WO2019229883A1 - 検査装置、検査方法及び検査プログラム - Google Patents

検査装置、検査方法及び検査プログラム Download PDF

Info

Publication number
WO2019229883A1
WO2019229883A1 PCT/JP2018/020804 JP2018020804W WO2019229883A1 WO 2019229883 A1 WO2019229883 A1 WO 2019229883A1 JP 2018020804 W JP2018020804 W JP 2018020804W WO 2019229883 A1 WO2019229883 A1 WO 2019229883A1
Authority
WO
WIPO (PCT)
Prior art keywords
state transition
input data
occurred
target device
inspection target
Prior art date
Application number
PCT/JP2018/020804
Other languages
English (en)
French (fr)
Inventor
圭亮 木藤
河内　清人
匠 山本
弘毅 西川
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to CN201880093690.6A priority Critical patent/CN112204528A/zh
Priority to PCT/JP2018/020804 priority patent/WO2019229883A1/ja
Priority to JP2018555779A priority patent/JP6494887B1/ja
Publication of WO2019229883A1 publication Critical patent/WO2019229883A1/ja
Priority to US17/034,779 priority patent/US20210010950A1/en

Links

Images

Classifications

    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01N—INVESTIGATING OR ANALYSING MATERIALS BY DETERMINING THEIR CHEMICAL OR PHYSICAL PROPERTIES
    • G01N21/00—Investigating or analysing materials by the use of optical means, i.e. using sub-millimetre waves, infrared, visible or ultraviolet light
    • G01N21/84—Systems specially adapted for particular applications
    • G01N21/88—Investigating the presence of flaws or contamination
    • G01N21/95—Investigating the presence of flaws or contamination characterised by the material or shape of the object to be examined
    • G01N21/956—Inspecting patterns on the surface of objects
    • G01N21/95607—Inspecting patterns on the surface of objects using a comparative method
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01N—INVESTIGATING OR ANALYSING MATERIALS BY DETERMINING THEIR CHEMICAL OR PHYSICAL PROPERTIES
    • G01N21/00—Investigating or analysing materials by the use of optical means, i.e. using sub-millimetre waves, infrared, visible or ultraviolet light
    • G01N21/84—Systems specially adapted for particular applications
    • G01N21/88—Investigating the presence of flaws or contamination
    • G01N21/8851—Scan or image signal processing specially adapted therefor, e.g. for scan signal adjustment, for detecting different kinds of defects, for compensating for structures, markings, edges
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/36—Preventing errors by testing or debugging software
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Definitions

