JP7156372B2 - 監視装置、学習装置、監視方法、学習方法及びプログラム - Google Patents

Description

本発明は、監視技術に関し、特に、異常なデータを監視する技術に関する。

近年、自動車には、ネットワークによって接続された、複数の電子制御ユニット（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ；ＥＣＵ）が搭載されている。自動車に搭載されているＥＣＵを接続するネットワークは、車載ネットワークとも呼ばれる。車載ネットワークには、例えば、様々な種類のデータが、通信プロトコルに応じて定められたフォーマットのデータフレームとして、ＥＣＵによって送信される。車載ネットワークの通信プロトコルとして、例えば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）等のプロトコルが使用される。ＥＣＵは、自動車の状態を表すデータ、例えば、自動車に搭載されたセンサ等によって取得されたデータを、車載ネットワークに送信する。自動車に搭載されたセンサによって取得されるデータなどの、自動車の状態を示すデータは、自動車の制御に使用されることがある。従って、車載ネットワークに送信されるデータフレームから不正なデータフレーム、例えば、攻撃を目的としたデータフレーム、及び、ＥＣＵやセンサ等の故障等による異常なデータフレーム等を、検出する需要がある。

特許文献１には、複数のＥＣＵを備える車載ネットワークシステムにおいて、不正状態が発生したことを検知する不正検知方法の例が開示されている。

特許文献２には、車載ネットワークのバスに送信されたフレームが攻撃フレームである可能性の有無を判断する条件が満たされた場合に、外部装置に判定の要求を伝達するセキュリティ装置が開示されている。

国際公開第２０１７／１１９０２７号 特開２０１７－１１２５９４号公報

特許文献１の不正検知方法では、フレームに含まれる複数の種類のデータの間の整合性が取れていない場合に、不正が検知される。複数の種類のデータの間の整合性は、データが示す値の変化量等のデータが示す値から算出された値に対する、固定された閾値を使用して判定される。特許文献１の技術では、不正なフレームのデータの値が、実際には検出され得ない値であっても、不正なフレームに含まれる複数の種類のデータの間の整合性さえ取れていれば、その不正なフレームを検出できない。

特許文献２のセキュリティ装置は、フレームのデータフィールド内のデータが示す値の変化量の絶対値が、その絶対値の上限として設定された閾値を超えている場合に、そのフレームが、不正に送信されたフレームの疑いのあるフレームであると認定する。特許文献２の技術では、不正に送信されたフレームに含まれるデータの値の変化量が、車両の状態によっては異常であっても、変化量の絶対値が予め設定されている上限値より小さければ、そのフレームを検出できない。

本発明の目的の１つは、ネットワークを流れる、装置の状態を表すデータを含むフレームから、不正なフレームを検出する精度を向上できる監視装置等を提供することにある。

本発明の一態様に係る監視装置は、受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出する算出手段と、前記変化の前の前記装置の状態に応じて定まる許容範囲に、前記変化が含まれるか否かを判定する判定手段と、を備える。

本発明の一態様に係る学習装置は、受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出する算出手段と、前記変化の前の前記装置の状態に応じた前記変化の分布を生成する生成手段と、生成された前記分布に基づいて、前記変化の許容範囲を決定する決定手段と、を備える。

本発明の一態様に係る監視方法は、受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出し、前記変化の前の前記装置の状態に応じて定まる許容範囲に、前記変化が含まれるか否かを判定する。

本発明の一態様に係る学習方法は、受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出し、前記変化の前の前記装置の状態に応じた前記変化の分布を生成し、生成された前記分布に基づいて、前記変化の許容範囲を決定する。

本発明の一態様に係るプログラムは、コンピュータに、受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出する算出処理と、前記変化の前の前記装置の状態に応じて定まる許容範囲に、前記変化が含まれるか否かを判定する判定処理と、を実行させる。

本発明の一態様に係るプログラムは、コンピュータに、受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出する算出処理と、前記変化の前の前記装置の状態に応じた前記変化の分布を生成する生成処理と、生成された前記分布に基づいて、前記変化の許容範囲を決定する決定処理と、を実行させる。

本発明には、ネットワークを流れる、装置の状態を表すデータを含むフレームから、不正なフレームを検出する精度を向上できるという効果がある。

図１は、本発明の第１及び第４の実施形態に係る監視装置の構成の例を表すブロック図である。 図２は、本発明の第１及び第４の実施形態に係る、監視装置を含む車載ネットワークの構成の例を表すブロック図である。 図３は、本発明の第１及び第４の実施形態に係る監視装置の、学習フェーズにおける動作を表すフローチャートである。 図４は、本発明の第１及び第４の実施形態に係る監視装置の、検知フェーズにおける動作の例を表す第１のフローチャートである。 図５は、本発明の第１の実施形態に係る監視装置の、検知フェーズにおける動作の例を表す第２のフローチャートである。 図６は、本発明の第１及び第４の実施形態の第１の変形例に係る監視システムの構成の例を表すブロック図である。 図７は、本発明の第１及び第４の実施形態の第２の変形例に係る監視システムの構成の例を表すブロック図である。 図８は、本発明の第２の実施形態に係る監視装置の構成の例を表すブロック図である。 図９は、本発明の第２の実施形態に係る監視装置の動作の例を表すフローチャートである。 図１０は、本発明の第３の実施形態に係る学習装置の構成の例を表すブロック図である。 図１１は、本発明の第３の実施形態に係る学習装置２０３の動作の例を表すフローチャートである。 図１２は、本発明の実施形態に係る監視装置及び学習装置の各々を実現することができる、コンピュータのハードウェア構成の一例を表す図である。 図１３は、本発明の第４の実施形態に係る監視装置の、検知フェーズにおける動作の例を表す第２のフローチャートである。 図１４は、離散空間の点と、連続値空間における点とに基づく、連続値の変化量の許容範囲の例を模式的に表す図である。 図１５は、離散空間の点と、連続値空間における点とに基づく、離散値の変化量の許容範囲の例を模式的に表す図である。

以下では、本発明の実施形態について、図面を参照して詳細に説明する。

＜第１の実施形態＞
＜＜構成＞＞
図１は、本発明の第１の実施形態の監視装置の構成の例を表すブロック図である。本実施形態の監視装置１００は、例えば、自動車に搭載されている車載ネットワークに接続される。また、監視装置１００は、例えば、無線通信回線を介して、コールセンターの端末装置等に通信可能に接続されていてもよい。以下、自動車を車両とも表記する。

図２は、監視装置１００を含む、車載ネットワークの構成の例を表すブロック図である。図２に示す例では、車載ネットワーク１は、バス６００を介して互いに通信可能に接続されている、監視装置１００と、複数のＥＣＵ５００とを含む。車載ネットワーク１において使用されるプロトコルは、例えば、ＣＡＮであってよい。車載ネットワーク１において使用されるプロトコルは、他のプロトコルであってもよい。監視装置１００は、例えば、携帯電話用の通信回線などの無線通信回線を介して、コールセンター端末７００と通信することができる。

ＥＣＵ５００は、バス６００に、例えば、ＥＣＵ５００に接続されているセンサ等によって測定されたデータ値等をパラメータの値として含むメッセージを表すデータフレームを送出する。言い換えると、ＥＣＵ５００がバス６００に送出するデータフレーム（すなわち、具体的には、データフレームに含まれるパラメータの値）は、車両の少なくとも一部の状態を表す。ＥＣＵ５００は、送出するデータフレームに、ＩＤ（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）を付与する。また、ＥＣＵ５００は、バス６００に送出され、バス６００を流れるデータフレームのうち、例えばＥＣＵ５００ごとに予め定められている、特定のＩＤが付与されているデータフレームを取得する。

例えば、エンジンに接続されているＥＣＵ５００は、エンジンの回転数をパラメータの値として含むデータフレームを、バス６００に送出する。ステアリングホイールに接続されているＥＣＵ５００は、ステアリングホイールの操舵角をパラメータの値として含むデータフレームを送出してもよい。エアコンディショナーに接続されているＥＣＵ５００は、例えば、室温及びエアコンディショナーの設定温度を、パラメータの値として含むデータフレームを送出してもよい。変速機に接続されているＥＣＵ５００は、ドライブモード又はギアの位置をパラメータの値として含むデータフレームを送出してもよい。変速機に接続されているＥＣＵ５００が送出するデータフレームは、さらに、シャフトの回転数、車輪の回転数、及び、車両の速度などをパラメータの値として含んでいてもよい。パラメータの値は、例えば、スロットル開度、エンジンの吸気圧、吸気量、燃料の温度、吸気の温度、排気ガスの温度、排気ガスに含まれるＣＯ_２、ＣＯ、ＮＯ_Ｘ等の濃度、大気圧等であってもよい。パラメータの値は、例えば、ブレーキ開度、ヨーレート、エンジンの冷却水の温度、燃料計による燃料の残量、ドアの開閉の状態、ライトの点灯の状態、ウインカーの点灯の状態等であってもよい。パラメータの値は、自動車に取り付けられているセンサによって計測できる他の値であってもよい。パラメータの値は、自動車から取得できる他の値であってもよい。パラメータは、複数のパラメータが合成されたパラメータ（以下、合成パラメータと表記）であってもよい。合成パラメータの値は、合成に使用される複数のパラメータの値から、例えば予め定められた方法に従って算出される値であってもよい。パラメータの値は、以上の例に限られない。

データフレームは、全ての種類のパラメータの値を含んでいる必要はない。以下の説明では、データフレームは、１種類以上のパラメータの値を含んでいる。なお、データフレームは、パラメータの値を含んでいなくてもよい。監視装置１００は、取得したデータフレームがパラメータの値を含んでいるか判定してもよい。監視装置１００は、取得したデータフレームがパラメータの値を含んでいない場合、そのデータフレームに対するそれ以上の処理を行わなくてよい。

本実施形態では、車両の状態は、パラメータの値の組み合わせによって表される。上述のようにＥＣＵ５００は、例えばセンサによって計測された値をパラメータの値として含むデータフレームを送出する。本実施形態では、パラメータの値を含むデータフレームが監視装置１００によって取得された場合、車両の状態は、変化の前の状態から、取得されたデータフレームが示す状態に変化したとみなされる。データフレームが示す状態とは、そのデータフレームが含むパラメータの値によって表される状態である。取得されたデータフレームに値が含まれないパラメータの値は、変化していないとみなされる。変化の前の状態は、例えば、最後に取得されたデータフレームの１つ前に取得されたデータフレームによって表される車両の状態である。

図２に示す例では、バス６００には、さらに、不正ＥＣＵ５０１が接続されている。不正ＥＣＵ５０１は、不正なデータフレームをバス６００に送信するＥＣＵである。以下、データフレームを、単に「フレーム」とも表記する。不正ＥＣＵ５０１は、例えば、外部の攻撃者によって乗っ取られ、攻撃者によって制御されるＥＣＵでありうる。不正ＥＣＵ５０１は、例えば、故障したＥＣＵでありうる。不正ＥＣＵ５０１によってバス６００に送出される不正なデータフレームは、不正ＥＣＵ５０１が搭載されている車両の状態を表さず、その車両の状態とは異なる状態を表すデータフレームである。不正なデータフレームは、例えば、車両に対する攻撃を意図したデータフレームである。車両に対する攻撃を意図したデータフレームは、例えば、不正なデータフレームを取得したＥＣＵ５００が誤動作することによって、誤動作するＥＣＵ５００が搭載されている自動車が誤動作することを意図したデータフレームである。不正なデータフレームは、例えば、センサやＥＣＵの故障によってパラメータの値が不正な値に設定されているデータフレームであってもよい。パラメータの値に、車両の状態を表さない不正な値が設定されているフレームを取得した場合、ＥＣＵ５００が誤動作し、そのために車両が誤動作する可能性がある。

監視装置１００は、バス６００に送出されたデータフレームを取得する。監視装置１００は、データフレームに付与されているＩＤによらず、バス６００に送出された全てのデータフレームを取得してよい。監視装置１００は、取得したデータフレームを用いた２種類の動作を行う。以下の説明では、監視装置１００が行うそれらの動作の局面を、学習フェーズ及び検知フェーズと表記する。学習フェーズにおいて、監視装置１００は、取得したデータフレームを使用して、データフレームが不正なデータフレームであるか否かを判定する基準を学習する。検知フェーズにおいて、監視装置１００は、取得したデータフレームが不正なデータフレームであるか否かを判定する。本実施形態の説明では、監視装置１００は、取得したデータフレームが不正なデータフレームである場合、例えばコールセンター端末７００に、不正なデータフレームであると判定されたデータフレームの情報を送出する。監視装置１００は、他の装置（例えば、いずれかのＥＣＵ５００）に、不正なデータフレームであると判定されたデータフレームの情報を送出してもよい。監視装置１００は、不正なデータフレームであると判定されたデータフレームを取得するよう構成されているＥＣＵ５００に、不正なデータフレームであると判定されたデータフレームの情報を送出してもよい。監視装置１００については、以下で詳細に説明する。

図１に示す構成では、本実施形態の監視装置１００は、取得部１１０と、算出部１２０と、生成部１３０と、分布記憶部１４０と、決定部１５０と、ルール記憶部１６０と、判定部１７０と、出力部１８０とを含む。

取得部１１０は、車載ネットワーク１から、データフレームを取得する（言い換えると、受信する）。具体的には、取得部１１０は、バス６００に送出されたデータフレームを取得する。取得部１１０は、取得したデータフレームを、算出部１２０に送出する。取得部１１０は、学習フェーズ及び検知フェーズの双方において、同様に、データフレームを取得してよい。

算出部１２０は、取得部１１０からデータフレームを受け取り、受け取ったデータフレームから、パラメータの値を抽出する。例えば、データフレームに付与されているＩＤに応じて、データフレームの構造が定められている場合、算出部１２０は、まず、データフレームに付与されているＩＤを特定する。算出部１２０は、特定したＩＤが付与されているデータフレームの構造に基づいて、データフレームの、パラメータの値を表す部分から、パラメータの値を読み取る。データフレームが複数の種類のパラメータの値を含んでいる場合、算出部１２０は、データフレームが含む全てのパラメータの値を読み取ってもよい。算出部１２０は、データフレームが含むパラメータの値のうち、予め定められているパラメータの値だけを読み取ってもよい。算出部１２０は、学習フェーズ及び検知フェーズの双方において、同様に、データフレームからパラメータの値を読み取ってよい。

