JP2023144421A - 車載機器、車両及び方法 - Google Patents

Abstract

【課題】通信ネットワークに対する攻撃をより短時間で検出し、安全性を向上する車載機器、車両及び方法を提供する。【解決手段】車両において、第三者がＣＡＮ通信ネットワークに対してＥＣＵになりすまして不正信号を送信する、いわゆるなりすまし攻撃があるか否かを判定する処理を行う車載機器（ＥＣＵ）１１０は、予め定められた入力周期で通信ネットワークに入力されることが期待される信号を検出する信号検出部と、信号検出部により信号が検出された回数をカウントするカウント部と、予め定められた第１の期間内においてカウント部によりカウントされた回数が、第１の期間を入力周期で除算することによって算出された第１の値と、通信ネットワークに不正信号がさらに入力されることを仮定して第１の期間及び入力周期に基づいて算出される第２の値との間に設定された閾値以下であるか否かを判定する判定部と、を備える。【選択図】図２

Description

本発明は、車載機器、車両及び方法に関する。

特許文献１には、エンジンにおける空燃比学習値の正常範囲を決定することが開示されている。
［先行技術文献］
［特許文献］
特許文献１ 特開２０１８－１４５８１７号公報

ところで、通信ネットワークに対する攻撃をより短時間で検出することが課題である。本願は上記課題の解決のため、安全性の向上を目的としたものである。そして、延いては交通の安全性をより一層改善して持続可能な輸送システムの発展に寄与するものである。

本発明の第１の態様においては、車載機器が提供される。前記車載機器は、予め定められた入力周期で通信ネットワークに入力されることが期待される信号を検出する信号検出部を備える。前記車載機器は、前記信号検出部により信号が検出された回数をカウントするカウント部を備える。前記車載機器は、予め定められた第１の期間内において前記カウント部によりカウントされた回数が、前記第１の期間を前記入力周期で除算することによって算出された第１の値と、前記通信ネットワークに不正信号がさらに入力されることを仮定して前記第１の期間及び前記入力周期に基づいて算出される第２の値との間に設定された閾値以下であるか否かを判定する判定部を備える。

前記判定部は、前記第１の期間及び前記入力周期に誤差が含まれることを仮定して算出された前記第１の値の最大値と前記第２の値の最小値との間に、前記閾値を設定してよい。

前記カウント部によりカウントされた回数に基づいて、前記入力周期の実測値を計測する周期計測部をさらに備えてよい。前記判定部は、前記周期計測部によって前記入力周期の前記実測値が計測されるまでの間、予め定められた第２の期間内において前記カウント部によりカウントされた回数が予め定められた第３の値以下であるか否かを判定し、前記周期計測部によって前記入力周期の前記実測値が計測された場合に、前記第１の期間を前記入力周期の前記実測値で除算することによって前記第１の値を算出し、前記通信ネットワークに不正信号がさらに入力されることを仮定して前記第１の期間及び前記入力周期の前記実測値に基づいて算出される前記第２の値を算出し、前記第１の期間内において前記カウント部によりカウントされた回数が前記第１の値以下であるか否かの判定を開始してよい。

前記判定部は、前記周期計測部によって前記入力周期の前記実測値が計測された場合に、前記入力周期の前記実測値に基づいて前記第２の期間より短い前記第１の期間を設定してよい。

前記車載機器は、予め定められた入力周期で通信ネットワークに入力されることが期待される信号を検出する信号検出部を備えてよい。前記車載機器は、前記信号検出部により信号が検出された回数をカウントするカウント部を備えてよい。前記車載機器は、予め定められた第１の期間内において前記カウント部によりカウントされた回数が、前記第１の期間を前記入力周期の過去の実測値で除算することによって算出された第１の値以下であるか否かを判定する判定部を備えてよい。

前記判定部は、前記第１の期間内において前記カウント部によりカウントされた回数が、前記第１の期間に誤差が含まれることを仮定して算出された前記第１の値の最大値以下であるか否かを判定してよい。

前記判定部は、前記第１の期間内において前記カウント部によりカウントされた回数が、前記第１の値と、前記通信ネットワークに不正信号がさらに入力されることを仮定して前記第１の期間及び前記入力周期の前記実測値に基づいて算出される第２の値との間に設定された閾値以下であるか否かを判定してよい。

前記判定部は、前記第１の期間に誤差が含まれることを仮定して算出された前記第１の値の最大値と前記第２の値の最小値との間に、前記閾値を設定してよい。

前記車載機器は、前記カウント部によりカウントされた回数に基づいて前記入力周期の前記実測値を計測する周期計測部をさらに備えてよい。前記判定部は、前記周期計測部によって前記入力周期の前記実測値が計測されるまでの間、予め定められた第２の期間内において前記カウント部によりカウントされた回数が予め定められた第３の値以下であるか否かを判定し、前記周期計測部によって前記入力周期の前記実測値が計測された場合に、前記入力周期の前記実測値を用いて前記第１の値を算出し、前記第１の期間内において前記カウント部によりカウントされた回数が前記第１の値以下であるか否かの判定を開始してよい。

前記判定部は、前記周期計測部によって前記入力周期の前記実測値が計測された場合に、前記入力周期の前記実測値に基づいて前記第２の期間より短い前記第１の期間を設定してよい。

