JP7281714B2 - 情報処理装置、情報処理システム及びプログラム - Google Patents

情報処理装置、情報処理システム及びプログラム Download PDF

Info

Publication number
JP7281714B2
JP7281714B2 JP2019152453A JP2019152453A JP7281714B2 JP 7281714 B2 JP7281714 B2 JP 7281714B2 JP 2019152453 A JP2019152453 A JP 2019152453A JP 2019152453 A JP2019152453 A JP 2019152453A JP 7281714 B2 JP7281714 B2 JP 7281714B2
Authority
JP
Japan
Prior art keywords
network
message
declaration message
received
declaration
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2019152453A
Other languages
English (en)
Other versions
JP2021034850A (ja
Inventor
崇之 藤井
稔久 中野
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Intellectual Property Management Co Ltd
Original Assignee
Panasonic Intellectual Property Management Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Intellectual Property Management Co Ltd filed Critical Panasonic Intellectual Property Management Co Ltd
Priority to JP2019152453A priority Critical patent/JP7281714B2/ja
Priority to US16/994,935 priority patent/US11632381B2/en
Publication of JP2021034850A publication Critical patent/JP2021034850A/ja
Application granted granted Critical
Publication of JP7281714B2 publication Critical patent/JP7281714B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40006—Architecture of a communication node
    • H04L12/40013—Details regarding a bus controller
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Small-Scale Networks (AREA)

