WO2022085260A1 - 異常検知装置、異常検知方法及びプログラム - Google Patents

異常検知装置、異常検知方法及びプログラム Download PDF

Info

Publication number
WO2022085260A1
WO2022085260A1 PCT/JP2021/027124 JP2021027124W WO2022085260A1 WO 2022085260 A1 WO2022085260 A1 WO 2022085260A1 JP 2021027124 W JP2021027124 W JP 2021027124W WO 2022085260 A1 WO2022085260 A1 WO 2022085260A1
Authority
WO
WIPO (PCT)
Prior art keywords
abnormality
abnormality detection
heartbeat signal
detected
type
Prior art date
Application number
PCT/JP2021/027124
Other languages
English (en)
French (fr)
Inventor
薫 横田
崇之 藤井
稔久 中野
Original Assignee
パナソニックＩｐマネジメント株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニックＩｐマネジメント株式会社 filed Critical パナソニックＩｐマネジメント株式会社
Priority to JP2022556411A priority Critical patent/JP7296555B2/ja
Priority to DE112021005629.8T priority patent/DE112021005629T5/de
Publication of WO2022085260A1 publication Critical patent/WO2022085260A1/ja
Priority to US18/126,651 priority patent/US11841942B2/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action

Definitions

  • This disclosure relates to an abnormality detection device, an abnormality detection method, and a program for detecting an abnormality.
  • Patent Document 1 discloses an automobile safety system including a cyber watchman installed inside each of a plurality of vehicles and a cyber hub installed outside the vehicle.
  • the cyber watchman is connected to the in-vehicle communication network and acquires communication traffic data on the in-vehicle communication network.
  • Cyber Hub receives communication traffic data acquired by Cyber Watchman from Cyber Watchman via a communication network such as the Internet.
  • the cyber hub can aggregate communication traffic data from a plurality of vehicles and can acquire high-order information on the cyber attack of the vehicle.
  • the present disclosure provides an abnormality detection device or the like that can reduce the amount of communication data.
  • the abnormality detection device is an abnormality detection device that detects an abnormality in a moving body, and is a type determination unit that determines the type of the detected abnormality, a type of the abnormality detected last time, and this time detection. If there is no change, the abnormality detection log related to the abnormality detected this time is not transmitted, and if there is the change. It is equipped with an abnormality detection log transmission unit that transmits an abnormality detection log related to the abnormality detected this time.
  • the abnormality detection method is an abnormality detection method for detecting an abnormality in a moving body, in which the type of the detected abnormality is determined, and the type of the abnormality detected last time and the abnormality detected this time are detected. It is determined whether or not there is a change with the type of abnormality, and if there is no such change, the abnormality detection log related to the abnormality detected this time is not transmitted, and if there is the change, the abnormality related to the abnormality detected this time is not transmitted. Includes processing to send detection logs.
  • the program according to one aspect of the present disclosure is a program for causing a computer to execute the above-mentioned abnormality detection method.
  • the amount of communication data can be reduced.
  • FIG. 1 is a configuration diagram showing an example of an abnormality detection system according to an embodiment.
  • FIG. 2 is a diagram for explaining the transmission timing of the abnormality detection log in the comparative example.
  • FIG. 3 is a configuration diagram showing an example of the abnormality detection device according to the embodiment.
  • FIG. 4 is a flowchart showing an example of the operation of the abnormality detection device according to the embodiment.
  • FIG. 5 is a timing chart showing an example of transmission timing of an abnormality detection log and a heartbeat signal in the embodiment.
  • FIG. 6 is a flowchart showing another example of the operation of the abnormality detection device according to the embodiment.
  • FIG. 7 is a timing chart showing another example of the transmission timing of the abnormality detection log and the heartbeat signal in the embodiment.
  • FIG. 8 is a flowchart showing an example of an abnormality detection method according to another embodiment.
  • FIG. 1 is a configuration diagram showing an example of the abnormality detection system 1 in the embodiment.
  • the abnormality detection system 1 is a system including a plurality of abnormality detection devices 10 and an attack determination device 20, and determines an attack on a moving object.
  • the abnormality detection device 10 is a device that detects an abnormality in a network or device in a mobile body, which occurs when the network or device in the mobile body is attacked.
  • the network is an in-vehicle network in an automobile
  • the abnormality detection device 10 is mounted on the automobile to detect an abnormality in communication of the in-vehicle network.
  • the device is, for example, an ECU (Electronic Control Unit) in an automobile, and the abnormality detection device 10 is connected to the device or incorporated in the device to detect an abnormality in the operation of the device.
  • ECU Electronic Control Unit
  • a certain abnormality detection device 10 detects an abnormality in CAN (Control Area Network) bus traffic, and a certain abnormality detection device 10 detects an abnormality in Ethernet (registered trademark) bus traffic.
  • a certain abnormality detecting device 10 detects an abnormality in the operation of the ECU to which it is connected or incorporated.
  • the abnormality detection device 10 detects an abnormality, the abnormality detection device 10 generates an abnormality detection log related to the abnormality from the abnormality detection result.
  • the abnormality detection log includes the type of the detected abnormality, the information (identification information, etc.) of the abnormality detection device 10 that detected the abnormality, the detection time when the abnormality was detected, and the like.
  • the abnormality detection device 10 transmits the generated abnormality detection log to the attack determination device 20.
  • the attack determination device 20 is a device that aggregates abnormality detection logs transmitted from a plurality of abnormality detection devices 10. The attack determination device 20 determines an attack on the network by using the aggregated abnormality detection log.
  • the abnormality detection device 10 does not transmit all the generated abnormality detection logs to the attack determination device 20. This is because when all the generated abnormality detection logs are transmitted, the problem described in the following comparative example occurs.
  • FIG. 2 is a diagram for explaining the transmission timing of the abnormality detection log in the comparative example.
  • the horizontal axis is the time
  • the circled "A”, “B”, and “C” in the "abnormality detection result” line indicate that an abnormality of the types A, B, and C was detected.
  • “A”, “B” and “C” circled in the line of "abnormality detection log transmission” indicate that the abnormality detection log relating to the abnormality of type A, B and C has been transmitted.
  • the abnormality detection log is generated every time an abnormality is detected, and the abnormality detection log is transmitted each time.
  • a huge amount of abnormality detection log is transmitted from each abnormality detection device to the attack determination device 20, so that the amount of communication data becomes huge.
  • the abnormality detection device 10 of the present disclosure the amount of communication data can be reduced.
  • the abnormality detection device 10 capable of reducing the amount of communication data will be described.
  • FIG. 3 is a configuration diagram showing an example of the abnormality detection device 10 according to the embodiment.
  • the abnormality detection device 10 is a computer for detecting an abnormality in a moving body (here, an automobile).
  • the abnormality detection device 10 is mounted on an automobile or an ECU in the automobile, and monitors CAN bus traffic, Ethernet bus traffic, or the operation of the ECU. Further, the abnormality detection device 10 detects these abnormalities by monitoring them, and transmits the abnormality detection log to the attack determination device 20. Further, the abnormality detection device 10 has a function of transmitting a heartbeat signal to the attack determination device 20 for life and death monitoring.
  • the abnormality detection device 10 includes a processor, a memory, a communication interface, and the like.
  • the memory is a ROM (Read Only Memory), a RAM (Random Access Memory), or the like, and can store a program executed by the processor.
  • the abnormality detection device 10 includes a control unit 101, a monitoring target log acquisition unit 102, a type determination unit 103, a change determination temporary holding unit 104, a type change determination unit 105, an abnormality detection log transmission determination unit 106, and an abnormality detection log transmission unit 107.
  • the control unit 101, the type determination unit 103, the type change determination unit 105, the abnormality detection log transmission determination unit 106, the timer 108, and the heartbeat signal generation unit 110 are realized by a processor or the like that executes a program stored in the memory.
  • the monitored log acquisition unit 102, the abnormality detection log transmission unit 107, and the heartbeat signal transmission unit 111 are realized by a communication interface.
  • the change determination temporary holding unit 104 and the heartbeat signal temporary holding unit 109 are realized by a memory.
  • the memory in which the program is stored, the change determination temporary holding unit 104, and the heartbeat signal temporary holding unit 109 may be separate memories or one memory.
  • the abnormality detection device 10 may be a server connected so as to be able to communicate with an automobile or the like. Further, the components constituting the abnormality detection device 10 may be distributed and arranged on a plurality of servers, and the abnormality detection device 10 may be an abnormality detection system.
  • the control unit 101 includes a monitoring target log acquisition unit 102, a type determination unit 103, a change determination temporary holding unit 104, a type change determination unit 105, an abnormality detection log transmission determination unit 106, an abnormality detection log transmission unit 107, a timer 108, and a heart. It controls the beat signal temporary holding unit 109, the heartbeat signal generation unit 110, and the heartbeat signal transmission unit 111.
  • the monitoring target log acquisition unit 102 acquires the monitoring target log.
  • the monitoring target log acquisition unit 102 acquires a log of messages flowing through the CAN bus.
  • the monitoring target log acquisition unit 102 acquires the log of the message flowing to the Ethernet bus.
  • the monitoring target log acquisition unit 102 acquires the operation log of the ECU.
  • the type determination unit 103 detects an abnormality of the monitoring target based on the log of the monitoring target acquired by the monitoring target log acquisition unit 102, and determines the type of the detected abnormality.
  • the type determination unit 103 has, as the types of abnormalities, an abnormality in the communication volume of the network, an abnormality in the message flowing through the network (for example, an abnormality in the message ID included in the message), an abnormality in the operation of the device (for example, unauthorized data or data). Determine the type of file read / write, device authentication error).
  • the change determination temporary holding unit 104 temporarily holds the type of abnormality determined by the type determination unit 103.
  • the type change determination unit 105 determines whether or not there is a change between the type of the abnormality detected last time and the type of the abnormality detected this time. Specifically, the type change determination unit 105 compares the type of the previously detected abnormality held in the change determination temporary holding unit 104 with the type of the abnormality detected this time, and changes in the type of abnormality. Determine if it exists. After the determination, the type of the previously detected abnormality held in the change determination temporary holding unit 104 is deleted.
  • the abnormality detection log transmission determination unit 106 determines that the abnormality detection log related to the abnormality detected this time is not transmitted. As a result, the abnormality detection log transmission unit 107 does not transmit the abnormality detection log related to the abnormality detected this time. If there is a change between the type of the abnormality detected last time and the type of the abnormality detected this time, the abnormality detection log transmission determination unit 106 determines that the abnormality detection log related to the abnormality detected this time is transmitted. As a result, the abnormality detection log transmission unit 107 transmits the abnormality detection log related to the abnormality detected this time.
  • the timer 108 is a timer for the abnormality detection device 10 to periodically transmit a heartbeat signal, and the heartbeat signal is transmitted when the timer 108 times out after a certain period of time has elapsed. Then, the timer 108 is reset when the heartbeat signal is transmitted, and the heartbeat signal is transmitted when the timer 108 times out again after a certain period of time has elapsed. By repeating this, the heartbeat signal can be transmitted periodically.
  • the temporary holding unit 109 for a heartbeat signal is an example of a holding unit that holds an abnormality detection result.
  • the abnormality detection result held by the temporary holding unit 109 for the heartbeat signal includes information indicating that the abnormality is detected in a predetermined period until the heartbeat signal is transmitted.
  • the abnormality detection result held by the temporary holding unit 109 for the heartbeat signal includes the type of abnormality detected in a predetermined period until the heartbeat signal is transmitted.
  • the abnormality detection result held by the temporary holding unit 109 for the heartbeat signal includes both the information indicating that the abnormality was detected in the predetermined period and the type of the abnormality detected in the predetermined period. May be good.
