(57)【要約】【課題】車載ネットワークにおける不正な通信を正しく検知することが可能な検知装置、検知方法および検知プログラムを提供する。【解決手段】検知装置は、車両に搭載される車載ネットワークにおける不正な通信を検知する検知装置であって、前記車両に関する状態または制御を示す、前記車載ネットワークにおいて伝送される第１の情報を監視する監視部と、前記監視部によって監視された前記第１の情報に基づいて、前記車両に関する状態または制御を示す、前記車載ネットワークにおける第２の情報の発生を予測する予測部と、前記車載ネットワークにおいて前記第２の情報が伝送された場合に、前記予測部の予測結果に基づいて、伝送された前記第２の情報が不正であるか否かを判断する判断部とを備える。【選択図】図３
2018093331.tif 000002
【特許請求の範囲】
【請求項１】
車両に搭載される車載ネットワークにおける不正な通信を検知する検知装置であって、
前記車両に関する状態または制御を示す、前記車載ネットワークにおいて伝送される第１の情報を監視する監視部と、
前記監視部によって監視された前記第１の情報に基づいて、前記車両に関する状態または制御を示す、前記車載ネットワークにおける第２の情報の発生を予測する予測部と、
前記車載ネットワークにおいて前記第２の情報が伝送された場合に、前記予測部の予測結果に基づいて、伝送された前記第２の情報が不正であるか否かを判断する判断部とを備える、検知装置。
【請求項２】
前記第１の情報および前記第２の情報の発生要因が異なる、請求項１に記載の検知装置。
【請求項３】
前記監視部は、複数種類の前記第１の情報を監視し、
前記判断部は、１種類の前記第２の情報の不正の判断に、前記監視部によって監視された前記複数種類の前記第１の情報に基づく前記予測結果を用いる、請求項１または請求項２に記載の検知装置。
【請求項４】
前記予測部は、前記車載ネットワークにおいて前記第２の情報が伝送される際に発生する前記第１の情報の履歴に基づいて作成された判断基準情報と、前記監視部によって監視された前記第１の情報とに基づいて、前記第２の情報の発生を予測する、請求項１から請求項３のいずれか１項に記載の検知装置。
【請求項５】
前記予測部は、前記監視部によって監視された前記第１の情報の内容に基づいて、前記第２の情報の発生を予測する、請求項１から請求項４のいずれか１項に記載の検知装置。
【請求項６】
車両に搭載される車載ネットワークにおける不正な通信を検知する検知装置における検知方法であって、
前記車両に関する状態または制御を示す、前記車載ネットワークにおいて伝送される第１の情報を監視するステップと、
監視した前記第１の情報に基づいて、前記車両に関する状態または制御を示す、前記車載ネットワークにおける第２の情報の発生を予測するステップと、
前記車載ネットワークにおいて前記第２の情報が伝送された場合に、予測した結果に基づいて、伝送された前記第２の情報が不正であるか否かを判断するステップとを含む、検知方法。
【請求項７】
車両に搭載される車載ネットワークにおける不正な通信を検知する検知装置において用いられる検知プログラムであって、
コンピュータを、
前記車両に関する状態または制御を示す、前記車載ネットワークにおいて伝送される第１の情報を監視する監視部と、
前記監視部によって監視された前記第１の情報に基づいて、前記車両に関する状態または制御を示す、前記車載ネットワークにおける第２の情報の発生を予測する予測部と、
前記車載ネットワークにおいて前記第２の情報が伝送された場合に、前記予測部の予測結果に基づいて、伝送された前記第２の情報が不正であるか否かを判断する判断部、
として機能させるための、検知プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、検知装置、検知方法および検知プログラムに関する。
【背景技術】
【０００２】
従来、車載ネットワークにおけるセキュリティを向上させるための車載ネットワークシステムが開発されている。
【０００３】
たとえば、特許文献１（特開２０１６−１１６０７５号公報）には、以下のような車載通信システムが開示されている。すなわち、車載通信システムは、通信データの送信側が生成するメッセージ認証コードである送信側コードと、前記通信データの受信側が生成するメッセージ認証コードである受信側コードとを使用してメッセージ認証を行う車載通信システムであって、車載ネットワークに接続され、第１の暗号鍵と前記第１の暗号鍵とは異なる第２の暗号鍵のうち前記第１の暗号鍵だけを保持する第１のＥＣＵと、前記車載ネットワークに接続され、前記第１の暗号鍵を少なくとも保持する第２のＥＣＵと、前記車載ネットワーク及び車外ネットワークに接続され、前記第１の暗号鍵と前記第２の暗号鍵のうち前記第２の暗号鍵だけを保持して、前記第２の暗号鍵を使用して前記車載ネットワークにおける通信時に前記送信側コード又は前記受信側コードを生成する第３のＥＣＵとを備え、前記第２のＥＣＵは、前記第１の暗号鍵を使用して生成した送信側コードを付与した通信データを送信し、前記第１のＥＣＵは、前記通信データを受信した場合に、前記第１の暗号鍵を使用して生成した受信側コードによって、前記受信した通信データに付与された送信側コードの検証を行う。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１６−１１６０７５号公報
【特許文献２】特開２０１６−９７８７９号公報
【特許文献３】特開２０１５−１３６１０７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１には、車載ネットワークに限定して接続される第１のＥＣＵおよび第２のＥＣＵがメッセージ認証に用いる第１の暗号鍵と、車載ネットワークおよび車外ネットワークの両方に接続される第３のＥＣＵが用いる第２の暗号鍵とが異なることにより、車外ネットワークに接続されない第１のＥＣＵおよび第２のＥＣＵに対する車外ネットワークからのサイバー攻撃を防ぐ構成が開示されている。
【０００６】
しかしながら、メッセージ認証を用いるセキュリティ対策では、プロトコルの脆弱性を突いた攻撃、第１の暗号鍵の不正入手による攻撃、および暗号アルゴリズムの陳腐化を突いた攻撃等により、当該セキュリティ対策が無効化されることがある。
【０００７】
このような場合において、攻撃者が車載ネットワークに侵入したことを正しく検知するための技術が求められる。
【０００８】
この発明は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおける不正な通信を正しく検知することが可能な検知装置、検知方法および検知プログラムを提供することである。
【課題を解決するための手段】
【０００９】
（１）上記課題を解決するために、この発明のある局面に係わる検知装置は、車両に搭載される車載ネットワークにおける不正な通信を検知する検知装置であって、前記車両に関する状態または制御を示す、前記車載ネットワークにおいて伝送される第１の情報を監視する監視部と、前記監視部によって監視された前記第１の情報に基づいて、前記車両に関する状態または制御を示す、前記車載ネットワークにおける第２の情報の発生を予測する予測部と、前記車載ネットワークにおいて前記第２の情報が伝送された場合に、前記予測部の予測結果に基づいて、伝送された前記第２の情報が不正であるか否かを判断する判断部とを備える。
【００１０】
（６）上記課題を解決するために、この発明のある局面に係わる検知方法は、車両に搭載される車載ネットワークにおける不正な通信を検知する検知装置における検知方法であって、前記車両に関する状態または制御を示す、前記車載ネットワークにおいて伝送される第１の情報を監視するステップと、監視した前記第１の情報に基づいて、前記車両に関する状態または制御を示す、前記車載ネットワークにおける第２の情報の発生を予測するステップと、前記車載ネットワークにおいて前記第２の情報が伝送された場合に、予測した結果に基づいて、伝送された前記第２の情報が不正であるか否かを判断するステップとを含む。
【００１１】
（７）上記課題を解決するために、この発明のある局面に係わる検知プログラムは、車両に搭載される車載ネットワークにおける不正な通信を検知する検知装置において用いられる検知プログラムであって、コンピュータを、前記車両に関する状態または制御を示す、前記車載ネットワークにおいて伝送される第１の情報を監視する監視部と、前記監視部によって監視された前記第１の情報に基づいて、前記車両に関する状態または制御を示す、前記車載ネットワークにおける第２の情報の発生を予測する予測部と、前記車載ネットワークにおいて前記第２の情報が伝送された場合に、前記予測部の予測結果に基づいて、伝送された前記第２の情報が不正であるか否かを判断する判断部、として機能させるためのプログラムである。
