JP2022134679A - 判定装置、移動体、判定方法及びプログラム - Google Patents

Abstract

【課題】判定装置、移動体、判定方法及びプログラムを提供する。【解決手段】車両が備える判定装置として機能するＥＣＵ２０２は、移動体内の通信ネットワーク上を流れている信号が異常であるか否かを判定する信号判定部と、信号判定部によって通信ネットワーク上を流れている信号が異常であると判定された場合に、異常な信号の送信元となる通信装置が正常であるか否かを判定する送信元判定部と、信号判定部によって通信ネットワーク上を流れている信号が異常であると判定され、送信元判定部によって異常な信号の送信元となる通信装置が正常であると判定された場合に、通信ネットワークに対する攻撃が発生した判定する攻撃判定部と、を備える。【選択図】図２

Description

本発明は、判定装置、移動体、判定方法及びプログラムに関する。

特許文献１には、単位時間当たりに車載通信網に入力されるデータ信号の信号数を規定値と比較することで攻撃を検知することが記載されている。
［先行技術文献］
［特許文献］
［特許文献１］ 特開２０２０－０９２３２５号公報

第１の態様において、判定装置が提供される。判定装置は、移動体内の通信ネットワーク上を流れている信号が異常であるか否かを判定する信号判定部を備える。判定装置は、信号判定部によって通信ネットワーク上を流れている信号が異常であると判定された場合に、異常な信号の送信元となる通信装置が正常であるか否かを判定する送信元判定部を備える。判定装置は、信号判定部によって通信ネットワーク上を流れている信号が異常であると判定され、送信元判定部によって異常な信号の送信元となる通信装置が正常であると判定された場合に、通信ネットワークに対する攻撃が発生した判定する攻撃判定部を備える。

攻撃判定部によって通信ネットワークに対し攻撃が発生したと判定された場合、異常な信号に関する情報を外部装置に送信してよい。

信号判定部は、通信ネットワーク上を流れている信号が異常であるか否かを、信号の種類毎に判定してよい。

送信元判定部は、信号判定部によって通信ネットワーク上を流れている第１の種類の信号が異常であると判定された場合において、信号判定部によって第１の種類の信号の送信元となる通信装置から通信ネットワークに送信されている第２の種類の信号が異常でないと判定された場合に、送信元となる通信装置が正常であると判定してよい。

判定装置は、通信ネットワーク上を流れている信号のそれぞれが異常であるか否かを信号毎に判定する個別信号判定部を備えてよい。信号判定部によって通信ネットワーク上を流れる信号が異常と判定された場合、送信元判定部は、個別信号判定部によって異常であると判定された第１の信号の送信元となる通信装置から第１の信号より後に通信ネットワーク上に送信された第２の信号の中に個別信号判定部によって異常でないと判定された信号が含まれる場合に、送信元となる通信装置が正常であると判定し、個別信号判定部によって異常であると判定された第１の信号の送信元となる通信装置から第１の信号より後に通信ネットワークに送信された第２の信号の中に個別信号判定部によって異常でないと判定された信号を含まない場合に、送信元となる通信装置が異常であると判定してよい。

個別信号判定部は、通信ネットワーク上を流れる信号の種類毎に、通信ネットワーク上を流れる信号の送信パターンを学習し、学習された送信パターンとは異なる送信パターンで通信ネットワーク上に送信されている信号を検出した場合に、検出された信号が異常であると判定してよい。

個別信号判定部は、通信ネットワーク上を流れる信号のペイロード値を抽出し、予め定められた値とは異なるペイロード値が抽出された信号が異常であると判定してよい。

個別信号判定部は、通信ネットワーク上を流れる信号のペイロード値を抽出し、抽出されるペイロード値の時間的な変化量が予め定められた条件を満たさない信号が異常であると判定してよい。

移動体は車両であり、通信装置はＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）であり、通信ネットワークはＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）であってよい。個別信号判定部及び送信元判定部は、ＣＡＮに接続されたＥＣＵから送信されるフレームのアライブカウンタの値の変化に基づいて、通信ネットワーク上を流れている信号のそれぞれが異常であるか否かを信号毎に判定し、異常と判定された信号を送信した通信装置が正常であるか否かを判定してよい。

移動体は車両であってよい。

通信装置はＥＣＵであり、通信ネットワークはＣＡＮであってよい。

第２の態様において、移動体が提供される。移動体は、上記の判定装置を備える。

第３の態様において、判定方法が提供される。判定方法は、移動体内の通信ネットワーク上を流れている信号が異常であるか否かを判定する信号判定段階を備える。判定方法は、信号判定段階によって通信ネットワーク上を流れている信号が異常であると判定された場合に、異常な信号の送信元となる通信装置が正常であるか否かを判定する送信元判定段階を備える。判定方法は、信号判定段階によって通信ネットワーク上を流れている信号が異常であると判定され、送信元判定段階によって異常な信号の送信元となる通信装置が正常であると判定された場合に、通信ネットワークに対する攻撃が発生した判定する攻撃判定段階を備える。

第４の態様において、プログラムが提供される。プログラムは、コンピュータを、移動体内の通信ネットワーク上を流れている信号が異常であるか否かを判定する信号判定部として機能させる。プログラムは、コンピュータを、信号判定部によって通信ネットワーク上を流れている信号が異常であると判定された場合に、異常な信号の送信元となる通信装置が正常であるか否かを判定する送信元判定部として機能させる。プログラムは、コンピュータを、信号判定部によって通信ネットワーク上を流れている信号が異常であると判定され、送信元判定部によって異常な信号の送信元となる通信装置が正常であると判定された場合に、通信ネットワークに対する攻撃が発生した判定する攻撃判定部として機能させる。

