WO2019087858A1 - 攻撃通信検出装置、攻撃通信検出方法、プログラム - Google Patents

攻撃通信検出装置、攻撃通信検出方法、プログラム Download PDF

Info

Publication number
WO2019087858A1
WO2019087858A1 PCT/JP2018/039296 JP2018039296W WO2019087858A1 WO 2019087858 A1 WO2019087858 A1 WO 2019087858A1 JP 2018039296 W JP2018039296 W JP 2018039296W WO 2019087858 A1 WO2019087858 A1 WO 2019087858A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication
detection
attack
interval
sum
Prior art date
Application number
PCT/JP2018/039296
Other languages
English (en)
French (fr)
Inventor
靖 岡野
卓麻 小山
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to CN201880070434.5A priority Critical patent/CN111316602B/zh
Priority to EP18872403.3A priority patent/EP3706372B1/en
Priority to US16/755,205 priority patent/US11588827B2/en
Priority to JP2019551149A priority patent/JP6911936B2/ja
Publication of WO2019087858A1 publication Critical patent/WO2019087858A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40169—Flexible bus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/407—Bus networks with decentralised control
    • H04L12/413—Bus networks with decentralised control with random access, e.g. carrier-sense multiple-access with collision detection [CSMA-CD]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle

Definitions

  • the present invention detects attack communication in, for example, a network mounted on a machine such as a vehicle, a machine tool, a construction machine, or an agricultural machine, a communication device connected to the network, and a communication system including them.
  • the present invention relates to an attack communication detection device, an attack communication detection method, and a program.
  • a controller area network (CAN: Controller Area Network) is a typical example used for a communication network between ECUs.
  • the CAN network configuration is a so-called bus configuration in which the communication lines of the ECUs are shared.
  • CSMA / CR Carrier Sense Multiple Access / Collision Resolution
  • a procedure is used.
  • the communication of each ECU on the CAN includes an ID, and the ID is used to identify the priority of communication arbitration, data content, transmission node and the like.
  • the detection accuracy deteriorates. For example, if the deviation tolerance is compared to ⁇ 10% of the design value and ⁇ 50% of the design value, if it is detected not to misdetect normal communication, the former is compared with the usual interval value. Then, if it becomes 90% or less, abnormal communication can be detected, but the latter can not be detected unless the interval is 50% or less as compared to the normal interval value, and misses increase. In order to improve detection accuracy, it is necessary to devise more appropriate measures against the deviation tolerance value.
  • the attack communication detection device is a device that detects attack communication from the communication of each electronic control device in a communication network, and includes a reception unit, a communication interval sum calculation unit, an estimated distribution model storage unit, and a detection unit. Including.
  • the receiving unit receives the detection communication data whose unknown whether or not it includes attack communication.
  • the communication interval sum calculation unit calculates a communication interval sum which is the sum of two adjacent communication intervals of the detection communication data.
  • the estimated distribution model storage unit stores in advance an estimated distribution model of communication intervals and communication interval sums of learning communication data not including attack communication.
  • the detection unit detects whether the communication data for detection includes attack communication, based on the communication interval sum of the estimated distribution model and the communication data for detection.
  • the attack communication detection device of the present invention is robust against the deviation of the communication interval from the design value.
  • FIG. 2 is a block diagram showing the configuration of an attacking communication detection device according to the first embodiment.
  • 6 is a flowchart showing a learning operation of the attack communication detection device according to the first embodiment.
  • 6 is a flowchart showing a detection operation of the attack communication detection device of the first embodiment.
  • FIG. 7 is a block diagram showing the configuration of an attacking communication detection device according to a second embodiment. 10 is a flowchart showing a learning operation of the attack communication detection device of the second embodiment.
  • FIG. 8 is a block diagram showing the configuration of an attacking communication detection device according to a third embodiment. 10 is a flowchart showing a learning operation of the attack communication detection device according to the third embodiment. FIG. 8 is a block diagram showing a configuration of an attack communication detection device of a modification 1;
  • CAN Controller Area Network
  • the protocol of the communication network in which the attack communication detection device of the present invention executes attack communication detection is not limited to CAN. It is not limited.
  • the attack communication detection apparatus according to the present invention may set a protocol (for example, Ethernet) of a communication network other than CAN as an attack communication detection target.
  • the attack communication detection apparatus of the following embodiment intercepts communication on the machine control information communication network using not only the communication interval but also the sum of two adjacent communication intervals (hereinafter referred to as the communication interval sum).
  • the communication interval and communication interval sum design value and deviation allowance value can be properly estimated by learning based on data obtained by interception, and based on these estimations, communication interval sum (or addition communication interval) Is detected to detect the attack communication that has been inserted.
  • the communication distance is in normal communication is substantially constant distance a (the design value of the communication distance), normal communication - with the time S 1 at intervals attack communication to be shorter d (FIG. During time S A ).
  • d can be arbitrarily changed in the range of 0 ⁇ d ⁇ a according to the timing of inserting an attack.
  • the communication distance sum if the normal communication continues a 2a is a multiple of the communication intervals (e.g., time between S 2 and S 4 in the figure), normal communication - Attack communication - normal communication pattern communication spacing in sum regardless of the attacks insertion timing becomes always a (between times S 1 and the time S 2 in the same figure).
  • attack communication is inserted frequently, for example, in normal communication-attack communication-attack communication, the communication interval sum becomes a value smaller than a.
  • the communication interval sum in the normal communication-normal communication-attack communication part is a + d (between time S 0 and S A in the figure), and the communication interval sum in the attack communication-normal communication-normal communication part is 2a is -d (between times S a and S 3 in the figure).
  • the communication interval sum when the attack communication is not included is around 2a, and the communication interval sum of the normal communication-attack communication-normal communication pattern and the normal communication-attack communication-attack communication pattern is around a or smaller than a. Since it becomes a value, the values can be largely separated (see FIG. 2), and it becomes possible to detect more accurately. The reason that it is described as “nearby” is that it is necessary to allow for a deviation allowance value, which will be described later.
  • ⁇ Learning> I will talk about learning. Assuming the distribution of communication intervals and communication interval sum values as to design values and deviation allowance values regarding communication intervals and communication interval sums, sample communication interval and communication interval sum values obtained by observing normal communication. It estimates by learning (parametric estimation) that estimates the parameter of the distribution.
  • the case where a normal distribution is used as the assumed distribution will be described below as an example.
  • the normal distribution can be estimated by calculating two parameters, the arithmetic mean and the standard deviation of the sample.
  • the design value can use its arithmetic mean as an estimate.
  • the allowance for deviation can be adjusted and determined based on the estimated distribution of the communication interval and the communication interval sum, and the details will be described later.
  • the assumed distribution is not limited to the normal distribution, and a suitable distribution such as triangular distribution, uniform continuous distribution, gamma distribution, etc. may be used.
  • the communication interval sum is communication when normal. a value equivalent to the spacing (between times S 1 and S 2 in FIG. 1). Therefore, the estimated distribution of the communication interval sum in the case of normal communication-attack communication-normal communication can be substituted by the estimated distribution of communication intervals in normal communication. That is, only by learning the normal communication, it is possible to obtain both the estimated distribution of the communication interval at the normal time and the estimated distribution of the communication interval sum at the attack in the normal communication-attack communication-normal communication pattern.
  • L - is an estimated distribution of the communication interval sum at the normal time. ⁇ T L - (x) dx ⁇ p -
  • the detection rate (detection rate: number of attack communications correctly detected as abnormal / total number of attack communications) can be predicted from the estimated distribution at the time of attack from the following equation.
  • L + is the estimated distribution of the communication interval sum at the time of attack (replaced by the estimated distribution of the communication interval at the normal time).
  • Expected detection rate ⁇ T L + (x) dx
  • the integral value can be determined using numerical calculation or the like.
  • the relationship between the integral value (probability) and the z value is summarized as a standard normal distribution table, and the z value close to the probability of 1 ⁇ p ⁇ ⁇ 2 may be used with reference to the table.
  • the maximum false alarm rate is 0.15%
  • the z value is a value determined only by the specified maximum false alarm rate, and may not be adjusted individually for each ID. It is possible to use a method that can easily calculate the threshold value T according to the distribution used in this way.
  • the threshold T or its predicted false alarm rate may be determined by specifying the minimum allowable detection rate p + , and the adjustment can be performed mechanically in the same manner.
  • ⁇ T L + (x) dx ⁇ p + Expected false positive rate ⁇ T L - (x) dx
  • the deviation is relatively smaller than the communication interval.
  • Many ECUs use an internal clock to measure the timing of period transmission. Therefore, the communication immediately after the communication delayed due to the collision waiting is transmitted earlier by a short delay (because it is transmitted at the clock timing, not transmitted after the interval of the design value). It seems to be done.
  • the communication interval sum results in canceling the delay and the early arrival. Therefore, the deviation of the communication interval sum takes a smaller value than expected from the deviation of the communication interval, and may even become a value smaller than the deviation of the communication interval. Small deviations are advantageous for improving detection accuracy.
  • the attack communication detection apparatus 1 of this embodiment includes a receiver 11, a temporary holder 12, a communication interval / communication interval sum calculator 13, a learning unit 14, and an estimated distribution model storage unit 15. And a detection unit 16.
  • the operation of each component at the time of learning will be described below with reference to FIG.
  • the receiving unit 11 receives learning communication data which is communication data generated by communication of the machine control information communication network or processing of communication and the like and which does not include attack communication (S11-1).
  • the receiving unit 11 assigns a communication time to each data unit (for example, each packet, each frame) of the learning communication data. It is assumed that learning communication data is distinguished for each communication ID, and the following steps are separately executed for each ID with respect to learning communication data of each ID.
  • the receiving unit 11 may obtain communication by intercepting a network or a gateway, or may separately obtain communication data as data such as a log from another monitoring device.
  • the reception time (communication time) is given to the communication obtained by interception, but in the case where the communication data is obtained as data such as a log and the reception time (communication time) is already given, Time assignment may be omitted.
  • the ID of the communication may be checked to select and accept only the detection target.
  • the temporary holding unit 12 holds a plurality of (for example, three) communication times of the communication data for learning from the latest communication time (S12-1).
  • the communication interval / communication interval sum calculation unit 13 calculates the communication interval of the learning communication data using the communication time of the learning communication data held in step S12-1 (S13-1). The communication interval / communication interval sum calculation unit 13 also calculates the communication interval sum of the learning communication data in order to calculate the threshold T described above.
  • the learning unit 14 uses the communication interval and communication interval sum calculated in step S13-1 under the condition of the assumed distribution and the maximum false alarm rate (or the minimum detection rate) specified in the setting, to obtain the learning communication data.
  • the estimated distribution of communication intervals, the estimated distribution of communication interval sums of learning communication data, and the threshold T for these estimated distributions are learned (S14).
  • the estimated distribution, the threshold T, and the like are stored in the estimated distribution model storage unit 15 as an estimated distribution model.
  • the learning unit 14 uses the communication interval calculated in step S13-1 and the communication interval sum as sample data, and the distribution of hypotheses specified in the settings (inputted by the administrator of the apparatus, etc.) and the maximum false alarm rate ( Alternatively, under the condition of the minimum detection rate or the like, the estimated distribution or threshold value T is determined for each ID, and they are learned as an estimated distribution model and recorded in the estimated distribution model storage unit 15.
  • the learning unit 14 assembles a certain amount of sample data, performs preprocessing, and then determines the estimated distribution.
  • pre-processing of sample data data of several percent of the value is removed to suppress the influence of the exceptional value.
  • the learning unit 14 may carry out learning by a method of sequentially processing sample data one by one without updating the sample data and updating the estimated distribution model. For example, when using a normal distribution, processing can be performed sequentially using moments.
  • the estimated distribution model stored in the estimated distribution model storage unit 15 is the estimated distribution of the communication interval of the learning communication data, the estimated distribution of the communication interval sum of the learning communication data, and the threshold T for these estimated distributions. May be included, or parameters of estimated distribution may be included.
  • the estimated distribution model storage unit 15 stores the estimated distribution model for each ID. Taking a normal distribution as an example, the estimated distribution model includes their mean value, standard deviation, threshold T, and the like. Models may be stored only as necessary according to requirements. For example, only the threshold T used at the time of detection may be stored. Alternatively, only the average value and the standard deviation may be stored in the estimated distribution model storage unit 15, and the threshold T may be calculated by the detection unit 16 each time.
  • the receiving unit 11 receives communication data for detection which is communication data generated by communication of the machine control information communication network or processing of communication, etc., and it is unknown whether or not it includes attack communication (S11- 2).
  • the temporary holding unit 12 holds a plurality (at least three or more) of the communication times of the communication data for detection from the latest one (S12-2). In order to calculate the communication interval sum, since the latest three or more communication times of the communication of the same ID are required, the temporary holding unit 12 holds the latest three or more communication times for each ID.
  • the temporary holding unit 12 checks the ID, discards the oldest communication time of the corresponding ID, and adds a new communication time (Fast in Fast out buffer).
  • the communication interval / communication interval sum calculation unit 13 calculates the communication interval sum which is the sum of two adjacent communication intervals of the detection communication data, using the communication time of the detection communication data held in step S12-2. (S13-2).
  • the communication unit of the communication data at time S 1 e.g., packets or frames
  • the communication time S 1 is newly recorded If it is, the time S 1, using past two communication time from the time S 1, the communication distance sum 2a is calculated.
  • the detection unit 16 detects whether the communication data for detection includes attack communication, based on the communication interval sum of the estimated distribution model and the communication data for detection (S16).
  • the detection unit 16 compares the communication interval sum sequentially calculated in step S13-2 with the estimated distribution model stored in the estimated distribution model storage unit 15, and detects any time of the communication data for detection. If the sum of communication intervals in is smaller than the threshold T for the estimated distribution, it is determined that the communication data for detection includes attack communication, and the detection result is output (S16).
  • the threshold T may be calculated in advance during learning, or may be calculated by the detection unit 16 each time. The detection process may be performed each time communication is received, or may be performed after communication has been summarized to some extent.
  • the detection result may be in the form of outputting whether it is abnormal or normal, or may be output only when abnormal.
  • Information for specifying the detection communication data for example, a reception time or an ID may be added to the detection result.
  • the abnormalities for the same ID may be collected or added, and an abnormality detection start time, an end time, an ID or the like may be added and output.
  • the detection unit 16 may transmit the detection result over the network, or may transmit and notify the detection result via another device.
  • attack communication when attack communication is inserted frequently, it may collide with normal communication and either communication may not be sent out.
  • the receiving unit 11 may receive an error frame transmitted by CAN, estimate the communication not sent from the error frame, and handle the communication as normal communication.
  • the attack communication collides with the normal communication and only the attack communication is sent out, the communication interval and the communication interval sum can not be distinguished from the normal time.
  • the error frame by taking the error frame into consideration, it can be treated as two of the normal communication and the attack communication sent out at the same time, and it becomes possible to distinguish between the communication interval and the communication interval sum.
  • the attack communication detection device 1 may be a device that performs only learning with the detection unit 16 removed or a device that performs only detection with the learning unit 14 removed.
  • the device that only performs learning stores the estimated distribution model in the estimated distribution model storage unit 15 as a result of the learning. If the stored estimated distribution model is stored in the estimated distribution model storage unit 15 of the device that performs only detection, the device can perform detection without learning. An apparatus that performs only detection will be described later in the first modification.
  • the offset shift and periodic communication intervals and communication interval sums are shown in FIG.
  • the threshold T is set near a and the communication interval If the sum is equal to or smaller than the threshold T, the communication can be detected as abnormal.
  • the threshold T is set to an appropriate value between a and a + a 'in anticipation of the allowance for deviation, and if the threshold is determined, detection can be performed as in the first embodiment using the communication interval sum.
  • the attack communication detection apparatus 2 of this embodiment includes a receiving unit 11, a temporary holding unit 12, a communication interval / communication interval sum calculating unit 13, a learning unit 24, and an estimated distribution model storage unit.
  • the respective constituent requirements including the detection unit 16 and the learning unit 24 are the same as in the first embodiment.
  • the learning unit 24 determines the threshold T as an average a or more of the communication intervals of the learning communication data and less than a + a 'which is the sum of the average a and a predetermined short interval a'.
  • the model is learned (S24).
  • the learning unit 24 obtains the estimated distribution as follows. First, the learning unit 24 obtains an estimated distribution of communication intervals excluding the short interval a ′ and an estimated distribution of communication interval sums excluding the short interval sum a + a ′ based on each communication time of the learning communication data. For this exclusion, there is a method of obtaining an estimated distribution after removing data of a few large and small values of the value, and a method of performing distribution estimation using likelihood.
  • the learning unit 24 obtains an estimated distribution of only the short interval a ′ and an estimated distribution of only the short interval sum a + a ′.
  • the estimated distribution of short intervals a distribution different from the above-described estimated distribution excluding short intervals may be used.
  • the learning unit 24 can use, for example, a normal distribution for the former and a uniform continuous distribution for the latter. If the estimated distribution is determined as described above, the threshold can be determined as in the first embodiment.
  • Some ECUs have their transmission timing changed depending on the machine state, for example, the difference in the state of stop, travel, automatic travel, etc. in the vehicle. In such a case, in periodic transmission, the communication interval and the communication interval sum will be changed depending on the machine state.
  • the attack communication detection device 3 according to the third embodiment that performs abnormality detection corresponding to the machine state will be described.
  • the attack communication detection apparatus 3 of the present embodiment includes a reception unit 11, a temporary holding unit 12, a communication interval / communication interval sum calculation unit 13, a learning unit 34, and an estimated distribution model storage unit 15.
  • the respective constituent requirements including the detection unit 16 and the learning unit 34 are the same as in the first embodiment.
  • the learning unit 34 learns the estimated distribution model for each machine state of the electronic control unit (S34). More specifically, the learning unit 34 determines an estimated distribution model for each machine state, and stores the estimated distribution model in the estimated distribution model storage unit 15 for each machine state and each ID.
  • the receiving unit 11 receives a communication / signal indicating the machine state, determines the machine state according to the received content, and switches the estimated distribution model storage unit 15 for the machine state. In this way, abnormality detection can be performed even when the machine condition changes.
  • the communication / signal indicating the machine status may be transmitted on the network or may be transmitted by another route.
  • the attack communication detection device 1A of the modification 1 will be described with reference to FIG.
  • the attack communication detection apparatus 1A of this modification is an example in which the learning function is removed from the apparatus of the first embodiment and an apparatus that performs only detection is used.
  • the attack communication detection device 1A of this modification includes the reception unit 11, the temporary holding unit 12, the communication interval sum calculation unit 13A, the estimated distribution model storage unit 15, and the detection unit 16.
  • the estimated distribution model stored in step S14 or the like of the first embodiment is stored in the estimated distribution model storage unit 15 in advance.
  • the communication interval / communication interval sum calculation unit 13 in the first embodiment In the present modification, the name has been changed to the communication interval sum calculation unit 13A.
  • ⁇ Effect> According to the attack communication detection device of the above-described embodiment and modification, it is possible to grasp by learning without knowing design values and deviations in advance, and it becomes easy to apply abnormality detection to various types of vehicles and machines. Further, the desired accuracy such as the maximum allowable false alarm rate can be easily automatically adjusted by designation without manually adjusting the ID individually, and efficiency can be improved. The use of the communication interval sum improves the detection accuracy.
  • the apparatus is, for example, an input unit to which a keyboard or the like can be connected, an output unit to which a liquid crystal display or the like can be connected as a single hardware entity, or a communication apparatus (eg, communication cable) capable of communicating outside the hardware entity.
  • Communication unit that can be connected, CPU (central processing unit, cache memory, registers, etc. may be provided), RAM or ROM that is memory, external storage device that is hard disk, input unit for these, output unit, communication unit , CPU, RAM, ROM, and a bus connected so as to enable exchange of data between external storage devices.
  • the hardware entity may be provided with a device (drive) capable of reading and writing a recording medium such as a CD-ROM. Examples of physical entities provided with such hardware resources include general purpose computers and embedded devices.
  • the external storage device of the hardware entity stores a program necessary for realizing the above-mentioned function, data required for processing the program, and the like (not limited to the external storage device, for example, the program is read) It may be stored in the ROM which is a dedicated storage device). In addition, data and the like obtained by the processing of these programs are appropriately stored in a RAM, an external storage device, and the like.
  • each program stored in the external storage device (or ROM etc.) and data necessary for processing of each program are read into the memory as necessary, and interpreted and processed appropriately by the CPU .
  • the CPU realizes predetermined functions (each component requirement expressed as the above-mentioned,...
  • the present invention is not limited to the above-described embodiment, and various modifications can be made without departing from the spirit of the present invention. Further, the processing described in the above embodiment may be performed not only in chronological order according to the order of description but also may be performed in parallel or individually depending on the processing capability of the device that executes the processing or the necessity. .
  • the processing function in the hardware entity (the apparatus of the present invention) described in the above embodiment is implemented by a computer or an embedded device
  • the processing content of the function that the hardware entity should have is described by a program Be done.
  • the processing function of the hardware entity is realized on the computer and the embedded device by executing the program on the computer and the embedded device.
  • the program describing the processing content can be recorded in a recording medium readable by a computer or an embedded device.
  • a magnetic recording device an optical disk, a magneto-optical recording medium, a semiconductor memory, or the like may be used as a recording medium readable by a computer or an embedded device.
  • a magnetic recording device a hard disk drive, a flexible disk, a magnetic tape or the like as an optical disk, a DVD (Digital Versatile Disc), a DVD-RAM (Random Access Memory), a CD-ROM (Compact Disc Read Only) Memory), CD-R (Recordable) / RW (Rewritable), etc. as magneto-optical recording medium, MO (Magneto-Optical disc) etc., as semiconductor memory, EEP-ROM (Electronically Erasable and Programmable Only Read Memory) etc. Can be used.
  • this program is carried out, for example, by selling, transferring, lending, etc. a portable recording medium such as a DVD, a CD-ROM, etc. in which the program is recorded.
  • the program may be stored in a storage device of a server computer, and the program may be distributed by transferring the program from the server computer to another computer or an embedded device through a network.
  • the computer that executes such a program and the embedded device first temporarily store the program recorded in the portable recording medium or the program transferred from the server computer in its own storage device. Then, at the time of execution of the process, the computer and the embedded device read the program stored in the storage medium of the computer and execute the process according to the read program. Also, as another execution form of this program, a computer or an embedded device may read the program directly from a portable recording medium and execute processing according to the program. Each time a program is transferred from the server computer, processing according to the received program may be executed sequentially. Also, the above processing is performed by a so-called application service provider (ASP) type service that realizes processing functions only by executing instructions and acquiring results from the server computer without transferring the program to the computer and the embedded device.
  • ASP application service provider
  • the program in this embodiment is information provided for processing by a computer, which conforms to the program (it is not a direct command to a computer or an embedded device but has a property defining a process of the computer or the embedded device). Data etc.) shall be included.
  • the hardware entity is configured by executing a predetermined program on a computer or an embedded device, but at least a part of the processing content is realized as hardware. It is also good.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Data Mining & Analysis (AREA)
  • Evolutionary Computation (AREA)
  • Medical Informatics (AREA)
  • Artificial Intelligence (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

