JP7170945B2

JP7170945B2 - 通信許可リスト生成装置、通信許可リスト生成方法、及び、プログラム

Info

Publication number: JP7170945B2
Application number: JP2022536083A
Authority: JP
Inventors: 雅道丹治
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2020-07-17
Filing date: 2020-07-17
Publication date: 2022-11-14
Anticipated expiration: 2040-07-17
Also published as: WO2022014027A1; CN115917540A; DE112020007204T5; JPWO2022014027A1; US20230087540A1

Description

本開示は、ネットワーク内を流れる不正メッセージの検知技術に関するものである。

近年、自動車の車両内部に取り付けた不正な車載機器などから、車両ネットワーク内を流れるメッセージに成りすました不正メッセージを送信することで、当該車両の走行等に関わる制御を騙す攻撃が研究等で明らかにされている。このため、車両ネットワーク内を流れるメッセージを監視し、不正メッセージを検知する不正通信検知機能を車両に搭載する動きが進むと予想される。

車両ネットワーク内を流れるメッセージは固定的、周期的なものが多く存在する。そこで、正常なメッセージに関する情報をホワイトリストとして保持し、ホワイトリストから逸脱したメッセージを不正メッセージとして検知するという、ホワイトリスト型の不正通信検知機能の適用が見込まれる。ホワイトリスト型の不正通信検知機能は、不正メッセージに関する情報を保持するブラックリスト型の不正通信検知機能と比べ、リストの更新を頻繁に行う必要がないというメリットも存在する。

しかしながら、ホワイトリスト型不正通信検知機能の適用にあたっては、ネットワーク内を流れる可能性のある正常メッセージを全て正しくホワイトリストに定義する必要がある。ホワイトリストの作成を全て人が手作業で行うことは、作業負荷が高く、抜け漏れや記載ミスが生じるというデメリットも存在する。

そこで、特許文献１には、ネットワークから収集した通信データを学習、解析してホワイトリストを作成する技術が開示されている。
また、特許文献２には、産業制御システムのネットワーク通信が固定的であることを利用し、送信先アドレスと送信元アドレスのペアやプロトコル等の許可された通信を定義し、許可された通信を通信許可リスト（ホワイトリスト）として定義する技術が開示されている。

特許第６０５４０１０号特許第６５８４７３３号

車両ネットワークにおけるホワイトリストを生成する場合、特許文献１に基づけば、実際の車両ネットワークを流れる通信データを取得し、そこからホワイトリストを生成することが考えられる。しかしながらこの場合、ホワイトリストを生成するためには、取得した通信データのペイロード部分のフォーマット等の情報が必要となる。取得した通信データからホワイトリストを自動生成する場合でも、通信データを解析するために必要な情報は手動で設定する必要が生じる。また、取得した通信データに正常な通信データが全て含まれているかどうかを確認することは困難である。

一方、特許文献２に基づけば、車両ネットワークを流れる通信データの仕様を定めた通信仕様書からホワイトリストを生成することが考えられる。通信仕様書にはペイロード部のフォーマットや、各データ部の取り得る値などの情報が定義されているため、そこからホワイトリストを生成することが可能である。この場合、解析のための情報を手動で設定する必要はなくなる。しかしながら、周期メッセージの周期誤差範囲など、通信仕様書からは判断できない情報も存在する。あるいは、通信仕様上定められた値の範囲よりも、実環境で用いられる値の範囲が限定されるような通信データについても、仕様上の、より広い値範囲を許容するルールとして定義されることになる。ホワイトリストに定義するルールの値範囲が広すぎると、検知精度が低下し、不正なメッセージを適切に検知できない可能性が高まる。

そこで、本開示は、通信仕様から生成した通信許可リストを補正することで、不正なメッセージを正当なメッセージと誤検知する可能性を軽減させることを目的とするものである。

本開示の通信許可リスト生成装置は、車両ネットワーク内に搭載される不正通信検知機能が用いる通信許可リストを生成する通信許可リスト生成装置であって、前記車両ネットワークを流れる正常な通信メッセージの仕様が定義された通信仕様から当該通信メッセージの周期を定義した周期情報を含んだ検知ルールを生成する通信仕様解析部と、前記通信仕様解析部で生成された前記検知ルールを含む通信許可リストを生成する通信許可リスト出力部と、前記車両ネットワークから取得した通信データを解析し、当該通信データから通信メッセージの周期の範囲を示す周期範囲を取得する通信データ解析部と、前記通信データ解析部で取得された通信メッセージの周期範囲に基づいて、前記通信許可リストに含まれた当該通信メッセージの検知ルールの周期情報を更新する通信許可リスト更新部とを備え、前記通信許可リスト更新部は、前記通信許可リストに、前記周期情報が更新されていない通信メッセージの検知ルールが存在する場合、前記周期情報が更新された他の通信メッセージを基準メッセージとして選択し、当該基準メッセージの周期範囲に基づいて、当該通信メッセージの検知ルールの周期情報を更新することを特徴とするものである。

本開示は、通信仕様から生成した通信許可リストを補正することで、不正なメッセージを正当なメッセージと誤検知する可能性を軽減させることができるという効果を奏する。

本発明にかかる車両システム１００のシステム構成図。本発明にかかるＧＷ１１０の構成図。本発明にかかる通信メッセージのメッセージフォーマット。本発明にかかる通信許可リスト２２１のフォーマットの一例。本発明にかかる不正通信検知部２１２が行う不正通信検知処理のフローチャート。本発明にかかる通信許可リスト生成ツールの動作環境の構成図。本発明にかかる通信許可リスト生成部６１１の内部動作及び入出力情報に関するフロー図。本発明にかかる通信仕様６２１のフォーマットの一例。本発明にかかる通信データ６２２のフォーマットの一例。本発明にかかる設定定義６２３のフォーマットの一例。本発明にかかる通信仕様解析部６１２が行う通信仕様解析処理のフローチャート。本発明にかかる通信仕様解析部６１２が行うメッセージ情報解析サブルーチンのフローチャート。本発明にかかる通信仕様解析部６１２が行うシグナル情報解析サブルーチンのフローチャート。本発明にかかる内部生成ファイル１４００の一例。本発明にかかる通信許可リスト出力部６１３が行う通信許可リスト出力処理のフローチャート。本発明にかかる通信データ解析部６１４が行う通信データ解析処理のフローチャート。本発明にかかる内部生成ファイル１７００の一例。本発明にかかる通信許可リスト更新部６１５が行う通信許可リスト更新処理のフローチャート。本発明にかかる更新版通信許可リスト６２５の一例。本発明のその他の実施形態にかかる通信許可リスト生成部２０００の内部動作及び入出力情報に関するフロー図。

以下、本発明を実施するための最良の形態について図面を用いて説明する。なお、以下の実施の形態は特許請求の範囲に係る発明を限定するものでなく、また実施の形態で説明されている特徴の組み合わせの全てが発明の解決手段に必須のものとは限らない。実施の形態および図面において、同じ要素または互いに相当する要素には同じ符号を付している。同じ符号が付された要素の説明は適宜に省略または簡略する。

