WO2020137743A1 - 電子制御装置、電子制御システムおよびプログラム - Google Patents

電子制御装置、電子制御システムおよびプログラム Download PDF

Info

Publication number
WO2020137743A1
WO2020137743A1 PCT/JP2019/049617 JP2019049617W WO2020137743A1 WO 2020137743 A1 WO2020137743 A1 WO 2020137743A1 JP 2019049617 W JP2019049617 W JP 2019049617W WO 2020137743 A1 WO2020137743 A1 WO 2020137743A1
Authority
WO
WIPO (PCT)
Prior art keywords
attack
message
determined
abnormality
abnormal
Prior art date
Application number
PCT/JP2019/049617
Other languages
English (en)
French (fr)
Inventor
淳一 鶴見
崇光 佐々木
Original Assignee
パナソニックＩｐマネジメント株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニックＩｐマネジメント株式会社 filed Critical パナソニックＩｐマネジメント株式会社
Priority to JP2020563136A priority Critical patent/JP7113238B2/ja
Priority to DE112019006487.8T priority patent/DE112019006487B4/de
Publication of WO2020137743A1 publication Critical patent/WO2020137743A1/ja
Priority to US17/354,687 priority patent/US11621967B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/82—Protecting input, output or interconnection devices
    • G06F21/85—Protecting input, output or interconnection devices interconnection devices, e.g. bus-connected or in-line devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/48—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for in-vehicle communication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40006—Architecture of a communication node
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle

Definitions

  • the present disclosure relates to an electronic control device, an electronic control system, and a program that execute processing for an abnormal message.
  • Patent Document 1 a network device has been proposed for detecting and preventing an attack that causes illegal data to invade a vehicle to malfunction.
  • This network device determines whether or not an abnormality has occurred when the first data having the same identifier as the reference reception data is received and the reception interval between the reception data and the first data is shorter than a predetermined cycle. Make a decision. In this determination, the network device has determined that the abnormality has occurred when the second data having the same identifier as the first data is received within a predetermined period from the reception time of the reference reception data. judge.
  • the network device of Patent Document 1 has a problem that the determination of the event occurring in the vehicle-mounted network is not sufficient.
  • the present disclosure provides an electronic control device and the like that can more accurately determine an event that occurs in a network mounted on a moving body such as a vehicle.
  • An electronic control device includes a receiving unit that receives a plurality of first messages transmitted from a first device included in a network mounted on a mobile body, and a receiving unit that receives the first message.
  • a receiving unit that receives a plurality of first messages transmitted from a first device included in a network mounted on a mobile body.
  • a recording medium such as a system, a method, an integrated circuit, a computer program or a computer-readable CD-ROM, and the system, the method, the integrated circuit, the computer program. It may be realized by any combination of the recording medium and the recording medium.
  • the electronic control device of the present disclosure can more accurately determine an event that occurs in a network mounted on a mobile body.
  • FIG. 1 is a diagram showing a configuration example of a communication system including an in-vehicle network according to the embodiment.
  • FIG. 2 is a block diagram showing an example of the configuration of the attack detection device according to the embodiment.
  • FIG. 3 is a diagram showing causes of abnormalities and their characteristics.
  • FIG. 4 is a flowchart showing an example of the overall processing operation of the attack detection device in the embodiment.
  • FIG. 5 is a flowchart showing a specific example of the processing operation of the attack determination unit in the embodiment.
  • FIG. 6 is a flowchart showing another specific example of the processing operation of the attack determination unit in the embodiment.
  • FIG. 7 is a flowchart showing another example of the overall processing operation of the attack detection device in the embodiment.
  • the first function is a function to prevent a known attack.
  • the second function is a function of detecting an attack or its sign.
  • the third function is a function for updating the first function and the second function.
  • the server monitors many vehicles and analyzes the abnormalities of those vehicles, it is expected that many abnormality notifications will be sent to the server.
  • the communication network for example, the Internet
  • the communication network that connects the server and the vehicle may become tight. Therefore, regarding the notification from the vehicle to the server, it is desirable that only the notification about the attack arrives without omission.
  • the above-mentioned network device of Patent Document 1 detects anomalies for detecting and preventing fraud, but does not judge whether or not the cause of the detected anomalies is an attack. In other words, the cause of the abnormality is treated only as an attack. As described above, in the conventionally proposed method for detecting an abnormality for a vehicle network, it is not classified whether the cause of the abnormality is an attack or a failure that is not an attack.
  • the cause of the abnormality is a failure, it is necessary to identify and replace the part that is the abnormality. If the cause of the anomaly is an attack, it is necessary to identify the attack route and method, and consider countermeasures against the attack. If you mistakenly determine that the cause of the abnormality is an attack, even if it is a fault, it will be difficult to identify the attack route and method, and even if you identify them, the abnormality should be resolved. I can't. Further, if the malfunction is erroneously determined to be a failure even though the cause of the malfunction is an attack, the same malfunction may occur again even if the parts are replaced.
  • an electronic control device receives a plurality of first messages transmitted from a first device included in a network mounted on a mobile body. Section and one of the plurality of first messages received by the receiving unit is determined to be abnormal, it is determined whether the cause of the abnormality is an attack on the network, And a determination unit that outputs a determination result as to whether or not it is an attack.
  • the first message when the first message is determined to be abnormal, it is further determined whether or not the cause of the abnormality in the first message is an attack, so that the event occurring in the network can be determined more accurately.
  • appropriate measures can be taken against the abnormality. Specifically, if the cause of the abnormality is a failure, the abnormality can be properly eliminated by replacing the failed component. Further, if the cause of the abnormality is an attack, the abnormality can be appropriately eliminated by identifying the attack route and method and dealing with the attack.
  • the determination unit may further output information indicating that the first device may have a failure.
  • the cause of the abnormality is not an attack, information indicating that there is a possibility of failure is output, so that the abnormality can be appropriately eliminated by, for example, replacing the failed component.
  • the determination unit is configured such that the first data amount transmitted per unit time of the plurality of first messages is the second data amount transmitted per unit time of the plurality of normal first messages. It may be determined that the cause of the abnormality is an attack when it is determined that the first data amount is increasing.
  • the determination unit determines whether or not the abnormal first message and the normal first message are mixed in the plurality of first messages, and when it is determined that they are mixed. Alternatively, it may be determined that the cause of the abnormality is an attack.
  • the determining unit may determine that the second message related to the first message determined to be abnormal is determined to be abnormal from the second device included in the network. If it is determined that the second message that has been determined to be abnormal is transmitted, it is determined that the cause of the abnormality is an attack. You may.
  • the determination unit may be configured such that a third message transmitted from outside the mobile body to the network when the mobile body is not moving is transmitted to the network when the mobile body is moving. It may be determined that the cause of the abnormality is an attack when it is determined that the third message is transmitted. Alternatively, the determination unit determines whether or not the first message determined to be abnormal is transmitted when the transmission of the first message is stopped by the diagnostic packet, and the determination is made to be abnormal. When it is determined that the first message has been transmitted, it may be determined that the cause of the abnormality is an attack.
  • the determination unit determines whether at least one characteristic that appears due to an attack has appeared on the network within a predetermined time, and if it is determined that the at least one characteristic has appeared, the abnormality is determined. May be determined to be an attack.
  • the determination unit may further specify the type of the attack. For example, the determination unit may determine that the first data amount transmitted per unit time of the plurality of first messages is the second data amount transmitted per unit time of the plurality of normal first messages. If it is determined that the number of attacks is increasing, the attack type may be specified as an additional type attack in which an abnormal message is added to a normal message. Further, when it is determined that the abnormal first message and the normal first message are mixed in the plurality of first messages, the determining unit determines that the normal message is the type of the attack. May be identified as an additional attack that adds an abnormal message to.
  • the determination unit is configured such that a second message transmitted from outside the mobile body to the network when the mobile body stops moving is transmitted to the network when the mobile body is moving.
  • the attack type may be specified as a replacement-type attack that replaces a normal message with an abnormal message.
  • the determination unit determines that the first message that has been determined to be abnormal is transmitted while the transmission of the first message is stopped by the diagnostic packet. It may be specified as a replacement-type attack that replaces a normal message with an abnormal message.
  • an electronic control system includes a receiving unit that receives a plurality of messages transmitted from a device included in a network mounted on a mobile body, and the plurality of messages received by the receiving unit.
  • An abnormality determining unit that determines whether or not is an abnormality, and if any of the plurality of messages received by the receiving unit is determined to be abnormal by the abnormality determining unit,
  • An attack determination device that determines whether or not the cause of the abnormality is an attack on the network and outputs a determination result as to whether or not the abnormality is the attack.
  • the cause of the message abnormality is an attack, so that the event occurring in the network can be determined more accurately. That is, it is possible to determine whether the cause of the abnormality is an attack or a cause other than the attack such as a failure or a bug. As a result, appropriate measures can be taken against the abnormality. Specifically, if the cause of the abnormality is a failure, the abnormality can be properly eliminated by replacing the failed component. Further, if the cause of the abnormality is an attack, the abnormality can be appropriately eliminated by identifying the attack route and method and dealing with the attack.
  • a recording medium such as a system, a method, an integrated circuit, a computer program or a computer-readable CD-ROM, and the system, the method, the integrated circuit, the computer program.
  • a recording medium such as a system, a method, an integrated circuit, a computer program or a computer-readable CD-ROM, and the system, the method, the integrated circuit, the computer program.
  • it may be realized by any combination of recording media.
  • each of the embodiments described below shows a comprehensive or specific example. Numerical values, shapes, materials, constituent elements, arrangement positions and connection forms of constituent elements, steps, order of steps, and the like shown in the following embodiments are examples, and are not intended to limit the present disclosure. Further, among the constituent elements in the following embodiments, the constituent elements that are not described in the independent claim indicating the highest concept are described as arbitrary constituent elements. In addition, each drawing is a schematic diagram and is not necessarily strictly illustrated. Further, in each drawing, the same reference numerals are given to the same constituent members.
  • FIG. 1 is a diagram showing a configuration example of a communication system including an in-vehicle network according to the present embodiment.
  • This communication system includes an in-vehicle network 100, a server 200, and a diagnostic device 300.
  • the in-vehicle network 100 is mounted on a vehicle 1 such as an automobile and controls, for example, the traveling of the vehicle 1.
  • a vehicle network 100 is a network system including a plurality of ECUs (Electronic Control Units) connected to each other via a bus (that is, a network bus).
  • a plurality of ECUs communicate with each other according to a CAN (Controller Area Network) protocol defined by ISO11898. That is, each of the plurality of ECUs transmits and receives CAN frames.
  • CAN Controller Area Network
  • the data frame of these types is hereinafter referred to as a message (or CAN message).
  • the server 200 communicates with the in-vehicle network 100 via a communication network outside the vehicle 1 such as the Internet.
  • the server 200 collects the information transmitted from the vehicle-mounted network 100, for example, as a log, and analyzes the log.
  • the diagnostic device 300 is used to diagnose the in-vehicle network 100. Specifically, the diagnostic device 300 diagnoses the in-vehicle network 100 when the vehicle 1 is stopped. At this time, the diagnostic device 300 transmits a diagnostic packet for stopping the processing of each ECU included in the in-vehicle network 100 as a diagnostic message into the in-vehicle network 100. Then, the diagnostic device 300 diagnoses the in-vehicle network 100 by transmitting a message to the in-vehicle network 100 instead of the stopped ECU and monitoring the processing of each ECU for the message.
  • the in-vehicle network 100 includes a first ECU 110, a second ECU 120, and a communication ECU 130 as a plurality of ECUs connected to each other via a bus, and further, the attack detection device 140. Equipped with.
  • the vehicle-mounted network 100 includes three ECUs, but the number of the ECUs is not limited to three, and may be two or four or more. ..
  • Each of the first ECU 110 and the second ECU 120 is a device for controlling the vehicle 1, such as accelerator, brake, or steering of the vehicle 1.
  • the communication ECU 130 communicates with the server 200 via a communication network outside the vehicle 1, for example. Therefore, each ECU other than the communication ECU included in the vehicle-mounted network 100 and the attack detection device 140 can communicate with the server 200 via the communication ECU.
  • each of the ECUs has, in terms of hardware, a digital circuit such as a processor (that is, a microprocessor) and a memory, an analog circuit, or a communication circuit. It is a device including such.
  • the memory is a ROM (Read Only Memory), a RAM (Random Access Memory), or the like, and can store a program executed by the processor (that is, software or a computer program).
  • Each ECU realizes various functions for controlling the vehicle 1, for example, by the processor operating according to a program.
  • the program is configured by combining a plurality of instruction codes indicating instructions to the processor in order to achieve a predetermined function.
  • the attack detection device 140 is a device that detects an attack on the vehicle-mounted network 100 or the vehicle 1 including the vehicle-mounted network 100, and is also called an electronic control system. Further, the attack detection device 140 may be configured as an ECU, and if the in-vehicle network 100 includes a gateway, the attack detection device 140 may be provided in the gateway. Although the attack detection device 140 is provided in the in-vehicle network 100 in the present embodiment, it may be provided in the server 200.
  • the attack detection device 140 receives a message flowing on the bus of the vehicle-mounted network 100, and determines whether the message is abnormal. Further, when the attack detection device 140 determines that the message is abnormal, the attack detection device 140 further determines whether the cause of the abnormality is an attack on the vehicle-mounted network 100.
  • FIG. 2 is a block diagram showing an example of the configuration of the attack detection device 140 according to the present embodiment.
  • the attack detection device 140 includes an abnormality determination unit 141, an attack determination unit 142, and a transmission/reception unit 143.
  • the transmitting/receiving unit 143 receives a message transmitted from each of the first ECU 110, the second ECU 120, and the communication ECU 130 via the bus. Further, the transmission/reception unit 143 transmits information based on the processing results of the abnormality determination unit 141 and the attack determination unit 142 via the bus. This information may be transmitted to the server 200 via the communication ECU 130 and the communication network, for example.
  • the abnormality determination unit 141 determines whether or not the message received by the transmission/reception unit 143 is abnormal.
  • the attack determination unit 142 determines whether or not the cause of the abnormality of the message determined to be abnormal by the abnormality determination unit 141 is an attack on the in-vehicle network 100. For example, when the attack determination unit 142 determines that the cause of the abnormality is an attack, the attack determination unit 142 notifies the user, the server 200, or at least one device in the vehicle-mounted network 100 that the attack is occurring.
  • the attack determination unit 142 may notify the user of the vehicle 1 of the attack by displaying a text message on the display device of the vehicle 1.
  • the text message is, for example, "There is a possibility of being attacked, so please stop and check the software update”.
  • the attack determination unit 142 transmits to the server 200 a log of a message determined to be abnormal by the attack and a log of another message related to the message, thereby indicating that the server 200 is under attack. May be notified.
  • the attack determination unit 142 transmits a signal for restricting or degenerating the operation of the vehicle 1 to at least one device in the vehicle-mounted network 100 via the bus to at least notify that it is under attack. You may notify one device. Accordingly, at least one device in the vehicle-mounted network 100 controls the vehicle 1 so that the vehicle 1 is slowly decelerated and the vehicle 1 is stopped at a place where parking is possible.
  • the attack determination unit 142 may notify the user, the server 200, or at least one device in the vehicle-mounted network 100 that a failure has occurred. For example, the display device of the vehicle 1 notifies the user of the vehicle 1 that a failure has occurred by displaying a text message.
  • the text message is, for example, "the vehicle may be out of order, so ask the car dealer to maintain the vehicle". That is, in the present embodiment, when the attack determination unit 142 determines that the cause of the abnormality is not an attack, it indicates that the device such as the first ECU 110 or the second ECU 120 may have a failure. Information may be output. As a result, if the cause of the abnormality is not an attack, information indicating that there is a possibility of failure is output, so that the abnormality can be appropriately eliminated by, for example, replacing the failed component.
  • an electronic control device is configured from the transmission/reception unit 143 and the attack determination unit 142. That is, this electronic control device may be provided in the attack detection device 140 together with the abnormality determination unit 141 as in the present embodiment, or may be provided in a device different from the device having the abnormality determination unit 141. Good. Further, the abnormality determination unit 141 may be included in one of the in-vehicle network 100 and the server 200, and the electronic control device may be included in the other. Therefore, in the present embodiment, whether the electronic control device and the abnormality determination unit 141 are provided in one device or separately provided in two different devices, the electronic control device and the abnormality determination unit 141 are provided. The system consisting of is called an electronic control system.
  • the electronic control device includes a transceiver unit 143 that receives a plurality of first messages transmitted from the first ECU 110 included in the vehicle-mounted network 100, and a plurality of transceiver units that are received by the transceiver unit 143. If any one of the first messages is determined to be abnormal, it is determined whether or not the cause of the abnormality is an attack on the vehicle-mounted network 100, and a determination result of whether or not the attack is output. And an attack determination unit 142 that does. If the second message transmitted from the second ECU 120 is determined to be abnormal instead of the first message, the attack determination unit 142 determines that the cause of the abnormality in the second message is the vehicle-mounted condition.
  • the device that transmits the determination target message may be the first ECU 110, the second ECU 120, or another device included in the in-vehicle network 100. Further, in the above example, the output of the determination result as to whether or not the attack is performed is performed as a notification to the user of the vehicle 1, the server 200, or at least one device in the in-vehicle network 100.
  • the message when the message is determined to be abnormal, it is further determined whether or not the cause of the message abnormality is an attack, so that the event occurring in the vehicle-mounted network 100 can be determined more accurately. That is, it is possible to determine whether the cause of the abnormality is an attack or a cause other than the attack such as a failure or a bug. As a result, appropriate measures can be taken against the abnormality. Specifically, if the cause of the abnormality is a failure, the abnormality can be properly eliminated by replacing the failed component. Further, if the cause of the abnormality is an attack, the abnormality can be appropriately eliminated by identifying the attack route and method and dealing with the attack.
  • FIG. 3 is a diagram showing causes of abnormalities and their characteristics.
  • the causes of abnormalities include attacks and causes other than attacks. Further, there are two types of attacks, for example.
  • the first type is an additional type attack (hereinafter referred to as an additional attack) that adds an abnormal first message to a normal message. That is, in the first type of attack, abnormal messages are added to a network in which normal messages are periodically transmitted.
  • the second type is a replacement-type attack (hereinafter referred to as replacement attack) that replaces a normal message with an abnormal message. That is, in the second type of attack, normal messages are stopped from flowing periodically to the network, and abnormal messages are periodically sent to the network instead of the normal messages.
  • causes other than the attack include, for example, a failure and a bug.
  • the additional attack has three characteristics.
  • the first feature (hereinafter also referred to as attack feature 1) is that the amount of data increases. When a normal message is periodically transmitted to the network, an abnormal message is further transmitted to the network, which increases the amount of data per unit time.
  • the second characteristic (hereinafter, also referred to as attack characteristic 2) is that normal messages and abnormal messages are mixed in the same time zone. For example, normal messages and abnormal messages are transmitted alternately.
  • the third characteristic (hereinafter, also referred to as attack characteristic 4) is that abnormalities occur simultaneously in a plurality of types of related messages. When attacked, it is rare that only one type of abnormal message will occur independently.
  • an abnormality occurs at the same time in the data of the message for controlling the steering angle and the data of the message for notifying the vehicle speed.
  • the abnormalities occur simultaneously in a plurality of types of messages that are related to each other.
  • the message type may be defined by an ID (specifically, CAN-ID) included in the message. Further, the types of messages related to each other may be predetermined.
