WO2021085196A1 - 情報処理装置、情報処理方法、およびプログラム - Google Patents

情報処理装置、情報処理方法、およびプログラム Download PDF

Info

Publication number
WO2021085196A1
WO2021085196A1 PCT/JP2020/039194 JP2020039194W WO2021085196A1 WO 2021085196 A1 WO2021085196 A1 WO 2021085196A1 JP 2020039194 W JP2020039194 W JP 2020039194W WO 2021085196 A1 WO2021085196 A1 WO 2021085196A1
Authority
WO
WIPO (PCT)
Prior art keywords
rule
information
vehicle
individual
acquisition unit
Prior art date
Application number
PCT/JP2020/039194
Other languages
English (en)
French (fr)
Inventor
健人 田村
中野　稔久
横田　薫
Original Assignee
パナソニックＩｐマネジメント株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニックＩｐマネジメント株式会社 filed Critical パナソニックＩｐマネジメント株式会社
Priority to DE112020005394.6T priority Critical patent/DE112020005394T5/de
Publication of WO2021085196A1 publication Critical patent/WO2021085196A1/ja
Priority to US17/724,039 priority patent/US20220239686A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W40/00—Estimation or calculation of non-directly measurable driving parameters for road vehicle drive control systems not related to the control of a particular sub unit, e.g. by using mathematical models
    • B60W40/02—Estimation or calculation of non-directly measurable driving parameters for road vehicle drive control systems not related to the control of a particular sub unit, e.g. by using mathematical models related to ambient conditions
    • B60W40/04—Traffic conditions
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W40/00—Estimation or calculation of non-directly measurable driving parameters for road vehicle drive control systems not related to the control of a particular sub unit, e.g. by using mathematical models
    • B60W40/08—Estimation or calculation of non-directly measurable driving parameters for road vehicle drive control systems not related to the control of a particular sub unit, e.g. by using mathematical models related to drivers or passengers
    • B60W40/09—Driving style or behaviour
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/02—Registering or indicating driving, working, idle, or waiting time only
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/12—Arrangements for remote connection or disconnection of substations or of equipment thereof
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/48—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for in-vehicle communication
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2554/00—Input parameters relating to objects
    • B60W2554/40—Dynamic objects, e.g. animals, windblown objects
    • B60W2554/408—Traffic behavior, e.g. swarm
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2556/00—Input parameters relating to data
    • B60W2556/10—Historical data
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2556/00—Input parameters relating to data
    • B60W2556/20—Data confidence level

