特開2022-192034 | 知財ポータル「IP Force」

知財求人 - 知財ポータルサイト「IP Force」

青山学院大学 (神奈川県相模原市中央区淵野辺)

▶ アウトクリプトカンパニーリミテッドの特許一覧

特開2022-192034ＣＡＮＢＵＳでの攻撃を探知する方法および装置

書誌要約請求の範囲詳細な説明課題実施例実施するための形態図面の説明

目に優しい文字サイズ小中大 PDF Top

< >

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022192034

(43)【公開日】2022-12-28

(54)【発明の名称】ＣＡＮＢＵＳでの攻撃を探知する方法および装置

(51)【国際特許分類】

G06F 21/55 20130101AFI20221221BHJP

G06N 3/02 20060101ALI20221221BHJP

【ＦＩ】

G06F21/55 320

G06N3/02

【審査請求】有

【請求項の数】16

【出願形態】ＯＬ

(21)【出願番号】P 2022096200

(22)【出願日】2022-06-15

(31)【優先権主張番号】10-2021-0078080

(32)【優先日】2021-06-16

(33)【優先権主張国・地域又は機関】KR

(31)【優先権主張番号】10-2022-0062705

(32)【優先日】2022-05-23

(33)【優先権主張国・地域又は機関】KR

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＢＬＵＥＴＯＯＴＨ

(71)【出願人】

【識別番号】522238745

【氏名又は名称】アウトクリプトカンパニーリミテッド

【氏名又は名称原語表記】ＡｕｔｏｃｒｙｐｔＣｏ．，Ｌｔｄ．，

【住所又は居所原語表記】７Ｆ－８Ｆ．，１１５，Ｙｅｏｕｉｇｏｎｇｗｏｎ－ｒｏ，Ｙｅｏｎｇｄｅｕｎｇｐｏ－ｇｕ，Ｓｅｏｕｌ，０７２４１，Ｋｏｒｅａ

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東忠彦

(74)【代理人】

【識別番号】100135079

【弁理士】

【氏名又は名称】宮崎修

(72)【発明者】

【氏名】ジュ，キホ

(72)【発明者】

【氏名】パク，スンヨン

(72)【発明者】

【氏名】シム，サンギュ

(72)【発明者】

【氏名】キム，ウィソク

(72)【発明者】

【氏名】キム，ドクス

(72)【発明者】

【氏名】イ，ソクウ

(72)【発明者】

【氏名】イ，ジョンウォン

(57)【要約】（修正有）

【課題】ＧＰＴ２（ｇｅｎｅｒａｔｉｖｅｐｒｅｔｒａｉｎｅｄｔｒａｎｓｆｏｒｍｅｒ２）ディープラーニングネットワークを利用してＣＡＮ（ｃｏｎｔｒｏｌｌｅｒａｒｅａｎｅｔｗｏｒｋ）バスでの攻撃を探知する方法および装置を提供する。
【解決手段】ＣＡＮＢＵＳでの攻撃を探知する方法は、発生順の通りにＣＡＮＩＤを収集する段階、収集したＣＡＮＩＤから予め定められた個数Ｌ（Ｌは１以上の整数）だけのシーケンスを生成する段階及びシーケンスを両方向ＧＰＴ２ネットワークに入力してシーケンスに対応する損失関数の値を計算する段階を含む。許容されたＣＡＮＩＤの個数がＫ（Ｋは１以上の整数）である場合、シーケンス内の許容されたＣＡＮＩＤは大きさ順で整列されて０～Ｋ－１値に変換され、シーケンス内の許容されていないＣＡＮＩＤはＫに変換されて前記両方向ＧＰＴ２ネットワークに入力される。
【選択図】図７

【特許請求の範囲】

【請求項1】

プロセッサ（ｐｒｏｃｅｓｓｏｒ）によって実行される、ＣＡＮＢＵＳでの攻撃を探知する方法において、
発生順の通りにＣＡＮＩＤを収集する段階；
前記収集されたＣＡＮＩＤから予め定められた個数Ｌ（Ｌは１以上の整数）だけのＣＡＮＩＤで構成されたシーケンスを生成する段階；および
前記シーケンスを両方向ＧＰＴ２ネットワークに入力して前記シーケンスに対応する損失関数（ｌｏｓｓｆｕｎｃｔｉｏｎ）の値を計算する段階を含み、
許容されたＣＡＮＩＤの個数がＫ（Ｋは１以上の整数）である場合、前記シーケンス内の許容されたＣＡＮＩＤは大きさ順で整列されて０～Ｋ－１値に変換され、前記シーケンス内の許容されていないＣＡＮＩＤはＫに変換されて前記両方向ＧＰＴ２ネットワークに入力されることを特徴とする、ＣＡＮＢＵＳでの攻撃探知方法。

【請求項2】

前記両方向ＧＰＴ２ネットワークはフォワード（ｆｏｒｗａｒｄ）ＧＰＴモジュール、バックワード（ｂａｃｋｗａｒｄ）ＧＰＴモジュール、および完全連結階層（ｆｕｌｌｙ－ｃｏｎｎｅｃｔｅｄｌａｙｅｒ）を含む、請求項１に記載のＣＡＮＢＵＳでの攻撃探知方法。

【請求項3】

前記損失関数の値を計算する段階で、前記シーケンスは本来の順序で前記フォワードＧＰＴモジュールに入力され、前記シーケンスは逆の順序で前記バックワードＧＰＴモジュールに入力される、請求項２に記載のＣＡＮＢＵＳでの攻撃探知方法。

【請求項4】

【請求項5】

前記損失関数の値を計算する段階で、前記バックワードＧＰＴモジュールに前記シーケンスに属するＬ－１番目のＣＡＮＩＤから１番目のＣＡＮＩＤまでのＣＡＮＩＤに対応するエンベッディングベクトルが入力され、前記バックワードＧＰＴモジュールはＬ－２番目のＣＡＮＩＤから０番目のＣＡＮＩＤに対応する前記エンベッディングベクトルと同一の次元を有するＥ次元のベクトルを出力する、請求項３に記載のＣＡＮＢＵＳでの攻撃探知方法。

【請求項6】

前記損失関数の値を計算する段階で、前記フォワードＧＰＴの出力と前記バックワードＧＰＴの出力が連接されて２Ｅ×Ｌ大きさの行列が生成され、前記２Ｅ×Ｌ大きさの行列は前記完全連結階層によって（Ｋ＋１）×Ｌ大きさの行列に変換され、（Ｋ＋１）×Ｌ大きさの行列はソフトマックスレイヤによって確率行列に変換される、請求項４に記載のＣＡＮＢＵＳでの攻撃探知方法。

【請求項7】

前記損失関数（ｌｏｓｓｆｕｎｃｔｉｏｎ）は

【数28】

で定義され、前記フォワードＧＰＴモジュール、前記バックワードＧＰＴモジュール、および前記完全連結階層は前記損失関数の値を最小化するように訓練され、

【数29】

は訓練に使われるｎ番目の正常ＣＡＮＩＤｓｅｑｕｅｎｃｅのl番目の変数であり、

【数30】

に対する実際に発生したＣＡＮＩＤ（すなわち、グランドトゥルース（ｇｒｏｕｎｄｔｒｕｔｈ値）である、請求項２に記載のＣＡＮＢＵＳでの攻撃探知方法。

【請求項8】

前記損失関数の値をしきい値と比較する段階；および
前記損失関数の値が前記しきい値以上である場合、前記シーケンスに対応する区間を攻撃が存在する区間と判断する段階をさらに含み、
前記損失関数（ｌｏｓｓｆｕｎｃｔｉｏｎ）は

【数31】

で定義され、

【数32】

は探知対象シーケンスに該当するｍ番目のＣＡＮＩＤｓｅｑｕｅｎｃｅのl番目の変数であり、

【数33】

に対する実際に発生したＣＡＮＩＤ（すなわち、グランドトゥルース（ｇｒｏｕｎｄｔｒｕｔｈ値）である、請求項１に記載のＣＡＮＢＵＳでの攻撃探知方法。

【請求項9】

ＣＡＮＢＵＳでの攻撃を探知する装置であって、
プロセッサ（ｐｒｏｃｅｓｓｏｒ）；
プロセッサを通じて実行される少なくとも一つの命令が保存されたメモリ（ｍｅｍｏｒｙ）；および
前記ＣＡＮＢＵＳに連結されて通信を遂行する送受信機を含み、
前記少なくとも一つの命令は、前記プロセッサが：
前記送受信機を利用して前記ＣＡＮＢＵＳから発生順の通りにＣＡＮＩＤを収集する段階；
前記収集されたＣＡＮＩＤから予め定められた個数Ｌ（Ｌは１以上の整数）だけのＣＡＮＩＤで構成されたシーケンスを生成する段階；および
前記シーケンスを両方向ＧＰＴ２ネットワークに入力して前記シーケンスに対応する損失関数（ｌｏｓｓｆｕｎｃｔｉｏｎ）の値を計算する段階を遂行するようにし、
許容されたＣＡＮＩＤの個数がＫ（Ｋは１以上の整数）である場合、前記シーケンス内の許容されたＣＡＮＩＤは大きさ順で整列されて０～Ｋ－１値に変換され、前記シーケンス内の許容されていないＣＡＮＩＤはＫに変換されて前記両方向ＧＰＴ２ネットワークに入力されることを特徴とする、ＣＡＮＢＵＳでの攻撃探知装置。

