CN111033504A - 检测器、检测方法和检测程序 - Google Patents

Abstract

提供了一种用于检测安装在车辆中的车载网络中的无效消息的检测器，所述检测器包括：消息获取单元，用于获取车载网络中的一个或多个发送消息；数据获取单元，用于获取包括在由消息获取单元获取的发送消息中并且与同一时间相对应的多种类型的数据的集合；存储单元，用于存储基于分别与多个时间相对应的多个集合而预先创建的检测条件；以及检测单元，用于基于由数据获取单元获取的集合和检测条件来检测无效消息。

Description

检测器、检测方法和检测程序

技术领域

本发明涉及检测装置、检测方法和检测程序。本申请要求在2017年8月3日提交的日本专利申请No.2017-150807的优先权，其全部内容通过引用并入本文。

背景技术

专利文献1(日本特开专利公开No.2016-116075)公开了以下车载通信系统。即，车载通信系统是通过使用以下各项来执行消息认证的车载通信系统：发送器代码，其是由通信数据的发送器生成的消息认证代码；以及接收器代码，其是由通信数据的接收器生成的消息认证代码，所述车载通信系统包括：第一ECU，其连接到车载网络，并且仅具有第一加密密钥和第二加密密钥(不同于所述第一加密密钥)之中的所述第一加密密钥；第二ECU，其连接到所述车载网络，并且至少具有所述第一加密密钥；以及第三ECU，其连接到所述车载网络和外部网络，并且仅具有所述第一加密密钥和所述第二加密密钥之中的所述第二加密密钥，所述第三ECU被配置为当通过所述车载网络进行通信时，通过使用所述第二加密密钥来生成所述发送器代码或所述接收器代码，其中，所述第二ECU发送通信数据，通过使用所述第一加密密钥生成的所述发送器代码被分配给所述通信数据，并且所述第一ECU在接收到所述通信数据时，通过使用所述第一加密密钥生成的所述接收器代码验证分配给所接收到的通信数据的所述发送器代码。

引用列表

专利文献

专利文献1：日本特开专利公开No.2016-116075

专利文献2：日本特开专利公开No.2016-57438

专利文献3：日本特开专利公开No.2016-97879

专利文献4：日本特开专利公开No.2015-136107

发明内容

问题的解决方案

(1)本公开的检测装置被配置为检测安装在车辆中的车载网络中的未授权消息。检测装置包括：消息获取单元，其被配置为获取所述车载网络中的一个或多个发送消息；数据获取单元，其被配置为获取包括在由所述消息获取单元获取的所述发送消息中并且与同一时间相对应的多种类型的数据的集合；存储单元，其被配置为存储检测条件，所述检测条件是预先创建的并且基于分别与多个时间相对应的多个集合而创建的；以及检测单元，其被配置为基于由所述数据获取单元获取的集合和所述检测条件来检测未授权消息。

(11)本公开的检测方法在检测装置中执行，该检测装置包括存储单元并且被配置为检测安装在车辆中的车载网络中的未授权消息。所述检测方法包括：获取所述车载网络中的一个或多个发送消息的步骤；以及获取包括在所获取的发送消息中并且与同一时间相对应的多种类型的数据的集合的步骤。所述存储单元存储预先创建的并且基于分别与多个时间相对应的多个集合创建的检测条件。所述检测方法还包括：基于所获取的集合和所述检测条件来检测未授权消息的步骤。

(12)本公开的检测程序用于检测装置中，该检测装置包括存储单元并且被配置为检测安装在车辆中的车载网络中的未授权消息。检测程序被配置为使计算机用作：消息获取单元，其被配置为获取所述车载网络中的一个或多个发送消息；和数据获取单元，其被配置为获取包括在由所述消息获取单元获取的所述发送消息中并且与同一时间相对应的多种类型的数据的集合。存储单元存储预先创建的并且基于分别与多个时间相对应的多个集合而创建的检测条件。检测程序还使计算机用作：检测单元，其被配置为基于由所述数据获取单元获取的集合和所述检测条件来检测未授权消息。

本公开的一种模式不仅可以实现为包括这种特性处理单元的检测装置，而且可以实现为包括该检测装置的车载通信系统。本公开的一种模式可以实现为实现检测装置的一部分或全部的半导体集成电路。

附图说明

图1示出了根据本公开的第一实施例的车载通信系统的配置。

图2示出了根据本公开的第一实施例的总线连接装置组的配置。

图3示出了根据本公开的第一实施例的车载通信系统中的网关装置的配置。

图4是用于描述根据本公开的第一实施例的网关装置所使用的正态模型(normalmodel)的创建处理的图。

图5是用于描述在根据本公开的第一实施例的网关装置中执行同步处理的定时的图。

图6是用于描述在根据本公开的第一实施例的网关装置中执行同步处理的定时的图。

图7是用于描述由根据本公开的第一实施例的网关装置中的检测单元执行的未授权消息的检测的图。

图8是用于描述根据本公开的第一实施例的车载通信系统的效果的图。

图9是用于描述根据本公开的第一实施例的车载通信系统的效果的图。

图10是用于描述关于根据本公开的第一实施例的正态模型的修改的学习阶段中的创建处理的图。

图11是用于描述关于根据本公开的第一实施例的正态模型的修改的测试阶段中的验证处理的图。

图12是用于描述使用根据本公开的第一实施例的正态模型的修改的未授权消息的检测处理的图。

图13是用于描述关于根据本公开的第一实施例的正态模型的修改的学习阶段中的创建处理的图。

图14是用于描述使用根据本公开的第一实施例的正态模型的修改的未授权消息的检测处理的图。

图15是当根据本公开的第一实施例的网关装置接收到消息时执行的操作过程的流程图。

图16是当根据本公开的第一实施例的网关装置已经将接收到的消息存储到存储单元中时执行的操作过程的流程图。

图17是用于描述根据本公开的第二实施例的网关装置中的错误检测的一个示例的图。

图18示出了根据本公开的第二实施例的车载通信系统中的网关装置的配置。

图19是用于描述由根据本公开的第二实施例的网关装置中的更新单元执行的正态模型的更新的图。

图20是用于描述由根据本公开的第二实施例的网关装置中的更新单元更新的正态模型的图。

图21示出了根据本公开的第三实施例的车载通信系统中的网关装置的配置。

图22示出了根据本公开的第三实施例的车载通信系统中要监控的周期性消息的发送间隔的时间变化的一个示例。

图23示出了根据本公开的第三实施例的车载通信系统中的目标消息发送间隔的频率分布的一个示例。

图24示出了由根据本公开的第三实施例的网关装置中的检测单元执行的未授权消息检测的示例。

图25是当根据本公开的第三实施例的网关装置接收到目标消息时执行的操作过程的流程图。

图26是当根据本公开的第三实施例的网关装置执行确定处理时执行的操作过程的流程图。

具体实施方式

迄今为止，已经开发了用于提高车载网络中的安全性的车载网络系统。

【本公开所要解决的问题】

专利文献1公开了一种配置，其中，由仅连接到车载网络的第一ECU和第二ECU在消息认证中使用的第一加密密钥不同于由连接到车载网络和外部网络两者的第三ECU使用的第二加密密钥，从而防止未连接到外部网络的第一ECU和第二ECU受到来自外部网络的网络攻击。

然而，在使用消息认证的安全措施的情况下，该安全措施可能由于对协议的脆弱性的攻击、使用非法获得的第一加密密钥的攻击、对过时的加密算法的攻击等而无效。

在已经进行了这样的攻击的情况下，需要用于正确地检测攻击者对车载网络的入侵的技术。

为了解决上述问题而做出了本公开。本公开的目的是提供一种能够正确地检测车载网络中的未授权消息的检测装置、检测方法和检测程序。

【本公开的效果】

根据本公开，能够正确地检测车载网络中的未授权消息。

【本公开的实施例的描述】

首先，列出并描述本公开的实施例的内容。

(1)根据本公开的实施例的检测装置被配置为检测安装在车辆中的车载网络中的未授权消息。检测装置包括：消息获取单元，其被配置为获取所述车载网络中的一个或多个发送消息；数据获取单元，其被配置为获取多种类型的数据的集合，所述多种类型的数据被包括在由所述消息获取单元获取的所述发送消息中并且与同一时间相对应；存储单元，其被配置为存储检测条件，所述检测条件是预先创建的并且基于分别与多个时间相对应的多个集合而创建的；以及检测单元，其被配置为基于由所述数据获取单元获取的集合和所述检测条件来检测未授权消息。

例如，在多种类型的数据之间存在特定关系的情况下，如果使用该关系，则可以根据特定数据来计算另一数据可以采用的值的范围。由于上述配置，例如，根据上述集合中的特定数据，可以基于检测条件来计算该集合中的其它数据可以采用的值的范围。因此，可以正确地确定其它数据的真实性。因此，可以将包括被确定为未授权的数据的消息检测为未授权消息。因此，可以正确地检测车载网络中的未授权消息。

(2)优选地，基于具有预定相关性的多种类型的数据的集合来创建检测条件。

由于其中基于在其间存在某种关系的多种类型的数据的集合来创建检测条件的配置，可以创建检测条件，基于集合中的特定数据，该检测条件允许集合中的另一数据可以采用的值的范围减小。因此，可以更正确地确定其它数据的真实性。也就是说，可以创建适当的检测条件。

(3)更优选地，当存在多种类型的相关性数据时，多种类型的相关性数据是与特定类型的数据具有相关性的数据，基于所述特定类型的数据和所述多种类型的相关性数据，来创建单个检测条件。

由于这种配置，例如，即使在攻击者对特定类型的数据和多种类型的相关性数据中的一部分数据进行了修改时，也可以基于修改后的数据与剩余数据之间的关系，确定上述集合中的数据的异常。即，为了进行非法入侵，攻击者必须修改特定类型的数据和多种类型的相关性数据中的所有数据。因此，可以使得非法入侵车载网络变得困难。因此，可以提高车载网络中的安全性。

(4)更优选地，基于由所述数据获取单元所获取的所述特定类型的数据和所述多种类型的相关性数据以及所述检测条件，所述检测单元计算所述特定类型的数据的估计误差，基于所计算的估计误差和利用所述检测条件创建的所述估计误差的分布，所述检测单元评估所述特定类型的数据的真实性，并且基于所述评估的结果，所述检测单元确定所述特定类型的数据是否是未授权消息。

由于这种配置，例如，在特定类型的数据由连续变化的值(例如，由传感器测量的值)组成的情况下，可以更准确地评估特定类型的数据具有正确值的可能性。因此，可以更正确地确定特定类型的数据的真实性。

(5)更优选地，所述特定类型的数据是指示状态的数据，并且基于由所述数据获取单元获取的多种类型的相关性数据和检测条件，所述检测单元估计特定类型的数据的值，并且基于所估计的值和所述特定类型的数据之间的比较结果，所述检测单元确定特定类型的数据是否对应于未授权消息。

由于这种配置，例如，在特定类型的数据由在换档位置或安全带状态的情况下不连续变化的值组成的情况下，可以更正确地估计所述特定类型的数据应当指示的值。因此，可以更正确地确定特定类型的数据的真实性。

(6)更优选地，当存在多种类型的相关性数据时，多种类型的相关性数据是与特定类型的数据具有相关性的数据，基于所述特定类型的数据和所述多种类型的相关性数据，分别创建多个检测条件。

