JPWO2020121440A1 - 情報処理装置、情報処理方法及び情報処理プログラム - Google Patents

Abstract

波形解析部（１０２）は、バスライン（３００）の電圧値及びインピーダンス値のいずれかが計測されて得られた波形である計測波形を解析する。機器認証部（１０４）は、バスライン（３００）に接続していることが判明している１つ以上の機器が含まれる構成情報（１０７０）に含まれていない機器である新規機器がバスライン（３００）に接続しているか否かを判定しながらバスライン（３００）に接続している機器ごとに認証を行い、バスライン（３００）に新規機器が接続している場合に、新規機器の認証に用いる認証情報を取得して新規機器の認証を行う。不正操作判定部（１０５）は、構成情報と、波形解析部（１０２）の解析結果と、機器認証部（１０４）の認証結果とを用いて、バスライン（３００）に不正操作が行われているか否かを判定する。

Description

本発明は、バスラインに接続している機器の正当性を検証する技術に関する。

複数の機器がバスラインに接続するネットワークシステムが普及している。例えば、車載ネットワークとして普及しているＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）は、バス型のネットワークである。バス型のネットワークシステムは、機器の後付けが容易である。このため、１つのバスラインに不特定多数の利用者がアクセス可能なユースケース（例えば、カーシェアリングなど）では、悪意ある利用者によってバスラインに不正な機器を接続される可能性がある。そして、バスラインに不正な機器が接続されると、不正な機器によって、例えば、バスライン上を流れる機密情報が盗聴される可能性がある。また、不正な機器によって、不正なデータがバスライン上の他の機器に送信される可能性がある。
なお、特許文献１では、電圧の変化が検出された場合に認証情報を用いた認証を行うことでバスラインへの不正操作を検出する技術が開示されている。特許文献１では、例えば、バスラインに不正に接続された不正機器を検出することができる。

特開２０１６−１１１４７７号公報

特許文献１の技術では、認証の結果が異常な機器を不正な機器と判定する。
しかし、特許文献１の技術では、正規の機器が新たにバスラインに追加された場合又はバスラインから機器が削除された場合には、バスラインに不正操作があったと誤検出してしまうという課題がある。

本発明は、このような課題を解決することを主な目的とする。具体的には、本発明は、バスラインへの不正操作を正しく検出できるようにすることを主な目的とする。

本発明に係る情報処理装置は、
バスラインの電圧値及びインピーダンス値のいずれかが計測されて得られた波形である計測波形を解析する波形解析部と、
前記バスラインに接続していることが判明している１つ以上の機器が含まれる構成情報に含まれていない機器である新規機器が前記バスラインに接続しているか否かを判定しながら前記バスラインに接続している機器ごとに認証を行い、前記バスラインに前記新規機器が接続している場合に、前記新規機器の認証に用いる認証情報を取得して前記新規機器の認証を行う機器認証部と、
前記構成情報と、前記波形解析部の解析結果と、前記機器認証部の認証結果とを用いて、前記バスラインに不正操作が行われているか否かを判定する不正操作判定部とを有する。

本発明によれば、バスラインへの不正操作を正しく検出することができる。

実施の形態１に係るシステム構成例を示す図。 実施の形態１に係るＥＣＵ（Ａ）の機能構成例を示す図。 実施の形態１に係るＥＣＵ（Ａ）のハードウェア構成例を示す図。 実施の形態１に係るＥＣＵ（Ａ）の動作の概要を示すフローチャート。 実施の形態１に係る機器認証処理（波形一致）を示すフローチャート。 実施の形態１に係る機器認証処理（波形不一致）を示すフローチャート。 実施の形態１に係るレスポンス復号処理を示すフローチャート。 実施の形態１に係る不正操作判定処理（波形一致）を示すフローチャート。 実施の形態１に係る不正操作判定処理（波形不一致）を示すフローチャート。

以下、本発明の実施の形態について、図を用いて説明する。以下の実施の形態の説明及び図面において、同一の符号を付したものは、同一の部分または相当する部分を示す。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１は、実施の形態に係るシステム構成例を示す。

車両１０では、複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）がバスライン３００に接続されている。具体的には、ＥＣＵ（Ａ）１００、ＥＣＵ（Ｂ）２０１、ＥＣＵ（Ｃ）２０２等がバスライン３００に接続されている。なお、ＥＣＵ（Ａ）１００は、情報処理装置に相当する。また、ＥＣＵ（Ａ）１００で行われる処理は、情報処理方法及び情報処理プログラムに相当する。なお、以下では、ＥＣＵ（Ｂ）２０１及びＥＣＵ（Ｃ）２０２を含む、ＥＣＵ（Ａ）１００以外の各ＥＣＵを機器ともいう。
ＥＣＵ（Ａ）１００、ＥＣＵ（Ｂ）２０１及びＥＣＵ（Ｃ）２０２は、バスライン３００に接続することが許可されている機器であり、正規機器である。一方で、不正なＥＣＵ（機器）とは、バスライン３００に接続することが許可されていない機器である。
バスライン３００は、ＣＡＮ、ＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）、Ｅｔｈｅｒｎｅｔ（登録商標）等のバスネットワークである。

サーバ装置４００は、ＥＣＵ（Ａ）１００から送信される認証情報要求を受信する。
サーバ装置４００は、正規機器であるＥＣＵ（Ｂ）２０１、ＥＣＵ（Ｃ）２０２の等の認証情報を識別子と対応付けて記憶している。また、現在は、車両１０のバスライン３００に接続されていないが接続することが許可されている正当なＥＣＵ（正規機器）の認証情報も識別子と対応付けて記憶している。
サーバ装置４００は、認証情報要求の応答として、ＥＣＵ（Ａ）１００に認証情報を送信する。認証情報要求及び認証情報の詳細は後述する。
サーバ装置４００は、例えば、クラウドネットワーク上に配置される。サーバ装置４００は、車両１０内に配置されていてもよい。サーバ装置４０が車両１０内に配置されている場合は、ネットワークが使用できない状況でもサーバ装置４０へのアクセスが可能である。なお、本実施の形態では、サーバ装置４００がクラウドネットワークに配置されているものとする。
サーバ装置４００は、外部装置に相当する。

図２は、ＥＣＵ（Ａ）１００の機能構成例を示す。また、図３は、ＥＣＵ（Ａ）１００のハードウェア構成例を示す。
先ず、図３を参照して、ＥＣＵ（Ａ）１００のハードウェア構成例を説明する。

ＥＣＵ（Ａ）１００は、コンピュータである。
ＥＣＵ（Ａ）１００は、ハードウェアとして、プロセッサ９０１、主記憶装置９０２、補助記憶装置９０３、通信装置９０４及び電圧センサ９０５を備える。

補助記憶装置９０３には、図２の無線通信部１０１、波形解析部１０２、バスライン通信部１０３、機器認証部１０４及び不正操作判定部１０５の機能を実現するプログラムが記憶されている。これらプログラムは、補助記憶装置９０３から主記憶装置９０２にロードされる。そして、プロセッサ９０１がこれらプログラムを実行して、無線通信部１０１、波形解析部１０２、バスライン通信部１０３、機器認証部１０４及び不正操作判定部１０５の動作を行う。
図３は、プロセッサが、無線通信部１０１、波形解析部１０２、バスライン通信部１０３、機器認証部１０４及び不正操作判定部１０５の機能を実現するプログラムを実行している状態を模式的に表している。
また、補助記憶装置９０３は、図２のＤＢ１０６を実現する。なお、主記憶装置９０２が図２のＤＢ１０６を実現するようにしてもよい。