なお、上記の発明の概要は、本発明の必要な特徴の全てを列挙したものではない。また、これらの特徴群のサブコンビネーションもまた、発明となりうる。

一実施形態に係る車両２０を模式的に示す。 ＥＣＵ２０２が備える機能構成を模式的に示す。 ＥＣＵ２０２が実行する判定処理の概要を説明するための模式的な図である。 通信ネットワーク２８０上を流れる信号が異常であるか否かを判定する方法の一例である。 通信ネットワーク２８０上を流れる信号が異常であるか否かを判定する方法の他の一例である。 ＥＣＵ２０２が実行する手順を示すフローチャートである。 送信元判定部２２０が送信元ＥＣＵの状態を特定する方法を説明するための図である。 送信元判定部２２０が送信元ＥＣＵの状態を特定する他の方法を説明するための図である。 送信元判定部２２０が送信元ＥＣＵの状態を特定する他の方法を説明するための図である。 予測したパターン１０１０と実際に受信した信号の信号間隔のパターンとが予め定められた値以上の一致度で一致していない場合を示し、図１１は、予測したパターン１０１０と実際に受信した信号の信号間隔のパターンと。 個別信号判定部２３０が信号毎に正常・異常を判定する方法を説明するための図である。 個別信号判定部２３０が信号毎に正常・異常を判定するために用いる参照データのデータ構造を示す。 個別信号判定部２３０がアライブカウンタを用いて信号の正常・異常を判定するための方法を説明するための図である。 本発明の複数の実施形態が全体的又は部分的に具現化され得るコンピュータ２０００の例を示す。

以下、発明の実施の形態を通じて本発明を説明するが、以下の実施形態は特許請求の範囲にかかる発明を限定するものではない。また、実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。

図１は、一実施形態に係る車両２０を模式的に示す。車両２０は、ＥＣＵ２０２、ＥＣＵ２０３、ＥＣＵ２０４、ＥＣＵ２０５及びＥＣＵ２０６と、ＴＣＵ２０１とを備える制御システム１０を備える。制御システム１０がＴＣＵ２０１、ＥＣＵ２０２、ＥＣＵ２０３、ＥＣＵ２０４、ＥＣＵ２０５及びＥＣＵ２０６を備えるシステム構成を例示するが、制御システム１０のシステム構成は本実施形態の例に限られない。

ＥＣＵ２０２、ＥＣＵ２０３、ＥＣＵ２０４、ＥＣＵ２０５及びＥＣＵ２０６は、車両２０の制御を行うＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）である。例えば、ＥＣＵ２０２、ＥＣＵ２０３、ＥＣＵ２０４、ＥＣＵ２０５及びＥＣＵ２０６は、エンジンやモータ、変速機、操舵、燃料噴射、エアコンディショナ、ナビゲーション装置等の様々な機器を制御する。ＴＣＵ２０１は、テレマティクス制御ユニット（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）である。ＴＣＵ２０１は、移動体通信を担う。ＴＣＵ２０１は、ＥＣＵ２０２の制御に基づいて、外部のサーバとの間でデータの送受信を行う。

ＥＣＵ２０２、ＥＣＵ２０３、ＥＣＵ２０４、ＥＣＵ２０５及びＥＣＵ２０６は、通信ネットワーク２８０により互いに通信可能に接続される。本実施形態において、通信ネットワーク２８０はＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）を少なくとも含むものとする。通信ネットワーク２８０は、ＩＥＥＥ８０２．３シリーズに準拠するネットワーク等を含んで構成されてよい。ＥＣＵ２０２には、通信ネットワーク２８０を介して、外部との無線通信を行うＴＣＵ（テレマティクス制御ユニット）２０１が接続される。ＥＣＵ２０２は、ＴＣＵ２０１、ＥＣＵ２０３、ＥＣＵ２０４、ＥＣＵ２０５及びＥＣＵ２０６を統括制御する。ＥＣＵ２０２は、ゲートウェイとして機能し、通信ネットワーク２８０と車外との間の通信や、ＥＣＵ２０３、ＥＣＵ２０４、ＥＣＵ２０５及びＥＣＵ２０６間の通信を中継する機能を備える。

本実施形態において、ＥＣＵ２０２は、通信ネットワーク２８０に対する攻撃が発生しているか否かを判定する。例えば、ＥＣＵ２０２は、通信ネットワーク２８０上に異常な信号が流れているか否かを判定する。ＥＣＵ２０２は、通信ネットワーク２８０上に異常な信号が流れていると判定した場合、異常な信号の送信元となるＥＣＵが正常であるか否かを判定する。異常な信号の送信元となるＥＣＵが正常である場合に、通信ネットワーク２８０に対する攻撃が発生していたと判定し、異常な信号を解析するためのログ情報を収集し、ＴＣＵ２０１を通じて外部のサーバに送信する。一方、異常な信号の送信元となるＥＣＵが正常でない場合は、異常な信号の送信元となるＥＣＵが故障していると判定し、通信ネットワーク２８０に対する攻撃が発生していないと判定する。この場合、ＥＣＵ２０２は、ログ情報を収集せず、ログ情報を外部のサーバに送信しない。これにより、故障したＥＣＵが通信ネットワーク２８０上に異常な信号が送信している場合に、その信号から攻撃されていると誤判断する可能性を低くすることができる。そのため、ログ情報の記憶するために必要な記憶リソースを削減することができる。また、ログ情報を車両２０外へ送信するための通信トラフィックを低減することができる。

図２は、ＥＣＵ２０２が備える機能構成を模式的に示す。ＥＣＵ２０２は、処理部２６０と、記憶部２７０とを備える。処理部２６０は、演算処理を行うＣＰＵ等のプロセッサにより実装されてよい。記憶部２７０は、フラッシュメモリ等の不揮発性記憶媒体や、ランダムアクセスメモリ等の揮発性記憶媒体により実現されてよい。ＥＣＵ２０２はコンピュータを含んで構成され得る。ＥＣＵ２０２は、不揮発性記憶媒体に記憶されたプログラムに従い、各種センサからの出力値に基づいて各種制御を実行する。なお、図２は、ＥＣＵ２０２が判定装置として機能するための機能構成を示す。ＥＣＵ２０２は、図２に示す機能構成以外の機能構成を備えてよい。

処理部２６０は、信号判定部２１０、送信元判定部２２０、個別信号判定部２３０と、攻撃判定部２４０とを備える。信号判定部２１０は、車両２０内の通信ネットワーク２８０上を流れている信号を取得する。信号判定部２１０は、通信ネットワーク２８０上を流れている信号が異常であるか否かを判定する。送信元判定部２２０は、信号判定部２１０によって通信ネットワーク２８０上を流れている信号が異常であると判定された場合に、異常な信号の送信元となるＥＣＵが正常であるか否かを判定する。攻撃判定部２４０は、信号判定部２１０によって通信ネットワーク２８０上を流れている信号が異常であると判定され、送信元判定部２２０によって異常な信号の送信元となるＥＣＵが正常であると判定された場合に、通信ネットワーク２８０に対する攻撃が発生した判定する。

