CN112805687A - 信息处理装置、异常分析方法以及程序 - Google Patents

信息处理装置、异常分析方法以及程序 Download PDF

Info

Publication number
CN112805687A
CN112805687A CN201980064266.3A CN201980064266A CN112805687A CN 112805687 A CN112805687 A CN 112805687A CN 201980064266 A CN201980064266 A CN 201980064266A CN 112805687 A CN112805687 A CN 112805687A
Authority
CN
China
Prior art keywords
data
log
feature
feature context
abnormality
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201980064266.3A
Other languages
English (en)
Inventor
长谷川庆太
小山卓麻
冈野靖
田中政志
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nippon Telegraph and Telephone Corp
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Publication of CN112805687A publication Critical patent/CN112805687A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0793—Remedial or corrective actions
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00—Digital computing or data processing equipment or methods, specially adapted for specific functions
    • G06F17/40—Data acquisition and logging
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H04W12/122—Counter-measures against attacks; Protection against rogue devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/46—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for vehicle-to-vehicle communication [V2V]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/81—Threshold
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/44—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for communication between vehicles and infrastructures, e.g. vehicle-to-cloud [V2C] or vehicle-to-home [V2H]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Quality & Reliability (AREA)
  • Databases & Information Systems (AREA)
  • Mathematical Physics (AREA)
  • Data Mining & Analysis (AREA)
  • Debugging And Monitoring (AREA)
  • Traffic Control Systems (AREA)

Abstract

本发明提供一种信息处理装置，具有：存储处理部，其将一个或多个设备中的任一个设备输出的第一数据和与该第一数据相关联的第一特征上下文建立对应地在存储部中进行储存；以及分析部，其在自一个或多个设备中的任一个设备接收第二数据的情况下，取得与该第二数据相关联的第二特征上下文，并且基于该接收到的第二数据和该取得的第二特征上下文、以及储存于上述存储部的第一数据和第一特征上下文，对该接收的第二数据的异常进行分析。