由于这种配置，可以使得非法入侵车载网络变得困难，并且可以减少计算检测条件时的计算负荷。

(7)优选地，所述数据获取单元获取分别包括在彼此不同的发送消息中的多种类型的数据的集合。

在许多情况下，其接收时间、发送时间、创建时间等彼此不同的多种类型的数据分别被包括在不同的发送消息中。由于上述配置，可以防止待检测数据的类型由于时间而受到限制。

(8)更优选地，所述消息获取单元将已获取的多个发送消息存储到所述存储单元中，并且所述数据获取单元从存储在所述存储单元中的所述发送消息中获取所述集合。

由于这种配置，例如，存储在存储单元中的多个发送消息中的数据可以被重新采样，因此，多种类型的数据的时间可以被调整为相同的时间。因此，可以容易地获取与同一时间相对应的多种类型的数据的集合。

(9)优选地，检测装置还包括：更新单元，其被配置为基于由所述数据获取单元获取的所述集合来更新所述检测条件。

由于这种配置，例如，即使在计算检测条件时使用的集合作为集体(population)是不完美的，也可以将新获取的集合包括在该集体中。因此，可以进一步提高集体的完美程度。因此，可以将检测条件更新为更适当的检测条件。

(10)优选地，检测装置还包括：监控单元，其被配置为监控所述车载网络中的所述发送消息，以及分布获取单元，其被配置为获取所述发送消息的发送间隔的分布。所述检测单元基于所述监控单元的监控结果和所述分布获取单元获取的所述分布来检测未授权消息。对于已经被确定为未分类为未授权消息的发送消息，基于由所述数据获取单元获取的所述集合和所述检测条件，所述检测单元确定所述发送消息是否为未授权消息。

基于上述监控结果和分布，难以将具有精确调整的伪发送间隔的发送消息检测为未授权消息。由于上述配置，基于上述集合和检测条件，可以将这种发送消息检测为未授权消息。因此，可以提高车载网络中的安全性。

(11)根据本公开的实施例的检测方法用于在检测装置中执行，该检测装置包括存储单元并且被配置为检测安装在车辆中的车载网络中的未授权消息。所述检测方法包括：获取所述车载网络中的一个或多个发送消息的步骤；以及获取多种类型的数据的集合的步骤，所述多种类型的数据被包括在所获取的发送消息中并且与同一时间相对应。所述存储单元存储检测条件，所述检测条件是预先创建的并且基于分别与多个时间相对应的多个集合而创建的。所述检测方法还包括：基于所获取的集合和所述检测条件来检测未授权消息的步骤。

例如，在多种类型的数据之间存在特定关系的情况下，如果使用该关系，则可以根据特定数据来计算另一数据可以采用的值的范围。由于上述配置，例如，根据上述集合中的特定数据，可以基于检测条件来计算该集合中的其它数据可以采用的值的范围。因此，可以正确地确定其它数据的真实性。因此，可以将包括被确定为未授权的数据的消息检测为未授权消息。因此，可以正确地检测车载网络中的未授权消息。

(12)根据本公开的实施例的检测程序用在检测装置中，该检测装置包括存储单元并且被配置为检测安装在车辆中的车载网络中的未授权消息。检测程序被配置为使计算机用作：消息获取单元，其被配置为获取所述车载网络中的一个或多个发送消息；和数据获取单元，其被配置为获取多种类型的数据的集合，所述多种类型的数据被包括在由所述消息获取单元获取的所述发送消息中并且与同一时间相对应。存储单元存储检测条件，所述检测条件是预先创建的并且基于分别与多个时间相对应的多个集合而创建的。检测程序还使计算机用作：检测单元，其被配置为基于由所述数据获取单元获取的所述集合和所述检测条件来检测未授权消息。

例如，在多种类型的数据之间存在特定关系的情况下，如果使用该关系，则可以根据特定数据来计算另一数据可以采用的值的范围。由于上述配置，例如，根据上述集合中的特定数据，可以基于检测条件来计算该集合中的其它数据可以采用的值的范围。因此，可以正确地确定其它数据的真实性。因此，可以将包括被确定为未授权的数据的消息检测为未授权消息。因此，可以正确地检测车载网络中的未授权消息。

在下文中，将参照附图描述本公开的实施例。在附图中，相同或相应的部分由相同的附图标记表示，并且不再重复其描述。下面描述的实施例的至少一些部分可以根据需要组合在一起。

<第一实施例>

[配置和基本操作]

图1示出了根据本公开的第一实施例的车载通信系统的配置。

参照图1，车载通信系统301包括网关装置(检测装置)101、多个车载通信装置111和多个总线连接装置组121。

图2示出了根据本公开的第一实施例的总线连接装置组的配置。

参照图2，总线连接装置组121包括多个控制装置122。总线连接装置组121不必一定包括多个控制装置122，而是可以包括一个控制装置122。

车载通信系统301安装在行驶在道路上的车辆(在下文中，也称为目标车辆)1中。车载网络12包括多个车载装置，每个车载装置是设置在目标车辆1中的装置。具体地，车载网络12包括多个车载通信装置111和多个控制装置122，它们是车载装置的示例。

只要车载网络12包括多个车载装置，车载网络12就可以被配置为包括多个车载通信装置111并且不包括任何控制装置122，可以被配置为不包括任何车载通信装置111而是包括多个控制装置122，或者可以被配置为包括一个车载通信装置111和一个控制装置122。

在车载网络12中，例如，车载通信装置111与目标车辆1外部的装置进行通信。具体地，车载通信装置111例如是TCU(远程信息处理通信单元)、短距离无线终端装置或ITS(智能交通系统)无线装置。

例如，TCU可以根据如LTE(长期演进)或3G的通信标准执行与无线基站装置的无线通信，并且可以执行与网关装置101的通信。TCU中继在诸如导航、车辆防盗、远程维护和FOTA(空中固件)的服务中使用的信息。

例如，短距离无线终端装置可以根据诸如Wi-Fi(注册商标)和蓝牙(注册商标)的通信标准，执行与由目标车辆1中的人(在下文中，也称为乘员)持有的诸如智能电话的无线终端装置的无线通信，并且可以执行与网关装置101的通信。例如，短距离无线终端装置中继在诸如娱乐的服务中使用的信息。

例如，短距离无线终端装置可以根据通过使用LF(低频)频带或UHF(超高频)频带中的无线电波的预定通信标准，执行与由乘员持有的诸如智能钥匙的无线终端装置以及与设置在轮胎处的无线终端装置的无线通信，并且可以执行与网关装置101的通信。例如，短距离无线终端装置中继将在诸如智能进入和TPMS(轮胎压力监控系统)的服务中使用的信息。

例如，ITS无线装置可以执行与设置在道路附近的诸如光信标、无线电波信标或ITS点的路边装置的路边到车辆的通信(roadside-to-vehicle communication)，可以执行与安装在另一车辆中的车载终端的车辆到车辆的通信(vehicle-to-vehiclecommunication)，并且可以执行与网关装置101的通信。ITS无线装置中继在诸如拥堵缓解、安全驾驶支持和路线引导等服务中使用的信息。

网关装置101可以经由端口112向/从目标车辆1外部的维护终端装置发送/接收用于固件的更新等的数据和由网关装置101累积的数据。

例如，网关装置101经由总线13、14与车载装置连接。具体地，每个总线13、14是根据CAN(控制器局域网)(注册商标)、FlexRay(注册商标)、MOST(面向媒体的系统传输)(注册商标)、Ethernet(注册商标)、LIN(本地互连网络)等的标准的总线。

在该示例中，每个车载通信装置111经由根据Ethernet标准的相应总线14与网关装置101连接。每个总线连接装置组121中的每个控制装置122经由根据CAN标准的相应总线13与网关装置101连接。控制装置122例如能够控制目标车辆1中的功能部。

例如，为各种类型的系统提供总线13。具体地，例如，总线13被实现为驱动系统总线、底盘/安全系统总线、车身/电气设备系统总线和AV/信息系统总线。

驱动系统总线具有连接到该驱动系统总线的发动机控制装置、AT(自动变速器)控制装置和HEV(混合动力电动车辆)控制装置，这些控制装置是控制装置122的示例。发动机控制装置、AT控制装置和HEV控制装置分别控制发动机、AT以及发动机和马达之间的切换。

底盘/安全系统总线具有连接到该底盘/安全系统总线的制动控制装置、底盘控制装置和转向控制装置，这些控制装置是控制装置122的示例。制动控制装置、底盘控制装置和转向控制装置分别控制制动器、底盘和转向。

车身/电气设备系统总线具有连接到该车身/电气设备系统总线的仪器指示控制装置、空调控制装置、防盗控制装置、气囊控制装置和智能进入控制装置，这些控制装置是控制装置122的示例。仪器指示控制装置、空调控制装置、防盗控制装置、气囊控制装置和智能进入控制装置分别控制仪器、空调、防盗机构、气囊机构和智能进入。

AV/信息系统总线具有连接到该AV/信息系统总线的导航控制装置、音频控制装置、ETC(电子收费系统)(注册商标)控制装置和电话控制装置，这些控制装置是控制装置122的示例。导航控制装置、音频控制装置、ETC控制装置和电话控制装置分别控制导航装置、音频装置、ETC装置和移动电话。

例如，总线13不必一定具有与该总线13连接的控制装置122，并且可以具有与该总线13连接的除了控制装置122之外的装置，例如传感器。

网关装置101例如是中央网关(CGW)，并且能够执行与车载装置的通信。

例如，网关装置101执行中继处理，该中继处理对在与目标车辆1中的不同总线13连接的控制装置122之间发送/接收的信息、在车载通信装置111之间发送/接收的信息、以及在控制装置122与车载通信装置111之间发送/接收的信息进行中继。

更具体地，在目标车辆1中，例如，根据预定规则，从车载装置向另一车载装置周期性地发送消息。在该示例中，描述了从控制装置122向另一控制装置122周期性地发送的消息。但是，以下描述的内容也适用于在控制装置122与车载通信装置111之间发送的消息以及在车载通信装置111之间发送的消息。

消息的传输可以通过广播来执行，或者可以通过单播(unicast)来执行。在下文中，周期性地发送的消息也将被称为周期性消息。

在目标车辆1中，除了周期性消息以外，还存在从控制装置122向另一控制装置122非周期性地发送的消息。每个消息包括用于识别发送源等的ID和消息的内容。可以通过ID辨别消息是否是周期性消息。

图3示出了根据本公开的第一实施例的车载通信系统中的网关装置的配置。

参照图3，网关装置101包括通信处理单元51、存储单元52、数据获取单元53、检测单元54和消息获取单元55。

网关装置101用作检测装置，并检测目标车辆1中安装的车载网络12中的未授权消息。

具体地，网关装置101中的通信处理单元51执行中继处理。更具体地，在经由相应总线13从控制装置122接收到消息时，通信处理单元51经由相应总线13将接收到的消息发送到另一控制装置122。