Description

本開示は、複数の電子制御装置（以下ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）とも呼ぶ）が接続されたネットワークにおける不正を検知するための情報処理装置、情報処理システム及びプログラムに関する。
トラック、バス、建機、トラクタ、トレーラ又は船舶等に適用される制御バス規格として、ＳＡＥ（Ｓｏｃｉｅｔｙ ｏｆ Ａｕｔｏｍｏｔｉｖｅ Ｅｎｇｉｎｅｅｒｓ） Ｊ１９３９規格が存在する。上記移動体内では、例えば、ＳＡＥ Ｊ１９３９規格に基づいて、ＥＣＵ間でメッセージの送受信が行われる。ＳＡＥ Ｊ１９３９規格において用いられるアドレスクレーム（以下ＡＣＬとも呼ぶ）メッセージを悪用して、各ＥＣＵが接続されたＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）に不正なメッセージを送信することで、正規のＥＣＵになりすますという攻撃があることが指摘されている。これに対して、例えば、非特許文献１には、ＳＡＥ Ｊ１９３９規格のＡＣＬメッセージを悪用した不正を検知する技術について開示されている。具体的には、各ＥＣＵ間で公開鍵暗号ベース又は秘密鍵暗号ベースの認証及び鍵共有を行い、共有した鍵でＣＡＮメッセージパケットに対して改ざん検出用コード（ＭＡＣ：Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を付加することで、不正なメッセージを検知できる。
Paul-Stefan Murvae, et al. "Security shortcomings and countermeasures for the SAE J1939 commercial vehicle bus protocol", IEEE Transactions on Vehicular Technology, Volume 67, Issue 5, May 2018
しかしながら、非特許文献１に開示された技術では、認証及び鍵共有のための通信が必要となり、ＣＡＮ通信の開始の際にその都度当該通信による遅延が発生するという問題がある。また、ＣＡＮメッセージパケット内にＭＡＣを格納するための８バイトものフィールドが必要となり、１つのＣＡＮメッセージで送信可能なデータ量が削減されるため、メッセージを送信するのに要する時間が増加するという問題がある。このように、非特許文献１に開示された技術では、ＣＡＮ等のネットワークにおける不正を検知しようとすると、通信品質が劣化するおそれがある。
そこで、本開示は、通信品質の劣化を抑制しつつ、ネットワークにおける不正を検知できる情報処理装置等を提供する。
上記目的を達成するために本開示の一態様に係る情報処理装置は、複数の電子制御装置が接続されたネットワークにおける不正を検知するための情報処理装置であって、前記複数の電子制御装置のそれぞれは、前記ネットワークにおいて使用を希望するソースアドレスを主張する宣言メッセージを前記ネットワークに送信した後、当該ソースアドレスを含む通常のメッセージの前記ネットワークへの送信を開始する装置であり、前記情報処理装置は、前記ネットワークから受信した宣言メッセージに含まれるソースアドレスと、当該宣言メッセージを受信した時刻を基準とする時間と、当該宣言メッセージの前後に前記ネットワークから受信したメッセージとに基づいて、前記ネットワークにおける不正を検知する不正検知部と、前記検知の結果を出力する出力部と、を備える。
また、上記目的を達成するために本開示の一態様に係る情報処理システムは、上記の情報処理装置と、前記複数の電子制御装置と、前記ネットワークと、を備える。
また、上記目的を達成するために本開示の一態様に係るプログラムは、複数の電子制御装置が接続されたネットワークにおける不正を検知するための情報処理装置によって実行されるプログラムであって、前記複数の電子制御装置のそれぞれは、前記ネットワークにおいて使用を希望するソースアドレスを主張する宣言メッセージを前記ネットワークに送信した後、当該ソースアドレスを含む通常のメッセージの前記ネットワークへの送信を開始する装置であり、前記プログラムは、前記ネットワークから受信した宣言メッセージに含まれるソースアドレスと、当該宣言メッセージを受信した時刻を基準とする時間と、当該宣言メッセージの前後に前記ネットワークから受信したメッセージとに基づいて、前記ネットワークにおける不正を検知する不正検知処理と、前記検知の結果を出力する出力処理と、を含む。
本開示によれば、通信品質の劣化を抑制しつつ、ネットワークにおける不正を検知できる。
実施の形態１における情報処理システムの一例を示す構成図である。 ＳＡＥ Ｊ１９３９規格で使用されるデータフレームのフォーマットを示す図である。 宣言メッセージの送信によるソースアドレスの使用を希望する際のルールを説明するためのシーケンス図である。 ソースアドレスが競合したときのルールを説明するためのシーケンス図である。 宣言メッセージが悪用され得ることを説明するためのフローチャートである。 正常時及び攻撃時のネットワークの状況を説明するための図である。 実施の形態における情報処理装置の一例を示すブロック図である。 実施の形態における情報処理装置の動作の一例を示すフローチャートである。 実施の形態における情報処理装置の不正の検知方法の第一例を説明するための図である。 実施の形態における情報処理装置の不正の検知方法の第二例を説明するための図である。 実施の形態における情報処理装置の不正の検知方法の第三例を説明するための図である。 実施の形態における情報処理装置の不正の検知方法の第四例を説明するための図である。
（実施の形態）
［情報処理システムの構成］
以下、実施の形態における情報処理システム１について図面を参照しながら説明する。
図１は、実施の形態における情報処理システム１の一例を示す構成図である。なお、図１には、情報処理システム１以外の構成要素（ブーム１１０ａ、アーム１１０ｂ、バケット１１０ｃ、油圧ポンプ１１０ｄ及びエンジン１１０ｅ）も図示している。
情報処理システム１は、例えば、車両に搭載された車載ネットワークである。情報処理システム１は、情報処理装置１０と複数のＥＣＵとネットワーク３００とを備える。ネットワーク３００は、例えば、ＳＡＥ Ｊ１９３９規格に基づくＣＡＮである。複数のＥＣＵのそれぞれは、ＳＡＥ Ｊ１９３９規格に基づいて他のＥＣＵとネットワーク３００を介したメッセージの送受信を行う。例えば、実施の形態では、情報処理システム１は、複数のＥＣＵとしてＥＣＵ１００ａ～１００ｅを備える。ＥＣＵ１００ａに着目すると、ＥＣＵ１００ａは、他のＥＣＵ１００ｂ～１００ｅとネットワーク３００を介したメッセージの送受信を行う。実施の形態においてＥＣＵ１００ａ～１００ｅを総称してＥＣＵ１００とも呼ぶ。つまり、実施の形態でＥＣＵ１００と呼ぶものは、ＥＣＵ１００ａ～１００ｅのいずれであってもよい。また、情報処理装置１０はＥＣＵの一種であり、複数のＥＣＵ１００のそれぞれとネットワーク３００を介したメッセージの送受信を行う。
ＳＡＥ Ｊ１９３９規格は、トラック、バス、建機、トラクタ、トレーラ又は船舶等に適用される制御バス規格であり、ＳＡＥ Ｊ１９３９規格に基づいてこれらの移動体内のＥＣＵ間でメッセージの送受信が行われている。つまり、ＥＣＵ１００は、ＳＡＥ Ｊ１９３９規格に基づいて移動体内のネットワーク３００を介してメッセージの送受信を行う。以下では、建機に適用された情報処理システム１について説明する。
情報処理装置１０は、複数のＥＣＵ１００が接続されたネットワーク３００における不正を検知するための装置であり、例えば、不正検知ＥＣＵである。情報処理装置１０の詳細については後述する。
ＥＣＵ１００ａは、建機のブーム１１０ａの姿勢角及び角速度等を検出するＩＭＵ（Ｉｎｅｒｔｉａｌ Ｍｅａｓｕｒｅｍｅｎｔ Ｕｎｉｔ）である。ＥＣＵ１００ｂは、建機のアーム１１０ｂの姿勢角及び角速度等を検出するＩＭＵである。ＥＣＵ１００ｃは、建機のバケット１１０ｃの姿勢角及び角速度等を検出するＩＭＵである。ＥＣＵ１００ｄは、ブーム１１０ａ、アーム１１０ｂ及びバケット１１０ｃ等の姿勢の変更及び移動等を行う油圧ポンプ１１０ｄを制御するための装置である。例えば、ＥＣＵ１００ｄは、ＥＣＵ１００ａ～１００ｃから周期的に送信される姿勢角及び角速度等のセンシングデータを逐次受信することで、ブーム１１０ａ及びアーム１１０ｂの先端にあるバケット１１０ｃの位置及び速度を推定し、バケット１１０ｃが地面に衝突して建機が破損しないように、油圧ポンプ１１０ｄを介してブーム１１０ａ、アーム１１０ｂ及びバケット１１０ｃ等の自動制御を行う。ＥＣＵ１００ｅは、建機のエンジン１１０ｅを制御するための装置である。なお、ネットワーク３００には、これらのＥＣＵ１００以外のＥＣＵが接続されていてもよい。
情報処理装置１０及びＥＣＵ１００は、例えば、プロセッサ（マイクロプロセッサ）、メモリ等のデジタル回路、アナログ回路、通信回路等を含む装置である。メモリは、ＲＯＭ、ＲＡＭ等であり、プロセッサにより実行されるプログラムを記憶することができる。例えばプロセッサが、プログラムに従って動作することにより、情報処理装置１０及びＥＣＵ１００は各種機能を実現することになる。
複数のＥＣＵ１００のそれぞれは、ネットワーク３００から他のＥＣＵ１００が送信したメッセージを受信し、また、他のＥＣＵ１００に送信したい内容を含むメッセージを生成してネットワーク３００に送信する。具体的には、複数のＥＣＵ１００のそれぞれは、受信したメッセージの内容に応じた処理を行い、また、各ＥＣＵ１００に接続されている機器の状態を示すデータ（例えば姿勢角及び角速度等のセンシングデータ）又は他のＥＣＵ１００への指示値（制御値）等のデータを含む通常のメッセージを生成して周期的に送信する。また、複数のＥＣＵ１００のそれぞれは、ネットワーク３００において固有のソースアドレス（以下ＳＡとも呼ぶ）であって、ネットワーク３００において使用を希望するＳＡを主張する宣言メッセージをネットワーク３００に送信した後、当該ＳＡを含む通常のメッセージのネットワーク３００への送信を開始する装置である。具体的には、複数のＥＣＵ１００のそれぞれは、宣言メッセージを送信してから規定時間（例えば２５０ｍｓ）、送信した宣言メッセージに対する他のＥＣＵ１００からの応答がなかった場合に、ネットワーク３００において使用を希望するＳＡを含む通常のメッセージのネットワーク３００への送信を開始する。また、複数のＥＣＵ１００のそれぞれがネットワーク３００に送信する宣言メッセージは、さらに、複数のＥＣＵ１００のそれぞれに予め割り振られたデバイス固有のデバイスネーム（以下ＤＮとも呼ぶ）を含む。宣言メッセージについては、後述する。なお、機器の状態を示すデータ又は指示値等のデータを含むメッセージを通常のメッセージと呼んでいるのは、宣言メッセージと区別するためである。通常のメッセージには、ＣＡＮＩＤが含まれており、複数のＥＣＵ１００のそれぞれは、特定のＣＡＮＩＤを含むメッセージのみを受信するため、目的のＥＣＵ１００へ向けて通常のメッセージを送信することができる。
複数のＥＣＵ１００のそれぞれには、例えば製造時等にデバイス固有の６４ビットのＤＮが予め割り振られている。ＤＮは、ＥＣＵ１００ごとに固有であることが求められるため、ＥＣＵ１００には、ネットワーク３００に関わらず他のＥＣＵと重複しないようなＤＮが割り当てられる。実施の形態では、例えば、図１に示されるように、ＥＣＵ１００ａにはＤＮとしてＮａが割り当てられ、ＥＣＵ１００ｂにはＤＮとしてＮｂが割り当てられ、ＥＣＵ１００ｃにはＤＮとしてＮｃが割り当てられ、ＥＣＵ１００ｄにはＤＮとしてＮｄが割り当てられ、ＥＣＵ１００ｅにはＤＮとしてＮｅが割り当てられる。一方で、ＥＣＵ１００間での通信の際に、送信元の特定のために、その都度６４ビットのＤＮが用いられると、ＤＮが用いられる分（６４ビット分）送信可能なデータ量が削減されるため、ネットワーク３００において固有の８ビットのＳＡが用いられる。ＣＡＮＩＤには、８ビットのＳＡが含まれており、ＣＡＮＩＤを含む通常のメッセージを受信したＥＣＵ１００は、ＣＡＮＩＤに含まれるＳＡを確認することで送信元を特定できる。
［ＣＡＮＩＤのフォーマット］
以下、ＳＡＥ Ｊ１９３９規格において使用される、通常のメッセージに含まれるＣＡＮＩＤのフォーマットについて説明する。
図２は、ＳＡＥ Ｊ１９３９規格で使用されるＣＡＮＩＤのフォーマットを示す図である。図２には、ＣＡＮプロトコルで規定される１１ビットの標準ＩＤフォーマットをベースとして、トラック、バス、建機、トラクタ、トレーラ又は船舶等に適用される制御バス用の拡張が行われた２９ビットの拡張ＣＡＮＩＤのフォーマットが示されている。複数のＥＣＵ１００のそれぞれがネットワーク３００に送信する通常のメッセージは、拡張ＣＡＮＩＤを含み、拡張ＣＡＮＩＤは、通常のメッセージのフォーマットを一意に決定する識別子を含む。つまり、通常のメッセージは、当該識別子を含む。当該識別子は、例えば、ＰＧＮ（Ｐａｒａｍｅｔｅｒ Ｇｒｏｕｐ Ｎｕｍｂｅｒ）である。詳細な説明は省略するが、拡張ＣＡＮＩＤには、ＰＧＮ及び宛先アドレス情報などが含まれるフィールドに加え、下位８ビットにおいて、送信元を特定するためのＳＡが割り当てられていることがわかる。複数のＥＣＵ１００のそれぞれは、起動後に宣言メッセージの送信によって他のＥＣＵ１００とネゴシエーションを行い、他のＥＣＵ１００と競合しないＳＡを取得する。宣言メッセージとは、ＥＣＵ１００がネットワーク３００において使用を希望するＳＡを取得するために用いられるメッセージであり、ＥＣＵ１００に割り当てられたＤＮ及び当該ＥＣＵ１００がネットワーク３００において使用を希望するＳＡを含むメッセージである。宣言メッセージは、例えば、ＳＡＥ Ｊ１９３９規格において規定されたＡＣＬメッセージである。基本的には、ＥＣＵ１００の起動時に当該ＥＣＵ１００から宣言メッセージがネットワーク３００に送信される。宣言メッセージを受信した他のＥＣＵ１００は、当該宣言メッセージに含まれるＤＮが割り当てられたＥＣＵ１００が当該宣言メッセージに含まれるＳＡを取得しようとしていることを確認できる。宣言メッセージの送信によるＳＡの使用を希望する方法の詳細については後述する。