【請求項10】

前記両方向ＧＰＴ２ネットワークはフォワード（ｆｏｒｗａｒｄ）ＧＰＴモジュール、バックワード（ｂａｃｋｗａｒｄ）ＧＰＴモジュール、および完全連結階層（ｆｕｌｌｙ－ｃｏｎｎｅｃｔｅｄｌａｙｅｒ）を含む、請求項９に記載のＣＡＮＢＵＳでの攻撃探知装置。

【請求項11】

前記損失関数の値を計算する段階で、前記シーケンスは本来の順序で前記フォワードＧＰＴモジュールに入力され、前記シーケンスは逆の順序で前記バックワードＧＰＴモジュールに入力される、請求項１０に記載のＣＡＮＢＵＳでの攻撃探知装置。

【請求項12】

【請求項13】

前記損失関数の値を計算する段階で、前記バックワードＧＰＴモジュールに前記シーケンスに属するＬ－１番目のＣＡＮＩＤから１番目のＣＡＮＩＤまでのＣＡＮＩＤに対応するエンベッディングベクトルが入力され、前記バックワードＧＰＴモジュールはＬ－２番目のＣＡＮＩＤから０番目のＣＡＮＩＤに対応する前記エンベッディングベクトルと同一の次元を有するＥ次元のベクトルを出力する、請求項１１に記載のＣＡＮＢＵＳでの攻撃探知装置。

【請求項14】

前記損失関数の値を計算する段階で、前記フォワードＧＰＴの出力と前記バックワードＧＰＴの出力が連接されて２Ｅ×Ｌ大きさの行列が生成され、前記２Ｅ×Ｌ大きさの行列は前記完全連結階層によって（Ｋ＋１）×Ｌ大きさの行列に変換され、（Ｋ＋１）×Ｌ大きさの行列はソフトマックスレイヤによって確率行列に変換される、請求項１１に記載のＣＡＮＢＵＳでの攻撃探知装置。

【請求項15】

前記損失関数（ｌｏｓｓｆｕｎｃｔｉｏｎ）は

【数34】

【数35】

は訓練に使われるｎ番目の正常ＣＡＮＩＤｓｅｑｕｅｎｃｅのl番目の変数であり、

【数36】

に対する実際に発生したＣＡＮＩＤ（すなわち、グランドトゥルース（ｇｒｏｕｎｄｔｒｕｔｈ値）である、請求項１０に記載のＣＡＮＢＵＳでの攻撃探知装置。

【請求項16】

前記少なくとも一つの命令は、前記プロセッサが：前記損失関数の値をしきい値と比較する段階；および前記損失関数の値が前記しきい値以上である場合、前記シーケンスに対応する区間を攻撃が存在する区間と判断する段階を追加で遂行するようにし、
前記損失関数（ｌｏｓｓｆｕｎｃｔｉｏｎ）は

【数37】

で定義され、

【数38】

は探知対象シーケンスに該当するｍ番目のＣＡＮＩＤｓｅｑｕｅｎｃｅのl番目の変数であり、

【数39】

に対する実際に発生したＣＡＮＩＤ（すなわち、グランドトゥルース（ｇｒｏｕｎｄｔｒｕｔｈ値）である、請求項９に記載のＣＡＮＢＵＳでの攻撃探知装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は車両ネットワーク（ｉｎ－ｖｅｈｉｃｌｅｎｅｔｗｏｒｋ）での攻撃探知方法および装置に関し、より具体的には、ＧＰＴ（ｇｅｎｅｒａｔｉｖｅｐｒｅｔｒａｉｎｅｄｔｒａｎｓｆｏｒｍｅｒ２）ディープラーニングネットワークを利用してＣＡＮ（ｃｏｎｔｒｏｌｌｅｒａｒｅａｎｅｔｗｏｒｋ）バス（ｂｕｓ）での攻撃を探知する方法および装置に関する。

【背景技術】

【0002】

Ｃｏｎｔｒｏｌｌｅｒａｒｅａｎｅｔｗｏｒｋ（ＣＡＮ）ｂｕｓプロトコルは、一つの共有されたｂｕｓを利用して車両内の多様なコントローラ（ｃｏｎｔｒｏｌｌｅｒ）間の通信を支援するために導入された。しかし、ＣＡＮはセキュリティを考慮せずに設計されたため、多様な攻撃の威嚇に露出されている。正常な車両運行状況でＣＡＮｂｕｓに連結されたコントローラは周期的な信号と非周期的な信号を伝送するため、ＣＡＮ信号のｉｄｅｎｔｉｆｉｅｒ（ＩＤ）を発生順の通りに収集してＣＡＮＩＤのシーケンス（ｓｅｑｕｅｎｃｅ）が構成されるのであれば、シーケンスは一定のパターンを有するであろう。したがって、正常な運行状況でのＣＡＮＩＤシーケンスのパターンが学習されると、攻撃の発生によるＣＡＮＩＤシーケンスパターンの変化が探知され得る。しかし、探知対象ＣＡＮＩＤシーケンスに非常に少ない数の攻撃ＩＤのみが含まれている場合、これに対する探知は非常に困難であり得る。したがって、ＣＡＮバス上での攻撃を探知するためには既存とは異なる探知技法が必要である。

【発明の概要】

【発明が解決しようとする課題】

【0003】

前記のような問題点を解決するための本発明の目的は、ＧＰＴディープラーニングネットワークを利用してＣＡＮバスでの攻撃を探知する方法および装置を提供することである。

【課題を解決するための手段】

【0004】

前述した本発明の目的を達成するための本発明の一実施例は、プロセッサ（ｐｒｏｃｅｓｓｏｒ）によって実行されるＣＡＮＢＵＳでの攻撃を探知する方法であって、発生順の通りにＣＡＮＩＤを収集する段階；前記収集されたＣＡＮＩＤから予め定められた個数Ｌ（Ｌは１以上の整数）だけのＣＡＮＩＤで構成されたシーケンスを生成する段階；および前記シーケンスを両方向ＧＰＴ２ネットワークに入力して前記シーケンスに対応する損失関数（ｌｏｓｓｆｕｎｃｔｉｏｎ）の値を計算する段階を含み、許容されたＣＡＮＩＤの個数がＫ（Ｋは１以上の整数）である場合、前記シーケンス内の許容されたＣＡＮＩＤは大きさ順で整列されて０～Ｋ－１値に変換され、前記シーケンス内の許容されていないＣＡＮＩＤはＫに変換されて前記両方向ＧＰＴ２ネットワークに入力され得る。

【0005】

前記両方向ＧＰＴ２ネットワークはフォワード（ｆｏｒｗａｒｄ）ＧＰＴモジュール、バックワード（ｂａｃｋｗａｒｄ）ＧＰＴモジュール、および完全連結階層（ｆｕｌｌｙ－ｃｏｎｎｅｃｔｅｄｌａｙｅｒ）を含むことができる。
前記損失関数の値を計算する段階で、前記シーケンスは本来の順序で前記フォワードＧＰＴモジュールに入力され、前記シーケンスは逆の順序で前記バックワードＧＰＴモジュールに入力され得る。

【0006】

前記損失関数の値を計算する段階で、前記フォワードＧＰＴモジュールに前記シーケンスに属する０番目のＣＡＮＩＤからＬ－２番目のＣＡＮＩＤまでのＣＡＮＩＤに対応するエンベッディング（ｅｍｂｅｄｄｉｎｇ）ベクトルが入力され、前記フォワードＧＰＴモジュールは１番目のＣＡＮＩＤからＬ－１番目のＣＡＮＩＤに対応する前記エンベッディングベクトルと同一の次元を有するＥ次元のベクトルを出力することができる。
前記損失関数の値を計算する段階で、前記バックワードＧＰＴモジュールに前記シーケンスに属するＬ－１番目のＣＡＮＩＤから１番目のＣＡＮＩＤまでのＣＡＮＩＤに対応するエンベッディングベクトルが入力され、前記バックワードＧＰＴモジュールはＬ－２番目のＣＡＮＩＤから０番目のＣＡＮＩＤに対応する前記エンベッディングベクトルと同一の次元を有するＥ次元のベクトルを出力することができる。