Description

信息处理装置、异常分析方法以及程序
技术领域
本发明涉及信息处理装置、异常分析方法以及程序。
背景技术
在可以预见今后普及的互联汽车(与外部网络连接的车辆)中，期待便利性的提高，例如无线进行以往作为在经销商进行的作业的ECU(Electronic Control Unit)的软件升级等。
另一方面，由于车辆、其控制设备与外部网络相连，因此被指出担心其与以往的IT设备同样地成为来自具有恶意的攻击者的网络攻击的对象。实际上也告知了如下研究，即，通过来自外部网络的访问而对搭载于车辆的ECU进行不正当篡改，从而夺取车辆控制是可能的。
对于这样的威胁，正在研究各种事先的对策技术，但是不存在完全防止网络攻击的风险的对策手段。因此，对于万一产生网络攻击的情况也需要考虑有效的事后对策。在考虑通过篡改ECU而夺取车辆的控制这样的攻击的情况下，存在为了采取在车辆的对策而对在车载网络产生的通信进行持续监视，从而对异常进行检测的方法。但是，由于一般来说车载设备的计算资源不充裕的情况较多，因此多难以应用计算负载较大的异常检测方法。
因此，近来，正在进行以下服务器客户协同下的对于网络攻击的处理技术的研究，即，不仅在车辆进行处理，而是通过利用云端和车辆这两者，在云端进行计算负载较高的处理，在车载机进行计算负载较低的处理、要求低延迟性的处理(例如，非专利文献1)。
<现有技术文献>
<非专利文献>
非专利文献1：“サイバー攻撃に对抗する
Figure BDA0002997553790000011
侵入検知防御システムを開発”、[online]、因特网<URL：https：//news.panasonic.com/jp/press/data/2017/10/jn171010-2/jn171010-2.html>
发明内容
发明所要解决的课题
对于车辆的网络攻击等的异常，从检测的整体的数量来看是圧倒性少数现象的情况较多。也就是说在检测结果中，包括因操作的失误、设定变更、环境因素的变更等而产生的、假阳性的误检测的情况较多。在检测到存在网络攻击的可能性的异常的情况下，需要进行伴随检测结果应实施的处理方法的决定等的分析，但是存在上述那样的误检测使分析成本增加的问题。
需要说明的是，认为上述那样的问题不限于车辆，而是对于连接于网络的各种设备共通的课题。
本发明是鉴于上述的点而成的，其目的在于降低对设备输出的数据进行分析的成本。
用于解决课题的手段
因此为了解决上述课题，信息处理装置具有：存储处理部，其将一个或多个设备中的任一个设备输出的第一数据和与该第一数据相关联的第一特征上下文建立对应地在存储部中进行储存；以及分析部，其在自一个或多个设备中的任一个设备接收第二数据的情况下，取得与该第二数据相关联的第二特征上下文，并且基于该接收的第二数据和该取得的第二特征上下文、以及储存于上述存储部的第一数据和第一特征上下文，对该接收的第二数据的异常进行分析。
发明效果
能够降低对设备输出的数据进行分析的成本。
附图说明
图1是示出本发明的实施方式中的系统构成例的图。
图2是示出本发明的实施方式中的监视服务器10的硬件构成例的图。
图3是示出本发明的实施方式中的车辆20的硬件构成例的图。
图4是示出本发明的实施方式中的车辆20以及监视服务器10的功能构成例的图。
图5是用于说明日志的产生时的处理步骤的一个例子的流程图。
图6A是示出日志的构成例的图。
图6B是示出日志的构成例的图。
图7是示出控制类日志DB271的构成例的图。
图8是示出传感器日志DB272的构成例的图。
图9是用于说明日志接收时的处理步骤的一个例子的流程图。
图10是示出特征知识DB173的构成例的图。
图11是用于说明处理方法决定时的处理步骤的一个例子的流程图。
具体实施方式
以下，基于附图对本发明的实施方式进行说明。图1是示出本发明的实施方式中的系统构成例的图。在图1中，多个车辆20是经由因特网等的网络N1与各种服务器(监视服务器10、服务提供服务器30a、服务提供服务器30b等)连接的汽车(互联汽车)。例如，各车辆20通过移动通信网络等的无线网络与网络N1连接，从而与各种服务器进行通信。
服务提供服务器30a以及服务提供服务器30b等(以下，不区分彼此的情况下称为“服务提供服务器30”。)是用于对车辆20提供规定的服务、或者用于基于自车辆20收集的信息来提供规定的服务的一个以上的计算机。例如，服务提供服务器30a可以提供远程信息处理服务。另外，服务提供服务器30b可以提供基于自各车辆20收集的数据的服务。
监视服务器10是基于自车辆20发送(上传)的数据来进行车辆20中的异常的产生的检测、异常的内容的解析等的一个以上的计算机。作为异常的一个例子，可以举出通过网络对车辆20的网络攻击等。
图2是示出本发明的实施方式中的监视服务器10的硬件构成例的图。在图2中，监视服务器10具有各自由总线B相互连接的驱动装置100、辅助存储装置102、存储器装置103、CPU104、以及接口装置105等。
用于事先在监视服务器10的处理的程序通过CD-ROM等的记录介质101提供。若存储有程序的记录介质101设置于驱动装置100，则程序自记录介质101通过驱动装置100被安装于辅助存储装置102。但是，程序的安装不是必须通过记录介质101进行，也可以通过网络自其他计算机下载。辅助存储装置102储存安装的程序，并且储存必要的文件、数据等。
在存在程序的启动指示的情况下，存储器装置103自辅助存储装置102读取并储存程序。CPU104依照储存于存储器装置103的程序来执行监视服务器10的功能。接口装置105被用作用于与网络连接的接口。
图3是示出本发明的实施方式中的车辆20的硬件构成例的图。在图3中，车辆20包括通信装置210、信息类子系统220、控制类子系统230以及网关设备240等。
通信装置210包括用于与网络N1连接的通信模块、用于与其他的车辆20或道路上的设备等通信的通信模块、以及用于通过无线LAN或近距离无线通信与智能手机等连接的通信模块等。
