ホーム > 特許ランキング > 住友電気工業株式会社
▶ 住友電気工業株式会社の特許一覧 ▶ 住友電装株式会社の特許一覧 ▶ 株式会社オートネットワーク技術研究所の特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-06-17
(45)【発行日】2024-06-25
(54)【発明の名称】検知装置、車両、検知方法および検知プログラム
(51)【国際特許分類】
G06F 21/55 20130101AFI20240618BHJP
H04L 43/04 20220101ALI20240618BHJP
B60R 16/023 20060101ALI20240618BHJP
【ＦＩ】
G06F21/55
H04L43/04
B60R16/023 P
【請求項の数】
7
(21)【出願番号】P 2021561224
(86)(22)【出願日】2020-10-22
(86)【国際出願番号】 JP2020039711
(87)【国際公開番号】W WO2021106446
(87)【国際公開日】2021-06-03
【審査請求日】2023-04-21
(31)【優先権主張番号】P 2019214823
(32)【優先日】2019-11-28
(33)【優先権主張国・地域又は機関】JP
【新規性喪失の例外の表示】特許法第３０条第２項適用 ウェブサイトの掲載日 令和１年１０月１４日 ウェブサイトのアドレス ｈｔｔｐｓ：／／ｖａ．ａｐｏｌｌｏｎ．ｎｔａ．ｃｏ．ｊｐ／ｃｓｓ２０１９－ｊｒ／ 開催日 令和１年１０月２１日 集会名 コンピュータセキュリティシンポジウム（ＣＳＳ２０１９）
(73)【特許権者】
【識別番号】000002130
【氏名又は名称】住友電気工業株式会社
(73)【特許権者】
【識別番号】000183406
【氏名又は名称】住友電装株式会社
(73)【特許権者】
【識別番号】395011665
【氏名又は名称】株式会社オートネットワーク技術研究所
(74)【代理人】
【識別番号】110000682
【氏名又は名称】弁理士法人ワンディ－ＩＰパ－トナ－ズ
(72)【発明者】
【氏名】吉田 圭吾
(72)【発明者】
【氏名】上田 浩史
(72)【発明者】
【氏名】足立 直樹
(72)【発明者】
【氏名】相羽 慎一
(72)【発明者】
【氏名】石川 史也
(72)【発明者】
【氏名】上口 翔悟
【審査官】宮司 卓佳
(56)【参考文献】
【文献】特開２０１７－０３８２９１（ＪＰ，Ａ）
【文献】米国特許出願公開第２０１８／０２６２４６６（ＵＳ，Ａ１）
【文献】特開２０１９－０２９９６０（ＪＰ，Ａ）
【文献】国際公開第２０１８／１６８２９１（ＷＯ，Ａ１）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／５５
Ｈ０４Ｌ ４３／０４
Ｂ６０Ｒ １６／０２３
(57)【特許請求の範囲】
【請求項1】
車両に搭載される車載ネットワークにおける不正メッセージを検知する検知装置であって、前記車載ネットワークにおいて送信されるメッセージを監視する監視部と、
前記監視部による監視結果に基づいて、所定期間内に前記車載ネットワークにおいて送信された、前記車両において用いる対象情報の種類ごとに与えられる識別情報を有するメッセージである対象メッセージに関する統計値を算出する算出部と、
前記算出部によって算出された前記統計値に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備え、
前記対象メッセージは、前記対象情報の提供が可能か否かを問い合わせるためのメッセージであるか、または、前記車載ネットワークにおける車載装置と、前記車載ネットワークに接続された外部装置との間の情報の中継を、前記車載ネットワークにおける中継装置において開始するための、前記外部装置からのメッセージである、検知装置。
【請求項2】
車両に搭載される車載ネットワークにおける不正メッセージを検知する検知装置であって、
前記車載ネットワークにおいて送信されるメッセージを監視する監視部と、
前記監視部による監視結果に基づいて、所定期間内に前記車載ネットワークにおいて送信された、前記車両において用いる対象情報の種類ごとに与えられる識別情報を有するメッセージである対象メッセージに関する統計値を算出する算出部と、
前記算出部によって算出された前記統計値に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備え、
前記算出部は、所定期間内に前記車載ネットワークにおいて送信された前記対象メッセージのうち、データ長が所定値未満の前記対象メッセージの数を前記統計値として算出する、検知装置。
【請求項3】
前記算出部は、所定期間内に前記車載ネットワークにおいて送信された前記対象メッセージのうち、所定の前記識別情報を有する前記対象メッセージの数を前記統計値として算出する、請求項１または請求項２に記載の検知装置。
【請求項4】
前記算出部は、所定期間内に前記車載ネットワークにおいて送信された、前記識別情報ごとの各前記対象メッセージの総数を前記統計値として算出する、請求項１から請求項３のいずれか１項に記載の検知装置。
【請求項5】
請求項１から請求項４のいずれか１項に記載の検知装置を備える、車両。
【請求項6】
車両に搭載される車載ネットワークにおける不正メッセージを検知する検知装置における検知方法であって、前記車載ネットワークにおいて送信されるメッセージを監視するステップと、
監視結果に基づいて、所定期間内に前記車載ネットワークにおいて送信された、前記車両において用いる対象情報の種類ごとに与えられる識別情報を有するメッセージである対象メッセージに関する統計値を算出するステップと、
算出した前記統計値に基づいて、前記不正メッセージを検知する検知処理を行うステップとを含み、
前記対象メッセージは、前記対象情報の提供が可能か否かを問い合わせるためのメッセージであるか、または、前記車載ネットワークにおける車載装置と、前記車載ネットワークに接続された外部装置との間の情報の中継を、前記車載ネットワークにおける中継装置において開始するための、前記外部装置からのメッセージである、検知方法。
【請求項7】
車両に搭載される車載ネットワークにおける不正メッセージを検知する検知装置において用いられる検知プログラムであって、コンピュータを、
前記車載ネットワークにおいて送信されるメッセージを監視する監視部と、
前記監視部による監視結果に基づいて、所定期間内に前記車載ネットワークにおいて送信された、前記車両において用いる対象情報の種類ごとに与えられる識別情報を有するメッセージである対象メッセージに関する統計値を算出する算出部と、
前記算出部によって算出された前記統計値に基づいて、前記不正メッセージを検知する検知処理を行う検知部、
として機能させるためのプログラムであり、
前記対象メッセージは、前記対象情報の提供が可能か否かを問い合わせるためのメッセージであるか、または、前記車載ネットワークにおける車載装置と、前記車載ネットワークに接続された外部装置との間の情報の中継を、前記車載ネットワークにおける中継装置において開始するための、前記外部装置からのメッセージである、検知プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、検知装置、車両、検知方法および検知プログラムに関する。
この出願は、２０１９年１１月２８日に出願された日本出願特願２０１９－２１４８２３号を基礎とする優先権を主張し、その開示のすべてをここに取り込む。
この出願は、２０１９年１１月２８日に出願された日本出願特願２０１９－２１４８２３号を基礎とする優先権を主張し、その開示のすべてをここに取り込む。
【背景技術】
【0002】
特許文献１（米国特許出願公開第２０１７／００９３８６６号明細書）には、以下のようなシステムが開示されている。すなわち、システムは、外部装置を車内ネットワークに接続するためのインターフェースポートを含む車内ネットワークと、前記車載ネットワークに接続されたセキュリティユニットとを備え、前記セキュリティユニットは、外部デバイスから受信したセキュリティトークンに基づいて、前記外部デバイスによる前記車載ネットワークとの前記インターフェースポート経由での通信が可能なように適合されている。