消息获取单元55获取车载网络12中的多个发送消息。例如，消息获取单元55将所获取的多个发送消息存储到存储单元52中。

更具体地，存储单元52已经在其中登记了检测条件信息，该检测条件信息包括例如由消息获取单元55监控的数据的类型。稍后将描述检测条件信息的细节。

基于在存储单元52中登记的检测条件信息，消息获取单元55识别由消息获取单元55监控的类型的数据。

消息获取单元55监控包括在由通信处理单元51中继的消息中的数据，并且每当消息获取单元55检测到包括监控的类型的数据的消息时执行以下处理。

即，消息获取单元55从通信处理单元51获取检测到的消息，并且将指示消息的接收时间的时间戳附到获取的消息上。

然后，消息获取单元55将具有附有时间戳的消息存储到存储单元52中。

图4是用于描述根据本公开的第一实施例的网关装置所使用的正态模型的创建处理的图。在图4中，横轴代表数据X，纵轴代表数据Y。

参照图4，存储单元52存储检测条件，所示检测条件是预先创建的并且基于分别与多个时间(例如，数据的创建时间)相对应的多个集合而创建的。这里，例如，每个集合是与同一创建时间相对应并且包括在由消息获取单元55获取的发送消息中的两种类型的数据的集合。

具体地，存储单元52例如存储由服务器预先创建的正态模型M2。例如，基于具有预定相关性的两种类型的数据的多个集合创建正态模型M2。

更具体地，例如，由用户按时间序列将不同类型的原始数据R1到原始数据RN登记在服务器中。这里，N是2或更大的整数。在该示例中，例如，原始数据R1到原始数据RN是在与目标车辆1相同类型的测试车辆中的开发期间获取的数据。

例如，服务器在多个公共创建时间处、按时间序列将原始数据R1到原始数据RN转换为数据1到数据N。

更具体地，例如，当原始数据R1和原始数据R2的创建时间彼此不同步时，服务器通过对原始数据R2重新采样来将原始数据R2的创建时间与原始数据R1的创建时间同步。

类似地，例如，当原始数据R1和原始数据R3的创建时间彼此不同步时，服务器通过对原始数据R3重新采样来将原始数据R3的创建时间与原始数据R1的创建时间同步。

通过对原始数据R4到原始数据RN也执行类似的处理，服务器将原始数据R4到原始数据RN的创建时间与原始数据R1的创建时间同步。因此，在多个公共创建时间，按时间序列将原始数据R1到原始数据RN转换为数据1到数据N。

例如，服务器在多个公共创建时间从多个公共创建时间下的数据1到数据N中选择数据X、Y。这里，X和Y彼此不同，并且各自是1到N之间的整数。例如，以循环方式执行数据X、Y的选择。

在图4中，分别与多个公共创建时间相对应的数据X和数据Y的集合由黑点表示。

服务器例如基于选择的数据X和数据Y的多个集合来计算相关系数。

例如，当计算的相关系数不小于0.4且不大于0.7时，服务器确定在数据X和数据Y之间存在相关性。例如，当计算的相关系数大于0.7时，服务器确定在数据X和数据Y之间存在强相关性。

当服务器已经确定在数据X和数据Y之间存在相关性，或者在数据X和数据Y之间存在强相关性时，服务器基于数据X和数据Y创建正态模型M2。

具体地，例如，服务器根据诸如Mahalanobis(马氏)、单类SVM(支持向量机)、LOF(局部异常因子)、孤立森林(Isolation forest)或NN(最近邻)的算法通过机器学习创建正态模型M2。

同时，当服务器尚未确定在数据X和数据Y之间存在相关性，并且尚未确定在数据X和数据Y之间存在强相关性时，服务器不创建正态模型M2。

例如，服务器创建多个正态模型M2，并且创建用于所创建的正态模型M2中的每个的模型信息。这里，模型信息指示正态模型M2以及数据X和数据Y的相应类型的组合。

数据X和数据Y的类型的组合是例如发动机转速和速度；偏航角速度和转向角；偏航角速度和车辆高度；加速器开度和车身加速度；等等。

例如，收集由服务器创建的多条模型信息以形成检测条件信息，并且在目标车辆1的生产期间将检测条件信息登记到存储单元52中。

可以更新检测条件信息。具体地，例如，通信处理单元51经由车载通信装置111从服务器接收由服务器更新的检测条件信息，并且将登记在存储单元52中的检测条件信息更新为接收到的检测条件信息。

服务器不必一定创建多个正态模型M2，而是可以创建一个正态模型M2。

再次参考图3，数据获取单元53获取包括在由消息获取单元55获取的发送消息中并且与同一时间(例如，接收时间)相对应的两种类型的数据的集合。

更具体地，数据获取单元53从存储单元52获取存储在存储单元52中的检测条件信息中所包括的多条模型信息。

【两种类型的数据包括在同一发送消息中的情况】

数据获取单元53例如从存储在存储单元52中的每个发送消息获取两种类型的数据的集合。

更具体地，例如，基于已经获取到的多条模型信息，数据获取单元53从存储单元52获取包括在同一发送消息中的两种类型的数据的集合。

具体地，例如，在与模型信息所指示的类型的组合相对应的数据被存储在同一消息中并在车载网络12中发送的情况下，数据获取单元53从存储在存储单元52中的同一消息获取两种类型的数据。

例如，当由消息获取单元55将包括两种类型的数据的消息新存储到存储单元52中时，数据获取单元53从新存储的消息中获取两种类型的数据，并将所获取的两种类型的数据的集合以及由模型信息指示的类型的组合输出到检测单元54。

【两种类型的数据分别包括在不同的发送消息中的情况】

图5是用于描述在根据本公开的第一实施例的网关装置中执行同步处理的定时的图。在图5中，横轴表示时间。

参照图5，例如，基于已经获取的多条模型信息，数据获取单元53从存储单元52获取分别包括在不同发送消息中的两种类型的数据的集合。

具体地，例如，在与模型信息所指示的类型的组合相对应的多条数据被存储在单独的消息中并且在车载网络12中发送的情况下，数据获取单元53执行以下处理。

即，例如，数据获取单元53从存储单元52获取包括一种类型的数据DJ的多个消息MJ，和包括另一种类型的数据DK的多个消息MK。这里，消息MJ和消息MK例如是在车载网络12中以相同周期发送的消息。

基于附到包括一种类型的数据DJ的多个消息MJ的时间戳，数据获取单元53将接收时间与一种类型的数据DJ相关联。

具体地，数据获取单元53将接收时间tj1、tj2分别与作为数据DJ的示例的数据DJ1、DJ2相关联。

类似地，例如，基于附到包括另一种类型的数据DK的多个消息MK的时间戳，数据获取单元53将接收时间与其它类型的数据DK相关联。

具体地，数据获取单元53将接收时间tk1、tk2分别与作为数据DK的示例的数据DK1、DJK相关联。

例如，数据获取单元53基于与一种类型的数据DJ相关联的接收时间和与另一种类型的数据DK相关联的接收时间来执行对另一种类型的数据DK的重新采样，从而执行用于使一种类型的数据DJ的接收时间和另一种类型的数据DK的接收时间彼此同步的同步处理。

例如，当消息获取单元55将包括一种类型的数据DJ的消息MJ新存储到存储单元52中时，数据获取单元53执行同步处理。

具体地，例如，当消息获取单元55将对应于接收时间tj2的消息MJ新存储到存储单元52中时，数据获取单元53对包括数据DK1、DK2等的数据DK进行重新采样，从而生成分别对应于接收时间tj1、tj2的重新采样的数据RDK1、RDK2。

例如，当完成同步处理时，数据获取单元53从同步的两种类型的数据中获取两种类型的数据的最新的集合，并且将获取的两种类型的数据的集合以及由模型信息指示的类型的组合输出到检测单元54。

具体地，例如，数据获取单元53向检测单元54输出数据DJ2和重新采样的数据RDK2的集合以及模型信息指示的类型的组合。

例如，数据获取单元53执行同步处理的定时可以是由消息获取单元55将包括另一种类型的数据DK的消息MK新存储到存储单元52中的定时。

具体地，例如，当消息获取单元55将对应于接收时间tk2的消息MK新存储到存储单元52中时，数据获取单元53对包括数据DK1、DK2等的数据DK进行重新采样，从而生成对应于接收时间tj1的重新采样的数据RDK1。

然后，例如，数据获取单元53向检测单元54输出数据DJ1和重新采样的数据RDK1的集合以及由模型信息指示的类型的组合。

例如，数据获取单元53执行同步处理的定时可以是由消息获取单元55将包括一种类型的数据的消息和包括另一种类型的数据的消息新存储到存储单元52中的定时。

图6是用于描述在根据本公开的第一实施例的网关装置中执行同步处理的定时的图。在图6中，横轴表示时间。

参照图6，例如，包括一种类型的数据DP的消息MP和包括另一种类型的数据DQ的消息MQ是在车载网络12中以不同周期发送的消息。

数据获取单元53分别将接收时间tp1、tp2与作为数据DP的示例的数据DP1、DP2相关联。

另外，数据获取单元53将接收时间tq1、tq2、tq3、tq4分别与作为数据DQ的示例的数据DQ1、DQ2、DQ3、DQ4相关联。

例如，当消息获取单元55将消息MP、MQ都新存储到存储单元52中时，数据获取单元53执行同步处理。

具体地，例如，在接收时间tp1，数据获取单元53确定消息MP、MQ二者都已经由消息获取单元55新存储到存储单元52中，并执行同步处理。

类似地，例如，在接收时间tp2，数据获取单元53确定消息MP、MQ二者都已经由消息获取单元55新存储到存储单元52中，并执行同步处理。

例如，在接收时间tp2处的同步处理中，数据获取单元53对包括数据DQ1至DQ4等的数据DQ重新采样，从而生成分别对应于接收时间tp1、tp2的重新采样的数据RDQ1、RDQ2。

例如，数据获取单元53向检测单元54输出数据DP2和重新采样的数据RDQ2的集合以及由模型信息指示的类型的组合。

在接收时间tp2处的同步处理中，数据获取单元53可以对包括数据DP1、DP2等的数据DP重新采样，从而生成分别与接收时间tq1到tq4对应的重新采样的数据RDP1到RDP4(未示出)。

在这种情况下，数据获取单元53向检测单元54输出重新采样的数据RDP4和数据DQ4的集合以及模型信息所指示的类型的组合。

此时，数据获取单元53可将重新采样的数据RDP2和数据DQ2的集合以及重新采样的数据RDP3和数据DQ3的集合一起输出到检测单元54。因此，可以增加在检测未授权消息时使用的数据的数量。

图7是用于描述根据本公开的第一实施例的网关装置中的检测单元执行的未授权消息的检测的图。解释图7的方式与图4相同。

参照图7，基于数据获取单元53获取的集合和检测条件，检测单元54检测与数据获取单元53获取的集合相对应的未授权消息。

更具体地，在从数据获取单元53接收到两种类型的数据的集合和由模型信息指示的类型的组合时，检测单元54参照存储单元52的检测条件信息中所包括的多条模型信息，并且从存储单元52中的对应的模型信息中获取与接收到的组合相对应的正态模型M2。

基于从数据获取单元53接收到的两种类型的数据的集合和从对应的模型信息获取的正态模型M2，检测单元54检测与该集合对应的未授权消息。

具体地，例如，在基于两种类型的数据的集合的位置是位置Pn的情况下，因为位置Pn在正态模型M2的边界B2内，因此，检测单元54确定包括两种类型的数据的一个或两个消息是授权消息。

