JP2016019031A - フィルタリング装置およびフィルタリング方法 - Google Patents

Abstract

【課題】不正なデータの検出を少ない処理コストで行うことができるフィルタリング装置を提供する。【解決手段】フレームを受信する第一のネットワークインタフェースと、前記受信したフレームに対してフィルタリングを行うフィルタ手段と、前記フィルタ手段を通過したフレームを送信する第二のネットワークインタフェースと、を有し、前記フィルタ手段は、受信したフレームから、当該フレームの送信元を表す情報がそれぞれ格納されている第一の領域および第二の領域を抽出し、前記複数の領域にそれぞれ格納されている送信元情報が互いに一致しない場合に、当該フレームを通過させないことを特徴とする。【選択図】図１

Description

本発明は、データをフィルタリングするネットワーク装置に関する。

近年、車両に搭載された複数のコンピュータ（ＥＣＵ）を、車載用ネットワークであるＣＡＮ（Controller Area Network）に接続し、相互にデータ通信を行う車載用ネットワ
ークシステムが普及している（特許文献１）。また、ＣＡＮによって構築された複数のネットワークを相互に接続することで、より大規模な車内ネットワークを構築することができる。

複数のネットワークを相互に接続する場合、データの中継を行うブリッジ装置が必要となる。一方、ＥＣＵの数が増え、通信量が増大すると、ブリッジ装置にかかる負荷が大きくなるため、より少ない負荷でデータの中継を行うことが求められている。
これに関連する発明として、特許文献２に記載の装置がある。当該装置では、他のネットワークに転送すべき通信データを、その優先度と関連付けてテーブルで保持し、当該テーブルによって転送の可否を判定することで、転送にかかる負荷の軽減を図っている。

特開２００４−１３６８１６号公報 特開２００８−４２７３０号公報

複数のネットワークを接続する場合、偽造されたパケットや、正当な通信を妨害するためのパケットといった、悪意のあるデータが外部から送信される可能性がある。このような悪意のある通信をブロックするため、一般的に、ブリッジ装置によるパケットのフィルタリングが行われている。

フィルタリングを行うためには、受信したデータが正規の発信者から送られたものであるか、そうでないかを判定する必要がある。データの正当性を確認するためには、電子署名などの技術を用いることができるが、リアルタイム性が要求されるネットワークにおいては、オーバーヘッドを極力減らす必要があるため、このような暗号化手法を採用することができない。

一方、特許文献２に記載の技術によると、受信したデータが予めテーブルに登録されたものであるかを判定するため、暗号を利用する方式と比べると、比較的高速にフィルタリングを行うことができる。しかし、外部のテーブルを参照するのにも若干の時間がかかるため、時間的な制約が大きいネットワークにおいては、必ずしもリアルタイム性を担保することができない。

本発明は上記の課題を考慮してなされたものであり、不正なデータの検出を少ない処理コストで行うことができるフィルタリング装置を提供することを目的とする。

前述した課題を解決するために、本発明に係るフィルタリング装置は、
フレームを受信する第一のネットワークインタフェースと、前記受信したフレームに対
してフィルタリングを行うフィルタ手段と、前記フィルタ手段を通過したフレームを送信する第二のネットワークインタフェースと、を有し、前記フィルタ手段は、受信したフレームから、当該フレームの送信元を表す情報がそれぞれ格納されている第一の領域および第二の領域を抽出し、前記複数の領域にそれぞれ格納されている送信元情報が互いに一致しない場合に、当該フレームを通過させないことを特徴とする。

第一の領域および第二の領域は、フレームの送信元を識別するための情報が格納されている領域である。当該領域は、異なるプロトコルによってそれぞれ定義された領域であってもよい。例えば、レイヤ２プロトコルが用いるヘッダに第一の領域が配置されており、当該プロトコルによってカプセル化されたデータ（例えば、レイヤ３プロトコルが用いるヘッダ）に第二の領域が配置されていてもよい。
かかる構成によると、複数の領域において、送信元情報が整合していない限り、異常フレームとみなされてブロックの対象となる。すなわち、鍵やテーブルなど、外部の情報との照合を行わずとも異常フレームの判定が行えるため、低コストかつ高い応答性でフィルタリングを実現することができる。
なお、本発明におけるフレームは、必ずしもデータリンク層（ＯＳＩ参照モデルにおけるレイヤ２）に対応するものでなくてもよい。

また、前記第一の領域は、前記フレーム内の所定のヘッダ部に含まれ、前記第二の領域は、前記ヘッダ部に対応するペイロード部に含まれることを特徴としてもよい。

所定のヘッダ部は、いずれのネットワークレイヤに対応するものであってもよい。
かかる構成によると、ヘッダ部とペイロード部が整合しない限り、フレームが通過できなくなる。すなわち、ヘッダ部のみを書き換え、ペイロード部を流用することによる単純攻撃を行うことができなくなる。