【0003】
また、特許文献２（国際公開第２０１９／１４２１８０号）には、以下のようなシステムが開示されている。すなわち、システムは、自動車環境での侵入異常を監視するためのシステムであって、テレマティクス制御ユニットと、各々がローカルセキュリティモニタ、および前記ローカルセキュリティモニタによって検出された侵入異常に関する情報を受信する診断通信マネージャに関連付けられた複数のエンジン制御ユニットと、前記診断通信マネージャおよび前記テレマティクス制御ユニットとの間でインターネットプロトコルを介した診断を利用して通信する異常分析器とを備え、前記異常分析器は、各前記ローカルセキュリティモニタによって検出される侵入異常に関する情報を蓄積するように構成される。
【先行技術文献】
【特許文献】
【0004】
【文献】米国特許出願公開第２０１７／００９３８６６号明細書
【文献】国際公開第２０１９／１４２１８０号
【発明の概要】
【0005】
本開示の検知装置は、車両に搭載される車載ネットワークにおける不正メッセージを検知する検知装置であって、前記車載ネットワークにおいて送信されるメッセージを監視する監視部と、前記監視部による監視結果に基づいて、所定期間内に前記車載ネットワークにおいて送信された、前記車両において用いる対象情報の種類ごとに与えられる識別情報を有するメッセージである対象メッセージに関する統計値を算出する算出部と、前記算出部によって算出された前記統計値に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備える。
【0006】
本開示の検知方法は、車両に搭載される車載ネットワークにおける不正メッセージを検知する検知装置における検知方法であって、前記車載ネットワークにおいて送信されるメッセージを監視するステップと、監視結果に基づいて、所定期間内に前記車載ネットワークにおいて送信された、前記車両において用いる対象情報の種類ごとに与えられる識別情報を有するメッセージである対象メッセージに関する統計値を算出するステップと、算出した前記統計値に基づいて、前記不正メッセージを検知する検知処理を行うステップとを含む。
【0007】
本開示の検知プログラムは、車両に搭載される車載ネットワークにおける不正メッセージを検知する検知装置において用いられる検知プログラムであって、コンピュータを、前記車載ネットワークにおいて送信されるメッセージを監視する監視部と、前記監視部による監視結果に基づいて、所定期間内に前記車載ネットワークにおいて送信された、前記車両において用いる対象情報の種類ごとに与えられる識別情報を有するメッセージである対象メッセージに関する統計値を算出する算出部と、前記算出部によって算出された前記統計値に基づいて、前記不正メッセージを検知する検知処理を行う検知部として機能させるためのプログラムである。
【0008】
本開示の一態様は、このような特徴的な処理部を備える検知装置として実現され得るだけでなく、検知装置の一部または全部を実現する半導体集積回路として実現され得たり、検知装置における処理のステップをコンピュータに実行させるためのプログラムとして実現され得る。
【図面の簡単な説明】
【0009】
【発明を実施するための形態】
【0010】
従来、車載ネットワークにおけるセキュリティを向上させるための技術が開発されている。
【0011】
［本開示が解決しようとする課題］
特許文献１および２に記載の技術を超えて、車載ネットワークにおける不正メッセージをより正しく検知することを可能とする技術が望まれる。
特許文献１および２に記載の技術を超えて、車載ネットワークにおける不正メッセージをより正しく検知することを可能とする技術が望まれる。
【0012】
本開示は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおける不正メッセージをより正しく検知することが可能な検知装置、車両、検知方法および検知プログラムを提供することである。
【0013】
［本開示の効果］
本開示によれば、車載ネットワークにおける不正メッセージをより正しく検知することができる。
本開示によれば、車載ネットワークにおける不正メッセージをより正しく検知することができる。
【0014】
［本開示の実施形態の説明］
最初に、本開示の実施形態の内容を列記して説明する。
最初に、本開示の実施形態の内容を列記して説明する。
【0015】
（１）本開示の実施の形態に係る検知装置は、車両に搭載される車載ネットワークにおける不正メッセージを検知する検知装置であって、前記車載ネットワークにおいて送信されるメッセージを監視する監視部と、前記監視部による監視結果に基づいて、所定期間内に前記車載ネットワークにおいて送信された、前記車両において用いる対象情報の種類ごとに与えられる識別情報を有するメッセージである対象メッセージに関する統計値を算出する算出部と、前記算出部によって算出された前記統計値に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備える。
【0016】
このように、識別情報を有する対象メッセージに関する統計値に基づいて不正メッセージを検知する構成により、たとえば、算出した統計値と、正常な対象メッセージに関する統計値に基づいて予め設定されたしきい値との比較結果に基づいて、算出した統計値が異常であるか否かを判断することで不正メッセージの検知精度を向上させることできる。したがって、車載ネットワークにおける不正メッセージをより正しく検知することができる。
【0017】
（２）好ましくは、前記対象メッセージは、前記対象情報の提供が可能か否かを問い合わせるためのメッセージである。
【0018】
このような構成により、たとえば、ＳＯＭＥ／ＩＰ（Ｓｃａｌａｂｌｅ Ｓｅｒｖｉｃｅ－Ｏｒｉｅｎｔｅｄ Ｍｉｄｄｌｅｗａｒｅ ｏｎ Ｅｔｈｅｒｎｅｔ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）の通信規格に従うフレームであって、対象情報の提供が可能か否かを問い合わせるためのメッセージであるサービス検索フレームに成りすました不正メッセージを正しく検知することができる。
【0019】
（３）好ましくは、前記対象メッセージは、前記車載ネットワークにおける車載装置と、前記車載ネットワークに接続された外部装置との間の情報の中継を、前記車載ネットワークにおける中継装置において開始するための、前記外部装置からのメッセージである。
【0020】
このような構成により、たとえば、ＤｏＩＰ（Ｄｉａｇｎｏｓｔｉｃｓ ｏｖｅｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）の通信規格に従うフレームであって、車載ネットワークにおける車載装置と、整備用端末装置等の外部装置との間の情報の中継を開始するためのメッセージである中継要求フレームに成りすました不正メッセージを正しく検知することができる。
【0021】
（４）好ましくは、前記算出部は、所定期間内に前記車載ネットワークにおいて送信された前記対象メッセージのうち、データ長が所定値未満の前記対象メッセージの数を前記統計値として算出する。
【0022】
不正な対象メッセージのデータ長は一般的に短く設定されるところ、このように、データ長が所定値未満の対象メッセージの数を統計値として用いて不正メッセージを検知する構成により、不正メッセージをより効果的に検知することができる。
【0023】
（５）好ましくは、前記算出部は、所定期間内に前記車載ネットワークにおいて送信された前記対象メッセージのうち、所定の前記識別情報を有する前記対象メッセージの数を前記統計値として算出する。
【0024】
利用頻度の低い種類の対象情報に対応する対象メッセージが送信される頻度は一般的に低いところ、このように、ある種類の対象情報たとえば利用頻度の低い種類の対象情報に着目し、当該対象情報に対応する対象メッセージの数を統計値として用いて不正メッセージを検知する構成により、不正メッセージをより効果的に検知することができる。
【0025】
（６）好ましくは、前記算出部は、所定期間内に前記車載ネットワークにおいて送信された、前記識別情報ごとの各前記対象メッセージの総数を前記統計値として算出する。