同时，例如，在基于从数据获取单元53接收到的两种类型的数据的集合的位置为位置Pa的情况下，因为位置Pa在正态模型M2的边界B2外，因此，检测单元54确定包括两种类型的数据的一个或两个消息是未授权消息。

这里，基于具有相同创建时间的两种类型的数据的多个集合创建正态模型M2，而位置Pn、Pa基于具有相同接收时间的两种类型的数据的集合。

在车载网络12中，消息的发送是以高速执行的，因此，数据的创建时间和数据的接收时间可以被认为彼此实质相同。因此，可以根据正态模型M2和基于两种类型的数据的集合的位置来执行未授权消息的检测。数据的发送时间也被认为与数据的创建时间和数据的接收时间实质相同。

例如，当已经确认未授权消息时，检测单元54执行以下处理。即，检测单元54将被确定为未授权的一个或两个消息的ID、对应类型的组合等存储到存储单元52中。

另外，检测单元54经由通信处理单元51向目标车辆1的内部或外部的较高级(higher-order)装置通知在总线13中正在发送未授权消息。

【效果]

图8和图9分别是用于描述根据本公开的第一实施例的车载通信系统的效果的图。解释图8和图9的方式与图4相同。

图8所示的正态模型M2与图7所示的正态模型M2相同。例如，图9所示的正态模型MR2是正态模型通过使用二者之间不具有相关性的数据X和数据Y，根据与正态模型M2的创建过程相同的创建过程而创建的模型。

当使用正态模型M2时，位置Pa被确定为异常，而当使用正态模型MR2时，位置Pa被确定为正常，原因在于位置Pa在正态模型MR2的边界BR2内。

理由如下。关于相对于位置Pa的数据X的分量的数据Y的允许范围，图9的允许范围R2比图8的允许范围R1大。

因此，在使用正态模型M2监控数据字段的情况下，即使攻击者已经将用于非法控制目标车辆1的数据Y插入到消息中时，数据Y的允许范围由于与数据X的相关性而被进一步减小。因此，可以正确地检测攻击。

另外，同样，在攻击者已经将用于非法控制目标车辆1的数据X插入到消息中时，数据X的允许范围由于与数据Y的相关性而被进一步减小。因此，可以以相同方式正确地检测攻击。

【正态模型的修改1】

再次参考图3，基于具有预定相关性的两种类型的数据的集合创建正态模型。然而，本公开不限于此。例如，可以基于具有预定相关性的三种类型的数据的集合来创建正态模型。

具体地，例如，基于具有预定相关性的三种类型的数据的集合创建正态模型M3。

更具体地，例如，当存在两种类型的相关性数据(即，两种类型的相关性数据是与特定类型的数据具有相关性的数据)时，基于特定类型的数据和两种类型的相关性数据创建单个正态模型M3。

更具体地，例如，当在多个公共创建时间下的数据1到数据N中，服务器已经确定在数据S和数据T之间存在相关性或者在数据S和数据T之间存在强相关性，并且服务器已经确定在数据S和数据U之间存在相关性或者在数据S和数据U之间存在强相关性时，服务器执行以下处理。

即，不论数据T和数据U之间的相关系数的大小如何，服务器都基于数据S、T、U创建正态模型M3。这里，S、T、U彼此不同并且分别是1到N之间的整数。

例如，服务器创建多个正态模型M3，并为创建的正态模型M3中的每个创建模型信息。模型信息指示正态模型M3，以及对应数据S、数据T和数据U的类型的组合。

例如，数据S和数据T的类型的组合以及数据S和数据U的类型的组合是偏航角速度和转向角以及偏航角速度和车辆高度。

例如，收集由服务器创建的多条模型信息以形成检测条件信息，并且在目标车辆1的生产期间将检测条件信息登记到存储单元52中。

检测条件信息可以仅包括基于正态模型M3的模型信息，或者可以包括基于正态模型M3的模型信息和基于正态模型M2的模型信息。

数据获取单元53从存储单元52获取检测条件信息，并且获取所获取的检测条件信息中包括的多条模型信息。

当消息获取单元55已经将包括与由模型信息指示的组合相对应的数据的消息新存储到存储单元52中时，数据获取单元53执行以下处理。

即，基于模型信息，数据获取单元53从存储单元52获取包括在同一发送消息中的三种类型的数据的集合，并将获取的三种类型的数据的集合和由模型信息指示的类型的组合输出到检测单元54。

同时，例如，当消息获取单元55已经将分别包括与由模型信息所指示的组合相对应的数据的多个消息中的任何一个新存储到存储单元52中时，数据获取单元53执行以下处理。

即，基于模型信息，数据获取单元53从存储单元52获取分别包括在不同的发送消息中的三种类型的数据的集合，并对获取的三种类型的数据执行同步处理。

当完成同步处理时，数据获取单元53从经同步的三种类型的数据中获取三种类型的数据的最新的集合，并且将所获取的三种类型的数据的集合和由模型信息指示的类型的组合输出到检测单元54。

在从数据获取单元53接收到三种类型的数据的集合和由模型信息指示的类型的组合时，检测单元54参考存储单元52中的检测条件信息中所包括的多条模型信息，并从存储单元52中的对应模型信息获取与接收到的组合相对应的正态模型M3。

基于从数据获取单元53接收到的三种类型的数据的集合和从对应模型信息获取的正态模型M3，检测单元54检测与该集合相对应的未授权消息。

具体地，由于正态模型M3是三维模型，如果基于从数据获取单元53接收到的三种类型的数据的集合的三维空间中的位置存在于正态模型M3的边界表面内，则检测单元54确定包括三种类型的数据的一个、两个或三个消息是授权消息。

同时，在基于从数据获取单元53接收到的三种类型的数据的集合的三维空间中的位置存在于正态模型M3的边界表面外时，检测单元54确定包括三种类型的数据的一个、两个或三个消息是未授权消息。

由于使用正态模型M3的配置，可以更准确地检测未授权消息。

【正态模型的修改2】

图10是用于描述关于根据本公开的第一实施例的正态模型的修改的学习阶段中的创建处理的图。

参照图10，在正态模型的修改2的情况下，检测单元54使用监控的传感器数据的估计值来检测车载网络12中的未授权消息。

在该示例中，例如，基于监控的传感器数据和包括q种类型的数据的相关性数据组来创建单个正态模型M4。

监控的传感器数据是由传感器测量的数据(在下文中，也称为传感器数据)，并且具体地，监控的传感器数据是诸如车辆速度、发动机转速、偏航角速度等连续变化的数据。

相关性数据组中包括的q种类型的数据可以是传感器数据，或者是指示预先定义的状态的数据的状态数据。这里，具体地，例如，状态数据指示目标车辆1中的诸如传动装置、安全带等的操作部分的状态。

监控的传感器数据和相关性数据组中包括的q种类型的数据中的每种类型的数据彼此具有相关性。相关性数据组中包括的q种类型的数据可以彼此具有相关性，也可以彼此不具有相关性。

例如，服务器基于学习数据集合，通过使用LASSO(最小绝对收缩和选择操作符)、回归树等来学习正态模型M4。

这里，学习数据集合包括多条监控的传感器数据和分别与多个时间(具体地，tm1、tm2、tm3、tm4、tm5等)相对应的相关性数据组。

更具体地，例如，服务器创建正态模型M4，使得当与同一时间相对应的相关性数据组被输入到正态模型M4中时，输出接近监控的对应传感器数据的值的估计值。

图11是用于描述关于根据本公开的第一实施例的正态模型的修改的测试阶段中的验证处理的图。

参考图11，通过使用类似于学习数据集合的测试数据集合来验证正态模型M4。

具体地，服务器使用正态模型M4来创建估计误差的分布。更具体地，服务器在时间tt1将作为测试数据集合的一部分的相关性数据组输入到正态模型M4，从而获取从正态模型M4输出的估计值。

然后，例如，服务器使用下面的公式(1)来计算估计误差yerr。

[数学式1]

y_err＝y_obs-y_calc···(1)

这里，yobs是监控的相应传感器数据的值，即，在时间tt1监控的传感器数据的值。ycalc是从正态模型M4输出的估计值。

服务器类似地在与时间tt1不同的时间处、处理测试数据集合中的监控的传感器数据和相关性数据组，从而在每个时间处创建包括估计误差yerr的验证数据。

服务器基于验证数据来创建估计误差yerr的分布。该分布代表估计误差yerr的频率。在该实施例中，分布是单峰的。

当所创建的分布是单峰的时，服务器计算验证数据中包括的估计误差yerr的平均值μ和方差σ^2。这里，“a^b”表示“a的b次方”。

服务器创建模型信息Md1，该模型信息Md1指示正态模型M4、平均值μ和方差σ^2以及监控的传感器数据的类型和相关性数据组中的q种类型的数据的组合。

例如，在目标车辆1的生产期间，由服务器创建的模型信息Md1被登记到存储单元52中作为检测条件信息。

再次参照图3，数据获取单元53从存储单元52获取检测条件信息，并获取所获取的检测条件信息中包括的模型信息Md1。

当消息获取单元55已经将包括与模型信息Md1所指示的组合相对应的数据的消息新存储到存储单元52中时，数据获取单元53执行以下处理。

即，基于模型信息Md1，数据获取单元53从存储单元52获取同一发送消息中包括的监控的传感器数据和相关性数据组的集合，并将获取的集合和模型信息Md1所指示的类型的组合输出到检测单元54。

同时，例如，当消息获取单元55将分别包括与模型信息Md1所指示的组合相对应的数据的多个消息中的任何一个新存储到存储单元52中时，数据获取单元53执行以下处理。

即，基于模型信息Md1，数据获取单元53从存储单元52获取分别包括在不同的发送消息中的监控的传感器数据和相关性数据组的集合，并对获取的监控的传感器数据和相关性数据组执行同步处理。

当同步处理完成时，数据获取单元53从同步后的监控的传感器数据和相关性数据组中获取监控的传感器数据和相关性数据组的最新集合，并将获取的集合和模型信息MD1所指示的类型的组合输出到检测单元54。

图12是用于描述使用根据本公开的第一实施例的正态模型的修改的未授权消息的检测处理的图。

参照图12，例如，当检测单元54在时间td1处已经从数据获取单元53接收到监控的传感器数据和相关性数据组的集合以及模型信息Md1所指示的类型的组合时，检测单元54参考存储单元52中的检测条件信息中所包括的多条模型信息，并从存储单元52获取与接收到的组合相对应的模型信息Md1。

例如，基于由数据获取单元53获取的监控的传感器数据和相关性数据组的集合以及模型信息Md1中包括的正态模型M4，检测单元54计算监控的传感器数据的估计误差。

更具体地，检测单元54将从数据获取单元53接收到的相关性数据组输入到模型信息Md1所包括的正态模型M4中，从而获取从正态模型M4输出的估计值。

然后，检测单元54将获取的估计值和在时间td1监控的传感器数据的值代入上述公式(1)中的ycalc和yobs，从而计算估计误差yerr。

例如，基于计算出的估计误差yerr和使用正态模型M4创建的估计误差yerr的分布，检测单元54估计监控的传感器数据的真实性，并基于该估计结果，确定监控的传感器数据是否对应于未授权消息。

