JP2021005821A - 異常検出装置 - Google Patents

Abstract

【課題】速やか、かつ、処理負荷を抑えて不正な通信データが送信されたことによる異常を検出することができる異常検出装置を提供する。【解決手段】中継器２０は、メッセージフレームを受信する振分バッファ２４と、振分バッファ２４で受信したメッセージフレームのうち不定期フレームについて、送信間隔に関する値を求め、求めた送信間隔に関する値が所定の閾値以下である場合は、当該不定期に送信されるメッセージフレームを異常と判定し、異常と判定した結果を出力する制御部２１と、を備えている。【選択図】図２

Description

本発明は、ネットワークに接続された機器等に対する攻撃等の異常を検出する異常検出装置に関する。

近年、車両には多数の電子制御ユニット（Electronic Control Unit：ＥＣＵともいう）が搭載され、それらはネットワークで接続される。そして、各ＥＣＵは、制御対象の車載機器の制御などに必要な情報を、他のＥＣＵに対して送受信する。このようにして、ＥＣＵ同士は相互に通信することにより、協調動作する。

車両に搭載されるネットワークにおいては、不正行為の意図を持った者が不正な装置をネットワーク上に設けて、当該不正な装置から不正な情報を送信することにより、ＥＣＵ間の通信をしたり、ＥＣＵを誤動作させたりするなどの問題がある。

例えば特許文献１には、ＥＣＵ１４は、ＣＡＮ２４から受信したフレームに対するメッセージ認証の結果に基づいてフレームが不正かを判定する第１判定と、フレームの態様と予め定められたルールとに基づいてフレームが不正かを判定する第２判定とを実行することが記載されている。そして、ＥＣＵ１４は、第１判定の結果と第２判定の結果との組み合わせに応じて、車両監視サーバ１００へ通報する内容または通報の優先度を変更することが記載されている。

特開２０１８−１６０７８６号公報

特許文献１に記載の方法では、各フレームＩＤに対してメッセージ認証やフレームの態様を判定する必要があり、そのためにＥＣＵ等において処理負荷がかかる。例えば、ＤｏＳ攻撃（Denial of Service attack）にように過剰な負荷が掛けられた場合、メッセージ認証やフレームの態様の判定処理がしきれなくなるおそれがある。

そこで、本発明は、上記のような問題点に鑑み、処理負荷を抑え、かつ、速やかに不正な通信データが送信されたことによる異常を検出することができる異常検出装置を提供することを課題とする。

上記課題を解決するためになされた発明は、識別子が設定された通信データを受信する受信部と、前記受信部で受信した前記通信データのうち不定期に送信されることが予定される特定通信データについて、送信間隔に関する値を求める演算部と、前記演算部で求めた前記送信間隔に関する値と、所定の閾値と、に基づいて、前記特定通信データを異常と判定する判定部と、前記判定部が異常と判定した結果を出力する出力部と、を備えることを特徴とする異常検出装置である。

以上説明したように本発明によれば、不定期に送信される通信データの送信間隔に関する値に基づいて異常の判定をすることができる。不定期に送信される通信データは通常、短い期間に連続して送信されることはないので、不正な通信データが送信されたと容易に判定できる。したがって、処理負荷を抑え、かつ、速やかに不正な通信データが送信されたことによる異常を検出することができる。

本発明の第１の実施形態にかかる異常検出装置を備える中継器を有する車内通信ネットワークの概略構成図である。 図１に示された中継器の機能構成図である。 図１に示された中継器における異常検出動作のフローチャートである。 本発明の第２の実施形態にかかる異常検出動作のフローチャートである。 単位時間あたりのカウント数の算出方法の説明図である。 本発明の第３の実施形態にかかる異常検出動作のフローチャートである。

（第１実施形態）
以下、本発明の第１の実施形態を図面に基づいて説明する。図１は、本発明の第１の実施形態にかかる占有率算出装置を備える中継器を有する車内通信ネットワークの概略構成図である。

