WO2018135604A1 - 抽出装置、抽出方法と記憶媒体、ならびに、異常検知装置、異常検知方法 - Google Patents

抽出装置、抽出方法と記憶媒体、ならびに、異常検知装置、異常検知方法 Download PDF

Info

Publication number
WO2018135604A1
WO2018135604A1 PCT/JP2018/001491 JP2018001491W WO2018135604A1 WO 2018135604 A1 WO2018135604 A1 WO 2018135604A1 JP 2018001491 W JP2018001491 W JP 2018001491W WO 2018135604 A1 WO2018135604 A1 WO 2018135604A1
Authority
WO
WIPO (PCT)
Prior art keywords
order
message
predetermined value
interval
extraction
Prior art date
Application number
PCT/JP2018/001491
Other languages
English (en)
French (fr)
Inventor
萌 栗田
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to US16/478,900 priority Critical patent/US20190384771A1/en
Priority to JP2018562439A priority patent/JP7006622B2/ja
Publication of WO2018135604A1 publication Critical patent/WO2018135604A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/2801—Broadband local area networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
    • G06F16/25—Integrating or interfacing systems involving database management systems
    • G06F16/254—Extract, transform and load [ETL] procedures, e.g. ETL data flows in data warehouses
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/01—Input arrangements or combined input and output arrangements for interaction between user and computer
    • G06F3/048—Interaction techniques based on graphical user interfaces [GUI]
    • G06F3/0481—Interaction techniques based on graphical user interfaces [GUI] based on specific properties of the displayed interaction object or a metaphor-based environment, e.g. interaction with desktop elements like windows or icons, or assisted by a cursor's changing behaviour or appearance
    • G06F3/0482—Interaction with lists of selectable items, e.g. menus
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
    • H04L63/0414—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden during transmission, i.e. party's identity is protected against eavesdropping, e.g. by using temporary identifiers, but is known to the other party or parties involved in the communication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/18—Service support devices; Network management devices
    • H04W88/184—Messaging devices, e.g. message centre
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/16—Arrangements for providing special services to substations
    • H04L12/18—Arrangements for providing special services to substations for broadcast or conference, e.g. multicast
    • H04L12/1881—Arrangements for providing special services to substations for broadcast or conference, e.g. multicast with schedule organisation, e.g. priority, sequence management