信息类子系统220是根据安装的程序来执行信息处理的部分，其包括CPU221、存储器装置222、辅助存储装置223、显示装置224以及输入装置225等。在辅助存储装置223存储安装的程序、以及被该程序利用的各种数据。存储器装置222自辅助存储装置223读取并储存作为启动对象的程序。CPU221依照储存于存储器装置222的程序来执行信息类子系统220的功能。显示装置224用于显示基于程序的GUI(Graphical User Interface)等。输入装置225是按键等、触摸面板等的操作部件，其用于输入各种操作指示。需要说明的是，例如车辆导航、汽车音响的头单元等的车载机器是信息类子系统220的一个例子。
控制类子系统230是用于控制车辆20的举动的部分，其包括用于各种控制的多个微型计算机231等。例如，ECU(Electronic Control Unit)是微型计算机231的一个例子。
网关设备240是用于将信息类子系统220和控制类子系统230连接的网关(例如，CGW(Central Gateway))。即，在信息类子系统220中处理的通信协议为例如IP协议，在控制类子系统230中被用作与微型计算机231之间的通信的通信协议为专门用于控制的非IP协议(例如，CAN(Controller Area Network))。因此，设有用于吸收这些通信协议的不同的网关设备240。
需要说明的是，图3所示硬件构成仅为一个例子。只要能够实现后述功能，车辆20的硬件构成不特别限定。
图4是示出本发明的实施方式中的车辆20以及监视服务器10的功能构成例的图。在图4中，车辆20的信息类子系统220具有控制类日志取得部251、传感器日志生成部252、异常判定部253、特征上下文生成部254、日志发送部255以及检测算法接收部256等。对于这些各个部，安装于信息类子系统220中的一个以上的程序通过使CPU221执行的处理来实现。信息类子系统220另外具有控制类日志DB271、传感器日志DB272以及检测算法DB273等的数据库(存储部)。这些各数据库(存储部)可以使用例如存储器装置222或辅助存储装置223等来实现。
控制类日志取得部251用于取得控制类日志并将其保存(存储)于控制类日志DB271。控制类日志是指：与基于控制类子系统230中的各微型计算机231的通信相关的日志数据。通信内容的数据本身也可以作为控制类日志。因此，控制类日志在每次通过任一微型计算机231进行通信时产生。需要说明的是，该通信的内容例如示出与车辆20的控制、音频、车载导航那样的信息娱乐类的信息、车辆20内的指示器显示等相关的通信等的内容。
传感器日志生成部252用于生成传感器日志并将其保存于传感器日志DB272。传感器日志是指，包括自配置于车辆20的各处的传感器(例如，加速度计、GPS(GlobalPositioning System)接收器等)取得的数据(例如，基于传感器的测量值等)的日志数据。自各传感器的数据的取得以及基于该数据的传感器日志的生成例如以一定周期执行，或者在特定的事件的产生等的时刻执行。每个传感器可以具有不同的传感器日志的生成时刻。另外，生成传感器日志的传感器可以是车辆20具有的全部传感器中的一部分。
异常判定部253基于控制类日志以及传感器日志(以下，不区分彼此的情况下仅称为“日志”。)，适用存储于检测算法DB273的检测算法，对异常的程度(等级)进行判定。具体而言，异常判定部253对示出由车辆20生成的日志的异常的程度的指标的值(以下、称为“异常分数”。)进行计算。但是，异常分数的计算可以仅利用控制类日志，也可以仅利用传感器日志。计算的异常分数保存于控制类日志DB271或传感器日志DB272。
特征上下文生成部254用于生成表示日志取得或生成时的车辆20的外部环境、车辆20的状态等的状况的、与日志相关联的信息(以下，称为“特征上下文”。)。例如，计算出异常分数时，特征上下文生成部254生成表示日志取得或生成的时间、车辆20的外部环境、车辆20的状态等的特征上下文。特征上下文可以基于储存于控制类日志DB271或传感器日志DB272的日志来生成，也可以基于自通信装置210取得的信息来生成。
在向监视服务器10的发送(上传)的时刻(以下称为“发送时刻”。)到来时，日志发送部255对存储于控制类日志DB271或传感器日志DB272的日志付与特征上下文地向监视服务器10发送。
检测算法接收部256用于接收自监视服务器10传送的检测算法的变更要求，并且通过该变更要求中包含的检测算法对检测算法DB273进行变更(更新)。
另一方面，监视服务器10具有日志接收部151、误检测/处理方法判断部152、检测算法变更部153、检测算法发送部154以及处理方法登记部155等。在这些各部中，安装于监视服务器10的一个以上的程序通过使CPU104执行的处理来实现。另外，监视服务器10利用控制类日志DB171、传感器日志DB172、特征知识DB173以及检测算法DB174等的数据库(存储部)。这些各数据库(存储部)例如可以使用通过网络可以与辅助存储装置102、或监视服务器10连接的存储装置等实现。
日志接收部151用于接收自车辆20发送(上传)的日志，并将该日志存储于控制类日志DB171或传感器日志DB172。另外，日志接收部151用于将该日志的输出源的微型计算机231或传感器的识别信息、该日志的异常分数以及特征上下文等存储于特征知识DB173。
误检测/处理方法判断部152用于对在日志接收部151中接收的日志的异常进行分析。车辆20的异常判定部253检测到异常的情况下，误检测/处理方法判断部152对异常是否是因异常判定部253的误检测而产生的进行判断。具体而言，误检测/处理方法判断部152自特征知识DB173抽出与在日志接收部151中接收的日志以及特征上下文的组一致或相似的过去的记录。需要说明的是，过去的记录可以是与不同的车辆相关的记录，也可以是与相同的车辆相关的记录(在不同时间得到的记录)。另外，一致或相似的过去的记录可以是仅日志一致或相似的记录，也可以是仅特征上下文一致或相似的记录。在一致或相似的过去的记录已经被分析为无异常，并且特征知识DB173的异常分数被设定为小于异常检测阈值的值的情况下，即使在异常判定部253检测到日志的异常，误检测/处理方法判断部152也将该异常判断为因异常判定部253的过度检测而产生。另外，若误检测/处理方法判断部152判断为过度检测，则可以对检测算法变更部153要求检测算法的变更。
另外，在特征知识DB173中登记有对于与接收的日志一致或相似的过去的记录的处理方法的情况下，误检测/处理方法判断部152对该日志也实施该处理方法。处理方法的例子是作为误检测对待且变更特征知识DB173的异常分数、变更检测算法等。另一方面，在特征知识DB173中不存在一致或相似的过去的记录的情况下，或者不存在处理方法的情况下等，可以输出需要详细的分析的警告。