車内通信ネットワーク１は、自動車等の車両に設置されている。そして、図１に示すように、車内通信ネットワーク１は、中継器２０と、ＥＣＵ１０と、を備えている。また、車内通信ネットワーク１は、中継器２０に３系統のバスＢ１〜Ｂ３が接続され、各バスＢ１〜Ｂ３にそれぞれ複数のＥＣＵ１０が接続されている。なお、ＥＣＵ１０の数は図示した数に限らず、車内通信ネットワーク１に用いられている通信プロトコルにおける上限の範囲であれば限定されない。

ここで、ＥＣＵとは、電子制御ユニットを示し、様々な車載機器を制御するものである。そのため、ＥＣＵ１０には車載機器が負荷として接続されている（図１では不図示）。また、本実施形態では、バスＢは、ＣＡＮ（Controller Area Network）の通信プロトコルに従って各ＥＣＵ間の通信が行われている。なお、ＣＡＮに限らず、ＣＡＮ ＦＤ（CAN with Flexible Data-Rate）等他の通信プロトコルであってもよいが、以下に説明するように、定期的に送信されることが予定される通信データ（定期フレーム）と不定期に送信されることが予定される通信データ（不定期フレーム）とを設定できるものがよい。

ＥＣＵ１０は、一般的にＣＰＵ（中央演算処理装置）やＲＯＭ（読み出し専用メモリ）、ＲＡＭ（随時書き込み読み出しメモリ）等のメモリを有するマイクロコンピュータ（マイコン）及び通信回路等を備えている。そして、ＲＯＭに格納された制御プログラムをＣＰＵが実行することで、自身に接続された負荷を制御するとともに、ＥＣＵの全体制御を司る。

中継器２０は、例えばバスＢ１とバスＢ２等の別系統のバス間の通信を中継する機能を有する。また、中継器２０は、異常検出装置を備える。図２に中継器２０の機能的構成を示す。図２は、主に異常検出装置にかかる部分の構成を示したものである。中継器２０は、バスＢ１〜Ｂ３上を伝送される通信データとしてのメッセージフレームは全て受信することができる。

なお、本実施形態では、中継器２０が異常検出装置を備えるが、ＥＣＵ１０に異常検出装置を備えてもよい。但し、ＥＣＵ１０のような末端で異常検出するよりも、ＥＣＵ１０へ中継する装置で異常を検出した方が、伝送途中で不正なメッセージフレームの破棄等の対処をすることが可能となる。そのため、ＥＣＵ１０における処理負荷を軽減することができる。

図２に示したように、中継器２０は、制御部２１と、受信ＢＯＸ２２と、ルーティングバッファ２３と、振分バッファ２４と、送信ＢＯＸ２５と、を備えている。

また、制御部２１は、ＣＰＵやＲＯＭ、ＲＡＭ等のメモリを有するマイコンで構成されている。受信ＢＯＸ２２、ルーティングバッファ２３、振分バッファ２４及び送信ＢＯＸ２５をそれぞれ制御して中継器２０の全体制御を司る。また、制御部２１は、振分バッファ２４に格納されたメッセージフレームに基づいて不正なメッセージフレームの受信等の異常の検出動作を行う。

受信ＢＯＸ２２は、受信ＢＯＸ２２ａ〜２２ｃの３つから構成されている。受信ＢＯＸ２２は、送信側のＥＣＵ１０から入力されたメッセージフレームを受信して一時的に蓄積する。図２では、図１に示したようにバスＢ１〜Ｂ３に対応して受信ＢＯＸ２２は３つであるが、３つに限らず１以上であればよい。

ルーティングバッファ２３は、受信ＢＯＸ２２に格納されたメッセージフレームを不定期フレームか、定期的フレームかに応じて振分バッファ２４ａ〜２４ｃへ振り分ける。ルーティングバッファ２３における振り分けは、例えばメッセージフレームのＩＤにより判断すればよい。つまり、本実施形態では、メッセージフレーム（通信データ）に設定されている識別子であるＩＤにより定期フレームか不定期フレームかが予め定められている。

