(57)【要約】【課題】車載ネットワークにおいて良好なセキュリティを提供することが可能な中継装置、検知方法および検知プログラムを提供する。【解決手段】中継装置は、車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置であって、前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするカウント部と、前記カウント部のカウント値を監視し、前記カウント部によってカウントされた各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知する検知部とを備える。【選択図】図２
2018174480.tif 000002
【特許請求の範囲】
【請求項１】
車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置であって、
前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするカウント部と、
前記カウント部のカウント値を監視し、前記カウント部によってカウントされた各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知する検知部とを備える、中継装置。
【請求項２】
前記パケットは、各前記対象機能部へ順番に送信され、
前記検知部は、前記順番における最後の前記対象機能部以外の前記対象機能部への不正通信を検知可能である、請求項１に記載の中継装置。
【請求項３】
前記検知部は、不正通信において２つ以上のパケットがいずれか１つの前記対象機能部へ中継された場合に前記不正通信を検知可能である、請求項１または請求項２に記載の中継装置。
【請求項４】
各前記対象機能部は、共通の前記機能部へパケットを送信する機能部である、請求項１から請求項３のいずれか１項に記載の中継装置。
【請求項５】
各前記対象機能部は、パケットの送信先ポート番号が同じであること、アドレスが所定範囲に含まれること、属するネットワークの識別子が同じであること、および所定の定義情報により定義されていることの少なくともいずれか１つを満たす機能部である、請求項１から請求項４のいずれか１項に記載の中継装置。
【請求項６】
各前記対象機能部は、同類の機器を含む、請求項１から請求項５のいずれか１項に記載の中継装置。
【請求項７】
前記検知部は、前記最大値および前記最小値の差分の推移に基づいて前記不正通信を検知する、請求項１から請求項６のいずれか１項に記載の中継装置。
【請求項８】
前記検知部は、前記推移において前記差分が減少から増加に転じる際の値に基づいて前記不正通信を検知する、請求項７に記載の中継装置。
【請求項９】
前記検知部は、前記推移において前記差分が減少してゼロに達する前に増加に転じた場合、前記不正通信が発生したと判断する、請求項８に記載の中継装置。
【請求項１０】
前記カウント部は、前記検知部によって前記不正通信が検知された場合、各前記中継パケット数をリセットする、請求項１から請求項９のいずれか１項に記載の中継装置。
【請求項１１】
前記パケットは、所定の順番で各前記対象機能部へ送信され、
前記カウント部は、前記検知部によって前記不正通信が検知された後、前記パケットの中継先となる前記対象機能部が切り替わる際に各前記中継パケット数をリセットする、請求項１から請求項１０のいずれか１項に記載の中継装置。
【請求項１２】
車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置における検知方法であって、
前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするステップと、
カウントしたカウント値を監視し、カウントした各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知するステップとを含む、検知方法。
【請求項１３】
車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置において用いられる検知プログラムであって、
コンピュータを、
前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするカウント部と、
前記カウント部のカウント値を監視し、前記カウント部によってカウントされた各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知する検知部、
として機能させるための、検知プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、中継装置、検知方法および検知プログラムに関する。
【背景技術】
【０００２】
従来、車載ネットワークにおけるセキュリティを向上させるための車載通信システムが開発されている。
【０００３】
たとえば、特許文献１（特開２０１６−９２６４５号公報）には、以下のような車載通信システムが開示されている。すなわち、車載通信システムは、外部機器と車載ＬＡＮとの間での通信を中継するゲートウェイと、取得した所定の車両情報に基づき前記車載ＬＡＮを搭載する車両が駐車状態であると判断した場合、前記ゲートウェイによる前記外部機器と前記車載ＬＡＮとの間での通信を禁止する通信可否判断部を備える。
【０００４】
また、非特許文献１（朴  駿漢、外３名、“Ｓｌｏｗ  Ｒｅａｄ  ＤｏＳ攻撃とその対策に関する解析”、Ｃｏｍｐｕｔｅｒ  Ｓｅｃｕｒｉｔｙ  Ｓｙｍｐｏｓｉｕｍ  ２０１４、２０１４年１０月、Ｐ．３５４−３６１）には、ターゲットのＷｅｂサーバがダウンしないことから攻撃の検知が一般に困難なＳｌｏｗ  Ｒｅａｄ  ＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃が記載されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１６−９２６４５号公報
【非特許文献】
【０００６】
【非特許文献１】朴  駿漢、外３名、“Ｓｌｏｗ  Ｒｅａｄ  ＤｏＳ攻撃とその対策に関する解析”、Ｃｏｍｐｕｔｅｒ  Ｓｅｃｕｒｉｔｙ  Ｓｙｍｐｏｓｉｕｍ  ２０１４、２０１４年１０月、Ｐ．３５４−３６１
【発明の概要】
【発明が解決しようとする課題】
【０００７】
特許文献１に車載通信システムでは、車両が駐車している状態において車載ＬＡＮと外部機器との間のゲートウェイを介した通信が禁止されるので、車両外部からゲートウェイを介した車載ＬＡＮへの不正アクセスが防止される。しかしながら、車両が走行している状態では車両外部からの不正アクセスを防止できない。
【０００８】
また、非特許文献１に記載の検知方法では、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）コネクションおよびタイムアウト時間を用いて攻撃を検知する。しかしながら、ＴＣＰコネクションを用いないＳｌｏｗ  Ｒｅａｄ  ＤｏＳ攻撃に対しては、上記の方法を用いた検知が困難である。
【０００９】
この発明は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおいて良好なセキュリティを提供することが可能な中継装置、検知方法および検知プログラムを提供することである。
【課題を解決するための手段】
【００１０】
（１）上記課題を解決するために、この発明のある局面に係わる中継装置は、車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置であって、前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするカウント部と、前記カウント部のカウント値を監視し、前記カウント部によってカウントされた各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知する検知部とを備える。
【００１１】
（１２）上記課題を解決するために、この発明のある局面に係わる検知方法は、車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置における検知方法であって、前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするステップと、カウントしたカウント値を監視し、カウントした各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知するステップとを含む。
【００１２】
（１３）上記課題を解決するために、この発明のある局面に係わる検知プログラムは、車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置において用いられる検知プログラムであって、コンピュータを、前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするカウント部と、前記カウント部のカウント値を監視し、前記カウント部によってカウントされた各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知する検知部、として機能させるためのプログラムである。
【００１３】
本発明は、このような特徴的な処理部を備える中継装置として実現することができるだけでなく、中継装置を備える車載通信システムとして実現することができる。また、本発明は、中継装置の一部または全部を実現する半導体集積回路として実現することができる。
【発明の効果】
【００１４】
本発明によれば、車載ネットワークにおいて良好なセキュリティを提供することができる。
【図面の簡単な説明】
【００１５】
【図１】図１は、本発明の第１の実施の形態に係る車載通信システムの構成を示す図である。
【図２】図２は、本発明の第１の実施の形態に係る車載通信システムにおけるスイッチ装置の構成を示す図である。
【図３】図３は、本発明の第１の実施の形態に係るスイッチ装置が正常な各対象パケットを中継した場合における、差分の時間的推移の一例を示す図である。
【図４】図４は、本発明の第１の実施の形態に係るスイッチ装置が正常な各対象パケットおよび不正侵入パケットを中継した場合における、差分の時間的推移の一例を示す図である。
【図５】図５は、本発明の第１の実施の形態に係るスイッチ装置が不正侵入を検知した場合における、差分の時間的推移の一例を示す図である。
【図６】図６は、本発明の第１の実施の形態に係るスイッチ装置が正常な各対象パケットおよび不正侵入パケットを中継した場合における、差分の時間的推移の一例を示す図である。
【図７】図７は、本発明の第１の実施の形態に係るスイッチ装置が不正侵入を検知した場合における、差分の時間的推移の一例を示す図である。
【図８】図８は、本発明の第１の実施の形態に係るスイッチ装置が正常な各対象パケットを中継した場合における、差分の時間的推移の一例を示す図である。
【図９】図９は、本発明の第１の実施の形態に係るスイッチ装置が正常な各対象パケットおよび不正侵入パケットを中継した場合における、差分の時間的推移の一例を示す図である。
【図１０】図１０は、本発明の第１の実施の形態に係るスイッチ装置が不正侵入を検知した場合における、差分の時間的推移の一例を示す図である。
【図１１】図１１は、本発明の第１の実施の形態に係るスイッチ装置が正常な各対象パケットおよび不正侵入パケットを中継した場合における、差分の時間的推移の一例を示す図である。
【図１２】図１２は、本発明の第１の実施の形態に係るスイッチ装置が不正侵入を検知した場合における、差分の時間的推移の一例を示す図である。
【図１３】図１３は、本発明の第１の実施の形態に係る車載通信システムにおけるスイッチ装置が不正通信の検知を行う際の動作手順を定めたフローチャートである。
【図１４】図１４は、本発明の第２の実施の形態に係る車載通信システムにおけるスイッチ装置の構成を示す図である。
【図１５】図１５は、本発明の第３の実施の形態に係る車載通信システムの構成を示す図である。
【図１６】図１６は、本発明の第３の実施の形態に係る車載通信システムにおけるゲートウェイ装置の構成を示す図である。
【発明を実施するための形態】
【００１６】
最初に、本発明の実施形態の内容を列記して説明する。
【００１７】
（１）本発明の実施の形態に係る中継装置は、車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置であって、前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするカウント部と、前記カウント部のカウント値を監視し、前記カウント部によってカウントされた各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知する検知部とを備える。
【００１８】
各対象機能部は同類であるので、各対象機能部への中継パケット数は同数であると考えられる。そして、各対象機能部への中継パケット数をカウントし、カウントした各中継パケット数の最大値および最小値に基づいて、対象機能部への不正通信を検知する構成により、たとえば、同数であるべき各中継パケット数のばらつきに基づいて、Ｓｌｏｗ  Ｒｅａｄ  ＤｏＳ攻撃のような車載ネットワークにおける末端に位置する機能部において検知困難な不正通信を検知することができる。また、各中継パケット数をカウントする構成により、通信プロトコルに関わらず不正通信を検知することができる。具体的には、中継されるパケットが、ＴＣＰコネクションを用いないＵＤＰ（Ｕｓｅｒ  Ｄａｔａｇｒａｍ  Ｐｒｏｔｏｃｏｌ）パケットおよびＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）におけるメッセージである場合においても、Ｓｌｏｗ  Ｒｅａｄ  ＤｏＳ攻撃を検知することができる。また、車両の走行状態に関係なく中継装置が動作する構成により、車両が駐車している状態に加えて、車両が走行している状態においても不正通信を検知することができる。したがって、車載ネットワークにおいて良好なセキュリティを提供することができる。
【００１９】
（２）好ましくは、前記パケットは、各前記対象機能部へ順番に送信され、前記検知部は、前記順番における最後の前記対象機能部以外の前記対象機能部への不正通信を検知可能である。
【００２０】
パケットが各対象機能部へ順番に送信される場合において、不正侵入パケットが無いケースでは最大値と最小値とが同じ値となるタイミングがある。一方、最後の対象機能部以外の対象機能部への１つ以上の不正侵入パケットがあるケースでは、最大値と最小値とが同じ値となるタイミングがなくなる。このような相違に着目した上記構成により、最後の対象機能部以外の対象機能部への１つ以上の不正侵入パケットがあったことを検知することができる。
【００２１】
（３）好ましくは、前記検知部は、不正通信において２つ以上のパケットがいずれか１つの前記対象機能部へ中継された場合に前記不正通信を検知可能である。
【００２２】
不正侵入パケットの個数が少ないケースでは、不正侵入パケットがあっても最大値と最小値とが同じ値となるタイミングがあるが、不正侵入パケットの個数がさらに増加すると、最大値と最小値とが同じ値となるタイミングがなくなる。このような相違に着目した上記構成により、対象機能部への不正侵入パケットがあったことを検知することができる。
【００２３】
（４）好ましくは、各前記対象機能部は、共通の前記機能部へパケットを送信する機能部である。
【００２４】