  • the predetermined period is, for example, the period from the previous transmission of the heartbeat signal to the transmission of the heartbeat signal this time (in other words, the heartbeat cycle). That is, the abnormality detection result of the heartbeat cycle immediately before the heartbeat signal is transmitted this time is temporarily held in the heartbeat signal temporary holding unit 109, and when the heartbeat signal is transmitted this time, the heartbeat signal is temporarily held.
  • the abnormality detection result of the heartbeat cycle immediately before the heartbeat signal is transmitted this time is deleted.
  • the heartbeat signal generation unit 110 generates a heartbeat signal when the timer 108 times out.
  • the heartbeat signal transmission unit 111 periodically transmits a heartbeat signal. Specifically, the heartbeat signal transmission unit 111 transmits a heartbeat signal generated by the heartbeat signal generation unit 110 each time the timer 108 times out.
  • the heartbeat signal generation unit 110 detects an abnormality during a predetermined period until the heartbeat signal is transmitted, the abnormality included in the abnormality detection result held in the temporary holding unit 109 for the heartbeat signal is detected. Generates a heartbeat signal that contains information indicating that. As a result, the heartbeat signal transmission unit 111 transmits a heartbeat signal including information indicating that the abnormality included in the abnormality detection result held in the temporary holding unit 109 for the heartbeat signal has been detected. Alternatively, when the heartbeat signal generation unit 110 detects an abnormality during a predetermined period until the heartbeat signal is transmitted, the type of abnormality included in the abnormality detection result held in the temporary holding unit 109 for the heartbeat signal. Generates a heartbeat signal containing. As a result, the heartbeat signal transmission unit 111 transmits a heartbeat signal including the type of abnormality included in the abnormality detection result held in the temporary holding unit 109 for the heartbeat signal.
  • FIG. 4 is a flowchart showing an example of the operation of the abnormality detection device 10 in the embodiment.
  • the abnormality detection device 10 initializes (reset) the change determination temporary holding unit 104, the heartbeat signal temporary holding unit 109, and the timer 108 (step S101).
  • the abnormality detection device 10 determines whether or not an abnormality has been detected and whether or not it is the transmission timing of the heartbeat signal (step S102).
  • the type determination unit 103 detects an abnormality
  • the abnormality detection device 10 determines that the abnormality has been detected. Further, when the timer 108 times out, the abnormality detection device 10 determines that it is the transmission timing of the heartbeat signal.
  • step S102 If the abnormality detection device 10 has not detected an abnormality, or if it is not the heartbeat signal transmission timing (No in step S102), the step is until the abnormality is detected or until the heartbeat signal transmission timing is reached. The process in S102 is repeated.
  • the abnormality detection device 10 detects an abnormality (“abnormality detection” in step S102)
  • the abnormality detection result is temporarily stored in the change determination temporary holding unit 104 (step S103).
  • the abnormality detection result held in the change determination temporary holding unit 104 includes the type of the detected abnormality.
  • the abnormality detection device 10 determines whether or not there is a change between the type of the abnormality detected last time and the type of the abnormality detected this time (step S104). Specifically, the abnormality detection device 10 is held in the change determination temporary holding unit 104 and the type of abnormality included in the abnormality detection result of the previously detected abnormality held in the change determination temporary holding unit 104. The type of abnormality included in the abnormality detection result of the abnormality detected this time is compared, and it is determined whether or not the type of abnormality has changed between the previous time and this time.
  • the abnormality detection device 10 (abnormality detection log transmission unit 107) relates to the abnormality detected this time when there is a change between the type of the abnormality detected last time and the type of the abnormality detected this time (Yes in step S104).
  • the abnormality detection log is transmitted (step S105).
  • abnormality detection device 10 abnormality detection log transmission unit 107 is detected this time when there is no change between the type of the abnormality detected last time and the type of the abnormality detected this time (No in step S104).
  • the abnormality detection log related to the abnormality is not transmitted (step S106).
  • the abnormality detection device 10 reads the abnormality detection result in a predetermined period (step S107).
  • the temporary holding unit 109 for a heartbeat signal holds an abnormality detection result including information indicating that an abnormality has been detected in a predetermined period, or an abnormality detection result including an abnormality type detected in a predetermined period. To. Therefore, the abnormality detection device 10 can read the abnormality detection result in a predetermined period from the heartbeat signal temporary holding unit 109.
  • the abnormality detection device 10 (heartbeat signal generation unit 110) generates a heartbeat signal (step S108).
  • the abnormality detection device 10 determines the information indicating that the abnormality has been detected or the type of the abnormality included in the abnormality detection result held in the temporary holding unit 109 for the heartbeat signal. Generates a heartbeat signal that contains.
  • the abnormality detection device 10 transmits the generated heartbeat signal (step S109).
  • the abnormality detection device 10 is determined by the heartbeat signal temporary holding unit 109.
  • the abnormality detection result in the period is deleted (step S110).
  • the abnormality detection device 10 resets the timer 108 for periodically transmitting the heartbeat signal (step S111). As a result, the abnormality detection device 10 can transmit the heartbeat signal when the next transmission timing of the heartbeat signal is reached.
  • FIG. 5 is a timing chart showing an example of transmission timing of an abnormality detection log and a heartbeat signal in the embodiment.
  • a heartbeat signal including a type of abnormality detected in a predetermined period is transmitted.
  • the heartbeat signal is periodically transmitted at the times ta, tb, tc, td and te.
  • the time ta and tb, the time tb and tc, the time tc and td, and the time td and te are heartbeat cycles and correspond to a predetermined period.
  • the timer 108 times out, a heartbeat signal is transmitted, and the timer 108 is reset. No abnormality was detected during the predetermined period (not shown) until the heartbeat signal was transmitted at time ta, and as shown by "None" in FIG. 5, the heartbeat signal transmitted at time ta Does not include the type of anomaly.
  • the type determination unit 103 detects an abnormality and determines that the type of the abnormality is type A. It is assumed that no abnormality is detected before the time t1, and the type of the previously detected abnormality is not held in the change determination temporary holding unit 104. In this case, the type change determination unit 105 determines that there is a change between the type of the abnormality detected last time and the type of the abnormality detected this time. Since it is determined that there is a change between the type of the abnormality detected last time and the type of the abnormality detected this time, the abnormality detection log transmission unit 107 transmits the abnormality detection log. Here, an abnormality detection log related to an abnormality of type A is transmitted. Since the abnormality was not detected before the time t1, the attack determination device 20 that received the abnormality detection log can determine that the attack was started at the time t1 by receiving the abnormality detection log at the time t1. ..
  • the type determination unit 103 detects an abnormality and determines that the type of the abnormality is type A. Since the type of the abnormality detected last time is the type A, the type change determination unit 105 determines that there is no change between the type of the abnormality detected last time and the type of the abnormality detected this time. The abnormality detection log transmission unit 107 does not transmit the abnormality detection log because it is determined that there is no change between the type of the abnormality detected last time and the type of the abnormality detected this time.
  • the type determination unit 103 detects an abnormality and determines that the type of the abnormality is type B. Since the type of the abnormality detected last time is the type A, the type change determination unit 105 determines that there is a change between the type of the abnormality detected last time and the type of the abnormality detected this time. Since it is determined that there is a change between the type of the abnormality detected last time and the type of the abnormality detected this time, the abnormality detection log transmission unit 107 transmits the abnormality detection log. Here, an abnormality detection log related to an abnormality of type B is transmitted.
  • a heartbeat signal is transmitted, and the timer 108 is reset.
  • Anomalies of types A and B are detected during a predetermined period (between time ta and tb) until the heartbeat signal is transmitted at time tb, and the heartbeat signal transmitted at time tb has an abnormality type A. And B are included.
  • the attack determination device 20 that has received the heartbeat signal can recognize that the abnormalities of the types A and B have been detected between the times ta and tb.
  • the type determination unit 103 detects an abnormality and determines that the type of the abnormality is type B. Since the type of the abnormality detected last time is the type B, the type change determination unit 105 determines that there is no change between the type of the abnormality detected last time and the type of the abnormality detected this time. The abnormality detection log transmission unit 107 does not transmit the abnormality detection log because it is determined that there is no change between the type of the abnormality detected last time and the type of the abnormality detected this time.
  • the type determination unit 103 detects an abnormality and determines that the type of the abnormality is type C. Since the type of the abnormality detected last time is the type B, the type change determination unit 105 determines that there is a change between the type of the abnormality detected last time and the type of the abnormality detected this time. Since it is determined that there is a change between the type of the abnormality detected last time and the type of the abnormality detected this time, the abnormality detection log transmission unit 107 transmits the abnormality detection log. Here, an abnormality detection log related to an abnormality of type C is transmitted.
  • the type determination unit 103 does not detect an abnormality.
  • the type change determination unit 105 determines that there is no change between the type of the abnormality detected last time and the type of the abnormality detected this time.
  • the abnormality detection log transmission unit 107 does not transmit the abnormality detection log because it is determined that there is no change between the type of the abnormality detected last time and the type of the abnormality detected this time.
  • a heartbeat signal is transmitted, and the timer 108 is reset.
  • Anomalies of types B and C are detected during a predetermined period (between time tb and tk) until the heartbeat signal is transmitted at time ct, and the heartbeat signal transmitted at time ct has an abnormality type B. And C are included.
  • the attack determination device 20 that has received the heartbeat signal can recognize that the abnormalities of the types B and C have been detected between the times tb and tk.
  • the type determination unit 103 detects an abnormality and determines that the type of the abnormality is type C. Since the type of the abnormality detected last time is the type C of the abnormality detected at time t5, the type change determination unit 105 changes between the type of the abnormality detected last time and the type of the abnormality detected this time. Judge that there is no.
  • the abnormality detection log transmission unit 107 does not transmit the abnormality detection log because it is determined that there is no change between the type of the abnormality detected last time and the type of the abnormality detected this time.
  • the type determination unit 103 does not detect an abnormality.
  • the type change determination unit 105 determines that there is no change between the type of the abnormality detected last time and the type of the abnormality detected this time.
  • the abnormality detection log transmission unit 107 does not transmit the abnormality detection log because it is determined that there is no change between the type of the abnormality detected last time and the type of the abnormality detected this time.
  • the timer 108 times out, a heartbeat signal is transmitted, and the timer 108 is reset.
  • An abnormality of type C is detected during a predetermined period (between time ct and td) until the heartbeat signal is transmitted at time td, and the heartbeat signal transmitted at time td includes the abnormality type C. Is done.
  • the attack determination device 20 that has received the heartbeat signal can recognize that an abnormality of type C has been detected between the time ct and dt.
  • the attack determination device 20 that has received the heartbeat signal can recognize that no abnormality is detected between the times td and te, and can recognize that the time td (specifically, any of the times t7, t8, and t9). ), It can be determined that the attack has ended.
  • FIG. 6 is a flowchart showing another example of the operation of the abnormality detection device 10 in the embodiment.
  • the same processing as described in FIG. 4 is designated by the same reference numerals and the description thereof will be omitted.
  • the abnormality detection device 10 When the abnormality detection log is transmitted in step S105, the abnormality detection device 10 erases the abnormality detection result in a predetermined period (step S201) and resets the timer 108 for transmitting the heartbeat signal (step S202). ..
  • the predetermined period is the period from the reset of the timer 108 to the transmission of the heartbeat signal.