本発明の第２の態様においては、車両が提供される。前記車両は、上記の車載機器を備える。

本発明の第３の態様においては、方法が提供される。前記方法は、予め定められた入力周期で通信ネットワークに入力されることが期待される信号を検出する段階を備える。前記方法は、前記信号が検出された回数をカウントする段階を備える。前記方法は、予め定められた第１の期間内においてカウントされた前記回数が、前記第１の期間を前記入力周期で除算することによって算出された第１の値と、前記通信ネットワークに不正信号がさらに入力されることを仮定して前記第１の期間及び前記入力周期に基づいて算出される第２の値との間に設定された閾値以下であるか否かを判定する段階を備える。

本発明の第４の態様においては、方法が提供される。前記方法は、予め定められた入力周期で通信ネットワークに入力されることが期待される信号を検出する段階を備える。前記方法は、前記信号が検出された回数をカウントする段階を備える。前記方法は、予め定められた第１の期間内においてカウントされた前記回数が、前記第１の期間を前記入力周期の過去の実測値で除算することによって算出された第１の値以下であるか否かを判定する段階を備える。

上記の発明の概要は、本発明の特徴の全てを列挙したものではない。また、これらの特徴群のサブコンビネーションもまた、発明となりうる。

一実施形態における車両１０のシステム構成を概念的に示す。 ＥＣＵ１１０が備える機能構成を概略的に示すブロック図である。 ＣＡＮ通信ネットワーク１８０に正規信号のみが入力された場合と正規信号及び不正信号が入力された場合を対比して示す。 なりすまし攻撃がない場合において信号が検出され得る最大検出回数と、なりすまし攻撃がある場合において信号が検出される得る最小検出回数とを示す図である。 入力周期Ｆの実測値を用いた場合における最大検出回数と最小検出回数とを示す図である。 ２回のドライブサイクルにおいて実行される不正信号の判定処理及び入力周期Ｆを測定する処理の内容を示す。 ＥＣＵ１１０が実行する処理を示すフローチャートである。 コンピュータ２０００の例を示す。

以下、発明の実施の形態を通じて本発明を説明するが、以下の実施形態は特許請求の範囲にかかる発明を限定するものではない。また、実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。

図１は、一実施形態における車両１０のシステム構成を概念的に示す。車両１０は、システム２０を備える。システム２０は、ＥＣＵ１００、ＥＣＵ１１０、ＥＣＵ１１１、ＥＣＵ１２０及びＥＣＵ１２１を含む複数のＥＣＵ（電子制御ユニット）を備える。車両１０が備えるＥＣＵは、例えばエンジン、変速機、操舵装置等のような車両１０の走行に直接的な影響を与える機器を制御するためのＥＣＵを含む。車両１０が備えるＥＣＵは、例えばエアコンディショナ及びナビゲーション装置等のような車両１０の走行に直接的な影響を与えない機器を制御するためのＥＣＵを含む。ＥＣＵ１００、ＥＣＵ１１０、ＥＣＵ１１１、ＥＣＵ１２０及びＥＣＵ１２１は、車載機器の一例である。

車両１０が備えるＥＣＵは、コントローラエリアネットワーク（ＣＡＮ）通信によって相互に通信を行う。車両１０が備えるＥＣＵのそれぞれは、複数のＣＡＮ通信ネットワーク１８０によって互いに通信可能に接続される。ＥＣＵ１００は、複数のＣＡＮ通信ネットワーク１８０間の通信を中継するゲートウェイとして機能する。

図２は、ＥＣＵ１１０が備える機能構成を概略的に示すブロック図である。ＥＣＵ１１０は、処理部２００と、記憶部２８０とを備える。ＥＣＵ１１０は、第三者がＣＡＮ通信ネットワーク１８０に対してＥＣＵになりすまして不正信号を送信する、いわゆるなりすまし攻撃があるか否かを判定する処理を行う。

処理部２００は、演算処理を行うＣＰＵ等のプロセッサにより実装されてよい。記憶部２８０は、フラッシュメモリ等の不揮発性記憶媒体、ランダムアクセスメモリ等の揮発性記憶媒体を含んでよい。ＥＣＵ１１０はコンピュータを含んで構成され得る。ＥＣＵ１１０は、不揮発性記憶媒体に記憶されたプログラムに従って処理部２００が動作することによって、各種の制御を実行する。

処理部２００は、信号検出部２１０と、カウント部２２０と、判定部２３０と、周期計測部２４０とを備える。信号検出部２１０は、予め定められた入力周期で通信ネットワークに入力されることが期待される信号を検出する。カウント部２２０は、信号検出部２１０により信号が検出された回数をカウントする。

第１の判定方式において、判定部２３０は、予め定められた第１の期間内においてカウント部２２０によりカウントされた回数が、第１の期間を入力周期で除算することによって算出された第１の値と、通信ネットワークに不正信号がさらに入力されることを仮定して第１の期間及び入力周期に基づいて算出される第２の値との間に設定された閾値以下であるか否かを判定する。第１の値と第２の値との間に閾値を設定することで、なりすまし攻撃を誤検知する可能性を低くすることができる。

第１の判定方式において、判定部２３０は、第１の期間及び入力周期に誤差が含まれることを仮定して算出された第１の値の最大値と第２の値の最小値との間に、閾値を設定する。これにより、なりすまし攻撃を誤検知する可能性を低くしつつ、なりすまし攻撃を検知するまでの時間を短縮することができる。

