[发明专利]非法通信检测方法、非法通信检测系统以及记录介质

权利要求书

1.一种非法通信检测方法，是由包括存储部的信息处理系统执行的、车载网络系统中的非法通信的检测方法，所述车载网络系统包括网络以及与所述网络连接的1个以上的电子控制单元，所述非法通信检测方法包括：

非法检测步骤，基于规则和攻击消息的通信模式，判定被送出到所述网络的消息是否为攻击消息；

信息保存步骤，在所述消息是攻击消息的情况下，将与判定的所述攻击消息有关的信息保存于所述存储部；

通信模式识别步骤，从所述与判定的所述攻击消息有关的信息，识别在所述网络中发生的通信模式；以及

通信模式判定步骤，判定所述消息是否符合在所述通信模式识别步骤中识别到的通信模式，

至少所述非法检测步骤以及所述通信模式判定步骤针对依次被送出到所述网络而被接收到的多个消息中的各消息来执行，

在针对在执行所述通信模式判定步骤之后接收到的所述多个消息中的第2消息执行的所述非法检测步骤中，在该第2消息是否为攻击消息的判定中使用针对接收到的所述多个消息中的第1消息执行完的该通信模式判定步骤的判定结果，

在所述通信模式识别步骤中，通过取得对与所述攻击消息有关的信息执行统计学的处理而得到的模型来作为所述通信模式，从而识别所述通信模式，

所述非法通信检测方法还包括使用所述通信模式算出接下来接收的消息所包含的数据值的预测值的数据值预测步骤，

在所述通信模式判定步骤中，基于所述预测值与所述接收到的消息包含的数据值的比较结果，判定该接收到的消息是否符合所述通信模式。

2.一种非法通信检测方法，是由包括存储部的信息处理系统执行的、车载网络系统中的非法通信的检测方法，所述车载网络系统包括网络以及与所述网络连接的1个以上的电子控制单元，所述非法通信检测方法包括：

非法检测步骤，基于规则和攻击消息的通信模式，判定被送出到所述网络的消息是否为攻击消息；

信息保存步骤，在所述消息是攻击消息的情况下，将与判定的所述攻击消息有关的信息保存于所述存储部；

通信模式识别步骤，从所述与判定的所述攻击消息有关的信息，识别在所述网络中发生的通信模式；以及

通信模式判定步骤，判定所述消息是否符合在所述通信模式识别步骤中识别到的通信模式，

至少所述非法检测步骤以及所述通信模式判定步骤针对依次被送出到所述网络而被接收到的多个消息中的各消息来执行，

在针对在执行所述通信模式判定步骤之后接收到的所述多个消息中的第2消息执行的所述非法检测步骤中，在该第2消息是否为攻击消息的判定中使用针对接收到的所述多个消息中的第1消息执行完的该通信模式判定步骤的判定结果，

搭载所述车载网络系统的车辆具备用于支援或代替进行驾驶员对该车辆的驾驶行为的至少一部分的自动驾驶功能，

所述非法通信检测方法还包括识别所述自动驾驶功能是否正在执行的车辆状态识别步骤，

在所述车辆状态识别步骤中识别为所述自动驾驶功能并非正在执行时，执行所述信息保存步骤，

在所述车辆状态识别步骤中识别为所述自动驾驶功能正在执行时，执行所述通信模式判定步骤。

3.根据权利要求1或2所述的非法通信检测方法，

在所述通信模式识别步骤中，作为所述通信模式，识别与所述多个消息所包含的数据值的变化有关的模式。

4.根据权利要求3所述的非法通信检测方法，

与所述数据值的变化有关的模式是与所述多个消息所包含的相同种类的、表示数据量的多个消息各自所包含的所述数据值的变化的有无有关的模式、与所述相同种类的、表示数据量的多个消息所包含的数据量的增加或者减少有关的模式、或者与所述相同种类的、表示数据量的消息所包含的数据值和其他种类的、表示数据量的消息所包含的数据值之间的差量或比有关的模式。

5.根据权利要求1或2所述的非法通信检测方法，

在所述通信模式识别步骤中，作为所述通信模式，识别与所述多个消息的通信定时有关的模式。