(57)【要約】【課題】送信していないにもかかわらず送信元が自アドレスとなっている不正データを検出することにより、自身になりすましている機器が存在することを検出することが可能な不正データ検出方法及び車載機器を提供する。【解決手段】車載通信ネットワークに接続される車載機器（第２機器１０）の制御部１２を、送信した通信データ（パケット）に関する送信パケット情報を作成する手段、送信元が自アドレスの通信データを検出する送信データ検出手段、及び、検出した通信データに基づいて、送信していないにもかかわらず送信元が自アドレスとなっている不正データを検出する不正データ検出手段として動作させる。制御部１２は、前記作成した送信データ情報及び前記検出した通信データに基づいて、不正データを検出する。【選択図】        図１
2004253908.tif 000002
【特許請求の範囲】
【請求項１】
車載通信ネットワークに接続された車載機器による不正データ検出方法において、
送信元が自アドレスの通信データを前記車載機器で検出するステップと、
検出した通信データに基づいて、送信していないにもかかわらず送信元が自アドレスとなっている不正データを前記車載機器で検出するステップと
を有することを特徴とする不正データ検出方法。
【請求項２】
送信した通信データに関する送信データ情報を前記車載機器で作成するステップを有し、
作成した送信データ情報及び前記検出した通信データに基づいて、前記車載機器で不正データを検出することを特徴とする請求項１記載の不正データ検出方法。
【請求項３】
送信した通信データ数を前記車載機器で計数するステップと、
前記検出した通信データ数を前記車載機器で計数するステップと
を有し、計数した前記２つの通信データ数に基づいて、前記車載機器で不正データを検出することを特徴とする請求項１記載の不正データ検出方法。
【請求項４】
車載通信ネットワークに接続される車載機器において、
送信元が自アドレスの通信データを検出する送信データ検出手段と、
送信データ検出手段が検出した通信データに基づいて、送信していないにもかかわらず送信元が自アドレスとなっている不正データを検出する不正データ検出手段と
を備えることを特徴とする車載機器。
【請求項５】
送信した通信データに関する送信データ情報を作成する作成手段を備え、
前記不正データ検出手段は、作成手段が作成した送信データ情報及び前記送信データ検出手段が検出した通信データに基づいて、不正データを検出するように構成されていることを特徴とする請求項４記載の車載機器。
【請求項６】
送信した通信データ数を計数する送信データ計数手段と、
前記送信データ検出手段が検出した通信データ数を計数する検出データ計数手段と
を備え、前記不正データ検出手段は、送信データ計数手段及び検出データ計数手段が夫々計数した通信データ数に基づいて、不正データを検出するように構成されていることを特徴とする請求項４記載の車載機器。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、車載通信ネットワークに接続された車載機器及び該車載機器による不正データ検出方法に関する。
【０００２】
【従来の技術】
自動車などの車両においては、種々の車載機器を接続した車載通信ネットワークを構築することが多くなっている（例えば、特許文献１参照）。図６（ａ）に車載通信ネットワークの構成例を示す。図６（ａ）の例ではゲートウェイ８に第１機器２及び第２機器４がデージーチェーン接続されている。ただし、第２機器４の方が第１機器２よりもゲートウェイ８に近い。また、図６（ａ）の例では、第１機器２，第２機器４及びゲートウェイ８には夫々異なるＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレス（１９２．２０８．１．１  ，１９２．２０８．１．２  及び  １９２．２０８．１．０）が割当てられている。
【０００３】
【特許文献１】
特開２００２−１５２２４４号公報
【０００４】
【発明が解決しようとする課題】
図６（ａ）に示す車載通信ネットワークの第２機器４及びゲートウェイ８間に第３機器６を追加する場合、第３機器６のＩＰアドレスは、通常、第１機器２，第２機器４及びゲートウェイ８とは異なるＩＰアドレスが使用される。ＩＰアドレスで各機器２，４，６及びゲートウェイ８を区別して、データ転送又はフィルタリングなどを行うことが可能である。
【０００５】
しかし、図６（ｂ）に示すように、第３機器６が、第２機器４と同一のＩＰアドレス（１９２．２０８．１．２  ）を不正に使用することも不可能ではない。第２機器４と同一のＩＰアドレス（１９２．２０８．１．２  ）が第３機器６によって不正に使用された場合、第３機器６から送信されるパケットの送信元アドレスは第２機器４と同一であり、第１機器２又はゲートウェイ８は、第３機器６から送信されたパケットを、第２機器４から送信されたパケットと誤認する。そのため、第３機器６は、第２機器４になりすまして、第１機器２又はゲートウェイ８にアクセスし、例えば情報を不正に取出したり又は誤作動させることが可能になるという問題がある。例えば、ゲートウェイ８のフィルタリング設定が、所定コマンドを第２機器４からのみ受付けるように設定されている場合であっても、第２機器４になりすました第３機器６によって前記所定コマンドが実行される可能性がある。
【０００６】
本発明は斯かる事情に鑑みてなされたものであり、送信していないにもかかわらず送信元が自アドレスとなっている不正データを検出することにより、自身になりすましている機器が存在することを検出することが可能な不正データ検出方法及び車載機器を提供することを目的とする。
【０００７】
【課題を解決するための手段】
第１発明に係る不正データ検出方法は、車載通信ネットワークに接続された車載機器による不正データ検出方法において、送信元が自アドレスの通信データを前記車載機器で検出するステップと、検出した通信データに基づいて、送信していないにもかかわらず送信元が自アドレスとなっている不正データを前記車載機器で検出するステップとを有することを特徴とする。
【０００８】
第２発明に係る不正データ検出方法は、第１発明において、送信した通信データに関する送信データ情報を前記車載機器で作成するステップを有し、作成した送信データ情報及び前記検出した通信データに基づいて、前記車載機器で不正データを検出することを特徴とする。
【０００９】
第３発明に係る不正データ検出方法は、第１発明において、送信した通信データ数を前記車載機器で計数するステップと、前記検出した通信データ数を前記車載機器で計数するステップとを有し、計数した前記２つの通信データ数に基づいて、前記車載機器で不正データを検出することを特徴とする。
【００１０】
第４発明に係る車載機器は、車載通信ネットワークに接続される車載機器において、送信元が自アドレスの通信データを検出する送信データ検出手段と、送信データ検出手段が検出した通信データに基づいて、送信していないにもかかわらず送信元が自アドレスとなっている不正データを検出する不正データ検出手段とを備えることを特徴とする。
【００１１】
第５発明に係る車載機器は、第４発明において、送信した通信データに関する送信データ情報を作成する作成手段を備え、前記不正データ検出手段は、作成手段が作成した送信データ情報及び前記送信データ検出手段が検出した通信データに基づいて、不正データを検出するように構成されていることを特徴とする。
【００１２】
第６発明に係る車載機器は、第４発明において、送信した通信データ数を計数する送信データ計数手段と、前記送信データ検出手段が検出した通信データ数を計数する検出データ計数手段とを備え、前記不正データ検出手段は、送信データ計数手段及び検出データ計数手段が夫々計数した通信データ数に基づいて、不正データを検出するように構成されていることを特徴とする。
【００１３】
第１又は第４発明においては、車載通信ネットワーク内の車載機器により、送信元が自アドレスの通信データを検出し、検出した通信データに基づいて、送信していないにもかかわらず送信元が自アドレスとなっている不正データを検出する。通常、送信元が自アドレスの通信データは、自身から送信した通信データである。しかし、他の機器が自身になりすましている場合は、送信元が自アドレスの通信データには、自身が送信した通信データだけでなく、前記他の機器が送信した通信データも含まれている。送信していないにもかかわらず送信元が自アドレスとなっている不正データを検出することにより、自身になりすましている機器が存在することを検出することが可能である。
【００１４】
第２又は第５発明においては、前記車載機器は、送信した通信データに関する送信データ情報を作成する。前記車載機器は、作成した送信データ情報及び前記検出した通信データに基づいて、不正データを検出する。通常、送信元が自アドレスの通信データは、自身から送信しているため、送信データ情報に含まれている。しかし、他の機器が自身になりすましている場合は、送信元が自アドレスであっても、送信データ情報に含まれていない通信データが存在する。送信データ情報及び前記検出した通信データを比較することにより、なりすましなどによる不正データを検出することが可能である。
【００１５】
第３又は第６発明においては、前記車載機器により、送信した通信データ数を計数すると共に、前記検出した通信データ数を計数する。前記車載機器は、計数した前記２つの通信データ数に基づいて、不正データを検出する。通常、送信元が自アドレスの通信データ数は、自身から送信した通信データ数を超えることは無い。しかし、他の機器が自身になりすましている場合は、送信元が自アドレスの通信データ数が、自身から送信した通信データ数を超えることになる。計数した前記２つの通信データ数を比較することにより、なりすましなどによる不正データの存在を検出することが可能である。
【００１６】
【発明の実施の形態】
以下、本発明をその実施の形態を示す図面に基づいて具体的に説明する。
（第１の実施の形態）
図１に、本発明に係る車載機器（第２機器１０）が接続された車載通信ネットワークの構成例を示す。本説明においては、ゲートウェイ８に、第１機器２，第２機器１０及び第３機器６がデージーチェーン接続されている。ただし、第３機器６がゲートウェイ８に一番近く、第１機器２がゲートウェイ８から一番遠い。
【００１７】
第１機器２，第２機器１０，第３機器６及びゲートウェイ８は、例えばＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ  ｏｆ  Ｅｌｅｃｔｒｉｃａｌ  ａｎｄ  Ｅｌｅｃｔｒｏｎｉｃ  Ｅｎｇｉｎｅｅｒｓ）１３９４に準拠した通信部を備え、ＩＥＥＥ１３９４パケットを伝送することが可能である。また、ＩＥＥＥ１３９４においては、ＲＦＣ（Ｒｅｑｕｅｓｔ  Ｆｏｒ  Ｃｏｍｍｅｎｔｓ）２７３４で規定されているＩＰ  ｏｖｅｒ  ＩＥＥＥ１３９４に基づいて、ＩＰパケットを伝送することが可能である。
【００１８】
図１の例では、第１機器２，第２機器１０及びゲートウェイ８には夫々異なるＩＰアドレス（１９２．２０８．１．１  ，１９２．２０８．１．２  及び  １９２．２０８．１．０）が割当てられている。また、図１の例では、第３機器６は、第２機器１０と同一のＩＰアドレス（１９２．２０８．１．２  ）を不正に使用しているものとする。
【００１９】
ゲートウェイ８は、複数の通信ネットワーク間のデータ転送処理を行う。データ転送処理は、データを転送することに加えて、データの転送をブロックすることなども含む。図１の例では、ゲートウェイ８に接続された２つの通信ネットワークの一方に、第１機器２，第２機器１０及び第３機器６が接続されている。
【００２０】
第２機器１０は、第１通信部１６及び第２通信部１８と、第１通信部１６及び第２通信部１８に接続され、第１通信部１６及び第２通信部１８間のデータ転送処理を行う制御部１２と、制御部１２に接続された記憶部１４とを備える。図１の例では、第１通信部１６に第１機器２が接続され、第２通信部１８に第３機器６が接続されている。
【００２１】
制御部１２は、送信したパケット（通信データ）に関する送信パケット情報を作成する手段（作成手段）、送信元が自アドレスのパケットを検出する手段（送信データ検出手段）、及び、検出したパケットに基づいて、送信していないにもかかわらず送信元が自アドレスとなっている不正パケット（不正データ）を検出する手段（不正データ検出手段）として動作する。
【００２２】
また、制御部１２は、作成した送信パケット情報を記憶部１４に記憶し、さらに、送信元が自アドレスのパケットを検出した場合、検出したパケットに関する検出パケット情報を記憶部１４に記憶（検出パケット情報を更新）する。制御部１２は、送信パケット情報及び検出パケット情報に基づいて、不正パケットを検出する。
【００２３】
図２（ａ）に送信パケット情報の例を示す。ただし、本説明においては、パケットのヘッダには、送信先，送信元，及び各パケットを識別可能な識別子に関する情報が含まれているものとする。図２（ａ）に示す送信パケット情報には、第２機器１０から送信した各パケットのヘッダが記憶されている。
【００２４】
図２（ｂ）及び（ｃ）に検出パケット情報の例を示す。図２（ｂ）及び（ｃ）に示す検出パケット情報には、制御部１２で検出した、送信元が自アドレス（１９２．２０８．１．２  ）のパケットのヘッダが記憶されている。通常、送信元が自アドレス（１９２．２０８．１．２  ）のパケットは、自身（第２機器１０）が送信しており、検出パケット情報に登録されているヘッダは、送信パケット情報にも登録されている。
【００２５】
制御部１２は、検出パケット情報と送信パケット情報とを比較し、一致するヘッダがある場合は、両情報から前記一致するヘッダを削除する。通常は、図２（ａ）の例に示すように、検出パケット情報のヘッダは送信パケット情報にも登録されており、検出パケット情報のヘッダは全て削除されることになる。
【００２６】
しかし、本説明のように、第２機器１０になりすましている第３機器６が存在する場合、第３機器６が送信したパケットについては、送信元は第２機器１０と同一であるが、送信パケット情報には登録されていない。そのため、図２（ｃ）の例のように、検出パケット情報のヘッダは全て削除されず、例えば受信パケット１２３６１（第３機器６が送信）のヘッダが残る。
【００２７】
制御部１２は、検出パケット情報に削除されずに残っているヘッダに基づいて、なりすましを検出する。例えば、検出パケット情報に削除されずに残っているヘッダ数が規定数に達した場合、自身になりすましている機器が存在していると判定し、例えば車載通信ネットワーク内の各機器に警告を送信することが可能である。
【００２８】
次に、本発明に係る車載機器を用いたなりすましの検出について説明する。
図３になりすましの検出手順の例を示す。第２機器１０の制御部１２は、送信したパケットのヘッダを、記憶部１４に記憶されている送信パケット情報に登録する。制御部１２は、伝送されているパケットを監視し、送信元が自アドレスのパケットを検出した場合（Ｓ１０：ＹＥＳ）、検出したパケットのヘッダを検出パケット情報に登録し（Ｓ１２）、検出パケット情報及び送信パケット情報を比較する（Ｓ１４）。
【００２９】
両情報に一致するヘッダがある場合（Ｓ１６：ＹＥＳ）、制御部１２は、一致したヘッダを両情報から削除する（Ｓ１８）。一致するヘッダが無い場合（Ｓ１６：ＮＯ）又は一致したヘッダの削除（Ｓ１８）後、制御部１０は、検出パケット情報のヘッダ数と規定値とを比較し、規定値に達している場合（Ｓ２０：ＹＥＳ）は、なりすましを検出し（Ｓ２２）、例えば車載通信ネットワーク内の各機器に警告を送信する。規定値に達していない場合（Ｓ２０：ＮＯ）は、同様の処理を繰返す。
【００３０】
上述した実施の形態においては、両情報に一致するヘッダがある場合は、一致するヘッダを削除したが、例えば削除せずにフラグを立てることなども可能である。
【００３１】
また、上述した実施の形態においては、送信パケット情報及び検出パケット情報にパケットのヘッダを記憶したが、例えばパケットを記憶したり、ヘッダの識別子のみを記憶することなども可能である。
【００３２】
（第２の実施の形態）
第１の実施の形態においては、パケットのヘッダに送信先，送信元，及び各パケットを識別可能な識別子に関する情報が含まれている場合を例にして説明したが、パケットのヘッダに識別子が含まれていない場合の例を以下に説明する。
【００３３】
図４に、本発明に係る車載機器（第２機器２０）が接続された車載通信ネットワークの構成例を示す。本説明の車載通信ネットワークの構成は第１の実施の形態（図１）と同様の構成であり、第３機器６が第２機器２０のＩＰアドレス（１９２．２０８．１．２  ）を不正に使用している。
【００３４】
本説明の第２機器２０は、第１の実施の形態（図１）と同様の構成であり、制御部２２は、送信元が自アドレスのパケット（通信データ）を検出する手段（送信データ検出手段）、及び、検出したパケットに基づいて、送信していないにもかかわらず送信元が自アドレスとなっている不正パケット（不正データ）を検出する手段（不正データ検出手段）として動作する。
【００３５】
また、制御部２２は、送信したパケット数（以下、送信パケット数）を計数する手段（送信データ計数手段）、及び、前記検出したパケット数（以下、検出パケット数）を計数する手段（検出データ計数手段）として動作する。制御部２２は、計数した送信パケット数及び検出パケット数に基づいて、不正パケットを検出する。計数した送信パケット数及び検出パケット数は、制御部２２により、記憶部２４に記憶される。
【００３６】
通常、検出パケット数（送信元が自アドレス（１９２．２０８．１．２  ）のパケット数）は、送信パケット数（自身が送信したパケット数）を超えることは無い。しかし、本説明のように、第２機器２０になりすましている第３機器６が存在する場合、検出パケット数は、送信パケット数を超えることになる。
【００３７】
制御部２２は、検出パケット数が送信パケット数を超えた場合、自身になりすましている機器が存在していると判定し、例えば車載通信ネットワーク内の各機器に警告を送信することが可能である。
【００３８】
次に、本発明に係る車載機器を用いたなりすましの検出について説明する。
図５になりすましの検出手順の例を示す。第２機器２０の制御部２２は、送信パケット数を計数し、記憶部２４に記憶（送信パケット数を更新）する。制御部２２は、伝送されているパケットを監視し、送信元が自アドレスのパケットを検出した場合（Ｓ３０：ＹＥＳ）、記憶部２４に記憶されている検出パケット数を１増加させ（Ｓ３２）、送信パケット数及び検出パケット数を比較する（Ｓ３４）。
【００３９】
検出パケット数の方が大きい場合（Ｓ３６：ＹＥＳ）、制御部２２は、なりすましを検出し（Ｓ３８）、例えば車載通信ネットワーク内の各機器に警告を送信する。検出パケット数の方が小さい場合（Ｓ３６：ＮＯ）は、同様の処理を繰返す。
【００４０】
上述した第１又は第２の実施の形態においては、車載通信ネットワーク内の第２機器１０，２０でなりすましを検出したが、例えばゲートウェイ８でなりすましを検出するなど、車載通信ネットワーク内の任意数の任意機器でなりすましを検出することが可能である。
【００４１】
【発明の効果】
本発明によれば、送信していないにもかかわらず送信元が自アドレスとなっている不正データを検出することにより、自身になりすましている機器が存在することを検出することが可能である。例えば、送信元が自アドレスとなっている通信データを検出し、検出した通信データと送信データ情報とを比較、又は、検出した通信データ数と送信データ数とを比較することにより、不正データを検出することが可能である。なりすましを検出し、なりすましに対する対応を行うことが可能になる。
【図面の簡単な説明】
【図１】本発明に係る車載機器（第２機器）が接続された車載通信ネットワークの構成例を示すブロック図である。
【図２】（ａ）は送信パケット情報の例を示す図であり、（ｂ）及び（ｃ）は検出パケット情報の例を示す図である。
【図３】なりすましの検出手順の例を示すフローチャートである。
【図４】本発明に係る車載機器（第２機器）が接続された車載通信ネットワークの構成例を示すブロック図である。
【図５】なりすましの検出手順の例を示すフローチャートである。
【図６】従来の車載通信ネットワークの構成例を示すブロック図である。
【符号の説明】
２  第１機器
６  第３機器
８  ゲートウェイ
１０，２０  第２機器（車載機器）
１２，２２  制御部
１４，２４  記憶部
１６  第１通信部
１８  第２通信部
【図１】
2004253908.tif 000003
【図２】
2004253908.tif 000004
【図３】
2004253908.tif 000005
【図４】
2004253908.tif 000006
【図５】
2004253908.tif 000007
【図６】
2004253908.tif 000008