更具体地，例如，检测单元54将计算出的估计误差yerr以及在模型信息Md1中包括的平均值μ和方差σ^2代入下面的公式(2)中，从而计算出得分S。该得分S对应于马氏距离，并且是监控的传感器数据的真实性的估计值。

[数学式2]

例如，当所计算的得分S不小于预定阈值Th1时，检测单元54确定监控的传感器数据对应于未授权消息。

同时，例如，当计算的得分S小于预定阈值Th1时，检测单元54确定监控的传感器数据对应于授权消息。

尽管假设由服务器创建的估计误差yerr的分布是单峰的，但是本公开不限于此。由服务器创建的估计误差yerr的分布可以是多峰的。

在这种情况下，例如，服务器通过由K个高斯分布组成的高斯混合分布来近似估计误差yerr的分布，并计算每个高斯分布的平均值μ1到μK和方差σ1^2到σK^2以及每个高斯分布的混合比例C1到CK。

例如，服务器创建模型信息Md1，该模型信息Md1指示正态模型M4、平均值μ1至μK、方差σ1^2至σK^2和以及混合比例C1至CK、以及监控的传感器数据的类型和相关性数据组中的q种类型的数据的组合。

在这种情况下，检测单元54将所计算的估计误差yerr以及模型信息Md1中所包括的平均值μ1至μK、方差σ1^2至σK^2以及混合比例C1至CK代入下面的公式(3)，从而计算得分S。

[数学式3]

这里，公式(3)中的B由下式(4)表示。

[数学式4]

【正态模型的修改3】

图13是用于描述关于根据本公开的第一实施例的正态模型的修改的学习阶段中的创建处理的图。

参照图13，在正态模型的修改3的情况下，检测单元54使用监控的状态数据的估计值来检测车载网络12中的未授权消息。

在该示例中，例如，基于监控的状态数据和包括q种类型的数据的相关性数据组创建单个正态模型M5。

监控的状态数据是状态数据，具体地，是在换档位置、安全带状态等的情况下不连续地变化的数据。

相关性数据组中包括的q种类型的数据可以是传感器数据，或者可以是状态数据。

监控的状态数据与相关性数据组中包括的q种类型的数据中的每一种都具有相关性。相关性数据组中包括的q种类型的数据可以彼此具有相关性，也可以彼此不具有相关性。

例如，服务器基于学习数据集合，使用决策树、随机森林等来学习正态模型M5。

这里，学习数据集合包括多条监控的状态数据和分别与多个时间(具体地，tm1、tm2、tm3、tm4、tm5等)相对应的相关性数据组。

更具体地，例如，服务器创建正态模型M5，使得当与同一时间相对应的相关性数据组被输入到正态模型M5中时，输出与监控的对应状态数据的值相匹配的估计值。

例如，服务器创建模型信息Md2，该模型信息Md2指示正态模型M5以及监控的状态数据的类型和相关性数据组中的q种类型的数据的组合。

例如，在目标车辆1的生产期间，由服务器创建的模型信息Md2被登记到存储单元52中作为检测条件信息。

再次参照图3，数据获取单元53从存储单元52获取检测条件信息，并且获取所获取的检测条件信息中包括的模型信息Md2。

当消息获取单元55已经将包括与模型信息Md2所指示的组合相对应的数据的消息新存储到存储单元52中时，数据获取单元53执行以下处理。

即，基于模型信息Md2，数据获取单元53从存储单元52获取同一发送消息中包括的监控的状态数据和相关性数据组的集合，并将所获取的集合和模型信息Md2所指示的类型的组合输出到检测单元54。

同时，例如，当消息获取单元55将分别包括与模型信息Md2所指示的组合相对应的数据的多个消息中的任何一个新存储到存储单元52中时，数据获取单元53执行以下处理。

即，基于模型信息Md2，数据获取单元53从存储单元52获取分别包括在不同的发送消息中的监控的状态数据和相关性数据组的集合，并对所获取的监控的状态数据和相关性数据组执行同步处理。

当同步处理完成时，数据获取单元53从同步后的监控的状态数据和相关性数据组中获取监控的状态数据和相关性数据组的最新的集合，并将所获取的集合和由模型信息Md2指示的类型的组合输出到检测单元54。

图14是用于描述使用根据本公开的第一实施例的正态模型的修改的未授权消息的检测处理的图。

参照图14，例如，当检测单元54在时间td1从数据获取单元53接收到监控的状态数据和相关性数据组的集合以及由模型信息Md2指示的类型的组合时，检测单元54参考存储单元52中的检测条件信息中包括的多条模型信息，并从存储单元52获取与接收到的组合相对应的模型信息Md2。

例如，基于由数据获取单元53获取的相关性数据组和模型信息Md2中包括的正态模型M5，检测单元54估计监控的状态数据的值。

更具体地，检测单元54将从数据获取单元53接收到的相关性数据组输入到模型信息Md2所包括的正态模型M5中，从而获取从正态模型M5输出的监控的状态数据的估计值。

然后，基于所获取的估计值与监控的状态数据之间的比较结果，检测单元54确定监控的状态数据是否对应于未授权消息。

更具体地，例如，检测单元54将所获取的估计值与时间td1处的监控的状态数据的值进行比较，并且在这些值彼此不匹配时，检测单元54确定监控的状态数据对应于未授权消息。

同时，例如，当所获取的估计值和时间td1处的监控的状态数据的值彼此匹配时，检测单元54确定监控的状态数据对应于授权消息。

【正态模型的修改4】

网关装置101被配置为基于数据S、T、U使用正态模型M3，但是本公开不限于此。

例如，当存在两种类型的相关性数据(即，其是与特定类型的数据具有相关性的数据)时，基于特定类型的数据和两种类型的相关性数据分别创建两个检测条件。

具体地，当在多个公共创建时间下的数据1至数据N中，服务器已经确定在数据S和数据T之间存在相关性或者在数据S和数据T之间存在强相关性，并且服务器已经确定在数据S和数据U之间存在相关性或者在数据S和数据U之间存在强相关性时，服务器执行以下处理。

即，不论数据T和数据U之间的相关系数的大小如何，服务器都基于数据S、T创建正态模型M2，并基于数据S、U创建正态模型M2。

由于这种配置，与基于数据S、T、U创建正态模型M3的配置相比，可以减少创建正态模型时的计算负荷。

【正态模型的修改5】

网关装置101被配置为基于数据S、T、U使用一个正态模型M3或两个正态模型M2，但是本公开不限于此。

更具体地，例如，可以通过使用专利文献2(日本特开专利公开No.2016-57438)中描述的主成分分析，将多维数据的集合转换成较低维数的数据的集合。

具体地，例如，服务器通过使用主成分分析将三种类型的数据的集合转换为两种类型的数据的集合，并基于转换后的集合创建正态模型M2。

在网关装置101中的存储单元52中登记有模型信息，该模型信息指示用于将三种类型的数据的集合转换为两种类型的数据的集合的特征向量，由服务器创建的正态模型M2，以及对应数据S、数据T和数据U的类型的组合。

当检测单元54已经从数据获取单元53接收到三种类型的数据的集合和由模型信息指示的类型的组合时，检测单元54参考存储单元52中的模型信息，并从存储单元52中的对应模型信息获取与接收到的组合相对应的特征向量和正态模型M2。

使用所获取的特征向量，检测单元54将从数据获取单元53接收到的三种类型的数据的集合转换为两种类型的数据的集合，并基于转换后的集合和正态模型M2，确定包括三种类型的数据的一个、两个或三个消息是否是未授权消息。

【操作流程】

车载通信系统301中的每个装置都包括计算机。计算机中的诸如CPU的算术处理单元从存储器(未示出)读出包括以下序列图或流程图中的部分或全部步骤的程序，并执行该程序。多个装置的程序可以分别从外部安装。多个装置的程序分别以被存储在存储介质中的状态分布。

图15是当根据本公开的第一实施例的网关装置接收到消息时执行的操作过程的流程图。

参考图15，假设以下情况，其中，模型信息指示正态模型M2以及对应数据X和数据Y的类型的组合。

首先，例如，网关装置101等待，直到从控制装置122接收到消息(步骤S102中为否)。

当从控制装置122接收到消息时(步骤S102中为是)，网关装置101确认在所接收的消息中是否包括监控的类型的数据(步骤S104)。

接着，当监控的类型的数据包括在接收到的消息中时(步骤S104中的是)，网关装置101将接收到的消息存储到存储单元52中(步骤S106)。此时，网关装置101将时间戳附到消息。

接着，当网关装置101将接收到的消息存储到存储单元52中时(步骤S106)，或者当监控的类型的数据不包括在接收到的消息中时(步骤S104中为否)，网关装置101执行接收到的消息的中继处理，然后等待直到从控制装置122接收到新的消息(步骤S102中为否)。

图16是当根据本公开的第一实施例的网关装置已经将接收到的消息存储到存储单元中时执行的操作过程的流程图。

参考图16，假设以下情况，其中，模型信息指示正态模型M2以及对应数据X和数据Y的类型的组合。

首先，网关装置101等待，直到消息被存储到存储单元52中(步骤S202中为否)。

然后，当消息已经被存储到存储单元52中时(步骤S202中为是)，网关装置101确认与模型信息所指示的两种类型的组合相对应的数据是否被存储在该消息中，即，被存储在同一消息中(步骤S204)。

接着，当与模型信息所指示的两种类型的组合相对应的数据未被包括在同一消息中，即被包括在单独的消息中时(步骤S204中为否)，网关装置101对模型信息所指示的两种类型的数据执行同步处理(步骤S206)。

接着，网关装置101从该消息中获取由模型信息指示的两种类型的数据的集合，或者从已经经历同步处理的两种类型的数据中获取由模型信息指示的两种类型的数据的最新集合(步骤S208)。

接着，网关装置101从存储单元52获取与所获取的两种类型的数据的集合相对应的正态模型M2(步骤S210)。

接着，网关装置101确认基于所获取的两种类型的数据的集合的位置是否在正态模型M2的边界B2内(步骤S212)。

当基于所获取的两种类型的数据的集合的位置在边界B2内时(步骤S212中为是)，网关装置101确定包括两种类型的数据的一个或两个消息是授权消息(步骤S214)。

同时，当基于所获取的两种类型的数据的集合的位置在边界B2外时(步骤S212中为否)，网关装置101确定包括两种类型的数据的一个或两个消息是未授权消息(步骤S216)。

接着，网关装置101等待，直到新消息被存储到存储单元52中(步骤S202中的否)。

在上述操作流程中，假设以下情况，其中，模型信息指示正态模型M2以及对应数据X和数据Y的类型的组合。然而，本公开不限于此。例如，模型信息可指示正态模型M3以及对应数据S、数据T和数据U的类型的组合。在这种情况下，在上述步骤S208中，网关装置101获取三种类型的数据的集合，并在上述步骤S210中从存储单元52获取对应的正态模型M3。

在根据本公开的第一实施例的网关装置中，消息获取单元55被配置为获取车载网络12中的多个发送消息。然而，本公开不限于此。消息获取单元55可以被配置为获取车载网络12中的一个发送消息。例如，在与由模型信息指示的两种类型的组合相对应的数据被包括在一个发送消息中的情况下，可以确定该发送消息是否是未授权消息。

在根据本公开的第一实施例的车载通信系统中，网关装置101被配置为检测车载网络12中的未授权消息。然而，本公开不限于此。在车载通信系统301中，与网关装置101不同的检测装置可以检测车载网络12中的未授权消息。

