WO2019207764A1 - 抽出装置、抽出方法および記録媒体、並びに、検知装置 - Google Patents

抽出装置、抽出方法および記録媒体、並びに、検知装置 Download PDF

Info

Publication number
WO2019207764A1
WO2019207764A1 PCT/JP2018/017202 JP2018017202W WO2019207764A1 WO 2019207764 A1 WO2019207764 A1 WO 2019207764A1 JP 2018017202 W JP2018017202 W JP 2018017202W WO 2019207764 A1 WO2019207764 A1 WO 2019207764A1
Authority
WO
WIPO (PCT)
Prior art keywords
frame
cycle
extraction
data field
frames
Prior art date
Application number
PCT/JP2018/017202
Other languages
English (en)
French (fr)
Inventor
貴史 小梨
山野　悟
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to US17/042,622 priority Critical patent/US11526605B2/en
Priority to JP2020515430A priority patent/JP7176564B2/ja
Priority to PCT/JP2018/017202 priority patent/WO2019207764A1/ja
Publication of WO2019207764A1 publication Critical patent/WO2019207764A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/36—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols with means for detecting characters not meant for transmission

Definitions

  • the present invention relates to a network that communicates with an electronic control unit mounted on a vehicle or the like, and relates to an extraction device that detects an illegal frame output to the network.
  • a vehicle such as an automobile is equipped with a plurality of electronic control units (ECUs).
  • ECUs electronice control units
  • a network connecting these ECUs is called an in-vehicle network, and a frame including various data for controlling the vehicle is transmitted and received between the ECUs.
  • the ECU that was sending and receiving frames on the closed in-vehicle network can be connected to the outside, the risk of occurrence of security problems is high.
  • an ECU that can communicate with the outside is attacked, an unauthorized frame may be output to the in-vehicle network and the vehicle may be illegally controlled.
  • An object of the present invention is to provide an extraction device or the like that can detect fraud with respect to a frame out of the cycle.
  • the extraction apparatus includes a frame selection unit that selects a frame that maintains a period and a frame that is out of the period for each frame having the same identifier associated with a node, and a frame that is out of the period with the same identifier And a rule extracting unit for extracting the characteristics of bit change of the data field related to the event occurrence in the frame.
  • the extraction method of the present invention selects, for each frame having the same identifier associated with a node, a frame that maintains the period and a frame that is out of the period, and the frame that is out of the period with the same identifier.
  • the feature of the bit change of the data field related to the event occurrence is extracted.
  • the program stored in the recording medium of the present invention selects a frame that maintains the cycle and a frame that deviates from the cycle for each frame having the same identifier associated with the node, and deviates from the cycle by the same identifier. From the frame, the computer is caused to extract the characteristics of the bit change of the data field related to the event occurrence in the frame.
  • FIG. 1 is a block diagram showing the configuration of the CAN.
  • a plurality of ECUs (Electronic Control Units) 31 are connected to a CAN (Controller Area Network) bus 32.
  • CAN is a type of communication protocol for in-vehicle networks, and is widely applied to, for example, vehicle powertrain systems and body systems.
  • the ECU 31 includes, for example, a signal from a sensor mounted on the vehicle or a signal accompanying a switch operation of the vehicle in a frame and outputs the frame to the CAN bus 32.
  • the ECU 31 and the CAN bus 32 are also called a node and a network bus, respectively.
  • FIG. 2 is a diagram for explaining the frame structure of CAN.
  • a CAN frame mainly includes an identifier (ID) and a data field of a maximum of 8 bytes (64 bits).
  • ID identifier
  • a unique ID is assigned to each identifier (hereinafter simply referred to as ID) for each ECU that outputs a frame. For this reason, it is possible to identify the ECU that output the frame or the type of data included in the frame based on the ID.
  • the type of data is, for example, steering angle, engine speed, vehicle speed, or door open / closed state.
  • the type of data assigned to each ID varies from car manufacturer to car manufacturer. For example, even if an automobile manufacturer has assigned ID 256 to the engine speed, another manufacturer may not use ID 256 for the engine speed or may be assigned to the steering angle.
  • the data field represents the content of data output by the ECU.
  • the data field of the CAN frame generally includes a 0/1 flag that represents a state by 1 bit, a plurality of bits that represent a state by a plurality of bits, and a plurality of bits that represent a continuous value by a plurality of bits.
  • the information indicated by each bit in the data field is not disclosed by the automobile manufacturer.
  • FIG. 3 is a block diagram illustrating a configuration of the extraction device 10 according to the first embodiment.
  • the extraction device 10 illustrated in FIG. 3 includes a frame selection unit 11 and a rule extraction unit 12.
  • the extraction device 10 acquires a frame log.
  • the frame log is, for example, a set of frames output to the CAN bus by the ECU 31 in the in-vehicle network shown in FIG.
  • the frame log also includes a time stamp (reception time) corresponding to each frame received by the other ECU 31.
  • each frame received by the extraction device may be acquired as a frame log.
  • a set of frames received by the device connected to the CAN bus 32 for example, the ECU 31, may be used as the frame log.
  • the frame sorting unit 11 sorts each frame having the same ID output from the ECU 31 into a frame that maintains the cycle and a frame that is out of the cycle.
  • the frame that maintains the cycle refers to a frame that is output from the ECU 31 at a constant cycle.
  • the period of frames with the same ID can be obtained by deriving the reception interval of frames with the same ID from the reception time (time stamp) of frames with the same ID included in the frame log.
  • the frame selection unit 11 generates a set of frames for each ID based on the ID included in the frame log. Furthermore, the frame selection unit 11 extracts the frame period for each ID based on the reception time corresponding to the frame for each ID.
  • the frame sorting unit 11 sorts a set of frames having the same ID into a set of frames that maintain the cycle and a set of frames that are out of the cycle based on the extracted ID cycle.
  • the set of frames out of the period is a set of frames obtained by excluding the set of frames that maintain the period from the set of frames having the same ID. There is a possibility that an unacceptable frame is included in the set of frames deviating from the period of the same ID in addition to a normal frame due to an event occurrence.
  • the frame selection unit 11 sends a set of frames out of the cycle with the same selected ID to the rule extraction unit 12.
  • the rule extraction unit 12 extracts, as an event rule, characteristics of bit changes in the data field between frames from a set of frames having the same ID and out of the cycle. Specifically, the rule extraction unit 12 arranges a set of frames having the same ID and out of the cycle in the order of reception based on the time stamp, and analyzes the characteristics of the bit change of the data field before and after the frame.
  • FIG. 4A, FIG. 4B, and FIG. 4C are diagrams for explaining the characteristics of bit changes in data fields of different IDs.
