JP7435929B2 - 不正通信検知装置、通信許可リスト生成装置、不正通信検知方法、通信許可リスト生成方法、不正通信検知プログラム、及び通信許可リスト生成プログラム - Google Patents

Description

本開示は、不正通信検知装置、通信許可リスト生成装置、不正通信検知方法、通信許可リスト生成方法、不正通信検知プログラム、及び通信許可リスト生成プログラムに関する。

近年、ＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）システム内部に取り付けた不正機器などから、ネットワーク内を流れるメッセージに成りすました不正メッセージを送信することで、当該システムの制御を騙す攻撃が研究等で明らかにされている。

このため、ネットワーク内を流れるメッセージを監視し、不正メッセージを検知する不正通信検知機能を搭載する動きが進んでいる。ネットワーク内を流れるメッセージに固定的、周期的なものが多く存在するシステムにおいては、それら正常なメッセージに関する情報を許可リストとして保持し、そこから逸脱したメッセージが流れた場合に不正メッセージとして検知する、許可リスト型の不正通信検知機能の適用が有効である。許可リスト型の不正通信検知機能は、不正メッセージに関する情報を保持する拒否リスト型の不正通信検知機能と比べ、リストの更新を頻繁に行う必要がないというメリットも存在する。

不正通信検知機能が周期条件による検知を行う場合、すなわち、周期性を持つメッセージについて正常な周期から逸脱した場合に不正メッセージとして検知する機能を備える場合、当該ネットワークで通常発生し得る遅延、早着などの周期誤差を考慮した上で、適切な周期範囲(正常と判断する周期の上限値と下限値)を周期条件として設定する必要がある。設定した周期条件が狭すぎると、正常メッセージを不正メッセージと判断する誤検知の可能性が高まる。一方、広すぎると、不正メッセージを検知しない検知漏れの可能性が高まる。

そこで、特許文献１では、通信データを学習、解析して周期条件を設定する方式を提案している。

特開２０２１－０４８４９５号公報

特許文献１に開示された方法では、通信データ内で発生している周期誤差のワーストケースを包含した周期条件を生成することで、誤検知の発生を抑制することが可能となる。しかしながら、周期メッセージの中にはネットワーク環境やその周期メッセージを送信するアプリケーションの制約などによって、周期誤差が特徴的に変動するものが存在する。したがって、単に通信データ内の周期誤差のワーストケースを考慮しただけでは、正常メッセージと不正メッセージの判定ができないという問題があった。

本開示は、上記のような課題を解決するためになされたものであり、より精度良く通信メッセージが正常メッセージか否かの判定を行うことができる不正通信検知装置を得ることを目的とする。

本開示の一態様の不正通信検知装置は、通信メッセージを取得する通信取得部と、通信メッセージの時間変化する状態毎に設定された周期条件に基づき、通信メッセージが正常なメッセージか否かを判定する通信判定部と、を備え、通信判定部は、通信メッセージの周期誤差に影響を与える要因である遷移種別と、遷移種別毎に設定された複数の遷移条件とに基づいて分類される通信メッセージの状態に基づき、通信メッセージの周期条件を特定し、通信メッセージが正常なメッセージか否かを判定する。
本開示の一態様の不正通信検知装置は、通信メッセージを取得する通信取得部と、通信メッセージの時間変化する状態毎に設定された周期条件に基づき、通信メッセージが正常なメッセージか否かを判定する通信判定部と、を備え、通信判定部は、帯域負荷、送信回数、時間間隔のうち少なくとも一つに基づき、通信メッセージの状態を特定し、特定した通信メッセージの状態に対して設定された周期条件に基づき、通信メッセージが正常なメッセージか否かを判定する。

本開示に係る不正通信検知装置は、通信メッセージの時間変化する状態毎に設定された周期条件に基づき、通信メッセージが正常なメッセージか否かを判定する通信判定部を備えたので、時間変化する状態毎の周期条件に基づき通信メッセージの判定を行うことにより、より精度良く通信メッセージが正常メッセージか否かの判定を行うことができる。

実施の形態１に係る車両システム１０の構成を示す構成図である。 実施の形態１に係るＧＷ１１及び不正通信検知装置１００の構成を示す構成図である。 通信メッセージのメッセージフォーマットの具体例を示す概念図である。 ルールリスト１２２のフォーマットの具体例を示す概念図である。 周期条件リスト１２３のフォーマットの具体例を示す概念図である。 周期条件リスト１２４のフォーマットの具体例を示す概念図である。 周期条件リスト１２５のフォーマットの具体例を示す概念図である。 周期条件リスト１２６のフォーマットの具体例を示す概念図である。 実施の形態１に係る不正通信検知装置１００のハードウェア構成を示すハードウェア構成図である。 実施の形態１に係る不正通信検知装置１００の動作を示すフローチャートである。 実施の形態１に係る通信許可リスト生成装置２００の構成を示す構成図である。 実施の形態１に係る処理部２１０の内部動作及び入出力情報を説明するためのフロー図である。 通信仕様２２１のフォーマットの具体例を示す概念図である。 通信データ２２２のフォーマットの具体例を示す概念図である。 設定定義２２３のフォーマットの具体例を示す概念図である。 実施の形態１に係る通信許可リスト生成装置２００のハードウェア構成を示すハードウェア構成図である。 実施の形態１に係る通信仕様解析部２１１が行う通信仕様解析処理を示すフローチャートである。 実施の形態１に係る通信仕様解析部２１１が行うメッセージ情報解析サブルーチンを示すフローチャートである。 実施の形態１に係る通信仕様解析部２１１が行うシグナル情報解析サブルーチンを示すフローチャートである。 内部生成ファイル３０１の具体例を示す概念図である。 内部生成ファイル３０２の具体例を示す概念図である。 内部生成ファイル３０３の具体例を示す概念図である。 内部生成ファイル３０４の具体例を示す概念図である。 内部生成ファイル３０５の具体例を示す概念図である。 実施の形態１に係る通信許可リスト出力部２１２が行う通信許可リスト出力処理を示すフローチャートである。 実施の形態１に係る通信データ解析部が行う通信データ解析処理を示すフローチャートである。

実施の形態１．
本開示では、初めに通信許可リストに基づいて不正通信検知を行う不正通信検知フェーズについて説明した後、当該通信許可リストを生成する通信許可リスト生成フェーズについて説明する。また、不正通信検知フェーズで説明する不正通信検知装置と、通信許可リスト生成フェーズで説明する通信許可リスト生成装置とを組み合わせて通信システムが構成される。

（不正通信検知フェーズ）
図１は、実施の形態１に係る車両システム１０の構成を示す構成図である。
車両システム１０は、ＧＷ（Ｇａｔｅｗａｙ）１１、ケーブル１２、第一車載機器１、第二車載機器２、・・・第ｎ車載機器ｎを備える。ｎは１以上の整数であり、実際の車両には数十から百数十個の車載機器が搭載される。

ＧＷ１１、第一車載機器１、第二車載機器２、・・・第ｎ車載機器ｎはケーブル１２を介して互いに通信を行う。ケーブル１２、車両内通信で標準的に用いられているＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）通信に対応したケーブルである。ＣＡＮはブロードキャスト通信のため、ＧＷ１１はケーブル１２を流れる通信を全て受信することが可能である。

