检测装置、车辆、检测方法及检测程序与流程

1.本发明涉及一种检测装置、车辆、检测方法及检测程序。
2.本技术基于2019年9月30日申请的日本技术特愿2019－178176号而要求优先权，在此引用其公开的全部内容。


背景技术：

3.在专利文献1(日本特开2014－146868号公报)公开了如下网络装置。即，网络装置具有：通信部，其接收数据；时间管理部，其对接收到数据的接收时间进行管理；以及控制部，其对接收到的数据进行处理，在周期性地接收数据并进行处理的网络装置中，所述控制部针对由所述通信部接收到的数据所具有的每个标识符，对所述时间管理部处的接收时刻进行记录，在接收到具有与作为基准的数据相同的标识符的数据的间隔短于规定周期的第1数据的情况下，在从接收到作为所述基准的数据的时刻至经过所述规定周期为止接收到具有与所述第1数据相同的标识符的第2数据时，进行周期异常检测时处理，在直至经过所述规定周期为止未接收到具有与所述第1数据相同的标识符的数据时，针对所述第1数据进行规定的处理。
4.另外，在专利文献2(日本特开2018－182725号公报)公开了如下不正当通信检测基准决定方法。即，不正当通信检测基准决定方法是由包含存储部的信息处理系统执行的、在包含网络及与所述网络连接的1个以上的电子控制单元在内的车载网络系统的不正当通信的检测中使用的基准消息的决定方法，包含如下步骤：通信模式识别步骤，从与针对所述车载网络系统的攻击消息相关的信息，对表示所述攻击消息的特征的通信模式进行识别；通信模式判定步骤，判定被送出至所述网络的消息是否适合于在所述通信模式识别步骤中识别出的通信模式；以及基准消息决定步骤，其使用所述通信模式判定步骤的判定结果，决定在判定被送出至所述网络的消息是否为攻击消息的基准中使用的基准消息。
5.专利文献1：日本特开2014－146868号公报
6.专利文献2：日本特开2018－182725号公报


技术实现要素：

7.本发明的检测装置对车载网络的不正当消息进行检测，所述检测装置具有：监视部，其将所述车载网络的周期性地发送的正当消息及所述不正当消息作为对象消息进行监视，并且对周期性地发送的基准消息进行监视；计算部，其基于由所述监视部得到的监视结果，对与所述对象消息的发送时刻相对应的时刻和与所述基准消息的发送时刻相对应的时刻之间的时间差进行计算；以及检测部，其基于由所述计算部计算出的所述时间差，执行对所述不正当消息进行检测的检测处理。
8.本发明的检测方法是对车载网络的不正当消息进行检测的检测装置的检测方法，所述检测方法包含如下步骤：将所述车载网络的周期性地发送的正当消息及所述不正当消息作为对象消息进行监视，并且对周期性地发送的基准消息进行监视；基于监视结果，对与
所述对象消息的发送时刻相对应的时刻和与所述基准消息的发送时刻相对应的时刻之间的时间差进行计算；以及基于计算出的所述时间差，执行对所述不正当消息进行检测的检测处理。
9.本发明的检测程序是在对车载网络的不正当消息进行检测的检测装置中使用的检测程序，所述检测程序用于使计算机作为如下各部起作用：监视部，其将所述车载网络的周期性地发送的正当消息及所述不正当消息作为对象消息进行监视，并且对周期性地发送的基准消息进行监视；计算部，其基于由所述监视部得到的监视结果，对与所述对象消息的发送时刻相对应的时刻和与所述基准消息的发送时刻相对应的时刻之间的时间差进行计算；以及检测部，其基于由所述计算部计算出的所述时间差，执行对所述不正当消息进行检测的检测处理。
10.本发明的一个方式能够作为实现检测装置的一部分或全部的半导体集成电路而实现，能够作为具有检测装置的系统而实现。另外，本发明的一个方式能够作为实现具有检测装置的系统的一部分或全部的半导体集成电路而实现，能够作为用于使计算机执行具有检测装置的系统的处理步骤的程序而实现。
附图说明
11.图1是表示本发明的实施方式涉及的车载通信系统的结构的图。
12.图2是表示本发明的实施方式涉及的总线连接装置组的结构的图。
13.图3是表示本发明的实施方式涉及的车载通信系统的网关装置的结构的图。
14.图4是表示本发明的实施方式涉及的车载通信系统的控制装置及网关装置的硬件结构的一个例子的图。
15.图4是表示本发明的实施方式涉及的车载通信系统的控制装置及网关装置的硬件结构的一个例子的图。
16.图5是表示本发明的实施方式涉及的车载通信系统的对象消息及基准消息的接收时刻的分布的一个例子的图。
17.图6是表示本发明的实施方式涉及的车载通信系统的对象消息及基准消息的接收时刻的分布的其他例的图。
18.图7是表示本发明的实施方式涉及的车载通信系统的对象消息及基准消息的接收时刻的分布的其他例的图。
19.图8是表示本发明的实施方式涉及的车载通信系统的对象消息及基准消息的接收时刻的分布的一个例子的图。
20.图9是表示在将本发明的实施方式涉及的车载通信系统的所有的对象消息设为正当消息时计算出的马氏距离的频数分布的一个例子的图。
21.图10是表示本发明的实施方式涉及的车载通信系统的基准消息的接收时刻的分布的一个例子的图。
22.图11是表示本发明的实施方式涉及的车载通信系统的基准消息的接收时刻的分布的其他例的图。
23.图12是表示本发明的实施方式涉及的车载通信系统的对象消息的接收时刻和基准消息的接收时刻的关系的一个例子的图。
24.图13是表示本发明的实施方式涉及的车载通信系统的对象消息的接收时刻和基准消息的接收时刻的关系的其他例的图。
25.图14是表示本发明的实施方式涉及的车载通信系统的对象消息的接收时刻和基准消息的接收时刻的关系的其他例的图。
26.图15是表示本发明的实施方式涉及的车载通信系统的对象消息及基准消息的接收时刻的分布的一个例子的图。
27.图16是规定本发明的实施方式涉及的车载通信系统中网关装置执行检测处理时的动作流程的一个例子的流程图。
28.图17是规定本发明的实施方式涉及的车载通信系统中网关装置执行检测处理时的动作流程的其他例的流程图。
29.图18是规定本发明的实施方式涉及的车载通信系统的网关装置的检测处理的一个例子的流程图。
30.图19是规定本发明的实施方式涉及的车载通信系统的网关装置的检测处理的其他例的流程图。
31.图20是表示本发明的实施方式涉及的车载网络的连接拓扑的一个例子的图。
具体实施方式
32.以往，开发有用于提高车载网络的安全的技术。
33.[本发明要解决的课题]
[0034]
希望一种能够超越上述专利文献1及2所记载的技术而更准确地对车载网络中的不正当消息进行检测的技术。
[0035]
本发明就是为了解决上述课题而提出的，其目的在于，提供能够更准确地对车载网络的不正当消息进行检测的检测装置、车辆、检测方法及检测程序。
[0036]
[本发明的效果]
[0037]
根据本发明，能够更准确地对车载网络中的不正当消息进行检测。
[0038]
[本发明的实施方式的说明]
[0039]
首先，列举本发明的实施方式的内容而进行说明。
[0040]
(1)本发明的实施方式涉及的检测装置对车载网络的不正当消息进行检测，所述检测装置具有：监视部，其将所述车载网络的周期性地发送的正当消息及所述不正当消息作为对象消息进行监视，并且对周期性地发送的基准消息进行监视；计算部，其基于由所述监视部得到的监视结果，对与所述对象消息的发送时刻相对应的时刻和与所述基准消息的发送时刻相对应的时刻之间的时间差进行计算；以及检测部，其基于由所述计算部计算出的所述时间差，执行对所述不正当消息进行检测的检测处理。
[0041]
如上所述，基于与对象消息的发送时刻相对应的时刻和与基准消息的发送时刻相对应的时刻之间的时间差，执行检测处理，通过上述这样的结构，能够将与基准消息的发送时刻相对应的时刻作为基准而执行检测处理，因此能够避免发生因将对象消息所包含的不正当消息的接收时刻作为基准而执行检测处理引起的误检测。因此，能够更准确地对车载网络的不正当消息进行检测。
[0042]
(2)优选地，所述正当消息的发送周期及所述基准消息的发送周期互不相同，所述
检测部按照判定基准而判定所述对象消息是否为所述不正当消息，作为检测处理，所述检测部一边对多个所述判定基准进行切换一边执行所述检测处理。
[0043]
根据上述结构，能够与基于正当消息的发送周期和基准消息的发送周期之差的时间差的变化相对应地，一边对多个判定基准进行切换一边执行检测处理，因此可以实现能够将各种各样的发送周期的周期消息用作基准消息的灵活的检测处理。
[0044]
(3)更优选地，所述检测部在所述检测处理中使用的所述判定基准的数量是基于所述正当消息的发送周期和所述基准消息的发送周期的最小公倍数及所述正当消息的发送周期而决定的。
[0045]
根据上述结构，能够与基于正当消息的发送周期和基准消息的发送周期之差的时间差的大小相应地，按照多个判定基准而判定对象消息是否为不正当消息，因此例如能够针对所有的对象消息，进行是否为不正当消息的判定。
[0046]
(4)优选地，所述检测装置还具有异常检测部，该异常检测部基于由所述监视部得到的监视结果，对所述基准消息的异常进行检测，在检测出所述异常的情况下，执行规定的处理。
[0047]
根据上述结构，能够使得在检测出基准消息的异常的情况下，例如不执行将与该基准消息的发送时刻相对应的时刻作为基准的检测处理，因此能够抑制发生误检测。
[0048]
