JP7435616B2 - 検知装置、車両、検知方法および検知プログラム - Google Patents

Description

本開示は、検知装置、車両、検知方法および検知プログラムに関する。
この出願は、２０１９年９月３０日に出願された日本出願特願２０１９－１７８１７７号を基礎とする優先権を主張し、その開示のすべてをここに取り込む。

特許文献１（特開２０１４－１４６８６８号公報）には、以下のようなネットワーク装置が開示されている。すなわち、ネットワーク装置は、データを受信する通信部と、データを受信した受信時間を管理する時間管理部と、受信したデータを処理する制御部とを有し、周期的にデータを受信して処理するネットワーク装置において、前記制御部は、前記通信部で受信したデータが有する識別子毎に前記時間管理部における受信時刻を記録し、基準とするデータと同じ識別子を持つデータを受信した間隔が所定周期より短い第１のデータを受信した場合に、前記基準とするデータを受信した時刻から前記所定周期経過するまでに前記第１のデータと同じ識別子を持つ第２のデータを受信した時には、周期異常検出時処理を行い、前記所定周期経過するまでに前記第１のデータと同じ識別子を持つデータを受信しなかった時には、前記第１のデータについて所定の処理を行う。

また、特許文献２（特開２０１８－１８２７２５号公報）には、以下のような不正通信検知基準決定方法が開示されている。すなわち、不正通信検知基準決定方法は、記憶部を含む情報処理システムで実行される、ネットワーク及び前記ネットワークに接続される１以上の電子制御ユニットを含む車載ネットワークシステムにおける不正通信の検知に用いる基準メッセージの決定方法であって、前記車載ネットワークシステムに対する攻撃メッセージに関する情報から、前記攻撃メッセージの特徴を示す通信パターンを識別する通信パターン識別ステップと、前記ネットワークに送出されたメッセージが、前記通信パターン識別ステップで識別された通信パターンに適合するか否かを判定する通信パターン判定ステップと、前記ネットワークに送出されるメッセージが攻撃メッセージであるか否かの判定の基準に用いる基準メッセージを、前記通信パターン判定ステップにおける判定結果を用いて決定する基準メッセージ決定ステップとを含む。

特開２０１４－１４６８６８号公報 特開２０１８－１８２７２５号公報

本開示の検知装置は、車載ネットワークにおける不正メッセージを検知する検知装置であって、前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視する監視部と、前記不正メッセージを検知する検知処理に用いられる基準時刻を生成する生成部と、前記監視部による監視結果に基づく前記対象メッセージの送信時刻に対応する時刻と、前記生成部によって生成された前記基準時刻との時間差に基づいて、前記検知処理を行う検知部と、前記検知処理において正常であると判定された前記対象メッセージの送信時刻に対応する時刻と前記基準時刻との前記時間差を用いて、前記時間差の統計値を更新する更新部とを備え、前記生成部は、前記検知処理において前記対象メッセージが異常であると判定された場合、最新の前記統計値を前記基準時刻に加えた値に基づいて、異常であると判定された前記対象メッセージの後に送信される前記対象メッセージについての前記検知処理に用いられる新たな前記基準時刻を生成する。

本開示の検知方法は、車載ネットワークにおける不正メッセージを検知する検知装置における検知方法であって、前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視するステップと、前記不正メッセージを検知する検知処理に用いられる基準時刻を生成するステップと、前記対象メッセージの監視結果に基づく前記対象メッセージの送信時刻に対応する時刻と、生成した前記基準時刻との時間差に基づいて、前記検知処理を行うステップと、前記検知処理において正常であると判定された前記対象メッセージの送信時刻に対応する時刻と前記基準時刻との前記時間差を用いて、前記時間差の統計値を更新するステップとを含み、前記基準時刻を生成するステップにおいては、前記検知処理において前記対象メッセージが異常であると判定された場合、最新の前記統計値を前記基準時刻に加えた値に基づいて、異常であると判定された前記対象メッセージの後に送信される前記対象メッセージについての前記検知処理に用いられる新たな前記基準時刻を生成する。

本開示の検知プログラムは、車載ネットワークにおける不正メッセージを検知する検知装置において用いられる検知プログラムであって、コンピュータを、前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視する監視部と、前記不正メッセージを検知する検知処理に用いられる基準時刻を生成する生成部と、前記監視部による監視結果に基づく前記対象メッセージの送信時刻に対応する時刻と、前記生成部によって生成された前記基準時刻との時間差に基づいて、前記検知処理を行う検知部と、前記検知処理において正常であると判定された前記対象メッセージの送信時刻に対応する時刻と前記基準時刻との前記時間差を用いて、前記時間差の統計値を更新する更新部として機能させるためのプログラムであり、前記生成部は、前記検知処理において前記対象メッセージが異常であると判定された場合、最新の前記統計値を前記基準時刻に加えた値に基づいて、異常であると判定された前記対象メッセージの後に送信される前記対象メッセージについての前記検知処理に用いられる新たな前記基準時刻を生成する、プログラムである。

本開示の一態様は、検知装置の一部または全部を実現する半導体集積回路として実現され得たり、検知装置を備えるシステムとして実現され得る。また、本開示の一態様は、検知装置を備えるシステムの一部または全部を実現する半導体集積回路として実現され得たり、中継装置を備えるシステムにおける処理のステップをコンピュータに実行させるためのプログラムとして実現され得る。

図１は、本開示の実施の形態に係る車載通信システムの構成を示す図である。 図２は、本開示の実施の形態に係るバス接続装置群の構成を示す図である。 図３は、本開示の実施の形態に係る車載通信システムにおけるゲートウェイ装置の構成を示す図である。 図４は、本開示の実施の形態に係る車載通信システムにおける制御装置およびゲートウェイ装置のハードウェア構成の一例を示す図である。 図５は、本開示の実施の形態に係る車載通信システムにおける対象メッセージの受信時刻の分布の一例を示す図である。 図６は、本開示の実施の形態に係る車載通信システムにおけるすべての対象メッセージを正当メッセージとしたときに算出されるマハラノビス距離の度数分布の一例を示す図である。 図７は、本開示の実施の形態に係る車載通信システムにおける対象メッセージの受信時刻の分布の他の例を示す図である。 図８は、本開示の実施の形態に係る車載通信システムにおける対象メッセージの受信時刻の分布の他の例を示す図である。 図９は、本開示の実施の形態に係る車載通信システムにおける対象メッセージの受信時刻の分布の他の例を示す図である。 図１０は、本開示の実施の形態に係る車載通信システムにおける対象メッセージの受信時刻の分布の他の例を示す図である。 図１１は、本開示の実施の形態に係る車載通信システムにおける対象メッセージの受信時刻の分布の他の例を示す図である。 図１２は、本開示の実施の形態に係る車載通信システムにおいてゲートウェイ装置が検知処理を行う際の動作手順の一例を定めたフローチャートである。 図１３は、本開示の実施の形態に係る車載通信システムのゲートウェイ装置における検知処理の一例を定めたフローチャートである。 図１４は、本開示の実施の形態に係る車載通信システムのゲートウェイ装置における基準時刻を生成する処理の一例を定めたフローチャートである。 図１５は、本開示の実施の形態に係る車載通信システムのゲートウェイ装置における初回の基準時刻を生成する処理の一例を定めたフローチャートである。 図１６は、本開示の実施の形態に係る車載ネットワークの接続トポロジの一例を示す図である。

従来、車載ネットワークにおけるセキュリティを向上させるための技術が開発されている。

［本開示が解決しようとする課題］
上述の特許文献１および２に記載の技術を超えて、車載ネットワークにおける不正メッセージをより正しく検知することを可能とする技術が望まれる。

本開示は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおける不正メッセージをより正しく検知することが可能な検知装置、車両、検知方法および検知プログラムを提供することである。

［本開示の効果］
本開示によれば、車載ネットワークにおける不正メッセージをより正しく検知することが可能である。

［本開示の実施形態の説明］
最初に、本開示の実施形態の内容を列記して説明する。

（１）本開示の実施の形態に係る検知装置は、車載ネットワークにおける不正メッセージを検知する検知装置であって、前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視する監視部と、前記不正メッセージを検知する検知処理に用いられる基準時刻を生成する生成部と、前記監視部による監視結果に基づく前記対象メッセージの送信時刻に対応する時刻と、前記生成部によって生成された前記基準時刻との時間差に基づいて、前記検知処理を行う検知部と、前記検知処理において正常であると判定された前記対象メッセージの送信時刻に対応する時刻と前記基準時刻との前記時間差を用いて、前記時間差の統計値を更新する更新部とを備え、前記生成部は、前記検知処理において前記対象メッセージが異常であると判定された場合、最新の前記統計値を前記基準時刻に加えた値に基づいて、異常であると判定された前記対象メッセージの後に送信される前記対象メッセージについての前記検知処理に用いられる新たな前記基準時刻を生成する。

このように、検知処理において正常であると判定された対象メッセージの送信時刻に対応する時刻と基準時刻との時間差を用いて統計値を更新するとともに、検知処理において対象メッセージが異常であると判定された場合、時間差の統計値を基準時刻に加えた値に基づいて新たな基準時刻を生成する構成により、不正メッセージの送信時刻に対応する時刻を基準に検知処理を行うことを回避することができるため、異常であると判定された対象メッセージの次に送信される対象メッセージについての検知処理における誤判定を抑制することができる。したがって、車載ネットワークにおける不正メッセージをより正しく検知することができる。

（２）好ましくは、前記検知部は、前記対象メッセージである第１の対象メッセージの送信時刻に対応する時刻と前記基準時刻との時間差、および前記第１の対象メッセージの後に送信される前記対象メッセージである第２の対象メッセージの送信時刻に対応する時刻と前記基準時刻との時間差に基づいて、前記第１の対象メッセージに関する異常を検知する。

このような構成により、たとえば、基準時刻を用いた検知処理において、正常であると判定される時間内に複数の対象メッセージが送信され、当該複数の対象メッセージに含まれる不正メッセージを正当メッセージであると誤判定した場合であっても、当該複数の対象メッセージは異常である可能性があると判断することができる。これにより、検知処理において検知することができなかった不正メッセージを、たとえばグレー判定することができる。

