WO2021024786A1 - 情報処理装置および正規通信判定方法 - Google Patents

情報処理装置および正規通信判定方法 Download PDF

Info

Publication number
WO2021024786A1
WO2021024786A1 PCT/JP2020/028167 JP2020028167W WO2021024786A1 WO 2021024786 A1 WO2021024786 A1 WO 2021024786A1 JP 2020028167 W JP2020028167 W JP 2020028167W WO 2021024786 A1 WO2021024786 A1 WO 2021024786A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication
periodic
message
determined
aperiodic
Prior art date
Application number
PCT/JP2020/028167
Other languages
English (en)
French (fr)
Inventor
桃伽 粕谷
伸義 森田
恒太 井手口
Original Assignee
株式会社日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立製作所 filed Critical 株式会社日立製作所
Priority to US17/620,634 priority Critical patent/US11824687B2/en
Priority to CN202080043650.8A priority patent/CN114051710B/zh
Priority to DE112020002989.1T priority patent/DE112020002989T5/de
Publication of WO2021024786A1 publication Critical patent/WO2021024786A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/12—Arrangements for remote connection or disconnection of substations or of equipment thereof
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/108—Network architectures or network communication protocols for network security for controlling access to devices or network resources when the policy decisions are valid for a limited amount of time
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Definitions