【0026】
一般的に、不正な対象メッセージが送信される頻度は、正常な対象メッセージが送信される頻度よりも高いところ、このように、識別情報ごとの各対象メッセージの総数を統計値として用いて不正メッセージを検知する構成により、不正メッセージをより効果的に検知することができる。
【0027】
（７）本開示の実施の形態に係る車両は、前記検知装置を備える。
【0028】
このような構成により、検知装置を備える車両において、車載ネットワークにおける不正メッセージをより正しく検知することができる。
【0029】
（８）本開示の実施の形態に係る検知方法は、車両に搭載される車載ネットワークにおける不正メッセージを検知する検知装置における検知方法であって、前記車載ネットワークにおいて送信されるメッセージを監視するステップと、監視結果に基づいて、所定期間内に前記車載ネットワークにおいて送信された、前記車両において用いる対象情報の種類ごとに与えられる識別情報を有するメッセージである対象メッセージに関する統計値を算出するステップと、算出した前記統計値に基づいて、前記不正メッセージを検知する検知処理を行うステップとを含む。
【0030】
このように、識別情報を有する対象メッセージに関する統計値に基づいて不正メッセージを検知する方法により、たとえば、算出した統計値と、正常な対象メッセージに関する統計値に基づいて予め設定されたしきい値との比較結果に基づいて、算出した統計値が異常であるか否かを判断することで不正メッセージの検知精度を向上させることできる。したがって、車載ネットワークにおける不正メッセージをより正しく検知することができる。
【0031】
（９）本開示の実施の形態に係る検知プログラムは、車両に搭載される車載ネットワークにおける不正メッセージを検知する検知装置において用いられる検知プログラムであって、コンピュータを、前記車載ネットワークにおいて送信されるメッセージを監視する監視部と、前記監視部による監視結果に基づいて、所定期間内に前記車載ネットワークにおいて送信された、前記車両において用いる対象情報の種類ごとに与えられる識別情報を有するメッセージである対象メッセージに関する統計値を算出する算出部と、前記算出部によって算出された前記統計値に基づいて、前記不正メッセージを検知する検知処理を行う検知部として機能させるためのプログラムである。
【0032】
このように、識別情報を有する対象メッセージに関する統計値に基づいて不正メッセージを検知する構成により、たとえば、算出した統計値と、正常な対象メッセージに関する統計値に基づいて予め設定されたしきい値との比較結果に基づいて、算出した統計値が異常であるか否かを判断することで不正メッセージの検知精度を向上させることできる。したがって、車載ネットワークにおける不正メッセージをより正しく検知することができる。
【0033】
以下、本開示の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。
【0034】
［構成および基本動作］
図１は、本開示の実施の形態に係る車載通信システムの構成を示す図である。
図１は、本開示の実施の形態に係る車載通信システムの構成を示す図である。
【0035】
図１を参照して、車載通信システム３００は、１または複数の車載ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）１１１と、中継装置１００とを備える。具体的には、車載通信システム３００は、車載ＥＣＵ１１１として、車載ＥＣＵ１１１Ａ～１１１Ｆを備える。車載ＥＣＵ１１１は、車載装置の一例である。
【0036】
車載通信システム３００は、車両１に搭載される。車載ＥＣＵ１１１および中継装置１００は、車載ネットワーク１２を構成する。
【0037】
車載ネットワーク１２において、車載ＥＣＵ１１１は、たとえばイーサネット（登録商標）ケーブル１１を介して中継装置１００に接続される。
【0038】
なお、車載通信システム３００は、６つの車載ＥＣＵ１１１を備える構成に限らず、５つ以下または７つ以上の車載ＥＣＵ１１１を備える構成であってもよい。
【0039】
また、車載通信システム３００は、１つの中継装置１００を備える構成に限らず、２つ以上の中継装置１００を備える構成であってもよい。
【0040】
中継装置１００は、たとえば、セントラルゲートウェイ（Ｃｅｎｔｒａｌ Ｇａｔｅｗａｙ：ＣＧＷ）であり、車載ＥＣＵ１１１と通信を行うことが可能である。中継装置１００は、車載ＥＣＵ１１１間でやり取りされる情報を中継する中継処理を行う。より詳細には、中継装置１００は、ある車載ＥＣＵ１１１から送信される他の車載ＥＣＵ１１１宛のメッセージを中継する。
【0041】
より詳細には、中継装置１００は、たとえばイーサネットの通信規格に従って、イーサネットケーブル１１を介して接続された車載ＥＣＵ１１１間でやり取りされるフレームの中継処理を行う。以下、イーサネットの通信規格に従うフレームをイーサネットフレームと称する。イーサネットフレームには、ＩＰパケットが格納される。
【0042】
また、中継装置１００は、検知装置として機能し、車載ネットワーク１２における不正メッセージを検知する検知処理を行う。
【0043】
なお、車載通信システム３００では、イーサネットの通信規格に従ってイーサネットフレームの中継がそれぞれ行われる構成に限らず、たとえば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＦｌｅｘＲａｙ（登録商標）、ＭＯＳＴ（Ｍｅｄｉａ Ｏｒｉｅｎｔｅｄ Ｓｙｓｔｅｍｓ Ｔｒａｎｓｐｏｒｔ）（登録商標）およびＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）等の通信規格に従ってフレームの中継が行われる構成であってもよい。
【0044】
車載ＥＣＵ１１１は、たとえば、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｕｎｉｔ）、自動運転ＥＣＵ、エンジンＥＣＵ、センサ、ナビゲーション装置、ヒューマンマシンインタフェース等である。
【0045】
この例では、車載ＥＣＵ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄ，１１１Ｅ，１１１Ｆは、それぞれＴＣＵ、自動運転ＥＣＵ、運転支援ＥＣＵ、ブレーキセンサ、アクセルセンサおよび画像センサである。以下、車載ＥＣＵ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄ，１１１Ｅ，１１１Ｆを、それぞれＴＣＵ１１１Ａ、自動運転ＥＣＵ１１１Ｂ、運転支援ＥＣＵ１１１Ｃ、ブレーキセンサ１１１Ｄ、アクセルセンサ１１１Ｅおよび画像センサ１１１Ｆとも称する。
【0046】
ＴＣＵ１１１Ａは、たとえば、ＬＴＥ（Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ）または３Ｇ等の通信規格に従って、無線基地局装置と無線通信を行うことが可能である。より詳細には、ＴＣＵ１１１Ａは、たとえば、ＩＰパケットを用いて無線基地局装置経由で車両１の外部における装置である外部装置と通信することが可能である。ＴＣＵ１１１Ａは、たとえば、外部装置および中継装置１００間で送受信される、ナビゲーションおよびリモートメンテナンス等のサービスに用いる情報を中継する。
【0047】
たとえば、ブレーキセンサ１１１Ｄは、定期的または不定期に、車両１のブレーキ圧を示すブレーキ情報を自動運転ＥＣＵ１１１Ｂ等の他の車載ＥＣＵ１１１へ送信する。ブレーキ情報は、車両１において用いる対象情報の一例である。
【0048】
アクセルセンサ１１１Ｅは、定期的または不定期に、車両１のアクセル開度を示すアクセル情報を自動運転ＥＣＵ１１１Ｂ等の他の車載ＥＣＵ１１１へ送信する。アクセル情報は、車両１において用いる対象情報の一例である。
【0049】
画像センサ１１１Ｆは、定期的または不定期に、車両１の周囲の領域の撮像画像を示す画像情報を自動運転ＥＣＵ１１１Ｂおよび運転支援ＥＣＵ１１１Ｃ等の他の車載ＥＣＵ１１１へ送信する。画像情報は、車両１において用いる対象情報の一例である。
【0050】