在根据本公开的第一实施例的网关装置中，数据获取单元53被配置为获取与相同接收时间相对应的两种类型的数据的集合和三种类型的数据的集合。然而，本公开不限于此。数据获取单元53可以获取与相同接收时间相对应的M种类型的数据的集合。这里，M是4或更大的整数。在这种情况下，基于M种类型的数据创建正态模型。

在根据本公开的第一实施例的网关装置中，数据获取单元53被配置为获取与相同接收时间相对应的多种类型的数据的集合。然而，本公开不限于此。数据获取单元53可以获取与相同发送时间、相同创建时间等相对应的多种类型的数据的集合，而不限于获取与相同接收时间相对应的多种类型的数据的集合。具体地，例如，在控制装置122将数据的创建时间或消息的发送时间存储到该消息中并发送该消息的情况下，数据获取单元53可以获取与相同发送时间或相同创建时间相对应的多种类型的数据的集合。

在根据本公开的第一实施例的网关装置中，检测单元54被配置为使用在控制装置122之间发送/接收的消息作为未授权消息的检测目标。然而，本公开不限于此。检测单元54可以使用在控制装置122和车载通信装置111之间发送/接收的消息以及在车载通信装置111之间发送/接收的消息作为未授权消息的检测目标。

在根据本公开的第一实施例的网关装置中，基于具有预定相关性的多种类型的数据的集合来创建正态模型。然而，本公开不限于此。可以基于不具有预定相关性的多种类型的数据的集合来创建正态模型。

在根据本公开的第一实施例的网关装置中，数据获取单元53被配置为从由消息获取单元55存储在存储单元52中的发送消息获取多种类型的数据，并且对所获取的数据进行重新采样。然而，本公开不限于此。例如，在发送消息的接收时间彼此接近的情况下，数据获取单元53可以直接从消息获取单元55接收发送消息，从接收到的发送消息获取多种类型的数据，并且在检测中使用所获取的数据，而不对所获取的数据进行重新采样。

同时，专利文献1公开了一种配置，其中，由仅连接到车载网络的第一ECU和第二ECU在消息认证中使用的第一加密密钥不同于由连接到车载网络和外部网络两者的第三ECU使用的第二加密密钥，从而防止在未连接到外部网络的第一ECU和第二ECU上的来自外部网络的网络攻击。

然而，在使用消息认证的安全措施的情况下，该安全措施可能由于对协议的脆弱性的攻击、使用非法获得的第一加密密钥的攻击、对过时的加密算法的攻击等而无效。

在已经进行了这样的攻击的情况下，需要用于正确地检测攻击者对车载网络的入侵的技术。

相反，根据本公开的第一实施例的网关装置检测安装在目标车辆1中的车载网络12中的未授权消息。消息获取单元55获取车载网络12中的一个或多个发送消息。数据获取单元53获取由消息获取单元55获取的发送消息中包括的并且与同一时间相对应的多种类型的数据的集合。存储单元52存储预先并且基于分别与多个时间相对应的多个集合创建的检测条件。检测单元54基于由数据获取单元53获取的集合和检测条件来检测未授权消息。

例如，在多种类型的数据之间存在特定关系的情况下，如果使用该关系，则可以根据特定数据来计算另一数据可以采用的值的范围。由于上述配置，例如，根据上述集合中的特定数据，可以基于检测条件来计算该集合中的其它数据可以采用的值的范围。因此，可以正确地确定其它数据的真实性。因此，包括被确定为未授权的数据的消息可以被检测为未授权消息。因此，可以正确地检测车载网络中的未授权消息。

在根据本公开的第一实施例的网关装置中，基于具有预定相关性的多种类型的数据的集合，创建所述检测条件。

由于其中基于在其间存在某种关系的多种类型的数据的集合来创建检测条件的配置，可以创建检测条件，基于集合中的特定数据，该检测条件允许集合中的另一数据可以采用的值的范围减小。因此，可以更正确地确定其它数据的真实性。也就是说，可以创建适当的检测条件。

在根据本公开的第一实施例的网关装置中，当存在作为具有与特定类型的数据的相关性的数据的多种类型的相关性数据时，基于所述特定类型的数据和所述多种类型的相关性数据，创建单个检测条件。

由于这种配置，例如，即使在攻击者对特定类型的数据和多种类型的相关性数据中的一部分数据进行了修改时，也可以基于修改后的数据与剩余数据之间的关系，确定上述集合中的数据的异常。即，为了进行非法入侵，攻击者必须修改特定类型的数据和多种类型的相关性数据中的所有数据。因此，可以使得非法入侵车载网络12变得困难。因此，可以提高车载网络12中的安全性。

在根据本公开的第一实施例的网关装置中，基于由所述数据获取单元53所获取的所述特定类型的数据和所述多种类型的相关性数据以及所述检测条件，所述检测单元54计算特定类型的数据的估计误差。然后，基于计算的估计误差和利用所述检测条件创建的所述估计误差的分布，所述检测单元54评估所述特定类型的数据的真实性，以及基于评估结果，所述检测单元54确定所述特定类型的数据是否是所述未授权消息。

由于这种配置，例如，在特定类型的数据由连续变化的值(例如，由传感器测量的值)组成的情况下，可以更准确地评估特定类型的数据具有正确值的可能性。因此，可以更正确地确定特定类型的数据的真实性。

在根据本公开的第一实施例的网关装置中，特定类型的数据是指示状态的数据。基于由所述数据获取单元53获取的所述多种类型的相关性数据和所述检测条件，所述检测单元54估计所述特定类型的数据的值，并且基于估计值和所述特定类型的数据之间的比较结果，所述检测单元54确定所述特定类型的数据是否对应于所述未授权消息。

由于这种配置，例如，在特定类型的数据由在换档位置或安全带状态的情况下不连续地变化的值组成的情况下，可以更正确地估计所述特定类型的数据应当指示的值。因此，可以更正确地确定特定类型的数据的真实性。

在根据本公开的第一实施例的网关装置中，当存在作为具有与特定类型的数据的相关性的数据的多种类型的相关性数据时，基于所述特定类型的数据和所述多种类型的相关性数据，分别创建多个检测条件。

由于这种配置，可以使得非法入侵车载网络12变得困难，并且可以减少检测条件的计算中的计算负荷。

在根据本公开的第一实施例的网关装置中，数据获取单元53获取分别包括在不同的发送消息中的多种类型的数据的集合。

在许多情况下，其接收时间、发送时间、创建时间等彼此不同的多种类型的数据分别被包括在不同的发送消息中。由于上述配置，可以防止检测的数据的类型由于时间而受到限制。

在根据本公开的第一实施例的网关装置中，消息获取单元53将已获取的多个发送消息存储到所述存储单元52中。然后，数据获取单元53从存储在所述存储单元52中的所述发送消息中获取所述集合。

由于这种配置，例如，存储在存储单元52中的多个发送消息中的数据可以被重新采样，因此，多种类型的数据的时间可以被调整为相同的时间。因此，可以容易地获取与同一时间相对应的多种类型的数据的集合。

接下来，将参照附图描述本公开的另一实施例。在附图中，相同或相应的部分由相同的附图标记表示，并且不再重复其描述。

<第二实施例>

本实施例涉及一种网关装置，与根据第一实施例的网关装置相比，该网关装置更新正态模型。除了以下描述的内容之外，根据本实施例的网关装置与根据第一实施例的网关装置相同。

【问题】

图17是用于描述根据本公开的第二实施例的网关装置中的错误检测的一个示例的图。解释图17的方式与图4相同。

参照图17，正态模型M2是基于图4所示的多个公共创建时间下的数据X和数据Y的集合(在下文中，也称为集体(population))的模型。该集体是在目标车辆1的开发期间为了具有减小的偏差而获取的数据。因此，该集体接近真实集体。

例如，当在目标车辆1的开发期间获取的数据有偏差时，创建了基于有偏差的集体的正态模型ME2。

在通过使用正态模型ME2执行未授权消息检测的情况下，由于位置Ps1、Ps2在正态模型ME2的边界BE2外，因此包括位置Ps1的数据X或数据Y的消息和包括位置Ps2的数据X或数据Y的消息被确定为未授权消息。

然而，位置Ps1在正态模型M2的边界B2内，这是更精确的。因此，当使用正态模型ME2时，确定包括位置Ps1的数据X或数据Y的消息是未授权消息对应于错误检测。

同样，在预先创建的正态模型ME2的集体有偏差时，需要能够使用更准确的正态模型的技术。

【配置和基本操作】

图18示出了根据本公开的第二实施例的车载通信系统中的网关装置的配置。

参照图18，网关装置(检测装置)102包括通信处理单元51、存储单元52、数据获取单元53、检测单元54、消息获取单元55和更新单元56。

网关装置102中的通信处理单元51、存储单元52、数据获取单元53、检测单元54和消息获取单元55的操作分别与图3所示的网关装置101中的通信处理单元51、存储单元52、数据获取单元53、检测单元54和消息获取单元55的操作相同。

图19是用于描述由根据本公开的第二实施例的网关装置中的更新单元执行的正态模型的更新的图。解释图19的方式与图4相同。

参照图18和图19，假设以下情况，其中，包括指示正态模型ME2和对应数据X和数据Y的类型的组合的模型信息的检测条件信息被登记在存储单元52中。

数据获取单元53从存储单元52获取检测条件信息，并且获取包括在所获取的检测条件信息中的多条模型信息。

例如，数据获取单元53基于所获取的模型信息从存储单元52获取两种类型的数据的集合。

这里，假设以下情况，其中，数据X和数据Y的集合被包括在相同发送消息中。例如，当消息获取单元55将发送消息新存储到存储单元52中时，数据获取单元53基于模型信息所指示的组合从发送消息获取数据X和数据Y的集合。

数据获取单元53将所获取的数据X和数据Y的集合以及由模型信息指示的类型的组合输出到检测单元54和更新单元56。

例如，更新单元56基于由数据获取单元53获取的集合，更新检测条件。

更具体地，例如，在网关装置102中，由用户预先设定应当更新正态模型的更新周期，并且更新单元56在该更新周期内更新正态模型。

具体地，在从数据获取单元53接收到数据X和数据Y的集合以及由模型信息指示的类型的组合时，更新单元56参考存储单元52中的检测条件信息中包括的多条模型信息，并且从存储单元52中的对应模型信息获取与接收到的组合相对应的正态模型ME2。

然后，当时间处于更新周期中时，根据预定算法，基于所获取的正态模型ME2，更新单元56设置指示可允许范围的边界AE2。边界AE2位于正态模型ME2的边界BE2外。

当基于数据X和数据Y的集合的位置在边界AE2外时，如在位置Ps2的情况下，更新单元56不更新正态模型ME2。

同时，当基于数据X和数据Y的集合的位置在边界AE2内时，如在位置Ps1的情况下，更新单元56更新正态模型ME2。

图20是用于描述由根据本公开的第二实施例的网关装置中的更新单元更新的正态模型的图。解释图20的方式与图4相同。

参照图18和图20，例如，更新单元56基于位置Ps1的数据X和数据Y的集合通过更新正态模型ME2来创建正态模型MF2。边界AF2是对应于正态模型MF2的边界，并且位于正态模型MF2的边界BF2外。