通信装置９０４は、アンテナ１５０を用いてサーバ装置４００と通信を行う。また、通信装置９０４は、バスライン３００に接続され、ＥＣＵ（Ｂ）２０１、ＥＣＵ（Ｃ）２０２等と通信を行う。

電圧センサ９０５はバスライン３００に接続されている。電圧センサ９０５は、バスライン３００の電圧値を計測する。本実施の形態では、電圧センサ９０５は、ＴＤＲ（Ｔｉｍｅ Ｄｏｍａｉｎ Ｒｅｆｌｅｃｔｏｍｅｔｒｙ）により電圧値を計測する。ＴＤＲでは、バスライン３００上に送信した高周波ステップ信号の反射特性が計測される。より具体的には、電圧センサ９０５は高周波ステップ信号を生成し、生成した高周波ステップ信号をバスライン３００に送信する。また、電圧センサ９０５は、バスライン３００から高周波ステップ信号の反射波を受信する。そして、電圧センサ９０５は、反射波の電圧値を計測し、計測した電圧値をバスライン通信部１０３に出力する。
電圧センサ９０５は、サンプラ回路、コンパレータ、Ａ／Ｄ（Ａｎａｌｏｇ／Ｄｉｇｉｔａｌ）変換器、ステップジェネレータ等である。

次に、図２を参照して、ＥＣＵ（Ａ）１００の機能構成例を説明する。

無線通信部１０１は、通信装置９０４及びアンテナ１５０を用いてサーバ装置４００と通信を行う。より具体的には、無線通信部１０１は、サーバ装置４００に認証情報要求を送信し、サーバ装置４００から認証情報を受信する。

波形解析部１０２は、バスライン通信部１０３からバスライン３００の電圧値の経時変化を表す波形を計測波形として取得する。計測波形は、電圧センサ９０５で計測された電圧値の経時変化を表す波形である。
また、波形解析部１０２は、計測波形を解析する。より具体的には、波形解析部１０２は、バスライン３００に不正操作が行われていないと判定された際に得られた計測波形（以下、前回計測波形という）と、新たに得られた計測波形とが一致するか否かを解析する。前回計測波形は正常な電圧値の波形である。波形解析部１０２は、計測波形を平均化するなどノイズ補正してもよい。また、ノイズ補正には、計測時の温度又は車両状況を使用してもよい。このようにすることで、計測波形を解析できる。
波形解析部１０２は、解析結果を機器認証部１０４と不正操作判定部１０５に通知する。

バスライン通信部１０３は、通信装置９０４を用いてＥＣＵ（Ｂ）２０１、ＥＣＵ（Ｃ）２０２等のバスライン３００に接続されたＥＣＵと通信を行う。
また、バスライン通信部１０３は、ステップ波を送信し、電圧センサ９０５から計測された電圧値を取得し、電圧値の経時変化を示す波形を計測波形として波形解析部１０２に出力する。
また、バスライン通信部１０３は、機器認証部１０４の指示に基づき、他のＥＣＵにチャレンジ値を送信する。チャレンジ値は乱数である。バスライン通信部１０３は、チャレンジ値をブロードキャストする。また、バスライン通信部１０３は、バスライン３００に接続しているＥＣＵからチャレンジ値に対するレスポンス値を受信し、受信したレスポンス値を機器認証部１０４に出力する。

機器認証部１０４は、機器認証処理において、後述する構成情報１０７０に含まれていないＥＣＵである新規ＥＣＵ（新規機器）がバスライン３００に接続しているか否かを判定しながらバスライン３００に接続しているＥＣＵごとに認証を行う。具体的には、機器認証部１０４は、バスライン通信部１０３を介して、他のＥＣＵにチャレンジ値を送信する。また、機器認証部１０４は、バスライン通信部１０３を介して、チャレンジ値に対するレスポンス値を受信し、受信したレスポンス値が適正な値であるか否かを認証情報を用いて判定する。
バスライン３００に新規ＥＣＵが接続している場合は、機器認証部１０４は、新規ＥＣＵの認証に用いる認証情報を、無線通信部１０１を介してサーバ装置４００から取得する。そして、機器認証部１０４は、取得した認証情報を用いて新規ＥＣＵの認証を行う。
また、機器認証部１０４が新規ＥＣＵの認証に用いる認証情報を生成し、生成した認証情報を用いて新規ＥＣＵの認証を行ってもよい。機器認証部１０４は、例えば、ＥＣＵを一意に識別可能なＥＣＵ情報（例えばＥＣＵ ＩＤ）からＥＣＵの認証に用いる認証情報を生成する。機器認証部１０４は、鍵導出関数やＩＤベース暗号／関数型暗号の鍵生成などを用いることで、認証情報を安全に生成することができる。

不正操作判定部１０５は、構成情報１０７０と、波形解析部１０２の解析結果と、機器認証部１０４の認証結果とを用いて、バスライン３００に不正操作が行われているか否かを判定する。
例えば、不正操作判定部１０５は、計測波形と前回計測波形とが一致し、機器認証部１０４の認証に失敗した機器が存在する場合に、バスライン３００に不正操作が行われていると判定する。
また、不正操作判定部１０５は、計測波形と前回計測波形とが一致せず、機器認証部１０４の認証に失敗した機器が存在する場合に、バスライン３００に不正操作が行われていると判定する。
また、不正操作判定部１０５は、計測波形と前回計測波形とが一致せず、機器認証部１０４の認証に失敗した機器が存在しない場合に、構成情報１０７０に含まれる機器の組合せと機器認証部１０４の認証結果から得られる機器の組合せとが一致するか否かを解析してバスライン３００に不正操作が行われているか否かを判定する。
構成情報１０７０に示される機器の組合せと機器認証部１０４の認証結果から得られる機器の組合せとが一致する場合は、不正操作判定部１０５は、バスライン３００に不正操作が行われていると判定する。
一方、構成情報１０７０に示されるバスライン３００に接続している機器の組合せと機器認証部１０４の認証結果から得られる機器の組合せとが一致しない場合は、不正操作判定部１０５は、機器認証部１０４の認証結果から得られる機器の組合せを解析して、バスライン３００に接続していることが必須のＥＣＵである必須ＥＣＵ（必須機器）がバスライン３００に接続しているか否かを判定する。
必須ＥＣＵがバスライン３００に接続していない場合は、不正操作判定部１０５は、バスライン３００に不正操作が行われていると判定する。
一方、必須ＥＣＵがバスライン３００に接続している場合は、不正操作判定部１０５は、機器認証部１０４の認証結果から得られる機器の組合せにおいて想定される、バスライン３００の電圧値の波形を想定波形として取得する。
そして、不正操作判定部１０５は、計測波形と想定波形とが一致するか否かを解析し、計測波形と想定波形とが一致しない場合に、バスライン３００に不正操作が行われていると判定する。
一方、計測波形と想定波形とが一致する場合は、不正操作判定部１０５は、バスライン３００に不正操作が行われていないと判定する。そして、不正操作判定部１０５は、計測波形を前回計測波形１０８０として計測波形記憶部１０８に格納し、機器認証部１０４の認証結果から得られる機器の組合せが示される情報を新たな構成情報１０７０として構成情報記憶部１０７に格納する。
また、不正操作判定部１０５は、バスライン３００に不正操作が行われていないと判定した場合に、通信情報（例えば、ＣＡＮのデータベース）、認証情報、ソフトウェアの更新を行ってもよい。通信情報は送受信するＣＡＮ ＩＤを定義したＣＡＮデータベースである。また、ソフトウェアはＥＣＵ（Ａ）１００のプログラム又は他のＥＣＵのプログラムである。不正操作判定部１０５は、例えば、サーバ装置４００から通信情報及びソフトウェアを取得し、取得した通信情報及びソフトウェアを補助記憶装置９０３に書き込むことで通信情報及びソフトウェアの更新を行う。また、不正操作判定部１０５は、機器認証部１０４により生成された認証情報を補助記憶装置９０３に書き込むことで認証情報の更新を行う。

