JP2023096727A - 車載装置、プログラム及び、情報処理方法 - Google Patents

Abstract

【課題】車載ＥＣＵから送信されるデータを、当該データの受信時点等の経時的要素と関連付けて保存等し、当該経時的要素が関連付けられたデータを用いて、車載ＥＣＵから送信されるデータに関する処理を効率的に行うことができる車載装置等を提供する。
【解決手段】車載装置は、車両に搭載される車載ＥＣＵと通信可能に接続される車載装置であって、前記車載ＥＣＵから送信される送信データに関する処理を行う制御部を備え、前記制御部は、前記車載ＥＣＵから送信される送信データを受信し、受信した送信データと、該送信データの受信時点とを関連付けて、時系列データベースに登録し、前記時系列データベースに登録された送信データから、異常な送信データを特定し、特定した異常な送信データに関する情報を、異常履歴データベースに登録する。
【選択図】図１

Description

本発明は、車載装置、プログラム及び、情報処理方法に関する。

従来、車両に搭載されたＥＣＵ（Electronic Control Unit）等の複数の装置間で行われる通信に用いられる通信プロトコルには、ＣＡＮ（Controller Area Network）の通信プロトコルが広く採用されていた。

特許文献１においては、車両のＣＡＮに接続され、装置診断コマンドにより車載機器に動作を実行させて、この車載機器が送信する状態応答データを取り込み、車載機器の動作状態を判断する検知・制御統合装置が提案されている。

特開２００９－２２０８００号公報

しかしながら、特許文献１の検知・制御統合装置は、車載ＥＣＵ（Electronic Control Unit）から送信されるＣＡＮ（Controller Area Network）メッセージ等のデータを、当該データの受信時点等の経時的要素と関連付けて保存及び管理等を行う点が、考慮されていないという問題点がある。

本開示の目的は、車載ＥＣＵから送信されるデータを、当該データの受信時点等の経時的要素と関連付けて保存等し、当該経時的要素が関連付けられたデータを用いて、車載ＥＣＵから送信されるデータに関する処理を効率的に行うことができる車載装置等を提供する。

本開示の一態様に係る車載装置は、車両に搭載される車載ＥＣＵと通信可能に接続される車載装置であって、前記車載ＥＣＵから送信される送信データに関する処理を行う制御部を備え、前記制御部は、前記車載ＥＣＵから送信される送信データを受信し、受信した送信データと、該送信データの受信時点とを関連付けて、時系列データベースに登録し、前記時系列データベースに登録された送信データから、異常な送信データを特定し、特定した異常な送信データに関する情報を、異常履歴データベースに登録する。

本開示の一態様によれば、車載ＥＣＵから送信されるデータを、当該データの受信時点等の経時的要素と関連付けて保存等し、当該経時的要素が関連付けられたデータを用いて、車載ＥＣＵから送信されるデータに関する処理を効率的に行う車載装置等を提供することができる。

実施形態１に係る車載装置を含む車載システムの構成を例示する模式図である。 車載装置の物理構成を例示するブロック図である。 車載装置の記憶部に記憶される各種データベースを例示した説明図（ＥＲ図）である。 時系列データベース（ＣＡＮメッセージ用テーブル）を例示した説明図である。 時系列データベース（ＩＰパケット用テーブル）を例示した説明図である。 異常履歴データベースを例示した説明図である。 攻撃検出データベースを例示した説明図である。 車載装置の制御部に含まれる機能部を例示する機能ブロック図である。 攻撃検出の態様を例示した説明図である。 車載装置の制御部の処理を例示するフローチャートである。

［本開示の実施形態の説明］
最初に本開示の実施態様を列挙して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

（１）本開示の一態様に係る車載装置は、車両に搭載される車載ＥＣＵと通信可能に接続される車載装置であって、前記車載ＥＣＵから送信される送信データに関する処理を行う制御部を備え、前記制御部は、前記車載ＥＣＵから送信される送信データを受信し、受信した送信データと、該送信データの受信時点とを関連付けて、時系列データベースに登録し、前記時系列データベースに登録された送信データから、異常な送信データを特定し、特定した異常な送信データに関する情報を、異常履歴データベースに登録する。

本態様にあたっては、車載装置の制御部は、車載ＥＣＵからの送信データを、当該送信データの受信時点と関連付けて、当該車載装置が備える記憶部等、アクセス可能な処理の記憶領域に記憶されている時系列データベースに登録する。これにより、当該車載装置が備える時系列データベースに、車載装置が受信した複数の送信データそれぞれを、受信時点等の経時的要素を関連付けて時系列に登録することができ、当該経時的要素が関連付けられた複数の送信データに対し、種々の観点からの検索及び分析処理等を行うことができる。車載装置の制御部は、当該検索及び分析処理等の一環として、時系列データベースに登録された送信データから特定した異常な送信データに関する情報（異常情報）を、異常履歴データベースに登録する。これにより、異常履歴データベースに登録された異常情報に対し、種々の観点からの検索及び分析処理等を行うことができる。このように受信した送信データを保存管理する時系列データベースと、当該受信した送信データの内の異常な送信データを保存管理する異常履歴データベースとを別データベース化することにより、これらデータベース同士における正規化を行い、個々のデータベースに特性に応じた好適化を図ることができる。

（２）本開示の一態様に係る車載装置は、前記制御部は、前記車載ＥＣＵから受信した送信データが正常であるか否かを判定し、正常と判定した送信データを前記時系列データベースに登録し、異常と判定した送信データを前記異常履歴データベースに登録する。

本態様にあたっては、車載装置の制御部は、車載ＥＣＵから送信データを受信（取得）した都度、当該送信データが正常であるか否かを判定し、正常な送信データは時系列データベースに登録し、異常な送信データは異常履歴データベースに登録する。このように、単一の送信データに基づき行うことができる正否判定を、これらデータベースに登録する前処理として実行し、当該正否判定の結果に応じて、時系列データベース又は異常履歴データベースのいずれかに登録することができる。これにより、時系列データベース及び異常履歴データベースの双方にて重複して登録されるデータ量を削減し、これらデータベースが記憶される記憶部における空き容量が逼迫することを抑制することができる。

（３）本開示の一態様に係る車載装置は、前記制御部は、前記車載ＥＣＵから受信した送信データが、予め定められた正常データリストに含まれる場合、該送信データは正常であると判定する。

本態様にあたっては、車載装置の記憶部には、正常な送信データを示す情報が列挙された正常データリストが記憶されており、車載装置の制御部は、正常データリストを参照し、受信した送信データが当該正常データリストに含まれている場合、送信データは正常であると判定する。正常データリストにて列挙されている情報（正常な送信データを示す情報）は、ＣＡＮにおいては、例えばＣＡＮ－ＩＤ（メッセージＩＤ）、ペイロードに含まれる値の範囲等となる。ＴＣＰ／ＩＰにおいては、例えばポート番号、送信元アドレス、又は送信先アドレス等を含むものであり、このような情報が列挙されている正常データリストは、正常な送信データを特定するためのホワイトリストに相当する。車載装置の制御部は、当該正常データリスト（ホワイトリスト）を参照することにより、受信した送信データが正常であるか否かを効率的に判定することができる。

（４）本開示の一態様に係る車載装置は、前記制御部は、前記車載ＥＣＵから受信した送信データに含まれる認証コード、検査コード、及びフォームの少なくとも１つにおいてエラーを検知した場合、該送信データは異常であると判定する。

本態様にあたっては、車載装置の制御部は、ＭＡＣ（Message Authentication Code）等の認証コード、ＣＲＣ（Cyclic Redundancy Check）等の検査コード、又はフォーム（ビット数が固定されたフィールドへの不正なビットの挿入）に対するエラーの検知結果に基づき、送信データが異常であるか否かを判定するため、正否判定を効率的に行うことができる。

（５）本開示の一態様に係る車載装置は、前記制御部は、前記時系列データベースに対し、所定の検索式を用いて複数の送信データを抽出し、複数の送信データの抽出結果に基づいて、異常な送信データを特定する。