攻撃判定部２４０によって通信ネットワーク２８０に対し攻撃が発生したと判定された場合、異常な信号に関する情報を外部装置に送信する。信号判定部２１０は、通信ネットワーク２８０上を流れている信号が異常であるか否かを、信号の種類毎に判定してよい。送信元判定部２２０は、信号判定部２１０によって通信ネットワーク２８０上を流れている第１の種類の信号が異常であると判定された場合において、信号判定部２１０によって第１の種類の信号の送信元となるＥＣＵから通信ネットワーク２８０に送信されている第２の種類の信号が異常でないと判定された場合に、送信元となるＥＣＵが正常であると判定してよい。

個別信号判定部２１０は、通信ネットワーク２８０上を流れている信号のそれぞれが異常であるか否かを信号毎に判定する。信号判定部２１０によって通信ネットワーク２８０上を流れる信号が異常と判定された場合、送信元判定部２２０は、個別信号判定部２１０によって異常であると判定された第１の信号の送信元となるＥＣＵから第１の信号より後に通信ネットワーク２８０上に送信された第２の信号の中に個別信号判定部２１０によって異常でないと判定された信号が含まれる場合に、送信元となるＥＣＵが正常であると判定し、個別信号判定部２１０によって異常であると判定された第１の信号の送信元となるＥＣＵから第１の信号より後に通信ネットワーク２８０に送信された第２の信号の中に個別信号判定部２１０によって異常でないと判定された信号を含まない場合に、送信元となるＥＣＵが異常であると判定する。

個別信号判定部２３０は、通信ネットワーク２８０上を流れる信号の種類毎に、通信ネットワーク２８０上を流れる信号の送信パターンを学習し、学習した送信パターンとは異なる送信パターンで通信ネットワーク２８０上に送信されている信号を検出した場合に、検出された信号が異常であると判定する。

個別信号判定部２１０は、通信ネットワーク２８０上を流れる信号のペイロード値を抽出し、予め定められた値とは異なるペイロード値が抽出された信号が異常であると判定する。個別信号判定部２１０は、通信ネットワーク２８０上を流れる信号のペイロード値を抽出し、抽出されるペイロード値の時間的な変化量が予め定められた条件を満たさない信号が異常であると判定する。車両２０は車両であり、ＥＣＵはＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）であり、通信ネットワーク２８０はＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）であり、個別信号判定部２１０及び送信元判定部２２０は、ＣＡＮに接続されたＥＣＵから送信されるフレームのアライブカウンタの値の変化に基づいて、通信ネットワーク２８０上を流れている信号のそれぞれが異常であるか否かを信号毎に判定し、異常と判定された信号を送信したＥＣＵが正常であるか否かを判定する。

図３は、ＥＣＵ２０２が実行する判定処理の概要を説明するための模式的な図である。ＥＣＵ２０２、ＥＣＵ２０３、ＥＣＵ２０４、ＥＣＵ２０５及びＥＣＵ２０６は、それぞれが実行した演算結果を含む信号を通信ネットワーク２８０に送信する。これにより、ＥＣＵ２０２、ＥＣＵ２０３、ＥＣＵ２０４、ＥＣＵ２０５及びＥＣＵ２０６による協調制御を実行する。図３の「正常信号のみ４１０」に示すように、各ＥＣＵが協調制御を行うために送受信される信号は、一定の周期Ｔ（例えば、１０ｍｓ）で通信ネットワーク２８０に送信される。

図３の正常信号及び異常信号４２０は、第三者が通信ネットワーク２８０に不正な信号を送信することによって、通信ネットワーク２８０に対して攻撃を行った場合を示す。なお、本実施形態において、正常信号を黒塗りで示し、異常な信号を白抜きで示すものとする。この場合、通信ネットワーク２８０上を流れる信号の時間間隔が正規の周期Ｔより短くなる。そのため、信号判定部２１０は、通信ネットワーク２８０上を流れる信号が異常であると判定する。なお、「異常な信号」は、第三者が通信ネットワーク２８０に送信した不正な信号である場合もあれば、故障したＥＣＵによって通信ネットワーク２８０に送信された信号である場合もある。

送信元判定部２２０は、通信ネットワーク２８０上を流れる信号が異常であると判定した場合、異常と判定された信号の送信元となるＥＣＵを特定する。例えば、送信元判定部２２０は、ＥＣＵ２０３、ＥＣＵ２０４、ＥＣＵ２０５及びＥＣＵ２０６のうち、異常と判定された種類の信号を送信すると定められるＥＣＵを特定する。なお、本実施形態において、異常と判定された種類の信号を送信すると定められるＥＣＵのことを「送信元ＥＣＵ」と呼ぶ。信号の種類は、例えばＣＡＮフレームに設定されるＩＤによって識別される。なお、送信元ＥＣＵは、異常と判定された信号の送信元となるＥＣＵのことである。通信ネットワーク２８０に対して外部から攻撃を受けている場合にはＩＤが詐称される場合があるため、「異常と判定された信号の送信元となるＥＣＵ」とは、攻撃によって通信ネットワーク２８０に送信された信号の送信元のことではなく、その信号の種類と同じ種類の信号を送信することが定められているＥＣＵのことをいう。

送信元判定部２２０は、特定した送信元ＥＣＵの状態が正常であるか否かを判定する。例えば、送信元判定部２２０は、送信元ＥＣＵの状態が故障状態にあるか否かを判定する。ＥＣＵの状態が正常であるか否かを判定する方法については後述する。攻撃判定部２４０は、通信ネットワーク２８０上を名が得る信号が異常である場合に、送信元ＥＣＵの状態が正常であれば、通信ネットワーク２８０に対する攻撃が発生していると判定する。

