WO2023127460A1 - 検知装置および検知方法 - Google Patents

検知装置および検知方法 Download PDF

Info

Publication number
WO2023127460A1
WO2023127460A1 PCT/JP2022/045396 JP2022045396W WO2023127460A1 WO 2023127460 A1 WO2023127460 A1 WO 2023127460A1 JP 2022045396 W JP2022045396 W JP 2022045396W WO 2023127460 A1 WO2023127460 A1 WO 2023127460A1
Authority
WO
WIPO (PCT)
Prior art keywords
detection
value
message
unit
network
Prior art date
Application number
PCT/JP2022/045396
Other languages
English (en)
French (fr)
Inventor
増川京佑
上田浩史
Original Assignee
住友電気工業株式会社
住友電装株式会社
株式会社オートネットワーク技術研究所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 住友電気工業株式会社, 住友電装株式会社, 株式会社オートネットワーク技術研究所 filed Critical 住友電気工業株式会社
Priority to JP2023570798A priority Critical patent/JPWO2023127460A1/ja
Priority to CN202280078383.7A priority patent/CN118302994A/zh
Publication of WO2023127460A1 publication Critical patent/WO2023127460A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/10—Active monitoring, e.g. heartbeat, ping or trace-route
    • H04L43/106—Active monitoring, e.g. heartbeat, ping or trace-route using time related information in packets, e.g. by adding timestamps

