(57)【要約】【課題】車載ネットワークにおける不正メッセージを正しく検知することが可能な検知装置、ゲートウェイ装置、検知方法および検知プログラムを提供する。【解決手段】検知装置は、複数の車載装置を含む車載ネットワークにおける不正メッセージを検知する検知装置であって、前記車載ネットワークにおける送信メッセージを監視する監視部と、前記送信メッセージの送信間隔の分布を取得する取得部と、前記監視部による監視結果および前記取得部によって取得された前記分布に基づいて、前記不正メッセージを検知する検知部とを備える。【選択図】図３
2018046432.tif 000002
【特許請求の範囲】
【請求項１】
複数の車載装置を含む車載ネットワークにおける不正メッセージを検知する検知装置であって、
前記車載ネットワークにおける送信メッセージを監視する監視部と、
前記送信メッセージの送信間隔の分布を取得する取得部と、
前記監視部による監視結果および前記取得部によって取得された前記分布に基づいて、前記不正メッセージを検知する検知部とを備える、検知装置。
【請求項２】
前記検知部は、前記監視部によって監視された前記送信メッセージの内容にさらに基づいて前記不正メッセージを検知する、請求項１に記載の検知装置。
【請求項３】
前記内容は、連続値である、請求項２に記載の検知装置。
【請求項４】
前記連続値は、前記車載ネットワークが設けられた車両の速度、前記車両のタイヤ空気圧、前記車両のステアリング角度、前記車両のアクセル開度、前記車両のエンジンの回転数およびシリンダー圧力、前記車両に乗車している人間の重量、前記車両の加速度、前記車両のモータの回転数、前記車両の制動トルク、前記車両のヨーレート、ならびに前記車両に用いる電波の受信強度のうちの少なくともいずれか１つである、請求項３に記載の検知装置。
【請求項５】
前記監視部は、前記送信メッセージの送信間隔を測定し、
前記検知部は、前記監視部によって測定された前記送信間隔と、前記分布と、所定のしきい値とに基づいて前記不正メッセージを検知する、請求項１から請求項４のいずれか１項に記載の検知装置。
【請求項６】
前記監視部は、前記送信メッセージの送信間隔を測定し、
前記検知部は、前記監視部によって測定された前記送信間隔の、前記分布における位置に基づいて前記不正メッセージを検知する、請求項１から請求項５のいずれか１項に記載の検知装置。
【請求項７】
前記監視部は、前記送信メッセージの送信間隔を測定し、
前記検知装置は、さらに、
前記監視部によって測定された前記送信間隔に基づいて前記分布を更新する分布作成部を備える、請求項１から請求項６のいずれか１項に記載の検知装置。
【請求項８】
前記取得部は、他の装置によって予め作成された前記分布を取得する、請求項１から請求項６のいずれか１項に記載の検知装置。
【請求項９】
前記監視部は、前記送信メッセージの送信間隔を測定し、
前記監視部は、不正メッセージではないと判断された前記送信メッセージの受信タイミングを前記送信間隔の測定基準として用いる、請求項１から請求項８のいずれか１項に記載の検知装置。
【請求項１０】
車載ネットワークにおける車載装置間のメッセージを中継するゲートウェイ装置であって、
前記車載ネットワークにおける送信メッセージを監視する監視部と、
前記送信メッセージの送信間隔の分布を取得する取得部と、
前記監視部による監視結果および前記取得部によって取得された前記分布に基づいて、前記不正メッセージを検知する検知部とを備える、ゲートウェイ装置。
【請求項１１】
複数の車載装置を含む車載ネットワークにおける不正メッセージを検知する検知装置における検知方法であって、
前記車載ネットワークにおける送信メッセージを監視するステップと、
前記送信メッセージの送信間隔の分布を取得するステップと、
監視結果および取得した前記分布に基づいて、前記不正メッセージを検知するステップとを含む、検知方法。
【請求項１２】
車載ネットワークにおける車載装置間のメッセージを中継するゲートウェイ装置における検知方法であって、
前記車載ネットワークにおける送信メッセージを監視するステップと、
前記送信メッセージの送信間隔の分布を取得するステップと、
監視結果および取得した前記分布に基づいて、前記不正メッセージを検知するステップとを含む、検知方法。
【請求項１３】
複数の車載装置を含む車載ネットワークにおける不正メッセージを検知する検知装置において用いられる検知プログラムであって、
コンピュータを、
前記車載ネットワークにおける送信メッセージを監視する監視部と、
前記送信メッセージの送信間隔の分布を取得する取得部と、
前記監視部による監視結果および前記取得部によって取得された前記分布に基づいて、前記不正メッセージを検知する検知部、
として機能させるための、検知プログラム。
【請求項１４】
車載ネットワークにおける車載装置間のメッセージを中継するゲートウェイ装置において用いられる検知プログラムであって、
コンピュータを、
前記車載ネットワークにおける送信メッセージを監視する監視部と、
前記メッセージの送信間隔の分布を取得する取得部と、
前記監視部による監視結果および前記取得部によって取得された前記分布に基づいて、前記不正メッセージを検知する検知部、
として機能させるための、検知プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、検知装置、ゲートウェイ装置、検知方法および検知プログラムに関する。
【背景技術】
【０００２】
従来、車載ネットワークにおけるセキュリティを向上させるための車載ネットワークシステムが開発されている。
【０００３】
たとえば、特許文献１（特開２０１６−１１６０７５号公報）には、以下のような車載通信システムが開示されている。すなわち、車載通信システムは、通信データの送信側が生成するメッセージ認証コードである送信側コードと、前記通信データの受信側が生成するメッセージ認証コードである受信側コードとを使用してメッセージ認証を行う車載通信システムであって、車載ネットワークに接続され、第１の暗号鍵と前記第１の暗号鍵とは異なる第２の暗号鍵のうち前記第１の暗号鍵だけを保持する第１のＥＣＵと、前記車載ネットワークに接続され、前記第１の暗号鍵を少なくとも保持する第２のＥＣＵと、前記車載ネットワーク及び車外ネットワークに接続され、前記第１の暗号鍵と前記第２の暗号鍵のうち前記第２の暗号鍵だけを保持して、前記第２の暗号鍵を使用して前記車載ネットワークにおける通信時に前記送信側コード又は前記受信側コードを生成する第３のＥＣＵとを備え、前記第２のＥＣＵは、前記第１の暗号鍵を使用して生成した送信側コードを付与した通信データを送信し、前記第１のＥＣＵは、前記通信データを受信した場合に、前記第１の暗号鍵を使用して生成した受信側コードによって、前記受信した通信データに付与された送信側コードの検証を行う。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１６−１１６０７５号公報
【特許文献２】特開２０１６−９７８７９号公報
【特許文献３】特開２０１５−１３６１０７号公報
【非特許文献】
【０００５】
【非特許文献１】Ａ．Ｐ．Ｄｅｍｐｓｔｅｒ、外２名、”Ｍａｘｉｍｕｍ  ｌｉｋｅｌｉｈｏｏｄ  ｆｒｏｍ  ｉｎｃｏｍｐｌｅｔｅ  ｄａｔａ  ｖｉａ  ｔｈｅ  ＥＭ  ａｌｇｏｒｉｔｈｍ” 、Ｊｏｕｒｎａｌ  ｏｆ  Ｒｏｙａｌ  Ｓｔａｔｉｓｔｉｃａｌ  Ｓｏｃｉｅｔｙ  Ｂ、Ｃｏｌ．３９，Ｐ．１−２２，１９７７
【非特許文献２】Ｂ．Ｐ．Ｗｅｌｆｏｒｄ、”Ｎｏｔｅ  ｏｎ  ａ  ｍｅｔｈｏｄ  ｆｏｒ  ｃａｌｃｕｌａｔｉｎｇ  ｃｏｒｒｅｃｔｅｄ  ｓｕｍｓ  ｏｆ  ｓｑｕａｒｅｓ  ａｎｄ  ｐｒｏｄｕｃｔｓ”、Ｔｅｃｈｎｏｍｅｔｒｉｃｓ、Ｖｏｌ．４、Ｐ．４１９−４２０、１９６２
【非特許文献３】Ｄ．Ｅ．Ｋｎｕｔｈ、”Ｔｈｅ  Ａｒｔ  Ｏｆ  Ｃｏｍｐｕｔｅｒ  Ｐｒｏｇｒａｍｍｉｎｇ  Ｖｏｌｕｍｅ２  Ｓｅｍｉｎｕｍｅｒｉｃａｌ  Ａｌｇｏｒｉｔｈｍｓ  Ｔｈｉｒｄ  Ｅｄｉｔｉｏｎ”、Ｐ．２１９、２０１５
【非特許文献４】Ｏ．Ｃａｐｐｅ、外１名、”Ｏｎｌｉｎｅ  ｅｘｐｅｃｔａｔｉｏｎ  ｍａｘｉｍｉｚａｔｉｏｎ  ａｌｇｏｒｉｔｈｍ  ｆｏｒ  ｌａｔｅｎｔ  ｄａｔａ  ｍｏｄｅｌｓ”、Ｊｏｕｒｎａｌ  ｏｄ  ｔｈｅ  Ｒｏｙａｌ  Ｓｔａｔｉｓｔｉｃｓ  Ｓｏｃｉｅｔｙ：  Ｓｅｒｉｅｓ  Ｂ  （Ｓｔａｔｉｓｔｉｃａｌ  Ｍｅｔｈｏｄｏｌｏｇｙ）、Ｖｏｌ．７１、Ｐ．５９３−６１３、２００９
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献１には、車載ネットワークに限定して接続される第１のＥＣＵおよび第２のＥＣＵがメッセージ認証に用いる第１の暗号鍵と、車載ネットワークおよび車外ネットワークの両方に接続される第３のＥＣＵが用いる第２の暗号鍵とが異なることにより、車外ネットワークに接続されない第１のＥＣＵおよび第２のＥＣＵに対する車外ネットワークからのサイバー攻撃を防ぐ構成が開示されている。
【０００７】
しかしながら、メッセージ認証を用いるセキュリティ対策では、プロトコルの脆弱性を突いた攻撃、第１の暗号鍵の不正入手による攻撃、および暗号アルゴリズムの陳腐化を突いた攻撃等により、当該セキュリティ対策が無効化されることがある。
【０００８】
このような場合において、攻撃者が車載ネットワークに侵入したことを正しく検知するための技術が求められる。
【０００９】
この発明は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおける不正メッセージを正しく検知することが可能な検知装置、ゲートウェイ装置、検知方法および検知プログラムを提供することである。
【課題を解決するための手段】
【００１０】
（１）上記課題を解決するために、この発明のある局面に係わる検知装置は、複数の車載装置を含む車載ネットワークにおける不正メッセージを検知する検知装置であって、前記車載ネットワークにおける送信メッセージを監視する監視部と、前記送信メッセージの送信間隔の分布を取得する取得部と、前記監視部による監視結果および前記取得部によって取得された前記分布に基づいて、前記不正メッセージを検知する検知部とを備える。
【００１１】
（１０）上記課題を解決するために、この発明のある局面に係わるゲートウェイ装置は、車載ネットワークにおける車載装置間のメッセージを中継するゲートウェイ装置であって、前記車載ネットワークにおける送信メッセージを監視する監視部と、前記送信メッセージの送信間隔の分布を取得する取得部と、前記監視部による監視結果および前記取得部によって取得された前記分布に基づいて、前記不正メッセージを検知する検知部とを備える。
【００１２】
（１１）上記課題を解決するために、この発明のある局面に係わる検知方法は、複数の車載装置を含む車載ネットワークにおける不正メッセージを検知する検知装置における検知方法であって、前記車載ネットワークにおける送信メッセージを監視するステップと、前記送信メッセージの送信間隔の分布を取得するステップと、監視結果および取得した前記分布に基づいて、前記不正メッセージを検知するステップとを含む。
【００１３】