第１の判定方式において、周期計測部２４０は、カウント部２２０によりカウントされた回数に基づいて、入力周期の実測値を計測する。判定部２３０は、周期計測部２４０によって入力周期の実測値が計測されるまでの間、予め定められた第２の期間内においてカウント部２２０によりカウントされた回数が予め定められた第３の値以下であるか否かを判定する。そして、判定部２３０は、周期計測部２４０によって入力周期の実測値が計測された場合に、第１の期間を入力周期の実測値で除算することによって第１の値を算出し、通信ネットワークに不正信号がさらに入力されることを仮定して第１の期間及び入力周期の実測値に基づいて算出される第２の値を算出し、第１の期間内においてカウント部２２０によりカウントされた回数が第１の値以下であるか否かの判定を開始する。これにより、入力周期の実測値が計測されると、入力周期の実測値に基づくなりすまし攻撃の検出を開始することができる。

第１の判定方式において、判定部２３０は、周期計測部２４０によって入力周期の実測値が計測された場合に、入力周期の実測値に基づいて第２の期間より短い第１の期間を設定する。これにより、なりすまし攻撃を速やかに検出できるようにすることができる。

第１の判定方式とは異なる第２の判定方式において、判定部２３０は、予め定められた第１の期間内においてカウント部２２０によりカウントされた回数が、第１の期間を入力周期の過去の実測値で除算することによって算出された第１の値以下であるか否かを判定してよい。第２の判定方式において、判定部２３０は、第１の期間内においてカウント部２２０によりカウントされた回数が、第１の期間に誤差が含まれることを仮定して算出された第１の値の最大値以下であるか否かを判定してよい。これにより、なりすまし攻撃を検知するまでの時間を短縮することができる。

第２の判定方式において、判定部２３０は、第１の期間内においてカウント部２２０によりカウントされた回数が、第１の値と、通信ネットワークに不正信号がさらに入力されることを仮定して第１の期間及び入力周期の実測値に基づいて算出される第２の値との間に設定された閾値以下であるか否かを判定してよい。これにより、なりすまし攻撃を誤検出する可能性を低減することができる。

第２の判定方式において、判定部２３０は、第１の期間に誤差が含まれることを仮定して算出された第１の値の最大値と第２の値の最小値との間に、閾値を設定してよい。これにより、なりすまし攻撃を検出するまでの時間を短縮することが可能になる。

第２の判定方式においても、判定部２３０は、周期計測部２４０によって入力周期の実測値が計測されるまでの間、予め定められた第２の期間内においてカウント部２２０によりカウントされた回数が予め定められた第３の値以下であるか否かを判定してよい。そして、判定部２３０は、周期計測部２４０によって入力周期の実測値が計測された場合に、入力周期の実測値を用いて第１の値を算出し、第１の期間内においてカウント部２２０によりカウントされた回数が第１の値以下であるか否かの判定を開始してよい。これにより、入力周期の実測値が計測されると、入力周期の実測値に基づくなりすまし攻撃の検出を開始することができる。

第２の判定方式において、判定部２３０は、周期計測部２４０によって入力周期の実測値が計測された場合に、入力周期の実測値に基づいて第２の期間より短い第１の期間を設定してよい。これにより、なりすまし攻撃を速やかに検出できるようにすることができる。

図３は、ＣＡＮ通信ネットワーク１８０に正規信号のみが入力された場合と正規信号及び不正信号が入力された場合を対比して示す。正規信号は、例えばＥＣＵ１１０がＣＡＮ通信ネットワーク１８０に出力する信号である。ＥＣＵ１１０は、予め定められた入力周期Ｆで信号がＣＡＮ通信ネットワーク１８０に入力されるよう制御する。ＥＣＵ１１０がＣＡＮ通信ネットワーク１８０に信号を入力する処理には誤差が生じ得るので、連続する正規信号間の時間間隔にも誤差が生じ得るものの、連続する正規信号間の時間間隔は概ね入力周期Ｆとなる。つまり、正規信号は、予め定められた入力周期ＦでＣＡＮ通信ネットワーク１８０に入力されることが期待される。

次に、悪意のある第三者が、ＥＣＵ１１１になりすまして不正信号をＣＡＮ通信ネットワーク１８０に入力する場合を示す。例えば、悪意のある第三者は、ＥＣＵ１１０から特定のＣＡＮ ＩＤが付与された信号がＣＡＮ通信ネットワーク１８０に入力されたことを検知すると、当該ＣＡＮ ＩＤを付与した不正信号をＣＡＮ通信ネットワーク１８０に入力する。これにより、不正信号が入力されない場合に比べて、約２倍の数の信号がＣＡＮ通信ネットワーク１８０に入力されることになる。そこで、信号検出部２１０が検出した信号のうち特定のＣＡＮ ＩＤが付与された信号の数をカウント部２２０がカウントし、判定部２３０は、予め定められた期間Ｔ内にカウント部２２０によってカウントされた信号の数に基づいて、不正信号がＣＡＮ通信ネットワーク１８０に入力されたか否かを判定する。

図４は、なりすまし攻撃がない場合において信号が検出され得る最大検出回数と、なりすまし攻撃がある場合において信号が検出される得る最小検出回数とを示す図である。図４は、信号をカウントする期間の設計値Ｔに±１０％の誤差があり、入力周期の設計値Ｆに±２０％の誤差が生じ得ると仮定した場合の最大検出回数と最小検出回数を示す。

図４には、信号をカウントする期間Ｔの設計値が１５００ｍｓであり、入力周期Ｆの設計値が１０ｍｓである場合が例示されている。なりすまし攻撃がない場合において信号が検出され得る最大検出回数は、１．１Ｔ／０．８Ｆによって算出される。なりすまし攻撃がある場合、なりすまし攻撃がない場合に比べて単位時間あたりの信号数が２倍になるとすると、なりすまし攻撃がある場合において信号が検出され得る最小検出回数は、２×０．９Ｔ／１．２Ｆによって算出される。図４に示されるように、なりすまし攻撃がない場合における信号の最大検出回数は２０６であり、なりすまし攻撃がある場合における信号に最小検出回数は２２５である。