Definitions

  • the present disclosure relates to sensing devices and sensing methods. This application claims priority based on Japanese Patent Application No. 2021-214171 filed on December 28, 2021, and the entire disclosure thereof is incorporated herein.
  • Patent Document 1 International Publication No. 2021/111685 discloses the following detection device. That is, the detection device is a detection device that detects an unauthorized message in an in-vehicle network, and includes an acquisition unit that acquires a target distribution that is a distribution of reception intervals of periodic messages transmitted in the in-vehicle network; an extraction unit that extracts a part of the target distribution obtained according to a predetermined standard; and a detection unit that performs detection processing for detecting the fraudulent message based on the part of the target distribution extracted by the extraction unit.
  • the detection device is a detection device that detects an unauthorized message in an in-vehicle network, and includes an acquisition unit that acquires a target distribution that is a distribution of reception intervals of periodic messages transmitted in the in-vehicle network; an extraction unit that extracts a part of the target distribution obtained according to a predetermined standard; and a detection unit that performs detection processing for detecting the fraudulent message based on the part of the target distribution extracted by the extraction unit.
  • a detection device of the present disclosure is a detection device that detects anomalies in a network in which a plurality of messages including periodic messages are transmitted and received, and according to the relationship between observation results of the plurality of messages and reference information related to the observation results.
  • a calculation unit that calculates a detection index that increases or decreases based on the detection index calculated by the calculation unit; a detection unit that performs detection processing for detecting an abnormality in the network based on the detection index calculated by the calculation unit; and a reset unit that resets the detection index used in the detection process when an extreme value of the index is detected.
  • a detection method of the present disclosure is a detection method in a detection device for detecting anomalies in a network in which a plurality of messages including periodic messages are transmitted and received, wherein observation results of the plurality of messages and reference information regarding the observation results are provided. a step of calculating a detection index that increases or decreases according to the relationship between; a step of performing a detection process for detecting an abnormality in the network based on the calculated detection index; a step of monitoring the detection index; resetting the sensing index used in the sensing process if a value is detected.
  • One aspect of the present disclosure can be realized not only as a detection device including such a characteristic processing unit, but also as a program for causing a computer to execute steps of such characteristic processing, or as a detection device.
  • a detection device including such a characteristic processing unit, but also as a program for causing a computer to execute steps of such characteristic processing, or as a detection device.
  • FIG. 1 is a diagram showing the configuration of a communication system according to an embodiment of the present disclosure.
  • FIG. 2 is a diagram illustrating a configuration of a relay device according to an embodiment of the present disclosure
  • FIG. 3 is a diagram illustrating an example of distribution of target messages and reception times received by a relay device according to an embodiment of the present disclosure.
  • FIG. 4 is a diagram illustrating an example of statistical values used for detection processing in the relay device according to the embodiment of the present disclosure.
  • FIG. 5 is a diagram illustrating an example of distribution of target messages and reception times received by the relay device according to the embodiment of the present disclosure.
  • FIG. 6 is a diagram illustrating an example of statistical values used for detection processing in a relay device according to a comparative example of the embodiment of the present disclosure;
  • FIG. 1 is a diagram showing the configuration of a communication system according to an embodiment of the present disclosure.
  • FIG. 2 is a diagram illustrating a configuration of a relay device according to an embodiment of the present disclosure
  • FIG. 3 is
  • FIG. 7 is a diagram illustrating an example of statistical values used for detection processing in the relay device according to the embodiment of the present disclosure.
  • FIG. 8 is a diagram illustrating another example of distribution of target messages and reception times received by the relay device according to the embodiment of the present disclosure.
  • FIG. 9 is a diagram illustrating an example of statistical values used for detection processing in the relay device according to the embodiment of the present disclosure.
  • FIG. 10 is a diagram illustrating another example of distribution of target messages and reception times received by the relay device according to the embodiment of the present disclosure.
  • FIG. 11 is a diagram illustrating an example of statistical values used for detection processing in the relay device according to the embodiment of the present disclosure.
  • FIG. 12 is a flowchart that defines an example of an operation procedure when the relay device according to the embodiment of the present disclosure performs detection processing.
  • FIG. 13 is a diagram illustrating an example of a network connection topology according to an embodiment of the present disclosure.
  • 14 is a diagram illustrating an example of anomaly degrees calculated by a calculation unit in
  • the present disclosure has been made to solve the above-mentioned problems, and its purpose is to provide a detection device and a detection method capable of more accurately detecting anomalies in networks.
  • a detection device is a detection device for detecting an anomaly in a network in which a plurality of messages including periodic messages are transmitted and received, wherein observation results of the plurality of messages and the observation results a calculation unit that calculates a detection index that increases or decreases according to the relationship with reference information related to the and a reset unit that monitors a detection index and resets the detection index used in the detection process when an extreme value of the detection index is detected.
  • the detection process is performed based on the detection index that increases or decreases according to the relationship between the observation result of the message and the reference information related to the observation result, and the detection index is reset when an extreme value of the detection index is detected.
  • detection processing can be performed based on the reset detection index.
  • the reference information may be a past reception interval of the message calculated based on the observation result, and the calculation unit is calculated based on the observation result.
  • moving average value of the message reception intervals using the message reception intervals and the past message reception intervals, The moving average value that increases or decreases accordingly may be calculated for each message as the detection index.
  • detection processing can be performed using a moving average value that is likely to change according to the occurrence of anomalies in the network, so occurrence of anomalies can be detected early.
  • the detection unit may determine that an abnormality has occurred in the network when the detection index is less than a predetermined threshold value, and the reset unit may determine that an abnormality has occurred in the network.
  • the detection index used in the detection process may be reset.
  • the reference information may be an average value of reception intervals of the messages
  • the calculation unit calculates the reception intervals of the messages calculated based on the observation result, Using the average value and the standard deviation of the message reception interval, the statistical value of the message reception interval, which increases or decreases according to the magnitude of the difference between the message reception interval and the average value A statistic may be calculated for each message as the detection indicator.
  • the detection unit may determine that an abnormality has occurred in the network when the detection index is greater than a predetermined threshold value, and the reset unit may determine that an abnormality has occurred in the network.
  • the detection index used in the detection process may be reset.
  • a detection method is a detection method in a detection device for detecting anomalies in a network in which a plurality of messages including periodic messages are transmitted and received, wherein observation results of the plurality of messages and calculating a detection index that increases or decreases according to the relationship with the reference information related to the observation result; performing a detection process for detecting an anomaly in the network based on the calculated detection index; monitoring and resetting the sensing metric used in the sensing process if an extreme value of the sensing metric is detected.
  • the detection process is performed based on the detection index that increases or decreases according to the relationship between the observation result of the message and the reference information related to the observation result, and the detection index is reset when an extreme value of the detection index is detected.
  • detection processing can be performed based on the reset detection index.
  • FIG. 1 is a diagram showing the configuration of a communication system according to an embodiment of the present disclosure.
  • communication system 301 includes relay device 101 and a plurality of communication devices 111 .
  • Communication system 301 is mounted on a vehicle, for example.
  • communication device 111 is, for example, an in-vehicle ECU (Electronic Control Unit).
  • the relay device 101 and the communication device 111 constitute a network 201. More specifically, relay device 101 and communication device 111 are connected to each other via transmission line 10 .
  • the transmission line 10 is, for example, CAN (Controller Area Network) (registered trademark), FlexRay (registered trademark), MOST (Media Oriented Systems Transport) (registered trademark), Ethernet (registered trademark), and LIN (Local Interconnect Network). It is a cable that complies with the standards of
  • the relay device 101 can communicate with the communication device 111.
  • the relay device 101 performs relay processing for relaying information exchanged between a plurality of communication devices 111 connected to different transmission lines 10, for example.
  • a plurality of messages including periodically transmitted messages are transmitted and received.
  • periodic message is not limited to strictly periodic messages, but means messages of a type that should be periodically transmitted.
  • messages that are irregularly transmitted from the communication device 111 to another communication device 111 via the relay device 101 in addition to the periodic messages are also referred to as event messages.
  • Transmission of messages by the communication device 111 may be performed by broadcasting, unicasting, or multicasting.
  • the relay device 101 functions as a detection device and detects an abnormality in the network 201. For example, relay device 101 detects the presence of an unauthorized message on network 201 as an anomaly in network 201 .
  • FIG. 2 is a diagram illustrating a configuration of a relay device according to an embodiment of the present disclosure
  • relay device 101 includes communication processing unit 11 , calculation unit 12 , reset unit 13 , detection unit 14 , storage unit 15 and multiple communication ports 16 .
  • a part or all of the communication processing unit 11, the calculation unit 12, the reset unit 13, and the detection unit 14 are realized by, for example, a processing circuit (circuitry) including one or more processors.
  • the storage unit 15 is, for example, a flash memory included in the processing circuit.
  • Communication port 16 is, for example, a connector or terminal.
  • a transmission line 10 is connected to each communication port 16 .
  • the communication processing unit 11 performs relay processing for relaying messages transmitted between the communication devices 111 . For example, when the communication processing unit 11 receives a message from the communication device 111 via the corresponding transmission line 10 and the corresponding communication port 16, it generates a message CP that is a copy of the received message, and adds the received message CP to the generated message CP. Adds a timestamp indicating the time the message was received. Then, the communication processing unit 11 transmits the received message to the other communication device 111 via the corresponding communication port 16 and the corresponding transmission line 10 and outputs the time-stamped message CP to the calculation unit 12 .
  • the calculation unit 12 calculates a detection index that increases or decreases according to the relationship between the reception time of the message and the reference information regarding the reception time.
  • the reception time of the message is an example of the observation result of the message.
  • the calculation unit 12 acquires the reception time t of the message to be detected by the relay device 101 among the messages relayed by the communication processing unit 11 .
  • a message to be detected by the relay device 101 is also referred to as a target message.
  • the target message may be one type of message transmitted from one communication device 111 or multiple types of messages transmitted from each of a plurality of communication devices 111 .
  • An example in which the relay device 101 performs detection processing with a message transmitted from a communication device 111 as the "target message M" will be described below.
  • the storage unit 15 stores an ID for each type of target message.
  • the ID of the target message M will also be referred to as a target ID.
  • the calculation unit 12 receives the message CP from the communication processing unit 11 and confirms the ID included in the received message CP and the target ID in the storage unit 15 .
  • the calculation unit 12 recognizes that the copy source message of the message CP is the target message M, and By referring to the given time stamp, the reception time t of the target message M is obtained.
  • the calculation unit 12 When the calculation unit 12 acquires the reception time t of the target message M, it calculates the difference between the reception time t and the reception time t of the previous target message M as the target message M reception interval x. More specifically, the calculator 12 calculates the (m ⁇ 1)-th target message M(m ⁇ 1), the reception interval xm of the target message Mm is calculated by subtracting the reception time t(m ⁇ 1). where m is a positive integer. The calculation unit 12 stores the calculated reception interval xm in the storage unit 15 .
  • the calculation unit 12 calculates a detection index using the calculated reception interval x. For example, the calculation unit 12 calculates the statistical value T of the reception interval x for each target message M using the standard deviation ⁇ of the reception interval x. The statistical value T indicates the degree of deviation of the reception interval x from the normal state. Statistical value T is an example of a detection index.
  • the calculator 12 calculates the anomaly degree Dm of the target message Mm according to the following equation (1).
  • ⁇ is the average value of the reception interval x and is an example of reference information regarding the target message M.
  • the standard deviation ⁇ and the average value ⁇ are stored in the storage unit 15 .
  • the standard deviation ⁇ is calculated in advance by the manufacturer of the communication system 301 based on the reception interval x and stored in the storage unit 15 .
  • the average value ⁇ is a value calculated in advance by the manufacturer of the communication system 301 based on the design value of the transmission cycle of the target message M in the network 201 and stored in the storage unit 15 in advance.
  • the calculation unit 12 periodically or irregularly calculates the standard deviation ⁇ and the average ⁇ based on a plurality of reception intervals x corresponding to a plurality of target messages M, and calculates the standard deviation ⁇ and the average ⁇ in the storage unit 15.
  • the value ⁇ may be updated to the calculated standard deviation ⁇ and mean ⁇ .
  • the calculator 12 calculates the statistical value Tm of the target message Mm according to the following equation (2).
  • the statistic value Tm of the target message Mm is a value obtained by subtracting the restriction parameter k from the sum of the statistic value T(m ⁇ 1) of the target message M(m ⁇ 1) and the degree of anomaly Dm. , and zero, whichever is greater.
  • the statistical value Tm increases or decreases according to the magnitude of the difference between the reception interval xm of the target message Mm and the average value ⁇ . Specifically, when the reception interval xm becomes a value greatly deviating from the average value ⁇ and the abnormality degree Dm becomes a value larger than the limit parameter k, the statistic value Tm of the target message Mm is A value larger than the statistical value T(m-1) of the message M(m-1).
  • the statistic value Tm of the target message Mm becomes zero, or The value is smaller than the statistical value T(m-1) of the target message M(m-1).
  • the calculation unit 12 After calculating the statistical value Tm, the calculation unit 12 stores the calculated statistical value Tm in the storage unit 15 .
  • the detection unit 14 performs detection processing for detecting an abnormality in the network 201 based on the statistical value T calculated by the calculation unit 12 . For example, the detection unit 14 detects the presence of an unauthorized message in the network 201 as an abnormality in the network 201 based on the statistical value T calculated by the calculation unit 12 and a predetermined threshold value Thx.
  • the detection unit 14 acquires the statistical value T calculated by the calculation unit 12 from the storage unit 15, and compares the acquired statistical value T with the threshold value Thx. The detection unit 14 determines that an abnormality has not occurred in the network 201 when the statistical value T is equal to or less than the threshold Thx. On the other hand, the detection unit 14 determines that an abnormality has occurred in the network 201 when the statistical value T is greater than the threshold value Thx.
  • FIG. 3 is a diagram showing an example of distribution of target messages and reception times received by the relay device according to the embodiment of the present disclosure.
  • the horizontal axis indicates time.
  • a plurality of target messages M received by communication processing unit 11 are legitimate periodic messages received at timings based on a predetermined transmission period Cm during a period from reception time t1 to reception time t12.
  • target messages M1 to M4, M6, M8, M10, and M12, and target messages M5 and M7 which are fraudulent messages BM received, for example, at timings based on the transmission cycle Cm during the period from reception time t5 to reception time t13.
  • M9, M11, M13 That is, during the period from reception time t5 to reception time t13, valid periodic messages and unauthorized periodic messages arrive alternately at relay apparatus 101.
  • FIG. 4 is a diagram showing an example of statistical values used for detection processing in the relay device according to the embodiment of the present disclosure.
  • the horizontal axis indicates time
  • the vertical axis indicates statistical values.
  • Statistical values T1 to T13 in FIG. 4 are statistical values T calculated by the calculation unit 12 according to the above-described equation (2) based on the reception times t1 to t13 of the target messages M1 to M13 shown in FIG.
  • communication processing unit 11 receives only valid target messages M1 to M4 transmitted at fixed transmission cycle Cm, and reception intervals x1 to x4 are received. is approximately equal to the average value ⁇ , the statistical values T1 to T4 calculated by the calculator 12 are zero.
  • the detection unit 14 determines that no abnormality has occurred in the network 201 during the period from the reception time t1 to the reception time t4. .
  • the communication processing unit 11 receives the fraudulent message BM. Since x13 is a value that deviates from the average value ⁇ , the statistical values T5 to T13 calculated by the calculator 12 gradually increase.
  • the detection unit 14 determines that an abnormality has occurred in the network 201 at reception time t9.
  • the detection unit 14 transmits alarm information indicating that an abnormality has occurred in the network 201 to a higher-level device outside the communication system 301 via the communication processing unit 11 .
  • a host device is, for example, a device such as a server that receives alarm information and performs predetermined processing.
  • the threshold Thx can be arbitrarily set by the network 201 manufacturer. For example, by setting threshold Thx to a smaller value, it is possible to determine that an abnormality has occurred in network 201 earlier after transmission of an unauthorized message in network 201 has started.
  • FIG. 5 is a diagram showing an example of distribution of target messages and reception times received by the relay device according to the embodiment of the present disclosure.
  • the horizontal axis indicates time.
  • FIG. 5 shows target messages M14 to M16 received by the communication processing unit 11 at reception times t14 to t16 after reception time t13 shown in FIG.
  • the target messages M14 to M16 received by the communication processing unit 11 are legitimate periodic messages transmitted at the transmission period Cm during the period from reception time t14 to reception time t16. That is, at the reception time t13, the arrival of the unauthorized message to the relay device 101 has ended.
  • FIG. 6 is a diagram illustrating an example of statistical values used for detection processing in a relay device according to a comparative example of the embodiment of the present disclosure;
  • the horizontal axis indicates time, and the vertical axis indicates statistical values.
  • Statistical values T4 to T16 in FIG. 6 are statistical values T calculated by the calculation unit 12 according to the above-described equation (2) based on the reception times t4 to t16 of the target messages M4 to M16 shown in FIG.
  • the network 201 since the statistical values T14 to T16 are larger than the threshold value Thx, in addition to the period from the reception time t9 to the reception time t13, the network 201 It is determined that an abnormality has occurred in That is, when the relay device according to the comparative example performs the detection processing based on the statistical values T14 to T16, the arrival of the unauthorized message has ended at the reception time t13, and the network 201 has not been attacked. In spite of this, the end of arrival of the unauthorized message cannot be detected, and it is determined that the abnormality in the network 201 continues.
  • the relay device 101 solves the above problem with the following configuration.
  • the reset unit 13 monitors the statistical value T, and resets the statistical value T used in the detection process when the maximum value of the statistical value T is detected. For example, the reset unit 13 determines whether or not the statistical value T is the maximum value. If the reset unit 13 determines that the statistic value T at a certain timing is the maximum value and the statistic value T is greater than the threshold value Thx, the reset unit 13 resets the statistic value T at the timing for updating.
  • the detecting unit 14 determines that the statistical value T is not the maximum value by the reset unit 13, or The detection process based on the statistical value T waits until the value T is updated.
  • the detection unit 14 performs detection processing based on the statistical value T.
  • the detection unit 14 performs detection processing based on the updated statistical value T.