図２は、ＧＷ１１及び不正通信検知装置１００の構成を示す構成図である。
ＧＷ１１は、不正通信検知装置１００、ＧＷ機能部１３０、通信部１４０を備える。以下において、「部」は機能構成の要素を意味し、「部」は適宜「処理」、「工程」に読み替えてもよい。また、不正通信検知装置１００の動作が不正通信検知方法に対応し、不正通信検知方法をコンピュータに実行させるプログラムが不正通信検知プログラムに対応する。

ＧＷ機能部１３０は、通信メッセージの転送を行うものである。

通信部１４０は、データの通信を行うものである。通信部１４０は、データを受信する受信部１４１と、データを送信する送信部１４２とを備える。また、受信部１４１は、単位時間あたりに受信する通信メッセージの数をカウントすることで、ケーブル１２の帯域負荷状況を観測する機能を有する。

不正通信検知装置１００は、車両システム１０を流れる通信メッセージの不正検知を行うものであり、処理部１１０及び記憶部１２０を備える。

処理部１１０は、通信取得部１１１、通信判定部１１２及びアラート部１１３を備える。

通信取得部１１１は、通信メッセージを取得するものである。実施の形態１において、通信取得部１１１は、受信部１４１が受信した通信メッセージを、受信部１４１での受信時刻情報と共に取得し、通信判定部１１２に送信する。

通信判定部１１２は、通信メッセージの時間変化する状態毎に設定された周期条件に基づき、通信メッセージが正常なメッセージか否かを判定するものである。ここで、通信メッセージの状態とは、周期誤差に対して影響を及ぼす通信メッセージの特徴を示すものであり、実施の形態１においては、通信メッセージの周期誤差に影響を与える要因である遷移種別と、遷移種別毎に設定された複数の遷移条件とに基づいて分類される。すなわち、通信判定部１１２は、遷移種別と遷移条件とに基づいて分類される通信メッセージの状態に基づき、通信メッセージの周期条件を特定し、通信メッセージが正常なメッセージか否かを判定する。

通信メッセージの状態について、より具体的には、通信メッセージの周期誤差に影響を与える特徴を帯域負荷、送信回数、時間間隔といった複数の遷移状態に項目分けした後、各項目においてさらに複数の項目を遷移条件として設定している。遷移状態と遷移条件の詳細については後述する。

実施の形態１において、通信判定部１１２は、通信メッセージの状態毎の周期条件が設定された周期条件リストを参照することにより、通信メッセージが正常なメッセージであるか否かを判定する。より具体的には、通信判定部１１２は、通信メッセージの受信周期が後述する周期条件リストに定められた周期範囲を逸脱しているか否かを判定することにより、通信メッセージが正常なメッセージか否かを判定する。

また、実施の形態１において、通信判定部１１２は、通信メッセージの周期誤差に影響を与える要因である遷移種別と、遷移種別毎に設定された複数の遷移条件とに基づいて分類される通信メッセージの状態に基づき、通信メッセージの周期条件を特定し、前記通信メッセージが正常なメッセージか否かを判定する。

ここでの遷移種別とは、例えば、帯域負荷、送信回数、時間間隔であって、実施の形態１において、通信判定部１１２は、帯域負荷、送信回数、時間間隔のうち少なくとも一つに基づき、通信メッセージの状態を特定し、特定した通信メッセージの状態に対して設定された周期条件に基づき、通信メッセージが正常なメッセージか否かを判定する。

アラート部１１３は、通信判定部１１２が通信メッセージが正常なメッセージでないと判定した場合、ユーザに対してアラートを提示するものである。

記憶部１２０は、各種情報を記憶するものであり、特に通信許可リスト１２１を記憶するものである。通信許可リスト１２１は、不正通信検知のルールを定めたものであり、ルールリスト１２２と周期条件リスト１２３～１２６を備える。すなわち、実施の形態１において、記憶部１２０は、複数の周期条件リスト１２３～１２６とルールリスト１２２とを通信許可リスト１２１として記憶する。

ルールリスト１２２は、通信メッセージに含まれるＩＤと周期条件リストの種類を示す周期条件ＩＤとを対応付けたものである。

周期条件リスト１２３～１２６は、通信メッセージの状態毎の周期条件が設定されたものである。より具体的には、周期条件リストは、通信メッセージの状態毎の正常な周期範囲を周期条件として保持する。

実施の形態１において、周期条件リストは周期条件リスト１２３～１２６の４つのリストが存在するものとしているが、周期条件リストの数はこれに限らず少なくとも１つ以上であればよい。ルールリスト１２２および周期条件リスト１２３～１２６の詳細は後述する。通信許可リスト１２１は不揮発性の記憶装置に記憶され、ＧＷ１１が起動する際に不揮発性の記憶装置からメモリに展開される。この他にも、記憶部１２０にはＧＷ１１で使用、生成、入力、出力、送信または受信される不図示のデータが記憶される。

図３は、車両システム１０内を流れ、不正通信検知装置１００が検知対象とするＣＡＮの通信メッセージのメッセージフォーマットである。ＣＡＮの通信メッセージは、ＩＤと、ＤＬＣと、データフィールドを備える。ＩＤは通信メッセージを一意に識別するために付与されたメッセージ番号である。ＤＬＣ（Ｄａｔａ Ｌｅｎｇｔｈ Ｃｏｄｅ）は次に続くデータフィールドのデータ長をバイト単位で示す。データフィールドはアプリケーションが用いるデータが格納されたフィールドであり、ＣＡＮ通信では最大８バイトである。データフィールドは複数のシグナルで構成される。シグナルは１～６４ビットのデータ長を取り得る。ＩＤ、ＤＬＣ、データフィールドおよび各シグナルの詳細は車両システム１０毎に定義される。

ＣＡＮの通信メッセージには、メッセージ毎に予め定められた周期で定期的に送信される周期メッセージが多く存在する。しかしながらその周期は必ずしも正確に維持されてはおらず、様々な要因の影響を受けて早着や遅延などの誤差が生じている。

実車内のネットワークの通信を観測した場合、これら周期メッセージの中には周期誤差の遷移に特徴がみられるものが存在する。例えば、１０ｍｓなどの短い周期を持つ周期メッセージの場合、ＣＡＮケーブルの帯域負荷の影響を受けやすく、負荷が高い場合には送信遅延が長くなり、周期誤差が大きくなる傾向がある。あるいは、送信回数や時間間隔など一定のタイミングで大きな周期誤差が生じる挙動を繰り返すものも存在する。これらは、当該周期メッセージを送信する車載機器やあるいは車載機器上のアプリケーションなどの影響によるものと推察される。本開示はこれら特徴をもつ周期メッセージに対する周期条件の設定方法に関するものである。

図４は、通信許可リスト１２１を構成するルールリスト１２２の内部構成及び取り得る値の一例を示すものである。通信許可リスト１２１は、車両システム１０内を流れる正常なＣＡＮメッセージの情報を記載したリストである。

通信許可リスト１２１内のルールリスト１２２を構成する項目としては、ルール番号、ＩＤ，ＤＬＣ，シグナル条件、周期条件ＩＤがある。ルール番号はルールリスト１２２内で各ルールを一意に識別するためにシーケンシャルに付与される番号である。ＩＤおよびＤＬＣは、図３に示したＣＡＮの通信メッセージにおけるＩＤおよびＤＬＣに対応する。シグナル条件は、図３に示したＣＡＮの通信メッセージにおける各シグナルの先頭ビット、レングス、最小値、最大値を定義する。周期条件ＩＤは、周期メッセージについて、その周期条件を定義した周期条件リストへの紐づけを行うための番号である。

