JP2019009617A - 異常検知装置、異常検知システム、異常検知方法、異常検知プログラム及び記録媒体 - Google Patents

Abstract

【課題】車載ネットワークにおいて、より効率的に不正な通信を検知する異常検知装置を提供する。【解決手段】異常検知装置は、複数の運転状況のうちの少なくともひとつである適用運転状況２３１、及び車載ネットワークを流れる監視対象情報の範囲を規定するルール情報のうち適用運転状況に対応する適用ルール情報２３２を記憶する適用ルール記憶部２３０と、運転状況を取得し、取得した運転状況が適用運転状況と異なる場合に運転状況に対応するルール情報を取得し、取得した運転状況及び取得したルール情報で適用ルール記憶部に記憶された適用運転状況及び適用ルール情報をそれぞれ更新するルール更新部２１０と、車載ネットワークから、適用ルール情報に規定された範囲の監視対象情報を取得し、取得した監視対象情報に基づいて異常であるかどうかを判定する異常判定部２２０と、を備える。【選択図】図２

Description

本発明は、車載ネットワークにおける異常検知装置、異常検知システム、異常検知方法、異常検知プログラム及び記録媒体に関する。

従来から、通信ネットワークの外部からの不審なアクセスやデータがないかを検知するネットワーク侵入検知システム（ＮＩＤＳ：Network-based Intrusion Detection System）が知られている。

特許文献１は、監視対象ネットワークに接続されたホスト計算機の構成情報に対応するルールセットだけを参照して不正パケットの検知処理を行なうことにより、処理能力の消費量を低減する侵入検知装置について開示している。

特開２００３−０９２６０３号公報

近年、自動車等の車両内においても、車両の制御や車両状態の表示等のために、車載ネットワークと呼ばれる通信ネットワークを利用した通信が利用されている。このような車載ネットワークにおいても、ＤＣＭ（Data Communication Module）やＤＣＵ（Data Communication Unit）といった無線通信ユニットを介した無線通信が利用されており、このような無線通信ユニットを介した車載ネットワークに対する不正なアクセス、及びこの不正なアクセスに起因する車両ネットワーク内の不正な通信等に対する対策が求められている。

ところで、車両内に配置される車載ネットワークでは、情報処理機器の配置スペースは限られており、また通信のリアルタイム性が要求されるため、不正アクセスに対する検知処理は、より処理負荷を小さくすることが望まれている。そこで、特許文献１のような技術を適用して、処理負荷を低減することが考えられるが、「ホスト計算機の構成情報」がほぼ変化しない車載ネットワークにおいてこのような技術の適用は難しい。

本開示は、上述の事情に鑑みてされたものであり、車載ネットワークにおいて、より効率的に不正な通信を検知する異常検知装置、異常検知システム、異常検知方法、異常検知プログラム及び記録媒体を提供することを目的とする。

本開示の一態様である異常検知装置は、複数の運転状況のうちの少なくともひとつである適用運転状況（２３１）、及び車載ネットワークを流れる監視対象情報の範囲を規定するルール情報のうち前記適用運転状況に対応する適用ルール情報（２３２）を記憶する適用ルール記憶部（２３０）と、前記運転状況を取得し、取得した前記運転状況が前記適用運転状況と異なる場合に前記運転状況に対応する前記ルール情報を取得し、取得した前記運転状況及び取得した前記ルール情報で前記適用ルール記憶部に記憶された前記適用運転状況及び前記適用ルール情報をそれぞれ更新するルール更新部（２１０）と、前記車載ネットワークから、前記適用ルール情報に規定された範囲の前記監視対象情報を取得し、取得した前記監視対象情報に基づいて異常であるかどうかを判定する異常判定部（２２０）と、を備える異常検知装置である。