  • the detection unit 14 may sequentially perform detection processing based on the statistical value T each time the reset unit 13 determines that the statistical value T is not the maximum value or the statistical value T is updated. Alternatively, a predetermined number of statistical values T determined by the reset unit 13 to be not the maximum value or updated may be accumulated, and based on the accumulated statistical values T, detection processing may be performed ex post facto.
  • FIG. 7 is a diagram showing an example of statistical values used for detection processing in the relay device according to the embodiment of the present disclosure.
  • the horizontal axis indicates time
  • the vertical axis indicates statistical values.
  • Statistical values T4 to T13 in FIG. 7 are statistical values T calculated by the calculation unit 12 according to the above-described equation (2) based on the reception times t4 to t13 of the target messages M4 to M13 shown in FIG.
  • Statistical values T14 to T16 in FIG. 7 are calculated by the calculating unit 12 according to the above equation (2) based on the receiving times t14 to t16 of the target messages M14 to M16, and the statistical values T updated by the resetting unit 13. is.
  • reset unit 13 monitors statistical value T stored in storage unit 15 by calculating unit 12, and determines that two statistical values T, ie, statistical value T(m ⁇ 1) and statistical value Tm are consecutive. and the two statistical values T(m+1) and T(m+2) are continuously decreasing, it is determined that the statistical value Tm is the maximum value.
  • the reset unit 13 refers to the storage unit 15, the statistical value T13 has increased from the statistical value T12, the statistical value T14 has increased from the statistical value T13, and the statistical value T15 has increased from the statistical value T14. and the statistical value T16 is reduced from the statistical value T15. Since the statistical values T13 and T14 are continuously increasing and the statistical values T15 and T16 are continuously decreasing, the reset unit 13 determines that the statistical value T14 is the maximum value.
  • the reset unit 13 updates the statistical value T14 in the storage unit 15 to, for example, a reset value of zero. Further, the reset unit 13 updates the other statistical values T15 and T16 calculated after the calculation timing of the statistical value T14 and stored in the storage unit 15 based on the updated statistical value T14. More specifically, the reset unit 13 uses the updated statistical value T14 to calculate the statistical value T15 according to the above-described formula (2).
  • the reset unit 13 After calculating the statistical value T15, the reset unit 13 updates the statistical value T15 in the storage unit 15 to the calculated statistical value T15.
  • the reset unit 13 similarly calculates the statistical value T16, and updates the statistical value T16 in the storage unit 15 to the calculated statistical value T16.
  • the detection unit 14 determines that no abnormality has occurred in the network 201 during the period from reception times t14 to t16 because the statistical values T14 to T16 after updating by the reset unit 13 are equal to or less than the threshold value Thx. That is, the detection unit 14 determines that the abnormal state that started at the reception time t9 ended by the reception time t13.
  • the configuration in which the detection unit 14 performs the detection processing based on the reset statistical value T14 makes it possible for the relay apparatus 101 to perform fraudulent operations more effectively than the configuration in which the detection processing is performed based on the non-reset statistical value T14.
  • FIG. 8 is a diagram showing another example of distribution of target messages and reception times received by the relay device according to the embodiment of the present disclosure.
  • the horizontal axis indicates time.
  • a plurality of target messages M received by communication processing unit 11 are legitimate periodic messages received at timings based on transmission period Cm during the period from reception time t1 to reception time t11.
  • Target messages M1, M3, M4, M6, M7, M9 to M11, and unauthorized messages BM received at timings based on, for example, a cycle that is twice the transmission cycle Cm during the period from reception time t2 to reception time t8.
  • FIG. 9 is a diagram showing an example of statistical values used for detection processing in the relay device according to the embodiment of the present disclosure.
  • the horizontal axis indicates time, and the vertical axis indicates statistical values.
  • Statistical values T1 to T8 in FIG. 9 are statistical values T calculated by the calculation unit 12 according to the above-described equation (2) based on the reception times t1 to t8 of the target messages M1 to M8 shown in FIG.
  • Statistical values T9 to T11 in FIG. 9 are calculated by the calculating unit 12 according to the above equation (2) based on the reception times t9 to t11 of the target messages M9 to M11, and the statistical values T updated by the resetting unit 13. is.
  • communication processing unit 11 receives unauthorized target message M2 at reception time t2 before transmission cycle Cm elapses from reception time t1 of legitimate target message M1, and transmission cycle Cm starts from reception time t1. Since the valid target message M3 is received by the communication processing unit 11 at the reception time t3 after Cm has elapsed, the statistical values T2 and T3 calculated by the calculation unit 12 gradually increase.
  • the statistical value T4 calculated by the calculating unit 12 decreases from the statistical value T3.
  • the communication processing unit 11 receives the unauthorized target message M5, and at reception time t6 after the transmission cycle Cm elapses from reception time t4, the valid message M5 is received.
  • the target message M6 is received by the communication processing unit 11 . Therefore, the statistical values T5 and T6 calculated by the calculator 12 gradually increase, and the statistical values T5 and T6 exceed the threshold value Thx. Since the statistical value T5 calculated by the calculation unit 12 is larger than the threshold value Thx, the detection unit 14 determines that an abnormality has occurred in the network 201 at the reception time t5.
  • the statistical value T7 calculated by the calculating unit 12 decreases from the statistical value T6. .
  • an unauthorized target message M8 is received by the communication processing unit 11 at reception time t8 before the transmission cycle Cm has passed since reception time t7, and is valid at reception time t9 after transmission cycle Cm has passed since reception time t7. Since the target message M9 is received by the communication processing unit 11, the statistical values T8 and T9 calculated by the calculation unit 12 gradually increase.
  • the valid target message M10 is received by the communication processing unit 11 at the reception time t10 after the transmission cycle Cm has passed since the reception time t9, and the valid target message M11 is received at the reception time t11 after the transmission cycle Cm has passed since the reception time t10. Since M11 is received by the communication processing unit 11, the statistical values T10 and T11 calculated by the calculating unit 12 gradually decrease from the statistical value T9.
  • the reset unit 13 determines that the statistical value T9 is the maximum value because the statistical values T8 and T9 are continuously increasing and the statistical values T10 and T11 are continuously decreasing. Then, the reset unit 13 updates the statistical value T9 to the reset value because the statistical value T9 determined to be the maximum value is greater than the threshold value Thx. Furthermore, the reset unit 13 updates the statistical value T10 calculated by the calculating unit 12 to the statistical value T10 calculated using the updated statistical value T9, and updates the statistical value T11 calculated by the calculating unit 12. It is updated to the statistical value T11 calculated using the later statistical value T10.
  • the detection unit 14 determines that no abnormality has occurred in the network 201 during the period from reception time t9 to t11. That is, the detection unit 14 determines that the abnormal state that started at the reception time t5 ended by the reception time t8.
  • FIG. 10 is a diagram showing another example of distribution of target messages and reception times received by the relay device according to the embodiment of the present disclosure.
  • the horizontal axis indicates time.
  • a plurality of target messages M received by communication processing unit 11 are legitimate periodic messages received at timings based on transmission period Cm during the period from reception time t1 to reception time t12.
  • FIG. 11 is a diagram showing an example of statistical values used for detection processing in the relay device according to the embodiment of the present disclosure.
  • the horizontal axis indicates time, and the vertical axis indicates statistical values.
  • Statistical values T1 to T9 in FIG. 11 are statistical values T calculated by the calculation unit 12 according to the above-described equation (2) based on the reception times t1 to t9 of the target messages M1 to M9 shown in FIG.
  • Statistical values T10 to T12 in FIG. 11 are calculated by the calculating unit 12 according to the above equation (2) based on the reception times t10 to t12 of the target messages M10 to M12, and the statistical values T updated by the resetting unit 13. is.
  • communication processing unit 11 receives unauthorized target message M2 at reception time t2 before transmission cycle Cm elapses from reception time t1 of legitimate target message M1, and transmission cycle starts from reception time t1. Since the valid target message M3 is received by the communication processing unit 11 at the reception time t3 after Cm has elapsed, the statistical values T2 and T3 calculated by the calculation unit 12 gradually increase.
  • the statistical value T4 calculated by the calculating unit 12 decreases from the statistical value T3.
  • the communication processing unit 11 receives the valid target message M5 and the illegal target message M6, which are transmitted irregularly, respectively, and The valid target message M7 is received by the communication processing unit 11 at the reception time t7 after the transmission period Cm has elapsed from the reception time t4. Therefore, the statistical values T5, T6, T7 calculated by the calculation unit 12 gradually increase, and the statistical values T6, T7 exceed the threshold value Thx. Since the statistical value T6 calculated by the calculation unit 12 is larger than the threshold value Thx, the detection unit 14 determines that an abnormality has occurred in the network 201 at the reception time t6.
  • the statistical value T8 calculated by the calculating unit 12 decreases from the statistical value T7. .
  • the communication processing unit 11 receives the unauthorized target message M9, and at reception time t10 after the transmission cycle Cm elapses from reception time t8, the valid message M9 is received. Since the target message M10 is received by the communication processing unit 11, the statistical values T9 and T10 calculated by the calculation unit 12 gradually increase.
  • the valid target message M11 is received by the communication processing unit 11 at the reception time t11 after the transmission cycle Cm has passed since the reception time t10, and the valid target message M11 is received at the reception time t12 after the transmission cycle Cm has passed since the reception time t11. Since M12 is received by the communication processing unit 11, the statistical values T11 and T12 calculated by the calculating unit 12 gradually decrease from the statistical value T10.
  • the reset unit 13 determines that the statistical value T10 is the maximum value. Then, the reset unit 13 updates the statistical value T10 to the reset value because the statistical value T10 determined to be the maximum value is greater than the threshold value Thx. Furthermore, the reset unit 13 updates the statistical value T11 calculated by the calculating unit 12 to the statistical value T11 calculated using the updated statistical value T10, and updates the statistical value T12 calculated by the calculating unit 12. The statistical value is updated to the statistical value T12 calculated using the later statistical value T11.
  • the detection unit 14 determines that no abnormality has occurred in the network 201 during the period from reception times t10 to t12.
  • the relay device 101 may be configured to perform detection processing based on a detection index other than the statistical value T.
  • the calculation unit 12 calculates the detection index using a moving average of the receiving interval x of the target message M.
  • the calculation unit 12 calculates, for each target message M, the moving average value A of the reception interval x of the latest p target messages M received by the communication processing unit 11 .
  • p is an integer of 2 or more.
  • the moving average value A is an example of a detection index.
  • the calculation unit 12 calculates the reception interval xm of the target message Mm, the reception interval xm and the past target messages M(m ⁇ 1), M(m ⁇ 2) . . . M(m ⁇ p+1) receiving intervals x(m ⁇ 1), x(m ⁇ 2), .
  • the reception intervals x(m ⁇ 1), x(m ⁇ 2), . . . , x(m ⁇ p+1) are also referred to as reference intervals rm.
  • the moving average value Am increases or decreases according to the magnitude relationship between the reception interval xm of the target message Mm and the reference interval rm.
  • the moving average value A calculated by the calculation unit 12 is gradually decreases during the period of
  • the detection unit 14 performs detection processing based on the moving average value A calculated by the calculation unit 12 .
  • the detection unit 14 detects an abnormality in the network 201 based on the moving average value A calculated by the calculation unit 12 and a predetermined threshold value Thy.
  • the detection unit 14 compares the moving average value A calculated by the calculation unit 12 with the threshold value Thy. If the moving average value A is greater than or equal to the threshold value Thy, the detection unit 14 determines that an abnormality has not occurred in the network 201 . On the other hand, when the moving average value A is less than the threshold value Thy, the detection unit 14 determines that an abnormality has occurred in the network 201 .
  • the reset unit 13 monitors the moving average value A, and resets the moving average value A used in the detection process when the minimum value of the moving average value A is detected. For example, the reset unit 13 determines whether the moving average value A is the minimum value in the same manner as the procedure for determining whether the statistical value T is the maximum value. The reset unit 13 updates the moving average value A by resetting it when determining that the moving average value A is a minimum value and when the moving average value A is less than the threshold value Thy.
  • the detection unit 14 performs detection processing based on the updated moving average value A.
  • FIG. 12 is a flowchart that defines an example of an operation procedure when the relay device according to the embodiment of the present disclosure performs detection processing.
  • relay device 101 waits for arrival of a message (NO in step S102), and upon receiving a message (YES in step S102), determines whether or not the received message is target message M. It judges (step S104).
  • the relay device 101 determines that the received message is not the target message M (NO in step S106), it waits for the arrival of a new message (NO in step S102).
  • the relay device 101 determines that the received message is the target message M (YES in step S106)
  • the statistic value T is calculated using the reception time t of the target message M.
  • the relay device 101 stores the calculated statistical value T in the storage unit 15 (step S108).
  • the relay device 101 determines whether or not the statistical value T calculated a predetermined number of times before is the maximum value (step S110).
  • the relay apparatus 101 determines that the statistical value T calculated a predetermined number of times before is not the maximum value (NO in step S112), it performs detection processing based on the statistical value T (step S116).
  • the relay apparatus 101 determines that the statistical value T calculated a predetermined number of times before is the maximum value (YES in step S112), the statistical value T is reset and updated. Also, the relay apparatus 101 updates another statistical value T calculated after the calculation timing of the statistical value T and stored in the storage unit 15 based on the updated statistical value T (step S114).
  • the relay device 101 performs detection processing based on the updated statistical value T (step S116).
  • relay device 101 determines that no abnormality has occurred in network 201 (NO in step S118)
  • relay device 101 waits for the arrival of a new message (NO in step S102).
  • relay device 101 determines that an abnormality has occurred in network 201 (YES in step S118)
  • relay device 101 transmits alarm information indicating that an abnormality has occurred in network 201 to a host device outside communication system 301 (step S120).
  • the relay device 101 waits for the arrival of a new message (NO in step S102).
  • the configuration is not limited to this.
  • a device other than the relay device 101 may function as a detection device and detect an abnormality in the network 201 .
  • communication system 301 comprises a sensing device connected to relay device 101 via transmission line 10 .
  • the relay device 101 Upon receiving a message from the communication device 111 , the relay device 101 transmits a mirror message, which is a copy of the received message, to the detection device via the transmission line 10 .
  • the detection device calculates a detection index and performs detection processing based on the reception time in the relay device 101 of the mirror message received from the relay device 101 .
  • the communication system 301 has a configuration in which the relay device 101 functioning as a detection device is directly connected to the transmission line 10, the configuration is not limited to this.
  • FIG. 13 is a diagram showing an example of a network connection topology according to the embodiment of the present disclosure.
  • detection device 151 may be configured to be connected to transmission line 10 via communication device 111 .
  • the detection device 151 detects an abnormality in the network 201 by monitoring messages transmitted and received by the communication device 111, for example.
  • detection device 151 includes calculation unit 12 , reset unit 13 , detection unit 14 and storage unit 15 .
  • the calculation unit 12 in the detection device 151 acquires the reception time t of the target message M received by the communication device 111 and calculates the statistical value T based on the acquired reception time t.
  • the calculation unit 12 is configured to calculate the statistic value T of the reception interval x, but the configuration is not limited to this.
  • the calculation unit 12 is configured to periodically or irregularly calculate the communication load of the target message M, and calculate a detection index such as the statistical value T based on the communication load instead of the reception interval x.
  • a communication load is an example of a message observation result.
  • the calculation unit 12 is configured to calculate the degree of abnormality Dm according to Equation (1), but the configuration is not limited to this. For example, when the reception interval xm satisfies the following expression (3), the calculation unit 12 calculates the abnormality degree Dm according to the expression (1), while when the reception interval xm satisfies the following expression (4), The degree of abnormality Dm is determined according to the formula (5).
  • n is a preset constant based on the frequency distribution of legitimate periodic messages.
  • FIG. 14 is a diagram showing an example of the degree of anomaly calculated by the calculator in the relay device according to the embodiment of the present disclosure.
  • the horizontal axis indicates the square of the difference between the reception interval xm and the average value ⁇
  • the vertical axis indicates the degree of abnormality Dm.
  • the target message which is a legitimate event message received by communication processing unit 11
  • the anomaly degree Dm of the target message Mm is a value equal to or less than the square of n. It is possible to suppress a large increase in T and suppress the occurrence of erroneous detection of abnormality in the normal state where the abnormal state has been resolved.
  • the reset unit 13 continuously increases the two statistical values T, ie, the statistical value T(m ⁇ 1) and the statistical value Tm, and the statistical value
  • the reset unit 13 resets a number of statistical values T from the statistical value T(m ⁇ a+1) to the statistical value Tm that are continuously increasing, and from the statistical value T(m+1) to the statistical value T(m+b):
  • a configuration may be adopted in which, when the b statistical values T are continuously decreasing, the statistical value Tm is determined to be the maximum value.
  • a and b are integers of 2 or more.
  • the calculation unit 12 calculates a detection index that increases or decreases according to the relationship between the observation result of the target message M and the reference information related to the observation result. .
  • the detection unit 14 performs detection processing for detecting an abnormality in the network 201 based on the detection index calculated by the calculation unit 12 .
  • the reset unit 13 monitors the detection index, and resets the detection index used in the detection process when an extreme value of the detection index is detected.
  • an extreme value means a maximum value or a minimum value.
  • the detection process is performed based on the detection index that increases or decreases according to the relationship between the observation result of the message and the reference information related to the observation result, and the detection index is reset when an extreme value of the detection index is detected.
  • detection processing can be performed based on the reset detection index.
  • Each process (each function) of the above-described embodiment is realized by a processing circuit (circuitry) including one or more processors.
  • the processing circuit may be configured by an integrated circuit or the like in which one or more memories, various analog circuits, and various digital circuits are combined in addition to the one or more processors.
  • the one or more memories store programs (instructions) that cause the one or more processors to execute the processes.
  • the one or more processors may execute the above processes according to the program read from the one or more memories, or execute the above processes according to a logic circuit designed in advance to execute the above processes. may be executed.
  • the above processors are CPU (Central Processing Unit), GPU (Graphics Processing Unit), DSP (Digital Signal Processor), FPGA (Field Programmable Gate Array), and ASIC (Application Specific Integrate d Circuit), etc., which are suitable for computer control processor.
  • the plurality of physically separated processors may cooperate with each other to execute the above processes.
  • the processors installed in each of a plurality of physically separated computers cooperate with each other via networks such as LAN (Local Area Network), WAN (Wide Area Network), and the Internet to perform each of the above processes. may be executed.
  • the program may be installed in the memory from an external server device or the like via the network, and may be CD-ROM (Compact Disc Read Only Memory), DVD-ROM (Digital Versatile Disk Read Only Memory), and semiconductor It may be distributed in a state stored in a recording medium such as a memory, and installed in the memory from the recording medium.
  • CD-ROM Compact Disc Read Only Memory
  • DVD-ROM Digital Versatile Disk Read Only Memory
  • semiconductor It may be distributed in a state stored in a recording medium such as a memory, and installed in the memory from the recording medium.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Environmental & Geological Engineering (AREA)
  • Health & Medical Sciences (AREA)
  • Cardiology (AREA)
  • General Health & Medical Sciences (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Maintenance And Management Of Digital Transmission (AREA)
  • Debugging And Monitoring (AREA)