なお、本開示は、ＳＡＥ Ｊ１９３９規格以外に適用されてもよい。例えば、本開示は、ＳＡＥ Ｊ１９３９規格を応用した規格（例えばＩＳＯ（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｏｒｇａｎｉｚａｔｉｏｎ ｆｏｒ Ｓｔａｎｄａｒｄｉｚａｔｉｏｎ）１１７８３、ＮＭＥＡ（Ｎａｔｉｏｎａｌ Ｍａｒｉｎｅ Ｅｌｅｃｔｒｏｎｉｃｓ Ａｓｓｏｃｉａｔｉｏｎ）２０００、ＩＳＯ１１９９２又はＦＭＳ（Ｆｌｅｅｔ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ））等に適用できる。
［宣言メッセージ］
次に、各ＥＣＵ１００がネットワーク３００においてＳＡの使用を希望する方法について説明する。
各ＥＣＵ１００は、情報処理システム１において他のＥＣＵ１００に自身を認識させるためのＳＡを、他のＥＣＵ１００と競合しないように使用するために、宣言メッセージをネットワーク３００に送信する。ここで、ＳＡＥ Ｊ１９３９規格における、宣言メッセージ（ＡＣＬメッセージ）の送信によるＳＡの使用を希望する際のルールについて図３を用いて説明する。
図３は、宣言メッセージの送信によるＳＡの使用を希望する際のルールを説明するためのシーケンス図である。
まず、ＥＣＵ１００は、起動する（ステップＳ１１）。複数のＥＣＵ１００のそれぞれは、起動後に、自身の希望する８ビットのＳＡを取得するための動作を行う。
ＥＣＵ１００は、起動後の初期化が完了すると（ステップＳ１２）、自身の希望するＳＡ（例えばここではＳＡとしてＸを希望したとする）及び自身のＤＮ（例えばＮ）を含めた宣言メッセージをネットワーク３００へ送信する（ステップＳ１３）。つまり、ＥＣＵ１００は、このような宣言メッセージをネットワーク３００を介して他のＥＣＵ１００へブロードキャストすることにより、他のＥＣＵ１００に対して自身がＳＡとしてＸを使用しようとしていることを宣言する。
ＳＡＥ Ｊ１９３９規格では、複数のＥＣＵ１００のそれぞれは、宣言メッセージに対して異議がなければ、ＤＮとしてＮが割り当てられたＥＣＵ１００がＳＡとしてＸを使用することを記憶する。一方で、宣言メッセージに対して異議がある場合、例えば、ＳＡが競合している場合、宣言メッセージを受信してから規定時間（ＳＡＥ Ｊ１９３９規格では２５０ｍｓ）以内に当該宣言メッセージに対する応答を返信するというルールがある。このため、ＥＣＵ１００は、宣言メッセージを送信してから規定時間、送信した宣言メッセージに対する他のＥＣＵ１００からの応答（異議）がなかった場合、ＳＡとしてＸを自身が使用することを他のＥＣＵ１００が認めたとして、自身が使用を希望するＳＡを用いて、当該ＳＡを含む通常のメッセージのネットワーク３００への送信（周期的な送信）を開始する（ステップＳ１４）。通常のメッセージには、ＳＡとしてＸが含まれているため、他のＥＣＵ１００は、このメッセージに含まれるＳＡがＸであるということを確認することで、当該メッセージの送信元がＤＮとしてＮが割り当てられたＥＣＵ１００であると特定できる。
次に、ＳＡが競合したときのルールについて図４を用いて説明する。
図４は、ＳＡが競合したときのルールを説明するためのシーケンス図である。図４には、ＳＡが競合した場合に、ＳＡが競合したＥＣＵ１００が競合を解消してＳＡを取得するときの一例が示される。図４では、ＳＡが競合したＥＣＵ１００として、ＥＣＵ１００ａ及び１００ｂを例にあげて説明する。また、図４では、ＥＣＵ１００ａとＥＣＵ１００ｂとで直接通信が行われているように示されているが、実際にはネットワーク３００を介して通信が行われる。以下において、あるＥＣＵ１００と他のＥＣＵ１００とでメッセージ等を送受信するというような表現をする場合があるが、あるＥＣＵ１００がネットワーク３００へメッセージ等を送信し、他のＥＣＵ１００がネットワーク３００から当該メッセージ等を受信し、また、他のＥＣＵ１００がネットワーク３００へメッセージ等を送信し、あるＥＣＵ１００がネットワーク３００からメッセージ等を受信して、結果的にあるＥＣＵ１００と他のＥＣＵ１００とでメッセージ等を送受信することになるため、このように表現している。
図４に示されるように、ＥＣＵ１００ａは、起動し（ステップＳ２１）、起動後の初期化が完了すると（ステップＳ２２）、ネットワーク３００において自身が使用を希望するＳＡ（例えばここではＸ）及び自身のＤＮであるＮａを含めた宣言メッセージをＥＣＵ１００ｂへ送信する（ステップＳ２３）。
ＥＣＵ１００ｂは、例えば、ＥＣＵ１００ａの起動後に起動し（ステップＳ３１）、初期化が完了する前にＥＣＵ１００ａから宣言メッセージが送信されているため、ＥＣＵ１００ａからの宣言メッセージを受信できない。ＥＣＵ１００ａは、送信した宣言メッセージに対する応答を、ＥＣＵ１００ｂを含む他のＥＣＵ１００から受けないため、ＳＡとしてＸを使用して、ＳＡとしてＸを含む通常のメッセージの送信を開始する。
ＥＣＵ１００ｂは、起動後の初期化が完了すると（ステップＳ３２）、ＥＣＵ１００ａがＳＡとしてＸの使用を希望したことに気付いていないため、ネットワーク３００において自身が使用を希望するＳＡ（例えばここではＥＣＵ１００ａが使用を希望し、使用を開始しているＳＡと同じＸ）及び自身のＤＮであるＮｂを含めた宣言メッセージをＥＣＵ１００ａへ送信する（ステップＳ３３）。
ＳＡＥ Ｊ１９３９では、ＳＡが競合した場合、ＤＮが示す値（具体的には６４ビットの整数値）が小さいＥＣＵ１００が優先的にＳＡを取得するというルールがある。このため、ＤＮが示す値の大きいＥＣＵ１００は、競合したＳＡの取得を断念して、別のＳＡを含む宣言メッセージを再度送信すると決められている。
ＥＣＵ１００ａは、ＳＡとしてＸを取得しており、ＥＣＵ１００ｂは、ＳＡとしてＸの使用を希望して宣言メッセージを送信したため、ＳＡの競合が生じる。ＥＣＵ１００ａのＤＮであるＮａの方が、ＥＣＵ１００ｂのＤＮであるＮｂよりも小さいとする。この場合、ＥＣＵ１００ａがＥＣＵ１００ｂよりも優先的にＳＡを取得するＥＣＵとなるため、ＥＣＵ１００ｂが送信した宣言メッセージに対する異議として、ＥＣＵ１００ａは、再度ＳＡとしてＸ及び自身のＤＮであるＮａを含む宣言メッセージをＥＣＵ１００ｂへ送信する（ステップＳ２４）。
ＥＣＵ１００ｂは、自身のＤＮであるＮｂよりも小さいＤＮであるＮａが割り当てられたＥＣＵ１００ａがＳＡとしてＸを優先的に使用することを認識し、別のＳＡとしてＹ（例えばＸに隣接するアドレスであり、Ｙ＝Ｘ＋１）を含む宣言メッセージを送信する（ステップＳ３４）。ＥＣＵ１００ｂは、宣言メッセージを送信した後規定時間（２５０ｍｓ）経過しても、他のＥＣＵ１００から、自身が送信した宣言メッセージに対する応答がなければ、ＳＡとしてＹを使用する。
［宣言メッセージの悪用］
次に、ＳＡＥ Ｊ１９３９規格の宣言メッセージが悪用され得ることについて図５を用いて説明する。
図５は、ＳＡＥ Ｊ１９３９規格の宣言メッセージが悪用され得ることを説明するためのフローチャートである。図５では、他のＥＣＵ１００から宣言メッセージを受信したときに、すでに希望するＳＡを使用して通常のメッセージの送信を開始しているＥＣＵ１００の動作を示すフローチャートである。
ＥＣＵ１００は、他のＥＣＵ１００から宣言メッセージを受信する（ステップＳ１０１）。例えば、ＥＣＵ１００は、他のＥＣＵ１００から自身が使用しているＳＡと同じＳＡを含む宣言メッセージを受信する。
ＥＣＵ１００は、自身のＤＮ（自ＤＮ）が示す値と受信した宣言メッセージに含まれるＤＮ（相手ＤＮ）が示す値とを比較し、自ＤＮが示す値が、相手ＤＮが示す値以上であるか否かを判定する（ステップＳ１０２）。
自ＤＮが示す値が、相手ＤＮが示す値よりも小さい場合には（ステップＳ１０２でＮｏ）、ＥＣＵ１００は、自身の方が相手よりも優先度が高いため、通常のメッセージの送信を停止せずに、他のＥＣＵ１００へ自身が取得したＳＡ及び自身のＤＮを含む宣言メッセージを送信する（ステップＳ１０４）。これにより、他のＥＣＵ１００は、そのＳＡを取得できないことを認識する。
一方で、自ＤＮが示す値が、相手ＤＮが示す値以上である場合（ステップＳ１０２でＹｅｓ）、ＥＣＵ１００は、相手の方が自身よりも優先度が高いため、通常のメッセージの送信を停止して、ＳＡの変更を試みる（ステップＳ１０３）。例えば、ＥＣＵ１００は、使用していたＳＡと隣接するアドレスのＳＡとを含む宣言メッセージをネットワーク３００に送信する。
ここで、ＳＡＥ Ｊ１９３９規格では、ステップＳ１０２に示すように、受信した宣言メッセージに含まれる相手ＤＮが示す値が自ＤＮが示す値と同じか小さい場合に、相手の方が自身よりも優先度が高いと判断するように規定されている。このため、ＥＣＵ１００は、自身のＳＡと同じＳＡを含む不正な宣言メッセージを受信した場合、通常のメッセージの送信を中止させられ、さらに、使用していたＳＡが変更させられる場合がある。ここで、正常時及び攻撃時（ネットワーク３００に不正が存在するとき）のネットワーク３００の状況について図６を用いて説明する。
図６は、正常時及び攻撃時のネットワーク３００の状況を説明するための図である。図６には、特定のＳＡ（例えば、ＳＡ＝Ｘ及びＳＡ＝Ｙ）を含むメッセージ（通常のメッセージ又は宣言メッセージ）の出現タイミングが示される。なお、図６及び後述する図９から図１２では、宣言メッセージを「ＡＣＬ」と記載し、通常のメッセージを周期がＴの周期信号と記載している。宣言メッセージは、ＳＡＥ Ｊ１９３９規格ではＡＣＬメッセージに対応し、また、通常のメッセージは、例えば、ＥＣＵ１００ａ～１００ｃ等からネットワーク３００に周期的に送信されるセンシングデータ等の周期信号であるためである。また、図６及び後述する図９から図１２では、正規のＥＣＵ１００による宣言メッセージを白塗りの三角で示し、正規のＥＣＵ１００による通常のメッセージを白塗りの四角で示し、不正なＥＣＵによる宣言メッセージを黒塗りの三角で示し、不正なＥＣＵによる通常のメッセージを黒塗りの四角で示している。
図６における「正常時のネットワーク状況」に示されるように、例えば、まず正規のＥＣＵ１００が起動し、初期化後、使用を希望するＳＡとしてＸを含む宣言メッセージをネットワーク３００に送信する。正規のＥＣＵ１００は、宣言メッセージを送信してから規定時間（２５０ｍｓ）、送信した宣言メッセージに対する他のＥＣＵ１００からの応答がなかった場合（図中の「ＡＣＬ成功」）、以降ＳＡとしてＸを使用する。そして、正規のＥＣＵ１００は、ＳＡとしてＸを含む通常のメッセージを周期的に送信する。これにより、他のＥＣＵ１００は、当該通常のメッセージを周期的に受信して、当該通常のメッセージに含まれるデータに応じた処理を行うことができる。例えば、油圧ポンプ１１０ｄを制御するＥＣＵ１００ｄは、ブーム１１０ａ、アーム１１０ｂ及びバケット１１０ｃの姿勢角及び角速度等のセンシングデータをＥＣＵ１００ａ～１００ｃから周期的に受信することで、ブーム１１０ａ、アーム１１０ｂ及びバケット１１０ｃの自動制御が可能となる。
一方で、図６における「攻撃時のネットワーク状況」に示されるように、正規のＥＣＵ１００が正常時と同じように、使用を希望するＳＡとしてＸを使用して通常のメッセージを送信しているときに、不正なＥＣＵによりＳＡとしてＸを含み、かつ、正規のＥＣＵ１００のＤＮと同じか小さいＤＮを含む宣言メッセージがネットワーク３００に送信されたとする。この場合、正規のＥＣＵ１００は、不正なＥＣＵの方が自身よりも優先度が高いため、通常のメッセージの送信を停止して、これまで使用していたＳＡとしてＸの使用を停止し、使用を希望するＳＡをＹとして再度宣言メッセージをネットワーク３００に送信する。なお、図６に示されるように、不正なＥＣＵのメッセージと正規のＥＣＵ１００のメッセージとは異なるタイミングでネットワーク３００に送信される。ＣＡＮでは、１つのネットワーク３００に同時に１つのデータしか存在できないためである。
正規のＥＣＵ１００は、宣言メッセージを送信してから規定時間（２５０ｍｓ）、送信した宣言メッセージに対する他のＥＣＵ１００からの応答がなかった場合、以降ＳＡとしてＹを使用する。このようにして、正規のＥＣＵ１００は、使用していたＳＡが変更させられる。
例えば、通常のメッセージとして、特定のＳＡと姿勢角及び角速度等のセンサ値とを含むデータを人が見ても、そのＳＡを使用しているＥＣＵ１００がどのＥＣＵかわからない。このため、人がブーム１１０ａを動かしたときにセンサ値が大きく変化しているデータに含まれるＳＡを確認することで、人は当該ＳＡがブーム１１０ａの姿勢角及び角速度等を検出するＥＣＵ１００ａに使用されていることを認識できる。同じように、人がアーム１１０ｂを動かしたときにセンサ値が大きく変化しているデータに含まれるＳＡを確認することで、人は当該ＳＡがアーム１１０ｂの姿勢角及び角速度等を検出するＥＣＵ１００ｂに使用されていることを認識できる。同じように、人がバケット１１０ｃを動かしたときにセンサ値が大きく変化しているデータに含まれるＳＡを確認することで、人は当該ＳＡがバケット１１０ｃの姿勢角及び角速度等を検出するＥＣＵ１００ｃに使用されていることを認識できる。
このように、建機における油圧ショベルでは、例えば、ブーム１１０ａ、アーム１１０ｂ及びバケット１１０ｃの姿勢角及び角速度等を検出するＥＣＵ１００ａ～１００ｃとそれぞれが使用しているＳＡとの対応関係が管理される。このため、ネットワーク３００における不正によってＥＣＵ１００が使用していたＳＡが変更させられた場合、当該対応関係と実際の対応関係とがずれてしまい問題が発生するおそれがある。