図１は、本発明にかかるホワイトリスト型不正通信検知機能が適用された車両システムのシステム構成図である。

本発明にかかる車両システム１００は、ＧＷ（Ｇａｔｅｗａｙ）１１０、第一車載機器１１１、第二車載機器１１２、第三車載機器１１３および第四車載機器１１４を備える。なお、車両システム１００は、数十から百数十個の車載機器を備えてもよい。

ＧＷ１１０、第一車載機器１１１および第二車載機器１１２はケーブル１２０を介して互いに通信を行う。ＧＷ１１０、第三車載機器１１３および第四車載機器１１４は、ケーブル１２１を介して互いに通信を行う。第一車載機器１１１および第二車載機器１１２と、第三車載機器１１３および第四車載機器１１４は、ケーブル１２０、ＧＷ１１０、および、ケーブル１２１を介して互いに通信を行う。ケーブル１２０およびケーブル１２１は、車両内通信で標準的に用いられているＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）通信に対応したケーブルである。ＣＡＮはブロードキャスト通信のため、ＧＷ１１０はケーブル１２０およびケーブル１２１を流れる通信を全て受信することが可能である。本発明にかかるホワイトリスト型不正通信検知機能は、ＧＷ１１０に搭載される。

図２は、本発明にかかるＧＷ１１０の構成図である。
ＧＷ１１０は、プロセッサ２１０、メモリ２２０、補助記憶装置２３０、および、通信装置２４０といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。

プロセッサ２１０は、プロセッシングを行うＩＣ（ＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）であり、他のハードウェアを制御する。具体的には、プロセッサ２１０は、ＣＰＵ、ＤＳＰまたはＧＰＵである。ＣＰＵはＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔの略称であり、ＤＳＰはＤｉｇｉｔａｌＳｉｇｎａｌＰｒｏｃｅｓｓｏｒの略称であり、ＧＰＵはＧｒａｐｈｉｃｓＰｒｏｃｅｓｓｉｎｇＵｎｉｔの略称である。

メモリ２２０は、揮発性の記憶装置である。メモリ２２０は、主記憶装置またはメインメモリとも呼ばれる。具体的には、メモリ２２０はＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）である。

補助記憶装置２３０は、不揮発性の記憶装置である。具体的には、補助記憶装置２３０は、ＲＯＭ、ＨＤＤまたはフラッシュメモリである。ＲＯＭはＲｅａｄＯｎｌｙＭｅｍｏｒｙの略称であり、ＨＤＤはＨａｒｄＤｉｓｋＤｒｉｖｅの略称である。

プロセッサ２１０とメモリ２２０と補助記憶装置２３０をまとめたハードウェアを「プロセッシングサーキットリ」という。

通信装置２４０は、通信を行う装置であり、レシーバとトランスミッタとを備える。具体的には、通信装置２４０は通信チップまたはＮＩＣ（ＮｅｔｗｏｒｋＩｎｔｅｒｆａｃｅＣａｒｄ）である。

ＧＷ１１０は、ＧＷ機能部２１１及び不正通信検知部２１２を機能構成の要素として備え、この機能はソフトウェアで実現することができる。これについては後述する。

図２の説明において、ＧＷ１１０に備わる機能構成の要素を示す。補助記憶装置２３０には、ＧＷ機能部２１１及び不正通信検知部２１２の機能を実現するプログラムが記憶されている。プログラムは、メモリ２２０にロードされて、プロセッサ２１０によって実行される。さらに、補助記憶装置２３０にはＯＳが記憶されている。ＯＳの少なくとも一部は、メモリ２２０にロードされて、プロセッサ２１０によって実行される。つまり、プロセッサ２１０は、ＯＳを実行しながら、ＧＷ機能部２１１及び不正通信検知部２１２の機能を実現するプログラムを実行する。プログラムを実行して得られるデータは、メモリ２２０、補助記憶装置２３０、プロセッサ２１０内のレジスタまたはプロセッサ２１０内のキャッシュメモリといった記憶装置に記憶される。

メモリ２２０は、通信許可リスト２２１と、転送リスト２２２が記憶される。通信許可リスト２２１は、不正通信検知部２１２が受信した通信メッセージの正常、異常を判断するために用いる検知ルールを含むホワイトリストである。通信許可リスト２２１の詳細は図４で後述する。転送リスト２２２は、ＧＷ機能部２１１が受信した通信メッセージを他方のケーブルに転送するべきかの判断に用いるリストである。通信メッセージとその通信メッセージの転送先情報が記載されたリストである。転送リスト２２２は本発明にかかる不正通信検知機能に直接関係するものではないため、詳細な説明は省略する。通信許可リスト２２１および転送リスト２２２は、補助記憶装置２３０に記憶されており、ＧＷ１１０が起動する際に補助記憶装置２３０からメモリ２２０に展開される。この他にも、メモリ２２０はＧＷ１１０で使用、生成、入力、出力、送信または受信される不図示のデータが記憶される。

通信装置２４０はデータを通信する通信部として機能する。通信装置２４０において、レシーバはデータを受信する受信部２４１として機能し、トランスミッタはデータを送信する送信部２４２として機能する。

ＧＷ１１０は、プロセッサ２１０を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、ＧＷ機能部２１１及び不正通信検知部２１２の機能を実現するプログラムの実行を分担する。ＧＷ機能部２１１及び不正通信検知部２１２の機能を実現するプログラムは、不揮発性の記憶媒体にコンピュータ読み取り可能に記憶することができる。ＧＷ機能部２１１及び不正通信検知部２１２の機能はファームウェアで実現してもよい。

ＧＷ機能部２１１は、通信メッセージの転送を行う、ＧＷ１１０の本来機能である。転送リスト２２２を参照しながら、ケーブル１２０（もしくはケーブル１２１）から受信した通信メッセージをケーブル１２１（もしくはケーブル１２０）に転送する。

不正通信検知部２１２は、通信取得部２１３と、通信判定部２１４と、アラート部２１５とから構成され、本発明にかかる不正通信検知機能を実現する。

図３は、車両システム１００内のネットワークを流れ、不正通信検知部２１２が検知対象とするＣＡＮの通信メッセージのメッセージフォーマットである。
ＣＡＮの通信メッセージは、ＩＤと、ＤＬＣと、データフィールドを備える。ＩＤは通信メッセージを一意に識別するために付与されたメッセージ番号である。ＤＬＣ（ＤａｔａＬｅｎｇｔｈＣｏｄｅ）は次に続くデータフィールドのデータ長をバイト単位で示す。データフィールドはアプリケーションが用いるデータが格納されたフィールドであり、ＣＡＮ通信では最大８バイトである。データフィールドは複数のシグナルで構成される。シグナルは１～６４ビットのデータ長を取り得る。ＩＤ、ＤＬＣ、データフィールドおよび各シグナルの詳細は車両システム１００毎に定義される。車両システム１００内のネットワークは、車両ネットワークの一例である。

