JP2021027518A - 情報処理装置および正規通信判定方法 - Google Patents

Abstract

【課題】遅延した通信メッセージが周期通信の正規通信であることを正しく判定する。【解決手段】非周期通信および周期通信が可能な情報処理装置であって、通信メッセージの種別を判定する通信判定部と、種別が非周期通信であると判定された第１の通信メッセージと、種別が周期通信であると判定された第２の通信メッセージを受信する時間の予測範囲とを用いて、非周期通信と周期通信との関連性を判定する第１の処理判定部と、関連性があると判定された周期通信の第２の通信メッセージが、所定時間後の予測範囲にある場合、当該第２の通信メッセージは周期通信の正規通信であると判定する第２の処理判定部と、を備える。【選択図】 図３

Description

本発明は、情報処理装置および正規通信判定方法に関する。

自動車は、ＣＡＮ（Controller Area Network）やＦｌｅｘＲａｙ等の車載通信プロトコルを用いた車載ネットワークを介して、ＥＣＵ（Electronic Control Unit）間で通信メッセージを送受信して制御される。車載通信プロトコルの中で、例えば、ＣＡＮは、通信メッセージが通信バスに接続される全てのＥＣＵに送信されるという特徴を持ち、ＥＣＵから送信される多くの通信メッセージは、あらかじめ決まった周期間隔で送信される。

昨今、車載ネットワークと外部ネットワーク(例えば、インターネット、Ｗｉ−Ｆｉ、センサ)との接続によりユーザの利便性が向上した反面、車外からの攻撃によりＥＣＵが乗っ取られて不正な操作が可能になることが指摘されている。このような攻撃の検知手法のひとつとして、ＥＣＵが周期的に通信メッセージを送信する特徴を利用した検知手法がある。

例えば、特許文献１では、受信部がネットワーク中の通信装置から周期的に送信されるメッセージを受信し、予測部が所定のモニタ期間内に受信部が受信するメッセージの個数をメッセージの送信周期に基づいて予測し、カウント部がモニタ期間内に受信部が受信したメッセージの個数をカウントし、検出部が予測部により得られる予測値とカウント部により得られるカウント値との比較の結果に基づいて、ネットワークに対する攻撃を検出している。

特開２０１９−１２８９９号公報

ＣＡＮのように周期的に出力される通信メッセージであっても、通信の衝突や消失のために、周期的にメッセージを送受信できない場合がある。この場合、正規通信であったとしても、到着予測時刻から実際の受信時刻が離れるほど、当該通信が攻撃として誤検知される可能性が高まる。将来的に、周期通信の予測技術の精度向上や車載ネットワークの性能向上による通信メッセージの遅延が減少するにつれて、このような誤検知が減少することが予想される。言い換えると、周期通信の予測精度が良くなるために、攻撃の検知精度が向上することが予想される。

一方で、今後は、自動車のコネクティッド化が進むにつれて、無線通信を介したファームウェアアップデート技術であるＯＴＡ（Over the Air）などの非周期イベント型の通信の増加が見込まれる。既存の通信バスには多くのＥＣＵやＧＷ（Gate Way）等の通信可能な装置が接続されており、通信バスの使用率は高い状態であるため、今後は、非周期通信の増加に伴う周期通信の遅延が多く生じる可能性がある。すなわち、周期通信における攻撃の検知精度が向上したとしても、非周期通信の増加によって正規通信が誤検知される可能性がある。

この点、特許文献１では、上述のような非周期通信に起因する周期通信の遅延に伴う誤検知については言及されていない。また、特許文献１では、予測した通信メッセージの受信数と実際に受信した通信メッセージ数とを比較することで攻撃を検知するため、何らかの理由によりカウントしたメッセージ数にずれが生じ、正規通信であることを正しく判定できない場合には、攻撃として誤検知されてしまう可能性が依然として残る。このため、単に通信メッセージ数をカウントするのではなく、通信同士の関連性、特に周期通信と非周期通信との関連性に着目し、遅延した通信メッセージが周期通信の正規通信であることを正しく判定する技術の確立が必要である。

本発明の一側面としては、遅延した通信メッセージが周期通信の正規通信であることを正しく判定する技術を提供することを目的とする。

本発明の一態様にかかる情報処理装置は、非周期通信および周期通信が可能な情報処理装置であって、通信メッセージの種別を判定する通信判定部と、前記種別が非周期通信であると判定された第１の通信メッセージと、前記種別が周期通信であると判定された第２の通信メッセージを受信する時間の予測範囲とを用いて、非周期通信と周期通信との関連性を判定する第１の処理判定部と、関連性があると判定された周期通信の前記第２の通信メッセージが、所定時間後の前記予測範囲にある場合、当該第２の通信メッセージは周期通信の正規通信であると判定する第２の処理判定部と、を備えることを特徴とする情報処理装置として構成される。

本発明の一態様によれば、遅延した通信メッセージが周期通信の正規通信であることを正しく判定することができる。

本実施例における情報処理装置の機能構成例を示すブロック図である。 非周期通信受信時の処理の概要を示すシーケンス図である。 周期通信受信時の処理の概要を示すシーケンス図である。 図２Ｂにおける情報処理装置の詳細な処理手順を示すフローチャートである。 加算時間を用いて予測範囲を修正する処理（ステップＳ３１１）の処理手順を示すフローチャートである。 通信判断情報の例を示す図である。 フラグ検知情報の例を示す図である。 異常検知情報の例を示す図である（修正前）。 異常検知情報の例を示す図である（修正後）。 本実施例を用いた正規通信の検知方法の概念を説明する図である。

以下、図面を参照して本発明の実施形態を説明する。以下の記載および図面は、本発明を説明するための例示であって、説明の明確化のため、適宜、省略および簡略化がなされている。本発明は、他の種々の形態でも実施する事が可能である。特に限定しない限り、各構成要素は単数でも複数でも構わない。

図面において示す各構成要素の位置、大きさ、形状、範囲などは、発明の理解を容易にするため、実際の位置、大きさ、形状、範囲などを表していない場合がある。このため、本発明は、必ずしも、図面に開示された位置、大きさ、形状、範囲などに限定されない。

以下の説明では、「テーブル」、「リスト」等の表現にて各種情報を説明することがあるが、各種情報は、これら以外のデータ構造で表現されていてもよい。データ構造に依存しないことを示すために「ＸＸテーブル」、「ＸＸリスト」等を「ＸＸ情報」と呼ぶことがある。識別情報について説明する際に、「識別情報」、「識別子」、「名」、「ＩＤ」、「番号」等の表現を用いた場合、これらについてはお互いに置換が可能である。

同一あるいは同様な機能を有する構成要素が複数ある場合には、同一の符号に異なる添字を付して説明する場合がある。ただし、これらの複数の構成要素を区別する必要がない場合には、添字を省略して説明する場合がある。