（１２）上記課題を解決するために、この発明の他の局面に係わる検知方法は、車載ネットワークにおける車載装置間のメッセージを中継するゲートウェイ装置における検知方法であって、前記車載ネットワークにおける送信メッセージを監視するステップと、前記送信メッセージの送信間隔の分布を取得するステップと、監視結果および取得した前記分布に基づいて、前記不正メッセージを検知するステップとを含む。
【００１４】
（１３）上記課題を解決するために、この発明のある局面に係わる検知プログラムは、複数の車載装置を含む車載ネットワークにおける不正メッセージを検知する検知装置において用いられる検知プログラムであって、コンピュータを、前記車載ネットワークにおける送信メッセージを監視する監視部と、前記送信メッセージの送信間隔の分布を取得する取得部と、前記監視部による監視結果および前記取得部によって取得された前記分布に基づいて、前記不正メッセージを検知する検知部、として機能させるためのプログラムである。
【００１５】
（１４）上記課題を解決するために、この発明の他の局面に係わる検知プログラムは、車載ネットワークにおける車載装置間のメッセージを中継するゲートウェイ装置において用いられる検知プログラムであって、コンピュータを、前記車載ネットワークにおける送信メッセージを監視する監視部と、前記メッセージの送信間隔の分布を取得する取得部と、前記監視部による監視結果および前記取得部によって取得された前記分布に基づいて、前記不正メッセージを検知する検知部、として機能させるためのプログラムである。
【００１６】
本発明は、このような特徴的な処理部を備える検知装置として実現することができるだけでなく、検知装置を備える車載検知システムとして実現することができる。また、本発明は、検知装置の一部または全部を実現する半導体集積回路として実現したりすることができる。
【００１７】
また、本発明は、このような特徴的な処理部を備えるゲートウェイ装置として実現することができるだけでなく、ゲートウェイ装置を備える車載検知システムとして実現することができる。また、本発明は、ゲートウェイ装置の一部または全部を実現する半導体集積回路として実現したりすることができる。
【発明の効果】
【００１８】
本発明によれば、車載ネットワークにおける不正メッセージを正しく検知することができる。
【図面の簡単な説明】
【００１９】
【図１】図１は、本発明の第１の実施の形態に係る車載検知ネットワークの構成を示す図である。
【図２】図２は、本発明の第１の実施の形態に係るバス接続装置群の構成を示す図である。
【図３】図３は、本発明の第１の実施の形態に係る車載検知システムにおけるゲートウェイ装置の構成を示す図である。
【図４】図４は、本発明の第１の実施の形態に係る車載検知システムにおける監視対象の周期メッセージの送信間隔の時間変化の一例を示す図である。
【図５】図５は、本発明の第１の実施の形態に係る車載検知システムにおける対象メッセージの送信間隔の度数分布の一例を示す図である。
【図６】図６は、本発明の第１の実施の形態に係るゲートウェイ装置における検知部による不正メッセージの検出例を示す図である。
【図７】図７は、本発明の第１の実施の形態に係るゲートウェイ装置における検知部による不正メッセージの検出例を示す図である。
【図８】図８は、本発明の第１の実施の形態に係るゲートウェイ装置における検知部による不正メッセージの検出例を示す図である。
【図９】図９は、本発明の第１の実施の形態に係るゲートウェイ装置が送信間隔に基づいて不正メッセージの検知を行う際の動作手順を定めたフローチャートである。
【図１０】図１０は、本発明の第１の実施の形態に係る車載ネットワークの接続トポロジの一例を示す図である。
【図１１】図１１は、本発明の第２の実施の形態に係る車載検知システムにおけるゲートウェイ装置の構成を示す図である。
【図１２】図１２は、本発明の第２の実施の形態に係るゲートウェイ装置におけるパラメータの動的設定の効果を説明するための図である。
【図１３】図１３は、本発明の第２の実施の形態に係るゲートウェイ装置が送信間隔に基づいて不正メッセージの検知を行う際の動作手順を定めたフローチャートである。
【図１４】図１４は、本発明の第３の実施の形態に係る車載検知システムにおけるゲートウェイ装置の構成を示す図である。
【図１５】図１５は、本発明の第３の実施の形態に係るゲートウェイ装置における検知部による不正メッセージの検出例を示す図である。
【発明を実施するための形態】
【００２０】
最初に、本発明の実施形態の内容を列記して説明する。
【００２１】
（１）本発明の実施の形態に係る検知装置は、複数の車載装置を含む車載ネットワークにおける不正メッセージを検知する検知装置であって、前記車載ネットワークにおける送信メッセージを監視する監視部と、前記送信メッセージの送信間隔の分布を取得する取得部と、前記監視部による監視結果および前記取得部によって取得された前記分布に基づいて、前記不正メッセージを検知する検知部とを備える。
【００２２】
たとえば、正当な送信メッセージが周期的に送信される場合では、正当な送信メッセージの送信周期近傍に当該分布の度数が集中するので、当該分布において度数が小さい範囲における送信間隔は、不正メッセージの送信間隔である可能性が高い。これにより、度数が小さい範囲における送信間隔の送信メッセージを不正メッセージとして検知することができる。したがって、車載ネットワークにおける不正メッセージを正しく検知することができる。また、送信メッセージの送信間隔の分布を用いる構成により、送信メッセージの送信間隔の揺らぎを考慮した正確な検知を行うことができる。
【００２３】
（２）好ましくは、前記検知部は、前記監視部によって監視された前記送信メッセージの内容にさらに基づいて前記不正メッセージを検知する。
【００２４】
このような構成により、たとえば、不正メッセージであるにも関わらず送信間隔および分布に基づいて正当な送信メッセージとして検知されてしまう送信メッセージを、当該送信メッセージの内容に基づいて、不正メッセージであると検知することができるので、車載ネットワークにおける不正メッセージをより正しく検知することができる。
【００２５】
（３）より好ましくは、前記内容は、連続値である。
【００２６】
このような構成により、たとえば、送信メッセージの内容に基づく分布を作成することができるので、当該分布において度数が小さい範囲における内容を含む送信メッセージを不正メッセージとして検知することができる。
【００２７】
（４）より好ましくは、前記連続値は、前記車載ネットワークが設けられた車両の速度、前記車両のタイヤ空気圧、前記車両のステアリング角度、前記車両のアクセル開度、前記車両のエンジンの回転数およびシリンダー圧力、前記車両に乗車している人間の重量、前記車両の加速度、前記車両のモータの回転数、前記車両の制動トルク、前記車両のヨーレート、ならびに前記車両に用いる電波の受信強度のうちの少なくともいずれか１つである。
【００２８】
このように、上記連続値が、平均値を中心としてばらつく連続値である構成により、平均値近傍において度数が集中する、不正メッセージの検知に適した分布を作成することができる。
【００２９】
（５）好ましくは、前記監視部は、前記送信メッセージの送信間隔を測定し、前記検知部は、前記監視部によって測定された前記送信間隔と、前記分布と、所定のしきい値とに基づいて前記不正メッセージを検知する。
【００３０】
このような構成により、上記分布において不正メッセージであると判定すべき送信間隔の範囲をしきい値により定めることができるので、送信メッセージが不正メッセージであるか否かを簡易に判定することができる。
【００３１】
（６）好ましくは、前記監視部は、前記送信メッセージの送信間隔を測定し、前記検知部は、前記監視部によって測定された前記送信間隔の、前記分布における位置に基づいて前記不正メッセージを検知する。
【００３２】
このような構成により、たとえば、上記分布において不正メッセージであると判定すべき送信間隔の範囲が定められている場合において、送信メッセージが不正メッセージであるか否かを簡易に判定することができる。
【００３３】
（７）好ましくは、前記監視部は、前記送信メッセージの送信間隔を測定し、前記検知装置は、さらに、前記監視部によって測定された前記送信間隔に基づいて前記分布を更新する分布作成部を備える。
【００３４】
このような構成により、たとえば、送信メッセージの送信間隔がばらつく場合においても、送信間隔のばらつき度合いに応じて上記分布を更新することができるので、正当な送信メッセージを不正メッセージとして誤って検知してしまう可能性を低減することができる。
【００３５】
（８）好ましくは、前記取得部は、他の装置によって予め作成された前記分布を取得する。
【００３６】
このように、処理負荷の大きい分布の作成処理を他の装置において行う構成により、検知装置における処理負荷を軽減することができる。
【００３７】
（９）好ましくは、前記監視部は、前記送信メッセージの送信間隔を測定し、前記監視部は、不正メッセージではないと判断された前記送信メッセージの受信タイミングを前記送信間隔の測定基準として用いる。
【００３８】
このような構成により、たとえば、測定基準が不正メッセージの受信タイミングに設定されてしまい、不正メッセージの受信タイミングおよび正当な送信メッセージの受信タイミング間の送信間隔が設定後において測定され、正当な送信メッセージを不正メッセージとして誤って検知してしまう状況を防ぐことができる。
【００３９】
（１０）本発明の実施の形態に係るゲートウェイ装置は、車載ネットワークにおける車載装置間のメッセージを中継するゲートウェイ装置であって、前記車載ネットワークにおける送信メッセージを監視する監視部と、前記送信メッセージの送信間隔の分布を取得する取得部と、前記監視部による監視結果および前記取得部によって取得された前記分布に基づいて、前記不正メッセージを検知する検知部とを備える。
【００４０】
たとえば、正当な送信メッセージが周期的に送信される場合では、正当な送信メッセージの送信周期近傍に当該分布の度数が集中するので、当該分布において度数が小さい範囲における送信間隔は、不正メッセージの送信間隔である可能性が高い。これにより、度数が小さい範囲における送信間隔の送信メッセージを不正メッセージとして検知することができる。したがって、車載ネットワークにおける不正メッセージを正しく検知することができる。また、送信メッセージの送信間隔の分布を用いる構成により、送信メッセージの送信間隔の揺らぎを考慮した正確な検知を行うことができる。
【００４１】
（１１）本発明の実施の形態に係る検知方法は、複数の車載装置を含む車載ネットワークにおける不正メッセージを検知する検知装置における検知方法であって、前記車載ネットワークにおける送信メッセージを監視するステップと、前記送信メッセージの送信間隔の分布を取得するステップと、監視結果および取得した前記分布に基づいて、前記不正メッセージを検知するステップとを含む。
【００４２】
たとえば、正当な送信メッセージが周期的に送信される場合では、正当な送信メッセージの送信周期近傍に当該分布の度数が集中するので、当該分布において度数が小さい範囲における送信間隔は、不正メッセージの送信間隔である可能性が高い。これにより、度数が小さい範囲における送信間隔の送信メッセージを不正メッセージとして検知することができる。したがって、車載ネットワークにおける不正メッセージを正しく検知することができる。また、送信メッセージの送信間隔の分布を用いる構成により、送信メッセージの送信間隔の揺らぎを考慮した正確な検知を行うことができる。
【００４３】
（１２）本発明の実施の形態に係る検知方法は、車載ネットワークにおける車載装置間のメッセージを中継するゲートウェイ装置における検知方法であって、前記車載ネットワークにおける送信メッセージを監視するステップと、前記送信メッセージの送信間隔の分布を取得するステップと、監視結果および取得した前記分布に基づいて、前記不正メッセージを検知するステップとを含む。
【００４４】
たとえば、正当な送信メッセージが周期的に送信される場合では、正当な送信メッセージの送信周期近傍に当該分布の度数が集中するので、当該分布において度数が小さい範囲における送信間隔は、不正メッセージの送信間隔である可能性が高い。これにより、度数が小さい範囲における送信間隔の送信メッセージを不正メッセージとして検知することができる。したがって、車載ネットワークにおける不正メッセージを正しく検知することができる。また、送信メッセージの送信間隔の分布を用いる構成により、送信メッセージの送信間隔の揺らぎを考慮した正確な検知を行うことができる。
【００４５】
（１３）本発明の実施の形態に係る検知プログラムは、複数の車載装置を含む車載ネットワークにおける不正メッセージを検知する検知装置において用いられる検知プログラムであって、コンピュータを、前記車載ネットワークにおける送信メッセージを監視する監視部と、前記送信メッセージの送信間隔の分布を取得する取得部と、前記監視部による監視結果および前記取得部によって取得された前記分布に基づいて、前記不正メッセージを検知する検知部、として機能させるためのプログラムである。
【００４６】
たとえば、正当な送信メッセージが周期的に送信される場合では、正当な送信メッセージの送信周期近傍に当該分布の度数が集中するので、当該分布において度数が小さい範囲における送信間隔は、不正メッセージの送信間隔である可能性が高い。これにより、度数が小さい範囲における送信間隔の送信メッセージを不正メッセージとして検知することができる。したがって、車載ネットワークにおける不正メッセージを正しく検知することができる。また、送信メッセージの送信間隔の分布を用いる構成により、送信メッセージの送信間隔の揺らぎを考慮した正確な検知を行うことができる。
【００４７】
（１４）本発明の実施の形態に係る検知プログラムは、車載ネットワークにおける車載装置間のメッセージを中継するゲートウェイ装置において用いられる検知プログラムであって、コンピュータを、前記車載ネットワークにおける送信メッセージを監視する監視部と、前記メッセージの送信間隔の分布を取得する取得部と、前記監視部による監視結果および前記取得部によって取得された前記分布に基づいて、前記不正メッセージを検知する検知部、として機能させるためのプログラムである。
【００４８】
たとえば、正当な送信メッセージが周期的に送信される場合では、正当な送信メッセージの送信周期近傍に当該分布の度数が集中するので、当該分布において度数が小さい範囲における送信間隔は、不正メッセージの送信間隔である可能性が高い。これにより、度数が小さい範囲における送信間隔の送信メッセージを不正メッセージとして検知することができる。したがって、車載ネットワークにおける不正メッセージを正しく検知することができる。また、送信メッセージの送信間隔の分布を用いる構成により、送信メッセージの送信間隔の揺らぎを考慮した正確な検知を行うことができる。
【００４９】
以下、本発明の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。
【００５０】
＜第１の実施の形態＞
［構成および基本動作］
図１は、本発明の第１の実施の形態に係る車載検知ネットワークの構成を示す図である。
【００５１】
図１を参照して、車載検知システム３０１は、ゲートウェイ装置（検知装置）１０１と、複数の車載通信機１１１と、複数のバス接続装置群１２１とを備える。
【００５２】
図２は、本発明の第１の実施の形態に係るバス接続装置群の構成を示す図である。
【００５３】
図２を参照して、バス接続装置群１２１は、複数の制御装置１２２を含む。なお、バス接続装置群１２１は、複数の制御装置１２２を備える構成に限らず、１つの制御装置１２２を含む構成であってもよい。
【００５４】
車載検知システム３０１は、道路を走行する車両（以下、対象車両とも称する。）に搭載される。車載ネットワーク１２は、車両の内部における装置である車載装置を複数含む。具体的には、車載ネットワーク１２は、車載装置の一例である、複数の車載通信機１１１および複数の制御装置１２２を含む。なお、車載ネットワーク１２は、複数の車載装置を含む構成であれば、複数の車載通信機１１１を含みかつ制御装置１２２を含まない構成であってもよいし、車載通信機１１１を含まずかつ複数の制御装置１２２を含む構成であってもよいし、１つの車載通信機１１１および１つの制御装置１２２を含む構成であってもよい。
【００５５】
車載ネットワーク１２において、車載通信機１１１は、たとえば、対象車両の外部における装置と通信する。具体的には、車載通信機１１１は、たとえば、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ  Ｃｏｍｍｕｎｉｃａｔｉｏｎ  Ｕｎｉｔ）、近距離無線端末装置、およびＩＴＳ（Ｉｎｔｅｌｌｉｇｅｎｔ  Ｔｒａｎｓｐｏｒｔ  Ｓｙｓｔｅｍｓ）無線機である。
【００５６】
ＴＣＵは、たとえば、ＬＴＥ（Ｌｏｎｇ  Ｔｅｒｍ  Ｅｖｏｌｕｔｉｏｎ）または３Ｇ等の通信規格に従って、無線基地局装置と無線通信を行うことが可能であり、かつゲートウェイ装置１０１と通信を行うことが可能である。ＴＣＵは、たとえば、ナビゲーション、車両盗難防止、リモートメンテナンスおよびＦＯＴＡ（Ｆｉｒｍｗａｒｅ  Ｏｖｅｒ  Ｔｈｅ  Ａｉｒ）等のサービスに用いる情報を中継する。
【００５７】
近距離無線端末装置は、たとえば、Ｗｉ−Ｆｉ（登録商標）およびＢｌｕｅｔｏｏｔｈ（登録商標）等の通信規格に従って、対象車両に乗車している人間（以下、搭乗者とも称する。）の保持するスマートホン等の無線端末装置と無線通信を行うことが可能であり、かつゲートウェイ装置１０１と通信を行うことが可能である。当該近距離無線端末装置は、たとえば、エンターテイメント等のサービスに用いる情報を中継する。
【００５８】
また、近距離無線端末装置は、たとえば、所定の通信規格に従って、搭乗者の保持するスマートキー等の無線端末装置、およびタイヤに設けられた無線端末装置とＬＦ（Ｌｏｗ  Ｆｒｅｑｕｅｎｃｙ）帯またはＵＨＦ（Ｕｌｔｒａ  Ｈｉｇｈ  Ｆｒｅｑｕｅｎｃｙ）帯の電波を用いて無線通信を行うことが可能であり、かつゲートウェイ装置１０１と通信を行うことが可能である。当該近距離無線端末装置は、たとえば、スマートエントリおよびＴＰＭＳ（Ｔｉｒｅ  Ｐｒｅｓｓｕｒｅ  Ｍｏｎｉｔｏｒｉｎｇ  Ｓｙｓｔｅｍ）等のサービスに用いる情報を中継する。
【００５９】
ＩＴＳ無線機は、たとえば、道路の近傍に設けられた光ビーコン、電波ビーコンおよびＩＴＳスポット等の路側機と路車間通信を行うことが可能であり、他の車両に搭載された車載端末と車車間通信を行うことが可能であり、かつゲートウェイ装置１０１と通信を行うことが可能である。ＩＴＳ無線機は、たとえば、渋滞緩和、安全運転支援およびルートガイダンス等のサービスに用いる情報を中継する。
【００６０】
ゲートウェイ装置１０１は、たとえば、ファームウェアのアップデート等のデータ、およびゲートウェイ装置１０１により蓄積されたデータ等を対象車両の外部における整備用端末装置とポート１１２を介して送受信することが可能である。
【００６１】
ゲートウェイ装置１０１は、たとえばバス１３，１４を介して車載装置と接続する。具体的には、バス１３，１４は、たとえば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）（登録商標）、ＦｌｅｘＲａｙ（登録商標）、ＭＯＳＴ（Ｍｅｄｉａ  Ｏｒｉｅｎｔｅｄ  Ｓｙｓｔｅｍｓ  Ｔｒａｎｓｐｏｒｔ）（登録商標）、イーサネット（登録商標）、およびＬＩＮ（Ｌｏｃａｌ  Ｉｎｔｅｒｃｏｎｎｅｃｔ  Ｎｅｔｗｏｒｋ）等の規格に従うバスである。
【００６２】
この例では、車載通信機１１１は、イーサネットの規格に従う対応のバス１４を介してゲートウェイ装置１０１と接続されている。また、バス接続装置群１２１における各制御装置１２２は、ＣＡＮの規格に従う対応のバス１３を介してゲートウェイ装置１０１と接続されている。制御装置１２２は、たとえば、対象車両における機能部を制御可能である。
【００６３】
バス１３は、たとえば系統別に設けられる。具体的には、バス１３は、たとえば、駆動系バス、シャーシ／安全系バス、ボディ／電装系バスおよびＡＶ／情報系バスである。
【００６４】
駆動系バスには、制御装置１２２の一例であるエンジン制御装置、ＡＴ（Ａｕｔｏｍａｔｉｃ  Ｔｒａｎｓｍｉｓｓｉｏｎ）制御装置およびＨＥＶ（Ｈｙｂｒｉｄ  Ｅｌｅｃｔｒｉｃ  Ｖｅｈｉｃｌｅ）制御装置が接続されている。エンジン制御装置、ＡＴ制御装置およびＨＥＶ制御装置は、エンジン、ＡＴ、およびエンジンとモータとの切替をそれぞれ制御する。
【００６５】
シャーシ／安全系バスには、制御装置１２２の一例であるブレーキ制御装置、シャーシ制御装置およびステアリング制御装置が接続されている。ブレーキ制御装置、シャーシ制御装置およびステアリング制御装置は、ブレーキ、シャーシおよびステアリングをそれぞれ制御する。
【００６６】
ボディ／電装系バスには、制御装置１２２の一例である計器表示制御装置、エアコン制御装置、盗難防止制御装置、エアバック制御装置およびスマートエントリ制御装置が接続されている。計器表示制御装置、エアコン制御装置、盗難防止制御装置、エアバック制御装置およびスマートエントリ制御装置は、計器、エアコン、盗難防止機構、エアバック機構およびスマートエントリをそれぞれ制御する。
【００６７】
ＡＶ／情報系バスには、制御装置１２２の一例であるナビゲーション制御装置、オーディオ制御装置、ＥＴＣ（Ｅｌｅｃｔｒｏｎｉｃ  Ｔｏｌｌ  Ｃｏｌｌｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）（登録商標）制御装置および電話制御装置が接続されている。ナビゲーション制御装置、オーディオ制御装置、ＥＴＣ制御装置および電話制御装置は、ナビゲーション装置、オーディオ装置、ＥＴＣ装置および携帯電話をそれぞれ制御する。
【００６８】
また、バス１３には、制御装置１２２が接続される構成に限らず、制御装置１２２以外の装置が接続されてもよい。
【００６９】
ゲートウェイ装置１０１は、たとえば、セントラルゲートウェイ（Ｃｅｎｔｒａｌ  Ｇａｔｅｗａｙ：ＣＧＷ）であり、車載装置と通信を行うことが可能である。
【００７０】