Definitions

  • the present invention relates to an information processing device, an information processing method, and a program.
  • Anomaly detection device that detects unauthorized communication in the in-vehicle network is disclosed.
  • the abnormality detection device described in Patent Document 1 performs abnormality detection processing while switching rules according to an operating situation.
  • an object of the present invention is to provide an information processing device that improves the accuracy of abnormality detection based on rules.
  • the information processing device uses an acquisition unit that acquires a plurality of information including information about a communication frame flowing in an in-vehicle network of each of the plurality of vehicles, and the plurality of information acquired by the acquisition unit.
  • a generation unit that generates an integrated rule that is a rule that conforms to the plurality of vehicles and is a rule for abnormality detection processing in the in-vehicle network, and an output unit that outputs the integrated rule generated by the generation unit.
  • a recording medium such as a system, method, integrated circuit, computer program or computer-readable CD-ROM, and the system, method, integrated circuit, computer program. And any combination of recording media may be realized.
  • the information processing device can improve the accuracy of abnormality detection based on rules.
  • FIG. 1 is a block diagram showing a configuration of a processing system according to the first embodiment.
  • FIG. 2 is an explanatory diagram showing an example of log data according to the first embodiment.
  • FIG. 3 is an explanatory diagram showing a first example of the speed distribution of the vehicle according to the first embodiment.
  • FIG. 4 is a flow chart showing a first example of server processing according to the first embodiment.
  • FIG. 5 is an explanatory diagram showing a second example of the speed distribution of the vehicle according to the first embodiment.
  • FIG. 6 is a flow chart showing a second example of server processing according to the first embodiment.
  • FIG. 7 is an explanatory diagram showing a first example of an individual rule regarding the communication cycle in the vehicle according to the second embodiment.
  • FIG. 1 is a block diagram showing a configuration of a processing system according to the first embodiment.
  • FIG. 2 is an explanatory diagram showing an example of log data according to the first embodiment.
  • FIG. 3 is an explanatory diagram showing a first example of the speed distribution of
  • FIG. 8 is an explanatory diagram showing a second example of an individual rule regarding the communication cycle in the vehicle according to the second embodiment.
  • FIG. 9 is an explanatory diagram showing a third example of an individual rule regarding the communication cycle in the vehicle according to the second embodiment.
  • FIG. 10 is an explanatory diagram showing an example of the individual rule according to the second embodiment and the extraction of the individual rule.
  • FIG. 11 is an explanatory diagram showing a first example of a process in which the generation unit according to the second embodiment generates an integrated rule from an individual rule.
  • FIG. 12 is an explanatory diagram showing a second example of a process in which the generation unit according to the second embodiment generates an integrated rule from an individual rule.
  • FIG. 13 is an explanatory diagram showing a first example of a method of binarizing the integration rule according to the second embodiment.
  • FIG. 14 is an explanatory diagram showing a third example of a process in which the generation unit according to the modified example of the second embodiment generates an integrated rule from an individual rule.
  • FIG. 15 is an explanatory diagram showing a second example of a method of binarizing the integration rule according to the modified example of the second embodiment.
  • the information processing device uses an acquisition unit that acquires a plurality of information including information about a communication frame flowing in an in-vehicle network of each of the plurality of vehicles, and the plurality of information acquired by the acquisition unit.
  • a generation unit that generates an integrated rule that is a rule that conforms to the plurality of vehicles and is a rule for abnormality detection processing in the in-vehicle network, and an output unit that outputs the integrated rule generated by the generation unit.
  • the information processing device generates an integrated rule based on the communication frame flowing through the in-vehicle network of a plurality of vehicles, and outputs the generated integrated rule. It is assumed that the integrated rule to be output is used for abnormality detection processing in the in-vehicle network of one vehicle. In this way, the integrated rule obtained as a result of the abnormality detection processing based not only on the communication frame flowing in the in-vehicle network of the one vehicle but also in the communication frame flowing in the in-vehicle network of a plurality of vehicles is used. Since the abnormality detection process is performed in the vehicle, the accuracy of the abnormality detection can be made higher than the rule generated only from the communication frame flowing in the in-vehicle network of one vehicle. In this way, the information processing device can improve the accuracy of abnormality detection based on the rules.
  • the acquisition unit acquires status information indicating the status of each of the plurality of vehicles when the communication frame flows through the in-vehicle network, and the generation unit obtains the status information in association with the information.
  • the integrated rule is generated using the plurality of information associated with the status information acquired by the acquisition unit, and the output unit outputs the status information together with the integration rule. You may.
  • the information processing device generates an integrated rule associated with the situation of the vehicle when the communication frame flows, and outputs the integrated rule in association with the situation information. It is assumed that the output integrated rule will be used for abnormality detection when the vehicle is in the situation shown in the status information output together with the integrated rule. Therefore, the information processing device can further improve the accuracy of abnormality detection based on the rule by selecting an appropriate rule according to the situation of the vehicle.
  • the acquisition unit acquires communication data indicating a communication frame flowing through the in-vehicle network or log data of an in-vehicle device connected to the in-vehicle network as the information, and the generation unit acquires the acquisition.
  • a rule that defines the conditions satisfied by the communication data or the log data acquired by the unit may be generated as the integrated rule.
  • the information processing device acquires the log data of the communication frame flowing through the vehicle's in-vehicle network as the information from the vehicle, and generates the condition satisfied by the acquired log data as an integrated rule. Therefore, the information processing device can more easily improve the accuracy of abnormality detection based on the rules by using the log data of the communication frame flowing through the in-vehicle network.
  • the acquisition unit acquires individual rules generated based on a communication frame flowing through the in-vehicle network as the information, and the generation unit integrates a plurality of the individual rules acquired by the acquisition unit. May be generated as the integrated rule.
  • the information processing device acquires the individual rule generated by the vehicle as the information from the vehicle, and generates it as an integrated rule by integrating the acquired individual rule. Therefore, the information processing device can more easily improve the accuracy of abnormality detection based on the rules by using the individual rules generated by the vehicle.
  • the acquisition unit acquires the information including the individual rule
  • the acquisition unit acquires the reliability information indicating the reliability of the individual rule to be acquired together with the individual rule
  • the generation unit integrates the information.
  • the integrated rule may be generated with higher priority given to the individual rule having a higher reliability indicated by the reliability information acquired together with the individual rule.
  • the information processing apparatus adjusts the magnitude of the contribution of each individual rule when integrating the individual rules by using the reliability acquired together with the individual rules. Therefore, the information processing device can more easily improve the accuracy of abnormality detection based on the rules while utilizing the individual rules generated by the plurality of vehicles with appropriate contributions.
  • the reliability information may include the number of data used to generate the individual rule, or the total mileage, total travel time, or total transmission data amount of the vehicle.
  • the information processing apparatus uses the number of data used to generate the individual rules, the total mileage of the vehicle, the total travel time, or the total amount of transmitted data as the reliability, and contributes to each individual rule. Adjust the size of.
  • the number of data used to generate the individual rule, the total mileage of the vehicle, the total travel time, or the total amount of transmitted data are all information whose values increase as the vehicle is used for a long time. In this way, since the information conventionally held by the vehicle is also used for the reliability, the information processing apparatus does not need to generate new information for calculating the reliability. Therefore, the information processing device can more easily improve the accuracy of abnormality detection based on the rules while also using the information conventionally possessed by the vehicle.
  • the reliability information may be generated based on the number of data used for generating the individual rule, or the total mileage, total mileage, or total transmission data amount of the vehicle.
  • the information processing apparatus utilizes the reliability generated based on the number of data used to generate the individual rule, the total mileage of the vehicle, the total mileage, or the total amount of transmitted data. Adjust the magnitude of the contribution of each individual rule.
  • the number of data used to generate the individual rule, the total mileage of the vehicle, the total travel time, or the total amount of transmitted data are all information whose values increase as the vehicle is used for a long time. In this way, since the information conventionally held by the vehicle is also used for the reliability, the information processing apparatus does not need to generate new information for calculating the reliability. Therefore, the information processing device can more easily improve the accuracy of abnormality detection based on the rules while also using the information conventionally possessed by the vehicle.
  • the information processing method acquires a plurality of information including information about a communication frame flowing through an in-vehicle network of each of the plurality of vehicles, and uses the acquired plurality of information to provide the plurality of vehicles.
  • An integrated rule that is a conforming rule and is a rule for abnormality detection processing in the in-vehicle network is generated, and the generated integrated rule is output.
  • the program according to one aspect of the present invention is a program for causing a computer to execute the above information processing method.
  • Embodiment 1 In the present embodiment, an information processing device for improving the accuracy of abnormality detection based on rules will be described.
  • the server 10, which will be described later, is an example of an information processing device.
  • FIG. 1 is a block diagram showing a configuration of a processing system according to the present embodiment.
  • the processing system includes vehicles 2, 2A and 2B (also referred to as vehicle 2 and the like) and a server 10.
  • the vehicle 2 and the like and the server 10 are connected so as to be able to communicate with each other via the network N.
  • the network N is a network outside the server 10, and includes a carrier network of a mobile phone, the Internet, and the like.
  • the vehicle 2 is a vehicle including a communication unit 20, a detection unit 21, a sensor 30, one or more ECUs (Electronic Control Units) 31, 32, and the like, for example, an automobile.
  • Each functional unit and each device in the vehicle 2 are communicably connected by an in-vehicle network M.
  • the sensor 30 is an in-vehicle device that senses the surroundings of the vehicle 2.
  • the sensor 30 is, for example, a sensor that senses a physical quantity such as temperature, humidity, or brightness around the vehicle 2.
  • the sensor 30 provides information indicating the detected physical quantity to the detection unit 21 through the vehicle-mounted network M.
  • One or more ECUs 31, 32, etc. are in-vehicle devices that are electronic control devices that control control targets such as an engine, a steering wheel, a brake, and a window.
  • One or more ECUs 31, 32, etc. are connected to their respective control targets and control the control targets. Further, each of the one or more ECUs 31, 32, etc. is connected to the vehicle-mounted network M, and provides information on control for the controlled object to the detection unit 21 through the vehicle-mounted network M.
  • the communication unit 20 is a communication device that connects the in-vehicle network M and the network N.
  • the communication unit 20 includes a communication interface compatible with the vehicle-mounted network M and a communication interface compatible with the network N, and transfers communication frames (also simply referred to as frames) to each other.
  • an information terminal or a diagnostic device may be connected to the vehicle-mounted network M via a port (not shown).
  • the standard of the in-vehicle network M is, for example, CAN (Control Area Network), and this case will be described as an example.
  • CAN-FD CAN with FlexRay Network
  • LIN Local Ethernet Network
  • MOST registered trademark
  • FlexRay registered trademark
  • Ethernet registered trademark
  • the detection unit 21 is a device that detects an unauthorized communication that can be performed in the in-vehicle network M as an abnormality and processes the abnormality.
  • the detection unit 21 is connected to the vehicle-mounted network M.
  • the detection unit 21 accumulates and holds the vehicle data 25 of the vehicle 2.
  • the vehicle data 25 includes communication data indicating a frame flowing through the vehicle-mounted network M, log data of a vehicle-mounted device such as an ECU 31, and the like. Further, the detection unit 21 has an individual rule 26 and an integrated rule 27 as rules for detecting unauthorized communication.
  • the individual rule 26 is a rule generated by the detection unit 21 based on the frame generated based on the frame flowing through the in-vehicle network M. More specifically, the individual rule 26 is a rule generated for an individual vehicle called vehicle 2, and includes a condition that the content or timing of communication of each ECU should be satisfied.
  • the detection unit 21 acquires the content or timing of normal communication of each ECU by analyzing the frame flowing through the in-vehicle network M, and the condition that the content or timing of communication of each ECU should be satisfied. Is obtained by generating as a rule. Various other methods can be adopted for this generation method.
  • the integrated rule 27 is a rule generated for a plurality of vehicles including the vehicle 2, and includes a condition that the communication content or timing of each ECU should be satisfied.
  • the integration rule 27 acquires, for example, the content or timing of normal communication of each ECU based on the information about the frame flowing through the vehicle-mounted network M of the plurality of vehicles collected by the server 10 from the plurality of vehicles 2 and the like. , It is acquired by generating a condition that the communication content or timing of each ECU should be satisfied as a rule.
  • the detection unit 21 appropriately detects and processes the illegal communication in the vehicle-mounted network M by using the rule as an abnormality.
