WO2021065069A1 - 検知装置、車両、検知方法および検知プログラム - Google Patents

検知装置、車両、検知方法および検知プログラム Download PDF

Info

Publication number
WO2021065069A1
WO2021065069A1 PCT/JP2020/019713 JP2020019713W WO2021065069A1 WO 2021065069 A1 WO2021065069 A1 WO 2021065069A1 JP 2020019713 W JP2020019713 W JP 2020019713W WO 2021065069 A1 WO2021065069 A1 WO 2021065069A1
Authority
WO
WIPO (PCT)
Prior art keywords
message
time
detection
target
unit
Prior art date
Application number
PCT/JP2020/019713
Other languages
English (en)
French (fr)
Inventor
濱田芳博
上田浩史
足立直樹
相羽慎一
上口翔悟
石川史也
Original Assignee
株式会社オートネットワーク技術研究所
住友電装株式会社
住友電気工業株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社オートネットワーク技術研究所, 住友電装株式会社, 住友電気工業株式会社 filed Critical 株式会社オートネットワーク技術研究所
Priority to JP2021551127A priority Critical patent/JP7396363B2/ja
Priority to CN202080042112.7A priority patent/CN114245981A/zh
Priority to US17/622,086 priority patent/US11870789B2/en
Publication of WO2021065069A1 publication Critical patent/WO2021065069A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/28—Timers or timing mechanisms used in protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/50—Testing arrangements
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40006—Architecture of a communication node
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/48—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for in-vehicle communication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/54—Store-and-forward switching systems 
    • H04L12/56—Packet switching systems
    • H04L12/5601—Transfer mode dependent, e.g. ATM
    • H04L2012/5614—User Network Interface
    • H04L2012/5618—Bridges, gateways [GW] or interworking units [IWU]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/54—Store-and-forward switching systems 
    • H04L12/56—Packet switching systems
    • H04L12/5601—Transfer mode dependent, e.g. ATM
    • H04L2012/5628—Testing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks

Definitions

  • the present disclosure relates to detection devices, vehicles, detection methods and detection programs. This application claims priority on the basis of Japanese Application Japanese Patent Application No. 2019-178176 filed on September 30, 2019, and incorporates all of its disclosures herein.
  • Patent Document 1 Japanese Unexamined Patent Publication No. 2014-146868 discloses the following network devices. That is, the network device has a communication unit for receiving data, a time management unit for managing the reception time for receiving data, and a control unit for processing the received data, and periodically receives and processes the data.
  • the control unit records the reception time in the time management unit for each identifier of the data received by the communication unit, and the interval at which data having the same identifier as the reference data is received is a predetermined cycle.
  • the cycle abnormality occurs.
  • the predetermined processing is performed on the first data.
  • Patent Document 2 Japanese Unexamined Patent Publication No. 2018-182725 discloses the following method for determining an unauthorized communication detection standard. That is, the fraudulent communication detection standard determination method is a reference message used for detecting fraudulent communication in a network and an in-vehicle network system including one or more electronic control units connected to the network, which is executed in an information processing system including a storage unit.
  • the communication pattern identification step for identifying the communication pattern indicating the characteristics of the attack message from the information about the attack message for the in-vehicle network system, and the message sent to the network are the communication pattern identification step.
  • the communication pattern determination step of determining whether or not the communication pattern is matched to the communication pattern identified in the above, and the reference message used as a criterion for determining whether or not the message sent to the network is an attack message are used for determining the communication pattern. Includes a reference message determination step that is determined using the determination result in the step.
  • the detection device of the present disclosure is a detection device that detects an unauthorized message in an in-vehicle network, monitors a legitimate message transmitted periodically in the in-vehicle network and the malicious message as a target message, and periodically. Calculation to calculate the time difference between the monitoring unit that monitors the transmitted reference message and the time corresponding to the transmission time of the target message and the time corresponding to the transmission time of the reference message based on the monitoring result by the monitoring unit.
  • a unit and a detection unit that performs a detection process for detecting the malicious message based on the time difference calculated by the calculation unit are provided.
  • the detection method of the present disclosure is a detection method in a detection device that detects an unauthorized message in an in-vehicle network, and monitors a legitimate message periodically transmitted in the in-vehicle network as a target message, and also monitors the malicious message as a target message.
  • a step of monitoring the reference message transmitted periodically a step of calculating the time difference between the time corresponding to the transmission time of the target message and the time corresponding to the transmission time of the reference message based on the monitoring result, and a step of calculating the time difference. It includes a step of performing a detection process for detecting the malicious message based on the calculated time difference.
  • the detection program of the present disclosure is a detection program used in a detection device that detects an unauthorized message in an in-vehicle network, and is a detection program for a computer, a legitimate message periodically transmitted in the in-vehicle network, and a target message for the malicious message. Corresponds to the time corresponding to the transmission time of the target message and the transmission time of the reference message based on the monitoring result by the monitoring unit and the monitoring unit that monitors the reference message transmitted periodically.
  • This is a program for functioning as a calculation unit that calculates a time difference from the time and a detection unit that performs detection processing for detecting the malicious message based on the time difference calculated by the calculation unit.
  • One aspect of the present disclosure can be realized as a semiconductor integrated circuit that realizes a part or all of the detection device, or can be realized as a system including the detection device. Further, one aspect of the present disclosure may be realized as a semiconductor integrated circuit that realizes a part or all of a system including a detection device, or as a program for causing a computer to execute a processing step in a system including a detection device. Can be done.
  • FIG. 1 is a diagram showing a configuration of an in-vehicle communication system according to an embodiment of the present disclosure.
  • FIG. 2 is a diagram showing a configuration of a bus connection device group according to the embodiment of the present disclosure.
  • FIG. 3 is a diagram showing a configuration of a gateway device in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 4 is a diagram showing an example of the hardware configuration of the control device and the gateway device in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 5 is a diagram showing an example of the distribution of the reception time of the target message and the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 1 is a diagram showing a configuration of an in-vehicle communication system according to an embodiment of the present disclosure.
  • FIG. 2 is a diagram showing a configuration of a bus connection device group according to the embodiment of the present disclosure.
  • FIG. 3 is a
  • FIG. 6 is a diagram showing another example of the distribution of the reception time of the target message and the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 7 is a diagram showing another example of the distribution of the reception time of the target message and the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 8 is a diagram showing an example of the distribution of the reception time of the target message and the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 9 is a diagram showing an example of the frequency distribution of the Mahalanobis distance calculated when all the target messages in the in-vehicle communication system according to the embodiment of the present disclosure are regarded as legitimate messages.
  • FIG. 9 is a diagram showing an example of the frequency distribution of the Mahalanobis distance calculated when all the target messages in the in-vehicle communication system according to the embodiment of the present disclosure are regarded as legitimate messages.
  • FIG. 10 is a diagram showing an example of the distribution of the reception time of the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 11 is a diagram showing another example of the distribution of the reception time of the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 12 is a diagram showing an example of the relationship between the reception time of the target message and the reception time of the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 13 is a diagram showing another example of the relationship between the reception time of the target message and the reception time of the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 14 is a diagram showing another example of the relationship between the reception time of the target message and the reception time of the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 15 is a diagram showing an example of the distribution of the reception time of the target message and the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 16 is a flowchart defining an example of an operation procedure when the gateway device performs detection processing in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 17 is a flowchart defining another example of the operation procedure when the gateway device performs the detection process in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 18 is a flowchart defining an example of detection processing in the gateway device of the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 19 is a flowchart defining another example of the detection process in the gateway device of the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 20 is a diagram showing an example of the connection topology of the vehicle-mounted network according to the embodiment of the present disclosure.
  • the present disclosure has been made to solve the above-mentioned problems, and an object thereof is to provide a detection device, a vehicle, a detection method, and a detection program capable of more accurately detecting a malicious message in an in-vehicle network. is there.
  • the detection device is a detection device that detects an unauthorized message in an in-vehicle network, and is a target message for a legitimate message periodically transmitted in the in-vehicle network and the malicious message. Corresponds to the time corresponding to the transmission time of the target message and the transmission time of the reference message based on the monitoring result by the monitoring unit and the monitoring unit that monitors the reference message transmitted periodically. It includes a calculation unit that calculates a time difference from the time, and a detection unit that performs detection processing for detecting the fraudulent message based on the time difference calculated by the calculation unit.
  • the detection process is performed based on the time difference between the time corresponding to the transmission time of the target message and the time corresponding to the transmission time of the reference message, and the detection process is performed based on the time corresponding to the transmission time of the reference message. Since the processing can be performed, it is possible to avoid the occurrence of false detection due to the detection processing based on the reception time of the malicious message included in the target message. Therefore, it is possible to more accurately detect an unauthorized message in the in-vehicle network.
  • the transmission cycle of the legitimate message and the transmission cycle of the reference message are different from each other, and the detection unit determines, as the detection process, whether or not the target message is the malicious message according to the determination criteria. Then, the detection unit performs the detection process while switching a plurality of the determination criteria.
  • the number of the determination criteria used by the detection unit in the detection process is based on the least common multiple of the transmission cycle of the legitimate message and the transmission cycle of the reference message, and the transmission cycle of the legitimate message. Will be decided.
  • the detection device further includes an abnormality detection unit that detects an abnormality in the reference message based on the monitoring result by the monitoring unit and performs a predetermined process when the abnormality is detected.
  • the detection unit has the time difference between the time corresponding to the transmission time of the first target message, which is the target message, and the time corresponding to the transmission time of the reference message, and the first target. Anomalies related to the first target message based on the time difference between the time corresponding to the transmission time of the second target message, which is the target message transmitted after the message, and the time corresponding to the transmission time of the reference message. Is detected.
  • the monitoring unit monitors the target message received by the detection device and the reference message received by the detection device, and the detection unit performs the detection process such that the target message is fraudulent. Whether or not it is a message is determined according to a determination criterion, and the determination criterion is set based on the jitter generated by the oscillator in the vehicle-mounted device that transmits the reference message and the jitter generated by the oscillator in the detection device.
  • the vehicle according to the embodiment of the present disclosure is provided with the detection device.
  • the detection method according to the embodiment of the present disclosure is a detection method in a detection device that detects an unauthorized message in an in-vehicle network, and is a legitimate message periodically transmitted in the in-vehicle network and the malicious message.
  • a target message and a step of monitoring the reference message transmitted periodically, and based on the monitoring result, a time corresponding to the transmission time of the target message and a time corresponding to the transmission time of the reference message.
  • a step of calculating the time difference of the above and a step of performing a detection process for detecting the malicious message based on the calculated time difference are included.
  • the time corresponding to the transmission time of the reference message is detected as a reference. Since the processing can be performed, it is possible to avoid the occurrence of false detection due to the detection processing based on the reception time of the malicious message included in the target message. Therefore, it is possible to more accurately detect an unauthorized message in the in-vehicle network.
  • the detection program according to the embodiment of the present disclosure is a detection program used in a detection device that detects an unauthorized message in an in-vehicle network, and is a legitimate message that is periodically transmitted from a computer to the in-vehicle network.
  • the monitoring unit that monitors the malicious message as the target message and monitors the reference message that is periodically transmitted, and the time corresponding to the transmission time of the target message based on the monitoring result by the monitoring unit.
  • a calculation unit that calculates the time difference from the time corresponding to the transmission time of the reference message and a detection unit that performs detection processing to detect the malicious message based on the time difference calculated by the calculation unit.
  • the detection process is performed based on the time difference between the time corresponding to the transmission time of the target message and the time corresponding to the transmission time of the reference message, and the detection process is performed based on the time corresponding to the transmission time of the reference message. Since the processing can be performed, it is possible to avoid the occurrence of false detection due to the detection processing based on the reception time of the malicious message included in the target message. Therefore, it is possible to more accurately detect an unauthorized message in the in-vehicle network.
  • FIG. 1 is a diagram showing a configuration of an in-vehicle communication system according to an embodiment of the present disclosure.
  • the vehicle-mounted communication system 301 includes a gateway device 101, a plurality of vehicle-mounted communication devices 111, and a plurality of bus connection device groups 121.
  • the gateway device 101 is an example of a detection device.
  • the in-vehicle communication system 301 is mounted on the vehicle 1.
  • FIG. 2 is a diagram showing a configuration of a bus connection device group according to the embodiment of the present disclosure.
  • the bus connection device group 121 includes a plurality of control devices 122.
  • the bus connection device group 121 is not limited to the configuration including a plurality of control devices 122, and may be configured to include one control device 122.
  • the vehicle-mounted network 12 includes a plurality of vehicle-mounted devices that are devices inside the vehicle 1. Specifically, the vehicle-mounted network 12 includes a plurality of vehicle-mounted communication devices 111 and a plurality of control devices 122, which are examples of vehicle-mounted devices.
  • the in-vehicle network 12 may be configured to include a plurality of in-vehicle communication devices 111 and not to include the control device 122 as long as it includes a plurality of in-vehicle devices, or may not include the in-vehicle communication device 111 and a plurality of them. It may be configured to include the control device 122 of the above, or may be configured to include one in-vehicle communication device 111 and one control device 122.
  • the vehicle-mounted communication device 111 communicates with, for example, a device outside the vehicle 1.
  • the in-vehicle communication device 111 is, for example, a TCU (Telematics Communication Unit), a short-range wireless terminal device, and an ITS (Intelligent Transport Systems) radio.
  • the TCU can perform wireless communication with the wireless base station device and can communicate with the gateway device 101 according to a communication standard such as LTE (Long Term Evolution) or 3G.
  • the TCU relays information used for services such as navigation, vehicle theft prevention, remote maintenance and FOTA (Firmware Over The Air).
  • the short-range wireless terminal device is, for example, a wireless terminal device such as a smart phone held by a person in the vehicle 1, that is, a passenger, in accordance with communication standards such as Wi-Fi (registered trademark) and Bluetooth (registered trademark). It is possible to perform wireless communication and to communicate with the gateway device 101.
  • the short-range wireless terminal device relays information used for services such as entertainment, for example.
  • the short-range wireless terminal device includes, for example, a wireless terminal device such as a smart key held by a passenger, and a wireless terminal device provided on a tire in accordance with a predetermined communication standard, and an LF (Low Frequency) band or UHF (Ultra). It is possible to perform wireless communication using radio waves in the High Frequency band, and to communicate with the gateway device 101.
  • the short-range wireless terminal device relays information used for services such as smart entry and TPMS (Tire Pressure Monitoring System).
  • the ITS radio can perform road-to-vehicle communication with roadside units such as optical beacons, radio wave beacons, and ITS spots provided near the road, and is capable of inter-vehicle communication with an in-vehicle terminal mounted on another vehicle. It is possible to communicate with the gateway device 101.
  • the ITS radio relays information used for services such as congestion relief, safe driving support, and route guidance.
  • the gateway device 101 can, for example, transmit and receive data such as firmware updates and data accumulated by the gateway device 101 to and from the maintenance terminal device outside the vehicle 1 via the port 112.
  • the gateway device 101 is connected to the in-vehicle device via, for example, buses 13 and 14.
  • the buses 13 and 14 are, for example, CAN (Control Area Network) (registered trademark), FlexRay (registered trademark), MOST (Media Oriented Systems Transport) (registered trademark), Ethernet (registered trademark), and LIN. It is a bus that complies with standards such as (Local Ethernet Network).
  • the in-vehicle communication device 111 is connected to the gateway device 101 via a corresponding bus 14 that complies with the Ethernet standard. Further, each control device 122 in the bus connection device group 121 is connected to the gateway device 101 via a corresponding bus 13 according to the CAN standard.
  • Bus 13 is provided for each system, for example.
  • the bus 13 is, for example, a drive system bus, a chassis / safety system bus, a body / electrical system bus, and an AV / information system bus.
  • An engine control device, an AT (Automatic Transmission) control device, and a HEV (Hybrid Electric Vehicle) control device, which are examples of the control device 122, are connected to the drive system bus.
  • the engine control device, the AT control device, and the HEV control device control the engine, the AT, and the switching between the engine and the motor, respectively.
  • a brake control device, a chassis control device, and a steering control device which are examples of the control device 122, are connected to the chassis / safety system bus.
  • the brake control device, chassis control device and steering control device control the brake, chassis and steering, respectively.
  • An instrument display control device, an air conditioner control device, an anti-theft control device, an airbag control device, and a smart entry control device which are examples of the control device 122, are connected to the body / electrical system bus.
  • the instrument display control device, the air conditioner control device, the anti-theft control device, the airbag control device and the smart entry control device control the instrument, the air conditioner, the anti-theft mechanism, the airbag mechanism and the smart entry, respectively.
  • the AV / information system bus is connected to a navigation control device, an audio control device, an ETC (Electronic Toll Collection System) (registered trademark) control device, and a telephone control device, which are examples of the control device 122.
  • the navigation control device, the audio control device, the ETC control device, and the telephone control device control the navigation device, the audio device, the ETC device, and the mobile phone, respectively.
  • bus 13 is not limited to the configuration in which the control device 122 is connected, and a device other than the control device 122 may be connected.
  • the gateway device 101 is, for example, a central gateway (CGW) and can communicate with the in-vehicle device.
  • CGW central gateway
  • the gateway device 101 is, for example, information exchanged between the control devices 122 connected to different buses 13 in the vehicle 1, information exchanged between the in-vehicle communication devices 111, and exchanged between the control device 122 and the in-vehicle communication device 111. Performs relay processing to relay the information to be received.
  • a message is periodically transmitted from one in-vehicle device to another in-vehicle device according to a predetermined agreement.
  • a message transmitted periodically from one control device 122 to another control device 122 will be described, but a message transmitted between the control device 122 and the in-vehicle communication device 111, and between each in-vehicle communication device 111. The same applies to the message to be sent.
  • the message may be transmitted by broadcasting, by unicast, or by multicast.
  • the message transmitted periodically is also referred to as a periodic message.
  • vehicle 1 in addition to the periodic message, there is a message transmitted irregularly from one control device 122 to another control device 122.
  • the message includes an ID (Identifier) for identifying the content of the message, the sender, the message number, and the like. It is possible to identify whether or not the message is a periodic message by the ID included in the message.
  • FIG. 3 is a diagram showing a configuration of a gateway device in the in-vehicle communication system according to the embodiment of the present disclosure.
  • the gateway device 101 includes a communication processing unit 51, a monitoring unit 52, a calculation unit 53, a detection unit 54, a storage unit 55, and an abnormality detection unit 56.
  • the storage unit 55 is, for example, a flash memory.
  • the communication processing unit 51, the monitoring unit 52, the calculation unit 53, the detection unit 54, and the abnormality detection unit 56 are realized by, for example, a processor such as a CPU (Central Processing Unit) and a DSP (Digital Signal Processor).
  • a processor such as a CPU (Central Processing Unit) and a DSP (Digital Signal Processor).
  • the gateway device 101 functions as a detection device and performs detection processing for detecting an unauthorized message in the vehicle-mounted network 12.
  • the communication processing unit 51 performs relay processing for relaying a message transmitted between the control devices 122.
  • the communication processing unit 51 when the communication processing unit 51 receives a message from a certain control device 122 via the corresponding bus 13, the communication processing unit 51 adds a time stamp indicating the reception time of the message to the received message. Then, the communication processing unit 51 transmits the message with the time stamp to the other control device 122 via the corresponding bus 13.
  • the monitoring unit 52 monitors the legitimate periodic message and the illegal message as the message to be detected in the gateway device 101, that is, the target message Ma, and also monitors the reference message Mb transmitted periodically.
  • the monitoring unit 52 monitors two types of periodic messages M1 and M2 in the in-vehicle network 12.
  • the periodic messages M1 and M2 are messages having different IDs. Specifically, at least one of the source address and the destination address of the periodic messages M1 and M2 is different from each other. Alternatively, the periodic messages M1 and M2 have different port numbers in the IP header.
  • FIG. 4 is a diagram showing an example of the hardware configuration of the control device and the gateway device in the in-vehicle communication system according to the embodiment of the present disclosure.
  • control device 122A which is an example of the control device 122, includes an oscillator 131A, a CPU (Central Processing Unit) 132A, and a CAN transceiver 133A.
  • control device 122B which is an example of the control device 122, includes an oscillator 131B, a CPU 132B, and a CAN transceiver 133B.
  • the gateway device 101 includes a CPU 141, a CAN transceiver 142, and an oscillator 143.
  • the CPU 141 realizes a part or all of the monitoring unit 52, the calculation unit 53, and the detection unit 54.
  • the CAN transceiver 142 realizes a part or all of the communication processing unit 51.
  • the control device 122A transmits the periodic message M1 in the transmission cycle Ta. More specifically, the CPU 132A in the control device 122A broadcasts or unicasts the periodic message M1 via the CAN transceiver 133A according to the timing of the clock generated based on the oscillation signal from the oscillator 131A.
  • the control device 122B transmits the periodic message M2 in the transmission cycle Tb. More specifically, the CPU 132B in the control device 122B broadcasts or unicasts the periodic message M2 via the CAN transceiver 133B according to the timing of the clock generated based on the oscillation signal from the oscillator 131B.
  • the CAN transceiver 142 in the gateway device 101 adds a time stamp indicating the reception time to the periodic message M1 received from the control device 122A according to the timing of the clock generated based on the oscillation signal from the oscillator 143. Further, the CAN transceiver 142 adds a time stamp indicating the reception time to the periodic message M2 received from the control device 122B according to the timing of the clock generated based on the oscillation signal from the oscillator 143.
  • the message received from the control device 122A and the message received from the control device 122B is the target message Ma, and the other of the periodic messages M1 and M2 is an invalid message in the detection process.
  • the message used for that is, the reference message Mb.
  • the message received from the control device 122A is referred to as the target message Ma
  • the message received from the control device 122B is referred to as the reference message Mb.
  • a part of the message received by the gateway device 101 from the control device 122A is an invalid message.
  • the monitoring unit 52 monitors the legitimate periodic message M1 and the invalid message from the control device 122A as the target message Ma, and monitors the periodic message M2 from the control device 122B as the reference message Mb.
  • the monitoring unit 52 acquires the reception time ta of the target message Ma and the reception time tb of the reference message Mb by monitoring the message relayed by the communication processing unit 51.
  • the storage unit 55 stores the ID of the target message Ma and the ID of the reference message Mb.
  • the ID of the target message Ma is also referred to as a target ID
  • the ID of the reference message Mb is also referred to as a reference ID.
  • the monitoring unit 52 confirms the ID included in the message received by the communication processing unit 51, and the target ID and the reference ID in the storage unit 55.
  • the monitoring unit 52 recognizes that the message received by the communication processing unit 51 is the target message Ma, and the target message By referring to the time stamp given to Ma, the reception time ta of the target message Ma is acquired.
  • the monitoring unit 52 When the monitoring unit 52 acquires the reception time ta, the monitoring unit 52 stores the reception information indicating the acquired reception time ta in association with the reception number N1 indicating the number of the target message Ma received by the communication processing unit 51. Store in part 55.
  • the monitoring unit 52 recognizes that the message received by the communication processing unit 51 is the reference message Mb, and the monitoring unit 52 recognizes that the message is the reference message Mb.
  • the reception time tb of the reference message Mb is acquired.
  • the monitoring unit 52 When the monitoring unit 52 acquires the reception time tb, the monitoring unit 52 stores the reception information indicating the acquired reception time tb in association with the reception number N2 indicating the number of the reference message Mb received by the communication processing unit 51. Store in part 55.
  • the calculation unit 53 calculates the time difference between the time corresponding to the transmission time of the target message Ma and the time corresponding to the transmission time of the reference message Mb based on the monitoring result by the monitoring unit 52.
  • the calculation unit 53 calculates the time difference between the reception time ta of the target message Ma and the reception time tb of the reference message Mb based on the reception information stored in the storage unit 55.
  • FIG. 5 is a diagram showing an example of the distribution of the reception time of the target message and the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • the horizontal axis represents the time.
  • FIG. 5 shows a case where the transmission cycle Ta of the target message Ma and the transmission cycle Tb of the reference message Mb are equal to each other when all the target message Ma are legitimate messages.
  • the calculation unit 53 sets the reception time tap of the p-th target message Map in which the reception number N1 is p and the reception number N2 based on the reception information stored in the storage unit 55.
  • p is an integer of 1 or more.
  • q is an integer greater than or equal to 1.
  • q is equal to p.
  • the reception time tap of the p-th target message Map is expressed by the following equation (1).
  • reception time tbq of the qth reference message Mbq is expressed by the following equation (2).
  • E1 is an error in the transmission time of the message based on the jitter caused by the oscillator 131A in the control device 122A.
  • E2 is an error in the transmission time of the message based on the jitter caused by the oscillator 131B in the control device 122B.
  • E3 is an error in the reception time of the message based on the jitter caused by the oscillator 143 in the gateway device 101. Note that E1, E2, and E3 are errors caused by the manufacturing process, usage environment, aging deterioration, and the like of the oscillators 131A, 131B, and 143, respectively.
  • Ai is a delay time caused by a collision on the bus 13 and a transmission standby delay of the i-th message from the control device 122A.
  • Bi is the delay time caused by the collision and transmission standby delay on the bus 13 of the i-th message from the control device 122A.
  • S1 is a phase difference, that is, an offset between the transmission cycle Ta of the target message Ma and the transmission cycle Tb of the reference message Mb.
  • time difference Xp is expressed by the following equation (3) by subtracting the equation (2) from the equation (1).
  • q p.
  • the transmission cycle Ta and the transmission cycle Tb are equal to each other. Further, since the delay times Ai and Bi each repeat increasing and decreasing independently according to the communication status, the sigma term in the equation (3) does not increase monotonically within a certain numerical range. It can be replaced with an error Errr1 that repeats increasing and decreasing. Further, assuming that the error E1 based on the error of the oscillation signal of the oscillator 131A and the error E2 based on the error of the oscillation signal of the oscillator 131B are equal, the time difference Xp can be expressed by the following equation (4).
  • the time difference Xp is a value that does not depend on the reception numbers N1 and N2, and the probability distribution of the time difference Xp is, for example, a normal distribution.
  • the calculation unit 53 calculates and calculates the time difference Xp between the reception time tap and the reception time tbp based on the reception information stored in the storage unit 55.
  • the time difference information indicating the time difference Xp is stored in the storage unit 55.
  • FIG. 6 is a diagram showing another example of the distribution of the reception time of the target message and the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • the horizontal axis represents the time.
  • FIG. 6 shows a case where the transmission cycle Tb of the reference message Mb is shorter than the transmission cycle Ta of the target message Ma when all the target message Ma are legitimate messages.
  • FIG. 6 shows a case where the transmission cycle Tb is 3 seconds and the transmission cycle Ta is 7 seconds.
  • the calculation unit 53 receives the reception time tap of the p-th target message Map and the q-th reception immediately before the reception time tap based on the reception information stored in the storage unit 55.
  • the time difference Xp from the reception time tbq of the reference message Mbq of is calculated.
  • the time difference between the transmission time of the target message Map and the transmission time of the reference message Mbq theoretically changes in a cycle of the least common multiple L of the transmission cycle Ta and the transmission cycle Tb.
  • the least common multiple L is 21 seconds.
  • the reception time ta (L1 ⁇ k + 1) of the target message Ma (L1 ⁇ k + 1) at the (L1 ⁇ k + 1) th time is expressed by the following equation (5).
  • the reception time tb (L2 ⁇ k + 1) of the (L2 ⁇ k + 1) th reference message Mb (L2 ⁇ k + 1) is expressed by the following equation (6). ..
  • E4 is an error in the transmission time of the message based on the jitter caused by the oscillator 131A in the control device 122A.
  • E5 is an error in the transmission time of the message based on the jitter caused by the oscillator 131B in the control device 122B.
  • E6 is an error in the reception time of the message based on the jitter caused by the oscillator 143 in the gateway device 101. Note that E4, E5, and E6 are errors caused by the manufacturing process, usage environment, aging deterioration, and the like of the oscillators 131A, 131B, and 143, respectively.
  • Ci is a delay time caused by a collision on the bus 13 and a transmission standby delay of the i-th message from the control device 122A.
  • Di is the delay time caused by the collision and transmission standby delay on the bus 13 of the i-th message from the control device 122A.
  • S2 is a phase difference, that is, an offset between the transmission cycle Ta of the target message Ma and the transmission cycle Tb of the reference message Mb.
  • time difference X (L1 ⁇ k + 1) is expressed by the following equation (7) by subtracting the equation (6) from the equation (5).
  • the sigma term in the equation (7) does not increase monotonically within a certain numerical range. It can be replaced with an error Errr2 that repeats increasing and decreasing in. Further, assuming that the error E4 based on the error of the oscillation signal of the oscillator 131A and the error E5 based on the error of the oscillation signal of the oscillator 131B are equal, the time difference X (L1 ⁇ k + 1) is expressed by the following equation (8). be able to.
  • the time difference X (L1 ⁇ k + 1) becomes a value independent of the reception numbers N1 and N2, and the probability distribution of the time difference X (L1 ⁇ k + 1) becomes, for example, a normal distribution.
  • the calculation unit 53 calculates and calculates the time difference Xp between the reception time tap and the reception time tbq based on the reception information stored in the storage unit 55.
  • the time difference information indicating the time difference Xp is stored in the storage unit 55.
  • FIG. 7 is a diagram showing another example of the distribution of the reception time of the target message and the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • the horizontal axis represents the time.
  • FIG. 7 shows a case where the transmission cycle Ta of the target message Ma is shorter than the transmission cycle Tb of the reference message Mb when all the target message Ma are legitimate messages.
  • FIG. 7 shows a case where the transmission cycle Ta is 3 seconds and the transmission cycle Tb is 7 seconds.
  • the calculation unit 53 receives the reception time tap of the p-th target message Map and the q-th reception immediately before the reception time tap based on the reception information stored in the storage unit 55.
  • the time difference Xp from the reception time tbq of the reference message Mbq of is calculated.
  • p is an integer of 1 or more.
  • q is an integer greater than or equal to 1.
  • the time difference between the transmission time of the target message Map and the transmission time of the reference message Mbq theoretically changes in a cycle of the least common multiple L seconds of the transmission cycle Ta and the transmission cycle Tb.
  • the least common multiple L is 21.
  • the reception time ta (L1 ⁇ k + 1) of the target message Ma (L1 ⁇ k + 1) at the (L1 ⁇ k + 1) th time is expressed by the following equation (9).
  • the reception time tb (L2 ⁇ k + 1) of the (L2 ⁇ k + 1) th reference message Mb (L2 ⁇ k + 1) is expressed by the following equation (10). ..
  • E7 is an error in the transmission time of the message based on the jitter caused by the oscillator 131A in the control device 122A.
  • E8 is an error in the transmission time of the message based on the jitter caused by the oscillator 131B in the control device 122B.
  • E9 is an error in the reception time of the message based on the jitter caused by the oscillator 143 in the gateway device 101. Note that E7, E8, and E9 are errors caused by the manufacturing process, usage environment, aging deterioration, and the like of the oscillators 131A, 131B, and 143, respectively.
  • Ei is the delay time caused by the collision of the i-th message from the control device 122A and the transmission standby delay on the bus 13.
  • Fi is the delay time caused by the collision and transmission standby delay on the bus 13 of the i-th message from the control device 122A.
  • S2 is a phase difference, that is, an offset between the transmission cycle Ta of the target message Ma and the transmission cycle Tb of the reference message Mb.
  • time difference X (L1 ⁇ k + 1) is expressed by the following equation (11) by subtracting the equation (10) from the equation (9).
  • the sigma term in the equation (11) does not increase monotonically within a certain numerical range. It can be replaced with an error Errr3 that repeats increasing and decreasing in. Further, assuming that the error E7 based on the error of the oscillation signal of the oscillator 131A and the error E8 based on the error of the oscillation signal of the oscillator 131B are equal, the time difference X (L1 ⁇ k + 1) is expressed by the following equation (12). be able to.
  • the time difference X (L1 ⁇ k + 1) becomes a value independent of the reception numbers N1 and N2, and the probability distribution of the time difference X (L1 ⁇ k + 1) becomes, for example, a normal distribution.
  • the calculation unit 53 calculates and calculates the time difference Xp between the reception time tap and the reception time tbq based on the reception information stored in the storage unit 55.
  • the time difference information indicating the time difference Xp is stored in the storage unit 55.
  • FIG. 8 is a diagram showing an example of the distribution of the reception time of the target message and the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • the horizontal axis represents the time.
  • FIG. 8 shows a transmission cycle Ta of the target message Ma, a transmission cycle Tbx of the reference message Mbx, a transmission cycle Tby of the reference message Mby, and a transmission cycle of the reference message Mbz when all the target message Ma are legitimate messages. It shows the case where Tbz is equal.
  • the calculation unit 53 sets the reception time tap of the p-th target message Map and the reception time tbxq of the q-th reference message Mbxq based on the reception information stored in the storage unit 55.
  • the time difference Xxq of is calculated.
  • the calculation unit 53 calculates the time difference Xyq between the reception time taq of the qth target message Maq and the reception time tbyq of the qth reference message Mbyq based on the reception information stored in the storage unit 55.
  • the calculation unit 53 calculates the time difference Xzq between the reception time taq of the qth target message Maq and the reception time tbzq of the qth reference message Mbzq based on the reception information stored in the storage unit 55.
  • the calculation unit 53 calculates and calculates the time difference Xpp, Xyp, Xzp as the time difference Xp based on the reception information stored in the storage unit 55.
  • the time difference information indicating the time difference Xpp, Xyp, Xzp is stored in the storage unit 55.
  • the detection unit 54 performs detection processing for detecting an unauthorized message based on the time difference Xp calculated by the calculation unit 53.
  • the detection unit 54 determines, as the detection process, whether or not the target message Ma is an invalid message according to a determination criterion.
  • the determination criteria are set based on, for example, the jitter caused by the oscillator 131B in the control device 122B that transmits the reference message Mb and the jitter caused by the oscillator 143 in the gateway device 101. Specifically, the determination criteria are set based on, for example, an error in the message transmission time based on the jitter caused by the oscillator 131B and an error in the message reception time based on the jitter caused by the oscillator 143.
  • the detection unit 54 calculates the statistical distance of the time difference Xp indicated by the time difference information, and compares the calculated statistical distance with the threshold value Th. Then, the detection unit 54 determines whether or not the target message Ma is an invalid message based on the comparison result between the statistical distance and the threshold value Th.