(5)优选地，所述检测部基于与作为所述对象消息的第1对象消息的发送时刻相对应的时刻和与所述基准消息的发送时刻相对应的时刻之间的所述时间差、及与作为在所述第1对象消息之后发送的所述对象消息的第2对象消息的发送时刻相对应的时刻和与所述基准消息的发送时刻相对应的时刻之间的所述时间差，对与所述第1对象消息相关的异常进行检测。
[0049]
根据上述结构，即使在例如将与基准消息的发送时刻相对应的时刻作为基准而判定为正常的时间内发送了多个对象消息的情况下、在将例如包含实际上为不正当消息的该多个对象消息误判定为正当消息的情况下，也能够判断为该多个对象消息有可能是异常的。如上所述，能够对在检测处理中无法检测的不正当消息进行例如灰色判定。
[0050]
(6)优选地，所述监视部对所述检测装置接收的所述对象消息及所述检测装置接收的所述基准消息进行监视，所述检测部按照判定基准而判定所述对象消息是否为所述不正当消息，作为检测处理，所述判定基准是基于由发送所述基准消息的车载装置的振荡器产生的抖动、及由所述检测装置的振荡器产生的抖动而设定的。
[0051]
根据上述结构，例如能够基于考虑到因由车载装置的振荡器产生的抖动引起的消息的发送时刻的误差、及因由检测装置的振荡器产生的抖动引起的消息的接收时刻的误差的判断基准，执行更准确的检测处理。
[0052]
(7)本发明的实施方式涉及的车辆具有所述检测装置。
[0053]
根据上述结构，在具有检测装置的车辆，能够更准确地对车载网络的不正当消息进行检测。
[0054]
(8)本发明的实施方式涉及的检测方法是对车载网络的不正当消息进行检测的检测装置的检测方法，所述检测方法包含如下步骤：将所述车载网络的周期性地发送的正当消息、及所述不正当消息作为对象消息进行监视，并且对周期性地发送的基准消息进行监视；基于监视结果，对与所述对象消息的发送时刻相对应的时刻和与所述基准消息的发送
时刻相对应的时刻之间的时间差进行计算；以及基于计算出的所述时间差，执行对所述不正当消息进行检测的检测处理。
[0055]
如上所述，基于与对象消息的发送时刻相对应的时刻和与基准消息的发送时刻相对应的时刻之间的时间差，执行检测处理，通过上述这样的方法，能够将与基准消息的发送时刻相对应的时刻作为基准而执行检测处理，因此能够避免发生因将对象消息所包含的不正当消息的接收时刻作为基准而执行检测处理引起的误检测。因此，能够更准确地对车载网络的不正当消息进行检测。
[0056]
(9)本发明的实施方式涉及的检测程序是在对车载网络的不正当消息进行检测的检测装置中使用的检测程序，所述检测程序用于使计算机作为如下各部起作用：监视部，其将所述车载网络的周期性地发送的正当消息及所述不正当消息作为对象消息进行监视，并且对周期性地发送的基准消息进行监视；计算部，其基于由所述监视部得到的监视结果，对与所述对象消息的发送时刻相对应的时刻和与所述基准消息的发送时刻相对应的时刻之间的时间差进行计算；以及检测部，其基于由所述计算部计算出的所述时间差，执行对所述不正当消息进行检测的检测处理。
[0057]
如上所述，基于与对象消息的发送时刻相对应的时刻和与基准消息的发送时刻相对应的时刻之间的时间差，执行检测处理，通过上述这样的结构，能够将与基准消息的发送时刻相对应的时刻作为基准而执行检测处理，因此能够避免发生因将对象消息所包含的不正当消息的接收时刻作为基准而执行检测处理引起的误检测。因此，能够更准确地对车载网络中的不正当消息进行检测。
[0058]
以下，使用附图对本发明的实施方式进行说明。此外，对图中相同或相当部分标注相同标号，不重复其说明。另外，可以任意地将以下所记载的实施方式的至少一部分进行组合。
[0059]
[结构及基本动作]
[0060]
图1是表示本发明的实施方式涉及的车载通信系统的结构的图。
[0061]
参照图1，车载通信系统301具有网关装置101、多个车载通信机111及多个总线连接装置组121。网关装置101是检测装置的一个例子。车载通信系统301搭载于车辆1。
[0062]
图2是表示本发明的实施方式涉及的总线连接装置组的结构的图。
[0063]
参照图2，总线连接装置组121包含多个控制装置122。此外，总线连接装置组121不限于具有多个控制装置122的结构，也可以是包含1个控制装置122的结构。
[0064]
车载网络12包含多个作为车辆1的内部装置的车载装置。具体而言，车载网络12包含作为车载装置的一个例子的多个车载通信机111及多个控制装置122。此外，车载网络12只要是包含多个车载装置的结构，则可以是包含多个车载通信机111且不包含控制装置122的结构，可以是不包含车载通信机111且包含多个控制装置122的结构，也可以是包含1个车载通信机111及1个控制装置122的结构。
[0065]
在车载网络12中，车载通信机111例如与车辆1的外部装置通信。具体而言，车载通信机111例如是tcu(telematics communication unit)、近距离无线终端装置、及its(intelligent transport systems)无线机。
[0066]
tcu例如能够按照lte(long term evolution)或3g等的通信标准而与无线站点装置进行无线通信，并且能够与网关装置101进行通信。tcu例如对在导航、车辆防盗、远程维
护及fota(firmware over the air)等服务使用的信息进行中继。
[0067]
近距离无线终端装置例如能够按照wi－fi(注册商标)及bluetooth(注册商标)等通信标准，与乘坐车辆1的人即搭乘者所持有的智能机等无线终端装置进行无线通信，并且能够与网关装置101进行通信。该近距离无线终端装置例如对在娱乐等服务使用的信息进行中继。
[0068]
另外，近距离无线终端装置例如能够按照规定的通信标准，与搭乘者所持有的智能钥匙等无线终端装置、及设置于轮胎的无线终端装置使用lf(low frequency)频带或uhf(ultra high frequency)频带的电波而进行无线通信，并且能够与网关装置101进行通信。该近距离无线终端装置例如对在智能入口及tpms(tire pressure monitoring system)等服务使用的信息进行中继。
[0069]
its无线机例如能够与设置于道路附近的光信标、电波信标及its区等的路边机进行路车间通信，能够与搭载于其他车辆的车载终端进行车车间通信，并且能够与网关装置101进行通信。its无线机例如对在缓解拥堵、安全驾驶辅助及路线指引等服务使用的信息进行中继。
[0070]
网关装置101例如能够经由端口112而与车辆1的外部的维护用终端装置对固件更新等的数据、及由网关装置101累积的数据等进行收发。
[0071]
网关装置101例如经由总线13、14与车载装置连接。具体而言，总线13、14例如是依照can(controller area network)(注册商标)、flexray(注册商标)、most(media oriented systems transport)(注册商标)、以太网(注册商标)、及lin(local interconnect network)等标准的总线。
[0072]
在该例中，车载通信机111经由依照以太网的标准的对应的总线14与网关装置101连接。另外，总线连接装置组121的各控制装置122经由依照can的标准的对应的总线13与网关装置101连接。
[0073]
总线13例如针对每个系统而设置。具体而言，总线13例如是驱动系统总线、底盘/安全系统总线、车身/电子系统总线及av/信息系统总线。
[0074]
在驱动系统总线连接有作为控制装置122的一个例子的发动机控制装置、at(automatic transmission)控制装置及hev(hybrid electric vehicle)控制装置。发动机控制装置、at控制装置及hev控制装置分别对发动机、at、及发动机和电动机的切换进行控制。
[0075]
在底盘/安全系统总线连接有作为控制装置122的一个例子的制动控制装置、消息控制装置及转向控制装置。制动控制装置、消息控制装置及转向控制装置分别对制动、底盘及转向进行控制。
[0076]
在车身/电子系统总线连接有作为控制装置122的一个例子的仪表显示控制装置、空调控制装置、防盗控制装置、气囊控制装置及智能入口控制装置。仪表显示控制装置、空调控制装置、防盗控制装置、气囊控制装置及智能入口控制装置分别对仪表、空调、防盗机构、气囊机构及智能入口进行控制。
[0077]
在av/信息系统总线连接有作为控制装置122的一个例子的导航控制装置、音频控制装置、etc(electronic toll collection system)(注册商标)控制装置及电话控制装置。导航控制装置、音频控制装置、etc控制装置及电话控制装置分别对导航装置、音频装
置、etc装置及移动电话进行控制。
[0078]
另外，对于总线13不限于与控制装置122连接的结构，也可以与控制装置122以外的装置连接。
[0079]
网关装置101例如是中央网关(central gateway：cgw)，能够与车载装置进行通信。
[0080]
网关装置101例如执行对在车辆1中与不同的总线13连接的控制装置122之间交换的信息、各车载通信机111之间交换的信息、控制装置122及车载通信机111之间交换的信息进行中继的中继处理。
[0081]