算出部１２０は、データフレームが取得される前の車両の状態を保持する。車両の状態は、例えば、パラメータの値の組み合わせによって表される。算出部１２０は、学習フェーズ及び検知フェーズの双方において、同様に、車両の状態を保持してよい。

取得されたデータフレームから値が読み取られたパラメータと同じパラメータの値を車両の状態として保持していない場合、算出部１２０は、取得されたデータフレームから読み取られたそのパラメータの値を、車両の状態を表すパラメータの値に設定する。具体的には、算出部１２０は、取得されたデータフレームから値が読み取られたパラメータに、車両の状態として値が保持されていないパラメータが含まれているか判定する。取得されたデータフレームから値が読み取られたパラメータに、車両の状態として値が保持されていないパラメータが含まれている場合、算出部１２０は、取得されたデータフレームから読み取られたパラメータの値によって、車両の状態を更新する。すなわち、算出部１２０は、取得されたデータフレームから読み取られたパラメータの値を、車両の状態を表すパラメータの値に設定する。以下の説明において、車両の状態を更新することは、取得されたデータフレームから読み取られたパラメータの値を、車両の状態を表すパラメータの値に設定することを表す。算出部１２０は、学習フェーズ及び検知フェーズの双方において、取得されたデータフレームから値が読み取られたパラメータに、車両の状態として値が保持されていないパラメータが含まれている場合に、同様に、車両の状態を更新してよい。

取得されたデータフレームから値が読み取られた全てのパラメータについて、車両の状態として値が保持されている場合、算出部１２０は、車両の状態の変化を算出する。具体的には、算出部１２０は、取得されたデータフレームから読み取ったパラメータの値の、車両の状態として保持されている値からの変化を、車両の状態の変化として算出する。この場合、車両の状態は、個々のパラメータの値の変化を表す値を要素として含む、ベクトルによって表されていてよい。算出部１２０は、学習フェーズ及び検知フェーズの双方において、同様に、車両の状態の変化を算出してよい。

学習フェーズにおいて、算出部１２０は、生成部１３０に、データフレームが示す車両の状態になる前の車両の状態である前状態（具体的には、前状態を表す情報）と、算出した車両の状態の変化（具体的には、算出した車両の状態の変化量を表す情報）とを送出する。車両の状態の変化量は、車両の状態の変化量の変化量であってもよい。そして、算出部１２０は、前状態を、取得されたデータフレームに含まれるパラメータの値によって更新する。具体的には、算出部１２０は、前状態を表すパラメータの値のうち、取得されたデータフレームに値が含まれるパラメータの値を、取得されたデータフレームに含まれるパラメータの値によって置き換える。

検知フェーズにおいて、算出部１２０は、判定部１７０に、前状態と、算出した車両の状態の変化（具体的には、算出した車両の状態の変化量を表す情報）とを送出する。そして、算出部１２０は、前状態を、取得されたデータフレームに含まれるパラメータの値によって更新する。

分布記憶部１４０は、データフレームが示す車両の状態になる前の車両の状態（以下、前状態とも表記する）に応じた、車両の状態の変化の分布（以下では、変化量の分布とも表記する）を記憶する。分布記憶部１４０は、例えば、データフレームが示す車両の状態になる前の車両の状態（すなわち、前状態）ごとに、前状態が範囲に含まれる場合の車両の状態の変化の分布を表す情報を記憶していてもよい。分布記憶部１４０は、例えば、予め定められた、前状態の範囲ごとに、前状態が範囲に含まれる場合の車両の状態の変化の分布を表す情報を記憶していてもよい。なお、「車両の状態の変化の分布を記憶する」とは、車両の状態の変化量の分布を表す情報を記憶することを表す。分布記憶部１４０は、例えば、変化前の車両の状態の範囲を表す情報に関連付けられた、車両の状態の変化量の分布を表す情報を記憶していてよい。変化前の車両の状態の範囲を表す情報は、例えば、車両の状態の異なる範囲を区別でき、パラメータの値によって表される車両の状態が車両の状態の範囲に含まれるか判定できるように決定された、予め定められたフォーマットの情報である。

車両の状態の範囲（例えば、取得されたデータフレームが示す車両の状態になる前の車両の状態の範囲）は、例えば、パラメータ毎に定められた値の範囲によって表されていてもよい。例えば、車両の状態がパラメータＡ及びパラメータＢによって表されている場合、車両の状態の範囲は、例えば、パラメータＡの値域が分割された、長さａの区間と、パラメータＢの値域が分割された、長さｂの区間とによって表されていてもよい。例えば、パラメータＡの値域が分割された区間を特定する番号をｉとし、パラメータＢの値域が分割された区間を特定する番号をｊとすると、車両の状態の範囲は、ｉとｊとの組み合わせによって表すことができる。この場合、車両の状態の範囲を表す情報は、ｉとｊとの組み合わせであってよい。また、この場合、車両の状態の範囲は、長方形によって表される。この場合、分布記憶部１４０は、ｉとｊとの組み合わせの各々について、パラメータＡの値がｉによって表される区間に含まれ、パラメータＢの値がｊによって表される区間に含まれる前状態からの、車両の状態の変化の分布を記憶していてよい。分布記憶部１４０は、ｉとｊとの、互いに異なる組み合わせについて、互いに異なる、車両の状態の変化の分布を記憶する。なお、パラメータ数が３である場合、車両の状態の範囲は、直方体によって表されていてよい。パラメータ数が３より大きい場合、車両の状態の範囲は、超直方体によって表されていてもよい。パラメータの値域が分割された区間の長さは、一定でなくてもよい。少なくとも一部のパラメータの値に変換を行うことによって得られた値に、区間を設定してもよい。変換は、対数への変換、指数への変換、又は、他の処理であってもよい。なお、全てのパラメータについて、上述の区間が、パラメータの値をデータとして表した場合の値の最小の差異と等しい場合、車両の状態の範囲は、車両の１つの状態と等価である。

分布記憶部１４０は、車両の状態の変化の分布として、算出された、車両の状態の変化（例えば、車両の状態を表す各パラメータの値の変化量）を、例えばベクトルの形で、そのまま記憶していてもよい。分布記憶部１４０は、車両の状態の変化の分布として、車両の状態の変化量の値域を分割した範囲（以下、変化単位とも表記する）毎の、頻度の値を記憶していてもよい。この場合の範囲（すなわち、変化単位）は、予め定められていてよい。変化単位の大きさは、上述の、前状態における範囲の大きさと異なっていてもよい。変化単位は、例えば、超直方体であってよい。分布記憶部１４０は、他の形式で、車両の状態の変化の分布を記憶していてもよい。

また、分布記憶部１４０は、車両の状態を表す全てのパラメータの組み合わせについて、車両の状態の変化の分布を記憶していてもよい。具体的には、分布記憶部１４０は、車両の状態を表す全てのパラメータの組み合わせから得られる特徴空間における、車両の状態の変化の分布を記憶していてもよい。この場合の特徴空間は、例えば、パラメータが速度とステアリング角度の２つである場合、縦軸が速度であり横軸がステアリング角度である二次元の空間である。次元の数及び軸を設定は、以上の例に限られない。分布記憶部１４０は、車両の状態を表すパラメータから選択された所定のパラメータの組み合わせについて、車両の状態の変化の分布を記憶していてもよい。具体的には、分布記憶部１４０は、車両の状態を表す全てのパラメータから選択されたパラメータの組み合わせから得られる特徴空間における、車両の状態の変化の分布を記憶していてもよい。分布記憶部１４０は、車両の状態を表すパラメータから選択されたパラメータの異なる複数の組み合わせによって得られる、複数の特徴空間の各々における、車両の状態の変化の分布を記憶していてもよい。複数の特徴空間は、例えば、パラメータが速度、加速度及びステアリング角度である場合、速度とステアリング角度によって得られる空間と、速度と加速度によって得られる空間とであってもよい。分布記憶部１４０は、車両の状態を表すパラメータから選択できる、パラメータの組み合わせから得られる全ての特徴空間における、それぞれ、車両の状態の変化の分布を記憶していてもよい。

以上を言い換えると、分布記憶部１４０は、車両の状態を表す全てのパラメータから選択可能なパラメータの、１つ以上の組み合わせから得られる特徴空間における、前状態を表す情報と関連付けられた、車両の状態の変化の分布を記憶する。車両の状態の変化の分布に関連付けられる前状態は、全てのパラメータによって表される前状態でなくてよい。車両の状態の変化の分布に情報が関連付けられる前状態は、車両の状態の変化の分布を表すパラメータとして選択されたパラメータの前状態であってよい。車両の状態の変化の分布を表すパラメータとして選択されたパラメータの前状態を表す情報とは、最新のデータフレームが表す車両の状態の前の車両の状態における、車両の状態の変化の分布を表すパラメータとして選択されたパラメータの状態を特定する情報である。このパラメータの状態は、例えば、パラメータの値又はパラメータの値の範囲である。

学習フェーズでは、生成部１３０は、まず、データフレームが示す車両の状態になる前の車両の状態（すなわち、上述の前状態）に応じた、変化量の分布を特定する。具体的には、生成部１３０は、分布記憶部１４０に格納されている変化量の分布から、取得したデータフレームが表す車両の状態の前状態からの、取得したデータフレームに値が含まれるパラメータを含むパラメータの組み合わせから得られる特徴空間における、変化量の分布を特定する。

そして、生成部１３０は、特定した変化量の分布を、取得したデータフレームが表す車両の状態の、前状態からの変化量によって更新する。具体的には、例えば、変化量の分布が、変化量の集合によって表されている場合、生成部１３０は、変化量の分布を表す変化量の集合に、取得したデータフレームが表す車両の状態の、前状態からの変化量を追加してよい。変化量の分布が、上述の変化単位毎の頻度によって表されている場合、生成部１３０は、取得したデータフレームが表す車両の状態の、前状態からの変化量が含まれる変化単位を特定し、特定した変化単位の頻度に１を加えてよい。複数の分布が特定されている場合、生成部１３０は、特定した全ての分布を更新する。

検知フェーズでは、生成部１３０は、動作しなくてよい。

学習フェーズにおいて、決定部１５０は、分布記憶部１４０に格納されている、変化量の分布の各々について、変化量の許容範囲を決定する。変化量の許容範囲を決定する方法として、様々な方法が適用できる。例えば、決定部１５０は、それぞれの分布における、それぞれのパラメータの変化量の最大値と最小値の間に含まれる範囲を、許容範囲に決定してもよい。決定部１５０は、例えば、それぞれのパラメータの変化量の分布は正規分布であると仮定し、それぞれの分布のそれぞれのパラメータについて、変化量の平均値からの差が標準偏差の定数倍に含まれる範囲を、許容範囲に決定してもよい。これらの場合、例えばそれぞれの分布が一様分布であるとの仮定のもとで、ある分布における許容範囲は、その分布におけるそれぞれのパラメータの値の最小値と最大値との組み合わせによって表されていてよい。決定部１５０は、それぞれの分布に、ガウシアン混合モデルを適用し、混合ガウス分布によって近似された分布において、大きさが所定の条件を満たす範囲を特定し、特定した範囲を許容範囲に決定してもよい。許容範囲が、パラメータ毎の最小値と最大値との組み合わせによって表すことができない場合、決定部１５０は、許容範囲を、その許容範囲を例えば超直方体の組み合わせによって近似してもよい。この場合、決定部１５０は、許容範囲を近似する例えば超直方体の組み合わせに含まれる全ての超直方体を特定できる情報を、許容範囲を特定する情報としてもよい。なお、パラメータの数が２であれば、決定部１５０は、長方形を超直方体の代わりに使用してよい。パラメータの数が３であれば、決定部１５０は、直方体を超直方体の代わりに使用してよい。許容範囲を表す情報は、以上の例に限られない。

決定部１５０は、変化量の分布毎の、決定された許容範囲を表す情報を、ルール記憶部１６０に格納する。上述のように、変化量の分布は、パラメータの組み合わせから得られる特徴空間毎に生成される。また、分布記憶部１４０に格納されている変化量の分布は、前状態を表す情報に関連付けられている。決定部１５０は、パラメータの組み合わせから得られる特徴空間を特定する情報と、前状態を表す情報とに関連付けられた、許容範囲を表す情報を、ルール記憶部１６０に格納してもよい。特徴空間を特定する情報は、その特徴空間が得られるパラメータの組み合わせを特定する情報であってもよい。

また、上述のように、変化量の分布に関連付けられている前状態を表す情報は、その変化量の分布が生成されたパラメータの組み合わせの前状態を表す情報であってもよい。この場合、前状態を表す情報によって、選択されたパラメータの値又は値の範囲を特定できる。従って、前状態を表す情報によって、選択されたパラメータを特定することもできる。また、許容範囲によって値の範囲が示されるパラメータが、選択されたパラメータである。従って、許容範囲によって選択されたパラメータを特定することもできる。選択されたパラメータを特定することによって、選択されたパラメータから得られる特徴空間を特定できる。従って、特徴空間を特定する情報（例えば、選択されたパラメータを特定する情報）は、決定された許容範囲とは別の情報として、決定された許容範囲に関連付けられていなくてもよい。この場合は、決定部１５０は、前状態を表す情報に関連付けられた、決定された許容範囲を表す情報を、ルール記憶部１６０に格納してもよい。

検知フェーズでは、決定部１５０は、動作しなくてよい。

ルール記憶部１６０は、変化量の分布毎の、決定された許容範囲を表す情報を記憶する。具体的には、ルール記憶部１６０は、前状態を表す情報に関連付けられた、変化量の分布毎の許容範囲を表す情報を記憶する。前状態を表す情報によって選択されたパラメータを特定できない場合は、ルール記憶部１６０は、特徴空間を特定する情報（例えば、パラメータの組み合わせを特定する情報）と、前状態を表す情報とに関連付けられた、許容範囲を表す情報を記憶していてよい。

判定部１７０は、学習フェーズでは動作しなくてよい。

検知フェーズでは、判定部１７０は、前状態（具体的には、前状態を表す情報）と、算出された車両の状態の変化（具体的には、算出された車両の状態の変化量を表す情報）とを、算出部１２０から受け取る。判定部１７０は、受け取った、車両の状態の変化量を表す情報に値の変化量が含まれるパラメータを含む、パラメータの組み合わせから得られる特徴空間において定められている許容範囲を特定する。複数の特徴空間が得られ、ルール記憶部１６０に格納されている許容範囲において、複数の許容範囲を特定できる場合、判定部１７０は、それらの複数の許容範囲を全て特定してよい。

