JP6964274B2 - 監視装置、監視システム及び監視方法 - Google Patents

監視装置、監視システム及び監視方法 Download PDF

Info

Publication number
JP6964274B2
JP6964274B2 JP2018003762A JP2018003762A JP6964274B2 JP 6964274 B2 JP6964274 B2 JP 6964274B2 JP 2018003762 A JP2018003762 A JP 2018003762A JP 2018003762 A JP2018003762 A JP 2018003762A JP 6964274 B2 JP6964274 B2 JP 6964274B2
Authority
JP
Japan
Prior art keywords
communication data
communication
data
server
unit
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2018003762A
Other languages
English (en)
Other versions
JP2019125867A (ja
Inventor
薫 横田
紘幸 和田
稔久 中野
崇之 藤井
祐輔 根本
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Intellectual Property Management Co Ltd
Original Assignee
Panasonic Intellectual Property Management Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Intellectual Property Management Co Ltd filed Critical Panasonic Intellectual Property Management Co Ltd
Priority to JP2018003762A priority Critical patent/JP6964274B2/ja
Priority to US16/244,453 priority patent/US20190217869A1/en
Publication of JP2019125867A publication Critical patent/JP2019125867A/ja
Application granted granted Critical
Publication of JP6964274B2 publication Critical patent/JP6964274B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Small-Scale Networks (AREA)