Abstract

検知装置は、周期メッセージを含む複数のメッセージが送受信されるネットワークにおける異常を検知する検知装置であって、前記複数のメッセージの観測結果と、前記観測結果に関する参照情報との関係に応じて増減する検知指標を算出する算出部と、前記算出部により算出された前記検知指標に基づいて、前記ネットワークにおける異常を検知する検知処理を行う検知部と、前記検知指標を監視し、前記検知指標の極値を検出した場合、前記検知処理において用いる前記検知指標をリセットするリセット部とを備える。

Description

検知装置および検知方法
　本開示は、検知装置および検知方法に関する。
　この出願は、２０２１年１２月２８日に出願された日本出願特願２０２１－２１４１７１号を基礎とする優先権を主張し、その開示のすべてをここに取り込む。
　特許文献１（国際公開第２０２１／１１１６８５号）には、以下のような検知装置が開示されている。すなわち、検知装置は、車載ネットワークにおける不正メッセージを検知する検知装置であって、前記車載ネットワークにおいて送信される周期メッセージの受信間隔の分布である対象分布を取得する取得部と、前記取得部によって取得された前記対象分布の一部を所定の基準に従って抽出する抽出部と、前記抽出部によって抽出された前記対象分布の一部に基づいて、前記不正メッセージを検知する検知処理を行う検知部とを備える。
国際公開第２０２１／１１１６８５号
　本開示の検知装置は、周期メッセージを含む複数のメッセージが送受信されるネットワークにおける異常を検知する検知装置であって、前記複数のメッセージの観測結果と、前記観測結果に関する参照情報との関係に応じて増減する検知指標を算出する算出部と、前記算出部により算出された前記検知指標に基づいて、前記ネットワークにおける異常を検知する検知処理を行う検知部と、前記検知指標を監視し、前記検知指標の極値を検出した場合、前記検知処理において用いる前記検知指標をリセットするリセット部とを備える。
　本開示の検知方法は、周期メッセージを含む複数のメッセージが送受信されるネットワークにおける異常を検知する検知装置、における検知方法であって、前記複数のメッセージの観測結果と、前記観測結果に関する参照情報との関係に応じて増減する検知指標を算出するステップと、算出した前記検知指標に基づいて、前記ネットワークにおける異常を検知する検知処理を行うステップと、前記検知指標を監視し、前記検知指標の極値を検出した場合、前記検知処理において用いる前記検知指標をリセットするステップとを含む。
　本開示の一態様は、このような特徴的な処理部を備える検知装置として実現され得るだけでなく、かかる特徴的な処理のステップをコンピュータに実行させるためのプログラムとして実現され得たり、検知装置の一部または全部を実現する半導体集積回路として実現され得たり、検知装置を含むシステムとして実現され得る。
図１は、本開示の実施の形態に係る通信システムの構成を示す図である。 図２は、本開示の実施の形態に係る中継装置の構成を示す図である。 図３は、本開示の実施の形態に係る中継装置により受信される対象メッセージおよび受信時刻の分布の一例を示す図である。 図４は、本開示の実施の形態に係る中継装置において検知処理に用いられる統計値の一例を示す図である。 図５は、本開示の実施の形態に係る中継装置により受信される対象メッセージおよび受信時刻の分布の一例を示す図である。 図６は、本開示の実施の形態の比較例に係る中継装置において検知処理に用いられる統計値の一例を示す図である。 図７は、本開示の実施の形態に係る中継装置において検知処理に用いられる統計値の一例を示す図である。 図８は、本開示の実施の形態に係る中継装置により受信される対象メッセージおよび受信時刻の分布の他の例を示す図である。 図９は、本開示の実施の形態に係る中継装置において検知処理に用いられる統計値の一例を示す図である。 図１０は、本開示の実施の形態に係る中継装置により受信される対象メッセージおよび受信時刻の分布の他の例を示す図である。 図１１は、本開示の実施の形態に係る中継装置において検知処理に用いられる統計値の一例を示す図である。 図１２は、本開示の実施の形態に係る中継装置が検知処理を行う際の動作手順の一例を定めたフローチャートである。 図１３は、本開示の実施の形態に係るネットワークの接続トポロジの一例を示す図である。 図１４は、本開示の実施の形態に係る中継装置における算出部により算出される異常度の一例を示す図である。
　従来、ネットワークにおけるセキュリティを向上させるための技術が提案されている。
　［本開示が解決しようとする課題］
　特許文献１に記載の技術を超えて、ネットワークにおける異常をより正しく検知することが可能な技術が望まれる。
　本開示は、上述の課題を解決するためになされたもので、その目的は、ネットワークにおける異常をより正しく検知することが可能な検知装置および検知方法を提供することである。
　［本開示の効果］
　本開示によれば、ネットワークにおける異常をより正しく検知することができる。
　［本開示の実施形態の説明］
　最初に、本開示の実施形態の内容を列記して説明する。
　（１）本開示の実施の形態に係る検知装置は、周期メッセージを含む複数のメッセージが送受信されるネットワークにおける異常を検知する検知装置であって、前記複数のメッセージの観測結果と、前記観測結果に関する参照情報との関係に応じて増減する検知指標を算出する算出部と、前記算出部により算出された前記検知指標に基づいて、前記ネットワークにおける異常を検知する検知処理を行う検知部と、前記検知指標を監視し、前記検知指標の極値を検出した場合、前記検知処理において用いる前記検知指標をリセットするリセット部とを備える。
　このように、メッセージの観測結果と当該観測結果に関する参照情報との関係に応じて増減する検知指標に基づいて検知処理を行い、検知指標の極値を検出した場合において検知指標をリセットする構成により、たとえばネットワークにおける異常な状態が解消されることにより検知指標の増減傾向が変化した場合において、リセットされた検知指標に基づいて検知処理を行うことができる。これにより、ネットワークにおいて異常な状態が解消されたことをより早期に検知し、異常な状態が解消された正常状態における異常の誤検知を抑制することができる。したがって、ネットワークにおける異常をより正しく検知することができる。
　（２）上記（１）において、前記参照情報は、前記観測結果に基づいて算出される過去の前記メッセージの受信間隔であってもよく、前記算出部は、前記観測結果に基づいて算出される前記メッセージの受信間隔と、前記過去のメッセージの受信間隔とを用いて、前記メッセージの受信間隔の移動平均値であって、前記メッセージの受信間隔と前記過去のメッセージの受信間隔との大小関係に応じて増減する前記移動平均値を、前記検知指標として前記メッセージごとに算出してもよい。
　このような構成により、簡易な処理で検知指標を算出することができる。また、ネットワークにおける異常の発生に応じて変化し易い移動平均値を用いて検知処理を行うことができるので、異常の発生を早期に検知することができる。
　（３）上記（２）において、前記検知部は、前記検知指標が所定のしきい値未満である場合、前記ネットワークにおける異常が発生していると判定してもよく、前記リセット部は、前記極値として前記検知指標の極小値を検出した場合、前記検知処理において用いる前記検知指標をリセットしてもよい。
　このような構成により、ネットワークにおける異常な状態が解消されることにより移動平均値が減少傾向から増加傾向に転じた場合において、リセットされた移動平均値に基づいて、ネットワークにおける異常をより正しく検知することができる。
　（４）上記（１）において、前記参照情報は、前記メッセージの受信間隔の平均値であってもよく、前記算出部は、前記観測結果に基づいて算出される前記メッセージの受信間隔と、前記平均値と、前記メッセージの受信間隔の標準偏差とを用いて、前記メッセージの受信間隔の統計値であって、前記メッセージの受信間隔と前記平均値との差分の大きさに応じて増減する前記統計値を、前記検知指標として前記メッセージごとに算出してもよい。
　このような構成により、メッセージの受信間隔の、平均値すなわち正常値からの逸脱度合いを示す統計値に基づいて、ネットワークにおける異常をより正確に検知することができる。
　（５）上記（４）において、前記検知部は、前記検知指標が所定のしきい値よりも大きい場合、前記ネットワークにおける異常が発生していると判定してもよく、前記リセット部は、前記極値として前記検知指標の極大値を検出した場合、前記検知処理において用いる前記検知指標をリセットしてもよい。
　このような構成により、ネットワークにおける異常な状態が解消されることにより統計値が増加傾向から減少傾向に転じた場合において、リセットされた統計値に基づいて、ネットワークにおける異常をより正しく検知することができる。
　（６）本開示の実施の形態に係る検知方法は、周期メッセージを含む複数のメッセージが送受信されるネットワークにおける異常を検知する検知装置、における検知方法であって、前記複数のメッセージの観測結果と、前記観測結果に関する参照情報との関係に応じて増減する検知指標を算出するステップと、算出した前記検知指標に基づいて、前記ネットワークにおける異常を検知する検知処理を行うステップと、前記検知指標を監視し、前記検知指標の極値を検出した場合、前記検知処理において用いる前記検知指標をリセットするステップとを含む。
　このように、メッセージの観測結果と当該観測結果に関する参照情報との関係に応じて増減する検知指標に基づいて検知処理を行い、検知指標の極値を検出した場合において検知指標をリセットする方法により、たとえばネットワークにおける異常な状態が解消されることにより検知指標の増減傾向が変化した場合において、リセットされた検知指標に基づいて検知処理を行うことができる。これにより、ネットワークにおいて異常な状態が解消されたことをより早期に検知し、異常な状態が解消された正常状態における異常の誤検知を抑制することができる。したがって、ネットワークにおける異常をより正しく検知することができる。
　以下、本開示の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。
　［構成および基本動作］
　図１は、本開示の実施の形態に係る通信システムの構成を示す図である。図１を参照して、通信システム３０１は、中継装置１０１と、複数の通信装置１１１とを備える。通信システム３０１は、たとえば車両に搭載される。この場合、通信装置１１１は、たとえば車載ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）である。
　中継装置１０１および通信装置１１１は、ネットワーク２０１を構成する。より詳細には、中継装置１０１および通信装置１１１は、伝送線１０を介して互いに接続される。伝送線１０は、たとえば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）（登録商標）、ＦｌｅｘＲａｙ（登録商標）、ＭＯＳＴ（Ｍｅｄｉａ　Ｏｒｉｅｎｔｅｄ　Ｓｙｓｔｅｍｓ　Ｔｒａｎｓｐｏｒｔ）（登録商標）、イーサネット（登録商標）、およびＬＩＮ（Ｌｏｃａｌ　Ｉｎｔｅｒｃｏｎｎｅｃｔ　Ｎｅｔｗｏｒｋ）等の規格に従うケーブルである。
　中継装置１０１は、通信装置１１１と通信を行うことが可能である。中継装置１０１は、たとえば、異なる伝送線１０に接続された複数の通信装置１１１間でやり取りされる情報を中継する中継処理を行う。
　ネットワーク２０１では、周期的に送信されるメッセージを含む複数のメッセージが送受信される。
　より詳細には、ネットワーク２０１では、たとえば、所定の取り決めに従って、通信装置１１１から他の通信装置１１１へ中継装置１０１経由で周期的にメッセージが送信される。以下、ネットワーク２０１において周期的に送信されるメッセージを、周期メッセージとも称する。なお、「周期メッセージ」とは、厳密に周期的に送信されたメッセージに限らず、周期的に送信されるべき種類のメッセージを意味するものとする。
　また、ネットワーク２０１では、周期メッセージの他に、通信装置１１１から他の通信装置１１１へ中継装置１０１経由で不定期に送信されるメッセージが存在する。以下、ネットワーク２０１において不定期に送信されるメッセージを、イベントメッセージとも称する。
　通信装置１１１によるメッセージの送信は、ブロードキャストによって行われてもよいし、ユニキャストによって行われてもよいし、マルチキャストによって行われてもよい。
　中継装置１０１は、検知装置として機能し、ネットワーク２０１における異常を検知する。たとえば、中継装置１０１は、ネットワーク２０１における異常として、ネットワーク２０１における不正メッセージの存在を検知する。
　〔中継装置〕