また、前記フレームはイーサネットフレームであり、前記第一の領域は、前記イーサネットフレームのヘッダにおいて、送信元ＭＡＣアドレスが格納されるフィールドであり、前記第二の領域は、前記イーサネットフレームにカプセル化されたＩＥＥＥ１７２２フレームにおいて、ストリームＩＤが格納されるフィールドであることを特徴としてもよい。

フレームの送信元が複数の領域に格納される代表的なプロトコルとして、イーサネット（登録商標）フレームにカプセル化されたＩＥＥＥ１７２２フレームがある。
ＩＥＥＥ１７２２フレームにおいては、フレームを識別するために、ストリームＩＤと称される識別子が用いられる。当該識別子は、送信元ＭＡＣアドレスを含んで構成することができるため、イーサネットフレームのヘッダに格納された送信元ＭＡＣアドレスとの突き合わせを行うことができる。すなわち、イーサネットフレームのヘッダに含まれる送信元ＭＡＣアドレスが第一の領域であり、ＩＥＥＥ１７２２フレームに含まれるストリームＩＤが第二の領域となる。
ＩＥＥＥ１７２２は、オーディオ・ビデオ・ブリッジング（ＡＶＢ）によって利用されるプロトコルであり、時間的な制約が大きい通信を確実に行うことを目的としたプロトコルである。すなわち、当該プロトコルを利用する装置においては、少ない処理コストが求められるため、本発明に係るフィルタリング装置を好適に適用することができる。

また、前記フィルタ手段は、前記第二の領域からストリームＩＤを取得し、前記ストリームＩＤに対して所定の演算を行うことで送信元ＭＡＣアドレスを取得し、当該送信元ＭＡＣアドレスを、前記第一の領域から取得した送信元ＭＡＣアドレスと比較することを特徴としてもよい。

ＩＥＥＥ１７２２規格では、ストリームＩＤの所定のビット位置に送信元ＭＡＣアドレ
スが格納されているため、簡易な演算によって送信元ＭＡＣアドレスを取得することができる。

なお、本発明は、上記手段の少なくとも一部を含むフィルタリング装置として特定することができる。また、前記フィルタリング装置が実行するフィルタリング方法として特定することもできる。また、前記フィルタリング装置を含む車載ネットワークシステムとして特定することもできる。上記処理や手段は、技術的な矛盾が生じない限りにおいて、自由に組み合わせて実施することができる。

本発明によれば、不正なデータの検出を少ない処理コストで行うことができるフィルタリング装置を提供することができる。

実施形態に係るブリッジ装置のシステム構成図である。 ＡＶＢＴＰフレームのフォーマット図である。 ＩＥＥＥ１７２２フレームのフォーマット図である。 実施形態に係るブリッジ装置の処理フローチャート図である。

（第一の実施形態）
<システム構成>
以下、本発明の好ましい実施形態について図面を参照しながら説明する。
第一の実施形態に係るブリッジ装置１０は、車載ネットワークにおいて、複数のネットワーク間を流れるフレームを中継する装置である。より具体的には、ＩＥＥＥ８０２．１ＡＶＢ（オーディオ・ビデオ・ブリッジ）規格のイーサネット（登録商標）フレームを中継する装置である。

ＩＥＥＥ８０２．１ＡＶＢは、イーサネット網を利用してマルチメディア機器やコンピュータを相互接続するための規格である。当該規格により、遅延の少ない通信を実現することができる。本実施形態では、ストリーム中継方式を規定するプロトコルであるＩＥＥＥ８０２．１Ｑａｖプロトコルと、当該プロトコルで利用される上位プロトコルであるＩＥＥＥ１７２２プロトコルを用いて構成されたフレームを転送する例について述べる。ＩＥＥＥ８０２．１Ｑａｖはレイヤ２プロトコルであるため、通常のイーサネットフレームと同様に、ＭＡＣアドレスに基づいてフレームの交換が行われる。

図１は、本実施形態に係るブリッジ装置１０のシステム構成図である。
ブリッジ装置１０は、第一通信部１１、フィルタ部１２、第二通信部１３、ヘッダ処理部１４、ストリームＩＤ処理部１５、比較部１６から構成される。

第一通信部１１は、転送対象のフレームをネットワークＡから受信する手段である。第一通信部１１は、ネットワークに接続することができれば、有線ネットワークインタフェースであってもよいし、無線ネットワークインタフェースであってもよい。

