CN112840620A - 异常检测装置以及异常检测方法 - Google Patents

异常检测装置以及异常检测方法 Download PDF

Info

Publication number
CN112840620A
CN112840620A CN202080005583.0A CN202080005583A CN112840620A CN 112840620 A CN112840620 A CN 112840620A CN 202080005583 A CN202080005583 A CN 202080005583A CN 112840620 A CN112840620 A CN 112840620A
Authority
CN
China
Prior art keywords
communication
frame
detection rule
service
detection
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202080005583.0A
Other languages
English (en)
Inventor
平野亮
岸川刚
氏家良浩
芳贺智之
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Intellectual Property Corp of America
Original Assignee
Panasonic Intellectual Property Corp of America
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Intellectual Property Corp of America filed Critical Panasonic Intellectual Property Corp of America
Publication of CN112840620A publication Critical patent/CN112840620A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0254—Stateful filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/48—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for in-vehicle communication

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Medical Informatics (AREA)
  • Bioethics (AREA)
  • Small-Scale Networks (AREA)

Abstract

一种异常检测装置和异常检测方法，异常检测装置(IDSECU(100))具备：检测规则生成部(140)，在服务指向型通信的通信建立阶段监视在以太网(13)流动的通信建立帧，按每个通信ID生成包含通信建立帧所记载的通信ID、以及服务器地址或客户端地址的检测规则；异常检测部(150)，在服务指向型通信的通信阶段监视在以太网(13)流动的通信帧，参照包含通信帧所记载的通信ID的检测规则，在该通信帧所记载的服务器地址或客户端地址与该检测规则所包含的服务器地址或客户端地址不同的情况下，将该通信帧检测为异常帧；异常通知部(160)，在检测到异常帧的情况下，通知异常。