【0007】

前記損失関数の値を計算する段階で、前記フォワードＧＰＴの出力と前記バックワードＧＰＴの出力が連接されて２Ｅ×Ｌ大きさの行列が生成され、前記２Ｅ×Ｌ大きさの行列は前記完全連結階層によって（Ｋ＋１）×Ｌ大きさの行列に変換され、（Ｋ＋１）×Ｌ大きさの行列はソフトマックスレイヤによって確率行列に変換され得る。

【0008】

前記損失関数（ｌｏｓｓｆｕｎｃｔｉｏｎ）は

【0009】

【数1】

【0010】

【数2】

は訓練に使われるｎ番目の正常ＣＡＮＩＤｓｅｑｕｅｎｃｅのl番目の変数であり、

【0011】

【数3】

に対する実際に発生したＣＡＮＩＤ（すなわち、グランドトゥルース（ｇｒｏｕｎｄｔｒｕｔｈ値）であり得る。

【0012】

前記方法は前記損失関数の値をしきい値と比較する段階；および前記損失関数の値が前記しきい値以上である場合、前記シーケンスに対応する区間を攻撃が存在する区間と判断する段階をさらに含み、前記損失関数（ｌｏｓｓｆｕｎｃｔｉｏｎ）は

【0013】

【数4】

で定義され、

【0014】

【数5】

は探知対象シーケンスに該当するｍ番目のＣＡＮＩＤｓｅｑｕｅｎｃｅのl番目の変数であり、

【0015】

【数6】

に対する実際に発生したＣＡＮＩＤ（すなわち、グランドトゥルース（ｇｒｏｕｎｄｔｒｕｔｈ値）であり得る。

【0016】

前述した本発明の目的を達成するための本発明の他の実施例は、ＣＡＮＢＵＳでの攻撃を探知する装置であって、プロセッサ（ｐｒｏｃｅｓｓｏｒ）；プロセッサを通じて実行される少なくとも一つの命令が保存されたメモリ（ｍｅｍｏｒｙ）；および前記ＣＡＮＢＵＳに連結されて通信を遂行する送受信機を含み、前記少なくとも一つの命令は、前記プロセッサが：前記送受信機を利用して前記ＣＡＮＢＵＳから発生順の通りにＣＡＮＩＤを収集する段階；前記収集されたＣＡＮＩＤから予め定められた個数Ｌ（Ｌは１以上の整数）だけのＣＡＮＩＤで構成されたシーケンスを生成する段階；および前記シーケンスを両方向ＧＰＴ２ネットワークに入力して前記シーケンスに対応する損失関数（ｌｏｓｓｆｕｎｃｔｉｏｎ）の値を計算する段階を遂行するようにし、許容されたＣＡＮＩＤの個数がＫ（Ｋは１以上の整数）である場合、前記シーケンス内の許容されたＣＡＮＩＤは大きさ順で整列されて０～Ｋ－１値に変換され、前記シーケンス内の許容されていないＣＡＮＩＤはＫに変換されて前記アンバンヒャンＧＰＴ２ネットワークに入力され得る。

【0017】

前記両方向ＧＰＴ２ネットワークはフォワード（ｆｏｒｗａｒｄ）ＧＰＴモジュール、バックワード（ｂａｃｋｗａｒｄ）ＧＰＴモジュール、および完全連結階層（ｆｕｌｌｙ－ｃｏｎｎｅｃｔｅｄｌａｙｅｒ）を含むことができる。

【0018】

前記損失関数の値を計算する段階で、前記シーケンスは本来の順序で前記フォワードＧＰＴモジュールに入力され、前記シーケンスは逆の順序で前記バックワードＧＰＴモジュールに入力され得る。

【0019】

【0020】

【0021】

【0022】

前記損失関数（ｌｏｓｓｆｕｎｃｔｉｏｎ）は

【0023】

【数7】

【0024】

【数8】

は訓練に使われるｎ番目の正常ＣＡＮＩＤｓｅｑｕｅｎｃｅのl番目の変数であり、

【0025】

【数9】

に対する実際に発生したＣＡＮＩＤ（すなわち、グランドトゥルース（ｇｒｏｕｎｄｔｒｕｔｈ値）であり得る。

【0026】

前記少なくとも一つの命令は、前記プロセッサが：前記損失関数の値をしきい値と比較する段階；および前記損失関数の値が前記しきい値以上である場合、前記シーケンスに対応する区間を攻撃が存在する区間と判断する段階を追加で遂行するようにし、前記損失関数（ｌｏｓｓｆｕｎｃｔｉｏｎ）は

【0027】

【数10】

で定義され、

【0028】

【数11】

は探知対象シーケンスに該当するｍ番目のＣＡＮＩＤｓｅｑｕｅｎｃｅのl番目の変数であり、

【0029】

【数12】

に対する実際に発生したＣＡＮＩＤ（すなわち、グランドトゥルース（ｇｒｏｕｎｄｔｒｕｔｈ値）であり得る。

【発明の効果】

【0030】

本発明で提案された両方向ＧＰＴ２ネットワークを利用したＣＡＮバスでの攻撃を探知する方法および装置を利用する場合、ＣＡＮＩＤシーケンス内に小さい数の攻撃ＩＤが含まれる場合にも効果的に攻撃が探知され得る。したがって、ＣＡＮバスが搭載された車両ネットワークのセキュリティが向上し得る。

【図面の簡単な説明】

【0031】

【図1】一般的なＣＡＮデータフレーム（ｄａｔａｆｒａｍｅ）の構造を図示した概念図である。

【図2】ＣＡＮの現在の連結構造の問題点を説明するための概念図である。

【図3】ＣＡＮＩＤを２進数に変換してこれを２進イメージ（ｂｉｎａｒｙｉｍａｇｅ）と見なして探知を遂行する従来の方法を図示した概念図である。

【図4】ＧＰＴネットワークで信号の流れを図示した概念図である。

【図5】ＧＰＴネットワークに適用されるマスクセルフアテンション（Ｍａｓｋｅｄｓｅｌｆ－ａｔｔｅｎｔｉｏｎ）の概念を説明するための概念図である。

【図6】本発明の一実施例に係る両方向ＧＰＴネットワークの構造を説明するためのブロック図である。

【図7】本発明の一実施例に係るＣＡＮｂｕｓでの攻撃探知のための両方向ＧＰＴネットワークの訓練手続きを説明するためのフローチャートである。

【図8】本発明の一実施例に係る両方向ＧＰＴネットワークによる損失関数値の計算手続きを説明するためのフローチャートである。

【図9】本発明の一実施例に係るＣＡＮｂｕｓでの攻撃探知のための両方向ＧＰＴネットワークを利用した攻撃探知手続きを説明するためのフローチャートである。

【図10】本発明の一実施例に係るＣＡＮｂｕｓでの攻撃探知装置の構成を説明するためのブロック図である。

【図11】攻撃ＣＡＮＩＤの注入間隔に対するｅｍｐｉｒｉｃａｌｃｕｍｕｌａｔｉｖｅｄｅｎｓｉｔｙｆｕｎｃｔｉｏｎ（ＥＣＤＦ）を図示したグラフである。

【図12】ＣＡＮＩＤｓｅｑｕｅｎｃｅ内の攻撃ＩＤの個数に対する経験的ＥＣＤＦを図示したグラフである（ L ＝２５６）。

【図13】提案の技法で Lによるｓｐｏｏｆｉｎｇ攻撃に対するｒｅｃｅｉｖｅｒｏｐｅｒａｔｉｎｇｃｈａｒａｃｔｅｒｉｓｔｉｃ（ＲＯＣ）性能を示すグラフである。

【図14】２５６個のＣＡＮＩＤｓｅｑｕｅｎｃｅの長さに対して攻撃によるＮＬＬ値に対するＥＣＤＦを示すグラフである（ L ＝２５６）。

【図15】攻撃探知技法によるｓｐｏｏｆｉｎｇ攻撃に対するＲＯＣ性能比較を図示したグラフである。

【発明を実施するための形態】

【0032】

本発明は多様な変更を加えることができ、多様な実施例を有することができるところ、特定実施例を図面に例示して詳細に説明しようとする。しかし、これは本発明を特定の実施形態に対して限定しようとするものではなく、本発明の思想および技術範囲に含まれるすべての変更、均等物乃至代替物を含むものと理解されるべきである。