  • Each of the vehicles 2A, 2B, etc. is the same vehicle as the vehicle 2, and operates independently of the vehicle 2. Although the vehicle 2 will be described on behalf of the vehicle 2 and the like, the same description holds true for the vehicles 2A and 2B.
  • the server 10 is a server device that processes information for controlling the vehicle 2 and the like.
  • the server 10 is connected to the vehicle 2 or the like via the network N.
  • the server 10 generates a rule for detecting unauthorized communication in the vehicle 2 and the like, and transmits the rule to the vehicle 2 via the network N.
  • the transmitted rule is acquired as the integrated rule 27 in the vehicle 2.
  • the server 10 includes a communication IF 11, an acquisition unit 12, a generation unit 13, and a provision unit 14.
  • Communication IF11 is a communication interface device connected to network N.
  • the acquisition unit 12 is a processing unit that acquires information about a frame that has flowed to the vehicle-mounted network M such as the vehicle 2.
  • the acquisition unit 12 acquires one or more information including information about a frame flowing through each vehicle-mounted network M such as one or more vehicles 2 via the network N.
  • the information acquired by the acquisition unit 12 is, for example, communication data indicating a frame flowing through each in-vehicle network M such as one or more vehicles 2, or log data of an in-vehicle device connected to the in-vehicle network M. This case will be described in the present embodiment, but the present invention is not limited to this.
  • the communication data or log data is also referred to as vehicle data.
  • the generation unit 13 uses one or more pieces of information acquired by the acquisition unit 12 to generate an integrated rule that is a rule suitable for a plurality of vehicles and is a rule for abnormality detection processing in the in-vehicle network M.
  • the rule conforming to a plurality of vehicles means a rule used for detecting unauthorized communication by the detection unit 21 of the plurality of vehicles 2.
  • the rules generated by the generation unit 13 include, for example, a rule indicating whether the information contained in the frames flowing through the vehicle-mounted network M is normal or abnormal, or a rule indicating the period or interval of the frames flowing through the vehicle-mounted network M. including.
  • the providing unit 14 is a processing unit that provides the rules generated by the generating unit 13 to the vehicle 2 and the like.
  • the providing unit 14 provides the rules generated by the generating unit 13 to each of the vehicles 2 and the like by transmitting them via the network N.
  • the provided rule is acquired in vehicle 2 as integrated rule 27.
  • the providing unit 14 corresponds to an output unit that outputs the rules generated by the generating unit 13.
  • the acquisition unit 12 may acquire status information indicating the status when the frame flows to the vehicle-mounted network M in association with the information.
  • the situation information is information indicating the situation of the vehicle 2 when the frame flows through the vehicle-mounted network M, or the situation around the vehicle 2, and includes, for example, weather, speed, acceleration, steering angle, and the like.
  • the generation unit 13 For each status information acquired by the acquisition unit 12, the generation unit 13 extracts one or more information associated with the status information from the one or more information acquired by the acquisition unit 12 as one or more extraction information. , The extracted extracted information is used as the above-mentioned one or more information to generate a rule. Then, the providing unit 14 outputs the rule generated by the generating unit 13 for each situation information.
  • FIG. 2 is an explanatory diagram showing an example of vehicle data 25 according to the present embodiment.
  • the vehicle data 25 shown in FIG. 2 is an example of log data of an in-vehicle device (sensor 30, ECU 31, etc.) of the vehicle 2.
  • the log data includes date, time, and status information.
  • situation information the weather, speed, acceleration or steering angle are shown as examples.
  • the date is information indicating the date when the frame corresponding to the entry was generated.
  • the time is information indicating the time when the above frame was generated.
  • the weather is information indicating the weather when the above frame is generated.
  • the speed is information indicating the speed of the vehicle 2 when the above frame is generated.
  • the acceleration is information indicating the acceleration of the vehicle 2 when the above frame is generated.
  • the steering angle is information indicating the steering angle of the vehicle 2 when the frame is generated.
  • the top entry shown in FIG. 2 was generated on the date "August 2, 2019” and the time "8:40", at which time the speed of vehicle 2 was 45 km / h. It is shown that
  • the log data is acquired by the acquisition unit 12 via the network N. After that, the generation unit 13 generates a rule based on the acquired log data.
  • a rule generation method that does not consider the situation information and a rule generation method that considers the situation information will be described.
  • FIG. 3 is an explanatory diagram showing a first example of the speed distribution of the vehicle 2 according to the present embodiment.
  • the speed distribution shown in FIG. 3 shows the speed distribution calculated by the generation unit 13 for the log data acquired by the acquisition unit 12 of the server 10 from the plurality of vehicles 2 and the like.
  • FIG. 3 is a distribution generated by normalizing the speed distributions of a plurality of vehicles 2 and the like so that the maximum value of the distribution is 1.
  • the generation unit 13 generates an upper limit value of speed as a rule based on this distribution. For example, the generation unit 13 generates a rule with the maximum value of the velocity in this distribution as the velocity threshold T1. In this case, the speed threshold value T1 is determined so that all the speed values included in the log data acquired by the acquisition unit 12 are equal to or less than the threshold value T1.
  • the rule generated in this way is used by the detection unit 21 of the vehicle 2 to detect an abnormality.
  • the detection unit 21 has a binary value of that the vehicle 2 has an abnormality (that is, the vehicle 2 is abnormal) or that the vehicle 2 has no abnormality (that is, the vehicle 2 is normal).
  • the detection unit 21 determines that the speed of the vehicle 2 is normal when the speed value of the vehicle 2 is smaller than the threshold value T1, and the speed of the vehicle 2 is abnormal when the speed value is larger than the threshold value T1.
  • the speed value is equal to the threshold value T1
  • the generation unit 13 may determine the velocity threshold value T1 so as to include the velocity value of a predetermined ratio (for example, 95% or 99%) of the velocity values in this distribution, whichever is smaller. ..
  • FIG. 4 is a flow chart showing a first example of processing of the server 10 according to the present embodiment. Specifically, the flow chart shown in FIG. 4 shows a process in which the server 10 generates and outputs a rule without considering the weather information of the log data shown in FIG.
  • step S101 the acquisition unit 12 acquires vehicle data 25, which is a plurality of pieces of information including information regarding communication frames flowing through the respective vehicle-mounted networks M of the plurality of vehicles 2, etc.
  • step S102 the generation unit 13 uses the plurality of information acquired in step S101 to create an integrated rule that is a rule that conforms to a plurality of vehicles and is a rule for abnormality detection processing in the vehicle-mounted network of the vehicle 2. Generate.
  • step S103 the providing unit 14 provides the vehicle 2 with the integrated rule generated in step S102.
  • the server 10 can improve the accuracy of abnormality detection based on the rules.
  • FIG. 5 is an explanatory diagram showing a second example of the speed distribution of the vehicle 2 according to the present embodiment.
  • the speed distribution shown in FIG. 5 is obtained by extracting the log data from the log data acquired by the acquisition unit 12 of the server 10 from the plurality of vehicles 2 and the like using the information indicating the weather as the situation information, and then the generation unit 13. Shows the velocity distribution calculated for each situation information.
  • the generation unit 13 generates an upper limit value of the speed as a rule for each situation information based on the distributions of (a) and (b) of FIG. For example, the generation unit 13 generates a rule with the maximum value of the velocity in the distribution shown in FIG. 5A as the velocity threshold value T2. In this case, the speed threshold value T2 is determined so that all the speed values included in the log data acquired by the acquisition unit 12 are equal to or less than the threshold value T2. Further, the generation unit 13 generates a rule with the maximum value of the velocity in the distribution shown in FIG. 5 (b) as the velocity threshold value T3. In this case, the speed threshold value T3 is determined so that all the speed values included in the log data acquired by the acquisition unit 12 are equal to or less than the threshold value T3.
  • the generation unit 13 has a predetermined ratio (for example, 95% or 99%) of the velocity value in the distribution of (a) or (b), whichever is smaller, as in the threshold value T1 in (1) above.
  • the velocity threshold T2 or T3 may be determined to include the velocity value.
  • FIG. 6 is a flow chart showing a second example of the processing of the server 10 according to the present embodiment. Specifically, the flow chart shown in FIG. 6 shows a process in which the server 10 generates and outputs a rule in consideration of the weather information of the log data shown in FIG. 2 as situation information.
  • step S201 the acquisition unit 12 acquires vehicle data 25, which is a plurality of pieces of information including information regarding communication frames flowing through the respective vehicle-mounted networks M such as the plurality of vehicles 2. At this time, the acquisition unit 12 acquires status information indicating the status of each of the plurality of vehicles 2 and the like when the communication frame flows through the vehicle-mounted network M in association with the information.
  • vehicle data 25 is a plurality of pieces of information including information regarding communication frames flowing through the respective vehicle-mounted networks M such as the plurality of vehicles 2.
  • the acquisition unit 12 acquires status information indicating the status of each of the plurality of vehicles 2 and the like when the communication frame flows through the vehicle-mounted network M in association with the information.
  • step S202 the generation unit 13 extracts the vehicle data 25 corresponding to the situation information from the vehicle data 25 which is a plurality of information acquired in step S201. Specifically, the generation unit 13 extracts vehicle data 25 whose weather is "sunny” and extracts vehicle data 25 whose weather is "rainy”.
  • step S203 the generation unit 13 generates an integration rule from the vehicle data 25 extracted in step S202.
  • step S204 the providing unit 14 provides the integrated rule generated in step S203 to the vehicle 2 together with the status information used when generating the integrated rule.
  • the server 10 can improve the accuracy of abnormality detection based on the rule in consideration of the situation information.
  • the information processing device generates an integration rule based on the communication frame flowing through the in-vehicle network of a plurality of vehicles, and the generated integration rule is generated. Output. It is assumed that the integrated rule to be output is used for abnormality detection processing in the in-vehicle network of one vehicle. In this way, the integrated rule obtained as a result of the abnormality detection processing based not only on the communication frame flowing in the in-vehicle network of the one vehicle but also in the communication frame flowing in the in-vehicle network of a plurality of vehicles is used.
  • the accuracy of the abnormality detection can be made higher than the rule generated only from the communication frame flowing in the in-vehicle network of one vehicle. In this way, the information processing device can improve the accuracy of abnormality detection based on the rules.
  • the server generates an integrated rule associated with the situation of the vehicle when the communication frame flows, and outputs it in association with the situation information. It is assumed that the output integrated rule will be used for abnormality detection when the vehicle is in the situation shown in the status information output together with the integrated rule. Therefore, the information processing device can further improve the accuracy of abnormality detection based on the rule by selecting an appropriate rule according to the situation of the vehicle.
  • the server acquires the log data of the communication frame flowing through the vehicle's in-vehicle network as the information from the vehicle, and generates the conditions satisfied by the acquired log data as an integrated rule. Therefore, the information processing device can more easily improve the accuracy of abnormality detection based on the rules by using the log data of the communication frame flowing through the in-vehicle network.
  • Embodiment 2 an information processing device that improves the accuracy of abnormality detection based on the rules will be described in a mode different from that of the first embodiment. Specifically, a method will be described in which the server 10 acquires the individual rule 26 from the vehicle 2 and generates an integrated rule using the acquired individual rule.
  • the acquisition unit 12 acquires information about the frame flowing through the vehicle-mounted network M such as the vehicle 2 as in the first embodiment.
  • the information acquired by the acquisition unit 12 is an individual rule generated based on the frame flowing through the vehicle-mounted network M.
  • the generation unit 13 generates, as a rule, an integrated rule that integrates one or more individual rules included in the one or more information acquired by the acquisition unit 12.
  • the acquisition unit 12 may acquire the reliability information indicating the reliability of the individual rule to be acquired together with the individual rule.
  • the generation unit 13 when generating the integration rule, the generation unit 13 generates the integration rule based on the reliability information acquired together with the individual rule.
  • the reliability information includes, for example, the number of data used to generate the individual rules, or the total mileage, total travel time, or total transmission data amount of each of the vehicles 2 and the like.
  • FIG. 7 is an explanatory diagram showing a first example of an individual rule regarding the communication cycle in the vehicle 2 according to the present embodiment.
  • the individual rule shown in FIG. 7 is an individual rule that defines the maximum value (Max) and the minimum value (Min) of the normal value range of the period of the frame related to communication.
  • the detection unit 21 uses the above rule to indicate that the vehicle 2 has an abnormality (that is, the vehicle 2 is abnormal) or that the vehicle 2 has no abnormality (that is, the vehicle 2 has an abnormality). It is judged to be one of the two values (normal).
  • the detection unit 21 determines that the period of the frame flowing through the vehicle-mounted network M includes the period in the range from the maximum value to the minimum value defined in the individual rule. In this case, it is determined that the cycle is a normal value. Further, the detection unit 21 has an abnormality when the period of the frame flowing through the vehicle-mounted network M is larger than the maximum value specified in the individual rule or smaller than the minimum value specified in the individual rule. Judge that it is a value.
  • FIG. 8 is an explanatory diagram showing a second example of an individual rule regarding the communication cycle in the vehicle 2 according to the present embodiment.
  • the individual rule shown in FIG. 8 is an individual rule that defines a histogram of the period of the frame related to communication.
  • the frequency of the histogram may be defined by a significant numerical value or a relative value.
  • the detection unit 21 sets the histogram of the period of a plurality of frames flowing through the vehicle-mounted network M and the histogram defined in the individual rule within a predetermined accuracy range (for example, 95%). Or 99% or the like), and if it is determined that they do not match, it is determined that there is an abnormality in the communication in the vehicle-mounted network M.
  • a predetermined accuracy range for example, 95%). Or 99% or the like
  • FIG. 9 is an explanatory diagram showing a third example of an individual rule regarding the communication cycle in the vehicle 2 according to the present embodiment.
  • the individual rule shown in FIG. 9 is an individual rule that defines the distribution of the period of the frame related to communication.
  • the detection unit 21 determines whether the distribution of the cycles of the plurality of frames flowing through the vehicle-mounted network M and the distribution defined in the individual rule match within a predetermined accuracy range. If it is determined whether or not they do not match, it is determined that there is an abnormality in the communication in the vehicle-mounted network M.
  • the detection unit 21 determines that the period of the frame flowing through the in-vehicle network M is included in a predetermined range from the average value (Ave) of the distribution defined in the individual rule, the period is set. It can be determined that the value is normal.
  • the predetermined range can be, for example, a range of plus or minus 3 ⁇ from the average value (Ave), a range of plus or minus ⁇ , or the like.
  • ⁇ is the standard deviation of the distribution.
  • FIG. 10 is an explanatory diagram showing an example of an individual rule according to the present embodiment and extraction of the individual rule.
  • FIG. 10A is a table summarizing the individual rules acquired by the acquisition unit 12 from the vehicle 2 and the like.
  • the acquisition unit 12 acquires the individual rule from the vehicle 2 or the like, the number of entries of the vehicle data 25 used to generate the individual rule and the condition (time) on which the individual rule is assumed to be applied. , Weather, etc.)
  • the number of entries (number of data) of the vehicle data 25 used to generate the individual rule L1 is 50,000.
  • the individual rule L2 applied when the time is "daytime” and the weather is "snow” is shown in the individual rule acquired by the acquisition unit 12 from the vehicle 2 or the like.
  • the number of entries of the vehicle data 25 used to generate the individual rule L3 is 30,000. The same applies to other individual rules.
  • FIG. 11 is an explanatory diagram showing a first example of a process in which the generation unit 13 according to the present embodiment generates an integrated rule from an individual rule.
  • the process shown in FIG. 11 is a process of generating an integrated rule from an individual rule (see FIG. 7) that defines a maximum value and a minimum value.
  • FIG. 11 shows the individual rules L1, L4, and L8 shown in FIG. 10B as an example.
  • the generation unit 13 adds the number of data used for generating the individual rule to each individual rule by adding them as weights, that is, weights and adds them to generate an integrated rule. Specifically, the generation unit 13 weights and adds 1 for each value determined to be in the normal range and zero for each value determined to be in the abnormal range according to each individual rule, so that each value of the cycle is weighted and added. Derivation of the probability distribution judged to be normal. The generation unit 13 uses the probability distribution derived in this way as the integration rule LA.
  • the total mileage of the vehicle 2 can also be used as the weights used to generate the individual rules.
  • the above-mentioned number of data or the total mileage, the total mileage, or the total amount of transmitted data, which is used as a weight in the generation of the individual rule indicates the degree of reliability of the individual rule. Also called reliability.
  • the weight used for generating the individual rule information generated based on the total mileage of the vehicle 2, the total mileage, the total amount of transmitted data, or the like can also be used. As described above, the above information used as a weight for generating individual rules is also referred to as reliability.
  • the integrated rule generated by the generation unit 13 by the method shown in FIG. 11 can be expressed by the average value and the standard deviation as in the individual rule of FIG.
  • the generation unit 13 may calculate the average value and standard deviation of the integrated rule, and use the calculated average value and standard deviation as the integrated rule.
  • the providing unit 14 provides the vehicle 2 and the like with the integrated rule thus acquired by the generating unit 13.
  • FIG. 12 is an explanatory diagram showing a second example of a process in which the generation unit 13 according to the present embodiment generates an integrated rule from an individual rule.
  • the process shown in FIG. 12 is a process of generating an integrated rule from an individual rule (see FIG. 9) defined by a distribution (that is, mean and standard deviation).
  • FIG. 12 shows the individual rules L1, L4, and L8 shown in FIG. 10B as an example.
  • the generation unit 13 adds the number of data used for generating the individual rule to each individual rule by adding them as weights, that is, weights and adds them to generate an integrated rule.
  • the generation unit 13 uses the probability distribution derived in this way as the integration rule LB.
  • the providing unit 14 provides the integrated rule thus acquired by the generating unit 13 to the vehicle 2 and the like as in the case shown in FIG.
  • the generation unit 13 modifies (also referred to as binarization) the above integration rule as the above integration rule. Good.
  • FIG. 13 is an explanatory diagram showing a first example of a method of binarizing the integration rule according to the present embodiment.
  • the distribution shown in FIG. 13 (a) is an integrated rule derived by the method shown in FIG. 11 or FIG.
  • the generation unit 13 generates the maximum value (Max) and the minimum value (Min) of the normal range of the period values as an integrated rule.
  • the generation unit 13 sets the threshold value Th on the vertical axis in the distribution of FIG. 13 (a).
  • the maximum value and the minimum value of the normal range are set so that the range of the period values whose distribution is equal to or more than the threshold value Th is determined to be normal, and the value of the period whose distribution is equal to or less than the threshold value Th is determined to be abnormal.
  • Set Specifically, in the graph shown in FIG.
  • the generation unit 13 sets the value of the smaller period of the two intersections of the curve corresponding to the distribution and the straight line corresponding to the threshold value Th.
  • the minimum value in the normal range is set, and the value in the larger cycle is set as the maximum value in the normal range (see (b) in FIG. 13).
  • the detection unit 21 can improve the accuracy of abnormality detection based on the rules by integrating a plurality of individual rules.
  • the integration rule an example of determining the binary value of normal or abnormal using a diagram of the velocity distribution or the periodic distribution is shown, but the binary determination of normal or abnormal is used. Not limited. That is, as a result of determining normality or abnormality by the integration rule, a continuous value or a discrete value indicating the certainty of normality or abnormality may be output.
  • the degree of abnormality may be expressed by an arbitrary value of 0 to 1 or a function output in increments of 0.1.
  • FIG. 9 shows an example of binary values in which the range of 3 ⁇ is normal and the range of 3 ⁇ is abnormal, but if it is within 1 ⁇ , the normality is 90%, and if it is within 2 ⁇ , the normality is 80%, 3 ⁇ . If it is within, a value such as 70% normality may be output. In this case, the correspondence can be changed according to the normality (or abnormality). This also applies to individual rules.
  • the vertical axis of the distribution map such as FIG. 9 can be arbitrarily set according to the statistical processing of the data that is the basis of the integration rule and the individual rule, such as probability, probability density, and number of data.
  • the server 10 in this modification acquires, for example, a plurality of individual rules for determining normality or abnormality based on two pieces of information of the steering angle and the vehicle speed by the acquisition unit 12, and is based on the acquired plurality of individual rules. Then, an integrated rule for determining an abnormality is generated based on the steering angle and the vehicle speed.
  • FIG. 14 is an explanatory diagram showing a third example of a process in which the generation unit 13 according to this modified example generates an integrated rule from an individual rule.
  • the process shown in FIG. 14 is a process of generating an integrated rule from individual rules defined by using the steering angle and the vehicle speed as two pieces of information.
  • the above "two pieces of information" are expressed as "a set of information”.
  • FIG. 14 shows the individual rules L1, L4, and L8 shown in FIG. 10B as an example.
  • each individual rule when the set of steering angle and vehicle speed information is within the hatched area with the characters "normal", the set of information is determined to be normal.
  • the generation unit 13 generates an integrated rule by adding the total mileage of the vehicle 2 in which the individual rule is generated to each individual rule as a weight, that is, by weighting and adding. Specifically, the generation unit 13 weights and adds 1 for each set of information determined to be normal by each individual rule and zero for each set of information determined to be abnormal, so that each set of information is weighted and added. A two-dimensional probability distribution judged to be normal is derived.
  • the generation unit 13 uses the two-dimensional probability distribution derived in this way as the integration rule LC.
  • the integration rule LC the larger the probability distribution, the darker the color is expressed.
  • the providing unit 14 provides the integrated rule thus acquired by the generating unit 13 to the case shown in FIG. 11 and to the vehicle 2 and the like.
  • the generation unit 13 modifies (also referred to as binarization) the above integration rule in order to determine whether the vehicle 2 is normal or abnormal, as in the case of the second embodiment. ) May be used as the above integration rule.
  • FIG. 15 is an explanatory diagram showing a second example of the method of binarizing the integration rule according to this modified example.
  • the distribution shown in FIG. 15 (a) is an integrated rule derived by the method shown in FIG.
  • the generation unit 13 sets a threshold Th in the probability distribution for a set of information. Then, a boundary is set on the plane so that the set of information whose probability distribution is equal to or greater than the threshold Th is determined to be normal, and the set of information whose distribution is equal to or less than the threshold Th is determined to be abnormal. Specifically, the generation unit 13 extracts a region in which the information set is determined to be normal and a region in which the information set is determined to be abnormal in the graph shown in FIG. 15A, and these are extracted.
  • Boundary B is defined as the boundary of the region of (see (b) in FIG. 15). Although the boundary B is represented as a straight line in FIG. 15B, it may be a curved line.
  • the detection unit 21 can improve the accuracy of abnormality detection based on the rules by integrating a plurality of individual rules.
  • the server which is the information processing device of the present embodiment, acquires the individual rules generated by the vehicle as information from the vehicle, and generates them as integrated rules by integrating the acquired individual rules. Therefore, the information processing device can more easily improve the accuracy of abnormality detection based on the rules by using the individual rules generated by the vehicle.
  • the server adjusts the magnitude of the contribution of each individual rule when integrating the individual rules, using the reliability acquired together with the individual rules. Therefore, the information processing device can more easily improve the accuracy of abnormality detection based on the rules while utilizing the individual rules generated by the plurality of vehicles with appropriate contributions.
  • the server uses the number of data used to generate the individual rules, the total mileage of the vehicle, the total travel time, or the total amount of transmitted data as the reliability, and adjusts the magnitude of the contribution of each individual rule. ..
  • the number of data used to generate the individual rule, the total mileage of the vehicle, the total travel time, or the total amount of transmitted data are all information whose values increase as the vehicle is used for a long time. In this way, since the information conventionally held by the vehicle is also used for the reliability, the information processing apparatus does not need to generate new information for calculating the reliability. Therefore, the information processing device can more easily improve the accuracy of abnormality detection based on the rules while also using the information conventionally possessed by the vehicle.
  • the server uses the reliability generated based on the number of data used to generate the individual rules, the total mileage of the vehicle, the total travel time, or the total amount of transmitted data, and contributes to each individual rule. Adjust the size.
  • the number of data used to generate the individual rule, the total mileage of the vehicle, the total travel time, or the total amount of transmitted data are all information whose values increase as the vehicle is used for a long time. In this way, since the information conventionally held by the vehicle is also used for the reliability, the information processing apparatus does not need to generate new information for calculating the reliability. Therefore, the information processing device can more easily improve the accuracy of abnormality detection based on the rules while also using the information conventionally possessed by the vehicle.
  • each component may be configured by dedicated hardware or may be realized by executing a software program suitable for each component.
  • Each component may be realized by a program execution unit such as a CPU or a processor reading and executing a software program recorded on a recording medium such as a hard disk or a semiconductor memory.
  • the software that realizes the information processing apparatus and the like of each of the above embodiments is the following program.
  • this program acquires a plurality of information including information about a communication frame flowing through the in-vehicle network of each of the plurality of vehicles on a computer, and uses the acquired information to be used for a rule conforming to the plurality of vehicles. It is a program that generates an integrated rule, which is a rule for abnormality detection processing in the in-vehicle network, and executes an information processing method that outputs the generated integrated rule.
  • the present invention is not limited to this embodiment. As long as the gist of the present invention is not deviated, various modifications that can be conceived by those skilled in the art are applied to the present embodiment, and a form constructed by combining components in different embodiments is also within the scope of one or more embodiments. May be included within.
  • the present invention can be used as a processing device that detects an unauthorized communication as an abnormality in an in-vehicle network.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Automation & Control Theory (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Transportation (AREA)
  • Mechanical Engineering (AREA)
  • Mathematical Physics (AREA)
  • General Physics & Mathematics (AREA)
  • Human Computer Interaction (AREA)
  • Small-Scale Networks (AREA)
  • Traffic Control Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

サーバ（１０）は、複数の車両それぞれの車載ネットワークに流れた通信フレームに関する情報を含む複数の情報を取得する取得部（１２）と、取得部（１２）が取得した複数の情報に適合するルールであって、一の車両の車載ネットワークにおける異常検知処理のためのルールである統合ルールを生成する生成部（１３）と、生成部（１３）が生成した統合ルールを出力する提供部（１４）とを備える。例えば、取得部（１２）は、通信フレームが車載ネットワークに流れたときの複数の車両それぞれの状況を示す状況情報を取得し、生成部（１３）は、状況情報に対応付けられた複数の情報を用いて統合ルールを生成する。

Description

情報処理装置、情報処理方法、およびプログラム
　本発明は、情報処理装置、情報処理方法、およびプログラムに関する。
　車載ネットワークにおいて不正な通信を検知する異常検知装置が開示されている。特許文献１に記載の異常検知装置は、運転状況に応じてルールを切り替えながら異常検知処理を行う。
特開２０１９－９６１７号公報
　しかしながら、ルールに基づく異常検知を精度よく行うことができるとは限らないという問題がある。
　そこで、本発明は、ルールに基づく異常検知の精度を向上させる情報処理装置を提供することを目的とする。
　本発明の一態様に係る情報処理装置は、複数の車両それぞれの車載ネットワークに流れた通信フレームに関する情報を含む複数の情報を取得する取得部と、前記取得部が取得した前記複数の情報を用いて、前記複数の車両に適合するルールであって、前記車載ネットワークにおける異常検知処理のためのルールである統合ルールを生成する生成部と、前記生成部が生成した前記統合ルールを出力する出力部とを備える。
　なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。
　本発明に係る情報処理装置は、ルールに基づく異常検知の精度を向上させることができる。
図１は、実施の形態１に係る処理システムの構成を示すブロック図である。 図２は、実施の形態１に係るログデータの一例を示す説明図である。 図３は、実施の形態１に係る車両の速度の分布の第一例を示す説明図である。 図４は、実施の形態１に係るサーバの処理の第一例を示すフロー図である。 図５は、実施の形態１に係る車両の速度の分布の第二例を示す説明図である。 図６は、実施の形態１に係るサーバの処理の第二例を示すフロー図である。 図７は、実施の形態２に係る車両での通信の周期についての個別ルールの第一例を示す説明図である。 図８は、実施の形態２に係る車両での通信の周期についての個別ルールの第二例を示す説明図である。 図９は、実施の形態２に係る車両での通信の周期についての個別ルールの第三例を示す説明図である。 図１０は、実施の形態２に係る個別ルールと、個別ルールの抽出との例を示す説明図である。 図１１は、実施の形態２に係る生成部が個別ルールから統合ルールを生成する処理の第一例を示す説明図である。 図１２は、実施の形態２に係る生成部が個別ルールから統合ルールを生成する処理の第二例を示す説明図である。 図１３は、実施の形態２に係る統合ルールを二値化する方法の第一例を示す説明図である。 図１４は、実施の形態２の変形例に係る生成部が個別ルールから統合ルールを生成する処理の第三例を示す説明図である。 図１５は、実施の形態２の変形例に係る統合ルールを二値化する方法の第二例を示す説明図である。
　本発明の一態様に係る情報処理装置は、複数の車両それぞれの車載ネットワークに流れた通信フレームに関する情報を含む複数の情報を取得する取得部と、前記取得部が取得した前記複数の情報を用いて、前記複数の車両に適合するルールであって、前記車載ネットワークにおける異常検知処理のためのルールである統合ルールを生成する生成部と、前記生成部が生成した前記統合ルールを出力する出力部とを備える。
　上記態様によれば、情報処理装置は、複数の車両の車載ネットワークに流れた通信フレームに基づいて統合ルールを生成し、生成した統合ルールを出力する。出力する統合ルールは、一の車両の車載ネットワークで異常検知処理に用いられることが想定される。このようにすると、当該一の車両の車載ネットワークに流れた通信フレームだけでなく、複数の車両の車載ネットワークに流れた通信フレームに基づく異常検知処理の結果として得られる統合ルールを用いて、当該一の車両での異常検知処理がなされるので、一の車両の車載ネットワークに流れた通信フレームのみから生成されるルールよりも、異常検知の精度を高くすることができる。このように、情報処理装置は、ルールに基づく異常検知の精度を向上させることができる。
　例えば、前記取得部は、前記通信フレームが前記車載ネットワークに流れたときの前記複数の車両それぞれの状況を示す状況情報を、前記情報に対応付けて取得し、前記生成部は、前記取得部が取得した前記複数の情報のうち、前記取得部が取得した前記状況情報に対応付けられた複数の情報を用いて前記統合ルールを生成し、前記出力部は、前記統合ルールとともに前記状況情報を出力してもよい。
　上記態様によれば、情報処理装置は、その通信フレームが流れたときの車両の状況に対応付けた統合ルールを生成し、状況情報に対応付けて出力する。出力された統合ルールは、車両が、その統合ルールとともに出力された状況情報に示される状況になったときに、異常検知に用いられることが想定される。よって、情報処理装置は、車両の状況に応じて適切なルールを選択することによって、ルールに基づく異常検知の精度をより一層向上させることができる。
　例えば、前記取得部は、前記車載ネットワークに流れた通信フレームを示す通信データ、又は、前記車載ネットワークに接続されている車載機器のログデータを、前記情報として取得し、前記生成部は、前記取得部が取得した前記通信データ又は前記ログデータが満たす条件を規定したルールを前記統合ルールとして生成してもよい。
　上記態様によれば、情報処理装置は、車両からの情報として、車両の車載ネットワークに流れた通信フレームのログデータを取得し、取得したログデータが満たす条件を統合ルールとして生成する。よって、情報処理装置は、車載ネットワークに流れた通信フレームのログデータを利用して、より容易に、ルールに基づく異常検知の精度を向上させることができる。
　例えば、前記取得部は、前記車載ネットワークに流れた通信フレームに基づいて生成された個別ルールを前記情報として取得し、前記生成部は、前記取得部が取得した複数の前記個別ルールを統合したルールを前記統合ルールとして生成してもよい。
　上記態様によれば、情報処理装置は、車両からの情報として、車両で生成された個別ルールを取得し、取得した個別ルールを統合することによって統合ルールとして生成する。よって、情報処理装置は、車両で生成された個別ルールを利用して、より容易に、ルールに基づく異常検知の精度を向上させることができる。
　例えば、前記取得部は、前記個別ルールを含む前記情報を取得する際には、取得する前記個別ルールの信頼度を示す信頼度情報を、前記個別ルールとともに取得し、前記生成部は、前記統合ルールを生成する際には、前記個別ルールとともに取得した前記信頼度情報により示される信頼度が大きい前記個別ルールほど、より優先的に加味した前記統合ルールを生成してもよい。
　上記態様によれば、情報処理装置は、個別ルールとともに取得する信頼度を用いて、個別ルールを統合するときの各個別ルールの寄与の大きさを調整する。よって、情報処理装置は、複数の車両で生成された個別ルールを適切な寄与で利用しながら、より容易に、ルールに基づく異常検知の精度を向上させることができる。
　例えば、前記信頼度情報は、前記個別ルールの生成に用いられたデータ数、又は、前記車両の総走行距離、総走行時間若しくは総送信データ量を含んでもよい。
　上記態様によれば、情報処理装置は、個別ルールの生成に用いられたデータ数、車両の総走行距離、総走行時間、又は総送信データ量を信頼度として利用して、各個別ルールの寄与の大きさを調整する。個別ルールの生成に用いられたデータ数、車両の総走行距離、総走行時間、又は総送信データ量はいずれも、車両が長く利用されるほど、値が大きくなる情報である。このように、車両が従来保有している情報を信頼度に兼用するので、情報処理装置は、信頼度の算出のために新たな情報を生成する必要がない。よって、情報処理装置は、車両が従来保有している情報を兼用しながら、より容易に、ルールに基づく異常検知の精度を向上させることができる。
　例えば、前記信頼度情報は、前記個別ルールの生成に用いられたデータ数、又は、前記車両の総走行距離、総走行時間若しくは総送信データ量に基づいて生成されてもよい。
　上記態様によれば、情報処理装置は、個別ルールの生成に用いられたデータ数、車両の総走行距離、総走行時間、又は総送信データ量に基づいて生成された信頼度を利用して、各個別ルールの寄与の大きさを調整する。個別ルールの生成に用いられたデータ数、車両の総走行距離、総走行時間、又は総送信データ量はいずれも、車両が長く利用されるほど、値が大きくなる情報である。このように、車両が従来保有している情報を信頼度に兼用するので、情報処理装置は、信頼度の算出のために新たな情報を生成する必要がない。よって、情報処理装置は、車両が従来保有している情報を兼用しながら、より容易に、ルールに基づく異常検知の精度を向上させることができる。
　本発明の一態様に係る情報処理方法は、複数の車両それぞれの車載ネットワークに流れた通信フレームに関する情報を含む複数の情報を取得し、取得した前記複数の情報を用いて、前記複数の車両に適合するルールであって、前記車載ネットワークにおける異常検知処理のためのルールである統合ルールを生成し、生成した前記統合ルールを出力する。
　上記態様によれば、上記情報処理装置と同様の効果を奏する。
　本発明の一態様に係るプログラムは、上記の情報処理方法をコンピュータに実行させるためのプログラムである。
　上記態様によれば、上記情報処理装置と同様の効果を奏する。
　なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムまたは記録媒体の任意な組み合わせで実現されてもよい。
　以下、実施の形態について、図面を参照しながら具体的に説明する。
　なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本発明を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。
　（実施の形態１）
　本実施の形態において、ルールに基づく異常検知の精度を向上させる情報処理装置について説明する。なお、後述するサーバ１０が情報処理装置の一例である。
　図１は、本実施の形態に係る処理システムの構成を示すブロック図である。
　図１に示されるように、処理システムは、車両２、２Ａ及び２Ｂ（車両２等ともいう）とサーバ１０とを備える。車両２等とサーバ１０とは、ネットワークＮで通信可能に接続されている。ネットワークＮは、サーバ１０の外部のネットワークであり、携帯電話のキャリアネットワーク又はインターネットなどを含む。
　車両２は、通信部２０と、検知部２１と、センサ３０と、１以上のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）３１、３２等を備える車両、例えば自動車である。車両２内の各機能部および各装置は、車載ネットワークＭによって通信可能に接続されている。
　センサ３０は、車両２の周囲のセンシングを行う車載機器である。センサ３０は、例えば、車両２の周囲の温度、湿度、又は明るさなどの物理量を感知するセンサである。センサ３０は、感知した物理量を示す情報を車載ネットワークＭを通じて検知部２１に提供する。
　１以上のＥＣＵ３１、３２等は、エンジン、ステアリング、ブレーキ及びウィンドウなどの制御対象を制御する電子制御装置である車載機器である。１以上のＥＣＵ３１、３２等は、それぞれの制御対象に接続されており、制御対象を制御する。また、１以上のＥＣＵ３１、３２等それぞれは、車載ネットワークＭに接続されており、制御対象に対する制御に関する情報を車載ネットワークＭを通じて検知部２１に提供する。
　通信部２０は、車載ネットワークＭとネットワークＮとを接続する通信装置である。通信部２０は、車載ネットワークＭに適合する通信インタフェースと、ネットワークＮに適合する通信インタフェースとを備え、相互に通信フレーム（単にフレームともいう）を転送する。
　車載ネットワークＭには、１以上のＥＣＵ３１、３２等のほか、情報端末又は診断装置がポート（不図示）を介して接続され得る。
　車載ネットワークＭの規格は、例えばＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）であり、この場合を例として説明するが、他にＣＡＮ－ＦＤ（ＣＡＮ　ｗｉｔｈ　Ｆｌｅｘｉｂｌｅ　Ｄａｔａ　ｒａｔｅ）、ＬＩＮ（Ｌｏｃａｌ　Ｉｎｔｅｒｃｏｎｎｅｃｔ　Ｎｅｔｗｏｒｋ）、ＭＯＳＴ（登録商標）（Ｍｅｄｉａ　Ｏｒｉｅｎｔｅｄ　Ｓｙｓｔｅｍｓ　Ｔｒａｎｓｐｏｒｔ）、ＦｌｅｘＲａｙ（登録商標）、Ｅｔｈｅｒｎｅｔ（登録商標）等を用いることもできる。
　検知部２１は、車載ネットワークＭにおいてなされうる不正な通信を異常として検知し、異常に対する処理をする装置である。検知部２１は、車載ネットワークＭに接続されている。
　検知部２１は、車両２の車両データ２５を蓄積して保持している。車両データ２５には、車載ネットワークＭに流れたフレームを示す通信データ、および、ＥＣＵ３１などの車載機器のログデータなどが含まれる。また、検知部２１は、不正な通信を検知するためのルールとして、個別ルール２６と統合ルール２７とを有する。
　個別ルール２６は、車載ネットワークＭに流れたフレームに基づいて生成されたフレームに基づいて検知部２１が生成したルールである。より具体的には、個別ルール２６は、車両２という個別の車両のために生成されたルールであり、各ＥＣＵの通信の内容又はタイミングが満たすべき条件を含む。個別ルール２６は、例えば、検知部２１が、車載ネットワークＭを流れるフレームを分析することで各ＥＣＵの正常時の通信の内容又はタイミングを取得し、各ＥＣＵの通信の内容又はタイミングが満たすべき条件をルールとして生成することによって取得される。この生成方法は、他にもさまざまな方法を採用できる。
　統合ルール２７は、車両２を含む複数の車両のために生成されるルールであり、各ＥＣＵの通信の内容又はタイミングが満たすべき条件を含む。統合ルール２７は、例えば、サーバ１０が、複数の車両２等から収集した、複数の車両の車載ネットワークＭを流れるフレームに関する情報に基づいて、各ＥＣＵの正常時の通信の内容又はタイミングを取得し、各ＥＣＵの通信の内容又はタイミングが満たすべき条件をルールとして生成することによって取得される。
　車両２において、車載ネットワークＭに設けられるポートを介して、情報端末又は診断装置から不正な通信がなされる可能性がある。不正な通信がなされると、例えば、エンジン、ステアリング、ブレーキ及びウィンドウなどが不正に制御されたり、ＥＣＵ３１等に不正なプログラムが送りこまれたりすることで新たな異常の発生の原因となり得る。そこで、検知部２１は、車載ネットワークＭにおける不正な通信を異常として、ルールを用いて適切に検知し処理を施す。
　車両２Ａ及び２Ｂ等のそれぞれは、車両２と同様の車両であり、車両２とは独立に動作する。なお、車両２等などを代表して車両２を用いて説明するが、車両２Ａ、２Ｂなどについても同様の説明が成立する。
　サーバ１０は、車両２等の制御のための情報処理をするサーバ装置である。サーバ１０は、ネットワークＮを介して車両２等に接続されている。サーバ１０は、車両２等における不正な通信を検知するためのルールを生成し、ネットワークＮを介して車両２に送信する。送信されたルールは、車両２において統合ルール２７として取得される。
　以降において、サーバ１０についてより詳しく説明する。
　図１に示されるように、サーバ１０は、通信ＩＦ１１と、取得部１２と、生成部１３と、提供部１４とを備える。
　通信ＩＦ１１は、ネットワークＮに接続される通信インタフェース装置である。
　取得部１２は、車両２等の車載ネットワークＭに流れたフレームに関する情報を取得する処理部である。取得部１２は、１以上の車両２等それぞれの車載ネットワークＭに流れたフレームに関する情報を含む１以上の情報をネットワークＮを介して取得する。
　取得部１２が取得する情報は、例えば、１以上の車両２等それぞれの車載ネットワークＭに流れたフレームを示す通信データ、又は、上記車載ネットワークＭに接続されている車載機器のログデータであってもよく、この場合を本実施の形態で説明するが、これに限られない。なお、上記通信データ又はログデータを車両データともいう。
　生成部１３は、取得部１２が取得した１以上の情報を用いて、複数の車両に適合するルールであって、車載ネットワークＭにおける異常検知処理のためのルールである統合ルールを生成する処理部である。ここで、複数の車両に適合するルールとは、複数の車両２の検知部２１による不正な通信の検知に用いられるルールをいう。生成部１３が生成するルールは、例えば、車載ネットワークＭに流れるフレームに含まれる情報が正常であるか異常であるかを示すルール、又は、車載ネットワークＭに流れるフレームの周期又は間隔を示すルールなどを含む。
　提供部１４は、生成部１３が生成したルールを車両２等に提供する処理部である。提供部１４は、生成部１３が生成したルールを車両２等それぞれに対して、ネットワークＮを介して送信することで提供する。提供されたルールは、車両２において統合ルール２７として取得される。なお、提供部１４は、生成部１３が生成したルールを出力する出力部に相当する。
　ここで、取得部１２は、上記フレームが車載ネットワークＭに流れたときの状況を示す状況情報を、上記情報に対応付けて取得してもよい。状況情報とは、上記フレームが車載ネットワークＭに流れたときの車両２の状況、又は、車両２の周囲の状況を示す情報であり、例えば、天候、速度、加速度、操舵角などを含む。
　生成部１３は、取得部１２が取得した状況情報ごとに、取得部１２が取得した１以上の情報のうちから当該状況情報に対応付けられた１以上の情報を１以上の抽出情報として抽出し、抽出した抽出情報を、上記１以上の情報として用いてルールを生成する。そして、提供部１４は、生成部１３が状況情報ごとに生成したルールを出力する。
　以降において、サーバ１０の処理に用いられる情報およびデータを示しながら、サーバ１０の処理を具体的に説明する。
　図２は、本実施の形態に係る車両データ２５の一例を示す説明図である。図２に示される車両データ２５は、車両２の車載機器（センサ３０又はＥＣＵ３１等）のログデータの例である。
　図２に示されるように、ログデータは、日付、時刻、および状況情報を含む。状況情報としては、例として天候、速度、加速度若しくは操舵角が示されている。
　日付は、当該エントリに対応するフレームが生成された日付を示す情報である。
　時刻は、上記フレームが生成された時刻を示す情報である。
　天候は、上記フレームが生成されたときの天候を示す情報である。
　速度は、上記フレームが生成されたときの車両２の速度を示す情報である。
　加速度は、上記フレームが生成されたときの車両２の加速度を示す情報である。
　操舵角は、上記フレームが生成されたときの車両２の操舵角を示す情報である。
　例えば、図２に示される最上段のエントリは、日付「２０１９年８月２日」および時刻「８時４０分」に生成されたものであり、このとき車両２の速度が４５ｋｍ／ｈであったことが示されている。
　ログデータはネットワークＮを介して取得部１２によって取得される。その後、生成部１３が、取得されたログデータに基づいて、ルールを生成する。以下において、状況情報を考慮しないルール生成方法と、状況情報を考慮するルール生成方法とを説明する。
　（１）状況情報を考慮しないルール生成方法
　図３は、本実施の形態に係る車両２の速度の分布の第一例を示す説明図である。図３に示される速度の分布は、サーバ１０の取得部１２が複数の車両２等から取得したログデータについて、生成部１３が算出した速度の分布を示している。図３は、複数の車両２等の速度の分布を、その分布の最大値が１となるように正規化することで生成された分布である。
　生成部１３は、この分布に基づいて、速度の上限値をルールとして生成する。例えば、生成部１３は、この分布における速度の最大値を、速度の閾値Ｔ１としてルールを生成する。この場合、取得部１２が取得したログデータに含まれる速度値がすべて閾値Ｔ１以下となるように、速度の閾値Ｔ１が決定される。
　このように生成されるルールは、車両２の検知部２１によって異常の検知に用いられる。検知部２１は、上記ルールを用いて、車両２に異常がある（つまり、車両２が異常である）、又は、車両２に異常がない（つまり車両２が正常である）、の二値のいずれかに判断する。具体的には、検知部２１は、車両２の速度値が閾値Ｔ１より小さい場合に車両２の速度が正常であると判断し、速度値が閾値Ｔ１より大きい場合に車両２の速度が異常であると判断する。このとき、速度値が閾値Ｔ１に等しい場合には、正常と判断されてもよいし、異常と判断されてもよい。
　なお、生成部１３は、この分布における速度値のうち、速度値が小さい方の所定の割合（例えば９５％または９９％）の速度値が含まれるように速度の閾値Ｔ１を決定してもよい。
　図４は、本実施の形態に係るサーバ１０の処理の第一例を示すフロー図である。具体的には、図４に示されるフロー図は、サーバ１０が、図２に示されるログデータの天候の情報を考慮せずにルールを生成して出力する処理を示している。
　ステップＳ１０１において、取得部１２は、複数の車両２等それぞれの車載ネットワークＭに流れた通信フレームに関する情報を含む複数の情報である車両データ２５を取得する。
　ステップＳ１０２において、生成部１３は、ステップＳ１０１で取得した複数の情報を用いて、複数の車両に適合するルールであって、車両２の車載ネットワークにおける異常検知処理のためのルールである統合ルールを生成する。
　ステップＳ１０３において、提供部１４は、ステップＳ１０２で生成した統合ルールを車両２に提供する。
　図４に示される一連の処理により、サーバ１０は、ルールに基づく異常検知の精度を向上させることができる。
　（２）状況情報を考慮するルール生成方法
　図５は、本実施の形態に係る車両２の速度の分布の第二例を示す説明図である。図５に示される速度の分布は、サーバ１０の取得部１２が複数の車両２等から取得したログデータから、天候を示す情報を状況情報として用いてログデータを抽出したうえで、生成部１３が状況情報ごとに算出した速度の分布を示している。
　より具体的には、図５の（ａ）は、複数の車両２等の速度値について、天候が「晴天」であるときのエントリを抽出し、抽出したエントリから導出した分布の最大値が１となるように正規化することで生成された分布である。
　また、図５の（ｂ）は、複数の車両２等の速度値について、天候が「雨天」であるときのエントリを抽出し、抽出したエントリから導出した分布の最大値が１となるように正規化することで生成された分布である。
　生成部１３は、図５の（ａ）及び（ｂ）の分布に基づいて、状況情報ごとに、速度の上限値をルールとして生成する。例えば、生成部１３は、図５の（ａ）に示される分布における速度の最大値を、速度の閾値Ｔ２としてルールを生成する。この場合、取得部１２が取得したログデータに含まれる速度値がすべて閾値Ｔ２以下となるように、速度の閾値Ｔ２が決定される。また、生成部１３は、図５の（ｂ）に示される分布における速度の最大値を、速度の閾値Ｔ３としてルールを生成する。この場合、取得部１２が取得したログデータに含まれる速度値がすべて閾値Ｔ３以下となるように、速度の閾値Ｔ３が決定される。
　なお、生成部１３は、上記（１）における閾値Ｔ１と同様、（ａ）又は（ｂ）の分布における速度値のうち、速度値が小さい方の所定の割合（例えば９５％または９９％）の速度値が含まれるように速度の閾値Ｔ２又はＴ３を決定してもよい。
　なお、このルール生成方法を用いる場合、ログデータにおける天候の情報は必要である。
　図６は、本実施の形態に係るサーバ１０の処理の第二例を示すフロー図である。具体的には、図６に示されるフロー図は、サーバ１０が、図２に示されるログデータの天候の情報を状況情報として考慮してルールを生成して出力する処理を示している。
　ステップＳ２０１において、取得部１２は、複数の車両２等それぞれの車載ネットワークＭに流れた通信フレームに関する情報を含む複数の情報である車両データ２５を取得する。このとき、取得部１２は、上記通信フレームが車載ネットワークＭに流れたときの複数の車両２等それぞれの状況を示す状況情報を、上記情報に対応付けて取得する。
　ステップＳ２０２において、生成部１３は、ステップＳ２０１で取得した複数の情報である車両データ２５から状況情報に対応した車両データ２５を抽出する。具体的には、生成部１３は、天候が「晴天」である車両データ２５を抽出し、また、天候が「雨天」である車両データ２５を抽出する。
　ステップＳ２０３において、生成部１３は、ステップＳ２０２で抽出した車両データ２５から統合ルールを生成する。
　ステップＳ２０４において、提供部１４は、ステップＳ２０３で生成した統合ルールを、当該統合ルールを生成する際に用いた状況情報とともに、車両２に提供する。
　図６に示される一連の処理により、サーバ１０は、状況情報を考慮して、ルールに基づく異常検知の精度を向上させることができる。
　以上のように、本実施の形態の情報処理装置であるサーバによれば、情報処理装置は、複数の車両の車載ネットワークに流れた通信フレームに基づいて統合ルールを生成し、生成した統合ルールを出力する。出力する統合ルールは、一の車両の車載ネットワークで異常検知処理に用いられることが想定される。このようにすると、当該一の車両の車載ネットワークに流れた通信フレームだけでなく、複数の車両の車載ネットワークに流れた通信フレームに基づく異常検知処理の結果として得られる統合ルールを用いて、当該一の車両での異常検知処理がなされるので、一の車両の車載ネットワークに流れた通信フレームのみから生成されるルールよりも、異常検知の精度を高くすることができる。このように、情報処理装置は、ルールに基づく異常検知の精度を向上させることができる。
　また、サーバは、その通信フレームが流れたときの車両の状況に対応付けた統合ルールを生成し、状況情報に対応付けて出力する。出力された統合ルールは、車両が、その統合ルールとともに出力された状況情報に示される状況になったときに、異常検知に用いられることが想定される。よって、情報処理装置は、車両の状況に応じて適切なルールを選択することによって、ルールに基づく異常検知の精度をより一層向上させることができる。
　また、サーバは、車両からの情報として、車両の車載ネットワークに流れた通信フレームのログデータを取得し、取得したログデータが満たす条件を統合ルールとして生成する。よって、情報処理装置は、車載ネットワークに流れた通信フレームのログデータを利用して、より容易に、ルールに基づく異常検知の精度を向上させることができる。
　（実施の形態２）
　本実施の形態において、ルールに基づく異常検知の精度を向上させる情報処理装置について、実施の形態１とは別の形態を説明する。具体的には、サーバ１０が、車両２から個別ルール２６を取得して、取得した個別ルールを用いて統合ルールを生成する方法を説明する。
　取得部１２は、実施の形態１と同様に、車両２等の車載ネットワークＭに流れたフレームに関する情報を取得する。本実施の形態では、取得部１２が取得する情報は、車載ネットワークＭに流れたフレームに基づいて生成された個別ルールである。この場合、生成部１３は、ルールとして、取得部１２が取得した１以上の情報に含まれる１以上の個別ルールを統合した統合ルールを生成する。
　ここで、取得部１２は、個別ルールを含む情報を取得する際には、取得する個別ルールの信頼度を示す信頼度情報を、個別ルールとともに取得してもよい。その場合、生成部１３は、統合ルールを生成する際には、個別ルールとともに取得した信頼度情報に基づいて統合ルールを生成する。信頼度情報は、例えば、個別ルールの生成に用いられたデータ数、又は、車両２等それぞれの総走行距離、総走行時間若しくは総送信データ量を含む。
　取得部１２が取得する個別ルールの具体例を以下で説明する。
　図７は、本実施の形態に係る車両２での通信の周期についての個別ルールの第一例を示す説明図である。図７に示される個別ルールは、通信に係るフレームの周期の正常値の範囲の最大値（Ｍａｘ）および最小値（Ｍｉｎ）を規定する個別ルールである。このような個別ルールを用いて、検知部２１は、上記ルールを用いて、車両２に異常がある（つまり、車両２が異常である）、又は、車両２に異常がない（つまり車両２が正常である）、の二値のいずれかに判断する。
　図７に示される個別ルールを用いると、検知部２１は、車載ネットワークＭに流れるフレームの周期が、当該個別ルールに規定される最大値から最小値までの範囲に周期が含まれると判定される場合に、当該周期が正常値であると判定する。また、検知部２１は、車載ネットワークＭに流れるフレームの周期が、当該個別ルールに規定される最大値より大きい場合、又は、当該個別ルールに規定される最小値より小さい場合に、当該周期が異常値であると判定する。
　図８は、本実施の形態に係る車両２での通信の周期についての個別ルールの第二例を示す説明図である。図８に示される個別ルールは、通信に係るフレームの周期のヒストグラムを規定する個別ルールである。なお、ヒストグラムの度数は、有意な数値によって規定されてもよいし、相対値によって規定されてもよい。
　図８に示される個別ルールを用いると、検知部２１は、車載ネットワークＭに流れる複数のフレームの周期のヒストグラムと、当該個別ルールに規定されているヒストグラムとが所定の精度の範囲（例えば９５％又は９９％など）で一致するか否かを判定し、一致しないと判定した場合に、車載ネットワークＭにおける通信に異常があると判定する。
　図９は、本実施の形態に係る車両２での通信の周期についての個別ルールの第三例を示す説明図である。図９に示される個別ルールは、通信に係るフレームの周期の分布を規定する個別ルールである。
　図９に示される個別ルールを用いると、検知部２１は、車載ネットワークＭに流れる複数のフレームの周期の分布と、当該個別ルールに規定されている分布とが所定の精度の範囲で一致するか否かを判定し、一致しないと判定した場合に、車載ネットワークＭにおける通信に異常があると判定する。
　また、検知部２１は、車載ネットワークＭに流れるフレームの周期が、当該個別ルールに規定される分布の平均値（Ａｖｅ）から所定の範囲に周期が含まれると判定される場合に、当該周期が正常値であると判定することができる。なお、所定の範囲は、例えば、平均値（Ａｖｅ）からプラスマイナス３σの範囲、又は、プラスマイナスσの範囲などとすることができる。ここで、σは分布の標準偏差である。
　以降において、個別ルールから統合ルールを生成する方法について説明する。
　図１０は、本実施の形態に係る個別ルールと、個別ルールの抽出との例を示す説明図である。図１０の（ａ）は、取得部１２が車両２等から取得する個別ルールをまとめたテーブルである。ここで、取得部１２が個別ルールを車両２等から取得するときには、その個別ルールの生成に用いられた車両データ２５のエントリ数、および、その個別ルールが適用されると想定される条件（時刻、天候など）も取得する。
　図１０の（ａ）に示されるテーブルには、取得部１２が車両２等から取得した個別ルールに、時刻が「日中」であり天候が「晴天」であるときに適用される個別ルールＬ１が示されている。個別ルールＬ１の生成に用いられた車両データ２５のエントリの数（データ数）は５００００個である。また、上記テーブルには、取得部１２が車両２等から取得した個別ルールに、時刻が「日中」であり天候が「雪」であるときに適用される個別ルールＬ２が示されている。個別ルールＬ３の生成に用いられた車両データ２５のエントリ数は３００００個である。その他の個別ルールについても同様である。
　図１０の（ｂ）に示されるテーブルには、取得部１２が車両２等から取得した個別ルールのうちから、時刻が「日中」であり天候が「晴天」であるときに適用される個別ルール（つまり個別ルールＬ１、Ｌ４及びＬ８等）を抽出したものが示されている。
　図１０の（ｃ）に示されるテーブルには、取得部１２が車両２等から取得した個別ルールのうちから、時刻が「日中」であり天候が「雪」であるときに適用される個別ルール（つまり、個別ルールＬ２およびＬ９等）を抽出したものが示されている。
　図１１は、本実施の形態に係る生成部１３が個別ルールから統合ルールを生成する処理の第一例を示す説明図である。図１１に示される処理は、最大値と最小値とを規定した個別ルール（図７参照）から統合ルールを生成する処理である。
　図１１には、一例として図１０の（ｂ）に示されている個別ルールＬ１、Ｌ４及びＬ８が示されている。生成部１３は、各個別ルールに、その個別ルールの生成に用いられたデータ数を重みとして加味して足し合わせる、つまり重み付け加算することで統合ルールを生成する。具体的には、生成部１３は、各個別ルールにより正常範囲と判定される各値について１を、異常範囲と判定される各値についてゼロを、それぞれ重み付け加算することで、周期の各値について正常と判定される確率分布を導出する。生成部１３は、このように導出した確率分布を統合ルールＬＡとする。
　なお、個別ルールの生成に用いられる重みとして、上記のデータ数のほか、車両２の総走行距離、総走行時間、又は、総送信データ量なども用いられ得る。このように、個別ルールの生成に重みとして用いられる、上記のデータ数、若しくは、総走行距離、総走行時間又は総送信データ量は、個別ルールの信頼の大きさを示しているともいえることから、信頼度ともいう。
　また、個別ルールの生成に用いられる重みとして、車両２の総走行距離、総走行時間、又は、総送信データ量などに基づいて生成された情報も用いられ得る。このように、個別ルールの生成に重みとして用いられる上記情報も、信頼度ともいう。
　生成部１３が図１１に示される方法で生成した統合ルールは、図９の個別ルールと同様に平均値と標準偏差とによって表現され得る。生成部１３は、上記統合ルールの平均値および標準偏差を算出し、算出した平均値および標準偏差を統合ルールとしてもよい。提供部１４は、生成部１３によってこのように取得した統合ルールを車両２などに提供する。
　図１２は、本実施の形態に係る生成部１３が個別ルールから統合ルールを生成する処理の第二例を示す説明図である。図１２に示される処理は、分布（つまり平均値と標準偏差）によって規定された個別ルール（図９参照）から統合ルールを生成する処理である。
　図１２には、一例として図１０の（ｂ）に示されている個別ルールＬ１、Ｌ４及びＬ８が示されている。生成部１３は、各個別ルールに、その個別ルールの生成に用いられたデータ数を重みとして加味して足し合わせる、つまり重み付け加算することで統合ルールを生成する。生成部１３は、このように導出した確率分布を統合ルールＬＢとする。
　提供部１４は、生成部１３によってこのように取得した統合ルールを、図１１に示した場合と同様に車両２などに提供する。
　なお、生成部１３は、車両２が正常であるか又は異常であるかの二値の判別をするために、上記統合ルールを変形（二値化ともいう）したものを、上記統合ルールとしてもよい。
　図１３は、本実施の形態に係る統合ルールを二値化する方法の第一例を示す説明図である。
　図１３の（ａ）に示される分布は、図１１又は図１２に示される方法で導出された統合ルールである。生成部１３は、周期の値の正常範囲の最大値（Ｍａｘ）および最小値（Ｍｉｎ）を、統合ルールとして生成する。まず、生成部１３は、図１３の（ａ）の分布において、縦軸に閾値Ｔｈを設定する。そして、分布が閾値Ｔｈ以上である周期の値の範囲が正常と判定され、また、分布が閾値Ｔｈ以下である周期の値が異常と判定されるように、正常範囲の最大値および最小値を設定する。具体的には、生成部１３は、図１３の（ａ）に示されるグラフにおいて、分布に対応する曲線と、閾値Ｔｈに対応する直線との２つの交点のうちの小さい方の周期の値を正常範囲の最小値とし、大きい方の周期の値を正常範囲の最大値とする（図１３の（ｂ）参照）。
　このようにすることで、検知部２１は、複数の個別ルールを統合することでルールに基づく異常検知の精度を向上させることができる。
　なお、上述の説明では、統合ルールに関し、速度の分布または周期の分布の図を用いて正常か異常かの二値の判別をする例を示したが、正常か異常かの二値判別には限定されるわけではない。すなわち、統合ルールによる正常または異常の判別結果として、正常あるいは異常の確からしさを表す連続値または離散値を出力する構成であってもよい。例えば、異常度が、０～１の任意の値、または、０．１刻みで出力される関数で表現されてもよい。例えば、図９で３σの範囲内が正常、３σの範囲外が異常の二値の例を示しているが、１σ内であれば正常度９０％、２σ内であれば正常度８０％、３σ内であれば正常度７０％・・・のような値を出力してもよい。この場合、正常度（あるいは異常度）に応じて対応を変えることができる。このことは、個別ルールについても同様である。
　なお、図９等の分布図の縦軸は確率、確率密度、データ個数など、統合ルールや個別ルールの元となるデータに対する統計処理等に応じて任意に設定できる。
　（実施の形態２の変形例）
　本変形例において、複数の情報に基づいて正常または異常の判定をする方法を説明する。
　本変形例におけるサーバ１０は、例えば、操舵角と車速との２つの情報に基づいて正常または異常の判定をするための個別ルールを取得部１２によって複数取得し、取得した複数の個別ルールに基づいて、操舵角と車速とにより異常の判定をするための統合ルールを生成する。
　図１４は、本変形例に係る生成部１３が個別ルールから統合ルールを生成する処理の第三例を示す説明図である。図１４に示される処理は、２つの情報として操舵角と車速とを用いて規定した個別ルールから統合ルールを生成する処理である。なお、ここでは上記「２つの情報」を「情報の組」と表現する。
　図１４には、一例として図１０の（ｂ）に示されている個別ルールＬ１、Ｌ４及びＬ８が示されている。各個別ルールにおいて、操舵角と車速の情報の組が「正常」の文字があるハッチングの領域内にあるときに、その情報の組が正常と判定される。
　生成部１３は、各個別ルールに、その個別ルールが生成された車両２の総走行距離を重みとして加味して足し合わせる、つまり重み付け加算することで統合ルールを生成する。具体的には、生成部１３は、各個別ルールにより正常と判定される情報の組について１を、異常と判定される情報の組についてゼロを、それぞれ重み付け加算することで、情報の組それぞれについて正常と判定される２次元の確率分布を導出する。
　生成部１３は、このように導出した２次元の確率分布を統合ルールＬＣとする。なお、統合ルールＬＣの図示において、一例として確率分布が大きいほどより濃い色として表現されている。
　提供部１４は、生成部１３によってこのように取得した統合ルールを、図１１に示した場合と車両２などに提供する。
　なお、生成部１３は、実施の形態２における場合と同様に、車両２が正常であるか又は異常であるかの二値の判別をするために、上記統合ルールを変形（二値化ともいう）したものを、上記統合ルールとしてもよい。
　図１５は、本変形例に係る統合ルールを二値化する方法の第二例を示す説明図である。
　図１５の（ａ）に示される分布は、図１４に示される方法で導出された統合ルールである。
　生成部１３は、情報の組についての確率分布に閾値Ｔｈを設定する。そして、確率分布が閾値Ｔｈ以上である情報の組が正常と判定され、また、分布が閾値Ｔｈ以下である情報の組が異常と判定されるように、平面上に境界を設定する。具体的には、生成部１３は、図１５の（ａ）に示されるグラフにおいて、情報の組が正常と判定される領域と、情報の組が異常と判定される領域とを抽出し、それらの領域の境界を境界Ｂとする（図１５の（ｂ）参照）。なお、図１５の（ｂ）では、境界Ｂは直線として表現されているが、曲線であってもよい。
　このようにすることで、検知部２１は、複数の個別ルールを統合することでルールに基づく異常検知の精度を向上させることができる。
　以上のように、本実施の形態の情報処理装置であるサーバは、車両からの情報として、車両で生成された個別ルールを取得し、取得した個別ルールを統合することによって統合ルールとして生成する。よって、情報処理装置は、車両で生成された個別ルールを利用して、より容易に、ルールに基づく異常検知の精度を向上させることができる。
　また、サーバは、個別ルールとともに取得する信頼度を用いて、個別ルールを統合するときの各個別ルールの寄与の大きさを調整する。よって、情報処理装置は、複数の車両で生成された個別ルールを適切な寄与で利用しながら、より容易に、ルールに基づく異常検知の精度を向上させることができる。
　また、サーバは、個別ルールの生成に用いられたデータ数、車両の総走行距離、総走行時間、又は総送信データ量を信頼度として利用して、各個別ルールの寄与の大きさを調整する。個別ルールの生成に用いられたデータ数、車両の総走行距離、総走行時間、又は総送信データ量はいずれも、車両が長く利用されるほど、値が大きくなる情報である。このように、車両が従来保有している情報を信頼度に兼用するので、情報処理装置は、信頼度の算出のために新たな情報を生成する必要がない。よって、情報処理装置は、車両が従来保有している情報を兼用しながら、より容易に、ルールに基づく異常検知の精度を向上させることができる。
　また、サーバは、個別ルールの生成に用いられたデータ数、車両の総走行距離、総走行時間、又は総送信データ量に基づいて生成された信頼度を利用して、各個別ルールの寄与の大きさを調整する。個別ルールの生成に用いられたデータ数、車両の総走行距離、総走行時間、又は総送信データ量はいずれも、車両が長く利用されるほど、値が大きくなる情報である。このように、車両が従来保有している情報を信頼度に兼用するので、情報処理装置は、信頼度の算出のために新たな情報を生成する必要がない。よって、情報処理装置は、車両が従来保有している情報を兼用しながら、より容易に、ルールに基づく異常検知の精度を向上させることができる。
　なお、上記各実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵまたはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。ここで、上記各実施の形態の情報処理装置などを実現するソフトウェアは、次のようなプログラムである。
　すなわち、このプログラムは、コンピュータに、複数の車両それぞれの車載ネットワークに流れた通信フレームに関する情報を含む複数の情報を取得し、取得した前記複数の情報を用いて、前記複数の車両に適合するルールであって、前記車載ネットワークにおける異常検知処理のためのルールである統合ルールを生成し、生成した前記統合ルールを出力する情報処理方法を実行させるプログラムである。
　以上、一つまたは複数の態様に係る情報処理装置などについて、実施の形態に基づいて説明したが、本発明は、この実施の形態に限定されるものではない。本発明の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、一つまたは複数の態様の範囲内に含まれてもよい。
　本発明は、車載ネットワークにおいて不正な通信を異常として検知する処理装置に利用可能である。
　２、２Ａ、２Ｂ　　車両
　１０　　サーバ
　１１　　通信ＩＦ
　１２　　取得部
　１３　　生成部
　１４　　提供部
　２０　　通信部
　２１　　検知部
　２５　　車両データ
　２６、Ｌ１、Ｌ２、Ｌ３、Ｌ４、Ｌ８、Ｌ９　　個別ルール
　２７、ＬＡ、ＬＢ、ＬＣ　　統合ルール
　３０　　センサ
　３１、３２　　ＥＣＵ
　Ｂ　　境界
　Ｍ　　車載ネットワーク
　Ｎ　　ネットワーク

Claims (9)

  1. 　複数の車両それぞれの車載ネットワークに流れた通信フレームに関する情報を含む複数の情報を取得する取得部と、
    　前記取得部が取得した前記複数の情報を用いて、前記複数の車両に適合するルールであって、前記車載ネットワークにおける異常検知処理のためのルールである統合ルールを生成する生成部と、
    　前記生成部が生成した前記統合ルールを出力する出力部とを備える
    　情報処理装置。
  2. 　前記取得部は、
    　前記通信フレームが前記車載ネットワークに流れたときの前記複数の車両それぞれの状況を示す状況情報を、前記情報に対応付けて取得し、
    　前記生成部は、
    　前記取得部が取得した前記複数の情報のうち、前記取得部が取得した前記状況情報に対応付けられた複数の情報を用いて前記統合ルールを生成し、
    　前記出力部は、
    　前記統合ルールとともに前記状況情報を出力する
    　請求項１に記載の情報処理装置。
  3. 　前記取得部は、前記車載ネットワークに流れた通信フレームを示す通信データ、又は、前記車載ネットワークに接続されている車載機器のログデータを、前記情報として取得し、
    　前記生成部は、前記取得部が取得した前記通信データ又は前記ログデータが満たす条件を規定したルールを前記統合ルールとして生成する
    　請求項１又は２に記載の情報処理装置。
  4. 　前記取得部は、前記車載ネットワークに流れた通信フレームに基づいて生成された個別ルールを前記情報として取得し、
    　前記生成部は、前記取得部が取得した複数の前記個別ルールを統合したルールを前記統合ルールとして生成する
    　請求項１又は２に記載の情報処理装置。
  5. 　前記取得部は、前記個別ルールを含む前記情報を取得する際には、取得する前記個別ルールの信頼度を示す信頼度情報を、前記個別ルールとともに取得し、
    　前記生成部は、前記統合ルールを生成する際には、前記個別ルールとともに取得した前記信頼度情報により示される信頼度が大きい前記個別ルールほど、より優先的に加味した前記統合ルールを生成する
    　請求項４に記載の情報処理装置。
  6. 　前記信頼度情報は、前記個別ルールの生成に用いられたデータ数、又は、前記車両の総走行距離、総走行時間若しくは総送信データ量を含む
    　請求項５に記載の情報処理装置。
  7. 　前記信頼度情報は、前記個別ルールの生成に用いられたデータ数、又は、前記車両の総走行距離、総走行時間若しくは総送信データ量に基づいて生成される
    　請求項５に記載の情報処理装置。
  8. 　複数の車両それぞれの車載ネットワークに流れた通信フレームに関する情報を含む複数の情報を取得し、
    　取得した前記複数の情報を用いて、前記複数の車両に適合するルールであって、前記車載ネットワークにおける異常検知処理のためのルールである統合ルールを生成し、
    　生成した前記統合ルールを出力する
    　情報処理方法。
  9. 　請求項８に記載の情報処理方法をコンピュータに実行させるためのプログラム。
PCT/JP2020/039194 2019-11-01 2020-10-16 情報処理装置、情報処理方法、およびプログラム WO2021085196A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
DE112020005394.6T DE112020005394T5 (de) 2019-11-01 2020-10-16 Informationsverarbeitungsvorrichtung,informationsverarbeitungsverfahren, und programm
US17/724,039 US20220239686A1 (en) 2019-11-01 2022-04-19 Information processing device and information processing method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019-199672 2019-11-01
JP2019199672A JP7312965B2 (ja) 2019-11-01 2019-11-01 情報処理装置、情報処理方法、およびプログラム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/724,039 Continuation US20220239686A1 (en) 2019-11-01 2022-04-19 Information processing device and information processing method

Publications (1)

Publication Number Publication Date
WO2021085196A1 true WO2021085196A1 (ja) 2021-05-06

Family

ID=75713507

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/039194 WO2021085196A1 (ja) 2019-11-01 2020-10-16 情報処理装置、情報処理方法、およびプログラム

Country Status (4)

Country Link
US (1) US20220239686A1 (ja)
JP (1) JP7312965B2 (ja)
DE (1) DE112020005394T5 (ja)
WO (1) WO2021085196A1 (ja)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008219149A (ja) * 2007-02-28 2008-09-18 Nippon Telegr & Teleph Corp <Ntt> トラヒック制御システムおよびトラヒック制御方法
JP2017111796A (ja) * 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
US20180351980A1 (en) * 2017-05-30 2018-12-06 Argus Cyber Security Ltd System and method for providing fleet cyber-security
JP2019009617A (ja) * 2017-06-23 2019-01-17 株式会社デンソー 異常検知装置、異常検知システム、異常検知方法、異常検知プログラム及び記録媒体
JP2019029993A (ja) * 2017-07-26 2019-02-21 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 異常検知装置および異常検知方法

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10665040B2 (en) * 2010-08-27 2020-05-26 Zonar Systems, Inc. Method and apparatus for remote vehicle diagnosis
US10369942B2 (en) * 2014-01-06 2019-08-06 Argus Cyber Security Ltd. Hosted watchman
WO2016151566A1 (en) * 2015-03-26 2016-09-29 Tower-Sec Ltd Security system and methods for identification of in-vehicle attack originator
US10673880B1 (en) * 2016-09-26 2020-06-02 Splunk Inc. Anomaly detection to identify security threats
US10674359B2 (en) * 2016-10-25 2020-06-02 Samsung Electronics Co., Ltd. Method of authenticating external vehicle and vehicle capable of performing same
US10595175B2 (en) * 2017-06-23 2020-03-17 Veniam, Inc. Methods and systems for detecting anomalies and forecasting optimizations to improve smart city or region infrastructure management using networks of autonomous vehicles
US10553046B2 (en) * 2018-04-05 2020-02-04 GM Global Technology Operations LLC Vehicle prognostics and remedial response
EP3802229A4 (en) * 2018-05-25 2022-03-02 Securethings U.S., Inc. CYBERSECURITY ON A CONTROLLER ZONE NETWORK IN A VEHICLE
US10938783B2 (en) * 2018-07-26 2021-03-02 A10 Networks, Inc. Cluster-based determination of signatures for detection of anomalous data traffic
US11140182B2 (en) * 2019-01-11 2021-10-05 Optum, Inc. Predictive anomaly handling in a service provider system
JP7267847B2 (ja) 2019-06-12 2023-05-02 株式会社荏原製作所 研磨ヘッド、当該研磨ヘッドを備える研磨装置、および当該研磨装置を用いた研磨方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008219149A (ja) * 2007-02-28 2008-09-18 Nippon Telegr & Teleph Corp <Ntt> トラヒック制御システムおよびトラヒック制御方法
JP2017111796A (ja) * 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
US20180351980A1 (en) * 2017-05-30 2018-12-06 Argus Cyber Security Ltd System and method for providing fleet cyber-security
JP2019009617A (ja) * 2017-06-23 2019-01-17 株式会社デンソー 異常検知装置、異常検知システム、異常検知方法、異常検知プログラム及び記録媒体
JP2019029993A (ja) * 2017-07-26 2019-02-21 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 異常検知装置および異常検知方法

Also Published As

Publication number Publication date
JP2021072587A (ja) 2021-05-06
US20220239686A1 (en) 2022-07-28
JP7312965B2 (ja) 2023-07-24
DE112020005394T5 (de) 2022-08-11

Similar Documents

Publication Publication Date Title
US11748474B2 (en) Security system and methods for identification of in-vehicle attack originator
US10437992B2 (en) Anomaly detection for vehicular networks for intrusion and malfunction detection
CN106023586B (zh) 用于检测车辆交通模式中的异常的方法和装置
WO2018105330A1 (ja) 情報処理方法、情報処理システム、及びプログラム
Boddupalli et al. Resilient cooperative adaptive cruise control for autonomous vehicles using machine learning
CN106682906B (zh) 一种风险识别、业务处理方法和设备
US20210368007A1 (en) Equipment, data transmission method and program
WO2018168291A1 (ja) 情報処理方法、情報処理システム、及びプログラム
US11856006B2 (en) Abnormal communication detection apparatus, abnormal communication detection method and program
CN104899228A (zh) 一种发布网页资源的方法及装置
US9906545B1 (en) Systems and methods for identifying message payload bit fields in electronic communications
CN115292206B (zh) 软件漏洞检测方法、装置、电子设备及存储介质
CN110325410A (zh) 数据分析装置及程序
CN114172686B (zh) 车载can总线报文入侵检测方法、相关设备及计算机存储介质
WO2021085196A1 (ja) 情報処理装置、情報処理方法、およびプログラム
CN111709665B (zh) 车辆安全性的评估方法和装置
CN117093447A (zh) 物联网边缘设备异常检测方法、联邦学习系统及存储介质
JP7176564B2 (ja) 監視装置、および、監視方法
CN117391214A (zh) 模型训练方法、装置及相关设备
Hu et al. A multi-attack intrusion detection model based on Mosaic coded convolutional neural network and centralized encoding
Andreica et al. Blockchain integration for in-vehicle CAN bus intrusion detection systems with ISO/SAE 21434 compliant reporting
CN116457783A (zh) 异常检测方法、异常检测装置以及程序
Grammatikakis et al. DoS Detection on In-Vehicle Networks: Evaluation on an Experimental Embedded System Platform
CN112333038A (zh) 一种车辆网关检测方法及装置
WO2019215807A1 (ja) 監視装置、学習装置、監視方法、学習方法及び記憶媒体

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20883439

Country of ref document: EP

Kind code of ref document: A1

122 Ep: pct application non-entry in european phase

Ref document number: 20883439

Country of ref document: EP

Kind code of ref document: A1