自動運転ＥＣＵ１１１Ｂは、中継装置１００経由で、ブレーキセンサ１１１Ｄ、アクセルセンサ１１１Ｅおよび画像センサ１１１Ｆから、ブレーキ情報、アクセル情報および画像情報をそれぞれ受信すると、受信した各種情報に基づいて車両１の自動運転制御を行う。
【0051】
運転支援ＥＣＵ１１１Ｃは、中継装置１００経由で画像センサ１１１Ｆから画像情報を受信すると、受信した画像情報等に基づいて、たとえば運転者への車線逸脱警告等の運転支援を行う。
【0052】
すなわち、ブレーキセンサ１１１Ｄは、ブレーキ情報を通知するというサービスを提供するサービスＥＣＵである。アクセルセンサ１１１Ｅは、アクセル情報を通知するというサービスを提供するサービスＥＣＵである。画像センサ１１１Ｆは、画像情報を通知するというサービスを提供するサービスＥＣＵである。
【0053】
自動運転ＥＣＵ１１１Ｂは、ブレーキセンサ１１１Ｄ、アクセルセンサ１１１Ｅおよび画像センサ１１１Ｆからサービスの提供を受けるクライアントＥＣＵである。運転支援ＥＣＵ１１１Ｃは、画像センサ１１１Ｆからサービスの提供を受けるクライアントＥＣＵである。
【0054】
［サービス指向通信］
サービスＥＣＵおよびクライアントＥＣＵは、いわゆるサービス指向通信を行う。
サービスＥＣＵおよびクライアントＥＣＵは、いわゆるサービス指向通信を行う。
【0055】
各車載ＥＣＵ１１１は、サービス指向通信において、所定のプロトコルに従うフレームを送受信する。たとえば、車載ＥＣＵ１１１は、ＯＳＩ（Ｏｐｅｎ Ｓｙｓｔｅｍｓ Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）参照モデルにおけるトランスポート層よりも上位のプロトコルである、ＳＯＭＥ／ＩＰの通信規格に従うフレームを送受信する。以下、ＳＯＭＥ／ＩＰの通信規格に従うフレームを、ＳＯＭＥ／ＩＰフレームとも称する。
【0056】
図２は、本開示の実施の形態に係る車載ＥＣＵが送受信するＳＯＭＥ／ＩＰフレームの一例を示す図である。
【0057】
図２を参照して、ＳＯＭＥ／ＩＰフレームのヘッダは、メッセージＩＤ、データ長、リクエストＩＤ、プロトコルバージョン、インタフェースバージョン、メッセージタイプ、リターンコード、フラグ、予約、エントリ配列長、エントリ配列、オプション配列長およびオプション配列のフィールドを有する。
【0058】
データ長のフィールドには、ＳＯＭＥ／ＩＰフレームのペイロードのデータ長が格納される。
【0059】
【0060】
図３を参照して、ＳＯＭＥ／ＩＰフレームのエントリ配列のフィールドは、タイプ、Ｉｎｄｅｘ １ｓｔ ｏｐｔｉｏｎｓ、Ｉｎｄｅｘ ２ｓｔ ｏｐｔｉｏｎｓ、＃ ｏｆ ｏｐｔ １、＃ ｏｆ ｏｐｔ ２、サービスＩＤ、インスタンスＩＤ、Ｍａｊｏｒ Ｖｅｒｓｉｏｎ、ＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）、Ｒｅｓｅｒｖｅ、Ｉｎｉｔｉａｌ Ｄａｔａ Ｒｅｑｕｅｓｔｅｄ Ｆｌａｇ、Ｒｅｓｅｒｖｅ２、ＣｏｕｎｔｅｒおよびＥｖｅｎｔｇｒｏｕｐＩＤのフィールドを有する。
【0061】
たとえば、車両１のユーザの操作により、新たな車載ＥＣＵ１１１が車載ネットワーク１２に追加される場合がある。車載ネットワーク１２に追加される車載ＥＣＵ１１１は、サービスＥＣＵであってもよいし、クライアントＥＣＵであってもよい。
【0062】
クライアントＥＣＵは、車載ネットワーク１２に追加されたとき、または起動時に、車載ネットワーク１２におけるサービスＥＣＵとのサービス指向通信を開始するための通信接続を確立するための、ＳＯＭＥ／ＩＰフレームの一例であるサービスディスカバリフレームを中継装置１００経由でサービスＥＣＵへ送信する。
【0063】
クライアントＥＣＵは、サービスディスカバリフレームを中継装置１００経由で送受信することによりサービスＥＣＵとの通信接続を確立すると、ＳＯＭＥ／ＩＰフレームを用いて当該サービスＥＣＵとサービス指向通信を行う。たとえば、サービスＥＣＵは、クライアントＥＣＵとの通信接続を確立すると、ＳＯＭＥ／ＩＰフレームの一例であるサービス提供フレームを用いて当該クライアントＥＣＵへサービスを提供する。
【0064】
より詳細には、たとえば、クライアントＥＣＵは、車載ネットワーク１２に追加されたとき、または起動時に、画像情報を通知するサービスを検索中である旨の情報を含む、サービスディスカバリフレームの一例であるサービス検索フレームを生成し、生成したサービス検索フレームを中継装置１００経由で他の車載ＥＣＵ１１１へマルチキャストする。
【0065】
サービス検索フレームは、車両１において用いる画像情報等の対象情報の提供が可能か否かを問い合わせるためのメッセージである。
【0066】
クライアントＥＣＵからのサービス検索フレームにおけるメッセージＩＤのフィールドには、たとえば画像情報の通知等の、検索対象のサービスを識別可能な情報が格納される。より詳細には、メッセージＩＤのフィールドには、検索対象のサービスを識別可能なサービス番号が格納される。サービス番号は、車両１において用いる対象情報ごとに与えられる識別情報の一例である。
【0067】
サービスＥＣＵである画像センサ１１１Ｆは、中継装置１００経由で当該クライアントＥＣＵからサービス検索フレームを受信すると、自己のＭＡＣアドレスおよび自己が画像情報を通知するサービスを提供可能である旨の情報を含む、サービスディスカバリフレームの一例であるサービス提供通知フレームを生成し、生成したサービス提供通知フレームを、サービス検索フレームに対する応答として中継装置１００経由でクライアントＥＣＵへ送信する。
【0068】
クライアントＥＣＵは、中継装置１００経由で画像センサ１１１Ｆからサービス提供通知フレームを受信すると、自己のＩＤおよび画像情報の送信を要求する旨の情報を含む、サービスディスカバリフレームの一例であるサービス購読要求フレームを生成し、生成したサービス購読要求フレームを中継装置１００経由で画像センサ１１１Ｆへ送信する。
【0069】
画像センサ１１１Ｆは、中継装置１００経由でクライアントＥＣＵからサービス購読要求フレームを受信すると、受信したサービス購読要求フレームに含まれるクライアントＥＣＵのＩＤ等に基づいて、クライアントＥＣＵによるサービス購読を許可するか否か、すなわちクライアントＥＣＵへの画像情報の通知を開始するか否かを決定する。
【0070】
そして、画像センサ１１１Ｆは、決定内容を示す情報を含む、サービスディスカバリフレームの一例であるサービス購読可否フレームを生成し、生成したサービス購読可否フレームを、サービス購読要求フレームに対する応答として中継装置１００経由でクライアントＥＣＵへ送信する。
【0071】
中継装置１００は、画像センサ１１１ＦがクライアントＥＣＵへのサービスの提供を開始することを決定した場合、画像センサ１１１ＦおよびクライアントＥＣＵ間で送受信されるＳＯＭＥ／ＩＰフレームの中継処理を有効化する。
【0072】
そして、画像センサ１１１Ｆは、定期的または不定期に、ＳＯＭＥ／ＩＰフレームの一例であるサービス提供フレームを中継装置１００経由で当該クライアントＥＣＵへ送信する。より詳細には、画像センサ１１１Ｆは、定期的または不定期に、画像情報を含むサービス提供フレームを中継装置１００経由で当該クライアントＥＣＵへ送信する。
【0073】
［整備用端末装置との通信］
中継装置１００は、たとえば、ファームウェアのアップデート用のデータ、および中継装置１００により蓄積されたデータ等を、車両１の外部における整備用端末装置と診断ポート１１２を介して送受信することが可能である。整備用端末装置は、外部装置の一例である。
中継装置１００は、たとえば、ファームウェアのアップデート用のデータ、および中継装置１００により蓄積されたデータ等を、車両１の外部における整備用端末装置と診断ポート１１２を介して送受信することが可能である。整備用端末装置は、外部装置の一例である。
【0074】
中継装置１００および診断ポート１１２に接続された整備用端末装置は、たとえば、ＯＳＩ参照モデルにおけるトランスポート層よりも上位のプロトコルである、ＤｏＩＰの通信規格に従ってフレームを送受信する。以下、ＤｏＩＰの通信規格に従うフレームを、ＤｏＩＰフレームとも称する。
【0075】
図４は、本開示の実施の形態に係る車載ＥＣＵが送受信するＤｏＩＰフレームの一例を示す図である。