检测算法变更部153基于自误检测/处理方法判断部152的要求，对存储于检测算法DB174的一部分或全部的检测算法进行变更。需要说明的是，在检测算法DB174中存储有传送至各车辆20的检测算法。
检测算法发送部154将包括通过检测算法变更部153变更的检测算法的变更要求传送至各车辆20。
处理方法登记部155将对于误检测/处理方法判断部152中需要详细的分析的警告而由分析员等输入的处理方法在特征知识DB173中进行登记。
需要说明的是，在图4中，对在车辆20中进行异常分数的计算以及特征上下文的生成的例子进行了说明，但是异常分数的计算或特征上下文的生成也可以在监视服务器10中进行。另外，异常分数或特征上下文可以由分析员等手动输入。
异常分数的计算在监视服务器10中进行的情况下，日志发送部255在发送时刻到来时将日志发送至监视服务器10。监视服务器10的异常判定部(未图示)与车辆20的异常判定部253同样地计算异常分数，并且将异常分数保存于控制类日志DB171或传感器日志DB172。
特征上下文的生成在监视服务器10中进行的情况下，监视服务器10的特征上下文生成部(未图示)与车辆20的特征上下文生成部254同样地生成特征上下文，并且将特征上下文存储于特征知识DB173。特征上下文可以基于储存于监视服务器10的控制类日志DB171或传感器日志DB172的日志来生成，也可以基于通过接口装置105取得的信息来生成。
以下，对车辆20的信息类子系统220执行的处理步骤进行说明。图5是用于说明日志产生时的处理步骤的一个例子的流程图。
通过基于控制类日志取得部251的控制类日志的取得，或者通过基于传感器日志生成部252的传感器日志的生成等，在控制类日志DB271或传感器日志DB272中保存某一个日志(以下称作“对象日志”。)(S101)。
图6A以及图6B是示出日志的构成例的图。图6A示出控制类日志的一个例子。控制类日志包括日期时间、车辆ID和要素ID、Data[0]、Data[1]、Data[2]、Data[3]、Data[4]、…等(以下，称为“Data[]”。)。日期时间是取得控制类日志的日期时间(进行该控制类日志的通信的日期时间)。车辆ID是车辆20的识别信息。要素ID是车辆20的构成要素的识别信息。控制类日志中的要素ID是进行了该控制类日志的通信的微型计算机231的识别信息。Data[]是包含于该通信的数据。例如，若该通信是与发动机的控制相关的通信，则与发动机的控制相关的各参数的值成为各Data[]的值。但是，不仅可以包括与发动机的控制相关的各参数的值，校验和、计数器(counter)等的数据也可以包含在Data[]中。
另一方面，图6B示出传感器日志的一个例子。传感器日志包括日期时间、车辆ID和要素ID、该传感器日志的传感器所特有的数据。日期时间是生成传感器日志的日期时间。车辆ID是车辆20的识别信息。要素ID是该传感器日志的数据的输出源的传感器的识别信息。另外，由于图6B中的传感器日志是基于自加速度传感器取得的数据的传感器日志，因此作为加速度传感器所特有的数据而包括Acc_X、Acc_Y以及Acc_Z。Acc_X、Acc_Y以及Acc_Z分别是X轴方向的加速度、Y轴方向的加速度、以及Z轴方向的加速度。
图7是示出控制类日志DB271的构成例的图。如图7所示，控制类日志DB271的各记录包括图6A所示各项目、以及异常分数。其中，在步骤S101的时刻，异常分数的值为空。这是由于异常分数的值在步骤S102中确定。
图8是示出传感器日志DB272的构成例的图。如图8所示，传感器日志DB272的各记录包括图6B所示各项目、以及异常分数。其中，在步骤S101的时刻，异常分数的值因与控制类日志DB271相同的理由而为空。需要说明的是，对于传感器日志的形式，每个传感器不同。例如，若为GPS接收器的传感器日志，则包含纬度以及经度等。因此，在传感器日志DB272中，可以区分每个传感器(每个要素ID)而在不同的表中存储传感器日志。
异常判定部253用于判定(计算)关于对象日志的异常分数，并将其保存于控制类日志DB271或传感器日志DB272(S102)。异常分数的判定以恒定周期进行，可以与包括特定的值的日志的产生对应地进行，也可以在每次保存异常的判定所必须的一定量的日志时进行。
关于对象日志的异常分数的判定(计算)可以使用公知技术进行。例如，可以基于微型计算机231之间的通信间隔、微型计算机231输出的数据值来判定异常分数。另外，例如，可以通过向设定为输入日志、输出异常分数的已学习的模型(例如，神经网络)输入对象日志，从而判定异常分数。异常分数可以是示出有无异常的0或1，也可以是用最小值(例如0)至最大值(例如1)的范围表示异常的程度的值。另外，异常分数的判定可以使用控制类日志以及传感器日志这两者进行。例如，也可以仅使用控制类日志以及传感器日志中的任一者来进行异常分数的判定。
特征上下文生成部254在异常判定部253中判定了异常分数时，生成关于对象日志的特征上下文(S103)。特征上下文生成部254不只在对象日志的异常分数为异常检测阈值以上的情况、即检测为异常的情况下生成特征上下文，可以在对象日志的异常分数为小于异常检测阈值的情况、即检测为正常的情况下也生成特征上下文。
特征上下文生成部254用于生成表示车辆20的外部环境的空间特征上下文、表示日志取得或生成的时间的时间特征上下文、以及表示车辆20的举动的举动特征上下文等。另外，也可以生成表示与车辆20的交通状况相关的信息的交通域相关上下文上下文、以及表示与车辆20的状态相关的信息的车辆域相关上下文上下文等。
空间特征上下文的例子为天气、地点、障碍物、气温、雨量、湿度、气压、风速等。时间特征上下文的例子为时间、星期、季节、事件等。举动的特征上下文的例子为自车辆20的传感器或其他车辆的传感器等取得的速度、加速度、角速度等。交通域相关上下文的例子为行驶线路、路面状况、交通流量、坡度、海拔、宽度、行车道等。车辆域相关上下文的例为车种类、年型、选配的有无、故障履历、搭载ECU、攻击履历、攻击活动信息等。需要说明的是，这些特征上下文的分类仅为了方便，例如可以将气温、雨量、湿度、气圧、风速等分类为时间特征上下文，也可以将坡度、海拔等分类为空间特征上下文。另外，可以使用上述特征上下文的任意的组合，也可以使用其他特征上下文。