　図２は、本開示の実施の形態に係る中継装置の構成を示す図である。図２を参照して、中継装置１０１は、通信処理部１１と、算出部１２と、リセット部１３と、検知部１４と、記憶部１５と、複数の通信ポート１６とを備える。通信処理部１１、算出部１２、リセット部１３および検知部１４の一部または全部は、たとえば、１または複数のプロセッサを含む処理回路（Ｃｉｒｃｕｉｔｒｙ）により実現される。記憶部１５は、たとえば上記処理回路に含まれるフラッシュメモリである。通信ポート１６は、たとえばコネクタまたは端子である。各通信ポート１６には、伝送線１０が接続される。
　通信処理部１１は、通信装置１１１間で伝送されるメッセージを中継する中継処理を行う。たとえば、通信処理部１１は、通信装置１１１から対応の伝送線１０および対応の通信ポート１６経由でメッセージを受信すると、受信したメッセージの複製であるメッセージＣＰを生成し、生成したメッセージＣＰに、受信したメッセージの受信時刻を示すタイムスタンプを付与する。そして、通信処理部１１は、受信したメッセージを他の通信装置１１１へ対応の通信ポート１６および対応の伝送線１０経由で送信し、タイムスタンプが付与されたメッセージＣＰを算出部１２へ出力する。
　（検知指標の算出）
　算出部１２は、メッセージの受信時刻と、当該受信時刻に関する参照情報との関係に応じて増減する検知指標を算出する。メッセージの受信時刻は、メッセージの観測結果の一例である。
　より詳細には、算出部１２は、通信処理部１１によって中継されるメッセージのうちの、中継装置１０１における検知処理の対象となるメッセージの受信時刻ｔを取得する。以下、中継装置１０１における検知処理の対象となるメッセージを、対象メッセージとも称する。対象メッセージは、１つの通信装置１１１から送信される１種類のメッセージであってもよいし、複数の通信装置１１１の各々から送信される複数種類のメッセージあってもよい。以下では、中継装置１０１が、ある通信装置１１１から送信されるメッセージを「対象メッセージＭ」として検知処理を行う例について説明する。
　たとえば、記憶部１５は、対象メッセージの種類ごとのＩＤを記憶している。以下、対象メッセージＭのＩＤを対象ＩＤとも称する。
　算出部１２は、通信処理部１１からメッセージＣＰを受けて、受けたメッセージＣＰに含まれるＩＤ、および記憶部１５における対象ＩＤを確認する。
　そして、算出部１２は、通信処理部１１から受けたメッセージＣＰに含まれるＩＤが対象ＩＤと一致する場合、当該メッセージＣＰの複製元のメッセージが対象メッセージＭであると認識し、当該メッセージＣＰに付与されたタイムスタンプを参照することにより、対象メッセージＭの受信時刻ｔを取得する。
　算出部１２は、対象メッセージＭの受信時刻ｔを取得すると、当該受信時刻ｔと、直前の対象メッセージＭの受信時刻ｔとの差分を対象メッセージＭの受信間隔ｘとして算出する。より詳細には、算出部１２は、通信処理部１１によって受信されたｍ番目の対象メッセージＭｍの受信時刻ｔｍから、通信処理部１１によって受信された（ｍ－１）番目の対象メッセージＭ（ｍ－１）の受信時刻ｔ（ｍ－１）を差し引くことにより、対象メッセージＭｍの受信間隔ｘｍを算出する。ここで、ｍは正の整数である。算出部１２は、算出した受信間隔ｘｍを記憶部１５に保存する。
　算出部１２は、算出した受信間隔ｘを用いて検知指標を算出する。たとえば、算出部１２は、受信間隔ｘの標準偏差σを用いて、受信間隔ｘの統計値Ｔを対象メッセージＭごとに算出する。統計値Ｔは、受信間隔ｘの、正常状態からの逸脱度合いを示す。統計値Ｔは、検知指標の一例である。
　より詳細には、算出部１２は、対象メッセージＭｍの受信間隔ｘｍを算出すると、以下の式（１）に従って、対象メッセージＭｍの異常度Ｄｍを算出する。
Figure JPOXMLDOC01-appb-M000001
　ここで、μは、受信間隔ｘの平均値であり、対象メッセージＭに関する参照情報の一例である。標準偏差σおよび平均値μは、記憶部１５に保存されている。たとえば、標準偏差σは、予め通信システム３０１の製造者により受信間隔ｘに基づいて算出され、記憶部１５に保存される。また、たとえば、平均値μは、予め通信システム３０１の製造者により、ネットワーク２０１における対象メッセージＭの送信周期の設計値に基づいて算出される値であり、予め記憶部１５に保存される。なお、算出部１２は、定期的または不定期に、複数の対象メッセージＭに対応する複数の受信間隔ｘに基づいて標準偏差σおよび平均値μを算出し、記憶部１５における標準偏差σおよび平均値μを、算出した標準偏差σおよび平均値μに更新してもよい。
　算出部１２は、対象メッセージＭｍの異常度Ｄｍを算出すると、以下の式（２）に従って、対象メッセージＭｍの統計値Ｔｍを算出する。
Figure JPOXMLDOC01-appb-M000002
　ここで、ｋは、制限パラメータである。制限パラメータｋは、予め設定された定数である。式（２）に示すように、対象メッセージＭｍの統計値Ｔｍは、対象メッセージＭ（ｍ－１）の統計値Ｔ（ｍ－１）と異常度Ｄｍとの和から制限パラメータｋを差し引いた値、およびゼロのうちの大きい方の値となる。
　式（１）および式（２）に示されるように、統計値Ｔｍは、対象メッセージＭｍの受信間隔ｘｍと、平均値μとの差分の大きさに応じて増減する。具体的には、受信間隔ｘｍが平均値μから大きく乖離した値となることにより、異常度Ｄｍが制限パラメータｋよりも大きな値となった場合、対象メッセージＭｍの統計値Ｔｍは、直前の対象メッセージＭ（ｍ－１）の統計値Ｔ（ｍ－１）よりも大きな値となる。一方、受信間隔ｘｍが平均値μに近い値となることにより、異常度Ｄｍが制限パラメータｋよりも小さな値となった場合、対象メッセージＭｍの統計値Ｔｍは、ゼロとなるか、または直前の対象メッセージＭ（ｍ－１）の統計値Ｔ（ｍ－１）よりも小さな値となる。
　算出部１２は、統計値Ｔｍを算出すると、算出した統計値Ｔｍを記憶部１５に保存する。
　（検知処理）
　検知部１４は、算出部１２により算出された統計値Ｔに基づいて、ネットワーク２０１における異常を検知する検知処理を行う。たとえば、検知部１４は、算出部１２により算出された統計値Ｔと、所定のしきい値Ｔｈｘとに基づいて、ネットワーク２０１における異常として、ネットワーク２０１における不正メッセージの存在を検知する。
　より詳細には、検知部１４は、算出部１２により算出された統計値Ｔを記憶部１５から取得し、取得した統計値Ｔとしきい値Ｔｈｘとを比較する。検知部１４は、統計値Ｔがしきい値Ｔｈｘ以下である場合、ネットワーク２０１における異常は発生していないと判定する。一方、検知部１４は、統計値Ｔがしきい値Ｔｈｘよりも大きい場合、ネットワーク２０１における異常が発生していると判定する。
　図３は、本開示の実施の形態に係る中継装置により受信される対象メッセージおよび受信時刻の分布の一例を示す図である。図３において、横軸は時刻を示している。
　図３を参照して、通信処理部１１により受信される複数の対象メッセージＭは、受信時刻ｔ１から受信時刻ｔ１２までの期間において、所定の送信周期Ｃｍに基づくタイミングで受信される正当な周期メッセージである対象メッセージＭ１～Ｍ４，Ｍ６，Ｍ８，Ｍ１０，Ｍ１２と、受信時刻ｔ５から受信時刻ｔ１３までの期間において、たとえば送信周期Ｃｍに基づくタイミングで受信される不正メッセージＢＭである対象メッセージＭ５，Ｍ７，Ｍ９，Ｍ１１，Ｍ１３とを含む。すなわち、受信時刻ｔ５から受信時刻ｔ１３までの期間において、正当な周期メッセージと不正な周期メッセージとが、中継装置１０１へ交互に到来する。
　図４は、本開示の実施の形態に係る中継装置において検知処理に用いられる統計値の一例を示す図である。図４において、横軸は時刻を示しており、縦軸は統計値を示している。図４における統計値Ｔ１～Ｔ１３は、図３に示す対象メッセージＭ１～Ｍ１３の受信時刻ｔ１～ｔ１３に基づいて、上述した式（２）に従って算出部１２により算出された統計値Ｔである。
　図４を参照して、受信時刻ｔ１から受信時刻ｔ４までの期間では、一定の送信周期Ｃｍで送信される正当な対象メッセージＭ１～Ｍ４のみが通信処理部１１により受信され、受信間隔ｘ１～ｘ４が平均値μとほぼ等しい値となるので、算出部１２により算出される統計値Ｔ１～Ｔ４はゼロである。
　検知部１４は、算出部１２により算出された統計値Ｔ１～Ｔ４がしきい値Ｔｈｘ以下であるので、受信時刻ｔ１から受信時刻ｔ４までの期間においてネットワーク２０１における異常は発生していないと判定する。
　一方、受信時刻ｔ５から受信時刻ｔ１３までの期間では、送信周期Ｃｍで送信される対象メッセージＭ６，Ｍ８，Ｍ１０，Ｍ１２に加えて、不正メッセージＢＭが通信処理部１１により受信され、受信間隔ｘ５～ｘ１３が平均値μから乖離した値となるので、算出部１２により算出される統計値Ｔ５～Ｔ１３は徐々に増加する。
　検知部１４は、算出部１２により算出された統計値Ｔ９がしきい値Ｔｈｘを超えるので、受信時刻ｔ９においてネットワーク２０１における異常が発生したと判定する。検知部１４は、ネットワーク２０１における異常が発生したと判定した場合、ネットワーク２０１における異常が発生したことを示す警報情報を通信処理部１１経由で通信システム３０１外における上位装置へ送信する。上位装置は、たとえば、警報情報を受けて所定の処理を行うサーバ等の装置である。
　ここで、しきい値Ｔｈｘは、ネットワーク２０１の製造者により任意に設定可能である。たとえば、しきい値Ｔｈｘをより小さい値に設定することにより、ネットワーク２０１における不正メッセージの送信が開始された後、より早期に、ネットワーク２０１における異常が発生していると判定することができる。
　図５は、本開示の実施の形態に係る中継装置により受信される対象メッセージおよび受信時刻の分布の一例を示す図である。図５において、横軸は時刻を示している。図５は、図３に示す受信時刻ｔ１３以降の受信時刻ｔ１４～ｔ１６において、通信処理部１１により受信される対象メッセージＭ１４～Ｍ１６を示している。
　図５を参照して、通信処理部１１により受信される対象メッセージＭ１４～Ｍ１６は、受信時刻ｔ１４から受信時刻ｔ１６までの期間において送信周期Ｃｍで送信される正当な周期メッセージである。すなわち、受信時刻ｔ１３において、中継装置１０１への不正メッセージの到来は終了している。
　［課題］
　図６は、本開示の実施の形態の比較例に係る中継装置において検知処理に用いられる統計値の一例を示す図である。図６において、横軸は時刻を示しており、縦軸は統計値を示している。図６における統計値Ｔ４～Ｔ１６は、図５に示す対象メッセージＭ４～Ｍ１６の受信時刻ｔ４～ｔ１６に基づいて、上述した式（２）に従って算出部１２により算出された統計値Ｔである。
　図６を参照して、受信時刻ｔ１４から受信時刻ｔ１６までの期間では、一定の送信周期Ｃｍで送信される正当な対象メッセージＭ１４～Ｍ１６のみが中継装置に到来するので、算出される統計値Ｔ１４～Ｔ１６は徐々に減少する。
　しかしながら、比較例に係る中継装置では、統計値Ｔ１４～Ｔ１６がしきい値Ｔｈｘよりも大きいので、受信時刻ｔ９から受信時刻ｔ１３までの期間に加えて、受信時刻ｔ１４以降の期間においても、ネットワーク２０１における異常が発生していると判定する。すなわち、比較例に係る中継装置は、統計値Ｔ１４～Ｔ１６に基づいて検知処理を行う場合、受信時刻ｔ１３において不正メッセージの到来は終了しており、ネットワーク２０１への攻撃が発生していない状態であるにもかかわらず、不正メッセージの到来終了を検知することができず、ネットワーク２０１における異常が継続していると判定してしまう。
　そこで、本開示の実施の形態に係る中継装置１０１は、以下のような構成により、上記の課題を解決する。
　（リセット処理）
　リセット部１３は、統計値Ｔを監視し、統計値Ｔの極大値を検出した場合、検知処理において用いられる統計値Ｔをリセットする。たとえば、リセット部１３は、統計値Ｔが極大値であるか否かを判断する。リセット部１３は、あるタイミングの統計値Ｔが極大値であると判断し、かつ当該統計値Ｔがしきい値Ｔｈｘよりも大きい場合、当該タイミングにおける統計値Ｔをリセットすることにより更新する。
　たとえば、検知部１４は、算出部１２により統計値Ｔが記憶部１５に保存されると、リセット部１３により当該統計値Ｔが極大値ではないと判断されるか、またはリセット部１３により当該統計値Ｔが更新されるまで、当該統計値Ｔに基づく検知処理を待機する。検知部１４は、リセット部１３により統計値Ｔが極大値ではなく、更新の必要がないと判断された場合、当該統計値Ｔに基づいて検知処理を行う。一方、検知部１４は、リセット部１３により統計値Ｔが更新された場合、更新後の統計値Ｔに基づいて検知処理を行う。
　検知部１４は、リセット部１３により統計値Ｔが極大値ではないと判断されるか、または統計値Ｔが更新される度に、当該統計値Ｔに基づいて順次検知処理を行ってもよいし、リセット部１３により極大値ではないと判断されるか、または更新された所定数の統計値Ｔを蓄積し、蓄積した統計値Ｔに基づいて事後的に検知処理を行ってもよい。
