WO2021111865A1 - 判定装置、判定プログラム及び判定方法 - Google Patents

判定装置、判定プログラム及び判定方法 Download PDF

Info

Publication number
WO2021111865A1
WO2021111865A1 PCT/JP2020/042793 JP2020042793W WO2021111865A1 WO 2021111865 A1 WO2021111865 A1 WO 2021111865A1 JP 2020042793 W JP2020042793 W JP 2020042793W WO 2021111865 A1 WO2021111865 A1 WO 2021111865A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
determination
identifier
combination
identifiers
Prior art date
Application number
PCT/JP2020/042793
Other languages
English (en)
French (fr)
Inventor
慎一 相羽
浩史 上田
直樹 足立
翔悟 上口
史也 石川
Original Assignee
株式会社オートネットワーク技術研究所
住友電装株式会社
住友電気工業株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社オートネットワーク技術研究所, 住友電装株式会社, 住友電気工業株式会社 filed Critical 株式会社オートネットワーク技術研究所
Priority to US17/756,927 priority Critical patent/US20230006860A1/en
Priority to DE112020005980.4T priority patent/DE112020005980T5/de
Priority to CN202080083196.9A priority patent/CN114747182A/zh
Publication of WO2021111865A1 publication Critical patent/WO2021111865A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/12—Arrangements for remote connection or disconnection of substations or of equipment thereof
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40006—Architecture of a communication node
    • H04L12/40013—Details regarding a bus controller
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B60R16/0231—Circuits relating to the driving or the functioning of the vehicle
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle

Definitions

  • the present disclosure relates to a determination device, a determination program, and a determination method.
  • This application claims priority based on Japanese Application No. 2019-221517 filed on December 6, 2019, and incorporates all the contents described in the Japanese application.
  • the CAN communication protocol has been widely adopted for communication between a plurality of in-vehicle ECUs (Electronic Control Units) mounted on a vehicle.
  • the number of in-vehicle ECUs to be mounted tends to increase with the increasing number of functions and sophistication of vehicles.
  • the in-vehicle ECUs are divided into groups (segments) to form a vehicle network, and a plurality of in-vehicle ECUs form the same group.
  • In-vehicle ECUs are connected by a common communication line to transmit and receive data to each other, and data transmission and reception between different groups of in-vehicle ECUs are relayed by an in-vehicle relay device (gateway) (for example, Patent Document 1).
  • gateway for example, Patent Document 1
  • the vehicle network of Patent Document 1 is provided with a vehicle network monitoring device that is connected to each segment of the vehicle network and detects invalid data (messages) flowing through the vehicle network, in addition to the vehicle-mounted relay device (gateway).
  • the vehicle network monitoring device detects invalid data (message), it transmits warning information (message code) to the vehicle-mounted control device (vehicle-mounted ECU).
  • the determination device is a determination device mounted on a vehicle and connected to a plurality of in-vehicle ECUs so as to be communicable, and controls the determination of correctness of data transmitted from the plurality of in-vehicle ECUs.
  • the data includes the first data and the second data
  • the control unit acquires a plurality of the first data and the second data transmitted from the plurality of vehicle-mounted ECUs, and the control unit obtains the first data and the second data.
  • Judgment data is derived based on the first data, and in a plurality of combinations of the identifier that identifies the first data and the identifier that identifies the second data, it is valid based on the second data and the determination data.
  • a plurality of identifiers included in the specified fraudulent judgment combination by identifying a legitimate judgment combination including the identifiers of the first data and the second data and a fraudulent judgment combination including the identifiers of the invalid first data or the second data. And, based on the plurality of identifiers included in the legitimate determination combination, it is determined which of the identifiers included in the specified fraud determination combination is invalid.
  • FIG. It is a schematic diagram which illustrates the system configuration including the determination apparatus which concerns on Embodiment 1.
  • FIG. It is a block diagram which illustrates the internal structure of the determination device. It is explanatory drawing which illustrated the correlation in each of a plurality of identifiers. It is explanatory drawing about a plurality of combinations (combination table) by an identifier which identifies each of 1st data and 2nd data. It is a functional block diagram which illustrates the functional part included in the control part of a determination apparatus. It is a flowchart which illustrates the process of the control part of a determination device.
  • An object of the present disclosure is to provide a determination device or the like capable of determining data that has become fraudulent due to an attack when an attack is made on any of a plurality of data that are related to each other.
  • the determination device is a determination device mounted on a vehicle and connected to a plurality of in-vehicle ECUs so as to be communicable with each other, and determines the correctness of data transmitted from the plurality of in-vehicle ECUs.
  • the data includes the first data and the second data, and the control unit acquires a plurality of the first data and the second data transmitted from the plurality of vehicle-mounted ECUs.
  • the determination data is derived based on the first data, and in a plurality of combinations of the identifier that identifies the first data and the identifier that identifies the second data, the second data and the determination data are used.
  • a legitimate judgment combination including the valid first data and the second data identifier and a fraud judgment combination including the invalid first data or second data identifier are specified and included in the specified fraud judgment combination.
  • a fraud judgment combination including the invalid first data or second data identifier are specified and included in the specified fraud judgment combination.
  • the determination device is based on the first data, the second data, and the determination data, and in a plurality of combinations by identifiers that identify the plurality of first data and the second data, the first data and the second data are valid. Identify a legitimate determination combination that includes only the data identifier and an invalidity determination combination that includes the invalid first or second data identifier. Therefore, the determination device can identify legitimate data in a plurality of data that are related to each other.
  • the determination device determines fraud based on the first data or the second data of the identifier included in the fraud determination combination and the specified legitimate data (first data and second data of the identifier included in the legitimacy determination combination). It is determined whether the first data or the second data of the identifier included in the combination is invalid. Therefore, even when an attack is made on any of a plurality of data that are related to each other, it is possible to identify the data that has become illegal due to the attack.
  • each of the plurality of combinations includes a plurality of identifiers for identifying the plurality of the first data and an identifier of the second data, and is the same.
  • the identifier is duplicated in two or more of the above combinations.
  • each combination is composed of a data set consisting of a plurality of identifiers indicating each of the plurality of first data and a single identifier of the second data, and the same identifier is a combination of two or more. Included in duplicate. Therefore, based on any of the identifiers, these combinations can be linked to each other in a string, and the identifiers of the first data or the second data included in the combination determined to be the legitimate determination combination are used and included in the other combination. It is possible to efficiently determine the first data and the second data of the identifier.
  • control unit has the determination data derived based on the first data of the identifier included in any combination in the plurality of combinations, and any of the above.
  • the difference between the identifier included in the combination and the second data is within a predetermined value, any of the above combinations is specified as a legitimate determination combination.
  • the difference between the determination data derived based on the plurality of first data included in any combination and the second data included in the combination is predetermined. If it is within the value, the combination is identified as a justification combination. In this way, in each of the plurality of combinations, since the correctness of the first data and the second data included in the combination is determined, the determination for each combination can be efficiently performed.
  • the predetermined value is a threshold value for determining that the determination data and the second data are substantially the same value in terms of the accuracy of the determination process by the determination device when comparing the determination data and the second data. is there.
  • the control unit has the determination data derived based on the first data of the identifier included in any combination in the plurality of combinations, and any of the above.
  • the difference between the identifier included in the combination and the second data is larger than the predetermined value, any of the above combinations is specified as a fraud determination combination.
  • the difference between the determination data derived based on the plurality of first data included in the combination and the second data included in the combination is larger than a predetermined value. If it is large, the combination is identified as a fraud determination combination. In this way, in each of the plurality of combinations, since the correctness of the first data and the second data included in the combination is determined, the determination for each combination can be efficiently performed.
  • control unit uses the first data or the second data of the identifier included in the fraud determination combination, which is different from the identifier included in the correct determination combination. , Judge as invalid data.
  • the first data and the second data of the identifier included in the legitimacy determination combination have already been determined to be legitimate data.
  • any of the first data and the second data of the identifier included in the fraud determination combination is fraudulent data. Therefore, even if it is the first data or the second data of the identifier included in the fraud determination combination, the same data as the first data and the second data of the identifier included in the validity determination combination is determined to be legitimate data. can do. Therefore, in the first data and the second data of the identifier included in the fraud judgment combination, data different from the first data or the second data of the identifier included in the legitimate judgment combination is judged as fraudulent data. It is possible to efficiently determine which of the first data and the second data of the identifier included in the determination combination is invalid.
  • the control unit uses the identifiers of the plurality of first data included in the fraud determination combination as the identifiers of the data determined to be invalid by the other fraud determination combination.
  • Judgment data is derived based on the first data of the identifier excluding the above, and the first data included in the fraud determination combination and the fraud determination combination are based on the determination data and the second data of the identifier included in the fraud determination combination. The correctness of the second data is determined.
  • the determination data is based on the first data excluding the identifiers of the data determined to be invalid in the other fraud determination combination in the plurality of first data of the identifiers included in any of the fraud determination combinations. Is derived. Then, the determination device is based on the first data excluding the data determined to be fraudulent, the determination data, and the second data of the identifier included in the fraud determination combination, and the first data and the second data. Judge correctness. Since the first data used for deriving the determination data is the first data excluding the identifier of the data determined to be invalid by other fraud determination combinations, it is highly possible that the data is valid. Therefore, it is possible to efficiently determine the correctness of the first data and the second data based on the determination data derived using the first data excluding the data determined to be invalid and the second data. ..
  • information regarding a plurality of combinations is stored in a predetermined storage area accessible from the own device, and the control unit refers to the predetermined storage area. , Get information about multiple combinations.
  • the information regarding the plurality of combinations is stored not only in the storage unit included in the determination device but also in a predetermined storage area accessible from the determination device, such as an external server communicably connected to the determination device. Therefore, information on the combination can be efficiently obtained.
  • the first data and the second data corresponding to the identifiers constituting the combination have a correlation
  • the first data and the second data have a correlation.
  • the absolute value of the correlation coefficient of is 0.7 or more.
  • the first data and the second data corresponding to the identifiers constituting the combination have a correlation
  • the predetermined value of the absolute value of the correlation coefficient of the first data and the second data is set to 0.
  • the determination program acquires a plurality of first data and second data transmitted from a plurality of in-vehicle ECUs to a computer, and obtains determination data based on the first data. It is derived, and information on a plurality of combinations by identifiers that identify the first data and the second data is acquired, and based on the acquired second data and the derived determination data, the plurality of combinations are valid.
  • a plurality of identifiers included in the specified fraudulent judgment combination by identifying a legitimate judgment combination including the identifiers of the first data and the second data and a fraudulent judgment combination including the identifiers of the invalid first data or the second data. Then, based on the plurality of identifiers included in the legitimate determination combination, a process of determining which identifier included in the specified fraud determination combination is invalid first data or second data is executed.
  • the computer can function as a determination device.
  • a plurality of first data and second data transmitted from a plurality of vehicle-mounted ECUs are acquired, and determination data is derived based on the first data.
  • Information on a plurality of combinations by identifiers that identify the first data and the second data is acquired, and based on the acquired second data and the derived determination data, the first valid combination is valid.
  • a plurality of identifiers included in the specified fraudulent judgment combination by identifying a legitimate judgment combination including data and an identifier of the second data and a fraudulent judgment combination including an invalid first data or second data identifier, and the above-mentioned Based on a plurality of identifiers included in the legitimacy determination combination, the computer is made to execute a process of determining which of the identifiers included in the identified fraud determination combination is invalid.
  • FIG. 1 is a schematic diagram illustrating a system configuration including a determination device 2 according to the first embodiment.
  • FIG. 2 is a block diagram illustrating an internal configuration of the determination device 2 and the like.
  • the vehicle C is equipped with a plurality of in-vehicle ECUs 3 that are communicably connected to the external communication device 1, the determination device 2, and the determination device 2.
  • the determination device 2 determines the correctness of data such as messages output (transmitted) by the plurality of in-vehicle ECUs 3.
  • the determination device 2 functions as an in-vehicle relay device such as a CAN gateway or an ether switch (registered trademark) that relays data transmitted / received between the plurality of in-vehicle ECUs 3.
  • the determination device 2 may function as an in-vehicle relay device that communicates with the external server S1 (program providing device) connected to the vehicle exterior network N via the vehicle exterior communication device 1.
  • the determination device 2 may function as a repromaster that transmits the program or data acquired from the external server S1 to the in-vehicle ECU 3 (Electronic Control Unit) mounted on the vehicle C.
  • the determination device 2 may perform a series of determination processes described later in cooperation with the external server S1.
  • the external server S1 is a computer such as a server connected to an external network N such as the Internet or a public network, and includes a storage unit S11 by a RAM (RandomAccessMemory), a ROM (ReadOnlyMemory), a hard disk, or the like. ..
  • a program or data for controlling the in-vehicle ECU 3 created by the manufacturer of the in-vehicle ECU 3 or the like is stored in the storage unit S11.
  • the program or data may be transmitted to the vehicle C as an update program and used to update the program or data of the vehicle-mounted ECU 3 mounted on the vehicle C.
  • the external server S1 (program providing device) configured in this way is also referred to as an OTA (Over The Air) server.
  • the in-vehicle ECU 3 mounted on the vehicle acquires the update program transmitted by wireless communication from the external server S1 and applies it as a program for executing the update program to update (repro) the program executed by the own ECU. be able to.
  • the storage unit S11 of the external server S1 may store a program or data for performing a series of determination processes in cooperation with the determination device 2.
  • the vehicle C is equipped with an external communication device 1, a determination device 2, a display device 5, and a plurality of in-vehicle ECUs 3 for controlling various in-vehicle devices.
  • the out-of-vehicle communication device 1 and the determination device 2 are communicably connected by a harness such as a serial cable.
  • the determination device 2 and the in-vehicle ECU 3 are communicably connected by an in-vehicle LAN 4 corresponding to a communication protocol such as CAN (Controller Area Network / registered trademark) or TCP / IP.
  • the out-of-vehicle communication device 1 includes an out-of-vehicle communication unit 11 and an input / output I / F (interface) 12 for communicating with the determination device 2.
  • the out-of-vehicle communication unit 11 is a communication device for wireless communication using mobile communication protocols such as 3G, LTE, 4G, and WiFi, and is an external server S1 via an antenna 13 connected to the out-of-vehicle communication unit 11. And send and receive data. Communication between the external communication device 1 and the external server S1 is performed via, for example, a public line network or an external network such as the Internet.
  • the input / output I / F 12 is a communication interface for serial communication with the determination device 2, for example.
  • the out-of-vehicle communication device 1 and the determination device 2 communicate with each other via harnesses such as a serial cable connected to the input / output I / F12 and the input / output I / F12.
  • the external communication device 1 is a separate device from the determination device 2, and these devices are communicably connected by input / output I / F12 and the like, but the present invention is not limited thereto.
  • the out-of-vehicle communication device 1 may be built in the determination device 2 as a component of the determination device 2.
  • the determination device 2 includes a control unit 20, a storage unit 21, an in-vehicle communication unit 23, and an input / output I / F 24.
  • the determination device 2 controls segments by communication lines 41 (CAN bus, Ethernet (registered trademark) cable) of a plurality of systems such as a control system in-vehicle ECU 3, a safety system in-vehicle ECU 3, and a body system in-vehicle ECU 3.