通信間隔の設計値からのずれに対して頑強な攻撃通信検出装置を提供する。通信ネットワークにおける各電子制御装置の通信から攻撃通信を検出する攻撃通信検出装置であって、攻撃通信を含むか否かが未知である検出用通信データを受信する受信部と、検出用通信データの隣り合う二つの通信間隔の和である通信間隔和を算出する通信間隔和算出部と、攻撃通信を含まない学習用通信データの通信間隔および通信間隔和の推定分布モデルを予め記憶する推定分布モデル記憶部と、推定分布モデルと検出用通信データの通信間隔和に基づいて、検出用通信データが攻撃通信を含むか否かを検出する検出部を含む。

Description

攻撃通信検出装置、攻撃通信検出方法、プログラム
　本発明は、例えば車両、工作機械、建設機械、農業機械等の機械類に搭載されたネットワーク、そのネットワークに接続された通信装置、および、それらで構成される通信システムにおいて、攻撃通信の検出を行う攻撃通信検出装置、攻撃通信検出方法、プログラムに関する。
　車両(自動車、特殊車両、自動二輪車、自転車等)、工作機械、建設機械、農業機械等の機械類には複数の電子制御装置（ＥＣＵ：Electronic Control Unit）が搭載されているものがあり、それらＥＣＵ間の通信ネットワークに用いられる代表的なものに、コントローラエリアネットワーク（ＣＡＮ：Controller Area Network）がある。ＣＡＮのネットワーク構成は各ＥＣＵの通信線が共有される、いわゆるバス型構成をとる。ＥＣＵのバスにおける通信手順には、ＣＳＭＡ／ＣＲ(Carrier Sense Multiple Access/Collision Resolution)、即ち、通信衝突する場合には優先順位の高い通信は衝突影響をうけず、優先順位の低い通信は再送する手順が用いられる。ＣＡＮ上の各ＥＣＵの通信にはＩＤが含まれており、ＩＤは通信調停の優先順位、データ内容や送信ノード等の識別に用いられる。
　これらの機械制御情報通信ネットワークに対するサイバー攻撃の危険性が示唆されている。ネットワークへの不正なＥＣＵの接続や既存ＥＣＵに対する不正な動作書き換え等の手段により、攻撃対象機能と関連するＩＤの攻撃送信を挿入し、その対象機能の不正な動作を誘発可能であることが知られている。
　これらの攻撃通信を検出する方法として、各同一ＩＤ通信の通信間隔の異常を検出する方法がある（例えば非特許文献１）。ＣＡＮにおいて、重要な機能に関する通信は周期的に送出するように設計されており、その機能に関連するＩＤの通信の間隔は設計値に従いほぼ一定となる。ある重要機能に対しての攻撃通信が挿入された時、その攻撃対象機能に関するＩＤの通信間隔は設計値よりも短間隔となることから、その間隔異常を検出することで攻撃通信検出が可能となる。ただし、ＣＳＭＡ／ＣＲの通信手順等により、通信間隔は設計値から一定の許容値範囲内でずれることがしばしば起こり、ずれの許容値を考慮して通信間隔異常の検出を行う必要がある。
大塚、石郷岡、「既存ＥＣＵを変更不要な車載ＬＡＮ向け侵入検知手法」、情報処理学会研究報告、Vol.2013-EMB-28, No.6, pp.31-35, 2013.
　従来の通信間隔に対する異常検出では、通信間隔の設計値およびずれの許容値を予め把握しておく必要がある。しかし、通信間隔の設計値通りにＥＣＵが実装されていない場合、その設計値自体が未知のＥＣＵ（例えば第三者提供のＥＣＵ）が使用される場合などがあり、事前の把握が困難な場合がある。ずれの許容値に関しては、通信手順自体に不確定要素を含むことから、設計値通りに実装されたＥＣＵであっても、予め把握することが困難な場合が多いと予想される。このように、通信間隔の設計値やずれの許容値を予め把握できない場合は、ＩＤ毎に間隔値を把握し、ずれに対応した調整を実施しなくてはならず、大きな手間がかかる。
　また、ずれの許容値はその値が大きくなるほど、検出精度は悪化する。例えば、ずれの許容値が設計値の±１０％のものと±５０％のものを比べた場合、正常通信を誤検出しないように検出するならば、前者はその間隔が通常の間隔値と比較して９０％以下になれば異常通信と検出できるのに対し、後者はその間隔が通常の間隔値と比較して５０％以下とならないと検出できず、見逃しが多くなる。より検出精度を高めるためには、ずれ許容値へのより適切な工夫が必要となる。
　そこで本発明では、通信間隔の設計値からのずれに対して頑強な攻撃通信検出装置を提供することを目的とする。
　本発明の攻撃通信検出装置は、通信ネットワークにおける各電子制御装置の通信から攻撃通信を検出する装置であって、受信部と、通信間隔和算出部と、推定分布モデル記憶部と、検出部を含む。
　受信部は、攻撃通信を含むか否かが未知である検出用通信データを受信する。通信間隔和算出部は、検出用通信データの隣り合う二つの通信間隔の和である通信間隔和を算出する。推定分布モデル記憶部は、攻撃通信を含まない学習用通信データの通信間隔および通信間隔和の推定分布モデルを予め記憶する。検出部は、推定分布モデルと検出用通信データの通信間隔和に基づいて、検出用通信データが攻撃通信を含むか否かを検出する。
　本発明の攻撃通信検出装置は、通信間隔の設計値からのずれに対して頑強である。
攻撃通信が挿入された場合の通信間隔、通信間隔和の例を示す図。 任意の時刻を基準とした場合の通信間隔和の推移を示す図。 実施例１の攻撃通信検出装置の構成を示すブロック図。 実施例１の攻撃通信検出装置の学習動作を示すフローチャート。 実施例１の攻撃通信検出装置の検出動作を示すフローチャート。 オフセットずれがある場合の通信間隔、通信間隔和の例を示す図。 実施例２の攻撃通信検出装置の構成を示すブロック図。 実施例２の攻撃通信検出装置の学習動作を示すフローチャート。 実施例３の攻撃通信検出装置の構成を示すブロック図。 実施例３の攻撃通信検出装置の学習動作を示すフローチャート。 変形例１の攻撃通信検出装置の構成を示すブロック図。
　以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。
　以下では、通信ネットワークのプロトコルとしてＣＡＮ（Controller Area Network）を利用するものと想定して説明を進めるが、本発明の攻撃通信検出装置が攻撃通信検出を実行する通信ネットワークのプロトコルは、必ずしもＣＡＮに限定されない。本発明の攻撃通信検出装置は、ＣＡＮ以外の通信ネットワークのプロトコル（例えば、Ethernet）を攻撃通信検出対象としてもよい。
　以下の実施例の攻撃通信検出装置は、通信間隔だけではなく、隣り合う二つの通信間隔を足し合わせた和（以下、通信間隔和と呼ぶ）を用い、機械制御情報通信ネットワーク上の通信の傍受または傍受により得られたデータを基に学習を行うことで通信間隔および通信間隔和の設計値およびずれ許容値を適切に推測し、これらの推測を基に、通信間隔和（または加えて通信間隔）の異常を検出することで、挿入された攻撃通信の検出を行うものである。
＜通信間隔和＞
　まず通信間隔和を用いた異常検出（攻撃検出）について説明する。図１に示すように、通信間隔は正常通信ではほぼ一定の間隔ａ（通信間隔の設計値）であるが、正常通信－攻撃通信の間隔はより短いｄとなる（同図における時刻Ｓ１と時刻ＳＡの間）。ｄは攻撃を挿入するタイミングに応じて、０≦ｄ≦ａの範囲で、任意に変わりうる。一方、通信間隔和については、正常通信が続く場合は通信間隔の倍である２ａである（例えば、同図における時刻Ｓ２とＳ４の間）が、正常通信－攻撃通信－正常通信のパターンにおける通信間隔和は攻撃挿入タイミングに係らず、必ずａとなる（同図における時刻Ｓ１と時刻Ｓ２の間）。攻撃通信が頻繁に挿入される場合、例えば正常通信－攻撃通信－攻撃通信では、その通信間隔和はａよりも小さな値となる。一方、正常通信－正常通信－攻撃通信の部分における通信間隔和はａ＋ｄであり（同図における時刻Ｓ０とＳＡの間）、攻撃通信－正常通信－正常通信の部分における通信間隔和は２ａ－ｄである（同図における時刻ＳＡとＳ３の間）。
　よって攻撃通信が含まれない場合の通信間隔和は２ａ近辺、正常通信－攻撃通信－正常通信のパターンや、正常通信－攻撃通信－攻撃通信のパターンの通信間隔和はａ近辺かそれよりも小さい値となるため、その値に大きく隔たりができ（図２参照）、より精度よく検出することが可能となる。近辺と記述したのは、ずれ許容値を見込む必要があるためであり、後述する。
＜学習＞
　次に学習について述べる。通信間隔および通信間隔和に関する設計値およびずれ許容値については、通信間隔および通信間隔和の値の分布を仮定し、正常通信を観察することで得られる通信間隔および通信間隔和の値の標本を用いて、その分布のパラメータを推定するという学習（パラメトリック推定）により推測する。仮定の分布として正規分布を用いた場合を例として以下に説明する。正規分布は標本の算術平均と標準偏差の２つのパラメータを算出することで推定できる。設計値はその算術平均を推定値として用いることができる。ずれ許容値は通信間隔および通信間隔和の推定分布を元に調整・決定することができ、詳細は後述する。仮定の分布は正規分布に限らず、三角分布、一様連続分布、ガンマ分布等、適切な分布を用いてよい。
＜閾値＞
　最後にずれに対する適切な調整について述べる。先に述べた内容を踏まえれば、通信間隔和が２ａよりも小さければ、攻撃通信を含んでいると検出してよいように思える。しかし、ずれ許容値を考慮すると、誤検出を抑制するために２ａよりも小さく、検出率を向上させるためにａよりも大きい、適切な閾値Ｔ以下で異常と判定する方がよい（例えば図２の閾値Ｔ）。このとき、閾値Ｔ：＝通信間隔和の設計値－通信間隔和のずれ許容値であるとも言い換えられる。
＜推定分布＞
　前述したように、通信間隔和を用いた異常検出では、攻撃通信を含む場合であって、そのパターンが正常通信－攻撃通信－正常通信である場合には、その通信間隔和は正常時の通信間隔の値と同値になる（図１における時刻Ｓ１とＳ２の間）。そこで、正常通信－攻撃通信－正常通信である場合の通信間隔和の推定分布は、正常通信における通信間隔の推定分布で代用することができる。すなわち、正常通信を学習するだけで、正常時の通信間隔の推定分布と正常通信－攻撃通信－正常通信パターンにおける攻撃時の通信間隔和の推定分布の両方を得ることができる。