  • the replacement attack has three characteristics.
  • the first feature (hereinafter, also referred to as attack feature 3) is that the above-mentioned diagnostic packet flows to the network as a diagnostic message even when the vehicle is traveling. That is, when the diagnostic packet flows in the in-vehicle network of the vehicle that is running, the diagnostic packet is an invalid packet, and the transmission of a normal message from the ECU is illegally stopped, so that the normal message Instead, it is highly possible that an illegal message is being sent to the in-vehicle network.
  • the second characteristic (hereinafter, also referred to as attack characteristic 3a) is a characteristic associated with the attack characteristic 3, and the transmission of the message is illegally stopped by the diagnostic packet. The feature is that messages are observed.
  • the attack detection device 140 may use the attack feature 3 to determine whether the cause of the abnormality is an attack. However, the attack feature 3 is replaced with the attack feature 3a. Good. Even if the attack feature 3 is replaced with the attack feature 3a, the same effect as when the attack feature 3 is used can be obtained. In addition to the attack feature 3, the attack feature 3a may be used.
  • the third feature is that, like the third feature of the additional attack, abnormalities occur simultaneously in a plurality of types of related messages. That is, the third characteristic of the replacement attack is the same as the third characteristic of the additional attack and corresponds to the characteristic 4 of the attack.
  • the attack detection device 140 determines whether or not the cause of the abnormality is an attack by using the characteristics of such an attack.
  • FIG. 4 is a flowchart showing an example of the overall processing operation of the attack detection device 140.
  • the transmission/reception unit 143 of the attack detection device 140 receives the message flowing on the bus (step S110).
  • the abnormality determination unit 141 determines whether the message received by the transmission/reception unit 143 is abnormal (step S120). For example, the abnormality determination unit 141 determines that the determination target message is abnormal when the numerical value indicated by the determination target message or the amount of change in the numerical value is larger or smaller than the specified number.
  • the amount of change in the numerical value indicated by the determination target message is, for example, the same type as the determination target message, and the numerical value indicated by the message transmitted before the determination target message and the determination thereof. It is the difference from the numerical value of the target message.
  • the abnormality determination unit 141 may determine whether or not the determination target message is abnormal based on the transmission cycle of the message of the same type as the determination target message. For example, the abnormality determination unit 141 determines that the message to be determined is abnormal when the transmission cycle is shorter or longer than the specified cycle.
  • the attack determination unit 142 determines whether the cause of the abnormality is an attack (step S130). For example, the abnormality determination unit 141 determines whether or not the cause of the abnormality is an attack based on the attack characteristics 1 to 4 shown in FIG.
  • the attack determination unit 142 determines that the cause of the abnormality is an attack (Yes in step S130), the attack determination unit 142 indicates that the user is under attack, the server 200, or at least one device in the vehicle-mounted network 100. (Step S140).
  • the attack determination unit 142 determines that the cause of the abnormality is not an attack (No in step S130)
  • the attack determination unit 142 notifies the user, the server 200, or at least one device in the vehicle-mounted network 100 that the abnormality has occurred. Yes (step S150).
  • the attack determination unit 142 may notify that the cause of the abnormality is not an attack, that is, that there is a failure or a bug.
  • the transmission/reception unit 143 determines whether or not the reception of the message should be ended (step S160). For example, when the termination condition is satisfied, such as when the power supply of the vehicle-mounted network 100 is turned off, the transmission/reception unit 143 terminates the reception of the message. On the other hand, if the ending condition is not satisfied, the transmission/reception unit 143 repeats the processing from step S110.
  • the attack determination unit 142 uses the attack characteristics 1 to 4 shown in FIG. 3 when determining whether or not the cause of the abnormality is an attack in step S130.
  • the attack determination unit 142 may use the attack feature 1, that is, the increase in the amount of data.
  • the message determined to be abnormal is the first message, for example, the message transmitted from the first ECU 110.
  • each of the plurality of first messages including the first message determined to be abnormal is sequentially transmitted via the bus.
  • each of the plurality of first messages is of the same type, for example. That is, each of the plurality of first messages has the same ID.
  • the attack determination unit 142 determines that the first data amount transmitted per unit time of the plurality of first messages is equal to the second data amount transmitted per unit time of the plurality of normal first messages. It is judged from the amount of data whether it is increasing or not. Then, the attack determination unit 142 determines that the cause of the abnormality is an attack when it is determined that the first data amount is increasing.
  • the attack determination unit 142 integrates each data amount of at least one first message received by the transmission/reception unit 143 within a unit time after the abnormal first message is received by the transmission/reception unit 143. .. As a result, the first data amount is calculated. The first data amount also includes the data amount of the abnormal first message. Then, the attack determination unit 142 compares the first data amount with the second data amount, and when the first data amount is larger than the second data amount, the first data amount is increased. Judge that there is. The second data amount may be a predetermined data amount. Further, the unit time may be equal to or longer than the transmission cycle of the normal first message.
  • the attack determination unit 142 may use the feature 2 of the attack, that is, the fact that a normal message and an abnormal message are mixed as the data change. Specifically, the attack determination unit 142 determines whether or not the abnormal first message and the normal first message are mixed in the plurality of first messages, and they are mixed. If it is determined that the cause of the abnormality is an attack.
  • the attack determination unit 142 determines whether or not the abnormal first message is received by the transmission/reception unit 143 within a predetermined period from the reception of the normal first message by the transmission/reception unit 143. To do. At this time, the attack determining unit 142 determines that the abnormal first message is mixed when the transmitting/receiving unit 143 receives the abnormal first message, and determines that the abnormal first message is not received by the transmitting/receiving unit 143. Judge that they are not mixed.
  • the predetermined period may be equal to or longer than the transmission cycle of the normal first message.
  • the attack determination unit 142 may also use attack feature 3, that is, observation of a diagnostic packet.
  • the observation of the diagnostic packet means that the diagnostic packet is observed as a diagnostic message while the vehicle 1 is traveling.
  • the attack determination unit 142 determines that the third message, which is the above-mentioned diagnostic message transmitted from the outside of the vehicle 1 to the in-vehicle network 100 when the vehicle 1 is not moving. It is determined whether or not it is being transmitted to the in-vehicle network 100 during the time. Then, the attack determination unit 142 determines that the cause of the abnormality is an attack when it is determined that the third message is transmitted while the vehicle 1 is moving.
  • the attack determination unit 142 acquires information regarding the vehicle speed from the device of the vehicle 1 and determines whether or not the vehicle 1 is traveling based on the information. Then, the attack determination unit 142 determines that the cause of the abnormality is an attack when the third message is received by the transmission/reception unit 143 when it is determined that the vehicle 1 is traveling based on the information. judge.
  • the attack determination unit 142 may use the attack feature 3a. Specifically, the attack determination unit 142 determines whether or not the first message determined to be abnormal is transmitted when the transmission of the first message is stopped by the diagnostic packet, and determines that the abnormality is abnormal. When it is determined that the transmitted first message is transmitted, it is determined that the cause of the abnormality is an attack.
  • the attack determination unit 142 may also use attack feature 4, that is, simultaneous occurrence.
  • the simultaneous occurrence means that abnormalities occur simultaneously in a plurality of types of messages (or data) related to each other.
  • the attack determination unit 142 determines that the second ECU 120 included in the in-vehicle network 100 determines that the second message related to the first message determined to be abnormal is abnormal. It is determined whether or not it is transmitted in the same time zone as the first message. Then, when the attack determination unit 142 determines that the second message determined to be abnormal is transmitted, it determines that the cause of the abnormality is an attack.
  • the second message is received by the transmitting/receiving unit 143 within a predetermined time after the abnormal first message is received by the transmitting/receiving unit 143.
  • the attack determination unit 142 determines that the second message is associated with the first message. Judge that there is. Then, when the abnormality determining unit 141 determines that the second message is abnormal, the attack determining unit 142 determines that the cause of the abnormality is an attack.
  • the attack determination unit 142 may specify the type of attack using any two of the attack features 1 to 4 shown in FIG. 3 and may make a notification according to those types.
  • FIG. 5 is a flowchart showing a specific example of the processing operation of the attack determination unit 142.
  • the attack determination unit 142 determines in step S130 whether the attack feature 1 has appeared, that is, whether the amount of data has increased (step S131).
  • the attack determination unit 142 determines that the amount of data is increasing (Yes in step S131)
  • the cause of the abnormality is an attack and identifies the type of the attack as an additional attack.
  • the attack determination unit 142 notifies the user, the server 200, or at least one device in the vehicle-mounted network 100 of the additional attack in step S140 (step S141).
  • step S131 determines whether the attack feature 3 appears, that is, whether the diagnostic packet is observed (step S131). S132).
  • the attack determination unit 142 determines that the diagnostic packet is observed (Yes in step S132)
  • the cause of the abnormality is an attack and identifies the type of the attack as a replacement attack.
  • step S140 the attack determination unit 142 notifies the user, the server 200, or at least one device in the vehicle-mounted network 100 of the replacement attack (step S142).
  • FIG. 6 is a flowchart showing another specific example of the processing operation of the attack determination unit 142.
  • the attack determination unit 142 determines in step S130 whether or not the attack feature 2 has appeared, that is, whether or not a mixture of a normal message and an abnormal message has occurred as a data change (step S133). ..
  • the attack determination unit 142 determines that the mixture has occurred (Yes in step S133)
  • the cause of the abnormality is an attack
  • the type of the attack is identified as an additional attack.
  • the attack determination unit 142 notifies the user, the server 200, or at least one device in the vehicle-mounted network 100 of the additional attack in step S140 (step S141).
  • step S133 when the attack determination unit 142 determines that the mixture does not occur (No in step S133), the attack determination unit 142 determines whether the attack feature 3 appears, that is, whether the diagnostic packet is observed (step S132). ..
  • the attack determination unit 142 determines that the diagnostic packet is observed (Yes in step S132), the cause of the abnormality is an attack and identifies the type of the attack as a replacement attack.
  • the attack determination unit 142 notifies the user, the server 200, or at least one device in the in-vehicle network 100 of the replacement attack (step S142).
  • FIG. 7 is a flowchart showing another example of the overall processing operation of the attack detection device 140.
  • the same processes as those shown in the flowchart shown in FIG. 4 are designated by the same reference numerals as those in FIG. 4, and detailed description thereof will be omitted.
  • the attack determination unit 142 may determine whether or not the cause of the abnormality is an attack, and when determining that the cause of the abnormality is an attack, the attack determination unit 142 may further specify the type of attack.
  • step S130a the attack determination unit 142 of the attack detection device 140 has common characteristics of the additional attack and the replacement attack. Is displayed (step S130a). That is, as shown in FIG. 7, the attack determination unit 142 determines whether or not the attack feature 4 appears, that is, a plurality of abnormal messages related to each other are simultaneously generated as a specific process of step S130 of FIG. It is determined whether or not (step S130a).
  • the attack determination unit 142 determines that the cause of the abnormality is an attack, and further, the type of the attack. Is specified (step S170). That is, the attack determination unit 142 detects which of the attack features 1 to 3 has appeared, and identifies the type according to the appeared feature as the attack type. For example, when one of the attack features 1 and 2 appears, the attack determination unit 142 identifies the additional attack corresponding to the feature as the attack type. Alternatively, when the attack feature 3 appears, the attack determination unit 142 identifies the replacement attack according to the feature 3 as the attack type.
  • each of the plurality of first messages including the first message determined to be abnormal is sequentially transmitted, and the plurality of first messages are transmitted per unit time.
  • the first amount of data is increased from the second amount of data transmitted per unit time of a plurality of normal first messages.
  • the attack determination unit 142 identifies an additional type attack in which an abnormal message is added to a normal message as the attack type in the identification of the attack type in step S170. That is, the attack determination unit 142 determines that the first data amount of the plurality of first messages transmitted per unit time is the second data amount of the plurality of normal first messages transmitted per unit time. If it is determined that the number of attacks is increasing, the attack type is identified as an additional type attack that adds an abnormal message to a normal message.
  • each of the plurality of first messages including the first message determined to be abnormal is sequentially transmitted, and the plurality of first messages include the abnormal first message and the normal first message. 1 message is mixed.
  • the attack determination unit 142 identifies an additional type attack in which an abnormal message is added to a normal message as the attack type in the identification of the attack type in step S170. That is, when it is determined that the abnormal first message and the normal first message are mixed in the plurality of first messages, the attack determination unit 142 determines that the normal message is the type of the attack. It is an additional type of attack that adds an abnormal message to.
  • the attack determination unit 142 identifies a replacement-type attack that replaces a normal message with an abnormal message as the attack type in the identification of the attack type in step S170. That is, the attack determination unit 142 sends the second message transmitted from the outside of the vehicle 1 to the in-vehicle network 100 when the vehicle 1 stops moving to the in-vehicle network 100 when the vehicle 1 is moving.
  • the attack type is identified as a replacement-type attack that replaces a normal message with an abnormal message.
  • the attack determination unit 142 determines that the first message determined to be abnormal is transmitted while the transmission of the first message is stopped by the diagnostic packet. It is identified as a replacement-type attack that replaces a specific message with an abnormal message.
  • the electronic control device and the electronic control system according to the present embodiment can more accurately determine an event that occurs in the vehicle-mounted network 100.
  • the attack determination unit 142 determines whether or not any one or two of the attack features 1 to 4 shown in FIG. It is determined whether the cause is an attack. However, the attack determination unit 142 may determine that the cause of the abnormality is an attack when three or more of the above-described features 1 to 4 appear in the same time zone. That is, the attack determination unit 142 determines whether or not at least one feature that appears due to the attack has appeared on the in-vehicle network 100 within a predetermined time, and if it is determined that the at least one feature has appeared, an abnormality occurs. It is determined that the cause is an attack. Each of the at least one feature may be any of features 1 to 4 above. Further, the attack determination unit 142 may determine that the cause of the abnormality is an attack when the same feature appears multiple times within the above-mentioned time.
  • the attack determination unit 142 determines that the cause of the abnormality is the replacement attack based on the characteristic 3 of the attack, but the cause of the abnormality is the replacement attack based on the other characteristics. May be determined. For example, as shown in FIG. 3, in the case of a replacement attack, the data (that is, the numerical value) included in the periodically transmitted message changes sharply. Therefore, the attack determination unit 142 may determine that the cause of the abnormality is a replacement attack based on such characteristics.
  • each component may be configured by dedicated hardware, or may be realized by executing a software program suitable for each component.
  • Each component may be realized by a program execution unit such as a CPU or a processor reading and executing a software program recorded in a recording medium such as a hard disk or a semiconductor memory.
  • the software that realizes the electronic control device and the electronic control system of each of the above-described embodiments causes a computer to execute the steps included in the flowcharts shown in FIGS. 4 to 7.
  • the in-vehicle network 100 is a network system based on the CAN protocol, but the CAN protocol is a derivative protocol such as TTCAN (Time-Triggered CAN) or CANFD (CAN with Flexible Data Rate). It may have a broad meaning that also includes.
  • the network used for communication between the ECUs in the vehicle is not limited to the network according to the CAN protocol, and may be another network.
  • As a protocol other than CAN, which is used in a network for the ECU to send and receive communication data for example, Ethernet (registered trademark), LIN (Local Interconnect Network), MOST (registered trademark) (Media Oriented Systems Systems), FlexRay ( (Registered trademark), Broader Reach Protocol, and the like.
  • each ECU in the above-described embodiment is a device including a digital circuit such as a processor and a memory, an analog circuit, a communication circuit, and the like, a hard disk device, a display, and other hardware components are included. You may stay. Further, in each of the devices described in the above embodiments, instead of the program stored in the memory being executed by the processor to realize the function as software, the function is realized by dedicated hardware (digital circuit or the like). Good as a matter.
  • the in-vehicle network 100 is a network system mounted on the vehicle 1, but may be mounted on a mobile body such as a construction machine other than a vehicle, an agricultural machine, a ship, a railway, an airplane, or the like.
  • the constituent elements of each device in the above-described embodiments may be configured by one system LSI (Large Scale Integration).
  • the system LSI is a super-multifunctional LSI manufactured by integrating a plurality of constituent parts on one chip, and specifically, is a computer system including a microprocessor, ROM, RAM and the like. .. A computer program is recorded in the RAM.
  • the system LSI achieves its function by the microprocessor operating according to the computer program.
  • each part of the constituent elements of each of the above-described devices may be individually made into one chip, or may be made into one chip so as to include a part or all.
  • the system LSI is used here, it may be called IC, LSI, super LSI, or ultra LSI depending on the degree of integration.
  • the method of circuit integration is not limited to LSI, and it may be realized by a dedicated circuit or a general-purpose processor.
  • An FPGA Field Programmable Gate Array
  • a reconfigurable processor that can reconfigure the connection and settings of circuit cells inside the LSI may be used.
  • integrated circuit technology comes out to replace LSI's as a result of the advancement of semiconductor technology or a derivative other technology, it is naturally also possible to carry out function block integration using this technology. The application of biotechnology is possible.
  • each of the above devices may be configured with an IC card that can be attached to and detached from each device or a single module.
  • the IC card or the module is a computer system including a microprocessor, ROM, RAM and the like.
  • the IC card or the module may include the above super-multifunctional LSI.
  • the IC card or the module achieves its function by the microprocessor operating according to the computer program. This IC card or this module may be tamper resistant.
  • an electronic control method including all or a part of the processing procedure shown in FIGS.
  • a program for realizing the processing according to the electronic control method by a computer may be used, or a digital signal including the program may be used.
  • a computer-readable recording medium that can read the computer program or the digital signal, for example, a flexible disk, a hard disk, a CD-ROM, an MO, a DVD, a DVD-ROM, a DVD-RAM, a BD. (Blu-ray (registered trademark) Disc), semiconductor memory, or the like may be used for recording. Further, it may be the digital signal recorded on these recording media.
  • the program or the digital signal may be transmitted via an electric communication line, a wireless or wired communication line, a network represented by the Internet, a data broadcast, or the like.
  • a computer system including a microprocessor and a memory may be configured such that the memory records the program and the microprocessor operates according to the program.
  • an independent other computer system can be used. You may implement.
  • the present disclosure can more accurately determine an event that occurs in a network, and can be used in, for example, a network in which control is performed according to the CAN protocol.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

車両などの移動体に搭載されたネットワークに生じる事象をより正確に判定することができる電子制御装置は、車載ネットワーク（１００）に含まれる第１のＥＣＵ（１１０）から送信された複数の第１のメッセージを受信する送受信部（１４３）と、送受信部（１４３）によって受信された複数の第１のメッセージの何れかが異常と判定された場合に、その異常の原因が、車載ネットワーク（１００）への攻撃であるか否かを判定する攻撃判定部（１４２）とを備える。

Description

電子制御装置、電子制御システムおよびプログラム
　本開示は、異常なメッセージに対する処理を実行する電子制御装置、電子制御システムおよびプログラムに関する。
　従来、車載ネットワークなどのネットワークシステムにおいて、不正なデータを侵入させて車両を誤動作させる攻撃を検知して防御するためのネットワーク装置が提案されている（特許文献１参照）。
　このネットワーク装置は、基準とする受信データと同じ識別子を持つ第１のデータが受信され、その受信データと第１のデータの受信間隔が所定周期より短い場合に、異常が発生したか否かの判定を行う。この判定では、ネットワーク装置は、基準とする受信データの受信時間から所定周期経過するまでに、第１のデータと同一の識別子を持つ第２のデータが受信されたときに、異常が発生したと判定する。
特開２０１４－１４６８６８号公報
　しかしながら、上記特許文献１のネットワーク装置では、車載ネットワークに生じる事象の判定が十分ではないという課題がある。
　そこで、本開示は、車両などの移動体に搭載されたネットワークに生じる事象をより正確に判定することができる電子制御装置などを提供する。
　本開示の一態様に係る電子制御装置は、移動体に搭載されたネットワークに含まれる第１の装置から送信された複数の第１のメッセージを受信する受信部と、前記受信部によって受信された前記複数の第１のメッセージのいずれかが異常と判定された場合に、前記異常の原因が、前記ネットワークへの攻撃であるか否かを判定し、前記攻撃であるか否かの判定結果を出力する判定部と、を備える。
　なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。
　本開示の電子制御装置は、移動体に搭載されたネットワークに生じる事象をより正確に判定することができる。
図１は、実施の形態における車載ネットワークを含む通信システムの構成例を示す図である。 図２は、実施の形態における攻撃検知装置の構成の一例を示すブロック図である。 図３は、異常の原因とその特徴を示す図である。 図４は、実施の形態における攻撃検知装置の全体的な処理動作の一例を示すフローチャートである。 図５は、実施の形態における攻撃判定部の処理動作の具体的な例を示すフローチャートである。 図６は、実施の形態における攻撃判定部の処理動作の具体的な他の例を示すフローチャートである。 図７は、実施の形態における攻撃検知装置の全体的な処理動作の他の例を示すフローチャートである。
　（本開示の基礎となった知見）
　近年、渋滞情報および道路情報などを取得するためにインターネットに接続される車両が増加している。しかし、このような車両では、サイバー攻撃を受ける可能性がある。このようなサイバー攻撃では、攻撃者は、例えば不正な装置を車載ネットワークに接続する等により車載ネットワークにアクセスして不正なメッセージを送信することで、車載ネットワークのＥＣＵのファームウェアの不正な書き換え、または、そのＥＣＵを通じて車内の各種アクチュエータの不正制御等を行う。このようなサイバー攻撃（以下、攻撃という）に対する対策には、一般に、以下の３つの機能が必要である。１つ目の機能は、既知の攻撃を防御する機能である。２つ目の機能は、攻撃またはその兆候を検知する機能である。３つ目の機能は、１つ目の機能および２つ目の機能を更新する機能である。ここで、新しい攻撃に対して、その攻撃の検知および防御を行うためには、つまり３つ目の機能を実現するためには、どのような経路または手法を用いてその新しい攻撃が行われるのかを解析する必要がある。
　しかし、例えばサーバが多数の車両を監視してそれらの車両の異常を解析する場合、多くの異常通知がサーバに送信されることが予想される。その結果、サーバと車両とを接続する通信ネットワーク（例えばインターネット）が逼迫する可能性がある。そこで、車両からサーバへの通知は、攻撃についての通知のみが漏れなく届くことが望ましい。
　上記特許文献１のネットワーク装置では、不正の検出と防御のために異常を検知しているが、検知した異常の原因が攻撃か否かを判定していない。つまり、異常の原因は攻撃のみとして扱われている。このように、従来提案されている車両のネットワーク向けの異常検知の手法では、異常の原因が攻撃なのか、攻撃ではない故障なのかが、分類されていない。
　例えば、異常の原因が故障である場合、その異常とされる部品を特定して交換する必要がある。また、異常の原因が攻撃である場合、その攻撃の経路および手法の特定と、その攻撃に対する対策を検討する必要がある。ここで、異常の原因が故障であるにも関わらず攻撃であると誤って判断してしまうと、攻撃の経路および手法の特定が難航し、仮にそれらを特定したとしても、異常を解消することができない。また、異常の原因が攻撃であるにも関わらず故障であると誤って判断してしまうと、部品を交換しても同じ異常が再び発生するという問題が生じ得る。
　このような問題を解決するために、本開示の一態様に係る電子制御装置は、移動体に搭載されたネットワークに含まれる第１の装置から送信された複数の第１のメッセージを受信する受信部と、前記受信部によって受信された前記複数の第１のメッセージのいずれかが異常と判定された場合に、前記異常の原因が、前記ネットワークへの攻撃であるか否かを判定し、前記攻撃であるか否かの判定結果を出力する判定部と、を備える。
　これにより、第１のメッセージが異常と判定された場合には、さらに、その第１のメッセージの異常の原因が攻撃か否かが判定されるため、ネットワークに生じる事象をより正確に判定することができる。つまり、異常の原因が、攻撃であるのか、あるいは、例えば故障またはバグなどの攻撃以外の原因であるのかを判定することができる。その結果、その異常に対して適切な対策を図ることができる。具体的には、異常の原因が故障であれば、故障している部品を交換することによって、異常を適切に解消することができる。また、異常の原因が攻撃であれば、攻撃の経路および手法を特定して対処することによって、異常を適切に解消することができる。
　また、前記判定部は、前記異常の原因が攻撃ではないと判定した場合には、さらに、前記第１の装置は故障の可能性があることを示す情報を出力してもよい。これにより、異常の原因が攻撃でなければ、故障の可能性があることを示す情報が出力されるため、例えば故障している部品を交換することによって、異常を適切に解消することができる。
　また、前記判定部は、前記複数の第１のメッセージの単位時間あたりに送信された第１のデータ量が、複数の正常な第１のメッセージの単位時間あたりに送信された第２のデータ量から増加しているか否かを判断し、前記第１のデータ量が増加していると判断された場合に、前記異常の原因が攻撃であると判定してもよい。
　これにより、正常なメッセージに対して異常なメッセージを追加する攻撃の特徴が現れたか否かが判断されるため、そのような攻撃を異常の原因として適切に判定することができる。
　また、前記判定部は、前記複数の第１のメッセージに、異常な第１のメッセージと正常な第１のメッセージとが混在しているか否かを判断し、混在していると判断された場合に、前記異常の原因が攻撃であると判定してもよい。
　これにより、正常なメッセージに対して異常なメッセージを追加する攻撃の特徴が現れたか否かが判断されるため、そのような攻撃を異常の原因として適切に判定することができる。
　また、前記判定部は、異常と判定された前記第１のメッセージに関連する異常と判定された第２のメッセージが、前記ネットワークに含まれる第２の装置から、異常と判定された前記第１のメッセージと共に同一の時間帯に送信されているか否かを判断し、異常と判定された前記第２のメッセージが送信されていると判断された場合に、前記異常の原因が攻撃であると判定してもよい。
　これにより、攻撃の特徴が現れたか否かが判断されるため、攻撃を異常の原因として適切に判定することができる。
　また、前記判定部は、前記移動体が移動していないときに前記移動体の外から前記ネットワークに送信される第３のメッセージが、前記移動体が移動しているときに前記ネットワークに送信されているか否かを判断し、前記第３のメッセージが送信されていると判断された場合に、前記異常の原因が攻撃であると判定してもよい。または、前記判定部は、診断パケットによって第１のメッセージの送信が停止されているときに、異常と判定された前記第１のメッセージが送信されたか否かを判断し、異常と判定された前記第１のメッセージが送信されたと判断された場合に、前記異常の原因が攻撃であると判定してもよい。
　これにより、正常なメッセージを異常なメッセージに差し替える攻撃の特徴が現れたか否かが判断されるため、そのような攻撃を異常の原因として適切に判定することができる。
　また、前記判定部は、攻撃によって現れる少なくとも１つの特徴が、予め定められた時間内に前記ネットワークに現れたか否かを判断し、前記少なくとも１つの特徴が現れたと判断された場合に、前記異常の原因が攻撃であると判定してもよい。
　これにより、より正確に攻撃を異常の原因として判定することができる。
　また、前記判定部は、前記異常の原因が攻撃であると判定した場合には、さらに、前記攻撃の種別を特定してもよい。例えば、前記判定部は、前記複数の第１のメッセージの単位時間あたりに送信された第１のデータ量が、複数の正常な第１のメッセージの単位時間あたりに送信された第２のデータ量から増加していると判断された場合、前記攻撃の種別として、正常なメッセージに対して異常なメッセージを追加する追加型の攻撃であると特定してもよい。また、前記判定部は、前記複数の第１のメッセージに、異常な第１のメッセージと正常な第１のメッセージとが混在していると判断された場合、前記攻撃の種別として、正常なメッセージに対して異常なメッセージを追加する追加型の攻撃であると特定してもよい。また、前記判定部は、前記移動体が移動を停止しているときに前記移動体の外から前記ネットワークに送信される第２のメッセージが、前記移動体が移動しているときに前記ネットワークに送信されていると判断されたとき、前記攻撃の種別として、正常なメッセージを異常なメッセージに差し替える差替え型の攻撃であると特定してもよい。または、前記判定部は、診断パケットによって第１のメッセージの送信が停止されているときに、異常と判定された前記第１のメッセージが送信されたと判断された場合、前記攻撃の種別として、正常なメッセージを異常なメッセージに差し替える差替え型の攻撃であると特定してもよい。
　これにより、ネットワークに生じる事象として判定された攻撃をより正確に判定することができる。
　また、本開示の一態様に係る電子制御システムは、移動体に搭載されたネットワークに含まれる装置から送信された複数のメッセージを受信する受信部と、前記受信部によって受信された前記複数のメッセージが異常であるか否かを判定する異常判定部と、を含む異常判定装置と、前記受信部によって受信された前記複数のメッセージのいずれかが前記異常判定部によって異常と判定された場合には、前記異常の原因が、前記ネットワークへの攻撃であるか否かを判定し、前記攻撃であるか否かの判定結果を出力する攻撃判定装置と、を備える。
　これにより、メッセージが異常と判定された場合には、さらに、そのメッセージの異常の原因が攻撃か否かが判定されるため、ネットワークに生じる事象をより正確に判定することができる。つまり、異常の原因が、攻撃であるのか、あるいは、例えば故障またはバグなどの攻撃以外の原因であるのかを判定することができる。その結果、その異常に対して適切な対策を図ることができる。具体的には、異常の原因が故障であれば、故障している部品を交換することによって、異常を適切に解消することができる。また、異常の原因が攻撃であれば、攻撃の経路および手法を特定して対処することによって、異常を適切に解消することができる。
　なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムまたは記録媒体の任意な組み合わせで実現されてもよい。
　以下、実施の形態について、図面を参照しながら具体的に説明する。
　なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。また、各図は、模式図であり、必ずしも厳密に図示されたものではない。また、各図において、同じ構成部材については同じ符号を付している。
　（実施の形態）
　図１は、本実施の形態における車載ネットワークを含む通信システムの構成例を示す図である。
　この通信システムは、車載ネットワーク１００と、サーバ２００と、診断装置３００とを備える。
　車載ネットワーク１００は、自動車などの車両１に搭載され、例えば、その車両１の走行などを制御する。このような車載ネットワーク１００は、バス（すなわち、ネットワークバス）を介して互いに接続された複数のＥＣＵ（Electronic Control Unit）を含むネットワークシステムである。複数のＥＣＵは、ＩＳＯ１１８９８で規定されているＣＡＮ（Controller Area Network）プロトコルにしたがって互い通信する。つまり、複数のＥＣＵのそれぞれは、ＣＡＮのフレームを送受信する。フレームには、データフレーム、リモートフレーム、オーバーロードフレーム、およびエラーフレームなどの種類がある。これらの種類のうちのデータフレームを、以下、メッセージ（またはＣＡＮメッセージ）という。
　サーバ２００は、例えばインターネットなどの車両１の外部にある通信ネットワークを介して車載ネットワーク１００と通信する。例えば、サーバ２００は、車載ネットワーク１００から送信される情報を例えばログとして収集し、そのログを解析する。
　診断装置３００は、車載ネットワーク１００の診断に用いられる。具体的には、診断装置３００は、車両１が停車しているときに、車載ネットワーク１００を診断する。このとき、診断装置３００は、車載ネットワーク１００に含まれる各ＥＣＵなどの処理を停止させるための診断パケットを診断メッセージとして車載ネットワーク１００内に送信する。そして、診断装置３００は、停止されているＥＣＵの代わりに、メッセージを車載ネットワーク１００内に送信し、そのメッセージに対する各ＥＣＵの処理を監視することによって、車載ネットワーク１００を診断する。
　ここで、図１に示す例では、車載ネットワーク１００は、互いにバスを介して接続された複数のＥＣＵとして、第１のＥＣＵ１１０、第２のＥＣＵ１２０、および通信ＥＣＵ１３０を備え、さらに、攻撃検知装置１４０を備える。なお、図１に示す例では、車載ネットワーク１００は、３つのＥＣＵを備えているが、そのＥＣＵの数は３つに限らず、２つであってもよく、４つ以上であってもよい。
　第１のＥＣＵ１１０および第２のＥＣＵ１２０はそれぞれ、例えば車両１のアクセル、ブレーキ、または操舵などの車両１の制御を行うための装置である。
　通信ＥＣＵ１３０は、例えば、車両１の外部にある通信ネットワークを介してサーバ２００と通信する。したがって、車載ネットワーク１００に含まれる通信ＥＣＵを除く各ＥＣＵと攻撃検知装置１４０は、その通信ＥＣＵを介してサーバ２００と通信することができる。
　なお、各ＥＣＵ（すなわち、第１のＥＣＵ１１０、第２のＥＣＵ１２０、および通信ＥＣＵ１３０）は、ハードウェア面において、例えば、プロセッサ（つまりマイクロプロセッサ）およびメモリなどのデジタル回路、アナログ回路、または、通信回路などを含む装置である。メモリは、ＲＯＭ（Read Only Memory）またはＲＡＭ（Random Access Memory）などであり、プロセッサにより実行されるプログラム（つまり、ソフトウェアまたはコンピュータプログラム）を記憶することができる。各ＥＣＵは、例えばプロセッサがプログラムに従って動作することにより、車両１の制御などのための各種機能を実現する。プログラムは、所定の機能を達成するために、プロセッサに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
　攻撃検知装置１４０は、車載ネットワーク１００、またはその車載ネットワーク１００を含む車両１への攻撃を検知する装置であって、電子制御システムともいう。また、攻撃検知装置１４０は、ＥＣＵとして構成されていてもよく、車載ネットワーク１００にゲートウェイが含まれる場合には、そのゲートウェイに備えられていてもよい。なお、本実施の形態では、攻撃検知装置１４０は車載ネットワーク１００に備えられているが、サーバ２００に備えられていてもよい。