  • the present invention relates to an inspection apparatus, an inspection method, and an inspection program.
  • an abnormal communication packet or abnormal input data for example, a communication packet or input data in violation of the format
  • a control device for example, an in-vehicle device
  • an abnormal communication packet or abnormal input data for example, a communication packet or input data in violation of the format
  • Sending an abnormal communication packet such as a format violation to a device to be inspected, monitoring its behavior, and checking for the presence of a vulnerability is called fuzzing. Since it is not realistic to perform fuzzing blindly and in a full search, it is common to perform fuzzing while changing input data in a state where the specifications of the device to be inspected are known to some extent.
  • appropriate input data is given to the inspection target device whose specification is unknown (black box), and the internal operation of the inspection target device is estimated from the behavior of the inspection target device.
  • Checking is called a penetration test or penetration test.
  • the penetration test is performed while the tester estimates the internal operation of the device to be inspected craftsmanically, and guesses what kind of communication packet, input data, or parameter can be found in the device to be inspected to find the vulnerability . Testers with this craftsmanship are called pen testers and require specialized skills and abilities.
  • Patent Document 1 discloses a system that operates a state transition model described in a specification with all parameters and easily verifies an operation that should not be performed for security. However, in the system of Patent Document 1, it is assumed that the specification of the inspection target is clear.
  • Patent Document 2 discloses a method of storing an input / output signal of an in-vehicle device or the like as time series data and acquiring a log when a time change of a certain threshold value or more occurs in the input / output signal.
  • Patent Document 3 discloses a technique for performing a security evaluation on an in-vehicle ECU (Engine Control Unit). More specifically, in Patent Document 3, a debugger is connected to an in-vehicle ECU to monitor the state of the in-vehicle ECU, and a vulnerability is discovered from the behavior when an in-vehicle network communication order violation or format violation occurs. A method is disclosed.
  • Patent Document 4 also discloses a technique for performing security evaluation on an in-vehicle ECU.
  • a debugger or the like is connected to the in-vehicle ECU, and a display device such as a meter is monitored with a camera.
  • the vulnerability contained in vehicle-mounted ECU is discovered from the behavior at the time of performing the communication at the time of performing communication or input of abnormal data, or the communication at the time of communication order violation.
  • the penetration test is a black box test in which a third party who does not know the specifications of the device to be inspected finds a security vulnerability. Therefore, in the penetration test, if the specification of the device to be inspected is unknown, a pen tester with special skills and abilities is required. Since vulnerabilities are likely to be found in the state transition of the inspection target device, it is necessary to estimate the state transition and the transition condition.
  • a method for estimating the state transition of the black box system is not disclosed in any patent document. For this reason, there is a problem that the state transition of the black box system cannot be estimated unless there is a person with craftsmanship skills such as a pen tester.
  • the present invention has one of the main purposes to solve the above problems. More specifically, the main object of the present invention is to obtain a configuration capable of estimating the state transition of a black box system.
  • the inspection apparatus includes: A correlation value calculation unit for calculating a correlation value between input data input to an inspection target device whose internal specification is unknown and output data of the inspection target device with respect to the input data; Whether a state transition has occurred in the inspection target device by analyzing a plurality of correlation values calculated by the correlation value calculation unit for a plurality of input data and a plurality of output data for the plurality of input data in a time series And a state transition determination unit for determining whether or not.
  • the present invention it is possible to estimate the state transition of the black box system based on the correlation value between the input data and the output data.
  • FIG. 3 is a diagram illustrating an example of a system configuration according to the first embodiment.
  • FIG. 3 is a diagram illustrating a hardware configuration example of the inspection apparatus according to the first embodiment.
  • FIG. 3 is a diagram illustrating a functional configuration example of the inspection apparatus according to the first embodiment. The figure which shows the relationship between the value of input data which concerns on Embodiment 1, and the value of output data, and the relationship between the value of input data, and a correlation value.
  • 5 is a flowchart showing an operation example of the inspection apparatus according to the first embodiment.
  • FIG. 5 is a diagram illustrating a functional configuration example of an inspection apparatus according to a second embodiment.
  • 10 is a flowchart showing an operation example of the inspection apparatus according to the second embodiment.
  • FIG. *** Explanation of configuration *** FIG. 1 shows a system configuration example according to the present embodiment.
  • the inspection apparatus 100 and the inspection target device 210 are connected.
  • the inspection target device 210 is a black box system whose specification is unknown.
  • the inspection apparatus 100 determines whether or not a state transition has occurred in the inspection target device 210 and performs a penetration test. More specifically, the inspection apparatus 100 analyzes the correlation value between the input data to the inspection target device 210 and the output data from the inspection target device 210, and whether or not a state transition has occurred in the inspection target device 210. Determine.
  • the operations performed in the inspection target device 210 correspond to an inspection method and an inspection program.
  • the inspection target device 210 is a computer.
  • the inspection target device 210 includes a processing unit 211, an input unit 212, and an output unit 213.
  • the input unit 212 receives input data from the inspection apparatus 100.
  • the processing unit 211 performs processing (calculation) on input data.
  • the output unit 213 transmits output data that is a processing result of the processing unit 211 to the inspection apparatus 100.
  • the inspection apparatus 100 is a computer.
  • the inspection apparatus 100 includes a processor 101, a memory 102, an output interface 103, an input interface 104, an auxiliary storage device 105, and a display interface 106 as hardware.
  • the processor 101 executes a program and performs arithmetic processing.
  • the memory 102 temporarily stores a program executed by the processor 101.
  • the memory 102 stores the calculation result of the processor 101.
  • the output interface 103 and the input interface 104 function as an interface with a communication path with the inspection target device 210.
  • the output interface 103 transmits input data to the inspection target device 210 to the communication path, and the input interface 104 receives output data from the inspection target device 210 from the communication path.
  • the auxiliary storage device 105 stores a program executed by the processor 101.
  • the auxiliary storage device 105 also stores data and the like that the processor 101 refers to.
  • the display interface 106 functions as an interface with a display connected to the inspection apparatus 100.
  • FIG. 3 shows a functional configuration example of the inspection apparatus 100 according to the present embodiment.
  • the inspection apparatus 100 includes an input data generation unit 201, a correlation value calculation unit 202, a state transition determination unit 203, a state transition storage unit 204, a transition condition designation unit 205, an output unit 206, and an input unit 207.
  • the input data generation unit 201, the correlation value calculation unit 202, the state transition determination unit 203, the transition condition designation unit 205, the output unit 206, and the input unit 207 are realized by a program. Programs that realize the input data generation unit 201, the correlation value calculation unit 202, the state transition determination unit 203, the transition condition designation unit 205, the output unit 206, and the input unit 207 are stored in the auxiliary storage device 105.