また、不正なＥＣＵは、正規のＥＣＵ１００になりすまして、これまで正規のＥＣＵ１００が送信していた通常のメッセージの周期がずれないように、正規のＥＣＵ１００に引き続いて、ＳＡとしてＸを含む通常のメッセージをネットワーク３００に周期的に送信する。例えば、油圧ポンプ１１０ｄを制御するＥＣＵ１００ｄは、正規のＥＣＵ１００ａ～１００ｃ等から受信する通常のメッセージ（周期信号）の周期がずれていないかを判定しており、受信する通常のメッセージの周期のずれからネットワーク３００における不正を検知できる。このため、不正なＥＣＵは周期のずれから不正が検知されないように正規のＥＣＵ１００ａ～１００ｃ等に巧妙になりすまして、これまで正規のＥＣＵ１００ａ～１００ｃ等が送信していた通常のメッセージの周期性がずれないように引き続き通常のメッセージを送信すると考えられる。したがって、ＥＣＵ１００ｄは、受信する通常のメッセージが正規のＥＣＵ１００ａ～１００ｃ等からのメッセージであると認識してしまい、不正なＥＣＵからの通常のメッセージに基づいて油圧ポンプ１１０ｄを制御する。その結果、例えば、実際にはバケット１１０ｃが地面に衝突しようとしているのに、不正なＥＣＵからは、ブーム１１０ａ、アーム１１０ｂ及びバケット１１０ｃ等の姿勢角及び角速度等が地面に衝突しないようなセンサ値を含む通常のメッセージが送信され、建機を破損させられてしまうおそれがある。
そこで、本開示では、複数のＥＣＵ１００が接続されたネットワーク３００に、ネットワーク３００における不正を検知するための情報処理装置１０が接続されている。以下では、情報処理装置１０の構成及び動作について説明する。
［情報処理装置の構成及び動作］
図７は、実施の形態における情報処理装置１０の一例を示すブロック図である。
図８は、実施の形態における情報処理装置１０の動作の一例を示すブロック図である。
情報処理装置１０は、不正検知部１１、出力部１２、無効化部１３及び送受信インタフェース１４を備える。
送受信インタフェース１４は、ネットワーク３００に流れるメッセージを受信し、また、ネットワーク３００に対してメッセージを送信する。送受信インタフェース１４は、例えば、情報処理装置１０に備えられた通信回路及び入出力インタフェース等により実現される。
不正検知部１１は、情報処理装置１０の特徴的な構成であり、ネットワーク３００における不正を検知するための機能構成要素である。不正検知部１１は、ネットワーク３００から受信した宣言メッセージに含まれるＳＡと、当該宣言メッセージを受信した時刻を基準とする時間と、当該宣言メッセージの前後にネットワーク３００から受信したメッセージとに基づいて、ネットワーク３００における不正を検知する（ステップＳ１１１）。
不正検知部１１による不正の検知方法について、本開示では、第一例から第四例をあげて説明する。
第一例から第三例では、不正検知部１１は、ネットワーク３００から受信した宣言メッセージに含まれるＳＡと、当該宣言メッセージを受信した時刻を基準とする所定の期間にネットワーク３００から受信したメッセージとに基づいて、ネットワーク３００における不正を検知する。例えば、第一例及び第二例では、不正検知部１１は、ネットワーク３００から受信した宣言メッセージに含まれるＳＡと、当該宣言メッセージを受信した時刻を基準とする所定の期間にネットワーク３００から受信した通常のメッセージとに基づいて、ネットワーク３００における不正を検知する。また、例えば、第三例では、不正検知部１１は、ネットワーク３００から受信した宣言メッセージに含まれるＳＡと、当該宣言メッセージを受信した時刻を基準とする所定の期間にネットワーク３００から受信した宣言メッセージとに基づいて、ネットワーク３００における不正を検知する。つまり、第一例及び第二例では、所定の期間にネットワーク３００から受信した通常のメッセージに基づいてネットワーク３００における不正の検知が行われ、第三例では、所定の期間にネットワーク３００から受信した宣言メッセージに基づいてネットワーク３００における不正の検知が行われる。
また、第四例では、不正検知部１１は、ネットワーク３００から受信した宣言メッセージに含まれるＳＡと、当該宣言メッセージを受信した時刻から所定の時間経過後にネットワーク３００から受信した複数の通常のメッセージとに基づいて、ネットワーク３００における不正を検知する。
不正検知部１１（情報処理装置１０）による不正の検知方法の第一例から第四例の詳細については、後述する図９から図１２を用いて説明する。
出力部１２は、不正検知部１１による検知の結果を出力する（ステップＳ１１２）。例えば、出力部１２は、当該検知の結果を無効化部１３に出力する。また、出力部１２は、当該検知の結果を、送受信インタフェース１４を介して情報処理装置１０が搭載された車両等のユーザ、又は、当該車両を管理する中央管理センタ等に向けて出力してもよい。
無効化部１３は、後述する第一例及び第二例の場合に、不正検知部１１による検知の結果が、宣言メッセージが不正なメッセージであることを示す場合、当該宣言メッセージを無効化する信号をネットワーク３００に送信する。当該宣言メッセージを無効化する信号は、例えば、エラーフレームであり、ネットワーク３００における正規のＥＣＵ１００が当該宣言メッセージ（不正なメッセージ）を受信し切る前に当該宣言メッセージを強制的にエラーにすることができる。すなわち、正規のＥＣＵ１００が当該宣言メッセージによってこれまで使用していたＳＡが変更させられてしまうことを抑制できる。
例えば、情報処理装置１０が備えるプロセッサが、情報処理装置１０が備えるメモリに記憶されたプログラムに従って動作することにより、不正検知部１１、出力部１２及び無効化部１３の機能が実現される。
［不正の検知方法の第一例］
図９は、実施の形態における情報処理装置１０の不正の検知方法の第一例を説明するための図である。図９には、特定のＳＡ（例えば、ＳＡ＝Ｘ）を含むメッセージ（通常のメッセージ又は宣言メッセージ）の出現タイミングが示される。
図９における「正常時のネットワーク状況」に示されるように、例えば、まず正規のＥＣＵ１００が起動し、初期化後、使用を希望するＳＡとしてＸを含む宣言メッセージをネットワーク３００に送信する。正規のＥＣＵ１００は、宣言メッセージを送信してから規定時間（２５０ｍｓ）、送信した宣言メッセージに対する他のＥＣＵ１００からの応答がなかった場合（図中の「ＡＣＬ成功」）、以降ＳＡとしてＸを使用する。そして、正規のＥＣＵ１００は、ＳＡとしてＸを含む通常のメッセージを周期的に送信する。その後、正規のＥＣＵ１００は、他のＥＣＵ１００から宣言メッセージを送信するように指示された場合（具体的には、他のＥＣＵ１００からリクエストフォーアドレスクレームメッセージを受信した場合）を除いては、再起動時にのみ宣言メッセージを送信する。このとき、正規のＥＣＵ１００は、再起動時には、まず初期化動作等をしており、ＳＡとしてＸを含む宣言メッセージを送信するまでの所定の期間として第１期間はＳＡとしてＸを含む通常のメッセージを送信することはない。このため、情報処理装置１０は、正常時に、ＳＡとしてＸを含む宣言メッセージをネットワーク３００から受信したときには、当該宣言メッセージを受信する前の第１期間に、ＳＡとしてＸを含む通常のメッセージを受信することはない。言い換えると、情報処理装置１０は、正常時に、ＳＡとしてＸを含む通常のメッセージを受信した後の第１期間に、ＳＡとしてＸを含む宣言メッセージを受信することはない。
一方で、図９における「攻撃時のネットワーク状況」に示されるように、正規のＥＣＵ１００が正常時と同じように、使用を希望するＳＡとしてＸを使用して通常のメッセージを送信しているときに、不正なＥＣＵによりＳＡとしてＸを含む宣言メッセージがネットワーク３００に送信されたとする。情報処理装置１０は、正常時には、当該宣言メッセージを受信した時刻を期間の終わりとする第１期間においてＳＡとしてＸを含む通常のメッセージを受信しないのに対して、このような攻撃時には、第１期間においてＳＡとしてＸを含む通常のメッセージを受信している。このため、当該時刻に受信した宣言メッセージは、正規のＥＣＵ１００から送信されたものではなく、不正なＥＣＵから送信されたものと判断できる。
したがって、情報処理装置１０は、所定の期間として、宣言メッセージを受信した時刻を期間の終わりとする第１期間にネットワーク３００から受信した通常のメッセージに含まれるＳＡが、当該時刻に受信した宣言メッセージに含まれるＳＡと同じである場合、当該時刻に受信した宣言メッセージが不正なメッセージであることを検知できる。
なお、第１期間にネットワーク３００から受信した通常のメッセージに含まれるＳＡが、当該時刻に受信した宣言メッセージに含まれるＳＡと同じであるか否かを判定する方法は特に限定されないが、例えば、以下の２つの方法がある。
例えば、情報処理装置１０は、ネットワーク３００から通常のメッセージを受信したときに第１期間のタイマを起動する。なお、通常のメッセージは周期的に送信されるため、情報処理装置１０は、ネットワーク３００から通常のメッセージを受信するごとに第１期間のタイマを起動し直す。そして、情報処理装置１０は、通常のメッセージに含まれるＳＡと同じＳＡを含む宣言メッセージを受信したときに、上記タイマ（つまり、当該ＳＡを含む通常のメッセージを最後に受信したときに起動したタイマ）を確認し、第１期間を満了しているかを判定する。情報処理装置１０は、当該タイマが第１期間を満了している場合には、当該宣言メッセージを正常なメッセージと判定し、当該タイマが第１期間を満了していない場合には、当該宣言メッセージを不正なメッセージと判定する。
また、例えば、情報処理装置１０は、ネットワーク３００から通常のメッセージを受信したときの時刻を記録する。なお、通常のメッセージは周期的に送信されるため、情報処理装置１０は、ネットワーク３００から通常のメッセージを受信するごとに最新の通常のメッセージを受信した時刻を記録し直す。そして、情報処理装置１０は、通常のメッセージに含まれるＳＡと同じＳＡを含む宣言メッセージを受信したときに、当該宣言メッセージを受信した時刻と、当該ＳＡを含む最新の通常のメッセージを受信した時刻との差が第１期間よりも大きいかを判定する。情報処理装置１０は、当該差が第１期間よりも大きい場合には、当該宣言メッセージを正常なメッセージと判定し、当該差が第１期間以下である場合には、当該宣言メッセージを不正なメッセージと判定する。
なお、第１期間は、例えば、ＥＣＵ１００が初期化にかかる期間に基づいて規定してもよい。また、第１期間は、通常のメッセージの周期に基づいて規定してもよく、例えば、通常のメッセージの周期をＴとしたときに２Ｔとしてもよい。
［不正の検知方法の第二例］
図１０は、実施の形態における情報処理装置１０の不正の検知方法の第二例を説明するための図である。図１０には、特定のＳＡ（例えば、ＳＡ＝Ｘ）を含むメッセージ（通常のメッセージ又は宣言メッセージ）の出現タイミングが示される。
図１０における「正常時のネットワーク状況」に示されるように、例えば、まず正規のＥＣＵ１００が起動し、初期化後、使用を希望するＳＡとしてＸを含む宣言メッセージをネットワーク３００に送信する。正規のＥＣＵ１００は、宣言メッセージを送信してから規定時間（２５０ｍｓ）、送信した宣言メッセージに対する他のＥＣＵ１００からの応答がなかった場合（図中の「ＡＣＬ成功」）、以降ＳＡとしてＸを使用する。そして、正規のＥＣＵ１００は、ＳＡとしてＸを含む通常のメッセージを周期的に送信する。その後、正規のＥＣＵ１００は、例えば再起動したとする。この場合も、正規のＥＣＵ１００は、初期化後、使用を希望するＳＡとしてＸを含む宣言メッセージをネットワーク３００に送信する。正規のＥＣＵ１００は、宣言メッセージを送信してから規定時間（２５０ｍｓ）、送信した宣言メッセージに対する他のＥＣＵ１００からの応答がなかった場合（図中の「ＡＣＬ成功」）、再度ＳＡとしてＸを使用する。そして、正規のＥＣＵ１００は、ＳＡとしてＸを含む通常のメッセージを再度周期的に送信する。このとき、正規のＥＣＵ１００は、ＳＡとしてＸを含む宣言メッセージを送信してから規定時間（例えば２５０ｍｓ）、送信した宣言メッセージに対する他のＥＣＵ１００からの応答がないかを待ってから、ＳＡとしてＸを含む通常のメッセージを送信し始める。すなわち、正規のＥＣＵ１００は、ＳＡとしてＸを含む宣言メッセージを送信した後所定の期間として第２期間は、ＳＡとしてＸを含む通常のメッセージを送信することはない。このため、情報処理装置１０は、正常時に、ＳＡとしてＸを含む宣言メッセージをネットワーク３００から受信したときには、当該宣言メッセージを受信した後の第２期間に、ＳＡとしてＸを含む通常のメッセージを受信することはない。
一方で、図１０における「攻撃時のネットワーク状況」に示されるように、正規のＥＣＵ１００が正常時と同じように、使用を希望するＳＡとしてＸを使用して通常のメッセージを送信しているときに、不正なＥＣＵによりＳＡとしてＸを含む宣言メッセージがネットワーク３００に送信されたとする。情報処理装置１０は、正常時には、当該宣言メッセージを受信した時刻を期間の始まりとする第２期間においてＳＡとしてＸを含む通常のメッセージを受信しないのに対して、このような攻撃時には、第２期間においてＳＡとしてＸを含む通常のメッセージを受信している。このため、当該時刻に受信した宣言メッセージは、正規のＥＣＵ１００から送信されたものではなく、不正なＥＣＵから送信されたものと判断できる。
したがって、情報処理装置１０は、所定の期間として、宣言メッセージを受信した時刻を期間の始まりとする第２期間にネットワーク３００から受信した通常のメッセージに含まれるＳＡが、当該時刻に受信した宣言メッセージに含まれるＳＡと同じである場合、当該時刻に受信した宣言メッセージが不正なメッセージであることを検知できる。