（３）好ましくは、前記生成部は、前記検知処理において前記対象メッセージが正常であると判定された場合、正常であると判定された前記対象メッセージの送信時刻に対応する時刻に基づいて、正常であると判定された前記対象メッセージの後に送信される前記対象メッセージについての前記検知処理に用いられる新たな前記基準時刻を生成する。

このような構成により、たとえば、正常であると判定された対象メッセージの実際の送信時刻に対応する時刻を新たな基準時刻とすることにより、通信遅延等による対象メッセージの送信時刻の変動を考慮した、より正確な検知処理を行うことができる。

（４）好ましくは、前記生成部は、前記基準時刻の生成において、前記対象メッセージが送信される際の調停処理による遅延時間を用いる。

このような構成により、たとえば、時間差の最新の統計値を基準時刻に加えることにより新たな基準時刻を生成する場合において、通信遅延等による対象メッセージの送信時刻の変動が考慮された基準時刻を用いて、より正確な検知処理を行うことができる。

（５）本開示の実施の形態に係る車両は、前記検知装置を備える。

このような構成により、検知装置を備える車両において、車載ネットワークにおける不正メッセージをより正しく検知することができる。

（６）本開示の実施の形態に係る検知方法は、車載ネットワークにおける不正メッセージを検知する検知装置における検知方法であって、前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視するステップと、前記不正メッセージを検知する検知処理に用いられる基準時刻を生成するステップと、前記対象メッセージの監視結果に基づく前記対象メッセージの送信時刻に対応する時刻と、生成した前記基準時刻との時間差に基づいて、前記検知処理を行うステップと、前記検知処理において正常であると判定された前記対象メッセージの送信時刻に対応する時刻と前記基準時刻との前記時間差を用いて、前記時間差の統計値を更新するステップとを含み、前記基準時刻を生成するステップにおいては、前記検知処理において前記対象メッセージが異常であると判定された場合、最新の前記統計値を前記基準時刻に加えた値に基づいて、異常であると判定された前記対象メッセージの後に送信される前記対象メッセージについての前記検知処理に用いられる新たな前記基準時刻を生成する。

このように、検知処理において正常であると判定された対象メッセージの送信時刻に対応する時刻と基準時刻との時間差を用いて統計値を更新するとともに、検知処理において対象メッセージが異常であると判定された場合、時間差の統計値を基準時刻に加えた値に基づいて新たな基準時刻を生成する方法により、不正メッセージの送信時刻に対応する時刻を基準に検知処理を行うことを回避することができるため、異常であると判定された対象メッセージの次に送信される対象メッセージについての検知処理における誤判定を抑制することができる。したがって、車載ネットワークにおける不正メッセージをより正しく検知することができる。

（７）本開示の実施の形態に係る検知プログラムは、車載ネットワークにおける不正メッセージを検知する検知装置において用いられる検知プログラムであって、コンピュータを、前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視する監視部と、前記不正メッセージを検知する検知処理に用いられる基準時刻を生成する生成部と、前記監視部による監視結果に基づく前記対象メッセージの送信時刻に対応する時刻と、前記生成部によって生成された前記基準時刻との時間差に基づいて、前記検知処理を行う検知部と、前記検知処理において正常であると判定された前記対象メッセージの送信時刻に対応する時刻と前記基準時刻との前記時間差を用いて、前記時間差の統計値を更新する更新部として機能させるためのプログラムであり、前記生成部は、前記検知処理において前記対象メッセージが異常であると判定された場合、最新の前記統計値を前記基準時刻に加えた値に基づいて、異常であると判定された前記対象メッセージの後に送信される前記対象メッセージについての前記検知処理に用いられる新たな前記基準時刻を生成する、プログラムである。

このように、検知処理において正常であると判定された対象メッセージの送信時刻に対応する時刻と基準時刻との時間差を用いて統計値を更新するとともに、検知処理において対象メッセージが異常であると判定された場合、時間差の統計値を基準時刻に加えた値に基づいて新たな基準時刻を生成する構成により、不正メッセージの送信時刻に対応する時刻を基準に検知処理を行うことを回避することができるため、異常であると判定された対象メッセージの次に送信される対象メッセージについての検知処理における誤判定を抑制することができる。したがって、車載ネットワークにおける不正メッセージをより正しく検知することができる。

以下、本開示の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。

［構成および基本動作］
図１は、本開示の実施の形態に係る車載通信システムの構成を示す図である。

図１を参照して、車載通信システム３０１は、ゲートウェイ装置１０１と、複数の車載通信機１１１と、複数のバス接続装置群１２１とを備える。ゲートウェイ装置１０１は、検知装置の一例である。車載通信システム３０１は、車両１に搭載される。

図２は、本開示の実施の形態に係るバス接続装置群の構成を示す図である。

図２を参照して、バス接続装置群１２１は、複数の制御装置１２２を含む。なお、バス接続装置群１２１は、複数の制御装置１２２を備える構成に限らず、１つの制御装置１２２を含む構成であってもよい。

車載ネットワーク１２は、車両１の内部における装置である車載装置を複数含む。具体的には、車載ネットワーク１２は、車載装置の一例である、複数の車載通信機１１１および複数の制御装置１２２を含む。なお、車載ネットワーク１２は、複数の車載装置を含む構成であれば、複数の車載通信機１１１を含みかつ制御装置１２２を含まない構成であってもよいし、車載通信機１１１を含まずかつ複数の制御装置１２２を含む構成であってもよいし、１つの車載通信機１１１および１つの制御装置１２２を含む構成であってもよい。

車載ネットワーク１２において、車載通信機１１１は、たとえば、車両１の外部における装置と通信する。具体的には、車載通信機１１１は、たとえば、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｕｎｉｔ）、近距離無線端末装置、およびＩＴＳ（Ｉｎｔｅｌｌｉｇｅｎｔ Ｔｒａｎｓｐｏｒｔ Ｓｙｓｔｅｍｓ）無線機である。

ＴＣＵは、たとえば、ＬＴＥ（Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ）または３Ｇ等の通信規格に従って、無線基地局装置と無線通信を行うことが可能であり、かつゲートウェイ装置１０１と通信を行うことが可能である。ＴＣＵは、たとえば、ナビゲーション、車両盗難防止、リモートメンテナンスおよびＦＯＴＡ（Ｆｉｒｍｗａｒｅ Ｏｖｅｒ Ｔｈｅ Ａｉｒ）等のサービスに用いる情報を中継する。

近距離無線端末装置は、たとえば、Ｗｉ－Ｆｉ（登録商標）およびＢｌｕｅｔｏｏｔｈ（登録商標）等の通信規格に従って、車両１に乗車している人間すなわち搭乗者の保持するスマートホン等の無線端末装置と無線通信を行うことが可能であり、かつゲートウェイ装置１０１と通信を行うことが可能である。当該近距離無線端末装置は、たとえば、エンターテイメント等のサービスに用いる情報を中継する。

また、近距離無線端末装置は、たとえば、所定の通信規格に従って、搭乗者の保持するスマートキー等の無線端末装置、およびタイヤに設けられた無線端末装置とＬＦ（Ｌｏｗ Ｆｒｅｑｕｅｎｃｙ）帯またはＵＨＦ（Ｕｌｔｒａ Ｈｉｇｈ Ｆｒｅｑｕｅｎｃｙ）帯の電波を用いて無線通信を行うことが可能であり、かつゲートウェイ装置１０１と通信を行うことが可能である。当該近距離無線端末装置は、たとえば、スマートエントリおよびＴＰＭＳ（Ｔｉｒｅ Ｐｒｅｓｓｕｒｅ Ｍｏｎｉｔｏｒｉｎｇ Ｓｙｓｔｅｍ）等のサービスに用いる情報を中継する。

ＩＴＳ無線機は、たとえば、道路の近傍に設けられた光ビーコン、電波ビーコンおよびＩＴＳスポット等の路側機と路車間通信を行うことが可能であり、他の車両に搭載された車載端末と車車間通信を行うことが可能であり、かつゲートウェイ装置１０１と通信を行うことが可能である。ＩＴＳ無線機は、たとえば、渋滞緩和、安全運転支援およびルートガイダンス等のサービスに用いる情報を中継する。

ゲートウェイ装置１０１は、たとえば、ファームウェアのアップデート等のデータ、およびゲートウェイ装置１０１により蓄積されたデータ等を車両１の外部における整備用端末装置とポート１１２を介して送受信することが可能である。

ゲートウェイ装置１０１は、たとえばバス１３，１４を介して車載装置と接続する。具体的には、バス１３，１４は、たとえば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）（登録商標）、ＦｌｅｘＲａｙ（登録商標）、ＭＯＳＴ（Ｍｅｄｉａ Ｏｒｉｅｎｔｅｄ Ｓｙｓｔｅｍｓ Ｔｒａｎｓｐｏｒｔ）（登録商標）、イーサネット（登録商標）、およびＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）等の規格に従うバスである。

この例では、車載通信機１１１は、イーサネットの規格に従う対応のバス１４を介してゲートウェイ装置１０１と接続されている。また、バス接続装置群１２１における各制御装置１２２は、ＣＡＮの規格に従う対応のバス１３を介してゲートウェイ装置１０１と接続されている。

バス１３は、たとえば系統別に設けられる。具体的には、バス１３は、たとえば、駆動系バス、シャーシ／安全系バス、ボディ／電装系バスおよびＡＶ／情報系バスである。

駆動系バスには、制御装置１２２の一例であるエンジン制御装置、ＡＴ（Ａｕｔｏｍａｔｉｃ Ｔｒａｎｓｍｉｓｓｉｏｎ）制御装置およびＨＥＶ（Ｈｙｂｒｉｄ Ｅｌｅｃｔｒｉｃ Ｖｅｈｉｃｌｅ）制御装置が接続されている。エンジン制御装置、ＡＴ制御装置およびＨＥＶ制御装置は、エンジン、ＡＴ、およびエンジンとモータとの切替をそれぞれ制御する。

シャーシ／安全系バスには、制御装置１２２の一例であるブレーキ制御装置、シャーシ制御装置およびステアリング制御装置が接続されている。ブレーキ制御装置、シャーシ制御装置およびステアリング制御装置は、ブレーキ、シャーシおよびステアリングをそれぞれ制御する。