判定部１７０は、特定した許容範囲に、受け取った、車両の状態の変化量を表す情報によって表される変化量が含まれているか判定する。複数の許容範囲が特定されている場合、判定部１７０は、特定した許容範囲の各々に、受け取った、車両の状態の変化量を表す情報によって表される変化量が含まれているか判定する。なお、本実施形態では、判定部１７０は、車両の状態の変化量を表す情報に、値の変化量が含まれていないパラメータの値の変化量は、０であるとみなしてよい。

少なくともいずれか１つの許容範囲に、受け取った、車両の状態の変化量を表す情報によって表される変化量が含まれていない場合、判定部１７０は、取得部１１０が取得したデータフレームが、不正なデータフレームであると判定してよい。判定部１７０は、判定の結果を出力部１８０に送出する。判定の結果は、予め定められた、データフレームが不正であると判定されたことを示す情報、又は、データフレームが不正ではないと判定されたことを示す情報であってよい。データフレームが不正であると判定されたことを示す情報は、少なくともいずれか１つの許容範囲に、車両の状態の変化量を表す情報によって表される変化量が含まれていないことを示す。データフレームが不正ではないと判定されたことを示す情報は、特定された全ての許容範囲に、車両の状態の変化量を表す情報によって表される変化量が含まれていることを表す。

出力部１８０は、学習フェーズでは動作しなくてよい。

検知フェーズでは、出力部１８０は、判定部１７０によって行われた判定の結果を受け取る。すなわち、出力部１８０は、少なくともいずれか１つの特定された許容範囲に、車両の状態の変化量を表す情報によって表される変化量が含まれていないか、特定された全ての許容範囲に、その変化量が含まれているかを表す情報を受け取る。言い換えると、出力部１８０は、取得部１１０によって取得されたデータフレームが、不正なデータフレームであると判定されたか否かを表す情報を、判定部１７０から受け取る。

取得部１１０によって取得されたデータフレームが、判定部１７０によって不正なデータフレームであると判定された場合、出力部１８０は、通知先（例えばコールセンター端末７００）に、フレームの情報の通知を行う。この場合、出力部１８０は、不正なデータフレームであると判定されたデータフレームを特定する情報を、通知として通知先に送信してもよい。出力部１８０は、不正なデータフレームであると判定されたデータフレームが含むパラメータを特定する情報を、通知として通知先に送信してもよい。出力部１８０は、不正なデータフレームであると判定されたデータフレームが含むパラメータを特定する情報とパラメータの値とを、通知として通知先に送信してもよい。

取得部１１０によって取得されたデータフレームが、判定部１７０によって不正なデータフレームではないと判定された場合、出力部１８０は、例えばコールセンター端末７００等の通知先に通知を行わなくてよい。

＜＜動作＞＞
次に、本実施形態の監視装置１００の動作について、図面を参照して詳細に説明する。

図３は、本実施形態の監視装置１００の、学習フェーズにおける動作を表すフローチャートである。学習フェーズでは、不正なデータフレームは存在しないことが確認されているものとする。監視装置１００は、例えばオペレータの指示によって、学習フェーズにおける動作を開始する。

図３を参照すると、まず、取得部１１０が、バス６００を流れるデータフレームを取得する（ステップＳ１０１）。

次に、算出部１２０が、取得されたデータフレームからパラメータの値を抽出する（ステップＳ１０２）。算出部１２０は、更新実行のための条件が満たされているか判定し、判定の結果、更新実行のための条件が満たされていない場合（ステップＳ１０３においてＮＯ）、監視装置１００の動作は、ステップＳ１０１に戻る。

更新実行のための条件は、例えば、抽出されたデータフレームに、車両の状態として値が保持されているパラメータが含まれていることであってよい。算出部１２０は、例えば、抽出されたデータフレームに、車両の状態として値が保持されているパラメータが含まれていた場合に、更新実行のための条件が満たされていると判定してよい。算出部１２０は、例えば、抽出されたデータフレームに、車両の状態として値が保持されているパラメータが含まれていない場合に、更新実行のための条件が満たされていると判定してよい。更新実行のための条件は、以上の例に限られない。

更新実行のための条件が満たされている場合（ステップＳ１０３においてＹＥＳ）、算出部１２０は、車両の状態の、前状態からの変化を算出する（ステップＳ１０４）。上述のように、算出部１２０は、車両の状態を表すパラメータのうち、取得されたデータフレームに値が含まれないパラメータの値は、変化していないとみなしてよい。算出部１２０は、取得されたデータフレームに値が含まれるパラメータの、前状態からの値の変化を算出してよい。学習フェーズでは、算出部１２０は、前状態を表す情報と算出した車両の状態の変化とを、生成部１３０に送出する。

次に、生成部１３０は、前状態に応じた、車両の状態の、前状態からの変化の分布を更新する（ステップＳ１０５）。生成部１３０は、車両状態を表すパラメータの複数の組み合わせについての値の変化の分布のうち、データフレームに値が含まれるパラメータを含む組み合わせによって表される特徴空間における、前状態に応じた値の変化の分布を、算出された変化によって更新する。

次に、算出部１２０は、取得されたデータフレームから抽出されたパラメータの値によって、前状態を更新する（ステップＳ１０６）。なお、ステップＳ１０６の動作は、ステップＳ１０５の動作の前に行われてもよい。

終了の条件が満たされていない場合（ステップＳ１０７においてＮＯ）、監視装置１００は、ステップＳ１０１からの動作を繰り返す。生成部１３０は、車両の状態の変化の分布を繰り返し更新することによって、車両の状態の変化の分布を生成する。

終了の条件は、予め定められていてよい。終了の条件は、例えば、取得されたデータフレームの数が所定数に達したことであってもよい。終了の条件は、例えば、変化の分布が更新された回数が、全ての分布について、所定数に達したことであってもよい。終了の条件は、例えば、オペレータによって終了の指示が行われたことであってもよい。終了の条件は、以上の例に限られない。

終了の条件が満たされている場合（ステップＳ１０７においてＹＥＳ）、決定部１５０は、前述の、パラメータの複数の組み合わせから得られる複数の特徴空間の各々における、前状態に応じた、変化の許容範囲を決定する。決定部１５０は、決定した、前状態に応じた変化の許容範囲を、ルール記憶部１６０に格納する。

次に、本実施形態の監視装置１００の、検知フェーズにおける動作について説明する。

図４は、本実施形態の監視装置１００の、検知フェーズにおける動作の例を表す第１のフローチャートである。監視装置１００は、オペレータによって学習フェーズにおける動作を開始する指示が行われなかった場合、検知フェーズにおける動作を開始するよう設定されていてもよい。監視装置１００は、オペレータによる指示に従って、検知フェーズにおける動作を開始してもよい。以下の説明では、検知フェーズの動作を行っている間に、バス６００に不正なデータフレームが流れる可能性があるとする。

まず、取得部１１０が、バス６００を流れるデータフレームを取得する（ステップＳ１１１）。ステップＳ１１１の動作は、学習フェーズにおけるステップＳ１０１の動作と同じでよい。

次に、算出部１２０が、取得されたデータフレームからパラメータの値を抽出する（ステップＳ１１２）。ステップＳ１１２の動作は、学習フェーズにおけるステップＳ１０２の動作と同じでよい。算出部１２０は、検出実行のための条件が満たされているか判定し、判定の結果、検出実行のための条件が満たされていない場合（ステップＳ１１３においてＮＯ）、監視装置１００の動作は、ステップＳ１１１に戻る。検出実行のための条件は、学習フェーズにおける、更新実行のための条件と同じでよい。

検出実行のための条件が満たされている場合（ステップＳ１１３においてＹＥＳ）、監視装置１００は、検出処理を実行する（ステップＳ１１４）。ステップＳ１１４における検出処理については、あとで詳細に説明する。

終了条件が満たされていない場合（ステップＳ１１５においてＮＯ）、監視装置１００は、ステップＳ１１１以降の動作を繰り返す。終了条件が満たされている場合（ステップＳ１１５においてＹＥＳ）、監視装置１００は、図４に示す動作を終了する。終了条件は、例えば、車載ネットワーク１が搭載されている車両が動作を終了することであってもよい。終了の条件は、以上の例に限られない。

次に、本実施形態の監視装置１００の、検知フェーズにおける検出処理の動作について説明する。

図５は、本実施形態の監視装置１００の、検知フェーズにおける動作の例を表す第２のフローチャートである。具体的には、図５は、本実施形態の監視装置１００の、検知フェーズにおける検出処理の動作の例を表す。

まず、算出部１２０が、車両の状態の前状態からの変化を算出する（ステップＳ１２１）。ステップＳ１２１の動作は、学習フェーズにおけるステップＳ１０４の動作と同じでよい。ただし、検出フェーズでは、算出部１２０は、前状態を表す情報と算出した車両の状態の変化とを、生成部１３０ではなく、判定部１７０に送出する。

次に、判定部１７０が、ルール記憶部１６０に格納されている許容範囲から、前状態（すなわち、変化前の車両の状態）に応じた、車両の状態の変化の許容範囲を特定する（ステップＳ１２２）。判定部１７０は、パラメータの複数の組み合わせのうち、受け取った車両の状態の変化に値の変化が含まれるパラメータを含む組み合わせによって表される特徴空間における、前状態に応じた許容範囲を特定してもよい。判定部１７０は、さらに、特定した許容範囲を表す情報を、ルール記憶部１６０から読み出してよい。受け取った車両の状態の変化に値の変化が含まれるパラメータを含む組み合わせから得られる特徴空間の数が２以上である場合、判定部１７０は、それらの特徴空間における許容範囲を全て特定し、特定した許容範囲を表す情報を全て読み出してよい。

判定部１７０は、車両の状態の変化が、特定した許容範囲に含まれるか判定する（ステップＳ１２３）。車両の状態の変化が、許容範囲に含まれる場合（ステップＳ１２４においてＹＥＳ）、算出部１２０は前状態を更新し（ステップＳ１２６）、監視装置１００は図５に示す動作を終了する。複数の許容範囲が特定された場合、判定部１７０は、車両の状態の変化が特定された全ての許容範囲に含まれていれば、車両の状態の変化が許容範囲に含まれていると判定する。

車両の状態の変化が許容範囲に含まれない場合（ステップＳ１２４においてＮＯ）、出力部１８０は、ステップＳ１１１において取得されたデータフレームの情報の通知を行う（ステップＳ１２５）。複数の許容範囲が特定された場合、判定部１７０は、車両の状態の変化が特定された少なくともいずれか１の許容範囲に含まれていなければ、車両の状態の変化が許容範囲に含まれていないと判定する。そして、算出部１２０は前状態を更新し（ステップＳ１２６）、監視装置１００は図５に示す動作を終了する。算出部１２０は、ステップＳ１２６の動作を、ステップＳ１２１の後のいずれのタイミングで行ってもよい。

＜＜効果＞＞
以上で説明した本実施形態には、ネットワークを流れる、車両の状態を表すデータを含むフレームから、不正なフレームを検出する精度を向上できるという効果がある。

その理由は、判定部１７０が、車両の状態の変化が、前状態（すなわち、変化の前の車両の状態）に応じた許容範囲に含まれるか判定するからである。例えば、車両の状態の変化が、ある状態からの変化としては正常であっても、他の状態からの変化としては異常である場合が存在する。そのような場合に、車両の状態の変化が正常であるか異常であるかを、変化の前の車両の状態によらず、同じ許容範囲によって判定した場合、判定の精度が低下する。変化の前の車両の状態に応じた許容範囲によって、車両の状態の変化が正常であるか異常であるかを判定することにより、判定の精度が向上する。従って、異常な車両の状態を示す不正なフレームを検出する精度が向上する。

＜＜第１の変形例＞＞
以下では、第１の実施形態の変形例について説明する。

図６は、第１の実施形態の第１の変形例に係る監視システムの構成の例を表すブロック図である。

図６に示す監視システム１１は、学習装置２０１と、監視装置１０１とを含む。監視システム１１は、図２に示す監視装置１００と置き換えることができる。

学習装置２０１は、取得部１１０と、算出部１２０と、生成部１３０と、分布記憶部１４０と、決定部１５０と、ルール出力部２８０とを含む。監視装置１０１は、取得部１１０と、算出部１２０と、ルール記憶部１６０と、判定部１７０と、出力部１８０と、ルール取得部１９０とを含む。

学習装置２０１に含まれ、第１の実施形態の監視装置１００に含まれる要素と同じ名称及び符号が付与されている要素は、第１の実施形態の監視装置１００に含まれる同じ名称及び符号が付与されている要素の学習フェーズにおける機能と同様の機能を備える。また、学習装置２０１に含まれるそれらの要素は、第１の実施形態の監視装置１００に含まれる同じ名称及び符号が付与されている要素の学習フェーズにおける動作と同様の動作を行う。以下では、相違について説明する。

決定部１５０は、決定した許容範囲を、ルール出力部２８０に送出する。

ルール出力部２８０は、決定部１５０から許容範囲を受け取り、受け取った許容範囲を、監視装置１０１に送出する。

監視装置１０１に含まれ、第１の実施形態の監視装置１００に含まれる要素と同じ名称及び符号が付与されている要素は、第１の実施形態の監視装置１００に含まれる同じ名称及び符号が付与されている要素の検知フェーズにおける機能と同様の機能を備える。また、監視装置１０１に含まれるそれらの要素は、第１の実施形態の監視装置１００に含まれる同じ名称及び符号が付与されている要素の検知フェーズにおける動作と同様の動作を行う。以下では、相違について説明する。

学習フェーズにおいて、ルール取得部１９０は、学習装置２０１のルール出力部２８０から、許容範囲を受け取る。ルール取得部１９０は、受け取った許容範囲を、ルール記憶部１６０に格納する。

＜＜第２の変形例＞＞
図７は、第１の実施形態の第２の変形例に係る監視システムの構成の例を表すブロック図である。

図７に示す監視システム１２は、学習装置２０２と、ルール記憶装置３０２と、監視装置１０２とを含む。監視システム１２は、図２に示す監視装置１００と置き換えることができる。