ゲートウェイ装置１０１は、たとえば、対象車両において異なるバス１３に接続された制御装置１２２間でやり取りされる情報、各車載通信機１１１間でやり取りされる情報、制御装置１２２および車載通信機１１１間でやり取りされる情報を中継する中継処理を行う。
【００７１】
より詳細には、対象車両では、たとえば、所定の取り決めに従って、ある車載装置から他の車載装置へ周期的にメッセージが送信される。この例では、ある制御装置１２２から他の制御装置１２２へ周期的に送信されるメッセージについて説明するが、制御装置１２２および車載通信機１１１間において送信されるメッセージ、ならびに各車載通信機１１１間において送信されるメッセージについても同様である。
【００７２】
メッセージの送信は、ブロードキャストによって行われてもよいし、ユニキャストによって行われてもよい。以下、周期的に送信されるメッセージを周期メッセージとも称する。
【００７３】
また、対象車両では、周期メッセージの他に、ある制御装置１２２から他の制御装置１２２へ不定期に送信されるメッセージが存在する。メッセージには、メッセージの内容および送信元等を識別するためのＩＤが含まれる。メッセージが周期メッセージであるか否かをＩＤによって識別することが可能である。
【００７４】
図３は、本発明の第１の実施の形態に係る車載検知システムにおけるゲートウェイ装置の構成を示す図である。
【００７５】
図３を参照して、ゲートウェイ装置１０１は、通信処理部５１と、監視部５２と、取得部５３と、検知部５４とを備える。
【００７６】
ゲートウェイ装置１０１は、検知装置として機能し、複数の車載装置を含む車載ネットワーク１２における不正メッセージを検知する。
【００７７】
詳細には、ゲートウェイ装置１０１における通信処理部５１は、中継処理を行う。より詳細には、通信処理部５１は、ある制御装置１２２から対応のバス１３経由でメッセージを受信すると、受信したメッセージを他の制御装置１２２へ対応のバス１３経由で送信する。
【００７８】
図４は、本発明の第１の実施の形態に係る車載検知システムにおける監視対象の周期メッセージの送信間隔の時間変化の一例を示す図である。なお、図４において、縦軸は送信間隔を示し、横軸は時間を示す。
【００７９】
図４を参照して、送信間隔は、たとえば、ある監視対象の周期メッセージ（以下、対象メッセージとも称する。）がバス１３において伝送されるタイミングの間隔である。
【００８０】
図４に示すように、対象メッセージの送信間隔は一定でなく、ばらついている。これは、対象メッセージが伝送される際に調停が行われたり、クロックのずれによる内部処理の遅延ばらつきが発生したりするからである。
【００８１】
ここで、調停について説明する。メッセージには、たとえば、ＩＤに応じて優先度が割り当てられている。たとえば、複数のメッセージの送信タイミングが重なる場合、車載ネットワーク１２では、優先度の高いメッセージを、優先度の低いメッセージより優先的にバス１３を伝送させる調停が行われる。このような調停により、送信間隔のばらつきが発生する。
【００８２】
図５は、本発明の第１の実施の形態に係る車載検知システムにおける対象メッセージの送信間隔の度数分布の一例を示す図である。なお、図５において、縦軸は度数を示し、横軸は送信間隔を示す。
【００８３】
図５を参照して、送信間隔の度数分布は、Ｃｔミリ秒を中心としてほぼ対称である。送信間隔の度数分布は、たとえば所定のモデル関数Ｆｕｎｃ１により近似することが可能である。
【００８４】
再び図３を参照して、監視部５２は、車載ネットワーク１２における送信メッセージを監視する。より詳細には、監視部５２は、たとえば、通信処理部５１におけるメッセージの中継処理を監視し、監視結果に基づいて対象メッセージの送信間隔を測定する。
【００８５】
具体的には、たとえば、監視部５２には、対象メッセージを示すＩＤ（以下、登録ＩＤとも称する。）が１つ登録されている。なお、監視部５２には、複数の登録ＩＤが登録されてもよい。
【００８６】
監視部５２は、たとえば、通信処理部５１がメッセージを受信すると、通信処理部５１によって受信されたメッセージに含まれるＩＤを確認する。監視部５２は、確認したＩＤが登録ＩＤと一致する場合、通信処理部５１によって受信されたメッセージすなわち対象メッセージの受信時刻ｔ１をたとえば測定基準として保持する。
【００８７】
そして、監視部５２は、通信処理部５１において登録ＩＤを含む新たな対象メッセージが受信されると、新たに受信された対象メッセージの受信時刻ｔ２を保持するとともに、以下の処理を行う。
【００８８】
すなわち、監視部５２は、受信時刻ｔ２から受信時刻ｔ１を差し引くことにより、対象メッセージの送信間隔を算出し、算出した送信間隔を検知部５４へ出力する。
【００８９】
取得部５３は、送信メッセージの送信間隔の分布を取得する。詳細には、取得部５３は、たとえば、他の装置、具体的にはサーバによって予め作成された送信間隔の分布を示す分布情報を取得する。
【００９０】
より詳細には、サーバは、たとえば、対象メッセージの送信間隔を複数取得する。この送信間隔は、たとえば、対象車両と同じ種類のテスト車両において測定される。なお、サーバは、対象車両において測定された送信間隔を取得してもよい。
【００９１】
サーバは、たとえば、モデル関数Ｆｕｎｃ１として、以下の式（１）に示す、変数をｘとする正規分布の確率密度関数（以下、正規分布関数とも称する。）ｐを用いる。
【数１】
2018046432.tif 000003
【００９２】
ここで、ｘバーおよびσ＾２は、パラメータであり、それぞれ複数の送信間隔の平均値および分散である。ここで、「ａ＾ｂ」は、ａのｂ乗を意味する。ｘバーおよびσ＾２は、それぞれ、以下の式（２）および（３）により算出される。
【数２】
2018046432.tif 000004
【数３】
2018046432.tif 000005
【００９３】
ここで、ｔは、送信間隔のサンプル数である。ｘｉは、ｉ番目の送信間隔である。サーバは、たとえば、所定の頒布タイミングにおいて、ｘバーおよびσ＾２を含む分布情報を対象車両へ送信する。
【００９４】
取得部５３は、車載通信機１１１および通信処理部５１経由でサーバから分布情報を受信すると、受信した分布情報に基づいて、式（１）により示されるモデル関数Ｆｕｎｃ１を作成し、作成したモデル関数Ｆｕｎｃ１を検知部５４へ出力する。
【００９５】
なお、ゲートウェイ装置１０１では、取得部５３が、車載通信機１１１および通信処理部５１経由でサーバから分布情報を受信して検知部５４へ出力する構成であるとしたが、これに限定するものではない。たとえば、ゲートウェイ装置１０１が不揮発性メモリを保持しており、取得部５３が、整備用端末装置によってポート１１２経由で分布情報が書き込まれた不揮発性メモリから分布情報を取得して検知部５４へ出力する構成であってもよい。
【００９６】
図６は、本発明の第１の実施の形態に係るゲートウェイ装置における検知部による不正メッセージの検出例を示す図である。なお、図６において、縦軸はスコアを示し、横軸は変数ｘを示す。
【００９７】
図６を参照して、検知部５４は、監視部５２による監視結果および取得部５３によって取得された送信間隔の分布に基づいて、不正メッセージを検知する。
【００９８】
詳細には、検知部５４は、たとえば、監視部５２によって測定された送信間隔と、当該送信間隔の分布を示す分布情報と、所定のしきい値とに基づいて不正メッセージを検知する。ここでは、検知部５４には、しきい値ＴｈＢが登録されている。
【００９９】
言い換えると、検知部５４は、たとえば、監視部５２によって測定された送信間隔の、当該送信間隔の分布における位置に基づいて不正メッセージを検知する。
【０１００】
検知部５４は、取得部５３からモデル関数Ｆｕｎｃ１を受けると、受けたモデル関数Ｆｕｎｃ１を変形することによりスコア関数Ｓｃ１を作成する。より詳細には、検知部５４は、たとえば、−ｌｏｇ（Ｆｕｎｃ１）をスコア関数Ｓｃ１として作成する。ここで、「ｌｏｇ（ｃ）」は、ｃの常用対数を意味する。
【０１０１】
図６では、スコア関数Ｓｃ１は、測定基準の時刻がｘ＝０になるように表されている。したがって、図６に示す横軸は、送信間隔を示す。また、スコア関数Ｓｃ１は、変数ｘが平均値すなわちｘバーである場合に最小値を示す。
【０１０２】
検知部５４は、監視部５２から受けた送信間隔をスコア関数Ｓｃ１における変数ｘに代入することによりスコアを算出する。
【０１０３】
検知部５４は、算出したスコアがたとえばしきい値ＴｈＢ以下である場合、今回伝送された対象メッセージが正当メッセージであると判断する。具体的には、検知部５４は、図６に示す送信間隔Ｔｃを監視部５２から受けた場合、今回伝送された対象メッセージＣが正当メッセージであると判断する。
【０１０４】
これは、たとえば、対象メッセージが正当メッセージである場合、調停および内部処理の遅延等によるばらつきを含めても、図５に示す度数分布の中心の近傍に送信間隔が位置する可能性が高いからである。
【０１０５】
一方、検知部５４は、算出したスコアがしきい値ＴｈＢより大きい場合、今回伝送された対象メッセージが不正メッセージであると判断する。具体的には、検知部５４は、図６に示す送信間隔Ｔａを監視部５２から受けた場合、今回伝送された対象メッセージＡが不正メッセージであると判断する。同様に、検知部５４は、送信間隔Ｔｂを監視部５２から受けた場合、今回伝送された対象メッセージＢが不正メッセージであると判断する。
【０１０６】
これは、たとえば、対象メッセージが不正メッセージである場合、当該対象メッセージが所定の取り決めに従って送信されていない可能性が高いからである。
【０１０７】
また、セキュリティのレベルを下げる場合、検知部５４に登録されたしきい値をＴｈＢより大きいＴｈＡに変更する。これにより、たとえば、送信間隔Ｔｂに対応する対象メッセージＢのように、検知部５４により不正メッセージと判断されたメッセージが、しきい値の変更後において正当メッセージと判断される。
【０１０８】
検知部５４は、監視部５２から受けた送信間隔に基づく判断結果を監視部５２および通信処理部５１へ通知する。
【０１０９】
監視部５２は、たとえば、不正メッセージではないと判断された送信メッセージの受信タイミングを送信間隔の測定基準として用いる。
【０１１０】
より詳細には、監視部５２は、検知部５４から通知された判断結果が、今回伝送された対象メッセージが正当メッセージであることを示す場合、受信時刻ｔ２を送信間隔の新たな測定基準として用いる。
【０１１１】
そして、監視部５２は、通信処理部５１において登録ＩＤを含む新たな対象メッセージが受信されると、新たに受信された対象メッセージの受信時刻ｔ３を保持するとともに、以下の処理を行う。
【０１１２】
すなわち、監視部５２は、受信時刻ｔ３から受信時刻ｔ２を差し引くことにより、対象メッセージの新たな送信間隔を算出し、算出した送信間隔を検知部５４へ出力する。
【０１１３】
一方、監視部５２は、検知部５４から通知された判断結果が、今回伝送された対象メッセージが不正メッセージであることを示す場合、受信時刻ｔ１を測定基準のまま維持する。
【０１１４】
そして、監視部５２は、通信処理部５１において登録ＩＤを含む新たな対象メッセージが受信されると、新たに受信された対象メッセージの受信時刻ｔ３を保持するとともに、以下の処理を行う。