そこで、判定部２３０は、期間Ｔとして１５００ｍｓを採用する場合には、不正信号があるか否かを判定するための閾値を２０６と２２５との間に設定し、１５００ｍｓの期間内で信号が検出された回数が閾値以下である場合に不正信号がないと判定し、１５００ｍｓの期間内で信号が検出された回数が閾値を超える場合に不正信号があると判定する。閾値として設定し得る下限値は２０６であり、上限値は２２５である。このように閾値を設定することで、期間Ｔ及び入力周期Ｆに生じ得る誤差を考慮しても、不正信号があるか否かを適切に判定することが期待できる。

なお、判定部２３０は、不正信号があるか否かを判定するための閾値を、誤差を考慮せずに設定してよい。例えば、判定部２３０は、なりすまし攻撃がない場合において信号が検出され得る回数であるＴ／Ｆと、なりすまし攻撃がある場合において信号が検出され得る回数である２Ｔ／Ｆとの間に、閾値を設定してよい。

図５は、入力周期Ｆの実測値を用いた場合における最大検出回数と最小検出回数とを示す図である。図５は、期間Ｔの設計値に±１０％の誤差が生じ得ると仮定した場合の最大検出回数と最小検出回数を示す。図５に係る説明において、入力周期の実測値のことを「Ｆ」で表す場合がある。

図５には、信号をカウントする期間Ｔの設計値が５００ｍｓであり、入力周期Ｆの実測値が１０．１ｍｓである場合が例示されている。なりすまし攻撃がない場合において信号が検出され得る最大検出回数は、１．１Ｔ／Ｆによって算出される。なりすまし攻撃がある場合において信号が検出され得る最小検出回数は、２×０．９Ｔ／Ｆによって算出される。図５に示されるように、なりすまし攻撃がない場合における信号の最大検出回数は５４であり、なりすまし攻撃がある場合における信号に最小検出回数は８９である。

そこで、判定部２３０は、期間Ｔとして５００ｍｓを採用する場合、不正信号があるか否かを判定するための閾値を５４と８９との間に設定し、５００ｍｓの期間内で信号が検出された回数が閾値以下である場合に不正信号がないと判定し、５００ｍｓの期間内で信号が検出された回数が閾値を超える場合に不正信号があると判定する。閾値として設定し得る下限値は５４であり、上限値は８９である。このように閾値を設定することで、期間Ｔに生じ得る誤差を考慮しても、不正信号があるか否かを適切に判定できることが期待される。図５に示されるように、最大検出回数と最小検出回数との間の差が３５と比較的に大きいため、誤判定が生じる可能性も低くなる。

なお、判定部２３０は、不正信号があるか否かを判定するための閾値を、期間Ｔ」の誤差を考慮することなく、入力周期Ｆの実測値を用いて設定してよい。例えば、判定部２３０は、なりすまし攻撃がない場合において信号が検出され得る回数であるＴ／Ｆと、なりすまし攻撃がある場合において信号が検出され得る回数である２Ｔ／Ｆとの間に、閾値を設定してよい。判定部２３０は、不正信号があるか否かを判定するための閾値を、Ｔ／Ｆに設定してよい。判定部２３０は、不正信号があるか否かを判定するための閾値を、２Ｔ／Ｆに設定してもよい。

次に、入力周期Ｆと期間Ｔとの関係を説明する。不正信号があるか否かを速やかに判定するためには、期間Ｔを短くすることが望まれる。一般に、なりすまし攻撃がある場合において信号が検出され得る最小検出回数をＡとし、なりすまし攻撃がない場合において信号が検出され得る最大検出回数をＮとすると、不正信号があるか否かを判定するためには、Ａ－Ｎ≧１の要件を満たす必要がある。

まず、図４に関連して説明したように、入力周期Ｆに±２０％の誤差が発生し、期間Ｔに±１０％の誤差が発生する場合を説明する。この場合、Ｎ＝１．１Ｔ／０．８Ｆとなる。なりすまし攻撃がある場合、なりすまし攻撃がない場合に比べて単位時間あたりの信号数が２倍になるとすると、Ａ＝２×０．９Ｔ／１．２Ｆとなる。したがって、不正信号があるか否かを判定するためには、２×０．９Ｔ／１．２Ｆ－１．１Ｔ／０．８Ｆ≧１を満たす必要がある。これにより、不正信号があるか否かを判定するためには、Ｔ≧８Ｆを満たす必要がある。つまり、入力周期Ｆに±２０％の誤差が発生し、期間Ｔに±１０％の誤差が発生するものとすると、不正信号があるか否かを判定するためには、入力周期Ｆの８倍以上の期間Ｔが必要となる。

これに対し、図５に関連して説明したように、入力周期Ｆに実測値を用い、期間Ｔに±１０％の誤差が発生する場合を説明する。この場合、Ｎ＝１．１Ｔ／Ｆとなる。なりすまし攻撃がある場合、なりすまし攻撃がない場合に比べて単位時間あたりの信号数が２倍になるとすると、Ａ＝２×０．９Ｔ／Ｆとなる。したがって、不正信号があるか否かを判定するためには、２×０．９Ｔ／Ｆ－１．１Ｔ／Ｆ≧１を満たす必要がある。これにより、不正信号があるか否かを判定するためには、Ｔ≧１．４３Ｆを満たせばよい。よって、入力周期Ｆに実測値を用いることで、入力周期Ｆに実測値を用いない場合に比べて、期間Ｔを短くすることが可能になる。