上述のような構成により異常検知装置は、車載ネットワークにおいて、より効率的に不正な通信を検知することができる。

本開示の一実施形態に係る異常検知システムの例について示す図である。 本開示の一実施形態に係る異常検知装置の構成例について示す図である。 運転状況判定装置の構成例について示す図である。 運転状況判定装置における運転状況判定処理の例について示すフローチャートである。 記録媒体に記録されたルール情報データベースのデータ構造を示す図である。 異常検知装置の異常検知処理の例について示すフローチャートである。 判定基準の違いによる異常検知の精度の違いを説明するための図である。 判定基準の違いによる異常検知の精度の違いを説明するための図である。

以下、本発明の異常検知装置２００及び異常検知システム１００の構成及び機能について、図面を参照して説明する。なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また特許請求の範囲の従属項に記載の構成及び方法、従属項に記載の構成及び方法に対応する実施形態の方法、及び特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明においては任意の構成及び方法である。発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の手段と共に発明の進歩性を肯定する事実である。

図１に示すように、異常検知システム１００は、異常検知装置２００と、運転状況判定装置３００と、ルール情報データベース４００と、異常検知装置２００と運転状況判定装置３００とを接続する車載ネットワーク１０２と、を有している。ここで、車載ネットワーク１０２には、異常検知装置２００及び運転状況判定装置３００の他、他のＥＣＵ（Electronic Control Unit）１０４等の制御ユニットやＤＣＭ（Data Communication Module）１０６等の無線通信ユニットが接続されていてもよい。

異常検知装置２００及び運転状況判定装置３００は、それぞれ一つのＥＣＵとして構成されていてもよいし、組み合わされて一つのＥＣＵとして構成であってもよい。また異常検知装置２００又は運転状況判定装置３００は、ＥＣＵ以外の制御ユニットや、ＤＣＭやゲートウェイ等の通信ユニットに組み込まれる構成であってもよい。異常検知装置２００及び運転状況判定装置３００は、例えば、主に半導体装置で構成され、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）等の揮発性記憶部等を有する、いわゆる情報処理装置として構成されていてもよい。情報処理装置は、フラッシュメモリ等の不揮発性記憶部、通信ネットワークに接続されるネットワークインターフェース部等を更に有していてもよい。また、このような情報処理装置はパッケージ化された半導体装置であっても、配線基板において各半導体装置が配線接続された構成であってもよい。

ルール情報データベース４００は、データベース構造を有するデータを記録したコンピュータ読み取り可能な記録媒体として提供されていてもよい。記録媒体は、例えば車載ネットワーク１０２とは異なる車外の他のネットワークに接続されたデータベースサーバ装置として構成されていてもよいし、車載ネットワーク１０２に接続されたＥＣＵ等の制御ユニットとして構成されていてもよい。他のネットワークに接続されている場合には、異常検知装置２００とルール情報データベース４００との通信は、無線通信を介した通信によるものとすることができる。無線通信には、各種の公衆無線ネットワーク規格、無線ＬＡＮ（Local Area Network）通信規格、近距離無線規格その他の無線規格に準拠した通信を用いることができる。異常検知装置２００とルール情報データベース４００との通信は、無線通信を介した通信によるものとすることにより、ルール情報データベース４００を車内に設置する必要がないため、車内に配置するＥＣＵ等の記憶容量や処理の負荷をより低減することができる。

図１では、異常検知装置２００が直接ルール情報データベース４００にアクセスするように記載されているが、ＤＣＭ１０６等の無線通信ユニットによる無線通信を介してルール情報データベース４００にアクセスするものであってもよい。データベースサーバ装置のハードウェア構成は、例えば、主に半導体装置とそれらを接続する配線とから構成されることができる。具体的には、ＣＰＵ、ＲＡＭ等の揮発性記憶部、ハードディスクやフラッシュメモリ等の不揮発性記憶部、通信ネットワークに接続されるネットワークインターフェース等を有していてもよい。車載ネットワーク１０２には、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ−Ｆｉ（登録商標）等のＬＡＮ通信規格その他の通信規格を用いることができる。

図２に示されるように、異常検知装置２００は、適用ルール記憶部２３０と、ルール更新部２１０と、異常判定部２２０とを有している。適用ルール記憶部２３０は、適用運転状況２３１と適用ルール情報２３２とを記憶する。「適用運転状況」２３１は、複数の「運転状況」のうちの少なくともひとつである。「適用ルール情報」２３２は、車載ネットワーク１０２を流れる「監視対象情報」の範囲を規定する「ルール情報」のうち適用運転状況２３１に対応するルール情報である。