  • the feature of the first bit change shown in FIG. 4A is an example in which the bit at a specific position in the data field is inverted before and after the frame in relation to the occurrence of the event.
  • “F” indicates bit inversion
  • “ ⁇ ” indicates that the value at the time of event occurrence is indefinite.
  • the example of FIG. 4A represents that the fourth bit of the data field is inverted due to the occurrence of an event.
  • the feature of the second bit change shown in FIG. 4B is an example in which a predetermined enumerated combination is made for bits for which “0” or “1” is specified in the data field in relation to the occurrence of an event.
  • the predetermined listed combination is, for example, a bit string such as “1101” or “0010”.
  • the feature of the third bit change shown in FIG. 4C is an example in which the bit at a specific position in the data field takes the same value as the value immediately before the event occurrence in relation to the event occurrence.
  • the rule extraction unit 12 analyzes the characteristics of the bit change in the data field before and after the event occurs, and extracts the feature of the bit change as an event rule in association with the ID based on the analysis result.
  • the event rule extracted by the rule extraction unit 12 serves as an index for determining as a normal frame output from the ECU 31 when an event occurs, among frames having the same ID and out of the cycle.
  • FIG. 5 is a flowchart showing the operation of the extraction device 10 according to the first embodiment.
  • the extraction device 10 acquires a frame log.
  • the frame selection unit 11 of the extraction device 10 performs a frame selection process (step S101).
  • FIG. 6 is a flowchart showing an example of the operation of the frame selection process.
  • the frame selection unit 11 generates a set of frames for each ID based on the IDs included in the frames of the frame log (step S1011).
  • the frame selection unit 11 extracts the frame period for each ID based on the reception time corresponding to the frame for each ID (step S1012).
  • the frame sorting unit 11 sorts a set of frames with the same ID into a frame that maintains the cycle and a frame that is out of the cycle based on the extracted ID cycle (step S1013). For frames out of the period, a set of frames out of the period is selected from the set of frames having the same ID, excluding the group of frames that maintain the period.
  • the rule extraction unit 12 executes a rule extraction process for extracting an event rule representing a feature of bit change of the data field between frames from a set of frames having the same ID and out of the cycle (step S102).
  • FIG. 7 is a flowchart showing an example of the operation of the rule extraction process.
  • the rule extraction unit 12 arranges a set of frames having the same ID out of the cycle in the order of reception based on the time stamp, and analyzes the characteristics of the bit change of the data field between the frames (step S1021). Based on the analysis result, the rule extraction unit 12 extracts the feature of the bit change as an event rule in association with the frame having the same ID (step S1022).
  • the extraction device 10 outputs the extracted event rule.
  • the event rule may be output by the rule extraction unit 12.
  • the extraction device 10 of the first embodiment it is possible to detect fraud with respect to a frame out of the cycle.
  • the extraction device 10 extracts an event rule for identifying a frame out of a cycle output by an event occurrence by a node that outputs a frame that maintains the cycle.
  • the frame selection unit 11 selects, for each frame of the same identifier that has the same identifier associated with the node, a frame that maintains the cycle and a frame that is out of the cycle, and the rule extraction unit 12 performs the same identifier. This is because the event rule representing the characteristics of the bit change of the data field between the frames is extracted from the frame out of the cycle.
  • the detection device of the second embodiment has a function of determining whether a frame out of the cycle is a normal frame or an illegal frame using the event rule extracted by the extraction device of the first embodiment.
  • FIG. 8 is a block diagram illustrating a configuration of the detection device 20 according to the second embodiment.
  • the detection device 20 according to the second embodiment includes a determination unit 21.
  • the detection device 20 acquires the detection target frame and the event rule extracted by the extraction device 10 of the first embodiment.
  • the detection target frame in the second embodiment is a frame out of the cycle.
  • the determination unit 21 compares whether the data field of the frame out of the cycle matches the event rule extracted by the extraction device 10. If the event rule matches the event rule, the determination unit 21 determines that the frame is a normal frame. If the event rule does not match, the determination unit 21 determines that the detection target frame is an invalid frame. An output unit (not shown) of the detection device outputs a determination result.
  • FIG. 9 is a flowchart showing the operation of the detection apparatus 20 according to the second embodiment.
  • the detection device 20 acquires the event rule extracted by the extraction device 10. Furthermore, the detection apparatus 20 acquires a frame out of the cycle as a detection target frame.
  • the determination unit 21 compares the data field of the frame out of the cycle with the event rule (step S201). Specifically, the determination unit 21 checks whether the bit string of the data field of the frame out of the cycle matches the event rule.
  • step S203 determines that the frame out of the cycle is a normal frame.
  • step S204 determines that the frame out of the cycle is an illegal frame.
  • the detection device of the second embodiment it is possible to detect fraud with respect to a frame that is out of the cycle.
  • the reason is that if the data field of the frame that is out of the period to be detected by the determination unit does not match the event rule extracted by the extraction device, the frame to be detected is determined to be an invalid frame.
  • the frame to be detected is determined to be an invalid frame.
  • FIG. 10 is a block diagram illustrating a configuration in which the monitoring apparatus according to the third embodiment is applied to CAN.
  • the ECU 31 and the CAN bus 32 shown in FIG. 10 are the same as those described in the first embodiment, and a detailed description thereof is omitted.
  • the monitoring device 30 is communicably connected to the CAN bus 32.
  • the monitoring device 30 can receive the frame output from the ECU 31 in the same manner as the other ECUs 31.
  • a time stamp (reception time) is associated with the ID of the received frame.
  • FIG. 11 is a block diagram illustrating a configuration of the monitoring device 30 according to the third embodiment.
  • a monitoring device 30 illustrated in FIG. 11 includes an extraction device 40 and a detection device 50.
  • the extraction device 40 included in the monitoring device 30 has a function of extracting an event rule serving as an index of a normal frame for a frame out of the cycle with the same ID as the extraction device 10 of the first embodiment.
  • the extraction device 40 according to the third embodiment has a function of extracting a periodic rule for a frame that maintains a period with the same ID, in addition to extracting an event rule.