図４は、通信許可リスト２２１の構成及び取り得る値の一例を示す。
通信許可リスト２２１は、車両システム１００内のネットワークを流れる正常なＣＡＮメッセージの情報を記載したホワイトリストである。正常なＣＡＮメッセージは、正常な通信メッセージの一例である。通信許可リスト２２１には、正常な通信メッセージを検知する為の検知ルールが含まれる。通信許可リスト２２１に含まれた検知ルールを構成する項目としては、検知ルール番号、状態、ＩＤ，ＤＬＣ，シグナル条件、周期条件がある。検知ルール番号は、通信許可リスト２２１内で各検知ルールを一意に識別するためにシーケンシャルに付与される番号である。状態は、ＧＷ１１０または車両システム１００の取り得る状態であり、例えば“停車中”、“走行中”、“故障診断中”などの状態が存在し得る。本発明にかかる不正通信検知機能では、状態毎に検知ルールを定義することが可能である。ＩＤおよびＤＬＣは、図３に示したＣＡＮの通信メッセージにおけるＩＤおよびＤＬＣに対応する。シグナル条件は、図３に示したＣＡＮの通信メッセージにおける各シグナルの先頭ビット、レングス、最小値、最大値を定義する。周期条件は、周期的に送信されるメッセージについて、その周期を定義する。周期条件を定義する際には、実際の車両システム１００内のネットワークを流れる際の周期誤差を考慮し、周期の値範囲で定義する必要がある。即ち、周期条件は、周期を示す周期情報の値範囲を示す。図４の例では、検知ルール番号１，２、４、５は、いずれも１００ｍｓ（ミリ秒）の周期で送信されるメッセージを検知するための検知ルールである。そして、検知ルール番号１，２、４、５は、周期誤差を考慮するため、周期条件として前後１０％のマージンを取り、９０～１１０ｍｓの範囲内であれば正常メッセージと判断する検知ルールである。ここで、検知ルール番号３は周期性を持たないメッセージであり、この場合、周期条件は定義されない。本実施例では簡略化のため通信許可リスト２２１には５つの検知ルールのみ示しているが、車両システム１００内のネットワークを流れ得る正常なＣＡＮメッセージの情報は抜け漏れなく全て記載する必要がある。

図５は、本発明にかかるＧＷ１１０の不正通信検知部２１２が行う不正通信検知処理のフローチャートである。
Ｓ５０１において、不正通信検知部２１２の通信取得部２１３は、受信部２４１が受信した通信メッセージを、受信部２４１での受信時刻情報と共に取得し、通信判定部２１４に渡す。

Ｓ５０２において、通信判定部２１４は、渡された通信メッセージの内容を解析し、当該メッセージに含まれるＩＤ，ＤＬＣ，データフィールドの値を取得する。

Ｓ５０３において、当該通信メッセージの解析結果に合致する検知ルールが通信許可リスト２２１に存在するかを判定する。判定では、通信許可リスト２２１に記載され、現在の状態に対応した検知ルールの中から、ＩＤ条件とＤＬＣ条件がＳ５０２で取得した値と一致する検知ルールを探索する。一致する検知ルールが存在した場合は、その検知ルールのシグナル条件に記載された全てのシグナルについて、先頭ビットとレングスの情報に従ってデータフィールドから値を読み出し、取り得る値の範囲内であるかをチェックする。当該検知ルールに周期条件が記載されている場合は、Ｓ５０１で渡された受信時刻情報と、予め内部で保持していた当該通信メッセージに関する前回の受信時刻情報とを比較し、受信間隔が周期条件で定められた周期範囲内であるかをチェックする。全ての条件が合致する検知ルールが存在した場合は、正常メッセージであると判断し、直ちに本フローチャートを終了する。

Ｓ５０３の判定で合致する検知ルールが通信許可リスト２２１に存在しない場合は、Ｓ５０４に進み、アラート部２１５にて、予め定められたアラート処理を行う。アラート処理としては、送信部２４２を介して、車両システム１００内の不図示のログ記憶装置に対して不正通信の発生を示すログ情報を送信することや、不図示の操作パネルに警告メッセージを表示させて車両システム１００の搭乗者に通知することなど、様々な処理を実施し得る。以上の処理ステップを実行した後、本フローチャートを終了する。

以上、本発明にかかる不正通信検知処理によれば、自動車の車両内部に取り付けた不正な車載機器などから、当該車両の走行等に関わる制御を騙すような不正な通信メッセージが送信された場合に、それを検知してアラートとして挙げることが可能となる。更に、正常な通信メッセージの情報を定義するホワイトリスト型の不正通信検知処理であるため、ブラックリスト型に比べ、リストの更新を頻繁に行わなくても済むというメリットもある。しかしながら、ホワイトリストに記載する正常な通信メッセージに抜け漏れや記載ミスがあると、適切な検知が行えない。ホワイトリストを人が手作業で作成することは、作業負荷が高く、また、抜け漏れや記載ミスが発生する可能性が生じる。そこで、図４に示した通信許可リスト２２１を自動的に生成する通信許可リスト生成ツールが求められる。

図６は、通信許可リスト生成ツールの動作環境の構成図である。
ＰＣ６００は、プロセッサ６１０とメモリ６２０と補助記憶装置６３０といったハードウェアを備える汎用のＰＣ（ＰｅｒｓｏｎａｌＣｏｍｐｕｔｅｒ）である。これらのハードウェアは、信号線を介して互いに接続されている。ＰＣ６００は、車両システム１００の内外の何れに設けられていてもよい。

プロセッサ６１０、メモリ６２０および補助記憶装置６３０は、図２で説明したプロセッサ２１０、メモリ２２０および補助記憶装置２３０に相当するハードウェアである。ＰＣ６００は、通信許可リスト生成部６１１を備え、この機能はソフトウェアで実現することができる。これについては後述する。補助記憶装置６３０には、通信許可リスト生成部６１１の機能を実現するプログラムが記憶されている。プログラムは、メモリ６２０にロードされて、プロセッサ６１０によって実行される。さらに、補助記憶装置６３０にはＯＳが記憶されている。ＯＳの少なくとも一部は、メモリ６２０にロードされて、プロセッサ６１０によって実行される。つまり、プロセッサ６１０は、ＯＳを実行しながら、通信許可リスト生成部６１１の機能を実現するプログラムを実行する。プログラムを実行して得られるデータは、メモリ６２０、補助記憶装置６３０、プロセッサ６１０内のレジスタまたはプロセッサ６１０内のキャッシュメモリといった記憶装置に記憶される。

メモリ６２０は、通信仕様６２１、通信データ６２２、設定定義６２３、更新前通信許可リスト６２４および更新版通信許可リスト６２５が記憶される。

通信仕様６２１は、図１に示した車両システム１００内のネットワークを流れるＣＡＮメッセージの周期を定義した周期情報を含む通信仕様を定義したファイルである。通信仕様６２１の詳細は図８で後述する。

通信データ６２２は、図１に示した車両システム１００内のネットワークを実際に流れるＣＡＮメッセージをパケットキャプチャツールなどで取得して保存したファイルである。通信データ６２２の詳細は図９で後述する。

設定定義６２３は、通信許可リスト生成部６１１が動作する際の設定情報を記載したファイルである。設定定義６２３の詳細は図１０で後述する。更新前通信許可リスト６２４および更新版通信許可リスト６２５は、通信許可リスト生成部６１１が出力するファイルであり、そのフォーマットは、図４で示した通信許可リスト２２１と同じである。