  • the present invention relates to an information processing device and a regular communication determination method.
  • the automobile is controlled by transmitting and receiving communication messages between ECUs (Electronic Control Units) via an in-vehicle network using an in-vehicle communication protocol such as CAN (Controller Area Network) or FlexRay (registered trademark).
  • ECUs Electronic Control Units
  • in-vehicle communication protocols such as CAN (Controller Area Network) or FlexRay (registered trademark).
  • CAN Controller Area Network
  • FlexRay registered trademark
  • CAN has a feature that a communication message is transmitted to all ECUs connected to a communication bus, and many communication messages transmitted from the ECU are performed at predetermined periodic intervals. Will be sent.
  • the convenience of the user has been improved by connecting the in-vehicle network and the external network (for example, the Internet, Wi-Fi (registered trademark), sensor), but the ECU can be hijacked by an attack from outside the vehicle and illegal operation is possible. It has been pointed out that As one of such attack detection methods, there is a detection method that utilizes the feature that the ECU periodically transmits a communication message.
  • the external network for example, the Internet, Wi-Fi (registered trademark), sensor
  • the receiving unit receives a message periodically transmitted from a communication device in a network, and the predicting unit sets the number of messages received by the receiving unit within a predetermined monitoring period into the message transmission cycle. Based on the prediction, the counting unit counts the number of messages received by the receiving unit within the monitoring period, and the detecting unit compares the predicted value obtained by the predicting unit with the count value obtained by the counting unit. , Detecting an attack on the network.
  • aperiodic event-type communications such as OTA (Over the Air), which is a firmware update technology via wireless communications
  • OTA Over the Air
  • Many ECUs, GWs (Gate Ways), and other communicable devices are connected to the existing communication bus, and the usage rate of the communication bus is high. Therefore, in the future, the cycle will accompany the increase in aperiodic communication. Many communication delays can occur. That is, even if the accuracy of attack detection in periodic communication is improved, regular communication may be erroneously detected due to the increase in non-periodic communication.
  • Patent Document 1 does not mention false positives due to delays in periodic communication due to aperiodic communication as described above. Further, in Patent Document 1, since an attack is detected by comparing the predicted number of communication messages received with the number of communication messages actually received, the number of messages counted is deviated for some reason, and it is a regular communication. If this cannot be determined correctly, there is still the possibility that it will be falsely detected as an attack. Therefore, instead of simply counting the number of communication messages, pay attention to the relationship between communications, especially the relationship between periodic communication and aperiodic communication, and correctly confirm that the delayed communication message is regular communication of periodic communication. It is necessary to establish a judgment technique.
  • One aspect of the present invention is to provide a technique for correctly determining that a delayed communication message is a regular communication of periodic communication.
  • the information processing device is an information processing device capable of aperiodic communication and periodic communication, and has a communication determination unit that determines a type of communication message and a determination that the type is aperiodic communication.
  • the relationship between the aperiodic communication and the periodic communication is determined by using the first communication message and the predicted range of the time for receiving the second communication message whose type is determined to be periodic communication.
  • the second communication message of the periodic communication determined to be related to the first processing determination unit is within the prediction range after a predetermined time, the second communication message is the regular communication of the periodic communication.
  • the information processing apparatus is configured to include a second processing determination unit that determines that the information processing is the same.
  • the delayed communication message is regular communication of periodic communication.
  • a process performed by executing a program may be described, but the program is determined by being executed by a processor (for example, CPU (Central Processing Unit), GPU (Graphics Processing Unit)). Since the processed processing is appropriately performed using a storage resource (for example, memory) and / or an interface device (for example, a communication port), the main body of the processing may be a processor. Similarly, the subject of processing for executing a program may be a controller, a device, a system, a computer, or a node having a processor.
  • a processor for example, CPU (Central Processing Unit), GPU (Graphics Processing Unit)
  • a storage resource for example, memory
  • an interface device for example, a communication port
  • the subject of processing for executing a program may be a controller, a device, a system, a computer, or a node having a processor.
  • the main body of the processing performed by executing the program may be an arithmetic unit, and may include a dedicated circuit (for example, FPGA (Field-Programmable Gate Array) or ASIC (Application Specific Integrated Circuit)) that performs specific processing. ..
  • a dedicated circuit for example, FPGA (Field-Programmable Gate Array) or ASIC (Application Specific Integrated Circuit)
  • the program may be installed from the program source on a device such as a calculator.
  • the program source may be, for example, a program distribution server or a storage medium readable by a computer.
  • the program distribution server includes a processor and a storage resource for storing the program to be distributed, and the processor of the program distribution server may distribute the program to be distributed to another computer.
  • two or more programs may be realized as one program, or one program may be realized as two or more programs.
  • one information processing device transmits from another information processing device.
  • the status of the communication to be performed for example, the presence or absence of aperiodic communication, and the relationship between the aperiodic communication and the periodic communication are determined. Then, it is considered that the delay of the communication message (second communication message) due to the periodic communication occurs in the communication message of the first periodic communication after receiving the communication message (first communication message) by the aperiodic communication, and the above-mentioned relation.
  • the first communication message of the periodic communication determined to have the property is regular communication. Then, even if the first communication message is delayed, as shown below, the predicted range of the reception time of the first communication message is corrected, the determination of regular communication is performed again, and the delay is achieved.
  • the periodic communication is judged as regular communication.
  • the information processing device and the regular communication determination method according to the present embodiment will be described in detail below, but the present invention is not limited to this example, and for example, a control system other than an in-vehicle system, an IT (Information Technology) system, etc. It can be applied to various information processing devices in an environment where periodic communication is mixed.
  • FIG. 1 is a block diagram showing a functional configuration example of the information processing device in this embodiment.
  • the information processing apparatus 10 includes a communication unit 100, an information acquisition unit 110, a communication determination unit 120, an abnormality determination unit 130, an allowable range calculation unit 140, a flag control unit 150, and an abnormality determination information update unit 160. It includes a normal processing unit 170, an abnormal processing unit 180, and a related information storage unit 190.
  • the related information storage unit 190 is composed of a storage medium such as a general memory (for example, RAM (Random Access Memory)) as hardware, and stores communication determination information 191 and abnormality determination information 192 and flag detection information 193. To do.
  • the information processing device 10 is connected to another information processing device via the communication bus 2.
  • the information processing device 10 is one of a plurality of information processing devices inside the vehicle, and represents, for example, a general ECU or GW as hardware. Inside the vehicle, a bus-type or star-type communication system is constructed using a plurality of information processing devices.
  • a bus-type or star-type communication system is constructed using a plurality of information processing devices.
  • As the standard of the communication bus 2 for example, various standards for performing periodic communication such as CAN, FlexRay, LIN (Local Interconnect Network), and Ethernet can be used.
  • CAN as the communication bus 2 can be used. Will be described as being used.
  • the functions of the above-mentioned parts of the information processing apparatus 10 are realized, for example, by the CPU of the ECU reading the program from the ROM (Read Only Memory), reading and writing to the RAM, and executing the process.
  • the above program may be provided by being read from a storage medium such as a USB (Universal Serial Bus) memory or being downloaded from another computer (for example, a server or cloud that manages an ECU) via a network. ..
  • a storage medium such as a USB (Universal Serial Bus) memory
  • another computer for example, a server or cloud that manages an ECU
  • the communication unit 100 receives the communication message transmitted from the other information processing device 10 via the communication bus 2, or transmits the processing result of the information processing device 10 to the other information processing device 10.
  • the information acquisition unit 110 reads the identification information (CAN ID) from the communication message received by the communication unit 100.
  • the information acquisition unit 110 calculates the reception time of the received communication message based on the read CAN ID.
  • the reception time is the interval between the reception time of the communication message received at a certain timing and the reception time of the communication message received at the timing before that for the communication message of the same CAN ID.
  • a method for calculating the reception time a method using a timer held by the information processing device 10, a clock used in the information processing device 10, a time stamp added to a communication message, or the like can be used.
  • the reception time interval is used as the reception time, but it suffices if it can be detected that the communication message is received at a certain timing. In this case, the detection timing interval can be used as the reception time.
  • the communication determination unit 120 determines the communication type based on the CAN ID read by the information acquisition unit 110.
  • the communication determination unit 120 uses the communication determination information 191 (FIG. 5), which is a table stored in the related information storage unit 190, in order to determine the communication type.
  • FIG. 5 is a diagram showing an example of communication determination information 191.
  • the communication judgment information 191 is information in which the communication type is determined for each CAN ID, and the communication types such as periodic communication and aperiodic communication are classified. In FIG. 5, for example, the communication whose CAN ID is identified by "0x01" is shown to be periodic communication.
  • the flag detection information 193 which is a table stored in the related information storage unit 190, is stored in the flag control unit 150.
  • FIG. 6 is instructed to record the aperiodic communication detection flag 1932 indicating that the communication message of the aperiodic communication has been received.
  • FIG. 6 is a diagram showing an example of flag detection information 193.
  • the flag detection information 193 is information used for determining the relationship between the aperiodic communication and the periodic communication.
  • the flag detection information 193 is stored in association with the aperiodic communication detection flag and the error processing flag for each CAN ID of periodic communication.
  • the CAN ID "0x05" of the aperiodic communication is stored in association with the aperiodic communication detection flag 1932, so that the CAN ID of the aperiodic communication can be identified.
  • the CAN ID "0x05" of the aperiodic communication is stored in the communication in which the CAN ID is identified by "0x03".
  • the abnormality determination unit 130 is a processing unit that is performed when the communication determination unit 120 determines that the communication type of the communication message received is periodic communication.
  • the abnormality determination unit 130 determines whether or not the reception time of the communication message of the aperiodic communication in which the aperiodic communication detection flag 1932 is set is within the prediction range of the reception time of the periodic communication described later. In the following, the above determination is made using the reception time of the communication message of the aperiodic communication, but it is sufficient if it can be detected that the communication message of the aperiodic communication is received at a certain timing. In this case, it may be determined whether or not the communication message of the aperiodic communication detected at the certain timing is within the prediction range.
  • the abnormality determination unit 130 determines that the reception time of the communication message of the aperiodic communication in which the aperiodic communication detection flag 1932 is set is within the predicted range of the reception time of the periodic communication described later. And periodic communication are determined to be related. Further, the abnormality determination unit 130 determines whether or not the communication message of the periodic communication determined to be related is within the prediction range of the reception time. When the abnormality determination unit 130 determines that the communication message of the periodic communication determined to be related is within the predicted range of the reception time, the abnormality determination unit 130 determines that the communication message of the periodic communication is a communication message by regular communication. ..
  • the communication message of the periodic communication is further modified to be described later. It is determined whether or not the reception time is within the predicted range.
  • the communication message of the periodic communication is determined to be relevant in the aperiodic period. It is determined that the communication message is delayed due to communication and should be received within the predicted range before correction, and the communication message of the periodic communication is determined to be a communication message by regular communication.
  • the abnormality determination unit 130 determines that the received communication message of the periodic communication is not regular communication and may be abnormal. The specific processing in this case will be described later with reference to FIG.
  • the abnormality determination unit 130 uses the permissible range information stored in the abnormality determination information 192 (FIGS. 7A and 7B), which is a table stored in the related information storage unit 190.
  • the permissible range information is information indicating a predicted range of reception time for determining that the communication message received next to the received communication message is regular communication.
  • the minimum permissible time 1922 and the maximum permissible time 1923 are defined as the permissible range information, and if the predicted range of the reception time is between these, it is determined as regular communication.
  • the predicted range is the time between the minimum permissible time 1922 and the maximum permissible time 1923. For example, in FIG.
  • the communication in which the CAN ID is identified by "0x01" is between the minimum value “9.86 seconds” and the maximum value “9.88 seconds” of the reception time allowed as the prediction range. For example, it indicates that it is judged as regular communication. Further, when the reception time of the communication message of the aperiodic communication in which the aperiodic communication detection flag 1932 is set is within the prediction range from the above minimum value "9.86 seconds” to the maximum value "9.88 seconds", It is determined that the aperiodic communication (for example, CAN ID "0x05”) and the periodic communication (for example, CAN ID "0x01”) are related.
  • the initial values of the minimum permissible time 1922 and the maximum permissible time 1923 may be predetermined, for example, by using a time that is a predetermined multiple of the period 1924 by the abnormality determination unit 130.
  • the allowable range calculation unit 140 determines that the abnormality determination unit 130 may have the above abnormality, but if it determines that the abnormality is not the result, the prediction range of the reception time is corrected by using the addition time 1925. .. Further, when the abnormality determination unit 130 determines that the communication message of the periodic communication is a communication message by regular communication, the permissible range calculation unit 140 periodically sets the prediction range of the reception time of the communication message to be received at the next timing. Calculated using 1924.
  • the flag control unit 150 when the communication determination unit 120 determines that the communication message is aperiodic communication, or when the prediction range is corrected by the allowable range calculation unit 140, the abnormality determination information update unit 160 or the normal processing unit 170 , When instructed by each unit such as the abnormality processing unit 180, the flag is controlled according to the instructed instruction.
  • the abnormality determination information update unit 160 updates the tolerance range information stored in the abnormality determination information 192 based on the prediction range of the reception time of the communication message received at the next timing calculated by the tolerance determination unit 140. Further, the abnormality determination information update unit 160 updates the tolerance range information stored in the abnormality determination information 192 based on the prediction range of the reception time of the communication message after the tolerance range calculation unit 140 corrects, and flag control is performed. Instruct unit 150 to set the error processing flag 1933 of the flag detection information 193. For example, the abnormality determination information update unit 160 instructs the flag control unit 150 to update the value of the abnormality processing flag 1933 from “0” to “1”.
  • the normal processing unit 170 executes the control process instructed by the received communication message as the normal processing. Further, the normal processing unit 170 instructs the flag control unit 150 to reset the values set in the aperiodic communication detection flag 1932 and the abnormal processing flag 1933. For example, when "1" is set for these flags, the normal processing unit 170 gives an instruction to reset these values from “1" to "0".
  • the abnormality processing unit 180 determines that the received communication message of the periodic communication is not regular communication but abnormal, the abnormality processing unit 180 performs control processing as an abnormality processing. For example, the abnormality processing unit 180 executes a control process for discarding a communication message or outputting an alert.
  • the processing method of the control processing may be changed depending on whether or not the permissible range calculation unit 140 corrects the prediction range of the reception time.
  • the abnormality processing unit 180 determines that the communication message of the periodic communication is abnormal when it is not within the predicted range of the reception time before correction, the abnormality processing unit 180 discards the communication message. On the other hand, if the abnormality processing unit 180 determines that the communication message of the periodic communication is abnormal when it is not within the predicted range of the corrected reception time, the communication message of the periodic communication is still corrected even if the predicted range is corrected. Was not received. Then, in addition to discarding the communication message, the abnormality processing unit 180 further sends a warning message indicating an alert and an abnormality determination status information indicating a status determined to be abnormal to an external external information processing device 10 that manages the information processing device 10.
  • the abnormality processing unit 180 may display the warning message and the abnormality determination status information on a display device (for example, a console panel in the vehicle) of the vehicle on which the information processing device 10 is mounted. In this case, this information can be directly transmitted to the user who is operating the vehicle.
  • the above-mentioned abnormality determination status information is, for example, as shown in FIG. 8 described later, the prediction range 802 of the reception time before the correction and the prediction range 802'of the reception time after the correction, and the aperiodic period determined to be related.
  • Information indicating communication messages (X1 and ID5, X2 and ID4), periodic communication communication messages that were determined to be related and should have been received within the predicted range 802 of the reception time before modification.
  • the abnormality processing unit 180 may include the addition time 1925 ( ⁇ t seconds) in the screen information. As a result, it is possible to grasp how much the prediction range has deviated, and it can be used as a material for determining the cause when an abnormality is determined.
  • the abnormality processing unit 180 determines that the screen information is related, and provides information (M1 and ID2) indicating a communication message of periodic communication received within the predicted range 801 of the reception time without being corrected. May be included. As a result, the temporal position of the communication message of the periodic communication within the prediction range 801 can be grasped, and a judgment for predicting the possibility that the prediction range of the reception time needs to be corrected in the subsequent cycle. It can be used as a material.
  • the abnormality processing unit 180 sets the second communication message of the periodic communication determined to be related by the abnormality determination unit 130 to the prediction range 802'of the reception time after a predetermined time (addition time 1925).
  • the information (X1 and ID5, X2 and ID4) indicating the first communication message of the aperiodic communication determined to be related to the prediction range 802 and the prediction range 802'after the predetermined time, and the first The abnormality determination status information including the information (M2 and ID2) indicating the communication message of 2 is output to the display unit.
  • FIGS. 2A and 2B are sequence diagrams illustrating a flow of processing after receiving a communication message.
  • the information processing device 10A on the transmitting side and the information processing device 10B on the receiving side are devices having the system configuration shown in FIG. In FIGS. 2A and 2B, it is assumed that the information processing device 10A on the transmitting side and the information processing device 10B on the receiving side are ECUs, but as described above, the same applies to other devices such as GW. be able to.
  • FIG. 2A is a sequence diagram illustrating an outline of processing when the communication type of the received communication message is aperiodic communication. The following processing is mainly executed by the information processing apparatus 10B.
  • step S201 the communication unit 100 of the information processing device 10B receives the communication message transmitted by the information processing device 10A.
  • step S202 the information acquisition unit 110 of the information processing device 10B reads the CAN ID of the received communication message, calculates and records the reception time.
  • step S203 the communication determination unit 120 of the information processing device 10B refers to the communication determination information 191 and the CAN ID of the read communication message to determine the communication type of the received communication message.
  • the communication determination unit 120 of the information processing device 10B proceeds to step S204.
  • step S204 the communication determination unit 120 instructs the flag control unit 150 to record the detection of the aperiodic communication in the aperiodic communication detection flag 1932 for each CAN ID of the periodic communication. For example, when the communication determination unit 120 sets “1” as a flag at the time of aperiodic communication detection, the aperiodic communication detection flag 1932 stored as “0” is set to “1” for the flag control unit 150. Is updated to, and an instruction is given to record the CAN ID (for example, 0x05) of the aperiodic communication. The flag control unit 150 updates the aperiodic communication detection flag 1932 for the CAN ID of each periodic communication according to the instruction.
  • step S205 the normal processing unit 170 of the information processing device 10B performs the control processing instructed by the received communication message of the aperiodic communication.
  • step S210 the communication unit 100 of the information processing device 10B receives the next communication message having the same CAN ID as the received communication message.
  • FIG. 2B shows a case where the received communication message is periodic communication, and the prediction range of the reception time of periodic communication is corrected in accordance with the reception of the related non-periodic communication communication message, and it is determined that the communication is regular communication. It is a sequence diagram explaining the outline of the process of. Since steps S201 to S203 are the same as in FIG. 2A, the description thereof will be omitted, and steps S206 and subsequent steps will be described.
  • the communication determination unit 120 of the information processing apparatus 10B includes abnormality determination processing in step S206, prediction range calculation processing in step S207, allowable time update processing in step 208, and step S209. Executes normal processing of. The detailed processing of these steps will be described later with reference to FIG.