ボディ／電装系バスには、制御装置１２２の一例である計器表示制御装置、エアコン制御装置、盗難防止制御装置、エアバック制御装置およびスマートエントリ制御装置が接続されている。計器表示制御装置、エアコン制御装置、盗難防止制御装置、エアバック制御装置およびスマートエントリ制御装置は、計器、エアコン、盗難防止機構、エアバック機構およびスマートエントリをそれぞれ制御する。

ＡＶ／情報系バスには、制御装置１２２の一例であるナビゲーション制御装置、オーディオ制御装置、ＥＴＣ（Ｅｌｅｃｔｒｏｎｉｃ Ｔｏｌｌ Ｃｏｌｌｅｃｔｉｏｎ Ｓｙｓｔｅｍ）（登録商標）制御装置および電話制御装置が接続されている。ナビゲーション制御装置、オーディオ制御装置、ＥＴＣ制御装置および電話制御装置は、ナビゲーション装置、オーディオ装置、ＥＴＣ装置および携帯電話をそれぞれ制御する。

また、バス１３には、制御装置１２２が接続される構成に限らず、制御装置１２２以外の装置が接続されてもよい。

ゲートウェイ装置１０１は、たとえば、セントラルゲートウェイ（Ｃｅｎｔｒａｌ Ｇａｔｅｗａｙ：ＣＧＷ）であり、車載装置と通信を行うことが可能である。

ゲートウェイ装置１０１は、たとえば、車両１において異なるバス１３に接続された制御装置１２２間でやり取りされる情報、各車載通信機１１１間でやり取りされる情報、制御装置１２２および車載通信機１１１間でやり取りされる情報を中継する中継処理を行う。

より詳細には、車両１では、たとえば、所定の取り決めに従って、ある車載装置から他の車載装置へ周期的にメッセージが送信される。この例では、ある制御装置１２２から他の制御装置１２２へ周期的に送信されるメッセージについて説明するが、制御装置１２２および車載通信機１１１間において送信されるメッセージ、ならびに各車載通信機１１１間において送信されるメッセージについても同様である。

メッセージの送信は、ブロードキャストによって行われてもよいし、ユニキャストによって行われてもよいし、マルチキャストによって行われてもよい。以下、周期的に送信されるメッセージを周期メッセージとも称する。

車両１では、周期メッセージの他に、ある制御装置１２２から他の制御装置１２２へ不定期に送信されるメッセージが存在する。メッセージには、メッセージの内容、送信元およびメッセージ番号等を識別するためのＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）が含まれる。メッセージに含まれるＩＤによって、当該メッセージが周期メッセージであるか否かを識別することが可能である。

ゲートウェイ装置１０１は、検知装置として機能し、車載ネットワーク１２における不正メッセージを検知する検知処理を行う。

［ゲートウェイ装置の構成］
図３は、本開示の実施の形態に係る車載通信システムにおけるゲートウェイ装置の構成を示す図である。

図３を参照して、ゲートウェイ装置１０１は、通信処理部５１と、監視部５２と、更新部５３と、検知部５４と、生成部５５と、記憶部５６とを備える。通信処理部５１、監視部５２、更新部５３、検知部５４および生成部５５は、たとえば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）およびＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等のプロセッサによって実現される。

監視部５２は、正当な周期メッセージおよび不正メッセージをゲートウェイ装置１０１における検知処理の対象となるメッセージすなわち対象メッセージＭとして監視する。

検知部５４は、不正メッセージを検知する検知処理を行う。

生成部５５は、検知処理に用いられる基準時刻を生成する。生成部５５は、生成した基準時刻を検知部５４へ通知する。

記憶部５６は、対象メッセージＭの受信時刻と基準時刻ｔｒとの時間差Ｘの統計値を記憶する。記憶部５６は、たとえば、たとえばフラッシュメモリである。記憶部５６は、ゲートウェイ装置１０１の外部に設けられてもよい。

更新部５３は、統計値を更新する。たとえば、更新部５３は、記憶部５６における統計値を更新する。

［通信処理部］
通信処理部５１は、制御装置１２２間で伝送されるメッセージを中継する中継処理を行う。

たとえば、通信処理部５１は、ある制御装置１２２から対応のバス１３経由でメッセージを受信すると、受信したメッセージに、当該メッセージの受信時刻を示すタイムスタンプを付与する。そして、通信処理部５１は、タイムスタンプが付与されたメッセージを他の制御装置１２２へ対応のバス１３経由で送信する。

［監視部］
監視部５２は、上述したように、対象メッセージＭを監視する。

図４は、本開示の実施の形態に係る車載通信システムにおける制御装置およびゲートウェイ装置のハードウェア構成の一例を示す図である。

図４を参照して、制御装置１２２は、発振器１３１と、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１３２と、ＣＡＮトランシーバ１３３とを備える。

ゲートウェイ装置１０１は、ＣＰＵ１４１と、ＣＡＮトランシーバ１４２と、発振器１４３とを備える。ＣＰＵ１４１は、監視部５２、更新部５３、検知部５４および生成部５５の一部または全部を実現する。ＣＡＮトランシーバ１４２は、通信処理部５１の一部または全部を実現する。

制御装置１２２は、設計上の送信周期である設計送信周期Ｔで周期メッセージを送信する。より詳細には、制御装置１２２におけるＣＰＵ１３２は、発振器１３１からの発振信号に基づいて生成されるクロックのタイミングに従って、ＣＡＮトランシーバ１３３経由で周期メッセージをブロードキャストまたはユニキャストする。

ゲートウェイ装置１０１におけるＣＡＮトランシーバ１４２は、発振器１４３からの発振信号に基づいて生成されるクロックのタイミングに従って、制御装置１２２から受信した周期メッセージに受信時刻を示すタイムスタンプを付与する。

以下では、制御装置１２２が、ゲートウェイ装置１０１における検知処理の対象となる対象メッセージＭを送信するものとする。

たとえば、ゲートウェイ装置１０１が制御装置１２２から受信するメッセージの一部は、不正メッセージである。監視部５２は、制御装置１２２からの正当な周期メッセージおよび不正メッセージを対象メッセージＭとして監視する。

監視部５２は、通信処理部５１によって中継されるメッセージを監視することにより、対象メッセージＭの受信時刻ｔａを取得する。

たとえば、記憶部５６は、対象メッセージＭのＩＤを記憶している。以下、対象メッセージＭのＩＤを対象ＩＤとも称する。

監視部５２は、中継処理を行うべきメッセージを通信処理部５１が受信すると、通信処理部５１によって受信されたメッセージに含まれるＩＤ、ならびに記憶部５６における対象ＩＤを確認する。

そして、監視部５２は、通信処理部５１によって受信されたメッセージに含まれるＩＤが対象ＩＤと一致する場合、通信処理部５１によって受信されたメッセージが対象メッセージＭであると認識し、当該対象メッセージＭに付与されたタイムスタンプを参照することにより、対象メッセージＭの受信時刻ｔａを取得する。

監視部５２は、対象メッセージＭの受信時刻ｔａを取得すると、取得した受信時刻ｔａを示す受信情報を、通信処理部５１によって何番目に受信された対象メッセージＭであるかを示す受信番号Ｎと対応付けて記憶部５６に保存する。

［検知部］
検知部５４は、監視部５２による監視結果に基づく対象メッセージＭの送信時刻に対応する時刻と、生成部５５によって生成された基準時刻ｔｒとの時間差Ｘに基づいて、検知処理を行う。より詳細には、検知部５４は、当該対象メッセージＭの受信時刻と、当該基準時刻ｔｒとの時間差Ｘに基づいて、検知処理を行う。

図５は、本開示の実施の形態に係る車載通信システムにおける対象メッセージの受信時刻の分布の一例を示す図である。図５において、横軸は時刻を示す。

図５を参照して、たとえば、検知部５４は、受信番号Ｎがｎであるｎ回目の対象メッセージＭｎの受信時刻ｔａｎと、生成部５５から通知された基準時刻ｔｒｑとの時間差Ｘｎに基づいて、検知処理を行う。ここで、ｎは、１以上の整数である。

より詳細には、検知部５４は、対象メッセージＭｎの受信時刻ｔａｎを含む新たな受信情報が記憶部５６に保存されると、当該受信情報が示す受信時刻ｔａｎと基準時刻ｔｒｑと時間差Ｘｎの統計距離に基づいて、対象メッセージＭｎが不正メッセージであるか否かを判定する。

たとえば、検知部５４は、統計距離の一例である、以下の式（１）により表されるマハラノビス距離Ｄ＾２に基づいて、対象メッセージＭｎが不正メッセージであるか否かを判定する。なお、「Ｄ＾２」は、Ｄの２乗を意味する。

たとえば、検知部５４は、対象メッセージＭｎの受信時刻ｔａｎと基準時刻ｔｒｑとに基づいて算出されるマハラノビス距離Ｄ＾２がしきい値Ｔｈ以下である場合、対象メッセージＭｎは不正メッセージではないと判断する。一方、検知部５４は、マハラノビス距離Ｄ＾２がしきい値Ｔｈより大きい場合、対象メッセージＭｎは不正メッセージであると判断する。

マハラノビス距離Ｄ＾２との比較に用いるしきい値Ｔｈは、対象メッセージＭｎが不正メッセージであるか否かを正確に判断することができるよう、適切な値であることが好ましい。

たとえば、車両１の製造者は、予め、車両１と同じ種類のテスト車両のゲートウェイ装置１０１を用いて、すべての対象メッセージＭｎを正当メッセージとしたときに算出される時間差Ｘｎを用いてマハラノビス距離Ｄ＾２を算出する。

図６は、本開示の実施の形態に係る車載通信システムにおけるすべての対象メッセージを正当メッセージとしたときに算出されるマハラノビス距離の度数分布の一例を示す図である。