【００１２】
本発明は、このような特徴的な処理部を備える検知装置として実現することができるだけでなく、検知装置を備える車載検知システムとして実現することができる。また、本発明は、検知装置の一部または全部を実現する半導体集積回路として実現することができる。
【発明の効果】
【００１３】
本発明によれば、車載ネットワークにおける不正な通信を正しく検知することができる。
【図面の簡単な説明】
【００１４】
【図１】図１は、本発明の実施の形態に係る車載検知システムの構成を示す図である。
【図２】図２は、本発明の実施の形態に係るバス接続装置群の構成を示す図である。
【図３】図３は、本発明の実施の形態に係る車載検知システムにおけるゲートウェイ装置の構成を示す図である。
【図４】図４は、本発明の実施の形態に係るゲートウェイ装置における検知装置の構成を示す図である。
【図５】図５は、本発明の実施の形態に係る対象車両におけるパワーウィンドウ操作の一例を説明するための図である。
【図６】図６は、本発明の実施の形態に係る対象車両におけるスマートエントリの一例を説明するための図である。
【図７】図７は、本発明の実施の形態に係る対象車両におけるスマートエントリを用いた原動機始動の一例を説明するための図である。
【図８】図８は、本発明の実施の形態に係る検知装置が付随挙動の発生を検出する際の動作手順を定めたフローチャートである。
【図９】図９は、本発明の実施の形態に係る検知装置が対象メッセージの不正を判断する際の動作手順を定めたフローチャートである。
【図１０】図１０は、本発明の実施の形態に係る車載ネットワークの接続トポロジの一例を示す図である。
【発明を実施するための形態】
【００１５】
最初に、本発明の実施形態の内容を列記して説明する。
【００１６】
（１）本発明の実施の形態に係る検知装置は、車両に搭載される車載ネットワークにおける不正な通信を検知する検知装置であって、前記車両に関する状態または制御を示す、前記車載ネットワークにおいて伝送される第１の情報を監視する監視部と、前記監視部によって監視された前記第１の情報に基づいて、前記車両に関する状態または制御を示す、前記車載ネットワークにおける第２の情報の発生を予測する予測部と、前記車載ネットワークにおいて前記第２の情報が伝送された場合に、前記予測部の予測結果に基づいて、伝送された前記第２の情報が不正であるか否かを判断する判断部とを備える。
【００１７】
このように、車載ネットワークにおける第１の情報に基づいて第２の情報の発生を予測する構成により、たとえば、第２の情報が発生する可能性の高い期間を取得することができるので、当該期間と異なる期間に発生した第２の情報を不正と判定することができる。これにより、車載ネットワークにおける不正な通信を正しく検知することができる。
【００１８】
（２）好ましくは、前記第１の情報および前記第２の情報の発生要因が異なる。
【００１９】
このような構成により、第１の情報および第２の情報の発生要因が同じ場合と比べて、第１の情報および第２の情報の組み合わせの個数を多くすることができるので、不正通信の検出により適した第１の情報および第２の情報の組み合わせの抽出可能性を高めることができる。
【００２０】
（３）好ましくは、前記監視部は、複数種類の前記第１の情報を監視し、前記判断部は、１種類の前記第２の情報の不正の判断に、前記監視部によって監視された前記複数種類の前記第１の情報に基づく前記予測結果を用いる。
【００２１】
このような構成により、たとえば、ユーザまたは車両の挙動を多様にセンシングした結果に基づいて第２の情報の発生を予測することができるので、第２の情報の発生の予測精度を高めることができる。
【００２２】
（４）好ましくは、前記予測部は、前記車載ネットワークにおいて前記第２の情報が伝送される際に発生する前記第１の情報の履歴に基づいて作成された判断基準情報と、前記監視部によって監視された前記第１の情報とに基づいて、前記第２の情報の発生を予測する。
【００２３】
このような構成により、第１の情報の時系列変化から第２の情報の発生を予測することができるので、第２の情報の発生の予測精度を高めることができる。
【００２４】
（５）好ましくは、前記予測部は、前記監視部によって監視された前記第１の情報の内容に基づいて、前記第２の情報の発生を予測する。
【００２５】
このような構成により、たとえば、第１の情報の示すユーザまたは車両の挙動の内容に基づいて、当該挙動に相関する第２の情報の発生を予測することができるので、第２の情報の発生の予測精度を高めることができる。
【００２６】
（６）本発明の実施の形態に係る検知方法は、車両に搭載される車載ネットワークにおける不正な通信を検知する検知装置における検知方法であって、前記車両に関する状態または制御を示す、前記車載ネットワークにおいて伝送される第１の情報を監視するステップと、監視した前記第１の情報に基づいて、前記車両に関する状態または制御を示す、前記車載ネットワークにおける第２の情報の発生を予測するステップと、前記車載ネットワークにおいて前記第２の情報が伝送された場合に、予測した結果に基づいて、伝送された前記第２の情報が不正であるか否かを判断するステップとを含む。
【００２７】
このように、車載ネットワークにおける第１の情報に基づいて第２の情報の発生を予測する構成により、たとえば、第２の情報が発生する可能性の高い期間を取得することができるので、当該期間と異なる期間に発生した第２の情報を不正と判定することができる。これにより、車載ネットワークにおける不正な通信を正しく検知することができる。
【００２８】
（７）本発明の実施の形態に係る検知プログラムは、車両に搭載される車載ネットワークにおける不正な通信を検知する検知装置において用いられる検知プログラムであって、コンピュータを、前記車両に関する状態または制御を示す、前記車載ネットワークにおいて伝送される第１の情報を監視する監視部と、前記監視部によって監視された前記第１の情報に基づいて、前記車両に関する状態または制御を示す、前記車載ネットワークにおける第２の情報の発生を予測する予測部と、前記車載ネットワークにおいて前記第２の情報が伝送された場合に、前記予測部の予測結果に基づいて、伝送された前記第２の情報が不正であるか否かを判断する判断部、として機能させるためのプログラムである。
【００２９】
このように、車載ネットワークにおける第１の情報に基づいて第２の情報の発生を予測する構成により、たとえば、第２の情報が発生する可能性の高い期間を取得することができるので、当該期間と異なる期間に発生した第２の情報を不正と判定することができる。これにより、車載ネットワークにおける不正な通信を正しく検知することができる。
【００３０】
以下、本発明の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。
【００３１】
［構成および基本動作］
図１は、本発明の実施の形態に係る車載検知システムの構成を示す図である。
【００３２】
図１を参照して、車載検知システム３０１は、ゲートウェイ装置１５１と、複数の車載通信機１１１と、複数のバス接続装置群１２１とを備える。
【００３３】
図２は、本発明の実施の形態に係るバス接続装置群の構成を示す図である。
【００３４】
図２を参照して、バス接続装置群１２１は、複数の制御装置１２２を含む。なお、バス接続装置群１２１は、複数の制御装置１２２を備える構成に限らず、１つの制御装置１２２を含む構成であってもよい。
【００３５】
車載検知システム３０１は、道路を走行する車両（以下、対象車両とも称する。）に搭載される。車載ネットワーク１２は、対象車両に搭載され、対象車両の内部における装置である車載装置を複数含む。具体的には、車載ネットワーク１２は、車載装置の一例である、複数の車載通信機１１１および複数の制御装置１２２を含む。なお、車載ネットワーク１２は、複数の車載装置を含む構成であれば、複数の車載通信機１１１を含みかつ制御装置１２２を含まない構成であってもよいし、車載通信機１１１を含まずかつ複数の制御装置１２２を含む構成であってもよいし、１つの車載通信機１１１および１つの制御装置１２２を含む構成であってもよい。
【００３６】