  • a vehicle-mounted relay device such as a gateway or an Ethernet switch that relays communication between vehicle-mounted ECUs 3 between these segments.
  • the determination device 2 may be configured as a functional unit of the body ECU that controls the entire vehicle C.
  • the determination device 2 may be configured as a device separate from the in-vehicle relay device and may be communicably connected to the in-vehicle relay device.
  • the determination device 2 may acquire data such as a message output by the vehicle-mounted ECU 3 via the vehicle-mounted relay device and determine the correctness of the data.
  • the storage unit 21 is composed of a volatile memory element such as RAM (RandomAccessMemory) or a non-volatile memory element such as ROM (ReadOnlyMemory), EEPROM (ElectricallyErasableProgrammableROM) or flash memory.
  • the control program and the data to be referred to during processing are stored in advance.
  • the control program stored in the storage unit 21 may be one that stores the control program read from the recording medium 22 that can be read by the determination device 2. Further, the control program may be downloaded from an external computer (not shown) connected to a communication network (not shown) and stored in the storage unit 21.
  • the storage unit 21 stores configuration information of all the vehicle-mounted ECUs 3 mounted on the vehicle C and route information (routing table) used for performing relay processing.
  • the storage unit 21 further stores information about a combination table, which will be described later.
  • the in-vehicle communication unit 23 is, for example, an input / output interface (CAN transceiver) using a communication protocol such as CAN (Controller Area Network) or TCP / IP, and the control unit 20 connects to the in-vehicle LAN 4 via the in-vehicle communication unit 23. It communicates with the connected in-vehicle device such as the in-vehicle ECU 3 or other relay device.
  • CAN transceiver Controller Area Network
  • TCP / IP Transmission Control Protocol/ IP
  • the in-vehicle LAN 4 is divided into a plurality of segments, and each in-vehicle ECU is divided into each segment, and the functions of the in-vehicle ECU (control system function, safety system function, body system function). Connect according to.
  • the in-vehicle communication unit 23 uses the CAN communication protocol, the data acquired by the determination device from the in-vehicle ECU becomes a CAN message.
  • the in-vehicle communication unit 23 uses the TCP / IP communication protocol, the data acquired by the determination device from the in-vehicle ECU becomes an IP packet.
  • the control unit 20 is composed of a CPU (Central Processing Unit), an MPU (Micro Processing Unit), or the like, and various control processes and various control processes can be performed by reading and executing a control program and data stored in advance in the storage unit 21. It is designed to perform arithmetic processing and the like.
  • the control unit 20 receives data such as a message transmitted from the vehicle-mounted ECU 3 connected to each of the communication lines 41, or transmits data such as a message to the vehicle-mounted ECU 3, and functions as, for example, a CAN controller. ..
  • control unit 20 refers to a message identifier such as a CAN-ID included in the received message, and adds the referenced message identifier (CAN-ID) and the route information (routing table) stored in the storage unit 21. Based on this, the in-vehicle communication unit 23 corresponding to the segment to be the transmission destination is specified. Then, the control unit 20 functions as a CAN gateway that relays the received message by transmitting the received message from the specified in-vehicle communication unit 23.
  • the control unit 20 is supposed to function as a CAN controller, but the present invention is not limited to this.
  • the in-vehicle communication unit 23 may function as a CAN transceiver and a CAN controller.
  • the control unit 20 may function as a layer 2 or layer 3 ether switch that receives and relays data such as IP packets transmitted from the vehicle-mounted ECU 3.
  • the control unit 20 determines whether the data is correct or not by analyzing data such as a message acquired (received) from the in-vehicle ECU 3.
  • invalid data means, for example, an in-vehicle ECU 3 that has become abnormal due to a virus or the like that has invaded from outside the vehicle via an out-of-vehicle communication device 1, or an in-vehicle ECU 3 that has been illegally exchanged. It is data such as a message transmitted from the in-vehicle ECU 3.
  • control unit 20 analyzes the received data and determines whether the data is correct or not, and is attacked by, for example, an illegal (abnormal) in-vehicle ECU 3 impersonating a legitimate (normal) in-vehicle ECU 3 or an external attack.
  • the message transmitted from the in-vehicle ECU 3 that has become abnormal can be determined as an invalid message.
  • the control unit 20 identifies an identifier (a message identifier of CAN-ID, etc.) included in data such as a message determined to be invalid, and performs defense processing such as prohibiting relay processing of data including the specified identifier, for example. Do.
  • the in-vehicle ECU 3 includes a control unit 30, a storage unit 31, and an in-vehicle communication unit 32.
  • the storage unit 31 is composed of a volatile memory element such as RAM (RandomAccessMemory) or a non-volatile memory element such as ROM (ReadOnlyMemory), EEPROM (ElectricallyErasableProgrammableROM) or flash memory.
  • RAM RandomAccessMemory
  • ROM ReadOnlyMemory
  • EEPROM ElectricalErasableProgrammableROM
  • the display device 5 is an HMI (Human Machine Interface) device such as a car navigation display.
  • the display device 5 is communicably connected to the input / output I / F 24 of the determination device 2 by a harness such as a serial cable.
  • the display device 5 displays data or information output from the control unit 20 of the determination device 2 via the input / output I / F 24.
  • the determination device 2 determines that the received message is an invalid message
  • the determination device 2 transmits information such as an identifier included in the invalid message to the display device 5, and displays the information on the display device 5. It may be something to make.
  • the connection form between the display device 5 and the determination device 2 is not limited to the connection form by the input / output I / F24 or the like, and the display device 5 and the determination device 2 may be connected via the in-vehicle LAN 4.
  • FIG. 3 is an explanatory diagram illustrating the correlation between each of the plurality of identifiers.
  • FIG. 4 is an explanatory diagram relating to a plurality of combinations (combination table 211) by identifiers that identify the first data and the second data.
  • the data output (transmitted) from the in-vehicle ECU 3 includes an identifier for identifying the data.
  • the message identifier (CAN-ID number) stored in the CAN-ID field included in the CAN message frame corresponds to the identifier.
  • the data of multiple identifiers have a correlation with each other. Having a correlation means that in the data of any two identifiers, the absolute value of the correlation coefficient of these data is equal to or more than a predetermined value.
  • the correlation coefficient may be calculated based on, for example, information on a value or content stored in the payload of a CAN message or IP packet.
  • the predetermined value is, for example, 0.7, and by setting the predetermined value to 0.7, a plurality of data having a relatively high correlation state quantity are extracted from the data group output from the acquisition unit 201. be able to. In order to further improve the estimation accuracy, it is desirable that the predetermined value is 0.9. More preferably, the predetermined value is 0.97.
  • each correlation coefficient By setting the absolute value of each correlation coefficient to a predetermined value or more, it is possible to extract a plurality of data having a state quantity that is highly correlated with each other in a positive or negative correlation. If the second data has a negative correlation with the first data, the correlation coefficient will be a negative (minus) value, but by multiplying this value by -1, the second data will have a positive correlation. Can be used as.
  • the correlation between eight identifiers is shown. That is, in FIGS. 3 and 4, when the identifier is CAN-ID, the correlation between the messages (data) of CAN-ID 100, 110, 120, 130, 140, 150, 160 and 170 is determined. Illustrated. As shown in FIG. 3, the message of one of the identifiers has a correlation with the message of a plurality of other identifiers. That is, the messages of these plurality of identifiers have a correlation so as to be a string of messages via other messages.
  • an identifier with a CAN-ID of 170 at least two routes by a route that returns to the self-identifier (170) via 160 and 140 and a route that returns to the self-identifier (170) via 120, 150 and 110. Has a beaded correlation through other messages. Therefore, even if an attack is made on any of the identifiers, the data of which identifier is invalid data by using the relationship with the other plurality of identifiers that are connected in a string by the plurality of routes. It is possible to determine whether or not the identifier is invalid and identify the invalid identifier.
  • FIG. 4 shows the combination of correlations in these plurality of identifiers in a table format (combination table 211).
  • items relating to the correctness of the data of the identifier (first identifier or second identifier) included in the combination are added based on each of these combinations, and the items will be described later.
  • the combination table 211 includes, for example, a combination number, a plurality of first identifiers, and a second identifier as management items (metadata).
  • a control number for specifying the combination is stored.
  • the combination table 211 in which eight identifiers (100, 110, 120, 130, 140, 150, 160, 170 and 180) are composed of eight combinations (No. 1 to No. 8). It is said. In this way, the number of combinations may be the same as the number of identifiers of the data to be determined.
  • the identifier (second identifier) of the data to be compared with the determination data described later is stored.
  • Each item (field) of the plurality of first identifiers stores an identifier (first identifier) of data having a correlation with the data of the second identifier.
  • the data including each of the first identifiers is the data used for deriving the determination data for comparison with the data of the second identifier.
  • each of all identifiers has at least two or more. Included in the combination.
  • an identifier having a CAN-ID of 100 has No. 2 as a second identifier.
  • No. 1 is used as the first identifier. It is included in the combinations 1, 2 and 7. That is, each combination of identifiers is composed of a data set consisting of a plurality of identifiers indicating each of the plurality of first data and a single identifier of the second data.
  • each of the combinations is configured such that the same identifier is duplicated in at least two or more combinations.
  • the combination table 211 may further include the absolute value of the correlation coefficient between each of the first identifiers and the second identifier.
  • the correlation coefficient between the corresponding first identifier and the second identifier or the absolute value of the correlation coefficient is stored.
  • the identifier for identifying the data is described as a message identifier by CAN-ID, but the present invention is not limited to this.
  • the communication protocol used by the in-vehicle ECU 3 and the determination device 2 is, for example, TCP / IP
  • the identifier for identifying the data is a source address, a destination address, a port number, or a combination thereof included in the IP packet. It may be due to.
  • FIG. 5 is a functional block diagram illustrating a functional unit included in the control unit 20 of the determination device 2.
  • the control unit 20 of the determination device 2 functions as an acquisition unit 201, an output unit 202, and a relay processing unit 203 by executing a control program stored in the storage unit 21, and operates the determination device 2 as an in-vehicle relay device. Let me. Further, the control unit 20 of the determination device 2 executes the control program stored in the storage unit 21 to execute the data classification unit 204, the determination data derivation unit 205, the comparison unit 206, the specific unit 207, and the determination unit. It functions as 208, determines the correctness of the acquired data, and identifies a valid identifier and an invalid identifier among the identifiers included in these data.
  • the acquisition unit 201 acquires a plurality of data such as messages output (transmitted) from the in-vehicle ECU 3 via the in-vehicle communication unit 23.
  • the acquisition unit 201 outputs the acquired data to the relay processing unit 203 and the data classification unit 204.
  • the relay processing unit 203 uses the CAN-ID included in the acquired data such as the message or the in-vehicle communication as the relay destination of the data based on the destination address.
  • the unit 23 is specified, and the data is output to the output unit 202.
  • the output unit 202 outputs the data output from the relay processing unit 203 via the in-vehicle communication unit 23 specified as the relay destination, and the data relay processing is performed by the acquisition unit 201, the relay processing unit 203, and the output unit 202. Is done.
  • the data classification unit 204 acquires a plurality of data such as a message output (transmitted) from the in-vehicle ECU 3 via the acquisition unit 201.
  • the data classification unit 204 refers to the combination table 211 stored in the storage unit 21, and based on the first identifier and the second identifier included in each combination, obtains a plurality of data as the first identifier in each combination. It is classified (separated) into data including (first data) and data including a second identifier (second data).
  • the data classification unit 204 uses, for example, the CAN-ID included in the CAN message, the destination address included in the IP packet, or the like as an identifier (first identifier or second identifier).
  • CAN-ID CAN message
  • IP packet destination address
  • the data classification unit 204 classifies (separates) the first data and the second data in each combination. That is, the data classification unit 204 generates a data set including a plurality of first data and second data in each combination.
  • the data classification unit 204 outputs the first data of the plurality of first identifiers included in the individual combinations (one combination) to the determination data derivation unit 205 in all the combinations, and also outputs the individual combinations (one combination).
  • the second data of the second identifier included in (combination of) is output to the comparison unit 206. That is, the data classification unit 204 outputs the first data of the first identifier included in one combination to the determination data derivation unit 205 in a plurality of combinations, and the second identifier of the second identifier included in the one combination.
  • the process of outputting the data to the comparison unit 206 is repeated sequentially or sequentially for the number of combinations.
  • the judgment data derivation unit 205 derives the judgment data based on the first data for each combination output from the data classification unit 204. That is, the determination data derivation unit 205 outputs, for example, the determination data as an input value with each of the first data including the plurality of first identifiers (120, 130, 140) included in the combination of No. 1 as an input value. By using the conversion function, the determination data corresponding to the second data including the second identifier (100) included in the combination of No. 1 is derived. Alternatively, the determination data derivation unit 205 is composed of a learning model such as a DNN (deep neural network) trained to output the determination data when a plurality of first data are input, for example. You may.
  • a learning model such as a DNN (deep neural network) trained to output the determination data when a plurality of first data are input, for example. You may.
  • the determination data derivation unit 205 includes, for example, a learning model such as DNN, inputs a plurality of first data into the learning model, and acquires the determination data output from the learning model to obtain the determination data. It may be derived. In this way, the first data of the first identifier and the second data of the second identifier, which have a correlation, are in a corresponding relationship via the determination data, and the second identifier is the protection CANID which is the protection target from the attack. If so, the first identifier corresponds to the associated CANID associated with the second identifier in estimating the data of the second identifier. The determination data derivation unit 205 outputs the derived determination data to the comparison unit 206.
  • a learning model such as DNN
  • the comparison unit 206 compares the determination data acquired from the determination data derivation unit 205 with the second data output from the data classification unit 204 in each of the combinations. As a comparison result, the comparison unit 206 relates to, for example, information on whether or not the determination data and the second data match, or whether or not the difference between the determination data and the second data is within a predetermined range. The information is output to the specific unit 207.
  • the specific unit 207 When the difference between the determination data and the second data is within a predetermined value, such as when the determination data and the second data match, the specific unit 207 has a plurality of first data which are the original data of the determination data. And the second data are determined to be legitimate (normal) data, and the combination including the first identifier of the first data and the second identifier of the second data is specified as the legitimate determination combination.
  • the predetermined value is used to determine that the determination data and the second data are substantially the same value in terms of the accuracy of the determination process by the determination device 2 when comparing the determination data and the second data. Is the threshold of.
  • the specific unit 207 may perform a plurality of first data or the original data of the determination data.
  • the second data is determined to be unreasonable (abnormal) data, and a combination including the first identifier of the first data and the second identifier of the second data is specified as an invalidity determination combination.
  • the identification unit 207 outputs to the determination unit 208 a specific result in each of the plurality of combinations, that is, a result of identifying whether each combination is a legitimate determination combination or an invalidity determination combination.