図６は、２回のドライブサイクルにおいて実行される不正信号の判定処理及び入力周期Ｆを測定する処理の内容を示す。まず、車両１０がユーザに引き渡された後の最初のドライブサイクルにおいては、入力周期Ｆの実測値が得られていない。そのため、時刻ｔ０から開始される最初のドライブサイクルにおいて、周期計測部２４０は入力周期Ｆを計測する。

例えば、周期計測部２４０は、予め定められた期間が経過する毎にカウント部２２０によって信号がカウントされた回数を取得し、複数の期間のそれぞれにおける信号の入力周期を算出する。周期計測部２４０は、複数の期間のそれぞれで算出された入力周期を平均して、入力周期Ｆの実測値を算出する。

最初のドライブサイクルにおいて、周期計測部２４０が入力周期Ｆの実測値を計測している間、判定部２３０は、規定の検出条件で不正信号の有無を判定する。規定の検出条件は、検出用変数として期間Ｔ及び閾値を含んで構成される。期間Ｔは、Ｔ≧８Ｆの要件を少なくとも満たすように設定される。閾値は、例えば図４に関連して説明したように入力周期Ｆと期間Ｔから算出される最大検出回数と最小検出回数との間に設定される。規定の検出条件を構成する期間Ｔ及び閾値は、入力周期Ｆに応じて予め定められていてよい。

判定部２３０は、最初のドライブサイクルが終了するまでの間、期間Ｔが経過する毎にカウント部２２０によってカウントされた信号の検出回数を取得し、取得した回数が閾値を超える場合に、不正信号があると判定する。時刻ｔ１において最初のドライブサイクルが終了すると、記憶部２８０は、時刻ｔ０からｔ１までの間に周期計測部２４０が計測した入力周期Ｆの実測値を、不揮発性の記憶領域に記憶する。

時刻ｔ２において２回目のドライブサイクルが開始する場合、判定部２３０は、記憶部２８０から入力周期Ｆの実測値を読み出し、入力周期Ｆの実測値を用いて検出条件を算出する。検出条件は、検出用変数として期間Ｔ及び閾値を含んで構成される。判定部２３０は、入力周期Ｆの実測値を用いて、Ｔ≧１．４３Ｆの要件を少なくとも満たすように期間Ｔを設定する。この場合、判定部２３０は、期間Ｔとして、規定の検出条件を構成する期間より短い期間を設定し得る。判定部２３０は、例えば図５に関連して説明したように、期間Ｔの誤差を考慮した期間Ｔを入力周期Ｆで除算することによって得られる値に基づいて、閾値を設定する。判定部２３０は、算出される最大検出回数と最小検出回数との間に閾値を設定してよい。

時刻ｔ３から車両１０の走行を開始すると、判定部２３０は、入力周期Ｆの実測値を用いて算出した検出条件で不正信号の有無を判定する。具体的には、判定部２３０は、期間Ｔが経過する毎にカウント部２２０によってカウントされた信号の検出回数を取得し、取得した回数が閾値を超える場合に、不正信号があると判定する。

２回目のドライブサイクルにおいて、判定部２３０が入力周期Ｆの実測値を用いて算出した検出条件で不正信号の有無を判定している間、周期計測部２４０は入力周期を計測し続ける。時刻ｔ４において最初のドライブサイクルが終了すると、記憶部２８０は、時刻ｔ３からｔ４までの間に周期計測部２４０が計測した入力周期Ｆの実測値を記憶する。記憶部２８０に記憶された入力周期Ｆの実測値は、次回のドライブサイクルが開始する場合に検知条件を算出するために使用される。

なお、最初のドライブサイクルにおいて、入力周期Ｆの実測値の計測が完了した場合、判定部２３０は、最初のドライブサイクルの途中で、入力周期Ｆの実測値に基づいて検知条件を算出し、入力周期Ｆの実測値を用いて算出した検出条件で不正信号の有無の判定を開始してよい。

図７は、ＥＣＵ１１０が実行する処理を示すフローチャートである。図７に示すフローチャートの処理は、ドライブサイクルの開始時に開始される。

Ｓ７０２において、不正信号を検出するための検出用変数を初期化する。検出用変数は、入力周期Ｆ、入力周期Ｆの実測値、期間Ｔ、閾値のそれぞれの変数を含む。Ｓ７０４において、記憶部２８０に記憶されている値を検出用変数に設定する。Ｓ７０６において、判定部２３０は、入力周期Ｆを実測済みであるか否かを判断する。入力周期Ｆを実測済みでない場合、Ｓ７１０において期間Ｔの変数に規定の期間を設定し、Ｓ７１２において閾値の変数に規定の閾値を設定する。続いて、Ｓ７２４において、判定部２３０は、Ｓ７１０及びＳ７１２で設定した期間Ｔ及び閾値に基づいて、不正信号を検出する処理を開始する。

Ｓ７０６において入力周期Ｆを実測済みであると判断した場合、Ｓ７２０において、期間Ｔの変数に入力周期Ｆの実測値を考慮した値を設定する。Ｓ７２２において、閾値の変数に、期間Ｔを入力周期Ｆの実測値で除算した値に基づく値を設定する。閾値は、図５に関連して説明したように、期間Ｔの誤差を考慮して設定される。続いて、Ｓ７２４において、判定部２３０は、Ｓ７２０及びＳ７２２で設定した期間Ｔ及び閾値に基づいて、不正信号を検出する処理を開始する。