図４の例では、ＩＤが０ｘ１０、０ｘ２０、０ｘ３０および０ｘ４０の４つの周期メッセージの情報が記載されている。ここで、ＩＤ＝０ｘ１０の周期メッセージは、周期が１０ｍｓであり、その周期誤差は帯域負荷の影響を大きく受けるメッセージであるものとする。具体的には、ＩＤ＝０ｘ１０はケーブル１２の帯域負荷が低い（例えば４０％未満）場合には１０ｍｓの周期に対して±１ｍｓ未満の周期誤差しか生じないものの、帯域負荷が中程度（例えば４０％以上７０％未満）の場合は±２ｍｓ未満、帯域負荷が高（例えば７０％以上）の場合は±３ｍｓ未満の周期誤差となるものとする。

ＩＤ＝０ｘ２０の周期メッセージは、周期が１００ｍｓであり、その周期誤差は送信回数の影響を大きく受けるメッセージであるものとする。具体的には、ＩＤ＝０ｘ２０は最初の３パケットは１００ｍｓの周期に対して±２ｍｓ未満の周期誤差しか生じないものの、次の４パケット目は常に２０ｍｓほど遅延するような挙動を繰り返すものとする。

ＩＤ＝０ｘ３０の周期メッセージは、周期が２００ｍｓであり、その周期誤差は時間間隔の影響を大きく受けるメッセージであるものとする。具体的には、ＩＤ＝０ｘ３０は最初の約３９秒間は２００ｍｓの周期に対して±５ｍｓ未満の周期誤差しか生じないものの、続く１秒間は±１５ｍｓ以上の周期誤差となる挙動を繰り返すものとする。

ＩＤ＝０ｘ４０の周期メッセージは、周期が５００ｍｓであり、その周期誤差の遷移は帯域負荷や一定タイミングとの関連は特にみられないものとする。本実施例では簡略化のためルールリスト１２２には４つのＣＡＮメッセージのルールのみ示しているが、車両システム１０を流れ得る正常なＣＡＮメッセージの情報は、周期性を持たないメッセージも含めて、全て抜け漏れなく記載することが望ましい。

図５はＩＤ＝０ｘ１０の周期条件リスト１２３の内部構成及び取り得る値の一例を示すものである。周期条件リスト１２３を構成する項目としては、周期条件ＩＤ，遷移種別、状態、周期条件、遷移条件がある。周期条件ＩＤはルールリスト１２２と周期条件リスト１２３～１２６の紐づけを行うための番号で、ルールリスト１２２でＩＤ＝０ｘ１０に関するルールが記載されたルール番号１における周期条件ＩＤと同じ値が記載される。遷移種別には”帯域負荷”、”カウンタ”、”時間”、“無”のいずれかが記載される。ここで、”カウンタ”は送信回数に、”時間”は時間間隔に対応する。

実施の形態１において、ＩＤ＝０ｘ１０の通信メッセージは帯域負荷の影響を受けるため、”帯域負荷”が記載される。本項目は文字列ではなく予め定めた種別番号などを記載する形式でも良い。状態及び遷移条件にはＩＤ＝０ｘ１０の周期誤差に差異が現れる条件を定義する。実施の形態１においては、帯域負荷が低、中、高の３段階で、それぞれ周期誤差が±１ｍｓ未満、±２ｍｓ未満、±３ｍｓ未満と変化するので、この３段階を状態として定義する。周期条件は各状態において正常とみなす周期条件を前回受信時からの時間の取り得る値範囲として記載する。

図６はＩＤ＝０ｘ２０の周期条件リスト１２４の内部構成及び取り得る値の一例を示すものである。周期条件リスト１２４の内部構成は周期条件リスト１２３と同一である。周期条件リスト１２４の周期条件ＩＤは１、遷移種別は“カウンタ”が記載される。状態としては「最初の３パケット」と「後の１パケット」という２状態を定義する。

図７はＩＤ＝０ｘ３０の周期条件リスト１２５の内部構成及び取り得る値の一例を示すものである。周期条件リスト１２５の内部構成は周期条件リスト１２３と同一である。周期条件リスト１２５の周期条件ＩＤは２、遷移種別は“時間”が記載される。状態としては「最初の３９秒間」と「後の１秒間」という２状態を定義する。

図８はＩＤ＝０ｘ４０の周期条件リスト１２６の内部構成及び取り得る値の一例を示すものである。周期条件リスト１２６の内部構成は周期条件リスト１２３と同一である。周期条件リスト１２６の周期条件ＩＤは３、遷移種別は“無”が記載される。状態は定義しないため０、遷移条件も“無”とする。周期条件は、周期５００ｍｓに対し、実車環境で発生し得る周期誤差を考慮して任意のマージンを設けた値を記載する。実施の形態１においては±２０ｍｓのマージンを設けることとする。

次に、不正通信検知装置１００のハードウェア構成について説明する。図９は、不正通信検知装置１００のハードウェア構成を示すハードウェア構成図である。不正通信検知装置１００が備える通信取得部１１１、通信判定部１１２、及びアラート部１１３は、記憶装置１００２に格納されたプログラムが処理装置１００１で実行されることにより実現される。

処理装置１００１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）中央処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、またはＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等のプロセッサである。また、複数のプロセッサにより、不正通信検知装置１００の各機能を実現しても良い。また、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）やＡＳＩＣ等で不正通信検知装置１００の各機能を実現しても良い。

記憶部１２０は、記憶装置１００２によって実現され、記憶装置１００２は、例えば、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ、ＥＰＲＯＭ（ＥｒａｓａｂｌｅＰｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ ＥＰＲＯＭ）等の不揮発性または揮発性の半導体メモリであっても良いし、ハードディスク、フレキシブルディスク等の磁気ディスクであっても良いし、ミニディスク、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）等の光ディスクでも良い。

通信装置３は、通信を行う装置であり、レシーバとトランスミッタとを備える。具体的には、通信装置３は通信チップまたはＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。

図１０は、不正通信検知装置１００が行う不正通信検知処理のフローチャートである。

ステップＳ１において、通信取得部１１１は、受信部１４１が受信した通信メッセージを、受信部１４１での受信時刻情報と共に取得し、通信判定部１１２に送信する。

ステップＳ２において、通信判定部１１２は、渡された通信メッセージの内容を解析し、当該メッセージに含まれるＩＤ，ＤＬＣ，データフィールドの値を取得する。

ステップＳ３において、通信判定部１１２は、当該通信メッセージに合致する情報がルールリスト１２２に存在するかを判定する。判定では、ルールリスト１２２に記載された検知ルールの中から、ＩＤ条件とＤＬＣ条件がステップＳ２で取得した値と一致するルールを探索する。一致するルールが存在した場合は、そのルールのシグナル条件に記載された全てのシグナルについて、先頭ビットとレングスの情報に従ってデータフィールドから値を読み出し、取り得る値の範囲内であるかをチェックする。

ステップＳ３の判定で、一致する情報がルールリスト１２２に存在しない場合は、ステップＳ９に進み、アラート部１１３にて、予め定められたアラート処理を行う。アラート処理としては、送信部２４２を介して、車両システム１０内の不図示のログ記憶装置に対して不正通信の発生を示すログ情報を送信することや、不図示の操作パネルに警告メッセージを表示させて車両システム１０の搭乗者に通知することなど、様々な処理を実施し得る。以上の処理ステップを実行した後、本フローチャートを終了する。

ステップＳ３の判定で、一致する情報がルールリスト１２２に存在する場合は、ステップＳ４において、通信判定部１１２は、ルールリスト１２２の周期条件ＩＤを参照し、対応する周期条件リスト（１２３～１２６のいずれか）を取得する。