図６を参照して、すべての対象メッセージＭが正当メッセージであるときの時間差Ｘを用いて算出されるマハラノビス距離Ｄ＾２が大きくなるほど、度数が減少する。

たとえば、記憶部５６は、図６に示すマハラノビス距離Ｄ＾２の度数分布を記憶している。

たとえば、検知部５４は、起動時において、図６に示すマハラノビス距離Ｄ＾２の度数分布を記憶部５６から取得し、ＦＰＲ（Ｆａｌｓｅ Ｐｏｓｉｔｉｖｅ Ｒａｔｅ）がゼロとなる範囲でしきい値Ｔｈ１が最も小さくなるように、しきい値Ｔｈ１を設定することが好ましい。ここで、ＦＰＲは偽陽性率であり、偽陽性／（偽陽性＋真陰性）で表される。真陰性とは、正当メッセージを正当メッセージとして認識した度数であり、偽陽性とは、正当メッセージを不正メッセージとして検知した度数である。なお、記憶部５５は、車両１の製造者によって予め決定されたしきい値Ｔｈ１を記憶している構成であってもよい。この場合、検知部５４は、起動時において、当該しきい値Ｔｈ１を記憶部５５から取得する。

図７は、本開示の実施の形態に係る車載通信システムにおける対象メッセージの受信時刻の分布の他の例を示す図である。図７において、横軸は時刻を示す。

図７を参照して、たとえば、検知部５４は、生成部から基準時刻ｔｒｑを通知されると、通知された基準時刻ｔｒｑとしきい値Ｔｈ１とに基づいて、対象メッセージＭが不正メッセージであるか否かの判定に用いる判断基準を設定する。

より詳細には、検知部５４は、生成部５５から基準時刻ｔｒｑを通知されると、通知された基準時刻ｔｒｑとしきい値Ｔｈ１とに基づいて、算出されるマハラノビス距離Ｄ＾２がしきい値Ｔｈ１と等しい値となるときの受信時刻ｔａを示す時刻であるしきい時刻ｔｒｑＡ，ｔｒｑＢを設定する。以下では、しきい時刻ｔｒｑＡ，ｔｒｑＢにより規定される、しきい時刻ｔｒｑＡからしきい時刻ｔｒｑＢまでの時間範囲を、許容範囲Ｒｑとも称する。

検知部５４は、設定した許容範囲Ｒｑに基づいて、対象メッセージＭが不正メッセージであるか否かを判断する。

より詳細には、検知部５４は、対象メッセージＭｎの受信時刻ｔａｎが許容範囲Ｒｑ内である場合、対象メッセージＭｎは不正メッセージではないと判断する。一方、検知部５４は、図７の例のように対象メッセージＭｎの受信時刻ｔａｎがしきい時刻ｔｒｑＡより前の時刻である場合、対象メッセージＭｎは不正メッセージであると判断する。

検知部５４は、判定時刻ｔｒｑＡ，ｔｒｑＢおよび受信時刻ｔａｎに基づく判断結果を示す判断情報を通信処理部５１へ出力する。

通信処理部５１は、検知部５４から受けた判断情報が、対象メッセージＭｎが不正メッセージではないことを示す場合、当該対象メッセージＭｎを送信先の制御装置１２２へ送信する。

一方、通信処理部５１は、検知部５４から受けた判断情報が、対象メッセージＭｎが不正メッセージであることを示す場合、以下の処理を行う。

すなわち、通信処理部５１は、判断情報が示す対象メッセージＭｎを記録する。また、通信処理部５１は、バス１３において不正メッセージが伝送されていることを示す警報情報を車両１内または車両１外における上位装置へ送信する。

［検知処理の他の例］
（グレー判定）
たとえば、検知部５４は、対象メッセージＭｎの送信時刻に対応する時刻と基準時刻ｔｒｑとの時間差、および対象メッセージＭｎの後に送信される対象メッセージＭ（ｎ＋１）の送信時刻に対応する時刻と基準時刻ｔｒｑとの時間差に基づいて、対象メッセージＭｎに関する異常を検知する。より詳細には、検知部５４は、当該対象メッセージＭｎの受信時刻と当該基準時刻ｔｒｑとの時間差、および当該対象メッセージＭ（ｎ＋１）の受信時刻と当該基準時刻ｔｒｑとの時間差に基づいて、対象メッセージＭｎに関する異常を検知する。

図８は、本開示の実施の形態に係る車載通信システムにおける対象メッセージの受信時刻の分布の他の例を示す図である。図８において、横軸は時刻を示す。

図８を参照して、上述したように、検知部５４は、生成部５５から通知された基準時刻ｔｒｑとしきい値Ｔｈ１とに基づいて、しきい時刻ｔｒｑＡ，ｔｒｑＢおよび許容範囲Ｒｑを設定する。

検知部５４は、対象メッセージＭｎの受信時刻ｔａｎを含む受信情報が監視部５２により記憶部５６に保存されると、受信時刻ｔａｎと、設定したしきい時刻ｔｒｑＡ，ｔｒｑＢおよび許容範囲Ｒｑとに基づいて、対象メッセージＭｎが不正メッセージであるか否かを判定する。

たとえば、検知部５４は、対象メッセージＭｎの受信時刻ｔａｎが許容範囲Ｒｑ内である場合、対象メッセージＭｎは不正メッセージではないと判断する。

そして、検知部５４は、対象メッセージＭ（ｎ＋１）の受信時刻ｔａ（ｎ＋１）を含む新たな受信情報が監視部５２により記憶部５６に保存されると、新たな受信情報が示す受信時刻ｔａ（ｎ＋１）と、設定したしきい時刻ｔｒｑＡ，ｔｒｑＢおよび許容範囲Ｒｑとに基づいて、対象メッセージＭ（ｎ＋１）が不正メッセージであるか否かを判定する。

たとえば、検知部５４は、対象メッセージＭ（ｎ＋１）の受信時刻ｔａ（ｎ＋１）が許容範囲Ｒｑ内である場合、対象メッセージＭ（ｎ＋１）は不正メッセージではないと判断する。

検知部５４は、許容範囲Ｒｑに基づく検知処理において、対象メッセージＭｎが不正メッセージではないと判断した後、さらに対象メッセージＭ（ｎ＋１）も不正メッセージではないと判断した場合、対象メッセージＭｎ，Ｍ（ｎ＋１）は異常である可能性があると判断する、すなわちグレー判定する。

検知部５４は、対象メッセージＭｎが不正メッセージではなく、かつグレー判定されたメッセージではないと判断した場合、すなわち対象メッセージＭｎが正当メッセージであると判断した場合、正当メッセージであると判断した対象メッセージＭｎの受信時刻ｔａｎ、基準時刻ｔｒｑ、および受信時刻ｔａｎと基準時刻ｔｒｑとの時間差Ｘｎを示す時間差情報を記憶部５６に保存する。

（サポートベクターマシンを用いた検知処理）
なお、本開示の実施の形態に係るゲートウェイ装置１０１では、検知部５４は、対象メッセージＭｎの受信時刻ｔａｎと基準時刻ｔｒｑとの時間差Ｘｎに基づいて算出されるマハラノビス距離Ｄ＾２と、しきい値Ｔｈとの比較結果に基づいて、対象メッセージＭｎが不正メッセージであるか否かを判定する構成であるとしたが、これに限定するものではない。

検知部５４は、たとえばサポートベクターマシンを用いて、対象メッセージＭｎが不正メッセージであるか否かを判定する構成であってもよい。検知部５４は、１クラスに分類するサポートベクターマシンを用いてもよいし、多クラスに分類するサポートベクターマシンを用いてもよい。

より詳細には、検知部５４は、以下の式（２）に従って算出される分類スコアｆ（Ｘｎ）がゼロ以上である場合、対象メッセージＭｎは不正メッセージではないと判断する一方で、算出される分類スコアｆ（Ｘｎ）がゼロ未満である場合、対象メッセージＭｎは不正メッセージであると判断する。

ここで、Ｋ（ｘ，ｘｉ）は、カーネル関数である。カーネル関数は、具体的には、線形カーネル、多項式カーネル、以下の式（３）に示すガウスカーネル、またはシグモイドカーネルである。

ｘは、対象メッセージＭｎの受信時刻ｔａｎと基準時刻ｔｒｑとの時間差Ｘｎのベクトルである。ｘｉは、サポートベクトルである。ｙｉは、分類すべき各クラスに対応する値である。たとえば１クラスに分類するサポートベクターマシンを用いる場合、ｙｉは１である。Ｗｉは、重みベクトルである。ｂは、バイアスである。ｘｉ，ｙｉ，Ｗｉおよびｂは、予め、車両１と同じ種類のテスト車両のゲートウェイ装置１０１を用いて、正当メッセージを用いて機械学習により求められるパラメータである。

１クラスに分類するサポートベクターマシンを用いる場合、上記パラメータは、教師無し学習によって設定される。より詳細には、正当メッセージである対象メッセージＭｎの受信時刻ｔａｎと複数の基準時刻ｔｒｑとの時間差Ｘｎを算出し、算出した時間差Ｘｎを学習用のデータセットと検証用のデータセットとに分類する。

そして、学習用のデータセットを用いて機械学習を行い、機械学習により得られたパラメータおよび上述した式（２）を用いて検証用のデータセットの分類スコアｆ（Ｘｎ）を算出し、分類スコアｆ（Ｘｎ）がゼロ以上となるか、またはゼロ未満となるかを確認する。すなわち、検証用のデータセットが正当メッセージであると判定されるか、または不正メッセージであると判定されるかを確認する。そして、検証用のデータセットの判定結果の偽陽性率が所望の値となるようパラメータを適切に調整し、再度、学習用のデータセットを用いた機械学習を行う。

多クラスに分類するサポートベクターマシンを用いる場合、上記パラメータは、教師有り学習によって設定される。より詳細には、正当メッセージである対象メッセージＭｎの受信時刻ｔａｎと複数の基準時刻ｔｒｑとの時間差Ｘｎを算出し、算出した時間差Ｘｎを正常データ群とする。

そして、正常データ群の時間差Ｘｎより大きい複数の時間差Ｘｎｒのデータ群である不正データ群、および正常データ群の時間差Ｘｎより小さい複数の時間差Ｘｎｓのデータ群である不正データ群を生成する。正常データ群および不正データ群を、学習用のデータセットと検証用のデータセットとに分類する。