　図７は、本開示の実施の形態に係る中継装置において検知処理に用いられる統計値の一例を示す図である。図７において、横軸は時刻を示しており、縦軸は統計値を示している。図７における統計値Ｔ４～Ｔ１３は、図５に示す対象メッセージＭ４～Ｍ１３の受信時刻ｔ４～ｔ１３に基づいて、上述した式（２）に従って算出部１２により算出された統計値Ｔである。図７における統計値Ｔ１４～Ｔ１６は、対象メッセージＭ１４～Ｍ１６の受信時刻ｔ１４～ｔ１６に基づいて、上述した式（２）に従って算出部１２により算出され、かつリセット部１３により更新された統計値Ｔである。
　図７を参照して、リセット部１３は、算出部１２により記憶部１５に保存される統計値Ｔを監視し、統計値Ｔ（ｍ－１）および統計値Ｔｍの２つの統計値Ｔが連続して増加しており、かつ統計値Ｔ（ｍ＋１）および統計値Ｔ（ｍ＋２）の２つの統計値Ｔが連続して減少している場合、統計値Ｔｍは極大値であると判断する。
　具体的には、リセット部１３は、記憶部１５を参照し、統計値Ｔ１３が統計値Ｔ１２から増加しており、統計値Ｔ１４が統計値Ｔ１３から増加しており、統計値Ｔ１５が統計値Ｔ１４から減少しており、かつ統計値Ｔ１６が統計値Ｔ１５から減少していると判断する。そして、リセット部１３は、統計値Ｔ１３，Ｔ１４が連続して増加しており、かつ統計値Ｔ１５，Ｔ１６が連続して減少しているので、統計値Ｔ１４は極大値であると判断する。
　そして、リセット部１３は、極大値であると判断した統計値Ｔ１４がしきい値Ｔｈｘよりも大きいので、記憶部１５における統計値Ｔ１４を、たとえばゼロであるリセット値に更新する。また、リセット部１３は、統計値Ｔ１４の算出タイミングよりも後に算出されて記憶部１５に保存されている他の統計値Ｔ１５，Ｔ１６を、更新後の統計値Ｔ１４に基づいて更新する。より詳細には、リセット部１３は、更新後の統計値Ｔ１４を用いて、上述した式（２）に従って統計値Ｔ１５を算出する。
　リセット部１３は、統計値Ｔ１５を算出すると、記憶部１５における統計値Ｔ１５を、算出した統計値Ｔ１５に更新する。リセット部１３は、同様にして、統計値Ｔ１６を算出し、記憶部１５における統計値Ｔ１６を、算出した統計値Ｔ１６に更新する。
　検知部１４は、リセット部１３による更新後の統計値Ｔ１４～Ｔ１６がしきい値Ｔｈｘ以下であるので、受信時刻ｔ１４～ｔ１６までの期間においてネットワーク２０１における異常は発生していないと判定する。すなわち、検知部１４は、受信時刻ｔ９から始まった異常な状態が、受信時刻ｔ１３までに終了したと判定する。
　このように、検知部１４が、リセットされた統計値Ｔ１４に基づいて検知処理を行う構成により、リセットされていない統計値Ｔ１４に基づいて検知処理を行う構成と比べて、中継装置１０１への不正メッセージの到来が終了した場合において、より早期に不正メッセージの到来終了を検知し、異常な状態が解消された正常状態における異常の誤検知を抑制することができる。
　図８は、本開示の実施の形態に係る中継装置により受信される対象メッセージおよび受信時刻の分布の他の例を示す図である。図８において、横軸は時刻を示している。
　図８を参照して、通信処理部１１により受信される複数の対象メッセージＭは、受信時刻ｔ１から受信時刻ｔ１１までの期間において、送信周期Ｃｍに基づくタイミングで受信される正当な周期メッセージである対象メッセージＭ１，Ｍ３，Ｍ４，Ｍ６，Ｍ７，Ｍ９～Ｍ１１と、受信時刻ｔ２から受信時刻ｔ８までの期間において、たとえば送信周期Ｃｍの２倍の周期に基づくタイミングで受信される不正メッセージＢＭである対象メッセージＭ２，Ｍ５，Ｍ８とを含む。
　図９は、本開示の実施の形態に係る中継装置において検知処理に用いられる統計値の一例を示す図である。図９において、横軸は時刻を示しており、縦軸は統計値を示している。図９における統計値Ｔ１～Ｔ８は、図８に示す対象メッセージＭ１～Ｍ８の受信時刻ｔ１～ｔ８に基づいて、上述した式（２）に従って算出部１２により算出された統計値Ｔである。図９における統計値Ｔ９～Ｔ１１は、対象メッセージＭ９～Ｍ１１の受信時刻ｔ９～ｔ１１に基づいて、上述した式（２）に従って算出部１２により算出され、かつリセット部１３により更新された統計値Ｔである。
　図９を参照して、正当な対象メッセージＭ１の受信時刻ｔ１から送信周期Ｃｍが経過する前の受信時刻ｔ２において不正な対象メッセージＭ２が通信処理部１１により受信され、かつ受信時刻ｔ１から送信周期Ｃｍ経過後の受信時刻ｔ３において正当な対象メッセージＭ３が通信処理部１１により受信されるので、算出部１２により算出される統計値Ｔ２，Ｔ３は徐々に増加する。
　次に、受信時刻ｔ３から送信周期Ｃｍ経過後の受信時刻ｔ４において正当な対象メッセージＭ４が通信処理部１１により受信されるので、算出部１２により算出される統計値Ｔ４は統計値Ｔ３から減少する。
　次に、受信時刻ｔ４から送信周期Ｃｍが経過する前の受信時刻ｔ５において不正な対象メッセージＭ５が通信処理部１１により受信され、かつ受信時刻ｔ４から送信周期Ｃｍ経過後の受信時刻ｔ６において正当な対象メッセージＭ６が通信処理部１１により受信される。したがって、算出部１２により算出される統計値Ｔ５，Ｔ６は徐々に増加し、統計値Ｔ５，Ｔ６がしきい値Ｔｈｘを超える。検知部１４は、算出部１２により算出された統計値Ｔ５がしきい値Ｔｈｘよりも大きいので、受信時刻ｔ５においてネットワーク２０１における異常が発生したと判定する。
　次に、受信時刻ｔ６から送信周期Ｃｍ経過後の受信時刻ｔ７において正当な対象メッセージＭ７が通信処理部１１により受信されるので、算出部１２により算出される統計値Ｔ７は統計値Ｔ６から減少する。
　次に、受信時刻ｔ７から送信周期Ｃｍが経過する前の受信時刻ｔ８において不正な対象メッセージＭ８が通信処理部１１により受信され、かつ受信時刻ｔ７から送信周期Ｃｍ経過後の受信時刻ｔ９において正当な対象メッセージＭ９が通信処理部１１により受信されるので、算出部１２により算出される統計値Ｔ８，Ｔ９は徐々に増加する。
　次に、受信時刻ｔ９から送信周期Ｃｍ経過後の受信時刻ｔ１０において正当な対象メッセージＭ１０が通信処理部１１により受信され、かつ受信時刻ｔ１０から送信周期Ｃｍ経過後の受信時刻ｔ１１において正当な対象メッセージＭ１１が通信処理部１１により受信されるので、算出部１２により算出される統計値Ｔ１０，Ｔ１１は統計値Ｔ９から徐々に減少する。
　リセット部１３は、統計値Ｔ８，Ｔ９が連続して増加しており、かつ統計値Ｔ１０，Ｔ１１が連続して減少しているので、統計値Ｔ９は極大値であると判断する。そして、リセット部１３は、極大値であると判断した統計値Ｔ９がしきい値Ｔｈｘよりも大きいので、統計値Ｔ９をリセット値に更新する。さらに、リセット部１３は、算出部１２により算出された統計値Ｔ１０を、更新後の統計値Ｔ９を用いて算出した統計値Ｔ１０に更新し、算出部１２により算出された統計値Ｔ１１を、更新後の統計値Ｔ１０を用いて算出した統計値Ｔ１１に更新する。
　検知部１４は、リセット部１３による更新後の統計値Ｔ９～Ｔ１１がしきい値Ｔｈｘ以下であるので、受信時刻ｔ９～ｔ１１までの期間においてネットワーク２０１における異常は発生していないと判定する。すなわち、検知部１４は、受信時刻ｔ５から始まった異常な状態が、受信時刻ｔ８までに終了したと判定する。
　図１０は、本開示の実施の形態に係る中継装置により受信される対象メッセージおよび受信時刻の分布の他の例を示す図である。図１０において、横軸は時刻を示している。
　図１０を参照して、通信処理部１１により受信される複数の対象メッセージＭは、受信時刻ｔ１から受信時刻ｔ１２までの期間において、送信周期Ｃｍに基づくタイミングで受信される正当な周期メッセージである対象メッセージＭ１，Ｍ３，Ｍ４，Ｍ７，Ｍ８，Ｍ１０～Ｍ１２と、受信時刻ｔ２から受信時刻ｔ９までの期間においてたとえば送信周期Ｃｍの２倍の周期に基づくタイミングで受信される不正メッセージＢＭである対象メッセージＭ２，Ｍ６，Ｍ９と、受信時刻ｔ５において送信されるイベントメッセージＩＭである対象メッセージＭ５とを含む。
　図１１は、本開示の実施の形態に係る中継装置において検知処理に用いられる統計値の一例を示す図である。図１１において、横軸は時刻を示しており、縦軸は統計値を示している。図１１における統計値Ｔ１～Ｔ９は、図１０に示す対象メッセージＭ１～Ｍ９の受信時刻ｔ１～ｔ９に基づいて、上述した式（２）に従って算出部１２により算出された統計値Ｔである。図１１における統計値Ｔ１０～Ｔ１２は、対象メッセージＭ１０～Ｍ１２の受信時刻ｔ１０～ｔ１２に基づいて、上述した式（２）に従って算出部１２により算出され、かつリセット部１３により更新された統計値Ｔである。
　図１１を参照して、正当な対象メッセージＭ１の受信時刻ｔ１から送信周期Ｃｍが経過する前の受信時刻ｔ２において不正な対象メッセージＭ２が通信処理部１１により受信され、かつ受信時刻ｔ１から送信周期Ｃｍ経過後の受信時刻ｔ３において正当な対象メッセージＭ３が通信処理部１１により受信されるので、算出部１２により算出される統計値Ｔ２，Ｔ３は徐々に増加する。
　次に、受信時刻ｔ３から送信周期Ｃｍ経過後の受信時刻ｔ４において正当な対象メッセージＭ４が通信処理部１１により受信されるので、算出部１２により算出される統計値Ｔ４は統計値Ｔ３から減少する。
　次に、受信時刻ｔ４から送信周期Ｃｍが経過する前の受信時刻ｔ５，ｔ６において、不定期に送信される正当な対象メッセージＭ５および不正な対象メッセージＭ６が通信処理部１１によりそれぞれ受信され、かつ受信時刻ｔ４から送信周期Ｃｍ経過後の受信時刻ｔ７において正当な対象メッセージＭ７が通信処理部１１により受信される。したがって、算出部１２により算出される統計値Ｔ５，Ｔ６，Ｔ７は徐々に増加し、統計値Ｔ６，Ｔ７がしきい値Ｔｈｘを超える。検知部１４は、算出部１２により算出された統計値Ｔ６がしきい値Ｔｈｘよりも大きいので、受信時刻ｔ６においてネットワーク２０１における異常が発生したと判定する。
　次に、受信時刻ｔ７から送信周期Ｃｍ経過後の受信時刻ｔ８において正当な対象メッセージＭ８が通信処理部１１により受信されるので、算出部１２により算出される統計値Ｔ８は統計値Ｔ７から減少する。
　次に、受信時刻ｔ８から送信周期Ｃｍが経過する前の受信時刻ｔ９において不正な対象メッセージＭ９が通信処理部１１により受信され、かつ受信時刻ｔ８から送信周期Ｃｍ経過後の受信時刻ｔ１０において正当な対象メッセージＭ１０が通信処理部１１により受信されるので、算出部１２により算出される統計値Ｔ９，Ｔ１０は徐々に増加する。
　次に、受信時刻ｔ１０から送信周期Ｃｍ経過後の受信時刻ｔ１１において正当な対象メッセージＭ１１が通信処理部１１により受信され、かつ受信時刻ｔ１１から送信周期Ｃｍ経過後の受信時刻ｔ１２において正当な対象メッセージＭ１２が通信処理部１１により受信されるので、算出部１２により算出される統計値Ｔ１１，Ｔ１２は統計値Ｔ１０から徐々に減少する。
　リセット部１３は、統計値Ｔ９，Ｔ１０が連続して増加しており、かつ統計値Ｔ１１，Ｔ１２が連続して減少しているので、統計値Ｔ１０は極大値であると判断する。そして、リセット部１３は、極大値であると判断した統計値Ｔ１０がしきい値Ｔｈｘよりも大きいので、統計値Ｔ１０をリセット値に更新する。さらに、リセット部１３は、算出部１２により算出された統計値Ｔ１１を、更新後の統計値Ｔ１０を用いて算出した統計値Ｔ１１に更新し、算出部１２により算出された統計値Ｔ１２を、更新後の統計値Ｔ１１を用いて算出した統計値Ｔ１２に更新する。
　検知部１４は、リセット部１３による更新後の統計値Ｔ１０～Ｔ１２がしきい値Ｔｈｘ以下であるので、受信時刻ｔ１０～ｔ１２までの期間においてネットワーク２０１における異常は発生していないと判定する。
　＜変形例＞
　中継装置１０１は、統計値Ｔ以外の検知指標に基づいて検知処理を行う構成であってもよい。一例として、算出部１２は、対象メッセージＭの受信間隔ｘの移動平均を用いて検知指標を算出する。
　たとえば、算出部１２は、通信処理部１１により受信された直近のｐ個の対象メッセージＭの受信間隔ｘの移動平均値Ａを対象メッセージＭごとに算出する。ｐは、２以上の整数である。移動平均値Ａは、検知指標の一例である。
　より詳細には、算出部１２は、対象メッセージＭｍの受信間隔ｘｍを算出すると、受信間隔ｘｍと、過去の対象メッセージＭ（ｍ－１），Ｍ（ｍ－２）・・・Ｍ（ｍ－ｐ＋１）の受信間隔ｘ（ｍ－１），ｘ（ｍ－２）・・・，ｘ（ｍ－ｐ＋１）とを用いて、対象メッセージＭｍに対応する移動平均値Ａｍを算出する。ここで、受信間隔ｘ（ｍ－１），ｘ（ｍ－２）・・・，ｘ（ｍ－ｐ＋１）は、対象メッセージＭに関する参照情報の一例である。以下、受信間隔ｘ（ｍ－１），ｘ（ｍ－２）・・・，ｘ（ｍ－ｐ＋１）を、参照間隔ｒｍとも称する。移動平均値Ａｍは、対象メッセージＭｍの受信間隔ｘｍと、参照間隔ｒｍとの大小関係に応じて増減する。
　たとえば、算出部１２により算出される移動平均値Ａは、図３に示すように通信処理部１１により受信される複数の対象メッセージＭが不正メッセージＢＭを含む場合、受信時刻ｔ５から受信時刻ｔ１３までの期間において徐々に減少する。