  • the detection unit 54 calculates the Mahalanobis distance D ⁇ 2, which is an example of the statistical distance, according to the following equation (13).
  • D ⁇ 2 means the square of D.
  • the detection unit 54 determines that the target message Ma is a legitimate message. On the other hand, when the calculated Mahalanobis distance D ⁇ 2 is larger than the threshold value Th, the detection unit 54 determines that the target message Ma is an invalid message.
  • the threshold value Th used for comparison with the calculated Mahalanobis distance D ⁇ 2 is preferably an appropriate value so that it can be accurately determined whether or not a malicious message exists in the target message Ma. ..
  • the manufacturer of the vehicle 1 uses the gateway device 101 of the test vehicle of the same type as the vehicle 1 in advance, and uses the time difference Xp calculated by the calculation unit 53 when all the target messages Ma are valid messages. Calculate the Mahalanobis distance D ⁇ 2.
  • FIG. 9 is a diagram showing an example of the frequency distribution of the Mahalanobis distance calculated when all the target messages in the in-vehicle communication system according to the embodiment of the present disclosure are regarded as legitimate messages.
  • the frequency decreases as the Mahalanobis distance D ⁇ 2 calculated using the time difference Xp when all the target message Ma are legitimate messages increases.
  • the detection unit 54 acquires the frequency distribution of the Mahalanobis distance D ⁇ 2 shown in FIG. 9 from the storage unit 55 at the time of activation, and the threshold Th1 is the smallest in the range where the FPR (False Positive Rate) becomes zero. Therefore, it is preferable to set the threshold value Th1.
  • FPR is a false positive rate and is represented by false positive / (false positive + true negative).
  • a true negative is the frequency of recognizing a legitimate message as a legitimate message
  • a false positive is a frequency of detecting a legitimate message as a malicious message.
  • the storage unit 55 may be configured to store a threshold value Th1 predetermined by the manufacturer of the vehicle 1. In this case, the detection unit 54 acquires the threshold value Th1 from the storage unit 55 at the time of activation.
  • the detection unit 54 outputs judgment information indicating a judgment result based on the Mahalanobis distance D ⁇ 2 and the threshold value Th to the communication processing unit 51.
  • the communication processing unit 51 transmits the target message Ma to the transmission destination control device 122.
  • the communication processing unit 51 performs the following processing.
  • the communication processing unit 51 records the target message Ma indicated by the determination information. Further, the communication processing unit 51 transmits alarm information indicating that an illegal message is being transmitted on the bus 13 to a higher-level device inside or outside the vehicle 1.
  • the abnormality detection unit 56 detects an abnormality in the reference message Mb based on the monitoring result by the monitoring unit 52, and performs a predetermined process when the abnormality is detected.
  • the abnormality detection unit 56 detects an abnormality in the reference message Mb based on the received information stored in the storage unit 55 and the transmission cycle Tb of the reference message Mb.
  • the storage unit 55 stores a predetermined threshold value ThB, which is a determination standard used when detecting an abnormality in the reference message Mb.
  • FIG. 10 is a diagram showing an example of the distribution of the reception time of the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • the horizontal axis represents the time.
  • the abnormality detection unit 56 detects the abnormality of the next reference message Mbq based on the reception time tb (q-1) of the reference message Mb (q-1) and the threshold value ThB.
  • the threshold values ThBq1 and ThBq2 that define the permissible range of the reception time tbq of the reference message Mbq are set.
  • the abnormality detection unit 56 compares the reception time tbq in the storage unit 55 with the set threshold values ThBq1 and ThBq2.
  • the reference message Mbq is normal when the reception time tbq is equal to or greater than the threshold value ThBq1 and equal to or less than the threshold value ThBq2, that is, within the permissible range defined by the threshold values ThBq1 and ThBq2.
  • the abnormality detection unit 56 refers to the case where the reception time tbq is less than the threshold value ThBq1 or larger than the threshold value ThBq2, that is, outside the permissible range defined by the threshold values ThBq1 and ThBq2.
  • the message Mbq is determined to be abnormal.
  • the abnormality detection unit 56 determines that the reference message Mbq is abnormal, the abnormality detection unit 56 notifies the calculation unit 53 of the abnormality determination information indicating the reference message Mbq determined to be abnormal.
  • the calculation unit 53 calculates the time difference Xp using the reception time tb of the reference message Mb other than the reference message Mb indicated by the received abnormality determination information.
  • the calculation unit 53 stops the calculation of the time difference Xp.
  • the abnormality detection unit 56 detects an abnormality of each type of reference message Mb. Detect.
  • the abnormality detection unit 56 detects an abnormality related to the reference message Mbq based on the reception time tbq of the reference message Mbq and the reception time tb (q + 1) of the next reference message Mb (q + 1) transmitted after the reference message Mbq. To do.
  • FIG. 11 is a diagram showing another example of the distribution of the reception time of the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • the horizontal axis represents the time.
  • the abnormality detection unit 56 determines that the reference message Mbq whose reception time tbq is within the permissible range defined by the threshold values ThBq1 and ThBq2 is normal, and then transmits the reference message Mbq after the reference message Mbq. If the reception time tb (q + 1) of the next reference message Mb (q + 1) to be performed is within the permissible range specified by the threshold values ThBq1 and ThBq2, the reference messages Mbq and Mb (q + 1) may be abnormal. Judge that there is.
  • the abnormality detection unit 56 determines that the reference messages Mbq and Mb (q + 1) may be abnormal, the abnormality detection unit 56 calculates abnormality determination information indicating the reference messages Mbq and Mb (q + 1) that may be abnormal. Notify to.
  • the calculation unit 53 uses the reception time tb of the reference message Mb other than the reference message Mb that may be abnormal, which is indicated by the received abnormality determination information, and uses the time difference Xp. Is calculated.
  • the transmission cycle Ta of the target message Ma and the transmission cycle Tb of the reference message Mb may be different from each other.
  • the detection unit 54 performs detection processing while switching a plurality of determination criteria.
  • the time difference Xp calculated by the calculation unit 53 changes periodically.
  • the detection unit 54 performs the detection process while switching a plurality of determination criteria according to the periodic change of the time difference Xp.
  • the number of determination criteria used by the detection unit 54 in the detection process is the least common multiple L of the transmission cycle Ta of the target message Ma and the transmission cycle Tb of the reference message Mb when all the target message Ma are legitimate messages, and the target. It is determined based on the transmission cycle Ta of the message Ma. More specifically, the storage unit 55 stores a number of determination criteria, for example, a threshold Th, which is predetermined by the manufacturer of the vehicle 1.
  • the storage unit 55 stores the transmission cycle Ta of the target message Ma, the transmission cycle Tb of the reference message Mb, and the offsets S1, S2, and S3 when all the target message Ma are legitimate messages. Further, the storage unit 55 stores a threshold value Th of the number of values obtained by dividing the least common multiple L by the transmission cycle Ta as a determination standard used by the detection unit 54 in the detection process.
  • FIG. 12 is a diagram showing an example of the relationship between the reception time of the target message and the reception time of the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 12 corresponds to the distribution of the reception times of the target message and the reference message shown in FIG.
  • the time difference Xp between the reception time tap of the target message Map and the reception time tbq of the reference message Mbq to be compared with the target message Map is theoretically 2 seconds, 0 seconds, and 1 second. It changes periodically like 2 seconds.
  • the storage unit 55 has the least common multiple L 21. Is divided by 7, which is the transmission cycle Ta, and three threshold values Th1, Th2, and Th3 are stored.
  • the detection unit 54 performs symbol synchronization processing, which is a process for determining the threshold value Th to be used for comparison with the Mahalanobis distance D ⁇ 2 among the three threshold values Th1, Th2, Th3.
  • the detection unit 54 calculates the theoretical value of the time difference XPs in advance based on the transmission cycles Ta and Tb and the offsets S1, S2 and S3 stored in the storage unit 55. For example, the detection unit 54 calculates a time difference XPs, that is, three time differences Xps, which is the number of values obtained by dividing the least common multiple L by the transmission cycle Ta.
  • the detection unit 54 compares the three time difference Xp stored in the storage unit 55 with the calculated three time difference Xps. Perform matching processing.
  • the detection unit 54 ends the symbol synchronization process. Then, the detection unit 54 performs the detection process while switching the predetermined threshold values Th1, Th2, Th3 corresponding to the three time difference Xps according to the calculated change of the time difference Xps.
  • the detection unit 54 waits until new time difference information is saved in the storage unit 55.
  • the detection unit 54 performs the pattern matching process again.
  • the detection unit 54 repeats the pattern matching process until the difference between the three time difference Xp and the corresponding three time difference Xps becomes equal to or less than a predetermined threshold value.
  • the abnormality detection unit 56 receives the reception time tap of the target message Map and the reception time ta (p-1) of the immediately preceding target message Ma (p-1). ), The abnormality of the received reference message Mb is detected.
  • the abnormality detection unit 56 receives 23 seconds to 30 seconds, which is the reception time of the immediately preceding target message Ma. Based on the reception time tbq of the three reference messages Mb received between, the time difference Xq of the reception time tbq is calculated, and based on the comparison result between the calculated time difference Xq and the threshold value ThB in the storage unit 55. , Detects an abnormality in the reference message Mb.
  • the abnormality detection unit 56 determines that an abnormality has occurred in the reference message Mb, the abnormality detection unit 56 notifies the detection unit 54 of abnormality determination information indicating that the abnormality has been detected.
  • the detection unit 54 When the detection unit 54 receives the abnormality determination information from the abnormality detection unit 56, the detection unit 54 performs the symbol synchronization process again.
  • FIG. 13 is a diagram showing another example of the relationship between the reception time of the target message and the reception time of the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 13 corresponds to the distribution of the reception time of the target message and the reference message shown in FIG.
  • the time difference Xp between the reception time tap of the target message Map and the reception time tbq of the reference message Mbq to be compared with the target message Map is theoretically 0 seconds, 2 seconds, and 1 second. , It changes periodically like 0 seconds.
  • the storage unit 55 has the least common multiple L 21. Is stored divided by 3 which is the transmission cycle Ta, and seven threshold values Th1, Th2, Th3, Th4, Th5, Th6, Th7 are stored.
  • the detection unit 54 is a symbol that determines the threshold value Th to be used for comparison with the Mahalanobis distance D ⁇ 2 among the seven threshold values Th1, Th2, Th3, Th4, Th5, Th6, Th7. Perform synchronous processing.
  • the detection unit 54 calculates the theoretical value of the time difference XPs in advance based on the transmission cycles Ta and Tb and the offsets S1, S2 and S3 stored in the storage unit 55. For example, the detection unit 54 calculates a time difference XPs, that is, seven time differences Xps, which is the number of values obtained by dividing the least common multiple L by the transmission cycle Ta.
  • the detection unit 54 compares the seven time difference Xp stored in the storage unit 55 with the calculated seven time difference Xps.
  • the detection unit 54 ends the symbol synchronization process when the difference between the seven time difference Xp and the corresponding seven time difference Xps is equal to or less than a predetermined threshold value. Then, the detection unit 54 performs detection processing while switching the threshold values Th1, Th2, Th3, Th4, Th5, Th6, Th7 determined in advance corresponding to the seven time difference XPs according to the calculated change of the time difference XPs. I do.
  • the detection unit 54 waits until new time difference information is saved in the storage unit 55.
  • the detection unit 54 performs the pattern matching process again.
  • the detection unit 54 repeats the pattern matching process until the difference between the seven time difference Xp and the corresponding seven time difference Xps becomes equal to or less than a predetermined threshold value.
  • the detection unit 54 complements the reference message Mb by generating a virtual reception time tvb based on the reception time tb of the reference message Mb.
  • FIG. 14 is a diagram showing another example of the relationship between the reception time of the target message and the reception time of the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 14 corresponds to the distribution of the reception time of the target message and the reference message shown in FIG.
  • the detection unit 54 receives the latest reference message Mb when the reception information including the reception time tbp of the target message Map is stored in the storage unit 55 by the monitoring unit 52.
  • f reception time tvbs are generated for the reception time tb of one reference message Mb according to the following equations (14) and (15).
  • f is an integer of 1 or more.
  • Mg is a predetermined margin set in consideration of the delay time of the reference message Mb.
  • the margin Mg is a value obtained by multiplying the maximum delay time that can occur in the reference message Mb by -1.
  • e is the number of reception time tvb already generated by using the reception time tb of a certain reference message Mb.
  • the detection unit 54 receives. Using the reception time tb of the latest reference message Mb, 1 is substituted for e in the equation (15) to generate the reception time tvb again.
  • the detection unit 54 performs detection processing using a preset threshold value Th corresponding to the time difference Xp between the reception time ta of the target message Ma and the generated reception time tvb.
  • the detection unit 54 determines the time difference between the time corresponding to the transmission time of the target message Map and the time corresponding to the transmission time of the reference message Mb, and the transmission time of the target message Ma (p + 1) transmitted after the target message Map. Based on the time difference between the time corresponding to and the time corresponding to the transmission time of the reference message Mb, an abnormality related to the target message Map is detected. More specifically, the detection unit 54 receives the time difference Xp between the reception time tap of the target message Map and the reception time tb of the reference message Mb, and the reception time ta (p + 1) of the target message Ma (p + 1) and the reference message Mb. An abnormality related to the target message Map is detected based on the time difference X (p + 1) from the time tb.
  • FIG. 15 is a diagram showing an example of the distribution of the reception time of the target message and the reference message in the in-vehicle communication system according to the embodiment of the present disclosure.
  • the horizontal axis represents the time.
  • FIG. 15 shows a case where the transmission cycle Ta of the target message Ma and the transmission cycle Tb of the reference message Mb are equal to each other when all the target message Ma are legitimate messages.
  • the calculation unit 53 calculates the time difference Xp between the reception time tap of the target message Map and the reception time tbq of the reference message Mbq.
  • the detection unit 54 calculates the Mahalanobis distance D ⁇ 2 based on the time difference Xp and the equation (13), compares the calculated Mahalanobis distance D ⁇ 2 with the threshold value Th, and based on the comparison result, the target message Map is Determine if it is an invalid message.
  • the calculation unit 53 calculates the time difference X (p + 1a) between the reception time ta (p + 1) of the target message Ma (p + 1) next to the target message Map and the reception time tbq of the reference message Mbq.
  • the detection unit 54 calculates the Mahalanobis distance D ⁇ 2 based on the time difference X (p + 1a) and the equation (13), compares the calculated Mahalanobis distance D ⁇ 2 with the threshold value Th, and based on the comparison result, the target. It is determined whether or not the message Ma (p + 1) is an invalid message.
  • the detection unit 54 determines that the target message Map is not an invalid message and then further determines that the target message Ma (p + 1) is not an invalid message, the target messages Map and Ma (p + 1) may be abnormal. Judge that there is, that is, judge gray.
  • the detection unit 54 calculates the Mahalanobis distance D ⁇ 2 based on the time difference Xp, and compares the calculated Mahalanobis distance D ⁇ 2 with the threshold value Th. Based on this, the configuration is such that it is determined whether or not the target message Map is an invalid message, but the present invention is not limited to this.
  • the detection unit 54 may be configured to determine whether or not the target message Ma is an invalid message by using, for example, a support vector machine.
  • the detection unit 54 may use a support vector machine that classifies into one class, or may use a support vector machine that classifies into multiple classes.
  • the detection unit 54 calculates the classification score f (Xp) according to the following equation (16). The detection unit 54 determines that the target message Map is a legitimate message when the calculated classification score f (Xp) is zero or more, while the detection unit 54 determines that the target message Map is less than zero when the calculated classification score f (Xp) is less than zero. Map determines that the message is invalid.
  • K (x, xi) is a kernel function.
  • the kernel function is a linear kernel, a polynomial kernel, a Gaussian kernel shown in the following equation (17), or a sigmoid kernel.
  • X is a vector of the time difference Xp between the reception time tap of the target message Map and the reception time tbq of the plurality of reference messages Mbq.
  • xi is a support vector.
  • yi is a value corresponding to each class to be classified. For example, when using a support vector machine that classifies into one class, yi is 1.
  • Wi is a weight vector.
  • b is a bias.
  • xi, yi, Wi and b are parameters obtained in advance by machine learning using the gateway device 101 of the test vehicle of the same type as the vehicle 1 and using a legitimate message.
  • the above parameters are set by unsupervised learning. More specifically, the time difference Xp between the reception time tap of the target message Map, which is a legitimate message, and the reception time tbq of the plurality of reference messages Mbq is calculated, and the calculated time difference Xp is used as the learning data set and the verification data set. Classify as.
  • f (Xp) of the data set for verification is calculated using the parameters obtained by machine learning and the above-mentioned equation (16), and the classification score is obtained.
  • f (Xp) is greater than or equal to zero or less than or equal to zero. That is, it is confirmed whether the data set for verification is determined to be a legitimate message or an invalid message.
  • the parameters are appropriately adjusted so that the false positive rate of the determination result of the verification data set becomes a desired value, and machine learning using the learning data set is performed again.
  • the above parameters are set by supervised learning. More specifically, the time difference Xp between the reception time tap of the target message Map, which is a legitimate message, and the reception time tbq of the plurality of reference messages Mbq is calculated, and the calculated time difference Xp is used as the normal data group.
  • an invalid data group which is a data group of a plurality of time differences Xpr larger than the time difference Xp of the normal data group and a data group of a plurality of time differences Xps smaller than the time difference Xp of the normal data group are generated.
  • the normal data group and the invalid data group are classified into a training data set and a verification data set.
  • the classification score f (Xp) of the verification data set is calculated using the parameters obtained by the machine learning and the above-mentioned equation (16), and the classification is performed. It is confirmed whether the data set for verification is determined to be a legitimate message or an invalid message based on the score f (Xp). Then, the time difference Xps and Xpr values of the invalid data group, that is, the gap between the invalid data group and the normal data group, and the parameters are appropriately set so that the false positive rate of the judgment result of the data set for verification becomes a desired value. Adjust and perform machine learning again using the training data set.
  • the detection unit 54 may be configured to determine whether or not the target message Ma is an invalid message by using, for example, a decision tree.
  • Decision tree algorithms are, for example, CART (Classification And Regression Trees) and C4.5.
  • the parameters of the decision tree are set by supervised learning. More specifically, the time difference Xp between the reception time tap of the target message Map, which is a legitimate message, and the reception time tbq of the plurality of reference messages Mbq is calculated, and the calculated time difference Xp is used as the normal data group.
  • an invalid data group which is a data group of a plurality of time differences Xpr larger than the time difference Xp of the normal data group and a data group of a plurality of time differences Xps smaller than the time difference Xp of the normal data group are generated.
  • the normal data group and the invalid data group are classified into a training data set and a verification data set.
  • machine learning of the decision tree using algorithms such as CART and C4.5 is performed using the data set for training, and when the decision tree obtained by machine learning is used, the data set for verification is obtained. Check whether it is determined to be a legitimate message or an invalid message. Then, learning of the time difference Xps and Xpr values of the invalid data group, that is, the gap between the invalid data group and the normal data group, and the decision tree so that the false positive rate of the judgment result of the data set for verification becomes a desired value. Adjust the parameters appropriately, and perform machine learning again using the data set for training.
  • Each device in the in-vehicle communication system includes a computer including a memory, and an arithmetic processing unit such as a CPU in the computer is a program including a part or all of each step of the following flowchart and sequence. Is read from the memory and executed. The programs of these plurality of devices can be installed from the outside. The programs of these plurality of devices are distributed in a state of being stored in a recording medium.
  • FIG. 16 is a flowchart defining an example of an operation procedure when the gateway device performs detection processing in the in-vehicle communication system according to the embodiment of the present disclosure.
  • the gateway device 101 monitors the target message Ma and the reference message Mb in the vehicle-mounted network 12 and acquires the reception time tap of the target message Map and the reception time tbq of the reference message Mbq ( Step S102).
  • the gateway device 101 compares the reception time tbq of the reference message Mbq with the threshold values ThBq1 and ThBq2 (step S104).
  • the gateway device 101 When the reception time tbq is within the permissible range defined by the threshold values ThBq1 and ThBq2 (YES in step S106), the gateway device 101 performs a detection process for detecting an invalid message. Specifically, the gateway device 101 determines whether or not the target message Map is an invalid message (step S108).
  • the gateway device 101 continues to monitor the target message Ma and the reference message Mb, and the next target.
  • the reception time ta (p + 1) of the message Ma (p + 1) and the reception time tb (q + 1) of the next reference message Mb (q + 1) are acquired (step S102).
  • the gateway device 101 determines that the target message Map is a legitimate message as a result of the detection process (NO in step S110)
  • the gateway device 101 continues to monitor the target message Ma and the reference message Mb, and the next target message Ma (NO).
  • the reception time ta (p + 1) of p + 1) and the reception time tb (q + 1) of the next reference message Mb (q + 1) are acquired (step S102).
  • the gateway device 101 determines that the target message Map is an invalid message as a result of the detection process (YES in step S110), the gateway device 101 provides alarm information indicating that the illegal message is transmitted in the vehicle 1 or in the vehicle 1. It is transmitted to a higher-level device outside (step S112).
  • the gateway device 101 continues to monitor the target message Ma and the reference message Mb, and receives the next target message Ma (p + 1) at the reception time ta (p + 1) and the next reference message Mb (q + 1) at the reception time tb ( q + 1) is acquired (step S102).
  • FIG. 17 is a flowchart defining another example of the operation procedure when the gateway device performs the detection process in the in-vehicle communication system according to the embodiment of the present disclosure.
  • the gateway device 101 monitors the target message Ma and the reference message Mb in the vehicle-mounted network 12, and sets a plurality of reception times of the target message Ma and a plurality of reception times tb of the reference message Mb. Acquire (step S202).
  • the gateway device 101 calculates a plurality of time difference Xp based on the acquired plurality of reception time ta and a plurality of reception time tb, and performs symbol synchronization processing using the calculated plurality of time difference Xp (step S204). ..
  • the gateway device 101 acquires the reception time tap of the target message Map and the reception time tbq of the reference message Mbq (step S206).
  • the gateway device 101 compares the reception time tbq of the reference message Mbq with the threshold values ThBq1 and ThBq2 (step S208).
  • the gateway device 101 When the reception time tbq is within the permissible range defined by the threshold values ThBq1 and ThBq2 (YES in step S210), the gateway device 101 performs a detection process for detecting an invalid message. Specifically, the gateway device 101 determines whether or not the target message Map is an invalid message (step S212).
  • the gateway device 101 performs the same processing as in steps S110 and S112 in FIG. 16 as the processing in steps S214 and S216.
  • FIG. 18 is a flowchart defining an example of detection processing in the gateway device of the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 18 shows the details of step S108 in FIG.
  • the gateway device 101 calculates the time difference Xp between the reception time tap of the target message Map and the reception time tbq of the reference message Mbq (step S302).
  • the gateway device 101 calculates the Mahalanobis distance D ⁇ 2 based on the time difference Xp (step S304).
  • the gateway device 101 compares the calculated Mahalanobis distance D ⁇ 2 with the threshold value Th (step S306).
  • the gateway device 101 determines that the target message Map is a valid message (step S310).
  • the gateway device 101 determines that the target message Map is an invalid message (step S312).
  • FIG. 19 is a flowchart defining another example of the detection process in the gateway device of the in-vehicle communication system according to the embodiment of the present disclosure.
  • FIG. 19 shows the details of step S212 in FIG.
  • the gateway device 101 generates a virtual reception time tvb based on the reception time tbq of the reference message Mbq (step S402).
  • the gateway device 101 calculates the time difference Xp between the reception time tap of the target message Map and the reception time tbq or the reception time tvb (step S404).
  • the gateway device 101 performs the same processing as in steps S304 to S312 in FIG. 18 as the processing from step S406 to step S414.
  • the gateway device 101 is configured to detect an unauthorized message in the vehicle-mounted network 12, but the present invention is not limited to this.
  • a detection device other than the gateway device 101 may be configured to detect an unauthorized message in the vehicle-mounted network 12.
  • the gateway device 101 functioning as a detection device is directly connected to the bus 13, but the present invention is not limited to this.
  • FIG. 20 is a diagram showing an example of the connection topology of the in-vehicle network according to the embodiment of the present disclosure.
  • the detection device 151 may be connected to the bus 13 via an in-vehicle device such as a control device 122. In this case, the detection device 151 detects an unauthorized message transmitted to the bus 13, for example, by monitoring the message transmitted and received by the in-vehicle device.
  • the monitoring unit 52 of the detection device 151 acquires the time corresponding to the transmission time of the reference message Mb transmitted by the control device 122 and the time corresponding to the transmission time of the target message Ma. Then, the calculation unit 53 of the detection device 151 calculates the time difference between the transmission time of the target message Ma and the transmission time of the reference message Mb based on the monitoring result by the monitoring unit 52.
  • the gateway device 101 monitors the periodic message M1 and the invalid message from the control device 122A as the target message Ma, and also monitors the periodic message M2 from the control device 122B.
  • the configuration is such that monitoring is performed as a reference message Mb, but the present invention is not limited to this.
  • the control device 122A transmits the periodic message M1 in the transmission cycle Ta and also transmits the periodic message M2 in the transmission cycle Tb. More specifically, the CPU 132A in the control device 122A broadcasts or unicasts the periodic messages M1 and M2 via the CAN transceiver 133A according to the timing of the clock generated based on the oscillation signal from the oscillator 131A.
  • the CAN transceiver 142 in the gateway device 101 monitors the periodic message M1 and the invalid message from the control device 122A as the target message Ma, and monitors the periodic message M2 from the control device 122A as the reference message Mb.
  • the detection unit 54 is configured to determine whether or not the target message Ma is an invalid message as the detection process, but the present invention is limited to this. is not it.
  • the detection unit 54 may be configured to calculate the probability that the target message Ma is an invalid message as the detection process.
  • the number of determination criteria used by the detection unit 54 in the detection process is the transmission cycle Ta of the target message Ma when all the target message Ma are legitimate messages.
  • the configuration is determined based on the least common multiple L of the reference message Mb with the transmission cycle Tb and the transmission cycle Ta of the target message Ma, but the present invention is not limited to this.
  • the number of determination criteria used by the detection unit 54 in the detection process may be a number that does not depend on the least common multiple L and the transmission cycle Ta, for example, a predetermined number. In this case, it is determined whether or not the message is an invalid message for some target message Ma.
  • the abnormality detection unit 56 is configured to detect an abnormality in the reference message Mb based on the monitoring result by the monitoring unit 52, but the present invention is limited to this. It's not a thing.
  • the gateway device 101 may be configured not to include the abnormality detection unit 56.
  • the detection unit 54 determines that the target message Map is not an invalid message and then further determines that the target message Ma (p + 1) is not an invalid message
  • the configuration is such that the target messages Map and Ma (p + 1) are determined to be gray
  • the present invention is not limited to this.
  • the detection unit 54 may be configured not to perform gray determination.
  • the criteria for determining whether or not the target message Ma is an invalid message are the jitter caused by the oscillators 131A and 131B in the control devices 122A and 122B and the gateway device 101.
  • the configuration is set based on the jitter generated by the oscillator 143, but the configuration is not limited to this.
  • the determination standard may be configured to be set independently of the jitter generated by the oscillators 131A, 131B, and 143.
  • a legitimate cycle is based on the time difference between the transmission time of the periodic message and the transmission time of the next periodic message, based on the periodic message transmitted at a certain time.
  • a method of detecting malicious messages spoofing messages can be considered.
  • next periodic message is an invalid message based on the transmission time of the immediately preceding periodic message
  • the illegal message is concerned.
  • the next periodic message is an invalid message.
  • the next malicious message may be erroneously determined to be a legitimate message, or the legitimate message transmitted according to a predetermined transmission cycle may be erroneously determined to be a legitimate message.
  • the monitoring unit 52 monitors the legitimate message and the malicious message periodically transmitted in the in-vehicle network 12 as the target message Ma, and also periodically.
  • the reference message Mb transmitted is monitored.
  • the calculation unit 53 calculates the time difference Xp between the time corresponding to the transmission time of the target message Ma and the time corresponding to the transmission time of the reference message Mb based on the monitoring result by the monitoring unit 52.
  • the detection unit 54 performs detection processing for detecting an unauthorized message based on the time difference Xp calculated by the calculation unit 53.
  • the time corresponding to the transmission time of the reference message Mb is configured to perform the detection process based on the time difference Xp between the time corresponding to the transmission time of the target message Ma and the time corresponding to the transmission time of the reference message Mb. Since the detection process can be performed based on the above, it is possible to avoid the occurrence of false detection due to the detection process based on the reception time of the malicious message included in the target message Ma.
  • the gateway device 101 can more accurately detect an unauthorized message in the in-vehicle network.
  • the transmission cycle of the legitimate message and the transmission cycle Tb of the reference message Mb are different from each other.
  • the detection unit 54 determines whether or not the target message Ma is an invalid message according to a determination criterion.
  • the detection unit 54 performs detection processing while switching a plurality of determination criteria.
  • the number of determination criteria used by the detection unit 54 in the detection process is the least common multiple L of the transmission cycle of the legitimate message and the transmission cycle Tb of the reference message Mb, and the legitimate one. Determined based on the message transmission cycle.
  • whether or not the target message Ma is an invalid message is determined according to a plurality of judgment criteria according to the magnitude of the time difference Xp based on the difference between the transmission cycle of the legitimate message and the transmission cycle Tb of the reference message Mb. Since it can be determined, for example, it is possible to determine whether or not all the target message Mas are invalid messages.
  • the abnormality detection unit 56 detects an abnormality in the reference message Mb based on the monitoring result by the monitoring unit 52, and when the abnormality is detected, performs a predetermined process. Do.
  • the detection unit 54 has a time difference Xp between the time corresponding to the transmission time of the target message Map and the time corresponding to the transmission time of the reference message Mbq, and the target message Map.
  • An abnormality related to the target message Map is detected based on the time difference X (p + 1a) between the time corresponding to the transmission time of the target message Ma (p + 1) transmitted after and the time corresponding to the transmission time of the reference message Mbq.
  • the monitoring unit 52 monitors the target message Ma received by the gateway device 101 and the reference message Mb received by the gateway device 101. As a detection process, the detection unit 54 determines whether or not the target message Ma is an invalid message according to a determination criterion. The determination criteria are set based on the jitter caused by the oscillator 131B in the control device 122B that transmits the reference message Mb and the jitter caused by the oscillator 143 in the gateway device 101.
  • a judgment criterion considering the error of the message transmission time based on the jitter caused by the oscillator 131A in the control device 122A and the error of the message reception time based on the jitter caused by the oscillator 143 in the gateway device 101 can be used. Based on this, more accurate detection processing can be performed.
  • the vehicle 1 includes a gateway device 101.
  • the detection method according to the embodiment of the present disclosure is the detection method in the gateway device 101 that detects an unauthorized message in the in-vehicle network 12.
  • the gateway device 101 monitors the legitimate message and the malicious message periodically transmitted as the target message Ma in the vehicle-mounted network 12, and also monitors the reference message Mb transmitted periodically. To do.
  • the gateway device 101 calculates the time difference Xp between the time corresponding to the transmission time of the target message Ma and the time corresponding to the transmission time of the reference message Mb based on the monitoring result.
  • the gateway device 101 performs a detection process for detecting an unauthorized message based on the calculated time difference Xp.
  • the time corresponding to the transmission time of the reference message Mb is performed by the method of performing the detection process based on the time difference Xp between the time corresponding to the transmission time of the target message Ma and the time corresponding to the transmission time of the reference message Mb. Since the detection process can be performed based on the above, it is possible to avoid the occurrence of false detection due to the detection process based on the reception time of the malicious message included in the target message Ma.
  • the detection method according to the embodiment of the present disclosure can more accurately detect an unauthorized message in the in-vehicle network.
  • a detection device that detects malicious messages in an in-vehicle network.
  • a monitoring unit that monitors the periodically transmitted legitimate message and the malicious message as the target message in the in-vehicle network, and also monitors the reference message that is periodically transmitted.
  • a calculation unit that calculates the time difference between the time corresponding to the transmission time of the target message and the time corresponding to the transmission time of the reference message based on the monitoring result by the monitoring unit.
  • a detection unit that performs detection processing to detect the malicious message based on the time difference calculated by the calculation unit, and a detection unit.
  • An abnormality detection unit that detects an abnormality in the reference message based on the monitoring result by the monitoring unit and notifies the calculation unit of the abnormality when the abnormality is detected.
  • the target message and the reference message have different destinations or sources, and the destinations or sources are different from each other.
  • the calculation unit calculates the time difference based on the time corresponding to the transmission time of the target message and the time corresponding to the transmission time of the reference message in which the abnormality is not detected by the abnormality detection unit. Detection device.
  • a detection device that detects malicious messages in an in-vehicle network.
  • a monitoring unit that monitors the periodically transmitted legitimate message and the malicious message as the target message in the in-vehicle network, and also monitors the reference message that is periodically transmitted.
  • a calculation unit that calculates the time difference between the time corresponding to the transmission time of the target message and the time corresponding to the transmission time of the reference message based on the monitoring result by the monitoring unit.
  • a detection unit that performs detection processing for detecting the malicious message based on the time difference calculated by the calculation unit is provided.
  • the monitoring unit, the calculation unit, and the detection unit are detection devices realized by a processor.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mechanical Engineering (AREA)
  • Small-Scale Networks (AREA)