以上に説明したシステム２０によれば、入力周期Ｆの実測値を用いることで、なりすまし攻撃による不正信号を検出するために信号をカウントする期間Ｔを短くすることができる。これにより、なりすまし攻撃を速やかに検出することができる。また、入力周期Ｆの実測値を記憶部２８０に保持しておくことで、過去に実測した入力周期Ｆを利用することで、速やかになりすまし攻撃を短時間で検出できる状態にすることができる。

図８は、本発明の複数の実施形態が全体的又は部分的に具現化され得るコンピュータ２０００の例を示す。コンピュータ２０００にインストールされたプログラムは、コンピュータ２０００を、実施形態に係るシステム２０等のシステム又はシステムの各部、もしくはＥＣＵ１１０等の装置又は当該装置の各部として機能させる、当該システム又はシステムの各部もしくは当該装置又は当該装置の各部に関連付けられるオペレーションを実行させる、及び／又は、実施形態に係るプロセス又は当該プロセスの段階を実行させることができる。そのようなプログラムは、コンピュータ２０００に、本明細書に記載の処理手順及びブロック図のブロックのうちのいくつか又はすべてに関連付けられた特定のオペレーションを実行させるべく、ＣＰＵ２０１２によって実行されてよい。

本実施形態によるコンピュータ２０００は、ＣＰＵ２０１２、及びＲＡＭ２０１４を含み、それらはホストコントローラ２０１０によって相互に接続されている。コンピュータ２０００はまた、ＲＯＭ２０２６、フラッシュメモリ２０２４、通信インタフェース２０２２、及び入力／出力チップ２０４０を含む。ＲＯＭ２０２６、フラッシュメモリ２０２４、通信インタフェース２０２２、及び入力／出力チップ２０４０は、入力／出力コントローラ２０２０を介してホストコントローラ２０１０に接続されている。

ＣＰＵ２０１２は、ＲＯＭ２０２６及びＲＡＭ２０１４内に格納されたプログラムに従い動作し、それにより各ユニットを制御する。

通信インタフェース２０２２は、ネットワークを介して他の電子デバイスと通信する。フラッシュメモリ２０２４は、コンピュータ２０００内のＣＰＵ２０１２によって使用されるプログラム及びデータを格納する。ＲＯＭ２０２６は、アクティブ化時にコンピュータ２０００によって実行されるブートプログラム等、及び／又はコンピュータ２０００のハードウエアに依存するプログラムを格納する。入力／出力チップ２０４０はまた、キーボード、マウス及びモニタ等の様々な入力／出力ユニットをシリアルポート、パラレルポート、キーボードポート、マウスポート、モニタポート、ＵＳＢポート、ＨＤＭＩ（登録商標）ポート等の入力／出力ポートを介して、入力／出力コントローラ２０２０に接続してよい。

プログラムは、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、又はメモリカードのようなコンピュータ可読記憶媒体又はネットワークを介して提供される。ＲＡＭ２０１４、ＲＯＭ２０２６、又はフラッシュメモリ２０２４は、コンピュータ可読記憶媒体の例である。プログラムは、フラッシュメモリ２０２４、ＲＡＭ２０１４、又はＲＯＭ２０２６にインストールされ、ＣＰＵ２０１２によって実行される。これらのプログラム内に記述される情報処理は、コンピュータ２０００に読み取られ、プログラムと上記様々なタイプのハードウエアリソースとの間の連携をもたらす。装置又は方法が、コンピュータ２０００の使用に従い情報のオペレーション又は処理を実現することによって構成されてよい。

例えば、コンピュータ２０００及び外部デバイス間で通信が実行される場合、ＣＰＵ２０１２は、ＲＡＭ２０１４にロードされた通信プログラムを実行し、通信プログラムに記述された処理に基づいて、通信インタフェース２０２２に対し、通信処理を命令してよい。通信インタフェース２０２２は、ＣＰＵ２０１２の制御下、ＲＡＭ２０１４及びフラッシュメモリ２０２４のような記録媒体内に提供される送信バッファ処理領域に格納された送信データを読み取り、読み取った送信データをネットワークに送信し、ネットワークから受信された受信データを、記録媒体上に提供される受信バッファ処理領域等に書き込む。

また、ＣＰＵ２０１２は、フラッシュメモリ２０２４等のような記録媒体に格納されたファイル又はデータベースの全部又は必要な部分がＲＡＭ２０１４に読み取られるようにし、ＲＡＭ２０１４上のデータに対し様々な種類の処理を実行してよい。ＣＰＵ２０１２は次に、処理されたデータを記録媒体にライトバックする。

様々なタイプのプログラム、データ、テーブル、及びデータベースのような様々なタイプの情報が記録媒体に格納され、情報処理にかけられてよい。ＣＰＵ２０１２は、ＲＡＭ２０１４から読み取られたデータに対し、本明細書に記載され、プログラムの命令シーケンスによって指定される様々な種類のオペレーション、情報処理、条件判断、条件分岐、無条件分岐、情報の検索／置換等を含む、様々な種類の処理を実行してよく、結果をＲＡＭ２０１４にライトバックする。また、ＣＰＵ２０１２は、記録媒体内のファイル、データベース等における情報を検索してよい。例えば、各々が第２の属性の属性値に関連付けられた第１の属性の属性値を有する複数のエントリが記録媒体内に格納される場合、ＣＰＵ２０１２は、第１の属性の属性値が指定されている、条件に一致するエントリを当該複数のエントリの中から検索し、当該エントリ内に格納された第２の属性の属性値を読み取り、それにより予め定められた条件を満たす第１の属性に関連付けられた第２の属性の属性値を取得してよい。