Definitions

  • the present invention relates to an extraction device and an abnormality detection device.
  • ECUs electronice control units
  • LAN Local Area Network
  • CAN Controller Area Network
  • Patent Document 1 a method of detecting an abnormal state
  • Non-Patent Document 1 is a method of detecting an abnormal state when the order of messages changes by using the fact that messages flow from the ECU according to the driver's driving behavior in an ordered relationship determined by the ECU.
  • Non-Patent Document 1 is based on the premise that the order of messages is known, and it is necessary to obtain information about the order of messages as prior knowledge.
  • detailed message specifications are not always disclosed, and the order of messages may be unknown. In this case, the abnormality detection using the message order cannot be performed.
  • An object of the present invention is to provide an extraction device or the like that extracts the order of messages from a message log.
  • an object of the present invention is to provide an anomaly detection device or the like that can detect an anomaly in a message even if the message log is an unknown message log.
  • One aspect of the extraction device provides a predetermined value of the predetermined value having the same appearance interval based on a predetermined value for identifying a message and an appearance interval of the predetermined value derived from a time stamp of the message.
  • An interval analysis unit that generates a set, and an order extraction unit that extracts a predetermined value order indicating the order of the messages from the predetermined value set.
  • One aspect of the extraction method of the present invention is a predetermined value of the predetermined value that has the same appearance interval based on a predetermined value for identifying a message and an appearance interval of the predetermined value derived from a time stamp of the message.
  • a set is generated, and a predetermined value order indicating the order of the messages is extracted from the predetermined value set.
  • the appearance interval is the same based on a predetermined value for identifying a message and an appearance interval of the predetermined value derived from a time stamp of the message.
  • the computer is caused to generate a predetermined value set of the predetermined values and extract a predetermined value order indicating the order of the messages from the predetermined value set.
  • One aspect of the abnormality detection device of the present invention includes the above-described extraction device and an inspection device, and the inspection device is configured such that the order of predetermined values of messages to be inspected is the predetermined value order extracted by the extraction device.
  • An order inspection unit for inspecting whether or not the condition is satisfied is provided.
  • the predetermined value order is extracted by the extraction method described above, and it is inspected whether the predetermined value order of the message to be inspected satisfies the predetermined value order.
  • One aspect of the abnormality detection system of the present invention includes a plurality of nodes that transmit messages and the above-described abnormality detection device.
  • the order of messages can be extracted from the message log. Further, according to the abnormality detection device of the present invention, it is possible to detect a message abnormality even in a message log whose message order is unknown.
  • FIG. 6 is a diagram showing an example of set time series sections 1 to 3; It is a figure which shows the matrix of the directed graph which uses ID in each time series area as a vertex. It is a figure which shows the matrix of the graph which subtracted the matrix of the graph of a normal state, and redundant data. It is a figure which shows an example of ID order set which shows the order relationship of message ID.
  • FIG. 4 is a block diagram showing a hardware configuration in which the extraction device in the first to third embodiments, the inspection device in the second and third embodiments, and the abnormality detection device are realized by a computer.
  • the extraction device focuses on messages that are periodically transmitted by each node on the network from among message logs whose message order is unknown, and extracts messages from a set of messages having the same appearance interval. It is an example for deriving an order relationship.
  • the message log is a history of messages transmitted by each node.
  • the message log includes messages transmitted from each node at regular intervals. Further, it is assumed that the order relation of messages in the message log is unknown.
  • FIG. 1 is a block diagram showing the configuration of the extraction apparatus according to the first embodiment.
  • the extraction device 11 illustrated in FIG. 1 includes an interval analysis unit 111 and an order extraction unit 112.
  • the interval analysis unit 111 and the order extraction unit 112 will be described in detail.
  • the interval analysis unit 111 generates a predetermined value set of predetermined values having the same appearance interval based on a predetermined value for identifying a message from a message log and an appearance interval of the predetermined value derived from the time stamp of the message. It has a function to generate.
  • a predetermined value for identifying a message is a message ID (Identifier).
  • the predetermined value for identifying the message may be an integer obtained by abstracting a combination of the message ID and the message data, for example.
  • the combination is not limited to the message ID and data, and may be a combination of destination (address) and data, command and data, or data A and data B.
  • FIG. 2 is a diagram showing an example of a message log.
  • the message log includes a time stamp and a message ID (hereinafter sometimes simply referred to as an ID). Is included.
  • the message ID is an identifier for identifying a message.
  • the time stamp in FIG. 2 the elapsed time (ms) from the arrival of the first message is recorded for each message ID.
  • the interval analysis unit 111 checks whether there are messages having the same appearance interval in the message log. Specifically, first, the interval analysis unit 111 checks whether there is a duplicate message ID in the message log. If there is a duplicate message ID, the interval analysis unit 111 calculates the appearance interval of the message ID from the elapsed time of the time stamp of the duplicate message ID. It is preferable to consider a margin for a calculation error of the appearance interval of the message ID.
  • the appearance interval of the message ID 420 (hereinafter simply referred to as ID 420) is 10 ms.
  • the interval analysis unit 111 sequentially calculates an appearance interval for each message ID included in the message log, and generates an ID set in which the message IDs are classified for each identical appearance interval.
  • FIG. 3 is a diagram illustrating an example of an ID set for each appearance interval.
  • message IDs ⁇ 420, 432, 490, 472,... ⁇ Are generated as an ID set with an appearance interval of 10 ms
  • message IDs ⁇ 880, 882, 884,. . ⁇ Has been generated.
  • These messages having an appearance interval of 10 ms and messages having an appearance interval of 20 ms can also be referred to as messages having a constant appearance interval.
  • message IDs whose appearance intervals are not the same are classified as indefinite as indicated by ID 1130 and ID 1128 in FIG.
  • Generation of the ID set by the interval analysis unit 111 is preferably performed in a state where the number of messages in the message log is equal to or greater than a certain amount (for example, 1000 or more).
  • the order extraction unit 112 has a function of extracting a predetermined value order indicating a message order from a predetermined value set. Specifically, the order extraction unit 112 sets a plurality of time series sections from the predetermined value set based on the number of identifications of the predetermined values included in the predetermined value set, and the predetermined value order common to the plurality of time series sections. To extract. For example, among the ID sets generated by the interval analysis unit 111, a plurality of time series sections are set from the ID sets having the same appearance interval, and the ID order common to the plurality of set time series sections is extracted.
  • the order extraction unit 112 selects one ID set for the appearance interval from the ID set for each appearance interval. For example, the order extraction unit 112 selects an ID set with an appearance interval of 10 ms from the ID sets for each appearance interval shown in FIG.
  • the order extraction unit 112 sets 1 of the message IDs in the ID set (n is an integer of 2 or more).
  • a plurality of time-series sections are set such that a plurality of time-series sections have the same message ID.
  • FIG. 4 is a diagram showing an example of a time-series section cut out from the ID set.
  • the number of time series sections may be three or more, and the accuracy of the ID order extracted by the order extraction unit 112 increases as the number of time series sections increases.
  • the order extracting unit 112 has a function of extracting a predetermined value order indicating the order of messages from a predetermined value set using a directed graph having a predetermined value in a time series section as a vertex and using the predetermined value order as a branch.
  • a predetermined value order indicating the order of messages from a predetermined value set using a directed graph having a predetermined value in a time series section as a vertex and using the predetermined value order as a branch.
  • FIG. 5 is a diagram showing an example of time-series sections 1 to 3 cut out from ID sets having the same appearance interval.
  • there are five types of IDs in the ID set there are five types of IDs in the ID set, and this is an example in which the common ID at the beginning of time series sections 1 to 3 is set to 420.
  • Time series sections 1 to 3 are examples cut out from an ID set with an appearance interval of 10 ms.
  • FIG. 6 is a diagram showing a directed graph of time series sections 1 to 3 in the form of a matrix.
  • the matrix element when the row ID exists before the column ID, the matrix element is set to 1, and when the row ID exists after the column ID, the matrix element is set to 0. If the ID is the same in the row and the column, the matrix element is 0.
  • the matrix element is 0.
  • the matrix element with row 490 and column 472 is 1, and conversely, the matrix element with column 472 and row 490 is 0.
  • Become Similarly, other matrix elements and matrix elements corresponding to other time series sections are defined similarly.
  • a state in which the order of IDs is maintained in a plurality of time series sections is defined as a normal state, and a directed graph in a normal state is defined in the form of a logical product of matrix elements of three time series sections.
  • the fact that the element having a row of 490 and a column of 428 is 1 means that ID490 always exists before ID428 in the order of ID490 and ID428. Due to this fact, it is determined that this order is always maintained in the normal state. Note that the greater the number of time series sections, the lower the probability that the matrix element component of the graph in the normal state will be 1 by chance.
  • FIG. 7 is a diagram illustrating a graph matrix in a normal state and a graph matrix obtained by subtracting redundant data.
  • the elements of the row 432 and the column 428 are 1, indicating that the ID 432 comes before the ID 428. Since both the elements in row 432 and column 490, and both row 490 and column 428 are 1, it is clear that ID 432 precedes ID 428, and the elements in row 432 and column 428 need not be 1.
  • the order extraction unit 112 extracts an ID order by matrix operation using a directed graph for each ID set having the same appearance interval, and generates an ID order set.
  • FIG. 8 is a diagram illustrating an example of an ID order set indicating the order relation of message IDs. As shown in the appearance interval 10 ms in FIG. 8, two ID orders may be extracted at the same appearance interval from the ID order extraction result.
  • FIG. 9 is a flowchart illustrating the operation of the extraction device according to the first embodiment.
  • the interval analysis unit 111 generates a predetermined value set of predetermined values having the same appearance interval based on the predetermined value for identifying the message and the appearance interval of the predetermined value derived from the time stamp of the message ( Step S101). For example, the interval analysis unit 111 generates an ID set of message IDs having the same message appearance interval from each node.
  • FIG. 10 is a flowchart showing the operation of the predetermined value set generation process in step S101.
  • the interval analysis unit 111 calculates the appearance interval of the predetermined value from the duplicate time stamps of the predetermined value as the predetermined value set generation process (step S1011). For example, the interval analysis unit 111 checks whether there is a duplicate message ID in the message log. If there is a duplicate message ID, the interval analysis unit 111 calculates the appearance interval of the message ID from the elapsed time of the time stamp for each duplicate message ID. To do.
  • the interval analysis unit 111 generates a predetermined value set having the same appearance interval (step S1012). For example, the interval analysis unit 111 sequentially calculates an appearance interval for each message ID included in the message log, and generates an ID set in which the message IDs are classified for each identical appearance interval.
  • step S102 the order extraction unit 112 extracts a predetermined value order indicating the order of messages from the predetermined value set as an order extraction process.
  • the order extraction unit 112 extracts an ID order indicating the order relation of messages from the ID set generated by the interval analysis unit 111.
  • FIG. 11 is a flowchart showing the operation of the predetermined value order extraction processing in step S102.
  • the order extracting unit 112 sets a plurality of time series sections from a predetermined value set of predetermined values having the same appearance interval (step S1021). For example, the order extracting unit 112 sets a plurality of time series sections from the ID set of message IDs having the same appearance interval according to the number of types of IDs included in the ID set.
  • a predetermined value sequence common to a plurality of time series sections is extracted (step S1022). For example, the order extraction unit 112 extracts an ID order common to a plurality of set time series sections.
  • the order extraction unit 112 creates a matrix of a directed graph in which the ID order in the time series section is ID as a vertex and the ID order is a branch of a path toward the vertex.
  • the matrix of a directed graph sets the matrix element to 1 when the row ID exists before the column ID, and sets the matrix element to 0 when the row ID exists after the column ID. If the row and column have the same ID, the matrix element is defined as 0.
  • other matrix elements and matrix elements corresponding to other time series sections are defined similarly.
  • the order extracting unit 112 calculates a directed graph in a normal state by a logical product of matrix elements of three time series sections, with the state where the ID order is maintained in a plurality of time series sections as a normal state. Note that the greater the number of time series sections, the lower the probability that the matrix element component of the graph in the normal state will be 1 by chance.
  • the order extracting unit 112 obtains a matrix of a graph obtained by subtracting redundant matrix elements from a matrix representation of a graph indicating a normal state, and extracts an ID order common to a plurality of time series sections.
  • the order extraction unit 112 extracts an ID order by matrix operation using a directed graph for each ID set having the same appearance interval, and generates an ID order set.
  • the extraction device of the first embodiment it is possible to extract the order relationship of messages from a message log whose message order is unknown.
  • the abnormality detection device of the second embodiment is an example of an abnormality detection device using the extraction device of the first embodiment.
  • the same components as those in the first embodiment are denoted by the same reference numerals, and detailed description thereof is omitted.
  • the message is broadcast from a plurality of nodes connected to the network and does not flow on the network at the same time.
  • the message log is a history of messages transmitted by each node. It is assumed that the message log includes messages transmitted from each node at regular intervals. Further, it is assumed that the order relation of messages in the message log is unknown.
  • FIG. 12 is a block diagram showing a configuration of the abnormality detection apparatus according to the second embodiment.
  • An abnormality detection device 10 illustrated in FIG. 12 includes an extraction device 11 and an inspection device 12. It is assumed that the inspection device 12 can acquire the ID order set generated by the extraction device 11.
  • the extraction device 11 of the second embodiment has the same configuration as the extraction device 11 of the first embodiment, and a detailed description thereof is omitted.
  • an example using a message ID as a predetermined value for identifying a message will be described, as in the first embodiment.
  • the inspection apparatus 12 includes an order inspection unit 122.
  • the order checking unit 122 has a function of checking whether the order of the predetermined values of the message to be inspected satisfies the extracted predetermined value order. For example, the order checking unit 122 sequentially acquires message IDs of messages to be checked, and checks whether the order of the acquired message IDs satisfies the ID order extracted by the extraction device 11.
  • the message to be inspected by the inspection apparatus 12 is a message that flows on the network corresponding to the message log of the first embodiment.
  • FIG. 13 is a flowchart illustrating the operation of the abnormality detection device according to the second embodiment.
  • step S101 and step S102 showing the operation of the extraction device 11 of the second embodiment are the same as the operation of the extraction device 11 of the first embodiment, and detailed description thereof is omitted.
  • the inspection apparatus 12 will be described as an example of the operation after the ID ordered set generated by the extraction apparatus 11 is acquired.
  • the order checking unit 122 of the inspection device 12 checks whether the order of the predetermined values of the message to be inspected satisfies the extracted predetermined value order (step S203). For example, the message IDs to be inspected are sequentially acquired, and it is inspected whether the order of the message IDs to be inspected satisfies the extracted ID order. Note that the messages to be inspected sequentially acquired by the inspection apparatus 12 may be acquired from the network by the abnormality detection apparatus 10 including the inspection apparatus 12 or may be acquired from other apparatuses.
  • the inspection apparatus 12 acquires the ID ordered set illustrated in FIG. 8 from the extraction device 11. If the acquired message ID is ID490 after ID420, the order checking unit 122 checks the message ID to be checked based on the ID order [ID420 ⁇ ID432 ⁇ ID490 ⁇ ID428] with an appearance interval of 10 ms shown in FIG. Is determined to be normal.
  • the order checking unit 122 determines that the order of ID490 and ID420 is abnormal.
  • the abnormality detection device of the second embodiment it is possible to detect an abnormality in the message order even in a message log whose message order is unknown.
