WO2018105330A1 - 情報処理方法、情報処理システム、及びプログラム - Google Patents

情報処理方法、情報処理システム、及びプログラム Download PDF

Info

Publication number
WO2018105330A1
WO2018105330A1 PCT/JP2017/040866 JP2017040866W WO2018105330A1 WO 2018105330 A1 WO2018105330 A1 WO 2018105330A1 JP 2017040866 W JP2017040866 W JP 2017040866W WO 2018105330 A1 WO2018105330 A1 WO 2018105330A1
Authority
WO
WIPO (PCT)
Prior art keywords
field
payload
division pattern
value
indicating
Prior art date
Application number
PCT/JP2017/040866
Other languages
English (en)
French (fr)
Inventor
剛 岸川
前田　学
芳賀　智之
Original Assignee
パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ filed Critical パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority to CN201780003405.2A priority Critical patent/CN108401491B/zh
Priority to JP2018517654A priority patent/JP6847101B2/ja
Priority to EP17877833.8A priority patent/EP3554015B1/en
Publication of WO2018105330A1 publication Critical patent/WO2018105330A1/ja
Priority to US16/229,528 priority patent/US10999248B2/en
Priority to US17/223,772 priority patent/US11546298B2/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • G06F21/645—Protecting data integrity, e.g. using checksums, certificates or signatures using a third party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0245—Filtering by information in the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/48—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for in-vehicle communication