本態様にあたっては、車載装置の記憶部には、時系列データベースに対し用いられる検索式（時系列データベース用検索式）が、例えばＳＱＬ（structured query language）等のクエリ記述言語を用いて定義されたクエリ定義ファイルとして記憶されている。車載装置の制御部は、当該クエリ定義ファイルを参照し、当該クエリ定義ファイルに記載されている検索式（クエリ）を用いて、時系列データベースに対し処理命令を行うことにより、異常な送信データを特定するにあたり必要な複数の送信データを効率的に抽出（検索）することができる。時系列データベースに対するクエリ定義ファイルを用いることにより、車載装置の制御部が実行する制御プログラムの本体となる実行ファイル（ｅｘｅファイル）とは分離して、クエリ定義ファイルを保存及び適用することができ、当該クエリ定義ファイルは、実行ファイルから呼び出されるものとなる。これにより、実行ファイル自体の更新処理（リプログラミング）を行うことなく、クエリ定義ファイルを変更又は更新することにより、時系列データベースに対する検索処理を可変させることができ、当該時系列データベースにおける可用性を向上させることができる。車載装置の記憶部に記憶される時系列データベース用のクエリ定義ファイルは、一つである場合に限定されず、複数のクエリ定義ファイルが記憶されるものであってもよい。これら複数のクエリ定義ファイルには、例えば、車両の状態（走行状態、停車状態、停止状態等）に対応した異なる検索式（クエリ）が定義（記載）されており、車載装置の制御部は、当該車両の状態に応じて、いずれかのクエリ定義ファイルを選択する。そして、車載装置の制御部は、選択したクエリ定義ファイルを用いて、時系列データベースから異常な送信データを特定（抽出）するものであってもよい。このように時系列データベースに対しクエリ定義ファイルを用いることにより、時系列データベースに対する処理の柔軟性を担保し、当該時系列データベースを用いて、異常な送信データを効率的に特定（抽出）することができる。

（６）本開示の一態様に係る車載装置は、前記制御部は、前記時系列データベース用の検索式を用いた送信データの抽出処理を周期的に行い、前記周期は、前記車載ＥＣＵから送信される送信データの受信頻度よりも長い。

本態様にあたっては、車載装置の制御部は、時系列データベース用の検索式を用いた送信データの抽出処理を周期的に行うため、当該周期的に行われた抽出結果に応じて、異常履歴データベースへの登録を周期的に行うことができる。これにより、異常履歴データベースにて登録されているデータの鮮度を担保することができる。抽出処理の周期は、送信データの受信頻度よりも長い期間に設定されているため、一周期の期間にて受信された複数の送信データに対する処理を行うことができ、過度な抽出処理が行われることによって制御部の処理負荷が増加することを抑制することができる。

（７）本開示の一態様に係る車載装置は、前記時系列データベース用の検索式は、送信データの受信時点を含む期間において、連関する複数の送信データにおける送信頻度、及びペイロードに含まれる内容の変化度の少なくとも１つに関する検索条件を含む。

本態様にあたっては、時系列データベース用の検索式（クエリ定義ファイル）は、送信データの受信時点を含む期間における、連関する複数の送信データにおける送信頻度、又はペイロードに含まれる内容の変化度に関する検索条件を含むため、当該時系列データベースを用いて、異常な送信データを効率的に特定（抽出）することができる。

（８）本開示の一態様に係る車載装置は、前記制御部は、前記時系列データベース及び異常履歴データベースに登録した情報に基づき、レポート情報を生成し、生成したレポート情報を、車外の外部サーバに出力する。

本態様にあたっては、車載装置の制御部は、時系列データベース及び異常履歴データベースに登録した情報に基づき生成したレポート情報を、例えば、ＳＯＣ（Security Operation Center）サーバ等の外部サーバに出力する。当該レポート情報は、例えば、一日単位での時系列データベース及び異常履歴データベースにおけるデータ種別毎の登録件数、異常な送信データに関する傾向等のサマリー情報を含む、ディリーレポートであってもよい。車載装置の制御部は、生成したレポート情報（ディリーレポート）をＳＯＣサーバ等に出力することにより、当該ＳＯＣサーバを所管又は運用管理するＳＯＣに対し、車載セキュリティ向上を図るための有益な情報を定期的に提供することができる。車載装置の制御部は、当該レポート情報に併せて、当該レポート情報の元データを時系列データベース及び異常履歴データベースから抽出し、抽出した元データをアーカイブ化したアーカイブデータをＳＯＣサーバ等の外部サーバに出力するものであってもよい。これにより、これら時系列データベース及び異常履歴データベースのデュプリケーションＤＢをＳＯＣサーバにて構築することができる。

（９）本開示の一態様に係る車載装置は、前記制御部は、前記異常履歴データベースに登録された異常な送信データから、攻撃性を有する送信データを特定し、特定した攻撃性を有する送信データに関する情報を、攻撃検出データベースに登録する。

本態様にあたっては、車載装置の制御部は、異常履歴データベースを用いた検索及び分析処理等の一環として、当該異常履歴データベースに登録された異常情報（異常な送信データに関する情報）から特定した攻撃性を有する送信データに関する情報（攻撃情報）を、攻撃検出データベースに登録する。これにより、異常な送信データであって、更に攻撃性を有する送信データのみを保存する攻撃検出データベースを構成することができ、当該攻撃検出データベースを用いて種々の観点からの検索及び分析処理等を行うことができ、攻撃検出データベースは、攻撃性を有する送信データに関する情報をリスト化したブラックリストに相当する。このように時系列データベース、異常履歴データベース、及び、攻撃性を有する送信データのみを保存する攻撃検出データベースを別データベース化することにより、これらデータベース同士における正規化を行い、個々のデータベースに特性に応じた好適化を図ることができる。

（１０）本開示の一態様に係る車載装置は、前記制御部は、前記異常履歴データベースに対し、前記時系列データベース用の検索式に含まれる複数の検索条件の組み合わせにより構成される検索式を用いて、攻撃性を有する送信データを特定する。

本態様にあたっては、車載装置の制御部は、時系列データベース用の検索式に含まれる複数の検索条件を組み合わせて構成した検索式を、異常履歴データベースに対して用いる。すなわち、時系列データベース用の検索式に含まれる複数の検索条件の内、例えば、送信頻度が所定値以上とする検索条件、及びペイロードの内容の変化度が所定値以上（急激な変化）とする検索条件を組み合わせたアンド条件にて、異常履歴データベース用の検索式（クエリ定義ファイル）を生成するものであってもよい。このように生成した異常履歴データベース用の検索式を用いることにより、異常履歴データベースから攻撃性を有する送信データを効率的に抽出（検索）し、特定することができる。車載装置の制御部は、これら抽出（検索）した攻撃性を有する複数の送信データに基づき、当該攻撃の種類を特定し、攻撃性を有する送信データに関する情報に、特定した攻撃の種類を含めて、攻撃検出データベース（ブラックリスト）に登録するものであってもよい。攻撃性を有する送信データに関する情報に攻撃の種類を含めて、攻撃検出データベースに登録することにより、当該攻撃検出データベースに登録されたデータの再利用性を向上させることができる。

（１１）本開示の一態様に係る車載装置は、前記制御部は、特定した攻撃性を有する送信データへの対応処置を実施し、実施した対応処置の関する情報を、攻撃性を有する送信データに関連付けて、前記攻撃検出データベースに登録する。

本態様にあたっては、車載装置の制御部は、攻撃性を有する送信データにおける攻撃の種類に基づき、例えば、ＭＡＣ生成鍵の入れ替え、使用するＣＡＮーＩＤの変更、冗長回路を用いた中継経路の変更、又は縮退運転モードへの遷移等、適切な対応処置を選択し、当該対応処置を実施する。又は、対応処置は、攻撃検出データベースに登録した情報（ブラックリスト）をブロードキャストすることにより、車両に搭載される全ての車載ＥＣＵに対し、送信するものであってもよい。車載装置の制御部による当該対応処置の実施は、車載装置自身が直接的に行う処置に限定されず、車載装置が、例えばヴィークルコンピュータ等にて構成され、車両全体の制御を行う統合ＥＣＵに、対応処置の実行指示を送信する処理を含むものであってもよい。この場合、車載装置からの実行指示を受信した統合ＥＣＵは、中継経路の変更等の対応処置を実施する。車載装置の制御部は、異常履歴データベースを用いて特定した攻撃性を有する送信データに対し、対応処置を実施するため、当該攻撃による影響を緩和することができる。車載装置の制御部は、実施した対応処置の関する情報を、攻撃性を有する送信データに関連付けて攻撃検出データベースに登録するため、当該攻撃検出データベースに登録されたデータの再利用性を向上させることができる。