  • the reason is that the extraction device 11 of the abnormality detection device 30 extracts the message ID order from the message log whose message order is unknown, and the inspection device 12 detects the abnormality of the message order using the extracted ID order. Because it can.
  • An abnormality detection system 20 illustrated in FIG. 14 includes an abnormality detection device 30 and a plurality of nodes 21.
  • the abnormality detection device 30 and the node 21 are connected via a bus to form a network.
  • the node 21 (shown as a generic name of the nodes 21A, 21B, and 21C) broadcasts a message to the abnormality detection device 30 and other nodes 21 in the network. It is assumed that the node 21 is transmission controlled so that a plurality of messages do not flow on the bus at the same time.
  • An example of the node 21 is an electronic control unit (ECU) connected to an in-vehicle LAN (Local Area Network) compliant with a communication protocol CAN (Controller Area Network).
  • the node 21 transmits a plurality of messages, and transmits the messages periodically or indefinitely according to the messages.
  • the message includes at least an identifier (ID: Identifier) of the message.
  • ID Identifier
  • FIG. 15 is a block diagram illustrating a configuration of an abnormality detection apparatus according to the third embodiment.
  • the abnormality detection device 30 illustrated in FIG. 15 includes an extraction device 31, a storage device 33, and an inspection device 32.
  • the extraction device 31 includes an interval analysis unit 311 and an order extraction unit 312.
  • the storage device 33 includes a history storage unit 331, an interval storage unit 332, and an order storage unit 333.
  • the inspection device 32 includes an interval inspection unit 321 and an order inspection unit 322.
  • the extraction device 31 has the same function as the extraction device of the first embodiment. Hereinafter, the same functions as those of the extraction device of the first embodiment will be described by omitting a detailed description.
  • the extraction device 31 refers to the message log stored in the history storage unit 331 and extracts the ID order of the message IDs included in the message log.
  • the extraction device 31 records the extraction result in the order storage unit 333.
  • the message transmitted by each node 21 is stored in the history storage unit 331 by the acquisition unit (not shown) of the abnormality detection device 30.
  • the message log stored in the history storage unit 331 is, for example, the message log illustrated in FIG.
  • the message log includes the message ID and time stamp of the message from the node 21 received by the abnormality detection device 30.
  • the time stamp stores the elapsed time (ms) after the start of message reception by the abnormality detection device 30.
  • the message log may include information other than the message ID and the time stamp.
  • the interval analysis unit 311 confirms whether the same message ID exists in the message log in the history storage unit 331, and if it exists, derives and analyzes the appearance interval of the message ID.
  • the derivation of the appearance interval is the same as that described in the first embodiment, and detailed description thereof is omitted. This analysis is performed when a certain amount or more (for example, 1000 or more) of the same message ID is accumulated in the history storage unit 331.
  • the interval analysis unit 311 When the message ID having the same appearance interval exists as a result of the analysis of the appearance interval of the message ID, the interval analysis unit 311 records the message ID and the appearance interval in the interval storage unit 332 in association with each other. In the case of message IDs whose appearance intervals are not the same, the interval analysis unit 311 stores them in the interval storage unit 332 as indefinite with no fixed value.
  • the information stored in the interval storage unit 332 is an ID set of message IDs classified by appearance interval, and is stored as indefinite when the appearance intervals are not the same.
  • the information stored in the interval storage unit 332 is, for example, an ID set for each appearance interval shown in FIG.
  • the condition that the interval analysis unit 311 determines that the appearance intervals of the message IDs are the same is given to the interval analysis unit 311 in advance.
  • the average of the appearance intervals of 1000 identical message IDs is 10 ms.
  • the interval analysis unit 311 determines that the message IDs have the same appearance interval.
  • the order extraction unit 312 has a function of extracting the ID order when there is a rule regarding the ID order with respect to the ID set of message IDs classified by appearance interval. Specifically, the order extraction unit 312 analyzes whether or not a predetermined ID order always holds for an ID set of message IDs having the same appearance interval. For example, when messages of ID22, ID25, and ID30 are always transmitted in this order, this order is stored in the order storage unit 333.
  • the order extraction unit 312 refers to the interval storage unit 332, and when a plurality of IDs have the same appearance interval, sets them as ID order extraction targets.
  • ID 420, ID 422, ID 427, ID 428, ID 432, ID 472, ID 476, ID 490, ID 493, and ID 507 are recorded in the interval storage unit 332 as having the same appearance interval (example: 10 ms).
  • the order extraction unit 312 first extracts only messages with these IDs from the record in the history storage unit 331 based on this information.
  • the order extraction unit 312 selects one ID (for example, ID420), and extracts a time series section starting with ID420 and ending with ID420 from the ID set.
  • ID420 for example, ID420
  • An example of extracting a time series section starting with ID 420 and ending with ID 420 is the same as the time series section shown in FIG.
  • the order extraction unit 312 extracts a plurality of time series sections from the ID set.
  • the order extraction unit 312 extracts the ID order [ID420 ⁇ ID432 ⁇ ID490 ⁇ ID428] and [ID420 ⁇ ID432 ⁇ ID472] in the time series sections 1, 2, and 3 with an appearance interval of 10 ms, and the result is the order storage unit. 333.
  • the extraction result recorded in the order storage unit 333 is, for example, information as shown in FIG. In this way, the order extraction unit 312 records a set of IDs and a time period of an appearance interval shared by the IDs.
  • the storage device 33 includes a history storage unit 331, an interval storage unit 332, and an order storage unit 333.
  • the history storage unit 331 stores message logs from the time of startup to the present. This is a set of IDs of the transmission time and the message. The number of ID types depends on the network protocol. Or the result which the extraction device 31 analyzed is preserve
  • the interval storage unit 332 stores the appearance interval of each ID. If the ID does not have a constant appearance interval, the fact that the appearance interval is indefinite is recorded.
  • the order storage unit 333 stores a set of IDs that are transmitted while maintaining a certain order extracted by the certain order ID extraction unit. Since the extraction of the fixed ordered set is performed for IDs having the same appearance interval period, the extracted set and the appearance interval are recorded in the order storage unit.
  • the inspection device 32 refers to the normal state information indicating the ID order of the messages stored in the storage device 33 or a certain appearance interval of the message IDs, and whether the message ID newly transmitted from the node satisfies the normal state. Inspect.
  • the interval inspection unit 321 detects an abnormality in the received message using the appearance interval of the message ID. Specifically, the interval inspection unit 321 refers to each message from the analysis result of the interval analysis unit 311 to determine whether the ID is transmitted from the ID at a certain appearance interval. When the ID is transmitted at a constant appearance interval, it is checked whether the appearance interval of the same ID transmitted last time is equal to the appearance interval of the ID analyzed by the interval analysis unit 311. If they are not equal, it is determined as abnormal.
  • the order checking unit 322 detects an abnormality based on the appearance order of message IDs.
  • the order checking unit 322 checks whether the ID order relation stored in the order storage unit 333 is satisfied. For example, when it is analyzed that the order of ID22, ID25, and ID30 messages is constant, it is checked whether the ID25 message is received after the ID22 message when the ID30 message is transmitted. After the message of ID22 is transmitted, if the message of ID30 is transmitted before the message of ID25 is transmitted, it is abnormal, and it is inspected for such an abnormality. If an abnormality exists, it is determined as an abnormality.
  • FIG. 16 is a flowchart showing the operation of the interval analysis unit.
  • the message ID may be simply indicated as ID.
  • the interval analysis unit 311 confirms whether the appearance interval of the message ID has been analyzed based on the message ID received by the abnormality detection device 30 (step S401). Specifically, the interval analysis unit 311 confirms whether the analysis result of the appearance interval of the received message ID exists in the interval storage unit 332. The analysis result indicates an ID group for each appearance interval in which messages having a constant appearance interval are classified (see FIG. 3).
  • the interval analysis unit 311 stores the received message ID in the reception history of the history storage unit 331 to the extent that the message ID appearance interval can be analyzed. Judge whether it has been.
  • the interval analysis unit 311 analyzes whether the appearance interval of the received message ID is constant (step S405).
  • the interval analysis unit 311 has a constant appearance interval of the message ID for the received message. (Step S405).
  • the interval analysis unit 311 includes a history storage unit. The contents of the received message are stored in 331 (step S406).
  • the interval analysis unit 311 stores in the interval storage unit 332 that the appearance interval of the message ID is not constant and indefinite (step S404).
  • step S403 when the appearance interval of the message ID is constant (Yes in step S403), the interval analysis unit 311 associates the message ID with the constant appearance interval corresponding to the message ID in the interval storage unit 332. Save (step S407).
  • step S407 When it is determined that the appearance interval of the message ID is constant (Yes in step S405), and after the processing in step S407, the interval analysis unit 311 transfers the message to the order extraction unit 312 (step S408).
  • FIG. 17 is a flowchart showing the operation of the order extraction unit.
  • the order extraction unit 312 checks the order storage unit 333 for the appearance interval of the message IDs to see if the ID order set has been extracted (step S411).
  • the order extraction unit 312 checks the interval storage unit 332 to determine whether there are a plurality of IDs having the same appearance interval as the appearance interval of the message ID (step S412). .
  • the history storage unit 331 determines whether or not a certain number of messages having the same appearance interval as the ID appearance intervals exist. Confirmation is made (step S413).
  • the order extraction unit 312 extracts ID sets having IDs having the same appearance order (step S414), and stores the extraction results in order. Store in the unit 333.
  • the fixed order ID set has been extracted (Yes in step S411), and when there are not a plurality of IDs having the same appearance interval as the ID appearance interval (No in step S412), a message that meets the conditions in the history storage unit 331
  • the order extracting unit 312 transfers the received message to the interval checking unit 321.
  • FIG. 18 is a flowchart showing the operation of the inspection apparatus.
  • the interval checking unit 321 checks whether the previous reception time of the message having the same ID as the message stored in the history storage unit 331 and the current time difference match the appearance interval of the ID stored in the interval storage unit 332 (step S421). ).
  • step S422 If it coincides with the appearance interval of the ID (Yes in step S421), the order checking unit 322 checks whether an ID order set including the message ID exists in the order storage unit 333 (step S422).
  • the order checking unit 322 receives the ID that should be preceded by the current message ID in the corresponding ID ordered set even in the storage of the history storage unit 331. It is checked whether or not it is being performed (step S423).
  • step S422 If there is no ID order set including the received message ID (No in step S422), and if a message to be received before the current message ID is received, the order checking unit 322 determines that the order is normal. Determination is made (step S425).
  • the order checking unit 322 determines that there is an abnormality (step S424).
  • step S424 and step S425 the order checking unit 322 stores the determination result in the history storage unit 331 (step S426).
  • abnormality detection apparatus of the third embodiment it is possible to perform abnormality detection based on message intervals in addition to abnormality detection based on message order, and to increase the accuracy of message abnormality detection.
  • the topology of the network through which the message flows can be applied to other network topologies such as a star type, a mesh type, and a ring type in addition to the bus type used in CAN.
  • the message has been described as an example in which the message is broadcasted from a plurality of nodes connected to the network, but is not limited thereto. For example, even an example of a message that is unicast communication from a node can be applied.
  • the present invention can be applied to other network systems such as an industrial network in addition to the in-vehicle network.
  • FIG. 19 is a block diagram showing an example in which the abnormality detection device is applied to another network system.
  • the network system in FIG. 19 includes a plurality of nodes, switches, and controllers, and the switches transfer messages input to the switches to the nodes in response to instructions from the controllers.
  • the abnormality detection device may be connected to a switch, and the abnormality detection device may detect an abnormality in a message input to the switch.
  • FIG. 19B a configuration in which the abnormality detection device is disposed inside the switch may be employed.
  • positioned the extraction apparatus outside the switch may be sufficient.
  • the message log described in the first to third embodiments may include information other than the time stamp and the message ID.
  • the message log may include message data.
  • the message log may be stored in a temporary storage device (for example, RAM).
  • FIG. 20 is a diagram illustrating a hardware configuration in which the extraction device, the second and third inspection devices, and the abnormality detection device in the first to third embodiments are realized by a computer.
  • each component of the extraction device, the inspection device, or the abnormality detection device is described in blocks of functional units.
  • Some or all of the components of the extraction device, the inspection device, or the abnormality detection device are realized by any combination of a computer and a program as shown in FIG. 20, for example.
  • the computer includes the following configuration.
  • CPU Central Processing Unit
  • ROM Read Only Memory
  • RAM Random Access Memory
  • a storage device 605 for storing the program 604
  • a drive device 607 for reading from and writing to the storage medium 606
  • a communication interface 608 connected to the communication network 609
  • An input / output interface 610 for inputting / outputting data
  • Bus 611 connecting each component
  • the program 604 that realizes the function of each component is stored in advance in the storage device 605, the ROM 602, or the RAM 603, and is read out by the CPU 601 as necessary.
  • the program 604 may be supplied to the CPU 601 via the communication network 609, or may be stored in advance in the storage medium 606, and the drive device 607 may read the program and supply it to the CPU 601.
  • the extraction device, the inspection device, or the abnormality detection device may be realized by any combination of a computer and a program that are separate from each other.
  • a plurality of components included in the extraction device, the inspection device, or the abnormality detection device may be realized by any combination of one computer and a program.
  • the constituent elements of the extraction device, the inspection device, or the abnormality detection device are realized by other general-purpose or dedicated circuits, processors, and the like or combinations thereof. These may be configured by a single chip or may be configured by a plurality of chips connected via a bus. Further, a programmable logic device such as an FPGA (Field-Programmable Gate Array) may be used instead of the computer.
  • FPGA Field-Programmable Gate Array
  • the constituent elements of the extraction device, the inspection device, or the abnormality detection device may be realized by a combination of the above-described circuit and the like and a program.
  • the constituent elements of the extraction device, the inspection device, or the abnormality detection device are realized by a plurality of information processing devices and circuits
  • the plurality of information processing devices and circuits are concentrated. You may arrange
  • the computer, the circuit, and the like may be realized as a form in which each is connected via a communication network, such as a client and server system and a cloud computing system.
  • An extraction apparatus comprising: an order extracting unit that extracts a predetermined value order indicating the order of the messages from the predetermined value set.
  • the order extracting means sets a plurality of time series sections from the predetermined value set based on the number of identifications of the predetermined values included in the predetermined value set, and the predetermined value order common to the plurality of time series sections. Extract, The extraction device according to attachment 1.
  • the predetermined value is an integer obtained by abstracting a message ID and message data, a destination and data, a command and data, or a combination of two data, or an identifier for identifying a message.
  • the order extraction means extracts the predetermined value order using a directed graph with the predetermined value of the time series section as a vertex and the order of the predetermined value as a branch.
  • the extraction device according to any one of supplementary notes 1 to 3.
  • the inspection apparatus includes an order inspection unit that inspects whether an order of predetermined values of a message to be inspected satisfies the predetermined value order extracted by the extraction device, Anomaly detection device.
  • the inspection device further includes interval inspection means for inspecting the identity of the occurrence intervals of a specific predetermined value in the predetermined value set, as the occurrence interval of the predetermined value of the message to be inspected.
  • the abnormality detection device according to appendix 7.
  • Appendix 9 Extracting the predetermined value order by the extraction method according to appendix 5, Inspecting whether the order of predetermined values of messages to be inspected satisfies the predetermined value order, Anomaly detection method.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Databases & Information Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Mining & Analysis (AREA)
  • Human Computer Interaction (AREA)
  • Mechanical Engineering (AREA)
  • Small-Scale Networks (AREA)
  • Debugging And Monitoring (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