一方、図３の「異常信号のみ４３０」に示すように、ＥＣＵが故障した場合に、短い間隔で信号が通信ネットワーク２８０に送信される場合がある。この場合、送信元判定部２２０によって送信元ＥＣＵの状態が異常であると判定されると、攻撃判定部２４０は、送信元ＥＣＵが故障していると判定し、車両２０に備えられる故障解析を行うＥＣＵに故障解析の制御を実行させる。

図４は、通信ネットワーク２８０上を流れる信号が異常であるか否かを判定する方法の一例である。図４の「正常パターン」は、正規の周期Ｔで送信される信号である。図４の「攻撃パターン」は、例えば、正規の信号になりすますための不正な信号を第三者が通信ネットワーク２８０に送信するパターンである。信号判定部２１０は、予め定められた監視ウィンドウ（期間）内で、通信ネットワーク２８０上に送信される信号の数を計数する。信号判定部２１０は、計数される信号の数が予め定められた閾値を超える場合に、通信ネットワーク２８０上に流れる信号が異常であると判定する。図４の例では、信号判定部２１０は、監視ウィンドウ２において通信ネットワーク２８０上に流れていた信号が異常であると判定する。

図５は、通信ネットワーク２８０上を流れる信号が異常であるか否かを判定する方法の他の一例である。図５の「正常パターン」は、正規の周期Ｔの送信タイミングのうちの一部の送信タイミングで送信される正規の信号とともに、イベント信号や割り込み信号が送信されるパターンである。図５の「攻撃パターン」は、例えば、正規の信号になりすますための不正な信号を第三者が通信ネットワーク２８０に送信するパターンである。信号判定部２１０は、ある信号が送信されたタイミングを基準として規定周期以内で連続して送信される信号の数を計数する。信号判定部２１０は、計数される信号の数が予め定められた閾値を超える場合に、通信ネットワーク２８０上に流れる信号が異常であると判定する。図５の例では、信号判定部２１０は、規定周期以内で連続して送信される信号の数が３回に到達した場合に、通信ネットワーク２８０上に流れていた信号が異常であると判定する。

図６は、ＥＣＵ２０２が実行する手順を示すフローチャートである。信号判定部２１０は、通信ネットワーク２８０上を流れる信号を解析して、異常を検出する。例えば、信号判定部２１０は、図４及び図５に関連して説明したように、監視ウィンドウ内の信号の数を計数する。また、信号の送信タイミングを基準として規定周期以内で連続して送信される信号の数を計数する。Ｓ３０４において、信号判定部２１０は、通信ネットワーク２８０上を流れる信号が異常であるか否かを判定する。例えば、図４及び図５に関連して説明したように、計数した信号の数が予め定められた閾値を超えるか否かを判定する。Ｓ３０４において通信ネットワーク２８０上を流れる信号が異常であると判定した場合は、本フローチャートの処理を終了する。

Ｓ３０４において信号判定部２１０が通信ネットワーク２８０上を流れる信号が異常であると判定した場合、送信元判定部２２０は、Ｓ３０６において送信元ＥＣＵの状態を特定し、Ｓ３０８において送信元ＥＣＵの状態が正常であるか異常であるかを判定する。送信元ＥＣＵの状態を特定する方法については後述する。Ｓ３０８において送信元ＥＣＵの状態が正常と判定した場合、通信ネットワーク２８０に対する攻撃が発生していると判定する（Ｓ３１０）。続いて、Ｓ３１２において、Ｓ３０４で異常と判定された信号に関するログ情報を収集し、記憶部２７０に記憶して、本フローチャートの処理を終了する。ログ情報は、例えば、異常と判定された信号や異常と判定された信号の送信タイミング等、通信ネットワーク２８０に対する攻撃を解析するために必要な情報である。記憶部２７０に記憶されたログ情報は、ＴＣＵ２０１を通じて外部のログ収集サーバへ送信される。

Ｓ３０８において送信元ＥＣＵの状態が異常であると判定した場合、Ｓ３１４において、攻撃判定部２４０はＥＣＵの故障により異常な信号が送信されたと判定する。ここで、攻撃判定部２４０は、ＥＣＵが故障した、すなわち攻撃がないという判定をしてもよいし、ＥＣＵの故障を確認したうえで引き続き攻撃の可能性については確認を続ける、つまり攻撃判定を留保してもよい。なお、ＥＣＵ２０２は、本フローチャートの処理を繰り返し実行してよい。ＥＣＵ２０２は、本フローチャートの処理を予め定められた時間間隔で実行してよい。ＥＣＵ２０２は、本フローチャートの処理を常時実行してもよい。

図７は、送信元判定部２２０が送信元ＥＣＵの状態を特定する方法を説明するための図である。図７には、ＩＤ０ｘ１００が設定されたフレームと、ＩＤとして０ｘ２００が設定されたフレームが送信される様子を示す。なお、ＩＤは、信号の種類を表す。例えばＩＤは、信号が搬送するデータの種類を示す。例えば、車速センサから情報を取得するＥＣＵは、車速センサで検出された車速データを含む信号を送信する場合に、車速に対応づけられた特定のＩＤを信号に付与して、通信ネットワーク２８０に送信する。そのため、ＥＣＵ２０３、ＥＣＵ２０４、ＥＣＵ２０５及びＥＣＵ２０６のうちどのＥＣＵが、どのＩＤを付与して信号を送信するかが決まる。

図７に示されるように、ＩＤ０ｘ１００が設定された信号は、周期Ｔより短い時間間隔で送信されている。そのため、信号判定部２１０は、ＩＤ０ｘ１００が設定された信号群が異常であると判定する。一方、ＩＤ０ｘ２００が設定された信号は、周期Ｔで送信されている。そのため、信号判定部２１０はＩＤ０ｘ２００が設定された信号群が異常でないと判定する。

信号判定部２１０によってＩＤとして０ｘ１００が設定されている信号が異常であると判定されると、送信元判定部２２０は、ＥＣＵ２０３、ＥＣＵ２０４、ＥＣＵ２０５及びＥＣＵ２０６のうち、ＩＤとして０ｘ１００を設定して信号を送信することが定められたＥＣＵを特定する。ここで、ＩＤに０ｘ１００を設定して送信するＥＣＵが０ｘ２００を付与した信号も送信することが決まっているものとする。図７に示されるように、ＩＤとして０ｘ２００が設定される信号は、信号判定部２１０によって正常であると判定されている。そのため、送信元判定部２２０は、ＩＤに０ｘ１００を設定する送信元ＥＣＵの状態は正常である（故障していない）と判定する。よって、攻撃判定部２４０は、ＩＤ０ｘ１００が設定される信号を用いた攻撃が発生したと判定する。