ステップＳ５において、通信判定部１１２は、取得した周期条件リストの遷移種別を参照し、当該メッセージに関する現在の状態を特定する。

例えば当該メッセージがＩＤ＝０ｘ１０である場合は、周期条件リスト１２３の遷移種別が“帯域負荷”であるため、受信部１４１からケーブル１２の帯域負荷状況を取得して、現在の状態が負荷低（＝１）、負荷中（＝２）、負荷高（＝３）のいずれであるかを判断する。

当該メッセージがＩＤ＝０ｘ２０である場合は、周期条件リスト１２４の遷移種別が“カウンタ”であるため、内部で管理しているＩＤ＝０ｘ２０の受信カウンタの値を参照し、４の倍数であれば状態２、それ以外であれば状態１であると判断する。

当該メッセージがＩＤ＝０ｘ３０である場合は、周期条件リスト１２５の遷移種別が“時間”であるため、内部で管理しているＩＤ＝０ｘ３０の初回受信時点からのタイマ値を参照し、４０秒区切りとした場合の残りの１秒間に該当すれば状態２、それ以外であれば状態１であると判断する。

当該メッセージがＩＤ＝０ｘ４０である場合は、周期条件リスト１２６の遷移種別が“無”であるため、それ以上の処理は行わず、ステップＳ６に移る。

ステップＳ６において、通信判定部１１２は、特定した状態に対応する周期条件を取得する。

ステップＳ７において、通信判定部１１２は、ステップＳ１で取得した受信時刻情報と、予め内部で保持していた当該メッセージに関する前回の受信時刻情報とを比較し、受信間隔がステップＳ６で取得した周期条件の範囲内であるかをチェックする。

ステップＳ７の判定で、周期条件の範囲外であると判定した場合は、ステップＳ９に進み、アラート部１１３にて、予め定められたアラート処理を行った後、本フローチャートを終了する。

ステップＳ７の判定で、周期条件の範囲内であると判定した場合は、当該メッセージは正常メッセージであると判定し、ステップＳ８において、通信判定部１１２は、当該メッセージの情報を更新する。具体的には、通信判定部１１２は、内部で保持している当該メッセージに関する前回の受信時刻情報を、ステップＳ１で渡された受信時刻情報で上書きする。また、通信判定部１１２は、当該メッセージが遷移種別“カウンタ”のメッセージであった場合は、内部で管理している当該メッセージの受信カウンタの値をインクリメントする。
以上の処理ステップを実行した後、不正通信検知装置１００は動作を終了する。

以上、不正通信検知装置１００によれば、時間変化する状態毎の周期条件に基づき通信メッセージの判定を行うことにより、より精度良く通信メッセージが正常メッセージか否かの判定を行うことができる。また、自動車の車両内部に取り付けた不正な車載機器などから、当該車両の走行等に関わる制御を騙すような不正メッセージが送信された場合に、それを検知してアラートとして挙げることが可能となる。周期メッセージについて、メッセージ毎に生じ得る周期誤差に影響を与える特徴を状態として定義し、現在の状態に対応した周期条件に動的に切り替えることで、周期誤差の変化に対応したきめ細かい不正通信検知を実現することが可能となる。

（通信許可リスト生成フェーズ）
次に通信許可リスト１２１の生成処理について説明する。
上記のような通信許可リスト１２１を人が手作業で作成することは、作業負荷が高く、また、抜け漏れや記載ミスが発生する可能性が生じる。そこで、図２に示した通信許可リスト１２１を自動的に生成する通信許可リスト生成ツールが求められる。
以下では、通信許可リスト１２１を自動的に生成する通信許可リスト生成装置２００について説明する。また、通信許可リスト生成装置２００の動作が通信許可リスト生成方法に対応し、通信許可リスト生成方法をコンピュータに実行させるプログラムが通信許可リスト生成プログラムに対応する。

図１１は、通信許可リスト生成装置２００の構成を示す構成図である。
通信許可リスト生成装置２００は、処理部２１０と記憶部２２０とを備える。

記憶部２２０は、各種情報を記憶するものであり、通信仕様２２１、通信データ２２２、設定定義２２３、通信許可リスト２２４および更新版通信許可リスト２２５を記憶する。

通信仕様２２１は、図１に示した車両システム１０内を流れるＣＡＮメッセージの通信仕様を定義したファイルである。通信仕様２２１の詳細は図１３で後述する。通信データ２２２は、図１に示した車両システム１０内を実際に流れるＣＡＮメッセージをパケットキャプチャツールなどで取得して保存したファイルである。

通信データ２２２の詳細は図１４で後述する。設定定義２２３は、処理部２１０が動作する際の設定情報を記載したファイルである。設定定義２２３の詳細は図１５で後述する。

通信許可リスト２２４は通信許可リスト出力部２１２が出力するファイル、更新版通信許可リスト２２５は通信データ解析部２１３が出力するファイルであり、これらのフォーマットは、図２で示した通信許可リスト１２１と同じである。

この他にも、記憶部２２０は通信許可リスト生成装置２００で使用、生成、入力、出力、送信または受信される不図示のデータが記憶される。

処理部２１０は、通信仕様解析部２１１、通信許可リスト出力部２１２、及び通信データ解析部２１３を備える。

通信仕様解析部２１１は、正常な通信メッセージの仕様を定義した通信仕様を解析するものである。

通信許可リスト出力部２１２は、通信仕様解析部の解析結果に基づき、不正な通信メッセージの検知に用いる通信許可リストを生成するものである。

通信データ解析部２１３は、実際の通信データ２２２に基づき、通信データ２２２に含まれる通信メッセージの周期誤差に変動が生じる条件を特定し、特定した条件ごとに正常な周期範囲を決定し、通信許可リストを更新するものである。また、ここでの条件とは、遷移種別及び遷移条件を意味する。

実施の形態１において、通信データ解析部２１３は、通信データ２２２に基づき、単位時間毎の帯域負荷を算出し、算出した帯域負荷を複数の段階に分類し、複数の段階毎の周期誤差を比較することにより、条件を特定する。より具体的には、通信データ解析部２１３は、複数の段階の周期誤差の差分が所定の閾値より大きい場合に、条件のうち遷移種別が”帯域負荷”であると特定し、分類した複数の段階に基づいて遷移条件を特定する。より詳細な処理については、図２５で説明する。

また、実施の形態１において、通信データ解析部２１３は、一定のカウンタ間隔で通信メッセージの周期誤差が所定の閾値を超えているかを判定することにより、前記要因を特定する。より具体的には、通信データ解析部２１３は、一定のカウンタ間隔で通信メッセージの周期誤差が所定の閾値を超えている場合に、条件のうち遷移種別が”送信回数”であると特定し、上記一定のカウンタ間隔に基づいて遷移条件を特定する。より詳細な処理については、図２５で説明する。

また、実施の形態１において、通信データ解析部２１３は、一定の時間間隔で通信メッセージの周期誤差が所定の閾値を超えているかを判定することにより、条件を特定する。より具体的には、通信データ解析部２１３は、一定の時間間隔で通信メッセージの周期誤差が所定の閾値を超えている場合に、条件のうち遷移種別が”時間間隔”であると特定すし、上記一定の時間間隔に基づいて遷移条件を特定する。より詳細な処理については、図２５で説明する。