  • step S206 the abnormality determination unit 130 of the information processing apparatus 10B determines the reception time of the aperiodic communication communication message in which the aperiodic communication detection flag 1932 is set in step S204 of FIG. 2A, and the reception time of the periodic communication communication message. It is determined whether or not there is a relation between the aperiodic communication and the periodic communication by using the prediction range of. Further, the abnormality determination unit 130 determines whether or not the communication message of the periodic communication determined to be related is within the predicted range of the reception time, and the communication message of the periodic communication is within the predicted range of the reception time. If it is determined that there is, it is determined that the communication message of the periodic communication is a communication message by regular communication.
  • step S207 when it is determined that the communication message of the periodic communication is a communication message by regular communication, the permissible range calculation unit 140 of the information processing apparatus 10B calculates a predicted range of the reception time of the communication message to be received next. To do. Further, the permissible range calculation unit 140 determines that the communication message of the periodic communication is not a communication message by regular communication, and there is a possibility that the communication message that should be received within the predicted range arrives with a delay as described later. If it is determined that, the prediction range of the reception time of the communication message of the periodic communication is corrected.
  • step S208 the abnormality determination information update unit 160 of the information processing apparatus 10B updates the prediction range used in step S206 based on the prediction range calculated or corrected in step S207.
  • step S209 when the normal processing unit 170 of the information processing device 10B uses the calculated or modified prediction range to determine that the communication message of the periodic communication is a communication message of the regular communication, the information processing device 10B
  • the flag control unit 150 of the above resets the aperiodic communication detection flag 1932 set in step S204 of FIG. 2A to no detection (for example, "0") for the periodic communication determined to be a communication message by regular communication. , Instructs to reset the error processing flag 1933 from "1" to "0". Further, the normal processing unit 170 performs the control processing instructed by the received communication message of the periodic communication as the normal processing.
  • step S210 the communication unit 100 of the information processing device 10B receives the next communication message having the same CAN ID as the communication message received in step S201.
  • FIG. 3 is a flowchart showing a detailed processing procedure of the information processing apparatus 10B in FIG. 2B.
  • the communication unit 100 receives the communication message transmitted from the information processing device 10A via the communication bus 2.
  • step S302 the information acquisition unit 110 reads the identification information (CAN ID) of the received communication message and calculates the reception time of the communication message. For example, the information acquisition unit 110 calculates the reception time between the received communication messages by counting the number of clocks after receiving the communication message. The information acquisition unit 110 may calculate the reception time by measuring the time from the start of communication using a timer.
  • CAN ID identification information
  • the information acquisition unit 110 calculates the reception time between the received communication messages by counting the number of clocks after receiving the communication message.
  • the information acquisition unit 110 may calculate the reception time by measuring the time from the start of communication using a timer.
  • step S303 the communication determination unit 120 determines whether or not the communication type read by the information acquisition unit 110 is aperiodic communication based on the communication determination information 191 and the identification information (CAN ID) included in the received communication message. Is determined.
  • step S304 when the communication determination unit 120 determines that the received communication message is aperiodic communication (S303; Yes), the aperiodic communication detection flag is sent to the flag control unit 150 for each CAN ID of the periodic communication. Instruct to record 1932.
  • the flag control unit 150 records a flag (for example, "1" indicating detection and a CAN ID for aperiodic communication) in the aperiodic communication detection flag 1932 for each CAN ID.
  • the flag detection information 193 holds a flag for each CAN ID 1931 including the periodic communication controlled by another information processing device 10 (for example, the information processing device 10A in FIG. 2B), but the information processing device 10B controls the flag detection information 193. Only the flag detection information 193 of the CAN ID of the periodic communication predetermined as the target may be stored. As a result, only the flag detection information 193 controlled by the information processing apparatus 10 itself is stored, so that the flag detection information 193 can be held with a small memory capacity.
  • the flag detection information 193 to be controlled may be stored as follows. For example, after the communication determination unit 120 determines that the received communication message is aperiodic communication, the abnormality determination unit 130 further sets the aperiodic communication detection flag 1932 as in step S305 described later. It is determined whether or not the reception time of the communication message of the non-periodic communication is within the predicted range of the reception time of the periodic communication calculated by the information acquisition unit 110 in step S302. When the abnormality determination unit 130 determines that the reception time of the communication message of the non-periodic communication is within the predicted range of the reception time of the periodic communication, the communication determination unit 120 notifies the flag control unit 150.
  • the flag detection information 193 is stored only for the periodic communication related to the aperiodic communication in which the aperiodic communication detection flag 1932 is set, so that the memory capacity can be further reduced.
  • step S305 the communication determination unit 120 performs processing when it is determined that the received communication message is not aperiodic communication (S303; No), that is, when the received communication message is determined to be periodic communication.
  • the abnormality determination unit 130 determines whether or not the reception time of the communication message of the aperiodic communication in which the aperiodic communication detection flag 1932 is set is within the predicted range of the reception time of the periodic communication.
  • the abnormality determination unit 130 determines that the reception time of the communication message of the aperiodic communication is within the predicted range of the reception time of the periodic communication
  • the abnormality determination unit 130 determines that the aperiodic communication and the periodic communication are related to each other. ..
  • the abnormality determination unit 130 determines whether or not the communication message of the periodic communication determined to be related is within the prediction range of the reception time. When the abnormality determination unit 130 determines that the communication message of the periodic communication determined to be related is within the predicted range of the reception time, the abnormality determination unit 130 determines that the communication message of the periodic communication is a communication message by regular communication. ..
  • the abnormality determination unit 130 determines the relationship between the aperiodic communication and the periodic communication (first determination) and determines that the communication message of the periodic communication determined for the relevance is within the prediction range (the determination). The second determination) and the two determinations are performed, and it is determined that the communication message of the periodic communication is due to regular communication.
  • step S306 when it is determined that the communication message of the periodic communication determined to be related to the aperiodic communication and the periodic communication is within the predicted range of the reception time (S305; Yes), the allowable range calculation unit 140 Calculates the predicted range of the reception time of the communication message received at the next timing using the cycle 1924, and the abnormality determination information update unit 160 updates these values.
  • the permissible range calculation unit 140 refers to the abnormality determination information 192 shown in FIG. 7A, and the minimum permissible time stored in association with the CAN ID. Read out 1922 “10.11", maximum permissible time 1923 "10.13", and period 1924 "0.50". The permissible range calculation unit 140 adds a period 1924 "0.50" to each of the minimum permissible time 1922 “10.11” and the maximum permissible time 1923 "10.13", and newly receives a new communication message. The minimum permissible time 1922 and the maximum permissible time 1923 are calculated.
  • the abnormality determination information updating unit 160 sets the minimum allowable time 1922 “10.61” and the maximum allowable time 1923 “10.63” as new allowable times, respectively.
  • the calculation unit (allowable range calculation unit 140) calculates the prediction range of the reception time based on the time (reception time) for receiving the second communication message and the cycle 1924, so that the prediction range is calculated for each cycle. Can be determined.
  • the normal processing unit 170 executes the control process instructed by the received communication message as the normal process. Further, the normal processing unit 170 determines whether or not the aperiodic communication detection flag 1932 and the abnormal time processing flag 1933 are in the non-detection state (for example, “0”), and these flags are in the non-detection state. If it is determined that the flag is not set to, the flag control unit 150 is instructed to reset the values set in these flags. The flag control unit 150 resets these flags according to the instruction.
  • the aperiodic communication detection flag 1932 and the abnormal time processing flag 1933 are in the non-detection state (for example, “0”), and these flags are in the non-detection state. If it is determined that the flag is not set to, the flag control unit 150 is instructed to reset the values set in these flags. The flag control unit 150 resets these flags according to the instruction.
  • step S308 when it is determined that the communication message of the periodic communication determined to be related to the aperiodic communication and the periodic communication is not within the predicted range of the reception time (S305; No), the abnormality determination unit 130 Since the received periodic communication message is not regular communication and may be abnormal, the reception time of the received periodic communication message is earlier than the predicted range, that is, the minimum. It is determined whether or not the reception time is shorter than the allowable time 1922.
  • the abnormality determination unit 130 determines that the received periodic communication communication message is received before the predicted range (S308; Yes)
  • the communication message that should be received in the predicted range may arrive with a delay. It is determined that there is no sex and it is abnormal, and the process proceeds to the abnormal processing in step S309.
  • step S309 the abnormality processing unit 180 executes processing such as discarding the received communication message of the periodic communication and outputting the alert as described above as the abnormality processing.
  • step S310 when the abnormality determination unit 130 determines that the received periodic communication communication message has not been received before the prediction range (S308; No), the communication message that should be received in the prediction range. Judges that it may have arrived late. In this case, the abnormality determination unit 130 further determines whether or not the aperiodic communication detection flag 1932 corresponding to the CAN ID of the received periodic communication communication message is detected. When the abnormality determination unit 130 determines that the aperiodic communication detection flag 1932 is not detected (S310; No), it determines that the aperiodic communication is abnormal because the periodic communication is delayed for some reason other than the aperiodic communication. Then, the same process as in step S309 is executed.
  • step S310 when the abnormality determination unit 130 determines in step S310 that the aperiodic communication detection flag 1932 is detected (S310; Yes), it determines that there is a possibility of abnormality, but as a result, it is not abnormal. Is determined, and the process proceeds to step S311.
  • step S311 the abnormality determination unit 130 determines that the aperiodic communication detection flag 1932 is detected, so that the communication message that should be received within the predicted range may arrive with a delay.
  • the permissible range calculation unit 140 corrects the prediction range based on the determination, and the abnormality determination information update unit 160 updates the value.
  • the permissible range calculation unit 140 adds the addition time 1925 to the minimum permissible time 1922 and the maximum permissible time 1923, and calculates the newly modified minimum permissible time 1922 and the maximum permissible time 1923. Then, the abnormality determination information updating unit 160 updates the minimum permissible time 1922 and the maximum permissible time 1923 before the correction.
  • the addition time 1925 is a time set for sliding the predicted range of the reception time after a predetermined time.
  • the addition time 1925 may be set as a predetermined fixed value or as a value calculated by using a predetermined statistical method.
  • the allowable range calculation unit 140 calculates in advance the average value of the actual reception times when the communication message of the periodic communication is received in the past within the predicted range of the corrected reception time, and sets it as the addition time 1925. You may.
  • the permissible range calculation unit 140 may set the addition time 1925 according to the number of communication messages of aperiodic communication identified by the CAN ID which is prioritized over the periodic communication. It is considered that the larger the number of non-periodic communication communication messages identified by the above-mentioned prioritized CAN ID, the higher the possibility that the periodic communication will be delayed.
  • the permissible range calculation unit 140 sets the addition time 1925 longer as the number of communication messages of the aperiodic communication increases within a predetermined period. In this way, the permissible range calculation unit 140 and the abnormality determination information update unit 160 (correction unit) are corrected by adding a predetermined value or a value calculated by using a predetermined statistical method to the prediction range of the reception time. , Various methods can be used to determine the addition time by an optimum method according to the environment in which the information processing apparatus 10 is mounted.
  • FIG. 4 is a flowchart showing a processing procedure of the processing (step S311) of correcting the prediction range using the addition time.
  • step S401 the permissible range calculation unit 140 reads the reception time of the communication message of the periodic communication calculated by the information acquisition unit 110, the minimum permissible time 1922 and the maximum permissible time 1923 stored in the abnormality determination information 192.
  • step S402 the permissible range calculation unit 140 corrects the minimum permissible time 1922 and the maximum permissible time 1923 by the method described above by using the addition time 1925 of the abnormality determination information 192.
  • the abnormality determination information update unit 160 updates the minimum allowable time 1922 and the maximum allowable time 1923 to the corrected values. For example, as shown in FIG. 7B, for the periodic communication with the CAN ID of "0x03", the minimum allowable time “10.11” and the maximum allowable time “10.13” before modification shown in FIG. 7A, respectively. The addition time “0.05” is added and updated to the modified minimum allowable time “10.16” and maximum allowable time "10.18".
  • the second communication message of the periodic communication determined to be related by the abnormality determination unit 130 is within the prediction range of the reception time. If not, the prediction range is corrected to the prediction range after a predetermined time (addition time 1925). As a result, the abnormality determination unit 130 can make the second determination based on the modified new prediction range.
  • the abnormality determination information updating unit 160 sets the aperiodic communication detection flag 1932, which is stored in association with the CAN ID of the periodic communication whose prediction range is corrected, to the flag control unit 150. While resetting to no detection (for example, "0"), an instruction is given to set the error processing flag 1933 to have processing (for example, "1"). The flag control unit 150 updates the aperiodic communication detection flag 1932 and the error processing flag 1933 according to the instruction.
  • the process returns to step S305 again, and the abnormality determination unit 130 makes the second determination described above using the corrected reception time prediction range.
  • the abnormality determination unit 130 determines that there is a relationship with the aperiodic communication identified by the aperiodic communication detection flag 1932 reset in step S312. Therefore, the first determination described above is not performed here.
  • the abnormality determination unit 130 determines in the second determination that the communication message of the periodic communication is within the predicted range of the corrected reception time, the communication message of the periodic communication is originally within the predicted range before the correction. It is determined that the communication message is due to regular communication that should be received by, and it is determined that the communication message is due to regular communication.
  • step S306 the allowable range calculation unit 140 determines the corrected minimum allowable time 1922 and The same process as in step S306 is performed for the maximum allowable time 1923. Specifically, the permissible range calculation unit 140 adds a period 1924 to the modified minimum permissible time 1922 and maximum permissible time 1923, and a new minimum permissible time 192 and maximum permissible time for a communication message received in the next cycle. 1923 is calculated, and the abnormality determination information update unit 160 updates these values. After that, the normal processing unit 170 executes the same processing as in step S307.
  • step S308 after the reception time of the received periodic communication communication message is corrected. It is determined whether or not the time is before the predicted range of.
  • the abnormality determination unit 130 determines that the received communication message of the periodic communication is a time before the predicted range after correction (S308; Yes)
  • the abnormality determination unit 130 proceeds to step S310.
  • step S310 the abnormality determination unit 130 determines whether or not the aperiodic communication detection flag 1932 is detected. Since step S311 is executed in the previous process, the aperiodic communication detection flag 1932 is reset without detection at this point. Therefore, in this processing, the abnormality determination unit 130 does not proceed to step S311 again, but proceeds to step S309 and transitions to the abnormality processing.
  • step S309 whether or not the prediction range has been corrected can be determined by the error processing flag 1933, so the following processing may be executed.
  • the abnormality determination unit 130 determines whether or not the abnormality processing flag 1933 (for example, “1”) is set, and if it is determined that the abnormality processing flag 1933 is set, in step S309, Since the abnormality processing unit 180 has executed the abnormality processing in the past, the abnormality processing unit 180 changes the processing content of this time and executes the processing. For example, the abnormality processing unit 180 determines that the abnormality is still abnormal even if the corrected prediction range is used, and outputs a warning message indicating an alert and abnormality determination status information as described above instead of discarding the communication message. You may.
  • the abnormality processing flag 1933 for example, “1”
  • FIG. 8 is a diagram illustrating the concept of a method for determining regular communication using the present embodiment.
  • the information acquisition unit 110 calculates the reception time for each of the periodic communication communication messages (ID1, ID2, ID3) received by the communication unit 100. For example, the information acquisition unit 110 calculates the reception time of the communication message M1 of ID2 received within the prediction range 801. Further, in FIG. 8, since the communication message X1 of the aperiodic communication of the ID 5 is received, the communication determination unit 120 does not correspond to the periodic communication of each of the ID1, ID2, and ID3 with respect to the flag control unit 150.
  • the periodic communication detection flag 1932 (for example, "1" (ID5)) is set.
  • the abnormality determination unit 130 is related to the aperiodic communication (ID5, X1) and the periodic communication (ID2), and the communication message (M1) of the periodic communication determined to be related is within the prediction range 801 of the reception time. Judged to be in. Since the communication message (ID2, M1) of the periodic communication is a communication message by regular communication, the permissible range calculation unit 140 predicts the reception time of the communication message received at the next timing after the cycle T (sec). 802 is calculated. Since the communication message (ID2, M1) of the periodic communication is determined to be a communication message by regular communication, the aperiodic communication detection flag 1932 and the error processing flag 1933 are reset to no detection (for example, "0"). And the normal processing is executed.
  • the flag control unit 150 is not corresponding to the periodic communication of each of the ID1, ID2, and ID3.
  • the periodic communication detection flag 1932 (for example, "1" (ID4)) is set.
  • the abnormality determination unit 130 is related to the aperiodic communication (ID4, X2) and the periodic communication (ID2), and the communication message (M2) of the periodic communication determined to be related is within the prediction range 802 of the reception time. Judge that it is not. Further, the abnormality determination unit 130 does not receive the communication message (M2) of the periodic communication before the prediction range 802, and the aperiodic communication detection flag 1932 corresponding to the CAN ID of the communication message is detected. Judge that it is. The abnormality determination unit 130 determines that the communication message M2 that should be received in the prediction range 802 may have arrived with a delay, and the allowable range calculation unit 140 adds the time to the prediction range 802 based on the determination. A new predicted range 802'after addition of ⁇ t, which is 1925, is calculated, and the flag control unit 150 resets the aperiodic communication detection flag 1932 without detection.
  • the abnormality determination unit 130 determines that the communication message (M2) of the periodic communication determined to be related to the aperiodic communication (ID4, X2) and the periodic communication (ID2) is within the prediction range 802'. To do.
  • the abnormality determination unit 130 should receive the communication message (M2) of the periodic communication in the originally predicted range 802, which arrived late due to the aperiodic communication (ID4, X2) determined to be related. It is determined that the communication message (M2) is a regular communication.
  • the permissible range calculation unit 140 calculates a new prediction range to be received in the next cycle by adding the cycle T to the corrected prediction range 802'.
  • the error processing flag 1933 is reset without detection, and normal processing is executed.
  • the abnormality determination unit 130 determines that the communication message (M2) of the periodic communication determined to be related is not within the new prediction range 802'after correction, the abnormality processing is executed. Become. In this embodiment, a new prediction range 802'is set based on the latest prediction range 802, but a new prediction range 802 is used by using the previous prediction range (for example, the prediction range 801) and the period 1924. 'You may calculate.
  • the communication determination unit determines the type of the communication message, and the first method is used.
  • the relationship between the aperiodic communication and the periodic communication is determined, and the second processing determination unit (abnormality determination unit 130) determines that the periodic communication is related.
  • the second communication message is regular communication of periodic communication. Therefore, it can be correctly determined that the delayed communication message is the regular communication of the periodic communication, and as a result of the determination, the periodic communication can be correctly detected as the regular communication. Further, by correctly detecting the legitimate communication, it is possible to reduce the influence on the driving control of the automobile due to the false detection that the communication message is an attack.
  • the communication determination unit 120 indicates that the first communication message has been received for the periodic communication controlled by the information processing device 10 (aperiodic communication detection flag 1932). Is stored in the storage unit (related information storage unit 190), and the first processing determination unit (abnormality determination unit 130) determines the relationship between the aperiodic communication and the periodic communication using the flag information. Further, the communication determination unit 120 stores the flag information of the periodic communication controlled by the information processing apparatus 10 for the periodic communication determined to be related by the first processing determination unit. Therefore, the regular communication can be determined by using a flag having two values such as "1" and "0" without counting the number of communication messages, so that the required RAM capacity can be suppressed.
  • Patent Document 1 described the regular communication. It cannot be correctly determined that it is, and it is erroneously detected as an attack. However, according to this embodiment, since the regular communication is determined using the above-mentioned two-valued flag, the number of messages does not deviate, and the attack detection accuracy can be improved.
  • Communication bus 10 Information processing device 100 Communication unit 110 Information acquisition unit 120 Communication judgment unit 130 Abnormality judgment unit 140 Allowable range calculation unit 150 Flag control unit 160 Error judgment information update unit 170 Normal processing unit 180 Abnormality processing unit 190 Related information storage unit 191 Communication judgment information 192 Abnormality judgment information 193 Flag detection information