Description

异常检测装置以及异常检测方法
技术领域
本公开涉及在车载网络系统中，检测异常的通信的异常检测装置以及异常检测方法。
背景技术
近年来，在汽车中的系统配置有许多被称为电子控制装置(ECU：ElectronicControl Unit：电子控制单元)的装置。将连接这些ECU的网络称为车载网络。车载网络存在许多标准。在车载网络的1个中存在由IEEE 802.3规定的Ethernet(注册商标)这一标准。在先进驾驶支援系统或自动驾驶中，由于需要对由摄像头或LIDAR(Light Detection andRanging:光探测和测距)等的传感器取得的传感器信息或动态地图等的庞大的信息进行处理，所以数据传输速度高的Ethernet的导入不断发展。而且，作为Ethernet上的通信协议，存在SOME/IP(Scalable Service－Oriented MiddlewarE over IP：基于IP的可扩展面向服务的中间件)这一标准。在SOME/IP中，由于与Ethernet连接的各节点通过头(header)所记载的服务ID决定通信内容，所以将SOME/IP称为服务指向型通信。进而，在SOME/IP中，存在被称为SOME/IP-SD(Service Discovery：服务发现)的在开始SOME/IP通信之前进行的节点间的通信建立阶段(phrase)，若事先将想利用的服务的服务ID或能够提供的服务的服务ID在通信建立阶段进行存储，则能够动态取得通信目的地(目标)节点的IP地址以及MAC地址。因此，无需事先设定依存于系统环境的IP地址以及MAC地址等的信息，能够容易设计可移动性优良的软件，因此期待着作为下一代的通信方式而扩大利用。
现有技术文献
非专利文献
非专利文献1：“SOME/IP，Publications，Specifications/Standards”、[online]、[令和1年06月18日检索]、互联网＜URL：http：//some－ip.com/papers.shtml/＞
非专利文献2：N.Herold，et al、“Anomaly Detection for SOME/IPusingComplex Event Processing”、NOMS 2016，IEEE/IFIP Network Operations andManagement Symposium、2016
发明内容
发明要解决的问题
在SOME/IP等的服务指向型通信中，在不采取任何安全对策的情况下，若一个节点被不正常(非法)劫持，则存在以下威胁，即，不仅能够不正常地(非法)收发被劫持的节点发送的包含服务ID的帧，还能够通过发送被劫持的节点以外的其他节点理应发送的包含服务ID的帧，冒充其他节点来建立不正常的通信、或使通信停止。
尤其是，在车载网络中，由于存在与车辆的“行驶、转弯、停止”相关的特别重要的服务，所以能够不正常地控制这些服务、或不正常地停止成为很大威胁。
对于这些威胁，存在使用IPSec(Security Architecture for InternetProtocol：互联网协议的安整体系结构)等对SOME/IP通信进行加密的对策、和非专利文献2所公开的对策。
在使用IPSec的情况下，通过使用节点间共有的密钥对通信进行加密，能够防止通信内容的窃听。
但是，在密钥在车辆内的各个ECU中通用的情况下，存在如下问题，即，若特定的ECU被不正常劫持则密钥也会泄露，从而能够建立不正常的通信。
另外，在根据ECU而使用不同的密钥或公钥的情况下，存在如下问题，即，除了密钥的管理变得烦杂以外，还需要进行通信的加密处理和解密处理而额外开销增加。
另外，若为了安全对策而使用IPSec，则会失去作为利用SOME/IP的优点的可移动性。
在非专利文献2所公开的对策中，对于SOME/IP的通信帧，事先设定与服务ID对应的发送目标IP地址以及发送源IP地址来作为正常规则，监视通信帧，将没有遵从正常规则的通信帧检测为异常帧。
然而，存在以下问题，即，由于IP地址等的信息根据车型、车辆而不同，所以事先设定依赖于系统环境的信息，使作为利用SOME/IP的优点的可移动性降低。
本公开的目的在于，解决以往的问题，提供一种能够提高汽车的安全性而不会失去服务指向型通信的可移动性的异常检测装置等。
用于解决问题的手段
为了解决上述问题，本公开的一技术方案的异常检测装置，是由以太网(注册商标)构成、进行服务指向型通信的车载网络系统中的异常检测装置，所述异常检测装置具备：检测规则生成部，在服务指向型通信的通信建立阶段监视在所述以太网中流动的通信建立帧，按每个通信ID生成包含所述通信建立帧所记载的通信ID以及服务器地址或客户端地址的检测规则；异常检测部，在服务指向型通信的通信阶段监视在所述以太网中流动的通信帧，参照包含所述通信帧所记载的通信ID的检测规则，在该通信帧所记载的服务器地址或客户端地址与该检测规则所包含的服务器地址或客户端地址不同的情况下，将该通信帧检测为异常帧；以及异常通知部，在检测到所述异常帧的情况下，通知异常。
发明效果
根据本公开，能够提高汽车的安全性而不会失去服务指向型通信的可移动性。
附图说明
图1是本公开的实施方式1中的车载网络系统的整体构成图。
图2是本公开的实施方式1中的IDSECU的构成图。
图3是示出了本公开的实施方式1中的车载网络系统的以太网中的头格式的一例的图。
图4是示出了本公开的实施方式1中的事先设定检测规则的一例的图。
图5是示出了本公开的实施方式1中的动态设定检测规则的一例的图。
图6是示出了本公开的实施方式1中的检测规则生成处理的时序的图。
图7是示出了本公开的实施方式1中的异常检测处理的时序的图。
图8是示出了本公开的实施方式1中的检测规则生成处理的流程图的图。
图9是本公开的实施方式1中的异常检测处理的流程图。
具体实施方式
为了解决上述问题，本公开的一技术方案的异常检测装置是由以太网构成、进行服务指向型通信的车载网络系统中的异常检测装置，所述异常检测装置具备：检测规则生成部，在服务指向型通信的通信建立阶段监视在所述以太网中流动的通信建立帧，按每个通信ID生成包含所述通信建立帧所记载的通信ID以及服务器地址或客户端地址的检测规则；异常检测部，在服务指向型通信的通信阶段监视在所述以太网中流动的通信帧，参照包含所述通信帧所记载的通信ID的检测规则，在该通信帧所记载的服务器地址或客户端地址与该检测规则所包含的服务器地址或客户端地址不同的情况下，将该通信帧检测为异常帧；以及异常通知部，在检测到所述异常帧的情况下，通知异常。
由此，无需事先设定IP地址等，能够在通信建立阶段动态地将通信ID所对应的服务器地址(例如服务器IP地址)或客户端地址(例如客户端IP地址)作为检测规则生成加以利用。而且，在通信阶段，由于地址与检测规则所记载的服务器IP地址或客户端IP地址不同的通信帧是没有经由正规的服务指向型通信的通信建立阶段的帧，所以能够判断为是异常帧。这样，不会失去作为服务指向型通信的优点的软件可移动性，能够检测异常的通信帧，并能够提高汽车的安全性。其结果，在服务指向型通信中，在被非法(不正常)劫持的节点冒充正规的其他节点，发送其他节点应该发送的包含服务ID的帧，由此使不正常的通信成立情况或使通信停止等情况下，能够将该帧检测为异常帧。进而，由于无需设定依存于系统环境的IP地址等，所以在向其他车型以及其他车辆展开时的软件变更的成本降低。
另外，也可以是，所述检测规则生成部针对1个以上的通信ID生成包含各自相同的通信ID以及各自不同的服务器地址或各自不同的客户端地址的多个检测规则，所述异常检测部参照包含所述通信帧所记载的通信ID的多个检测规则，在该通信帧所记载的服务器地址或客户端地址与该多个检测规则各自所包含的服务器地址或客户端地址全都不同的情况下，将该通信帧检测为异常帧。
由此，通过对一个通信ID生成服务器地址或客户端地址分别不同的多个检测规则，即使在服务指向型通信中，因系统冗余化而存在提供同一服务的多个服务器的情况下、或存在多个利用同一服务的客户端的情况下，也能够防止误检测。
另外，也可以是，检测规则包含通信建立状态，所述通信建立状态在检测规则所包含的服务器地址所对应的服务器或客户端地址所对应的客户端处于进行关于检测规则所包含的通信ID所对应的服务的通信的状态的情况下表示ON即开，在处于不进行的状态的情况下表示OFF即关，所述检测规则生成部，确认所述通信建立帧所记载的通信类别，若所述通信类别是服务提供、服务订阅响应、服务搜索或服务订阅，则将包含该通信建立帧所记载的通信ID与服务器地址的组、或通信ID与客户端地址的组的检测规则所包含的通信建立状态变更为ON，若所述通信类别是服务提供停止或服务订阅停止，则将包含该通信建立帧所记载的通信ID与服务器地址的组、或通信ID与客户端地址的组的检测规则所包含的通信建立状态变更为OFF，所述异常检测部，参照包含所述通信帧所记载的通信ID的检测规则，在所述通信帧所记载的服务器地址或客户端地址与该检测规则所包含的服务器地址或客户端地址一致的情况下，若该检测规则所包含的通信建立状态为OFF，则将该通信帧检测为异常帧。
由此，在服务指向型通信中，通过按每个通信ID，保持表示通信帧是处于可以通信的状态还是处于不可以通信的状态的通信建立状态，即使是记载了与检测规则所记载的服务器地址或客户端地址为相同的服务器地址或客户端地址的通信帧，也能够将处于不可以通信的状态进行了不正常通信的通信帧判断为异常。
另外，也可以是，所述检测规则生成部，若所述通信类别是服务提供停止或服务订阅停止，则在等待了预定时间之后，将包含所述通信建立帧所记载的通信ID与服务器地址的组、或通信ID与客户端地址的组的检测规则所包含的通信建立状态变更为OFF。
由此，由于从发送服务提供停止或服务订阅停止的帧起到完成服务器的订阅停止的接收为止、或到完成客户端的服务提供停止的接收为止有可能花费预定时间，所以通过等待预定时间之后变更检测规则的通信建立状态，能够在服务器尚未接收到订阅停止或客户端侧尚未接收到服务提供停止的时间段中，防止误检测。
另外，也可以是，所述检测规则生成部，确认所述通信建立帧所记载的通信类别，若所述通信类别是服务提供停止，则确认包含所述通信建立帧所记载的通信ID与服务器地址的组的检测规则是否存在，在该检测规则不存在的情况下判定为异常；若所述通信类别是服务订阅停止，则确认包含所述通信建立帧所记载的通信ID与客户端地址的组的检测规则是否存在，在该检测规则不存在的情况下判定为异常。
由此，在通信建立阶段，在尽管服务提供或服务订阅尚未实施，却还是实施了在服务提供或服务订阅实施之后应该实施的服务提供停止或服务订阅停止的情况下，能够清楚是不正常的通信，因而判断为异常。
另外，也可以是，所述异常检测装置事先存储在所述车载网络系统中表示按每个通信ID被利用的服务器的最大数的按通信ID区分的服务器数、和表示按每个通信ID被利用的客户端的最大数的按通信ID区分的客户端数之中的至少1个，所述检测规则生成部，确认包含所述通信建立帧所记载的通信ID与服务器地址的组的检测规则是否存在，在该检测规则不存在的情况下，若包含该通信ID的检测规则中的该服务器地址的种类数比按所述通信ID区分的服务器数大，则判定为异常；若包含该通信ID的检测规则中的该服务器地址的种类数比按所述通信ID区分的服务器数小或相同，则追加包含该通信建立帧所记载的通信ID与服务器地址的组的检测规则，或者，确认包含所述通信建立帧所记载的通信ID与客户端地址的组的检测规则是否存在，在该检测规则不存在的情况下，若包含该通信ID的检测规则中的该客户端地址的种类数比按所述通信ID区分的客户端数大，则判定为异常，若包含该通信ID的检测规则中的该客户端地址的种类数比按所述通信ID区分的客户端数小或相同，则追加包含该通信建立帧所记载的通信ID与客户端地址的组的检测规则。
由此，通过事先设定与IP地址相比设定较容易的、按每个通信ID被利用的服务器的最大数或客户端的最大数，在不正常地发送了通信建立帧的情况下，与正常相比通信建立帧的种类数、换言之存在于车载网络系统的服务器或客户端的种类数增加，由于超过上述最大数，所以能够判断为异常。
另外，也可以是，所述异常检测装置存储上次启动时生成的上次检测规则，所述检测规则生成部，在监视所述通信建立帧而生成检测规则时，在判定为异常的情况下，参照包含该通信建立帧所记载的通信ID的上次检测规则，将包含该通信ID的检测规则所记载的内容改写为该上次检测规则所记载的内容。