Definitions

  • This disclosure relates to information processing of data flowing in an in-vehicle network.
  • ECUs electronice control units
  • a network connecting these ECUs is called an in-vehicle network.
  • in-vehicle network There are a number of communication standards for in-vehicle networks.
  • One of the most mainstream in-vehicle network standards is Control Area Network (hereinafter referred to as CAN).
  • a two-line bus is used as a communication line, and an ECU connected to this bus is called a node.
  • Each node connected to the bus transmits and receives a message called a frame.
  • a node that transmits a frame (hereinafter referred to as “transmission node”) applies voltage to two buses, a value of “1” called recessive according to the presence or absence of a potential difference between the buses, and a value of “0” called dominant.
  • Transmission node applies voltage to two buses, a value of “1” called recessive according to the presence or absence of a potential difference between the buses, and a value of “0” called dominant.
  • Send binary data of a frame by sending a value.
  • the receiving node transmits a frame called an error frame when there is an abnormality in the format of the received frame.
  • An error frame is a frame that starts with, for example, a continuous 6-bit dominant, and the transmission node and other reception nodes that have received this frame detect the occurrence of an error.
  • the transmission node transmits an ID indicating the type of data for each frame, and each reception node receives only a frame including a predetermined ID.
  • the CAN employs a CSMA / CA (Carrier Sense Multiple Access With Collision Avoidance) method, and arbitration by ID is performed at the time of simultaneous transmission of a plurality of nodes, and a frame having a small ID value is preferentially transmitted.
  • CSMA / CA Carrier Sense Multiple Access With Collision Avoidance
  • Patent Document 1 an in-vehicle network monitoring device is proposed. According to Patent Document 1, it is detected whether a frame is transmitted to a network at a predetermined communication interval, and an abnormal frame that deviates from the predetermined communication interval is determined to be illegal, thereby preventing control by an illegal frame. A method is disclosed. However, in order to detect an illegal frame with higher accuracy, it is necessary to verify the contents of the payload included in the frame.
  • the specifications of the frames transmitted and received in the in-vehicle network are not standardized and designed independently by the car maker, so the third party cannot know the meaningful division of multiple units in the payload. If the type of data included in the payload is unknown, it is difficult to verify the payload and detect an illegal frame.
  • the specifications of the frame can be changed depending on the vehicle type or model year even if it is a car of the same car manufacturer, a system for verifying the frame for designing a monitoring device should be constructed for each car. Requires a lot of effort.
  • Non-Patent Document 1 a payload included in a frame collected only from observation data is divided into meaningful units, and a whitelist is created for each portion of the payload obtained by the division. A method is disclosed.
  • An information processing method is an information processing method for processing a data frame flowing in an in-vehicle network including one or more electronic control units, which is performed by an information processing system including a storage unit.
  • Receives a plurality of data frames acquires a payload comprised of at least one field from each of the plurality of data frames, and records it as a record in a reception log held in the storage unit
  • a plurality of payload division pattern candidates indicating different areas in the payloads of a plurality of data frames
  • a plurality of one or more related to time-series changes in payload values in the areas Calculate the feature value and based on the calculated feature value
  • a payload division pattern indicating a field area in the payload is selected from a plurality of payload division pattern candidates, and a field extraction result indicating a field indicated by the selected payload division pattern and a category of the field based on a feature amount is obtained.
  • a field extraction step to output.
  • the information processing method of the present disclosure can provide a safe in-vehicle network system that detects an attack with high accuracy in a cost-effective manner.
  • FIG. 1 is a block diagram showing the overall configuration of an in-vehicle network according to an embodiment.
  • FIG. 2 is a diagram showing a data frame format of the CAN protocol.
  • FIG. 3 is a diagram showing an error frame format of the CAN protocol.
  • FIG. 4 is a block diagram showing a functional configuration of the monitoring ECU 100 in the embodiment.
  • FIG. 5 is a diagram illustrating an example of operation modes held by the mode holding unit according to the embodiment.
  • FIG. 6 is a diagram illustrating an example of a reception log held by the reception log holding unit according to the embodiment.
  • FIG. 7 is a diagram illustrating an example of a normal model held by the normal model holding unit according to the embodiment.
  • FIG. 8 is a flowchart of the operation of the monitoring ECU in the embodiment.
  • FIG. 1 is a block diagram showing the overall configuration of an in-vehicle network according to an embodiment.
  • FIG. 2 is a diagram showing a data frame format of the CAN protocol.
  • FIG. 9 is a block diagram illustrating a functional configuration of the ECU according to the embodiment.
  • FIG. 10 is a diagram illustrating an example of a part of a data frame transmitted by the ECU.
  • FIG. 11 is a flowchart of processing of the payload dividing unit in the embodiment.
  • FIG. 12 is a diagram illustrating an example used for describing extraction of feature amounts from candidate division patterns of the payload division unit according to the embodiment.
  • FIG. 13 is a flowchart of an example of fixed value field extraction processing according to the embodiment.
  • FIG. 14 is a diagram illustrating an example for explaining extraction processing of a fixed value field in the embodiment.
  • FIG. 15 is a flowchart of an example of counter field extraction processing according to the embodiment.
  • FIG. 10 is a diagram illustrating an example of a part of a data frame transmitted by the ECU.
  • FIG. 11 is a flowchart of processing of the payload dividing unit in the embodiment.
  • FIG. 12 is a diagram illustrating an example used for
  • FIG. 16 is a flowchart of an example of continuous value field extraction processing according to the embodiment.
  • FIG. 17 is a flowchart of an example of continuous value field extraction processing according to the embodiment.
  • FIG. 18A is a diagram illustrating an example of calculating an average of variances of change amounts of values of division pattern candidates having a common bit length in the extraction process example of the continuous value field in the embodiment.
  • FIG. 18B is a diagram illustrating an average outlier score and a calculation example of the average of the division pattern candidates having the same start bit position in the continuous value field extraction processing example according to the embodiment.
  • FIG. 19 is a diagram illustrating the frequency of occurrence of a value change in each divided field candidate, which is used in a continuous value field extraction process according to the embodiment.
  • FIG. 18A is a diagram illustrating an example of calculating an average of variances of change amounts of values of division pattern candidates having a common bit length in the extraction process example of the continuous value field in the embodiment.
  • FIG. 18B is a diagram illustrating
  • FIG. 20 is a flowchart of an example of checksum field extraction processing in the embodiment.
  • FIG. 21 is a flowchart of an example of status field extraction processing in the embodiment.
  • FIG. 22 is a flowchart of an example of normal model generation processing in the embodiment.
  • FIG. 23 is a flowchart of an example of processing for acquiring behavior information included in the normal model generation processing shown in FIG.
  • FIG. 24 is a diagram for explaining a part of the operation of the feature extraction unit that executes the process of acquiring the behavior information shown in FIG.
  • FIG. 25 is a flowchart illustrating an example of processing of the abnormality detection unit in the embodiment.
  • FIG. 26 is a flowchart illustrating an example of processing of the abnormality detection unit in the embodiment.
  • FIG. 27 is a diagram illustrating an operation example 1 of the abnormality detection unit in the embodiment.
  • FIG. 28 is a diagram illustrating an operation example 2 of the abnormality detection unit in the embodiment.
  • FIG. 29 is a diagram illustrating an operation example 3 of the abnormality detection unit in the embodiment.
  • Non-Patent Document 1 As a method of dividing the payload, classification of the payload type and identification of the length using only the number of unique values calculated from the collected frames and observed in each division candidate Since the division is performed, the division accuracy of the payload is low.
  • This disclosure provides an information processing method and the like for realizing accurate abnormality detection in an in-vehicle network cost-effectively.
  • An information processing method is an information processing method for processing a data frame flowing in an in-vehicle network including one or more electronic control units, which is performed by an information processing system including a storage unit.
  • Receives a plurality of data frames acquires a payload comprised of at least one field from each of the plurality of data frames, and records it as a record in a reception log held in the storage unit
  • a plurality of payload division pattern candidates indicating different areas in the payloads of a plurality of data frames
  • a plurality of one or more related to time-series changes in payload values in the areas Calculate the feature value and based on the calculated feature value
  • a payload division pattern indicating a field area in the payload is selected from a plurality of payload division pattern candidates, and a field extraction result indicating a field indicated by the selected payload division pattern and a category of the field based on a feature amount is obtained.
  • a field extraction step to output.
  • this information processing system it is possible to construct an anomaly detection system without requiring individual prior design for in-vehicle network systems with different message specifications, and it is possible to protect the in-vehicle network with reduced costs.
  • the reception log further includes information indicating the order in which the plurality of records are received, and the feature amount includes a first feature amount that represents the number of time-series change patterns, and a first feature amount that represents the occurrence frequency of the time-series change. 2 feature amounts and at least one of the third feature amount representing statistical information regarding the change amount of the time-series change.
  • the field extraction step has one or more time-series changes in the payload value based on the feature amount, and the amount of each change included in the time-series change is equal to or less than a predetermined magnitude.
  • a payload division pattern candidate indicating an area may be selected as a payload division pattern indicating an area of a field of the first category.
  • a field whose value changes according to a predetermined rule can be specified and extracted. For example, by setting the field thus identified as a field to be monitored that is likely to be a target of an attack, the field can be used for detecting an abnormality in the in-vehicle network.
  • the feature amount includes the second feature amount and the third feature amount
  • the information processing system uses the second feature amount and the third feature amount from the plurality of payload division pattern candidates in the field extraction step.
  • the information processing system calculates an outlier score indicating the outlier of the third feature amount in the payload division pattern candidates indicating the same data length area.
  • a payload division pattern indicating a field region corresponding to the continuous value category may be selected based on the magnitude relationship of the second feature amounts of the payload division pattern candidates included in the payload division pattern candidate.
  • the field indicating the physical quantity measured and output by the sensor can be specified.
  • the field thus identified can be used for abnormality detection of the in-vehicle network as a determination target of abnormality of the value of the field or the change rate of the value.
  • the field extraction step is an area where the payload value changes every time based on the feature amount from a plurality of payload division pattern candidates, and the amount of change of the payload value each time is constant.
  • the payload division pattern indicating the first category field may be selected by selecting the payload division pattern indicating the area as the payload division pattern indicating the counter category field area.
  • the field thus identified can be used for abnormality detection of the in-vehicle network as an abnormality determination target based on a rule violation of the change in the value of the field.
  • the field extraction step determines a payload division pattern candidate indicating a region where the payload value has a time series change of one or more times and the payload value takes a discrete value based on the feature amount.
  • the second category is at least one of a checksum category for checking the consistency of the value of the payload in the field and a status category in which the value of the payload in the field indicates a predetermined state of the vehicle including the in-vehicle network. There may be.
  • the field thus identified can be used for abnormality detection of the in-vehicle network as an abnormality determination target based on consistency of the value of the field with other fields, change occurrence frequency, or the like.
  • the information processing system sequentially executes a fixed value field extraction step, a counter field extraction step, a continuous value field extraction step, and a second category field extraction step.
  • a payload division pattern candidate having a first feature value of 1 is selected as a payload division pattern indicating a field area of a fixed value category from a plurality of payload division pattern candidates, and the selected payload division is selected from the plurality of payload division pattern candidates The remainder excluding the payload division pattern candidate that at least partially overlaps the pattern is set as the first payload division pattern candidate.
  • the counter category A payload division pattern indicating a field area is selected, and the remainder obtained by excluding the payload division pattern candidate that at least partially overlaps the selected payload division pattern from the first payload division pattern candidate is set as the second payload division pattern candidate,
  • the field of the continuous value category is selected from the second payload division pattern candidates using the second feature amount and the third feature amount from the second payload division pattern candidate.
  • the payload division pattern indicating the area of the second payload division pattern is selected, and the remainder obtained by removing the payload division pattern candidate that at least partially overlaps the selected payload division pattern from the second payload division pattern candidate is set as the third payload division pattern candidate, In the two-category field extraction step, Payload division pattern candidates, and it may be selected as a second category field.
  • the value of the field A feature extraction step of generating a normal model indicating a normal range of change and further outputting the generated normal model may be included.
  • This provides a standard for determining the abnormality of various fields of values in addition to the specified field range of each category, and enables the in-vehicle network abnormality detection to be executed.
  • Each of the plurality of data frames includes a data type ID indicating the type of the data frame.
  • the information processing system records the payload and the data type ID as one record in the reception log, and extracts the field.
  • the step may be executed for data frames having a common data type ID.
  • constituent elements that are not described in the independent claim indicating the highest concept are described as constituent elements that are arbitrarily included.
  • An information processing system described as an embodiment relates to a value included in a normal data frame for each field obtained by receiving a data frame flowing through an in-vehicle network, dividing the payload of the data frame into fields, and dividing the payload into fields. Build a behavior model. The information processing system also monitors the in-vehicle network based on the behavior model and detects an abnormal data frame. Such an information processing system will be described with reference to the drawings.
  • FIG. 1 is a block diagram showing an overall configuration of an in-vehicle network 10 in the present embodiment.
  • the in-vehicle network 10 includes a monitoring ECU 100, an ECU 200, and a bus 300.
  • the monitoring ECU 100 is connected to the bus 300, monitors data frames flowing through the bus 300, and monitors whether an illegal data frame including an abnormality is flowing.
  • a monitoring ECU 100 including a microcontroller (not shown) including a communication circuit, a processor, and a memory is an example of an information processing system in the present embodiment.
  • the ECU 200a is connected to the speed sensor 210 and the gear 220, and the ECU 200b is connected to the meter 230.
  • the ECU 200a periodically transmits to the bus 300 the vehicle speed obtained from the speed sensor 210 and the position of the gear 220 in a data frame.
  • the ECU 200b that has received this data frame acquires the speed of the vehicle and the position of the gear 220 notified from the ECU 200a and displays them on the meter 230.
  • FIG. 2 is a diagram illustrating a format of a data frame of the CAN protocol. Here, a data frame in a standard ID format in the CAN protocol is shown.
  • the data frame consists of a Start Of Frame (hereinafter referred to as SOF), an ID field, a Remote Transmission Request (hereinafter referred to as RTR), an IDentifier Extension (hereinafter referred to as IDE), a reserved bit (hereinafter referred to as r), a data length code (hereinafter referred to as “R”).
  • DLC Data field
  • CRC Cyclic Redundancy Check
  • CRC delimiter Acknowledgement slot
  • ACK delimiter Acknowledgement slot
  • DEL end of It consists of 12 parts of a frame (hereinafter referred to as EOF).
  • SOF is a 1-bit dominant.
  • the bus 300 is idle, and the transmitting node notifies the start of frame transmission by changing the bus 300 from recessive to dominant.
  • the data frame type here refers to, for example, the content of data or the transmission node that is the transmission source of the data frame.
  • the ID is also used for communication arbitration between data frames in which a plurality of nodes start transmission simultaneously on the same network. More specifically, a data frame having a smaller ID has a higher priority.
  • the ID is an example of a data type ID in the present embodiment.
  • RTR is a 1-bit dominant and indicates a data frame.
  • IDE and r are 1-bit dominants, respectively.
  • DLC is a 4-bit value indicating the length of the following data field.
  • the data field is a portion of data to be transmitted having a maximum length of 64 bits, and corresponds to the payload of the data frame.
  • the length can be adjusted in units of 8 bits.
  • the specifications regarding the assignment of the transmitted data to this part depend on the vehicle type and the manufacturer.
  • the CRC sequence is 15 bits long and indicates a value calculated from the transmission values of the SOF, ID field, control field, and data field.
  • the receiving node compares the result calculated from the received values of the SOF, ID field, control field, and data field with the CRC sequence value to determine whether there is an abnormality.
  • the CRC delimiter is a 1-bit recessive delimiter that indicates the end of the CRC sequence.
  • ACK slot is 1 bit long, and the transmitting node transmits recessive in this part.
  • the receiving node transmits a dominant in this portion if it can receive normally up to the CRC sequence.
  • dominant is given priority between dominant and recessive transmitted simultaneously as described above. Therefore, in the in-vehicle network 10 in which communication is normally performed, the bus 300 is in a dominant state during transmission of an ACK slot. is there.
  • ACK delimiter is 1-bit recessive and is a delimiter indicating the end of ACK slot.
  • EOF is 7-bit recessive and indicates the end of the data frame.
  • FIG. 3 is a diagram showing a format of an error frame of the CAN protocol.
  • the error frame is composed of three parts: an error flag (primary), an error flag (secondary), and an error delimiter (DEL in the figure).
  • the error flag (primary) is used to notify other nodes of the occurrence of an error. It is a continuous 6-bit dominant, and violates the bit stuffing rule in the CAN protocol of transmitting 1 bit of a different value next to 5 bits of the same continuous value. The occurrence of this bit stuffing rule violation causes transmission of an error flag (secondary) from another node.
  • the error flag (secondary) is a 6-bit dominant transmitted to notify other nodes of the occurrence of an error. All nodes receiving the error flag (primary) transmit.
  • the error delimiter is an 8-bit recessive and indicates the end of the error frame.
  • FIG. 4 is a block diagram illustrating a functional configuration of the monitoring ECU 100.
  • the monitoring ECU 100 includes a frame transmission / reception unit 110, a frame collection unit 120, an operation determination unit 130, a payload division unit 140, a feature extraction unit 150, an abnormality detection unit 160, a frame generation unit 170, and a mode holding unit 180.
  • the frame transmission / reception unit 110 transmits / receives a data frame to / from the bus 300 according to the CAN protocol. That is, the frame transmitting / receiving unit 110 receives a data frame from the bus 300 bit by bit.
  • the ID, DLC, and data field included in the data frame are transferred to the frame collection unit 120 and the operation determination unit 130. If it is determined that the received data frame does not conform to the CAN protocol, the frame transmission / reception unit 110 transmits an error frame.
  • the frame transmission / reception unit 110 when the frame transmission / reception unit 110 receives an error frame from another node, that is, when the frame transmission / reception unit 110 determines that the frame is an error frame from the value of the received frame, the frame transmission / reception unit 110 discards the data frame being received.
  • the frame transmission / reception unit 110 transmits the data frame bit by bit to the bus 300.
  • the frame collection unit 120 receives the above-mentioned part of the data frame from the frame transmission / reception unit 110, and obtains the time when the data frame was received (hereinafter referred to as reception time), and the ID and data field included in the data frame. Then, it is recorded as one record in the reception log held in the reception log holding unit 190.
  • the reception time is recorded with reference to, for example, a timer that measures an operating time that has elapsed since the monitoring ECU 100 was activated. Such a timer is included in a microcontroller provided in the monitoring ECU 100, for example.
  • the operation determination unit 130 refers to the value indicating the operation mode stored in the mode holding unit 180 when receiving the data frame, and determines the sequential operation of the monitoring ECU 100 according to the operation mode.
  • the operation determination unit 130 confirms whether the monitoring ECU 100 has operated for a total of one hour or more. If it is not operating for more than 1 hour, no operation is performed.
  • the operation determining unit 130 makes a predetermined operation request to the payload dividing unit 140, and then switches the operation mode to the monitoring mode.
  • an abnormality detection request is made to the abnormality detection unit 160.
  • the payload dividing unit 140 refers to the reception log stored in the reception log holding unit 190, divides the payload of the record including the common ID, that is, the data field, and has a bit string (hereinafter referred to as a field) having a specific meaning. ) Is extracted.
  • the field included in the data field is classified into one of a fixed value, a counter, a continuous value, a checksum, and a status according to the information indicated. For example, an area occupied by a value indicating the speed of an automobile measured by the speed sensor 210 corresponds to one field, and the field is classified as a continuous value. Details of the division method will be described in 1.11 to 1.16 described later.
  • the payload dividing unit 140 notifies the feature extracting unit 150 of information related to the field obtained by dividing the payload of the record including the common ID. Examples of this information include field categories, field regions, and field values.
  • the feature extraction unit 150 generates a normal model from the information about the field obtained by payload division notified from the payload division unit 140 and the reception log, and stores the normal model in the normal model holding unit 191.
  • Such a normal model is generated for each ID of the data frame, and includes the average and variance of the reception intervals, which are information about the reception intervals of the data frames, and the field area, category, and behavior information, which is information about the data fields. .
  • the behavior information is generated for each field from the payload value included in the reception log stored in the reception log holding unit 190.
  • the behavior information of the field belonging to the fixed value category includes a fixed value observed in the reception log. This value is used as a white list value in the monitoring mode. There is no behavior information for fields belonging to the counter category.
  • the difference between the values in the corresponding field between consecutive data frames observed in the reception log, that is, the average and variance of the change amount are included.
  • the ratio of the change in the field value from the previous data frame in time series to the total number of received data frames with a certain ID included in the reception log that is, the change Includes frequency of occurrence.
  • the status refers to any state on the vehicle, such as ON / OFF of a specific device such as a headlamp, a gear position, an operation mode, and the like.
  • the abnormality detection unit 160 When the abnormality detection unit 160 receives an abnormality detection request from the operation determination unit 130, the abnormality detection unit 160 performs processing for detecting reception of an illegal data frame (hereinafter referred to as abnormality detection processing). More specifically, the anomaly detection unit 160 refers to the reception log stored in the reception log holding unit 190 and uses the normal model and the reception log stored in the normal model holding unit 191 to obtain illegal data. It is determined whether or not a frame has been received.
  • the anomaly detection unit 160 for a field belonging to a fixed value category in a normal model of a data frame with a certain ID, uses the value of the field in the data field of the record containing this ID in the reception log and the normal model. Compare the value shown in the field behavior information. If these values are different, the abnormality detection unit 160 determines that an illegal data frame has been received.
  • the abnormality detection unit 160 for a field belonging to a counter category in a normal model of a data frame with a certain ID, correctly sets the value of the field area in the data field of the record including this ID in the reception log in time order. It is determined whether or not it is incremented. If not incremented correctly, the abnormality detection unit 160 determines that an illegal data frame has been received.
  • the abnormality detection unit 160 for a field belonging to a continuous value category in a normal model of a data frame of a certain ID, records in the reception log immediately before the value of the field area in the data field of the record including this ID. It is determined whether or not the amount of change from the value is an outlier with respect to the average of the amounts of change included in the behavior information of this field in the normal model. If it is an outlier, the abnormality detection unit 160 determines that an illegal data frame has been received. Whether or not the value is an outlier is determined by using the variance of the change amount indicated in the behavior information of the normal model, for example, within the range of the average value change amount of the field ⁇ 3 ⁇ ( ⁇ variance). This is done based on whether it fits.
  • the abnormality detection unit 160 sets the value of the area of the field in the data field of the record including the ID in the reception log for a field belonging to the status category in the normal model of the data frame with a certain ID, such as 1 second.
  • the occurrence frequency of the change in the value of the field when compared with the time width is compared with the occurrence frequency indicated in the behavior information of the normal model. If the difference between the occurrence frequency values is greater than a predetermined threshold, the abnormality detection unit 160 determines that an illegal data frame has been received.
  • the abnormality detection unit 160 When detecting that a data frame including an abnormality has been received by such determination, the abnormality detection unit 160 generates a data frame for notifying the frame generation unit 170 that, for example, an illegal data frame is received. Request.
  • the frame generation unit 170 When the generation of the data frame is requested from the abnormality detection unit 160, the frame generation unit 170 generates a data frame for notifying that an illegal data frame is received, and notifies the frame transmission / reception unit 110 of the data frame. To do.
  • the mode holding unit 180 holds a value indicating the current operation mode of the monitoring ECU 100. As described above, the operation mode is the collection mode or the monitoring mode. FIG. 5 shows an example of operation mode values held by the mode holding unit 180. The operation mode will be described later in 1.6.
  • the reception log holding unit 190 holds data frame information (reception time, ID, data field) notified from the frame collection unit 120.
  • FIG. 6 shows an example of the reception log stored in the reception log holding unit 190. The reception log will be described later in 1.7.
  • the normal model holding unit 191 holds the normal model extracted by the feature extraction unit 150.
  • FIG. 7 shows an example of a normal model held by the normal model holding unit 191. The normal model will be explained in 1.8.
  • These functional components are processed in a microcontroller provided in the monitoring ECU 100 by processing a data frame received through a communication circuit by executing a program stored in a memory by a processor, and performing intermediate or final processing as necessary. This is realized by storing the data generated in (1) in a memory.
  • Step S1 The frame transmission / reception unit 110 of the monitoring ECU 100 receives a data frame flowing through the bus 300 of the in-vehicle network.
  • Step S2 The frame collection unit 120 of the monitoring ECU 100 records a record including the reception time, ID, and data field of the data frame received in Step S1 in the reception log held in the reception log holding unit 190.
  • Step S3 The operation determination unit 130 of the monitoring ECU 100 checks the current operation mode of the monitoring ECU 100 with reference to the mode holding unit 180. When the current operation mode is the monitoring mode (in the case of YES), the operation determination unit 130 proceeds to step S4. Otherwise, that is, when the current operation mode is the collection mode (in the case of NO), the operation determination unit 130 proceeds to step S7.
  • Step S4 The operation determination unit 130 of the monitoring ECU 100 makes an abnormality detection process request to the abnormality detection unit 160, and the abnormality detection unit 160 performs the abnormality detection process as described above.
  • Step S5 The abnormality detection unit 160 of the monitoring ECU 100 proceeds to step S6 when an abnormality is detected as a result of the abnormality detection process (in the case of YES). If not (NO), the monitoring ECU 100 returns to step S1.
  • Step S6 The abnormality detection unit 160 of the monitoring ECU 100 transmits, to the frame generation unit 170, a data frame generation request notifying other nodes that an abnormality has been detected.
  • the frame generation unit 170 generates a data frame notifying the reception of an illegal data frame, transmits this data frame to the bus 300 through the frame transmission / reception unit 110, and ends.
  • Step S7 The operation determination unit 130 of the monitoring ECU 100 determines whether the monitoring ECU 100 has been operating for one hour or longer. If the monitoring ECU 100 has been operating for one hour or more (in the case of YES), the process proceeds to step S8. If not (NO), the monitoring ECU 100 returns to step S1.
  • Step S8 The operation determination unit 130 of the monitoring ECU 100 makes a payload division processing request to the payload division unit 140.
  • the payload dividing unit 140 divides a data field that is a payload of a data frame and performs field extraction processing.
  • Step S9 The feature extraction unit 150 of the monitoring ECU 100 generates a normal model using the result of the field extraction processing by the payload division unit 140 and stores the normal model in the normal model holding unit 191.
  • Step S10 The operation determination unit 130 of the monitoring ECU 100 rewrites the value of the operation mode held by the mode holding unit 180 and switches the operation mode of the monitoring ECU 100 from the collection mode to the monitoring mode.
  • step S1 and step S2 are examples of the frame collection step in the present embodiment
  • step S8 is an example of the field extraction step in the present embodiment.
  • step S6 the flowchart shows a flow in which the operation of the monitoring ECU 100 ends at the end of the process of step S6 or step S10, but actually, the operation may be repeated repeatedly by returning to step S1.
  • the current operation mode of the monitoring ECU 100 is the collection mode.
  • the data field of the data frame received by the monitoring ECU 100 is stored in the reception log holding unit 190 by the frame collection unit 120.
  • FIG. 6 shows an example of the reception log held by the reception log holding unit 190.
  • This reception log is the state after receiving a plurality of data frames with ID 0x100.
  • Each row of data is one record, arranged in order of time from top to bottom.
  • the length of the data field in this example is 5 bits
  • the reception time of the data frame received earliest in the reception log is 51 ms
  • the value of the data field is 0x00 0x00 0x00 0x10 0x10.
  • the latest reception time of the data frame is 500450 ms
  • the value of the data field is 0x26 0x15 0x4B 0x30 0xB6.
  • FIG. 7 shows an example of a normal model held by the normal model holding unit 191.
  • the normal model shown in this example is a normal model related to a data frame whose ID is 0x100.
  • This normal model includes 50 ms which is the average of the reception intervals and 3 ms which is the variance of the reception intervals as information regarding the reception intervals of the data frame whose ID is 0x100.
  • the information regarding the data field includes the start bit position, bit length, category, and behavior information of each of the seven fields obtained by dividing the data field. More specifically, a field having a length of 8 bits from the upper first bit of the data field is a field indicating a counter. From the upper 9th bit of the data field, the 2-bit length field indicates a fixed value, and its value is 0.
  • a field having a length of 14 bits from the upper 11th bit of the data field indicates a continuous value.
  • the average change amount of the change in the field value is 10, and the variance is 100.
  • the 1-bit length field is a fixed value, and its value is 0.
  • a field having a length of 3 bits from the upper 26 bits of the data field indicates the status of the vehicle, and the occurrence frequency of the value change is 0.0001.
  • a field having a length of 8 bits from the upper 33 bits of the data field is a checksum.
  • FIG. 9 is a block diagram illustrating a functional configuration of the ECU 200a or the ECU 200b, which is an example of a node connected to the in-vehicle network.
  • the ECU 200a includes a frame transmission / reception unit 201, a frame processing unit 202, an external device input / output unit 203, and a frame generation unit 204. These functional components are realized by a communication circuit in the ECU 200a, a processor that executes a control program stored in a memory, a digital circuit, or the like.
  • the frame transmission / reception unit 201 transmits / receives a data frame to / from the bus 300 according to the CAN protocol. That is, the frame transmitting / receiving unit 201 receives a data frame from the bus 300 bit by bit. When the reception of the data frame is completed without error, the ID, DLC, and data field included in the data frame are transferred to the frame processing unit 202. If it is determined that the received data frame does not conform to the CAN protocol, the frame transmitting / receiving unit 201 transmits an error frame. When an error frame is received from another node, the frame transmitting / receiving unit 201 discards the data frame being received. The frame transmission / reception unit 201 also executes processing conforming to the CAN protocol such as communication arbitration.
  • the frame processing unit 202 interprets the contents of the received data frame. For example, the ECU 200b acquires information on the speed and the position of the gear 220 measured by the speed sensor 210 included in the data field of the data frame transmitted from the ECU 200a, and provides control information for causing the meter 230 to display the information. Notify the device input / output unit 203. At this time, the frame processing unit 202 confirms whether the counter and checksum included in the data frame satisfy a predetermined condition. More specifically, it is confirmed whether the counter is larger than the counter value included in the received data frame with the same ID.
  • the checksum for example, the part other than the checksum field of the data field is divided into 1 byte, and it is confirmed whether the lower 1 byte of the sum of all the values is the checksum value.
  • the counter and the checksum satisfy these conditions, information based on the received data frame is displayed on the meter 230.
  • the external device input / output unit 203 communicates with an external device connected to the ECU 200a or the ECU 200b.
  • the external device input / output unit 203 is connected to the speed sensor 210 and the gear 220, receives information on the current vehicle speed and the position of the gear 220, and notifies the frame generation unit 204 of these information. To do.
  • the external device input / output unit 203 is connected to the meter 230, and in order to notify the driver of information on the current vehicle speed and the position of the gear 220, a signal for displaying these information is sent to the meter 230. Send.
  • the frame generation unit 204 generates a data frame to be transmitted to the bus 300.
  • a data frame notified from the external device input / output unit 203 and including the vehicle speed acquired from the speed sensor 210 and the gear position acquired from the gear 220 is set at a predetermined cycle, for example, at an interval of 50 ms. It is generated and transmitted to the frame transmission / reception unit 201.
  • a counter and checksum are also included in this data frame. The counter is incremented for each transmission, and the checksum is calculated so as to satisfy the above equation.
  • the interval at which data frames are generated may be an interval other than 50 ms.
  • FIG. 10 shows an example of a part of a data frame transmitted from the ECU 200 a to the bus 300.
  • the monitoring ECU 100 and the ECU 200b receive this data frame from the bus 300.
  • the data frame is composed of at least one field which is a bit string having a specific meaning.
  • this data field is simply data of a 5-byte length.
  • FIG. 10 is a diagram illustrating an example of a data frame transmitted by the ECU 200a. However, in FIG. 10, only parts necessary for the description of the present embodiment are extracted and shown.
  • ECU 200a transmits a data frame with ID 0x100 and DLC 5.
  • the first byte area of the data field is a counter field, and its value is 0x26.
  • the value in the counter field is incremented with each transmission.
  • the area where the second and third bytes of the data field are connected is a field indicating the speed measured by the speed sensor 210.
  • the speed is expressed in units of 0.01 km / h, and a value of 0x154B indicates that the measured speed is 54.51 km / h.
  • the upper 4 bits area of the 4th byte is a field indicating the position of the gear 220. 0 indicates neutral, 1 indicates parking, 2 indicates reverse, and 3 indicates drive. In the example of FIG. 10, since the value is 3, the gear position is drive.
  • the lower 4 bits area of the 4th byte is a fixed value field and is filled with 0.
  • the fifth byte is a checksum field.
  • the value that enters this field is the value of the lower 1 byte of the sum obtained by dividing the data field other than the checksum field into 1-byte areas and adding the values in each area.
  • 0x26 + 0x15 + 0x4B + 0x30 0xB6. Therefore, the correct value to enter the checksum field is 0xB6.
  • the area occupied by each field in the data field as described above and the type of information indicated by each field, that is, the field category depends on the specifications determined by each car manufacturer, and may also depend on the vehicle type or model year. May be different.
  • the payload division unit 140 divides a data field whose field area and category are unknown using a feature relating to a change in a value in the data field, and extracts the field. Next, a process of dividing the data field by the payload dividing unit 140 and extracting the field will be described using an example.
  • ⁇ Processing by 1.11 Payload Dividing Unit 140> A series of steps executed by the payload dividing unit 140 in the process of dividing the data field and extracting the field will be described with reference to the flowchart shown in FIG.
  • the payload dividing unit 140 performs this operation in step S8 in the flowchart of FIG. Therefore, as shown in the flowchart of FIG. 8, the payload dividing unit 140 starts from a state in which the monitoring ECU 100 has already received a plurality of data frames and records including a plurality of types of IDs are recorded in the reception log.
  • the field extraction process is executed by this operation.
  • Step S11 Upon receiving the payload division processing request in Step S8 from the operation determining unit 130, the payload dividing unit 140 refers to the reception log holding unit 190 and extracts a record for each ID from the reception log.
  • Step S12 When the field extraction is completed for all IDs included in the reception log (NO), the payload dividing unit 140 ends the operation, and the field extraction result is displayed as the feature extraction unit 150. To notify. When there is an ID for which field extraction has not been performed (in the case of YES), a record including any ID for which field extraction has not been performed is selected. That is, the payload dividing unit 140 divides a data field of a data frame that includes an ID for which field extraction has not been performed in common, and extracts a field.
  • Step S13 The payload dividing unit 140 calculates a feature amount for each division pattern candidate of the data field.
  • a division pattern candidate is an area pattern obtained by dividing a data field in bits. For example, a start bit position of an area (hereinafter also referred to as an index) and a data length (hereinafter also referred to as a length) expressed in units of bits. ) And a combination (Index, Length). For example, for a 64-bit data field, Index and Length can take values from 1 to 64, respectively, but Index + Length-1 (end bit position of the region) does not exceed 64.
  • Such division pattern candidates are examples of payload division pattern candidates in the present embodiment.
  • FIG. 12 is a diagram illustrating an example for explaining extraction of feature amounts from candidate division patterns.
  • the values of the 5-byte data field included in 256 records that commonly include a certain ID extracted from the reception log are arranged in the order of reception from the top.
  • the feature amount relates to a change in the value of the data field in the range of each divided pattern candidate, and there are three types.
  • the division pattern candidate (13, 8) will be described in detail by way of example. This division pattern candidate (13, 8) is indicated by a dotted frame in FIG.
  • the first feature amount is the number of patterns in the value of the data field in the area indicated by each division pattern candidate. This feature amount can be obtained by counting the number of types of data field values in the area indicated by the division pattern candidate or the number of data field values excluding duplication in this area. Hereinafter, this feature amount is referred to as a first feature amount.
  • the second feature quantity is the frequency of occurrence of a change in value from the immediately preceding data frame as seen in time series.
  • This feature amount can be obtained by dividing the number of times the value of the data field in the area indicated by the division pattern candidate has changed by (the number of records commonly including the ID extracted from the reception log-1).
  • the number of times the value of the data field has changed can be obtained by calculating the difference in the area of the records arranged in chronological order and counting the number of differences where the difference is not zero. For example, as shown in FIG. 12, when there are 256 records, and the number of times the value has changed from the data frame received immediately before in the region (13, 8) is 51 times, this region (13, 8)
  • this feature amount is referred to as a second feature amount.
  • the third feature value is the variance of the change in value from the immediately preceding data frame that occurred in time series. This feature amount can be calculated from the change amount obtained from the difference as described above. This feature amount is hereinafter referred to as a third feature amount.
  • Step S14 The payload dividing unit 140 selects, from among the division pattern candidates, those having the feature amount extracted in Step S13 satisfying a predetermined condition as a division pattern indicating a field region belonging to the fixed value category. This selection will be described using an example in 1.12 described later.
  • the payload division unit 140 determines that a division pattern candidate that at least partially overlaps the area selected in step S14 is subject to condition determination in the subsequent steps. exclude.
  • the remaining division pattern candidates are hereinafter referred to as first payload division pattern candidates.
  • Step S15 The payload dividing unit 140 selects, from among the first payload division pattern candidates, those whose feature quantity extracted in step S13 satisfies a predetermined condition as a division pattern indicating a field area belonging to the counter category. select. This selection will be described using an example in 1.13 to be described later.
  • the payload dividing unit 140 further excludes the division pattern candidates that overlap at least partly with the area selected in step S15 from the condition determination targets in the subsequent steps.
  • the remaining division pattern candidates are hereinafter referred to as second payload division pattern candidates.
  • Step S ⁇ b> 16 The payload dividing unit 140 divides the second payload division pattern candidates whose feature values extracted in step S ⁇ b> 13 satisfy a predetermined condition, and indicates a field region belonging to the continuous value category. Choose as. This selection will be described using an example in 1.14 described later.
  • the payload dividing unit 140 further excludes the division pattern candidates that at least partially overlap with the area selected in step S16 from the condition determination targets in the subsequent steps.
  • the remaining division pattern candidates are hereinafter referred to as third payload division pattern candidates.
  • Step S ⁇ b> 17 The payload dividing unit 140 indicates a region of the field belonging to the checksum category from among the third payload division pattern candidates whose feature amount extracted in step S ⁇ b> 13 satisfies the predetermined condition. Choose as. This selection will be described using an example in 1.15 described later.
  • Step S18 The payload division unit 140 selects the remaining division pattern candidates as division patterns indicating field areas belonging to the status category. This selection will be described using an example in 1.16 described later.
  • step S18 the field extraction from the data field of the data frame of one type of ID is completed, and the process returns to step S12. If there is an unprocessed data frame of another ID, it becomes an execution target after step S13 by the payload dividing unit 140.
  • FIG. 13 is a flowchart of an example of a fixed value field extraction process performed by the payload dividing unit 140 in step S14.
  • FIG. 14 is a diagram showing an example for explaining this process. It may be assumed that table data as shown in FIG. 14 is held in the memory of the monitoring ECU 100 as a result of the process of step S13.
  • Step S141 the payload dividing unit 140 extracts a divided pattern candidate that satisfies the condition that the first feature value is 1 from the divided pattern candidates obtained by calculating the above three types of feature values. That is, a division pattern candidate indicating a range in which all the values of the data field are common to the records extracted from the reception log is extracted.
  • each row represents the start bit position (Index) of the area indicated by the division pattern candidate of the 5-byte data field
  • each column represents the bit length (Length) of the area.
  • each feature amount calculated in step S13 includes the first feature amount, the second feature amount, and the third feature amount, that is, the number of value patterns, the frequency of change, and the variance of the change amount. It is included in order. Note that cells indicating combinations of start bit positions and bit lengths that do not occur in the data field are shaded. For some cells, the description of the feature value or the presence / absence of the combination is omitted.
  • the division pattern candidates extracted in step S141 are the regions (29, 1), (29, 2), (29, 3), (29, 4), (30, 1), (30, (2), (30,3), (31,1), (31,2), and (32,1) are division pattern candidates.
  • the payload dividing unit 140 further narrows down the extracted division pattern candidates according to a predetermined condition. Specifically, when the entire area indicated by one division pattern candidate included in the extracted division pattern candidates is included in the area indicated by the other division pattern candidates, the one division pattern candidate is excluded. As a result, the division pattern candidates indicating only a part of the fixed value area composed of consecutive bits are excluded.
  • Step S143 The payload dividing unit 140 selects the remaining division pattern candidates as division patterns indicating field areas belonging to the fixed value category.
  • a division pattern candidate indicating the area (29, 4) remains, so this division pattern candidate is selected as a field area belonging to the fixed value category.
  • Step S144 The payload division unit 140 deletes another division pattern candidate that overlaps with the division pattern candidate selected in step S143, that is, includes a bit included in the selected division pattern candidate.