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Small-Scale Networks (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

非周期通信および周期通信が可能な情報処理装置であって、通信メッセージの種別を判定する通信判定部と、種別が非周期通信であると判定された第１の通信メッセージと、種別が周期通信であると判定された第２の通信メッセージを受信する時間の予測範囲とを用いて、非周期通信と周期通信との関連性を判定する第１の処理判定部と、関連性があると判定された周期通信の第２の通信メッセージが、所定時間後の予測範囲にある場合、当該第２の通信メッセージは周期通信の正規通信であると判定する第２の処理判定部と、を備える。

Description

情報処理装置および正規通信判定方法
　本発明は、情報処理装置および正規通信判定方法に関する。
　自動車は、ＣＡＮ（Controller Area Network）やＦｌｅｘＲａｙ（登録商標）等の車載通信プロトコルを用いた車載ネットワークを介して、ＥＣＵ（Electronic Control Unit）間で通信メッセージを送受信して制御される。車載通信プロトコルの中で、例えば、ＣＡＮは、通信メッセージが通信バスに接続される全てのＥＣＵに送信されるという特徴を持ち、ＥＣＵから送信される多くの通信メッセージは、あらかじめ決まった周期間隔で送信される。
　昨今、車載ネットワークと外部ネットワーク(例えば、インターネット、Ｗｉ－Ｆｉ（登録商標）、センサ)との接続によりユーザの利便性が向上した反面、車外からの攻撃によりＥＣＵが乗っ取られて不正な操作が可能になることが指摘されている。このような攻撃の検知手法のひとつとして、ＥＣＵが周期的に通信メッセージを送信する特徴を利用した検知手法がある。
　例えば、特許文献１では、受信部がネットワーク中の通信装置から周期的に送信されるメッセージを受信し、予測部が所定のモニタ期間内に受信部が受信するメッセージの個数をメッセージの送信周期に基づいて予測し、カウント部がモニタ期間内に受信部が受信したメッセージの個数をカウントし、検出部が予測部により得られる予測値とカウント部により得られるカウント値との比較の結果に基づいて、ネットワークに対する攻撃を検出している。
特開２０１９－１２８９９号公報
　ＣＡＮのように周期的に出力される通信メッセージであっても、通信の衝突や消失のために、周期的にメッセージを送受信できない場合がある。この場合、正規通信であったとしても、到着予測時刻から実際の受信時刻が離れるほど、当該通信が攻撃として誤検知される可能性が高まる。将来的に、周期通信の予測技術の精度向上や車載ネットワークの性能向上による通信メッセージの遅延が減少するにつれて、このような誤検知が減少することが予想される。言い換えると、周期通信の予測精度が良くなるために、攻撃の検知精度が向上することが予想される。
　一方で、今後は、自動車のコネクティッド化が進むにつれて、無線通信を介したファームウェアアップデート技術であるＯＴＡ（Over the Air）などの非周期イベント型の通信の増加が見込まれる。既存の通信バスには多くのＥＣＵやＧＷ（Gate Way）等の通信可能な装置が接続されており、通信バスの使用率は高い状態であるため、今後は、非周期通信の増加に伴う周期通信の遅延が多く生じる可能性がある。すなわち、周期通信における攻撃の検知精度が向上したとしても、非周期通信の増加によって正規通信が誤検知される可能性がある。
　この点、特許文献１では、上述のような非周期通信に起因する周期通信の遅延に伴う誤検知については言及されていない。また、特許文献１では、予測した通信メッセージの受信数と実際に受信した通信メッセージ数とを比較することで攻撃を検知するため、何らかの理由によりカウントしたメッセージ数にずれが生じ、正規通信であることを正しく判定できない場合には、攻撃として誤検知されてしまう可能性が依然として残る。このため、単に通信メッセージ数をカウントするのではなく、通信同士の関連性、特に周期通信と非周期通信との関連性に着目し、遅延した通信メッセージが周期通信の正規通信であることを正しく判定する技術の確立が必要である。
　本発明の一側面としては、遅延した通信メッセージが周期通信の正規通信であることを正しく判定する技術を提供することを目的とする。
　本発明の一態様にかかる情報処理装置は、非周期通信および周期通信が可能な情報処理装置であって、通信メッセージの種別を判定する通信判定部と、前記種別が非周期通信であると判定された第１の通信メッセージと、前記種別が周期通信であると判定された第２の通信メッセージを受信する時間の予測範囲とを用いて、非周期通信と周期通信との関連性を判定する第１の処理判定部と、関連性があると判定された周期通信の前記第２の通信メッセージが、所定時間後の前記予測範囲にある場合、当該第２の通信メッセージは周期通信の正規通信であると判定する第２の処理判定部と、を備えることを特徴とする情報処理装置として構成される。
　本明細書において開示される主題の、少なくとも一つの実施の詳細は、添付されている図面と以下の記述の中で述べられる。開示される主題のその他の特徴、態様、効果は、以下の開示、図面、請求項により明らかにされる。
　本発明の一態様によれば、遅延した通信メッセージが周期通信の正規通信であることを正しく判定することができる。
本実施例における情報処理装置の機能構成例を示すブロック図である。 非周期通信受信時の処理の一例の概要を示すシーケンス図である。 周期通信受信時の処理の一例の概要を示すシーケンス図である。 図２Ｂにおける情報処理装置の詳細な処理手順の一例を示すフローチャートである。 加算時間を用いて予測範囲を修正する処理（ステップＳ３１１）の処理手順の一例を示すフローチャートである。 通信判断情報の例を示す図である。 フラグ検知情報の例を示す図である。 異常検知情報の例を示す図である（修正前）。 異常検知情報の例を示す図である（修正後）。 本実施例を用いた正規通信の検知方法の一例の概念を説明する図である。
　以下、図面を参照して本発明の実施形態を説明する。以下の記載および図面は、本発明を説明するための例示であって、説明の明確化のため、適宜、省略および簡略化がなされている。本発明は、他の種々の形態でも実施する事が可能である。特に限定しない限り、各構成要素は単数でも複数でも構わない。
　図面において示す各構成要素の位置、大きさ、形状、範囲などは、発明の理解を容易にするため、実際の位置、大きさ、形状、範囲などを表していない場合がある。このため、本発明は、必ずしも、図面に開示された位置、大きさ、形状、範囲などに限定されない。
　以下の説明では、「テーブル」、「リスト」等の表現にて各種情報を説明することがあるが、各種情報は、これら以外のデータ構造で表現されていてもよい。データ構造に依存しないことを示すために「ＸＸテーブル」、「ＸＸリスト」等を「ＸＸ情報」と呼ぶことがある。識別情報について説明する際に、「識別情報」、「識別子」、「名」、「ＩＤ」、「番号」等の表現を用いた場合、これらについてはお互いに置換が可能である。
　同一あるいは同様な機能を有する構成要素が複数ある場合には、同一の符号に異なる添字を付して説明する場合がある。ただし、これらの複数の構成要素を区別する必要がない場合には、添字を省略して説明する場合がある。
　また、以下の説明では、プログラムを実行して行う処理を説明する場合があるが、プログラムは、プロセッサ（例えばＣＰＵ（Central Processing Unit）、ＧＰＵ（Graphics Processing Unit））によって実行されることで、定められた処理を、適宜に記憶資源（例えばメモリ）および／またはインターフェースデバイス（例えば通信ポート）等を用いながら行うため、処理の主体がプロセッサとされてもよい。同様に、プログラムを実行して行う処理の主体が、プロセッサを有するコントローラ、装置、システム、計算機、ノードであってもよい。プログラムを実行して行う処理の主体は、演算部であれば良く、特定の処理を行う専用回路（例えばＦＰＧＡ（Field-Programmable Gate Array）やＡＳＩＣ（Application Specific Integrated Circuit））を含んでいてもよい。
　プログラムは、プログラムソースから計算機のような装置にインストールされてもよい。プログラムソースは、例えば、プログラム配付サーバまたは計算機が読み取り可能な記憶メディアであってもよい。プログラムソースがプログラム配付サーバの場合、プログラム配付サーバはプロセッサと配付対象のプログラムを記憶する記憶資源を含み、プログラム配付サーバのプロセッサが配付対象のプログラムを他の計算機に配付してもよい。また、以下の説明において、２以上のプログラムが１つのプログラムとして実現されてもよいし、１つのプログラムが２以上のプログラムとして実現されてもよい。
　以下では、複数の情報処理装置（例えば、車載システムの電子制御ユニットでの異常を検出する通信可能な情報処理装置）が接続した車載システムにおいて、ある情報処理装置が、他の情報処理装置から送信される通信の状況、例えば、非周期通信の有無、および非周期通信と周期通信との関連性を判定する。そして、周期通信による通信メッセージ（第２の通信メッセージ）の遅延は、非周期通信による通信メッセージ（第１の通信メッセージ）を受信した後の最初の周期通信の通信メッセージで発生すると考え、上記関連性があると判定された周期通信の上記最初の通信メッセージについて、正規通信であることを判定する。そして、上記最初の通信メッセージが遅延した場合であっても、以下に示すように、上記最初の通信メッセージの受信時間の予測範囲を修正して、正規通信であることの判定を再び行い、遅延した周期通信を正規通信として判定する。以下に本実施の形態にかかる情報処理装置、正規通信判定方法について詳細に説明するが、この例に限らず、例えば、車載システム以外の制御システムやＩＴ（Information Technology）システムなど、周期通信と非周期通信が混在する環境下にある様々な情報処理装置に適用することができる。
　図１は、本実施例における情報処理装置の機能構成例を示すブロック図である。図１に示すように、情報処理装置１０は、通信部１００、情報取得部１１０、通信判定部１２０、異常判定部１３０、許容範囲演算部１４０、フラグ制御部１５０、異常判定情報更新部１６０、正常処理部１７０、異常処理部１８０、関連情報記憶部１９０を備える。関連情報記憶部１９０は、ハードウェアとしては、一般的なメモリ（例えば、ＲＡＭ（Random Access Memory））等の記憶媒体から構成され、通信判断情報１９１、異常判定情報１９２及びフラグ検知情報１９３を記憶する。情報処理装置１０は、通信バス２を介して他の情報処理装置と接続される。
　ここで、情報処理装置１０の各機能構成を説明する前に、想定される情報処理装置の接続に関して述べる。
　情報処理装置１０は、車両内部に複数ある情報処理装置の一つであり、例えば、ハードウェアとしては一般的なＥＣＵやＧＷを表す。車両内部では、複数の情報処理装置を用いて、バス型やスター型の通信システムが構築される。通信バス２の規格としては、例えば、ＣＡＮ、ＦｌｅｘＲａｙ、ＬＩＮ（Local Interconnect Network）、Ｅｔｈｅｒｎｅｔなどの、周期通信を行う様々な規格を用いることができるが、以下では、一例として、通信バス２としてＣＡＮが利用されているものとして説明する。
　また、情報処理装置１０が有する上記各部の機能は、例えば、ＥＣＵのＣＰＵが、ＲＯＭ（Read Only Memory）からプログラムを読み出し、ＲＡＭに対して読み書きして処理を実行することにより実現される。上記プログラムは、ＵＳＢ(Universal Serial Bus)メモリ等の記憶媒体から読み出されたり、ネットワークを介した他のコンピュータ（例えば、ＥＣＵを管理するサーバやクラウド）からダウンロードする等して提供されてもよい。
　ここからは、図１に示した情報処理装置１０の各機能について説明する。但し、下記で説明する機能の一部が、ＳＯＣ（Security Operation Center）などの車外システムや車内の他の機器に設けられていてもよい。
　通信部１００は、通信バス２を介して、他の情報処理装置１０から送信されてきた通信メッセージを受信、または情報処理装置１０の処理結果を他の情報処理装置１０に対して送信する。
