特許 7071510 車両内ネットワークにセキュリティを提供するシステム及び方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2022-05-10

(45)【発行日】2022-05-19

(54)【発明の名称】車両内ネットワークにセキュリティを提供するシステム及び方法

(51)【国際特許分類】

   H04L 12/28 20060101AFI20220511BHJP

【ＦＩ】

H04L12/28 200Z

H04L12/28 100A

【請求項の数】 9

(21)【出願番号】P 2020538073

(86)(22)【出願日】2019-01-21

(65)【公表番号】

(43)【公表日】2021-04-22

(86)【国際出願番号】 KR2019000832

(87)【国際公開番号】W WO2019146976

(87)【国際公開日】2019-08-01

【審査請求日】2020-07-09

(31)【優先権主張番号】62/620,754

(32)【優先日】2018-01-23

(33)【優先権主張国・地域又は機関】US

(73)【特許権者】

【識別番号】512297583

【氏名又は名称】ヒョンダイ モーター カンパニー

(73)【特許権者】

【識別番号】512297594

【氏名又は名称】キア コーポレーション

(74)【代理人】

【識別番号】110000051

【氏名又は名称】特許業務法人共生国際特許事務所

(72)【発明者】

【氏名】パク，スン ウク

(72)【発明者】

【氏名】キム，セイル

(72)【発明者】

【氏名】ゾ，ア－ラム

【審査官】大石 博見

(56)【参考文献】

【文献】特表２０１６－５０２６９７（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ １２／２８

(57)【特許請求の範囲】

【請求項1】

車両内ネットワークにセキュリティを提供するための侵入検知システムであって、
車両内ネットワークから収集したネットワークメッセージをメッセージキューに保存するためのメッセージキューモジュールと、
複数の検知技法に用いられるルールセットを安全に保存するためのストレージと、
外部ネットワーク上のバックエンドサーバからダウンロードした新しいルールセットに、前記ストレージに保存されたルールセットをアップデートして、前記収集したネットワークメッセージがセキュリティ脅威メッセージであるか否かを決定するために、前記収集したネットワークメッセージに対して前記複数の検知技法を段階的に適用するように構成されたルールエンジンと、を含み、
前記複数の検知技法は、静的検知（ｓｔａｔｉｃ ｄｅｔｅｃｔｉｏｎ）技法、誤用検知（ｍｉｓｕｓｅ ｄｅｔｅｃｔｉｏｎ）技法、及び変則検知（ａｎｏｍａｌｙ ｄｅｔｅｃｔｉｏｎ）技法を含み、
前記ルールエンジンは、前記収集したネットワークメッセージに対し、前記静的検知技法、前記誤用検知技法、前記変則検知技法の順に適用し、いずれかの検知技法が、前記収集したネットワークメッセージをセキュリティ脅威メッセージとして決定することに応答して、前記収集したネットワークメッセージに対する残りの検知技法の適用をバイパスするように構成されたことを特徴とする侵入検知システム。

【請求項2】

前記侵入検知システムは、
前記車両内ネットワークと外部ネットワークとを接続するセントラルゲートウェイ、
前記車両内ネットワークの各機能ドメインと前記セントラルゲートウェイとを接続するサブゲートウェイ、及び
前記各機能ドメインに属する電子制御装置（ＥＣＵ）
のうちのいずれかに埋め込まれたことを特徴とする請求項１に記載の侵入検知システム。

【請求項3】

前記ルールエンジンは、
前記複数の検知技法のすべてが前記ネットワークメッセージをセキュリティ脅威メッセージでないことを決定することに応答し、前記収集したネットワークメッセージが前記セントラルゲートウェイ、前記サブゲートウェイ、または前記電子制御装置のアプリケーションソフトウェアに伝達されることを許可するように構成されたことを特徴とする請求項２に記載の侵入検知システム。

【請求項4】

前記侵入検知システムは、
前記車両内ネットワークにノードとして接続される専用のコンピューティングデバイスであることを特徴とする請求項１に記載の侵入検知システム。

【請求項5】

前記ルールセットの暗号化及び復号化を実行して関連するキーを管理する暗号化モジュールをさらに含む請求項１に記載の侵入検知システム。

【請求項6】

前記バックエンドサーバから新しいルールセットをダウンロードしたり、検知ログをバックエンドサーバに伝送できるように、前記バックエンドサーバとの通信接続を管理するインターフェースマネージャーをさらに含む請求項１に記載の侵入検知システム。