  • the detection device 25 included in the monitoring device 30 has a function of determining whether a frame out of the cycle is a normal frame or an illegal frame using an event rule, like the detection device 20 of the second embodiment.
  • the detection device 50 according to the third embodiment has a function of determining whether a frame that maintains a cycle is a normal frame or an illegal frame by using the cycle rule, in addition to determining a frame that is out of the cycle by the event rule.
  • FIG. 12 is a block diagram illustrating a configuration of the extraction device 40 according to the third embodiment.
  • the extraction device 40 includes a frame selection unit 11 and a rule extraction unit 42.
  • the frame sorting unit 11 acquires a frame log and sorts a frame that maintains the cycle and a frame that is out of the cycle for each set of frames having the same ID.
  • the frame log is a set of frames received and accumulated by the monitoring device 30 connected to the CAN bus 32.
  • the rule extraction unit 42 includes a periodic rule extraction unit 421 and an event rule extraction unit 422.
  • the cycle rule extraction unit 421 extracts the relationship between the ID and the cycle included in the frame log as the cycle rule from the cycle information for each ID used when the frame selection unit 11 selects the frame. For example, if a frame with ID 420 appears every 10 ms in the frame log, the periodic rule extracting unit 321 extracts “ID 420: 10 (ms)” as the periodic rule.
  • the event rule extraction unit 422 analyzes the bit change characteristics of the data field before and after the event occurrence, and based on the analysis result, the bit change characteristics are ID and Correlate and extract as event rules.
  • the extracted periodic rules and event rules are output to the detection device 50 by an output unit (not shown).
  • FIG. 13 is a block diagram illustrating a configuration of a detection device 50 according to the third embodiment.
  • the detection device 50 includes a determination unit 51.
  • the determination unit 51 includes a periodic rule determination unit 511 and an event rule determination unit 512.
  • the cycle rule determination unit 511 determines whether the frame that maintains the cycle is a normal frame or an illegal frame by using the cycle rule output by the extraction device 40. Specifically, it is confirmed whether the frame to be detected matches the ID included in the cycle rule and the cycle.
  • the period match may be a range including an allowable error for each period. For example, when the cycle is 10 ms, the range is 10 ms ⁇ 1 ms, and when the cycle is 500 ms, the range is 500 ms ⁇ 10 ms.
  • the cycle rule determination unit 511 determines that the frame to be detected is a normal frame when the detection target frame matches the cycle, or is within an allowable error. On the other hand, when the detection target frame does not match the cycle or deviates from the allowable error, the cycle rule determination unit 511 sends the detection target frame to the event rule determination unit 512 as a frame that is out of the cycle. .
  • the event rule determination unit 512 determines whether a frame out of the cycle is a normal frame or an illegal frame using the event rule output by the extraction device 40.
  • the determination of a frame that is out of the cycle using the event rule in the event rule determination unit 512 is the same as that of the determination unit 21 in the second embodiment, and a detailed description thereof is omitted.
  • FIG. 14 is a diagram for explaining the change of the base point of the frame that maintains the period due to the event occurrence.
  • F1 to F5 represent frames that maintain the cycle output by the ECU.
  • Event represents a frame output by the occurrence of an event.
  • the ECU that outputs the frame shown in FIG. 14A outputs the frame Event due to the occurrence of an event after the frame F3, but the frame F4 that maintains the cycle output thereafter maintains the interval T from the frame F3. Is output.
  • the frame Event shown in FIG. 14B is output by the occurrence of an event after the frame F3, the ECU that outputs the frame shown in FIG. Is output.
  • the frame F3 and the frames after the frame F4 that are output thereafter are determined by the cycle rule determination unit 511 as frames that do not match the cycle.
  • the event rule determination unit 512 determines that the frame out of the cycle is a normal frame, and then updates the base point of the cycle determination to the frame at the time of the event occurrence. Specifically, the event rule determination unit 512 can check the periodicity of the frames after the frame F4 by using the time information of the frame Event at the time of the event as a base point of the period.
  • the extraction device 40 of the third embodiment it is possible to detect fraud with respect to a frame out of the cycle. This is because the extraction device 40 extracts an event rule for identifying a frame out of the cycle output by the occurrence of an event by a node that outputs a frame that maintains the cycle.
  • the detection apparatus 50 of the third embodiment it is possible to detect fraud with respect to a frame that is out of the cycle.
  • the reason is that if the data field of the frame that is out of the period to be detected by the determination unit 51 does not match the event rule extracted by the extraction device 40, the frame to be detected is determined to be an invalid frame.
  • the frame to be detected is determined to be an invalid frame.
  • FIG. 16 is a hardware configuration diagram illustrating an internal configuration of the extraction device 10 according to the first embodiment.
  • the extraction device 10 includes a processor 601 that executes control, a ROM (Read Only Memory) 602 that stores programs and nonvolatile data, a RAM (Random Access Memory) 603 that stores volatile data, a communication interface 604 that transmits and receives data, An internal bus 605 used for communication inside the apparatus is provided.
  • ECU31 of 1st Embodiment, the detection apparatus 20 of 2nd Embodiment, the extraction apparatus 40 of 3rd Embodiment, and the detection apparatus 50 are also shown in FIG. 16 similarly to the extraction apparatus 10 of 1st Embodiment. It can be realized as a device using a hardware configuration.
  • Each component in the first, second, and third embodiments is realized by the processor 601 acquiring and executing a program that realizes these functions.
  • the extraction device 10 may be realized by an arbitrary combination of a separate information processing device and a program for each component.
  • a plurality of components included in the extraction device may be realized by an arbitrary combination of one information processing device and a program.
  • each device is realized by other general-purpose or dedicated circuits, processors, etc., or combinations thereof. These may be configured by a single chip or may be configured by a plurality of chips connected via a bus. Some or all of the components of each device may be realized by a combination of the above-described circuit and the like and a program.
  • each device When some or all of the constituent elements of each device are realized by a plurality of information processing devices and circuits, the plurality of information processing devices and circuits may be centrally arranged or distributedly arranged. Also good.
  • the information processing apparatus, the circuit, and the like may be realized as a form in which each is connected via a communication network, such as a client and server system and a cloud computing system.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Small-Scale Networks (AREA)
  • Maintenance And Management Of Digital Transmission (AREA)