また、以下の説明では、プログラムを実行して行う処理を説明する場合があるが、プログラムは、プロセッサ（例えばＣＰＵ（Central Processing Unit）、ＧＰＵ（Graphics Processing Unit））によって実行されることで、定められた処理を、適宜に記憶資源（例えばメモリ）および／またはインターフェースデバイス（例えば通信ポート）等を用いながら行うため、処理の主体がプロセッサとされてもよい。同様に、プログラムを実行して行う処理の主体が、プロセッサを有するコントローラ、装置、システム、計算機、ノードであってもよい。プログラムを実行して行う処理の主体は、演算部であれば良く、特定の処理を行う専用回路（例えばＦＰＧＡ（Field-Programmable Gate Array）やＡＳＩＣ（Application Specific Integrated Circuit））を含んでいてもよい。

プログラムは、プログラムソースから計算機のような装置にインストールされてもよい。プログラムソースは、例えば、プログラム配布サーバまたは計算機が読み取り可能な記憶メディアであってもよい。プログラムソースがプログラム配布サーバの場合、プログラム配布サーバはプロセッサと配布対象のプログラムを記憶する記憶資源を含み、プログラム配布サーバのプロセッサが配布対象のプログラムを他の計算機に配布してもよい。また、以下の説明において、２以上のプログラムが１つのプログラムとして実現されてもよいし、１つのプログラムが２以上のプログラムとして実現されてもよい。

以下では、複数の情報処理装置（例えば、車載システムの電子制御ユニットでの異常を検出する通信可能な情報処理装置）が接続した車載システムにおいて、ある情報処理装置が、他の情報処理装置から送信される通信の状況、例えば、非周期通信の有無、および非周期通信と周期通信との関連性を判定する。そして、周期通信による通信メッセージ（第２の通信メッセージ）の遅延は、非周期通信による通信メッセージ（第１の通信メッセージ）を受信した後の最初の周期通信の通信メッセージで発生すると考え、上記関連性があると判定された周期通信の上記最初の通信メッセージについて、正規通信であることを判定する。そして、上記最初の通信メッセージが遅延した場合であっても、以下に示すように、上記最初の通信メッセージの受信時間の予測範囲を修正して、正規通信であることの判定を再び行い、遅延した周期通信を正規通信として判定する。以下に本実施の形態にかかる情報処理装置、正規通信判定方法について詳細に説明するが、この例に限らず、例えば、車載システム以外の制御システムやＩＴ（Information Technology）システムなど、周期通信と非周期通信が混在する環境下にある様々な情報処理装置に適用することができる。

図１は、本実施例における情報処理装置の機能構成例を示すブロック図である。図１に示すように、情報処理装置１０は、通信部１００、情報取得部１１０、通信判定部１２０、異常判定部１３０、許容範囲演算部１４０、フラグ制御部１５０、異常判定情報更新部１６０、正常処理部１７０、異常処理部１８０、関連情報記憶部１９０を備える。関連情報記憶部１９０は、ハードウェアとしては、一般的なメモリ（例えば、ＲＡＭ（Random Access Memory））等の記憶媒体から構成され、通信判断情報１９１、異常判定情報１９２及びフラグ検知情報１９３を記憶する。情報処理装置１０は、通信バス２を介して他の情報処理装置と接続される。

ここで、情報処理装置１０の各機能構成を説明する前に、想定される情報処理装置の接続に関して述べる。

情報処理装置１０は、車両内部に複数ある情報処理装置の一つであり、例えば、ハードウェアとしては一般的なＥＣＵやＧＷを表す。車両内部では、複数の情報処理装置を用いて、バス型やスター型の通信システムが構築される。通信バス２の規格としては、例えば、ＣＡＮ、ＦｌｅｘＲａｙ、ＬＩＮ（Local Interconnect Network）、Ｅｔｈｅｒｎｅｔなどの、周期通信を行う様々な規格を用いることができるが、以下では、一例として、通信バス２としてＣＡＮが利用されているものとして説明する。

また、情報処理装置１０が有する上記各部の機能は、例えば、ＥＣＵのＣＰＵが、ＲＯＭ（Read Only Memory）からプログラムを読み出し、ＲＡＭに対して読み書きして処理を実行することにより実現される。上記プログラムは、ＵＳＢ(Universal Serial Bus)メモリ等の記憶媒体から読み出されたり、ネットワークを介した他のコンピュータ（例えば、ＥＣＵを管理するサーバやクラウド）からダウンロードする等して提供されてもよい。

ここからは、図１に示した情報処理装置１０の各機能について説明する。但し、下記で説明する機能の一部が、ＳＯＣ（Security Operation Center）などの車外システムや車内の他の機器に設けられていてもよい。

通信部１００は、通信バス２を介して、他の情報処理装置１０から送信されてきた通信メッセージを受信、または情報処理装置１０の処理結果を他の情報処理装置１０に対して送信する。

情報取得部１１０は、通信部１００が受信した通信メッセージから識別情報(ＣＡＮ ＩＤ)を読み取る。情報取得部１１０は、読み取ったＣＡＮ ＩＤに基づいて、受信した通信メッセージの受信時間を算出する。受信時間は、同じＣＡＮ ＩＤの通信メッセージについて、あるタイミングで受信した通信メッセージの受信時刻とその前のタイミングで受信した通信メッセージの受信時刻との間隔である。受信時間の算出方法は、情報処理装置１０が保持するタイマーを用いた方法や、情報処理装置１０で用いられているクロック、通信メッセージに付加されているタイムスタンプなどを用いることができる。なお、以下では、受信時刻の間隔を受信時間としているが、あるタイミングで通信メッセージを受信したことが検知できればよく、この場合、当該検知したタイミングの間隔を受信時間とすることができる。

通信判定部１２０は、情報取得部１１０が読み取ったＣＡＮ ＩＤを基に通信種別を判定する。通信判定部１２０は、通信種別を判定するために、関連情報記憶部１９０が記憶するテーブルである通信判断情報１９１（図５）を用いる。

図５は、通信判断情報１９１の例を示す図である。通信判断情報１９１は、ＣＡＮ ＩＤごとに通信種別を定めた情報であり、周期通信、非周期通信等の通信種別が分類されている。図５では、例えば、ＣＡＮ ＩＤが「０ｘ０１」で識別される通信は周期通信であることを示している。

また、通信判定部１２０は、受信した通信メッセージの通信種別が非周期通信であると判定した場合、フラグ制御部１５０に対して、関連情報記憶部１９０に記憶されるテーブルであるフラグ検知情報１９３（図６）に、非周期通信の通信メッセージを受信したことを示す非周期通信検知フラグ１９３２を記録するための指示をする。

図６は、フラグ検知情報１９３の例を示す図である。フラグ検知情報１９３は、非周期通信と周期通信との関連性の判定に用いられる情報である。フラグ検知情報１９３は、周期通信のＣＡＮ ＩＤごとに非周期通信検知フラグと異常時処理フラグとが対応付けて記憶される。図６では、例えば、ＣＡＮ ＩＤが「０ｘ０１」で識別される周期通信では、非周期通信検知フラグ１９３２および異常時処理フラグ１９３３にいずれも「１」が設定されていることを示している。また、非周期通信検知フラグ１９３２には、非周期通信のＣＡＮ ＩＤ「０ｘ０５」が対応付けて記憶され、非周期通信のＣＡＮ ＩＤを識別することができるようになっている。ＣＡＮ ＩＤが「０ｘ０３」で識別される通信についても同様に非周期通信のＣＡＮ ＩＤ「０ｘ０５」が記憶される。

異常判定部１３０は、通信判定部１２０が受信した通信メッセージの通信種別が周期通信であると判定した場合に行われる処理部である。異常判定部１３０は、非周期通信検知フラグ１９３２が設定されている非周期通信の通信メッセージの受信時刻が、後述する周期通信の受信時間の予測範囲内にあるか否かを判定する。なお、以下では、非周期通信の通信メッセージの受信時刻を用いて上記判定を行っているが、あるタイミングで非周期通信の通信メッセージを受信したことが検知できればよい。この場合、当該あるタイミングで検知した非周期通信の通信メッセージが上記予測範囲内にあるか否かを判定すればよい。

異常判定部１３０は、非周期通信検知フラグ１９３２が設定されている非周期通信の通信メッセージの受信時刻が、後述する周期通信の受信時間の予測範囲内にあると判定した場合、その非周期通信と周期通信とに関連性があると判定する。さらに、異常判定部１３０は、関連性があると判定した周期通信の通信メッセージが上記受信時間の予測範囲内にあるか否かを判定する。異常判定部１３０は、関連性があると判定した周期通信の通信メッセージが上記受信時間の予測範囲内にあると判定した場合、その周期通信の通信メッセージは正規通信による通信メッセージであると判定する。

一方、異常判定部１３０は、関連性があると判定した周期通信の通信メッセージが上記受信時間の予測範囲内にないと判定した場合、さらに、当該周期通信の通信メッセージが、後述する修正された受信時間の予測範囲内にあるか否かを判定する。異常判定部１３０は、当該周期通信の通信メッセージが、後述する修正された受信時間の予測範囲内にあると判定した場合、当該周期通信の通信メッセージは、関連性があると判定された非周期通信により遅延した、本来修正前の予測範囲で受信されるはずの正規通信による通信メッセージであると判断し、その周期通信の通信メッセージは正規通信による通信メッセージであると判定する。

異常判定部１３０は、これら以外の場合、受信された周期通信の通信メッセージが正規通信ではなく、異常の可能性があると判定する。この場合の具体的な処理については、図３を用いて後述する。

異常判定部１３０は、これらの判定をするために、関連情報記憶部１９０が記憶するテーブルである異常判定情報１９２（図７Ａ、７Ｂ）に記憶される許容範囲情報を用いる。許容範囲情報は、受信した通信メッセージの次に受信する通信メッセージを正規通信であると判定するための受信時間の予測範囲を示す情報である。図７Ａ、７Ｂでは、当該許容範囲情報として最小許容時間１９２２と最大許容時間１９２３とが定められ、受信時間の予測範囲がこれらの間にあれば正規通信と判定される。予測範囲は、最小許容時間１９２２から最大許容時間１９２３までの間の時間である。例えば、図７Ａでは、ＣＡＮ ＩＤが「０ｘ０１」で識別される通信は、予測範囲として許容される受信時間の最小値「９．８６秒」から最大値「９．８８秒」までの間であれば、正規通信として判定されることを示している。また、非周期通信検知フラグ１９３２が設定されている非周期通信の通信メッセージの受信時刻が上記最小値「９．８６秒」から最大値「９．８８秒」までの予測範囲内にある場合、その非周期通信（例えば、ＣＡＮ ＩＤ「０ｘ０５」）と周期通信（例えば、ＣＡＮ ＩＤ「０ｘ０１」）とに関連性があると判定される。なお、最小許容時間１９２２と最大許容時間１９２３の初期値は、例えば、異常判定部１３０が、周期１９２４の所定の倍数となる時間を用いてあらかじめ定めておけばよい。

許容範囲演算部１４０は、異常判定部１３０が、上記異常の可能性があると判定したが、その結果異常でないと判定した場合、上記受信時間の予測範囲を、加算時間１９２５を用いて修正する。また、許容範囲演算部１４０は、異常判定部１３０が、周期通信の通信メッセージが正規通信による通信メッセージであると判定した場合、次のタイミングで受信する通信メッセージの受信時間の予測範囲を、周期１９２４を用いて算出する。

フラグ制御部１５０は、通信判定部１２０により通信メッセージが非周期通信であると判定された場合、許容範囲演算部１４０において予測範囲が修正された場合、異常判定情報更新部１６０や正常処理部１７０、異常処理部１８０等の各部から命令された場合に、指示された命令に従ってフラグを制御する。

異常判定情報更新部１６０は、許容範囲演算部１４０が算出した次のタイミングで受信する通信メッセージの受信時間の予測範囲に基づいて、異常判定情報１９２に格納されている許容範囲情報を更新する。また、異常判定情報更新部１６０は、許容範囲演算部１４０が修正した後の通信メッセージの受信時間の予測範囲に基づいて、異常判定情報１９２に格納されている許容範囲情報を更新し、フラグ制御部１５０にフラグ検知情報１９３の異常時処理フラグ１９３３を設定する指示をする。例えば、異常判定情報更新部１６０は、フラグ制御部１５０に対して、異常時処理フラグ１９３３の値を「０」から「１」に更新する指示をする。

正常処理部１７０は、異常判定部１３０が、周期通信の通信メッセージが正規通信による通信メッセージであると判定した場合、正常時処理として、受信した通信メッセージで指示された制御処理を実行する。また、正常処理部１７０は、非周期通信検知フラグ１９３２および異常時処理フラグ１９３３に設定された値をリセットするように、フラグ制御部１５０に対して指示する。例えば、これらのフラグに「１」が設定されていた場合、正常処理部１７０は、これらの値を「１」から「０」にリセットする指示をする。

異常処理部１８０は、異常判定部１３０が、受信された周期通信の通信メッセージが正規通信ではなく、異常であると判定した場合、異常時処理としての制御処理を行う。例えば、異常処理部１８０は、通信メッセージの破棄やアラートを出力する制御処理を実行する。当該制御処理は、許容範囲演算部１４０が、上記受信時間の予測範囲を修正したか否かにより処理方法を変えてもよい。