この他にも、メモリ６２０はＰＣ６００で使用、生成、入力、出力、送信または受信される不図示のデータが記憶される。ＰＣ６００は、プロセッサ６１０を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、通信許可リスト生成部６１１の機能を実現するプログラムの実行を分担する。通信許可リスト生成部６１１の機能を実現するプログラムは、不揮発性の記憶媒体にコンピュータ読み取り可能に記憶することができる。

通信許可リスト生成部６１１は、通信仕様解析部６１２と、通信許可リスト出力部６１３と、通信データ解析部６１４と、通信許可リスト更新部６１５とから構成され、本発明にかかる通信許可リスト生成ツールとして動作する。通信許可リスト生成部６１１は、ＰＣ６００上で動作するアプリケーションの１つである。通信許可リスト生成部６１１は、通信許可リスト生成装置の一例である。

図７は、図６に示した通信許可リスト生成部６１１の内部動作及び入出力情報に関するフロー図である。
通信許可リスト生成部６１１は、通信仕様６２１、設定定義６２３および通信データ６２２を入力とし、更新版通信許可リスト６２５を出力とする。また、通信許可リスト生成部６１１の内部では、更新前通信許可リスト６２４が生成される。従って、更新前通信許可リスト６２４および更新版通信許可リスト６２５は、通信許可リスト生成部６１１で生成される通信許可リストの一例である。

通信許可リスト生成部６１１の内部において、通信仕様解析部６１２は、車両ネットワークを流れる正常な通信メッセージの仕様が定義された通信仕様６２１の内容を解析し、通信仕様６２１から通信メッセージの周期を定義した周期情報を含んだ検知ルールを生成する。ここで、通信仕様解析部６１２は、設定定義６２３に基づいて通信仕様６２１の内容を解析してもよい。この場合、通信仕様解析部６１２は、設定定義６２３の周期範囲で指定された比率で算出した下限値と上限値を周期の値範囲とした周期情報を定義してもよい。通信仕様解析部６１２の解析結果は検知ルールとして通信許可リスト出力部６１３に渡される。また、通信仕様解析部６１２は、通信仕様６２１から通信メッセージの優先度を含んだ検知ルールを生成してもよい。

通信許可リスト出力部６１３は、通信仕様解析部６１２で生成された検知ルールを含む更新前通信許可リスト６２４を生成する。ここで、通信許可リスト出力部６１３は、設定定義６２３の内容に従って検知ルールの周期情報を更新した更新前通信許可リスト６２４を生成してもよい。なお、図１５のフローチャートにおいては、通信許可リスト出力部６１３が、設定定義６２３の内容に従って検知ルールの周期情報を更新した更新前通信許可リスト６２４を生成する例について説明する。

通信データ解析部６１４は、車両ネットワークから取得した通信データ６２２の内容を解析し、通信データ６２２から通信メッセージの周期の範囲を示す周期範囲を取得する。周期範囲を含む解析結果は、通信許可リスト更新部６１５に渡される。

通信許可リスト更新部６１５は、通信データ解析部６１４で取得された通信メッセージの周期範囲に基づいて、更新前通信許可リスト６２４に含まれた通信メッセージの検知ルールの周期情報を更新する。また、通信許可リスト更新部６１５は、更新前通信許可リスト６２４を更新した更新版通信許可リスト６２５として出力する。また、通信許可リスト更新部６１５は、周期情報が更新されていない通信メッセージの検知ルールが更新前通信許可リスト６２４に存在する場合、周期情報が更新された他の通信メッセージを基準メッセージとして選択し、選択された基準メッセージの周期範囲に基づいて、通信メッセージの検知ルールの周期情報を更新する。ここで、通信許可リスト更新部６１５から出力される更新版通信許可リスト６２５は、通信許可リストの一例である。

ここで、通信許可リスト生成部６１１は、更新前通信許可リスト６２４を単なる内部情報ではなく、出力しても良い。この場合、通信許可リスト生成部６１１は、更新前通信許可リスト６２４と更新版通信許可リスト６２５を共に出力することになる。また、通信許可リスト生成部６１１は、更新版通信許可リスト６２５を内部情報としてメモリ６２０又は補助記憶装置６３０に記憶してもよい。

更に、通信許可リスト生成部６１１は、通信仕様解析部６１２と通信許可リスト出力部６１３からなる機能部と、通信データ解析部６１４と通信許可リスト更新部６１５からなる機能部とに分割され、それぞれ別のツールとして動作しても良い。この場合、通信仕様解析部６１２と通信許可リスト出力部６１３からなる機能部は、通信仕様６２１と設定定義６２３を入力とし、更新前通信許可リスト６２４を出力する。通信データ解析部６１４と通信許可リスト更新部６１５からなる機能部は、通信データ６２２と更新前通信許可リスト６２４を入力とし、更新版通信許可リスト６２５を出力する。

図８は、図６および図７に示した通信仕様６２１のフォーマットの一例である。
通信仕様６２１は、車両システム１００内のネットワークを流れる複数の正常なＣＡＮメッセージの仕様が定義されたＣＡＮのデータベースファイルである。ここで、車両システム１００内のネットワークは、車両ネットワークの一例である。また、正常なＣＡＮメッセージは、正常通信メッセージの一例である。通信仕様６２１は、車両システム１００や、ＧＷ（Ｇａｔｅｗａｙ）１１０、第一車載機器１１１、第二車載機器１１２、第三車載機器１１３、第四車載機器１１４などの各車載機器の開発段階に作成、使用される設計情報である。通信仕様６２１は１つのファイルではなく、複数のファイルであっても良い。

通信仕様６２１は、装置情報、メッセージ情報、メッセージを構成するシグナルの情報、メッセージ種別情報、メッセージ周期情報（周期情報の一例）などの正常な通信メッセージの仕様を定義した情報を含む。装置情報は、通信仕様６２１内に定義されるメッセージの送受信に関わる車載機器の名称である。メッセージ情報は、各メッセージに関するメッセージＩＤ，ＤＬＣ，送信元車載機器名などの情報である。各メッセージ情報は、そのメッセージのデータフィールド部分を構成するシグナル情報を含む。シグナル情報は、シグナル名、開始ビット、レングス、取り得る値などの情報である。メッセージ種別情報は、メッセージ情報で定義された各メッセージの種別に関する情報である。メッセージ種別としては、イベントトリガで送信されるメッセージや周期的に送信されるメッセージなどが存在する。メッセージ周期情報は、メッセージ種別情報で周期を持つメッセージと定義されたメッセージの送信周期に関する情報である。

図９は、図６および図７に示した通信データ６２２のフォーマットの一例である。
通信データ６２２は、車両システム１００内のネットワークを流れるＣＡＮメッセージをパケットキャプチャツールなどで取得して保存したファイルである。通信仕様６２１は、車両システム１００や、ＧＷ（Ｇａｔｅｗａｙ）１１０、第一車載機器１１１、第二車載機器１１２、第三車載機器１１３、第四車載機器１１４などの各車載機器の開発段階で、実車両もしくはシミュレータ環境で取得される開発、評価用の情報である。通信データ６２２は１つのファイルではなく、複数のファイルであっても良い。通信データ６２２は、日付情報と、キャプチャしたメッセージに関する情報を備える。メッセージに関する情報は、キャプチャ時刻、メッセージＩＤ，ＤＬＣ，データフィールドである。