Abstract

車載ネットワークにおける不正メッセージをより正しく検知する。検知装置は、前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視するとともに、周期的に送信される基準メッセージを監視する監視部と、前記監視部による監視結果に基づいて、前記対象メッセージの送信時刻に対応する時刻と前記基準メッセージの送信時刻に対応する時刻との時間差を算出する算出部と、前記算出部によって算出された前記時間差に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備える。

Description

検知装置、車両、検知方法および検知プログラム
　本開示は、検知装置、車両、検知方法および検知プログラムに関する。
　この出願は、２０１９年９月３０日に出願された日本出願特願２０１９－１７８１７６号を基礎とする優先権を主張し、その開示のすべてをここに取り込む。
　特許文献１（特開２０１４－１４６８６８号公報）には、以下のようなネットワーク装置が開示されている。すなわち、ネットワーク装置は、データを受信する通信部と、データを受信した受信時間を管理する時間管理部と、受信したデータを処理する制御部とを有し、周期的にデータを受信して処理するネットワーク装置において、前記制御部は、前記通信部で受信したデータが有する識別子毎に前記時間管理部における受信時刻を記録し、基準とするデータと同じ識別子を持つデータを受信した間隔が所定周期より短い第１のデータを受信した場合に、前記基準とするデータを受信した時刻から前記所定周期経過するまでに前記第１のデータと同じ識別子を持つ第２のデータを受信した時には、周期異常検出時処理を行い、前記所定周期経過するまでに前記第１のデータと同じ識別子を持つデータを受信しなかった時には、前記第１のデータについて所定の処理を行う。
　また、特許文献２（特開２０１８－１８２７２５号公報）には、以下のような不正通信検知基準決定方法が開示されている。すなわち、不正通信検知基準決定方法は、記憶部を含む情報処理システムで実行される、ネットワーク及び前記ネットワークに接続される１以上の電子制御ユニットを含む車載ネットワークシステムにおける不正通信の検知に用いる基準メッセージの決定方法であって、前記車載ネットワークシステムに対する攻撃メッセージに関する情報から、前記攻撃メッセージの特徴を示す通信パターンを識別する通信パターン識別ステップと、前記ネットワークに送出されたメッセージが、前記通信パターン識別ステップで識別された通信パターンに適合するか否かを判定する通信パターン判定ステップと、前記ネットワークに送出されるメッセージが攻撃メッセージであるか否かの判定の基準に用いる基準メッセージを、前記通信パターン判定ステップにおける判定結果を用いて決定する基準メッセージ決定ステップとを含む。
特開２０１４－１４６８６８号公報 特開２０１８－１８２７２５号公報
　本開示の検知装置は、車載ネットワークにおける不正メッセージを検知する検知装置であって、前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視するとともに、周期的に送信される基準メッセージを監視する監視部と、前記監視部による監視結果に基づいて、前記対象メッセージの送信時刻に対応する時刻と前記基準メッセージの送信時刻に対応する時刻との時間差を算出する算出部と、前記算出部によって算出された前記時間差に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備える。
　本開示の検知方法は、車載ネットワークにおける不正メッセージを検知する検知装置における検知方法であって、前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視するとともに、周期的に送信される基準メッセージを監視するステップと、監視結果に基づいて、前記対象メッセージの送信時刻に対応する時刻と前記基準メッセージの送信時刻に対応する時刻との時間差を算出するステップと、算出した前記時間差に基づいて、前記不正メッセージを検知する検知処理を行うステップとを含む。
　本開示の検知プログラムは、車載ネットワークにおける不正メッセージを検知する検知装置において用いられる検知プログラムであって、コンピュータを、前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視するとともに、周期的に送信される基準メッセージを監視する監視部と、前記監視部による監視結果に基づいて、前記対象メッセージの送信時刻に対応する時刻と前記基準メッセージの送信時刻に対応する時刻との時間差を算出する算出部と、前記算出部によって算出された前記時間差に基づいて、前記不正メッセージを検知する検知処理を行う検知部、として機能させるためのプログラムである。
　本開示の一態様は、検知装置の一部または全部を実現する半導体集積回路として実現され得たり、検知装置を備えるシステムとして実現され得る。また、本開示の一態様は、検知装置を備えるシステムの一部または全部を実現する半導体集積回路として実現され得たり、検知装置を備えるシステムにおける処理のステップをコンピュータに実行させるためのプログラムとして実現され得る。
図１は、本開示の実施の形態に係る車載通信システムの構成を示す図である。 図２は、本開示の実施の形態に係るバス接続装置群の構成を示す図である。 図３は、本開示の実施の形態に係る車載通信システムにおけるゲートウェイ装置の構成を示す図である。 図４は、本開示の実施の形態に係る車載通信システムにおける制御装置およびゲートウェイ装置のハードウェア構成の一例を示す図である。 図５は、本開示の実施の形態に係る車載通信システムにおける対象メッセージおよび基準メッセージの受信時刻の分布の一例を示す図である。 図６は、本開示の実施の形態に係る車載通信システムにおける対象メッセージおよび基準メッセージの受信時刻の分布の他の例を示す図である。 図７は、本開示の実施の形態に係る車載通信システムにおける対象メッセージおよび基準メッセージの受信時刻の分布の他の例を示す図である。 図８は、本開示の実施の形態に係る車載通信システムにおける対象メッセージおよび基準メッセージの受信時刻の分布の一例を示す図である。 図９は、本開示の実施の形態に係る車載通信システムにおけるすべての対象メッセージを正当メッセージとしたときに算出されるマハラノビス距離の度数分布の一例を示す図である。 図１０は、本開示の実施の形態に係る車載通信システムにおける基準メッセージの受信時刻の分布の一例を示す図である。 図１１は、本開示の実施の形態に係る車載通信システムにおける基準メッセージの受信時刻の分布の他の例を示す図である。 図１２は、本開示の実施の形態に係る車載通信システムにおける対象メッセージの受信時刻と基準メッセージの受信時刻との関係の一例を示す図である。 図１３は、本開示の実施の形態に係る車載通信システムにおける対象メッセージの受信時刻と基準メッセージの受信時刻との関係の他の例を示す図である。 図１４は、本開示の実施の形態に係る車載通信システムにおける対象メッセージの受信時刻と基準メッセージの受信時刻との関係の他の例を示す図である。 図１５は、本開示の実施の形態に係る車載通信システムにおける対象メッセージおよび基準メッセージの受信時刻の分布の一例を示す図である。 図１６は、本開示の実施の形態に係る車載通信システムにおいてゲートウェイ装置が検知処理を行う際の動作手順の一例を定めたフローチャートである。 図１７は、本開示の実施の形態に係る車載通信システムにおいてゲートウェイ装置が検知処理を行う際の動作手順の他の例を定めたフローチャートである。 図１８は、本開示の実施の形態に係る車載通信システムのゲートウェイ装置における検知処理の一例を定めたフローチャートである。 図１９は、本開示の実施の形態に係る車載通信システムのゲートウェイ装置における検知処理の他の例を定めたフローチャートである。 図２０は、本開示の実施の形態に係る車載ネットワークの接続トポロジの一例を示す図である。
　従来、車載ネットワークにおけるセキュリティを向上させるための技術が開発されている。
　［本開示が解決しようとする課題］
　上述の特許文献１および２に記載の技術を超えて、車載ネットワークにおける不正メッセージをより正しく検知することを可能とする技術が望まれる。
　本開示は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおける不正メッセージをより正しく検知することが可能な検知装置、車両、検知方法および検知プログラムを提供することである。
　［本開示の効果］
　本開示によれば、車載ネットワークにおける不正メッセージをより正しく検知することが可能である。
　［本開示の実施形態の説明］
　最初に、本開示の実施形態の内容を列記して説明する。
　（１）本開示の実施の形態に係る検知装置は、車載ネットワークにおける不正メッセージを検知する検知装置であって、前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視するとともに、周期的に送信される基準メッセージを監視する監視部と、前記監視部による監視結果に基づいて、前記対象メッセージの送信時刻に対応する時刻と前記基準メッセージの送信時刻に対応する時刻との時間差を算出する算出部と、前記算出部によって算出された前記時間差に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備える。
　このように、対象メッセージの送信時刻に対応する時刻と、基準メッセージの送信時刻に対応する時刻との時間差に基づいて検知処理を行う構成により、基準メッセージの送信時刻に対応する時刻を基準として検知処理を行うことができるため、対象メッセージに含まれる不正メッセージの受信時刻を基準として検知処理を行うことによる誤検知の発生を回避することができる。したがって、車載ネットワークにおける不正メッセージをより正しく検知することができる。
　（２）好ましくは、前記正当メッセージの送信周期および前記基準メッセージの送信周期が互いに異なり、前記検知部は、前記検知処理として、前記対象メッセージが前記不正メッセージであるか否かを判定基準に従って判定し、前記検知部は、複数の前記判定基準を切り替えながら前記検知処理を行う。
　このような構成により、正当メッセージの送信周期と基準メッセージの送信周期との差に基づく時間差の変化に対応して、複数の判定基準を切り替えながら検知処理を行うことができるため、様々な送信周期の周期メッセージを基準メッセージとして用いることができる柔軟な検知処理が可能となる。
　（３）より好ましくは、前記検知部が前記検知処理において用いる前記判定基準の数は、前記正当メッセージの送信周期と前記基準メッセージの送信周期との最小公倍数、および前記正当メッセージの送信周期に基づいて決定される。
　このような構成により、正当メッセージの送信周期と基準メッセージの送信周期との差に基づく時間差の大きさに応じて、複数の判定基準に従って対象メッセージが不正メッセージであるか否かを判定することができるため、たとえばすべての対象メッセージについて、不正メッセージであるか否かの判定を行うことができる。
　（４）好ましくは、前記検知装置は、さらに、前記監視部による監視結果に基づいて、前記基準メッセージの異常を検知し、前記異常を検知した場合に所定の処理を行う異常検知部を備える。
　このような構成により、基準メッセージの異常が検知された場合、たとえば、当該基準メッセージの送信時刻に対応する時刻を基準とした検知処理を行わないようにすることができるため、誤検知の発生を抑制することができる。
　（５）好ましくは、前記検知部は、前記対象メッセージである第１の対象メッセージの送信時刻に対応する時刻と前記基準メッセージの送信時刻に対応する時刻との前記時間差、および前記第１の対象メッセージの後に送信される前記対象メッセージである第２の対象メッセージの送信時刻に対応する時刻と前記基準メッセージの送信時刻に対応する時刻との前記時間差に基づいて、前記第１の対象メッセージに関する異常を検知する。
　このような構成により、たとえば、基準メッセージの送信時刻に対応する時刻を基準として正常であると判定される時間内に複数の対象メッセージが送信された場合、たとえば、実際には不正メッセージを含む当該複数の対象メッセージを正当メッセージであると誤判定した場合であっても、当該複数の対象メッセージは異常である可能性があると判断することができる。これにより、検知処理において検知することができなかった不正メッセージを、たとえばグレー判定することができる。
　（６）好ましくは、前記監視部は、前記検知装置が受信する前記対象メッセージおよび前記検知装置が受信する前記基準メッセージを監視し、前記検知部は、前記検知処理として、前記対象メッセージが前記不正メッセージであるか否かを判定基準に従って判定し、前記判定基準は、前記基準メッセージを送信する車載装置における発振器によって生じるジッタ、および前記検知装置における発振器によって生じるジッタに基づいて設定される。
　このような構成により、たとえば、車載装置における発振器によって生じるジッタに基づくメッセージの送信時刻の誤差、および検知装置における発振器によって生じるジッタに基づくメッセージの受信時刻の誤差を考慮した判断基準に基づいて、より正確な検知処理を行うことができる。
　（７）本開示の実施の形態に係る車両は、前記検知装置を備える。
　このような構成により、検知装置を備える車両において、車載ネットワークにおける不正メッセージをより正しく検知することができる。
　（８）本開示の実施の形態に係る検知方法は、車載ネットワークにおける不正メッセージを検知する検知装置における検知方法であって、前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視するとともに、周期的に送信される基準メッセージを監視するステップと、監視結果に基づいて、前記対象メッセージの送信時刻に対応する時刻と前記基準メッセージの送信時刻に対応する時刻との時間差を算出するステップと、算出した前記時間差に基づいて、前記不正メッセージを検知する検知処理を行うステップとを含む。
　このように、対象メッセージの送信時刻に対応する時刻と、基準メッセージの送信時刻に対応する時刻との時間差に基づいて検知処理を行う方法により、基準メッセージの送信時刻に対応する時刻を基準として検知処理を行うことができるため、対象メッセージに含まれる不正メッセージの受信時刻を基準として検知処理を行うことによる誤検知の発生を回避することができる。したがって、車載ネットワークにおける不正メッセージをより正しく検知することができる。
　（９）本開示の実施の形態に係る検知プログラムは、車載ネットワークにおける不正メッセージを検知する検知装置において用いられる検知プログラムであって、コンピュータを、前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視するとともに、周期的に送信される基準メッセージを監視する監視部と、前記監視部による監視結果に基づいて、前記対象メッセージの送信時刻に対応する時刻と前記基準メッセージの送信時刻に対応する時刻との時間差を算出する算出部と、前記算出部によって算出された前記時間差に基づいて、前記不正メッセージを検知する検知処理を行う検知部、して機能させるためのプログラムである。
　このように、対象メッセージの送信時刻に対応する時刻と、基準メッセージの送信時刻に対応する時刻との時間差に基づいて検知処理を行う構成により、基準メッセージの送信時刻に対応する時刻を基準として検知処理を行うことができるため、対象メッセージに含まれる不正メッセージの受信時刻を基準として検知処理を行うことによる誤検知の発生を回避することができる。したがって、車載ネットワークにおける不正メッセージをより正しく検知することができる。
　以下、本開示の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。
　［構成および基本動作］
　図１は、本開示の実施の形態に係る車載通信システムの構成を示す図である。
　図１を参照して、車載通信システム３０１は、ゲートウェイ装置１０１と、複数の車載通信機１１１と、複数のバス接続装置群１２１とを備える。ゲートウェイ装置１０１は、検知装置の一例である。車載通信システム３０１は、車両１に搭載される。
　図２は、本開示の実施の形態に係るバス接続装置群の構成を示す図である。
　図２を参照して、バス接続装置群１２１は、複数の制御装置１２２を含む。なお、バス接続装置群１２１は、複数の制御装置１２２を備える構成に限らず、１つの制御装置１２２を含む構成であってもよい。
　車載ネットワーク１２は、車両１の内部における装置である車載装置を複数含む。具体的には、車載ネットワーク１２は、車載装置の一例である、複数の車載通信機１１１および複数の制御装置１２２を含む。なお、車載ネットワーク１２は、複数の車載装置を含む構成であれば、複数の車載通信機１１１を含みかつ制御装置１２２を含まない構成であってもよいし、車載通信機１１１を含まずかつ複数の制御装置１２２を含む構成であってもよいし、１つの車載通信機１１１および１つの制御装置１２２を含む構成であってもよい。
　車載ネットワーク１２において、車載通信機１１１は、たとえば、車両１の外部における装置と通信する。具体的には、車載通信機１１１は、たとえば、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｕｎｉｔ）、近距離無線端末装置、およびＩＴＳ（Ｉｎｔｅｌｌｉｇｅｎｔ　Ｔｒａｎｓｐｏｒｔ　Ｓｙｓｔｅｍｓ）無線機である。
　ＴＣＵは、たとえば、ＬＴＥ（Ｌｏｎｇ　Ｔｅｒｍ　Ｅｖｏｌｕｔｉｏｎ）または３Ｇ等の通信規格に従って、無線基地局装置と無線通信を行うことが可能であり、かつゲートウェイ装置１０１と通信を行うことが可能である。ＴＣＵは、たとえば、ナビゲーション、車両盗難防止、リモートメンテナンスおよびＦＯＴＡ（Ｆｉｒｍｗａｒｅ　Ｏｖｅｒ　Ｔｈｅ　Ａｉｒ）等のサービスに用いる情報を中継する。
　近距離無線端末装置は、たとえば、Ｗｉ－Ｆｉ（登録商標）およびＢｌｕｅｔｏｏｔｈ（登録商標）等の通信規格に従って、車両１に乗車している人間すなわち搭乗者の保持するスマートホン等の無線端末装置と無線通信を行うことが可能であり、かつゲートウェイ装置１０１と通信を行うことが可能である。当該近距離無線端末装置は、たとえば、エンターテイメント等のサービスに用いる情報を中継する。
　また、近距離無線端末装置は、たとえば、所定の通信規格に従って、搭乗者の保持するスマートキー等の無線端末装置、およびタイヤに設けられた無線端末装置とＬＦ（Ｌｏｗ　Ｆｒｅｑｕｅｎｃｙ）帯またはＵＨＦ（Ｕｌｔｒａ　Ｈｉｇｈ　Ｆｒｅｑｕｅｎｃｙ）帯の電波を用いて無線通信を行うことが可能であり、かつゲートウェイ装置１０１と通信を行うことが可能である。当該近距離無線端末装置は、たとえば、スマートエントリおよびＴＰＭＳ（Ｔｉｒｅ　Ｐｒｅｓｓｕｒｅ　Ｍｏｎｉｔｏｒｉｎｇ　Ｓｙｓｔｅｍ）等のサービスに用いる情報を中継する。
　ＩＴＳ無線機は、たとえば、道路の近傍に設けられた光ビーコン、電波ビーコンおよびＩＴＳスポット等の路側機と路車間通信を行うことが可能であり、他の車両に搭載された車載端末と車車間通信を行うことが可能であり、かつゲートウェイ装置１０１と通信を行うことが可能である。ＩＴＳ無線機は、たとえば、渋滞緩和、安全運転支援およびルートガイダンス等のサービスに用いる情報を中継する。
　ゲートウェイ装置１０１は、たとえば、ファームウェアのアップデート等のデータ、およびゲートウェイ装置１０１により蓄積されたデータ等を車両１の外部における整備用端末装置とポート１１２を介して送受信することが可能である。
　ゲートウェイ装置１０１は、たとえばバス１３，１４を介して車載装置と接続する。具体的には、バス１３，１４は、たとえば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）（登録商標）、ＦｌｅｘＲａｙ（登録商標）、ＭＯＳＴ（Ｍｅｄｉａ　Ｏｒｉｅｎｔｅｄ　Ｓｙｓｔｅｍｓ　Ｔｒａｎｓｐｏｒｔ）（登録商標）、イーサネット（登録商標）、およびＬＩＮ（Ｌｏｃａｌ　Ｉｎｔｅｒｃｏｎｎｅｃｔ　Ｎｅｔｗｏｒｋ）等の規格に従うバスである。
　この例では、車載通信機１１１は、イーサネットの規格に従う対応のバス１４を介してゲートウェイ装置１０１と接続されている。また、バス接続装置群１２１における各制御装置１２２は、ＣＡＮの規格に従う対応のバス１３を介してゲートウェイ装置１０１と接続されている。
　バス１３は、たとえば系統別に設けられる。具体的には、バス１３は、たとえば、駆動系バス、シャーシ／安全系バス、ボディ／電装系バスおよびＡＶ／情報系バスである。
　駆動系バスには、制御装置１２２の一例であるエンジン制御装置、ＡＴ（Ａｕｔｏｍａｔｉｃ　Ｔｒａｎｓｍｉｓｓｉｏｎ）制御装置およびＨＥＶ（Ｈｙｂｒｉｄ　Ｅｌｅｃｔｒｉｃ　Ｖｅｈｉｃｌｅ）制御装置が接続されている。エンジン制御装置、ＡＴ制御装置およびＨＥＶ制御装置は、エンジン、ＡＴ、およびエンジンとモータとの切替をそれぞれ制御する。
　シャーシ／安全系バスには、制御装置１２２の一例であるブレーキ制御装置、シャーシ制御装置およびステアリング制御装置が接続されている。ブレーキ制御装置、シャーシ制御装置およびステアリング制御装置は、ブレーキ、シャーシおよびステアリングをそれぞれ制御する。
　ボディ／電装系バスには、制御装置１２２の一例である計器表示制御装置、エアコン制御装置、盗難防止制御装置、エアバック制御装置およびスマートエントリ制御装置が接続されている。計器表示制御装置、エアコン制御装置、盗難防止制御装置、エアバック制御装置およびスマートエントリ制御装置は、計器、エアコン、盗難防止機構、エアバック機構およびスマートエントリをそれぞれ制御する。
　ＡＶ／情報系バスには、制御装置１２２の一例であるナビゲーション制御装置、オーディオ制御装置、ＥＴＣ（Ｅｌｅｃｔｒｏｎｉｃ　Ｔｏｌｌ　Ｃｏｌｌｅｃｔｉｏｎ　Ｓｙｓｔｅｍ）（登録商標）制御装置および電話制御装置が接続されている。ナビゲーション制御装置、オーディオ制御装置、ＥＴＣ制御装置および電話制御装置は、ナビゲーション装置、オーディオ装置、ＥＴＣ装置および携帯電話をそれぞれ制御する。