【請求項7】

前記車両内ネットワークは、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）ネットワークであることを特徴とする請求項１に記載の侵入検知システム。

【請求項8】

侵入検知システムが車両内ネットワークにセキュリティを提供する方法であって、
複数の検知技法に用いられるルールセットを外部ネットワーク上のバックエンドサーバからダウンロードして、予め保存されたルールセットをアップデートするステップと、
車両内ネットワークから収集したネットワークメッセージをメッセージキューに保存するステップと、
前記収集したネットワークメッセージがセキュリティ脅威メッセージであるか否かを決定するために、前記収集したネットワークメッセージに対する前記複数の検知技法を段階的に適用するステップと、を含み、
前記複数の検知技法は、静的検知（ｓｔａｔｉｃ ｄｅｔｅｃｔｉｏｎ）技法、誤用検知（ｍｉｓｕｓｅ ｄｅｔｅｃｔｉｏｎ）技法、及び変則検知（ａｎｏｍａｌｙ ｄｅｔｅｃｔｉｏｎ）技法を含み、
前記複数の検知技法を段階的に適用するステップは、前記収集したネットワークメッセージに対し、前記静的検知技法、前記誤用検知技法、前記変則検知技法の順に適用し、いずれかの検知技法が、前記収集したネットワークメッセージをセキュリティ脅威メッセージに決定することに応答して、前記収集したネットワークメッセージに対する残りの検知技法の適用をバイパスするステップを含むことを特徴とする方法。

【請求項9】

車両内ネットワークにセキュリティを提供するためのシステムであって、
車両内ネットワーク上の第１のノードで動作する第１の電子装置及び第２のノードで動作する第２の電子装置を含み、
前記第１の電子装置及び第２の電子装置は、それぞれ、
車両内ネットワークから収集したネットワークメッセージをメッセージキューに保存するためのメッセージキューモジュールと、
１つ以上の検知技法に用いられるルールセットを安全に保存するためのストレージと、
外部ネットワーク上のバックエンドサーバからダウンロードした新しいルールセットで、前記ストレージに保存されたルールセットをアップデートして、前記収集したネットークメッセージがセキュリティ脅威メッセージであるか否かを決定するために、前記収集したネットワークメッセージに対して前記１つ以上の検知技法を段階的に適用するように構成したルールエンジンと、
を含み、
前記第１の電子装置は、前記車両内ネットワークと外部ネットワークとを接続するセントラルゲートウェイ、または前記車両内ネットワークの各機能ドメインと前記セントラルゲートウェイとを接続するサブゲートウェイであり、前記第２の電子装置は、前記各機能ドメインに属する電子制御装置（ＥＣＵ）であり、
前記第１の電子装置は、静的検知技法、誤用検知技法、及び変則検知技法を用い、前記第２の電子装置は、前記静的検知技法、前記誤用検知技法、及び前記変則検知技法のうちの一部の技法のみを用い、
前記第１の電子装置に含まれる前記ルールエンジンは、前記収集したネットワークメッセージに対し、前記静的検知技法、前記誤用検知技法、前記変則検知技法の順に適用し、いずれかの検知技法が、前記収集したネットワークメッセージをセキュリティ脅威メッセージとして決定することに応答して、前記収集したネットワークメッセージに対する残りの検知技法の適用をバイパスするように構成したことを特徴とするシステム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、車両内ネットワークにセキュリティを提供するシステム及び方法に関する。

【背景技術】

【0002】

この項目に記述した内容は、単に本発明に関する背景情報を提供するに留まり、従来の技術を構成するものではない。

【0003】

侵入検知システム（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ；ＩＤＳ）と侵入防止システム（Ｉｎｔｒｕｓｉｏｎ Ｐｒｏｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ；ＩＰＳ）は、ネットワークのセキュリティに広く用いられてきた。ＩＤＳは、ネットワーク活動を監視し、不審な行動を検知する。ＩＰＳは、検知した侵入に対応（例えば、システムに影響を与え得る信号を遮断）する機能もしくは能力を備えたシステムをいう。通常ＩＤＳとＩＰＳは一緒に用いられ、このようなシステムは、ＩＤＰＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ）と称する。

【0004】

車両に搭載する電子制御装置（ＥＣＵ）の数が大幅に増加し、有線及び無線ネットワークを介して車両が外部ネットワークとつながるにしたがい、車両の内部ネットワークのセキュリティ脅威を検知して対応するためにＩＤＳまたはＩＤＰＳを導入する傾向にある。