学習装置２０２は、取得部１１０と、算出部１２０と、生成部１３０と、分布記憶部１４０と、決定部１５０と、ルール出力部２８０とを含む。ルール記憶装置３０２は、ルール記憶部１６０を含む。監視装置１０２は、取得部１１０と、算出部１２０と、判定部１７０と、出力部１８０と、ルール取得部１９０とを含む。

学習装置２０２に含まれ、第１の実施形態の監視装置１００に含まれる要素と同じ名称及び符号が付与されている要素は、第１の実施形態の監視装置１００に含まれる同じ名称及び符号が付与されている要素の学習フェーズにおける機能と同様の機能を備える。また、学習装置２０２に含まれるそれらの要素は、第１の実施形態の監視装置１００に含まれる同じ名称及び符号が付与されている要素の学習フェーズにおける動作と同様の動作を行う。以下では、相違について説明する。

決定部１５０は、決定した許容範囲を、ルール出力部２８０に送出する。

ルール出力部２８０は、決定部１５０から許容範囲を受け取り、受け取った許容範囲を、ルール記憶装置３０２のルール記憶部１６０に格納する。

監視装置１０２に含まれ、第１の実施形態の監視装置１００に含まれる要素と同じ名称及び符号が付与されている要素は、第１の実施形態の監視装置１００に含まれる同じ名称及び符号が付与されている要素の検知フェーズにおける機能と同様の機能を備える。また、監視装置１０２に含まれるそれらの要素は、第１の実施形態の監視装置１００に含まれる同じ名称及び符号が付与されている要素の検知フェーズにおける動作と同様の動作を行う。以下では、相違について説明する。

ルール取得部１９０は、ルール記憶装置３０２のルール記憶部１６０にアクセスし、ルール記憶部１６０から許容範囲を取得する。

ルール記憶部１６０は、第１の実施形態の監視装置１００のルール記憶部１６０と同様の機能を備える。

＜＜第３の変形例＞＞
第３の変形例では、第１の実施形態、第１の変形例、及び、第２の変形例のいずれの構成が採用されていてもよい。第３の変形例と、第１の実施形態、第１の変形例、及び、第２の変形例との相違は、以下の通りである。

変形例３では、算出部１２０は、取得されたデータフレームから値が読み取られたパラメータに、車両の状態として値が保持されているパラメータが存在する場合、車両の状態として値が保持されていないパラメータが存在していても、車両の状態の変化を算出する。具体的には、第３の変形例の算出部１２０は、車両の状態の変化として、取得されたデータフレームから読み取ったそれぞれのパラメータの値の、車両の状態として保持されている値からの差を、車両の状態の変化として算出してよい。言い換えると、取得されたデータフレームから値が読み取られたパラメータに、車両の状態として値が保持されていないパラメータが存在する場合、算出部１２０は、そのパラメータの値は変化していないとみなす。

また、算出部１２０は、取得されたデータフレームから値が読み取られたそれぞれのパラメータについて、車両の状態の更新を行う。言い換えると、算出部１２０は、取得されたデータフレームから読み取ったパラメータの値を、車両の状態にとして保持されるパラメータの値に設定する。

他の構成要素は、第１の実施形態の構成要素と同様に動作してもよい。他の構成要素は、第１の変形例の構成要素と同様に動作してもよい。他の構成要素は、第２の変形例の構成要素と同様に動作してもよい。

＜＜第４の変形例＞＞
第１の実施形態の第４の変形例の構成要素は、以下に示す相違を除いて、第１の実施形態の同じ符号が付与されている同じ名称の構成要素と同様に動作する。

ステップＳ１０３における更新実行のための条件は、例えば、パラメータの値の変化の分布を更新してから所定時間が経過することであってもよい。その場合、算出部１２０は、ステップＳ１０４において、パラメータの値の変化の分布を更新してから所定時間の間に取得されたデータフレームに含まれているパラメータの値によって、最新状態を生成してもよい。算出部１２０は、例えば、所定時間の間に取得された、少なくともいずれか１つのデータフレームに含まれているパラメータの各々の値を、その値を含むデータフレームのうち、最も新しく取得されたデータフレームに含まれている値に設定してよい。

＜＜第５の変形例＞＞
第１の実施形態の第５の変形例の構成要素は、以下に示す相違を除いて、第１の実施形態の同じ符号が付与されている同じ名称の構成要素と同様に動作する。

監視装置１００が、取得したデータフレームが異常なデータフレームであるか否かを判定するネットワークは、車載ネットワークに限られない。すなわち、監視装置１００は、車両に搭載されている車載ネットワークではないネットワークに送出されるデータフレームが、異常なデータフレームであるか否かを判定してもよい。監視装置１００は、車両の状態以外の例えば装置の状態を表すパラメータの値を含むデータフレームが流れるネットワークに接続され、そのデータフレームが異常であるか否かを判定してもよい。言い換えると、第５の変形例の監視装置１００は、装置（車両を含む）の状態を表すパラメータの値を含むデータフレームが流れるネットワークに接続され、そのデータフレームが異常であるか否かを判定してもよい。

＜第２の実施形態＞
次に、本発明の第２の実施形態について、図面を参照して詳細に説明する。

＜＜構成＞＞
まず、本実施形態の監視装置１０３の構成について説明する。

図８は、本実施形態の監視装置１０３の構成の例を表すブロック図である。

図８に示す監視装置１０３は、算出部１２０と、判定部１７０と、を備える。算出部１２０は、受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出する。判定部１７０は、前記変化の前の前記装置の状態に応じて定まる許容範囲に、前記変化が含まれるか否かを判定する。

＜＜動作＞＞
次に、本実施形態の監視装置１０３の動作について説明ずる。

図９は、本実施形態の監視装置１０３の動作の例を表すフローチャートである。

図９に示す動作では、まず、算出部１２０は、受信したデータフレームが表す装置の状態に基づいて、装置の状態の変化を算出する（ステップＳ２０２）。上述のように、装置は、たとえば車両である。また、データフレームは、その車両の位搭載された車載ネットワークを流れるデータフレームである。算出部１２０は、算出される変化の前の装置の状態を、予め保持していてよい。算出部１２０は、取得されたデータフレームによって表される装置の状態を表す情報と、変化の前の状態を表す情報とを、判定部１７０に送出してよい。

判定部１７０は、算出された、装置の状態の変化が、変化の前の装置の状態に応じた許容範囲に含まれるか判定する（ステップＳ２０４）。

そして、監視装置１０３は、図９に示す動作を終了する。

＜＜効果＞＞
本実施形態には、第１の実施形態と同じ効果がある。その理由は、判定部１７０が、算出部１２０によって算出された装置の状態の変化が、変化の前の装置の状態に応じた許容範囲に含まれるか判定するからである。

＜第３の実施形態＞
次に、本発明の第３の実施形態について、図面を参照して詳細に説明する。

＜＜構成＞＞
まず、本実施形態に係る学習装置の構成について説明する。

図１０は、本実施形態の学習装置２０３の構成の例を表すブロック図である。

図１０に示す例では、学習装置２０３は、算出部１２０と、生成部１３０と、決定部１５０と、を備える。算出部１２０は、受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出する。生成部１３０は、前記変化の前の前記装置の状態に応じた前記変化の分布を生成する。決定部１５０は、生成された前記分布に基づいて、前記変化の許容範囲を決定する。

＜＜動作＞＞
次に、本実施形態に係る学習装置の動作について説明する。

図１１は、本実施形態に係る学習装置２０３の動作の例を表すフローチャートである。

図１１に示す例では、まず、算出部１２０が、受信したデータフレームが表す装置の状態に基づいて、装置の状態の変化を算出する（ステップＳ３０２）。

次に、生成部１３０が、算出された変化の前の装置の状態に応じた、変化の分布を更新する（ステップＳ３０３）。

終了の条件が満たされていない場合（ステップＳ３０５においてＮＯ）、学習装置２０３は、ステップＳ３０２及びステップＳ３０３の動作を繰り返す。終了の条件は、図３のステップＳ１０７に示す、第１の実施形態における終了の条件と同じでよい。ステップＳ３０３の動作の繰り返しによって、生成部１３０は、前状態に応じた、装置の状態の変化の分布を生成する。

終了の条件が満たされている場合（ステップＳ３０５においてＹＥＳ）、決定部１５０は、生成された、前状態毎の分布に基づいて、前状態に応じた、変化の許容範囲を決定する（ステップＳ３０６）。決定された変化の許容範囲は、例えば、その許容範囲を用いて不正なデータフレームを検出する監視装置等に出力されてもよい。

＜＜効果＞＞
本実施形態には、ネットワークを流れる、車両の状態を表すデータを含むフレームから、不正なフレームを検出する精度の向上に寄与できるという効果がある。

その理由は、決定部１５０が、装置の状態の変化が、変化の前の装置の状態に応じた許容範囲を決定するからである。例えば、装置の状態の変化が、ある状態からの変化としては正常であっても、他の状態からの変化としては異常である場合が存在する。そのような場合に、装置の状態の変化が正常であるか異常であるかを、変化の前の装置の状態によらず、同じ許容範囲によって判定した場合、判定の精度が低下する。変化の前の装置の状態に応じた許容範囲によって、装置の状態の変化が正常であるか異常であるかを判定することにより、判定の精度が向上する。従って、異常な装置の状態を示す不正なフレームを検出する精度が向上する。

＜第４の実施形態＞
＜＜構成＞＞
次に、本発明の第４の実施形態について、図面を参照して詳細に説明する。

図１は、本実施形態の監視装置１００の構成の例を表すブロック図である。本実施形態の監視装置１００は、取得部１１０と、算出部１２０と、生成部１３０と、分布記憶部１４０と、決定部１５０と、ルール記憶部１６０と、判定部１７０と、出力部１８０とを含む。本実施形態の監視装置１００の構成は、第１の実施形態の監視装置１００の構成と同じである。本実施形態の取得部１１０と、算出部１２０と、生成部１３０と、分布記憶部１４０と、出力部１８０とは、第１の実施形態の同じ名称及び符号が付与されている部と同じ機能を備え、同様に動作する。

以下では、本実施形態の監視装置１００と、第１の実施形態の監視装置１００との間の相違点を主に説明する。

本実施形態では、パラメータは、２つの種類に分類されている。１番目の種類のパラメータは、「連続的な」パラメータである。２つ目の種類のパラメータは、「離散的な」パラメータである。

連続的なパラメータは、例えば、パラメータがとりうる値の個数が所定個数よりも多いパラメータである。以下では、連続的なパラメータを、「連続パラメータ」と表記する。連続パラメータは、実数値を取りうるパラメータであってもよい。連続パラメータが取りうるパラメータの範囲は、限られていなくてもよい。連続パラメータは、所定範囲に含まれる実数値のいずれかを取りうるパラメータであってもよい。連続パラメータは、所定個数よりも多い個数の実数値のいずれかを取りうるパラメータであってもよい。連続パラメータの値は、実数でなくてもよい。連続パラメータは、例えば、所定個数よりも多い個数の整数値のいずれかを取りうるパラメータであってもよい。連続パラメータは、例えば、所定個数よりも多い個数の数値（整数値と実数値とを含む）のいずれかを取りうるパラメータであってもよい。連続パラメータは、所定個数よりも多い個数の状態値のいずれかを取りうるパラメータであってもよい。この場合、状態値には、例えば、所定範囲に含まれる整数又は実数が割り当てられていてよい。そして、状態値は、その状態値に割り当てられている整数又は実数として扱われてもよい。連続パラメータが取りうる値の個数は限定されていなくてもよい。連続パラメータが取りうる値の範囲は限定されていなくてもよい。連続パラメータは、例えば、車速、アクセル開度、ブレーキ踏、ハンドル舵角、ヨーレートなどである。なお、「ブレーキ踏」は、ブレーキペダルの踏み方の程度を表す値である。ブレーキ踏は、例えば、ブレーキペダルに加えられている力の大きさを表していてもよい。ブレーキ踏は、例えば、ブレーキ系統のいずれかの部分における、ブレーキペダルに加えられている力の大きさに依存する油圧等の圧力を表していてもよい。これらの場合、ブレーキ踏は、例えば、ブレーキ系統に取り付けられている圧力センサによる測定によって得られる測定値であってもよい。ブレーキ踏は、例えば、ブレーキペダルを踏んでいない状態からの、ブレーキペダルの移動の大きさによって表されていてもよい。この場合、ブレーキペダルの移動の大きさは、例えば、ブレーキペダルの位置を測定するセンサの出力から導出されてもよい。連続パラメータは、以上の例に限られない。

離散的なパラメータとは、例えば、パラメータがとりうる値の個数が所定個数よりも少ないパラメータである。所定個数は、例えば、予め定められていてよい。以下、離散的なパラメータを、「離散パラメータ」と表記する。離散パラメータがとりうる値は、実数値、整数値、状態値などのいずれかであってもよい。離散パラメータは、例えば、シフトポジション、サイドレバー状態、ドアの開閉の状態、ライトの点灯の状態、ウインカーの点灯の状態等であってよい。離散パラメータは、以上の例に限られない。

以下では、離散パラメータによる空間を離散空間と表記し、連続パラメータによる空間を連続値空間と表記する。離散パラメータの個数がｎ（ｎは１以上の整数）である場合、離散空間はｎ次元の空間である。連続パラメータの個数がｍ（ｍは１以上の整数）である場合、連続値空間はｍ次元の空間である。これらのｎ個の離散パラメータの値の組み合わせは、離散空間における点（具体的には、点の座標）によって表される。これらのｎ個の離散パラメータの値の変化は、離散空間における、ｎ次元のベクトルによって表すことができる。これらのｍ個の連続パラメータの値の組み合わせは、連続値空間における点（具体的には、点の座標）によって表される。これらのｍ個の連続パラメータの値の組み合わせの値の変化は、連続値空間における、ｍ次元のベクトルによって表すことができる。

これらのｎ個の離散パラメータの値を、離散パラメータの値の組み合わせとも表記する。これらのｎ個の離散パラメータの値を、単に、離散パラメータの値と表記することもある。これらのｎ個の離散パラメータの値の変化を、単に、離散パラメータの値の組み合わせの変化と表記することもある。これらのｎ個の離散パラメータの値の変化を、単に、離散パラメータの値の変化と表記することもある。これらのｍ個の連続パラメータの値を、連続パラメータの値の組み合わせとも表記する。これらのｍ個の連続パラメータの値を、単に、連続パラメータの値と表記することもある。これらのｍ個の連続パラメータの値の変化を、単に、連続パラメータの値の組み合わせの変化と表記することもある。これらのｍ個の連続パラメータの値の変化を、単に、連続パラメータの値の変化と表記することもある。