（１２）本開示の一態様に係る車載装置は、前記制御部は、攻撃検出データベースに登録した情報を、車外の外部サーバに出力する。

本態様にあたっては、車載装置の制御部は、攻撃検出データベースに登録した情報（攻撃情報：攻撃性を有する送信データに関する情報）を、ＳＯＣサーバ等の外部サーバに出力するため、当該ＳＯＣサーバを所管又は運用管理するＳＯＣに対し、車載セキュリティ向上を図るための有益な情報を定期的に提供することができる。

（１３）本開示の一態様に係るプログラムは、車両に搭載される車載ＥＣＵと通信可能に接続されるコンピュータに、前記車載ＥＣＵから送信される送信データを受信し、受信した送信データと、該送信データの受信時点とを関連付けて、時系列データベースに登録し、前記時系列データベースに登録された送信データから、異常な送信データを特定し、特定した異常な送信データに関する情報を、異常履歴データベースに登録する処理を実行させる。

本態様にあたっては、コンピュータを、車載ＥＣＵから送信されるデータを、当該データの受信時点等の経時的要素と関連付けて保存等し、当該経時的要素が関連付けられたデータを用いて、車載ＥＣＵから送信されるデータに関する処理を効率的に行う車載装置として機能させることができる。

（１４）本開示の一態様に係る情報処理方法は、車両に搭載される車載ＥＣＵと通信可能に接続されるコンピュータに、前記車載ＥＣＵから送信される送信データを受信し、受信した送信データと、該送信データの受信時点とを関連付けて、時系列データベースに登録し、前記時系列データベースに登録された送信データから、異常な送信データを特定し、特定した異常な送信データに関する情報を、異常履歴データベースに登録する処理を実行させる。

本態様にあたっては、コンピュータを、車載ＥＣＵから送信されるデータを、当該データの受信時点等の経時的要素と関連付けて保存等し、当該経時的要素が関連付けられたデータを用いて、車載ＥＣＵから送信されるデータに関する処理を効率的に行う車載装置として機能させる情報処理方法を提供することができる。

[本開示の実施形態の詳細]
本発明をその実施の形態を示す図面に基づいて具体的に説明する。本開示の実施形態に係る車載装置２を、以下に図面を参照しつつ説明する。なお、本発明はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

（実施形態１）
以下、実施の形態について図面に基づいて説明する。図１は、実施形態１に係る車載装置２を含む車載システムＳの構成を例示する模式図である。図２は、車載装置２の物理構成を例示するブロック図である。車載システムＳは、車両Ｃに搭載された車載装置２を主たる装置として構成され、当該車載装置２は、車外通信装置１を介して、インターネット等の車外ネットワークに接続されるＳＯＣサーバＳ１１（Security Operation Center）、又はＳＩＲＴサーバＳ１２（Security Incident Response Team）等の外部サーバＳ１と通信可能に接続される。

車載装置２は、車両Ｃに搭載される全ての車載ＥＣＵ６から送信される送信データを受信（取得）し、当該送信データに基づき、車両Ｃが攻撃者によって攻撃されている否かを検知する侵入検知装置として機能する。車載装置２は、当該侵入検知装置として機能するにあたり、受信した送信データに対する判定レベルに応じた複数のデータベースを備えている。詳細は後述するが、当該複数のデータベースは、時系列データベース４１、異常履歴データベース４２、及び攻撃検出データベース４３を含み、車載装置２は、これらデータベースに登録されたデータを用いて、受信した送信データのうち、異常な送信データ、又は攻撃性を有する送信データを、対応するデータベースに登録する。車載装置２は、攻撃検出データベース４３に登録したデータに基づき、攻撃性を有する送信データに対する種々の対応処置を行うものであってもよい。

外部サーバＳ１は、例えばインターネット又は公衆回線網等の車外ネットワークに接続されているサーバ等のコンピュータであり、ＳＯＣサーバＳ１１及びＳＩＲＴサーバＳ１２を含む。ＳＯＣサーバＳ１１は、ＳＯＣ（Security Operation Center）によって運用管理されるサーバであり、車両Ｃにおけるセキュリティ問題に対する分析等を行う組織が所管するサーバである。侵入検知装置として機能する車載装置２は、攻撃性を有する送信データを検出した場合、当該送信データ等を特定したブラックリストを生成し、ＳＯＣサーバＳ１１に送信する。ＳＩＲＴサーバＳ１２は、ＳＩＲＴ（Security Incident Response Team）によって運用管理されるサーバであり、ＳＯＣによる分析結果等に基づき、攻撃に対する処置がされたプログラムの開発及び適用等を行う組織が所管するサーバである。ＳＩＲＴサーバＳ１２は、プログラムの更新処理（リプログラミング）を行う際、更新プログラムを提供するＯＴＡ（Over The Air）サーバによるものであってもよい。

侵入検知装置として機能する車載装置２は、攻撃性を有する送信データを検出した場合、当該送信データ等を特定したブラックリストを生成し、ＳＩＲＴサーバＳ１２についても、送信するものであってもよい。更に車載装置２は、時系列データベース４１、及び異常履歴データベース４２に登録されているデータについても、ＳＩＲＴサーバＳ１２等の外部サーバＳ１に送信するものであってもよい。

車両Ｃには、車外通信装置１、車載装置２、及び種々の車載機器（アクチュエータ、センサ）を制御するための複数の車載ＥＣＵ６が、搭載されている。車外通信装置１と車載装置２とは、例えばシリアルケーブル等のハーネスにより通信可能に接続されている。車載装置２及び車載ＥＣＵ６は、ＣＡＮ（Control Area Network）又はＥｔｈｅｒｎｅｔ（登録商標）等の通信プロトコルに対応した車載ネットワーク７によって通信可能に接続されている。

車外通信装置１は、車外通信部（図示せず）及び、車載装置２と通信するための入出力Ｉ／Ｆ（図示せず）（インターフェイス）を含む。車外通信部は、ＬＴＥ、４Ｇ、５Ｇ、ＷｉＦｉ等の移動体通信のプロトコルを用いて無線通信をするための通信装置であり、車外通信部に接続されたアンテナ１１を介して外部サーバＳ１とデータの送受信を行う。車外通信装置１と外部サーバＳ１との通信は、例えば公衆回線網又はインターネット等の外部ネットワークを介して行われる。

車載装置２は、侵入検知装置として機能する。当該侵入検知装置として機能する車載装置２は、ＣＡＮゲートウェイ又はイーサＳＷ（レイヤー２スイッチ又はレイヤー３スイッチ）等の中継装置（ＧＷ）として機能するものであってもよい。本実施形態にて図示する車載装置２（ＧＷ：中継装置）に、侵入検知装置の機能を実装することにより、車載ネットワーク７に接続される全ての車載ＥＣＵ６から送信されるデータ（送信データ）を確実に取得することができる。

車載装置２は、通信に関する中継に加え、二次電池等の電源装置から出力された電力を分配及び中継し、自装置（車載装置２）に接続されるアクチュエータ等の車載機器に電力を供給する電力分配装置としても機能するＰＬＢ（Power Lan Box）であってもよい。又は、車載装置２は、車両Ｃ全体をコントロールするボディＥＣＵの一機能部として構成されるものであってもよい。又は、車載装置２は、例えばヴィークルコンピュータ等の中央制御装置にて構成され、車両Ｃの全体的な制御を行う統合ＥＣＵであってもよい。すなわち、当該統合ＥＣＵは、自身が行う機能の一部として、本実施形態にて説明される侵入検知に関する処理を行うものであってもよい。

車載装置２は、制御部３、記憶部４及び車内通信部５を含む。制御部３は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等により構成してあり、記憶部４に予め記憶された制御プログラムＰ（プログラム製品）及びデータを読み出して実行することにより、種々の制御処理及び演算処理等を行うようにしてある。

記憶部４は、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してあり、制御プログラムＰ及び処理時に参照するデータが予め記憶してある。記憶部４に記憶された制御プログラムＰ（プログラム製品）は、車載装置２が読み取り可能な記録媒体４００から読み出された制御プログラムＰ（プログラム製品）を記憶したものであってもよい。また、図示しない通信網に接続されている図示しない外部コンピュータから制御プログラムＰをダウンロードし、記憶部４に記憶させたものであってもよい。記憶部４には、時系列データベース４１、異常履歴データベース４２、及び攻撃検出データベース４３が記憶されている。更に記憶部４には、これらデータベースに対する検索式（クエリ）が記述（定義）されたクエリ定義ファイルが記憶されている。これらデータベースの詳細については、後述する。