　また、バス１３には、制御装置１２２が接続される構成に限らず、制御装置１２２以外の装置が接続されてもよい。
　ゲートウェイ装置１０１は、たとえば、セントラルゲートウェイ（Ｃｅｎｔｒａｌ　Ｇａｔｅｗａｙ：ＣＧＷ）であり、車載装置と通信を行うことが可能である。
　ゲートウェイ装置１０１は、たとえば、車両１において異なるバス１３に接続された制御装置１２２間でやり取りされる情報、各車載通信機１１１間でやり取りされる情報、制御装置１２２および車載通信機１１１間でやり取りされる情報を中継する中継処理を行う。
　より詳細には、車両１では、たとえば、所定の取り決めに従って、ある車載装置から他の車載装置へ周期的にメッセージが送信される。この例では、ある制御装置１２２から他の制御装置１２２へ周期的に送信されるメッセージについて説明するが、制御装置１２２および車載通信機１１１間において送信されるメッセージ、ならびに各車載通信機１１１間において送信されるメッセージについても同様である。
　メッセージの送信は、ブロードキャストによって行われてもよいし、ユニキャストによって行われてもよいし、マルチキャストによって行われてもよい。以下、周期的に送信されるメッセージを周期メッセージとも称する。
　車両１では、周期メッセージの他に、ある制御装置１２２から他の制御装置１２２へ不定期に送信されるメッセージが存在する。メッセージには、メッセージの内容、送信元およびメッセージ番号等を識別するためのＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）が含まれる。メッセージに含まれるＩＤによって、当該メッセージが周期メッセージであるか否かを識別することが可能である。
　［ゲートウェイ装置の構成］
　図３は、本開示の実施の形態に係る車載通信システムにおけるゲートウェイ装置の構成を示す図である。
　図３を参照して、ゲートウェイ装置１０１は、通信処理部５１と、監視部５２と、算出部５３と、検知部５４と、記憶部５５と、異常検知部５６とを備える。記憶部５５は、たとえば、たとえばフラッシュメモリである。通信処理部５１、監視部５２、算出部５３、検知部５４および異常検知部５６は、たとえば、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）およびＤＳＰ（Ｄｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒ）等のプロセッサによって実現される。
　ゲートウェイ装置１０１は、検知装置として機能し、車載ネットワーク１２における不正メッセージを検知する検知処理を行う。
　［通信処理部］
　通信処理部５１は、制御装置１２２間で伝送されるメッセージを中継する中継処理を行う。
　たとえば、通信処理部５１は、ある制御装置１２２から対応のバス１３経由でメッセージを受信すると、受信したメッセージに、当該メッセージの受信時刻を示すタイムスタンプを付与する。そして、通信処理部５１は、タイムスタンプが付与されたメッセージを他の制御装置１２２へ対応のバス１３経由で送信する。
　［監視部］
　監視部５２は、正当な周期メッセージおよび不正メッセージをゲートウェイ装置１０１における検知処理の対象となるメッセージすなわち対象メッセージＭａとして監視するとともに、周期的に送信される基準メッセージＭｂを監視する。
　より詳細には、監視部５２は、車載ネットワーク１２における、２種類の周期メッセージＭ１，Ｍ２を監視する。
　たとえば、周期メッセージＭ１，Ｍ２は、ＩＤが互いに異なるメッセージである。具体的には、周期メッセージＭ１，Ｍ２は、送信元アドレスおよび送信先アドレスの少なくとも一方が互いに異なる。あるいは、周期メッセージＭ１，Ｍ２は、ＩＰヘッダのポート番号が互いに異なる。
　図４は、本開示の実施の形態に係る車載通信システムにおける制御装置およびゲートウェイ装置のハードウェア構成の一例を示す図である。
　図４を参照して、制御装置１２２の一例である制御装置１２２Ａは、発振器１３１Ａと、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）１３２Ａと、ＣＡＮトランシーバ１３３Ａとを備える。また、制御装置１２２の一例である制御装置１２２Ｂは、発振器１３１Ｂと、ＣＰＵ１３２Ｂと、ＣＡＮトランシーバ１３３Ｂとを備える。
　ゲートウェイ装置１０１は、ＣＰＵ１４１と、ＣＡＮトランシーバ１４２と、発振器１４３とを備える。ＣＰＵ１４１は、監視部５２、算出部５３および検知部５４の一部または全部を実現する。ＣＡＮトランシーバ１４２は、通信処理部５１の一部または全部を実現する。
　制御装置１２２Ａは、送信周期Ｔａで周期メッセージＭ１を送信する。より詳細には、制御装置１２２ＡにおけるＣＰＵ１３２Ａは、発振器１３１Ａからの発振信号に基づいて生成されるクロックのタイミングに従って、ＣＡＮトランシーバ１３３Ａ経由で周期メッセージＭ１をブロードキャストまたはユニキャストする。
　制御装置１２２Ｂは、送信周期Ｔｂで周期メッセージＭ２を送信する。より詳細には、制御装置１２２ＢにおけるＣＰＵ１３２Ｂは、発振器１３１Ｂからの発振信号に基づいて生成されるクロックのタイミングに従って、ＣＡＮトランシーバ１３３Ｂ経由で周期メッセージＭ２をブロードキャストまたはユニキャストする。
　ゲートウェイ装置１０１におけるＣＡＮトランシーバ１４２は、発振器１４３からの発振信号に基づいて生成されるクロックのタイミングに従って、制御装置１２２Ａから受信した周期メッセージＭ１に受信時刻を示すタイムスタンプを付与する。また、ＣＡＮトランシーバ１４２は、発振器１４３からの発振信号に基づいて生成されるクロックのタイミングに従って、制御装置１２２Ｂから受信した周期メッセージＭ２に受信時刻を示すタイムスタンプを付与する。
　制御装置１２２Ａから受信したメッセージおよび制御装置１２２Ｂから受信したメッセージのいずれか一方は、対象メッセージＭａであり、周期メッセージＭ１，Ｍ２のいずれか他方は、検知処理において不正メッセージであるか否かの判定に用いられるメッセージすなわち基準メッセージＭｂである。以下では、一例として、制御装置１２２Ａから受信したメッセージを対象メッセージＭａとし、制御装置１２２Ｂから受信したメッセージを基準メッセージＭｂとする。
　たとえば、ゲートウェイ装置１０１が制御装置１２２Ａから受信するメッセージの一部は、不正メッセージである。監視部５２は、制御装置１２２Ａからの正当な周期メッセージＭ１および不正メッセージを対象メッセージＭａとして監視するとともに、制御装置１２２Ｂからの周期メッセージＭ２を基準メッセージＭｂとして監視する。
　監視部５２は、通信処理部５１によって中継されるメッセージを監視することにより、対象メッセージＭａの受信時刻ｔａおよび基準メッセージＭｂの受信時刻ｔｂを取得する。
　たとえば、記憶部５５は、対象メッセージＭａのＩＤおよび基準メッセージＭｂのＩＤを記憶している。以下、対象メッセージＭａのＩＤを対象ＩＤとも称し、基準メッセージＭｂのＩＤを基準ＩＤとも称する。
　監視部５２は、中継処理を行うべきメッセージを通信処理部５１が受信すると、通信処理部５１によって受信されたメッセージに含まれるＩＤ、ならびに記憶部５５における対象ＩＤおよび基準ＩＤを確認する。
　そして、監視部５２は、通信処理部５１によって受信されたメッセージに含まれるＩＤが対象ＩＤと一致する場合、通信処理部５１によって受信されたメッセージが対象メッセージＭａであると認識し、当該対象メッセージＭａに付与されたタイムスタンプを参照することにより、対象メッセージＭａの受信時刻ｔａを取得する。
　監視部５２は、受信時刻ｔａを取得すると、取得した受信時刻ｔａを示す受信情報を、通信処理部５１によって何番目に受信された対象メッセージＭａであるかを示す受信番号Ｎ１と対応付けて記憶部５５に保存する。
　また、監視部５２は、通信処理部５１によって受信されたメッセージに含まれるＩＤが基準ＩＤと一致する場合、通信処理部５１によって受信されたメッセージが基準メッセージＭｂであると認識し、当該基準メッセージＭｂに付与されたタイムスタンプを参照することにより、基準メッセージＭｂの受信時刻ｔｂを取得する。
　監視部５２は、受信時刻ｔｂを取得すると、取得した受信時刻ｔｂを示す受信情報を、通信処理部５１によって何番目に受信された基準メッセージＭｂであるかを示す受信番号Ｎ２と対応付けて記憶部５５に保存する。
　［算出部］
　算出部５３は、監視部５２による監視結果に基づいて、対象メッセージＭａの送信時刻に対応する時刻と基準メッセージＭｂの送信時刻に対応する時刻との時間差を算出する。
　より詳細には、算出部５３は、記憶部５５に保存された受信情報に基づいて、対象メッセージＭａの受信時刻ｔａと、基準メッセージＭｂの受信時刻ｔｂとの時間差を算出する。
　（算出例１）
　図５は、本開示の実施の形態に係る車載通信システムにおける対象メッセージおよび基準メッセージの受信時刻の分布の一例を示す図である。図５において、横軸は時刻を示す。また、図５は、すべての対象メッセージＭａが正当メッセージである場合において、対象メッセージＭａの送信周期Ｔａと基準メッセージＭｂの送信周期Ｔｂとが等しい場合を示している。
　図５を参照して、たとえば、算出部５３は、記憶部５５に保存された受信情報に基づいて、受信番号Ｎ１がｐであるｐ回目の対象メッセージＭａｐの受信時刻ｔａｐと、受信番号Ｎ２がｑであるｑ回目の基準メッセージＭｂｑの受信時刻ｔｂｑとの時間差Ｘｐを算出する。ここで、ｐは、１以上の整数である。ｑは、１以上の整数である。たとえば、ｑはｐと等しい。
　ｐ回目の対象メッセージＭａｐの受信時刻ｔａｐは、以下の式（１）で表される。
Figure JPOXMLDOC01-appb-M000001
　また、ｑ回目の基準メッセージＭｂｑの受信時刻ｔｂｑは、以下の式（２）で表される。
Figure JPOXMLDOC01-appb-M000002
　ここで、Ｅ１は、制御装置１２２Ａにおける発振器１３１Ａによって生じるジッタに基づくメッセージの送信時刻の誤差である。Ｅ２は、制御装置１２２Ｂにおける発振器１３１Ｂによって生じるジッタに基づくメッセージの送信時刻の誤差である。Ｅ３は、ゲートウェイ装置１０１における発振器１４３によって生じるジッタに基づくメッセージの受信時刻の誤差である。なお、Ｅ１，Ｅ２，Ｅ３は、それぞれ、発振器１３１Ａ，１３１Ｂ，１４３の、製造工程、使用環境および経年劣化等によって生じる誤差である。
　また、Ａｉは、制御装置１２２Ａからのｉ番目のメッセージの、バス１３における衝突および送信待機遅延によって生じる遅延時間である。Ｂｉは、制御装置１２２Ａからのｉ番目のメッセージの、バス１３における衝突および送信待機遅延によって生じる遅延時間である。Ｓ１は、対象メッセージＭａの送信周期Ｔａと基準メッセージＭｂの送信周期Ｔｂとの位相差すなわちオフセットである。
　また、時間差Ｘｐは、式（１）から式（２）を差し引くことにより、以下の式（３）で表される。なお、式（３）では、ｑ＝ｐとしている。
Figure JPOXMLDOC01-appb-M000003
　ここで、上述したように、送信周期Ｔａと送信周期Ｔｂとは互いに等しい。また、遅延時間Ａｉ，Ｂｉは、それぞれ、通信状況に応じて各々が独立して増減を繰り返すことから、式（３）中のシグマ項は、単調に増加することのない、ある数値範囲内において増減を繰り返す誤差Ｅｒｒｏｒ１に置き換えることができる。さらに、発振器１３１Ａの発振信号の誤差に基づく誤差Ｅ１と、発振器１３１Ｂの発振信号の誤差に基づく誤差Ｅ２とが等しいと仮定すると、時間差Ｘｐは、以下の式（４）で表すことができる。
Figure JPOXMLDOC01-appb-M000004
　したがって、時間差Ｘｐは、受信番号Ｎ１，Ｎ２に依存しない値となり、時間差Ｘｐの確率分布は、たとえば正規分布となる。
　算出部５３は、監視部５２によって記憶部５５に受信情報が保存されると、記憶部５５に保存された受信情報に基づいて、受信時刻ｔａｐと受信時刻ｔｂｐとの時間差Ｘｐを算出し、算出した時間差Ｘｐを示す時間差情報を記憶部５５に保存する。
　（算出例２）
　図６は、本開示の実施の形態に係る車載通信システムにおける対象メッセージおよび基準メッセージの受信時刻の分布の他の例を示す図である。図６において、横軸は時刻を示す。また、図６は、すべての対象メッセージＭａが正当メッセージである場合において、基準メッセージＭｂの送信周期Ｔｂが対象メッセージＭａの送信周期Ｔａより短い場合を示している。具体的には、図６は、送信周期Ｔｂが３秒であり、送信周期Ｔａが７秒である場合を示している。
　図６を参照して、たとえば、算出部５３は、記憶部５５に保存された受信情報に基づいて、ｐ回目の対象メッセージＭａｐの受信時刻ｔａｐと、受信時刻ｔａｐの直前に受信されたｑ回目の基準メッセージＭｂｑの受信時刻ｔｂｑとの時間差Ｘｐを算出する。
　対象メッセージＭａｐの送信時刻と、基準メッセージＭｂｑの送信時刻との時間差は、理論上は、送信周期Ｔａと送信周期Ｔｂとの最小公倍数Ｌの周期で変化する。図６に示す例では、送信周期Ｔｂが３秒であり、送信周期Ｔａが７秒であるため、最小公倍数Ｌは２１秒である。
　ＬをＴａで除した値をＬ１とすると、（Ｌ１×ｋ＋１）回目の対象メッセージＭａ（Ｌ１×ｋ＋１）の受信時刻ｔａ（Ｌ１×ｋ＋１）は、以下の式（５）で表される。
Figure JPOXMLDOC01-appb-M000005
　また、ＬをＴｂで除した値をＬ２とすると、（Ｌ２×ｋ＋１）回目の基準メッセージＭｂ（Ｌ２×ｋ＋１）の受信時刻ｔｂ（Ｌ２×ｋ＋１）は、以下の式（６）で表される。
Figure JPOXMLDOC01-appb-M000006
　ここで、Ｅ４は、制御装置１２２Ａにおける発振器１３１Ａによって生じるジッタに基づくメッセージの送信時刻の誤差である。Ｅ５は、制御装置１２２Ｂにおける発振器１３１Ｂによって生じるジッタに基づくメッセージの送信時刻の誤差である。Ｅ６は、ゲートウェイ装置１０１における発振器１４３によって生じるジッタに基づくメッセージの受信時刻の誤差である。なお、Ｅ４，Ｅ５，Ｅ６は、それぞれ、発振器１３１Ａ，１３１Ｂ，１４３の、製造工程、使用環境および経年劣化等によって生じる誤差である。
　また、Ｃｉは、制御装置１２２Ａからのｉ番目のメッセージの、バス１３における衝突および送信待機遅延によって生じる遅延時間である。Ｄｉは、制御装置１２２Ａからのｉ番目のメッセージの、バス１３における衝突および送信待機遅延によって生じる遅延時間である。Ｓ２は、対象メッセージＭａの送信周期Ｔａと基準メッセージＭｂの送信周期Ｔｂとの位相差すなわちオフセットである。
　また、時間差Ｘ（Ｌ１×ｋ＋１）は、式（５）から式（６）を差し引くことにより、以下の式（７）で表される。
Figure JPOXMLDOC01-appb-M000007
　ここで、遅延時間Ｃｉ，Ｄｉは、それぞれ、通信状況に応じて各々が独立して増減を繰り返すことから、式（７）中のシグマ項は、単調に増加することのない、ある数値範囲内において増減を繰り返す誤差Ｅｒｒｏｒ２に置き換えることができる。また、発振器１３１Ａの発振信号の誤差に基づく誤差Ｅ４と、発振器１３１Ｂの発振信号の誤差に基づく誤差Ｅ５とが等しいと仮定すると、時間差Ｘ（Ｌ１×ｋ＋１）は、以下の式（８）で表すことができる。
Figure JPOXMLDOC01-appb-M000008
　したがって、時間差Ｘ（Ｌ１×ｋ＋１）は、受信番号Ｎ１，Ｎ２に依存しない値となり、時間差Ｘ（Ｌ１×ｋ＋１）の確率分布は、たとえば正規分布となる。
　算出部５３は、監視部５２によって記憶部５５に受信情報が保存されると、記憶部５５に保存された受信情報に基づいて、受信時刻ｔａｐと受信時刻ｔｂｑとの時間差Ｘｐを算出し、算出した時間差Ｘｐを示す時間差情報を記憶部５５に保存する。
　（算出例３）
　図７は、本開示の実施の形態に係る車載通信システムにおける対象メッセージおよび基準メッセージの受信時刻の分布の他の例を示す図である。図７において、横軸は時刻を示す。また、図７は、すべての対象メッセージＭａが正当メッセージである場合において、対象メッセージＭａの送信周期Ｔａが基準メッセージＭｂの送信周期Ｔｂより短い場合を示している。具体的には、図７は、送信周期Ｔａが３秒であり、送信周期Ｔｂが７秒である場合を示している。
　図７を参照して、たとえば、算出部５３は、記憶部５５に保存された受信情報に基づいて、ｐ回目の対象メッセージＭａｐの受信時刻ｔａｐと、受信時刻ｔａｐの直前に受信されたｑ回目の基準メッセージＭｂｑの受信時刻ｔｂｑとの時間差Ｘｐを算出する。ここで、ｐは、１以上の整数である。ｑは、１以上の整数である。
　対象メッセージＭａｐの送信時刻と、基準メッセージＭｂｑの送信時刻との時間差は、理論上は、送信周期Ｔａと送信周期Ｔｂとの最小公倍数Ｌ秒の周期で変化する。図７に示す例では、送信周期Ｔｂが７秒であり、送信周期Ｔａが３秒であるため、最小公倍数Ｌは２１である。
　ＬをＴａで除した値をＬ１とすると、（Ｌ１×ｋ＋１）回目の対象メッセージＭａ（Ｌ１×ｋ＋１）の受信時刻ｔａ（Ｌ１×ｋ＋１）は、以下の式（９）で表される。
Figure JPOXMLDOC01-appb-M000009
　また、ＬをＴｂで除した値をＬ２とすると、（Ｌ２×ｋ＋１）回目の基準メッセージＭｂ（Ｌ２×ｋ＋１）の受信時刻ｔｂ（Ｌ２×ｋ＋１）は、以下の式（１０）で表される。
Figure JPOXMLDOC01-appb-M000010
　ここで、Ｅ７は、制御装置１２２Ａにおける発振器１３１Ａによって生じるジッタに基づくメッセージの送信時刻の誤差である。Ｅ８は、制御装置１２２Ｂにおける発振器１３１Ｂによって生じるジッタに基づくメッセージの送信時刻の誤差である。Ｅ９は、ゲートウェイ装置１０１における発振器１４３によって生じるジッタに基づくメッセージの受信時刻の誤差である。なお、Ｅ７，Ｅ８，Ｅ９は、それぞれ、発振器１３１Ａ，１３１Ｂ，１４３の、製造工程、使用環境および経年劣化等によって生じる誤差である。
　また、Ｅｉは、制御装置１２２Ａからのｉ番目のメッセージの、バス１３における衝突および送信待機遅延によって生じる遅延時間である。Ｆｉは、制御装置１２２Ａからのｉ番目のメッセージの、バス１３における衝突および送信待機遅延によって生じる遅延時間である。Ｓ２は、対象メッセージＭａの送信周期Ｔａと基準メッセージＭｂの送信周期Ｔｂとの位相差すなわちオフセットである。
　また、時間差Ｘ（Ｌ１×ｋ＋１）は、式（９）から式（１０）を差し引くことにより、以下の式（１１）で表される。
Figure JPOXMLDOC01-appb-M000011
　ここで、遅延時間Ｅｉ，Ｆｉは、それぞれ、通信状況に応じて各々が独立して増減を繰り返すことから、式（１１）中のシグマ項は、単調に増加することのない、ある数値範囲内において増減を繰り返す誤差Ｅｒｒｏｒ３に置き換えることができる。また、発振器１３１Ａの発振信号の誤差に基づく誤差Ｅ７と、発振器１３１Ｂの発振信号の誤差に基づく誤差Ｅ８とが等しいと仮定すると、時間差Ｘ（Ｌ１×ｋ＋１）は、以下の式（１２）で表すことができる。
Figure JPOXMLDOC01-appb-M000012
　したがって、時間差Ｘ（Ｌ１×ｋ＋１）は、受信番号Ｎ１，Ｎ２に依存しない値となり、時間差Ｘ（Ｌ１×ｋ＋１）の確率分布は、たとえば正規分布となる。
　算出部５３は、監視部５２によって記憶部５５に受信情報が保存されると、記憶部５５に保存された受信情報に基づいて、受信時刻ｔａｐと受信時刻ｔｂｑとの時間差Ｘｐを算出し、算出した時間差Ｘｐを示す時間差情報を記憶部５５に保存する。
　（算出例４）
　図８は、本開示の実施の形態に係る車載通信システムにおける対象メッセージおよび基準メッセージの受信時刻の分布の一例を示す図である。図８において、横軸は時刻を示す。また、図８は、すべての対象メッセージＭａが正当メッセージである場合において、対象メッセージＭａの送信周期Ｔａと、基準メッセージＭｂｘの送信周期Ｔｂｘ、基準メッセージＭｂｙの送信周期Ｔｂｙおよび基準メッセージＭｂｚの送信周期Ｔｂｚとが等しい場合を示している。
　図８を参照して、たとえば、算出部５３は、記憶部５５に保存された受信情報に基づいて、ｐ回目の対象メッセージＭａｐの受信時刻ｔａｐと、ｑ回目の基準メッセージＭｂｘｑの受信時刻ｔｂｘｑとの時間差Ｘｘｑを算出する。また、算出部５３は、記憶部５５に保存された受信情報に基づいて、ｑ回目の対象メッセージＭａｑの受信時刻ｔａｑと、ｑ回目の基準メッセージＭｂｙｑの受信時刻ｔｂｙｑとの時間差Ｘｙｑを算出する。さらに、算出部５３は、記憶部５５に保存された受信情報に基づいて、ｑ回目の対象メッセージＭａｑの受信時刻ｔａｑと、ｑ回目の基準メッセージＭｂｚｑの受信時刻ｔｂｚｑとの時間差Ｘｚｑを算出する。
　算出部５３は、監視部５２によって記憶部５５に受信情報が保存されると、記憶部５５に保存された受信情報に基づいて、時間差Ｘｐとして、時間差Ｘｘｐ，Ｘｙｐ，Ｘｚｐを算出し、算出した時間差Ｘｘｐ，Ｘｙｐ，Ｘｚｐを示す時間差情報を記憶部５５に保存する。
　［検知部］
　検知部５４は、算出部５３によって算出された時間差Ｘｐに基づいて、不正メッセージを検知する検知処理を行う。
　より詳細には、検知部５４は、検知処理として、対象メッセージＭａが不正メッセージであるか否かを判定基準に従って判定する。
　上記判定基準は、たとえば、基準メッセージＭｂを送信する制御装置１２２Ｂにおける発振器１３１Ｂによって生じるジッタ、およびゲートウェイ装置１０１における発振器１４３によって生じるジッタに基づいて設定される。具体的には、上記判定基準は、たとえば、発振器１３１Ｂによって生じるジッタに基づくメッセージの送信時刻の誤差、および発振器１４３によって生じるジッタに基づくメッセージの受信時刻の誤差に基づいて設定される。
　たとえば、検知部５４は、算出部５３によって記憶部５５に時間差情報が保存されると、時間差情報が示す時間差Ｘｐの統計距離を算出し、算出した統計距離としきい値Ｔｈとを比較する。そして、検知部５４は、統計距離としきい値Ｔｈとの比較結果に基づいて、対象メッセージＭａが不正メッセージであるか否かを判定する。
　たとえば、検知部５４は、以下の式（１３）に従って、統計距離の一例であるマハラノビス距離Ｄ＾２を算出する。なお、「Ｄ＾２」は、Ｄの２乗を意味する。