例えば、異常処理部１８０は、異常判定部１３０が、周期通信の通信メッセージが修正前の受信時間の予測範囲内にない場合に異常であると判定した場合には、当該通信メッセージを破棄する。一方、異常処理部１８０は、周期通信の通信メッセージが修正後の受信時間の予測範囲内にない場合に異常であると判定した場合には、予測範囲を修正してもなお周期通信の通信メッセージを受信できなかったと判断する。そして、異常処理部１８０は、当該通信メッセージの破棄に加え、さらに、アラートを示す警告メッセージや、異常であると判定された状況を示す異常判定状況情報を、情報処理装置１０を管理する外部のシステム（例えば、車載システムを統括するサーバやクラウド）に無線ネットワークを介して送信し、当該システムに接続された表示装置に上記警告メッセージと異常判定状況情報とを表示する。これらの情報を確認した管理者は、その状況を判断し、あらかじめ登録された連絡先に通知する等して、情報処理装置１０が搭載された車両のユーザに対して適切なアドバイスを行うことができる。もちろん、異常処理部１８０は、上記警告メッセージや異常判定状況情報を、情報処理装置１０が搭載された車両の表示装置（例えば、車内のコンソールパネル）に表示してもよい。この場合、車両を操作中のユーザに対して、これらの情報をダイレクトに伝えることができる。

上述した異常判定状況情報は、例えば、後述する図８に示すように、修正前の受信時間の予測範囲８０２および修正後の受信時間の予測範囲８０２’、関連性があると判定された非周期通信の通信メッセージを示す情報（Ｘ１およびＩＤ５、Ｘ２およびＩＤ４）、関連性があると判定され、本来修正前の受信時間の予測範囲８０２内で受信されるはずであった周期通信の通信メッセージを示す情報（Ｍ２およびＩＤ２）を含む、異常判定部１３０により異常と判定されたときの状況を概念的に表した画面情報である。異常処理部１８０は、当該画面情報に、加算時間１９２５（Δｔ秒）を含めてもよい。これにより、どの程度予測範囲がずれたのかを把握でき、異常と判定された場合の原因の判断材料とすることができる。

また、異常処理部１８０は、当該画面情報に、関連性があると判定され、修正されずに受信時間の予測範囲８０１内で受信された周期通信の通信メッセージを示す情報（Ｍ１およびＩＤ２）を含めてもよい。これにより、当該予測範囲８０１内における周期通信の通信メッセージの時間的な位置を把握することができ、その後の周期で、受信時間の予測範囲の修正が必要となる可能性を予測するための判断材料とすることができる。

異常判定状況情報では、受信された周期通信の通信メッセージが正規通信ではなく、異常であると判定された場合は、上記許容範囲情報８０２’の範囲外で本来修正前の受信時間の予測範囲８０２内で受信されるはずであった周期通信の通信メッセージを示す情報（Ｍ２およびＩＤ２）が表示されるか、または上記画面情報に表示されずに周期通信が修正後の受信時間の予測範囲よりもさらに遅延している旨と上記警告メッセージとが表示される。このように、異常処理部１８０は、異常判定部１３０により関連性があると判定された周期通信の第２の通信メッセージが、所定時間（加算時間１９２５）後の受信時間の予測範囲８０２’にない場合、予測範囲８０２および当該所定時間後の予測範囲８０２’と、関連性があると判定された非周期通信の第１の通信メッセージを示す情報（Ｘ１およびＩＤ５、Ｘ２およびＩＤ４）と、第２の通信メッセージを示す情報（Ｍ２およびＩＤ２）とを含む異常判定状況情報を、表示部に出力する。

図２Ａおよび図２Ｂは、通信メッセージ受信後の処理の流れを説明するシーケンス図である。送信側の情報処理装置１０Ａおよび受信側の情報処理装置１０Ｂは、図１のシステム構成をもつ装置である。図２Ａ、図２Ｂでは、送信側の情報処理装置１０Ａおよび受信側の情報処理装置１０ＢがＥＣＵであることを想定しているが、上述の通り、ＧＷ等の他の装置についても同様に適用することができる。

図２Ａは、受信した通信メッセージの通信種別が非周期通信であった場合の処理の概要を説明するシーケンス図である。以下の処理は、主に情報処理装置１０Ｂで実行されるものである。

まず、ステップＳ２０１では、情報処理装置１０Ｂの通信部１００は、情報処理装置１０Ａが送信した通信メッセージを受信する。

ステップＳ２０２では、情報処理装置１０Ｂの情報取得部１１０は、受信した通信メッセージのＣＡＮ ＩＤを読み取り、受信時間を算出して記録する。

ステップＳ２０３では、情報処理装置１０Ｂの通信判定部１２０は、通信判断情報１９１と、読み取られた通信メッセージのＣＡＮ ＩＤとを参照して、受信した通信メッセージの通信種別を判定する。情報処理装置１０Ｂの通信判定部１２０は、受信した通信メッセージの通信種別が非周期通信であった場合、ステップＳ２０４に移行する。

ステップＳ２０４では、通信判定部１２０は、周期通信のＣＡＮ ＩＤごとに、フラグ制御部１５０に対して、非周期通信を検知したことを非周期通信検知フラグ１９３２に記録する指示をする。例えば、通信判定部１２０は、非周期通信検知時のフラグとして「１」を設定する場合、フラグ制御部１５０に対して、「０」として記憶されている非周期通信検知フラグ１９３２を「１」に更新し、当該非周期通信のＣＡＮ ＩＤ（例えば、０ｘ０５）を記録する指示をする。フラグ制御部１５０は、当該指示に従って、それぞれの周期通信のＣＡＮ ＩＤについて、非周期通信検知フラグ１９３２を更新する。

ステップＳ２０５では、情報処理装置１０Ｂの正常処理部１７０は、受信した非周期通信の通信メッセージで指示された制御処理を行う。

ステップＳ２１０では、情報処理装置１０Ｂの通信部１００は、受信した通信メッセージと同じＣＡＮ ＩＤを持つ次の通信メッセージを受信する。

図２Ｂは、受信した通信メッセージが周期通信であり、関連性のある非周期通信の通信メッセージの受信に伴って周期通信の受信時間の予測範囲を修正し、正規通信であることを判定する場合の処理の概要を説明するシーケンス図である。ステップＳ２０１からステップＳ２０３は、図２Ａの場合と同様であるためその説明を省略し、ステップＳ２０６以降について説明する。情報処理装置１０Ｂの通信判定部１２０は、通信メッセージの通信種別が周期通信であった場合、ステップＳ２０６の異常判定処理および、ステップＳ２０７の予測範囲演算処理、ステップ２０８の許容時間更新処理、ステップＳ２０９の正常時処理を実行する。これらのステップの詳細な処理については、図３を用いて後述する。

ステップＳ２０６では、情報処理装置１０Ｂの異常判定部１３０は、図２ＡのステップＳ２０４で非周期通信検知フラグ１９３２が設定された非周期通信の通信メッセージの受信時刻と、周期通信の通信メッセージの受信時間の予測範囲とを用いて、非周期通信と周期通信とに関連性があるか否かを判定する。さらに、異常判定部１３０は、関連性があると判定した周期通信の通信メッセージが受信時間の予測範囲内にあるか否かを判定し、当該周期通信の通信メッセージが受信時間の予測範囲内にあると判定した場合、当該周期通信の通信メッセージが正規通信による通信メッセージであると判定する。