このような構成により、たとえば、各対象機能部が共通の機能部からの要求に応じて当該共通の機能部へパケットを送信する場合、当該要求を含むパケットが各対象機能部へ同様に中継されるので、当該要求を含むパケットを各対象機能部への中継数が同数となるパケットとして用いることができる。
【００２５】
（５）好ましくは、各前記対象機能部は、パケットの送信先ポート番号が同じであること、アドレスが所定範囲に含まれること、属するネットワークの識別子が同じであること、および所定の定義情報により定義されていることの少なくともいずれか１つを満たす機能部である。
【００２６】
上記パケットの到着先のアプリケーションが同じである可能性が高いので、上記パケットが同様に各対象機能部へ伝送されると考えられる。また、各対象機能部のアドレスが類似している可能性が高いので、上記パケットが同様に各対象機能部へ伝送されると考えられる。また、各対象機能部が同じネットワークに属しているので、上記パケットが同様に各対象機能部へ伝送されると考えられる。また、たとえば、上記パケットが同様に伝送される機能部が定義情報に含まれる場合、上記パケットが同様に各対象機能部へ伝送されると考えられる。このようなパケットを、各対象機能部への中継数が同数となるパケットとして用いることができる。
【００２７】
（６）好ましくは、各前記対象機能部は、同類の機器を含む。
【００２８】
各対象機能部に含まれる機器が同じ動作を行う可能性が高いので、たとえば、当該機器への命令を含むパケットが各対象機能部へ同様に伝送されると考えられる。このようなパケットを、各対象機能部への中継数が同数となるパケットとして用いることができる。
【００２９】
（７）好ましくは、前記検知部は、前記最大値および前記最小値の差分の推移に基づいて前記不正通信を検知する。
【００３０】
不正侵入パケットが無いケースでは、差分は、時間の経過とともに減少してゼロになった後、増加する。一方、不正侵入パケットがあるケースでは、差分は、時間の経過とともに減少してゼロより大きい値になった後、増加する。このような、差分の時間的推移の相違に着目し、不正なパケットが車載ネットワークへ侵入したことを検知することができる。
【００３１】
（８）より好ましくは、前記検知部は、前記推移において前記差分が減少から増加に転じる際の値に基づいて前記不正通信を検知する。
【００３２】
不正なパケットが侵入した場合における上記値が、不正なパケットが侵入しない場合における上記値と異なることに着目し、不正通信を簡易に検知することができる。
【００３３】
（９）より好ましくは、前記検知部は、前記推移において前記差分が減少してゼロに達する前に増加に転じた場合、前記不正通信が発生したと判断する。
【００３４】
このような構成により、不正なパケットが侵入してから不正通信の発生の判断までの時間を短くすることができるので、検知の遅れを防ぐことができる。
【００３５】
（１０）好ましくは、前記カウント部は、前記検知部によって前記不正通信が検知された場合、各前記中継パケット数をリセットする。
【００３６】
このような構成により、不正通信が発生していないのに不正通信が発生していると誤って判断してしまうことを防ぐことができる。
【００３７】
（１１）好ましくは、前記パケットは、所定の順番で各前記対象機能部へ送信され、前記カウント部は、前記検知部によって前記不正通信が検知された後、前記パケットの中継先となる前記対象機能部が切り替わる際に各前記中継パケット数をリセットする。
【００３８】
このように、順番の区切りのタイミングで各中継パケット数をリセットする構成により、上記所定の順番の途中から検知処理を再開することができる。すなわち、実質的な初期状態から検知処理を再開することができる。
【００３９】
（１２）本発明の実施の形態に係る検知方法は、車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置における検知方法であって、前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするステップと、カウントしたカウント値を監視し、カウントした各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知するステップとを含む。
【００４０】
各対象機能部は同類であるので、各対象機能部への中継パケット数は同数であると考えられる。そして、各対象機能部への中継パケット数をカウントし、カウントした各中継パケット数の最大値および最小値に基づいて、対象機能部への不正通信を検知する構成により、たとえば、同数であるべき各中継パケット数のばらつきに基づいて、Ｓｌｏｗ  Ｒｅａｄ  ＤｏＳ攻撃のような車載ネットワークにおける末端に位置する機能部において検知困難な不正通信を検知することができる。また、各中継パケット数をカウントする構成により、通信プロトコルに関わらず不正通信を検知することができる。具体的には、中継されるパケットが、ＴＣＰコネクションを用いないＵＤＰパケットおよびＣＡＮにおけるメッセージである場合においても、Ｓｌｏｗ  Ｒｅａｄ  ＤｏＳ攻撃を検知することができる。また、車両の走行状態に関係なく中継装置が動作する構成により、車両が駐車している状態に加えて、車両が走行している状態においても不正通信を検知することができる。したがって、車載ネットワークにおいて良好なセキュリティを提供することができる。
【００４１】
（１３）本発明の実施の形態に係る検知プログラムは、車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置において用いられる検知プログラムであって、コンピュータを、前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするカウント部と、前記カウント部のカウント値を監視し、前記カウント部によってカウントされた各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知する検知部、として機能させるためのプログラムである。
【００４２】
各対象機能部は同類であるので、各対象機能部への中継パケット数は同数であると考えられる。そして、各対象機能部への中継パケット数をカウントし、カウントした各中継パケット数の最大値および最小値に基づいて、対象機能部への不正通信を検知する構成により、たとえば、同数であるべき各中継パケット数のばらつきに基づいて、Ｓｌｏｗ  Ｒｅａｄ  ＤｏＳ攻撃のような車載ネットワークにおける末端に位置する機能部において検知困難な不正通信を検知することができる。また、各中継パケット数をカウントする構成により、通信プロトコルに関わらず不正通信を検知することができる。具体的には、中継されるパケットが、ＴＣＰコネクションを用いないＵＤＰパケットおよびＣＡＮにおけるメッセージである場合においても、Ｓｌｏｗ  Ｒｅａｄ  ＤｏＳ攻撃を検知することができる。また、車両の走行状態に関係なく中継装置が動作する構成により、車両が駐車している状態に加えて、車両が走行している状態においても不正通信を検知することができる。したがって、車載ネットワークにおいて良好なセキュリティを提供することができる。
【００４３】
以下、本発明の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。
【００４４】
＜第１の実施の形態＞
［構成および基本動作］
図１は、本発明の第１の実施の形態に係る車載通信システムの構成を示す図である。
【００４５】
図１を参照して、車載通信システム３０１は、スイッチ装置１０１と、複数の機能部１１１とを備える。車載通信システム３０１は、車両１に搭載される。
【００４６】
この例では、ＬｉＤＡＲ（Ｌｉｇｈｔ  Ｄｅｔｅｃｔｉｏｎ  ａｎｄ  Ｒａｎｇｉｎｇ）１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄは、同類の複数の機能部１１１（以下、対象機能部とも称する。）の一例である。ＡＤＡＳ（Ａｄｖａｎｃｅｄ  Ｄｒｉｖｅｒ  Ａｓｓｉｓｔａｎｃｅ  Ｓｙｓｔｅｍ）１１１Ｅは、他の機能部１１１の一例である。
【００４７】
以下、ＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄの各々を、ＬｉＤＡＲ１１１とも称する。
【００４８】
ＬｉＤＡＲ１１１Ａ〜１１１Ｄは、たとえば、レーザ光を照射するためのレーザ機器、および物体によるレーザ光の散乱光を受光するための受光素子等の同類の機器を含む。
【００４９】
ＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄは、それぞれ、自己の車両１の左部、右部、前部および後部に設けられ、車両１に対して左側、右側、前側および後側に位置する物体を検知することが可能である。
【００５０】
ＬｉＤＡＲ１１１は、ＡＤＡＳ１１１Ｅからの計測要求に応じて、車両１の周囲における物体の有無を計測する。
【００５１】
ＡＤＡＳ１１１Ｅは、たとえば、車両１の運転支援を行うことが可能である。より詳細には、ＡＤＡＳ１１１Ｅは、各ＬｉＤＡＲ１１１による計測結果を当該各ＬｉＤＡＲ１１１から取得し、取得した計測結果に基づいて運転支援を行う。
【００５２】
なお、機能部１１１は、ＬｉＤＡＲ１１１およびＡＤＡＳ１１１Ｅに限らず、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ  Ｃｏｍｍｕｎｉｃａｔｉｏｎ  Ｕｎｉｔ）、ゲートウェイ装置、ヒューマンマシンインタフェース、カメラ、ミリ波センサ、およびナビゲーション装置等であってもよい。
【００５３】
車載ネットワークにおけるスイッチ装置１０１と各機能部１１１との接続関係は、たとえば固定されている。
【００５４】
スイッチ装置１０１は、たとえば、車載のイーサネット（登録商標）通信用のケーブル（以下、イーサネットケーブルとも称する。）により機能部１１１と接続されている。
【００５５】
スイッチ装置１０１および機能部１１１は、たとえばイーサネットケーブルを用いて互いに通信を行うことが可能である。
【００５６】
具体的には、スイッチ装置１０１および機能部１１１は、たとえば、ＩＥＥＥ８０２．３に従うイーサネットフレームを用いて情報のやり取りを行うことが可能である。
【００５７】
スイッチ装置１０１は、車両１に搭載される複数の機能部１１１間のデータを中継する中継処理を行う。
【００５８】
具体的には、スイッチ装置１０１は、たとえば、ＡＤＡＳ１１１ＥからＬｉＤＡＲ１１１Ａ〜１１１Ｄへそれぞれ伝送されるイーサネットフレームを中継する。また、スイッチ装置１０１は、ＬｉＤＡＲ１１１Ａ〜１１１ＤからＡＤＡＳ１１１Ｅへそれぞれ伝送されるイーサネットフレームを中継する。
【００５９】
より詳細には、ＡＤＡＳ１１１Ｅは、たとえば、所定の取得周期ごとに、ＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄをそれぞれ宛先とする４つのＩＰパケットを作成する。
【００６０】
以下、宛先をＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１ＤとするＩＰパケットを、それぞれ対象パケットＡ，Ｂ，Ｃ，Ｄとも称する。また、対象パケットＡ，Ｂ，Ｃ，Ｄの各々を、対象パケットとも称する。
【００６１】
対象パケットＡ，Ｂ，Ｃ，Ｄには、ＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１ＤのＩＰアドレスがそれぞれ宛先ＩＰアドレスとして含まれる。対象パケットには、ＡＤＡＳ１１１ＥのＩＰアドレスが差出元ＩＰアドレスとして含まれる。
【００６２】
また、対象パケットには、たとえばＵＤＰパケットが含まれる。各ＵＤＰパケットのヘッダおよびペイロードには、同じ送信先ポート番号、および計測要求等がそれぞれ含まれる。
【００６３】
ＡＤＡＳ１１１Ｅは、対象パケットＡ，Ｂ，Ｃ，Ｄをそれぞれ含む４つのイーサネットフレームを作成する。
【００６４】
対象パケットＡ，Ｂ，Ｃ，Ｄをそれぞれ含む４つのイーサネットフレームには、ＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１ＤのＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスがそれぞれ宛先ＭＡＣアドレスとして含まれる。
【００６５】
また、これら４つのイーサネットフレームには、ＡＤＡＳ１１１ＥのＭＡＣアドレスが差出元ＭＡＣアドレスとして含まれる。
【００６６】
対象パケットは、たとえば所定の順番で各対象機能部へ送信される。この例では、ＡＤＡＳ１１１Ｅは、対象パケットＡ，Ｂ，Ｃ，Ｄをそれぞれ含む４つのイーサネットフレームを、この順番で、スイッチ装置１０１経由でＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄへ送信する。以下、この送信パターンを、シングルパケットパターンとも称する。
【００６７】
各対象機能部は、たとえばパケットの受信ポート番号が同じ機能部１１１である。この例では、ＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄは、レーザ機器および受光素子等を動作させるための共通のアプリケーションを有している。ＡＤＡＳ１１１ＥからのＵＤＰパケットの宛先が、このアプリケーションである。すなわち、ＵＤＰパケットのヘッダに含まれる送信先ポート番号の示す宛先が、このアプリケーションである。
【００６８】
ＬｉＤＡＲ１１１Ａにおけるアプリケーションは、自己のＬｉＤＡＲ１１１ＡがＡＤＡＳ１１１Ｅから受信したイーサネットフレームに含まれる計測要求を取得する。
【００６９】
そして、ＬｉＤＡＲ１１１Ａは、取得した計測要求に従ってレーザ機器および受光素子等を制御することにより車両１の周囲における物体の有無を計測し、計測結果を含むＵＤＰパケットを作成する。
【００７０】
ＬｉＤＡＲ１１１Ｂ，１１１Ｃ，１１１Ｄにおけるアプリケーションも、ＬｉＤＡＲ１１１Ａにおけるアプリケーションと同様の処理を行う。
【００７１】
各対象機能部は、たとえば、共通の機能部１１１へパケットを送信する。この例では、ＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄは、計測結果を含むＵＤＰパケットをＡＤＡＳ１１１Ｅへ送信する。
【００７２】
より詳細には、ＬｉＤＡＲ１１１Ａは、アプリケーションにより作成されたＵＤＰパケットをＩＰパケットに格納した後、当該ＩＰパケットを含むイーサネットフレームを作成し、作成したイーサネットフレームをスイッチ装置１０１経由でＡＤＡＳ１１１Ｅへ送信する。
【００７３】
ＬｉＤＡＲ１１１Ｂ，１１１Ｃ，１１１Ｄも、ＬｉＤＡＲ１１１Ａと同様にイーサネットフレームを作成し、作成したイーサネットフレームをスイッチ装置１０１経由でＡＤＡＳ１１１Ｅへ送信する。
【００７４】
［課題］
車載通信システム３０１において、たとえば、ＡＤＡＳ１１１ＥからＬｉＤＡＲ１１１Ａ〜１１１Ｄへの通信経路の一部が不正通信により不通になっている場合、ＡＤＡＳ１１１ＥからＬｉＤＡＲ１１１Ａ〜１１１Ｄへそれぞれ伝送されるＵＤＰパケットのうち、一部が欠落することがある。
【００７５】
これに対して、たとえば末端のＬｉＤＡＲ１１１において通信タイムアウト時間を設定することにより、最後にＵＤＰパケットを受信してからの経過時間と通信タイムアウト時間との大小関係に基づいてＵＤＰパケットの欠落を検知することが可能である。
【００７６】
また、ＬｉＤＡＲ１１１が、ＵＤＰパケットを高頻度で送りつけられるＤｏＳ攻撃を受けることがある。具体的には、たとえば、車載通信システム３０１における各機能部１１１のうちの一部が、ＤｏＳ攻撃を行う偽の機能部（以下、偽機能部とも称する。）にすり替えられた車載ネットワークにおいて、ＬｉＤＡＲ１１１は偽機能部からＤｏＳ攻撃を受ける。
【００７７】
このようなＤｏＳ攻撃に対して、たとえば、スイッチ装置１０１およびＬｉＤＡＲ１１１においてＵＤＰパケットの受信頻度についてのしきい値を設定することにより、ＵＤＰパケットの受信頻度がしきい値以上であることに基づいてＤｏＳ攻撃を検知する方法が考えられる。
【００７８】
しかしながら、偽機能部が、たとえば、ＡＤＡＳ１１１Ｅが各ＬｉＤＡＲ１１１へ正規の計測要求を要求する頻度と同程度で、不正なＵＤＰパケットを伝送する場合、スイッチ装置１０１およびＬｉＤＡＲ１１１におけるＵＤＰパケットの受信頻度が上記しきい値より小さくなる可能性が高くなる。
【００７９】
このようなスローＤｏＳ攻撃を、上記の方法を用いて検知することは困難であるため、スローＤｏＳ攻撃を検知するための技術が求められる。
【００８０】
そこで、本発明の第１の実施の形態に係るスイッチ装置では、以下のような構成および動作により、このような課題を解決する。
【００８１】
［スイッチ装置１０１の構成］
図２は、本発明の第１の実施の形態に係る車載通信システムにおけるスイッチ装置の構成を示す図である。
【００８２】
図２を参照して、スイッチ装置（中継装置）１０１は、スイッチ部３１と、カウント部３２と、検知部３３と、複数の通信ポート３４と、記憶部３５とを備える。
【００８３】
通信ポート３４は、イーサネットケーブルを介して機能部１１１に接続されている。通信ポート３４には、固有のポート番号が割り当てられる。
【００８４】
以下、説明を分かり易くするために、イーサネットケーブルを介してＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄにそれぞれ接続される通信ポート３４を、通信ポート３４Ａ，３４Ｂ，３４Ｃ，３４Ｄとも称する。また、イーサネットケーブルを介してＡＤＡＳ１１１Ｅに接続される通信ポート３４を、通信ポート３４Ｅとも称する。
【００８５】
通信ポート３４は、たとえば、接続先の機能部１１１からイーサネットフレームを受信して、受信したイーサネットフレームのフィルタリング処理等のフレーム処理を行う。そして、通信ポート３４は、処理後のイーサネットフレームをスイッチ部３１へ出力する。
【００８６】
また、通信ポート３４は、スイッチ部３１からイーサネットフレームを受けて、受けたイーサネットフレームを接続先の機能部１１１へ送信する。
【００８７】
スイッチ部３１は、たとえばＬ２スイッチとして動作し、イーサネットフレームの中継処理を行う。
【００８８】
より詳細には、スイッチ部３１は、通信ポート３４からイーサネットフレームを受けると、受けたイーサネットフレームに含まれる宛先ＭＡＣアドレスを参照する。
【００８９】
スイッチ部３１は、たとえば、宛先ＭＡＣアドレスと出力先の通信ポート３４のポート番号との対応関係を示すＡＲＬ（Ａｄｄｒｅｓｓ  Ｒｅｓｏｌｕｔｉｏｎ  Ｌｏｇｉｃ）テーブルを保持する。
【００９０】
ＡＲＬテーブルの内容は、上述したように固定されている接続関係に基づいて、たとえばユーザにより予め定められている。
【００９１】
スイッチ部３１は、参照した宛先ＭＡＣアドレスに対応するポート番号をＡＲＬテーブルから取得し、受信したイーサネットフレームを、取得したポート番号に対応する通信ポート３４経由で機能部１１１へ送信する。
【００９２】
なお、スイッチ部３１は、レイヤ３（Ｌ３）スイッチとしても動作可能な構成であってもよい。
【００９３】
図３は、本発明の第１の実施の形態に係るスイッチ装置が正常な各対象パケットを中継した場合における、差分の時間的推移の一例を示す図である。なお、図３において、横軸は時間を示し、縦軸は差分Ｄｉｆを示す。
【００９４】
図１〜図３を参照して、スイッチ装置１０１における記憶部３５には、たとえばユーザにより作成された設定ファイルが登録されている。設定ファイルには、カウント部３２がカウントすべきパケットの条件が含まれる。
【００９５】
より詳細には、設定ファイルには、監視対象の通信ポート３４のポート番号、ＩＰパケットの差出元ＩＰアドレスおよび宛先ＩＰアドレス、通信プロトコル番号、ＵＤＰパケットまたはＴＣＰパケットの差出元ポート番号および宛先ポート番号、ならびにイーサネットフレームの差出元ＭＡＣアドレスおよび宛先ＭＡＣアドレス等に基づく条件が含まれる。
【００９６】
この例では、設定ファイルには、条件ＣＡ〜ＣＤが含まれる。条件ＣＡは、たとえば、差出元ＩＰアドレスおよび宛先ポート番号としてそれぞれＡＤＡＳ１１１ＥのＩＰアドレスおよび２３４５番を含むパケットが通信ポート３４Ａから送信されることである。ここで、２３４５番は、対象パケットＡ，Ｂ，Ｃ，Ｄに含まれる宛先ポート番号の一例である。
【００９７】
条件ＣＢは、たとえば、差出元ＩＰアドレスおよび宛先ポート番号としてそれぞれＡＤＡＳ１１１ＥのＩＰアドレスおよび２３４５番を含むパケットが通信ポート３４Ｂから送信されることである。
【００９８】
条件ＣＣは、たとえば、差出元ＩＰアドレスおよび宛先ポート番号としてそれぞれＡＤＡＳ１１１ＥのＩＰアドレスおよび２３４５番を含むパケットが通信ポート３４Ｃから送信されることである。
【００９９】
条件ＣＤは、たとえば、差出元ＩＰアドレスおよび宛先ポート番号としてそれぞれＡＤＡＳ１１１ＥのＩＰアドレスおよび２３４５番を含むパケットが通信ポート３４Ｄから送信されることである。
【０１００】
カウント部３２は、中継処理において対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントする。
【０１０１】
より詳細には、カウント部３２は、記憶部３５に登録された設定ファイルの内容に従って、通信ポート３４において送受信されるパケット数をカウントする。
【０１０２】
この例では、カウント部３２は、設定ファイルに含まれる条件ＣＡ，ＣＢ，ＣＣ，ＣＤを用いて、通信ポート３４Ａ，３４Ｂ，３４Ｃ，３４ＣからＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄへそれぞれ送信される対象パケットＡ，Ｂ，Ｃ，Ｄの個数をカウントする。
【０１０３】
また、カウント部３２は、偽機能部からＬｉＤＡＲ１１１へ伝送される、対象パケットＡ，Ｂ，Ｃ，Ｄのうちのいずれか１つを偽装した不正侵入パケットの個数もカウントする。
【０１０４】
具体的には、カウント部３２は、たとえば、カウント値ＮＡ，ＮＢ，ＮＣ，ＮＤをカウントするための４つの送信カウンタを保持する。
【０１０５】
ここで、カウント値ＮＡは、対象パケットＡの個数、および対象パケットＡを偽装した不正侵入パケットの個数の合計を示す。カウント値ＮＢは、対象パケットＢの個数、および対象パケットＢを偽装した不正侵入パケットの個数の合計を示す。カウント値ＮＣは、対象パケットＣの個数、および対象パケットＣを偽装した不正侵入パケットの個数の合計を示す。カウント値ＮＤは、対象パケットＤの個数、および対象パケットＤを偽装した不正侵入パケットの個数の合計を示す。
【０１０６】
以下、カウント値ＮＡ，ＮＢ，ＮＣ，ＮＤをまとめて、総合カウント値（ＮＡ，ＮＢ，ＮＣ，ＮＤ）とも表す。総合カウント値は、初期状態において（０，０，０，０）である。
【０１０７】
カウント部３２は、通信ポート３４ＡがＬｉＤＡＲ１１１Ａへの対象パケットＡをタイミングｔ１において送信すると、カウント値ＮＡをインクリメントする。このとき、総合カウント値は、（１，０，０，０）である。
【０１０８】
検知部３３は、カウント部３２のカウント値を監視する。より詳細には、検知部３３は、たとえば、カウント部３２によってカウントされた各中継パケット数の最大値および最小値の差分Ｄｉｆの時間的推移を監視する。
【０１０９】
具体的には、検知部３３は、カウント部３２における総合カウント値を監視し、総合カウント値が更新されるごとに最大値および最小値の差分Ｄｉｆを算出する。
【０１１０】
より具体的には、検知部３３は、タイミングｔ１において総合カウント値が（１，０，０，０）に更新されると、最大値および最小値として１およびゼロをそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０１１１】
次に、カウント部３２は、通信ポート３４ＡがＬｉＤＡＲ１１１Ｂへの対象パケットＢをタイミングｔ２において送信すると、カウント値ＮＢをインクリメントする。
【０１１２】
検知部３３は、タイミングｔ２において総合カウント値が（１，１，０，０）に更新されると、最大値および最小値として１およびゼロをそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０１１３】
次に、カウント部３２は、通信ポート３４ＣがＬｉＤＡＲ１１１Ｃへの対象パケットＣをタイミングｔ３において送信すると、カウント値ＮＣをインクリメントする。
【０１１４】
検知部３３は、タイミングｔ３において総合カウント値が（１，１，１，０）に更新されると、最大値および最小値として１およびゼロをそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０１１５】
次に、カウント部３２は、通信ポート３４ＤがＬｉＤＡＲ１１１Ｄへの対象パケットＤをタイミングｔ４において送信すると、カウント値ＮＤをインクリメントする。
【０１１６】
検知部３３は、タイミングｔ４において総合カウント値が（１，１，１，１）に更新されると、最大値および最小値として１を取得し、差分Ｄｉｆとしてゼロを算出する。
【０１１７】
検知部３３は、カウント部３２によってカウントされた各中継パケット数の最大値および最小値に基づいて、対象機能部への不正通信を検知する。
【０１１８】
詳細には、検知部３３は、たとえば、所定の順番における最後の対象機能部以外の対象機能部への不正通信を検知可能である。
【０１１９】
この例では、検知部３３は、対象パケットＡ，Ｂ，Ｃ，Ｄがシングルパケットパターンで送信されるので、対象パケットＤの送信先であるＬｉＤＡＲ１１１Ｄ以外のＬｉＤＡＲ１１１Ａ〜１１１Ｃへの１つ以上の不正侵入パケットを検知可能である。ここで、ＬｉＤＡＲ１１１Ｄへの不正通信の検知については後述する。
【０１２０】
検知部３３は、たとえば、最大値および最小値の差分Ｄｉｆの時間的推移に基づいて不正通信を検知する。
【０１２１】
具体的には、検知部３３は、たとえば、差分Ｄｉｆの時間的推移において差分Ｄｉｆが減少から増加に転じる際の値に基づいて不正通信を検知する。
【０１２２】
より具体的には、検知部３３は、たとえば、差分Ｄｉｆの時間的推移において差分Ｄｉｆが減少してゼロに達する前に増加に転じた場合、不正通信が発生したと判断する。
【０１２３】
図３に示す時間的推移の場合、差分Ｄｉｆが減少してゼロに達する前に増加に転じないため、検知部３３は、不正通信が発生していないと判断する。
【０１２４】
図４は、本発明の第１の実施の形態に係るスイッチ装置が正常な各対象パケットおよび不正侵入パケットを中継した場合における、差分の時間的推移の一例を示す図である。
【０１２５】
なお、図４の見方は、図３と同様である。また、図４には、図３に示すタイミングｔ４より後のスイッチ装置１０１の中継状況が示される。
【０１２６】
図１、図２および図４を参照して、ＡＤＡＳ１１１Ｅは、シングルパケットパターンで対象パケットＡ，Ｂ，Ｃ，Ｄを送信する。
【０１２７】
また、偽機能部は、不正侵入パケットをスイッチ装置１０１経由でＬｉＤＡＲ１１１Ｂへ送信する。
【０１２８】
スイッチ装置１０１におけるカウント部３２は、通信ポート３４Ａおよび３４Ｂがそれぞれ対象パケットＡおよびＬｉＤＡＲ１１１Ｂへの不正侵入パケットをタイミングｔ５において送信すると、以下の処理を行う。
【０１２９】
すなわち、カウント部３２は、カウント値ＮＡおよびカウント値ＮＢをそれぞれインクリメントする。このとき、総合カウント値は、（２，２，１，１）である。
【０１３０】
検知部３３は、タイミングｔ５において総合カウント値が（２，２，１，１）に更新されると、最大値および最小値として２および１をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０１３１】
次に、カウント部３２は、通信ポート３４Ｂが対象パケットＢをタイミングｔ６において送信すると、カウント値ＮＢをインクリメントする。
【０１３２】
検知部３３は、タイミングｔ６において総合カウント値が（２，３，１，１）に更新されると、最大値および最小値として３および１をそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【０１３３】
次に、カウント部３２は、通信ポート３４Ｃが対象パケットＣをタイミングｔ７において送信すると、カウント値ＮＣをインクリメントする。
【０１３４】
検知部３３は、タイミングｔ７において総合カウント値が（２，３，２，１）に更新されると、最大値および最小値として３および１をそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【０１３５】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤをタイミングｔ８において送信すると、カウント値ＮＤをインクリメントする。
【０１３６】
検知部３３は、タイミングｔ８において総合カウント値が（２，３，２，２）に更新されると、最大値および最小値として３および２をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０１３７】
図４に示す時間的推移の場合、差分Ｄｉｆが減少してゼロに達する前に増加に転じないため、検知部３３は、不正通信が発生していないと判断する。
【０１３８】
図５は、本発明の第１の実施の形態に係るスイッチ装置が不正侵入を検知した場合における、差分の時間的推移の一例を示す図である。
【０１３９】
なお、図５の見方は、図３と同様である。また、図５には、図４に示すタイミングｔ８より後のスイッチ装置１０１の中継状況が示される。図５では、ＬｉＤＡＲ１１１Ｂへの不正通信（図４参照）の検知について説明するが、ＬｉＤＡＲ１１１Ａ，１１１Ｃへの不正通信の検知についても同様である。
【０１４０】
図１、図２および図５を参照して、ＡＤＡＳ１１１Ｅは、シングルパケットパターンで対象パケットＡ，Ｂ，Ｃ，Ｄを送信する。
【０１４１】
スイッチ装置１０１におけるカウント部３２は、通信ポート３４Ａが対象パケットＡをタイミングｔ９において送信すると、カウント値ＮＡをインクリメントする。このとき、総合カウント値は、（３，３，２，２）である。
【０１４２】
検知部３３は、タイミングｔ９において総合カウント値が（３，３，２，２）に更新されると、最大値および最小値として３および２をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０１４３】
次に、カウント部３２は、通信ポート３４Ｂが対象パケットＢをタイミングｔ１０において送信すると、カウント値ＮＢをインクリメントする。
【０１４４】
検知部３３は、タイミングｔ１０において総合カウント値が（３，４，２，２）に更新されると、最大値および最小値として４および２をそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【０１４５】