更详细而言，在车辆1，例如按照规定的安排从某个车载装置向其他车载装置周期性地发送消息。在该例中，针对从某个控制装置122向其他控制装置122周期性地发送的消息进行说明，但针对在控制装置122及车载通信机111间发送的消息、以及在各车载通信机111间发送的消息也相同。
[0082]
消息的发送可以通过广播而进行，可以通过单播而进行，也可以通过多播而进行。以下，也将周期性地发送的消息称为周期消息。
[0083]
在车辆1，除了周期消息以外，还存在从某个控制装置122向其他控制装置122不定期地发送的消息。消息包含用于识别消息的内容、发送源及消息编号等的id(identifier)。能够通过消息所包含的id而识别该消息是否为周期消息。
[0084]
[网关装置的结构]
[0085]
图3是表示本发明的实施方式涉及的车载通信系统的网关装置的结构的图。
[0086]
参照图3，网关装置101具有通信处理部51、监视部52、计算部53、检测部54、存储部55及异常检测部56。存储部55例如例如是闪存。通信处理部51、监视部52、计算部53、检测部54及异常检测部56例如由cpu(central processing unit)及dsp(digital signal processor)等处理器实现。
[0087]
网关装置101作为检测装置起作用，执行对车载网络12的不正当消息进行检测的检测处理。
[0088]
[通信处理部]
[0089]
通信处理部51执行对在控制装置122之间传送的消息进行中继的中继处理。
[0090]
例如，通信处理部51如果从某个控制装置122经由对应的总线13而接收到消息，则向接收到的消息赋予表示该消息的接收时刻的时间戳。而且，通信处理部51将赋予了时间戳的消息经由对应的总线13而向其他控制装置122发送。
[0091]
[监视部]
[0092]
监视部52将正当的周期消息及不正当消息作为对象消息ma进行监视，并且对周期性地发送的基准消息mb进行监视，该对象消息ma是成为网关装置101的检测处理的对象的消息。
[0093]
更详细而言，监视部52对车载网络12的2种周期消息m1、m2进行监视。
[0094]
例如，周期消息m1、m2是id互不相同的消息。具体而言，周期消息m1、m2的发送源地址及发送目标地址中的至少一者互不相同。或者，周期消息m1、m2的ip头部的端口编号互不相同。
[0095]
图4是表示本发明的实施方式涉及的车载通信系统的控制装置及网关装置的硬件
结构的一个例子的图。
[0096]
参照图4，作为控制装置122的一个例子的控制装置122a具有振荡器131a、cpu(central processing unit)132a及can收发器133a。另外，作为控制装置122的一个例子的控制装置122b具有振荡器131b、cpu 132b及can收发器133b。
[0097]
网关装置101具有cpu 141、can收发器142及振荡器143。cpu 141实现监视部52、计算部53及检测部54的一部分或全部。can收发器142实现通信处理部51的一部分或全部。
[0098]
控制装置122a以发送周期ta对周期消息m1进行发送。更详细而言，控制装置122a的cpu 132a按照基于来自振荡器131a的振荡信号而生成的时钟的定时，经由can收发器133a对周期消息m1进行广播或单播。
[0099]
控制装置122b以发送周期tb对周期消息m2进行发送。更详细而言，控制装置122b的cpu 132b按照基于来自振荡器131b的振荡信号而生成的时钟的定时，经由can收发器133b对周期消息m2进行广播或单播。
[0100]
网关装置101的can收发器142按照基于来自振荡器143的振荡信号而生成的时钟的定时，向从控制装置122a接收到的周期消息m1赋予表示接收时刻的时间戳。另外，can收发器142按照基于来自振荡器143的振荡信号而生成的时钟的定时，向从控制装置122b接收到的周期消息m2赋予表示接收时刻的时间戳。
[0101]
从控制装置122a接收到的消息及从控制装置122b接收到的消息中的任一者是对象消息ma，周期消息m1、m2中的另一者是在检测处理中在是否为不正当消息的判定时所使用的消息即基准消息mb。以下，作为一个例子，将从控制装置122a接收到的消息设为对象消息ma，将从控制装置122b接收到的消息设为基准消息mb。
[0102]
例如，网关装置101从控制装置122a接收的消息的一部分是不正当消息。监视部52将来自控制装置122a的正当的周期消息m1及不正当消息作为对象消息ma进行监视，并且将来自控制装置122b的周期消息m2作为基准消息mb进行监视。
[0103]
监视部52对由通信处理部51中继的消息进行监视，由此取得对象消息ma的接收时刻ta及基准消息mb的接收时刻tb。
[0104]
例如，存储部55存储有对象消息ma的id及基准消息mb的id。以下，也将对象消息ma的id称作对象id，将基准消息mb的id称作基准id。
[0105]
如果通信处理部51接收到应当执行中继处理的消息，则监视部52对由通信处理部51接收到的消息所包含的id、和存储部55中的对象id及基准id进行确认。
[0106]
而且，监视部52在由通信处理部51接收到的消息所包含的id与对象id一致的情况下，识别为由通信处理部51接收到的消息是对象消息ma，通过参照对该对象消息ma赋予的时间戳而取得对象消息ma的接收时刻ta。
[0107]
监视部52如果取得接收时刻ta，则将表示所取得的接收时刻ta的接收信息与表示是由通信处理部51第几个接收到的对象消息ma的接收编号n1相关联地保存至存储部55。
[0108]
另外，监视部52在由通信处理部51接收到的消息所包含的id与基准id一致的情况下，识别为由通信处理部51接收到的消息是基准消息mb，参照对该基准消息mb赋予的时间戳，由此取得基准消息mb的接收时刻tb。
[0109]
监视部52如果取得接收时刻tb，则将表示所取得的接收时刻tb的接收信息与表示由通信处理部51第几个接收到的基准消息mb的接收编号n2相关联地保存至存储部55。
[0110]
[计算部]
[0111]
计算部53基于由监视部52得到的监视结果，计算出与对象消息ma的发送时刻相对应的时刻和与基准消息mb的发送时刻相对应的时刻之间的时间差。
[0112]
更详细而言，计算部53基于保存于存储部55的接收信息，计算出对象消息ma的接收时刻ta和基准消息mb的接收时刻tb之间的时间差。
[0113]
(计算例1)
[0114]
图5是表示本发明的实施方式涉及的车载通信系统的对象消息及基准消息的接收时刻的分布的一个例子的图。在图5中，横轴表示时刻。另外，图5表示在所有的对象消息ma是正当消息的情况下对象消息ma的发送周期ta和基准消息mb的发送周期tb相等的情况。
[0115]
参照图5，例如，计算部53基于保存于存储部55的接收信息，计算出接收编号n1为p的第p个对象消息map的接收时刻tap、和接收编号n2为q的第q个基准消息mbq的接收时刻tbq之间的时间差xp。这里，p为1以上的整数。q为1以上的整数。例如，q与p相等。
[0116]
第p个对象消息map的接收时刻tap由以下的式(1)表示。
[0117]
[数式1]
[0118][0119]
另外，第q个基准消息mbq的接收时刻tbq由以下的式(2)表示。
[0120]
[数式2]
[0121][0122]
这里，e1是因由控制装置122a的振荡器131a产生的抖动引起的消息的发送时刻的误差。e2是因由控制装置122b的振荡器131b产生的抖动引起的消息的发送时刻的误差。e3是因由网关装置101的振荡器143产生的抖动引起的消息的接收时刻的误差。此外，e1、e2、e3分别是由振荡器131a、131b、143的制造工序、使用环境及历时老化等产生的误差。
[0123]
另外，ai是来自控制装置122a的第i个消息的由总线13的冲突及发送待机延迟产生的延迟时间。bi是来自控制装置122a的第i个消息的由总线13的冲突及发送待机延迟产生的延迟时间。s1是对象消息ma的发送周期ta和基准消息mb的发送周期tb之间的相位差即偏移。
[0124]
另外，时间差xp通过从式(1)减去式(2)而由以下的式(3)表示。此外，在式(3)，设为q＝p。
[0125]
[数式3]
[0126][0127]
这里，如上述那样，发送周期ta和发送周期tb互不相等。另外，延迟时间ai、bi分别与通信状况相应地各自独立地反复增减，因此，式(3)中的西格玛项能够置换为不是单调递增而是在某个数值范围内反复增减的误差error1。并且，如果假设基于振荡器131a的振荡信号的误差的误差e1、和基于振荡器131b的振荡信号的误差的误差e2相等，则时间差xp能够由以下的式(4)表示。
[0128]
[数式4]
[0129][0130]
因此，时间差xp成为不依赖于接收编号n1、n2的值，时间差xp的概率分布例如为正态分布。
[0131]
如果由监视部52将接收信息保存至存储部55，则计算部53基于保存于存储部55的接收信息，对接收时刻tap和接收时刻tbp之间的时间差xp进行计算，将表示计算出的时间差xp的时间差信息保存至存储部55。
[0132]
(计算例2)
[0133]
图6是表示本发明的实施方式涉及的车载通信系统的对象消息及基准消息的接收时刻的分布的其他例的图。在图6中，横轴表示时刻。另外，图6表示在所有的对象消息ma是正当消息的情况下基准消息mb的发送周期tb短于对象消息ma的发送周期ta的情况。具体而言，图6表示发送周期tb为3秒、发送周期ta为7秒的情况。