【発明の概要】

【発明が解決しようとする課題】

【0005】

本発明は、上記従来の問題点に鑑みてなされたものであって、本発明の目的は、車両に搭載するのに適した侵入検知システムＩＤＳのアーキテクチャと、悪意的なメッセージ検知に対する強靭性を維持しながら、必要なシステムリソースを減らすことができる複数の検知技法の効率的な運用方法を提供することにある。

【課題を解決するための手段】

【0006】

上記目的を達成するためになされた本発明の一態様による侵入検知システムは、車両内ネットワークにセキュリティを提供するための侵入検知システムであって、車両内ネットワークから収集したネットワークメッセージをメッセージキューに保存するためのメッセージキューモジュールと、複数の検知技法に用いられるルールセットを安全に保存するためのストレージと、外部ネットワーク上のバックエンドサーバからダウンロードした新しいルールセットに、前記ストレージに保存されたルールセットをアップデートして、前記収集したネットワークメッセージがセキュリティ脅威メッセージであるか否かを決定するために、前記収集したネットワークメッセージに対して前記複数の検知技法を段階的に適用するように構成されたルールエンジンを含むことを特徴とする。

【0007】

前記ルールエンジンは、いずれかの検知技法が、前記収集したネットワークメッセージをセキュリティ脅威メッセージに決定することに応答して、前記収集したネットワークメッセージに対する残りの検知技法の適用をバイパスするように構成され得る。

【0008】

前記複数の検知技法は、静的検知（ｓｔａｔｉｃ ｄｅｔｅｃｔｉｏｎ）技法、誤用検知（ｍｉｓｕｓｅ ｄｅｔｅｃｔｉｏｎ）技法、及び変則検知（ａｎｏｍａｌｙ ｄｅｔｅｃｔｉｏｎ）技法を含み得る。

【0009】

前記ルールエンジンは、前記収集したネットワークメッセージに対し、静的検知技法、誤用検知技法、変則検知技法の順に適用し得る。

【0010】

前記侵入検知システムは、前記車両内ネットワークと外部ネットワークとを接続するセントラルゲートウェイ、前記車両内ネットワークの各機能ドメインと前記セントラルゲートウェイとを接続するサブゲートウェイ、及び前記各機能ドメインに属する電子制御装置（ＥＣＵ）のうちのいずれかに組み込まれ得る。

【0011】

前記ルールエンジンは、前記複数の検知技法のすべてが前記ネットワークメッセージをセキュリティ脅威メッセージでないと決定すること応答して、前記収集したネットワークメッセージが前記セントラルゲートウェイ、前記サブゲートウェイ、または前記電子制御装置のアプリケーションソフトウェアに伝達されることを許可するように構成され得る。

【0012】

前記侵入検知システムは、前記車両内ネットワークにノードとして接続される独立したコンピューティングデバイスであり得る。

【0013】

前記侵入検知システムは、前記ルールセットの暗号化及び復号化を実行して関連するキーを管理する暗号化モジュールをさらに含み得る。

【0014】

前記侵入検知システムは、前記バックエンドサーバから新しいルールセットをダウンロードしたり、検知ログをバックエンドサーバに伝送できるように、前記バックエンドサーバとの通信接続を管理するインターフェースマネージャーをさらに含み得る。

【0015】

前記車両内ネットワークは、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）ネットワークであり得る。

【0016】

上記目的を達成するためになされた本発明の一態様による方法は、侵入検知システムが車両内ネットワークにセキュリティを提供する方法であって、複数の検知技法に用いられるルールセットを外部ネットワーク上のバックエンドサーバからダウンロードして、予め保存されたルールセットをアップデートするステップと、車両内ネットワークから収集したネットワークメッセージをメッセージキューに保存するステップと、前記収集したネットワークメッセージがセキュリティ脅威メッセージであるか否かを決定するために、前記収集したネットワークメッセージに対する前記複数の検知技法を段階的に適用するステップと、を含むことをを特徴とする。

【0017】

前記複数の検知技法を段階的に適用するステップは、いずれかの検知技法が、前記収集したネットワークメッセージをセキュリティ脅威メッセージに決定することに応答して、前記収集したネットワークメッセージに対する残りの検知技法の適用をバイパスするステップを含み得る。

【0018】

前記方法は、少なくとも１つのプロセッサ及び命令語を記録したメモリを含む電子装置によって実行され得る。前記命令語は、前記少なくとも１つのプロセッサによって実行されるときに前記電子装置をもって、前述した方法を実行するようにし得る。