　このとき、推定分布として適切な確率密度関数（全区間の積分結果が１）を用い、許容可能な最大誤検出率（誤検出率：＝異常と誤って検出した正常通信数÷全正常通信数）をｐ－と定めると、正常時の推定分布から以下の式を満たす最大の閾値Ｔを決めることができる。ただしＬ－は正常時の通信間隔和の推定分布である。
∫ＴＬ－（ｘ）ｄｘ≦ｐ－
　また、閾値Ｔが定まれば、攻撃時の推定分布から、以下の式で検出率（検出率：＝異常と正しく検出した攻撃通信数÷全攻撃通信数）を予想することができる。ただしＬ＋は（正常時の通信間隔の推定分布で代替した）攻撃時の通信間隔和の推定分布である。
予想検出率＝∫ＴＬ＋（ｘ）ｄｘ
　積分値は数値計算等を用いて求めることができる。一方で、例えば、推定分布に正規分布を用いる場合、通信間隔和の平均値μ、標準偏差σ、およびｚ値を用いて、閾値Ｔを以下の通り決定してもよい。
Ｔ＝μ－ｚ×σ
　正規分布において、積分値（確率）とｚ値の関係は標準正規分布表として、まとめられており、その表を参照して１－ｐ－×２の確率に近いｚ値を用いればよい。最大誤検出率を０．１５％とした場合、標準正規分布表での確率は１００％－０．１５％×２＝９９．７％であり、表を参照して対応するｚ値をｚ＝３と決めることができる。ｚ値は指定の最大誤検出率のみで決まる値であり、ＩＤ毎に個々に調整しなくてもよい。このように用いる分布に応じて容易に閾値Ｔを算出できる方法を用いることができる。
　これにより、許容可能な最大誤検出率を満たし、その際の検出率を予測可能とする、ずれに対する調整を機械的に行うことができ、ＩＤ個々に対する手動調整を必要としない。一方で、特定のＩＤにおいて特に低い誤検出率を必要とする場合等、個別の要件がある場合には、その特定ＩＤ毎に最大誤検出率を指定する等の個別設定を行ってもよい。
　また、以下の通り、許容可能な最小検出率ｐ＋を指定して、閾値Ｔやその予想誤検出率を求めてもよく、同様に調整を機械的に行うことができる。
∫ＴＬ＋（ｘ）ｄｘ≦ｐ＋
予想誤検出率＝∫ＴＬ－（ｘ）ｄｘ
　通信間隔和を異常検出に用いる利点として、通信間隔よりもずれが比較的小さい点も挙げることができる。ＥＣＵの多くは内部クロックを用いて周期送出のタイミングを計っている。そのため、衝突待ち合わせで遅延した通信の直後の通信は、（設計値の間隔分あけてから送信するのではなく、クロックタイミングで送信されるために）直前に遅延した分だけ間隔が短く早期に送信されるように見える。一方で、通信間隔和はその遅延分と早着分を相殺する結果となる。そのため、通信間隔和のずれは、通信間隔のずれから予想されるよりも小さな値をとり、場合によっては通信間隔のずれよりも小さい値となることさえある。ずれが小さいことは検出精度の向上に有利となる。
　以下、図３を参照して実施例１の攻撃通信検出装置の構成を説明する。同図に示すように本実施例の攻撃通信検出装置１は、受信部１１と、一時保持部１２と、通信間隔・通信間隔和算出部１３と、学習部１４と、推定分布モデル記憶部１５と、検出部１６を含む。以下、図４を参照して学習時の各構成要件の動作を説明する。
＜受信部１１（学習時）＞
　受信部１１は、機械制御情報通信ネットワークの通信、または、通信の加工等により生成された通信データであって、攻撃通信を含まない学習用通信データを受信する（Ｓ１１－１）。受信部１１は、学習用通信データの各データ単位（例えば各パケット、各フレーム）に通信時刻を付与する。通信のＩＤ毎に学習用通信データが区別されるものとし、以下のステップは、各ＩＤの学習用通信データに対して、ＩＤ毎に別々に実行されるものとする。
　受信部１１はネットワークやゲートウェイを傍受することで通信を得てもよいし、別途、他のモニタリング機器からログ等のデータとして通信データを得てもよい。傍受で得た通信にはその受信時刻（通信時刻）を付与するが、ログ等のデータとして通信データを得た場合であって、すでに受信時刻（通信時刻）が付与されている場合には、時刻付与を省略してよい。受信部１１では、通信のＩＤを見て、検出対象のもののみを選別して受け入れてもよい。
＜一時保持部１２（学習時）＞
　一時保持部１２は、学習用通信データの通信時刻を最新のものから複数（例えば３つ）保持する（Ｓ１２－１）。
＜通信間隔・通信間隔和算出部１３（学習時）＞
　通信間隔・通信間隔和算出部１３は、ステップＳ１２－１で保持された学習用通信データの通信時刻を用い、学習用通信データの通信間隔を算出する（Ｓ１３－１）。また、通信間隔・通信間隔和算出部１３は、前述した閾値Ｔを算出するために、学習用通信データの通信間隔和も併せて算出する。
＜学習部１４＞
　学習部１４は、設定で指定された仮定分布や最大誤検出率（または最小検出率）を条件に、ステップＳ１３－１で算出された通信間隔、通信間隔和を用いて、学習用通信データの通信間隔の推定分布、学習用通信データの通信間隔和の推定分布、これらの推定分布に対する閾値Ｔなどを学習する（Ｓ１４）。これらの推定分布、閾値Ｔなどは、推定分布モデルとして、推定分布モデル記憶部１５に記憶される。
　例えば、学習部１４は、ステップＳ１３－１で算出された通信間隔、通信間隔和を標本データとして、設定（装置の管理者などが入力する）で指定された仮定の分布や最大誤検出率（あるいは最小検出率）等を条件に、ＩＤ毎に推定分布や閾値Ｔを確定し、それらを推定分布モデルとして学習し、推定分布モデル記憶部１５に記録する。
　学習部１４は、標本データをある程度の量をまとめ、前処理を実施してから、推定分布の確定を行う。標本データの前処理の例として、値の大小数％のデータを除去し、例外値による影響を抑制する等がある。一方、可能であれば、学習部１４は、標本データをまとめず、一件ずつ逐次処理し、推定分布モデルを更新していく方法で学習を実施してもよい。例えば正規分布を用いる場合、モーメントを用いて逐次処理することができる。
＜推定分布モデル記憶部１５＞
　上述したように、推定分布モデル記憶部１５に記憶される推定分布モデルは、学習用通信データの通信間隔の推定分布、学習用通信データの通信間隔和の推定分布、これらの推定分布に対する閾値Ｔを含んでもよいし、この他に推定分布のパラメータを含んでもよい。推定分布モデル記憶部１５にはＩＤ毎に推定分布モデルが納められる。正規分布を例に取ると、推定分布モデルには、それらの平均値、標準偏差、閾値Ｔ等を含む。モデルは要件に応じて適宜必要なもののみ記憶するようにしてもよい。例えば、検出時に用いる閾値Ｔのみを保管してもよい。また、平均値、標準偏差のみを推定分布モデル記憶部１５に記憶し、閾値Ｔは検出部１６にて都度算出するようにしてもよい。
　以下、図５を参照して検出時の各構成要件の動作を説明する。
＜受信部１１（検出時）＞
　受信部１１は、機械制御情報通信ネットワークの通信、または、通信の加工等により生成された通信データであって、攻撃通信を含むか否かが未知である検出用通信データを受信する（Ｓ１１－２）。
＜一時保持部１２（検出時）＞
　一時保持部１２は、検出用通信データの通信時刻を最新のものから複数（少なくとも３つ以上）保持する（Ｓ１２－２）。通信間隔和の算出のためには、同一ＩＤの通信の、直近３つ以上の通信時刻が必要となるため、一時保持部１２はＩＤ毎に直近３つ以上の通信時刻を保持する。
　通信が新しく到着した場合、一時保持部１２は、そのＩＤを調べ、対応するＩＤの最も古い通信時刻を廃棄し、新しい通信時刻を追加する（Fast in Fast out バッファ）。
＜通信間隔・通信間隔和算出部１３（検出時）＞
　通信間隔・通信間隔和算出部１３は、ステップＳ１２－２で保持された検出用通信データの通信時刻を用い、検出用通信データの隣り合う二つの通信間隔の和である通信間隔和を算出する（Ｓ１３－２）。図１の例を用いてステップＳ１３－２を説明すると、例えば同図の例において、時刻Ｓ１の通信データの通信単位（例えばパケット、またはフレーム）が受信され、通信時刻Ｓ１が新たに記録された場合、時刻Ｓ１と、時刻Ｓ１より過去の二つの通信時刻を用いて、通信間隔和２ａが算出される。同様に、時刻ＳＡの通信データの通信単位（例えばパケット、またはフレーム）が受信され、通信時刻ＳＡが新たに記録された場合、時刻ＳＡ、時刻Ｓ１、時刻Ｓ０を用いて、通信間隔和ａ＋ｄが算出される。同様に、時刻Ｓ２の通信データの通信単位（例えばパケット、またはフレーム）が受信され、通信時刻Ｓ２が新たに記録された場合、時刻Ｓ２、時刻ＳＡ、時刻Ｓ１を用いて、通信間隔和ａが算出される。従って、同図の例の場合、通信データの受信に伴い、その通信間隔和は、２ａ，ａ＋ｄ，ａ，２ａ－ｄ，２ａの順序で、順次算出されることとなる。
＜検出部１６＞
　検出部１６は、推定分布モデルと検出用通信データの通信間隔和に基づいて、検出用通信データが攻撃通信を含むか否かを検出する（Ｓ１６）。
　より具体的には、検出部１６は、ステップＳ１３－２で順次算出される通信間隔和を、推定分布モデル記憶部１５に記憶された推定分布モデルと比較し、検出用通信データの任意の時刻における通信間隔和が、推定分布に対する閾値Ｔ以下となる場合に、検出用通信データに攻撃通信が含まれていると判断し、検出結果を出力する（Ｓ１６）。前述したとおり、閾値Ｔは予め学習時に算出しておいてもよいし、検出部１６で都度算出してもよい。検出処理は通信を受信する都度行ってもよいし、ある程度通信をまとめてから行ってもよい。
　検出結果は、異常か正常かを出力する形式であってもよいし、異常時のみ検出結果を出力してもよい。検出結果に検出用通信データを特定する情報、例えば受信時刻やＩＤ等を付与してもよい。同一ＩＤに対する異常を連続して検出した場合に、それらを取りまとめ、あるいは加えて、異常検出開始時刻、終了時刻、ＩＤ等を付与して出力してもよい。検出部１６は、検出結果をネットワークで送信してもよいし、他装置を経由して検出結果を送信・通知してもよい。
　なお、頻繁に攻撃通信が挿入される場合、正常通信と衝突し、どちらかの通信が送出されない場合がある。この場合、受信部１１はＣＡＮにて送信されるエラーフレームを受信し、エラーフレームより送出されなかった通信を推測し、その通信を通常の通信と同様に取り扱ってもよい。攻撃通信が正常通信と衝突し、攻撃通信のみが送出された場合、その通信間隔・通信間隔和は、正常時と区別できない。しかし、前述した通り、エラーフレームも加味することで、同時刻に送出された正常通信と攻撃通信の２つとして取り扱うことでき、通信間隔・通信間隔和での区別が可能となる。
　攻撃通信検出装置１は、検出部１６を取り除いた学習のみを行う装置、学習部１４を取り除いた検出のみを行う装置としてもよい。学習のみを行う装置は、その学習の結果として推定分布モデルを推定分布モデル記憶部１５に記憶する。記憶された推定分布モデルを、検出のみを行う装置の推定分布モデル記憶部１５に記憶すれば、当該装置において学習なしで検出を行うことができるようになる。検出のみを行う装置については、変形例１において後述する。
　周期型送出には変種が存在し、通常は一定の通信間隔で通信送出されるが、ある契機で、そのときのみ、ずれ許容値を越えて短間隔（または長間隔）で送出され、その後は元の一定間隔で送出されるものがある。この変種であるオフセットずれあり周期型についての異常検出を以下に記述する。
　オフセットずれあり周期型の通信間隔および通信間隔和を図６に示す。同図に示すように、正常通信の間隔がａ’（＜ａ）と短くなっているところがあるため、設計値ａより短間隔な通信間隔を攻撃通信によるものであると検出するアルゴリズムでは、ａ’を誤検出してしまう。一方、正常時の通信間隔和は、ａ＋ａ’から２ａの間に分布し、異常時の通信間隔和は、正常－攻撃－正常パターンにおいてａ近傍となるため、閾値Ｔをａ近辺とし、通信間隔和が閾値Ｔと等しいか閾値Ｔより小さい場合には、当該通信を異常と検出することができる。閾値Ｔは、ずれ許容値を見込んで、ａからａ＋ａ’の間の適切な値とし、閾値が決まれば、通信間隔和を用いて実施例１と同様に検出を行える。
　図７を参照して実施例２の攻撃通信検出装置の構成を説明する。同図に示すように、本実施例の攻撃通信検出装置２は、受信部１１と、一時保持部１２と、通信間隔・通信間隔和算出部１３と、学習部２４と、推定分布モデル記憶部１５と、検出部１６を含み、学習部２４以外の各構成要件は、実施例１と同じである。
＜学習部２４＞
　図８を参照して学習部２４の動作を説明する。前述したように、学習部２４は、閾値Ｔを、学習用通信データの通信間隔の平均ａ以上、かつ平均ａと予め定めた短間隔ａ’の和であるａ＋ａ’未満として決定し、推定分布モデルを学習する（Ｓ２４）。
　学習部２４は、以下のように推定分布を求める。まず、学習部２４は、学習用通信データの各通信時刻に基づき、短間隔ａ’を除外した通信間隔の推定分布と、短間隔和ａ＋ａ’を除外した通信間隔和の推定分布を求める。この除外には、値の大小数％のデータを除去してから推定分布を求める手法や尤度を用いた分布推定を行う方法がある。
　次に、学習部２４は、短間隔ａ’のみの推定分布、短間隔和ａ＋ａ’のみの推定分布をそれぞれ求める。短間隔の推定分布は前述の短間隔を除外した推定分布と異なる分布を用いてよい。学習部２４は、例えば前者に正規分布を用い、後者に一様連続分布を用いることができる。このように推定分布が求まれば、実施例１と同様に閾値を求めることができる。
　あるＥＣＵは機械状態、例えば、車両における停車、走行、自動走行等の状態の違いによって、その送出タイミングが変化するものがある。そのような場合、周期型送出において、機械状態により、その通信間隔および通信間隔和が変更されることとなる。以下、機械状態に対応した異常検出を行う実施例３の攻撃通信検出装置３について説明する。
　図９に示すように本実施例の攻撃通信検出装置３は、受信部１１と、一時保持部１２と、通信間隔・通信間隔和算出部１３と、学習部３４と、推定分布モデル記憶部１５と、検出部１６を含み、学習部３４以外の各構成要件は、実施例１と同じである。
＜学習部３４＞
　図１０を参照して学習部３４の動作を説明する。学習部３４は、電子制御装置の機械状態毎に、推定分布モデルを学習する（Ｓ３４）。より詳細には、学習部３４は、機械状態毎に推定分布モデルを定め、機械状態毎およびＩＤ毎にその推定分布モデルを推定分布モデル記憶部１５に記憶する。受信部１１は機械状態を示す通信・信号を受信し、その受信内容に応じて機械状態を判断し、推定分布モデル記憶部１５をその機械状態用に切り替える。これにより、機械状態により変化する場合においても異常検出を行える。機械状態を示す通信・信号は、ネットワーク上を送信してもよいし、別経路にて送信してもよい。
［変形例１］
　図１１を参照して、変形例１の攻撃通信検出装置１Ａについて説明する。本変形例の攻撃通信検出装置１Ａは、実施例１の装置から学習機能を取り除き、検出のみを行う装置とした例である。同図に示すように、本変形例の攻撃通信検出装置１Ａは、受信部１１、一時保持部１２、通信間隔和算出部１３Ａ、推定分布モデル記憶部１５、検出部１６を含む構成である。推定分布モデル記憶部１５には、実施例１のステップＳ１４などで学習済みの推定分布モデルが予め記憶済みである。本変形例において、検出用通信データの通信間隔和の算出は必須であるものの、検出用通信データの通信間隔の算出は必須ではないため、実施例１における通信間隔・通信間隔和算出部１３は、本変形例において通信間隔和算出部１３Ａに名称変更した。
＜効果＞
　上述の実施例、変形例の攻撃通信検出装置によれば、予め設計値・ずれを知らずとも、学習により把握可能で、様々な車種や機械へ異常検出を適応させることが容易となる。また、ＩＤ個別に手作業での調整はせずとも、許容可能な最大誤検出率等の望む精度を指定により容易に自動調整でき、効率化を図れる。通信間隔和の利用により、検出精度が向上する。
＜補記＞
　本発明の装置は、例えば単一のハードウェアエンティティとして、キーボードなどが接続可能な入力部、液晶ディスプレイなどが接続可能な出力部、ハードウェアエンティティの外部に通信可能な通信装置（例えば通信ケーブル）が接続可能な通信部、ＣＰＵ（Central Processing Unit、キャッシュメモリやレジスタなどを備えていてもよい）、メモリであるＲＡＭやＲＯＭ、ハードディスクである外部記憶装置並びにこれらの入力部、出力部、通信部、ＣＰＵ、ＲＡＭ、ＲＯＭ、外部記憶装置の間のデータのやり取りが可能なように接続するバスを有している。また必要に応じて、ハードウェアエンティティに、ＣＤ－ＲＯＭなどの記録媒体を読み書きできる装置（ドライブ）などを設けることとしてもよい。このようなハードウェア資源を備えた物理的実体としては、汎用コンピュータ、組込機器などがある。
　ハードウェアエンティティの外部記憶装置には、上述の機能を実現するために必要となるプログラムおよびこのプログラムの処理において必要となるデータなどが記憶されている（外部記憶装置に限らず、例えばプログラムを読み出し専用記憶装置であるＲＯＭに記憶させておくこととしてもよい）。また、これらのプログラムの処理によって得られるデータなどは、ＲＡＭや外部記憶装置などに適宜に記憶される。
　ハードウェアエンティティでは、外部記憶装置（あるいはＲＯＭなど）に記憶された各プログラムとこの各プログラムの処理に必要なデータが必要に応じてメモリに読み込まれて、適宜にＣＰＵで解釈実行・処理される。その結果、ＣＰＵが所定の機能（上記、…部、…手段などと表した各構成要件）を実現する。
　本発明は上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。また、上記実施形態において説明した処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されるとしてもよい。
　既述のように、上記実施形態において説明したハードウェアエンティティ（本発明の装置）における処理機能をコンピュータ、組込機器によって実現する場合、ハードウェアエンティティが有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータ、組込機器で実行することにより、上記ハードウェアエンティティにおける処理機能がコンピュータ、組込機器上で実現される。
　この処理内容を記述したプログラムは、コンピュータ、組込機器で読み取り可能な記録媒体に記録しておくことができる。コンピュータ、組込機器で読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ－ＲＡＭ（Random Access Memory）、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ－Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ－ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。
　また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ－ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータ、組込機器にそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
　このようなプログラムを実行するコンピュータ、組込機器は、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータ、組込機器は、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータ、組込機器が可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータ、組込機器にサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータ、組込機器へのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータ、組込機器に対する直接の指令ではないがコンピュータ、組込機器の処理を規定する性質を有するデータ等）を含むものとする。
　また、この形態では、コンピュータ、組込機器上で所定のプログラムを実行させることにより、ハードウェアエンティティを構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

Claims (8)

  1. 　通信ネットワークにおける各電子制御装置の通信から攻撃通信を検出する攻撃通信検出装置であって、
    　前記攻撃通信を含むか否かが未知である検出用通信データを受信する受信部と、
    　前記検出用通信データの隣り合う二つの通信間隔の和である通信間隔和を算出する通信間隔和算出部と、
    　前記攻撃通信を含まない学習用通信データの前記通信間隔および前記通信間隔和の推定分布モデルを予め記憶する推定分布モデル記憶部と、
    　前記推定分布モデルと前記検出用通信データの前記通信間隔和に基づいて、前記検出用通信データが前記攻撃通信を含むか否かを検出する検出部と、
    　を含む攻撃通信検出装置。
  2. 　通信ネットワークにおける各電子制御装置の通信から攻撃通信を検出する攻撃通信検出装置であって、
    　前記攻撃通信を含まない学習用通信データと、前記攻撃通信を含むか否かが未知である検出用通信データを受信する受信部と、
    　前記学習用通信データの通信間隔と、前記検出用通信データの隣り合う二つの前記通信間隔の和である通信間隔和を算出する通信間隔・通信間隔和算出部と、
    　前記学習用通信データの前記通信間隔および前記通信間隔和の推定分布モデルを学習する学習部と、
    　前記推定分布モデルと前記検出用通信データの前記通信間隔和に基づいて、前記検出用通信データが前記攻撃通信を含むか否かを検出する検出部と、
    　を含む攻撃通信検出装置。
  3. 　請求項１または２に記載の攻撃通信検出装置であって、
    　前記推定分布モデルは、
    　前記学習用通信データの前記通信間隔の推定分布と、前記学習用通信データの前記通信間隔和の推定分布と、これらの推定分布に対する閾値を含む
    　攻撃通信検出装置。
  4. 　請求項３に記載の攻撃通信検出装置であって、
    　前記検出部は、
    　前記検出用通信データの任意の時刻における前記通信間隔和が、前記閾値以下となる場合に、前記検出用通信データに前記攻撃通信が含まれていると判断する
    　攻撃通信検出装置。
  5. 　請求項３または４に記載の攻撃通信検出装置であって、
    　前記学習部は、
    　前記閾値を、前記学習用通信データの前記通信間隔の平均ａ以上、かつ前記平均ａと予め定めた短間隔ａ’の和であるａ＋ａ’未満として決定する
    　攻撃通信検出装置。
  6. 　請求項１から５の何れかに記載の攻撃通信検出装置であって、
    　前記学習部は、
    　前記電子制御装置の機械状態毎に、前記推定分布モデルを学習する
    　攻撃通信検出装置。
  7. 　通信ネットワークにおける各電子制御装置の通信から攻撃通信を検出する攻撃通信検出方法であって、
    　前記攻撃通信を含むか否かが未知である検出用通信データを受信するステップと、
    　前記検出用通信データの隣り合う二つの通信間隔の和である通信間隔和を算出するステップと、
    　前記攻撃通信を含まない学習用通信データの前記通信間隔および前記通信間隔和の推定分布モデルと、前記検出用通信データの前記通信間隔和に基づいて、前記検出用通信データが前記攻撃通信を含むか否かを検出するステップと、
    　を含む攻撃通信検出方法。
  8. 　コンピュータを、請求項１から６の何れかに記載の攻撃通信検出装置として機能させるプログラム。
PCT/JP2018/039296 2017-10-30 2018-10-23 攻撃通信検出装置、攻撃通信検出方法、プログラム WO2019087858A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201880070434.5A CN111316602B (zh) 2017-10-30 2018-10-23 攻击通信检测装置及其方法、计算机可读取的记录介质
EP18872403.3A EP3706372B1 (en) 2017-10-30 2018-10-23 Attack communication detection device, attack communication detection method, and program
US16/755,205 US11588827B2 (en) 2017-10-30 2018-10-23 Attack communication detection device, attack communication detection method, and program
JP2019551149A JP6911936B2 (ja) 2017-10-30 2018-10-23 攻撃通信検出装置、攻撃通信検出方法、プログラム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017208801 2017-10-30
JP2017-208801 2017-10-30

Publications (1)

Publication Number Publication Date
WO2019087858A1 true WO2019087858A1 (ja) 2019-05-09

Family

ID=66333127

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/039296 WO2019087858A1 (ja) 2017-10-30 2018-10-23 攻撃通信検出装置、攻撃通信検出方法、プログラム