フィルタ部１２は、第一通信部１１が受信したフレームを転送する手段である。具体的には、受信したフレームに含まれる送信元のＭＡＣアドレスと、宛先（送信先）のＭＡＣアドレスに基づいて、当該フレームを所定のポートに転送する。
また、フィルタ部１２は、後述する比較部１６から発行された指示に従って、第一通信部１１が受信したフレームをブロックする。ブロック判定がなされたフレームは、前述した処理に回されることなく破棄される。

第二通信部１３は、転送対象のフレームをネットワークＢに送信する手段である。第一通信部１１と同様に、ネットワークに接続することができれば、その種類は問わない。
なお、本実施形態では、第一通信部１１がフレームを受信し、第二通信部１３がフレームを送信するものとして記載しているが、役割を入れ替え、ネットワークＢからネットワークＡにフレームを転送する構成としてもよい。この場合、第一通信部１１として利用されていたネットワークインタフェースが第二通信部１３として機能し、第二通信部１３として利用されていたネットワークインタフェースが第一通信部１１として機能する。

ヘッダ処理部１４は、第一通信部１１が受信したフレームから、ＩＥＥＥ８０２．１Ｑａｖのヘッダ情報を抽出し、当該フレームの送信元ＭＡＣアドレスを取得する手段である。

また、ストリームＩＤ処理部１５は、第一通信部１１が受信したフレームから、ＩＥＥＥ１７２２のヘッダ情報に含まれるストリームＩＤを抽出し、当該フレームの送信元ＭＡＣアドレスを取得する手段である。具体的な方法については後述する。

比較部１６は、ヘッダ処理部１４およびストリームＩＤ処理部１５が取得したＭＡＣアドレスを比較し、その比較結果に基づいて、フィルタ部１２を制御する手段である。具体的には、ヘッダ処理部１４およびストリームＩＤ処理部１５が取得した送信元ＭＡＣアドレスが互いに一致しない場合、フィルタ部１２に対して、当該フレームを破棄する指示を行い、一致した場合、当該フレームを通過させる指示を行う。
以上に説明したフィルタ部１２、ヘッダ処理部１４、ストリーム処理部１５、比較部１６が、本発明におけるフィルタ手段である。

以上に説明した各手段の制御は、専用のハードウェアによって実現されてもよいが、制御プログラムをＣＰＵなどの処理装置（不図示）が実行することによって実現されてもよい。また、当該機能は、ＦＰＧＡ（Field-programmable Gate Array）やＡＳＩＣ（Application Specific Integrated Circuit）などによって実現されてもよいし、これらの組合せによって実現されてもよい。

<フレームフォーマット>
処理の説明に入る前に、ＩＥＥＥ８０２．１ＱａｖおよびＩＥＥＥ１７２２のフレームフォーマットについて説明する。図２は、ＩＥＥＥ８０２．１Ｑａｖにて利用されるフレーム（以下、ＡＶＢＴＰフレーム）のフォーマットを示した図である。
ＡＶＢＴＰフレームは、先頭から、送信先のＭＡＣアドレス（４８ビット）、送信元のＭＡＣアドレス（４８ビット）、ＶＬＡＮタグ情報（３２ビット）、イーサタイプ（１６ビット）が配置され、続いてペイロードが配置される。

図３は、ＡＶＢＴＰフレームにカプセル化される、ＩＥＥＥ１７２２フレームのフォーマットを示した図である。ストリームＩＤとは、フレームが同じ通信のまとまりであることを送受信者間で共有するために用いられる値であり、通信単位ごとに一意な値である。具体的には、送信元のＭＡＣアドレス（４８ビット）と、通信単位に固有のＩＤ（１６ビット）が連結されたものである。

<処理フローチャート>
図４は、本実施形態に係るブリッジ装置がフレームを転送する処理のフローチャートである。当該処理は、第一通信部１１がフレームを受信したタイミングで開始される。

まず、ステップＳ１１で、ヘッダ処理部１４が、受信したＡＶＢＴＰフレームのヘッダ
から、送信元ＭＡＣアドレスが格納されている領域を抽出し、送信元ＭＡＣアドレスを取得する。
次に、ステップＳ１２で、ストリームＩＤ処理部１５が、ＡＶＢＴＰフレームに含まれるＩＥＥＥ１７２２フレームを抽出し、ストリームＩＤが格納されている領域を抽出したうえで、当該ストリームＩＤに含まれる送信元ＭＡＣアドレスを取得する。取得されたＭＡＣアドレスは、共に比較部１６に送信される。

次に、ステップＳ１３で、比較部１６が、取得したＭＡＣアドレスが互いに一致しているかを判定し、一致していた場合、フィルタ部１２に対して、当該フレームを通過させる指示を行う。この結果、ステップＳ１４にて、当該フレームが転送され、第二通信部１３からネットワークＢに送信される。
一方、取得したＭＡＣアドレスが互いに一致していない場合、フィルタ部１２に対して、当該フレームをブロックする指示を行う。この結果、ステップＳ１５にて、当該フレームが破棄される。

以上に説明したように、本実施形態に係るブリッジ装置１０は、ＡＶＢＴＰフレームと、当該フレームにカプセル化された情報との整合性を検証する。これにより、ＡＶＢＴＰフレームのヘッダに含まれる送信元を書き換えることで行われる攻撃を防ぐことができる。
また、外部の情報を参照することなく、異常なフレームを発見することができるため、時間的な制約を守りつつ、フレームのフィルタリングを実現することができる。

（変形例）
上記の実施形態はあくまでも一例であって、本発明はその要旨を逸脱しない範囲内で適宜変更して実施しうる。
例えば、実施形態の説明では、第一通信部１１および第二通信部１３を一つずつ例示したが、フレームを受信する手段および送信する手段が複数個あり、記憶された情報に基づいて所定のポートにフレームが転送される構成であってもよい。すなわち、ブリッジでなく、スイッチとして実施してもよい。

また、実施形態の説明では、フィルタリングを行う対象としてＡＶＢＴＰフレームを例示したが、フレームの送信元を識別するための情報が複数の領域に格納されており、正常なデータにおいてそれらが整合しているプロトコルであれば、フィルタリングの対象は他プロトコルのフレームないしパケットであってもよい。また、実施形態の説明では、送信元を識別する情報としてＭＡＣアドレスを例示したが、送信元を識別することができれば、他の情報を用いてもよい。
また、実施形態の説明では、レイヤ２におけるブリッジ装置を例示したが、他のレイヤに対応する装置であってもよい。例えばレイヤ３スイッチなどであってもよい。

１０ ブリッジ装置
１１ 第一通信部
１２ フィルタ部
１３ 第二通信部
１４ ヘッダ処理部
１５ ストリームＩＤ処理部
１６ 比較部

Claims (6)

1. フレームを受信する第一のネットワークインタフェースと、
   前記受信したフレームに対してフィルタリングを行うフィルタ手段と、
   前記フィルタ手段を通過したフレームを送信する第二のネットワークインタフェースと、
   を有し、
   前記フィルタ手段は、受信したフレームから、当該フレームの送信元を表す情報がそれぞれ格納されている第一の領域および第二の領域を抽出し、前記複数の領域にそれぞれ格納されている送信元情報が互いに一致しない場合に、当該フレームを通過させない、
   フィルタリング装置。
2. 前記第一の領域は、前記フレーム内の所定のヘッダ部に含まれ、
   前記第二の領域は、前記ヘッダ部に対応するペイロード部に含まれる、
   請求項１に記載のフィルタリング装置。
3. 前記フレームはイーサネットフレームであり、
   前記第一の領域は、前記イーサネットフレームのヘッダにおいて、送信元ＭＡＣアドレスが格納されるフィールドであり、
   前記第二の領域は、前記イーサネットフレームにカプセル化されたＩＥＥＥ１７２２フレームにおいて、ストリームＩＤが格納されるフィールドである、
   請求項２に記載のフィルタリング装置。
4. 前記フィルタ手段は、前記第二の領域からストリームＩＤを取得し、前記ストリームＩＤに対して所定の演算を行うことで送信元ＭＡＣアドレスを取得し、当該送信元ＭＡＣアドレスを、前記第一の領域から取得した送信元ＭＡＣアドレスと比較する、
   請求項３に記載のフィルタリング装置。
5. フレームをフィルタリングするフィルタリング装置が行うフィルタリング方法であって、
   フレームを受信する受信ステップと、
   前記受信したフレームに対してフィルタリングを行うフィルタステップと、
   前記フィルタ手段を通過したフレームを送信する送信ステップと、
   を含み、
   前記フィルタステップでは、受信したフレームから、当該フレームの送信元を表す情報がそれぞれ格納されている第一の領域および第二の領域を抽出し、前記複数の領域にそれぞれ格納されている送信元情報が互いに一致しない場合に、当該フレームを通過させない、
   フィルタリング方法。
6. 車載された複数のネットワークと、当該複数のネットワーク間での通信データの受け渡しを実行するブリッジ装置とを備え、
   前記ブリッジ装置は、
   フレームを受信する第一のネットワークインタフェースと、
   前記受信したフレームに対してフィルタリングを行うフィルタ手段と、
   前記フィルタ手段を通過したフレームを送信する第二のネットワークインタフェースと、
   を有し、
   前記フィルタ手段は、受信したフレームから、当該フレームの送信元を表す情報がそれぞれ格納されている第一の領域および第二の領域を抽出し、前記複数の領域にそれぞれ格
   納されている送信元情報が互いに一致しない場合に、当該フレームを通過させない、
   車載ネットワークシステム。

Images