【0019】

上記目的を達成するためになされた本発明の一態様によるシステムは、車両内ネットワークにセキュリティを提供するためのシステムであって、車両内ネットワーク上の第１のノードで動作する第１の電子装置及び第２のノードで動作する第２の電子装置を含み、前記第１の電子装置及び第２の電子装置は、それぞれ、車両内ネットワークから収集したネットワークメッセージをメッセージキューに保存するためのメッセージキューモジュールと、１つ以上の検知技法に用いられるルールセットを安全に保存するためのストレージと、外部ネットワーク上のバックエンドサーバからダウンロードした新しいルールセットで、前記ストレージに保存したルールセットをアップデートして、前記収集したネットワークメッセージがセキュリティ脅威メッセージであるか否かを決定するために、前記収集したネットワークメッセージに対して前記１つ以上の検知技法を段階的に適用するように構成したルールエンジンと、を含み、前記第１の電子装置は、前記車両内ネットワークと外部ネットワークとを接続するセントラルゲートウェイ、または前記車両内ネットワークの各機能ドメインと前記セントラルゲートウェイとを接続するサブゲートウェイであり、前記第２の電子装置は、前記各機能ドメインに属する電子制御装置（ＥＣＵ）であり、前記第１の電子装置は、静的検知技法、誤用検知技法、及び変則検知技法を用い、前記第２の電子装置は、静的検知技法、誤用検知技法、及び変則検知技法のうちの一部の技法のみを用いることを特徴とする。

【発明の効果】

【0020】

本発明による方法及びシステムによれば、悪意的なメッセージ検知に対する強靭性は維持しながらも素早く攻撃メッセージを検知することができ、全体的な検知効率を高めることができる。

【図面の簡単な説明】

【0021】

【図1】ＣＡＮネットワーク上でＩＤＳを配置できる位置を例示した図である。

【図2】本発明の一実施形態によるＩＤＳ（あるいはＩＤＰＳ）の機能的な構成を示すブロック図である。

【図3】本発明の一実施形態によるＩＤＳの例示的な動作を示すフローチャートである。

【発明を実施するための形態】

【0022】

以下、本発明の一実施形態を例示的な図面を通じて詳しく説明する。各図面の構成要素に参照符号を付加するにあたり、同一の構成要素に対しては、可能な限り同一の符号を有するようにする。また、本発明を説明するにあたり、関連した公知の構成または機能についての具体的な説明が本発明の要旨を曖昧にすると判断した場合には、その詳しい説明は省く。

【0023】

また、本発明の構成要素を説明するにあたり、第１、第２、Ａ、Ｂ、（ａ）、（ｂ）などの用語を用いる場合がある。このような用語は、その構成要素を他の構成要素と区別するためのもので、その用語によって、該当構成要素の本質や順番や順序などは限定されない。本明細書全体において、ある部分がある構成要素を「含む」、「備える」と記載するとき、これは特に異なるとの記載がない限り、他の構成要素を除外するものではなく、他の構成要素をさらに含み得ることを意味する。また、本明細書に記載した「…部」、「…モジュール」などの用語は、少なくとも１つの機能や動作を処理する単位を意味し、これはハードウェアやソフトウェアまたはハードウェア及びソフトウェアの組み合わせで具現される。

【0024】

図１は、車両のＣＡＮネットワーク上でＩＤＳが配置される位置（Ａ、Ｂ、Ｃ、Ｄ、Ｅ）を例示した図である。セントラルゲートウェイ（ｃｅｎｔｒａｌ ｇａｔｅｗａｙ；ＣＧＷ）は、車両内の様々なドメイン間でデータを伝達するルータの役割を果たし、外部ネットワークと車両ネットワークとの間の通信に対するゲートの役割を果たすセントラル通信ノードである。セントラルゲートウェイ（ＣＧＷ）は、車両に入ってくるすべてのデータに対するゲートとみることができる。サブゲートウェイ（ｓｕｂ－ｇａｔｅｗａｙ）は、パワートレイン、シャーシ、ボディ、インフォテインメント（Ｉｎｆｏｔａｉｎｍｅｎｔ）などのような特定の機能ドメインを担当するローカル通信ノードである。図１では、各機能ドメインにてＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）がＣＡＮバスに接続されることを前提としているが、一部の機能ドメインで別の通信プロトコル（例えば、ＬＩＮ、ＦｌｅｘＲａｙ（登録商標）、Ｅｔｈｅｒｎｅｔ（登録商標）など）を用いるバスに接続されることもある。