図８は、送信元判定部２２０が送信元ＥＣＵの状態を特定する他の方法を説明するための図である。図８に示す信号は、同一のＥＣＵが送信する信号であるとする。送信元判定部２２０は、個別信号判定部２３０によって信号毎の正常・異常の判定結果に基づいて、送信元ＥＣＵの状態を特定する。なお、個別信号判定部２３０が信号毎に正常・異常を判定する方法については後述する。

図８に示されるように、個別信号判定部２３０によって異常と判定された信号の次に送信される信号は、正常と判定されている。そのため、送信元判定部２２０は、送信元ＥＣＵの状態は正常であると判定する。その結果、攻撃判定部２４０は、通信ネットワーク２８０に対する攻撃が発生したと判定する。

図９は、送信元判定部２２０が送信元ＥＣＵの状態を特定する他の方法を説明するための図である。図９に示す信号は、同一のＥＣＵが送信する信号であるとする。図９に示されるように、個別信号判定部２３０によって異常と判定された信号より後に送信される信号は、全て異常と判定されている。そのため、送信元判定部２２０は、送信元ＥＣＵの状態は異常であると判定する。

図１０及び図１１は、個別信号判定部２３０が信号毎に正常・異常を判定する方法を説明するための図である。図１０及び図１１のグラフの横軸は信号を受信する毎にカウントアップされる数であり、縦軸は信号間隔である。図１０及び図１１のグラフは、同一ＩＤの信号が受信される毎に信号間隔をプロットしたものである。信号間隔は、直前に信号を受信したタイミングからの経過時間である。

図１０に一例を示すように、受信数に対して信号間隔をプロットすると特定のパターンで受信される場合があることがわかる。個別信号判定部２３０は、通信ネットワーク２８０上の信号の信号間隔をＩＤ毎に時系列で収集し、ＩＤ毎に送信間隔のパターンを学習して、機械学習によってＩＤ毎に学習済みモデルを生成する。そして、個別信号判定部２３０は、通信ネットワーク２８０を流れる信号の受信間隔をＩＤ毎に収集し、ＩＤ毎に収集した受信間隔データと、ＩＤ毎に生成した学習済みモデルとを用いて、次の信号の信号間隔のパターン１０１０を予測する。個別信号判定部２３０は、予測したパターン１０１０と、実際に受信した信号の信号間隔とを比較する。図１０は、予測したパターン１０１０と実際に受信した信号の信号間隔のパターンとが予め定められた値以上の一致度で一致していない場合を示し、図１１は、予測したパターン１０１０と実際に受信した信号の信号間隔のパターンとが予め定められた値以上の一致度で一致している場合を示す。

図１１に示されるように、個別信号判定部２３０は、予測したパターン１０１０と実際に受信した信号の信号間隔のパターンとが予め定められた値以上の一致度で一致している場合に、実際に受信した信号が正常であると判定する。図１０に示されるように、予測したパターン１０１０と実際に受信した信号の信号間隔のパターンとが予め定められた値以上の一致度で一致していない場合に、実際に受信した信号が正常であると判定する。

図１２は、個別信号判定部２３０が信号毎に正常・異常を判定するために用いる参照データのデータ構造を示す。参照データは、ＩＤと、許容値と、変化率とを対応づける。「ＩＤ」は、信号に付与するＩＤである。許容値は、信号のペイロード値として設定されることが許容される値である。「変化率」は許容されるペイロード値の時間変化率である。

例えば、ＩＤ０ｘ１０１は灯火の点灯状態の制御値を送信する信号に設定されるＩＤであるとする。「０」は消灯状態を示し、「１」は点灯状態を示すものとする。許容値の「０，１」は、ペイロート値として「０」又は「１」が設定可能であることを示す。個別信号判定部２３０は、ＩＤに０ｘ１０１が設定され、ペイロート値に「２」が設定されている信号を検出した場合、そのペイロード値は参照データで設定された許容値の範囲外であるため、検出した信号は異常であると判定する。

図１２において、ＩＤ０ｘ１０２は車速の計測値をペイロード値として含む信号に設定されるＩＤであるとする。許容値の「１－１８０ｋｍ／ｈ」は、ペイロート値には０ｋｍ／ｈ以上、１８０ｋｍ／ｈ以下の範囲で設定可能であることを示す。変化率８０ｋｍ／ｈは、直近に送信された車速信号のペイロード値からの変化率として許容される。３０ｋｍ／ｈの車速信号が１２０ｋｍ／ｈに変化する信号を検出した場合、ペイロード値の変化率は参照データで設定された変化率８０ｋｍ／ｈを超えるため、個別信号判定部２３０は、検出した信号が異常であると判定する。

図１３は、個別信号判定部２３０がアライブカウンタを用いて信号の正常・異常を判定するための方法を説明するための図である。図１３の「正常時」には、正常に変化するアライブカウンタの値を示す。アライブカウンタが送信される毎にインクリメントされている場合、個別信号判定部２３０は各信号が正常であると判定する。

図１３の「攻撃時」には、３種類の攻撃パターンが示されている。攻撃パターン１は、第三者が通信ネットワーク２８０に直近に送信された信号と同じアライブカウンタを設定する攻撃パターンである。攻撃パターン２は、第三者が固定のアライブカウンタを設定する攻撃パターンである。攻撃パターン３は、第三者が直近に通信ネットワーク２８０に送信されたアライブカウンタから推定されるアライブカウンタを設定する攻撃パターンである。いずれの攻撃パターンにおいても、アライブカウンタはインクリメントされていない。しかし、周期Ｔで送信される信号群の中には、アライブカウンタがインクリメントされる信号群も存在する。そのため、個別信号判定部２３０は、周期Ｔで送信される信号群の中に、アライブカウンタがインクリメントされる信号群が存在する場合、当該信号群に属する信号は正常と判定する。一方、個別信号判定部２３０は、アライブカウンタがインクリメントされない信号群に属する信号は異常と判定する。