由此，在不正常地发送了通信建立帧的情况下，通过使上次的检测规则优先，由此，例如在出厂前流动正规的通信建立帧而制作正确的检测规则，在出厂后发送不正常的通信建立帧而检测规则有可能变为了不正常的情况下，能够使出厂前的正确的检测规则优先，能够使用更加正确的检测规则。
另外，也可以是，所述异常检测装置事先存储按每个通信ID许可通信的车辆状态，所述检测规则生成部，在接收到所述通信建立帧的情况下，取得当前的车辆状态，针对该通信建立帧所记载的通信ID，在事先存储的许可通信的车辆状态与当前的车辆状态不同的情况下，判定为异常，所述异常检测部，在接收到所述通信帧的情况下，取得当前的车辆状态，在事先存储的针对该通信帧所记载的通信ID许可通信的车辆状态、与当前的车辆状态不同的情况下，将该通信帧检测为异常帧。
由此，在不正常的车辆状态中，能够在发送了通信建立帧或通信帧的情况下判断为异常。
另外，也可以是，所述车辆状态包含：点火的状态、网络连接状态、档位状态、驾驶支援模式的状态、自动驾驶的状态、以及人物或物体检测的状态之中的至少1个。
由此，能够在仅在点火接通的状态下产生的摄像头映像处理的帧、仅在网络连接状态且停车换挡的状态下产生的软件更新的帧、仅在自动驻车模式的状态下产生的操舵指示帧、或仅在自动驾驶模式且人物或物体检测的状态下产生的制动器控制指示帧等以不正常的状态产生了的情况下，检测异常的通信帧。
另外，也可以是，在所述服务指向型通信中的通信阶段使用SOME/IP，在通信建立阶段使用SOME/IP-SD，通信ID是Service ID即服务ID以及Method ID即方法ID，通信类别中的服务提供、服务订阅、服务搜索、服务订阅响应、服务提供停止以及服务订阅停止分别是Service Offer、Service Subscribe、Service Find、Service SubscribeAck、Stop Offer以及Stop Subscribe。
由此，在SOME/IP中，能够在通信建立阶段动态地制作规则，能够在通信阶段检测异常的通信帧。
另外，本公开的一技术方案的异常检测方法，是由以太网构成、进行服务指向型通信的车载网络系统中的异常检测方法，所述异常检测方法包括：检测规则生成步骤，在服务指向型通信的通信建立阶段监视在所述以太网中流动的通信建立帧，按每个通信ID生成包含所述通信建立帧所记载的通信ID、以及服务器地址或客户端地址的检测规则；异常检测步骤，在服务指向型通信的通信阶段监视在所述以太网中流动的通信帧，参照包含所述通信帧所记载的通信ID的检测规则，在该通信帧所记载的服务器地址或客户端地址与该检测规则所包含的服务器地址或客户端地址不同的情况下，将该通信帧检测为异常帧；以及异常通知步骤，在检测到所述异常帧的情况下，通知异常。
由此，能够提供一种能够提高汽车的安全性而不会失去服务指向型通信的可移动性的异常检测方法。
此外，这些总括或具体的技术方案既可以由系统、方法、集成电路、计算机程序或计算机可读取的CD－ROM等的记录介质实现，也可以由系统、方法、集成电路、计算机程序或记录介质的任意组合实现。
以下，对实施方式的异常检测装置，参照附图进行说明。在此示出的实施方式均表示本公开的一具体例。因此，以下的实施方式中示出的数值、构成要素、构成要素的配置以及连接方式、以及作为处理的要素的步骤以及步骤的顺序等是一例而并非限定本公开。以下的实施方式中的构成要素之中、独立权利要求所没有记载的构成要素，是能够进行任意附加的构成要素。另外，各图是示意图，并非进行严格图示。
(实施方式1)
[车载网络系统10的整体构成图]
图1是本公开的实施方式1中的车载网络系统10的整体构成图。
在图1中，车载网络系统10具备：IDSECU100、中央ECU200、区(Zone)ECU300a、区ECU300b、区ECU300c、区ECU300d、摄像头ECU400a、汽车导航ECU400b、转向器ECU400c、制动器ECU400d。
IDSECU100、中央ECU200、区ECU300a、区ECU300b、区ECU300c、区ECU300d经由以太网13而连接。
摄像头ECU400a与区ECU300a经由以太网12连接，汽车导航ECU400b与区ECU300b经由以太网11连接，转向器ECU400c与区ECU300c经由CAN(注册商标)14连接，制动器ECU400d与区ECU300d经由CAN－FD15连接。
中央ECU200除了以太网13以外，还与互联网等的外部网络连接。
IDSECU100是具有如下功能的异常检测装置，即，监视在以太网13上流动的遵从服务指向型通信协议的通信，检测异常帧，经由中央ECU200向互联网上的服务器通知异常帧的信息，经由区ECU300b向汽车导航ECU400b显示异常由此向驾驶员等通知异常帧的信息。稍后说明异常检测方法。
中央ECU200，与区ECU300a、300b、300c以及300d、IDSECU100，经由以太网13，按照服务指向型通信协议进行通信，对区ECU300a、300b、300c以及300d进行控制，控制整个车载网络系统10。
另外，中央ECU200在其内部保持开关功能，具有将区ECU300a、300b、300c以及300d与中央ECU200间发送的帧、以及在区ECU300a、300b、300c以及300d间通信的帧向IDSECU100传送的功能。另外，中央ECU200具有从IDSECU100接收异常帧的信息，并经由外部网络向互联网上的服务器通知异常帧的信息的功能。
区ECU300a经由以太网13，与中央ECU200、IDSECU100、区ECU300b、300c以及300d通信，经由以太网12与摄像头ECU400a通信，控制摄像头映像的ON/OFF(开/关)。
区ECU300b经由以太网13，与中央ECU200、IDSECU100、区ECU300a、300c以及300d通信，经由以太网11与汽车导航ECU400b通信，控制汽车导航的显示。
区ECU300c经由以太网13，与中央ECU200、IDSECU100、区ECU300a、300b以及300d通信，经由CAN14与转向器ECU400c，控制转向器的操舵。
区ECU300d经由以太网13，与中央ECU200、IDSECU100、区ECU300a、300b以及300c通信，经由CAN－FD15，与制动器ECU400d通信，控制制动器。
摄像头ECU400a控制搭载于车辆的摄像头的映像。
汽车导航ECU400b控制搭载于车辆的汽车导航的显示。
转向器ECU400c控制搭载于车辆的转向器的操舵。
制动器ECU400d控制搭载于车辆的制动器。
[IDSECU100的构成图]
图2是本公开的实施方式1中的IDSECU100的构成图。如图2所示，IDSECU100例如具备：通信部110、传送部120、检测规则存储部130、检测规则生成部140、异常检测部150、异常通知部160、车辆状态提取部170。
通信部110与以太网13连接，具有接收在以太网13上流动的遵从服务指向型通信协议的帧，并向传送部120发送的功能。服务指向型通信协议例如是SOME/IP。在服务指向型通信中的通信阶段中使用SOME/IP，在通信建立阶段使用SOME/IP-SD。SOME/IP的数据格式的详情稍后说明。
传送部120从通信部110接收遵从服务指向型通信协议的帧。若所接收到的帧是SOME/IP的通信阶段中的通信帧，则传送部120将所接收到的帧向异常检测部150传送，若所接收到的帧是SOME/IP的通信建立阶段中的通信建立帧，则传送部120将所接收到的帧向检测规则生成部140传送。另外，若所接收到的帧是与车辆状态相关的通信帧，则传送部120将所接收到的帧向车辆状态提取部170传送。车辆状态例如包含：点火的状态、网络连接状态、档位(shift)状态、驾驶支援模式的状态、自动驾驶的状态、以及人物或物体检测的状态之中的至少1个。
在此，通信建立帧是具有SOME/IP-SD头的帧，通信帧是仅具有SOME/IP头的帧。与车辆状态相关的通信帧是保存有网络连接状态、车速、档位状态或点火状态的帧、或、保存有自动驾驶模式或自动驻车模式等的行驶状态的帧。
检测规则存储部130从检测规则生成部140接收检测规则，作为当前的检测规则而保持。进而，检测规则存储部130将上次启动时检测规则生成部140生成的检测规则保持为上次检测规则。另外，检测规则存储部130将表示按每个通信ID被利用的服务器的最大数的按通信ID区分的服务器数和表示按每个通信ID被利用的客户端的最大数的按通信ID区分的客户端数之中的至少1个(例如在此为这两方)以及按每个通信ID许可通信的车辆状态等作为事先设定检测规则而事先保持。事先设定检测规则以及检测规则的详情稍后说明。
检测规则生成部140在服务指向型通信的通信建立阶段监视在以太网13上流动的通信建立帧，根据通信ID生成包含通信建立帧所记载的通信ID以及服务器地址或客户端地址的检测规则。具体而言，检测规则生成部140从传送部120接收通信建立帧，根据通信建立帧的头信息所记载的通信ID生成检测规则，并存储于检测规则存储部130。另外，检测规则生成部140从车辆状态提取部170取得车辆状态。另外，检测规则生成部140在检测规则生成时，将被判定为异常的通信建立帧向异常通知部160发送。对检测规则的生成方法稍后说明，但是检测规则生成部140也可以具有以下的功能。
检测规则生成部140针对1个以上的通信ID生成包含各自相同的通信ID以及各自不同的服务器地址或各自不同的客户端地址的多个检测规则。
另外，检测规则生成部140确认通信建立帧所记载的通信类别，若通信类别是服务提供、服务订阅响应、服务搜索或服务订阅，则将包含该通信建立帧所记载的通信ID与服务器地址的组、或包含通信ID与客户端地址的组的检测规则所包含的通信建立状态变更为ON。另外，检测规则生成部140，若通信类别是服务提供停止或服务订阅停止，则将包含该通信建立帧所记载的通信ID与服务器地址的组、或包含通信ID与客户端地址的组的检测规则所包含的通信建立状态变更为OFF。具体而言，检测规则生成部140，若通信类别是服务提供停止或服务订阅停止，则在等待了预定时间之后，将包含通信建立帧所记载的通信ID与服务器地址的组、或包含通信ID与客户端地址的组的检测规则所包含的通信建立状态变更为OFF。
另外，检测规则生成部140确认通信建立帧所记载的通信类别，若通信类别是服务提供停止，则确认包含所述通信建立帧所记载的通信ID和服务器地址的组的检测规则是否存在，在该检测规则不存在的情况下判定为异常；若通信类别是服务订阅停止，则确认包含通信建立帧所记载的通信ID与客户端地址的组的检测规则是否存在，在该检测规则不存在的情况下判定为异常。
另外，检测规则生成部140确认包含通信建立帧所记载的通信ID与服务器地址的组的检测规则是否存在，在该检测规则不存在的情况下，若包含该通信ID的检测规则中的该服务器地址的种类数比按通信ID区分的服务器数大，则判定为异常，若包含该通信ID的检测规则中的该服务器地址的种类数比按通信ID区分的服务器数小或相同，则追加包含该通信建立帧所记载的通信ID与服务器地址的组的检测规则。另外，检测规则生成部140确认包含通信建立帧所记载的通信ID与客户端地址的组的检测规则是否存在，在该检测规则不存在的情况下，若包含该通信ID的检测规则中的该客户端地址的种类数比按通信ID区分的客户端数大，则判定为异常，若包含该通信ID的检测规则中的该客户端地址的种类数比按通信ID区分的客户端数小或相同，则追加包含该通信建立帧所记载的通信ID与客户端地址的组的检测规则。
另外，检测规则生成部140在监视通信建立帧而生成检测规则时，在判定为异常的情况下，参照包含该通信建立帧所记载的通信ID的上次检测规则，将包含该通信ID的检测规则所记载的内容改写为该上次检测规则所记载的内容。
另外，检测规则生成部140在接收到通信建立帧的情况下，取得当前的车辆状态，针对该通信建立帧所记载的通信ID，在事先存储的许可通信的车辆状态与当前的车辆状态不同的情况下，判定为异常。
异常检测部150从传送部120接收通信帧，取得通信帧的头信息所记载的通信ID和服务器地址与客户端地址的组，从车辆状态提取部170取得车辆状态，参照检测规则存储部130保持的当前的检测规则，使用检测规则，检测所接收到的通信帧是否是异常帧。针对异常帧的检测方法稍后说明，但是异常检测部150也可以具有以下的功能。