車内通信部５は、例えばＣＡＮ（Control Area Network）、ＣＡＮ－ＦＤ（CAN with Flexible Data Rate）又はイーサネット（ＴＣＰ／ＩＰ）等の通信プロトコルを用いた入出力インターフェイスである。車内通信部５は、ＣＡＮトランシーバにて構成されるＣＡＮ通信部５１、及びイーサネットＰＨＹ部にて構成されるイーサネット通信部５２を含み、車載装置２と車載ＥＣＵ６とが通信するための物理層に対応した通信部として機能する。

車内通信部５は、複数個設けられており、車内通信部５夫々に、車載ネットワーク７を構成する通信線７１夫々（イーサネットケーブル７１１、ＣＡＮバス７１２）、すなわちバス夫々が接続されている。このように車内通信部５を複数個設けることにより、車載ネットワーク７を複数個のバス又はセグメントに分け、各バス等に車載ＥＣＵ６を、当該車載ＥＣＵ６の機能に応じて接続するものであってもよい。車載装置２の制御部３は、車内通信部５を介して車載ネットワーク７に接続されている車載ＥＣＵ６と相互に通信する。

図３は、車載装置２の記憶部４に記憶される各種データベースを例示した説明図（ＥＲ図）である。車載装置２の記憶部４には、時系列データベース４１、異常履歴データベース４２、及び攻撃検出データベース４３が記憶されており、これらデータベース（ＤＢ）は、車載装置２にインストールされた単一又は複数のＲＤＢＭＳ（Relational DataBase Management System）等のデータベース管理ソフトウェアにより構成される。当該ＲＤＢＭＳを用いて時系列データベース４１、異常履歴データベース４２、及び攻撃検出データベース４３を構成することにより、ＳＱＬ（structured query language）等のクエリ記述言語を用いて、これらデータベースに対する検索処理等の処理命令を行うことができる。

本実施形態においては、時系列データベース４１は、例えばTimescaleDB（登録商標）により構成される。異常履歴データベース４２及び攻撃検出データベース４３、例えばPostgrasql（登録商標）により構成される。当該Postgrasqlにデータを登録（挿入）するにあたり、Fluentd（登録商標）又はEmbulk（登録商標）を用いて、取得した送信データに関するログをフォーマット化するものあってもよい。

時系列データベース４１には、車載装置２が受信時に正常と判定した送信データが、当該送信データの受信時点と関連付けられて登録される。異常履歴データベース４２には、車載装置２が受信時に異常と判定した送信データが、当該送信データの受信時点と関連付けられて登録される。時系列データベース４１には、正常な送信データのみならず、異常な送信データを含む全て送信データが、当該送信データの受信時点と関連付けられて登録されるものであってもよい。

異常履歴データベース４２には、時系列データベース４１に保存された送信データのうち、当該時系列データベース４１に対し実行した検索式（時系列データベース４１用検索式）にて、異常として特定された送信データ（異常なデータ）が、登録される。攻撃検出データベース４３には、異常履歴データベース４２に保存された送信データ（異常なデータ）のうち、当該攻撃検出データベース４３に対し実行した検索式（異常履歴データベース４２用検索式）にて、攻撃性を有するとして特定された送信データ（攻撃データ）が、登録される。

時系列データベース４１と異常履歴データベース４２とは、例えば、送信データであるＣＡＮメッセージ又はＩＰパケットを一意に特定するシーケンス番号にて、関連性（リレーション）が設定されている。異常履歴データベース４２と攻撃検出データベース４３とは、例えば、異常の識別子、及びシーケンス番号等にて、関連性（リレーション）が設定されている。時系列データベース４１と攻撃検出データベース４３とは、例えば、シーケンス番号にて、関連性（リレーション）が設定されている。

これら３つのデータベースは、別データベース化しつつも、相互に関連性を有して車載装置２の記憶部４に記憶されており、これによりこれらデータベース同士における正規化を行い、個々のデータベースに特性に応じた好適化を図ることができる。本実施形態にて、これら３つのデータベースは、別個のＲＤＢＭＳ等により構成するとしたが、これに限定されず、単一のＲＤＢＭＳにて構成され、それぞれのデータベースに対応したテーブルによって形成されるものであってもよい。

図４は、時系列データベース４１（ＣＡＮメッセージ用テーブル４１１）を例示した説明図である。図５は、時系列データベース４１（ＩＰパケット用テーブル４１２）を例示した説明図である。時系列データベース４１は、例えば、ＣＡＮメッセージ用テーブル４１１及びＩＰパケット用テーブル４１２を含み、車載ＥＣＵ６間にて送受信される送信データの通信プロコトルに応じた異なるテーブルによって構成されるものであってもよい。

ＣＡＮメッセージ用テーブル４１１（時系列データベース４１）には、車載装置２が受信したＣＡＮメッセージに関する情報が登録される。ＣＡＮメッセージ用テーブル４１１（時系列データベース４１）は、管理項目（フィールド）として、例えば、シーケンス番号、受信時点、フレームタイプ、バスＩＤ、セグメントＩＤ（送信元ＥＣＵ）、ＣＡＮＩＤ、ＤＬＣ、及びペイロードにおけるバイト単位での値を示すｄ１からｄ８を含む。

シーケンス番号の管理項目には、受信した送信データを一意に示す管理番号が、格納される。当該管理番号は、例えば、連番等により付与され、主キーとして用いられるものであってもよい。

受信時点の管理項目には、送信データの受信時刻又はタイムスタンプ等、車載装置２が当該送信データを受信した際の経時的要素に関する情報が格納される。

フレームタイプの管理項目には、データフレーム、リモートフレーム、オーバーロードフレーム、及びエラーフレーム等、ＣＡＮメッセージである送信データのフレームタイプが格納される。

バスＩＤの管理項目には、送信データを送信した車載ＥＣＵ６が接続されるＣＡＮバス７１２の番号（バスＩＤ）が格納される。当該ＣＡＮバス７１２の番号は、ＣＡＮ通信部５１のデバイス番号に対応するものであり、ＣＡＮ通信部５１のデバイス番号を格納するものであってもよい。

セグメントＩＤ（送信元ＥＣＵ）の管理項目には、送信データを送信した車載ＥＣＵ６を特定するためのＥＣＵ番号等、送信元ＥＣＵを示す識別番号が格納される。このように送信元ＥＣＵを示す識別番号を、当該管理項目に格納することにより、どの車載ＥＣＵ６から送信される送信データ（メッセージ）が異常を頻発しているかを効率的に判定することができる。

ＣＡＮＩＤの管理項目には、ＣＡＮメッセージである送信データのメッセージＩＤ（ＣＡＮ－ＩＤ）が格納される。ＤＬＣの管理項目には、ＣＡＮメッセージである送信データにおけるペイロードのデータ長（０から８ｂｙｔｅ）が格納される。ペイロードにおけるバイト単位での値を示すｄ１からｄ８のそれぞれの管理項目には、当該ペイロードに含まれるそれぞれの値が格納される。ＣＡＮメッセージ用テーブル４１１が含む管理項目（フィールド）は、上述した項目に限定されず、更にＣＲＣ値、及びＭＡＣ値を含むものであってもよい。

ＩＰパケット用テーブル４１２（時系列データベース４１）には、車載装置２が受信したＩＰパケットに関する情報が登録される。ＩＰパケット用テーブル４１２（時系列データベース４１）は、管理項目（フィールド）として、例えば、シーケンス番号、受信時点、パケットタイプ、セグメントＩＤ、ポート番号、送信元アドレス、送信先アドレス、及びペイロードを含む。

シーケンス番号の管理項目には、受信した送信データを一意に示す管理番号が、格納される。当該管理番号は、例えば、連番等により付与され、主キーとして用いられるものであってもよい。

受信時点の管理項目には、送信データの受信時刻又はタイムスタンプ等、車載装置２が当該送信データを受信した際の経時的要素に関する情報が格納される。

パケットタイプの管理項目には、ＴＣＰ、ＵＤＰ、及びＩＣＭＰ等、ＩＰパケットである送信データのパケットタイプが格納される。

セグメントＩＤの管理項目には、送信データを送信した車載ＥＣＵ６が接続されるイーサネットケーブル７１１のセグメント番号（セグメントＩＤ）が格納される。当該セグメントＩＤは、イーサネット通信部５２のデバイス番号に対応するものであり、イーサネット通信部５２のデバイス番号を格納するものであってもよい。

ポート番号の管理項目には、ＩＰパケットである送信データのＴＣＰポート番号、又はＵＤＰポート番号等のポート番号が格納される。送信元アドレスの管理項目には、送信データを送信した車載ＥＣＵ６のＩＰアドレス（ソースアドレス）が格納される。送信先アドレスの管理項目には、送信データの送信先となる車載ＥＣＵ６のＩＰアドレス（デスティネーションアドレス）が格納される。