次に、学習用のデータセットを用いて機械学習を行い、機械学習により得られたパラメータおよび上述した式（２）を用いて検証用のデータセットの分類スコアｆ（Ｘｎ）を算出し、分類スコアｆ（Ｘｎ）に基づいて検証用のデータセットが正当メッセージであると判定されるか、または不正メッセージであると判定されるかを確認する。そして、検証用のデータセットの判定結果の偽陽性率が所望の値となるように、不正データ群の時間差Ｘｎｓ，Ｘｎｒの値すなわち不正データ群と正常データ群とのギャップ、およびパラメータを適切に調整し、再度、学習用のデータセットを用いた機械学習を行う。

（決定木を用いた検知処理）
検知部５４は、たとえば決定木を用いて、対象メッセージＭａが不正メッセージであるか否かを判定する構成であってもよい。決定木のアルゴリズムは、たとえば、ＣＡＲＴ（Ｃｌａｓｓｉｆｉｃａｔｉｏｎ Ａｎｄ Ｒｅｇｒｅｓｓｉｏｎ Ｔｒｅｅｓ）およびＣ４．５等である。

決定木のパラメータは、教師有り学習によって設定される。より詳細には、正当メッセージである対象メッセージＭｎの受信時刻ｔａｎと複数の基準時刻ｔｒｑとの時間差Ｘｎを算出し、算出した時間差Ｘｎを正常データ群とする。

そして、正常データ群の時間差Ｘｎより大きい複数の時間差Ｘｎｒのデータ群である不正データ群、および正常データ群の時間差Ｘｎより小さい複数の時間差Ｘｎｓのデータ群である不正データ群を生成する。正常データ群および不正データ群を、学習用のデータセットと検証用のデータセットとに分類する。

次に、学習用のデータセットを用いて、ＣＡＲＴおよびＣ４．５等のアルゴリズムを用いる決定木の機械学習を行い、機械学習により得られた決定木を用いた場合において、検証用のデータセットが正当メッセージであると判定されるか、または不正メッセージであると判定されるかを確認する。そして、検証用のデータセットの判定結果の偽陽性率が所望の値となるように、不正データ群の時間差Ｘｎｓ，Ｘｎｒの値すなわち不正データ群と正常データ群とのギャップ、および決定木の学習用パラメータを適切に調整し、再度、学習用のデータセットを用いた機械学習を行う。

（新たな基準時刻の生成要求）
検知部５４は、対象メッセージＭ（ｎ＋２）の受信時刻ｔａ（ｎ＋２）を含む新たな受信情報が記憶部５６に保存され、新たな受信情報が示す受信時刻ｔａ（ｎ＋２）が、しきい時刻ｔｒｑＢより後の時刻である場合、新たな基準時刻ｔｒ（ｑ＋１）を生成すべき旨を示す生成要求を生成部５５へ通知する。

たとえば、検知部５４は、基準時刻ｔｒｑを用いた検知処理おける判定結果に応じた内容の生成要求を生成部５５へ通知する。

より詳細には、検知部５４は、基準時刻ｔｒｑを用いた検知処理において、不正メッセージを検知した場合、または対象メッセージＭに関する異常を検知した場合すなわちグレー判定した場合、生成要求として、基準時刻ｔｒｑを用いた検知処理において異常が発生した旨を示す生成要求Ｙ１を生成部５５へ通知する。

一方、検知部５４は、基準時刻ｔｒｑを用いた検知処理において、不正メッセージを検知しなかった場合、かつグレー判定をしなかった場合、生成要求として、基準時刻ｔｒｑを用いた検知処理において異常が発生しなかった旨を示す生成要求Ｙ２を生成部５５へ通知する。

生成部５５は、後述するように、検知部５４から生成要求Ｙ１または生成要求Ｙ２を受けると、受けた生成要求Ｙ１または生成要求Ｙ２に対する応答として、新たな基準時刻ｔｒ（ｑ＋１）を検知部５４へ通知する。

検知部５４は、生成部５５から新たな基準時刻ｔｒ（ｑ＋１）を通知されると、通知された基準時刻ｔｒ（ｑ＋１）を用いて、新たなしきい時刻ｔｒ（ｑ＋１）Ａ，ｔｒ（ｑ＋１）Ｂで規定される許容範囲Ｒ（ｑ＋１）を設定する。

そして、検知部５４は、設定した許容範囲Ｒ（ｑ＋１）に基づいて、対象メッセージＭ（ｎ＋２）が不正メッセージであるか否かを判断する。

（初回の基準時刻の生成要求）

検知部５４は、通信処理部５１によって制御装置１２２から１番目の対象メッセージＭが受信された際、検知処理を開始するために、初期値である初回の基準時刻ｔｒ１を生成すべき旨を示す生成要求Ｙ３を生成部５５へ通知する。

より詳細には、検知部５４は、連続するＫ個の対象メッセージＭにおいて、対象メッセージＭｎが、直前の対象メッセージＭ（ｎ－１）の受信時刻ｔａ（ｎ－１）を仮の基準時刻ｔｒ（ｎ－１）として用いて設定される許容範囲Ｒ（ｎ－１）内である場合、Ｋ個の対象メッセージＭの受信時刻ｔａおよび生成要求Ｙ３を生成部５５へ通知する。

図９は、本開示の実施の形態に係る車載通信システムにおける対象メッセージの受信時刻の分布の他の例を示す図である。図９において、横軸は時刻を示す。図９は、Ｋが４の場合を示している。

図９を参照して、検知部５４は、制御装置１２２からの１番目の対象メッセージＭ１の受信時刻ｔａ１を仮の基準時刻ｔｒａとして用いて、仮の基準時刻ｔｒａとしきい値Ｔｈ１とに基づいて、しきい時刻ｔｒａＡ，ｔｒａＢおよび許容範囲Ｒａを設定する。

そして、検知部５４は、制御装置１２２からの２番目の対象メッセージＭ２の受信時刻ｔａ２が許容範囲Ｒａ内である場合、受信時刻ｔａ２を仮の基準時刻ｔｒｂとして用いて、仮の基準時刻ｔｒｂとしきい値Ｔｈ１とに基づいて、しきい時刻ｔｒｂＡ，ｔｒｂＢおよび許容範囲Ｒｂを設定する。

さらに、検知部５４は、制御装置１２２からの３番目の対象メッセージＭ３の受信時刻ｔａ３が許容範囲Ｒｂ内である場合、受信時刻ｔａ３を仮の基準時刻ｔｒｃとして用いて、仮の基準時刻ｔｒｃとしきい値Ｔｈ１とに基づいて、しきい時刻ｔｒｃＡ，ｔｒｃＢおよび許容範囲Ｒｃを設定する。

さらに、検知部５４は、制御装置１２２からの４番目の対象メッセージＭ４の受信時刻ｔａ４が許容範囲Ｒｃ内である場合、対象メッセージＭ１，Ｍ２，Ｍ３，Ｍ４の受信時刻ｔａ１，ｔａ２，ｔａ３，ｔａ４および生成要求Ｙ３を生成部５５へ通知する。

一方、検知部５４は、たとえば３番目の対象メッセージＭ３の受信時刻ｔａ３が許容範囲Ｒｂ外である場合、３番目以降の連続するＫ個の対象メッセージＭにおいて、対象メッセージＭｎが、直前の対象メッセージＭ（ｎ－１）の受信時刻ｔａ（ｎ－１）を仮の基準時刻ｔｒ（ｎ－１）として用いて設定される許容範囲Ｒ（ｎ－１）内となるまで、上述の処理を繰り返す。

生成部５５は、後述するように、検知部５４から生成要求Ｙ３を受けると、受けた生成要求Ｙ３に対する応答として、初回の基準時刻ｔｒ１を検知部５４へ通知する。

［更新部］
上述したように、記憶部５６は、対象メッセージＭの受信時刻と基準時刻ｔｒとの時間差Ｘの統計値を記憶する。

更新部５３は、検知処理において正常であると判定された対象メッセージＭｎの送信時刻に対応する時刻と基準時刻ｔｒとの時間差を用いて、記憶部５６における統計値を更新する。より詳細には、更新部５３は、正常であると判定された対象メッセージＭの受信時刻ｔａと基準時刻ｔｒとの時間差Ｘを用いて、記憶部５６における統計値を更新する。

たとえば、記憶部５６は、時間差Ｘの統計値として、検知処理において不正メッセージではないと判断された対象メッセージＭの受信時刻ｔａと基準時刻ｔｒとの時間差Ｘの平均値Ｘａｖｅを記憶する。

更新部５３は、記憶部５６における時間差情報が示す時間差Ｘを用いて、記憶部５６における平均値Ｘａｖｅを更新する。すなわち、更新部５３は、正当な対象メッセージＭの受信時刻ｔａと基準時刻ｔｒとの時間差Ｘを用いて、対象メッセージＭの受信周期を学習する。

より詳細には、更新部５３は、検知部５４によって記憶部５６に時間差情報が新たに保存されると、時間差情報が示す時間差Ｘｎおよび記憶部５６における平均値Ｘａｖｅに基づいて、以下の式（４）に従って更新値Ｖを算出し、記憶部５６における平均値Ｘａｖｅを、算出した更新値Ｖに更新する。

ここで、ｕは減衰係数であり、ゼロ以上１以下の値である。ｕは、たとえば、対象メッセージＭの設計送信周期Ｔに応じて予め設定される。

ｕがゼロに近い値である場合、更新部５３が更新を繰り返すことにより平均値Ｘａｖｅは緩やかに変化することから、平均値Ｘａｖｅが収束するまでに要する時間が長くなる一方で、平均値Ｘａｖｅの変化を抑制して安定した値に更新することができる。

一方、ｕが１に近い値である場合、算出される更新値Ｖにおける時間差Ｘｎの比重が大きくなるため、平均値Ｘａｖｅが収束するまでに要する時間が短くなる一方で、対象メッセージＭの受信周期の揺らぎに起因する平均値Ｘａｖｅの変動幅が大きくなる。

［生成部］
生成部５５は、上述したように、検知部５４から生成要求を受けると、受けた生成要求に対する応答として、新たな基準時刻ｔｒを検知部５４へ通知する。

（基準時刻の生成例１）
図１０は、本開示の実施の形態に係る車載通信システムにおける対象メッセージの受信時刻の分布の他の例を示す図である。図１０において、横軸は時刻を示す。