振分バッファ２４は、振分バッファ２４ａ〜２４ｃの３つから構成されている。図２では振分バッファ２４ａ及び２４ｃが定期的フレーム用、振分バッファ２４ｂが不定期フレーム用となっている。図２では、定期的フレーム用が２つあるが、１つであってもよいのは勿論である。なお、振分バッファ２４は、複数のメモリ等から構成されるに限らず、１つのメモリを複数の領域に分割して構成してもよい。

送信ＢＯＸ２５は、振分バッファ２４に格納されたメッセージフレームを所定のタイミングで各バスＢ１〜Ｂ３に接続される受信側のＥＣＵ１０に送信する。

次に、上述した構成の中継器２０における異常検出方法について図３のフローチャートを参照して説明する。

まず、制御部２１は、振分バッファ２４ｂを確認することで不定期フレームを受信したか否か判断する（ステップＳ１０１）。不定期フレームを受信した場合（ステップＳ１０１：Ｙ）は、制御部２１内部に設けられた時間を計測するカウンタをスタートさせる（ステップＳ１０２）。即ち、振分バッファ２４がメッセージフレーム（通信データ）を受信する受信部として機能する。また、制御部２１は、振分バッファ２４（受信部）で受信したメッセージフレーム（通信データ）のうち不定期に送信されることが予定されるメッセージフレーム（特定通信データ）について、受信した時点からの時間の計測を開始している。

次に、制御部２１は、ステップＳ１０２でスタートしたカウンタが予め定めた閾値までカウントしたか否か判断する（ステップＳ１０３）。閾値までカウントした場合（ステップＳ１０３：Ｙ）は、閾値までのカウントの間に同じＩＤのメッセージフレームを受信していないので、ステップＳ１０１で受信したメッセージフレームは正常と判定する（ステップＳ１０４）。そして、カウンタを停止させるとともにリセットし（ステップＳ１０５）、ステップＳ１０１へ戻る。なお、正常と判定されたメッセージフレームは、そのまま送信ＢＯＸ２５から送信先のＥＣＵ１０へ送信される。

一方、ステップＳ１０２でスタートしたカウンタが閾値までカウントしていない場合（ステップＳ１０３：Ｎ）は、制御部２１は、不定期フレームを受信したか再度判断する（ステップＳ１０６）。このステップＳ１０６で判断する不定期フレームは、ステップＳ１０１で受信したと判断したのと同じＩＤのメッセージフレームである。

ステップＳ１０６で不定期フレームを受信していない場合（ステップＳ１０６：Ｎ）は、ステップＳ１０３へ戻る。ステップＳ１０６で不定期フレームを受信した場合（ステップＳ１０６：Ｙ）は、制御部２１は、閾値までカウントする前に不定期フレームを受信したので不定期フレームの間隔として短過ぎるとため異常と判定する（ステップＳ１０７）。そして、制御部２１は、ステップＳ１０７の判定結果（異常）を外部に出力する（ステップＳ１０８）。ステップＳ１０８での出力先は、例えばドライバーに異常発生を警告するための表示器でもよいし、異常をログとして記録するための記録装置でもよい。即ち、制御部２１は、計測した時間が所定の閾値以下である場合は、異常と判定している。また、異常と判定されたメッセージフレームは振分バッファ２４から削除することで、破棄する。

このように、制御部２１は、振分バッファ２４（受信部）で受信したメッセージフレーム（通信データ）のうち不定期に送信されることが予定されるメッセージフレームについて、閾値までのカウント（送信間隔に関する値）を求める演算部と、演算部で求めた送信間隔が所定の閾値以下である場合は、異常と判定する判定部と、判定部が異常と判定した結果を出力する出力部と、して機能する。

図３のフローチャートで説明した閾値は、不定期フレームの間隔を規定するものである。したがって、この閾値は、不定期フレームの示す内容等に応じて適宜設定される。つまり、ＩＤ毎に閾値を設定してもよい。また、カウントもＩＤ毎に行うが、全てのＩＤではなく、予め監視するＩＤを決めて、そのＩＤのみカウントするようにしてもよい。