  • the timer 108 is reset when the abnormality detection log is transmitted and when the heartbeat signal is transmitted. Therefore, the abnormality detection device 10 (heartbeat signal transmission unit 111) transmits a heartbeat signal when the abnormality detection log is not transmitted for a certain period of time after the timer 108 is reset. In other words, if the abnormality detection log is transmitted before a certain period of time has elapsed after the timer 108 is reset, the abnormality detection device 10 does not transmit the heartbeat signal at the timing when the heartbeat signal is originally transmitted. Since the heartbeat signal is not originally transmitted at the timing when the heartbeat signal is transmitted, the abnormality detection result in the predetermined period in step S201 becomes unnecessary and is erased.
  • the abnormality detection log and the transmission timing of the heartbeat signal in this example will be specifically described with reference to FIG. 7.
  • FIG. 7 is a timing chart showing another example of the transmission timing of the abnormality detection log and the heartbeat signal in the embodiment.
  • a heartbeat signal including a type of abnormality detected in a predetermined period is transmitted will be described. Further, here, the points different from those in FIG. 5 will be mainly described.
  • FIG. 5 shows an example in which the heartbeat signal is transmitted every heartbeat cycle, but in FIG. 7, it can be seen that the heartbeat signal is not transmitted periodically.
  • timer 108 At time ta, the timer 108 times out, a heartbeat signal is transmitted, and the timer 108 is reset.
  • the abnormality detection log After the heartbeat signal is transmitted at time ta, and before a certain time (specifically, the heartbeat cycle) elapses, the abnormality detection log is transmitted at time t3. Therefore, at time t3, the timer 108 is reset. Therefore, the heartbeat signal is not transmitted at the timing when the heartbeat signal is originally transmitted.
  • the heartbeat signal is used for life-and-death monitoring of the abnormality detection device 10, but by transmitting the abnormality detection log, the abnormality detection log can be used for life-and-death monitoring instead of the heartbeat signal.
  • the abnormality detection log is transmitted at the time t5, and the timer 108 is reset at the time t5.
  • the abnormality detection log is not transmitted for a certain period of time (heartbeat cycle), and at time tb, the timer 108 times out and the heartbeat signal is transmitted, and the timer 108 is reset.
  • An abnormality of type C is detected during a predetermined period (between time t5 and tb) until the heartbeat signal is transmitted at time tb, and the heartbeat signal transmitted at time tb includes the abnormality type C. Is done.
  • the attack determination device 20 that has received the heartbeat signal can recognize that an abnormality of type C has been detected between time t5 (that is, the timing at which the abnormality detection log relating to the abnormality of type C last time was transmitted) and tb. ..
  • the timer 108 times out, a heartbeat signal is transmitted, and the timer 108 is reset. No abnormality was detected during the predetermined period (between time tb and tk) until the heartbeat signal was transmitted at time ct, and the heartbeat signal transmitted at time ct does not include the type of abnormality. ..
  • the attack determination device 20 that has received the heartbeat signal can recognize that no abnormality is detected between the times tb and tc, and can recognize that the time tb (specifically, any one of the times t6, t7, and t8). It can be determined that the attack has ended at (time).
  • the abnormality detection device 10 is a device that detects an abnormality in a moving body (for example, an automobile), and has a type determination unit 103 that determines the type of the detected abnormality, a type of the abnormality detected last time, and an abnormality detected this time.
  • the type change determination unit 105 that determines whether or not there is a change between the types and the type, and if there is no such change, the abnormality detection log related to the abnormality detected this time is not transmitted, and if there is the change, it is detected this time.
  • An abnormality detection log transmission unit 107 for transmitting an abnormality detection log related to the detected abnormality is provided.
  • anomaly detection logs related to the detected anomaly are transmitted, but only when there is a change between the type of anomaly detected last time and the type of anomaly detected this time, it is detected this time.
  • Anomaly detection logs related to abnormalities are transmitted, so the amount of communication data can be reduced.
  • the state of abnormality detection specifically, what type of abnormality was detected in what period, etc.
  • the storage capacity for storing the abnormality detection log transmitted from the abnormality detection device 10 for example, the storage capacity of the attack determination device 20
  • the storage capacity for storing the abnormality detection log transmitted from the abnormality detection device 10 for example, the storage capacity of the attack determination device 20
  • the abnormality detection device 10 further includes a heartbeat signal transmission unit 111 that periodically transmits a heartbeat signal, and information indicating that an abnormality has been detected in a predetermined period until the heartbeat signal is transmitted. It may be provided with a temporary holding unit 109 for a heartbeat signal that holds the abnormality detection result including the heartbeat signal.
  • the heartbeat signal transmission unit 111 includes information indicating that the abnormality included in the abnormality detection result held in the temporary holding unit 109 for the heartbeat signal has been detected. A signal may be transmitted.
  • the anomaly detection log will not be sent thereafter, so it is difficult to determine whether the attack that caused the anomaly has ended or continued. ..
  • a heartbeat signal including information indicating that the abnormality is detected in the predetermined period is transmitted. Therefore, if the transmitted heartbeat signal contains information indicating that an abnormality has been detected, it can be determined that the attack is continuing, and the transmitted heartbeat signal has an abnormality. If the information indicating that the attack has been detected is not included, it can be determined that the attack has ended.
  • the abnormality detection device 10 further includes an abnormality detection unit 111 that periodically transmits a heartbeat signal, and an abnormality detection including a type of abnormality detected in a predetermined period until the heartbeat signal is transmitted.
  • a temporary holding unit 109 for a heartbeat signal that holds the result may be provided.
  • the heartbeat signal transmission unit 111 may transmit a heartbeat signal including the type of abnormality included in the abnormality detection result held in the temporary holding unit 109 for the heartbeat signal. good.
  • the anomaly detection log will not be sent thereafter, so it is difficult to determine whether the attack that caused the anomaly has ended or continued. ..
  • a heartbeat signal including the type of the abnormality detected in the predetermined period is transmitted. Therefore, if the transmitted heartbeat signal contains an abnormal type, it can be determined that the attack is continuing, and the transmitted heartbeat signal does not include the abnormal type. In that case, it can be determined that the attack has ended. Further, since the heartbeat signal transmitted periodically includes the type of abnormality, it is possible to recognize what type of abnormality has occurred at each timing when the heartbeat signal is transmitted.
  • the abnormality detection result held in the temporary holding unit 109 for the heartbeat signal may be deleted.
  • the abnormality detection result held in the temporary holding unit 109 for the heartbeat signal in a predetermined period until the heartbeat signal is transmitted becomes unnecessary when the heartbeat signal is transmitted. Therefore, the unnecessary abnormality detection result is deleted from the heartbeat signal temporary holding unit 109, and the abnormality detection result in a predetermined period until the next heartbeat signal is transmitted is sent to the heartbeat signal temporary holding unit 109. Can be retained.
  • the predetermined period may be the period from the previous transmission of the heartbeat signal to the transmission of the heartbeat signal this time.
  • the abnormality detection device 10 may further include a timer 108 that is reset when an abnormality detection log is transmitted and when a heartbeat signal is transmitted.
  • the heartbeat signal transmission unit 111 may transmit a heartbeat signal when the abnormality detection log is not transmitted for a certain period of time after the timer 108 is reset.
  • the heartbeat signal is used for alive monitoring of the abnormality detection device 10, but an abnormality detection log can also be used for alive monitoring instead of the heartbeat signal. Therefore, the timer 108 for transmitting the heartbeat signal is also reset when the abnormality detection log is transmitted. As a result, if the abnormality detection log is transmitted within a certain period of time after the timer 108 is reset, the abnormality detection log can be used to monitor the life and death of the abnormality detection device 10 even if the heartbeat signal is not transmitted. Become. Therefore, the number of times the heartbeat signal is transmitted can be reduced, and the amount of communication data can be further reduced.
  • the abnormality detection result held in the temporary holding unit 109 for the heartbeat signal may be deleted.
  • the timer 108 for transmitting the heartbeat signal is reset, and the abnormality held in the temporary holding unit 109 for the heartbeat signal during a predetermined period until the heartbeat signal is transmitted.
  • the detection result becomes unnecessary. Therefore, the unnecessary abnormality detection result is deleted from the heartbeat signal temporary holding unit 109, and the abnormality detection result in a predetermined period until the next heartbeat signal is transmitted is sent to the heartbeat signal temporary holding unit 109. Can be retained.
  • the predetermined period may be the period from the reset of the timer 108 to the transmission of the heartbeat signal.
  • information indicating that an abnormality was detected in the period from the reset of the timer 108 to the transmission of the heartbeat signal, or the heartbeat signal including the type of abnormality in the period is transmitted. Can be done.
  • the abnormality detecting device 10 includes components for transmitting a heartbeat signal, such as a heartbeat signal transmitting unit 111 and a heartbeat signal temporary holding unit 109, has been described. It does not have to have a component for transmitting a signal.
  • security measures for an automobile for example, an in-vehicle network mounted on an automobile
  • security measures for an automobile for example, an in-vehicle network mounted on an automobile
  • the scope of the present disclosure is not limited to the automobile.
  • the present disclosure may be applied not only to automobiles but also to mobility of construction machinery, agricultural machinery, ships, railways, airplanes, and the like.
  • the present disclosure can be realized not only as an abnormality detection device 10, but also as an abnormality detection method including steps (processes) performed by each component constituting the abnormality detection device 10.
  • FIG. 8 is a flowchart showing an example of an abnormality detection method in another embodiment.
  • the abnormality detection method is a method of detecting an abnormality in a moving body, determining the type of the detected abnormality (step S11), and detecting the type of the previously detected abnormality and this time. It is determined whether or not there is a change with the type of abnormality (step S12), and if there is no such change (No in step S12), the abnormality detection log related to the abnormality detected this time is not transmitted (step S13). ), When there is the change (Yes in step S12), the process of transmitting the abnormality detection log regarding the abnormality detected this time (step S14) is included.
  • the step in the abnormality detection method may be executed by a computer (computer system).
  • the present disclosure can be realized as a program for causing a computer to execute the steps included in the abnormality detection method.
  • the present disclosure can be realized as a non-temporary computer-readable recording medium such as a CD-ROM in which the program is recorded.
  • each step is executed by executing the program using hardware resources such as a computer CPU, memory, and input / output circuit. .. That is, each step is executed by the CPU acquiring data from the memory or the input / output circuit or the like and performing an operation, or outputting the operation result to the memory or the input / output circuit or the like.
  • hardware resources such as a computer CPU, memory, and input / output circuit. .. That is, each step is executed by the CPU acquiring data from the memory or the input / output circuit or the like and performing an operation, or outputting the operation result to the memory or the input / output circuit or the like.
  • each component included in the abnormality detection device 10 of the above embodiment may be realized as a dedicated or general-purpose circuit.
  • each component included in the abnormality detection device 10 of the above embodiment may be realized as an LSI (Large Scale Integration) which is an integrated circuit (IC: Integrated Circuit).
  • LSI Large Scale Integration
  • IC integrated circuit
  • the integrated circuit is not limited to the LSI, and may be realized by a dedicated circuit or a general-purpose processor.
  • a programmable FPGA (Field Programmable Gate Array) or a reconfigurable processor in which the connection and settings of circuit cells inside the LSI can be reconfigured may be used.
  • the present disclosure can be applied to, for example, a device for detecting an abnormality in an in-vehicle network mounted on an automobile.
  • Anomaly detection device 20 Attack judgment device 101 Control unit 102 Monitoring target log acquisition unit 103 Type judgment unit 104 Temporary holding unit for change judgment 105 Type change judgment unit 106 Abnormality detection log transmission judgment unit 107 Abnormality detection log transmission unit 108 Timer 109 Heart Temporary holding unit for beat signal 110 Heartbeat signal generation unit 111 Heartbeat signal transmission unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Debugging And Monitoring (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Maintenance And Management Of Digital Transmission (AREA)

