JP7182564B2 - 不正検知装置、車載ネットワークシステム、および、不正検知方法 - Google Patents

不正検知装置、車載ネットワークシステム、および、不正検知方法 Download PDF

Info

Publication number
JP7182564B2
JP7182564B2 JP2019559570A JP2019559570A JP7182564B2 JP 7182564 B2 JP7182564 B2 JP 7182564B2 JP 2019559570 A JP2019559570 A JP 2019559570A JP 2019559570 A JP2019559570 A JP 2019559570A JP 7182564 B2 JP7182564 B2 JP 7182564B2
Authority
JP
Japan
Prior art keywords
frame
fraud detection
frames
rule
switch
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2019559570A
Other languages
English (en)
Other versions
JPWO2019116973A1 (ja
Inventor
智之 芳賀
唯之 鳥崎
弘泰 寺澤
遼 加藤
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Intellectual Property Corp of America
Original Assignee
Panasonic Intellectual Property Corp of America
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Intellectual Property Corp of America filed Critical Panasonic Intellectual Property Corp of America
Publication of JPWO2019116973A1 publication Critical patent/JPWO2019116973A1/ja
Application granted granted Critical
Publication of JP7182564B2 publication Critical patent/JP7182564B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466—Performance evaluation by tracing or monitoring
    • G06F11/3476—Data logging
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40169—Flexible bus arrangements
    • H04L12/40176—Flexible bus arrangements involving redundancy
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4604—LAN interconnection over a backbone network, e.g. Internet, Frame Relay
    • H04L12/462—LAN interconnection over a bridge based backbone
    • H04L12/4625—Single bridge functionality, e.g. connection of two networks over a single bridge
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle

Description

本開示は、車載ネットワークにおける不正なメッセージを検知する不正検知装置、車載ネットワークシステム、および、不正検知方法に関する。
特許文献１には、車両を制御するための車内ネットワークシステムについて開示されている。
特開２０１２－６４４６号公報
しかしながら、上記特許文献に係る技術には、更なる改善が必要とされていた。
本開示の一態様に係る不正検知装置は、車両における車載ネットワークシステム上を流れるフレームの不正を検知する不正検知装置であって、送信元および送信先の少なくとも一方が格納された１以上のフレームを取得する取得部と、一の前記フレームが前記送信元または前記送信先に基づく第一条件を満たす場合に当該一のフレームを転送またはミラーリングすることを示すルールが定義された第一ルールを保持している第一保持部と、前記第一ルールに基づいて、前記１以上のフレームに対して転送またはミラーリングの制御をする第一フレーム制御部と、第二条件を満たすフレームが不正であると判定することを示すルールが定義された第二ルールを保持している第二保持部と、前記第一フレーム制御部により転送またはミラーリングされた前記１以上のフレームのそれぞれについて、前記第二ルールに基づいて当該フレームの不正検知を行う第二フレーム制御部と、を備え、前記第二フレーム制御部は、不正なフレームを検知した場合に、検知された前記不正なフレームを示す検知結果を、通知または記憶する。
なお、これらの全般的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。
本開示は、更なる改善を図ることができる。
図１は、実施の形態における車載ネットワーク検知システムの全体構成の一例を示す図である。 図２は、本実施の形態における車載ネットワークの全体構成図である。 図３は、Ｅスイッチの機能構成の一例を示すブロック図である。 図４は、Ｅ－ＣＡＮスイッチの機能構成の一例を示すブロック図である。 図５は、実施の形態に係るＥフレームと複数のＣＡＮフレームとの関係を示す図である。 図６は、第一保持部が保持する第一ルールの一例を示す図である。 図７は、第二保持部が保持する第二ルールの一例を示す図である。 図８は、Ｅフレームを分散して不正検知する処理の概要を示す図である。 図９は、Ｅフレームの不正を分散検知するシーケンス図である。 図１０は、第三保持部が保持しているフロー情報の一例を示す図である。 図１１は、複数のＥスイッチに分散して記録されたフロー情報を結合する処理を示す図である。 図１２は、統合ログ管理部が生成する統合ログ情報一例を示す図である。 図１３は、不正検知ログの一例を示す図である。 図１４は、監視サーバが表示する画面の一例を示す図である。
（本開示の基礎となった知見）
本発明者は、「背景技術」の欄において記載した、車内ネットワークシステムに関し、以下の問題が生じることを見出した。
近年、自動車の中のシステムには、電子制御ユニット（ＥＣＵ：Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）と呼ばれる装置が多数配置されている。これらのＥＣＵをつなぐネットワークは車載ネットワークと呼ばれる。車載ネットワークには、多数の規格が存在する。その中でも最も主流な車載ネットワークの一つに、ＩＳＯ１１８９８－１で規定されているＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）という規格が存在する。また、より多くの情報を伝送するための規格として、ＩＥＥＥ ８０２．３で規定されているＥｔｈｅｒｎｅｔ（登録商標）という規格が存在する。
先進運転支援システムまたは自動運転においては、カメラやＬＩＤＡＲ（Ｌｉｇｈｔ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｒａｎｇｉｎｇ）などのセンサにより得られたデータ、または、ダイナミックマップに用いるデータのような膨大な情報を処理する必要があるため、データ伝送速度が高いＥｔｈｅｒｎｅｔ（登録商標）の導入が進んでいる。一方で、従来から存在するＣＡＮも車両制御系としては利用されている。そのため、ＣＡＮとＥｔｈｅｒｎｅｔとが混在する車載ネットアーキテクチャが増えてきている。
自動車は、外部ネットワークと接続され、電子制御化が進んでいる。これにより、自動車には、自動車の制御系コマンドをなりすまされることで、不正に操作される脅威がある。そのような脅威から守るために、特許文献１では、Ｅｔｈｅｒｎｅｔのような情報系ネットワークに送信されたデータを、情報系ネットワークからＣＡＮのような車両制御系ネットワークへ転送することの可否を判定することが開示されている。しかしながら、特許文献１には、データを構成するフレームの内容をチェックして異常を検知するパケットインスペクションついて、開示されていない。
車載Ｅｔｈｅｒｎｅｔが導入されるアーキテクチャでは、各Ｅｔｈｅｒｎｅｔ対応デバイスの接続にＥｔｈｅｒｎｅｔスイッチが利用される。Ｅｔｈｅｒｎｅｔスイッチは、ＴＣＡＭ（Ｔｅｒｎａｒｙ ＣＡＭ：Ｔｅｒｎａｒｙ Ｃｏｎｔｅｎｔ Ａｄｄｒｅｓｓａｂｌｅ Ｍｅｍｏｒｙ）などのハードウェアによる高速なセキュリティ処理ができる。しかし、Ｅｔｈｅｒｎｅｔスイッチでのセキュリティ処理において設定できるセキュリティルールには、制限がある。そこで、パケットインスペクションのような柔軟なセキュリティルールを設定するために、別途、パケットインスペクション機能を、ＭＰＵ（Ｍｉｃｒｏ Ｐｒｏｃｅｓｓｏｒ Ｕｎｉｔ）によるソフトウェア処理により実現することが考えられる。しかし、Ｅｔｈｅｒｎｅｔスイッチに搭載されるＭＰＵのリソースには限りがあるため、Ｅｔｈｅｒｎｅｔスイッチで受信した全てのＥｔｈｅｒｎｅｔフレームをＭＰＵによるソフトウェア処理でパケットインスペクションすることは困難である。
そこで、本発明者らは、鋭意検討の上、Ｅｔｈｅｒｎｅｔフレームのパケットインスペクション機能などの不正検知処理を、他のＥｔｈｅｒｎｅｔスイッチのリソースも活用してフレームの不正検知処理を分散するための処理を行うことを見出すに至った。これにより、１つのＥｔｈｅｒｎｅｔスイッチのＭＰＵを用いたソフトウェア処理によるパケットインスペクションでは検知しきれなかったフレームを、他のデバイスに検知させることができる。このため、Ｅｔｈｅｒｎｅｔフレームの不正検知のチェック率を向上させることができ、車両への攻撃を早期に検知し、車両への不正制御を防止することを目的とする。
本開示の一態様に係る不正検知装置は、車両における車載ネットワークシステム上を流れるフレームの不正を検知する不正検知装置であって、送信元および送信先の少なくとも一方が格納された１以上のフレームを取得する取得部と、一の前記フレームが前記送信元または前記送信先に基づく第一条件を満たす場合に当該一のフレームを転送またはミラーリングすることを示すルールが定義された第一ルールを保持している第一保持部と、前記第一ルールに基づいて、前記１以上のフレームに対して転送またはミラーリングの制御をする第一フレーム制御部と、第二条件を満たすフレームが不正であると判定することを示すルールが定義された第二ルールを保持している第二保持部と、前記第一フレーム制御部により転送またはミラーリングされた前記１以上のフレームのそれぞれについて、前記第二ルールに基づいて当該フレームの不正検知を行う第二フレーム制御部と、を備え、前記第二フレーム制御部は、不正なフレームを検知した場合に、検知された前記不正なフレームを示す検知結果を、通知または記憶する。
これにより、不正検知装置は、車載ネットワーク上の流れる１以上のフレームに対して、第一ルールおよび第二ルールの２段階で不正検知することができる。また、不正検知装置は、第一ルールにおいて、送信元または送信先に基づく第一条件を満たすフレームを転送またはミラーリングし、第一ルールにより絞り込まれたフレームに対して、第二ルールにおいて、フレームが不正であることを判定する。このため、不正の検知精度を低減させないように、不正であることを判定する対象とするフレームの数を少なくすることができ、第二ルールを用いた不正検知の処理負荷を低減することができる。よって、効果的に不正を検知することができる。
また、前記第一フレーム制御部は、ハードウェアで実現され、前記第二フレーム制御部は、ソフトウェアで実現されてもよい。
これにより、第一ルールを用いた処理機能は、ハードウェアにより実現するため、第一ルールを用いた処理を高速に実行することができる。また、第二ルールを用いた処理機能は、ソフトウェアにより実現されるため、第二ルールの定義をソフトウェアで柔軟に変更することができる。これにより、例えば、パケットインスペクションのような柔軟なセキュリティルールを容易に設定することができる。
また、前記取得部は、前記１以上のフレームを含む複数のフレームを取得し、前記第一ルールには、前記取得部により取得された前記複数のフレームのうち、第一割合の数のフレームを前記第二フレーム制御部へ転送またはミラーリングすること、および、第二割合の数のフレームを、前記車両における他の不正検知装置への転送またはミラーリングすることを示すルールが定義されており、前記第一フレーム制御部は、前記第一ルールに基づいて、前記第二フレーム制御部へ前記第一割合の数のフレームを転送またはミラーリングし、かつ、前記他の不正検知装置へ前記第二割合の数のフレームを転送またはミラーリングし、前記第二フレーム制御部は、前記第一フレーム制御部により転送またはミラーリングされた前記第一割合の数のフレームのそれぞれについて、当該フレームの不正検知を前記第二ルールに基づいて行ってもよい。
また、前記第一フレーム制御部は、前記他の不正検知装置へ前記第二割合の数のフレームを転送またはミラーリングする場合、前記第二割合の数のフレームのそれぞれについて前記不正検知を行うことを前記他の不正検知装置に依頼することを示す依頼情報を、前記第二割合の数のフレームに付加して前記他の不正検知装置に送信してもよい。
これにより、例えばＥｔｈｅｒｎｅｔなどの車載ネットワークに接続された他の不正検知装置と連携することで、他の不正検知装置との間でフレームの不正検知を分散して処理することができる。このため、１つの不正検知装置における不正検知の処理負荷を低減することができ、より多くのフレームを不正検知することができる。
また、前記車載ネットワークシステムは複数のドメインにドメイン分割されており、前記不正検知装置と、前記他の不正検知装置とは、前記複数のドメインのうち互いに異なるドメインに属しており、前記第一フレーム制御部は、前記フレームを前記他の不正検知装置に転送またはミラーリングする場合、前記他の不正検知装置が属するドメインを識別する識別情報を前記フレームに付加する、または、前記フレームに含まれる識別情報を前記他の不正検知装置が属するドメインを識別する識別情報に書換えて、前記フレームを転送またはミラーリングしてもよい。
これにより、例えばタグＶＬＡＮでドメイン分割されている車載ネットワークにおいても、互いに異なるドメインに属する複数の不正検知装置にフレームの不正検知を分散して処理することができる。
また、さらに、第三保持部を備え、前記第二フレーム制御部は、前記取得部により取得された前記１以上のフレームのそれぞれについて、当該フレームに格納されている前記送信元および前記送信先の組ごとに、当該フレームの送受信に関するログ情報を生成し、生成した前記ログ情報を前記第三保持部に記憶させてもよい。
これにより、車載ネットワーク上に流れる１以上のフレームの種類、送信元、送信先、流量などのような、流れるフレームの傾向を監視することができる。
また、さらに、前記車両における１以上の他の不正検知装置からそれぞれ１以上の前記ログ情報を取得し、取得された前記１以上のログ情報と、前記第三保持部が記憶している前記ログ情報とを統合することで統合ログ情報を生成し、前記第三保持部に生成された前記統合ログ情報を記憶させる統合ログ管理部を備えてもよい。
これによれば、不正検知処理を複数の不正検知装置に分散した場合において、複数の不正検知装置それぞれにおける不正検知の結果を統合する。このため、車両全体における車載ネットワークを流れる１以上のフレームの種類、送信元、送信先、流量などのような、流れるフレームの傾向を監視することができる。
また、本開示の一態様に係る車載ネットワークシステムは、複数の不正検知装置と、前記複数の不正検知装置のそれぞれから１以上の前記ログ情報を取得し、前記複数の不正検知装置のそれぞれから取得された前記１以上のログ情報を互いに統合することで統合ログ情報を生成し、生成された前記統合ログ情報を記憶する統合ログ管理装置と、を備える。
これによれば、不正検知処理を複数の不正検知装置に分散した場合において、複数の不正検知装置それぞれにおける不正検知の結果を統合する。このため、車両全体における車載ネットワークを流れる１以上のフレームの種類、送信元、送信先、流量などのような、流れるフレームの傾向を監視することができる。
なお、これらの全般的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。
以下、実施の形態に係る不正検知装置および不正検知方法について図面を参照しながら説明する。ここで示す実施の形態は、いずれも本開示の一具体例を示すものである。従って、以下の実施の形態で示される数値、構成要素、構成要素の配置及び接続形態、並びに、処理の要素としてのステップ及びステップの順序等は、一例であって本開示を限定するものではない。以下の実施の形態における構成要素のうち、独立請求項に記載されていない構成要素については、任意に付加可能な構成要素である。また、各図は、模式図であり、必ずしも厳密に図示されたものではない。
（実施の形態）
図１は、実施の形態における車載ネットワーク検知システムの全体構成の一例を示す図である。
車載ネットワークシステム９０は、監視サーバ８０と、車両１～６とを備える。監視サーバ８０および車両１～６のそれぞれとは、外部ネットワーク３０により通信接続されている。車両１～６は、無線通信接続により外部ネットワーク３０に通信接続されている。図１における車載ネットワークシステム９０は、いわゆるコネクテッドカーシステムが図示されている。
図２は、本実施の形態における車載ネットワークの全体構成図である。
車両１のネットワークシステム７は、制御装置、センサ、アクチュエータ、ユーザインタフェース装置等の各種機器が搭載された車両１におけるネットワーク通信システムである。ネットワークシステム７は、第一ネットワーク１０と第二ネットワーク２０とを有する。車両１は、移動体の一例である。第一ネットワーク１０は、Ｅｔｈｅｒｎｅｔ（登録商標）プロトコルに従ってＥｔｈｅｒｎｅｔ（登録商標）フレーム（以下、「Ｅフレーム」という）の伝送が行われるＥｔｈｅｒｎｅｔ（登録商標）のネットワークである。第二ネットワーク２０は、ＣＡＮプロトコルに従ってバスでデータフレーム（ＣＡＮフレーム）等の伝送が行われるＣＡＮのネットワークである。
図２に示すように、ネットワークシステム７は、Ｅｔｈｅｒｎｅｔスイッチ１００Ｂ（以下、「Ｅスイッチ１００Ｂ」と言う。）と、テレマティクス通信ユニット４１０と、診断ポート４２０と、Ｅｔｈｅｒｎｅｔスイッチ１００Ａ（以下、「Ｅスイッチ１００Ａ」と言う。）と、自動運転ＥＣＵ１１０と、カメラ１２０と、ＬＩＤＡＲ１３０と、ダイナミックマップＥＣＵ１４０と、Ｅｔｈｅｒｎｅｔスイッチ１００Ｃ（以下、「Ｅスイッチ１００Ｃ」と言う。）と、ＩＶＩ（Ｉｎ－Ｖｅｈｉｃｌｅ Ｉｎｆｏｔａｉｎｍｅｎｔ）３１０と、ＨＵＤ（Ｈｅａａｄ Ｕｐ Ｄｉｓｐｌａｙ）３２０と、Ｅｔｈｅｒｎｅｔ－ＣＡＮスイッチ２００（以下、「Ｅ－ＣＡＮスイッチ２００」と言う。）と、エンジンＥＣＵ２０１と、ステアリングＥＣＵ２０２と、ブレーキＥＣＵ２０３と、ウィンドウＥＣＵ２０４と、第一伝送路１１と、第二伝送路２１とを含んで構成される。第一伝送路１１は、第一ネットワーク１０の伝送路であり、例えばＥｔｈｅｒｎｅｔ（登録商標）ケーブルである。第二伝送路２１は、第二ネットワーク２０の伝送路であり、例えばＣＡＮバスである。
なお、ネットワークシステム７には、上記の各ＥＣＵ１１０、１４０、２０１、２０２、２０３、２０４の他にもいくつものＥＣＵまたはＤＣＵが含まれてもよい。例えば、第二伝送路２１には、各ＥＣＵ２０１、２０２、２０３、２０４以外にも、図示しないＥＣＵが接続されてもよい。
各ＥＣＵ１１０、１４０、２０１、２０２、２０３、２０４は、例えば、プロセッサ（マイクロプロセッサ）、メモリ等のデジタル回路、アナログ回路、通信回路等を含む装置である。メモリは、ＲＯＭ、ＲＡＭ等であり、プロセッサにより実行されるプログラム（ソフトウェアとしてのコンピュータプログラム）を記憶することができる。メモリとして、不揮発性メモリを含んでもよい。例えばプロセッサが、プログラム（コンピュータプログラム）に従って動作することにより、ＥＣＵは各種機能を実現することになる。なお、コンピュータプログラムは、所定の機能を達成するために、プロセッサに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
各ＥＣＵ２０１、２０２、２０３、２０４は、ＣＡＮプロトコルに従ってフレームの授受を行う。各ＥＣＵ２０１、２０２、２０３、２０４は、それぞれエンジン、ステアリング、ブレーキ、ウィンドウ開閉センサといった機器に接続されており、その機器の状態を取得し、例えば周期的に、状態を表すデータフレームを、第二伝送路２１等で構成される第二ネットワーク２０に送信している。また、各ＥＣＵ２０１、２０２、２０３、２０４は、第二ネットワーク２０を構成する第二伝送路２１からデータフレームを受信して、データフレームを解釈し、受信すべきＣＡＮ－ＩＤを有するデータフレームか否かの判別を行う。そして、各ＥＣＵ２０１、２０２、２０３、２０４は、判別の結果、必要に応じてデータフレーム内のデータ（データフィールドの内容）に従って、当該ＥＣＵに接続されている機器の制御を行ってもよいし、必要に応じてデータフレームを生成して送信してもよい。
各ＥＣＵ１１０、１４０は、Ｅｔｈｅｒｎｅｔ（登録商標）プロトコルに従ってＥフレームの送信又は受信を行う。Ｅスイッチ１００Ｃは、ＩＶＩ３１０およびＨＵＤ３２０のような機器に接続されており、これらの機器から取得した情報に基づく処理を行う。Ｅスイッチ１００Ａは、自動運転ＥＣＵ１１０、カメラ１２０、ＬＩＤＡＲ１３０、および、ダイナミックマップＥＣＵ１４０のような機器に接続されており、これらの機器から取得した情報に基づく処理を行う。
Ｅ１００Ｂには、テレマティクス通信ユニット４１０と診断ポート４２０と、Ｅスイッチ１００Ａと、Ｅ－ＣＡＮスイッチ２００と、Ｅスイッチ１００Ｃとが、第一伝送路１１で接続される。Ｅスイッチ１００Ｂは、例えば、プロセッサ（例えばＭＰＵ）、メモリ等のデジタル回路、アナログ回路、通信回路等を含む。
テレマティクス通信ユニット４１０は、車両１が外部ネットワーク３０上にある監視サーバ８０と通信するユニットである。テレマティクス通信ユニット４１０は、例えば、第３世代移動通信システム（３Ｇ）、第４世代移動通信システム（４Ｇ）、第５世代移動通信システム（５Ｇ）、または、ＬＴＥ（登録商標）などのような移動通信システムで利用される通信規格に適合した無線通信インタフェースを有していてもよいし、ＩＥＥＥ８０２．１１ａ、ｂ、ｇ、ｎ規格に適合した無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）インタフェースを有していてもよい。つまり、外部ネットワーク３０は、携帯電話通信網、Ｗｉ－Ｆｉなどである。監視サーバ８０は、例えば車両１のＥＣＵに対して情報を提供する機能等を有するコンピュータである。
診断ポート４２０は、ディーラが車両１の故障診断に使うためのポートであり、診断用のコマンドの送受信に利用されるポートである。
Ｅスイッチ１００Ａは、自動運転ＥＣＵ１１０と、カメラ１２０と、ＬＩＤＡＲ１３０と、ダイナミックマップＥＣＵ１４０と、第一伝送路１１で接続されているスイッチングハブである。
自動運転ＥＣＵ１１０は、車両１の運転を制御する制御コマンドを生成する。具体的には、自動運転ＥＣＵ１１０は、車輪の操舵を行うステアリング、車輪を回転駆動させるエンジン、モータなどの動力源、車輪の制動するブレーキなどを制御する制御コマンドを生成する。つまり、制御コマンドは、進む（つまり、走行する）、曲がる、止まるの少なくとも１つを車両１に実行させる制御コマンドである。自動運転ＥＣＵ１１０は、生成した制御コマンドを第二ネットワーク２０に送信する。
カメラ１２０は、車外の状況、つまり、車両１の周囲を撮影するカメラである。カメラ１２０は、例えば、車両１の車体の外側に配置されていてもよい。
ＬＩＤＡＲ１３０は、車外の障害物を感知するためのセンサである。ＬＩＤＡＲ１３０は、例えば、車両１の水平方向において３６０度全方位、および、垂直方向において所定の角度（例えば３０度）の角度範囲の検出範囲にある物体との距離を検出するレーザセンサである。ＬＩＤＡＲ１３０は、車両１の周囲にレーザを発し、周囲の物体に反射されたレーザを検知することで、ＬＩＤＡＲ１３０から物体までの距離を計測する。
ダイナミックマップＥＣＵ１４０は、ダイナミックマップに用いるデータを受信し、受信したデータを用いてダイナミックマップを復号するための電子制御ユニットである。復号されたダイナミックマップは、例えば、自動運転ＥＣＵ１１０による自動運転の制御に用いられる。
Ｅ－ＣＡＮスイッチ２００は、第二ネットワーク２０および第一ネットワーク１０に接続されているスイッチングハブである。第二ネットワーク２０は、本実施の形態では、エンジンＥＣＵ２０１、ステアリングＥＣＵ２０２、ブレーキＥＣＵ２０３の制御系バスと、ウィンドウ開閉を制御するウィンドウＥＣＵ２０４が接続されるボディ系バスとの２本のＣＡＮバスを備えている。Ｅ－ＣＡＮスイッチ２００は、プロセッサ（例えばＭＰＵ）、メモリ等のデジタル回路、アナログ回路、通信回路等を含む。Ｅ－ＣＡＮスイッチ２００は、２つの伝送路１１、２１のうち、一の伝送路から受信したフレームを他の伝送路に転送（または中継）する機能を有する。Ｅ－ＣＡＮスイッチ２００によるフレームの転送は、フレームに係るデータの中継である。Ｅ－ＣＡＮスイッチ２００は、フレームの転送において、転送先の伝送路で用いられる通信プロトコルに対応した、通信方式、フレームフォーマット等の変換が行われてもよい。また、Ｅ－ＣＡＮスイッチ２００は、伝送路間でのフレームの転送として、１以上の伝送路から受信した１以上のフレームに対応して、１以上のフレームの、１以上複数の伝送路への送信を行ってもよい。
Ｅスイッチ１００Ｃは、ＩＶＩ３１０と、ＨＵＤ３２０と、第一伝送路１１で接続されているスイッチングハブである。ＩＶＩ３１０は、ディスプレイを備え、映像、音声等の再生といったマルチメディア機能を有する装置である。ＨＵＤ３２０は、例えば、車両１の運転者の前方の投影面に映像を投影する装置である。投影面は、車両１のフロントガラスの表面であってもよいし、フロントガラスとは異なる専用の投影面であってもよい。
なお、Ｅスイッチ１００Ａ～１００ＣおよびＥ－ＣＡＮスイッチ２００のそれぞれは、不正検知装置の一例である。
なお、図２では、Ｅスイッチ１００ＡとＥスイッチ１００ＣとＥ－ＣＡＮスイッチ２００とが、Ｅスイッチ１００Ｂを介してＥｔｈｅｒｎｅｔ接続されているが、接続形態はこれに限らずに、リング構造、２重構造などのような他の接続形態で互いに接続されてもよい。
図３は、Ｅスイッチ１００Ａの機能構成の一例を示すブロック図である。
Ｅスイッチ１００Ａは、第一制御部２１０と、第二制御部２２０とを備える。Ｅスイッチ１００Ａは、さらに、第三保持部２３０を備えてもよい。
第一制御部２１０は、Ｅｔｈｅｒｎｅｔ送受信部２１１（以下、「Ｅ送受信部２１１」と言う。）と、第一フレーム制御部２１２と、第一保持部２１３とを有する。
Ｅ送受信部２１１は、第一伝送路１１から複数のＥフレームを受信する。また、Ｅ送受信部２１１は、第一伝送路１１にＥフレームを送信する。Ｅ送受信部２１１は、複数のＥフレームを取得する取得部の一例である。なお、Ｅ送受信部２１１は、第一伝送路１１から１つのＥフレームを受信してもよい。
第一保持部２１３は、Ｅフレームの転送ルールおよびＥフレームの不正検知に関するセキュリティルールを保持している。つまり、第一保持部２１３は、一のＥフレームが送信元または送信先に基づく第一条件を満たす場合に当該一のＥフレームを転送またはミラーリングすることを示すルールが定義された第一ルールを保持している。
第一フレーム制御部２１２は、第一ルールに基づいて、Ｅ送受信部２１１により受信された複数のＥフレームの転送またはミラーリングの制御をする。なお、第一フレーム制御部２１２は、第一ルールに基づいて、Ｅ送受信部２１１により受信された複数のＥフレームの破棄をしてもよい。
具体的には、第一フレーム制御部２１２は、Ｅ送受信部２１１で受信された複数のＥフレームのそれぞれについて、当該Ｅフレームが第一ルールにおける第一条件を満たすか否かを判定する。そして、第一フレーム制御部２１２は、当該Ｅフレームが第一条件を満たすと判定された場合、当該Ｅフレームを第二制御部２２０へ転送またはミラーリングする。反対に、第一フレーム制御部２１２は、当該Ｅフレームが第一条件を満たさないと判定された場合、当該Ｅフレームを転送またはミラーリングせずに、破棄する。
第一制御部２１０は、ＥｔｈｅｒｎｅｔスイッチＩＣでハードウェア実装されることで実現される。つまり、第一フレーム制御部２１２は、ハードウェアで実現される処理部である。また、第一保持部２１３は、例えば、ＴＣＡＭである。つまり、第一ルールは、例えば、ＴＣＡＭに保持されているルールである。第一フレーム制御部２１２は、ＴＣＡＭに保持されている第一ルールを用いて、比較処理を実行する。第一制御部２１０は、ＴＣＡＭを使うことで、Ｅフレームのヘッダ領域またはペイロード領域に対するパケットインスペクションによる不正検知を高速に行うことができる。さらに、第一制御部２１０は、流量コントロール、ポートＶＬＡＮ、タグＶＬＡＮ、転送処理、ミラーリング処理、サンプリング転送など転送制御を行うことができる。
第二制御部２２０は、Ｅｔｈｅｒｎｅｔ送受信部２２１（以下、「Ｅ送受信部２２１」と言う。）と、第二フレーム制御部２２２と、第二保持部２２３とを有する。
Ｅ送受信部２２１は、第一制御部２１０により転送またはミラーリングされたＥフレームを受信する。また、Ｅ送受信部２２１は、診断ポート４２０にＥフレームを送信してもよい。なお、Ｅ送受信部２２１は、第一制御部２１０から１つのＥフレームを受信してもよい。
第二保持部２２３は、Ｅフレームの転送ルールおよびＥフレームの不正検知に関するセキュリティルールを保持している。つまり、第二保持部２２３は、第二条件を満たすＥフレームが不正であると判定することを示すルールが定義された第二ルールを保持している。
第二フレーム制御部２２２は、Ｅ送受信部２２１により受信された複数のＥフレームのそれぞれについて、第二ルールに基づいて当該Ｅフレームの不正検知を行う。具体的には、第二フレーム制御部２２２は、Ｅ送受信部２２１により受信された複数のＥフレームのそれぞれについて、当該Ｅフレームが第二ルールにおける第二条件を満たすか否かを判定する。そして、第二フレーム制御部２２２は、当該Ｅフレームが第二条件を満たすと判定された場合、当該Ｅフレームが不正であると判定する。反対に、第二フレーム制御部２２２は、当該Ｅフレームが第二条件を満たさないと判定された場合、当該Ｅフレームが不正ではない、つまり、正常であると判定する。
また、第二フレーム制御部２２２は、不正なＥフレームを検知した場合に、検知された不正なＥフレームを示す検知結果を通知または記憶する。第二フレーム制御部２２２は、検知結果を記憶する場合、例えば、第三保持部２３０に記憶させる。例えば、第二フレーム制御部２２２は、取得された複数のＥフレームのそれぞれについて、当該Ｅフレームに格納されている送信元および送信先の組ごとに、当該フレームの送受信に関するログ情報を生成し、生成したログ情報を第三保持部２３０に記憶させてもよい。なお、ログ情報の詳細は、図１０を用いて後述する。
第二制御部２２０は、具体的には、ＭＰＵ（Ｍｉｃｒｏ Ｐｒｏｃｅｓｓｏｒ Ｕｎｉｔ）により実現され、第二フレーム制御部２２２の機能は、ＭＰＵによるソフトウェア処理により実現される。つまり、第二フレーム制御部２２２は、ソフトウェアで実現される。また、第二保持部２２３は、不揮発性メモリにより実現される。
第一制御部２１０のＥ送受信部２１１と、第二制御部２２０のＥ送受信部２２１とは、内部インタフェースのＭＩＩ（Ｍｅｄｉａ Ｉｎｄｅｐｅｎｄｅｎｔ Ｉｎｔｅｒｆａｃｅ）２５０により通信接続されている。
第一制御部２１０は、ハードウェアによる高速なセキュリティ処理ができるものの、設定できるセキュリティルールに制限がある。Ｅスイッチ１００Ａは、柔軟なセキュリティルールを設定するために、第一制御部２１０とは異なる第二制御部２２０に、不正検知処理を行うためのソフトウェアを実装している。
しかしながら、第一制御部２１０で受信した全ての複数のＥフレームを、さらに詳細に解析するために第二制御部２２０へ転送したとしても、第二フレーム制御部２２２の機能を実現しているＭＰＵの性能が十分でない場合、全ての複数のＥフレームを検査することが困難である。そのため、他のＥスイッチのリソースを活用して、Ｅフレームの不正検知を分散して処理する。
例えば、Ｅスイッチ１００Ａは、受信したＥフレームの５０％の不正検知を行い、残り５０％のＥフレームを、他のＥスイッチ１００Ｂに転送する。これにより、Ｅスイッチ１００Ａは、残りの５０％のＥフレームを、他のＥスイッチ１００Ｂに不正検知を行わせてもよい。この場合、第一保持部２１３に保持されている第一ルールには、Ｅ送受信部２１１により受信された複数のＥフレームのうち、第一割合（例えば、５０％）の数のＥフレームを第二フレーム制御部２２２へ転送またはミラーリングすること、および、第二割合（例えば、５０％）の数のＥフレームを、車両１における他のＥスイッチ１００Ｂへの転送またはミラーリングすることを示すルールが定義されている。第一ルールの具体例は、図６を用いて後述する。
そして、第一フレーム制御部２１２は、第一ルールに基づいて、第二フレーム制御部２２２へ第一割合の数のフレームを転送またはミラーリングし、かつ、他のＥスイッチ１００Ｂへ第二割合の数のフレームを転送またはミラーリングする。次に、第二フレーム制御部２２２は、第一フレーム制御部２１２により転送またはミラーリングされた第一割合の数のフレームのそれぞれについて、当該フレームの不正検知を第二ルールに基づいて行う。
なお、第一フレーム制御部２１２は、他のＥスイッチ１００Ｂへ第二割合の数のフレームを転送またはミラーリングする場合、第二割合の数のフレームのそれぞれについて不正検知を行うことを他のＥスイッチ１００Ｂに依頼することを示す依頼情報を、第二割合の数のフレームに付加して他のＥスイッチ１００Ｂに送信してもよい。これにより、他のＥスイッチ１００Ｂは、依頼情報を受信すると、第二割合の数のフレームのそれぞれについて不正検知を行うことができる。