【0076】
図４を参照して、ＤｏＩＰフレームのヘッダは、ペイロードタイプのフィールドを有する。ＤｏＩＰフレームのペイロードは、ロジカルアドレス情報である、送信元アドレスおよび宛先アドレスのフィールドと、ダイアグメッセージデータのフィールドとを有する。
【0077】
ペイロードタイプのフィールドには、ＤｏＩＰフレームのペイロードのデータ長が格納される。
【0078】
たとえば、中継装置１００は、整備用端末装置が診断ポート１１２に接続されると、ＶＩＮ（Ｖｅｈｉｃｌｅ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｎｕｍｂｅｒ）および車載ネットワーク１２における各車載ＥＣＵ１１１の固有番号等をペイロードに含む、ＤｏＩＰフレームの一例である車両情報通知フレームを整備用端末装置へ送信する。
【0079】
整備用端末装置は、中継装置１００から車両情報通知フレームを受信すると、車載ネットワーク１２における車載ＥＣＵ１１１との間の通信接続を確立するための、ＤｏＩＰフレームの一例である中継要求フレームを中継装置１００へ送信する。
【0080】
中継要求フレームは、車載ネットワーク１２における車載ＥＣＵ１１１と、整備用端末装置との間の情報の中継を、中継装置１００において開始するためのメッセージである。
【0081】
整備用端末装置からの中継要求フレームにおける宛先アドレスのフィールドには、車載ＥＣＵ１１１のロジカルアドレスが格納される。より詳細には、たとえば、整備用端末装置により送信されるサービスＥＣＵ宛の中継要求フレームにおける宛先アドレスのフィールドには、当該サービスＥＣＵのロジカルアドレスが格納される。ロジカルアドレスは、車両１において用いる対象情報ごとに与えられる識別情報の一例である。
【0082】
中継装置１００は、整備用端末装置から中継要求フレームを受信すると、中継要求フレームにおける宛先アドレスが示す車載ＥＣＵ１１１と、整備用端末装置との間で送受信されるフレームの中継処理を有効化する。
【0083】
整備用端末装置は、車載ＥＣＵ１１１との通信接続が確立すると、当該車載ＥＣＵ１１１へファームウェアのアップデート用のデータの送信、および当該車載ＥＣＵ１１１への蓄積データの送信要求等を行う。
【0084】
［中継装置の構成］
図５は、本開示の実施の形態に係る中継装置の構成の一例を示す図である。
図５は、本開示の実施の形態に係る中継装置の構成の一例を示す図である。
【0085】
図５を参照して、中継装置１００は、通信処理部１０と、監視部２０と、算出部３０と、検知部４０と、記憶部５０と、図示しない複数の通信ポートとを備える。
【0086】
通信処理部１０、監視部２０、算出部３０および検知部４０は、たとえば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）およびＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等のプロセッサによって実現される。記憶部５０は、たとえばフラッシュメモリである。
【0087】
上述のように、中継装置１００は、検知装置として機能し、車載ネットワーク１２における不正メッセージを検知する検知処理を行う。
【0088】
たとえば、外部装置が、ＴＣＵ１１１Ａおよび中継装置１００経由で車載ネットワーク１２における車載ＥＣＵ１１１とサービス指向通信を行う場合がある。より詳細には、たとえば、外部装置は、ＴＣＵ１１１Ａおよび中継装置１００経由でサービスディスカバリフレームをサービスＥＣＵへ送信することにより、クライアントＥＣＵと同様に、サービスＥＣＵとの通信接続を確立し、ＳＯＭＥ／ＩＰフレームを用いて当該サービスＥＣＵとサービス指向通信を行う。
【0089】
たとえば、サービスＥＣＵが不正な外部装置との通信接続を確立した場合、不正な外部装置によって車載ネットワーク１２へ不正にアクセスされるおそれがある。
【0090】
また、たとえば、中継装置１００が、車載ＥＣＵ１１１と、不正な整備用端末装置との間で送受信されるフレームの中継処理を有効化した場合、不正な整備用端末装置によって車載ネットワーク１２へ不正にアクセスされるおそれがある。
【0091】
そこで、中継装置１００は、不正な外部装置からのサービスディスカバリフレームおよび不正な整備用端末装置からの中継要求フレームを不正メッセージとして以下のように検知する。
【0092】
［通信処理部］
通信処理部１０は、車載ＥＣＵ１１１間で伝送されるメッセージを中継する中継処理を行う。
通信処理部１０は、車載ＥＣＵ１１１間で伝送されるメッセージを中継する中継処理を行う。
【0093】
通信処理部１０は、中継装置１００における複数の通信ポートのうち、車載ＥＣＵ１１１から対応の通信ポート経由で他の車載ＥＣＵ１１１宛のフレームを受信すると、当該フレームを対応の通信ポート経由で当該他の車載ＥＣＵ１１１へ送信する。
【0094】
［監視部］
監視部２０は、車載ネットワーク１２において送信されるメッセージを監視する。
監視部２０は、車載ネットワーク１２において送信されるメッセージを監視する。
【0095】
たとえば、監視部２０は、中継処理を行うべきフレームを通信処理部１０が受信すると、通信処理部１０によって受信されたフレームが、ＳＯＭＥ／ＩＰの通信規格に従うサービス検索フレームおよびＤｏＩＰの通信規格に従う中継要求フレーム等の、識別情報を有するメッセージである対象メッセージであるか否かを判断する。
【0096】
より詳細には、監視部２０は、通信処理部１０によって受信されたフレームのＵＤＰヘッダのポート番号を確認する。
【0097】
たとえば、監視部２０は、当該フレームのポート番号が、ＳＯＭＥ／ＩＰフレームに予め割り当てられているポート番号と一致する場合、当該フレームはＳＯＭＥ／ＩＰフレームであると判断する。
【0098】
再び図２を参照して、監視部２０は、通信処理部１０によって受信されたフレームがＳＯＭＥ／ＩＰフレームであると判断した場合、当該ＳＯＭＥ／ＩＰフレームのヘッダにおけるメッセージＩＤに基づいて、当該ＳＯＭＥ／ＩＰフレームがサービスディスカバリフレームであるか否かを判断する。
【0099】
再び図３を参照して、次に、監視部２０は、通信処理部１０によって受信されたフレームがサービスディスカバリフレームであると判断した場合、当該サービスディスカバリフレームのヘッダにおけるメッセージタイプまたはタイプに基づいて、当該サービスディスカバリフレームがサービス検索フレームであるか否かを判断する。
【0100】
次に、監視部２０は、通信処理部１０によって受信されたフレームがサービス検索フレームであると判断した場合、当該サービス検索フレームのヘッダにおけるサービスＩＤのフィールドに格納されたサービス番号を識別情報Ｙ１として取得するとともに、データ長のフィールドに格納されたデータ長をデータ長情報Ｘ１として取得し、取得した各情報を監視情報として算出部３０へ出力する。
【0101】
また、たとえば、監視部２０は、当該フレームのポート番号が、ＤｏＩＰフレームに予め割り当てられているポート番号と一致する場合、当該フレームはＤｏＩＰフレームであると判断する。
【0102】
再び図４を参照して、監視部２０は、通信処理部１０によって受信されたフレームがＤｏＩＰフレームであると判断した場合、当該ＤｏＩＰフレームのヘッダにおけるペイロードタイプに基づいて、当該ＤｏＩＰフレームが中継要求フレームであるか否かを判断する。
【0103】
次に、監視部２０は、通信処理部１０によって受信されたフレームが中継要求フレームであると判断した場合、当該中継要求フレームの宛先アドレスのフィールドに格納されたロジカルアドレスを識別情報Ｙ２として取得するとともに、ペイロードタイプのフィールドに格納されたデータ長をデータ長情報Ｘ２として取得し、取得した各情報を監視情報として算出部３０へ出力する。
【0104】
［算出部］
算出部３０は、監視部２０による監視結果に基づいて、所定期間Ｔａ内に車載ネットワーク１２において送信された、車両１において用いる対象情報の種類ごとに与えられる識別情報Ｙ１を有するメッセージであるサービス検索フレームに関する統計値を算出する。