メッセージログからメッセージの順序を抽出することを可能にする。抽出装置は、メッセージを識別する所定値と前記メッセージのタイムスタンプから導出された前記所定値の出現間隔とに基づいて、前記出現間隔が同一である前記所定値の所定値集合を生成する間隔分析部と、前記所定値集合から前記メッセージの順序を示す所定値順序を抽出する順序抽出部を備える。

Description

抽出装置、抽出方法と記憶媒体、ならびに、異常検知装置、異常検知方法
　本発明は、抽出装置ならびに異常検知装置等に関する。
　自動車の機能増加に伴い、自動車に搭載される電子制御ユニット（ＥＣＵ：Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）の数は増加する傾向にある。この種のＥＣＵは、車載用の通信プロトコルであるＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）に準拠した車載ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）と接続され、ＥＣＵ間のメッセージの送受信を中継している。
　近年では、ナビゲーションシステムのように自動車が外部ネットワークと通信する機会が増えている。一方で、自動車がハッキングの対象となり、内部プログラムの書き換えによって自動車が運転者の意図しない動作を起こす可能性が指摘されている。このような攻撃を防止するため、車載ネットワークを流れる特定のメッセージの周期に注目し、特定のメッセージが一定の周期でネットワークを流れている状態を正常状態とし、そのメッセージの周期が変化したときに異常状態として検知する手法がある（特許文献１）。
　また、メッセージの周期の他に、メッセージの順序に注目した異常検知の手法がある（非特許文献１）。非特許文献１は、ドライバーの運転動作に応じてＥＣＵからメッセージが定められた順序関係で車載ネットワークを流れることを利用し、そのメッセージの順序が変化したときに異常状態として検知する手法である。
特開２０１４－１４６８６８号公報
Ｓｏｏｈｙｕｎ　Ａｈｎ　ｅｔ　ａｌ．　"Ａ　Ｃｏｕｎｔｅｒｍｅａｓｕｒｅ　ａｇａｉｎｓｔ　Ｓｐｏｏｆｉｎｇ　ａｎｄ　ＤｏＳ　Ａｔｔａｃｋｓ　ｂａｓｅｄ　ｏｎ　Ｍｅｓｓａｇｅ　Ｓｅｑｕｅｎｃｅ　ａｎｄ　Ｔｅｍｐｏｒａｒｙ　ＩＤ　ｉｎ　ＣＡＮ"，　ＳＣＩＳ　２０１６　（２０１６　Ｓｙｍｐｏｓｉｕｍ　ｏｎ　Ｃｒｙｐｔｏｇｒａｐｈｙ　ａｎｄ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ，　Ｊａｎ．　１９　－　２２，　２０１６），　Ｔｈｅ　Ｉｎｓｔｉｔｕｔｅ　ｏｆ　Ｅｌｅｃｔｒｏｎｉｃｓ，　Ｉｎｆｏｒｍａｔｉｏｎ　ａｎｄ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｅｎｇｉｎｅｅｒｓ
　一方、非特許文献１の手法は、メッセージの順序が既知であることが前提であり、メッセージの順序に関する情報を事前知識として得ておく必要がある。しかしながら、メッセージの詳細な仕様が公開されているとは限らず、メッセージの順序が未知な場合もある。この場合、メッセージの順序を用いた異常検知を実施することができない。
　本発明の目的は、メッセージログからメッセージの順序を抽出する抽出装置等を提供することにある。あるいは、メッセージの順序が未知のメッセージログであってもメッセージの異常を検知できる異常検知装置等を提供することにある。
　本発明の抽出装置の一態様は、メッセージを識別する所定値と前記メッセージのタイムスタンプから導出された前記所定値の出現間隔とに基づいて、前記出現間隔が同一である前記所定値の所定値集合を生成する間隔分析部と、前記所定値集合から前記メッセージの順序を示す所定値順序を抽出する順序抽出部を備える。
　本発明の抽出方法の一態様は、メッセージを識別する所定値と前記メッセージのタイムスタンプから導出された前記所定値の出現間隔とに基づいて、前記出現間隔が同一である前記所定値の所定値集合を生成し、前記所定値集合から前記メッセージの順序を示す所定値順序を抽出する。
　本発明の記憶媒体に格納された抽出プログラムの一態様は、メッセージを識別する所定値と前記メッセージのタイムスタンプから導出された前記所定値の出現間隔とに基づいて、前記出現間隔が同一である前記所定値の所定値集合を生成し、前記所定値集合から前記メッセージの順序を示す所定値順序を抽出することをコンピュータに実行させる。
　本発明の異常検知装置の一態様は、上述の抽出装置と、検査装置を備え、前記検査装置は、検査対象となるメッセージの所定値の順序が、前記抽出装置で抽出された前記所定値順序を満たすか検査する順序検査部を備える。
　本発明の異常検知方法の一態様は、上述の抽出方法によって前記所定値順序を抽出し、検査対象となるメッセージの所定値の順序が、前記所定値順序を満たすか検査する。
　本発明の異常検知システムの一態様は、メッセージを送信する複数のノードと、上述の異常検知装置を備える。
　本発明の抽出装置によれば、メッセージログからメッセージの順序を抽出することができる。また、本発明の異常検知装置によれば、メッセージの順序が未知のメッセージログであってもメッセージの異常を検知することができる。
第１の実施形態に係る抽出装置の構成を示すブロック図である。 メッセージログの一例を示す図である。 出現間隔別のＩＤ集合の一例を示す図である。 ＩＤ集合から切出される時系列区間の一例を示す図である。 設定された時系列区間１～３の一例を示す図である。 各時系列区間におけるＩＤを頂点とする有向グラフの行列を示す図である。 正常な状態のグラフの行列と冗長データを引いたグラフの行列を示す図である。 メッセージＩＤの順序関係を示すＩＤ順序集合の一例を示す図である。 第１の実施形態に係る抽出装置の動作を示すフローチャートである。 第１の実施形態における所定値集合生成処理の動作を示すフローチャートである。 第１の実施形態における所定値順序抽出処理の動作を示すフローチャートである。 第２の実施形態に係る異常検知装置の構成を示すブロック図である。 第２の実施形態に係る異常検知装置の動作を示すフローチャートである。 第３の実施形態に係る異常検知システムの構成を示す構成図である。 第３の実施形態に係る異常検知装置の構成を示すブロック図である。 第３の実施形態における間隔分析部の動作を示すフローチャートである。 第３の実施形態における順序抽出部の動作を示すフローチャートである。 第３の実施形態に係る検査装置の動作を示すフローチャートである。 異常検知装置をネットワークシステムに適用した例を示すブロック図である。 第１～第３の実施形態における抽出装置、第２、３の実施形態における検査装置、異常検知装置をコンピュータで実現したハードウエア構成を示すブロック図である。
　（第１の実施形態）
　第１の実施形態の抽出装置について図面を用いて説明する。第１の実施形態の抽出装置は、メッセージの順序が未知のメッセージログのうち、ネットワーク上の各ノードがそれぞれ周期的に送信するメッセージに着目し、出現間隔が同一であるメッセージの集合からメッセージの順序関係を導出する例である。
　第１の実施形態に係る抽出装置の一態様について図面を用いて説明する。第１の実施形態において、抽出装置がメッセージログからメッセージの順序を抽出する例を説明する。
　第１の実施形態の説明において、メッセージは、ネットワークに接続された複数のノードからブロードキャスト送信され、ネットワーク上を同時に流れないものとする。メッセージログは、各ノードが送信したメッセージの履歴である。メッセージログには、各ノードから一定の間隔で送信されたメッセージが含まれるものとする。また、メッセージログにおけるメッセージの順序関係は未知であるものとする。
　図１は、第１の実施形態に係る抽出装置の構成を示すブロック図である。図１に示す抽出装置１１は、間隔分析部１１１、順序抽出部１１２を備える。以下、間隔分析部１１１、順序抽出部１１２について具体的に説明する。
　間隔分析部１１１は、メッセージログからメッセージを識別する所定値と前記メッセージのタイムスタンプから導出された前記所定値の出現間隔とに基づいて、前記出現間隔が同一である所定値の所定値集合を生成する機能を有する。
　メッセージを識別する所定値の一例は、メッセージＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）である。なお、メッセージを識別する所定値は、メッセージＩＤ以外に、例えば、メッセージＩＤとメッセージのデータの組合せを抽象化した整数であってもよい。また、その組合せは、メッセージＩＤとデータに限られず、宛先（アドレス）とデータ、コマンドとデータ、又は、データＡとデータＢの組合せであってもよい。以下の第１の実施形態の説明では、メッセージを識別する所定値としてメッセージＩＤを用いた例で説明する。
　図２は、メッセージログの一例を示す図である。メッセージログには、タイムスタンプ、及び、メッセージＩＤ（以下、単にＩＤとして示す場合もある）。が含まれる。メッセージＩＤは、メッセージを識別する識別子である。図２におけるタイムスタンプは、最初のメッセージの到着からの経過時間（ｍｓ）が、メッセージＩＤごとに記録されたものである。
　間隔分析部１１１は、メッセージログに出現間隔が同一であるメッセージが存在するか確認する。具体的には、まず、間隔分析部１１１は、メッセージログに重複するメッセージＩＤが存在するか確認する。重複するメッセージＩＤが存在する場合、間隔分析部１１１は、重複するメッセージＩＤのタイムスタンプの経過時間からメッセージＩＤの出現間隔を算出する。メッセージＩＤの出現間隔の算出誤差に対するマージンを考慮することが好ましい。
　例えば、図２に示すメッセージログにおいて、メッセージＩＤ４２０（以下、単にＩＤ４２０と示す）の出現間隔は１０ｍｓとなる。間隔分析部１１１は、メッセージログに含まれるメッセージＩＤ毎の出現間隔を順次算出し、メッセージＩＤを同一の出現間隔毎に分類したＩＤ集合を生成する。
　図３は、出現間隔別のＩＤ集合の一例を示す図である。図３において、出現間隔１０ｍｓのＩＤ集合としてメッセージＩＤ｛４２０、４３２、４９０、４７２、・・・｝が生成され、及び、出現間隔２０ｍｓのＩＤ集合としてメッセージＩＤ｛８８０、８８２、８８４、・・・｝が生成されている。これら出現間隔１０ｍｓのメッセージ及び出現間隔２０ｍｓのメッセージを出現間隔が一定のメッセージと称することもできる。なお、出現間隔が同一でないメッセージＩＤは、図３のＩＤ１１３０、ＩＤ１１２８に示すように不定として分類される。間隔分析部１１１によるＩＤ集合の生成は、メッセージログのメッセージの数が一定量以上（例えば、１０００個以上）ある状態で実行することが好ましい。
　順序抽出部１１２は、所定値集合からメッセージの順序を示す所定値順序を抽出する機能を有する。具体的には、順序抽出部１１２は、所定値集合に含まれる所定値の識別数に基づいて、所定値集合から複数の時系列区間を設定し、複数の時系列区間で共通する所定値順序を抽出する。例えば、間隔分析部１１１が生成したＩＤ集合のうち、同一の出現間隔のＩＤ集合から複数の時系列区間を設定し、設定された複数の時系列区間で共通するＩＤ順序を抽出する。