例如，在能够自智能手机、外部的服务器等通过通信装置210取得天气、气温等的信息的情况下，特征上下文生成部254生成表示气象环境的空间特征上下文。例如，特征上下文生成部254自传感器日志DB272中保存的GPS接收器的传感器日志生成表示车辆20的场所的空间特征上下文。例如，特征上下文生成部254使用传感器日志DB272中保存的GPS接收器的传感器日志、以及控制类日志DB271中保存的车速的控制类日志，生成表示车辆20的速度以及加速度的举动特征上下文。各个特征上下文可以生成瞬间值，或者也可以生成期间内的连续值或离散值。
在发送时刻到来时，日志发送部255对于对象日志付与特征上下文地将其向监视服务器10发送(S104)。日志发送部255可以向监视服务器10发送检测为异常的日志(即，异常分数为异常检测阈值以上的日志)以及检测为正常的日志(即，异常分数小于异常检测阈值的日志)这两者，也可以发送检测为异常的日志，不发送检测为正常的日志。另外，日志发送部255可以基于事先设定的优先度或基准，来选择应发送的日志。
需要说明的是，监视服务器10可以在监视服务器10接收对象日志之后执行异常分数的判定(S102)以及特征上下文的生成(S103)。
以下，对监视服务器10执行的处理步骤进行说明。图9是用于说明日志接收时的处理步骤的一个例子的流程图。
日志接收部151与特征上下文一同接收对象日志，并且将对象日志保存于控制类日志DB171或传感器日志DB172，将特征上下文保存于特征知识DB173(S201)。控制类日志DB171以及传感器日志DB172分别与图7以及图8相同地构成。
图10是示出特征知识DB173的构成例的图。如图10所示，特征知识DB173的各记录除了包括控制类日志DB171或传感器日志DB172之中的日期时间、车辆ID、要素ID以及异常分数之外，还包括特征上下文以及处理方法。在特征上下文中保存日志接收部151接收的特征上下文。由于处理方法在步骤S303中被登记，因此为空。通过车辆ID以及要素ID的组合，能够识别对象日志的输出源的车辆20以及微型计算机231或传感器。需要说明的是，特征知识DB173的记录与控制类日志DB171或传感器日志DB172的记录的对应关系可以通过日期时间、车辆ID以及要素ID的组来识别，也可以通过将表示控制类日志DB171或传感器日志DB172的记录的日志ID追加至特征知识DB173来识别。
在异常分数为异常检测阈值以上的情况下(S202：Yes)，执行以下的处理。需要说明的是，在车辆20的日志发送部255不发送异常分数为小于异常检测阈值的日志的情况下，可以不执行步骤S202。
误检测/处理方法判断部152判定(计算)对象日志或特征上下文与特征知识DB173中保存的过去的记录的相似度(S203)。在特征上下文生成为连续值的情况下，可以为了相似度的判定而将连续值转换为离散值。
一致或相似的判定方法可以使用公知技术进行。例如，可以使用完全一致或部分一致。另外，例如，可以通过将对象日志、特征上下文、以及特征知识DB173内某一记录输入已学习的模型(例如，神经网络)，从而判定相似度，该已学习的模型(例如，神经网络)设定为输入各种日志以及特征上下文，输出各自的相似度。除此之外，可以进行离群值检验等的统计处理。特征上下文的一致或相似的判定可以跨多个特征上下文进行。在跨多个上下文进行判定的情况下，可以应用与特征上下文相应的权重。
在特征知识DB173中存在一致或相似的过去的记录的情况下(S204：Yes)，且在特征知识DB173中存在对该记录能够自动实施的处理方法的情况下(S205：Yes)，误检测/处理方法判断部152实施该处理方法(S206)。
例如，假设以下情况，即，异常判定部253判定负责车辆20的制动器的控制的微型计算机231超过阈值运转，其结果，自该微型计算机231的控制类日志生成表示制动器的举动的举动特征上下文，并且自通过GPS接收器的传感器日志、摄像机或距离传感器的传感器日志、VICS(注册商标)(Vehicle Information and Communication System)信息、V2V(Vehicle-to-Vehicle)或V2I(Vehicle-to-Infrastructure)获得的信息，生成了表示车辆20的场所的空间特征上下文、以及表示堵车的产生的交通域相关依赖上下文。虽然也生成表示车辆20的状态的车辆域相关上下文等的其他的特征上下文，但是对于与制动器的控制相关联的特征上下文适用较高的权重。权重是在包括误检测的异常的判定中加入特征上下文的系数，例如可以以相对于特征上下文的对数系数的形式进行安装。在此，由于着眼于举动的特征上下文、空间的特征上下文以及交通域相关上下文的相似度，因此对这些特征上下文适用较高的权重。误检测/处理方法判断部152自特征知识DB173检索一致或相似的过去的记录。在一致或相似的过去的记录的异常分数为小于异常检测阈值的情况下，误检测/处理方法判断部152判断为因堵车产生了误检测，并且在特征知识DB173中更新与该微型计算机231的控制类日志相关的异常分数的值。另外，在对于一致或相似的过去的记录设定有能够自动实施的处理方法的情况下，误检测/处理方法判断部152实施该处理方法。
例如，假设如下情况，即，异常判定部253判定负责车辆20的雨刷的控制的微型计算机231超过阈值运转，其结果，自该微型计算机231的控制类日志生成表示雨刷的举动的举动特征上下文，自外部的服务器生成表示天气为雨天的空间特征上下文，并且生成表示车种的车辆域相关上下文。在此，关于雨刷的控制，由于着眼于举动特征上下文、空间特征上下文以及车辆域相关上下文的相似度，因此对于这些特征上下文适用较高的权重。误检测/处理方法判断部152自特征知识DB173检索一致或相似的过去的记录。在一致或相似的过去的记录的异常分数为小于异常检测阈值的情况下，误检测/处理方法判断部152判断因用于判定雨刷的异常的阈值不合适而产生误检测，并且在特征知识DB173中更新与该微型计算机231的控制类日志相关的异常分数的值。另外，在对于一致或相似的过去的记录设定有能够自动实施的处理方法的情况下，误检测/处理方法判断部152实施该处理方法。