Country Status (5)

Country Link
US (1) US11588827B2 (ja)
EP (1) EP3706372B1 (ja)
JP (1) JP6911936B2 (ja)
CN (1) CN111316602B (ja)
WO (1) WO2019087858A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2021078086A (ja) * 2019-11-13 2021-05-20 株式会社オートネットワーク技術研究所 車載中継装置及び情報処理方法
WO2023170928A1 (ja) * 2022-03-11 2023-09-14 三菱電機株式会社 不正通信検知装置、通信許可リスト生成装置、不正通信検知方法、通信許可リスト生成方法、不正通信検知プログラム、及び通信許可リスト生成プログラム

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019139595A1 (en) * 2018-01-11 2019-07-18 Visa International Service Association Offline authorization of interactions and controlled tasks
US20210409440A1 (en) * 2020-06-30 2021-12-30 Honeywell International Inc. Cybersecurity compliance engine for networked systems

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013094072A1 (ja) * 2011-12-22 2013-06-27 トヨタ自動車 株式会社 通信システム及び通信方法
JP2014146868A (ja) * 2013-01-28 2014-08-14 Hitachi Automotive Systems Ltd ネットワーク装置およびデータ送受信システム

Family Cites Families (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040003266A1 (en) * 2000-09-22 2004-01-01 Patchlink Corporation Non-invasive automatic offsite patch fingerprinting and updating system and method
US7256977B2 (en) * 2002-12-10 2007-08-14 Nippon Kouatsu Electric Co., Ltd. Device for protection from thunder
CN101316266B (zh) * 2008-07-01 2012-02-08 宁波中科集成电路设计中心有限公司 一种传感器网络中选择性转发攻击的防御方法
US9173100B2 (en) * 2011-11-16 2015-10-27 Autoconnect Holdings Llc On board vehicle network security
KR101472896B1 (ko) * 2013-12-13 2014-12-16 현대자동차주식회사 차량 내 통신 네트워크에서의 보안 강화 방법 및 그 장치
US10063654B2 (en) * 2013-12-13 2018-08-28 Oracle International Corporation Systems and methods for contextual and cross application threat detection and prediction in cloud applications
US9811658B2 (en) * 2014-07-28 2017-11-07 Iboss, Inc. Selectively capturing video in a virtual environment based on application behavior
WO2016108963A1 (en) * 2014-12-30 2016-07-07 Battelle Memorial Institute Temporal anomaly detection on automotive networks
US9380070B1 (en) * 2015-01-20 2016-06-28 Cisco Technology, Inc. Intrusion detection mechanism
CN104660594B (zh) * 2015-02-09 2018-01-09 中国科学院信息工程研究所 一种面向社交网络的虚拟恶意节点及其网络识别方法
US10798114B2 (en) * 2015-06-29 2020-10-06 Argus Cyber Security Ltd. System and method for consistency based anomaly detection in an in-vehicle communication network
US10708293B2 (en) * 2015-06-29 2020-07-07 Argus Cyber Security Ltd. System and method for time based anomaly detection in an in-vehicle communication network
US10037425B2 (en) * 2015-08-26 2018-07-31 Symantec Corporation Detecting suspicious file prospecting activity from patterns of user activity
US10757114B2 (en) * 2015-09-17 2020-08-25 Harman International Industries, Incorporated Systems and methods for detection of malicious activity in vehicle data communication networks
JP6423402B2 (ja) * 2015-12-16 2018-11-14 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
CN105871833A (zh) * 2016-03-29 2016-08-17 北京布来得科技有限公司 一种基于近场通信的中继攻击的检测方法及装置
US10091077B1 (en) * 2016-06-27 2018-10-02 Symantec Corporation Systems and methods for detecting transactional message sequences that are obscured in multicast communications
CN110325929B (zh) * 2016-12-07 2021-05-25 阿瑞路资讯安全科技股份有限公司 用于检测有线网络变化的信号波形分析的系统和方法
US11032300B2 (en) * 2017-07-24 2021-06-08 Korea University Research And Business Foundation Intrusion detection system based on electrical CAN signal for in-vehicle CAN network
US10673883B2 (en) * 2018-05-14 2020-06-02 Cisco Technology, Inc. Time synchronization attack detection in a deterministic network
EP3802229A4 (en) * 2018-05-25 2022-03-02 Securethings U.S., Inc. CYBERSECURITY ON A CONTROLLER ZONE NETWORK IN A VEHICLE

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013094072A1 (ja) * 2011-12-22 2013-06-27 トヨタ自動車 株式会社 通信システム及び通信方法
JP2014146868A (ja) * 2013-01-28 2014-08-14 Hitachi Automotive Systems Ltd ネットワーク装置およびデータ送受信システム

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
OTSUKAISHIGOOKA: "Intrusion Detection for In-vehicle Networks without Modifying Legacy ECUs", IPSJ SIG TECHNICAL REPORT, no. 6, 2013, pages 31 - 35
See also references of EP3706372A4

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2021078086A (ja) * 2019-11-13 2021-05-20 株式会社オートネットワーク技術研究所 車載中継装置及び情報処理方法
WO2021095589A1 (ja) * 2019-11-13 2021-05-20 株式会社オートネットワーク技術研究所 車載中継装置及び情報処理方法
CN114600438A (zh) * 2019-11-13 2022-06-07 株式会社自动网络技术研究所 车载中继装置及信息处理方法
JP7192747B2 (ja) 2019-11-13 2022-12-20 株式会社オートネットワーク技術研究所 車載中継装置及び情報処理方法
JP2023011051A (ja) * 2019-11-13 2023-01-20 株式会社オートネットワーク技術研究所 車載中継装置及び情報処理方法
WO2023170928A1 (ja) * 2022-03-11 2023-09-14 三菱電機株式会社 不正通信検知装置、通信許可リスト生成装置、不正通信検知方法、通信許可リスト生成方法、不正通信検知プログラム、及び通信許可リスト生成プログラム
JP7435929B2 (ja) 2022-03-11 2024-02-21 三菱電機株式会社 不正通信検知装置、通信許可リスト生成装置、不正通信検知方法、通信許可リスト生成方法、不正通信検知プログラム、及び通信許可リスト生成プログラム

Also Published As

Publication number Publication date
JP6911936B2 (ja) 2021-07-28
US11588827B2 (en) 2023-02-21
JPWO2019087858A1 (ja) 2020-10-22
EP3706372A1 (en) 2020-09-09
CN111316602A (zh) 2020-06-19
EP3706372B1 (en) 2022-11-16
US20200259846A1 (en) 2020-08-13
CN111316602B (zh) 2022-04-19
EP3706372A4 (en) 2021-10-27

Similar Documents

Publication Publication Date Title
WO2019087858A1 (ja) 攻撃通信検出装置、攻撃通信検出方法、プログラム
US11570184B2 (en) In-vehicle network system, fraud-detection electronic control unit, and fraud-detection method
US10911182B2 (en) In-vehicle information processing for unauthorized data
US20180048663A1 (en) Network monitoring device and computer program product
US20110261710A1 (en) Analysis apparatus and method for abnormal network traffic
US20210178995A1 (en) Abnormal communication detection apparatus, abnormal communication detection method and program
JP3957712B2 (ja) 通信監視システム
EP3316520B1 (en) Bfd method and apparatus
WO2018168291A1 (ja) 情報処理方法、情報処理システム、及びプログラム
US20060287738A1 (en) Optimized performance counter monitoring
CN114338372B (zh) 网络信息安全监控方法及系统
CN109639535A (zh) 一种路由关系检测方法及装置
CN109412879B (zh) 端口状态参数获取方法、装置及传输设备、存储介质
US8861374B2 (en) Methods and apparatus for compensating for time-based sampling by sample packet elimination during export of sampled packets
JP2018182594A (ja) パケット解析プログラム、パケット解析装置およびパケット解析方法
US9183042B2 (en) Input/output traffic backpressure prediction
JP7035791B2 (ja) サイバー攻撃を検知する異常検知装置および異常検知方法
US20230198799A1 (en) Apparatus for a controller area network
US11687320B2 (en) Slip detection on multi-lane serial datalinks
JP2019205089A (ja) 通信メッセージ識別装置および通信メッセージ識別方法
CN116800696A (zh) 基于QoS的工业互联网流量部署方法、装置及设备

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18872403

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2019551149

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2018872403

Country of ref document: EP

Effective date: 20200602