　以下、順序抽出部１１２の詳細について説明する。順序抽出部１１２は、出現間隔別のＩＤ集合から出現間隔のＩＤ集合を１つ選択する。例えば、順序抽出部１１２は、図３に示す出現間隔別のＩＤ集合のうち、出現間隔１０ｍｓのＩＤ集合を選択する。順序抽出部１１２は、選択された出現間隔のＩＤ集合の中にメッセージＩＤがｎ種類含まれている場合、ＩＤ集合のうち、メッセージＩＤのｎ個（ｎは２以上の整数）の並びを１つの時系列区間とし、複数の時系列区間の先頭が同じメッセージＩＤとなるように複数の時系列区間を設定する。
　図４は、ＩＤ集合から切出される時系列区間の例を示す図である。図４の例では、出現間隔１０ｍｓのメッセージＩＤが５種類あり、時系列区間１、２の先頭のメッセージＩＤが４２０となる時系列区間が切出されている。時系列区間の数は３つ以上でもよく、時系列区間の数が増えるほど、順序抽出部１１２が抽出するＩＤ順序の精度が高くなる。
　順序抽出部１１２は、時系列区間の所定値を頂点とし、所定値の順序を枝とした有向グラフを用いて、所定値集合からメッセージの順序を示す所定値順序を抽出する機能を有する。以下、順序抽出部１１２が複数の時系列区間からＩＤ順序を抽出する手順について、図５に示す時系列区間１～３を用いて具体的に説明する。図５は、同一の出現間隔のＩＤ集合から切出された時系列区間１～３の一例を示す図である。図５中、ＩＤ集合の中のＩＤの種類は５種類あり、時系列区間１～３の先頭の共通のＩＤが４２０となるように設定された例である。なお、時系列区間１～３は、出現間隔１０ｍｓのＩＤ集合から切出された例であるとする。
　ここで、１つの時系列区間の中のＩＤの順序は、ＩＤを頂点とし、各ＩＤ間の順序を頂点に向かう枝とする有向グラフとして表すことができる。図６は、時系列区間１～３の有向グラフを行列の形で示した図である。図６中、行のＩＤが列のＩＤよりも前に存在する場合、その行列要素を１とし、行のＩＤが列のＩＤより後に存在する場合、行列要素を０とする。なお、行と列でＩＤが同じ場合、行列要素は０とする。例えば、時系列区間１の履歴において、ＩＤ４９０がＩＤ４７２の前に存在するため、行が４９０で列が４７２の行列要素は１となり、逆に、列が４７２、行が４９０の行列要素は０となる。同様にして他の行列要素および、他の時系列区間に対応する行列要素も同様に定義する。
　次に、複数の時系列区間でＩＤの順序が保たれている状態を正常状態として、正常状態の有向グラフを、３つの時系列区間の行列要素の論理積の形で定義する。この時、行が４９０、列が４２８の要素が１であることは、ＩＤ４９０とＩＤ４２８の順序において、ＩＤ４９０はＩＤ４２８より常に前に存在することを意味する。この事実により、正常状態では常にこの順番が保持されるものと判断する。なお時系列区間の数が多いほど、正常状態のグラフの行列要素の成分が偶然に１になる確率は低くなる。
　最後に、正常状態を示すグラフの行列表現から冗長な行列要素を取り除く。図７は、正常な状態のグラフの行列と冗長データを引いたグラフの行列を示す図である。例で示した正常状態の行列表現では、行４３２と列４２８の要素が１であり、ＩＤ４３２がＩＤ４２８の前に来ることを示している。行４３２と列４９０の要素、および、行４９０と列４２８の両方が１であるため、ＩＤ４３２がＩＤ４２８に先行することは明白であり、行４３２と列４２８の要素を１にする必要はない。
　図７に示す行列表現において、行４２０列４３２、行４３２列４７２、行４３２列４９０、行４９０列４２８の要素のみが１となる。時系列区間１～３の間で共通したＩＤ順序が保たれた経路の抽出が可能になる。
　順序抽出部１１２は、出現間隔が同一であるＩＤ集合ごとに有向グラフを用いた行列演算によってＩＤ順序を抽出し、ＩＤ順序集合を生成する。図８は、メッセージＩＤの順序関係を示すＩＤ順序集合の一例を示す図である。図８の出現間隔１０ｍｓに示すように、ＩＤ順序の抽出結果には、同じ出現間隔で２つのＩＤ順序が抽出される場合もある。
　第１の実施形態に係る抽出装置の動作について図面を用いて説明する。図９は、第１の実施形態に係る抽出装置の動作を示すフローチャートである。
　間隔分析部１１１は、メッセージを識別する所定値と前記メッセージのタイムスタンプから導出された前記所定値の出現間隔とに基づいて、前記出現間隔が同一である所定値の所定値集合を生成する（ステップＳ１０１）。例えば、間隔分析部１１１は、各ノードからのメッセージの出現間隔が同一であるメッセージＩＤのＩＤ集合を生成する。
　図１０は、ステップＳ１０１の所定値集合の生成処理の動作を示すフローチャートである。間隔分析部１１１は、所定値集合の生成処理として、重複する所定値のタイムスタンプから所定値の出現間隔を算出する（ステップＳ１０１１）。例えば、間隔分析部１１１は、メッセージログに重複するメッセージＩＤが存在するか確認し、重複するメッセージＩＤが存在する場合、重複するメッセージＩＤ毎にタイムスタンプの経過時間からメッセージＩＤの出現間隔を算出する。
　さらに、間隔分析部１１１は、出現間隔が同一となる所定値集合を生成する（ステップＳ１０１２）。例えば、間隔分析部１１１は、メッセージログに含まれるメッセージＩＤ毎の出現間隔を順次算出し、メッセージＩＤを同一の出現間隔毎に分類したＩＤ集合を生成する。
　次に、順序抽出部１１２は、ステップＳ１０１の後、順序抽出処理として、所定値集合からメッセージの順序を示す所定値順序を抽出する（ステップＳ１０２）。例えば、順序抽出部１１２は、間隔分析部１１１が生成したＩＤ集合から、メッセージの順序関係を示すＩＤ順序を抽出する。図１１は、ステップＳ１０２の所定値順序の抽出処理の動作を示すフローチャートである。
　順序抽出部１１２は、出現間隔が同一である所定値の所定値集合から複数の時系列区間を設定する（ステップＳ１０２１）。例えば、順序抽出部１１２は、ＩＤ集合に含まれるＩＤの種別数に応じて、出現間隔が同一であるメッセージＩＤのＩＤ集合から複数の時系列区間を設定する。次に、複数の時系列区間で共通する所定値順序を抽出する（ステップＳ１０２２）。例えば、順序抽出部１１２は、設定された複数の時系列区間で共通するＩＤ順序を抽出する。
　具体的には、順序抽出部１１２は、時系列区間の中のＩＤの順序を、ＩＤを頂点とし、ＩＤ順序を頂点に向かう経路の枝とする有向グラフの行列を作成する。有向グラフの行列は、行のＩＤが列のＩＤよりも前に存在する場合、その行列要素を１とし、行のＩＤが列のＩＤより後に存在する場合、行列要素を０とする。なお、行と列でＩＤが同じ場合、行列要素は０と定義する。同様にして他の行列要素および、他の時系列区間に対応する行列要素も同様に定義する。次に、順序抽出部１１２は、複数の時系列区間でＩＤの順序が保たれている状態を正常状態として、正常状態の有向グラフを、３つの時系列区間の行列要素の論理積により算出する。なお時系列区間の数が多いほど、正常状態のグラフの行列要素の成分が偶然に１になる確率は低くなる。
　最後に、順序抽出部１１２は、正常状態を示すグラフの行列表現から冗長な行列要素を引いたグラフの行列を求め、複数の時系列区間で共通するＩＤ順序を抽出する。
　順序抽出部１１２は、出現間隔が同一であるＩＤ集合ごとに有向グラフを用いた行列演算によってＩＤ順序を抽出し、ＩＤ順序集合を生成する。
　第１の実施形態の順序抽出処理において、複数の時系列区間で共通するＩＤ順序を抽出する際に、ＩＤを頂点とし、ＩＤ順序を頂点に向かう経路の枝とする有向グラフの行列を用いることにより、他の手法を用いることもできる。例えば、Ｐｒｅｆｉｘ－Ｓｐａｎ、Ａｐｒｉｏｒｉ－Ａｌｌを用いて確信度１００％としてＩＤ順序を抽出するよりも少ない計算量でＩＤ順序を抽出することができる。
　第１の実施形態の抽出装置によれば、メッセージの順序が未知であるメッセージログからメッセージの順序関係を抽出することが可能となる。
　（第２の実施形態）
　次に、第２の実施形態に係る異常検知装置の一態様について図面を用いて説明する。第２の実施形態の異常検知装置は、第１の実施形態の抽出装置を用いた異常検知装置の例である。第２の実施形態において、第１の実施形態と同様の構成については同一の符号を記して詳細な説明を省略する。
　第２の実施形態において、第１の実施形態と同様に、メッセージは、ネットワークに接続された複数のノードからブロードキャスト送信され、ネットワーク上を同時に流れないものとする。メッセージログは、各ノードが送信したメッセージの履歴である。メッセージログには、各ノードから一定の間隔で送信されたメッセージが含まれているものとする。また、メッセージログにおけるメッセージの順序関係は未知であるものとする。
　図１２は、第２の実施形態に係る異常検知装置の構成を示すブロック図である。図１２に示す異常検知装置１０は、抽出装置１１および検査装置１２を備える。検査装置１２は、抽出装置１１が生成したＩＤ順序集合を取得可能であるとする。第２の実施形態の抽出装置１１は、第１の実施形態の抽出装置１１と同様の構成であり、詳細な説明は省略する。以下の第２の実施形態の説明では、第１の実施形態と同様に、メッセージを識別する所定値としてメッセージＩＤを用いた例で説明する。
　図１２に示すように、検査装置１２は、順序検査部１２２を備える。順序検査部１２２は、検査対象のメッセージの所定値の順序が、抽出された所定値順序を満たすか検査する機能を有する。例えば、順序検査部１２２は、検査対象となるメッセージのメッセージＩＤを順次取得し、取得したメッセージＩＤの順序が、抽出装置１１が抽出したＩＤ順序を満たすかを検査する。第２の実施形態において、検査装置１２が検査対象とするメッセージは、第１の実施形態のメッセージログに対応するネットワーク上を流れるメッセージであるとする。
　第２の実施形態に係る異常検知装置の動作について図面を用いて説明する。図１３は、第２の実施形態に係る異常検知装置の動作を示すフローチャートである。図１３において、第２の実施形態の抽出装置１１の動作を示すステップＳ１０１およびステップＳ１０２は、第１の実施形態の抽出装置１１の動作と同様であり詳細な説明は省略する。なお、以下は、検査装置１２が、抽出装置１１が生成したＩＤ順序集合を取得した後の動作の例として説明する。
　検査装置１２の順序検査部１２２は、検査対象のメッセージの所定値の順序が、抽出された所定値順序を満たすか検査する（ステップＳ２０３）。例えば、検査対象となるメッセージＩＤを順次取得し、検査対象のメッセージＩＤの順序が、抽出されたＩＤ順序を満たすか検査する。なお、検査装置１２が順次取得する検査対象となるメッセージは、検査装置１２を含む異常検知装置１０がネットワークから取得してもよく、他の装置から検査対象となるメッセージを取得してもよい。
　以下、検査装置１２の動作について説明する。具体例には、検査装置１２が、図８に示すＩＤ順序集合を抽出装置１１から取得する例を用いて説明する。順序検査部１２２は、取得したメッセージＩＤが、ＩＤ４２０の次にＩＤ４９０であった場合、図８に示す出現間隔１０ｍｓのＩＤ順序［ＩＤ４２０→ＩＤ４３２→ＩＤ４９０→ＩＤ４２８］に基づいて、検査対象のメッセージＩＤの順序が正常であると判定する。
　もし検査対象のメッセージＩＤが、ＩＤ４９０の後にＩＤ４２０であった場合、順序検査部１２２は、ＩＤ４９０とＩＤ４２０の順序に異常があると判定する。
　第２の実施形態の異常検知装置によれば、メッセージの順序が未知のメッセージログであってもメッセージの順序の異常を検知することができる。その理由は、異常検知装置３０の抽出装置１１がメッセージの順序が未知のメッセージログからメッセージのＩＤ順序を抽出し、検査装置１２は、抽出されたＩＤ順序を用いてメッセージの順序の異常を検知できるからである。
　（第３の実施形態）
　第３の実施形態に係る異常検知システム、異常検知装置の一態様について、図面を用いて説明する。図１４に示す異常検知システム２０は、異常検知装置３０、複数のノード２１を備える。異常検知装置３０およびノード２１は、バスを介してそれぞれ接続されネットワークが形成されている。
　ノード２１（ノード２１Ａ、ノード２１Ｂ、ノード２１Ｃの総称として示す）は、ネットワーク内の異常検知装置３０および他のノード２１に対してメッセージをブロードキャスト送信する。なお、ノード２１は、複数のメッセージが同時にバスを流れることがないように送信制御されるものとする。ノード２１の一例は、通信プロトコルＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）に準拠した車載ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）と接続される電子制御ユニット（ＥＣＵ：Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）である。ノード２１は、複数のメッセージを送信し、メッセージに応じて周期的、または不定にメッセージを送信するものとする。また、メッセージには少なくともメッセージの識別子（ＩＤ：Ｉｄｅｎｔｉｆｉｅｒ）が含まれる。以下の第３の実施形態の説明においてもメッセージを識別する所定値としてメッセージＩＤを用いた例で説明する。
　第３の実施形態に係る異常検知装置について、図面を用いて説明する。図１５は、第３の実施形態に係る異常検知装置の構成を示すブロック図である。図１５に示す異常検知装置３０は、抽出装置３１、記憶装置３３、検査装置３２を備える。
　抽出装置３１は、間隔分析部３１１および順序抽出部３１２を備える。記憶装置３３は、履歴記憶部３３１、間隔記憶部３３２、順序記憶部３３３を備える。検査装置３２は、間隔検査部３２１、順序検査部３２２を備える。
　抽出装置３１は、第１の実施形態の抽出装置と同様の機能を有する。以下、第１の実施形態の抽出装置と同一の機能については詳細な説明を省略して説明する。抽出装置３１は、履歴記憶部３３１に保存されたメッセージログを参照し、メッセージログに含まれるメッセージＩＤのＩＤ順序を抽出する。抽出装置３１は、抽出結果を順序記憶部３３３に記録する。
　次に、抽出装置３１について説明する。各ノード２１が送信したメッセージは、異常検知装置３０の取得部（図示せず）によって履歴記憶部３３１に保存される。履歴記憶部３３１に保存されるメッセージログは、例えば、図２に示すメッセージログである。メッセージログには、異常検知装置３０が受信したノード２１からのメッセージのメッセージＩＤおよびタイムスタンプが含まれる。タイムスタンプは、異常検知装置３０によるメッセージの受信開始後の経過時間（ｍｓ）が記憶されている。メッセージログには、メッセージＩＤおよびタイムスタンプ以外の情報が含まれてもよい。
　間隔分析部３１１は、履歴記憶部３３１のメッセージログのうち、同じメッセージＩＤが存在するか確認し、存在する場合、そのメッセージＩＤの出現間隔を導出し分析する。出現間隔の導出は、第１の実施形態で説明した内容と同様であり、詳しい説明は省略する。この分析は、一定量以上（例えば、１０００個以上）の同一のメッセージＩＤが履歴記憶部３３１に蓄積された段階で実行される。
　メッセージＩＤの出現間隔の分析の結果、出現間隔が同一のメッセージＩＤが存在する場合、間隔分析部３１１は、メッセージＩＤとその出現間隔を関連付けて間隔記憶部３３２に記録する。出現間隔が同一でないメッセージＩＤの場合、間隔分析部３１１は、一定値のない不定として間隔記憶部３３２に保存する。
　間隔記憶部３３２に保存される情報は、出現間隔別に分類されたメッセージＩＤのＩＤ集合であり、出現間隔が同一でない場合は不定であるとして保存される。間隔記憶部３３２に保存される情報は、例えば、図３に示す出現間隔別のＩＤ集合である。
　なお、間隔分析部３１１がメッセージＩＤの出現間隔が同一であると判断する条件は、間隔分析部３１１に予め与えられており、例えば、１０００回の同一のメッセージＩＤにおける出現間隔の平均が１０ｍｓで、平均からの差分が全て２ｍｓ以下である場合、間隔分析部３１１は、出現間隔が同一であるメッセージＩＤと判断する。
　順序抽出部３１２は、出現間隔別に分類されたメッセージＩＤのＩＤ集合に対して、ＩＤ順序に関する法則が存在する場合、そのＩＤ順序を抽出する機能を有する。具体的には、順序抽出部３１２は、出現間隔が同一であるメッセージＩＤのＩＤ集合に対して、所定のＩＤ順序が常に成り立つかを分析する。例えば、ＩＤ２２，ＩＤ２５，ＩＤ３０のメッセージが常にこの順序で送信されている場合は、この順序を順序記憶部３３３に保存する。
　次に、順序抽出部３１２によるＩＤ順序の抽出について、具体例を用いて説明する。順序抽出部３１２は、間隔記憶部３３２を参照し、複数のＩＤが同一の出現間隔を持つ場合、それらをＩＤ順序抽出の対象とする。
　間隔記憶部３３２にＩＤ４２０，ＩＤ４２２，ＩＤ４２７，ＩＤ４２８，ＩＤ４３２，ＩＤ４７２，ＩＤ４７６，ＩＤ４９０，ＩＤ４９３，ＩＤ５０７が同一の出現間隔（例：１０ｍｓ）を持つと記録された場合を例とする。順序抽出部３１２は、最初にこの情報を元に、履歴記憶部３３１の記録からこれらのＩＤのメッセージだけを抜き出す。
　次に、順序抽出部３１２は、ＩＤを一つ選択し（例えば、ＩＤ４２０）、ＩＤ４２０で始まりＩＤ４２０で終わる時系列区間をＩＤ集合から抜き出す。ＩＤ４２０で始まりＩＤ４２０で終わる時系列区間を抜き出す例は、図４に示す時系列区間と同様である。順序抽出部３１２は、ＩＤ集合から複数の時系列区間を抜き出す。
　例えば、順序抽出部３１２は、出現間隔１０ｍｓの時系列区間１、２、３においてＩＤ順序［ＩＤ４２０→ＩＤ４３２→ＩＤ４９０→ＩＤ４２８］と［ＩＤ４２０→ＩＤ４３２→ＩＤ４７２］を抽出し、その結果を順序記憶部３３３に記録する。順序記憶部３３３に記録された抽出結果は、例えば、図８のような情報である。このように順序抽出部３１２は、ＩＤの集合と、そのＩＤが共有する出現間隔の時間周期の形式で記録する。
　記憶装置３３は、履歴記憶部３３１、間隔記憶部３３２、順序記憶部３３３を備える。
　履歴記憶部３３１は、起動時から現在までのメッセージログを記憶する。これは、送信時間とメッセージが持つＩＤの集合である。ＩＤの種類の数はネットワークのプロトコルに依存する。あるいは、抽出装置３１が分析した結果を保存する。
　間隔記憶部３３２は、各ＩＤの出現間隔を記憶する。一定の出現間隔を持たないＩＤである場合、出現間隔が不定であることを記録する。
　順序記憶部３３３は、一定順序ＩＤ抽出部において抽出された一定の順序を保持し送信されるＩＤの集合を記憶する。一定順序集合の抽出は同一の出現間隔周期を持ったＩＤに対して行われるため、順序記憶部には抽出された集合と出現間隔を記録する。
　検査装置３２は、記憶装置３３に保存されたメッセージのＩＤ順序、あるいは、メッセージＩＤの一定の出現間隔を示す正常状態情報を参照し、新たにノードから送信されたメッセージＩＤが正常状態を満たすかを検査する。
　間隔検査部３２１は、メッセージＩＤの出現間隔を用いて受信したメッセージの異常を検出する。具体的には、間隔検査部３２１は、各メッセージに対して、ＩＤからそれが一定の出現間隔で送信されるＩＤであるかを間隔分析部３１１の分析結果から参照する。一定の出現間隔で送信されるＩＤである場合、前回送信された同一ＩＤの出現間隔が、間隔分析部３１１で分析したそのＩＤの出現間隔に等しいかを検査する。等しくない場合、異常と判定する。
　順序検査部３２２は、メッセージＩＤの出現順序に基づいて異常を検出する。順序検査部３２２は、順序記憶部３３３に保存されたＩＤ順序関係を満たすかを検査する。例えばＩＤ２２，ＩＤ２５，ＩＤ３０のメッセージの順序が一定と分析された場合、ＩＤ３０のメッセージが送信された際に、ＩＤ２５のメッセージをＩＤ２２のメッセージの後に受信しているかを検査する。ＩＤ２２のメッセージが送信された後に、ＩＤ２５のメッセージが送信されないうちにＩＤ３０のメッセージが送信された場合は異常であり、このような異常がないかを検査する。異常が存在した場合、異常と判定する。
　次に第３の実施形態の異常検知装置の動作について、図面を用いて説明する。はじめに、抽出装置３１の間隔分析部３１１の動作について図面を用いて説明する。図１６は、間隔分析部の動作を示すフローチャートである。図中、メッセージＩＤを単にＩＤと示す場合がある。
　間隔分析部３１１は、異常検知装置３０が受信したメッセージＩＤに基づいて、そのメッセージＩＤの出現間隔が分析済みであるかを確認する（ステップＳ４０１）。具体的には、間隔分析部３１１は、受信したメッセージＩＤの出現間隔の分析結果が間隔記憶部３３２に存在するか確認する。分析結果とは、出現間隔が一定であるメッセージが分類された出現間隔別のＩＤグループを示す（図３参照）。
　メッセージＩＤの出現間隔が分析済みでない場合（ステップＳ４０１のＮｏ）、間隔分析部３１１は、受信したメッセージＩＤの数が、メッセージＩＤの出現間隔を分析できる程度、履歴記憶部３３１の受信履歴に記憶されているか判断する。
　出現間隔が同じＩＤのメッセージが所定数受信済みである場合（ステップＳ４０２のＹｅｓ）、間隔分析部３１１は、受信したメッセージＩＤの出現間隔が一定か分析する（ステップＳ４０５）。
　一方、分析結果が間隔記憶部３３２に存在し、メッセージＩＤの出現間隔が分析済みである場合（ステップＳ４０１のＹｅｓ）、間隔分析部３１１は、受信したメッセージに対してメッセージＩＤの出現間隔が一定であるか調べる（ステップＳ４０５）。
　一方、ステップＳ４０２において、同じメッセージＩＤのメッセージが所定数受信済みでない場合（ステップＳ４０２のＮｏ）、メッセージＩＤの出現間隔が一定でない場合（ステップＳ４０５のＮｏ）、間隔分析部３１１は、履歴記憶部３３１に受信したメッセージの内容を保存する（ステップＳ４０６）。
　メッセージＩＤの出現間隔が一定でない場合（ステップＳ４０３のＮｏ）、間隔分析部３１１は、間隔記憶部３３２に当該メッセージＩＤの出現間隔が一定でない、不定であることを保存する（ステップＳ４０４）。
　また、ステップＳ４０３において、メッセージＩＤの出現間隔が一定である場合（ステップＳ４０３のＹｅｓ）、間隔分析部３１１は、間隔記憶部３３２にメッセージＩＤと当該メッセージＩＤに対応する一定の出現間隔を関連づけて保存する（ステップＳ４０７）。
　メッセージＩＤの出現間隔が一定であると判断された場合（ステップＳ４０５のＹｅｓ）、および、ステップＳ４０７の処理後、間隔分析部３１１は、順序抽出部３１２へメッセージを転送する（ステップＳ４０８）。
　以下、抽出装置３１の順序抽出部３１２の動作について図面を用いて説明する。図１７は、順序抽出部の動作を示すフローチャートである。
　（順序抽出部の動作）
　順序抽出部３１２は、メッセージＩＤの出現間隔について、ＩＤ順序集合が抽出済みか順序記憶部３３３を調べる（ステップＳ４１１）。
　ＩＤ順序集合が抽出済みでない場合（ステップＳ４１１のＮｏ）、順序抽出部３１２は、メッセージのＩＤの出現間隔と同じ出現間隔を持つＩＤが複数存在するか間隔記憶部３３２を確認する（ステップＳ４１２）。