検知部３３は、タイミングｔ１０において、差分Ｄｉｆが減少してゼロに達する前に増加に転じたので不正通信が発生したと判断する。
【０１４６】
検知部３３は、不正通信を検知すると、検知結果を記憶部３５に保存するとともに、検知結果を含むイーサネットフレームをスイッチ部３１経由でたとえば車両１の外部におけるサーバへ送信する検知結果処理を行う。このサーバは、たとえば、車両１における不正侵入に関する情報を収集するサーバであり、車両１の製造メーカー等により運営される。
【０１４７】
また、検知部３３は、不正通信を検知すると、カウント部３２におけるカウント値ＮＡ〜ＮＤをリセットするためのリセット命令をカウント部３２へ出力する。
【０１４８】
カウント部３２は、たとえば、検知部３３によって不正通信が検知された場合、各中継パケット数をリセットする。
【０１４９】
より詳細には、カウント部３２は、たとえば、検知部３３によって不正通信が検知された後、パケットの中継先となる対象機能部が切り替わる際に各中継パケット数をリセットする。
【０１５０】
具体的には、カウント部３２は、検知部３３からリセット命令を受けると、受けたリセット命令に従って、たとえばリセット準備状態へ遷移する。
【０１５１】
ここでは、スイッチ装置１０１が直近に送信した対象パケットが対象パケットＢであるので、カウント部３２は、自己のスイッチ装置１０１が対象パケットＢと異なる対象パケットを送信した場合に、対応の送信カウンタのカウント値をインクリメントする前にカウント値ＮＡ〜ＮＤをリセットする。
【０１５２】
一方、カウント部３２は、自己のスイッチ装置１０１が新たな対象パケットＢを送信した場合、対象パケットＢの送信カウンタのカウント値をインクリメントするが、カウント値ＮＡ〜ＮＤをリセットしない。
【０１５３】
次に、カウント部３２は、通信ポート３４Ｃが対象パケットＣをタイミングｔ１１において送信すると、リセット準備状態において対象パケットＢと異なる対象パケットＣを送信したので、以下の処理を行う。
【０１５４】
すなわち、カウント部３２は、総合カウント値を（３，４，２，２）から（０，０，０，０）にリセットするとともに、リセット準備状態から通常状態へ遷移する。
【０１５５】
そして、カウント部３２は、カウント値ＮＣをインクリメントする。このとき、総合カウント値は、（０，０，１，０）である。
【０１５６】
検知部３３は、タイミングｔ１１において総合カウント値が（０，０，１，０）に更新されると、最大値および最小値として１およびゼロをそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０１５７】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤをタイミングｔ１２において送信すると、カウント値ＮＤをインクリメントする。
【０１５８】
検知部３３は、タイミングｔ１１において総合カウント値が（０，０，１，１）に更新されると、最大値および最小値として１およびゼロをそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０１５９】
ＡＤＡＳ１１１Ｅは、タイミングｔ１２より後のタイミングにおいて、シングルパケットパターンで新たな対象パケットＡ，Ｂ，Ｃ，Ｄを送信する。
【０１６０】
カウント部３２は、通信ポート３４Ａ，３４Ｂ，３４Ｃ，３４Ｄが対象パケットＡ，Ｂ，Ｃ，Ｄを、それぞれ、タイミングｔ１３，ｔ１４，ｔ１５，ｔ１６において送信すると、カウント値ＮＡ，ＮＢ，ＮＣ，ＮＤをインクリメントする。
【０１６１】
総合カウント値は、タイミングｔ１３，ｔ１４，ｔ１５，ｔ１６において、それぞれ（１，０，１，１），（１，１，１，１），（１，１，２，１），（１，１，２，２），である。
【０１６２】
検知部３３は、タイミングｔ１３，ｔ１４，ｔ１５，ｔ１６において総合カウント値が更新されると、差分Ｄｉｆとして１，０，１，１をそれぞれ算出する。
【０１６３】
タイミングｔ１３〜ｔ１６において、差分Ｄｉｆが減少してゼロに達する前に増加に転じないため、検知部３３は、不正通信が発生していないと判断する。
【０１６４】
［シングルパケットパターンでのＬｉＤＡＲ１１１Ｄへの不正通信の検知］
図６は、本発明の第１の実施の形態に係るスイッチ装置が正常な各対象パケットおよび不正侵入パケットを中継した場合における、差分の時間的推移の一例を示す図である。
【０１６５】
なお、図６の見方は、図３と同様である。また、図６には、図３に示すタイミングｔ４より後のスイッチ装置１０１の中継状況が示される。
【０１６６】
図１、図２および図６を参照して、ＡＤＡＳ１１１Ｅは、シングルパケットパターンで対象パケットＡ，Ｂ，Ｃ，Ｄを送信する。
【０１６７】
また、偽機能部は、不正侵入パケットをスイッチ装置１０１経由でＬｉＤＡＲ１１１Ｄへ送信する。
【０１６８】
検知部３３は、たとえば、不正通信において２つ以上のパケットがいずれか１つの対象機能部へ中継された場合に不正通信を検知可能である。
【０１６９】
より詳細には、スイッチ装置１０１におけるカウント部３２は、通信ポート３４Ａおよび３４Ｄがそれぞれ対象パケットＡおよびＬｉＤＡＲ１１１Ｄへの不正侵入パケットをタイミングｔ５において送信すると、以下の処理を行う。
【０１７０】
すなわち、カウント部３２は、カウント値ＮＡおよびカウント値ＮＤをそれぞれインクリメントする。このとき、総合カウント値は、（２，１，１，２）である。
【０１７１】
検知部３３は、タイミングｔ５において総合カウント値が（２，１，１，２）に更新されると、最大値および最小値として２および１をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０１７２】
次に、カウント部３２は、通信ポート３４Ｂが対象パケットＢをタイミングｔ６において送信すると、カウント値ＮＢをインクリメントする。
【０１７３】
検知部３３は、タイミングｔ６において総合カウント値が（２，２，１，２）に更新されると、最大値および最小値として２および１をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０１７４】
次に、カウント部３２は、通信ポート３４Ｃが対象パケットＣをタイミングｔ７において送信すると、カウント値ＮＣをインクリメントする。
【０１７５】
検知部３３は、タイミングｔ７において総合カウント値が（２，２，２，２）に更新されると、最大値および最小値として２を取得し、差分Ｄｉｆとしてゼロを算出する。
【０１７６】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤをタイミングｔ８において送信すると、カウント値ＮＤをインクリメントする。
【０１７７】
検知部３３は、タイミングｔ８において総合カウント値が（２，２，２，３）に更新されると、最大値および最小値として３および２をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０１７８】
図６に示す時間的推移の場合、差分Ｄｉｆが減少してゼロに達する前に増加に転じないため、検知部３３は、不正通信が発生していないと判断する。
【０１７９】
図７は、本発明の第１の実施の形態に係るスイッチ装置が不正侵入を検知した場合における、差分の時間的推移の一例を示す図である。
【０１８０】
図７では、ＬｉＤＡＲ１１１Ｄへの不正通信の検知について説明する。なお、図７の見方は、図３と同様である。また、図７には、図６に示すタイミングｔ８より後のスイッチ装置１０１の中継状況が示される。
【０１８１】
図１、図２および図７を参照して、ＡＤＡＳ１１１Ｅは、シングルパケットパターンで対象パケットＡ，Ｂ，Ｃ，Ｄを送信する。
【０１８２】
また、偽機能部は、不正侵入パケットをスイッチ装置１０１経由でＬｉＤＡＲ１１１Ｄへ送信する。
【０１８３】
スイッチ装置１０１におけるカウント部３２は、通信ポート３４Ａが対象パケットＡをタイミングｔ９において送信すると、カウント値ＮＡをインクリメントする。このとき、総合カウント値は、（３，２，２，３）である。
【０１８４】
検知部３３は、タイミングｔ９において総合カウント値が（３，２，２，３）に更新されると、最大値および最小値として３および２をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０１８５】
次に、カウント部３２は、通信ポート３４Ｂおよび３４Ｄがそれぞれ対象パケットＢおよびＬｉＤＡＲ１１１Ｄへの不正侵入パケットをタイミングｔ１０において送信すると、以下の処理を行う。
【０１８６】
すなわち、カウント部３２は、カウント値ＮＢおよびカウント値ＮＤをそれぞれインクリメントする。
【０１８７】
検知部３３は、タイミングｔ１０において総合カウント値が（３，３，２，４）に更新されると、最大値および最小値として４および２をそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【０１８８】
次に、カウント部３２は、通信ポート３４Ｃが対象パケットＣをタイミングｔ１１において送信すると、カウント値ＮＣをインクリメントする。
【０１８９】
検知部３３は、タイミングｔ１１において総合カウント値が（３，３，３，４）に更新されると、最大値および最小値として４および３をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０１９０】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤをタイミングｔ１２において送信すると、カウント値ＮＤをインクリメントする。
【０１９１】
検知部３３は、タイミングｔ１２において総合カウント値が（３，３，３，５）に更新されると、最大値および最小値として５および３をそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【０１９２】
検知部３３は、タイミングｔ１２において、差分Ｄｉｆが減少してゼロに達する前に増加に転じたので不正通信が発生したと判断し、検知結果処理を行う。
【０１９３】
また、検知部３３は、カウント部３２におけるカウント値ＮＡ〜ＮＤをリセットするためのリセット命令をカウント部３２へ出力する。
【０１９４】
カウント部３２は、検知部３３からリセット命令を受けると、受けたリセット命令に従ってリセット準備状態へ遷移する。
【０１９５】
ここでは、スイッチ装置１０１が直近に送信した対象パケットが対象パケットＤであるので、カウント部３２は、自己のスイッチ装置１０１が対象パケットＤと異なる対象パケットを送信した場合に、対応の送信カウンタのカウント値をインクリメントする前にカウント値ＮＡ〜ＮＤをリセットする。
【０１９６】
ＡＤＡＳ１１１Ｅは、タイミングｔ１２より後のタイミングにおいて、シングルパケットパターンで新たな対象パケットＡ，Ｂ，Ｃ，Ｄを送信する。
【０１９７】
カウント部３２は、通信ポート３４Ａが対象パケットＡをタイミングｔ１３において送信すると、リセット準備状態において対象パケットＤと異なる対象パケットＡを送信したので、以下の処理を行う。
【０１９８】
すなわち、カウント部３２は、総合カウント値を（３，３，３，５）から（０，０，０，０）にリセットするとともに、リセット準備状態から通常状態へ遷移する。
【０１９９】
そして、カウント部３２は、カウント値ＮＡをインクリメントする。このとき、総合カウント値は、（１，０，０，０）である。
【０２００】
検知部３３は、タイミングｔ１３において総合カウント値が（１，０，０，０）に更新されると、最大値および最小値として１およびゼロをそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０２０１】
カウント部３２は、通信ポート３４Ｂ，３４Ｃ，３４Ｄが対象パケットＢ，Ｃ，Ｄを、それぞれ、タイミングｔ１４，ｔ１５，ｔ１６において送信すると、カウント値ＮＢ，ＮＣ，ＮＤをインクリメントする。
【０２０２】
総合カウント値は、タイミングｔ１４，ｔ１５，ｔ１６において、それぞれ（１，１，０，０），（１，１，１，０），（１，１，１，１）である。
【０２０３】
検知部３３は、タイミングｔ１４，ｔ１５，ｔ１６において総合カウント値が更新されると、差分Ｄｉｆとして１，１，０をそれぞれ算出する。
【０２０４】
タイミングｔ１３〜ｔ１６において、差分Ｄｉｆが減少してゼロに達する前に増加に転じないため、検知部３３は、不正通信が発生していないと判断する。
【０２０５】
なお、本発明の第１の実施の形態に係るスイッチ装置では、カウント部３２は、通信ポート３４が送信するパケットの個数をカウントする構成であるとしたが、これに限定するものではない。カウント部３２は、通信ポート３４が受信するパケットの個数をカウントする構成であってもよいし、スイッチ部３１が受けるパケットの個数をカウントする構成であってもよいし、スイッチ部３１が出力するパケットの個数をカウントする構成であってもよい。
【０２０６】
［対象パケットの伝送の変形パターン］
図８は、本発明の第１の実施の形態に係るスイッチ装置が正常な各対象パケットを中継した場合における、差分の時間的推移の一例を示す図である。なお、図８の見方は、図３と同様である。
【０２０７】
図１、図２および図８を参照して、ＡＤＡＳ１１１Ｅは、対象パケット群ＧＡ，ＧＢ，ＧＣ，ＧＤを、この順番で、スイッチ装置１０１経由でＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄへそれぞれ送信する。
【０２０８】
対象パケット群ＧＡは、送信順に、対象パケットＡである対象パケットＡ１，Ａ２，Ａ３を含む。対象パケット群ＧＢは、送信順に、対象パケットＢである対象パケットＢ１，Ｂ２，Ｂ３を含む。対象パケット群ＧＣは、送信順に、対象パケットＣである対象パケットＣ１，Ｃ２，Ｃ３を含む。対象パケット群ＧＤは、送信順に、対象パケットＤである対象パケットＤ１，Ｄ２，Ｄ３を含む。以下、この送信パターンを、マルチパケットパターンとも称する。
【０２０９】
スイッチ装置１０１におけるカウント部３２は、通信ポート３４Ａが対象パケットＡ１，Ａ２，Ａ３をタイミングｔ１，ｔ２，ｔ３においてそれぞれ送信すると、通信ポート３４Ａが対象パケットＡを送信するごとにカウント値ＮＡをインクリメントする。
【０２１０】
総合カウント値は、タイミングｔ１，ｔ２，ｔ３において、それぞれ（１，０，０，０），（２，０，０，０），（３，０，０，０）である。
【０２１１】
検知部３３は、タイミングｔ１，ｔ２，ｔ３において総合カウント値が更新されると、差分Ｄｉｆとして１，２，３をそれぞれ算出する。
【０２１２】
次に、カウント部３２は、通信ポート３４Ｂが対象パケットＢ１，Ｂ２，Ｂ３をタイミングｔ４，ｔ５，ｔ６においてそれぞれ送信すると、通信ポート３４Ｂが対象パケットＢを送信するごとにカウント値ＮＢをインクリメントする。
【０２１３】
総合カウント値は、タイミングｔ４，ｔ５，ｔ６において、それぞれ（３，１，０，０），（３，２，０，０），（３，３，０，０）である。
【０２１４】
検知部３３は、タイミングｔ４，ｔ５，ｔ６において総合カウント値が更新されると、差分Ｄｉｆとして３，３，３をそれぞれ算出する。
【０２１５】
次に、カウント部３２は、通信ポート３４Ｃが対象パケットＣ１，Ｃ２，Ｃ３をタイミングｔ７，ｔ８，ｔ９においてそれぞれ送信すると、通信ポート３４Ｃが対象パケットＣを送信するごとにカウント値ＮＣをインクリメントする。
【０２１６】
総合カウント値は、タイミングｔ７，ｔ８，ｔ９において、それぞれ（３，３，１，０），（３，３，２，０），（３，３，３，０）である。
【０２１７】
検知部３３は、タイミングｔ７，ｔ８，ｔ９において総合カウント値が更新されると、差分Ｄｉｆとして３，３，３をそれぞれ算出する。
【０２１８】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤ１，Ｄ２，Ｄ３をタイミングｔ１０，ｔ１１，ｔ１２においてそれぞれ送信すると、通信ポート３４Ｄが対象パケットＤを送信するごとにカウント値ＮＤをインクリメントする。
【０２１９】
総合カウント値は、タイミングｔ１０，ｔ１１，ｔ１２において、それぞれ（３，３，３，１），（３，３，３，２），（３，３，３，３）である。
【０２２０】
検知部３３は、タイミングｔ１０，ｔ１１，ｔ１２において総合カウント値が更新されると、差分Ｄｉｆとして２，１，０をそれぞれ算出する。
【０２２１】
図８に示す時間的推移の場合、差分Ｄｉｆが減少してゼロに達する前に増加に転じないため、検知部３３は、不正通信が発生していないと判断する。
【０２２２】
図９は、本発明の第１の実施の形態に係るスイッチ装置が正常な各対象パケットおよび不正侵入パケットを中継した場合における、差分の時間的推移の一例を示す図である。
【０２２３】
なお、図９の見方は、図３と同様である。また、図９には、図８に示すタイミングｔ１２より後のスイッチ装置１０１の中継状況が示される。
【０２２４】
図１、図２および図９を参照して、ＡＤＡＳ１１１Ｅは、マルチパケットパターンで対象パケット群ＧＡ，ＧＢ，ＧＣ，ＧＤを送信する。
【０２２５】
また、偽機能部は、不正侵入パケットをスイッチ装置１０１経由でＬｉＤＡＲ１１１Ｃへ送信する。
【０２２６】
スイッチ装置１０１におけるカウント部３２は、通信ポート３４Ａが対象パケットＡ１をタイミングｔ１３において送信すると、カウント値ＮＡをインクリメントする。このとき、総合カウント値は、（４，３，３，３）である。
【０２２７】
検知部３３は、タイミングｔ１３において総合カウント値が（４，３，３，３）に更新されると、最大値および最小値として４および３をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０２２８】
次に、カウント部３２は、通信ポート３４Ａおよび３４Ｃがそれぞれ対象パケットＡ２およびＬｉＤＡＲ１１１Ｃへの不正侵入パケットをタイミングｔ１４において送信すると、以下の処理を行う。
【０２２９】
すなわち、カウント部３２は、カウント値ＮＡおよびカウント値ＮＣをそれぞれインクリメントする。このとき、総合カウント値は、（５，３，４，３）である。
【０２３０】
検知部３３は、タイミングｔ１４において総合カウント値が（５，３，４，３）に更新されると、最大値および最小値として５および３をそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【０２３１】
次に、カウント部３２は、通信ポート３４Ａが対象パケットＡ３をタイミングｔ１５において送信すると、カウント値ＮＡをインクリメントする。
【０２３２】
検知部３３は、タイミングｔ１５において総合カウント値が（６，３，４，３）に更新されると、最大値および最小値として６および３をそれぞれ取得し、差分Ｄｉｆとして３を算出する。
【０２３３】
次に、カウント部３２は、通信ポート３４Ｂが対象パケットＢ１，Ｂ２，Ｂ３をタイミングｔ１６，ｔ１７，ｔ１８においてそれぞれ送信すると、通信ポート３４Ｂが対象パケットＢを送信するごとにカウント値ＮＢをインクリメントする。
【０２３４】
総合カウント値は、タイミングｔ１６，ｔ１７，ｔ１８において、それぞれ（６，４，４，３），（６，５，４，３），（６，６，４，３）である。
【０２３５】
検知部３３は、タイミングｔ１６，ｔ１７，ｔ１８において総合カウント値が更新されると、差分Ｄｉｆとして３，３，３をそれぞれ算出する。
【０２３６】
次に、カウント部３２は、通信ポート３４Ｃが対象パケットＣ１，Ｃ２，Ｃ３をタイミングｔ１９，ｔ２０，ｔ２１においてそれぞれ送信すると、通信ポート３４Ｃが対象パケットＣを送信するごとにカウント値ＮＣをインクリメントする。
【０２３７】
総合カウント値は、タイミングｔ１９，ｔ２０，ｔ２１において、それぞれ（６，６，５，３），（６，６，６，３），（６，６，７，３）である。
【０２３８】
検知部３３は、タイミングｔ１９，ｔ２０，ｔ２１において総合カウント値が更新されると、差分Ｄｉｆとして３，３，４をそれぞれ算出する。
【０２３９】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤ１，Ｄ２，Ｄ３をタイミングｔ２２，ｔ２３，ｔ２４においてそれぞれ送信すると、通信ポート３４Ｄが対象パケットＤを送信するごとにカウント値ＮＤをインクリメントする。
【０２４０】
総合カウント値は、タイミングｔ２２，ｔ２３，ｔ２４において、それぞれ（６，６，７，４），（６，６，７，５），（６，６，７，６）である。
【０２４１】
検知部３３は、タイミングｔ２２，ｔ２３，ｔ２４において総合カウント値が更新されると、差分Ｄｉｆとして３，２，１をそれぞれ算出する。
【０２４２】
図９に示す時間的推移の場合、差分Ｄｉｆが減少してゼロに達する前に増加に転じないため、検知部３３は、不正通信が発生していないと判断する。
【０２４３】
図１０は、本発明の第１の実施の形態に係るスイッチ装置が不正侵入を中継する場合における、差分の時間的推移の一例を示す図である。
【０２４４】
なお、図１０の見方は、図３と同様である。また、図１０には、図９に示すタイミングｔ２４より後のスイッチ装置１０１の中継状況が示される。
【０２４５】
図１０では、ＬｉＤＡＲ１１１Ｃへの不正通信（図９参照）の検知について説明するが、ＬｉＤＡＲ１１１Ａ，１１１Ｂへの不正通信の検知についても同様である。ここで、ＬｉＤＡＲ１１１Ｄへの不正通信の検知については後述する。
【０２４６】
図１、図２および図１０を参照して、ＡＤＡＳ１１１Ｅは、マルチパケットパターンで対象パケット群ＧＡ，ＧＢ，ＧＣ，ＧＤを送信する。
【０２４７】
スイッチ装置１０１におけるカウント部３２は、通信ポート３４Ａが対象パケットＡ１をタイミングｔ２５において送信すると、カウント値ＮＡをインクリメントする。このとき、総合カウント値は、（７，６，７，６）である。
【０２４８】
検知部３３は、タイミングｔ２５において総合カウント値が（７，６，７，６）に更新されると、最大値および最小値として７および６をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０２４９】
次に、カウント部３２は、通信ポート３４Ａが対象パケットＡ２をタイミングｔ２６において送信すると、カウント値ＮＡをインクリメントする。
【０２５０】
検知部３３は、タイミングｔ２６において総合カウント値が（８，６，７，６）に更新されると、最大値および最小値として８および６をそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【０２５１】
検知部３３は、タイミングｔ２６において、差分Ｄｉｆが減少してゼロに達する前に増加に転じたので不正通信が発生したと判断し、検知結果処理を行う。
【０２５２】
また、検知部３３は、カウント部３２におけるカウント値ＮＡ〜ＮＤをリセットするためのリセット命令をカウント部３２へ出力する。
【０２５３】
カウント部３２は、検知部３３からリセット命令を受けると、受けたリセット命令に従ってリセット準備状態へ遷移する。
【０２５４】
ここでは、スイッチ装置１０１が直近に送信した対象パケットが対象パケットＡ２であるので、カウント部３２は、自己のスイッチ装置１０１が対象パケットＡ１〜Ａ３のいずれとも異なる対象パケットを送信した場合に、対応の送信カウンタのカウント値をインクリメントする前にカウント値ＮＡ〜ＮＤをリセットする。
【０２５５】
次に、カウント部３２は、通信ポート３４Ａが対象パケットＡ３をタイミングｔ２７において送信すると、カウント値ＮＡ〜ＮＤをリセットせずにカウント値ＮＡをインクリメントする。
【０２５６】
検知部３３は、タイミングｔ２７において総合カウント値が（９，６，７，６）に更新されると、最大値および最小値として９および６をそれぞれ取得し、差分Ｄｉｆとして３を算出する。
【０２５７】
次に、カウント部３２は、通信ポート３４Ｂが対象パケットＢ１をタイミングｔ２８において送信すると、自己のスイッチ装置１０１がリセット準備状態において対象パケットＡ１〜Ａ３のいずれとも異なる対象パケットＢ１を送信したので、以下の処理を行う。
【０２５８】
すなわち、カウント部３２は、総合カウント値を（９，６，７，６）から（０，０，０，０）にリセットするとともに、リセット準備状態から通常状態へ遷移する。
【０２５９】
そして、カウント部３２は、カウント値ＮＢをインクリメントする。このとき、総合カウント値は、（０，１，０，０）である。
【０２６０】
検知部３３は、タイミングｔ２８において総合カウント値が（０，１，０，０）に更新されると、最大値および最小値として１およびゼロをそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０２６１】
次に、カウント部３２は、通信ポート３４Ｂが対象パケットＢ２，Ｂ３をタイミングｔ２９，ｔ３０においてそれぞれ送信すると、通信ポート３４Ｂが対象パケットＢを送信するごとにカウント値ＮＢをインクリメントする。
【０２６２】
総合カウント値は、タイミングｔ２９，ｔ３０において、それぞれ（０，２，０，０），（０，３，０，０）である。
【０２６３】
検知部３３は、タイミングｔ２９，ｔ３０において総合カウント値が更新されると、差分Ｄｉｆとして２，３をそれぞれ算出する。
【０２６４】
次に、カウント部３２は、通信ポート３４Ｃが対象パケットＣ１，Ｃ２，Ｃ３をタイミングｔ３１，ｔ３２，ｔ３３においてそれぞれ送信すると、通信ポート３４Ｃが対象パケットＣを送信するごとにカウント値ＮＣをインクリメントする。
【０２６５】
総合カウント値は、タイミングｔ３１，ｔ３２，ｔ３３において、それぞれ（０，３，１，０），（０，３，２，０），（０，３，３，０）である。
【０２６６】
検知部３３は、タイミングｔ３１，ｔ３２，ｔ３３において総合カウント値が更新されると、差分Ｄｉｆとして３，３，３をそれぞれ算出する。
【０２６７】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤ１，Ｄ２，Ｄ３をタイミングｔ３４，ｔ３５，ｔ３６においてそれぞれ送信すると、通信ポート３４Ｄが対象パケットＤを送信するごとにカウント値ＮＤをインクリメントする。
【０２６８】
総合カウント値は、タイミングｔ３４，ｔ３５，ｔ３６において、それぞれ（０，３，３，１），（０，３，３，２），（０，３，３，３）である。
【０２６９】
検知部３３は、タイミングｔ３４，ｔ３５，ｔ３６において総合カウント値が更新されると、差分Ｄｉｆとして３，３，３をそれぞれ算出する。
【０２７０】
［マルチパケットパターンでのＬｉＤＡＲ１１１Ｄへの不正通信の検知］
図１１は、本発明の第１の実施の形態に係るスイッチ装置が正常な各対象パケットおよび不正侵入パケットを中継した場合における、差分の時間的推移の一例を示す図である。
【０２７１】
なお、図１１の見方は、図３と同様である。また、図１１には、図８に示すタイミングｔ１２より後のスイッチ装置１０１の中継状況が示される。
【０２７２】
図１、図２および図１１を参照して、ＡＤＡＳ１１１Ｅは、マルチパケットパターンで対象パケット群ＧＡ，ＧＢ，ＧＣ，ＧＤを送信する。
【０２７３】
また、偽機能部は、３つの不正侵入パケットをスイッチ装置１０１経由でＬｉＤＡＲ１１１Ｄへ送信する。
【０２７４】
スイッチ装置１０１におけるカウント部３２は、通信ポート３４Ａが対象パケットＡ１をタイミングｔ１３において送信すると、カウント値ＮＡをインクリメントする。このとき、総合カウント値は、（４，３，３，３）である。
【０２７５】
検知部３３は、タイミングｔ１３において総合カウント値が（４，３，３，３）に更新されると、最大値および最小値として４および３をそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０２７６】
次に、カウント部３２は、通信ポート３４Ａおよび３４Ｄがそれぞれ対象パケットＡ２およびＬｉＤＡＲ１１１Ｄへの不正侵入パケットをタイミングｔ１４において送信すると、以下の処理を行う。
【０２７７】
すなわち、カウント部３２は、カウント値ＮＡおよびカウント値ＮＤをそれぞれインクリメントする。このとき、総合カウント値は、（５，３，３，４）である。
【０２７８】
検知部３３は、タイミングｔ１４において総合カウント値が（５，３，３，４）に更新されると、最大値および最小値として５および３をそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【０２７９】
次に、カウント部３２は、通信ポート３４Ａが対象パケットＡ３をタイミングｔ１５において送信すると、カウント値ＮＡをインクリメントする。
【０２８０】
検知部３３は、タイミングｔ１３において総合カウント値が（６，３，３，４）に更新されると、最大値および最小値として６および３をそれぞれ取得し、差分Ｄｉｆとして３を算出する。
【０２８１】
次に、カウント部３２は、通信ポート３４Ｂおよび３４Ｄがそれぞれ対象パケットＢ１およびＬｉＤＡＲ１１１Ｄへの不正侵入パケットをタイミングｔ１６において送信すると、以下の処理を行う。
【０２８２】
すなわち、カウント部３２は、カウント値ＮＢおよびカウント値ＮＤをそれぞれインクリメントする。このとき、総合カウント値は、（６，４，３，５）である。
【０２８３】
検知部３３は、タイミングｔ１４において総合カウント値が（６，４，３，５）に更新されると、最大値および最小値として６および３をそれぞれ取得し、差分Ｄｉｆとして３を算出する。
【０２８４】
次に、カウント部３２は、通信ポート３４Ｂが対象パケットＢ２をタイミングｔ１７において送信すると、カウント値ＮＢをインクリメントする。
【０２８５】
検知部３３は、タイミングｔ１７において総合カウント値が（６，５，３，５）に更新されると、最大値および最小値として６および３をそれぞれ取得し、差分Ｄｉｆとして３を算出する。
【０２８６】
次に、カウント部３２は、通信ポート３４Ｂおよび３４Ｄがそれぞれ対象パケットＢ３およびＬｉＤＡＲ１１１Ｄへの不正侵入パケットをタイミングｔ１８において送信すると、以下の処理を行う。
【０２８７】
すなわち、カウント部３２は、カウント値ＮＢおよびカウント値ＮＤをそれぞれインクリメントする。このとき、総合カウント値は、（６，６，３，６）である。
【０２８８】
検知部３３は、タイミングｔ１８において総合カウント値が（６，６，３，６）に更新されると、最大値および最小値として６および３をそれぞれ取得し、差分Ｄｉｆとして３を算出する。
【０２８９】
次に、カウント部３２は、通信ポート３４Ｃが対象パケットＣ１，Ｃ２，Ｃ３をタイミングｔ１９，ｔ２０，ｔ２１においてそれぞれ送信すると、通信ポート３４Ｃが対象パケットＣを送信するごとにカウント値ＮＣをインクリメントする。
【０２９０】
総合カウント値は、タイミングｔ１９，ｔ２０，ｔ２１において、それぞれ（６，６，４，６），（６，６，５，６），（６，６，６，６）である。
【０２９１】
検知部３３は、タイミングｔ１９，ｔ２０，ｔ２１において総合カウント値が更新されると、差分Ｄｉｆとして２，１，０をそれぞれ算出する。