なお、第２期間にネットワーク３００から受信した通常のメッセージに含まれるＳＡが、上記時刻に受信した宣言メッセージに含まれるＳＡと同じであるか否かを判定する方法は特に限定されないが、例えば、以下の２つの方法がある。
例えば、情報処理装置１０は、ネットワーク３００から宣言メッセージを受信したときに第２期間のタイマを起動する。そして、情報処理装置１０は、当該宣言メッセージに含まれるＳＡと同じＳＡを含む通常のメッセージを受信したときに、上記タイマを確認し、第２期間を満了しているかを判定する。情報処理装置１０は、当該タイマが第２期間を満了している場合には、当該宣言メッセージを正常なメッセージと判定し、当該タイマが第２期間を満了していない場合には、当該宣言メッセージを不正なメッセージと判定する。
また、例えば、情報処理装置１０は、ネットワーク３００から宣言メッセージを受信したときの時刻を記録する。そして、情報処理装置１０は、当該宣言メッセージに含まれるＳＡと同じＳＡを含む通常のメッセージを受信したときに、当該宣言メッセージを受信した時刻と、当該ＳＡを含む通常のメッセージを受信した時刻との差が第２期間よりも大きいかを判定する。情報処理装置１０は、当該差が第２期間よりも大きい場合には、当該宣言メッセージを正常なメッセージと判定し、当該差が第２期間以下である場合には、当該宣言メッセージを不正なメッセージと判定する。
なお、第２期間は、例えば、規定時間（例えば２５０ｍｓ）に基づいて規定してもよい。
［不正の検知方法の第三例］
図１１は、実施の形態における情報処理装置１０の不正の検知方法の第三例を説明するための図である。図１１には、特定のＳＡ（例えば、ＳＡ＝Ｘ及びＳＡ＝Ｙ）を含むメッセージ（通常のメッセージ又は宣言メッセージ）の出現タイミングが示される。
図１１における「攻撃時のネットワーク状況」に示されるように、例えば、まず正規のＥＣＵ１００が起動し、初期化後、使用を希望するＳＡとしてＸを含む宣言メッセージをネットワーク３００に送信する。正規のＥＣＵ１００は、宣言メッセージを送信してから規定時間（２５０ｍｓ）、送信した宣言メッセージに対する他のＥＣＵ１００からの応答がなかった場合（図中の「ＡＣＬ成功」）、以降ＳＡとしてＸを使用する。そして、正規のＥＣＵ１００は、ＳＡとしてＸを含む通常のメッセージを周期的に送信しているときに、不正なＥＣＵによりＳＡとしてＸを含み、かつ、正規のＥＣＵ１００と同じＤＮを含む宣言メッセージがネットワーク３００に送信されたとする。このように、ネットワーク３００に不正が存在する場合、正規のＥＣＵ１００は、不正なＥＣＵが自身よりも優先度が高いため、通常のメッセージの送信を停止して、不正なＥＣＵが宣言メッセージを送信してから第３期間に、ＳＡの変更を試みる。例えば、正規のＥＣＵ１００は、使用していたＳＡと隣接するアドレスのＳＡとしてＹを含む宣言メッセージを第３期間にネットワーク３００に送信する。
また、図示していないが、正規のＥＣＵ１００が例えば再起動して、使用を希望するＳＡとしてＸを含む宣言メッセージをネットワーク３００に送信したときに、この当該宣言メッセージを妨害するように不正なＥＣＵによりＳＡとしてＹを含み、かつ、正規のＥＣＵ１００と同じＤＮを含む宣言メッセージが、正規のＥＣＵ１００が宣言メッセージを送信してから第３期間に、ネットワーク３００に送信される場合がある。この場合、ＳＡが競合しないため、それぞれ同じＤＮの２つのＥＣＵ（一方が不正なＥＣＵ）が互いに異なるＳＡを使用して通常のメッセージをネットワーク３００に送信することになり、ネットワーク３００では不具合が発生するおそれがある。
一方で、正常時には、ネットワーク３００には、ＳＡとしてＸ及び特定のＤＮを含む宣言メッセージが流れた後、第３期間に、ＳＡとしてＸと異なるＹ及び当該特定のＤＮを含む宣言メッセージが流れることはない。このため、情報処理装置１０は、正常時に、ＳＡとしてＸ及び特定のＤＮを含む宣言メッセージをネットワーク３００から受信したときには、当該宣言メッセージを受信した後の第３期間に、ＳＡとしてＸとは異なるＹ及び当該ＤＮを含む宣言メッセージを受信することはない。
したがって、情報処理装置１０は、所定の期間として、宣言メッセージ（第１宣言メッセージと呼ぶ）を受信した時刻を期間の始まりとする第３期間にネットワーク３００から受信した宣言メッセージ（第２宣言メッセージと呼ぶ）に含まれるＤＮが第１宣言メッセージに含まれるＤＮと同じであり、かつ、第２宣言メッセージに含まれるＳＡが第１宣言メッセージに含まれるＳＡと異なる場合、第１宣言メッセージ又は第２宣言メッセージが不正なメッセージであることを検知できる。
なお、第３期間にネットワーク３００から受信した第２宣言メッセージに含まれるＤＮが、第１宣言メッセージに含まれるＤＮと同じであり、かつ、第２宣言メッセージに含まれるＳＡが第１宣言メッセージに含まれるＳＡと異なるか否かを判定する方法は特に限定されないが、例えば、以下の２つの方法がある。
例えば、情報処理装置１０は、ネットワーク３００から第１宣言メッセージを受信したときに第３期間のタイマを起動する。そして、情報処理装置１０は、第１宣言メッセージに含まれるＤＮと同じＤＮを含み、第１宣言メッセージに含まれるＳＡと異なるＳＡを含む第２宣言メッセージを受信したときに、上記タイマを確認し、第３期間を満了しているかを判定する。情報処理装置１０は、当該タイマが第３期間を満了している場合には、第１宣言メッセージ及び第２宣言メッセージを正常なメッセージと判定し、当該タイマが第３期間を満了していない場合には、第１宣言メッセージ又は第２宣言メッセージを不正なメッセージと判定する。
また、例えば、情報処理装置１０は、ネットワーク３００から第１宣言メッセージを受信したときの時刻を記録する。そして、情報処理装置１０は、第１宣言メッセージに含まれるＤＮと同じＤＮを含み、第１宣言メッセージに含まれるＳＡと異なるＳＡを含む第２宣言メッセージを受信したときに、第１宣言メッセージを受信した時刻と、第２宣言メッセージを受信した時刻との差が第３期間よりも大きいかを判定する。情報処理装置１０は、当該差が第３期間よりも大きい場合には、第１宣言メッセージ及び第２宣言メッセージを正常なメッセージと判定し、当該差が第３期間以下である場合には、第１宣言メッセージ又は第２宣言メッセージを不正なメッセージと判定する。
なお、第３期間は、例えば、正規のＥＣＵ１００が競合するＳＡを含む宣言メッセージを受信したときに、別のＳＡを選択して宣言メッセージを送信するまでにかかる時間に基づいて規定してもよい。
［不正の検知方法の第四例］
図１２は、実施の形態における情報処理装置１０の不正の検知方法の第四例を説明するための図である。図１２には、特定のＳＡ（例えば、ＳＡ＝Ｘ及びＳＡ＝Ｙ）を含むメッセージ（通常のメッセージ又は宣言メッセージ）の出現タイミングが示される。
図１２における「攻撃時のネットワーク状況」に示されるように、例えば、まず正規のＥＣＵ１００が起動し、初期化後、使用を希望するＳＡとしてＸを含む宣言メッセージをネットワーク３００に送信する。正規のＥＣＵ１００は、宣言メッセージを送信してから規定時間（２５０ｍｓ）、送信した宣言メッセージに対する他のＥＣＵ１００からの応答がなかった場合（図中の「ＡＣＬ成功」）、以降ＳＡとしてＸを使用する。そして、正規のＥＣＵ１００は、ＳＡとしてＸを含む通常のメッセージを周期的に送信しているときに、不正なＥＣＵによりＳＡとしてＸを含み、正規のＥＣＵ１００のＤＮと同じか小さいＤＮを含む宣言メッセージがネットワーク３００に送信されたとする。このように、ネットワーク３００に不正が存在する場合、正規のＥＣＵ１００は、不正なＥＣＵが自身よりも優先度が高いため、通常のメッセージの送信を停止して、ＳＡの変更を試み、ＳＡとしてＹを使用する。そして、正規のＥＣＵ１００は、不正なＥＣＵが宣言メッセージを送信してから所定の時間経過後にＳＡとしてＹを含む通常のメッセージの送信を開始する。一方で、不正なＥＣＵは、ＳＡとしてＸを含む宣言メッセージを送信した後、ＳＡとしてＸを含む通常のメッセージの送信を開始する。
つまり、ネットワーク３００には、不正なＥＣＵによる通常のメッセージであって、正規のＥＣＵ１００が元々使用していたＳＡとしてＸを含む通常のメッセージと、正規のＥＣＵ１００による変更後のＳＡとしてＹを含む通常のメッセージとが流れることになる。なお、正規のＥＣＵ１００は、使用しているＳＡが変更された場合であっても、通常のメッセージに含まれる識別子（ＰＧＮ）は変更前と同じとなっている。不正なＥＣＵによる通常のメッセージは、正規のＥＣＵ１００による通常のメッセージになりすますため、正規のＥＣＵ１００による通常のメッセージと同じ識別子（ＰＧＮ）を含むことになる。
したがって、情報処理装置１０は、宣言メッセージを受信してから所定の時間経過後に受信した複数の通常のメッセージのうち、一の通常のメッセージに当該宣言メッセージに含まれるＳＡが含まれ、他の一の通常のメッセージに当該宣言メッセージに含まれるＳＡと異なるＳＡが含まれており、かつ、一の通常のメッセージ及び他の一の通常のメッセージに互いに同じ識別子が含まれている場合、ネットワーク３００に不正が存在することを検知できる。
なお、所定の時間は、例えば、規定時間（例えば２５０ｍｓ）に基づいて規定してもよい。
また、第四例において、正規のＥＣＵ１００のＤＮと不正なＥＣＵのＤＮが同じ場合、第三例と同じネットワーク状況になる。つまり、第四例は、第三例に適用することもできる。
［効果等］
情報処理装置１０は、複数のＥＣＵ１００が接続されたネットワーク３００における不正を検知するための装置である。複数のＥＣＵ１００のそれぞれは、ネットワーク３００において使用を希望するＳＡを主張する宣言メッセージをネットワーク３００に送信した後、当該ＳＡを含む通常のメッセージのネットワーク３００への送信を開始する装置である。情報処理装置１０は、ネットワーク３００から受信した宣言メッセージに含まれるＳＡと、当該宣言メッセージを受信した時刻を基準とする時間と、当該宣言メッセージの前後にネットワーク３００から受信したメッセージとに基づいて、ネットワーク３００における不正を検知する不正検知部１１と、当該検知の結果を出力する出力部１２と、を備える。
特定のＳＡを含む宣言メッセージがネットワーク３００に流れたとき、当該宣言メッセージがネットワーク３００に流れた前後に、ネットワーク３００に流れたメッセージ（例えば、通常のメッセージ又は他の宣言メッセージ）には、正常時には、当該特定のＳＡと、当該宣言メッセージを受信した時刻を基準とする時間とに基づいた規則性が存在する。したがって、情報処理装置１０は、当該宣言メッセージをネットワーク３００から受信した前後に、その規則性から逸脱したメッセージをネットワーク３００から受信した場合、ネットワーク３００に不正があることを検知できる。すなわち、不正の検知のために、認証及び鍵共有のための通信が行われないため、当該通信による遅延が発生せず、また、通常のメッセージ内にＭＡＣを格納するためのフィールドが不要であり、通常のメッセージを送信するのに要する時間が増加しないことから、通信品質の劣化を抑制しつつ、ネットワーク３００における不正を検知できる。
また、不正検知部１１は、ネットワーク３００から受信した宣言メッセージに含まれるＳＡと、当該宣言メッセージを受信した時刻を基準とする所定の期間にネットワーク３００から受信したメッセージとに基づいて、ネットワーク３００における不正を検知するとしてもよい。
特定のＳＡを含む宣言メッセージがネットワーク３００に流れたとき、当該宣言メッセージがネットワーク３００に流れた時刻を基準とする所定の期間にネットワーク３００に流れたメッセージには、正常時には、当該特定のＳＡに基づいた規則性が存在する。したがって、情報処理装置１０は、当該宣言メッセージをネットワーク３００から受信した時刻を基準とする所定の期間に、その規則性から逸脱したメッセージをネットワーク３００から受信した場合、ネットワーク３００に不正があることを検知できる。
また、不正検知部１１は、ネットワーク３００から受信した宣言メッセージに含まれるＳＡと、当該宣言メッセージを受信した時刻を基準とする所定の期間にネットワーク３００から受信した通常のメッセージとに基づいて、ネットワーク３００における不正を検知するとしてもよい。
特定のＳＡを含む宣言メッセージがネットワーク３００に流れたとき、当該宣言メッセージがネットワーク３００に流れた時刻を基準とする所定の期間にネットワーク３００に流れた通常のメッセージには、正常時には、当該特定のＳＡに基づいた規則性が存在する。したがって、情報処理装置１０は、当該宣言メッセージをネットワーク３００から受信した時刻を基準とする所定の期間に、その規則性から逸脱した通常のメッセージをネットワーク３００から受信した場合、ネットワーク３００に不正があることを検知できる。
また、不正検知部１１は、所定の期間として、宣言メッセージを受信した時刻を期間の終わりとする第１期間にネットワーク３００から受信した通常のメッセージに含まれるＳＡが、当該時刻に受信した宣言メッセージに含まれるＳＡと同じである場合、当該時刻に受信した宣言メッセージが不正なメッセージであることを検知するとしてもよい。