算出部３０は、監視部２０による監視結果に基づいて、所定期間Ｔａ内に車載ネットワーク１２において送信された、車両１において用いる対象情報の種類ごとに与えられる識別情報Ｙ１を有するメッセージであるサービス検索フレームに関する統計値を算出する。
【0105】
また、算出部３０は、監視部２０による監視結果に基づいて、所定期間Ｔｂ内に車載ネットワーク１２において送信された、車両１において用いる対象情報の種類ごとに与えられる識別情報Ｙ２を有するメッセージである中継要求フレームに関する統計値を算出する。
【0106】
より詳細には、算出部３０は、監視部２０から監視情報を受けると、受けた監視情報に基づいて、所定期間Ｔａ内に車載ネットワーク１２において送信されたサービス検索フレームに関する統計値、および所定期間Ｔｂ内に車載ネットワーク１２において送信された中継要求フレームに関する統計値を算出する。
【0107】
サービス検索フレームおよび中継要求フレームは、対象メッセージの一例である。
【0108】
所定期間Ｔａと所定期間Ｔｂとは、同じであってもよいし、異なってもよい。また、所定期間Ｔａの開始タイミングと所定期間Ｔｂの開始タイミングとは、同じであってもよいし、異なってもよい。
【0109】
たとえば、算出部３０は、所定の時間間隔Ｔ１ごとに、時刻（Ｔ１×ｍ）から始まる所定期間Ｔａ内に車載ネットワーク１２において送信されたサービス検索フレームに関する統計値を算出する。ここで、ｍは正の整数である。
【0110】
なお、時間間隔Ｔ１が所定期間Ｔａと同じであることにより、各監視期間が時間的に連続してもよい。また、時間間隔Ｔ１が所定期間Ｔａよりも短いことにより、各監視期間が時間的に一部重複してもよい。また、時間間隔Ｔ１が所定期間Ｔａよりも長いことにより、各監視期間が間欠的に設けられてもよい。
【0111】
また、たとえば、算出部３０は、所定の時間間隔Ｔ２ごとに、時刻（Ｔ２×ｎ）から始まる所定期間Ｔｂ内に車載ネットワーク１２において送信された中継要求フレームに関する統計値を算出する。ここで、ｎは正の整数である。
【0112】
なお、時間間隔Ｔ２が所定期間Ｔｂと同じであることにより、各監視期間が時間的に連続してもよい。また、時間間隔Ｔ２が所定期間Ｔｂよりも短いことにより、各監視期間が時間的に一部重複してもよい。また、時間間隔Ｔ２が所定期間Ｔｂよりも長いことにより、各監視期間が間欠的に設けられてもよい。
【0113】
（データ長に基づく統計値）
たとえば、算出部３０は、所定期間Ｔａ内に車載ネットワーク１２において送信されたサービス検索フレームのうち、データ長が所定値未満のサービス検索フレームの数を統計値Ｓ１として算出する。また、たとえば、算出部３０は、所定期間Ｔｂ内に車載ネットワーク１２において送信された中継要求フレームのうち、データ長が所定値未満の中継要求フレームの数を統計値Ｓ２として算出する。
たとえば、算出部３０は、所定期間Ｔａ内に車載ネットワーク１２において送信されたサービス検索フレームのうち、データ長が所定値未満のサービス検索フレームの数を統計値Ｓ１として算出する。また、たとえば、算出部３０は、所定期間Ｔｂ内に車載ネットワーク１２において送信された中継要求フレームのうち、データ長が所定値未満の中継要求フレームの数を統計値Ｓ２として算出する。
【0114】
たとえば、記憶部５０は、データ長に関するしきい値を記憶している。たとえば、記憶部５０におけるしきい値は、６４バイトである。
【0115】
算出部３０は、監視部２０から監視情報を受けると、受けた監視情報に含まれるデータ長情報Ｘ１，Ｘ２が示すデータ長と、記憶部５０におけるしきい値とを比較する。なお、データ長情報Ｘ１が示すデータ長に関するしきい値と、データ長情報Ｘ２が示すデータ長に関するしきい値とは、同じであってもよいし、異なってもよい。
【0116】
そして、算出部３０は、所定期間Ｔａ内に車載ネットワーク１２において送信されたサービス検索フレームのうち、データ長情報Ｘ１が示すデータ長が６４バイト未満であるサービス検索フレームの数を統計値Ｓ１として算出する。
【0117】
また、算出部３０は、所定期間Ｔｂ内に車載ネットワーク１２において送信された中継要求フレームのうち、データ長情報Ｘ２が示すデータ長が６４バイト未満である中継要求フレームの数を統計値Ｓ２として算出する。
【0118】
（識別情報に基づく統計値）
たとえば、算出部３０は、所定期間Ｔａ内に車載ネットワーク１２において送信されたサービス検索フレームのうち、所定の識別情報を有するサービス検索フレームの数を統計値Ｓ３として算出する。また、たとえば、算出部３０は、所定期間Ｔｂ内に車載ネットワーク１２において送信された中継要求フレームのうち、所定の識別情報を有する中継要求フレームの数を統計値Ｓ４として算出する。
たとえば、算出部３０は、所定期間Ｔａ内に車載ネットワーク１２において送信されたサービス検索フレームのうち、所定の識別情報を有するサービス検索フレームの数を統計値Ｓ３として算出する。また、たとえば、算出部３０は、所定期間Ｔｂ内に車載ネットワーク１２において送信された中継要求フレームのうち、所定の識別情報を有する中継要求フレームの数を統計値Ｓ４として算出する。
【0119】
たとえば、記憶部５０は、車載ネットワーク１２における各サービスＥＣＵが提供するサービスのうち利用頻度が所定値未満であるサービスのサービス番号を、特定サービス番号として記憶している。また、たとえば、記憶部５０は、特定サービス番号が示すサービスを提供するサービスＥＣＵのロジカルアドレスを特定ロジカルアドレスとして記憶している。
【0120】
たとえば、記憶部５０における特定サービス番号は、アクセルセンサ１１１Ｅが提供するサービスのサービス番号であり、記憶部５０における特定ロジカルアドレスは、アクセルセンサ１１１Ｅのロジカルアドレスである。
【0121】
算出部３０は、監視部２０から監視情報を受けると、受けた監視情報に含まれる識別情報Ｙ１が示すサービス番号と、記憶部５０における特定サービス番号とを比較する。
【0122】
そして、算出部３０は、所定期間Ｔａ内に車載ネットワーク１２において送信されたサービス検索フレームのうち、識別情報Ｙ１が示すサービス番号が特定サービス番号と一致するサービス検索フレームの数を統計値Ｓ３として算出する。
【0123】
また、算出部３０は、所定期間Ｔｂ内に車載ネットワーク１２において送信された中継要求フレームのうち、識別情報Ｙ２が示すロジカルアドレスが特定ロジカルアドレスと一致するサービス検索フレームの数を統計値Ｓ４として算出する。
【0124】
（メッセージの総数に基づく統計値）
たとえば、算出部３０は、所定期間Ｔａ内に車載ネットワーク１２において送信された、識別情報ごとの各サービス検索フレームの総数を統計値Ｓ５として算出する。また、たとえば、算出部３０は、所定期間Ｔｂ内に車載ネットワーク１２において送信された、識別情報ごとの各中継要求フレームの総数を統計値Ｓ６として算出する。
たとえば、算出部３０は、所定期間Ｔａ内に車載ネットワーク１２において送信された、識別情報ごとの各サービス検索フレームの総数を統計値Ｓ５として算出する。また、たとえば、算出部３０は、所定期間Ｔｂ内に車載ネットワーク１２において送信された、識別情報ごとの各中継要求フレームの総数を統計値Ｓ６として算出する。
【0125】
算出部３０は、監視部２０から監視情報を受けると、受けた監視情報に基づいて、所定期間Ｔａ内に車載ネットワーク１２において送信されたサービス検索フレームの総数を統計値Ｓ５として算出する。
【0126】
また、算出部３０は、監視部２０から監視情報を受けると、受けた監視情報に基づいて、所定期間Ｔｂ内に車載ネットワーク１２において送信された中継要求フレームの総数を統計値Ｓ６として算出する。
【0127】
算出部３０は、統計値Ｓ１，Ｓ２，Ｓ３，Ｓ４，Ｓ５，Ｓ６を統計情報として検知部４０へ出力する。
【0128】
［検知部］
検知部４０は、算出部３０によって算出された統計値に基づいて、不正メッセージを検知する検知処理を行う。
検知部４０は、算出部３０によって算出された統計値に基づいて、不正メッセージを検知する検知処理を行う。
【0129】
より詳細には、検知部４０は、算出部３０から統計情報を受けると、受けた統計情報に基づいて、不正なサービス検索フレームおよび不正な中継要求フレームを検知する。
【0130】