【０２９２】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤ１，Ｄ２，Ｄ３をタイミングｔ２２，ｔ２３，ｔ２４においてそれぞれ送信すると、通信ポート３４Ｄが対象パケットＤを送信するごとにカウント値ＮＤをインクリメントする。
【０２９３】
総合カウント値は、タイミングｔ２２，ｔ２３，ｔ２４において、それぞれ（６，６，６，７），（６，６，６，８），（６，６，６，９）である。
【０２９４】
検知部３３は、タイミングｔ２２，ｔ２３，ｔ２４において総合カウント値が更新されると、差分Ｄｉｆとして１，２，３をそれぞれ算出する。
【０２９５】
図１２は、本発明の第１の実施の形態に係るスイッチ装置が不正侵入を検知した場合における、差分の時間的推移の一例を示す図である。
【０２９６】
図１２では、ＬｉＤＡＲ１１１Ｄへの不正通信の検知について説明する。なお、図１２の見方は、図３と同様である。また、図１２には、図１１に示すタイミングｔ２４より後のスイッチ装置１０１の中継状況が示される。
【０２９７】
図１、図２および図１２を参照して、ＡＤＡＳ１１１Ｅは、マルチパケットパターンで対象パケット群ＧＡ，ＧＢ，ＧＣ，ＧＤを送信する。
【０２９８】
また、偽機能部は、１つの不正侵入パケットをスイッチ装置１０１経由でＬｉＤＡＲ１１１Ｄへ送信する。
【０２９９】
スイッチ装置１０１におけるカウント部３２は、通信ポート３４Ａが対象パケットＡ１をタイミングｔ２５において送信すると、カウント値ＮＡをインクリメントする。このとき、総合カウント値は、（７，６，６，９）である。
【０３００】
検知部３３は、タイミングｔ２５において総合カウント値が（７，６，６，９）に更新されると、最大値および最小値として９および６をそれぞれ取得し、差分Ｄｉｆとして３を算出する。
【０３０１】
次に、カウント部３２は、通信ポート３４Ａおよび３４Ｄがそれぞれ対象パケットＡ２およびＬｉＤＡＲ１１１Ｄへの不正侵入パケットをタイミングｔ２６において送信すると、以下の処理を行う。
【０３０２】
すなわち、カウント部３２は、カウント値ＮＡおよびカウント値ＮＤをそれぞれインクリメントする。このとき、総合カウント値は、（８，６，６，１０）である。
【０３０３】
検知部３３は、タイミングｔ２６において総合カウント値が（８，６，６，１０）に更新されると、最大値および最小値として１０および６をそれぞれ取得し、差分Ｄｉｆとして４を算出する。
【０３０４】
次に、カウント部３２は、通信ポート３４Ａが対象パケットＡ３をタイミングｔ２７において送信すると、カウント値ＮＡをインクリメントする。
【０３０５】
検知部３３は、タイミングｔ２７において総合カウント値が（９，６，６，１０）に更新されると、最大値および最小値として１０および６をそれぞれ取得し、差分Ｄｉｆとして４を算出する。
【０３０６】
次に、カウント部３２は、通信ポート３４Ｂが対象パケットＢ１，Ｂ２，Ｂ３をタイミングｔ２８，ｔ２９，ｔ３０においてそれぞれ送信すると、通信ポート３４Ｂが対象パケットＢを送信するごとにカウント値ＮＢをインクリメントする。
【０３０７】
総合カウント値は、タイミングｔ２８，ｔ２９，ｔ３０において、それぞれ（９，７，６，１０），（９，８，６，１０），（９，９，６，１０）である。
【０３０８】
検知部３３は、タイミングｔ２８，ｔ２９，ｔ３０において総合カウント値が更新されると、差分Ｄｉｆとして４，４，４をそれぞれ算出する。
【０３０９】
次に、カウント部３２は、通信ポート３４Ｃが対象パケットＣ１，Ｃ２，Ｃ３をタイミングｔ３１，ｔ３２，ｔ３３においてそれぞれ送信すると、通信ポート３４Ｃが対象パケットＣを送信するごとにカウント値ＮＣをインクリメントする。
【０３１０】
総合カウント値は、タイミングｔ３１，ｔ３２，ｔ３３において、それぞれ（９，９，７，１０），（９，９，８，１０），（９，９，９，１０）である。
【０３１１】
検知部３３は、タイミングｔ３１，ｔ３２，ｔ３３において総合カウント値が更新されると、差分Ｄｉｆとして３，２，１をそれぞれ算出する。
【０３１２】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤ１をタイミングｔ３４において送信すると、カウント値ＮＤをインクリメントする。
【０３１３】
検知部３３は、タイミングｔ３４において総合カウント値が（９，９，９，１１）に更新されると、最大値および最小値として１１および９をそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【０３１４】
検知部３３は、タイミングｔ３４において、差分Ｄｉｆが減少してゼロに達する前に増加に転じたので不正通信が発生したと判断し、検知結果処理を行う。
【０３１５】
また、検知部３３は、カウント部３２におけるカウント値ＮＡ〜ＮＤをリセットするためのリセット命令をカウント部３２へ出力する。
【０３１６】
カウント部３２は、検知部３３からリセット命令を受けると、受けたリセット命令に従ってリセット準備状態へ遷移する。
【０３１７】
ここでは、スイッチ装置１０１が直近に送信した対象パケットが対象パケットＤ１であるので、カウント部３２は、自己のスイッチ装置１０１が対象パケットＤ１〜Ｄ３のいずれとも異なる対象パケットを送信した場合に、対応の送信カウンタのカウント値をインクリメントする前にカウント値ＮＡ〜ＮＤをリセットする。
【０３１８】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤ２をタイミングｔ３５において送信すると、カウント値ＮＡ〜ＮＤをリセットせずにカウント値ＮＤをインクリメントする。
【０３１９】
検知部３３は、タイミングｔ３５において総合カウント値が（９，９，９，１２）に更新されると、最大値および最小値として１２および９をそれぞれ取得し、差分Ｄｉｆとして３を算出する。
【０３２０】
次に、カウント部３２は、通信ポート３４Ｄが対象パケットＤ３をタイミングｔ３６において送信すると、カウント値ＮＡ〜ＮＤをリセットせずにカウント値ＮＤをインクリメントする。
【０３２１】
検知部３３は、タイミングｔ３６において総合カウント値が（９，９，９，１３）に更新されると、最大値および最小値として１３および９をそれぞれ取得し、差分Ｄｉｆとして４を算出する。
【０３２２】
ＡＤＡＳ１１１Ｅは、タイミングｔ３６より後のタイミングにおいて、マルチパケットパターンで新たな対象パケット群ＧＡ，ＧＢ，ＧＣ，ＧＤを送信する。
【０３２３】
次に、カウント部３２は、通信ポート３４Ａが対象パケットＡ１をタイミングｔ３７において送信すると、自己のスイッチ装置１０１がリセット準備状態において対象パケットＤ１〜Ｄ３のいずれとも異なる対象パケットＡ１を送信したので、以下の処理を行う。
【０３２４】
すなわち、カウント部３２は、総合カウント値を（９，９，９，１３）から（０，０，０，０）にリセットするとともに、リセット準備状態から通常状態へ遷移する。
【０３２５】
そして、カウント部３２は、カウント値ＮＣをインクリメントする。このとき、総合カウント値は、（１，０，０，０）である。
【０３２６】
検知部３３は、タイミングｔ３７において総合カウント値が（１，０，０，０）に更新されると、最大値および最小値として１およびゼロをそれぞれ取得し、差分Ｄｉｆとして１を算出する。
【０３２７】
次に、カウント部３２は、通信ポート３４Ａが対象パケットＡ２をタイミングｔ３８において送信すると、カウント値ＮＡをインクリメントする。
【０３２８】
検知部３３は、タイミングｔ３８において総合カウント値が（２，０，０，０）に更新されると、最大値および最小値として２およびゼロをそれぞれ取得し、差分Ｄｉｆとして２を算出する。
【０３２９】
次に、カウント部３２は、通信ポート３４Ａが対象パケットＡ３をタイミングｔ３９において送信すると、カウント値ＮＡをインクリメントする。
【０３３０】
検知部３３は、タイミングｔ３９において総合カウント値が（３，０，０，０）に更新されると、最大値および最小値として３およびゼロをそれぞれ取得し、差分Ｄｉｆとして３を算出する。
【０３３１】
以下、スイッチ装置１０１が対象パケット群ＧＢ〜ＧＤを中継したときの動作は、図８に示すタイミングｔ４〜ｔ１２における動作と同様である。
【０３３２】
［動作の流れ］
車載通信システム３０１における各装置は、コンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のシーケンス図またはフローチャートの各ステップの一部または全部を含むプログラムを図示しないメモリからそれぞれ読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。
【０３３３】
図１３は、本発明の第１の実施の形態に係る車載通信システムにおけるスイッチ装置が不正通信の検知を行う際の動作手順を定めたフローチャートである。
【０３３４】
図１３を参照して、スイッチ装置１０１が通常状態である状況を想定する。まず、スイッチ装置１０１は、対象パケットまたは不正侵入パケットをＬｉＤＡＲ１１１へ送信するまで検知処理を保留する（ステップＳ１０２でＮＯ）。
【０３３５】
そして、スイッチ装置１０１は、対象パケットまたは不正侵入パケットをＬｉＤＡＲ１１１へ送信すると（ステップＳ１０２でＹＥＳ）、リセット準備状態であり、かつ今回の送信先のＬｉＤＡＲ１１１と前回の送信先のＬｉＤＡＲ１１１とが異なる場合（ステップＳ１０４でＹＥＳおよびステップＳ１０６でＹＥＳ）、カウント値ＮＡ〜ＮＤをリセットするとともに、リセット準備状態から通常状態へ遷移する（ステップＳ１０８）。
【０３３６】
次に、スイッチ装置１０１は、送信したパケットに対応する送信カウンタのカウント値をインクリメントする（ステップＳ１１０）。
【０３３７】
次に、スイッチ装置１０１は、カウント値ＮＡ〜ＮＤにおける最大値と最小値との差分Ｄｉｆを算出する（ステップＳ１１２）。
【０３３８】
次に、スイッチ装置１０１は、差分Ｄｉｆの時間的推移において、差分Ｄｉｆが減少してゼロに達する前に再び増加した場合（ステップＳ１１４でＹＥＳ）、不正通信を検知する（ステップＳ１１６）。
【０３３９】
次に、スイッチ装置１０１は、検知結果処理を行う（ステップＳ１１８）。
【０３４０】
次に、スイッチ装置１０１は、通常状態からリセット準備状態へ遷移する（ステップＳ１２０）。
【０３４１】
次に、スイッチ装置１０１は、差分Ｄｉｆの時間的推移において、差分Ｄｉｆが減少してゼロに達する前に再び増加しない場合（ステップＳ１１４でＮＯ）、またはリセット準備状態へ遷移すると（ステップＳ１２０）、新たな対象パケットまたは不正侵入パケットをＬｉＤＡＲ１１１へ送信するまで検知処理を保留する（ステップＳ１０２でＮＯ）。
【０３４２】
なお、上記ステップＳ１１６およびＳ１１８と、上記ステップＳ１２０との順番は、上記に限らず、順番を入れ替えてもよい。
【０３４３】
また、車両１において、故障診断を行うダイアグノシスモード、および維持管理を行うメンテナンスモードの動作が行われることがある。このようなモードでは、対象パケットが各対象機能部へ均等に伝送されないことがある。このため、ダイアグノシスモードおよびメンテナンスモードにおいて、上記動作の流れを無効化する構成であってもよい。
【０３４４】
また、本発明の第１の実施の形態に係る車載通信システムでは、ＬｉＤＡＲ１１１が対象機能部として動作する構成であるとしたが、これに限定するものではない。車両１に複数設けられたカメラおよびミリ波センサ等が対象機能部として動作する構成であってもよい。
【０３４５】
また、本発明の第１の実施の形態に係る車載通信システムでは、対象パケットＡ，Ｂ，Ｃ，Ｄは、所定の順番としてこの順番でＡＤＡＳ１１１ＥからＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄへ伝送される構成であるとしたが、これに限定するものではない。対象パケットは、各対象機能部へ順番に送信される構成であってもよい。具体的には、対象パケットＡ，Ｂ，Ｃ，Ｄの伝送順は、取得周期ごとに異なる構成であってもよい。より具体的には、対象パケットＡ，Ｂ，Ｃ，Ｄは、たとえば、３つの連続した取得周期において、対象パケットＡ，Ｂ，Ｃ，Ｄ，Ｂ，Ｃ，Ａ，Ｄ，Ｄ，Ａ，Ｃ，Ｂ等の順番で伝送される構成であってもよい。この場合でも、検知部３３は、上記順番における最後の対象機能部以外の対象機能部への不正通信を検知可能である。
【０３４６】
また、本発明の第１の実施の形態に係る車載通信システムでは、対象機能部の一例であるＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄは、共通の機能部１１１の一例であるＡＤＡＳ１１１Ｅへ計測結果を含むＵＤＰパケットを送信する機能部１１１である構成であるとしたが、これに限定するものではない。各対象機能部は、共通の機能部１１１へパケットを送信しない構成であってもよい。具体的には、各対象機能部は、たとえば、共通の機能部から時刻合わせ情報および設定変更命令等を定期的に受信するだけの機能部１１１であってもよい。
【０３４７】
また、本発明の第１の実施の形態に係る車載通信システムでは、対象機能部の一例であるＬｉＤＡＲ１１１Ａ，１１１Ｂ，１１１Ｃ，１１１Ｄは、同類の機器の一例であるレーザ機器および受光素子を含む構成であるとしたが、これに限定するものではない。各対象機能部は、同類の機器を含まない構成であってもよい。
【０３４８】
また、本発明の第１の実施の形態に係る車載通信システムでは、各対象機能部は、対象パケットの送信先ポート番号が同じであることを満たす機能部１１１である構成であるとしたが、これに限定するものではない。各対象機能部は、アドレスが所定範囲に含まれることを満たす機能部１１１である構成であってもよい。具体的には、たとえば、ＬｉＤＡＲ１１１Ａ、１１１Ｂ、１１１Ｃおよび１１１ＤのＩＰアドレスが、それぞれ１９２．１６８．１．１０、１９２．１６８．１．１１、１９２．１６８．１．１２および１９２．１６８．１．１３であり、かつ所定範囲が１９２．１６８．１．１０〜１９２．１６８．１．１３である。
【０３４９】
また、各対象機能部は、属するネットワークの識別子が同じであることを満たす機能部１１１である構成であってもよい。具体的には、たとえば、各対象機能部は、ＶＬＡＮ１に属するすべての機能部１１１であってもよい。
【０３５０】
また、各対象機能部は、所定の定義情報により定義されていることを満たす機能部１１１である構成であってもよい。具体的には、たとえば、記憶部３５に保存された設定ファイルにおいて、対象機能部のＩＰアドレス、ＭＡＣアドレスおよびシリアル番号等の識別情報が定義情報として登録されており、カウント部３２は、設定ファイルに登録された定義情報に基づいて対象パケットの個数をカウントする。
【０３５１】
また、各対象機能部は、パケットの送信先ポート番号が同じであること、アドレスが所定範囲に含まれること、属するネットワークの識別子が同じであること、および所定の定義情報により定義されていることの少なくともいずれか１つを満たす機能部１１１である構成に限らず、他の条件を満たす機能部１１１である構成であってもよい。
【０３５２】
また、本発明の第１の実施の形態に係るスイッチ装置では、検知部３３は、差分Ｄｉｆの時間的推移に基づいて、対象機能部への不正通信を検知する構成であるとしたが、これに限定するものではない。たとえば、検知部３３は、カウント部３２によってカウントされた各中継パケット数の最大値および最小値が一致しない期間の長さと所定のしきい値との大小関係に基づいて、対象機能部への不正通信を検知する構成であってもよい。