車載ネットワーク１２において、車載通信機１１１は、たとえば、対象車両の外部における装置と通信する。具体的には、車載通信機１１１は、たとえば、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ  Ｃｏｍｍｕｎｉｃａｔｉｏｎ  Ｕｎｉｔ）、近距離無線端末装置、およびＩＴＳ（Ｉｎｔｅｌｌｉｇｅｎｔ  Ｔｒａｎｓｐｏｒｔ  Ｓｙｓｔｅｍｓ）無線機である。
【００３７】
ＴＣＵは、たとえば、ＬＴＥ（Ｌｏｎｇ  Ｔｅｒｍ  Ｅｖｏｌｕｔｉｏｎ）または３Ｇ等の通信規格に従って、無線基地局装置と無線通信を行うことが可能であり、かつゲートウェイ装置１５１と通信を行うことが可能である。ＴＣＵは、たとえば、ナビゲーション、車両盗難防止、リモートメンテナンスおよびＦＯＴＡ（Ｆｉｒｍｗａｒｅ  Ｏｖｅｒ  Ｔｈｅ  Ａｉｒ）等のサービスに用いる情報を中継する。
【００３８】
近距離無線端末装置は、たとえば、Ｗｉ−Ｆｉ（登録商標）およびＢｌｕｅｔｏｏｔｈ（登録商標）等の通信規格に従って、対象車両における人間（以下、対象者とも称する。）の保持するスマートホン等の無線端末装置と無線通信を行うことが可能であり、かつゲートウェイ装置１５１と通信を行うことが可能である。当該近距離無線端末装置は、たとえば、エンターテイメント等のサービスに用いる情報を中継する。
【００３９】
また、近距離無線端末装置は、たとえば、所定の通信規格に従って、対象者の保持するスマートキー等の無線端末装置、およびタイヤに設けられた無線端末装置とＬＦ（Ｌｏｗ  Ｆｒｅｑｕｅｎｃｙ）帯またはＵＨＦ（Ｕｌｔｒａ  Ｈｉｇｈ  Ｆｒｅｑｕｅｎｃｙ）帯の電波を用いて無線通信を行うことが可能であり、かつゲートウェイ装置１５１と通信を行うことが可能である。当該近距離無線端末装置は、たとえば、スマートエントリおよびＴＰＭＳ（Ｔｉｒｅ  Ｐｒｅｓｓｕｒｅ  Ｍｏｎｉｔｏｒｉｎｇ  Ｓｙｓｔｅｍ）等のサービスに用いる情報を中継する。
【００４０】
ＩＴＳ無線機は、たとえば、道路の近傍に設けられた光ビーコン、電波ビーコンおよびＩＴＳスポット等の路側機と路車間通信を行うことが可能であり、他の車両に搭載された車載端末と車車間通信を行うことが可能であり、かつゲートウェイ装置１５１と通信を行うことが可能である。ＩＴＳ無線機は、たとえば、渋滞緩和、安全運転支援およびルートガイダンス等のサービスに用いる情報を中継する。
【００４１】
ゲートウェイ装置１５１は、たとえば、ファームウェアのアップデート等のデータ、およびゲートウェイ装置１５１により蓄積されたデータ等を対象車両の外部における整備用端末装置とポート１１２を介して送受信することが可能である。
【００４２】
ゲートウェイ装置１５１は、たとえばバス１３，１４を介して車載装置と接続する。具体的には、バス１３，１４は、たとえば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）（登録商標）、ＦｌｅｘＲａｙ（登録商標）、ＭＯＳＴ（Ｍｅｄｉａ  Ｏｒｉｅｎｔｅｄ  Ｓｙｓｔｅｍｓ  Ｔｒａｎｓｐｏｒｔ）（登録商標）、イーサネット（登録商標）、およびＬＩＮ（Ｌｏｃａｌ  Ｉｎｔｅｒｃｏｎｎｅｃｔ  Ｎｅｔｗｏｒｋ）等の規格に従うバスである。
【００４３】
この例では、車載通信機１１１は、イーサネットの規格に従う対応のバス１４を介してゲートウェイ装置１５１と接続されている。また、バス接続装置群１２１における各制御装置１２２は、ＣＡＮの規格に従う対応のバス１３を介してゲートウェイ装置１５１と接続されている。制御装置１２２は、たとえば、対象車両における機能部を制御可能である。
【００４４】
バス１３は、たとえば系統別に設けられる。具体的には、バス１３は、たとえば、駆動系バス、シャーシ／安全系バス、ボディ／電装系バスおよびＡＶ／情報系バスである。
【００４５】
駆動系バスには、制御装置１２２の一例であるエンジン制御装置、ＡＴ（Ａｕｔｏｍａｔｉｃ  Ｔｒａｎｓｍｉｓｓｉｏｎ）制御装置およびＨＥＶ（Ｈｙｂｒｉｄ  Ｅｌｅｃｔｒｉｃ  Ｖｅｈｉｃｌｅ）制御装置が接続されている。エンジン制御装置、ＡＴ制御装置およびＨＥＶ制御装置は、エンジン、ＡＴ、およびエンジンとモータとの切替をそれぞれ制御する。
【００４６】
シャーシ／安全系バスには、制御装置１２２の一例であるブレーキ制御装置、シャーシ制御装置およびステアリング制御装置が接続されている。ブレーキ制御装置、シャーシ制御装置およびステアリング制御装置は、ブレーキ、シャーシおよびステアリングをそれぞれ制御する。
【００４７】
ボディ／電装系バスには、制御装置１２２の一例である計器表示制御装置、エアコン制御装置、盗難防止制御装置、エアバック制御装置およびスマートエントリ制御装置が接続されている。計器表示制御装置、エアコン制御装置、盗難防止制御装置、エアバック制御装置およびスマートエントリ制御装置は、計器、エアコン、盗難防止機構、エアバック機構およびスマートエントリをそれぞれ制御する。
【００４８】
ＡＶ／情報系バスには、制御装置１２２の一例であるナビゲーション制御装置、オーディオ制御装置、ＥＴＣ（Ｅｌｅｃｔｒｏｎｉｃ  Ｔｏｌｌ  Ｃｏｌｌｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）（登録商標）制御装置および電話制御装置が接続されている。ナビゲーション制御装置、オーディオ制御装置、ＥＴＣ制御装置および電話制御装置は、ナビゲーション装置、オーディオ装置、ＥＴＣ装置および携帯電話をそれぞれ制御する。
【００４９】
また、バス１３には、制御装置１２２が接続される構成に限らず、制御装置１２２以外の車載装置たとえばセンサが接続されてもよい。
【００５０】
ゲートウェイ装置１５１は、たとえば、セントラルゲートウェイ（Ｃｅｎｔｒａｌ  Ｇａｔｅｗａｙ：ＣＧＷ）であり、車載装置と通信を行うことが可能である。
【００５１】
ゲートウェイ装置１５１は、たとえば、対象車両において異なるバス１３に接続された制御装置１２２間でやり取りされる情報、各車載通信機１１１間でやり取りされる情報、制御装置１２２および車載通信機１１１間でやり取りされる情報を中継する中継処理を行う。
【００５２】
より詳細には、対象車両では、たとえば、所定の取り決めに従って、ある車載装置から他の車載装置へ周期的にメッセージが送信される。この例では、ある制御装置１２２から他の制御装置１２２へ周期的に送信されるメッセージについて説明するが、制御装置１２２および車載通信機１１１間において送信されるメッセージ、ならびに各車載通信機１１１間において送信されるメッセージについても同様である。
【００５３】
メッセージの送信は、ブロードキャストによって行われてもよいし、ユニキャストによって行われてもよい。以下、周期的に送信されるメッセージを周期メッセージとも称する。
【００５４】
また、対象車両では、周期メッセージの他に、ある制御装置１２２から他の制御装置１２２へ不定期に送信されるイベントメッセージが存在する。イベントメッセージは、たとえば、ドアロック、バッテリー、燃料、エアコン操作、シートベルト、運転支援、照明、メータ表示およびウィンドウ操作に関する情報の伝送に用いられる。
【００５５】
メッセージには、メッセージの内容および送信元等を識別するためのＩＤが含まれる。メッセージが周期メッセージおよびイベントメッセージのいずれであるかをＩＤによって識別することが可能である。
【００５６】
図３は、本発明の実施の形態に係る車載検知システムにおけるゲートウェイ装置の構成を示す図である。
【００５７】
図３を参照して、ゲートウェイ装置１５１は、通信処理部５１と、検知装置１０１とを備える。
【００５８】
ゲートウェイ装置１５１における通信処理部５１は、中継処理を行う。より詳細には、通信処理部５１は、ある車載装置から対応のバス経由でメッセージを受信すると、受信したメッセージを他の車載装置へ対応のバス経由で送信する。
【００５９】
図４は、本発明の実施の形態に係るゲートウェイ装置における検知装置の構成を示す図である。
【００６０】
図４を参照して、検知装置１０１は、監視部３１と、予測部３２と、判断部３３と、学習部３４とを備える。
【００６１】
検知装置１０１は、車載ネットワーク１２における不正な通信を検知する。
【００６２】
検知装置１０１における学習部３４は、たとえば、対象車両に関する状態または制御を示し、かつ車載ネットワーク１２において伝送される第１の情報の履歴に基づいて判断基準情報を作成する。たとえば、対象車両に関する制御を示し、かつ車載ネットワーク１２において伝送される第２の情報が伝送される際に、第１の情報は発生する。
【００６３】
詳細には、学習部３４は、たとえば、ＳＶＭ（Ｓｕｐｐｏｒｔ  ｖｅｃｔｏｒ  ｍａｃｈｉｎｅ）等の機械学習法を用いて、車載ネットワーク１２において伝送される複数の情報のうち、相関を有する情報を特定する。
【００６４】
より詳細には、学習部３４は、たとえば、発生要因が異なる第１の情報および第２の情報を特定する。具体的には、学習部３４は、たとえば、対象者が目的を持って行う動作に伴う挙動（以下、目的挙動とも称する。）に基づく第２の情報、および目的挙動に付随する挙動（以下、付随挙動とも称する。）に基づく第１の情報を特定する。
【００６５】
図５は、本発明の実施の形態に係る対象車両におけるパワーウィンドウ操作の一例を説明するための図である。
【００６６】
図５を参照して、たとえば、対象車両１には、運転席、助手席、助手席側後席および運転席側後席において、開閉可能な窓Ｗｆｄ、Ｗｆａ、ＷｒａおよびＷｒｄがそれぞれ設けられる。
【００６７】
運転席の近傍において、窓Ｗｆｄ，Ｗｆａ，Ｗｒａ，Ｗｒｄをそれぞれ開閉するためのパワーウィンドウスイッチＳＤ１〜ＳＤ４が設けられる。また、助手席の近傍において、窓Ｗｆａを開閉するためのパワーウィンドウスイッチＳＡが設けられる。
【００６８】
たとえば、ドライバによるパワーウィンドウスイッチＳＤ１〜ＳＤ４の操作に伴う目的挙動ＩＢ１が発生する場合、以下の付随挙動が発生する。
【００６９】
すなわち、ドライバがステアリングから手を離す付随挙動ＡＢ１、ドライバがスイッチを意識することによりドライバの目線がスイッチに向く付随挙動ＡＢ２、およびドライバが運転席上において体を動かす付随挙動ＡＢ３等が発生する。
【００７０】
付随挙動ＡＢ１が発生すると、たとえばステアリングの回転角が変化する。また、付随挙動ＡＢ２が発生すると、たとえばアクセルの開度が変化する。また、付随挙動ＡＢ３が発生すると、たとえば運転席におけるドライバの荷重の分布が変化する。
【００７１】
また、たとえば、助手席における対象者によるパワーウィンドウスイッチＳＡの操作に伴う目的挙動ＩＢ４が発生する場合、当該対象者が助手席上において体を動かす付随挙動ＡＢ４等が発生する。
【００７２】
学習部３４は、たとえば、車載ネットワーク１２において伝送される情報の内容を監視し、監視結果に基づいて、第１の情報および第２の情報を特定する。ここで、第１の情報および第２の情報は、たとえば相関を有する。
【００７３】
具体的には、学習部３４は、たとえば、第１の情報の一例として、メッセージ群Ｇｃ１、Ｇｃ２およびＧｃ３、ならびに第２の情報の一例としてイベントメッセージであるメッセージＭｅ１を特定する。
【００７４】
これらのメッセージ群およびイベントメッセージは、たとえば、バス接続装置群１２１およびバス１３を経由してゲートウェイ装置１５１へ伝送され、ゲートウェイ装置１５１によって中継される。なお、これらのメッセージ群およびイベントメッセージは、たとえば、ゲートウェイ装置１５１へバス１３経由で直接伝送され、ゲートウェイ装置１５１によって中継されてもよい。
【００７５】
メッセージ群Ｇｃ１は、たとえば、ステアリングに設けられたステアリング回転角センサＤＲから伝送される複数のメッセージのうち、付随挙動ＡＢ１に基づくステアリングの回転角の計測値の時系列変化（以下、時系列変化Ｒｅｆ１とも称する。）を含む複数のメッセージである。
【００７６】
メッセージ群Ｇｃ２は、たとえば、アクセルペダルに設けられたアクセル開度センサＤＡから伝送される複数のメッセージのうち、付随挙動ＡＢ２に基づくアクセル開度の計測値の時系列変化（以下、時系列変化Ｒｅｆ２とも称する。）を含む複数のメッセージである。
【００７７】
メッセージ群Ｇｃ３は、たとえば、運転席におけるシート荷重センサＤＳＤから伝送される複数のメッセージのうち、付随挙動ＡＢ３に基づく運転席におけるシート荷重の計測値の時系列変化（以下、時系列変化Ｒｅｆ３とも称する。）を含む複数のメッセージである。
【００７８】
メッセージＭｅ１は、目的挙動ＩＢ１によって発生するメッセージである。具体的には、メッセージＭｅ１は、たとえば、メッセージ群Ｇｃ１、Ｇｃ２およびＧｃ３と相関を有する、窓Ｗｆｄ，Ｗｆａ，Ｗｒａ，Ｗｒｄのうちの少なくともいずれか１つの開閉を制御するためのメッセージである。
【００７９】
また、学習部３４は、たとえば、第１の情報の一例としてメッセージ群Ｇｃ４、および第２の情報の一例としてイベントメッセージであるメッセージＭｅ４を特定する。
【００８０】
メッセージ群Ｇｃ４は、たとえば、助手席におけるシート荷重センサＤＳＡから伝送される複数のメッセージのうち、付随挙動ＡＢ４に基づく助手席におけるシート荷重の計測値の時系列変化（以下、時系列変化Ｒｅｆ４とも称する。）を含む複数のメッセージである。
【００８１】
メッセージＭｅ４は、目的挙動ＩＢ４によって発生するメッセージである。具体的には、メッセージＭｅ４は、たとえば、メッセージ群Ｇｃ４と相関を有する、窓Ｗｆａの開閉を制御するためのメッセージである。
【００８２】
学習部３４は、たとえば、対象者の付随挙動を検出するための付随挙動情報、および対象者の目的挙動を検出するための目的挙動情報を含む判断基準情報を作成する。
【００８３】
具体的には、学習部３４は、付随挙動情報ＡＢｉ１および目的挙動情報ＩＢｉ１を含む判断基準情報ＤＳｉ１を作成する。
【００８４】
付随挙動情報ＡＢｉ１は、メッセージ群Ｇｃ１〜Ｇｃ３のＩＤ（以下、それぞれＩＤｃ１〜ＩＤｃ３とも称する。）および時系列変化Ｒｅｆ１〜Ｒｅｆ３を示す。目的挙動情報ＩＢｉ１は、メッセージＭｅ１のＩＤ（以下、ＩＤｅ１とも称する。）および相対予定期間を示す。ここで、相対予定期間は、付随挙動の発生タイミングを基準とした場合における、目的挙動の発生が予定される期間である。
【００８５】
この例では、目的挙動の発生が予定される期間は、付随挙動の発生タイミングに対して時間的に後の期間である。なお、目的挙動の発生が予定される期間は、付随挙動の発生タイミングに対して時間的に前の期間であってもよい。
【００８６】
また、学習部３４は、付随挙動情報ＡＢｉ４および目的挙動情報ＩＢｉ４を含む判断基準情報ＤＳｉ４を作成する。
【００８７】
付随挙動情報ＡＢｉ４は、メッセージ群Ｇｃ４のＩＤ（以下、ＩＤｃ４とも称する。）および時系列変化Ｒｅｆ４を示す。目的挙動情報ＩＢｉ４は、メッセージＭｅ４のＩＤ（以下、ＩＤｅ４とも称する。）および相対予定期間を示す。
【００８８】
学習部３４は、作成した判断基準情報ＤＳｉ１およびＤＳｉ４を予測部３２へ出力する。また、学習部３４は、目的挙動情報ＩＢｉ１およびＩＢｉ４の示すメッセージのＩＤすなわちＩＤｅ１およびＩＤｅ４を判断部３３へ通知する。
【００８９】
予測部３２は、学習部３４から判断基準情報ＤＳｉ１およびＤＳｉ４を受けると、受けた判断基準情報ＤＳｉ１およびＤＳｉ４からＩＤｃ１〜ＩＤｃ４を取得し、取得したＩＤｃ１〜ＩＤｃ４を監視対象ＩＤとして監視部３１に登録する。
【００９０】
監視部３１は、車載ネットワーク１２において伝送される第１の情報を監視する。より詳細には、監視部３１は、たとえば、通信処理部５１が中継処理するメッセージに含まれるＩＤを監視する。
【００９１】
監視部３１は、たとえば、複数種類の第１の情報を監視する。具体的には、監視部３１は、予測部３２によって登録された監視対象ＩＤと同じＩＤを有するメッセージが通信処理部５１において中継処理される場合、当該メッセージのコピーを通信処理部５１から取得し、取得したメッセージを予測部３２へ出力する。
【００９２】
予測部３２は、監視部３１によって監視された第１の情報に基づいて、第２の情報の発生を予測する。
【００９３】
より詳細には、予測部３２は、たとえば、判断基準情報、および監視部３１によって監視された第１の情報に基づいて、第２の情報の発生を予測する。また、予測部３２は、たとえば、監視部３１によって監視された第１の情報の内容に基づいて、第２の情報の発生を予測する。
【００９４】
具体的には、予測部３２は、たとえば、判断基準情報ＤＳｉ１、および監視部３１によって取得されたメッセージすなわちＩＤｃ１〜ＩＤｃ３のうちのいずれか１つを有するメッセージの内容に基づいてメッセージＭｅ１の発生を予測する。また、予測部３２は、たとえば、判断基準情報ＤＳｉ４、およびＩＤｃ４を有するメッセージの内容に基づいてメッセージＭｅ４の発生を予測する。
【００９５】
より詳細には、予測部３２は、監視部３１からメッセージを受けて、受けたメッセージをＩＤごとに整理することにより、メッセージの内容すなわちステアリングの回転角の計測値、アクセル開度の計測値、運転席におけるシート荷重の計測値、および助手席におけるシート荷重の計測値の時系列データを取得する。
【００９６】
予測部３２は、たとえば、取得した時系列データと判断基準情報ＤＳｉ１に含まれる付随挙動情報ＡＢｉ１の示す時系列変化との類似度を算出する。
【００９７】
具体的には、予測部３２は、ステアリングの回転角の計測値の時系列データと時系列変化Ｒｅｆ１との類似度、アクセル開度の計測値の時系列データと時系列変化Ｒｅｆ２との類似度、および運転席におけるシート荷重の計測値の時系列データと時系列変化Ｒｅｆ３との類似度を算出する。
【００９８】
予測部３２は、各類似度が所定条件Ｃ１を満たす場合、付随挙動ＡＢ１〜ＡＢ３が発生したと判断する。ここで、所定条件Ｃ１は、たとえば、各類似度が対応のしきい値以上であるという条件である。
【００９９】
予測部３２は、付随挙動ＡＢ１〜ＡＢ３が発生したと判断すると、目的挙動ＩＢ１が発生する可能性が高いと判断し、以下の処理を行う。すなわち、予測部３２は、付随挙動ＡＢ１〜ＡＢ３の発生タイミング、および判断基準情報ＤＳｉ１に含まれる目的挙動情報ＩＢｉ１の示す相対予定期間に基づいて、ＩＤｅ１を有するメッセージが発生する絶対予定期間ＡＰ１を算出し、ＩＤｅ１および絶対予定期間ＡＰ１を判断部３３へ通知する。
【０１００】
また、予測部３２は、たとえば、助手席におけるシート荷重の計測値の時系列データと時系列変化Ｒｅｆ４との類似度を算出する。
【０１０１】
予測部３２は、各類似度が所定条件Ｃ４を満たす場合、付随挙動ＡＢ４が発生したと判断する。ここで、所定条件Ｃ４は、たとえば、当該類似度が対応のしきい値以上であるという条件である。
【０１０２】
予測部３２は、付随挙動ＡＢ４が発生したと判断すると、目的挙動ＩＢ４が発生する可能性が高いと判断し、以下の処理を行う。すなわち、予測部３２は、付随挙動ＡＢ４の発生タイミング、および判断基準情報ＤＳｉ４に含まれる目的挙動情報ＩＢｉ４の示す相対予定期間に基づいて、ＩＤｅ４を有するメッセージが発生する絶対時間を示す絶対予定期間ＡＰ４を算出し、ＩＤｅ４および絶対予定期間ＡＰ４を判断部３３へ通知する。
【０１０３】
判断部３３は、車載ネットワーク１２において第２の情報が伝送された場合に、予測部３２の予測結果に基づいて、伝送された第２の情報が不正であるか否かを判断する。
【０１０４】
より詳細には、判断部３３は、たとえば、１種類の第２の情報の不正の判断に、監視部３１によって監視された複数種類の第１の情報に基づく予測結果を用いる。
【０１０５】
具体的には、判断部３３は、メッセージＭｅ１の不正の判断に、監視部３１によって監視されたメッセージ群Ｇｃ１〜Ｇｃ３に基づく絶対予定期間ＡＰ１を用いる。
【０１０６】
より具体的には、判断部３３は、学習部３４からＩＤｅ１およびＩＤｅ４の通知を受けると、ＩＤｅ１およびＩＤｅ４のいずれか一方を有するメッセージ（以下、対象メッセージとも称する。）の通信処理部５１における中継処理を監視する。
【０１０７】
判断部３３は、通信処理部５１において対象メッセージの中継処理が行われた場合、対象メッセージが不正であるか否かを判断する。
【０１０８】
より詳細には、判断部３３は、たとえば、ＩＤｅ１を有する対象メッセージが、予測部３２からＩＤｅ１とともに通知された絶対予定期間ＡＰ１において中継処理された場合、当該対象メッセージが正当であると判断する。
【０１０９】
一方、判断部３３は、たとえば、ＩＤｅ１を有する対象メッセージが、絶対予定期間ＡＰ１と異なる期間において中継処理された場合、当該対象メッセージが不正であると判断する。
【０１１０】
また、判断部３３は、たとえば、１種類の第２の情報の不正の判断に、監視部３１によって監視された１種類の第１の情報に基づく予測結果を用いる。
【０１１１】
具体的には、判断部３３は、メッセージＭｅ４の不正の判断に、監視部３１によって監視されたメッセージ群Ｇｃ４に基づく絶対予定期間ＡＰ４を用いる。
【０１１２】
より具体的には、判断部３３は、たとえば、ＩＤｅ４を有する対象メッセージが、予測部３２からＩＤｅ４とともに通知された絶対予定期間ＡＰ４において中継処理された場合、当該対象メッセージが正当であると判断する。
【０１１３】
一方、判断部３３は、たとえば、ＩＤｅ４を有する対象メッセージが、絶対予定期間ＡＰ４と異なる期間において中継処理された場合、当該対象メッセージが不正であると判断する。
【０１１４】
判断部３３は、対象メッセージが不正であると判断した場合、たとえば、判断結果および対応のＩＤを含む不正情報を作成し、作成した不正情報を対象者の保持するスマートホンおよび計器表示制御装置等へ通信処理部５１経由で送信する。
【０１１５】
［変形例１］
図６は、本発明の実施の形態に係る対象車両におけるスマートエントリの一例を説明するための図である。
【０１１６】
図６を参照して、対象車両１には、運転席側のドア、助手席側のドア、トランクおよび車内において、ＬＦ帯のＬＦ信号を送信するためのアンテナＡＤ、ＡＡ、ＡＴおよびＡＩがそれぞれ設けられる。また、運転席側のドアにおいて、開錠スイッチＳＵＤおよび施錠スイッチＳＬＤが設けられる。助手席側のドアにおいて、開錠スイッチＳＵＡおよび施錠スイッチＳＬＡが設けられる。
【０１１７】
車載通信機１１１である近距離無線端末装置１１１Ａは、たとえば、アンテナＡＤ、ＡＡ、ＡＴおよびＡＩからＬＦ信号を送信する。
【０１１８】
より詳細には、近距離無線端末装置１１１Ａは、たとえば、送信に用いるアンテナの識別子（以下、送信元識別子とも称する。）を含む各ＬＦ信号を間欠的に送信する。これらのＬＦ信号の送信期間は、たとえば互いに重複しない。
【０１１９】
（１．開錠時）
スマートキーＳＫを保持するドライバが運転席側のドアに車両外部側から近づく状況において、スマートキーＳＫは、近距離無線端末装置１１１ＡからＬＦ信号を間欠的に受信すると、受信した各ＬＦ信号のＲＳＳＩ（Ｒｅｃｅｉｖｅｄ  Ｓｉｇｎａｌ  Ｓｔｒｅｎｇｔｈ  Ｉｎｄｉｃａｔｏｒ）を計測する。そして、スマートキーＳＫは、計測したＲＳＳＩ、および当該ＬＦ信号に含まれる送信元識別子を含むＵＨＦ帯のＲＦ（Ｒａｄｉｏ  Ｆｒｅｑｕｅｎｃｙ）信号を対象車両１へ送信する。
【０１２０】
近距離無線端末装置１１１Ａは、スマートキーＳＫからＲＦ信号を受信すると、受信したＲＦ信号からＲＳＳＩおよび送信元識別子を取得し、取得したＲＳＳＩおよび送信元識別子を含むメッセージＭｃ５を制御装置１２２であるスマートエントリ制御装置１２２Ａへゲートウェイ装置１５１経由でたとえば周期的に送信する。
【０１２１】
スマートエントリ制御装置１２２Ａは、メッセージＭｃ５を近距離無線端末装置１１１Ａから受信して、メッセージＭｃ５の内容を集計することにより送信元識別子ごとのＲＳＳＩを取得する。
【０１２２】
スマートエントリ制御装置１２２Ａは、取得した送信元識別子ごとのＲＳＳＩに基づいて、対象車両１に対するスマートキーＳＫの位置すなわちドライバの位置を算出する。この例では、スマートエントリ制御装置１２２Ａは、運転席側のドアの外側にドライバが位置すると導出する。
【０１２３】
ドライバが運転席側のドアにおける開錠スイッチＳＵＤを操作すると、操作結果を示すメッセージＭｅ５が、たとえばバス接続装置群１２１およびバス１３を経由してゲートウェイ装置１５１において中継された後、スマートエントリ制御装置１２２Ａへ伝送される。なお、メッセージＭｅ５が、たとえば、スマートエントリ制御装置１２２Ａおよびゲートウェイ装置１５１へバス１３経由で直接伝送されてもよい。
【０１２４】
スマートエントリ制御装置１２２Ａは、メッセージＭｅ５を受信すると、運転席側のドアの鍵を開錠するための制御を行う。
【０１２５】
（２．施錠時）
スマートキーＳＫを保持するドライバが運転席から降車する状況において、スマートエントリ制御装置１２２Ａは、メッセージＭｃ５を近距離無線端末装置１１１Ａからゲートウェイ装置１５１経由で受信して、受信したメッセージＭｃ５から送信元識別子ごとのＲＳＳＩを取得する。
【０１２６】
スマートエントリ制御装置１２２Ａは、取得した送信元識別子ごとのＲＳＳＩに基づいて、運転席側に位置したドライバが運転席側のドアの外側へ移動したと導出する。
【０１２７】