なお、他の不正検知装置としてのＥスイッチは、例えば、Ｅスイッチ１００Ｂであるとしたが、これに限らずに、Ｅスイッチ１００Ｂであってもよいし、Ｅスイッチ１００Ｃであってもよい。また、他の不正検知装置は、Ｅ－ＣＡＮスイッチ２００であってもよい。また、上記の例では、Ｅスイッチ１００Ａは、Ｅスイッチ１００Ｂと共に２つの装置で分散処理するとしたが、これに限らずに、３つ以上の装置で分散処理してもよい。この場合、複数のＥフレームを装置の数だけ分割し、各装置は、分割された複数のＥフレームを不正検知処理する。また、上記の例では、分割する割合が各装置で同じである例について説明したが、装置の処理能力に応じて、割合が異なっていてもよい。つまり、複数の装置のうち、処理能力が大きいほど割合が大きくなるように第一ルールが定義されていてもよい。
なお、Ｅスイッチ１００ＢおよびＥスイッチ１００Ｃそれぞれの構成は、Ｅスイッチ１００Ａと同様な構成であるので、詳細な説明を省略する。
第三保持部２３０は、第一フレーム制御部２１２、および、第二フレーム制御部２２２における不正検知結果、フロー情報などを記憶する。第三保持部２３０は、フロー情報を、ＩＰＦＩＸ（ＩＰ Ｆｌｏｗ Ｉｎｆｏｒｍａｔｉｏｎ Ｅｘｐｏｒｔ）、ＮｅｔＦｌｏｗなどで定義されるフォーマットで記録してもよい。
また、Ｅスイッチ１００Ａは、診断ポート２４０を備えている。診断ポート２４０は、Ｅｔｈｅｒｎｅｔが用いられ、故障診断用途で使われる。
また、本実施の形態では、Ｅスイッチ１００Ａ～１００Ｃは、例えば、レイヤ２スイッチ（Ｌ２スイッチ）である。
図４は、Ｅ－ＣＡＮスイッチ２００の機能構成の一例を示すブロック図である。
図４では、図３のＥスイッチ１００Ａが備える構成要素と、同じ構成要素には、Ｅスイッチ１００Ａが備える構成要素と同じ符号を付し、説明を省略する。Ｅ－ＣＡＮスイッチ２００は、Ｅスイッチ１００Ａと比較して、さらに、ＣＡＮ送受信部２２５を備えている点が異なる。ＣＡＮ送受信部２２５は、ＣＡＮフレームを送受信する。
Ｅ－ＣＡＮスイッチ２００における第二フレーム制御部２２２は、Ｅ送受信部２１１により、ペイロード領域にＣＡＮフレームがパッキングされたＥフレームが受信された場合、受信されたＥフレーム内のＣＡＮフレームをアンパックすることでＣＡＮフレームを取得する。ＥフレームからＣＡＮフレームをアンパックする処理の詳細は、図５を用いて後述する。第二フレーム制御部２２２は、取得されたＣＡＮフレームが不正なフレームであるか否かの検知を行う。また、Ｅ－ＣＡＮスイッチ２００では、反対に、複数のＣＡＮフレームをＥフレームのＥペイロードのデータ領域に格納することで、複数のＣＡＮフレームがパッキングされたＥフレームを生成する処理も行う。
ＣＡＮ送受信部２２５は、第二フレーム制御部２２２においてＣＡＮフレームが不正でないと判定された場合、不正でないと判定されたＣＡＮフレームをＣＡＮの転送ルール（図示せず）に従って、ＣＡＮバス２１ａもしくはＣＡＮバス２１ｂへ送信する。ＣＡＮの転送ルールは、第二フレーム制御部２２２が保持していてもよいし、ＣＡＮ送受信部２２５が保持していてもよいし、第二保持部２２３により保持されている第二ルールとして設定されていてもよい。
Ｅ－ＣＡＮスイッチ２００は、ＣＡＮバス２１ａまたはＣＡＮバス２１ｂからＣＡＮフレームを受信し、受信された１以上のＣＡＮフレームをＥフレームのペイロードに格納する。Ｅ－ＣＡＮスイッチ２００は、１以上のＣＡＮフレームがペイロードに格納されたＥフレームを、Ｅ送受信部２１１により指定された宛先の機器に送信する。
また、Ｅ－ＣＡＮスイッチ２００は、ＣＡＮフレームが格納されたＥフレームを受信し、受信されたＥフレームからＣＡＮフレームを取り出す。Ｅ－ＣＡＮスイッチ２００のＣＡＮ送受信部２２５は、取り出されたＣＡＮフレームを、ＣＡＮ転送ルール（図示せず）に従って、ＣＡＮバス２１ａまたはＣＡＮバス２１ｂに送信する。このとき、ＣＡＮ送受信部２２５は、第二保持部２２３により保持されている第二ルールに従って、ＣＡＮフレームの不正検知を行ってもよい。
図５は、実施の形態に係るＥ－ＣＡＮスイッチ２００が受信したＥフレームから複数のＣＡＮフレームを取り出す処理、および、複数のＣＡＮフレームをＥフレームのＥペイロードに格納する処理を説明するための図である。
図５に示すように、Ｅフレームは、主たる伝送内容であるデータを格納するＥｔｈｅｒｎｅｔ（登録商標）ペイロード（「Ｅペイロード」とも言う。）と、Ｅｔｈｅｒｎｅｔ（登録商標）ヘッダ（「Ｅヘッダ」とも言う。）とにより構成される。Ｅヘッダには、宛先ＭＡＣアドレスおよび送信元ＭＡＣアドレスが含まれる。また、Ｅペイロードには、ＩＰヘッダ、ＴＣＰ／ＵＤＰヘッダおよびデータが含まれる。ＩＰヘッダには、送信元ＩＰアドレスおよび送信先アドレスが含まれる。なお、図５では、ＩＰヘッダは、「ＩＰ ｖ４ヘッダ」と表記している。ＴＣＰ／ＵＤＰヘッダは、ＴＣＰヘッダまたはＵＤＰヘッダを示し、ＴＣＰ／ＵＤＰヘッダには、送信元ポート番号および送信先ポート番号が含まれる。
つまり、ネットワークシステム７におけるＥ－ＣＡＮスイッチ２００は、第一ネットワーク１０から、ＣＡＮフレーム情報がペイロードに含まれるＥフレームを受信する。ＣＡＮフレーム情報は、少なくともデータフィールドの内容（データ）を含む。ＣＡＮフレーム情報は、例えばＣＡＮ－ＩＤ及びサイズを含んでもよい。
図５に示すように、Ｅフレームのペイロード内のデータには、ＣＡＮフレーム情報が含まれる。ＣＡＮフレーム情報は、ＣＡＮ－ＩＤ、サイズ及びデータで構成される。ここで、メッセージ数（ＭＳＧ数）は、ＣＡＮフレーム情報の個数を示す。なお、メッセージ数の代わりに、ＣＡＮフレーム情報の全体のデータ量等を示す情報を用いてもよい。また、ＣＡＮフラグは、Ｅフレームが第二ネットワーク２０から伝送される情報（つまりＣＡＮフレーム情報）を含むか否かを識別するための識別フラグであり、ＥフレームのＥペイロードにＣＡＮフレーム情報を含む場合においてＯＮにされ、それ以外の場合にＯＦＦ（つまりＯＮと相反する情報を示す値）にされるフラグである。図５の例では、ＥフレームのＥペイロードの先頭にＣＡＮフラグを配置する例を示しているがこれは一例に過ぎない。図５の例のような複数のＣＡＮフレーム情報をＥフレームのＥペイロードに含ませることで、例えば、伝送効率が高まり得る。
以上では、Ｅ－ＣＡＮスイッチ２００が受信したＥフレームから複数のＣＡＮフレームを取り出す処理について説明したが、複数のＣＡＮフレームをＥフレームのＥペイロードに格納する処理については、ＣＡＮフレームを取り出す処理と逆を行えばよい。
図６は、第一保持部２１３が保持する第一ルール４００の一例を示す図である。
図６に示すように、第一ルール４００は、セキュリティルール４０１と分散検知ルール４０２とにより構成される。セキュリティルール４０１は、例えば、ＴＣＡＭのセキュリティルールであってもよい。
第一ルール４００は、Ｅスイッチ１００Ａが保持するルールの例を示している。
Ｅスイッチ１００Ａは、カメラ１２０、ＬＩＤＡＲ１３０、およびダイナミックマップＥＣＵ１４０から取得した複数のＥフレームを自動運転ＥＣＵ１１０に送信する。自動運転ＥＣＵ１１０は、Ｅスイッチ１００Ａから取得した複数のＥフレームに基づき、自動運転に係る制御コマンドを発行する。このとき、セキュリティルール４０１は、カメラ１２０、ＬＩＤＡＲ１３０、およびダイナミックマップＥＣＵ１４０から取得した複数のＥフレームのそれぞれが不正か否かを検知するための第一ルールが定義されたものである。セキュリティルール４０１は、ホワイトリストとして定義されるものであれば、本実施の形態では図２に示すようにＥスイッチ１００Ａにはカメラ１２０、ＬＩＤＡＲ１３０、ダイナミックマップＥＣＵ１４０および自動運転ＥＣＵ１１０のそれぞれが通信接続されるため、カメラ１２０、ＬＩＤＡＲ１３０、ダイナミックマップＥＣＵ１４０および自動運転ＥＣＵ１１０それぞれのＩＰアドレスおよび／またはＭＡＣアドレスが送信元あるいは送信先として登録される。また、セキュリティルール４０１には、送信元の機器と、送信先の機器との間の通信に利用される送信元のポート番号または送信先のポート番号もそれぞれの機器のＩＰアドレスおよび／またはＭＡＣアドレスと対応付けられて登録されてもよい。これにより、予め許可された機器間、および、これらの機器に対応するポート番号間でのみＥｔｈｅｒｎｅｔ通信が可能となる。また、セキュリティルール４０１には、送信元の機器と、送信先の機器との組合せにおける、正常動作時のＥフレームの流量が登録されていてもよい。これにより、Ｅスイッチ１００Ａは、セキュリティルール４０１で登録されている機器間の通信における正常動作時のＥフレームの流量から外れた流量が検出することで、ＤｏＳ攻撃が行われていることを検知可能となる。
分散検知ルール４０２は、検知対象のＥフレームをどのＥスイッチでどれくらいの割合のフレームを分散検知処理するかを定義したものである。この割合は、第一割合および第二割合の一例である。分散検知ルール４０２において、例えば図６に示す例では、送信元がカメラ１２０で、送信先が自動運転ＥＣＵ１１０であるＥフレームの総数の１／３をＥスイッチ１００Ａの第二フレーム制御部２２２で不正検知し、Ｅフレームの総数の他の１／３をＥスイッチ１００Ｂに転送して、Ｅスイッチ１００Ｂにおいて不正検知し、残りの１／３をＥスイッチ１００Ｃに転送して、Ｅスイッチ１００Ｃにおいて不正検知することを示す分散検知のルールが示されている。
また、例えば図６の他の例では、送信元がＬＩＤＡＲ１３０で、送信先が自動運転ＥＣＵ１１０であるＥフレームの総数の１／３をＥスイッチ１００Ａの第二フレーム制御部２２２で不正検知し、Ｅフレームの総数の他の１／３をＥスイッチ１００Ｂに転送して、Ｅスイッチ１００Ｂにおいて不正検知し、残りの１／３をＥスイッチ１００Ｃに転送して、Ｅスイッチ１００Ｃにおいて不正検知することを示す分散検知のルールが示されている。
また、例えば図６の他の例では、送信元がダイナミックマップＥＣＵ１４０で、送信先が自動運転ＥＣＵ１１０であるＥフレームの総数の１／２をＥスイッチ１００Ａの第二フレーム制御部２２２で不正検知し、残りの１／２をＥ－ＣＡＮスイッチ２００に転送して、Ｅ－ＣＡＮスイッチ２００においてで不正検知することを示す分散検知のルールが示されている。
また、分散検知ルールでは、検知対象のＥフレームを転送するのかミラーリングするかを示す情報がさらに追加されていてもよい。
図７は、第二保持部２２３が保持する第二ルール５００の一例を示す図である。
第二ルール５００は、第一ルール４００より柔軟で詳細なルールが定義できるフォーマットに基づいて構成され、セキュリティルール５０１とペイロードルール５０２とにより構成される。セキュリティルール５０１は、図６に示したホワイトリストのセキュリティルール４０１と同様なルールであってもよい。ペイロードルール５０２は、Ｅフレームの中身をより詳細な条件でチェックするためのルールである。ペイロードルール５０２は、図７の例では、Ｅｔｈｅｒｎｅｔ内に格納されるデータが正しいフォーマットで格納されているかチェックするためのと、センサなどの逐次変化するデータについてデータ変化量をチェックするための「データ変化量チェック」と、最小値、最大値などのような格納されるデータの値域幅を設定した「データ範囲チェック」とが第二条件として格納される。なお、ペイロードルール５０２は、「データフォーマットチェック」、「データ変化量チェック」、および、「データ範囲チェック」に限定されず、Ｅフレームに不正があるか否かを検知するためのルールであればよい。
図８は、Ｅスイッチ１００Ａで受信したＥフレームを分散して不正検知する処理の概要を示す図である。
Ｅスイッチ１００Ａは、図８に示すように時刻経過とともにフレームＦ１からフレームＦ９を順番に受信した場合、図６で説明した記載した分散検知ルール４０２に基づいて、受信したフレーム数（図８では９つ）のうち１／３の数（図８では３つ）のフレームをＥスイッチ１００Ａにおいて不正検知処理する。そして、Ｅスイッチ１００Ａは、他の１／３の数のフレームをＥスイッチ１００Ｂで不正検知処理をさせるためにＥスイッチ１００Ｂに転送し、残りの１／３のＥフレームを、Ｅスイッチ１００Ｃで不正検知処理をさせるためにＥスイッチ１００Ｃに転送することで、分散検知処理をしている
これにより、例えば、フレームＦ１、フレームＦ４、フレームＦ７は、Ｅスイッチ１００Ａにより不正検知される。フレームＦ２、フレームＦ５、フレームＦ８は、Ｅスイッチ１００ＡからＥスイッチ１００Ｂに転送もしくはミラーリングされてＥスイッチ１００Ｂにより不正検知される。フレームＦ３、フレームＦ６、フレームＦ９は、Ｅスイッチ１００ＡからＥスイッチ１００Ｃに転送もしくはミラーリングされてＥスイッチ１００Ｃにより不正検知される。このようにすることで、Ｅスイッチ１００Ａの第二制御部２２０のソフトウェア処理で不正検知しきれなかったＥフレームを、他のＥスイッチ１００Ｂ、１００Ｃの第二制御部２２０で不正検知させることができる。このため、Ｅスイッチ１００Ａにより受信される複数のＥフレームのうち第一制御部２１０により不正検知の必要があると判定された全ての複数のＥフレームを、第二ルールを用いた不正検知処理を行うことができる。
図９は、Ｅスイッチ１００Ａが、Ｅスイッチ１００ＢまたはＥ－ＣＡＮスイッチ２００と連携して分散検知するシーケンス図である。
Ｅスイッチ１００Ａでは、第一制御部２１０のＥ送受信部２１１は、複数のＥフレームを受信する（Ｓ１０１）。
Ｅスイッチ１００Ａの第一フレーム制御部２１２は、第一保持部２１３に保持されている第一ルールを参照する（Ｓ１０２）。
Ｅスイッチ１００Ａの第一フレーム制御部２１２は、第一ルールに基づいて、受信された複数のＥフレームのそれぞれについて、当該Ｅフレームが不正か否かを判定する不正検知処理を行う（Ｓ１０３）。第一フレーム制御部２１２は、Ｅフレームが不正フレームであると判定した場合（Ｓ１０３でＹｅｓ）、Ｓ１０４へ処理を移す。
Ｅスイッチ１００Ａの第一フレーム制御部２１２は、不正検知の結果、つまり、不正フレームであると検知したＥフレームに関する情報を第三保持部２３０に記録する（Ｓ１０４）。また、ここで、第一フレーム制御部２１２は、ステップＳ１０３における不正検知の結果をＩＶＩ３１０または監視サーバ８０に通知してもよい。
Ｅスイッチ１００Ａの第一フレーム制御部２１２は、Ｅフレームが不正フレームでないと判定した場合（Ｓ１０３でＮｏ）、第一ルールに基づいて、第二制御部２２０に、当該Ｅフレームを転送するか否かを判定する（Ｓ１０５）。第一ルール４００の分散検知ルール４０２にＥスイッチ１００Ａの第二制御部２２０への転送すべき情報が設定されていれば、Ｅスイッチ１００Ａの第二制御部２２０へＥフレームを転送する。なお、転送の代わりにミラーリングが行われてもよい。他のステップにおける転送についても同様である。
Ｅスイッチ１００Ａの第一フレーム制御部２１２は、第一ルールに基づいて、受信したＥフレームを、他のＥスイッチで不正検知を行うために、当該他のＥスイッチに転送すべきか否かを判定する（Ｓ１０６）。第一フレーム制御部２１２は、第一ルール４００の分散検知ルール４０２において、処理対象のＥフレームについて、他のＥスイッチでの検知を行うことが定義されていれば、定義されているルールに従って処理対象のＥフレームを、Ｅスイッチ１００Ａへ転送する。例えば、第一フレーム制御部２１２は、第一ルール４００において処理対象のＥフレームが１／３の割合で他のＥスイッチに転送されることが定義されていれば、１／３の割合のＥフレームを他のＥスイッチに転送する。