図１３の「故障時」には、２種類の故障パターンが示されている。故障パターン１は、アライブカウンタが一巡する周期が短くなるパターンである。個別信号判定部２３０は、アライブカウンタが一巡する周期が閾値より短い信号が検出された場合には、全ての信号が異常と判定する。また、送信元判定部２２０は、異常と判定された信号の送信元ＥＣＵの状態を異常と判定する。故障パターン２は、アライブカウンタに固定値が設定されるパターンである。個別信号判定部２３０は、アライブカウンタに固定値が設定されている信号が検出された場合には、全ての信号が異常と判定する。また、送信元判定部２２０は、異常と判定された信号の送信元ＥＣＵの状態を異常と判定する。

以上に説明したように、ＥＣＵ２０２は、通信ネットワーク２８０上に異常な信号が流れていると判定した場合、異常な信号を送信した他のＥＣＵが正常であるか否かを判定する。異常な信号の送信元ＥＣＵが正常である場合に、通信ネットワーク２８０に対する攻撃が発生していたと判定し、異常な信号を解析するためのログ情報を収集し、ＴＣＵ２０１を通じて外部のサーバに送信する。一方、異常な信号の送信元ＥＣＵが正常でない場合は、異常な信号の送信したＥＣＵが故障していると判定する。この場合、ＥＣＵ２０２は、ログ情報を収集せず、ログ情報を外部のサーバに送信しない。これにより、故障したＥＣＵが通信ネットワーク２８０上に異常な信号が送信している場合に、その信号から攻撃を受けていると誤判断する可能性を低くすることができる。そのため、ログ情報の記憶するために必要な記憶リソースを削減することができる。また、ログ情報を車両２０外へ送信するための通信トラフィックを低減することができる。

なお、上記の実施形態は、ＥＣＵ２０２が判定装置として機能する。他の実施形態として、他のＥＣＵが機能する形態を採用できる。

車両２０は、輸送機器の一例としての車両である。車両は、内燃機関を備える自動車、電気自動車、燃料電池自動車（ＦＣＶ）等の自動車であってよい。自動車は、バス、トラック、二輪自動車等を含む。車両は、鞍乗型車両等であってよく、バイクであってよい。輸送機器としては、車両の他に、無人航空機を含む航空機、船舶等の機器を含む。輸送機器は、人又は物品を輸送する任意の機器であってよい。輸送機器は移動体の一例である。移動体は、輸送機器に限らず、移動可能な任意の機器であってよい。

図１４は、本発明の複数の実施形態が全体的又は部分的に具現化され得るコンピュータ２０００の例を示す。コンピュータ２０００にインストールされたプログラムは、コンピュータ２０００を、実施形態に係る制御システム等のシステム又は当該システムの各部として機能させる、当該システム又は当該システムの各部に関連付けられるオペレーションを実行させる、及び／又は、実施形態に係るプロセス又は当該プロセスの段階を実行させることができる。そのようなプログラムは、コンピュータ２０００に、本明細書に記載の処理手順及びブロック図のブロックのうちのいくつか又はすべてに関連付けられた特定のオペレーションを実行させるべく、ＣＰＵ２０１２によって実行されてよい。

本実施形態によるコンピュータ２０００は、ＣＰＵ２０１２、及びＲＡＭ２０１４を含み、それらはホストコントローラ２０１０によって相互に接続されている。コンピュータ２０００はまた、ＲＯＭ２０２６、フラッシュメモリ２０２４、通信インタフェース２０２２、及び入力／出力チップ２０４０を含む。ＲＯＭ２０２６、フラッシュメモリ２０２４、通信インタフェース２０２２、及び入力／出力チップ２０４０は、入力／出力コントローラ２０２０を介してホストコントローラ２０１０に接続されている。

ＣＰＵ２０１２は、ＲＯＭ２０２６及びＲＡＭ２０１４内に格納されたプログラムに従い動作し、それにより各ユニットを制御する。

通信インタフェース２０２２は、ネットワークを介して他の電子デバイスと通信する。フラッシュメモリ２０２４は、コンピュータ２０００内のＣＰＵ２０１２によって使用されるプログラム及びデータを格納する。ＲＯＭ２０２６は、アクティブ化時にコンピュータ２０００によって実行されるブートプログラム等、及び／又はコンピュータ２０００のハードウエアに依存するプログラムを格納する。入力／出力チップ２０４０はまた、キーボード、マウス及びモニタ等の様々な入力／出力ユニットをシリアルポート、パラレルポート、キーボードポート、マウスポート、モニタポート、ＵＳＢポート、ＨＤＭＩ（登録商標）ポート等の入力／出力ポートを介して、入力／出力コントローラ２０２０に接続してよい。

プログラムは、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、又はメモリカードのようなコンピュータ可読記憶媒体又はネットワークを介して提供される。ＲＡＭ２０１４、ＲＯＭ２０２６、又はフラッシュメモリ２０２４は、コンピュータ可読記憶媒体の例である。プログラムは、フラッシュメモリ２０２４、ＲＡＭ２０１４、又はＲＯＭ２０２６にインストールされ、ＣＰＵ２０１２によって実行される。これらのプログラム内に記述される情報処理は、コンピュータ２０００に読み取られ、プログラムと上記様々なタイプのハードウエアリソースとの間の連携をもたらす。装置又は方法が、コンピュータ２０００の使用に従い情報のオペレーション又は処理を実現することによって構成されてよい。

例えば、コンピュータ２０００及び外部デバイス間で通信が実行される場合、ＣＰＵ２０１２は、ＲＡＭ２０１４にロードされた通信プログラムを実行し、通信プログラムに記述された処理に基づいて、通信インタフェース２０２２に対し、通信処理を命令してよい。通信インタフェース２０２２は、ＣＰＵ２０１２の制御下、ＲＡＭ２０１４及びフラッシュメモリ２０２４のような記録媒体内に提供される送信バッファ処理領域に格納された送信データを読み取り、読み取った送信データをネットワークに送信し、ネットワークから受信された受信データを、記録媒体上に提供される受信バッファ処理領域等に書き込む。

また、ＣＰＵ２０１２は、フラッシュメモリ２０２４等のような記録媒体に格納されたファイル又はデータベースの全部又は必要な部分がＲＡＭ２０１４に読み取られるようにし、ＲＡＭ２０１４上のデータに対し様々な種類の処理を実行してよい。ＣＰＵ２０１２は次に、処理されたデータを記録媒体にライトバックする。

様々なタイプのプログラム、データ、テーブル、及びデータベースのような様々なタイプの情報が記録媒体に格納され、情報処理にかけられてよい。ＣＰＵ２０１２は、ＲＡＭ２０１４から読み取られたデータに対し、本明細書に記載され、プログラムの命令シーケンスによって指定される様々な種類のオペレーション、情報処理、条件判断、条件分岐、無条件分岐、情報の検索／置換等を含む、様々な種類の処理を実行してよく、結果をＲＡＭ２０１４にライトバックする。また、ＣＰＵ２０１２は、記録媒体内のファイル、データベース等における情報を検索してよい。例えば、各々が第２の属性の属性値に関連付けられた第１の属性の属性値を有する複数のエントリが記録媒体内に格納される場合、ＣＰＵ２０１２は、第１の属性の属性値が指定されている、条件に一致するエントリを当該複数のエントリの中から検索し、当該エントリ内に格納された第２の属性の属性値を読み取り、それにより予め定められた条件を満たす第１の属性に関連付けられた第２の属性の属性値を取得してよい。

上で説明したプログラム又はソフトウェアモジュールは、コンピュータ２０００上又はコンピュータ２０００近傍のコンピュータ可読記憶媒体に格納されてよい。専用通信ネットワーク又はインターネットに接続されたサーバーシステム内に提供されるハードディスク又はＲＡＭのような記録媒体が、コンピュータ可読記憶媒体として使用可能である。コンピュータ可読記憶媒体に格納されたプログラムを、ネットワークを介してコンピュータ２０００に提供してよい。

コンピュータ２０００にインストールされ、コンピュータ２０００をＥＣＵ２０２として機能させるプログラムは、ＣＰＵ２０１２等に働きかけて、コンピュータ２０００を、ＥＣＵ２０２の各部としてそれぞれ機能させてよい。これらのプログラムに記述された情報処理は、コンピュータ２０００に読込まれることにより、ソフトウエアと上述した各種のハードウエア資源とが協働した具体的手段であるＥＣＵ２０２の各部として機能する。そして、これらの具体的手段によって、本実施形態におけるコンピュータ２０００の使用目的に応じた情報の演算又は加工を実現することにより、使用目的に応じた特有のＥＣＵ２０２が構築される。

様々な実施形態が、ブロック図等を参照して説明された。ブロック図において各ブロックは、（１）オペレーションが実行されるプロセスの段階又は（２）オペレーションを実行する役割を持つ装置の各部を表わしてよい。特定の段階及び各部が、専用回路、コンピュータ可読記憶媒体上に格納されるコンピュータ可読命令と共に供給されるプログラマブル回路、及び／又はコンピュータ可読記憶媒体上に格納されるコンピュータ可読命令と共に供給されるプロセッサによって実装されてよい。専用回路は、デジタル及び／又はアナログハードウエア回路を含んでよく、集積回路（ＩＣ）及び／又はディスクリート回路を含んでよい。プログラマブル回路は、論理ＡＮＤ、論理ＯＲ、論理ＸＯＲ、論理ＮＡＮＤ、論理ＮＯＲ、及び他の論理オペレーション、フリップフロップ、レジスタ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、プログラマブルロジックアレイ（ＰＬＡ）等のようなメモリ要素等を含む、再構成可能なハードウエア回路を含んでよい。

コンピュータ可読記憶媒体は、適切なデバイスによって実行される命令を格納可能な任意の有形なデバイスを含んでよく、その結果、そこに格納される命令を有するコンピュータ可読記憶媒体は、処理手順又はブロック図で指定されたオペレーションを実行するための手段をもたらすべく実行され得る命令を含む製品の少なくとも一部を構成する。コンピュータ可読記憶媒体の例としては、電子記憶媒体、磁気記憶媒体、光記憶媒体、電磁記憶媒体、半導体記憶媒体等が含まれてよい。コンピュータ可読記憶媒体のより具体的な例としては、フロッピー（登録商標）ディスク、ディスケット、ハードディスク、ランダムアクセスメモリ（ＲＡＭ）、リードオンリメモリ（ＲＯＭ）、消去可能プログラマブルリードオンリメモリ（ＥＰＲＯＭ又はフラッシュメモリ）、電気的消去可能プログラマブルリードオンリメモリ（ＥＥＰＲＯＭ）、静的ランダムアクセスメモリ（ＳＲＡＭ）、コンパクトディスクリードオンリメモリ（ＣＤ－ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、ブルーレイ（ＲＴＭ）ディスク、メモリスティック、集積回路カード等が含まれてよい。

コンピュータ可読命令は、アセンブラ命令、命令セットアーキテクチャ（ＩＳＡ）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、又はＳｍａｌｌｔａｌｋ（登録商標）、ＪＡＶＡ（登録商標）、Ｃ＋＋等のようなオブジェクト指向プログラミング言語、及び「Ｃ」プログラミング言語又は同様のプログラミング言語のような従来の手続型プログラミング言語を含む、１又は複数のプログラミング言語の任意の組み合わせで記述されたソースコード又はオブジェクトコードのいずれかを含んでよい。

コンピュータ可読命令は、汎用コンピュータ、特殊目的のコンピュータ、若しくは他のプログラム可能なデータ処理装置のプロセッサ又はプログラマブル回路に対し、ローカルに又はローカルエリアネットワーク（ＬＡＮ）、インターネット等のようなワイドエリアネットワーク（ＷＡＮ）を介して提供され、説明された処理手順又はブロック図で指定されたオペレーションを実行するための手段をもたらすべく、コンピュータ可読命令を実行してよい。プロセッサの例としては、コンピュータプロセッサ、処理ユニット、マイクロプロセッサ、デジタル信号プロセッサ、コントローラ、マイクロコントローラ等を含む。

以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されない。上記実施の形態に、多様な変更または改良を加えることが可能であることが当業者に明らかである。その様な変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。

特許請求の範囲、明細書、及び図面中において示した装置、システム、プログラム、及び方法における動作、手順、ステップ、及び段階等の各処理の実行順序は、特段「より前に」、「先立って」等と明示しておらず、また、前の処理の出力を後の処理で用いるのでない限り、任意の順序で実現しうることに留意すべきである。特許請求の範囲、明細書、及び図面中の動作フローに関して、便宜上「まず、」、「次に、」等を用いて説明したとしても、この順で実施することが必須であることを意味するものではない。

１０ 制御システム
２０ 車両
２０１ ＴＣＵ
２０２、２０３、２０４、２０５、２０６ ＥＣＵ
２１０ 信号判定部
２２０ 送信元判定部
２３０ 個別信号判定部
２４０ 攻撃判定部
２６０ 処理部
２７０ 記憶部
２８０ 通信ネットワーク
１０１０ パターン
２０００ コンピュータ
２０１０ ホストコントローラ
２０１２ ＣＰＵ
２０１４ ＲＡＭ
２０２０ 入力／出力コントローラ
２０２２ 通信インタフェース
２０２４ フラッシュメモリ
２０２６ ＲＯＭ
２０４０ 入力／出力チップ

Claims (14)

1. 移動体内の通信ネットワーク上を流れている信号が異常であるか否かを判定する信号判定部と、
   前記信号判定部によって前記通信ネットワーク上を流れている信号が異常であると判定された場合に、前記異常な信号の送信元となる通信装置が正常であるか否かを判定する送信元判定部と、
   前記信号判定部によって前記通信ネットワーク上を流れている信号が異常であると判定され、前記送信元判定部によって前記異常な信号の送信元となる通信装置が正常であると判定された場合に、前記通信ネットワークに対する攻撃が発生した判定する攻撃判定部と
   を備える判定装置。
2. 前記攻撃判定部によって前記通信ネットワークに対し攻撃が発生したと判定された場合、前記異常な信号に関する情報を外部装置に送信する
   請求項１に記載の判定装置。
3. 前記信号判定部は、前記通信ネットワーク上を流れている信号が異常であるか否かを、信号の種類毎に判定する
   請求項１又は２に記載の判定装置。
4. 前記送信元判定部は、前記信号判定部によって前記通信ネットワーク上を流れている第１の種類の信号が異常であると判定された場合において、前記信号判定部によって前記第１の種類の信号の送信元となる通信装置から前記通信ネットワークに送信されている第２の種類の信号が異常でないと判定された場合に、前記送信元となる通信装置が正常であると判定する
   請求項３に記載の判定装置。
5. 前記通信ネットワーク上を流れている信号のそれぞれが異常であるか否かを信号毎に判定する個別信号判定部
   をさらに備え、
   前記信号判定部によって前記通信ネットワーク上を流れる信号が異常と判定された場合、前記送信元判定部は、
   前記個別信号判定部によって異常であると判定された第１の信号の送信元となる通信装置から前記第１の信号より後に前記通信ネットワーク上に送信された第２の信号の中に前記個別信号判定部によって異常でないと判定された信号が含まれる場合に、前記送信元となる通信装置が正常であると判定し、
   前記個別信号判定部によって異常であると判定された第１の信号の送信元となる通信装置から前記第１の信号より後に前記通信ネットワークに送信された第２の信号の中に前記個別信号判定部によって異常でないと判定された信号を含まない場合に、前記送信元となる通信装置が異常であると判定する
   請求項１から４のいずれか一項に記載の判定装置。
6. 前記個別信号判定部は、前記通信ネットワーク上を流れる信号の種類毎に、前記通信ネットワーク上を流れる信号の送信パターンを学習し、学習された送信パターンとは異なる送信パターンで前記通信ネットワーク上に送信されている信号を検出した場合に、前記検出された信号が異常であると判定する
   請求項５に記載の判定装置。
7. 前記個別信号判定部は、前記通信ネットワーク上を流れる信号のペイロード値を抽出し、予め定められた値とは異なるペイロード値が抽出された信号が異常であると判定する
   請求項５に記載の判定装置。
8. 前記個別信号判定部は、前記通信ネットワーク上を流れる信号のペイロード値を抽出し、前記抽出されるペイロード値の時間的な変化量が予め定められた条件を満たさない信号が異常であると判定する
   請求項５に記載の判定装置。
9. 前記移動体は車両であり、前記通信装置はＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）であり、前記通信ネットワークはＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）であり、
   前記個別信号判定部及び前記送信元判定部は、前記ＣＡＮに接続されたＥＣＵから送信されるフレームのアライブカウンタの値の変化に基づいて、前記通信ネットワーク上を流れている信号のそれぞれが異常であるか否かを信号毎に判定し、前記異常と判定された信号を送信した通信装置が正常であるか否かを判定する
   請求項５に記載の判定装置。
10. 前記移動体は車両である
    請求項１から９のいずれか一項に記載の判定装置。
11. 前記通信装置はＥＣＵであり、前記通信ネットワークはＣＡＮである
    請求項１０に記載の判定装置。
12. 請求項１から１１のいずれか一項に記載の判定装置を備える移動体。
13. 移動体内の通信ネットワーク上を流れている信号が異常であるか否かを判定する信号判定段階と、
    前記信号判定段階によって前記通信ネットワーク上を流れている信号が異常であると判定された場合に、前記異常な信号の送信元となる通信装置が正常であるか否かを判定する送信元判定段階と、
    前記信号判定段階によって前記通信ネットワーク上を流れている信号が異常であると判定され、前記送信元判定段階によって前記異常な信号の送信元となる通信装置が正常であると判定された場合に、前記通信ネットワークに対する攻撃が発生した判定する攻撃判定段階と
    を備える判定方法。
14. コンピュータを、移動体内の通信ネットワーク上を流れている信号が異常であるか否かを判定する信号判定部、
    前記信号判定部によって前記通信ネットワーク上を流れている信号が異常であると判定された場合に、前記異常な信号の送信元となる通信装置が正常であるか否かを判定する送信元判定部、
    前記信号判定部によって前記通信ネットワーク上を流れている信号が異常であると判定され、前記送信元判定部によって前記異常な信号の送信元となる通信装置が正常であると判定された場合に、前記通信ネットワークに対する攻撃が発生した判定する攻撃判定部
    として機能させるためのプログラム。

Images