另一方面，在特征知识DB173中不存在一致或相似的过去的记录的情况下(S204：No)，或者在特征知识DB173中不存在对于该记录能够自动实施的处理方法的情况下(S205：No)，误检测/处理方法判断部152输出由于是未知的检测因此需要详细的分析的警告(S207)。警告可以由监视服务器10通知其他的分析器或分析员等。
在负责上述制动器的控制的微型计算机231的异常检测的离子、或负责雨刷的控制的微型计算机231的异常检测的例子中，在误检测/处理方法判断部152不能判断是否为误检测的情况下，向其他的分析器或分析员等要求详细的分析。
其他的分析器或分析员等参照在控制类日志DB171或传感器日志DB172中保存的日志、以及在特征知识DB173中保存的特征上下文，进行异常的分析。由于对日志付与了特征上下文，因此也能够判定网络攻击等的大規模的异常(跨多个车辆20的异常)的产生的可能性的有无。该异常的分析方法不限于规定的方法。例如，可以基于已学习的模型(神经网络等)进行，也可以使用其他的公知技术。另外，在异常的产生的可能性的有无的判定中，可以利用汽车公司的CERT(Computer Emergency Response Team)、别的企业所有的SOC(Security Operation Center)、以及来自安全供应商的发表等的信息。
根据其他的分析器或分析员等的分析结果确定处理方法。例如，对于判断为误检测的日志，确定以不再被检测为异常的方式变更检测算法的处理方法。例如，对于判断为不是误检测的日志，确定故障部位的检查或修理、微型计算机231、辅助存储装置223等的软件的更新等的处理方法。
以下，对在其他的分析器或分析员等的分析结束之后，监视服务器10执行的处理步骤进行说明。图11是用于说明处理方法决定时的处理步骤的一个例子的流程图。
处理方法登记部155接收由其他的分析器或分析员等决定的处理方法(S301)。在处理方法中，存在能够自动实施的处理方法、以及需要在经销商的检查或修理等而不能自动实施的处理方法。在能够自动实施的处理方法中，例如包括变更异常判定部253使用的检测算法、作为误检测处理、通知车辆20的所有人等的事先设定的联系方式等。
在处理方法登记部155接收能够自动实施的处理方法的情况下(S302：Yes)，将该处理方法在特征知识DB173中进行登记(S303)。需要说明的是，对于不能自动实施的处理方法，也可以将不能自动实施这样的内容在特征知识DB173进行登记。
另外，在将变更检测算法这样的处理方法在特征知识DB173中进行登记的情况下(S304：Yes)，误检测/处理方法判断部152对检测算法变更部153要求检测算法的变更，检测算法变更部153变更在检测算法DB174存储的检测算法(S305)。在检测算法的变更中包括异常判定部253使用的特征量的抽出方法的变更、对于特征量的权重的变更、阈值的调节、表示不判定为异常的条件的白名单的设定等。
检测算法发送部154通过无线等的接口装置150将检测算法发送至车辆20(S306)。检测算法的发送可以以恒定周期进行，也可以与检测算法的变更相应地进行。需要说明的是，检测算法发送部154可以将需要更新检测算法通知车辆20的所有人等的事先设定的联系方式，车辆20中的检测算法的更新在经销商等进行。车辆20的检测算法接收部256接收检测算法，并且变更检测算法DB273。变更的检测算法在图5的步骤S102中被用于判定异常分数。
这样，在本实施方式中，由于对日志付与了特征上下文，因此把握检测到异常的状态变得容易。其结果，能够降低检测结果的正误判定、含义等的分析所需要的成本。另外，通过与误检测的判断相应地更新检测算法，能够降低误检测的产生。
需要说明的是，在本实施方式中，虽然将车辆20作为设备的一个例子进行了说明，但是对于具有通信功能的其他设备也可以适用本实施方式。例如，对于工厂中的机器人等的产业用控制设备、配置于各地的传感器、音频设备、家电产品、通信终端(智能手机、平板电脑终端等)、一般称作IoT(Internet of Things)设备的设备，也可以适用本实施方式。
如上所述，根据本实施方式，对于在车辆20中产生的数据(日志)付与特征上下文地发送至监视服务器10。监视服务器10通过将发送的日志以及特征上下文关联地在特征知识DB173中进行保存，能够降低日志的分析所需要的成本。
另外，监视服务器10通过将能够自动实施的处理方法在特征知识DB173中进行登记，从而能够减少分析员等应分析的日志的量。
另外，在产生过度检测时，监视服务器10通过以不产生该过度检测的方式变更车辆20的检测算法，从而能够降低过度检测的产生。
需要说明的是，在本实施方式中，车辆20是设备的一个例子。监视服务器10是信息处理装置的一个例子。日志接收部151是存储处理部的一个例子。误检测/处理方法判断部152是分析部的一个例子。处理方法登记部155是登记部的一个例子。检测算法变更部153以及检测算法发送部154是变更部的一个例子。
以上，对本发明的实施方式进行了详述，但是本发明不限定于该特定的实施方式，在权利要求书中记载的本发明的要旨的范围内，能够进行各种变形、变更。
本国际申请要求基于2018年10月11日申请的日本国专利申请2018-192415号的优先权，并且在本国际申请中引用2018-192415号的全部内容。
附图标记说明
10 监视服务器
20 车辆
30a 服务提供服务器
30b 服务提供服务器
100 驱动装置
101 记录介质
102 辅助存储装置
103 存储器装置
104 CPU
105 接口装置
151 日志接收部
152 误检测/处理方法判断部
153 检测算法变更部
154 检测算法发送部
155 处理方法登记部
171 控制类日志DB
172 传感器日志DB
173 特征知识DB
174 检测算法DB
210 通信装置
221 CPU
222 存储器装置
223 辅助存储装置
224 显示装置
225 输入装置
220 信息类子系统
230 控制类子系统
231 微型计算机
240 网关设备
251 控制类日志取得部
252 传感器日志生成部
253 异常判定部
254 特征上下文生成部
255 日志发送部
256 检测算法接收部
271 控制类日志DB
272 传感器日志DB
273 检测算法DB
B 总线