図１０を参照して、生成部５５は、検知処理において対象メッセージＭが異常であると判定された場合、記憶部５６における最新の統計値を基準時刻ｔｒに加えた値に基づいて、異常であると判定された対象メッセージＭの後に送信される対象メッセージＭについての検知処理に用いられる新たな基準時刻ｔｒを生成する。

たとえば、生成部５５は、検知部５４から生成要求Ｙ１を受けると、記憶部５６における平均値Ｘａｖｅを参照し、最新の基準時刻ｔｒｑに最新の平均値Ｘａｖｅを加えた値を算出する。生成部５５は、算出した値を、新たな基準時刻ｔｒ（ｑ＋１）として検知部５４へ通知する。

ここで、ｐ回目の対象メッセージＭｐの受信時刻ｔａｐは、以下の式（５）で表される。

Ｅ１は、制御装置１２２における発振器１３１のジッタに基づくメッセージの送信時刻の誤差である。Ｅ２は、ゲートウェイ装置１０１における発振器１４３のジッタに基づくメッセージの受信時刻の誤差である。なお、Ｅ１，Ｅ２は、それぞれ、発振器１３１，１４３の、製造工程、使用環境および経年劣化等によって生じる誤差である。

また、Ａｉは、制御装置１２２からのｉ番目のメッセージの、バス１３における衝突および送信待機遅延によって生じる遅延時間である。

ｐ回目の対象メッセージＭｐについての検知処理に用いる基準時刻ｔｒｐは、以下の式（６）で表される。

また、平均値Ｘａｖｅは、対象メッセージＭｐの受信周期であり、設計送信周期Ｔと、誤差Ｅ１と、誤差Ｅ２との和に等しいため、対象メッセージＭｐの受信時刻ｔａｐと基準時刻ｔｒｐとの時間差Ｘｐは、式（５）から式（６）を差し引くことにより、以下の式（７）で表される。

なお、遅延時間Ａｉは、通信状況に応じて増減を繰り返すことから、式（７）中のシグマ項は、単調に増加することのない、ある数値範囲内において増減を繰り返す誤差とみなすことができる。

受信時刻ｔａｐと基準時刻ｔｒｐとの時間差Ｘｐに含まれる平均値Ｘａｖｅは、発振器１３１，１４３の使用環境および経年劣化等による誤差Ｅ１，Ｅ２の影響を受けることから、使用環境および経年により変動する。

生成部５５は、誤差Ｅ１，Ｅ２の変化に応じた時間差Ｘｐの変化が考慮された平均値Ｘａｖｅを用いて、新たな基準時刻ｔｒを算出する。

より詳細には、生成部５５は、上述のとおり、更新部５３によって正当な対象メッセージＭの受信時刻ｔａと基準時刻ｔｒとの時間差Ｘを用いて更新された最新の平均値Ｘａｖｅを、最新の基準時刻ｔｒｑに加えた値を、新たな基準時刻ｔｒ（ｑ＋１）として算出する。

（基準時刻の生成例２）
たとえば、生成部５５は、新たな基準時刻ｔｒ（ｑ＋１）の生成において、対象メッセージＭが送信される際の調停処理による遅延時間Ｄを用いる。

より詳細には、生成部５５は、検知部５４から生成要求Ｙ１を受けると、記憶部５６における平均値Ｘａｖｅを参照し、最新の平均値Ｘａｖｅと遅延時間Ｄとを最新の基準時刻ｔｒｑに加えた値を算出する。生成部５５は、算出した値を、新たな基準時刻ｔｒ（ｑ＋１）として検知部５４へ通知する。

たとえば、記憶部５６は、送信時刻に関して対象メッセージＭと相関が高い周期メッセージの遅延時間から、対象メッセージＭの遅延時間Ｄを算出するための遅延算出モデルを記憶している。

生成部５５は、記憶部５６における遅延算出モデルおよび当該周期メッセージの遅延時間から、対象メッセージＭの遅延時間Ｄを算出し、最新の平均値Ｘａｖｅと遅延時間Ｄとを、最新の基準時刻ｔｒｑに加えた値を、新たな基準時刻ｔｒ（ｑ＋１）として算出する。

（基準時刻の生成例３）
図１１は、本開示の実施の形態に係る車載通信システムにおける対象メッセージの受信時刻の分布の他の例を示す図である。図１１において、横軸は時刻を示す。

図１１を参照して、たとえば、生成部５５は、検知処理において対象メッセージＭが正常であると判定された場合、正常であると判定された対象メッセージＭの受信時刻に基づいて、正常であると判定された対象メッセージＭの後に送信される対象メッセージＭについての検知処理に用いられる新たな基準時刻ｔｒを生成する。

より詳細には、生成部５５は、検知部５４から生成要求Ｙ２を受けると、記憶部５６における時間差情報を参照し、最新の基準時刻ｔｒｑを用いた検知処理において不正メッセージではないと判断した最新の対象メッセージＭｎの受信時刻ｔａｎを取得する。生成部５５は、算出した受信時刻ｔａｎを、新たな基準時刻ｔｒ（ｑ＋１）として検知部５４へ通知する。

（基準時刻の生成例４）
生成部５５は、検知部５４から対象メッセージＭ１，Ｍ２，Ｍ３，Ｍ４の受信時刻ｔａ１，ｔａ２，ｔａ３，ｔａ４および生成要求Ｙ３を受けると、受信時刻ｔａ２，ｔａ３のいずれか一方を、初回の基準時刻ｔｒ１として検知部５４へ通知する。

［動作の流れ］
本開示の実施の形態に係る車載通信システムにおける各装置は、メモリを含むコンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のフローチャートおよびシーケンスの各ステップの一部または全部を含むプログラムを当該メモリから読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。

図１２は、本開示の実施の形態に係る車載通信システムにおいてゲートウェイ装置が検知処理を行う際の動作手順の一例を定めたフローチャートである。

図１２を参照して、まず、ゲートウェイ装置１０１は、初回の基準時刻ｔｒ１を生成する（ステップＳ１０２）。

次に、ゲートウェイ装置１０１は、基準時刻ｔｒ１およびしきい値Ｔｈ１に基づいて、しきい許容範囲Ｒ１を設定する（ステップＳ１０４）。

次に、ゲートウェイ装置１０１は、車載ネットワーク１２における対象メッセージＭを監視し、対象メッセージＭを待ち受け（ステップＳ１０６でＮＯ）、たとえば対象メッセージＭｎを受信すると（ステップＳ１０６でＹＥＳ）、不正メッセージを検知する検知処理を行う。具体的には、ゲートウェイ装置１０１は、対象メッセージＭｎの受信時刻ｔａｎと、基準時刻ｔｒｑとの時間差Ｘｎに基づいて、対象メッセージＭｎが不正メッセージであるか否かを判断する（ステップＳ１０８）。

次に、ゲートウェイ装置１０１は、検知処理の結果、対象メッセージＭｎが不正メッセージではないと判断した場合（ステップＳ１１０でＮＯ）、当該対象メッセージＭｎの受信時刻ｔａｎと基準時刻ｔｒｑとの時間差Ｘｎを用いて、記憶部５６における平均値Ｘａｖｅを更新する（ステップＳ１１２）。

次に、ゲートウェイ装置１０１は、対象メッセージＭの監視を継続し、次の対象メッセージＭ（ｎ＋１）を待ち受ける（ステップＳ１０６でＮＯ）。

一方、ゲートウェイ装置１０１は、検知処理の結果、対象メッセージＭｎが不正メッセージであると判断した場合（ステップＳ１１０でＹＥＳ）、不正メッセージが伝送されていることを示す警報情報を車両１内または車両１外における上位装置へ送信する（ステップＳ１１４）。

次に、ゲートウェイ装置１０１は、対象メッセージＭの監視を継続し、次の対象メッセージＭ（ｎ＋１）を待ち受ける（ステップＳ１０６でＮＯ）。

図１３は、本開示の実施の形態に係る車載通信システムのゲートウェイ装置における検知処理の一例を定めたフローチャートである。図１３は、図１２におけるステップＳ１０８の詳細を示している。

図１３を参照して、まず、ゲートウェイ装置１０１は、対象メッセージＭｎの受信時刻ｔａｎを取得する（ステップＳ２０２）。

次に、ゲートウェイ装置１０１は、取得した受信時刻ｔａｎと、最新の基準時刻ｔｒｑに基づいて設定した許容範囲Ｒｑすなわちしきい時刻ｔｒｑＡ，ｔｒｑＢとを比較する（ステップＳ２０４）。

次に、ゲートウェイ装置１０１は、受信時刻ｔａｎがしきい時刻ｔｒｑＢより後の時刻である場合（ステップＳ２０６でＹＥＳ）、新たな基準時刻ｔｒ（ｑ＋１）を生成し（ステップＳ２０８）、受信時刻ｔａｎと、新たに生成した基準時刻ｔｒ（ｑ＋１）に基づく許容範囲Ｒ（ｑ＋１）とを比較する（ステップＳ２０４）。

一方、ゲートウェイ装置１０１は、受信時刻ｔａｎが許容範囲Ｒｑ内である場合（ステップＳ２０６でＮＯ、かつステップＳ２１０でＹＥＳ）、対象メッセージＭｎは不正メッセージではないと判断する（ステップＳ２１２）。

一方、ゲートウェイ装置１０１は、受信時刻ｔａｎがしきい時刻ｔｒｑＡより前の時刻である場合（ステップＳ２０６でＮＯ、かつステップＳ２１０でＮＯ）、対象メッセージＭｎは不正メッセージであると判断する（ステップＳ２１４）。

図１４は、本開示の実施の形態に係る車載通信システムのゲートウェイ装置における基準時刻を生成する処理の一例を定めたフローチャートである。図１４は、図１３におけるステップＳ２０８の詳細を示している。

図１４を参照して、まず、ゲートウェイ装置１０１は、最新の基準時刻ｔｒｑを用いた検知処理において異常を検知した場合、具体的には、不正メッセージを検知した場合またはグレー判定をした場合（ステップＳ３０２でＹＥＳ）、最新の基準時刻ｔｒｑに最新の平均値Ｘａｖｅを加えた値を、新たな基準時刻ｔｒ（ｑ＋１）として設定する（ステップＳ３０４）。