ステップＳ２０７では、情報処理装置１０Ｂの許容範囲演算部１４０は、上記周期通信の通信メッセージが正規通信による通信メッセージであると判定された場合、次に受信する通信メッセージの受信時間の予測範囲を算出する。また、許容範囲演算部１４０は、上記周期通信の通信メッセージが正規通信による通信メッセージでないと判定され、後述するように上記予測範囲で受信するはずの通信メッセージが遅延して到着する可能性があると判断された場合、上記周期通信の通信メッセージの受信時間の予測範囲を修正する。

ステップＳ２０８では、情報処理装置１０Ｂの異常判定情報更新部１６０は、ステップＳ２０６で用いた予測範囲を、ステップＳ２０７で算出または修正した予測範囲に基づいて更新する。

ステップＳ２０９では、情報処理装置１０Ｂの正常処理部１７０は、上記算出または修正された予測範囲を用いて、周期通信の通信メッセージが正規通信による通信メッセージであると判定された場合、情報処理装置１０Ｂのフラグ制御部１５０に、正規通信による通信メッセージであると判定された周期通信について、図２ＡのステップＳ２０４で設定された非周期通信検知フラグ１９３２を検知なし（例えば、「０」）にリセットし、異常時処理フラグ１９３３を「１」から「０」にリセットする指示をする。また、正常処理部１７０は、正常時処理として、受信した周期通信の通信メッセージで指示された制御処理を行う。

ステップＳ２１０では、情報処理装置１０Ｂの通信部１００は、ステップＳ２０１で受信した通信メッセージと同じＣＡＮ ＩＤを持つ次の通信メッセージを受信する。

図３は、図２Ｂにおける情報処理装置１０Ｂの詳細な処理手順を示すフローチャートである。
最初の処理として、ステップＳ３０１では、通信部１００は、情報処理装置１０Ａから通信バス２を介して送信されてきた通信メッセージを受信する。

ステップＳ３０２では、情報取得部１１０は、受信された通信メッセージの識別情報（ＣＡＮ ＩＤ）を読み取り、当該通信メッセージの受信時間を算出する。例えば、情報取得部１１０は、通信メッセージを受信した後のクロック数を数えることで、受信した通信メッセージ間の受信時間を算出する。情報取得部１１０は、タイマーを用いて通信が開始してからの時間を計時することで、受信時間を算出しても良い。

ステップＳ３０３では、通信判定部１２０は、通信判断情報１９１と、受信した通信メッセージに含まれる識別情報（ＣＡＮ ＩＤ）に基づき、情報取得部１１０により読み取られた通信種別が非周期通信であるか否かを判定する。

ステップＳ３０４では、通信判定部１２０は、受信した通信メッセージが非周期通信であると判定した場合（Ｓ３０３；Ｙｅｓ）、フラグ制御部１５０に対して、周期通信のＣＡＮ ＩＤごとに非周期通信検知フラグ１９３２を記録する指示をする。フラグ制御部１５０は、当該指示に従って、それぞれのＣＡＮ ＩＤについて、非周期通信検知フラグ１９３２にフラグ（例えば、検知ありを示す「１」および非周期通信のＣＡＮ ＩＤ）を記録する。

フラグ検知情報１９３は、他の情報処理装置１０（例えば、図２Ｂにおける情報処理装置１０Ａ）が制御対象とする周期通信を含めてＣＡＮ ＩＤ１９３１ごとにフラグが保持されるが、情報処理装置１０Ｂが制御対象としてあらかじめ定められている周期通信のＣＡＮ ＩＤのフラグ検知情報１９３だけを記憶しても良い。これにより、情報処理装置１０自らが制御するフラグ検知情報１９３のみが記憶されるため、少ないメモリ容量でフラグ検知情報１９３を保持することができる。

さらに、上記制御対象とするフラグ検知情報１９３を、次のように記憶させてもよい。例えば、通信判定部１２０が、受信された通信メッセージが非周期通信であると判定した後、さらに、後述するステップＳ３０５と同様に、異常判定部１３０が、非周期通信検知フラグ１９３２が設定されている非周期通信の通信メッセージの受信時刻が、ステップＳ３０２で情報取得部１１０が算出した周期通信の受信時間の予測範囲内にあるか否かを判定する。異常判定部１３０が、上記非周期通信の通信メッセージの受信時刻が、上記周期通信の受信時間の予測範囲内にあると判定した場合に、通信判定部１２０は、フラグ制御部１５０に対して、上記予測範囲内であると判定された周期通信のＣＡＮ ＩＤの非周期通信検知フラグ１９３２を設定する指示をしてもよい。これにより、非周期通信検知フラグ１９３２が設定されている非周期通信と関連性がある周期通信についてのみフラグ検知情報１９３が記憶されるため、さらに少ないメモリ容量とすることができる。

ステップＳ３０５では、通信判定部１２０が、受信した通信メッセージが非周期通信でないと判定した場合（Ｓ３０３；Ｎｏ）、すなわち、受信した通信メッセージが周期通信であると判定した場合の処理を行う。異常判定部１３０は、非周期通信検知フラグ１９３２が設定されている非周期通信の通信メッセージの受信時刻が、周期通信の受信時間の予測範囲内にあるか否かを判定する。異常判定部１３０は、上記非周期通信の通信メッセージの受信時刻が、周期通信の受信時間の予測範囲内にあると判定した場合、その非周期通信と周期通信とに関連性があると判定する。さらに、異常判定部１３０は、関連性があると判定した周期通信の通信メッセージが上記受信時間の予測範囲内にあるか否かを判定する。異常判定部１３０は、関連性があると判定した周期通信の通信メッセージが上記受信時間の予測範囲内にあると判定した場合、その周期通信の通信メッセージは正規通信による通信メッセージであると判定する。

このように、異常判定部１３０は、非周期通信と周期通信との関連性についての判定（第１の判定）と、関連性について判定した周期通信の通信メッセージが予測範囲にあることの判定（第２の判定）と、の２つの判定を行い、周期通信の通信メッセージが正規通信によるものであることを判定する。

ステップＳ３０６では、非周期通信と周期通信とに関連性があると判定した周期通信の通信メッセージが上記受信時間の予測範囲内にあると判定された場合（Ｓ３０５；Ｙｅｓ）、許容範囲演算部１４０は、次のタイミングで受信する通信メッセージの受信時間の予測範囲を、周期１９２４を用いて算出し、異常判定情報更新部１６０がこれらの値を更新する。

例えば、許容範囲演算部１４０は、受信した通信メッセージのＣＡＮ ＩＤが「０ｘ０３」である場合、図７Ａに示す異常判定情報１９２を参照し、当該ＣＡＮ ＩＤに対応付けて記憶されている最小許容時間１９２２「１０．１１」および最大許容時間１９２３「１０．１３」と、周期１９２４「０．５０」とを読み出す。許容範囲演算部１４０は、最小許容時間１９２２「１０．１１」および最大許容時間１９２３「１０．１３」のそれぞれに、周期１９２４「０．５０」を加算した、次に受信する通信メッセージに対する新たな最小許容時間１９２２と最大許容時間１９２３とを算出する。この場合、異常判定情報更新部１６０は、新たな許容時間として、最小許容時間１９２２「１０．６１」および最大許容時間１９２３「１０．６３」をそれぞれ設定することとなる。このように、算出部（許容範囲演算部１４０）が、第２の通信メッセージを受信する時間（受信時間）と周期１９２４とに基づいて受信時間の予測範囲を算出するので、周期ごとに予測範囲を定めることができる。

その後、ステップＳ３０７では、正常処理部１７０が、正常時処理として、受信した通信メッセージで指示された制御処理を実行する。また、正常処理部１７０は、非周期通信検知フラグ１９３２および異常時処理フラグ１９３３が検知なしの状態（例えば、「０」）となっているか否かを判定し、これらのフラグが検知なしの状態となっていないと判定した場合、これらのフラグに設定された値をリセットするように、フラグ制御部１５０に対して指示する。フラグ制御部１５０は、当該指示に従って、これらのフラグをリセットする。

ステップＳ３０８では、非周期通信と周期通信とに関連性があると判定した周期通信の通信メッセージが上記受信時間の予測範囲内にないと判定された場合（Ｓ３０５；Ｎｏ）、異常判定部１３０は、受信された周期通信の通信メッセージが正規通信ではなく、異常の可能性があるため、さらに、受信された周期通信の通信メッセージの受信時間が予測範囲よりも前の時間であるか、すなわち最小許容時間１９２２よりも短い受信時間であるか否かを判定する。異常判定部１３０は、受信された周期通信の通信メッセージが予測範囲よりも前に受信されたと判定した場合（Ｓ３０８；Ｙｅｓ）、上記予測範囲で受信するはずの通信メッセージが遅延して到着する可能性はなく異常であると判断し、ステップＳ３０９の異常時処理に遷移する。

ステップＳ３０９では、異常処理部１８０は、異常時処理として、受信した周期通信の通信メッセージの破棄や上述したようなアラートを出力するなどの処理を実行する。

ステップＳ３１０では、異常判定部１３０は、受信された周期通信の通信メッセージが上記予測範囲よりも前に受信されていないと判定した場合（Ｓ３０８；Ｎｏ）、上記予測範囲で受信するはずの通信メッセージが遅延して到着した可能性があると判断する。この場合、異常判定部１３０は、さらに、受信した周期通信の通信メッセージのＣＡＮ ＩＤに対応する非周期通信検知フラグ１９３２が検知ありになっているか否かを判定する。異常判定部１３０は、非周期通信検知フラグ１９３２が検知ありになってないと判定した場合（Ｓ３１０；Ｎｏ）、非周期通信以外の何らかの理由で当該周期通信に遅延が生じたため異常であると判断し、ステップＳ３０９と同様の処理を実行する。一方、異常判定部１３０は、ステップＳ３１０において、非周期通信検知フラグ１９３２が検知ありになっていると判定した場合（Ｓ３１０；Ｙｅｓ）、異常の可能性があると判定したが、その結果異常でないと判断し、ステップＳ３１１に進む。

ステップＳ３１１では、異常判定部１３０は、非周期通信検知フラグ１９３２が検知ありになっているため、上記予測範囲で受信するはずの通信メッセージが遅延して到着する可能性があると判断する。許容範囲演算部１４０は、当該判断に基づいて、上記予測範囲を修正し、異常判定情報更新部１６０が値を更新する。

具体的には、許容範囲演算部１４０は、最小許容時間１９２２、最大許容時間１９２３に加算時間１９２５を加算し、新たな修正後の最小許容時間１９２２および最大許容時間１９２３を算出する。そして、異常判定情報更新部１６０が、修正前の最小許容時間１９２２および最大許容時間１９２３を更新する。加算時間１９２５は、受信時間の予測範囲を所定時間後にずらしてスライドさせるために定められた時間である。

加算時間１９２５は、所定の固定値として定めるほか、所定の統計的手法を用いて算出した値として定めてよい。例えば、あらかじめ、許容範囲演算部１４０が、修正後の受信時間の予測範囲内で過去に周期通信の通信メッセージを受信したときの実際の受信時刻の平均値を算出して加算時間１９２５として設定してもよい。あるいは、許容範囲演算部１４０が、周期通信よりも優先されるＣＡＮ ＩＤで識別される非周期通信の通信メッセージの数に応じて、加算時間１９２５を定めてもよい。上記優先されるＣＡＮ ＩＤで識別される非周期通信の通信メッセージの数が多いほど、周期通信が遅延する可能性は高いと考えられる。そのため、許容範囲演算部１４０は、所定期間内における上記非周期通信の通信メッセージの数が多いほど加算時間１９２５を長く設定する。このように、許容範囲演算部１４０および異常判定情報更新部１６０（修正部）受信時間の予測範囲に、所定値または所定の統計手法を用いて算出された値を加算して、修正を行うので、様々な方法を用いて、情報処理装置１０が搭載された環境に応じた最適な方法で加算時間を定めることができる。

図４は、加算時間を用いて予測範囲を修正する処理（ステップＳ３１１）の処理手順を示すフローチャートである。

ステップＳ４０１では、許容範囲演算部１４０は、情報取得部１１０が算出した周期通信の通信メッセージの受信時間と、異常判定情報１９２に格納されている最小許容時間１９２２および最大許容時間１９２３を読み込む。

ステップＳ４０２では、許容範囲演算部１４０は、異常判定情報１９２の加算時間１９２５を用いて、最小許容時間１９２２および最大許容時間１９２３を、上述した方法で修正する。

ステップＳ４０３では、異常判定情報更新部１６０は、最小許容時間１９２２および最大許容時間１９２３を、修正された値に更新する。例えば、図７Ｂに示すように、ＣＡＮ ＩＤが「０ｘ０３」の周期通信について、図７Ａに示した修正前の最小許容時間「１０．１１」および最大許容時間「１０．１３」に対して、それぞれ加算時間「０．０５」が加算され、修正後の最小許容時間「１０．１６」および最大許容時間「１０．１８」に更新される。

このように、許容範囲演算部１４０および異常判定情報更新部１６０（修正部）は、異常判定部１３０により関連性があると判定された周期通信の第２の通信メッセージが受信時間の予測範囲にない場合に、当該予測範囲を所定時間（加算時間１９２５）後の予測範囲に修正する。これにより、異常判定部１３０は、修正した新たな予測範囲に基づいて、上記第２の判定を行うことができる。

図３に戻り、ステップＳ３１２では、異常判定情報更新部１６０は、フラグ制御部１５０に対して、予測範囲を修正した周期通信のＣＡＮ ＩＤに対応付けて記憶されている非周期通信検知フラグ１９３２を検知なし（例えば、「０」）にリセットする一方、異常時処理フラグ１９３３を処理あり（例えば、「１」）に設定する指示をする。フラグ制御部１５０は、当該指示に従って、非周期通信検知フラグ１９３２および異常時処理フラグ１９３３を更新する。

その後、再度ステップＳ３０５に戻り、異常判定部１３０は、修正された受信時間の予測範囲を用いて、上述した第２の判定を行う。異常判定部１３０は、先のステップＳ３０５で行った第１の判定において、ステップＳ３１２でリセットされた非周期通信検知フラグ１９３２で識別される非周期通信との間で関連性があると判定しているため、ここでは上述した第１の判定を行わない。

異常判定部１３０は、この第２の判定において、周期通信の通信メッセージが上記修正された受信時間の予測範囲内にあると判定した場合、その周期通信の通信メッセージは、本来修正前の予測範囲で受信されるはずの正規通信による通信メッセージであると判断し、正規通信による通信メッセージであると判定する。

異常判定部１３０が、上記第２の判定において正規通信による通信メッセージであると判定した場合（再度のＳ３０５；Ｙｅｓ）、ステップＳ３０６において、許容範囲演算部１４０は、修正後の最小許容時間１９２２および最大許容時間１９２３に対して、先のステップＳ３０６と同様の処理を行う。具体的には、許容範囲演算部１４０は、修正後の最小許容時間１９２２および最大許容時間１９２３に周期１９２４を加算した、次の周期で受信する通信メッセージに対する新たな最小許容時間１９２と最大許容時間１９２３とを算出し、異常判定情報更新部１６０がこれらの値を更新する。その後、正常処理部１７０が、先のステップＳ３０７と同様の処理の処理を実行する。

一方、異常判定部１３０は、上記第２の判定において正規通信による通信メッセージでないと判定した場合（再度のＳ３０５；Ｎｏ）、ステップＳ３０８において、受信された周期通信の通信メッセージの受信時間が修正後の予測範囲よりも前の時間であるか否かを判定する。異常判定部１３０は、受信された周期通信の通信メッセージが修正後の予測範囲よりも前の時間であると判定した場合（Ｓ３０８；Ｙｅｓ）、ステップＳ３１０に進む。

異常判定部１３０は、ステップＳ３１０において、非周期通信検知フラグ１９３２が検知ありになっているか否かを判定する。前回の処理でステップＳ３１１を実行しているため、この時点では非周期通信検知フラグ１９３２が検知なしにリセットされている。したがって、今回の処理では、異常判定部１３０は、再びステップＳ３１１に進まずに、ステップＳ３０９に進み、異常時処理に遷移する。

なお、ステップＳ３０９では、予測範囲が修正されたか否かは異常時処理フラグ１９３３により判定することができるため、以下のような処理を実行してもよい。

例えば、異常判定部１３０は、異常時処理フラグ１９３３（例えば「１」）が設定されているか否かを判定し、異常時処理フラグ１９３３が設定されていると判定した場合は、ステップＳ３０９において、異常処理部１８０は、過去にも異常時処理を実行したため、今回の処理内容を変更して処理を実行する。例えば、異常処理部１８０は、修正後の予測範囲を用いてもなお異常であると判断し、通信メッセージの破棄ではなく、上述したように、アラートを示す警告メッセージや異常判定状況情報を出力してもよい。

続いて、本実施例で説明した概念を、図８を用いて説明する。
図８は、本実施例を用いた正規通信の判定方法の概念を説明する図である。図８では、通信部１００が受信した周期通信の通信メッセージ（ＩＤ１、ＩＤ２、ＩＤ３）のそれぞれについて、情報取得部１１０が受信時間を算出する。例えば、情報取得部１１０は、予測範囲８０１内で受信するＩＤ２の通信メッセージＭ１の受信時間を算出する。また、図８では、ＩＤ５の非周期通信の通信メッセージＸ１が受信されているため、通信判定部１２０は、フラグ制御部１５０に対して、ＩＤ１、ＩＤ２、ＩＤ３のそれぞれの周期通信に対応する非周期通信検知フラグ１９３２（例えば、「１」（ＩＤ５））を設定する。

異常判定部１３０は、非周期通信（ＩＤ５、Ｘ１）と周期通信（ＩＤ２）とに関連性があり、関連性があると判定した周期通信の通信メッセージ（Ｍ１）が受信時間の予測範囲８０１内にあると判定する。許容範囲演算部１４０は、当該周期通信の通信メッセージ（ＩＤ２、Ｍ１）は正規通信による通信メッセージであるため、周期Ｔ（ｓｅｃ）後となる次のタイミングで受信する通信メッセージの受信時間の予測範囲８０２を算出する。当該周期通信の通信メッセージ（ＩＤ２、Ｍ１）は正規通信による通信メッセージであると判定されているため、非周期通信検知フラグ１９３２および異常時処理フラグ１９３３が検知なし（例えば、「０」）にリセットされ、正常時処理が実行される。

さらに、図８では、通信判定部１２０は、ＩＤ４の非周期通信の通信メッセージＸ２が受信されているため、フラグ制御部１５０に対して、ＩＤ１、ＩＤ２、ＩＤ３のそれぞれの周期通信に対応する非周期通信検知フラグ１９３２（例えば、「１」（ＩＤ４））を設定する。

異常判定部１３０は、非周期通信（ＩＤ４、Ｘ２）と周期通信（ＩＤ２）とに関連性があり、関連性があると判定した周期通信の通信メッセージ（Ｍ２）が受信時間の予測範囲８０２内にないと判定する。さらに、異常判定部１３０は、上記周期通信の通信メッセージ（Ｍ２）が予測範囲８０２よりも前に受信されておらず、当該通信メッセージのＣＡＮ ＩＤに対応する非周期通信検知フラグ１９３２が検知ありになっていると判定する。異常判定部１３０は、予測範囲８０２で受信するはずの通信メッセージＭ２が遅延して到着した可能性があると判断し、許容範囲演算部１４０は、当該判断に基づいて、予測範囲８０２に加算時間１９２５であるΔｔを加算した修正後の新たな予測範囲８０２’を算出し、フラグ制御部１５０が非周期通信検知フラグ１９３２を検知なしにリセットする。

その後、異常判定部１３０は、非周期通信（ＩＤ４、Ｘ２）と周期通信（ＩＤ２）とに関連性があると判定した周期通信の通信メッセージ（Ｍ２）が上記予測範囲８０２’内にあると判定する。異常判定部１３０は、その周期通信の通信メッセージ（Ｍ２）は、関連性があると判定された非周期通信（ＩＤ４、Ｘ２）により遅延して到着した、本来予測範囲８０２で受信されるはずの正規通信による通信メッセージ（Ｍ２）であると判定する。そして、許容範囲演算部１４０は、修正後の予測範囲８０２’に周期Ｔを加算した、次の周期で受信する新たな予測範囲を算出する。

当該周期通信の通信メッセージ（ＩＤ２、Ｍ２）は正規通信による通信メッセージであると判定されているため、上述した周期通信の通信メッセージ（ＩＤ２、Ｍ１）の場合と同様、非周期通信検知フラグ１９３２および異常時処理フラグ１９３３が検知なしにリセットされ、正常時処理が実行される。一方、異常判定部１３０が、関連性があると判定した周期通信の通信メッセージ（Ｍ２）が修正後の新たな予測範囲８０２’内にないと判定した場合、異常時処理が実行されることとなる。なお、本実施例では、直近の予測範囲８０２を基準として新たな予測範囲８０２’を設定したが、それ以前の予測範囲（例えば、予測範囲８０１）と周期１９２４とを用いて新たな予測範囲８０２’を算出してもよい。

これまで説明したように、本実施例によれば、非周期通信および周期通信が可能な情報処理装置において、通信判定部（通信判定部１２０）が、通信メッセージの種別を判定し、
第１の処理判定部（異常判定部１３０）が、種別が非周期通信であると判定された第１の通信メッセージと、種別が周期通信であると判定された第２の通信メッセージを受信する時間（受信時間）の予測範囲とを用いて、非周期通信と周期通信との関連性を判定し、第２の処理判定部（異常判定部１３０）が、関連性があると判定された周期通信の第２の通信メッセージが、所定時間後（加算時間１９２５）の予測範囲にある場合、当該第２の通信メッセージは周期通信の正規通信であると判定する。したがって、遅延した通信メッセージが周期通信の正規通信であることを正しく判定することができ、当該判定の結果、周期通信を正規通信として正しく検知することができる。さらに、正規通信を正しく検知することによって、通信メッセージが攻撃であるとの誤検知による自動車への走行制御への影響を減少させることができる。

また、通信メッセージ数をカウントする特許文献１の方式では、ＣＡＮ ＩＤのそれぞれについて、モニタ期間ごとに、通信メッセージの個数をカウントするカウント値とその予測値とを比較するため、必要とするＲＡＭの容量が多くなる。車載システムでは、ＥＣＵやＧＷなどの低リソースが望まれているものに対しては出来るだけ使用するＲＡＭの容量を少なくしたいというニーズがあるため、当該方式を採用した場合にはそのニーズを満たすことが困難な場合があると考えられる。

しかし、本実施例によれば、通信判定部１２０が、情報処理装置１０が制御対象とする周期通信について、第１の通信メッセージが受信されたことを示すフラグ情報（非周期通信検知フラグ１９３２）を記憶部（関連情報記憶部１９０）に記憶し、第１の処理判定部（異常判定部１３０）が、当該フラグ情報を用いて、非周期通信と周期通信との関連性を判定する。さらに、通信判定部１２０が、情報処理装置１０が制御対象とする周期通信のうち、上記第１の処理判定部により関連性があると判定された周期通信について、当該フラグ情報を記憶する。したがって、通信メッセージ数をカウントすることなく、「１」、「０」といった２値をとるフラグを用いて正規通信を判定することができるため、必要とするＲＡＭの容量を抑えることができる。

さらに、例えば、カウントした通信メッセージの個数を保持するＲＡＭの異常といった物理的な要因をはじめ、何らかの原因でカウントしたメッセージ数にずれが生じた場合には、上記特許文献１の方式では、正規通信であることを正しく判定できず、攻撃として誤検知されてしまう。しかし、本実施例によれば、上述した２値をとるフラグを用いて正規通信を判定するため、メッセージ数のずれが生じることがなくなり、攻撃の検知精度を高めることができる。

２ 通信バス
１０ 情報処理装置
１００ 通信部
１１０ 情報取得部
１２０ 通信判定部
１３０ 異常判定部
１４０ 許容範囲演算部
１５０ フラグ制御部
１６０ 異常判定情報更新部
１７０ 正常処理部
１８０ 異常処理部
１９０ 関連情報記憶部
１９１ 通信判断情報
１９２ 異常判定情報
１９３ フラグ検知情報

Claims (8)

1. 非周期通信および周期通信が可能な情報処理装置であって、
   通信メッセージの種別を判定する通信判定部と、
   前記種別が非周期通信であると判定された第１の通信メッセージと、前記種別が周期通信であると判定された第２の通信メッセージを受信する時間の予測範囲とを用いて、非周期通信と周期通信との関連性を判定する第１の処理判定部と、
   関連性があると判定された周期通信の前記第２の通信メッセージが、所定時間後の前記予測範囲にある場合、当該第２の通信メッセージは周期通信の正規通信であると判定する第２の処理判定部と、
   を備えることを特徴とする情報処理装置。
2. 関連性があると判定された周期通信の前記第２の通信メッセージが前記予測範囲にない場合に、当該予測範囲を所定時間後の前記予測範囲に修正する修正部、
   を備えることを特徴とする請求項１に記載の情報処理装置。
3. 前記修正部は、前記予測範囲に、所定値または所定の統計手法を用いて算出された値を加算して、前記修正を行う、
   ことを特徴とする請求項２に記載の情報処理装置。
4. 前記第２の通信メッセージを受信する時間と周期とに基づいて前記予測範囲を算出する算出部、
   を備えることを特徴とする請求項１に記載の情報処理装置。
5. 前記通信判定部は、前記情報処理装置が制御対象とする周期通信について、前記第１の通信メッセージが受信されたことを示すフラグ情報を記憶部に記憶し、
   前記第１の処理判定部は、前記フラグ情報を用いて、非周期通信と周期通信との関連性を判定する、
   ことを特徴とする請求項１に記載の情報処理装置。
6. 前記通信判定部は、前記情報処理装置が制御対象とする周期通信のうち、前記第１の処理判定部により前記関連性があると判定された周期通信について、前記フラグ情報を記憶する、
   ことを特徴とする請求項５に記載の情報処理装置。
7. 関連性があると判定された周期通信の前記第２の通信メッセージが、所定時間後の前記予測範囲にない場合、前記予測範囲および所定時間後の前記予測範囲と、関連性があると判定された非周期通信の前記第１の通信メッセージを示す情報と、前記第２の通信メッセージを示す情報とを含む異常判定状況情報を、表示部に出力する異常処理部、
   を備えることを特徴とする請求項１に記載の情報処理装置。
8. 非周期通信および周期通信が可能な情報処理装置が行う正規通信判定方法であって、
   通信メッセージの種別を判定し、
   前記種別が非周期通信であると判定された第１の通信メッセージと、前記種別が周期通信であると判定された第２の通信メッセージを受信する時間の予測範囲とを用いて、非周期通信と周期通信との関連性を判定し、
   関連性があると判定された周期通信の前記第２の通信メッセージが、所定時間後の前記予測範囲にある場合、当該第２の通信メッセージは周期通信の正規通信であると判定する、
   ことを特徴とする正規通信判定方法。

Images