  • the determination unit 208 acquires specific results in each of the plurality of combinations output from the specific unit 207. By referring to the combination table 211, the determination unit 208 acquires information on the first identifier and the second identifier included in each of the plurality of combinations. The determination unit 208 determines that the first identifier and the second identifier included in the legitimacy determination combination are legitimate (normal) identifiers, and the data including the identifiers is legitimate (normal) data.
  • the identifiers of the invalid data are included.
  • the difference between the determination data and the second data is within a predetermined value. That is, the data of the first identifier (120, 130) and the second identifier (150) included in the combination No. 6 is determined to be legitimate (normal) data.
  • the determination unit 208 determines (identifies) that the remaining identifier is an invalid identifier.
  • the identifiers of 120 and 130 are the identifiers included in the combination No. 6 which is a legitimate determination combination. It has already been determined as a valid (normal) identifier.
  • the 140 identifiers correspond to the single remaining identifiers as a result of excluding the identifiers determined to be valid (normal). That is, since the identifier of 140 is invalid, the difference between the determination data in the combination No. 4 and the second data of the second identifier is not within a predetermined value, and the combination No. 4 is specified as the invalidity determination combination. Become.
  • the determination unit 208 If a single identifier remains as a result of removing the identifier that has already been determined to be valid in the fraud determination combination, the determination unit 208 is an invalid identifier, and the data including the invalid identifier is invalid. It is judged that the data is data. In this way, the determination unit 208 efficiently determines which of the identifiers included in the invalidity determination combination, the first data or the second data, is invalid based on the plurality of identifiers included in the legitimate determination combination. be able to.
  • the determination unit 208 performs loop processing by outputting the information regarding the fraud determination combination and the identifier determined to be invalid to the determination data derivation unit 205. That is, the information regarding the fraud determination combination and the identifier determined to be invalid is returned from the determination unit 208 to the determination data derivation unit 205, and the process of deriving the determination data by the determination data derivation unit 205 is executed again.
  • the determination data derivation unit 205 acquires the information regarding the fraud determination combination output from the determination unit 208 and the identifier determined to be invalid. In each fraud determination combination, the determination data derivation unit 205 is based on the first data including the first identifier excluding the identifier already determined to be invalid from the plurality of first identifiers of the fraud determination combination. Is derived.
  • the 140 identifier has already been determined as an invalid identifier, and the first identifier excluding the invalid identifier (140).
  • Judgment data is derived based on the identifier (110). Based on the first data of the first identifier excluding the identifier that has already been determined to be invalid in this way, the determination data that is likely to have a difference from the second data of the second identifier within a predetermined value is derived. can do.
  • the comparison unit 206, the specific unit 207, and the determination unit 208 perform the same processing as the previous processing based on the determination data derived by the determination data derivation unit 205 again, and determine that each fraud determination combination is invalid.
  • the correctness of the first identifier and the second identifier excluding the above-mentioned identifier is determined.
  • the comparison unit 206 compares the determination data derived based on the first identifier excluding the identifier determined to be invalid with the second data of the second identifier, and as a comparison result, the determination data and the second Information on the difference, such as whether or not the difference between the identifier and the second data is within a predetermined value, is output to the determination unit 208.
  • the determination unit 208 determines that the determination is invalid when the difference is within a predetermined value, such as the determination data derived based on the first identifier excluding the identifier determined to be invalid and the second data of the second identifier match. It is determined that the first identifier and the second identifier excluding the above-mentioned identifier are legitimate identifiers, and the data including the legitimate identifier is legitimate data. By repeating such a determination process recursively, the determination unit 208 can add identifiers determined to be valid and increase the number of valid identifiers, that is, reliable identifiers.
  • the determination unit 208 determines the correctness of all the identifiers by repeating the process with respect to the data of all the identifiers included in each of the plurality of combinations.
  • the determination unit 208 outputs information regarding the determination result of the identifier to the display device 5. By outputting the information regarding the determination result to the display device 5, for example, it is possible to notify the operator of the vehicle C that the data of any of the identifiers has been attacked and is illegal (abnormal).
  • the determination unit 208 outputs a signal (relay prohibition signal) for prohibiting relaying of information regarding the identifier determined to be invalid or data of the identifier determined to be invalid to the relay processing unit 203.
  • a signal relay prohibition signal
  • the relay processing unit 203 By outputting the relay prohibition signal or the like to the relay processing unit 203, it is possible to prohibit the relay of the data of the identifier that has been attacked and become illegal (abnormal), and to take protective measures against the illegal data.
  • the data classification unit 204, the determination data derivation unit 205, the comparison unit 206, the specific unit 207, and the determination unit 208 have been described as functional units in the control unit 20 of the determination device 2, but are not limited thereto. Some of the functional units in these functional units are configured as a cloud server such as an external server S1 that is communicably connected to the determination device 2 or a vehicle computer mounted on the vehicle C, and are configured with the determination device 2. , The external server S1 or the vehicle computer may cooperate to perform a series of processes in these functional units.
  • FIG. 6 is a flowchart illustrating the processing of the control unit 20 of the determination device 2.
  • the control unit 20 of the determination device 2 constantly performs the following processing when the vehicle CC is in the activated state (IG switch is on) or stopped (IG switch is off).
  • the control unit 20 of the determination device 2 acquires a plurality of data (first data and second data) transmitted from the vehicle-mounted ECU 3 (S101).
  • the control unit 20 acquires a plurality of data transmitted from the vehicle-mounted ECU 3.
  • the data acquired by the control unit 20 is data classified into the first data of the first identifier or the second data of the second identifier included in each combination according to a plurality of combinations of identifiers. Therefore, the data acquired by the control unit 20 includes the first data and the second data in each combination.
  • the control unit 20 of the determination device 2 acquires information regarding a plurality of combinations by identifiers that identify the first data and the second data (S102).
  • the control unit 20 refers to the storage unit 21 and acquires information regarding a plurality of combinations stored in the storage unit 21.
  • Information about the plurality of combinations is stored in a predetermined storage area that can be accessed by the control unit 20 of the determination device 2, such as the storage unit 21 of the external server S1, and the control unit 20 is stored via the vehicle-external communication device 1.
  • information about a plurality of combinations may be acquired from the external server S1.
  • the control unit 20 of the determination device 2 derives determination data corresponding to the second data in each of the plurality of combinations based on the first data in each of the plurality of combinations (S103).
  • the control unit 20 derives determination data based on the first data of the first identifier included in each combination in the plurality of combinations.
  • the control unit 20 extracts an identifier such as CAN-ID included in the acquired data, and specifies data having the same identifier as the first identifier included in the combination as the first data.
  • the control unit 20 extracts an identifier such as CAN-ID included in the acquired data, and specifies data having the same identifier as the second identifier included in the combination as the second data.
  • the control unit 20 specifies a plurality of first data based on the plurality of first identifiers.
  • the control unit 20 inputs the specified plurality of first data into, for example, a conversion function, and derives determination data corresponding to the second data.
  • the control unit 20 derives determination data corresponding to the second data in each combination in each of the plurality of combinations.
  • the control unit 20 of the determination device 2 determines whether the difference between the second data and the determination data in each of the plurality of combinations is within a predetermined value (S104).
  • the control unit 20 determines whether the second data and the determination data match each other in each of the plurality of combinations, or whether the difference between the second data and the determination data is within a predetermined value. Do.
  • the predetermined value is used to determine that the determination data and the second data are substantially the same value in terms of the accuracy of the determination process by the determination device 2 when comparing the determination data and the second data. Is the threshold of.
  • control unit 20 uses the degree of coincidence between the determination data and the second data as a reference, and if the degree of coincidence is equal to or greater than a predetermined value, the determination data and the second data have substantially the same value. It may be a judgment.
  • the control unit 20 of the determination device 2 specifies a legitimate determination combination including the valid first data and the identifier of the second data (S105).
  • the control unit 20 specifies a combination including a first identifier indicating a plurality of first data indicating the original data of the determination data and a second identifier indicating the second data as a legitimate determination combination. To do. That is, the first identifier and the second identifier included in the legitimate determination combination are legitimate identifiers, and the data including the legitimate identifier is determined to be legitimate data.
  • the control unit 20 of the determination device 2 identifies an invalid first data or an invalid determination combination including an identifier of the second data. (S1051).
  • the control unit 20 sets a combination including a first identifier indicating a plurality of first data indicating the original data of the determination data and a second identifier indicating the second data as an invalidity determination combination. Identify. That is, any of the first identifier and the second identifier included in the fraud determination combination is an invalid identifier, and the invalid identifier data is determined to be invalid data.
  • the control unit 20 of the determination device 2 extracts the identifier of the first data or the second data determined to be valid or invalid (S106).
  • the control unit 20 determines (identifies) and extracts the identifiers indicating the first data and the second data included in the legitimacy determination combination as legitimate identifiers.
  • the control unit 20 invalidates the remaining identifiers. It is determined (specified) to be an identifier and extracted. Therefore, based on the plurality of identifiers included in the legitimate determination combination, it is possible to determine and extract which of the identifiers included in the specified fraud determination combination is invalid.
  • the control unit 20 of the determination device 2 is for determination based on the first data excluding the identifiers of the data determined to be invalid in the other fraud determination combinations among the identifiers of the plurality of first data included in the fraud determination combination. Derivation of data (S107). In each fraud determination combination, the control unit 20 again derives the determination data based on the data including the first identifier excluding the identifier already determined to be invalid from the first identifier of the fraud determination combination. Based on the data of the first identifier excluding the identifier that has already been determined to be invalid, the control unit 20 derives the determination data that is likely to have a difference from the data of the second identifier within a predetermined value. Can be done.
  • the control unit 20 of the determination device 2 determines whether the difference between the second data included in the fraud determination combination and the derived determination data is within a predetermined value (S108).
  • the control unit 20 compares the second data included in the fraud determination combination with the determination data derived based on the data of the first identifier excluding the identifier already determined to be invalid in the same manner as in the above-described process S104. , It is determined whether the difference between the second data and the determination data is within a predetermined value.
  • the control unit 20 of the determination device 2 determines that the identifiers of the first data and the second data are valid (S109). In each fraud determination combination, the control unit 20 excludes the identifier that has already been determined to be fraudulent, the first identifier and the second identifier are legitimate identifiers, and the data including the legitimate identifier is legitimate. Judge that it is data. By repeating such a determination process recursively, the control unit 20 can add identifiers determined to be valid and increase the number of valid identifiers, that is, reliable identifiers.
  • the control unit 20 of the determination device 2 determines that the identifier of the first data or the second data is invalid (S1091).
  • the control unit 20 indicates that any of the first identifier and the second identifier, excluding the identifier already determined to be fraudulent, is a fraudulent identifier, and the data of the fraudulent identifier is Judge that the data is invalid.
  • the control unit 20 of the determination device 2 determines whether or not all the identifiers have been determined (S110).
  • the control unit 20 stores the correctness determination result of the data of all the identifiers included in the plurality of combinations in the storage unit 21, and determines whether or not all the identifiers have been determined by referring to the determination result. To do.
  • the control unit 20 loops from S107 to S110 by executing the process from S107 again.
  • the control unit 20 can add the identifiers determined to be legitimate and increase the number of legitimate identifiers, that is, reliable identifiers, by repeatedly repeating the determination processes of S107, S108, and the like.
  • the control unit 20 determines that the remaining identifier is an invalid identifier. This makes it possible to reliably identify the invalid identifier and increase the number of the identified invalid identifiers.
  • the control unit 20 When all the identifiers are determined (S110: YES), the control unit 20 outputs the determination result to the display device 5 or the like (S111). By outputting the information related to the determination result to the display device 5, for example, in the plurality of correlated identifiers, the correctness status of each identifier or the data of any of the identifiers is attacked and becomes invalid (abnormal). It is possible to notify the operator of the vehicle C that the information is being generated.
  • the control unit 20 may output a signal (relay prohibition signal) for prohibiting relaying of data of an identifier determined to be invalid to the relay processing unit 203. By outputting the relay prohibition signal or the like to the relay processing unit 203, it is possible to prohibit the relay of the data of the identifier that has been attacked and become illegal (abnormal), and to take protective measures against the attack by the illegal data.
  • the determination device 2 includes the first data of the first identifier and the second data of the second identifier included in the specified fraud determination combination, and the first identifier included in the specified correctness determination combination. Based on the 1 data and the 2nd data of the 2nd identifier, it is determined whether the 1st data or the 2nd data of the identifier included in the fraud determination combination is fraudulent. Therefore, in each of the data including a plurality of identifiers that are related to each other, even if an attack is made on any of the data, the identifier of the data that has been invalidated by the attack can be specified.
  • each combination is composed of a data set consisting of a plurality of first identifiers indicating each of the plurality of first data and a second identifier indicating a single second data, and the same identifier is used. It is included in duplicate in a combination of two or more. Based on any of the identifiers, these combinations can be linked to each other in a string, and the first identifier of the first data or the second identifier of the second data included in the combination determined to be a legitimate determination combination can be used. It is possible to efficiently determine the first identifier and the second identifier of the identifiers included in the combination of.
  • the determination is made based on the first data of the first identifier excluding the identifier of the data determined to be fraudulent in the other fraud determination combination. Data is derived again. Then, the determination device 2 removes the identifier of the data determined to be invalid based on the difference between the derived determination data and the second data of the second identifier included in any of the fraud determination combinations.
  • the process of determining the correctness of the first identifier and the second identifier is repeatedly executed. Therefore, it is possible to efficiently determine the correctness of all the identifiers included in each of the plurality of combinations, and it is possible to identify which of the plurality of identifiers having a correlation with each other is invalid.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Automation & Control Theory (AREA)
  • Mechanical Engineering (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

