JP2019169877A - 監視装置、監視方法およびコンピュータプログラム - Google Patents

Abstract

【課題】事前学習することなく、不正動作しているＥＣＵを識別する。【解決手段】監視ＥＣＵ１６は、送信ＥＣＵ１４から送信されたフレームを受信する。監視ＥＣＵ１６は、受信した複数のフレームの各々に含まれるデータと、それら複数のフレームの各々の波形情報とを対応付けて記憶する。監視ＥＣＵ１６は、記憶した波形情報に基づいて、記憶した複数のデータの中から、解析対象のフレームの波形情報と類似する波形情報に対応するデータを識別する。【選択図】図１

Description

本開示はデータ処理技術に関し、特に監視装置、監視方法およびコンピュータプログラムに関する。

近年、自動車には、多数の電子制御ユニット（Electronic Control Unit、以下「ＥＣＵ」と呼ぶ。）が搭載されている。これらのＥＣＵを繋ぐネットワークは車載ネットワークと呼ばれる。車載ネットワークには多数の規格が存在するが、広く普及した規格としてＣＡＮ（Controller Area Network）がある。

自動車の電動化に伴い、車載ネットワーク経由でステアリング等のアクチュエータを制御することが可能になっている。車載ネットワークにおいて不正コマンドが伝送されることによるアクチュエータの不正操作等を防止するため、車両のセキュリティ向上が求められている。

以下の特許文献１には、受信したデータが有する識別子ごとに受信時刻を記録し、同じ識別子を有するデータを受信した周期にずれが生じた場合に、なりすまし攻撃を検出することが記載されている。

また、以下の非特許文献１には、監視ＥＣＵと送信ＥＣＵのクロックのずれに基づいてＥＣＵを識別することが記載されている。

また、以下の非特許文献２には、メッセージの電圧値の統計値に基づいてＥＣＵを識別することが記載されている。

特開２０１４−１４６８６８号公報

Kyong-Tak Cho and Kang G. Shin、"Fingerprinting Electronic Control Units for Vehicle Intrusion Detection"、［online］、［平成30年3月8日検索］、インターネット<URL：https://www.usenix.org/system/files/conference/usenixsecurity16/sec16_paper_cho.pdf> Kyong-Tak Cho and Kang G. Shin、"Viden: Attacker Identification on In-Vehicle Networks"、［online］、［平成30年3月8日検索］、インターネット<URL：https://kabru.eecs.umich.edu/wordpress/wp-content/uploads/ktcho_CCS17.pdf>

車両のセキュリティ向上のために、異常なメッセージを検知した時に、不正動作しているＥＣＵを識別することが求められているが、特許文献１に記載の技術では、メッセージ単位の異常識別が困難である。また、非特許文献１および非特許文献２に記載の技術では、ＥＣＵから送信される信号の特徴を、工場出荷時等に事前学習する必要があり、工数やコストが増大する可能性がある。

本開示は上記課題に鑑みたもので、１つの目的は、事前学習することなく、不正動作しているＥＣＵを識別することである。

上記課題を解決するために、本開示のある態様の監視装置は、複数のフレームを受信する受信部と、受信された複数のフレームの各々に含まれるデータと、複数のフレームの各々の波形情報とを対応付けて記憶する記憶部と、記憶された波形情報に基づいて、記憶された複数のデータの中から、解析対象のフレームの波形情報と類似する波形情報に対応するデータを識別する解析部と、を備える。

本開示の別の態様は、監視方法である。この方法は、複数のフレームを受信し、受信された複数のフレームの各々に含まれるデータと、複数のフレームの各々の波形情報とを対応付けて記憶し、記憶された波形情報に基づいて、記憶された複数のデータの中から、解析対象のフレームの波形情報と類似する波形情報に対応するデータを識別する、ことをコンピュータが実行する。

なお、以上の構成要素の任意の組合せ、本発明の表現を、システム、コンピュータプログラム、コンピュータプログラムを記録した記録媒体、本装置を搭載した車両などの間で変換したものもまた、本発明の態様として有効である。

本発明によれば、事前学習することなく、不正動作しているＥＣＵを識別することができる。

第１実施例の監視システムの構成を示す図である。 図１の監視ＥＣＵの機能ブロックを示すブロック図である。 フレームのフォーマットを示す図である。 フレームデータと電気的レベルを模式的に示す図である。 通信ログの例を示す図である。 第１実施例の監視ＥＣＵの動作を示すフローチャートである。 図６のＳ２４の解析処理を詳細に示すフローチャートである。 第２実施例の監視ＥＣＵの機能ブロックを示すブロック図である。 第２実施例の監視サーバの機能ブロックを示すブロック図である。 ログ画面の例を示す図である。 監視サーバの動作を示すフローチャートである。 監視サーバの動作を示すフローチャートである。

まず実施例の概要を述べる。上記の非特許文献１、非特許文献２では、ＥＣＵのフィンガープリンティングが提案されている。ＥＣＵのフィンガープリンティングは、ＣＡＮを流れるメッセージ（以下「フレーム」とも呼ぶ。）のアナログ信号の差異に基づいて、メッセージ送信元のＥＣＵを識別する技術である。

アナログ信号の差異は、電圧、タイミング、波形等に現れる。この差異を発生させる要因は、（１）トランシーバー（送信機）の特性の違い、（２）伝搬遅延（約５ナノ秒／メートルで伝搬するため、エッジのタイミングが変わること）、（３）ケーブル長の違い、（４）ＥＣＵ間で非同期クロックを利用すること、などがある。

ＥＣＵのフィンガープリンティングを利用することで、フレーム送信元のＥＣＵを識別できる。これにより、或るＥＣＵが、本来は他のＥＣＵが送るべきＩＤ（ＣＡＮ−ＩＤ）を付与したフレームを送信した場合に不正と判定することができ、すなわち、なりすましを検出することができる。

また、上記の非特許文献１、非特許文献２に記載のＥＣＵのフィンガープリンティングでは、車載ネットワークに接続される複数のＥＣＵの信号の特徴を、工場出荷時やＥＣＵ交換時等に、事前学習する必要がある。そのため、車両の製造やメンテナンスにおける工数やコストが増加する可能性がある。