　メッセージのＩＤの出現間隔と同じ出現間隔を持つＩＤが複数存在する場合（ステップＳ４１２のＹｅｓ）、それらＩＤの出現間隔と同じ出現間隔のＩＤのメッセージが一定数以上存在するか履歴記憶部３３１を確認する（ステップＳ４１３）。
　履歴記憶部３３１に一定数以上のメッセージが存在する場合（ステップＳ４１３のＹｅｓ）、順序抽出部３１２は、出現順序が同一であるＩＤのＩＤ集合を抽出し（ステップＳ４１４）、抽出結果を順序記憶部３３３に記憶する。
一定順序ＩＤ集合が抽出済みの場合（ステップＳ４１１のＹｅｓ）、及び、ＩＤの出現間隔と同じ出現間隔を持つＩＤが複数存在しない場合（ステップＳ４１２のＮｏ）、履歴記憶部３３１に条件に合うメッセージが一定数以上存在しない場合（ステップＳ４１３）、ステップＳ４１４の処理が終わった場合（ステップＳ４１４のＮｏ）、順序抽出部３１２は、受信したメッセージを間隔検査部３２１へ転送する。
　以下、検査装置３２の動作について図面を用いて説明する。図１８は、検査装置の動作を示すフローチャートである。
　間隔検査部３２１は、履歴記憶部３３１に保存した、メッセージと同じＩＤのメッセージの前回受信時間と、現在の時間差が間隔記憶部３３２に記憶したＩＤの出現間隔に一致するか確認する（ステップＳ４２１）。
　ＩＤの出現間隔と一致している場合（ステップＳ４２１のＹｅｓ）、順序検査部３２２は、順序記憶部３３３にメッセージのＩＤを含むＩＤ順序集合が存在するか確認する（ステップＳ４２２）。
　ＩＤ順序集合が存在する場合（ステップＳ４２２のＹｅｓ）、順序検査部３２２は、該当するＩＤ順序集合の中で、現在のメッセージＩＤの前にくるべきＩＤが履歴記憶部３３１の記憶でも前に受信しているか調べる（ステップＳ４２３）。
　受信したメッセージのＩＤを含むＩＤ順序集合が存在しない場合（ステップＳ４２２のＮｏ）、及び、今回のメッセージＩＤの前に受信するべきメッセージを受信している場合、順序検査部３２２は、順序正常と判定する（ステップＳ４２５）。
　受信メッセージと同じＩＤのメッセージの前回受信時間と、今回の受信時間の差が間隔記憶部３３２に記憶したＩＤの出現間隔に一致しない場合（ステップＳ４２１のＮｏ）、及び、今回のメッセージＩＤの前にくるべきＩＤが履歴記憶部３３１に記憶されていない場合（ステップＳ４２３のＮｏ）、順序検査部３２２は、異常と判定する（ステップＳ４２４）。
　ステップＳ４２４、ステップＳ４２５の処理後、順序検査部３２２は、履歴記憶部３３１に判定結果を保存する（ステップＳ４２６）。
　第３の実施形態の異常検知装置によれば、メッセージ順序による異常検知に加え、メッセージ間隔による異常検知を実施することができ、メッセージの異常検知の精度を高くすることが可能となる。
　（第１～第３の実施形態における変形例）
　メッセージが流れるネットワークのトポロジは、ＣＡＮで用いられるバス型以外にスター型、メッシュ型、リング型など他のネットワークトポロジにも適用できる。
　上記説明において、メッセージは、ネットワークに接続された複数のノードからブロードキャスト送信される例で説明したが、これに限られない。例えば、ノードからユニキャスト通信されるメッセージの例であっても適用できる。
　ＣＡＮの車載ネットワークのメッセージの例で説明したが、これに限られるものではない。例えば、車載ネットワーク以外に産業用ネットワーク等、他のネットワークシステムにも適用できる。
　図１９は、異常検知装置を他のネットワークシステムに適用した例を示すブロック図である。図１９のネットワークシステムは、複数のノード、スイッチ、コントローラを備え、スイッチは、コントローラからの指示に応じて、スイッチに入力されたメッセージをノードに転送する。図１９の（ａ）に示すように異常検知装置がスイッチと接続され、スイッチに入力されるメッセージを異常検知装置が異常検知する構成でもよい。さらに、図１９の（ｂ）に示すように、異常検知装置をスイッチの内部に配置した構成でもよい。またスイッチ内部に検査装置を配置し、抽出装置をスイッチ外部に配置した構成でもよい。
　第１～第３の実施形態で説明したメッセージログには、タイムスタンプ、メッセージのＩＤ以外の情報が含まれていてもよく、例えば、メッセージのデータが含まれていてもよい。また、メッセージログは、一時的な記憶装置（例えば、ＲＡＭ）に記憶される構成でもよい。
　（ハードウエア構成）
　図２０は、第１～第３の実施形態における抽出装置、又は、第２、第３の検査装置、及び、異常検知装置をコンピュータで実現したハードウエア構成を示す図である。第１～第３の実施形態において抽出装置、検査装置、又は、異常検知装置の各構成要素は、機能単位のブロックで記述されている。抽出装置、検査装置、又は、異常検知装置の各構成要素の一部又は全部は、例えば、図２０に示すようなコンピュータとプログラムとの任意の組み合わせにより実現される。コンピュータは、一例として、以下のような構成を含む。
ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）６０１、
ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）６０２、
ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）６０３、
ＲＡＭ６０３にロードされるプログラム６０４、
プログラム６０４を格納する記憶装置６０５、
記憶媒体６０６の読み書きを行うドライブ装置６０７、
通信ネットワーク６０９と接続する通信インターフェース６０８、
データの入出力を行う入出力インターフェース６１０、
各構成要素を接続するバス６１１
　抽出装置、検査装置、又は、異常検知装置の各構成要素は、これらの機能を実現するプログラム６０４をＣＰＵ６０１が取得して実行することで実現される。各構成要素の機能を実現するプログラム６０４は、例えば、予め記憶装置６０５、ＲＯＭ６０２又はＲＡＭ６０３に格納されており、必要に応じてＣＰＵ６０１が読み出す。なお、プログラム６０４は、通信ネットワーク６０９を介してＣＰＵ６０１に供給されてもよいし、予め記憶媒体６０６に格納されており、ドライブ装置６０７が当該プログラムを読み出してＣＰＵ６０１に供給してもよい。
　抽出装置、検査装置、又は、異常検知装置の実現方法には、様々な変形例がある。例えば、抽出装置、検査装置、又は、異常検知装置は、各構成要素にそれぞれ別個のコンピュータとプログラムとの任意の組み合わせにより実現されてもよい。また、抽出装置、検査装置、又は、異常検知装置が備える複数の構成要素が、一つのコンピュータとプログラムとの任意の組み合わせにより実現されてもよい。
　また、抽出装置、検査装置、又は、異常検知装置の各構成要素の一部又は全部は、その他の汎用または専用の回路、プロセッサ等やこれらの組み合わせによって実現される。これらは、単一のチップによって構成されてもよいし、バスを介して接続される複数のチップによって構成されてもよい。また、コンピュータの代わりにＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）のようなプログラマブルロジックデバイスを用いてもよい。
　さらに、抽出装置、検査装置、又は、異常検知装置の各構成要素の一部又は全部は、上述した回路等とプログラムとの組み合わせによって実現されてもよい。
　また、抽出装置、検査装置、又は、異常検知装置の各構成要素の一部又は全部が複数の情報処理装置や回路等により実現される場合には、複数の情報処理装置や回路等は、集中配置されてもよいし、分散配置されてもよい。例えば、コンピュータや回路等は、クライアントアンドサーバシステム、クラウドコンピューティングシステム等、各々が通信ネットワークを介して接続される形態として実現されてもよい。
　以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　上記の実施形態の一部又は全部は、以下の付記のように記載されうるが、以下には限られない。
　　（付記１）
　メッセージを識別する所定値と前記メッセージのタイムスタンプから導出された前記所定値の出現間隔とに基づいて、前記出現間隔が同一である前記所定値の所定値集合を生成する間隔分析手段と、
　前記所定値集合から前記メッセージの順序を示す所定値順序を抽出する順序抽出手段を備える、抽出装置。
　　（付記２）
　前記順序抽出手段は、前記所定値集合に含まれる前記所定値の識別数に基づいて、前記所定値集合から複数の時系列区間を設定し、前記複数の時系列区間で共通する前記所定値順序を抽出する、
付記１に記載の抽出装置。
　　（付記３）
　前記所定値は、メッセージＩＤとメッセージのデータ、宛先とデータ、コマンドとデータ、又は、２つのデータの組合せを抽象化した整数、あるいいは、メッセージを識別する識別子である、
付記１又は２に記載の抽出装置。
　　（付記４）
　前記順序抽出手段は、前記時系列区間の前記所定値を頂点とし、前記所定値の順序を枝とした有向グラフを用いて前記所定値順序を抽出する、
付記１乃至３のいずれか１つに記載の抽出装置。
　　（付記５）
　メッセージを識別する所定値と前記メッセージのタイムスタンプから導出された前記所定値の出現間隔とに基づいて、前記出現間隔が同一である前記所定値の所定値集合を生成し、
　前記所定値集合から前記メッセージの順序を示す所定値順序を抽出する、
抽出方法。
　　（付記６）
　メッセージを識別する所定値と前記メッセージのタイムスタンプから導出された前記所定値の出現間隔とに基づいて、前記出現間隔が同一である前記所定値の所定値集合を生成し、
　前記所定値集合から前記メッセージの順序を示す所定値順序を抽出する、
ことをコンピュータに実行させる抽出プログラム。
　　（付記７）
　付記１乃至４のいずれか１つに記載の抽出装置と、検査装置を備え、
　前記検査装置は、検査対象となるメッセージの所定値の順序が前記抽出装置で抽出された前記所定値順序を満たすか検査する順序検査手段を備える、
異常検知装置。
　　（付記８）
　前記検査装置は、前記検査対象となるメッセージの所定値の出現間隔が、前記所定値集合のうち特定の所定値の出現間隔の同一性を検査する間隔検査手段を、更に備える、
付記７に記載の異常検知装置。
　　（付記９）
　付記５に記載の抽出方法によって前記所定値順序を抽出し、
　検査対象となるメッセージの所定値の順序が、前記所定値順序を満たすか検査する、
異常検知方法。
　　（付記１０）
　メッセージを送信する複数のノードと、
　付記７又は８に記載の異常検知装置を備える、
異常検知システム。
　この出願は、２０１７年１月１９日に出願された日本出願特願２０１７－００７８３５を基礎とする優先権を主張し、その開示の全てをここに取り込む。
　１０　異常検知装置
　１１　抽出装置
　１２　検査装置
　２０　異常検知システム
　２１、２１Ａ、２１Ｂ、２１Ｃ　ノード
　３０　異常検知装置
　３１　抽出装置
　３２　検査装置
　３３　記憶装置
　１１１　間隔分析部
　１１２　順序抽出部
　１２２　順序検査部
　３１１　間隔分析部
　３１２　順序抽出部
　３２１　間隔検査部
　３２１　間隔検査部
　３２２　順序検査部
　３３１　履歴記憶部
　３３２　間隔記憶部
　３３３　順序記憶部
　６０１　ＣＰＵ
　６０２　ＲＯＭ
　６０３　ＲＡＭ
　６０４　プログラム
　６０５　記憶装置
　６０６　記憶媒体
　６０７　ドライブ装置
　６０８　通信インターフェース
　６０９　通信ネットワーク
　６１０　入出力インターフェース
　６１１　バス