学習フェーズでは、生成部１３０は、第１の実施形態の生成部１３０と同様に、まず、データフレームが示す車両の状態になる前の車両の状態（すなわち、上述の前状態）に応じた、変化量の分布を特定する。具体的には、生成部１３０は、分布記憶部１４０に格納されている変化量の分布から、取得したデータフレームが表す車両の状態の前状態からの、取得したデータフレームに値が含まれるパラメータを含むパラメータの組み合わせから得られる特徴空間における、変化量の分布を特定する。なお、生成部１３０が使用するデータフレームは、正常に動作していることが確認されている車両から取得されたデータフレームである。

ただし、本実施形態の生成部１３０は、離散パラメータの値の組み合わせ毎に、連続パラメータの値の組み合わせの各々から変化量の分布を特定する。言い換えると、本実施形態の生成部１３０は、離散空間の点毎に、連続値空間の各点における変化量の分布を特定する。さらに、本実施形態の生成部１３０は、離散パラメータの値の組み合わせの各々について、離散パラメータの値の組み合わせからの変化毎の、連続パラメータの値の組み合わせの分布を特定する。言い換えると、本実施形態の生成部１３０は、離散空間の各点における変化毎に、連続値空間における点の分布を特定する。

学習フェーズにおいて、決定部１５０は、分布記憶部１４０に格納されている、変化量の分布の各々について、変化量の許容範囲を決定する。

ただし、本実施形態の決定部１５０は、離散パラメータの値の組み合わせと、連続パラメータの値の組み合わせとに基づく、連続パラメータの値の組み合わせの変化の許容範囲を決定する。言い換えると、本実施形態の決定部１５０は、離散空間における点毎に、連続値空間における各点からの変化の許容範囲を決定する。本実施形態の決定部１５０は、さらに、離散パラメータの値の組み合わせ毎に、離散パラメータの値の組み合わせと、連続パラメータの値の組み合わせとに基づく、離散パラメータの値の組み合わせの変化量の許容範囲を決定する。言い換えると、本実施形態の決定部１５０は、さらに、離散空間の点の各々について、離散空間の点と、連続値空間の点とに基づく、離散空間のその点からの変化量の許容範囲を決定する。

以下では、生成部１３０と、決定部１５０とについて、さらに詳しく説明する。

本実施形態の生成部１３０は、離散パラメータの値の組み合わせ毎の、連続パラメータの値の分布（言い換えると、正常な分布）を生成する。言い換えると、生成部１３０は、離散空間における、離散パラメータの値の組み合わせを表す点毎の、連続値空間における、連続パラメータの値の分布（すなわち正常な分布）を生成する。離散パラメータの値の組み合わせが同一である車両の状態の集合が、離散空間における点として表される。なお、車両の状態の離散パラメータの値の組み合わせが同一であっても、それらの車両の状態の連続パラメータの値は同一であるとは限らない。

生成部１３０は、離散パラメータの値の組み合わせ毎に、生成した正常な分布における各点からの、正常な状態における連続パラメータの値の変化量の分布（以下、変化の分布とも表記する）を特定する。言い換えると、生成部１３０は、離散空間における点ごとに、連続値空間における正常な分布に含まれる各点における、連続パラメータの値の変化量の分布を特定する。さらに言い換えると、生成部１３０は、離散パラメータの値が同一である車両の状態の集合において、連続パラメータの値の組み合わせの、同一の値の組み合わせからの変化量の分布を、値の組み合わせ毎に特定する。生成部１３０は、連続値空間が所定規則に従って分割された複数の部分領域毎に、連続パラメータの値の変化量の分布を特定してよい。言い換えると、生成部１３０は、連続値空間に設定された複数の部分領域毎に、部分領域に含まれる点として表される連続パラメータの値の組み合わせからの、連続パラメータの値の変化量の分布を特定してもよい。さらに言い換えると、生成部１３０は、離散パラメータの値が同一である車両の状態の集合において、連続パラメータの値の組み合わせの、同一の部分領域に含まれる値の組み合わせからの変化量の分布を、部分領域毎に特定してもよい。

決定部１５０は、離散パラメータの値の組み合わせ毎に、特定した変化量の分布から、連続パラメータの値に基づく、連続パラメータの値の変化の許容範囲を決定する。言い換えると、決定部１５０は、離散空間における点毎に、連続値空間において、連続パラメータの分布に含まれる各点からの、連続パラメータの値の変化の許容範囲を決定する。さらに言い換えると、決定部１５０は、離散パラメータの値の組み合わせが同一である車両の状態の集合において、連続パラメータの値の組み合わせの、同一の値の組み合わせからの変化量の許容範囲を決定する。決定部１５０は、上述の部分領域毎に、連続パラメータの値の変化量の許容範囲を決定してよい。言い換えると、決定部１５０は、部分領域毎に、連続パラメータの、同一の部分領域に含まれる値の組み合わせからの、変化量の許容範囲を決定してもよい。決定部１５０による許容範囲を決定する方法は、第１の実施形態における、許容範囲を決定する方法と同じでよい。

以上のように許容範囲が決定された場合、離散パラメータの値の組み合わせによって、連続パラメータの値の分布（すなわち、正常な分布）が定まる。さらに、離散パラメータの組み合わせによって定まる、連続パラメータの値の分布において、点（すなわち、連続パラメータの値の組み合わせ）が定まると、連続パラメータの値の変化の許容範囲が定まる。言い換えると、離散パラメータの値の組み合わせと、連続パラメータの値の組み合わせとによって、連続パラメータの値の変化量の許容範囲が定まると言える。

生成部１３０は、さらに、離散パラメータの値の組み合わせの各々について、離散パラメータの値の組み合わせからの変化毎に、連続パラメータの値の組み合わせの、変化の前における分布を生成してもよい。

決定部１５０は、さらに、離散パラメータの値の組み合わせ毎に定まる、連続パラメータの値が分布する範囲において、１つ以上の領域と、領域毎の離散パラメータの値の変化の許容範囲とを決定してよい。離散パラメータの値の変化は、例えば、離散空間における点から点への移動によって表される。離散パラメータの値の変化の許容範囲は、離散空間における点から点への移動の集合によって表される。従って、離散パラメータの値の変化の許容範囲は、離散空間における点の集合によって表すことができる。以下の説明において、点Ａは、離散空間において、離散パラメータの値の組み合わせを示す点の１つである。点Ｂ、点Ｃ、点Ｄ等も同様である。例えば、離散空間における点Ａによって表される値の組み合わせからの変化は、点Ａから、他の点又は点Ａへの移動によって表される。従って、点Ａからの値の変化の許容範囲は、点Ａから移動しうる点の集合によって表すことができる。

決定部１５０は、離散空間における、ある点（例えば点Ａ）からの値の変化の許容範囲を、例えば以下のように決定する。

決定部１５０は、離散パラメータの値の組み合わせの点Ａから他の点（例えば点Ｂ）への変化の前における、連続パラメータの値の連続値空間における分布を特定してよい。そして、決定部１５０は、特定した分布に基づいて、離散パラメータの値の組み合わせの点Ａから点Ｂへの変化の前における、連続パラメータの値が連続値空間において分布しうる領域を決定してよい。決定部１５０は、例えば、特定した分布がｍ次元の正規分布であると仮定してよい。そして、決定部１５０は、特定した分布の、ｍ本の座標軸の各々の方向の分布における標準偏差を算出し、各座標軸方向の平均からの差が標準偏差の定数倍である範囲を、連続パラメータの値が分布しうる領域として特定してもよい。決定部１５０は、離散パラメータの値の組み合わせの点Ａから点Ｂへの変化の前における、連続パラメータの値の分布を全て含む、所定の形状の範囲を特定してもよい。所定の形状は、ｍ次元の直方体であってもよい。所定の形状は、ｍ次元の楕円体であってもよい。所定の形状は、以上の例に限られない。このように決定部１５０によって決定された、点Ａから点Ｂへの変化の前における、連続パラメータの値が連続値空間において分布しうる領域を、点Ａから点Ｂへの遷移可能領域と表記する。

決定部１５０は、同様に、離散空間において離散パラメータの値の組み合わせが示す点Ａから変化しうる各点について、同様に、変化の前における、連続パラメータの値が連続値空間において分布する領域を決定する。離散空間において、点Ａから変化しうる点を、点Ａの遷移可能点と表記する。言い換えると、決定部１５０は、点Ａから遷移可能点への遷移可能領域を、点Ａの遷移可能点の各々について決定する。連続パラメータの値の組み合わせ（すなわち、連続パラメータの値の組み合わせが表す点）が、遷移可能領域に含まれている場合における、点Ａからの遷移可能点を、遷移可能領域に関する遷移可能点と表記し、その遷移可能領域を、点Ａの遷移可能領域と表記する。決定部１５０は、離散パラメータの値が変化しない場合の、連続パラメータの値が連続値空間において分布する領域を決定してもよい。

決定部１５０は、点Ａの遷移可能領域のうち、点Ａの他の遷移可能領域と重複していない領域と、点Ａの複数の遷移可能領域が重複している領域とを特定してもよい。点Ａの複数の遷移可能領域が重複している領域に、連続パラメータの値の組み合わせを表す点が含まれている場合、離散パラメータの値の組み合わせは、点Ａから、複数の遷移可能領域に関する遷移可能点のいずれにも変化しうる。決定部１５０は、複数の遷移可能領域が重複している領域を、点Ａから、それらの複数の遷移可能領域に関する遷移可能点の組み合わせへの、遷移可能領域に決定してもよい。他の遷移可能領域と重複していない遷移可能領域は、点Ａから、その遷移可能領域に関する遷移可能点（すなわち、その遷移可能点のみを含む、遷移可能点の組み合わせ）への遷移可能領域である。

決定部１５０は、このように、連続値空間において、同じ遷移可能領域が重複している領域と、遷移可能領域が重複していない遷移可能領域内の領域とを特定し、特定した領域を、重複している遷移可能領域に関する遷移可能点の組み合わせへの新たな遷移可能領域に決定する。そして、決定部１５０は、決定された新たな遷移可能領域に関する遷移可能点の組み合わせを特定する。この場合、点Ａからの、連続パラメータの値の組み合わせが表す点が含まれる遷移可能領域に関する遷移可能点の組み合わせに含まれる各点への変化量が、点Ａの、連続パラメータの値の組み合わせに基づく、許容範囲である。決定部１５０は、点Ａから、特定された組み合わせに含まれる遷移可能点の各々への変化量を、決定された遷移可能領域に連続パラメータの値の組み合わせが含まれる場合における、離散空間における変化量の許容範囲に決定する。なお、遷移可能点が点Ａである場合は、離散パラメータの値の組み合わせが示す点が、点Ａから変化しなくてもよいことを表す。

決定部１５０は、離散空間における各点について、連続値空間における遷移可能領域と、離散空間における許容範囲と、の組み合わせを決定する。そして、決定部１５０は、特定した組み合わせに含まれる、連続値空間における遷移可能領域と、離散空間における許容範囲と、を関連付ける。

決定部１５０は、決定した許容範囲を表す情報を、ルール記憶部１６０に格納する。本実施形態では、許容範囲を表す情報は、連続値空間における許容範囲を表す情報と、離散空間における許容範囲を表す情報とを含む。連続値空間における許容範囲を表す情報は、離散空間において離散パラメータが取りうる点の各々における、連続値空間において連続パラメータが取りうる値の組み合わせが示す各点の許容範囲を表す情報である。言い換えると、連続値空間における許容範囲を表す情報は、離散パラメータの値の可能な組み合わせの各々についての、連続パラメータの値の可能な組み合わせの各々からの、変化量の許容範囲を表す情報である。離散空間における許容範囲を表す情報は、離散空間において離散パラメータが取りうる点の各々についての、連続値空間における遷移可能領域と、離散空間における変化量の許容範囲とを表す情報である。

図１４は、離散空間の点と、連続値空間における点とに基づく、連続値の変化量の許容範囲の例を模式的に表す図である。図１４の離散空間を表す矩形内において、破線の交点のうち、円によって囲まれている交点（例えば、点Ｐ０から点Ｐ４）は、離散パラメータの値の分布を表す。言い換えると、円によって囲まれている交点は、離散パラメータの値の組み合わせを離散空間における点によって表した場合に、点が存在しうる場所を表す。

図１４には、さらに、離散パラメータの値が点Ｐ２の座標によって表される場合における、連続パラメータの値の分布が、連続値空間を表す矩形内に示されている。連続値空間を表す矩形内における閉曲線が、離散パラメータの値の組み合わせが点Ｐ２によって表される場合における連続パラメータの値の分布を表す。離散パラメータの値のそれぞれの組み合わせ（すなわち、離散空間において離散パラメータの値の組み合わせを表す点の各々）についても同様に、連続パラメータの値の組み合わせが表す点の連続値空間における分布が得られる。

図１４は、さらに、連続値空間に示される矩形に、連続パラメータの値の組み合わせを表す点が含まれる場合の、連続パラメータの値の変化量の許容範囲を表す。図１４に描かれている、「変化量の許容範囲」の矩形に含まれる楕円によって囲まれる領域が、連続パラメータの値の変化量の許容範囲を表す。図１４の例では、「変化量の許容範囲」の矩形の中に座標軸が描かれている座標系の原点からのベクトルが描かれている。これらのベクトルは、連続パラメータの値の変化の組み合わせを表す。図１４の例では、描かれているベクトルの終点が、「変化量の許容範囲」の矩形の中に描かれている楕円に含まれる場合、連続パラメータの値の変化量は、許容範囲に含まれる。このようなベクトルによって表される、連続パラメータの値の変化量は、正常であるとみなされる。描かれているベクトルの終点が、「変化量の許容範囲」の矩形の中に描かれている楕円に含まれない場合、連続パラメータの値の変化量は、許容範囲に含まれない。このようなベクトルによって表される、連続パラメータの値の変化量は、異常であるとみなされる。