ペイロードの管理項目には、当該ペイロードに含まれる値又は内容が格納される。ＩＰパケット用テーブル４１２が含む管理項目（フィールド）は、上述した項目に限定されず、更にＣＲＣ値、及びＭＡＣ値を含むものであってもよい。

本実施形態において、時系列データベース４１はＣＡＮメッセージ用テーブル４１１及びＩＰパケット用テーブル４１２により構成されるとしたが、これに限定されず、単一のテーブル（テータベース）にて構成されるものであってもよい。又は、時系列データベース４１は、ＣＡＮメッセージ用テーブル４１１、又はＩＰパケット用テーブル４１２のいずれかのみを含むものであってもよい。

図６は、異常履歴データベース４２を例示した説明図である。異常履歴データベース４２は、管理項目（フィールド）として、例えば、異常ＩＤ、異常分類、異常内容、レコード名、タグ（シーケンス番号）、及び異常発生期間を含む。

異常ＩＤの管理項目には、特定した異常に関する情報（レコード）を一意に示す管理番号が、格納される。当該管理番号は、例えば、連番等により付与され、主キーとして用いられるものであってもよい。

異常分類の管理項目には、転送頻度、シグナル、ＭＡＣ、ＣＲＣ、フォーム、及びエラーフレーム等、特定した異常な送信データにおける異常の分類が格納される。

異常内容の管理項目には、異常分類の管理項目に格納された値（異常の分類）に対応する異常内容が格納される。当該異常内容は、例えば、転送頻度が少ない又は多い、シグナル（ペイロードの値）が急激な変化又は固着、ＭＡＣが異常、ＣＲＣが異常、フォームがエラー、及びエラーフレームが多い等、異常分類に対応した種々の内容を含む。

レコード名の管理項目には、異常分類及び異常内容の組み合わせに対応したレコード名が格納される。

タグ（シーケンス番号）の管理項目には、特定した異常な送信データそれぞれを示す１つ以上のシーケンス番号が、格納される。当該シーケンス番号に基づき、時系列データベース４１に格納されている送信データを特定することができる。又は、タグ（シーケンス番号）の管理項目には、特定した異常な送信データのＣＡＮＩＤ、受信時点、及びペイロード等が格納されるものであってもよい。

異常発生期間の管理項目には、特定した異常な送信データによって異常が発生した期間が格納される。特定した異常な送信データが複数個の場合、当該異常が発生した期間は、これら複数の異常な送信データの内、最も古い受信時点から、最も新しい受信時点までとなるものであってもよい。

図７は、攻撃検出データベース４３を例示した説明図である。攻撃検出データベース４３は、管理項目（フィールド）として、例えば、攻撃ＩＤ、バスＩＤ、ＣＡＮＩＤ、異常の識別子（異常の分類及び内容）、異常ＩＤ、及び攻撃発生期間を含む。

攻撃ＩＤの管理項目には、特定した攻撃に関する情報（レコード）を一意に示す管理番号が、格納される。当該管理番号は、例えば、連番等により付与され、主キーとして用いられるものであってもよい。

バスＩＤの管理項目には、攻撃性を有する送信データを送信した車載ＥＣＵ６が接続されるバスＩＤ又はセグメントＩＤが格納される。

ＣＡＮＩＤの管理項目には、攻撃性を有する送信データがＣＡＮメッセージである場合、当該ＣＡＮメッセージのメッセージＩＤ（ＣＡＮ－ＩＤ）が格納される。攻撃性を有する送信データがＩＰパケットである場合、当該ＩＰパケットのポート番号が格納されるものであってもよい。又は、攻撃検出データベース４３は、ポート番号用の管理項目を含むものであってもよい。

異常の識別子（異常の分類及び内容）の管理項目には、例えば、ＭＡＣエラー等、攻撃性を有する送信データにおける異常分類及び異常内容が、格納される。異常ＩＤの管理項目には、攻撃性を有する送信データを特定するにあたり、異常履歴データベース４２から抽出された異常ＩＤが格納される。当該異常ＩＤを用いて、異常履歴データベース４２に登録された異常な送信データを特定することができ、これにより、当該異常な送信データの受信時点及びレコード名等を特定することができる。又は、異常ＩＤの管理項目には、攻撃性を有する送信データを特定するにあたり、異常履歴データベース４２から抽出した１つ以上の常な送信データの受信時点及びレコード名等を格納するものであってもよい。

攻撃発生期間の管理項目には、特定した攻撃性を有する送信データによって攻撃が発生した期間が格納される。特定した攻撃性を有する送信データが複数個の場合、当該攻撃が発生した期間は、これら複数の攻撃性を有する送信データの内、最も古い受信時点から、最も新しい受信時点までとなるものであってもよい。

攻撃検出データベース４３は、更に特定された攻撃に対し実施された対応処置を格納する管理項目（対応処置）を含むものであってもよい。対応処置の管理項目には、特定された攻撃に応じて実施された対応処置として、例えば、ブラックリストの一斉通知、ＭＡＣ生成鍵の入れ替え、使用するＣＡＮーＩＤの変更、冗長回路を用いた中継経路の変更、又は縮退運転モードへの遷移等が、格納されるものであってもよい。

このように攻撃検出データベース４３には、攻撃性を有する送信データに関する情報がリスト化（ブラックリスト化）されて保存されるものとなり、当該攻撃検出データベース４３は、ブラックリストを保存するブラックリストデータベースに相当する。車載装置２の制御部３は、攻撃検出データベース４３を参照することにより、攻撃性を有する送信データに関する情報をリスト化したブラックリストを効率的に生成することができる。

図８は、車載装置２の制御部３に含まれる機能部を例示する機能ブロック図である。車載装置２の制御部３は、記憶部４に記憶される制御プログラムＰを実行することにより、取得部３１、事前検査部３２、異常データ特定部３３、攻撃データ特定部３４、対応処置部３５、及び出力部３６として機能する。

取得部３１は、ＣＡＮ通信部５１、イーサネット通信部５２など、各通信プロトコル（ＣＡＮ、ＴＣＰ／ＩＰ等）に対応した車内通信部５を介して、ＣＡＮメッセージ、又はＩＰパケット等の送信データを取得（受信）する。車載装置２が、中継装置として機能を有する場合、車載ネットワーク７を構成する全ての通信線７１（イーサネットケーブル７１１、ＣＡＮバス７１２）に流れる送信データを取得（受信）することができる。取得部３１は、取得（受信）した送信データに、当該送信データの受信時刻又はタイムスタンプ等の受信時点を関連付けて、事前検査部３２に出力する。

事前検査部３２は、取得部３１からの送信データに対し、当該送信データが正常であるか、異常であるかの判定を行う。事前検査部３２は、例えば、予め定められた正常データリストを示すホワイトリストを参照することにより、当該送信データの正否判定を行うものであってもよい。ホワイトリストは、例えば車載装置２の記憶部４等、事前検査部３２（制御部３）がアクセス可能な記憶領域に記憶されており、当該ホワイトリストには正常な送信データを示す情報が列挙されている。これら正常な送信データを示す情報は、ＣＡＮにおいては、例えばＣＡＮ－ＩＤ（メッセージＩＤ）、ペイロードに含まれる値の範囲等あり、ＴＣＰ／ＩＰにおいては、例えばポート番号、送信元アドレス、又は送信先アドレス等を含む。

事前検査部３２は、送信データとホワイトリストとを対比し、当該送信データがホワイトリストに含まれる正常な送信データを示す情報に該当する場合、受信した送信データは正常であると判定し、該当しない場合、送信データは異常であると判定する。事前検査部３２は、更に、取得部３１からの送信データに含まれる認証コード（ＭＡＣ）、検査コード（ＣＲＣ）、及びフォーム（ビット数が固定されたフィールドに不正なビットが含まれている場合にエラーが検出されるフォーム）の少なくとも１つにおいてエラーを検知した場合、該送信データは異常であると判定するものであってもよい。このように事前検査部３２は、受信した単一の送信データに対し、各種の正否判定を行い、個々の正否判定結果、又は複数の正否判定結果を組み合わせることにより、当該送信データが正常であるか、異常であるかの判定を行うものであってもよい。

車載装置２がＨＳＭ（Hardware Security Module)を備える場合、事前検査部３２は、ＨＳＭによる処理結果を取得し、又はＨＳＭと協働することにより、ＭＡＣにおけるエラーの有無を判定するものであってもよい。