判定装置の制御部は、複数の車載ＥＣＵから送信される複数の第１データ及び第２データを取得し、第１データに基づいて判定用データを導出し、第１データを識別する識別子と第２データを識別する識別子の複数の組合せにおいて、第２データ及び判定用データに基づき、正当な第１データ及び第２データの識別子を含む正当判定組合せと、不正な第１データ又は第２データの識別子を含む不正判定組合せとを特定し、特定した不正判定組合せに含まれる複数の識別子と、正当判定組合せに含まれる複数の識別子に基づいて、第１データ又は第２データが不正であるかを判定する。

Description

判定装置、判定プログラム及び判定方法
　本開示は、判定装置、判定プログラム及び判定方法に関する。
　本出願は、２０１９年１２月６日出願の日本出願第２０１９－２２１５１７号に基づく優先権を主張し、前記日本出願に記載された全ての記載内容を援用するものである。
　従来、車両に搭載された複数の車載ＥＣＵ（Electronic Control Unit）間の通信には、ＣＡＮの通信プロトコルが広く採用されている。車両の多機能化及び高機能化に伴って、搭載される車載ＥＣＵの数が増加する傾向となるが、当該車載ＥＣＵをグループ（セグメント）に分けて車両ネットワークを構成し、同一グループとなる複数の車載ＥＣＵは共通の通信線で接続され相互にデータの送受信を行うと共に、異なるグループの車載ＥＣＵ間のデータの送受信は、車載中継装置（ゲートウェイ）によって中継される（例えば、特許文献１）。
　特許文献１の車両ネットワークには、車載中継装置（ゲートウェイ）に加え、車両ネットワークのセグメント夫々に接続され、車両ネットワークに流れる不正なデータ（メッセージ）を検知する車両ネットワーク監視装置を備えている。当該車両ネットワーク監視装置は、不正なデータ（メッセージ）を検知したとき、車載制御装置（車載ＥＣＵ）に対して警告情報（メッセージコード）を送信する。
特開２０１３－１３１９０７号公報
　本開示の一態様に係る判定装置は、車両に搭載され、複数の車載ＥＣＵと通信可能に接続された判定装置であって、前記複数の車載ＥＣＵから送信されるデータの正否の判定に関する制御を行う制御部を備え、前記データは、第１データ及び第２データを含み、前記制御部は、前記複数の車載ＥＣＵから送信される複数の前記第１データ及び前記第２データを取得し、前記第１データに基づいて、判定用データを導出し、前記第１データを識別する識別子と前記第２データを識別する識別子の複数の組合せにおいて、前記第２データ及び前記判定用データに基づき、正当な第１データ及び第２データの識別子を含む正当判定組合せと、不正な第１データ又は第２データの識別子を含む不正判定組合せとを特定し、特定した前記不正判定組合せに含まれる複数の識別子と、前記正当判定組合せに含まれる複数の識別子に基づいて、特定した前記不正判定組合せに含まれるいずれの識別子の第１データ又は第２データが不正であるかを判定する。
実施形態１に係る判定装置を含むシステム構成を例示する模式図である。 判定装置の内部構成を例示するブロック図である。 複数の識別子夫々における相関を例示した説明図である。 第１データ及び第２データ夫々を識別する識別子による複数の組合せ（組合せテーブル）に関する説明図である。 判定装置の制御部に含まれる機能部を例示する機能ブロック図である。 判定装置の制御部の処理を例示するフローチャートである。
［本開示が解決しようとする課題］
　特許文献１の車両ネットワーク監視装置は、互いに関連性を有する複数のデータのいずれかのデータに対し攻撃がされた場合、当該攻撃によって不正となったデータを判定する点については、考慮されていない。
　本開示の目的は、互いに関連性を有する複数のデータのいずれかのデータに対し攻撃がされた場合、当該攻撃によって不正となったデータを判定することができる判定装置等を提供する。
［本開示の効果］
　本開示の一態様によれば、互いに関連性を有する複数のデータのいずれかのデータに対し攻撃がされた場合、当該攻撃によって不正となったデータを判定する判定装置等を提供することができる。
［本開示の実施形態の説明］
　最初に本開示の実施態様を列挙して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。
（１）本開示の一態様に係る判定装置は、車両に搭載され、複数の車載ＥＣＵと通信可能に接続された判定装置であって、前記複数の車載ＥＣＵから送信されるデータの正否の判定に関する制御を行う制御部を備え、前記データは、第１データ及び第２データを含み、前記制御部は、前記複数の車載ＥＣＵから送信される複数の前記第１データ及び前記第２データを取得し、前記第１データに基づいて、判定用データを導出し、前記第１データを識別する識別子と前記第２データを識別する識別子の複数の組合せにおいて、前記第２データ及び前記判定用データに基づき、正当な第１データ及び第２データの識別子を含む正当判定組合せと、不正な第１データ又は第２データの識別子を含む不正判定組合せとを特定し、特定した前記不正判定組合せに含まれる複数の識別子と、前記正当判定組合せに含まれる複数の識別子に基づいて、特定した前記不正判定組合せに含まれるいずれの識別子の第１データ又は第２データが不正であるかを判定する。
　本態様にあたっては、判定装置は、第１データ、第２データ及び判定用データに基づき、複数の第１データ及び第２データを識別する識別子による複数の組合せにおいて、正当な第１データ及び第２データの識別子のみを含む正当判定組合せと、不正な第１データ又は第２データの識別子を含む不正判定組合せとを特定する。従って、判定装置は、互いに関連性を有する複数のデータにおいて、正当なデータを特定することができる。判定装置は、不正判定組合せに含まれる識別子の第１データ又は第２データと、特定した正当なデータ（正当判定組合せに含まれる識別子の第１データ及び第２データ）とに基づいて、不正判定組合せに含まれる識別子の第１データ又は第２データのいずれのデータが不正であるかを判定する。従って、互いに関連性を有する複数のデータのいずれかのデータに対し攻撃がされた場合であっても、当該攻撃によって不正となったデータを特定することができる。
（２）本開示の一態様に係る判定装置は、前記複数の組合せ夫々は、複数の前記第１データ夫々を識別するための複数の識別子と、前記第２データの識別子とを含み、同一の識別子が、２つ以上の前記組合せに重複して含まれる。
　本態様にあたっては、組合せ夫々は、複数の第１データ夫々を示す複数の識別子と、単一の第２データの識別子とによるデータセットによって構成され、同一の識別子が、２つ以上の組合せにて重複して含まれる。従って、いずれかの識別子に基づき、これら組合せを互いに数珠繋ぎに連関させることができ、正当判定組合せと判定された組合せに含まれる第１データ又は第２データの識別子を用いて、他の組合せに含まれる識別子の第１データ及び第２データの判定を効率的に行うことができる。
（３）本開示の一態様に係る判定装置は、前記制御部は、前記複数の組合せにおける、いずれかの組合せに含まれる識別子の第１データに基づき導出した判定用データと、前記いずれかの組合せに含まれる識別子の第２データとの差異が所定値以内である場合、前記いずれかの組合せは、正当判定組合せであると特定する。
　本態様にあたっては、判定装置は、複数の組合せの夫々において、いずれかの組合せに含まれる複数の第１データに基づき導出した判定用データと、当該組合せに含まれる第２データとの差異が所定値以内である場合、当該組合せは、正当判定組合せである特定する。このように複数の組合せの夫々において、当該組合せに含まれる第１データ及び第２データの正否を判定するため、組合せ夫々に対する判定を効率的に行うことができる。所定値は、判定用データと第２データとを比較するにあたり、判定装置による判定処理の精度上、判定用データと第２データとが実質的に同一の値であると判定するための閾値である。
（４）本開示の一態様に係る判定装置は、前記制御部は、前記複数の組合せにおける、いずれかの組合せに含まれる識別子の第１データに基づき導出した判定用データと、前記いずれかの組合せに含まれる識別子の第２データとの差異が所定値よりも大きい場合、前記いずれかの組合せは、不正判定組合せであると特定する。
　本態様にあたっては、判定装置は、複数の組合せの夫々において、組合せに含まれる複数の第１データに基づき導出した判定用データと、当該組合せに含まれる第２データとの差異が所定値よりも大きい場合、当該組合せは、不正判定組合せである特定する。このように複数の組合せの夫々において、当該組合せに含まれる第１データ及び第２データの正否を判定するため、組合せ夫々に対する判定を効率的に行うことができる。
（５）本開示の一態様に係る判定装置は、前記制御部は、前記不正判定組合せに含まれる識別子において、前記正当判定組合せに含まれる識別子とは異なる識別子の第１データ又は第２データを、不正なデータとして判定する。
　本態様にあたっては、正当判定組合せに含まれる識別子の第１データ及び第２データは、既に正当なデータであると判定されている。これに対し、不正判定組合せに含まれる識別子の第１データ及び第２データのいずれかのデータは、不正なデータであると推定される。そこで、当該不正判定組合せに含まれる識別子の第１データ又は第２データであっても、正当判定組合せに含まれる識別子の第１データ及び第２データと同じデータは、正当なデータであると判定することができる。従って、不正判定組合せに含まれる識別子の第１データ及び第２データにおいて、正当判定組合せに含まれる識別子の第１データ又は第２データとは異なるデータを、不正なデータとして判定することにより、不正判定組合せに含まれる識別子の第１データ及び第２データにおける、いずれのデータが不正であるかを効率的に判定することができる。
（６）本開示の一態様に係る判定装置は、前記制御部は、前記不正判定組合せに含まれる複数の第１データの識別子において、他の不正判定組合せにて不正と判定されたデータの識別子を除いた識別子の第１データに基づき、判定用データを導出し、該判定用データ及び前記不正判定組合せに含まれる識別子の第２データに基づき、前記不正判定組合せに含まれる第１データ及び該第２データの正否を判定する。
　本態様にあたっては、いずれかの不正判定組合せに含まれる識別子の複数の第１データにおいて、他の不正判定組合せにて不正と判定されたデータの識別子を除いた第１データに基づき、判定用データを導出する。そして、判定装置は、当該不正と判定されたデータを除いた第１データと、判定用データ当該と、不正判定組合せに含まれる識別子の第２データとに基づき、第１データ及び第２データの正否を判定する。判定用データを導出するために用いられる第１データは、他の不正判定組合せにて不正と判定されたデータの識別子を除いた第１データであるため、正当なデータである可能性が高い。従って、不正と判定されたデータを除いた第１データを用いて導出した判定用データと、第２データとに基づき、第１データ及び第２データの正否の判定を効率的に行うことができる。
（７）本開示の一態様に係る判定装置は、複数の組合せに関する情報は、自装置からアクセス可能な所定の記憶領域に記憶されており、制御部は、所定の記憶領域を参照することにより、複数の組合せに関する情報を取得する。
　本態様にあたっては、複数の組合せに関する情報は、判定装置に含まれる記憶部のみならず、例えば、判定装置と通信可能に接続された外部サーバ等、判定装置からアクセス可能な所定の記憶領域に記憶されているため、当該組合せに関する情報を効率的に取得することができる。
（８）本開示の一態様に係る判定装置は、前記組合せを構成する前記識別子に対応する前記第１データ及び前記第２データは、相関関係を有し、前記第１データ及び前記第２データの相関係数の絶対値は、０．７以上である。
　本態様にあたっては、組合せを構成する識別子に対応する第１データ及び前記第２データは相関関係を有し、当該第１データ及び前記第２データの相関係数の絶対値の所定値を０．７とすることで、第１データとの間の相関係数の絶対値が、０．７以上の第２データを用いてデータの正否を判定することができ、当該判定結果の精度を向上させることができる。
（９）本開示の一態様に係る判定プログラムは、コンピュータに、複数の車載ＥＣＵから送信される複数の第１データ及び第２データを取得し、前記第１データに基づいて、判定用データを導出し、前記第１データ及び前記第２データ夫々を識別する識別子による複数の組合せに関する情報を取得し、取得した前記第２データ及び導出した前記判定用データに基づき、前記複数の組合せにおいて、正当な第１データ及び第２データの識別子を含む正当判定組合せと、不正な第１データ又は第２データの識別子を含む不正判定組合せとを特定し、特定した前記不正判定組合せに含まれる複数の識別子と、前記正当判定組合せに含まれる複数の識別子に基づいて、特定した前記不正判定組合せに含まれるいずれの識別子の第１データ又は第２データが不正であるかを判定する処理を実行させる。
　本態様にあたっては、コンピュータを判定装置として機能させることができる。
（１０）本開示の一態様に係る判定方法は、複数の車載ＥＣＵから送信される複数の第１データ及び第２データを取得し、前記第１データに基づいて、判定用データを導出し、前記第１データ及び前記第２データ夫々を識別する識別子による複数の組合せに関する情報を取得し、取得した前記第２データ及び導出した前記判定用データに基づき、前記複数の組合せにおいて、正当な第１データ及び第２データの識別子を含む正当判定組合せと、不正な第１データ又は第２データの識別子を含む不正判定組合せとを特定し、特定した前記不正判定組合せに含まれる複数の識別子と、前記正当判定組合せに含まれる複数の識別子に基づいて、特定した前記不正判定組合せに含まれるいずれの識別子の第１データ又は第２データが不正であるかを判定する処理をコンピュータに実行させる。
　本態様にあたっては、互いに関連性を有する複数のデータのいずれかのデータに対し攻撃がされた場合、当該攻撃によって不正となったデータを判定する判定方法を提供することができる。
[本開示の実施形態の詳細]
　本開示をその実施の形態を示す図面に基づいて具体的に説明する。本開示の実施形態に係る判定装置２を、以下に図面を参照しつつ説明する。なお、本開示はこれらの例示に限定されるものではなく、請求の範囲によって示され、請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。
（実施形態１）
　以下、実施の形態について図面に基づいて説明する。図１は、実施形態１に係る判定装置２を含むシステム構成を例示する模式図である。図２は、判定装置２等の内部構成を例示するブロック図である。車両Ｃには、車外通信装置１、判定装置２及び判定装置２と通信可能に接続された複数の車載ＥＣＵ３が搭載されている。
　判定装置２は、これら複数の車載ＥＣＵ３が出力（送信）するメッセージ等のデータの正否を判定する。判定装置２は、これら複数の車載ＥＣＵ３間において送受信されるデータを中継する例えばＣＡＮゲートウェイ又はイーサスイッチ（登録商標）等の車載中継装置として機能する。又、判定装置２は、車外通信装置１を介して車外ネットワークＮに接続された外部サーバＳ１（プログラム提供装置）と通信する車載中継装置として機能するものであってもよい。判定装置２は、外部サーバＳ１から取得したプログラム又はデータを、車両Ｃに搭載されている車載ＥＣＵ３（Electronic Control Unit）に送信するリプロマスターとして機能するものであってもよい。判定装置２は、外部サーバＳ１と協働して、後述する一連の判定処理を行うものであってもよい。
　外部サーバＳ１は、例えばインターネット又は公衆回線網等の車外ネットワークＮに接続されているサーバ等のコンピュータであり、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）又はハードディスク等による記憶部Ｓ１１を備える。外部サーバＳ１には、車載ＥＣＵ３の製造メーカ等によって作成された当該車載ＥＣＵ３を制御するためのプログラム又はデータが、記憶部Ｓ１１に保存されている。当該プログラム又はデータは、更新プログラムとして車両Ｃに送信され、車両Ｃに搭載されている車載ＥＣＵ３のプログラム又はデータを更新するために用いられるものであってもよい。このように構成された外部サーバＳ１（プログラム提供装置）は、ＯＴＡ（Over The Air）サーバとも称される。車両に搭載される車載ＥＣＵ３は、外部サーバＳ１から無線通信により送信された更新プログラムを取得し、当該更新プログラムを実行するプログラムとして適用することにより、自ＥＣＵが実行するプログラムを更新（リプロ）することができる。更に、外部サーバＳ１の記憶部Ｓ１１には、判定装置２と協働して一連の判定処理を行うためのプログラム又はデータが記憶されているものであってもよい。
　車両Ｃには、車外通信装置１、判定装置２、表示装置５、及び種々の車載機器を制御するための複数の車載ＥＣＵ３が搭載されている。車外通信装置１と判定装置２とは、例えばシリアルケーブル等のハーネスにより通信可能に接続されている。判定装置２及び車載ＥＣＵ３は、ＣＡＮ（Controller Area Network／登録商標）又はＴＣＰ／ＩＰ等の通信プロトコルに対応した車内ＬＡＮ４によって通信可能に接続されている。
　車外通信装置１は、車外通信部１１及び、判定装置２と通信するための入出力Ｉ／Ｆ（インターフェイス）１２を含む。車外通信部１１は、３Ｇ、ＬＴＥ、４Ｇ、ＷｉＦｉ等の移動体通信のプロトコルを用いて無線通信をするための通信装置であり、車外通信部１１に接続されたアンテナ１３を介して外部サーバＳ１とデータの送受信を行う。車外通信装置１と外部サーバＳ１との通信は、例えば公衆回線網又はインターネット等の外部ネットワークを介して行われる。
　入出力Ｉ／Ｆ１２は、判定装置２と、例えばシリアル通信するための通信インターフェイスである。車外通信装置１と判定装置２とは、入出力Ｉ／Ｆ１２及び入出力Ｉ／Ｆ１２に接続されたシリアルケーブル等のハーネスを介して相互に通信する。本実施形態では、車外通信装置１は、判定装置２と別装置とし、入出力Ｉ／Ｆ１２等によってこれら装置を通信可能に接続しているが、これに限定されない。車外通信装置１は、判定装置２の一構成部位として、判定装置２に内蔵されるものであってもよい。