たとえば、記憶部５０は、統計値Ｓ１～Ｓ６に関する６つのしきい値をそれぞれ記憶している。
【0131】
検知部４０は、算出部３０から受けた統計情報が示す統計値Ｓ１，Ｓ２，Ｓ３，Ｓ４，Ｓ５，Ｓ６と、記憶部５０における対応のしきい値とを比較する。
【0132】
たとえば、検知部４０は、統計値Ｓ１、統計値Ｓ３および統計値Ｓ５が、それぞれ対応のしきい値以上である場合、対応の期間内に送信されたサービス検索フレームの一部または全部は不正なサービス検索フレームであると判断する。
【0133】
たとえば、検知部４０は、統計値Ｓ２、統計値Ｓ４および統計値Ｓ５が、それぞれ対応のしきい値以上である場合、対応の期間内に送信された中継要求フレームの一部または全部は不正な中継要求フレームであると判断する。
【0134】
検知部４０は、対応の期間内に送信されたサービス検索フレームの一部または全部が不正なサービス検索フレームであるか、または対応の期間内に送信された中継要求フレームの一部または全部が不正な中継要求フレームであると判断した場合、以下の処理を行う。
【0135】
すなわち、検知部４０は、対応の期間内に送信された、サービス検索フレームの情報または中継要求フレームの情報を記録する。また、検知部４０は、車載ネットワーク１２において不正メッセージが伝送されていることを示す警報情報を通信処理部１０経由で車両１内または車両１外における上位装置へ送信する。
【0136】
［動作の流れ］
本開示の実施の形態に係る車載通信システムにおける各装置は、メモリを含むコンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のフローチャートおよびシーケンスの各ステップの一部または全部を含むプログラムを当該メモリから読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。
本開示の実施の形態に係る車載通信システムにおける各装置は、メモリを含むコンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のフローチャートおよびシーケンスの各ステップの一部または全部を含むプログラムを当該メモリから読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。
【0137】
図６は、本開示の実施の形態に係る車載通信システムにおいて中継装置が検知処理を行う際の動作手順の一例を定めたフローチャートである。
【0138】
図６を参照して、まず、中継装置１００は、車載ネットワーク１２において送信されるメッセージを監視し、サービス検索フレームを受信すると、受信したサービス検索フレームからデータ長情報Ｘ１および識別情報Ｙ１を取得して記憶部５０に蓄積する（ステップＳ１０２）。
【0139】
次に、中継装置１００は、所定期間Ｔａが経過するまでデータ長情報Ｘ１および識別情報Ｙ１の蓄積を繰り返し（ステップＳ１０４でＮＯ）、所定期間Ｔａが経過すると（ステップＳ１０４でＹＥＳ）、監視結果に基づいて、所定期間Ｔａ内に車載ネットワーク１２において送信された対象メッセージに関する統計値Ｓ１，Ｓ３，Ｓ５を算出する。より詳細には、中継装置１００は、所定期間Ｔａ内に記憶部５０に蓄積したデータ長情報Ｘ１および識別情報Ｙ１に基づいて、統計値Ｓ１，Ｓ３，Ｓ５を算出する（ステップＳ１０６）。
【0140】
次に、中継装置１００は、記憶部５０に蓄積したデータ長情報Ｘ１および識別情報Ｙ１を消去する（ステップＳ１０８）。
【0141】
次に、中継装置１００は、算出した統計値Ｓ１，Ｓ３，Ｓ５に基づいて、不正メッセージを検知する検知処理を行う（ステップＳ１１０）。
【0142】
次に、中継装置１００は、検知処理の結果、所定期間Ｔａ内に送信されたサービス検索フレームは不正メッセージではないと判断した場合（ステップＳ１１２でＮＯ）、当該サービス検索フレーム等のサービスディスカバリフレームにより確立されるサービス指向通信においてサービスＥＣＵおよびクライアントＥＣＵ間で送受信されるＳＯＭＥ／ＩＰフレームの中継処理を有効化する（ステップＳ１１４）。
【0143】
一方、中継装置１００は、検知処理の結果、所定期間Ｔａ内に送信されたサービス検索フレームの一部または全部が不正なサービス検索フレームであると判断した場合（ステップＳ１１２でＹＥＳ）、不正メッセージが伝送されていることを示す警報情報を車両１内または車両１外における上位装置へ送信する（ステップＳ１１６）。
【0144】
そして、中継装置１００は、新たなサービス検索フレームを受信し、データ長情報Ｘ１および識別情報Ｙ１を記憶部５０に蓄積する（ステップＳ１０２）。
【0145】
なお、中継装置１００は、ステップＳ１０２の処理と、ステップＳ１０６～Ｓ１１６の処理とを並行して行う構成であってもよい。
【0146】
図７は、本開示の実施の形態に係る車載通信システムにおいて中継装置が検知処理を行う際の動作手順の他の例を定めたフローチャートである。
【0147】
図７を参照して、まず、中継装置１００は、車載ネットワーク１２において送信されるメッセージを監視し、中継要求フレームを受信すると、受信した中継要求フレームからデータ長情報Ｘ２および識別情報Ｙ２を取得して記憶部５０に蓄積する（ステップＳ２０２）。
【0148】
次に、中継装置１００は、所定期間Ｔｂが経過するまでデータ長情報Ｘ２および識別情報Ｙ２の蓄積を繰り返し（ステップＳ２０４でＮＯ）、所定期間Ｔｂが経過すると（ステップＳ２０４でＹＥＳ）、監視結果に基づいて、所定期間Ｔｂ内に車載ネットワーク１２において送信された対象メッセージに関する統計値Ｓ２，Ｓ４，Ｓ６を算出する。より詳細には、中継装置１００は、所定期間Ｔｂ内に記憶部５０に蓄積したデータ長情報Ｘ２および識別情報Ｙ２に基づいて、統計値Ｓ２，Ｓ４，Ｓ６を算出する（ステップＳ２０６）。
【0149】
次に、中継装置１００は、記憶部５０に蓄積したデータ長情報Ｘ２および識別情報Ｙ２を消去する（ステップＳ２０８）。
【0150】
次に、中継装置１００は、算出した統計値Ｓ２，Ｓ４，Ｓ６に基づいて、不正メッセージを検知する検知処理を行う（ステップＳ２１０）。
【0151】
次に、中継装置１００は、検知処理の結果、所定期間Ｔｂ内に送信された中継要求フレームは不正メッセージではないと判断した場合（ステップＳ２１２でＮＯ）、中継要求フレーム等のＤｏＩＰフレームの中継処理を有効化する（ステップＳ２１４）。
【0152】
一方、中継装置１００は、検知処理の結果、所定期間Ｔｂ内に送信された中継要求フレームの一部または全部が不正な中継要求フレームであると判断した場合（ステップＳ２１２でＹＥＳ）、不正メッセージが伝送されていることを示す警報情報を車両１内または車両１外における上位装置へ送信する（ステップＳ２１６）。
【0153】
そして、中継装置１００は、新たな中継要求フレームを受信し、データ長情報Ｘ２および識別情報Ｙ２を記憶部５０に蓄積する（ステップＳ２０２）。
【0154】
なお、中継装置１００は、ステップＳ２０２の処理と、ステップＳ２０６～Ｓ２１６の処理とを並行して行う構成であってもよい。
【0155】
なお、本開示の実施の形態に係る車載通信システム３００では、中継装置１００が、車載ネットワーク１２における不正メッセージを検知する構成であるとしたが、これに限定するものではない。車載通信システム３００では、中継装置１００とは別の装置が、検知装置として車載ネットワーク１２における不正メッセージを検知する構成であってもよい。
【0156】
また、本開示の実施の形態に係る車載通信システム３００では、検知装置として機能する中継装置１００がイーサネットケーブル１１に直接接続される構成であるとしたが、これに限定するものではない。
【0157】
図８は、本発明の実施の形態に係る車載ネットワークの接続トポロジの一例を示す図である。
【0158】
図８を参照して、検知装置１０１が、車載ＥＣＵ１１１を介してイーサネットケーブル１１に接続される構成であってもよい。この場合、検知装置１０１は、たとえば、当該車載ＥＣＵが送受信するメッセージを監視することにより、イーサネットケーブル１１に伝送される不正メッセージを検知する。
【0159】