　情報取得部１１０は、通信部１００が受信した通信メッセージから識別情報(ＣＡＮ　ＩＤ)を読み取る。情報取得部１１０は、読み取ったＣＡＮ　ＩＤに基づいて、受信した通信メッセージの受信時間を算出する。受信時間は、同じＣＡＮ　ＩＤの通信メッセージについて、あるタイミングで受信した通信メッセージの受信時刻とその前のタイミングで受信した通信メッセージの受信時刻との間隔である。受信時間の算出方法は、情報処理装置１０が保持するタイマーを用いた方法や、情報処理装置１０で用いられているクロック、通信メッセージに付加されているタイムスタンプなどを用いることができる。なお、以下では、受信時刻の間隔を受信時間としているが、あるタイミングで通信メッセージを受信したことが検知できればよく、この場合、当該検知したタイミングの間隔を受信時間とすることができる。
　通信判定部１２０は、情報取得部１１０が読み取ったＣＡＮ　ＩＤを基に通信種別を判定する。通信判定部１２０は、通信種別を判定するために、関連情報記憶部１９０が記憶するテーブルである通信判断情報１９１（図５）を用いる。
　図５は、通信判断情報１９１の例を示す図である。通信判断情報１９１は、ＣＡＮ　ＩＤごとに通信種別を定めた情報であり、周期通信、非周期通信等の通信種別が分類されている。図５では、例えば、ＣＡＮ　ＩＤが「０ｘ０１」で識別される通信は周期通信であることを示している。
　また、通信判定部１２０は、受信した通信メッセージの通信種別が非周期通信であると判定した場合、フラグ制御部１５０に対して、関連情報記憶部１９０に記憶されるテーブルであるフラグ検知情報１９３（図６）に、非周期通信の通信メッセージを受信したことを示す非周期通信検知フラグ１９３２を記録するための指示をする。
　図６は、フラグ検知情報１９３の例を示す図である。フラグ検知情報１９３は、非周期通信と周期通信との関連性の判定に用いられる情報である。フラグ検知情報１９３は、周期通信のＣＡＮ　ＩＤごとに非周期通信検知フラグと異常時処理フラグとが対応付けて記憶される。図６では、例えば、ＣＡＮ　ＩＤが「０ｘ０１」で識別される周期通信では、非周期通信検知フラグ１９３２および異常時処理フラグ１９３３にいずれも「１」が設定されていることを示している。また、非周期通信検知フラグ１９３２には、非周期通信のＣＡＮ　ＩＤ「０ｘ０５」が対応付けて記憶され、非周期通信のＣＡＮ　ＩＤを識別することができるようになっている。ＣＡＮ　ＩＤが「０ｘ０３」で識別される通信についても同様に非周期通信のＣＡＮ　ＩＤ「０ｘ０５」が記憶される。
　異常判定部１３０は、通信判定部１２０が受信した通信メッセージの通信種別が周期通信であると判定した場合に行われる処理部である。異常判定部１３０は、非周期通信検知フラグ１９３２が設定されている非周期通信の通信メッセージの受信時刻が、後述する周期通信の受信時間の予測範囲内にあるか否かを判定する。なお、以下では、非周期通信の通信メッセージの受信時刻を用いて上記判定を行っているが、あるタイミングで非周期通信の通信メッセージを受信したことが検知できればよい。この場合、当該あるタイミングで検知した非周期通信の通信メッセージが上記予測範囲内にあるか否かを判定すればよい。
　異常判定部１３０は、非周期通信検知フラグ１９３２が設定されている非周期通信の通信メッセージの受信時刻が、後述する周期通信の受信時間の予測範囲内にあると判定した場合、その非周期通信と周期通信とに関連性があると判定する。さらに、異常判定部１３０は、関連性があると判定した周期通信の通信メッセージが上記受信時間の予測範囲内にあるか否かを判定する。異常判定部１３０は、関連性があると判定した周期通信の通信メッセージが上記受信時間の予測範囲内にあると判定した場合、その周期通信の通信メッセージは正規通信による通信メッセージであると判定する。
　一方、異常判定部１３０は、関連性があると判定した周期通信の通信メッセージが上記受信時間の予測範囲内にないと判定した場合、さらに、当該周期通信の通信メッセージが、後述する修正された受信時間の予測範囲内にあるか否かを判定する。異常判定部１３０は、当該周期通信の通信メッセージが、後述する修正された受信時間の予測範囲内にあると判定した場合、当該周期通信の通信メッセージは、関連性があると判定された非周期通信により遅延した、本来修正前の予測範囲で受信されるはずの正規通信による通信メッセージであると判断し、その周期通信の通信メッセージは正規通信による通信メッセージであると判定する。
　異常判定部１３０は、これら以外の場合、受信された周期通信の通信メッセージが正規通信ではなく、異常の可能性があると判定する。この場合の具体的な処理については、図３を用いて後述する。
　異常判定部１３０は、これらの判定をするために、関連情報記憶部１９０が記憶するテーブルである異常判定情報１９２（図７Ａ、７Ｂ）に記憶される許容範囲情報を用いる。許容範囲情報は、受信した通信メッセージの次に受信する通信メッセージを正規通信であると判定するための受信時間の予測範囲を示す情報である。図７Ａ、７Ｂでは、当該許容範囲情報として最小許容時間１９２２と最大許容時間１９２３とが定められ、受信時間の予測範囲がこれらの間にあれば正規通信と判定される。予測範囲は、最小許容時間１９２２から最大許容時間１９２３までの間の時間である。例えば、図７Ａでは、ＣＡＮ　ＩＤが「０ｘ０１」で識別される通信は、予測範囲として許容される受信時間の最小値「９．８６秒」から最大値「９．８８秒」までの間であれば、正規通信として判定されることを示している。また、非周期通信検知フラグ１９３２が設定されている非周期通信の通信メッセージの受信時刻が上記最小値「９．８６秒」から最大値「９．８８秒」までの予測範囲内にある場合、その非周期通信（例えば、ＣＡＮ　ＩＤ「０ｘ０５」）と周期通信（例えば、ＣＡＮ　ＩＤ「０ｘ０１」）とに関連性があると判定される。なお、最小許容時間１９２２と最大許容時間１９２３の初期値は、例えば、異常判定部１３０が、周期１９２４の所定の倍数となる時間を用いてあらかじめ定めておけばよい。
　許容範囲演算部１４０は、異常判定部１３０が、上記異常の可能性があると判定したが、その結果異常でないと判定した場合、上記受信時間の予測範囲を、加算時間１９２５を用いて修正する。また、許容範囲演算部１４０は、異常判定部１３０が、周期通信の通信メッセージが正規通信による通信メッセージであると判定した場合、次のタイミングで受信する通信メッセージの受信時間の予測範囲を、周期１９２４を用いて算出する。
　フラグ制御部１５０は、通信判定部１２０により通信メッセージが非周期通信であると判定された場合、許容範囲演算部１４０において予測範囲が修正された場合、異常判定情報更新部１６０や正常処理部１７０、異常処理部１８０等の各部から命令された場合に、指示された命令に従ってフラグを制御する。
　異常判定情報更新部１６０は、許容範囲演算部１４０が算出した次のタイミングで受信する通信メッセージの受信時間の予測範囲に基づいて、異常判定情報１９２に格納されている許容範囲情報を更新する。また、異常判定情報更新部１６０は、許容範囲演算部１４０が修正した後の通信メッセージの受信時間の予測範囲に基づいて、異常判定情報１９２に格納されている許容範囲情報を更新し、フラグ制御部１５０にフラグ検知情報１９３の異常時処理フラグ１９３３を設定する指示をする。例えば、異常判定情報更新部１６０は、フラグ制御部１５０に対して、異常時処理フラグ１９３３の値を「０」から「１」に更新する指示をする。
　正常処理部１７０は、異常判定部１３０が、周期通信の通信メッセージが正規通信による通信メッセージであると判定した場合、正常時処理として、受信した通信メッセージで指示された制御処理を実行する。また、正常処理部１７０は、非周期通信検知フラグ１９３２および異常時処理フラグ１９３３に設定された値をリセットするように、フラグ制御部１５０に対して指示する。例えば、これらのフラグに「１」が設定されていた場合、正常処理部１７０は、これらの値を「１」から「０」にリセットする指示をする。
　異常処理部１８０は、異常判定部１３０が、受信された周期通信の通信メッセージが正規通信ではなく、異常であると判定した場合、異常時処理としての制御処理を行う。例えば、異常処理部１８０は、通信メッセージの破棄やアラートを出力する制御処理を実行する。当該制御処理は、許容範囲演算部１４０が、上記受信時間の予測範囲を修正したか否かにより処理方法を変えてもよい。
　例えば、異常処理部１８０は、異常判定部１３０が、周期通信の通信メッセージが修正前の受信時間の予測範囲内にない場合に異常であると判定した場合には、当該通信メッセージを破棄する。一方、異常処理部１８０は、周期通信の通信メッセージが修正後の受信時間の予測範囲内にない場合に異常であると判定した場合には、予測範囲を修正してもなお周期通信の通信メッセージを受信できなかったと判断する。そして、異常処理部１８０は、当該通信メッセージの破棄に加え、さらに、アラートを示す警告メッセージや、異常であると判定された状況を示す異常判定状況情報を、情報処理装置１０を管理する外部のシステム（例えば、車載システムを統括するサーバやクラウド）に無線ネットワークを介して送信し、当該システムに接続された表示装置に上記警告メッセージと異常判定状況情報とを表示する。これらの情報を確認した管理者は、その状況を判断し、あらかじめ登録された連絡先に通知する等して、情報処理装置１０が搭載された車両のユーザに対して適切なアドバイスを行うことができる。もちろん、異常処理部１８０は、上記警告メッセージや異常判定状況情報を、情報処理装置１０が搭載された車両の表示装置（例えば、車内のコンソールパネル）に表示してもよい。この場合、車両を操作中のユーザに対して、これらの情報をダイレクトに伝えることができる。
　上述した異常判定状況情報は、例えば、後述する図８に示すように、修正前の受信時間の予測範囲８０２および修正後の受信時間の予測範囲８０２’、関連性があると判定された非周期通信の通信メッセージを示す情報（Ｘ１およびＩＤ５、Ｘ２およびＩＤ４）、関連性があると判定され、本来修正前の受信時間の予測範囲８０２内で受信されるはずであった周期通信の通信メッセージを示す情報（Ｍ２およびＩＤ２）を含む、異常判定部１３０により異常と判定されたときの状況を概念的に表した画面情報である。異常処理部１８０は、当該画面情報に、加算時間１９２５（Δｔ秒）を含めてもよい。これにより、どの程度予測範囲がずれたのかを把握でき、異常と判定された場合の原因の判断材料とすることができる。
　また、異常処理部１８０は、当該画面情報に、関連性があると判定され、修正されずに受信時間の予測範囲８０１内で受信された周期通信の通信メッセージを示す情報（Ｍ１およびＩＤ２）を含めてもよい。これにより、当該予測範囲８０１内における周期通信の通信メッセージの時間的な位置を把握することができ、その後の周期で、受信時間の予測範囲の修正が必要となる可能性を予測するための判断材料とすることができる。
　異常判定状況情報では、受信された周期通信の通信メッセージが正規通信ではなく、異常であると判定された場合は、上記許容範囲情報８０２’の範囲外で本来修正前の受信時間の予測範囲８０２内で受信されるはずであった周期通信の通信メッセージを示す情報（Ｍ２およびＩＤ２）が表示されるか、または上記画面情報に表示されずに周期通信が修正後の受信時間の予測範囲よりもさらに遅延している旨と上記警告メッセージとが表示される。このように、異常処理部１８０は、異常判定部１３０により関連性があると判定された周期通信の第２の通信メッセージが、所定時間（加算時間１９２５）後の受信時間の予測範囲８０２’にない場合、予測範囲８０２および当該所定時間後の予測範囲８０２’と、関連性があると判定された非周期通信の第１の通信メッセージを示す情報（Ｘ１およびＩＤ５、Ｘ２およびＩＤ４）と、第２の通信メッセージを示す情報（Ｍ２およびＩＤ２）とを含む異常判定状況情報を、表示部に出力する。
　図２Ａおよび図２Ｂは、通信メッセージ受信後の処理の流れを説明するシーケンス図である。送信側の情報処理装置１０Ａおよび受信側の情報処理装置１０Ｂは、図１のシステム構成をもつ装置である。図２Ａ、図２Ｂでは、送信側の情報処理装置１０Ａおよび受信側の情報処理装置１０ＢがＥＣＵであることを想定しているが、上述の通り、ＧＷ等の他の装置についても同様に適用することができる。
　図２Ａは、受信した通信メッセージの通信種別が非周期通信であった場合の処理の概要を説明するシーケンス図である。以下の処理は、主に情報処理装置１０Ｂで実行されるものである。
　まず、ステップＳ２０１では、情報処理装置１０Ｂの通信部１００は、情報処理装置１０Ａが送信した通信メッセージを受信する。
　ステップＳ２０２では、情報処理装置１０Ｂの情報取得部１１０は、受信した通信メッセージのＣＡＮ　ＩＤを読み取り、受信時間を算出して記録する。
　ステップＳ２０３では、情報処理装置１０Ｂの通信判定部１２０は、通信判断情報１９１と、読み取られた通信メッセージのＣＡＮ　ＩＤとを参照して、受信した通信メッセージの通信種別を判定する。情報処理装置１０Ｂの通信判定部１２０は、受信した通信メッセージの通信種別が非周期通信であった場合、ステップＳ２０４に移行する。