  • FIG. 2 shows a state in which the processor 101 is executing a program that realizes the input data generation unit 201, the correlation value calculation unit 202, the state transition determination unit 203, the transition condition specification unit 205, the output unit 206, and the input unit 207.
  • the state transition storage unit 204 is realized by the memory 102 or the auxiliary storage device 105.
  • the input data generation unit 201 generates input data to the inspection target device 210.
  • the output unit 206 transmits the input data generated by the input data generation unit 201 to the inspection target device 210.
  • the input unit 207 receives output data from the input data generation unit 201.
  • the correlation value calculation unit 202 acquires input data from the input data generation unit 201, and acquires output data corresponding to the input data from the input unit 207. Then, the correlation value calculation unit 202 calculates a correlation value between the input data and the output data. The process performed by the correlation value calculation unit 202 corresponds to the correlation value calculation process.
  • the state transition determination unit 203 analyzes the plurality of correlation values calculated by the correlation value calculation unit 202 with respect to the plurality of input data and the plurality of output data for the plurality of input data in a time series, and the inspection target device 210 performs the analysis. It is determined whether or not a state transition has occurred. More specifically, the state transition determination unit 203 determines that a state transition has occurred in the inspection target device 210 when a change greater than or equal to the threshold value occurs in the temporal transition of the correlation value. For example, when the input data has the specifications shown in FIG. 4A, the inspection target device 210 calculates (control value ⁇ control mode value) and outputs the calculation result as output data. .
  • FIG. 4B shows the relationship between input data values and output data values.
  • (C) of FIG. 4 shows the relationship between the value of input data and a correlation value.
  • the value of the input data is incremented.
  • the relationship between the value of the input data and the value of the output data changes. That is, as shown in (c) of FIG. 4, when the value of the input data becomes “0x0100”, the correlation value changes more than the threshold value.
  • the state transition determination unit 203 determines that a state transition has occurred in the inspection target device 210. Note that the process performed by the state transition determination unit 203 corresponds to a state transition determination process.
  • the state transition storage unit 204 stores the fact that the state transition has occurred in the inspection target device 210 when the state transition determination unit 203 determines that the state transition has occurred in the inspection target device 210.
  • the transition condition designating unit 205 designates input data corresponding to a correlation value in which a change greater than or equal to the threshold value has occurred as a state transition occurrence condition.
  • input data “0x0100” is designated as a condition for occurrence of state transition.
  • the inspection apparatus 100 estimates the state of the inspection target device 210 in a state where the internal specification of the inspection target device 210 is unknown. However, the inspection apparatus 100 can know an input / output communication standard of the inspection target device 210, for example, a protocol to be used (CAN (Controller Area Network) or the like). Further, the inspection apparatus 100 can measure the ON / OFF voltage level of the output data from the inspection target device 210. The inspection apparatus 100 sets all input data and output data of the inspection target device 210 as analysis targets regardless of input / output standards or analog / digital types. Further, debuggers cannot be connected to the inspection target device 210, and the inspection apparatus 100 cannot know the state of the internal memory and the register of the inspection target device 210.
  • CAN Controller Area Network
  • FIG. 5 shows an operation example of the inspection apparatus 100.
  • the input data generation unit 201 generates input data to the inspection target device 210.
  • the generation method of input data is not particularly limited, the input data generation unit 201 may generate input data using random numbers, for example. Further, as shown in FIG. 4, the input data generation unit 201 may change the value of the input data incrementally. Furthermore, when the communication format is known, the input data generation unit 201 may generate input data by randomly changing a portion whose value is changed.
  • step S102 the output unit 206 transmits the input data to the inspection target device 210.
  • the input unit 212 receives input data.
  • the processing unit 211 performs processing on the input data.
  • the output unit 213 transmits output data that is the processing result of the processing unit 211.
  • the input unit 207 receives output data from the inspection target device 210 in step S103.
  • the correlation value calculation unit 202 calculates a correlation value. That is, the correlation value calculation unit 202 acquires input data from the input unit 212 and acquires output data from the input unit 207. Then, the correlation value calculation unit 202 calculates a correlation value between the acquired input data and output data.
  • the correlation value calculation method is not limited, but the correlation value calculation unit 202 calculates the correlation value using, for example, a correlation function.
  • the correlation values calculated by the correlation value calculation unit 202 are stored in the memory 102 or the auxiliary storage device 105 in time series.
  • step S ⁇ b> 105 the state transition determination unit 203 determines whether or not a change over a threshold value has occurred in the temporal transition of the correlation value. That is, the state transition determination unit 203 calculates the transition of correlation values stored in time series in the memory 102 or the auxiliary storage device 105 in time series. Specifically, the state transition determination unit 203 calculates the time transition of the correlation value by performing differentiation. If there is a change equal to or greater than a preset threshold value in the time transition of the correlation value, the state transition determination unit 203 determines that a state transition has occurred in the inspection target device 210 (step S106). On the other hand, if there is no change over the threshold value in the time transition of the correlation value, the process returns to step S101, and the input data generation unit 201 generates new input data.
  • step S106 when it is determined by the state transition determination unit 203 that the state transition has occurred, the state transition storage unit 204 stores the fact that the state transition has occurred in the inspection target device 210. Specifically, the state transition storage unit 204 stores that one state of the state transition diagram has been created.
  • the transition condition designation unit 205 designates a condition for occurrence of state transition. Specifically, the transition condition designating unit 205 designates input data corresponding to a correlation value in which a change greater than or equal to a threshold value occurs as a condition for generating a state transition. For example, the transition condition designating unit 205 designates the input data “0x0100” in FIG. 4 as a condition for generating a state transition.
  • step S101 the input data generation unit 201 generates new input data.
  • the inspection apparatus 100 repeats the operations of the above steps S101 to S108 until a stop instruction is received from the user.
  • Embodiment 2 every time it is determined that a state transition has occurred, the fact that the state transition has occurred is stored. However, in the first embodiment, when a state transition that has occurred in the past occurs again in the inspection target device 210, the duplicated contents for the same state transition are stored. For example, it is assumed that the state of the inspection target device 210 transitions from state A ⁇ state B ⁇ state C ⁇ state B. Since the inspection apparatus 100 does not distinguish between the first state transition to the state B and the second state transition to the state B, the state transition to the state B is stored redundantly. In this embodiment, a configuration for detecting the occurrence of such a duplicate state transition and preventing duplicate memory will be described.