一方、ゲートウェイ装置１０１は、最新の基準時刻ｔｒｑを用いた検知処理において異常を検知しなかった場合、具体的には、不正メッセージを検知しなかった場合かつグレー判定をしなかった場合（ステップＳ３０２でＮＯ）、最新の基準時刻ｔｒｑを用いた検知処理において不正メッセージではないと判断した対象メッセージＭｎの受信時刻ｔａｎを、新たな基準時刻ｔｒ（ｑ＋１）として設定する（ステップＳ３０６）。

図１５は、本開示の実施の形態に係る車載通信システムのゲートウェイ装置における初回の基準時刻を生成する処理の一例を定めたフローチャートである。図１５は、図１２におけるステップＳ１０２の詳細を示している。

図１５を参照して、まず、ゲートウェイ装置１０１は、対象メッセージＭを待ち受け（ステップＳ４０２でＮＯ）、たとえば対象メッセージＭｎを受信すると（ステップＳ４０２でＹＥＳ）、対象メッセージＭｎの受信時刻ｔａｎを仮の基準時刻ｔｒａとして用いて、許容範囲Ｒａを設定する（ステップＳ４０４）。

次に、ゲートウェイ装置１０１は、次の対象メッセージＭ（ｎ＋１）の受信時刻ｔａ（ｎ＋１）が許容範囲Ｒａ外である場合（ステップＳ４０６でＮＯ）、受信成功数ｆをゼロにし（ステップＳ４０８）、受信時刻ｔａ（ｎ＋１）を仮の基準時刻ｔｒａとして用いて、許容範囲Ｒａを設定する（ステップＳ４０４）。

一方、ゲートウェイ装置１０１は、次の対象メッセージＭ（ｎ＋１）の受信時刻ｔａ（ｎ＋１）が許容範囲Ｒａ内である場合（ステップＳ４０６でＹＥＳ）、受信成功数ｆをインクリメントする（ステップＳ４１０）。

次に、ゲートウェイ装置１０１は、受信成功数ｆが４未満の場合（ステップＳ４１２でＮＯ）、受信時刻ｔａ（ｎ＋１）を仮の基準時刻ｔｒａとして用いて、許容範囲Ｒａを設定する（ステップＳ４０４）。

一方、ゲートウェイ装置１０１は、受信成功数ｆが４となると（ステップＳ４１２でＹＥＳ）、連続する４個の対象メッセージＭｎ，Ｍ（ｎ＋１），Ｍ（ｎ＋２），Ｍ（ｎ＋３）の受信時刻ｔａｎ，ｔａ（ｎ＋１），ｔａ（ｎ＋２），ｔａ（ｎ＋３）のうち、たとえば受信時刻ｔａ（ｎ＋２）を初回の基準時刻ｔｒ１として設定する（ステップＳ４１４）。

なお、本開示の実施の形態に係る車載通信システム３０１では、ゲートウェイ装置１０１が、車載ネットワーク１２における不正メッセージを検知する構成であるとしたが、これに限定するものではない。車載通信システム３０１では、ゲートウェイ装置１０１とは別の検知装置が、車載ネットワーク１２における不正メッセージを検知する構成であってもよい。

また、本開示の実施の形態に係る車載通信システム３０１では、検知装置として機能するゲートウェイ装置１０１がバス１３に直接接続される構成であるとしたが、これに限定するものではない。

図１６は、本開示の実施の形態に係る車載ネットワークの接続トポロジの一例を示す図である。

図１６を参照して、検知装置１５１が、車載装置たとえば制御装置１２２を介してバス１３に接続される構成であってもよい。この場合、検知装置１５１は、たとえば、当該車載装置が送受信するメッセージを監視することにより、バス１３に伝送される不正メッセージを検知する。

図１６に示す例では、たとえば、検知装置１５１の監視部５２は、制御装置１２２が送信する対象メッセージＭの送信時刻に対応する時刻を取得する。検知装置１５１の検知部５４は、監視部５２による監視結果に基づく対象メッセージＭの送信時刻と、生成部５５によって生成された基準時刻ｔｒとの時間差に基づいて、検知処理を行う。検知装置１５１の更新部５３は、検知処理において正常であると判定された対象メッセージＭの送信時刻と基準時刻ｔｒとの時間差を用いて、時間差の統計値を更新する。

また、本開示の実施の形態に係るゲートウェイ装置１０１では、検知部５４は、検知処理として、対象メッセージＭが不正メッセージであるか否かを判定する構成であるとしたが、これに限定するものではない。検知部５４は、検知処理として、対象メッセージＭが不正メッセージである確率を算出する構成であってもよい。

また、本開示の実施の形態に係るゲートウェイ装置１０１では、検知部５４は、対象メッセージＭｎが不正メッセージではないと判断した後、さらに対象メッセージＭ（ｎ＋１）も不正メッセージではないと判断した場合、対象メッセージＭｎ，Ｍ（ｎ＋１）をグレー判定する構成であるとしたが、これに限定するものではない。検知部５４は、グレー判定を行わない構成であってもよい。

また、本開示の実施の形態に係るゲートウェイ装置１０１では、検知部５４は、基準時刻ｔｒｑを用いた検知処理において、不正メッセージを検知しなかった場合、かつグレー判定をしなかった場合、生成要求Ｙ２を生成部５５へ通知する構成であるとしたが、これに限定するものではない。検知部５４は、基準時刻ｔｒｑを用いた検知処理において、不正メッセージを検知しなかった場合、かつグレー判定をしなかった場合、生成要求Ｙ２を生成部５５へ通知しない一方で、生成要求Ｙ１を生成部５５へ通知する構成であってもよい。

この場合、生成部５５は、上述したように、記憶部５６における平均値Ｘａｖｅを参照し、最新の基準時刻ｔｒｑに最新の平均値Ｘａｖｅを加えた値を算出する。生成部５５は、算出した値を、新たな基準時刻ｔｒ（ｑ＋１）として検知部５４へ通知する。

ところで、車載ネットワークにおける不正メッセージをより正しく検知することを可能とする技術が望まれる。

たとえば、周期メッセージを監視することにより、ある時刻に送信された周期メッセージを基準として、当該周期メッセージの送信時刻と、次に送信された周期メッセージの送信時刻との時間差に基づいて、正当な周期メッセージになりすました不正メッセージを検知する方法が考えられる。

このような方法では、基準とした周期メッセージが不正メッセージである場合、次に送信された周期メッセージが不正メッセージであるか否かを正しく判定できない場合がある。

具体的には、直前の周期メッセージの送信時刻に基づいて、次の周期メッセージが不正メッセージであるか否かを判定する上記方法では、直前の周期メッセージが不正メッセージである場合、当該不正メッセージの送信時刻に基づいて、次の周期メッセージが不正メッセージであるか否かの判定を行うこととなる。その結果、次の不正メッセージを正当メッセージであると誤判定したり、所定の設計送信周期に従って送信された正当メッセージを不正メッセージであると誤判定したりする場合がある。

これに対して、本開示の実施の形態に係るゲートウェイ装置１０１では、監視部５２は、車載ネットワーク１２における、周期的に送信される正当メッセージ、および不正メッセージを対象メッセージＭとして監視する。検知部５４は、不正メッセージを検知する検知処理を行う。生成部５５は、検知処理に用いられる基準時刻ｔｒを生成する。検知部５４は、監視部５２による監視結果に基づく対象メッセージＭｎの送信時刻に対応する時刻と、生成部５５によって生成された基準時刻ｔｒｑとの時間差Ｘｎに基づいて、検知処理を行う。更新部５３は、検知処理において正常であると判定された対象メッセージＭの送信時刻に対応する時刻と基準時刻ｔｒとの時間差Ｘを用いて、時間差Ｘの平均値Ｘａｖｅを更新する。生成部５５は、検知処理において対象メッセージＭｎが異常であると判定された場合、最新の平均値Ｘａｖｅを基準時刻ｔｒｑに加えた値に基づいて、異常であると判定された対象メッセージＭｎの後に送信される対象メッセージＭ（ｎ＋１）についての検知処理に用いられる新たな基準時刻ｔｒ（ｑ＋１）を生成する。

このように、検知処理において正常であると判定された対象メッセージＭの送信時刻に対応する時刻と基準時刻ｔｒとの時間差Ｘを用いて平均値Ｘａｖｅを更新するとともに、検知処理において対象メッセージＭｎが異常であると判定された場合、時間差Ｘの平均値Ｘａｖｅを基準時刻ｔｒｑに加えた値に基づいて新たな基準時刻ｔｒ（ｑ＋１）を生成する構成により、不正メッセージの送信時刻に対応する時刻を基準に検知処理を行うことを回避することができるため、異常であると判定された対象メッセージＭｎの次に送信される対象メッセージＭ（ｎ＋１）についての検知処理における誤判定を抑制することができる。

したがって、本開示の実施の形態に係るゲートウェイ装置１０１では、車載ネットワークにおける不正メッセージをより正しく検知することができる。

また、本開示の実施の形態に係るゲートウェイ装置１０１では、検知部５４は、対象メッセージＭｎの送信時刻に対応する時刻と基準時刻ｔｒｑとの時間差Ｘｎ、および対象メッセージＭｎの後に送信される対象メッセージＭ（ｎ＋１）の送信時刻に対応する時刻と基準時刻ｔｒｑとの時間差Ｘ（ｎ＋１）に基づいて、対象メッセージＭｎに関する異常を検知する。

このような構成により、たとえば、基準時刻ｔｒｑを用いた検知処理において、正常であると判定される時間内に複数の対象メッセージＭが送信され、当該複数の対象メッセージＭに含まれる不正メッセージを正当メッセージであると誤判定した場合であっても、当該複数の対象メッセージＭは異常である可能性があると判断することができる。これにより、検知処理において検知することができなかった不正メッセージを、たとえばグレー判定することができる。

また、本開示の実施の形態に係るゲートウェイ装置１０１では、生成部５５は、検知処理において対象メッセージＭｎが正常であると判定された場合、正常であると判定された対象メッセージＭｎの送信時刻に対応する時刻に基づいて、正常であると判定された対象メッセージＭｎの後に送信される対象メッセージＭ（ｎ＋１）についての検知処理に用いられる新たな基準時刻ｔｒ（ｑ＋１）を生成する。