ルール更新部２１０は、運転状況を「取得」し、取得した運転状況が適用運転状況２３１と異なる場合に運転状況に対応するルール情報を「取得」する。また、ルール更新部２１０は、取得した運転状況及び取得したルール情報で適用ルール記憶部２３０に記憶された適用運転状況２３１及び適用ルール情報２３２をそれぞれ「更新」する。異常判定部２２０は、車載ネットワーク１０２から、適用ルール情報２３２に規定された範囲の監視対象情報を「取得」し、取得した監視対象情報に基づいて異常であるかどうかを判定する。

ここで、「運転状況」は、運転の状況又は状態の他、車両や周辺環境の状況又は状態を含み、例えば運転操作、車両挙動及び周辺環境等に基づいて判定されるものとすることができる。「運転状況」は複数の運転状況から選択されるものであってもよいし、運転操作、車両挙動及び周辺環境等の情報の組合せそのものを運転状況として定めてもよい。「適用運転状況」とは、異常検知装置において現に適用されている「運転状況」である。運転状況の例としては、『高速道路走行』、『交差点進入』、『停止』、『交差点進入時の減速』、『複数車線道路での車線変更』、『料金所に近づくため減速』、『高速道路合流地点時の加速』等を挙げることができる。また運転状況の例としては、更に『市街地での複雑な運転操作』、『渋滞時の低速走行』、『狭路での徐行』、『踏切での一旦停止』、『一般路での定速走行』、及び『駐車施設での後退』等を挙げることができるが、これら以外の運転状況を用いることとしてもよい。

「適用ルール情報」は、「適用運転状況」に対応する「ルール情報」で、異常判定装置において現に適用されている「ルール情報」を意味する。「取得」は、特に指定がなければ、車載ネットワーク１０２を介した取得でもよいし、無線通信等を介した取得でもよいし、同一装置内からの取得でもよい。なお「取得した運転状況」は、実質的に最新の「運転状況」を意味する。

「更新」は、上書きの場合の他、新しい情報を一定数まで追加するなど、新しい情報が取り出せるようになっていればよい。「監視対象情報」とは、デジタル又はアナログの電気信号によって取得される情報のうち異常判定の処理の対象となる情報を含み、例えばパケット通信網である車載ネットワークを流れるパケットの場合には、異常判定の処理の対象とするパケットを意味する。「監視対象情報に基づいて」は、監視対象情報の内容の他、監視対象情報の取得頻度等の取得状況に基づくものであってもよい。また、これらの両方に基づいてもよいし、これらのいずれか又は両方を用いた演算の結果に基づくものであってもよい。監視対象情報の内容により判定することにより、監視対象情報の内容に現れる不正な通信を検知することができる。監視対象情報の頻度により判定することにより、監視対象情報の頻度に現れる不正な通信を検知することができる。この「監視対象情報に基づい」た情報を、判定の対象となる情報、とも呼ぶこととする。なお、以下の説明では、監視対象情報は、パケット通信網である車載ネットワークを介して取得される監視対象パケットとして説明するが、監視対象情報はパケットに限定されるものではない。

異常検知装置２００は、このように構成されることにより、運転状況に応じて車載ネットワーク１０２を流れる監視対象パケットを絞り込むため、より効率的に異常を検知することができる。つまり、運転状況に応じて監視対象パケットを限定することにより、異常検知処理の負荷を低減し、実行処理の負荷を抑えると共に、ハードウェア資源を節約することができる。なお、異常検知装置２００内の各部は、図２に示されるように、一つのハードウェアによって構成されるものだけでなく、例えば複数の制御ユニットに分割されて構成され、車載ネットワーク１０２を介して接続されるものであってもよい。