事前検査部３２は、正常と判定した送信データを、当該送信データの受信時点と関連付けて、時系列データベース４１に登録（インサート処理）する。事前検査部３２は、送信データの通信プロコトルに応じて、ＣＡＮメッセージ用テーブル４１１又はＩＰパケット用テーブル４１２に登録するものであってもよい。

事前検査部３２は、異常と判定した送信データを、当該送信データの受信時点と関連付けて、異常履歴データベース４２に登録（インサート処理）する。事前検査部３２は、異常と判定した送信データについても、正常と判定した送信データと同様に時系列データベース４１に登録するものであってもよい。

本実施形態においては、時系列データベース４１は、例えばTimescaleDB等の登録されるデータを内部的に時間と空間で分割されたチャンクと呼ばれるテーブルに格納するＲＤＢＭＳを用いることにより、一例として１０ミリ秒等による処理単位での集計を可能とすることができる。これにより登録される複数の送信データにおける時間粒度を細かくし、受信時点等の経時的要素を用いた検索等における分解能を向上させることができる。

異常データ特定部３３は、周期的に時系列データベース４１に対し、時系列データベース４１用検索式（時系列データベース４１用クエリ）を用いて、複数の送信データを抽出し、当該複数の送信データの抽出結果に基づいて、異常な送信データを特定する。時系列データベース４１用検索式は、例えばＳＱＬ（structured query language）等のクエリ記述言語を用いて定義されたクエリ定義ファイルとして、記憶部４に記憶されている。異常データ特定部３３は、記憶部４を参照し、クエリ定義ファイルを読み出すことにより、時系列データベース４１用検索式に基づく処理命令を、時系列データベース４１に対して実行させる。クエリ定義ファイル（時系列データベース４１用検索式）は、例えばＳＯＣサーバＳ１１等の外部サーバＳ１から取得するものであってもよい。当該時系列データベース４１用検索式は、例えば、ＣＡＮＩＤが同一、又は関連する複数の送信データにおける送信頻度（受信頻度）が閾値以上又は未満、又はこれら送信データのシグナル（ペイロード）の値の変化率が閾値以上又は未満であるかを抽出（定義）する検索式（クエリ）を含む。

異常データ特定部３３は、送信頻度（転送頻度）が少ない（閾値未満）である場合、特定機器の故障であると判定するものであってもよい。異常データ特定部３３は、送信頻度（転送頻度）が多い（閾値以上）である場合、なりすましが発生、又は機器の故障であると判定するものであってもよい。異常データ特定部３３は、シグナル（ペイロード）が急激な変化した（変化率が閾値以上）場合、なりすましが発生、又は機器の故障であると判定するものであってもよい。異常データ特定部３３は、例えばシグナル（ペイロード）の値が一定となる状態が継続した等、シグナルが固着した（変化率が閾値未満）場合、なりすましが発生、又は機器の故障であると判定するものであってもよい。更に、時系列データベース４１用検索式は、ＵＤＳ（Unified Diagnostic Service）又はリプログラミングのシーケンス異常を抽出する検索式（クエリ）を含むものであってもよい。更に、時系列データベース４１用検索式は、不明な送信元からの接続有無を抽出する検索式（クエリ）を含むものであってもよい。このように時系列データベース４１用検索式は、異常な送信データを特定するための複数の検索式（検索条件）の論理和による組み合わせ（オア検索）により構成されるものであってもよい。異常データ特定部３３は、特定した異常な送信データに関する情報（異常データ）を、異常履歴データベース４２に登録する。

異常データ特定部３３は、時系列データベース４１用検索式を用いた時系列データベース４１への検索処理、及び当該処理結果に応じた異常履歴データベース４２への登録処理を、所定の周期にて行うものであってもよい。この場合、当該周期は、取得部３１による送信データの取得（受信）の頻度（受信頻度）よりも長いものであってもよい。すなわち、周期的に行われる異常データ特定部３３の処理と、取得部３１による送信データを受信する処理とは、非同期にて行われるものであってもよい。

攻撃データ特定部３４は、周期的に異常履歴データベース４２に対し、異常履歴データベース４２用検索式（異常履歴データベース４２用クエリ）を用いて、複数の異常な送信データを抽出し、当該複数の異常な送信データの抽出結果に基づいて、攻撃性を有する送信データを特定する。異常履歴データベース４２用検索式は、例えばＳＱＬ（structured query language）等のクエリ記述言語を用いて定義されたクエリ定義ファイルとして、記憶部４に記憶されている。攻撃データ特定部３４は、記憶部４を参照し、クエリ定義ファイルを読み出すことにより、異常履歴データベース４２用検索式に基づく処理命令を、異常履歴データベース４２に対して実行させる。クエリ定義ファイル（異常履歴データベース４２用検索式）は、例えばＳＯＣサーバＳ１１等の外部サーバＳ１から取得するものであってもよい。

異常履歴データベース４２用検索式は、時系列データベース４１用の検索式に含まれる複数の検索条件を組み合わせて構成したものであってよい。時系列データベース４１用の検索式に含まれる複数の検索条件の内、例えば、送信頻度が所定値以上とする検索条件、及びペイロードの内容の変化度が所定値以上（急激な変化）とする検索条件を組み合わせたアンド条件（論理積）、又はオア条件（論理和）にて異常履歴データベース４２用の検索式（クエリ定義ファイル）は、生成されるものであってもよい。

攻撃データ特定部３４は、例えば異常分類及び異常内容が、ＭＡＣ異常、又はフォームエラーの場合、なりすましによる攻撃が発生したと判定し、これらＭＡＣ異常又はフォームエラーの異常な送信データは、攻撃性を有する送信データであると特定する。攻撃データ特定部３４は、例えば異常分類及び異常内容が、送信頻度（転送頻度）が多い、かつシグナルが急激な変化した場合、なりすましによる攻撃が発生したと判定し、これらＭＡＣ異常又はフォームエラーの異常な送信データは、攻撃性を有する送信データであると特定する。攻撃データ特定部３４は、例えば異常分類及び異常内容が、送信頻度（転送頻度）が少ない、かつエラーフレームが多い場合、なりすましによる攻撃が発生したと判定し、これらＭＡＣ異常又はフォームエラーの異常な送信データは、攻撃性を有する送信データであると特定する。攻撃データ特定部３４は、例えば異常分類及び異常内容が、ＣＲＣ異常、かつシグナルが固着した場合、機器の故障（攻撃による故障）が発生したと判定し、これらＭＡＣ異常又はフォームエラーの異常な送信データは、攻撃性を有する送信データであると特定する。

図９は、攻撃検出の態様を例示した説明図である。本説明図において、横軸は経過時間を示し、攻撃を有する送信データを特定するにあたっての異常検出における一例となる態様例を説明する。正常なメッセージ（正規メッセージ）は、白三角にて示される。攻撃を有する送信データ（異常な送信データ）は、黒三角にて示される。

異常検出例１においては、送信頻度（転送頻度）が多く、かつ、シグナル（ペイロードの内容）が急激な変化した場合を示しており、車両Ｃが走行中に攻撃者（ウィルス等により不正なプログラムが適用された車載ＥＣＵ６等）が、例えば車速が０ｋｍを示す送信データを送信（通知）する攻撃によるものである。

異常検出例２においては、送信頻度（転送頻度）が多く、かつ、シグナル（ペイロードの内容）が固着した場合を示しており、車両Ｃが走行中に攻撃者が、例えば車速が０ｋｍを示す送信データを、連続して送信（通知）する攻撃によるものである。

異常検出例３においては、エラーフレームが出願し、かつ、シグナル（ペイロードの内容）が固着した場合を示しており、車両Ｃが走行中に攻撃者が、正常なメッセージ（正規メッセージ）を破棄しつつ、例えば車速が０ｋｍを示す送信データを送信（通知）する攻撃によるものである。

このように攻撃検出データベース４３用検索式は、攻撃を有する送信データを特定するための複数の検索式（検索条件）の論理和又は論理積による組み合わせにより構成することにより、連続する異常な送信データの集合から、攻撃の有無を判定することができる。又は、複数の異常な送信データの繋がりから、当該送信データの送信した攻撃元の車載ＥＣＵ６等を特定することができる。攻撃データ特定部３４は、特定した攻撃性を有する送信データに関する情報を、攻撃検出データベース４３に登録する。