図１２は、図１１に示した処理部２１０の内部動作及び入出力情報に関するフロー図である。

処理部２１０は、通信仕様２２１、設定定義２２３および通信データ２２２を入力とし、更新版通信許可リスト２２５を出力とする。また、処理部２１０の内部では、通信許可リスト２２４が生成される。

通信仕様解析部２１１は、設定定義２２３に基づいて通信仕様２２１の内容を解析する。解析結果は通信許可リスト出力部２１２に出力する。

通信許可リスト出力部２１２は、入力した解析結果の内容に従って、通信許可リスト１０２４を生成する。

通信データ解析部２１３は、通信データ２２２の内容を解析し、解析結果に従って通信許可リスト２２４の内容を更新し、更新した結果を更新版通信許可リスト１０２５として出力する。

ここで、処理部２１０は、通信許可リスト２２４を単なる内部情報ではなく、外部に出力しても良い。この場合、処理部２１０は、通信許可リスト２２４と更新版通信許可リスト２２５を共に出力することになる。

更に、処理部２１０は、通信仕様解析部２１１と通信許可リスト出力部２１２からなる機能部と、通信データ解析部２１３からなる機能部とに分割され、それぞれ別の装置として動作しても良い。この場合、通信仕様解析部２１１と通信許可リスト出力部２１２からなる機能部は、通信仕様２２１と設定定義２２３を入力とし、通信許可リスト２２４を出力する。通信データ解析部２１３からなる機能部は、通信仕様２２１、通信データ２２２および通信許可リスト２２４を入力とし、更新版通信許可リスト２２５を出力する。

図１３は、図１１および図１２に示した通信仕様２２１のフォーマットの一例である。通信仕様２２１は、車両システム１０内を流れるＣＡＮメッセージの仕様が定義されたＣＡＮのデータベースファイルである。通信仕様２２１は、車両システム１０や、ＧＷ（Ｇａｔｅｗａｙ）１１、第一車載機器１、第二車載機器２、・・・第ｎ車載機器ｎなどの各車載機器の開発段階に作成、使用される設計情報である。通信仕様２２１は１つのファイルではなく、複数のファイルであっても良い。

通信仕様２２１は、装置情報、メッセージ情報、メッセージを構成するシグナルの情報、メッセージ種別情報、メッセージ周期情報などの情報を備える。装置情報は、通信仕様２２１内に定義されるメッセージの送受信に関わる車載機器の名称である。メッセージ情報は、各メッセージに関するメッセージＩＤ，ＤＬＣ，送信元車載機器名などの情報である。各メッセージ情報は、そのメッセージのデータフィールド部分を構成するシグナル情報を備える。シグナル情報は、シグナル名、開始ビット、レングス、取り得る値などの情報である。メッセージ種別情報は、メッセージ情報で定義された各メッセージの種別に関する情報である。メッセージ種別としては、イベントトリガで送信されるメッセージや周期的に送信されるメッセージなどが存在する。メッセージ周期情報は、メッセージ種別情報で周期を持つメッセージと定義されたメッセージの送信周期に関する情報である。

図１４は、図１１および図１２に示した通信データ２２２のフォーマットの一例である。通信データ２２２は、車両システム１０内を流れる通信メッセージをパケットキャプチャツールなどで取得して保存したファイルである。通信データ２２２は、車両システム１０や、ＧＷ（Ｇａｔｅｗａｙ）１１、第一車載機器１、第二車載機器２、第ｎ車載機器ｎなどの各車載機器の開発段階で、実車両もしくはシミュレータ環境で取得される開発、評価用の情報である。通信データ２２２は１つのファイルではなく、複数のファイルであっても良い。

通信データ２２２は、日付情報と、キャプチャした通信メッセージに関する情報を備える。メッセージに関する情報は、キャプチャ時刻、メッセージＩＤ，ＤＬＣ，データフィールドである。

図１５は、図１１および図１２に示した設定定義２２３のフォーマットの一例である。設定定義２２３は、処理部２１０の動作に関連する設定情報を定義したテキストファイルである。設定定義２２３は対象機器、周期範囲などに関する情報を備える。対象機器は、通信仕様解析部２１１で解析対象とするメッセージの送信元車載機器を定義する。通信許可リスト出力部２１２が出力する通信許可リスト２２４には、対象機器に定義した車載機器が送信するメッセージに関するルールのみが定義されることとなる。対象機器の定義は省略することも可能である。この場合、通信仕様２２１に定義された全てのメッセージが通信仕様解析部２１１での解析対象となる。周期範囲は、通信仕様２２１に定義された周期情報に対し、どれだけのマージンをみて通信許可リスト２２４の周期条件として定義するかを比率で指定したものである。周期範囲で定義した比率は、通信仕様２２１に定義された全ての周期メッセージに対して適用される。

次に、通信許可リスト生成装置２００のハードウェア構成について説明する。図１６は、通信許可リスト生成装置２００のハードウェア構成を示すハードウェア構成図である。通信許可リスト生成装置２００が備える通信仕様解析部２１１、通信許可リスト出力部２１２、及び通信データ解析部２１３は、記憶装置２００２に格納されたプログラムが処理装置２００１で実行されることにより実現される。

処理装置２００１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）中央処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、またはＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等のプロセッサである。また、複数のプロセッサにより、不正通信検知装置１００の各機能を実現しても良い。また、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）やＡＳＩＣ等で通信許可リスト生成装置２００の各機能を実現しても良い。

記憶部２２０は、記憶装置２００２によって実現され、記憶装置２００２は、例えば、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ、ＥＰＲＯＭ（ＥｒａｓａｂｌｅＰｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ ＥＰＲＯＭ）等の不揮発性または揮発性の半導体メモリであっても良いし、ハードディスク、フレキシブルディスク等の磁気ディスクであっても良いし、ミニディスク、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）等の光ディスクでも良い。

図１７は、図１１および図１２に示した通信仕様解析部２１１が行う通信仕様解析処理のフローチャートである。

通信仕様解析部２１１は、ステップＳ２０１において、入力として受け付けた通信仕様２２１の内容を読み込む。具体的には、図１３に示した通信仕様２２１のフォーマットの先頭からメッセージ情報を探索していく。

そして、ステップＳ２０２において、通信仕様解析部２１１は、メッセージ情報が存在するかを判断する。メッセージが存在する場合は、ステップＳ２０３において、メッセージ情報解析処理のサブルーチンを実行する。メッセージ情報解析サブルーチンについては図１８で後述する。メッセージ情報解析サブルーチンを実行した後、ステップＳ２０２に戻り、以降、通信仕様２２１内の全てのメッセージ情報を解析するまで、ステップＳ２０２～ステップＳ２０３の処理ステップを繰り返す。

ステップＳ２０２において、通信仕様解析部２１１が、次のメッセージ情報は存在しないと判断した場合に、本フローチャートを終了する。

図１８は、通信仕様解析部２１１が行うメッセージ情報解析サブルーチンのフローチャートである。図１８の処理は、図１７のステップＳ２０３に対応する。

通信仕様解析部２１１は、ステップＳ３０１において、通信仕様２２１から、解析対象のメッセージの送信元車載機器名を取得する。

次に、ステップＳ３０２において、ステップＳ３０１で取得した送信元車載機器名が、図１５に示した設定定義２２３の対象機器に定義されているかを判断する。
定義されていない場合は、直ちに本フローチャートを終了する。