Ｅスイッチ１００Ａでは、第二制御部２２０のＥ送受信部２２１は、ステップＳ１０５において第一制御部２１０から転送されたＥフレームを受信する（Ｓ２０１）。
Ｅスイッチ１００Ａの第二フレーム制御部２２２は、受信したＥフレームからフロー情報を生成する（Ｓ２０２）。ここでのフロー情報とは、送信元、送信先のＩＰアドレスやＭＡＣアドレスやポート番号、プロトコル番号などからなる情報であり、デバイス間での通信の様子を監視するために利用される。
Ｅスイッチ１００Ａの第二フレーム制御部２２２は、ステップＳ２０２で生成したフロー情報を第三保持部２３０に記憶させる（Ｓ２０３）。
Ｅスイッチ１００Ａの第二フレーム制御部２２２は、第二保持部２２３に保持されている第二ルールを参照する（Ｓ２０４）。
Ｅスイッチ１００Ａの第二フレーム制御部２２２は、第二ルールに基づいて、第一制御部２１０から受信した複数のＥフレームのそれぞれについて、当該Ｅフレームが不正か否かを判定する不正検知処理を行う（Ｓ２０５）。第二フレーム制御部２２２は、Ｅフレームが不正フレームであると判定した場合（Ｓ２０５でＹｅｓ）、Ｓ２０６へ処理を移す。
Ｅスイッチ１００Ａの第二フレーム制御部２２２は、不正検知の結果、つまり、不正フレームであると検知したＥフレームに関する情報を第三保持部２３０に記録する（Ｓ２０６）。また、ここで、第二フレーム制御部２２２は、ステップＳ２０５における不正検知の結果をＩＶＩ３１０または監視サーバ８０に通知してもよい。
Ｅスイッチ１００Ａの第二フレーム制御部２２２は、Ｅフレームが不正フレームでないと判定した場合（Ｓ２０５でＮｏ）、当該ＥフレームにＣＡＮフレームが含まれているか否かを判定する（Ｓ２０７）。
Ｅスイッチ１００Ａの第二フレーム制御部２２２は、当該ＥフレームにＣＡＮフレームが含まれている場合（Ｓ２０７でＹｅｓ）、当該ＥフレームからＣＡＮフレームを取り出す（Ｓ２０８）。
Ｅスイッチ１００Ａの第二フレーム制御部２２２は、第二ルールに基づいて、取り出されたＣＡＮフレームの不正検知を行う（Ｓ２０９）。
Ｅスイッチ１００Ａの第二フレーム制御部２２２は、不正検知の結果、つまり、不正フレームであると検知したＣＡＮフレームに関する情報を第三保持部２３０に記録する（Ｓ２１０）。また、ここで、第二フレーム制御部２２２は、ステップＳ２０９における不正検知の結果をＩＶＩ３１０または監視サーバ８０に通知するようにしてもよい。
Ｅスイッチ１００Ａの第二フレーム制御部２２２は、ＥフレームがＣＡＮフレームを含まない場合（Ｓ２０７でＮｏ）、第一制御部２１０へ当該Ｅフレームを転送する（Ｓ２１１）。当該Ｅフレームが第一制御部２１０からミラーリングされたフレームである場合、第二制御部２２０は、第二フレーム制御部２２２の検知結果だけを第一制御部２１０に通知してもよい。つまり、第一制御部２１０は、通知された検知結果に基づいて、当該Ｅフレームの転送制御を行ってもよい。
次に、他のＥスイッチの処理について説明する。以下では、主に、Ｅスイッチ１００Ｂを例にして説明するが、Ｅ－ＣＡＮスイッチ２００を例にする場合もある。
Ｅスイッチ１００Ｂは、ステップＳ１０６でＥスイッチ１００Ａから転送された複数のＥフレームを受信する（Ｓ３０１）。
Ｅスイッチ１００Ｂの第一フレーム制御部２１２は、第一保持部２１３に保持されている第一ルールを参照する（Ｓ３０２）。
Ｅスイッチ１００Ｂの第一フレーム制御部２１２は、第一ルールに基づいて、受信された複数のＥフレームのそれぞれについて、当該Ｅフレームが不正か否かを判定する不正検知処理を行う（Ｓ３０３）。第一フレーム制御部２１２は、Ｅフレームが不正フレームであると判定した場合（Ｓ３０３でＹｅｓ）、Ｓ３０４へ処理を移す。
Ｅスイッチ１００Ｂの第一フレーム制御部２１２は、不正検知の結果、つまり、不正フレームであると検知したＥフレームに関する情報を第三保持部２３０に記録する（Ｓ３０４）。また、ここで、第一フレーム制御部２１２は、ステップＳ３０３における不正検知の結果をＩＶＩ３１０または監視サーバ８０に通知してもよい。
Ｅスイッチ１００Ｂの第一フレーム制御部２１２は、Ｅフレームが不正フレームでないと判定した場合（Ｓ３０３でＮｏ）、第一ルールに基づいて、第二制御部２２０に、当該Ｅフレームを転送するか否かを判定する（Ｓ３０５）。第一ルール４００の分散検知ルール４０２にＥスイッチ１００Ｂの第二制御部２２０への転送すべき情報が設定されていれば、Ｅスイッチ１００Ｂの第二制御部２２０へＥフレームを転送する。
Ｅスイッチ１００Ｂの第一フレーム制御部２１２は、第一ルールに基づいて、受信したＥフレームを、他のＥスイッチで不正検知を行うために、当該他のＥスイッチに転送すべきか否かを判定する（Ｓ３０６）。
ステップＳ３０６の判定の結果に基づいて、第一フレーム制御部２１２は、Ｅスイッチ１００ＡでのステップＳ１０６の処理と同様の処理を行う。つまり、Ｅスイッチ１００Ｂの第一フレーム制御部２１２は、第一ルール４００の分散検知ルール４０２において、処理対象のＥフレームについて、他のＥスイッチでの検知を行うことが定義されていれば、定義されているルールに従って処理対象のＥフレームを、Ｅスイッチ１００Ａへ転送する（Ｓ３０７）。
Ｅスイッチ１００Ｂでは、第二制御部２２０のＥ送受信部２２１は、ステップＳ３０５において第一制御部２１０から転送されたＥフレームを受信する（Ｓ４０１）。
Ｅスイッチ１００Ｂの第二フレーム制御部２２２は、受信したＥフレームからフロー情報を生成する（Ｓ４０２）。ここでのフロー情報とは、送信元、送信先のＩＰアドレスやＭＡＣアドレスやポート番号、プロトコル番号などからなる情報であり、デバイス間での通信の様子を監視するために利用される。
Ｅスイッチ１００Ｂの第二フレーム制御部２２２は、ステップＳ４０２で生成したフロー情報を第三保持部２３０に記憶させる（Ｓ４０３）。
Ｅスイッチ１００Ｂの第二フレーム制御部２２２は、第二保持部２２３に保持されている第二ルールを参照する（Ｓ４０４）。
Ｅスイッチ１００Ｂの第二フレーム制御部２２２は、第二ルールに基づいて、第一制御部２１０から受信した複数のＥフレームのそれぞれについて、当該Ｅフレームが不正か否かを判定する不正検知処理を行う（Ｓ４０５）。第二フレーム制御部２２２は、Ｅフレームが不正フレームであると判定した場合（Ｓ４０５でＹｅｓ）、Ｓ４０６へ処理を移す。
Ｅスイッチ１００Ｂの第二フレーム制御部２２２は、不正検知の結果、つまり、不正フレームであると検知したＥフレームに関する情報を第三保持部２３０に記録する（Ｓ４０６）。また、ここで、第二フレーム制御部２２２は、ステップＳ４０５における不正検知の結果をＩＶＩ３１０または監視サーバ８０に通知してもよい。
Ｅスイッチ１００Ｂの第二フレーム制御部２２２は、Ｅフレームが不正フレームでないと判定した場合（Ｓ４０５でＮｏ）、当該ＥフレームにＣＡＮフレームが含まれているか否かを判定する（Ｓ４０７）。
Ｅスイッチ１００Ｂの第二フレーム制御部２２２は、当該ＥフレームにＣＡＮフレームが含まれている場合（Ｓ４０７でＹｅｓ）、当該ＥフレームからＣＡＮフレームを取り出す（Ｓ４０８）。
Ｅスイッチ１００Ｂの第二フレーム制御部２２２は、第二ルールに基づいて、取り出されたＣＡＮフレームの不正検知を行う（Ｓ４０９）。
Ｅスイッチ１００Ｂの第二フレーム制御部２２２は、不正検知の結果、つまり、不正フレームであると検知したＣＡＮフレームに関する情報を第三保持部２３０に記録する（Ｓ４１０）。また、ここで、第二フレーム制御部２２２は、ステップＳ４０９における不正検知の結果をＩＶＩ３１０または監視サーバ８０に通知するようにしてもよい。
Ｅスイッチ１００ＢがＥ－ＣＡＮスイッチ２００のようにＣＡＮ送受信部２２５を備えている場合、ＣＡＮフレームが不正でないと判定されれば（Ｓ４０９でＮｏ）、ＣＡＮ送受信部２２５からＣＡＮフレームを送信する（Ｓ４１１）。
図１０は、第三保持部２３０が保持しているフロー情報７００の一例を示す図である。
フロー情報には、フローが観測された時間帯（開始時間および終了時間）と、ソースポート番号と、送信元および送信先の各ＩＰアドレスと、送信元および送信先の各ＭＡＣアドレスと、出力ポート番号と、観測時間内に観測されたフローの流量とにより構成される。なお、フロー情報におけるフローが観測された時間帯は、フロー識別情報として管理されてもよい。図１０には図示していないが、フロー情報には、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）、ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）などのプロトコル種別が含まれていてもよい。なお、図１０では、送信元および送信先の各ＩＰアドレスと、送信元および送信先の各ＭＡＣアドレスとには、機器の名称が示されているが、機器に対応付けられたＩＰアドレス、または、ＭＡＣアドレスが示されることとなる。
図１１は、複数のＥスイッチに分散して記録されたフロー情報を結合する処理を示したものである。複数のＥスイッチには、Ｅ－ＣＡＮスイッチ２００も含まれる。
本実施の形態では、テレマティクス通信ユニット４１０またはＩＶＩ３１０が、分散してそれぞれのＥスイッチ１００Ａ～１００Ｃ、Ｅ－ＣＡＮスイッチ２００に記録されたフロー情報を結合する統合ログ管理部６００を備えるものとして説明する。つまり、ネットワークシステム７は、複数の不正検知装置としてのＥスイッチ１００Ａ～１００Ｃ、Ｅ－ＣＡＮスイッチ２００と、統合ログ管理部６００とを備える。統合ログ管理部６００は、車両１におけるＥスイッチ１００Ａ～１００Ｃ、Ｅ－ＣＡＮスイッチ２００のそれぞれから１以上のログ情報を取得する。そして、統合ログ管理部６００は、Ｅスイッチ１００Ａから取得された１以上のログ情報と、Ｅスイッチ１００Ｂから取得された１以上のログ情報と、Ｅスイッチ１００Ｃから取得された１以上のログ情報と、Ｅ－ＣＡＮスイッチ２００から取得された１以上のログ情報とを互いに統合することで統合ログ情報を生成する。統合ログ管理部６００は、生成された統合ログ情報を記憶する。
これによれば、不正検知処理をＥスイッチ１００Ａ～１００ＣおよびＥ－ＣＡＮスイッチ２００のうちの複数に分散した場合において、これらの複数のスイッチデバイスそれぞれにおける不正検知の結果を統合する。このため、車両１のネットワークシステム７を流れる１以上のフレームの種類、送信元、送信先、流量などのような、流れるフレームの傾向を監視することができる。
テレマティクス通信ユニット４１０またはＩＶＩ３１０の統合ログ管理部６００は、Ｅスイッチ１００Ａ、Ｅスイッチ１００Ｂ、Ｅスイッチ１００Ｃ、およびＥ－ＣＡＮスイッチ２００に対して、ログ情報としてのフロー情報を問い合わせる（Ｓ５０１）。つまり、統合ログ管理部６００は、Ｅスイッチ１００Ａ、Ｅスイッチ１００Ｂ、Ｅスイッチ１００Ｃ、およびＥ－ＣＡＮスイッチ２００に対して、フロー情報の要求を送信する。
統合ログ管理部６００からフロー情報の問い合せを受けたＥスイッチ１００Ａ、Ｅスイッチ１００Ｂ、Ｅスイッチ１００Ｃ、およびＥ－ＣＡＮスイッチ２００のそれぞれは、自身の第三保持部２３０において記憶されているフロー情報を読み出す（Ｓ５０２）。
Ｅスイッチ１００Ａ、Ｅスイッチ１００Ｂ、Ｅスイッチ１００Ｃ、およびＥ－ＣＡＮスイッチ２００のそれぞれは、ステップＳ５０２で読み出したフロー情報を、統合ログ管理部６００に送信する（Ｓ５０３）。
統合ログ管理部６００は、Ｅスイッチ１００Ａ、Ｅスイッチ１００Ｂ、Ｅスイッチ１００Ｃ、およびＥ－ＣＡＮスイッチ２００のそれぞれからフロー情報を受信する（Ｓ５０４）。
統合ログ管理部６００は、Ｅスイッチ１００Ａ、Ｅスイッチ１００Ｂ、Ｅスイッチ１００Ｃ、およびＥ－ＣＡＮスイッチ２００のそれぞれから受信した複数のフロー情報を統合することで統合ログ情報を生成する（Ｓ５０５）。統合ログ管理部６００は、統合する際に、各フロー情報を構成する１単位の単位情報について、フロー情報に含まれる各項目が同一であるか否かを判定しながら統合をする。統合ログ管理部６００は、例えば、各フロー情報を構成する１単位の単位情報について、送信元ＩＰおよび送信先ＩＰの組み合わせが同じで、同一時間帯に該当する複数の単位情報を、１つの単位情報として統合する。なお、統合ログ管理部６００は、複数の単位情報を１つの単位情報として統合する場合、各単位情報における流量については、分散検知したログとしてサンプリングした流量の値であれば、互いに加算することにより統合する。また、統合ログ管理部６００は、各不正検知装置において分散検知したログのフローの流量が、実際にサンプリングすることで検出された流量でなく、サンプリングした結果から想定される流量として換算された値（例えば、１／３の数のフレームをサンプリングした流量結果を３倍した値を想定された流量として換算された値）が用いられていれば、分散検知のフロー情報の流量の平均値（例えば、１／３の数のフレームをサンプリングさせた３つの不正検知装置から得られた３つの流量の平均値）を統合した流量として算出してもよい。
統合ログ管理部６００は、統合した統合ログ情報を監視サーバ８０に送信する（Ｓ５０６）。統合ログ管理部６００は、統合ログ情報を、監視サーバ８０へ、定期的に送信してもよいし、一定のサイズの統合ログ情報が蓄積された時点で送信してよいし、なんらかのイベントが発生したことをトリガーに非定期に送信してもよい。
図１２は、統合ログ管理部６００が生成する統合ログ情報７１０の一例を示す図である。
本実施の形態における例では、カメラ１２０を送信元とするフローについて、Ｅスイッチ１００Ａ、Ｅスイッチ１００Ｂ、およびＥスイッチ１００Ｃの３つで連携して、フローが分散検知される。ここで、図１０に示す統合前の各不正検知装置におけるフロー情報では、８：００－８：１０の時間帯の単位情報は、観測流量が３Ｍｂｐｓであった。このため、統合ログ情報７１０におけるカメラ１２０のフローでは、分散検知された結果であるフロー情報を統合し、９Ｍｂｐｓとなっている。つまり、図１０に示す不正検知装置とは異なる他の不正検知装置では、図示していないが、８：００－８：１０の時間帯の単位情報の合計は６Ｍｂｐｓであることが分かる。また、統合ログ情報７１０におけるカメラのフローでは、流量は、次の時間帯では６Ｍｂｐｓに変化し、さらに次の時間帯では１１Ｍｂｐｓに変化していることが示されている。なお、他のフローのログも上記と同様に解釈することができるので、詳細な説明を省略する。
なお、図１２では、図１０と同様に、送信元および送信先の各ＩＰアドレスと、送信元および送信先の各ＭＡＣアドレスとには、機器の名称が示されているが、機器に対応付けられたＩＰアドレス、または、ＭＡＣアドレスが示されることとなる。
図１３は、Ｅｔｈｅｒｎｅｔの第一ルールまたは第二ルールに基づき、ＥフレームまたはＣＡＮフレームの不正を検知したときの不正検知ログ８００の一例を示す図である。不正検知ログ８００は、（ｉ）攻撃が発生した時間帯、（ｉｉ）セキュリティ緊急度を示すアラートレベル、（ｉｉｉ）ＤｏＳ攻撃宛先異常、ペイロード異常などの攻撃種別、（ｉｖ）送信元および送信先それぞれの、ＩＰアドレス、ＭＡＣアドレスおよびポート番号、並びに、（ｖ）観測されたフローの流量、により構成される。Ｅスイッチ１００Ａ、Ｅスイッチ１００Ｂ、Ｅスイッチ１００Ｃ、およびＥ－ＣＡＮスイッチ２００のそれぞれにおいて検出された不正検知ログ８００は、フロー情報と同様にＥスイッチ１００Ａ、Ｅスイッチ１００Ｂ、Ｅスイッチ１００Ｃ、およびＥ－ＣＡＮスイッチ２００のそれぞれから統合ログ管理部６００に送信されてもよいし、Ｅスイッチ１００Ａ、Ｅスイッチ１００Ｂ、Ｅスイッチ１００Ｃ、およいＥ－ＣＡＮスイッチ２００から直接監視サーバ８０に通知されてもよい。