攻撃データ特定部３４は、異常履歴データベース４２用検索式を用いた異常履歴データベース４２への検索処理、及び当該処理結果に応じた攻撃検出データベース４３への登録処理を、所定の周期にて行うものであってもよい。この場合、当該周期は、異常データ特定部３３による処理の周期と同じ、又は異なるものであってもよい。又は、攻撃データ特定部３４は、異常データ特定部３３により異常な送信データが特定された場合、当該異常な送信データの特定をトリガーに、異常履歴データベース４２への検索処理等を行うものであってもよい。攻撃データ特定部３４の処理を、異常データ特定部３３の処理結果に連動させることにより、過度な処理を行うことを抑制し、制御部３の処理負荷を軽減することができる。

対応処置部３５は、攻撃データ特定部３４が特定し、攻撃検出データベース４３に登録した攻撃性を有する送信データに応じて、実施する対応処置を選定し、選定した対応処置を行うための処理を行う。対応処置部３５は、当該攻撃性を有する送信データによる攻撃の種類に応じて、実施する対応処置を選定するものであってもよい。当該対応処置は、例えば、特定した攻撃性を有する送信データに関する情報に基づき、当該送信データに含まれるＣＡＮ－ＩＤ又はポート番号、及び送信元の車載ＥＣＵ６のアドレス等の識別子をリスト化したブラックリストを生成し、当該ブラックリストをブロードキャストすることにより、車両Ｃに搭載される全ての車載ＥＣＵ６に対し、送信するものであってもよい。

対応処置部３５は、攻撃性を有する送信データに関する情報が登録された攻撃検出データベース４３を参照することにより、当該ブラックリストを効率的に生成することができる。更に対応処置部３５は、例えば、ＭＡＣ生成鍵の入れ替え、使用するＣＡＮーＩＤの変更、冗長回路を用いた中継経路の変更、又は縮退運転モードへの遷移等の種々の処置を、攻撃の種類に応じて選定し、実行するものであってもよい。

当該対応処置の実施は、対応処置部３５（車載装置２自身）が直接的に行う処置に限定されず、対応処置部３５が、例えばヴィークルコンピュータ等にて構成される統合ＥＣＵに、対応処置の実行指示（対抗シグナル）を送信する処理を含むものであってもよい。この場合、対応処置部３５からの実行指示（対抗シグナル）を受信した統合ＥＣＵは、中継経路の変更等の実行指示された対応処置を実施する。対応処置部３５は、攻撃性を有する送信データに応じて実施した対応処置に関する情報を、当該送信データに関連付けて攻撃検出データベース４３に登録するものであってもよい。

出力部３６は、攻撃データ特定部３４が特定し、攻撃検出データベース４３に登録した攻撃性を有する送信データに関する情報に基づき、生成したブラックリストを含む攻撃検知報告（ブラックリスト情報）を、例えば、ＳＯＣサーバＳ１１、ＳＩＲＴサーバＳ１２、又は双方のサーバ等に出力する。出力部３６は、攻撃データ特定部３４が攻撃性を有する送信データを特定した際、当該特定をトリガーに、ブラックリスト情報をＳＯＣサーバＳ１１等の外部サーバＳ１に出力するものであってもよい。これにより、ＳＯＣサーバＳ１１等への攻撃検知報告のリアルタイム性を向上させることができる。

更に出力部３６は、時系列データベース４１及び異常履歴データベース４２に登録されている情報に基づき生成したレポート情報を、ＳＯＣサーバＳ１１等の外部サーバＳ１に出力するものであってもよい。出力部３６は、当該レポート情報の生成及び出力を、例えば、１日に１回行うなど、ディリータスクとしてスケジューリングして行うものであってもよい。例えば、レポート情報の生成を一日単位で行う場合、出力部３６は、レポート情報の対象となる日付にて、時系列データベース４１及び異常履歴データベース４２に登録された送信データの件数、前日までの件数に対する変化率、及び過去複数日における当該件数の移動平均等の統計情報を含めて、当該レポート情報を生成するものであってもよい。

図１０は、車載装置２の制御部３の処理を例示するフローチャートである。車載装置２の制御部３は、例えば車両Ｃが起動状態又は停止状態（ＩＧスイッチがオン又はオフ）において、定常的に以下の処理を行う。車載装置２の制御部３は、後述する一連の処理において、受信した送信データを時系列データベース４１等に登録する処理（Ｓ１０１からＳ１０４）と、時系列データベース４１及び異常履歴データベース４２を検索（クエリ処理）した結果に応じて攻撃検出データベース４３に登録等する処理（Ｓ１１１からＳ１１８）とを、複数プロセスにより並列処理するものであってもよい。

車載装置２の制御部３は、車載ＥＣＵ６から送信される送信データを受信する（Ｓ１０１）。車載装置２の制御部３は、ＣＡＮ通信部５１、イーサネット通信部５２など、各通信プロトコルに対応した車内通信部５を介して、ＣＡＮメッセージ、又はＩＰパケット等の送信データを取得（受信）する。

車載装置２の制御部３は、受信した送信データが正常であるか否かを判定する（Ｓ１０２）。車載装置２の制御部３は、例えば、ホワイトリストを参照、送信データに含まれる認証コード（ＭＡＣ）、検査コード（ＣＲＣ）又はフォームにおけるエラー有無等に基づき、送信データが正常であるか否かを判定する。

受信した送信データが正常である場合（Ｓ１０２：ＹＥＳ）、車載装置２の制御部３は、当該送信データの受信時点を関連付けて、正常と判定した送信データを時系列データベース４１に登録する（Ｓ１０３）。送信データがホワイトリストに含まれる、又は、送信データに含まれる認証コード（ＭＡＣ）、検査コード（ＣＲＣ）及びフォームにエラーが無い場合、車載装置２の制御部３は、受信した送信データは正常であると判定し、当該送信データの受信時点を関連付けて、時系列データベース４１に登録する。

受信した送信データが正常でない場合（Ｓ１０２：ＮＯ）、すなわち受信した送信データが異常である場合、車載装置２の制御部３は、当該送信データの受信時点を関連付けて、異常と判定した送信データを異常履歴データベース４２に登録する（Ｓ１０２１）。送信データがホワイトリストに含まれない、又は、送信データに含まれる認証コード（ＭＡＣ）、検査コード（ＣＲＣ）及びフォームのいずれかにエラーが有る場合、車載装置２の制御部３は、受信した送信データは異常である判定し、当該送信データの受信時点を関連付けて、異常履歴データベース４２に登録する。

車載装置２の制御部３は、時系列データベース４１及び異常履歴データベース４２に登録されている情報に基づき生成したレポート情報を外部サーバＳ１に出力する（Ｓ１０４）。車載装置２の制御部３は、例えば、１日に１回等の頻度にて、時系列データベース４１及び異常履歴データベース４２に登録されている情報に基づきレポート情報（ディリーレポート情報）を生成し、生成したレポート情報をＳＯＣサーバＳ１１等の外部サーバＳ１に出力（送信）する。車載装置２の制御部３は、Ｓ１０４の実行後、再度、Ｓ１０１からの処理を実行すべく、ループ処理を行う。

車載装置２の制御部３は、時系列データベース４１に対し検索式（クエリ）を実行する（Ｓ１１１）。車載装置２の制御部３は、周期的に時系列データベース４１に対し、時系列データベース４１用検索式（時系列データベース４１用クエリ）を実行し、検索結果となる複数の送信データを抽出する。

車載装置２の制御部３は、時系列データベース４１に対する検索式の実行結果に基づき、異常な送信データを特定したか否かを判定する（Ｓ１１２）。車載装置２の制御部３は、時系列データベース４１に対する検索式の実行結果となる複数の送信データの抽出結果に基づき、異常な送信データを特定したか否かを判定する。

異常な送信データの特定がされた場合（Ｓ１１２：ＹＥＳ）、車載装置２の制御部３は、特定した異常な送信データを、異常履歴データベース４２に登録する（Ｓ１１３）。車載装置２の制御部３は、例えばＣＡＮＩＤが同一、又は関連する複数の送信データにおける送信頻度（受信頻度）が閾値以上又は未満、又はこれら送信データのシグナル（ペイロード）の値の変化率が閾値以上又は未満となる複数の送信データを抽出した場合、これらを異常な送信データとして特定し、異常履歴データベース４２に登録する。