図１５は、離散空間の点と、連続値空間における点とに基づく、離散値の変化量の許容範囲の例を模式的に表す図である。図１５の離散空間は、図１４に描かれている離散空間と同じである。図１５の離散空間の矩形内に描かれている円は、図１４の円と同様に、離散パラメータの値の組み合わせを表す。離散パラメータの値の組み合わせは、離散パラメータの状態の１つを表す。図１５の離散空間の矩形内に描かれている、２つの円をつなぐ矢印は、それらの２つの円に含まれる２つの交点によって表される、離散パラメータの値の２つの組み合わせ（すなわち２つの状態）の間で、矢印の向きの変化が起こりうることを表す。両方向の矢印は、その矢印によって表される２つの方向の変化が起こりうることを表す。図１５に示す例では、例えば、状態が点Ｐ０によって表される場合、点Ｐ１によって表される状態への変化、点Ｐ２によって現れる状態の変化、及び、点Ｐ３によって表される状態への変化が起こりうることを表す。

図１５の連続値空間を表す矩形に含まれる閉曲線は、図１４の閉曲線と同様に、連続値空間における連続パラメータの値の組み合わせを表す点の分布（連続パラメータの値の組み合わせの分布とも表記）を表す。図１５に示す例では、連続値空間を示す矩形の中に描かれている閉曲線が、離散パラメータの値の組み合わせが点Ｐ０によって表される場合における、連続パラメータの値の分布を表す。この閉曲線によって囲まれる領域と重複するように描かれている矩形が、上述の遷移可能範囲を表す。

図１５には、「Ｐ１又はＰ２への遷移が可能な範囲」として、範囲Ａ１が示されている。「Ｐ３への遷移が可能な範囲」として、範囲Ａ２が示されている。さらに、「遷移が不可な範囲」として、範囲Ａ０が示されている。範囲Ａ０は、連続値空間全体のうち、範囲Ａ１及び範囲Ａ２以外の範囲である。図１５に示す例では、離散空間における点Ｐ０の座標が離散パラメータの値を表し、連続値空間の範囲Ａ１に含まれる点の座標が連続パラメータの値を表す場合、離散パラメータの値は、点Ｐ１の座標が表す値、又は、点Ｐ２の座標が表す値に変化する。この場合、離散パラメータの値の変化量の許容範囲は、点Ｐ０から点Ｐ１への座標の変化によって表される値、及び、点Ｐ０から点Ｐ２への座標の変化によって表される値である。離散空間における点Ｐ０の座標が離散パラメータの値を表し、連続値空間の範囲Ａ２に含まれる点の座標が連続パラメータの値を表す場合、離散パラメータの値は、点Ｐ３の座標が表す値に変化する。この場合、離散パラメータの値の変化量の許容範囲は、点Ｐ０から点Ｐ２への座標の変化によって表される値である。離散空間における点Ｐ０の座標が離散パラメータの値を表し、連続値空間の範囲Ａ１及び範囲Ａ２のどちらにも含まれない点の座標が連続パラメータの値を表す場合、離散パラメータの値は、離散空間における点Ｐ０の座標が表す値から変化しない。この場合、離散パラメータの値の変化量の許容範囲は、ゼロベクトルによって表される点である。

検知フェーズでは、判定部１７０は、同様に、前状態（具体的には、前状態を表す情報）と、算出された車両の状態の変化（具体的には、算出された車両の状態の変化量を表す情報）とを、算出部１２０から受け取る。判定部１７０は、受け取った、車両の状態の変化量を表す情報に値の変化量が含まれるパラメータを含む、パラメータの組み合わせから得られる特徴空間において定められている許容範囲を特定する。複数の特徴空間が得られ、ルール記憶部１６０に格納されている許容範囲において、複数の許容範囲を特定できる場合、判定部１７０は、それらの複数の許容範囲を全て特定してよい。

本実施形態の判定部１７０は、具体的には、許容範囲を表す情報のうち、連続値空間における許容範囲を表す情報に基づいて、車両の状態の変化のうち、連続パラメータの値の変化が、連続値空間における許容範囲に含まれるか判定してよい。判定部１７０は、さらに、許容範囲を表す情報のうち、離散空間における許容範囲を表す情報に基づいて、車両の状態の変化のうち、離散パラメータの値の変化が、離散空間における許容範囲に含まれるか判定してよい。判定の順番は逆でもよい。

さらに詳しく説明すると、判定部１７０は、まず、車両の状態を表すパラメータのうち離散パラメータの値の組み合わせが、離散空間において示す点を特定する。特定した点が、離散パラメータの値の組み合わせが取りうる点の１つではない場合、判定部１７０は、取得部１１０が取得したデータフレームが、不正なデータフレームであると判定してよい。

特定した点が、離散パラメータの値の組み合わせが取りうる点の１つである場合、判定部１７０は、次に、連続パラメータの値の組み合わせが許容範囲に含まれるか判定する。すなわち、判定部１７０は、車両の状態を表すパラメータのうち連続パラメータの値の組み合わせが、離散空間において特定された点についての、その連続パラメータの値の組み合わせからの変化量の許容範囲に含まれるか判定してよい。連続パラメータの値の組み合わせが許容範囲に含まれない場合、判定部１７０は、取得部１１０が取得したデータフレームが、不正なデータフレームであると判定してよい。

連続パラメータの値の組み合わせが許容範囲に含まれる場合、判定部１７０は、次に、連続値空間における遷移可能領域を特定する。すなわち、判定部１７０は、離散空間において特定された点についての、連続値空間における遷移可能領域のうち、車両の状態を表すパラメータのうち連続パラメータの値の組み合わせが含まれる遷移可能領域を特定する。車両の状態を表すパラメータのうち連続パラメータの値の組み合わせが含まれる遷移可能領域が存在しない場合、判定部１７０は、取得部１１０が取得したデータフレームが、不正なデータフレームであると判定してよい。

車両の状態を表すパラメータのうち連続パラメータの値の組み合わせが含まれる遷移可能領域が特定された場合、判定部１７０は、次に、離散パラメータの値の組み合わせが許容範囲に含まれるか判定する。すなわち、判定部１７０は、特定した遷移可能領域に関連付けられた、離散空間における許容範囲に、離散パラメータの変化量が含まれるか判定する。特定した遷移可能領域に関連付けられた、離散空間における許容範囲に、離散パラメータの変化量が含まれない場合、判定部１７０は、取得部１１０が取得したデータフレームが、不正なデータフレームであると判定してよい。

特定した遷移可能領域に関連付けられた、離散空間における許容範囲に、離散パラメータの変化量が含まれる場合、判定部１７０は、取得部１１０が取得したデータフレームが、不正なデータフレームではないと判定してよい。

例えば図１４の点Ｐ２の座標が離散パラメータの値を表し、図１４の連続値空間に描かれている矩形に含まれる点が連続パラメータの値を表す場合、連続パラメータの値の変化量の許容範囲は、図１４に示す楕円の内部である。この場合、判定部１７０は、連続パラメータの値の変化量を表すベクトルの終点が楕円の範囲に含まれている場合、データフレームが不正なデータフレームではないと判定してよい。判定部１７０は、連続パラメータの値の変化量を表すベクトルの終点が楕円の範囲に含まれていない場合、データフレームが不正なデータフレームであると判定してよい。

例えば、図１５の点Ｐ０の座標が離散パラメータの値を表し、図１５の連続値空間に描かれている範囲Ａ１に含まれる点が連続パラメータの値を表す場合、離散パラメータの値の変化量の許容範囲は、Ｐ０からＰ１への座標の変化、及び、Ｐ０からＰ２への座標の変化によって表される。この場合、判定部１７０は、離散パラメータの値の変化量が、Ｐ０からＰ１への座標の変化によって表される値、及び、Ｐ０からＰ２への座標の変化によって表される値のいずれかであれば、データフレームが不正なデータフレームではないと判定してよい。判定部１７０は、それ以外の場合、データフレームが不正なデータフレームであると判定してよい。

＜＜動作＞＞
本実施形態の監視装置１００の動作は、図３から図４に示す、第１の実施形態の監視装置１００の動作と、以下で説明する点を除いて、同じである。

図３に示すステップＳ１０５において、生成部１３０が更新する変化の分布が、第１の実施形態の変化の分布と異なる。本実施形態の変化の分布は、上述のように、離散空間における点の各々について、連続値空間における各点の変化の分布と、離散空間における点からの変化毎の、連続値空間における変化前の点の分布と、を含む。

図３に示すステップＳ１０８において、本実施形態の決定部は、変化の許容範囲として、上述の、連続値空間における許容範囲と、離散空間における許容範囲とを決定する。

図１３は、本発明の第４の実施形態に係る監視装置の、検知フェーズにおける動作の例を表す第２のフローチャートである。

図４のステップＳ１１４における検出処理において、本実施形態の監視装置１００は、図１３に示す動作を行う。

図５と図１３とを比較すると、本実施形態の監視装置１００は、ステップＳ１２２からステップＳ１２４の動作の代わりに、ステップＳ１２２ＡからステップＳ１２４Ａの動作と、ステップＳ１２２ＢからステップＳ１２４Ｂの動作とを行う。本実施形態の監視装置１００の他のステップの動作は、第１の実施形態の監視装置１００の、同じ番号が付与されているステップの動作と同じである。

ステップＳ１２２Ａにおいて、判定部１７０は、変化前の車両の状態に応じた、連続値空間における許容範囲を特定する。本実施形態では、変化前の車両の状態は、変化前の、離散パラメータの値の組み合わせと、連続パラメータの値の組み合わせとによって表される。

ステップＳ１２２Ａにおいて、判定部１７０は、連続値空間において、車両の状態の変化が許容範囲に含まれるか判定する。言い換えると、判定部１７０は、連続パラメータの値の変化が、連続値空間における許容範囲に含まれるか判定する。

連続値空間において、車両の状態が許容範囲に含まれない場合（ステップＳ１２４ＡにおいてＮＯ）、監視装置１００は、次に、ステップＳ１２５の動作を行う。連続値空間において、車両の状態が許容範囲に含まれる場合（ステップＳ１２４ＡにおいてＹＥＳ）、監視装置１００は、次に、ステップＳ１２２Ｂの動作を行う。

ステップＳ１２２Ｂにおいて、判定部１７０は、変化前の車両の状態に応じた、離散空間における許容範囲を特定する。言い換えると、判定部１７０は、変化前の離散パラメータの値の組み合わせに応じた遷移可能空間のうち、変化前の連続パラメータの値が含まれる遷移可能空間を特定する。そして、判定部１７０は、特定された遷移可能空間に関連付けられている、離散空間における許容範囲を特定する。

ステップＳ１２３Ｂにおいて、判定部１７０は、離散空間において、車両の状態の変化が許容範囲に含まれるか判定する。言い換えると、判定部１７０は、車両の状態を表すパラメータのうち離散パラメータの値の組み合わせの変化が、離散空間における許容範囲に含まれるか判定する。

離散空間において、車両の状態の変化が許容範囲に含まれる場合（ステップＳ１２４ＢにおいてＹＥＳ）、監視装置１００は、次に、ステップＳ１２６の動作を行う。離散空間において、車両の状態の変化が許容範囲に含まれない場合（ステップＳ１２４ＢにおいてＮＯ）、監視装置１００は、次に、ステップＳ１２５の動作を行う。

監視装置１００は、ステップＳ１２２ＢからステップＳ１２４Ｂの動作の後に、ステップＳ１２２ＡからステップＳ１２４Ａの動作を行ってもよい。その場合、離散空間において、車両の状態の変化が許容範囲に含まれる場合（ステップＳ１２４ＢにおいてＹＥＳ）、監視装置１００は、次に、ステップＳ１２２Ａの動作を行う。離散空間において、車両の状態の変化が許容範囲に含まれない場合（ステップＳ１２４ＢにおいてＮＯ）、監視装置１００は、次に、ステップＳ１２５の動作を行う。また、連続値空間において、車両の状態が許容範囲に含まれない場合（ステップＳ１２４ＡにおいてＮＯ）、監視装置１００は、次に、ステップＳ１２５の動作を行う。連続値空間において、車両の状態が許容範囲に含まれる場合（ステップＳ１２４ＡにおいてＹＥＳ）、監視装置１００は、次に、ステップＳ１２６の動作を行う。

＜＜効果＞＞
本実施形態には、第１の実施形態と同じ効果がある。その理由は、第１の実施形態の効果が生じる理由と同じである。

＜＜第１から第５の変形例＞＞
本実施形態は、第１の実施形態の第１から第５の変形例のそれぞれと同様の変形が可能である。

＜＜第６の変形例＞＞
本変形例では、決定部１５０は、連続値空間における許容範囲のみを決定してよい。本変形例では、許容範囲の情報は、連続値空間における許容範囲のみを含んでいてよい。本変形例では、判定部１７０は、車両の状態の変化のうち、離散パラメータの値の変化が、離散空間における許容範囲に含まれているか否かを判定しない。判定部１７０は、車両の状態の変化のうち、連続パラメータの値の変化が、連続値空間における許容範囲に含まれているか否かを判定してよい。車両の状態の変化のうち、連続パラメータの値の変化が、連続値空間における許容範囲に含まれていれば、判定部１７０は、取得部１１０が取得したデータフレームが、不正なデータフレームではないと判定してよい。

＜＜第７の変形例＞＞
本変形例では、決定部１５０は、離散空間における許容範囲のみを決定してよい。本変形例では、許容範囲の情報は、離散空間における許容範囲のみを含んでいてよい。本変形例では、判定部１７０は、車両の状態の変化のうち、連続パラメータの値の変化が、連続値空間における許容範囲に含まれているか否かを判定しない。判定部１７０は、車両の状態の変化のうち、離散パラメータの値の変化が、離散空間における許容範囲に含まれているか否かを判定してよい。車両の状態の変化のうち、離散パラメータの値の変化が、離散空間における許容範囲に含まれていれば、判定部１７０は、取得部１１０が取得したデータフレームが、不正なデータフレームではないと判定してよい。

第４の実施形態と、第４の実施形態の第１から第６までの変形例において、連続パラメータは、第１のパラメータとも表記されてよい。また、離散パラメータは、第２のパラメータとも表記されてよい。

本変形例では、離散パラメータは、第１のパラメータとも表記されてよい。また、連続パラメータは、第２のパラメータとも表記されてよい。

＜他の実施形態＞
上述の実施形態に係る監視装置及び学習装置の各々は、記憶媒体から読み出されたプログラムがロードされたメモリと、そのプログラムを実行するプロセッサとを含むコンピュータによって実現することができる。上述の実施形態に係る監視装置及び学習装置の各々は、専用のハードウェアによって実現することもできる。上述の実施形態に係る監視装置及び学習装置の各々は、前述のコンピュータと専用のハードウェアとの組み合わせによって実現することもできる。