[0134]
参照图6，例如计算部53基于保存于存储部55的接收信息，对第p个对象消息map的接收时刻tap、和在紧随接收时刻tap之前接收到的第q个基准消息mbq的接收时刻tbq之间的时间差xp进行计算。
[0135]
对象消息map的发送时刻和基准消息mbq的发送时刻之间的时间差在理论上以发送周期ta和发送周期tb的最小公倍数l的周期发生变化。在图6所示的例子中，发送周期tb为3秒、发送周期ta为7秒，因此，最小公倍数l为21秒。
[0136]
如果将l除以ta得到的值设为l1，则第(l1
×
k 1)个对象消息ma(l1
×
k 1)的接收时刻ta(l1
×
k 1)由以下的式(5)表示。
[0137]
[数式5]
[0138][0139]
另外，如果将l除以tb得到的值设为l2，则第(l2
×
k 1)个基准消息mb(l2
×
k 1)的接收时刻tb(l2
×
k 1)由以下的式(6)表示。
[0140]
[数式6]
[0141][0142]
这里，e4是因由控制装置122a的振荡器131a产生的抖动引起的消息的发送时刻的误差。e5是因由控制装置122b的振荡器131b产生的抖动引起的消息的发送时刻的误差。e6是因由网关装置101的振荡器143产生的抖动引起的消息的接收时刻的误差。此外，e4、e5、e6分别是由振荡器131a、131b、143的制造工序、使用环境及历时老化等产生的误差。
[0143]
另外，ci是来自控制装置122a的第i个消息的由总线13的冲突及发送待机延迟产生的延迟时间。di是来自控制装置122a的第i个消息的由总线13的冲突及发送待机延迟产生的延迟时间。s2是对象消息ma的发送周期ta和基准消息mb的发送周期tb之间的相位差即偏移。
[0144]
另外，时间差x(l1
×
k 1)通过从式(5)减去式(6)而由以下的式(7)表示。
[0145]
[数式7]
[0146][0147]
这里，延迟时间ci、di分别与通信状况相应地各自独立地反复增减，因此，式(7)中的西格玛项能够置换为不是单调递增而是在某个数值范围内反复增减的误差error2。另外，如果假设基于振荡器131a的振荡信号的误差的误差e4、和基于振荡器131b的振荡信号的误差的误差e5相等，则时间差x(l1
×
k 1)能够由以下的式(8)表示。
[0148]
[数式8]
[0149]
x(l1 k 1)＝s2 error2
…
(8)
[0150]
因此，时间差x(l1
×
k 1)成为不依赖于接收编号n1、n2的值，时间差x(l1
×
k 1)的概率分布例如为正态分布。
[0151]
如果由监视部52将接收信息保存至存储部55，则计算部53基于保存于存储部55的接收信息，对接收时刻tap和接收时刻tbq之间的时间差xp进行计算，将表示计算出的时间差xp的时间差信息保存至存储部55。
[0152]
(计算例3)
[0153]
图7是表示本发明的实施方式涉及的车载通信系统的对象消息及基准消息的接收时刻的分布的其他例的图。在图7中，横轴表示时刻。另外，图7表示在所有的对象消息ma是正当消息的情况下对象消息ma的发送周期ta短于基准消息mb的发送周期tb的情况。具体而言，图7表示发送周期ta为3秒、发送周期tb为7秒的情况。
[0154]
参照图7，例如计算部53基于保存于存储部55的接收信息，对第p个对象消息map的接收时刻tap、和在紧随接收时刻tap之前接收到的第q个基准消息mbq的接收时刻tbq之间的时间差xp进行计算。这里，p为1以上的整数。q为1以上的整数。
[0155]
对象消息map的发送时刻和基准消息mbq的发送时刻之间的时间差在理论上以发送周期ta和发送周期tb的最小公倍数l秒的周期发生变化。在图7所示的例子中，发送周期tb为7秒、发送周期ta为3秒，因此，最小公倍数l为21。
[0156]
如果将l除以ta得到的值设为l1，则第(l1
×
k 1)个对象消息ma(l1
×
k 1)的接收时刻ta(l1
×
k 1)由以下的式(9)表示。
[0157]
[数式9]
[0158][0159]
另外，如果将l除以tb得到的值设为l2，则第(l2
×
k 1)个基准消息mb(l2
×
k 1)的接收时刻tb(l2
×
k 1)由以下的式(10)表示。
[0160]
[数式10]
[0161][0162]
这里，e7是因由控制装置122a的振荡器131a产生的抖动引起的消息的发送时刻的误差。e8是因由控制装置122b的振荡器131b产生的抖动引起的消息的发送时刻的误差。e9是因由网关装置101的振荡器143产生的抖动引起的消息的接收时刻的误差。此外，e7、e8、e9分别是由振荡器131a、131b、143的制造工序、使用环境及历时老化等产生的误差。
[0163]
另外，ei是来自控制装置122a的第i个消息的由总线13的冲突及发送待机延迟产生的延迟时间。fi是来自控制装置122a的第i个的消息的由总线13的冲突及发送待机延迟产生的延迟时间。s2是对象消息ma的发送周期ta和基准消息mb的发送周期tb之间的相位差即偏移。
[0164]
另外，时间差x(l1
×
k 1)通过从式(9)减去式(10)而由以下的式(11)表示。
[0165]
[数式11]
[0166][0167]
这里，延迟时间ei、fi分别与通信状况相应地各自独立地反复增减，因此，式(11)中的西格玛项能够置换为不是单调递增而是在某个数值范围内反复增减的误差error3。另外，如果假设基于振荡器131a的振荡信号的误差的误差e7、和基于振荡器131b的振荡信号的误差的误差e8相等，则时间差x(l1
×
k 1)能够由以下的式(12)表示。
[0168]
[数式12]
[0169]
x(l1 k 1)＝s2 error3
…
(12)
[0170]
因此，时间差x(l1
×
k 1)成为不依赖于接收编号n1、n2的值，时间差x(l1
×
k 1)的概率分布例如为正态分布。
[0171]
如果由监视部52将接收信息保存至存储部55，则计算部53基于保存于存储部55的接收信息，对接收时刻tap和接收时刻tbq之间的时间差xp进行计算，将表示计算出的时间差xp的时间差信息保存至存储部55。
[0172]
(计算例4)
[0173]
图8是表示本发明的实施方式涉及的车载通信系统的对象消息及基准消息的接收时刻的分布的一个例子的图。在图8中，横轴表示时刻。另外，图8表示在所有的对象消息ma是正当消息的情况下对象消息ma的发送周期ta、基准消息mbx的发送周期tbx、基准消息mby的发送周期tby及基准消息mbz的发送周期tbz相等的情况。
[0174]
参照图8，例如，计算部53基于保存于存储部55的接收信息，对第p个对象消息map的接收时刻tap和第q个基准消息mbxq的接收时刻tbxq之间的时间差xxq进行计算。另外，计算部53基于保存于存储部55的接收信息，对第q个对象消息maq的接收时刻taq和第q个基准消息mbyq的接收时刻tbyq之间的时间差xyq进行计算。并且，计算部53基于保存于存储部55的接收信息，对第q个对象消息maq的接收时刻taq和第q个基准消息mbzq的接收时刻tbzq之间的时间差xzq进行计算。
[0175]
如果由监视部52将接收信息保存至存储部55，则计算部53基于保存于存储部55的接收信息，作为时间差xp而对时间差xxp、xyp、xzp进行计算，将表示计算出的时间差xxp、xyp、xzp的时间差信息保存至存储部55。
[0176]
[检测部]
[0177]
检测部54基于由计算部53计算出的时间差xp，执行对不正当消息进行检测的检测处理。
[0178]
更详细而言，检测部54按照判定基准而判定对象消息ma是否为不正当消息，作为检测处理。
[0179]
上述判定基准例如是基于由对基准消息mb进行发送的控制装置122b的振荡器
131b产生的抖动、及由网关装置101的振荡器143产生的抖动而设定的。具体而言，上述判定基准例如是基于因由振荡器131b产生的抖动引起的消息的发送时刻的误差、及因由振荡器143产生的抖动引起的消息的接收时刻的误差而设定的。
[0180]
例如，如果由计算部53将时间差信息保存至存储部55，则检测部54对时间差信息所表示的时间差xp的统计距离进行计算，对计算出的统计距离和阈值th进行比较。而且，检测部54基于统计距离和阈值th的比较结果，判定对象消息ma是否为不正当消息。
[0181]
例如，检测部54按照以下的式(13)，对统计距离的一个例子即马氏距离d＾2进行计算。此外，“d＾2”是指d的2次方。
[0182]
[数式13]
[0183][0184]
检测部54在计算出的马氏距离d＾2为阈值th以下的情况下，判断为对象消息ma是正当消息。另一方面，检测部54在计算出的马氏距离d＾2大于阈值th的情况下，判断为对象消息ma是不正当消息。
[0185]
在与计算出的马氏距离d＾2的比较中使用的阈值th优选为适当的值，以使得能够准确地判断在对象消息ma之中是否存在不正当消息。
[0186]
例如，车辆1的制造者预先利用与车辆1相同种类的测试车辆的网关装置101，使用在将所有的对象消息ma设为正当消息时由计算部53计算出的时间差xp，对马氏距离d＾2进行计算。
[0187]
图9是表示在将本发明的实施方式涉及的车载通信系统的所有的对象消息设为正当消息时计算出的马氏距离的频数分布的一个例子的图。
[0188]
参照图9，使用在所有的对象消息ma是正当消息时的时间差xp而计算出的马氏距离d＾2越大，则频数越小。
[0189]
例如，检测部54优选在启动时从存储部55取得图9所示的马氏距离d＾2的频数分布，以使得在fpr(false positive rate)为零的范围阈值th1成为最小的方式，对阈值th1进行设定。这里，fpr是误报率，由假正性/(假正性 真负性)表示。真负性是指将正当消息识别为正当消息的频数，假正性是指将正当消息检测为不正当消息的频数。此外，存储部55可以是对由车辆1的制造者预先决定的阈值th1进行存储的结构。在该情况下，检测部54在启动时从存储部55取得该阈值th1。
[0190]
检测部54将判断信息向信息处理部51输出，该判断信息表示基于马氏距离d＾2及阈值th的判断结果。
[0191]
通信处理部51在从检测部54收到的判断信息表示对象消息ma是正当消息的情况下，将该对象消息ma向发送目标的控制装置122发送。
[0192]
另一方面，通信处理部51在从检测部54收到的判断信息表示对象消息ma是不正当消息的情况下，执行以下的处理。
[0193]
即，通信处理部51对判断信息表示的对象消息ma进行记录。另外，通信处理部51将表示在总线13中传送着不正当消息这一情况的警报信息向车辆1内或车辆1外的上位装置发送。
[0194]
[异常检测部]
[0195]
异常检测部56基于由监视部52得到的监视结果，对基准消息mb的异常进行检测，在检测出异常的情况下，执行规定的处理。
[0196]
更详细而言，异常检测部56基于保存于存储部55的接收信息、及基准消息mb的发送周期tb，对基准消息mb的异常进行检测。
[0197]
例如，存储部55存储有在对基准消息mb的异常进行检测时使用的判断基准即规定的阈值thb。
[0198]
图10是表示本发明的实施方式涉及的车载通信系统的基准消息的接收时刻的分布的一个例子的图。在图10中，横轴表示时刻。
[0199]
参照图10，异常检测部56基于基准消息mb(q－1)的接收时刻tb(q－1)及阈值thb，设定用于对下一个基准消息mbq的异常进行检测的阈值thbq1、thbq2，该阈值thbq1、thbq2对基准消息mbq的接收时刻tbq的容许范围进行规定。
[0200]
而且，如果下一个基准消息mbq的接收时刻tbq被保存至存储部55，则异常检测部56对存储部55的接收时刻tbq和所设定的阈值thbq1、thbq2进行比较。
[0201]
异常检测部56在接收时刻tbq为阈值thbq1以上而阈值thbq2以下的情况、即接收时刻tbq处于由阈值thbq1、thbq2规定的容许范围内的情况下，判断为基准消息mbq正常。
[0202]
另一方面，异常检测部56在接收时刻tbq小于阈值thbq1或大于阈值thbq2的情况、即接收时刻tbq处于由阈值thbq1、thbq2规定的容许范围外的情况下，判断为基准消息mbq异常。异常检测部56如果判断为基准消息mbq异常，则将表示判断为异常的基准消息mbq的异常判定信息向计算部53通知。
[0203]
例如，如果从异常检测部56接收到异常判定信息，则计算部53使用接收到的异常判定信息所表示的基准消息mb以外的基准消息mb的接收时刻tb，对时间差xp进行计算。或者，如果从异常检测部56接收到异常判定信息，则计算部53停止进行时间差xp的计算。
[0204]
再次参照图8，在例如作为存储部55的接收信息而保存有多种基准消息mb的接收时刻tb的情况下，异常检测部56对各种基准消息mb的异常进行检测。
[0205]
例如，异常检测部56基于基准消息mbq的接收时刻tbq、在基准消息mbq之后发送的下一个基准消息mb(q 1)的接收时刻tb(q 1)，对与基准消息mbq相关的异常进行检测。
[0206]
图11是表示本发明的实施方式涉及的车载通信系统的基准消息的接收时刻的分布的其他例的图。在图11中，横轴表示时刻。
[0207]
参照图11，异常检测部56在将接收时刻tbq处于由阈值thbq1、thbq2规定的容许范围内的基准消息mbq判断为正常之后，在基准消息mbq之后发送的下一个基准消息mb(q 1)的接收时刻tb(q 1)处于由阈值thbq1、thbq2规定的容许范围内的情况下，判断为基准消息mbq、mb(q 1)有可能是异常的。
[0208]
异常检测部56如果判断为基准消息mbq、mb(q 1)有可能是异常的，则将表示有可能是异常的基准消息mbq、mb(q 1)的异常判定信息向计算部53通知。
[0209]
计算部53如果从异常检测部56接收到异常判定信息，则使用接收到的异常判定信息所表示的有可能是异常的基准消息mb以外的基准消息mb的接收时刻tb，对时间差xp进行计算。
[0210]
(阈值的切换处理)
[0211]
如上述那样，在所有的对象消息ma是正当消息的情况下，存在对象消息ma的发送
周期ta及基准消息mb的发送周期tb互不相同的情况。检测部54一边对多个判定基准进行切换一边执行检测处理。
[0212]
例如，再次参照图6，在基准消息mb的发送周期tb短于对象消息ma的发送周期ta的情况下，由计算部53计算出的时间差xp周期性地变化。
[0213]
检测部54与时间差xp的周期性变化相应地，一边对多个判定基准进行切换一边执行检测处理。
[0214]
检测部54在检测处理中使用的判定基准的数量是基于在所有的对象消息ma是正当消息的情况下对象消息ma的发送周期ta和基准消息mb的发送周期tb的最小公倍数l、及对象消息ma的发送周期ta而决定的。更详细而言，存储部55存储有由车辆1的制造者预先决定的数量的判定基准例如阈值th。
[0215]
例如，存储部55存储有在所有的对象消息ma是正当消息的情况下对象消息ma的发送周期ta、及基准消息mb的发送周期tb、以及偏移s1、s2、s3。另外，存储部55存储有最小公倍数l除以发送周期ta得到的值的数量的阈值th，作为检测部54在检测处理中使用的判定基准。
[0216]
(阈值的切换处理的具体例1)
[0217]
图12是表示本发明的实施方式涉及的车载通信系统的对象消息的接收时刻和基准消息的接收时刻的关系的一个例子的图。图12与图6所示的对象消息及基准消息的接收时刻的分布相对应。
[0218]
参照图12，对象消息map的接收时刻tap和与应当作为该对象消息map的比较对象的基准消息mbq的接收时刻tbq之间的时间差xp在理论上如2秒、0秒、1秒、2秒这样周期性地变化。
[0219]
如图6及图12所示的例子那样，在对象消息ma的发送周期ta为7秒、基准消息mb的发送周期tb为3秒的情况下，存储部55与最小公倍数l即21除以发送周期ta即7得到的值相应地，存储有3个阈值th1、th2、th3。
[0220]
检测部54首先执行符号同步处理，该符号同步处理是用于决定3个阈值th1、th2、th3中的应当用于与马氏距离d＾2的比较的阈值th的处理。
[0221]
更详细而言，检测部54基于保存于存储部55的发送周期ta、tb及偏移s1、s2、s3，预先计算出作为理论值的时间差xps。例如，检测部54计算出最小公倍数l除以发送周期ta得到的值的数量的时间差xps即3个时间差xps。
[0222]
而且，如果作为时间差信息而3个时间差xp被保存至存储部55，则检测部54执行分别对保存于存储部55的3个时间差xp和计算出的3个时间差xps进行比较的模式匹配处理。
[0223]
更详细而言，检测部54在3个时间差xp和对应的3个时间差xps的差值分别为规定的阈值以下的情况下，将符号同步处理结束。而且，检测部54与计算出的时间差xps的变化相应地，一边对与3个时间差xps相对应地预先决定的阈值th1、th2、th3进行切换一边执行检测处理。
[0224]
另一方面，检测部54在3个时间差xp和对应的3个时间差xps的差值分别大于规定的阈值的情况下，直至新的时间差信息被保存至存储部55为止等待。如果新的3个时间差xp被保存至存储部55，则检测部54再次执行模式匹配处理。检测部54直至3个时间差xp和对应的3个时间差xps的差值分别变为规定的阈值以下为止，反复进行模式匹配处理。
[0225]
例如，如果对象消息map的接收信息被保存至存储部55，则异常检测部56对在对象消息map的接收时刻tap和紧随其前的对象消息ma(p－1)的接收时刻ta(p－1)之间接收到的基准消息mb的异常进行检测。
[0226]
具体而言，如果接收时刻tap为30秒的对象消息ma的接收信息被保存至存储部55，则异常检测部56基于在紧随其前的对象消息ma的接收时刻即23秒至30秒之间接收到的3个基准消息mb的接收时刻tbq，对接收时刻tbq的时间差xq进行计算，基于计算出的时间差xq和存储部55的阈值thb的比较结果，对基准消息mb的异常进行检测。
[0227]
异常检测部56如果判断为在基准消息mb产生异常，则将表示检测出异常这一内容的异常判定信息向检测部54通知。
[0228]
检测部54如果从异常检测部56接收到异常判定信息，则再次执行符号同步处理。
[0229]
(阈值的切换处理的具体例2)
[0230]
图13是表示本发明的实施方式涉及的车载通信系统的对象消息的接收时刻和基准消息的接收时刻的关系的其他例的图。图13与图7所示的对象消息及基准消息的接收时刻的分布相对应。
[0231]
参照图13，对象消息map的接收时刻tap和与应当作为该对象消息map的比较对象的基准消息mbq的接收时刻tbq之间的时间差xp在理论上如0秒、2秒、1秒、0秒这样周期性地变化。
[0232]
如图7及图13所示的例子那样，在对象消息ma的发送周期ta为3秒、基准消息mb的发送周期tb为7秒的情况下，存储部55与最小公倍数l即21除以发送周期ta即3得到的值相应地，存储有7个阈值th1、th2、th3、th4、th5、th6、th7。
[0233]
检测部54首先执行符号同步处理，该符号同步处理是决定7个阈值th1、th2、th3、th4、th5、th6、th7中的应当用于与马氏距离d＾2的比较的阈值th的处理。
[0234]
更详细而言，检测部54基于保存于存储部55的发送周期ta、tb及偏移s1、s2、s3，预先计算出作为理论值的时间差xps。例如，检测部54计算出最小公倍数l除以发送周期ta得到的值的数量的时间差xps即7个时间差xps。
[0235]
而且，如果作为时间差信息而7个时间差xp被保存至存储部55，则检测部54分别对保存于存储部55的7个时间差xp和计算出的7个时间差xps进行比较。
[0236]
例如，检测部54在7个时间差xp和对应的7个时间差xps的差值分别为规定的阈值以下的情况下，将符号同步处理结束。而且，检测部54与计算出的时间差xps的变化相应地，一边对与7个时间差xps相对应地预先决定的阈值th1、th2、th3、th4、th5、th6、th7进行切换一边执行检测处理。
[0237]
另一方面，检测部54在7个时间差xp和对应的7个时间差xps的差值分别大于规定的阈值的情况下，直至新的时间差信息被保存至存储部55为止等待。如果新的7个时间差xp被保存至存储部55，则检测部54再次执行模式匹配处理。检测部54直至7个时间差xp和对应的7个时间差xps的差值分别变为规定的阈值以下为止，反复进行模式匹配处理。
[0238]
(阈值的切换处理的具体例3)
[0239]
例如，检测部54基于基准消息mb的接收时刻tb而生成虚拟的接收时刻tvb，由此对基准消息mb进行补充。
[0240]
图14是表示本发明的实施方式涉及的车载通信系统的对象消息的接收时刻和基
准消息的接收时刻的关系的其他例的图。图14与图7所示的对象消息及基准消息的接收时刻的分布相对应。
[0241]
参照图14，检测部54在执行了符号同步处理之后，如果包含对象消息map的接收时刻tbp在内的接收信息被监视部52保存至存储部55，则使用最新的基准消息mb的接收时刻tb，按照以下的式(14)及式(15)，针对1个基准消息mb的接收时刻tb而生成f个接收时刻tvb。这里，f是1以上的整数。
[0242]
[数式14]
[0243]
tvb＝tb ta
×
fg mg
…
(14)
[0244]
[数式15]
[0245]
f＝e 1
…
(15)
[0246]
这里，mg是考虑基准消息mb的延迟时间而设定的规定的余量。例如，余量mg是对在基准消息mb中可能产生的最大的延迟时间乘以负1得到的值。另外，e是使用某个基准消息mb的接收时刻tb而已生成的接收时刻tvb的数量。
[0247]
如果包含所生成的接收时刻tvb之后的时刻即下一个对象消息ma(p 1)的接收时刻ta(p 1)在内的接收信息被监视部52保存至存储部55，则检测部54使用最新的基准消息mb的接收时刻tb，将1代入至式(15)的e而再次生成接收时刻tvb。
[0248]
检测部54使用与对象消息ma的接收时刻ta和生成的接收时刻tvb之间的时间差xp分别对应地预先设定的阈值th，执行检测处理。
[0249]
[检测处理的其他例]
[0250]
(灰色判定)
[0251]
例如，检测部54基于与对象消息map的发送时刻相对应的时刻和与基准消息mb的发送时刻相对应的时刻之间的时间差、及与在对象消息map之后发送的对象消息ma(p 1)的发送时刻相对应的时刻和与基准消息mb的发送时刻相对应的时刻之间的时间差，对与对象消息map相关的异常进行检测。更详细而言，检测部54基于对象消息map的接收时刻tap和基准消息mb的接收时刻tb之间的时间差xp、及对象消息ma(p 1)的接收时刻ta(p 1)和基准消息mb的接收时刻tb之间的时间差x(p 1)，对与对象消息map相关的异常进行检测。
[0252]
图15是表示本发明的实施方式涉及的车载通信系统的对象消息及基准消息的接收时刻的分布的一个例子的图。在图15中，横轴表示时刻。另外，图15表示在所有的对象消息ma是正当消息的情况下对象消息ma的发送周期ta和基准消息mb的发送周期tb相等的情况。
[0253]
参照图15，如上述那样，计算部53计算对象消息map的接收时刻tap和基准消息mbq的接收时刻tbq之间的时间差xp。
[0254]
检测部54基于时间差xp及式(13)而对马氏距离d＾2进行计算，对计算出的马氏距离d＾2和阈值th进行比较，基于比较结果而判定对象消息map是否为不正当消息。
[0255]
另外，计算部53计算对象消息map的下一个对象消息ma(p 1)的接收时刻ta(p 1)和基准消息mbq的接收时刻tbq之间的时间差x(p 1a)。
[0256]
检测部54基于时间差x(p 1a)及式(13)，对马氏距离d＾2进行计算，对计算出的马氏距离d＾2和阈值th进行比较，基于比较结果而判定对象消息ma(p 1)是否为不正当消息。
[0257]
检测部54在判断为对象消息map不是不正当消息之后进一步判断为对象消息ma(p
1)也不是不正当消息的情况下，判断为对象消息map、ma(p 1)有可能是异常的，即进行灰色判定。
[0258]
(使用支持向量机的检测处理)
[0259]
此外，在本发明的实施方式涉及的网关装置101，检测部54设为了基于时间差xp对马氏距离d＾2进行计算，基于计算出的马氏距离d＾2和阈值th的比较结果，判定对象消息map是否为不正当消息，但并不限定于此。
[0260]
检测部54例如可以是使用支持向量机而判定对象消息ma是否为不正当消息的结构。检测部54可以使用分类为1类的支持向量机，也可以使用分类为多类的支持向量机。
[0261]
更详细而言，检测部54在按照以下的式(16)计算出的分类得分f(xp)为零以上的情况下，判断为对象消息map不是不正当信息，另一方面，在计算出的分类得分f(xp)小于零的情况下，判断为对象消息map是不正当消息。
[0262]
[数式16]
[0263][0264]
这里，k(x，xi)是核函数。核函数具体而言是线性核、多项式核、以下的式(17)所示的高斯核、或s型曲线核。
[0265]
[数式17]
[0266][0267]
x是对象消息map的接收时刻tap和多个基准消息mbq的接收时刻tbq的时间差xp的向量。yi是与应当分类的各类相对应的值。例如，在使用分类为1类的支持向量机的情况下，yi是1。wi是权重向量。b是偏差。xi、yi、wi及b是预先使用与车辆1相同种类的测试车辆的网关装置101，使用正当消息而通过机器学习求出的参数。
[0268]
在使用分类为1类的支持向量机的情况下，上述参数通过无监督学习而设定。更详细而言，对作为正当消息的对象消息map的接收时刻tap和多个基准消息mbq的接收时刻tbq之间的时间差xp进行计算，将计算出的时间差xp分类为学习用的数据集和验证用的数据集。
[0269]
而且，使用学习用的数据集而执行机器学习，使用通过机器学习得到的参数及上述式(16)而对验证用的数据集的分类得分f(xp)进行计算，确认分类得分f(xp)是为零以上还是小于零。即，对验证用的数据集是被判定为正当消息还是被判定为不正当消息进行确认。而且，以使得验证用的数据集的判定结果的误报率成为希望的值的方式适当对参数进行调整，再次执行使用了学习用的数据集的机器学习。
[0270]
在使用分类为多类的支持向量机的情况下，上述参数通过监督学习而设定。更详细而言，对作为正当消息的对象消息map的接收时刻tap和多个基准消息mbq的接收时刻tbq之间的时间差xp进行计算，将计算出的时间差xp设为正常数据组。
[0271]
而且，生成比正常数据组的时间差xp大的多个时间差xpr的数据组即不正当数据组、及比正常数据组的时间差xp小的多个时间差xps的数据组即不正当数据组。将正常数据组及不正当数据组分类为学习用的数据集和验证用的数据集。
[0272]
接着，使用学习用的数据集而执行机器学习，使用通过机器学习得到的参数及上述式(16)而对验证用的数据集的分类得分f(xp)进行计算，基于分类得分f(xp)而对验证用的数据集是被判定为正当消息还是被判定为不正当消息进行确认。而且，以使得验证用的数据集的判定结果的误报率成为希望值的方式，适当地对不正当数据组的时间差xps、xpr的值即不正当数据组和正常数据组之间的差距、及参数进行调整，再次执行使用了学习用的数据集的机器学习。
[0273]
(使用了决策树的检测处理)
[0274]
检测部54例如可以是使用决策树而判定对象消息ma是否为不正当消息的结构。决策树的算法例如是cart(classification and regression trees)及c4.5等。
[0275]
决策树的参数通过监督学习而设定。更详细而言，对作为正当消息的对象消息map的接收时刻tap和多个基准消息mbp的接收时刻tbq之间的时间差xp进行计算，将计算出的时间差xp设为正常数据组。
[0276]
而且，生成比正常数据组的时间差xp大的多个时间差xpr的数据组即不正当数据组、及比正常数据组的时间差xp小的多个时间差xps的数据组即不正当数据组。将正常数据组及不正当数据组分类为学习用的数据集和验证用的数据集。
[0277]
接着，使用学习用的数据集，执行使用cart及c4.5等算法的决策树的机器学习，在使用了通过机器学习得到的决策树的情况下，对验证用的数据集是被判定为正当消息还是被判定为是不正当消息进行确认。而且，以使得验证用的数据集的判定结果的误报率成为希望值的方式，适当地对不正当数据组的时间差xps、xpr的值即不正当数据组和正常数据组之间的差距、及决策树的学习用参数进行调整，再次执行使用了学习用的数据集的机器学习。
[0278]
[动作的流程]
[0279]
本发明的实施方式涉及的车载通信系统的各装置具有包含存储器的计算机，该计算机的cpu等运算处理部从该存储器读出并执行包含以下的流程图及定序的各步骤的一部分或全部的程序。上述多个装置的程序可以分别从外部安装。上述多个装置的程序以分别储存于记录介质的状态流通。
[0280]
图16是规定在本发明的实施方式涉及的车载通信系统中网关装置执行检测处理时的动作流程的一个例子的流程图。
[0281]
参照图16，首先，网关装置101对车载网络12的对象消息ma和基准消息mb进行监视，取得对象消息map的接收时刻tap及基准消息mbq的接收时刻tbq(步骤s102)。
[0282]
接着，网关装置101对基准消息mbq的接收时刻tbq和阈值thbq1、thbq2进行比较(步骤s104)。
[0283]
网关装置101在接收时刻tbq处于阈值thbq1、thbq2规定的容许范围内的情况下(步骤s106中为yes)，执行对不正当消息进行检测的检测处理。具体而言，网关装置101判断对象消息map是否为不正当消息(步骤s108)。
[0284]
另一方面，网关装置101在接收时刻tbq处于阈值thbq1、thbq2规定的容许范围外的情况下(步骤s106中为no)，继续进行对象消息ma及基准消息mb的监视，取得下一个对象消息ma(p 1)的接收时刻ta(p 1)及下一个基准消息mb(q 1)的接收时刻tb(q 1)(步骤s102)。
[0285]
另外，网关装置101在检测处理的结果是判断为对象消息map是正当消息的情况下(步骤s110中为no)，继续进行对象消息ma及基准消息mb的监视，取得下一个对象消息ma(p 1)的接收时刻ta(p 1)及下一个基准消息mb(q 1)的接收时刻tb(q 1)(步骤s102)。
[0286]
另一方面，网关装置101在检测处理的结果是判断为对象消息map是不正当消息的情况下(步骤s110中为yes)，将表示传送着不正当消息的警报信息向车辆1内或车辆1外的上位装置发送(步骤s112)。
[0287]
接着，网关装置101继续进行对象消息ma及基准消息mb的监视，取得下一个对象消息ma(p 1)的接收时刻ta(p 1)及下一个基准消息mb(q 1)的接收时刻tb(q 1)(步骤s102)。
[0288]
图17是规定在本发明的实施方式涉及的车载通信系统中网关装置执行检测处理时的动作流程的其他例的流程图。
[0289]
参照图17，首先，网关装置101对车载网络12的对象消息ma和基准消息mb进行监视，取得对象消息ma的多个接收时刻及基准消息mb的多个接收时刻tb(步骤s202)。
[0290]
接着，网关装置101基于所取得的多个接收时刻ta及多个接收时刻tb，对多个时间差xp进行计算，使用计算出的多个时间差xp而执行符号同步处理(步骤s204)。
[0291]
接着，网关装置101取得对象消息map的接收时刻tap及基准消息mbq的接收时刻tbq(步骤s206)。
[0292]
接着，网关装置101对基准消息mbq的接收时刻tbq和阈值thbq1、thbq2进行比较(步骤s208)。
[0293]
网关装置101在接收时刻tbq处于由阈值thbq1、thbq2规定的容许范围内的情况下(步骤s210中为yes)，执行对不正当消息进行检测的检测处理。具体而言，网关装置101判断对象消息map是否为不正当消息(步骤s212)。
[0294]
接着，作为步骤s214、s216的处理，网关装置101执行与图16的步骤s110、s112相同的处理。
[0295]
图18是规定本发明的实施方式涉及的车载通信系统的网关装置的检测处理的一个例子的流程图。图18表示图16的步骤s108的详细内容。
[0296]
参照图18，首先，网关装置101计算对象消息map的接收时刻tap和基准消息mbq的接收时刻tbq之间的时间差xp(步骤s302)。
[0297]
接着，网关装置101基于时间差xp，对马氏距离d＾2进行计算(步骤s304)。
[0298]
接着，网关装置101对计算出的马氏距离d＾2和阈值th进行比较(步骤s306)。
[0299]
接着，网关装置101在马氏距离d＾2为阈值th以下的情况下(步骤s308中为yes)，判断为对象消息map是正当消息(步骤s310)。
[0300]
另一方面，网关装置101在马氏距离d＾2大于阈值th的情况下(步骤s308中为no)，判断为对象消息map是不正当消息(步骤s312)。
[0301]
图19是规定本发明的实施方式涉及的车载通信系统的网关装置的检测处理的其他例的流程图。图19表示图17的步骤s212的详细内容。
[0302]
参照图19，首先，网关装置101基于基准消息mbq的接收时刻tbq，生成虚拟的接收时刻tvb(步骤s402)。
[0303]
接着，网关装置101计算对象消息map的接收时刻tap和接收时刻tbq或接收时刻tvb之间的时间差xp(步骤s404)。
[0304]
接着，作为步骤s406至步骤s414的处理，网关装置101执行与图18的步骤s304至步骤s312相同的处理。
[0305]
此外，在本发明的实施方式涉及的车载通信系统301，设为了网关装置101对车载网络12的不正当消息进行检测的结构，但并不限定于此。在车载通信系统301，也可以是与网关装置101不同的检测装置对车载网络12的不正当消息进行检测的结构。
[0306]
另外，在本发明的实施方式涉及的车载通信系统301，设为了作为检测装置起作用的网关装置101直接与总线13连接的结构，但并不限定于此。
[0307]
图20是表示本发明的实施方式涉及的车载网络的连接拓扑的一个例子的图。
[0308]
参照图20，可以是检测装置151经由车载装置例如控制装置122与总线13连接的结构。在该情况下，检测装置151例如通过对该车载装置收发的消息进行监视，从而对向总线13传送的不正当消息进行检测。
[0309]
在图20表示的例子中，例如，检测装置151的监视部52取得与由控制装置122发送的基准消息mb的发送时刻相对应的时刻及与对象消息ma的发送时刻相对应的时刻。而且，检测装置151的计算部53基于由监视部52得到的监视结果，计算对象消息ma的发送时刻和基准消息mb的发送时刻之间的时间差。
[0310]
另外，在本发明的实施方式涉及的车载通信系统301，网关装置101设为将来自控制装置122a的周期消息m1及不正当消息作为对象消息ma进行监视，并且将来自控制装置122b的周期消息m2作为基准消息mb进行监视的结构，但并不限定于此。
[0311]
再次参照图4，例如，控制装置122a以发送周期ta对周期消息m1进行发送，并且以发送周期tb对周期消息m2进行发送。更详细而言，控制装置122a的cpu 132a按照基于来自振荡器131a的振荡信号而生成的时钟的定时，经由can收发器133a对周期消息m1、m2进行广播或单播。
[0312]
网关装置101的can收发器142将来自控制装置122a的周期消息m1及不正当消息作为对象消息ma进行监视，并且将来自控制装置122a的周期消息m2作为基准消息mb进行监视。
[0313]
另外，在本发明的实施方式涉及的网关装置101，设为检测部54是作为检测处理而判定对象消息ma是否为不正当消息的结构，但并不限定于此。检测部54也可以是作为检测处理而计算对象消息ma是不正当消息的概率的结构。
[0314]
另外，在本发明的实施方式涉及的网关装置101，设为检测部54是如下结构，即，在检测处理中使用的判定基准的数量是基于所有的对象消息ma是正当消息的情况下对象消息ma的发送周期ta和基准消息mb的发送周期tb的最小公倍数l、及对象消息ma的发送周期ta而决定的，但并不限定于此。检测部54在检测处理中使用的判定基准的数量可以不依赖于最小公倍数l及发送周期ta的数量、例如规定数量。在该情况下，是否为不正当消息的判定针对一部分的对象消息ma而进行。
[0315]
另外，在本发明的实施方式涉及的网关装置101，设为异常检测部56是基于由监视部52得到的监视结果对基准消息mb的异常进行检测的结构，但并不限定于此。网关装置101可以是不具有异常检测部56的结构。
[0316]
另外，在本发明的实施方式涉及的网关装置101，设为检测部54是如下结构，即，在判断为对象消息map不是不正当消息之后进一步判断为对象消息ma(p 1)也不是不正当消
息的情况下，将对象消息map、ma(p 1)进行灰色判定，但并不限定于此。检测部54可以是不进行灰色判定的结构。
[0317]
另外，在本发明的实施方式涉及的网关装置101，设为如下结构，即，对象消息ma是否为不正当消息的判定基准是基于由控制装置122a、122b的振荡器131a、131b产生的抖动、及由网关装置101的振荡器143产生的抖动而设定的，但并不限定于此。也可以是如下结构，即，判定基准不依赖于振荡器131a、131b、143产生的抖动而设定。
[0318]
但是，希望一种能够更准确地检测车载网络的不正当消息的技术。
[0319]
例如，可以想到如下方法，即，通过对周期消息进行监视，从而将在某个时刻发送的周期消息作为基准，基于该周期消息的发送时刻和接下来发送的周期消息的发送时刻之间的时间差，对冒充正当的周期消息的不正当消息进行检测。
[0320]
在上述方法中，在作为基准的周期消息是不正当消息的情况下，有时无法准确地判定接下来发送的周期消息是否为不正当消息。
[0321]
具体而言，在基于紧随其前的周期消息的发送时刻对下一个周期消息是否为不正当消息进行判定的上述方法中，在将不正当消息误检测为正当消息的情况下，会基于该不正当消息的发送时刻，进行下一个周期消息是否为不正当消息的判定。其结果，有时会将下一个不正当消息误判定为正当消息，或将按照规定的发送周期而发送的正当消息误判定为不正当消息。
[0322]
与此相对，在本发明的实施方式涉及的网关装置101，监视部52将车载网络12的周期性地发送的正当消息、及不正当消息作为对象消息ma进行监视，并且对周期性地发送的基准消息mb进行监视。计算部53基于由监视部52得到的监视结果，对与对象消息ma的发送时刻相对应的时刻和与基准消息mb的发送时刻相对应的时刻之间的时间差xp进行计算。检测部54基于由计算部53计算出的时间差xp，执行对不正当消息进行检测的检测处理。
[0323]
如上所述，基于与对象消息ma的发送时刻相对应的时刻、和与基准消息mb的发送时刻相对应的时刻之间的时间差xp，执行检测处理，通过上述这样的结构，能够将与基准消息mb的发送时刻相对应的时刻作为基准而执行检测处理，因此，能够避免发生因将对象消息ma所包含的不正当消息的接收时刻作为基准而执行检测处理引起的误检测。
[0324]
因此，在本发明的实施方式涉及的网关装置101，能够更准确地对车载网络的不正当消息进行检测。
[0325]
另外，在本发明的实施方式涉及的网关装置101，正当消息的发送周期及基准消息mb的发送周期tb互不相同的。检测部54作为检测处理而按照判定基准判定对象消息ma是否为不正当消息。检测部54一边对多个判定基准进行切换一边执行检测处理。
[0326]
根据上述结构，能够与基于正当消息的发送周期和基准消息mb的发送周期tb之差的时间差xp的变化相对应地，一边对多个判定基准进行切换一边执行检测处理，因此，可以实现更够将各种各样的发送周期的周期消息用作基准消息mb的灵活的检测处理。
[0327]
另外，在本发明的实施方式涉及的网关装置101，检测部54在检测处理中使用的判定基准的数量，是基于正当消息的发送周期和基准消息mb的发送周期tb的最小公倍数l、及正当消息的发送周期而决定的。
[0328]
根据上述结构，能够与基于正当消息的发送周期和基准消息mb的发送周期tb之差的时间差xp的大小相应地，按照多个判定基准而判定对象消息ma是否为不正当消息，因此
例如能够针对所有的对象消息ma，进行是否为不正当消息的判定。
[0329]
另外，在本发明的实施方式涉及的网关装置101，异常检测部56基于由监视部52得到的监视结果，对基准消息mb的异常进行检测，在检测出异常的情况下执行规定的处理。
[0330]
根据上述结构，能够使得在检测出基准消息mb的异常的情况下，例如不执行将与该基准消息mb的发送时刻相对应的时刻作为基准的检测处理，因此能够抑制发生误检测。
[0331]
另外，在本发明的实施方式涉及的网关装置101，检测部54基于与对象消息map的发送时刻相对应的时刻和与基准消息mbq的发送时刻相对应的时刻之间的时间差xp、及与在对象消息map之后发送的对象消息ma(p 1)的发送时刻相对应的时刻和与基准消息mbq的发送时刻相对应的时刻之间的时间差x(p 1a)，对与对象消息map相关的异常进行检测。
[0332]
根据上述结构，即使在例如将与基准消息mbq的发送时刻相对应的时刻作为基准而判定为正常的时间内发送了多个对象消息ma的情况下、在将例如包含实际上是不正当消息的该多个对象消息ma误判定为正当消息的情况下，也能够判断为该多个对象消息ma有可能是异常的。如上所述，能够对在检测处理中无法检测的不正当消息进行例如灰色判定。
[0333]
另外，在本发明的实施方式涉及的网关装置101，监视部52对网关装置101接收的对象消息ma及网关装置101接收的基准消息mb进行监视。检测部54按照判定基准而判定对象消息ma是否为不正当消息，作为检测处理。判定基准是基于由发送基准消息mb的控制装置122b的振荡器131b产生的抖动、及由网关装置101的振荡器143产生的抖动而设定的。
[0334]
根据上述结构，例如能够基于考虑到因由控制装置122a的振荡器131a产生的抖动引起的消息的发送时刻的误差、及因由网关装置101的振荡器143产生的抖动引起的消息的接收时刻的误差的判断基准，执行更准确的检测处理。
[0335]
另外，本发明的实施方式涉及的车辆1具有网关装置101。
[0336]
根据上述结构，在具有网关装置101的车辆1，能够更准确地对车载网络12的不正当消息进行检测。
[0337]
另外，本发明的实施方式涉及的检测方法是对车载网络12的不正当消息进行检测的网关装置101的检测方法。在该检测方法中，首先，网关装置101将车载网络12的周期性地发送的正当消息、及不正当消息作为对象消息ma进行监视，并且对周期性地发送的基准消息mb进行监视。接着，网关装置101基于监视结果，对与对象消息ma的发送时刻相对应的时刻和与基准消息mb的发送时刻相对应的时刻之间的时间差xp进行计算。接着，网关装置101基于计算出的时间差xp，执行对不正当消息进行检测的检测处理。
[0338]
如上所述，基于与对象消息ma的发送时刻相对应的时刻和与基准消息mb的发送时刻相对应的时刻之间的时间差xp，执行检测处理，通过上述这样的方法，能够将与基准消息mb的发送时刻相对应的时刻作为基准而执行检测处理，因此能够避免发生因将对象消息ma所包含的不正当消息的接收时刻作为基准而执行检测处理引起的误检测。
[0339]
因此，在本发明的实施方式涉及的检测方法，能够更准确地对车载网络的不正当消息进行检测。
[0340]
应当想到，上述实施方式的说明在所有方面都是例示，且并不是限制性的内容。本发明的范围不是由上述说明表示而是由权利要求书表示，包含与权利要求书等同的含义以及范围内的全部变更。
[0341]
以上说明包含以下追加记载的特征。
[0342]
[附录1]
[0343]
一种检测装置，其对车载网络的不正当消息进行检测，
[0344]
所述检测装置具有：
[0345]
监视部，其将所述车载网络的周期性地发送的正当消息及所述不正当消息作为对象消息进行监视，并且对周期性地发送的基准消息进行监视；
[0346]
计算部，其基于由所述监视部得到的监视结果，对与所述对象消息的发送时刻相对应的时刻和与所述基准消息的发送时刻相对应的时刻之间的时间差进行计算；
[0347]
检测部，其基于由所述计算部计算出的所述时间差，执行对所述不正当消息进行检测的检测处理；以及
[0348]
异常检测部，其基于由所述监视部得到的监视结果，对所述基准消息的异常进行检测，在检测出所述异常的情况下，将所述异常向所述计算部通知，
[0349]
所述对象消息及所述基准消息的发送目标或发送源互不相同，
[0350]
所述计算部基于与所述对象消息的发送时刻相对应的时刻和与由所述异常检测部没有检测出所述异常的所述基准消息的发送时刻相对应的时刻，对所述时间差进行计算。
[0351]
[附录2]
[0352]
一种检测装置，其对车载网络的不正当消息进行检测，
[0353]
所述检测装置具有：
[0354]
监视部，其将所述车载网络的周期性地发送的正当消息及所述不正当消息作为对象消息进行监视，并且对周期性地发送的基准消息进行监视；
[0355]
计算部，其基于由所述监视部得到的监视结果，对与所述对象消息的发送时刻相对应的时刻和与所述基准消息的发送时刻相对应的时刻之间的时间差进行计算；以及
[0356]
检测部，其基于由所述计算部计算出的所述时间差，执行对所述不正当消息进行检测的检测处理，
[0357]
所述监视部、所述计算部及所述检测部由处理器实现。
[0358]
标号的说明
[0359]
1 车辆
[0360]
12 车载网络
[0361]
13、14总线
[0362]
51 通信处理部
[0363]
52 监视部
[0364]
53 计算部
[0365]
54 检测部
[0366]
55 存储部
[0367]
56 异常检测部
[0368]
101 网关装置
[0369]
111 车载通信机
[0370]
112 端口
[0371]
121 总线连接装置组
[0372]
122 控制装置
[0373]
131 振荡器
[0374]
132 cpu
[0375]
133 can收发器
[0376]
141 cpu
[0377]
142 can收发器
[0378]
143 振荡器
[0379]
151 检测装置
[0380]
301 车载通信系统。