Abstract

周期から外れるフレームに対する不正の検知を可能にする抽出装置等を提供する。抽出装置は、ノードと関連付けられた識別子が同一である同一識別子のフレームごとに、周期を維持するフレームと周期から外れるフレームに選別するフレーム選別部と、前記同一識別子で周期から外れるフレームから、前記フレームにおけるイベント発生に関連するデータフィールドのビット変化の特徴を抽出するルール抽出部を備える。

Description

抽出装置、抽出方法および記録媒体、並びに、検知装置
　車両等に搭載される電子制御ユニットが通信するネットワークに関し、当該ネットワークに出力された不正なフレームを検知する抽出装置等に関する。
　自動車等の車両には、電子制御ユニット（ＥＣＵ：Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）が複数搭載されている。これらＥＣＵを繋ぐネットワークは車載ネットワークと呼ばれ、車両を制御する様々なデータを含むフレームがＥＣＵの間で送受信されている。
　一方、閉じられた車載ネットワークでフレームを送受信していたＥＣＵが、外部と接続可能となることで、セキュリティ問題の発生リスクが高くなっている。例えば、外部と通信可能なＥＣＵが攻撃を受けた場合、車載ネットワークに不正なフレームが出力されて車両が不正に制御されるおそれがある。
　このような不正なフレームを検知する技術として、ＥＣＵから出力されたフレームの周期を予め登録し、検知対象のフレームが登録された周期に該当するか否かで不正なフレームを判定することが特許文献１に記載されている。
特開２０１７－１１１７９６号公報
　一方で、ＥＣＵが出力するフレームの中には、周期を維持するフレームの他、ドアの開閉のように、イベント発生によって出力される周期から外れるフレームがある。上述の検知技術は、ＥＣＵから出力されるフレームの周期性を利用して不正を検知するため、周期から外れるフレームに対する不正を検知することができない。
　本発明の目的は、周期から外れるフレームに対する不正の検知を可能にする抽出装置等を提供することにある。
　本発明の抽出装置は、ノードと関連付けられた識別子が同一である同一識別子のフレームごとに、周期を維持するフレームと周期から外れるフレームに選別するフレーム選別部と、前記同一識別子で周期から外れるフレームから、前記フレームにおけるイベント発生に関連するデータフィールドのビット変化の特徴を抽出するルール抽出部を備える。
　本発明の抽出方法は、ノードと関連付けられた識別子が同一である同一識別子のフレームごとに、周期を維持するフレームと周期から外れるフレームに選別し、前記同一識別子で周期から外れるフレームから、前記フレームにおけるイベント発生に関連するデータフィールドのビット変化の特徴を抽出する。
　本発明の記録媒体に格納されたプログラムは、ノードと関連付けられた識別子が同一である同一識別子のフレームごとに、周期を維持するフレームと周期から外れるフレームに選別し、前記同一識別子で周期から外れるフレームから、前記フレームにおけるイベント発生に関連するデータフィールドのビット変化の特徴を抽出する、ことをコンピュータに実行させる。
　本発明によれば、周期から外れるフレームに対する不正の検知が可能になる。
ＣＡＮの構成を示すブロック図である。 ＣＡＮのフレーム構造を説明する図である。 第１の実施形態に係る抽出装置の構成の一例を示すブロック図である。 データフィールドのビット変化の特徴の一例を説明する図である。 データフィールドのビット変化の特徴の別の例を説明する図である。 データフィールドのビット変化の特徴の他の例を説明する図である。 第１の実施形態に係る抽出装置１０の動作を示すフローチャートである。 フレーム選別処理の動作の一例を示すフローチャートである。 ルール抽出処理の動作の一例を示すフローチャートである。 第２の実施形態に係る検知装置の構成の一例を示すブロック図である。 第２の実施形態に係る検知装置の動作の一例を示すフローチャートである。 第３の実施形態に係る監視装置をＣＡＮに適用した構成を示すブロック図である。 第３の実施形態に係る監視装置の構成を示すブロック図である。 第３の実施形態に係る抽出装置の構成を示すブロック図である。 第３の実施形態に係る検知装置の構成を示すブロック図である。 イベント発生により周期を維持するフレームの基点の変更を説明する図である。 第１の実施形態の抽出装置の内部構成を示すハードウエア構成図である。
　本実施形態の抽出装置、検知装置等について、自動車の車載ネットワークに適用した例を用いて説明する。以下、車載ネットワークの１つであるＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）を用いて説明する。なお、本実施形態は、車載ネットワークに好適であるが、それ以外のネットワークへの適用、例えば、産業用ネットワークへの適用を妨げるものではない。
　（第１の実施形態）
　第１の実施形態に係る抽出装置について図面を用いて説明する。はじめに、ＣＡＮについて簡単に説明する。図１は、ＣＡＮの構成を示すブロック図である。図１に示すように、複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）３１がＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）バス３２に接続されている。ＣＡＮは、車載ネットワークの通信プロトコルの一種であり、例えば、車両のパワートレイン系、ボディ系に幅広く適用されている。ＥＣＵ３１は、例えば、車両に搭載されたセンサからの信号又は車両のスイッチ操作に伴う信号をフレームに含めてＣＡＮバス３２に出力する。ＥＣＵ３１およびＣＡＮバス３２は、それぞれノードおよびネットワークバスとも呼ばれる。
　図２は、ＣＡＮのフレーム構造を説明する図である。ＣＡＮのフレームは、主に識別子（ＩＤ：ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）と最大８バイト（６４ビット）のデータフィールドで構成される。識別子（以後、単にＩＤと示す）には、フレームを出力するＥＣＵごとにユニークなＩＤが割り振られる。このため、ＩＤによって、そのフレームを出力したＥＣＵの識別、あるいは、フレームに含まれるデータの種類の識別が可能となる。データの種類は、例えば、ステアリング角、エンジン回転数、車両速度、又は、ドア開閉状態である。
　ただし、ＩＤごとに割り当てられているデータの種類は、自動車メーカーごとに異なる。例えば、ある自動車メーカーではエンジン回転数にＩＤ２５６を割り当てたとしても、別のメーカーではエンジン回転数にＩＤ２５６は使用されない、もしくは、ステアリング角に割り当てられている場合がある。
　データフィールドは、ＥＣＵが出力したデータの内容を表す。ＣＡＮフレームのデータフィールドは、一般的に、状態を１ビットで表す０／１のフラグ、状態を複数ビットで表すもの、複数ビットで連続値を表現するものが複数含まれている。なお、データフィールドにおける各ビットが示す情報は自動車メーカーから公開されていない。
　＜抽出装置＞
　第１の実施形態に係る抽出装置について図面を用いて説明する。図３は、第１の実施形態に係る抽出装置１０の構成を示すブロック図である。図３に示す抽出装置１０は、フレーム選別部１１、ルール抽出部１２を備える。まず、抽出装置１０は、フレームログを取得する。フレームログは、例えば、図１に示す車載ネットワークにおけるＥＣＵ３１がＣＡＮバスに出力したフレームの集合である。フレームログには、他のＥＣＵ３１が受信した、各フレームに対応するタイムスタンプ（受信時刻）も含まれる。
　抽出装置１０が、ＣＡＮバス３２に接続されている場合、抽出装置で受信した各フレームをフレームログとして取得してもよい。あるいは、抽出装置１０がＣＡＮバス３２に接続されていない場合、ＣＡＮバス３２に接続された装置、例えば、ＥＣＵ３１が受信したフレームの集合をフレームログとしてもよい。
　（フレーム選別部１１）
　フレーム選別部１１は、ＥＣＵ３１から出力された同一ＩＤのフレームごとに、周期を維持するフレームと周期から外れるフレームに選別する。周期を維持するフレームとは、ＥＣＵ３１から一定周期で出力されたフレームをいう。同一ＩＤのフレームの周期は、フレームログに含まれる同一ＩＤのフレームの受信時刻（タイムスタンプ）から同一ＩＤのフレームの受信間隔を導出することにより取得できる。