Abstract

異常検知装置（１０）は、移動体における異常を検知する装置であって、検知された異常の種別を判定する種別判定部（１０３）と、前回検知された異常の種別と今回検知された異常の種別との間に変化があるか否かを判定する種別変化判定部（１０５）と、当該変化がない場合、今回検知された異常に関する異常検知ログを送信せず、当該変化がある場合、今回検知された異常に関する異常検知ログを送信する異常検知ログ送信部（１０７）と、を備える。

Description

異常検知装置、異常検知方法及びプログラム
　本開示は、異常を検知する異常検知装置、異常検知方法及びプログラムに関する。
　特許文献１には、複数の車両の各々の車内に設置されたサイバーウォッチマンと、車外に設置されたサイバーハブとを備える自動車安全システムが開示されている。サイバーウォッチマンは、車載通信ネットワークに接続され、車載通信ネットワーク上の通信トラフィックデータを取得する。サイバーハブは、例えばインターネットなどの通信ネットワークを介して、サイバーウォッチマンからサイバーウォッチマンが取得した通信トラフィックデータを受信する。これにより、サイバーハブは、複数の車両から通信トラフィックデータを集約することができ、車両のサイバー攻撃に対する高次の情報を取得することができる。
特許第６３８２７２４号公報
　しかしながら、上記従来技術では、サイバーハブは、サイバーウォッチマンから膨大なデータを受信するため、通信データ量が膨大になる場合がある。
　そこで、本開示は、通信データ量を削減できる異常検知装置等を提供する。
　本開示の一態様に係る異常検知装置は、移動体における異常を検知する異常検知装置であって、検知された異常の種別を判定する種別判定部と、前回検知された異常の種別と今回検知された異常の種別との間に変化があるか否かを判定する種別変化判定部と、前記変化がない場合、今回検知された異常に関する異常検知ログを送信せず、前記変化がある場合、今回検知された異常に関する異常検知ログを送信する異常検知ログ送信部と、を備える。
　また、本開示の一態様に係る異常検知方法は、移動体における異常を検知する異常検知方法であって、検知された異常の種別を判定し、前回検知された異常の種別と今回検知された異常の種別との間に変化があるか否かを判定し、前記変化がない場合、今回検知された異常に関する異常検知ログを送信せず、前記変化がある場合、今回検知された異常に関する異常検知ログを送信する処理を含む。
　また、本開示の一態様に係るプログラムは、上記の異常検知方法をコンピュータに実行させるためのプログラムである。
　本開示の一態様に係る異常検知装置等によれば、通信データ量を削減できる。
図１は、実施の形態における異常検知システムの一例を示す構成図である。 図２は、比較例における異常検知ログの送信タイミングを説明するための図である。 図３は、実施の形態における異常検知装置の一例を示す構成図である。 図４は、実施の形態における異常検知装置の動作の一例を示すフローチャートである。 図５は、実施の形態における異常検知ログ及びハートビート信号の送信タイミングの一例を示すタイミングチャートである。 図６は、実施の形態における異常検知装置の動作の他の一例を示すフローチャートである。 図７は、実施の形態における異常検知ログ及びハートビート信号の送信タイミングの他の一例を示すタイミングチャートである。 図８は、その他の実施の形態における異常検知方法の一例を示すフローチャートである。
　（実施の形態）
　以下、実施の形態における異常検知装置について図面を参照しながら説明する。
　［異常検知システムの構成］
　まず、実施の形態における異常検知装置が適用された異常検知システムについて、図１を用いて説明する。
　図１は、実施の形態における異常検知システム１の一例を示す構成図である。
　異常検知システム１は、複数の異常検知装置１０と攻撃判定装置２０とを備えるシステムであり、移動体への攻撃を判定する。
　異常検知装置１０は、移動体におけるネットワークや機器が攻撃されたときに発生する、移動体におけるネットワーク及び機器の異常を検知する装置である。例えば、ネットワークは自動車における車載ネットワークであり、異常検知装置１０は自動車に搭載され、車載ネットワークの通信の異常を検知する。また、機器は例えば自動車内のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）であり、異常検知装置１０は機器に接続若しくは機器内に組み込まれており、機器の動作の異常を検知する。例えば、複数の異常検知装置１０のうち、ある異常検知装置１０は、ＣＡＮ（Ｃｏｎｔｒｏｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）バストラフィックの異常を検知し、ある異常検知装置１０は、Ｅｔｈｅｒｎｅｔ（登録商標）バストラフィックの異常を検知し、ある異常検知装置１０は、自身が接続されている、若しくは、組み込まれているＥＣＵの動作の異常を検知する。異常検知装置１０は、異常を検知した場合、異常検知結果から当該異常に関する異常検知ログを生成する。異常検知ログには、検知された異常の種別、当該異常を検知した異常検知装置１０の情報（識別情報等）及び当該異常を検知した検知時刻等が含まれる。異常検知装置１０は、生成した異常検知ログを攻撃判定装置２０に送信する。
　攻撃判定装置２０は、複数の異常検知装置１０から送信される異常検知ログを集約する装置である。攻撃判定装置２０は、集約した異常検知ログを用いて、ネットワークへの攻撃についての判定を行う。
　本開示では、異常検知装置１０は、生成した全ての異常検知ログを攻撃判定装置２０に送信しない。生成した全ての異常検知ログが送信される場合、以下の比較例で説明する問題が生じるためである。
　［比較例］
　図２は、比較例における異常検知ログの送信タイミングを説明するための図である。図２において、横軸は時刻であり、「異常検知結果」の行において丸で囲った「Ａ」、「Ｂ」及び「Ｃ」は、種別Ａ、Ｂ及びＣの異常が検知されたことを示し、「異常検知ログ送信」の行において丸で囲った「Ａ」、「Ｂ」及び「Ｃ」は、種別Ａ、Ｂ及びＣの異常に関する異常検知ログが送信されたことを示す。
　図２に示されるように、比較例では、異常が検知されるごとに異常検知ログが生成され、その都度、異常検知ログが送信されていることがわかる。比較例では、異常が検知されるごとに各異常検知装置から膨大な異常検知ログが攻撃判定装置２０に送信されるため、通信データ量が膨大になる。これに対して、本開示の異常検知装置１０によれば、通信データ量を削減できる。以下、通信データ量を削減できる異常検知装置１０について説明する。
　［異常検知装置の構成］
　図３は、実施の形態における異常検知装置１０の一例を示す構成図である。
　異常検知装置１０は、移動体（ここでは自動車）における異常を検知するためのコンピュータである。例えば、異常検知装置１０は、自動車或いは自動車内のＥＣＵに搭載され、ＣＡＮバストラフィック、Ｅｔｈｅｒｎｅｔバストラフィック又はＥＣＵの動作を監視する。また、異常検知装置１０は、これらを監視することで、これらの異常を検知し、異常検知ログを攻撃判定装置２０へ送信する。また、異常検知装置１０は、死活監視のためにハートビート信号を攻撃判定装置２０へ送信する機能を有する。
　異常検知装置１０は、プロセッサ、メモリ及び通信インタフェース等を含む。メモリは、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）及びＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）等であり、プロセッサにより実行されるプログラムを記憶することができる。異常検知装置１０は、制御部１０１、監視対象ログ取得部１０２、種別判定部１０３、変化判定用一時保持部１０４、種別変化判定部１０５、異常検知ログ送信判定部１０６、異常検知ログ送信部１０７、タイマー１０８、ハートビート信号用一時保持部１０９、ハートビート信号生成部１１０及びハートビート信号送信部１１１を備える。制御部１０１、種別判定部１０３、種別変化判定部１０５、異常検知ログ送信判定部１０６、タイマー１０８及びハートビート信号生成部１１０は、メモリに格納されたプログラムを実行するプロセッサ等によって実現される。監視対象ログ取得部１０２、異常検知ログ送信部１０７及びハートビート信号送信部１１１は、通信インタフェースによって実現される。変化判定用一時保持部１０４及びハートビート信号用一時保持部１０９は、メモリによって実現される。プログラムが記憶されるメモリ、変化判定用一時保持部１０４及びハートビート信号用一時保持部１０９は、それぞれ別のメモリであってもよいし、１つのメモリであってもよい。なお、異常検知装置１０は、自動車等と通信可能に接続されたサーバであってもよい。また、異常検知装置１０を構成する構成要素は、複数のサーバに分散して配置されていてもよく、異常検知装置１０は異常検知システムであってもよい。
　制御部１０１は、監視対象ログ取得部１０２、種別判定部１０３、変化判定用一時保持部１０４、種別変化判定部１０５、異常検知ログ送信判定部１０６、異常検知ログ送信部１０７、タイマー１０８、ハートビート信号用一時保持部１０９、ハートビート信号生成部１１０及びハートビート信号送信部１１１を制御する。
　監視対象ログ取得部１０２は、監視対象のログを取得する。異常検知装置１０の監視対象がＣＡＮバストラフィックの場合、監視対象ログ取得部１０２は、ＣＡＮバスに流れるメッセージのログを取得する。異常検知装置１０の監視対象がＥｔｈｅｒｎｅｔバストラフィックの場合、監視対象ログ取得部１０２は、Ｅｔｈｅｒｎｅｔバスに流れるメッセージのログを取得する。異常検知装置１０の監視対象がＥＣＵ動作の場合、監視対象ログ取得部１０２は、ＥＣＵの動作ログを取得する。
　種別判定部１０３は、監視対象ログ取得部１０２によって取得された監視対象のログに基づいて、監視対象の異常を検知し、検知された異常の種別を判定する。種別判定部１０３は、異常の種別として、ネットワークの通信量の異常、ネットワークを流れるメッセージの異常（例えば、メッセージに含まれるメッセージＩＤの異常）、機器の動作異常（例えば、許可されていないデータやファイルへの読み書き、機器認証エラー）の種別を判定する。