ＤＢ１０６は、構成情報記憶部１０７、計測波形記憶部１０８及び認証情報記憶部１０９に区分される。

構成情報記憶部１０７には、構成情報１０７０が格納される。構成情報１０７０には、バスライン３００に接続していることが判明している１つ以上のＥＣＵの識別子が示される。また、構成情報１０７０には、バスライン３００に接続していることが判明している各ＥＣＵが必須ＥＣＵであるか否かが示される。また、構成情報１０７０には、各ＥＣＵのバスライン３００上での位置が示される。また、構成情報１０７０には、各ＥＣＵで用いられるソフトウェアのバージョンが示されてもよい。
構成情報１０７０に各ＥＣＵのバスライン３００上の位置が示されるので、後述する想定波形を用いた解析により、不正操作判定部１０５は、ＥＣＵのバスライン３００上の位置の入れ替えを認識することができる。

計測波形記憶部１０８には、前回計測波形１０８０が格納される。前回計測波形１０８０には、不正操作判定部１０５によりバスライン３００に不正操作が行われていないと判定された際に得られた計測波形（前回計測波形）が示される。

認証情報記憶部１０９には、認証情報１０９０が格納される。認証情報１０９０は、機器認証部１０４による機器認証処理において用いられる情報である。認証情報記憶部１０９には、バスライン３００に接続しているＥＣＵごとに認証情報１０９０が格納されている。認証情報１０９０は、例えば、共通鍵方式による鍵である。

＊＊＊動作の説明＊＊＊
本実施の形態に係るＥＣＵ（Ａ）１００の動作の概要を図４を参照して説明する。

波形解析処理（ステップＳ１）では、波形解析部１０２が、バスライン通信部１０３及び電圧センサ９０５を用いて、計測波形を取得し、計測波形が前回計測波形１０８０に一致するか否かを判定する。
波形解析処理（ステップＳ１）は、例えば通常のＴＤＲと同じであるため、詳細な説明は省略する。
なお、波形解析部１０２は、波形解析処理（ステップＳ１）の結果、すなわち、計測波形が前回計測波形１０８０と一致したか否かを機器認証部１０４及び不正操作判定部１０５に通知する。

機器認証処理（ステップＳ２）では、機器認証部１０４が、バスライン通信部１０３を用いて他のＥＣＵにチャレンジ値をブロードキャストにより送信する。また、機器認証部１０４が、バスライン通信部１０３を用いてチャレンジ値に対するレスポンス値を受信する。そして、機器認証部１０４が、受信したレスポンス値が適正な値であるか否かを認証情報１０９０を用いて判定する。
また、機器認証処理（ステップＳ２）では、バスライン３００に新規ＥＣＵが接続していることが判明した場合は、機器認証部１０４は、新規ＥＣＵの認証に用いる認証情報を、サーバ装置４００から取得する。そして、機器認証部１０４は、取得した認証情報を用いて新規ＥＣＵの認証を行う。
機器認証処理（ステップＳ２）の詳細は、図５、図６及び図７を参照して後述する。

不正操作判定処理（ステップＳ３）では、不正操作判定部１０５が、波形解析部１０２の解析結果と、機器認証部１０４の認証結果とを用いて、バスライン３００に不正操作が行われているか否かを判定する。
不正操作判定処理（ステップＳ３）の詳細は、図８及び図９を参照して後述する。

次に、図５、図６及び図７を参照して機器認証処理（ステップＳ２）の詳細を説明する。
図５は、波形解析処理（ステップＳ１）において計測波形が前回計測波形１０８０と一致する場合の機器認証部１０４の処理を示す。
図６は、波形解析処理（ステップＳ１）において計測波形が前回計測波形１０８０と一致しない場合の機器認証部１０４の処理を示す。
図７は、図５のステップＳ２１３のレスポンス復号処理及び図６のステップＳ２２３のレスポンス復号処理の詳細を示す。
レスポンス復号処理は並列に処理可能である。つまり、機器認証部１０４は、複数のＥＣＵからのレスポンス値に対して並列にレスポンス復号処理を実行することができる。

図５において、まず、機器認証部１０４は、バスライン通信部１０３を用いて各ＥＣＵにチャレンジ値をブロードキャストにより送信する（ステップＳ２１１）。

規定の待ち時間の間にいずれかのＥＣＵからバスライン通信部１０３を介してレスポンス値を受信した場合（ステップＳ２１２でＹＥＳ）に、機器認証部１０４は、レスポンス復号処理（ステップＳ２１３）を行う。
レスポンス復号処理（ステップＳ２１３）の詳細は後述するが、機器認証部１０４は、受信したレスポンス値が適正な値であるか否かをレスポンス値の送信元のＥＣＵの認証情報１０９０を用いて判定する。レスポンス値はチャレンジ値を認証情報１０９０を用いて暗号化した値であるため、機器認証部１０４は、認証情報１０９０を用いてレスポンス値を復号し、チャレンジ値と同じ値が得られるか否かを判定する。
一方、待ち時間の間にレスポンス値を受信しない場合は、機器認証部１０４は、最後のレスポンス値の受信からｔ秒が経過している否かを判定する（ステップＳ２１５）。なお、ｔの値は、待ち時間より大きな値であり、ＥＣＵ（Ａ）１００の利用者が任意に決定することができる。

レスポンス復号処理（ステップＳ２１３）の後、機器認証部１０４は、全てのＥＣＵからレスポンス値を受信したか否かを確認する（ステップＳ２１４）。

レスポンス値を受信してないＥＣＵが存在する場合（ステップＳ２１４でＮＯ）は、最後のレスポンス値の受信からｔ秒が経過している否かを判定する（ステップＳ２１５）。

最後のレスポンス値の受信からｔ秒が経過していない場合（ステップＳ２１５でＮＯ）は、処理がステップＳ２１２に移行する。

一方、最後のレスポンス値の受信からｔ秒が経過している場合は（ステップＳ２１５でＹＥＳ）、機器認証部１０４は、既にＮ回チャレンジ値を再送しているか否かを判定する（ステップＳ２１６）。既にＮ回チャレンジ値を再送している場合（ステップＳ２１６でＹＥＳ）は、ステップＳ２１７の処理が行われる。
なお、Ｎの値は、ＥＣＵ（Ａ）１００の利用者が任意に決定することができる。
一方、Ｎ回チャレンジ値を再送していない場合（ステップＳ２１６でＮＯ）は、機器認証部１０４は、バスライン通信部１０３を用いて、チャレンジ値をブロードキャストにより再送する（ステップＳ２１１）。なお、既にレスポンス値を送信しているＥＣＵは再送されたチャレンジ値を受信しても、再度レスポンス値を送信しなくてもよい。