異常な送信データの特定がされなかった場合（Ｓ１１２：ＮＯ）、又はＳ１１３の処理の実行後、車載装置２の制御部３は、異常履歴データベース４２に対し検索式（クエリ）を実行する（Ｓ１１４）。車載装置２の制御部３は、周期的に異常履歴データベース４２に対し、異常履歴データベース４２用検索式（異常履歴データベース４２用クエリ）を実行し、検索結果となる複数の送信データ（異常な送信データ）を抽出する。

車載装置２の制御部３は、異常履歴データベース４２に対する検索式の実行結果に基づき、攻撃性を有する送信データを特定したか否かを判定する（Ｓ１１５）。攻撃性を有する送信データの特定がされた場合（Ｓ１１５：ＹＥＳ）、車載装置２の制御部３は、攻撃性を有する送信データを、攻撃検出データベース４３に登録する（Ｓ１１６）。車載装置２の制御部３は、例えば異常分類及び異常内容が、送信頻度（転送頻度）が多い、かつシグナルが急激な変化した場合等に該当する複数の送信データを抽出した場合これらを、攻撃性を有する送信データとして特定し異常履歴データベース４２に登録する。

攻撃性を有する送信データの特定がされなかった場合（Ｓ１１５：ＮＯ）、車載装置２の制御部３は、再度Ｓ１１１を実行すべく、ループ処理を行う。

車載装置２の制御部３は、攻撃検出データベース４３に登録した情報に基づいて、対応処置を実行する（Ｓ１１７）。車載装置２の制御部３は、攻撃検出データベース４３に登録した情報に基づいて、当該攻撃性を有する送信データに対する対応処置を実行する。

車載装置２の制御部３は、例えば記憶部４に記憶されるルックアップテーブルを参照し、攻撃の種類に応じた対応処置を選択する。当該対応処置は、例えば、ＭＡＣ生成鍵の入れ替え、使用するＣＡＮーＩＤの変更、冗長回路を用いた中継経路の変更、及び縮退運転モードへの遷移等を含む。車載装置２の制御部３は、攻撃の種類と対応処置とが関連付けられて定義されているルックアップテーブルを参照し、単一又は複数の対応処置を組み合わせて、攻撃性を有する送信データに対する対応処置（対抗処理）を実行する。

車載装置２の制御部３は、攻撃の種類にかかわらず、当該対応処置の一環として、攻撃検出データベース４３に登録した情報に基づき生成したブラックリスト等の情報をブロードキャスト又はマルチキャストによって、車両Ｃに搭載される全ての車載ＥＣＵ６に対し報知（出力）するものであってもよい。車載装置２の制御部３は、攻撃性を有する送信データに応じて実施した対応処置に関する情報を、当該送信データに関連付けて攻撃検出データベース４３に登録するものであってもよい。

車載装置２の制御部３は、攻撃検出データベース４３に登録した情報を外部サーバＳ１に出力する（Ｓ１１８）。車載装置２の制御部３は、攻撃検出データベース４３に登録した情報に基づき生成したブラックリスト等の情報をＳＯＣサーバＳ１１、又はＳＩＲＴサーバＳ１２等の外部サーバＳ１に送信（出力）するものであってもよい。

本実施形態において、車載装置２の制御部３は、これら一連の処理を複数プロセスにより並列処理するものとして説明したが、これに限定されず、時系列データベース４１へのデータ登録から、攻撃検出データベース４３へのデータ登録及びブラックリストの出力等までを、シーケンシャル処理にて行うものであってもよい。

今回開示された実施形態は全ての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

Ｃ 車両
Ｓ 車載システム（侵入検知システム）
Ｓ１ 外部サーバ
Ｓ１１ ＳＯＣサーバ
Ｓ１２ ＳＩＲＴサーバ（ＯＴＡサーバ）
１ 車外通信装置
１１ アンテナ
２ 車載装置
３ 制御部
３１ 取得部
３２ 事前検査部
３３ 異常データ特定部
３４ 攻撃データ特定部
３５ 対応処置部
３６ 出力部
４ 記憶部
４１ 時系列データベース
４１１ ＣＡＮメッセージ用テーブル
４１２ ＩＰパケット用テーブル
４２ 異常履歴データベース
４３ 攻撃検出データベース（ブラックリストＤＢ）
４００ 記録媒体
Ｐ 制御プログラム（プログラム製品）
５ 車内通信部
５１ ＣＡＮ通信部
５２ イーサネット通信部
６ 車載ＥＣＵ
７ 車載ネットワーク
７１ 通信線
７１１ イーサネットケーブル
７１２ ＣＡＮバス

Claims (14)

1. 車両に搭載される車載ＥＣＵと通信可能に接続される車載装置であって、
   前記車載ＥＣＵから送信される送信データに関する処理を行う制御部を備え、
   前記制御部は、
   前記車載ＥＣＵから送信される送信データを受信し、
   受信した送信データと、該送信データの受信時点とを関連付けて、時系列データベースに登録し、
   前記時系列データベースに登録された送信データから、異常な送信データを特定し、
   特定した異常な送信データに関する情報を、異常履歴データベースに登録する
   車載装置。
2. 前記制御部は、
   前記車載ＥＣＵから受信した送信データが正常であるか否かを判定し、
   正常と判定した送信データを前記時系列データベースに登録し、
   異常と判定した送信データを前記異常履歴データベースに登録する
   請求項１に記載の車載装置。
3. 前記制御部は、前記車載ＥＣＵから受信した送信データが、予め定められた正常データリストに含まれる場合、該送信データは正常であると判定する
   請求項２に記載の車載装置。
4. 前記制御部は、前記車載ＥＣＵから受信した送信データに含まれる認証コード、検査コード、及びフォームの少なくとも１つにおいてエラーを検知した場合、該送信データは異常であると判定する
   請求項２又は請求項３に記載の車載装置。
5. 前記制御部は、
   前記時系列データベースに対し、所定の検索式を用いて複数の送信データを抽出し、
   複数の送信データの抽出結果に基づいて、異常な送信データを特定する
   請求項１から請求項４のいずれか１項に記載の車載装置。
6. 前記制御部は、
   前記時系列データベース用の検索式を用いた送信データの抽出処理を周期的に行い、
   前記周期は、前記車載ＥＣＵから送信される送信データの受信頻度よりも長い
   請求項５に記載の車載装置。
7. 前記時系列データベース用の検索式は、送信データの受信時点を含む期間において、連関する複数の送信データにおける送信頻度、及びペイロードに含まれる内容の変化度の少なくとも１つに関する検索条件を含む
   請求項５又は請求項６に記載の車載装置。
8. 前記制御部は、
   前記時系列データベース及び異常履歴データベースに登録した情報に基づき、レポート情報を生成し、
   生成したレポート情報を、車外の外部サーバに出力する
   請求項１から請求項７のいずれか１項に記載の車載装置。
9. 前記制御部は、
   前記異常履歴データベースに登録された異常な送信データから、攻撃性を有する送信データを特定し、
   特定した攻撃性を有する送信データに関する情報を、攻撃検出データベースに登録する
   請求項１から請求項８のいずれか１項に記載の車載装置。
10. 前記制御部は、前記異常履歴データベースに対し、前記時系列データベース用の検索式に含まれる複数の検索条件の組み合わせにより構成される検索式を用いて、攻撃性を有する送信データを特定する
    請求項９に記載の車載装置。
11. 前記制御部は、
    特定した攻撃性を有する送信データへの対応処置を実施し、
    実施した対応処置の関する情報を、攻撃性を有する送信データに関連付けて、前記攻撃検出データベースに登録する
    請求項９又は請求項１０に記載の車載装置。
12. 前記制御部は、攻撃検出データベースに登録した情報を、車外の外部サーバに出力する
    請求項９から請求項１１のいずれか１項に記載の車載装置。
13. 車両に搭載される車載ＥＣＵと通信可能に接続されるコンピュータに、
    前記車載ＥＣＵから送信される送信データを受信し、
    受信した送信データと、該送信データの受信時点とを関連付けて、時系列データベースに登録し、
    前記時系列データベースに登録された送信データから、異常な送信データを特定し、
    特定した異常な送信データに関する情報を、異常履歴データベースに登録する
    処理を実行させるプログラム。
14. 車両に搭載される車載ＥＣＵと通信可能に接続されるコンピュータに、
    前記車載ＥＣＵから送信される送信データを受信し、
    受信した送信データと、該送信データの受信時点とを関連付けて、時系列データベースに登録し、
    前記時系列データベースに登録された送信データから、異常な送信データを特定し、
    特定した異常な送信データに関する情報を、異常履歴データベースに登録する
    処理を実行させる情報処理方法。

Images