図３に示されるように、運転状況判定装置３００は、情報取得部３０２と、判定部３０４とを有している。ここで情報取得部３０２は、操作情報、挙動情報及び周辺情報のうち少なくともいずれか一つに含まれる情報を取得することとしてもよい。判定部３０４は、取得した情報に基づいて複数の運転状況の中から一つの運転状況を判定する。運転状況判定装置３００は、判定された運転状況を異常検知装置２００に対して提供する。ここで、「提供」は車載ネットワークを介した提供でもよいし、無線通信等を介した提供でもよいし、同一装置内からの提供でもよい意味である。

操作情報は、例えばハンドルやブレーキ等の操作対象に対する操作についての情報を意味する。より具体的には、操作情報は、アクセルペダルの踏み込み量を検出するアクセルペダルセンサ、ブレーキペダルの踏み込み量を検出するブレーキペダルセンサから出力される情報であってもよい。また、操作情報は、ステアリングホイールの操舵角度を検出するステアリングセンサ、方向指示器を作動させるための方向指示スイッチ、及びトランスミッションのシフト位置を検出するポジションセンサ等から出力される情報であってもよい。また、情報取得部３０２又は判定部３０４は、このような出力された情報から、例えば停止、加速、定速、減速、旋回及び後退等の運転状況を構成する要素情報に結びつける処理を行ってもよい。

また、挙動情報は、例えば速度や加速度等の車両の挙動についての情報を意味する。より具体的には、挙動情報は、車両の走行速度を検出する速度センサ、車両の前後方向の加速度を検出する前後加速度センサ、及び車両の横方向の加速度を検出する横加速度センサ等から出力される情報であってもよい。周辺情報は、例えば位置情報、緯度経度、道路地図情報、施設情報、気象情報等の車両の位置を含む。より具体的には、周辺情報は、例えば車両の周囲を撮影するカメラ、前方を走行する車両や障害物までの距離を計測するレーダ装置、緯度経度を計測するＧＰＳシステム、道路や施設の情報を含む地図データベース、Ｖ２Ｘを利用した他車両又は路側機等から出力される情報であってもよい。情報取得部３０２又は判定部３０４は、このような周辺情報から、例えば一般路、市街地、高速道路、駐車施設、道路幅、車線数、急カーブ及び渋滞具合等の運転状況を構成する要素情報に結びつける処理を行ってもよい。このように、操作情報、挙動情報及び周辺情報のうち少なくともいずれか一つに含まれる情報に基づいて運転状況を判定することにより、より正確で詳細な運転状況を定めることができる。

図４のフローチャートに示されるように、運転状況判定処理Ｓ２００では、まずステップＳ２０１〜Ｓ２０６間のループ処理に入り、ステップＳ２０２において、情報取得部３０２が、上述のセンサ等の装置から出力される情報である操作情報、挙動情報及び周辺情報のうち少なくとも一つを取得する。続いて、取得した情報に基づいて運転状況を判定する（Ｓ２０３）。判定部３０４は、例えば、ＧＰＳシステム、地図データベース及び速度センサの情報に基づいて、運転状況を『高速道路走行』と判定することができる。また例えば、車両前方を撮影するカメラの画像の解析により信号機を抽出し、運転状況を『交差点侵入』と判定することとしてもよい。また例えば、速度センサが０を示したことに基づいて、運転状況を『停止』と判定することとしてもよい。

次に運転状況について、運転状況判定装置３００内部や車載ネットワーク１０２に接続された他の装置から送信要求を受信しているかどうかを判定し（Ｓ２０４）、送信要求を受信している場合には、判定した運転状況を送信要求の相手に送信する（Ｓ２０５）。運転状況の送信後、又はステップＳ２０４において送信要求を受信していない場合には、電源ＯＦＦ処理の指示を受信しているかどうかを判定する（Ｓ２０６）。電源ＯＦＦ処理の指示を受信していない場合には、繰り返し処理の先頭であるステップＳ２０１に戻り、ステップＳ２０２からの処理を繰り返す。ステップＳ２０６において電源ＯＦＦ処理の指示を受信している判定の場合には、運転状況判定処理Ｓ２００を終了する。上述の運転状況判定処理Ｓ２００は例であり、例えばステップＳ２０４〜Ｓ２０６の処理は運転状況判定装置３００により行われる処理ではなく、他の装置により行われるものであってもよい。また、ステップＳ２０３において判定された運転状況は、他の車載ネットワーク１０２に接続された装置が参照することができるメモリ等に保存される等としてもよい。