【0025】

各位置別の長所と短所は次のとおりである。

【0026】

（Ａ）セントラルゲートウェイに搭載：外部とすべてのＣＡＮドメインが接続されているここにＩＤＳを設けると、ＯＢＤポートを介してＣＡＮネットワークに入ってくるすべての攻撃を検知できる。したがって、攻撃の意図を持ったメッセージがＣＡＮネットワークに影響を与える前に、未然に把握することができる。しかし、別の場所に比べて非常に多くのメッセージを処理しなければならないため、内部ネットワークに侵入しようとする攻撃とそうでないメッセージとを区分し難いため、攻撃に効果的に対応し難い。

【0027】

（Ｂ）セントラルゲートウェイの後：セントラルゲートウェイのメッセージフィルタリングを経た後のメッセージを検査する。（Ａ）を通る前よりは少ない数の、より強力な意志を持つ攻撃者を検知できる。また、ＣＡＮバックボーンネットワークに外部から直接アクセスして悪意的なメッセージを注入するハッキングを検知することができる。

【0028】

（Ｃ）サブゲートウェイに搭載：特定のＣＡＮドメインに送受信されるＣＡＮメッセージを管理する位置にＩＤＳを設置すると、（Ｂ）でのＣＡＮメッセージと、特定のＣＡＮドメインに流れるＣＡＮメッセージとの間の不一致性を簡単に検知することができる。ＣＡＮドメイン内部から別のドメインに向かう攻撃も検知できる位置であるため、ＣＡＮドメイン内部の攻撃者も一定レベル以上検知できる。

【0029】

（Ｄ）サブゲートウェイの後：特定の悪意的なメッセージで二重のゲートウェイを通過してシステムをハッキングすることは容易でない。しかし、内部コントローラ（ＥＣＵ）が、攻撃者によって破損したり、悪意的なコントローラが交換されて偽装されている場合、そして、外部から直接該当ドメインのＣＡＮバスに接続した場合、該当ドメイン内のＣＡＮバスに悪意的なメッセージを送ることは依然として可能である。したがって、本設置位置は、内部コントローラを信頼できず、コントローラが属する特定のＣＡＮドメインのネットワークハッキングを監視しようとする際に考慮し得る場所である。

【0030】

（Ｅ）ＥＣＵに搭載：ＥＣＵは、ネットワーク上に存在するすべてのメッセージを受信し、必要なＣＡＮメッセージのＩＤを確認して必要とするメッセージを選択的に処理する。コントローラは、コントローラの外部から受信したＣＡＮ状態メッセージと命令メッセージのコンテキスト（ｃｏｎｔｅｘｔ）を分析した後に駆動する。したがって、ＥＣＵは、外部及び内部のすべてから保護しなければならないため、高いセキュリティレベルを必要とする。ＥＣＵにＩＤＳを搭載するのは、ＥＣＵを変調することができる非常に能力が優れた内部／外部の攻撃者からＥＣＵが有する重要なデータの損失や機能の誤動作を防ぐためである。

【0031】

図１に例示した位置にＩＤＳを配置できる位置（Ａ、Ｂ、Ｃ、Ｄ、Ｅ）のうちの少なくとも１つの位置に複数のＩＤＳを設置（搭載）する場合もある。例えば、セントラルゲートウェイと複数のサブゲートウェイにそれぞれＩＤＳを搭載してもよく、セントラルゲートウェイと主要なＥＣＵにそれぞれＩＤＳを搭載してもよい。また、各ドメインには、監視を実行する専用の電子制御装置が設けられてもよい。このようなＩＤＳは、相互補完的にネットワークを監視し、攻撃の試みを検知し、車両ネットワークのセキュリティを強化することができる。

【0032】

図２は、本発明の一実施形態によるＩＤＳの機能的構成を示すブロック図である。

【0033】

図２に示すように、車両内のネットワークのための侵入検知システムＩＤＳは、メッセージキューモジュール（ｍｅｓｓａｇｅ ｑｕｅｕｅ ｍｏｄｕｌｅ）２０、ルールエンジン（ｒｕｌｅ ｅｎｇｉｎｅ）３０、暗号化モジュール（ｃｒｙｐｔｏ ｍｏｄｕｌｅ）４０、インターフェースマネージャー（ｉｎｔｅｒｆａｃｅ ｍａｎａｇｅｒ）５０、及びストレージ（ｓｔｏｒａｇｅ）６０を含む。図２に示す侵入検知システムＩＤＳは、図１に例示した（複数の）ゲートウェイもしくは（複数の）ＥＣＵに搭載（ｅｍｂｅｄｄｅｄ）したり、車両ネットワークに接続された専用の電子制御装置で具現できる。