　判定装置２は、制御部２０、記憶部２１、車内通信部２３及び入出力Ｉ／Ｆ２４を含む。判定装置２は、例えば、制御系の車載ＥＣＵ３、安全系の車載ＥＣＵ３及び、ボディ系の車載ＥＣＵ３等の複数の系統の通信線４１（ＣＡＮバス、イーサネット（登録商標）ケーブル）によるセグメントを統括し、これらセグメント間での車載ＥＣＵ３同士の通信を中継するゲートウェイ又はイーサスイッチ等の車載中継装置である。又は、判定装置２は、車両Ｃ全体をコントロールするボディＥＣＵの一機能部として構成されるものであってもよい。又は、判定装置２は、車載中継装置とは別体の装置として構成され、車載中継装置と通信可能に接続されるものであってもよい。判定装置２は、車載中継装置を介して車載ＥＣＵ３が出力したメッセージ等のデータを取得し、当該データの正否を判定するものであってもよい。
　記憶部２１は、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してあり、制御プログラム及び処理時に参照するデータがあらかじめ記憶してある。記憶部２１に記憶された制御プログラムは、判定装置２が読み取り可能な記録媒体２２から読み出された制御プログラムを記憶したものであってもよい。また、図示しない通信網に接続されている図示しない外部コンピュータから制御プログラムをダウンロードし、記憶部２１に記憶させたものであってもよい。記憶部２１には、車両Ｃに搭載される全ての車載ＥＣＵ３の構成情報及び中継処理を行うにあたり用いる経路情報（ルーティングテーブル）が記憶される。記憶部２１には、更に、後述する組合せテーブルに関する情報が記憶されている。
　車内通信部２３は、例えば、ＣＡＮ（Controller Area Network）又はＴＣＰ／ＩＰ等の通信プロトコルを用いた入出力インターフェイス（ＣＡＮトランシーバ）であり、制御部２０は、車内通信部２３を介して車内ＬＡＮ４に接続されている車載ＥＣＵ３又は他の中継装置等の車載機器と相互に通信する。車内通信部２３は、複数個（図面上では３つ）設けられており、車内通信部２３夫々に、車内ＬＡＮ４を構成する通信線４１が接続されている。このように車内通信部２３を複数個設けることにより、車内ＬＡＮ４を複数個のセグメントに分け、各セグメントに車載ＥＣＵ夫々を、当該車載ＥＣＵの機能（制御系機能、安全系機能、ボディ系機能）に応じて接続する。
　車内通信部２３がＣＡＮの通信プロトコルを用いる場合、判定装置が車載ＥＣＵから取得するデータは、ＣＡＮメッセージとなる。車内通信部２３がＴＣＰ／ＩＰの通信プロトコルを用いる場合、判定装置が車載ＥＣＵから取得するデータは、ＩＰパケットとなる。
　制御部２０は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等により構成してあり、記憶部２１に予め記憶された制御プログラム及びデータを読み出して実行することにより、種々の制御処理及び演算処理等を行うようにしてある。制御部２０は、通信線４１夫々に接続されている車載ＥＣＵ３から送信されるメッセージ等のデータを受信、又は当該車載ＥＣＵ３に対しメッセージ等のデータを送信するものであり、例えばＣＡＮコントローラとして機能する。又、制御部２０は、受信したメッセージ内に含まれるＣＡＮ－ＩＤ等のメッセージ識別子を参照し、参照したメッセージ識別子（ＣＡＮ－ＩＤ）及び記憶部２１に記憶してある経路情報（ルーティングテーブル）に基づいて送信先となるセグメントに対応する車内通信部２３を特定する。そして、制御部２０は、特定した車内通信部２３から、当該受信したメッセージを送信することにより、該メッセージを中継するＣＡＮゲートウェイとして機能する。制御部２０はＣＡＮコントローラとして機能するとしたがこれに限定されない。車内通信部２３がＣＡＮトランシーバ及びＣＡＮコントローラとして機能するものであってもよい。又は、制御部２０は、車載ＥＣＵ３から送信されるＩＰパケット等のデータを受信及び中継処理を行うレイヤー２又はレイヤー３のイーサスイッチとして機能するものであってもよい。
　制御部２０は、車載ＥＣＵ３から取得（受信）したメッセージ等のデータを解析等することにより、当該データの正否を判定する。データの正否の判定において、不正なデータとは、例えば、車外通信装置１等を介して車外から侵入したウィルス等により異常な状態となった車載ＥＣＵ３又は不正に交換された車載ＥＣＵ３等の不正な車載ＥＣＵ３から送信されるメッセージ等のデータである。詳細は後述するが、制御部２０は、受信したデータを解析等して正否を判定し、例えば、正当（正常）な車載ＥＣＵ３になりすました不正（異常）な車載ＥＣＵ３、又は外部から攻撃を受けて異常となった車載ＥＣＵ３から送信されたメッセージを、不正なメッセージとして判定することができる。制御部２０は、不正と判定したメッセージ等のデータに含まれる識別子（ＣＡＮ－ＩＤのメッセージ識別子等）を特定し、例えば、当該特定した識別子を含むデータの中継処理を禁止する等の防衛処理を行う。
　車載ＥＣＵ３は、制御部３０、記憶部３１及び車内通信部３２を含む。記憶部３１は、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してあり、車載ＥＣＵ３のプログラム又はデータが記憶されている。
　表示装置５は、例えばカーナビゲーションのディスプレイ等のＨＭＩ（Human Machine Interface）装置である。表示装置５は、判定装置２の入出力Ｉ／Ｆ２４とシリアルケーブル等のハーネスにより通信可能に接続されている。表示装置５には、判定装置２の制御部２０から入出力Ｉ／Ｆ２４を介して出力されたデータ又は情報が表示される。判定装置２は、上述のごとく、受信したメッセージが不正なメッセージであると判定した場合、当該不正なメッセージに含まれる識別子等の情報を表示装置５に送信し、表示装置５に当該情報を表示させるものであってもよい。表示装置５に当該情報を表示させることにより、車両Ｃの操作者に不正なメッセージを検出したことを報知することができる。表示装置５と判定装置２との接続形態は、入出力Ｉ／Ｆ２４等による接続形態に限定されず、表示装置５と判定装置２とは、車内ＬＡＮ４を介した接続形態であってもよい。
　図３は、複数の識別子夫々における相関を例示した説明図である。図４は、第１データ及び第２データ夫々を識別する識別子による複数の組合せ（組合せテーブル２１１）に関する説明図である。
　車載ＥＣＵ３から出力（送信）されるデータは、当該データを識別するための識別子が含まれる。車載ＥＣＵ３から出力されるデータが、例えばＣＡＮメッセージの場合、ＣＡＮメッセージのフレームに含まれるＣＡＮ－ＩＤのフィールドに格納されるメッセージ識別子（ＣＡＮ－ＩＤの番号）が、識別子に相当する。複数の識別子のデータが互いに相関関係を有している。相関関係を有するとは、いずれか二つの識別子のデータにおいて、これらデータの相関係数の絶対値が所定値以上であることを示すものである。相関係数は、例えば、ＣＡＮメッセージ又はＩＰパケットのペイロードに格納されている値又は内容に関する情報に基づき、算出するものであってもよい。
　当該所定値は、例えば０．７であり、所定値を０．７とすることにより、取得部２０１から出力されたデータ群から、比較的に相関が高い状態量となる複数のデータを抽出することができる。更に推定精度を向上させるにあたり、当該所定値は、０．９とすることが望ましい。更に好ましくは、当該所定値は、０．９７とするのが良い。相関係数は、例えば、算式（相関係数＝複数のデータに含まれる第１データの値と、複数のデータに含まれる第１データ以外の第２データの値との共分散／（第１データの値の標準偏差　×　第２データの値の標準偏差））を用いることにより算出することができる。相関係数夫々の絶対値を所定値以上とすることにより、正又は負の相関において、互いに相関が高い状態量となる複数のデータを抽出することができる。第２データが第１データに対し負の相関となる場合、相関係数は、負（マイナス）の値となるが、この値に－１を乗算することにより、正の相関となる第２データとして用いることができる。
　本実施形態の図示にて、例えば、８個の識別子における相関関係を示す。すなわち、図３及び４において、当該識別子を、ＣＡＮ－ＩＤとした場合、ＣＡＮ－ＩＤが、１００，１１０，１２０，１３０，１４０、１５０、１６０及び１７０のメッセージ（データ）間の相関関係が、例示されている。図３に示すとおり、いずれかの識別子のメッセージは、他の複数の識別子のメッセージと相関関係を有している。すなわち、これら複数の識別子のメッセージ夫々は、他のメッセージを介して数珠繋ぎとなるように相関関係を有している。
　例えば、ＣＡＮ－ＩＤが１７０の識別子において、１６０及び１４０を介して自識別子（１７０）に回帰する経路と、１２０，１５０及び１１０を介して自識別子（１７０）に回帰する経路による少なくとも２つの経路によって、他のメッセージを介して数珠繋ぎとなる相関関係を有している。従って、いずれかの識別子に対し攻撃がされた場合であっても、当該複数の経路にて数珠繋ぎとなっている他の複数の識別子との関係を用いることにより、どの識別子のデータが不正なデータであるかを判定し、当該不正な識別子を特定することができる。
　図４は、これら複数の識別子における相関関係の組合せをテーブル形式（組合せテーブル２１１）にて示している。なお、図４においては、これら組合せ夫々に基づき、当該組合せに含まれる識別子（第１識別子又は第２識別子）のデータの正否に関する事項を付記してあるが、事項当該については、後述する。
　組合せテーブル２１１は、管理項目（メタデータ）として、例えば、組合せＮｏ、複数の第１識別子、第２識別子を含む。組合せＮｏの項目（フィールド）には、組合せを特定するための管理番号が格納される。本実施形態においては、一例として、８個の識別子（１００，１１０，１２０，１３０，１４０，１５０，１６０，１７０及び１８０）を、８個の組合せ（Ｎｏ１からＮｏ８）にて構成した組合せテーブル２１１としている。このように組合せの個数は、判定対象となるデータの識別子の個数と同数とするものであってもよい。第２識別子の項目（フィールド）には、後述する判定データとの比較対象となるデータの識別子（第２識別子）が、格納される。複数の第１識別子の各項目（フィールド）には、第２識別子のデータと相関関係を有するデータの識別子（第１識別子）夫々が格納される。当該第１識別子夫々を含むデータは、第２識別子のデータと比較するための判定データを導出するために用いられるデータである。
　上述のとおり、いずれかの識別子のメッセージは、他の複数の識別子のメッセージと相関関係を有しており、組合せテーブル２１１にて例示しているとおり、全ての識別子夫々は、少なくとも２つ以上の組合せに含まれている。例えば、ＣＡＮ－ＩＤが１００の識別子は、第２識別子としてＮｏ．１の組合せに含まれると共に、第１識別子としてＮｏ．１、２及び７の組合せに含まれている。すなわち、識別子の組合せ夫々は、複数の第１データ夫々を示す複数の識別子と、単一の第２データの識別子とによるデータセットによって構成される。その上で、同一の識別子が、少なくとも２つ以上の組合せにおいて重複して含まれるように、当該組合せ夫々は、構成されている。
　組合せテーブル２１１は、更に、第１識別子夫々と第２識別子との相関係数の絶対値を含むものであってもよい。相関係数の絶対値の項目（フィールド）には、対応する第１識別子と第２識別子との相関係数又は、相関係数の絶対値が格納される。
　本実施形態において、データを識別するための識別子は、ＣＡＮ－ＩＤによるメッセージ識別子であると記載したが、これに限定されない。車載ＥＣＵ３及び判定装置２が用いる通信プロトコルが、例えばＴＣＰ／ＩＰである場合、当該データを識別するための識別子は、ＩＰパケットに含まれる送信元アドレス、送信先アドレス、ポート番号又は、これらの組合せによるものであってもよい。
　図５は、判定装置２の制御部２０に含まれる機能部を例示する機能ブロック図である。判定装置２の制御部２０は、記憶部２１に記憶されている制御プログラムを実行することにより、取得部２０１、出力部２０２及び中継処理部２０３として機能し、判定装置２を車載中継装置として動作させる。更に、判定装置２の制御部２０は、記憶部２１に記憶されている制御プログラムを実行することにより、データ分類部２０４、判定用データ導出部２０５、比較部２０６、特定部２０７及び、判定部２０８として機能し、取得したデータの正否を判定し、これらデータに含まれる識別子において、正当な識別子と、不正な識別子とを特定する。
　取得部２０１は、車載ＥＣＵ３から出力（送信）されたメッセージ等の複数のデータを車内通信部２３を介して取得する。取得部２０１は、取得したデータを中継処理部２０３及びデータ分類部２０４に出力する。
　中継処理部２０３は、記憶部２１に記憶されている経路情報を参照することにより、取得したメッセージ等のデータに含まれるＣＡＮ－ＩＤ又は、送信先アドレスに基づき当該データの中継先となる車内通信部２３を特定し、当該データを出力部２０２に出力する。
　出力部２０２は、中継処理部２０３から出力されたデータを、中継先として特定された車内通信部２３を介して出力し、これら取得部２０１、中継処理部２０３及び出力部２０２によって、データ中継処理が行われる。
　データ分類部２０４は、取得部２０１を介して、車載ＥＣＵ３から出力（送信）されたメッセージ等の複数のデータを取得する。データ分類部２０４は、記憶部２１に記憶されている組合せテーブル２１１を参照して組合せ夫々に含まれる第１識別子及び第２識別子に基づき、取得した複数のデータを、個々の組合せにおける第１識別子を含むデータ（第１データ）と、第２識別子を含むデータ（第２データ）とに分類（分別）する。上述のとおり、データ分類部２０４は、例えば、ＣＡＮメッセージに含まれるＣＡＮ－ＩＤ又は、ＩＰパケットに含まれる送信先アドレス等を識別子（第１識別子又は第２識別子）として用いる。このように中継処理に用いるＣＡＮ－ＩＤ（ＣＡＮメッセージ）又は送信先アドレス等（ＩＰパケット）を、データを識別するための識別子として用いることにより、中継処理に付随する処理として当該データの識別を行うことができ、判定装置２の処理負荷が増加することを抑制することができる。
　データ分類部２０４は、第１データ及び第２データの分類（分別）を、個々の組合せ夫々において行う。すなわち、データ分類部２０４は、各組合せにおいて、複数の第１データ及び第２データからなるデータセットを生成する。
　データ分類部２０４は、全ての組合せ夫々において、個々の組合せ（一の組合せ）に含まれる複数の第１識別子の第１データを判定用データ導出部２０５に出力すると共に、当該個々の組合せ（一の組合せ）に含まれる第２識別子の第２データを比較部２０６に出力する。すなわち、データ分類部２０４は、複数の組合せにおいて、一の組合せに含まれる第１識別子の第１データを判定用データ導出部２０５に出力し、当該一の組合せに含まれる第２識別子の第２データを比較部２０６に出力する処理を、組合せの個数分、順次又は逐次に繰り返す。
　判定用データ導出部２０５は、データ分類部２０４から出力された各組合せ毎の第１データに基づき、判定用データを導出する。すなわち、判定用データ導出部２０５は、例えば、Ｎｏ１の組合せに含まれる複数の第１識別子（１２０，１３０，１４０）を含む第１データ夫々を入力値として、判定用データを出力値として出力する変換関数を用いることにより、当該Ｎｏ１の組合せに含まれる第２識別子（１００）を含む第２データに対応する判定用データを導出する。又は、判定用データ導出部２０５は、例えば、複数の第１データを入力した場合、判定用データを出力するように学習されたＤＮＮ（deep neural network）等の学習モデルより構成されるものであってもよい。判定用データ導出部２０５は、例えば、ＤＮＮ等の学習モデルを含み、当該学習モデルに複数の第１データを入力し、学習モデルから出力される判定用データを取得することにより、判定用データを導出するものであってもよい。このように相関関係を有する第１識別子の第１データと第２識別子の第２データとは、判定用データを介して対応関係にあり、第２識別子を攻撃からの保護対象とする保護ＣＡＮＩＤとした場合、第１識別子は、第２識別子のデータを推定するにあたって当該第２識別子に関連する関連ＣＡＮＩＤに相当する。判定用データ導出部２０５は、導出した判定用データを比較部２０６に出力する。
　比較部２０６は、全ての組合せ夫々において、判定用データ導出部２０５から取得した判定用データと、データ分類部２０４から出力された第２データとを比較する。比較部２０６は、比較結果として、例えば、判定用データ及び第２データが一致したか否かに関する情報、又は判定用データと第２データとの差異が所定以内である否か等、当該差異に関する情報を特定部２０７に出力する。
　特定部２０７は、判定用データと第２データとが一致する等、判定用データと第２データとの差異が所定値以内である場合、当該判定用データの元データである複数の第１データ及び第２データは、正当（正常）なデータであると判定し、当該第１データの第１識別子及び第２データの第２識別子を含む組合せを正当判定組合せである特定する。当該所定値とは、判定用データと第２データとを比較するにあたり、判定装置２による判定処理の精度上、判定用データと第２データとが実質的に同一の値であると判定するための閾値である。
　特定部２０７は、判定用データと第２データとが一致しない等、判定用データと第２データとの差異が所定値より大きい場合、当該判定用データの元データである複数の第１データ又は第２データは、不当（異常）なデータであると判定し、当該第１データの第１識別子及び第２データの第２識別子を含む組合せを不正判定組合せである特定する。特定部２０７は、複数の組合せ夫々における特定結果、すなわち個々の組合せが正当判定組合せであるか、又は不正判定組合せであるかを特定した結果を判定部２０８に出力する。