ドライバが運転席側のドアにおける施錠スイッチＳＬＤを操作すると、操作結果を示すメッセージＭｅ６が、たとえばバス接続装置群１２１およびバス１３を経由してゲートウェイ装置１５１において中継された後、スマートエントリ制御装置１２２Ａへ伝送される。なお、メッセージＭｅ６が、たとえば、スマートエントリ制御装置１２２Ａおよびゲートウェイ装置１５１へバス１３経由で直接伝送されてもよい。
【０１２８】
スマートエントリ制御装置１２２Ａは、メッセージＭｅ６を受信すると、運転席側のドアの鍵を施錠するための制御を行う。
【０１２９】
再び図４を参照して、たとえば、対象車両１の外部から運転席へ乗車するための、ドライバによる開錠スイッチＳＵＤの操作に伴う目的挙動ＩＢ５が発生する場合、以下の付随挙動が発生する。
【０１３０】
すなわち、ドライバが運転席側のドアの外側において移動を一定時間停止する付随挙動ＡＢ５等が発生する。
【０１３１】
付随挙動ＡＢ５が発生すると、たとえばスマートキーＳＫが計測する各ＬＦ信号のＲＳＳＩが一定時間安定する。
【０１３２】
また、たとえば、運転席から降車したドライバが、運転席側のドアを施錠するための、ドライバによる施錠スイッチＳＬＤの操作に伴う目的挙動ＩＢ６が発生する場合、以下の付随挙動が発生する。
【０１３３】
すなわち、運転席に位置したドライバが、運転席側のドアの外側へ移動した後、当該ドアの外側において移動を一定時間停止する付随挙動ＡＢ６等が発生する。
【０１３４】
付随挙動ＡＢ６が発生すると、たとえばスマートキーＳＫが計測する各ＬＦ信号のＲＳＳＩにおいて、ドライバの移動に伴う変動が発生した後、一定時間安定する。
【０１３５】
学習部３４は、たとえば、第１の情報の一例として、メッセージ群Ｇｃ５、および第２の情報の一例としてイベントメッセージであるメッセージＭｅ５を特定する。
【０１３６】
メッセージ群Ｇｃ５は、たとえば、近距離無線端末装置１１１Ａから伝送される複数のメッセージＭｃ５のうち、付随挙動ＡＢ５に基づく送信元識別子ごとのＲＳＳＩの時系列変化（以下、時系列変化Ｒｅｆ５とも称する。）を含む複数のメッセージである。
【０１３７】
メッセージＭｅ５は、上述のように目的挙動ＩＢ５によって発生するメッセージである。
【０１３８】
また、学習部３４は、たとえば、第１の情報の一例として、メッセージ群Ｇｃ６、および第２の情報の一例としてイベントメッセージであるメッセージＭｅ６を特定する。
【０１３９】
メッセージ群Ｇｃ６は、たとえば、近距離無線端末装置１１１Ａから伝送される複数のメッセージＭｃ５のうち、付随挙動ＡＢ６に基づく送信元識別子ごとのＲＳＳＩの時系列変化（以下、時系列変化Ｒｅｆ６とも称する。）を含む複数のメッセージである。
【０１４０】
メッセージＭｅ６は、上述のように目的挙動ＩＢ６によって発生するメッセージである。
【０１４１】
学習部３４は、付随挙動情報ＡＢｉ５および目的挙動情報ＩＢｉ５を含む判断基準情報ＤＳｉ５を作成する。
【０１４２】
付随挙動情報ＡＢｉ５は、メッセージ群Ｇｃ５のＩＤ（以下、ＩＤｃ５とも称する。）および時系列変化Ｒｅｆ５を示す。目的挙動情報ＩＢｉ５は、メッセージＭｅ５のＩＤ（以下、ＩＤｅ５とも称する。）および相対予定期間を示す。
【０１４３】
また、学習部３４は、付随挙動情報ＡＢｉ６および目的挙動情報ＩＢｉ６を含む判断基準情報ＤＳｉ６を作成する。
【０１４４】
付随挙動情報ＡＢｉ６は、メッセージ群Ｇｃ６のＩＤすなわちＩＤｃ５、および時系列変化Ｒｅｆ６を示す。目的挙動情報ＩＢｉ６は、メッセージＭｅ６のＩＤ（以下、ＩＤｅ６とも称する。）および相対予定期間を示す。
【０１４５】
学習部３４は、作成した判断基準情報ＤＳｉ５およびＤＳｉ６を予測部３２へ出力する。また、学習部３４は、目的挙動情報ＩＢｉ５およびＩＢｉ６の示すメッセージのＩＤすなわちＩＤｅ５およびＩＤｅ６を判断部３３へ通知する。
【０１４６】
予測部３２は、学習部３４から判断基準情報ＤＳｉ５およびＤＳｉ６を受けると、受けた判断基準情報ＤＳｉ５およびＤＳｉ６のいずれか一方からＩＤｃ５を取得し、取得したＩＤｃ５を監視対象ＩＤとして監視部３１に登録する。
【０１４７】
上述のように、監視部３１は、予測部３２によって登録された監視対象ＩＤと同じＩＤを有するメッセージが通信処理部５１において中継処理される場合、当該メッセージのコピーを予測部３２へ出力する。
【０１４８】
予測部３２は、監視部３１からＩＤｃ５を有するメッセージすなわちメッセージＭｃ５を受けて、受けたメッセージＭｃ５を整理することにより、送信元識別子ごとのＲＳＳＩの時系列変化を取得する。
【０１４９】
予測部３２は、送信元識別子ごとのＲＳＳＩの時系列データと時系列変化Ｒｅｆ５との類似度を算出する。
【０１５０】
予測部３２は、類似度が所定条件Ｃ５を満たす場合、付随挙動ＡＢ５が発生したと判断する。ここで、所定条件Ｃ５は、たとえば、類似度が対応のしきい値以上という条件である。
【０１５１】
予測部３２は、付随挙動ＡＢ５が発生したと判断すると、目的挙動ＩＢ５が発生する可能性が高いと判断し、以下の処理を行う。すなわち、予測部３２は、付随挙動ＡＢ５の発生タイミング、および判断基準情報ＤＳｉ５に含まれる目的挙動情報ＩＢｉ５の示す相対予定期間から、ＩＤｅ５を有するメッセージが発生する絶対予定期間ＡＰ５を算出し、ＩＤｅ５および絶対予定期間ＡＰ５を判断部３３へ通知する。
【０１５２】
また、予測部３２は、送信元識別子ごとのＲＳＳＩの時系列データと時系列変化Ｒｅｆ６との類似度を算出する。
【０１５３】
予測部３２は、類似度が所定条件Ｃ６を満たす場合、付随挙動ＡＢ６が発生したと判断する。ここで、所定条件Ｃ６は、たとえば、類似度が対応のしきい値以上という条件である。
【０１５４】
予測部３２は、付随挙動ＡＢ６が発生したと判断すると、目的挙動ＩＢ６が発生する可能性が高いと判断し、以下の処理を行う。すなわち、予測部３２は、付随挙動ＡＢ６の発生タイミング、および判断基準情報ＤＳｉ６に含まれる目的挙動情報ＩＢｉ６の示す相対予定期間から、ＩＤｅ６を有するメッセージが発生する絶対予定期間ＡＰ６を算出し、ＩＤｅ６および絶対予定期間ＡＰ６を判断部３３へ通知する。
【０１５５】
判断部３３は、学習部３４からＩＤｅ５およびＩＤｅ６の通知を受けると、ＩＤｅ５およびＩＤｅ６のいずれか一方を有する対象メッセージの通信処理部５１における中継処理を監視する。
【０１５６】
判断部３３は、たとえば、ＩＤｅ５を有する対象メッセージが、予測部３２からＩＤｅ５とともに通知された絶対予定期間ＡＰ５において中継処理された場合、当該対象メッセージが正当であると判断する。
【０１５７】
一方、判断部３３は、たとえば、ＩＤｅ５を有する対象メッセージが、絶対予定期間ＡＰ５と異なる期間において中継処理された場合、当該対象メッセージが不正であると判断する。
【０１５８】
同様に、判断部３３は、たとえば、ＩＤｅ６を有する対象メッセージが、予測部３２からＩＤｅ６とともに通知された絶対予定期間ＡＰ６において中継処理された場合、当該対象メッセージが正当であると判断する。
【０１５９】
一方、判断部３３は、たとえば、ＩＤｅ６を有する対象メッセージが、絶対予定期間ＡＰ６と異なる期間において中継処理された場合、当該対象メッセージが不正であると判断する。
【０１６０】
［変形例２］
図７は、本発明の実施の形態に係る対象車両におけるスマートエントリを用いた原動機始動の一例を説明するための図である。
【０１６１】
図７を参照して、対象車両１には、原動機始動スイッチＳＳＴが設けられる。スマートキーＳＫを保持するドライバが運転席に位置する状況において、スマートエントリ制御装置１２２Ａは、メッセージＭｃ５を近距離無線端末装置１１１Ａからゲートウェイ装置１５１経由で受信して、受信したメッセージＭｃ５から送信元識別子ごとのＲＳＳＩを取得する。
【０１６２】
スマートエントリ制御装置１２２Ａは、取得した送信元識別子ごとのＲＳＳＩに基づいて、対象車両１に対するスマートキーＳＫの位置すなわちドライバの位置を導出する。この例では、スマートエントリ制御装置１２２Ａは、ドライバが運転席に位置すると導出する。
【０１６３】
ドライバが原動機始動スイッチＳＳＴを操作すると、操作結果を示すメッセージＭｅ７が、たとえばバス接続装置群１２１およびバス１３を経由してゲートウェイ装置１５１において中継された後、エンジン制御装置１２２Ｂへ伝送される。なお、メッセージＭｅ７が、たとえば、エンジン制御装置１２２Ｂおよびゲートウェイ装置１５１へバス１３経由で直接伝送されてもよい。
【０１６４】
エンジン制御装置１２２Ｂは、メッセージＭｅ７を受信すると、エンジンを始動するための制御を行う。
【０１６５】