図１０は、図６および図７に示した設定定義６２３のフォーマットの一例である。
設定定義６２３は、通信許可リスト生成部６１１の動作に関連する設定情報を定義したテキストファイルである。設定定義６２３は、状態、対象機器、周期範囲に関する情報を備える。状態は、図４に示した通信許可リスト２２１の項目：状態に設定する内容を定義する。対象機器は、通信仕様解析部６１２で解析対象とする通信メッセージの送信元車載機器を定義する。通信許可リスト出力部６１３が出力する更新前通信許可リスト６２４には、対象機器に定義した車載機器が送信する通信メッセージに関する検知ルールのみが定義されることとなる。対象機器の定義は省略することも可能である。この場合、通信仕様６２１に定義された通信メッセージの全てが通信仕様解析部６１２での解析対象となる。周期範囲は、通信仕様６２１に定義された周期情報に対し、どれだけのマージンをみて更新前通信許可リスト６２４の周期条件として定義するかを比率で指定したものである。周期範囲で定義した比率は、通信仕様６２１に定義された全ての周期性メッセージに対して適用される。

図１１は、図６および図７に示した通信仕様解析部６１２が行う通信仕様解析処理のフローチャートである。
通信許可リスト生成部６１１の通信仕様解析部６１２は、Ｓ１１０１において、入力として受け付けた通信仕様６２１の内容を読み込む。具体的には、図８に示した通信仕様６２１のフォーマットの先頭からメッセージ情報を探索していく。そして、Ｓ１１０２において、メッセージ情報が存在するかを判断する。

メッセージ情報が存在する場合は、Ｓ１１０３において、メッセージ情報解析処理のサブルーチンを実行する。メッセージ情報解析サブルーチンについては図１２で後述する。メッセージ情報解析サブルーチンを実行した後、Ｓ１１０２に戻り、以降、通信仕様６２１内の全てのメッセージ情報を解析するまで、Ｓ１１０２～Ｓ１１０３の処理ステップを繰り返す。

Ｓ１１０２において、次のメッセージ情報は存在しないと判断した場合に、本フローチャートを終了する。

図１２は、図６および図７に示した通信仕様解析部６１２が行うメッセージ情報解析サブルーチンのフローチャートである。図１２は、図１１のＳ１１０３に対応する。
通信許可リスト生成部６１１の通信仕様解析部６１２は、Ｓ１２０１において、通信仕様６２１から、解析対象のメッセージ情報の送信元車載機器名を取得する。

Ｓ１２０２において、Ｓ１２０１で取得した送信元車載機器名が、図１０に示した設定定義６２３の対象機器に定義されているかを判断する。定義されていない場合は、直ちに本フローチャートを終了する。定義されている場合は、Ｓ１２０３において、通信仕様６２１から、解析対象のメッセージ情報のＩＤとＤＬＣを取得する。

Ｓ１２０４において、通信仕様６２１から、解析対象のメッセージ情報のメッセージ種別を取得する。そして、Ｓ１２０５において、解析対象のメッセージ情報が周期メッセージであるかを判断する。周期メッセージの場合は、Ｓ１２０６において、通信仕様６２１から、解析対象のメッセージの周期情報を取得する。そして、Ｓ１２０７において、シグナル情報解析処理のサブルーチンを実行する。シグナル情報解析サブルーチンについては図１３で後述する。一方、Ｓ１２０５において周期メッセージでない場合は、直ちにＳ１２０７に進み、シグナル情報解析サブルーチンを実行する。以上の処理ステップを実行した後、本フローチャートを終了する。

図１３は、図６および図７に示した通信仕様解析部６１２が行うシグナル情報解析サブルーチンのフローチャートである。図１３は、図１２のＳ１２０７に対応する。
通信許可リスト生成部６１１の通信仕様解析部６１２は、Ｓ１３０１において、通信仕様６２１から、解析対象のメッセージ情報のシグナル情報を読み込む。

Ｓ１３０２において、シグナル情報から開始ビット、レングス、取り得る値（最小値、最大値）の情報を取得する。

Ｓ１３０３において、解析対象のメッセージ情報に関する全てのシグナル情報の解析が完了したかを判断する。完了していない場合、Ｓ１３０１に戻り、以降、未解析のシグナル情報が無くなるまで、Ｓ１３０１～Ｓ１３０３の処理ステップを繰り返す。

Ｓ１３０３で解析対象のメッセージ情報に関する全てのシグナル情報の解析が完了した場合、Ｓ１３０４において、Ｓ１３０２で取得した各シグナルの情報を、開始ビットの昇順にソートする。以上の処理ステップを実行した後、本フローチャートを終了する。

図１４は、図１１～図１３に示した通信仕様解析部６１２の通信仕様６２１の解析処理の結果として生成される内部生成ファイル１４００の一例である。
内部生成ファイル１４００は、通信許可リスト生成部６１１の内部で、通信仕様解析部６１２から通信許可リスト出力部６１３への入力となる情報である。

内部生成ファイル１４００は、ＩＤ、ＤＬＣ、シグナル条件、周期条件を備える。ＩＤおよびＤＬＣは図１２のＳ１２０３で取得した情報が格納される。シグナル条件は、開始ビット、レングス、最小値、最大値を備え、いずれも図１３のＳ１３０２で取得した情報が格納される。図１３のＳ１３０４のソート処理を実行した結果として、ＩＤ毎のシグナル条件は開始ビットの値の昇順で内部生成ファイル１４００に記録される。周期条件は、周期メッセージである場合に、図１２のＳ１２０６で取得した情報が格納される。図１４においては、例として、図４の通信許可リスト２２１で例示した内容と同じメッセージ情報が記録されているものとする。

図１５は、図６および図７に示した通信許可リスト出力部６１３が行う通信許可リスト出力処理のフローチャートである。
通信許可リスト生成部６１１の通信許可リスト出力部６１３は、Ｓ１５０１において、更新前通信許可リスト６２４が既に存在するかを判断する。存在しない場合は、Ｓ１５０２において、更新前通信許可リスト６２４を新規作成する。更新前通信許可リスト６２４のフォーマットは、図４に示した通信許可リスト２２１のフォーマットと同じである。Ｓ１５０２の処理ステップを実行した後、Ｓ１５０４に進む。

一方、Ｓ１５０１で更新前通信許可リスト６２４が既に存在する場合は、Ｓ１５０３において、既存の更新前通信許可リスト６２４を編集可能なよう、ファイルオープンした後、Ｓ１５０４に進む。

Ｓ１５０４において、内部生成ファイル１４００にメッセージ情報が存在するかを判断する。存在する場合、Ｓ１５０５において、内部生成ファイル１４００内のメッセージ情報に対応する検知ルールが更新前通信許可リスト６２４に既に存在するかを判断する。具体的には、内部生成ファイル１４００から対象メッセージのＩＤを取得し、同じＩＤの検知ルールが更新前通信許可リスト６２４に存在するかをまず判断する。存在した場合は、内部生成ファイル１４００のＤＬＣ，シグナル条件、周期条件が、対応する更新前通信許可リスト６２４内の検知ルールのＤＬＣ，シグナル条件、周期条件と合致するかを判断する。合致した場合は、同じＩＤの検知ルールが更新前通信許可リスト６２４に存在していると判断し、Ｓ１５０４に戻る。