　変化判定用一時保持部１０４は、種別判定部１０３によって判定された異常の種別を一時的に保持する。
　種別変化判定部１０５は、前回検知された異常の種別と今回検知された異常の種別との間に変化があるか否かを判定する。具体的には、種別変化判定部１０５は、変化判定用一時保持部１０４に保持された前回検知された異常の種別と、今回検知された異常の種別とを比較し、異常の種別に変化があるか否かを判定する。なお、当該判定後に、変化判定用一時保持部１０４に保持されていた前回検知された異常の種別は消去される。
　異常検知ログ送信判定部１０６は、前回検知された異常の種別と今回検知された異常の種別との間に変化がない場合、今回検知された異常に関する異常検知ログを送信しないと判定する。これにより、異常検知ログ送信部１０７は、今回検知された異常に関する異常検知ログを送信しない。異常検知ログ送信判定部１０６は、前回検知された異常の種別と今回検知された異常の種別との間に変化がある場合、今回検知された異常に関する異常検知ログを送信すると判定する。これにより、異常検知ログ送信部１０７は、今回検知された異常に関する異常検知ログを送信する。
　タイマー１０８は、異常検知装置１０がハートビート信号を定期的に送信するためのタイマーであり、一定時間経過してタイマー１０８がタイムアウトしたときにハートビート信号が送信される。そして、ハートビート信号が送信されたときにタイマー１０８はリセットされ、再度一定時間経過してタイマー１０８がタイムアウトしたときにハートビート信号が送信される。これが繰り返されることで、ハートビート信号を定期的に送信することができる。
　ハートビート信号用一時保持部１０９は、異常検知結果を保持する保持部の一例である。ハートビート信号用一時保持部１０９が保持する異常検知結果は、ハートビート信号が送信されるまでの所定の期間に異常が検知されたことを示す情報を含む。或いは、ハートビート信号用一時保持部１０９が保持する異常検知結果は、ハートビート信号が送信されるまでの所定の期間に検知された異常の種別を含む。なお、ハートビート信号用一時保持部１０９が保持する異常検知結果は、所定の期間に異常が検知されたことを示す情報、及び、所定の期間に検知された異常の種別の両方を含んでいてもよい。ハートビート信号が送信される際に、ハートビート信号用一時保持部１０９に保持された異常検知結果が消去される。所定の期間は、例えば、前回ハートビート信号が送信されてから今回ハートビート信号が送信されるまでの期間（言い換えるとハートビート周期）である。すなわち、今回ハートビート信号が送信される直前のハートビート周期の異常検知結果がハートビート信号用一時保持部１０９に一時的に保持され、今回ハートビート信号が送信されると、ハートビート信号用一時保持部１０９に保持されている今回ハートビート信号が送信される直前のハートビート周期の異常検知結果が消去される。
　ハートビート信号生成部１１０は、タイマー１０８がタイムアウトしたときにハートビート信号を生成する。
　ハートビート信号送信部１１１は、ハートビート信号を定期的に送信する。具体的には、ハートビート信号送信部１１１は、タイマー１０８がタイムアウトするごとにハートビート信号生成部１１０によって生成されるハートビート信号を送信する。
　ハートビート信号生成部１１０は、ハートビート信号を送信するまでの所定の期間に異常が検知された場合、ハートビート信号用一時保持部１０９に保持された異常検知結果に含まれる異常が検知されたことを示す情報を含むハートビート信号を生成する。これにより、ハートビート信号送信部１１１は、ハートビート信号用一時保持部１０９に保持された異常検知結果に含まれる異常が検知されたことを示す情報を含むハートビート信号を送信する。或いは、ハートビート信号生成部１１０は、ハートビート信号を送信するまでの所定の期間に異常が検知された場合、ハートビート信号用一時保持部１０９に保持された異常検知結果に含まれる異常の種別を含むハートビート信号を生成する。これにより、ハートビート信号送信部１１１は、ハートビート信号用一時保持部１０９に保持された異常検知結果に含まれる異常の種別を含むハートビート信号を送信する。
　［異常検知装置の動作の一例］
　次に、異常検知装置１０の動作の一例について、図４を用いて説明する。
　図４は、実施の形態における異常検知装置１０の動作の一例を示すフローチャートである。
　まず、異常検知装置１０は、変化判定用一時保持部１０４、ハートビート信号用一時保持部１０９、及び、タイマー１０８の初期化（リセット）を行う（ステップＳ１０１）。
　次に、異常検知装置１０は、異常を検知したか否か、ハートビート信号の送信タイミングであるか否かを判定する（ステップＳ１０２）。異常検知装置１０は、種別判定部１０３が異常を検知した場合、異常を検知したと判定する。また、異常検知装置１０は、タイマー１０８がタイムアウトした場合、ハートビート信号の送信タイミングであると判定する。
　異常検知装置１０は、異常を検知していない場合、或いは、ハートビート信号の送信タイミングでない場合（ステップＳ１０２でＮｏ）、異常を検知するまで、或いは、ハートビート信号の送信タイミングとなるまで、ステップＳ１０２での処理を繰り返す。
　異常検知装置１０（種別判定部１０３）は、異常を検知した場合（ステップＳ１０２で「異常検知」）、異常検知結果を変化判定用一時保持部１０４に一時的に保管する（ステップＳ１０３）。変化判定用一時保持部１０４に保持される異常検知結果には、検知された異常の種別が含まれる。
　次に、異常検知装置１０（種別変化判定部１０５）は、前回検知された異常の種別と今回検知された異常の種別との間に変化があるか否かを判定する（ステップＳ１０４）。具体的には、異常検知装置１０は、変化判定用一時保持部１０４に保持された前回検知された異常の異常検知結果に含まれる異常の種別と、変化判定用一時保持部１０４に保持された今回検知された異常の異常検知結果に含まれる異常の種別とを比較し、前回と今回とで異常の種別が変化しているか否かを判定する。
　異常検知装置１０（異常検知ログ送信部１０７）は、前回検知された異常の種別と今回検知された異常の種別との間に変化がある場合（ステップＳ１０４でＹｅｓ）、今回検知された異常に関する異常検知ログを送信する（ステップＳ１０５）。
　一方で、異常検知装置１０（異常検知ログ送信部１０７）は、前回検知された異常の種別と今回検知された異常の種別との間に変化がない場合（ステップＳ１０４でＮｏ）、今回検知された異常に関する異常検知ログを送信しない（ステップＳ１０６）。
　このように、検知された異常に関する異常検知ログが全て送信されるのではなく、前回検知された異常の種別と今回検知された異常の種別との間に変化がある場合のみ、今回検知された異常に関する異常検知ログが送信される。
　次に、異常検知装置１０は、ハートビート信号の送信タイミングとなった場合（ステップＳ１０２で「ハートビートタイミング」）、所定の期間における異常検知結果を読み取る（ステップＳ１０７）。ハートビート信号用一時保持部１０９には、所定の期間に異常が検知されたことを示す情報を含む異常検知結果、又は、所定の期間に検知された異常の種別を含む異常検知結果が保持される。このため、異常検知装置１０は、ハートビート信号用一時保持部１０９から所定の期間における異常検知結果を読み取ることができる。
　次に、異常検知装置１０（ハートビート信号生成部１１０）は、ハートビート信号を生成する（ステップＳ１０８）。異常検知装置１０は、所定の期間に異常が検知された場合、ハートビート信号用一時保持部１０９に保持された異常検知結果に含まれる、異常が検知されたことを示す情報又は異常の種別を含むハートビート信号を生成する。
　次に、異常検知装置１０（ハートビート信号送信部１１１）は、生成されたハートビート信号を送信する（ステップＳ１０９）。
　次に、異常検知装置１０は、所定の期間に異常が検知され、ハートビート信号用一時保持部１０９に異常検知結果が保持されている場合には、ハートビート信号用一時保持部１０９から所定の期間における異常検知結果を消去する（ステップＳ１１０）。
　そして、異常検知装置１０は、ハートビート信号を定期的に送信するためのタイマー１０８をリセットする（ステップＳ１１１）。これにより、異常検知装置１０は、ハートビート信号の次の送信タイミングとなった場合に、ハートビート信号を送信することができる。
　このように、ハートビート信号を送信するまでの所定の期間に異常が検知された場合、所定の期間に異常が検知されたことを示す情報、又は、所定の期間に検知された異常の種別を含むハートビート信号が送信される。
　次に、異常検知ログ及びハートビート信号の送信タイミングについて、図５を用いて具体的に説明する。
　図５は、実施の形態における異常検知ログ及びハートビート信号の送信タイミングの一例を示すタイミングチャートである。なお、ここでは、所定の期間に検知された異常の種別を含むハートビート信号が送信される例について説明する。
　図５に示されるように、時刻ｔａ、ｔｂ、ｔｃ、ｔｄ及びｔｅにハートビート信号が定期的に送信されていることがわかる。時刻ｔａ及びｔｂ間、時刻ｔｂ及びｔｃ間、時刻ｔｃ及びｔｄ間、並びに、時刻ｔｄ及びｔｅ間は、ハートビート周期であり、所定の期間に対応する。
　時刻ｔａにおいて、タイマー１０８がタイムアウトしてハートビート信号が送信され、タイマー１０８がリセットされる。時刻ｔａにハートビート信号が送信されるまでの所定の期間（図示せず）に異常が検知されておらず、図５において「Ｎｏｎｅ」と示すように、時刻ｔａに送信されるハートビート信号には異常の種別が含まれていない。
　時刻ｔ１において、種別判定部１０３は、異常を検知し、当該異常の種別を種別Ａと判定する。なお、時刻ｔ１以前に異常が検知されておらず、変化判定用一時保持部１０４には、前回検知された異常の種別が保持されていないとする。この場合には、種別変化判定部１０５は、前回検知された異常の種別と今回検知された異常の種別との間に変化があると判定する。異常検知ログ送信部１０７は、前回検知された異常の種別と今回検知された異常の種別との間に変化があると判定されたため、異常検知ログを送信する。ここでは、種別Ａの異常に関する異常検知ログが送信される。時刻ｔ１以前に異常が検知されていなかったため、当該異常検知ログを受信した攻撃判定装置２０は、時刻ｔ１に異常検知ログを受信することで、時刻ｔ１に攻撃が開始されたと判定することができる。