　判定部２０８は、特定部２０７から出力された複数の組合せ夫々における特定結果を取得する。判定部２０８は、組合せテーブル２１１を参照することにより、複数の組合せ夫々において、個々の組合せが含む第１識別子及び第２識別子に関する情報を取得する。判定部２０８は、正当判定組合せに含まれる第１識別子及び第２識別子は、正当（正常）な識別子であり、当該識別子を含むデータは、正当（正常）なデータであると判定する。
　本実施形態の図３にて例示しているように、例えば１００及び１４０の識別子のデータが攻撃を受け、不正なデータとなっている場合、当該不正なデータの識別子（１００、１４０）を含まない組合せである組合せＮｏ６において、判定用データと第２データとの差異が所定値以内となる。すなわち、当該組合せＮｏ６に含まれる第１識別子（１２０，１３０）及び第２識別子（１５０）のデータは、正当（正常）なデータであると判定される。
　これに対し、１００及び１４０の識別子を第１識別子又は第２識別子として含む他組合せ（Ｎｏ１，２，３，４，５，７及び８）においては、判定用データと第２データとの差異が所定値よりも大きくなり、当該第１識別子又は第２識別子のデータは、不当（異常）なデータであると、一旦判定される。上述のとおり、これら他組合せは、不正判定組合せとして特定される。
　当該不正判定組合せに含まれる第１識別子及び第２識別子において、正当判定組合せに含まれる第１識別子及び第２識別子として既に正当（正常）あると判定された識別子を除いた結果、単一の識別子が残存した場合、判定部２０８は、当該残存した識別子を不正な識別子であると判定（特定）する。本実施形態において、例えば組合せＮｏ４に含まれる第１識別子（１２０，１４０）及び第２識別子（１３０）において、１２０及び１３０の識別子は、正当判定組合せである組合せＮｏ６にも含まれる識別子であり、既に正当（正常）な識別子として判定されている。従って、１４０の識別子は、正当（正常）あると判定された識別子を除いた結果、残存する単一の識別子に相当する。すなわち、１４０の識別子が不正であるために、組合せＮｏ４における判定データと第２識別子の第２データとの差異が所定値以内とならず、当該組合せＮｏ４は、不正判定組合せに特定されたものとなる。
　判定部２０８は、不正判定組合せにおいて、既に正当と判定した識別子を除いた結果、単一の識別子が残存した場合、当該残存した識別子は不正な識別子であり、当該不正な識別子を含むデータは不正なデータであると判定する。このように判定部２０８は、正当判定組合せに含まれる複数の識別子に基づいて、不正判定組合せに含まれるいずれの識別子の第１データ又は第２データが不正であるかを、効率的に判定することができる。
　判定部２０８は、不正判定組合せ及び、不正と判定した識別子に関する情報を、判定用データ導出部２０５に出力することにより、ループ処理を行う。すなわち、不正判定組合せ及び、不正と判定した識別子に関する情報は、判定部２０８から判定用データ導出部２０５に帰還され、判定用データ導出部２０５による判定用データ導出する処理が、再度実行される。
　判定用データ導出部２０５は、判定部２０８から出力された不正判定組合せ及び、不正と判定した識別子に関する情報を取得する。判定用データ導出部２０５は、夫々の不正判定組合せにおいて、当該不正判定組合せの複数の第１識別子から、既に不正と判定した識別子を除いた第１識別子を含む第１データに基づき、判定用データを導出する。
　本実施形態においては、例えば、組合せＮｏ８に含まれる第１識別子（１１０，１４０）において、１４０の識別子は、既に不正な識別子として判定されており、当該不正な識別子（１４０）を除いた第１識別子（１１０）に基づき、判定用データを導出する。このように既に不正と判定された識別子を除いた第１識別子の第１データに基づくことにより、第２識別子の第２データとの差異が所定値以内となる可能性が高い判定用データを導出することができる。
　比較部２０６、特定部２０７及び判定部２０８は、判定用データ導出部２０５が再度、導出した判定用データに基づき、前回の処理と同様の処理を行い、夫々の不正判定組合せにおいて、不正と判定した識別子を除いた第１識別子及び、第２識別子の正否について判定する。比較部２０６は、不正と判定した識別子を除いた第１識別子に基づき導出された判定用データと、第２識別子の第２データとを比較し、比較結果として、当該判定用データと、第２識別子の第２データとの差異が所定値以内であるか否か等、当該差異に関する情報を判定部２０８に出力する。
　判定部２０８は、不正と判定した識別子を除いた第１識別子に基づき導出された判定用データと第２識別子の第２データとが一致する等、差異が所定値以内である場合、不正と判定した識別子を除いた第１識別子及び第２識別子は、正当な識別子であり、当該正当な識別子を含むデータは正当なデータであると判定する。判定部２０８は、このような判定処理を再起的に繰り返すことにより、正当と判定した識別子を追加していき、正当な識別子、すなわち信頼できる識別子の個数を増加させることができる。判定部２０８は、再度、不正判定組合せにおいて、正当と判定した識別子を除いた結果、単一の識別子が残存した場合、当該残存した識別子は不正な識別子であり、当該不正な識別子を含むデータは不正なデータであると判定する。判定部２０８等は、複数の組合せ夫々に含まれる全ての識別子のデータに対し、当該処理を繰り返すことにより、これら全ての識別子の正否を判定する。
　判定部２０８は、識別子の判定結果に関する情報を表示装置５に出力する。当該判定結果に関する情報を表示装置５に出力することにより、例えば、いずれかの識別子のデータが攻撃され、不正（異常）となっていることを車両Ｃの操作者に報知することができる。判定部２０８は、不正と判定した識別子に関する情報又は、不正と判定した識別子のデータの中継を禁止する信号（中継禁止信号）を中継処理部２０３に出力する。当該中継禁止信号等を中継処理部２０３に出力することにより、攻撃され不正（異常）となっている識別子のデータの中継を禁止し、当該不正なデータに対する防御処置を行うことができる。
　データ分類部２０４、判定用データ導出部２０５、比較部２０６、特定部２０７及び判定部２０８は、判定装置２の制御部２０における機能部として説明したが、これに限定されない。これら機能部における一部の機能部は、判定装置２と通信可能に接続される外部サーバＳ１等のクラウドサーバ、又は車両Ｃに搭載されるビークルコンピュータの一機能部として構成され、判定装置２と、外部サーバＳ１又はビークルコンピュータ等が協働して、これら機能部における一連の処理を行うものであってもよい。
　図６は、判定装置２の制御部２０の処理を例示するフローチャートである。判定装置２の制御部２０は、車両ＣＣが起動状態（ＩＧスイッチがオン）又は停止状態（ＩＧスイッチがオフ）において、常時的に以下の処理を行う。
　判定装置２の制御部２０は、車載ＥＣＵ３から送信される複数のデータ（第１データ及び第２データ）を取得する（Ｓ１０１）。制御部２０は、車載ＥＣＵ３から送信される複数のデータを取得する。制御部２０が取得したデータは、識別子による複数の組合せに応じて、個々の組合せに含まれる第１識別子の第１データ又は、第２識別子の第２データに分類されるデータである。従って、制御部２０が取得したデータは、個々の組合せにおける第１データ及び第２データを含む。
　判定装置２の制御部２０は、第１データ及び第２データ夫々を識別する識別子による複数の組合せに関する情報を取得する（Ｓ１０２）。制御部２０は、記憶部２１を参照し、当該記憶部２１に記憶されている複数の組合せに関する情報を取得する。複数の組合せに関する情報は、例えば、外部サーバＳ１の記憶部２１等、判定装置２の制御部２０がクセス可能な所定の記憶領域に記憶されており、制御部２０は、車外通信装置１を介して外部サーバＳ１と通信することにより、当該外部サーバＳ１から複数の組合せに関する情報を取得するものであってもよい。
　判定装置２の制御部２０は、複数の組合せ夫々における第１データに基づいて、複数の組合せ夫々における第２データに相当する判定用データを導出する（Ｓ１０３）。制御部２０は、複数の組合せにおける個々の組合せが含む第１識別子の第１データに基づいて、判定用データを導出する。制御部２０は、取得したデータに含まれるＣＡＮ－ＩＤ等の識別子を抽出し、抽出した識別子が、組合せに含まれる第１識別子と同じ識別子のデータを、第１データとして特定する。制御部２０は、取得したデータに含まれるＣＡＮ－ＩＤ等の識別子を抽出し、抽出した識別子が、組合せに含まれる第２識別子と同じ識別子のデータを、第２データとして特定する。
　個々の組合せは、複数の第１識別子を含むものため、制御部２０は、当該複数の第１識別子に基づいて、複数の第１データを特定する。制御部２０は、特定した複数の第１データを、例えば変換関数等に入力し、第２データに対応する判定用データを導出する。制御部２０は、複数の組合せ夫々において、個々の組合せにおける第２データに対応する判定用データを導出する。
　判定装置２の制御部２０は、複数の組合せ夫々における第２データ及び判定用データの差異は所定値以内であるかを判定する（Ｓ１０４）。制御部２０は、複数の組合せ夫々において、個々の組合せ毎に、第２データと判定用データとは一致するか、又は第２データ及び判定用データの差異は所定値以内であるかの判定を行う。当該所定値とは、判定用データと第２データとを比較するにあたり、判定装置２による判定処理の精度上、判定用データと第２データとが実質的に同一の値であると判定するための閾値である。または、制御部２０は、判定用データ及び第２データの一致度を基準とし、当該一致度が所定値以上であれば、判定用データと第２データとが実質的に同一の値であると判定するものであってもよい。
　差異が所定値以下の場合（Ｓ１０４：ＹＥＳ）、判定装置２の制御部２０は、正当な第１データ及び第２データの識別子を含む正当判定組合せを特定する（Ｓ１０５）。差異が所定値以下の場合、制御部２０は、判定用データの元データである複数の第１データを示す第１識別子及び、第２データを示す第２識別子を含む組合せを正当判定組合せと特定する。すなわち、正当判定組合せに含まれる第１識別子及び第２識別子は、正当な識別子であり、当該正当な識別子を含むデータは、正当なデータであると判定される。
　差異が所定値以下でない場合（Ｓ１０４：ＮＯ）、すなわち差異が所定値よりも大きい場合、判定装置２の制御部２０は、不正な第１データ又は第２データの識別子を含む不正判定組合せを特定する（Ｓ１０５１）。差異が所定値よりも大きい場合、制御部２０は、判定用データの元データである複数の第１データを示す第１識別子及び、第２データを示す第２識別子を含む組合せを不正判定組合せと特定する。すなわち、不正判定組合せ含まれる第１識別子及び第２識別子のいずれかの識別子は、不正な識別子であり、当該不正な識別子データは、不正なデータであると判定される。
　判定装置２の制御部２０は、正当又は不正と判定した第１データ又は第２データの識別子を抽出する（Ｓ１０６）。制御部２０は、正当判定組合せに含まれる第１データ及び第２データを示す識別子は、正当な識別子であるとして判定（特定）し抽出する。制御部２０は、不正判定組合せに含まれる第１データ及び第２データを示す識別子において、既に正常と判定した識別子を除いた結果、単一の識別子が残存した場合、当該残存した識別子を不正な識別子であると判定（特定）し抽出する。従って、正当判定組合せに含まれる複数の識別子に基づいて、特定した不正判定組合せに含まれるいずれの識別子の第１データ又は第２データが不正であるかを判定し、抽出することができる。
　判定装置２の制御部２０は、不正判定組合せに含まれる複数の第１データの識別子において、他の不正判定組合せにて不正と判定されたデータの識別子を除いた第１データに基づき、判定用データを導出する（Ｓ１０７）。制御部２０は、夫々の不正判定組合せにおいて、当該不正判定組合せの第１識別子から、既に不正と判定した識別子を除いた第１識別子を含むデータに基づき、判定用データを再度、導出する。既に不正と判定された識別子を除いた第１識別子のデータに基づくことにより、制御部２０は、第２識別子のデータとの差異が所定値以内となる可能性が高い判定用データを導出することができる。
　判定装置２の制御部２０は、不正判定組合せに含まれる第２データ及び、導出した判定用データの差異が所定値以内であるかを判定する（Ｓ１０８）。制御部２０は、不正判定組合せに含まれる第２データと、既に不正と判定された識別子を除いた第１識別子のデータに基づき導出した判定用データとを、上述の処理Ｓ１０４と同様に比較し、第２データ及び判定用データの差異が所定値以内であるかを判定する。
　差異が所定値以下の場合（Ｓ１０８：ＹＥＳ）、判定装置２の制御部２０は、第１データ及び第２データの識別子を正当と判定する（Ｓ１０９）。制御部２０は、夫々の不正判定組合せにおいて、既に不正と判定された識別子を除いた第１識別子と、第２識別子とは、正当な識別子であり、当該正当な識別子を含むデータは、正当なデータであると判定する。制御部２０は、このような判定処理を再起的に繰り返すことにより、正当と判定した識別子を追加していき、正当な識別子、すなわち信頼できる識別子の個数を増加させることができる。
　差異が所定値以下でない場合（Ｓ１０８：ＮＯ）、すなわち差異が所定値よりも大きい場合、判定装置２の制御部２０は、第１データ又は第２データの識別子を不正と判定する（Ｓ１０９１）。制御部２０は、夫々の不正判定組合せにおいて、既に不正と判定された識別子を除いた第１識別子及び第２識別子のいずれかの識別子は、不正な識別子であり、当該不正な識別子のデータは、不正なデータであると判定する。
　判定装置２の制御部２０は、全ての識別子について判定したか否かを判断する（Ｓ１１０）。制御部２０は、複数の組合せに含まれる全ての識別子のデータの正否の判定結果を記憶部２１に記憶しており、当該判定結果を参照して、全ての識別子について判定したか否かを判断する。
　全ての識別子を判定していない場合（Ｓ１１０：ＮＯ）、制御部２０は、再度Ｓ１０７からの処理を実行することにより、Ｓ１０７からＳ１１０までをループ処理する。制御部２０は、Ｓ１０７及びＳ１０８等の判定処理を再起的に繰り返すことにより、正当と判定した識別子を追加していき、正当な識別子、すなわち信頼できる識別子の個数を増加させることができる。制御部２０は、夫々の不正判定組合せにおいて、既に正当（正常）あると判定された識別子を除いた結果、単一の識別子が残存した場合、当該残存した識別子を不正な識別子であると判定することにより、不正な識別子を確実に特定し、特定した不正な識別子個数を増加させることができる。
　全ての識別子を判定した場合（Ｓ１１０：ＹＥＳ）、制御部２０は、判定結果を表示装置５等に出力する（Ｓ１１１）。当該判定結果に関する情報を表示装置５に出力することにより、相関関係を有する複数の識別子において、例えば、個々の識別子の正否の状態、又はいずれかの識別子のデータが攻撃され不正（異常）となっていることを車両Ｃの操作者に報知することができる。制御部２０は、不正と判定した識別子のデータの中継を禁止する信号（中継禁止信号）を中継処理部２０３に出力するものであってもよい。当該中継禁止信号等を中継処理部２０３に出力することにより、攻撃され不正（異常）となっている識別子のデータの中継を禁止し、当該不正なデータによる攻撃に対する防御処置を行うことができる。
　本実施形態によれば、判定装置２は、特定した不正判定組合せに含まれる第１識別子の第１データ及び第２識別子の第２データと、特定した正当判定組合せに含まれる第１識別子の第１データ及び第２識別子の第２データとに基づいて、不正判定組合せに含まれる識別子の第１データ又は第２データのいずれのデータが不正であるかを判定する。従って、互いに関連性を有する複数の識別子を含むデータ夫々において、いずれかのデータに対し攻撃がされた場合であっても、当該攻撃によって不正となったデータの識別子を特定することができる。
　本実施形態によれば、組合せ夫々は、複数の第１データ夫々を示す複数の第１識別子と、単一の第２データを示す第２識別子とによるデータセットによって構成され、同一の識別子が、２つ以上の組合せにて重複して含まれる。いずれかの識別子に基づき、これら組合せを互いに数珠繋ぎに連関させることができ、正当判定組合せと判定された組合せに含まれる第１データの第１識別子又は第２データの第２識別子を用いて、他の組合せに含まれる識別子の第１識別子及び第２識別子の判定を効率的に行うことができる。
　本実施形態によれば、いずれかの不正判定組合せに含まれる第１識別子において、他の不正判定組合せにて不正と判定されたデータの識別子を除いた第１識別子の第１データに基づき、判定用データを再度、導出する。そして、判定装置２は、再度、導出した当該判定用データと、当該いずれかの不正判定組合せに含まれる第２識別子の第２データとの差異に基づき、不正と判定されたデータの識別子を除いた第１識別子及び第２識別子の正否を判定する処理を繰り返し実行する。従って、複数の組合せ夫々に含まれる全ての識別子に対する正否判定を効率的に行うことができ、互いに相関関係を有する複数の識別子において、いずれの識別子が不正であるかを特定することができる。
　今回開示された実施形態はすべての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、請求の範囲によって示され、請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。
　Ｃ　車両
　Ｓ１　外部サーバ
　Ｓ１１　記憶部
　１　車外通信装置
　１１　車外通信部
　１２　入出力Ｉ／Ｆ
　１３　アンテナ
　２　判定装置（車載中継装置）
　２０　制御部
　２０１　取得部
　２０２　出力部
　２０３　中継処理部
　２０４　データ分類部
　２０５　判定用データ導出部
　２０６　比較部
　２０７　特定部
　２０８　判定部
　２１　記憶部
　２１１　組合せテーブル
　２２　記録媒体
　２３　車内通信部
　２４　入出力Ｉ／Ｆ
　３　車載ＥＣＵ
　３０　制御部
　３１　記憶部
　３２　車内通信部
　４　車内ＬＡＮ
　４１　通信線
　５　表示装置
 