Ｓ１５０５で同じＩＤの検知ルールが更新前通信許可リスト６２４に存在していない場合は、Ｓ１５０６において、内部生成ファイル１４００のＩＤ，ＤＬＣ，シグナル条件、周期条件の情報を、更新前通信許可リスト６２４内の最終行に記録する。この際、周期条件を持つメッセージの場合には、内部生成ファイル１４００の周期条件に対し、図１０に示した設定定義６２３の周期範囲で指定された比率で算出した下限値と上限値を、更新前通信許可リスト６２４の周期条件に記録する。例えば、内部生成ファイル１４００で周期条件が１００ｍｓとなっており、設定定義６２３の周期範囲で１０％と指定されている場合、更新前通信許可リスト６２４の周期条件としては９０～１１０ｍｓとなる。その後、Ｓ１５０４に戻る。

以降、内部生成ファイル１４００のメッセージ情報を全て読み出すまで、Ｓ１５０４～Ｓ１５０６の処理ステップを繰り返す。

Ｓ１５０４において、内部生成ファイル１４００に次のメッセージ情報が存在しなくなった場合は、本フローチャートを終了する。図１４で示した内部生成ファイル１４００の内容を入力として、図１５に示した通信許可リスト出力処理を実施した場合に生成される更新前通信許可リスト６２４の内容は、図４に示した通信許可リスト２２１の内容と同じである。

図１６は、図６および図７に示した通信データ解析部６１４が行う通信データ解析処理のフローチャートである。
通信許可リスト生成部６１１の通信データ解析部６１４は、Ｓ１６０１において、入力として受け付けた通信データ６２２の内容を読み込む。具体的には、図９に示した通信データ６２２のフォーマットの先頭からメッセージ情報を探索していく。そして、Ｓ１６０２において、未解析のメッセージ情報が存在するかを判断する。未解析のメッセージ情報が存在する場合は、Ｓ１６０３において、解析対象のメッセージのＩＤを取得する。Ｓ１６０４において、通信データ６２２内を更に探索し、同じＩＤに関する情報を取得する。Ｓ１６０５において、取得した情報から各情報のキャプチャ時刻の間隔を算出し、解析対象のメッセージ情報が周期メッセージであるかを判断する。キャプチャ時刻の間隔に規則性がなく、周期メッセージではないと判断した場合は、Ｓ１６０２に戻る。

一方、周期メッセージと判断した場合は、Ｓ１６０６において、算出したキャプチャ時刻の間隔から、周期範囲の最大値と最小値を取得する。その後、Ｓ１６０２に戻る。以降、通信データ６２２に未解析のメッセージ情報が存在しなくなるまで、Ｓ１６０２～Ｓ１６０６の処理ステップを繰り返す。Ｓ１６０２において、通信データ６２２の全てのメッセージ情報を解析し終えた場合は、本フローチャートを終了する。

図１７は、図１６に示した通信データ解析部６１４の通信データ解析処理の結果として生成される内部生成ファイル１７００の一例である。
内部生成ファイル１７００は、通信許可リスト生成部６１１の内部で、通信データ解析部６１４から通信許可リスト更新部６１５への入力となる情報である。内部生成ファイル１７００は、ＩＤ、周期範囲を備える。ＩＤは図１６のＳ１６０３で取得した情報が格納される。周期範囲は、最小周期、最大周期を備え、いずれも図１６のＳ１６０６で取得した情報が格納される。図１７においては、例として、図１６に示した通信データ解析部６１４の通信データ解析処理の結果、ＩＤ＝０ｘ２０、０ｘ４０の周期範囲が取得できたものとする。また、ＩＤ＝０ｘ２０の周期範囲は、最小が９８．４ｍｓ、最大が１０４．５ｍｓであったものとする。ＩＤ＝０ｘ４０の周期範囲は、最小が９３．８ｍｓ、最大が１１０．３ｍｓであったものとする。

図１８は、図６および図７に示した通信許可リスト更新部６１５が行う通信許可リスト更新処理のフローチャートである。
通信許可リスト生成部６１１の通信許可リスト更新部６１５は、Ｓ１８０１において、内部生成ファイル１７００を先頭から探索し、メッセージ情報が存在するかを確認する。存在する場合（Ｓ１８０１Ｙｅｓ）は、Ｓ１８０２において、そのメッセージのＩＤ，周期範囲の情報を取得する。Ｓ１８０３において、更新前通信許可リスト６２４を探索し、Ｓ１８０２で取得したＩＤと一致するＩＤ情報をもつ検知ルールを特定する。特定した検知ルールの周期条件（周期情報の値範囲）を、Ｓ１８０２で取得した周期範囲の情報に基づいて更新する。即ち、通信許可リスト更新部６１５は、通信データ解析部６１４で取得された通信メッセージの周期範囲に基づいて、更新前通信許可リスト６２４に含まれた通信メッセージの検知ルールの周期情報の値範囲を更新する。

本実施例においては、図１７に示した内部生成ファイル１７００の先頭にはＩＤ＝０ｘ２０のメッセージに関する情報が記録されており、その周期範囲は最小が９８．４ｍｓ、最大が１０４．５ｍｓであった。一方、更新前通信許可リスト６２４の内容は、図４に示した通信許可リスト２２１の内容と同じであり、更新前通信許可リスト６２４におけるＩＤ＝０ｘ２０のメッセージの周期条件は９０～１１０ｍｓとなっている。そこで、更新前通信許可リスト６２４のＩＤ＝０ｘ２０のメッセージ情報（通信メッセージの検知ルール）に関する周期条件を、内部生成ファイル１７００の最小周期、最大周期が収まる範囲で極力狭めた範囲ということで、例えば９８～１０５ｍｓに更新する。その後、Ｓ１８０１に戻る。以降、内部生成ファイル１７００のメッセージ情報を全て取得するまで、Ｓ１８０１～Ｓ１８０３の処理ステップを繰り返す。

本実施例においては、内部生成ファイル１７００の情報に基づき、更新前通信許可リスト６２４内のＩＤ＝０ｘ４０のメッセージ情報に関する周期条件についても、ＩＤ＝０ｘ２０と同様に更新することとなる。ＩＤ＝０ｘ４０について、内部生成ファイル１７００における周期範囲は、図１７に示す通り、最小が９３．８ｍｓ、最大が１１０．３ｍｓであった。一方、更新前通信許可リスト６２４における周期条件は、図４に示す通り、９０～１１０ｍｓであった。そこで、更新前通信許可リスト６２４のメッセージ情報の周期条件を、例えば、９３～１１１ｍｓに更新する。