図５のデータ構造に示されるように、ルール情報データベース４００は、複数の運転状況と、複数の運転状況に対してそれぞれ関連付けられた、車載ネットワーク１０２を流れる監視対象情報の範囲を規定するルール情報と、を記録している。また、ルール情報データベース４００は、複数の運転状況に対してそれぞれ異常であるかどうかを判定する判定基準を更に関連付けて記録していてもよい。「判定基準」は、「監視対象情報」としての監視対象パケットに基づいた、判定の対象となる情報、が正常範囲又は異常範囲にあるかどうかを規定する基準とすることができる。このように、ルール情報データベース４００は、異常検知装置２００に対して、運転状況に対応するルール情報を提供する。ここで「提供」は、車載ネットワーク１０２を介した提供でもよいし、無線通信等を介した提供でもよいし、同一装置内における提供でもよい。このようにルール情報データベース４００は、運転状況に応じて適切な監視対象情報を提供することができる。また、判定基準を更に含むことにより、監視対象情報に対して、運転状況に応じた適切な判定基準を提供することができる。

図５のデータ構造では、運転状況として『高速道路走行』、『交差点侵入』及び『停止』を例として挙げている。『高速道路走行』の運転状況の場合の監視対象パケットは、速度センサ、ステアリングセンサ及びブレーキペダルセンサの各出力によるパケットを指定することができる。ここでルール情報データベース４００には、判定基準が更に保存されていてもよい。この場合、判定基準として正常と判定される範囲が示されることとすると、例えば、速度センサが高速を示す速度範囲（例えば７０ｋｍ／ｈ以上）、ステアリングセンサにおける変化量が小さい範囲（例えば±１５°以内）等とすることができる。また、ブレーキペダルセンサにおける踏み込みが小さい範囲等としてもよい。そして、これら以外の範囲を示す監視対象パケットを受信した場合には、不正アクセスに起因するパケットの可能性があることを示すものとすることができる。

『交差点侵入』の運転状況の場合の監視対象パケットも、『高速道路走行』と同様に、速度センサ、ステアリングセンサ及びブレーキペダルセンサの各出力によるパケットとすることができる。この場合の各パケットの判定基準は『高速道路走行』の運転状況と異なる範囲とすることができる。『停止』の運転状況の場合の監視対象パケットは、『高速道路走行』及び『交差点侵入』の運転状況の場合と異なり、ステアリングセンサを除いた、速度センサ及びブレーキペダルセンサの各出力によるパケットとすることができる。このように監視対象パケットを更に限定することにより、異常検出処理の負担を更に軽減することができる。この場合の判定基準として、速度センサ及びブレーキペダルセンサに対する判定基準が保存されるとすることができる。

なお、図５の例では、ルール情報データベース４００は、判定基準を含むこととしたが、判定基準を含まずに判定基準は、例えば異常検知装置２００内に保存されていてもよい。このようにルール情報データベース４００では、より効率的に異常を検知させるためのデータを提供することができる。つまり、運転状況に応じて監視対象パケットの範囲を規定したデータを提供することにより、異常検知処理の負荷を低減し、実行処理の負荷を抑えると共に、ハードウェア資源を節約することができる。

図６に示されるように、異常検知処理Ｓ１００では、まず、ステップＳ１０１〜Ｓ１０９間のループ処理に入り、ステップＳ１０２において、ルール更新部２１０が、例えば『交差点進入時』等の運転状況を取得する。本実施形態においては、運転状況判定装置３００で判定された運転状況を取得することとするが、ルール更新部２１０は、異常検知装置２００と同一装置で生成された運転状況等その他の運転状況を取得することとしてもよい。引き続きルール更新部２１０は、取得した運転状況が、適用ルール記憶部２３０に保存された適用運転状況と比較して、互いに異なるかどうかを判定する（Ｓ１０３）。ここで、異なっている場合には、ルール情報データベース４００にアクセスし、例えば『交差点進入時』等の取得した運転状況に対応するルール情報を取得する（Ｓ１０４）。引き続き、取得した運転状況及びルール情報により、適用ルール記憶部２３０に記憶された適用運転状況２３１及び適用ルール情報２３２をそれぞれ更新する（Ｓ１０５）。