定義されている場合は、ステップＳ３０３において、通信仕様解析部２１１は、通信仕様２２１から、解析対象のメッセージのＩＤとＤＬＣを取得する。

ステップＳ３０４において、通信仕様解析部２１１は、通信仕様２２１から、解析対象のメッセージのメッセージ種別を取得する。

そして、ステップＳ３０５において、通信仕様解析部２１１は、解析対象のメッセージが周期メッセージであるかを判断する。

周期メッセージの場合は、ステップＳ３０６において、通信仕様解析部２１１は、通信仕様２２１から解析対象のメッセージの周期情報を取得し、図１５に示した設定定義２２３の周期範囲で指定された比率で下限値と上限値を算出する。例えば、取得した周期情報が１０ｍｓであり、設定定義１０２３の周期範囲で１０％と指定されている場合、当該周期メッセージの周期条件は９～１１ｍｓの範囲となる。

ステップＳ３０７において、シグナル情報解析処理のサブルーチンを実行する。シグナル情報解析サブルーチンについては図１９で後述する。

一方、ステップＳ３０５において周期メッセージでない場合は、直ちにステップＳ３０７に進み、シグナル情報解析サブルーチンを実行する。
以上の処理ステップを実行した後、本フローチャートを終了する。

図１９は、通信仕様解析部２１１が行うシグナル情報解析サブルーチンのフローチャートである。図１９は、図１８のステップＳ３０７に対応する。

通信仕様解析部２１１は、ステップＳ４０１において、通信仕様２２１から、解析対象のメッセージのシグナル情報を読み込む。

ステップＳ４０２において、通信仕様解析部２１１は、シグナル情報から開始ビット、レングス、取り得る値の情報を取得する。

ステップＳ４０３において、通信仕様解析部２１１は、解析対象のメッセージに関する全てのシグナル情報の解析が完了したかを判断する。

完了していない場合、ステップＳ４０４に戻り、以降、未解析のシグナル情報が無くなるまで、ステップＳ４０１～ステップＳ４０３の処理ステップを繰り返す。

ステップＳ４０３で解析対象のメッセージに関する全てのシグナル情報の解析が完了した場合、通信仕様解析部２１１は、ステップＳ４０４において、ステップＳ４０２で取得した各シグナルの情報を、開始ビットの昇順にソートする。

以上の処理ステップを実行した後、本フローチャートを終了する。

図２０～図２４は、図１７～図１９に示した通信仕様解析部２１１の通信仕様解析処理の結果として生成されるファイルの一例である。

図２０～図２４に示した各ファイルは、処理部２１０の内部で、通信仕様解析部２１１から通信許可リスト出力部２１２への入力となる情報である。

図２０に示す内部生成ファイル３０１は、ＩＤ、ＤＬＣ、シグナル条件、周期条件ＩＤを備える。ＩＤおよびＤＬＣは図１８のＳ３０３で取得した情報が格納される。シグナル条件は、開始ビット、レングス、最小値、最大値を備え、いずれも図１９のＳ４０２で取得した情報が格納される。図１９のＳ４０４のソート処理を実行した結果として、ＩＤ毎のシグナル条件は開始ビットの値の昇順で内部生成ファイル３０１に記録される。周期条件ＩＤは、周期メッセージについて、後述する内部生成ファイル３０２～内部生成ファイル３０５のいずれかへの紐づけを行うための番号である。図２０の例では、図４で例示したのと同じ、ＩＤが０ｘ１０、０ｘ２０、０ｘ３０および０ｘ４０の４つの周期メッセージの情報が記載されている。

図２１に示す内部生成ファイル３０２は、ＩＤが０ｘ１０のメッセージに関する周期条件が格納されたファイルである。図２１に示す内部生成ファイル３０２は、図５に示したＩＤ＝０ｘ１０の周期条件リスト１２３と同様に、周期条件ＩＤ、遷移種別、状態、周期条件、遷移条件を備える。周期条件には、図１８のＳ３０６で算出した周期範囲が格納される。通信仕様２２１からは遷移種別、状態、遷移条件に関する情報は取得できないため、遷移種別は”無”、状態は０、遷移条件は”無”が格納される。

同様に、図２２に示す内部生成ファイル３０３は、ＩＤが０ｘ２０のメッセージに関する周期条件が格納されたファイルである。図２３に示す内部生成ファイル３０４は、ＩＤが０ｘ３０のメッセージに関する周期条件が格納されたファイルである。図２４に示す内部生成ファイル３０５は、ＩＤが０ｘ４０のメッセージに関する周期条件が格納されたファイルである。いずれも、図２１に示す内部生成ファイル３０２と同様に、周期条件には、図１８のＳ３０６で算出した周期範囲が格納され、遷移種別は”無”、状態は０、遷移条件は”無”が格納される。

図２５は、図１１および図１２に示した通信許可リスト出力部２１２が行う通信許可リスト出力処理のフローチャートである。

通信許可リスト出力部２１２は、ステップＳ５０１において、通信許可リスト２２４が既に存在するかを判断する。

存在しない場合は、ステップＳ５０２において、通信許可リスト出力部２１２は、通信許可リスト２２４を新規作成する。通信許可リスト２２４は、図２に示した通信許可リスト１２１と同様に、ルールリストと複数の周期条件リストから構成される。ステップＳ５０２の処理ステップを実行した後、ステップＳ５０４に進む。

一方、ステップＳ５０１で通信許可リスト２２４が既に存在する場合は、ステップＳ５０３において、通信許可リスト出力部２１２は、既存の通信許可リスト２２４を編集可能なよう、ファイルオープンした後、ステップＳ５０４に進む。

ステップＳ５０４において、通信許可リスト出力部２１２は、内部生成ファイル３０１にメッセージ情報が存在するかを判断する。

存在する場合、ステップＳ５０５において、通信許可リスト出力部２１２は、内部生成ファイル３０１内のメッセージ情報に対応するルールが通信許可リスト２２４に既に存在するかを判断する。具体的には、内部生成ファイル３０１から対象メッセージのＩＤを取得し、同じＩＤのルールが通信許可リスト２２４内のルールリストに存在するかをまず判断する。存在した場合は、内部生成ファイル３０１のＤＬＣ，シグナル条件、周期条件ＩＤが、対応する通信許可リスト２２４内のルールのＤＬＣ，シグナル条件、周期条件ＩＤと合致するかを判断する。合致した場合は、更に、内部生成ファイル３０２～内部生成ファイル３０５のうち、対応する周期条件ＩＤを持つファイルを特定して、そのファイルから周期条件を取得し、通信許可リスト２２４内の対応する周期条件リストの周期条件と合致するかを判断する。合致した場合は、同じＩＤのルールが通信許可リスト２２４に存在していると判断し、ステップＳ５０４に戻る。

ステップＳ５０５で同じＩＤのルールが通信許可リスト２２４に存在していない場合は、通信許可リスト出力部２１２は、ステップＳ５０６において、内部生成ファイル３０１のＩＤ，ＤＬＣ，シグナル条件、周期条件ＩＤの情報と、内部生成ファイル３０２～内部生成ファイル３０５のうち、対応する周期条件ＩＤを持つファイルの遷移条件、状態、周期条件、遷移条件の情報を、通信許可リスト２２４に追記して、ステップＳ５０４に戻る。

以降、内部生成ファイル３０１のメッセージ情報を全て読み出すまで、ステップＳ５０４～ステップＳ５０６の処理ステップを繰り返す。

ステップＳ５０４において、内部生成ファイル３０１に次のメッセージ情報が存在しなくなった場合は、本フローチャートを終了する。

図２０～図２４で示した内部生成ファイル３０１～内部生成ファイル３０５の内容を入力として、図２５に示した通信許可リスト出力処理を実施した場合に生成される通信許可リスト２２４内のルールリストおよび周期条件リストのフォーマットは、図４～図８に示したルールリスト１２２および周期条件リスト１２３～周期条件リスト１２６と同じフォーマットである。