言い換えると、上述の実施形態に係る監視装置及び学習装置の各々は、回路構成（ｃｉｒｃｕｉｔｒｙ）などのハードウェアによって実現することができる。回路構成は、例えば、コンピュータに含まれるプロセッサとメモリであってもよい。その場合、プログラムが、メモリにロードされていればよい。そのプログラムは、プロセッサが実行することが可能であり、コンピュータを上述の実施形態の監視装置及び学習装置のいずれか１つとして動作させればよい。回路構成は、例えば、通信可能に接続された複数のコンピュータであってもよい。回路構成は、例えば、回路（ｃｉｒｃｕｉｔ）であってもよい。回路構成は、例えば、通信可能に接続された複数の回路であってもよい。回路構成は、通信可能に接続された、１台以上のコンピュータと、１個以上の回路との組み合わせであってもよい。

図１２は、上述の実施形態に係る監視装置及び学習装置の各々を実現することができる、コンピュータ１０００のハードウェア構成の一例を表す図である。図１２を参照すると、コンピュータ１０００は、プロセッサ１００１と、メモリ１００２と、記憶装置１００３と、Ｉ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）インタフェース１００４とを含む。また、コンピュータ１０００は、記憶媒体１００５にアクセスすることができる。メモリ１００２と記憶装置１００３は、例えば、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ハードディスクなどの記憶装置である。記憶媒体１００５は、例えば、ＲＡＭ、ハードディスクなどの記憶装置、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、可搬記憶媒体である。記憶装置１００３が記憶媒体１００５であってもよい。プロセッサ１００１は、メモリ１００２と、記憶装置１００３に対して、データやプログラムの読み出しと書き込みを行うことができる。プロセッサ１００１は、Ｉ／Ｏインタフェース１００４を介して、例えば、バス６００及びコールセンター端末７００にアクセスすることができる。プロセッサ１００１は、記憶媒体１００５にアクセスすることができる。

記憶媒体１００５には、コンピュータ１０００を、上述のいずれかの実施形態に係る監視装置として動作させるプログラムが格納されている。プロセッサ１００１は、記憶媒体１００５に格納されているプログラムを、メモリ１００２にロードする。そして、プロセッサ１００１が、メモリ１００２にロードされたプログラムを実行することにより、コンピュータ１０００は、上述の監視装置として動作する。

記憶媒体１００５には、コンピュータ１０００を、上述のいずれかの実施形態に係る学習装置として動作させるプログラムが格納されている。プロセッサ１００１は、記憶媒体１００５に格納されているプログラムを、メモリ１００２にロードする。そして、プロセッサ１００１が、メモリ１００２にロードされたプログラムを実行することにより、コンピュータ１０００は、上述の学習装置として動作する。

取得部１１０、算出部１２０、生成部１３０、決定部１５０、ルール出力部２８０、ルール取得部１９０、判定部１７０、及び、出力部１８０は、例えば、メモリ１００２にロードされた専用のプログラムを実行するプロセッサ１００１により実現することができる。また、分布記憶部１４０、及び、ルール記憶部１６０は、コンピュータ１０００が含むメモリ１００２やハードディスク装置等の記憶装置１００３により実現することができる。取得部１１０、算出部１２０、生成部１３０、決定部１５０、ルール出力部２８０、ルール取得部１９０、判定部１７０、出力部１８０、分布記憶部１４０、及び、ルール記憶部１６０の一部又は全部を、各部の機能を実現する専用の回路によって実現することもできる。

＜付記＞
また、上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

（付記１）
受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出する算出手段と、
前記変化の前の前記装置の状態に応じて定まる許容範囲に、前記変化が含まれるか否かを判定する判定手段と、
を備える監視装置。

（付記２）
前記許容範囲は、前記パラメータの組み合わせによって表される特徴空間において定められ、
前記判定手段は、前記データフレームが値を含む前記パラメータを含む前記組み合わせによって表される前記特徴空間において定まる前記許容範囲に、算出された前記変化が含まれるか否かを判定する
付記１に記載の監視装置。

（付記３）
前記判定手段は、前記データフレームが値を含む前記パラメータの少なくともいずれかをそれぞれ含む複数の前記組み合わせによってそれぞれ表される前記特徴空間において定まる、前記許容範囲の各々において、当該組み合わせが含む前記パラメータの値の変化によって表される前記装置の状態の、前記変化が含まれるか否かを判定する
付記２に記載の監視装置。

（付記４）
前記許容範囲は、前記パラメータのうちの第１のパラメータの前記許容範囲である第１の許容範囲として定められ、
前記判定手段は、前記第１のパラメータの値の変化によって表される前記装置の状態の変化が、前記パラメータの値に応じて定まる前記第１の許容範囲に含まれるか否かを判定する
付記１乃至３のいずれか１項に記載の監視装置。

（付記５）
前記第１の許容範囲は、前記パラメータのうちの第２のパラメータの値の組み合わせ毎に、前記第１のパラメータの値に応じて定められ、
前記判定手段は、前記第２のパラメータの値の組み合わせと前記第１のパラメータの値とによって定まる前記第１の許容範囲に、前記第１のパラメータの変化が含まれるか否かを判定する
付記４に記載の監視装置。

（付記６）
前記許容範囲は、前記第１の許容範囲と、前記第２のパラメータの前記許容範囲である第２の許容範囲として定められ、
前記第２の許容範囲は、前記第１のパラメータの値の範囲に定められた領域毎に定められ、
前記第１のパラメータの値の範囲は、前記第２のパラメータの値の組み合わせに毎に定められ、
前記判定手段は、前記第２のパラメータの値の組み合わせによって定まる前記第１の許容範囲に前記第１のパラメータの変化が含まれ、かつ、前記第１のパラメータの値が含まれる前記範囲によって定まる前記第２の許容範囲に前記第２のパラメータの変化が含まれるか否かを判定する
付記５に記載の監視装置。

（付記７）
前記第１の許容範囲は、前記パラメータのうち第２のパラメータの値の範囲に定められた領域毎に定められ、
前記第２のパラメータの値の範囲は、前記第１のパラメータの値の組み合わせ毎に定められ、
前記判定手段は、前記第１のパラメータの値の組み合わせと前記第２のパラメータの値が含まれる前記範囲とによって定まる前記第１の許容範囲に、前記第１のパラメータの変化が含まれるか否かを判定する
付記４に記載の監視装置。

（付記８）
前記変化に基づいて、前記変化の前の前記装置の状態に応じた前記変化の分布を生成する生成手段と、
生成された前記分布に基づいて、前記許容範囲を決定する決定手段と、
を備える付記１乃至７のいずれか１項に記載の監視装置。

（付記９）
前記装置は車両であり、
前記データフレームは、車両に搭載され前記車両の状態の情報を出力する情報処理装置によって出力され、前記車両の情報を示す
付記１乃至８のいずれか１項に記載の監視装置。

（付記１０）
受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出する算出手段と、
前記変化に基づいて、前記変化の前の前記装置の状態に応じた前記変化の分布を生成する生成手段と、
生成された前記分布に基づいて、前記変化の許容範囲を決定する決定手段と、
を備える学習装置。

（付記１１）
前記決定手段は、前記パラメータのうちの第１のパラメータの前記許容範囲である第１の許容範囲を決定する、
付記１０に記載の学習装置。

（付記１２）
前記決定手段は、前記パラメータのうちの第２のパラメータの値の組み合わせ毎に、前記第１のパラメータの値の前記変化の、前記第１のパラメータの値に応じた前記第１の許容範囲を決定する、
付記１１に記載の学習装置。

（付記１３）
前記決定手段は、さらに、前記パラメータのうちの第２のパラメータの値の組み合わせ毎に、前記第１のパラメータの値の範囲を決定し、決定された当該範囲において、複数の領域と、前記第１のパラメータの値が当該複数の領域の各々に含まれる場合の、前記第２のパラメータの値の前記変化の前記許容範囲である第２の許容範囲と、を決定する、
付記１２に記載の学習装置。

（付記１４）
前記決定手段は、前記第１のパラメータの値の組み合わせ毎に、前記パラメータのうちの第２のパラメータの値の範囲を決定し、決定された当該範囲において、複数の領域と、前記第２のパラメータの値が当該複数の領域の各々に含まれる場合の、前記第１の許容範囲とを決定する
付記１１に記載の学習装置。

（付記１５）
前記装置は車両であり、
前記データフレームは、車両に搭載され前記車両の状態の情報を出力する情報処理装置によって出力され、前記車両の情報を示す
付記１０乃至１４のいずれか１項に記載の学習装置。

（付記１６）
受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出し、
前記変化の前の前記装置の状態に応じて定まる許容範囲に、前記変化が含まれるか否かを判定する、
監視方法。

（付記１７）
前記許容範囲は、前記パラメータの組み合わせによって表される特徴空間において定められ、
前記データフレームが値を含む前記パラメータを含む前記組み合わせによって表される前記特徴空間において定まる前記許容範囲に、算出された前記変化が含まれるか否かを判定する
付記１６に記載の監視方法。

（付記１８）
前記データフレームが値を含む前記パラメータの少なくともいずれかをそれぞれ含む複数の前記組み合わせによってそれぞれ表される前記特徴空間において定まる、前記許容範囲の各々において、当該組み合わせが含む前記パラメータの値の変化によって表される前記装置の状態の、前記変化が含まれるか否かを判定する
付記１７に記載の監視方法。

（付記１９）
前記許容範囲は、前記パラメータのうちの第１のパラメータの前記許容範囲である第１の許容範囲として定められ、
前記第１のパラメータの値の変化によって表される前記装置の状態の変化が、前記パラメータの値に応じて定まる前記第１の許容範囲に含まれるか否かを判定する
付記１６乃至１８のいずれか１項に記載の監視方法。

（付記２０）
前記第１の許容範囲は、前記パラメータのうちの第２のパラメータの値の組み合わせ毎に、前記第１のパラメータの値に応じて定められ、
前記第２のパラメータの値の組み合わせと前記第１のパラメータの値とによって定まる前記第１の許容範囲に、前記第１のパラメータの変化が含まれるか否かを判定する
付記１９に記載の監視方法。

（付記２１）
前記許容範囲は、前記第１の許容範囲と、前記第２のパラメータの前記許容範囲である第２の許容範囲として定められ、
前記第２の許容範囲は、前記第１のパラメータの値の範囲に定められた領域毎に定められ、
前記第１のパラメータの値の範囲は、前記第２のパラメータの値の組み合わせに毎に定められ、
前記第２のパラメータの値の組み合わせによって定まる前記第１の許容範囲に前記第１のパラメータの変化が含まれ、かつ、前記第１のパラメータの値が含まれる前記範囲によって定まる前記第２の許容範囲に前記第２のパラメータの変化が含まれるか否かを判定する
付記２０に記載の監視方法。

（付記２２）
前記第１の許容範囲は、前記パラメータのうち第２のパラメータの値の範囲に定められた領域毎に定められ、
前記第２のパラメータの値の範囲は、前記第１のパラメータの値の組み合わせ毎に定められ、
前記第１のパラメータの値の組み合わせと前記第２のパラメータの値が含まれる前記範囲とによって定まる前記第１の許容範囲に、前記第１のパラメータの変化が含まれるか否かを判定する
付記１９に記載の監視方法。

（付記２３）
前記変化に基づいて、前記変化の前の前記装置の状態に応じた前記変化の分布を生成し、
生成された前記分布に基づいて、前記許容範囲を決定する、
付記１６乃至２２のいずれか１項に記載の監視方法。

（付記２４）
前記装置は車両であり、
前記データフレームは、車両に搭載され前記車両の状態の情報を出力する情報処理装置によって出力され、前記車両の情報を示す
付記１６乃至２３のいずれか１項に記載の監視方法。

（付記２５）
受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出し、
前記変化に基づいて、前記変化の前の前記装置の状態に応じた前記変化の分布を生成し、
生成された前記分布に基づいて、前記変化の許容範囲を決定する、
学習方法。

（付記２６）
前記パラメータのうちの第１のパラメータの前記許容範囲である第１の許容範囲を決定する、
付記２５に記載の学習方法。

（付記２７）
前記パラメータのうちの第２のパラメータの値の組み合わせ毎に、前記第１のパラメータの値の前記変化の、前記第１のパラメータの値に応じた前記第１の許容範囲を決定する、
付記２６に記載の学習方法。

（付記２８）
さらに、前記パラメータのうちの第２のパラメータの値の組み合わせ毎に、前記第１のパラメータの値の範囲を決定し、決定された当該範囲において、複数の領域と、前記第１のパラメータの値が当該複数の領域の各々に含まれる場合の、前記第２のパラメータの値の前記変化の前記許容範囲である第２の許容範囲と、を決定する、
付記２７に記載の学習方法。

（付記２９）
前記第１のパラメータの値の組み合わせ毎に、前記パラメータのうちの第２のパラメータの値の範囲を決定し、決定された当該範囲において、複数の領域と、前記第２のパラメータの値が当該複数の領域の各々に含まれる場合の、前記第１の許容範囲とを決定する
付記２６に記載の学習方法。

（付記３０）
前記装置は車両であり、
前記データフレームは、車両に搭載され前記車両の状態の情報を出力する情報処理装置によって出力され、前記車両の情報を示す
付記２５乃至２９のいずれか１項に記載の学習方法。

（付記３１）
受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出する算出処理と、
前記変化の前の前記装置の状態に応じて定まる許容範囲に、前記変化が含まれるか否かを判定する判定処理と、
をコンピュータに実行させるプログラムを記憶する記憶媒体。

（付記３２）
前記許容範囲は、前記パラメータの組み合わせによって表される特徴空間において定められ、
前記判定処理は、前記データフレームが値を含む前記パラメータを含む前記組み合わせによって表される前記特徴空間において定まる前記許容範囲に、算出された前記変化が含まれるか否かを判定する
付記３１に記載の記憶媒体。

（付記３３）
前記判定処理は、前記データフレームが値を含む前記パラメータの少なくともいずれかをそれぞれ含む複数の前記組み合わせによってそれぞれ表される前記特徴空間において定まる、前記許容範囲の各々において、当該組み合わせが含む前記パラメータの値の変化によって表される前記装置の状態の、前記変化が含まれるか否かを判定する
付記３２に記載の記憶媒体。