　本実施の形態における攻撃検知装置１４０は、車載ネットワーク１００のバスに流れるメッセージを受信し、そのメッセージが異常であるか否かを判定する。また、攻撃検知装置１４０は、メッセージが異常であると判定する場合には、さらに、その異常の原因が車載ネットワーク１００への攻撃であるか否かを判定する。
　図２は、本実施の形態における攻撃検知装置１４０の構成の一例を示すブロック図である。
　攻撃検知装置１４０は、異常判定部１４１と、攻撃判定部１４２と、送受信部１４３とを備える。
　送受信部１４３は、第１のＥＣＵ１１０、第２のＥＣＵ１２０および通信ＥＣＵ１３０のそれぞれからバスを介して送信されるメッセージを受信する。また、送受信部１４３は、異常判定部１４１および攻撃判定部１４２のそれぞれの処理結果に基づく情報を、バスを介して送信する。この情報は、例えば、通信ＥＣＵ１３０および通信ネットワークを介してサーバ２００に送信されてもよい。
　異常判定部１４１は、送受信部１４３によって受信されたメッセージが異常か否かを判定する。
　攻撃判定部１４２は、異常判定部１４１によって異常と判定されたメッセージの異常の原因が車載ネットワーク１００への攻撃であるか否かを判定する。例えば、攻撃判定部１４２は、異常の原因が攻撃であると判定すると、攻撃を受けていることをユーザ、サーバ２００、または、車載ネットワーク１００内の少なくとも１つの装置に通知する。
　例えば、攻撃判定部１４２は、車両１のディスプレイ装置に文字メッセージを表示することによって、攻撃を受けていることを車両１のユーザに通知してもよい。その文字メッセージは、例えば、「攻撃を受けている可能性があるため、停車してソフトウェアのアップデートを確認してください」などである。また、攻撃判定部１４２は、その攻撃によって異常と判定されたメッセージのログと、そのメッセージに関連する他のメッセージのログとをサーバ２００に送信することによって、攻撃を受けていることをサーバ２００に通知してもよい。また、攻撃判定部１４２は、車両１の動作を制限または縮退させるための信号を、車載ネットワーク１００内の少なくとも１つの装置にバスを介して送信することによって、攻撃を受けていることをその少なくとも１つの装置に通知してもよい。これにより、車載ネットワーク１００内の少なくとも１つの装置は、例えば、車両１をゆっくり減速させ、駐車可能な場所に停車させるように、その車両１を制御する。
　また、攻撃判定部１４２は、異常の原因が攻撃でないと判定すると、故障が生じていることをユーザ、サーバ２００、または、車載ネットワーク１００内の少なくとも１つの装置に通知してもよい。例えば、車両１のディスプレイ装置は文字メッセージを表示することによって、故障が生じていることを車両１のユーザに通知する。その文字メッセージは、例えば、「車両が故障している可能性があるため、車両のメンテナンスをカーディーラーに依頼してください」などである。つまり、本実施の形態では、攻撃判定部１４２は、異常の原因が攻撃ではないと判定した場合には、第１のＥＣＵ１１０または第２のＥＣＵ１２０などの装置は故障の可能性があることを示す情報を出力してもよい。これにより、異常の原因が攻撃でなければ、故障の可能性があることを示す情報が出力されるため、例えば故障している部品を交換することによって、異常を適切に解消することができる。
　ここで、本実施の形態では、送受信部１４３および攻撃判定部１４２から電子制御装置が構成されている。つまり、この電子制御装置は、本実施の形態のように、異常判定部１４１と共に攻撃検知装置１４０に備えられていてもよく、異常判定部１４１を有する装置とは異なる装置に備えられていてもよい。また、異常判定部１４１は、車載ネットワーク１００およびサーバ２００のうちの一方に含まれ、電子制御装置は、他方に含まれていてもよい。そこで、本実施の形態では、電子制御装置および異常判定部１４１が１つの装置に備えられていても、互いに異なる２つの装置に分離されて備えられていても、電子制御装置および異常判定部１４１からなるシステムを、電子制御システムという。
　このように、本実施の形態における電子制御装置は、車載ネットワーク１００に含まれる第１のＥＣＵ１１０から送信された複数の第１のメッセージを受信する送受信部１４３と、送受信部１４３によって受信された複数の第１のメッセージのいずれかが異常と判定された場合に、その異常の原因が、車載ネットワーク１００への攻撃であるか否かを判定し、その攻撃であるか否かの判定結果を出力する攻撃判定部１４２とを備える。なお、第１のメッセージの代わりに、第２のＥＣＵ１２０から送信された第２のメッセージが異常と判定された場合には、攻撃判定部１４２は、その第２のメッセージの異常の原因が、車載ネットワーク１００への攻撃であるか否かを判定してもよい。つまり、判定対象のメッセージを送信する装置は、第１のＥＣＵ１１０であっても、第２のＥＣＵ１２０であっても、車載ネットワーク１００に含まれる他の装置であってもよい。また、攻撃であるか否かの判定結果の出力は、上述の例では、車両１のユーザ、サーバ２００、または車載ネットワーク１００内の少なくとも１つの装置への通知として行われる。
　これにより、メッセージが異常と判定された場合には、さらに、そのメッセージの異常の原因が攻撃か否かが判定されるため、車載ネットワーク１００に生じる事象をより正確に判定することができる。つまり、異常の原因が、攻撃であるのか、あるいは、例えば故障またはバグなどの攻撃以外の原因であるのかを判定することができる。その結果、その異常に対して適切な対策を図ることができる。具体的には、異常の原因が故障であれば、故障している部品を交換することによって、異常を適切に解消することができる。また、異常の原因が攻撃であれば、攻撃の経路および手法を特定して対処することによって、異常を適切に解消することができる。
　図３は、異常の原因とその特徴を示す図である。
　異常の原因には、攻撃と、攻撃以外の原因とがある。また、攻撃には、例えば２つのタイプの攻撃がある。第１のタイプは、正常なメッセージに対して異常な第１のメッセージを追加する追加型の攻撃（以下、追加攻撃という）である。つまり、第１のタイプの攻撃では、正常なメッセージが周期的に流れているネットワークに、異常なメッセージが追加される。第２のタイプは、正常なメッセージを異常なメッセージに差し替える差替え型の攻撃（以下、差替え攻撃という）である。つまり、第２のタイプの攻撃では、正常なメッセージが周期的にネットワークに流れているのを停止させて、その正常なメッセージの代わりに、異常なメッセージがそのネットワークに周期的に流される。また、攻撃以外の原因には、例えば、故障とバグなどがある。
　ここで、追加攻撃には、３つの特徴がある。１つ目の特徴（以下、攻撃の特徴１ともいう）は、データ量が増加するという特徴である。正常なメッセージが周期的にネットワークに流れているときに、異常なメッセージがさらにネットワークに流されるため、単位時間あたりのデータ量が増加する。２つ目の特徴（以下、攻撃の特徴２ともいう）は、同一の時間帯において正常なメッセージと異常なメッセージとが混在するという特徴である。例えば、正常なメッセージと異常なメッセージとが交互に送信される。３つ目の特徴（以下、攻撃の特徴４ともいう）は、互いに関連する複数種のメッセージで異常が同時に発生するという特徴である。攻撃を受ける場合には、１種類の異常なメッセージだけが単独で発生することは稀である。例えば、車両１のステアリングを不正に操舵することを目的とした攻撃では、車速を低速であると見せかけ、ステアリングホイールの操舵指示角を急に大きくすることが想定される。この場合には、操舵角を制御するためのメッセージのデータと、車速を通知するためのメッセージのデータとに異常が同時に発生する。このように、３つ目の特徴では、互いに関連する複数種のメッセージで異常が同時に発生する。なお、メッセージの種類は、そのメッセージに含まれるＩＤ（具体的にはＣＡＮ－ＩＤ）によって定義されてもよい。また、互いに関連するメッセージの種類は、予め定められていてもよい。
　また、差替え攻撃には、３つの特徴がある。１つ目の特徴（以下、攻撃の特徴３ともいう）は、車両が走行しているにも関わらず上述の診断パケットが診断用メッセージとしてネットワークに流れるという特徴である。つまり、走行している車両の車載ネットワークに診断パケットが流れる場合には、その診断パケットは不正なパケットであって、ＥＣＵからの正常なメッセージの送信が不正に停止されて、その正常なメッセージの代わりに不正なメッセージが車載ネットワークに流されている可能性が高い。また、２つ目の特徴（以下、攻撃の特徴３ａともいう）は、攻撃の特徴３に付随する特徴であって、診断パケットによってメッセージの送信が不正に停止されているにも関わらず、そのメッセージが観測されるという特徴である。なお、以下の説明では、攻撃検知装置１４０は、異常の原因が攻撃であるか否かの判定に攻撃の特徴３を用いる場合があるが、この攻撃の特徴３を攻撃の特徴３ａに置き換えてもよい。攻撃の特徴３を攻撃の特徴３ａに置き換えても、攻撃の特徴３を用いる場合と同様の効果を奏することができる。また、攻撃の特徴３に加えて攻撃の特徴３ａも用いてもよい。３つ目の特徴は、追加攻撃の３つ目の特徴と同様、互いに関連する複数種のメッセージで異常が同時に発生するという特徴である。つまり、差替え攻撃の３つ目の特徴は、追加攻撃の３つ目の特徴と同一であって、攻撃の特徴４に相当する。
　一方、攻撃以外の原因では、上述の攻撃の特徴１～４および３ａは現れないか、顕著ではない。
　そこで、本実施の形態における攻撃検知装置１４０は、このような攻撃の特徴を用いて、異常の原因が攻撃であるか否かを判定する。
　図４は、攻撃検知装置１４０の全体的な処理動作の一例を示すフローチャートである。
　攻撃検知装置１４０の送受信部１４３は、バスに流れるメッセージを受信する（ステップＳ１１０）。次に、異常判定部１４１は、その送受信部１４３によって受信されたメッセージが異常か否かを判定する（ステップＳ１２０）。例えば、異常判定部１４１は、判定対象のメッセージによって示される数値またはその数値の変化量が、規定数よりも大きいまたは小さい場合に、その判定対象のメッセージが異常であると判定する。なお、判定対象のメッセージによって示される数値の変化量とは、例えば、その判定対象のメッセージと同種類であって、その判定対象のメッセージの前に送信されたメッセージによって示される数値と、その判定対象のメッセージの数値との差である。または、異常判定部１４１は、その判定対象のメッセージと同種類のメッセージの送信周期に基づいて、その判定対象のメッセージが異常か否かを判定してもよい。例えば、異常判定部１４１は、その送信周期が規定周期よりも短いまたは長い場合に、その判定対象のメッセージが異常であると判定する。
　次に、攻撃判定部１４２は、異常判定部１４１によってそのメッセージが異常と判定されると（ステップＳ１２０のＹｅｓ）、その異常の原因が攻撃であるか否かを判定する（ステップＳ１３０）。例えば、異常判定部１４１は、図３に示す攻撃の特徴１～４に基づいて、異常の原因が攻撃であるか否かを判定する。
　ここで、攻撃判定部１４２は、異常の原因が攻撃であると判定すると（ステップＳ１３０のＹｅｓ）、攻撃を受けていることを、ユーザ、サーバ２００、または、車載ネットワーク１００内の少なくとも１つの装置に通知する（ステップＳ１４０）。
　一方、攻撃判定部１４２は、異常の原因が攻撃でないと判定すると（ステップＳ１３０のＮｏ）、異常が生じていることを、ユーザ、サーバ２００、または、車載ネットワーク１００内の少なくとも１つの装置に通知する（ステップＳ１５０）。このとき、攻撃判定部１４２は、異常の原因が攻撃ではないこと、すなわち故障またはバグがあることを通知してもよい。
　そして、送受信部１４３は、メッセージの受信を終了すべきか否かを判断する（ステップＳ１６０）。例えば、車載ネットワーク１００の電源がオフされた場合など、終了の条件が満たされた場合に、送受信部１４３は、メッセージの受信を終了する。一方、終了の条件が満たされていない場合には、送受信部１４３は、ステップＳ１１０からの処理を繰り返し実行する。
　ここで、上述のように、攻撃判定部１４２は、ステップＳ１３０において異常の原因が攻撃か否かを判定するときには、図３に示す攻撃の特徴１～４を利用する。
　例えば、攻撃判定部１４２は、攻撃の特徴１、すなわちデータ量の増加を利用してもよい。具体的には、異常と判定されたメッセージは、第１のメッセージであって、例えば第１のＥＣＵ１１０から送信されたメッセージである。また、車載ネットワーク１００では、異常と判定された第１のメッセージを含む複数の第１のメッセージのそれぞれがバスを介して順次送信されている。なお、その複数の第１のメッセージのそれぞれは例えば同一種類である。すなわち、その複数の第１のメッセージのそれぞれは同一のＩＤを有する。このとき、攻撃判定部１４２は、その複数の第１のメッセージの単位時間あたりに送信された第１のデータ量が、複数の正常な第１のメッセージの単位時間あたりに送信された第２のデータ量から、増加しているか否かを判断する。そして、攻撃判定部１４２は、第１のデータ量が増加していると判断された場合に、異常の原因が攻撃であると判定する。
　例えば、攻撃判定部１４２は、異常な第１のメッセージが送受信部１４３によって受信されてから、単位時間内に送受信部１４３によって受信される少なくとも１つの第１のメッセージのそれぞれのデータ量を積算する。これにより、第１のデータ量が算出される。なお、この第１のデータ量には、異常な第１のメッセージのデータ量も含まれる。そして、攻撃判定部１４２は、その第１のデータ量を第２のデータ量と比較し、第１のデータ量が第２のデータ量よりも多い場合に、第１のデータ量が増加していると判断する。第２のデータ量は、予め定められたデータ量であってもよい。また、単位時間は、正常な第１のメッセージの送信周期以上であってもよい。
　このように、本実施の形態では、正常なメッセージに対して異常なメッセージを追加する攻撃の特徴が現れたか否かが判断されるため、そのような攻撃、すなわち追加攻撃を異常の原因として適切に判定することができる。
　また、攻撃判定部１４２は、攻撃の特徴２、すなわちデータ変化として、正常なメッセージと異常なメッセージとが混在することを利用してもよい。具体的には、攻撃判定部１４２は、上述の複数の第１のメッセージに、異常な第１のメッセージと正常な第１のメッセージとが混在しているか否かを判断し、混在していると判断された場合に、異常の原因が攻撃であると判定する。
　例えば、攻撃判定部１４２は、正常な第１のメッセージが送受信部１４３によって受信されてから予め定められた期間内に、異常な第１のメッセージが送受信部１４３に受信されるか否かを判断する。このとき、攻撃判定部１４２は、異常な第１のメッセージが送受信部１４３に受信される場合に、混在していると判断し、異常な第１のメッセージが送受信部１４３に受信されない場合に、混在していないと判断する。なお、その予め定められた期間は、正常な第１のメッセージの送信周期以上であってもよい。
　このように、本実施の形態では、正常なメッセージに対して異常なメッセージを追加する攻撃の特徴が現れたか否かが判断されるため、そのような攻撃、すなわち追加攻撃を異常の原因として適切に判定することができる。
　また、攻撃判定部１４２は、攻撃の特徴３、すなわち診断パケットの観測を利用してもよい。なお、その診断パケットの観測とは、車両１の走行時に診断パケットが診断用メッセージとして観測されることである。具体的には、攻撃判定部１４２は、車両１が移動していないときに車両１の外から車載ネットワーク１００に送信される上述の診断用メッセージである第３のメッセージが、車両１が移動しているときに車載ネットワーク１００に送信されているか否かを判断する。そして、攻撃判定部１４２は、車両１が移動しているときに第３のメッセージが送信されていると判断された場合に、異常の原因が攻撃であると判定する。
　例えば、攻撃判定部１４２は、車速に関する情報を車両１の装置から取得し、その情報に基づいて車両１が走行しているか否かを判定する。そして、攻撃判定部１４２は、その情報に基づいて車両１が走行していると判定されているときに、第３のメッセージが送受信部１４３に受信されると、異常の原因が攻撃であると判定する。
　また、攻撃判定部１４２は、攻撃の特徴３ａを利用してもよい。具体的には、攻撃判定部１４２は、診断パケットによって第１のメッセージの送信が停止されているときに、異常と判定された第１のメッセージが送信されたか否かを判断し、異常と判定された第１のメッセージが送信されたと判断された場合に、異常の原因が攻撃であると判定する。