正常時には、複数のＥＣＵ１００のそれぞれは、他のＥＣＵ１００から宣言メッセージを送信するように指示された場合を除いて、起動時又は再起動時にのみ宣言メッセージを送信する。すなわち、複数のＥＣＵ１００のそれぞれは、起動時又は再起動時には、初期化動作等をしており、特定のＳＡを含む宣言メッセージを送信するまでの第１期間は当該特定のＳＡを含む通常のメッセージを送信することはない。このため、情報処理装置１０は、正常時に、特定のＳＡを含む宣言メッセージをネットワーク３００から受信したときには、当該宣言メッセージを受信する前の第１期間に、当該特定のＳＡを含む通常のメッセージを受信することはない。言い換えると、情報処理装置１０は、正常時に、特定のＳＡを含む通常のメッセージを受信した後の第１期間に、当該特定のＳＡを含む宣言メッセージを受信することはない。したがって、情報処理装置１０は、所定の期間として、宣言メッセージを受信した時刻を期間の終わりとする第１期間にネットワーク３００から受信した通常のメッセージに含まれるＳＡが、当該時刻に受信した宣言メッセージに含まれるＳＡと同じである場合、当該時刻に受信した宣言メッセージが不正なメッセージであることを検知できる。
また、情報処理装置１０は、さらに、不正検知部１１の検知の結果が、上記時刻に受信した宣言メッセージが不正なメッセージであることを示す場合、当該宣言メッセージを無効化する信号をネットワーク３００に送信する無効化部１３を備えるとしてもよい。
複数のＥＣＵ１００のそれぞれは、他のＥＣＵ１００から受信した宣言メッセージの内容によっては、自身が使用しているＳＡを変更するように動作する。すなわち、複数のＥＣＵ１００のそれぞれは、不正な宣言メッセージによって、使用しているＳＡが変更されるおそれがある。これに対して、情報処理装置１０は、ネットワーク３００に流れた不正な宣言メッセージを検知してすぐに（例えば、ＥＣＵ１００がネットワーク３００から不正な宣言メッセージを受信し切る前に）、不正な宣言メッセージを無効化することで、ＥＣＵ１００が使用しているＳＡが変更されることを抑制できる。
また、不正検知部１１は、所定の期間として、宣言メッセージを受信した時刻を期間の始まりとする第２期間にネットワーク３００から受信した通常のメッセージに含まれるＳＡが、当該時刻に受信した宣言メッセージに含まれるＳＡと同じである場合、当該時刻に受信した宣言メッセージが不正なメッセージであることを検知するとしてもよい。
正常時には、複数のＥＣＵ１００のそれぞれは、特定のＳＡを含む宣言メッセージを送信した後、規定時間（例えば２５０ｍｓ）、送信した宣言メッセージに対する他のＥＣＵ１００からの応答がないかを待ってから、当該特定のＳＡを含む通常のメッセージを送信し始める。すなわち、複数のＥＣＵ１００のそれぞれは、特定のＳＡを含む宣言メッセージを送信した後第２期間は、当該特定のＳＡを含む通常のメッセージを送信することはない。このため、情報処理装置１０は、正常時に、特定のＳＡを含む宣言メッセージをネットワーク３００から受信したときには、当該宣言メッセージを受信した後の第２期間に、当該特定のＳＡを含む通常のメッセージを受信することはない。したがって、情報処理装置１０は、所定の期間として、当該宣言メッセージを受信した時刻を期間の始まりとする第２期間にネットワーク３００から受信した通常のメッセージに含まれるＳＡが、当該時刻に受信した宣言メッセージに含まれるＳＡと同じである場合、当該時刻に受信した宣言メッセージが不正なメッセージであることを検知できる。
また、不正検知部１１は、ネットワーク３００から受信した宣言メッセージに含まれるＳＡと、当該宣言メッセージを受信した時刻を基準とする所定の期間にネットワーク３００から受信した宣言メッセージとに基づいて、ネットワーク３００における不正を検知するとしてもよい。
特定のＳＡを含む宣言メッセージがネットワーク３００に流れたとき、当該宣言メッセージがネットワーク３００に流れた時刻を基準とする所定の期間にネットワーク３００に流れた当該宣言メッセージとは異なる他の宣言メッセージには、正常時には、当該特定のＳＡに基づいた規則性が存在する。したがって、情報処理装置１０は、当該宣言メッセージをネットワーク３００から受信した時刻を基準とする所定の期間に、その規則性から逸脱した他の宣言メッセージをネットワーク３００から受信した場合、ネットワーク３００に不正があることを検知できる。
また、複数のＥＣＵ１００のそれぞれがネットワーク３００に送信する宣言メッセージは、さらに、複数のＥＣＵ１００のそれぞれに予め割り振られたデバイス固有のＤＮを含む。不正検知部１１は、所定の期間として、宣言メッセージを受信した時刻を期間の始まりとする第３期間にネットワーク３００から受信した宣言メッセージに含まれるＤＮが当該時刻に受信した宣言メッセージに含まれるＤＮと同じであり、かつ、第３期間に受信した宣言メッセージに含まれるＳＡが当該時刻に受信した宣言メッセージに含まれるＳＡと異なる場合、当該時刻に受信した宣言メッセージ又は第３期間に受信した宣言メッセージが不正なメッセージであることを検知するとしてもよい。
正常時には、ネットワーク３００には、特定のＳＡ及び特定のＤＮを含む宣言メッセージが流れた後、第３期間に、当該特定のＳＡと異なるＳＡ及び当該特定のＤＮを含む宣言メッセージが流れることはない。このため、情報処理装置１０は、正常時に、特定のＳＡ及び特定のＤＮを含む宣言メッセージをネットワーク３００から受信したときには、当該宣言メッセージを受信した後の第３期間に、当該特定のＳＡとは異なるＳＡ及び当該ＤＮを含む宣言メッセージを受信することはない。したがって、情報処理装置１０は、所定の期間として、宣言メッセージ（第１宣言メッセージと呼ぶ）を受信した時刻を期間の始まりとする第３期間にネットワーク３００から受信した宣言メッセージ（第２宣言メッセージと呼ぶ）に含まれるＤＮが第１宣言メッセージに含まれるＤＮと同じであり、かつ、第２宣言メッセージに含まれるＳＡが第１宣言メッセージに含まれるＳＡと異なる場合、第１宣言メッセージ又は第２宣言メッセージが不正なメッセージであることを検知できる。
また、不正検知部１１は、ネットワーク３００から受信した宣言メッセージに含まれるＳＡと、当該宣言メッセージを受信した時刻から所定の時間経過後にネットワーク３００から受信した複数の通常のメッセージとに基づいて、ネットワーク３００における不正を検知するとしてもよい。
特定のＳＡを含む宣言メッセージがネットワーク３００に流れたとき、当該宣言メッセージがネットワーク３００に流れた時刻から所定の時間経過後にネットワーク３００に流れた複数の通常のメッセージには、正常時には、当該特定のＳＡに基づいた規則性が存在する。したがって、情報処理装置１０は、当該宣言メッセージをネットワーク３００から受信した時刻から所定の時間経過後に、その規則性から逸脱した通常のメッセージをネットワーク３００から受信した場合、ネットワーク３００に不正があることを検知できる。
また、複数のＥＣＵ１００のそれぞれがネットワーク３００に送信する通常のメッセージは、さらに、当該通常のメッセージのフォーマットを一意に決定する識別子を含む。不正検知部１１は、所定の時間経過後に受信した複数の通常のメッセージのうち、一の通常のメッセージに上記時刻に受信した宣言メッセージに含まれるＳＡが含まれ、他の一の通常のメッセージに当該時刻に受信した宣言メッセージに含まれるＳＡと異なるＳＡが含まれており、かつ、一の通常のメッセージ及び他の一の通常のメッセージに互いに同じ識別子が含まれている場合、ネットワーク３００に不正が存在することを検知するとしてもよい。
複数のＥＣＵ１００のそれぞれは、他のＥＣＵ１００から受信した宣言メッセージの内容によっては、自身が使用しているＳＡを変更するように動作する。すなわち、複数のＥＣＵ１００のそれぞれは、不正な宣言メッセージによって、使用しているＳＡが変更されるおそれがある。このため、ネットワーク３００が攻撃された場合、ネットワーク３００には、不正な通常のメッセージであって、正規のＥＣＵ１００が元々使用していたＳＡを含む通常のメッセージと、正規のＥＣＵ１００による変更後のＳＡを含む通常のメッセージとが流れることになる。なお、正規のＥＣＵ１００は、使用しているＳＡが変更された場合であっても、通常のメッセージに含まれる識別子は変更前と同じとなっている。不正なＥＣＵによる通常のメッセージは、正規のＥＣＵ１００による通常のメッセージになりすますため、正規のＥＣＵ１００による通常のメッセージと同じ識別子を含むことになる。したがって、情報処理装置１０は、所定の時間経過後に受信した複数の通常のメッセージのうち、一の通常のメッセージに宣言メッセージに含まれるＳＡが含まれ、他の一の通常のメッセージに当該宣言メッセージに含まれるＳＡと異なるＳＡが含まれており、かつ、一の通常のメッセージ及び他の一の通常のメッセージに互いに同じ識別子が含まれている場合、ネットワーク３００に不正が存在することを検知できる。
また、複数のＥＣＵ１００のそれぞれは、宣言メッセージを送信してから規定時間、送信した宣言メッセージに対する他のＥＣＵ１００からの応答がなかった場合に、ネットワーク３００において使用を希望するＳＡを含む通常のメッセージのネットワーク３００への送信を開始するとしてもよい。
このように、送信した宣言メッセージに対する他のＥＣＵ１００からの応答がなかった場合に、各ＥＣＵ１００は、以降希望するＳＡを使用して通常のメッセージをネットワーク３００へ送信できる。
また、ネットワーク３００は、ＳＡＥ Ｊ１９３９規格に基づくＣＡＮであり、宣言メッセージは、ＳＡＥ Ｊ１９３９規格において規定されたＡＣＬメッセージであるとしてもよい。
このように、本開示は、ＳＡＥ Ｊ１９３９規格に基づくＣＡＮに適用できる。
情報処理システム１は、情報処理装置１０と、複数のＥＣＵ１００と、ネットワーク３００と、を備える。
これによれば、通信品質の劣化を抑制しつつ、ネットワーク３００における不正を検知できる情報処理システム１を提供できる。
（その他の実施の形態）
以上のように、本開示に係る技術の例示として実施の形態を説明した。しかしながら、本開示に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本開示の一実施の形態に含まれる。
例えば、上記実施の形態では、情報処理装置１０は、無効化部１３を備えているとして説明したが、備えていなくてもよい。
また、例えば、上記実施の形態では、情報処理システム１は、ＥＣＵ１００ａ～１００ｅを備えているとして説明したが、少なくとも２つのＥＣＵ１００を備えていればよい。
なお、本開示は、情報処理装置１０及び情報処理システム１として実現できるだけでなく、情報処理装置１０を構成する各構成要素が行うステップ（処理）を含む情報処理方法として実現できる。
例えば、情報処理方法におけるステップは、コンピュータ（コンピュータシステム）によって実行されてもよい。そして、本開示は、情報処理方法に含まれるステップを、コンピュータに実行させるためのプログラムとして実現できる。
当該プログラムは、複数のＥＣＵ１００が接続されたネットワーク３００における不正を検知するための情報処理装置１０によって実行されるプログラムであって、複数のＥＣＵ１００のそれぞれは、ネットワーク３００において使用を希望するＳＡを主張する宣言メッセージをネットワーク３００に送信した後、当該ＳＡを含む通常のメッセージのネットワーク３００への送信を開始する装置であり、図８に示されるように、当該プログラムは、ネットワーク３００から受信した宣言メッセージに含まれるＳＡと、当該宣言メッセージを受信した時刻を基準とする時間と、当該宣言メッセージの前後にネットワーク３００から受信したメッセージとに基づいて、ネットワーク３００における不正を検知する不正検知処理（ステップＳ１１１）と、当該検知の結果を出力する出力処理（ステップＳ１１２）と、を含む。
さらに、本開示は、そのプログラムを記録したＣＤ－ＲＯＭ等である非一時的なコンピュータ読み取り可能な記録媒体として実現できる。
例えば、本開示が、プログラム（ソフトウェア）で実現される場合には、コンピュータのＣＰＵ、メモリ及び入出力回路等のハードウェア資源を利用してプログラムが実行されることによって、各ステップが実行される。つまり、ＣＰＵがデータをメモリ又は入出力回路等から取得して演算したり、演算結果をメモリ又は入出力回路等に出力したりすることによって、各ステップが実行される。
また、上記実施の形態の情報処理装置１０に含まれる各構成要素は、専用又は汎用の回路として実現されてもよい。
また、上記実施の形態の情報処理装置１０に含まれる各構成要素は、集積回路（ＩＣ：Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）であるＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）として実現されてもよい。
また、集積回路はＬＳＩに限られず、専用回路又は汎用プロセッサで実現されてもよい。プログラム可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）、又は、ＬＳＩ内部の回路セルの接続及び設定が再構成可能なリコンフィギュラブル・プロセッサが、利用されてもよい。
さらに、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて、情報処理装置１０に含まれる各構成要素の集積回路化が行われてもよい。
その他、実施の形態に対して当業者が思いつく各種変形を施して得られる形態、本開示の趣旨を逸脱しない範囲で各実施の形態における構成要素及び機能を任意に組み合わせることで実現される形態も本開示に含まれる。
本開示は、例えばトラック、バス、建機車両、トラクタ、トレーラ又は船舶などにおけるネットワークに流れる不正なメッセージに対応するための装置に適用できる。
１ 情報処理システム
１０ 情報処理装置
１１ 不正検知部
１２ 出力部
１３ 無効化部
１４ 送受信インタフェース
１００、１００ａ、１００ｂ、１００ｃ、１００ｄ、１００ｅ ＥＣＵ
１１０ａ ブーム
１１０ｂ アーム
１１０ｃ バケット
１１０ｄ 油圧ポンプ
１１０ｅ エンジン
３００ ネットワーク