Description

本開示は、車載ネットワークに対して不正な制御コマンドを送信することによる車両の不正操作を監視する技術に関する。
特許文献１では、複数の車両の各々の車内に設置されたサイバーウォッチマンと、車外に設置されたサイバーハブとを備える自動車安全システムが開示されている。サイバーウォッチマンは、車載通信ネットワークに接続され、車載通信ネットワーク上の通信トラフィックデータを取得する。また、サイバーハブは、サイバーウォッチマンが取得した通信トラフィックデータを、サイバーウォッチマンから通信ネットワーク（例えばインターネットなど）を介して受信する。これにより、サイバーハブは、複数の車両から通信トラフィックデータを集約することができ、車両のサイバー攻撃に対する高次の情報を取得することができる。
特開２０１５−１３６１０７号公報
しかしながら、上記従来技術では、サイバーハブは、複数の車両のサイバーウォッチマンからデータを受信する必要があるため、通信データ量が膨大になる場合がある。また、各車両のサイバーウォッチマンは、車載通信ネットワークの監視のために常に通信トラフィックデータを取得する必要があるため、データの記憶のための記憶デバイスの容量が膨大になる場合がある。
そこで、本開示は、車載ネットワークの監視において、通信量及び／又は記憶デバイスの容量を削減することができる監視装置、監視システム及び監視方法を提供する。
本発明の一態様に係る監視装置は、車両に搭載され、車載ネットワークを監視する監視装置であって、前記車載ネットワーク上の通信データを取得する第１通信部と、前記車載ネットワークとは異なるネットワークを介してサーバと通信する第２通信部と、前記通信データのログを記憶するための第１記憶部と、前記第１通信部、前記第２通信部及び前記第１記憶部を制御する第１制御部と、を備え、前記第１制御部は、予め定められた判定ルールに基づいて、異常、正常及び判定不能を含む複数の異常レベルの中から前記通信データの異常レベルを判定する第１判定部を備え、前記第１制御部は、判定された前記通信データの異常レベルに応じて、前記通信データのログの前記サーバへの送信方法、及び、前記通信データのログの記憶方法のうちの少なくとも一方を変更し、前記第１制御部は、さらに、前記第２通信部を制御する第１通信制御部を備え、前記第１通信制御部は、前記通信データの異常レベルが異常と判定された場合に、前記通信データのログを前記サーバに送信し、前記通信データの異常レベルが正常と判定された場合に、前記通信データのログを前記サーバに送信せず、前記通信データの異常レベルが判定不能と判定された場合に、（i）前記通信データの特徴量を前記サーバに送信し、（ii）前記サーバから前記通信データの異常レベルが異常であることを示す判定結果を受信したときに、前記通信データのログを前記サーバに送信する。
なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータ読み取り可能なＣＤ−ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。
本発明の一態様に係る監視装置等は、車載ネットワークの監視において、通信量及び／又は記憶デバイスの容量を削減することができる。
実施の形態１に係る監視システムの機能構成を示すブロック図 実施の形態１におけるフルログの一例を示す図 実施の形態１に係る監視システムのシーケンス図 実施の形態１に係る監視装置の第１動作を示すフローチャート 実施の形態１におけるＣＡＮメッセージ内のアクセル量の位置を示す図 実施の形態１における第１特徴量の一例を示す図 実施の形態１における第２特徴量の一例を示す図 実施の形態１における第３特徴量の一例を示す図 実施の形態１における複数の特徴量の組合せの一例を示す図 実施の形態１における１つの特徴量を用いた異常レベル判定の一例を示す概念図 実施の形態１における１つの特徴量を用いた異常レベル判定の他の一例を示す概念図 実施の形態１における２つの特徴量を用いた異常レベル判定の一例を示す概念図 実施の形態１における２つの特徴量を用いた異常レベル判定の他の一例を示す概念図 実施の形態１に係る監視装置の第２動作を示すフローチャート 実施の形態１に係るサーバの動作を示すフローチャート 実施の形態１における学習モデルを用いた異常レベル判定の一例を示す概念図 実施の形態２に係る監視システムの機能構成を示すブロック図 実施の形態２における監視データの一例を示す図 実施の形態２における重みデータの一例を示す図 実施の形態２における重みデータの一例を示す図 実施の形態２に係る監視装置の第１動作を示すフローチャート 実施の形態２に係る監視装置の第２動作を示すフローチャート 実施の形態２の変形例における重みデータの一例を示す図 実施の形態２の変形例における閾値データの一例を示す図
（本開示の概要）
本開示の一態様に係る監視装置は、車両に搭載され、車載ネットワークを監視する監視装置であって、前記車載ネットワーク上の通信データを取得する第１通信部と、前記車載ネットワークとは異なるネットワークを介してサーバと通信する第２通信部と、前記通信データのログを記憶するための第１記憶部と、前記第１通信部、前記第２通信部及び前記第１記憶部を制御する第１制御部と、を備え、前記第１制御部は、予め定められた判定ルールに基づいて、異常、正常及び判定不能を含む複数の異常レベルの中から前記通信データの異常レベルを判定する第１判定部を備え、前記第１制御部は、判定された前記通信データの異常レベルに応じて、前記通信データのログの前記サーバへの送信方法、及び、前記通信データのログの記憶方法のうちの少なくとも一方を変更する。
これによれば、車両に搭載された監視装置で、異常、正常及び判定不能を含む複数の異常レベルの中から通信データの異常レベルを判定することができる。したがって、監視装置で確度の高い異常か正常かの判定ができないケースにおいては必ずしも異常及び正常のどちらかを判定する必要がないため、監視装置において間違った異常レベルが判定されることを削減することができ、異常レベルの判定精度の向上を図ることができる。また、判定された通信データの異常レベルに応じて、通信データのログのサーバへの送信方法、及び、通信データのログの記憶方法のうちの少なくとも一方を変更することができるため、通信量及び／又は記憶デバイスの容量を削減することも可能となる。
また例えば、本開示の一態様に係る監視装置において、前記第１判定部は、前記通信データから特徴量を抽出し、抽出された前記特徴量を用いて前記通信データの異常レベルを判定してもよい。
これによれば、特徴量を用いて通信データの異常レベルを判定することができる。したがって、適切な特徴量を用いることにより、異常レベルの判定精度を向上させることができる。
また例えば、本開示の一態様に係る監視装置において、前記第１通信部は、前記通信データを含む複数の通信データを取得し、前記第１判定部は、前記複数の通信データのうち予め定められた識別子を有する１以上の通信データに含まれる値を、前記特徴量に含まれる第１特徴量として抽出してもよい。また例えば、本開示の一態様に係る監視装置において、前記第１通信部は、前記通信データを含む複数の通信データを取得し、前記第１判定部は、前記複数の通信データのうち予め定められた識別子を有する２以上の通信データに含まれる値の変化量を、前記特徴量に含まれる第２特徴量として抽出してもよい。また例えば、本開示の一態様に係る監視装置において、前記第１通信部は、前記通信データを含む複数の通信データを取得し、前記第１判定部は、前記複数の通信データのうち予め定められた識別子を有する２以上の通信データの送信時刻の差分時間を、前記特徴量に含まれる第３特徴量として抽出してもよい。
これによれば、様々な特徴量を異常レベルの判定に利用することができ、異常レベルの判定精度を向上させることができる。
また例えば、本開示の一態様に係る監視装置において、前記第１制御部は、さらに、前記第２通信部を制御する第１通信制御部を備え、前記第１通信制御部は、前記通信データの異常レベルが異常と判定された場合に、前記通信データのログを前記サーバに送信し、前記通信データの異常レベルが正常と判定された場合に、前記通信データのログを前記サーバに送信せず、前記通信データの異常レベルが判定不能と判定された場合に、（i）前記通信データの特徴量を前記サーバに送信し、（ii）前記サーバから前記通信データの異常レベルが黒であることを示す判定結果を受信したときに、前記通信データのログを前記サーバに送信してもよい。
これによれば、通信データの異常レベルが判定不能と判定された場合に、通信データの特徴量をサーバに送信することができる。その後、サーバから通信データの異常レベルが異常であることを示す判定結果を受信したときに、通信データのログをサーバに送信することができる。したがって、監視装置で判定不能な通信データのログを、サーバでの判定結果に基づいて必要に応じて送信することができ、通信量を削減することができる。
また例えば、本開示の一態様に係る監視装置において、前記監視装置は、さらに、前記通信データのログを一時的に記憶するための第２記憶部を備え、前記第１制御部は、さらに、前記第１記憶部及び前記第２記憶部を制御する記憶制御部を備え、前記記憶制御部は、前記通信データの異常レベルが異常と判定された場合に、前記通信データのログを前記第１記憶部に格納し、前記通信データの異常レベルが判定不能と判定された場合に、（i）前記通信データのログを前記第２記憶部に格納し、（ii-1）前記サーバから前記通信データの異常レベルが異常であることを示す判定結果を受信したときに、前記第２記憶部に格納された前記通信データのログを前記第１記憶部に移動し、（ii-2）前記サーバから前記通信データの異常レベルが正常であることを示す判定結果を受信したときに、前記通信データのログを削除してもよい。
これによれば、通信データの異常レベルが判定不能と判定された場合に、通信データのログを第２記憶部に一時的に格納し、サーバから通信データの異常レベルが異常であることを示す判定結果を受信したときに、第２記憶部に格納された通信データのログを第１記憶部に移動することができる。したがって、監視装置で判定不能な通信データのログを、サーバでの判定結果に基づいて必要に応じて第１記憶部に格納することができ、記憶デバイスの容量を削減することができる。
また例えば、本開示の一態様に係る監視装置において、前記第１通信部は、前記通信データを含む複数の通信データを取得し、前記第１記憶部は、前記複数の通信データを、判定された異常レベルで分類して監視データとして記憶し、前記第１制御部は、さらに、前記第２通信部を制御する第１通信制御部を備え、前記第１通信制御部は、前記第１記憶部に格納された前記監視データのデータ量を異常レベル毎に取得し、前記異常レベル毎に、前記データ量に応じて前記監視データを前記サーバに送信してもよい。
これによれば、異常レベル毎に、データ量に応じて監視データをサーバに送信することができる。したがって、監視データの送信頻度を制御することができ、通信量を削減することができる。
また例えば、本開示の一態様に係る監視装置において、前記第１通信制御部は、前記異常レベル毎に、当該異常レベルに対応する第１重み値を用いて前記データ量を重み付けし、前記異常レベル毎に、重み付けされた前記データ量が予め定められた閾値よりも大きい場合に、前記監視データを前記サーバに送信してもよい。
これによれば、異常レベルに対応する第１重み値を用いてデータ量を重み付けすることができる。したがって、異常レベルに応じて監視データの送信頻度を制御することができ、監視の重要度に応じて監視データを送信することが可能となる。
また例えば、本開示の一態様に係る監視装置において、前記第１制御部は、さらに、前記車両の運転状態を推定する運転状態推定部を備え、前記第１通信制御部は、前記データ量の重み付けにおいて、前記第１重み値に加えて、推定された前記運転状態に対応する第２重み値を用いてもよい。
これによれば、第１重み値に加えて、推定された運転状態に対応する第２重み値をデータ量の重み付けに用いることができる。したがって、車両の運転状態に応じて監視データの送信頻度を制御することができ、監視の重要度に応じて監視データを送信することが可能となる。
本開示の一態様に係る監視システムは、車載ネットワークを監視する監視システムであって、上記監視装置と、前記監視装置と通信可能なサーバと、を備える。
これによれば、上記監視装置と同様の効果を奏することができる。