実施例の監視システムは、受信したメッセージのデータと当該メッセージの信号状態を示す波形情報を対応付けて蓄積する。そして、メッセージの周期や内容等に基づく異常検出時に、蓄積した波形情報に基づいて異常ＥＣＵを識別する。これにより、正当なＥＣＵが乗っ取られたことを検出でき、言い換えれば、乗っ取られたＥＣＵを識別できる。また、車両走行時に各ＥＣＵの波形情報を収集するため、工場出荷時やＥＣＵ交換時の事前学習が不要になる。以下、実施例の構成を詳細に説明する。

（第１実施例）
図１は、第１実施例の監視システム１００の構成を示す。車両１０には、車載ネットワークシステム１２が構築されており、車載ネットワークシステム１２は、送信ＥＣＵ１４ａ、送信ＥＣＵ１４ｂ（総称する場合「送信ＥＣＵ１４」と呼ぶ。）と、監視ＥＣＵ１６と、受信ＥＣＵ１８を含む。送信ＥＣＵ１４、監視ＥＣＵ１６および受信ＥＣＵ１８は、バス２０を介して接続され、ＣＡＮプロトコルにしたがってフレーム（データフレーム、リモートフレーム等）を送受信する。

送信ＥＣＵ１４ａおよび送信ＥＣＵ１４ｂは、ＣＡＮプロトコルで規定されたフレームをバス２０へ送信し、受信ＥＣＵ１８は、フレームをバス２０から受信する。実際の車両１０には多数のＥＣＵが搭載され、各ＥＣＵは、フレームを送信する場合は送信ＥＣＵ１４として機能し、フレームを受信する場合は受信ＥＣＵ１８として機能してもよい。監視ＥＣＵ１６は、バス２０を流れるフレームを監視し、異常なＥＣＵを検出する。

監視センタは、車両１０をはじめ多くの車両のセキュリティリスクを監視する機関である。監視センタには監視サーバ２４が設置され、監視サーバ２４は、車両１０からアップロードされた、車両１０で検出された異常なＥＣＵに関するデータを蓄積する。車両１０の監視ＥＣＵ１６は、ＬＡＮ・ＷＡＮ・インターネット等を含む通信網２２を介して監視サーバ２４と接続される。

図２は、図１の監視ＥＣＵ１６の機能ブロックを示すブロック図である。監視ＥＣＵ１６は、アナログ信号受信部３０、ＡＤ変換部３２、通信処理部３４、ＤＡ変換部３６、アナログ信号送信部３８、信号処理部４０、ログ記憶部４２、異常判定部４４、解析部４６、異常処理部４８を備える。

本明細書のブロック図において示される各ブロックは、ハードウェア的には、コンピュータのＣＰＵ・メモリをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。例えば、図２の複数の機能ブロックに対応する複数のモジュールを含むコンピュータプログラムが監視ＥＣＵ１６のメモリに格納されてもよい。監視ＥＣＵ１６のＣＰＵは、そのコンピュータプログラムを適宜読み出して実行することにより、各ブロックの機能を発揮してもよい。

アナログ信号受信部３０は、バス２０から複数のフレームのアナログ信号を受信する。ＡＤ変換部３２は、アナログ信号受信部３０により受信されたフレームのアナログ信号を所定のサンプリング周波数でデジタル信号（例えば電圧値のサンプリング結果）に変換し、デジタル信号を出力する。通信処理部３４は、ＡＤ変換部３２から出力されたデジタル信号に基づいて、フレームのデータ（ＣＡＮのメッセージとも言え、以下「フレームデータ」と呼ぶ。）を取得する。

なお、ＡＤ変換部３２として、トランシーバの構成の一部であるＡＤ変換部３２とは異なるＡＤ変換部（不図示）を新たに設け、アナログ信号受信部３０からの出力信号を分岐し、新たに設けたＡＤ変換部に入力して、変換されたデジタル信号を信号処理部４０に入力するようにしてもよい。

通信処理部３４は、フレームデータに関する所定の処理を実行する。ＤＡ変換部３６は、通信処理部３４から出力されたフレームデータをアナログ信号に変換する。アナログ信号送信部３８は、ＤＡ変換部３６から出力されたアナログ信号をバス２０へ送出する。例えば、通信処理部３４は、後述の異常判定部４４によりフレームデータの異常が検出された場合、エラーフレームを生成してもよい。アナログ信号送信部３８は、エラーフレームのアナログ信号をバス２０へ送出してもよい。

図３は、フレームのフォーマットを示す。フレームは、ＣＡＮ−ＩＤが設定されるＩＤフィールドを含む。ＣＡＮ−ＩＤは、フレームデータの種類（例えばコマンドの種類）を示す識別子であり、１つのＣＡＮ−ＩＤは、１つのＥＣＵに対応付けられる。すなわち、ＣＡＮ−ＩＤは、フレームを送信した送信ＥＣＵ１４を一意に識別可能なデータである。

図４は、フレームデータと電気的レベルを模式的に示す。通信処理部３４は、ＡＤ変換部３２から出力されたデジタル信号に基づいてフレームデータを生成し、フレームデータをフレームの受信時刻とともにログ記憶部４２へ記録する。また、通信処理部３４は、フレームデータを異常判定部４４へ入力する。

信号処理部４０は、ＡＤ変換部３２から出力されたデジタル信号に基づいて波形情報を生成し、フレームデータに対応付けて波形情報をログ記憶部４２へ記録する。波形情報は、ＡＤ変換部３２から出力された（または、ＡＤ変換部３２の出力をローパスフィルタなどの信号処理した後の）デジタル信号が示す電圧（あるいは電圧の増減量）、タイミング、波形の少なくともいずれかを示すデータである。実施例の波形情報は、デジタル信号が示す電圧値の推移を示すデータであり、言い換えれば、ＡＤ変換部３２のサンプリング周波数に応じた複数時点での電圧値を示すデータである。すなわち、信号処理部４０は、図４に示す信号状態を波形情報として記録する。ＡＤ変換部３２のサンプリング周波数は、例えば１ＧＨｚである。なお、サンプリング周波数は、開発者の知見や、車載ネットワークシステム１２を用いた実験により、ＥＣＵを識別可能な適切な値に設定されればよい。

ログ記憶部４２は、アナログ信号受信部３０により受信された複数のフレームのデータと、各フレームの波形情報とを対応付けた通信ログを記憶する。図５は、通信ログの例を示す。通信ログの各レコードは、フレームの受信時刻、フレームデータ、波形情報を含む。フレームデータは、ＣＡＮ−ＩＤ、ペイロードの長さ（図３のコントロールフィールドの下位４ビットの値）、ペイロード（図３のデータフィールドの値）を含む。図５には不図示だが、通信ログの各レコードには、ユニークなレコードＩＤが付加されてもよい。