  • FIG. 6 shows a functional configuration example of the inspection apparatus 100 according to the present embodiment.
  • a state duplication determination unit 208 is added as compared with the configuration of FIG.
  • the state transition storage unit 204 stores the fact that a state transition has occurred, as in the first embodiment.
  • the state transition storage unit 204 further stores a change in correlation value (a change in correlation value equal to or greater than a threshold) when the state transition determination unit 203 determines that a state transition has occurred.
  • the state duplication determination unit 208 causes a change similar to the determined threshold or greater in the past. It is determined whether or not. That is, the state duplication determination unit 208 determines whether or not a change similar to a change equal to or greater than the threshold determined by the state transition determination unit 203 is stored in the state transition storage unit 204. When a change similar to the change above the threshold has occurred in the past, the state duplication determination unit 208 causes the same state transition as the state transition that occurred in the past in the inspection target device 210 to occur again in the inspection target device 210. Is determined.
  • the state duplication determination unit 208 determines that the same state transition as the state transition that has occurred in the past in the inspection target device 210 has occurred again in the inspection target device 210. If the state duplication determination unit 208 determines that the same state transition as the state transition that has occurred in the past in the inspection target device 210 has occurred again in the inspection target device 210, the state transition determination unit 203 uses the state transition in the inspection target device 210. It is not determined that has occurred. Further, the state transition storage unit 204 does not store the fact that a state transition has occurred. On the other hand, if the state duplication determination unit 208 has not determined that the same state transition as that previously occurred in the inspection target device 210 has occurred again in the inspection target device 210, the state transition determination unit 203 determines that the inspection target device 210 It is determined that a state transition has occurred. Further, the state transition storage unit 204 stores information that a state transition has occurred. Further, the state transition storage unit 204 stores a change in correlation value (a change in correlation value equal to or greater than
  • FIG. 7 shows an operation example of the inspection apparatus 100 according to the present embodiment.
  • Steps S101 to S105 are the same as those described in the first embodiment, and a description thereof will be omitted.
  • the state duplication determination unit 208 determines whether a change similar to a change equal to or greater than the threshold determined by the state transition determination unit 203 has occurred in the past. That is, the state duplication determination unit 208 determines whether or not a change similar to a change equal to or greater than the threshold determined by the state transition determination unit 203 is stored in the state transition storage unit 204.
  • the “similar width” is determined in advance by the system administrator.
  • the state duplication determination unit 208 causes the inspection target device 210 to generate the same state transition again as the state transition that has occurred in the past. Is determined. Then, the process returns to step S101, and the input data generation unit 201 generates new input data. That is, when a similar change has occurred in the past, the state transition determination unit 203 does not determine that a state transition has occurred in the inspection target device 210. Further, the state transition storage unit 204 does not store the fact that a state transition has occurred in the inspection target device 210.
  • step S106 the state transition determination unit 203 determines that a state transition has occurred in the inspection target device 210. Since the operations in step S106 and step S108 are the same as those described in the first embodiment, description thereof will be omitted.
  • step S107 the state transition storage unit 204 stores the fact that the state transition has occurred, and the correlation value change (threshold value) when the state transition determination unit 203 determines that the state transition has occurred. The above correlation value change) is stored.
  • Embodiment 3 In Embodiments 1 and 2, since the relationship between the input data and the occurrence of the state transition is not taken into consideration, effective input data cannot be generated. “Effective input data” is input data that easily causes a state transition.
  • the input data generation unit 201 analyzes the input data specified as the state transition generation condition by the transition condition specification unit 205 and estimates input data that is likely to cause a state transition in the inspection target device 210. To do.
  • the input data generation unit 201 according to the present embodiment generates input data by defining, for example, an evaluation function of a genetic algorithm as the magnitude of time series change of correlation values. In this way, the input data generating unit 201 can generate effective input data.
  • a processor 101 illustrated in FIG. 2 is an IC (Integrated Circuit) that performs processing.
  • the processor 101 is a CPU (Central Processing Unit), a DSP (Digital Signal Processor), or the like.
  • the memory 102 shown in FIG. 2 is a RAM (Random Access Memory).
  • the auxiliary storage device 105 shown in FIG. 2 is a ROM (Read Only Memory), a flash memory, an HDD (Hard Disk Drive), or the like.
  • the output interface 103 and the input interface 104 illustrated in FIG. 2 are electronic circuits that execute data communication processing.
  • the output interface 103 and the input interface 104 are, for example, a communication chip or a NIC (Network Interface Card).
  • the auxiliary storage device 105 also stores an OS (Operating System). At least a part of the OS is executed by the processor 101.
  • the processor 101 implements the functions of the input data generation unit 201, the correlation value calculation unit 202, the state transition determination unit 203, the transition condition specification unit 205, the output unit 206, and the input unit 207 while executing at least a part of the OS. Execute. When the processor 101 executes the OS, task management, memory management, file management, communication control, and the like are performed.
  • the programs for realizing the functions of the input data generation unit 201, the correlation value calculation unit 202, the state transition determination unit 203, the transition condition designation unit 205, the output unit 206, and the input unit 207 are a magnetic disk, a flexible disk, an optical disk, a compact You may store in portable recording media, such as a disk, a Blu-ray (trademark) disk, and DVD.
  • the “data” of the input data generation unit 201, the correlation value calculation unit 202, the state transition determination unit 203, the transition condition designation unit 205, the output unit 206, and the input unit 207 can be referred to as “circuit”, “process”, or “procedure”. Alternatively, it may be read as “processing”. Further, the inspection apparatus 100 may be realized by a processing circuit.
  • the processing circuit is, for example, a logic IC (Integrated Circuit), a GA (Gate Array), an ASIC (Application Specific Integrated Circuit), or an FPGA (Field-Programmable Gate Array).
  • processing circuitry the superordinate concept of the processor 101, the memory 102, the combination of the processor 101 and the memory 102, and the processing circuit is referred to as “processing circuitry”. That is, the processor 101, the memory 102, the combination of the processor 101 and the memory 102, and the processing circuit are specific examples of “processing circuitries”.
  • inspection device 101 processor, 102 memory, 103 output interface, 104 input interface, 105 auxiliary storage device, 106 display interface, 201 input data generation unit, 202 correlation value calculation unit, 203 state transition determination unit, 204 state transition storage Part, 205 transition condition designation part, 206 output part, 207 input part, 208 state duplication determination part, 210 inspection target device, 211 processing part, 212 input part, 213 output part.