　ステップＳ２０４では、通信判定部１２０は、周期通信のＣＡＮ　ＩＤごとに、フラグ制御部１５０に対して、非周期通信を検知したことを非周期通信検知フラグ１９３２に記録する指示をする。例えば、通信判定部１２０は、非周期通信検知時のフラグとして「１」を設定する場合、フラグ制御部１５０に対して、「０」として記憶されている非周期通信検知フラグ１９３２を「１」に更新し、当該非周期通信のＣＡＮ　ＩＤ（例えば、０ｘ０５）を記録する指示をする。フラグ制御部１５０は、当該指示に従って、それぞれの周期通信のＣＡＮ　ＩＤについて、非周期通信検知フラグ１９３２を更新する。
　ステップＳ２０５では、情報処理装置１０Ｂの正常処理部１７０は、受信した非周期通信の通信メッセージで指示された制御処理を行う。
　ステップＳ２１０では、情報処理装置１０Ｂの通信部１００は、受信した通信メッセージと同じＣＡＮ　ＩＤを持つ次の通信メッセージを受信する。
　図２Ｂは、受信した通信メッセージが周期通信であり、関連性のある非周期通信の通信メッセージの受信に伴って周期通信の受信時間の予測範囲を修正し、正規通信であることを判定する場合の処理の概要を説明するシーケンス図である。ステップＳ２０１からステップＳ２０３は、図２Ａの場合と同様であるためその説明を省略し、ステップＳ２０６以降について説明する。情報処理装置１０Ｂの通信判定部１２０は、通信メッセージの通信種別が周期通信であった場合、ステップＳ２０６の異常判定処理および、ステップＳ２０７の予測範囲演算処理、ステップ２０８の許容時間更新処理、ステップＳ２０９の正常時処理を実行する。これらのステップの詳細な処理については、図３を用いて後述する。
　ステップＳ２０６では、情報処理装置１０Ｂの異常判定部１３０は、図２ＡのステップＳ２０４で非周期通信検知フラグ１９３２が設定された非周期通信の通信メッセージの受信時刻と、周期通信の通信メッセージの受信時間の予測範囲とを用いて、非周期通信と周期通信とに関連性があるか否かを判定する。さらに、異常判定部１３０は、関連性があると判定した周期通信の通信メッセージが受信時間の予測範囲内にあるか否かを判定し、当該周期通信の通信メッセージが受信時間の予測範囲内にあると判定した場合、当該周期通信の通信メッセージが正規通信による通信メッセージであると判定する。
　ステップＳ２０７では、情報処理装置１０Ｂの許容範囲演算部１４０は、上記周期通信の通信メッセージが正規通信による通信メッセージであると判定された場合、次に受信する通信メッセージの受信時間の予測範囲を算出する。また、許容範囲演算部１４０は、上記周期通信の通信メッセージが正規通信による通信メッセージでないと判定され、後述するように上記予測範囲で受信するはずの通信メッセージが遅延して到着する可能性があると判断された場合、上記周期通信の通信メッセージの受信時間の予測範囲を修正する。
　ステップＳ２０８では、情報処理装置１０Ｂの異常判定情報更新部１６０は、ステップＳ２０６で用いた予測範囲を、ステップＳ２０７で算出または修正した予測範囲に基づいて更新する。
　ステップＳ２０９では、情報処理装置１０Ｂの正常処理部１７０は、上記算出または修正された予測範囲を用いて、周期通信の通信メッセージが正規通信による通信メッセージであると判定された場合、情報処理装置１０Ｂのフラグ制御部１５０に、正規通信による通信メッセージであると判定された周期通信について、図２ＡのステップＳ２０４で設定された非周期通信検知フラグ１９３２を検知なし（例えば、「０」）にリセットし、異常時処理フラグ１９３３を「１」から「０」にリセットする指示をする。また、正常処理部１７０は、正常時処理として、受信した周期通信の通信メッセージで指示された制御処理を行う。
　ステップＳ２１０では、情報処理装置１０Ｂの通信部１００は、ステップＳ２０１で受信した通信メッセージと同じＣＡＮ　ＩＤを持つ次の通信メッセージを受信する。
　図３は、図２Ｂにおける情報処理装置１０Ｂの詳細な処理手順を示すフローチャートである。  最初の処理として、ステップＳ３０１では、通信部１００は、情報処理装置１０Ａから通信バス２を介して送信されてきた通信メッセージを受信する。
　ステップＳ３０２では、情報取得部１１０は、受信された通信メッセージの識別情報（ＣＡＮ　ＩＤ）を読み取り、当該通信メッセージの受信時間を算出する。例えば、情報取得部１１０は、通信メッセージを受信した後のクロック数を数えることで、受信した通信メッセージ間の受信時間を算出する。情報取得部１１０は、タイマーを用いて通信が開始してからの時間を計時することで、受信時間を算出しても良い。
　ステップＳ３０３では、通信判定部１２０は、通信判断情報１９１と、受信した通信メッセージに含まれる識別情報（ＣＡＮ　ＩＤ）に基づき、情報取得部１１０により読み取られた通信種別が非周期通信であるか否かを判定する。
　ステップＳ３０４では、通信判定部１２０は、受信した通信メッセージが非周期通信であると判定した場合（Ｓ３０３；Ｙｅｓ）、フラグ制御部１５０に対して、周期通信のＣＡＮ　ＩＤごとに非周期通信検知フラグ１９３２を記録する指示をする。フラグ制御部１５０は、当該指示に従って、それぞれのＣＡＮ　ＩＤについて、非周期通信検知フラグ１９３２にフラグ（例えば、検知ありを示す「１」および非周期通信のＣＡＮ　ＩＤ）を記録する。
　フラグ検知情報１９３は、他の情報処理装置１０（例えば、図２Ｂにおける情報処理装置１０Ａ）が制御対象とする周期通信を含めてＣＡＮ　ＩＤ１９３１ごとにフラグが保持されるが、情報処理装置１０Ｂが制御対象としてあらかじめ定められている周期通信のＣＡＮ　ＩＤのフラグ検知情報１９３だけを記憶しても良い。これにより、情報処理装置１０自らが制御するフラグ検知情報１９３のみが記憶されるため、少ないメモリ容量でフラグ検知情報１９３を保持することができる。
　さらに、上記制御対象とするフラグ検知情報１９３を、次のように記憶させてもよい。例えば、通信判定部１２０が、受信された通信メッセージが非周期通信であると判定した後、さらに、後述するステップＳ３０５と同様に、異常判定部１３０が、非周期通信検知フラグ１９３２が設定されている非周期通信の通信メッセージの受信時刻が、ステップＳ３０２で情報取得部１１０が算出した周期通信の受信時間の予測範囲内にあるか否かを判定する。異常判定部１３０が、上記非周期通信の通信メッセージの受信時刻が、上記周期通信の受信時間の予測範囲内にあると判定した場合に、通信判定部１２０は、フラグ制御部１５０に対して、上記予測範囲内であると判定された周期通信のＣＡＮ　ＩＤの非周期通信検知フラグ１９３２を設定する指示をしてもよい。これにより、非周期通信検知フラグ１９３２が設定されている非周期通信と関連性がある周期通信についてのみフラグ検知情報１９３が記憶されるため、さらに少ないメモリ容量とすることができる。
　ステップＳ３０５では、通信判定部１２０が、受信した通信メッセージが非周期通信でないと判定した場合（Ｓ３０３；Ｎｏ）、すなわち、受信した通信メッセージが周期通信であると判定した場合の処理を行う。異常判定部１３０は、非周期通信検知フラグ１９３２が設定されている非周期通信の通信メッセージの受信時刻が、周期通信の受信時間の予測範囲内にあるか否かを判定する。異常判定部１３０は、上記非周期通信の通信メッセージの受信時刻が、周期通信の受信時間の予測範囲内にあると判定した場合、その非周期通信と周期通信とに関連性があると判定する。さらに、異常判定部１３０は、関連性があると判定した周期通信の通信メッセージが上記受信時間の予測範囲内にあるか否かを判定する。異常判定部１３０は、関連性があると判定した周期通信の通信メッセージが上記受信時間の予測範囲内にあると判定した場合、その周期通信の通信メッセージは正規通信による通信メッセージであると判定する。
　このように、異常判定部１３０は、非周期通信と周期通信との関連性についての判定（第１の判定）と、関連性について判定した周期通信の通信メッセージが予測範囲にあることの判定（第２の判定）と、の２つの判定を行い、周期通信の通信メッセージが正規通信によるものであることを判定する。
　ステップＳ３０６では、非周期通信と周期通信とに関連性があると判定した周期通信の通信メッセージが上記受信時間の予測範囲内にあると判定された場合（Ｓ３０５；Ｙｅｓ）、許容範囲演算部１４０は、次のタイミングで受信する通信メッセージの受信時間の予測範囲を、周期１９２４を用いて算出し、異常判定情報更新部１６０がこれらの値を更新する。
　例えば、許容範囲演算部１４０は、受信した通信メッセージのＣＡＮ　ＩＤが「０ｘ０３」である場合、図７Ａに示す異常判定情報１９２を参照し、当該ＣＡＮ　ＩＤに対応付けて記憶されている最小許容時間１９２２「１０．１１」および最大許容時間１９２３「１０．１３」と、周期１９２４「０．５０」とを読み出す。許容範囲演算部１４０は、最小許容時間１９２２「１０．１１」および最大許容時間１９２３「１０．１３」のそれぞれに、周期１９２４「０．５０」を加算した、次に受信する通信メッセージに対する新たな最小許容時間１９２２と最大許容時間１９２３とを算出する。この場合、異常判定情報更新部１６０は、新たな許容時間として、最小許容時間１９２２「１０．６１」および最大許容時間１９２３「１０．６３」をそれぞれ設定することとなる。このように、算出部（許容範囲演算部１４０）が、第２の通信メッセージを受信する時間（受信時間）と周期１９２４とに基づいて受信時間の予測範囲を算出するので、周期ごとに予測範囲を定めることができる。
　その後、ステップＳ３０７では、正常処理部１７０が、正常時処理として、受信した通信メッセージで指示された制御処理を実行する。また、正常処理部１７０は、非周期通信検知フラグ１９３２および異常時処理フラグ１９３３が検知なしの状態（例えば、「０」）となっているか否かを判定し、これらのフラグが検知なしの状態となっていないと判定した場合、これらのフラグに設定された値をリセットするように、フラグ制御部１５０に対して指示する。フラグ制御部１５０は、当該指示に従って、これらのフラグをリセットする。
　ステップＳ３０８では、非周期通信と周期通信とに関連性があると判定した周期通信の通信メッセージが上記受信時間の予測範囲内にないと判定された場合（Ｓ３０５；Ｎｏ）、異常判定部１３０は、受信された周期通信の通信メッセージが正規通信ではなく、異常の可能性があるため、さらに、受信された周期通信の通信メッセージの受信時間が予測範囲よりも前の時間であるか、すなわち最小許容時間１９２２よりも短い受信時間であるか否かを判定する。異常判定部１３０は、受信された周期通信の通信メッセージが予測範囲よりも前に受信されたと判定した場合（Ｓ３０８；Ｙｅｓ）、上記予測範囲で受信するはずの通信メッセージが遅延して到着する可能性はなく異常であると判断し、ステップＳ３０９の異常時処理に遷移する。
　ステップＳ３０９では、異常処理部１８０は、異常時処理として、受信した周期通信の通信メッセージの破棄や上述したようなアラートを出力するなどの処理を実行する。
　ステップＳ３１０では、異常判定部１３０は、受信された周期通信の通信メッセージが上記予測範囲よりも前に受信されていないと判定した場合（Ｓ３０８；Ｎｏ）、上記予測範囲で受信するはずの通信メッセージが遅延して到着した可能性があると判断する。この場合、異常判定部１３０は、さらに、受信した周期通信の通信メッセージのＣＡＮ　ＩＤに対応する非周期通信検知フラグ１９３２が検知ありになっているか否かを判定する。異常判定部１３０は、非周期通信検知フラグ１９３２が検知ありになってないと判定した場合（Ｓ３１０；Ｎｏ）、非周期通信以外の何らかの理由で当該周期通信に遅延が生じたため異常であると判断し、ステップＳ３０９と同様の処理を実行する。一方、異常判定部１３０は、ステップＳ３１０において、非周期通信検知フラグ１９３２が検知ありになっていると判定した場合（Ｓ３１０；Ｙｅｓ）、異常の可能性があると判定したが、その結果異常でないと判断し、ステップＳ３１１に進む。
　ステップＳ３１１では、異常判定部１３０は、非周期通信検知フラグ１９３２が検知ありになっているため、上記予測範囲で受信するはずの通信メッセージが遅延して到着する可能性があると判断する。許容範囲演算部１４０は、当該判断に基づいて、上記予測範囲を修正し、異常判定情報更新部１６０が値を更新する。
　具体的には、許容範囲演算部１４０は、最小許容時間１９２２、最大許容時間１９２３に加算時間１９２５を加算し、新たな修正後の最小許容時間１９２２および最大許容時間１９２３を算出する。そして、異常判定情報更新部１６０が、修正前の最小許容時間１９２２および最大許容時間１９２３を更新する。加算時間１９２５は、受信時間の予測範囲を所定時間後にずらしてスライドさせるために定められた時間である。