　このように、本実施の形態では、正常なメッセージを異常なメッセージに差し替える攻撃の特徴が現れたか否かが判断されるため、そのような攻撃、すなわち差替え攻撃を異常の原因として適切に判定することができる。
　また、攻撃判定部１４２は、攻撃の特徴４、すなわち同時発生を利用してもよい。なお、同時発生とは、互いに関連する複数種のメッセージ（またはデータ）で異常が同時に発生していることである。具体的には、攻撃判定部１４２は、異常と判定された第１のメッセージに関連する異常と判定された第２のメッセージが、車載ネットワーク１００に含まれる第２のＥＣＵ１２０から、異常と判定された第１のメッセージと共に同一の時間帯に送信されているか否かを判断する。そして、攻撃判定部１４２は、異常と判定された第２のメッセージが送信されていると判断する場合に、異常の原因が攻撃であると判定する。
　例えば、異常な第１のメッセージが送受信部１４３に受信されてから予め定められた時間内に、第２のメッセージが送受信部１４３に受信される。攻撃判定部１４２は、第１のメッセージおよび第２のメッセージのそれぞれのＩＤが、予め保持しているテーブルにおいて互いに関連付けられている場合に、その第２のメッセージが第１のメッセージに関連していると判断する。そして、その第２のメッセージが異常であると異常判定部１４１によって判定されると、攻撃判定部１４２は、異常の原因が攻撃であると判定する。
　このように、本実施の形態では、攻撃の特徴が現れたか否かが判断されるため、攻撃を異常の原因として適切に判定することができる。
　ここで、攻撃判定部１４２は、図３に示す攻撃の特徴１～４のうちの何れか２つを用いて攻撃の種別を特定し、それらの種別に応じた通知を行ってもよい。
　図５は、攻撃判定部１４２の処理動作の具体的な例を示すフローチャートである。
　例えば、攻撃判定部１４２は、ステップＳ１３０では、攻撃の特徴１が現れたか否か、すなわち、データ量が増加しているか否かを判断する（ステップＳ１３１）。ここで、攻撃判定部１４２は、データ量が増加していると判断すると（ステップＳ１３１のＹｅｓ）、異常の原因が攻撃であって、その攻撃の種別を追加攻撃として特定する。その結果、攻撃判定部１４２は、ステップＳ１４０では、ユーザ、サーバ２００、または、車載ネットワーク１００内の少なくとも１つの装置に、その追加攻撃を通知する（ステップＳ１４１）。
　一方、攻撃判定部１４２は、データ量が増加していないと判断すると（ステップＳ１３１のＮｏ）、攻撃の特徴３が現れたか否か、すなわち診断パケットが観測されているか否かを判断する（ステップＳ１３２）。ここで、攻撃判定部１４２は、診断パケットが観測されていると判断すると（ステップＳ１３２のＹｅｓ）、異常の原因が攻撃であって、その攻撃の種別を差替え攻撃として特定する。その結果、攻撃判定部１４２は、ステップＳ１４０では、ユーザ、サーバ２００、または、車載ネットワーク１００内の少なくとも１つの装置に、その差替え攻撃を通知する（ステップＳ１４２）。
　図６は、攻撃判定部１４２の処理動作の具体的な他の例を示すフローチャートである。
　例えば、攻撃判定部１４２は、ステップＳ１３０では、攻撃の特徴２が現れたか否か、すなわち、正常なメッセージと異常なメッセージとの混在がデータ変化として生じているか否かを判断する（ステップＳ１３３）。ここで、攻撃判定部１４２は、その混在が生じていると判断すると（ステップＳ１３３のＹｅｓ）、異常の原因が攻撃であって、その攻撃の種別を追加攻撃として特定する。その結果、攻撃判定部１４２は、ステップＳ１４０では、ユーザ、サーバ２００、または、車載ネットワーク１００内の少なくとも１つの装置に、その追加攻撃を通知する（ステップＳ１４１）。
　一方、攻撃判定部１４２は、混在が生じていないと判断すると（ステップＳ１３３のＮｏ）、攻撃の特徴３が現れたか否か、すなわち診断パケットが観測されているか否かを判断する（ステップＳ１３２）。ここで、攻撃判定部１４２は、診断パケットが観測されていると判断すると（ステップＳ１３２のＹｅｓ）、異常の原因が攻撃であって、その攻撃の種別を差替え攻撃として特定する。その結果、攻撃判定部１４２は、ステップＳ１４０では、ユーザ、サーバ２００、または、車載ネットワーク１００内の少なくとも１つの装置に、その差替え攻撃を通知する（ステップＳ１４２）。
　図７は、攻撃検知装置１４０の全体的な処理動作の他の例を示すフローチャートである。なお、図７に示すフローチャートに示す各ステップのうち、図４に示すフローチャートに示すステップと同じ処理については、図４と同じ符号を付し、その詳細な説明を省略する。
　攻撃判定部１４２は、異常の原因が攻撃であるか否かを判定し、異常の原因が攻撃であると判定した場合には、さらに、攻撃の種別を特定してもよい。
　例えば、攻撃検知装置１４０の攻撃判定部１４２は、送受信部１４３によってメッセージが受信され、さらに、そのメッセージが異常であると異常判定部１４１によって判定されると、追加攻撃および差替え攻撃の共通の特徴が現れたか否かを判定する（ステップＳ１３０ａ）。つまり、攻撃判定部１４２は、図７に示すように、図４のステップＳ１３０の具体的な処理として、攻撃の特徴４が現れたか否か、すなわち互いに関連する複数の異常なメッセージが同時に発生したか否かを判断する（ステップＳ１３０ａ）。ここで、攻撃判定部１４２は、互いに関連する複数の異常なメッセージが同時に発生していると判断すると（ステップＳ１３０ａのＹｅｓ）、異常の原因が攻撃であると判定し、さらに、その攻撃の種別を特定する（ステップＳ１７０）。すなわち、攻撃判定部１４２は、攻撃の特徴１～３のうちの何れの特徴が現れたかを検出し、その現れた特徴に応じた種別を、攻撃の種別として特定する。例えば、攻撃判定部１４２は、攻撃の特徴１および２のうちの何れかが現れた場合には、その特徴に応じた追加攻撃を、攻撃の種別として特定する。または、攻撃判定部１４２は、攻撃の特徴３が現れた場合には、その特徴３に応じた差替え攻撃を、攻撃の種別として特定する。
　より具体的には、車載ネットワーク１００では、異常と判定された第１のメッセージを含む複数の第１のメッセージのそれぞれが順次送信され、その複数の第１のメッセージの単位時間あたりに送信された第１のデータ量が、複数の正常な第１のメッセージの単位時間あたりに送信された第２のデータ量から、増加している。このような場合、攻撃判定部１４２は、ステップＳ１７０における攻撃の種別の特定では、正常なメッセージに対して異常なメッセージを追加する追加型の攻撃を、攻撃の種別として特定する。つまり、攻撃判定部１４２は、複数の第１のメッセージの単位時間あたりに送信された第１のデータ量が、複数の正常な第１のメッセージの単位時間あたりに送信された第２のデータ量から増加していると判断された場合、その攻撃の種別として、正常なメッセージに対して異常なメッセージを追加する追加型の攻撃であると特定する。
　また、車載ネットワーク１００では、異常と判定された第１のメッセージを含む複数の第１のメッセージのそれぞれが順次送信され、その複数の第１のメッセージに、異常な第１のメッセージと正常な第１のメッセージとが混在している。このような場合、攻撃判定部１４２は、ステップＳ１７０における攻撃の種別の特定では、正常なメッセージに対して異常なメッセージを追加する追加型の攻撃を、攻撃の種別として特定する。つまり、攻撃判定部１４２は、複数の第１のメッセージに、異常な第１のメッセージと正常な第１のメッセージとが混在していると判断された場合、その攻撃の種別として、正常なメッセージに対して異常なメッセージを追加する追加型の攻撃であると特定する。
　あるいは、車両１が移動を停止しているときにその車両１の外から車載ネットワーク１００に送信される第３のメッセージが、車両１が移動しているときに車載ネットワーク１００に送信されている。このような場合、攻撃判定部１４２は、ステップＳ１７０における攻撃の種別の特定では、正常なメッセージを異常なメッセージに差し替える差替え型の攻撃を、攻撃の種別として特定する。つまり、攻撃判定部１４２は、車両１が移動を停止しているときに車両１の外から車載ネットワーク１００に送信される第２のメッセージが、車両１が移動しているときに車載ネットワーク１００に送信されていると判断されたとき、その攻撃の種別として、正常なメッセージを異常なメッセージに差し替える差替え型の攻撃であると特定する。または、攻撃判定部１４２は、診断パケットによって第１のメッセージの送信が停止されているときに、異常と判定された第１のメッセージが送信されたと判断された場合、その攻撃の種別として、正常なメッセージを異常なメッセージに差し替える差替え型の攻撃であると特定する。
　これにより、ネットワークに生じる事象として判定された攻撃をより正確に判定することができる。
　以上のように、本実施の形態における電子制御装置および電子制御システムでは、車載ネットワーク１００に生じる事象をより正確に判定することができる。
　＜変形例＞
　以上、一つまたは複数の態様に係る電子制御装置について、実施の形態に基づいて説明したが、本開示は、この実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、一つまたは複数の態様の範囲内に含まれてもよい。
　例えば、上記実施の形態では、攻撃判定部１４２は、図３に示す攻撃の特徴１～４のうちの何れか１つまたは２つが現れたか否かを判断し、その結果に基づいて、異常の原因が攻撃か否かを判定している。しかし、攻撃判定部１４２は、上述の特徴１～４のうち３つ以上の特徴が同じ時間帯に現れた場合に、異常の原因が攻撃であると判定してもよい。つまり、攻撃判定部１４２は、攻撃によって現れる少なくとも１つの特徴が、予め定められた時間内に車載ネットワーク１００に現れたか否かを判断し、その少なくとも１つの特徴が現れたと判断する場合に、異常の原因が攻撃であると判定する。少なくとも１つの特徴のそれぞれは、上述の特徴１～４のうちの何れかであってもよい。また、攻撃判定部１４２は、同一の特徴が上述の時間内に複数回現れた場合に、異常の原因が攻撃であると判定してもよい。
　また、上記実施の形態では、攻撃判定部１４２は、攻撃の特徴３に基づいて、異常の原因が差替え攻撃であると判定するが、他の特徴に基づいて、異常の原因が差替え攻撃であると判定してもよい。例えば、図３に示すように、差替え攻撃の場合には、周期的に送信されるメッセージに含まれるデータ（すなわち数値）が急峻に変化する。したがって、攻撃判定部１４２は、このような特徴に基づいて、異常の原因が差替え攻撃であると判定してもよい。
　なお、上記実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵまたはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。ここで、上記各実施の形態の電子制御装置および電子制御システムなどを実現するソフトウェアは、図４～図７に示すフローチャートに含まれる各ステップをコンピュータに実行させる。
　また、上記実施の形態では、車載ネットワーク１００は、ＣＡＮプロトコルに基づくネットワークシステムであるが、そのＣＡＮプロトコルは、ＴＴＣＡＮ（Time-Triggered CAN）、ＣＡＮＦＤ（CAN with Flexible Data Rate）等の派生的なプロトコルも包含する広義の意味のものでもよい。また、車両でＥＣＵ間の通信に用いられるネットワークは、ＣＡＮプロトコルにしたがったネットワークに限られず、他のネットワークでもよい。ＥＣＵが通信データの授受を行うためのネットワークで用いられる、ＣＡＮ以外のプロトコルとして、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）、ＬＩＮ（Local Interconnect Network）、ＭＯＳＴ（登録商標）（Media Oriented Systems Transport）、ＦｌｅｘＲａｙ（登録商標）、ブローダーリーチプロトコル等が挙げられる。
　また、上記実施の形態における各ＥＣＵは、例えば、プロセッサ、メモリ等のデジタル回路、アナログ回路、通信回路等を含む装置であることとしたが、ハードディスク装置、ディスプレイその他のハードウェア構成要素を含んでいても良い。また、上記実施の形態で示した各装置は、メモリに記憶されたプログラムがプロセッサにより実行されてソフトウェア的に機能を実現する代わりに、専用のハードウェア（デジタル回路等）によりその機能を実現することとしても良い。
　また、上記実施の形態では、車載ネットワーク１００は、車両１に搭載されるネットワークシステムであるが、車両以外の建機、農機、船舶、鉄道、飛行機などの移動体に搭載されていてもよい。
　また、上記実施の形態における各装置を構成する構成要素の一部又は全部は、１個のシステムＬＳＩ（Large Scale Integration：大規模集積回路）から構成されているとしても良い。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等を含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。また、上記各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部又は全部を含むように１チップ化されても良い。また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現しても良い。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Field Programmable Gate Array）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用しても良い。更には、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行っても良い。バイオ技術の適用等が可能性としてあり得る。
　また、上記各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしても良い。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしても良い。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしても良い。
　また、本発明の一態様としては、例えば図４～図７等に示す処理手順の全部又は一部を含む電子制御方法であるとしても良い。また、本発明の一態様としては、この電子制御方法に係る処理をコンピュータにより実現するためのプログラム（コンピュータプログラム）であるとしても良いし、前記プログラムからなるデジタル信号であるとしても良い。
　また、本発明の一態様としては、前記コンピュータプログラム又は前記デジタル信号をコンピュータで読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Blu-ray（登録商標） Disc）、半導体メモリ等に記録したものとしても良い。また、これらの記録媒体に記録されている前記デジタル信号であるとしても良い。
　また、本発明の一態様としては、前記プログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしても良い。また、本発明の一態様としては、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記プログラムを記録しており、前記マイクロプロセッサは、前記プログラムに従って動作するとしても良い。また、前記プログラム若しくは前記デジタル信号を前記記録媒体に記録して移送することにより、又は、前記プログラム若しくは前記デジタル信号を、前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしても良い。
　上記実施の形態及び上記変形例で示した各構成要素及び機能を任意に組み合わせることで実現される形態も本発明の範囲に含まれる。
　本開示は、ネットワークに生じる事象をより正確に判定することができ、例えば、ＣＡＮプロトコルにしたがった制御が行われるネットワークなどに利用可能である。
　１　　車両
　１００　　電子制御システム（車載ネットワーク）
　１１０　　第１のＥＣＵ
　１２０　　第２のＥＣＵ
　１３０　　通信ＥＣＵ
　１４０　　攻撃検知装置（電子制御装置）
　１４１　　異常判定部
　１４２　　攻撃判定部
　１４３　　送受信部
　２００　　サーバ
　３００　　診断装置

Claims (15)

  1. 　移動体に搭載されたネットワークに含まれる第１の装置から送信された複数の第１のメッセージを受信する受信部と、
    　前記受信部によって受信された前記複数の第１のメッセージのいずれかが異常と判定された場合に、前記異常の原因が、前記ネットワークへの攻撃であるか否かを判定し、前記攻撃であるか否かの判定結果を出力する判定部と、
    　を備える電子制御装置。
  2. 　前記判定部は、
    　前記異常の原因が攻撃ではないと判定した場合には、さらに、前記第１の装置は故障の可能性があることを示す情報を出力する、
    　請求項１に記載の電子制御装置。
  3. 　前記判定部は、
    　前記複数の第１のメッセージの単位時間あたりに送信された第１のデータ量が、複数の正常な第１のメッセージの単位時間あたりに送信された第２のデータ量から増加しているか否かを判断し、前記第１のデータ量が増加していると判断された場合に、前記異常の原因が攻撃であると判定する、
    　請求項１または２に記載の電子制御装置。
  4. 　前記判定部は、
    　前記複数の第１のメッセージに、異常な第１のメッセージと正常な第１のメッセージとが混在しているか否かを判断し、混在していると判断された場合に、前記異常の原因が攻撃であると判定する、
    　請求項１～３の何れか１項に記載の電子制御装置。
  5. 　前記判定部は、
    　異常と判定された前記第１のメッセージに関連する異常と判定された第２のメッセージが、前記ネットワークに含まれる第２の装置から、異常と判定された前記第１のメッセージと共に同一の時間帯に送信されているか否かを判断し、異常と判定された前記第２のメッセージが送信されていると判断された場合に、前記異常の原因が攻撃であると判定する、
    　請求項１～４の何れか１項に記載の電子制御装置。
  6. 　前記判定部は、
    　前記移動体が移動していないときに前記移動体の外から前記ネットワークに送信される第３のメッセージが、前記移動体が移動しているときに前記ネットワークに送信されているか否かを判断し、前記第３のメッセージが送信されていると判断された場合に、前記異常の原因が攻撃であると判定する、
    　請求項１～５の何れか１項に記載の電子制御装置。
  7. 　前記判定部は、
    　診断パケットによって第１のメッセージの送信が停止されているときに、異常と判定された前記第１のメッセージが送信されたか否かを判断し、異常と判定された前記第１のメッセージが送信されたと判断された場合に、前記異常の原因が攻撃であると判定する、
    　請求項１～６の何れか１項に記載の電子制御装置。
  8. 　前記判定部は、
    　攻撃によって現れる少なくとも１つの特徴が、予め定められた時間内に前記ネットワークに現れたか否かを判断し、前記少なくとも１つの特徴が現れたと判断された場合に、前記異常の原因が攻撃であると判定する、
    　請求項１～７の何れか１項に記載の電子制御装置。
  9. 　前記判定部は、
    　前記異常の原因が攻撃であると判定した場合には、さらに、前記攻撃の種別を特定する、
    　請求項１～８の何れか１項に記載の電子制御装置。
  10. 　前記判定部は、
    　前記複数の第１のメッセージの単位時間あたりに送信された第１のデータ量が、複数の正常な第１のメッセージの単位時間あたりに送信された第２のデータ量から増加していると判断された場合、前記攻撃の種別として、正常なメッセージに対して異常なメッセージを追加する追加型の攻撃であると特定する、
    　請求項９に記載の電子制御装置。
  11. 　前記判定部は、
    　前記複数の第１のメッセージに、異常な第１のメッセージと正常な第１のメッセージとが混在していると判断された場合、前記攻撃の種別として、正常なメッセージに対して異常なメッセージを追加する追加型の攻撃であると特定する、
    　請求項９または１０に記載の電子制御装置。
  12. 　前記判定部は、
    　前記移動体が移動を停止しているときに前記移動体の外から前記ネットワークに送信される第２のメッセージが、前記移動体が移動しているときに前記ネットワークに送信されていると判断されたとき、前記攻撃の種別として、正常なメッセージを異常なメッセージに差し替える差替え型の攻撃であると特定する、
    　請求項９～１１の何れか１項に記載の電子制御装置。
  13. 　前記判定部は、
    　診断パケットによって第１のメッセージの送信が停止されているときに、異常と判定された前記第１のメッセージが送信されたと判断された場合、前記攻撃の種別として、正常なメッセージを異常なメッセージに差し替える差替え型の攻撃であると特定する、
    　請求項９～１２の何れか１項に記載の電子制御装置。
  14. 　移動体に搭載されたネットワークに含まれる装置から送信された複数のメッセージを受信する受信部と、前記受信部によって受信された前記複数のメッセージが異常であるか否かを判定する異常判定部と、を含む異常判定装置と、
    　前記受信部によって受信された前記複数のメッセージのいずれかが前記異常判定部によって異常と判定された場合には、前記異常の原因が、前記ネットワークへの攻撃であるか否かを判定し、前記攻撃であるか否かの判定結果を出力する攻撃判定装置と、
    　を備える電子制御システム。
  15. 　移動体に搭載されたネットワークに含まれる装置から送信された複数のメッセージを受信する処理と、
    　受信された前記複数のメッセージのいずれかが異常と判定された場合には、前記異常の原因が、前記ネットワークへの攻撃であるか否かを判定し、前記攻撃であるか否かの判定結果を出力する処理と、
    　をコンピュータに実行させるためのプログラム。
PCT/JP2019/049617 2018-12-28 2019-12-18 電子制御装置、電子制御システムおよびプログラム WO2020137743A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2020563136A JP7113238B2 (ja) 2018-12-28 2019-12-18 電子制御装置、電子制御システムおよびプログラム
DE112019006487.8T DE112019006487B4 (de) 2018-12-28 2019-12-18 Elektronische Steuereinheit, elektronisches Steuersystem und Programm
US17/354,687 US11621967B2 (en) 2018-12-28 2021-06-22 Electronic control unit, electronic control system, and recording medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018247448 2018-12-28
JP2018-247448 2018-12-28

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/354,687 Continuation US11621967B2 (en) 2018-12-28 2021-06-22 Electronic control unit, electronic control system, and recording medium

Publications (1)

Publication Number Publication Date
WO2020137743A1 true WO2020137743A1 (ja) 2020-07-02

Family

ID=71126190

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/049617 WO2020137743A1 (ja) 2018-12-28 2019-12-18 電子制御装置、電子制御システムおよびプログラム

Country Status (4)

Country Link
US (1) US11621967B2 (ja)
JP (1) JP7113238B2 (ja)
DE (1) DE112019006487B4 (ja)
WO (1) WO2020137743A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2021083005A (ja) * 2019-11-21 2021-05-27 トヨタ自動車株式会社 車両通信装置、通信異常の判定方法及びプログラム
CN115021948A (zh) * 2021-03-03 2022-09-06 本田技研工业株式会社 判定装置、移动体、判定方法和计算机可读存储介质

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020121390A1 (ja) * 2018-12-11 2020-06-18 株式会社オートネットワーク技術研究所 ジョイントコネクタ

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017038291A (ja) * 2015-08-12 2017-02-16 本田技研工業株式会社 車両用通信装置
JP2017073765A (ja) * 2015-10-09 2017-04-13 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ装置、攻撃検知方法及びプログラム
JP2018152745A (ja) * 2017-03-14 2018-09-27 パナソニックＩｐマネジメント株式会社 記録装置、車両および記録方法
JP2018182725A (ja) * 2017-04-07 2018-11-15 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正通信検知基準決定方法、不正通信検知基準決定システム及びプログラム

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6597777B1 (en) * 1999-06-29 2003-07-22 Lucent Technologies Inc. Method and apparatus for detecting service anomalies in transaction-oriented networks
US7383191B1 (en) * 2000-11-28 2008-06-03 International Business Machines Corporation Method and system for predicting causes of network service outages using time domain correlation
US8209756B1 (en) * 2002-02-08 2012-06-26 Juniper Networks, Inc. Compound attack detection in a computer network
US7640589B1 (en) * 2009-06-19 2009-12-29 Kaspersky Lab, Zao Detection and minimization of false positives in anti-malware processing
US8613085B2 (en) * 2009-07-22 2013-12-17 Broadcom Corporation Method and system for traffic management via virtual machine migration
JP5919205B2 (ja) 2013-01-28 2016-05-18 日立オートモティブシステムズ株式会社 ネットワーク装置およびデータ送受信システム
JP6497656B2 (ja) 2015-07-03 2019-04-10 パナソニックＩｐマネジメント株式会社 通信方法およびそれを利用した通信装置
US20170010930A1 (en) * 2015-07-08 2017-01-12 Cisco Technology, Inc. Interactive mechanism to view logs and metrics upon an anomaly in a distributed storage system
DE102016200775A1 (de) 2016-01-21 2017-07-27 Robert Bosch Gmbh Verfahren und Vorrichtung zum Schutz eines Fahrzeuges vor Cyberangriffen
US10063589B2 (en) * 2016-04-20 2018-08-28 Lenovo Enterprise Solutions (Singapore) Pte. Ltd. Microcheckpointing as security breach detection measure
EP3264718B1 (en) 2016-06-29 2021-03-03 Argus Cyber Security Ltd System and method for detection and prevention of attacks on in-vehicle networks
JP6329715B1 (ja) 2016-10-31 2018-05-23 オリンパス株式会社 内視鏡システムおよび内視鏡
JP6839846B2 (ja) 2017-03-30 2021-03-10 パナソニックＩｐマネジメント株式会社 情報処理装置、情報処理方法及びプログラム
US11405411B2 (en) * 2017-03-31 2022-08-02 Nec Corporation Extraction apparatus, extraction method, computer readable medium
DE102017209806A1 (de) 2017-06-09 2018-12-13 Robert Bosch Gmbh Verfahren und Vorrichtung zum Erkennen von Angriffen auf einen Feldbus
US20190228353A1 (en) * 2018-01-19 2019-07-25 EMC IP Holding Company LLC Competition-based tool for anomaly detection of business process time series in it environments

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017038291A (ja) * 2015-08-12 2017-02-16 本田技研工業株式会社 車両用通信装置
JP2017073765A (ja) * 2015-10-09 2017-04-13 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ装置、攻撃検知方法及びプログラム
JP2018152745A (ja) * 2017-03-14 2018-09-27 パナソニックＩｐマネジメント株式会社 記録装置、車両および記録方法
JP2018182725A (ja) * 2017-04-07 2018-11-15 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正通信検知基準決定方法、不正通信検知基準決定システム及びプログラム

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
FUKUDA, KUNITO ET AL.: "Time-series data analysis for general-purpose attack detection in CAN communication", PROCEEDINGS OF COMPUTER SECURITY SYMPOSIUM 2018, 15 October 2018 (2018-10-15), pages 1120 - 1127 *
KURACHI,RYO ET AL..: "Proposal of the error frame monitoring system with improved Controller Area Network (CAN) controller", PROCEEDINGSOF COMPUTER SECURITY SYMPOSIUM 2015, JOINT ANTIMALWARE RESEARCH HUMAN RESOURCE DEVELOPMENT WORKSHOP 2015, PRIVACY WORKSHOP 2015, IPSJ SYMPOSIUM SERIES, vol. 2015, no. 3, 14 October 2015 (2015-10-14), pages 110 - 115 *
TANABE, MASATO ET AL..: "Proposal of multi-layer linked CAN filter for in-vehicle gateway", IS 2016 [USB] SCIS2016 2016 SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY, 19 January 2016 (2016-01-19), pages 1 - 8 *
UJIIE,YOSHIHIRO ET AL..: "Proposal of CAN filter for in-vehicle network", THE 32ND SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY ABSTRACTS OF THE 32ND SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY, 20 January 2015 (2015-01-20), pages 1 - 7, XP009521851 *

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2021083005A (ja) * 2019-11-21 2021-05-27 トヨタ自動車株式会社 車両通信装置、通信異常の判定方法及びプログラム
JP7156257B2 (ja) 2019-11-21 2022-10-19 トヨタ自動車株式会社 車両通信装置、通信異常の判定方法及びプログラム
CN115021948A (zh) * 2021-03-03 2022-09-06 本田技研工业株式会社 判定装置、移动体、判定方法和计算机可读存储介质
JP2022134679A (ja) * 2021-03-03 2022-09-15 本田技研工業株式会社 判定装置、移動体、判定方法及びプログラム
JP7273875B2 (ja) 2021-03-03 2023-05-15 本田技研工業株式会社 判定装置、移動体、判定方法及びプログラム
CN115021948B (zh) * 2021-03-03 2023-12-22 本田技研工业株式会社 判定装置、移动体、判定方法和计算机可读存储介质

Also Published As

Publication number Publication date
US11621967B2 (en) 2023-04-04
JP7113238B2 (ja) 2022-08-05
US20210320932A1 (en) 2021-10-14
DE112019006487B4 (de) 2023-12-28
DE112019006487T5 (de) 2021-11-04
JPWO2020137743A1 (ja) 2021-09-30

Similar Documents

Publication Publication Date Title
US10992688B2 (en) Unauthorized activity detection method, monitoring electronic control unit, and onboard network system
WO2020137743A1 (ja) 電子制御装置、電子制御システムおよびプログラム
US10902109B2 (en) Misuse detection method, misuse detection electronic control unit, and misuse detection system
US10798114B2 (en) System and method for consistency based anomaly detection in an in-vehicle communication network
JP6594732B2 (ja) 不正フレーム対処方法、不正検知電子制御ユニット及び車載ネットワークシステム
JP5522160B2 (ja) 車両ネットワーク監視装置
CN109076001B (zh) 帧传送阻止装置、帧传送阻止方法及车载网络系统
JP5999178B2 (ja) 車両用ネットワークの通信管理装置及び通信管理方法
US10462161B2 (en) Vehicle network operating protocol and method
JP6964277B2 (ja) 通信遮断システム、通信遮断方法及びプログラム
WO2017119027A1 (ja) 不正検知方法、監視電子制御ユニット及び車載ネットワークシステム
WO2018135098A1 (ja) 監視装置、監視方法およびコンピュータプログラム
JPWO2019216306A1 (ja) 異常検知電子制御ユニット、車載ネットワークシステム及び異常検知方法
US11431579B2 (en) Anomaly detection device, anomaly detection system, and control method
CN113348683A (zh) 车辆监视装置以及车辆监视方法
JP2021067960A (ja) 車両監視システム
JP2010093676A (ja) ゲートウェイ装置、車両用ネットワーク、片側断線検出方法
JP2019146145A (ja) 通信装置、通信方法及びプログラム
US20200177412A1 (en) Monitoring device, monitoring system, and computer readable storage medium
WO2019235231A1 (ja) 車載制御装置、制御プログラム及び制御方法
WO2021145116A1 (ja) 異常検知方法、プログラム及び異常検知システム
WO2020105657A1 (ja) 車載中継装置及び中継方法
WO2023218815A1 (ja) 監視装置、車両監視方法および車両監視プログラム
WO2018020833A1 (ja) フレーム伝送阻止装置、フレーム伝送阻止方法及び車載ネットワークシステム
US20220286473A1 (en) Anomaly detection system and anomaly detection method

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19901965

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020563136

Country of ref document: JP

Kind code of ref document: A

122 Ep: pct application non-entry in european phase

Ref document number: 19901965

Country of ref document: EP

Kind code of ref document: A1