Claims (10)

  1. 　車両に搭載され、複数の車載ＥＣＵと通信可能に接続された判定装置であって、
    　前記複数の車載ＥＣＵから送信されるデータの正否の判定に関する制御を行う制御部を備え、
    　前記データは、第１データ及び第２データを含み、
    　前記制御部は、
    　前記複数の車載ＥＣＵから送信される複数の前記第１データ及び前記第２データを取得し、
    　前記第１データに基づいて、判定用データを導出し、
    　前記第１データを識別する識別子と前記第２データを識別する識別子の複数の組合せにおいて、
    　前記第２データ及び前記判定用データに基づき、正当な第１データ及び第２データの識別子を含む正当判定組合せと、不正な第１データ又は第２データの識別子を含む不正判定組合せとを特定し、
    　特定した前記不正判定組合せに含まれる複数の識別子と、前記正当判定組合せに含まれる複数の識別子に基づいて、特定した前記不正判定組合せに含まれるいずれの識別子の第１データ又は第２データが不正であるかを判定する
    　判定装置。
  2. 　前記複数の組合せ夫々は、複数の前記第１データ夫々を識別するための複数の識別子と、前記第２データの識別子とを含み、
    　同一の識別子が、２つ以上の前記組合せに重複して含まれる
    　請求項１に記載の判定装置。
  3. 　前記制御部は、前記複数の組合せにおける、いずれかの組合せに含まれる識別子の第１データに基づき導出した判定用データと、前記いずれかの組合せに含まれる識別子の第２データとの差異が所定値以内である場合、前記いずれかの組合せは、正当判定組合せであると特定する
    　請求項１又は請求項２に記載の判定装置。
  4. 　前記制御部は、前記複数の組合せにおける、いずれかの組合せに含まれる識別子の第１データに基づき導出した判定用データと、前記いずれかの組合せに含まれる識別子の第２データとの差異が所定値よりも大きい場合、前記いずれかの組合せは、不正判定組合せであると特定する
    　請求項３に記載の判定装置。
  5. 　前記制御部は、前記不正判定組合せに含まれる識別子において、前記正当判定組合せに含まれる識別子とは異なる識別子の第１データ又は第２データを、不正なデータとして判定する
    　請求項１から請求項４のいずれか１項に記載の判定装置。
  6. 　前記制御部は、前記不正判定組合せに含まれる複数の第１データの識別子において、
    　他の不正判定組合せにて不正と判定されたデータの識別子を除いた識別子の第１データに基づき、判定用データを導出し、
    　該判定用データ及び前記不正判定組合せに含まれる識別子の第２データに基づき、前記不正判定組合せに含まれる第１データ及び該第２データの正否を判定する
    　請求項５に記載の判定装置。
  7. 　複数の組合せに関する情報は、自装置からアクセス可能な所定の記憶領域に記憶されており、
    　制御部は、所定の記憶領域を参照することにより、複数の組合せに関する情報を取得する
    　請求項１から請求項６のいずれか１項に記載の判定装置。
  8. 　前記組合せを構成する前記識別子に対応する前記第１データ及び前記第２データは、相関関係を有し、
    　前記第１データ及び前記第２データの相関係数の絶対値は、０．７以上である
    　請求項１から請求項７のいずれか１項に記載の判定装置。
  9. 　コンピュータに、
    　複数の車載ＥＣＵから送信される複数の第１データ及び第２データを取得し、
    　前記第１データに基づいて、判定用データを導出し、
    　前記第１データ及び前記第２データ夫々を識別する識別子による複数の組合せに関する情報を取得し、
    　取得した前記第２データ及び導出した前記判定用データに基づき、前記複数の組合せにおいて、正当な第１データ及び第２データの識別子を含む正当判定組合せと、不正な第１データ又は第２データの識別子を含む不正判定組合せとを特定し、
    　特定した前記不正判定組合せに含まれる複数の識別子と、前記正当判定組合せに含まれる複数の識別子に基づいて、特定した前記不正判定組合せに含まれるいずれの識別子の第１データ又は第２データが不正であるかを判定する
    　処理を実行させる判定プログラム。
  10. 　複数の車載ＥＣＵから送信される複数の第１データ及び第２データを取得し、
    　前記第１データに基づいて、判定用データを導出し、
    　前記第１データ及び前記第２データ夫々を識別する識別子による複数の組合せに関する情報を取得し、
    　取得した前記第２データ及び導出した前記判定用データに基づき、前記複数の組合せにおいて、正当な第１データ及び第２データの識別子を含む正当判定組合せと、不正な第１データ又は第２データの識別子を含む不正判定組合せとを特定し、
    　特定した前記不正判定組合せに含まれる複数の識別子と、前記正当判定組合せに含まれる複数の識別子に基づいて、特定した前記不正判定組合せに含まれるいずれの識別子の第１データ又は第２データが不正であるかを判定する
    　処理をコンピュータに実行させる判定方法。
     
PCT/JP2020/042793 2019-12-06 2020-11-17 判定装置、判定プログラム及び判定方法 WO2021111865A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US17/756,927 US20230006860A1 (en) 2019-12-06 2020-11-17 Determination device, determination program, and determination method
DE112020005980.4T DE112020005980T5 (de) 2019-12-06 2020-11-17 Ermittlungsvorrichtung, Ermittlungsprogramm und Ermittlungsverfahren
CN202080083196.9A CN114747182A (zh) 2019-12-06 2020-11-17 判定装置、判定程序和判定方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019-221517 2019-12-06
JP2019221517A JP7247875B2 (ja) 2019-12-06 2019-12-06 判定装置、判定プログラム及び判定方法

Publications (1)

Publication Number Publication Date
WO2021111865A1 true WO2021111865A1 (ja) 2021-06-10

Family

ID=76221901

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/042793 WO2021111865A1 (ja) 2019-12-06 2020-11-17 判定装置、判定プログラム及び判定方法

Country Status (5)

Country Link
US (1) US20230006860A1 (ja)
JP (1) JP7247875B2 (ja)
CN (1) CN114747182A (ja)
DE (1) DE112020005980T5 (ja)
WO (1) WO2021111865A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2024004594A1 (ja) * 2022-06-28 2024-01-04 株式会社オートネットワーク技術研究所 中継装置、情報処理方法及び車載システム

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017123639A (ja) * 2016-01-08 2017-07-13 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知方法、監視電子制御ユニット及び車載ネットワークシステム
WO2019117184A1 (ja) * 2017-12-15 2019-06-20 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車載ネットワーク異常検知システム及び車載ネットワーク異常検知方法

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5522160B2 (ja) 2011-12-21 2014-06-18 トヨタ自動車株式会社 車両ネットワーク監視装置

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017123639A (ja) * 2016-01-08 2017-07-13 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知方法、監視電子制御ユニット及び車載ネットワークシステム
WO2019117184A1 (ja) * 2017-12-15 2019-06-20 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車載ネットワーク異常検知システム及び車載ネットワーク異常検知方法

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2024004594A1 (ja) * 2022-06-28 2024-01-04 株式会社オートネットワーク技術研究所 中継装置、情報処理方法及び車載システム

Also Published As

Publication number Publication date
CN114747182A (zh) 2022-07-12
US20230006860A1 (en) 2023-01-05
JP2021093572A (ja) 2021-06-17
JP7247875B2 (ja) 2023-03-29
DE112020005980T5 (de) 2022-09-15

Similar Documents

Publication Publication Date Title
CN110494330B (zh) 车辆监视装置、不正当检测服务器、以及控制方法
CN107925600B (zh) 安全处理方法以及服务器
US20210034745A1 (en) Security system and methods for identification of in-vehicle attack originator
CN112437056B (zh) 安全处理方法以及服务器
US10850684B2 (en) Vehicle secure messages based on a vehicle private key
JP6531011B2 (ja) 車載ネットワーク装置
JP6805667B2 (ja) 検知装置、ゲートウェイ装置、検知方法および検知プログラム
US10372903B2 (en) Method of updating fraud detection rules for detecting malicious frames, fraud detecting electronic control unit, and on-board network system
JP7030957B2 (ja) 自動車用サイバーセキュリティ
JP7007632B2 (ja) 検知装置、検知方法および検知プログラム
JP2017111796A5 (ja)
CN113169927B (zh) 判定装置、判定程序、判定方法及神经网络模型的生成方法
JP7276670B2 (ja) 検知装置、検知方法および検知プログラム
WO2021111865A1 (ja) 判定装置、判定プログラム及び判定方法
JP7480786B2 (ja) 検知装置、車両、検知方法および検知プログラム
US20200134937A1 (en) Vehicle-mounted communications device, log collection method, and log collection program
JP7211224B2 (ja) 管理装置、通信システム、車両通信管理方法および車両通信管理プログラム
CN114128222B (zh) 中继装置系统
JP7420285B2 (ja) 車載装置、不正検知方法及びコンピュータプログラム
WO2024004594A1 (ja) 中継装置、情報処理方法及び車載システム
Sumorek The safety of modern and traditional communication protocols in vehicles

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20895971

Country of ref document: EP

Kind code of ref document: A1

122 Ep: pct application non-entry in european phase

Ref document number: 20895971

Country of ref document: EP

Kind code of ref document: A1