Claims (8)

  1. 複数の電子制御装置が接続されたネットワークにおける不正を検知するための情報処理装置であって、
    前記複数の電子制御装置のそれぞれは、前記ネットワークにおいて使用を希望するソースアドレスを主張する宣言メッセージを前記ネットワークに送信した後、当該ソースアドレスを含む通常のメッセージの前記ネットワークへの送信を開始する装置であり、
    前記情報処理装置は、
    前記ネットワークから受信した宣言メッセージに含まれるソースアドレスと、当該宣言メッセージを受信した時刻を基準とする時間と、当該宣言メッセージの前後に前記ネットワークから受信したメッセージとに基づいて、前記ネットワークにおける不正を検知する不正検知部と、
    前記検知の結果を出力する出力部と、を備え、
    前記不正検知部は、前記ネットワークから受信した宣言メッセージに含まれるソースアドレスと、当該宣言メッセージを受信した時刻を基準とする所定の期間に前記ネットワークから受信した宣言メッセージとに基づいて、前記ネットワークにおける不正を検知し、
    前記複数の電子制御装置のそれぞれが前記ネットワークに送信する宣言メッセージは、さらに、前記複数の電子制御装置のそれぞれに予め割り振られたデバイス固有のデバイスネームを含み、
    前記不正検知部は、前記所定の期間として、前記時刻を期間の始まりとする第３期間に前記ネットワークから受信した宣言メッセージに含まれるデバイスネームが前記時刻に受信した宣言メッセージに含まれるデバイスネームと同じであり、かつ、前記第３期間に受信した宣言メッセージに含まれるソースアドレスが前記時刻に受信した宣言メッセージに含まれるソースアドレスと異なる場合、前記時刻に受信した宣言メッセージ又は前記第３期間に受信した宣言メッセージが不正なメッセージであることを検知する、
    情報処理装置。
  2. 複数の電子制御装置が接続されたネットワークにおける不正を検知するための情報処理装置であって、
    前記複数の電子制御装置のそれぞれは、前記ネットワークにおいて使用を希望するソースアドレスを主張する宣言メッセージを前記ネットワークに送信した後、当該ソースアドレスを含む通常のメッセージの前記ネットワークへの送信を開始する装置であり、
    前記情報処理装置は、
    前記ネットワークから受信した宣言メッセージに含まれるソースアドレスと、当該宣言メッセージを受信した時刻を基準とする時間と、当該宣言メッセージの前後に前記ネットワークから受信したメッセージとに基づいて、前記ネットワークにおける不正を検知する不正検知部と、
    前記検知の結果を出力する出力部と、を備え、
    前記不正検知部は、前記ネットワークから受信した宣言メッセージに含まれるソースアドレスと、前記宣言メッセージを受信した時刻から所定の時間経過後に前記ネットワークから受信した複数の通常のメッセージとに基づいて、前記ネットワークにおける不正を検知する、
    情報処理装置。
  3. 前記複数の電子制御装置のそれぞれが前記ネットワークに送信する通常のメッセージは、さらに、当該通常のメッセージのフォーマットを一意に決定する識別子を含み、
    前記不正検知部は、前記所定の時間経過後に受信した複数の通常のメッセージのうち、一の通常のメッセージに前記時刻に受信した宣言メッセージに含まれるソースアドレスが含まれ、他の一の通常のメッセージに前記時刻に受信した宣言メッセージに含まれるソースアドレスと異なるソースアドレスが含まれており、かつ、前記一の通常のメッセージ及び前記他の一の通常のメッセージに互いに同じ前記識別子が含まれている場合、前記ネットワークに不正が存在することを検知する、
    請求項２に記載の情報処理装置。
  4. 前記複数の電子制御装置のそれぞれは、前記宣言メッセージを送信してから規定時間、送信した宣言メッセージに対する他の電子制御装置からの応答がなかった場合に、前記ネットワークにおいて使用を希望するソースアドレスを含む通常のメッセージの前記ネットワークへの送信を開始する、
    請求項１～３のいずれか１項に記載の情報処理装置。
  5. 前記ネットワークは、ＳＡＥ（Ｓｏｃｉｅｔｙ ｏｆ Ａｕｔｏｍｏｔｉｖｅ Ｅｎｇｉｎｅｅｒｓ） Ｊ１９３９規格に基づくＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）であり、
    前記宣言メッセージは、ＳＡＥ Ｊ１９３９規格において規定されたアドレスクレームメッセージである、
    請求項１～４のいずれか１項に記載の情報処理装置。
  6. 請求項１～５のいずれか１項に記載の情報処理装置と、
    前記複数の電子制御装置と、
    前記ネットワークと、を備える、
    情報処理システム。
  7. 複数の電子制御装置が接続されたネットワークにおける不正を検知するための情報処理装置によって実行されるプログラムであって、
    前記複数の電子制御装置のそれぞれは、前記ネットワークにおいて使用を希望するソースアドレスを主張する宣言メッセージを前記ネットワークに送信した後、当該ソースアドレスを含む通常のメッセージの前記ネットワークへの送信を開始する装置であり、
    前記プログラムは、
    前記ネットワークから受信した宣言メッセージに含まれるソースアドレスと、当該宣言メッセージを受信した時刻を基準とする時間と、当該宣言メッセージの前後に前記ネットワークから受信したメッセージとに基づいて、前記ネットワークにおける不正を検知する不正検知処理と、
    前記検知の結果を出力する出力処理と、を含み、
    前記不正検知処理では、前記ネットワークから受信した宣言メッセージに含まれるソースアドレスと、当該宣言メッセージを受信した時刻を基準とする所定の期間に前記ネットワークから受信した宣言メッセージとに基づいて、前記ネットワークにおける不正を検知し、
    前記複数の電子制御装置のそれぞれが前記ネットワークに送信する宣言メッセージは、さらに、前記複数の電子制御装置のそれぞれに予め割り振られたデバイス固有のデバイスネームを含み、
    前記不正検知処理は、前記所定の期間として、前記時刻を期間の始まりとする第３期間に前記ネットワークから受信した宣言メッセージに含まれるデバイスネームが前記時刻に受信した宣言メッセージに含まれるデバイスネームと同じであり、かつ、前記第３期間に受信した宣言メッセージに含まれるソースアドレスが前記時刻に受信した宣言メッセージに含まれるソースアドレスと異なる場合、前記時刻に受信した宣言メッセージ又は前記第３期間に受信した宣言メッセージが不正なメッセージであることを検知する、
    プログラム。
  8. 複数の電子制御装置が接続されたネットワークにおける不正を検知するための情報処理装置によって実行されるプログラムであって、
    前記複数の電子制御装置のそれぞれは、前記ネットワークにおいて使用を希望するソースアドレスを主張する宣言メッセージを前記ネットワークに送信した後、当該ソースアドレスを含む通常のメッセージの前記ネットワークへの送信を開始する装置であり、
    前記プログラムは、
    前記ネットワークから受信した宣言メッセージに含まれるソースアドレスと、当該宣言メッセージを受信した時刻を基準とする時間と、当該宣言メッセージの前後に前記ネットワークから受信したメッセージとに基づいて、前記ネットワークにおける不正を検知する不正検知処理と、
    前記検知の結果を出力する出力処理と、を含み、
    前記不正検知処理では、前記ネットワークから受信した宣言メッセージに含まれるソースアドレスと、前記宣言メッセージを受信した時刻から所定の時間経過後に前記ネットワークから受信した複数の通常のメッセージとに基づいて、前記ネットワークにおける不正を検知する、
    プログラム。
JP2019152453A 2019-08-23 2019-08-23 情報処理装置、情報処理システム及びプログラム Active JP7281714B2 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2019152453A JP7281714B2 (ja) 2019-08-23 2019-08-23 情報処理装置、情報処理システム及びプログラム
US16/994,935 US11632381B2 (en) 2019-08-23 2020-08-17 Information processing device, information processing system, and recording medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2019152453A JP7281714B2 (ja) 2019-08-23 2019-08-23 情報処理装置、情報処理システム及びプログラム