　検知部１４は、算出部１２により算出された移動平均値Ａに基づいて検知処理を行う。たとえば、検知部１４は、算出部１２により算出された移動平均値Ａと、所定のしきい値Ｔｈｙとに基づいて、ネットワーク２０１における異常を検知する。
　より詳細には、検知部１４は、算出部１２により算出された移動平均値Ａとしきい値Ｔｈｙとを比較する。検知部１４は、移動平均値Ａがしきい値Ｔｈｙ以上である場合、ネットワーク２０１における異常は発生していないと判定する。一方、検知部１４は、移動平均値Ａがしきい値Ｔｈｙ未満である場合、ネットワーク２０１における異常が発生していると判定する。
　リセット部１３は、移動平均値Ａを監視し、移動平均値Ａの極小値を検出した場合、検知処理において用いられる移動平均値Ａをリセットする。たとえば、リセット部１３は、統計値Ｔが極大値であるか否かを判断する手順と同様にして、移動平均値Ａが極小値であるか否かを判断する。リセット部１３は、移動平均値Ａが極小値であると判断し、かつ当該移動平均値Ａがしきい値Ｔｈｙ未満である場合、当該移動平均値Ａをリセットすることにより更新する。
　検知部１４は、リセット部１３により移動平均値Ａが更新された場合、更新された移動平均値Ａに基づいて検知処理を行う。
　［動作の流れ］
　図１２は、本開示の実施の形態に係る中継装置が検知処理を行う際の動作手順の一例を定めたフローチャートである。
　図１２を参照して、まず、中継装置１０１は、メッセージの到来を待ち受け（ステップＳ１０２でＮＯ）、メッセージを受信すると（ステップＳ１０２でＹＥＳ）、受信したメッセージが対象メッセージＭであるか否かを判断する（ステップＳ１０４）。
　次に、中継装置１０１は、受信したメッセージが対象メッセージＭではないと判断した場合（ステップＳ１０６でＮＯ）、新たなメッセージの到来を待ち受ける（ステップＳ１０２でＮＯ）。
　一方、中継装置１０１は、受信したメッセージが対象メッセージＭであると判断した場合（ステップＳ１０６でＹＥＳ）、当該対象メッセージＭの受信時刻ｔを用いて統計値Ｔを算出する。中継装置１０１は、算出した統計値Ｔを記憶部１５に保存する（ステップＳ１０８）。
　次に、中継装置１０１は、所定回数前に算出した統計値Ｔが極大値であるか否かを判断する（ステップＳ１１０）。
　次に、中継装置１０１は、所定回数前に算出した統計値Ｔが極大値ではないと判断した場合（ステップＳ１１２でＮＯ）、当該統計値Ｔに基づいて検知処理を行う（ステップＳ１１６）。
　一方、中継装置１０１は、所定回数前に算出した統計値Ｔが極大値であると判断した場合（ステップＳ１１２でＹＥＳ）、当該統計値Ｔをリセットすることにより更新する。また、中継装置１０１は、当該統計値Ｔの算出タイミングよりも後に算出して記憶部１５に保存した他の統計値Ｔを、更新後の統計値Ｔに基づいて更新する（ステップＳ１１４）。
　次に、中継装置１０１は、更新した統計値Ｔに基づいて検知処理を行う（ステップＳ１１６）。
　次に、中継装置１０１は、ネットワーク２０１における異常は発生していないと判定した場合（ステップＳ１１８でＮＯ）、新たなメッセージの到来を待ち受ける（ステップＳ１０２でＮＯ）。
　一方、中継装置１０１は、ネットワーク２０１における異常が発生したと判定した場合（ステップＳ１１８でＹＥＳ）、ネットワーク２０１における異常が発生したことを示す警報情報を通信システム３０１外における上位装置へ送信する（ステップＳ１２０）。
　次に、中継装置１０１は、新たなメッセージの到来を待ち受ける（ステップＳ１０２でＮＯ）。
　なお、本開示の実施の形態に係る通信システム３０１では、中継装置１０１が、ネットワーク２０１における異常を検知する構成であるとしたが、これに限定するものではない。通信システム３０１では、中継装置１０１とは別の装置が、検知装置として機能し、ネットワーク２０１における異常を検知する構成であってもよい。たとえば、通信システム３０１は、伝送線１０を介して中継装置１０１に接続された検知装置を備える。中継装置１０１は、通信装置１１１からメッセージを受信すると、受信したメッセージの複製であるミラーメッセージを伝送線１０経由で当該検知装置へ送信する。当該検知装置は、中継装置１０１から受信したミラーメッセージの中継装置１０１における受信時刻に基づいて、検知指標の算出および検知処理を行う。
　また、本開示の実施の形態に係る通信システム３０１では、検知装置として機能する中継装置１０１が伝送線１０に直接接続される構成であるとしたが、これに限定するものではない。
　図１３は、本開示の実施の形態に係るネットワークの接続トポロジの一例を示す図である。図１３を参照して、検知装置１５１が、通信装置１１１を介して伝送線１０に接続される構成であってもよい。この場合、検知装置１５１は、たとえば、当該通信装置１１１が送受信するメッセージを監視することにより、ネットワーク２０１における異常を検知する。より詳細には、検知装置１５１は、算出部１２、リセット部１３、検知部１４および記憶部１５を備える。検知装置１５１における算出部１２は、通信装置１１１が受信する対象メッセージＭの受信時刻ｔを取得し、取得した受信時刻ｔに基づいて統計値Ｔを算出する。
　また、本開示の実施の形態に係る中継装置１０１では、算出部１２は、受信間隔ｘの統計値Ｔを算出する構成であるとしたが、これに限定するものではない。算出部１２は、たとえば、定期的または不定期に、対象メッセージＭの通信負荷を算出し、受信間隔ｘの代わりに当該通信負荷に基づいて、統計値Ｔ等の検知指標を算出する構成であってもよい。通信負荷は、メッセージの観測結果の一例である。
　また、本開示の実施の形態に係る中継装置１０１では、算出部１２は、式（１）に従って異常度Ｄｍを算出する構成であるとしたが、これに限定するものではない。たとえば、算出部１２は、受信間隔ｘｍが以下の式（３）を満たす場合、式（１）に従って異常度Ｄｍを算出する一方で、受信間隔ｘｍが以下の式（４）を満たす場合、以下の式（５）に従って異常度Ｄｍを決定する。
Figure JPOXMLDOC01-appb-M000003
Figure JPOXMLDOC01-appb-M000004
Figure JPOXMLDOC01-appb-M000005
　ここで、ｎは、正当な周期メッセージの度数分布に基づいて予め設定される定数である。
　図１４は、本開示の実施の形態に係る中継装置における算出部により算出される異常度の一例を示す図である。図１４において、横軸は、受信間隔ｘｍと平均値μとの差分の２乗を示し、縦軸は異常度Ｄｍを示している。
　図１４を参照して、算出部１２が式（１）および式（３）～（５）に従って異常度Ｄｍを算出する構成により、通信処理部１１により受信された正当なイベントメッセージである対象メッセージＭｍの受信間隔ｘｍが平均値μから大きく乖離している場合であっても、対象メッセージＭｍの異常度Ｄｍはｎの二乗以下の値となるので、正当なイベントメッセージが到来することによる統計値Ｔの大幅な増加を抑制し、異常な状態が解消された正常状態における異常の誤検知の発生を抑制することができる。
　また、本開示の実施の形態に係る中継装置１０１では、リセット部１３は、統計値Ｔ（ｍ－１）および統計値Ｔｍの２つの統計値Ｔが連続して増加しており、かつ統計値Ｔ（ｍ＋１）および統計値Ｔ（ｍ＋２）の２つの統計値Ｔが連続して減少している場合、統計値Ｔｍは極大値であると判断する構成であるとしたが、これに限定するものではない。リセット部１３は、統計値Ｔ（ｍ－ａ＋１）から統計値Ｔｍまでのａ個の統計値Ｔが連続して増加しており、かつ統計値Ｔ（ｍ＋１）から統計値Ｔ（ｍ＋ｂ）までのｂ個の統計値Ｔが連続して減少している場合、統計値Ｔｍは極大値であると判断する構成であってもよい。ａおよびｂは、２以上の整数である。
　ところで、ネットワークにおける異常をより正しく検知することが可能な技術が望まれる。
　これに対して、本開示の実施の形態に係る中継装置１０１では、算出部１２は、対象メッセージＭの観測結果と、当該観測結果に関する参照情報との関係に応じて増減する検知指標を算出する。検知部１４は、算出部１２により算出された検知指標に基づいて、ネットワーク２０１における異常を検知する検知処理を行う。リセット部１３は、検知指標を監視し、検知指標の極値を検出した場合、検知処理において用いる検知指標をリセットする。ここで、極値とは、極大値または極小値を意味する。
　このように、メッセージの観測結果と当該観測結果に関する参照情報との関係に応じて増減する検知指標に基づいて検知処理を行い、検知指標の極値を検出した場合において検知指標をリセットする構成により、たとえばネットワーク２０１における異常な状態が解消されることにより検知指標の増減傾向が変化した場合において、リセットされた検知指標に基づいて検知処理を行うことができる。これにより、ネットワーク２０１において異常な状態が解消されたことをより早期に検知し、異常な状態が解消された正常状態における異常の誤検知を抑制することができる。したがって、ネットワーク２０１における異常をより正しく検知することができる。
　上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
　上述の実施形態の各処理（各機能）は、１または複数のプロセッサを含む処理回路（Ｃｉｒｃｕｉｔｒｙ）により実現される。上記処理回路は、上記１または複数のプロセッサに加え、１または複数のメモリ、各種アナログ回路、各種デジタル回路が組み合わされた集積回路等で構成されてもよい。上記１または複数のメモリは、上記各処理を上記１または複数のプロセッサに実行させるプログラム（命令）を格納する。上記１または複数のプロセッサは、上記１または複数のメモリから読み出した上記プログラムに従い上記各処理を実行してもよいし、予め上記各処理を実行するように設計された論理回路に従って上記各処理を実行してもよい。上記プロセッサは、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒ）、ＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）、およびＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）等、コンピュータの制御に適合する種々のプロセッサであってよい。なお、物理的に分離した上記複数のプロセッサが互いに協働して上記各処理を実行してもよい。たとえば、物理的に分離した複数のコンピュータのそれぞれに搭載された上記プロセッサがＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）、ＷＡＮ　（Ｗｉｄｅ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）、およびインターネット等のネットワークを介して互いに協働して上記各処理を実行してもよい。上記プログラムは、外部のサーバ装置等から上記ネットワークを介して上記メモリにインストールされても構わないし、ＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ　Ｄｉｓｃ　Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、ＤＶＤ－ＲＯＭ（Ｄｉｇｉｔａｌ　Ｖｅｒｓａｔｉｌｅ　Ｄｉｓｋ　Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、および半導体メモリ等の記録媒体に格納された状態で流通し、上記記録媒体から上記メモリにインストールされても構わない。
　以上の説明は、以下に付記する特徴を含む。
　［付記１］
　周期メッセージを含む複数のメッセージが送受信されるネットワークにおける異常を検知する検知装置であって、
　前記複数のメッセージの観測結果と、前記観測結果に関する参照情報との関係に応じて増減する検知指標を算出する算出部と、
　前記算出部により算出された前記検知指標に基づいて、前記ネットワークにおける異常を検知する検知処理を行う検知部と、
　前記検知指標を監視し、前記検知指標の極値を検出した場合、前記検知処理において用いる前記検知指標をリセットするリセット部とを備え、
　前記算出部は、前記メッセージの受信間隔と、前記受信間隔に関する参照情報との関係に応じて増減する前記検知指標を算出する、検知装置。
　［付記２］
　周期メッセージを含む複数のメッセージが送受信されるネットワークにおける異常を検知する検知装置であって、
　処理回路を備え、
　前記処理回路は、
　前記複数のメッセージの観測結果と、前記観測結果に関する参照情報との関係に応じて増減する検知指標を算出し、
　算出した前記検知指標に基づいて、前記ネットワークにおける異常を検知する検知処理を行い、
　前記検知指標を監視し、前記検知指標の極値を検出した場合、前記検知処理において用いる前記検知指標をリセットする、検知装置。
　１０　伝送線
　１１　通信処理部
　１２　算出部
　１３　リセット部
　１４　検知部
　１５　記憶部
　１６　通信ポート
　１０１　中継装置
　１１１　通信装置
　１５１　検知装置
　２０１　ネットワーク
　３０１　通信システム