　時刻ｔ２において、種別判定部１０３は、異常を検知し、当該異常の種別を種別Ａと判定する。前回検知された異常の種別が、種別Ａであるため、種別変化判定部１０５は、前回検知された異常の種別と今回検知された異常の種別との間に変化がないと判定する。異常検知ログ送信部１０７は、前回検知された異常の種別と今回検知された異常の種別との間に変化がないと判定されたため、異常検知ログを送信しない。
　時刻ｔ３において、種別判定部１０３は、異常を検知し、当該異常の種別を種別Ｂと判定する。前回検知された異常の種別が、種別Ａであるため、種別変化判定部１０５は、前回検知された異常の種別と今回検知された異常の種別との間に変化があると判定する。異常検知ログ送信部１０７は、前回検知された異常の種別と今回検知された異常の種別との間に変化があると判定されたため、異常検知ログを送信する。ここでは、種別Ｂの異常に関する異常検知ログが送信される。
　時刻ｔｂにおいて、タイマー１０８がタイムアウトしてハートビート信号が送信され、タイマー１０８がリセットされる。時刻ｔｂにハートビート信号が送信されるまでの所定の期間（時刻ｔａ及びｔｂ間）に種別Ａ及びＢの異常が検知されており、時刻ｔｂに送信されるハートビート信号には異常の種別Ａ及びＢが含まれる。ハートビート信号を受信した攻撃判定装置２０は、時刻ｔａ及びｔｂ間に種別Ａ及びＢの異常が検知されたことを認識することができる。
　時刻ｔ４において、種別判定部１０３は、異常を検知し、当該異常の種別を種別Ｂと判定する。前回検知された異常の種別が、種別Ｂであるため、種別変化判定部１０５は、前回検知された異常の種別と今回検知された異常の種別との間に変化がないと判定する。異常検知ログ送信部１０７は、前回検知された異常の種別と今回検知された異常の種別との間に変化がないと判定されたため、異常検知ログを送信しない。
　時刻ｔ５において、種別判定部１０３は、異常を検知し、当該異常の種別を種別Ｃと判定する。前回検知された異常の種別が、種別Ｂであるため、種別変化判定部１０５は、前回検知された異常の種別と今回検知された異常の種別との間に変化があると判定する。異常検知ログ送信部１０７は、前回検知された異常の種別と今回検知された異常の種別との間に変化があると判定されたため、異常検知ログを送信する。ここでは、種別Ｃの異常に関する異常検知ログが送信される。
　時刻ｔ６において、種別判定部１０３は、異常を検知しない。この場合には、種別変化判定部１０５は、前回検知された異常の種別と今回検知された異常の種別との間に変化がないと判定する。異常検知ログ送信部１０７は、前回検知された異常の種別と今回検知された異常の種別との間に変化がないと判定されたため、異常検知ログを送信しない。
　時刻ｔｃにおいて、タイマー１０８がタイムアウトしてハートビート信号が送信され、タイマー１０８がリセットされる。時刻ｔｃにハートビート信号が送信されるまでの所定の期間（時刻ｔｂ及びｔｃ間）に種別Ｂ及びＣの異常が検知されており、時刻ｔｃに送信されるハートビート信号には異常の種別Ｂ及びＣが含まれる。ハートビート信号を受信した攻撃判定装置２０は、時刻ｔｂ及びｔｃ間に種別Ｂ及びＣの異常が検知されたことを認識することができる。
　時刻ｔ７において、種別判定部１０３は、異常を検知し、当該異常の種別を種別Ｃと判定する。前回検知された異常の種別が、時刻ｔ５において検知された異常の種別Ｃであるため、種別変化判定部１０５は、前回検知された異常の種別と今回検知された異常の種別との間に変化がないと判定する。異常検知ログ送信部１０７は、前回検知された異常の種別と今回検知された異常の種別との間に変化がないと判定されたため、異常検知ログを送信しない。
　時刻ｔ８、ｔ９、ｔ１０、ｔ１１、ｔ１２及びｔ１３では、種別判定部１０３は、異常を検知しない。この場合には、種別変化判定部１０５は、前回検知された異常の種別と今回検知された異常の種別との間に変化がないと判定する。異常検知ログ送信部１０７は、前回検知された異常の種別と今回検知された異常の種別との間に変化がないと判定されたため、異常検知ログを送信しない。
　時刻ｔｄにおいて、タイマー１０８がタイムアウトしてハートビート信号が送信され、タイマー１０８がリセットされる。時刻ｔｄにハートビート信号が送信されるまでの所定の期間（時刻ｔｃ及びｔｄ間）に種別Ｃの異常が検知されており、時刻ｔｄに送信されるハートビート信号には異常の種別Ｃが含まれる。ハートビート信号を受信した攻撃判定装置２０は、時刻ｔｃ及びｔｄ間に種別Ｃの異常が検知されたことを認識することができる。
　時刻ｔｅにおいて、タイマー１０８がタイムアウトしてハートビート信号が送信され、タイマー１０８がリセットされる。時刻ｔｅにハートビート信号が送信されるまでの所定の期間（時刻ｔｄ及びｔｅ間）に異常が検知されておらず、時刻ｔｅに送信されるハートビート信号には異常の種別が含まれていない。ハートビート信号を受信した攻撃判定装置２０は、時刻ｔｄ及びｔｅ間に異常が検知されなかったことを認識することができ、時刻ｔｄ（具体的には、時刻ｔ７、ｔ８及びｔ９のいずれか時刻）に攻撃が終了したと判定することができる。
　［異常検知装置の動作の他の一例］
　次に、異常検知装置１０の動作の他の一例について、図６を用いて説明する。
　図６は、実施の形態における異常検知装置１０の動作の他の一例を示すフローチャートである。なお、図４において説明した処理と同じものについては同じ符号を付して説明を省略する。
　ステップＳ１０５において異常検知ログが送信された場合、異常検知装置１０は、所定の期間における異常検知結果を消去し（ステップＳ２０１）、ハートビート信号の送信のためのタイマー１０８をリセットする（ステップＳ２０２）。本例では、所定の期間は、タイマー１０８がリセットされてからハートビート信号が送信されるまでの期間である。
　本例では、タイマー１０８は、異常検知ログが送信されたとき、及び、ハートビート信号が送信されたときにリセットされる。このため、異常検知装置１０（ハートビート信号送信部１１１）は、タイマー１０８がリセットされてから一定時間異常検知ログが送信されなかった場合にハートビート信号を送信する。言い換えると、異常検知装置１０は、タイマー１０８がリセットされてから一定時間経過する前に異常検知ログを送信した場合には、本来ハートビート信号を送信するタイミングにハートビート信号を送信しない。本来ハートビート信号が送信されるタイミングにハートビート信号が送信されないため、ステップＳ２０１において所定の期間における異常検知結果も不要となり消去される。
　本例における異常検知ログ及びハートビート信号の送信タイミングについて、図７を用いて具体的に説明する。
　図７は、実施の形態における異常検知ログ及びハートビート信号の送信タイミングの他の一例を示すタイミングチャートである。なお、ここでは、所定の期間に検知された異常の種別を含むハートビート信号が送信される例について説明する。また、ここでは、図５と異なる点を中心に説明する。
　図５では、ハートビート信号は、ハートビート周期ごとに送信される例を示したが、図７では、ハートビート信号は周期的に送信されないことがわかる。
　時刻ｔａにおいて、タイマー１０８がタイムアウトしてハートビート信号が送信され、タイマー１０８がリセットされる。
　時刻ｔａにおいてハートビート信号が送信された後、一定時間（具体的にはハートビート周期）が経過する前に、時刻ｔ３において、異常検知ログが送信される。このため、時刻ｔ３において、タイマー１０８がリセットされる。したがって、本来ハートビート信号が送信されるタイミングにハートビート信号が送信されない。例えば、ハートビート信号は、異常検知装置１０の死活監視のために用いられるが、異常検知ログが送信されることで、当該異常検知ログをハートビート信号の代わりに死活監視に用いることができる。
　時刻ｔ３にタイマー１０８がリセットされてから一定時間（ハートビート周期）経過する前に、時刻ｔ５において、異常検知ログが送信され、時刻ｔ５において、タイマー１０８がリセットされる。
　時刻ｔ５にタイマー１０８がリセットされてから一定時間（ハートビート周期）異常検知ログが送信されず、時刻ｔｂにおいて、タイマー１０８がタイムアウトしてハートビート信号が送信され、タイマー１０８がリセットされる。時刻ｔｂにハートビート信号が送信されるまでの所定の期間（時刻ｔ５及びｔｂ間）に種別Ｃの異常が検知されており、時刻ｔｂに送信されるハートビート信号には異常の種別Ｃが含まれる。ハートビート信号を受信した攻撃判定装置２０は、時刻ｔ５（すなわち前回種別Ｃの異常に関する異常検知ログが送信されたタイミング）及びｔｂ間に種別Ｃの異常が検知されたことを認識することができる。
　時刻ｔｃにおいて、タイマー１０８がタイムアウトしてハートビート信号が送信され、タイマー１０８がリセットされる。時刻ｔｃにハートビート信号が送信されるまでの所定の期間（時刻ｔｂ及びｔｃ間）に異常が検知されておらず、時刻ｔｃに送信されるハートビート信号には異常の種別が含まれていない。ハートビート信号を受信した攻撃判定装置２０は、時刻ｔｂ及びｔｃ間に異常が検知されなかったことを認識することができ、時刻ｔｂ（具体的には、時刻ｔ６、ｔ７及びｔ８のいずれかの時刻）に攻撃が終了したと判定することができる。
　［まとめ］
　異常検知装置１０は、移動体（例えば自動車）における異常を検知する装置であって、検知された異常の種別を判定する種別判定部１０３と、前回検知された異常の種別と今回検知された異常の種別との間に変化があるか否かを判定する種別変化判定部１０５と、当該変化がない場合、今回検知された異常に関する異常検知ログを送信せず、当該変化がある場合、今回検知された異常に関する異常検知ログを送信する異常検知ログ送信部１０７と、を備える。