このような構成により、たとえば、正常であると判定された対象メッセージＭｎの実際の送信時刻に対応する時刻を新たな基準時刻ｔｒ（ｑ＋１）とすることにより、通信遅延等による対象メッセージＭｎの送信時刻の変動を考慮した、より正確な検知処理を行うことができる。

また、本開示の実施の形態に係るゲートウェイ装置１０１では、生成部５５は、基準時刻ｔｒの生成において、対象メッセージＭが送信される際の調停処理による遅延時間を用いる。

このような構成により、たとえば、時間差Ｘの最新の平均値Ｘａｖｅを基準時刻ｔｒｑに加えることにより新たな基準時刻ｔｒ（ｑ＋１）を生成する場合において、通信遅延等による対象メッセージＭｎの送信時刻の変動が考慮された基準時刻ｔｒ（ｑ＋１）を用いて、より正確な検知処理を行うことができる。

また、本開示の実施の形態に係る車両１は、ゲートウェイ装置１０１を備える。

このような構成により、ゲートウェイ装置１０１を備える車両１において、車載ネットワーク１２における不正メッセージをより正しく検知することができる。

また、本開示の実施の形態に係る検知方法は、車載ネットワーク１２における不正メッセージを検知するゲートウェイ装置１０１における検知方法である。この検知方法では、まず、ゲートウェイ装置１０１が、車載ネットワーク１２における、周期的に送信される正当メッセージ、および不正メッセージを対象メッセージＭとして監視する。次に、ゲートウェイ装置１０１が、不正メッセージを検知する検知処理に用いられる基準時刻ｔｒを生成する。次に、ゲートウェイ装置１０１が、対象メッセージＭの監視結果に基づく対象メッセージＭｎの送信時刻に対応する時刻と、生成した基準時刻ｔｒｑとの時間差Ｘｎに基づいて、検知処理を行う。次に、ゲートウェイ装置１０１が、検知処理において正常であると判定された対象メッセージＭの送信時刻に対応する時刻と基準時刻ｔｒとの時間差Ｘを用いて、時間差Ｘの平均値Ｘａｖｅを更新する。ゲートウェイ装置１０１は、基準時刻ｔｒを生成するステップにおいては、検知処理において対象メッセージＭｎが異常であると判定された場合、最新の平均値Ｘａｖｅを基準時刻ｔｒｑに加えた値に基づいて、異常であると判定された対象メッセージＭｎの後に送信される対象メッセージＭ（ｎ＋１）についての前記検知処理に用いられる新たな基準時刻ｔｒ（ｑ＋１）を生成する。

このように、検知処理において正常であると判定された対象メッセージＭの送信時刻に対応する時刻と基準時刻ｔｒとの時間差Ｘを用いて平均値Ｘａｖｅを更新するとともに、検知処理において対象メッセージＭｎが異常であると判定された場合、時間差Ｘの平均値Ｘａｖｅを基準時刻ｔｒｑに加えた値に基づいて新たな基準時刻ｔｒ（ｑ＋１）を生成する方法により、不正メッセージの送信時刻に対応する時刻を基準に検知処理を行うことを回避することができるため、異常であると判定された対象メッセージＭｎの次に送信される対象メッセージＭ（ｎ＋１）についての検知処理における誤判定を抑制することができる。

したがって、本開示の実施の形態に係る検知方法では、車載ネットワークにおける不正メッセージをより正しく検知することができる。

上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

以上の説明は、以下に付記する特徴を含む。
［付記１］
車載ネットワークにおける不正メッセージを検知する検知装置であって、
前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視する監視部と、
前記不正メッセージを検知する検知処理に用いられる基準時刻を生成する生成部と、
前記監視部による監視結果に基づく前記対象メッセージの送信時刻に対応する時刻と、前記生成部によって生成された前記基準時刻との時間差に基づいて、前記検知処理を行う検知部と、
前記検知処理において正常であると判定された前記対象メッセージの送信時刻に対応する時刻と前記基準時刻との前記時間差を用いて、前記時間差の統計値を更新する更新部とを備え、
前記生成部は、前記検知処理において前記対象メッセージが異常であると判定された場合、最新の前記統計値を前記基準時刻に加えた値に基づいて、異常であると判定された前記対象メッセージの後に送信される前記対象メッセージについての前記検知処理に用いられる新たな前記基準時刻を生成し、
前記生成部は、前記検知処理において前記対象メッセージが正常であると判定された場合、正常であると判定された前記対象メッセージの送信時刻に基づいて、正常であると判定された前記対象メッセージの後に送信される前記対象メッセージについての前記検知処理に用いられる新たな前記基準時刻を生成し、
前記時間差の前記統計値は、前記時間差の平均値である、検知装置。

［付記２］
車載ネットワークにおける不正メッセージを検知する検知装置であって、
前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視する監視部と、
前記不正メッセージを検知する検知処理に用いられる基準時刻を生成する生成部と、
前記監視部による監視結果に基づく前記対象メッセージの送信時刻に対応する時刻と、前記生成部によって生成された前記基準時刻との時間差に基づいて、前記検知処理を行う検知部と、
前記検知処理において正常であると判定された前記対象メッセージの送信時刻に対応する時刻と前記基準時刻との前記時間差を用いて、前記時間差の統計値を更新する更新部とを備え、
前記生成部は、前記検知処理において前記対象メッセージが異常であると判定された場合、最新の前記統計値を前記基準時刻に加えた値に基づいて、異常であると判定された前記対象メッセージの後に送信される前記対象メッセージについての前記検知処理に用いられる新たな前記基準時刻を生成し、
前記監視部、前記生成部、前記検知部および前記更新部は、プロセッサにより実現される、検知装置。

１ 車両
１２ 車載ネットワーク
１３，１４ バス
５１ 通信処理部
５２ 監視部
５３ 更新部
５４ 検知部
５５ 生成部
５６ 記憶部
１０１ ゲートウェイ装置
１１１ 車載通信機
１１２ ポート
１２１ バス接続装置群
１２２ 制御装置
１３１ 発振器
１３２ ＣＰＵ
１３３ ＣＡＮトランシーバ
１４１ ＣＰＵ
１４２ ＣＡＮトランシーバ
１４３ 発振器
１５１ 検知装置
３０１ 車載通信システム

Claims (7)

1. 車載ネットワークにおける不正メッセージを検知する検知装置であって、
   前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視する監視部と、
   前記不正メッセージを検知する検知処理に用いられる基準時刻を生成する生成部と、
   前記監視部による監視結果に基づく前記対象メッセージの送信時刻に対応する時刻と、前記生成部によって生成された前記基準時刻との時間差に基づいて、前記検知処理を行う検知部と、
   前記検知処理において正常であると判定された前記対象メッセージの送信時刻に対応する時刻と前記基準時刻との前記時間差を用いて、前記時間差の統計値を更新する更新部とを備え、
   前記生成部は、前記検知処理において前記対象メッセージが異常であると判定された場合、最新の前記統計値を前記基準時刻に加えた値に基づいて、異常であると判定された前記対象メッセージの後に送信される前記対象メッセージについての前記検知処理に用いられる新たな前記基準時刻を生成する、検知装置。
2. 前記検知部は、前記対象メッセージである第１の対象メッセージの送信時刻に対応する時刻と前記基準時刻との時間差、および前記第１の対象メッセージの後に送信される前記対象メッセージである第２の対象メッセージの送信時刻に対応する時刻と前記基準時刻との時間差に基づいて、前記第１の対象メッセージに関する異常を検知する、請求項１に記載の検知装置。
3. 前記生成部は、前記検知処理において前記対象メッセージが正常であると判定された場合、正常であると判定された前記対象メッセージの送信時刻に対応する時刻に基づいて、正常であると判定された前記対象メッセージの後に送信される前記対象メッセージについての前記検知処理に用いられる新たな前記基準時刻を生成する、請求項１または請求項２に記載の検知装置。
4. 前記生成部は、前記基準時刻の生成において、前記対象メッセージが送信される際の調停処理による遅延時間を用いる、請求項１から請求項３のいずれか１項に記載の検知装置。
5. 請求項１から請求項４のいずれか１項に記載の検知装置を備える、車両。
6. 車載ネットワークにおける不正メッセージを検知する検知装置における検知方法であって、
   前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視するステップと、
   前記不正メッセージを検知する検知処理に用いられる基準時刻を生成するステップと、
   前記対象メッセージの監視結果に基づく前記対象メッセージの送信時刻に対応する時刻と、生成した前記基準時刻との時間差に基づいて、前記検知処理を行うステップと、
   前記検知処理において正常であると判定された前記対象メッセージの送信時刻に対応する時刻と前記基準時刻との前記時間差を用いて、前記時間差の統計値を更新するステップとを含み、
   前記基準時刻を生成するステップにおいては、前記検知処理において前記対象メッセージが異常であると判定された場合、最新の前記統計値を前記基準時刻に加えた値に基づいて、異常であると判定された前記対象メッセージの後に送信される前記対象メッセージについての前記検知処理に用いられる新たな前記基準時刻を生成する、検知方法。
7. 車載ネットワークにおける不正メッセージを検知する検知装置において用いられる検知プログラムであって、
   コンピュータを、
   前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視する監視部と、
   前記不正メッセージを検知する検知処理に用いられる基準時刻を生成する生成部と、
   前記監視部による監視結果に基づく前記対象メッセージの送信時刻に対応する時刻と、前記生成部によって生成された前記基準時刻との時間差に基づいて、前記検知処理を行う検知部と、
   前記検知処理において正常であると判定された前記対象メッセージの送信時刻に対応する時刻と前記基準時刻との前記時間差を用いて、前記時間差の統計値を更新する更新部、
   として機能させるためのプログラムであり、
   前記生成部は、前記検知処理において前記対象メッセージが異常であると判定された場合、最新の前記統計値を前記基準時刻に加えた値に基づいて、異常であると判定された前記対象メッセージの後に送信される前記対象メッセージについての前記検知処理に用いられる新たな前記基準時刻を生成する、検知プログラム。
   
   
   
   

Images