数据获取单元53将存储在存储单元52中的并且指示正态模型ME2以及相应数据X和数据Y的类型的组合的模型信息更新为指示正态模型MF2以及相应数据X和数据Y的类型的组合的模型信息。

由于位置Ps1在更新后的正态模型MF2的边界BF2内，因此如果使用更新后的正态模型MF2，则可以正确地确定包括位置Ps1的数据X或数据Y的消息是授权消息。

另外，如果在更新周期内更新单元56进一步更新正态模型MF2，则可使正态模型MF2更接近基于真实集体的正态模型。

在根据本公开的第二实施例的网关装置中，更新单元56基于两种类型的数据的集合来更新检测条件。然而，本公开不限于此。更新单元56可以基于三种或更多种类型的数据的集合来更新检测条件。

其它配置和操作与根据第一实施例的网关装置的配置和操作相同。因此，这里不再重复其详细描述。

如上所述，在根据本公开的第二实施例的网关装置中，更新单元56基于由数据获取单元53获取的集合来更新检测条件。

由于这种配置，例如，即使在计算检测条件时使用的集合作为集体是不完美的，也可以将新获取的集合包括在该集体中。因此，可以进一步提高集体的完美程度。因此，可以将检测条件更新为更适当的检测条件。

接下来，参照附图描述本公开的另一实施例。在附图中，相同或相应的部分由相同的附图标记表示，并且不再重复其描述。

<第三实施例>

本实施例涉及一种网关装置，与根据第一实施例的网关装置相比，该网关装置包括基于消息发送间隔的未授权消息检测。除了以下描述的内容之外，根据本实施例的网关装置与根据第一实施例的网关装置相同。

【配置和基本操作】

图21示出了根据本公开的第三实施例的车载通信系统中的网关装置的配置。

参照图21，网关装置(检测装置)103包括通信处理单元51、存储单元52、数据获取单元53、消息获取单元55、监控单元57、分布获取单元58和检测单元64。

网关装置103中的通信处理单元51、存储单元52、数据获取单元53和消息获取单元55的操作分别与图3所示的网关装置101中的通信处理单元51、存储单元52、数据获取单元53和消息获取单元55的操作相同。

图22示出了根据本公开的第三实施例的车载通信系统中监控的周期性消息的发送间隔的时间变化的一个示例。在图22中，纵轴表示发送间隔，横轴表示时间。

参照图22，例如，发送间隔是在总线13中发送监控的特定周期性消息(以下，也称为目标消息)的定时的间隔。

如图22所示，目标消息的发送间隔不是恒定的，而是变化的。这是因为，例如，当发送目标消息时执行仲裁(arbitration)，或者由于时钟的偏差而在内部处理中发生延迟变化。

这里，描述仲裁。例如，根据ID为每个消息分配优先级。例如，当多个消息的发送定时彼此重叠时，在车载网络12中执行仲裁，使得优先于具有较低优先级的消息，在总线13中发送具有较高优先级的消息。由于这种仲裁，发生发送间隔的变化。

图23示出了根据本公开的第三实施例的车载通信系统中的目标消息发送间隔的频率分布的一个示例。在图23中，纵轴表示频率，横轴表示发送间隔。

参照图23，发送间隔的频率分布关于Ct毫秒实质上是对称的。例如，发送间隔的频率分布可以由预定的模型函数Func1来近似。

再次参考图21，例如，监控单元57监控车载网络12中的发送消息。更具体地，例如，监控单元57监控通信处理单元51中的消息中继处理，并且基于监控结果测量目标消息的发送间隔。

具体地，例如，在监控单元57中登记指示目标消息的一个ID(以下也称为登记的ID)。应当注意，可以在监控单元57中登记多个登记的ID。

例如，当通信处理单元51已经接收到消息时，监控单元57确认由通信处理单元51接收的消息中包括的ID。当确认的ID与登记的ID匹配时，例如，监控单元57保持由通信处理单元51接收的消息(即，目标消息)的接收时间t1作为测量参考。

然后，当在通信处理单元51中已经接收到包括登记的ID的新目标消息时，监控单元57保持新接收的目标消息的接收时间t2，并执行以下处理。

即，通过从接收时间t2减去接收时间t1，监控单元57计算目标消息的发送间隔，并将计算的发送间隔和登记的ID输出到检测单元64。

例如，分布获取单元58获取发送消息的发送间隔的分布。具体地，例如，分布获取单元58获取指示由另一装置(具体地，服务器)预先创建的发送间隔的分布的分布信息。

更具体地，例如，服务器获取目标消息的多个发送间隔。例如，在与目标车辆1相同类型的测试车辆中测量这些发送间隔。服务器可以获取在目标车辆1中测量的发送间隔。

例如，服务器使用正态分布的概率密度函数p(以下，也称为正态分布函数)作为模型函数Func1，该正态分布的概率密度函数p在以下公式(5)中示出并且具有x作为变量。

[数学式5]

这里，

和σ^2是参数，并且分别是多个发送间隔的平均值和方差。

和σ^2分别由下面的公式(6)和(7)计算。

[数学式6]

[数学式7]

这里，t是发送间隔的采样数。xi表示第i个发送间隔。例如，服务器在预定的分配定时将包括

和σ^2的分配信息发送到目标车辆1。

在经由车载通信装置111和通信处理单元51从服务器接收到分布信息时，分布获取单元58基于接收到的分布信息创建由公式(5)表示的模型函数Func1，并将创建的模型函数Func1输出到检测单元64。

在网关装置101中，分布获取单元58经由车载通信装置111和通信处理单元51从服务器接收分布信息，并将分布信息输出到检测单元64。然而，本公开并不限于此。例如，网关装置101可以具有非易失性存储器，并且分布获取单元58可以从其中由维护终端装置经由端口112写入分布信息的非易失性存储器获取分布信息并将分布信息输出到检测单元64。

图24示出了根据本公开的第三实施例的网关装置中的检测单元执行的未授权消息检测的示例。在图24中，纵轴表示得分，并且横轴表示变量x。

参照图24，例如，检测单元64基于监控单元57的监控结果和分布获取单元58获取的发送间隔的分布，检测未授权消息。

具体地，基于由监控单元57测量的发送间隔、指示发送间隔的分布的分布信息、以及预定阈值，检测单元64确定是否应该将发送消息确定为未授权消息。这里，在检测单元64中登记了阈值ThB。

换句话说，例如，检测单元64基于由监控单元57测量的发送间隔在分布中的位置，检测未授权消息。

在从分布获取单元58接收到模型函数Func1时，检测单元64通过变换所接收的模型函数Func1来创建得分函数Sc1。更具体地，例如，检测单元64创建-log(Func1)作为得分函数Sc1。这里，“log(c)”表示c的对数。

在图24中，得分函数Sc1表示为使得测量参考时间对应于x＝0。因此，图24中所示的横轴表示发送间隔。当变量x是平均值(即，

)时，得分函数Sc1指示最小值。

通过将从监控单元57接收到的发送间隔代入得分函数Sc1中的变量x，检测单元64计算得分。

当计算的得分不大于阈值ThB时，检测单元64确定此次发送的目标消息不应被确定为未授权消息，即，确定目标消息是授权消息或具有伪发送间隔的消息(在下文中，也称为伪消息)。具体地，当已经从监控单元57接收到图24所示的发送间隔Tc时，检测单元64确定此次发送的目标消息C是授权消息或伪消息。

其原因如下。即，例如，当目标消息是授权消息或伪消息时，即使包括由于仲裁、内部处理的延迟等引起的变化，也存在发送间隔位于图23所示的频率分布的中心附近的高可能性。

同时，当计算的得分大于阈值ThB时，检测单元64确定此次发送的目标消息是未授权消息。具体地，当已经从监控单元57接收到图24所示的发送间隔Ta时，检测单元64确定此次发送的目标消息A是未授权消息。类似地，当已经从监控单元57接收到发送间隔Tb时，检测单元64确定此次发送的目标消息B是未授权消息。

其原因如下。即，例如，当目标消息是未授权消息时，存在目标消息不是根据预定规则发送的高可能性。

在降低安全级别的情况下，将检测单元64中登记的阈值改变为大于ThB的ThA。因此，例如，与对应于发送间隔Tb的目标消息B的情况一样，在阈值已经改变之后，由检测单元64确定为未授权消息的消息被确定为授权消息或伪消息。

检测单元64基于从监控单元57接收到的发送间隔向监控单元57通知确定结果。

例如，监控单元57使用被确定为授权消息或伪消息的发送消息的接收定时作为发送间隔的测量参考。

更具体地，当从检测单元64通知的确定结果指示此次发送的目标消息是授权消息或伪消息时，监控单元57使用接收时间t2作为发送间隔的新的测量参考。

然后，当在通信处理单元51中已经接收到包括登记的ID的新的目标消息时，监控单元57保持新接收到的目标消息的接收时间t3，并执行以下处理。

即，通过从接收时间t3减去接收时间t2，监控单元57计算目标消息的新的发送间隔，并将计算的发送间隔输出到检测单元64。

同时，在从检测单元64通知的确定结果指示此次发送的目标消息是未授权消息时，监控单元57将接收时间t1保持为测量参考。

然后，当在通信处理单元51中接收到包括登记的ID的新的目标消息时，监控单元57保持新接收到的目标消息的接收时间t3，并执行以下处理。

即，通过从接收时间t3减去接收时间t1，监控单元57计算目标消息的新的发送间隔，并将计算的发送间隔输出到检测单元64。

例如，对于已经被确定为未被分类为未授权消息的发送消息，基于由数据获取单元53获取的集合和检测条件，检测单元64确定该发送消息是否为未授权消息。

更具体地，当已经确定此次发送的目标消息C是授权消息或伪消息时，检测单元64将从监控单元57接收到的登记的ID输出到数据获取单元53。

在从检测单元64接收到登记的ID时，数据获取单元53从存储在存储单元52中的多个消息中获取具有接收到的登记的ID的最新消息，即，最新目标消息。

在该示例中，一条数据被包括在目标消息中。数据获取单元53识别包括在所获取的最新目标消息中的一条数据的类型(在下文中，也称为目标类型)。应当注意，两条或更多条数据可以被包括在目标消息中。

数据获取单元53参考存储在存储单元52中的检测条件信息中所包括的多条模型信息，并从存储单元52获取所参考的多条模型信息中的指示所识别的目标类型的模型信息。

数据获取单元53基于所获取的模型信息，指定与目标类型组合的数据的类型(在下文中，也称为对应类型)。

例如，数据获取单元53从存储单元52获取包括目标类型的数据的多个目标消息和包括对应类型的数据的多个消息，并且基于所获取的消息，执行用于使目标类型的数据的接收时间和对应类型的数据的接收时间同步的同步处理。

当完成同步处理时，数据获取单元53从同步后的两种类型的数据中获取最新的两种类型的数据的集合，并将获取的两种类型的数据的集合和由模型信息指示的类型的组合输出到检测单元64。

在从数据获取单元53接收到两种类型的数据的集合和由模型信息指示的类型的组合时，检测单元64参考存储单元52中的检测条件信息中所包括的多条模型信息，并从存储单元52中的对应模型信息获取与接收到的组合相对应的正态模型M2。