【0034】

メッセージキューモジュール２０は、ＣＡＮバスから収集したすべてのＣＡＮトラフィックデータをメッセージキュー（Ｍｅｓｓａｇｅ Ｑｕｅｕｅ）に保存する。収集したトラフィックデータに対するＩＤＳの他のモジュールのリクエストは、メッセージキューモジュール２０によって処理される。

【0035】

ルールエンジン（あるいは「検知エンジン」とも称する）３０は、ＩＤＳの本質的な機能である検知者及び応答者として動作するモジュールである。ルールエンジン３０の機能は、大きく、事前プロセス（ｐｒｅ－ｐｒｏｃｅｓｓ）３１、検知プロセス（ｄｅｔｅｃｔｉｏｎ ｐｒｏｃｅｓｓ）３２、事後プロセス（ｐｏｓｔ ｐｒｏｃｅｓｓ）３３に区分される。事前プロセス３１では、様々な手段（例えば、バックエンドサーバ（ｂａｃｋｅｎｄ ｓｅｒｖｅｒ）、ＵＳＢメモリスティック、ＳＤカードなど）を介して取得したルールセット１０に、ストレージ６０に保存されたルールセットをアップデートしたり、ＩＤＳをリセットする。検知プロセス３２では、走行中に悪意的なメッセージを検知する。事後プロセス３３では、検知した悪意的なメッセージをどのように処理するかを決定する。例えば、検知した悪意的なメッセージをドロップ（ｄｒｏｐ）したり、ロギング（ｌｏｇｇｉｎｇ）、またはアラーム（警告）を生成する。

【0036】

暗号化モジュール４０は、ルールセットと検知ログを暗号化したり復号化して、関連するキーを管理する。

【0037】

インターフェースマネージャー５０は、バックエンドサーバから新しいルールセット１０をダウンロードしたり、検知ログをバックエンドサーバに伝送できるように、バックエンドサーバとの通信接続を管理する。ルールセット及び検知ログは、暗号化エンジンによって暗号化されてストレージ６０（例えば、フラッシュメモリ）に安全に保存される。ストレージ６０は、ネットワーク上の他のノードによって提供されてもよい。この場合、インターフェースマネージャー５０は、他のノードに位置するストレージ６０との通信接続も管理する。

【0038】

図３は、本発明の一実施形態によるＩＤＳの例示的な動作を示すフローチャートである。

【0039】

ＩＤＳは、車両が始動すると、事前プロセス（ｐｒｅ－ｐｒｏｃｅｓｓ）を実行し、その後車両エンジンが止まるまで検知プロセス（ｄｅｔｅｃｔｉｏｎ ｐｒｏｃｅｓｓ）と事後プロセス（ｐｏｓｔ－ｐｒｏｃｅｓｓ）とを繰り返し実行するように構成される。

【0040】

事前プロセス（ｐｒｅ－ｐｒｏｃｅｓｓ）では、ＩＤＳが再起動されると、ルールセット（ｒｕｌｅ ｓｅｔ）のバージョンをチェックし、現在のストレージに保存されたルールセットが最新バージョンではない場合、例えば、ＯＴＡあるいはＯＢＤポートを介してダウンロードした最新版のルールセットにアップデートする。以降ＩＤＳはストレージに保存した、暗号化されたルールセットを復号化して内部メモリ（ＲＡＭ）にロードする。事前プロセスが終了するとＩＤＳの実質的な検知動作である検知プロセスが開始される。

【0041】

ルールセットは、検知プロセスで実行される複数の検知技法が用いるセキュリティ脅威に関連するネットワークメッセージを検知するのに用いられる、予め定義されたルールの集合である。ルールセットは、後述する静的検知に用いられるＣＡＮデータベース（ＣＡＮ ＤＢ）と誤用検知に用いられるブラックリスト（Ｂｌａｃｋ Ｌｉｓｔ）、変則検知に用いられるプロファイル（ｐｒｏｆｉｌｅ）を含む。