Figure JPOXMLDOC01-appb-M000013
　検知部５４は、算出したマハラノビス距離Ｄ＾２がしきい値Ｔｈ以下である場合、対象メッセージＭａは正当メッセージであると判断する。一方、検知部５４は、算出したマハラノビス距離Ｄ＾２がしきい値Ｔｈより大きい場合、対象メッセージＭａは不正メッセージであると判断する。
　算出したマハラノビス距離Ｄ＾２との比較に用いるしきい値Ｔｈは、対象メッセージＭａの中に不正メッセージが存在するか否かを正確に判断することができるよう、適切な値であることが好ましい。
　たとえば、車両１の製造者は、予め、車両１と同じ種類のテスト車両のゲートウェイ装置１０１を用いて、すべての対象メッセージＭａを正当メッセージとしたときに算出部５３によって算出される時間差Ｘｐを用いてマハラノビス距離Ｄ＾２を算出する。
　図９は、本開示の実施の形態に係る車載通信システムにおけるすべての対象メッセージを正当メッセージとしたときに算出されるマハラノビス距離の度数分布の一例を示す図である。
　図９を参照して、すべての対象メッセージＭａが正当メッセージであるときの時間差Ｘｐを用いて算出されるマハラノビス距離Ｄ＾２が大きくなるほど、度数が減少する。
　たとえば、検知部５４は、起動時において、図９に示すマハラノビス距離Ｄ＾２の度数分布を記憶部５５から取得し、ＦＰＲ（Ｆａｌｓｅ　Ｐｏｓｉｔｉｖｅ　Ｒａｔｅ）がゼロとなる範囲でしきい値Ｔｈ１が最も小さくなるように、しきい値Ｔｈ１を設定することが好ましい。ここで、ＦＰＲは偽陽性率であり、偽陽性／（偽陽性＋真陰性）で表される。真陰性とは、正当メッセージを正当メッセージとして認識した度数であり、偽陽性とは、正当メッセージを不正メッセージとして検知した度数である。なお、記憶部５５は、車両１の製造者によって予め決定されたしきい値Ｔｈ１を記憶している構成であってもよい。この場合、検知部５４は、起動時において、当該しきい値Ｔｈ１を記憶部５５から取得する。
　検知部５４は、マハラノビス距離Ｄ＾２およびしきい値Ｔｈに基づく判断結果を示す判断情報を通信処理部５１へ出力する。
　通信処理部５１は、検知部５４から受けた判断情報が、対象メッセージＭａが正当メッセージであることを示す場合、当該対象メッセージＭａを送信先の制御装置１２２へ送信する。
　一方、通信処理部５１は、検知部５４から受けた判断情報が、対象メッセージＭａが不正メッセージであることを示す場合、以下の処理を行う。
　すなわち、通信処理部５１は、判断情報が示す対象メッセージＭａを記録する。また、通信処理部５１は、バス１３において不正メッセージが伝送されていることを示す警報情報を車両１内または車両１外における上位装置へ送信する。
　［異常検知部］
　異常検知部５６は、監視部５２による監視結果に基づいて、基準メッセージＭｂの異常を検知し、異常を検知した場合に所定の処理を行う。
　より詳細には、異常検知部５６は、記憶部５５に保存された受信情報、および基準メッセージＭｂの送信周期Ｔｂに基づいて、基準メッセージＭｂの異常を検知する。
　たとえば、記憶部５５は、基準メッセージＭｂの異常を検知する際に用いる判断基準である所定のしきい値ＴｈＢを記憶している。
　図１０は、本開示の実施の形態に係る車載通信システムにおける基準メッセージの受信時刻の分布の一例を示す図である。図１０において、横軸は時刻を示す。
　図１０を参照して、異常検知部５６は、基準メッセージＭｂ（ｑ－１）の受信時刻ｔｂ（ｑ－１）およびしきい値ＴｈＢに基づいて、次の基準メッセージＭｂｑの異常を検知するための、基準メッセージＭｂｑの受信時刻ｔｂｑの許容範囲を規定するしきい値ＴｈＢｑ１，ＴｈＢｑ２を設定する。
　そして、異常検知部５６は、次の基準メッセージＭｂｑの受信時刻ｔｂｑが記憶部５５に保存されると、記憶部５５における受信時刻ｔｂｑと設定したしきい値ＴｈＢｑ１，ＴｈＢｑ２とを比較する。
　異常検知部５６は、受信時刻ｔｂｑが、しきい値ＴｈＢｑ１以上しきい値ＴｈＢｑ２以下である場合、すなわちしきい値ＴｈＢｑ１，ＴｈＢｑ２により規定された許容範囲内である場合、基準メッセージＭｂｑは正常であると判断する。
　一方、異常検知部５６は、受信時刻ｔｂｑが、しきい値ＴｈＢｑ１未満であるか、またはしきい値ＴｈＢｑ２より大きい場合、すなわちしきい値ＴｈＢｑ１，ＴｈＢｑ２により規定された許容範囲外である場合、基準メッセージＭｂｑは異常であると判断する。異常検知部５６は、基準メッセージＭｂｑが異常であると判断すると、異常であると判断した基準メッセージＭｂｑを示す異常判定情報を算出部５３へ通知する。
　たとえば、算出部５３は、異常検知部５６から異常判定情報を受けると、受けた異常判定情報が示す基準メッセージＭｂ以外の基準メッセージＭｂの受信時刻ｔｂを用いて、時間差Ｘｐを算出する。あるいは、算出部５３は、異常検知部５６から異常判定情報を受けると、時間差Ｘｐの算出を停止する。
　再び図８を参照して、たとえば、記憶部５５における受信情報として、複数種類の基準メッセージＭｂの受信時刻ｔｂが保存されている場合、異常検知部５６は、各種類の基準メッセージＭｂの異常を検知する。
　たとえば、異常検知部５６は、基準メッセージＭｂｑの受信時刻ｔｂｑ、基準メッセージＭｂｑの後に送信される次の基準メッセージＭｂ（ｑ＋１）の受信時刻ｔｂ（ｑ＋１）に基づいて、基準メッセージＭｂｑに関する異常を検知する。
　図１１は、本開示の実施の形態に係る車載通信システムにおける基準メッセージの受信時刻の分布の他の例を示す図である。図１１において、横軸は時刻を示す。
　図１１を参照して、異常検知部５６は、受信時刻ｔｂｑがしきい値ＴｈＢｑ１，ＴｈＢｑ２により規定された許容範囲内である基準メッセージＭｂｑを正常であると判断した後、基準メッセージＭｂｑの後に送信される次の基準メッセージＭｂ（ｑ＋１）の受信時刻ｔｂ（ｑ＋１）が、しきい値ＴｈＢｑ１，ＴｈＢｑ２により規定された許容範囲内である場合、基準メッセージＭｂｑ，Ｍｂ（ｑ＋１）は異常である可能性があると判断する。
　異常検知部５６は、基準メッセージＭｂｑ，Ｍｂ（ｑ＋１）が異常である可能性があると判断すると、異常である可能性がある基準メッセージＭｂｑ，Ｍｂ（ｑ＋１）を示す異常判定情報を算出部５３へ通知する。
　算出部５３は、異常検知部５６から異常判定情報を受けると、受けた異常判定情報が示す、異常である可能性がある基準メッセージＭｂ以外の基準メッセージＭｂの受信時刻ｔｂを用いて、時間差Ｘｐを算出する。
（しきい値の切り替え処理）
　上述したように、すべての対象メッセージＭａが正当メッセージである場合において、対象メッセージＭａの送信周期Ｔａおよび基準メッセージＭｂの送信周期Ｔｂが互いに異なる場合がある。検知部５４は、複数の判定基準を切り替えながら、検知処理を行う。
　たとえば、再び図６を参照して、基準メッセージＭｂの送信周期Ｔｂが対象メッセージＭａの送信周期Ｔａより短い場合、算出部５３によって算出される時間差Ｘｐは、周期的に変化する。
　検知部５４は、時間差Ｘｐの周期的な変化に応じて、複数の判定基準を切り替えながら、検知処理を行う。
　検知部５４が検知処理において用いる判定基準の数は、すべての対象メッセージＭａが正当メッセージである場合における、対象メッセージＭａの送信周期Ｔａと基準メッセージＭｂの送信周期Ｔｂとの最小公倍数Ｌ、および対象メッセージＭａの送信周期Ｔａに基づいて決定される。より詳細には、記憶部５５は、車両１の製造者によって予め決定された数の判定基準たとえばしきい値Ｔｈを記憶している。
　たとえば、記憶部５５は、すべての対象メッセージＭａが正当メッセージである場合における対象メッセージＭａの送信周期Ｔａ、および基準メッセージＭｂの送信周期Ｔｂ、ならびにオフセットＳ１，Ｓ２，Ｓ３を記憶している。また、記憶部５５は、検知部５４が検知処理において用いる判定基準として、最小公倍数Ｌを送信周期Ｔａで除した値の数のしきい値Ｔｈを記憶している。
　（しきい値の切り替え処理の具体例１）
　図１２は、本開示の実施の形態に係る車載通信システムにおける対象メッセージの受信時刻と基準メッセージの受信時刻との関係の一例を示す図である。図１２は、図６に示す対象メッセージおよび基準メッセージの受信時刻の分布に対応している。
　図１２を参照して、対象メッセージＭａｐの受信時刻ｔａｐと、当該対象メッセージＭａｐの比較対象とすべき基準メッセージＭｂｑの受信時刻ｔｂｑとの時間差Ｘｐは、理論上は２秒、０秒、１秒、２秒のように周期的に変化する。
　図６および図１２に示す例のように、対象メッセージＭａの送信周期Ｔａが７秒であり、基準メッセージＭｂの送信周期Ｔｂが３秒である場合、記憶部５５は、最小公倍数Ｌである２１を送信周期Ｔａである７で除した値に応じて、３つのしきい値Ｔｈ１，Ｔｈ２，Ｔｈ３を記憶している。
　検知部５４は、はじめに、３つのしきい値Ｔｈ１，Ｔｈ２，Ｔｈ３のうち、マハラノビス距離Ｄ＾２との比較に用いるべきしきい値Ｔｈを決定するための処理であるシンボル同期処理を行う。
　より詳細には、検知部５４は、記憶部５５に保存されている送信周期Ｔａ，ＴｂおよびオフセットＳ１，Ｓ２，Ｓ３に基づいて、予め、理論値である時間差Ｘｐｓを算出する。たとえば、検知部５４は、最小公倍数Ｌを送信周期Ｔａで除した値の数の時間差Ｘｐｓすなわち３つの時間差Ｘｐｓを算出する。
　そして、検知部５４は、時間差情報として、３つの時間差Ｘｐが記憶部５５に保存されると、記憶部５５に保存された３つの時間差Ｘｐと、算出した３つの時間差Ｘｐｓとをそれぞれ比較するパターンマッチング処理を行う。
　より詳細には、検知部５４は、３つの時間差Ｘｐと対応の３つの時間差Ｘｐｓとの差分がそれぞれ所定のしきい値以下である場合、シンボル同期処理を終了する。そして、検知部５４は、算出した時間差Ｘｐｓの変化に応じて、３つの時間差Ｘｐｓに対応して予め決定されたしきい値Ｔｈ１，Ｔｈ２，Ｔｈ３を切り替えながら検知処理を行う。
　一方、検知部５４は、３つの時間差Ｘｐと対応の３つの時間差Ｘｐｓとの差分がそれぞれ所定のしきい値より大きい場合、新たな時間差情報が記憶部５５に保存されるまで待機する。検知部５４は、新たな３つの時間差Ｘｐが記憶部５５に保存されると、再度、パターンマッチング処理を行う。検知部５４は、３つの時間差Ｘｐと対応の３つの時間差Ｘｐｓとの差分がそれぞれ所定のしきい値以下となるまで、パターンマッチング処理を繰り返す。
　たとえば、異常検知部５６は、対象メッセージＭａｐの受信情報が記憶部５５に保存されると、対象メッセージＭａｐの受信時刻ｔａｐと直前の対象メッセージＭａ（ｐ－１）の受信時刻ｔａ（ｐ－１）との間において受信された基準メッセージＭｂの異常を検知する。
　具体的には、異常検知部５６は、受信時刻ｔａｐが３０秒である対象メッセージＭａの受信情報が記憶部５５に保存されると、直前の対象メッセージＭａの受信時刻である２３秒から３０秒の間において受信された、３つの基準メッセージＭｂの受信時刻ｔｂｑに基づいて、受信時刻ｔｂｑの時間差Ｘｑを算出し、算出した時間差Ｘｑと記憶部５５におけるしきい値ＴｈＢとの比較結果に基づいて、基準メッセージＭｂの異常を検知する。
　異常検知部５６は、基準メッセージＭｂに異常が発生していると判断すると、異常を検知した旨を示す異常判定情報を検知部５４へ通知する。
　検知部５４は、異常判定情報を異常検知部５６から受けると、再びシンボル同期処理を行う。
　（しきい値の切り替え処理の具体例２）
　図１３は、本開示の実施の形態に係る車載通信システムにおける対象メッセージの受信時刻と基準メッセージの受信時刻との関係の他の例を示す図である。図１３は、図７に示す対象メッセージおよび基準メッセージの受信時刻の分布に対応している。
　図１３を参照して、対象メッセージＭａｐの受信時刻ｔａｐと、当該対象メッセージＭａｐの比較対象とすべき基準メッセージＭｂｑの受信時刻ｔｂｑとの時間差Ｘｐは、理論上は０秒、２秒、１秒、０秒のように周期的に変化する。
　図７および図１３に示す例のように、対象メッセージＭａの送信周期Ｔａが３秒であり、基準メッセージＭｂの送信周期Ｔｂが７秒である場合、記憶部５５は、最小公倍数Ｌである２１を送信周期Ｔａである３で除した値に応じて、７つのしきい値Ｔｈ１，Ｔｈ２，Ｔｈ３，Ｔｈ４，Ｔｈ５，Ｔｈ６，Ｔｈ７を記憶している。
　検知部５４は、はじめに、７つのしきい値Ｔｈ１，Ｔｈ２，Ｔｈ３，Ｔｈ４，Ｔｈ５，Ｔｈ６，Ｔｈ７のうち、マハラノビス距離Ｄ＾２との比較に用いるべきしきい値Ｔｈを決定する処理であるシンボル同期処理を行う。
　より詳細には、検知部５４は、記憶部５５に保存されている送信周期Ｔａ，ＴｂおよびオフセットＳ１，Ｓ２，Ｓ３に基づいて、予め、理論値である時間差Ｘｐｓを算出する。たとえば、検知部５４は、最小公倍数Ｌを送信周期Ｔａで除した値の数の時間差Ｘｐｓすなわち７つの時間差Ｘｐｓを算出する。
　そして、検知部５４は、時間差情報として、７つの時間差Ｘｐが記憶部５５に保存されると、記憶部５５に保存された７つの時間差Ｘｐと、算出した７つの時間差Ｘｐｓとをそれぞれ比較する。
　たとえば、検知部５４は、７つの時間差Ｘｐと対応の７つの時間差Ｘｐｓとの差分がそれぞれ所定のしきい値以下である場合、シンボル同期処理を終了する。そして、検知部５４は、算出した時間差Ｘｐｓの変化に応じて、７つの時間差Ｘｐｓに対応して予め決定されたしきい値Ｔｈ１，Ｔｈ２，Ｔｈ３，Ｔｈ４，Ｔｈ５，Ｔｈ６，Ｔｈ７を切り替えながら検知処理を行う。
　一方、検知部５４は、７つの時間差Ｘｐと対応の７つの時間差Ｘｐｓとの差分がそれぞれ所定のしきい値より大きい場合、新たな時間差情報が記憶部５５に保存されるまで待機する。検知部５４は、新たな７つの時間差Ｘｐが記憶部５５に保存されると、再度、パターンマッチング処理を行う。検知部５４は、７つの時間差Ｘｐと対応の７つの時間差Ｘｐｓとの差分がそれぞれ所定のしきい値以下となるまで、パターンマッチング処理を繰り返す。
　（しきい値の切り替え処理の具体例３）
　たとえば、検知部５４は、基準メッセージＭｂの受信時刻ｔｂに基づいて、仮想的な受信時刻ｔｖｂを生成することにより、基準メッセージＭｂを補完する。
　図１４は、本開示の実施の形態に係る車載通信システムにおける対象メッセージの受信時刻と基準メッセージの受信時刻との関係の他の例を示す図である。図１４は、図７に示す対象メッセージおよび基準メッセージの受信時刻の分布に対応している。
　図１４を参照して、検知部５４は、シンボル同期処理を実行した後、対象メッセージＭａｐの受信時刻ｔｂｐを含む受信情報が監視部５２によって記憶部５５に保存されると、最新の基準メッセージＭｂの受信時刻ｔｂを用いて、以下の式（１４）および式（１５）に従って、１つの基準メッセージＭｂの受信時刻ｔｂに対してｆ個の受信時刻ｔｖｂを生成する。ここで、ｆは、１以上の整数である。
Figure JPOXMLDOC01-appb-M000014
Figure JPOXMLDOC01-appb-M000015
　ここで、Ｍｇは、基準メッセージＭｂの遅延時間を考慮して設定される所定のマージンである。たとえば、マージンＭｇは、基準メッセージＭｂにおいて発生し得る最大の遅延時間にマイナス１を掛けた値である。また、ｅは、ある基準メッセージＭｂの受信時刻ｔｂを用いて既に生成された受信時刻ｔｖｂの数である。
　検知部５４は、生成した受信時刻ｔｖｂの後の時刻である、次の対象メッセージＭａ（ｐ＋１）の受信時刻ｔａ（ｐ＋１）を含む受信情報が監視部５２によって記憶部５５に保存されると、最新の基準メッセージＭｂの受信時刻ｔｂを用いて、式（１５）におけるｅに１を代入して再び受信時刻ｔｖｂを生成する。
　検知部５４は、対象メッセージＭａの受信時刻ｔａと生成した受信時刻ｔｖｂとの時間差Ｘｐにそれぞれ対応して予め設定されたしきい値Ｔｈを用いて検知処理を行う。
　［検知処理の他の例］
　（グレー判定）
　たとえば、検知部５４は、対象メッセージＭａｐの送信時刻に対応する時刻と基準メッセージＭｂの送信時刻に対応する時刻との時間差、および対象メッセージＭａｐの後に送信される対象メッセージＭａ（ｐ＋１）の送信時刻に対応する時刻と基準メッセージＭｂの送信時刻に対応する時刻との時間差に基づいて、対象メッセージＭａｐに関する異常を検知する。より詳細には、検知部５４は、対象メッセージＭａｐの受信時刻ｔａｐと基準メッセージＭｂの受信時刻ｔｂとの時間差Ｘｐ、および対象メッセージＭａ（ｐ＋１）の受信時刻ｔａ（ｐ＋１）と基準メッセージＭｂの受信時刻ｔｂとの時間差Ｘ（ｐ＋１）に基づいて、対象メッセージＭａｐに関する異常を検知する。
　図１５は、本開示の実施の形態に係る車載通信システムにおける対象メッセージおよび基準メッセージの受信時刻の分布の一例を示す図である。図１５において、横軸は時刻を示す。また、図１５は、すべての対象メッセージＭａが正当メッセージである場合において、対象メッセージＭａの送信周期Ｔａと基準メッセージＭｂの送信周期Ｔｂとが等しい場合を示している。
　図１５を参照して、上述したように、算出部５３は、対象メッセージＭａｐの受信時刻ｔａｐと、基準メッセージＭｂｑの受信時刻ｔｂｑとの時間差Ｘｐを算出する。
　検知部５４は、時間差Ｘｐおよび式（１３）に基づいてマハラノビス距離Ｄ＾２を算出し、算出したマハラノビス距離Ｄ＾２としきい値Ｔｈとを比較し、比較結果に基づいて、対象メッセージＭａｐが不正メッセージであるか否かを判定する。
　また、算出部５３は、対象メッセージＭａｐの次の対象メッセージＭａ（ｐ＋１）の受信時刻ｔａ（ｐ＋１）と基準メッセージＭｂｑの受信時刻ｔｂｑとの時間差Ｘ（ｐ＋１ａ）を算出する。
　検知部５４は、時間差Ｘ（ｐ＋１ａ）および式（１３）に基づいてマハラノビス距離Ｄ＾２を算出し、算出したマハラノビス距離Ｄ＾２としきい値Ｔｈとを比較し、比較結果に基づいて、対象メッセージＭａ（ｐ＋１）が不正メッセージであるか否かを判定する。
　検知部５４は、対象メッセージＭａｐが不正メッセージではないと判断した後、さらに対象メッセージＭａ（ｐ＋１）も不正メッセージではないと判断した場合、対象メッセージＭａｐ，Ｍａ（ｐ＋１）は異常である可能性があると判断する、すなわちグレー判定する。
　（サポートベクターマシンを用いた検知処理）
　なお、本開示の実施の形態に係るゲートウェイ装置１０１では、検知部５４は、時間差Ｘｐに基づいてマハラノビス距離Ｄ＾２を算出し、算出したマハラノビス距離Ｄ＾２としきい値Ｔｈとの比較結果に基づいて、対象メッセージＭａｐが不正メッセージであるか否かを判定する構成であるとしたが、これに限定するものではない。
　検知部５４は、たとえばサポートベクターマシンを用いて、対象メッセージＭａが不正メッセージであるか否かを判定する構成であってもよい。検知部５４は、１クラスに分類するサポートベクターマシンを用いてもよいし、多クラスに分類するサポートベクターマシンを用いてもよい。
　より詳細には、検知部５４は、以下の式（１６）に従って、分類スコアｆ（Ｘｐ）を算出する。検知部５４は、算出した分類スコアｆ（Ｘｐ）がゼロ以上である場合、対象メッセージＭａｐは正当メッセージであると判断する一方、算出した分類スコアｆ（Ｘｐ）がゼロ未満である場合、対象メッセージＭａｐは不正メッセージであると判断する。
Figure JPOXMLDOC01-appb-M000016
　ここで、Ｋ（ｘ，ｘｉ）は、カーネル関数である。カーネル関数は、具体的には、線形カーネル、多項式カーネル、以下の式（１７）に示すガウスカーネル、またはシグモイドカーネルである。
Figure JPOXMLDOC01-appb-M000017
　ｘは、対象メッセージＭａｐの受信時刻ｔａｐと複数の基準メッセージＭｂｑの受信時刻ｔｂｑとの時間差Ｘｐのベクトルである。ｘｉは、サポートベクトルである。ｙｉは、分類すべき各クラスに対応する値である。たとえば１クラスに分類するサポートベクターマシンを用いる場合、ｙｉは１である。Ｗｉは、重みベクトルである。ｂは、バイアスである。ｘｉ，ｙｉ，Ｗｉおよびｂは、予め、車両１と同じ種類のテスト車両のゲートウェイ装置１０１を用いて、正当メッセージを用いて機械学習により求められるパラメータである。
　１クラスに分類するサポートベクターマシンを用いる場合、上記パラメータは、教師無し学習によって設定される。より詳細には、正当メッセージである対象メッセージＭａｐの受信時刻ｔａｐと複数の基準メッセージＭｂｑの受信時刻ｔｂｑとの時間差Ｘｐを算出し、算出した時間差Ｘｐを学習用のデータセットと検証用のデータセットとに分類する。
　そして、学習用のデータセットを用いて機械学習を行い、機械学習により得られたパラメータおよび上述した式（１６）を用いて検証用のデータセットの分類スコアｆ（Ｘｐ）を算出し、分類スコアｆ（Ｘｐ）がゼロ以上となるか、またはゼロ未満となるかを確認する。すなわち、検証用のデータセットが正当メッセージであると判定されるか、または不正メッセージであると判定されるかを確認する。そして、検証用のデータセットの判定結果の偽陽性率が所望の値となるようパラメータを適切に調整し、再度、学習用のデータセットを用いた機械学習を行う。
　多クラスに分類するサポートベクターマシンを用いる場合、上記パラメータは、教師有り学習によって設定される。より詳細には、正当メッセージである対象メッセージＭａｐの受信時刻ｔａｐと複数の基準メッセージＭｂｑの受信時刻ｔｂｑとの時間差Ｘｐを算出し、算出した時間差Ｘｐを正常データ群とする。
　そして、正常データ群の時間差Ｘｐより大きい複数の時間差Ｘｐｒのデータ群である不正データ群、および正常データ群の時間差Ｘｐより小さい複数の時間差Ｘｐｓのデータ群である不正データ群を生成する。正常データ群および不正データ群を、学習用のデータセットと検証用のデータセットとに分類する。
　次に、学習用のデータセットを用いて機械学習を行い、機械学習により得られたパラメータおよび上述した式（１６）を用いて検証用のデータセットの分類スコアｆ（Ｘｐ）を算出し、分類スコアｆ（Ｘｐ）に基づいて検証用のデータセットが正当メッセージであると判定されるか、または不正メッセージであると判定されるかを確認する。そして、検証用のデータセットの判定結果の偽陽性率が所望の値となるように、不正データ群の時間差Ｘｐｓ，Ｘｐｒの値すなわち不正データ群と正常データ群とのギャップ、およびパラメータを適切に調整し、再度、学習用のデータセットを用いた機械学習を行う。
　（決定木を用いた検知処理）
　検知部５４は、たとえば決定木を用いて、対象メッセージＭａが不正メッセージであるか否かを判定する構成であってもよい。決定木のアルゴリズムは、たとえば、ＣＡＲＴ（Ｃｌａｓｓｉｆｉｃａｔｉｏｎ　Ａｎｄ　Ｒｅｇｒｅｓｓｉｏｎ　Ｔｒｅｅｓ）およびＣ４．５等である。
　決定木のパラメータは、教師有り学習によって設定される。より詳細には、正当メッセージである対象メッセージＭａｐの受信時刻ｔａｐと複数の基準メッセージＭｂｑの受信時刻ｔｂｑとの時間差Ｘｐを算出し、算出した時間差Ｘｐを正常データ群とする。
　そして、正常データ群の時間差Ｘｐより大きい複数の時間差Ｘｐｒのデータ群である不正データ群、および正常データ群の時間差Ｘｐより小さい複数の時間差Ｘｐｓのデータ群である不正データ群を生成する。正常データ群および不正データ群を、学習用のデータセットと検証用のデータセットとに分類する。
　次に、学習用のデータセットを用いて、ＣＡＲＴおよびＣ４．５等のアルゴリズムを用いる決定木の機械学習を行い、機械学習により得られた決定木を用いた場合において、検証用のデータセットが正当メッセージであると判定されるか、または不正メッセージであると判定されるかを確認する。そして、検証用のデータセットの判定結果の偽陽性率が所望の値となるように、不正データ群の時間差Ｘｐｓ，Ｘｐｒの値すなわち不正データ群と正常データ群とのギャップ、および決定木の学習用パラメータを適切に調整し、再度、学習用のデータセットを用いた機械学習を行う。
　［動作の流れ］
　本開示の実施の形態に係る車載通信システムにおける各装置は、メモリを含むコンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のフローチャートおよびシーケンスの各ステップの一部または全部を含むプログラムを当該メモリから読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。
　図１６は、本開示の実施の形態に係る車載通信システムにおいてゲートウェイ装置が検知処理を行う際の動作手順の一例を定めたフローチャートである。
　図１６を参照して、まず、ゲートウェイ装置１０１は、車載ネットワーク１２における、対象メッセージＭａと基準メッセージＭｂとを監視し、対象メッセージＭａｐの受信時刻ｔａｐおよび基準メッセージＭｂｑの受信時刻ｔｂｑを取得する（ステップＳ１０２）。
　次に、ゲートウェイ装置１０１は、基準メッセージＭｂｑの受信時刻ｔｂｑとしきい値ＴｈＢｑ１，ＴｈＢｑ２とを比較する（ステップＳ１０４）。
　ゲートウェイ装置１０１は、受信時刻ｔｂｑがしきい値ＴｈＢｑ１，ＴｈＢｑ２により規定された許容範囲内である場合（ステップＳ１０６でＹＥＳ）、不正メッセージを検知する検知処理を行う。具体的には、ゲートウェイ装置１０１は、対象メッセージＭａｐが不正メッセージであるか否かを判断する（ステップＳ１０８）。
　一方、ゲートウェイ装置１０１は、受信時刻ｔｂｑがしきい値ＴｈＢｑ１，ＴｈＢｑ２により規定された許容範囲外である場合（ステップＳ１０６でＮＯ）、対象メッセージＭａおよび基準メッセージＭｂの監視を継続し、次の対象メッセージＭａ（ｐ＋１）の受信時刻ｔａ（ｐ＋１）および次の基準メッセージＭｂ（ｑ＋１）の受信時刻ｔｂ（ｑ＋１）を取得する（ステップＳ１０２）。
　また、ゲートウェイ装置１０１は、検知処理の結果、対象メッセージＭａｐが正当メッセージであると判断した場合（ステップＳ１１０でＮＯ）、対象メッセージＭａおよび基準メッセージＭｂの監視を継続し、次の対象メッセージＭａ（ｐ＋１）の受信時刻ｔａ（ｐ＋１）および次の基準メッセージＭｂ（ｑ＋１）の受信時刻ｔｂ（ｑ＋１）を取得する（ステップＳ１０２）。
　一方、ゲートウェイ装置１０１は、検知処理の結果、対象メッセージＭａｐが不正メッセージであると判断した場合（ステップＳ１１０でＹＥＳ）、不正メッセージが伝送されていることを示す警報情報を車両１内または車両１外における上位装置へ送信する（ステップＳ１１２）。
　次に、ゲートウェイ装置１０１は、対象メッセージＭａおよび基準メッセージＭｂの監視を継続し、次の対象メッセージＭａ（ｐ＋１）の受信時刻ｔａ（ｐ＋１）および次の基準メッセージＭｂ（ｑ＋１）の受信時刻ｔｂ（ｑ＋１）を取得する（ステップＳ１０２）。
　図１７は、本開示の実施の形態に係る車載通信システムにおいてゲートウェイ装置が検知処理を行う際の動作手順の他の例を定めたフローチャートである。
　図１７を参照して、まず、ゲートウェイ装置１０１は、車載ネットワーク１２における、対象メッセージＭａと基準メッセージＭｂとを監視し、対象メッセージＭａの複数の受信時刻および基準メッセージＭｂの複数の受信時刻ｔｂを取得する（ステップＳ２０２）。
　次に、ゲートウェイ装置１０１は、取得した複数の受信時刻ｔａおよび複数の受信時刻ｔｂに基づいて複数の時間差Ｘｐを算出し、算出した複数の時間差Ｘｐを用いてシンボル同期処理を行う（ステップＳ２０４）。
　次に、ゲートウェイ装置１０１は、対象メッセージＭａｐの受信時刻ｔａｐおよび基準メッセージＭｂｑの受信時刻ｔｂｑを取得する（ステップＳ２０６）。
　次に、ゲートウェイ装置１０１は、基準メッセージＭｂｑの受信時刻ｔｂｑとしきい値ＴｈＢｑ１，ＴｈＢｑ２とを比較する（ステップＳ２０８）。
　ゲートウェイ装置１０１は、受信時刻ｔｂｑがしきい値ＴｈＢｑ１，ＴｈＢｑ２により規定された許容範囲内である場合（ステップＳ２１０でＹＥＳ）、不正メッセージを検知する検知処理を行う。具体的には、ゲートウェイ装置１０１は、対象メッセージＭａｐが不正メッセージであるか否かを判断する（ステップＳ２１２）。
　次に、ゲートウェイ装置１０１は、ステップＳ２１４，Ｓ２１６の処理として、図１６におけるステップＳ１１０，Ｓ１１２と同様の処理を行う。
　図１８は、本開示の実施の形態に係る車載通信システムのゲートウェイ装置における検知処理の一例を定めたフローチャートである。図１８は、図１６におけるステップＳ１０８の詳細を示している。
　図１８を参照して、まず、ゲートウェイ装置１０１は、対象メッセージＭａｐの受信時刻ｔａｐと基準メッセージＭｂｑの受信時刻ｔｂｑとの時間差Ｘｐを算出する（ステップＳ３０２）。
　次に、ゲートウェイ装置１０１は、時間差Ｘｐに基づいて、マハラノビス距離Ｄ＾２を算出する（ステップＳ３０４）。
　次に、ゲートウェイ装置１０１は、算出したマハラノビス距離Ｄ＾２としきい値Ｔｈとを比較する（ステップＳ３０６）。
　次に、ゲートウェイ装置１０１は、マハラノビス距離Ｄ＾２がしきい値Ｔｈ以下である場合（ステップＳ３０８でＹＥＳ）、対象メッセージＭａｐは正当メッセージであると判断する（ステップＳ３１０）。
　一方、ゲートウェイ装置１０１は、マハラノビス距離Ｄ＾２がしきい値Ｔｈより大きい場合（ステップＳ３０８でＮＯ）、対象メッセージＭａｐは不正メッセージであると判断する（ステップＳ３１２）。
　図１９は、本開示の実施の形態に係る車載通信システムのゲートウェイ装置における検知処理の他の例を定めたフローチャートである。図１９は、図１７におけるステップＳ２１２の詳細を示している。
　図１９を参照して、まず、ゲートウェイ装置１０１は、基準メッセージＭｂｑの受信時刻ｔｂｑに基づいて、仮想的な受信時刻ｔｖｂを生成する（ステップＳ４０２）。
　次に、ゲートウェイ装置１０１は、対象メッセージＭａｐの受信時刻ｔａｐと、受信時刻ｔｂｑまたは受信時刻ｔｖｂとの時間差Ｘｐを算出する（ステップＳ４０４）。
　次に、ゲートウェイ装置１０１は、ステップＳ４０６からステップＳ４１４の処理として、図１８におけるステップＳ３０４からステップＳ３１２と同様の処理を行う。
　なお、本開示の実施の形態に係る車載通信システム３０１では、ゲートウェイ装置１０１が、車載ネットワーク１２における不正メッセージを検知する構成であるとしたが、これに限定するものではない。車載通信システム３０１では、ゲートウェイ装置１０１とは別の検知装置が、車載ネットワーク１２における不正メッセージを検知する構成であってもよい。
　また、本開示の実施の形態に係る車載通信システム３０１では、検知装置として機能するゲートウェイ装置１０１がバス１３に直接接続される構成であるとしたが、これに限定するものではない。
　図２０は、本開示の実施の形態に係る車載ネットワークの接続トポロジの一例を示す図である。
　図２０を参照して、検知装置１５１が、車載装置たとえば制御装置１２２を介してバス１３に接続される構成であってもよい。この場合、検知装置１５１は、たとえば、当該車載装置が送受信するメッセージを監視することにより、バス１３に伝送される不正メッセージを検知する。
　図２０に示す例では、たとえば、検知装置１５１の監視部５２は、制御装置１２２が送信する基準メッセージＭｂの送信時刻に対応する時刻および対象メッセージＭａの送信時刻に対応する時刻を取得する。そして、検知装置１５１の算出部５３は、監視部５２による監視結果に基づいて、対象メッセージＭａの送信時刻と、基準メッセージＭｂの送信時刻との時間差を算出する。
　また、本開示の実施の形態に係る車載通信システム３０１では、ゲートウェイ装置１０１は、制御装置１２２Ａからの周期メッセージＭ１および不正メッセージを対象メッセージＭａとして監視するとともに、制御装置１２２Ｂからの周期メッセージＭ２を基準メッセージＭｂとして監視する構成であるとしたが、これに限定するものではない。
　再び図４を参照して、たとえば、制御装置１２２Ａは、送信周期Ｔａで周期メッセージＭ１を送信するとともに、送信周期Ｔｂで周期メッセージＭ２を送信する。より詳細には、制御装置１２２ＡにおけるＣＰＵ１３２Ａは、発振器１３１Ａからの発振信号に基づいて生成されるクロックのタイミングに従って、ＣＡＮトランシーバ１３３Ａ経由で周期メッセージＭ１，Ｍ２をブロードキャストまたはユニキャストする。
　ゲートウェイ装置１０１におけるＣＡＮトランシーバ１４２は、制御装置１２２Ａからの周期メッセージＭ１および不正メッセージを対象メッセージＭａとして監視するとともに、制御装置１２２Ａからの周期メッセージＭ２を基準メッセージＭｂとして監視する。
　また、本開示の実施の形態に係るゲートウェイ装置１０１では、検知部５４は、検知処理として、対象メッセージＭａが不正メッセージであるか否かを判定する構成であるとしたが、これに限定するものではない。検知部５４は、検知処理として、対象メッセージＭａが不正メッセージである確率を算出する構成であってもよい。
　また、本開示の実施の形態に係るゲートウェイ装置１０１では、検知部５４が検知処理において用いる判定基準の数は、すべての対象メッセージＭａが正当メッセージである場合における、対象メッセージＭａの送信周期Ｔａと基準メッセージＭｂの送信周期Ｔｂとの最小公倍数Ｌ、および対象メッセージＭａの送信周期Ｔａに基づいて決定される構成であるとしたが、これに限定するものではない。検知部５４が検知処理において用いる判定基準の数は、最小公倍数Ｌおよび送信周期Ｔａに依らない数、たとえば所定数であってもよい。この場合、不正メッセージであるか否かの判定が、一部の対象メッセージＭａについて行われる。
　また、本開示の実施の形態に係るゲートウェイ装置１０１では、異常検知部５６は、監視部５２による監視結果に基づいて、基準メッセージＭｂの異常を検知する構成であるとしたが、これに限定するものではない。ゲートウェイ装置１０１は、異常検知部５６を備えない構成であってもよい。
　また、本開示の実施の形態に係るゲートウェイ装置１０１では、検知部５４は、対象メッセージＭａｐが不正メッセージではないと判断した後、さらに対象メッセージＭａ（ｐ＋１）も不正メッセージではないと判断した場合、対象メッセージＭａｐ，Ｍａ（ｐ＋１）をグレー判定する構成であるとしたが、これに限定するものではない。検知部５４は、グレー判定を行わない構成であってもよい。
　また、本開示の実施の形態に係るゲートウェイ装置１０１では、対象メッセージＭａが不正メッセージであるか否かの判定基準は、制御装置１２２Ａ，１２２Ｂにおける発振器１３１Ａ，１３１Ｂによって生じるジッタ、およびゲートウェイ装置１０１における発振器１４３によって生じるジッタに基づいて設定される構成であるとしたが、これに限定するものではない。判定基準は、発振器１３１Ａ，１３１Ｂ，１４３によって生じるジッタに依らずに設定される構成であってもよい。
　ところで、車載ネットワークにおける不正メッセージをより正しく検知することを可能とする技術が望まれる。
　たとえば、周期メッセージを監視することにより、ある時刻に送信された周期メッセージを基準として、当該周期メッセージの送信時刻と、次に送信された周期メッセージの送信時刻との時間差に基づいて、正当な周期メッセージになりすました不正メッセージを検知する方法が考えられる。
　このような方法では、基準とした周期メッセージが不正メッセージである場合、次に送信された周期メッセージが不正メッセージであるか否かを正しく判定できない場合がある。
　具体的には、直前の周期メッセージの送信時刻に基づいて、次の周期メッセージが不正メッセージであるか否かを判定する上記方法では、不正メッセージを正当メッセージであると誤検知した場合、当該不正メッセージの送信時刻に基づいて、次の周期メッセージが不正メッセージであるか否かの判定を行うこととなる。その結果、次の不正メッセージを正当メッセージであると誤判定したり、所定の送信周期に従って送信された正当メッセージを不正メッセージであると誤判定したりする場合がある。
　これに対して、本開示の実施の形態に係るゲートウェイ装置１０１では、監視部５２は、車載ネットワーク１２における、周期的に送信される正当メッセージ、および不正メッセージを対象メッセージＭａとして監視するとともに、周期的に送信される基準メッセージＭｂを監視する。算出部５３は、監視部５２による監視結果に基づいて、対象メッセージＭａの送信時刻に対応する時刻と基準メッセージＭｂの送信時刻に対応する時刻との時間差Ｘｐを算出する。検知部５４は、算出部５３によって算出された時間差Ｘｐに基づいて、不正メッセージを検知する検知処理を行う。
　このように、対象メッセージＭａの送信時刻に対応する時刻と、基準メッセージＭｂの送信時刻に対応する時刻との時間差Ｘｐに基づいて検知処理を行う構成により、基準メッセージＭｂの送信時刻に対応する時刻を基準として検知処理を行うことができるため、対象メッセージＭａに含まれる不正メッセージの受信時刻を基準として検知処理を行うことによる誤検知の発生を回避することができる。
　したがって、本開示の実施の形態に係るゲートウェイ装置１０１では、車載ネットワークにおける不正メッセージをより正しく検知することができる。
　また、本開示の実施の形態に係るゲートウェイ装置１０１では、正当メッセージの送信周期および基準メッセージＭｂの送信周期Ｔｂが互いに異なる。検知部５４は、検知処理として、対象メッセージＭａが不正メッセージであるか否かを判定基準に従って判定する。検知部５４は、複数の判定基準を切り替えながら検知処理を行う。
　このような構成により、正当メッセージの送信周期と基準メッセージＭｂの送信周期Ｔｂとの差に基づく時間差Ｘｐの変化に対応して、複数の判定基準を切り替えながら検知処理を行うことができるため、様々な送信周期の周期メッセージを基準メッセージＭｂとして用いることができる柔軟な検知処理が可能となる。
　また、本開示の実施の形態に係るゲートウェイ装置１０１では、検知部５４が検知処理において用いる判定基準の数は、正当メッセージの送信周期と基準メッセージＭｂの送信周期Ｔｂとの最小公倍数Ｌ、および正当メッセージの送信周期に基づいて決定される。
　このような構成により、正当メッセージの送信周期と基準メッセージＭｂの送信周期Ｔｂとの差に基づく時間差Ｘｐの大きさに応じて、複数の判定基準に従って対象メッセージＭａが不正メッセージであるか否かを判定することができるため、たとえばすべての対象メッセージＭａについて、不正メッセージであるか否かの判定を行うことができる。
　また、本開示の実施の形態に係るゲートウェイ装置１０１では、異常検知部５６は、監視部５２による監視結果に基づいて、基準メッセージＭｂの異常を検知し、異常を検知した場合に所定の処理を行う。
　このような構成により、基準メッセージＭｂの異常が検知された場合、たとえば、当該基準メッセージＭｂの送信時刻に対応する時刻を基準とした検知処理を行わないようにすることができるため、誤検知の発生を抑制することができる。
　また、本開示の実施の形態に係るゲートウェイ装置１０１では、検知部５４は、対象メッセージＭａｐの送信時刻に対応する時刻と基準メッセージＭｂｑの送信時刻に対応する時刻との時間差Ｘｐ、および対象メッセージＭａｐの後に送信される対象メッセージＭａ（ｐ＋１）の送信時刻に対応する時刻と基準メッセージＭｂｑの送信時刻に対応する時刻との時間差Ｘ（ｐ＋１ａ）に基づいて、対象メッセージＭａｐに関する異常を検知する。
　このような構成により、たとえば、基準メッセージＭｂｑの送信時刻に対応する時刻を基準として正常であると判定される時間内に複数の対象メッセージＭａが送信された場合、たとえば、実際には不正メッセージを含む当該複数の対象メッセージＭａを正当メッセージであると誤判定した場合であっても、当該複数の対象メッセージＭａは異常である可能性があると判断することができる。これにより、検知処理において検知することができなかった不正メッセージを、たとえばグレー判定することができる。
　また、本開示の実施の形態に係るゲートウェイ装置１０１では、監視部５２は、ゲートウェイ装置１０１が受信する対象メッセージＭａおよびゲートウェイ装置１０１が受信する基準メッセージＭｂを監視する。検知部５４は、検知処理として、対象メッセージＭａが不正メッセージであるか否かを判定基準に従って判定する。判定基準は、基準メッセージＭｂを送信する制御装置１２２Ｂにおける発振器１３１Ｂによって生じるジッタ、およびゲートウェイ装置１０１における発振器１４３によって生じるジッタに基づいて設定される。
　このような構成により、たとえば、制御装置１２２Ａにおける発振器１３１Ａによって生じるジッタに基づくメッセージの送信時刻の誤差、およびゲートウェイ装置１０１における発振器１４３によって生じるジッタに基づくメッセージの受信時刻の誤差を考慮した判断基準に基づいて、より正確な検知処理を行うことができる。
　また、本開示の実施の形態に係る車両１は、ゲートウェイ装置１０１を備える。
　このような構成により、ゲートウェイ装置１０１を備える車両１において、車載ネットワーク１２における不正メッセージをより正しく検知することができる。
　また、本開示の実施の形態に係る検知方法は、車載ネットワーク１２における不正メッセージを検知するゲートウェイ装置１０１における検知方法である。この検知方法では、まず、ゲートウェイ装置１０１が、車載ネットワーク１２における、周期的に送信される正当メッセージ、および不正メッセージを対象メッセージＭａとして監視するとともに、周期的に送信される基準メッセージＭｂとを監視する。次に、ゲートウェイ装置１０１が、監視結果に基づいて、対象メッセージＭａの送信時刻に対応する時刻と基準メッセージＭｂの送信時刻に対応する時刻との時間差Ｘｐを算出する。次に、ゲートウェイ装置１０１が、算出した時間差Ｘｐに基づいて、不正メッセージを検知する検知処理を行う。
　このように、対象メッセージＭａの送信時刻に対応する時刻と、基準メッセージＭｂの送信時刻に対応する時刻との時間差Ｘｐに基づいて検知処理を行う方法により、基準メッセージＭｂの送信時刻に対応する時刻を基準として検知処理を行うことができるため、対象メッセージＭａに含まれる不正メッセージの受信時刻を基準として検知処理を行うことによる誤検知の発生を回避することができる。
　したがって、本開示の実施の形態に係る検知方法では、車載ネットワークにおける不正メッセージをより正しく検知することができる。
　上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
　以上の説明は、以下に付記する特徴を含む。
　［付記１］
　車載ネットワークにおける不正メッセージを検知する検知装置であって、
　前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視するとともに、周期的に送信される基準メッセージを監視する監視部と、
　前記監視部による監視結果に基づいて、前記対象メッセージの送信時刻に対応する時刻と前記基準メッセージの送信時刻に対応する時刻との時間差を算出する算出部と、
　前記算出部によって算出された前記時間差に基づいて、前記不正メッセージを検知する検知処理を行う検知部と、
　前記監視部による監視結果に基づいて、前記基準メッセージの異常を検知し、前記異常を検知した場合に前記算出部へ前記異常を通知する異常検知部とを備え、
　前記対象メッセージおよび前記基準メッセージは、送信先または送信元が互いに異なり、
　前記算出部は、前記対象メッセージの送信時刻に対応する時刻と、前記異常検知部によって前記異常が検知されなかった前記基準メッセージの送信時刻に対応する時刻とに基づいて、前記時間差を算出する、検知装置。
　［付記２］
　車載ネットワークにおける不正メッセージを検知する検知装置であって、
　前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視するとともに、周期的に送信される基準メッセージを監視する監視部と、
　前記監視部による監視結果に基づいて、前記対象メッセージの送信時刻に対応する時刻と前記基準メッセージの送信時刻に対応する時刻との時間差を算出する算出部と、
　前記算出部によって算出された前記時間差に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備え、
　前記監視部、前記算出部および前記検知部は、プロセッサにより実現される、検知装置。
　１　　　　　車両
　１２　　　　車載ネットワーク
　１３，１４　バス
　５１　　　　通信処理部
　５２　　　　監視部
　５３　　　　算出部
　５４　　　　検知部
　５５　　　　記憶部
　５６　　　　異常検知部
　１０１　　　ゲートウェイ装置
　１１１　　　車載通信機
　１１２　　　ポート
　１２１　　　バス接続装置群
　１２２　　　制御装置
　１３１　　　発振器
　１３２　　　ＣＰＵ
　１３３　　　ＣＡＮトランシーバ
　１４１　　　ＣＰＵ
　１４２　　　ＣＡＮトランシーバ
　１４３　　　発振器
　１５１　　　検知装置
　３０１　　　車載通信システム

Claims (9)

  1. 　車載ネットワークにおける不正メッセージを検知する検知装置であって、
    　前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視するとともに、周期的に送信される基準メッセージを監視する監視部と、
    　前記監視部による監視結果に基づいて、前記対象メッセージの送信時刻に対応する時刻と前記基準メッセージの送信時刻に対応する時刻との時間差を算出する算出部と、
    　前記算出部によって算出された前記時間差に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備える、検知装置。
  2. 　前記正当メッセージの送信周期および前記基準メッセージの送信周期が互いに異なり、
    　前記検知部は、前記検知処理として、前記対象メッセージが前記不正メッセージであるか否かを判定基準に従って判定し、
    　前記検知部は、複数の前記判定基準を切り替えながら前記検知処理を行う、請求項１に記載の検知装置。
  3. 　前記検知部が前記検知処理において用いる前記判定基準の数は、前記正当メッセージの送信周期と前記基準メッセージの送信周期との最小公倍数、および前記正当メッセージの送信周期に基づいて決定される、請求項２に記載の検知装置。
  4. 　前記検知装置は、さらに、
    　前記監視部による監視結果に基づいて、前記基準メッセージの異常を検知し、前記異常を検知した場合に所定の処理を行う異常検知部を備える、請求項１から請求項３のいずれか１項に記載の検知装置。
  5. 　前記検知部は、前記対象メッセージである第１の対象メッセージの送信時刻に対応する時刻と前記基準メッセージの送信時刻に対応する時刻との前記時間差、および前記第１の対象メッセージの後に送信される前記対象メッセージである第２の対象メッセージの送信時刻に対応する時刻と前記基準メッセージの送信時刻に対応する時刻との前記時間差に基づいて、前記第１の対象メッセージに関する異常を検知する、請求項１から請求項４のいずれか１項に記載の検知装置。
  6. 　前記監視部は、前記検知装置が受信する前記対象メッセージおよび前記検知装置が受信する前記基準メッセージを監視し、
    　前記検知部は、前記検知処理として、前記対象メッセージが前記不正メッセージであるか否かを判定基準に従って判定し、
    　前記判定基準は、前記基準メッセージを送信する車載装置における発振器によって生じるジッタ、および前記検知装置における発振器によって生じるジッタに基づいて設定される、請求項１から請求項５のいずれか１項に記載の検知装置。
  7. 　請求項１から請求項６のいずれか１項に記載の検知装置を備える、車両。
  8. 　車載ネットワークにおける不正メッセージを検知する検知装置における検知方法であって、
    　前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視するとともに、周期的に送信される基準メッセージを監視するステップと、
    　監視結果に基づいて、前記対象メッセージの送信時刻に対応する時刻と前記基準メッセージの送信時刻に対応する時刻との時間差を算出するステップと、
    　算出した前記時間差に基づいて、前記不正メッセージを検知する検知処理を行うステップとを含む、検知方法。
  9. 　車載ネットワークにおける不正メッセージを検知する検知装置において用いられる検知プログラムであって、
    　コンピュータを、
    　前記車載ネットワークにおける、周期的に送信される正当メッセージ、および前記不正メッセージを対象メッセージとして監視するとともに、周期的に送信される基準メッセージを監視する監視部と、
    　前記監視部による監視結果に基づいて、前記対象メッセージの送信時刻に対応する時刻と前記基準メッセージの送信時刻に対応する時刻との時間差を算出する算出部と、
    　前記算出部によって算出された前記時間差に基づいて、前記不正メッセージを検知する検知処理を行う検知部、
    として機能させるための、検知プログラム。
PCT/JP2020/019713 2019-09-30 2020-05-19 検知装置、車両、検知方法および検知プログラム WO2021065069A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2021551127A JP7396363B2 (ja) 2019-09-30 2020-05-19 検知装置、車両、検知方法および検知プログラム
CN202080042112.7A CN114245981A (zh) 2019-09-30 2020-05-19 检测装置、车辆、检测方法及检测程序
US17/622,086 US11870789B2 (en) 2019-09-30 2020-05-19 Detection device, vehicle, detection method, and detection program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019178176 2019-09-30
JP2019-178176 2019-09-30

Publications (1)

Publication Number Publication Date
WO2021065069A1 true WO2021065069A1 (ja) 2021-04-08

Family

ID=75338008

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/019713 WO2021065069A1 (ja) 2019-09-30 2020-05-19 検知装置、車両、検知方法および検知プログラム

Country Status (4)

Country Link
US (1) US11870789B2 (ja)
JP (1) JP7396363B2 (ja)
CN (1) CN114245981A (ja)
WO (1) WO2021065069A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016080422A1 (ja) * 2014-11-20 2016-05-26 国立大学法人名古屋大学 通信制御装置及び通信システム
WO2017038005A1 (ja) * 2015-08-31 2017-03-09 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正検知方法、不正検知電子制御ユニット及び不正検知システム
JP2018182725A (ja) * 2017-04-07 2018-11-15 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正通信検知基準決定方法、不正通信検知基準決定システム及びプログラム

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008129593A1 (ja) 2007-04-04 2008-10-30 Mitsubishi Electric Corporation 通信システム及び管理装置及び通信装置及びコンピュータプログラム
KR100897849B1 (ko) * 2007-09-07 2009-05-15 한국전자통신연구원 비정상 프로세스 탐지 방법 및 장치
JP5919205B2 (ja) 2013-01-28 2016-05-18 日立オートモティブシステムズ株式会社 ネットワーク装置およびデータ送受信システム
JP6585001B2 (ja) 2015-08-31 2019-10-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知方法、不正検知電子制御ユニット及び不正検知システム
JP6566400B2 (ja) * 2015-12-14 2019-08-28 パナソニックＩｐマネジメント株式会社 電子制御装置、ゲートウェイ装置、及び検知プログラム
JP6433951B2 (ja) * 2016-08-09 2018-12-05 東芝デジタルソリューションズ株式会社 ネットワーク監視装置およびプログラム
EP3609139B1 (en) 2017-04-07 2022-03-30 Panasonic Intellectual Property Corporation of America Method for determining reference for unauthorized communication detection, system for determining reference for unauthorized communication detection, and program
JP6539363B2 (ja) * 2017-04-07 2019-07-03 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正通信検知方法、不正通信検知システム及びプログラム
JP7005278B2 (ja) * 2017-10-27 2022-01-21 株式会社エヌ・ティ・ティ・データ 異常ログ検出装置、異常ログの検出方法およびプログラム
JP7282686B2 (ja) 2017-11-27 2023-05-29 日本電信電話株式会社 異常通信検知装置、異常通信検知方法、プログラム
WO2019225257A1 (ja) * 2018-05-23 2019-11-28 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知装置、異常検知方法およびプログラム
CN108848072B (zh) * 2018-05-25 2021-04-27 东南大学 一种基于相对熵的车载can总线异常检测方法
WO2021065068A1 (ja) * 2019-09-30 2021-04-08 株式会社オートネットワーク技術研究所 検知装置、車両、検知方法および検知プログラム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016080422A1 (ja) * 2014-11-20 2016-05-26 国立大学法人名古屋大学 通信制御装置及び通信システム
WO2017038005A1 (ja) * 2015-08-31 2017-03-09 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正検知方法、不正検知電子制御ユニット及び不正検知システム
JP2018182725A (ja) * 2017-04-07 2018-11-15 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正通信検知基準決定方法、不正通信検知基準決定システム及びプログラム

Also Published As

Publication number Publication date
US11870789B2 (en) 2024-01-09
JPWO2021065069A1 (ja) 2021-04-08
JP7396363B2 (ja) 2023-12-12
US20220255954A1 (en) 2022-08-11
CN114245981A (zh) 2022-03-25

Similar Documents

Publication Publication Date Title
CN110494330B (zh) 车辆监视装置、不正当检测服务器、以及控制方法
JP6805667B2 (ja) 検知装置、ゲートウェイ装置、検知方法および検知プログラム
JP7007632B2 (ja) 検知装置、検知方法および検知プログラム
WO2021065068A1 (ja) 検知装置、車両、検知方法および検知プログラム
US11392683B2 (en) Detection device, detection method and recording medium
CN112823495B (zh) 检测装置、网关装置、检测方法和检测程序
WO2021111685A1 (ja) 検知装置、車両、検知方法および検知プログラム
WO2021065069A1 (ja) 検知装置、車両、検知方法および検知プログラム
US20230344847A1 (en) Detection device, vehicle, detection method, and detection program
US20210392109A1 (en) Detection device, gateway device, detection method, and detection program
JP7211224B2 (ja) 管理装置、通信システム、車両通信管理方法および車両通信管理プログラム
WO2022137661A1 (ja) 検知装置、検知方法および検知プログラム
US12003966B2 (en) Local misbehavior prevention system for cooperative intelligent transportation systems
JP2024505423A (ja) 協調型高度道路交通システムのためのローカル誤動作防止システム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20872719

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021551127

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20872719

Country of ref document: EP

Kind code of ref document: A1