ステップＳ１０５の更新の後、又はステップＳ１０３において否定的な判定であった場合には、異常判定部２２０は、車載ネットワーク１０２から、適用ルール情報２３２に規定された監視対象パケットを取得する（Ｓ１０６）。異常判定部２２０は、取得した監視対象パケットから得られる、判定の対象となる情報、に基づいて判定基準を満たしているかどうかを判定する（Ｓ１０７）。ここで判定基準は、適用ルール情報２３２に保存された判定基準を用いることとしてもよいし、他の判定基準を用いることとしてもよい。ステップＳ１０７において、判定基準を満たしていないと判定された場合には、異常であるとして、対応する異常処理を行う（Ｓ１０８）。異常処理では、例えば、該当するパケットの棄却、運転者に対する通知、外部のシステム管理者への無線通信を介した通知等の処理を行うことができる。また異常処理は、これらに限られず、不正アクセスによりインストールされたプログラムを削除したり等その他の処理であってもよい。また特に異常処理Ｓ１０８を行わずに、ログへの保存等を行うこととしてもよい。

ステップＳ１０８の異常処理が終了した場合、又はステップＳ１０７で肯定的な判定であった場合には、電源ＯＦＦ処理の指示を受信しているかどうかを判定する（Ｓ１０９）。電源ＯＦＦ処理の指示を受信していない場合には、繰り返し処理の先頭であるステップＳ１０１に戻り、ステップＳ１０２からの処理を繰り返す。ステップＳ１０９において電源ＯＦＦ処理の指示を受信している判定の場合には、運転状況判定処理Ｓ２００を終了する。

上述の異常検知処理Ｓ１００は、例えば半導体メモリ等の記録媒体である非遷移的実体的記録媒体にプログラムが格納され、ＣＰＵ等の処理装置においてプログラムに対応する方法が実行されることによる処理とすることができる。また、ソフトウェアに限らず、デジタル回路又はアナログ回路を含むハードウェアによる処理、又はソフトウェアとハードウェアの協働による処理とすることができる。適用ルール記憶部２３０には、異常判定に適用されている運転状況及びルール情報である、適用運転状況及び適用ルール情報のみがそれぞれ保存されるものとすることができる。そのため、適用ルール記憶部２３０の記憶容量を節約することができ、異常検知装置２００の処理能力を抑えると共に、より小型化することができる。

ここで異常判定部２２０による判定は、例えば速度センサが示す速度等、取得したパケットの「内容」に基づく判定とすることができる。パケットの「内容」は、ペイロードだけでなく、ヘッダ情報等の内容を用いた判定を行うこととしてもよい。また、判定は、例えば周期性をもって取得されるパケットが、周期とは異なるタイミングで取得された場合等、取得するパケットの「取得頻度」に基づく判定とすることができる。ここで「取得頻度」は、取得周期や所定時間内の取得回数等、取得する回数に関する情報を意味することとしてもよい。また、判定は、取得した複数のパケットの頻度及び／又は内容を用いた統計処理等の数学的な処理により抽出された特徴量に基づく判定、その他ＳＶＭ（Support Vector Machine）やディープラーニング等の機械学習に基づく判定とすることができる。特徴量は、例えば、取得された複数の監視対象パケットの内容や取得頻度を用いて、必要な場合には演算することにより抽出される傾向を示す値等を意味し、例えば抽出された特徴量に近い範囲を正常又は異常な範囲として判定することができるものを意味する。機械学習は、例えば、取得したデータから経験的に法則を抽出することを含む。取得したデータから抽出した判定基準を用いることにより、取得データの蓄積に伴ってより正確で詳細な判定基準とすることができる。