  • the division pattern candidate indicating the region (29, 4) is selected in step S143
  • the division pattern candidate including any bit from the 29th bit to the 32nd bit of the 5-byte data field is the step. It is deleted in S144. More specifically, a divided pattern candidate whose start bit position is 1 and the bit length is 29 to 40 and a divided pattern candidate whose start bit position is 2 and the bit length is 28 to 39 are both deleted. In addition, all the divided patterns whose start bit positions are 29 to 32 are also deleted.
  • the remaining division pattern candidates correspond to the above-described first payload division pattern candidates.
  • Step S145 The payload dividing unit 140 outputs a result of selecting a division pattern indicating a fixed value field area.
  • the payload dividing unit 140 ends Step S14 by writing in the memory of the monitoring ECU 100 that the field having the start bit position of 29 and the bit length of 4 belongs to the fixed value category.
  • FIG. 15 is a flowchart of an example of counter field extraction processing in step S15 by the payload dividing unit 140.
  • Step S151 First, the payload dividing unit 140 determines that the first feature amount is 2 ⁇ (bit length of the divided pattern) from the first payload division pattern candidates or the number of records extracted from the reception log in step S11.
  • the division pattern candidate that matches is extracted. That is, in the records extracted in step S11, those in which all the values that can be represented by the bit length of each division pattern candidate appear, or those in which the values of all the records are different are extracted.
  • Step S152 The payload dividing unit 140 refers to the reception log holding unit 190 and extracts all values of the area indicated by the extracted division pattern candidates. Then, the divided pattern candidate in which the value of the extracted field is incremented in the order of reception, or the value returns to 0 at the time of overflow, that is, the area where the value of all digits is 1 in binary representation is the next record. The division pattern candidates in the area where the values of all the digits are 0 are extracted from the division pattern candidates extracted in step S151.
  • Step S153 The payload dividing unit 140 selects a division pattern extracted in step S152 that does not overlap with another division pattern candidate as a division pattern indicating a field area belonging to the category of the counter.
  • Step S154 The payload division unit 140 belongs to the counter category except for the division patterns extracted in step S152 that overlap with other division pattern candidates and that are part of other division pattern candidates. It is further selected as a division pattern indicating the field area. This is a step performed in order to find the longest bit string whose value is incremented as a field of one counter.
  • Step S155 The payload dividing unit 140 deletes other division pattern candidates that overlap with the division pattern candidates selected in steps S153 and S154, that is, include bits included in the selected division pattern candidates. Step S155 is the same as step S144 and will not be described in detail. The division pattern candidates remaining as a result of step S155 correspond to the above-described second payload division pattern candidates.
  • Step S156 The payload dividing unit 140 outputs the result of selecting the division pattern indicating the counter field area, and ends Step S15.
  • the increment may be incremented by 1 or increment by 2, and may be increased by any value as long as it is constantly increased.
  • a counter to be decremented may be extracted.
  • the decrement may be decreased by 1 or 2 and may be decreased by any value as long as it is always decreased.
  • a division pattern candidate indicating a division pattern whose value has changed in all records may be extracted. Based on the second feature quantity, that is, a division pattern having the second feature quantity of 1. Candidates may be extracted.
  • FIGS. 16 and 17 are flowcharts of an example of continuous value field extraction processing in step S ⁇ b> 16 by the payload dividing unit 140.
  • 18A and 18B are diagrams illustrating an example for explaining this process.
  • the second payload division pattern candidate that is, the division pattern candidate remaining at the time of starting the extraction process of the continuous value field belongs to one of the categories of continuous value, checksum, and status.
  • the continuous value field is considered to have a smaller variance (third feature value) of the change amount of the value than the divided pattern candidates of the same bit length belonging to other categories. The reason will be described below.
  • the variance of the amount of change in the field value increases.
  • the change in value is continuous, and the carry resulting from the change in the lower bits of the field appears as the change in the upper bits, so that the amount of change in the value falls within a certain range. Therefore, the variance of the change amount of the field value becomes small.
  • the upper part is a continuous value and the lower part is other than the continuous value in the area indicated by one division pattern candidate, even if the value of each bit changes independently in the lower part, Since the change amount of the value is dominant, the variation of the change amount in the entire region is suppressed, and the variance of the change amount of the field value is reduced.
  • the division pattern candidates that is, the division pattern candidates remaining at the time of starting the extraction process of the continuous value field.
  • the division pattern in which the variance of the change in the region value is relatively small By searching for candidates, the division pattern candidates indicating the continuous value field area are narrowed down.
  • the continuous value field extraction process is roughly divided into two parts: a process for specifying the start bit position of the field shown in FIG. 16 and a process for specifying the bit length of the field shown in FIG.
  • Step S161 For each divided pattern candidate, the third feature amount, that is, an outlier indicating the degree of variation variation variation compared to other divided pattern candidates having the same bit length regardless of the start bit position A value score is calculated. This process will be described using a specific example shown in FIGS. 18A and 18B.
  • the start bit position of each division pattern candidate is shown in a row and the bit length is shown in a column, and the variation distribution calculated in step S13 for each division pattern candidate in the cell (third feature) Amount).
  • the cell including the value of the third feature value in this table is determined to indicate the field area of another category (ie, fixed value or counter) through steps S14 and S15 from the table shown in FIG.
  • the divided pattern candidates are deleted, and the first feature amount and the second feature amount are not shown for ease of viewing.
  • the payload dividing unit 140 starts the process of step S161 for such data.
  • a division pattern candidate having a start bit position of 11 and a field length of 1 has a variation variance of 1.
  • the variances of the change amounts are 1, 10, 100, and 100, respectively.
  • the variances of the change amounts of the division pattern candidates having the start bit position of 12 and the bit lengths of 1, 2, 8, and 13 are 1, 2, 15, and 150, respectively.
  • the division pattern candidate whose start bit position is 12 and whose bit length is 14 is already deleted in step S14 or S15 because the 25th bit is already determined to be a fixed value or a counter field, and the second It is not included in the payload division pattern candidates.
  • the variances of the variation amounts of the divided pattern candidates whose start bit position is 23 and the bit length is 1 and 2 are 1 and 2, respectively.
  • the variance of the change amount is 1.
  • the average value of the variance of the change amount for each division pattern candidate having the same bit length calculated by the payload division unit 140 in the process of step S161 is described. That is, the averages of variances of the variation amounts of the division pattern candidates having the bit lengths of 1, 2, 8, 13, and 14 are 1, 1, 80, 125, and 100, respectively.
  • the payload dividing unit 140 determines how far the third feature quantity of each division pattern candidate shown in the table of FIG. 18A is out of the third feature quantity of the division pattern candidate having the same bit length.
  • An outlier score is calculated.
  • the payload dividing unit 140 can calculate the outlier score using a statistical or machine learning method. For example, assuming that the third feature value of each divided pattern candidate follows a normal distribution, it may be calculated based on the frequency of occurrence of the third feature value, or outlier detection such as the K-neighbor method or the Local Outlier Factor An algorithm may be used.
  • p is a probability density function of a normal distribution in which the average m and the variance v of the same bit length are the average and variance, respectively.
  • p can be calculated by the following equation 1.
  • the average obtained by the payload division unit 140 is the average of the third feature amounts of the division pattern candidates having the same bit length among the division pattern candidates, and the variance can be obtained by using this average obtained before.
  • the score is calculated by -Log (p). Each cell of the table of FIG. 18B includes the score calculated in this way.
  • the outlier scores of the division patterns having the start bit position of 11 and the bit lengths of 1, 2, 8, and 13 are 0, 1, 4, and 2, respectively.
  • no outlier score is calculated because there is no division pattern with a bit length of 14 among other division pattern candidates.
  • the outlier score increases as the difference from the average increases.
  • the average of the variance is 80
  • the variance of the change amount Is greater than 3 which is the outlier score of the division pattern candidate at the start bit position 12 with an average of 15.
  • the payload dividing unit 140 may align the same index by normalizing.
  • Step S162 The payload dividing unit 140 calculates the average outlier score (hereinafter referred to as the average score) obtained in Step S161 for each start bit position of the division pattern candidate.
  • the average score of the division pattern candidates having a start bit position of 11 and a bit length of 1 to 13 is 4.
  • an outlier score of a divided pattern having a start bit position of 12 a bit length of 1, 2, 8, 13 is 0, 1, 3, 2, and an average score of a bit length of 1 to 13 is 2.
  • the outlier score of the division pattern having the start bit position of 23 and the bit length of 1 and 2 is 0 and 0, respectively, and the average score is 0.
  • An outlier score of a divided pattern having a start bit position of 24 and a bit length of 1 is 0, and the average score is 0.
  • the division pattern candidate having a bit length of 1 is described as the processing target of the payload division unit 140 in step S16.
  • the minimum bit length of the continuous value field is determined in advance, and a shorter division pattern candidate is obtained. May be excluded from the processing target in advance. This is effective from the viewpoint of processing speed and accuracy of division.
  • Step S163 The payload dividing unit 140 checks whether there is a start bit position that satisfies the condition that the average score calculated in Step S162 is equal to or greater than a predetermined threshold. If there is no start bit position that satisfies the condition (NO), step S16 is ended, and if it exists, the process proceeds to step S164.
  • Step S164 The start bit position satisfying the condition of Step S163 is specified as the start bit position of the continuous value field.
  • the payload dividing unit 140 specifies the bit length of the continuous value field in the subsequent steps shown in FIG.
  • Step S165 The payload division unit 140 extracts a division pattern candidate further indicating a bit length of a predetermined value from the division pattern candidates indicating the start bit position satisfying the condition of Step S163.
  • the predetermined value here is determined based on the assumption that the continuous value field has at least a bit length used to notify information such as a physical quantity measured by a sensor, for example, and is 4, for example.
  • the payload dividing unit 140 is a field in which a longer division pattern candidate includes a continuous value at the same start bit position with respect to (Index, Length) represented by the division pattern candidate extracted in step S165. Judge whether or not. The payload dividing unit 140 performs this determination using two conditions.
  • condition 1 the second feature quantity of the division pattern candidate (Index + Length, 1), that is, the frequency of occurrence of a value change is larger than the second feature quantity of the division pattern (Index + Length-1, 1). That is, it is a condition that the value of the adjacent bit on the least significant side of the divided pattern candidate extracted in step S165 changes more frequently than the value of the least significant bit of the divided pattern candidate. This condition is hereinafter referred to as condition 1.
  • condition 2 Another condition is that the division pattern candidate indicating the area of (Index, Length + 1) has not been determined. That is, another condition is that the category has not yet been determined for the division pattern candidate that indicates an area that is one bit longer at the same start bit position as the division pattern candidate extracted in step S165. This condition is hereinafter referred to as condition 2.
  • step S167 If condition 1 and condition 2 are satisfied (in the case of YES), the payload dividing unit 140 proceeds to step S167, and otherwise (in the case of NO), the payload dividing unit 140 proceeds to step S168.
  • Step S167 The payload dividing unit 140 increments the value of Length. Thereafter, step S166 is executed again.
  • steps S166 and S167 it is determined whether a continuous value is expressed even in an area having a longer number of bits, and a bit length as long as possible indicating the continuous value is specified.
  • step S166 If the condition of step S166 is not satisfied, the payload dividing unit 140 proceeds to step S168.
  • Step S168 The payload dividing unit 140 indicates the start bit position determined up to Step S164, and selects a division pattern candidate indicating the bit length specified in Step S166 as a division pattern representing a continuous value. Further, other division pattern candidates including bits included in the selected division pattern candidate are deleted. Further, the payload dividing unit 140 outputs a result of selecting a division pattern indicating a continuous value field area, and returns to step S163. This is for confirming whether there are more division pattern candidates at other start bit positions that satisfy the predetermined condition. The division pattern candidates remaining as a result of step S163 correspond to the above-described third payload division pattern candidates.
  • FIG. 19 shows an excerpt of the second feature amount calculated in step S13.
  • the table shown in FIG. 19 can also be said to be part of the data in the table shown in FIG.
  • step S166 the occurrence frequency of the value change is compared between the least significant bit of the region (11, 4) and the bit located next to the least significant bit of this region. That is, the second feature value of the 1st bit of 15th bit (that is, the region (15,1)) is compared with the second feature value of 1st bit of the 16th bit (that is, the region (16,1)). . Referring to FIG. 19, the second feature amount of the region (15, 1) is 0.25, and the second feature amount of the region (16, 1) is 0.28. Therefore, condition 1 is satisfied.
  • step S166 it is further determined whether or not a category has been determined for an area whose bit length is 1 bit longer than the area (11, 4), that is, the area (11, 5). For convenience of explanation, in this example, it is assumed that the category has not been determined for this region, that is, condition 2 is also satisfied (YES in step S166). Therefore, in step S167, the value of Length is incremented by increment 1.
  • step S166 the frequency of occurrence of a change in value is compared between the region (24, 1), which is the least significant bit of the region (11, 25), and the region (25, 1). Referring to FIG. 19, the second feature value of the region (25, 1) is 0, and the second feature value of the region (24, 1) is 0.40. Therefore, since the condition 1 is not satisfied, the result of the determination in step S166 is NO.
  • the payload dividing unit 140 selects a division pattern indicating a continuous value field area based on the second feature value and the third feature value. More specifically, first, a divided pattern candidate is extracted based on whether or not the third feature amount of each divided pattern candidate, that is, whether the variance of the change amount is out of average with the same bit length. Then, based on the second feature amount of the divided pattern candidate indicating each bit of the extracted divided pattern candidate as a region, that is, the magnitude relationship of the occurrence frequency of the change, the divided pattern candidate is a field corresponding to the continuous value category. It is determined whether or not an area is indicated.
  • a division pattern candidate indicating the start bit position specified in step S164 that is, a division pattern candidate having an outlier score higher than a predetermined threshold may be selected as a division pattern indicating a continuous value field region.
  • this selection can be performed with higher accuracy by performing the process of specifying the bit length shown in FIG.
  • bit length with a small number of division pattern candidates remaining at the stage where step S16 is executed may have low reliability such as a high outlier score by chance.
  • the outlier score is high, and there is a possibility that it will be mistakenly extracted as a continuous value field.
  • the third feature amount that is, the variance of the change amount may be compared. This is because if the amount of change in the lower bits is not large to some extent, no carry occurs and no change in the upper bits occurs.
  • step S166 in place of or in addition to the magnitude relationship of the second feature amount, whether or not the condition relating to the difference between the second feature amounts extends the bit length. It may be used for determination.
  • FIG. 20 is a flowchart of an example of checksum field extraction processing in step S17 by the payload dividing unit 140.
  • the first feature amount corresponds to the bit length. Is considered to satisfy the condition that it is somewhat large.
  • the prior knowledge that the bit length of the checksum is often 4 bits or 8 bits is also used as a condition, and the division pattern candidates satisfying these conditions are divided into the checksum field areas. Select as a pattern.
  • Step S171 From the third payload division pattern candidate, the payload division unit 140 has a first feature amount of 2 ⁇ (the bit length of the division pattern) or a division that matches the number of records extracted from the reception log in step S11 Extract pattern candidates. That is, in the records extracted in step S11, those in which all the values that can be represented by the bit length of each division pattern candidate appear, or those in which the values of all the records are different are extracted.
  • Step S172 The payload dividing unit 140 extracts a division pattern candidate having a bit length of 4 bits or 8 bits from the division pattern candidates extracted in Step S171.
  • Step S173 The payload dividing unit 140 selects a division pattern candidate extracted in step S172 that does not overlap with another division pattern candidate as a division pattern indicating a field region belonging to the checksum category. .
  • Step S174 The payload dividing unit 140 uses the divided patterns extracted in step S172 and overlaps with other divided pattern candidates, except for those that are part of other divided pattern candidates, in the checksum category. It is further selected as a division pattern indicating the field area to which it belongs. This is a step performed to find the longest bit string satisfying the conditions used in steps S171 and S172 as one checksum field.
  • Step S175) The payload division unit 140 deletes other division pattern candidates that overlap the division pattern candidates selected in steps S173 and S174, that is, include bits included in the selected division pattern candidates. Since step S175 is the same as step S144 or S155, detailed description thereof is omitted.
  • Step S176 The payload dividing unit 140 outputs the result of selecting the division pattern indicating the area of the checksum field, and ends Step S17.
  • step S171 the same conditions as in step S151 are used, but more relaxed conditions may be used.
  • a condition that the first feature amount is 2 ⁇ (bit length of the division pattern) or 80% or more of the number of records extracted from the reception log in step S11 may be used. This is because, in the checksum field, the change in the value is irregular in the number of patterns compared to the counter field, and there is a high possibility that the values appearing are duplicated and the number of types is small.
  • bit lengths of 4 bits and 8 bits in step S172 are examples, and the size of the bit length and the number of bit lengths included in the conditions used in this step are not limited to these.
  • a longer bit pattern candidate division pattern may be preferentially extracted.
  • FIG. 21 shows a flowchart of status field extraction processing.
  • Step S181 The payload dividing unit 140 selects a division pattern candidate still remaining after the end of step S17 as a division pattern indicating a field region belonging to the status category, which does not overlap with other division pattern candidates. To do.
  • Step S182 The payload dividing unit 140 belongs to the status category except for the divided patterns extracted in Step S181 that overlap with other divided pattern candidates, which are part of other divided pattern candidates. It is further selected as a division pattern indicating the field area. This is a step performed to find the longest bit string as one status field.
  • Step S183 The payload dividing unit 140 outputs the result of selecting the division pattern indicating the status field area, and ends Step S18.
  • the payload dividing unit 140 When these series of steps are executed for a data field included in one type of data frame having a common ID, the payload dividing unit 140 returns to step S12 to change to an unprocessed data frame of another ID. Data field division processing is executed for the included data field.
  • step S143, S156, S168, S176, or S183 is shown in FIG. 7 is held in the memory of the monitoring ECU 100 as information on the start, length, and category in the information related to the ID and data field.
  • the feature extraction unit 150 proceeds to a normal model generation process (step S9) using the field extraction result information.
  • the normal model indicates a normal range of change in the value of each field, and is used, for example, for determining whether a data frame is abnormal.
  • Step S21 The feature extraction unit 150 selects an ID that has not generated a normal model from the IDs indicated by the field division results output from the payload division unit 140.
  • the feature extraction unit 150 refers to the record of the ID selected in step S121 included in the reception log stored in the reception log holding unit 190.
  • Step S23 The feature extraction unit 150 acquires behavior information for each field from the field division result and the record of the reception log.
  • the behavior information acquisition process will be described later using another flowchart.
  • Step S24 The feature extraction unit 150 calculates the average of the reception intervals of the data frame of the ID and the dispersion of the reception intervals from the record of the reception log.
  • Step S25 The feature extraction unit 150 generates and outputs a normal model of the ID based on the field division result and the information obtained in steps S23 and S24, and stores the normal model in the normal model holding unit 191.
  • Step S26 The feature extraction unit 150 confirms whether normal models have been generated for all IDs. If normal models have been generated for all IDs (in the case of YES), step S9 is terminated. When that is not right (in the case of NO), it returns to step S21.
  • FIG. 23 is a flowchart of an example of processing for acquiring behavior information executed by the feature extraction unit 150 in step S23.
  • Step S231 The feature extraction unit 150 checks whether the field category indicated by the field division result includes an unprocessed field that belongs to the category of the behavior information acquisition target.
  • the categories for which behavior information is acquired include fixed values, continuous values, and status. If there is no unprocessed field in the category of behavior information acquisition target (in the case of NO), the feature extraction unit 150 ends Step S23. If there is an unprocessed field in the category for which behavior information is to be acquired (YES), the feature extraction unit 150 proceeds to step S232.
  • Step S232 The feature extraction unit 150 extracts, from the reception log stored in the reception log holding unit 190, the value of the unprocessed field in the category to be acquired of the behavior information confirmed in step S231.
  • Step S233 The feature extraction unit 150 checks whether the category of the field is a fixed value. When the category of the field is a fixed value (in the case of YES), the feature extraction unit 150 proceeds to step S234. Otherwise (NO), the feature extraction unit 150 proceeds to step S235.
  • Step S234 The feature extraction unit 150 extracts and acquires the value of the extracted field as behavior information, and returns to step S231.
  • Step S235 The feature extraction unit 150 checks whether the category of the field is a continuous value. When the category of the field is a continuous value (YES), the feature extraction unit 150 proceeds to step S236. Otherwise (NO), the feature extraction unit 150 proceeds to step S237.
  • Step S236 The feature extraction unit 150 extracts and acquires the average and variance of the amount of change in the extracted field value as behavior information, and returns to step S231.
  • the average and variance of the change amounts are the third feature amounts calculated for the division pattern candidates indicating the field area in step S13, but may be calculated again by the feature extraction unit 150 in this step.
  • Step S237) The feature extraction unit 150 extracts and acquires the occurrence frequency of the change in the value of the extracted field as behavior information, and returns to step S231.
  • the average and variance of the change amounts are the third feature amounts calculated for the division pattern candidates indicating the field area in step S13, but may be calculated again by the feature extraction unit 150 in this step.
  • FIG. 24 is a diagram illustrating an example for explaining a part of the operation of the feature extraction unit 150 for executing the processing of the flowchart illustrated in FIG. 23.
  • the feature extraction unit 150 confirms whether the field division result output from the payload division unit 140 includes an unprocessed field that belongs to the category for which behavior information is to be acquired (step S231). ). In this example, as a result of the confirmation, it is determined that a continuous value category is included.
  • the feature extraction unit 150 acquires the value of the field of the category whose existence has been confirmed in step S231 from the reception log stored in the reception log holding unit 190 (step S232).
  • the value of a field having a start bit position of 11 and a bit length of 14 is acquired. Since the category of the field in this example is a continuous value (steps S233 and S235), the feature extraction unit 150 extracts behavior information by obtaining the average and variance of the amount of change in the field value (step S236). If the category is a fixed value, the field value itself acquired in step S232 is acquired. If the category is a status, the occurrence frequency of the change in the field value is acquired.
  • the feature extraction unit 150 calculates and acquires statistical information (reception interval average, variance) regarding the reception interval of data frames with the same ID. Using the information and the field division result acquired in this way, the feature extraction unit 150 generates a normal model as illustrated in FIG. 7 (step S25), outputs it, and stores it in the normal model holding unit 191.
  • the abnormality detection unit 160 refers to the corresponding normal model stored in the normal model holding unit 191 regarding the ID of the data frame received from the bus 300.
  • the abnormality detection unit 160 refers to the corresponding reception log stored in the reception log holding unit 190 regarding the ID of the received data frame.
  • Step S33 The anomaly detection unit 160 verifies the data field included in the record in the received log to be referenced, using the behavior model of each field included in the normal model. The verification process based on the behavior model will be described later using another flowchart.
  • Step S34 When an abnormality is detected as a result of the verification (in the case of YES), the abnormality detection unit 160 proceeds to Step S35, and otherwise (in the case of NO), the abnormality detection process ends.
  • Step S35 The abnormality detection unit 160 requests the frame generation unit 170 to generate a data frame for notifying other ECUs of the abnormality, and ends the abnormality detection process.
  • FIG. 26 is a flowchart of a processing example of verification based on the behavior model executed by the abnormality detection unit 160 in step 33.
  • Step S3301 The abnormality detection unit 160 determines whether there is an unverified field in the data field for the received data frame. If there is no unverified field, that is, if all fields have been verified (NO), step S33 is terminated. If an unverified field exists (YES), the process proceeds to S3302.
  • Step S3302 The abnormality detection unit 160 extracts the value of the field to be checked next from the reception log stored in the reception log holding unit 190, and assumes that the field has been verified.
  • Step S3303 The abnormality detection unit 160 determines whether the category of the extracted field is a fixed value. In the case of a fixed value (in the case of YES), the abnormality detection unit 160 proceeds to step S3304. When it is not a fixed value (in the case of NO), the abnormality detection unit 160 proceeds to S3305.
  • Step S 3304 The abnormality detection unit 160 checks whether or not the value of the extracted field is equal to the value of the behavior information of the normal model stored in the normal model holding unit 191. When it is equal to the value of the behavior information of the normal model (in the case of YES), the abnormality detection unit 160 returns to step S3301. If not (NO), the abnormality detection unit 160 proceeds to step S3311.
  • Step S3305 The abnormality detection unit 160 determines whether or not the category of the extracted field is a counter. When it is a counter (in the case of YES), the abnormality detection unit 160 proceeds to step S3306. If it is not a counter (in the case of NO), the abnormality detection unit 160 proceeds to step S3307.
  • Step S3306 The abnormality detection unit 160 determines whether or not the extracted field value is incremented in chronological order. If incremented in chronological order (in the case of YES), the abnormality detection unit 160 returns to step S3301. If not (NO), the abnormality detection unit 160 proceeds to step S3311.
  • Step S3307 The abnormality detection unit 160 determines whether or not the extracted field category is a continuous value. When it is a continuous value (in the case of YES), the abnormality detection unit 160 proceeds to step S3308. When that is not right (in the case of NO), the abnormality detection part 160 performs step S3309.
  • Step S3308 The abnormality detection unit 160 determines whether or not the change amount of the extracted field value is a value close to the average described in the behavior information of the normal model stored in the normal model holding unit 191. When the value is close to the average described in the behavior information of the normal model (in the case of YES), the abnormality detection unit 160 returns to step S3301. If not (NO), the abnormality detection unit 160 proceeds to step S3311.
  • Step S3309 The abnormality detection unit 160 determines whether the category of the extracted field is status. If the status is YES (YES), the process proceeds to step S3310. If not (NO), the abnormality detection unit 160 proceeds to step S3301.
  • Step S3310 The abnormality detection unit 160 determines whether the occurrence frequency of the extracted field value change is close to the occurrence frequency of the change indicated in the normal model behavior information stored in the normal model holding unit 191. When it is close to the occurrence frequency of the change in the behavior information description of the normal model (in the case of YES), the abnormality detection unit 160 returns to step S3301. If not (NO), the abnormality detection unit 160 proceeds to step S3311.
  • Step S3311 If the abnormality detection unit 160 detects an abnormality, it notifies the next step of the category of the illegal field, and ends the verification process based on the behavior model (executes step S34).
  • the abnormality detection unit 160 determines whether or not there is an abnormality in the reception interval between the data frames having the corresponding ID or the possibility is high before step S33 of the abnormality detection process illustrated in FIG.
  • a data field of a data frame having an abnormality or a high possibility of an abnormality may be a verification target in step S33.
  • the monitoring ECU 100 including the above-described components detects an abnormality when an unauthorized ECU that transmits an abnormal data frame is connected to the in-vehicle network 10
  • the monitoring ECU 100 including the above-described components detects an abnormality when an unauthorized ECU that transmits an abnormal data frame is connected to the in-vehicle network 10
  • FIG. 27 shows an example of the operation of the abnormality detection unit 160.
  • the monitoring ECU 100 holds the normal model shown in FIG. 7 in the normal model holding unit 191.
  • the ECU 200a periodically transmits a data frame having an ID of 0x100 including a field indicating the vehicle speed to the bus 300.
  • an unauthorized ECU transmits a data frame with an ID of 0x100 to the bus 300.
  • the monitoring ECU 100 Each time the monitoring ECU 100 receives a data frame, the monitoring ECU 100 refers to the normal model stored in the normal model holding unit 191 and the reception log stored in the reception log holding unit 190, so that the value of the data field is It is determined whether or not the model deviates from the normal model (step S33). In FIG. 27 to FIG. 29, the value of the 5-byte data field is shown in hexadecimal.
  • the value of the data field conforms to the normal model, so it is determined that there is no abnormality.
  • the fixed bit is based on the fact that the start bit position shown in the normal model is 29 and the field with a data length of 4 is a fixed value and does not match that the value is 0. It is detected as an abnormality in the value field (YES in step S3303, NO for underlined “1” in S3304, S3311).
  • the value of the counter field with a bit length of 8 is not incremented at the start bit position 1 due to the influence of the data frame transmitted from the improper ECU received immediately before.
  • Abnormality is detected by the determination (YES in step S3305, NO in step S3306 with “3” underlined, S3311).
  • information based on the ID of the data frame in which the abnormality has been detected and the category of the field in which the abnormality has been detected (an abnormality in the fixed value field and an abnormality in the counter field) frame The generation unit 170 is notified to request generation of a message for notifying other ECUs of the occurrence of abnormality (step S35).
  • the record of the data frame may be deleted from the reception log.
  • FIG. 28 shows another example of the operation of the abnormality detection unit 160. In this example, it is assumed that the situation is similar to the situation shown in FIG. 27 except for the data frame transmitted by the unauthorized ECU.
  • the fraudulent ECU transmits a data frame including an abnormality immediately after a normal data frame is transmitted from the ECU 200a.
  • the monitoring ECU 100 in a plurality of data frames received sequentially within a predetermined time width, the occurrence frequency of the change of the status field having the start bit position of 26 and the bit length of 3 is far from 0.0001 indicated by the normal model. Based on this, an abnormality is detected (YES in step S3309, NO in response to occurrence of an underlined value change in S3310, S3311).
  • FIG. 29 shows an operation example of the abnormality detection unit 160.
  • the situation is the same as the situation shown in FIGS. 27 and 28 except for the data frame transmitted by the ECU 200a and the data frame transmitted by the unauthorized ECU.
  • the unauthorized ECU transmits three data frames having an ID of 0x100 from the ECU 200a, and then transmits a data frame including an abnormality having an ID of 0x100.
  • the monitoring ECU 100 that has received this data frame receives the reception log in light of the fact that the average of the change amount is 10 and the variance is 100 as the behavior information of the continuous value field having the start bit position of 11 and the bit length of 14.
  • the monitoring ECU 100 monitors the data frame flowing through the in-vehicle network, and divides the data field included in the data frame into fields that are groups of meaningful bit strings based on statistically obtained feature values. .
  • the monitoring ECU 100 generates a normal model used for detecting an abnormality in each field obtained by the division. Furthermore, the monitoring ECU 100 can detect an irregularity in the in-vehicle network by detecting an abnormality using the normal model.
  • Such a monitoring ECU 100 does not require an individual design in advance even if it is an in-vehicle network system with different specifications, so that it is possible to protect the in-vehicle network with reduced costs.
  • the field division unit, the feature extraction unit, and the fraud detection unit have been described as components of the monitoring ECU, but it is not necessary to hold all the components in the same device.
  • the field division unit and the feature extraction unit may be components of a cloud server outside the vehicle, and the cloud server receives data flowing through the in-vehicle network system received through a wireless communication network such as a mobile phone network to which the in-vehicle network system can be connected. Divide the frame into fields and generate a normal model.
  • monitoring ECU may perform a fraud detection process using this normal model downloaded from a cloud server.
  • the monitoring ECU does not need to have an operation determination unit, and may always perform an abnormality detection process.
  • the monitoring ECU only needs to have the abnormality detection unit, and the mounting becomes easy.
  • data field division, normal model generation, and abnormality detection processing are performed in the monitoring ECU.
  • the present disclosure is information that executes only data field division or normal model generation among them. It can also be realized as a processing device, an information processing method, a program, or the like. Such an information processing apparatus or the like can be applied for development of a network monitoring apparatus, for example.
  • the normal model is generated from the reception log obtained by collecting the data frame of the in-vehicle network for a certain period.
  • the data frame is not necessarily collected from the in-vehicle network for a certain period.
  • a normal model may be generated using logs collected in the past as input.
  • a normal model may be generated for each of a plurality of logs, and the result of merging a plurality of normal models may be determined as a final normal model by majority decision or averaging.
  • the action after detecting an abnormality is not limited to this.
  • the monitoring ECU may transmit an error frame so that the data frame including the field where the abnormality is detected is invalidated.
  • the monitoring ECU performs an abnormality detection process shown in FIG. 25 during reception of the data frame.
  • a measure not to transfer the data frame in which the abnormality is detected may be taken.
  • transfer of a data frame of the same type as that of the data frame in which an abnormality is detected, that is, a common ID may be stopped. This is effective when it is desired to realize the present disclosure using the gateway ECU as a monitoring ECU.
  • the range of functions that can be realized is widened and effective.
  • the user may be notified that an abnormality has occurred, the vehicle may be shifted to fail-safe mode, the abnormality that has occurred may be left in the log, and a mobile phone network, etc.
  • You may transmit to a cloud server through.
  • the information regarding this abnormality may be provided from a cloud server to an in-vehicle network of the same type or the same version as the in-vehicle network system in which the abnormality is detected, or an in-vehicle network including a common ECU.
  • the normal mode is generated after the 1-hour collection mode in the above embodiment, but it may be shorter or longer than 1 hour.
  • a log size sufficient to extract a feature amount may be defined regardless of time, and a normal model may be generated when a log of this size is collected.
  • an external interface may be provided, and the mode may be switched according to a user instruction. For example, the mode may be switched by an instruction from the cloud server. This makes it possible to collect data more flexibly and operate according to the resources of the monitoring ECU.
  • the data frame reception log, the normal model, and the vehicle state are for one ID, but each may be held for one or more IDs.
  • the reception log may not include the ID. .
  • reception time of the data frame is recorded in the reception log.
  • the reception time is not included in the reception log. Also good.
  • the order of reception may be indicated using the order of records in the reception log or the serial number.
  • reception interval average and dispersion information are not used for abnormality detection, these may not be retained in the normal model.
  • the divided fields are classified into five categories of fixed value, counter, continuous value, status, and checksum, but it is not always necessary to classify into these five categories.
  • a category field unnecessary for fraud detection may not be included in the normal model.
  • checksum field may be the message authenticator field.
  • a field in an area in which a change of a value not more than a predetermined value within a predetermined time width is observed a predetermined number of times or more may be treated as one category field.
  • a field may include a counter or a continuous value, and is an example of the first category in the present modification.
  • a field of a region that takes discrete values from various feature amounts may be treated as one category.
  • Such a field may include a checksum or a status value indicating a flag or a state, and is an example of the second category in the present modification.
  • the white list As the behavior information of the normal model, the white list, the frequency with which the value of the field changes (frequency of occurrence of the change), and the average and variance of the amount of change when the value of the field changes. It was held, but it is not limited to this. For example, an upper limit or a lower limit indicating a normal value range of each feature amount may be held. Further, the maximum value and the minimum value of the change amount when the field value changes may be held. Also, a white list of value transitions when the field value changes may be held. Moreover, you may hold
  • the maximum value of the frequency of occurrence of a change in value per predetermined time (for example, 1 second) may be calculated and stored from the record of the reception log.
  • the category and the behavior information are held for each field, but the behavior information for a plurality of fields may be held.
  • data obtained by subjecting a field obtained by dividing a data field to dimension reduction processing such as principal component analysis or an auto encoder may be held as a normal model.
  • a normal model that captures the relationship between fields is generated, which may be more effective than simply detecting abnormalities for each field.
  • the remaining length of the division pattern candidate includes the field length of 4 bits or 8 bits.
  • the length of the checksum field is known in advance, it can be set to that value. If you do not know in advance, you can divide the field with high accuracy by setting the length to a frequently used length.
  • the number of types of observed values (first feature amount) and the field value with respect to the number of observed data are changed for each division pattern.
  • the three types of frequency of occurrence (second feature value) and variance of the change amount when the value changes (third feature value) were calculated, but it is necessary to calculate all three types of feature values There is no.
  • a necessary feature amount may be selected and calculated depending on the field to be extracted.
  • a feature amount indicating how many types of values are observed in the range of possible values calculated from the first feature amount and the field length may be used.
  • the feature amount is calculated for each division pattern without converting the value of the data field.
  • preprocessing for converting the value of the data field is performed. May be performed.
  • the division pattern is a field with a sign
  • the feature may be calculated after performing two's complement conversion processing. This is effective for dividing a data field with high accuracy when a continuous value field is expressed with a sign.
  • the payload dividing unit notifies the feature extracting unit of the information of the divided data fields, so that the feature extracting unit extracts the normal model, but the output of the payload dividing unit itself May be notified externally or stored internally.
  • the payload dividing unit performs the data field dividing process for all the IDs included in the reception log.
  • the payload dividing unit does not need to perform the data field dividing process for all the IDs.
  • the data field division processing may be performed only on the ID specified in advance, and the result may be output.
  • the payload dividing unit divides the data field by extracting feature amounts for all division pattern candidates, but only a predetermined range is obtained.
  • the data field may be divided.
  • the processing speed can be increased by narrowing down the monitoring target.
  • the data field division processing may be performed only on the upper 20 bits of the data field, or may be performed on an arbitrary range. It is effective from the viewpoint of processing time.
  • the variance of the change amount when the value changes is used as the feature amount that captures the time-series change of the field change.
  • other features may be used. For example, a distribution of change amounts of field values may be used, or a feature amount using a moving average of field values may be used.
  • the CAN protocol is used as the in-vehicle network, but the present invention is not limited to this.
  • CAN-FD CAN with Flexible Data Rate
  • FlexRay FlexRay
  • Ethernet LIN (Local Interconnect Network)
  • LIN Local Interconnect Network
  • MOST Media Oriented Systems Transport
  • these networks may be combined as sub-networks.
  • Each device in the above embodiment is specifically a computer system including a microprocessor, a ROM, a RAM, a hard disk unit, a display unit, a keyboard, a mouse, and the like.
  • a computer program is recorded in the RAM or hard disk unit.
  • Each device achieves its functions by the microprocessor operating according to the computer program.
  • the computer program is configured by combining a plurality of instruction codes indicating instructions for the computer in order to achieve a predetermined function.
  • Each device in the above-described embodiment may be configured such that a part or all of the constituent elements are configured by one system LSI (Large Scale Integration).
  • the system LSI is an ultra-multifunctional LSI manufactured by integrating a plurality of components on a single chip, and specifically, a computer system including a microprocessor, ROM, RAM, and the like. . A computer program is recorded in this RAM.
  • the system LSI achieves its functions by the microprocessor operating according to the computer program.
  • each part of the constituent elements constituting each of the above devices may be individually made into one chip, or may be made into one chip so as to include a part or all of them.
  • the system LSI is used here, it may be called IC, LSI, super LSI, or ultra LSI depending on the degree of integration. Further, the method of circuit integration is not limited to LSI's, and implementation using dedicated circuitry or general purpose processors is also possible.
  • An FPGA Field Programmable Gate Array
  • a reconfigurable processor that can reconfigure the connection and setting of circuit cells inside the LSI may be used.
  • Part or all of the constituent elements constituting each of the above-described devices may be configured from an IC card or a single module that can be attached to and detached from each device.
  • the IC card or module is a computer system that includes a microprocessor, ROM, RAM, and the like.
  • the IC card or the module may include the super multifunctional LSI described above.
  • the IC card or the module achieves its functions by the microprocessor operating according to the computer program. This IC card or this module may have tamper resistance.
  • the present disclosure may be the method described above. Further, the present invention may be a computer program that realizes these methods by a computer, or may be a digital signal composed of a computer program.
  • the present disclosure also relates to a computer program or a recording medium that can read a digital signal, such as a flexible disk, a hard disk, a CD-ROM, an MO, a DVD, a DVD-ROM, a DVD-RAM, a BD (Blu-ray (registered trademark)). ) Disc), or recorded in a semiconductor memory or the like. Further, it may be a digital signal recorded on these recording media.
  • a digital signal such as a flexible disk, a hard disk, a CD-ROM, an MO, a DVD, a DVD-ROM, a DVD-RAM, a BD (Blu-ray (registered trademark)).
  • the present disclosure may transmit a computer program or a digital signal via an electric communication line, a wireless or wired communication line, a network represented by the Internet, data broadcasting, or the like.
  • the present disclosure may be a computer system including a microprocessor and a memory.
  • the memory may record the computer program, and the microprocessor may operate according to the computer program.
  • program or digital signal may be recorded on a recording medium and transferred, or the program or digital signal may be transferred via a network or the like, and may be implemented by another independent computer system.
  • This disclosure monitors a data frame flowing through an in-vehicle network, divides a data field included in the data frame according to a statistical feature amount, and generates a normal model for each divided field.
  • the monitoring ECU can detect fraud in the in-vehicle network based on the normal model. As a result, even in different in-vehicle network systems, it is possible to protect the in-vehicle network with reduced costs without requiring prior design.
  • In-vehicle network 100 Monitoring ECU 110 frame transmission / reception unit 120 frame collection unit 130 operation determination unit 140 payload division unit 150 feature extraction unit 160 abnormality detection unit 170 frame generation unit 180 mode holding unit 190 reception log holding unit 191 normal model holding unit 200, 200a, 200b ECU 201 Frame transmission / reception unit 202 Frame processing unit 203 External device input / output unit 204 Frame generation unit 210 Speed sensor 220 Gear 230 Meter 300 Bus