図２６は、図１１および図１２に示した通信データ解析部２１３が行う通信データ解析処理のフローチャートである。

通信データ解析部２１３は、ステップＳ６０１において、入力として受け付けた通信データ２２２の内容を読み込む。

ステップＳ６０２において、通信データ解析部２１３は、通信データ２２２の内容から単位時間毎の帯域負荷を算出し、各単位時間の通信ログを、帯域負荷が低(４０%未満)、中(４０％以上７０％未満)、高(７０％以上)の３段階に分類する。

ステップＳ６０３において、通信データ解析部２１３は、図２５に示した通信許可リスト出力処理で生成された通信許可リスト２２４内のルールリストを参照し、通信データ２２２内の通信ログに未解析の周期メッセージが存在するかを判断する。
全ての周期メッセージの解析が終了している場合は、本フローチャートを終了する。

ステップＳ６０３の判断において、未解析の周期メッセージが存在する場合は、通信データ解析部２１３は、ステップＳ６０４において、当該周期メッセージのＩＤに合致する通信ログを通信データ２２２から全て取得し、各通信ログに先頭からシーケンシャルなログ番号を付与する。

ステップＳ６０５において、通信データ解析部２１３は、ステップＳ６０２での分類結果とステップＳ６０４での取得結果から、帯域負荷が低、中、高それぞれの期間における当該周期メッセージの周期誤差の最大値と最小値を取得する。

ステップＳ６０６において、通信データ解析部２１３は、帯域負荷毎の周期誤差の最大値／最小値を比較し、所定の閾値以上の差異が生じているかを判断する。

生じている場合は、ステップＳ６０７において、通信データ解析部２１３は、通信許可リスト２２４内の当該周期メッセージに関する周期条件リストの内容を更新する。周期条件リストの“遷移種別”を“帯域負荷”に変更し、状態及び遷移条件には帯域負荷が低、中、高の３段階を定義し、各状態の周期条件にはステップＳ６０５で取得した周期誤差の最大値、最小値に基づいた値範囲を設定する。本処理ステップを実行した結果、通信許可リスト２２４内の当該周期メッセージに関する周期条件リストの内容は、例えば図２１に示した内部生成ファイル３０２の内容から、図５に示したＩＤ＝０ｘ１０の周期条件リスト１２３の内容に更新される。

ステップＳ６０６の比較で帯域負荷毎の周期誤差に大きな差異が見られない場合は、通信データ解析部２１３は、ステップＳ６０８において、ステップＳ６０４で取得した当該周期メッセージの全ての通信ログから、周期誤差が所定の閾値を上回っているログを抽出する。

ステップＳ６０９において、通信データ解析部２１３は、抽出したログのログ番号を確認し、一定のカウンタ間隔で乖離が大きい通信ログが発生しているかを確認する。

一定の間隔の場合は、ステップＳ６１０において、通信データ解析部２１３は、ステップＳ６０４で取得した当該周期メッセージの全ての通信ログを、周期誤差の大きい通信ログとそれ以外の通信ログの２群に分類し、それぞれの群における周期誤差の最大値と最小値を取得する。

ステップＳ６１１において、通信データ解析部２１３は、通信許可リスト２２４内の当該周期メッセージに関する周期条件リストの内容を更新する。周期条件リストの“遷移種別”を“カウンタ”に変更し、状態には上記２群をそのまま２状態として定義する。遷移条件には、周期誤差が大きくなるタイミングとそれ以外のタイミングを定義する。各状態の周期条件にはＳ２４１０で取得した周期誤差の最大値、最小値に基づいた値範囲を設定する。本処理ステップを実行した結果、通信許可リスト２２４内の当該周期メッセージに関する周期条件リストの内容は、例えば図２２に示した内部生成ファイル３０３の内容から、図６に示したＩＤ＝０ｘ２０の周期条件リスト１２４の内容に更新される。

一方、ステップＳ６０９の判定で、周期誤差が大きい通信ログのログ番号が一定のカウンタ間隔となっていない場合には、通信データ解析部２１３は、ステップＳ６１２において、周期誤差が大きい通信ログを受信時刻が近いものでグループ分けし、グループ間の時間間隔が一定かを判断する。

一定の時間間隔の場合は、ステップＳ６１３において、通信データ解析部２１３は、ステップＳ６０４で取得した当該周期メッセージの全ての通信ログを、周期誤差の大きい通信ログとそれ以外の通信ログの２群に分類し、それぞれの群における周期誤差の最大値と最小値を取得する。

ステップＳ６１４において、通信データ解析部２１３は、通信許可リスト２２４内の当該周期メッセージに関する周期条件リストの内容を更新する。周期条件リストの“遷移種別”を“時間”に変更し、状態には上記２群をそのまま２状態として定義する。遷移条件には、周期誤差が大きくなるタイミングとそれ以外のタイミングを定義する。各状態の周期条件にはＳ２４１３で取得した周期誤差の最大値、最小値に基づいた値範囲を設定する。本処理ステップを実行した結果、通信許可リスト２２４内の当該周期メッセージに関する周期条件リストの内容は、例えば図２３に示した内部生成ファイル３０４の内容から、図７に示したＩＤ＝０ｘ３０の周期条件リスト１２５の内容に更新される。

一方、ステップＳ６１２の判定で時間間隔が一定でない場合には、ステップＳ６１５において、通信データ解析部２１３は、ステップＳ６０４で取得した当該周期メッセージの全ての通信ログにおける周期誤差の最大値と最小値を取得する。

ステップＳ６１６において、通信データ解析部２１３は、通信許可リスト２２４内の当該周期メッセージに関する周期条件リストの内容を更新する。周期条件に、ステップＳ６１５で取得した周期誤差の最大値、最小値に基づいた値範囲を設定する。遷移種別、状態、遷移条件には、ステップ図２５に示したＳ５０６の処理ステップにおいて既にそれぞれ”無”、０、”無”という情報が格納されているため、本処理ステップでは変更しない。本処理ステップを実行した結果、通信許可リスト２２４内の当該周期メッセージに関する周期条件リストの内容は、例えば図２４に示した内部生成ファイル３０５の内容から、図８に示したＩＤ＝０ｘ４０の周期条件リスト１２６の内容に更新される。

以上の処理ステップを行った後、ステップＳ６０３に戻り、以降、全ての周期メッセージの解析が終了するまで、ステップＳ６０３～ステップＳ６１６の処理ステップを繰り返し、全ての周期メッセージについて解析が終了した場合、通信データ解析部２１３は動作を終了する。

以上のように、通信許可リスト生成装置２００によれば、周期メッセージ毎の特徴を考慮した周期条件を、人の手作業に依らず、通信仕様と通信データから自動生成することが可能となる。そして、不正通信検知装置１００と組み合わせて用いることにより、誤検知と検知漏れの発生を共に抑制した不正通信検知を実現できる。