异常检测部150在服务指向型通信的通信阶段监视在以太网13上流动的通信帧，参照包含通信帧所记载的通信ID的检测规则，在该通信帧所记载的服务器地址或客户端地址、与该检测规则所包含的服务器地址或客户端地址不同的情况下，将该通信帧检测为异常帧。
另外，异常检测部150参照包含通信帧所记载的通信ID的多个检测规则，在该通信帧所记载的服务器地址或客户端地址、与该多个检测规则各自所包含的服务器地址或客户端地址全都不同的情况下，将该通信帧检测为异常帧。
另外，异常检测部150参照包含通信帧所记载的通信ID的检测规则，在该通信帧所记载的服务器地址或客户端地址、与该检测规则所包含的服务器地址或客户端地址一致的情况下，若该检测规则所包含的通信建立状态为OFF，则将该通信帧检测为异常帧。
另外，异常检测部150在接收到通信帧的情况下，取得当前的车辆状态，在事先存储的、针对该通信帧所记载的通信ID而许可通信的车辆状态、与当前的车辆状态不同的情况下，将该通信帧检测为异常帧。
异常通知部160从检测规则生成部140接收异常的通信建立帧，从异常检测部150接收异常的通信帧，在面向中央ECU200的帧中保存异常帧(异常的通信建立帧或异常的通信帧)的信息，向通信部110发送。
车辆状态提取部170从传送部120接收与车辆状态相关的通信帧，提取车辆状态，向检测规则生成部140和异常检测部150发送。
[车载网络系统10中的头格式]
图3是本公开的实施方式1中的车载网络系统10的以太网13中的头格式。在此，头格式(header format)是作为服务指向型通信的SOME/IP中的头格式。
在SOME/IP中的通信阶段的通信帧中仅保存SOME/IP头，在SOME/IP中的通信建立阶段的通信建立帧中保存SOME/IP头以及SOME/IP-SD头。
在SOME/IP头中记载MessageID即消息ID、Length即长度、RequestID即请求ID、ProtocolVersion即协议版本、InterfaceVersion即接口版本、MessageType即消息类型、ReturnCode即返回码。
在MessageID中包含ServiceID即服务ID和MethodID即方法ID。MessageID在车载网络系统10中是唯一的(unique)。ServiceID表示识别服务器提供的服务的应用的编号，MethodID表示服务器提供的服务的应用的方法(method)的编号。
Length记载从RequestID到SOME/IP头的最后为止的长度。
RequestID记载ClientID即客户端ID和SessionID即会话ID。ClientID是用于识别客户端的应用的编号，SessionID是用于识别服务器的应用与客户端的应用的通信的编号。
ProtocolVersion记载SOME/IP协议的版本信息，InterfaceVersion记载SOME/IP协议的接口的版本，MessageType记载SOME/IP的通信帧中的通信类别，ReturnCode记载错误代码等的返回值。
MessageType具体而言，记载识别Request、RequestNoReturn、Response、Error、TPRequest、TPNotification、TPResponse以及TPError的编号。
在此，MessageID以后也记载为通信ID。换言之，通信ID是Service ID以及MethodID。通信帧的内容根据通信ID而确定。例如，提供请求摄像头映像的服务的通信帧、请求软件更新的通信帧、指示方向盘控制的通信帧、指示制动器控制的通信帧、请求提供车辆状态的通信帧或档位变更的通信帧等，通过确认通信ID，能够判断在通信帧中保存着怎样的信息，。
在SOME/IP－SD头中记载Flags、Reserved、LengthOfEntriesArrayInBytes、SD-Type、Index1stOptions和Index2ndOptions、NumberOfOptions、SD-ServiceID、InstanceID、MajorVersion、TTL、MinorVersion。
Flags记载标志信息，Reserved记载预约编号，LengthOfEntriesArrayInBytes记载除选项(option)以外的到SOME/IP－SD头的最后为止的长度，SD-Type记载SOME/IP的通信建立帧中的通信类别，Index1stOptions和Index2ndOptions记载有无第1个选项头和有无第2个选项头，NumberOfOptions记载选项头的数量，SD-ServiceID记载SOME/IP－SD中的通信建立帧的识别编号，InstanceID记载识别ECU的编号，MajorVersion记载通信建立阶段的主要版本，TTL记载TTL，MinorVersion记载通信建立阶段的次要版本。
另外，SOME/IP－SD头记载LengthOfOptionsArrayInBytes、OptionLength、OptionType、Reserved、IPv4-Address、L4－Proto、PortNumber来作为选项。选项在共有IP地址的信息的情况下被利用。
LengthOfOptionsArrayInBytes记载整个选项头的数据长，OptionLength记载第1个选项头的长度，OptionType记载选项中的通信类别，Reserved记载预约编号，IPv4-Address记载IPv4的地址信息，L4－Proto记载UDP、TCP等IPv4中的通信协议的类别，PortNumber记载端口编号。
SD-Type也记载为SD通信类别。SD通信类别例如存在：服务提供、服务订阅、服务搜索、服务订阅响应、服务提供停止以及服务订阅停止。通信类别中的服务提供、服务订阅、服务搜索、服务订阅响应、服务提供停止以及服务订阅停止分别是：Service Offer、ServiceSubscribe、Service Find、Service SubscribeAck、Stop Offer以及Stop Subscribe。具体而言，SD通信类别记载识别ServiceOffer、ServiceStopOffer、Subscribe、ServiceSubscribeAck、StopSubscribe以及ServiceFind的编号。
ServiceOffer为了将服务器提供的服务是能够提供的状态向客户端通知而被利用，ServiceStopOffer为了将服务器提供的服务是无法提供的状态向客户端通知而被利用，Subscribe是将客户端开始服务的订阅这一情况向服务器通知而被利用，StopSubscribe是为了将客户端中止服务的订阅这一情况向服务器通知而被利用，ServiceFind是为了客户端搜索具有所希望的服务的服务器而被利用。
在SOME/IP中，在通信阶段进行SOME/IP通信之前，在通信建立阶段，服务器通过对保存了SOME/IP-SD的头的帧进行广播发送，搜索希望预定的ServiceID所对应的服务的客户端，客户端对提供与所希望的ServiceID对应的服务的服务器进行搜索，并且取得通信对象的IP地址以及端口编号等的信息。之后，以SOME/IP头所记载的ServiceID和MessageType为基础，进行服务指向型通信。
然而，利用单个SOME/IP，无法实施数据冒充的对策，而存在以下问题，即，通过观测SOME/IP－SD的广播通信，导致作为不正常的客户端，与服务器建立通信、或者作为不正常的服务器，与客户端建立通信。
通过参照从服务器利用广播发送的SOME/IP-SD的ServiceOffer或ServiceSubscribeAck，能够取得提供特定的服务ID所对应的服务的服务器的IP地址、协议、端口编号以及ECU的识别编号，通过参照IPv4包，也能够取得MAC地址。
进而，通过参照从服务器利用广播发送的SOME/IP-SD的StopServiceOffer，能够取得是无法提供服务的状态这一情况。
另外，通过参照从客户端利用广播发送的SOME/IP-SD的ServiceFind或ServiceSubscribe，能够取得提供与特定的服务ID对应的服务的客户端的IP地址、协议、端口编号以及ECU的识别编号，通过参照IPv4包，也能够取得MAC地址。
进而，通过参照从客户端利用广播发送的SOME/IP-SD的StopSubscribe，能够取得是无法接收服务的状态这一情况。
[事先设定检测规则]
图4是示出了本公开的实施方式1中的检测规则存储部130保持的事先设定检测规则的一例的图。如图4所示，事先设定检测规则例如由包含服务ID和方法ID的通信ID、服务器数、客户端数、车辆状态、以及服务内容构成。
服务ID对应于图3的以太网13中的SOME/IP的头格式中的ServiceID，方法ID对应于图3的以太网13中的SOME/IP的头格式中的MethodID。
服务器数表示提供与通信ID对应的服务的服务器的总数(最大数)即按通信ID区分的服务器数，客户端数表示利用与通信ID对应的服务的客户端的总数(最大数)即按通信ID区分的客户端数。
车辆状态表示与通信ID对应的服务在被提供或利用的情况下车辆状态的条件。具体而言，记载：表示车辆的点火是ON(开)的状态的“点火ON状态”、表示车辆的网络连接是ON的状态的“网络ON状态”、表示车辆的档位状态是停车的状态的“停车ON状态”、表示车辆的车速是0km/h的状态的“停止状态”、表示车辆的行驶模式是自动巡航模式(auto cruisemode)的状态的“自动巡航模式”、表示车辆的行驶模式是自动停车模式(auto parkingmode)的状态的“自动停车模式”、或表示车辆的摄像头和/或传感器是正在检测人物的状态的“人物检测”等。
车辆状态能够设定多个，“or”表示OR(或)条件，“and”表示AND(与)条件。
服务内容表示与通信ID对应的服务的概要。
在图4中，例如，第2行所记载的事先设定检测规则中，服务ID是“0001”、方法ID是“0002”、通信ID是“00010002”、服务器数是“1”、客户端数是“5”、车辆状态是“网络连接ON状态且停车状态且停止状态”、服务内容是“软件更新要求”。
另外，在图4中，例如，第6行所记载的事先设定检测规则中，服务ID是“0009”、方法ID是“0010”、通信ID是“00090010”、服务器数是“1”、客户端数是“1”、车辆状态是“-”、服务内容是“档位变更请求”。在此“-”表示车辆状态是任意的。
检测规则生成部140通过参照检测规则存储部130具有的事先设定检测规则，能够取得：提供与通信ID对应的服务的服务器的总数、利用与通信ID对应的服务的客户端的总数、以及在与通信ID对应的服务进行通信时的车辆状态的条件。
进而，检测规则生成部140在接收到包含特定的通信ID的帧时，在所观测到的服务器(服务器地址)的总数比提供与该通信ID对应的服务的服务器的总数即按通信ID区分的服务器数要多的情况下，能够以连接着不正常的服务器而判断为异常，在所观测到的客户端(客户端地址)的总数比利用与通信ID对应的服务的客户端的总数即按通信ID区分的客户端数要多的情况下，能够以连接着不正常的客户端而判断为异常。
进而，检测规则生成部140在接收到包含特定的通信ID的帧时，在事先设定检测规则所记载的车辆状态、与当前的车辆状态不一致的情况下，能够作为以不正常的车辆状态提供着服务而判断为异常。
[动态设定检测规则]
图5是示出了本公开的实施方式1中的检测规则生成部140生成、检测规则存储部130存储、异常检测部150参照的动态设定检测规则的一例的图。如图5所示，动态设定检测规则例如是由包含服务ID和方法ID的通信ID、服务器地址、客户端地址、以及通信建立状态构成的检测规则。
服务ID对应于图3的以太网13中的SOME/IP的头格式中的ServiceID，方法ID对应于图3的以太网13中的SOME/IP的头格式中的MethodID。服务器地址表示提供与通信ID对应的服务的服务器的IP地址，客户端地址表示利用与通信ID对应的服务的客户端的IP地址。通信建立状态表示，与通信ID对应的服务是否为当前有效，若为“ON”则表示许可的状态，若为“OFF”则表示不许可的状态。换言之，通信建立状态在检测规则所包含的服务器地址所对应的服务器或客户端地址所对应的客户端处于进行针对检测规则所包含的通信ID所对应的服务的通信的状态的情况下表示ON，在处于不进行的状态的情况下表示OFF。
