は、タイミングｔ１０において、差分Ｄｉｆが減少してゼロに達する前に増加に転じたので不正通信が発生したと判断する。
【0146】
検知部３３は、不正通信を検知すると、検知結果を記憶部３５に保存するとともに、検知結果を含むイーサネットフレームをスイッチ部３１経由でたとえば車両１の外部におけるサーバへ送信する検知結果処理を行う。このサーバは、たとえば、車両１における不正侵入に関する情報を収集するサーバであり、車両１の製造メーカー等により運営される。
【0147】
また、検知部３３は、不正通信を検知すると、カウント部３２におけるカウント値ＮＡ〜ＮＤをリセットするためのリセット命令をカウント部３２へ出力する。
【0148】
カウント部３２は、たとえば、検知部３３によって不正通信が検知された場合、各中継パケット数をリセットする。
【0149】
より詳細には、カウント部３２は、たとえば、検知部３３によって不正通信が検知された後、パケットの中継先となる対象機能部が切り替わる際に各中継パケット数をリセットする。
【0150】
具体的には、カウント部３２は、検知部３３からリセット命令を受けると、受けたリセット命令に従って、たとえばリセット準備状態へ遷移する。
【0151】
ここでは、スイッチ装置１０１が直近に送信した対象パケットが対象パケットＢであるので、カウント部３２は、自己のスイッチ装置１０１が対象パケットＢと異なる対象パケットを送信した場合に、対応の送信カウンタのカウント値をインクリメントする前にカウント値ＮＡ〜ＮＤをリセットする。
【0152】
一方、カウント部３２は、自己のスイッチ装置１０１が新たな対象パケットＢを送信した場合、対象パケットＢの送信カウンタのカウント値をインクリメントするが、カウント値ＮＡ〜ＮＤをリセットしない。
【0153】
次に、カウント部３２は、通信ポート３４Ｃが対象パケットＣをタイミングｔ１１において送信すると、リセット準備状態において対象パケットＢと異なる対象パケットＣを送信したので、以下の処理を行う。
【0154】
すなわち、カウント部３２は、総合カウント値を（３，４，２，２）から（０，０，０，０）にリセットするとともに、リセット準備状態から通常状態へ遷移する。
【0155】
そして、カウント部３２は、カウント値ＮＣをインクリメントする。このとき、総合カウント値は、（０，０，１，０）である。
【0156】
検知部３３は、タイミングｔ１１において総合カウント値が（０，０，１，０）に更新されると、最大値および最小値として１およびゼロをそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0157】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤをタイミングｔ１２において送信すると、カウント値ＮＤをインクリメントする。
【0158】
検知部３３は、タイミングｔ１１において総合カウント値が（０，０，１，１）に更新されると、最大値および最小値として１およびゼロをそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0159】
ＡＤＡＳ１１１Ｅは、タイミングｔ１２より後のタイミングにおいて、シングルパケットパターンで新たな対象パケットＡ，Ｂ，Ｃ，Ｄを送信する。
【0160】
カウント部３２は、通信ポート３４Ａ，３４Ｂ，３４Ｃ，３４Ｄが対象パケットＡ，Ｂ，Ｃ，Ｄを、それぞれ、タイミングｔ１３，ｔ１４，ｔ１５，ｔ１６において送信すると、カウント値ＮＡ，ＮＢ，ＮＣ，ＮＤをインクリメントする。
【0161】
総合カウント値は、タイミングｔ１３，ｔ１４，ｔ１５，ｔ１６において、それぞれ（１，０，１，１），（１，１，１，１），（１，１，２，１），（１，１，２，２），である。
【0162】
検知部３３は、タイミングｔ１３，ｔ１４，ｔ１５，ｔ１６において総合カウント値が更新されると、差分Ｄｉｆとして１，０，１，１をそれぞれ算出する。
【0163】
タイミングｔ１３〜ｔ１６において、差分Ｄｉｆが減少してゼロに達する前に増加に転じないため、検知部３３は、不正通信が発生していないと判断する。
【0164】
［シングルパケットパターンでのＬｉＤＡＲ１１１Ｄへの不正通信の検知］図６は、本発明の第１の実施の形態に係るスイッチ装置が正常な各対象パケットおよび不正侵入パケットを中継した場合における、差分の時間的推移の一例を示す図である。
【0167】
また、偽機能部は、不正侵入パケットをスイッチ装置１０１経由でＬｉＤＡＲ１１１Ｄへ送信する。
【0168】
検知部３３は、たとえば、不正通信において２つ以上のパケットがいずれか１つの対象機能部へ中継された場合に不正通信を検知可能である。
【0169】
より詳細には、スイッチ装置１０１におけるカウント部３２は、通信ポート３４Ａおよび３４Ｄがそれぞれ対象パケットＡおよびＬｉＤＡＲ１１１Ｄへの不正侵入パケットをタイミングｔ５において送信すると、以下の処理を行う。
【0170】
すなわち、カウント部３２は、カウント値ＮＡおよびカウント値ＮＤをそれぞれインクリメントする。このとき、総合カウント値は、（２，１，１，２）である。
【0171】
検知部３３は、タイミングｔ５において総合カウント値が（２，１，１，２）に更新されると、最大値および最小値として２および１をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0172】
次に、カウント部３２は、通信ポート３４Ｂが対象パケットＢをタイミングｔ６において送信すると、カウント値ＮＢをインクリメントする。
【0173】
検知部３３は、タイミングｔ６において総合カウント値が（２，２，１，２）に更新されると、最大値および最小値として２および１をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0174】
次に、カウント部３２は、通信ポート３４Ｃが対象パケットＣをタイミングｔ７において送信すると、カウント値ＮＣをインクリメントする。
【0175】
検知部３３は、タイミングｔ７において総合カウント値が（２，２，２，２）に更新されると、最大値および最小値として２を取得し、差分Ｄｉｆとしてゼロを算出する。
【0176】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤをタイミングｔ８において送信すると、カウント値ＮＤをインクリメントする。
【0177】
検知部３３は、タイミングｔ８において総合カウント値が（２，２，２，３）に更新されると、最大値および最小値として３および２をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0178】
図６に示す時間的推移の場合、差分Ｄｉｆが減少してゼロに達する前に増加に転じないため、検知部３３は、不正通信が発生していないと判断する。
【0179】
図７は、本発明の第１の実施の形態に係るスイッチ装置が不正侵入を検知した場合における、差分の時間的推移の一例を示す図である。
【0180】
図７では、ＬｉＤＡＲ１１１Ｄへの不正通信の検知について説明する。なお、図７の見方は、図３と同様である。また、図７には、図６に示すタイミングｔ８より後のスイッチ装置１０１の中継状況が示される。
【0182】
また、偽機能部は、不正侵入パケットをスイッチ装置１０１経由でＬｉＤＡＲ１１１Ｄへ送信する。
【0183】
スイッチ装置１０１におけるカウント部３２は、通信ポート３４Ａが対象パケットＡをタイミングｔ９において送信すると、カウント値ＮＡをインクリメントする。このとき、総合カウント値は、（３，２，２，３）である。
【0184】
検知部３３は、タイミングｔ９において総合カウント値が（３，２，２，３）に更新されると、最大値および最小値として３および２をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0185】
次に、カウント部３２は、通信ポート３４Ｂおよび３４Ｄがそれぞれ対象パケットＢおよびＬｉＤＡＲ１１１Ｄへの不正侵入パケットをタイミングｔ１０において送信すると、以下の処理を行う。
【0186】
すなわち、カウント部３２は、カウント値ＮＢおよびカウント値ＮＤをそれぞれインクリメントする。
【0187】
検知部３３は、タイミングｔ１０において総合カウント値が（３，３，２，４）に更新されると、最大値および最小値として４および２をそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【0188】
次に、カウント部３２は、通信ポート３４Ｃが対象パケットＣをタイミングｔ１１において送信すると、カウント値ＮＣをインクリメントする。
【0189】
検知部３３は、タイミングｔ１１において総合カウント値が（３，３，３，４）に更新されると、最大値および最小値として４および３をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0190】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤをタイミングｔ１２において送信すると、カウント値ＮＤをインクリメントする。
【0191】
検知部３３は、タイミングｔ１２において総合カウント値が（３，３，３，５）に更新されると、最大値および最小値として５および３をそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【0192】