【0033】

第１、第２等の用語は多様な構成要素を説明するのに使われ得るが、前記構成要素は前記用語によって限定されてはならない。前記用語は一つの構成要素を他の構成要素から区別する目的でのみ使われる。例えば、本発明の権利範囲を逸脱することなく第１構成要素は第２構成要素と命名され得、同様に第２構成要素も第１構成要素と命名され得る。および／またはという用語は複数の関連した記載された項目の組み合わせまたは複数の関連した記載された項目のうちいずれかの項目を含む。

【0034】

本出願の実施例で、「ＡおよびＢのうち少なくとも一つ」は「ＡまたはＢのうち少なくとも一つ」または「ＡおよびＢのうち一つ以上の組み合わせのうち少なくとも一つ」を意味し得る。また、本出願の実施例で、「ＡおよびＢのうち一つ以上」は「ＡまたはＢのうち一つ以上」または「ＡおよびＢのうち一つ以上の組み合わせのうち一つ以上」を意味し得る。

【0035】

或る構成要素が他の構成要素に「連結されて」いるとか「接続されて」いると言及された時には、その他の構成要素に直接的に連結されていたりまたは接続されていてもよいが、中間に他の構成要素が存在してもよいと理解されるべきである。反面、或る構成要素が他の構成要素に「直接連結されて」いるとか「直接接続されて」いると言及された時には、中間に他の構成要素が存在しないものと理解されるべきである。

【0036】

本出願で使った用語は単に特定の実施例を説明するために使われたものであり、本発明を限定しようとする意図ではない。単数の表現は文脈上明白に異なって意味しない限り、複数の表現を含む。本出願で、「含む」または「有する」等の用語は明細書上に記載された特徴、数字、段階、動作、構成要素、部品またはこれらを組み合わせたものが存在することを指定しようとするものであって、一つまたはそれ以上の他の特徴や数字、段階、動作、構成要素、部品またはこれらを組み合わせたものなどの存在または付加の可能性を予め排除しないものと理解されるべきである。

【0037】

異なって定義されない限り、技術的または科学的な用語を含んでここで使われるすべての用語は本発明が属する技術分野で通常の知識を有する者によって一般的に理解されるものと同じ意味を有している。一般的に使われる辞書に定義されているような用語は、関連技術の文脈上有する意味と一致する意味を有するものと解釈されるべきであり、本出願で明白に定義しない限り、理想的または過度に形式的な意味で解釈されない。

【0038】

以下、添付した図面を参照して、本発明の好ましい実施例をより詳細に説明しようとする。本発明の説明において、全体的な理解を容易にするために図面上の同一の構成要素に対しては同一の参照符号を使用し、同一の構成要素に対して重複した説明は省略する。

【0039】

ＣＡＮｂｕｓ通信は、車両内でホストコンピュータなしにＥＣＵ（ｅｌｅｃｔｒｏｎｉｃｃｏｎｔｒｏｌｕｎｉｔ）間に効率的な通信が可能であるように設計された標準通信規格である。１９８３年Ｂｏｓｃｈ社によって開発されたＣＡＮｂｕｓ通信は単純かつ効率的な構造を有しているため、１９９３年にＩＳＯ１１８９８標準に制定された。ＣＡＮｂｕｓは一つの装置からメッセージを伝送する場合、バスに連結されているすべての装置が受信できるｂｒｏａｄｃａｓｔｉｎｇ通信方式で動作する。この時、ＣＡＮＩＤとメッセージで構成されたＣＡＮデータフレーム（ｄａｔａｆｒａｍｅ）が伝送され、ＣＡＮｂｕｓに連結された任意の装置は自身に必要な特定ＣＡＮＩＤに該当するＣＡＮデータフレームのみを受信することができる。

【0040】

図１は一般的なＣＡＮデータフレーム（ｄａｔａｆｒａｍｅ）の構造を図示した概念図である。

【0041】

図１を参照すると、ＣＡＮの通信プロトコルで使われるフレーム構造は、ｓｔａｒｔｏｆｆｒａｍｅ（ＳＯＦ）、ｉｄｅｎｔｉｆｉｅｒ（ＩＤ）ｆｉｅｌｄ、ｒｅｍｏｔｅｔｒａｎｓｍｉｓｓｉｏｎｒｅｑｕｅｓｔ（ＲＴＲ）、ｃｏｎｔｒｏｌｆｉｅｌｄ、ｄａｔａｆｉｅｌｄ、ｃｙｃｌｉｃｒｅｄｕｎｄａｎｃｙｃｈｅｃｋ（ＣＲＣ）、ａｃｋｎｏｗｌｅｄｇｅｍｅｎｔ（ＡＣＫ）、およびｅｎｄｏｆｆｒａｍｅ（ＥＯＦ）で構成される。ＩＤフィールドは１１ビットを使うので、０ｘ０００から０ｘ７ＦＦまで最大２，０４８個のＣＡＮＩＤが支援され得る。また、データフレームのＣＡＮＩＤ値によって伝送の優先順位が決定されるが、ＩＤ値が低いほど高い伝送優先権を有する。具体的には、互いに異なるＣＡＮＩＤを使うＥＣＵが同時にメッセージを伝送する場合、自身が伝送するＣＡＮＩＤと異なるＥＣＵが伝送するＣＡＮＩＤをビット単位でモニタリングして相手方が自身より優先順位が高いメッセージを伝送するかどうかを確認することができる。これを通じて、優先順位が低いＣＡＮデータフレームを伝送するＥＣＵはＣＡＮＩＤが伝送される区間の間優先順位が高いＣＡＮデータフレームが伝送されていることを感知することができ、該当ＣＡＮデータフレームの伝送が完了するまで待機した後に自身のメッセージを伝送することによって衝突なしに伝送が可能である。

【0042】

ＣＡＮｂｕｓプロトコルが開発される当時にはセキュリティに対する考慮が全くなされていながったため、暗号化や認証のような機能が全く含まれずに開発された。ＣＡＮｂｕｓにはＥＣＵだけでなく、ｂｌｕｅｔｏｏｔｈ、３Ｇ／４Ｇ、Ｗｉ－Ｆｉ、無線通信センサ、ＧＰＳ、車両制御装置などの多くの装置が並列に連結される。すなわち、安全とは関係のない外部装置と安全に直結されたＥＣＵがセキュリティが全く考慮されていない一つの物理的なｂｕｓに連結されるため、外部からのＣＡＮｂｕｓ攻撃がさらに容易である。

【0043】

図２は、ＣＡＮの現在の連結構造の問題点を説明するための概念図である。図２を参照すると、速度と方向を制御する安全に直結されたＥＣＵがＵＳＢとＷｉ－Ｆｉを制御する装置と一つのＣＡＮｂｕｓを通じて連結されている状況が例示される。もし外部通信を担当する装置を攻撃してＣＡＮｂｕｓに接近することができるのであれば、これを通じてｂｕｓに連結された他の装置に悪意のメッセージを伝送したり、正常なフレームを保存した後、これを再び再伝送して他の装置の正常な動作を邪魔することができるであろう。また、反復的なエラーメッセージを送ってＣＡＮｂｕｓシステムをｓｈｕｔ－ｄｏｗｎさせたり、ｂｕｓを通じて車両を構成するそれぞれのＥＣＵに接近して車両の運転方向、速度などに対する情報を変えて故意に事故を誘発することもできるであろう。このような攻撃が可能な理由は、ＣＡＮデータフレームに発信者情報が含まれないため承認を受けた装置のように装ってシステムに接近することが容易であるためである。

【0044】

正常な状況ではＣＡＮｂｕｓでは特定の順序でＣＡＮＩＤが発生し、特定の順序で発生したＣＡＮＩＤが付与されたＣＡＮデータフレームが伝送される。もし外部からの攻撃が存在する場合、非常に高い確率でＣＡＮＩＤの発生順序に変化が発生するであろう。既存の研究ではＣＡＮＩＤのシーケンス（ｓｅｑｕｅｎｃｅ）をイメージに変換し、ＧＡＮ（ｇｅｎｅｒａｔｉｖｅａｄｖｅｒｓａｒｉａｌｎｅｔｗｏｒｋ）構造基盤の教師なし（ｕｎｓｕｐｅｒｖｉｓｅｄ）学習を適用するか、ＣＮＮ（ｃｏｎｖｏｌｕｔｉｏｎａｌｎｅｕｒａｌｎｅｔｗｏｒｋ）構造基盤の教師あり（ｓｕｐｅｒｖｉｓｅｄ）学習を適用する攻撃探知方法が提案された。しかし、既存の研究は次のような問題がある。ＣＡＮＩＤのシーケンス（Ｓｅｑｕｅｎｃｅ）は整数値からなる順列であるにもかかわらず、既存の研究はイメージへの変換を通じての間接的な方式でＣＡＮＩＤの発生順序の変化を感知する。例えば、従来技術では、存在しない（すなわち、許容されていない）ＣＡＮＩＤが既存のＣＡＮＩＤとイメージ上ではほぼ類似するように見えるのであれば、これを探知できないこともある。