　具体的には、フレーム選別部１１は、フレームログを、フレームに含まれるＩＤに基づき、ＩＤごとのフレームの集合を生成する。さらに、フレーム選別部１１は、ＩＤごとのフレームに対応した受信時刻に基づき、ＩＤごとにフレームの周期を抽出する。フレーム選別部１１は、抽出されたＩＤの周期に基づき、同一ＩＤのフレームの集合を、周期を維持するフレームの集合と周期から外れるフレームの集合に選別する。周期から外れるフレームの集合は、同一ＩＤのフレームの集合から、周期を維持するフレームの集合を除いたフレームの集合である。同一ＩＤの周期から外れるフレームの集合には、イベント発生による正常なフレームの他に、不正なフレームが含まれている可能性がある。フレーム選別部１１は、選別された同一ＩＤで周期から外れるフレームの集合をルール抽出部１２に送る。
　（ルール抽出部１２）
　ルール抽出部１２は、同一ＩＤで周期から外れるフレームの集合から、フレーム間におけるデータフィールドのビット変化の特徴をイベントルールとして抽出する。具体的には、ルール抽出部１２は、同一ＩＤで周期から外れるフレームの集合をタイムスタンプに基づき受信順に並べ、フレーム前後におけるデータフィールドのビット変化の特徴を分析する。
　図４Ａ、図４Ｂ、および、図４Ｃは、それぞれ別ＩＤのデータフィールドにおけるビット変化の特徴を説明する図である。図４Ａに示す第１のビット変化の特徴は、イベント発生に関連して、フレーム前後でデータフィールドの特定位置のビットが反転する例である。図中、「Ｆ」は、ビットの反転を示し、「－」はイベント発生時の値が不定であることを示す。図４Ａの例は、イベント発生によってデータフィールドの４番目のビットが反転していることを表している。
　図４Ｂに示す第２のビット変化の特徴は、イベント発生に関連して、データフィールドで「０」又は「１」が指定されているビットについて、所定の列挙された組み合わせとなる例である。所定の列挙された組み合わせとは、例えば、「１１０１」あるいは「００１０」のようなビット列である。
　図４Ｃに示す第３のビット変化の特徴は、イベント発生に関連して、データフィールドの特定位置のビットがイベント発生時の直前の値と同じ値をとる例である。
　ルール抽出部１２は、イベント発生時の前後におけるデータフィールドのビット変化の特徴を分析し、分析結果を基に、ビット変化の特徴をＩＤと関連付けてイベントルールとして抽出する。
　ルール抽出部１２で抽出されたイベントルールは、同一ＩＤで周期から外れるフレームのうち、イベント発生によってＥＣＵ３１から出力された正常なフレームとして判定するための指標となる。
　次に、第１の実施形態の抽出装置の動作について図面を用いて説明する。図５は、第１の実施形態に係る抽出装置１０の動作を示すフローチャートである。はじめに抽出装置１０は、フレームログを取得する。抽出装置１０のフレーム選別部１１は、フレーム選別処理を実行する（ステップＳ１０１）。
　図６は、フレーム選別処理の動作の一例を示すフローチャートである。フレーム選別部１１は、フレームログのフレームに含まれるＩＤに基づき、ＩＤごとのフレームの集合を生成する（ステップＳ１０１１）。フレーム選別部１１は、ＩＤごとのフレームに対応した受信時刻に基づき、ＩＤごとにフレームの周期を抽出する（ステップＳ１０１２）。フレーム選別部１１は、抽出されたＩＤの周期に基づき、同一ＩＤのフレームの集合を、周期を維持するフレームと周期から外れるフレームに選別する（ステップＳ１０１３）。周期から外れるフレームは、同一ＩＤのフレームの集合から、周期を維持するフレームの集合を除き、周期から外れるフレームの集合を選別する。
　次に、ルール抽出部１２は、同一ＩＤで周期から外れるフレームの集合から、フレーム間におけるデータフィールドのビット変化の特徴を表すイベントルールを抽出するルール抽出処理を実行する（ステップＳ１０２）。
　図７は、ルール抽出処理の動作の一例を示すフローチャートである。ルール抽出部１２は、同一ＩＤで周期から外れるフレームの集合を、タイムスタンプに基づき受信順に並べ、フレーム間におけるデータフィールドのビット変化の特徴を分析する（ステップＳ１０２１）。ルール抽出部１２は、分析結果を基に、ビット変化の特徴を同一ＩＤのフレームと関連付けてイベントルールとして抽出する（ステップＳ１０２２）。抽出装置１０は、抽出されたイベントルールを出力する。イベントルールは、ルール抽出部１２によって出力されてもよい。
　（第１の実施形態の効果）
　第１の実施形態の抽出装置１０によれば、周期から外れるフレームに対する不正の検知が可能になる。その理由は、抽出装置１０が、周期を維持するフレームを出力するノードが、イベント発生によって出力した周期から外れるフレームを識別するためのイベントルールを抽出するからである。具体的には、フレーム選別部１１が、ノードに関連付けられた識別子が同一である同一識別子のフレームごとに、周期を維持するフレームと周期から外れるフレームに選別し、ルール抽出部１２が、同一識別子で周期から外れるフレームから、フレーム間におけるデータフィールドのビット変化の特徴を表すイベントルールを抽出するからである。
　（第２の実施形態）
　＜検知装置＞
　次に、第２の実施形態に係る検知装置、検知方法について、図面を用いて説明する。第２の実施形態の検知装置は、第１の実施形態の抽出装置で抽出されたイベントルールを用いて、周期から外れるフレームが正常なフレームか不正なフレームかを判定する機能を有する。
　図８は、第２の実施形態に係る検知装置２０の構成を示すブロック図である。第２の実施形態に係る検知装置２０は、判定部２１を備える。検知装置２０は、検知対象のフレームと、第１の実施形態の抽出装置１０が抽出したイベントルールを取得する。第２の実施形態における検知対象のフレームは、周期から外れるフレームである。
　判定部２１は、周期から外れるフレームのデータフィールドが、抽出装置１０が抽出したイベントルールと合致するかを比較する。判定部２１は、イベントルールと合致する場合、正常なフレームと判定し、イベントルールと合致しない場合、検知対象のフレームを不正なフレームと判定する。検知装置の出力部（図示せず）は、判定結果を出力する。
　次に、第２の実施形態の検知装置の動作について図面を用いて説明する。図９は、第２の実施形態に係る検知装置２０の動作を示すフローチャートである。検知装置２０は、抽出装置１０が抽出したイベントルールを取得する。さらに、検知装置２０は、検知対象のフレームとして、周期から外れるフレームを取得する。
　判定部２１は、周期から外れるフレームのデータフィールドとイベントルールと比較する（ステップＳ２０１）。具体的には、判定部２１は、周期から外れるフレームのデータフィールドのビット列がイベントルールに合致するかを調べる。
　イベントルールに合致する場合（ステップＳ２０２のＹｅｓ）、判定部２１は、周期から外れるフレームは正常なフレームであると判定する（ステップＳ２０３）。一方、イベントルールに合致しない場合（ステップＳ２０２のＮｏ）、判定部２１は、周期から外れるフレームは不正なフレームであると判定する（ステップＳ２０４）。ステップＳ２０３、ステップＳ２０４の判定後、検知装置２０の出力部（図示せず）は、判定結果を出力する。
　（第２の実施形態の効果）
　第２の実施形態の検知装置によれば、周期から外れるフレームに対する不正の検知が可能になる。その理由は、判定部が検知対象となる周期から外れるフレームのデータフィールドが、抽出装置が抽出したイベントルールと合致しない場合、検知対象のフレームを不正なフレームと判定するからである。これにより、周期から外れるフレームを出力するノードが攻撃を受けて不正なノードとなった場合でも、当該ノードから出力される不正なフレームを検知することが可能となる。
　（第３の実施形態）
　第３の実施形態に係る監視装置について図面を用いて説明する。図１０は、第３の実施形態に係る監視装置をＣＡＮに適用した構成を示すブロック図である。図１０に示すＥＣＵ３１およびＣＡＮバス３２は、第１の実施形態で説明した構成と同様であり、詳細な説明は省略する。監視装置３０は、ＣＡＮバス３２と通信可能に接続されている。監視装置３０は、ＥＣＵ３１から出力されたフレームを他のＥＣＵ３１と同様に受信できるものとする。監視装置３０が受信したフレームの集合であるフレームログには、受信したフレームのＩＤにタイムスタンプ（受信時刻）が関連付けされているものとする。
　＜監視装置＞
　第３の実施形態に係る監視装置の構成について図面を用いて説明する。図１１は、第３の実施形態に係る監視装置３０の構成を示すブロック図である。図１１に示す監視装置３０は、抽出装置４０と、検知装置５０を備える。
　監視装置３０に含まれる抽出装置４０は、第１の実施形態の抽出装置１０と同様、同一ＩＤで周期から外れるフレームに対して正常なフレームの指標となるイベントルールを抽出する機能を有する。第３の実施形態の抽出装置４０は、イベントルールの抽出に加え、同一ＩＤで周期を維持するフレームに対する周期ルールを抽出する機能を有する。