Claims (8)

1.一种信息处理装置，其具有：
存储处理部，其将一个或多个设备中的任一个设备输出的第一数据和与该第一数据相关联的第一特征上下文建立对应地在存储部中进行储存；以及
分析部，其在自一个或多个设备中的任一个设备接收第二数据的情况下，取得与该第二数据相关联的第二特征上下文，并且基于该接收的第二数据和该取得的第二特征上下文、以及储存于上述存储部的第一数据和第一特征上下文，对该接收的第二数据的异常进行分析。
2.根据权利要求1所述的信息处理装置，其中，该信息处理装置还具有：
登记部，其将对于上述第一数据应实施的处理方法与上述第一数据或上述第一特征上下文建立对应地在上述存储部中进行登记。
3.根据权利要求2所述的信息处理装置，其中，
上述分析部自上述存储部抽出与上述接收的第二数据一致或相似的数据，或者抽出与上述取得的第二特征上下文一致或相似的特征上下文，并且输出对于该抽出的数据或特征上下文的处理方法。
4.根据权利要求1至3中任一项所述的信息处理装置，其中，该信息处理装置还具有：
变更部，其基于上述分析部中的分析结果，对输出上述第二数据的设备的检测算法进行变更。
5.根据权利要求1至4中任一项所述信息处理装置，其中，
上述第一特征上下文以及上述第二特征上下文包括表示设备的外部环境的空间特征上下文、表示设备输出数据的时间的时间特征上下文、以及表示设备的举动的举动特征上下文中的至少一者。
6.根据权利要求1至5中任一项所述的信息处理装置，其中，
上述分析部适用与特征上下文相应的权重。
7.一种异常分析方法，在该异常分析方法中，信息处理装置执行以下步骤：
存储处理步骤，其将一个或多个设备中的任一个设备输出的第一数据和与该第一数据相关联的第一特征上下文建立对应地在存储部中进行存储；以及
分析步骤，其在自一个或多个设备中的任一个设备接收第二数据的情况下，取得与该第二数据相关联的第二特征上下文，并且基于该接收的第二数据和该取得的第二特征上下文、以及储存于上述存储部的第一数据和第一特征上下文，对该接收的第二数据的异常进行分析。
8.一种程序，其使信息处理装置起到权利要求1至6中任一项所述的各个部的作用。
CN201980064266.3A 2018-10-11 2019-10-10 信息处理装置、异常分析方法以及程序 Pending CN112805687A (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2018192415 2018-10-11
JP2018-192415 2018-10-11
PCT/JP2019/040017 WO2020075801A1 (ja) 2018-10-11 2019-10-10 情報処理装置、異常分析方法及びプログラム