Claims (10)

  1. 　メッセージを識別する所定値と前記メッセージのタイムスタンプから導出された前記所定値の出現間隔とに基づいて、前記出現間隔が同一である前記所定値の所定値集合を生成する間隔分析手段と、
    　前記所定値集合から前記メッセージの順序を示す所定値順序を抽出する順序抽出手段を備える、抽出装置。
  2. 　前記順序抽出手段は、前記所定値集合に含まれる前記所定値の識別数に基づいて、前記所定値集合から複数の時系列区間を設定し、前記複数の時系列区間で共通する前記所定値順序を抽出する、
    請求項１に記載の抽出装置。
  3. 　前記所定値は、メッセージＩＤとメッセージのデータ、宛先とデータ、コマンドとデータ、又は、２つのデータの組合せを抽象化した整数、あるいいは、メッセージを識別する識別子である、
    請求項１又は２に記載の抽出装置。
  4. 　前記順序抽出手段は、前記時系列区間の前記所定値を頂点とし、前記所定値の順序を枝とした有向グラフを用いて前記所定値順序を抽出する、
    請求項２に記載の抽出装置。
  5. 　メッセージを識別する所定値と前記メッセージのタイムスタンプから導出された前記所定値の出現間隔とに基づいて、前記出現間隔が同一である前記所定値の所定値集合を生成し、
    　前記所定値集合から前記メッセージの順序を示す所定値順序を抽出する、
    抽出方法。
  6. 　メッセージを識別する所定値と前記メッセージのタイムスタンプから導出された前記所定値の出現間隔とに基づいて、前記出現間隔が同一である前記所定値の所定値集合を生成し、
    　前記所定値集合から前記メッセージの順序を示す所定値順序を抽出する、
    ことをコンピュータに実行させる抽出プログラムを格納した記憶媒体。
  7. 　請求項１乃至４のいずれか１つに記載の抽出装置と、検査装置を備え、
    　前記検査装置は、検査対象となるメッセージの所定値の順序が前記抽出装置で抽出された前記所定値順序を満たすか検査する順序検査手段を備える、
    異常検知装置。
  8. 　前記検査装置は、前記検査対象となるメッセージの所定値の出現間隔が、前記所定値集合のうち特定の所定値の出現間隔の同一性を検査する間隔検査手段を、更に備える、
    請求項７に記載の異常検知装置。
  9. 　請求項５に記載の抽出方法によって前記所定値順序を抽出し、
    　検査対象となるメッセージの所定値の順序が、前記所定値順序を満たすか検査する、
    異常検知方法。
  10. 　メッセージを送信する複数のノードと、
    　請求項７又は８に記載の異常検知装置を備える、
    異常検知システム。
PCT/JP2018/001491 2017-01-19 2018-01-19 抽出装置、抽出方法と記憶媒体、ならびに、異常検知装置、異常検知方法 WO2018135604A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US16/478,900 US20190384771A1 (en) 2017-01-19 2018-01-19 Extracting device, extracting method and storage medium, and abnormality detecting device and abnormality detecting method
JP2018562439A JP7006622B2 (ja) 2017-01-19 2018-01-19 抽出装置、抽出方法と抽出プログラム、ならびに、異常検知装置、異常検知方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017-007835 2017-01-19
JP2017007835 2017-01-19

Publications (1)

Publication Number Publication Date
WO2018135604A1 true WO2018135604A1 (ja) 2018-07-26

Family

ID=62908114

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/001491 WO2018135604A1 (ja) 2017-01-19 2018-01-19 抽出装置、抽出方法と記憶媒体、ならびに、異常検知装置、異常検知方法

Country Status (3)

Country Link
US (1) US20190384771A1 (ja)
JP (1) JP7006622B2 (ja)
WO (1) WO2018135604A1 (ja)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6555559B1 (ja) * 2018-06-15 2019-08-07 パナソニックＩｐマネジメント株式会社 電子制御装置、監視方法、プログラム及びゲートウェイ装置
CN112889244A (zh) * 2018-10-18 2021-06-01 住友电气工业株式会社 检测装置、网关装置、检测方法和检测程序
US11700270B2 (en) * 2019-02-19 2023-07-11 The Aerospace Corporation Systems and methods for detecting a communication anomaly
CN113392102A (zh) * 2020-03-12 2021-09-14 尼得科智动株式会社 网关装置和计算机可读介质
US20230247035A1 (en) * 2020-05-12 2023-08-03 Nippon Telegraph And Telephone Corporation Attack detection apparatus, attack detection method and program

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005195307A (ja) * 2004-01-09 2005-07-21 Toshiba Kyaria Kk データ収集方法および中継装置
JP2014191724A (ja) * 2013-03-28 2014-10-06 Mitsubishi Electric Corp 入出力制御装置

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005195307A (ja) * 2004-01-09 2005-07-21 Toshiba Kyaria Kk データ収集方法および中継装置
JP2014191724A (ja) * 2013-03-28 2014-10-06 Mitsubishi Electric Corp 入出力制御装置

Also Published As

Publication number Publication date
JPWO2018135604A1 (ja) 2019-11-07
US20190384771A1 (en) 2019-12-19
JP7006622B2 (ja) 2022-01-24

Similar Documents

Publication Publication Date Title
WO2018135604A1 (ja) 抽出装置、抽出方法と記憶媒体、ならびに、異常検知装置、異常検知方法
JPWO2019142741A1 (ja) 車両異常検知サーバ、車両異常検知システム及び車両異常検知方法
CN110888783A (zh) 微服务系统的监测方法、装置以及电子设备
CN111066001B (zh) 日志输出方法、日志输出装置以及存储介质
US10574671B2 (en) Method for monitoring security in an automation network, and automation network
JP2018026791A (ja) フレーム伝送阻止装置、フレーム伝送阻止方法及び車載ネットワークシステム
CN109598135B (zh) 一种工控设备运维信息存储方法、装置及系统
KR101855753B1 (ko) 차량 진단 게이트웨이 장치 및 이를 포함하는 시스템
CN111447166B (zh) 车辆攻击检测方法及装置
US20230327956A1 (en) Network configuration estimation apparatus, network configuration estimation method and program
JP6809011B2 (ja) 制御システムの遠隔監視を行う装置およびシステム
CN110619022B (zh) 基于区块链网络的节点检测方法、装置、设备及存储介质
CN111752819B (zh) 一种异常监控方法、装置、系统、设备和存储介质
CN111903095B (zh) 检测装置及其方法以及记录介质
JP3227309U (ja) コントローラ・エリア・ネットワーク・バスでのエラー記録メカニズムのためのシステムおよび方法
US10666671B2 (en) Data security inspection mechanism for serial networks
CN108512675B (zh) 一种网络诊断的方法、装置、控制节点和网络节点
WO2019207764A1 (ja) 抽出装置、抽出方法および記録媒体、並びに、検知装置
CN103885441B (zh) 一种控制器局域网络的自适应故障诊断方法
US20230067096A1 (en) Information processing device, computer program product, and information processing system
CN111737079B (zh) 一种集群网络的监控方法和装置
CN112650557B (zh) 一种命令执行方法以及装置
CN110177032B (zh) 报文路由质量监测方法及网关控制器
CN109379211B (zh) 一种网络监控方法及装置、服务器和存储介质
JP2020088798A (ja) ネットワークシステム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18741638

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2018562439

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18741638

Country of ref document: EP

Kind code of ref document: A1