Publications (2)

Publication Number Publication Date
JP2021034850A JP2021034850A (ja) 2021-03-01
JP7281714B2 true JP7281714B2 (ja) 2023-05-26

Family

ID=74647356

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019152453A Active JP7281714B2 (ja) 2019-08-23 2019-08-23 情報処理装置、情報処理システム及びプログラム

Country Status (2)

Country Link
US (1) US11632381B2 (ja)
JP (1) JP7281714B2 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2023069364A (ja) * 2021-11-05 2023-05-18 トヨタ自動車株式会社 中継装置、通信方法及びコンピュータプログラム

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003218869A (ja) 2002-01-23 2003-07-31 Nec Corp 通信システム及びそれに用いる新規参加の通信装置検出方法
JP2012222527A (ja) 2011-04-06 2012-11-12 Toyota Motor Corp 車載ネットワーク、管理ノード、番号付与方法
WO2013171829A1 (ja) 2012-05-14 2013-11-21 トヨタ自動車 株式会社 車両用ネットワークの通信管理装置及び通信管理方法
US20150358351A1 (en) 2013-01-28 2015-12-10 Hitachi Automotive Systems, Ltd. Network device, and data sending and receiving system

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7725934B2 (en) * 2004-12-07 2010-05-25 Cisco Technology, Inc. Network and application attack protection based on application layer message inspection
US20080141372A1 (en) * 2006-12-12 2008-06-12 Privacy Networks, Inc. Electronic Data Integrity Checking and Validation
US9398043B1 (en) * 2009-03-24 2016-07-19 Juniper Networks, Inc. Applying fine-grain policy action to encapsulated network attacks
US8549644B2 (en) * 2011-03-28 2013-10-01 Mcafee, Inc. Systems and method for regulating software access to security-sensitive processor resources
US10320825B2 (en) * 2015-05-27 2019-06-11 Cisco Technology, Inc. Fingerprint merging and risk level evaluation for network anomaly detection
US20180351980A1 (en) * 2017-05-30 2018-12-06 Argus Cyber Security Ltd System and method for providing fleet cyber-security
US10462161B2 (en) * 2017-06-21 2019-10-29 GM Global Technology Operations LLC Vehicle network operating protocol and method
US20200389469A1 (en) * 2017-12-24 2020-12-10 Arilou Information Security Technologies Ltd. System and method for tunnel-based malware detection
CN108833410B (zh) * 2018-06-19 2020-11-06 网宿科技股份有限公司 一种针对HTTP Flood攻击的防护方法及系统
US11075930B1 (en) * 2018-06-27 2021-07-27 Fireeye, Inc. System and method for detecting repetitive cybersecurity attacks constituting an email campaign
US10868817B2 (en) * 2018-07-03 2020-12-15 Intel Corporation Systems and methods for neutralizing masquerading attacks in vehicle control systems

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003218869A (ja) 2002-01-23 2003-07-31 Nec Corp 通信システム及びそれに用いる新規参加の通信装置検出方法
JP2012222527A (ja) 2011-04-06 2012-11-12 Toyota Motor Corp 車載ネットワーク、管理ノード、番号付与方法
WO2013171829A1 (ja) 2012-05-14 2013-11-21 トヨタ自動車 株式会社 車両用ネットワークの通信管理装置及び通信管理方法
CN104272663A (zh) 2012-05-14 2015-01-07 丰田自动车株式会社 车辆用网络的通信管理装置及通信管理方法
US20150358351A1 (en) 2013-01-28 2015-12-10 Hitachi Automotive Systems, Ltd. Network device, and data sending and receiving system

Also Published As

Publication number Publication date
JP2021034850A (ja) 2021-03-01
US20210058413A1 (en) 2021-02-25
US11632381B2 (en) 2023-04-18

Similar Documents

Publication Publication Date Title
US10104094B2 (en) On-vehicle communication system
US20200137099A1 (en) Abnormality detection apparatus and abnormality detection method
JP2018011288A (ja) 不正制御抑止方法、不正制御抑止装置及び車載ネットワークシステム
US20200021611A1 (en) Fraud detection method, fraud detection device, and recording medium
US11647045B2 (en) Monitoring a network connection for eavesdropping
JP2019008618A (ja) 情報処理装置、情報処理方法及びプログラム
EP3565212B1 (en) Method for providing an authenticated update in a distributed network
US20200389436A1 (en) On-vehicle communication device, communication control method, and communication control program
US10721241B2 (en) Method for protecting a vehicle network against manipulated data transmission
US20210258187A1 (en) Electronic control device, electronic control method, and recording medium
CN111788796B (zh) 车载通信系统、交换装置、验证方法和计算机可读存储介质
JP7281714B2 (ja) 情報処理装置、情報処理システム及びプログラム
US10250434B2 (en) Electronic control apparatus
KR20210074067A (ko) 차량용 이더넷 기반의 접근제어 목록 관리 방법 및 이를 위한 장치
KR102204656B1 (ko) 일반 can 메시지의 전송지연을 예측하는 can 네트워크에 대한 메시지플러딩 공격 완화 시스템
JP7336770B2 (ja) 情報処理装置、情報処理システム及びプログラム
JP7117559B2 (ja) 電子制御装置、電子制御システム及びプログラム
CN113853769B (zh) 设定装置、通信系统以及车辆通信管理方法
WO2018037894A1 (ja) 車両用認証装置
JP2020096320A (ja) 不正信号処理装置
US20240073201A1 (en) Vehicle network security
US20240129301A1 (en) Vehicle network security
US20210021618A1 (en) Data communication control device, non-volatile memory, and vehicle control system
CN115842694A (zh) 用于识别对总线系统的操纵的方法
JP2023122636A (ja) 車両のソフトウェアの改竄の軽減

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20220331

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20230126

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20230207

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20230316

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20230418

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20230426

R151 Written notification of patent or utility model registration

Ref document number: 7281714

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151

S111 Request for change of ownership or part of ownership

Free format text: JAPANESE INTERMEDIATE CODE: R313113

SZ03 Written request for cancellation of trust registration

Free format text: JAPANESE INTERMEDIATE CODE: R313Z03

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350