Claims (6)

  1. 　周期メッセージを含む複数のメッセージが送受信されるネットワークにおける異常を検知する検知装置であって、
    　前記複数のメッセージの観測結果と、前記観測結果に関する参照情報との関係に応じて増減する検知指標を算出する算出部と、
    　前記算出部により算出された前記検知指標に基づいて、前記ネットワークにおける異常を検知する検知処理を行う検知部と、
    　前記検知指標を監視し、前記検知指標の極値を検出した場合、前記検知処理において用いる前記検知指標をリセットするリセット部とを備える、検知装置。
  2. 　前記参照情報は、前記観測結果に基づいて算出される過去の前記メッセージの受信間隔であり、
    　前記算出部は、前記観測結果に基づいて算出される前記メッセージの受信間隔と、前記過去のメッセージの受信間隔とを用いて、前記メッセージの受信間隔の移動平均値であって、前記メッセージの受信間隔と前記過去のメッセージの受信間隔との大小関係に応じて増減する前記移動平均値を、前記検知指標として前記メッセージごとに算出する、請求項１に記載の検知装置。
  3. 　前記検知部は、前記検知指標が所定のしきい値未満である場合、前記ネットワークにおける異常が発生していると判定し、
    　前記リセット部は、前記極値として前記検知指標の極小値を検出した場合、前記検知処理において用いる前記検知指標をリセットする、請求項２に記載の検知装置。
  4. 　前記参照情報は、前記メッセージの受信間隔の平均値であり、
    　前記算出部は、前記観測結果に基づいて算出される前記メッセージの受信間隔と、前記平均値と、前記メッセージの受信間隔の標準偏差とを用いて、前記メッセージの受信間隔の統計値であって、前記メッセージの受信間隔と前記平均値との差分の大きさに応じて増減する前記統計値を、前記検知指標として前記メッセージごとに算出する、請求項１に記載の検知装置。
  5. 　前記検知部は、前記検知指標が所定のしきい値よりも大きい場合、前記ネットワークにおける異常が発生していると判定し、
    　前記リセット部は、前記極値として前記検知指標の極大値を検出した場合、前記検知処理において用いる前記検知指標をリセットする、請求項４に記載の検知装置。
  6. 　周期メッセージを含む複数のメッセージが送受信されるネットワークにおける異常を検知する検知装置、における検知方法であって、
    　前記複数のメッセージの観測結果と、前記観測結果に関する参照情報との関係に応じて増減する検知指標を算出するステップと、
    　算出した前記検知指標に基づいて、前記ネットワークにおける異常を検知する検知処理を行うステップと、
    　前記検知指標を監視し、前記検知指標の極値を検出した場合、前記検知処理において用いる前記検知指標をリセットするステップとを含む、検知方法。
PCT/JP2022/045396 2021-12-28 2022-12-09 検知装置および検知方法 WO2023127460A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2023570798A JPWO2023127460A1 (ja) 2021-12-28 2022-12-09
CN202280078383.7A CN118302994A (zh) 2021-12-28 2022-12-09 检测装置和检测方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2021-214171 2021-12-28
JP2021214171 2021-12-28

Publications (1)

Publication Number Publication Date
WO2023127460A1 true WO2023127460A1 (ja) 2023-07-06

Family

ID=86998674

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/045396 WO2023127460A1 (ja) 2021-12-28 2022-12-09 検知装置および検知方法

Country Status (3)

Country Link
JP (1) JPWO2023127460A1 (ja)
CN (1) CN118302994A (ja)
WO (1) WO2023127460A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014146868A (ja) * 2013-01-28 2014-08-14 Hitachi Automotive Systems Ltd ネットワーク装置およびデータ送受信システム
JP2019029961A (ja) * 2017-08-03 2019-02-21 住友電気工業株式会社 検知装置、検知方法および検知プログラム
WO2021111685A1 (ja) * 2019-12-05 2021-06-10 住友電気工業株式会社 検知装置、車両、検知方法および検知プログラム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014146868A (ja) * 2013-01-28 2014-08-14 Hitachi Automotive Systems Ltd ネットワーク装置およびデータ送受信システム
JP2019029961A (ja) * 2017-08-03 2019-02-21 住友電気工業株式会社 検知装置、検知方法および検知プログラム
WO2021111685A1 (ja) * 2019-12-05 2021-06-10 住友電気工業株式会社 検知装置、車両、検知方法および検知プログラム

Also Published As

Publication number Publication date
JPWO2023127460A1 (ja) 2023-07-06
CN118302994A (zh) 2024-07-05

Similar Documents

Publication Publication Date Title
EP3598329B1 (en) Information processing method, information processing system, and program
US9380070B1 (en) Intrusion detection mechanism
EP3361677B1 (en) Communication device, communication method and non-transitory storage medium
US11296965B2 (en) Abnormality detection in an on-board network system
US12052371B2 (en) Method for monitoring a network
JP2019174426A (ja) 異常検知装置、異常検知方法およびプログラム
TW201800972A (zh) 侵入偵知裝置以及侵入偵知程式產品
US8806313B1 (en) Amplitude-based anomaly detection
JP2022545639A (ja) コントローラ・エリア・ネットワーク母線に対する侵入を検知かつ無効にする方法および装置
JP7234832B2 (ja) 電子制御装置
WO2023127460A1 (ja) 検知装置および検知方法
US11316770B2 (en) Abnormality detection apparatus, abnormality detection method, and abnormality detection program
JP6828632B2 (ja) 検知装置、検知方法および検知プログラム
CN110289992B (zh) 一种报文处理方法及装置
JP2019102011A (ja) 学習装置、学習方法及び学習プログラム
JP3971353B2 (ja) ウィルス隔離システム
WO2023199552A1 (ja) 検知装置および検知方法
JP2013236184A (ja) 車載通信システム、車載通信システムの通信異常監視方法、及び車載通信システムの通信異常監視プログラム
JP2005203992A (ja) ネットワーク異常検出装置、ネットワーク異常検出方法およびネットワーク異常検出プログラム
JP6528239B2 (ja) 通信装置およびプログラム
EP2566078B1 (en) Determining a quality of a clock signal
JP7175858B2 (ja) 情報処理装置および正規通信判定方法
WO2023074393A1 (ja) 検知装置、検知方法および検知プログラム
WO2022195887A1 (ja) トラフィックセンサ、分析方法、および、分析プログラム
WO2023233711A1 (ja) 情報処理方法、異常判定方法、および、情報処理装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22915684

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2023570798

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 202280078383.7

Country of ref document: CN

NENP Non-entry into the national phase

Ref country code: DE