異常判定部４４は、アナログ信号受信部３０により受信され、通信処理部３４により生成されたフレームが異常か否かを判定する。異常判定部４４は、公知の手法でフレームデータの異常有無を判定してもよい。例えば、異常判定部４４は、特許文献１に記載されたように、フレームの受信周期に基づいて異常を判定してもよい。また、異常判定部４４は、フレームデータの内容（不正なコマンドの有無や、先に受信されたフレームの内容との関係等）に基づいて異常を判定してもよい。

解析部４６は、ログ記憶部４２に記憶された複数のフレームのレコードの中から、解析対象フレームと波形情報が類似するフレームのレコードを識別する。言い換えれば、解析部４６は、ログ記憶部４２の通信ログを参照して、解析対象フレームの波形情報と類似する波形情報に対応付けられたフレームデータを識別する。

第１実施例の解析部４６は、異常判定部４４により異常と判定されたフレーム（以下「異常フレーム」とも呼ぶ。）を解析対象フレームとして認識する。解析部４６は、異常フレームと波形情報が類似するフレームデータであって、かつ、異常フレームのフレームデータが示す送信元装置（実施例ではＣＡＮ−ＩＤ）と異なる送信元装置（実施例ではＣＡＮ−ＩＤ）を示すフレームデータがログ記憶部４２に記憶されている場合、上記類似するフレームを異常と判定し、上記類似するフレームの送信元装置（特定の送信ＥＣＵ１４）を異常と判定する。ここで異常と判定されるＥＣＵは、乗っ取りにより不正な動作を行っている可能性が高いＥＣＵである。

また、第１実施例の解析部４６は、異常フレームと波形情報が非類似のフレームデータであって、かつ、異常フレームのフレームデータが示す送信元装置（実施例ではＣＡＮ−ＩＤ）と同じ送信元装置（実施例ではＣＡＮ−ＩＤ）を示すフレームデータがログ記憶部４２に記憶されている場合、上記類似するフレームを異常と判定し、上記類似するフレームの送信元装置（特定の送信ＥＣＵ１４）を異常と判定する。ここで異常と判定されるＥＣＵは、他のＥＣＵによるなりすまし攻撃を受けている可能性が高いＥＣＵである。

波形情報（例えば時系列での電圧値の推移）が類似するか否かは、公知の手法により判定すればよい。例えば、２つの波形情報間の差異が所定の閾値以下の場合、これら２つの波形情報は類似すると判定してもよい。判定に用いる閾値や条件は、開発者の知見や、車載ネットワークシステム１２を用いた実験等に基づいて決定されればよい。なお、実施例における類似は一致を含む。

異常処理部４８は、解析部４６によりＥＣＵの異常が検出された場合に、その異常に対応する所定の処理を実行する。第１実施例では、異常処理部４８は、解析部４６により異常と判定されたＥＣＵ（以下「異常ＥＣＵ」とも呼ぶ。）に関するデータを監視サーバ２４へ送信する。異常ＥＣＵに関するデータは、少なくとも、解析部４６により異常と判定されたフレームデータに設定されたＣＡＮ−ＩＤ（すなわち異常ＥＣＵを識別可能なデータ）を含む。

変形例として、異常処理部４８は、異常ＥＣＵに関するデータを所定の記憶部（異常ログ等）に記録してもよい。また、異常処理部４８は、異常を示すメッセージや、メンテナンスを促すメッセージを車両１０の所定の表示装置（不図示）に表示させてもよい。また、異常処理部４８は、車両１０の自動運転制御装置（不図示）と連携して、車両１０の挙動を制限してもよく、例えば車両１０を停止させてもよい。

以上の構成による監視ＥＣＵ１６の動作を説明する。
図６は、第１実施例の監視ＥＣＵ１６の動作を示すフローチャートである。監視ＥＣＵ１６は、起動されるとフレームの待受状態となり、バス２０を流れる信号の監視を開始する（Ｓ１０）。監視処理の終了を要求するコマンドが入力されると（Ｓ１２のＹ）、本図のフローを終了する。終了要求がなく（Ｓ１２のＮ）、アナログ信号受信部３０がフレームの信号を受信すると（Ｓ１４のＹ）、信号処理部４０は、フレームの信号状態を示す波形情報を取得する（Ｓ１６）。

通信処理部３４は、フレームデータを通信ログとして記録し、信号処理部４０は、フレームデータと対応付けて波形情報を通信ログとして記録する（Ｓ１８）。異常判定部４４は、フレームデータの正当性を検証する（Ｓ２０）。フレームデータが異常であれば（Ｓ２２のＮ）、後述の解析処理を実行して（Ｓ２４）、Ｓ１２に戻り、すなわちフレームの待受状態に戻る。フレームデータが正当であり（Ｓ２２のＹ）、または、フレームを未受信であれば（Ｓ１４のＮ）、Ｓ１２に戻る。

図７は、図６のＳ２４の解析処理を詳細に示すフローチャートである。解析部４６は、解析対象フレームＦ（第１実施例では異常フレーム）の波形情報Ｓを通信ログから読み出す（Ｓ３０）。解析部４６は、通信ログのｎ番目（ｎの初期値は１）のレコード（比較フレームＦｎ）の波形情報Ｓｎを読み出す（Ｓ３２）。解析部４６は、波形情報Ｓと波形情報Ｓｎとの類似度を計測する（Ｓ３４）。類似度が所定の閾値以上、かつ、解析対象フレームが示すＣＡＮ−ＩＤと比較フレームが示すＣＡＮ−ＩＤが不一致であれば（Ｓ３６のＹ）、比較フレームＦｎを送信した送信ＥＣＵ１４を異常と判定する（Ｓ４０）。また、類似度が上記閾値未満、かつ、解析対象フレームが示すＣＡＮ−ＩＤと比較フレームが示すＣＡＮ−ＩＤが一致する場合（Ｓ３６のＮ、Ｓ３８のＹ）、比較フレームＦｎを送信した送信ＥＣＵ１４を異常と判定する（Ｓ４０）。

異常処理部４８は、比較フレームを送信した送信ＥＣＵ１４を識別可能なデータであり、第１実施例では、比較フレームＦｎに設定されたＣＡＮ−ＩＤを監視サーバ２４へ送信する（Ｓ４２）。類似度が上記閾値未満、かつ、解析対象フレームが示すＣＡＮ−ＩＤと比較フレームが示すＣＡＮ−ＩＤが不一致の場合、または、類似度が上記閾値以上、かつ、解析対象フレームが示すＣＡＮ−ＩＤと比較フレームが示すＣＡＮ−ＩＤが一致する場合（Ｓ３８のＮ）、解析部４６は、比較フレームＦｎを送信した送信ＥＣＵ１４を正常と判定する（Ｓ４４）。なお、波形情報の比較結果に関わらず、すなわち、Ｓ３６およびＳ３８の判定結果に関わらず、異常処理部４８は、異常フレームに関する情報（ＣＡＮ−ＩＤ等）を監視サーバ２４へ送信してもよい。

解析部４６は、変数ｎをインクリメントし、通信ログにｎ番目のレコード（すなわち次の比較フレームＦｎ）が記録されていれば（Ｓ４６のＹ）、Ｓ３２に戻り、解析対象フレームＦと、次の比較フレームＦｎとの波形情報を比較する。通信ログに次の比較フレームＦｎが記録されておらず、すなわち、通信ログの最後に到達した場合（Ｓ４６のＮ）、本図のフローを終了する。

第１実施例の監視ＥＣＵ１６によると、異常が検出されたフレームと、過去受け付けられたフレームとの、波形情報およびＣＡＮ−ＩＤを比較することにより、乗っ取りを受けているＥＣＵを精度よく検出でき、また、なりすましの攻撃を受けているＥＣＵを精度よく検出できる。

以上、本開示を第１実施例をもとに説明した。この第１実施例は例示であり、それらの各構成要素あるいは各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本開示の範囲にあることは当業者に理解されるところである。

第１実施例の第１変形例を説明する。第１変形例では、ログ記憶部４２に記憶される波形情報のデータ量を低減する技術を説明する。以下の（１）〜（６）の構成のいずれかが監視ＥＣＵ１６に適用されてもよく、また、任意の組合せが監視ＥＣＵ１６に適用されてもよい。

（１）フレームのＡＣＫフィールドの波形情報は、ログ記憶部４２による記憶対象から除外されてもよい。例えば、信号処理部４０は、ＡＤ変換部３２から出力されたフレームのデジタル信号が示す時系列の電圧値のうちＡＣＫフィールドに該当する電圧値を除外した波形情報を生成し、ログ記憶部４２に記録してもよい。ＡＣＫフィールドのデータは、フレームを送信した装置とは異なる装置（フレームを受信した装置）が設定するからである。

（２）フレームのＩＤフィールドの波形情報は、ログ記憶部４２による記憶対象から除外されてもよい。例えば、信号処理部４０は、ＡＤ変換部３２から出力されたフレームのデジタル信号が示す時系列の電圧値のうちＩＤフィールドに該当する電圧値を除外した波形情報を生成し、ログ記憶部４２に記録してもよい。ＩＤフィールドのデータ（ＣＡＮ−ＩＤ）は、フレームの優先順位を決定する（アービトレーション）ために使用される。したがって、複数の送信ＥＣＵ１４が同時にデータを送信している可能性があり、ＩＤフィールドの波形は、フレームの送信装置の本来の波形とは異なる可能性があるからである。

（３）ＣＡＮプロトコルで規定されたフレームのうちエラーフレームの波形情報は、ログ記憶部４２による記憶対象から除外されてもよい。例えば、信号処理部４０は、１つのフレーム（データフレームまたはリモートフレーム）の受信中に、エラーフレームのデータが通信処理部３４により検出された場合、エラーフレーム、および、そのエラーフレームにより中断されたフレーム（データフレームまたはリモートフレーム）の波形情報の生成を中止してもよい。または、信号処理部４０は、エラーフレーム、および、そのエラーフレームにより中断されたフレーム（データフレームまたはリモートフレーム）の波形情報を生成するが、ログ記憶部４２に記録することを中止してもよい。エラーフレームは、上記１つのフレーム（データフレームまたはリモートフレーム）の送信元ＥＣＵとは異なるＥＣＵが送信するからである。

（４）ログ記憶部４２は、１つのフレームの波形情報として、ドミナントとレセシブの少なくとも一方について、１ビットの波形情報、２ビット連続する波形情報、３ビット連続する波形情報、４ビット連続する波形情報、および５ビット連続する波形情報の５パターン（ドミナントとレセシブの両方の場合は１０パターン）を記憶してもよい。例えば、信号処理部４０は、ドミナントとレセシブの両方について、１ビット分の信号の波形情報、連続２ビット分の信号の波形情報、・・・、連続５ビット分の信号の波形情報をログ記憶部４２に記録してもよい。また、信号処理部４０は、既に記録済のパターンの波形情報を、ログ記憶部４２に記録することを抑制してもよい。

ＣＡＮプロトコルでは、同じ極性のビットが５個連続したら逆の極性のビット（スタッフビット）を挿入すること、すなわち、同じ極性のビットが６個以上連続しないことが規定されている。したがって、ログ記憶部４２は、上記５パターン（ドミナントとレセシブの両方の場合は１０パターン）の波形情報を記憶することで、ＥＣＵの識別精度を維持しつつ、波形情報のデータ量を低減することができる。

（５）ログ記憶部４２は、フレームの波形を示す複数個の値を差分符号化したデータを波形情報として記憶してもよい。例えば、信号処理部４０は、ＡＤ変換部３２から出力されたフレームのデジタル信号が示す時系列の複数個の電圧値について、時刻ｔの電圧値と時刻ｔ＋１の電圧値との差分を計算し、時系列の複数個の差分値を所定の規則で符号化したデータを波形情報としてログ記憶部４２に記録してもよい。なお、差分符号化には公知の手法を使用してよい。波形情報の個々の値は類似性があるため、差分符号化することで、波形情報のデータ量を低減することができる。

（６）ログ記憶部４２は、或るフレームの波形情報が、既に記憶された他のフレームの波形情報に類似する場合、上記或るフレームの波形情報として、上記他のフレームの波形情報を示す識別子を記憶してもよい。例えば、信号処理部４０は、或るフレームの波形情報を生成した場合に、実施例の解析部４６と同様に、ログ記憶部４２の通信ログを検索して、当該波形情報に類似度が高い波形情報が記録済か否かを判定してもよい。類似度が高い波形情報が未記録の場合、信号処理部４０は、今回生成した上記或るフレームの波形情報を通信ログに記録してもよい。