Ｓ１８０１で、内部生成ファイル１７００のメッセージ情報を全て取得した場合（Ｓ１８０１Ｎｏ）は、Ｓ１８０４において、更新前通信許可リスト６２４内に記録された周期メッセージの中で、Ｓ１８０１～Ｓ１８０３の処理ステップで周期情報が更新されていないメッセージ情報（通信メッセージの検知ルールの一例）が存在するかを確認する。本実施例においては、ＩＤ＝０ｘ１０およびＩＤ＝０ｘ５０のメッセージ情報が該当することとなる。

更新前通信許可リスト６２４内に周期情報が更新されていないメッセージ情報が存在する場合、通信許可リスト更新部６１５は、Ｓ１８０５において、周期情報が更新されていないメッセージ情報（以降、対象メッセージと称する）と基準メッセージの優先度を比較する。通信許可リスト更新部６１５は、基準メッセージとして、内部生成ファイル１７００内に記録されたメッセージ情報の中から、対象メッセージとＩＤの近いメッセージ情報を選択する。即ち、通信許可リスト更新部６１５は、周期情報が更新されていない通信メッセージと優先度が近い通信メッセージを基準メッセージとして選択する。本実施例においては、ＩＤ＝０ｘ１０に対してはＩＤ＝０ｘ２０が、ＩＤ＝０ｘ５０に対してはＩＤ＝０ｘ４０が、それぞれ基準メッセージとなる。ここで、ＣＡＮ通信においては、ＩＤの小さいものが優先度の高いメッセージとなる。従って、Ｓ１８０５では、対象メッセージと基準メッセージのＩＤを比較することとなる。なお、通信許可リスト更新部６１５は、更新前通信許可リスト６２４内に記録された周期条件の更新されたメッセージ情報の中から、対象メッセージとＩＤの近いメッセージを基準メッセージとして選択してもよい。

Ｓ１８０５で対象メッセージの優先度が基準メッセージの優先度よりも低い、すなわち、対象メッセージのＩＤの値が基準メッセージのＩＤの値よりも大きい場合は、Ｓ１８０７において、更新前通信許可リスト６２４内に記録された対象メッセージの検知ルールの周期条件（周期情報の値範囲）を、基準メッセージの周期範囲の比率よりも大きい比率で更新する。

これは、複数のメッセージの送信タイミングが衝突した場合に、より優先度の高いメッセージが優先されることから、優先度の低いメッセージの方が、周期の遅延誤差が大きくなるためである。

本実施例においては、ＩＤ＝０ｘ５０について、基準メッセージであるＩＤ＝０ｘ４０よりも優先度が低い。また、ＩＤ＝０ｘ４０とＩＤ＝０ｘ５０の周期条件はどちらも１００ｍｓであった。そして、Ｓ１８０３において、更新前通信許可リスト６２４のＩＤ＝０ｘ４０に関する周期条件の上限は１１１ｍｓに更新されていた。従って、基準メッセージであるＩＤ＝０ｘ４０について、周期範囲の比率（最大）は１１１％となる。そこで、更新前通信許可リスト６２４のＩＤ＝０ｘ５０に関する周期条件の上限は、基準メッセージであるＩＤ＝０ｘ４０の周期範囲の比率（１１１％）よりも大きい比率（例えば、１１５％）として１１５ｍｓに更新する。その後、Ｓ１８０４に戻る。

一方、Ｓ１８０５で対象メッセージの優先度が基準メッセージの優先度と同じ場合、又は、前記通信メッセージの優先度が前記基準メッセージの優先度よりも高い場合、Ｓ１８０８において、更新前通信許可リスト６２４内に記録された対象メッセージの検知ルールの周期条件（周期情報の値範囲）を、基準メッセージの周期範囲の比率と同じ比率で更新する。本実施例においては、ＩＤ＝０ｘ１０について、基準メッセージであるＩＤ＝０ｘ２０よりも優先度が高いことになる。ＩＤ＝０ｘ１０とＩＤ＝０ｘ２０の周期条件はどちらも１００ｍｓであった。そして、Ｓ１８０３において、更新前通信許可リスト６２４の検知ルールＩＤ＝０ｘ２０に関する周期条件の上限は１０５ｍｓに更新されていた。従って、基準メッセージであるＩＤ＝０ｘ２０について、周期範囲の比率（最大）は１０５％となる。そこで、更新前通信許可リスト６２４のＩＤ＝０ｘ１０に関する周期条件の上限は、ＩＤ＝０ｘ２０と同じ１０５ｍｓに更新する。その後、Ｓ１８０４に戻る。以降、更新前通信許可リスト６２４内の全ての周期メッセージを更新するまで、Ｓ１８０４～Ｓ１８０８の処理ステップを繰り返す。Ｓ１８０４で更新前通信許可リスト６２４内の全ての周期メッセージを更新し終えた場合は、Ｓ１８０９において、更新後の情報を更新版通信許可リスト６２５として出力する。以上の処理を行った後、本フローチャートを終了する。

図１９は、図１８に示した通信許可リスト更新処理の結果、通信許可リスト更新部６１５が出力する更新版通信許可リスト６２５の内容を示す図である。更新前通信許可リスト６２４の内容から、周期的な通信メッセージの検知ルールの周期条件に関する値が更新されている。図１９において下線で示した値が、更新前通信許可リスト６２４から更新された箇所である。

以上、本発明にかかる通信許可リスト生成ツールによれば、ＧＷ１１０の不正通信検知部２１２が参照する通信許可リスト２２１を、通信仕様６２１と実際の通信データの情報から自動生成できる。これにより、人が手作業で更新前通信許可リスト６２４を作成する場合に比べ、精度の良い検知ルールを、抜け漏れや記載ミスを発生させることなく作成できる。更に、本発明にかかる通信許可リスト生成ツールによれば、通信仕様と実際の通信データには表れない周期メッセージの周期範囲についても、通信データ内に記録される他の周期メッセージの情報を用いて、精度の良い検知ルールを生成することが出来る。

（その他の実施形態）
本発明のその他の実施形態について説明する。
図１８のＳ１８０５において、基準メッセージは、対象とするメッセージのＩＤとの近さ以外の条件で選択しても良い。例えば、通信許可リスト更新部６１５は、周期情報が更新された他の通信メッセージであって、周期情報が更新されていない通信メッセージと送信元の機器情報が等しい通信メッセージを基準メッセージとして選択してもよい。この場合、図１８のフローチャートを実行する通信許可リスト更新部６１５は、メッセージＩＤと送信元車載機器との対応を把握する必要がある。そのため、その他の実施形態にかかる通信許可リスト更新部６１５は、内部生成ファイル１７００と更新前通信許可リスト６２４に加え、通信仕様６２１を入力とする。なお、通信許可リスト更新部６１５が、通信メッセージの送信元の機器情報を特定する方法はこれに限らず、通信メッセージのIDと送信元の機器情報とが対応づけられていてもよいし、検知リストに送信元の機器情報が含まれていてもよい。