Publications (1)

Publication Number Publication Date
CN112805687A true CN112805687A (zh) 2021-05-14

Family

ID=70163825

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201980064266.3A Pending CN112805687A (zh) 2018-10-11 2019-10-10 信息处理装置、异常分析方法以及程序

Country Status (5)

Country Link
US (1) US11863574B2 (zh)
EP (1) EP3842944A4 (zh)
JP (1) JP7180686B2 (zh)
CN (1) CN112805687A (zh)
WO (1) WO2020075801A1 (zh)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021144860A1 (ja) * 2020-01-14 2021-07-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車両ログ保存装置、車両ログ送信装置、車両ログ収集システムおよび車両ログ保存方法
JP7380473B2 (ja) * 2020-07-29 2023-11-15 株式会社デンソー セキュリティ監視システム
JP7230147B1 (ja) * 2021-09-24 2023-02-28 エヌ・ティ・ティ・コミュニケーションズ株式会社 車両セキュリティ分析装置、方法およびそのプログラム
JP2023132005A (ja) * 2022-03-10 2023-09-22 日立Astemo株式会社 車両診断システム
CN115348050B (zh) * 2022-06-24 2024-08-23 国网浙江省电力有限公司嘉兴供电公司 一种配电网设备异常数据传输方法

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090024880A1 (en) * 2007-07-18 2009-01-22 Udo Klein System and method for triggering control over abnormal program termination
US20120131650A1 (en) * 2010-11-18 2012-05-24 Gutt Gregory M Spot beam based authentication
CN103067344A (zh) * 2011-10-24 2013-04-24 国际商业机器公司 在云环境中自动分发安全规则的非侵入性方法和设备
CN104901976A (zh) * 2014-03-03 2015-09-09 华为技术有限公司 一种车辆内部使用场景的设置方法、车载设备和网络设备
EP3016014A1 (en) * 2014-10-31 2016-05-04 NCR Corporation Enterprise intrusion detection and remediation
US20160381066A1 (en) * 2015-06-29 2016-12-29 Argus Cyber Security Ltd. System and method for content based anomaly detection in an in-vehicle communication network
WO2017104119A1 (ja) * 2015-12-14 2017-06-22 日本電気株式会社 ログ分析システム、方法およびプログラム

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5468837B2 (ja) * 2009-07-30 2014-04-09 株式会社日立製作所 異常検出方法、装置、及びプログラム
US10369942B2 (en) * 2014-01-06 2019-08-06 Argus Cyber Security Ltd. Hosted watchman
JP6423402B2 (ja) 2015-12-16 2018-11-14 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
JP6801575B2 (ja) 2017-05-16 2020-12-16 王子ホールディングス株式会社 塗工装置、衛生用品の製造装置、塗工方法、および、衛生用品の製造方法

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090024880A1 (en) * 2007-07-18 2009-01-22 Udo Klein System and method for triggering control over abnormal program termination
US20120131650A1 (en) * 2010-11-18 2012-05-24 Gutt Gregory M Spot beam based authentication
CN103067344A (zh) * 2011-10-24 2013-04-24 国际商业机器公司 在云环境中自动分发安全规则的非侵入性方法和设备
CN104901976A (zh) * 2014-03-03 2015-09-09 华为技术有限公司 一种车辆内部使用场景的设置方法、车载设备和网络设备
EP3016014A1 (en) * 2014-10-31 2016-05-04 NCR Corporation Enterprise intrusion detection and remediation
US20160381066A1 (en) * 2015-06-29 2016-12-29 Argus Cyber Security Ltd. System and method for content based anomaly detection in an in-vehicle communication network
WO2017104119A1 (ja) * 2015-12-14 2017-06-22 日本電気株式会社 ログ分析システム、方法およびプログラム

Also Published As

Publication number Publication date
JPWO2020075801A1 (ja) 2021-09-02
US20210409434A1 (en) 2021-12-30
EP3842944A1 (en) 2021-06-30
JP7180686B2 (ja) 2022-11-30
WO2020075801A1 (ja) 2020-04-16
US11863574B2 (en) 2024-01-02
EP3842944A4 (en) 2022-04-27

Similar Documents

Publication Publication Date Title
US11380197B2 (en) Data analysis apparatus
CN112805687A (zh) 信息处理装置、异常分析方法以及程序
JP7056752B2 (ja) 分析装置、分析システム、分析方法及びプログラム
EP4106298B1 (en) Vehicle anomaly detection server, vehicle anomaly detection system, and vehicle anomaly detection method
EP3915843A1 (en) Vehicle security monitoring device, method, and program
EP3800623B1 (en) Apparatus, data transmission method and program
US11178164B2 (en) Data analysis apparatus
JP7103427B2 (ja) 情報処理装置、データ分析方法及びプログラム
CN112823339B (zh) 信息处理装置、日志分析方法及程序产品
EP4158918B1 (en) Method and system for assessing the correctness of information transmitted by a vehicle

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination