CN112152870A - 异常检测装置 - Google Patents

Abstract

提供一种异常检测装置，其能够快速且低处理负荷地检测由无效通信数据的发送导致的异常。中继器(20)包括：分配缓冲器(24)，其用于接收消息帧；以及控制单元(21)，其获得与由分配缓冲器(24)接收的消息帧中的非常规帧的发送间隔相关的值，当获得的与发送间隔相关的值等于或少于预定阈值时，该判定单元判定不定期发送的消息帧为异常，并且输出消息帧为异常的判定结果。

Description

异常检测装置

技术领域

本发明涉及一种异常检测装置，其检测诸如对连接于网络的装置等的攻击这样的异常。

背景技术

近年来，车辆配备了大量经由网络连接的电子控制单元(ECU)。于是，各个ECU向其它ECU发送并且从其它ECU接收用于控制要被控制的车载设备所需的信息。以该方式，ECU通过彼此通信而相互协作。

在安装在车辆上的网络中，有诈骗意图的人在网络上建立了诈骗设备并从诈骗设备发送诈骗信息，导致诸如ECU之间的通信或ECU故障之类的问题。

例如，专利文献1公开了ECU 14执行：第一判定，基于对从CAN24接收到的帧的消息认证的结果判定帧是否无效；和第二判定，基于帧的模式和预定规则判定帧是否无效。然后，描述了ECU 14根据第一判定的结果与第二判定的结果的结合改变要通知车辆监控服务器100的内容或通知的优先级。

引用列表

专利文献

专利文献1：日本专利申请公开No.2018-160786

发明内容

在专利文献1中描述的方法中，需要针对每个帧ID判定消息认证和帧的模式，因此处理负荷施加于ECU等。例如，当由于DoS攻击(拒绝服务攻击)而施加过量负荷时，可能不能完成消息认证和帧模式判定处理。

鉴于以上问题，本发明的目的是提供一种异常检测装置，其能够降低处理负荷并且快速检测由无效通信数据的发送导致的异常。

为解决上述问题做出的本发明是一种异常检测装置，包括：接收单元，该接收单元用于接收设定有标识符的通信数据；运算单元，该运算单元获得与由所述接收单元接收的所述通信数据中的计划不定期发送的特定通信数据的发送间隔相关的值；判定单元，该判定单元基于由所述运算单元获得的与所述发送间隔相关的值以及预定阈值，判定所述特定通信数据为异常；以及输出单元，该输出单元输出被所述判定单元判定为异常的结果。

如上所述，根据本发明，能够基于与不定期发送的通信数据的发送间隔相关的值判定异常。通常，不定期发送的通信数据不会在短时间段内连续发送，从而能够容易地判定已经发送无效通信数据。因此，能够抑制处理负荷并且快速检测由于无效通信数据的发送导致的异常。

附图说明

图1是具有中继器的车载通信网络的示意性配置图，该中继器包括根据本发明的第一实施例的异常检测装置；

图2是图1所示的中继器的功能配置图；

图3是图1所示的中继器中的异常检测操作的流程图；

图4是根据本发明的第二实施例的异常检测操作的流程图；

图5是用于计算每单位时间的计数的方法的说明图；以及

图6是根据本发明的第三实施例的异常检测操作的流程图。

参考标记列表

20 中继器(异常检测装置)

21 控制单元(运算单元、判断单元、输出单元)

24 分配缓冲器(接收器)

具体实施方式

(第一实施例)

后文将参考附图描述本发明的第一实施例。图1是具有中继器的车载通信网络的示意性配置图，该中继器包括根据本发明的第一实施例的占用率计算装置。

车载通信网络1安装在诸如汽车这样的车辆中。如图1所示，车载通信网络1包括中继器20和ECU 10。在车载通信网络1中，三条总线B1至B3连接至中继器20，并且多个ECU 10分别连接至总线B1至B3。ECU 10的数量不限于图示数量，并且是不受限制的，只要在车载通信网络1使用的通信协议的上限内即可。

此处，ECU表示电子控制单元并且控制各种车载装置。因此，车载装置作为负载(图1未示出)连接至ECU 10。在本实施例中，根据CAN(控制器局域网)的通信协议在总线B上执行ECU之间的通信。通信协议不限于CAN，而可以是诸如CAN FD(带灵活数据速率的CAN)这样的其它通信协议。然而，如下所述，优选的是能够设置计划定期发送的通信数据(常规帧)和计划不定期发送的通信数据(非常规帧)。

ECU 10一般包括：微计算机(微机)，其具有CPU(中央处理单元)和诸如ROM(只读存储器)和RAM(随机存取存储器)这样的存储器；以及通信电路等。CPU执行储存在ROM中的控制程序，从而控制连接至CPU的负载并且控制整个ECU。

中继器20具有中继诸如总线B1和总线B2这样的不同系统的总线之间的通信的功能。此外，中继器20包括异常检测装置。图2示出中继器20的功能配置。图2主要示出涉及异常检测装置的部分的配置。中继器20能够接收作为总线B1至B3上传输的通信数据的所有消息帧。

在本实施例中，中继器20包括异常检测装置，但是ECU 10可以包括异常检测装置。然而，可以采取诸如通过检测中继到ECU 10的装置中的异常而不是检测诸如ECU 10这样的终端处的异常，而丢弃传输期间的无效消息帧这样的措施。因此，能够减少对ECU 10的处理负荷。

如图2所示，中继器20包括控制单元21、接收盒22、路由缓冲器23、分配缓冲器24和发送盒25。

控制单元21由具有诸如CPU、ROM和RAM这样的存储器的微计算机构成。控制单元分别控制接收盒22、路由缓冲器23、分配缓冲器24和发送盒25以控制整个中继器20。此外，控制单元21执行如下操作：基于储存在分配缓冲器24中的消息帧而检测诸如无效消息帧的接收这样的异常。

接收盒22由三个接收盒22a至22c组成。接收盒22接收从发送侧ECU 10输入的消息帧，并且临时存储消息帧。在图2中，有与图1所示的总线B1至B3相对应的三个接收盒22，但是数量不限于三个并且可以是一个以上。

路由缓冲器23根据存储在接收盒22中的消息帧是非常规帧还是常规帧来将它们分配至分配缓冲器24a至24c。例如，可以基于消息帧的ID判定路由缓冲器23中的分配。即，在本实施例中，通过作为在消息帧(通信数据)中设置的标识符的ID，预先判定帧是常规帧还是非常规帧。

分配缓冲器24由三个分配缓冲器24a至24c组成。在图2中，分配缓冲器24a和24c用于常规帧，并且分配缓冲器24b用于非常规帧。在图2中，有两个常规帧，但是当然可以有一个常规帧。分配缓冲器24不限于包括多个存储器的配置，并且可以通过将一个存储器分为多个区域而配置。

发送盒25在预定时间将存储在分配缓冲器24中的消息帧发送至与各个总线B1至B3连接的接收侧ECU 10。

接着，将参考图3的流程图描述具有上述配置的中继器20中的异常的检测方法。

首先，控制单元21通过检查分配缓冲器24b而判定是否已经接收到非常规帧(步骤S101)。当接收到非常规帧时(步骤S101：是)，启动在控制单元21中设置的用于测量时间的计数器(步骤S102)。即，分配缓冲器24用作接收消息帧(通信数据)的接收单元。另外，控制单元21从分配缓冲器24(接收单元)所接收到的消息帧(通信数据)之中的计划不定期发送的消息帧(特定通信数据)的接收时间起开始测量时间。

接着，控制单元21判定在步骤S102中启动的计数器是否已经计数到预定阈值(步骤S103)。当计数到阈值时(步骤S103：是)，由于在直到计数到阈值的时间里尚未接收到具有相同ID的消息帧，所以判定在步骤S101中接收到的消息帧为正常(步骤S104)。然后，计数器停止并且重置(步骤S105)，并且处理回到步骤S101。被判定为正常的消息帧被从发送盒25原样发送到发送目的地ECU 10。

另一方面，如果在步骤S102中启动的计数器还未计数到阈值(步骤S103：否)，则控制单元21再次判定是否已经接收到非常规帧(步骤S106)。在步骤S106中判定的非常规帧是具有与步骤S101中判定的非常规帧相同的ID的消息帧。

如果在步骤S106中还未接收到非常规帧(步骤S106：否)，则处理返回到步骤S103。当在步骤S106中收到非常规帧时(步骤S106：是)，因为由于在计数到阈值之前收到非常规帧而使得非常规帧的间隔太短，所以控制单元21判定非常规帧为异常(步骤S107)。并且控制单元21向外部输出步骤S107的判定结果(异常)(步骤S108)。步骤S108中的输出目的地例如可以是用于警告驾驶员发生异常的显示器或用于将该异常记录为日志的记录装置。即，如果测量时间等于或少于预定阈值，则控制单元21判定异常。通过将被判定为异常的消息帧从分配缓冲器24删除而将其丢弃。

如上所述，控制单元21用作：运算单元，其对由分配缓冲器24(接收单元)接收到消息帧(通信数据)之中的计划不定期地发送的消息帧进行计数直至阈值(与发送间隔相关的值)；判定单元，当由运算单元确定的发送间隔等于或小于预定阈值时，该判定单元判定异常；以及输出单元，其输出由判定单元判定为异常的结果。

图3的流程图中所述的阈值定义了非常规帧之间的间隔。因此，根据非常规帧表示的内容适当设定该阈值。即，可以针对每个ID设定阈值。同样针对每个ID进行计数，然而可以预先确定要监控的ID而不是所有ID，并且仅对要监控的ID计数。

在图3的流程图中，测量(计数)直到阈值的时间，以降低时间间隔测量处理的负荷。本实施例中的非常规帧例如是由电动车窗、门锁等操作产生的消息帧，并且通常是人为操作产生的消息帧。因此，例如，其不会以几十毫秒的间隔发生。然而，在正常情况下，可能会测量大量时间来测量非常规帧的帧间隔。因此，将判定为异常间隔的时间的上限设定为阈值，并且进行计数直到阈值。当超过阈值时，可以为正常时间间隔，并且能够降低运算处理的负荷。

此外，如图3的流程图所示，时间间隔不限于测量直到阈值的时间，而是可以测量非常规帧之间的时间间隔。然而，如上所述，图3中的流程图的方法能够降低计算与发送间隔相关的值的计算处理的负荷。

根据本实施例，中继器20设置有：分配缓冲器24，其用于接收消息帧；以及控制单元21，其在分配缓冲器24所接收到的消息帧中获得与非常规帧的发送间隔相关的值，并且当与发送间隔相关的值低于预定阈值时，判定不定期发送的消息帧为异常，并且输出判定结果。

上述中继器20的配置能够基于与非常规帧的发送间隔相关的值来判定异常。由于不经常在短时间内连续发送非常规帧，所以能够容易地判定已经发送无效消息帧。因此，能够抑制处理负荷并且快速检测出由于无效消息帧的发送导致的异常。

另外，控制单元21测量从接收到分配缓冲器24所接收的消息帧之中的非常规帧的时间开始的时间，并且当测得的时间等于或少于预定阈值时，控制单元21判定异常。由于控制单元21以该方式操作，所以如果非常规帧的发送间隔太短，能够判定为异常。

通过设定从接收时间开始直到阈值所测量的时间，不需要测量两个消息帧之间的时间间隔自身，并且能够降低用于计算与发送间隔相关的值的计算处理的负荷。

此外，由于控制单元21基于消息帧中设定的ID识别不定期发送的消息帧，所以能够仅通过确认消息帧的ID而识别非常规帧，这使得能够容易地识别非常规帧。

(第二实施例)

接着将参考图4和5描述本发明的第二实施例。注意，通过相同的参考标号表示与上述第一实施例相同的部分，并且将省略其说明。

在本实施例中，中继器20中的异常检测方法不同。将参考图4的流程图描述根据本实施例的异常检测方法。

首先，路由缓冲器23接收非常规帧(步骤S201)，并且路由缓冲器23将非常规帧存储在非常规分配缓冲器24b中(步骤S202)。

接着，控制单元21对存储在非常规分配缓冲器24b中的非常规帧计数(步骤S203)。

为每个ID进行该计数。接着，对于在步骤S203中计数的数量(帧的数量)，计算每单位时间的计数的数量(接收的数量)(步骤S204)。作为每单位时间计数的数量的计算方法，可以将诸如一秒的时间用作单位时间来计算单位时间计数的数量。

计算每单位时间的计数的数量的方法可以基于常规帧的周期。将参考图5描述具体实例。图5是示出常规帧和非常规帧的时序图。

如图5所示，预先确定常规帧的周期。因此，例如，通过计算在常规帧的一个周期(1T)内发送了多少次非常规帧，能够计算每单位时间的计数数量。在图5中，在常规帧的一个周期中计算每单位时间的计数数量，但是数量不限于一个周期，并且可以为多个周期。即，将定期发送的通信数据的周期用作单位时间。

回到图4的流程图。接着，控制单元21判定步骤S204中计算的每单位时间的计数是否等于或大于预定阈值(步骤S205)。每单位时间的计数大的事实意味着常规帧的平均发送间隔时间短，所以计数数量是与发送间隔相关的值。如果步骤S205中的判定结果不是等于或大于阈值(步骤S205：否)，则判定状态为正常，如步骤S104中一样，并且结束处理。被判定为正常的消息帧被从发送盒25原样发送到发送目的地ECU 10。

像第一实施例中一样，同样根据非常规帧表示的内容而适当设定本实施例中描述的阈值。即，可以针对每个ID设定阈值。同样对每个ID进行计数。然而，可以预先确定要监控的ID而不是所有ID，并且仅对要监控的ID计数。

另一方面，如果等于或大于阈值(步骤S205：是)，则控制单元21判定非常规帧的发送间隔太短(步骤S207)。并且控制单元21向外界输出步骤S207的判定结果(异常)(步骤S208)。通过将被判定为异常的消息帧从分配缓冲器24删除而将其丢弃。

根据本实施例，对于分配缓冲器24所接收的消息帧之中的非常规帧，控制单元21使用常规帧的周期计算每单位时间接收的数量，并且如果计算的接收数量大于或等于预定阈值，则控制单元21判定非常规帧为异常。由于控制单元21以该方式操作，所以能够判定异常，而无需测量诸如非常规帧的发送间隔这样的时间。

(第三实施例)

接着将参考图6描述本发明的第三实施例。注意，通过相同的参考标号表示与上述第一实施例相同的部分，并且将省略其说明。

在第一实施例和第二实施例中，针对非常规帧检测时间间隔中的异常，然而在本实施例中，针对常规帧检测异常周期。即，常规帧是特定通信数据。

由于本实施例中的目标为常规帧，所以可以测量周期，并且如果与根据帧的ID等设定的周期相比该测量周期太短，则可以判定为异常。可以通过图6的流程图所示的方法进行该判定。

首先，路由缓冲器23接收常规帧(步骤S301)，并且路由缓冲器23将常规帧存储在常规分配缓冲器24a或24c中(步骤S302)。

接着，控制单元21计算存储在常规分配缓冲器24a或24c中的常规帧的数量(步骤S303)。

为每个ID进行该计数。接着，对于在步骤S303中计数的数量(帧的数量)，计算每单位时间的计数(接收的数量)(步骤S304)。作为每单位时间计数的数量的计算方法，可以将诸如一秒的时间用作单位时间来计算单位时间计数的数量。

作为每单位时间计数的数量的计算方法，可以应用参考图5描述的方法。在图5的情况中，使用常规帧计算非常规帧的计数。然而，如在本实施例中，可以使用其它常规帧的周期计算常规帧的计数。在该情况下，优选的是其它常规帧具有比目标常规帧的周期长的周期。例如，如果目标常规帧的周期为20毫秒，则优选的是另一常规帧具有能够将目标常规帧计数多次的周期，诸如100毫秒。

回到图6的流程图。接着，控制单元21基于步骤S304中计算的每单位时间的计数数量计算常规帧的平均周期。然后，判定算得的周期是否等于或小于基于针对常规帧预先确定的周期所确定的预定阈值(步骤S305)。如果不是等于或小于阈值(步骤S305：否)，则如步骤S104中一样判定为正常，并且处理结束。被判定为正常的消息帧被从发送盒25原样发送到发送目的地ECU 10。

另一方面，当周期等于或小于阈值时(步骤S305：是)，控制单元21判定作为常规帧周期，所述周期太短(步骤S307)。并且控制单元21向外界输出步骤S307的判定结果(异常)。通过将被判定为异常的消息帧从分配缓冲器24删除而将其丢弃。

同样根据常规帧的内容适当设定本实施例中描述的阈值。即，可以针对每个ID设定阈值。同样为每个ID进行计数。然而，可以预先确定要监控的ID而不是所有ID，并且仅对要监控的ID计数。

如上所述，控制单元21用作：运算单元，其获取由分配缓冲器24(接收单元)接收的消息帧(通信数据)的常规帧的周期；判定单元，其判定由运算单元获得的周期是否等于或小于预定阈值；以及输出单元，其输出由判定单元判定为异常的结果。

根据本实施例，中继器20包括：分配缓冲器24，其接收消息帧；控制单元21，其获得分配缓冲器24所接收的消息帧的常规帧的周期，如果判定的周期等于或小于预定阈值，则控制单元21判定异常，并且输出异常的判定结果。

如上所述的中继器20的配置使得能够基于常规帧的发送周期判定异常。常规帧的周期中的异常的检测使得能够容易判定已经发送无效的消息帧。因此，能够快速且低处理负荷地检测由无效消息帧的发送导致的异常。

在上述实施例中已经描述了车载通信网络1，然而本发明不限于此。本发明还能够应用于诸如轮船和飞行器这样的其它移动对象。

本发明不限于上述实施例。即，本领域技术人员可以在不脱离本发明的主旨的情况下根据传统上已知常识进行各种修改。当然，即使通过这种修改提供本发明的异常检测装置的配置，其也包括在本发明的范围内。

Claims (6)

1.一种异常检测装置，包括：

接收单元，该接收单元用于接收设定有标识符的通信数据；

运算单元，该运算单元获得与在所述接收单元接收的所述通信数据之中的计划不定期发送的特定通信数据的发送间隔相关的值；

判定单元，该判定单元基于由所述运算单元获得的与所述发送间隔相关的所述值以及预定阈值，判定所述特定通信数据为异常；以及

输出单元，该输出单元输出被所述判定单元判定为异常的结果。

2.根据权利要求1所述的异常检测装置，其中，

所述运算单元测量从当所述接收单元接收到所述特定通信数据时开始的时间，

当由所述运算单元测量的所述时间等于或小于预定阈值时，所述判定单元判定所述特定通信数据为异常。

3.根据权利要求1所述的异常检测装置，其中：

所述运算单元针对在所述接收单元接收的所述通信数据之中的所述特定通信数据，计算每单位时间的接收数量，并且

当由所述运算单元计算出的所述接收数量等于或大于预定阈值时，所述判定单元判定所述特定通信数据为异常。

4.根据权利要求3所述的异常检测装置，其中，

所述运算单元将计划定期发送的所述通信数据的周期用作所述单位时间。

5.根据权利要求1至4的任意一项所述的异常检测装置，其中，

所述运算单元基于所述标识符识别不定期发送的所述通信数据。

6.一种异常检测装置，包括：

接收单元，该接收单元用于接收设定有标识符的通信数据；

运算单元，该运算单元获得在所述接收单元接收的所述通信数据之中的计划定期发送的特定通信数据的发送周期；

判定单元，如果由所述运算单元获得的所述发送周期等于或小于预定阈值，则所述判定单元判定所述特定通信数据为异常；以及

输出单元，该输出单元输出被所述判定单元判定为异常的结果。

Images