また例えば、本開示の一態様に係る監視システムにおいて、前記第１制御部は、さらに、前記第２通信部を制御する第１通信制御部を備え、前記第１通信制御部は、前記通信データの異常レベルが異常と判定された場合に、前記通信データのログを前記サーバに送信し、前記通信データの異常レベルが正常と判定された場合に、前記通信データのログを前記サーバに送信せず、前記通信データの異常レベルが判定不能と判定された場合に、（i）前記通信データの特徴量を前記サーバに送信し、（ii）前記サーバから前記通信データの異常レベルが黒であることを示す判定結果を受信したときに、前記通信データのログを前記サーバに送信し、前記サーバは、前記ネットワークを介して前記監視装置と通信する第３通信部と、前記監視装置から受信した前記通信データのログを記憶する第３記憶部と、前記第３通信部を制御する第２制御部と、を備え、前記第２制御部は、異常レベルが判定不能と判定された通信データの特徴量を前記監視装置から前記第３通信部が受信した場合に、受信された前記通信データの特徴量を用いて、前記通信データの異常レベルが異常及び正常のいずれであるかを判定する第２判定部と、前記第２判定部による判定結果を前記監視装置に送信し、前記通信データの異常レベルが異常と判定された場合に前記監視装置から前記通信データのログを受信する第２通信制御部と、を備え、前記第３記憶部は、さらに、通信データの異常レベルを判定するための学習モデルを記憶しており、前記第２判定部は、前記学習モデルを用いて、前記通信データの異常レベルが異常及び正常のいずれであるかを判定してもよい。
これによれば、サーバでは、監視装置で異常レベルが判定不能と判定された通信データの異常レベルが異常及び正常のいずれであるかを判定すればよいため、サーバでの異常レベルの判定の負荷を低減することができる。さらに、サーバでは、学習モデルを用いて通信データの異常レベルを判定することができ、より高精度に異常レベルを判定することができる。
また例えば、本開示の一態様に係る監視システムにおいて、前記監視装置の前記第１通信制御部は、前記通信データの異常レベルが正常と判定された場合に、前記通信データの特徴量を前記サーバに送信し、前記サーバの前記第２制御部は、異常レベルが正常と判定された前記通信データの特徴量を前記監視装置から前記第３通信部が受信した場合に、当該特徴量を正常のラベルが付された訓練データとして用いて前記学習モデルを更新するモデル更新部を備えてもよい。
これによれば、サーバでは、正常と判定された通信データの特徴量を用いて学習モデルを更新することができる。したがって、より高い判定精度を有する学習モデルを構築することができ、環境の変化にも柔軟に対応することができる。
なお、これらの包括的又は具体的な態様は、方法、集積回路、コンピュータプログラム又はコンピュータ読み取り可能なＣＤ−ＲＯＭなどの記録媒体で実現されてもよく、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。
以下、実施の形態について、図面を参照しながら具体的に説明する。
なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、請求の範囲を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。また、各図は、必ずしも厳密に図示したものではない。各図において、実質的に同一の構成については同一の符号を付し、重複する説明は省略又は簡略化する。
（実施の形態１）
［監視システムの構成］
まず、実施の形態１に係る監視システムの構成について、図１を参照しながら具体的に説明する。図１は、実施の形態１に係る監視システム１０の機能構成を示すブロック図である。
監視システム１０は、車載ネットワークを監視する。監視システム１０は、車両２０に搭載された監視装置１００と、監視装置１００と通信可能なサーバ３０と、を備える。車両２０は、例えば自動車であり、その原動機及び燃料は特に限定されない。
［監視装置の構成］
監視装置１００は、車両２０に搭載されており、車載ネットワークを監視する。本実施の形態では、車載ネットワークは、ＣＡＮ（Controller Area Network）に基づいて車両２０内に構築された通信ネットワークである。車載ネットワークでは、複数のＥＣＵ（Electronic Control Unit）２１が複数のＣＡＮバス２２を介して接続され、その複数のＣＡＮバス２２に監視装置１００が接続される。なお、車載ネットワークは、ＣＡＮに限定される必要はなく、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）に基づく通信ネットワークであってもよい。
図１に示すように、監視装置１００は、第１通信部１１０と、第２通信部１２０と、記憶部１３０と、一時記憶部１４０と、制御部１５０とを備える。以下、監視装置１００の各構成要素について説明する。
［第１通信部］
第１通信部１１０は、複数のＣＡＮバス２２上を流れるＣＡＮメッセージを経時的に取得する。ＣＡＮメッセージは、通信データの一例であり、ＣＡＮに基づく制御コマンドである。つまり、第１通信部１１０は、車載ネットワーク上の複数の通信データを取得する。第１通信部１１０で取得されたＣＡＮメッセージは、バッファメモリ（図示せず）に格納される。
［第２通信部］
第２通信部１２０は、車載ネットワークとは異なるネットワーク（例えば移動体通信ネットワーク、インターネット等）を介してサーバ３０と通信する。第２通信部１２０は、例えばテレマティクス通信ユニット（ＴＣＵ）あるいは車載インフォテインメント（ＩＶＩ）等として実装される。
［記憶部］
記憶部１３０は、第１記憶部の一例であり、フルログ１３１及び判定ルール１３２を記憶する。記憶部１３０は、例えば１以上の半導体メモリ及び／又は１以上のハードディスクドライブを用いて実装される。
フルログとは、通信データのログを意味しており、ここではタイムスタンプが付されたＣＡＮメッセージの一覧データである。記憶部１３０に格納されるフルログ１３１には、異常と判定されたＣＡＮメッセージが含まれる。フルログ１３１は、データ圧縮されてもよいし、暗号化されてもよい。
図２は、実施の形態１におけるフルログ１３１の一例を示す。図２のフルログ１３１では、ＣＡＮ ＩＤ及びペイロードを含むＣＡＮメッセージに対してタイムスタンプが秒単位で付されている。ＣＡＮ ＩＤは、ＣＡＮにおいてメッセージを識別する識別子である。ペイロードは、ＣＡＮメッセージのデータ本体であり、運転制御のための制御量（例えばアクセル量）等を示す値を含む。
判定ルール１３２は、ＣＡＮメッセージの異常レベルを判定するために予め定められたルールである。判定ルール１３２は、例えば特徴量の閾値で定義される。また、判定ルール１３２は、例えば特徴量の関数で定義されてもよい。判定ルール１３２については、図面を用いて後述する。
［一時記憶部］
一時記憶部１４０は、第２記憶部の一例であり、フルログ１４１を一時的に記憶する。一時記憶部１４０に格納されるフルログ１４１には、正常及び異常のどちらであるか不明であると判定されたＣＡＮメッセージが含まれる。一時記憶部１４０は、例えば、１以上の半導体メモリ及び／又は１以上のハードディスクドライブを用いて実装される。また、前記記憶部１３０と一時記憶部１４０は、物理的に別の記憶媒体として実装されるとは限らない。例えば、物理的には同じ記憶媒体の上で論理的に分離された二つの領域として実現されてもよい。
［制御部］
制御部１５０は、第１制御部の一例であり、第１通信部１１０、第２通信部１２０、記憶部１３０及び一時記憶部１４０を制御する。制御部１５０は、ＣＡＮメッセージの異常レベルに応じて、フルログのサーバ３０への送信方法、及び、フルログの記憶方法のうちの少なくとも一方を変更する。
フルログの送信方法は、例えばフルログを送信するか否かの指定を含む。また例えば、フルログの送信方法は、フルログを送信するタイミングの指定を含んでもよい。また例えば、フルログの送信方法は、フルログを送信する手順の指定を含んでもよい。
フルログの記憶方法には、例えばフルログを記憶するか否かの指定が含まれる。また例えば、フルログの記憶方法は、フルログを記憶部１３０に格納する手順を含んでもよい。
図１に示すように、制御部１５０は、異常判定部１５１と、通信制御部１５２と、記憶制御部１５３と、を備える。制御部１５０は、１以上の汎用プロセッサ及びメモリを用いてソフトウェアで実装されてもよいし、１以上の専用集積回路を用いてハードウェアで実装されてもよい。
異常判定部１５１は、第１判定部の一例であり、判定ルール１３２に基づいて、異常を示す黒、正常を示す白及び判定不能を示すグレイを含む複数の異常レベルの中から、ＣＡＮメッセージの異常レベルを判定する。具体的には、異常判定部１５１は、ＣＡＮメッセージから特徴量を抽出し、抽出された特徴量を用いてＣＡＮメッセージの異常レベルを判定する。特徴量の詳細については、図面を用いて後述する。
通信制御部１５２は、第１通信制御部の一例であり、第２通信部１２０を制御する。通信制御部１５２は、判定された異常レベルに応じて変更される送信方法に従って、フルログをサーバ３０に送信する。
具体的には、通信制御部１５２は、ＣＡＮメッセージの異常レベルが黒と判定された場合に、フルログをサーバ３０に送信する。一方、通信制御部１５２は、ＣＡＮメッセージの異常レベルが白と判定された場合に、フルログをサーバ３０に送信せず、ＣＡＮメッセージの特徴量をサーバ３０に送信する。
また、通信制御部１５２は、ＣＡＮメッセージの異常レベルがグレイと判定された場合に、まず、ＣＡＮメッセージの特徴量をサーバ３０に送信する。そして、サーバ３０から当該ＣＡＮメッセージの異常レベルが黒であることを示す判定結果を受信した場合に、通信制御部１５２は、フルログをサーバ３０に送信する。一方、サーバ３０から当該ＣＡＮメッセージの異常レベルが白であることを示す判定結果を受信した場合に、通信制御部１５２は、フルログをサーバ３０に送信しない。
記憶制御部１５３は、記憶部１３０及び一時記憶部１４０を制御する。記憶制御部１５３は、判定された異常レベルに応じて変更される記憶方法に従って、フルログを記憶部１３０又は一時記憶部１４０に格納する。
具体的には、記憶制御部１５３は、ＣＡＮメッセージの異常レベルが黒と判定された場合に、フルログ１３１を記憶部１３０に格納する。また、記憶制御部１５３は、ＣＡＮメッセージの異常レベルがグレイと判定された場合に、まず、フルログ１４１を一時記憶部１４０に格納する。そして、サーバ３０から当該ＣＡＮメッセージの異常レベルが黒であることを示す判定結果を受信した場合に、記憶制御部１５３は、一時記憶部１４０に格納されたフルログ１４１を記憶部１３０に移動する。一方、サーバ３０から当該ＣＡＮメッセージの異常レベルが白であることを示す判定結果を受信した場合に、記憶制御部１５３は、一時記憶部１４０に格納されたフルログ１４１を削除する。なお、フルログ１４１の削除では、フルログ１４１の管理情報が管理領域から削除されるだけでもよいし、当該管理情報の削除に加えてフルログ１４１そのものが実データ領域から削除されてもよい。
［サーバの構成］
次に、サーバ３０の構成について説明する。サーバ３０は、車両２０外に設置され、車載ネットワークとは異なるネットワークを介して監視装置１００と通信する。図１に示すように、サーバ３０は、通信部３１と、記憶部３２と、制御部３３と、を備える。
通信部３１は、第３通信部の一例であり、車両２０に搭載された監視装置１００と通信する。
記憶部３２は、第３記憶部の一例であり、ＣＡＮメッセージの異常レベルを判定するための学習モデル３２２を記憶している。さらに、記憶部３２は、監視装置１００から受信したフルログ３２１を記憶する。記憶部３２は、例えば１以上の半導体メモリ及び／又は１以上のハードディスクドライブを用いて実装される。
学習モデル３２２は、ＣＡＮメッセージの特徴量から、ＣＡＮメッセージが異常（黒）であるか正常（白）であるかを判定するための数学モデルである。学習モデル３２２としては、特に限定される必要はないが、例えばＬＯＦ（Local Outlier Factor）あるいはＳＶＭ（Support Vector Machine）のような異常検知手法で使用される学習モデルが用いられる。
制御部３３は、第２制御部の一例であり、通信部３１及び記憶部３２を制御する。制御部３３は、１以上の汎用プロセッサ及びメモリを用いてソフトウェアで実装されてもよいし、１以上の専用集積回路を用いてハードウェアで実装されてもよい。図１に示すように、制御部３３は、異常判定部３３１と、通信制御部３３２と、モデル更新部３３３と、を備える。
異常判定部３３１は、第２判定部の一例であり、監視装置１００において異常レベルがグレイと判定されたＣＡＮメッセージの特徴量を監視装置１００から通信部３１が受信した場合に、受信されたＣＡＮメッセージの特徴量と記憶部３２に記憶する学習モデル３２２を用いて、ＣＡＮメッセージの異常レベルが黒及び白のいずれであるかを判定する。異常レベルの判定方法としては、特に限定される必要はないが、例えば前述のＬＯＦあるいはＳＶＭといった異常検知手法で使用される異常判定方法が用いられる。
通信制御部３３２は、第２通信制御部の一例であり、サーバ３０における異常レベルの判定結果を監視装置１００に送信する。さらに、通信制御部３３２は、ＣＡＮメッセージの異常レベルが黒と判定された場合には、監視装置１００からフルログを受信する。
［監視システムの動作］
次に、以上のように構成された監視システム１０の動作について、図３を参照しながら具体的に説明する。図３は、実施の形態１に係る監視システム１０のシーケンス図である。なお、以降の説明及び図において、データの後の括弧内の色（白、黒及びグレイ）は、異常レベルの判定結果を示す。例えば、（黒）は、監視装置１００又はサーバ３０で黒と判定されたことを表す。また、（グレイ−＞黒）は、監視装置１００でグレイと判定された後に、サーバ３０で黒と判定されたことを表す。
まず、監視装置１００において、異常判定部１５１は、ＣＡＮメッセージの異常レベルを判定する（Ｓ１０２）。そして、監視装置１００の通信制御部１５２は、異常レベルに応じてフルログの送信方法を変更する（Ｓ１０４）。これにより、特徴量データ（白／グレイ）又はフルログ（黒）がサーバ３０に送信される。さらに、記憶制御部１５３は、異常レベルに応じてフルログの記憶方法を変更する（Ｓ１０６）。
サーバ３０では、異常判定部３３１は、異常レベルがグレイと判定されたＣＡＮメッセージの特徴量（グレイ）を受信した場合に、特徴量（グレイ）と学習モデル３２２を用いて、ＣＡＮメッセージの異常レベルが黒及び白のいずれであるかを判定する（Ｓ１１２）。そして、判定結果が監視装置１００に送信される。一方、異常レベルが黒と判定されたＣＡＮメッセージのフルログ（黒）を受信した場合、制御部３３は、フルログを記憶部３２に格納する（Ｓ１１４）。また、異常レベルが白と判定されたＣＡＮメッセージの特徴量（白）を受信した場合には、特徴量（白）を訓練データとして用いて学習モデル３２２を更新する（Ｓ１１６）。
前記ステップＳ１０２において、監視装置１００が異常レベルをグレイと判定したとき、監視装置１００はサーバ３０から送信される判定結果を待ち受けて受信する。監視装置１００は、ＣＡＮメッセージの異常レベルが黒であることを示す判定結果をサーバ３０から受信した場合に、通信制御部１５２は、当該ＣＡＮメッセージのフルログ（グレイ−＞黒）をサーバ３０に送信する（Ｓ１０８）。送信されたフルログ（グレイ−＞黒）を受信したサーバ３０では、制御部３３が記憶部３２に格納する（Ｓ１１８）。さらに、監視装置１００では、記憶制御部１５３が、当該ＣＡＮメッセージのフルログ（グレイ−＞黒）を一時記憶部１４０から記憶部１３０に移動する（Ｓ１１０）。
一方、ＣＡＮメッセージの異常レベルが白であることを示す判定結果をサーバ３０から受信した場合には、監視装置１００の制御部３３は、一時記憶部１４０に格納された当該ＣＡＮメッセージのフルログ（グレイ−＞白）を削除する（Ｓ１１１）。
［監視装置の動作］
このような監視システム１０における監視装置１００の動作を図４〜図１２を参照しながら具体的に説明する。図４は、実施の形態１に係る監視装置１００の第１動作を示すフローチャートである。具体的には、図４は、図３のステップＳ１０２〜ステップＳ１０６の詳細を示す。
まず、第１通信部１１０は、車載ネットワーク上のＣＡＮメッセージを経時的に取得し、バッファメモリに蓄積する（Ｓ２０２）。異常判定部１５１は、バッファメモリに蓄積された複数のＣＡＮメッセージから特徴量を抽出する（Ｓ２０４）。
特徴量としては、ＣＡＮメッセージのペイロードに含まれる値を用いることができる。この場合、異常判定部１５１は、複数のＣＡＮメッセージのうちの予め定められたＣＡＮ ＩＤを有する１以上のＣＡＮメッセージに含まれる値を第１特徴量として抽出してもよい。
例えば、ＣＡＮメッセージ内のアクセル量が第１特徴量として抽出される場合について図５及び図６を参照しながら説明する。図５は、実施の形態１におけるＣＡＮメッセージ内のアクセル量の位置を示す。図６は、実施の形態１における第１特徴量の一例を示し、具体的には、図５のＣＡＮメッセージから抽出された第１特徴量を示す。図５に示す「０ｘ１２３」のＣＡＮ ＩＤを有するＣＡＮメッセージに含まれる１６進数で表されたアクセル量に基づいて、図６に示す１０進数で表されたアクセル量が第１特徴量として抽出される。
また、特徴量としては、第１特徴量の変化量を用いることもできる。この場合、異常判定部１５１は、複数のＣＡＮメッセージのうちの予め定められたＣＡＮ ＩＤを有する２以上のＣＡＮメッセージに含まれる値の変化量を、第２特徴量として抽出してもよい。図７は、実施の形態１における第２特徴量の一例を示し、具体的には、図６の第１特徴量の変化量を示す。ここでは、変化量は、ＣＡＮメッセージに含まれる値と、当該ＣＡＮメッセージの直前のＣＡＮメッセージに含まれる値との差分値の絶対値である。
また、特徴量としては、ＣＡＮメッセージの送信間隔を用いることもできる。この場合、異常判定部１５１は、複数のＣＡＮメッセージのうちの予め定められたＣＡＮ ＩＤを有する２以上のＣＡＮメッセージの送信時刻の差分時間を、第３特徴量として抽出してもよい。図８は、実施の形態１における第３特徴量の一例を示し、具体的には、図５のＣＡＮメッセージから抽出された第３特徴量を示す。
なお、特徴量として、第１特徴量、第２特徴量及び第３特徴量の任意の組合せが用いられてもよい。図９は、実施の形態１における複数の特徴量の組合せの一例を示し、具体的には、図７の第２特徴量と図８の第３特徴量との組み合わせを示す。
異常判定部１５１は、このように抽出された特徴量を用いて、予め定められた判定ルールに基づいて複数のＣＡＮメッセージの異常レベルを判定する（Ｓ２０６）。例えば、各ＣＡＮメッセージの異常レベルを判定し、複数のＣＡＮメッセージの中に黒のＣＡＮメッセージが１つでも含まれる場合に、異常判定部１５１は、それら複数のＣＡＮメッセージを黒と判定する。また例えば、複数のＣＡＮメッセージの中にグレイのＣＡＮメッセージが含まれ、黒のＣＡＮメッセージが含まれない場合に、異常判定部１５１は、それら複数のＣＡＮメッセージをグレイと判定する。また例えば、複数のＣＡＮメッセージのすべてが白と判定された場合に、異常判定部１５１は、それら複数のＣＡＮメッセージを白と判定する。
このとき、各ＣＡＮメッセージの異常レベルの判定では、各ＣＡＮメッセージから抽出された１つの特徴量が閾値と比較されてもよい。図１０Ａ及び図１０Ｂは、実施の形態１における１つの特徴量を用いた異常レベル判定の一例を示す概念図である。
図１０Ａでは、特徴量１が閾値Ｎ１より小さい場合に、異常レベルが白と判定される。また、特徴量１が閾値Ｎ２より大きい場合に、異常レベルが黒と判定される。また、特徴量１が閾値Ｎ１と閾値Ｎ２との間にある場合に、異常レベルがグレイと判定される。
図１０Ｂでは、特徴量１が閾値Ｎ１ａより小さい場合、又は、閾値Ｎ２ｂより大きい場合に、異常レベルが黒と判定される。特徴量１が閾値Ｎ１ｂと閾値Ｎ２ａとの間にある場合に、異常レベルが白と判定される。その他の場合には、異常レベルがグレイと判定される。
また例えば、各ＣＡＮメッセージの異常レベルの判定では、各ＣＡＮメッセージから抽出された２つの特徴量のうちの一方を他方の関数と比較することにより、各ＣＡＮメッセージの異常レベルを判定してもよい。図１１Ａ及び図１１Ｂは、実施の形態１における２つの特徴量を用いた異常レベル判定の一例を示す概念図である。
図１１Ａでは、特徴量２（Ｙ）が、特徴量１（Ｘ）の関数Ｙ＝ａ１Ｘ＋ｂ１よりも小さい場合に、異常レベルが白と判定される。特徴量２（Ｙ）が、特徴量１（Ｘ）の関数Ｙ＝ａ２Ｘ＋ｂ２よりも大きい場合に、異常レベルが黒と判定される。その他の場合には、異常レベルがグレイと判定される。
図１１Ｂでは、特徴量２（Ｙ）が、特徴量１（Ｘ）の関数Ｙ＝ａ１Ｘ＋ｂ１よりも小さい場合、又は、特徴量２（Ｙ）が、特徴量１（Ｘ）の関数Ｙ＝ａ４Ｘ＋ｂ４よりも小さい場合に、異常レベルが黒と判定される。また、特徴量２（Ｙ）が、特徴量１（Ｘ）の関数Ｙａ２Ｘ＋ｂ２と関数Ｙａ３Ｘ＋ｂ３との間にある場合に、異常レベルが白と判定される。その他の場合には、異常レベルがグレイと判定される。
なお、図１０Ａ〜図１１Ｂは、各ＣＡＮメッセージの判定ルールの例示であり、これに限定される必要はない。例えば、図１０Ａにおいて、白及び黒の判定が反転してもよい。つまり、特徴量１が閾値Ｎ１より小さい場合に、異常レベルが黒と判定され、特徴量１が閾値Ｎ２より大きい場合に、異常レベルが白と判定されてもよい。
図４のフローチャートの説明に戻る。複数のＣＡＮメッセージの異常レベルが白と判定された場合（Ｓ２０６の白）、通信制御部１５２は、複数のＣＡＮメッセージの特徴量（白）をサーバ３０に送信する（Ｓ２０８）。そして、複数のＣＡＮメッセージのフルログは破棄される（Ｓ２１０）。つまり、フルログは、記憶部１３０にも一時記憶部１４０にも格納されない。
複数のＣＡＮメッセージの異常レベルがグレイと判定された場合（Ｓ２０６のグレイ）、通信制御部１５２は、複数のＣＡＮメッセージの特徴量（グレイ）をサーバ３０に送信する（Ｓ２１２）。さらに、記憶制御部１５３は、複数のＣＡＮメッセージのフルログ（グレイ）を一時記憶部１４０に格納する（Ｓ２１４）。
複数のＣＡＮメッセージの異常レベルが黒と判定された場合（Ｓ２０６の黒）、通信制御部１５２は、複数のＣＡＮメッセージのフルログ（黒）をサーバ３０に送信する（Ｓ２１６）。さらに、記憶制御部１５３は、複数のＣＡＮメッセージのフルログ（黒）を記憶部１３０に格納する（Ｓ２１８）。
図１２は、実施の形態１に係る監視装置１００の第２動作を示すフローチャートである。具体的には、図１２は、図３のステップＳ１０８〜ステップＳ１１１の詳細を示す。
監視装置１００は、サーバ３０から判定結果を受信する（Ｓ２２０）。この判定結果は、監視装置１００でグレイと判定された複数のＣＡＮメッセージがサーバ３０で黒及び白のいずれであるか判定された結果である。
ここで、受信した判定結果が白である場合（Ｓ２２２の白）、記憶制御部１５３は、一時記憶部に格納されたフルログを削除する（Ｓ２２４）。一方、受信した判定結果が黒である場合（Ｓ２２２の黒）、通信制御部１５２は、一時記憶部１４０に格納されたフルログをサーバ３０に送信する（Ｓ２２６）。さらに、通信制御部１５２は、一時記憶部１４０に格納されたフルログを記憶部１３０に移動する（Ｓ２２８）。
［サーバの動作］
次に、サーバ３０の動作を図１３及び図１４を参照しながら具体的に説明する。図１３は、実施の形態１に係るサーバ３０の動作を示すフローチャートである。具体的には、図１３は、図３のステップＳ１１２〜ステップＳ１１８の詳細を示す。
まず、サーバ３０の通信部３１は、監視装置１００から、データを受信する（Ｓ３０２）。受信したデータが監視装置１００において白と判定されたＣＡＮメッセージの特徴量である場合（Ｓ３０４の白）、モデル更新部３３３は、受信した特徴量（白）を用いて学習モデル３２２を更新する（Ｓ３０６）。つまり、モデル更新部３３３は、受信した特徴量（白）を用いて教師あり学習を行う。
受信したデータが監視装置１００において黒と判定されたＣＡＮメッセージのフルログである場合（Ｓ３０４の黒）、制御部３３は、フルログ（黒）を記憶部３２に格納する（Ｓ３０８）。
受信したデータが監視装置１００においてグレイと判定されたＣＡＮメッセージの特徴量である場合（Ｓ３０４のグレイ）、異常判定部３３１は、学習モデル３２２を用いて、受信した特徴量からＣＡＮメッセージの異常レベルを判定する（Ｓ３１０）。つまり、異常判定部３３１は、ＣＡＮメッセージの異常レベルが黒及び白のいずれであるかを判定する。
図１４は、実施の形態１における学習モデルを用いた異常レベル判定の一例を示す概念図である。図１４では、２つの特徴量に対して白及び黒の領域が定義されており、グレイの領域は存在しない。
ここで、異常レベルが白と判定された場合（Ｓ３１０の白）、通信制御部３３２は、白を示す判定結果（白）を監視装置１００に送信する（Ｓ３１２）。さらに、モデル更新部３３３は、特徴量（グレイ−＞白）を用いて学習モデル３２２を更新する（Ｓ３１４）。
一方、異常レベルが黒と判定された場合（Ｓ３１０の黒）、通信制御部３３２は、黒を示す判定結果（黒）を監視装置１００に送信する（Ｓ３１６）。その後、通信部３１は、監視装置１００からフルログ（グレイ−＞黒）を受信し（Ｓ３１８）、制御部３３は、受信したフルログ（グレイ−＞黒）を記憶部３２に格納する（Ｓ３２０）。
［効果等］
以上のように、本実施の形態に係る監視装置１００によれば、車両２０に搭載された監視装置１００で、異常を示す黒、正常を示す白及び判定不能を示すグレイを含む複数の異常レベルの中からＣＡＮメッセージの異常レベルを判定することができる。したがって、監視装置１００で確度の高い黒か白の判定ができないケースにおいては、必ずしも黒及び白のどちらかを判定する必要がないため、監視装置において間違った異常レベルが判定されることを削減することができ、異常レベルの判定精度の向上を図ることができる。また、判定されたＣＡＮメッセージの異常レベルに応じて、ＣＡＮメッセージのフルログのサーバ３０への送信方法、及び、ＣＡＮメッセージのフルログの記憶方法のうちの少なくとも一方を変更することができるため、通信量及び／又は記憶デバイスの容量を削減することも可能となる。
また、本実施の形態に係る監視装置１００によれば、様々な特徴量を異常レベルの判定に利用することができ、異常レベルの判定精度を向上させることができる。
また、本実施の形態に係る監視装置１００によれば、ＣＡＮメッセージの異常レベルがグレイと判定された場合に、ＣＡＮメッセージの特徴量をサーバ３０に送信することができる。その後、サーバ３０からＣＡＮメッセージの異常レベルが黒であることを示す判定結果を受信したときに、ＣＡＮメッセージのフルログをサーバ３０に送信することができる。したがって、監視装置で判定不能なＣＡＮメッセージのフルログを、サーバ３０での判定結果に基づいて必要に応じて送信することができ、通信量を削減することができる。
また、本実施の形態に係る監視装置１００によれば、ＣＡＮメッセージの異常レベルがグレイと判定された場合に、ＣＡＮメッセージの特徴量をサーバ３０に送信することができる。その後、サーバ３０からＣＡＮメッセージの異常レベルが黒であることを示す判定結果を受信したときに、ＣＡＮメッセージのフルログをサーバ３０に送信することができる。したがって、監視装置１００で判定不能なＣＡＮメッセージのフルログを、サーバ３０での判定結果に基づいて必要に応じて送信することができ、通信量を削減することができる。
また、本実施の形態に係る監視装置１００によれば、ＣＡＮメッセージの異常レベルがグレイと判定された場合に、ＣＡＮメッセージのフルログを一時記憶部１４０に一時的に格納し、サーバ３０からＣＡＮメッセージの異常レベルが黒であることを示す判定結果を受信したときに、一時記憶部１４０に格納されたＣＡＮメッセージのフルログを記憶部１３０に移動することができる。したがって、監視装置１００で判定不能なＣＡＮメッセージのフルログを、サーバ３０での判定結果に基づいて必要に応じて記憶部１３０に格納することができ、記憶デバイスの容量を削減することができる。
また、本実施の形態に係る監視システム１０によれば、サーバ３０では、監視装置１００で異常レベルがグレイと判定されたＣＡＮメッセージの異常レベルが黒及び白のいずれであるかを判定すればよいため、サーバ３０での異常レベル判定の負荷を低減することができる。
また、本実施の形態に係る監視システム１０によれば、サーバ３０では、学習モデル３２２を用いてＣＡＮメッセージの異常レベルを判定することができ、より高精度に異常レベルを判定することができる。
また、本実施の形態に係る監視システム１０によれば、サーバ３０では、白と判定されたＣＡＮメッセージの特徴量を用いて学習モデル３２２を更新することができる。したがって、より高い判定精度を有する学習モデル３２２を構築することができ、環境の変化にも柔軟に対応することができる。
［変形例］
以下に、上記実施の形態１の変形例について説明する。
上記実施の形態１では、監視装置１００の異常レベル判定で用いる特徴量と、サーバ３０の異常レベル判定で用いる特徴量とが一致していたが、監視装置１００及びサーバ３０で互いに異なる特徴量が用いられてもよい。この場合、監視装置１００の通信制御部３３２は、ＣＡＮメッセージがグレイと判定された場合に、ＣＡＮメッセージの特徴量に加えて、各種センサ（例えばＧＰＳ（Global Positioning System）センサ、車載カメラ等）の出力値をサーバ３０に送信してもよい。さらに、サーバ３０は、各種センサの出力値から特徴量を抽出してもよい。
また、上記実施の形態１では、ＣＡＮメッセージがグレイと判定された場合に、フルログが送信されずに特徴量が送信されていたが、特徴量及びフルログの両方もしくはフルログのみを送信してもよい。フルログのみを送信する場合、サーバ３０はフルログから異常レベル判定で用いる特徴量の抽出を行ってもよい。監視装置１００の異常レベル判定の精度が高ければ、グレイの判定結果は頻繁には発生しない。したがって、このような場合には、特徴量及びフルログの両方もしくはフルログのみが送信されても、通信量に与える悪影響は小さい。
また、上記実施の形態１では、ＣＡＮメッセージが黒と判定された場合に、フルログが送信されていたが、単に黒の判定結果のみがサーバ３０に通知されてもよい。この場合、サーバ３０からの要求に応じて監視装置１００からサーバ３０にフルログが送信されてもよい。
また、上記実施の形態１では、一時記憶部１４０に格納されたフルログは、サーバ３０から判定結果を受信した場合に、一時記憶部１４０から削除されていたが、これに限られない。例えば、他の所定の条件を満たす場合に、一時記憶部１４０からフルログが削除されてもよい。例えば、一時記憶部１４０にフルログが格納されてからの経過時間、ユーザによる明示的な削除指示、あるいは一時記憶部１４０の空き容量等に基づいて、一時記憶部１４０からフルログが削除されてもよい。
また、上記実施の形態１では、記憶部１３０に格納されたフルログの削除については特に説明されていなかったが、所定の条件を満たす場合に、記憶部１３０からフルログが削除されてもよい。例えば、サーバ３０から削除指示を受信した場合に、記憶部１３０からフルログが削除されてもよい。この場合、サーバ３０は、記憶部３２にフルログを格納した後に削除指示を監視装置１００に送信してもよい。これにより、サーバ３０及び監視装置１００の両方でフルログを記憶するという資源の無駄使いを減らすことができる。あるいは、記憶部１３０にフルログが格納されてからの経過時間、ユーザによる明示的な削除指示、あるいは記憶部１３０の空き容量等に基づいて、一記憶部１３０からフルログが削除されてもよい。
また、上記実施の形態１では、複数のＣＡＮメッセージが蓄積されてから異常レベルが判定されていたが、１つのＣＡＮメッセージが取得されるたびに当該ＣＡＮメッセージの異常レベルが判定されてもよい。また、異常レベル判定の対象となるＣＡＮメッセージの量は特に限定される必要はなく、一定の時間サイクルで蓄積されたＣＡＮメッセージの異常レベルが判定されてもよい。
また、上記実施の形態１では、異常レベル判定では、１種類又は２種類の特徴量が用いられる例を説明したが、３種類以上の特徴量が用いられてもよい。この場合、３次元以上の多次元で異常レベルが判定される。
また、上記実施の形態１では、特定の１つのＣＡＮ ＩＤを有するＣＡＮメッセージから特徴量が抽出されていたが、これに限られない。複数のＣＡＮ ＩＤに対して、ＣＡＮ ＩＤ毎に上記実施の形態１と同様に特徴量が抽出されてもよい。
また、上記実施の形態１では、特徴量として、第１〜第３特徴量を説明したが、特徴量はこれに限られない。例えば、上記実施の形態１における第１〜第３特徴量の各々の統計量（例えば、平均値、分散値等）が特徴量として利用されてもよい。
（実施の形態２）
次に、実施の形態２について説明する。本実施の形態では、異常判定の結果毎に、蓄積された通信データのログのデータ量に応じて当該ログが監視装置からサーバに送信される点が、上記実施の形態１と異なる。以下、本実施の形態に係る監視システムについて、上記実施の形態１と異なる点を中心に説明する。
［監視システムの構成］
実施の形態２に係る監視システムの構成について、図１５を参照しながら具体的に説明する。図１５は、実施の形態２に係る監視システム１０Ａの機能構成を示すブロック図である。
本実施の形態に係る監視システム１０Ａは、車両２０Ａに搭載された監視装置１００Ａと、監視装置１００Ａと通信可能なサーバ３０Ａと、を備える。
［監視装置の構成］
監視装置１００Ａは、実施の形態１と同様に、車両２０Ａに搭載されており、車載ネットワークを監視する。監視装置１００Ａは、第１通信部１１０と、第２通信部１２０と、記憶部１３０Ａと、制御部１５０Ａとを備える。以下、監視装置１００Ａの各構成要素について実施の形態１と異なる点を中心に説明する。
［記憶部］
記憶部１３０Ａは、第１記憶部の一例であり、監視データ１３１Ａ、判定ルール１３２及び重みデータ１３３Ａを記憶する。記憶部１３０Ａは、例えば１以上の半導体メモリ及び／又は１以上のハードディスクドライブを用いて実装される。
監視データ１３１Ａは、異常レベルで分類された、車載ネットワーク上のＣＡＮメッセージのログである。図１６は、実施の形態２における監視データ１３１Ａの一例を示す。具体的には、図１６の（ａ）、（ｂ）及び（ｃ）には、異常レベルが白、黒及びグレイと判定されたＣＡＮメッセージの監視データがそれぞれ表されている。
図１６では、監視データ１３１Ａは、タイムスタンプ（Ｔｉｍｅｓｔａｍｐ）、ＣＡＮ ＩＤ、及び実施の形態１におけるペイロードに相当するデータ（Ｄａｔａ）に加えて、データ長コード（ＤＬＣ）、バス（Ｂｕｓ）、レベル（Ｌｅｖｅｌ）、エラーコード（ＥｒｒｏｒＣｏｄｅ）、車両情報（ＣａｒＩｎｆｏ）を含む。
ここで、データ長コードは、データのバイト数を示す。バスは、複数のＣＡＮバス２２を個別に識別するための情報である。レベルは、異常レベルを示す。レベルでは、「Ｗ」は白を示し、「Ｂ」は黒を示し、「Ｇ」はグレイを示す。エラーコードは、エラーの内容を特定するための情報である。車両情報は、車両の種類を特定するための情報である。
重みデータ１３３Ａは、異常レベルの判定で用いる重みを示すデータである。図１７Ａ及び図１７Ｂは、実施の形態２における重みデータ１３３Ａの一例を示す。具体的には、図１７Ａは、複数の異常レベルと複数の第１重み値（ｗ１）とが対応付けられた第１重みテーブルである。第１重み値は、監視の重要度を表し、値が大きいほど重要度が高い。また、図１７Ｂは、複数の運転状態と複数の第２重み値（ｗ２）とが対応付けられた第２重みテーブルである。第２重み値は、通信の重要度を表し、値が大きいほど重要度が高い。
［制御部］
制御部１５０Ａは、第１制御部の一例であり、第１通信部１１０、第２通信部１２０及び記憶部１３０Ａを制御する。制御部１５０Ａは、ＣＡＮメッセージの異常レベルに応じて、監視データのサーバ３０Ａへの送信方法を変更する。本実施の形態では、監視データの送信方法は、異常レベル毎に送信タイミングを変更することにより変更される。
図１５に示すように、制御部１５０Ａは、異常判定部１５１と、通信制御部１５２Ａと、運転状態推定部１５４Ａと、を備える。制御部１５０Ａは、１以上の汎用プロセッサ及びメモリを用いてソフトウェアで実装されてもよいし、１以上の専用集積回路を用いてハードウェアで実装されてもよい。
通信制御部１５２Ａは、第１通信制御部の一例であり、第２通信部１２０を制御する。具体的には、通信制御部１５２Ａは、記憶部１３０Ａに格納された監視データ１３１Ａのデータ量を異常レベル毎に取得する。データ量は、例えば、図１６のテーブルにおけるレコード数で定義される。そして、通信制御部１５２Ａは、異常レベル毎に、取得されたデータ量に応じて監視データをサーバ３０Ａに送信する。
より具体的には、通信制御部１５２Ａは、まず、異常レベル毎に、異常レベルに対応する第１重み値及び運転状態に対応する第２重み値を用いてデータ量を重み付けする。重み付けされたデータ量Ｄｗは、以下の式（１）で表される。
Ｄｗ＝ｗ１×ｗ２×Ｄ （１）
ここで、ｗ１は、第１重み値を表し、ｗ２は、第２重み値を表す。Ｄは、異常レベル毎の監視データのデータ量を表し、まだ重み付けされていないデータ量を表す。
そして、通信制御部１５２Ａは、異常レベル毎に、重み付けされたデータ量が予め定められた閾値よりも大きい場合に監視データをサーバ３０Ａに送信する。本実施の形態では、予め定められた閾値としては、複数の異常レベルで同一の閾値が用いられる。つまり、予め定められた閾値は、複数の異常レベルで共通である。