在图5中，例如，第1行所记载的动态设定检测规则中，服务ID是“0001”、方法ID是“0001”、通信ID是“00010001”、服务器地址是“X”、客户端地址是“B”、通信建立状态是“ON”。
另外，在图5中，例如，第9行所记载的动态设定检测规则中，服务ID是“0002”、方法ID是“0003”、通信ID是“00020003”、服务器地址是“Y”、客户端地址是“B”、通信建立状态是“OFF”。
例如，检测规则生成部140针对通信ID“00010001”，生成包含各自相同的通信ID“00010001”和各自不同的客户端地址“A”以及“B”的检测规则，针对通信ID“00010002”，生成包含各自相同的通信ID“00010002”和各自不同的客户端地址“A”、“B”、“C”、“D”以及“E”的检测规则，针对通信ID“00020003”，生成包含各自相同的通信ID“00020003”、各自不同的服务器地址“X”以及“Y”、以及各自不同的客户端地址“A”以及“B”的检测规则，针对通信ID“00030004”，生成包含各自相同的通信ID“00030004”、和各自不同的服务器地址“Z”以及“X”的检测规则。
另外，检测规则存储部130在车载网络系统10的电源成为ON即开的情况下，将动态设定检测规则全部删除，在车载网络系统10的电源成为OFF即关的情况下，将动态设定检测规则保持为旧动态设定检测规则(上次检测规则)。
检测规则生成部140能够参照图3的以太网13中的SOME/IP头所包含的ServiceID和MethodID生成通信ID的项目，根据通信ID参照从服务器发送的SOME/IP－SD选项头所包含的IP地址，能够与所生成的通信ID的项目对应地生成服务器地址的项目，根据通信ID参照从客户端发送的SOME/IP－SD选项头所包含的IP地址，能够与所生成的通信ID的项目对应地生成客户端地址的项目，根据通信ID参照从服务器发送的包含选项头的SOME/IP－SD头所包含的SD-Type，能够与所生成的通信ID的项目对应地生成通信建立状态的项目。
具体而言，若SD-Type是ServiceOffer或ServiceSubscribeAck，则能够将包含对应的通信ID和服务器地址的动态设定检测规则的通信建立状态设定为“ON”，若SD-Type是StopServiceOffer，则能够将包含对应的通信ID和服务器地址的动态设定检测规则的通信建立状态设定为“OFF”，若SD-Type是ServiceFind或ServiceSubscribe，则能够将包含对应的通信ID和服务器地址的动态设定检测规则的通信建立状态设定为“ON”，若SD-Type是StopSubscribe，则能够将包含对应的通信ID和服务器地址的动态设定检测规则的通信建立状态设定为“OFF”。
另外，异常检测部150通过参照动态设定检测规则，能够确认帧所包含的通信ID和服务器地址以及客户端地址、与动态设定检测规则中的通信ID和服务器地址以及客户端地址是否匹配，在不匹配的情况下，异常检测部150能够以没有经过正规的通信建立阶段而判断为异常。
进而，异常检测部150能够确认包含特定的通信ID、服务器地址以及客户端地址的帧是否当前有效(也就是通信建立状态是否为ON)，在并非有效的情况下，异常检测部150能够以在不正常的通信建立状态下进行了发送而判断为异常。
[处理的时序]
图6是示出了本公开的实施方式1中的检测规则生成处理的时序的图。图7是示出了本公开的实施方式1中的异常检测处理的时序的图。具体而言，图6和图7示出了，本公开的实施方式1中的IDSECU100取得车辆网络日志，生成动态设定检测规则，参照动态设定检测规则和事先设定检测规则，直到检测异常帧并进行通知为止的处理时序。在图6中，按所接收到的帧是车辆状态帧的情况和是通信建立帧的情况来分情况示出处理时序。具体而言，在图6中的单点划线的上侧示出所接收到的帧是车辆状态帧的情况下的处理时序，在图6中的单点划线的下侧示出所接收到的帧是通信建立帧的情况下的处理时序。在图7中，生成针对所接收到的帧是通信帧的情况的处理时序。
首先，针对图6进行说明。
(S601)IDSECU100的通信部110接收在以太网13上流动的遵从服务指向型通信协议的帧，向传送部120发送。
(S602)传送部120从通信部110接收帧，在帧是在SOME/IP－SD头包含有提供车辆状态的通信ID的车辆状态帧的情况下，向车辆状态提取部170发送车辆状态帧。
(S603)车辆状态提取部170从传送部120接收车辆状态帧，提取车辆状态帧所包含的车辆状态。
(S604)检测规则生成部140对车辆状态提取部170请求车辆状态。
(S605)车辆状态提取部170接收来自检测规则生成部140的车辆状态的请求。
(S606)车辆状态提取部170将车辆状态向检测规则生成部140发送。
(S607)检测规则生成部140从车辆状态提取部170接收车辆状态。
(S608)另一方面，传送部120从通信部110接收帧，在帧是包含有SOME/IP－SD头的通信建立帧的情况下，向检测规则生成部140发送通信建立帧。
(S609)检测规则生成部140从传送部120接收通信建立帧，生成动态设定检测规则，将所生成的动态设定检测规则存储于检测规则存储部130。动态设定检测规则的生成方法稍后说明。
(S610)检测规则生成部140在生成动态设定检测规则时，将判定为异常的通信建立帧作为异常帧，向异常通知部160通知。在动态设定检测规则的生成时将通信建立帧检测为异常的方法稍后说明。
(S611)异常通知部160在接收到S610的异常帧时，向中央ECU200发送：请求将在车辆发生异常这一情况向驾驶员或紧急通报目标、其他车辆、其他系统或其他IPS(IntrusionPrevention System：入侵防御系统)通知的帧。
接着，针对图7进行说明。
(S701)异常检测部150对车辆状态提取部170请求车辆状态。
(S702)车辆状态提取部170从异常检测部150接收车辆状态的请求，提取车辆状态。
(S703)车辆状态提取部170将车辆状态向异常检测部150发送。
(S704)异常检测部150从车辆状态提取部170接收车辆状态。
(S705)传送部120从通信部110接收帧，在帧是不包含SOME/IP－SD头的通信帧的情况下，向异常检测部150发送通信帧。
(S706)异常检测部150在从传送部120接收到帧时，参照检测规则存储部130中的事先设定检测规则和动态设定检测规则，判定所接收到的通信帧是否异常。异常判定方法稍后说明。
(S707)异常检测部150在判定为通信帧为异常的情况下，将异常帧向异常通知部160发送。
(S708)异常通知部160在从异常检测部150接收到异常帧时，向中央ECU200发送：请求将在车辆发生了异常这一情况向驾驶员或警察通知的帧。
[检测规则生成处理的流程图]
图8是示出了本公开的实施方式1中的检测规则生成部140的检测规则生成处理的流程图的图。
(S801)检测规则生成部140从传送部120接收包含SOME/IP－SD头的通信建立帧，实施S802。
(S802)检测规则生成部140确认所接收到的通信建立帧的SOME/IP－SD头所包含的SD通信类别，在SD通信类别是ServiceOffer或ServiceSubscribeAck的情况下，实施S803，在SD通信类别是ServiceFind或ServiceSubscribe的情况下，实施S804，在SD通信类别是StopOffer的情况下，实施S805，在SD通信类别是StopServiceSubscribe的情况下，实施S806。此外，虽然未图示，但是检测规则生成部140在SD通信类别是除此以外的情况下，结束处理。
(S803)检测规则生成部140参照所接收到的帧的SOME/IP－SD头所包含的SD－ServiceID取得通信ID，参照SOME/IP－SD头所包含的IPv4Address取得服务器地址，实施S807。在此，由于SD通信类别是ServiceOffer或ServiceSubscribeAck，所以接收的帧是从服务器发送的帧，因此，在IPv4Address记载服务器的IP地址。
(S804)检测规则生成部140参照所接收到的帧的SOME/IP－SD头所包含的SD－ServiceID取得通信ID，参照SOME/IP－SD头所包含的IPv4Address取得客户端地址，实施S807。在此，由于SD通信类别是ServiceFind或ServiceSubscribe，所以接收的帧是从客户端发送的帧，因此，在IPv4Address记载客户端的IP地址。
(S805)检测规则生成部140参照所接收到的帧的SOME/IP－SD头所包含的SD－ServiceID取得通信ID，参照SOME/IP－SD头所包含的IPv4Address取得服务器地址，实施S816。在此，由于SD通信类别是StopOffer，所以接收的帧是从服务器发送的帧，因此在IPv4Address记载服务器的IP地址。
(S806)检测规则生成部140参照所接收到的帧的SOME/IP－SD头所包含的SD－ServiceID取得通信ID，参照SOME/IP－SD头所包含的IPv4Address取得客户端地址，实施S816。在此，由于SD通信类别是StopServiceSubscribe，所以接收的帧是从客户端发送的帧，因此在IPv4Address记载客户端的IP地址。
(S807)检测规则生成部140参照检测规则存储部130保持的事先设定检测规则之中、与由S803或S804取得的通信ID相同的通信ID的行，在从车辆状态提取部170取得的当前的车辆状态、与上述行的车辆状态不一致的情况下(在S807中为否)，实施S809，在一致的情况下(在S807中为是)，实施S808。
(S808)检测规则生成部140参照检测规则存储部130保持的动态设定检测规则之中、与由S803或S804取得的通信ID相同的通信ID的行，在存在与由S803取得的通信ID与服务器地址的组或由S804取得的通信ID与客户端地址的组、为同一(相同)通信ID与服务器地址的组或同一通信ID与客户端地址的情况下(在S808中为是)，实施S810，在不存在同一通信ID与服务器地址的组或同一通信ID与客户端地址的组的情况下(S808中为否)，实施S811。
(S809)检测规则生成部140以在不正常的车辆状态下发送了通信建立帧而将所接收到的通信建立帧判断为异常帧，将异常帧向异常通知部160发送而结束。
(S810)检测规则生成部140在由S803取得了通信ID与服务器地址的组的情况下，参照检测规则存储部130保持的动态设定检测规则之中、包含与所取得的通信ID与服务器地址的组为同一通信ID与服务器地址的组的行，在由S804取得了通信ID与客户端地址的组的情况下，参照包含与所取得的通信ID与客户端地址的组为同一通信ID与客户端地址的组的行，在上述行的通信建立状态为OFF的情况下(在S810中为是)，实施S820，在上述行的通信建立状态为ON的情况下(S810的否)，结束处理。
(S811)检测规则生成部140在由S803取得了通信ID与服务器地址的组的情况下，参照检测规则存储部130保持的事先设定检测规则之中、与所取得的通信ID为同一通信ID的行来取得服务器数(按通信ID区分的服务器数)，接着，参照动态设定检测规则之中、同一通信ID的动态设定检测规则来取得服务器地址的种类数，若服务器地址的种类数为服务器数以下(在S811中为是)，则实施S812，若服务器地址的种类数比服务器数大(在S811中为否)，则实施S814。
另外，在由S804取得了通信ID与客户端地址的组的情况下，参照检测规则存储部130保持的事先设定检测规则之中、与所取得的通信ID为同一通信ID的行来取得客户端数(按通信ID区分的客户端数)，接着，参照动态设定检测规则之中、同一通信ID的动态设定检测规则来取得客户端地址的种类数，若客户端地址的种类数为客户端数以下(在S811中为是)，则实施S812，若客户端地址的种类数比客户端数大(在S811中为否)，则实施S814。