図２０は、本発明のその他の実施形態にかかる通信許可リスト生成部２０００の内部動作及び入出力情報に関するフロー図である。通信許可リスト生成部２０００は、図７に示した通信許可リスト生成部６１１のその他の実施形態である。図７に示した通信許可リスト生成部６１１との差異は、通信仕様６２１が通信許可リスト更新部６１５への入力となっている点である。これにより、図１８のＳ１８０５において、通信許可リスト更新部６１５が基準メッセージを選択する際、対象とするメッセージの送信元である車載機器の情報を通信仕様６２１から取得することが可能となる。更に、当該車載機器が送信するその他のメッセージの情報も通信仕様６２１から取得することで、基準メッセージを選択する。通信許可リスト生成部２０００の入出力となる情報や、内部を構成する各機能は、図７と同じであるため、ここでの説明は省略する。

また、図１８のＳ１８０５において、基準メッセージは１つでなくても良い。内部生成ファイル１７００内に記録された複数メッセージを基準メッセージとし、それら複数の基準メッセージのＩＤと周期範囲の最大値の対応から、更新対象のメッセージの周期範囲の最大値の予想値を算出し、その値で更新前通信許可リスト６２４を更新しても良い。

＊＊＊実施の形態の補足＊＊＊
実施の形態は、好ましい形態の例示であり、本発明の技術的範囲を制限することを意図するものではない。実施の形態は、部分的に実施してもよいし、他の形態と組み合わせて実施してもよい。フローチャート等を用いて説明した手順は、適宜に変更してもよい。

上述した車両システム１００実施する処理は、コンピュータを機能させるためのプログラムとして構成されてもよい。

１００車両システム、１１０ＧＷ、１１１第一車載機器、１１２第二車載機器、１１３第三車載機器、１１４第四車載機器、１２０、１２１ケーブル、２１０プロセッサ、２１１ＧＷ機能部、２１２不正通信検知部、２１３通信取得部、２１４通信判定部、２１５アラート部、２２０メモリ、２２１通信許可リスト、２２２転送リスト、２３０補助記憶装置、２４０通信装置、２４１受信部、２４２送信部、６００ＰＣ、６１０プロセッサ、６１１通信許可リスト生成部、６１２通信仕様解析部、６１３通信許可リスト出力部、６１４通信データ解析部、６１５通信許可リスト更新部、６２０メモリ、６２１通信仕様、６２２通信データ、６２３設定定義、６２４更新前通信許可リスト、６２５更新版通信許可リスト、６３０補助記憶装置、１４００，１７００内部生成ファイル、２０００通信許可リスト生成部。

Claims

車両ネットワーク内に搭載される不正通信検知機能が用いる通信許可リストを生成する通信許可リスト生成装置であって、
前記車両ネットワークを流れる正常な通信メッセージの仕様が定義された通信仕様から当該通信メッセージの周期を定義した周期情報を含んだ検知ルールを生成する通信仕様解析部と、
前記通信仕様解析部で生成された前記検知ルールを含む通信許可リストを生成する通信許可リスト出力部と、
前記車両ネットワークから取得した通信データを解析し、当該通信データから前記通信メッセージの周期の範囲を示す周期範囲を取得する通信データ解析部と、
前記通信データ解析部で取得された前記通信メッセージの周期範囲に基づいて、前記通信許可リストに含まれた当該通信メッセージの検知ルールの周期情報を更新する通信許可リスト更新部とを備え、
前記通信許可リスト更新部は、
前記通信許可リストに、前記周期情報が更新されていない通信メッセージの検知ルールが存在する場合、前記周期情報が更新された他の通信メッセージを基準メッセージとして選択し、当該基準メッセージの周期範囲に基づいて、当該通信メッセージの検知ルールの周期情報を更新する
ことを特徴とする通信許可リスト生成装置。
前記通信仕様解析部は、
前記通信仕様から通信メッセージの優先度を含んだ検知ルールを生成し、
前記通信許可リスト更新部は、
前記周期情報が更新されていない通信メッセージと優先度が近い通信メッセージを基準メッセージとして選択する
ことを特徴とする請求項１に記載の通信許可リスト生成装置。
前記通信許可リスト更新部は、
前記通信メッセージの優先度が前記基準メッセージの優先度よりも低い場合、当該通信メッセージの検知ルールの周期情報の値範囲を、当該基準メッセージの周期範囲の比率よりも大きい比率で更新する
ことを特徴とする請求項２に記載の通信許可リスト生成装置。
前記通信許可リスト更新部は、
前記通信メッセージの優先度が前記基準メッセージの優先度と同じ場合、又は、前記通信メッセージの優先度が前記基準メッセージの優先度よりも高い場合、当該通信メッセージの検知ルールの周期情報の値範囲を、当該基準メッセージの周期範囲の比率と同じ比率で更新する
ことを特徴とする請求項２又は３に記載の通信許可リスト生成装置。
前記通信許可リスト更新部は、
前記周期情報が更新された他の通信メッセージであって、前記周期情報が更新されていない通信メッセージと送信元の機器情報が等しい通信メッセージを基準メッセージとして選択する
ことを特徴とする請求項１～４の何れか１項に記載の通信許可リスト生成装置。
車両ネットワーク内に搭載される不正通信検知機能が用いる通信許可リストを生成する通信許可リスト生成方法であって、
前記車両ネットワークを流れる正常な通信メッセージの仕様が定義された通信仕様から当該通信メッセージの周期を定義した周期情報を含んだ検知ルールを生成する通信仕様解析ステップと、
前記通信仕様解析ステップで生成された前記検知ルールを含む通信許可リストを生成する通信許可リスト出力ステップと、
前記車両ネットワークから取得した通信データを解析し、当該通信データから前記通信メッセージの周期の範囲を示す周期範囲を取得する通信データ解析ステップと、
前記通信データ解析ステップで取得された前記通信メッセージの周期範囲に基づいて、前記通信許可リストに含まれた当該通信メッセージの検知ルールの周期情報を更新し、前記通信許可リストに、前記周期情報が更新されていない通信メッセージの検知ルールが存在する場合、前記周期情報が更新された他の通信メッセージを基準メッセージとして選択し、当該基準メッセージの周期範囲に基づいて、当該通信メッセージの検知ルールの周期情報を更新する通信許可リスト更新ステップと
をコンピュータに実行させることを特徴とする通信許可リスト生成方法。
車両ネットワーク内に搭載される不正通信検知機能が用いる通信許可リストを生成するプログラムであって、
前記車両ネットワークを流れる正常な通信メッセージの仕様が定義された通信仕様から当該通信メッセージの周期を定義した周期情報を含んだ検知ルールを生成する通信仕様解析ステップと、
前記通信仕様解析ステップで生成された前記検知ルールを含む通信許可リストを生成する通信許可リスト出力ステップと、
前記車両ネットワークから取得した通信データを解析し、当該通信データから前記通信メッセージの周期の範囲を示す周期範囲を取得する通信データ解析ステップと、
前記通信データ解析ステップで取得された前記通信メッセージの周期範囲に基づいて、前記通信許可リストに含まれた当該通信メッセージの検知ルールの周期情報を更新し、前記通信許可リストに、前記周期情報が更新されていない通信メッセージの検知ルールが存在する場合、前記周期情報が更新された他の通信メッセージを基準メッセージとして選択し、当該基準メッセージの周期範囲に基づいて、当該通信メッセージの検知ルールの周期情報を更新する通信許可リスト更新ステップと
をコンピュータに実行させるプログラム。