　加算時間１９２５は、所定の固定値として定めるほか、所定の統計的手法を用いて算出した値として定めてよい。例えば、あらかじめ、許容範囲演算部１４０が、修正後の受信時間の予測範囲内で過去に周期通信の通信メッセージを受信したときの実際の受信時刻の平均値を算出して加算時間１９２５として設定してもよい。あるいは、許容範囲演算部１４０が、周期通信よりも優先されるＣＡＮ　ＩＤで識別される非周期通信の通信メッセージの数に応じて、加算時間１９２５を定めてもよい。上記優先されるＣＡＮ　ＩＤで識別される非周期通信の通信メッセージの数が多いほど、周期通信が遅延する可能性は高いと考えられる。そのため、許容範囲演算部１４０は、所定期間内における上記非周期通信の通信メッセージの数が多いほど加算時間１９２５を長く設定する。このように、許容範囲演算部１４０および異常判定情報更新部１６０（修正部）受信時間の予測範囲に、所定値または所定の統計手法を用いて算出された値を加算して、修正を行うので、様々な方法を用いて、情報処理装置１０が搭載された環境に応じた最適な方法で加算時間を定めることができる。
　図４は、加算時間を用いて予測範囲を修正する処理（ステップＳ３１１）の処理手順を示すフローチャートである。
　ステップＳ４０１では、許容範囲演算部１４０は、情報取得部１１０が算出した周期通信の通信メッセージの受信時間と、異常判定情報１９２に格納されている最小許容時間１９２２および最大許容時間１９２３を読み込む。
　ステップＳ４０２では、許容範囲演算部１４０は、異常判定情報１９２の加算時間１９２５を用いて、最小許容時間１９２２および最大許容時間１９２３を、上述した方法で修正する。
　ステップＳ４０３では、異常判定情報更新部１６０は、最小許容時間１９２２および最大許容時間１９２３を、修正された値に更新する。例えば、図７Ｂに示すように、ＣＡＮ　ＩＤが「０ｘ０３」の周期通信について、図７Ａに示した修正前の最小許容時間「１０．１１」および最大許容時間「１０．１３」に対して、それぞれ加算時間「０．０５」が加算され、修正後の最小許容時間「１０．１６」および最大許容時間「１０．１８」に更新される。
　このように、許容範囲演算部１４０および異常判定情報更新部１６０（修正部）は、異常判定部１３０により関連性があると判定された周期通信の第２の通信メッセージが受信時間の予測範囲にない場合に、当該予測範囲を所定時間（加算時間１９２５）後の予測範囲に修正する。これにより、異常判定部１３０は、修正した新たな予測範囲に基づいて、上記第２の判定を行うことができる。
　図３に戻り、ステップＳ３１２では、異常判定情報更新部１６０は、フラグ制御部１５０に対して、予測範囲を修正した周期通信のＣＡＮ　ＩＤに対応付けて記憶されている非周期通信検知フラグ１９３２を検知なし（例えば、「０」）にリセットする一方、異常時処理フラグ１９３３を処理あり（例えば、「１」）に設定する指示をする。フラグ制御部１５０は、当該指示に従って、非周期通信検知フラグ１９３２および異常時処理フラグ１９３３を更新する。
　その後、再度ステップＳ３０５に戻り、異常判定部１３０は、修正された受信時間の予測範囲を用いて、上述した第２の判定を行う。異常判定部１３０は、先のステップＳ３０５で行った第１の判定において、ステップＳ３１２でリセットされた非周期通信検知フラグ１９３２で識別される非周期通信との間で関連性があると判定しているため、ここでは上述した第１の判定を行わない。
　異常判定部１３０は、この第２の判定において、周期通信の通信メッセージが上記修正された受信時間の予測範囲内にあると判定した場合、その周期通信の通信メッセージは、本来修正前の予測範囲で受信されるはずの正規通信による通信メッセージであると判断し、正規通信による通信メッセージであると判定する。
　異常判定部１３０が、上記第２の判定において正規通信による通信メッセージであると判定した場合（再度のＳ３０５；Ｙｅｓ）、ステップＳ３０６において、許容範囲演算部１４０は、修正後の最小許容時間１９２２および最大許容時間１９２３に対して、先のステップＳ３０６と同様の処理を行う。具体的には、許容範囲演算部１４０は、修正後の最小許容時間１９２２および最大許容時間１９２３に周期１９２４を加算した、次の周期で受信する通信メッセージに対する新たな最小許容時間１９２と最大許容時間１９２３とを算出し、異常判定情報更新部１６０がこれらの値を更新する。その後、正常処理部１７０が、先のステップＳ３０７と同様の処理の処理を実行する。
　一方、異常判定部１３０は、上記第２の判定において正規通信による通信メッセージでないと判定した場合（再度のＳ３０５；Ｎｏ）、ステップＳ３０８において、受信された周期通信の通信メッセージの受信時間が修正後の予測範囲よりも前の時間であるか否かを判定する。異常判定部１３０は、受信された周期通信の通信メッセージが修正後の予測範囲よりも前の時間であると判定した場合（Ｓ３０８；Ｙｅｓ）、ステップＳ３１０に進む。
　異常判定部１３０は、ステップＳ３１０において、非周期通信検知フラグ１９３２が検知ありになっているか否かを判定する。前回の処理でステップＳ３１１を実行しているため、この時点では非周期通信検知フラグ１９３２が検知なしにリセットされている。したがって、今回の処理では、異常判定部１３０は、再びステップＳ３１１に進まずに、ステップＳ３０９に進み、異常時処理に遷移する。
　なお、ステップＳ３０９では、予測範囲が修正されたか否かは異常時処理フラグ１９３３により判定することができるため、以下のような処理を実行してもよい。
　例えば、異常判定部１３０は、異常時処理フラグ１９３３（例えば「１」）が設定されているか否かを判定し、異常時処理フラグ１９３３が設定されていると判定した場合は、ステップＳ３０９において、異常処理部１８０は、過去にも異常時処理を実行したため、今回の処理内容を変更して処理を実行する。例えば、異常処理部１８０は、修正後の予測範囲を用いてもなお異常であると判断し、通信メッセージの破棄ではなく、上述したように、アラートを示す警告メッセージや異常判定状況情報を出力してもよい。
　続いて、本実施例で説明した概念を、図８を用いて説明する。  図８は、本実施例を用いた正規通信の判定方法の概念を説明する図である。図８では、通信部１００が受信した周期通信の通信メッセージ（ＩＤ１、ＩＤ２、ＩＤ３）のそれぞれについて、情報取得部１１０が受信時間を算出する。例えば、情報取得部１１０は、予測範囲８０１内で受信するＩＤ２の通信メッセージＭ１の受信時間を算出する。また、図８では、ＩＤ５の非周期通信の通信メッセージＸ１が受信されているため、通信判定部１２０は、フラグ制御部１５０に対して、ＩＤ１、ＩＤ２、ＩＤ３のそれぞれの周期通信に対応する非周期通信検知フラグ１９３２（例えば、「１」（ＩＤ５））を設定する。
　異常判定部１３０は、非周期通信（ＩＤ５、Ｘ１）と周期通信（ＩＤ２）とに関連性があり、関連性があると判定した周期通信の通信メッセージ（Ｍ１）が受信時間の予測範囲８０１内にあると判定する。許容範囲演算部１４０は、当該周期通信の通信メッセージ（ＩＤ２、Ｍ１）は正規通信による通信メッセージであるため、周期Ｔ（ｓｅｃ）後となる次のタイミングで受信する通信メッセージの受信時間の予測範囲８０２を算出する。当該周期通信の通信メッセージ（ＩＤ２、Ｍ１）は正規通信による通信メッセージであると判定されているため、非周期通信検知フラグ１９３２および異常時処理フラグ１９３３が検知なし（例えば、「０」）にリセットされ、正常時処理が実行される。
　さらに、図８では、通信判定部１２０は、ＩＤ４の非周期通信の通信メッセージＸ２が受信されているため、フラグ制御部１５０に対して、ＩＤ１、ＩＤ２、ＩＤ３のそれぞれの周期通信に対応する非周期通信検知フラグ１９３２（例えば、「１」（ＩＤ４））を設定する。
　異常判定部１３０は、非周期通信（ＩＤ４、Ｘ２）と周期通信（ＩＤ２）とに関連性があり、関連性があると判定した周期通信の通信メッセージ（Ｍ２）が受信時間の予測範囲８０２内にないと判定する。さらに、異常判定部１３０は、上記周期通信の通信メッセージ（Ｍ２）が予測範囲８０２よりも前に受信されておらず、当該通信メッセージのＣＡＮ　ＩＤに対応する非周期通信検知フラグ１９３２が検知ありになっていると判定する。異常判定部１３０は、予測範囲８０２で受信するはずの通信メッセージＭ２が遅延して到着した可能性があると判断し、許容範囲演算部１４０は、当該判断に基づいて、予測範囲８０２に加算時間１９２５であるΔｔを加算した修正後の新たな予測範囲８０２’を算出し、フラグ制御部１５０が非周期通信検知フラグ１９３２を検知なしにリセットする。
　その後、異常判定部１３０は、非周期通信（ＩＤ４、Ｘ２）と周期通信（ＩＤ２）とに関連性があると判定した周期通信の通信メッセージ（Ｍ２）が上記予測範囲８０２’内にあると判定する。異常判定部１３０は、その周期通信の通信メッセージ（Ｍ２）は、関連性があると判定された非周期通信（ＩＤ４、Ｘ２）により遅延して到着した、本来予測範囲８０２で受信されるはずの正規通信による通信メッセージ（Ｍ２）であると判定する。そして、許容範囲演算部１４０は、修正後の予測範囲８０２’に周期Ｔを加算した、次の周期で受信する新たな予測範囲を算出する。
　当該周期通信の通信メッセージ（ＩＤ２、Ｍ２）は正規通信による通信メッセージであると判定されているため、上述した周期通信の通信メッセージ（ＩＤ２、Ｍ１）の場合と同様、非周期通信検知フラグ１９３２および異常時処理フラグ１９３３が検知なしにリセットされ、正常時処理が実行される。一方、異常判定部１３０が、関連性があると判定した周期通信の通信メッセージ（Ｍ２）が修正後の新たな予測範囲８０２’内にないと判定した場合、異常時処理が実行されることとなる。なお、本実施例では、直近の予測範囲８０２を基準として新たな予測範囲８０２’を設定したが、それ以前の予測範囲（例えば、予測範囲８０１）と周期１９２４とを用いて新たな予測範囲８０２’を算出してもよい。
　これまで説明したように、本実施例によれば、非周期通信および周期通信が可能な情報処理装置において、通信判定部（通信判定部１２０）が、通信メッセージの種別を判定し、第１の処理判定部（異常判定部１３０）が、種別が非周期通信であると判定された第１の通信メッセージと、種別が周期通信であると判定された第２の通信メッセージを受信する時間（受信時間）の予測範囲とを用いて、非周期通信と周期通信との関連性を判定し、第２の処理判定部（異常判定部１３０）が、関連性があると判定された周期通信の第２の通信メッセージが、所定時間後（加算時間１９２５）の予測範囲にある場合、当該第２の通信メッセージは周期通信の正規通信であると判定する。したがって、遅延した通信メッセージが周期通信の正規通信であることを正しく判定することができ、当該判定の結果、周期通信を正規通信として正しく検知することができる。さらに、正規通信を正しく検知することによって、通信メッセージが攻撃であるとの誤検知による自動車への走行制御への影響を減少させることができる。
　また、通信メッセージ数をカウントする特許文献１の方式では、ＣＡＮ　ＩＤのそれぞれについて、モニタ期間ごとに、通信メッセージの個数をカウントするカウント値とその予測値とを比較するため、必要とするＲＡＭの容量が多くなる。車載システムでは、ＥＣＵやＧＷなどの低リソースが望まれているものに対しては出来るだけ使用するＲＡＭの容量を少なくしたいというニーズがあるため、当該方式を採用した場合にはそのニーズを満たすことが困難な場合があると考えられる。
　しかし、本実施例によれば、通信判定部１２０が、情報処理装置１０が制御対象とする周期通信について、第１の通信メッセージが受信されたことを示すフラグ情報（非周期通信検知フラグ１９３２）を記憶部（関連情報記憶部１９０）に記憶し、第１の処理判定部（異常判定部１３０）が、当該フラグ情報を用いて、非周期通信と周期通信との関連性を判定する。さらに、通信判定部１２０が、情報処理装置１０が制御対象とする周期通信のうち、上記第１の処理判定部により関連性があると判定された周期通信について、当該フラグ情報を記憶する。したがって、通信メッセージ数をカウントすることなく、「１」、「０」といった２値をとるフラグを用いて正規通信を判定することができるため、必要とするＲＡＭの容量を抑えることができる。
　さらに、例えば、カウントした通信メッセージの個数を保持するＲＡＭの異常といった物理的な要因をはじめ、何らかの原因でカウントしたメッセージ数にずれが生じた場合には、上記特許文献１の方式では、正規通信であることを正しく判定できず、攻撃として誤検知されてしまう。しかし、本実施例によれば、上述した２値をとるフラグを用いて正規通信を判定するため、メッセージ数のずれが生じることがなくなり、攻撃の検知精度を高めることができる。
　上記開示は、代表的実施形態に関して記述されているが、当業者は、開示される主題の趣旨や範囲を逸脱することなく、形式及び細部において、様々な変更や修正が可能であることを理解するであろう。
２　　　通信バス
１０　　情報処理装置
１００　通信部
１１０　情報取得部
１２０　通信判定部
１３０　異常判定部
１４０　許容範囲演算部
１５０　フラグ制御部
１６０　異常判定情報更新部
１７０　正常処理部
１８０　異常処理部
１９０　関連情報記憶部
１９１　通信判断情報
１９２　異常判定情報
１９３　フラグ検知情報