一方、類似度が高い波形情報が記録済であれば、信号処理部４０は、今回生成した波形情報に代えて、類似度が高い波形情報を示す識別子を、上記或るフレームの波形情報としてログ記憶部４２に記録してもよい。この識別子は、通信ログにおいて特定の波形情報を識別可能なデータであり、例えば、通信ログのレコードＩＤであってもよい。このように、波形情報として識別子のみを記録することで、波形情報のデータ量を低減することができる。

第１実施例の第２変形例を説明する。監視ＥＣＵ１６の解析部４６は、ログ記憶部４２の通信ログを参照して、異常判定部４４により異常と判定されたフレーム（異常フレーム）と波形情報が類似するフレームのフレームデータを識別し、その類似するフレームの送信元装置（特定の送信ＥＣＵ１４）を異常と判定してもよい。言い換えれば、解析部４６は、異常フレームの波形情報に対する類似度が所定の閾値以上の波形情報を持つフレームの送信元装置を異常と判定してもよい。第１変形例においても、乗っ取られた可能性が高い送信ＥＣＵ１４を精度よく検知できる。

第１実施例の第３変形例を説明する。ログ記憶部４２は、所定の記憶条件が満たされた場合に、波形情報（もしくは、波形情報およびフレームデータ）を記憶してもよい。または、信号処理部４０は、上記記憶条件が満たされた場合に、波形情報（もしくは、波形情報およびフレームデータ）をログ記憶部４２に記録してもよい。記憶条件は、（１）所定時間が経過するごとに満たされてもよい。すなわち、所定時間が経過するたびに波形情報が更新されてもよい。また、記憶条件は、（２）車両１０の製造時、（３）少なくとも１つのＥＣＵの修理時、（４）メンテナンス時の少なくともいずれかにおいて満たされてもよく、例えば、監視ＥＣＵ１６に所定の操作（例えば、ユーザ認証の操作）が入力された場合に記憶条件が満たされてもよい。

第１実施例の第４変形例を説明する。ログ記憶部４２および解析部４６は、監視ＥＣＵ１６以外のＥＣＵ（例えば解析ＥＣＵ）に設けられてもよい。この場合、監視ＥＣＵ１６と解析ＥＣＵとが連携して、実施例の監視ＥＣＵ１６と同様の処理を実行してもよい。また、ログ記憶部４２および解析部４６は、車両１０外部の装置やサーバ（例えば監視センタの監視サーバ２４）に設けられてもよい。この場合、車両１０の監視ＥＣＵ１６と、監視サーバ２４とが連携して、実施例の監視ＥＣＵ１６と同様の処理を実行してもよい。

第１実施例の第５変形例を説明する。車両１０の送信ＥＣＵ１４、監視ＥＣＵ１６、受信ＥＣＵ１８が接続されるネットワークは、ＣＡＮに制限されない。例えば、ＣＡＮ ＦＤ（CAN with Flexible Data-rate）またはイーサネット（登録商標）であってもよい。

（第２実施例）
第２実施例では、監視センタのオペレータによる通信ログの解析を支援する技術を説明する。第２実施例の構成要素のうち第１実施例の構成要素と同じまたは対応する構成要素には、第１実施例と同じ符号を付す。以下、第１実施例で説明済みの内容は再度の説明を適宜省略する。

第２実施例の監視システム１００の構成は、第１実施例（図１）と同様である。図８は、第２実施例の監視ＥＣＵ１６の機能ブロックを示すブロック図である。監視ＥＣＵ１６は、第１実施例の構成と比べて、解析部４６および異常処理部４８を備えない一方、ログ送信部５０を備える。

ログ送信部５０は、ログ記憶部４２に記憶された通信ログを監視サーバ２４へ送信する。ログ送信部５０は、定期的に、または所定の操作が入力された場合に、または異常判定部４４により異常フレームが検出された場合に、通信ログを監視サーバ２４へ送信してもよい。また、ログ送信部５０は、ログ記憶部４２に記憶された通信ログの全てを監視サーバ２４へ送信してもよく、または、前回送信した通信ログとの差分を監視サーバ２４へ送信してもよい。

また、ログ送信部５０は、異常判定部４４により異常フレームが検出された場合に、異常フレームのフレームデータ、または、通信ログにおける異常フレームの識別子（レコードＩＤ等）を監視サーバ２４へ送信する。

図９は、第２実施例の監視サーバ２４の機能ブロックを示すブロック図である。監視サーバ２４は、ログ受信部６０、ログ記憶部６２、表示制御部６４、要求受付部６６、解析部６８を備える。これら複数の機能ブロックに対応する複数のモジュールを含むコンピュータプログラムが監視サーバ２４のストレージまたはメモリに格納されてもよい。監視ＥＣＵ１６のＣＰＵは、そのコンピュータプログラムを適宜読み出して実行することにより、各ブロックの機能を発揮してもよい。

ログ受信部６０は、車両１０（監視ＥＣＵ１６）から送信された通信ログを受信してログ記憶部６２に記録する。ログ記憶部６２は、監視ＥＣＵ１６のログ記憶部４２に対応し、図５に示した通信ログを記憶する。表示制御部６４は、ログ受信部６０に記憶された通信ログを示すログ画面を所定の表示装置（例えばオペレータの情報端末の表示装置）に表示させる。

図１０は、ログ画面の例を示す。ログ画面７０は、通信ログの各レコードを一覧表示する。ログ画面７０は、車両１０の監視ＥＣＵ１６で受信された複数のフレームについて、各フレームの受信時刻（Ｔｉｍｅ）、ＣＡＮ−ＩＤ、長さ（ＤＬＣ）、ペイロードを表示する。

図９に戻り、要求受付部６６は、入力装置（例えばオペレータの情報端末）から入力された要求を受け付ける。第２実施例では、第１要求または第２操作が入力される。第１要求は、異常と疑われるメッセージ（フレーム）を指定し、そのメッセージと類似度が高いメッセージ（フレーム）の検索を要求するものである。第２要求は、類似度が高い波形情報を持つメッセージ（言い換えれば、同一のＥＣＵから送信された蓋然性が高いフレーム）のグループ化を要求するものである。

解析部６８は、第１実施例の監視ＥＣＵ１６の解析部４６に対応する。解析部６８は、第１要求で指定されたフレームを解析対象フレームとして認識し、ログ記憶部６２に記憶された複数のフレームデータの中から、解析対象フレームと波形情報が類似するフレームデータを識別する。また、解析部６８は、第２要求に応じて、ログ記憶部６２に記憶された複数のフレームデータを母集団として、波形情報が類似する複数のフレームデータをグループ化する。表示制御部６４は、解析部６８による処理結果をログ画面７０に反映する。

以上の構成による監視サーバ２４の動作を説明する。
図１１は、監視サーバ２４の動作を示すフローチャートである。同図は、異常フレームを指定した第１要求をオペレータの情報端末から受け付けた場合の動作を示している。例えば、オペレータは、車両１０から通知された異常フレームをログ画面７０で選択し、第１要求を送信してもよい。

解析部６８は、第１要求で指定された解析対象フレームＦ（例えば異常フレーム）の波形情報Ｓを通信ログから読み出す（Ｓ５０）。解析部６８は、通信ログのｎ番目（ｎの初期値は１）のレコード（比較フレームＦｎ）の波形情報Ｓｎを読み出す（Ｓ５２）。解析部６８は、波形情報Ｓと波形情報Ｓｎとの類似度を計測する（Ｓ５４）。

類似度が所定の閾値以上であれば（Ｓ５６のＹ）、解析部６８は、比較フレームＦｎの識別子（レコードＩＤ等）と、異常フレームと類似する旨とを表示制御部６４へ通知する。表示制御部６４は、ログ画面７０において、比較フレームＦｎのフレームデータを第１の色で強調表示させる（Ｓ５８）。第１の色は、例えば、デフォルト表示の色（例えば黒）より目立つ色（例えば赤）であってもよい。また、第１の色は、デフォルトとは異なる背景色（例えば黄色）であってもよい。

類似度が上記閾値未満であれば（Ｓ５６のＮ）、解析部６８は、比較フレームＦｎの識別子（レコードＩＤ等）と、異常フレームと非類似である旨とを表示制御部６４へ通知する。表示制御部６４は、ログ画面７０において、比較フレームＦｎのフレームデータを第２の色で表示させる（Ｓ６０）。第２の色は、第１の色より目立たない色であればよく、例えば、デフォルト表示の色（例えば黒）であってもよい。また、第２の色は、デフォルトの背景色であってもよい。また、表示制御部６４は、解析対象フレームＦと非類似の比較フレームＦｎのフレームデータをデフォルト表示のまま維持してもよい。

解析部６８は、変数ｎをインクリメントし、通信ログにｎ番目のレコード（すなわち次の比較フレームＦｎ）が記録されていれば（Ｓ６２のＹ）、Ｓ５２に戻り、解析対象フレームＦと、次の比較フレームＦｎとの波形情報を比較する。通信ログに次の比較フレームＦｎが記録されておらず、すなわち、通信ログの最後に到達した場合（Ｓ６２のＮ）、本図のフローを終了する。

なお、第２実施例では、解析対象フレームと波形情報が類似するフレームのフレームデータ（「類似フレーム」と呼ぶ。）を色により強調表示するが、変形例として、他の態様により類似フレームを強調表示してもよい。例えば、類似フレームの文字サイズをデフォルトサイズより大きくしてもよく、類似フレームのフォントをボールド体（太字）に変えてもよく、類似フレームを枠で囲んでもよい。また、表示制御部６４は、ログ画面７０に類似フレームのみを表示させ、解析対象フレームと波形情報が非類似のフレームを非表示としてもよい。

図１２も、監視サーバ２４の動作を示すフローチャートである。同図は、第２要求を受け付けた場合の動作を示している。例えば、オペレータは、異常フレームは不明であるが、車両１０の通信ログを解析すべき際に、ログ画面７０に対して第２要求を入力してもよい。

解析部６８は、通信ログにおけるｎ番目（ｎの初期値は１）のレコード（解析対象フレームＦｎ）の波形情報Ｓｎを通信ログから読み出す（Ｓ７０）。Ｆｎがグループに割り当て済であれば（Ｓ７２のＹ）、Ｓ８８へ進み、次の解析対象フレームの処理へ進む。Ｆｎがグループに割り当てられてなければ（Ｓ７２のＮ）、解析部６８は、ＦｎをグループＧａ（ａの初期値は１）に割り当て、次回の割り当てに備えてａをインクリメントする（Ｓ７４）。解析部６８は、変数ｎ＋１を変数ｘに代入して、変数ｘを初期化する（Ｓ７６）。解析部６８は、通信ログにおけるｘ番目のレコード（比較フレームＦｘ）の波形情報Ｓｘを読み出す（Ｓ７８）。解析部６８は、ＳｎとＳｘの類似度を計測する（Ｓ８０）。

類似度が所定の閾値以上であれば（Ｓ８２のＹ）、解析部６８は、比較フレームＦｘを解析対象フレームＦｎと同じグループＧａに割り当てる（Ｓ８４）。類似度が上記閾値未満であれば（Ｓ８２のＮ）、解析部６８は、Ｓ８４をスキップする。解析部６８は、変数ｘをインクリメントし、通信ログにｘ番目のレコード（すなわち次の比較フレームＦｘ）が記録されていれば（Ｓ８６のＹ）、Ｓ７８に戻り、解析対象フレームＦｎと、次の比較フレームＦｘとの波形情報を比較する。通信ログに次の比較フレームＦｘが記録されていなければ（Ｓ８６のＮ）、解析部６８は、変数ｎをインクリメントする。

通信ログにｎ番目のレコード（すなわち次の解析対象フレームＦｎ）が記録されていれば（Ｓ８８のＹ）、Ｓ７０に戻る。これを繰り返すことにより、ログ記憶部６２に記憶された複数のフレームデータがいずれかのグループに分類される。通信ログに次の解析対象フレームＦｎが記録されていなければ（Ｓ８８のＮ）、解析部６８は、複数のグループの識別子と、各グループに属するフレームの識別子（レコードＩＤ等）を表示制御部６４へ通知する。

表示制御部６４は、ログ画面７０における複数のフレームのデータを、各フレームが属するグループに応じた態様で表示させる。第２実施例では、表示制御部６４は、ログ画面７０においてグループごとに色分け表示する（Ｓ９０）。例えば、表示制御部６４は、第１のグループに属するフレームデータの文字色または背景色を赤色に設定し、第２のグループに属するフレームデータの文字色または背景色を青色に設定してもよい。変形例として、表示制御部６４は、ログ画面７０において、グループごとにフレームデータの表示位置を分けてもよく、言い換えれば、異なるグループのフレームデータを異なる位置に表示させてもよい。