また、図３のフローチャートでは、閾値まで時間を計測（カウント）することで、時間間隔の計測処理の負荷を軽減している。本実施形態における不定期フレームは、例えばパワーウィンドウやドアロック等の操作等により発生するメッセージフレームが挙げられ、人為的な操作により発生するものが多い。そのため、例えば、数十ミリ秒といった間隔で発生することはない。しかし、正常な場合の不定期フレームのフレーム間隔を計測するためには膨大な時間を計測することになりかねない。そこで、異常な間隔と判定される時間の上限を閾値として設定し、その閾値までカウントすることで、閾値を超えた場合は正常な時間間隔とすることができ、演算処理の負荷を軽減できる。

また、図３のフローチャートのように、閾値まで時間を計測するに限らず、不定期フレーム間の時間間隔を計測するようにしてもよい。但し、上述したように、図３のフローチャートの方法の方が、送信間隔に関する値を求める演算処理の負荷を軽減できる。

本実施形態によれば、中継器２０は、メッセージフレームを受信する振分バッファ２４と、振分バッファ２４で受信したメッセージフレームのうち不定期フレームについて、送信間隔に関する値を求め、求めた送信間隔に関する値が所定の閾値以下である場合は、当該不定期に送信されるメッセージフレームを異常と判定し、異常と判定した結果を出力する制御部２１と、を備えている。

中継器２０が上記のように構成されることにより、不定期フレームの送信間隔に関する値に基づいて異常の判定をすることができる。不定期フレームは通常、短い期間に連続して送信されることはないので、不正なメッセージフレームが送信されたと容易に判定できる。したがって、処理負荷を抑え、かつ、速やかに不正なメッセージフレームが送信されたことによる異常を検出することができる。

また、制御部２１は、振分バッファ２４で受信したメッセージフレームのうち不定期フレームについて、受信した時点からの時間を計測し、計測した時間が所定の閾値以下である場合は、異常と判定している。制御部２１がこのように動作するので、不定期フレームの送信間隔が短すぎる場合は、異常と判定することができる。

また、受信した時点からの時間の計測を閾値までとすることで、２つのメッセージフレームの時間間隔そのものを計測する必要が無く、送信間隔に関する値を求める演算処理の負荷を軽減することができる。

また、制御部２１は、メッセージフレームに設定されているＩＤに基づいて不定期に送信されるメッセージフレームを識別しているので、メッセージフレームのＩＤを確認するのみで不定期フレームを識別することが可能となり、不定期フレームの識別を容易にすることができる。

（第２実施形態）
次に、本発明の第２の実施形態を図４及び図５を参照して説明する。なお、前述した第１の実施形態と同一部分には、同一符号を付して説明を省略する。

本実施形態は、中継器２０における異常検出方法が異なる。本実施形態における異常検出方法について図４のフローチャートを参照して説明する。

まず、ルーティングバッファ２３が不定期フレームを受信し（ステップＳ２０１）、当該不定期フレームをルーティングバッファ２３が不定期用振分バッファ２４ｂへ格納する（ステップＳ２０２）。

次に、制御部２１は、不定期用振分バッファ２４ｂに格納された不定期フレームをカウントする（ステップＳ２０３）。

このカウントはＩＤ毎に行う。次に、ステップＳ２０３でカウントされた数（フレーム数）について、単位時間あたりのカウント数（受信数）を算出する（ステップＳ２０４）。単位時間あたりのカウント数の算出方法としては、例えば１秒間等の時間を単位時間として、当該単位時間内のカウント数を算出すればよい。

また、単位時間あたりのカウント数の算出方法としては、定期フレームの周期に基づいて算出してもよい。具体例を図５を参照して説明する。図５は、定期フレームと不定期フレームを示したタイミングチャートである。

図５に示したように、定期的フレームは、その周期が予め定められている。そこで、例えば定期的フレームの１周期（１Ｔ）に何回不定期フレームが送信されているかをカウントすることで、単位時間あたりのカウント数を算出することができる。なお、図５では、定期フレーム１周期の期間で単位時間あたりのカウント数を算出しているが、１周期に限らず複数周期であってもよい。即ち、単位時間として、定期的に送信される通信データの周期を用いている。

図４のフローチャートに戻る。次に、制御部２１は、ステップＳ２０４で算出された単位時間あたりのカウント数が予め定められている閾値以上か否か判断する（ステップＳ２０５）。単位時間あたりのカウント数が大きいということは、定期フレームの平均送信間隔時間が短いということであるため、カウント数は送信間隔に関する値となる。ステップＳ２０５の判断の結果、閾値以上でない場合（ステップＳ２０５：Ｎ）は、ステップＳ１０４と同様に正常と判定し、終了する。また、正常と判定されたメッセージフレームは、そのまま送信ＢＯＸ２５から送信先のＥＣＵ１０へ送信される。

本実施形態において説明した閾値も、第１の実施形態と同様に、不定期フレームの示す内容等に応じて適宜設定される。つまり、ＩＤ毎に閾値を設定してもよい。また、カウントもＩＤ毎に行うが、全てのＩＤではなく、予め監視するＩＤを決めて、そのＩＤのみカウントするようにしてもよい。

一方、閾値以上である場合（ステップＳ２０５：Ｙ）は、制御部２１は、不定期フレームの送信間隔として短過ぎるため異常と判定する（ステップＳ２０７）。そして、制御部２１は、ステップＳ２０７の判定結果（異常）を外部に出力する（ステップＳ２０８）。また、異常と判定されたメッセージフレームは振分バッファ２４から削除することで、破棄する。

本実施形態によれば、制御部２１は、振分バッファ２４で受信したメッセージフレームのうち不定期フレームについて、定期フレームの周期を用いて、単位時間当たりの受信数を算出し、算出した受信数が所定の閾値以上である場合は、当該不定期フレームを異常と判定する。制御部２１がこのように動作するので、不定期フレームの送信間隔といった時間を計測しなくても異常の判定をすることができる。

（第３実施形態）
次に、本発明の第３の実施形態を図６を参照して説明する。なお、前述した第１の実施形態と同一部分には、同一符号を付して説明を省略する。

第１、第２の実施形態は、不定期フレームについて、その時間間隔の異常を検出していたが、本実施形態では、定期フレームについての周期の異常を検出する。つまり、定期フレームが特定通信データとなる。

本実施形態で対象とするのは、定期フレームであるので、周期を計測して、当該フレームのＩＤ等から設定されている周期と比較して短すぎる場合は異常と判定してもよいが、図６のフローチャートのような方法で行ってもよい。

まず、ルーティングバッファ２３が定期フレームを受信し（ステップＳ３０１）、当該定期フレームをルーティングバッファ２３が定期用振分バッファ２４ａ又は２４ｃへ格納する（ステップＳ３０２）。

次に、制御部２１は、定期用振分バッファ２４ａ又は２４ｃに格納された定期フレームをカウントする（ステップＳ３０３）。

このカウントはＩＤ毎に行う。次に、ステップＳ３０３でカウントされた数（フレーム数）について、単位時間あたりをカウント数（受信数）を算出する（ステップＳ３０４）。単位時間あたりのカウント数の算出方法としては、例えば１秒間等の時間を単位時間として、当該単位時間内のカウント数を算出すればよい。

また、単位時間あたりのカウント数の算出方法としては、図５で説明した方法を応用してもよい。図５の場合は、不定期フレームのカウント数算出に定期フレームを利用していたが、本実施形態のように定期フレームのカウント数算出に他の定期フレームの周期を利用してもよい。この場合、他の定期フレームは、対象となる定期フレームの周期よりも長い周期であることが好ましい。例えば対象となる定期フレームの周期が２０ミリ秒の場合であれば、他の定期フレームとしては１００ミリ秒等、対象となる定期フレームが複数回カウントできる周期のものが好ましい。

図６のフローチャートに戻る。次に、制御部２１は、ステップＳ３０４で算出された単位時間あたりのカウント数に基づいて定期フレームの平均周期を算出する。そして、算出された周期と、当該定期フレームについて予め定められている周期に基づいて定められている閾値以下か否か判断する（ステップＳ３０５）。閾値以下でない場合（ステップＳ３０５：Ｎ）は、ステップＳ１０４と同様に正常と判定し、終了する。正常と判定されたメッセージフレームは、そのまま送信ＢＯＸ２５から送信先のＥＣＵ１０へ送信される。

一方、閾値以下である場合（ステップＳ３０５：Ｙ）は、制御部２１は、定期フレームの周期として短過ぎるとため異常と判定する（ステップＳ３０７）。そして、制御部２１は、ステップＳ３０７の判定結果（異常）を外部に出力する（ステップＳ３０８）。また、異常と判定されたメッセージフレームは振分バッファ２４から削除することで、破棄する。

本実施形態において説明した閾値も、定期フレームの示す内容等に応じて適宜設定される。つまり、ＩＤ毎に閾値を設定してもよい。また、カウントもＩＤ毎に行うが、全てのＩＤではなく、予め監視するＩＤを決めて、そのＩＤのみカウントするようにしてもよい。

このように、制御部２１は、振分バッファ２４（受信部）で受信したメッセージフレーム（通信データ）のうち定期フレームについて、周期を求める演算部と、演算部で求めた周期が所定の閾値以下である場合は、異常と判定する判定部と、判定部が異常と判定した結果を出力する出力部と、して機能する。

本実施形態によれば、中継器２０は、メッセージフレームを受信する振分バッファ２４と、振分バッファ２４で受信したメッセージフレームのうち定期フレームについて、周期を求め、求めた周期が所定の閾値以下である場合は、異常と判定し、異常と判定した結果を出力する制御部２１と、を備えている。

中継器２０が上記のように構成されることにより、定期フレームの送信周期に基づいて異常の判定をすることができる。定期フレームの周期の異常を検出することで、不正なメッセージフレームが送信されたと容易に判定できる。したがって、速やか、かつ、処理負荷を抑えて不正なメッセージフレームが送信されたことによる異常を検出することができる。

なお、上述した実施形態では、車内通信ネットワーク１で説明したが、それに限らない。船舶や航空機等の他の移動体等に適用することもできる。

また、本発明は上記実施形態に限定されるものではない。即ち、当業者は、従来公知の知見に従い、本発明の骨子を逸脱しない範囲で種々変形して実施することができる。かかる変形によってもなお本発明の異常検出装置の構成を具備する限り、勿論、本発明の範疇に含まれるものである。

２０ 中継器（異常検出装置）
２１ 制御部（演算部、判定部、出力部）
２４ 送信バッファ（受信部）

Claims (6)

1. 識別子が設定された通信データを受信する受信部と、
   前記受信部で受信した前記通信データのうち不定期に送信されることが予定される特定通信データについて、送信間隔に関する値を求める演算部と、
   前記演算部で求めた前記送信間隔に関する値と、所定の閾値と、に基づいて、前記特定通信データを異常と判定する判定部と、
   前記判定部が異常と判定した結果を出力する出力部と、
   を備えることを特徴とする異常検出装置。
2. 前記演算部は、前記受信部で受信した前記特定通信データについて、受信した時点からの時間を計測し、
   前記判定部は、前記演算部で計測した前記時間が所定の閾値以下である場合は、当該特定通信データを異常と判定する、
   ことを特徴とする請求項１に記載の異常検出装置。
3. 前記演算部は、前記受信部で受信した前記通信データのうち前記特定通信データについて、単位時間当たりの受信数を算出し、
   前記判定部は、前記演算部で算出した前記受信数が所定の閾値以上である場合は、当該特定通信データを異常と判定する、
   ことを特徴とする請求項１に記載の異常検出装置。
4. 前記演算部は、前記単位時間として、定期的に送信されることが予定される通信データの周期を用いることを特徴とする請求項３に記載の異常検出装置。
5. 前記演算部は、前記識別子に基づいて前記不定期に送信される前記通信データを識別することを特徴とする請求項１から４のうちいずれか一項に記載の異常検出装置。
6. 識別子が設定された通信データを受信する受信部と、
   前記受信部で受信した前記通信データのうち定期的に送信されることが予定される特定通信データについて、送信周期を求める演算部と、
   前記演算部で求めた前記送信周期が所定の閾値以下である場合は、前記特定通信データを異常と判定する判定部と、
   前記判定部が異常と判定した結果を出力する出力部と、
   を備えることを特徴とする異常検出装置。

Images