　また、監視装置３０に含まれる検知装置２５は、第２の実施形態の検知装置２０と同様、イベントルールを用いて周期から外れるフレームが正常なフレームか不正なフレームかを判定する機能を有する。第３の実施形態の検知装置５０は、イベントルールによる周期から外れるフレームの判定に加え、周期ルールを用いて周期を維持するフレームが正常なフレームか不正なフレームかを判定する機能を有する。
　以下、第３の実施形態の抽出装置４０、検知装置５０の説明では、第１の実施形態の抽出装置１０と、第２の実施形態の検知装置２０と同じ機能の構成については、詳細な説明を省略する。
　第３の実施形態に係る抽出装置４０について図面を用いて説明する。図１２は、第３の実施形態に係る抽出装置４０の構成を示すブロック図である。抽出装置４０は、フレーム選別部１１、ルール抽出部４２を備える。
　フレーム選別部１１は、第１の実施形態と同様に、フレームログを取得し、同一ＩＤのフレームの集合ごとに、周期を維持するフレームと周期から外れるフレームに選別する。フレームログは、ＣＡＮバス３２に接続された監視装置３０が受信して蓄積したフレームの集合である。
　ルール抽出部４２は、周期ルール抽出部４２１と、イベントルール抽出部４２２を備える。周期ルール抽出部４２１は、フレーム選別部１１でフレームの選別の際に使用されたＩＤごとの周期情報から、フレームログに含まれるＩＤと周期の関係を周期ルールとして抽出する。例えば、フレームログの中でＩＤ４２０のフレームが１０ｍｓごとに出現していた場合、周期ルール抽出部３２１は、周期ルールとして「ＩＤ４２０：１０（ｍｓ）」を抽出する。
　イベントルール抽出部４２２は、第１の実施形態のルール抽出部１２と同様にイベント発生時の前後におけるデータフィールドのビット変化の特徴を分析し、分析結果を基に、ビット変化の特徴をＩＤと関連付けてイベントルールとして抽出する。抽出された周期ルールとイベントルールは、出力部（図示なし）によって検知装置５０へ出力される。
　第３の実施形態に係る検知装置５０について図面を用いて説明する。図１３は、第３の実施形態に係る検知装置５０の構成を示すブロック図である。検知装置５０は、判定部５１を備える。判定部５１は、周期ルール判定部５１１と、イベントルール判定部５１２を有する。
　周期ルール判定部５１１は、抽出装置４０が出力した周期ルールを用いて周期を維持するフレームが正常なフレームか不正なフレームかを判定する。具体的には、検知対象となるフレームが、周期ルールに含まれるＩＤとその周期に合致するかを確認する。ここで、周期の合致とは、周期ごとの許容誤差を含んだ範囲であってもよい。例えば、周期が１０ｍｓの場合、１０ｍｓ±１ｍｓの範囲であり、周期が５００ｍｓの場合、５００ｍｓ±１０ｍｓの範囲であるとする。
　周期ルール判定部５１１は、検知対象となるフレームが周期と合致する場合、あるいは、許容誤差に収まっている場合、正常なフレームと判定する。一方、周期ルール判定部５１１は、検知対象となるフレームが周期と合致しない場合、あるいは、許容誤差から逸脱している場合、検知対象となるフレームを周期から外れるフレームとしてイベントルール判定部５１２に送る。
　イベントルール判定部５１２は、抽出装置４０が出力したイベントルールを用いて周期から外れるフレームが正常なフレームか不正なフレームかを判定する。イベントルール判定部５１２におけるイベントルールを用いた周期から外れるフレームの判定については、第２の実施形態の判定部２１と同様であり、詳細な説明については省略する。
　ここで、周期を維持するフレームを出力しているＥＣＵには、イベント発生によりその後に出力するフレームの基点が変わるものがある。図１４は、イベント発生による周期を維持するフレームの基点の変更を説明する図である。図１４中、Ｆ１～Ｆ５は、ＥＣＵによって出力された周期を維持するフレームを表している。また、Ｆｅｖｅｎｔは、イベント発生によって出力されたフレームを表している。
　図１４（ａ）に示すフレームを出力するＥＣＵは、フレームＦ３の後にイベント発生によってフレームＦｅｖｅｎｔが出力されるが、その後に出力される周期を維持するフレームＦ４は、フレームＦ３からの間隔Ｔを保って出力される。
　一方、図１４（ｂ）に示すフレームを出力するＥＣＵは、フレームＦ３の後にイベント発生によってフレームＦｅｖｅｎｔが出力されると、その後に出力される周期を維持するフレームＦ４は、フレームＦｅｖｅｎｔからの間隔Ｔで出力される。図１４（ｂ）の場合、フレームＦ３と、その後に出力されるフレームＦ４以降のフレームは、周期ルール判定部５１１において、周期の合わないフレームとして判定されることになる。
　このため、イベントルール判定部５１２は、周期から外れるフレームが正常なフレームであることを判定した後、周期判定の基点をイベント発生時のフレームに更新する。具体的には、イベントルール判定部５１２は、イベント発生時のフレームＦｅｖｅｎｔの時刻情報を周期の基点とすることで、フレームＦ４以降のフレームの周期性をチェックすることが可能となる。
　（第３の実施形態の効果）
　第３の実施形態の抽出装置４０によれば、周期から外れるフレームに対する不正の検知が可能になる。その理由は、抽出装置４０が、周期を維持するフレームを出力するノードが、イベント発生によって出力した周期から外れるフレームを識別するためのイベントルールを抽出するからである。
　第３の実施形態の検知装置５０によれば、周期から外れるフレームに対する不正の検知が可能になる。その理由は、判定部５１が検知対象となる周期から外れるフレームのデータフィールドが、抽出装置４０が抽出したイベントルールと合致しない場合、検知対象のフレームを不正なフレームと判定するからである。これにより、周期から外れるフレームを出力するノードが攻撃を受けて不正なノードとなった場合でも、当該ノードから出力される不正なフレームを検知することが可能となる。
　（ハードウエア構成）
　図１６は、第１の実施形態の抽出装置１０の内部構成を示すハードウエア構成図である。抽出装置１０は、制御を実行するプロセッサ６０１、プログラムおよび不揮発性データを保存するＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）６０２、揮発性データを保存するＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）６０３、データを送受信する通信インターフェース６０４、装置内部の通信に用いる内部バス６０５を備える。なお、第１の実施形態のＥＣＵ３１、第２の実施形態の検知装置２０、第３の実施形態の抽出装置４０、検知装置５０も、第１の実施形態の抽出装置１０と同様に図１６示すハードウエア構成を用いた装置として実現することができる。
　第１、第２、第３の実施形態における各構成要素は、これらの機能を実現するプログラムをプロセッサ６０１が取得して実行することで実現される。抽出装置１０の実現方法には、様々な変形例がある。例えば、抽出装置１０は、構成要素毎にそれぞれ別個の情報処理装置とプログラムとの任意の組み合わせにより実現されてもよい。また、抽出装置が備える複数の構成要素が、一つの情報処理装置とプログラムとの任意の組み合わせにより実現されてもよい。
　また、各装置の各構成要素の一部又は全部は、その他の汎用または専用の回路、プロセッサ等やこれらの組み合わせによって実現される。これらは、単一のチップによって構成されてもよいし、バスを介して接続される複数のチップによって構成されてもよい。　各装置の各構成要素の一部又は全部は、上述した回路等とプログラムとの組み合わせによって実現されてもよい。
　各装置の各構成要素の一部又は全部が複数の情報処理装置や回路等により実現される場合には、複数の情報処理装置や回路等は、集中配置されてもよいし、分散配置されてもよい。例えば、情報処理装置や回路等は、クライアントアンドサーバシステム、クラウドコンピューティングシステム等、各々が通信ネットワークを介して接続される形態として実現されてもよい。
　以上、上述した実施形態を模範的な例として本発明を説明した。しかしながら、本発明は、上述した実施形態には限定されない。即ち、本発明は、本発明のスコープ内において、当業者が理解し得る様々な態様を適用することができる。
　　１０、４０　抽出装置
　　１１　フレーム選別部
　　１２、４２　ルール抽出部
　　２０、５０　検知装置
　　２１、５１　判定部
　　３０　監視装置
　　４２１　周期ルール抽出部
　　４２２　イベントルール抽出部
　　５１１　周期ルール判定部
　　５１２　イベントルール判定部