以上説明したように、異常検知システム１００は、運転状況に応じて車載ネットワーク１０２を流れる監視対象パケットを絞り込むため、より効率的に異常を検知することができる。つまり、運転状況に応じて監視対象パケットを限定することにより、異常検知処理の負荷を低減し、実行処理の負荷を抑えると共に、ハードウェア資源を節約することができる。

図７に示すように、監視対象パケットに基づく判定情報の取り得る範囲６００に対して、判定基準が、範囲Ａ又は範囲Ｂのいずれかであれば正常である場合を考える。この場合に、監視対象パケットを取得し、その監視対象パケットに係る判定情報が、判定情報６０１であったとすると、範囲Ａ又は範囲Ｂに含まれるため、判定部３０４は判定情報６０１を異常情報とは判定しない。しかしながら、図７に示すように、運転状況に応じて判定基準が範囲Ａと範囲Ｂで区別されることになると、範囲Ａが設定されているとき、判定部３０４は、判定情報６０１を異常と判定することができるようになる。このように運転状況に応じて、判定基準が変更されることにより、異常検知の精度をより高めることができる。

（総括）
以上、本発明の実施形態における異常検知装置、異常検知システム、異常検知方法、異常検知プログラム及び記憶媒体としてのルール情報データベースについて説明した。

本発明の異常検知装置の形態の例として、半導体、電子回路、モジュール、マイクロコンピュータが挙げられる。またこれらにアンテナや通信用インターフェースなど、必要な機能を追加してもよい。また、カーナビゲーションシステム、スマートフォン、パーソナルコンピュータ、携帯情報端末のような形態をとることも可能である。

加えて、本発明は、上述の専用のハードウェア（例えばＥＣＵとしての「異常検知装置」）で実現できるものだけでなく、メモリやハードディスク等の記録媒体に記録したプログラム、及びこれを実行可能な専用又は汎用のハードウェアに提供することもできる。これによりプログラムのアップグレードを通じて常に最新の機能を提供することができる。すなわち、異常検知方法をコンピュータにて実行可能な異常検知プログラムも本発明に含まれる。

本発明の異常検知装置、異常検知システム、異常検知方法、異常検知プログラム及び記憶媒体としてのルール情報データベースは、実施形態において自動車に搭載されるＥＣＵを念頭において説明したが、自動二輪車、船舶、鉄道、航空機等、移動する移動体全般に適用することが可能である。また、移動体に限らずマイクロコンピュータを包含する製品全般に適用可能である。

２００ 異常検知装置、２１０ ルール更新部、２２０ 異常判定部、２３０ 適用ルール記憶部、２３１ 適用運転状況、２３２ 適用ルール情報

Claims (11)