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Small-Scale Networks (AREA)

Abstract

車載ネットワークに流れるデータフレームを処理する情報処理方法は、受信したデータフレームのそれぞれから、当該データフレームに含まれ、少なくとも１つのフィールドから構成されるペイロードを取得して受信ログに１つのレコードとして記録するフレーム収集ステップと、複数のレコードから、複数のデータフレームのペイロード内の互いに異なる領域を示す複数のペイロード分割パターン候補のそれぞれについて、各領域におけるペイロードの値の時系列変化に関する１つ以上の特徴量を算出し、この特徴量に基づいて、ペイロード内にあるフィールドの領域を示すペイロード分割パターンを選択し、選択したペイロード分割パターンが示す領域と、特徴量に基づく当該フィールドのカテゴリとを示すフィールド抽出結果を出力するフィールド抽出ステップとを含む。

Description

情報処理方法、情報処理システム、及びプログラム
　本開示は、車載ネットワークに流れるデータの情報処理に関する。
　近年、自動車の中のシステムには、電子制御ユニット（以下、ＥＣＵ：Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）と呼ばれる装置が多数配置されている。これらのＥＣＵをつなぐネットワークは車載ネットワークと呼ばれる。車載ネットワークには、多数の通信規格が存在する。その中でも最も主流な車載ネットワークの規格の一つに、Ｃｏｎｔｒｏｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ（以降、ＣＡＮ）がある。
　ＣＡＮ通信のネットワークでは、通信線に２本線のバスが用いられ、このバスに接続されているＥＣＵはノードと呼ばれる。バスに接続されている各ノードは、フレームと呼ばれるメッセージを送受信する。フレームを送信するノード（以下、送信ノード）は２本のバスに電圧をかけ、それぞれのバス間での電位差の有無に応じたレセシブと呼ばれる“１”の値、及びドミナントと呼ばれる“０”の値を送信することでフレームのバイナリデータを送信する。複数の送信ノードが全く同一のタイミングで、レセシブとドミナントを送信した場合は、ドミナントが優先されて送信される。
　受信ノードは、受け取ったフレームのフォーマットに異常がある場合には、エラーフレームと呼ばれるフレームを送信する。エラーフレームは、例えば連続する６ビットのドミナントで始まるフレームであり、このフレームを受信した送信ノード及び他の受信ノードはエラーの発生を検出する。
　またＣＡＮでは送信先又は送信元を示す識別子は存在せず、送信ノードはフレームごとにデータの種類等を示すＩＤを付けて送信し、各受信ノードはあらかじめ決められたＩＤを含むフレームのみ受信する。また、ＣＡＮはＣＳＭＡ／ＣＡ（Ｃａｒｒｉｅｒ　Ｓｅｎｓｅ　Ｍｕｌｔｉｐｌｅ　Ａｃｃｅｓｓ　ｗｉｔｈ　Ｃｏｌｌｉｓｉｏｎ　Ａｖｏｉｄａｎｃｅ）方式を採用しており、複数ノードの同時送信時にはＩＤによる調停が行われ、ＩＤの値が小さいフレームが優先的に送信される。
　一方、攻撃者がＣＡＮのバスにアクセスし、不正なフレームを送信することで、ＥＣＵを不正制御するといった脅威が存在し、セキュリティ対策が検討されている。
　例えば特許文献１では、車載ネットワーク監視装置が提案されている。特許文献１によれば、フレームがあらかじめ規定された通信間隔でネットワークに送信されているかを検出し、規定された通信間隔から外れる異常なフレームを不正と判断することで、不正フレームによる制御を防止する方法が開示されている。ただし、より高い精度で不正フレームを検知するためには、フレームに含まれるペイロードの内容を検証する必要がある。
　しかしながら、一般に車載ネットワークで送受信されるフレームの仕様は標準化されておらず、カーメーカが独自に設計しているため、ペイロード内における、意味のある複数の単位の区切りをサードパーティが知ることはできない。ペイロードに含まれているデータの種類が不明では、ペイロードを検証して不正なフレームを検知することは困難である。また、同一のカーメーカの自動車であっても、車種又は年式によっても、フレームの仕様は変更され得るため、各自動車に対して、監視装置の設計のためにフレームを検証するシステムを構築することは多大な労力を要する。
　このような課題の解決手段として、非特許文献１において、観測データのみから収集したフレームに含まれるペイロードを意味のある単位で分割し、分割して得たペイロードの部分ごとにホワイトリストを作成する方法が開示されている。
特許第５６６４７９９号公報
　本開示の一態様に係る情報処理方法は、記憶部を備える情報処理システムが行う、１以上の電子制御ユニットを含む車載ネットワークに流れるデータフレームを処理する情報処理方法であって、車載ネットワークに流れる複数のデータフレームを受信し、複数のデータフレームのそれぞれから、当該データフレームに含まれ、少なくとも１つのフィールドから構成されるペイロードを取得して記憶部に保持される受信ログに１つのレコードとして記録するフレーム収集ステップと、複数のそのレコードから、複数のデータフレームのペイロード内の互いに異なる領域を示す複数のペイロード分割パターン候補のそれぞれについて、当該領域におけるペイロードの値の時系列変化に関する１つ以上の特徴量を算出し、算出した特徴量に基づいて、複数のペイロード分割パターン候補から、ペイロード内にあるフィールドの領域を示すペイロード分割パターンを選択し、選択したペイロード分割パターンが示す領域と、特徴量に基づく当該フィールドのカテゴリとを示すフィールド抽出結果を出力するフィールド抽出ステップとを含む。
　本開示の情報処理方法等は、攻撃を精度よく検知する安全な車載ネットワークシステムをコスト効率よく提供することができる。
図１は、実施の形態における車載ネットワークの全体構成を示すブロック図である。 図２は、ＣＡＮのプロトコルのデータフレームフォーマットを示す図である。 図３は、ＣＡＮのプロトコルのエラーフレームフォーマットを示す図である。 図４は、実施の形態における監視ＥＣＵ１００の機能構成を示すブロック図である。 図５は、実施の形態におけるモード保持部が保持する動作モードの一例を示す図である。 図６は、実施の形態における受信ログ保持部が保持する受信ログの一例を示す図である。 図７は、実施の形態における正常モデル保持部が保持する正常モデルの一例を示す図である。 図８は、実施の形態における監視ＥＣＵの動作のフローチャートである。 図９は、実施の形態におけるＥＣＵの機能構成を示すブロック図である。 図１０は、上記のＥＣＵが送信するデータフレームの一部の例を示す図である。 図１１は、実施の形態におけるペイロード分割部の処理のフローチャートである。 図１２は、実施の形態におけるペイロード分割部の分割パターン候補からの特徴量の抽出の説明に用いる例を示す図である。 図１３は、実施の形態における固定値のフィールドの抽出処理例のフローチャートである。 図１４は、実施の形態における固定値のフィールドの抽出処理を説明するための例を示す図である。 図１５は、実施の形態におけるカウンタのフィールドの抽出処理例のフローチャートである。 図１６は、実施の形態における連続値のフィールドの抽出処理例のフローチャートである。 図１７は、実施の形態における連続値のフィールドの抽出処理例のフローチャートである。 図１８Ａは、実施の形態における連続値のフィールドの抽出処理例において、ビット長が共通の分割パターン候補の値の変化量の分散の平均の算出例を示す図である。 図１８Ｂは、実施の形態における連続値のフィールドの抽出処理例において、開始ビット位置が共通の分割パターン候補の、上記の平均の外れ値スコア及びその平均の算出例を示す図である。 図１９は、実施の形態における連続値のフィールドの抽出処理例において用いられる、各分割フィールド候補での値の変化の発生頻度を示す図である。 図２０は、実施の形態におけるチェックサムのフィールド抽出処理例のフローチャートである。 図２１は、実施の形態におけるステータスのフィールド抽出処理例のフローチャートである。 図２２は、実施の形態における正常モデルの生成処理例のフローチャートである。 図２３は、図２２に示される正常モデルの生成処理に含まれる、振る舞い情報の取得の処理例のフローチャートである。 図２４は、図２３に示される振る舞い情報の取得の処理を実行する特徴抽出部の動作の一部を説明するための図である。 図２５は、実施の形態における異常検知部の処理の一例を示すフローチャートである。 図２６は、実施の形態における異常検知部の処理の一例を示すフローチャートである。 図２７は、実施の形態における異常検知部の動作例１を示した図である。 図２８は、実施の形態における異常検知部の動作例２を示した図である。 図２９は、実施の形態における異常検知部の動作例３を示した図である。
　非特許文献１のような手法では、ペイロードの分割方法として、収集したフレームから算出される、各分割候補において観測されたユニークな値の個数のみを用いてペイロードの種類の分類及び長さの特定をして分割を行っているため、ペイロードの分割精度が低い。
　本開示は、車載ネットワークにおける精度のよい異常検知をコスト効率よく実現するための情報処理方法等を提供する。
　本開示の一実施様態の情報処理方法は、記憶部を備える情報処理システムが行う、１以上の電子制御ユニットを含む車載ネットワークに流れるデータフレームを処理する情報処理方法であって、車載ネットワークに流れる複数のデータフレームを受信し、複数のデータフレームのそれぞれから、当該データフレームに含まれ、少なくとも１つのフィールドから構成されるペイロードを取得して記憶部に保持される受信ログに１つのレコードとして記録するフレーム収集ステップと、複数のそのレコードから、複数のデータフレームのペイロード内の互いに異なる領域を示す複数のペイロード分割パターン候補のそれぞれについて、当該領域におけるペイロードの値の時系列変化に関する１つ以上の特徴量を算出し、算出した特徴量に基づいて、複数のペイロード分割パターン候補から、ペイロード内にあるフィールドの領域を示すペイロード分割パターンを選択し、選択したペイロード分割パターンが示す領域と、特徴量に基づく当該フィールドのカテゴリとを示すフィールド抽出結果を出力するフィールド抽出ステップとを含む。
　この情報処理システムを用いれば、メッセージ仕様の異なる車載ネットワークシステムに対して個々の事前の設計を必要とせずに異常検知システムを構築でき、コストを抑えた車載ネットワークの保護が可能となる。
　また例えば、受信ログは、複数のレコードの受信された順序を示す情報をさらに含み、特徴量は、時系列変化のパターン数を表す第１の特徴量と、時系列変化の発生頻度を表す第２の特徴量と、時系列変化の変化量に関する統計情報を表す第３の特徴量との少なくとも１つを含む。
　これらの特徴量を個別に使い分けたり組み合わせて用いたりすることで、より高い精度でペイロードのフィールドへの分割が可能になる。これにより、例えばより精度の高い正常モデルを構築することが可能となり、車載ネットワークの異常検知の精度向上が期待できる。
　また例えば、情報処理システムはフィールド抽出ステップにおいて、特徴量に基づいて、ペイロードの値に1回以上の時系列変化があり、時系列変化に含まれる各回の変化量が所定の大きさ以下である領域を示すペイロード分割パターン候補を、第１カテゴリのフィールドの領域を示すペイロード分割パターンとして選択してもよい。
　これにより、例えば正常であれば値が所定の規則に従って変化するフィールドを特定して抽出することができる。例えばこのように特定されたフィールドを攻撃の標的になりやすいフィールドであるとして監視対象とすることで、車載ネットワークの異常検知に用いることができる。
　また例えば、特徴量は上記の第２の特徴量及び第３の特徴量を含み、情報処理システムはフィールド抽出ステップにおいて、複数のペイロード分割パターン候補から、第２の特徴量及び第３の特徴量に基づいて、ペイロードの値が物理量を示す連続値カテゴリのフィールドの領域を示すペイロード分割パターンとして選択することで、第１カテゴリのフィールドを示すペイロード分割パターンを選択する連続値フィールド抽出ステップとを実行してもよい。例えば情報処理システムはフィールド抽出ステップにおいて、複数のペイロード分割パターン候補のそれぞれについて、同一のデータ長の領域を示すペイロード分割パターン候補の中での第３の特徴量の外れ具合を示す外れ値スコアを算出し、ペイロード分割パターン候補の中で開始ビットが同一である領域を示すペイロード分割パターン候補の外れ値スコアの平均値を算出し、平均値が所定の閾値以上である領域を示すペイロード分割パターン候補から、当該ペイロード分割パターン候補に含まれるペイロード分割パターン候補の第２の特徴量の大小関係に基づいて連続値カテゴリに該当するフィールドの領域を示すペイロード分割パターンを選択してもよい。
　これにより、例えばセンサが計測して出力する物理量を示すフィールドを特定することができる。このように特定されたフィールドは、そのフィールドの値又は値の変化率の異常の判定対象として車載ネットワークの異常検知に用いることができる。
　また例えば、情報処理システムはフィールド抽出ステップにおいて、複数のペイロード分割パターン候補から、特徴量に基づいて、ペイロードの値に毎回変化がある領域であって、当該ペイロードの値の各回の変化量が一定である領域を示すペイロード分割パターンをカウンタカテゴリのフィールドの領域を示すペイロード分割パターンとして選択することで、第１カテゴリのフィールドを示すペイロード分割パターンを選択してもよい。
　これにより、値がインクリメント又はデクリメントするフィールドを特定することができる。このように特定されたフィールドは、そのフィールドの値の変化の規則違反に基づく異常の判定対象として車載ネットワークの異常検知に用いることができる。
　また例えば、情報処理システムはフィールド抽出ステップにおいて、特徴量に基づいて、ペイロードの値に1回以上の時系列変化があり、ペイロードの値が離散値を取る領域を示すペイロード分割パターン候補を、第２カテゴリのフィールドの領域を示すペイロード分割パターンとして選択してもよい。例えば第２カテゴリは、フィールド内のペイロードの値の整合性をチェックするためのチェックサムカテゴリと、フィールド内のペイロードの値が車載ネットワークを含む車両の所定の状態を示すステータスカテゴリとの少なくとも一方であってもよい。
　これにより、チェックサム又はフラグ等の離散値を取るフィールドを特定することができる。このように特定されたフィールドは、そのフィールドの値の他のフィールドとの整合性、又は変化の発生頻度等に基づく異常の判定対象として車載ネットワークの異常検知に用いることができる。
　また、情報処理システムはフィールド抽出ステップにおいて、固定値フィールド抽出ステップと、カウンタフィールド抽出ステップと、連続値フィールド抽出ステップと、第２カテゴリフィールド抽出ステップとを順に実行し、固定値フィールド抽出ステップでは、複数のペイロード分割パターン候補から、第１の特徴量が１であるペイロード分割パターン候補を固定値カテゴリのフィールドの領域を示すペイロード分割パターンとして選択し、複数のペイロード分割パターン候補から当該選択したペイロード分割パターンと少なくとも一部が重なるペイロード分割パターン候補を除いた残りを第１のペイロード分割パターン候補とし、カウンタフィールド抽出ステップでは、第１のペイロード分割パターン候補から、カウンタカテゴリのフィールドの領域を示すペイロード分割パターンを選択し、第１のペイロード分割パターン候補から当該選択したペイロード分割パターンと少なくとも一部が重なるペイロード分割パターン候補を除いた残りを第２のペイロード分割パターン候補とし、連続値フィールド抽出ステップでは、第２のペイロード分割パターン候補から、第２の特徴量と、第３の特徴量と、を用いて、第２のペイロード分割パターン候補の中から、連続値カテゴリのフィールドの領域を示すペイロード分割パターンを選択し、第２のペイロード分割パターン候補から当該選択したペイロード分割パターンと少なくとも一部が重なるペイロード分割パターン候補を除いた残りを第３のペイロード分割パターン候補とし、第２カテゴリフィールド抽出ステップでは、第３のペイロード分割パターン候補を、第２カテゴリフィールドとして選択してもよい。
　これにより、未知のペイロードから効率よく各カテゴリのフィールドの範囲を特定して各フィールドを抽出することができる。
　また例えば、さらに前記情報処理システムが実行する、フィールド抽出結果及び受信ログから、選択されたペイロード分割パターンが示すフィールドの値の時系列変化の変化量に関する統計情報に基づいて、当該フィールドの値の変化の正常範囲を示す正常モデルを生成し、生成した正常モデルをさらに出力する特徴抽出ステップを含んでもよい。
　これにより、特定した各カテゴリのフィールドの範囲に加えて値の各種のフィールドの異常判定のための基準が得られ、車載ネットワークの異常検知の実行が可能になる。
　また、複数のデータフレームのそれぞれは、データフレームの種類を示すデータ種別ＩＤを含み、情報処理システムは、フレーム収集ステップにおいて、ペイロード及びデータ種別ＩＤを１つのレコードとして受信ログに記録し、フィールド抽出ステップを、データ種別ＩＤが共通のデータフレームを対象に実行してもよい。
　これにより、バスから取得されたデータフレームに複数の種類のデータフレームが混在する場合であっても、ペイロードのフィールドへの分割が可能である。
　なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータ読み取り可能なＣＤ－ＲＯＭ等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。
　以下、図面を参照しながら、実施の形態について説明する。
　なお、以下で説明する実施の形態は、包括的又は具体的な例を示す。したがって、以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置及び接続形態、ステップ、ステップの順序などは一例であり、本開示を限定する趣旨ではない。
　また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素は、任意で含まれる構成要素として説明される。
　（実施の形態）
　＜１．構成＞
　実施の形態として説明する情報処理システムは、車載ネットワークを流れるデータフレームを受信し、このデータフレームのペイロードをフィールドに分割し、分割して得たフィールドごとの、正常なデータフレームに含まれる値に関する振る舞いモデルを構築する。この情報処理システムはまた、この振る舞いモデルに基づいて、車載ネットワークを監視し、異常なデータフレームを検知する。このような情報処理システムについて図面を参照しながら説明する。
　＜１．１　車載ネットワーク１０の全体構成＞
　図１は、本実施の形態における車載ネットワーク１０の全体構成を示すブロック図である。車載ネットワーク１０は、監視ＥＣＵ１００と、ＥＣＵ２００と、バス３００とを備える。
　監視ＥＣＵ１００は、バス３００に接続され、バス３００を流れるデータフレームを監視し、異常を含む不正なデータフレームが流れているか監視する。通信回路、プロセッサ及びメモリを含むマイクロコントローラ（図示なし）を備える監視ＥＣＵ１００は、本実施の形態における情報処理システムの一例である。
　ＥＣＵ２００ａは、速度センサ２１０及びギア２２０に接続されており、ＥＣＵ２００ｂは、メータ２３０に接続されている。ＥＣＵ２００ａは、定期的にバス３００へ、速度センサ２１０から得られる車両の速度と、ギア２２０のポジションとをデータフレームに含めて送信する。このデータフレームを受信したＥＣＵ２００ｂは、ＥＣＵ２００ａから通知される車両の速度及びギア２２０のポジションを取得し、メータ２３０に表示する。
　以下、本実施の形態の理解を促すために、車載ネットワーク１０で用いられている通信規格であるＣＡＮプロトコルで送信されるデータのフォーマットについて簡単に説明する。
　＜１．２　データフレームフォーマット＞
　図２は、ＣＡＮプロトコルのデータフレームのフォーマットを示す図である。ここではＣＡＮプロトコルにおける標準ＩＤフォーマットにおけるデータフレームを示している。
　データフレームは、Ｓｔａｒｔ　Ｏｆ　Ｆｒａｍｅ（以下、ＳＯＦという）、ＩＤフィールド、Ｒｅｍｏｔｅ　Ｔｒａｎｓｍｉｓｓｉｏｎ　Ｒｅｑｕｅｓｔ（以下、ＲＴＲという）、ＩＤｅｎｔｉｆｉｅｒ　Ｅｘｔｅｎｓｉｏｎ（以下、ＩＤＥという）、予約ビット（以下、ｒという）、データレングスコード（以下、ＤＬＣという）、データフィールド、Ｃｙｃｒｉｃ　Ｒｅｄｕｎｄａｎｃｙ　Ｃｈｅｃｋ（以下、ＣＲＣという）シーケンス、ＣＲＣデリミタ、Ａｃｋｎｏｗｌｅｄｇｅｍｅｎｔト（以下、ＡＣＫとする）スロット（図中のＡＣＫ）、ＡＣＫデリミタ（図中のＤＥＬ）、及びエンドオブフレーム（以下、ＥＯＦ）の１２個の部分から構成される。
　ＳＯＦとは、１ビットのドミナントである。バス３００はアイドルのときになっており、送信ノードはバス３００をレセシブからドミナントへ変更することでフレームの送信開始を通知する。
　ＩＤとは、１１ビット長の値で、データフレームの種類を示す。ここでいうデータフレームの種類とは、例えばデータの内容又はデータフレームの送信元である送信ノードを指す。また、ＩＤは同一ネットワーク上で複数のノードが同時に送信を開始したデータフレーム間での通信調停にも用いられる。より具体的には、ＩＤがより小さい値を持つデータフレームは優先順位がより高い。ＩＤは、本実施の形態におけるデータ種別ＩＤの例である。
　ＲＴＲは、１ビットのドミナントで、データフレームであることを示す。
　ＩＤＥ及びｒは、それぞれ１ビットのドミナントである。
　ＤＬＣは４ビット長の値で、続くデータフィールドの長さを示す。
　データフィールドは、最大６４ビット長の、送信されるデータの部分であり、データフレームのペイロードに相当する。８ビット単位で長さが調整可能である。送信されるデータのこの部分への割り当てに関する仕様は車種や製造者に依存する。
　ＣＲＣシーケンスは１５ビット長で、ＳＯＦ、ＩＤフィールド、コントロールフィールド、及びデータフィールドの送信値より算出される値を示す。受信ノードはＳＯＦ、ＩＤフィールド、コントロールフィールド、及びデータフィールドの受信値から算出した結果をＣＲＣシーケンスの値と比較することで異常の有無を判断する。
　ＣＲＣデリミタは１ビットのレセシブで、ＣＲＣシーケンスの終了を表す区切り記号である。
　ＡＣＫスロットは１ビット長で、送信ノードはこの部分でレセシブを送信する。受信ノードはＣＲＣシーケンスまで正常に受信ができていればこの部分でドミナントを送信する。ＣＡＮの規格では、同時に送信されたドミナントとレセシブとでは上述のとおりドミナントが優先されるため、通信が正常に行われている車載ネットワーク１０では、ＡＣＫスロットの送信中はバス３００がドミナントの状態である。
　ＡＣＫデリミタは１ビット長のレセシブで、ＡＣＫスロットの終了を表す区切り記号である。
　ＥＯＦは７ビット長のレセシブで、データフレームの終了を示す。
　＜１．３　エラーフレームフォーマット＞
　図３は、ＣＡＮプロトコルのエラーフレームのフォーマットを示す図である。エラーフレームは、エラーフラグ（プライマリ）、エラーフラグ（セカンダリ）、及びエラーデリミタ（図中ＤＥＬ）の３個の部分から構成される。
　エラーフラグ（プライマリ）は、エラーの発生を他のノードに知らせるために使用される。連続する６ビットのドミナントであり、ＣＡＮプロトコルにおける、連続する同じ値の５ビットの次には異なる値を１ビット送信するというビットスタッフィングルールに違反する。このビットスタッフィングルール違反の発生によって、他のノードからのエラーフラグ（セカンダリ）の送信が引き起こされる。
　エラーフラグ（セカンダリ）は、エラーの発生を他のノードに通知するために送信される６ビット長のドミナントである。エラーフラグ（プライマリ）を受信した全てのノードが送信する。
　エラーデリミタは８ビット長のレセシブで、エラーフレームの終了を示す。
　＜１．４　監視ＥＣＵ１００の構成図＞
　図４は、監視ＥＣＵ１００の機能構成を示すブロック図である。
　監視ＥＣＵ１００は、フレーム送受信部１１０と、フレーム収集部１２０と、動作判断部１３０と、ペイロード分割部１４０と、特徴抽出部１５０と、異常検知部１６０と、フレーム生成部１７０と、モード保持部１８０と、受信ログ保持部１９０と、正常モデル保持部１９１とを備える。
　フレーム送受信部１１０は、バス３００に対して、ＣＡＮのプロトコルに従ったデータフレームを送受信する。即ち、フレーム送受信部１１０は、バス３００からデータフレームを１ビットずつ受信する。また、データフレームの受信がエラー無く完了すると、データフレームに含まれるＩＤ、ＤＬＣ、及びデータフィールドをフレーム収集部１２０及び動作判断部１３０に転送する。また、受信したデータフレームがＣＡＮプロトコルに則っていないと判断した場合、フレーム送受信部１１０はエラーフレームを送信する。また、フレーム送受信部１１０は、他のノードからエラーフレームを受信した場合、つまり受け取ったフレームの値からエラーフレームであると判断した場合には、受信中のデータフレームを破棄する。また、フレーム生成部１７０からデータフレームの送信要求を受けた場合には、フレーム送受信部１１０はバス３００へデータフレームを１ビットずつ送信する。
　フレーム収集部１２０は、フレーム送受信部１１０よりデータフレームの上述の一部を受け取り、このデータフレームが受信された時刻（以下、受信時刻という）、並びにデータフレームに含まれていたＩＤ及びデータフィールドを、受信ログ保持部１９０に保持される受信ログに１レコードとして記録する。受信時刻は、例えば監視ＥＣＵ１００が起動してから経過した稼働時間を計測するタイマを参照して記録される。このようなタイマは、例えば監視ＥＣＵ１００が備えるマイクロコントローラに含まれる。
　動作判断部１３０は、モード保持部１８０に格納されている動作モードを示す値をデータフレーム受信時に参照し、この動作モードに従って監視ＥＣＵ１００の順次の動作を決定する。監視ＥＣＵ１００の動作モードには収集モードと監視モードの２つがある。動作モードを収集モードに決定した場合、動作判断部１３０は監視ＥＣＵ１００が通算で１時間以上動作しているかを確認する。１時間以上動作していない場合は特に動作を行わない。１時間以上動作している場合、動作判断部１３０は、ペイロード分割部１４０へ所定の動作要求を行い、その後、動作モードを監視モードに切り替える。動作モードが監視モードである場合には、異常検知部１６０へ異常検知要求を行う。
　ペイロード分割部１４０は、受信ログ保持部１９０に格納されている受信ログを参照し、共通のＩＤを含むレコードのペイロード、つまりデータフィールドを分割して、特定の意味をなすビット列（以下、フィールドという）であるフィールドを抽出する。データフィールドに含まれるフィールドは、その示す情報に応じて、固定値、カウンタ、連続値、チェックサム、ステータスのいずれかのカテゴリに分類される。例えば、速度センサ２１０によって計測された自動車の速度を示す値が占める領域などが１つのフィールドに該当し、当該フィールドは連続値に分類される。分割方法の詳細については後述の１．１１から１．１６で説明する。
　また、ペイロード分割部１４０は、共通のＩＤを含むレコードのペイロードを分割して得たフィールドに関する情報を、特徴抽出部１５０に通知する。この情報の例には、フィールドのカテゴリ、フィールドの領域、フィールドの値が含まれる。
　特徴抽出部１５０は、ペイロード分割部１４０から通知される、ペイロードの分割によって得られたフィールドに関する情報と、受信ログとから正常モデルを生成して正常モデル保持部１９１に格納する。
　このような正常モデルはデータフレームのＩＤごとに生成され、データフレームの受信間隔に関する情報である受信間隔の平均及び分散と、データフィールドに関する情報であるフィールドの領域、カテゴリ、及び振る舞い情報とを含む。
　データフィールドに関する情報のうち、振る舞い情報は、受信ログ保持部１９０に格納されている受信ログに含まれるペイロードの値からフィールドごとに生成される。
　振る舞い情報に含まれる情報はフィールドのカテゴリによって異なる。例えば固定値のカテゴリに属するフィールドの振る舞い情報には、受信ログ中に観測された固定値の値が含まれる。この値は、監視モードでホワイトリストの値として用いられる。カウンタのカテゴリに属するフィールドに関しては、振る舞い情報がない。連続値のカテゴリに属するフィールドに関しては、受信ログ中に観測された連続するデータフレーム間の該当フィールドにおける値の差分つまり変化量の平均及び分散を含む。ステータスのカテゴリに属するフィールドに関しては、受信ログ中に含まれる、あるＩＤのデータフレームの総受信数に対して、時系列で直前のデータフレームからフィールドの値に変化が発生した割合、つまり変化の発生頻度を含む。なお、ステータスとは、車両上の何らかの状態であり、例えば前照灯等の特定の装置のＯＮ／ＯＦＦ、ギアポジション、運転モード等を指す。
　異常検知部１６０は、動作判断部１３０から異常検知要求を受けた場合に、不正なデータフレームの受信の検知のための処理（以下、異常検知処理という）を行う。より具体的には、異常検知部１６０は、受信ログ保持部１９０に格納されている受信ログを参照し、正常モデル保持部１９１に格納されている正常モデルと受信ログとを用いて不正なデータフレームの受信の有無を判定する。
　例えば異常検知部１６０は、あるＩＤのデータフレームの正常モデルで固定値のカテゴリに属するフィールドに関して、受信ログ中でこのＩＤを含むレコードのデータフィールド内の当該フィールドの領域の値と正常モデルでこのフィールドの振る舞い情報に示される値とを比較する。そしてこれらの値が異なる場合、異常検知部１６０は不正なデータフレームを受信したと判定する。
　また異常検知部１６０は、あるＩＤのデータフレームの正常モデルでカウンタのカテゴリに属するフィールドに関して、受信ログ中でこのＩＤを含むレコードのデータフィールド内の当該フィールドの領域の値が、時間順で正しくインクリメントしているか否か判定する。正しくインクリメントしていない場合、異常検知部１６０は、不正なデータフレームを受信したと判定する。
　また異常検知部１６０は、あるＩＤのデータフレームの正常モデルで連続値のカテゴリに属するフィールドに関して、受信ログ中でこのＩＤを含むレコードのデータフィールド内の当該フィールドの領域の値の直前のレコードでの値からの変化量が、正常モデルでこのフィールドの振る舞い情報に含まれる変化量の平均に対して外れ値であるか否か判定する。そして外れ値である場合、異常検知部１６０は、不正なデータフレームを受信したと判定する。なお、外れ値であるか否かの判定は、正常モデルの振る舞い情報に示される変化量の分散を用いて、例えば当該フィールドの値の変化量の平均値±３×（√分散）の範囲に収まるか否かに基づいて行われる。
　また異常検知部１６０は、あるＩＤのデータフレームの正常モデルでステータスのカテゴリに属するフィールドに関して、受信ログ中でこのＩＤを含むレコードのデータフィールド内の当該フィールドの領域の値を１秒などの所定の時間幅で見たときにフィールドの値の変化の発生頻度と、正常モデルの振る舞い情報に示される発生頻度とを比較する。これらの発生頻度の値の差が所定の閾値より大きい場合、異常検知部１６０は、不正なデータフレームを受信したと判定する。
　このような判定によって異常を含むデータフレームを受信したことを検知すると、異常検知部１６０は、フレーム生成部１７０に、例えば不正なデータフレームを受信していることを通知するためのデータフレームの生成を要求する。
　フレーム生成部１７０は、異常検知部１６０から上記のデータフレームの生成を要求されると、不正なデータフレームを受信していることを通知するためのデータフレームを生成し、フレーム送受信部１１０へ通知する。
　モード保持部１８０は、監視ＥＣＵ１００の現在の動作モードを示す値を保持している。動作モードは、上述のとおり収集モードと又は監視モードである。図５にモード保持部１８０が保持する動作モードの値の一例を示す。動作モードについては、後述の１．６にて説明する。
　受信ログ保持部１９０は、フレーム収集部１２０から通知されたデータフレームの情報（受信時刻、ＩＤ、データフィールド）を保持する。図６に受信ログ保持部１９０に格納されている受信ログの一例を示す。受信ログについては、後述の１．７にて説明する。
　正常モデル保持部１９１は、特徴抽出部１５０が抽出した正常モデルを保持する。図７に正常モデル保持部１９１が保持する正常モデルの一例を示す。正常モデルについては、１．８にて説明する。
　これらの機能的な構成要素は、監視ＥＣＵ１００が備えるマイクロコントローラにおいて、通信回路を通じて受信したデータフレームを、プロセッサがメモリに格納されたプログラムを実行して処理し、必要に応じて処理の中間又は最終で生成されるデータがメモリに保持されることによって実現される。
　＜１．５　監視ＥＣＵ１００の動作＞
　上述のように構成される監視ＥＣＵ１００の動作における一連の工程について、図８に示されるフローチャートを用いて説明する。
　（ステップＳ１）監視ＥＣＵ１００のフレーム送受信部１１０が、車載ネットワークのバス３００を流れるデータフレームを受信する。
　（ステップＳ２）監視ＥＣＵ１００のフレーム収集部１２０は、ステップＳ１で受信されたデータフレームの受信時刻、ＩＤ、及びデータフィールドを含むレコードを、受信ログ保持部１９０に保持される受信ログに記録する。
　（ステップＳ３）監視ＥＣＵ１００の動作判断部１３０は、監視ＥＣＵ１００の現在の動作モードを、モード保持部１８０を参照して確認する。現在の動作モードが監視モードである場合（ＹＥＳの場合）、動作判断部１３０はステップＳ４へ進む。そうでない場合、つまり現在の動作モードが収集モードである場合（ＮＯの場合）、動作判断部１３０はステップＳ７へ進む。
　（ステップＳ４）監視ＥＣＵ１００の動作判断部１３０は異常検知部１６０へ異常検知処理要求を行い、異常検知部１６０は上述のような異常検知処理を行う。
　（ステップＳ５）監視ＥＣＵ１００の異常検知部１６０は、異常検知処理の結果、異常が検知された場合（ＹＥＳの場合）にステップＳ６へ進む。そうでない場合（ＮＯの場合）、監視ＥＣＵ１００はステップＳ１に戻る。
　（ステップＳ６）監視ＥＣＵ１００の異常検知部１６０は、異常を検知したことを他のノードに通知するデータフレームの生成要求を、フレーム生成部１７０に送信する。フレーム生成部１７０は不正なデータフレームの受信を通知するデータフレームを生成し、フレーム送受信部１１０を通してバス３００にこのデータフレームを送信して終了する。
　（ステップＳ７）監視ＥＣＵ１００の動作判断部１３０は、監視ＥＣＵ１００が１時間以上動作しているかを判定する。監視ＥＣＵ１００が１時間以上動作している場合（ＹＥＳの場合）は、ステップＳ８へ進む。そうでない場合（ＮＯの場合）、監視ＥＣＵ１００はステップＳ１に戻る。
　（ステップＳ８）監視ＥＣＵ１００の動作判断部１３０は、ペイロード分割部１４０にペイロード分割処理要求を行う。ペイロード分割部１４０は、データフレームのペイロードであるデータフィールドを分割してフィールド抽出処理を行う。
　（ステップＳ９）監視ＥＣＵ１００の特徴抽出部１５０は、ペイロード分割部１４０によるフィールド抽出処理の結果を用いて正常モデルを生成し、正常モデル保持部１９１に格納する。
　（ステップＳ１０）監視ＥＣＵ１００の動作判断部１３０は、モード保持部１８０が保持する動作モードの値を書き換えて監視ＥＣＵ１００の動作モードを収集モードから監視モードに切り替える。
　上記の各ステップのうち、ステップＳ１及びステップＳ２は本実施の形態におけるフレーム収集ステップの例であり、ステップＳ８は本実施の形態におけるフィールド抽出ステップの例である。
　なお、フローチャートではステップＳ６又はステップＳ１０の工程を最後に監視ＥＣＵ１００の動作が終了する流れが示されるが、実際にはステップＳ１に戻って動作が反復的に継続されてもよい。
　＜１．６　動作モードのデータ構成＞
　図５を参照して、モード保持部１８０が保持する動作モードの一例を示す。
　この例では、監視ＥＣＵ１００の現在の動作モードは収集モードであることが示されている。収集モードでは、監視ＥＣＵ１００が受信するデータフレームのデータフィールド等がフレーム収集部１２０によって受信ログ保持部１９０に格納される。
　＜１．７　受信ログのデータ構成＞
　図６に、受信ログ保持部１９０が保持する受信ログの一例を示す。
　この受信ログはＩＤが０ｘ１００であるデータフレームを複数個受信した後の状態である。データ行の各行が１レコードであり、上から下に時間順に並ぶ。
　この例におけるデータフィールドの長さは５ビットで、受信ログの中で最も早く受信されたデータフレームの受信時刻は５１ｍｓであり、データフィールドの値は０ｘ００　０ｘ００　０ｘ００　０ｘ１０　０ｘ１０である。また、最も遅くに受信されたデータフレームの受信時刻は５００４５０ｍｓであり、データフィールドの値は、０ｘ２６　０ｘ１５　０ｘ４Ｂ　０ｘ３０　０ｘＢ６である。
　＜１．８　正常モデルのデータ構成＞
　図７に、正常モデル保持部１９１が保持する正常モデルの一例を示す。
　この例に示される正常モデルは、ＩＤが０ｘ１００のデータフレームに関する正常モデルである。この正常モデルには、ＩＤが０ｘ１００のデータフレームの受信間隔に関する情報として、受信間隔の平均である５０ｍｓ、受信間隔の分散である３ｍｓが含まれている。またデータフィールドに関する情報として、データフィールドを分割して得られた７つのフィールドそれぞれの開始ビット位置、ビット長、カテゴリ、及び振る舞い情報が含まれる。より具体的には、データフィールドの上位１ビット目から８ビット長のフィールドはカウンタを示すフィールドである。データフィールドの上位９ビット目から、２ビット長さのフィールドは固定値を示し、その値は０である。データフィールドの上位１１ビット目から１４ビット長さのフィールドは連続値を示し、フィールドの値に発生した変化の変化量の平均は１０であり、分散は１００である。データフィールドの上位２５ビット目から、１ビット長のフィールドは固定値であり、その値は０である。データフィールドの上位２６ビット目から３ビット長のフィールドは車両のステータスを示し値の変化の発生頻度は０．０００１である。データフィールドの上位３３ビット目から８ビット長のフィールドはチェックサムである。
　＜１．９　他のＥＣＵの構成＞
　図９は、車載ネットワークに接続されるノードの例であるＥＣＵ２００ａ又はＥＣＵ２００ｂの機能構成を示すブロック図である。ＥＣＵ２００ａはフレーム送受信部２０１と、フレーム処理部２０２と、外部機器入出力部２０３と、フレーム生成部２０４とを備える。これらの機能的な構成要素は、ＥＣＵ２００ａにおける通信回路、メモリに格納された制御プログラムを実行するプロセッサ又はデジタル回路等により実現される。
　フレーム送受信部２０１は、バス３００に対して、ＣＡＮのプロトコルに従ったデータフレームを送受信する。即ち、フレーム送受信部２０１はバス３００からデータフレームを１ビットずつ受信する。また、データフレームの受信がエラー無く完了すると、データフレームに含まれるＩＤ、ＤＬＣ、及びデータフィールドをフレーム処理部２０２に転送する。受信したデータフレームがＣＡＮプロトコルに則っていないと判断した場合、フレーム送受信部２０１はエラーフレームを送信する。また、他のノードからエラーフレームを受信した場合、フレーム送受信部２０１は受信中のデータフレームを破棄する。通信調停といったＣＡＮのプロトコルに則った処理も、フレーム送受信部２０１において実行される。
　フレーム処理部２０２は、受信したデータフレームの内容を解釈する。例えばＥＣＵ２００ｂでは、ＥＣＵ２００ａから送信されるデータフレームのデータフィールドに含まれる速度センサ２１０が計測した速度及びギア２２０のポジションの情報を取得し、これらの情報をメータ２３０に表示させるための制御情報を外部機器入出力部２０３に通知する。このときフレーム処理部２０２は、データフレームに含まれているカウンタ及びチェックサムが所定の条件を満たしているかを確認する。より具体的には、カウンタについては、受信済みの同ＩＤのデータフレームに含まれていたカウンタの値よりも大きな値であるかを確認する。
　チェックサムについては、例えばデータフィールドのチェックサムのフィールド以外の部分を１バイトずつに分割し、全ての値を加算した和の下位１バイトがチェックサムの値となっているかを確認する。カウンタ及びチェックサムがこれらの条件を満たしている場合に、受信したデータフレームに基づいた情報がメータ２３０に表示される。
　外部機器入出力部２０３は、ＥＣＵ２００ａ又はＥＣＵ２００ｂに接続される外部機器と通信を行う。例えばＥＣＵ２００ａの場合、外部機器入出力部２０３は、速度センサ２１０及びギア２２０と接続され、現在の車両の速度及びギア２２０のポジションの情報の通知を受け、これらの情報をフレーム生成部２０４に通知する。ＥＣＵ２００ｂの場合、外部機器入出力部２０３はメータ２３０に接続され、現在の車両の速度や及びギア２２０のポジションの情報を運転者に通知するために、これらの情報を表示させる信号をメータ２３０に送信する。
　フレーム生成部２０４は、バス３００へ送信するデータフレームを生成する。例えばＥＣＵ２００ａでは、外部機器入出力部２０３から通知された、速度センサ２１０から取得した車両の速度と、ギア２２０から取得したギアのポジションを含むデータフレームを、あらかじめ定められた周期、例えば５０ｍｓ間隔で生成し、フレーム送受信部２０１に送信する。またカウンタ及びチェックサムもこのデータフレームに含める。カウンタは送信のたびにインクリメントされ、チェックサムは前述の式を満たすように算出される。なお、データフレームが生成される間隔は５０ｍｓ以外の間隔でもよい。図１０に、ＥＣＵ２００ａがバス３００に送信するデータフレームの一部の例を示す。監視ＥＣＵ１００及びＥＣＵ２００ｂはバス３００からこのデータフレームを受信する。このようにデータフレームは、少なくとも１つの、特定の意味をなすビット列であるフィールドから構成される。ただし、収集モードで動作中の監視ＥＣＵ１００にとって、受信したデータフレームに含まれるデータフィールドの内容又はデータフィールドの適切な分割方法が不明であるため、このデータフィールドは単なる５バイト長のデータである。
　＜１．１０　ＥＣＵが送信するデータフレームの構成＞
　車載ネットワークに接続される各ＥＣＵが送信するデータフレームの構成について例を用いて説明する。図１０は、ＥＣＵ２００ａが送信するデータフレームの例を示した図である。ただし、図１０では本実施の形態の説明に必要な部分のみを抜粋して図示している。
　ＥＣＵ２００ａは、ＩＤが０ｘ１００で、ＤＬＣが５のデータフレームを送信する。
　データフィールドの先頭１バイトの領域はカウンタのフィールドで、その値は０ｘ２６である。カウンタのフィールドの値は送信のたびにインクリメントされる。
　データフィールドの２バイト目と３バイト目とを連結した領域は速度センサ２１０が測定した速度を示すフィールドである。この例では、速度は０．０１ｋｍ／ｈ単位で表され、０ｘ１５４Ｂの値は速度の測定値が５４．５１ｋｍ／ｈであることを示す。
　４バイト目の上位４ビットの領域はギア２２０のポジションを示すフィールドであり、０がニュートラル、１がパーキング、２がリバース、３がドライブであることを示す。図１０の例では値が３であることから、ギアポジションはドライブである。
　４バイト目の下位４ビットの領域は固定値のフィールドであり、０で埋められている。
　５バイト目はチェックサムのフィールドである。このフィールドに入る値は、データフィールドのチェックサムのフィールド以外の部分を１バイトの領域に分割し、各領域の値を加算して得られる和の下位１バイトの値である。図１０の例でこのような各領域の値の和を求めると、０ｘ２６＋０ｘ１５＋０ｘ４Ｂ＋０ｘ３０＝０ｘＢ６となる。したがって、チェックサムのフィールドに入るべき正しい値は０ｘＢ６である。
　なお、上述のとおり、上記のようなデータフィールドで各フィールドが占める領域及び各フィールドが示す情報の種類、つまりフィールドのカテゴリは各カーメーカが決定する仕様に依存し、また、車種又は年式によっても異なる場合がある。
　監視ＥＣＵ１００では、各フィールドの領域及びカテゴリが未知のデータフィールドを、ペイロード分割部１４０がデータフィールド内の値の変化に関する特徴を用いて分割してフィールドを抽出する。次に、ペイロード分割部１４０によるデータフィールドを分割してフィールドを抽出する処理について例を用いて説明する。
　＜１．１１　ペイロード分割部１４０による処理＞
　ペイロード分割部１４０がデータフィールドを分割してフィールドを抽出する処理で実行する一連のステップについて、図１１に示されるフローチャートを用いて説明する。ペイロード分割部１４０は、この動作を図８のフローチャートにあるステップＳ８で行う。したがって、図８のフローチャートに示されるように、ペイロード分割部１４０は、監視ＥＣＵ１００が複数のデータフレームを既に受信しており、受信ログには複数種類のＩＤを含むレコードが記録されている状態からこの動作によるフィールド抽出処理を実行する。
　（ステップＳ１１）ペイロード分割部１４０は、動作判断部１３０からステップＳ８でのペイロード分割処理要求を受けると、受信ログ保持部１９０を参照し、受信ログからＩＤごとにレコードを抽出する。
　（ステップＳ１２）ペイロード分割部１４０は、受信ログに含まれる全てのＩＤに対して、フィールド抽出を完了している場合（ＮＯの場合）、動作を終了し、フィールド抽出の結果を特徴抽出部１５０へ通知する。フィールド抽出を未実行のＩＤがある場合（ＹＥＳの場合）は、フィールド抽出が未実行のＩＤのいずれかを含むレコードを選択する。つまり、ペイロード分割部１４０は、フィールド抽出が未実行のＩＤを共通に含むデータフレームのデータフィールドを分割してフィールドを抽出する。
　（ステップＳ１３）ペイロード分割部１４０は、データフィールドの分割パターン候補ごとの特徴量を算出する。
　分割パターン候補とは、データフィールドをビット単位で分割して得られる領域のパターンであり、例えば領域の開始ビット位置（以下Ｉｎｄｅｘともいう）とビットの単位で表されるデータ長（以下Ｌｅｎｇｔｈともいう）との組み合わせ（Ｉｎｄｅｘ，Ｌｅｎｇｔｈ）で表される。例えば６４ビット長のデータフィールドに関しては、ＩｎｄｅｘとＬｅｎｇｔｈはそれぞれ１～６４の値をとりうるが、Ｉｎｄｅｘ＋Ｌｅｎｇｔｈ－１（領域の終端ビット位置）は６４を超えない。そのため、値が１のＩｎｄｅｘに対してはＬｅｎｇｔｈが１～６４までの６４通り、値が２のＩｎｄｅｘに対してはＬｅｎｇｔｈが１～６３の６３通り、値が３のＩｎｄｅｘに対してはＬｅｎｇｔｈが１～６２の６２通りあり、値が６４のＩｎｄｅｘに対しては、Ｌｅｎｇｔｈは１のみの１通りである。つまり６４ビット長のデータフィールドの場合、分割パターン候補の個数は、Σｘ（ｘ＝１～６４）＝６５×６４÷２＝２０８０通りとなる。このような分割パターン候補は、本実施の形態におけるペイロード分割パターン候補の例である。
　図１２は分割パターン候補からの特徴量の抽出について説明するための例を示す図である。図１２では、受信ログから抽出されたあるＩＤを共通に含む２５６個のレコードに含まれる、５バイト長のデータフィールドの値が上から受信順に並べられている。
　本実施の形態においては、特徴量は各分割パターン候補の範囲にあるデータフィールドの値に変化に関するものであり、３種類ある。各特徴量について、分割パターン候補（１３，８）を例により詳細に説明する。この分割パターン候補（１３，８）は、図１２では点線の枠で示される。
　１つ目の特徴量は、各分割パターン候補が示す領域におけるデータフィールドの値のパターン数である。この特徴量は、分割パターン候補が示す領域内のデータフィールドの値の種類数、又はこの領域において重複を除いたデータフィールドの値の個数をカウントして求めることができる。この特徴量を以下では第１の特徴量という。
　２つ目の特徴量は、時系列で見て直前のデータフレームからの値の変化の発生頻度である。この特徴量は、分割パターン候補が示す領域内のデータフィールドの値が変化した回数を（受信ログから抽出されたＩＤを共通に含むレコードの数－１）で割って求めることができる。データフィールドの値が変化した回数は、時系列順に並べたレコードの当該領域内の階差を求め、階差が０で無い個数をカウントして求めることができる。例えば図１２に示されるように２５６個のレコードがあり、そのうち領域（１３，８）で直前に受信されたデータフレームから値が変化した回数が５１回である場合、この領域（１３，８）での当該特徴量は５１／（２５６－１）＝０．２である。この特徴量を以下では第２の特徴量という。
　３つ目の特徴量は、時系列で見て発生した直前のデータフレームからの値の変化量の分散である。この特徴量は、上述のように階差から求めた変化量から算出することができる。この特徴量を以下では第３の特徴量という。
　（ステップＳ１４）ペイロード分割部１４０は、分割パターン候補の中から、ステップＳ１３で抽出した特徴量が所定の条件を満たすものを、固定値のカテゴリに属するフィールドの領域を示す分割パターンとして選択する。この選択については、後述の１．１２で例を用いて説明する。
　また、１つのビットが２つのフィールドに含まれることはないため、ペイロード分割部１４０は、ステップＳ１４で選択された領域と少なくとも一部が重なる分割パターン候補は以降のステップでの条件判定の対象から除外する。残る分割パターン候補を、以下では第１のペイロード分割パターン候補という。
　（ステップＳ１５）ペイロード分割部１４０は、第１のペイロード分割パターン候補の中から、ステップＳ１３で抽出した特徴量が所定の条件を満たすものを、カウンタのカテゴリに属するフィールドの領域を示す分割パターンとして選択する。この選択については、後述の１．１３で例を用いて説明する。
　また、ペイロード分割部１４０は、ステップＳ１５で選択された領域と少なくとも一部が重なる分割パターン候補を、以降のステップでの条件判定の対象からさらに除外する。なお残る分割パターン候補を、以下では第２のペイロード分割パターン候補という。
　（ステップＳ１６）ペイロード分割部１４０は、第２のペイロード分割パターン候補の中から、ステップＳ１３で抽出した特徴量が所定の条件を満たすものを、連続値のカテゴリに属するフィールドの領域を示す分割パターンとして選択する。この選択については、後述の１．１４で例を用いて説明する。
　また、ペイロード分割部１４０は、ステップＳ１６で選択された領域と少なくとも一部が重なる分割パターン候補を、以降のステップでの条件判定の対象からさらに除外する。なお残る分割パターン候補を、以下では第３のペイロード分割パターン候補という。
　（ステップＳ１７）ペイロード分割部１４０は、第３のペイロード分割パターン候補の中から、ステップＳ１３で抽出した特徴量が所定の条件を満たすものを、チェックサムのカテゴリに属するフィールドの領域を示す分割パターンとして選択する。この選択については、後述の１．１５で例を用いて説明する。
　（ステップＳ１８）ペイロード分割部１４０は、なお残る分割パターン候補を、ステータスのカテゴリに属するフィールドの領域を示す分割パターンとして選択する。この選択については、後述の１．１６で例を用いて説明する。
　ステップＳ１８で１種類のＩＤのデータフレームのデータフィールドからのフィールドの抽出は完了し、ステップＳ１２に戻る。他のＩＤのデータフレームで未処理のものがあれば、ペイロード分割部１４０によるステップＳ１３以降の実行対象となる。
　＜１．１２　固定値のフィールド＞
　図１３は、ペイロード分割部１４０による、ステップＳ１４での固定値のフィールドの抽出処理例のフローチャートである。また、図１４はこの処理を説明するための例を示す図である。図１４に示されるようなテーブルデータが、ステップＳ１３の処理の結果として監視ＥＣＵ１００のメモリに保持されていると想定してもよい。
　（ステップＳ１４１）まず、ペイロード分割部１４０は、上記の３種類の特徴量を算出した分割パターン候補から、第１の特徴量が１であるという条件を満たす分割パターン候補を抽出する。つまり、データフィールドの値が、受信ログから抽出されたレコードで全て共通する範囲を示す分割パターン候補が抽出される。
　図１４に例示されるテーブルは、各行が５バイトのデータフィールドの分割パターン候補が示す領域の開始ビット位置（Ｉｎｄｅｘ）、各列がその領域のビット長（Ｌｅｎｇｔｈ）を表している。セル内には、ステップＳ１３で算出された各特徴量が、第１の特徴量、第２の特徴量、第３の特徴量、つまり値のパターン数、変化の発生頻度，変化量の分散の順に含まれている。なお、データフィールド内で生じない開始ビット位置とビット長との組み合わせを示すセルには斜線がかけられている。また、一部のセルについては特徴量の値又は組み合わせ有無の記載を省略して「…」としている。
　この例の場合にステップＳ１４１において抽出される分割パターン候補は、領域（２９，１）、（２９，２）、（２９，３）、（２９，４）、（３０，１）、（３０，２）、（３０，３）、（３１，１）、（３１，２）、（３２，１）を示す分割パターン候補である。
　（ステップＳ１４２）ペイロード分割部１４０は、抽出した分割パターン候補からさらに所定の条件に照らして絞り込む。具体的には、抽出した分割パターン候補に含まれる１の分割パターン候補が示す領域全体が他の分割パターン候補が示す領域に含まれる場合、この１の分割パターン候補を除外する。これにより、連続するビットからなる固定値の領域の一部のみを示す分割パターン候補が除かれる。
　（ステップＳ１４３）ペイロード分割部１４０は、残る分割パターン候補を、固定値のカテゴリに属するフィールドの領域を示す分割パターンとして選択する。上記の例では、ステップＳ１４２の実行の結果、領域（２９，４）を示す分割パターン候補が残るため、この分割パターン候補が固定値のカテゴリに属するフィールドの領域として選択される。
　（ステップＳ１４４）ペイロード分割部１４０は、ステップＳ１４３で選択した分割パターン候補と重なる、つまり、選択した分割パターン候補に含まれるビットを含む他の分割パターン候補を削除する。
　ステップＳ１４３で領域（２９，４）を示す分割パターン候補が選択されたこの例では、５バイト長のデータフィールドの２９ビット目から３２ビット目のうちのいずれかのビットを含む分割パターン候補がステップＳ１４４で削除される。より具体的には、開始ビット位置が１でありビット長が２９～４０の分割パターン候補、開始ビット位置が２でありビット長が２８～３９の分割パターン候補はいずれも削除される。また、開始ビット位置が２９～３２である分割パターンも全て削除される。残る分割パターン候補が、上述の第１のペイロード分割パターン候補に該当する。
　（ステップＳ１４５）ペイロード分割部１４０は、固定値のフィールドの領域を示す分割パターンを選択した結果を出力する。この例では、ペイロード分割部１４０は、開始ビット位置が２９でビット長が４のフィールドが固定値のカテゴリに属するフィールドであることを監視ＥＣＵ１００のメモリに書き込む等してステップＳ１４を終了する。
　＜１．１３　カウンタのフィールド＞
　図１５は、ペイロード分割部１４０による、ステップＳ１５でのカウンタのフィールドの抽出処理例のフローチャートである。
　（ステップＳ１５１）まず、ペイロード分割部１４０は、上記の第１のペイロード分割パターン候補から、第１の特徴量が２＾（分割パターンのビット長）又はステップＳ１１で受信ログから抽出したレコードの数と一致する分割パターン候補を抽出する。つまり、ステップＳ１１で抽出したレコード中に、各分割パターン候補のビット長で表すことのできる全ての値が表れたもの、又は全レコードの値が異なるものを抽出する。
　（ステップＳ１５２）ペイロード分割部１４０は受信ログ保持部１９０を参照し、抽出した分割パターン候補が示す領域の値を全て抽出する。そして抽出したフィールドの値が受信順で通してインクリメントしている分割パターン候補、又はオーバーフロー時に値が０に戻っている、つまり２進数表現で全桁の値が１の領域がその次のレコードで全桁の値が０であった領域の分割パターン候補を、ステップＳ１５１で抽出した分割パターン候補から抽出する。
　（ステップＳ１５３）ペイロード分割部１４０は、ステップＳ１５２で抽出した分割パターンのうち、他の分割パターンの候補と重なっていないものを、カウンタのカテゴリに属するフィールドの領域を示す分割パターンとして選択する。
　（ステップＳ１５４）ペイロード分割部１４０は、ステップＳ１５２で抽出した分割パターンであって他の分割パターン候補と重なるもののうち、他の分割パターン候補の一部であるものを除いて、カウンタのカテゴリに属するフィールドの領域を示す分割パターンとしてさらに選択する。これは、値がインクリメントしているビット列で最も長いものをひとつのカウンタのフィールドとして見つけるために行われるステップである。
　（ステップＳ１５５）ペイロード分割部１４０は、ステップＳ１５３及びＳ１５４で選択した分割パターン候補と重なる、つまり、選択した分割パターン候補に含まれるビットを含む他の分割パターン候補を削除する。ステップＳ１５５は、ステップＳ１４４と同様のステップであるため詳細な説明を省略する。ステップＳ１５５の結果なお残る分割パターン候補が、上述の第２のペイロード分割パターン候補に該当する。
　（ステップＳ１５６）ペイロード分割部１４０は、カウンタのフィールドの領域を示す分割パターンを選択した結果を出力して、ステップＳ１５を終了する。
　なお、カウンタフィールド抽出方法の変形例として、インクリメントは１ずつ増加でも、２ずつ増加でもよい、常に増加されていればどのような値で増加してもよい。さらにデクリメントされるカウンタを抽出してもよい。同様にデクリメントは１ずつ減少でも、２ずつ減少してもよく、常に減少されていればどのような値で減少していてもよい。
　また、ステップＳ１５１では、全てのレコードで値が変化している分割パターンを示す分割パターン候補が抽出されてもよく、第２の特徴量に基づいて、つまり第２の特徴量が１の分割パターン候補が抽出されてもよい。
　＜１．１４　連続値のフィールド＞
　図１６及び図１７は、ペイロード分割部１４０による、ステップＳ１６での連続値のフィールドの抽出処理例のフローチャートである。また、図１８Ａ及び図１８Ｂは、この処理を説明するための例を示す図である。
　ここで、第２のペイロード分割パターン候補、つまり連続値のフィールドの抽出処理を始める時点で残っている分割パターン候補は、連続値、チェックサム、又はステータスのいずれかのカテゴリに属する。これらの各種フィールドの中で、連続値のフィールドは、他のカテゴリに属する同一ビット長の分割パターン候補に比べて値の変化量の分散（第３の特徴量）が小さいと考えられる。以下、その理由について説明する。
　チェックサム又はフラグは取り得る値が離散的であり、フィールドの上位ビットが下位ビットと独立して変化するため、値の変化量にはバラつきが生じやすい。したがって、フィールドの値の変化量の分散が大きくなる。一方、連続値は、値の変化が連続的であり、フィールドの下位ビットの変化した結果のキャリーが上位ビットの変化として現れるため、値の変化量は一定の範囲内に収まる。したがって、フィールドの値の変化量の分散が小さくなる。
　また、ひとつの分割パターン候補が示す領域の中で上位部分が連続値であって下位部分が連続値以外である場合、下位部分内で各ビットの値が独立に変化しても、上位部分の値の変化量が支配的であるため、領域全体での変化量のバラつきは抑えられてフィールドの値の変化量の分散が小さくなる。
　また、連続値フィールドの最上位ビット以外を開始ビット位置として示す分割パターン候補については、値の変化時にオーバーフロー又はアンダーフローが発生して大きな値からに小さな値に、又は小さな値から大きな値に急激に変化するため、値の変化量にバラつきが生じてその分散が大きくなる。
　なお、カウンタのフィールドは第２のペイロード分割パターン候補に含まれないため、連続値のフィールドの最上位ビットから始まる領域を示す分割パターン候補ではオーバーフローもアンダーフローも生じない。
　このような考えに基づき、第２のペイロード分割パターン候補つまり、連続値のフィールドの抽出処理を始める時点で残っている分割パターン候補の中で、領域の値の変化の分散が比較的小さい分割パターン候補を見つけることで連続値のフィールドの領域を示す分割パターン候補を絞り込む。
　連続値のフィールドの抽出処理は、図１６に示されるフィールドの開始ビット位置の特定の処理と、図１７に示されるフィールドのビット長の特定の処理との２つの部分に大きく分けられる。
　まず、フィールドの開始ビット位置の特定について、図１６、図１８Ａ及び図１８Ｂを用いて説明する。
　（ステップＳ１６１）各分割パターン候補について、開始ビット位置に拘わらず同一のビット長を持つ他の分割パターン候補と比較しての、第３の特徴量、つまり変化量の分散の外れ具合を示す外れ値スコアを算出する。この工程については、図１８Ａ及び図１８Ｂに示される具体的な例を用いて説明する。
　図１８Ａのテーブルでは、各分割パターン候補の開始ビット位置が行に、ビット長が列に示され、セル内には各分割パターン候補についてステップＳ１３で算出された変化量の分散（第３の特徴量）が記載されている。なお、このテーブルの第３の特徴量の値を含むセルは、図１４に示されるテーブルからステップＳ１４及びＳ１５を経て他のカテゴリ（すなわち、固定値又はカウンタ）のフィールドの領域を示すと判断された分割パターン候補が削除されたものであり、見やすさのために第１の特徴量及び第２の特徴量の記載を省略している。ペイロード分割部１４０は、このようなデータに対してステップＳ１６１の処理を開始する。
　図１８Ａのテーブルを参照すると、例えば開始ビット位置が１１で、フィールド長が１である分割パターン候補は、変化量の分散が１である。同様に、開始ビット位置が１１で、ビット長が２、８、１３、１４の分割パターン候補については、変化量の分散はそれぞれ１、１０、１００、１００である。開始ビット位置が１２であり、ビット長がそれぞれ１、２、８、１３の分割パターン候補の変化量の分散は、それぞれ１、２、１５、１５０である。また、開始ビット位置が１２でビット長が１４である分割パターン候補は、２５ビット目が既に固定値あるいはカウンタのフィールドであると判断されているためステップＳ１４又はＳ１５で既に削除され、第２のペイロード分割パターン候補に含まれていない。他の×が付されたセルが示す分割パターン候補についても同様である。開始ビット位置が２３であってビット長が１、２である分割パターン候補の変化量の分散はそれぞれ１、２であり、開始ビット位置が２４であってビット長が１である分割パターン候補の変化量の分散は１である。
　また、最後の行には、ステップＳ１６１の処理の中でペイロード分割部１４０が算出する同一のビット長の分割パターン候補ごとの変化量の分散の平均値が記載されている。つまり、ビット長１、２、８、１３、１４の分割パターン候補の変化量の分散の平均は、それぞれ１、１、８０、１２５、１００である。
　次にペイロード分割部１４０は、図１８Ａのテーブルに示される各分割パターン候補の第３の特徴量が、同一ビット長の分割パターン候補の第３の特徴量の中でどれほど外れた値であるかを示す外れ値スコアを算出する。ペイロード分割部１４０は、統計学的又は機械学習的な手法を用いてこの外れ値スコアを算出することができる。例えば各分割パターン候補の第３の特徴量が正規分布に従うと仮定して、第３の特徴量の発生頻度に基づいて算出してもよいし、Ｋ近傍法又はＬｏｃａｌ　Ｏｕｔｌｉｅｒ　Ｆａｃｔｏｒ等の外れ値検出アルゴリズムが用いられてもよい。
　ここでは、各分割パターン候補の第３の特徴量の発生頻度ｐが各ビット長で正規分布に従うとしたときに、発生確率の低さをスコア化する例を示す。ｐは、同一ビット長における分散の平均ｍと、分散ｖとをそれぞれ平均、分散とする正規分布の確率密度関数とする。ここで、分割パターン候補の第３の特徴量をＦ２とすると、以下の式１によりｐを算出できる。
　ｐ（Ｆ２）＝｛１／（２πｖ）＾（１／２）｝ｅｘｐ｛－（Ｆ２－ｍ）＾２／２ｖ｝・・・（式１）
　ペイロード分割部１４０が求める平均は、分割パターン候補の中で同一ビット長の分割パターン候補の第３の特徴量の平均であり、分散は、さきに求めたこの平均を用いて求めることができる。スコアは－Ｌｏｇ（ｐ）で算出する。図１８Ｂのテーブルの各セルは、このように算出されたスコアを含む。
　図１８Ｂを参照すると、開始ビット位置が１１であり、ビット長が１、２、８、１３の分割パターンの外れ値スコアは、それぞれ０、１、４、２である。ただし、ビット長１４に関しては、他の分割パターン候補の中にビット長が１４である分割パターンが存在しないため、外れ値スコアを算出していない。
　また、外れ値スコアは平均との差が大きい程大きな値をとる。ビット長８の場合を例にとると、分散の平均は８０であり、変化量の分散の平均が１０である開始ビット位置１１の分割パターン候補の外れ値スコアは４であり、変化量の分散の平均が１５である開始ビット位置１２の分割パターン候補の外れ値スコアである３よりも大きい。
　なお、ペイロード分割部１４０は、算出した外れ値スコアがビット長によって異なる指標となる場合は、正規化するなどして同じ指標にそろえてもよい。
　（ステップＳ１６２）ペイロード分割部１４０は、分割パターン候補の開始ビット位置ごとに、ステップＳ１６１で求めた外れ値スコアの平均（以下、平均スコアという）を算出する。図１８Ｂの例では、開始ビット位置が１１であり、ビット長が１から１３（図内で表記を省略したスコアも含む）の分割パターン候補の平均スコアは４である。同様に、開始ビット位置が１２であり、ビット長が１、２、８、１３である分割パターンの外れ値スコアは０、１、３、２であり、ビット長が１から１３の平均スコアは２である。開始ビット位置が２３であり、ビット長が１、２である分割パターンの外れ値スコアは、それぞれ０、０であり、平均スコアは０である。開始ビット位置が２４で、ビット長が１である分割パターンの外れ値スコアは０であり、平均スコアは０である。
　なお、この例では、ビット長が１の分割パターン候補をステップＳ１６におけるペイロード分割部１４０の処理の対象として説明しているが、連続値のフィールドの最小ビット長をあらかじめ定め、より短い分割パターン候補をあらかじめ処理対象から除外してもよい。処理速度及び分割の精度の観点から効果的である。
　（ステップＳ１６３）ペイロード分割部１４０は、ステップＳ１６２で算出した平均スコアが所定の閾値以上であるという条件を満たす開始ビット位置が存在するかを確認する。条件を満たす開始ビット位置が存在しない場合（ＮＯの場合）はステップＳ１６を終了し、存在する場合はこのステップＳ１６４へ進む。
　（ステップＳ１６４）ステップＳ１６３の条件を満たす開始ビット位置を、連続値のフィールドの開始ビット位置として特定する。ペイロード分割部１４０は、図１７に示される以降のステップで連続値のフィールドのビット長を特定する。
　（ステップＳ１６５）ペイロード分割部１４０は、ステップＳ１６３の条件を満たす開始ビット位置を示す分割パターン候補から、所定の値のビット長をさらに示す分割パターン候補を抽出する。ここでの所定の値とは、連続値のフィールドは、例えばセンサで測定された物理量などの情報を通知するために用いられるビット長を少なくとも持つという仮定に基づいて定められ、例えば４である。
　（ステップＳ１６６）ペイロード分割部１４０は、ステップＳ１６５で抽出した分割パターン候補が表す（Ｉｎｄｅｘ，Ｌｅｎｇｔｈ）に対し、同一の開始ビット位置でさらに長い分割パターン候補が連続値の値を含むフィールドであるか否か判定する。ペイロード分割部１４０は、２つの条件を用いてこの判定を行う。
　条件のひとつは、分割パターン候補（Ｉｎｄｅｘ＋Ｌｅｎｇｔｈ，１）の第２の特徴量、つまり値の変化の発生頻度が、分割パターン（Ｉｎｄｅｘ＋Ｌｅｎｇｔｈ－１，１）の第２の特徴量より大きいことである。つまり、ステップＳ１６５で抽出した分割パターン候補の最下位側にある隣のビットの値が、この分割パターン候補の最下位ビットの値よりも高頻度で変化していることを条件としている。この条件を以下では条件１という。
　もうひとつの条件は、（Ｉｎｄｅｘ，Ｌｅｎｇｔｈ＋１）の領域を示す分割パターン候補が未決定であることである。つまり、ステップＳ１６５で抽出した分割パターン候補と同一の開始ビット位置で１ビット長い領域を示す分割パターン候補についてカテゴリが未決定であることをもうひとつの条件としている。この条件を以下では条件２という。
　条件１及び条件２が満たされている場合（ＹＥＳの場合）、ペイロード分割部１４０はステップＳ１６７へ進み、それ以外の場合（ＮＯの場合）、ペイロード分割部１４０はステップＳ１６８へ進む。
　（ステップＳ１６７）ペイロード分割部１４０は、Ｌｅｎｇｔｈの値をインクリメントする。その後、再びステップＳ１６６を実行する。
　ステップＳ１６６とＳ１６７によって、より長いビット数の領域でも連続値が表されているかが判定され、連続値を表す極力長いビット長が特定される。
　ステップＳ１６６の条件が満たされなかった場合、ペイロード分割部１４０は、ステップＳ１６８に進む。
　（ステップＳ１６８）ペイロード分割部１４０は、ステップＳ１６４までに決定した開始ビット位置を示し、ステップＳ１６６で特定されたビット長を示す分割パターン候補を連続値を表す分割パターンとして選択する。また、選択した分割パターン候補に含まれるビットを含む他の分割パターン候補を削除する。また、ペイロード分割部１４０は、連続値のフィールドの領域を示す分割パターンを選択した結果を出力して、ステップＳ１６３に戻る。所定の条件を満たす他の開始ビット位置の分割パターン候補がさらに有るかを確認するためである。ステップＳ１６３の結果なお残る分割パターン候補が、上述の第３のペイロード分割パターン候補に該当する。
　図１７に示す連続値のフィールドのビット長の特定の処理について、具体的な例を用いて説明する。この例では、ステップＳ１６４で開始ビット位置は１１と特定され、ステップＳ１６５でのビット長を示す所定の値が４である場合を想定している。つまり、ステップＳ１６５で抽出される分割パターン候補が示す領域の（Ｉｎｄｅｘ，Ｌｅｎｇｔｈ）は、（１１，４）である。また、ステップＳ１３で算出された第２の特徴量の抜粋を図１９に示す。図１９に示されるテーブルもまた、図１４に示されるテーブル内のデータの一部であると言える。
　この例において、ステップＳ１６６では、領域（１１，４）の最下位ビットとこの領域の最下位ビットの隣に位置するビットとの間で値の変化の発生頻度が比較される。つまり、１５ビット目の１ビット（つまり領域（１５，１））の第２の特徴量と１６ビット目の１ビット（つまり領域（１６，１））の第２の特徴量とが比較される。図１９を参照すると、領域（１５，１）の第２の特徴量は０．２５であり、領域（１６，１）の第２の特徴量は０．２８である。したがって、条件１は満たされる。
　ステップＳ１６６においてさらに、領域（１１，４）よりもビット長が１ビット長い領域、つまり領域（１１，５）について、カテゴリが決定されているか否か判定される。説明の都合上、この例では、この領域についてはカテゴリが未決定であった、つまり条件２も満たされると想定する（ステップＳ１６６でＹＥＳ）。したがって、ステップＳ１６７において、Ｌｅｎｇｔｈの値が増分１でインクリメントされる。
　以下、同様の判定が続き、Ｌｅｎｇｔｈは１４までインクリメントされたとする。ここで、ステップＳ１６６において、領域（１１，２５）の最下位ビットである領域（２４，１）と領域（２５，１）との間で値の変化の発生頻度が比較される。図１９を参照すると、領域（２５，１）の第２の特徴量は０であり、領域（２４，１）の第２の特徴量は０．４０である。したがって、条件１が満たされないため、ステップＳ１６６の判定の結果はＮＯである。
　このように、ペイロード分割部１４０は、第２の特徴量及び第３の特徴量に基づいて連続値のフィールドの領域を示す分割パターンの選択を行う。より具体的には、まず、各分割パターン候補の第３の特徴量、つまり変化量の分散が同一ビット長で平均から外れているか否かに基づいて分割パターン候補が抽出される。そして、抽出された分割パターン候補の各ビットを領域として示す分割パターン候補の第２の特徴量、つまり変化の発生頻度の大小関係に基づいて、分割パターン候補が連続値のカテゴリに該当するフィールドの領域を示すか否かが判定される。
　なお連続値のフィールドの領域を示す分割パターン候補の選択の処理のステップは、上述のものに限定されない。
　例えば、ステップＳ１６４で特定される開始ビット位置を示す、つまり外れ値スコアが所定の閾値よりも高い分割パターン候補が連続値のフィールドの領域を示す分割パターンとして選択されてもよい。ただし、図１７に示されるビット長を特定する処理を行うことで、より高い精度でこの選択を行うことができる。
　その理由のひとつは、ステップＳ１６が実行される段階で残る分割パターン候補が少ないビット長については、偶然高い外れ値スコアであったりするなど信頼性が低い場合があるためである。または上述したように、上位部分が連続値で下位部分が連続値以外である場合にも外れ値スコアが高くなり、誤って一体として連続値のフィールドとして抽出される可能性がある。
　また、ビット長の決定の手法として、ステップＳ１６６において、第２の特徴量の比較に代えて又は加えて、第３の特徴量、つまり変化量の分散を比較してもよい。下位ビットの変化量がある程度大きくなければキャリーは発生せず、上位ビットの変化が生じないためである。
　また、さらに別のビット長の決定の手法として、ステップＳ１６６において、第２の特徴量の大小関係に代えて又は加えて、第２の特徴量の差分に関する条件がビット長を伸ばすか否かの判定に用いられてもよい。
　＜１．１５　チェックサムのフィールド＞
　図２０は、ペイロード分割部１４０による、ステップＳ１７でのチェックサムのフィールド抽出処理例のフローチャートを示す。
　チェックサムのフィールドは、値の変化がランダムに見え、各値の発生が一様になる可能性が高いことから、第３のペイロード分割パターン候補のうち、第１の特徴量がビット長に対してある程度大きいという条件を満たすと考えられる。加えて、チェックサムのビット長が４ビットや８ビットの長さであることが多いという事前知識も条件に利用して、これらの条件を満たす分割パターン候補をチェックサムのフィールドの領域を示す分割パターンとして選択する。以下、この処理の各ステップを説明する。
　（ステップＳ１７１）ペイロード分割部１４０は、第３のペイロード分割パターン候補から、第１の特徴量が２＾（分割パターンのビット長）又はステップＳ１１で受信ログから抽出したレコードの数と一致する分割パターン候補を抽出する。つまり、ステップＳ１１で抽出したレコード中に、各分割パターン候補のビット長で表すことのできる全ての値が表れたもの、又は全レコードの値が異なるものを抽出する。
　（ステップＳ１７２）ペイロード分割部１４０は、ステップＳ１７１で抽出した分割パターン候補のうち、ビット長が４ビット又は８ビットである分割パターン候補を抽出する。
　（ステップＳ１７３）ペイロード分割部１４０は、ステップＳ１７２で抽出した分割パターン候補のうち、他の分割パターンの候補と重なっていないものを、チェックサムのカテゴリに属するフィールドの領域を示す分割パターンとして選択する。
　（ステップＳ１７４）ペイロード分割部１４０は、ステップＳ１７２で抽出した分割パターンであって他の分割パターン候補と重なるもののうち、他の分割パターン候補の一部であるものを除いて、チェックサムのカテゴリに属するフィールドの領域を示す分割パターンとしてさらに選択する。これは、ステップＳ１７１及びＳ１７２で用いられた条件を満たすビット列で最も長いものをひとつのチェックサムのフィールドとして見つけるために行われるステップである。
　（ステップＳ１７５）ペイロード分割部１４０は、ステップＳ１７３及びＳ１７４で選択した分割パターン候補と重なる、つまり、選択した分割パターン候補に含まれるビットを含む他の分割パターン候補を削除する。ステップＳ１７５は、ステップＳ１４４又はＳ１５５と同様のステップであるため詳細な説明を省略する。
　（ステップＳ１７６）ペイロード分割部１４０は、チェックサムのフィールドの領域を示す分割パターンを選択した結果を出力して、ステップＳ１７を終了する。
　なお、上記の各ステップでの処理の内容は各種の変形が可能である。例えば上記のステップＳ１７１ではステップＳ１５１と共通の条件が用いられているが、より緩和した条件であってもよい。例えば第１の特徴量が２＾（分割パターンのビット長）又はステップＳ１１で受信ログから抽出したレコードの数の８０％以上である、という条件が用いられてもよい。チェックサムのフィールドではカウンタのフィールドに比べて値の変化がパターン数で不規則であり、表れる値には重複が生じて種類数が少ない可能性が高いためである。
　また、ステップＳ１７２における４ビット及び８ビットのビット長は例であり、このステップで用いられる条件に含まれるビット長の大きさ及びビット長の個数はこれらに限定されない。また、複数のビット長の分割パターン候補を抽出する場合は、より長いビット長の分割パターン候補が優先して抽出されてもよい。
　＜１．１６　ステータスのフィールド＞
　図２１に、ステータスのフィールド抽出処理のフローチャートを示す。
　（ステップＳ１８１）ペイロード分割部１４０は、ステップＳ１７の終了後になお残る分割パターン候補のうち、他の分割パターンの候補と重なっていないものを、ステータスのカテゴリに属するフィールドの領域を示す分割パターンとして選択する。
　（ステップＳ１８２）ペイロード分割部１４０は、ステップＳ１８１で抽出した分割パターンであって他の分割パターン候補と重なるもののうち、他の分割パターン候補の一部であるものを除いて、ステータスのカテゴリに属するフィールドの領域を示す分割パターンとしてさらに選択する。これは、ビット列で最も長いものをひとつのステータスのフィールドとして見つけるために行われるステップである。
　（ステップＳ１８３）ペイロード分割部１４０は、ステータスのフィールドの領域を示す分割パターンを選択した結果を出力し、ステップＳ１８を終了する。
　以上で、ペイロード分割部１４０による、１．１１で上述した図１１に示されるステップＳ１３からステップＳ１８までを実行することによるデータフィールドの分割処理は終了する。
　これらの一連のステップが、ＩＤが共通の１種類のデータフレームに含まれるデータフィールドに対して実行されると、ペイロード分割部１４０はステップＳ１２に戻って、未処理の他のＩＤのデータフレームに含まれるデータフィールドを対象にデータフィールドの分割処理を実行する。
　また、各ＩＤが示す種類のデータフレームに含まれるデータフィールドの分割が完了すると、ステップＳ１４３、Ｓ１５６、Ｓ１６８、Ｓ１７６、又はＳ１８３で出力された結果（以下、フィールド抽出結果ともいう）が、例えば図７のテーブルに含まれるデータのうち、ＩＤと、データフィールドに関する情報の中の開始、長さ、カテゴリの各情報として監視ＥＣＵ１００のメモリに保持される。
　監視ＥＣＵ１００では、特徴抽出部１５０がこのフィールド抽出結果の情報を用いてする正常モデルの生成の処理（ステップＳ９）に移行する。正常モデルは、各フィールドの値の変化の正常範囲を示し、例えばデータフレームの異常判定に用いられる。
　以下、特徴抽出部１５０による正常モデルを生成する処理について説明する。
　＜１．１７　特徴抽出部１５０による処理＞
　特徴抽出部１５０が正常モデルを生成する処理で実行する一連のステップについて、図２２に示されるフローチャートを用いて説明する。
　（ステップＳ２１）特徴抽出部１５０は、ペイロード分割部１４０から出力されるフィールド分割結果が示すＩＤのうち、正常モデルを生成していないＩＤを選択する。
　（ステップＳ２２）特徴抽出部１５０は、受信ログ保持部１９０に格納されている受信ログに含まれる、ステップＳ１２１で選択したＩＤのレコードを参照する。
　（ステップＳ２３）特徴抽出部１５０は、フィールド分割結果及び受信ログのレコードからフィールドごとに振る舞い情報を取得する。なお振る舞い情報の取得の処理については別のフローチャートを用いて後述する。
　（ステップＳ２４）特徴抽出部１５０は、受信ログのレコードから、当該ＩＤのデータフレームの受信間隔の平均と受信間隔の分散を算出する。
　（ステップＳ２５）特徴抽出部１５０は、フィールド分割結果と、ステップＳ２３及びＳ２４で得た情報を基に当該ＩＤの正常モデルを生成して出力し、正常モデル保持部１９１に格納する。
　（ステップＳ２６）特徴抽出部１５０は、全てのＩＤに対して正常モデルを生成したかを確認する。全てのＩＤに対して正常モデルが生成済みであれば（ＹＥＳの場合）、ステップＳ９を終了する。そうでない場合（ＮＯの場合）はステップＳ２１に戻る。
　図２３は、特徴抽出部１５０がステップＳ２３で実行する振る舞い情報の取得の処理例のフローチャートである。
　（ステップＳ２３１）特徴抽出部１５０は、フィールド分割結果が示すフィールドのカテゴリに、振る舞い情報の取得対象のカテゴリに属するフィールドで未処理のものが含まれるかを確認する。振る舞い情報の取得対象のカテゴリとは、固定値、連続値、及びステータスである。振る舞い情報の取得対象のカテゴリで未処理のフィールドが存在しない場合（ＮＯの場合）、特徴抽出部１５０はステップＳ２３を終了する。振る舞い情報の取得対象のカテゴリで未処理のフィールドが存在する場合（ＹＥＳの場合）、特徴抽出部１５０はステップＳ２３２に進む。
　（ステップＳ２３２）特徴抽出部１５０は、受信ログ保持部１９０に格納されている受信ログから、ステップＳ２３１で確認した振る舞い情報の取得対象のカテゴリで未処理のフィールドの値を抽出する。
　（ステップＳ２３３）特徴抽出部１５０は、当該フィールドのカテゴリが固定値であるかを確認する。当該フィールドのカテゴリが固定値である場合（ＹＥＳの場合）、特徴抽出部１５０はステップＳ２３４に進む。そうでない場合（ＮＯの場合）、特徴抽出部１５０はステップＳ２３５に進む。
　（ステップＳ２３４）特徴抽出部１５０は、抽出したフィールドの値を振る舞い情報として抽出して取得し、ステップＳ２３１に戻る。
　（ステップＳ２３５）特徴抽出部１５０は、当該フィールドのカテゴリが連続値であるかを確認する。当該フィールドのカテゴリが連続値である場合（ＹＥＳの場合）、特徴抽出部１５０はステップＳ２３６に進む。そうでない場合（ＮＯの場合）、特徴抽出部１５０はステップＳ２３７に進む。
　（ステップＳ２３６）特徴抽出部１５０は、抽出したフィールドの値の変化量の平均及び分散を振る舞い情報として抽出して取得し、ステップＳ２３１に戻る。この変化量の平均及び分散は、ステップＳ１３でこのフィールドの領域を示す分割パターン候補について算出された第３の特徴量であるが、このステップで特徴抽出部１５０によってあらためて算出されてもよい。
　（ステップＳ２３７）特徴抽出部１５０は、抽出したフィールドの値の変化の発生頻度を振る舞い情報として抽出して取得し、ステップＳ２３１に戻る。この変化量の平均及び分散は、ステップＳ１３でこのフィールドの領域を示す分割パターン候補について算出された第３の特徴量であるが、このステップで特徴抽出部１５０によってあらためて算出されてもよい。
　＜１．１８　特徴抽出部１５０の動作例＞
　図２４は、特徴抽出部１５０の図２３に示すフローチャートの処理を実行する動作の一部を説明するための例を示す図である。
　図２４を参照すると、特徴抽出部１５０は、ペイロード分割部１４０から出力されたフィールド分割結果に、振る舞い情報の取得対象のカテゴリに属するフィールドで未処理のものが含まれるかを確認する（ステップＳ２３１）。この例では、確認の結果、連続値のカテゴリが含まれていると判定されている。
　次に特徴抽出部１５０は、受信ログ保持部１９０に格納されている受信ログから、ステップＳ２３１で存在を確認したカテゴリのフィールドの値を取得する（ステップＳ２３２）。この例では、開始ビット位置が１１で、ビット長が１４のフィールドの値を取得している。この例での当該フィールドのカテゴリは連続値なので（ステップＳ２３３、Ｓ２３５）、特徴抽出部１５０はフィールドの値の変化量の平均及び分散を取得することで振る舞い情報を抽出する（ステップＳ２３６）。カテゴリが固定値であればステップＳ２３２で取得したフィールドの値そのもの、ステータスであれば、フィールドの値の変化の発生頻度が取得される。