再び図４を参照して、たとえば、対象車両１におけるエンジンを始動するための、ドライバによる原動機始動スイッチＳＳＴの操作に伴う目的挙動ＩＢ７が発生する場合、以下の付随挙動が発生する。
【０１６６】
すなわち、ドライバが運転席において動作を一定時間停止する付随挙動ＡＢ７、ドライバがブレーキペダルを踏み込む付随挙動ＡＢ８等が発生する。
【０１６７】
付随挙動ＡＢ７が発生すると、たとえばスマートキーＳＫが計測する各ＬＦ信号のＲＳＳＩ、および各ＲＳＳＩ間の差が安定する。また、付随挙動ＡＢ８が発生すると、たとえばブレーキペダルの踏み込み強度が変化する。
【０１６８】
学習部３４は、たとえば、第１の情報の一例として、メッセージ群Ｇｃ７およびＧｃ８、ならびに第２の情報の一例としてイベントメッセージであるメッセージＭｅ７を特定する。
【０１６９】
メッセージ群Ｇｃ７は、たとえば、近距離無線端末装置１１１Ａから伝送される複数のメッセージＭｃ５のうち、付随挙動ＡＢ７に基づく送信元識別子ごとのＲＳＳＩの時系列変化（以下、時系列変化Ｒｅｆ７とも称する。）を含む複数のメッセージである。
【０１７０】
メッセージ群Ｇｃ８は、たとえば、ブレーキペダルに設けられた踏み込み強度センサＤＢから伝送される複数のメッセージのうち、付随挙動ＡＢ８に基づくブレーキ踏み込み強度の計測値の時系列変化（以下、時系列変化Ｒｅｆ８とも称する。）を含む複数のメッセージである。
【０１７１】
メッセージＭｅ７は、上述のように目的挙動ＩＢ７によって発生するメッセージである。
【０１７２】
学習部３４は、付随挙動情報ＡＢｉ７および目的挙動情報ＩＢｉ７を含む判断基準情報ＤＳｉ７を作成する。
【０１７３】
付随挙動情報ＡＢｉ７は、メッセージ群Ｇｃ７のＩＤすなわちＩＤｃ５、メッセージ群Ｇｃ８のＩＤ（以下、ＩＤｃ８とも称する。）、ならびに時系列変化Ｒｅｆ７およびＲｅｆ８を示す。目的挙動情報ＩＢｉ７は、メッセージＭｅ７のＩＤ（以下、ＩＤｅ７とも称する。）および相対予定期間を示す。
【０１７４】
学習部３４は、作成した判断基準情報ＤＳｉ７を予測部３２へ出力する。また、学習部３４は、目的挙動情報ＩＢｉ７の示すメッセージのＩＤすなわちＩＤｅ７を判断部３３へ通知する。
【０１７５】
予測部３２は、学習部３４から判断基準情報ＤＳｉ７を受けると、受けた判断基準情報ＤＳｉ７からＩＤｃ５およびＩＤｃ８を取得し、取得したＩＤｃ５およびＩＤｃ８を監視対象ＩＤとして監視部３１に登録する。
【０１７６】
上述のように、監視部３１は、予測部３２によって登録された監視対象ＩＤと同じＩＤを有するメッセージが通信処理部５１において中継処理される場合、当該メッセージのコピーを予測部３２へ出力する。
【０１７７】
予測部３２は、監視部３１からＩＤｃ５およびＩＤｃ８のいずれか一方を有するメッセージを受けて、受けたメッセージをＩＤごとに整理することにより、送信元識別子ごとのＲＳＳＩの時系列変化、およびブレーキ踏み込み強度の計測値の時系列変化を取得する。
【０１７８】
予測部３２は、送信元識別子ごとのＲＳＳＩの時系列データと時系列変化Ｒｅｆ７との類似度、およびブレーキ踏み込み強度の計測値の時系列変化と時系列変化Ｒｅｆ８との類似度を算出する。
【０１７９】
予測部３２は、各類似度が所定条件Ｃ７を満たす場合、付随挙動ＡＢ７およびＡＢ８が発生したと判断する。ここで、所定条件Ｃ７は、たとえば、各類似度が対応のしきい値以上という条件である。
【０１８０】
予測部３２は、付随挙動ＡＢ７およびＡＢ８が発生したと判断すると、目的挙動ＩＢ７が発生する可能性が高いと判断し、以下の処理を行う。すなわち、予測部３２は、付随挙動ＡＢ７およびＡＢ８の発生タイミング、および判断基準情報ＤＳｉ７に含まれる目的挙動情報ＩＢｉ７の示す相対予定期間から、ＩＤｅ７を有するメッセージが発生する絶対予定期間ＡＰ７を算出し、ＩＤｅ７および絶対予定期間ＡＰ７を判断部３３へ通知する。
【０１８１】
判断部３３は、学習部３４からＩＤｅ７の通知を受けると、ＩＤｅ７を有する対象メッセージの通信処理部５１における中継処理を監視する。
【０１８２】
判断部３３は、たとえば、ＩＤｅ７を有する対象メッセージが、予測部３２からＩＤｅ７とともに通知された絶対予定期間ＡＰ７において中継処理された場合、当該対象メッセージが正当であると判断する。
【０１８３】
一方、判断部３３は、たとえば、ＩＤｅ７を有する対象メッセージが、絶対予定期間ＡＰ７と異なる期間において中継処理された場合、当該対象メッセージが不正であると判断する。
【０１８４】
［動作］
車載検知システム３０１における各装置は、コンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のシーケンス図またはフローチャートの各ステップの一部または全部を含むプログラムを図示しないメモリからそれぞれ読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。
【０１８５】
図８は、本発明の実施の形態に係る検知装置が付随挙動の発生を検出する際の動作手順を定めたフローチャートである。
【０１８６】
図８を参照して、まず、検知装置１０１は、ゲートウェイ装置１５１において中継処理されたメッセージを用いて判断基準情報を作成する（ステップＳ１０２）。
【０１８７】
次に、検知装置１０１は、判断基準情報に含まれる付随挙動情報、およびゲートウェイ装置１５１において中継処理されたメッセージの内容に基づいて、対象者の付随挙動の発生を監視する（ステップＳ１０４）。
【０１８８】
次に、検知装置１０１は、対象者の付随挙動の発生を検出した場合（ステップＳ１０６でＹＥＳ）、付随挙動の発生タイミング、および判断基準情報に含まれる目的挙動情報に基づいて絶対予定期間を設定し（ステップＳ１０８）、対象者の付随挙動の発生の監視を継続する（ステップＳ１０４）。
【０１８９】
一方、検知装置１０１は、対象者の付随挙動の発生を検出しなかった場合（ステップＳ１０６でＮＯ）、対象者の付随挙動の発生の監視を継続する（ステップＳ１０４）。
【０１９０】
図９は、本発明の実施の形態に係る検知装置が対象メッセージの不正を判断する際の動作手順を定めたフローチャートである。なお、検知装置１０１は、図８および図９にそれぞれ示す各フローチャートの処理を、異なる処理として独立に実行する。
【０１９１】
図９を参照して、まず、検知装置１０１は、ゲートウェイ装置１５１における対象メッセージの中継処理を監視する（ステップＳ２０２）。
【０１９２】
次に、検知装置１０１は、ゲートウェイ装置１５１において対象メッセージの中継処理が行われた場合（ステップＳ２０４でＹＥＳ）、対象メッセージの中継処理が絶対予定期間内に行われた否かを確認する（ステップＳ２０６）。
【０１９３】
検知装置１０１は、対象メッセージの中継処理が絶対予定期間内に行われた場合（ステップＳ２０６でＹＥＳ）、対象メッセージが正当であると判断し（ステップＳ２０８）、ゲートウェイ装置１５１における対象メッセージの中継処理の監視を継続する（ステップＳ２０２）。
【０１９４】
一方、検知装置１０１は、対象メッセージの中継処理が絶対予定期間内に行われなかった場合（ステップＳ２０６でＮＯ）、対象メッセージが不正であると判断し（ステップＳ２１０）、ゲートウェイ装置１５１における対象メッセージの中継処理の監視を継続する（ステップＳ２０２）。
【０１９５】
また、検知装置１０１は、ゲートウェイ装置１５１において対象メッセージの中継処理が行われなかった場合（ステップＳ２０４でＮＯ）、ゲートウェイ装置１５１における対象メッセージの中継処理の監視を継続する（ステップＳ２０２）。
【０１９６】
なお、本発明の実施の形態に係る車載検知システムでは、検知装置１０１は、ゲートウェイ装置１５１の内部に設けられる構成であるとしたが、これに限定するものではない。検知装置１０１は、ゲートウェイ装置１５１の外部に設けられる構成であってもよい。
【０１９７】
また、本発明の実施の形態に係る車載検知システムでは、第２の情報は、対象車両に関する制御を示したが、これに限定するものではない。第２の情報は、対象車両に関する状態を示してもよい。具体的には、第２の情報は、たとえば、運転支援に用いられる、対象車両のふらつきおよび速度超過等の状態を示す情報である。ふらつきを示す情報の発生は、たとえば、対象車両の加速度、対象車両におけるステアリングの回転角、および対象車両におけるアクセルの開度についての時系列変化に基づいて予測される。また、速度超過を示す情報の発生は、たとえば、対象車両の加速度、および対象車両におけるアクセルの開度についての時系列変化に基づいて予測される。