図１４は、統合ログ管理部６００から、図１２に示すフロー情報７００と、図１３に示す不正検知ログ８００とを受信した場合に、監視サーバ８０が表示する画面９００の一例を示す。画面９００が監視サーバ８０に表示されることにより、車両１のユーザは、どこからどこへの通信がどれくらい発生しているかを把握することが容易にできる。画面９００は、さらに、不正検知結果と、フロー情報との対応関係が含まれていてもよい。このように、画面９００を表示することで、不正検知結果と、フロー情報とをリンクして表示することができるため、車両１のユーザは、どの時間帯でどのような不正を検知したかを把握することが可能となる。
本実施の形態に係る不正検知装置としてのＥスイッチ１００Ａによれば、ネットワークシステム７上の流れる１以上のフレームに対して、第一ルール４００および第二ルール５００の２段階で不正検知することができる。また、Ｅスイッチ１００Ａは、第一ルール４００において、送信元または送信先に基づく第一条件を満たすＥフレームを転送またはミラーリングし、第一ルールにより絞り込まれたＥフレームに対して、第二ルールにおいて、Ｅフレームが不正であることを判定する。このため、不正の検知精度を低減させないように、不正であることを判定する対象とするＥフレームの数を少なくすることができ、第二ルールを用いた不正検知の処理負荷を低減することができる。よって、効果的に不正を検知することができる。
また、本実施の形態に係るＥスイッチ１００Ａによれば、第一フレーム制御部２１２は、ハードウェアで実現され、第二フレーム制御部２２２は、ソフトウェアで実現される。これにより、第一ルール４００を用いた処理機能は、ハードウェアにより実現するため、第一ルールを用いた処理を高速に実行することができる。また、第二ルールを用いた処理機能は、ソフトウェアにより実現されるため、第二ルールの定義をソフトウェアで柔軟に変更することができる。これにより、例えば、パケットインスペクションのような柔軟なセキュリティルールを容易に設定することができる。
また、本実施の形態に係るＥスイッチ１００Ａによれば、他のＥスイッチ１００Ｂ、１００Ｃ、およびＥ－ＣＡＮスイッチ２００との間で不正検知を分散処理するため、１つの不正検知装置における不正検知の処理負荷を低減することができ、より多くのフレームを不正検知することができる。
また、本実施の形態に係るＥスイッチ１００Ａによれば、ログ情報を生成するため、車載ネットワーク上に流れる１以上のフレームの種類、送信元、送信先、流量などのような、流れるフレームの傾向を監視することができる。
（他の実施の形態）
以上のように、本開示に係る技術の例示として実施の形態１を説明した。しかしながら、本開示に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本開示の一実施態様に含まれる。
（１）上記の実施の形態では、車載ネットワークでＣＡＮプロトコルに従って、データフレームの伝送が行われるものとしたが、ＣＡＮプロトコルは、オートメーションシステム内の組み込みシステム等に用いられるＣＡＮＯｐｅｎ、或いは、ＴＴＣＡＮ（Ｔｉｍｅ－Ｔｒｉｇｇｅｒｅｄ ＣＡＮ）、ＣＡＮＦＤ（ＣＡＮ ｗｉｔｈ Ｆｌｅｘｉｂｌｅ Ｄａｔａ Ｒａｔｅ）等の派生的なプロトコルを包含する広義の意味のものと扱われることとしてもよい。また、車載ネットワークは、ＣＡＮプロトコル以外のプロトコルを用いるものであってもよい。車両の制御のためのフレーム等の伝送がなされる車載ネットワークのプロトコルとして、例えばＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）、ＭＯＳＴ（登録商標）（Ｍｅｄｉａ Ｏｒｉｅｎｔｅｄ Ｓｙｓｔｅｍｓ Ｔｒａｎｓｐｏｒｔ）、ＦｌｅｘＲａｙ（登録商標）、Ｅｔｈｅｒｎｅｔ（登録商標）等を用いてもよい。また、これらのプロトコルを用いたネットワークをサブネットワークとして、複数種類のプロトコルに係るサブネットワークを組み合わせて、車載ネットワークを構成してもよい。また、Ｅｔｈｅｒｎｅｔ（登録商標）プロトコルは、ＩＥＥＥ８０２．１に係るＥｔｈｅｒｎｅｔ（登録商標）ＡＶＢ（Ａｕｄｉｏ Ｖｉｄｅｏ Ｂｒｉｄｇｉｎｇ）、或いは、ＩＥＥＥ８０２．１に係るＥｔｈｅｒｎｅｔ（登録商標）ＴＳＮ（Ｔｉｍｅ Ｓｅｎｓｉｔｉｖｅ Ｎｅｔｗｏｒｋｉｎｇ）、Ｅｔｈｅｒｎｅｔ（登録商標）／ＩＰ（Ｉｎｄｕｓｔｒｉａｌ Ｐｒｏｔｏｃｏｌ）、ＥｔｈｅｒＣＡＴ（登録商標）（Ｅｔｈｅｒｎｅｔ（登録商標） ｆｏｒ Ｃｏｎｔｒｏｌ Ａｕｔｏｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ）等の派生的なプロトコルを包含する広義の意味のものと扱われることとしてもよい。なお、車載ネットワークのネットワークバスは、例えば、ワイヤ、光ファイバ等で構成される有線通信路であり得る。
（２）上記実施の形態では、ＣＡＮ送受信部２２５で扱うＣＡＮプロトコルにおけるデータフレームを標準ＩＤフォーマットで記述しているが、拡張ＩＤフォーマットであってもよく、データフレームのＩＤは、拡張ＩＤフォーマットでの拡張ＩＤ等であってもよい。また、上述したデータフレームは、ＣＡＮ以外のプロトコルが用いられるネットワークにおける一種のフレームであってもよく、この場合に、そのフレームの種類等を識別するＩＤが、データフレームのＩＤに相当する。
（３）上記の実施の形態では、自動運転制御コマンドの不正を防止していたが、駐車支援システムやレーンキープ機能や衝突防止機能などの先進運転支援システムの制御の不正を検知するようにしてもよい。
（４）上記実施の形態では、不正検知時に監視サーバ８０やＩＶＩ（Ｉｎ－Ｖｅｈｉｃｌｅ Ｉｎｆｏｔａｉｎｍｅｎｔ）３１０に異常通知していたが、Ｖ２ＸやＶ２Ｉによる通信が可能であれば、車車間通信や路車間通信に対応してれば、他の車両に異常通知や、インフラ装置に異常通知してもよい。これにより自車周辺の車両や通行人の保有デバイスに異常を通知することができ、事故防止につなげることが可能となる。
（５）上記実施の形態では、異常検知時に監視サーバ８０やＩＶＩ（Ｉｎ－Ｖｅｈｉｃｌｅ Ｉｎｆｏｔａｉｎｍｅｎｔ）３１０に異常通知していたが、車載ネットワーク上のデバイスにログとして残すようにしてもよい。ログに残した場合は、診断ポートからログを読み出すことで、ディーラが異常内容を把握することが可能になる。また、ログを定期的に監視サーバ８０に送信するようにしてもよい。これにより、リモートで車両の異常検知が可能となる。
（６）上記実施の形態では、Ｅスイッチ１００Ａが、Ｅスイッチ１００Ｂ、１００ＣまたはＥ－ＣＡＮスイッチ２００へＥフレームの不正検知を依頼する際に、Ｅフレームをそのまま転送もしくはミラーリングするとしたが、Ｅフレームの全てのデータを送信しなくてもよい。例えば、Ｅスイッチ１００Ａは、Ｅフレームの特定領域だけを抽出して転送もしくはミラーリングするようにしてもよい。また、Ｅスイッチ１００Ａは、例えば、Ｅフレームのヘッダ領域の限定するようにしてもよい。この場合、抽出したＥヘッダ領域を、Ｅフレームのペイロードに入れて他のＥスイッチ１００Ｂ、１００ＣまたはＥ－ＣＡＮスイッチ２００に不正検知処理を依頼するようにしてもよい。これにより、ネットワーク負荷を抑えつつも、フロー情報として保存すべき情報は取得可能となる。
（７）分散検知先をＥスイッチ１００Ａ、Ｅスイッチ１００Ｂ、Ｅスイッチ１００Ｃ、およびＥ－ＣＡＮスイッチ２００に限定していたが、このようなスイッチデバイスに限定されず、ＨＵＤ３２０、ＩＶＩ３１０、他のＥＣＵに分散検知を依頼してもよい。
（８）上記実施の形態では、図６の第一ルール４００および図７の第二ルール５００は、ホワイトリストとして正常な条件が定義されているが、ブラックリストとして不正な条件が定義されていてもよいし、ホワイトリストおよびブラックリストが組み合わせられた条件が定義されてもよい。また、第一ルール４００および第二ルール５００に定義されるルールとして、流量の他に、通信頻度、ペイロードの値の条件が定義されていてもよい。
（９）上記実施の形態では、統合ログ管理部６００は、Ｅスイッチ１００Ａとは異なる機器である、テレマティクス通信ユニット４１０またはＩＶＩ３１０に設けられる例を説明したがこれに限らない。統合ログ管理部は、例えば、Ｅスイッチ１００Ａに設けられていてもよい。Ｅスイッチ１００Ａに設けられている統合ログ管理部は、車両１における１以上のＥスイッチ１００Ｂ、１００ＣおよびＥ－ＣＡＮスイッチ２００からそれぞれ１以上のログ情報を取得する。統合ログ管理部は、取得された１以上のログ情報と、Ｅスイッチ１００Ａの第三保持部２３０が記憶しているログ情報とを統合することで統合ログ情報を生成する。そして、統合ログ管理部は、Ｅスイッチ１００Ａの第三保持部２３０に、生成された統合ログ情報を記憶させる。
これによれば、不正検知処理をＥスイッチ１００Ａ～１００ＣおよびＥ－ＣＡＮスイッチ２００のうちの複数に分散した場合において、これらの複数のスイッチデバイスそれぞれにおける不正検知の結果を統合する。このため、車両１のネットワークシステム７を流れる１以上のフレームの種類、送信元、送信先、流量などのような、流れるフレームの傾向を監視することができる。
（１０）上記実施の形態では、Ｅスイッチ１００Ａ、Ｅスイッチ１００Ｂ、Ｅスイッチ１００Ｃ、およびＥ－ＣＡＮスイッチ２００のそれぞれは、レイヤ２スイッチ（Ｌ２スイッチ）であるとしたが、レイヤ３スイッチ（Ｌ３スイッチ）、レイヤ４スイッチ（Ｌ４スイッチ）、またはルータであってもよい。
（１１）ネットワークシステム７が、ＶＬＡＮを用いて複数のドメインにドメイン分割されていてもよい。例えば、不正検知装置としてのＥスイッチ１００Ａと、他の不正検知装置としてのＥスイッチ１００Ｂとは、複数のドメインのうち互いに異なるドメインに属しているものとする。第二制御部２２０が異なるＶＬＡＮ ＩＤのドメインのスイッチデバイスにフレームの不正検知を依頼する場合、ＶＬＡＮ ＩＤを書き換えて転送またはミラーリングしてもよい。つまり、Ｅスイッチ１００Ａの第一フレーム制御部２１２は、ＥフレームをＥスイッチ１００Ｂに転送またはミラーリングする場合、Ｅスイッチ１００Ｂが属するドメインを識別する識別情報を転送またはミラーリングするＥフレームに付加する、または、当該フレームに含まれる識別情報をＥスイッチ１００Ｂが属するドメインを識別する識別情報に書換えて、当該Ｅフレームを転送またはミラーリングする。
これにより、タグＶＬＡＮでドメイン分割されている車載ネットワークにおいても、互いに異なるドメインに属する複数の不正検知装置にフレームの不正検知を分散して処理することができる。
（１２）上記実施の形態では、フレーム異常検知装置が、車両に搭載され、車両の制御のための通信を行う車載ネットワークシステムに含まれる例を示したが、車両以外の制御対象の制御のためのネットワークシステムに含まれるものであってもよい。車両以外の制御対象は、例えば、重機、ロボット、航空機、船舶、機械、建設機械、農作業機器、ドローン等である。
（１３）上記実施の形態で示したＥＣＵ等の各装置は、メモリ、プロセッサ等の他に、ハードディスクユニット、ディスプレイユニット、キーボード、マウス等を備えるものであってもよい。また、上記実施の形態で示したＥＣＵ等の各装置は、メモリに記憶されたプログラムがプロセッサにより実行されてソフトウェア的にその各装置の機能を実現するものであってもよいし、専用のハードウェア（デジタル回路等）によりプログラムを用いずにその機能を実現するものであってもよい。また、その各装置内の各構成要素の機能分担は変更可能である。
（１４）上記実施の形態における各装置を構成する構成要素の一部又は全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等を含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。また、上記各装置を構成する構成要素の各部は、個別に１チップ化されていてもよいし、一部又は全部を含むように１チップ化されてもよい。また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用してもよい。更には、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてあり得る。
（１５）上記各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしてもよい。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしてもよい。
（１６）本開示の一態様としては、異常検知の方法をコンピュータにより実現するプログラム（コンピュータプログラム）であるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。また、本開示の一態様としては、前記コンピュータプログラム又は前記デジタル信号をコンピュータで読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標） Ｄｉｓｃ）、半導体メモリ等に記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。また、本開示の一態様としては、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。また、本開示の一態様としては、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記録しており、前記マイクロプロセッサは、前記コンピュータプログラムに従って動作するとしてもよい。また、前記プログラム若しくは前記デジタル信号を前記記録媒体に記録して移送することにより、又は、前記プログラム若しくは前記デジタル信号を、前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
（１７）上記実施の形態及び上記変形例で示した各構成要素及び機能を任意に組み合わせることで実現される形態も本開示の範囲に含まれる。
本開示は、車載ネットワークシステムにおいて、効果的に不正を検知することができる不正検知装置、車載ネットワークシステム、不正検知方法などとして有用である。
１～６ 車両
７ ネットワークシステム
１０ 第一ネットワーク
１１ 第一伝送路
２０ 第二ネットワーク
２１ 第二伝送路
２１ａ、２１ｂ ＣＡＮバス
３０ 外部ネットワーク
８０ 監視サーバ
９０ 車載ネットワークシステム
１００Ａ～１００Ｃ Ｅスイッチ
１１０ 自動運転ＥＣＵ
１２０ カメラ
１３０ ＬＩＤＡＲ
１４０ ダイナミックマップＥＣＵ
２００ Ｅ－ＣＡＮスイッチ
２０１ エンジンＥＣＵ
２０２ ステアリングＥＣＵ
２０３ ブレーキＥＣＵ
２０４ ウィンドウＥＣＵ
２１０ 第一制御部
２１１、２２１ Ｅ送受信部
２１２ 第一フレーム制御部
２１３ 第一保持部
２２０ 第二制御部
２２２ 第二フレーム制御部
２２３ 第二保持部
２２５ ＣＡＮ送受信部
２３０ 第三保持部
２４０ 診断ポート
２５０ ＭＩＩ
３１０ ＩＶＩ
３２０ ＨＵＤ
４００ 第一ルール
４０１ セキュリティルール
４０２ 分散検知ルール
４１０ テレマティクス通信ユニット
４２０ 診断ポート
５００ 第二ルール
５０１ セキュリティルール
５０２ ペイロードルール
６００ 統合ログ管理部
７００ フロー情報
７１０ 統合ログ情報
８００ 不正検知ログ
９００ 画面