　また特徴抽出部１５０は、同一ＩＤのデータフレームの受信間隔に関する統計情報（受信間隔平均、分散）をあわせて算出して取得する。このように取得した情報とフィールド分割結果を用いて、特徴抽出部１５０は、図７に例示したような正常モデルを生成して（ステップＳ２５）出力し、正常モデル保持部１９１に格納する。
　＜１．１９　異常検知部１６０の処理フローチャート＞
　異常検知部１６０が正常モデルを用いてする異常検知処理(図８のステップＳ４)で実行する一連のステップについて、図２５に示されるフローチャートを用いて説明する。
　（ステップＳ３１）異常検知部１６０は、バス３００から受信したデータフレームのＩＤに関して、正常モデル保持部１９１に格納されている対応する正常モデルを参照する。
　（ステップＳ３２）異常検知部１６０は、受信したデータフレームのＩＤに関して、受信ログ保持部１９０に格納されている対応する受信ログを参照する。
　（ステップＳ３３）異常検知部１６０は、正常モデルに含まれる各フィールドの振る舞いモデルを用いて、参照する受信ログ中のレコードに含まれるデータフィールドを検証する。振る舞いモデルに基づく検証の処理については、別のフローチャートを用いて後述する。
　（ステップＳ３４）検証の結果異常が検知された場合（ＹＥＳの場合）異常検知部１６０は、ステップＳ３５に進み、そうでない場合（ＮＯの場合）は異常検知処理を終了する。
　（ステップＳ３５）異常検知部１６０は、他のＥＣＵに異常を通報するためのデータフレームの生成をフレーム生成部１７０に要求して、異常検知処理を終了する。
　図２６は、異常検知部１６０がステップ３３で実行する振る舞いモデルに基づく検証の処理例のフローチャートである。
　（ステップＳ３３０１）異常検知部１６０は、受信したデータフレームに関して、データフィールドに未検証のフィールドが存在するかを判断する。未検証のフィールドが存在しない、つまりすべてのフィールドの検証が完了している場合（ＮＯの場合）はステップＳ３３を終了する。未検証のフィールドが存在する場合（ＹＥＳの場合）はＳ３３０２に進む。
　（ステップＳ３３０２）異常検知部１６０は、受信ログ保持部１９０に格納されている受信ログから次にチェックするフィールドの値を抽出し、当該フィールドに関しては検証済みとする。
　（ステップＳ３３０３）異常検知部１６０は、抽出したフィールドのカテゴリが固定値か否かを判断する。固定値の場合（ＹＥＳの場合）、異常検知部１６０はステップＳ３３０４に進む。固定値でない場合（ＮＯの場合）、異常検知部１６０はＳ３３０５に進む。
　（ステップＳ３３０４）異常検知部１６０は、抽出したフィールドの値が正常モデル保持部１９１に格納されている正常モデルの振る舞い情報の値と等しいかを確認する。正常モデルの振る舞い情報の値と等しい場合（ＹＥＳの場合）、異常検知部１６０は、ステップＳ３３０１に戻る。そうでない場合（ＮＯの場合）、異常検知部１６０はステップＳ３３１１に進む。
　（ステップＳ３３０５）異常検知部１６０は、抽出したフィールドのカテゴリがカウンタであるか否かを判断する。カウンタである場合（ＹＥＳの場合）、異常検知部１６０はステップＳ３３０６に進む。カウンタでない場合（ＮＯの場合）、異常検知部１６０はステップＳ３３０７に進む。
　（ステップＳ３３０６）異常検知部１６０は、抽出したフィールドの値が、時系列順にインクリメントされているか否かを判断する。時系列順にインクリメントされている場合（ＹＥＳの場合）、異常検知部１６０はステップＳ３３０１に戻る。そうでない場合（ＮＯの場合）、異常検知部１６０はステップＳ３３１１に進む。
　（ステップＳ３３０７）異常検知部１６０は、抽出したフィールドのカテゴリが連続値であるか否かを判断する。連続値である場合（ＹＥＳの場合）、異常検知部１６０はステップＳ３３０８に進む。そうでない場合（ＮＯの場合）、異常検知部１６０はステップＳ３３０９を実行する。
　（ステップＳ３３０８）異常検知部１６０は、抽出したフィールドの値の変化量が、正常モデル保持部１９１に格納されている正常モデルの振る舞い情報に記載の平均に近い値かを判断する。正常モデルの振る舞い情報に記載の平均に近い値である場合（ＹＥＳの場合）、異常検知部１６０は、ステップＳ３３０１に戻る。そうでない場合（ＮＯの場合）、異常検知部１６０はステップＳ３３１１に進む。
　（ステップＳ３３０９）異常検知部１６０は、抽出したフィールドのカテゴリがステータスであるか否かを判断する。ステータスである場合（ＹＥＳの場合）はステップＳ３３１０に進む。そうでない場合（ＮＯの場合）、異常検知部１６０はステップＳ３３０１に進む。
　（ステップＳ３３１０）異常検知部１６０は、抽出したフィールドの値の変化の発生頻度が正常モデル保持部１９１に格納されている正常モデルの振る舞い情報に示される変化の発生頻度と近いかを判断する。正常モデルの振る舞い情報記載の変化の発生頻度と近い場合（ＹＥＳの場合）、異常検知部１６０はステップＳ３３０１に戻る。そうでない場合（ＮＯの場合）、異常検知部１６０はステップＳ３３１１に進む。
　（ステップＳ３３１１）異常検知部１６０は、異常を検知したとして、不正なフィールドのカテゴリを次のステップへ通知して、振る舞いモデルに基づく検証の処理を終了する（ステップＳ３４を実行する）。
　なお、正常モデルに含まれるデータフレームの受信間隔の平均及び分散に基づく検証は図２５又は図２６のフローチャートには含まれていないが、異常検知部１６０によって別途行われる。異常検知部１６０は、例えば、図２５に示される異常検知処理のステップＳ３３の前に、該当のＩＤを持つデータフレーム間の受信間隔の異常の有無又は可能性の高さについての判定を実行し、異常のあるもの又は異常の可能性が高いデータフレームのデータフィールドをステップＳ３３での検証の対象としてもよい。
　以下、車載ネットワーク１０に異常なデータフレームを送出する不正ＥＣＵが接続されている場合に、上述の構成要素を含む監視ＥＣＵ１００が異常を検知する動作について、具体例を用いて説明する。
　＜１．２０　異常検知部１６０の動作例１＞
　図２７に、異常検知部１６０の動作の一例を示す。この例及び以下の例では、監視ＥＣＵ１００は、図７に示される正常モデルを正常モデル保持部１９１に保持していると想定する。
　図２７を参照すると、ＥＣＵ２００ａは、車速を示すフィールドを含むＩＤが０ｘ１００のデータフレームをバス３００に定期的に送信している。しかし、不正なＥＣＵが、ＩＤが０ｘ１００のデータフレームをバス３００に送信する。
　監視ＥＣＵ１００は、データフレームを受信するたびに、正常モデル保持部１９１に格納されている正常モデルと、受信ログ保持部１９０に格納されている受信ログとを参照することで、データフィールドの値が正常モデルから逸脱しているか判断する（ステップＳ３３）。なお、図２７から図２９では、５バイトのデータフィールドの値を１６進数で示している。
　受信した最初の３つのデータフレームには、データフィールドの値が正常モデルに適合するため、異常なしと判定される。しかし４番目に受信したデータフレームについては、正常モデルに示される開始ビット位置が２９で、データ長が４のフィールドは固定値であり、値が０であることに適合しないことに基づいて、固定値のフィールドの異常として検知する（ステップＳ３３０３でＹＥＳ、Ｓ３３０４で下線付「１」に対してＮＯ、Ｓ３３１１）。
　また、５番目に受信したデータフレームに関しては、直前に受信した不正ＥＣＵから送信されたデータフレームの影響で、開始ビット位置１で、ビット長が８であるカウンタフィールドの値がインクリメントされていないという判定により異常を検知する（ステップＳ３３０５でＹＥＳ、Ｓ３３０６で下線付「３」に対してＮＯ、Ｓ３３１１）。異常を検知したことを通知するために、異常が検知されたデータフレームのＩＤ及び異常が検知されたフィールドのカテゴリに基づく情報を（固定値のフィールドでの異常及びカウンタのフィールドでの異常）フレーム生成部１７０を通知して、他のＥＣＵに異常の発生を通報するためのメッセージの生成を要求する（ステップＳ３５）。
　なお、監視ＥＣＵ１００では、データフレームに異常を検知した場合に、このデータフレームのレコードが受信ログから削除されてもよい。
　＜１．２１　異常検知部１６０の動作例２＞
　図２８に、異常検知部１６０の動作の他の例を示す。この例では、不正ＥＣＵが送信するデータフレーム以外は図２７が示す状況と同様の状況であると想定する。
　この例では、不正ＥＣＵは、正常なデータフレームがＥＣＵ２００ａから送信された直後に、異常を含むデータフレームを送信する。監視ＥＣＵ１００は、所定時間幅内で順次受信した複数個のデータフレームにおいて、開始ビット位置が２６でビット長が３のステータスフィールドの変化の発生頻度が、正常モデルが示す０．０００１からかけ離れていることに基づいて異常を検知する（ステップＳ３３０９でＹＥＳ、Ｓ３３１０で下線付の値の変化の発生に対してＮＯ、Ｓ３３１１）。
　なお、図２７の例と同様のカウンタのフィールドでの異常も検知されるが、この例では説明を省略する。
　＜１．２２　異常検知部１６０の動作例３＞
　図２９に、異常検知部１６０の動作例を示す。この例では、ＥＣＵ２００ａが送信するデータフレーム及び不正ＥＣＵが送信するデータフレーム以外は、図２７及び図２８が示す状況と同様の状況であると想定する。
　不正ＥＣＵは、ＥＣＵ２００ａからＩＤが０ｘ１００のデータフレームが３個送信された後に、ＩＤが０ｘ１００の異常を含むデータフレームを送信している。このデータフレームを受信した監視ＥＣＵ１００は、開始ビット位置が１１でビット長が１４の連続値のフィールドの振る舞い情報として、変化量の平均が１０、の分散が１００であることに照らして、受信ログから抽出した当該フィールドの直前に受信されたデータフレームからの変化量が４８１（０ｘ１５７Ｃ－０ｘ１３９Ｂ＝０ｘ１Ｅ１）と大きく異なることに基づいて異常を検知する（ステップＳ３３０７でＹＥＳ、Ｓ３３０８で下線付の値の変化量に対してＮＯ、Ｓ３３１１）。
　なお、図２７の例と同様のカウンタのフィールドでの異常も検知されるが、この例では説明を省略する。
　＜１．２３　効果＞
　本実施の形態では、監視ＥＣＵ１００は、車載ネットワークを流れるデータフレームを監視し、統計的に得られる特徴量に基づいてデータフレームに含まれるデータフィールドを意味のあるビット列のまとまりであるフィールドに分割する。また監視ＥＣＵ１００は、分割によって得た各フィールドでの異常の検知に用いられる正常モデルを生成する。さらに監視ＥＣＵ１００は、正常モデルを用いての異常の検知を実行して車載ネットワーク内の不正を検知することができる。
　このような監視ＥＣＵ１００は、仕様の異なる車載ネットワークシステムであっても事前の個別の設計を必要としないため、コストを抑えた車載ネットワークの保護を可能にするとなる。
　＜２．　変形例＞
　なお、本開示を上記実施の形態に基づいて説明してきたが、本開示は上記実施の形態に限定されず、以下のような構成も本開示の技術的範囲に含まれる。
　（１）上記実施の形態では、フィールド分割部と、特徴抽出部と、不正検知部とは監視ＥＣＵの構成要素として説明したが、同一の装置に全ての構成要素を保持する必要は無い。例えば、フィールド分割部と特徴抽出部は、車外のクラウドサーバの構成要素としてもよく、クラウドサーバは、車載ネットワークシステムが接続可能な携帯電話網等の無線通信網を通じて受信する車載ネットワークシステムに流れるデータフレームをフィールドに分割し、正常モデルを生成する。そして監視ＥＣＵは、クラウドサーバからダウンロードするこの正常モデルを用いて不正検知処理を実行してもよい。この場合に監視ＥＣＵは動作判断部を持たなくてもよく、常に異常検知処理を行えばよい。これにより監視ＥＣＵは異常検知部のみを持てばよく、実装が容易になる。
　また、監視ＥＣＵにおいてデータフィールドの分割、正常モデルの生成、及び異常検知の処理が行われているが、本開示は例えばこれらのうちデータフィールドの分割のみ、又は正常モデルの生成までを実行する情報処理装置、情報処理方法、又はプログラム等としても実現可能である。このような情報処理装置等は、例えばネットワークの監視装置の開発のために適用可能である。
　（２）上記実施の形態では、車載ネットワークのデータフレームを一定期間収集した受信ログから、正常モデルを生成したが、正常モデルを生成するために、必ずしも車載ネットワークからデータフレームを一定期間にわたって収集する必要はない。例えば、過去に収集したログを入力として正常モデルを生成してもよい。また複数のログに対して、それぞれ正常モデルを生成し、多数決や、平均をとることによって、複数の正常モデルをマージした結果を最終的な正常モデルとしてもよい。これにより、ネットワークの監視の開始前に、必ずしも一定期間のデータフレームの収集を必要とせず、不正検知処理を多くの自動車で早期に実現したい場合に効果的である。
　（３）上記実施の形態では、異常を検知した場合のアクションとして、異常の通報のために、異常が検知されたデータフレームのＩＤと、異常が検知されたフィールドの種類を含むメッセージ、つまりデータフレーム送信する例を示したが、異常検知後のアクションはこれに限らない。例えば、異常を検知した時点で、監視ＥＣＵがエラーフレームを送信することで、異常が検知されたフィールドを含むデータフレームを無効としてもよい。このとき監視ＥＣＵでは、データフレームの受信中に図２５に示される異常検知処理が行われる。また車載ネットワーク上のゲートウェイＥＣＵに監視ＥＣＵの機能を追加することで、異常が検知されたデータフレームを転送しない対応をとってもよい。または、異常が検知されたデータフレームと同種、つまり共通のＩＤのデータフレームの転送を停止してもよい。これはゲートウェイＥＣＵを監視ＥＣＵとして用いて本開示を実現したい場合に効果的であり、さらに、多数の車載ネットワークの情報を監視できることから、実現できる機能の幅も広がり効果的である。
　また、異常が発生したことをユーザに通知してもよいし、車両をフェールセーフモードに移行させてもよいし、発生した異常をログに残してもよいし、発生した異常について、携帯電話網などを通じてクラウドサーバに送信してもよい。これにより、異常検知後の柔軟な対応が可能となる。例えばクラウドサーバから、異常が検知された車載ネットワークシステムと同型又は同バージョンの車載ネットワーク、又は共通するＥＣＵを含む車載ネットワークにこの異常に関する情報が提供されてもよい。
　（４）上記実施の形態では、標準フォーマットのＩＤにおける例を示したが、拡張フォーマットのＩＤであってもよい。
　（５）上記実施の形態では、動作モードは、１時間の収集モード後に正常モデルの生成を行ったが、１時間より短くてもよいし、長くてもよい。また、時間に拠らず、特徴量を抽出するために十分なログのサイズを規定して、このサイズのログの収集がなされた時点で正常モデルを生成してもよい。また外部インターフェースを備え、ユーザの指示によりモードを切り替えてもよい。例えば、クラウドサーバからの指示によって、モードが切り替わってもよい。これにより、データの収集をより柔軟に行え、監視ＥＣＵのリソースに応じて動作することが可能になる。
　（６）上記実施の形態では、データフレームの受信ログと、正常モデルと、車両状態とは１つのＩＤに対するものであったが、それぞれ１つ以上のＩＤに対して保持してもよい。
　また、通信の仕様でデータフレームに複数の種類がない場合、又は種類は複数あってもペイロードのデータ構造が共通であることが既知である場合には、受信ログにＩＤを含めなくてもよい。
　（７）上記実施の形態では、データフレームは平文で流れる例を示したが、暗号化されていてもよい。またデータフレームにメッセージ認証コードを含んでいてもよい。
　（８）上記実施の形態では、正常モデルと受信ログとが平文で保持されている例を示したが、暗号化して保持されていてもよい。
　（９）上記実施の形態では、データフィールド内はビッグエンディアンでデータが格納されている例を示したが、データはリトルエンディアンで格納されていてもよい。
　（１０）上記実施の形態では、正常モデルとして、ＩＤごとにデータフレームの受信間隔の平均と、分散を保持している例を示したが、異常検知処理において、実際に受信したデータフレームの受信間隔が、正常モデルに記載の受信間隔の平均から、受信間隔の分散よりも離れている場合にメッセージの異常を検知してもよい。これは、フィールドの値の異常だけでなく、メッセージの時間情報を用いた異常も検知でき、多面的に異常を検知することで、より検知精度を高めることに効果的である。
　また受信ログにはデータフレームの受信時刻が記録されているが、データフレーム間の受信間隔を用いず順序のみを用いて特徴量の抽出が可能であれば、受信時刻は受信ログに含めなくてもよい。受信の順序は、受信ログでのレコードの並び順又は連続番号を用いて示されてもよい。
　また受信間隔平均と、分散の情報を異常検知に用いない場合については、正常モデルにこれらが保持されなくてもよい。
　（１１）上記実施の形態では、分割したフィールドを、固定値、カウンタ、連続値、ステータス、チェックサムの５つのカテゴリに分類したが、必ずしもこの５つのカテゴリに分類する必要はない。例えば不正検知に不要なカテゴリのフィールドは正常モデルに含めなくてもよい。
　また、チェックサムのフィールドをメッセージ認証子のフィールドとしてもよい。
　また、これらの５つのカテゴリのすべてを互いに区別しなくてもよい。例えば所定の時間幅内で値の所定の大きさ以下の変化が所定の回数以上見られる領域のフィールドが、１つのカテゴリのフィールドとして扱われてもよい。このようなフィールドは、カウンタ又は連続値が含まれ得るものであり、本変形例における第１カテゴリの例である。別の例として、各種の特徴量から離散値を取る領域のフィールドが１つのカテゴリとして扱われてもよい。このようなフィールドは、チェックサム、又はフラグ若しくは状態を示すステータスの値が含まれ得るものであり、本変形例における第２カテゴリの例である。
　（１２）上記実施の形態では、正常モデルの振る舞い情報として、ホワイトリストと、フィールドの値が変化する頻度（変化の発生頻度）と、フィールドの値の変化時の変化量の平均と分散とを保持していたが、これに限るものではない。例えば各特徴量の正常な値の範囲を示す、上限あるいは下限を保持していてもよい。また、フィールドの値の変化時の変化量の最大値と最小値を保持してもよい。また、フィールドの値が変化するときの値の遷移のホワイトリストを保持していてもよい。また、時系列モデルに当てはめたときのパラメータを保持していてもよい。また、受信ログのレコードから、所定時間（例えば１秒間）あたりの値の変化の発生頻度の最大値が算出されて保持されてもよい。これにより、異常正検知処理の方法が増え、より多くの手法で異常を捉えることが可能となる。
　（１３）上記実施の形態では、正常モデルの振る舞い情報として、連続値のフィールドに対しては、値の変化時の変化量の平均と分散を保持し、ステータスのフィールドに対しては、フィールドの値が変化する割合を保持していたが、この組み合わせでなくてもよう。
　（１４）上記実施の形態では、正常モデルとして、フィールドごとにカテゴリと、振る舞い情報とが保持されていたが、複数のフィールドに対する振る舞い情報を保持してもよい。例えば、データフィールドを分割して得たフィールドに主成分分析や、オートエンコーダなどの次元削減処理を施したデータを正常モデルとして保持していてもよい。これによりフィールド間の関係性を捉えた正常モデルが生成され、単なるフィールドごとの異常検知より有効な場合がある。
　（１５）上記実施の形態では、ペイロード分割部におけるチェックサムの抽出条件の１つとして、残った分割パターン候補のうち、フィールドの長さが４ビットまたは８ビットであることが条件として含まれていたが、この値以外でもよい。特にチェックサムフィールドの長さが事前にわかっている場合は、その値に設定すればよい。事前にわからない場合は、よく利用される長さに設定することで、精度よくフィールドを分割できるようになる。
　（１６）上記実施の形態では、ペイロード分割部におけるチェックサムの抽出条件の１つとして、抽出したレコード中に、各分割パターン候補のビット長で表すことのできる全ての値が表れたものであることが含まれているが、この条件でなくてもよい。例えば、フィールドがランダムに見えることをチェックしてもよい。この処理はメッセージ認証コードが含まれている場合に、データフィールドを精度よく分割できるようになり効果的である。またチェックサムの計算方法が事前にわかっている場合には、分割パターン候補の値が、チェックサムの計算式から算出される値となっているかを確認することによって、チェックサムのフィールドを抽出してもよい。
　（１７）上記の実施の形態では、データフィールドの分割時に、各分割パターンに対して、観測された値の種類数（第１の特徴量）と、観測データ数に対してフィールドの値に変化が発生した頻度（第２の特徴量）と値の変化時の変化量の分散（第３の特徴量）との３種類を算出していたが、この３種類の特徴量を全て算出する必要はない。例えば、固定値のフィールドのみを抽出したいのであれば、第１の特徴量のみを算出すればよく、抽出したいフィールドによって、必要な特徴量を選択して算出すればよい。また上記の特徴量から算出され得る別の特徴量を用いてもよい。例えば、第１の特徴量と、フィールド長から算出される、取りうる値の範囲に対してどれだけ値の種類数が観測されたかという特徴量を用いてもよい。これによりデータフィールドの分割処理を簡素化でき、処理時間やプログラムサイズの観点から効果的となる。
　（１８）上記の実施の形態では、データフィールドの分割時に、各分割パターンに対して、データフィールドの値を変換することなく特徴量を算出していたが、データフィールドの値を変換する前処理を行ってもよい。例えば、分割パターンが符号付のフィールドであることを想定して、２の補数変換処理を行った上で特徴を算出してもよい。これは、連続値のフィールドが符号付で表現されていた場合に、精度よくデータフィールドを分割するために効果的である。
　（１９）上記の実施の形態では、ペイロード分割部は、分割したデータフィールドの情報を特徴抽出部に通知することで、特徴抽出部が正常モデルを抽出していたが、ペイロード分割部の出力自体を、外部に通知又は内部に保存してもよい。
　（２０）上記の実施の形態では、ペイロード分割部は、受信ログに含まれる全てのＩＤに関して、データフィールドの分割処理を行っていたが、全てのＩＤに関してデータフィールドの分割処理を行わなくてもよい。例えば、あらかじめ指定されたＩＤのみに対してデータフィールドの分割処理を行い、その結果を出力してもよい。
　（２１）上記の実施の形態では、ペイロード分割部は、データフィールドに対して、全ての分割パターン候補に対して特徴量を抽出することでフィールドを分割していたが、あらかじめ決められた範囲のみに対して、データフィールドの分割処理を行ってもよい。これは、大きなデータフィールドの領域から特徴抽出を高速に行いたい場合に、監視対象を絞ることで、処理の高速化を図ることができる。例えばデータフィールドの上位２０ビットに対してのみデータフィールドの分割処理を行ってもよいし、任意の範囲に対して行ってもよい。処理時間の観点から効果的である。
　（２２）上記の実施の形態では、値の変化時の変化量の分散を、フィールドの変化の時系列的変化を捉える特徴量として用いたが、これ以外の特徴であっても構わない。例えばフィールドの値の変化量の分布を用いてもよいし、フィールドの値の移動平均を用いた特徴量としてもよい。
　（２３）上記の実施の形態では、車載ネットワークとしてＣＡＮプロトコルを用いていたが、これに限るものではない。例えば、ＣＡＮ－ＦＤ（ＣＡＮ　ｗｉｔｈ　Ｆｌｅｘｉｂｌｅ　Ｄａｔａ　Ｒａｔｅ）、ＦｌｅｘＲａｙ、Ｅｔｈｅｒｎｅｔ、ＬＩＮ（Ｌｏｃａｌ　Ｉｎｔｅｒｃｏｎｎｅｃｔ　Ｎｅｔｗｏｒｋ）、ＭＯＳＴ（Ｍｅｄｉａ　Ｏｒｉｅｎｔｅｄ　Ｓｙｓｔｅｍｓ　Ｔｒａｎｓｐｏｒｔ）などを用いてもよい。あるいはこれらのネットワークをサブネットワークとして、組み合わせたネットワークであってもよい。
　（２４）上記の実施の形態における各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。このＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記録されている。このマイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
　（２５）上記の実施の形態における各装置は、構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。このＲＡＭには、コンピュータプログラムが記録されている。このマイクロプロセッサが、このコンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。
　また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部又は全てを含むように１チップ化されてもよい。
　また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサーを利用しても良い。
　さらには、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。
　（２６）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。ＩＣカードまたはモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。ＩＣカードまたはモジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、ＩＣカードまたはモジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。
　（２７）本開示は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、コンピュータプログラムからなるデジタル信号であるとしてもよい。
　また、本開示は、コンピュータプログラムまたはデジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標）　Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されているデジタル信号であるとしてもよい。
　また、本開示は、コンピュータプログラムまたはデジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。
　また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、メモリは、上記コンピュータプログラムを記録しており、マイクロプロセッサは、コンピュータプログラムにしたがって動作するとしてもよい。
　また、プログラムまたはデジタル信号を記録媒体に記録して移送することにより、またはプログラムまたはデジタル信号をネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
　（２８）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
　本開示は、車載ネットワークを流れるデータフレームを監視し、統計的特徴量に従い、データフレームに含まれるデータフィールドを分割し、分割したフィールドごとに正常なモデルを生成する。また監視ＥＣＵは、正常モデルをもとに車載ネットワーク内の不正を検知することができる。これらにより、異なる車載ネットワークシステムであっても、事前の設計を必要とせずに、コストを抑えた車載ネットワークの保護が可能となる。
　１０　車載ネットワーク
　１００　監視ＥＣＵ
　１１０　フレーム送受信部
　１２０　フレーム収集部
　１３０　動作判断部
　１４０　ペイロード分割部
　１５０　特徴抽出部
　１６０　異常検知部
　１７０　フレーム生成部
　１８０　モード保持部
　１９０　受信ログ保持部
　１９１　正常モデル保持部
　２００，２００ａ，２００ｂ　ＥＣＵ
　２０１　フレーム送受信部
　２０２　フレーム処理部
　２０３　外部機器入出力部
　２０４　フレーム生成部
　２１０　速度センサ
　２２０　ギア
　２３０　メータ
　３００　バス