　これによれば、検知された異常に関する異常検知ログが全て送信されるのではなく、前回検知された異常の種別と今回検知された異常の種別との間に変化がある場合のみ、今回検知された異常に関する異常検知ログが送信される、このため、通信データ量を削減できる。なお、異常の種別に変化があるときの異常検知ログから異常検知の状態（具体的には、どの期間にどのような種別の異常が検知されていたか等）を再現することができる。また、異常検知ログについての通信データ量が削減されるため、異常検知装置１０から送信された異常検知ログを記憶するストレージ容量（例えば攻撃判定装置２０のストレージ容量）を削減できる。
　例えば、異常検知装置１０は、さらに、ハートビート信号を定期的に送信するハートビート信号送信部１１１と、ハートビート信号が送信されるまでの所定の期間に異常が検知されたことを示す情報を含む異常検知結果を保持するハートビート信号用一時保持部１０９と、を備えていてもよい。ハートビート信号送信部１１１は、所定の期間に異常が検知された場合、ハートビート信号用一時保持部１０９に保持された異常検知結果に含まれる異常が検知されたことを示す情報を含むハートビート信号を送信してもよい。
　最後に異常検知ログが送信されてから異常の種別に変化がない場合、以降異常検知ログが送信されないため、異常を発生させた攻撃が終了したのか、継続しているのかを判定することが難しい。これに対して、ハートビート信号を送信するまでの所定の期間に異常が検知された場合、所定の期間に異常が検知されたことを示す情報を含むハートビート信号が送信される。このため、送信されたハートビート信号に異常が検知されたことを示す情報が含まれている場合には、攻撃が継続していると判定することができ、送信されたハートビート信号に異常が検知されたことを示す情報が含まれていない場合には、攻撃が終了したと判定することができる。
　例えば、異常検知装置１０は、さらに、ハートビート信号を定期的に送信するハートビート信号送信部１１１と、ハートビート信号が送信されるまでの所定の期間に検知された異常の種別を含む異常検知結果を保持するハートビート信号用一時保持部１０９と、を備えていてもよい。ハートビート信号送信部１１１は、所定の期間に異常が検知された場合、ハートビート信号用一時保持部１０９に保持された異常検知結果に含まれる異常の種別を含むハートビート信号を送信してもよい。
　最後に異常検知ログが送信されてから異常の種別に変化がない場合、以降異常検知ログが送信されないため、異常を発生させた攻撃が終了したのか、継続しているのかを判定することが難しい。これに対して、ハートビート信号を送信するまでの所定の期間に異常が検知された場合、所定の期間に検知された異常の種別を含むハートビート信号が送信される。このため、送信されたハートビート信号に異常の種別が含まれている場合には、攻撃が継続していると判定することができ、送信されたハートビート信号に異常の種別が含まれていない場合には、攻撃が終了したと判定することができる。また、定期的に送信されるハートビート信号に異常の種別が含まれるため、ハートビート信号が送信されるタイミングごとにどのような種別の異常が発生したかを認識することができる。
　例えば、ハートビート信号が送信される際に、ハートビート信号用一時保持部１０９に保持された異常検知結果が消去されてもよい。
　ハートビート信号用一時保持部１０９に保持された、ハートビート信号が送信されるまでの所定の期間における異常検知結果は、当該ハートビート信号が送信されたときに不要となる。このため、不要な異常検知結果をハートビート信号用一時保持部１０９から削除して、次のハートビート信号が送信されるまでの所定の期間における異常検知結果をハートビート信号用一時保持部１０９に保持することができる。
　例えば、所定の期間は、前回ハートビート信号が送信されてから今回ハートビート信号が送信されるまでの期間であってもよい。
　これによれば、直前のハートビート周期において異常が検知されたことを示す情報、又は、直前のハートビート周期における異常の種別を含むハートビート信号を送信することができる。
　例えば、異常検知装置１０は、さらに、異常検知ログが送信されたとき、及び、ハートビート信号が送信されたときにリセットされるタイマー１０８を備えていてもよい。ハートビート信号送信部１１１は、タイマー１０８がリセットされてから一定時間異常検知ログが送信されなかった場合にハートビート信号を送信してもよい。
　ハートビート信号は、異常検知装置１０の死活監視のために用いられるが、ハートビート信号の代わりに異常検知ログを死活監視のために用いることもできる。そこで、ハートビート信号を送信するためのタイマー１０８が、異常検知ログが送信されたときにもリセットされる。これにより、タイマー１０８がリセットされてから一定時間経過するまでに異常検知ログが送信された場合にはハートビート信号が送信されなくても、異常検知ログによって異常検知装置１０の死活監視が可能となる。したがって、ハートビート信号の送信回数の削減が可能となり、通信データ量のさらなる削減が可能となる。
　例えば、異常検知ログが送信される際に、ハートビート信号用一時保持部１０９に保持された異常検知結果が消去されてもよい。
　異常検知ログが送信されたときには、ハートビート信号を送信するためのタイマー１０８がリセットされ、ハートビート信号用一時保持部１０９に保持された、ハートビート信号が送信されるまでの所定の期間における異常検知結果が不要となる。このため、不要な異常検知結果をハートビート信号用一時保持部１０９から削除して、次のハートビート信号が送信されるまでの所定の期間における異常検知結果をハートビート信号用一時保持部１０９に保持することができる。
　例えば、所定の期間は、タイマー１０８がリセットされてからハートビート信号が送信されるまでの期間であってもよい。
　これによれば、タイマー１０８がリセットされてからハートビート信号が送信されるまでの期間において異常が検知されたことを示す情報、又は、当該期間における異常の種別を含むハートビート信号を送信することができる。
　（その他の実施の形態）
　以上のように、本開示に係る技術の例示として実施の形態を説明した。しかしながら、本開示に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本開示の一実施の形態に含まれる。
　例えば、上記実施の形態では、異常検知装置１０がハートビート信号送信部１１１及びハートビート信号用一時保持部１０９等、ハートビート信号の送信のための構成要素を備える例について説明したが、ハートビート信号の送信のための構成要素を備えていなくてもよい。
　例えば、上記実施の形態では、移動体として自動車（例えば自動車に搭載される車載ネットワーク）におけるセキュリティ対策について説明したが、本開示の適用範囲は自動車に限らない。例えば、本開示を、自動車に限らず、建機、農機、船舶、鉄道、飛行機などのモビリティにも適用してもよい。
　なお、本開示は、異常検知装置１０として実現できるだけでなく、異常検知装置１０を構成する各構成要素が行うステップ（処理）を含む異常検知方法として実現できる。
　図８は、その他の実施の形態における異常検知方法の一例を示すフローチャートである。
　異常検知方法は、図８に示されるように、移動体における異常を検知する方法であって、検知された異常の種別を判定し（ステップＳ１１）、前回検知された異常の種別と今回検知された異常の種別との間に変化があるか否かを判定し（ステップＳ１２）、当該変化がない場合（ステップＳ１２でＮｏ）、今回検知された異常に関する異常検知ログを送信せず（ステップＳ１３）、当該変化がある場合（ステップＳ１２でＹｅｓ）、今回検知された異常に関する異常検知ログを送信する（ステップＳ１４）処理を含む。
　例えば、異常検知方法におけるステップは、コンピュータ（コンピュータシステム）によって実行されてもよい。そして、本開示は、異常検知方法に含まれるステップを、コンピュータに実行させるためのプログラムとして実現できる。
　さらに、本開示は、そのプログラムを記録したＣＤ－ＲＯＭ等である非一時的なコンピュータ読み取り可能な記録媒体として実現できる。
　例えば、本開示が、プログラム（ソフトウェア）で実現される場合には、コンピュータのＣＰＵ、メモリ及び入出力回路等のハードウェア資源を利用してプログラムが実行されることによって、各ステップが実行される。つまり、ＣＰＵがデータをメモリ又は入出力回路等から取得して演算したり、演算結果をメモリ又は入出力回路等に出力したりすることによって、各ステップが実行される。
　また、上記実施の形態の異常検知装置１０に含まれる各構成要素は、専用又は汎用の回路として実現されてもよい。
　また、上記実施の形態の異常検知装置１０に含まれる各構成要素は、集積回路（ＩＣ：Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）であるＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ）として実現されてもよい。
　また、集積回路はＬＳＩに限られず、専用回路又は汎用プロセッサで実現されてもよい。プログラム可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）、又は、ＬＳＩ内部の回路セルの接続及び設定が再構成可能なリコンフィギュラブル・プロセッサが、利用されてもよい。
　さらに、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて、異常検知装置１０に含まれる各構成要素の集積回路化が行われてもよい。
　その他、実施の形態に対して当業者が思いつく各種変形を施して得られる形態、本開示の趣旨を逸脱しない範囲で各実施の形態における構成要素及び機能を任意に組み合わせることで実現される形態も本開示に含まれる。
　本開示は、例えば自動車に搭載される車載ネットワーク等における異常を検知する装置に適用できる。
　１０　異常検知装置
　２０　攻撃判定装置
　１０１　制御部
　１０２　監視対象ログ取得部
　１０３　種別判定部
　１０４　変化判定用一時保持部
　１０５　種別変化判定部
　１０６　異常検知ログ送信判定部
　１０７　異常検知ログ送信部
　１０８　タイマー
　１０９　ハートビート信号用一時保持部
　１１０　ハートビート信号生成部
　１１１　ハートビート信号送信部

Claims (10)

  1. 　移動体における異常を検知する異常検知装置であって、
    　検知された異常の種別を判定する種別判定部と、
    　前回検知された異常の種別と今回検知された異常の種別との間に変化があるか否かを判定する種別変化判定部と、
    　前記変化がない場合、今回検知された異常に関する異常検知ログを送信せず、前記変化がある場合、今回検知された異常に関する異常検知ログを送信する異常検知ログ送信部と、を備える、
    　異常検知装置。
  2. 　さらに、
    　ハートビート信号を定期的に送信するハートビート信号送信部と、
    　ハートビート信号が送信されるまでの所定の期間に異常が検知されたことを示す情報を含む異常検知結果を保持する保持部と、を備え、
    　前記ハートビート信号送信部は、前記所定の期間に異常が検知された場合、前記保持部に保持された異常検知結果に含まれる異常が検知されたことを示す情報を含むハートビート信号を送信する、
    　請求項１に記載の異常検知装置。
  3. 　さらに、
    　ハートビート信号を定期的に送信するハートビート信号送信部と、
    　ハートビート信号が送信されるまでの所定の期間に検知された異常の種別を含む異常検知結果を保持する保持部と、を備え、
    　前記ハートビート信号送信部は、前記所定の期間に異常が検知された場合、前記保持部に保持された異常検知結果に含まれる異常の種別を含むハートビート信号を送信する、
    　請求項１又は２に記載の異常検知装置。
  4. 　ハートビート信号が送信される際に、前記保持部に保持された異常検知結果が消去される、
    　請求項２又は３に記載の異常検知装置。
  5. 　前記所定の期間は、前回ハートビート信号が送信されてから今回ハートビート信号が送信されるまでの期間である、
    　請求項２～４のいずれか１項に記載の異常検知装置。
  6. 　さらに、異常検知ログが送信されたとき、及び、ハートビート信号が送信されたときにリセットされるタイマーを備え、
    　前記ハートビート信号送信部は、前記タイマーがリセットされてから一定時間異常検知ログが送信されなかった場合にハートビート信号を送信する、
    　請求項２～５のいずれか１項に記載の異常検知装置。
  7. 　異常検知ログが送信される際に、前記保持部に保持された異常検知結果が消去される、
    　請求項６に記載の異常検知装置。
  8. 　前記所定の期間は、前記タイマーがリセットされてからハートビート信号が送信されるまでの期間である、
    　請求項６又は７に記載の異常検知装置。
  9. 　移動体における異常を検知する異常検知方法であって、
    　検知された異常の種別を判定し、
    　前回検知された異常の種別と今回検知された異常の種別との間に変化があるか否かを判定し、
    　前記変化がない場合、今回検知された異常に関する異常検知ログを送信せず、前記変化がある場合、今回検知された異常に関する異常検知ログを送信する、
    　異常検知方法。
  10. 　請求項９に記載の異常検知方法をコンピュータに実行させるためのプログラム。
PCT/JP2021/027124 2020-10-22 2021-07-20 異常検知装置、異常検知方法及びプログラム WO2022085260A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2022556411A JP7296555B2 (ja) 2020-10-22 2021-07-20 異常検知装置、異常検知方法及びプログラム
DE112021005629.8T DE112021005629T5 (de) 2020-10-22 2021-07-20 Anomalieerfassungsvorrichtung, anomalieerfassungsverfahren und programm
US18/126,651 US11841942B2 (en) 2020-10-22 2023-03-27 Anomaly detection device and anomaly detection method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2020-177337 2020-10-22
JP2020177337 2020-10-22

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US18/126,651 Continuation US11841942B2 (en) 2020-10-22 2023-03-27 Anomaly detection device and anomaly detection method

Publications (1)

Publication Number Publication Date
WO2022085260A1 true WO2022085260A1 (ja) 2022-04-28

Family

ID=81290420

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/027124 WO2022085260A1 (ja) 2020-10-22 2021-07-20 異常検知装置、異常検知方法及びプログラム

Country Status (4)

Country Link
US (1) US11841942B2 (ja)
JP (1) JP7296555B2 (ja)
DE (1) DE112021005629T5 (ja)
WO (1) WO2022085260A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114844810A (zh) * 2022-05-30 2022-08-02 中国建设银行股份有限公司 心跳数据处理方法、装置、设备及介质
JP7296556B1 (ja) * 2022-09-27 2023-06-23 パナソニックＩｐマネジメント株式会社 情報処理装置、情報処理装置の制御方法及びプログラム
WO2024070001A1 (ja) * 2022-09-27 2024-04-04 パナソニックオートモーティブシステムズ株式会社 情報処理装置、情報処理装置の制御方法及びプログラム

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011070505A (ja) * 2009-09-28 2011-04-07 Canon Inc 画像処理装置、画像処理方法、及びプログラム
JP2016057773A (ja) * 2014-09-08 2016-04-21 アズビル株式会社 管理装置および管理方法
JP2019120433A (ja) * 2017-12-28 2019-07-22 ダイキン工業株式会社 空調システム及びローカルコントローラ
JP2019125867A (ja) * 2018-01-12 2019-07-25 パナソニックＩｐマネジメント株式会社 監視装置、監視システム及び監視方法

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3358800B1 (en) 2014-01-06 2021-10-20 Argus Cyber Security Ltd Bus watchman
CN107124324B (zh) * 2016-02-25 2020-09-01 阿里巴巴集团控股有限公司 一种基于租约的心跳协议方法和设备
US9930064B1 (en) * 2016-11-23 2018-03-27 Blue Star Software Network management security and protection system
US20190217869A1 (en) 2018-01-12 2019-07-18 Panasonic Intellectual Property Management Co., Ltd. Control apparatus, control method, and program
CN111869163B (zh) * 2018-03-19 2022-05-24 华为技术有限公司 一种故障检测的方法、装置及系统
US11281552B2 (en) * 2018-05-02 2022-03-22 Visa International Service Association Self-learning alerting and anomaly detection
US11341235B2 (en) * 2019-02-21 2022-05-24 Raytheon Company Anomaly detection with adaptive auto grouping
EP4085362A1 (en) * 2019-12-31 2022-11-09 Motorola Solutions, Inc. Methods and apparatus for detecting malicious re-training of an anomaly detection system

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011070505A (ja) * 2009-09-28 2011-04-07 Canon Inc 画像処理装置、画像処理方法、及びプログラム
JP2016057773A (ja) * 2014-09-08 2016-04-21 アズビル株式会社 管理装置および管理方法
JP2019120433A (ja) * 2017-12-28 2019-07-22 ダイキン工業株式会社 空調システム及びローカルコントローラ
JP2019125867A (ja) * 2018-01-12 2019-07-25 パナソニックＩｐマネジメント株式会社 監視装置、監視システム及び監視方法

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114844810A (zh) * 2022-05-30 2022-08-02 中国建设银行股份有限公司 心跳数据处理方法、装置、设备及介质
CN114844810B (zh) * 2022-05-30 2024-04-26 中国建设银行股份有限公司 心跳数据处理方法、装置、设备及介质
JP7296556B1 (ja) * 2022-09-27 2023-06-23 パナソニックＩｐマネジメント株式会社 情報処理装置、情報処理装置の制御方法及びプログラム
JP7352887B1 (ja) 2022-09-27 2023-09-29 パナソニックＩｐマネジメント株式会社 情報処理装置
WO2024070001A1 (ja) * 2022-09-27 2024-04-04 パナソニックオートモーティブシステムズ株式会社 情報処理装置、情報処理装置の制御方法及びプログラム
JP2024048341A (ja) * 2022-09-27 2024-04-08 パナソニックＩｐマネジメント株式会社 情報処理装置
US12039039B1 (en) 2022-09-27 2024-07-16 Panasonic Automotive Systems Co., Ltd. Information processing device and control method for information processing device

Also Published As

Publication number Publication date
JP7296555B2 (ja) 2023-06-23
DE112021005629T5 (de) 2023-08-24
JPWO2022085260A1 (ja) 2022-04-28
US11841942B2 (en) 2023-12-12
US20230229762A1 (en) 2023-07-20

Similar Documents

Publication Publication Date Title
WO2022085260A1 (ja) 異常検知装置、異常検知方法及びプログラム
US11411681B2 (en) In-vehicle information processing for unauthorized data
US10902109B2 (en) Misuse detection method, misuse detection electronic control unit, and misuse detection system
US10798114B2 (en) System and method for consistency based anomaly detection in an in-vehicle communication network
CN111052681B (zh) 异常检测电子控制单元、车载网络系统及异常检测方法
DE102015122823A1 (de) Verfahren und System zur reflektometriebasierten Überwachung, Intrusionserfassung und Mitteilungsauthentifizierung eines Kommunikationsnetzwerks
CN111066001B (zh) 日志输出方法、日志输出装置以及存储介质
JP7322806B2 (ja) 車両用異常検出装置
US11765191B2 (en) Information processing device and information processing method
KR20170120029A (ko) 데이터 전송 조작을 방지하기 위한 방법 및 장치
US11394726B2 (en) Method and apparatus for transmitting a message sequence over a data bus and method and apparatus for detecting an attack on a message sequence thus transmitted
US20220263849A1 (en) Anomaly detection method, recording medium, and anomaly detection system
US11330013B2 (en) Method and device for monitoring data communications
US11444922B2 (en) System for detecting control device security malfunctions
JP7392586B2 (ja) ログ送信制御装置
US10666671B2 (en) Data security inspection mechanism for serial networks
JP7523855B2 (ja) 検知ルール出力方法、及び、セキュリティシステム
CN115664788B (zh) 一种通信数据劫持监控方法及存储介质、电子设备
JP7491240B2 (ja) 情報処理装置、情報処理方法、およびプログラム
WO2023233711A1 (ja) 情報処理方法、異常判定方法、および、情報処理装置
CN111443683B (zh) 基于车辆can总线结构的电子控制单元测试方法及装置
KR20220081209A (ko) 차량 내 네트워크를 위한 보안 시스템 및 방법
JP2023042954A (ja) 情報処理装置及びこれを備えた車両、情報処理方法、並びにプログラム
KR20220046949A (ko) 재구성 가능한 장치 기반의 차량 내부 네트워크 이상 신호 실시간 탐지장치 및 그 제어방법
JP2023128289A (ja) 監視装置、監視システムおよび監視方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21882401

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022556411

Country of ref document: JP

Kind code of ref document: A

122 Ep: pct application non-entry in european phase

Ref document number: 21882401

Country of ref document: EP

Kind code of ref document: A1