【０１１５】
すなわち、監視部５２は、受信時刻ｔ３から受信時刻ｔ１を差し引くことにより、対象メッセージの新たな送信間隔を算出し、算出した送信間隔を検知部５４へ出力する。
【０１１６】
また、通信処理部５１は、検知部５４から判断結果の通知を受けて、当該通知の内容が、今回伝送された対象メッセージが不正メッセージであることを示す場合、以下の処理を行う。
【０１１７】
すなわち、通信処理部５１は、通知内容の示す不正メッセージ、および当該不正メッセージの前後の所定期間において受信した対象メッセージを記録する。また、通信処理部５１は、バス１３において不正メッセージが伝送されていることを対象車両内または対象車両外における上位装置へ通知する。
【０１１８】
［ゲートウェイ装置１０１の変形例１］
図７は、本発明の第１の実施の形態に係るゲートウェイ装置における検知部による不正メッセージの検出例を示す図である。なお、図７において、縦軸はスコアを示し、横軸は変数ｘを示す。
【０１１９】
図７を参照して、たとえば、対象メッセージＢおよびＣの両方が通信処理部５１において受信された場合において、しきい値がＴｈＡに設定されていると、対象メッセージＢが正当メッセージと判断される一方、よりスコアの小さい対象メッセージＣが不正メッセージと判断されてしまう。このため、対象メッセージＢの受信時刻が新たな測定基準に設定されてしまい、好ましくない。
【０１２０】
これに対して、監視部５２は、たとえば、測定基準を同じくする２つの送信間隔を蓄積した後、蓄積した２つの送信間隔を検知部５４へ出力する。なお、監視部５２は、測定基準を同じとする３つ以上の送信間隔を蓄積した後、蓄積した各送信間隔を検知部５４へ出力してもよい。
【０１２１】
より詳細には、監視部５２は、受信時刻ｔ１を測定基準として保持した後、通信処理部５１において登録ＩＤを含む対象メッセージが受信されると、受信された対象メッセージの受信時刻ｔ２を保持する。
【０１２２】
そして、監視部５２は、通信処理部５１において登録ＩＤを含む新たな対象メッセージが受信されると、受信された新たな対象メッセージの受信時刻ｔ３を保持する。
【０１２３】
監視部５２は、受信時刻ｔ２から受信時刻ｔ１を差し引くことにより送信間隔Ｔｂを算出するとともに、受信時刻ｔ３から受信時刻ｔ１を差し引くことにより送信間隔Ｔｃを算出する。監視部５２は、算出した送信間隔Ｔｂ，Ｔｃを検知部５４へ出力する。
【０１２４】
検知部５４は、監視部５２から送信間隔Ｔｂ，Ｔｃを受けると、受けた送信間隔Ｔｂ，Ｔｃの各々をスコア関数Ｓｃ１における変数ｘに代入することによりスコアＳｂ，Ｓｃを算出する。
【０１２５】
検知部５４は、算出したスコアＳｂ，Ｓｃの両方がしきい値ＴｈＡ以下であるが、スコアＳｃの方がスコアＳｂより小さいので、以下の判断を行う。
【０１２６】
すなわち、検知部５４は、スコアＳｂに対応する対象メッセージＢが不正メッセージであると判断するとともに、スコアＳｃに対応する対象メッセージＣが正当メッセージであると判断する。
【０１２７】
検知部５４は、監視部５２から受けた送信間隔Ｔｂ，Ｔｃに基づく判断結果を監視部５２および通信処理部５１へ通知する。
【０１２８】
監視部５２は、検知部５４から通知された判断結果が、対象メッセージＣが正当メッセージであることを示す場合、受信時刻ｔ３を送信間隔の新たな測定基準として用いる。これにより、より適切な測定基準を設定することができる。
【０１２９】
［ゲートウェイ装置１０１の変形例２］
図８は、本発明の第１の実施の形態に係るゲートウェイ装置における検知部による不正メッセージの検出例を示す図である。なお、図８において、縦軸はスコアを示し、横軸は変数ｘを示す。
【０１３０】
図８を参照して、検知部５４は、図６および図７に示すように、しきい値を用いて不正メッセージを検知する構成であるとしたが、これに限定するものではない。
【０１３１】
検知部５４は、たとえば、スコア関数Ｓｃ１における送信間隔の位置が、太線により示されるスコア関数Ｓｃ１における領域（以下、不正領域とも称する。）に存在する場合、今回伝送された対象メッセージが不正メッセージであると判断する。
【０１３２】
具体的には、検知部５４は、スコア関数Ｓｃ１における送信間隔の位置がＰｏｓＡおよびＰｏｓＢである場合、今回伝送された対象メッセージＡおよびＢがそれぞれ不正メッセージであると判断する。
【０１３３】
一方、検知部５４は、たとえば、スコア関数Ｓｃ１における送信間隔の位置が、点線により示されるスコア関数Ｓｃ１における領域に存在する場合、今回伝送された対象メッセージが正当メッセージであると判断する。
【０１３４】
具体的には、検知部５４は、スコア関数Ｓｃ１における送信間隔の位置がＰｏｓＣである場合、今回伝送された対象メッセージＣが正当メッセージであると判断する。
【０１３５】
なお、図８では、不正領域は、ｘ＝ｘバーの直線に対して非対称であるとしたが、これに限定するものではない。不正領域は、ｘ＝ｘバーの直線に対して対称であってもよい。この場合は、図６および図７に示すしきい値を用いた不正メッセージの検知結果と同様の検知結果が得られる。
【０１３６】
［ゲートウェイ装置１０１の変形例３］
送信間隔のばらつきは、上述したように、調停および内部処理の遅延ばらつき等の複数の原因が組み合わさって発生すると考えられる。したがって、式（１）に示すような単一の正規分布関数の代わりに、複数のガウス関数を重ねた関数をモデル関数として用いることにより、送信間隔の実際のばらつきをより正しく表すことが期待できる。
【０１３７】
サーバは、たとえば、モデル関数Ｆｕｎｃ２として、以下の式（４）に示す、変数をｘとする混合正規分布関数Ｐを用いる。
【数４】
2018046432.tif 000006
【０１３８】
ここで、Ｋ、ｃｋ、ｘｋバーおよびσｋ＾２は、パラメータであり、それぞれ正規分布の混合数、ｋ番目の正規分布関数ｐの混合比、ｋ番目の正規分布の平均値およびｋ番目の正規分布の分散である。ここで、ｋは１〜Ｋまでの整数である。
【０１３９】
また、式（４）におけるｋ番目の正規分布関数ｐは、以下の式（５）により表される。
【数５】
2018046432.tif 000007
【０１４０】
また、ｃｋ、ｘｋバーおよびσｋ＾２は、非特許文献１（Ｄｅｍｐｓｔｅｒ，Ａ．Ｐ．、外２名、”Ｍａｘｉｍｕｍ  ｌｉｋｅｌｉｈｏｏｄ  ｆｒｏｍ  ｉｎｃｏｍｐｌｅｔｅ  ｄａｔａ  ｖｉａ  ｔｈｅ  ＥＭ  ａｌｇｏｒｉｔｈｍ” 、Ｊｏｕｒｎａｌ  ｏｆ  Ｒｏｙａｌ  Ｓｔａｔｉｓｔｉｃａｌ  Ｓｏｃｉｅｔｙ  Ｂ、Ｃｏｌ．３９，Ｐ．１−２２，１９７７）に記載のＥＭアルゴリズムを用いることにより以下のように算出される。すなわち、サーバは、以下のＥステップおよびＭステップを繰り返し実行することにより計算結果を収束させる。
【０１４１】
より詳細には、サーバは、Ｅステップでは、以下の式（６）および（７）を用いて十分統計量Ｓｉ（ｓ）およびｉ番目の負担率γｉ（ｓ）を算出する。
【数６】
2018046432.tif 000008
【数７】
2018046432.tif 000009
【０１４２】
ここで、ｙｕおよびｔは、それぞれデータすなわち送信間隔およびサンプル数である。また、ｃｉ（ｓ−１）は、１つ前のＥステップにおけるｉ番目の混合比である。
【０１４３】
サーバは、Ｍステップでは、以下の式（８）、（９）および（１０）を用いてｉ番目の混合比ｃｉ（ｓ）、ｉ番目の平均値ｘｉバー（ｓ）およびｉ番目の分散σｉ＾２（ｓ）を算出する。
【数８】
2018046432.tif 000010
【数９】
2018046432.tif 000011
【数１０】
2018046432.tif 000012
【０１４４】
サーバは、たとえば、所定の頒布タイミングにおいて、Ｋ、ｃ１〜ｃＫ、ｘ１バー〜ｘＫバーおよびσ１＾２〜σＫ＾２を含む分布情報を対象車両へ送信する。
【０１４５】
取得部５３は、車載通信機１１１および通信処理部５１経由でサーバから分布情報を受信すると、受信した分布情報に基づいて、式（４）により示されるモデル関数Ｆｕｎｃ２を作成し、作成したモデル関数Ｆｕｎｃ２を検知部５４へ出力する。
【０１４６】
検知部５４は、取得部５３からモデル関数Ｆｕｎｃ２を受けると、受けたモデル関数Ｆｕｎｃ２をモデル関数Ｆｕｎｃ１と同様に用いることにより不正メッセージを検知する。
【０１４７】
［動作］
車載検知システム３０１における各装置は、コンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のシーケンス図またはフローチャートの各ステップの一部または全部を含むプログラムを図示しないメモリからそれぞれ読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。
【０１４８】
図９は、本発明の第１の実施の形態に係るゲートウェイ装置が送信間隔に基づいて不正メッセージの検知を行う際の動作手順を定めたフローチャートである。
【０１４９】
図９を参照して、まず、ゲートウェイ装置１０１は、たとえばサーバから分布情報を受信する（ステップＳ１０２）。
【０１５０】
次に、ゲートウェイ装置１０１は、受信した分布情報に基づいてモデル関数Ｆｕｎｃ１を作成し、作成したモデル関数Ｆｕｎｃ１を変形することによりスコア関数Ｓｃ１を作成する（ステップＳ１０４）。
【０１５１】
次に、ゲートウェイ装置１０１は、最初の対象メッセージを受信し、当該対象メッセージの受信時刻を測定基準として設定する（ステップＳ１０６）。
【０１５２】
次に、ゲートウェイ装置１０１は、対象メッセージを受信するまで待機する（ステップＳ１０８でＮＯ）。
【０１５３】
そして、ゲートウェイ装置１０１は、対象メッセージを受信すると（ステップＳ１０８でＹＥＳ）、受信時刻から測定基準を差し引くことにより送信間隔を算出する（ステップＳ１１０）。
【０１５４】
次に、ゲートウェイ装置１０１は、算出した送信間隔をスコア関数Ｓｃ１に代入することによりスコアを算出する（ステップＳ１１２）。
【０１５５】
次に、ゲートウェイ装置１０１は、算出したスコアがしきい値ＴｈＢ以下である場合（ステップＳ１１４でＹＥＳ）、今回伝送された対象メッセージが正当メッセージであると判断する（ステップＳ１１６）。
【０１５６】
次に、ゲートウェイ装置１０１は、測定基準を、今回伝送された対象メッセージの受信時刻に更新する（ステップＳ１１８）。
【０１５７】
一方、ゲートウェイ装置１０１は、算出したスコアがしきい値ＴｈＢより大きい場合（ステップＳ１１４でＮＯ）、今回伝送された対象メッセージが不正メッセージであると判断する（ステップＳ１２０）。
【０１５８】
次に、ゲートウェイ装置１０１は、測定基準を更新するか（ステップＳ１１８）、または当該対象メッセージが不正メッセージであると判断すると（ステップＳ１２０）、新たな対象メッセージを受信するまで待機する（ステップＳ１０８でＮＯ）。
【０１５９】
なお、本発明の第１の実施の形態に係る車載検知システムでは、ゲートウェイ装置１０１が、車載ネットワーク１２における不正メッセージを検知する構成であるとしたが、これに限定するものではない。車載検知システム３０１では、ゲートウェイ装置１０１とは別の検知装置が、車載ネットワーク１２における不正メッセージを検知する構成であってもよい。