全てのＥＣＵからレスポンス値を受信している場合（ステップＳ２１４でＹＥＳ）は、ステップＳ２１７の処理が行われる。

ステップＳ２１７では、機器認証部１０４は、レスポンス復号処理の結果を不正操作判定部１０５に通知する。
例えば、機器認証部１０４は、全てのＥＣＵについてレスポンス値からチャレンジ値が復号できた旨の結果を不正操作判定部１０５に通知する。または、機器認証部１０４は、ＥＣＵ（Ｂ）２０１についてはレスポンス値からチャレンジ値が復号できたが、ＥＣＵ（Ｃ）２０２についてはレスポンス値からチャレンジ値が復号できなかった等の結果を不正操作判定部１０５に通知する。

図６は、波形解析処理（ステップＳ１）において計測波形が前回計測波形１０８０と一致しない場合の機器認証部１０４の処理を示す。

図６において、まず、機器認証部１０４は、バスライン通信部１０３を介して各ＥＣＵにチャレンジ値をブロードキャストにより送信する（ステップＳ２２１）。

規定の待ち時間の間にいずれかのＥＣＵからバスライン通信部１０３を介してレスポンス値を受信した場合（ステップＳ２２２でＹＥＳ）に、機器認証部１０４は、レスポンス復号処理（ステップＳ２２３）を行う。
一方、待ち時間の間にレスポンス値を受信しない場合は、機器認証部１０４は、最後のレスポンス値の受信からｔ秒が経過している否かを判定する（ステップＳ２２４）。ここでも、ｔの値は、ＥＣＵ（Ａ）１００の利用者が任意に決定することができる。
レスポンス復号処理（ステップＳ２２３）の後も、機器認証部１０４は、最後のレスポンス値の受信からｔ秒が経過している否かを判定する（ステップＳ２２４）。

最後のレスポンス値の受信からｔ秒が経過していない場合（ステップＳ２２４でＮＯ）は、処理がステップＳ２２２に移行する。
一方、最後のレスポンス値の受信からｔ秒が経過している場合は（ステップＳ２２４でＹＥＳ）、機器認証部１０４は、既にＮ回チャレンジ値を再送しているか否かを判定する（ステップＳ２２５）。既にＮ回チャレンジ値を再送している場合（ステップＳ２２５でＹＥＳ）は、ステップＳ２２６の処理が行われる。
ここでも、Ｎの値は、ＥＣＵ（Ａ）１００の利用者が任意に決定することができる。
一方、Ｎ回チャレンジ値を再送していない場合（ステップＳ２２５でＮＯ）は、機器認証部１０４は、バスライン通信部１０３を用いて、チャレンジ値をブロードキャストにより再送する（ステップＳ２２１）。なお、既にレスポンス値を送信しているＥＣＵは再送されたチャレンジ値を受信しても、再度レスポンス値を送信しなくてもよい。

ステップＳ２２６では、機器認証部１０４は、レスポンス復号処理の結果を不正操作判定部１０５に通知する。
例えば、機器認証部１０４は、全てのＥＣＵについてレスポンス値からチャレンジ値が復号できた旨の結果を不正操作判定部１０５に通知する。または、機器認証部１０４は、ＥＣＵ（Ｂ）２０１についてはレスポンス値からチャレンジ値が復号できたが、ＥＣＵ（Ｃ）２０２についてはレスポンス値からチャレンジ値が復号できなかった等の結果を不正操作判定部１０５に通知する。

図６では、図５のステップＳ２１４のように、全てのＥＣＵからレスポンス値を受信したか否かの判定は行われない。図６のフローは、計測波形と前回計測波形１０８０とが異なっている場合に行われる。計測波形と前回計測波形１０８０とが異なっている場合は、ＥＣＵの数が増加したのか減少したのかが不明である。また、ＥＣＵの数がいくつ増加したのか、いくつ減少したのかも不明である。このため、図６のフローでは、全てのＥＣＵからレスポンス値を受信したか否かの判定は行われない。
なお、計測波形により接続されているＥＣＵ数が判定できる場合もある（波形解析部１０２の性能による）。この場合は、全てのＥＣＵからレスポンス値を受信したか否かの判定を行ってもよい。

次に、図７を参照して、レスポンス復号処理（ステップＳ２１３、ステップＳ２２３）の詳細を説明する。

まず、機器認証部１０４は、受信したレスポンス値が新規ＥＣＵのレスポンス値であるか否かを判定する（ステップＳ２３１）。
チャレンジ値に対するＥＣＵからの応答には、応答の送信元のＥＣＵの識別子が含まれている。ＥＣＵの識別子は、ＥＣＵを一意に特定できる情報である。機器認証部１０４は、ＥＣＵからの応答に含まれる識別子を構成情報１０７０に含まれる識別子と比較する。ＥＣＵからの応答に含まれる識別子と同じ識別子が構成情報１０７０に存在すれば、ステップＳ２３１の判定はＮＯとなる。一方、ＥＣＵからの応答に含まれる識別子と同じ識別子が構成情報１０７０に存在しない場合は、レスポンス値の送信元は新規にバスライン３００に接続された新規ＥＣＵであり、ステップＳ２３１の判定はＹＥＳとなる。
また、チャレンジ値に対するＥＣＵからの応答にＥＣＵの識別子が含まれていなくてもよい。この場合に、例えば、認証情報１０９０が既に認証情報記憶部１０９で記憶されている既存ＥＣＵは、識別子を含ませないで応答を送信する。このようにすることで、機器認証部１０４は、新規ＥＣＵからの応答と、既にバスライン３００に接続されている既存ＥＣＵからの応答とを判別することができる。つまり、識別子が含まれる応答を受信した場合は、レスポンス値の送信元は新規にバスライン３００に接続された新規ＥＣＵであり、ステップＳ２３１の判定はＹＥＳとなる。なお、この場合に、既存ＥＣＵの識別には、ＣＡＮ ＩＤを用いることができる。
ステップＳ２３１でＹＥＳであれば、ステップＳ２３２の処理が行われ、ステップ２３１でＮＯであれば、ステップＳ２３４の処理が行われる。

ステップＳ２３２では、機器認証部１０４は無線通信部１０１を介して、サーバ装置４００に新規ＥＣＵの認証情報の送信を要求する。つまり、機器認証部１０４は、無線通信部１０１を介して認証情報要求をサーバ装置４００に送信する。認証情報要求には新規ＥＣＵの識別子が含まれる。
サーバ装置４００では、ＥＣＵの識別子に対応付けて認証情報が管理されている。このため、サーバ装置４００は、認証情報要求に含まれる識別子に対応する認証情報をＥＣＵ（Ａ）１００に送信する。
なお、新規ＥＣＵの識別子が不正な場合、新規ＥＣＵの当該識別子はサーバ装置４００で管理されていない。このため、サーバ装置４００は、新規ＥＣＵの認証情報をＥＣＵ（Ａ）１００に送信することができない。

無線通信部１０１を介して機器認証部１０４が、サーバ装置４００から新規ＥＣＵの識別情報を受信できた場合（ステップＳ２３３でＹＥＳ）は、処理がステップＳ２３５に進む。一方、機器認証部１０４がサーバ装置４００から新規ＥＣＵの識別情報を受信できなかった場合（ステップＳ２３３でＮＯ）は、処理がステップＳ２３１０に進む。

ステップＳ２３４では、機器認証部１０４は、認証情報記憶部１０９から対応する認証情報１０９０を取得する。
認証情報記憶部１０９では、ＥＣＵの識別子に対応付けて認証情報１０９０が管理されている。機器認証部１０４は、ＥＣＵからの応答に含まれる識別子を認証情報記憶部１０９に出力し、認証情報記憶部１０９から対応する認証情報１０９０を取得する。

ステップＳ２３５では、ステップＳ２３３で受信した認証情報又はステップＳ２３４で取得した認証情報を用いてレスポンス値の復号処理を行う。
本実施の形態では、共通鍵暗号方式に基づく検証を前提としているが、非対象鍵を使用した検証、認証関数（ＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ））を使用した検証等を行うようにしてもよい。

正しく復号することができず、チャレンジ値に一致する値が得られない場合（ステップＳ２３６でＮＯ）は、機器認証部１０４は該当するＥＣＵについて認証失敗と判定する（ステップＳ２３１０）。

一方、正しく復号することができ、チャレンジ値に一致する値が得られた場合（ステップＳ２３６でＹＥＳ）は、機器認証部１０４は該当するＥＣＵについて認証成功と判定する（ステップＳ２３７）。
また、正しく復号することができた認証情報がステップＳ２３３で受信した認証情報である場合（ステップＳ２３８でＹＥＳ）は、機器認証部１０４は、ステップＳ２３３で受信した認証情報を認証情報１０９０として新規ＥＣＵの識別子と対応付けて認証情報記憶部１０９に格納する（ステップＳ２３９）。

なお、図７のフローでは、ＥＣＵ（Ａ）１００が、他のＥＣＵの認証を行うのみであるが、ＥＣＵ（Ａ）１００以外のＥＣＵがＥＣＵ（Ａ）１００の認証を行う（相互認証）ようにしてもよい。

次に、図８及び図９を参照して、不正操作判定処理（ステップＳ３）の詳細を説明する。
図８は、波形解析処理（ステップＳ１）において計測波形が前回計測波形１０８０と一致する場合の不正操作判定部１０５の処理を示す。
図９は、波形解析処理（ステップＳ１）において計測波形が前回計測波形１０８０と一致しない場合の不正操作判定部１０５の処理を示す。

図８において、不正操作判定部１０５は、機器認証部１０４の機器認証処理において認証に失敗したＥＣＵがあるか否かを判定する（ステップＳ３１１）。
いずれかのＥＣＵが認証に失敗している場合（ステップＳ３１１でＹＥＳ）、つまり、図５のステップＳ２１７で通知されたレスポンス復号処理の結果でいずれかのＥＣＵが認証失敗と示されている場合に、不正操作判定部１０５は、不正操作が行われていると判定する（ステップＳ３１２）。
一方、認証に失敗しているＥＣＵが存在しない場合（ステップＳ３１１でＮＯ）、つまり、図５のステップＳ２１７で通知されたレスポンス復号処理の結果で全てのＥＣＵが認証成功と示されている場合に、不正操作判定部１０５は、不正操作が行われていないと判定する（ステップＳ３１３）。

図８のフローは、計測波形が前回計測波形１０８０に一致する場合に行われる。計測波形が前回計測波形１０８０に一致する場合は、前回計測波形１０８０の取得時と今回のＥＣＵの組合せ及び配置は同一のはずである。この状況で、認証に失敗したＥＣＵが存在するのは（ステップＳ３１１でＹＥＳ）、前回計測波形１０８０の取得時にバスライン３００に接続していたＥＣＵ（以下、ＥＣＵ（ｚ）という）が、ＥＣＵ（ｚ）と波形特性が同一の新規ＥＣＵ（以下、ＥＣＵ（ｘ）という）に置き換えられ、ＥＣＵ（ｘ）から取得した識別子がサーバ装置４００に登録されておらず、このため、サーバ装置４００からＥＣＵ（ｘ）の認証情報が得られなかったためと考えられる。つまり、ＥＣＵ（ｘ）がＥＣＵ（ｚ）になりすまして、バスライン３００に接続していると考えられる。
一方、認証に失敗したＥＣＵが存在しない場合（ステップＳ３１１でＮＯ）は、前回計測波形１０８０の取得時にバスライン３００に接続していたＥＣＵがそのままバスライン３００に接続しているものと考えられる。

図９において、不正操作判定部１０５は、機器認証部１０４の機器認証処理において認証に失敗したＥＣＵがあるか否かを判定する（ステップＳ３２１）。
いずれかのＥＣＵが認証に失敗している場合（ステップＳ３２１でＹＥＳ）、つまり、図５のステップＳ２１７で通知されたレスポンス復号処理の結果でいずれかのＥＣＵが認証失敗と示されている場合に、不正操作判定部１０５は、バスライン３００で不正操作が行われていると判定する（ステップＳ３２８）。
図９のフローは、計測波形が前回計測波形１０８０に一致しない場合に行われる。ステップＳ３２１でＹＥＳの場合、すなわち、いずれかのＥＣＵが認証に失敗している場合は、認証に失敗したＥＣＵ（以下、ＥＣＵ（ｘ）という）の識別子がサーバ装置４００に登録されておらず、このため、サーバ装置４００からＥＣＵ（ｘ）の認証情報が得られなかったと考えられる。そして、ＥＣＵ（ｘ）がバスライン３００に新規に接続されたため、計測波形が前回計測波形１０８０に一致しなくなったと考えられる。

一方、認証に失敗しているＥＣＵが存在しない場合（ステップＳ３２１でＮＯ）、つまり、図５のステップＳ２１７で通知されたレスポンス復号処理の結果で全てのＥＣＵが認証成功と示されている場合に、不正操作判定部１０５は、バスライン３００に接続されているＥＣＵの構成が変化しているか否かを判定する（ステップＳ３２２）。
より具体的には、不正操作判定部１０５は、機器認証部１０４が各ＥＣＵから受信した応答に含まれる識別子の組合せと、構成情報１０７０に示されるＥＣＵの識別子の組合せが一致しているか否かを判定する。識別子の組合せが一致している場合は、不正操作判定部１０５はＥＣＵの構成が変化していないと判定する（ステップＳ３２２でＮＯ）。一方、識別子の組合せが一致しない場合は、不正操作判定部１０５はＥＣＵの構成が変化していると判定する（ステップＳ３２２でＹＥＳ）。

ＥＣＵの構成が変化していないと判定した場合（ステップＳ３２２でＮＯ）は、不正操作判定部１０５は、バスライン３００で不正操作が行われていると判定する（ステップＳ３２８）。
ステップＳ３２２でＮＯの場合は、ＥＣＵの構成が変化していないにも関わらず、計測波形が前回計測波形１０８０に一致していない。この現象の理由として、以下の２つが考えられる。
（１）バスライン３００に接続されるＥＣＵの組合せに変化は無いが、ＥＣＵの配置が変化した。
（２）サイレントノードがバスライン３００に接続された。
サイレントノードは、チャレンジ値に対して応答を返信しない機器である。サイレントノードがバスライン３００に接続された場合は、サイレントノードからは応答を受信しないので、機器認証部１０４は全てのＥＣＵが認証に成功したと判定する。一方で、サイレントノードが接続されているので、計測波形と前回計測波形１０８０は一致しない。

ＥＣＵの構成が変化していると判定した場合（ステップＳ３２２でＹＥＳ）は、不正操作判定部１０５は、バスライン３００から必須ＥＣＵが除去されているか否かを判定する（ステップＳ３２３）。
必須ＥＣＵは、車両１０の走行に必須のＥＣＵである。例えば、ハンドル制御のためのＥＣＵは、車両１０の走行に必須のＥＣＵであるため、必須ＥＣＵに相当する。一方で、カーオーディオの制御のためのＥＣＵは車両１０の走行に必須のＥＣＵではないため、必須ＥＣＵに相当しない。
不正操作判定部１０５は、機器認証部１０４が各ＥＣＵから受信した応答に含まれる識別子に必須ＥＣＵの識別子が含まれるか否かを判定して、バスライン３００から必須ＥＣＵが除去されているか否かを判定する。

必須ＥＣＵが除去されている場合（ステップＳ３２３でＹＥＳ）は、不正操作判定部１０５は、バスライン３００で不正操作が行われていると判定する（ステップＳ３２８）。

必須ＥＣＵが除去されていない場合（ステップＳ３２３でＮＯ）は、不正操作判定部１０５は、想定波形を取得する（ステップＳ３２４）。
想定波形は、現在のＥＣＵの構成で想定される電圧波形である。不正操作判定部１０５は、機器認証部１０４が各ＥＣＵから受信した応答に含まれる識別子の組合せから、現在のＥＣＵの構成を推定する。そして、不正操作判定部１０５は、推定した現在のＥＣＵの構成から、想定波形を取得（算出）する。
または、不正操作判定部１０５は、推定した現在のＥＣＵの構成をサーバ装置４００に送信し、サーバ装置４００に想定波形を算出させてもよい。この場合に、不正操作判定部１０５は、無線通信部１０１を介して、サーバ装置４００から想定波形を取得（受信）する。

次に、不正操作判定部１０５は、計測波形と、ステップＳ３２４で取得した想定波形とを比較する（ステップＳ３２５）。

計測波形と想定波形とが一致しない場合（ステップＳ３２５でＹＥＳ）は、不正操作判定部１０５は、バスライン３００で不正操作が行われていると判定する（ステップＳ３２８）。なお、ステップＳ３２５では、不正操作判定部１０５は、計測波形と想定波形とが規定の誤差範囲内にあれば、計測波形と想定波形とが一致していると判定する。
計測波形と想定波形とが一致しない場合、すなわち、計測波形が想定波形から大きく異なる場合は、サイレントノードが接続されていると考えられる。サイレントノードは、前述のように、チャレンジ値に対して応答を返信しないＥＣＵである。サイレントノードがバスライン３００に接続された場合は、サイレントノードからは応答を受信しないので、機器認証部１０４は全てのＥＣＵが認証に成功したと判定する（ステップＳ３２１でＮＯ）。一方で、サイレントノードが接続されているので、計測波形と想定波形は一致しない。

計測波形と想定波形とが一致する場合（ステップＳ３２５でＮＯ）は、不正操作判定部１０５は、バスライン３００で不正操作が行われていないと判定する（ステップＳ３２６）。
この場合は、認証に失敗したＥＣＵが存在せず、ＥＣＵの構成が変化しており、必須ＥＣＵは除去されておらず、また、計測波形と想定波形とが一致している。従って、前回計測波形１０８０の取得時にバスライン３００に接続されていた、必須ＥＣＵではないＥＣＵが除去されたためＥＣＵの構成が変化したと考えられる。または、前回計測波形１０８０の取得時にはバスライン３００に接続されていなかったＥＣＵが追加され、追加されたＥＣＵの識別子がサーバ装置４００に登録されていると考えられる（従って、機器認証部１０４の認証に成功）。または、前回計測波形１０８０の取得時にバスライン３００に接続されていた、必須ＥＣＵではないＥＣＵが他のＥＣＵに置き換えられ、置き換え後の識別子がサーバ装置４００に登録されていると考えられる（従って、機器認証部１０４の認証に成功）。

その後、不正操作判定部１０５は、構成情報１０７０及び前回計測波形１０８０を更新する（ステップＳ３２７）。
つまり、不正操作判定部１０５は、機器認証部１０４が各ＥＣＵから受信した応答に含まれる識別子の組合せが示される情報を、新たな構成情報１０７０として構成情報記憶部１０７に格納する。
また、不正操作判定部１０５は、今回の計測波形を、新たな前回計測波形１０８０として計測波形記憶部１０８に格納する。

＊＊＊実施の形態の効果の説明＊＊＊
本実施の形態によれば、バスラインへの不正操作を正しく検出できるようにすることができる。より具体的には、本実施の形態によれば、正規の機器が新たにバスラインに追加された場合又はバスラインから機器が削除された場合と、不正な機器がバスラインに追加された場合とを正しく判別することができる。

また、本実施の形態によれば、サイレントノードの不正接続という不正操作を検出することができる。
また、本実施の形態によれば、サイレントノードではない、他のＥＣＵになりすますＥＣＵの不正接続も検出することができる。

また、本実施の形態では、不正操作がないと判定される度に構成情報、計測波形が更新されるため、適切な機器認証結果及び適切な不正接続判定結果を得ることができる。
また、本実施の形態によれば、通信情報及びソフトウェアの更新を含めて、構成に合わせた適切な機能を実現することができる。

なお、本実施の形態では、電圧値の経時変化を表す波形を計測波形として用いている。電圧値の波形の代わりにインピーダンス値の波形を計測波形として用いてもよい。この場合は、波形解析部１０２は、計測された電圧値を印加電圧値に基づいてインピーダンス値に変換する機能を有する。また、波形解析部１０２は、経過時間をバスライン３０の長さ方向に変換してもよい。この場合は、波形解析部１０２は、計測ポイントにおける経過時間を伝送路遅延時間から長さ方向に変換する機能を有する。
また、計測波形と前回計測波形が一致する場合は、前回認証数の機器認証が行われたら、処理を終了するようにしてもよい。この場合は、処理時間を短縮することができる。

＊＊＊ハードウェア構成の説明＊＊＊
最後に、ＥＣＵ（Ａ）１００のハードウェア構成の補足説明を行う。
プロセッサ９０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。
プロセッサ９０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等である。
主記憶装置９０２は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
補助記憶装置９０３は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等である。

補助記憶装置９０３には、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）も記憶されている。
そして、ＯＳの少なくとも一部がプロセッサ９０１により実行される。
プロセッサ９０１はＯＳの少なくとも一部を実行しながら、無線通信部１０１、波形解析部１０２、バスライン通信部１０３、機器認証部１０４及び不正操作判定部１０５の機能を実現するプログラムを実行する。
また、プロセッサ９０１はＯＳの少なくとも一部を実行しながら、無線通信部１０１、波形解析部１０２、バスライン通信部１０３、機器認証部１０４及び不正操作判定部１０５の機能を実現するプログラムを実行する。
プロセッサ９０１がＯＳを実行することで、タスク管理、メモリ管理、ファイル管理、通信制御等が行われる。
また、無線通信部１０１、波形解析部１０２、バスライン通信部１０３、機器認証部１０４及び不正操作判定部１０５の処理の結果を示す情報、データ、信号値及び変数値の少なくともいずれかが、主記憶装置９０２、補助記憶装置９０３、プロセッサ９０１内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
また、無線通信部１０１、波形解析部１０２、バスライン通信部１０３、機器認証部１０４及び不正操作判定部１０５の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記憶媒体に記憶されてもよい。

また、無線通信部１０１、波形解析部１０２、バスライン通信部１０３、機器認証部１０４及び不正操作判定部１０５の「部」を、「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。
また、ＥＣＵ（Ａ）１００は、ロジックＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）といった電子回路により実現されてもよい。
なお、プロセッサ及び上記の電子回路を総称してプロセッシングサーキットリーともいう。

１０ 車両、１００ ＥＣＵ（Ａ）、１０１ 無線通信部、１０２ 波形解析部、１０３ バスライン通信部、１０４ 機器認証部、１０５ 不正操作判定部、１０６ ＤＢ、１５０ アンテナ、２０１ ＥＣＵ（Ｂ）、２０２ ＥＣＵ（Ｃ）、３００ バスライン、４００ サーバ装置、９０１ プロセッサ、９０２ 主記憶装置、９０３ 補助記憶装置、９０４ 通信装置、９０５ 電圧センサ、１０７０ 構成情報、１０８０ 前回計測波形、１０９０ 認証情報。

サーバ装置４００は、ＥＣＵ（Ａ）１００から送信される認証情報要求を受信する。
サーバ装置４００は、正規機器であるＥＣＵ（Ｂ）２０１、ＥＣＵ（Ｃ）２０２等の認証情報を識別子と対応付けて記憶している。また、現在は、車両１０のバスライン３００に接続されていないが接続することが許可されている正当なＥＣＵ（正規機器）の認証情報も識別子と対応付けて記憶している。
サーバ装置４００は、認証情報要求の応答として、ＥＣＵ（Ａ）１００に認証情報を送信する。認証情報要求及び認証情報の詳細は後述する。
サーバ装置４００は、例えば、クラウドネットワーク上に配置される。サーバ装置４００は、車両１０内に配置されていてもよい。サーバ装置４０が車両１０内に配置されている場合は、ネットワークが使用できない状況でもサーバ装置４０へのアクセスが可能である。なお、本実施の形態では、サーバ装置４００がクラウドネットワークに配置されているものとする。
サーバ装置４００は、外部装置に相当する。

まず、機器認証部１０４は、受信したレスポンス値が新規ＥＣＵのレスポンス値であるか否かを判定する（ステップＳ２３１）。
チャレンジ値に対するＥＣＵからの応答には、応答の送信元のＥＣＵの識別子が含まれている。ＥＣＵの識別子は、ＥＣＵを一意に特定できる情報である。機器認証部１０４は、ＥＣＵからの応答に含まれる識別子を構成情報１０７０に含まれる識別子と比較する。ＥＣＵからの応答に含まれる識別子と同じ識別子が構成情報１０７０に存在すれば、ステップＳ２３１の判定はＮＯとなる。一方、ＥＣＵからの応答に含まれる識別子と同じ識別子が構成情報１０７０に存在しない場合は、レスポンス値の送信元は新規にバスライン３００に接続された新規ＥＣＵであり、ステップＳ２３１の判定はＹＥＳとなる。
また、チャレンジ値に対するＥＣＵからの応答にＥＣＵの識別子が含まれていなくてもよい。この場合に、例えば、認証情報１０９０が既に認証情報記憶部１０９で記憶されている既存ＥＣＵは、識別子を含ませないで応答を送信する。このようにすることで、機器認証部１０４は、新規ＥＣＵからの応答と、既にバスライン３００に接続されている既存ＥＣＵからの応答とを判別することができる。つまり、識別子が含まれる応答を受信した場合は、レスポンス値の送信元は新規にバスライン３００に接続された新規ＥＣＵであり、ステップＳ２３１の判定はＹＥＳとなる。なお、この場合に、既存ＥＣＵの識別には、ＣＡＮ ＩＤを用いることができる。
ステップＳ２３１でＹＥＳであれば、ステップＳ２３２の処理が行われ、ステップＳ２３１でＮＯであれば、ステップＳ２３４の処理が行われる。

無線通信部１０１を介して機器認証部１０４が、サーバ装置４００から新規ＥＣＵの認証情報を受信できた場合（ステップＳ２３３でＹＥＳ）は、処理がステップＳ２３５に進む。一方、機器認証部１０４がサーバ装置４００から新規ＥＣＵの認証情報を受信できなかった場合（ステップＳ２３３でＮＯ）は、処理がステップＳ２３１０に進む。

ステップＳ２３５では、ステップＳ２３３で受信した認証情報又はステップＳ２３４で取得した認証情報を用いてレスポンス値の復号処理を行う。
本実施の形態では、共通鍵暗号方式に基づく検証を前提としているが、非対称鍵を使用した検証、認証関数（ＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ））を使用した検証等を行うようにしてもよい。

計測波形と想定波形とが一致しない場合（ステップＳ３２５でＮＯ）は、不正操作判定部１０５は、バスライン３００で不正操作が行われていると判定する（ステップＳ３２８）。なお、ステップＳ３２５では、不正操作判定部１０５は、計測波形と想定波形とが規定の誤差範囲内にあれば、計測波形と想定波形とが一致していると判定する。
計測波形と想定波形とが一致しない場合、すなわち、計測波形が想定波形から大きく異なる場合は、サイレントノードが接続されていると考えられる。サイレントノードは、前述のように、チャレンジ値に対して応答を返信しないＥＣＵである。サイレントノードがバスライン３００に接続された場合は、サイレントノードからは応答を受信しないので、機器認証部１０４は全てのＥＣＵが認証に成功したと判定する（ステップＳ３２１でＮＯ）。一方で、サイレントノードが接続されているので、計測波形と想定波形は一致しない。

計測波形と想定波形とが一致する場合（ステップＳ３２５でＹＥＳ）は、不正操作判定部１０５は、バスライン３００で不正操作が行われていないと判定する（ステップＳ３２６）。
この場合は、認証に失敗したＥＣＵが存在せず、ＥＣＵの構成が変化しており、必須ＥＣＵは除去されておらず、また、計測波形と想定波形とが一致している。従って、前回計測波形１０８０の取得時にバスライン３００に接続されていた、必須ＥＣＵではないＥＣＵが除去されたためＥＣＵの構成が変化したと考えられる。または、前回計測波形１０８０の取得時にはバスライン３００に接続されていなかったＥＣＵが追加され、追加されたＥＣＵの識別子がサーバ装置４００に登録されていると考えられる（従って、機器認証部１０４の認証に成功）。または、前回計測波形１０８０の取得時にバスライン３００に接続されていた、必須ＥＣＵではないＥＣＵが他のＥＣＵに置き換えられ、置き換え後の識別子がサーバ装置４００に登録されていると考えられる（従って、機器認証部１０４の認証に成功）。

Claims (13)

1. バスラインの電圧値及びインピーダンス値のいずれかが計測されて得られた波形である計測波形を解析する波形解析部と、
   前記バスラインに接続していることが判明している１つ以上の機器が含まれる構成情報に含まれていない機器である新規機器が前記バスラインに接続しているか否かを判定しながら前記バスラインに接続している機器ごとに認証を行い、前記バスラインに前記新規機器が接続している場合に、前記新規機器の認証に用いる認証情報を取得して前記新規機器の認証を行う機器認証部と、
   前記構成情報と、前記波形解析部の解析結果と、前記機器認証部の認証結果とを用いて、前記バスラインに不正操作が行われているか否かを判定する不正操作判定部とを有する情報処理装置。
2. 前記機器認証部は、
   前記バスラインに前記新規機器が接続している場合に、前記新規機器から前記新規機器の識別子を取得し、
   取得した前記新規機器の識別子を、正規機器の識別子と対応付けて前記正規機器の認証情報を記憶している外部装置に通知し、前記新規機器の識別子が前記正規機器の識別子に一致する場合に前記外部装置から前記新規機器の認証情報を取得する請求項１に記載の情報処理装置。
3. 前記情報処理装置は、更に、
   前記不正操作判定部により前記バスラインに不正操作が行われていないと判定された際に得られた計測波形である前回計測波形を記憶する計測波形記憶部を有し、
   前記波形解析部は、
   前記計測波形記憶部が前記前回計測波形を記憶した後に前記計測波形が得られた場合に、得られた前記計測波形と前記前回計測波形とが一致するか否かを解析し、
   前記不正操作判定部は、
   前記計測波形と前記前回計測波形とが一致し、前記機器認証部の認証に失敗した機器が存在する場合に、前記バスラインに不正操作が行われていると判定する請求項１に記載の情報処理装置。
4. 前記情報処理装置は、更に、
   前記不正操作判定部により前記バスラインに不正操作が行われていないと判定された際に得られた計測波形である前回計測波形を記憶する計測波形記憶部を有し、
   前記波形解析部は、
   前記計測波形記憶部が前記前回計測波形を記憶した後に前記計測波形が得られた場合に、得られた前記計測波形と前記前回計測波形とが一致するか否かを解析し、
   前記不正操作判定部は、
   前記計測波形と前記前回計測波形とが一致せず、前記機器認証部の認証に失敗した機器が存在する場合に、前記バスラインに不正操作が行われていると判定する請求項１に記載の情報処理装置。
5. 前記情報処理装置は、更に、
   前記不正操作判定部により前記バスラインに不正操作が行われていないと判定された際に得られた計測波形である前回計測波形を記憶する計測波形記憶部を有し、
   前記波形解析部は、
   前記計測波形記憶部が前記前回計測波形を記憶した後に前記計測波形が得られた場合に、得られた前記計測波形と前記前回計測波形とが一致するか否かを解析し、
   前記不正操作判定部は、
   前記計測波形と前記前回計測波形とが一致せず、前記機器認証部の認証に失敗した機器が存在しない場合に、
   前記構成情報に含まれる機器の組合せと前記機器認証部の認証結果から得られる機器の組合せとが一致するか否かを解析して前記バスラインに不正操作が行われているか否かを判定する請求項１に記載の情報処理装置。
6. 前記不正操作判定部は、
   前記構成情報に含まれる機器の組合せと前記機器認証部の認証結果から得られる機器の組合せとが一致する場合に、前記バスラインに不正操作が行われていると判定する請求項５に記載の情報処理装置。
7. 前記不正操作判定部は、
   前記構成情報に含まれる前記バスラインに接続している機器の組合せと前記機器認証部の認証結果から得られる機器の組合せとが一致しない場合に、前記機器認証部の認証結果から得られる機器の組合せを解析して、前記バスラインに接続していることが必須の機器である必須機器が前記バスラインに接続しているか否かを判定し、前記必須機器が前記バスラインに接続していない場合に、前記バスラインに不正操作が行われていると判定する請求項５に記載の情報処理装置。
8. 前記不正操作判定部は、
   前記必須機器が前記バスラインに接続している場合に、前記機器認証部の認証結果から得られる機器の組合せにおいて想定される、前記バスラインの電圧値及びインピーダンス値の波形を想定波形として取得し、前記計測波形と前記想定波形とが一致するか否かを解析し、
   前記計測波形と前記想定波形とが一致しない場合に、前記バスラインに不正操作が行われていると判定する請求項７に記載の情報処理装置。
9. 前記不正操作判定部は、
   前記計測波形と前記想定波形とが一致する場合に、前記バスラインに不正操作が行われていないと判定し、前記計測波形を前回計測波形として規定の記憶領域に格納し、前記機器認証部の認証結果から得られる機器の組合せが示される情報を新たな構成情報として規定の記憶領域に格納する請求項８に記載の情報処理装置。
10. 前記不正操作判定部は、
    前記バスラインに不正操作が行われていないと判定した場合に、前記認証情報、通信情報及びソフトウェアの少なくともいずれかを規定の記憶領域に格納する請求項９に記載の情報処理装置。
11. 前記機器認証部は、
    前記新規機器の認証に用いる認証情報を生成し、生成した認証情報を用いて前記新規機器の認証を行う請求項１に記載の情報処理装置。
12. コンピュータが、バスラインの電圧値及びインピーダンス値のいずれかが計測されて得られた波形である計測波形を解析し、
    前記コンピュータが、バスラインに接続していることが判明している１つ以上の機器が含まれる構成情報に含まされていない機器である新規機器が前記バスラインに接続しているか否かを判定しながら前記バスラインに接続している機器ごとに認証を行い、前記バスラインに前記新規機器が接続している場合に、前記新規機器の認証に用いる認証情報を取得して前記新規機器の認証を行い、
    前記コンピュータが、前記構成情報と、前記計測波形の解析結果と、前記機器の認証結果とを用いて、前記バスラインに不正操作が行われているか否かを判定する情報処理方法。
13. バスラインの電圧値及びインピーダンス値のいずれかが計測されて得られた波形である計測波形を解析する波形解析処理と、
    前記バスラインに接続していることが判明している１つ以上の機器が含まれる構成情報に含まれていない機器である新規機器が前記バスラインに接続しているか否かを判定しながら前記バスラインに接続している機器ごとに認証を行い、前記バスラインに前記新規機器が接続している場合に、前記新規機器の認証に用いる認証情報を取得して前記新規機器の認証を行う機器認証処理と、
    前記構成情報と、前記波形解析処理の解析結果と、前記機器認証処理の認証結果とを用いて、前記バスラインに不正操作が行われているか否かを判定する不正操作判定処理とをコンピュータに実行させる情報処理プログラム。

Images