【０１９８】
また、本発明の実施の形態に係る車載検知システムでは、第１の情報および第２の情報は、発生要因が異なるとしたが、これに限定するものではない。第１の情報および第２の情報は、発生要因が同じであってもよい。
【０１９９】
また、本発明の実施の形態に係る車載検知システムでは、予測部３２は、判断基準情報および第１の情報に基づいて、第２の情報の発生を予測する構成であるとしたが、これに限定するものではない。予測部３２は、判断基準情報を用いずに第２の情報の発生を予測する構成であってもよい。具体的には、たとえば、車載ネットワーク１２における情報の伝送が、第１の情報の伝送から所定時間経過後に第２の情報の伝送が行われるようなプロトコルに従う場合、予測部３２は、第１の情報の発生に基づいて第２の情報の発生を予測可能である。
【０２００】
また、本発明の実施の形態に係る車載検知システムでは、予測部３２は、第１の情報の内容に基づいて、第２の情報の発生を予測する構成であるとしたが、これに限定するものではない。予測部３２は、第１の情報の内容の代わりに、第１の情報の伝送の有無等に基づいて、第２の情報の発生を予測する構成であってもよい。
【０２０１】
また、本発明の実施の形態に係る車載検知システムでは、検知装置を備えるゲートウェイ装置１５１がバス１３に直接接続される構成であるとしたが、これに限定するものではない。
【０２０２】
図１０は、本発明の実施の形態に係る車載ネットワークの接続トポロジの一例を示す図である。
【０２０３】
図１０を参照して、検知装置１３１が、車載装置たとえば制御装置１２２を介してバス１３に接続される構成であってもよい。この場合、検知装置１３１は、たとえば、当該車載装置が送受信する対象メッセージを監視することにより、バス１３に伝送される不正メッセージを検知する。
【０２０４】
ところで、特許文献１には、車載ネットワークに限定して接続される第１のＥＣＵおよび第２のＥＣＵがメッセージ認証に用いる第１の暗号鍵と、車載ネットワークおよび車外ネットワークの両方に接続される第３のＥＣＵが用いる第２の暗号鍵とが異なることにより、車外ネットワークに接続されない第１のＥＣＵおよび第２のＥＣＵに対する車外ネットワークからのサイバー攻撃を防ぐ構成が開示されている。
【０２０５】
しかしながら、メッセージ認証を用いるセキュリティ対策では、プロトコルの脆弱性を突いた攻撃、第１の暗号鍵の不正入手による攻撃、および暗号アルゴリズムの陳腐化を突いた攻撃等により、当該セキュリティ対策が無効化されることがある。
【０２０６】
このような場合において、攻撃者が車載ネットワークに侵入したことを正しく検知するための技術が求められる。
【０２０７】
これに対して、本発明の実施の形態に係る検知装置は、対象車両に搭載される車載ネットワーク１２における不正な通信を検知する。監視部３１は、対象車両に関する状態または制御を示す、車載ネットワーク１２において伝送される第１の情報を監視する。予測部３２は、監視部３１によって監視された第１の情報に基づいて、対象車両に関する状態または制御を示す、車載ネットワーク１２における第２の情報の発生を予測する。そして、判断部３３は、車載ネットワーク１２において第２の情報が伝送された場合に、予測部３２の予測結果に基づいて、伝送された第２の情報が不正であるか否かを判断する。
【０２０８】
このように、車載ネットワーク１２における第１の情報に基づいて第２の情報の発生を予測する構成により、たとえば、第２の情報が発生する可能性の高い期間を取得することができるので、当該期間と異なる期間に発生した第２の情報を不正と判定することができる。これにより、車載ネットワークにおける不正な通信を正しく検知することができる。
【０２０９】
また、本発明の実施の形態に係る検知装置では、第１の情報および第２の情報の発生要因が異なる。
【０２１０】
このような構成により、第１の情報および第２の情報の発生要因が同じ場合と比べて、第１の情報および第２の情報の組み合わせの個数を多くすることができるので、不正通信の検出により適した第１の情報および第２の情報の組み合わせの抽出可能性を高めることができる。
【０２１１】
また、本発明の実施の形態に係る検知装置では、監視部３１は、複数種類の第１の情報を監視する。そして、判断部３３は、１種類の第２の情報の不正の判断に、監視部３１によって監視された複数種類の第１の情報に基づく予測結果を用いる。
【０２１２】
このような構成により、たとえば、ユーザまたは車両の挙動を多様にセンシングした結果に基づいて第２の情報の発生を予測することができるので、第２の情報の発生の予測精度を高めることができる。
【０２１３】
また、本発明の実施の形態に係る検知装置では、予測部３２は、車載ネットワーク１２において第２の情報が伝送される際に発生する第１の情報の履歴に基づいて作成された判断基準情報と、監視部３１によって監視された第１の情報とに基づいて、第２の情報の発生を予測する。
【０２１４】
このような構成により、第１の情報の時系列変化から第２の情報の発生を予測することができるので、第２の情報の発生の予測精度を高めることができる。
【０２１５】
また、本発明の実施の形態に係る検知装置では、予測部３２は、監視部３１によって監視された第１の情報の内容に基づいて、第２の情報の発生を予測する。
【０２１６】
このような構成により、たとえば、第１の情報の示すユーザまたは車両の挙動の内容に基づいて、当該挙動に相関する第２の情報の発生を予測することができるので、第２の情報の発生の予測精度を高めることができる。
【０２１７】
上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【０２１８】
以上の説明は、以下に付記する特徴を含む。
【０２１９】
［付記１］
車両に搭載される車載ネットワークにおける不正な通信を検知する検知装置であって、
前記車両に関する状態または制御を示す、前記車載ネットワークにおいて伝送される第１の情報を監視する監視部と、
前記監視部によって監視された前記第１の情報に基づいて、前記車両に関する状態または制御を示す、前記車載ネットワークにおける第２の情報の発生を予測する予測部と、
前記車載ネットワークにおいて前記第２の情報が伝送された場合に、前記予測部の予測結果に基づいて、伝送された前記第２の情報が不正であるか否かを判断する判断部とを備え、
前記予測部は、前記車両におけるステアリングの回転角を示す情報、前記車両におけるアクセルの開度を示す情報、および前記車両における運転席のシート荷重を示す情報に基づいて、前記車両の運転席の近傍の設けられたパワーウィンドウスイッチの操作結果を示す情報の発生を予測し、
前記予測部は、前記車両における助手席のシート荷重を示す情報に基づいて、前記車両の助手席の近傍の設けられたパワーウィンドウスイッチの操作結果を示す情報の発生を予測し、
前記予測部は、前記車両に設けられた複数のアンテナからそれぞれ送信された電波のスマートキーにおける各受信強度を示す情報に基づいて、前記車両のドアに設けられた開錠スイッチまたは施錠スイッチの操作結果を示す情報の発生を予測し、
前記予測部は、前記各受信強度を示す情報、および前記車両におけるブレーキペダルの踏み込み強度を示す情報に基づいて、前記車両に設けられた原動機始動スイッチの操作結果を示す情報の発生を予測する、検知装置。
【符号の説明】
【０２２０】
１  対象車両
１２  車載ネットワーク
１３，１４  バス
３１  監視部
３２  予測部
３３  判断部
３４  学習部
５１  通信処理部
１０１  検知装置
１５１  ゲートウェイ装置
１１１  車載通信機
１１１Ａ  近距離無線端末装置
１１２  ポート
１２１  バス接続装置群
１２２  制御装置
１２２Ａ  スマートエントリ制御装置
１２２Ｂ  エンジン制御装置
１３１  検知装置
３０１  車載検知システム
【図１】
2018093331.tif 000003
【図２】
2018093331.tif 000004
【図３】
2018093331.tif 000005
【図４】
2018093331.tif 000006
【図５】
2018093331.tif 000007
【図６】
2018093331.tif 000008
【図７】
2018093331.tif 000009
【図８】
2018093331.tif 000010
【図９】
2018093331.tif 000011
【図１０】
2018093331.tif 000012