検知部３３は、タイミングｔ１２において、差分Ｄｉｆが減少してゼロに達する前に増加に転じたので不正通信が発生したと判断し、検知結果処理を行う。
【0193】
また、検知部３３は、カウント部３２におけるカウント値ＮＡ〜ＮＤをリセットするためのリセット命令をカウント部３２へ出力する。
【0194】
カウント部３２は、検知部３３からリセット命令を受けると、受けたリセット命令に従ってリセット準備状態へ遷移する。
【0195】
ここでは、スイッチ装置１０１が直近に送信した対象パケットが対象パケットＤであるので、カウント部３２は、自己のスイッチ装置１０１が対象パケットＤと異なる対象パケットを送信した場合に、対応の送信カウンタのカウント値をインクリメントする前にカウント値ＮＡ〜ＮＤをリセットする。
【0196】
ＡＤＡＳ１１１Ｅは、タイミングｔ１２より後のタイミングにおいて、シングルパケットパターンで新たな対象パケットＡ，Ｂ，Ｃ，Ｄを送信する。
【0197】
カウント部３２は、通信ポート３４Ａが対象パケットＡをタイミングｔ１３において送信すると、リセット準備状態において対象パケットＤと異なる対象パケットＡを送信したので、以下の処理を行う。
【0198】
すなわち、カウント部３２は、総合カウント値を（３，３，３，５）から（０，０，０，０）にリセットするとともに、リセット準備状態から通常状態へ遷移する。
【0199】
そして、カウント部３２は、カウント値ＮＡをインクリメントする。このとき、総合カウント値は、（１，０，０，０）である。
【0200】
検知部３３は、タイミングｔ１３において総合カウント値が（１，０，０，０）に更新されると、最大値および最小値として１およびゼロをそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0201】
カウント部３２は、通信ポート３４Ｂ，３４Ｃ，３４Ｄが対象パケットＢ，Ｃ，Ｄを、それぞれ、タイミングｔ１４，ｔ１５，ｔ１６において送信すると、カウント値ＮＢ，ＮＣ，ＮＤをインクリメントする。
【0202】
総合カウント値は、タイミングｔ１４，ｔ１５，ｔ１６において、それぞれ（１，１，０，０），（１，１，１，０），（１，１，１，１）である。
【0203】
検知部３３は、タイミングｔ１４，ｔ１５，ｔ１６において総合カウント値が更新されると、差分Ｄｉｆとして１，１，０をそれぞれ算出する。
【0204】
タイミングｔ１３〜ｔ１６において、差分Ｄｉｆが減少してゼロに達する前に増加に転じないため、検知部３３は、不正通信が発生していないと判断する。
【0205】
なお、本発明の第１の実施の形態に係るスイッチ装置では、カウント部３２は、通信ポート３４が送信するパケットの個数をカウントする構成であるとしたが、これに限定するものではない。カウント部３２は、通信ポート３４が受信するパケットの個数をカウントする構成であってもよいし、スイッチ部３１が受けるパケットの個数をカウントする構成であってもよいし、スイッチ部３１が出力するパケットの個数をカウントする構成であってもよい。
【0206】
［対象パケットの伝送の変形パターン］図８は、本発明の第１の実施の形態に係るスイッチ装置が正常な各対象パケットを中継した場合における、差分の時間的推移の一例を示す図である。なお、図８の見方は、図３と同様である。
【0207】
図１、図２および図８を参照して、ＡＤＡＳ１１１Ｅは、対象パケット群ＧＡ，ＧＢ，ＧＣ，ＧＤを、この順番で、スイッチ装置１０１経由でＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄへそれぞれ送信する。
【0208】
対象パケット群ＧＡは、送信順に、対象パケットＡである対象パケットＡ１，Ａ２，Ａ３を含む。対象パケット群ＧＢは、送信順に、対象パケットＢである対象パケットＢ１，Ｂ２，Ｂ３を含む。対象パケット群ＧＣは、送信順に、対象パケットＣである対象パケットＣ１，Ｃ２，Ｃ３を含む。対象パケット群ＧＤは、送信順に、対象パケットＤである対象パケットＤ１，Ｄ２，Ｄ３を含む。以下、この送信パターンを、マルチパケットパターンとも称する。
【0209】
スイッチ装置１０１におけるカウント部３２は、通信ポート３４Ａが対象パケットＡ１，Ａ２，Ａ３をタイミングｔ１，ｔ２，ｔ３においてそれぞれ送信すると、通信ポート３４Ａが対象パケットＡを送信するごとにカウント値ＮＡをインクリメントする。
【0210】
総合カウント値は、タイミングｔ１，ｔ２，ｔ３において、それぞれ（１，０，０，０），（２，０，０，０），（３，０，０，０）である。
【0211】
検知部３３は、タイミングｔ１，ｔ２，ｔ３において総合カウント値が更新されると、差分Ｄｉｆとして１，２，３をそれぞれ算出する。
【0212】
次に、カウント部３２は、通信ポート３４Ｂが対象パケットＢ１，Ｂ２，Ｂ３をタイミングｔ４，ｔ５，ｔ６においてそれぞれ送信すると、通信ポート３４Ｂが対象パケットＢを送信するごとにカウント値ＮＢをインクリメントする。
【0213】
総合カウント値は、タイミングｔ４，ｔ５，ｔ６において、それぞれ（３，１，０，０），（３，２，０，０），（３，３，０，０）である。
【0214】
検知部３３は、タイミングｔ４，ｔ５，ｔ６において総合カウント値が更新されると、差分Ｄｉｆとして３，３，３をそれぞれ算出する。
【0215】
次に、カウント部３２は、通信ポート３４Ｃが対象パケットＣ１，Ｃ２，Ｃ３をタイミングｔ７，ｔ８，ｔ９においてそれぞれ送信すると、通信ポート３４Ｃが対象パケットＣを送信するごとにカウント値ＮＣをインクリメントする。
【0216】
総合カウント値は、タイミングｔ７，ｔ８，ｔ９において、それぞれ（３，３，１，０），（３，３，２，０），（３，３，３，０）である。
【0217】
検知部３３は、タイミングｔ７，ｔ８，ｔ９において総合カウント値が更新されると、差分Ｄｉｆとして３，３，３をそれぞれ算出する。
【0218】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤ１，Ｄ２，Ｄ３をタイミングｔ１０，ｔ１１，ｔ１２においてそれぞれ送信すると、通信ポート３４Ｄが対象パケットＤを送信するごとにカウント値ＮＤをインクリメントする。
【0219】
総合カウント値は、タイミングｔ１０，ｔ１１，ｔ１２において、それぞれ（３，３，３，１），（３，３，３，２），（３，３，３，３）である。
【0220】
検知部３３は、タイミングｔ１０，ｔ１１，ｔ１２において総合カウント値が更新されると、差分Ｄｉｆとして２，１，０をそれぞれ算出する。
【0221】
図８に示す時間的推移の場合、差分Ｄｉｆが減少してゼロに達する前に増加に転じないため、検知部３３は、不正通信が発生していないと判断する。
【0222】
図９は、本発明の第１の実施の形態に係るスイッチ装置が正常な各対象パケットおよび不正侵入パケットを中継した場合における、差分の時間的推移の一例を示す図である。
【0225】
また、偽機能部は、不正侵入パケットをスイッチ装置１０１経由でＬｉＤＡＲ１１１Ｃへ送信する。
【0226】
スイッチ装置１０１におけるカウント部３２は、通信ポート３４Ａが対象パケットＡ１をタイミングｔ１３において送信すると、カウント値ＮＡをインクリメントする。このとき、総合カウント値は、（４，３，３，３）である。
【0227】
検知部３３は、タイミングｔ１３において総合カウント値が（４，３，３，３）に更新されると、最大値および最小値として４および３をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0228】
次に、カウント部３２は、通信ポート３４Ａおよび３４Ｃがそれぞれ対象パケットＡ２およびＬｉＤＡＲ１１１Ｃへの不正侵入パケットをタイミングｔ１４において送信すると、以下の処理を行う。
【0229】
すなわち、カウント部３２は、カウント値ＮＡおよびカウント値ＮＣをそれぞれインクリメントする。このとき、総合カウント値は、（５，３，４，３）である。
【0230】
検知部３３は、タイミングｔ１４において総合カウント値が（５，３，４，３）に更新されると、最大値および最小値として５および３をそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【0231】
次に、カウント部３２は、通信ポート３４Ａが対象パケットＡ３をタイミングｔ１５において送信すると、カウント値ＮＡをインクリメントする。
【0232】
検知部３３は、タイミングｔ１５において総合カウント値が（６，３，４，３）に更新されると、最大値および最小値として６および３をそれぞれ取得し、差分Ｄｉｆとして３を算出する。
【0233】
次に、カウント部３２は、通信ポート３４Ｂが対象パケットＢ１，Ｂ２，Ｂ３をタイミングｔ１６，ｔ１７，ｔ１８においてそれぞれ送信すると、通信ポート３４Ｂが対象パケットＢを送信するごとにカウント値ＮＢをインクリメントする。
【0234】
総合カウント値は、タイミングｔ１６，ｔ１７，ｔ１８において、それぞれ（６，４，４，３），（６，５，４，３），（６，６，４，３）である。
【0235】
検知部３３は、タイミングｔ１６，ｔ１７，ｔ１８において総合カウント値が更新されると、差分Ｄｉｆとして３，３，３をそれぞれ算出する。
【0236】
次に、カウント部３２は、通信ポート３４Ｃが対象パケットＣ１，Ｃ２，Ｃ３をタイミングｔ１９，ｔ２０，ｔ２１においてそれぞれ送信すると、通信ポート３４Ｃが対象パケットＣを送信するごとにカウント値ＮＣをインクリメントする。
【0237】
総合カウント値は、タイミングｔ１９，ｔ２０，ｔ２１において、それぞれ（６，６，５，３），（６，６，６，３），（６，６，７，３）である。
【0238】
検知部３３は、タイミングｔ１９，ｔ２０，ｔ２１において総合カウント値が更新されると、差分Ｄｉｆとして３，３，４をそれぞれ算出する。
【0239】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤ１，Ｄ２，Ｄ３をタイミングｔ２２，ｔ２３，ｔ２４においてそれぞれ送信すると、通信ポート３４Ｄが対象パケットＤを送信するごとにカウント値ＮＤをインクリメントする。
【0240】
総合カウント値は、タイミングｔ２２，ｔ２３，ｔ２４において、それぞれ（６，６，７，４），（６，６，７，５），（６，６，７，６）である。
【0241】
検知部３３は、タイミングｔ２２，ｔ２３，ｔ２４において総合カウント値が更新されると、差分Ｄｉｆとして３，２，１をそれぞれ算出する。
【0242】
図９に示す時間的推移の場合、差分Ｄｉｆが減少してゼロに達する前に増加に転じないため、検知部３３は、不正通信が発生していないと判断する。
【0243】
図１０は、本発明の第１の実施の形態に係るスイッチ装置が不正侵入を中継する場合における、差分の時間的推移の一例を示す図である。
【0245】
図１０では、ＬｉＤＡＲ１１１Ｃへの不正通信（図９参照）の検知について説明するが、ＬｉＤＡＲ１１１Ａ，１１１Ｂへの不正通信の検知についても同様である。ここで、ＬｉＤＡＲ１１１Ｄへの不正通信の検知については後述する。
【0247】
スイッチ装置１０１におけるカウント部３２は、通信ポート３４Ａが対象パケットＡ１をタイミングｔ２５において送信すると、カウント値ＮＡをインクリメントする。このとき、総合カウント値は、（７，６，７，６）である。
【0248】
検知部３３は、タイミングｔ２５において総合カウント値が（７，６，７，６）に更新されると、最大値および最小値として７および６をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0249】
次に、カウント部３２は、通信ポート３４Ａが対象パケットＡ２をタイミングｔ２６において送信すると、カウント値ＮＡをインクリメントする。
【0250】
検知部３３は、タイミングｔ２６において総合カウント値が（８，６，７，６）に更新されると、最大値および最小値として８および６をそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【0251】
検知部３３は、タイミングｔ２６において、差分Ｄｉｆが減少してゼロに達する前に増加に転じたので不正通信が発生したと判断し、検知結果処理を行う。
【0252】
また、検知部３３は、カウント部３２におけるカウント値ＮＡ〜ＮＤをリセットするためのリセット命令をカウント部３２へ出力する。
【0253】
カウント部３２は、検知部３３からリセット命令を受けると、受けたリセット命令に従ってリセット準備状態へ遷移する。
【0254】
ここでは、スイッチ装置１０１が直近に送信した対象パケットが対象パケットＡ２であるので、カウント部３２は、自己のスイッチ装置１０１が対象パケットＡ１〜Ａ３のいずれとも異なる対象パケットを送信した場合に、対応の送信カウンタのカウント値をインクリメントする前にカウント値ＮＡ〜ＮＤをリセットする。
【0255】
次に、カウント部３２は、通信ポート３４Ａが対象パケットＡ３をタイミングｔ２７において送信すると、カウント値ＮＡ〜ＮＤをリセットせずにカウント値ＮＡをインクリメントする。
【0256】
検知部３３は、タイミングｔ２７において総合カウント値が（９，６，７，６）に更新されると、最大値および最小値として９および６をそれぞれ取得し、差分Ｄｉｆとして３を算出する。
【0257】
次に、カウント部３２は、通信ポート３４Ｂが対象パケットＢ１をタイミングｔ２８において送信すると、自己のスイッチ装置１０１がリセット準備状態において対象パケットＡ１〜Ａ３のいずれとも異なる対象パケットＢ１を送信したので、以下の処理を行う。
【0258】
すなわち、カウント部３２は、総合カウント値を（９，６，７，６）から（０，０，０，０）にリセットするとともに、リセット準備状態から通常状態へ遷移する。
【0259】
そして、カウント部３２は、カウント値ＮＢをインクリメントする。このとき、総合カウント値は、（０，１，０，０）である。
【0260】
検知部３３は、タイミングｔ２８において総合カウント値が（０，１，０，０）に更新されると、最大値および最小値として１およびゼロをそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0261】
次に、カウント部３２は、通信ポート３４Ｂが対象パケットＢ２，Ｂ３をタイミングｔ２９，ｔ３０においてそれぞれ送信すると、通信ポート３４Ｂが対象パケットＢを送信するごとにカウント値ＮＢをインクリメントする。
【0262】
総合カウント値は、タイミングｔ２９，ｔ３０において、それぞれ（０，２，０，０），（０，３，０，０）である。
【0263】
検知部３３は、タイミングｔ２９，ｔ３０において総合カウント値が更新されると、差分Ｄｉｆとして２，３をそれぞれ算出する。
【0264】
次に、カウント部３２は、通信ポート３４Ｃが対象パケットＣ１，Ｃ２，Ｃ３をタイミングｔ３１，ｔ３２，ｔ３３においてそれぞれ送信すると、通信ポート３４Ｃが対象パケットＣを送信するごとにカウント値ＮＣをインクリメントする。
【0265】
総合カウント値は、タイミングｔ３１，ｔ３２，ｔ３３において、それぞれ（０，３，１，０），（０，３，２，０），（０，３，３，０）である。
【0266】
検知部３３は、タイミングｔ３１，ｔ３２，ｔ３３において総合カウント値が更新されると、差分Ｄｉｆとして３，３，３をそれぞれ算出する。
【0267】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤ１，Ｄ２，Ｄ３をタイミングｔ３４，ｔ３５，ｔ３６においてそれぞれ送信すると、通信ポート３４Ｄが対象パケットＤを送信するごとにカウント値ＮＤをインクリメントする。
【0268】
総合カウント値は、タイミングｔ３４，ｔ３５，ｔ３６において、それぞれ（０，３，３，１），（０，３，３，２），（０，３，３，３）である。
【0269】
検知部３３は、タイミングｔ３４，ｔ３５，ｔ３６において総合カウント値が更新されると、差分Ｄｉｆとして３，３，３をそれぞれ算出する。
【0270】
［マルチパケットパターンでのＬｉＤＡＲ１１１Ｄへの不正通信の検知］図１１は、本発明の第１の実施の形態に係るスイッチ装置が正常な各対象パケットおよび不正侵入パケットを中継した場合における、差分の時間的推移の一例を示す図である。
【0273】
また、偽機能部は、３つの不正侵入パケットをスイッチ装置１０１経由でＬｉＤＡＲ１１１Ｄへ送信する。
【0274】
スイッチ装置１０１におけるカウント部３２は、通信ポート３４Ａが対象パケットＡ１をタイミングｔ１３において送信すると、カウント値ＮＡをインクリメントする。このとき、総合カウント値は、（４，３，３，３）である。
【0275】
検知部３３は、タイミングｔ１３において総合カウント値が（４，３，３，３）に更新されると、最大値および最小値として４および３をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0276】
次に、カウント部３２は、通信ポート３４Ａおよび３４Ｄがそれぞれ対象パケットＡ２およびＬｉＤＡＲ１１１Ｄへの不正侵入パケットをタイミングｔ１４において送信すると、以下の処理を行う。
【0277】
すなわち、カウント部３２は、カウント値ＮＡおよびカウント値ＮＤをそれぞれインクリメントする。このとき、総合カウント値は、（５，３，３，４）である。
【0278】
検知部３３は、タイミングｔ１４において総合カウント値が（５，３，３，４）に更新されると、最大値および最小値として５および３をそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【0279】
次に、カウント部３２は、通信ポート３４Ａが対象パケットＡ３をタイミングｔ１５において送信すると、カウント値ＮＡをインクリメントする。
【0280】
検知部３３は、タイミングｔ１３において総合カウント値が（６，３，３，４）に更新されると、最大値および最小値として６および３をそれぞれ取得し、差分Ｄｉｆとして３を算出する。
【0281】
次に、カウント部３２は、通信ポート３４Ｂおよび３４Ｄがそれぞれ対象パケットＢ１およびＬｉＤＡＲ１１１Ｄへの不正侵入パケットをタイミングｔ１６において送信すると、以下の処理を行う。
【0282】
すなわち、カウント部３２は、カウント値ＮＢおよびカウント値ＮＤをそれぞれインクリメントする。このとき、総合カウント値は、（６，４，３，５）である。
【0283】
検知部３３は、タイミングｔ１４において総合カウント値が（６，４，３，５）に更新されると、最大値および最小値として６および３をそれぞれ取得し、差分Ｄｉｆとして３を算出する。
【0284】
次に、カウント部３２は、通信ポート３４Ｂが対象パケットＢ２をタイミングｔ１７において送信すると、カウント値ＮＢをインクリメントする。
【0285】
検知部３３は、タイミングｔ１７において総合カウント値が（６，５，３，５）に更新されると、最大値および最小値として６および３をそれぞれ取得し、差分Ｄｉｆとして３を算出する。
【0286】
次に、カウント部３２は、通信ポート３４Ｂおよび３４Ｄがそれぞれ対象パケットＢ３およびＬｉＤＡＲ１１１Ｄへの不正侵入パケットをタイミングｔ１８において送信すると、以下の処理を行う。
【0287】
すなわち、カウント部３２は、カウント値ＮＢおよびカウント値ＮＤをそれぞれインクリメントする。このとき、総合カウント値は、（６，６，３，６）である。
【0288】
検知部３３は、タイミングｔ１８において総合カウント値が（６，６，３，６）に更新されると、最大値および最小値として６および３をそれぞれ取得し、差分Ｄｉｆとして３を算出する。
【0289】
次に、カウント部３２は、通信ポート３４Ｃが対象パケットＣ１，Ｃ２，Ｃ３をタイミングｔ１９，ｔ２０，ｔ２１においてそれぞれ送信すると、通信ポート３４Ｃが対象パケットＣを送信するごとにカウント値ＮＣをインクリメントする。
【0290】
総合カウント値は、タイミングｔ１９，ｔ２０，ｔ２１において、それぞれ（６，６，４，６），（６，６，５，６），（６，６，６，６）である。
【0291】
検知部３３は、タイミングｔ１９，ｔ２０，ｔ２１において総合カウント値が更新されると、差分Ｄｉｆとして２，１，０をそれぞれ算出する。
【0292】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤ１，Ｄ２，Ｄ３をタイミングｔ２２，ｔ２３，ｔ２４においてそれぞれ送信すると、通信ポート３４Ｄが対象パケットＤを送信するごとにカウント値ＮＤをインクリメントする。
【0293】
総合カウント値は、タイミングｔ２２，ｔ２３，ｔ２４において、それぞれ（６，６，６，７），（６，６，６，８），（６，６，６，９）である。
【0294】
検知部３３は、タイミングｔ２２，ｔ２３，ｔ２４において総合カウント値が更新されると、差分Ｄｉｆとして１，２，３をそれぞれ算出する。
【0295】
図１２は、本発明の第１の実施の形態に係るスイッチ装置が不正侵入を検知した場合における、差分の時間的推移の一例を示す図である。
【0296】
図１２では、ＬｉＤＡＲ１１１Ｄへの不正通信の検知について説明する。なお、図１２の見方は、図３と同様である。また、図１２には、図１１に示すタイミングｔ２４より後のスイッチ装置１０１の中継状況が示される。
【0298】
また、偽機能部は、１つの不正侵入パケットをスイッチ装置１０１経由でＬｉＤＡＲ１１１Ｄへ送信する。
【0299】
スイッチ装置１０１におけるカウント部３２は、通信ポート３４Ａが対象パケットＡ１をタイミングｔ２５において送信すると、カウント値ＮＡをインクリメントする。このとき、総合カウント値は、（７，６，６，９）である。
【0300】
検知部３３は、タイミングｔ２５において総合カウント値が（７，６，６，９）に更新されると、最大値および最小値として９および６をそれぞれ取得し、差分Ｄｉｆとして３を算出する。
【0301】
次に、カウント部３２は、通信ポート３４Ａおよび３４Ｄがそれぞれ対象パケットＡ２およびＬｉＤＡＲ１１１Ｄへの不正侵入パケットをタイミングｔ２６において送信すると、以下の処理を行う。
【0302】
すなわち、カウント部３２は、カウント値ＮＡおよびカウント値ＮＤをそれぞれインクリメントする。このとき、総合カウント値は、（８，６，６，１０）である。
【0303】
検知部３３は、タイミングｔ２６において総合カウント値が（８，６，６，１０）に更新されると、最大値および最小値として１０および６をそれぞれ取得し、差分Ｄｉｆとして４を算出する。
【0304】
次に、カウント部３２は、通信ポート３４Ａが対象パケットＡ３をタイミングｔ２７において送信すると、カウント値ＮＡをインクリメントする。
【0305】
検知部３３は、タイミングｔ２７において総合カウント値が（９，６，６，１０）に更新されると、最大値および最小値として１０および６をそれぞれ取得し、差分Ｄｉｆとして４を算出する。
【0306】
次に、カウント部３２は、通信ポート３４Ｂが対象パケットＢ１，Ｂ２，Ｂ３をタイミングｔ２８，ｔ２９，ｔ３０においてそれぞれ送信すると、通信ポート３４Ｂが対象パケットＢを送信するごとにカウント値ＮＢをインクリメントする。
【0307】
総合カウント値は、タイミングｔ２８，ｔ２９，ｔ３０において、それぞれ（９，７，６，１０），（９，８，６，１０），（９，９，６，１０）である。
【0308】
検知部３３は、タイミングｔ２８，ｔ２９，ｔ３０において総合カウント値が更新されると、差分Ｄｉｆとして４，４，４をそれぞれ算出する。
【0309】
次に、カウント部３２は、通信ポート３４Ｃが対象パケットＣ１，Ｃ２，Ｃ３をタイミングｔ３１，ｔ３２，ｔ３３においてそれぞれ送信すると、通信ポート３４Ｃが対象パケットＣを送信するごとにカウント値ＮＣをインクリメントする。
【0310】
総合カウント値は、タイミングｔ３１，ｔ３２，ｔ３３において、それぞれ（９，９，７，１０），（９，９，８，１０），（９，９，９，１０）である。
【0311】
検知部３３は、タイミングｔ３１，ｔ３２，ｔ３３において総合カウント値が更新されると、差分Ｄｉｆとして３，２，１をそれぞれ算出する。
【0312】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤ１をタイミングｔ３４において送信すると、カウント値ＮＤをインクリメントする。
【0313】
検知部３３は、タイミングｔ３４において総合カウント値が（９，９，９，１１）に更新されると、最大値および最小値として１１および９をそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【0314】
検知部３３は、タイミングｔ３４において、差分Ｄｉｆが減少してゼロに達する前に増加に転じたので不正通信が発生したと判断し、検知結果処理を行う。
【0315】
また、検知部３３は、カウント部３２におけるカウント値ＮＡ〜ＮＤをリセットするためのリセット命令をカウント部３２へ出力する。
【0316】
カウント部３２は、検知部３３からリセット命令を受けると、受けたリセット命令に従ってリセット準備状態へ遷移する。
【0317】
ここでは、スイッチ装置１０１が直近に送信した対象パケットが対象パケットＤ１であるので、カウント部３２は、自己のスイッチ装置１０１が対象パケットＤ１〜Ｄ３のいずれとも異なる対象パケットを送信した場合に、対応の送信カウンタのカウント値をインクリメントする前にカウント値ＮＡ〜ＮＤをリセットする。
【0318】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤ２をタイミングｔ３５において送信すると、カウント値ＮＡ〜ＮＤをリセットせずにカウント値ＮＤをインクリメントする。
【0319】
検知部３３は、タイミングｔ３５において総合カウント値が（９，９，９，１２）に更新されると、最大値および最小値として１２および９をそれぞれ取得し、差分Ｄｉｆとして３を算出する。
【0320】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤ３をタイミングｔ３６において送信すると、カウント値ＮＡ〜ＮＤをリセットせずにカウント値ＮＤをインクリメントする。
【0321】
検知部３３は、タイミングｔ３６において総合カウント値が（９，９，９，１３）に更新されると、最大値および最小値として１３および９をそれぞれ取得し、差分Ｄｉｆとして４を算出する。
【0322】
ＡＤＡＳ１１１Ｅは、タイミングｔ３６より後のタイミングにおいて、マルチパケットパターンで新たな対象パケット群ＧＡ，ＧＢ，ＧＣ，ＧＤを送信する。
【0323】
次に、カウント部３２は、通信ポート３４Ａが対象パケットＡ１をタイミングｔ３７において送信すると、自己のスイッチ装置１０１がリセット準備状態において対象パケットＤ１〜Ｄ３のいずれとも異なる対象パケットＡ１を送信したので、以下の処理を行う。
【0324】
すなわち、カウント部３２は、総合カウント値を（９，９，９，１３）から（０，０，０，０）にリセットするとともに、リセット準備状態から通常状態へ遷移する。
【0325】
そして、カウント部３２は、カウント値ＮＣをインクリメントする。このとき、総合カウント値は、（１，０，０，０）である。
【0326】
検知部３３は、タイミングｔ３７において総合カウント値が（１，０，０，０）に更新されると、最大値および最小値として１およびゼロをそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【0327】
次に、カウント部３２は、通信ポート３４Ａが対象パケットＡ２をタイミングｔ３８において送信すると、カウント値ＮＡをインクリメントする。
【0328】
検知部３３は、タイミングｔ３８において総合カウント値が（２，０，０，０）に更新されると、最大値および最小値として２およびゼロをそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【0329】
次に、カウント部３２は、通信ポート３４Ａが対象パケットＡ３をタイミングｔ３９において送信すると、カウント値ＮＡをインクリメントする。
【0330】
検知部３３は、タイミングｔ３９において総合カウント値が（３，０，０，０）に更新されると、最大値および最小値として３およびゼロをそれぞれ取得し、差分Ｄｉｆとして３を算出する。
【0331】
以下、スイッチ装置１０１が対象パケット群ＧＢ〜ＧＤを中継したときの動作は、図８に示すタイミングｔ４〜ｔ１２における動作と同様である。
【0332】
［動作の流れ］車載通信システム３０１における各装置は、コンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のシーケンス図またはフローチャートの各ステップの一部または全部を含むプログラムを図示しないメモリからそれぞれ読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。
【0333】
図１３は、本発明の第１の実施の形態に係る車載通信システムにおけるスイッチ装置が不正通信の検知を行う際の動作手順を定めたフローチャートである。
【0334】
図１３を参照して、スイッチ装置１０１が通常状態である状況を想定する。まず、スイッチ装置１０１は、対象パケットまたは不正侵入パケットをＬｉＤＡＲ１１１へ送信するまで検知処理を保留する（ステップＳ１０２でＮＯ）。
【0335】
そして、スイッチ装置１０１は、対象パケットまたは不正侵入パケットをＬｉＤＡＲ１１１へ送信すると（ステップＳ１０２でＹＥＳ）、リセット準備状態であり、かつ今回の送信先のＬｉＤＡＲ１１１と前回の送信先のＬｉＤＡＲ１１１とが異なる場合（ステップＳ１０４でＹＥＳおよびステップＳ１０６でＹＥＳ）、カウント値ＮＡ〜ＮＤをリセットするとともに、リセット準備状態から通常状態へ遷移する（ステップＳ１０８）。
【0336】
次に、スイッチ装置１０１は、送信したパケットに対応する送信カウンタのカウント値をインクリメントする（ステップＳ１１０）。
【0337】
次に、スイッチ装置１０１は、カウント値ＮＡ〜ＮＤにおける最大値と最小値との差分Ｄｉｆを算出する（ステップＳ１１２）。
【0338】
次に、スイッチ装置１０１は、差分Ｄｉｆの時間的推移において、差分Ｄｉｆが減少してゼロに達する前に再び増加した場合（ステップＳ１１４でＹＥＳ）、不正通信を検知する（ステップＳ１１６）。
【0339】
次に、スイッチ装置１０１は、検知結果処理を行う（ステップＳ１１８）。
【0340】
次に、スイッチ装置１０１は、通常状態からリセット準備状態へ遷移する（ステップＳ１２０）。
【0341】
次に、スイッチ装置１０１は、差分Ｄｉｆの時間的推移において、差分Ｄｉｆが減少してゼロに達する前に再び増加しない場合（ステップＳ１１４でＮＯ）、またはリセット準備状態へ遷移すると（ステップＳ１２０）、新たな対象パケットまたは不正侵入パケットをＬｉＤＡＲ１１１へ送信するまで検知処理を保留する（ステップＳ１０２でＮＯ）。
【0342】
なお、上記ステップＳ１１６およびＳ１１８と、上記ステップＳ１２０との順番は、上記に限らず、順番を入れ替えてもよい。
【0343】
また、車両１において、故障診断を行うダイアグノシスモード、および維持管理を行うメンテナンスモードの動作が行われることがある。このようなモードでは、対象パケットが各対象機能部へ均等に伝送されないことがある。このため、ダイアグノシスモードおよびメンテナンスモードにおいて、上記動作の流れを無効化する構成であってもよい。
【0344】
また、本発明の第１の実施の形態に係る車載通信システムでは、ＬｉＤＡＲ１１１が対象機能部として動作する構成であるとしたが、これに限定するものではない。車両１に複数設けられたカメラおよびミリ波センサ等が対象機能部として動作する構成であってもよい。
【0345】
また、本発明の第１の実施の形態に係る車載通信システムでは、対象パケットＡ，Ｂ，Ｃ，Ｄは、所定の順番としてこの順番でＡＤＡＳ１１１ＥからＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄへ伝送される構成であるとしたが、これに限定するものではない。対象パケットは、各対象機能部へ順番に送信される構成であってもよい。具体的には、対象パケットＡ，Ｂ，Ｃ，Ｄの伝送順は、取得周期ごとに異なる構成であってもよい。より具体的には、対象パケットＡ，Ｂ，Ｃ，Ｄは、たとえば、３つの連続した取得周期において、対象パケットＡ，Ｂ，Ｃ，Ｄ，Ｂ，Ｃ，Ａ，Ｄ，Ｄ，Ａ，Ｃ，Ｂ等の順番で伝送される構成であってもよい。この場合でも、検知部３３は、上記順番における最後の対象機能部以外の対象機能部への不正通信を検知可能である。
【0346】
また、本発明の第１の実施の形態に係る車載通信システムでは、対象機能部の一例であるＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄは、共通の機能部１１１の一例であるＡＤＡＳ１１１Ｅへ計測結果を含むＵＤＰパケットを送信する機能部１１１である構成であるとしたが、これに限定するものではない。各対象機能部は、共通の機能部１１１へパケットを送信しない構成であってもよい。具体的には、各対象機能部は、たとえば、共通の機能部から時刻合わせ情報および設定変更命令等を定期的に受信するだけの機能部１１１であってもよい。
【0347】
また、本発明の第１の実施の形態に係る車載通信システムでは、対象機能部の一例であるＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄは、同類の機器の一例であるレーザ機器および受光素子を含む構成であるとしたが、これに限定するものではない。各対象機能部は、同類の機器を含まない構成であってもよい。
【0348】
また、本発明の第１の実施の形態に係る車載通信システムでは、各対象機能部は、対象パケットの送信先ポート番号が同じであることを満たす機能部１１１である構成であるとしたが、これに限定するものではない。各対象機能部は、アドレスが所定範囲に含まれることを満たす機能部１１１である構成であってもよい。具体的には、たとえば、ＬｉＤＡＲ１１１Ａ、１１１Ｂ、１１１Ｃおよび１１１ＤのＩＰアドレスが、それぞれ１９２．１６８．１．１０、１９２．１６８．１．１１、１９２．１６８．１．１２および１９２．１６８．１．１３であり、かつ所定範囲が１９２．１６８．１．１０〜１９２．１６８．１．１３である。
【0349】
また、各対象機能部は、属するネットワークの識別子が同じであることを満たす機能部１１１である構成であってもよい。具体的には、たとえば、各対象機能部は、ＶＬＡＮ１に属するすべての機能部１１１であってもよい。
【0350】
また、各対象機能部は、所定の定義情報により定義されていることを満たす機能部１１１である構成であってもよい。具体的には、たとえば、記憶部３５に保存された設定ファイルにおいて、対象機能部のＩＰアドレス、ＭＡＣアドレスおよびシリアル番号等の識別情報が定義情報として登録されており、カウント部３２は、設定ファイルに登録された定義情報に基づいて対象パケットの個数をカウントする。
【0351】
また、各対象機能部は、パケットの送信先ポート番号が同じであること、アドレスが所定範囲に含まれること、属するネットワークの識別子が同じであること、および所定の定義情報により定義されていることの少なくともいずれか１つを満たす機能部１１１である構成に限らず、他の条件を満たす機能部１１１である構成であってもよい。
【0352】
また、本発明の第１の実施の形態に係るスイッチ装置では、検知部３３は、差分Ｄｉｆの時間的推移に基づいて、対象機能部への不正通信を検知する構成であるとしたが、これに限定するものではない。たとえば、検知部３３は、カウント部３２によってカウントされた各中継パケット数の最大値および最小値が一致しない期間の長さと所定のしきい値との大小関係に基づいて、対象機能部への不正通信を検知する構成であってもよい。
【0353】
また、本発明の第１の実施の形態に係るスイッチ装置では、検知部３３は、差分Ｄｉｆの時間的推移において差分Ｄｉｆが減少から増加に転じる際の値に基づいて不正通信を検知する構成であるとしたが、これに限定するものではない。検知部３３は、差分Ｄｉｆが増加から減少に転じる際の値に基づいて不正通信を検知する構成であってもよい。
【0354】
また、本発明の第１の実施の形態に係るスイッチ装置では、検知部３３は、差分Ｄｉｆの時間的推移において差分Ｄｉｆが減少してゼロに達する前に増加に転じた場合、不正通信が発生したと判断する構成であるとしたが、これに限定するものではない。検知部３３は、たとえば差分Ｄｉｆが減少して１以上の値に達する前に増加に転じた場合に、不正通信が発生したと判断する構成であってもよい。
【0355】
また、本発明の第１の実施の形態に係るスイッチ装置では、カウント部３２は、検知部３３によって不正通信が検知された場合、各中継パケット数をリセットする構成であるとしたが、これに限定するものではない。カウント部３２は、たとえば定期的に各中継パケット数をリセットする構成であってもよい。これにより、不正侵入パケットを中継しない場合においても不正通信が発生したと検知する誤検知が継続することを防ぐことができる。
【0356】
また、本発明の第１の実施の形態に係るスイッチ装置では、カウント部３２は、対象パケットが所定の順番で各対象機能部へ送信される場合において、検知部３３によって不正通信が検知された後、対象パケットの中継先となる対象機能部が切り替わる際に各中継パケット数をリセットする構成であるとしたが、これに限定するものではない。カウント部３２は、たとえば、検知部３３によって不正通信が検知された後、最後の順番の対象機能部への対象パケットの送信が完了した際に各中継パケット数をリセットする構成であってもよい。
【0357】
ところで、特許文献１に車載通信システムでは、車両が駐車している状態において車載ＬＡＮと外部機器との間のゲートウェイを介した通信が禁止されるので、車両外部からゲートウェイを介した車載ＬＡＮへの不正アクセスが防止される。しかしながら、車両が走行している状態では車両外部からの不正アクセスを防止できない。
【0358】
また、非特許文献１に記載の検知方法では、ＴＣＰコネクションおよびタイムアウト時間を用いて攻撃を検知する。しかしながら、ＴＣＰコネクションを用いないＳｌｏｗ Ｒｅａｄ ＤｏＳ攻撃に対しては、上記の方法を用いた検知が困難である。
【0359】
これに対して、本発明の第１の実施の形態に係るスイッチ装置は、車両１に搭載される複数の機能部１１１間のデータを中継する中継処理を行う。カウント部３２は、中継処理において同類の複数の機能部１１１である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントする。そして、検知部３３は、カウント部３２のカウント値を監視し、カウント部３２によってカウントされた各中継パケット数の最大値および最小値に基づいて、対象機能部への不正通信を検知する。
【0360】
各対象機能部は同類であるので、各対象機能部への中継パケット数は同数であると考えられる。そして、各対象機能部への中継パケット数をカウントし、カウントした各中継パケット数の最大値および最小値に基づいて、対象機能部への不正通信を検知する構成により、たとえば、同数であるべき各中継パケット数のばらつきに基づいて、Ｓｌｏｗ Ｒｅａｄ ＤｏＳ攻撃のような車載ネットワークにおける末端に位置する機能部１１１において検知困難な不正通信を検知することができる。また、各中継パケット数をカウントする構成により、通信プロトコルに関わらず不正通信を検知することができる。具体的には、中継されるパケットが、ＴＣＰコネクションを用いないＵＤＰパケットである場合においても、Ｓｌｏｗ Ｒｅａｄ ＤｏＳ攻撃を検知することができる。また、車両１の走行状態に関係なくスイッチ装置１０１が動作する構成により、車両１が駐車している状態に加えて、車両１が走行している状態においても不正通信を検知することができる。したがって、車載ネットワークにおいて良好なセキュリティを提供することができる。
【0361】
また、本発明の第１の実施の形態に係るスイッチ装置では、パケットは、各対象機能部へ順番に送信される。そして、検知部３３は、当該順番における最後の対象機能部以外の対象機能部への不正通信を検知可能である。
【0362】
パケットが各対象機能部へ順番に送信される場合において、不正侵入パケットが無いケースでは最大値と最小値とが同じ値となるタイミングがある。一方、最後の対象機能部以外の対象機能部への１つ以上の不正侵入パケットがあるケースでは、最大値と最小値とが同じ値となるタイミングがなくなる。このような相違に着目した上記構成により、最後の対象機能部以外の対象機能部への１つ以上の不正侵入パケットがあったことを検知することができる。
【0363】
また、本発明の第１の実施の形態に係るスイッチ装置では、検知部３３は、不正通信において２つ以上のパケットがいずれか１つの対象機能部へ中継された場合に不正通信を検知可能である。
【0364】
不正侵入パケットの個数が少ないケースでは、不正侵入パケットがあっても最大値と最小値とが同じ値となるタイミングがあるが、不正侵入パケットの個数がさらに増加すると、最大値と最小値とが同じ値となるタイミングがなくなる。このような相違に着目した上記構成により、対象機能部への不正侵入パケットがあったことを検知することができる。
【0365】
また、本発明の第１の実施の形態に係るスイッチ装置では、各対象機能部は、共通の機能部１１１へパケットを送信する機能部である。
【0366】
このような構成により、たとえば、各対象機能部が共通の機能部１１１からの要求に応じて当該共通の機能部１１１へパケットを送信する場合、当該要求を含むパケットが各対象機能部へ同様に中継されるので、当該要求を含むパケットを各対象機能部への中継数が同数となるパケットとして用いることができる。
【0367】
また、本発明の第１の実施の形態に係るスイッチ装置では、各対象機能部は、パケットの送信先ポート番号が同じであること、アドレスが所定範囲に含まれること、属するネットワークの識別子が同じであること、および所定の定義情報により定義されていることの少なくともいずれか１つを満たす機能部である。
【0368】
上記パケットの到着先のアプリケーションが同じである可能性が高いので、上記パケットが同様に各対象機能部へ伝送されると考えられる。また、各対象機能部のアドレスが類似している可能性が高いので、上記パケットが同様に各対象機能部へ伝送されると考えられる。また、各対象機能部が同じネットワークに属しているので、上記パケットが同様に各対象機能部へ伝送されると考えられる。また、たとえば、上記パケットが同様に伝送される機能部が定義情報に含まれる場合、上記パケットが同様に各対象機能部へ伝送されると考えられる。このようなパケットを、各対象機能部への中継数が同数となるパケットとして用いることができる。
【0369】
また、本発明の第１の実施の形態に係るスイッチ装置では、各対象機能部は、同類の機器を含む。
【0370】
各対象機能部に含まれる機器が同じ動作を行う可能性が高いので、たとえば、当該機器への命令を含むパケットが各対象機能部へ同様に伝送されると考えられる。このようなパケットを、各対象機能部への中継数が同数となるパケットとして用いることができる。
【0371】
また、本発明の第１の実施の形態に係るスイッチ装置では、検知部３３は、最大値および最小値の差分の推移に基づいて不正通信を検知する。
【0372】
不正侵入パケットが無いケースでは、差分は、時間の経過とともに減少してゼロになった後、増加する。一方、不正侵入パケットがあるケースでは、差分は、時間の経過とともに減少してゼロより大きい値になった後、増加する。このような、差分の時間的推移の相違に着目し、不正なパケットが車載ネットワークへ侵入したことを検知することができる。
【0373】
また、本発明の第１の実施の形態に係るスイッチ装置では、検知部３３は、最大値および最小値の差分の推移において当該差分が減少から増加に転じる際の値に基づいて不正通信を検知する。
【0374】
不正なパケットが侵入した場合における上記値が、不正なパケットが侵入しない場合における上記値と異なることに着目し、不正通信を簡易に検知することができる。
【0375】
また、本発明の第１の実施の形態に係るスイッチ装置では、検知部３３は、最大値および最小値の差分の推移において差分が減少してゼロに達する前に増加に転じた場合、不正通信が発生したと判断する。
【0376】
このような構成により、不正なパケットが侵入してから不正通信の発生の判断までの時間を短くすることができるので、検知の遅れを防ぐことができる。
【0377】
また、本発明の第１の実施の形態に係るスイッチ装置では、カウント部３２は、検知部３３によって不正通信が検知された場合、各中継パケット数をリセットする。
【0378】
このような構成により、不正通信が発生していないのに不正通信が発生していると誤って判断してしまうことを防ぐことができる。
【0379】
また、本発明の第１の実施の形態に係るスイッチ装置では、パケットは、所定の順番で各対象機能部へ送信される。そして、カウント部３２は、検知部３３によって不正通信が検知された後、パケットの中継先となる対象機能部が切り替わる際に各中継パケット数をリセットする。
【0380】
このように、順番の区切りのタイミングで各中継パケット数をリセットする構成により、上記所定の順番の途中から検知処理を再開することができる。すなわち、実質的な初期状態から検知処理を再開することができる。
【0381】
次に、本発明の他の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。
【0382】
＜第２の実施の形態＞本実施の形態は、第１の実施の形態に係るスイッチ装置と比べて、カウント部においてカウントすべきパケットの条件を自動で取得するスイッチ装置に関する。以下で説明する内容以外は第１の実施の形態に係るスイッチ装置と同様である。
【0385】
スイッチ装置１０２におけるスイッチ部３１、カウント部３２、検知部３３、通信ポート３４および記憶部３５の動作は、図２に示すスイッチ装置１０１におけるスイッチ部３１、カウント部３２、検知部３３、通信ポート３４および記憶部３５とそれぞれ同様である。
【0386】
設定ファイル更新部３６は、各通信ポート３４が送受信するイーサネットフレームを監視する。
【0387】
より詳細には、設定ファイル更新部３６は、たとえば、監視対象の通信ポート３４ごとに、対応のポート番号と、当該通信ポート３４において送受信されるイーサネットフレームに含まれる、差出元ＩＰアドレス、宛先ＩＰアドレス、通信プロトコル番号、ＵＤＰパケットまたはＴＣＰパケットの差出元ポート番号および宛先ポート番号、ならびに差出元ＭＡＣアドレスおよび宛先ＭＡＣアドレスとを監視する。
【0388】
設定ファイル更新部３６は、監視結果に基づいて、同類の複数の機能部１１１へ中継されるパケット（以下、条件具備パケットとも称する。）を特定するための条件を作成する。
【0389】
具体的には、設定ファイル更新部３６は、たとえば、差出元ＩＰアドレスおよび宛先ポート番号が同じであるが、宛先ＩＰアドレスがそれぞれ異なる複数のパケットを、条件具備パケットとして特定する。
【0390】
より具体的には、設定ファイル更新部３６は、通信ポート３４Ａ〜３４ＤにおいてそれぞれＬｉＤＡＲ１１１Ａ〜１１１Ｄへ送信されるパケットに含まれる差出元ＩＰアドレス、宛先ＩＰアドレスおよび宛先ポート番号に基づいて、対象パケットＡ〜Ｄを条件具備パケットとして特定する。
【0391】
設定ファイル更新部３６は、条件具備パケットが送信される通信ポート３４のポート番号、ならびに条件具備パケットに含まれる差出元ＩＰアドレスおよび宛先ポート番号に基づいて条件ＣＡ〜ＣＤを作成し、作成した条件ＣＡ〜ＣＤを記憶部３５における設定ファイルに書き込む。
【0392】
その他の構成および動作は第１の実施の形態に係るスイッチ装置と同様であるため、ここでは詳細な説明を繰り返さない。
【0393】
次に、本発明の他の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。
【0394】
＜第３の実施の形態＞本実施の形態は、第１の実施の形態に係る車載通信システムと比べて、ＣＡＮの通信規格に従う車載ネットワークにおける不正通信を検知する車載通信システムに関する。以下で説明する内容以外は第１の実施の形態に係る車載通信システムと同様である。
【0396】
図１５を参照して、車載通信システム３１１は、ゲートウェイ装置１５１と、複数の機能部１６１とを備える。車載通信システム３１１は、車両１に搭載される。
【0397】
この例では、スレーブＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄは、対象機能部の一例である。マスタＥＣＵ１６１Ｅは、機能部１６１の一例である。スレーブＥＣＵ１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄは、たとえば、アドレスの一例であるＣＡＮノードＩＤとして、２１，２２，２３，２４をそれぞれ有する。
【0398】
以下、スレーブＥＣＵ１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄの各々を、スレーブＥＣＵ１６１とも称する。
【0399】
より詳細には、スレーブＥＣＵ１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄは、たとえば、それぞれ、自己の車両１の左前部、右前部、左後部および右後部における各車輪に設けられる。
【0400】
スレーブＥＣＵ１６１Ａ〜１６１Ｄは、たとえば、マスタＥＣＵ１６１Ｅの命令に従って動作し、車輪の回転数を計測するための計測モジュール等の同類の機器を含む。
【0401】
スレーブＥＣＵ１６１は、たとえば、マスタＥＣＵ１６１Ｅからの計測要求に応じて、対応の車輪の回転数を計測する。
【0402】
なお、機能部１６１は、スレーブＥＣＵ１６１およびマスタＥＣＵ１６１Ｅの他に、エンジン制御デバイス、ＡＴ（Ａｕｔｏｍａｔｉｃ Ｔｒａｎｓｍｉｓｓｉｏｎ）制御デバイス、ＨＥＶ（Ｈｙｂｒｉｄ Ｅｌｅｃｔｒｉｃ Ｖｅｈｉｃｌｅ）制御デバイス、ブレーキ制御デバイス、シャーシ制御デバイス、ステアリング制御デバイス、計器表示制御デバイスおよび盗難検知デバイス等であってもよい。
【0403】
車載ネットワークにおける、ゲートウェイ装置１５１および各機能部１６１との接続関係は、たとえば固定されている。
【0404】
ゲートウェイ装置１５１は、たとえば、ＣＡＮの通信規格に従うバス（以下、ＣＡＮバスとも称する。）１３により機能部１６１と接続されている。
【0405】
ＣＡＮバス１３には、ゲートウェイ装置１５１と、複数の機能部１６１とが接続される。
【0406】
より詳細には、ＣＡＮバス１３であるＣＡＮバス１３Ａ，１３Ｂ，１３Ｃ，１３Ｄには、スレーブＥＣＵ１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄがそれぞれ接続される。ＣＡＮバス１３であるＣＡＮバス１３Ｅには、マスタＥＣＵ１６１Ｅが接続される。
【0407】
ゲートウェイ装置１５１および機能部１６１は、たとえばＣＡＮバス１３を用いて互いに通信を行うことが可能である。
【0408】
具体的には、ゲートウェイ装置１５１および機能部１６１は、たとえば、ＣＡＮの通信規格に従うメッセージを用いて情報のやり取りを行うことが可能である。
【0409】
また、ゲートウェイ装置１５１は、たとえば、イーサネットケーブル１０により複数の機能部１１１と接続されている。
【0410】
ゲートウェイ装置１５１は、車両１に搭載される複数の機能部１１１，１６１間のデータを中継する中継処理を行う。
【0411】
より詳細には、ゲートウェイ装置１５１は、たとえば、異なるＣＡＮバス１３にそれぞれ接続された機能部１６１間における情報の中継処理、各機能部１１１間における情報の中継処理、および機能部１１１および機能部１６１間における情報の中継処理を行う。
【0412】
具体的には、ゲートウェイ装置１５１は、たとえば、マスタＥＣＵ１６１ＥからスレーブＥＣＵ１６１Ａ〜１６１Ｄへそれぞれ伝送されるメッセージを中継する。また、ゲートウェイ装置１５１は、スレーブＥＣＵ１６１Ａ〜１６１ＤからスレーブＥＣＵ１６１Ａへそれぞれ伝送されるメッセージを中継する。
【0413】
より詳細には、マスタＥＣＵ１６１Ｅは、たとえば、所定の取得周期ごとに、スレーブＥＣＵ１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄをそれぞれ宛先とする４つのメッセージを作成する。これら４つのメッセージには、計測要求が含まれる。
【0414】
以下、スレーブＥＣＵ１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄを宛先とするメッセージを、それぞれ対象メッセージＭＡ，ＭＢ，ＭＣ，ＭＤとも称する。また、対象メッセージＭＡ，ＭＢ，ＭＣ，ＭＤの各々を、対象メッセージとも称する。
【0415】
対象メッセージＭＡ，ＭＢ，ＭＣ，ＭＤには、それぞれスレーブＥＣＵ１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄが宛先であることを示すメッセージＩＤが含まれる。
【0416】
この例では、マスタＥＣＵ１６１Ｅは、対象メッセージＭＡ，ＭＢ，ＭＣ，ＭＤを、この順番で、ゲートウェイ装置１５１経由でスレーブＥＣＵ１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄへそれぞれ送信する。
【0417】
スレーブＥＣＵ１６１Ａは、マスタＥＣＵ１６１Ｅから対象メッセージを受信して、受信した対象メッセージに含まれる計測要求を取得する。
【0418】
そして、スレーブＥＣＵ１６１Ａは、取得した計測要求に従って対応の車輪の回転数を計測し、計測結果を含むメッセージを作成する。
【0419】
スレーブＥＣＵ１６１Ｂ，１６１Ｃ，１６１Ｄも、スレーブＥＣＵ１６１Ａと同様の処理を行う。
【0420】
各対象機能部は、たとえば、共通の機能部１６１へメッセージを送信する。この例では、スレーブＥＣＵ１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄは、計測結果を含むメッセージをマスタＥＣＵ１６１Ｅへ送信する。
【0422】
図１６を参照して、ゲートウェイ装置（中継装置）１５１は、検知部３３と、複数の通信ポート３４と、記憶部３５と、ゲートウェイ部４０と、中継部４１と、カウント部４２とを備える。
【0423】
ゲートウェイ装置１５１における検知部３３、通信ポート３４および記憶部３５の動作は、図２に示すスイッチ装置１０１における検知部３３、通信ポート３４および記憶部３５とそれぞれ同様である。
【0424】
中継部４１には、ＣＡＮバス１３Ａ〜１３Ｅが接続されている。通信ポート３４は、イーサネットケーブル１０を介して機能部１１１に接続されている。
【0425】
ゲートウェイ部４０は、ＣＡＮの通信プロトコルおよびイーサネットの通信プロトコル間のプロトコル変換を行うことによりデータを中継する。
【0426】
より詳細には、ゲートウェイ部４０は、中継部４１からメッセージを受けると、受けたメッセージについてプロトコル変換を行うことにより当該メッセージからイーサネットフレームを作成し、作成したイーサネットフレームを中継部４１へ出力する。
【0427】
また、ゲートウェイ部４０は、中継部４１からイーサネットフレームを受けると、受けたイーサネットフレームについてプロトコル変換を行うことにより当該イーサネットフレームからメッセージを作成し、作成したメッセージを中継部４１へ出力する。
【0428】
中継部４１は、たとえば、メッセージＩＤとＣＡＮノードＩＤとの対応関係を示すＩＤ対応テーブル、およびＣＡＮノードＩＤおよびＭＡＣアドレスと出力先との対応関係を示す出力先対応テーブルを保持する。ここで、出力先は、ＣＡＮバス１３、通信ポート３４およびゲートウェイ部４０である。
【0429】
ＩＤ対応テーブルおよび出力先対応テーブルの内容は、上述したように固定されている接続関係に基づいて、たとえばユーザにより予め定められている。
【0430】
中継部４１は、ＣＡＮバス１３経由で機能部１６１からメッセージを受信すると、受信したメッセージがプロトコル変換を要するメッセージである場合、当該メッセージをゲートウェイ部４０へ出力する。
【0431】
また、中継部４１は、受信したメッセージがプロトコル変換の不要なメッセージである場合、当該メッセージからメッセージＩＤを取得する。
【0432】
中継部４１は、ＩＤ対応テーブルを参照し、取得したメッセージＩＤに対応するＣＡＮノードＩＤを特定する。そして、中継部４１は、出力先対応テーブルを参照し、特定したＣＡＮノードＩＤに対応する出力先としてＣＡＮバス１３を特定する。そして、中継部４１は、受信したメッセージを、特定したＣＡＮバス１３へ出力する。
【0433】
中継部４１は、ゲートウェイ部４０から受けるメッセージについても、プロトコル変換の不要なメッセージと同様に処理する。
【0434】
また、中継部４１は、通信ポート３４経由でイーサネットフレームを受信すると、受信したイーサネットフレームがプロトコル変換を要するイーサネットフレームである場合、当該イーサネットフレームをゲートウェイ部４０へ出力する。
【0435】
また、中継部４１は、受信したイーサネットフレームがプロトコル変換の不要なイーサネットフレームである場合、当該イーサネットフレームから宛先ＭＡＣアドレスを取得する。
【0436】
中継部４１は、出力先対応テーブルを参照し、特定した宛先ＭＡＣアドレスに対応する出力先として他の通信ポート３４を特定する。そして、中継部４１は、受信したイーサネットフレームを、特定した通信ポート３４へ出力する。
【0437】
中継部４１は、ゲートウェイ部４０から受けるイーサネットフレームについても、プロトコル変換の不要なイーサネットフレームと同様に処理する。
【0438】
記憶部３５には、たとえばユーザにより作成された、カウント部３２がカウントすべきメッセージの条件を含む設定ファイルが登録されている。
【0439】
設定ファイルには、たとえば、宛先の機能部１６１のＣＡＮノードＩＤが含まれる範囲として２１〜２４が登録されている。この例では、設定ファイルには、条件ＣＭＡ〜ＣＭＤが含まれる。条件ＣＭＡ，ＣＭＢ，ＣＭＣ，ＣＭＤは、たとえば、メッセージＩＤがそれぞれ１１番，１２番，１３番，１４番であることである。
【0440】
ここで、１１番，１２番，１３番，１４番は、それぞれ対象メッセージＭＡ，ＭＢ，ＭＣ，ＭＤに含まれるメッセージＩＤの一例である。
【0441】
この条件ＣＭＡ〜ＣＭＤは、たとえば、以下のように作成される。すなわち、たとえば、管理者は、ＩＤ対応テーブルに基づいて、２１〜２４のＣＡＮノードＩＤに対応するメッセージＩＤとして、１１〜１４をそれぞれ抽出する。管理者は、抽出したメッセージＩＤに基づいて条件ＣＭＡ〜ＣＭＤを作成する。
【0442】
カウント部４２は、中継処理において対象機能部へ中継されるパケット、この例ではメッセージの数である中継メッセージ数をそれぞれカウントする。
【0443】
より詳細には、カウント部４２は、記憶部３５に登録された設定ファイルの内容に従って、中継部４１において送受信されるメッセージ数をカウントする。
【0444】
この例では、カウント部４２は、設定ファイルに含まれる条件ＣＭＡ，ＣＭＢ，ＣＭＣ，ＣＭＤを用いて、ＣＡＮバス１３Ａ，１３Ｂ，１３Ｃ，１３Ｄへそれぞれ中継される対象メッセージの個数をカウントする。
【0445】
また、カウント部３２は、ＤｏＳ攻撃を行うための機能部１６１からスレーブＥＣＵ１６１へ伝送される、対象メッセージＭＡ，ＭＢ，ＭＣ，ＭＤのうちのいずれか１つを偽装した不正侵入メッセージの個数もカウントする。
【0446】
具体的には、カウント部４２は、たとえば、カウント値ＮＡ，ＮＢ，ＮＣ，ＮＤをカウントするための４つの送信カウンタを保持する。
【0447】
ここで、カウント値ＮＡは、対象メッセージＭＡの個数、および対象メッセージＭＡを偽装した不正侵入メッセージの個数の合計を示す。カウント値ＮＢは、対象メッセージＭＢの個数、および対象メッセージＭＢを偽装した不正侵入メッセージの個数の合計を示す。カウント値ＮＣは、対象メッセージＭＣの個数、および対象メッセージＭＣを偽装した不正侵入メッセージの個数の合計を示す。カウント値ＮＤは、対象メッセージＭＤの個数、および対象メッセージＭＤを偽装した不正侵入メッセージの個数の合計を示す。
【0448】
カウント部４２は、図３〜図１２に示す場合と同様に、対象メッセージＭＡ，ＭＢ，ＭＣ，ＭＤのうちのいずれか、または不正侵入メッセージが中継部４１において中継されると、対応の送信カウンタのカウント値をインクリメントする。
【0449】
検知部３３は、カウント部４２のカウント値を監視し、カウント部４２によってカウントされた各中継メッセージ数の最大値および最小値に基づいて、対象機能部への不正通信を検知する。
【0451】
以上のように、本発明の第３の実施の形態に係るゲートウェイ装置は、車両１に搭載される複数の機能部１６１間のデータを中継する中継処理を行う。カウント部４２は、中継処理において同類の複数の機能部１６１である対象機能部へ中継されるメッセージの数である中継メッセージ数をそれぞれカウントする。そして、検知部３３は、カウント部４２のカウント値を監視し、カウント部４２によってカウントされた各中継メッセージ数の最大値および最小値に基づいて、対象機能部への不正通信を検知する。
【0452】
各対象機能部は同類であるので、各対象機能部への中継メッセージ数は同数であると考えられる。そして、各対象機能部への中継メッセージ数をカウントし、カウントした各中継メッセージ数の最大値および最小値に基づいて、対象機能部への不正通信を検知する構成により、たとえば、同数であるべき各中継メッセージ数のばらつきに基づいて、Ｓｌｏｗ Ｒｅａｄ ＤｏＳ攻撃のような車載ネットワークにおける末端に位置する機能部１６１において検知困難な不正通信を検知することができる。また、各中継メッセージ数をカウントする構成により、通信プロトコルに関わらず不正通信を検知することができる。具体的には、中継されるメッセージが、ＴＣＰコネクションを用いないＣＡＮにおけるメッセージである場合においても、Ｓｌｏｗ Ｒｅａｄ ＤｏＳ攻撃を検知することができる。また、車両１の走行状態に関係なくゲートウェイ装置１５１が動作する構成により、車両１が駐車している状態に加えて、車両１が走行している状態においても不正通信を検知することができる。したがって、車載ネットワークにおいて良好なセキュリティを提供することができる。
【0453】
その他の構成および動作は第１の実施の形態に係る車載通信システムと同様であるため、ここでは詳細な説明を繰り返さない。
【0454】
なお、本発明の第１の実施の形態〜第３の実施の形態に係る各装置の構成要素および動作のうち、一部または全部を適宜組み合わせることも可能である。
【0455】
上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【0456】
以上の説明は、以下に付記する特徴を含む。
【0457】
［付記１］車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置であって、
前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするカウント部と、
前記カウント部のカウント値を監視し、前記カウント部によってカウントされた各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知する検知部とを備え、
前記中継装置は、スイッチ装置またはゲートウェイ装置であり、
前記カウント部は、前記中継処理において、共通の前記機能部であるＡＤＡＳ（Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ Ａｓｓｉｓｔａｎｃｅ Ｓｙｓｔｅｍ）から複数のＬｉＤＡＲ（Ｌｉｇｈｔ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｒａｎｇｉｎｇ）、ミリ波センサまたはカメラへ中継されるパケットの数である中継パケット数をそれぞれカウントするか、または共通の前記機能部であるマスタＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）から複数のスレーブＥＣＵへ中継されるメッセージの数である中継メッセージ数をそれぞれカウントし、
前記パケットまたは前記メッセージは、共通の前記機能部から各前記対象機能部へ同じ個数ずつ送信されるパケットまたはメッセージである、中継装置。
【符号の説明】
【0458】
１ 車両３１ スイッチ部
３２ カウント部
３３ 検知部
３４ 通信ポート
３５ 記憶部
３６ 設定ファイル更新部
４０ ゲートウェイ部
４１ 中継部
４２ カウント部
１０１，１０２ スイッチ装置（中継装置）
１１１ 機能部
１５１ ゲートウェイ装置（中継装置）
１６１ 機能部
３０１，３１１ 車載通信システム