第２実施例の監視サーバ２４によると、オペレータによるフレームデータの解析を支援でき、オペレータが異常なフレームまたは異常なＥＣＵを効率的に検出できるよう支援できる。

以上、本開示を第２実施例をもとに説明した。この第２実施例は例示であり、それらの各構成要素あるいは各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本開示の範囲にあることは当業者に理解されるところである。

上記第２実施例では、第１要求においてオペレータが解析対象フレームを指定したが、変形例として、監視サーバ２４の解析部６８は、車両１０から通知された異常フレームを自動的に解析対象フレームとして認識し、図１１で示した処理を自動で開始してもよい。これにより、異常フレームに波形情報が類似するフレームをハイライトしたログ画面７０をオペレータに自動で提供することができる。

なお、実施例および変形例に記載の技術は、以下の項目によって特定されてもよい。
［項目１］
複数のフレームを受信する受信部と、
前記受信された複数のフレームの各々に含まれるデータと、前記複数のフレームの各々の波形情報とを対応付けて記憶する記憶部と、
前記記憶された波形情報に基づいて、前記記憶された複数のデータの中から、解析対象のフレームの波形情報と類似する波形情報に対応するデータを識別する解析部と、
を備える監視装置。
この監視装置によると、波形情報の事前学習をすることなく、不正動作しているＥＣＵを識別できる。また、波形情報の事前学習が不要になることで、フレームの解析に伴うコストの増加を抑制できる。
［項目２］
前記受信されたフレームが異常か否かを判定する判定部をさらに備え、
前記フレームは、送信元装置に対応するＩＤデータを含み、
前記解析部は、異常と判定されたフレームを前記解析対象のフレームとして、前記異常と判定されたフレームの波形情報と類似する波形情報に対応するデータであって、かつ、前記異常と判定されたフレームのデータと異なるデータが前記記憶部に記憶されている場合に、前記類似する波形情報のフレームのＩＤデータに対応する送信元装置を異常と判定する、
項目１に記載の監視装置。
この監視装置によると、乗っ取りの攻撃を受けた装置を精度よく検出でき、通信システムのセキュリティを向上することができる。
［項目３］
前記解析部は、前記異常と判定されたフレームの波形情報と非類似の波形情報に対応するデータであって、かつ、前記異常と判定されたフレームのデータと同じデータが前記記憶部に記憶されている場合に、前記非類似の波形情報のフレームのＩＤに対応する送信元装置を異常と判定する、
項目２に記載の監視装置。
この監視装置によると、なりすましの攻撃を受けた装置を精度よく検出でき、通信システムのセキュリティを向上することができる。
［項目４］
前記受信されたフレームが異常か否かを判定する判定部をさらに備え、
前記フレームは、送信元装置に対応するＩＤデータを含み、
前記解析部は、異常と判定されたフレームを前記解析対象のフレームとして、前記異常と判定されたフレームの波形情報と類似する波形情報に対応するデータを識別し、前記類似する波形情報のフレームのＩＤに対応する送信元装置を異常と判定する、
項目１に記載の監視装置。
この監視装置によると、乗っ取りの攻撃を受けた装置を精度よく検出でき、通信システムのセキュリティを向上することができる。
［項目５］
前記フレームは、ＣＡＮ（Controller Area Network）のフレームであり、
前記ＣＡＮのフレームに含まれるＡＣＫフィールドおよびＩＤフィールドの少なくとも一方の波形情報は、前記記憶部による記憶対象から除外される、
項目１から４のいずれかに記載の監視装置。
この監視装置によると、フレームの送信元装置とは異なる装置が送信するデータの波形情報を除外することで、波形情報の比較によるＥＣＵ識別の精度を高めることができる。また、記憶部に記憶される波形情報のデータ量を低減することができる。
［項目６］
前記フレームは、ＣＡＮのフレームであり、
前記ＣＡＮのフレームのうちエラーフレームの波形情報は、前記記憶部による記憶対象から除外される、
項目１から５のいずれかに記載の監視装置。
この監視装置によると、フレームの送信元装置とは異なる装置が送信しうるデータの波形情報を除外することで、波形情報の比較によるＥＣＵ識別の精度を高めることができる。また、記憶部に記憶される波形情報のデータ量を低減することができる。
［項目７］
前記フレームは、ＣＡＮのフレームであり、
前記記憶部は、前記複数のフレームの各々の波形情報として、ドミナントとレセシブの少なくとも一方について、１ビットの波形情報、２ビット連続する波形情報、３ビット連続する波形情報、４ビット連続する波形情報、および５ビット連続する波形情報を記憶する、
項目１から６のいずれかに記載の監視装置。
この監視装置によると、波形情報の比較によるＥＣＵ識別の精度を維持しつつ、記憶部に記憶される波形情報のデータ量を低減することができる。
［項目８］
前記記憶部は、前記複数のフレームの各々の波形を示す複数個の値を差分符号化したデータを前記波形情報として記憶する、
項目１から７のいずれかに記載の監視装置。
この監視装置によると、波形情報の比較によるＥＣＵ識別の精度を維持しつつ、記憶部に記憶される波形情報のデータ量を低減することができる。
［項目９］
前記記憶部は、第１のフレームの波形情報が、既に記憶された第２のフレームの波形情報に類似する場合、前記第２のフレームの波形情報を示す識別子を前記第１のフレームの波形情報として記憶する、
項目１から８のいずれかに記載の監視装置。
この監視装置によると、波形情報の比較によるＥＣＵ識別の精度を維持しつつ、記憶部に記憶される波形情報のデータ量を低減することができる。
［項目１０］
前記記憶された複数のデータを表示させる表示制御部と、
前記解析対象のフレームの指定を受け付ける受付部と、をさらに備え、
前記表示制御部は、前記表示された複数のデータのうち、前記解析対象のフレームの波形情報と類似する波形情報に対応するデータを強調して表示する、
項目１から９のいずれかに記載の監視装置。
この監視装置によると、解析対象のフレームと類似度が高いフレームを強調表示するため、解析を支援することができる。
［項目１１］
前記記憶された複数のデータを表示させる表示制御部をさらに備え、
前記解析部は、波形情報が類似する複数のフレームをグループ化し、
前記表示制御部は、前記複数のフレームのデータを、各フレームが属するグループに応じた態様で表示させる、
項目１から１０のいずれかに記載の監視装置。
この監視装置によると、波形情報が類似するフレームをグループ化して表示するため、解析を支援することができる。
［項目１２］
複数のフレームを受信し、
前記受信された複数のフレームの各々に含まれるデータと、前記複数のフレームの各々の波形情報とを対応付けて記憶し、
前記記憶された波形情報に基づいて、前記記憶された複数のデータの中から、解析対象のフレームの波形情報と類似する波形情報に対応するデータを識別する、
ことをコンピュータが実行する監視方法。
この監視方法によると、波形情報の事前学習をすることなく、不正動作しているＥＣＵを識別できる。また、波形情報の事前学習が不要になることで、フレームの解析に伴うコストの増加を抑制できる。
［項目１３］
複数のフレームを受信し、
前記受信された複数のフレームの各々に含まれるデータと、前記複数のフレームの各々の波形情報とを対応付けて記憶し、
前記記憶された波形情報に基づいて、前記記憶された複数のデータの中から、解析対象のフレームの波形情報と類似する波形情報に対応するデータを識別する、
ことをコンピュータに実行させるためのコンピュータプログラム。
このコンピュータプログラムによると、波形情報の事前学習をすることなく、不正動作しているＥＣＵを識別できる。また、波形情報の事前学習が不要になることで、フレームの解析に伴うコストの増加を抑制できる。