上で説明したプログラム又はソフトウエアモジュールは、コンピュータ２０００上又はコンピュータ２０００近傍のコンピュータ可読記憶媒体に格納されてよい。専用通信ネットワーク又はインターネットに接続されたサーバーシステム内に提供されるハードディスク又はＲＡＭのような記録媒体が、コンピュータ可読記憶媒体として使用可能である。コンピュータ可読記憶媒体に格納されたプログラムを、ネットワークを介してコンピュータ２０００に提供してよい。

コンピュータ２０００にインストールされ、コンピュータ２０００をＥＣＵ１１０として機能させるプログラムは、ＣＰＵ２０１２等に働きかけて、コンピュータ２０００を、ＥＣＵ１１０の各部としてそれぞれ機能させてよい。これらのプログラムに記述された情報処理は、コンピュータ２０００に読込まれることにより、ソフトウェアと上述した各種のハードウエア資源とが協働した具体的手段であるＥＣＵ１１０の各部として機能する。そして、これらの具体的手段によって、本実施形態におけるコンピュータ２０００の使用目的に応じた情報の演算又は加工を実現することにより、使用目的に応じた特有のＥＣＵ１１０が構築される。

様々な実施形態が、ブロック図等を参照して説明された。ブロック図において各ブロックは、（１）オペレーションが実行されるプロセスの段階又は（２）オペレーションを実行する役割を持つ装置の各部を表わしてよい。特定の段階及び各部が、専用回路、コンピュータ可読記憶媒体上に格納されるコンピュータ可読命令と共に供給されるプログラマブル回路、及び／又はコンピュータ可読記憶媒体上に格納されるコンピュータ可読命令と共に供給されるプロセッサによって実装されてよい。専用回路は、デジタル及び／又はアナログハードウエア回路を含んでよく、集積回路（ＩＣ）及び／又はディスクリート回路を含んでよい。プログラマブル回路は、論理ＡＮＤ、論理ＯＲ、論理ＸＯＲ、論理ＮＡＮＤ、論理ＮＯＲ、及び他の論理オペレーション、フリップフロップ、レジスタ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、プログラマブルロジックアレイ（ＰＬＡ）等のようなメモリ要素等を含む、再構成可能なハードウエア回路を含んでよい。

コンピュータ可読記憶媒体は、適切なデバイスによって実行される命令を格納可能な任意の有形なデバイスを含んでよく、その結果、そこに格納される命令を有するコンピュータ可読記憶媒体は、処理手順又はブロック図で指定されたオペレーションを実行するための手段をもたらすべく実行され得る命令を含む製品の少なくとも一部を構成する。コンピュータ可読記憶媒体の例としては、電子記憶媒体、磁気記憶媒体、光記憶媒体、電磁記憶媒体、半導体記憶媒体等が含まれてよい。コンピュータ可読記憶媒体のより具体的な例としては、フロッピー（登録商標）ディスク、ディスケット、ハードディスク、ランダムアクセスメモリ（ＲＡＭ）、リードオンリメモリ（ＲＯＭ）、消去可能プログラマブルリードオンリメモリ（ＥＰＲＯＭ又はフラッシュメモリ）、電気的消去可能プログラマブルリードオンリメモリ（ＥＥＰＲＯＭ）、静的ランダムアクセスメモリ（ＳＲＡＭ）、コンパクトディスクリードオンリメモリ（ＣＤ－ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、ブルーレイ（登録商標）ディスク、メモリスティック、集積回路カード等が含まれてよい。

コンピュータ可読命令は、アセンブラ命令、命令セットアーキテクチャ（ＩＳＡ）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、又はＳｍａｌｌｔａｌｋ（登録商標）、ＪＡＶＡ（登録商標）、Ｃ＋＋等のようなオブジェクト指向プログラミング言語、及び「Ｃ」プログラミング言語又は同様のプログラミング言語のような従来の手続型プログラミング言語を含む、１又は複数のプログラミング言語の任意の組み合わせで記述されたソースコード又はオブジェクトコードのいずれかを含んでよい。

コンピュータ可読命令は、汎用コンピュータ、特殊目的のコンピュータ、若しくは他のプログラム可能なデータ処理装置のプロセッサ又はプログラマブル回路に対し、ローカルに又はローカルエリアネットワーク（ＬＡＮ）、インターネット等のようなワイドエリアネットワーク（ＷＡＮ）を介して提供され、説明された処理手順又はブロック図で指定されたオペレーションを実行するための手段をもたらすべく、コンピュータ可読命令を実行してよい。プロセッサの例としては、コンピュータプロセッサ、処理ユニット、マイクロプロセッサ、デジタル信号プロセッサ、コントローラ、マイクロコントローラ等を含む。

以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されない。上記実施の形態に、多様な変更または改良を加えることが可能であることが当業者に明らかである。その様な変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。

特許請求の範囲、明細書、および図面中において示した装置、システム、プログラム、および方法における動作、手順、ステップ、および段階等の各処理の実行順序は、特段「より前に」、「先立って」等と明示しておらず、また、前の処理の出力を後の処理で用いるのでない限り、任意の序順で実現しうることに留意すべきである。特許請求の範囲、明細書、および図面中の動作フローに関して、便宜上「まず、」、「次に、」等を用いて説明したとしても、この順で実施することが必須であることを意味するものではない。

１０ 車両
２０ システム
１００ ＥＣＵ
１１０ ＥＣＵ
１１１ ＥＣＵ
１２０ ＥＣＵ
１２１ ＥＣＵ
１８０ ＣＡＮ通信ネットワーク
２１０ 信号検出部
２２０ カウント部
２３０ 判定部
２４０ 周期計測部
２８０ 記憶部
２０００ コンピュータ
２０１０ ホストコントローラ
２０１２ ＣＰＵ
２０１４ ＲＡＭ
２０２０ 入力／出力コントローラ
２０２２ 通信インタフェース
２０２４ フラッシュメモリ
２０２６ ＲＯＭ
２０４０ 入力／出力チップ

Claims (13)

1. 予め定められた入力周期で通信ネットワークに入力されることが期待される信号を検出する信号検出部と、
   前記信号検出部により信号が検出された回数をカウントするカウント部と、
   予め定められた第１の期間内において前記カウント部によりカウントされた回数が、前記第１の期間を前記入力周期で除算することによって算出された第１の値と、前記通信ネットワークに不正信号がさらに入力されることを仮定して前記第１の期間及び前記入力周期に基づいて算出される第２の値との間に設定された閾値以下であるか否かを判定する判定部と
   を備える車載機器。
2. 前記判定部は、前記第１の期間及び前記入力周期に誤差が含まれることを仮定して算出された前記第１の値の最大値と前記第２の値の最小値との間に、前記閾値を設定する
   請求項１に記載の車載機器。
3. 前記カウント部によりカウントされた回数に基づいて、前記入力周期の実測値を計測する周期計測部
   をさらに備え、
   前記判定部は、
   前記周期計測部によって前記入力周期の前記実測値が計測されるまでの間、予め定められた第２の期間内において前記カウント部によりカウントされた回数が予め定められた第３の値以下であるか否かを判定し、
   前記周期計測部によって前記入力周期の前記実測値が計測された場合に、前記第１の期間を前記入力周期の前記実測値で除算することによって前記第１の値を算出し、前記通信ネットワークに不正信号がさらに入力されることを仮定して前記第１の期間及び前記入力周期の前記実測値に基づいて算出される前記第２の値を算出し、前記第１の期間内において前記カウント部によりカウントされた回数が前記第１の値以下であるか否かの判定を開始する
   請求項１に記載の車載機器。
4. 前記判定部は、前記周期計測部によって前記入力周期の前記実測値が計測された場合に、前記入力周期の前記実測値に基づいて前記第２の期間より短い前記第１の期間を設定する
   請求項３に記載の車載機器。
5. 予め定められた入力周期で通信ネットワークに入力されることが期待される信号を検出する信号検出部と、
   前記信号検出部により信号が検出された回数をカウントするカウント部と、
   予め定められた第１の期間内において前記カウント部によりカウントされた回数が、前記第１の期間を前記入力周期の過去の実測値で除算することによって算出された第１の値以下であるか否かを判定する判定部と
   を備える車載機器。
6. 前記判定部は、前記第１の期間内において前記カウント部によりカウントされた回数が、前記第１の期間に誤差が含まれることを仮定して算出された前記第１の値の最大値以下であるか否かを判定する
   請求項５に記載の車載機器。
7. 前記判定部は、前記第１の期間内において前記カウント部によりカウントされた回数が、前記第１の値と、前記通信ネットワークに不正信号がさらに入力されることを仮定して前記第１の期間及び前記入力周期の前記実測値に基づいて算出される第２の値との間に設定された閾値以下であるか否かを判定する
   請求項５に記載の車載機器。
8. 前記判定部は、前記第１の期間に誤差が含まれることを仮定して算出された前記第１の値の最大値と前記第２の値の最小値との間に、前記閾値を設定する
   請求項７に記載の車載機器。
9. 前記カウント部によりカウントされた回数に基づいて前記入力周期の前記実測値を計測する周期計測部
   をさらに備え、
   前記判定部は、
   前記周期計測部によって前記入力周期の前記実測値が計測されるまでの間、予め定められた第２の期間内において前記カウント部によりカウントされた回数が予め定められた第３の値以下であるか否かを判定し、
   前記周期計測部によって前記入力周期の前記実測値が計測された場合に、前記入力周期の前記実測値を用いて前記第１の値を算出し、前記第１の期間内において前記カウント部によりカウントされた回数が前記第１の値以下であるか否かの判定を開始する
   請求項５から８のいずれか一項に記載の車載機器。
10. 前記判定部は、前記周期計測部によって前記入力周期の前記実測値が計測された場合に、前記入力周期の前記実測値に基づいて前記第２の期間より短い前記第１の期間を設定する
    請求項９に記載の車載機器。
11. 請求項１から１０のいずれか一項に記載の車載機器を備える車両。
12. 予め定められた入力周期で通信ネットワークに入力されることが期待される信号を検出する段階と、
    前記信号が検出された回数をカウントする段階と、
    予め定められた第１の期間内においてカウントされた前記回数が、前記第１の期間を前記入力周期で除算することによって算出された第１の値と、前記通信ネットワークに不正信号がさらに入力されることを仮定して前記第１の期間及び前記入力周期に基づいて算出される第２の値との間に設定された閾値以下であるか否かを判定する段階と
    を備える方法。
13. 予め定められた入力周期で通信ネットワークに入力されることが期待される信号を検出する段階と、
    前記信号が検出された回数をカウントする段階と、
    予め定められた第１の期間内においてカウントされた前記回数が、前記第１の期間を前記入力周期の過去の実測値で除算することによって算出された第１の値以下であるか否かを判定する段階と
    を備える方法。

Images