【０３５３】
また、本発明の第１の実施の形態に係るスイッチ装置では、検知部３３は、差分Ｄｉｆの時間的推移において差分Ｄｉｆが減少から増加に転じる際の値に基づいて不正通信を検知する構成であるとしたが、これに限定するものではない。検知部３３は、差分Ｄｉｆが増加から減少に転じる際の値に基づいて不正通信を検知する構成であってもよい。
【０３５４】
また、本発明の第１の実施の形態に係るスイッチ装置では、検知部３３は、差分Ｄｉｆの時間的推移において差分Ｄｉｆが減少してゼロに達する前に増加に転じた場合、不正通信が発生したと判断する構成であるとしたが、これに限定するものではない。検知部３３は、たとえば差分Ｄｉｆが減少して１以上の値に達する前に増加に転じた場合に、不正通信が発生したと判断する構成であってもよい。
【０３５５】
また、本発明の第１の実施の形態に係るスイッチ装置では、カウント部３２は、検知部３３によって不正通信が検知された場合、各中継パケット数をリセットする構成であるとしたが、これに限定するものではない。カウント部３２は、たとえば定期的に各中継パケット数をリセットする構成であってもよい。これにより、不正侵入パケットを中継しない場合においても不正通信が発生したと検知する誤検知が継続することを防ぐことができる。
【０３５６】
また、本発明の第１の実施の形態に係るスイッチ装置では、カウント部３２は、対象パケットが所定の順番で各対象機能部へ送信される場合において、検知部３３によって不正通信が検知された後、対象パケットの中継先となる対象機能部が切り替わる際に各中継パケット数をリセットする構成であるとしたが、これに限定するものではない。カウント部３２は、たとえば、検知部３３によって不正通信が検知された後、最後の順番の対象機能部への対象パケットの送信が完了した際に各中継パケット数をリセットする構成であってもよい。
【０３５７】
ところで、特許文献１に車載通信システムでは、車両が駐車している状態において車載ＬＡＮと外部機器との間のゲートウェイを介した通信が禁止されるので、車両外部からゲートウェイを介した車載ＬＡＮへの不正アクセスが防止される。しかしながら、車両が走行している状態では車両外部からの不正アクセスを防止できない。
【０３５８】
また、非特許文献１に記載の検知方法では、ＴＣＰコネクションおよびタイムアウト時間を用いて攻撃を検知する。しかしながら、ＴＣＰコネクションを用いないＳｌｏｗ  Ｒｅａｄ  ＤｏＳ攻撃に対しては、上記の方法を用いた検知が困難である。
【０３５９】
これに対して、本発明の第１の実施の形態に係るスイッチ装置は、車両１に搭載される複数の機能部１１１間のデータを中継する中継処理を行う。カウント部３２は、中継処理において同類の複数の機能部１１１である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントする。そして、検知部３３は、カウント部３２のカウント値を監視し、カウント部３２によってカウントされた各中継パケット数の最大値および最小値に基づいて、対象機能部への不正通信を検知する。
【０３６０】
各対象機能部は同類であるので、各対象機能部への中継パケット数は同数であると考えられる。そして、各対象機能部への中継パケット数をカウントし、カウントした各中継パケット数の最大値および最小値に基づいて、対象機能部への不正通信を検知する構成により、たとえば、同数であるべき各中継パケット数のばらつきに基づいて、Ｓｌｏｗ  Ｒｅａｄ  ＤｏＳ攻撃のような車載ネットワークにおける末端に位置する機能部１１１において検知困難な不正通信を検知することができる。また、各中継パケット数をカウントする構成により、通信プロトコルに関わらず不正通信を検知することができる。具体的には、中継されるパケットが、ＴＣＰコネクションを用いないＵＤＰパケットである場合においても、Ｓｌｏｗ  Ｒｅａｄ  ＤｏＳ攻撃を検知することができる。また、車両１の走行状態に関係なくスイッチ装置１０１が動作する構成により、車両１が駐車している状態に加えて、車両１が走行している状態においても不正通信を検知することができる。したがって、車載ネットワークにおいて良好なセキュリティを提供することができる。
【０３６１】
また、本発明の第１の実施の形態に係るスイッチ装置では、パケットは、各対象機能部へ順番に送信される。そして、検知部３３は、当該順番における最後の対象機能部以外の対象機能部への不正通信を検知可能である。
【０３６２】
パケットが各対象機能部へ順番に送信される場合において、不正侵入パケットが無いケースでは最大値と最小値とが同じ値となるタイミングがある。一方、最後の対象機能部以外の対象機能部への１つ以上の不正侵入パケットがあるケースでは、最大値と最小値とが同じ値となるタイミングがなくなる。このような相違に着目した上記構成により、最後の対象機能部以外の対象機能部への１つ以上の不正侵入パケットがあったことを検知することができる。
【０３６３】
また、本発明の第１の実施の形態に係るスイッチ装置では、検知部３３は、不正通信において２つ以上のパケットがいずれか１つの対象機能部へ中継された場合に不正通信を検知可能である。
【０３６４】
不正侵入パケットの個数が少ないケースでは、不正侵入パケットがあっても最大値と最小値とが同じ値となるタイミングがあるが、不正侵入パケットの個数がさらに増加すると、最大値と最小値とが同じ値となるタイミングがなくなる。このような相違に着目した上記構成により、対象機能部への不正侵入パケットがあったことを検知することができる。
【０３６５】
また、本発明の第１の実施の形態に係るスイッチ装置では、各対象機能部は、共通の機能部１１１へパケットを送信する機能部である。
【０３６６】
このような構成により、たとえば、各対象機能部が共通の機能部１１１からの要求に応じて当該共通の機能部１１１へパケットを送信する場合、当該要求を含むパケットが各対象機能部へ同様に中継されるので、当該要求を含むパケットを各対象機能部への中継数が同数となるパケットとして用いることができる。
【０３６７】
また、本発明の第１の実施の形態に係るスイッチ装置では、各対象機能部は、パケットの送信先ポート番号が同じであること、アドレスが所定範囲に含まれること、属するネットワークの識別子が同じであること、および所定の定義情報により定義されていることの少なくともいずれか１つを満たす機能部である。
【０３６８】
上記パケットの到着先のアプリケーションが同じである可能性が高いので、上記パケットが同様に各対象機能部へ伝送されると考えられる。また、各対象機能部のアドレスが類似している可能性が高いので、上記パケットが同様に各対象機能部へ伝送されると考えられる。また、各対象機能部が同じネットワークに属しているので、上記パケットが同様に各対象機能部へ伝送されると考えられる。また、たとえば、上記パケットが同様に伝送される機能部が定義情報に含まれる場合、上記パケットが同様に各対象機能部へ伝送されると考えられる。このようなパケットを、各対象機能部への中継数が同数となるパケットとして用いることができる。
【０３６９】
また、本発明の第１の実施の形態に係るスイッチ装置では、各対象機能部は、同類の機器を含む。
【０３７０】
各対象機能部に含まれる機器が同じ動作を行う可能性が高いので、たとえば、当該機器への命令を含むパケットが各対象機能部へ同様に伝送されると考えられる。このようなパケットを、各対象機能部への中継数が同数となるパケットとして用いることができる。
【０３７１】
また、本発明の第１の実施の形態に係るスイッチ装置では、検知部３３は、最大値および最小値の差分の推移に基づいて不正通信を検知する。
【０３７２】
不正侵入パケットが無いケースでは、差分は、時間の経過とともに減少してゼロになった後、増加する。一方、不正侵入パケットがあるケースでは、差分は、時間の経過とともに減少してゼロより大きい値になった後、増加する。このような、差分の時間的推移の相違に着目し、不正なパケットが車載ネットワークへ侵入したことを検知することができる。
【０３７３】
また、本発明の第１の実施の形態に係るスイッチ装置では、検知部３３は、最大値および最小値の差分の推移において当該差分が減少から増加に転じる際の値に基づいて不正通信を検知する。
【０３７４】
不正なパケットが侵入した場合における上記値が、不正なパケットが侵入しない場合における上記値と異なることに着目し、不正通信を簡易に検知することができる。
【０３７５】
また、本発明の第１の実施の形態に係るスイッチ装置では、検知部３３は、最大値および最小値の差分の推移において差分が減少してゼロに達する前に増加に転じた場合、不正通信が発生したと判断する。
【０３７６】
このような構成により、不正なパケットが侵入してから不正通信の発生の判断までの時間を短くすることができるので、検知の遅れを防ぐことができる。
【０３７７】
また、本発明の第１の実施の形態に係るスイッチ装置では、カウント部３２は、検知部３３によって不正通信が検知された場合、各中継パケット数をリセットする。
【０３７８】
このような構成により、不正通信が発生していないのに不正通信が発生していると誤って判断してしまうことを防ぐことができる。
【０３７９】
また、本発明の第１の実施の形態に係るスイッチ装置では、パケットは、所定の順番で各対象機能部へ送信される。そして、カウント部３２は、検知部３３によって不正通信が検知された後、パケットの中継先となる対象機能部が切り替わる際に各中継パケット数をリセットする。
【０３８０】
このように、順番の区切りのタイミングで各中継パケット数をリセットする構成により、上記所定の順番の途中から検知処理を再開することができる。すなわち、実質的な初期状態から検知処理を再開することができる。
【０３８１】
次に、本発明の他の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。
【０３８２】
＜第２の実施の形態＞
本実施の形態は、第１の実施の形態に係るスイッチ装置と比べて、カウント部においてカウントすべきパケットの条件を自動で取得するスイッチ装置に関する。以下で説明する内容以外は第１の実施の形態に係るスイッチ装置と同様である。
【０３８３】
［スイッチ装置１０２の構成］
図１４は、本発明の第２の実施の形態に係る車載通信システムにおけるスイッチ装置の構成を示す図である。
【０３８４】
図１４を参照して、スイッチ装置１０２は、図２に示すスイッチ装置１０１と比べて、さらに、設定ファイル更新部３６を備える。
【０３８５】
スイッチ装置１０２におけるスイッチ部３１、カウント部３２、検知部３３、通信ポート３４および記憶部３５の動作は、図２に示すスイッチ装置１０１におけるスイッチ部３１、カウント部３２、検知部３３、通信ポート３４および記憶部３５とそれぞれ同様である。
【０３８６】
設定ファイル更新部３６は、各通信ポート３４が送受信するイーサネットフレームを監視する。
【０３８７】
より詳細には、設定ファイル更新部３６は、たとえば、監視対象の通信ポート３４ごとに、対応のポート番号と、当該通信ポート３４において送受信されるイーサネットフレームに含まれる、差出元ＩＰアドレス、宛先ＩＰアドレス、通信プロトコル番号、ＵＤＰパケットまたはＴＣＰパケットの差出元ポート番号および宛先ポート番号、ならびに差出元ＭＡＣアドレスおよび宛先ＭＡＣアドレスとを監視する。
【０３８８】
設定ファイル更新部３６は、監視結果に基づいて、同類の複数の機能部１１１へ中継されるパケット（以下、条件具備パケットとも称する。）を特定するための条件を作成する。
【０３８９】
具体的には、設定ファイル更新部３６は、たとえば、差出元ＩＰアドレスおよび宛先ポート番号が同じであるが、宛先ＩＰアドレスがそれぞれ異なる複数のパケットを、条件具備パケットとして特定する。
【０３９０】
より具体的には、設定ファイル更新部３６は、通信ポート３４Ａ〜３４ＤにおいてそれぞれＬｉＤＡＲ１１１Ａ〜１１１Ｄへ送信されるパケットに含まれる差出元ＩＰアドレス、宛先ＩＰアドレスおよび宛先ポート番号に基づいて、対象パケットＡ〜Ｄを条件具備パケットとして特定する。
【０３９１】
設定ファイル更新部３６は、条件具備パケットが送信される通信ポート３４のポート番号、ならびに条件具備パケットに含まれる差出元ＩＰアドレスおよび宛先ポート番号に基づいて条件ＣＡ〜ＣＤを作成し、作成した条件ＣＡ〜ＣＤを記憶部３５における設定ファイルに書き込む。
【０３９２】
その他の構成および動作は第１の実施の形態に係るスイッチ装置と同様であるため、ここでは詳細な説明を繰り返さない。
【０３９３】
次に、本発明の他の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。
【０３９４】
＜第３の実施の形態＞
本実施の形態は、第１の実施の形態に係る車載通信システムと比べて、ＣＡＮの通信規格に従う車載ネットワークにおける不正通信を検知する車載通信システムに関する。以下で説明する内容以外は第１の実施の形態に係る車載通信システムと同様である。
【０３９５】
［構成および基本動作］
図１５は、本発明の第３の実施の形態に係る車載通信システムの構成を示す図である。
【０３９６】
図１５を参照して、車載通信システム３１１は、ゲートウェイ装置１５１と、複数の機能部１６１とを備える。車載通信システム３１１は、車両１に搭載される。
【０３９７】
この例では、スレーブＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔ）１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄは、対象機能部の一例である。マスタＥＣＵ１６１Ｅは、機能部１６１の一例である。スレーブＥＣＵ１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄは、たとえば、アドレスの一例であるＣＡＮノードＩＤとして、２１，２２，２３，２４をそれぞれ有する。
【０３９８】
以下、スレーブＥＣＵ１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄの各々を、スレーブＥＣＵ１６１とも称する。
【０３９９】
より詳細には、スレーブＥＣＵ１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄは、たとえば、それぞれ、自己の車両１の左前部、右前部、左後部および右後部における各車輪に設けられる。
【０４００】
スレーブＥＣＵ１６１Ａ〜１６１Ｄは、たとえば、マスタＥＣＵ１６１Ｅの命令に従って動作し、車輪の回転数を計測するための計測モジュール等の同類の機器を含む。
【０４０１】
スレーブＥＣＵ１６１は、たとえば、マスタＥＣＵ１６１Ｅからの計測要求に応じて、対応の車輪の回転数を計測する。
【０４０２】
なお、機能部１６１は、スレーブＥＣＵ１６１およびマスタＥＣＵ１６１Ｅの他に、エンジン制御デバイス、ＡＴ（Ａｕｔｏｍａｔｉｃ  Ｔｒａｎｓｍｉｓｓｉｏｎ）制御デバイス、ＨＥＶ（Ｈｙｂｒｉｄ  Ｅｌｅｃｔｒｉｃ  Ｖｅｈｉｃｌｅ）制御デバイス、ブレーキ制御デバイス、シャーシ制御デバイス、ステアリング制御デバイス、計器表示制御デバイスおよび盗難検知デバイス等であってもよい。
【０４０３】
車載ネットワークにおける、ゲートウェイ装置１５１および各機能部１６１との接続関係は、たとえば固定されている。
【０４０４】
ゲートウェイ装置１５１は、たとえば、ＣＡＮの通信規格に従うバス（以下、ＣＡＮバスとも称する。）１３により機能部１６１と接続されている。
【０４０５】
ＣＡＮバス１３には、ゲートウェイ装置１５１と、複数の機能部１６１とが接続される。