（その他の実施形態）
本開示に係る不正通信検知装置及び通信許可リスト生成装置のその他の実施形態について説明する。
実施の形態１では例として車両システムにおけるＣＡＮメッセージを対象としたが、本開示に係る不正通信検知装置および通信許可リスト生成装置の適用対象は必ずしも上記に限定されない。例えば、本開示にかかる不正通信検知装置は、工場、ビル、家庭などに構築されたＩｏＴシステム上の装置に搭載され、有線ＬＡＮや無線ＬＡＮを介したＴＣＰ／ＩＰ通信を検知対象としても良い。この場合、図４に示したルールリスト１２２を構成する項目は、ＩＤではなく送信元と送信先のアドレス（ＩＰアドレスとポート番号、プロトコル番号など）、ＤＬＣではなくＴＣＰ／ＩＰメッセージのペイロード部分のデータ長、シグナル条件ではなくペイロード条件、となる。図１３に示した通信仕様１０２１はＩｏＴシステム上を流れるＴＣＰ／ＩＰ通信を定めた仕様書であり、図１３に示した通信データ２２２はＩｏＴシステム上を流れるＴＣＰ／ＩＰ通信をキャプチャしたファイルとなる。

実施の形態１では、図５～図８で示した周期条件リスト１２３～１２６が取り得る遷移種別として、“帯域負荷”、“カウンタ”、“時間”、“無”の４種類が存在したが、この他の種別を設けても良い。また、遷移種別は予め固定的に定義しておくのではなく、図１１に示した通信データ解析部２１３において、通信データ２２２から抽出した周期メッセージ毎の特徴量に基づいて動的に定義しても良い。

上記実施の形態は、好ましい形態の例示であり、本開示の技術的範囲を制限することを意図するものではない。実施の形態は、部分的に実施してもよいし、他の形態と組み合わせて実施してもよい。フローチャート等を用いて説明した手順は、適宜に変更してもよい。

本開示に係る不正通信検知装置及び通信許可リスト生成装置は、車両システムやＩｏＴシステム上における通信メッセージの不正通信検知に用いるのに適している。

１ 第一車載機器、２ 第二車載機器、１０ 車両システム、１１ GW、１２ ケーブル、１００ 不正通信検知装置、１１０ 処理部、１１１ 通信取得部、１１２ 通信判定部、１１３ アラート部、１２０ 記憶部、１２１ 通信許可リスト、１２２ ルールリスト、１２３，１２４，１２５，１２６ 周期条件リスト、１３０ GW機能部、１４０ 通信部、１４１ 受信部、１４２ 送信部、２００ 通信許可リスト生成装置、２１０ 処理部、２１１ 通信仕様解析部、２１２ 通信許可リスト出力部、２１３ 通信データ解析部、２２０ 記憶部、２２１ 通信仕様、２２２ 通信データ、２２３ 設定定義、２２４ 通信許可リスト、２２５ 更新版通信許可リスト、３０１，３０２，３０３，３０４，３０５ 内部生成ファイル、１００１ 処理装置、１００２記憶装置、１００３ 通信装置、２００１ 処理装置、２００２ 記憶装置。

Claims (12)

1. 通信メッセージを取得する通信取得部と、
   前記通信メッセージの時間変化する状態毎に設定された周期条件に基づき、前記通信メッセージが正常なメッセージか否かを判定する通信判定部と、
   を備え、
   前記通信判定部は、前記通信メッセージの周期誤差に影響を与える要因である遷移種別と、前記遷移種別毎に設定された複数の遷移条件とに基づいて分類される前記通信メッセージの状態に基づき、前記通信メッセージの前記周期条件を特定し、前記通信メッセージが正常なメッセージか否かを判定する
   不正通信検知装置。
2. 通信メッセージを取得する通信取得部と、
   前記通信メッセージの時間変化する状態毎に設定された周期条件に基づき、前記通信メッセージが正常なメッセージか否かを判定する通信判定部と、
   を備え、
   前記通信判定部は、帯域負荷、送信回数、時間間隔のうち少なくとも一つに基づき、前記通信メッセージの状態を特定し、特定した前記通信メッセージの状態に対して設定された前記周期条件に基づき、前記通信メッセージが正常なメッセージか否かを判定する
   不正通信検知装置。
3. 正常な通信メッセージの仕様を定義した通信仕様を解析する通信仕様解析部と、
   前記通信仕様解析部の解析結果に基づき、不正な通信メッセージの検知に用いる通信許可リストを生成する通信許可リスト出力部と、
   実際の通信データに基づき、前記通信データに含まれる通信メッセージの周期誤差に変動が生じる条件を特定し、前記条件ごとに正常な周期範囲を決定し、前記通信許可リストを更新する通信データ解析部と、
   を備える通信許可リスト生成装置。
4. 前記通信データ解析部は、前記通信データに基づき、単位時間毎の帯域負荷を算出し、算出した前記帯域負荷を複数の段階に分類し、前記複数の段階毎の周期誤差を比較することにより、前記条件を特定する
   ことを特徴とする請求項３に記載の通信許可リスト生成装置。
5. 前記通信データ解析部は、一定のカウンタ間隔で前記通信メッセージの周期誤差が所定の閾値を超えているかを判定することにより、前記条件を特定する
   ことを特徴とする請求項３又は４に記載の通信許可リスト生成装置。
6. 前記通信データ解析部は、一定の時間間隔で前記通信メッセージの周期誤差が所定の閾値を超えているかを判定することにより、前記条件を特定する
   ことを特徴とする請求項３から５のいずれか一項に記載の通信許可リスト生成装置。
7. 通信メッセージを取得する通信取得部と、
   前記通信メッセージの時間変化する状態毎に設定された周期条件に基づき、前記通信メッセージが正常なメッセージか否かを判定する通信判定部と、
   を備える不正通信検知装置と、
   請求項３から６のいずれか一項に記載の通信許可リスト生成装置と、
   を備える通信システム。
8. コンピュータが、通信メッセージを取得する通信取得工程と、
   コンピュータが、前記通信メッセージの時間変化する状態毎に設定された周期条件に基づき、前記通信メッセージが正常なメッセージか否かを判定する通信判定工程と、
   を含み、
   前記通信判定工程では、コンピュータが、前記通信メッセージの周期誤差に影響を与える要因である遷移種別と、前記遷移種別毎に設定された複数の遷移条件とに基づいて分類される前記通信メッセージの状態に基づき、前記通信メッセージの前記周期条件を特定し、前記通信メッセージが正常なメッセージか否かを判定する
   む不正通信検知方法。
9. コンピュータが、通信メッセージを取得する通信取得工程と、
   コンピュータが、前記通信メッセージの時間変化する状態毎に設定された周期条件に基づき、前記通信メッセージが正常なメッセージか否かを判定する通信判定工程と、
   を含み、
   前記通信判定工程では、コンピュータが、帯域負荷、送信回数、時間間隔のうち少なくとも一つに基づき、前記通信メッセージの状態を特定し、特定した前記通信メッセージの状態に対して設定された前記周期条件に基づき、前記通信メッセージが正常なメッセージか否かを判定する
   を含む不正通信検知方法。
10. 請求項８又は９に記載の全工程をコンピュータに実行させる不正通信検知プログラム。
11. コンピュータが、正常な通信メッセージの仕様を定義した通信仕様を解析する通信仕様解析工程と、
    コンピュータが、前記通信仕様解析工程での解析結果に基づき、不正な通信メッセージの検知に用いる通信許可リストを生成する通信許可リスト出力工程と、
    コンピュータが、実際の通信データに基づき、前記通信データに含まれる通信メッセージの周期誤差に変動が生じる条件を特定し、前記条件ごとに正常な周期範囲を決定し、前記通信許可リストを更新する通信データ解析工程と、
    を含む通信許可リスト生成方法。
12. 請求項１１に記載の全工程をコンピュータに実行させる通信許可リスト生成プログラム。

Images