Claims (13)

  1. 　記憶部を備える情報処理システムが行う、１以上の電子制御ユニットを含む車載ネットワークに流れるデータフレームを処理する情報処理方法であって、
    　前記車載ネットワークに流れる複数の前記データフレームを受信し、前記複数のデータフレームのそれぞれから、当該データフレームに含まれ、少なくとも１つのフィールドから構成されるペイロードを取得して前記記憶部に保持される受信ログに１つのレコードとして記録するフレーム収集ステップと、
    　複数の前記レコードから、前記複数のデータフレームのペイロード内の互いに異なる領域を示す複数のペイロード分割パターン候補のそれぞれについて、前記領域における前記ペイロードの値の時系列変化に関する１つ以上の特徴量を算出し、前記特徴量に基づいて、前記複数のペイロード分割パターン候補から、前記ペイロード内にあるフィールドの領域を示すペイロード分割パターンを選択し、選択した前記ペイロード分割パターンが示す領域と、前記特徴量に基づく当該フィールドのカテゴリとを示すフィールド抽出結果を出力するフィールド抽出ステップとを含む
    　情報処理方法。
  2. 　前記受信ログは、前記複数のレコードの受信された順序を示す情報をさらに含み、
    　前記特徴量は、
    　前記時系列変化のパターン数を表す第１の特徴量と、
    　前記時系列変化の発生頻度を表す第２の特徴量と、
    　前記時系列変化の変化量に関する統計情報を表す第３の特徴量との少なくとも１つを含む
    　請求項１に記載の情報処理方法。
  3. 　前記情報処理システムは前記フィールド抽出ステップにおいて、
    　前記特徴量に基づいて、前記ペイロードの値に1回以上の時系列変化があり、前記時系列変化に含まれる各回の変化量が所定の大きさ以下である領域を示す前記ペイロード分割パターン候補を、第１カテゴリのフィールドの領域を示す前記ペイロード分割パターンとして選択する
    　請求項２に記載の情報処理方法。
  4. 　前記特徴量は前記第２の特徴量及び前記第３の特徴量を含み、
    　前記情報処理システムは前記フィールド抽出ステップにおいて、
    　前記複数のペイロード分割パターン候補から、前記第２の特徴量及び前記第３の特徴量に基づいて、前記ペイロードの値が物理量を示す連続値カテゴリのフィールドの領域を示すペイロード分割パターンとして選択することで、前記第１カテゴリのフィールドを示す前記ペイロード分割パターンを選択する連続値フィールド抽出ステップとを実行する
    　請求項２又は３に記載の情報処理方法。
  5. 　前記情報処理システムは前記フィールド抽出ステップにおいて、
    　前記複数のペイロード分割パターン候補のそれぞれについて、同一のデータ長の領域を示す前記ペイロード分割パターン候補の中での前記第３の特徴量の外れ具合を示す外れ値スコアを算出し、
    　前記ペイロード分割パターン候補の中で開始ビットが同一である領域を示す前記ペイロード分割パターン候補の前記外れ値スコアの平均値を算出し、
    　前記平均値が所定の閾値以上である領域を示す前記ペイロード分割パターン候補から、当該ペイロード分割パターン候補に含まれるペイロード分割パターン候補の前記第２の特徴量の大小関係に基づいて前記連続値カテゴリに該当するフィールドの領域を示すペイロード分割パターンを選択する
    　請求項４に記載の情報処理方法。
  6. 　前記情報処理システムは前記フィールド抽出ステップにおいて、
    　前記複数のペイロード分割パターン候補から、前記特徴量に基づいて、前記ペイロードの値に毎回変化がある領域であって、当該ペイロードの値の各回の変化量が一定である領域を示すペイロード分割パターンをカウンタカテゴリのフィールドの領域を示すペイロード分割パターンとして選択することで、前記第１カテゴリのフィールドを示す前記ペイロード分割パターンを選択する
    　請求項４又は５に記載の情報処理方法。
  7. 　前記情報処理システムは前記フィールド抽出ステップにおいて、
    　前記特徴量に基づいて、前記ペイロードの値に1回以上の時系列変化があり、前記ペイロードの値が離散値を取る領域を示す前記ペイロード分割パターン候補を、第２カテゴリのフィールドの領域を示す前記ペイロード分割パターンとして選択する
    　請求項６に記載の情報処理方法。
  8. 　前記第２カテゴリは、
    　前記フィールド内の前記ペイロードの値の整合性をチェックするためのチェックサムカテゴリと、
    　前記フィールド内の前記ペイロードの値が前記車載ネットワークを含む車両の所定の状態を示すステータスカテゴリとの少なくとも一方である
    　請求項７に記載の情報処理方法。
  9. 　前記情報処理システムは前記フィールド抽出ステップにおいて、
    　固定値フィールド抽出ステップと、
    　カウンタフィールド抽出ステップと、
    　前記連続値フィールド抽出ステップと、
    　第２カテゴリフィールド抽出ステップとを順に実行し、
    　前記固定値フィールド抽出ステップでは、前記複数のペイロード分割パターン候補から、前記第１の特徴量が１であるペイロード分割パターン候補を固定値カテゴリのフィールドの領域を示すペイロード分割パターンとして選択し、前記複数のペイロード分割パターン候補から当該選択したペイロード分割パターンと少なくとも一部が重なる前記ペイロード分割パターン候補を除いた残りを第１のペイロード分割パターン候補とし、
    　前記カウンタフィールド抽出ステップでは、前記第１のペイロード分割パターン候補から、前記カウンタカテゴリのフィールドの領域を示すペイロード分割パターンを選択し、前記第１のペイロード分割パターン候補から当該選択したペイロード分割パターンと少なくとも一部が重なる前記ペイロード分割パターン候補を除いた残りを第２のペイロード分割パターン候補とし、
    　前記連続値フィールド抽出ステップでは、前記第２のペイロード分割パターン候補から、前記第２の特徴量と、前記第３の特徴量と、を用いて、前記第２のペイロード分割パターン候補の中から、前記連続値カテゴリのフィールドの領域を示すペイロード分割パターンを選択し、前記第２のペイロード分割パターン候補から当該選択したペイロード分割パターンと少なくとも一部が重なる前記ペイロード分割パターン候補を除いた残りを第３のペイロード分割パターン候補とし、
    　前記第２カテゴリフィールド抽出ステップでは、前記第３のペイロード分割パターン候補を、前記第２カテゴリフィールドとして選択する
    　請求項７に記載の情報処理方法。
  10. 　さらに前記情報処理システムが実行する、
    　前記フィールド抽出結果及び前記受信ログから、前記選択されたペイロード分割パターンが示すフィールドの値の時系列変化の変化量に関する統計情報に基づいて、当該フィールドの値の変化の正常範囲を示す正常モデルを生成し、生成した前記正常モデルをさらに出力する特徴抽出ステップを含む
    　請求項１から９のいずれか１項に記載の情報処理方法。
  11. 　前記複数のデータフレームのそれぞれは、データフレームの種類を示すデータ種別ＩＤを含み、
    　前記情報処理システムは、
    　前記フレーム収集ステップにおいて、前記ペイロード及び前記データ種別ＩＤを前記１つのレコードとして前記受信ログに記録し、
    　前記フィールド抽出ステップを、前記データ種別ＩＤが共通のデータフレームを対象に実行する
    　請求項１から１０のいずれか１項に記載の情報処理方法。
  12. 　プロセッサ及び記憶部を備え、１以上の電子制御ユニットを含む車載ネットワークに流れるデータフレームを処理する情報処理システムであって、
    　前記プロセッサは、
    　前記車載ネットワークに流れる複数の前記データフレームを受信し、前記複数のデータフレームのそれぞれから、当該データフレームに含まれ、少なくとも１つのフィールドから構成されるペイロードを取得して前記記憶部に保持される受信ログに１つのレコードとして記録し、
    　複数の前記レコードから、前記複数のデータフレームのペイロード内の互いに異なる領域を示す複数のペイロード分割パターン候補のそれぞれについて、前記領域における前記ペイロードの値の時系列変化に関する１つ以上の特徴量を算出し、
    　前記特徴量に基づいて、前記複数のペイロード分割パターン候補から、前記ペイロード内にあるフィールドの領域を示すペイロード分割パターンを選択し、
    　選択した前記ペイロード分割パターンが示す領域と、前記特徴量に基づく当該フィールドのカテゴリとを示すフィールド抽出結果を出力する
    　情報処理システム。
  13. 　プロセッサ及び記憶部を備える情報処理システムにおいて、前記プロセッサによって実行されることで前記情報処理システムに請求項１に記載の情報処理方法を実行させるプログラム。
PCT/JP2017/040866 2016-12-06 2017-11-14 情報処理方法、情報処理システム、及びプログラム WO2018105330A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
CN201780003405.2A CN108401491B (zh) 2016-12-06 2017-11-14 信息处理方法、信息处理系统以及程序
JP2018517654A JP6847101B2 (ja) 2016-12-06 2017-11-14 情報処理方法、情報処理システム、及びプログラム
EP17877833.8A EP3554015B1 (en) 2016-12-06 2017-11-14 Information processing method, information processng system, and program
US16/229,528 US10999248B2 (en) 2016-12-06 2018-12-21 Information processing method, information processing system, and non-transitory computer-readable recording medium storing a program
US17/223,772 US11546298B2 (en) 2016-12-06 2021-04-06 Information processing method, information processing system, and non-transitory computer-readable recording medium storing a program

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
JP2016-237049 2016-12-06
JP2016237049 2016-12-06
JP2017-209871 2017-10-31
JP2017209871 2017-10-31

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US16/229,528 Continuation US10999248B2 (en) 2016-12-06 2018-12-21 Information processing method, information processing system, and non-transitory computer-readable recording medium storing a program

Publications (1)

Publication Number Publication Date
WO2018105330A1 true WO2018105330A1 (ja) 2018-06-14

Family

ID=62491193

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/040866 WO2018105330A1 (ja) 2016-12-06 2017-11-14 情報処理方法、情報処理システム、及びプログラム

Country Status (5)

Country Link
US (2) US10999248B2 (ja)
EP (1) EP3554015B1 (ja)
JP (1) JP6847101B2 (ja)
CN (1) CN108401491B (ja)
WO (1) WO2018105330A1 (ja)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020021713A1 (ja) * 2018-07-27 2020-01-30 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正検知方法および不正検知電子制御装置
JP2020113893A (ja) * 2019-01-11 2020-07-27 富士通株式会社 メッセージ処理装置およびメッセージ処理方法
WO2020203352A1 (ja) * 2019-03-29 2020-10-08 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知方法及び異常検知装置
JP2021057741A (ja) * 2019-09-30 2021-04-08 富士通株式会社 メッセージの特徴を推定する方法および情報処理装置
WO2021095491A1 (ja) * 2019-11-12 2021-05-20 株式会社オートネットワーク技術研究所 車載中継装置及び情報処理方法
WO2021149537A1 (ja) * 2020-01-21 2021-07-29 株式会社オートネットワーク技術研究所 管理装置、車載装置の識別情報割り当て方法、車載システム、及びデータ構造
JP7444287B2 (ja) 2020-11-19 2024-03-06 日本電信電話株式会社 推定装置、推定方法、および、推定プログラム

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102017208547A1 (de) * 2017-05-19 2018-11-22 Robert Bosch Gmbh Verfahren zum Schutz eines Netzwerkes vor einem Cyberangriff
KR102017218B1 (ko) * 2017-10-19 2019-09-02 재단법인 대구경북과학기술원 네트워크 보안 방법 및 장치
US11128400B2 (en) * 2017-12-01 2021-09-21 Nippon Telegraph And Telephone Corporation Bit assignment estimating device, bit assignment estimating method, and program
JP6552674B1 (ja) * 2018-04-27 2019-07-31 三菱電機株式会社 検査システム
EP3807823A1 (en) 2018-06-12 2021-04-21 Intergraph Corporation Artificial intelligence applications for computer-aided dispatch systems
CN117118776A (zh) * 2019-02-08 2023-11-24 松下电器（美国）知识产权公司 异常判定方法、异常判定装置以及程序
US11700270B2 (en) * 2019-02-19 2023-07-11 The Aerospace Corporation Systems and methods for detecting a communication anomaly
US10951649B2 (en) * 2019-04-09 2021-03-16 Arbor Networks, Inc. Statistical automatic detection of malicious packets in DDoS attacks using an encoding scheme associated with payload content
US11194691B2 (en) 2019-05-31 2021-12-07 Gurucul Solutions, Llc Anomaly detection using deep learning models
US11005872B2 (en) * 2019-05-31 2021-05-11 Gurucul Solutions, Llc Anomaly detection in cybersecurity and fraud applications
JP7234832B2 (ja) * 2019-07-03 2023-03-08 株式会社デンソー 電子制御装置
CN112583683B (zh) * 2020-12-29 2021-10-15 中国科学院声学研究所 一种主从式can fd总线应用层通信方法及系统、电子设备
CN114297454B (zh) * 2021-12-30 2023-01-03 医渡云（北京）技术有限公司 特征的离散化方法、装置、电子设备及计算机可读介质

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8467324B2 (en) * 2010-11-03 2013-06-18 Broadcom Corporation Managing devices within a vehicular communication network
AU2012296587B2 (en) * 2011-08-15 2016-04-21 Jonathan William Roleder Container assembly with improved retainer assembly and flavor inserts for aging a liquid
JP5664799B2 (ja) 2011-12-22 2015-02-04 トヨタ自動車株式会社 通信システム及び通信方法
US9819589B2 (en) * 2013-09-27 2017-11-14 Nxp Usa, Inc. CAN FD end-of-frame detector, CAN bit stream processing device, method for detecting the end of a CAN FD frame, and method of operating a CAN bit stream processor
JP5880898B2 (ja) * 2014-05-08 2016-03-09 パナソニックＩｐマネジメント株式会社 送信装置
JP6398567B2 (ja) * 2014-10-07 2018-10-03 株式会社デンソー 車両の遠隔制御に用いられる命令判定装置および命令判定装置用のプログラム
JP6594732B2 (ja) * 2015-01-20 2019-10-23 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正フレーム対処方法、不正検知電子制御ユニット及び車載ネットワークシステム

Non-Patent Citations (6)

* Cited by examiner, † Cited by third party
Title
HAGA, TOMOYUKI ET AL.: "Proposal of statistical anomaly detection system for in-vehicle network using cloud", SCIS 2016 SYMPOSIUM ON CRYPTGRAPHY AND INFORMATION SECURITY, vol. 11, 19 January 2016 (2016-01-19), pages 31 - 45, XP009515155 *
MARKOVITZ, M. ET AL.: "Field classification , modeling and anomaly detection in unknown CAN bus networks", VEHICULAR COMMUNICATIONS, 13 October 2015 (2015-10-13), XP055512979, Retrieved from the Internet <URL:https://www.eng.tau.ac.il/~yash/escar-2015-10-13.pdf> [retrieved on 20171218] *
POKRAJAC, D. ET AL.: "Incremental local outlier detection for data streams", IEEE SYMPOSIUM ON COMPUTATIONAL INTELLIGENCE AND DATA MINING (CIDM 2007), 1 April 2007 (2007-04-01), pages 504 - 515, XP031095483 *
See also references of EP3554015A4 *
TAYLOR, A. ET AL.: "Anomaly-based detection of malicious activity in in-vehicle networks", A THESIS IN OTTAWA-CARLETON INSTITUTE FOR ELECTRICAL AND COMPUTER ENGINEERING UNIVERSITY OF OTTAWA, 23 May 2017 (2017-05-23), Ottawa, Canada, XP055512983, Retrieved from the Internet <URL:https://ruor.uottawa.ca/bitstream/10393/36120/3/Taylor_Adrian_2017_thesis.pdf> [retrieved on 20171218] *
THEISSLER, A. ET AL.: "Detecting anomalies in recordings from test drives based on a training set of normal instances", IADIS INTERNATIONAL CONFERENCE INTELLIGENT SYSTEMS AND AGENTS AND EUROPEAN CONFERENCE DATA MINING 2012, July 2012 (2012-07-01), XP055512980, Retrieved from the Internet <URL:http://www.it-designers-gruppe.de/uploads/media/Detecting_anomalies_in_recordings_from_test_drives_based_on_a_training_set_of_normal_instances_2012.pdf> [retrieved on 20171218] *

Cited By (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPWO2020022444A1 (ja) * 2018-07-27 2021-08-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知方法及び不正検知装置
WO2020022444A1 (ja) * 2018-07-27 2020-01-30 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正検知方法及び不正検知装置
JP7232832B2 (ja) 2018-07-27 2023-03-03 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正検知方法及び不正検知装置
CN111492625A (zh) * 2018-07-27 2020-08-04 松下电器（美国）知识产权公司 非法检测方法以及非法检测装置
WO2020021713A1 (ja) * 2018-07-27 2020-01-30 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正検知方法および不正検知電子制御装置
CN111492625B (zh) * 2018-07-27 2022-07-01 松下电器（美国）知识产权公司 非法检测方法以及非法检测装置
JP7182470B2 (ja) 2019-01-11 2022-12-02 富士通株式会社 メッセージ処理装置およびメッセージ処理方法
JP2020113893A (ja) * 2019-01-11 2020-07-27 富士通株式会社 メッセージ処理装置およびメッセージ処理方法
EP3951531A4 (en) * 2019-03-29 2022-05-11 Panasonic Intellectual Property Corporation of America PROCEDURE FOR DETECTING ANOMALIES AND SYSTEM FOR DETECTING ANOMALIES
WO2020203352A1 (ja) * 2019-03-29 2020-10-08 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知方法及び異常検知装置
US11943243B2 (en) 2019-03-29 2024-03-26 Panasonic Intellectual Property Corporation Of America Anomaly detection method and anomaly detection device
JP2021057741A (ja) * 2019-09-30 2021-04-08 富士通株式会社 メッセージの特徴を推定する方法および情報処理装置
JP7268562B2 (ja) 2019-09-30 2023-05-08 富士通株式会社 メッセージの特徴を推定する方法および情報処理装置
WO2021095491A1 (ja) * 2019-11-12 2021-05-20 株式会社オートネットワーク技術研究所 車載中継装置及び情報処理方法
WO2021149537A1 (ja) * 2020-01-21 2021-07-29 株式会社オートネットワーク技術研究所 管理装置、車載装置の識別情報割り当て方法、車載システム、及びデータ構造
JP2021114724A (ja) * 2020-01-21 2021-08-05 株式会社オートネットワーク技術研究所 管理装置、車載装置の識別情報割り当て方法、車載システム、及びデータ構造
JP7363510B2 (ja) 2020-01-21 2023-10-18 株式会社オートネットワーク技術研究所 管理装置、車載装置の識別情報割り当て方法、車載システム、及びデータ構造
JP7444287B2 (ja) 2020-11-19 2024-03-06 日本電信電話株式会社 推定装置、推定方法、および、推定プログラム

Also Published As

Publication number Publication date
US20210226919A1 (en) 2021-07-22
JPWO2018105330A1 (ja) 2019-10-24
US10999248B2 (en) 2021-05-04
EP3554015A4 (en) 2019-12-18
CN108401491A (zh) 2018-08-14
EP3554015B1 (en) 2020-12-30
US11546298B2 (en) 2023-01-03
JP6847101B2 (ja) 2021-03-24
US20190116157A1 (en) 2019-04-18
EP3554015A1 (en) 2019-10-16
CN108401491B (zh) 2021-08-10

Similar Documents

Publication Publication Date Title
WO2018105330A1 (ja) 情報処理方法、情報処理システム、及びプログラム
EP3598329B1 (en) Information processing method, information processing system, and program
US11570184B2 (en) In-vehicle network system, fraud-detection electronic control unit, and fraud-detection method
US10992688B2 (en) Unauthorized activity detection method, monitoring electronic control unit, and onboard network system
US10902109B2 (en) Misuse detection method, misuse detection electronic control unit, and misuse detection system
US11032300B2 (en) Intrusion detection system based on electrical CAN signal for in-vehicle CAN network
JP2017126978A (ja) 異常検知方法、異常検知装置及び異常検知システム
CN109076016B (zh) 非法通信检测基准决定方法、决定系统以及记录介质
JP2018026791A (ja) フレーム伝送阻止装置、フレーム伝送阻止方法及び車載ネットワークシステム
WO2018168291A1 (ja) 情報処理方法、情報処理システム、及びプログラム
CN109005678B (zh) 非法通信检测方法、非法通信检测系统以及记录介质
AU2019308828B2 (en) Message source detection in a vehicle bus system
US20200183373A1 (en) Method for detecting anomalies in controller area network of vehicle and apparatus for the same
Frassinelli et al. I know where you parked last summer: Automated reverse engineering and privacy analysis of modern cars
WO2018179536A1 (ja) 情報処理装置、情報処理方法、プログラムとそれを記憶した記録媒体
US20230283622A1 (en) Anomaly detection method, anomaly detection device, and recording medium
JP7176564B2 (ja) 監視装置、および、監視方法
JP6992309B2 (ja) 送信装置、受信装置、及び通信方法
CN114731301A (zh) 决定方法、决定系统以及程序
Tricarico Generalization of a Machine Learning Classifier of CAN Bus Signals

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2018517654

Country of ref document: JP

Kind code of ref document: A

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17877833

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2017877833

Country of ref document: EP

Effective date: 20190708