また、本開示の実施の形態に係る中継装置１００では、監視部２０は、ＳＯＭＥ／ＩＰの通信規格に従うサービス検索フレームからデータ長情報Ｘ１および識別情報Ｙ１を取得し、かつＤｏＩＰの通信規格に従う中継要求フレームからデータ長情報Ｘ２および識別情報Ｙ２を取得する構成であるとしたが、これに限定するものではない。
【0160】
算出部３０は、ＳＯＭＥ／ＩＰの通信規格に従うフレームのうちのサービス検索フレーム以外のフレームに関する統計値を算出する構成であってもよい。また、算出部３０は、ＤｏＩＰの通信規格に従うフレームのうちの中継要求フレーム以外のフレームに関する統計値を算出する構成であってもよい。また、算出部３０は、ＳＯＭＥ／ＩＰおよびＤｏＩＰ以外の通信規格に従うフレームに関する統計値を算出する構成であってもよい。
【0161】
また、本開示の実施の形態に係る中継装置１００では、算出部３０は、監視部２０から受けた監視情報に基づいて、統計値Ｓ１，Ｓ２，Ｓ３，Ｓ４，Ｓ５，Ｓ６を算出する構成であるとしたが、これに限定するものではない。算出部３０は、統計値Ｓ１，Ｓ２，Ｓ３，Ｓ４，Ｓ５，Ｓ６の一部を算出しない構成であってもよい。この場合、検知部４０は、統計値Ｓ１，Ｓ２，Ｓ３，Ｓ４，Ｓ５，Ｓ６のうち算出部３０によって算出された他の統計値に基づいて、不正メッセージを検知することができる。
【0162】
ところで、車載ネットワークにおける不正メッセージをより正しく検知することを可能とする技術が望まれる。
【0163】
たとえば、特許文献１に記載のシステムは、セキュリティトークンに基づく認証を行う構成であり、セキュリティトークンが不正利用されると、異常を検知することができない場合がある。また、特許文献２に記載のシステムは、侵入異常に関する情報とブラックリストとを照合する構成であり、ブラックリストに登録されていない異常を検知することができない場合がある。
【0164】
これに対して、本開示の実施の形態に係る中継装置１００では、監視部２０は、車載ネットワーク１２において送信されるメッセージを監視する。算出部３０は、監視部２０による監視結果に基づいて、所定期間内に車載ネットワーク１２において送信された、車両１において用いる対象情報の種類ごとに与えられる識別情報を有するメッセージである対象メッセージに関する統計値を算出する。検知部４０は、算出部３０によって算出された統計値に基づいて、不正メッセージを検知する検知処理を行う。
【0165】
本開示の実施の形態に係る検知方法は、車両１に搭載される車載ネットワーク１２における不正メッセージを検知する中継装置１００における検知方法である。この検知方法では、まず、中継装置１００が、車載ネットワーク１２において送信されるメッセージを監視する。次に、中継装置１００が、監視結果に基づいて、所定期間内に車載ネットワーク１２において送信された、車両１において用いる対象情報の種類ごとに与えられる識別情報を有するメッセージである対象メッセージに関する統計値を算出する。次に、中継装置１００が、算出した統計値に基づいて、不正メッセージを検知する検知処理を行う。
【0166】
このように、識別情報を有する対象メッセージに関する統計値に基づいて不正メッセージを検知する構成および方法により、たとえば、算出した統計値と、正常な対象メッセージに関する統計値に基づいて予め設定されたしきい値との比較結果に基づいて、算出した統計値が異常であるか否かを判断することで不正メッセージの検知精度を向上させることできる。
【0167】
したがって、本開示の実施の形態に係る中継装置および検知方法では、車載ネットワークにおける不正メッセージをより正しく検知することができる。
【0168】
上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【0169】
以上の説明は、以下に付記する特徴を含む。
［付記１］
車両に搭載される車載ネットワークにおける不正メッセージを検知する検知装置であって、
前記車載ネットワークにおいて送信されるメッセージを監視する監視部と、
前記監視部による監視結果に基づいて、所定期間内に前記車載ネットワークにおいて送信された、前記車両において用いる対象情報の種類ごとに与えられる識別情報を有するメッセージである対象メッセージに関する統計値を算出する算出部と、
前記算出部によって算出された前記統計値に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備え、
前記対象メッセージは、ＳＯＭＥ／ＩＰの通信規格に従う、前記対象情報の提供が可能か否かを問い合わせるためのメッセージであるか、または、ＤｏＩＰの通信規格に従う、前記車載ネットワークにおける車載装置と、前記車載ネットワークに接続された外部装置との間の情報の中継を開始するための、前記外部装置からのメッセージである、検知装置。
［付記１］
車両に搭載される車載ネットワークにおける不正メッセージを検知する検知装置であって、
前記車載ネットワークにおいて送信されるメッセージを監視する監視部と、
前記監視部による監視結果に基づいて、所定期間内に前記車載ネットワークにおいて送信された、前記車両において用いる対象情報の種類ごとに与えられる識別情報を有するメッセージである対象メッセージに関する統計値を算出する算出部と、
前記算出部によって算出された前記統計値に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備え、
前記対象メッセージは、ＳＯＭＥ／ＩＰの通信規格に従う、前記対象情報の提供が可能か否かを問い合わせるためのメッセージであるか、または、ＤｏＩＰの通信規格に従う、前記車載ネットワークにおける車載装置と、前記車載ネットワークに接続された外部装置との間の情報の中継を開始するための、前記外部装置からのメッセージである、検知装置。
【0170】
［付記２］
車両に搭載される車載ネットワークにおける不正メッセージを検知する、プロセッサを備える検知装置であって、
前記プロセッサは、
前記車載ネットワークにおいて送信されるメッセージを監視する監視部と、
前記監視部による監視結果に基づいて、所定期間内に前記車載ネットワークにおいて送信された、前記車両において用いる対象情報の種類ごとに与えられる識別情報を有するメッセージである対象メッセージに関する統計値を算出する算出部と、
前記算出部によって算出された前記統計値に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを実現する、検知装置。
車両に搭載される車載ネットワークにおける不正メッセージを検知する、プロセッサを備える検知装置であって、
前記プロセッサは、
前記車載ネットワークにおいて送信されるメッセージを監視する監視部と、
前記監視部による監視結果に基づいて、所定期間内に前記車載ネットワークにおいて送信された、前記車両において用いる対象情報の種類ごとに与えられる識別情報を有するメッセージである対象メッセージに関する統計値を算出する算出部と、
前記算出部によって算出された前記統計値に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを実現する、検知装置。
【符号の説明】
【0171】
１ 車両
１０ 通信処理部
１１ イーサネットケーブル
１２ 車載ネットワーク
２０ 監視部
３０ 算出部
４０ 検知部
５０ 記憶部
１００ 中継装置
１１１ 車載ＥＣＵ
１１１Ａ ＴＣＵ（車載ＥＣＵ）
１１１Ｂ 自動運転ＥＣＵ（車載ＥＣＵ）
１１１Ｃ 運転支援ＥＣＵ（車載ＥＣＵ）
１１１Ｄ ブレーキセンサ（車載ＥＣＵ）
１１１Ｅ アクセルセンサ（車載ＥＣＵ）
１１１Ｆ 画像センサ（車載ＥＣＵ）
１１２ 診断ポート
３００ 車載通信システム
１０ 通信処理部
１１ イーサネットケーブル
１２ 車載ネットワーク
２０ 監視部
３０ 算出部
４０ 検知部
５０ 記憶部
１００ 中継装置
１１１ 車載ＥＣＵ
１１１Ａ ＴＣＵ（車載ＥＣＵ）
１１１Ｂ 自動運転ＥＣＵ（車載ＥＣＵ）
１１１Ｃ 運転支援ＥＣＵ（車載ＥＣＵ）
１１１Ｄ ブレーキセンサ（車載ＥＣＵ）
１１１Ｅ アクセルセンサ（車載ＥＣＵ）
１１１Ｆ 画像センサ（車載ＥＣＵ）
１１２ 診断ポート
３００ 車載通信システム
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】