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Health & Medical Sciences (AREA)
  • Biochemistry (AREA)
  • Pathology (AREA)
  • Immunology (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Chemical & Material Sciences (AREA)
  • Analytical Chemistry (AREA)
  • General Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Quality & Reliability (AREA)
  • Debugging And Monitoring (AREA)

Abstract

相関値算出部（２０２）は、内部仕様が不明な検査対象機器（２１０）に入力された入力データと、入力データに対する検査対象機器（２１０）の出力データとの間の相関値を算出する。状態遷移判定部（２０３）は、複数の入力データと複数の入力データに対する複数の出力データとに対して相関値算出部（２０２）により算出された複数の相関値を時系列に解析して検査対象機器（２１０）で状態遷移が発生したか否かを判定する。

Description

検査装置、検査方法及び検査プログラム
　本発明は、検査装置、検査方法及び検査プログラムに関する。
　制御機器（例えば車載機器）に対するセキュリティ検査では、制御機器の仕様に記述されていない異常な通信パケット又は異常な入力データ（例えばフォーマット違反の通信パケット又は入力データ）を制御機器に与える。そして、制御機器の挙動を監視し、制御機器に脆弱性が残っていないかどうかを確認する。フォーマット違反のような異常な通信パケットを検査対象機器に送信し、挙動を監視し、脆弱性の有無を確認することはファジングと呼ばれている。盲目的かつ全探索的にファジングを行うことは現実的でないため、検査対象機器の仕様がある程度分かっている状態で、入力データを変化させながらファジングを行うのが一般的である。
　一方で、仕様が不明（ブラックボックス）な検査対象機器に適当な入力データを与えて、検査対象機器の挙動から検査対象機器の内部動作を推定し、検査対象機器に脆弱性がないかどうかを調べることをペネトレーションテスト又は侵入テストという。ペネトレーションテストは、試験者が職人技的に検査対象機器の内部動作を推定しながら、どのような通信パケット、入力データ又はパラメータを検査対象機器に与えれば脆弱性を発見できるかを推測しながら行う。この職人技を持った試験者はペンテスターと呼ばれ、専門の技術及び能力を必要とする。
　特許文献１では、仕様書に記述された状態遷移モデルを全パラメータによって動作させ、セキュリティ上行われるべきでない動作を容易に検証するシステムが開示されている。しかしながら、特許文献１のシステムでは、検査対象の仕様が明らかであることが前提である。
　特許文献２では、車載機器などの入出力信号を時系列データとして記憶し、入出力信号に一定の閾値以上の時間変化が発生した時にログを取得する方式が開示されている。
　特許文献３では、車載ＥＣＵ（Ｅｎｇｉｎｅ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）に対してセキュリティ評価を行う手法が開示されている。より具体的には、特許文献３では、車載ＥＣＵにデバッガを接続して車載ＥＣＵの状態を監視しつつ、車載ネットワーク通信の順序違反又はフォーマット違反が行われた時の挙動から脆弱性を発見する方法が開示されている。
　特許文献４でも、車載ＥＣＵに対してセキュリティ評価を行う手法が開示されている。特許文献４では、車載ＥＣＵにデバッガ等を接続する他、メータなどの表示機をカメラで監視する。また、特許文献４では、異常なデータの通信又は入力を行った際の挙動又は通信順序違反の通信又は入力を行った際の挙動から、車載ＥＣＵに含まれる脆弱性を発見する。
特開２００９－７５８８６号公報 特開２０１３－１４８９６６号公報 特開２０１７－１１２５９８号公報 特開２０１７－２１４０４９号公報
　ペネトレーションテストを行う場合には、検査対象機器の仕様がある程度わかることが必要である。しかし、ペネトレーションテストはブラックボックステストであり、検査対象機器の仕様が分からない第三者がセキュリティの脆弱性を発見するテストである。そのため、ペネトレーションテストでは、検査対象機器の仕様が不明な場合は特別な技能や能力を持ったペンテスターが必要である。
　検査対象機器の状態遷移において脆弱性が発見されやすいため、状態遷移及び遷移条件を推定する必要がある。しかしながら、ブラックボックスシステムの状態遷移を推定する方式は、いずれの特許文献にも開示されていない。このため、ペンテスターのような職人技的な技能を持つ者がいないと、ブラックボックスシステムの状態遷移を推定することができないという課題がある。
　本発明は上記のような課題を解決することを主な目的の一つとしている。より具体的には、本発明は、ブラックボックスシステムの状態遷移を推定することができる構成を得ることを主な目的とする。
　本発明に係る検査装置は、
　内部仕様が不明な検査対象機器に入力された入力データと、前記入力データに対する前記検査対象機器の出力データとの間の相関値を算出する相関値算出部と、
　複数の入力データと前記複数の入力データに対する複数の出力データとに対して前記相関値算出部により算出された複数の相関値を時系列に解析して前記検査対象機器で状態遷移が発生したか否かを判定する状態遷移判定部とを有する。
　本発明によれば、入力データと出力データとの間の相関値に基づき、ブラックボックスシステムの状態遷移を推定することができる。
実施の形態１に係るシステム構成例を示す図。 実施の形態１に係る検査装置のハードウェア構成例を示す図。 実施の形態１に係る検査装置の機能構成例を示す図。 実施の形態１に係る入力データの値と出力データの値との関係及び入力データの値と相関値との関係を示す図。 実施の形態１に係る検査装置の動作例を示すフローチャート。 実施の形態２に係る検査装置の機能構成例を示す図。 実施の形態２に係る検査装置の動作例を示すフローチャート。
　以下、本発明の実施の形態について、図を用いて説明する。以下の実施の形態の説明及び図面において、同一の符号を付したものは、同一の部分又は相当する部分を示す。
　実施の形態１．
＊＊＊構成の説明＊＊＊
　図１は、本実施の形態に係るシステム構成例を示す。
　本実施の形態では、検査装置１００と検査対象機器２１０とが接続されている。検査対象機器２１０は仕様が不明なブラックボックスシステムである。検査装置１００は、検査対象機器２１０で状態遷移が発生したか否かを判定し、ペネトレーションテストを行う。より具体的には、検査装置１００は、検査対象機器２１０への入力データと検査対象機器２１０からの出力データとの相関値を解析して、検査対象機器２１０で状態遷移が発生したか否かを判定する。
　なお、検査対象機器２１０で行われる動作は、検査方法及び検査プログラムに相当する。
　検査対象機器２１０は、コンピュータである。
　検査対象機器２１０は、処理部２１１、入力部２１２及び出力部２１３を備える。
　入力部２１２は、検査装置１００からの入力データを受信する。
　処理部２１１は、入力データに対する処理（演算）を行う。
　出力部２１３は、処理部２１１の処理結果である出力データを検査装置１００に送信する。
　次に、図２を参照して、検査装置１００のハードウェア構成例を説明する。
　検査装置１００は、コンピュータである。
　検査装置１００は、ハードウェアとして、プロセッサ１０１、メモリ１０２、出力インターフェース１０３、入力インターフェース１０４、補助記憶装置１０５及び表示器インターフェース１０６を備える。
　プロセッサ１０１は、プログラムを実行し、演算処理を行う。
　メモリ１０２は、プロセッサ１０１で実行されるプログラムを一時的に記憶する。また、メモリ１０２は、プロセッサ１０１の演算結果を記憶する。
　出力インターフェース１０３及び入力インターフェース１０４は、検査対象機器２１０との通信路とのインターフェースとして機能する。出力インターフェース１０３は、検査対象機器２１０への入力データを通信路に送信し、入力インターフェース１０４は、検査対象機器２１０からの出力データを通信路から受信する。
　補助記憶装置１０５は、プロセッサ１０１で実行されるプログラムを記憶する。また、補助記憶装置１０５は、プロセッサ１０１が参照するデータ等を記憶する。
　表示器インターフェース１０６は、検査装置１００に接続されている表示器とのインターフェースとして機能する。
　図３は、本実施の形態に係る検査装置１００の機能構成例を示す。
　検査装置１００は、入力データ生成部２０１、相関値算出部２０２、状態遷移判定部２０３、状態遷移記憶部２０４、遷移条件指定部２０５、出力部２０６及び入力部２０７を備える。
　入力データ生成部２０１、相関値算出部２０２、状態遷移判定部２０３、遷移条件指定部２０５、出力部２０６及び入力部２０７はプログラムにより実現される。
　入力データ生成部２０１、相関値算出部２０２、状態遷移判定部２０３、遷移条件指定部２０５、出力部２０６及び入力部２０７を実現するプログラムは、補助記憶装置１０５で記憶されている。入力データ生成部２０１、相関値算出部２０２、状態遷移判定部２０３、遷移条件指定部２０５、出力部２０６及び入力部２０７を実現するプログラムは補助記憶装置１０５からメモリ１０２にロードされ、プロセッサ１０１により実行される。
　図２では、プロセッサ１０１が入力データ生成部２０１、相関値算出部２０２、状態遷移判定部２０３、遷移条件指定部２０５、出力部２０６及び入力部２０７を実現するプログラムを実行している状態を示している。
　一方、状態遷移記憶部２０４は、メモリ１０２又は補助記憶装置１０５で実現される。
　入力データ生成部２０１は、検査対象機器２１０への入力データを生成する。
　出力部２０６は、入力データ生成部２０１により生成された入力データを検査対象機器２１０に送信する。
　入力部２０７は、入力データ生成部２０１からの出力データを受信する。
　相関値算出部２０２は、入力データ生成部２０１から入力データを取得し、当該入力データに対応する出力データを入力部２０７から取得する。そして、相関値算出部２０２は、入力データと出力データとの間の相関値を算出する。
　なお、相関値算出部２０２により行われる処理は、相関値算出処理に相当する。
　状態遷移判定部２０３は、複数の入力データと複数の入力データに対する複数の出力データとに対して相関値算出部２０２により算出された複数の相関値を時系列に解析して検査対象機器２１０で状態遷移が発生したか否かを判定する。より具体的には、状態遷移判定部２０３は、相関値の時間推移において閾値以上の変化が発生した場合に、検査対象機器２１０で状態遷移が発生したと判定する。
　例えば、入力データが図４の（ａ）に示す仕様である場合に、検査対象機器２１０は、（制御値×制御モードの値）の計算を行い、計算結果を出力データとして出力するものとする。
　図４の（ｂ）は、入力データの値と出力データの値との関係を示す。図４の（ｃ）は、入力データの値と相関値との関係を示す。
　図４の例では、図４の（ｂ）に示すように、入力データの値はインクリメントされる。
　入力データの値が「０ｘ０１００」になった際に、入力データの値と出力データの値との関係が変化する。つまり、図４の（ｃ）に示すように、入力データの値が「０ｘ０１００」になった際に、閾値以上の相関値の変化が発生する。このように、相関値の時間推移において閾値以上の変化が発生した場合に、状態遷移判定部２０３は検査対象機器２１０で状態遷移が発生したと判定する。
　なお、状態遷移判定部２０３により行われる処理は、状態遷移判定処理に相当する。
　状態遷移記憶部２０４は、状態遷移判定部２０３により検査対象機器２１０で状態遷移が発生したと判定された場合に、検査対象機器２１０で状態遷移が発生した旨を記憶する。
　遷移条件指定部２０５は、閾値以上の変化が発生した相関値に対応する入力データを、状態遷移の発生条件に指定する。図４の例では、「０ｘ０１００」の入力データを、状態遷移の発生条件に指定する。
＊＊＊動作の説明＊＊＊
　次に、本実施の形態に係る検査装置１００の動作例を説明する。
　検査装置１００は、検査対象機器２１０の内部仕様が不明な状態で検査対象機器２１０の状態推定を行う。但し、検査装置１００は、検査対象機器２１０の入出力の通信規格、例えば使用するプロトコル（ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）など）は知ることができる。また、検査装置１００は、検査対象機器２１０からの出力データのＯＮ／ＯＦＦの電圧レベルは測定することができる。
　検査装置１００は、入出力の規格やアナログ／デジタルの種別は問わず、検査対象機器２１０の全ての入力データ及び出力データを解析の対象とする。
　また、検査対象機器２１０にデバッガ類は接続できず、検査装置１００は、検査対象機器２１０の内部メモリ及びレジスタの状態を知ることができない。
　図５は、検査装置１００の動作例を示す。
　先ず、ステップＳ１０１において、入力データ生成部２０１が検査対象機器２１０への入力データを生成する。
　入力データの生成方法は特に限定しないが、入力データ生成部２０１は例えば乱数によって入力データを生成してもよい。また、入力データ生成部２０１は、図４に示すように、インクリメンタルに入力データの値を変化させてもよい。更に、通信フォーマットが分かっている場合には、入力データ生成部２０１は、値を変化させる部分をランダムに変化させて入力データを生成してもよい。
　次に、ステップＳ１０２において、出力部２０６が入力データを検査対象機器２１０に送信する。
　検査対象機器２１０では、入力部２１２が入力データを受信する。次に、処理部２１１が入力データに対する処理を行う。そして、出力部２１３が処理部２１１の処理結果である出力データを送信する。
　検査装置１００では、ステップＳ１０３において、入力部２０７が検査対象機器２１０からの出力データを受信する。
　次に、ステップＳ１０４において、相関値算出部２０２が、相関値を算出する。
　すなわち、相関値算出部２０２は、入力部２１２から入力データを取得し、入力部２０７から出力データを取得する。そして、相関値算出部２０２は、取得した入力データと出力データとの間の相関値を算出する。
　相関値の算出方法は限定しないが、相関値算出部２０２は、例えば相関関数により相関値を算出する。相関値算出部２０２により算出された相関値は時系列にメモリ１０２又は補助記憶装置１０５で記憶される。
　次に、ステップＳ１０５において、状態遷移判定部２０３が、相関値の時間推移に閾値以上の変化が発生したか否かを判定する。
　すなわち、状態遷移判定部２０３は、メモリ１０２又は補助記憶装置１０５に時系列に記憶されている相関値の推移を時系列に算出する。具体的には、状態遷移判定部２０３は、微分の計算を行うことで相関値の時間推移を算出する。相関値の時間推移に予め設定されている閾値以上の変化があれば、状態遷移判定部２０３は、検査対象機器２１０において状態遷移が発生したと判定する（ステップＳ１０６）。
　一方で、相関値の時間推移に閾値以上の変化がなければ、処理がステップＳ１０１に戻り、入力データ生成部２０１が新たな入力データの生成を行う。
　ステップＳ１０６において状態遷移判定部２０３により状態遷移が発生したと判定された場合は、状態遷移記憶部２０４は検査対象機器２１０において状態遷移が発生した旨を記憶する。具体的には、状態遷移記憶部２０４は、状態遷移図の１つの状態ができた旨を記憶する。
　次に、ステップＳ１０７において、遷移条件指定部２０５が状態遷移の発生条件を指定する。
　具体的には、遷移条件指定部２０５は、閾値以上の変化が発生した相関値に対応する入力データを、状態遷移の発生条件に指定する。例えば、遷移条件指定部２０５は、図４の「０ｘ０１００」の入力データを状態遷移の発生条件に指定する。
　その後、処理がステップＳ１０１に戻り、入力データ生成部２０１が新たな入力データの生成を行う。
　検査装置１００は、以上のステップＳ１０１～Ｓ１０８の動作をユーザから停止指示があるまで繰り返す。
＊＊＊実施の形態の効果の説明＊＊＊
　本実施の形態によれば、入力データと出力データとの間の相関値に基づき、ブラックボックスシステムの状態遷移を推定することができる。このため、本実施の形態によれば、ペンテスターのような専門的な知識を有する者がいなくても、仕様が不明なブラックボックスシステムの状態遷移を推定することが可能である。そして、推定した状態遷移に着目してペネトレーションテストを行うことで、ペネトレーションテストを効率的に行うことができる。
　実施の形態２．
　実施の形態１によれば、状態遷移が発生したと判定される度に、状態遷移が発生した旨が記憶される。しかし、実施の形態１では、検査対象機器２１０において過去に発生している状態遷移が再度発生した場合には、同じ状態遷移について重複した内容が記憶される。例えば、検査対象機器２１０の状態が状態Ａ→状態Ｂ→状態Ｃ→状態Ｂと遷移する場合を想定する。検査装置１００では、１回目の状態Ｂへの状態遷移と２回目の状態Ｂへの状態遷移を区別しないため、状態Ｂへの状態遷移が重複して記憶されることになる。
　本実施の形態では、このような重複した状態遷移の発生を検出し、重複した記憶を防止する構成を説明する。
＊＊＊構成の説明＊＊＊
　図６は、本実施の形態に係る検査装置１００の機能構成例を示す。
　図６では、図３の構成と比べて、状態重複判定部２０８が追加されている。
　状態遷移記憶部２０４は、状態遷移判定部２０３により検査対象機器２１０で状態遷移が発生したと判定された場合に、実施の形態１と同様に、状態遷移が発生した旨を記憶する。本実施の形態では、状態遷移記憶部２０４は、更に、状態遷移判定部２０３が状態遷移が発生したと判定した際の相関値の変化（閾値以上の相関値の変化）を記憶する。
　状態重複判定部２０８は、状態遷移判定部２０３により相関値の時間推移において閾値以上の変化が発生していると判定された場合に、判定された閾値以上の変化に類似する変化が過去に発生しているか否かを判定する。つまり、状態重複判定部２０８は、状態遷移判定部２０３により判定された閾値以上の変化に類似する変化が状態遷移記憶部２０４で記憶されているか否かを判定する。当該閾値以上の変化に類似する変化が過去に発生している場合に、状態重複判定部２０８は、検査対象機器２１０で過去に発生した状態遷移と同じ状態遷移が検査対象機器２１０で再度発生したと判定する。
　検査対象機器２１０で過去に発生した状態遷移と同じ状態遷移が検査対象機器２１０で再度発生したと状態重複判定部２０８により判定された場合は、状態遷移判定部２０３は検査対象機器２１０で状態遷移が発生したと判定しない。また、状態遷移記憶部２０４は状態遷移が発生した旨を記憶しない。
　一方、検査対象機器２１０で過去に発生した状態遷移と同じ状態遷移が検査対象機器２１０で再度発生したと状態重複判定部２０８により判定されていない場合は、状態遷移判定部２０３は検査対象機器２１０で状態遷移が発生したと判定する。また、状態遷移記憶部２０４は状態遷移が発生した旨を記憶する。また、状態遷移記憶部２０４は、状態遷移判定部２０３が状態遷移が発生したと判定した際の相関値の変化（閾値以上の相関値の変化）を記憶する。
　以下では、主に実施の形態１との差異を説明する。
　以下で説明していない事項は、実施の形態１と同様である。
＊＊＊動作の説明＊＊＊
　図７は、本実施の形態に係る検査装置１００の動作例を示す。
　ステップＳ１０１～Ｓ１０５は実施の形態１で説明したものと同じものであるため、説明を省略する。
　ステップＳ２０１では、状態重複判定部２０８は、状態遷移判定部２０３により判定された閾値以上の変化に類似する変化が過去に発生しているか否かを判定する。つまり、状態重複判定部２０８は、状態遷移判定部２０３により判定された閾値以上の変化に類似する変化が状態遷移記憶部２０４で記憶されているか否かを判定する。なお、「類似の幅」については、システム管理者が予め決定しておく。
　当該閾値以上の変化に類似する変化が過去に発生している場合は、状態重複判定部２０８は、検査対象機器２１０で過去に発生した状態遷移と同じ状態遷移が検査対象機器２１０で再度発生したと判定する。
　そして、処理がステップＳ１０１に戻り、入力データ生成部２０１が新たな入力データを生成する。
　つまり、類似する変化が過去に発生している場合は、状態遷移判定部２０３は検査対象機器２１０で状態遷移が発生していると判定しない。また、状態遷移記憶部２０４は検査対象機器２１０で状態遷移が発生した旨を記憶しない。
　一方、当該閾値以上の変化に類似する変化が過去に発生していない場合は、処理がステップＳ１０６に進み、状態遷移判定部２０３が検査対象機器２１０で状態遷移が発生したと判定する。
　ステップＳ１０６及びステップＳ１０８の動作は実施の形態１で説明したものと同じであるため、説明を省略する。
　本実施の形態では、ステップＳ１０７では、状態遷移記憶部２０４は状態遷移が発生した旨を記憶し、また、状態遷移判定部２０３が状態遷移が発生したと判定した際の相関値の変化（閾値以上の相関値の変化）を記憶する。
＊＊＊実施の形態の効果の説明＊＊＊
　本実施の形態によれば、重複した状態遷移の発生を検出し、重複した記憶を防止することができる。このため、本実施の形態によれば、効率的にペネトレーションテストを行うことができる。
　実施の形態３．
　実施の形態１及び２では、入力データと状態遷移の発生との関係が考慮されていないので、効果的な入力データを生成することができない。「効果的な入力データ」とは、状態遷移を発生させやすい入力データである。
　本実施の形態では、入力データ生成部２０１は、遷移条件指定部２０５により状態遷移の発生条件に指定された入力データを解析して、検査対象機器２１０で状態遷移を発生させやすい入力データを推定する。本実施の形態に係る入力データ生成部２０１は、例えば遺伝的アルゴリズムの評価関数を、相関値の時系列変化の大きさと定義して、入力データを生成する。このようにすることで、入力データ生成部２０１は、効果的な入力データを生成することができる。
　以上、本発明の実施の形態について説明したが、これらの実施の形態のうち、２つ以上を組み合わせて実施しても構わない。
　あるいは、これらの実施の形態のうち、１つを部分的に実施しても構わない。
　あるいは、これらの実施の形態のうち、２つ以上を部分的に組み合わせて実施しても構わない。
　なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。
＊＊＊ハードウェア構成の説明＊＊＊
　最後に、検査装置１００のハードウェア構成の補足説明を行う。
　図２に示すプロセッサ１０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）である。
　プロセッサ１０１は、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒ）等である。
　図２に示すメモリ１０２は、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）である。
　図２に示す補助記憶装置１０５は、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅ）等である。
　図２に示す出力インターフェース１０３及び入力インターフェース１０４は、データの通信処理を実行する電子回路である。
　出力インターフェース１０３及び入力インターフェース１０４は、例えば、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ　Ｉｎｔｅｒｆａｃｅ　Ｃａｒｄ）である。
　また、補助記憶装置１０５には、ＯＳ（Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ）も記憶されている。
　そして、ＯＳの少なくとも一部がプロセッサ１０１により実行される。
　プロセッサ１０１はＯＳの少なくとも一部を実行しながら、入力データ生成部２０１、相関値算出部２０２、状態遷移判定部２０３、遷移条件指定部２０５、出力部２０６及び入力部２０７の機能を実現するプログラムを実行する。
　プロセッサ１０１がＯＳを実行することで、タスク管理、メモリ管理、ファイル管理、通信制御等が行われる。
　また、入力データ生成部２０１、相関値算出部２０２、状態遷移判定部２０３、遷移条件指定部２０５、出力部２０６及び入力部２０７の処理の結果を示す情報、データ、信号値及び変数値の少なくともいずれかが、メモリ１０２、補助記憶装置１０５、プロセッサ１０１内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
　また、入力データ生成部２０１、相関値算出部２０２、状態遷移判定部２０３、遷移条件指定部２０５、出力部２０６及び入力部２０７の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記録媒体に格納されていてもよい。
　また、入力データ生成部２０１、相関値算出部２０２、状態遷移判定部２０３、遷移条件指定部２０５、出力部２０６及び入力部２０７の「部」を、「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。
　また、検査装置１００は、処理回路により実現されてもよい。処理回路は、例えば、ロジックＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）、ＧＡ（Ｇａｔｅ　Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）である。
　なお、本明細書では、プロセッサ１０１と、メモリ１０２と、プロセッサ１０１とメモリ１０２の組合せと、処理回路との上位概念を、「プロセッシングサーキットリー」という。
　つまり、プロセッサ１０１と、メモリ１０２と、プロセッサ１０１とメモリ１０２の組合せと、処理回路とは、それぞれ「プロセッシングサーキットリー」の具体例である。
　１００　検査装置、１０１　プロセッサ、１０２　メモリ、１０３　出力インターフェース、１０４　入力インターフェース、１０５　補助記憶装置、１０６　表示器インターフェース、２０１　入力データ生成部、２０２　相関値算出部、２０３　状態遷移判定部、２０４　状態遷移記憶部、２０５　遷移条件指定部、２０６　出力部、２０７　入力部、２０８　状態重複判定部、２１０　検査対象機器、２１１　処理部、２１２　入力部、２１３　出力部。