【０１６０】
また、本発明の第１の実施の形態に係るゲートウェイ装置では、監視部５２は、対象メッセージの受信時刻に基づいて送信間隔を測定する構成であるとしたが、これに限定するものではない。監視部５２は、たとえば、対象メッセージの送信時刻を取得し、取得した送信時刻に基づいて送信間隔を測定する構成であってもよい。
【０１６１】
また、本発明の第１の実施の形態に係るゲートウェイ装置では、検知部５４は、制御装置１２２間でやり取りされるメッセージを不正メッセージの検知対象とする構成であるとしたが、これに限定するものではない。検知部５４は、制御装置１２２および車載通信機１１１間でやり取りされるメッセージ、ならびに車載通信機１１１間でやり取りされるメッセージを不正メッセージの検知対象とする構成であってもよい。
【０１６２】
また、本発明の第１の実施の形態に係る車載検知システムでは、検知装置として機能するゲートウェイ装置１０１がバス１３に直接接続される構成であるとしたが、これに限定するものではない。
【０１６３】
図１０は、本発明の第１の実施の形態に係る車載ネットワークの接続トポロジの一例を示す図である。
【０１６４】
図１０を参照して、検知装置１３１が、車載装置たとえば制御装置１２２を介してバス１３に接続される構成であってもよい。この場合、検知装置１３１は、たとえば、当該車載装置が送受信する対象メッセージを監視することにより、バス１３に伝送される不正メッセージを検知する。
【０１６５】
また、本発明の第１の実施の形態に係るゲートウェイ装置１０１は、テスト車両において測定された対象メッセージの送信間隔の分布を取得する構成であるとしたが、これに限定するものではない。ゲートウェイ装置１０１は、対象車両において測定された送信間隔を蓄積し、蓄積した送信間隔に基づいて当該分布を作成する構成であってもよい。しかしながら、この構成では測定された送信間隔を蓄積するための大容量のメモリが必要であるため、小型および低コストが求められるゲートウェイ装置１０１には適さない可能性がある。小容量のメモリで上記分布を作成可能な構成については後述する。
【０１６６】
ところで、特許文献１には、車載ネットワークに限定して接続される第１のＥＣＵおよび第２のＥＣＵがメッセージ認証に用いる第１の暗号鍵と、車載ネットワークおよび車外ネットワークの両方に接続される第３のＥＣＵが用いる第２の暗号鍵とが異なることにより、車外ネットワークに接続されない第１のＥＣＵおよび第２のＥＣＵに対する車外ネットワークからのサイバー攻撃を防ぐ構成が開示されている。
【０１６７】
しかしながら、メッセージ認証を用いるセキュリティ対策では、プロトコルの脆弱性を突いた攻撃、第１の暗号鍵の不正入手による攻撃、および暗号アルゴリズムの陳腐化を突いた攻撃等により、当該セキュリティ対策が無効化されることがある。
【０１６８】
このような場合において、攻撃者が車載ネットワークに侵入したことを正しく検知するための技術が求められる。
【０１６９】
これに対して、本発明の第１の実施の形態に係る検知装置は、複数の車載装置を含む車載ネットワーク１２における不正メッセージを検知する。監視部５２は、車載ネットワーク１２における送信メッセージを監視する。取得部５３は、送信メッセージの送信間隔の分布を取得する。そして、検知部５４は、監視部５２による監視結果および取得部５３によって取得された分布に基づいて、不正メッセージを検知する。
【０１７０】
たとえば、正当な送信メッセージが周期的に送信される場合では、正当な送信メッセージの送信周期近傍に当該分布の度数が集中するので、当該分布において度数が小さい範囲における送信間隔は、不正メッセージの送信間隔である可能性が高い。これにより、度数が小さい範囲における送信間隔の送信メッセージを不正メッセージとして検知することができる。したがって、車載ネットワークにおける不正メッセージを正しく検知することができる。また、送信メッセージの送信間隔の分布を用いる構成により、送信メッセージの送信間隔の揺らぎを考慮した正確な検知を行うことができる。
【０１７１】
また、本発明の第１の実施の形態に係るゲートウェイ装置は、車載ネットワーク１２における車載装置間のメッセージを中継する。監視部５２は、車載ネットワーク１２における送信メッセージを監視する。取得部５３は、送信メッセージの送信間隔の分布を取得する。そして、検知部５４は、監視部５２による監視結果および取得部５３によって取得された分布に基づいて、不正メッセージを検知する。
【０１７２】
たとえば、正当な送信メッセージが周期的に送信される場合では、正当な送信メッセージの送信周期近傍に当該分布の度数が集中するので、当該分布において度数が小さい範囲における送信間隔は、不正メッセージの送信間隔である可能性が高い。これにより、度数が小さい範囲における送信間隔の送信メッセージを不正メッセージとして検知することができる。したがって、車載ネットワークにおける不正メッセージを正しく検知することができる。また、送信メッセージの送信間隔の分布を用いる構成により、送信メッセージの送信間隔の揺らぎを考慮した正確な検知を行うことができる。
【０１７３】
また、本発明の第１の実施の形態に係るゲートウェイ装置では、監視部５２は、送信メッセージの送信間隔を測定する。そして、検知部５４は、監視部５２によって測定された送信間隔と、分布と、所定のしきい値とに基づいて不正メッセージを検知する。
【０１７４】
このような構成により、上記分布において不正メッセージであると判定すべき送信間隔の範囲をしきい値により定めることができるので、送信メッセージが不正メッセージであるか否かを簡易に判定することができる。
【０１７５】
また、本発明の第１の実施の形態に係るゲートウェイ装置では、監視部５２は、送信メッセージの送信間隔を測定する。そして、検知部５４は、監視部５２によって測定された送信間隔の、分布における位置に基づいて不正メッセージを検知する。
【０１７６】
このような構成により、たとえば、上記分布において不正メッセージであると判定すべき送信間隔の範囲が定められている場合において、送信メッセージが不正メッセージであるか否かを簡易に判定することができる。
【０１７７】
また、本発明の第１の実施の形態に係るゲートウェイ装置では、取得部５３は、他の装置によって予め作成された分布を取得する。
【０１７８】
このように、処理負荷の大きい分布の作成処理を他の装置において行う構成により、ゲートウェイ装置１０１における処理負荷を軽減することができる。
【０１７９】
また、本発明の第１の実施の形態に係るゲートウェイ装置では、監視部５２は、送信メッセージの送信間隔を測定する。そして、監視部５２は、不正メッセージではないと判断された送信メッセージの受信タイミングを送信間隔の測定基準として用いる。
【０１８０】
このような構成により、たとえば、測定基準が不正メッセージの受信タイミングに設定されてしまい、不正メッセージの受信タイミングおよび正当な送信メッセージの受信タイミング間の送信間隔が設定後において測定され、正当な送信メッセージを不正メッセージとして誤って検知してしまう状況を防ぐことができる。
【０１８１】
次に、本発明の他の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。
【０１８２】
＜第２の実施の形態＞
本実施の形態は、第１の実施の形態に係るゲートウェイ装置と比べて分布のパラメータを動的に設定するゲートウェイ装置に関する。以下で説明する内容以外は第１の実施の形態に係るゲートウェイ装置と同様である。
【０１８３】
図１１は、本発明の第２の実施の形態に係る車載検知システムにおけるゲートウェイ装置の構成を示す図である。
【０１８４】
図１１を参照して、ゲートウェイ装置１０２は、通信処理部５１と、監視部５２と、取得部５３と、検知部５４と、分布作成部５６とを備える。
【０１８５】
ゲートウェイ装置１０２における通信処理部５１、監視部５２、取得部５３および検知部５４の動作は、図３に示すゲートウェイ装置１０１における通信処理部５１、監視部５２、取得部５３および検知部５４とそれぞれ同様である。
【０１８６】
監視部５２は、たとえば、通信処理部５１におけるメッセージの中継処理を監視し、監視結果に基づいて対象メッセージの送信間隔を算出する。そして、監視部５２は、算出した送信間隔を検知部５４および分布作成部５６へ出力する。
【０１８７】
分布作成部５６は、たとえば、監視部５２によって測定された送信間隔に基づいて、当該送信間隔の分布を示す分布情報を更新する。
【０１８８】
より詳細には、分布作成部５６は、たとえば、モデル関数Ｆｕｎｃ１として上記式（１）に示す正規分布関数ｐを用いる。分布作成部５６は、たとえば、監視部５２から送信間隔を受けるごとに、非特許文献２（Ｂ．Ｐ．Ｗｅｌｆｏｒｄ、”Ｎｏｔｅ  ｏｎ  ａ  ｍｅｔｈｏｄ  ｆｏｒ  ｃａｌｃｕｌａｔｉｎｇ  ｃｏｒｒｅｃｔｅｄ  ｓｕｍｓ  ｏｆ  ｓｑｕａｒｅｓ  ａｎｄ  ｐｒｏｄｕｃｔｓ”、Ｔｅｃｈｎｏｍｅｔｒｉｃｓ、Ｖｏｌ．４、Ｐ．４１９−４２０、１９６２）および非特許文献３（Ｄ．Ｅ．Ｋｎｕｔｈ、”Ｔｈｅ  Ａｒｔ  Ｏｆ  Ｃｏｍｐｕｔｅｒ  Ｐｒｏｇｒａｍｍｉｎｇ  Ｖｏｌｕｍｅ２  Ｓｅｍｉｎｕｍｅｒｉｃａｌ  Ａｌｇｏｒｉｔｈｍｓ  Ｔｈｉｒｄ  Ｅｄｉｔｉｏｎ”、Ｐ．２１９、２０１５）に記載のＷｅｌｆｏｒｄ−Ｋｎｕｔｈ法に従って正規分布関数ｐのパラメータを更新する。
【０１８９】
具体的には、分布作成部５６は、たとえば、送信間隔を監視部５２から受けた回数を示す計算回数ｍを保持しており、監視部５２から送信間隔を受けるごとに計算回数ｍをインクリメントする。
【０１９０】
分布作成部５６は、以下の式（１１）および（１２）を用いて、ｘｍバーおよびＭｍを算出する。
【数１１】
2018046432.tif 000013
【数１２】
2018046432.tif 000014
【０１９１】
ここで、ｘｈバーおよびＭｈは、ｈ回目の計算における平均値、およびｈ回目の計算における自乗和平均である。ここで、ｈは、ｍまたはｍ−１である。また、分布作成部５６は、以下の式（１３）を用いて分散σ＾２を算出する。
【数１３】
2018046432.tif 000015
【０１９２】
分布作成部５６は、たとえば、算出したｘｍバーおよびσ＾２を含む分布情報を取得部５３へ出力する。
【０１９３】
取得部５３は、たとえば、監視部５２による監視結果に基づく対象メッセージの送信間隔の分布を取得する。
【０１９４】
より詳細には、取得部５３は、分布作成部５６から分布情報を受けると、受けた分布情報に基づいて、式（１）により示されるモデル関数Ｆｕｎｃ１を作成し、作成したモデル関数Ｆｕｎｃ１を検知部５４へ出力する。
【０１９５】
検知部５４は、たとえば、監視部５２による監視結果、および分布作成部５６によって更新された送信間隔の分布に基づいて、不正メッセージを検知する。
【０１９６】
より詳細には、検知部５４は、取得部５３からモデル関数Ｆｕｎｃ１を受けるとともに、監視部５２から送信間隔を受ける。
【０１９７】
検知部５４は、たとえば、−ｌｏｇ（Ｆｕｎｃ１）をスコア関数Ｓｃ１として作成し、作成したスコア関数Ｓｃ１における変数ｘに送信間隔を代入することによりスコアを算出する。
【０１９８】
検知部５４は、算出したスコアとしきい値とを比較し、スコアおよびしきい値の大小関係に基づいて、今回伝送された対象メッセージが正当メッセージおよび不正メッセージのいずれであるかを判断する。検知部５４は、判断結果を監視部５２および通信処理部５１へ通知する。
【０１９９】
［ゲートウェイ装置１０２の変形例１］
この例では、上述の式（４）をモデル関数Ｆｕｎｃ２として用い、かつ対応の分布のパラメータを動的に設定するゲートウェイ装置１０２について説明する。
【０２００】
分布作成部５６は、たとえば、モデル関数Ｆｕｎｃ２として上記式（４）に示す混合正規分布関数Ｐを用いる。分布作成部５６は、たとえば、非特許文献４（Ｏ．Ｃａｐｐｅ、外１名、”Ｏｎｌｉｎｅ  ｅｘｐｅｃｔａｔｉｏｎ  ｍａｘｉｍｉｚａｔｉｏｎ  ａｌｇｏｒｉｔｈｍ  ｆｏｒ  ｌａｔｅｎｔ  ｄａｔａ  ｍｏｄｅｌｓ”、Ｊｏｕｒｎａｌ  ｏｄ  ｔｈｅ  Ｒｏｙａｌ  Ｓｔａｔｉｓｔｉｃｓ  Ｓｏｃｉｅｔｙ：  Ｓｅｒｉｅｓ  Ｂ  （Ｓｔａｔｉｓｔｉｃａｌ  Ｍｅｔｈｏｄｏｌｏｇｙ）、Ｖｏｌ．７１、Ｐ．５９３−６１３、２００９）に記載のＳｔｅｐｗｉｓｅ−ＥＭ法を用いて、監視部５２から送信間隔を受けるごとにｃ１〜ｃＫ、ｘ１バー〜ｘＫバーおよびσ１＾２〜σＫ＾２を動的に設定する、すなわち更新する。
【０２０１】
より詳細には、分布作成５６は、ＥステップおよびＭステップにおいて、ｉ＝１〜Ｋの各々についてＳｔｅｐｗｉｓｅ−ＥＭ法を適用することでｃｉ、ｘｉバーおよびσｉ＾２を算出する。
【０２０２】
具体的には、分布作成部５６は、Ｅステップにおいて、以下の式（１４）を用いて減衰係数ηｔを算出する。
【数１４】
2018046432.tif 000016
【０２０３】
また、分布作成部５６は、以下の式（１５）を用いてｉ番目の負担率γｉ（ｓ）を算出する。
【数１５】
2018046432.tif 000017
【０２０４】
分布作成部５６は、以下の式（１６）および（１７）を用いて、十分統計量Ｓｉ（ｓ）および更新後の十分統計量Ｓ（ｓ）を算出する。
【数１６】
2018046432.tif 000018
【数１７】
2018046432.tif 000019
【０２０５】
ここで、ｓ（ｓ−１）は、１つ前のＥステップにおける十分統計量である。
【０２０６】
分布作成部５６、Ｍステップでは、以下の式（１８）、（１９）および（２０）を用いてｉ番目の混合比ｃｉ（ｓ）、ｉ番目の平均値ｘｉバー（ｓ）およびｉ番目の分散σｉ＾２（ｓ）を算出する。
【数１８】
2018046432.tif 000020
【数１９】
2018046432.tif 000021
【数２０】
2018046432.tif 000022
【０２０７】
そして、分布作成部５６は、以下の式（２１）を計算することにより計算回数ｍをインクリメントする。
【数２１】
2018046432.tif 000023
【０２０８】
分布作成部５６は、たとえば、Ｋならびに算出したｃ１〜ｃＫ、ｘ１バー〜ｘＫバーおよびσ１＾２〜σＫ＾２を含む分布情報を取得部５３へ出力する。
【０２０９】
取得部５３は、分布作成部５６から分布情報を受けると、受けた分布情報に基づいて、式（４）により示されるモデル関数Ｆｕｎｃ２を作成し、作成したモデル関数Ｆｕｎｃ２を検知部５４へ出力する。
【０２１０】
検知部５４は、取得部５３からモデル関数Ｆｕｎｃ２を受けるとともに、監視部５２から送信間隔を受ける。
【０２１１】
検知部５４は、たとえば、−ｌｏｇ（Ｆｕｎｃ２）をスコア関数Ｓｃ１として作成し、作成したスコア関数Ｓｃ１における変数ｘに送信間隔を代入することによりスコアを算出する。
【０２１２】
検知部５４は、算出したスコアとしきい値とを比較し、スコアおよびしきい値の大小関係に基づいて、今回伝送された対象メッセージが正当メッセージおよび不正メッセージのいずれであるかを判断する。検知部５４は、判断結果を監視部５２および通信処理部５１へ通知する。
【０２１３】
なお、ゲートウェイ装置１０２では、分布作成部５６は、監視部５２から送信間隔を受けるごとにｃ１〜ｃＫ、ｘ１バー〜ｘＫバーおよびσ１＾２〜σＫ＾２を更新する構成であるとしたが、これに限定するものではない。
【０２１４】
分布作成部５６は、たとえば、１００〜２００のＭｉｎｉｂａｔｃｈ−ｓｉｚｅごとにｃ１〜ｃＫ、ｘ１バー〜ｘＫバーおよびσ１＾２〜σＫ＾２を更新する構成であってもよい。
【０２１５】
より詳細には、分布作成部５６は、たとえば、Ｍｉｎｉｂａｔｃｈ−ｓｉｚｅが１００である場合、１００回Ｅステップを実行したのち、Ｍステップを１回実行する。
【０２１６】
このように、たとえば、１００〜２００のＭｉｎｉｂａｔｃｈ−ｓｉｚｅを用いる構成により、Ｅステップにおける各計算結果が安定的に収束し、また収束後におけるｃ１〜ｃＫ、ｘ１バー〜ｘＫバーおよびσ１＾２〜σＫ＾２の更新を安定して行うことができる。
【０２１７】
［効果］
図１２は、本発明の第２の実施の形態に係るゲートウェイ装置におけるパラメータの動的設定の効果を説明するための図である。なお、図１２において、縦軸は、スコアおよび送信間隔を示し、対応の横軸はそれぞれ送信間隔および時間を示す。
【０２１８】
図１２を参照して、たとえば、期間Ｐａ，Ｐｂ，Ｐｃにおいて、送信間隔のばらつき度合いが変化する状況を想定する。より詳細には、期間Ｐａ，Ｐｂ，Ｐｃにそれぞれ対応するスコア関数は、α、βおよびγである。
【０２１９】
たとえば、図１２に示すように期間Ｐａ，Ｐｂ，Ｐｃにおいてしきい値Ｔｈ１が一定である場合、送信間隔のばらつきの小さい期間Ｐａ，Ｐｃの各々では、今回伝送された対象メッセージが正当メッセージであると判断される送信間隔の範囲Ｒａ，Ｒｃ（以下、正常範囲とも称する。）が狭い。一方、送信間隔のばらつきの大きい期間Ｐｂでは、正常範囲Ｒｂが広い。したがって、送信周期のばらつきの変動に応じて正常範囲を変動させることができるので、適切な判定基準を設定することができる。
【０２２０】
［動作］
図１３は、本発明の第２の実施の形態に係るゲートウェイ装置が送信間隔に基づいて不正メッセージの検知を行う際の動作手順を定めたフローチャートである。
【０２２１】
図１３を参照して、ゲートウェイ装置１０２が、送信間隔の測定基準を保持し、またモデル関数Ｆｕｎｃ１として正規分布関数ｐを用いる状況を想定する。
【０２２２】
まず、ゲートウェイ装置１０２は、対象メッセージを受信するまで待機する（ステップＳ２０２でＮＯ）。
【０２２３】
そして、ゲートウェイ装置１０２は、対象メッセージを受信すると（ステップＳ２０２でＹＥＳ）、受信時刻から測定基準を差し引くことにより送信間隔を算出する（ステップＳ２０４）。
【０２２４】
次に、ゲートウェイ装置１０２は、算出した送信間隔に基づいて対象メッセージの送信間隔の分布を更新する。具体的には、ゲートウェイ装置１０２は、正規分布関数ｐのパラメータを更新する（ステップＳ２０６）。
【０２２５】
次に、ゲートウェイ装置１０２は、更新したパラメータに基づいてモデル関数Ｆｕｎｃ１を作成し、作成したモデル関数Ｆｕｎｃ１を変形することによりスコア関数Ｓｃ１を作成する（ステップＳ２０８）。
【０２２６】
ステップＳ２１０〜Ｓ２１８の動作は、図９に示すステップＳ１１２〜Ｓ１２０の動作と同様である。
【０２２７】
なお、ゲートウェイ装置１０２は、正規分布関数ｐの代わりに混合正規分布関数Ｐをモデル関数Ｆｕｎｃ２として用いる構成であってもよい。この場合、ゲートウェイ装置１０２は、上記ステップＳ２０６において、混合正規分布関数Ｐのパラメータであるｃ１〜ｃＫ、ｘ１バー〜ｘＫバーおよびσ１＾２〜σＫ＾２を更新する。
【０２２８】
その他の構成および動作は第１の実施の形態に係るゲートウェイ装置と同様であるため、ここでは詳細な説明を繰り返さない。
【０２２９】
以上のように、本発明の第２の実施の形態に係るゲートウェイ装置では、監視部５２は、送信メッセージの送信間隔を測定する。そして、分布作成部５６は、監視部５２によって測定された送信間隔に基づいて分布を更新する。
【０２３０】
このような構成により、たとえば、送信メッセージの送信間隔がばらつく場合においても、送信間隔のばらつき度合いに応じて上記分布を更新することができるので、正当な送信メッセージを不正メッセージとして誤って検知してしまう可能性を低減することができる。
【０２３１】
次に、本発明の他の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。
【０２３２】
＜第３の実施の形態＞
本実施の形態は、第１の実施の形態に係るゲートウェイ装置と比べて複数種類の変数を有する正規分布関数を用いるゲートウェイ装置に関する。以下で説明する内容以外は第１の実施の形態に係るゲートウェイ装置と同様である。
【０２３３】
図１４は、本発明の第３の実施の形態に係る車載検知システムにおけるゲートウェイ装置の構成を示す図である。
【０２３４】
図１４を参照して、ゲートウェイ装置１０３は、通信処理部５１と、監視部６２と、取得部６３と、検知部６４と、分布作成部６６とを備える。
【０２３５】
ゲートウェイ装置１０３における通信処理部５１、監視部６２、取得部６３および検知部６４の動作は、図３に示すゲートウェイ装置１０１における通信処理部５１、監視部５２、取得部５３および検知部５４とそれぞれ同様である。
【０２３６】
車載ネットワーク１２では、たとえば、正規分布に従う連続値である計測値（以下、対象計測値とも称する。）を内容として含むメッセージが伝送される。
【０２３７】
対象計測値は、たとえば、車載ネットワーク１２が設けられた車両すなわち対象車両の速度、対象車両のタイヤ空気圧、対象車両のステアリング角度、対象車両のアクセル開度、対象車両のエンジンの回転数およびシリンダー圧力、対象車両に乗車している人間の重量、対象車両の加速度、対象車両のモータの回転数、対象車両の制動トルク、対象車両のヨーレート、ならびに対象車両に用いる電波の受信強度のうちの少なくともいずれか１つである。
【０２３８】
この例では、車載ネットワーク１２において、各対象計測値のうちのいずれか１つを含む周期メッセージが伝送される。なお、車載ネットワーク１２において、複数の対象計測値を含む周期メッセージが伝送されてもよい。
【０２３９】
より詳細には、対象車両の速度の計測値は、たとえば、計器表示制御装置において用いられる。対象車両のタイヤ空気圧の計測値は、たとえば、ＴＰＭＳを用いて近距離無線端末装置によって取得され、シャーシ制御装置において用いられる。対象車両のステアリング角度の計測値は、たとえば、シャーシ制御装置において用いられる。対象車両のアクセル開度、ならびに対象車両のエンジンの回転数およびシリンダー圧力の計測値は、たとえば、エンジン制御装置において用いられる。対象車両に乗車している人間の重量の計測値は、たとえば、シートに設けられた重量センサにより計測され、エアバック制御装置において用いられる。対象車両の加速度の計測値は、たとえば、ＡＴ制御装置において用いられる。対象車両のモータの回転数の計測値は、たとえば、ＨＥＶ制御装置において用いられる。対象車両の制動トルクの計測値は、たとえば、シャーシ制御装置およびブレーキ制御装置において用いられる。対象車両のヨーレートの計測値は、たとえば、シャーシ制御装置およびステアリング制御装置において用いられる。対象車両に用いる電波の受信強度、具体的にはスマートエントリおよびＴＰＭＳ等のサービスに用いるＬＦ帯またはＵＨＦ帯の電波の受信強度の計測値は、たとえばシャーシ制御装置およびスマートエントリ制御装置において用いられる。
【０２４０】
たとえば、監視部６２には、対象計測値を含む周期メッセージすなわち対象メッセージを示すＩＤすなわち登録ＩＤが１つ登録されている。なお、監視部６２には、複数の登録ＩＤが登録されてもよい。
【０２４１】
監視部６２は、たとえば、通信処理部５１におけるメッセージの中継処理を監視し、通信処理部５１が登録ＩＤを含むメッセージすなわち対象メッセージを受信すると、対象メッセージの送信間隔を算出するとともに対象メッセージの内容を取得する。
【０２４２】
監視部６２は、算出した送信間隔および取得した対象メッセージの内容すなわち対象計測値を分布作成部６６および検知部６４へ出力する。
【０２４３】
分布作成部６６は、たとえば、監視部６２によって測定された送信間隔および取得された対象計測値に基づいて、当該送信間隔および対象計測値の分布を更新する。
【０２４４】
より詳細には、分布作成部６６は、たとえば、モデル関数Ｆｕｎｃ３として２次元の正規分布関数ｑを用いる。ここで、２次元の正規分布関数ｑの変数は、たとえばｘおよびｙである。
【０２４５】
分布作成部６６は、たとえば、監視部６２から送信間隔および計測対象値を受けるごとに、非特許文献２および非特許文献３に記載のＷｅｌｆｏｒｄ−Ｋｎｕｔｈ法に従って正規分布関数ｑのパラメータを更新する。
【０２４６】
ここで、正規分布関数ｑのパラメータは、各送信間隔の平均値ｘバーおよび分散σｘ＾２、ならびに各対象計測値の平均値ｙバーおよび分散σｙ＾２である。
【０２４７】
分布作成部６６は、たとえば、送信間隔を監視部６２から受けた回数を示す計算回数ｍを保持しており、監視部６２から送信間隔を受けるごとに計算回数ｍをインクリメントする。
【０２４８】
分布作成部６６は、上記式（１１）〜（１３）を用いて各送信間隔の平均値ｘバーおよび分散σｘ＾２を算出する。また、分布作成部６６は、送信間隔の平均値ｘバーおよび分散σｘ＾２の算出処理と同様の処理を行うことにより対象計測値の平均値ｙバーおよび分散σｙ＾２を算出する。
【０２４９】
分布作成部６６は、算出した各パラメータを含む分布情報を取得部６３へ出力する。
【０２５０】
取得部６３は、分布作成部６６から分布情報を受けると、受けた分布情報に基づいて、正規分布関数ｑにより示されるモデル関数Ｆｕｎｃ３を作成し、作成したモデル関数Ｆｕｎｃ３を検知部６４へ出力する。
【０２５１】
図１５は、本発明の第３の実施の形態に係るゲートウェイ装置における検知部による不正メッセージの検出例を示す図である。なお、図１５において、ｘ軸は変数ｘを示し、ｙ軸は変数ｙを示し、ｚ軸はスコアを示す。ｘ軸およびｚ軸の見方は、図６に示す横軸および縦軸とそれぞれ同様である。
【０２５２】
図１５を参照して、検知部６４は、たとえば、監視部６２によって測定された送信間隔、取得部６３によって取得された分布情報、および監視部６２によって監視された送信メッセージの内容に基づいて不正メッセージを検知する。ここでは、検知部６４には、しきい値Ｔｈｐが登録されている。
【０２５３】
より詳細には、検知部６４は、取得部６３からモデル関数Ｆｕｎｃ３を受けると、受けたモデル関数Ｆｕｎｃ３を変形することによりスコア関数Ｓｃ２を作成する。より詳細には、検知部６４は、たとえば、−ｌｏｇ（Ｆｕｎｃ３）をスコア関数Ｓｃ２として作成する。スコア関数Ｓｃ２は、曲面で表される。
【０２５４】
図１５では、スコア関数Ｓｃ２は、変数ｘが平均値ｘバーであり、かつ変数ｙが平均値ｙバーである場合に最小値を示す。
【０２５５】
検知部６４は、監視部６２から受けた送信間隔および計測対象値をスコア関数Ｓｃ２における変数ｘおよび変数ｙにそれぞれ代入することによりスコアを算出する。
【０２５６】
検知部６４は、算出したスコアがたとえばしきい値Ｔｈｐ以下である場合、今回伝送された対象メッセージが正当メッセージであると判断する。
【０２５７】
一方、検知部６４は、算出したスコアがしきい値Ｔｈｐより大きい場合、今回伝送された対象メッセージが不正メッセージであると判断する。
【０２５８】
検知部６４は、監視部６２から受けた送信間隔および計測対象値に基づく判断結果を監視部６２および通信処理部５１へ通知する。
【０２５９】
なお、本発明の第３の実施の形態に係るゲートウェイ装置では、モデル関数Ｆｕｎｃ３として２次元の正規分布関数ｑが用いられるとしたが、これに限定するものではない。ゲートウェイ装置１０３では、３次元以上の正規分布関数が用いられる構成であってもよい。この場合、正規分布関数の変数は、送信間隔および複数種類の対象計測値である。また、ゲートウェイ装置１０３では、モデル関数Ｆｕｎｃ３として２次元以上の混合正規分布関数が用いられる構成であってもよい。
【０２６０】
また、本発明の第３の実施の形態に係るゲートウェイ装置は、分布作成部６６を備え、正規分布関数ｑのパラメータを動的に設定する構成であるとしたが、これに限定するものでない。ゲートウェイ装置１０３は、分布作成部６６を備えない構成であってもよく、正規分布関数ｑのパラメータを固定的に運用する構成であってもよい。また、ゲートウェイ装置１０３は、正規分布関数ｑのパラメータのうちの送信間隔に関するパラメータを動的に設定し、かつ計測対象値に関するパラメータを固定的に運用する構成であってもよいし、また送信間隔に関するパラメータを固定的に運用し、かつ計測対象値に関するパラメータを動的に設定する構成であってもよい。
【０２６１】
以上のように、本発明の第３の実施の形態に係るゲートウェイ装置では、検知部６４は、監視部６２によって監視された送信メッセージの内容にさらに基づいて不正メッセージを検知する。
【０２６２】
このような構成により、たとえば、不正メッセージであるにも関わらず送信間隔および分布に基づいて正当な送信メッセージとして検知されてしまう送信メッセージを、当該送信メッセージの内容に基づいて、不正メッセージであると検知することができるので、車載ネットワークにおける不正メッセージをより正しく検知することができる。
【０２６３】
また、本発明の第３の実施の形態に係るゲートウェイ装置では、送信メッセージの内容は、連続値である。
【０２６４】
このような構成により、たとえば、送信メッセージの内容に基づく分布を作成することができるので、当該分布において度数が小さい範囲における内容を含む送信メッセージを不正メッセージとして検知することができる。
【０２６５】
また、本発明の第３の実施の形態に係るゲートウェイ装置では、連続値は、車載ネットワーク１２が設けられた車両の速度、当該車両のタイヤ空気圧、当該車両のステアリング角度、当該車両のアクセル開度、当該車両のエンジンの回転数およびシリンダー圧力、当該車両に乗車している人間の重量、当該車両の加速度、当該車両のモータの回転数、当該車両の制動トルク、当該車両のヨーレート、ならびに当該車両に用いる電波の受信強度のうちの少なくともいずれか１つである。
【０２６６】
このように、上記連続値が、平均値を中心としてばらつく連続値である構成により、平均値近傍において度数が集中する、不正メッセージの検知に適した分布を作成することができる。
【０２６７】
その他の構成および動作は第１の実施の形態に係るゲートウェイ装置と同様であるため、ここでは詳細な説明を繰り返さない。
【０２６８】
なお、本発明の第１の実施の形態〜第３の実施の形態に係る各装置の構成要素および動作のうち、一部または全部を適宜組み合わせることも可能である。
【０２６９】
上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【０２７０】
以上の説明は、以下に付記する特徴を含む。
【０２７１】
［付記１］
複数の車載装置を含む車載ネットワークにおける不正メッセージを検知する検知装置であって、
前記車載ネットワークにおける送信メッセージを監視する監視部と、
前記送信メッセージの送信間隔の分布を取得する取得部と、
前記監視部による監視結果および前記取得部によって取得された前記分布に基づいて、前記不正メッセージを検知する検知部とを備え、
前記車載装置は、前記車載ネットワークの設けられた車両の外部における装置と通信する車載通信機、または前記車両における機能部を制御可能な制御装置であり、
正常な前記送信メッセージは、前記車載ネットワークにおいて所定の周期ごとに送信されるように設定されており、
前記取得部は、前記送信メッセージの各送信間隔の平均値および分散により定まる正規分布を示す分布情報を取得し、
前記検知部は、前記監視部による監視結果および前記取得部によって取得された前記分布情報に基づいて、前記不正メッセージを検知する、検知装置。
【０２７２】
［付記２］
車載ネットワークにおける車載装置間のメッセージを中継するゲートウェイ装置であって、
前記車載ネットワークにおける送信メッセージを監視する監視部と、
前記送信メッセージの送信間隔の分布を取得する取得部と、
前記監視部による監視結果および前記取得部によって取得された前記分布に基づいて、前記不正メッセージを検知する検知部とを備え、
前記車載装置は、前記車載ネットワークの設けられた車両の外部における装置と通信する車載通信機、または前記車両における機能部を制御可能な制御装置であり、
正常な前記送信メッセージは、前記車載ネットワークにおいて所定の周期ごとに送信されるように設定されており、
前記取得部は、前記送信メッセージの各送信間隔の平均値および分散により定まる正規分布を示す分布情報を取得し、
前記検知部は、前記監視部による監視結果および前記取得部によって取得された前記分布情報に基づいて、前記不正メッセージを検知する、ゲートウェイ装置。
【符号の説明】
【０２７３】
１２  車載ネットワーク
１３，１４  バス
５１  通信処理部
５２  監視部
５３  取得部
５４  検知部
５６  分布作成部
６２  監視部
６３  取得部
６４  検知部
６６  分布作成部
１０１，１０２，１０３  ゲートウェイ装置
１１１  車載通信機
１１２  ポート
１２１  バス接続装置群
１２２  制御装置
１３１  検知装置
３０１  車載検知システム
【図１】
2018046432.tif 000024
【図２】
2018046432.tif 000025
【図３】
2018046432.tif 000026
【図４】
2018046432.tif 000027
【図５】
2018046432.tif 000028
【図６】
2018046432.tif 000029
【図７】
2018046432.tif 000030
【図８】
2018046432.tif 000031
【図９】
2018046432.tif 000032
【図１０】
2018046432.tif 000033
【図１１】
2018046432.tif 000034
【図１２】
2018046432.tif 000035
【図１３】
2018046432.tif 000036
【図１４】
2018046432.tif 000037
【図１５】
2018046432.tif 000038