Claims (10)

  1. 車両における車載ネットワークシステム上を流れるフレームの不正を検知する不正検知装置であって、
    少なくとも送信先が格納された１以上のフレームを取得する取得部と、
    前記１以上のフレームのそれぞれについて、第一条件を満たすフレームが不正であると判定することを示す第一不正検知ルールと、前記１以上のフレームのそれぞれについて、前記送信先が自動運転の制御を行う電子制御ユニットである第二条件を満たす場合に当該フレームを転送またはミラーリングすることを示すミラーリングルールとが定義された第一ルールを保持している第一保持部と、
    前記１以上のフレームのそれぞれについて、前記第一不正検知ルールに基づいて、当該フレームの不正検知を行い、前記ミラーリングルールに基づいて、前記１以上のフレームに対して転送またはミラーリングの制御をする第一フレーム制御部と、
    前記第一条件よりも詳細な条件である第三条件を満たすフレームが不正であると判定することを示す第二不正検知ルールが定義された第二ルールを保持している第二保持部と、
    前記第一フレーム制御部により転送またはミラーリングされた前記１以上のフレームのそれぞれについて、前記第二ルールに基づいて当該フレームの不正検知を行う第二フレーム制御部と、を備え、
    前記第二フレーム制御部は、不正なフレームを検知した場合に、検知された前記不正なフレームを示す検知結果を、通知または記憶する不正検知装置。
  2. 前記第一フレーム制御部は、ハードウェアで実現され、
    前記第二フレーム制御部は、ソフトウェアで実現される
    請求項１記載の不正検知装置。
  3. 前記取得部は、前記１以上のフレームを含む複数のフレームを取得し、
    前記第一ルールには、前記取得部により取得された前記複数のフレームのうち、第一割合の数のフレームを前記第二フレーム制御部へ転送またはミラーリングすること、および、第二割合の数のフレームを、前記車両における他の不正検知装置への転送またはミラーリングすることを示すルールが定義されており、
    前記第一フレーム制御部は、前記第一ルールに基づいて、前記第二フレーム制御部へ前記第一割合の数のフレームを転送またはミラーリングし、かつ、前記他の不正検知装置へ前記第二割合の数のフレームを転送またはミラーリングし、
    前記第二フレーム制御部は、前記第一フレーム制御部により転送またはミラーリングされた前記第一割合の数のフレームのそれぞれについて、当該フレームの不正検知を前記第二ルールに基づいて行う
    請求項１または２記載の不正検知装置。
  4. 前記第一フレーム制御部は、前記他の不正検知装置へ前記第二割合の数のフレームを転送またはミラーリングする場合、前記第二割合の数のフレームのそれぞれについて前記不正検知を行うことを前記他の不正検知装置に依頼することを示す依頼情報を、前記第二割合の数のフレームに付加して前記他の不正検知装置に送信する
    請求項３記載の不正検知装置。
  5. 前記車載ネットワークシステムは複数のドメインにドメイン分割されており、
    前記不正検知装置と、前記他の不正検知装置とは、前記複数のドメインのうち互いに異なるドメインに属しており、
    前記第一フレーム制御部は、前記フレームを前記他の不正検知装置に転送またはミラーリングする場合、前記他の不正検知装置が属するドメインを識別する識別情報を前記フレームに付加する、または、前記フレームに含まれる識別情報を前記他の不正検知装置が属するドメインを識別する識別情報に書換えて、前記フレームを転送またはミラーリングする
    請求項４記載の不正検知装置。
  6. さらに、
    第三保持部を備え、
    前記第二フレーム制御部は、前記取得部により取得された前記１以上のフレームのそれぞれについて、当該フレームに格納されている送信元および前記送信先の組ごとに、当該フレームの送受信に関するログ情報を生成し、生成した前記ログ情報を前記第三保持部に記憶させる
    請求項１から５のいずれか１項記載の不正検知装置。
  7. さらに、
    前記車両における１以上の他の不正検知装置からそれぞれ１以上の前記ログ情報を取得し、取得された前記１以上のログ情報と、前記第三保持部が記憶している前記ログ情報とを統合することで統合ログ情報を生成し、前記第三保持部に生成された前記統合ログ情報を記憶させる統合ログ管理部を備える
    請求項６記載の不正検知装置。
  8. それぞれが請求項６記載の不正検知装置である複数の不正検知装置と、
    前記複数の不正検知装置のそれぞれから１以上の前記ログ情報を取得し、前記複数の不正検知装置のそれぞれから取得された前記１以上のログ情報を互いに統合することで統合ログ情報を生成し、生成された前記統合ログ情報を記憶する統合ログ管理装置と、を備える
    車載ネットワークシステム。
  9. 車両における車載ネットワークシステム上を流れるフレームの不正を検知する不正検知方法であって、
    少なくとも送信先が格納された１以上のフレームを取得し、
    前記１以上のフレームのそれぞれについて、第一条件を満たすフレームが不正であると判定することを示す第一不正検知ルールと、前記１以上のフレームのそれぞれについて、前記送信先が自動運転の制御を行う電子制御ユニットである第二条件を満たす場合に当該フレームを転送またはミラーリングすることを示すミラーリングルールとが定義された第一ルールを読み出し、
    前記１以上のフレームのそれぞれについて、前記第一不正検知ルールに基づいて、当該フレームの不正検知を行い、読み出した前記ミラーリングルールに基づいて、前記１以上のフレームに対して転送またはミラーリングし、
    前記第一条件よりも詳細な条件である第三条件を満たすフレームが不正であると判定することを示す第二不正検知ルールが定義された第二ルールを読み出し、
    転送またはミラーリングされた前記１以上のフレームのそれぞれについて、読み出した前記第二ルールに基づいて当該フレームの不正検知を行い、
    前記不正検知において不正なフレームを検知した場合に、検知された前記不正なフレームを示す検知結果を通知する、または、記憶する
    不正検知方法。
  10. 前記取得では、前記１以上のフレームを含む複数のフレームを取得し、
    前記第一ルールには、取得した前記複数のフレームのうち、第一割合の数のフレームを、前記不正検知を行う不正検知装置が備える第二フレーム制御部へ転送またはミラーリングすること、および、第二割合の数のフレームを、前記車両における他の不正検知装置へ転送またはミラーリングすることを示すルールが定義されており、
    前記転送またはミラーリングでは、前記第一ルールに基づいて、前記第二フレーム制御部へ前記第一割合の数のフレームを転送またはミラーリングし、かつ、前記他の不正検知装置へ前記第二割合の数のフレームを転送またはミラーリングし、
    前記不正検知では、転送またはミラーリングされた前記第一割合の数のフレームのそれぞれについて、当該フレームの不正検知を前記第二ルールに基づいて行う
    請求項９記載の不正検知方法。
JP2019559570A 2017-12-15 2018-12-05 不正検知装置、車載ネットワークシステム、および、不正検知方法 Active JP7182564B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2017240804 2017-12-15
JP2017240804 2017-12-15
PCT/JP2018/044642 WO2019116973A1 (ja) 2017-12-15 2018-12-05 不正検知装置、車載ネットワークシステム、および、不正検知方法