(S812)检测规则生成部140在S803中取得了通信ID与服务器地址的组的情况下，向动态设定检测规则追加在包含该通信ID的通信帧从该服务器地址被收发的情况下许可收发的规则(也就是说，追加包含在S803中取得的通信ID与服务器地址的组的规则)，在S804中取得了通信ID与客户端地址的组的情况下，向动态设定检测规则追加在包含该通信ID的通信帧从该客户端地址被收发的情况下许可收发的规则(也就是说，追加包含在S804中取得的通信ID与客户端地址的组的规则)。
(S813)检测规则生成部140对在S812中应登记的行(也就是说，在S812中应追加的全部规则)，将通信建立状态的项目设定为开(ON)，结束处理。
(S814)检测规则生成部140，由于与车载网络系统10连接的服务器数或客户端数比既定的服务器的最大数或客户端的最大数要多，所以以不正常的服务器或不正常的客户端被追加到车载网络系统10而生成不正常的动态设定检测规则，判定为异常，实施S815。
(S815)检测规则生成部140将检测规则存储部130保持的动态设定检测规则之中、包含由S814判断为异常的通信ID(具体而言，对应的服务器地址的种类数比按通信ID区分的服务器数大的通信ID、或对应的客户端地址的种类数比按通信ID区分的客户端数大的通信ID)的全部的行，以变为与检测规则存储部130保持的上次启动时的旧动态设定检测规则的通信ID的行相同的方式进行覆写登记，结束处理。
(S816)检测规则生成部140参照检测规则存储部130保持的事先设定检测规则之中、与由S805或S806取得的通信ID为同一通信ID的行，在从车辆状态提取部170取得的当前的车辆状态、与上述行的车辆状态不一致的情况下(在S816中为否)，实施S818，在一致的情况下(在S816中为是)，实施S817。
(S817)检测规则生成部140参照检测规则存储部130保持的动态设定检测规则之中、与由S805或S806取得的通信ID为同一通信ID的行，在与由S805取得的通信ID与服务器地址的组或由S806取得的通信ID与客户端地址的组相比，为同一通信ID与服务器地址的组或同一通信ID与客户端地址的组存在的情况下(在S817中为是)，实施S819，同一通信ID与服务器地址的组或同一通信ID与客户端地址的组不存在情况下(S817中为否)，实施S818。
(S818)检测规则生成部140在S816中为否的情况下，以在不正常的车辆状态下发送了通信建立帧，另外，在S817中为否的情况下，在通信建立阶段，尽管服务提供或服务订阅没有被实施但是却实施在服务提供或服务订阅被实施之后应该实施的服务提供停止或服务订阅停止，以不正常地发送了通信建立帧而将所接收到的通信建立帧判断为异常帧，将异常帧向异常通知部160发送，结束处理。
(S819)检测规则生成部140在S805中取得了通信ID与服务器地址的组的情况下，将检测规则存储部130保持的动态设定检测规则之中、包含与所取得的通信ID相比为同一通信ID与服务器地址的组的行的通信建立状态变更为关(OFF)，在S804中取得了通信ID与客户端地址的组的情况下，将包含与所取得的通信ID相比为同一通信ID与客户端地址的组的行的通信建立状态变更为关(OFF)，结束处理。检测规则生成部140在将通信建立状态变更为关(OFF)的情况下，在等待了例如1秒等预定时间之后，进行变更。
(S820)检测规则生成部140在S803中取得了通信ID与服务器地址的组的情况下，将检测规则存储部130保持的动态设定检测规则之中、包含与所取得的通信ID与服务器地址的组相比为同一通信ID与服务器地址的组的通信建立状态变更为开(ON)，在S804中取得了通信ID与客户端地址的组的情况下，将包含与所取得的通信ID与客户端地址的组相比为同一通信ID与客户端地址的组的行的通信建立状态变更为开(ON)，结束处理。
[异常检测处理的流程图]
图9是本公开的实施方式1中的异常检测部150的异常检测处理的流程图。
(S901)异常检测部150从传送部120接收包含SOME/IP头的通信帧，实施S902。
(S902)异常检测部150参照所接收到的帧，取得通信ID、服务器地址、以及客户端地址。通信ID基于SOME/ID头所记载的MessageID而取得，服务器地址和客户端地址基于IPv4头所记载的发送源IPv4地址以及发送目标IPv4地址而取得。
(S903)异常检测部150参照检测规则存储部130保持的事先设定检测规则之中、与由S902取得的通信ID为同一通信ID的行，在从车辆状态提取部170取得的当前的车辆状态、与上述行的车辆状态不一致的情况下(在S903中为否)，实施S905，在一致的情况下(在S903中为是)，实施S904。
(S904)异常检测部150对于由S902取得的通信ID、服务器地址与客户端地址的组而言，在检测规则存储部130保持的动态设定检测规则中存在与所取得的通信ID、服务器地址与客户端地址的组相比为同一通信ID、服务器地址与客户端地址的组的情况下(在S904中为是)，实施S905，在不存在的情况下(在S904中为否)，实施S906。
(S905)异常检测部150参照检测规则存储部130保持的动态设定检测规则之中、包含由S902取得的通信ID、服务器地址与客户端地址的组的行，在该行中的通信建立状态为开(ON)的情况下(在S905中为是)，结束处理，在通信建立状态为关(OFF)的情况下(在S905中为否)，实施S906。
(S906)异常检测部150在S903中为否的情况下，以在不正常的车辆状态下发送了通信建立帧，另外，在S904中为否的情况下，以发送了未经由正规的通信建立阶段的帧，另外，在S905中为否的情况下，以发送了未许可通信的帧，从而将所接收到的通信帧判断为异常帧，将异常帧向异常通知部160发送，结束处理。
(其他实施方式)
以上，作为本公开的技术性例示对实施方式1进行了说明。然而，本公开的技术不限定于此，也能够适用于进行了适当、变更、置换、附加、省略等的实施方式。例如，以下的那样的变形例也包含于本公开的一实施技术方案中。
(1)在上述实施方式中，作为本公开的适用例说明了对汽车的安全对策，但是适用范围不限于此。例如，不限于汽车，也可以将本公开适用于建机、农机、船舶、铁路或飞行器等的移动中。
(2)在上述的实施方式中，在检测规则生成部140生成、检测规则存储部130存储的动态设定检测规则中，以服务器地址和客户端地址为IPv4地址进行了说明，但是服务器地址和客户端地址也可以是IPv6地址、MAC地址、端口编号、ECU的识别编号、通信协议的类别、或它们的组合。
另外，服务器地址和客户端地址也可以包含在CAN或CAN－FD中用于所交换的帧的CANID。该情况下，CANID保存于SOME/IP的通信帧内进行通信。
(3)在上述的实施方式中，以IDSECU100与以太网13连接进行了说明，但是具体而言，也可以作为软件或硬件搭载于以太网开关、以太网集线器、网关或路由器中，也可以在与它们用以太网电缆连接的ECU或区ECU中作为软件或硬件进行搭载。
在IDSECU100搭载于以太网开关、以太网集线器、网关或路由器的情况下，也可以在异常检测部150检测出异常帧之后，由以太网开关、以太网集线器、网关或路由器切断异常帧。
也可以在IDSECU100搭载于ECU或区ECU的情况下，为了使包含单播(数据)包(Unicast Packet)的以太网13上的全部包由IDSECU100接收，以太网开关、以太网集线器、网关或路由器将全部包向IDSECU100传送。
(4)在上述的实施方式中，以以太网13通过遵从SOME/IP协议的帧交换ECU间的信息进行了说明，但是即使不是SOME/IP协议，也可以是其他服务指向型通信协议或数据指向型通信协议。例如，作为其他数据指向型通信协议，存在DDS(Data Distribution Service：数据分发服务)。另外，也可以进行REST通信或HTTP通信。该情况下，也可以以数据单位而非服务单位生成检测规则。
(5)在上述的实施方式中，以异常通知部160将异常向驾驶员或警察通知进行了说明，但是通知目标也可以是与车辆连接的服务器、交通省、邻近的车辆、交通系统、也可以是脆弱性信息等的共有机关。
(6)构成上述实施方式以及变形例中的各装置的构成要素的一部分或全部也可以由1个系统LSI(Large Scale Integration：大规模集成电路)构成。系统LSI是将多个构成部集成于1个芯片上制造而成的超多功能LSI，具体而言，是包含微处理器、ROM、RAM等而构成的计算机系统。在RAM中记录有计算机程序。通过微处理器按照计算机程序进行动作，系统LSI实现其功能。
另外，构成上述各装置的构成要素的各部既可以独立地进行单芯片化，也可以以包含一部分或全部的方式进行单芯片化。
另外，在此，虽然设为系统LSI，但是根据集成度的不同，也有时称为IC、LSI、超大(super)规模LSI、甚超大(ultra)规模LSI。另外，集成电路化的方法不限于LSI，也可以由专用电路或通用处理器实现。也可以在LSI制造后，利用能够编程的FPGA(FieldProgrammable Gate Array：现场可编程门阵列)、能够再构成LSI内部的电路单元的连接和设定的可重构处理器。
进而，若由于半导体技术的进步或派生的其他技术而出现可代替LSI的集成电路化的技术，则当然也可以使用该技术进行功能块的集成化。也能够进行生物技术的适用等。
(7)构成上述各装置的构成要素的一部分或全部也可以由能够装卸于各装置的IC卡或单个模块构成。IC卡或模块是由微处理器、ROM以及RAM等构成的计算机系统。IC卡或模块也可以包含上述的超多功能LSI。通过微处理器按照计算机程序进行动作，IC卡或模块实现其功能。该IC卡或该模块也可以具有防篡改性。
(8)本公开不仅可以作为异常检测装置而实现，也可以作为包含构成异常检测装置的各构成要素进行的步骤(处理)的异常检测方法而实现。
异常检测方法是由以太网构成、进行服务指向型通信的车载网络系统中的异常检测方法，异常检测方法包括：检测规则生成步骤(图6的S609)，在服务指向型通信的通信建立阶段监视在以太网流动的通信建立帧，按每个通信ID生成包含通信建立帧所记载的通信ID、以及服务器地址或客户端地址的检测规则；异常检测步骤(图7的S706)，在服务指向型通信的通信阶段监视在以太网流动的通信帧，参照包含通信帧所记载的通信ID的检测规则，在该通信帧所记载的服务器地址或客户端地址与该检测规则所包含的服务器地址或客户端地址不同的情况下，将该通信帧检测为异常帧；以及异常通知步骤(图7的S707)，在检测到异常帧的情况下，通知异常。
另外，异常检测方法中的步骤也可以通过计算机(计算机系统)执行。而且，本公开可以作为使计算机执行异常检测方法所包含的步骤的程序(计算机程序)、或由计算机程序构成的数字信号而实现。
另外，作为本公开的一技术方案，也可以作为记录了该计算机程序或数字信号的非瞬时性计算机可读取的记录介质、例如，软盘、硬盘、CD－ROM、MO、DVD、DVD－ROM、DVD－RAM、BD(Blue-ray(注册商标)Disc)或半导体存储器等而实现。
另外，作为本公开的一技术方案，也可以将计算机程序或数字信号经由电通信线路、无线或有线通信线路、以互联网为代表的网络、数据广播等进行传输。
另外，作为本公开的一技术方案，也可以是具备微处理器和存储器的计算机系统，存储器记录上述计算机程序，微处理器按照计算机程序进行动作。
另外，也可以通过将程序或数字信号记录于记录介质而移送，或将程序或数字信号经由网络等进行移送，由独立的其他计算机系统实施。
(9)通过将上述实施方式示出的各构成要素以及功能进行任意组合而实现的方式也包含于本公开的范围中。
产业上的可利用性
本公开能够利用于使用服务指向型通信的车载网络系统。
标号说明
10 车载网络系统
11、12、13 以太网
14 CAN
15 CAN－FD
100 IDSECU
110 通信部
120 传送部
130 检测规则存储部
140 检测规则生成部
150 异常检测部
160 异常通知部
170 车辆状态提取部
200 中央ECU
300a、300b、300c、300d 区ECU
400a 摄像头ECU
400b 汽车导航ECU
400c 转向器ECU
400d 制动器ECU。

Claims (11)

1.一种异常检测装置，是由以太网构成、进行服务指向型通信的车载网络系统中的异常检测装置，所述异常检测装置具备：
检测规则生成部，在服务指向型通信的通信建立阶段监视在所述以太网中流动的通信建立帧，按每个通信ID生成包含所述通信建立帧所记载的通信ID以及服务器地址或客户端地址的检测规则；
异常检测部，在服务指向型通信的通信阶段监视在所述以太网中流动的通信帧，参照包含所述通信帧所记载的通信ID的检测规则，在该通信帧所记载的服务器地址或客户端地址与该检测规则所包含的服务器地址或客户端地址不同的情况下，将该通信帧检测为异常帧；以及
异常通知部，在检测到所述异常帧的情况下，通知异常。
2.根据权利要求1所述的异常检测装置，
所述检测规则生成部针对1个以上的通信ID生成包含各自相同的通信ID以及各自不同的服务器地址或各自不同的客户端地址的多个检测规则，
所述异常检测部参照包含所述通信帧所记载的通信ID的多个检测规则，在该通信帧所记载的服务器地址或客户端地址与该多个检测规则各自所包含的服务器地址或客户端地址全都不同的情况下，将该通信帧检测为异常帧。
3.根据权利要求1或2所述的异常检测装置，
检测规则包含通信建立状态，所述通信建立状态在检测规则所包含的服务器地址所对应的服务器或客户端地址所对应的客户端处于进行关于检测规则所包含的通信ID所对应的服务的通信的状态的情况下表示ON即开，在处于不进行的状态的情况下表示OFF即关，
所述检测规则生成部，
确认所述通信建立帧所记载的通信类别，若所述通信类别是服务提供、服务订阅响应、服务搜索或服务订阅，则将包含该通信建立帧所记载的通信ID与服务器地址的组、或通信ID与客户端地址的组的检测规则所包含的通信建立状态变更为ON，
若所述通信类别是服务提供停止或服务订阅停止，则将包含该通信建立帧所记载的通信ID与服务器地址的组、或通信ID与客户端地址的组的检测规则所包含的通信建立状态变更为OFF，
所述异常检测部，参照包含所述通信帧所记载的通信ID的检测规则，在所述通信帧所记载的服务器地址或客户端地址与该检测规则所包含的服务器地址或客户端地址一致的情况下，若该检测规则所包含的通信建立状态为OFF，则将该通信帧检测为异常帧。
4.根据权利要求3所述的异常检测装置，
所述检测规则生成部，若所述通信类别是服务提供停止或服务订阅停止，则在等待了预定时间之后，将包含所述通信建立帧所记载的通信ID与服务器地址的组、或通信ID与客户端地址的组的检测规则所包含的通信建立状态变更为OFF。
5.根据权利要求3或4所述的异常检测装置，
所述检测规则生成部，
确认所述通信建立帧所记载的通信类别，若所述通信类别是服务提供停止，则确认包含所述通信建立帧所记载的通信ID与服务器地址的组的检测规则是否存在，在该检测规则不存在的情况下判定为异常；若所述通信类别是服务订阅停止，则确认包含所述通信建立帧所记载的通信ID与客户端地址的组的检测规则是否存在，在该检测规则不存在的情况下判定为异常。
6.根据权利要求1至5中任一项所述的异常检测装置，
所述异常检测装置事先存储在所述车载网络系统中表示按每个通信ID被利用的服务器的最大数的按通信ID区分的服务器数、和表示按每个通信ID被利用的客户端的最大数的按通信ID区分的客户端数之中的至少1个，
所述检测规则生成部，
确认包含所述通信建立帧所记载的通信ID与服务器地址的组的检测规则是否存在，在该检测规则不存在的情况下，若包含该通信ID的检测规则中的该服务器地址的种类数比按所述通信ID区分的服务器数大，则判定为异常；若包含该通信ID的检测规则中的该服务器地址的种类数比按所述通信ID区分的服务器数小或相同，则追加包含该通信建立帧所记载的通信ID与服务器地址的组的检测规则，或者，
确认包含所述通信建立帧所记载的通信ID与客户端地址的组的检测规则是否存在，在该检测规则不存在的情况下，若包含该通信ID的检测规则中的该客户端地址的种类数比按所述通信ID区分的客户端数大，则判定为异常，若包含该通信ID的检测规则中的该客户端地址的种类数比按所述通信ID区分的客户端数小或相同，则追加包含该通信建立帧所记载的通信ID与客户端地址的组的检测规则。
7.根据权利要求6所述的异常检测装置，
所述异常检测装置存储上次启动时生成的上次检测规则，
所述检测规则生成部，在监视所述通信建立帧而生成检测规则时，在判定为异常的情况下，参照包含该通信建立帧所记载的通信ID的上次检测规则，将包含该通信ID的检测规则所记载的内容改写为该上次检测规则所记载的内容。
8.根据权利要求1至7中任一项所述的异常检测装置，
所述异常检测装置事先存储按每个通信ID许可通信的车辆状态，
所述检测规则生成部，在接收到所述通信建立帧的情况下，取得当前的车辆状态，针对该通信建立帧所记载的通信ID，在事先存储的许可通信的车辆状态与当前的车辆状态不同的情况下，判定为异常，
所述异常检测部，在接收到所述通信帧的情况下，取得当前的车辆状态，在事先存储的针对该通信帧所记载的通信ID许可通信的车辆状态、与当前的车辆状态不同的情况下，将该通信帧检测为异常帧。
9.根据权利要求8所述的异常检测装置，
所述车辆状态包含点火的状态、网络连接状态、档位状态、驾驶支援模式的状态、自动驾驶的状态、以及人物或物体检测的状态之中的至少1个。
10.根据权利要求1至9中任一项所述的异常检测装置，
在所述服务指向型通信中的通信阶段使用SOME/IP，在通信建立阶段使用SOME/IP-SD，
通信ID是Service ID即服务ID以及Method ID即方法ID，
通信类别中的服务提供、服务订阅、服务搜索、服务订阅响应、服务提供停止以及服务订阅停止分别是Service Offer、Service Subscribe、Service Find、ServiceSubscribeAck、Stop Offer以及Stop Subscribe。
11.一种异常检测方法，是由以太网构成、进行服务指向型通信的车载网络系统中的异常检测方法，所述异常检测方法包括：
检测规则生成步骤，在服务指向型通信的通信建立阶段监视在所述以太网中流动的通信建立帧，按每个通信ID生成包含所述通信建立帧所记载的通信ID、以及服务器地址或客户端地址的检测规则；
异常检测步骤，在服务指向型通信的通信阶段监视在所述以太网中流动的通信帧，参照包含所述通信帧所记载的通信ID的检测规则，在该通信帧所记载的服务器地址或客户端地址与该检测规则所包含的服务器地址或客户端地址不同的情况下，将该通信帧检测为异常帧；以及
异常通知步骤，在检测到所述异常帧的情况下，通知异常。
CN202080005583.0A 2019-07-04 2020-06-24 异常检测装置以及异常检测方法 Pending CN112840620A (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
PCT/JP2019/026722 WO2021002013A1 (ja) 2019-07-04 2019-07-04 異常検知装置および異常検知方法
JPPCT/JP2019/026722 2019-07-04
PCT/JP2020/024841 WO2021002261A1 (ja) 2019-07-04 2020-06-24 異常検知装置および異常検知方法

Publications (1)

Publication Number Publication Date
CN112840620A true CN112840620A (zh) 2021-05-25

Family

ID=74101041

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202080005583.0A Pending CN112840620A (zh) 2019-07-04 2020-06-24 异常检测装置以及异常检测方法

Country Status (5)

Country Link
US (1) US11956262B2 (zh)
EP (1) EP3995978B1 (zh)
JP (1) JP7490648B2 (zh)
CN (1) CN112840620A (zh)
WO (2) WO2021002013A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113992344A (zh) * 2021-09-10 2022-01-28 深圳开源互联网安全技术有限公司 基于some/ip协议的通信数据异常检测方法及系统
CN114257447A (zh) * 2021-12-20 2022-03-29 国汽(北京)智能网联汽车研究院有限公司 一种车载网络idps联防联动系统

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20210120287A (ko) * 2020-03-26 2021-10-07 현대자동차주식회사 진단 시스템 및 차량
WO2022153442A1 (ja) * 2021-01-14 2022-07-21 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ サービス仲介装置およびサービス仲介方法
JP7447848B2 (ja) 2021-03-05 2024-03-12 株式会社デンソー 車両用装置、サーバ、及び通信管理方法
US20240187428A1 (en) * 2021-04-01 2024-06-06 Nippon Telegraph And Telephone Corporation Communication system, switching apparatus, switching method, and program
JP7323569B2 (ja) * 2021-04-07 2023-08-08 矢崎総業株式会社 車載ソフトウェア更新方法および車載システム
CN113259351B (zh) * 2021-05-12 2022-04-26 北京天融信网络安全技术有限公司 一种入侵检测方法、装置、存储介质和电子设备
US20220405188A1 (en) * 2021-06-21 2022-12-22 Red Hat, Inc. Monitoring activity of an application prior to deployment
WO2023095258A1 (ja) * 2021-11-25 2023-06-01 日本電信電話株式会社 監視装置、監視方法、および、監視プログラム
WO2024105935A1 (ja) * 2022-11-18 2024-05-23 住友電気工業株式会社 検知装置、検知方法および検知プログラム

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102947801A (zh) * 2010-05-20 2013-02-27 埃森哲环球服务有限公司 恶意攻击检测和分析
US20160294848A1 (en) * 2015-03-31 2016-10-06 Check Point Software Technologies Ltd. Method for protection of automotive components in intravehicle communication system
CN106161453A (zh) * 2016-07-21 2016-11-23 南京邮电大学 一种基于历史信息的SSLstrip防御方法
US20170359241A1 (en) * 2015-01-14 2017-12-14 National University Corporation Nagoya University Communication system, abnormality detection device and abnormality detection method
CN108173714A (zh) * 2017-12-27 2018-06-15 北京奇艺世纪科技有限公司 公共出口ip地址的检测方法、检测装置和电子设备
CN108886480A (zh) * 2016-07-05 2018-11-23 松下电器（美国）知识产权公司 异常检测电子控制单元、车载网络系统以及异常检测方法
US20190104204A1 (en) * 2017-09-29 2019-04-04 Denso Corporation Abnormality detection device, method thereof, and communication system
CN109689470A (zh) * 2017-07-14 2019-04-26 株式会社东芝 异常诊断装置、异常诊断方法和计算机程序
CN109843653A (zh) * 2017-07-26 2019-06-04 松下电器（美国）知识产权公司 异常检测装置以及异常检测方法

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4625314B2 (ja) * 2003-12-22 2011-02-02 株式会社リコー 画像形成装置及び作像プロセス機器の情報の記録方法
JP5919205B2 (ja) * 2013-01-28 2016-05-18 日立オートモティブシステムズ株式会社 ネットワーク装置およびデータ送受信システム
KR101612819B1 (ko) * 2014-11-18 2016-04-15 현대자동차주식회사 Avb 기술 연동을 통한 some/ip 스트림 처리 방법 및 장치
JP6451546B2 (ja) * 2015-08-05 2019-01-16 株式会社デンソー 通信ネットワーク及び中継装置
JP6423402B2 (ja) * 2015-12-16 2018-11-14 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
EP3373553B1 (en) 2017-03-09 2024-05-08 Argus Cyber Security Ltd System and method for providing cyber security to an in-vehicle network
JP2018160851A (ja) * 2017-03-23 2018-10-11 株式会社オートネットワーク技術研究所 車載通信装置、コンピュータプログラム及びメッセージ判定方法
JP6838455B2 (ja) * 2017-03-24 2021-03-03 住友電気工業株式会社 スイッチ装置、通信制御方法および通信制御プログラム
US11050789B2 (en) * 2017-06-15 2021-06-29 Palo Alto Networks, Inc. Location based security in service provider networks
WO2019021402A1 (ja) * 2017-07-26 2019-01-31 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 通信装置、通信方法および通信システム
JP7115536B2 (ja) * 2018-02-28 2022-08-09 株式会社オートネットワーク技術研究所 車載通信システム、スイッチ装置、検証方法および検証プログラム
JPWO2020079874A1 (ja) * 2018-10-18 2021-09-09 住友電気工業株式会社 検知装置、ゲートウェイ装置、検知方法および検知プログラム
US10958470B2 (en) * 2018-11-06 2021-03-23 Lear Corporation Attributing bus-off attacks based on error frames

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102947801A (zh) * 2010-05-20 2013-02-27 埃森哲环球服务有限公司 恶意攻击检测和分析
US20170359241A1 (en) * 2015-01-14 2017-12-14 National University Corporation Nagoya University Communication system, abnormality detection device and abnormality detection method
US20160294848A1 (en) * 2015-03-31 2016-10-06 Check Point Software Technologies Ltd. Method for protection of automotive components in intravehicle communication system
CN108886480A (zh) * 2016-07-05 2018-11-23 松下电器（美国）知识产权公司 异常检测电子控制单元、车载网络系统以及异常检测方法
CN106161453A (zh) * 2016-07-21 2016-11-23 南京邮电大学 一种基于历史信息的SSLstrip防御方法
CN109689470A (zh) * 2017-07-14 2019-04-26 株式会社东芝 异常诊断装置、异常诊断方法和计算机程序
CN109843653A (zh) * 2017-07-26 2019-06-04 松下电器（美国）知识产权公司 异常检测装置以及异常检测方法
US20190104204A1 (en) * 2017-09-29 2019-04-04 Denso Corporation Abnormality detection device, method thereof, and communication system
CN108173714A (zh) * 2017-12-27 2018-06-15 北京奇艺世纪科技有限公司 公共出口ip地址的检测方法、检测装置和电子设备

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
王建;陈晓光;朱研;任翔;: "基于车载以太网的智能网联汽车网信安全防护技术研究", 智能网联汽车, no. 01, 25 January 2020 (2020-01-25) *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113992344A (zh) * 2021-09-10 2022-01-28 深圳开源互联网安全技术有限公司 基于some/ip协议的通信数据异常检测方法及系统
CN114257447A (zh) * 2021-12-20 2022-03-29 国汽(北京)智能网联汽车研究院有限公司 一种车载网络idps联防联动系统

Also Published As

Publication number Publication date
JP7490648B2 (ja) 2024-05-27
EP3995978B1 (en) 2023-09-06
JPWO2021002261A1 (zh) 2021-01-07
WO2021002013A1 (ja) 2021-01-07
WO2021002261A1 (ja) 2021-01-07
US11956262B2 (en) 2024-04-09
EP3995978A4 (en) 2022-08-03
US20210281595A1 (en) 2021-09-09
EP3995978A1 (en) 2022-05-11

Similar Documents

Publication Publication Date Title
CN112840620A (zh) 异常检测装置以及异常检测方法
US11722321B2 (en) Method and system for reduced V2X receiver processing load using certificates
CN109843653B (zh) 异常检测装置以及异常检测方法
KR102244569B1 (ko) 오토모티브 이더넷에 기초하여 차량 내부 네트워크에서 차량 내 디바이스간 통신 방법 및 장치
US11930021B2 (en) Unauthorized frame detection device and unauthorized frame detection method
CN111279657A (zh) 不正当检测装置、车载网络系统及不正当检测方法
WO2019021404A1 (ja) ネットワーク監視器
EP3614713B1 (en) V2x communication device and data communication method thereof
US20190239221A1 (en) Communication device, communication method, and communication system
CN111385193A (zh) 消息路由系统及其方法
US20180343326A1 (en) Can to ip internetworking
WO2019167370A1 (ja) スイッチ装置、監視方法および監視プログラム
WO2022153708A1 (ja) サービス仲介装置、サービス仲介方法、および、プログラム
US20230262004A1 (en) Method for discriminating a message between a terminal and a data server
WO2021106446A1 (ja) 検知装置、車両、検知方法および検知プログラム
US11582611B1 (en) Prompt and secure data communication pairing
EP3618385B1 (en) Method and arrangement for encoding/decoding a signal at a first and second communication node in a road vehicle
WO2021084928A1 (ja) 中継装置、車載通信システム、車両および車載通信方法
US11283755B2 (en) Method for identifying a communication node
CN114285819A (zh) 访客网络访问内网方法、装置、计算机设备及介质
Shanmugam In-Vehicle Wireless Sensor Network Architecture
Chalini et al. UML Model of a Gateway for the Interconnection of IEEE 1609 and Controller Area Network

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination