JP2019200670A5

JP2019200670A5 -

Info

Publication number: JP2019200670A5
Application number: JP2018095688A
Authority: JP
Filing date: 2018-05-17
Publication date: 2021-02-04
Anticipated expiration: 2038-05-17

Description

ステップＳ８において、算出したバス負荷率Ｌが許容値ＰＬ以下の場合（Ｓ８でＮＯ）、受信したデータフレームが混雑さの影響を受ける程にバスが混雑した状態にないと考えられる。よって、この遅延（すなわち、受信周期のずれ）が発生しているのは、そのデータフレームが正規のものではなく、サイバー攻撃による、なりすましのデータフレームであるためであると考えられる。そこで、バス負荷率Ｌが許容値ＰＬ以下の場合（Ｓ８でＮＯ）、攻撃検知部１１７はサイバー攻撃を受けたことを検知する（Ｓ１６）。このとき、受信周期閾値更新部１１６は、上側閾値幅Δｍｈ及び下側閾値幅Δｍｌを所定値にリセットし、リセットした値で受信周期閾値保持部１４５の周期閾値テーブル８５を更新する（Ｓ１５）。

一方、ステップＳ８において、算出したバス負荷率Ｌがその許容値ＰＬよりも大きい場合（Ｓ８でＹＥＳ）、受信周期閾値計算部１１５は正常周期範囲Ｗの上限を規定する最大閾値時刻（ｔｈmax）を算出する（Ｓ９）。

以上のように本実施の形態のゲートウェイ装置１００は、所定の周期でデータフレームが伝送されるバス２０１に接続され、当該バス２０１に接続された機器への攻撃を検知する装置である。ゲートウェイ装置１００は、バス２０１に伝送されるデータフレームを受信するフレーム受信部１２１と、検査対象のデータフレームの受信周期が正常範囲にあるか否かを、正常範囲を示す閾値（例えば、Ｔｈmin、Ｔｈmax、またはΔｍｌ、Δｍｈ）を用いて判断し、その判断結果に基づき攻撃の有無を検知する攻撃検知部１１７と、受信したデータフレームの内容に基づき、バスの混雑さの程度を示すバス負荷率Ｌを算出するバス負荷率計算部１１４と、算出したバス負荷率に応じて閾値を決定する受信周期閾値計算部１１５と、を備える。

受信周期閾値計算部１１５は、例えば、バス負荷率がバスの混雑さの程度がより高いことを示すほど、正常周期範囲Ｗがより広くなるように閾値（例えば、Ｔｈmin、Ｔｈmax、またはΔｍｌ、Δｍｈ）を決定する。

ビットカウント部１１３は、検査対象の種類のデータフレームの受信時刻ｔactが期待受信時刻ｔexpを超過しているか否かを判断する（Ｓ３１）。受信時刻ｔactが期待受信時刻ｔexpを超過している場合（Ｓ３１でＹＥＳ）、ビットカウント部１１３は、所定の受信時刻毎に、受信した全フレームそれぞれのビット数を合算してビット総数（Bit_sum）を算出することでバス負荷率ＬＢを算出する（Ｓ３２）。例えば、図５Ｂに示す例では、時刻「２０１１」におけるバス負荷率ＬＢは、２６１（＝１２１＋９５＋４５）となる。同様に、時刻「２０１２」におけるバス負荷率ＬＢは１４３（＝６８＋７５）となる。時刻「２０１３」におけるバス負荷率ＬＢは０となり、時刻「２０１４」におけるバス負荷率ＬＢは１１１となる。

（９）所定の周期でデータフレームが伝送されるバスに接続された機器への攻撃を検知する方法であって、
データフレームを受信するステップ（Ｓ１）と、
受信したデータフレームの内容に基づき、バスの混雑さの程度を示すバス負荷値を算出するステップ（Ｓ７、Ｓ３２）と、
算出したバス負荷値に基づき、データフレームの受信周期の正常範囲の閾値を決定するステップ（Ｓ９、Ｓ１１、Ｓ３４）と、
決定した閾値を用いて、検査対象のデータフレームの受信周期が正常範囲にあるか否かを判断するステップ（Ｓ１０、Ｓ１３、Ｓ５２、Ｓ５３）と、
その判断結果に基づき攻撃の有無を検知するステップ（Ｓ１２、Ｓ１６、Ｓ５２、Ｓ５６）と、を含む、
異常検知方法。

（１０）所定の周期でデータフレームが伝送されるバスに接続され、当該バスに接続された機器への攻撃を検知する異常検知装置を制御するプログラムであって、
当該プログラムは、異常検知装置の制御部に、
データフレームを受信するステップ（Ｓ１）と、
受信したデータフレームの内容に基づき、バスの混雑さの程度を示すバス負荷値を算出するステップ（Ｓ７、Ｓ３２）と、
算出したバス負荷値に基づき、データフレームの受信周期の正常範囲の閾値を決定するステップ（Ｓ９、Ｓ１１、Ｓ３４）と、
決定した閾値を用いて、検査対象のデータフレームの受信周期が正常範囲にあるか否かを判断するステップ（Ｓ１０、Ｓ１３、Ｓ５２、Ｓ５３）と、
その判断結果に基づき攻撃の有無を検知するステップ（Ｓ１２、Ｓ１６、Ｓ５２、Ｓ５６）と、を実行させる、
プログラム。

Claims

所定の周期でデータフレームが伝送されるバスに接続され、当該バスに接続された機器への攻撃を検知する装置であって、
前記バスに伝送されるデータフレームを受信するフレーム受信部と、
検査対象のデータフレームの受信周期が正常範囲にあるか否かを、正常範囲を示す閾値を用いて判断し、その判断結果に基づき攻撃の有無を検知する攻撃検知部と、
前記フレーム受信部が受信したデータフレームの内容に基づき前記バスの混雑さの程度を示すバス負荷値を算出するバス負荷計算部と、
前記バス負荷計算部が算出した前記バス負荷値に応じて前記閾値を決定する受信周期閾値計算部と、
を備えた異常検知装置。
前記受信周期閾値計算部は、前記バス負荷値がバスの混雑さの程度がより高いことを示すほど、前記正常範囲がより広くなるように前記閾値を決定する、
請求項１記載の異常検知装置。
前記バス上に複数種類のデータフレームが伝送され、データフレームの種類毎にデータフレームの送信に対する優先度が異なり、
前記攻撃検知部はさらに、前記バス負荷値が許容値以下であるときに、攻撃があったことを検知し、
前記許容値は前記データフレームの優先度が高いほど小さな値に設定される、
請求項１または２に記載の異常検知装置。
前記バス負荷値は、データフレームの受信時刻を含み正常周期範囲の幅を持つ期間における、前記バスで通信可能なビット総数に対する受信したデータのビット総数の比率である、
請求項１に記載の異常検知装置。
前記バス負荷値は、単位時間に受信したデータフレームのビット総数である、
請求項１に記載の異常検知装置。
前記受信周期閾値計算部は、データフレームの受信が期待される時刻である期待受信時刻の経過したデータフレームについて、前記バス負荷値が連続して所定値を超えた時間に応じて、前記閾値を決定する、
請求項５に記載の異常検知装置。
車両内のネットワークに接続される、請求項１ないし６のいずれか１つに記載の異常検知装置。
前記データフレームはＣＡＮ(Controller Area Network)プロトコルにしたがって伝送される、請求項７に記載の異常検知装置。
所定の周期でデータフレームが伝送されるバスに接続された機器への攻撃を検知する方法であって、
データフレームを受信するステップと、
受信したデータフレームの内容に基づき、前記バスの混雑さの程度を示すバス負荷値を算出するステップと、
前記算出したバス負荷値に基づき、データフレームの受信周期の正常範囲の閾値を決定するステップと、
前記決定した閾値を用いて、検査対象のデータフレームの受信周期が正常範囲にあるか否かを判断するステップと、
その判断結果に基づき攻撃の有無を検知するステップと、を含む、
異常検知方法。
前記バス負荷値がバスの混雑さの程度がより高いことを示すほど、前記正常範囲がより広くなるように前記閾値を決定する、
請求項９に記載の異常検知方法。
さらに、前記バス負荷値が許容値以下であるときに、攻撃があったことを検知するステップを含み、
前記バス上には複数種類のデータフレームが伝送され、データフレームの種類毎にデータフレームの送信に対する優先度が異なり、
前記許容値は、前記データフレームの優先度が高いほど小さな値に設定される、
請求項９または１０に記載の異常検知方法。
所定の周期でデータフレームが伝送されるバスに接続され、当該バスに接続された機器への攻撃を検知する異常検知装置を制御するプログラムであって、
前記プログラムは、前記異常検知装置の制御部に、
データフレームを受信するステップと、
前記受信したデータフレームの内容に基づき、前記バスの混雑さの程度を示すバス負荷値を算出するステップと、
前記算出したバス負荷値に基づき、データフレームの受信周期の正常範囲の閾値を決定するステップと、
前記決定した閾値を用いて、検査対象のデータフレームの受信周期が正常範囲にあるか否かを判断するステップと、
その判断結果に基づき攻撃の有無を検知するステップと、を実行させる、
プログラム。
前記バス負荷値がバスの混雑さの程度がより高いことを示すほど、前記正常範囲がより広くなるように前記閾値を決定する、
請求項１２に記載のプログラム。
さらに、前記バス負荷値が許容値以下であるときに、攻撃があったことを検知するステップを前記制御部に実行させ、
前記バス上には複数種類のデータフレームが伝送され、データフレームの種類毎にデータフレームの送信に対する優先度が異なり、
前記許容値は、前記データフレームの優先度が高いほど小さな値に設定される、
請求項１２または１３に記載のプログラム。