Claims (8)

  1. 　ノードと関連付けされた識別子が同一である同一識別子のフレームの集合ごとに、周期を維持するフレームと周期から外れるフレームに選別するフレーム選別手段と、
    　前記同一識別子で周期から外れるフレームの集合から、イベント発生に関連するデータフィールドのビット変化の特徴をイベントルールとして抽出するルール抽出手段と、
    を備える、抽出装置。
  2. 　前記フレーム選別手段は、前記同一識別子のフレームの集合から前記同一識別子で周期を維持するフレームを除いて、前記周期から外れるフレームを選別する、請求項１に記載の抽出装置。
  3. 　前記データフィールドのビット変化の特徴は、前記データフィールドにおける特定位置のビットの反転である、請求項１又は２に記載の抽出装置。
  4. 　前記データフィールドのビット変化の特徴は、前記データフィールドにおける０と１が指定されたビットの組み合わせである、請求項１又は２に記載の抽出装置。
  5. 　前記データフィールドのビット変化の特徴は、前記データフィールドにおける特定位置のビットが前記イベント発生の前後で同じ値をとる、請求項１又は２に記載の抽出装置。
  6. 　請求項１乃至５のいずれか１つに記載の抽出装置と通信可能に接続される検知装置であって、
    　検知対象となる前記周期から外れるフレームの前記データフィールドが、前記抽出装置が抽出した前記特徴と合致しない場合、前記検知対象のフレームを不正なフレームと判定する判定手段を備える、検知装置。
  7. 　ノードと関連づけされた識別子が同一である同一識別子のフレームごとに、周期を維持するフレームと周期から外れるフレームに選別し、
    前記同一識別子で周期から外れるフレームから、前記フレームにおけるイベント発生に関連するデータフィールドのビット変化の特徴を抽出する、
    を備える、抽出方法。
  8. 　ノードと関連した識別子を含むフレームが同一である同一識別子のフレームの集合ごとに、周期を維持するフレームと周期から外れるフレームに選別し、
    前記同一識別子で周期から外れるフレームから、前記フレームにおけるイベント発生に関連するデータフィールドのビット変化の特徴を抽出する、
    ことをコンピュータに実行させるプログラムを格納した記録媒体。
PCT/JP2018/017202 2018-04-27 2018-04-27 抽出装置、抽出方法および記録媒体、並びに、検知装置 WO2019207764A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US17/042,622 US11526605B2 (en) 2018-04-27 2018-04-27 Extraction device, extraction method, recording medium, and detection device
JP2020515430A JP7176564B2 (ja) 2018-04-27 2018-04-27 監視装置、および、監視方法
PCT/JP2018/017202 WO2019207764A1 (ja) 2018-04-27 2018-04-27 抽出装置、抽出方法および記録媒体、並びに、検知装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2018/017202 WO2019207764A1 (ja) 2018-04-27 2018-04-27 抽出装置、抽出方法および記録媒体、並びに、検知装置

Publications (1)

Publication Number Publication Date
WO2019207764A1 true WO2019207764A1 (ja) 2019-10-31

Family

ID=68293505

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/017202 WO2019207764A1 (ja) 2018-04-27 2018-04-27 抽出装置、抽出方法および記録媒体、並びに、検知装置

Country Status (3)

Country Link
US (1) US11526605B2 (ja)
JP (1) JP7176564B2 (ja)
WO (1) WO2019207764A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023223818A1 (ja) * 2022-05-16 2023-11-23 株式会社オートネットワーク技術研究所 検出装置、車載装置、検出方法及びコンピュータプログラム

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111835627B (zh) * 2019-04-23 2022-04-26 华为技术有限公司 车载网关的通信方法、车载网关及智能车辆

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015216469A (ja) * 2014-05-08 2015-12-03 パナソニックＩｐマネジメント株式会社 送信装置

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS59146696A (ja) 1983-12-13 1984-08-22 三洋電機株式会社 脱水洗濯機
US9288048B2 (en) * 2013-09-24 2016-03-15 The Regents Of The University Of Michigan Real-time frame authentication using ID anonymization in automotive networks
CN110610092B (zh) * 2014-04-17 2023-06-06 松下电器（美国）知识产权公司 车载网络系统、网关装置以及不正常检测方法
JP6423402B2 (ja) 2015-12-16 2018-11-14 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
JP6161837B1 (ja) 2016-02-09 2017-07-12 三菱電機株式会社 通信装置およびフレーム送信方法
US10091077B1 (en) * 2016-06-27 2018-10-02 Symantec Corporation Systems and methods for detecting transactional message sequences that are obscured in multicast communications
US9906545B1 (en) * 2016-11-22 2018-02-27 Symantec Corporation Systems and methods for identifying message payload bit fields in electronic communications

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015216469A (ja) * 2014-05-08 2015-12-03 パナソニックＩｐマネジメント株式会社 送信装置

Non-Patent Citations (5)

* Cited by examiner, † Cited by third party
Title
DATE, TOMOHIRO ET AL.: "Dynamic Rule Generation Using Machine Learning in In-Vehicle LAN Security Gateway", SCIS2016, no. 3F2-1, 22 January 2016 (2016-01-22), pages 1 - 6, XP009512050 *
HAGA, TOMOYUKI ET AL.: "Proposal for Security ECU for Protecting In- Vehicle Networks: Concept for a CAN Protection Method that Reduces Introduction Impact", SCIS2015, no. 3C2-3, 20 January 2015 (2015-01-20), pages 1 - 8 *
KISHIKAWA, TAKESHI ET AL.: "Proposal for an Unauthorized ECU Detection Method by CAN Traffic Central Monitoring", CAN SCIS 2016, no. 2F4-4, 19 January 2016 (2016-01-19), pages 1 - 7 *
KURITA, MOYURU ET AL.: "Method for Anomaly Detection Based on Sequential Pattern of Log and Its Application to CAN Log", IPSJ SIG TECHNICAL REPORT, vol. 2017 -DPS-170, no. 28, 23 February 2017 (2017-02-23), pages 1 - 7 *
YAJIMA, JUN ET AL.: "Security CAN Adapter for Enabling Detection of Attacks Using Aperiodic Transmission Messages", CAN SCIS2016, no. 3F3-1, 19 January 2016 (2016-01-19), pages 1 - 6 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023223818A1 (ja) * 2022-05-16 2023-11-23 株式会社オートネットワーク技術研究所 検出装置、車載装置、検出方法及びコンピュータプログラム

Also Published As

Publication number Publication date
US11526605B2 (en) 2022-12-13
US20210141895A1 (en) 2021-05-13
JP7176564B2 (ja) 2022-11-22
JPWO2019207764A1 (ja) 2021-03-11

Similar Documents

Publication Publication Date Title
KR102601578B1 (ko) 사이버 공격에 대한 네트워크 보호 방법
US11934520B2 (en) Detecting data anomalies on a data interface using machine learning
US11281811B2 (en) Method, apparatus and device for storing vehicular data
CN111274583A (zh) 一种大数据计算机网络安全防护装置及其控制方法
JP2018026791A (ja) フレーム伝送阻止装置、フレーム伝送阻止方法及び車載ネットワークシステム
TWI616771B (zh) 殭屍網路偵測系統及其方法
KR102517216B1 (ko) 사이버 공격에 대한 네트워크 보호 방법
US11558404B2 (en) On-board communication system, switching device, verification method, and verification program
US20200183373A1 (en) Method for detecting anomalies in controller area network of vehicle and apparatus for the same
JPWO2019193786A1 (ja) ログ出力方法、ログ出力装置及びプログラム
CN111447166B (zh) 车辆攻击检测方法及装置
US20190384771A1 (en) Extracting device, extracting method and storage medium, and abnormality detecting device and abnormality detecting method
WO2019207764A1 (ja) 抽出装置、抽出方法および記録媒体、並びに、検知装置
US11694489B2 (en) Message monitoring system, message transmission electronic control unit, and monitoring electronic control unit
Francia et al. Applied machine learning to vehicle security
US11528284B2 (en) Method for detecting an attack on a control device of a vehicle
US20240080330A1 (en) Security monitoring apparatus, security monitoring method, and computer readable medium
US10666671B2 (en) Data security inspection mechanism for serial networks
JP2020119596A (ja) ログ解析システム、解析装置、方法、および解析用プログラム
JP2018166309A (ja) 車載ネットワークシステム、電子制御装置、通信方法およびコンピュータプログラム
KR102204655B1 (ko) 공격 메시지 재전송 시간을 예측하는 can 네트워크에 대한 메시지플러딩 공격 완화방법
CN114390118B (zh) 一种工控资产识别方法、装置、电子设备及存储介质
US20220174073A1 (en) Method for checking a message in a communication system
EP4407493A1 (en) Vehicle security analysis device, method, and program thereof
US20230344859A1 (en) Control device and control method

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18916190

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020515430

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18916190

Country of ref document: EP

Kind code of ref document: A1