根据基于从数据获取单元53接收到的两种类型的数据的集合的位置和所获取的正态模型M2，检测单元64确定目标消息是否是未授权消息。

具体地，如图7所示，当基于从数据获取单元53接收到的两种类型的数据的集合的位置是位置Pn时，检测单元64确定目标消息是授权消息，原因在于位置Pn在正态模型M2的边界B2内。

同时，当基于从数据获取单元53接收到的两种类型的数据的集合的位置为位置Pa时，检测单元64确定目标消息是伪消息，即，未授权消息，原因在于位置Pa在正态模型M2的边界B2外。

例如，当已经确定目标消息是未授权消息时，检测单元64执行以下处理。即，检测单元64将登记的ID、包括对应类型的数据的消息的ID、对应类型的组合等存储到存储单元52中。

另外，检测单元64经由通信处理单元51向目标车辆1内或外的较高级装置通知在总线13中正在发送未授权消息。

【操作流程】

图25是当根据本公开的第三实施例的网关装置接收到目标消息时执行的操作过程的流程图。

参照图25，首先，网关装置103接收第一目标消息，并将目标消息的接收时间设置为测量参考(步骤S302)。

接着，网关装置103等待，直到接收到目标消息(步骤S304中的否)。

然后，在接收到目标消息时(步骤S304中的是)，网关装置103执行确定处理，即，确定是否应该将接收到的目标消息确定为未授权消息(步骤S306)。

接着，网关装置103等待，直到接收到新的目标消息(步骤S306中的否)。

图26是当根据本公开的第三实施例的网关装置执行确定处理时执行的操作过程的流程图。图26示出了图25中的步骤S306的操作的细节。

参照图26，网关装置103通过从目标消息的接收时间中减去测量参考来计算发送间隔(步骤S402)。

接着，网关装置103通过将计算的发送间隔代入得分函数Sc1，计算得分(步骤S404)。

接着，当计算的得分大于阈值ThB时(步骤S406中的否)，网关装置103确定此次发送的目标消息是未授权消息(步骤S424)。

同时，当计算的得分不大于阈值ThB时(步骤S406中的是)，网关装置103确定此次发送的目标消息是授权消息或伪消息(步骤S408)。

接着，网关装置103将测量参考更新为此次发送的目标消息的接收时间(步骤S410)。

接着，网关装置103确认目标类型的数据和对应类型的数据是否都被存储在目标消息中(步骤S412)。

接下来，当目标类型的数据和对应类型的数据都没有被包括在目标消息中时，即，当目标类型的数据和对应类型的数据被包括在单独的消息中时(步骤S412中的否)，网关装置103对目标类型的数据和对应类型的数据执行同步处理(步骤S414)。

接着，网关装置103从目标消息中获取两种类型的数据的集合(更具体地，目标类型的数据和对应类型的数据的集合)，或者从已经经历同步处理的目标类型的数据和对应类型的数据中获取目标类型的数据和对应类型的数据的最新集合(步骤S416)。

接着，网关装置103从存储单元52获取与目标类型的数据和对应类型的数据的集合相对应的正态模型M2(步骤S418)。

接着，网关装置103确认基于所获取的目标类型的数据和对应类型的数据的集合的位置是否在正态模型M2的边界B2内(步骤S420)。

当基于所获取的目标类型的数据和对应类型的数据的集合的位置在边界B2内时(步骤S420中为是)，网关装置103确定此次发送的目标消息是授权消息(步骤S422)。

同时，当基于所获取的目标类型的数据和对应类型的数据的集合的位置在边界B2外时(步骤S420中的否)，网关装置103确定此次发送的目标消息是伪消息，即，未授权消息(步骤S424)。

在根据本公开的第三实施例的网关装置中，监控单元57基于目标消息的接收时间来测量发送间隔。然而，本公开不限于此。例如，监控单元57可以获取目标消息的发送时间，并且基于所获取的发送时间来测量发送间隔。

根据本公开的第三实施例的网关装置获取在测试车辆中测量的目标消息发送间隔的分布。然而，本公开不限于此。网关装置103可以累积在目标车辆1中测量的发送间隔，并且可以基于所累积的发送间隔来创建分布。

如上所述，在根据本公开的第三实施例的网关装置中，监控单元57监控车载网络12中的发送消息。分布获取单元58获取发送消息的发送间隔的分布。基于监控单元57的监控结果和分布获取单元58获取的分布，检测单元64检测未授权消息。然后，对于已经被确定为未被分类为未授权消息的发送消息，基于数据获取单元53获取的集合和检测条件，检测单元64确定该发送消息是否是未授权消息。

基于上述监控结果和分布，具有精确调整的伪发送间隔的发送消息难以被检测为未授权消息。由于上述配置，基于上述集合和检测条件，可以将这种发送消息检测为未授权消息。因此，可以提高车载网络12中的安全性。

其它配置和操作与根据第一实施例的网关装置的配置和操作相同。因此，这里不再重复其详细描述。

应当注意，根据本公开的第一实施例至第三实施例的装置的部件和操作的部分或全部可以适当地组合。

所公开的实施例在所有方面都仅仅是说明性的，而不应被认为是限制性的。本公开的范围由权利要求的范围而不是由以上描述限定，并且旨在包括与权利要求的范围等同的含义以及在该范围内的所有修改。

以上描述包括以下附加说明中的特征。

【附加说明1】

一种检测装置，其被配置为检测安装在车辆中的车载网络中的未授权消息，该检测装置包括：

消息获取单元，其被配置为获取车载网络中的一个或多个发送消息；

数据获取单元，其被配置为获取多种类型的数据的集合，所述多种类型的数据被包括在由消息获取单元获取的发送消息中并且与同一时间相对应；

存储单元，其被配置为存储检测条件，该检测条件是预先创建的并且基于分别与多个时间相对应的多个集合而创建；以及

检测单元，其被配置为基于由数据获取单元获取的集合和检测条件来检测未授权消息，其中

检测装置是被配置为中继每个发送消息的网关装置，

车载网络包括作为车辆中的装置的车载装置，

车载装置是被配置为与设置有车载网络的车辆外的装置通信的车载通信装置，或者车载装置是能够控制车辆中的功能部的控制装置，

根据CAN(控制器局域网)、FlexRay、MOST(面向媒体的系统传输)、Ethernet(以太网)或LIN(本地互联网)的通信标准，在车载网络中发送发送消息，

检测条件是正态模型，并且在服务器中预先创建，并且

所述时间是接收时间、发送时间或创建时间。

附图标记列表

1 目标车辆

12 车载网络

13、14 总线

51 通信处理单元

52 存储单元

53 数据获取单元

54 检测单元

55 消息获取单元

56 更新单元

57 监控单元

58 分布获取单元

64 检测单元

101、102、103 网关装置(检测装置)

111 车载通信装置

112 端口

121 总线连接装置组

122 控制装置

301 车载通信系统

Claims (12)

1.一种检测装置，其被配置为检测安装在车辆中的车载网络中的未授权消息，所述检测装置包括：

消息获取单元，其被配置为获取所述车载网络中的一个或多个发送消息；

数据获取单元，其被配置为获取多种类型的数据的集合，所述多种类型的数据被包括在由所述消息获取单元获取的所述一个或多个发送消息中并且与同一时间相对应；

存储单元，其被配置为存储检测条件，所述检测条件是预先创建的并且基于分别与多个时间相对应的多个集合而创建的；以及

检测单元，其被配置为基于由所述数据获取单元获取的集合和所述检测条件来检测未授权消息。

2.根据权利要求1所述的检测装置，其中

所述检测条件是基于具有预定相关性的多种类型的数据的所述多个集合而创建的。

3.根据权利要求2所述的检测装置，其中

当存在多种类型的相关性数据时，基于所述特定类型的数据和所述多种类型的相关性数据创建单个检测条件，其中所述多种类型的相关性数据是与特定类型的数据具有相关性的数据。

4.根据权利要求3所述的检测装置，其中

基于由所述数据获取单元所获取的所述特定类型的数据和所述多种类型的相关性数据以及所述检测条件，所述检测单元计算所述特定类型的数据的估计误差，

基于所计算的估计误差和利用所述检测条件创建的估计误差的分布，所述检测单元评估所述特定类型的数据的真实性，并且

基于所述评估的结果，所述检测单元确定所述特定类型的数据是否是未授权消息。

5.根据权利要求3所述的检测装置，其中

所述特定类型的数据是指示状态的数据，并且

基于由所述数据获取单元获取的所述多种类型的相关性数据和所述检测条件，所述检测单元估计所述特定类型的数据的值，并且

基于所估计的值和所述特定类型的数据之间的比较结果，所述检测单元确定所述特定类型的数据是否对应于未授权消息。

6.根据权利要求2所述的检测装置，其中

当存在多种类型的相关性数据时，分别基于所述特定类型的数据和所述多种类型的相关性数据创建多个检测条件，其中所述多种类型的相关性数据是与特定类型的数据具有相关性的数据。

7.根据权利要求1至6中任一项所述的检测装置，其中

所述数据获取单元获取分别包括在彼此不同的发送消息中的所述多种类型的数据的集合。

8.根据权利要求7所述的检测装置，其中

所述消息获取单元将已获取的多个发送消息存储到所述存储单元中，并且

所述数据获取单元从存储在所述存储单元中的所述多个发送消息中获取所述集合。

9.根据权利要求1至8中任一项所述的检测装置，其中

所述检测装置还包括：

更新单元，其被配置为基于由所述数据获取单元获取的所述集合来更新所述检测条件。

10.根据权利要求1至9中任一项所述的检测装置，其中

所述检测装置还包括：

监控单元，其被配置为监控所述车载网络中的发送消息，以及

分布获取单元，其被配置为获取所述发送消息的发送间隔的分布，

所述检测单元基于所述监控单元的监控结果和所述分布获取单元获取的分布来检测未授权消息，并且

针对已经被确定为未分类为未授权消息的发送消息，所述检测单元基于由所述数据获取单元获取的集合和所述检测条件确定该发送消息是否为未授权消息。

11.一种在检测装置中执行的检测方法，所述检测装置包括存储单元并且被配置为检测安装在车辆中的车载网络中的未授权消息，所述检测方法包括：

获取所述车载网络中的一个或多个发送消息的步骤；以及

获取多种类型的数据的集合的步骤，所述多种类型的数据被包括在所获取的发送消息中并且与同一时间相对应，其中

所述存储单元存储检测条件，所述检测条件是预先创建的并且基于分别与多个时间相对应的多个集合而创建，并且

所述检测方法还包括：

基于所获取的集合和所述检测条件，检测未授权消息的步骤。

12.一种用于检测装置的检测程序，所述检测装置包括存储单元并且被配置为检测安装在车辆中的车载网络中的未授权消息，所述检测程序被配置为使计算机用作：

消息获取单元，其被配置为获取所述车载网络中的一个或多个发送消息；以及

数据获取单元，其被配置为获取多种类型的数据的集合，所述多种类型的数据被包括在由所述消息获取单元获取的所述发送消息中并且与同一时间相对应，其中

所述存储单元存储检测条件，所述检测条件是预先的并且基于分别与多个时间相对应的多个集合而创建；并且

所述检测程序还使所述计算机用作：

检测单元，其被配置为基于由所述数据获取单元获取的所述集合和所述检测条件来检测未授权消息。

Images