Claims (8)

  1. 　非周期通信および周期通信が可能な情報処理装置であって、
    　通信メッセージの種別を判定する通信判定部と、
    　前記種別が非周期通信であると判定された第１の通信メッセージと、前記種別が周期通信であると判定された第２の通信メッセージを受信する時間の予測範囲とを用いて、非周期通信と周期通信との関連性を判定する第１の処理判定部と、
    　関連性があると判定された周期通信の前記第２の通信メッセージが、所定時間後の前記予測範囲にある場合、当該第２の通信メッセージは周期通信の正規通信であると判定する第２の処理判定部と、
    　を備えることを特徴とする情報処理装置。
  2. 　関連性があると判定された周期通信の前記第２の通信メッセージが前記予測範囲にない場合に、当該予測範囲を所定時間後の前記予測範囲に修正する修正部、
    　を備えることを特徴とする請求項１に記載の情報処理装置。
  3. 　前記修正部は、前記予測範囲に、所定値または所定の統計手法を用いて算出された値を加算して、前記修正を行う、
    　ことを特徴とする請求項２に記載の情報処理装置。
  4. 　前記第２の通信メッセージを受信する時間と周期とに基づいて前記予測範囲を算出する算出部、
    　を備えることを特徴とする請求項１に記載の情報処理装置。
  5. 　前記通信判定部は、前記情報処理装置が制御対象とする周期通信について、前記第１の通信メッセージが受信されたことを示すフラグ情報を記憶部に記憶し、
    　前記第１の処理判定部は、前記フラグ情報を用いて、非周期通信と周期通信との関連性を判定する、
    　ことを特徴とする請求項１に記載の情報処理装置。
  6. 　前記通信判定部は、前記情報処理装置が制御対象とする周期通信のうち、前記第１の処理判定部により前記関連性があると判定された周期通信について、前記フラグ情報を記憶する、
    　ことを特徴とする請求項５に記載の情報処理装置。
  7. 　関連性があると判定された周期通信の前記第２の通信メッセージが、所定時間後の前記予測範囲にない場合、前記予測範囲および所定時間後の前記予測範囲と、関連性があると判定された非周期通信の前記第１の通信メッセージを示す情報と、前記第２の通信メッセージを示す情報とを含む異常判定状況情報を、表示部に出力する異常処理部、
    　を備えることを特徴とする請求項１に記載の情報処理装置。
  8. 　非周期通信および周期通信が可能な情報処理装置が行う正規通信判定方法であって、
    　通信メッセージの種別を判定し、
    　前記種別が非周期通信であると判定された第１の通信メッセージと、前記種別が周期通信であると判定された第２の通信メッセージを受信する時間の予測範囲とを用いて、非周期通信と周期通信との関連性を判定し、
    　関連性があると判定された周期通信の前記第２の通信メッセージが、所定時間後の前記予測範囲にある場合、当該第２の通信メッセージは周期通信の正規通信であると判定する、
    　ことを特徴とする正規通信判定方法。
PCT/JP2020/028167 2019-08-07 2020-07-20 情報処理装置および正規通信判定方法 WO2021024786A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US17/620,634 US11824687B2 (en) 2019-08-07 2020-07-20 Information processing apparatus and legitimate communication determination method
CN202080043650.8A CN114051710B (zh) 2019-08-07 2020-07-20 信息处理装置及正规通信判定方法
DE112020002989.1T DE112020002989T5 (de) 2019-08-07 2020-07-20 Informationsverarbeitungsvorrichtung und verfahren zur bestimmung einer legitimierten kommunikation

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019-145610 2019-08-07
JP2019145610A JP7175858B2 (ja) 2019-08-07 2019-08-07 情報処理装置および正規通信判定方法

Publications (1)

Publication Number Publication Date
WO2021024786A1 true WO2021024786A1 (ja) 2021-02-11

Family

ID=74504101

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/028167 WO2021024786A1 (ja) 2019-08-07 2020-07-20 情報処理装置および正規通信判定方法

Country Status (5)

Country Link
US (1) US11824687B2 (ja)
JP (1) JP7175858B2 (ja)
CN (1) CN114051710B (ja)
DE (1) DE112020002989T5 (ja)
WO (1) WO2021024786A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016134913A (ja) * 2015-01-20 2016-07-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正フレーム対処方法、不正検知電子制御ユニット及び車載ネットワークシステム
JP2018088616A (ja) * 2016-11-29 2018-06-07 富士通株式会社 攻撃検知装置、攻撃検知方法、および、攻撃検知プログラム
WO2018173732A1 (ja) * 2017-03-23 2018-09-27 株式会社オートネットワーク技術研究所 車載通信装置、コンピュータプログラム及びメッセージ判定方法

Family Cites Families (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8804860B2 (en) * 2008-05-27 2014-08-12 Nec Corporation Cognitive radio system, cognitive radio apparatus, and radio signal detection method
KR101479883B1 (ko) * 2010-09-15 2015-01-12 미쓰비시덴키 가부시키가이샤 통신 장치 및 지연 검출 방법
DE112012006248B4 (de) * 2012-04-20 2023-06-22 Mitsubishi Electric Corporation Datenverarbeitungsvorrichtung und Programm
JP5919205B2 (ja) * 2013-01-28 2016-05-18 日立オートモティブシステムズ株式会社 ネットワーク装置およびデータ送受信システム
CN103491174A (zh) * 2013-09-26 2014-01-01 中国船舶重工集团公司第七一六研究所 基于延迟服务器的周期/非周期混合实时任务调度方法
KR101472896B1 (ko) * 2013-12-13 2014-12-16 현대자동차주식회사 차량 내 통신 네트워크에서의 보안 강화 방법 및 그 장치
CN103873387A (zh) * 2014-03-11 2014-06-18 重庆邮电大学 一种面向工业以太网的确定性通信调度方法
CN105629873B (zh) * 2014-11-07 2018-08-24 中国科学院沈阳计算技术研究所有限公司 一种适用于数控系统的混合任务调度方法
DE112015005252T5 (de) * 2014-11-20 2017-08-10 Autonetworks Technologies, Ltd. Kommunikationssteuereinrichtung und Kommunikationssystem
JP6534913B2 (ja) * 2015-11-06 2019-06-26 日立オートモティブシステムズ株式会社 情報処理装置および不正メッセージ検知方法
US10291583B2 (en) * 2016-04-13 2019-05-14 VisualThreat Inc. Vehicle communication system based on controller-area network bus firewall
JP6433951B2 (ja) * 2016-08-09 2018-12-05 東芝デジタルソリューションズ株式会社 ネットワーク監視装置およびプログラム
US11314907B2 (en) * 2016-08-26 2022-04-26 Hitachi, Ltd. Simulation including multiple simulators
JP6891671B2 (ja) 2017-06-29 2021-06-18 富士通株式会社 攻撃検知装置および攻撃検知方法
US10218499B1 (en) * 2017-10-03 2019-02-26 Lear Corporation System and method for secure communications between controllers in a vehicle network
US11711384B2 (en) * 2018-08-27 2023-07-25 Lear Corporation Method and system for detecting message injection anomalies
CN109766229B (zh) * 2018-12-05 2022-02-11 华东师范大学 一种面向综合电子系统的异常检测方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016134913A (ja) * 2015-01-20 2016-07-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正フレーム対処方法、不正検知電子制御ユニット及び車載ネットワークシステム
JP2018088616A (ja) * 2016-11-29 2018-06-07 富士通株式会社 攻撃検知装置、攻撃検知方法、および、攻撃検知プログラム
WO2018173732A1 (ja) * 2017-03-23 2018-09-27 株式会社オートネットワーク技術研究所 車載通信装置、コンピュータプログラム及びメッセージ判定方法

Also Published As

Publication number Publication date
US20220360471A1 (en) 2022-11-10
JP7175858B2 (ja) 2022-11-21
CN114051710B (zh) 2023-05-09
US11824687B2 (en) 2023-11-21
CN114051710A (zh) 2022-02-15
DE112020002989T5 (de) 2022-03-24
JP2021027518A (ja) 2021-02-22

Similar Documents

Publication Publication Date Title
US10911182B2 (en) In-vehicle information processing for unauthorized data
US10986008B2 (en) Abnormality detection in an on-board network system
KR102030397B1 (ko) 네트워크 감시 장치
US10432645B2 (en) In-vehicle network system, fraud-detection electronic control unit, and fraud-detection method
EP2950482B1 (en) Network device and data sending and receiving system
US20210226872A1 (en) Abnormality detection method, abnormality detection apparatus, and abnormality detection system
KR101853676B1 (ko) 차량 침입 탐지 장치 및 방법
JP2019068253A (ja) 異常検知装置、異常検知方法、プログラム及び通信システム
EP3758302A1 (en) Abnormality detection device
WO2018173732A1 (ja) 車載通信装置、コンピュータプログラム及びメッセージ判定方法
US10223319B2 (en) Communication load determining apparatus
CN110832809B (zh) 检测装置、检测方法和非瞬态的计算机可读的存储介质
WO2021024786A1 (ja) 情報処理装置および正規通信判定方法
JP5696685B2 (ja) 車載通信システム、車載通信システムの通信異常監視方法、及び車載通信システムの通信異常監視プログラム
CN114503518B (zh) 检测装置、车辆、检测方法及检测程序
CN111429740B (zh) 异常通知装置
US20240291832A1 (en) In-vehicle device, detection device, transmission control method, and detection method
CN118592018A (zh) 检测装置及检测方法
JP2024093195A (ja) 異常フレーム判定装置、異常フレーム判定方法、及び異常フレーム判定プログラム
CN117640281A (zh) 装置和方法
CN118104217A (zh) 检测装置、检测方法和检测程序
JP2019097012A (ja) 情報処理装置、情報処理方法、及びプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20850808

Country of ref document: EP

Kind code of ref document: A1

122 Ep: pct application non-entry in european phase

Ref document number: 20850808

Country of ref document: EP

Kind code of ref document: A1