上述した実施例および変形例の任意の組み合わせもまた本発明の実施の形態として有用である。組み合わせによって生じる新たな実施の形態は、組み合わされる実施例および変形例それぞれの効果をあわせもつ。また、請求項に記載の各構成要件が果たすべき機能は、実施例および変形例において示された各構成要素の単体もしくはそれらの連携によって実現されることも当業者には理解されるところである。

１０ 車両、 １６ 監視ＥＣＵ、 ２４ 監視サーバ、 ３０ アナログ信号受信部、 ４２ ログ記憶部、 ４４ 異常判定部、 ４６ 解析部、 ６２ ログ記憶部、 ６４ 表示制御部、 ６８ 解析部。

Claims (13)

1. 複数のフレームを受信する受信部と、
   前記受信された複数のフレームの各々に含まれるデータと、前記複数のフレームの各々の波形情報とを対応付けて記憶する記憶部と、
   前記記憶された波形情報に基づいて、前記記憶された複数のデータの中から、解析対象のフレームの波形情報と類似する波形情報に対応するデータを識別する解析部と、
   を備える監視装置。
2. 前記受信されたフレームが異常か否かを判定する判定部をさらに備え、
   前記フレームは、送信元装置に対応するＩＤデータを含み、
   前記解析部は、異常と判定されたフレームを前記解析対象のフレームとして、前記異常と判定されたフレームの波形情報と類似する波形情報に対応するデータであって、かつ、前記異常と判定されたフレームのデータと異なるデータが前記記憶部に記憶されている場合に、前記類似する波形情報のフレームのＩＤデータに対応する送信元装置を異常と判定する、
   請求項１に記載の監視装置。
3. 前記解析部は、前記異常と判定されたフレームの波形情報と非類似の波形情報に対応するデータであって、かつ、前記異常と判定されたフレームのデータと同じデータが前記記憶部に記憶されている場合に、前記非類似の波形情報のフレームのＩＤに対応する送信元装置を異常と判定する、
   請求項２に記載の監視装置。
4. 前記受信されたフレームが異常か否かを判定する判定部をさらに備え、
   前記フレームは、送信元装置に対応するＩＤデータを含み、
   前記解析部は、異常と判定されたフレームを前記解析対象のフレームとして、前記異常と判定されたフレームの波形情報と類似する波形情報に対応するデータを識別し、前記類似する波形情報のフレームのＩＤに対応する送信元装置を異常と判定する、
   請求項１に記載の監視装置。
5. 前記フレームは、ＣＡＮ（Controller Area Network）のフレームであり、
   前記ＣＡＮのフレームに含まれるＡＣＫフィールドおよびＩＤフィールドの少なくとも一方の波形情報は、前記記憶部による記憶対象から除外される、
   請求項１から４のいずれかに記載の監視装置。
6. 前記フレームは、ＣＡＮのフレームであり、
   前記ＣＡＮのフレームのうちエラーフレームの波形情報は、前記記憶部による記憶対象から除外される、
   請求項１から５のいずれかに記載の監視装置。
7. 前記フレームは、ＣＡＮのフレームであり、
   前記記憶部は、前記複数のフレームの各々の波形情報として、ドミナントとレセシブの少なくとも一方について、１ビットの波形情報、２ビット連続する波形情報、３ビット連続する波形情報、４ビット連続する波形情報、および５ビット連続する波形情報を記憶する、
   請求項１から６のいずれかに記載の監視装置。
8. 前記記憶部は、前記複数のフレームの各々の波形を示す複数個の値を差分符号化したデータを前記波形情報として記憶する、
   請求項１から７のいずれかに記載の監視装置。
9. 前記記憶部は、第１のフレームの波形情報が、既に記憶された第２のフレームの波形情報に類似する場合、前記第２のフレームの波形情報を示す識別子を前記第１のフレームの波形情報として記憶する、
   請求項１から８のいずれかに記載の監視装置。
10. 前記記憶された複数のデータを表示させる表示制御部と、
    前記解析対象のフレームの指定を受け付ける受付部と、をさらに備え、
    前記表示制御部は、前記表示された複数のデータのうち、前記解析対象のフレームの波形情報と類似する波形情報に対応するデータを強調して表示する、
    請求項１から９のいずれかに記載の監視装置。
11. 前記記憶された複数のデータを表示させる表示制御部をさらに備え、
    前記解析部は、波形情報が類似する複数のフレームをグループ化し、
    前記表示制御部は、前記複数のフレームのデータを、各フレームが属するグループに応じた態様で表示させる、
    請求項１から１０のいずれかに記載の監視装置。
12. 複数のフレームを受信し、
    前記受信された複数のフレームの各々に含まれるデータと、前記複数のフレームの各々の波形情報とを対応付けて記憶し、
    前記記憶された波形情報に基づいて、前記記憶された複数のデータの中から、解析対象のフレームの波形情報と類似する波形情報に対応するデータを識別する、
    ことをコンピュータが実行する監視方法。
13. 複数のフレームを受信し、
    前記受信された複数のフレームの各々に含まれるデータと、前記複数のフレームの各々の波形情報とを対応付けて記憶し、
    前記記憶された波形情報に基づいて、前記記憶された複数のデータの中から、解析対象のフレームの波形情報と類似する波形情報に対応するデータを識別する、
    ことをコンピュータに実行させるためのコンピュータプログラム。

Images