Claims (10)

  1. 　内部仕様が不明な検査対象機器に入力された入力データと、前記入力データに対する前記検査対象機器の出力データとの間の相関値を算出する相関値算出部と、
    　複数の入力データと前記複数の入力データに対する複数の出力データとに対して前記相関値算出部により算出された複数の相関値を時系列に解析して前記検査対象機器で状態遷移が発生したか否かを判定する状態遷移判定部とを有する検査装置。
  2. 　前記状態遷移判定部は、
    　相関値の時間推移において閾値以上の変化が発生しているか否かを検査し、前記相関値の時間推移において前記閾値以上の変化が発生していると判定した場合に、前記検査対象機器で状態遷移が発生したと判定する請求項１に記載の検査装置。
  3. 　前記検査装置は、更に、
    　前記閾値以上の変化が発生した相関値に対応する入力データを、状態遷移の発生条件に指定する遷移条件指定部を有する請求項２に記載の検査装置。
  4. 　前記検査装置は、更に、
    　前記状態遷移判定部により前記検査対象機器で状態遷移が発生したと判定された場合に、前記検査対象機器で状態遷移が発生した旨を記憶する状態遷移記憶部を有する請求項２に記載の検査装置。
  5. 　前記状態遷移判定部は、
    　相関値の時間推移において閾値以上の変化が発生しているか否かを判定し、
    　前記検査装置は、更に、
    　前記状態遷移判定部により相関値の時間推移において前記閾値以上の変化が発生していると判定された場合に、前記状態遷移判定部により判定された前記閾値以上の変化に類似する変化が過去に発生しているか否かを判定する状態重複判定部を有する請求項１に記載の検査装置。
  6. 　前記状態重複判定部は、
    　前記閾値以上の変化に類似する変化が過去に発生している場合に、前記検査対象機器で過去に発生した状態遷移が前記検査対象機器で再度発生したと判定する請求項５に記載の検査装置。
  7. 　前記状態遷移判定部は、
    　前記状態重複判定部により前記検査対象機器で過去に発生した状態遷移が前記検査対象機器で再度発生したと判定されていない場合に、前記検査対象機器で状態遷移が発生したと判定する請求項６に記載の検査装置。
  8. 　前記検査装置は、更に、
    　前記遷移条件指定部により状態遷移の発生条件に指定された入力データを解析して、前記検査対象機器で状態遷移を発生させやすい入力データを推定する入力データ生成部を有する請求項３に記載の検査装置。
  9. 　コンピュータが、内部仕様が不明な検査対象機器に入力された入力データと、前記入力データに対する前記検査対象機器の出力データとの間の相関値を算出し、
    　前記コンピュータが、複数の入力データと前記複数の入力データに対する複数の出力データとに対して算出された複数の相関値を時系列に解析して前記検査対象機器で状態遷移が発生したか否かを判定する検査方法。
  10. 　内部仕様が不明な検査対象機器に入力された入力データと、前記入力データに対する前記検査対象機器の出力データとの間の相関値を算出する相関値算出処理と、
    　複数の入力データと前記複数の入力データに対する複数の出力データとに対して前記相関値算出処理により算出された複数の相関値を時系列に解析して前記検査対象機器で状態遷移が発生したか否かを判定する状態遷移判定処理とをコンピュータに実行させる検査プログラム。
PCT/JP2018/020804 2018-05-30 2018-05-30 検査装置、検査方法及び検査プログラム WO2019229883A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201880093690.6A CN112204528A (zh) 2018-05-30 2018-05-30 检查装置、检查方法以及检查程序
PCT/JP2018/020804 WO2019229883A1 (ja) 2018-05-30 2018-05-30 検査装置、検査方法及び検査プログラム
JP2018555779A JP6494887B1 (ja) 2018-05-30 2018-05-30 検査装置、検査方法及び検査プログラム
US17/034,779 US20210010950A1 (en) 2018-05-30 2020-09-28 Inspection device, inspection method, and computer readable medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2018/020804 WO2019229883A1 (ja) 2018-05-30 2018-05-30 検査装置、検査方法及び検査プログラム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/034,779 Continuation US20210010950A1 (en) 2018-05-30 2020-09-28 Inspection device, inspection method, and computer readable medium

Publications (1)

Publication Number Publication Date
WO2019229883A1 true WO2019229883A1 (ja) 2019-12-05

Family

ID=65999264

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/020804 WO2019229883A1 (ja) 2018-05-30 2018-05-30 検査装置、検査方法及び検査プログラム

Country Status (4)

Country Link
US (1) US20210010950A1 (ja)
JP (1) JP6494887B1 (ja)
CN (1) CN112204528A (ja)
WO (1) WO2019229883A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7289864B2 (ja) * 2021-03-10 2023-06-12 矢崎総業株式会社 評価装置

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009193488A (ja) * 2008-02-18 2009-08-27 Nec Corp ソフトウェアテスト項目編集支援装置およびソフトウェアテスト項目編集支援方法
JP2016152048A (ja) * 2015-02-16 2016-08-22 富士通株式会社 統計的学習によるブラックボックス・ソフトウェア試験

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005354617A (ja) * 2004-06-14 2005-12-22 Matsushita Electric Ind Co Ltd Ａ／ｄ変換器試験装置及びａ／ｄ変換器の生産方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009193488A (ja) * 2008-02-18 2009-08-27 Nec Corp ソフトウェアテスト項目編集支援装置およびソフトウェアテスト項目編集支援方法
JP2016152048A (ja) * 2015-02-16 2016-08-22 富士通株式会社 統計的学習によるブラックボックス・ソフトウェア試験

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
FUKUSHIMA, HIROKUNI ET AL., IT PASSPORTS FOR BEAINNERS, 10 March 2016 (2016-03-10), pages 62, ISBN: 978-4-7741-7850-9 *
SAWADA, ATSUSHI ET AL., TECHNOLOGIES FOR DEVELOPING EMBEDDED SOFTWARE, 1 February 2011 (2011-02-01), pages 233 - 241, ISBN: 978-4-7898-4548-9 *

Also Published As

Publication number Publication date
JP6494887B1 (ja) 2019-04-03
JPWO2019229883A1 (ja) 2020-06-11
US20210010950A1 (en) 2021-01-14
CN112204528A (zh) 2021-01-08

Similar Documents

Publication Publication Date Title
JP5507176B2 (ja) ソフトウェアの信頼性を測定する方法及び装置
US11835987B2 (en) Methods and apparatus for finding long methods in code
US20080091975A1 (en) Method and system for side-channel testing a computing device and for improving resistance of a computing device to side-channel attacks
US7801298B2 (en) Apparatus and method for detecting a potential attack on a cryptographic calculation
US20100274520A1 (en) Creation of test plans
US20080276129A1 (en) Software tracing
JP2010257150A (ja) 不正処理検知装置、不正処理検知方法及びプログラム
WO2019229883A1 (ja) 検査装置、検査方法及び検査プログラム
US11422916B2 (en) Usage amount monitoring method and monitoring unit of electronic control unit for vehicle
CN114048487B (zh) 网络靶场的攻击过程评估方法、装置、存储介质及设备
JP6991415B2 (ja) 経路決定装置及び経路決定プログラム
JP7437163B2 (ja) 診断装置、診断方法およびプログラム
JP2019162254A5 (ja)
US8458523B2 (en) Meta attributes in functional coverage models
WO2020136880A1 (ja) テスト実行装置、テスト実行方法及びテスト実行プログラム
WO2020261430A1 (ja) 情報処理装置、情報処理方法及び情報処理プログラム
JP2020136949A (ja) 検知ルール群調整装置および検知ルール群調整プログラム
JP2009039953A (ja) 印刷装置
WO2022038680A1 (ja) 攻撃手段評価装置、攻撃手段評価方法、および、攻撃手段評価プログラム
US11777968B2 (en) Method and device for handling an anomaly at a control unit
JPWO2019142266A1 (ja) テストケース生成装置、テストケース生成方法およびテストケース生成プログラム
JP7259436B2 (ja) 情報処理装置、情報処理方法、情報処理プログラム、及び情報処理システム
Paseman et al. Towards a cost-effective hardware trojan detection methodology
US20220334908A1 (en) Abnormality detection apparatus, control method, and program
JP2023020006A (ja) テスト条件決定装置及びテスト条件決定方法

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2018555779

Country of ref document: JP

Kind code of ref document: A

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18921131

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18921131

Country of ref document: EP

Kind code of ref document: A1