Publications (2)

Publication Number Publication Date
JPWO2019116973A1 JPWO2019116973A1 (ja) 2020-12-03
JP7182564B2 true JP7182564B2 (ja) 2022-12-02

Family

ID=66820046

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019559570A Active JP7182564B2 (ja) 2017-12-15 2018-12-05 不正検知装置、車載ネットワークシステム、および、不正検知方法

Country Status (5)

Country Link
US (1) US11546363B2 (ja)
EP (1) EP3726790B1 (ja)
JP (1) JP7182564B2 (ja)
CN (1) CN111279657B (ja)
WO (1) WO2019116973A1 (ja)

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3991357A1 (en) * 2019-06-25 2022-05-04 Marvell Asia Pte, Ltd. Automotive network switch with anomaly detection
CN110881141B (zh) * 2019-11-19 2022-10-18 浙江大华技术股份有限公司 视频展示方法和装置、存储介质及电子装置
US11470020B2 (en) * 2020-07-30 2022-10-11 Nxp B.V. Automotive packet data switch with pipeline diversity
EP4218167A4 (en) * 2020-09-18 2023-10-25 Huawei Technologies Co., Ltd. INTRUSION DETECTION SYSTEM, METHODS AND RELATED PRODUCTS
DE102020128285A1 (de) 2020-10-28 2022-04-28 Audi Aktiengesellschaft Verfahren zum Überwachen eines Datenverkehrs zwischen Steuergeräten eines Kraftfahrzeugs sowie entsprechend ausgestattetes Kraftfahrzeug
DE102020128284A1 (de) * 2020-10-28 2022-04-28 Audi Aktiengesellschaft Verfahren zum Überwachen eines Datennetzwerks in einem Kraftfahrzeug sowie Switchvorrichtung und Kraftfahrzeug
JP2022167561A (ja) * 2021-04-23 2022-11-04 株式会社オートネットワーク技術研究所 車載通信装置及び通信方法
CN113836111A (zh) * 2021-08-23 2021-12-24 武汉光庭信息技术股份有限公司 一种自动驾驶经验数据库的构建方法及系统
EP4170978A1 (de) 2021-10-22 2023-04-26 Audi AG Verfahren zum überwachen eines datenverkehrs zwischen steuergeräten eines kraftfahrzeugs sowie entsprechend ausgestattetes kraftfahrzeug
CN114257416A (zh) * 2021-11-25 2022-03-29 中科创达软件股份有限公司 黑白名单的调整方法及装置
CN114301645A (zh) * 2021-12-16 2022-04-08 北京六方云信息技术有限公司 异常行为检测方法、装置、终端设备以及存储介质
CN116030550B (zh) * 2023-03-24 2023-06-23 中国汽车技术研究中心有限公司 车辆状态数据的异常识别和处理方法、设备及介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008136049A (ja) 2006-11-29 2008-06-12 Alaxala Networks Corp ネットワーク中継システム、および、ネットワーク中継システムにおける方法
JP2011188276A (ja) 2010-03-09 2011-09-22 Hitachi Ltd トラヒック観測システム
JP2016134914A (ja) 2015-01-20 2016-07-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知ルール更新方法、不正検知電子制御ユニット及び車載ネットワークシステム

Family Cites Families (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007288711A (ja) * 2006-04-20 2007-11-01 Nec Corp ゲートウェイ装置、設定コントローラ、ゲートウェイ装置の負荷分散方法及びプログラム
JP2008085819A (ja) * 2006-09-28 2008-04-10 Oki Electric Ind Co Ltd ネットワーク異常検出システム、ネットワーク異常検出方法及びネットワーク異常検出プログラム
JP2012006446A (ja) 2010-06-23 2012-01-12 Toyota Motor Corp 車内ネットワークシステム
EP2761729B1 (en) * 2011-11-13 2018-05-09 Rotonix Hong Kong Limited Electromechanical flywheels
JP5919205B2 (ja) * 2013-01-28 2016-05-18 日立オートモティブシステムズ株式会社 ネットワーク装置およびデータ送受信システム
EP3056394B1 (en) * 2013-10-08 2022-11-30 ICTK Holdings Co., Ltd. Vehicle security network device and design method therefor
JP6126980B2 (ja) * 2013-12-12 2017-05-10 日立オートモティブシステムズ株式会社 ネットワーク装置およびネットワークシステム
EP3133774B1 (en) * 2014-04-17 2020-11-25 Panasonic Intellectual Property Corporation of America Vehicle-mounted network system, abnormality detection electronic control unit and abnormality detection method
US11252180B2 (en) * 2015-06-29 2022-02-15 Argus Cyber Security Ltd. System and method for content based anomaly detection in an in-vehicle communication network
US11397801B2 (en) * 2015-09-25 2022-07-26 Argus Cyber Security Ltd. System and method for controlling access to an in-vehicle communication network
JP6566400B2 (ja) * 2015-12-14 2019-08-28 パナソニックＩｐマネジメント株式会社 電子制御装置、ゲートウェイ装置、及び検知プログラム
JP6649215B2 (ja) * 2015-12-14 2020-02-19 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ装置、ネットワークシステム及び攻撃検知方法
WO2017104112A1 (ja) * 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ セキュリティ処理方法及びサーバ
JP6684690B2 (ja) * 2016-01-08 2020-04-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知方法、監視電子制御ユニット及び車載ネットワークシステム
KR102452615B1 (ko) * 2016-01-21 2022-10-06 현대자동차주식회사 네트워크에서 우선순위에 기초한 데이터의 전송 방법
CN106254177A (zh) * 2016-07-29 2016-12-21 浙江吉利控股集团有限公司 一种基于独立网关的诊断路由方法及系统
DE102016221690A1 (de) * 2016-11-04 2018-05-09 Audi Ag Verfahren zum Übertragen von Datenpaketen zwischen einem Ethernet und einem Bussystem in einem Kraftfahrzeug sowie Gatewayvorrichtung und Kraftfahrzeug
US10764134B2 (en) * 2018-06-22 2020-09-01 Blackberry Limited Configuring a firewall system in a vehicle network

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008136049A (ja) 2006-11-29 2008-06-12 Alaxala Networks Corp ネットワーク中継システム、および、ネットワーク中継システムにおける方法
JP2011188276A (ja) 2010-03-09 2011-09-22 Hitachi Ltd トラヒック観測システム
JP2016134914A (ja) 2015-01-20 2016-07-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知ルール更新方法、不正検知電子制御ユニット及び車載ネットワークシステム

Also Published As

Publication number Publication date
WO2019116973A1 (ja) 2019-06-20
JPWO2019116973A1 (ja) 2020-12-03
EP3726790A1 (en) 2020-10-21
US20200304532A1 (en) 2020-09-24
CN111279657B (zh) 2023-05-23
CN111279657A (zh) 2020-06-12
EP3726790A4 (en) 2021-01-06
US11546363B2 (en) 2023-01-03
EP3726790B1 (en) 2021-12-01

Similar Documents

Publication Publication Date Title
JP7182564B2 (ja) 不正検知装置、車載ネットワークシステム、および、不正検知方法
CN109843653B (zh) 异常检测装置以及异常检测方法
JP7410223B2 (ja) 不正検知サーバ、及び、方法
US10715600B2 (en) Network hub, transfer method, and onboard network system
JP7312769B2 (ja) 統計情報生成装置、統計情報生成方法、および、プログラム
US10693675B2 (en) Electronic control unit, communication method, and onboard network system
CN109845196B (zh) 网络监视器、网络监视方法和计算机可读取记录介质
US11102218B2 (en) Relay device, detection method, and detection program
WO2020085422A1 (ja) 車載ネットワーク中継装置及び車載ネットワーク中継方法
CN110933021B (zh) 用于在车辆中进行异常识别的方法和设备
JP7017520B2 (ja) 通信装置、通信方法及び通信システム
CN109716711A (zh) 网关、车载通信系统、通信控制方法和通信控制程序
WO2021240662A1 (ja) 異常検知装置、異常検知システムおよび異常検知方法
CN112737889B (zh) 流量处理方法、流量监控方法、装置、系统及存储介质
WO2020085421A1 (ja) 不正検知装置及び不正検知方法
CN114726896B (zh) 车载网关控制系统及智能汽车
US20230142079A1 (en) Switch device, in-vehicle communication system, and communication method
US11929895B2 (en) Communication log aggregation device and communication log aggregation method
US20230141041A1 (en) Switch device, in-vehicle communication system, and communication method
JP2019146144A (ja) 情報処理装置、情報処理方法及びプログラム

Legal Events

Date Code Title Description
A529 Written submission of copy of amendment under article 34 pct

Free format text: JAPANESE INTERMEDIATE CODE: A5211

Effective date: 20200123

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20211110

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20220712

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20220908

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20221101

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20221121

R150 Certificate of patent or registration of utility model

Ref document number: 7182564

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150