例えば、白、黒及びグレイの監視データのデータ量がそれぞれ１０００、２０及び６であり、車両２０Ａが自動運転レベル３で運転中であるとする。この場合、図１７Ａ及び図１７Ｂの第１重み値及び第２重み値が用いられれば、重み付けされたデータ量は、それぞれ、４０（＝０．０１×４×１０００）、８０（＝１×４×２０）及び１２０（＝５×４×６）となる。ここで、閾値として１００が用いられれば、重み付けされたデータ量が１２０のグレイの監視データのみがサーバ３０Ａに送信される。
運転状態推定部１５４Ａは、車両２０Ａの運転状態を推定する。例えば、運転状態推定部１５４Ａは、車載ネットワーク上のＣＡＮメッセージに基づいて運転状態を推定する。具体的には、運転状態推定部１５４Ａは、例えば、特定のＣＡＮ ＩＤを有するＣＡＮメッセージのデータに基づいて運転状態を推定する。
運転状態とは、運転中の車両の状態を意味する。本実施の形態では、運転状態は、主として自動運転レベルで定義される。例えば、図１７Ｂでは、運転状態は、手動運転中（つまり、自動運転レベル０で運転中）、自動運転Ｌ２以下で作動中（つまり、自動運転レベル１又は２で運転中）、自動運転Ｌ３以上で作動中（つまり、自動運転レベル３、４又は５で運転中）及び緊急／故障で分類される。
［サーバの構成］
次に、サーバ３０Ａの構成について説明する。サーバ３０Ａは、車両２０Ａ外に設置され、車載ネットワークとは異なるネットワークを介して監視装置１００Ａと通信する。図１５に示すように、サーバ３０Ａは、通信部３１と、記憶部３２Ａと、制御部３３Ａと、を備える。
記憶部３２Ａは、監視装置１００Ａから受信した監視データ３２１Ａを記憶する。記憶部３２Ａは、例えば１以上の半導体メモリ及び／又は１以上のハードディスクドライブを用いて実装される。
制御部３３Ａは、通信部３１及び記憶部３２Ａを制御する。制御部３３Ａは、１以上の汎用プロセッサ及びメモリを用いてソフトウェアで実装されてもよいし、１以上の専用集積回路を用いてハードウェアで実装されてもよい。制御部３３Ａは、監視装置１００Ａから受信した監視データ３２１Ａを記憶部３２Ａに格納する。
［監視装置の動作］
次に、以上のように構成された監視装置１００Ａの動作について、図１８及び図１９を参照しながら具体的に説明する。図１８は、実施の形態２に係る監視装置１００Ａの第１動作を示すフローチャートである。図１９は、実施の形態２に係る監視装置１００Ａの第２動作を示すフローチャートである。
図１８に示すように、まず、第１通信部１１０は、車載ネットワーク上のＣＡＮメッセージを取得する（Ｓ４０２）。異常判定部１５１は、黒、白及びグレイを含む複数の異常レベルの中からＣＡＮメッセージの異常レベルを判定する（Ｓ４０４）。
制御部１５０Ａは、異常判定部１５１による判定結果でＣＡＮメッセージを分類して監視データ１３１Ａとして記憶部１３０Ａに格納する（Ｓ４０６）。この第１動作は車載ネットワーク上にＣＡＮメッセージの通信トラフィックが発生する毎に実行される。これにより、例えば図１６に示す監視データ１３１Ａが記憶部１３０Ａに格納される。
このように監視データ１３１Ａが記憶部１３０Ａに記憶された状態で、図１９に示すように、運転状態推定部１５４Ａは、車両２０Ａの運転状態を推定する（Ｓ４０８）。ここで、通信制御部１５２Ａは、異常レベル毎に処理を行うために、未選択の異常レベルを選択する（Ｓ４１０）。通信制御部１５２Ａは、選択された異常レベルの監視データ１３１Ａのデータ量を取得する（Ｓ４１２）。
通信制御部１５２Ａは、推定された運転状態及び選択された異常レベルに基づいて、取得されたデータ量を重み付けする（Ｓ４１４）。具体的には、通信制御部１５２Ａは、重みデータ１３３Ａを参照して、選択された異常レベルに対応する第１重み値及び推定された運転状態に対応する第２重み値を取得する。そして、通信制御部１５２Ａは、取得した第１重み値及び第２重み値を取得されたデータ量に適用することにより、重み付けされたデータ量を算出する。
通信制御部１５２Ａは、重み付けされたデータ量を予め定められた閾値と比較する（Ｓ４１６）。ここで、重み付けされたデータ量が予め定められた閾値より大きい場合（Ｓ４１６のＹｅｓ）、通信制御部１５２Ａは、選択された異常レベルの監視データ１３１Ａをサーバ３０Ａに送信する（Ｓ４１８）。一方、重み付けされたデータ量が予め定められた閾値以下である場合（Ｓ４１６のＮｏ）、通信制御部１５２Ａは、選択された異常レベルの監視データ１３１Ａの送信をスキップする。
通信制御部１５２Ａは、複数の異常レベルの中で未選択の異常レベルがあるか否かを判定する（Ｓ４２０）。ここで、未選択の異常レベルがある場合（Ｓ４２０のＹｅｓ）、異常レベルの選択処理（Ｓ４１０）に戻る。一方、すべての異常レベルがすでに選択された場合（Ｓ４２０のＮｏ）、処理を終了する。
なお、監視装置１００Ａの第２動作は繰り返し実行する。すなわち、第２動作の処理が終了すると、全ての異常レベルを未選択の状態にリセットして次の第２動作の処理を開始するという動作を繰り返す。このとき、第２動作の処理が終了後直ちに次の第２動作の処理を開始してもよいし、終了後一定時間経過後に開始してもよい。あるいは、一定量の監視データが記憶部１３０Ａに新たに格納される毎に開始してもよい。このとき、特定の監視レベルの監視データだけに着目して、着目する監視レベルの監視データが所定量新たに記憶部１３０Ａに格納される毎に開始するようにしてもよい。また、車両の運転状態が変化するたびに開始してもよい。さらに、上記の開始条件から複数を選択して設定し、設定した開始条件のいずれか１つが満たされると開始するようにしてもよい。
［効果等］
以上のように、本実施の形態に係る監視装置１００Ａによれば、異常レベル毎に、データ量に応じて監視データをサーバに送信することができる。したがって、監視データの送信頻度を制御することができ、通信量を削減することができる。
また、本実施の形態に係る監視装置１００Ａによれば、異常レベルに対応する第１重み値を用いてデータ量を重み付けすることができる。したがって、異常レベルに応じて監視データの送信頻度を制御することができ、監視の重要度に応じて監視データを送信することが可能となる。
また、本実施の形態に係る監視装置１００Ａによれば、第１重み値に加えて、推定された運転状態に対応する第２重み値をデータ量の重み付けに用いることができる。したがって、車両の運転状態に応じて監視データの送信頻度を制御することができ、監視の重要度に応じて監視データを送信することが可能となる。
［変形例］
以下に、上記実施の形態２の変形例について説明する。
上記実施の形態２では、データ量の重み付けに第１重み値及び第２重み値の両方が用いられていたが、これに限られない。例えば、第１重み値及び第２重み値の一方のみを用いてデータ量が重み付けされてもよい。
また、上記実施の形態２の重みデータ１３３Ａでは、異常レベルに対応する第１重み値及び運転状態に対応する第２重み値を別々に管理されていたが、第１重み値及び第２重み値を統合して管理してもよい。この場合、例えば図１７Ａ及び図１７Ｂの重みデータ１３３Ａの代わりに、図２０の重みデータ１３３Ｂが記憶部１３０Ａに記憶されてもよい。
また、上記実施の形態２では、重み付けされたデータ量が共通の閾値と比較されていたが、閾値が重み付けされてもよい。この場合、図１７Ａ及び図１７Ｂの重みデータ１３３Ａの代わりに、図２１の閾値データ１３３Ｃが記憶部１３０Ａに記憶されてもよい。
また、上記実施の形態２では、監視装置１００Ａの記憶部１３０Ａに格納された監視データ１３１Ａの記憶方法について特に説明はしていなかったが、異常レベルに応じて記憶方法が変更されてもよい。例えば、監視データ１３１Ａは、まず、記憶部１３０Ａの揮発領域に格納され、揮発領域での記憶時間又はデータ量に応じて記憶部１３０Ａの不揮発領域に移動されてもよい。記憶部１３０Ａの不揮発領域に格納された監視データ１３１Ａは、通信制御部３３２によって異常レベル毎に送信されるが、所定の条件が満たされれば削除されずにそのまま不揮発領域に格納されてもよい。このとき、監視データ１３１Ａは、データ圧縮されてもよいし、暗号化されてもよい。例えば、自動運転レベル３で運転中のグレイ又は黒の監視データは、サーバ３０に送信された後も特定の期間、不揮発領域に保持されてもよい。これにより、サーバ３０からの監視データの再送信要求に応じることもでき、さらにフォレンジックも可能となる。
また、上記実施の形態２では、重みデータ１３３Ａは、特に更新されなかったが、更新されてもよい。例えば、監視装置１００Ａは、新たな重みデータをサーバ３０Ａから受信し、受信した新たな重みデータで記憶部１３０Ａ内の重みデータ１３３Ａを更新してもよい。
（他の実施の形態）
以上、本開示の１つ又は複数の態様に係る監視システム及び監視装置について、実施の形態に基づいて説明したが、本開示は、この実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、本開示の１つ又は複数の態様の範囲内に含まれてもよい。
例えば、上記各実施の形態において、実施の形態１におけるログの送信において、実施の形態２のデータ量に応じた送信方法を適用してもよい。
なお、上記各実施の形態で示したデータの形式及び内容は、例示であり、これに限定されない。
また、上記各実施の形態における監視装置が備える制御部の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。
システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などを含んで構成されるコンピュータシステムである。前記ＲＯＭには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。
なお、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路または汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）、あるいはＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用してもよい。
さらには、半導体技術の進歩または派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。
また、本開示の一態様は、このような車載ネットワークの監視装置だけではなく、監視装置に含まれる特徴的な構成部をステップとする監視方法であってもよい。また、本開示の一態様は、監視方法に含まれる特徴的な各ステップをコンピュータに実行させるコンピュータプログラムであってもよい。また、本開示の一態様は、そのようなコンピュータプログラムが記録された、コンピュータ読み取り可能な非一時的な記録媒体であってもよい。
なお、上記各実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵまたはプロセッサなどのプログラム実行部が、ハードディスクドライブまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。ここで、上記各実施の形態の監視装置などを実現するソフトウェアは、次のようなプログラムである。
すなわち、このプログラムは、コンピュータに、車載ネットワークを監視する監視方法であって、前記車載ネットワーク上の通信データを取得し、予め定められた判定ルールに基づいて、異常、正常及び判定不能を含む複数の異常レベルの中から前記通信データの異常レベルを判定し、判定された前記通信データの異常レベルに応じて、前記通信データのログの前記サーバへの送信方法、及び、前記通信データのログの記憶方法のうちの少なくとも一方を変更する、監視方法を実行させる。
車載ネットワークを監視する監視装置として利用することができる。
１０、１０Ａ 監視システム
２０、２０Ａ 車両
３０、３０Ａ サーバ
３１ 通信部
３２、３２Ａ 記憶部
３３、３３Ａ、１５０、１５０Ａ 制御部
１００、１００Ａ 監視装置
１１０ 第１通信部
１２０ 第２通信部
１３０、１３０Ａ 記憶部
１３１、１４１、３２１ フルログ
１３１Ａ 監視データ
１３２ 判定ルール
１３３Ａ、１３３Ｂ 重みデータ
１３３Ｃ 閾値データ
１４０ 一時記憶部
１５１、３３１ 異常判定部
１５２、１５２Ａ、３３２ 通信制御部
１５３ 記憶制御部
１５４Ａ 運転状態推定部
３２１Ａ 監視データ
３２２ 学習モデル
３３３ モデル更新部