【0045】

図３は、ＣＡＮＩＤを２進数に変換してこれを２進イメージ（ｂｉｎａｒｙｉｍａｇｅ）と見なして探知を遂行する従来の方法を図示した概念図である。

【0046】

図３を参照すると、従来の技術ではＣＡＮＩＤを２進数に変換し、変換された２進数を２進イメージ（ｂｉｎａｒｙｉｍａｇｅ）として認識して攻撃を探知する。しかし、この場合、ＣＡＮＩＤの発生順序の変化によってのみ攻撃が探知される。ＣＡＮＩＤを構成するビットのうち一つだけを変換しても許容されたＣＡＮＩＤではないこともあるが、これに対する探知がよくできないこともあり得る。

【0047】

このような問題を解決するために本発明では、自然語学習を通じて文章を生成するＧＰＴ２（ＧｅｎｅｒａｔｉｖｅＰｒｅｔｒａｉｎｅｄＴｒａｎｓｆｏｒｍｅｒ２）ディープラーニング構造を利用してＣＡＮｂｕｓでの攻撃を探知する方法および装置が提案される。特に、探知時点を基準として過去と未来のＣＡＮＩＤをすべて利用できるように、両方向（ｂｉ－ｄｉｒｅｃｔｉｏｎａｌ）方式で結合された２個のＧＰＴ２モジュール（ｍｏｄｕｌｅ）を利用する方法および装置が提案される。

【0048】

ＧＰＴ２は自然語学習を通じて文章を生成するディープラーニング構造である。ＧＰＴ２の訓練過程で、文章が与えられると、文章を構成する各単語は予め生成された単語帳から検索されたそれに該当する整数値に変換される。変換された整数はエンベッディングベクトル（ｅｍｂｅｄｄｉｎｇｖｅｃｔｏｒ）に変換された後、トランスフォーマー（ｔｒａｎｓｆｏｒｍｅｒ）に順次入力され、トランスフォーマーは入力された単語の次の単語を予測する。予測された単語と実際の単語間のクロスエントロピー（ｃｒｏｓｓｅｎｔｒｏｐｙ）を最小化するようにＧＰＴ２は訓練され得る。前述した訓練過程を経たＧＰＴ２は、入力された単語に対して単語帳に存在する単語のうち最も高い確率で登場する次の単語を予測することができる。また、予測された単語が再びＧＰＴ２に入力されるとその次の単語の予測が可能であるので、文章の生成が可能となる。このような文章生成機能を利用して記事の作成などにＧＰＴ２が活用され得る。

【0049】

図４は、ＧＰＴ２ネットワークで信号の流れを図示した概念図である。図４を参照すると、エンベッディングベクトルＥ_ｉに変換された単語トークン（ｔｏｋｅｎ）が順次トランスフォーマー（ｔｒａｎｓｆｏｒｍｅｒ）に入力されると、最終レイヤ（ｌａｙｅｒ）で該当単語の次に登場する単語に対する確率を出力する。

【0050】

図５は、ＧＰＴ２ネットワークに適用されるマスクセルフアテンション（Ｍａｓｋｅｄｓｅｌｆ－ａｔｔｅｎｔｉｏｎ）の概念を説明するための概念図である。図５を参照すると、ＧＰＴ２は一度に入力されたすべての単語を並列で処理するので、何の措置も取らない場合、後で登場する単語に対する情報が次の単語を予測するために使われ得る。このような問題を解決するために、マスクセルフアテンション（ｍａｓｋｅｄｓｅｌｆ－ａｔｔｅｎｔｉｏｎ）技法が使われる。すなわち、次の単語を予測するために、直前まで入力された単語に対する情報を使うためにマスク（ｍａｓｋ）を使う。このようなｍａｓｋｅｄｓｅｌｆ－ａｔｔｅｎｔｉｏｎ技法は後述されるＧＰＴ２モジュールにＣＡＮＩＤのシーケンスが入力される過程で適用され得る。

【0051】

攻撃探知のための訓練（ｔｒａｉｎｉｎｇ）手続き
以下では、本発明の一実施例に係る両方向ＧＰＴ２ネットワークを利用したＣＡＮバスでの攻撃探知方法を遂行するための両方向ＧＰＴ２ネットワークの構造とこれを利用した攻撃探知のための訓練手続きが説明される。

【0052】

図６は、本発明の一実施例に係る両方向ＧＰＴ２ネットワークの構造を説明するためのブロック図である。図６を参照すると、両方向ＧＰＴ２ネットワークはフォワード（ｆｏｒｗａｒｄ）ＧＰＴモジュール６１０、バックワード（ｂａｃｋｗａｒｄ）ＧＰＴモジュール６２０、連接部６３０、完全連結階層（ｆｕｌｌｙ－ｃｏｎｎｅｃｔｅｄｌａｙｅｒ）の線形レイヤ（ｌｉｎｅａｒｌａｙｅｒ）６４０、ソフトマックス（ｓｏｆｔｍａｘ）関数（または階層）６５０で構成され得る。前記両方向ＧＰＴネットワークは本発明のＣＡＮバス攻撃探知装置に搭載される前に訓練（ｔｒａｉｎｅｄ）され得る。以下では、両方向ＧＰＴ２ネットワークの訓練手続きが後述される。

【0053】

図７は、本発明の一実施例に係るＣＡＮｂｕｓでの攻撃探知のための両方向ＧＰＴネットワークの訓練手続きを説明するためのフローチャートである。

【0054】

まず、ＣＡＮＢＵＳ上で受信されるＣＡＮデータフレームのＣＡＮＩＤが発生順の通りに収集され得る（Ｓ７１０）。前記収集されたＣＡＮＩＤから予め定められた個数Ｌ（Ｌは１以上の整数）のＣＡＮＩＤで構成されたＣＡＮＩＤシーケンスが生成され得る（Ｓ７２０）。

【0055】

この場合、許容されたＣＡＮＩＤの個数がＫ（Ｋは１以上の整数）である場合、前記シーケンス内の許容されたＣＡＮＩＤは大きさ順で整列されて０～Ｋ－１値に変換され、前記シーケンス内の許容されていないＣＡＮＩＤはすべてＫに変換され得る。

【0056】

例えば、Ｋ＝４であるとき許容されたＣＡＮＩＤが０ｘ００３、０ｘ００８、０ｘ０１０、０ｘ０１３であれば、これらはそれぞれ０、１、２、３に変換され得る。したがって、段階（Ｓ７１０）で収集されたＣＡＮＩＤの中で許容されたＣＡＮＩＤそれぞれは０～Ｋ－１値の中の一つの値に変換され得る。一方、段階（Ｓ７１０）で収集されたＣＡＮＩＤの中で許容されていないＣＡＮＩＤはすべて整数値Ｋに変換され得る。例えば、シーケンス内に含まれた許容されていないＣＡＮＩＤ（例えば、０ｘ０００、０ｘ０１５）はすべて４に変換され得る。

【0057】

次に、前記ＣＡＮＩＤシーケンスが両方向ＧＰＴ２ネットワークに入力されて前記シーケンスに対応する損失関数（ｌｏｓｓｆｕｎｃｔｉｏｎ）の値が計算され得る（Ｓ７３０）。

【0058】

図８は、本発明の一実施例に係る両方向ＧＰＴ２ネットワークによる損失関数値の計算手続きを説明するためのフローチャートである。

【0059】

図８を参照すると、段階（Ｓ７２０）のシーケンスは本来の順序で前記フォワードＧＰＴモジュール６１０に入力され、逆の順序で前記バックワードＧＰＴモジュール６２０に入力され得る（Ｓ８１０）。

【0060】

具体的には、Ｌ個のＣＡＮＩＤのシーケンスが本来の順序でフォワードＧＰＴモジュール６１０に入力され得る。また、Ｌ個のＣＡＮＩＤのシーケンスは逆の順序でバックワードＧＰＴモジュール６２０に入力され得る。より具体的には、下記の数学式（１）のように、前記フォワードＧＰＴモジュール６１０に前記シーケンスに属する０番目のＣＡＮＩＤからＬ－２番目のＣＡＮＩＤまでのＣＡＮＩＤに対応するエンベッディングベクトルが入力され、１番目のＣＡＮＩＤからＬ－１番目のＣＡＮＩＤに対応するＥ次元のベクトルが出力され得る（Ｓ8２０）。

【0061】

【数13】

また、下記の数学式（２）のように、バックワードＧＰＴモジュール６２０に前記シーケンスに属するＬ－１番目のＣＡＮＩＤから１番目のＣＡＮＩＤまでのＣＡＮＩＤに対応するエンベッディングベクトルが発生の逆の順序で入力され、Ｌ－２番目のＣＡＮＩＤから０番目のＣＡＮＩＤに対応するＥ次元のベクトルが出力され得る（Ｓ8７３０）。

【0062】

【数14】

ここで、

【0063】

【数15】

および

【0064】

【数16】

はエンベッディングベクトルの次元と同一のＥ次元を有するベクトルである。したがって、フォワードＧＰＴモジュールの出力とバックワードＧＰＴモジュールの出力はそれぞれＥ×（Ｌ－１）大きさの行列である。

【0065】

フォワードＧＰＴモジュール６１０の出力とバックワードＧＰＴモジュール６２０の出力は、連接部６３０を通じて連接されて下記の数学式（３）のような２Ｅ×Ｌ大きさの行列が生成され得る（Ｓ８４０）。

【0066】

【数17】

ここで、バックワードＧＰＴモジュール６２０の出力は再び逆順で変換されてフォワードＧＰＴモジュール６１０の出力順序と一致され、２Ｅ×Ｌ大きさの行列生成のためにゼロベクトル（ｚｅｒｏ－ｖｅｃｔｏｒ）０が挿入され得る。

【0067】

前記数学式（３）の行列は完全連結階層６４０に入力されて（Ｋ＋１）×Ｌ大きさの行列に変換され、ソフトマックスレイヤ（ｓｏｆｔｍａｘｌａｙｅｒ）を経て下記の数学式（４）の確率行列として出力され得る（Ｓ８５０）。ここで、確率行列はシーケンスを構成するＣＡＮＩＤそれぞれが０、整数値で変換された許容されたＣＡＮＩＤのうち一つ（すなわち、０～Ｋ－１）、または許容されていないＣＡＮＩＤのうち一つ（すなわち、Ｋ）である確率を表現する行列である。

【0068】

【数18】

前記確率行列を利用して下記の数学式（５）の損失関数が計算され得る（Ｓ８６０）。再び図７を参照すると、前記フォワードＧＰＴ６１０、前記バックワードＧＰＴ６２０、および前記完全連結階層６３０に対する訓練が下記の数学式（５）（損失関数）を最小化するように進行され得る（Ｓ７４０）。

【0069】

【数19】

ここで、

【0070】

【数20】

は訓練に使われるｎ番目の正常ＣＡＮＩＤｓｅｑｕｅｎｃｅのl番目の変数であり、

【0071】

【数21】

に対する実際に発生したＣＡＮＩＤ（すなわち、グランドトゥルース（ｇｒｏｕｎｄｔｒｕｔｈ値）である。

【0072】

攻撃探知手続き
以下では、本発明の一実施例に係る両方向ＧＰＴ２ネットワークを利用したＣＡＮＢＵＳでの攻撃探知手続きが説明される。攻撃探知では、前述された訓練手続きによって訓練された両方向ＧＰＴ２ネットワークが利用され得る。基本的に、両方向ＧＰＴ２ネットワークを利用した攻撃探知手続きは前述された訓練手続きに類似している。

【0073】

図９は、本発明の一実施例に係るＣＡＮｂｕｓでの攻撃探知のための両方向ＧＰＴ２ネットワークを利用した攻撃探知手続きを説明するためのフローチャートである。

【0074】

下記の数学式（６）のように定義された予め設定されたＬ個のＣＡＮＩＤを含み、探知対象区間に対応するｍ番目のＣＡＮＩＤシーケンス（Ｓｅｑｕｅｎｃｅ）が訓練された両方向ＧＰＴ２ネットワークに入力され得る（Ｓ９１０）。

【0075】

【数22】

この場合、前述された訓練手続きでと同様に、許容されたＣＡＮＩＤの個数がＫ（Ｋは１以上の整数）である場合、前記シーケンス内の許容されたＣＡＮＩＤは大きさ順で整列されて０～Ｋ－１値に変換され、前記シーケンス内の許容されていないＣＡＮＩＤはＫに変換されて前記両方向ＧＰＴ２ネットワークに入力され得る。

【0076】

例えば、Ｋ＝４であるとき許容されたＣＡＮＩＤが０ｘ００３、０ｘ００８、０ｘ０１０、０ｘ０１３であれば、これらはそれぞれ０、１、２、３に変換され得る。したがって、シーケンスに含まれたＣＡＮＩＤの中で許容されたＣＡＮＩＤそれぞれは０～Ｋ－１値の中の一つの値に変換され得る。一方、シーケンスに含まれたＣＡＮＩＤの中で許容されていないＣＡＮＩＤはすべて整数値Ｋに変換され得る。例えば、シーケンス内に含まれた許容されていないＣＡＮＩＤ（例えば、０ｘ０００、０ｘ０１５）はすべて４に変換され得る。

【0077】

訓練された両方向ＧＰＴ２ネットワークでは前述された段階（Ｓ８１０～Ｓ８６０）を経て下記の数学式（７）の損失関数の値が計算され得る。ここで、数学式（７）で定義される損失関数の値は、入力されたシーケンスの異常の有無を判断するという点で異常値スコア（ａｎｏｍａｌｙｓｃｏｒｅ）と指称され得る。

【0078】

【数23】

ここで、

【0079】

【数24】

は探知対象区間に対応するｍ番目のＣＡＮＩＤｓｅｑｕｅｎｃｅのl番目の変数であり、

【0080】

【数25】

に対する実際に発生したＣＡＮＩＤ（すなわち、グランドトゥルース（ｇｒｏｕｎｄｔｒｕｔｈ値）である。

【0081】

計算された異常値スコアがしきい値Ｔを比較して探知対象シーケンスの正常の有無が判定され得る（Ｓ９３０）。具体的には、異常値スコアがしきい値Ｔより大きければ探知対象シーケンスに対応する区間は攻撃が存在する区間と判定され、異常値スコアがしきい値Ｔより低ければ探知対象シーケンスに対応する区間は正常区間と判定され得る。

【0082】

追加的に、判定された区間に対する和集合を通じて下記の数学式（８）～数学式（１０）のように最終攻撃区間Ｉ^＊が決定され得る。

【0083】

【数26】

攻撃探知装置の構成
本発明の一実施例に係るＣＡＮｂｕｓでの攻撃探知装置は車両内でＣＡＮＢＵＳに連結された装置であり得る。例えば、車両のヘッドユニット（ｈｅａｄｕｎｉｔ）または車両ネットワーク（ｉｎ－ｖｅｈｉｃｌｅｎｅｔｗｏｒｋ）のゲートウェイ（ｇａｔｅｗａｙ）が前記攻撃探知装置として動作することができる。または車両のヘッドユニットまたはゲートウェイが前記攻撃探知装置を含むように構成され得る。一方、前記攻撃探知装置は車両の内部または外部に存在する診断（ｄｉａｇｎｏｓｔｉｃ）装置として具現されたり診断装置に含まれ得る。

【0084】

図１０は、本発明の一実施例に係るＣＡＮｂｕｓでの攻撃探知装置の構成を説明するためのブロック図である。図１０を参照すると、攻撃探知装置１０００は少なくとも一つのプロセッサ１０１０、メモリ１０２０およびＣＡＮｂｕｓと連結されて通信を遂行する送受信装置１０３０を含むことができる。また、攻撃探知装置１０００は入力インターフェース装置１０４０、出力インターフェース装置１０５０、保存装置１０６０等をさらに含むことができる。攻撃探知装置１０００に含まれたそれぞれの構成要素は装置内のバス（ｂｕｓ）１０７０により連結されて通信を遂行できる。ただし、攻撃探知装置１０００に含まれたそれぞれの構成要素は共通バス１０７０ではなく、プロセッサ１０１０を中心に個別インターフェースまたは個別バスを通じて連結されてもよい。例えば、プロセッサ１０１０はメモリ１０２０、送受信装置１０３０、入力インターフェース装置１０４０、出力インターフェース装置１０５０および保存装置１０６０の中で少なくとも一つと専用インターフェースを通じて連結されてもよい。

【0085】

プロセッサ１０１０はメモリ１０２０および保存装置１０６０のうち少なくとも一つに保存されたプログラム命令（ｐｒｏｇｒａｍｃｏｍｍａｎｄ）を実行することができる。プロセッサ１０１０は中央処理装置（ｃｅｎｔｒａｌｐｒｏｃｅｓｓｉｎｇｕｎｉｔ、ＣＰＵ）、グラフィック処理装置（ｇｒａｐｈｉｃｓｐｒｏｃｅｓｓｉｎｇｕｎｉｔ、ＧＰＵ）、または本発明の実施例に係る方法が実行される専用のプロセッサを意味し得る。メモリ１０２０および保存装置１０６０それぞれは揮発性保存媒体および不揮発性保存媒体のうち少なくとも一つで構成され得る。例えば、メモリ１０２０は読み取り専用メモリ（ｒｅａｄｏｎｌｙｍｅｍｏｒｙ、ＲＯＭ）およびランダムアクセスメモリ（ｒａｎｄｏｍａｃｃｅｓｓｍｅｍｏｒｙ、ＲＡＭ）のうち少なくとも一つで構成され得る。

【0086】

前述された両方向ＧＰＴ２ネットワークは訓練された状態で前記メモリ１０２０および／または保存装置１０６０に保存され得る。または前述された両方向ＧＰＴ２ネットワークは攻撃探知装置１０００に搭載された状態で訓練されてもよい。

【0087】

前述された両方向ＧＰＴ２ネットワークは攻撃探知装置１０００に搭載された状態で訓練される場合、前記プロセッサ１０１０は図７および図８を参照して説明された段階を遂行するための命令語を実行して両方向ＧＰＴ２ネットワークを訓練させることができる。

【0088】

また、前記プロセッサ１０１０は訓練された両方向ＧＰＴネットワークを利用してＣＡＮＩＤシーケンスに対する正常の有無を図７および図８を参照して説明された段階を遂行するための命令語を実行して判定することができる。

【0089】

提案された方法の性能検証
提案された探知方法の性能検証のために、２０２０年式ＨｙｕｎｄａｉＡｖａｎｔｅＣＮ７車両のＣＡＮｂｕｓ信号を収集して使った。正常ＣＡＮｂｕｓ信号の有効なＣＡＮＩＤの個数は総９０個である。訓練のために約１．８時間の間市内を走行して約１５，９００，０００個のＣＡＮＩＤｓｅｑｕｅｎｃｅを収集したし、評価のために約０．３４時間の間攻撃を遂行して約３，３００，０００個のＣＡＮＩＤｓｅｑｕｅｎｃｅを収集した。評価データを収集する過程で対象車両に対する攻撃として、ｆｌｏｏｄｉｎｇ、ｓｐｏｏｆｉｎｇ、ｒｅｐｌａｙ、そしてｆｕｚｚｉｎｇの攻撃を施行した。具体的な攻撃遂行方式は次の通りである。Ｆｌｏｏｄｉｎｇ攻撃では最も高い優先順位を有するＣＡＮＩＤ０ｘ０００をＣＡＮｂｕｓに約１５４，２００個を注入した。Ｓｐｏｏｆｉｎｇ攻撃では許容されたＣＡＮＩＤ中、０ｘ３６６と０ｘ５５３を選定して約７，８００個を注入した。Ｒｅｐｌａｙ攻撃では正常ＣＡＮｂｕｓ信号を一定時間の間約４７，６００個を記録した後、これを再び注入した。Ｆｕｚｚｉｎｇ攻撃では無作為でＣＡＮＩＤを生成して約８９，９００個を注入した。表１は訓練および評価データの構成を要約した。

【0090】

【表1】

提案された方法は別途の言及がない限り、ＣＡＮＩＤｓｅｑｕｅｎｃｅ長さＬ＝２５６、ｗｏｒｄｅｍｂｅｄｄｉｎｇベクトルの次元Ｅ＝１２８、ｆｏｒｗａｒｄおよびｂａｃｋｗａｒｄＧＰＴのｍｕｌｔｉ－ｈｅａｄ個数Ｈ＝８、ｌａｙｅｒ個数Ｇ＝６、各ｌａｙｅｒに０．１のｄｒｏｐｏｕｔ確率を適用した。訓練は前述した正常ＣＡＮｂｕｓ信号で構成された訓練データのみを利用して遂行した。この時、ｍｉｎｉ－ｂａｔｃｈ大きさ３２を使ったし、Ａｄａｍ最適化アルゴリズムを利用して１０ｅｐｏｃｈ間訓練を遂行した。評価過程では長さがＬであるＣＡＮＩＤｓｅｑｕｅｎｃｅ内に一つ以上の攻撃ＣＡＮＩＤが存在する場合、これを攻撃と判定した。表２は提案技法のｈｙｐｅｒｐａｒａｍｅｔｅｒを要約した。

【0091】

【表2】

性能評価のための性能指標として、ｔｒｕｅｐｏｓｉｔｉｖｅｒａｔｅ（ＴＰＲ）とｆａｌｓｅｐｏｓｉｔｉｖｅｒａｔｅ（ＦＰＲ）を使う。ＴＰＲはすべての攻撃ＣＡＮＩＤｓｅｑｕｅｎｃｅの中で攻撃（ｉ．ｅ．、ｔｒｕｅｐｏｓｉｔｉｖｅｓ）であると正しく判定した比率であり、ＦＰＲはすべての正常ＣＡＮＩＤｓｅｑｕｅｎｃｅの中で攻撃（ｉ．ｅ．、ｆａｌｓｅｐｏｓｉｔｉｖｅ）であると誤判定した比率である。また、このような性能指標に基づいて種々のｔｈｒｅｓｈｏｌｄ値を使う異常探知システムの性能を視覚的に見せるためにｒｅｃｅｉｖｅｒｏｐｅｒａｔｉｎｇｃｈａｒａｃｔｅｒｉｓｔｉｃｓ（ＲＯＣ）曲線を使う。ＲＯＣ曲線は任意のｔｈｒｅｓｈｏｌｄ値に該当するＦＰＲ値とＴＰＲ値をそれぞれ２次元グラフの横軸と縦軸に表示する。互いに異なる技法のＲＯＣ性能を比較するために、ａｒｅａｕｎｄｅｒｔｈｅｃｕｒｖｅ（ＡＵＣ）値を利用する。ＡＵＣの値は、与えられたＲＯＣ曲線で下記の領域を正規化して計算するため完ぺきな性能に対するＡＵＣ値は１が出ることになり、一般的な性能の探知機は０から１の間の多様なＡＵＣ値を有することになる。したがって、比較する探知機のＡＵＣ値が高いほどより高い性能を有するものと考えることができる。因みに、下記の数学式（１１）のように定義される精密度（ｐｒｅｃｉｓｉｏｎ）と再現率（ｒｅｃａｌｌ）（すなわち、ＴＰＲ）の調和平均であるＦ－ｍｅａｓｕｒｅ）を性能評価指標として使う。

【0092】

【数27】

ここで、精密度は攻撃であると判定されたＣＡＮＩＤｓｅｑｕｅｎｃｅの中で実際の攻撃ＣＡＮＩＤｓｅｑｕｅｎｃｅの比率である。Ｆ－ｍｅａｓｕｒｅはその値が大きいほど探知性能が高いと評価する。

【0093】

図１１は、攻撃ＣＡＮＩＤの注入間隔に対するｅｍｐｉｒｉｃａｌｃｕｍｕｌａｔｉｖｅｄｅｎｓｉｔｙｆｕｎｃｔｉｏｎ（ＥＣＤＦ）を図示したグラフである。

【0094】

例えば、ｆｌｏｏｄｉｎｇ攻撃の場合、注入間隔が３であり、これはＣＡＮｂｕｓを通じて伝送されるＣＡＮｄａｔａｆｒａｍｅ３個のうち１個がｆｌｏｏｄｉｎｇ攻撃によるものであるという意味である。Ｆｌｏｏｄｉｎｇ、ｆｕｚｚｉｎｇ、ｒｅｐｌａｙ攻撃の場合、攻撃の特性上、攻撃ＣＡＮＩＤの注入間隔が１０以下であることを確認することができる。したがって、攻撃判定のためのＣＡＮＩＤｓｅｑｕｅｎｃｅの長さであるＬが大きくなくても十分に多数の攻撃ＩＤが存在するであろうため、該当攻撃に対する探知性能は減少しないものと予想される。それに反して、ｓｐｏｏｆｉｎｇ攻撃は２個の有効ＣＡＮＩＤのみを使って攻撃を遂行するので、攻撃ＩＤの注入間隔が相対的に非常に大きい。具体的には、約１２％程度のｓｐｏｏｆｉｎｇ攻撃の注入間隔が１００以上であることを見ることができる。したがって、Ｌ＝１００である場合、約１２％程度のｓｐｏｏｆｉｎｇ攻撃は該当ＣＡＮＩＤｓｅｑｕｅｎｃｅ内にただ一つの攻撃ＩＤが存在する。

【0095】

図１２は、ＣＡＮＩＤｓｅｑｕｅｎｃｅ内の攻撃ＩＤの個数に対する経験的ＥＣＤＦを図示したグラフである（Ｌ＝２５６）。

【0096】

Ｓｐｏｏｆｉｎｇ攻撃は、ＣＡＮＩＤｓｅｑｕｅｎｃｅ内に少なくとも１個～最大１１個程度の非常に少ない数の攻撃ＩＤが存在することが分かる。特に、全体ｓｐｏｏｆｉｎｇＣＡＮＩＤｓｅｑｕｅｎｃｅのうち５％程度において２個以下のｓｐｏｏｆｉｎｇ攻撃が含まれていることが分かる。すなわち、無視できない程度に多いｓｐｏｏｆｉｎｇＣＡＮＩＤｓｅｑｕｅｎｃｅで過度に少ない数のｓｐｏｏｆｉｎｇ攻撃が含まれているため、その探知性能が劣化されるものと予想される。

【0097】

適切なＣＡＮＩＤｓｅｑｕｅｎｃｅ長さＬを決定するために、図１３は提案の技法でＬによるｓｐｏｏｆｉｎｇ攻撃に対するｒｅｃｅｉｖｅｒｏｐｅｒａｔｉｎｇｃｈａｒａｃｔｅｒｉｓｔｉｃ（ＲＯＣ）性能を示すグラフである。前期にて予想したように、Ｌ＝６４と１２８である場合、該当ｓｅｑｕｅｎｃｅ内にｓｐｏｏｆｉｎｇ攻撃の個数が過度に少ないため、探知性能が劣化されることが分かる。それに反して、Ｌ＝２５６である場合、ほとんど２個以上のｓｐｏｏｆｉｎｇ攻撃が存在するので探知性能が向上することが分かる。また、Ｌ＝２５６でのＡＵＣ性能はＬ＝６４とＬ＝１２８に比べて、それぞれ約６．９％と約１．５％向上した。特に言及しない限り、以降の結果ではＬ＝２５６を適用する。

【0098】

図１４は、２５６個のＣＡＮＩＤｓｅｑｕｅｎｃｅの長さに対して攻撃によるＮＬＬ値に対するＥＣＤＦを示すグラフである（Ｌ＝２５６）。

【0099】

Ｆｌｏｏｄｉｎｇ、ｆｕｚｚｉｎｇ、ｒｅｐｌａｙ攻撃の場合、正常に比べてＮＬＬ値が非常に大きい傾向を有するが、これはＣＡＮＩＤｓｅｑｕｅｎｃｅ内に非常に多くの攻撃ＩＤが存在するためである。しかし、ｓｐｏｏｆｉｎｇ攻撃は相対的に少ない数の攻撃ＩＤを含むため、ＮＬＬ値が相対的に低いことが分かる。

【0100】

以下では、提案された方法と既存の攻撃探知技法との性能を比較する。比較する最初の攻撃探知技法として２ｎｄｏｒｄｅｒＭａｒｋｏｖ－ｃｈａｉｎｍｏｄｅｌをｂｉ－ｄｉｒｅｃｔｉｏｎａｌに結合したｂｉ－Ｍａｒｋｏｖｍｏｄｅｌを考慮する。この技法では、訓練データを利用してＣＡＮＩＤｓｅｑｕｅｎｃｅに対するｆｏｒｗａｒｄおよびｂａｃｋｗａｒｄに対する２ｎｄｏｒｄｅｒｔｒａｎｓｉｔｉｏｎｐｒｏｂａｂｉｌｉｔｙを推定し、これを利用して評価ｓｅｑｕｅｎｃｅに対するｌｏｇｐｒｏｂａｂｉｌｉｔｙを計算して攻撃の有無を判定する。２番目の比較技法は、提案技法とは異なってＧＰＴｍｏｄｕｌｅをｆｏｒｗａｒｄ方向にのみ適用した技法を考慮する。この技法は、単一方向ＧＰＴｍｏｄｕｌｅのみを使うため、提案技法との複雑度を同様に維持するためにＧＰＴｎｅｔｗｏｒｋのｌａｙｅｒ数Ｇを１２として使う。３番目の比較技法は提案技法に使われたＧＰＴｍｏｄｕｌｅの代わりにＬＳＴＭｍｏｄｕｌｅを使ったｂｉ－ｄｉｒｅｃｔｉｏｎａｌＬＳＴＭ技法を考慮する。この技法では、ｆｏｒｗａｒｄおよびｂａｃｋｗａｒｄＬＳＴＭｍｏｄｕｌｅに提案技法と同一の次元（Ｅ＝１２８）のｗｏｒｄｅｍｂｅｄｄｉｎｇベクトルを適用し、各ＬＳＴＭｍｏｄｕｌｅはｈｉｄｄｅｎｓｔａｔｅおよびｃｅｌｌｓｔａｔｅ次元が１２８であるＬＳＴＭｃｅｌｌ６個を積層して使った。

【0101】

図１５は、攻撃探知技法によるｓｐｏｏｆｉｎｇ攻撃に対するＲＯＣ性能比較を図示したグラフである。

【0102】

ＡＵＣ性能は予想した通り、提案技法の性能が最小約１．０％～最大約１０％程度向上することが分かる。すなわち、既存のＧＰＴｎｅｔｗｏｒｋを適用する技法に比べて、提案技法のようにｆｏｒｗａｒｄおよびｂａｃｋｗａｒｄ両方向にＧＰＴｍｏｄｕｌｅを結合すると、同一の複雑度を維持しながらも性能を向上させることができるという意味である。また、ＬＳＴＭｍｏｄｕｌｅに比べてＧＰＴｍｏｄｕｌｅを両方向に結合するものの性能がさらに優秀であることが分かる。

【0103】

表３は攻撃探知技法によるｓｐｏｏｆｉｎｇ攻撃に対するＴＰＲ性能を比較する。提案技法はＦＰＲ＝０．５％から、比較技法に比べてＴＰＲが最小約４４．３％～最大約２０７．４％まで向上することが分かる。

【0104】

【表3】

表４はＦＰＲ＝０．５％から、攻撃探知技法によるｆａｌｓｅｎｅｇａｔｉｖｅｒａｔｅ（ＦＮＲ）（すなわち、１－ＴＰＲ）性能を示す。

【0105】

【表4】

ここで、ＦＮＲは実際の攻撃の中で正常であると誤って判断した比率を示すが、低いほど性能がよいことを意味する。Ｓｐｏｏｆｉｎｇ攻撃に対するＦＮＲ性能は、他の比較技法に比べて最小約９％～最大約１７．９％まで減少することが分かる。Ｆ－ｍｅａｓｕｒｅの場合、ｓｐｏｏｆｉｎｇ攻撃に対して最小約２３．２％～最大約１０８．６％まで性能が向上することが分かる。

【0106】

本発明に係る方法は、多様なコンピュータ手段を通じて実行され得るプログラム命令の形態で具現されてコンピュータ読み取り可能媒体に記録され得る。コンピュータ読み取り可能媒体はプログラム命令、データファイル、データ構造などを単独でまたは組み合わせて含むことができる。コンピュータ読み取り可能媒体に記録されるプログラム命令は本発明のために特別に設計されて構成されたものであるか、コンピュータソフトウェア当業者に公知となっていて使用可能なものであってもよい。

【0107】

コンピュータ読み取り可能媒体の例には、ロム（ｒｏｍ）、ラム（ｒａｍ）、フラッシュメモリ（ｆｌａｓｈｍｅｍｏｒｙ）等のようにプログラム命令を保存し遂行するように特別に構成されたハードウェア装置が含まれる。プログラム命令の例には、コンパイラ（ｃｏｍｐｉｌｅｒ）により作られるような機械語コードだけでなく、インタープリタ（ｉｎｔｅｒｐｒｅｔｅｒ）等を使ってコンピュータによって実行され得る高級な言語コードを含む。前述したハードウェア装置は本発明の動作を遂行するために少なくとも一つのソフトウェアモジュールで作動するように構成され得、その逆も同一である。

【0108】

以上、実施例を参照して説明したが、該当技術分野の熟練した当業者は、下記の特許請求の範囲に記載された本発明の思想および領域から逸脱しない範囲内で本発明を多様に修正および変更できることが理解できるであろう。

【図1】