（付記３４）
前記許容範囲は、前記パラメータのうちの第１のパラメータの前記許容範囲である第１の許容範囲として定められ、
前記判定処理は、前記第１のパラメータの値の変化によって表される前記装置の状態の変化が、前記パラメータの値に応じて定まる前記第１の許容範囲に含まれるか否かを判定する
付記３１乃至３３のいずれか１項に記載の記憶媒体。

（付記３５）
前記第１の許容範囲は、前記パラメータのうちの第２のパラメータの値の組み合わせ毎に、前記第１のパラメータの値に応じて定められ、
前記判定処理は、前記第２のパラメータの値の組み合わせと前記第１のパラメータの値とによって定まる前記第１の許容範囲に、前記第１のパラメータの変化が含まれるか否かを判定する
付記３４に記載の記憶媒体。

（付記３６）
前記許容範囲は、前記第１の許容範囲と、前記第２のパラメータの前記許容範囲である第２の許容範囲として定められ、
前記第２の許容範囲は、前記第１のパラメータの値の範囲に定められた領域毎に定められ、
前記第１のパラメータの値の範囲は、前記第２のパラメータの値の組み合わせに毎に定められ、
前記判定処理は、前記第２のパラメータの値の組み合わせによって定まる前記第１の許容範囲に前記第１のパラメータの変化が含まれ、かつ、前記第１のパラメータの値が含まれる前記範囲によって定まる前記第２の許容範囲に前記第２のパラメータの変化が含まれるか否かを判定する
付記３５に記載の記憶媒体。

（付記３７）
前記第１の許容範囲は、前記パラメータのうち第２のパラメータの値の範囲に定められた領域毎に定められ、
前記第２のパラメータの値の範囲は、前記第１のパラメータの値の組み合わせ毎に定められ、
前記判定処理は、前記第１のパラメータの値の組み合わせと前記第２のパラメータの値が含まれる前記範囲とによって定まる前記第１の許容範囲に、前記第１のパラメータの変化が含まれるか否かを判定する
付記３４に記載の記憶媒体。

（付記３８）
前記プログラムは、
前記変化に基づいて、前記変化の前の前記装置の状態に応じた前記変化の分布を生成する生成処理と、
生成された前記分布に基づいて、前記許容範囲を決定する決定処理と、
をコンピュータに実行させる付記３１乃至３７のいずれか１項に記載の記憶媒体。

（付記３９）
前記装置は車両であり、
前記データフレームは、車両に搭載され前記車両の状態の情報を出力する情報処理装置によって出力され、前記車両の情報を示す
付記３１乃至３８のいずれか１項に記載の記憶媒体。

（付記４０）
受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出する算出処理と、
前記変化に基づいて、前記変化の前の前記装置の状態に応じた前記変化の分布を生成する生成処理と、
生成された前記分布に基づいて、前記変化の許容範囲を決定する決定処理と、
をコンピュータに実行させるプログラムを記憶する記憶媒体。

（付記４１）
前記決定処理は、前記パラメータのうちの第１のパラメータの前記許容範囲である第１の許容範囲を決定する、
付記４０に記載の記憶媒体。

（付記４２）
前記決定処理は、前記パラメータのうちの第２のパラメータの値の組み合わせ毎に、前記第１のパラメータの値の前記変化の、前記第１のパラメータの値に応じた前記第１の許容範囲を決定する、
付記４１に記載の記憶媒体。

（付記４３）
前記決定処理は、さらに、前記パラメータのうちの第２のパラメータの値の組み合わせ毎に、前記第１のパラメータの値の範囲を決定し、決定された当該範囲において、複数の領域と、前記第１のパラメータの値が当該複数の領域の各々に含まれる場合の、前記第２のパラメータの値の前記変化の前記許容範囲である第２の許容範囲と、を決定する、
付記４２に記載の記憶媒体。

（付記４４）
前記決定処理は、前記第１のパラメータの値の組み合わせ毎に、前記パラメータのうちの第２のパラメータの値の範囲を決定し、決定された当該範囲において、複数の領域と、前記第２のパラメータの値が当該複数の領域の各々に含まれる場合の、前記第１の許容範囲とを決定する
付記４１に記載の記憶媒体。

（付記４５）
前記装置は車両であり、
前記データフレームは、車両に搭載され前記車両の状態の情報を出力する情報処理装置によって出力され、前記車両の情報を示す
付記４０乃至４４のいずれか１項に記載の記憶媒体。

以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

この出願は、２０１８年５月８日に出願された国際出願ＰＣＴ／ＪＰ２０１８／０１７７３５を基礎とする優先権を主張し、その開示の全てをここに取り込む。

１ 車載ネットワーク
１１ 監視システム
１２ 監視システム
１００ 監視装置
１０１ 監視装置
１０２ 監視装置
１０３ 監視装置
１１０ 取得部
１２０ 算出部
１３０ 生成部
１４０ 分布記憶部
１５０ 決定部
１６０ ルール記憶部
１７０ 判定部
１８０ 出力部
１９０ ルール取得部
２０１ 学習装置
２０２ 学習装置
２０３ 学習装置
２８０ ルール出力部
３０２ ルール記憶装置
５００ ＥＣＵ
５０１ 不正ＥＣＵ
６００ バス
７００ コールセンター端末
１０００ コンピュータ
１００１ プロセッサ
１００２ メモリ
１００３ 記憶装置
１００４ Ｉ／Ｏインタフェース
１００５ 記憶媒体

Claims (9)

1. 受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出する算出手段と、
   前記変化の前の前記装置の状態に応じて定まる許容範囲に、前記変化が含まれるか否かを判定する判定手段と、
   を備え、
   前記パラメータは、連続的な前記パラメータと、離散的な前記パラメータとを含み、
   前記許容範囲は、離散的な前記パラメータの前記許容範囲と、連続的な前記パラメータの前記許容範囲とを含み、
   連続的な前記パラメータの前記許容範囲は、離散的な前記パラメータによって定まり、
   前記算出手段は、前記装置の状態の前記変化として、離散的な前記パラメータの値に基づく前記変化と、連続的な前記パラメータの値に基づく前記変化とを算出し、
   前記判定手段は、
   連続的な前記パラメータの値の前記変化が連続的な前記パラメータの前記許容範囲に含まれるか否かを判定し、
   連続的な前記パラメータの値の前記変化が連続的な前記パラメータの前記許容範囲に含まれる場合に、離散的な前記パラメータの値の前記変化が離散的な前記パラメータの前記許容範囲に含まれるか否かを判定し、さらに、
   離散的な前記パラメータの値の前記変化が離散的な前記パラメータの前記許容範囲に含まれる場合に受信した前記データフレームが不正な前記データフレームでないと判定する
   監視装置。
2. 前記許容範囲は、前記パラメータの組み合わせによって表される特徴空間において定められ、
   前記判定手段は、前記データフレームが値を含む前記パラメータを含む前記組み合わせによって表される前記特徴空間において定まる前記許容範囲に、算出された前記変化が含まれるか否かを判定する
   請求項１に記載の監視装置。
3. 前記判定手段は、前記データフレームが値を含む前記パラメータの少なくともいずれかをそれぞれ含む複数の前記組み合わせによってそれぞれ表される前記特徴空間において定まる、前記許容範囲の各々において、当該組み合わせが含む前記パラメータの値の変化によって表される前記装置の状態の、前記変化が含まれるか否かを判定する
   請求項２に記載の監視装置。
4. 前記許容範囲は、前記パラメータのうちの第１のパラメータの前記許容範囲である第１の許容範囲として定められ、
   前記判定手段は、前記第１のパラメータの値の変化によって表される前記装置の状態の変化が、前記パラメータの値に応じて定まる前記第１の許容範囲に含まれるか否かを判定する
   請求項１乃至３のいずれか１項に記載の監視装置。
5. 受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出する算出手段と、
   前記変化に基づいて、前記変化の前の前記装置の状態に応じた前記変化の分布を生成する生成手段と、
   生成された前記分布に基づいて、前記変化の許容範囲を決定する決定手段と、
   前記パラメータは、連続的な前記パラメータと、離散的な前記パラメータとを含み、
   前記許容範囲は、離散的な前記パラメータの前記許容範囲と、連続的な前記パラメータの前記許容範囲とを含み、
   連続的な前記パラメータの前記許容範囲は、離散的な前記パラメータによって定まり、
   前記算出手段は、前記装置の状態の前記変化として、離散的な前記パラメータの値に基づく前記変化と、連続的な前記パラメータの値に基づく前記変化とを算出し、
   前記生成手段は、離散的な前記パラメータの値の前記変化に基づいて離散的な前記パラメータの値の前記変化の前記分布を生成し、連続的な前記パラメータの値の前記変化に基づいて連続的な前記パラメータの前記変化の前記分布を生成し、
   前記決定手段は、離散的な前記パラメータの値の前記変化の前記分布と、連続的な前記パラメータの値の前記変化の前記分布とに基づいて、連続的な前記パラメータの前記許容範囲と、離散的な前記パラメータの前記許容範囲とを決定する
   学習装置。
6. 受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出し、
   前記変化の前の前記装置の状態に応じて定まる許容範囲に、前記変化が含まれるか否かを判定する監視方法であって、
   前記パラメータは、連続的な前記パラメータと、離散的な前記パラメータとを含み、
   前記許容範囲は、離散的な前記パラメータの前記許容範囲と、離散的な前記パラメータによって定まる連続的な前記パラメータの前記許容範囲とを含み、
   連続的な前記パラメータの前記許容範囲は、離散的な前記パラメータによって定まり、
   前記装置の状態の前記変化として、離散的な前記パラメータの値に基づく前記変化と、連続的な前記パラメータの値に基づく前記変化とを算出し、
   連続的な前記パラメータの値の前記変化が連続的な前記パラメータの前記許容範囲に含まれるか否かを判定し、
   連続的な前記パラメータの値の前記変化が連続的な前記パラメータの前記許容範囲に含まれる場合に、離散的な前記パラメータの値の前記変化が離散的な前記パラメータの前記許容範囲に含まれるか否かを判定し、さらに、
   離散的な前記パラメータの値の前記変化が離散的な前記パラメータの前記許容範囲に含まれる場合に受信した前記データフレームが不正な前記データフレームでないと判定する
   監視方法。
7. 受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出し、
   前記変化に基づいて、前記変化の前の前記装置の状態に応じた前記変化の分布を生成し、
   生成された前記分布に基づいて、前記変化の許容範囲を決定する学習処理であって、
   前記パラメータは、連続的な前記パラメータと、離散的な前記パラメータとを含み、
   前記許容範囲は、離散的な前記パラメータの前記許容範囲と、離散的な前記パラメータによって定まる連続的な前記パラメータの前記許容範囲とを含み、
   連続的な前記パラメータの前記許容範囲は、離散的な前記パラメータによって定まり、
   前記装置の状態の前記変化として、離散的な前記パラメータの値に基づく前記変化と、連続的な前記パラメータの値に基づく前記変化とを算出し、
   離散的な前記パラメータの値の前記変化に基づいて離散的な前記パラメータの値の前記変化の前記分布を生成し、連続的な前記パラメータの値の前記変化に基づいて連続的な前記パラメータの前記変化の前記分布を生成し、
   離散的な前記パラメータの値の前記変化の前記分布と、連続的な前記パラメータの値の前記変化の前記分布とに基づいて、連続的な前記パラメータの前記許容範囲と、離散的な前記パラメータの前記許容範囲とを決定する
   学習方法。
8. 受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出する算出処理と、
   前記変化の前の前記装置の状態に応じて定まる許容範囲に、前記変化が含まれるか否かを判定する判定処理とをコンピュータの実行させるプログラムであって、
   前記パラメータは、連続的な前記パラメータと、離散的な前記パラメータとを含み、
   前記許容範囲は、離散的な前記パラメータの前記許容範囲と、離散的な前記パラメータによって定まる連続的な前記パラメータの前記許容範囲とを含み、
   連続的な前記パラメータの前記許容範囲は、離散的な前記パラメータによって定まり、
   前記算出処理は、前記装置の状態の前記変化として、離散的な前記パラメータの値に基づく前記変化と、連続的な前記パラメータの値に基づく前記変化とを算出し、
   前記判定処理は、
   連続的な前記パラメータの値の前記変化が連続的な前記パラメータの前記許容範囲に含まれるか否かを判定し、
   連続的な前記パラメータの値の前記変化が連続的な前記パラメータの前記許容範囲に含まれる場合に、離散的な前記パラメータの値の前記変化が離散的な前記パラメータの前記許容範囲に含まれるか否かを判定し、さらに、
   離散的な前記パラメータの値の前記変化が離散的な前記パラメータの前記許容範囲に含まれる場合に受信した前記データフレームが不正な前記データフレームでないと判定する
   プログラム。
9. 受信したデータフレームが含み、装置の状態を表すパラメータの値に基づいて、前記装置の状態の変化を算出する算出処理と、
   前記変化に基づいて、前記変化の前の前記装置の状態に応じた前記変化の分布を生成する生成処理と、
   生成された前記分布に基づいて、前記変化の許容範囲を決定する決定処理とをコンピュータに実行させるプログラムであって、
   前記パラメータは、連続的な前記パラメータと、離散的な前記パラメータとを含み、
   前記許容範囲は、離散的な前記パラメータの前記許容範囲と、離散的な前記パラメータによって定まる連続的な前記パラメータの前記許容範囲とを含み、
   連続的な前記パラメータの前記許容範囲は、離散的な前記パラメータによって定まり、
   前記算出処理は、前記装置の状態の前記変化として、離散的な前記パラメータの値に基づく前記変化と、連続的な前記パラメータの値に基づく前記変化とを算出し、
   前記生成処理は、離散的な前記パラメータの値の前記変化に基づいて離散的な前記パラメータの値の前記変化の前記分布を生成し、連続的な前記パラメータの値の前記変化に基づいて連続的な前記パラメータの前記変化の前記分布を生成する処理であり、
   前記決定処理は、離散的な前記パラメータの値の前記変化の前記分布と、連続的な前記パラメータの値の前記変化の前記分布とに基づいて、連続的な前記パラメータの前記許容範囲と、離散的な前記パラメータの前記許容範囲とを決定する処理である
   プログラム。

Images