1. 複数の運転状況のうちの少なくともひとつである適用運転状況（２３１）、及び車載ネットワークを流れる監視対象情報の範囲を規定するルール情報のうち前記適用運転状況に対応する適用ルール情報（２３２）を記憶する適用ルール記憶部（２３０）と、
   前記運転状況を取得し、取得した前記運転状況が前記適用運転状況と異なる場合に前記運転状況に対応する前記ルール情報を取得し、取得した前記運転状況及び取得した前記ルール情報で前記適用ルール記憶部に記憶された前記適用運転状況及び前記適用ルール情報をそれぞれ更新するルール更新部（２１０）と、
   前記車載ネットワークから、前記適用ルール情報に規定された範囲の前記監視対象情報を取得し、取得した前記監視対象情報に基づいて異常であるかどうかを判定する異常判定部（２２０）と、を備える異常検知装置。
2. 前記ルール情報は、前記異常であるかどうかを判定する判定基準を更に含む、請求項１に記載の異常検知装置。
3. 前記異常判定部は、取得した前記監視対象情報の内容に基づいて異常を判定する、請求項１又は２に記載の異常検知装置。
4. 前記異常判定部は、前記監視対象情報の取得頻度に基づいて異常を判定する、請求項１乃至３のいずれか一項に記載の異常検知装置。
5. 前記ルール更新部は、前記ルール情報が記憶されたルール情報データベース（４００）から前記ルール情報を取得する、請求項１乃至４のいずれか一項に記載の異常検知装置。
6. 運転状況を提供する運転状況判定装置（３００）と、
   前記運転状況に対応する前記ルール情報を提供するルール情報データベース（４００）と、
   異常検知装置（２００）と、を備え、前記異常検知装置は、
   複数の前記運転状況のうちのひとつである適用運転状況（２３１）、及び車載ネットワークを流れる監視対象情報の範囲を規定する前記ルール情報のひとつであり、前記適用運転状況に対応する前記ルール情報である適用ルール情報（２３２）を記憶する適用ルール記憶部（２３０）と、
   前記運転状況を取得し、前記取得した前記運転状況が前記適用運転状況と異なる場合に、前記運転状況に対応する前記ルール情報を取得して、前記取得した前記運転状況及び前記ルール情報により、前記適用ルール記憶部に記憶された前記適用運転状況及び前記適用ルール情報をそれぞれ更新するルール更新部（２１０）と、
   前記車載ネットワークから、前記適用ルール情報に規定された範囲の前記監視対象情報を取得し、前記取得した前記監視対象情報に基づいて異常であるかどうかを判定する異常判定部（２２０）と、を有する異常検知システム。
7. 前記運転状況判定装置は、
   操作情報、挙動情報及び周辺情報のうち少なくともいずれか一つに含まれる情報を取得する情報取得部（３０２）と、
   前記取得した情報に基づいて複数の運転状況の中から一つの運転状況を判定する判定部（３０４）と、を有する請求項６に記載の異常検知システム。
8. 適用ルール記憶部（２３０）、ルール更新部（２１０）、および異常判定部（２２０）からなり、前記適用ルール記憶部が、複数の運転状況のうちの少なくともひとつである適用運転状況（２３１）、及び車載ネットワークを流れる監視対象情報の範囲を規定するルール情報のうち前記適用運転状況に対応する適用ルール情報（２３２）を記憶している、異常検知装置における異常検知方法であって、
   前記ルール更新部が、前記運転状況を取得し、取得した前記運転状況が前記適用運転状況と異なる場合に前記運転状況に対応する前記ルール情報を取得し、取得した前記運転状況及び取得した前記ルール情報で前記適用ルール記憶部に記憶された前記適用運転状況及び前記適用ルール情報をそれぞれ更新する工程と、
   前記異常判定部が、前記車載ネットワークから、前記適用ルール情報に規定された範囲の前記監視対象情報を取得し、取得した前記監視対象情報に基づいて異常であるかどうかを判定する工程と、を有する異常検知方法。
9. 複数の運転状況のうちの少なくともひとつである適用運転状況（２３１）、及び車載ネットワークを流れる監視対象情報の範囲を規定するルール情報のうち前記適用運転状況に対応する適用ルール情報（２３２）を適用ルール記憶部（２３０）に記憶させる工程と、
   前記運転状況を取得し、取得した前記運転状況が前記適用運転状況と異なる場合に前記運転状況に対応する前記ルール情報を取得し、取得した前記運転状況及び取得した前記ルール情報で前記適用ルール記憶部に記憶された前記適用運転状況及び前記適用ルール情報をそれぞれ更新する工程と、
   前記車載ネットワークから、前記適用ルール情報に規定された範囲の前記監視対象情報を取得し、取得した前記監視対象情報に基づいて異常であるかどうかを判定する工程と、を処理装置に実行させるための異常検知プログラム。
10. 複数の運転状況と、
    前記複数の運転状況に対してそれぞれ関連付けられた、車載ネットワークを流れる監視対象情報の範囲を規定するルール情報と、を記録したコンピュータ読み取り可能な記録媒体。
11. 前記複数の運転状況に対してそれぞれ異常であるかどうかを判定する判定基準を更に関連付けて記録した、請求項１０に記載のコンピュータ読み取り可能な記録媒体。