【0042】

検知プロセス（ｄｅｔｅｃｔｉｏｎ ｐｒｏｃｅｓｓ）において、ＩＤＳは、メッセージキュー（Ｍｅｓｓａｇｅ Ｑｕｅｕｅ）に新しいＣＡＮメッセージが到着すると、新しいＣＡＮメッセージがセキュリティ脅威に関連したネットワークメッセージ（以下、「セキュリティ脅威メッセージ」、「非正常メッセージ」、「悪意的なメッセージ」、「攻撃メッセージ」、あるいは「検査に失敗したメッセージ」と称する場合がある）であるか否かを判断するために、静的検知（Ｓｔａｔｉｃ Ｄｅｔｅｃｔｉｏｎ）、誤用検知（Ｍｉｓｕｓｅ Ｄｅｔｅｃｔｉｏｎ）、及び変則検知（Ａｎｏｍａｌｙ Ｄｅｔｅｃｔｉｏｎ）の技法を順次実行する。

【0043】

事後プロセス（ｐｏｓｔ－ｐｒｏｃｅｓｓ）では、ＣＡＮメッセージに対する検査結果によって通過、遮断、ロギング（ｌｏｇｇｉｎｇ）、あるいは警告のようなアクションがとられる。例えば、検知ログがリモートネットワーク上のバックエンドサーバに伝送されるように、ＩＤＳは、ＣＡＮネットワークを介して検知ログが入ったＣＡＮメッセージを、リモートネットワークに通信的に接続するゲートウェイあるいはテレマティクスデバイスに伝送する。

【0044】

上述した侵入検知技法の特性と長所及び短所は次のとおりである。

【0045】

静的検知（Ｓｔａｔｉｃ Ｄｅｔｅｃｔｉｏｎ）は、メッセージのＩＤ、メッセージの長さ（Ｄａｔａ ｌｅｎｇｔｈ ｃｏｄｅ；ＤＬＣ）、メッセージの伝送周期などを監視し、予め決められたルール（つまり、ＣＡＮデータベースに明示した値）と比較して有効性検査をする技法である。つまり、静的検知では、収集したメッセージがメーカーで予め決めておいた「有効なメッセージ形式」に合っているのか否かをチェックする。静的検知は、誤用検知及び変則検知に比べて、システムリソースを少なく消費する。ただし、有効性検査だけではメッセージ内に含まれている悪意的なデータなどの検知が不可能である。

【0046】

誤用検知（Ｍｉｓｕｓｅ Ｄｅｔｅｃｔｉｏｎ）は、車両システムの脆弱性分析を通じて、予め定義しておいた攻撃パターンを検知する技法である。このような攻撃パターンは、シグネチャ（ｓｉｇｎａｔｕｒｅ）と称し、それによって誤用検知は、シグネチャベースの検知とも称される。誤用検知は、車両の状態を考慮せずに、悪意的なメッセージのシグネチャが収録されたブラックリスト（Ｂｌａｃｋ Ｌｉｓｔ）をチェックし、収集したメッセージが、悪意的なメッセージであるか否かを判断する。誤用検知は、システムリソースを少なく消費し、検知確率が高いという利点があるが、新たな攻撃ごとに新しいシグネチャを定義しなければならないため、新たに出現した攻撃に対処するためには、多くの時間とセキュリティの人的資源を必要とする。この技法は、実際の攻撃を見逃し得る偽陰性（ｆａｌｓｅ ｎｅｇａｔｉｖｅ；２種エラー）の問題が生じる可能性がある。

【0047】

変則検知（Ａｎｏｍａｌｙ Ｄｅｔｅｃｔｉｏｎ）は、車両の状態に基づいて該当メッセージが正常メッセージの範疇内にあるか否かを確認する技法であり、車両の状態と命令メッセージに基づいた検知ルールに基づいて行われる。変則検知は、ネットワーク上での一般的な行動を収集及び分析して正常なパターン（「プロファイル」とも称する）を定義した後、正常なパターンから一定のしきい値（ｔｈｒｅｓｈｏｌｄ）を超えた行動を検知する技法である。変則検知は、プロファイル（ｐｒｏｆｉｌｅ）ベースの検知とも称される。変則検知の場合、知られていない新たな攻撃が出現したときにも、このような攻撃が正常なパターンから外れた場合に検知が可能であり、誤用検知法に比べてセキュリティの人的資源の割合が低い。しかし、多くのシステムリソースを必要とし、設定したしきい値に応じて正常な活動を侵入として識別する偽陽性（ｆａｌｓｅ ｐｏｓｉｔｉｖｅ、１種エラー）の問題が生じる可能性がある。

【0048】

図３に例示した動作によれば、メッセージキュー（Ｍｅｓｓａｇｅ Ｑｕｅｕｅ）に溜まった各メッセージは、３つの検知技法で構成された検知プロセス（つまり、静的検知→誤用検知→変則検知）を経てそのメッセージの遮断あるいは通過が決定される。また、正常なＣＡＮメッセージも、３つの技法で構成された検知プロセスを経て初めてＩＤＳが搭載されたゲートウェイまたはＥＣＵのアプリケーションソフトウェアに渡されることになる。しかし、検知プロセスは、最初に適用された検知技法がＣＡＮメッセージをセキュリティ脅威メッセージに決定した場合、該当ＣＡＮメッセージに対する残りの検知技法の適用はバイパスされるように構成される。ここで、３つの検知技法の適用順番に注目する必要がある。検知効率が高く、要求されるコンピューティングパワーと所要時間が少ない検知技法を最初に適用するほど、全体的な検知プロセスの効率が増加する。我々は、低いコンピューティングパワーと少ない所要時間が予想される技法を最初に適用するように検知プロセスを構成した。このような検知プロセスの構成を介して、悪意的なメッセージの検知に対する強靭性を維持しながらも、全体的な検知効率を高めることができる。

【0049】

図３に例示したＩＤＳの動作では、検知プロセスにて３つの検知技法（つまり、静的検知、誤用検知、変則検知）のすべてを用いる。しかし、ＩＤＳの設置あるいは搭載の位置によって、３つの検知技法のうち、一部の技法を省く。例えば、変則検知には、多くのコンピューティングパワーと時間がかかるため、ＥＣＵに搭載したＩＤＳの検知プロセスでは、静的検知のみを用いたり、静的検知と誤用検知のみを用いる場合もある。一方、相対的に高いコンピューティングパワーを有する（セントラル／サブ）ゲートウェイに搭載したＩＤＳの検知プロセスでは、３つの検知技法のすべてを用いてもよい。他の例として、セントラルゲートウェイでは、３つの検知技法のすべてを用い、サブゲートウェイでは、静的検知と誤用検知のみを用い、ＥＣＵでは、静的検知だけを用いてもよい。

【0050】

上述した実施形態は、多くの異なる方式で具現できる。一実施形態において、本明細書で説明した多様な方法、デバイス、システムは、プロセッサ、メモリ、通信インターフェースなどを有する電子制御装置、ゲートウェイ等により具現したりこれらに含まれてもよい。例えば、電子制御装置は、ソフトウェア命令語をプロセッサにロードした後に、本明細書で説明した機能を実行するために命令語を実行することで、上述した方法を実行する装置として機能する。

【0051】

一方、本明細書で説明した多様な方法は、１つ以上のプロセッサによって読み取られて実行される非一時的記録媒体に保存した命令語で具現してもよい。非一時的記録媒体は、例えば、コンピュータシステムによって読み取り可能な形態でデータが保存されるあらゆる種類の記録装置を含む。例えば、非一時的記録媒体は、ＥＰＲＯＭ（ｅｒａｓａｂｌｅ ｐｒｏｇｒａｍｍａｂｌｅ ｒｅａｄ ｏｎｌｙ ｍｅｍｏｒｙ）、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ－Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ、光学ドライブ、磁気ハードドライブ、ソリッドステートドライブ（ＳＳＤ）のような記憶媒体を含む。

【0052】

以上の説明は、本発明の技術思想を例示的に説明したに過ぎず、本発明が属する技術分野における通常の知識を有する者であれば、本発明の技術範囲から逸脱しない範囲内で様々な修正及び変形が可能である。したがって、本実施形態は、本発明の技術思想を限定するためのものではなく説明するためのものであり、このような実施形態により、本発明の技術思想の範囲が限定されるものではない。本発明の技術範囲は特許請求の範囲によって解釈され、その均等物も、本発明の権利範囲に含まれる。

【0053】

本発明は、本明細書にその全体が参考として含まれる、２０１８年０１月２３日付で米国特許商標庁に出願した特許仮出願番号第６２／６２０，７５４号に対して優先権を主張する。

【符号の説明】

【0054】

１０ ルールセット
２０ メッセージキューモジュール
３０ ルールエンジン
３１ 事前プロセス
３２ 検知プロセス
３３ 事後プロセス
４０ 暗号化モジュール
５０ インターフェースマネージャー
６０ ストレージ

【図1】

【図2】

【図3】