【０４０６】
より詳細には、ＣＡＮバス１３であるＣＡＮバス１３Ａ，１３Ｂ，１３Ｃ，１３Ｄには、スレーブＥＣＵ１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄがそれぞれ接続される。ＣＡＮバス１３であるＣＡＮバス１３Ｅには、マスタＥＣＵ１６１Ｅが接続される。
【０４０７】
ゲートウェイ装置１５１および機能部１６１は、たとえばＣＡＮバス１３を用いて互いに通信を行うことが可能である。
【０４０８】
具体的には、ゲートウェイ装置１５１および機能部１６１は、たとえば、ＣＡＮの通信規格に従うメッセージを用いて情報のやり取りを行うことが可能である。
【０４０９】
また、ゲートウェイ装置１５１は、たとえば、イーサネットケーブル１０により複数の機能部１１１と接続されている。
【０４１０】
ゲートウェイ装置１５１は、車両１に搭載される複数の機能部１１１，１６１間のデータを中継する中継処理を行う。
【０４１１】
より詳細には、ゲートウェイ装置１５１は、たとえば、異なるＣＡＮバス１３にそれぞれ接続された機能部１６１間における情報の中継処理、各機能部１１１間における情報の中継処理、および機能部１１１および機能部１６１間における情報の中継処理を行う。
【０４１２】
具体的には、ゲートウェイ装置１５１は、たとえば、マスタＥＣＵ１６１ＥからスレーブＥＣＵ１６１Ａ〜１６１Ｄへそれぞれ伝送されるメッセージを中継する。また、ゲートウェイ装置１５１は、スレーブＥＣＵ１６１Ａ〜１６１ＤからスレーブＥＣＵ１６１Ａへそれぞれ伝送されるメッセージを中継する。
【０４１３】
より詳細には、マスタＥＣＵ１６１Ｅは、たとえば、所定の取得周期ごとに、スレーブＥＣＵ１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄをそれぞれ宛先とする４つのメッセージを作成する。これら４つのメッセージには、計測要求が含まれる。
【０４１４】
以下、スレーブＥＣＵ１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄを宛先とするメッセージを、それぞれ対象メッセージＭＡ，ＭＢ，ＭＣ，ＭＤとも称する。また、対象メッセージＭＡ，ＭＢ，ＭＣ，ＭＤの各々を、対象メッセージとも称する。
【０４１５】
対象メッセージＭＡ，ＭＢ，ＭＣ，ＭＤには、それぞれスレーブＥＣＵ１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄが宛先であることを示すメッセージＩＤが含まれる。
【０４１６】
この例では、マスタＥＣＵ１６１Ｅは、対象メッセージＭＡ，ＭＢ，ＭＣ，ＭＤを、この順番で、ゲートウェイ装置１５１経由でスレーブＥＣＵ１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄへそれぞれ送信する。
【０４１７】
スレーブＥＣＵ１６１Ａは、マスタＥＣＵ１６１Ｅから対象メッセージを受信して、受信した対象メッセージに含まれる計測要求を取得する。
【０４１８】
そして、スレーブＥＣＵ１６１Ａは、取得した計測要求に従って対応の車輪の回転数を計測し、計測結果を含むメッセージを作成する。
【０４１９】
スレーブＥＣＵ１６１Ｂ，１６１Ｃ，１６１Ｄも、スレーブＥＣＵ１６１Ａと同様の処理を行う。
【０４２０】
各対象機能部は、たとえば、共通の機能部１６１へメッセージを送信する。この例では、スレーブＥＣＵ１６１Ａ，１６１Ｂ，１６１Ｃ，１６１Ｄは、計測結果を含むメッセージをマスタＥＣＵ１６１Ｅへ送信する。
【０４２１】
［ゲートウェイ装置１５１の構成］
図１６は、本発明の第３の実施の形態に係る車載通信システムにおけるゲートウェイ装置の構成を示す図である。
【０４２２】
図１６を参照して、ゲートウェイ装置（中継装置）１５１は、検知部３３と、複数の通信ポート３４と、記憶部３５と、ゲートウェイ部４０と、中継部４１と、カウント部４２とを備える。
【０４２３】
ゲートウェイ装置１５１における検知部３３、通信ポート３４および記憶部３５の動作は、図２に示すスイッチ装置１０１における検知部３３、通信ポート３４および記憶部３５とそれぞれ同様である。
【０４２４】
中継部４１には、ＣＡＮバス１３Ａ〜１３Ｅが接続されている。通信ポート３４は、イーサネットケーブル１０を介して機能部１１１に接続されている。
【０４２５】
ゲートウェイ部４０は、ＣＡＮの通信プロトコルおよびイーサネットの通信プロトコル間のプロトコル変換を行うことによりデータを中継する。
【０４２６】
より詳細には、ゲートウェイ部４０は、中継部４１からメッセージを受けると、受けたメッセージについてプロトコル変換を行うことにより当該メッセージからイーサネットフレームを作成し、作成したイーサネットフレームを中継部４１へ出力する。
【０４２７】
また、ゲートウェイ部４０は、中継部４１からイーサネットフレームを受けると、受けたイーサネットフレームについてプロトコル変換を行うことにより当該イーサネットフレームからメッセージを作成し、作成したメッセージを中継部４１へ出力する。
【０４２８】
中継部４１は、たとえば、メッセージＩＤとＣＡＮノードＩＤとの対応関係を示すＩＤ対応テーブル、およびＣＡＮノードＩＤおよびＭＡＣアドレスと出力先との対応関係を示す出力先対応テーブルを保持する。ここで、出力先は、ＣＡＮバス１３、通信ポート３４およびゲートウェイ部４０である。
【０４２９】
ＩＤ対応テーブルおよび出力先対応テーブルの内容は、上述したように固定されている接続関係に基づいて、たとえばユーザにより予め定められている。
【０４３０】
中継部４１は、ＣＡＮバス１３経由で機能部１６１からメッセージを受信すると、受信したメッセージがプロトコル変換を要するメッセージである場合、当該メッセージをゲートウェイ部４０へ出力する。
【０４３１】
また、中継部４１は、受信したメッセージがプロトコル変換の不要なメッセージである場合、当該メッセージからメッセージＩＤを取得する。
【０４３２】
中継部４１は、ＩＤ対応テーブルを参照し、取得したメッセージＩＤに対応するＣＡＮノードＩＤを特定する。そして、中継部４１は、出力先対応テーブルを参照し、特定したＣＡＮノードＩＤに対応する出力先としてＣＡＮバス１３を特定する。そして、中継部４１は、受信したメッセージを、特定したＣＡＮバス１３へ出力する。
【０４３３】
中継部４１は、ゲートウェイ部４０から受けるメッセージについても、プロトコル変換の不要なメッセージと同様に処理する。
【０４３４】
また、中継部４１は、通信ポート３４経由でイーサネットフレームを受信すると、受信したイーサネットフレームがプロトコル変換を要するイーサネットフレームである場合、当該イーサネットフレームをゲートウェイ部４０へ出力する。
【０４３５】
また、中継部４１は、受信したイーサネットフレームがプロトコル変換の不要なイーサネットフレームである場合、当該イーサネットフレームから宛先ＭＡＣアドレスを取得する。
【０４３６】
中継部４１は、出力先対応テーブルを参照し、特定した宛先ＭＡＣアドレスに対応する出力先として他の通信ポート３４を特定する。そして、中継部４１は、受信したイーサネットフレームを、特定した通信ポート３４へ出力する。
【０４３７】
中継部４１は、ゲートウェイ部４０から受けるイーサネットフレームについても、プロトコル変換の不要なイーサネットフレームと同様に処理する。
【０４３８】
記憶部３５には、たとえばユーザにより作成された、カウント部３２がカウントすべきメッセージの条件を含む設定ファイルが登録されている。
【０４３９】
設定ファイルには、たとえば、宛先の機能部１６１のＣＡＮノードＩＤが含まれる範囲として２１〜２４が登録されている。この例では、設定ファイルには、条件ＣＭＡ〜ＣＭＤが含まれる。条件ＣＭＡ，ＣＭＢ，ＣＭＣ，ＣＭＤは、たとえば、メッセージＩＤがそれぞれ１１番，１２番，１３番，１４番であることである。
【０４４０】
ここで、１１番，１２番，１３番，１４番は、それぞれ対象メッセージＭＡ，ＭＢ，ＭＣ，ＭＤに含まれるメッセージＩＤの一例である。
【０４４１】
この条件ＣＭＡ〜ＣＭＤは、たとえば、以下のように作成される。すなわち、たとえば、管理者は、ＩＤ対応テーブルに基づいて、２１〜２４のＣＡＮノードＩＤに対応するメッセージＩＤとして、１１〜１４をそれぞれ抽出する。管理者は、抽出したメッセージＩＤに基づいて条件ＣＭＡ〜ＣＭＤを作成する。
【０４４２】
カウント部４２は、中継処理において対象機能部へ中継されるパケット、この例ではメッセージの数である中継メッセージ数をそれぞれカウントする。
【０４４３】
より詳細には、カウント部４２は、記憶部３５に登録された設定ファイルの内容に従って、中継部４１において送受信されるメッセージ数をカウントする。
【０４４４】
この例では、カウント部４２は、設定ファイルに含まれる条件ＣＭＡ，ＣＭＢ，ＣＭＣ，ＣＭＤを用いて、ＣＡＮバス１３Ａ，１３Ｂ，１３Ｃ，１３Ｄへそれぞれ中継される対象メッセージの個数をカウントする。
【０４４５】
また、カウント部３２は、ＤｏＳ攻撃を行うための機能部１６１からスレーブＥＣＵ１６１へ伝送される、対象メッセージＭＡ，ＭＢ，ＭＣ，ＭＤのうちのいずれか１つを偽装した不正侵入メッセージの個数もカウントする。
【０４４６】
具体的には、カウント部４２は、たとえば、カウント値ＮＡ，ＮＢ，ＮＣ，ＮＤをカウントするための４つの送信カウンタを保持する。
【０４４７】
ここで、カウント値ＮＡは、対象メッセージＭＡの個数、および対象メッセージＭＡを偽装した不正侵入メッセージの個数の合計を示す。カウント値ＮＢは、対象メッセージＭＢの個数、および対象メッセージＭＢを偽装した不正侵入メッセージの個数の合計を示す。カウント値ＮＣは、対象メッセージＭＣの個数、および対象メッセージＭＣを偽装した不正侵入メッセージの個数の合計を示す。カウント値ＮＤは、対象メッセージＭＤの個数、および対象メッセージＭＤを偽装した不正侵入メッセージの個数の合計を示す。
【０４４８】
カウント部４２は、図３〜図１２に示す場合と同様に、対象メッセージＭＡ，ＭＢ，ＭＣ，ＭＤのうちのいずれか、または不正侵入メッセージが中継部４１において中継されると、対応の送信カウンタのカウント値をインクリメントする。
【０４４９】
検知部３３は、カウント部４２のカウント値を監視し、カウント部４２によってカウントされた各中継メッセージ数の最大値および最小値に基づいて、対象機能部への不正通信を検知する。
【０４５０】
具体的には、検知部３３は、たとえば、図３〜図１２に示す場合と同様に、各中継メッセージ数の最大値および最小値の差分Ｄｉｆの時間的推移に基づいて不正通信を検知する。
【０４５１】
以上のように、本発明の第３の実施の形態に係るゲートウェイ装置は、車両１に搭載される複数の機能部１６１間のデータを中継する中継処理を行う。カウント部４２は、中継処理において同類の複数の機能部１６１である対象機能部へ中継されるメッセージの数である中継メッセージ数をそれぞれカウントする。そして、検知部３３は、カウント部４２のカウント値を監視し、カウント部４２によってカウントされた各中継メッセージ数の最大値および最小値に基づいて、対象機能部への不正通信を検知する。
【０４５２】
各対象機能部は同類であるので、各対象機能部への中継メッセージ数は同数であると考えられる。そして、各対象機能部への中継メッセージ数をカウントし、カウントした各中継メッセージ数の最大値および最小値に基づいて、対象機能部への不正通信を検知する構成により、たとえば、同数であるべき各中継メッセージ数のばらつきに基づいて、Ｓｌｏｗ  Ｒｅａｄ  ＤｏＳ攻撃のような車載ネットワークにおける末端に位置する機能部１６１において検知困難な不正通信を検知することができる。また、各中継メッセージ数をカウントする構成により、通信プロトコルに関わらず不正通信を検知することができる。具体的には、中継されるメッセージが、ＴＣＰコネクションを用いないＣＡＮにおけるメッセージである場合においても、Ｓｌｏｗ  Ｒｅａｄ  ＤｏＳ攻撃を検知することができる。また、車両１の走行状態に関係なくゲートウェイ装置１５１が動作する構成により、車両１が駐車している状態に加えて、車両１が走行している状態においても不正通信を検知することができる。したがって、車載ネットワークにおいて良好なセキュリティを提供することができる。
【０４５３】
その他の構成および動作は第１の実施の形態に係る車載通信システムと同様であるため、ここでは詳細な説明を繰り返さない。
【０４５４】
なお、本発明の第１の実施の形態〜第３の実施の形態に係る各装置の構成要素および動作のうち、一部または全部を適宜組み合わせることも可能である。
【０４５５】
上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【０４５６】
以上の説明は、以下に付記する特徴を含む。
【０４５７】
［付記１］
車両に搭載される複数の機能部間のデータを中継する中継処理を行う中継装置であって、
前記中継処理において同類の複数の前記機能部である対象機能部へ中継されるパケットの数である中継パケット数をそれぞれカウントするカウント部と、
前記カウント部のカウント値を監視し、前記カウント部によってカウントされた各前記中継パケット数の最大値および最小値に基づいて、前記対象機能部への不正通信を検知する検知部とを備え、
前記中継装置は、スイッチ装置またはゲートウェイ装置であり、
前記カウント部は、前記中継処理において、共通の前記機能部であるＡＤＡＳ（Ａｄｖａｎｃｅｄ  Ｄｒｉｖｅｒ  Ａｓｓｉｓｔａｎｃｅ  Ｓｙｓｔｅｍ）から複数のＬｉＤＡＲ（Ｌｉｇｈｔ  Ｄｅｔｅｃｔｉｏｎ  ａｎｄ  Ｒａｎｇｉｎｇ）、ミリ波センサまたはカメラへ中継されるパケットの数である中継パケット数をそれぞれカウントするか、または共通の前記機能部であるマスタＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔ）から複数のスレーブＥＣＵへ中継されるメッセージの数である中継メッセージ数をそれぞれカウントし、
前記パケットまたは前記メッセージは、共通の前記機能部から各前記対象機能部へ同じ個数ずつ送信されるパケットまたはメッセージである、中継装置。
【符号の説明】
【０４５８】
１  車両
３１  スイッチ部
３２  カウント部
３３  検知部
３４  通信ポート
３５  記憶部
３６  設定ファイル更新部
４０  ゲートウェイ部
４１  中継部
４２  カウント部
１０１，１０２  スイッチ装置（中継装置）
１１１  機能部
１５１  ゲートウェイ装置（中継装置）
１６１  機能部
３０１，３１１  車載通信システム
【図１】
2018174480.tif 000003
【図２】
2018174480.tif 000004
【図３】
2018174480.tif 000005
【図４】
2018174480.tif 000006
【図５】
2018174480.tif 000007
【図６】
2018174480.tif 000008
【図７】
2018174480.tif 000009
【図８】
2018174480.tif 000010
【図９】
2018174480.tif 000011
【図１０】
2018174480.tif 000012
【図１１】
2018174480.tif 000013
【図１２】
2018174480.tif 000014
【図１３】
2018174480.tif 000015
【図１４】
2018174480.tif 000016
【図１５】
2018174480.tif 000017
【図１６】
2018174480.tif 000018