Claims (14)

  1. 車両に搭載され、車載ネットワークを監視する監視装置であって、
    前記車載ネットワーク上の通信データを取得する第１通信部と、
    前記車載ネットワークとは異なるネットワークを介してサーバと通信する第２通信部と、
    前記通信データのログを記憶するための第１記憶部と、
    前記第１通信部、前記第２通信部及び前記第１記憶部を制御する第１制御部と、を備え、
    前記第１制御部は、予め定められた判定ルールに基づいて、異常、正常及び判定不能を含む複数の異常レベルの中から前記通信データの異常レベルを判定する第１判定部を備え、
    前記第１制御部は、判定された前記通信データの異常レベルに応じて、前記通信データのログの前記サーバへの送信方法、及び、前記通信データのログの記憶方法のうちの少なくとも一方を変更し、
    前記第１制御部は、さらに、前記第２通信部を制御する第１通信制御部を備え、
    前記第１通信制御部は、
    前記通信データの異常レベルが異常と判定された場合に、前記通信データのログを前記サーバに送信し、
    前記通信データの異常レベルが正常と判定された場合に、前記通信データのログを前記サーバに送信せず、
    前記通信データの異常レベルが判定不能と判定された場合に、（i）前記通信データの特徴量を前記サーバに送信し、（ii）前記サーバから前記通信データの異常レベルが異常であることを示す判定結果を受信したときに、前記通信データのログを前記サーバに送信する、
    監視装置。
  2. 前記第１判定部は、前記通信データから特徴量を抽出し、抽出された前記特徴量を用いて前記通信データの異常レベルを判定する、
    請求項１に記載の監視装置。
  3. 前記第１通信部は、前記通信データを含む複数の通信データを取得し、
    前記第１判定部は、前記複数の通信データのうち予め定められた識別子を有する１以上の通信データに含まれる値を、前記特徴量に含まれる第１特徴量として抽出する、
    請求項２に記載の監視装置。
  4. 前記第１通信部は、前記通信データを含む複数の通信データを取得し、
    前記第１判定部は、前記複数の通信データのうち予め定められた識別子を有する２以上の通信データに含まれる値の変化量を、前記特徴量に含まれる第２特徴量として抽出する、
    請求項２又は３に記載の監視装置。
  5. 前記第１通信部は、前記通信データを含む複数の通信データを取得し、
    前記第１判定部は、前記複数の通信データのうち予め定められた識別子を有する２以上の通信データの送信時刻の差分時間を、前記特徴量に含まれる第３特徴量として抽出する、
    請求項２〜４のいずれか１項に記載の監視装置。
  6. 前記監視装置は、さらに、前記通信データのログを一時的に記憶するための第２記憶部を備え、
    前記第１制御部は、さらに、前記第１記憶部及び前記第２記憶部を制御する記憶制御部を備え、
    前記記憶制御部は、
    前記通信データの異常レベルが異常と判定された場合に、前記通信データのログを前記第１記憶部に格納し、
    前記通信データの異常レベルが判定不能と判定された場合に、（i）前記通信データのログを前記第２記憶部に格納し、（ii-1）前記サーバから前記通信データの異常レベルが異常であることを示す判定結果を受信したときに、前記第２記憶部に格納された前記通信データのログを前記第１記憶部に移動し、（ii-2）前記サーバから前記通信データの異常レベルが正常であることを示す判定結果を受信したときに、前記通信データのログを削除する、
    請求項１〜５のいずれか１項に記載の監視装置。
  7. 前記第１通信部は、前記通信データを含む複数の通信データを取得し、
    前記第１記憶部は、前記複数の通信データを、判定された異常レベルで分類して監視データとして記憶し、
    前記第１通信制御部は、
    前記第１記憶部に格納された前記監視データのデータ量を異常レベル毎に取得し、
    前記異常レベル毎に、前記データ量に応じて前記監視データを前記サーバに送信する、
    請求項１〜６のいずれか１項に記載の監視装置。
  8. 前記第１通信制御部は、
    前記異常レベル毎に、当該異常レベルに対応する第１重み値を用いて前記データ量を重み付けし、
    前記異常レベル毎に、重み付けされた前記データ量が予め定められた閾値よりも大きい場合に、前記監視データを前記サーバに送信する、
    請求項７に記載の監視装置。
  9. 前記第１制御部は、さらに、前記車両の運転状態を推定する運転状態推定部を備え、
    前記第１通信制御部は、前記データ量の重み付けにおいて、前記第１重み値に加えて、推定された前記運転状態に対応する第２重み値を用いる、
    請求項８に記載の監視装置。
  10. 車載ネットワークを監視する監視システムであって、
    請求項１〜９のいずれか１項に記載の監視装置と、
    前記監視装置と通信可能なサーバと、を備える、
    監視システム。
  11. 前記第１制御部は、さらに、前記第２通信部を制御する第１通信制御部を備え、
    前記第１通信制御部は、
    前記通信データの異常レベルが異常と判定された場合に、前記通信データのログを前記サーバに送信し、
    前記通信データの異常レベルが正常と判定された場合に、前記通信データのログを前記サーバに送信せず、
    前記通信データの異常レベルが判定不能と判定された場合に、（i）前記通信データの特徴量を前記サーバに送信し、（ii）前記サーバから前記通信データの異常レベルが異常であることを示す判定結果を受信したときに、前記通信データのログを前記サーバに送信し、
    前記サーバは、
    前記ネットワークを介して前記監視装置と通信する第３通信部と、
    前記監視装置から受信した前記通信データのログを記憶する第３記憶部と、
    前記第３通信部を制御する第２制御部と、を備え、
    前記第２制御部は、
    異常レベルが判定不能と判定された通信データの特徴量を前記監視装置から前記第３通信部が受信した場合に、受信された前記通信データの特徴量を用いて、前記通信データの異常レベルが異常及び正常のいずれであるかを判定する第２判定部と、
    前記第２判定部による判定結果を前記監視装置に送信し、前記通信データの異常レベルが異常と判定された場合に前記監視装置から前記通信データのログを受信する第２通信制御部と、を備え、
    前記第３記憶部は、さらに、通信データの異常レベルを判定するための学習モデルを記憶しており、
    前記第２判定部は、前記学習モデルを用いて、前記通信データの異常レベルが異常及び正常のいずれであるかを判定する、
    請求項１０に記載の監視システム。
  12. 前記監視装置の前記第１通信制御部は、前記通信データの異常レベルが正常と判定された場合に、前記通信データの特徴量を前記サーバに送信し、
    前記サーバの前記第２制御部は、異常レベルが正常と判定された前記通信データの特徴量を前記監視装置から前記第３通信部が受信した場合に、当該特徴量を正常のラベルが付された訓練データとして用いて前記学習モデルを更新するモデル更新部を備える、
    請求項１１に記載の監視システム。
  13. 車載ネットワークを監視する監視方法であって、
    前記車載ネットワーク上の通信データを取得し、
    予め定められた判定ルールに基づいて、異常、正常及び判定不能を含む複数の異常レベルの中から前記通信データの異常レベルを判定し、
    判定された前記通信データの異常レベルに応じて、前記通信データのログのサーバへの送信方法、及び、前記通信データのログの記憶方法のうちの少なくとも一方を変更し、
    前記通信データの異常レベルが異常と判定された場合に、前記通信データのログを前記サーバに送信し、
    前記通信データの異常レベルが正常と判定された場合に、前記通信データのログを前記サーバに送信せず、
    前記通信データの異常レベルが判定不能と判定された場合に、（i）前記通信データの特徴量を前記サーバに送信し、（ii）前記サーバから前記通信データの異常レベルが異常であることを示す判定結果を受信したときに、前記通信データのログを前記サーバに送信する、
    監視方法。
  14. 請求項１３に記載の監視方法をコンピュータに実行させるためのプログラム。
JP2018003762A 2018-01-12 2018-01-12 監視装置、監視システム及び監視方法 Active JP6964274B2 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2018003762A JP6964274B2 (ja) 2018-01-12 2018-01-12 監視装置、監視システム及び監視方法
US16/244,453 US20190217869A1 (en) 2018-01-12 2019-01-10 Control apparatus, control method, and program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2018003762A JP6964274B2 (ja) 2018-01-12 2018-01-12 監視装置、監視システム及び監視方法

Publications (2)

Publication Number Publication Date
JP2019125867A JP2019125867A (ja) 2019-07-25
JP6964274B2 true JP6964274B2 (ja) 2021-11-10

Family

ID=67399123

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2018003762A Active JP6964274B2 (ja) 2018-01-12 2018-01-12 監視装置、監視システム及び監視方法

Country Status (1)

Country Link
JP (1) JP6964274B2 (ja)

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7383995B2 (ja) * 2019-11-19 2023-11-21 株式会社デンソー 通信システム及び通信装置
WO2021144858A1 (ja) * 2020-01-14 2021-07-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知システム、異常検知装置、及び異常検知方法
WO2021144860A1 (ja) 2020-01-14 2021-07-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車両ログ保存装置、車両ログ送信装置、車両ログ収集システムおよび車両ログ保存方法
JP7296555B2 (ja) * 2020-10-22 2023-06-23 パナソニックＩｐマネジメント株式会社 異常検知装置、異常検知方法及びプログラム
EP4228221A1 (en) * 2020-11-19 2023-08-16 Nippon Telegraph And Telephone Corporation Estimation device, estimation method, and estimation program
JP7309101B2 (ja) * 2021-06-16 2023-07-14 三菱電機株式会社 攻撃検知装置、敵対的サンプルパッチ検知システム、攻撃検知方法、及び、攻撃検知プログラム
CN113212460B (zh) * 2021-06-17 2022-08-09 广州文远知行科技有限公司 一种车辆控制方法、装置、设备和存储介质
JP2023112819A (ja) * 2022-02-02 2023-08-15 株式会社オートネットワーク技術研究所 監視装置、車両監視システムおよび車両監視方法
WO2023162043A1 (ja) * 2022-02-22 2023-08-31 日本電信電話株式会社 トラヒックデータ収集システム、トラヒックデータ収集方法及びトラヒックデータ収集プログラム
JP2023127404A (ja) * 2022-03-01 2023-09-13 日立Astemo株式会社 電子制御システム
WO2023210314A1 (ja) * 2022-04-27 2023-11-02 株式会社オートネットワーク技術研究所 車載装置、プログラム及び情報処理方法
CN115174554B (zh) * 2022-06-24 2023-07-11 北京经纬恒润科技股份有限公司 控制器的日志上传方法及系统

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6649215B2 (ja) * 2015-12-14 2020-02-19 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ装置、ネットワークシステム及び攻撃検知方法
JP6423402B2 (ja) * 2015-12-16 2018-11-14 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ

Also Published As

Publication number Publication date
JP2019125867A (ja) 2019-07-25

Similar Documents

Publication Publication Date Title
JP6964274B2 (ja) 監視装置、監視システム及び監視方法
US11256500B2 (en) Assembling data deltas in controllers and managing interdependencies between software versions in controllers using tool chain

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20200902

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20210625

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20210706

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20210826

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20210914

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20211005

R151 Written notification of patent or utility model registration

Ref document number: 6964274

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151

S111 Request for change of ownership or part of ownership

Free format text: JAPANESE INTERMEDIATE CODE: R313113

S531 Written request for registration of change of domicile

Free format text: JAPANESE INTERMEDIATE CODE: R313531

SZ03 Written request for cancellation of trust registration

Free format text: JAPANESE INTERMEDIATE CODE: R313Z03